(57)【特許請求の範囲】
【請求項１】
データベースに予め登録されている個人認証情報と、入力装置から入力された個人認証情報とを、ログイン操作の際に比較する機能を有する計算機システムにおいて、
前記計算機システムは、誤った個人認証情報を連続して入力したログイン失敗回数と、その一連のログイン操作の開始から当該ログインの成功又は不成功で終わる期間と、最後のログイン操作が成功したのか不成功に終わったのかを示す、最後のログイン認証処理結果と、を不正アクセスの判断基準情報とし、
前記期間における一連のログイン操作の、前記ログイン失敗回数が既定値以上であること、及び、
前記期間における一連のログイン操作の、前記最後のログイン認証処理結果がログイン不成功であることを検出することにより、
前記計算機システムの不正な利用であると判断する不正利用検出方法。
【請求項２】
請求項１記載の不正利用検出方法において、
前記計算機システムの不正な利用であると判断する事象が複数あった場合であって、それらの事象のうち、後から起こった事象が、前記期間における、前に起こった事象の一連のログイン操作と認められるときは、前記計算機システムの不正な利用であると判断する事象の個数に対応した前記期間で、前記計算機システムが、それらを一つにまとめて警告として報告する不正利用検出方法。
【請求項３】
請求項１記載の不正利用検出方法において、更に、前記計算機システムは、
時刻、ユーザ名、ログイン操作の成功不成功、当該ログイン操作の対象となった計算機名、及び、使用された端末名とを記録し、
これらに基づいて、前記計算機システムが、時系列順に読み出す処理を行う不正利用検出方法。
【請求項４】
請求項３記載の不正利用検出方法において、更に、前記計算機システムは、
前記計算機システムの不正な利用であると判断したとき、対応するログイン操作を行ったユーザに関する前記記録を、前記計算機システムが、削除する不正利用検出方法。
【請求項５】
請求項１記載の不正利用検出方法において、更に、前記計算機システムは、
前記計算機システムの不正な利用であると判断したとき、
前記計算機システムが、詳細な情報取得を行うための監視プログラムを、不正な利用であると判断されたログイン操作の対象となった計算機システムに対して送信し、又は、不正な利用であると判断されたログイン操作の対象となった計算機システムにおいて実行する不正利用検出方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明はコンピュータの操作者に対する個人認証方法に係り、キーボードから入力されたパスワードとあらかじめ登録されているパスワードが等しいことにより認証を行うものに関する。
【０００２】
【従来の技術】
コンピュータを操作する場合、該コンピュータを操作する権利があるかどうかを認証する仕組みとしてユーザにキーボードなどからパスワードを入力させ、該パスワードがあらかじめ登録されているパスワードと等しいことにより認証を行うシステムが広く使われている。従来、この認証は手段に基づくコンピュータ不正利用の検出機能として、例えば HP-UX 9.0のオンラインマニュアル login(1) の項に記載のように３回といった規定回数連続して間違えた時や例えば１分間といった規定時間認証が完了しない場合に接続を遮断すると共にその出来事を記録したり、Windows NT 3.5セキュリティ/監査ガイド（Microsoft Corporation著  アスキー・ネットワーク・テクノロジー監訳  アスキーテクライト訳  アスキー出版局  ISBN4-7561-1017-7）の2.2セキュリティ機能「ユーザアカウントセキュリティ」の項に記載のように、連続して規定回数以上入力を間違えた場合に記録を取るとともに管理者に報告するなどの処理が行われていた。
【０００３】
また、ユーザがどの端末から操作しているのかという情報は記録していたが、それを不正な利用の発見に利用しようという試みでは例えばインターネット上の ftp://ftp.aist-nara.ac.jp/pub/Security/tools/tcp_wrappers などから入手できるフリーソフトである TCP wrapper に見られるように特定の端末からまたは特定の端末以外からの利用を不正と判断するにとどまっていた。
【０００４】
また、特開平6-6347号公報には、ネットワーク上のセキュリティ監視を集中的に行う方法が記載されている。
【０００５】
また、特開平7-264178号公報には、ＬＡＮ上における不正アクセスを中継装置からの情報を得ることによって不正アクセスをした箇所を特定する方式が記載されている。
【０００６】
【発明が解決しようとする課題】
かかる従来の方法においては、次のような課題がある。
【０００７】
すなわち、１回でも失敗した時には失敗の記録をするようにしたシステムの場合、通常の使用においてパスワードの打ち間違いをした場合においても記録されてしまい、管理者は不正利用なのか単なる入力ミスなのかの判断が難しい状況となる。
【０００８】
また、規定回数（例えば３回）続けて間違えたときに接続を切る方法においては不正な利用者はパスワードを規定回数未満の回数（例えば２回）続けて間違えた場合、さらに規定時間（例えば１分）認証が完了しない場合に接続を遮断する方法においては規定時間内に自分から接続を切ってしまうことにより、不正利用を行おうとした記録を取られることはなく、当然、不正行為によって実際に侵入されたのかそうでないのか区別できない。
【０００９】
また、パスワードによる認証に失敗した時にログに残すシステムにおいては規定回数以上、間違ったパスワードを入力し続けた場合、認証失敗のログが大量に出力され、他の重要なメッセージが埋もれてしまうことになる。
【００１０】
また、前記従来技術では失敗をカウントする時間間隔を設けていないので、一般に特定の時間帯に集中して行われる傾向のある侵入の事象を絞り込むことができない。
【００１１】
また同一人物に与えられているアカウントを用いて、複数の場所からアクセスを行ってきた場合、それは不正な利用であると考えられるが、そのような事象を効率的に検出する手段は提供されていない。
【００１２】
本発明の一つの目的は上記従来技術の問題点を解決し、パスワードを入力したユーザが正規の利用者であるか不正な利用者であるかの判断において信頼性を上げるところにある。
【００１３】
本発明の他の目的は、従来不正なユーザの行動は逐一管理者に報告していたものを、一連の不正アクセスに関しては一度だけ管理者に報告することにより、管理者が容易に不正アクセスを精度よく把握可能とするところにある。
【００１４】
【課題を解決するための手段】
本発明は、パスワードなどのユーザから与えられた個人認証情報と該情報が与えられた時刻と該情報が与えられた端末の場所に関する情報とあらかじめ登録されている個人認証情報の突き合わせ結果を記録する認証システムにおいて、それらの情報と過去の付き合わせの失敗回数および期間に関する記録と現在該ユーザが使用している端末の数に関する情報が既定値以上または既定値以下の場合、不正な使用との判断を行うステップを実行するようにした不正利用検出方法を提供している。
【００１５】
また、上記第一のステップにおいて、一連の認証処理の最後がログイン成功で終わっているのかログインが最後まで失敗で終わっているかによって処理を変えることにより、実際に不正アクセスが成功したのか失敗に終わったのかが判定する第2のステップを実行するようにした不正利用検出方法を提供している。
【００１６】
また、上記第一および第二のステップにおいて、不正な使用と判断される事象が複数あり、その事象が連続していた場合、それらの事象を一つの事象としてまとめる第三のステップを実行するようにした不正利用検出方法を提供している。
【００１７】
また、同一ユーザが複数の端末を使用してログインしてきた場合、指定されたユーザ数以上の利用を検出した場合、指定された時間以上または指定された時刻の間、指定されたユーザ数以上の利用を検出した場合、それらが正常な使用か不正な使用かを判断する第四のステップを実行するようにした不正利用検出方法を提供している。
【００１８】
さらに、上記第一から第四のステップにおいて、それらの結果を記録するとともに管理者に報告し、予め指定された対策を自動的に実行するかまたは不正利用が検出された計算機に対してより詳細な情報を収集するための監視プログラムを送信する第五のステップを実行するようにした不正利用検出方法を提供している。
【００１９】
【発明の実施の形態】
図２は本発明の一実施例のシステム構成を示したものである。
【００２０】
ユーザが直接操作する複数のローカル計算機(201)とユーザが遠隔操作をする複数のリモート計算機(210)とそれらを管理するマネージャ計算機(220)とからなり、それらはネットワークでつながれている。これらの計算機はいずれかの二種類、または三種類すべてが一つの計算機上で行われることもある。また、ローカル計算機(201)は中央演算処理装置(202)と主記憶装置(203)とキーボードなどの入力装置(204)とディスプレイなどの出力装置(205)とネットワーク制御装置(206)から構成する。また、リモート計算機(210)は中央演算処理装置(211)と主記憶装置(212)とディスク装置(213)とディスク制御装置(214)とネットワーク制御装置(215)とからなる。また、マネージャ計算機(220)は中央演算処理装置(221)と主記憶装置(222)とディスク装置(223)とディスク制御装置(224)とネットワーク制御装置(225)とキーボードなどの入力装置(228)とディスプレイなどの出力装置(227)からなる。また、マネージャ計算機(220)は不正アクセスと判断するための不正アクセス判断基準情報(229)をディスク装置(223)上に保持しており、ネットワーク(232)を通してリモート計算機(210)に送ることができる。リモート計算機(210)はマネージャ計算機(220)から不正アクセス判断基準情報(227)を受け取り、ディスク装置(213)上に不正アクセス判断基準情報(217)として記憶する。ユーザはローカル計算機(201)の入力装置(204)を操作し、ネットワークを経由してリモート計算機(210)にログインし利用する。リモート計算機(210)はローカル計算機(201)からのログイン操作を受け、ログイン時およびログアウト時に、入力が行われた時刻(802)と利用者名(803)とパスワードを正しく入力しログインできたのか誤ったパスワードを入力しログインできなかったのかの情報(804)とローカル計算機(201)の名称(805)とローカル計算機上で使用された入力装置(204)の名称(806)をログ情報(216)として、ディスク装置(213)に記憶する。ログ情報の形式を8図に示す。このとき、同時に不正アクセス基準情報(217)と照らし合わせ、不正なアクセスと判断された場合にはマネージャ計算機(220)に不正アクセス情報を通知するとともに、ディスク装置(213)に記録する。マネージャ計算機(220)が不正アクセス情報の通知を受け取れなかった場合には、ログ情報をもとに、マネージャ計算機(220)が通知を受け取れるまで通知を再送する。マネージャ計算機(220)は不正アクセス情報を受け取り、記録するとともに表示コンソールにメッセージを表示してオペレータに報告する。
【００２１】
ここでは、リモート計算機(210)はユーザのログインがあった時にリアルタイムに検出するシステムを説明したが、必ずしもリアルタイムに検出するシステムばかりでなく、事後にログ情報(216)を一括してマネージャ計算機(220)に転送してマネージャ計算機(220)上で不正アクセス基準情報(217)と照らし合わせて不正なアクセスを検出することも考えられる。
【００２２】
また、ここではリモート計算機(210)が不正なアクセスを検出し、マネージャ計算機(220)に報告する形式で記述したが、リモート計算機(210)がユーザ認証情報をマネージャ計算機(220)に転送し、マネージャ計算機(220)の中央演算処理装置(221)が不正なアクセスを検出してもよい。この時にも、リモート計算機(210)がマネージャ計算機(220)にリアルタイムにユーザ認証情報を転送し検出する方法と、リモート計算機(210)はログ情報(216)を溜めておき事後に一括してマネージャ計算機(220)に転送する形が考えられ、それぞれの場合に、転送されたマネージャ計算機(220)はリアルタイムに処理する方法と一度ディスク装置(223)にログ情報として記録しておき、あとから検出する方法が考えられる。
【００２３】
図6は本発明の一実施例のソフトウエア構成を示す。図6は図2で説明した構成において、ログ情報をリモート計算機上に溜めておいて、適当なタイミングで一括してマネージャ計算機に転送する方法を実現する構成である。マネージャ計算機(601)は計算機のハードウエアを制御するオペレーテイングシステム(603)上に本考案機能を実現するコンポーネントを構成する。ルール管理部(607)は、前述の不正アクセス基準情報(217)（ログ解析ルール）、管理対象計算機(602)(リモート計算機)上で収集したログ情報をフィルタリングするための基準（フィルタリングルール）および正規化ログファイル(616)やデータベース(609)の容量を管理するための基準（ログファイル管理ルール）を登録または削除、変更するための処理部である。ログ解析部(608)は、登録されたログ解析ルールに従って管理対象計算機から収集し、データベース(609)に蓄積したログ情報を解析するための処理部である。ルール配布部（610）はルール管理部で登録したフィルタリングルールやログファイル管理ルールを管理対象計算機に配布制御する処理部であり、ログ収集部(618)は管理対象計算機からログ情報を収集制御する処理部である。一方、管理対象計算機(602)は、マネージャ計算機と同様にオペレーテイングシステム(604)上に本考案機能を実現するコンポーネントを構成する。ログ収集部(613)はオペレーテイングシステム(604)が採取するアクセスログを定期的に収集し、ログ正規化部(612)で予め指定された共通の形式に変換する。さらに、マネージャ計算機から指示されたフィルタリングルールに従って指定された情報のみを正規化ログファイル(616)に格納する。正規ログ収集部は共通の形式に変換したログ情報を適当なタイミングで（例えばマネージャ計算機から指示があった時点）マネージャ計算機に転送する。なお、マネージャ計算機と管理対象計算機の間の通信制御はオペレーテイングシステムの基本通信制御部(605)(606)が提供する論理的通信路(617)を用いて実現する。
【００２４】
図１は、本発明における不正アクセスの判断基準の一例を示したものである。不正アクセスの判断基準（図2(217)）として「規定時間内に規定回数内で正しいパスワードを入力できた時に正常なアクセスであった。それ以外は不正なアクセスである。」とする。例として規定回数を４回、規定時間を１分間として説明する。始めの入力から1分間は(100)は入力(101)から入力(104)が失敗しており、2回目の入力から1分間も入力(102)から入力(105)も失敗している。しかし、3回目の入力から1分間の入力(103)から入力(106)では最後の入力(106)において正しいパスワードを入力している。このため、これらは一連の処理とみなされ、このアクセスは正常なアクセスであったと判断される（図１（a））。次に(110)は入力(107)から入力(110)が失敗しており、2回目の入力から1分間も入力(108)から入力(111)も失敗している。さらに、3回目の入力から1分間の入力(109)から入力(112)でも最後の入力(112)において失敗しており、その後、入力がない。よって３回目の入力から１分が経過した時点で一連の認証処理は終了したものとされ、１分以内にログインに成功しなかったため、認証に成功しなかったとみなされ、不正なアクセスと判断される（図１(b)）。
【００２５】
以上の処理はユーザからの入力が行われているときにリアルタイムに不正なアクセスか判断する方法と、ユーザの行動をログに記録しておき、あとから不正なアクセスであったか判断する方法がある。
【００２６】
図３は、前記処理手順の一例を示したものである。この手順は、図６において、マネージャ計算機のログ解析部(608)で実行する場合と、管理対象計算機上で正規化ログを読み出して実行する場合が考えられる（後者の処理部は図６では図示していない）。この手順ではユーザの行動が記録されたログを読み出すことにより、不正なアクセスであるかを判断する。また、この手順ではユーザからのパスワードの入力が誤っていた場合、連続して間違えた回数のみで不正な操作と判断するのではなく、一連の入力の最後が成功で終わっているのか失敗で終わっているかによって不正な操作かどうかの判断を行うものである。このログの形式としては図7に示すようにユーザから入力されたユーザ名、パスワードが正しかったかどうかの判定結果、およびユーザからの入力が行われた時刻情報が記録されている必要がある。まず、最初の入力を読み出す(301)。次に不正なアクセスを検出したことを示すためのフラグをリセットする(302)。そのログインが成功であるかチェックし(303)、成功であった場合は認証は完了する(304)。失敗であった場合、入力時刻を一連の処理の開始時刻として登録し(305)、終了予定時刻を計算するとともに登録する(306)。次に、連続誤入力カウンタに１を足す(307)。連続誤入力カウンタをチェックし(308)、カウンタ値が規定回数以上であった場合、検出フラグをセットする(309)。次のデータがあるかチェックし(310)、次のデータが存在しない場合は処理を終了とする(311)。存在する場合は次のデータを読み出し(312)、その記録時刻と該終了予定時刻を比較する(313)。終了予定時刻が先の場合は先のデータまでで一連の処理は終了したものとし(314)、検出フラグをチェックし(315)、セットされていれば不正アクセスがあったことを記録するとともに報告する(316)。その後、(302)へ戻り、繰り返す。データの入力時刻の方が先であった場合、ログインの成功をチェックし(317)、不成功の場合は(306)へ戻り、処理を繰り返す。成功であった場合は検出フラグがセットされているかチェックし(318)、セットされていれば不正アクセスと判断する(319)。そして、認証は完了する(320)。上述の例においては(307)において終了時刻を計算し直し、更新しているが、より厳密な不正アクセスのチェックをしようとする場合には終了予定時刻最初に(307)で計算したときのままとし、更新処理を行わない処理も考えられる。つまり、(317)の処理の後、(307)へ戻ることとする処理である。
【００２７】
次に図４を用いてログを採取しながらリアルタイムに処理する場合の処理手順を説明する。
【００２８】
この手順は、図６において、マネージャ計算機に１つのログを転送するごとにログ解析部(608)で実行する場合と、管理対象計算機上で１つのログを正規化するごとに実行する場合が考えられる（後者の処理部は図６では図示していない）。本手順は図６の構成において、まず、検出フラグおよび入力カウンタをリセットする(401)。次にキーボードなどからユーザがユーザ名とパスワードの組みなどの認証情報を入力するがあるのを待つ(402)。入力された時刻を一連の処理の開始時刻として登録する(403)。認証情報が許可されたものでログインが成功したかをチェックし(404)、成功した場合は一連の処理中にカウントされた各種カウンタの値を読み(405)、その値が事前に定めておいた不正アクセス基準以上の場合、不正アクセスの可能性があるとみなし(406)、アラートを上げたり、記録を残したりした後、認証を完了する(407)。ログインが失敗した場合、現在時刻に一定時間を加えることにより終了予定時刻を計算し、登録する(408)。次に連続誤入力カウンタに１を加える(409)。連続誤入力カウンタの値が規定回数未満であるかチェックし(410)、規定回数未満であった場合は終了時刻まで再度認証情報の入力を待つ(411)。入力が行われた後、終了時刻であるかチェックする(412)。入力が終了時刻になる前に行われた場合、ログイン成功判断部分(404)へ戻る。終了時刻になった場合と先程の認証失敗回数が規定回数以上になった場合は連続誤入力回数がチェックされ(413)、不正アクセス基準以上の場合、不正アクセスとし、アラートを上げたり、ログに記録したりする(414)。そして、認証失敗として終了する。
【００２９】
次に不正アクセスの判断基準（図2(217)）として、「同一利用者名で複数箇所からログインがあった場合に不正な利用と判断する」に関して述べる。本処理は複数の計算機で採取したログ情報を突き合わせる必要があるため、複数の管理対象計算機から収集したログ情報を用いて、図６のマネージャ計算機上のログ解析部(608)で実行する。一人のユーザが存在できるのは地理的な一地点であるはずであり、例えば東京と大阪にある端末に同時に触ることはできず、その両方から使用していることが検出された場合、不正な利用がされていると考えられる。つまり、複数の端末からネットワーク経由で一つのマシンにログインがあった場合、それは不正な利用者が使用していると考えられる。どの端末が地理的にどこに存在するかという情報、および、どの端末とどの端末を（またはどの地域の端末とどの地域の端末を）同時に使用した場合には不正アクセスとするのかそれとも不正アクセスとしないのか、および、いくつ以上の端末を同時に使用した場合不正使用とするのか、または以上の条件のどのような組み合わせで不正使用とするのか、などの不正アクセス判断基準情報はあらかじめ作成し、記憶装置に記憶しておく。まず、ログに記録されたデータから不正な利用があったかどうかを監査する処理について述べる。ログデータは、図8に示すようにユーザ名、ログイン情報かログアウト情報かの区別、使用した端末位置、の情報を有する。この端末位置情報はネットワークを多段に用いてログインしてきている場合、そのおおもとの実際のキーボードなどの入力装置が存在する場所を特定して記録されているものとする。ただし、特定ができない場合、検出精度が低下することを承知の上、直前の端末場所の情報で代用されていることもある。
【００３０】
また、検出処理中に使用するワークエリアには、現在どこの端末を使用しているかをユーザごとに記録するものとする。
【００３１】
図５に上記ログ解析処理手順を示す。最初に、ワークエリアをクリアする(501)。次に不正アクセス基準を記憶装置から読み出す(502)。次に、まだ処理をしていないログデータが存在するか判断する(503)。すでにデータをすべて処理してしまった場合、処理を終了する(504)。データがまだ残っている場合、ログから一つ目のログデータを読み出す(505)。読み出したデータがログインのデータかログアウトのデータかを判断し(506)、ログアウトの情報であれば、該ユーザの使用端末数を１つ減らすとともに(507)、該端末位置からのログイン情報を削除し(508)、(503)の処理へ戻る。ログインの情報であった場合、該ユーザの使用端末数を１つ増やすとともに(509)、使用端末位置を記録する(510)。次に、該ユーザに関しての使用端末数と使用端末位置情報とあらかじめ登録しておいた各端末の地理的な情報と不正アクセス基準を照らし合わせ(511)、不正なログインと判断された場合(512)、記録を取る(513)とともにアラートを上げる(514)などの処理を行う。
【００３２】
その後、(503)へ戻り、繰り返す。
【００３３】
上記処理手順において、さらに、「指定された時間連続して同時利用端末数が既定値以上になった場合についてのみ不正ログインとみなす」、また、「指定された時間帯に同時利用端末数が既定値以上になった場合について不正ログインとみなす」という不正アクセスの判断基準として拡張可能である。
【００３４】
図7に不正アクセスを報告するためのマネージャ計算機の表示コンソール上の画面構成の一例を示す。702はネットワーク上に位置する管理対象計算機の接続関係と各計算機を表現するシンボルの色で該計算機の状態を示す画面である。これに対して、701は、どのような事象が発生したかを時系列にメッセージ表示した画面である。例えば、3行目および4行目は不正アクセスが発生したことを示すメッセージであり、特定の計算機が限定される場合は、シンボルの色を変化させて（例えば計算機B）管理者への表示を明確にする。また、不正アクセスの詳細が知りたい場合は画面701に付属するメニューを選択する操作により詳細画面703を表示する。
【００３５】
マネージャ計算機において、不正アクセスが報告された時、特定の計算機（一般には不正アクセスを検出した計算機）に対して予め指定された動作（例えば問題の発生した利用者情報を削除する等）を指示することが可能である。これらの処理プログラムは予め各計算機に組み込んでおく方法とマネージャ計算機から必要になった時点で配布して該計算機上で実行する方法が考えられる。この手順を図９で説明する。マネージャ計算機において不正アクセスを検出したとき(902)、報告された情報に対する動作が定義されているかを調べて、存在すればこれを読み出す(903)。次に管理対象計算機上に前記動作を実行する処理プログラムが存在するかを調べて(904)、存在するときは処理に必要なパラメータのみを管理対象計算機に転送する(905)。前記処理プログラムが存在しないときは、必要なパラメータとともに前記動作を実行する処理プログラムもあわせて管理対象計算機に転送する(906)。管理対象計算機では、指定された処理プログラムを実行して(907)、実行結果をマネージャ計算機に転送する(908)。
【００３６】
また、マネージャ計算機において、不正アクセスが報告されたとき、さらに詳細な情報採取や詳細な状態監視のため（例えば、ファイルの更新状況やプロセスの稼動状況、等）、予め指定されたプログラムを不正アクセスが発生した計算機に対して監視プログラムを配布して該計算機にて監視を実行する方法が考えられる。本手順も図９に示す手順に従って実行することができる。
【００３７】
【発明の効果】
使用者が正規のユーザであるか不正な使用であるか信頼性の高い検査を行うことにより、不正利用者の見逃しや正規利用者の誤摘発を少なくすることができる。
【００３８】
また、多くの事象のうち、関係のある物をひとつにして管理者に報告するため、管理者が注意すべき情報量を少なく押さえることができる。
【００３９】
さらに、不正な利用が検出されたとき、自動的に対象計算機に対して問題のあるユーザ情報を消去するなどの対策や、詳細情報を収集する、等の処理を自動的に実行することができる。
【図面の簡単な説明】
【図１】正常アクセス例(a)と不正アクセス例(b)を表す図。
【図２】本発明の適用される計算機の構成を表す図。
【図３】ログ情報を元に最後にログインが成功しているか否かを考慮し不正アクセスを検出する手順を表す図。
【図４】リアルタイムに最後にログインが成功したか否かを考慮して不正アクセスを検出する手順を表す図。
【図５】ログ情報を元に複数の地点からの侵入を調査し、不正アクセスを検出する手順を表す図。
【図６】本発明を実現するソフトウエア構成を表す図。
【図７】マネージャ計算機の監視画面の一例を表す図。
【図８】ログ情報の形式を表す図。
【図９】不正アクセス検出後の処理手順を表す図。
【符号の説明】
101:ログインの失敗、102:ログインの失敗、103:ログインの成功、111:ログインの失敗、112:ログインの失敗、201:ローカル計算機、202:中央処理演算装置、203:主記憶装置、204:入力装置、205:出力装置、206:ネットワーク制御装置、210:リモート計算機、211:中央処理演算装置、212:主記憶装置、213:ディスク装置、214:ディスク制御装置、215:ネットワーク制御装置、216:ログ情報、217:不正アクセス基準情報、220:マネージャ計算機、221:中央演算処理装置、222:主記憶装置、223:ディスク装置、224:ディスク制御装置、225:ネットワーク制御装置、226:ログ情報、227:不正アクセス基準情報601:マネージャ計算機、602:管理対象計算機、603:マネージャ計算機上オペレーテイングシステム、604:管理対象計算機上オペレーテングシステム、605:マネージャ計算機上基本通信制御部、606:管理対象計算機上基本通信制御部、607:ルール管理部、608:ログ解析部、609:データベース、610:ルール配布部、611:正規ログ収集部、612:ログ正規化部、613:ログ収集部、614:フィルタリング処理部、615:ルール配布部、616:正規化ログファイル、617:論理的通信路、618:ログ収集部、701:メッセージ表示画面、702:管理対象計算機状態監視画面、703:メッセージ詳細表示画面
【図１】
0003787431.tif 000002
【図２】
0003787431.tif 000003
【図３】
0003787431.tif 000004
【図４】
0003787431.tif 000005
【図５】
0003787431.tif 000006
【図６】
0003787431.tif 000007
【図７】
0003787431.tif 000008
【図８】
0003787431.tif 000009
【図９】
0003787431.tif 000010