(57)【特許請求の範囲】
【請求項１】
入力されたユーザ固有の識別情報およびパスワードを認証して、正当なユーザにログインを許可するコンピュータシステムにおいて、該コンピュータシステムが実行する不正ログイン防御方法であって、
入力された識別情報およびパスワードを解析して、コンピュータシステムを不正に利用しようとする攻撃者が入力したパスワードであるかどうか判断し、
前記攻撃者によるパスワード入力回数をカウントして、前記入力回数が所定の値に達した場合に、攻撃者に対して偽のログインを許可すると共に、該攻撃者が入力した識別情報およびパスワードを記憶し、攻撃者によるパスワード入力回数のカウントをすべてクリアし、
以後、入力された識別情報およびパスワードが前記記憶した識別情報およびパスワードと一致した場合、直ちに偽のログインを許可する、
ことを特徴とするコンピュータシステムの不正ログイン防御方法。
【請求項２】
請求項１記載のコンピュータシステムの不正ログイン防御方法において、
複数の攻撃者による所定時間内のパスワード入力回数をカウントし、前記入力回数が所定の値に達した場合に、各攻撃者に対して偽のログインを許可する、
ことを特徴とするコンピュータシステムの不正ログイン防御方法。
【請求項３】
入力されたユーザ固有の識別情報およびパスワードを認証して、正当なユーザにログインを許可するコンピュータシステムにおいて、
各種有用な情報を格納し、各種アプリケーションプログラムを提供する第一のサーバと、
前記第一のサーバに格納された情報に似せた無用な偽情報を格納し、各種アプリケーションプログラムを提供する第二のサーバと、
コンピュータシステムを利用する権限を持つユーザのパスワードを識別情報と対応づけて格納する第一の記憶手段と、
前記第二のサーバを利用することを許可したユーザの識別情報およびパスワードを格納する第二の記憶手段と、
ユーザがパスワードを入力する際に想定される入力誤りのパターンを格納する第三の記憶手段と、
前記第１の記憶手段を参照し、入力された識別情報およびパスワードが正当である場合には、該識別情報およびパスワードを入力したユーザに対して前記第一のサーバを利用することを許可する手段と、
入力された識別情報およびパスワードが正当でなく、前記第二の記憶手段にも格納されておらず、かつ、入力されたパスワードが前記第三の記憶手段の入力誤りのパターンとも一致しない場合には、前記入力されたパスワードは、コンピュータシステムを不正に利用しようとする攻撃者が入力したパスワードであると判断する手段と、
前記コンピュータシステムを不正に利用しようとする攻撃者によるパスワード入力回数をカウントする手段と、
前記パスワード入力回数が所定の値に達した場合には、前記攻撃者に対して前記第二のサーバを利用することを許可すると共に、入力された識別情報及びパスワードを前記第二の記憶手段に記憶し、攻撃者によるパスワード入力回数のカウントをすべてクリアする手段と、
入力された該識別情報及びパスワードが正当でなく、前記第二の記憶手段に格納されている場合には、該識別情報およびパスワードを入力したユーザを攻撃者と見做し、直ちに前記第二のサーバを利用することを許可する手段と、
を有することを特徴とするコンピュータシステム。
【請求項４】
請求項３記載のコンピュータシステムにおいて、
第二のサーバを利用する攻撃者に対して制限をかける行動のパターンを格納する手段と、
攻撃者の行動が前記制限をかける行動のパターンに一致した場合には、前記攻撃者の行動に制限をかける手段と、
を有することを特徴とするコンピュータシステム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、コンピュータやコンピュータシステム（以下、コンピュータシステムで総称する）を利用しようとするユーザによって入力されたユーザ固有の識別情報およびパスワードの認証処理に係り、特にコンピュータシステムを不正に利用しようとする攻撃者がパスワードを一つずつ試していく総当たり攻撃に対するコンピュータシステムの防御方式に関する。
【０００２】
【従来の技術】
従来、コンピュータシステムにおいては、コンピュータシステムが所有するデータやアプリケーションプログラムなどの資源を不正なユーザが不正使用できないようにするため、ユーザ固有の識別情報（以下、ユーザＩＤと呼ぶ）およびパスワードを入力させ、これらがコンピュータシステム内にあらかじめ登録されている正当なユーザのユーザＩＤおよびパスワードと一致するかどうかの認証処理を実行し、登録されていなければ不正ユーザによるログイン操作であると判定して、ログインを許可しないようにする方式が一般に採られている。通常、ユーザＩＤにはユーザの名前など比較的わかりやすいものが選ばれ、パスワードにはユーザ一人一人が自分にしかわからないものが選ばれる。
【０００３】
このような認証処理を行って不正使用を防止するように構成したコンピュータシステムに対し、不正ユーザがコンピュータに不正侵入する際にとる攻撃方法として、まず、ユーザＩＤを手に入れ、そのユーザＩＤに対してパスワードを一つずつ試していく、いわゆる「総当たり攻撃」という方法がある。パスワードの候補は非常に多く存在するが、「総当たり攻撃」を行うための処理は専用のプログラムを作成することにより自動化できるので、不正ユーザは一秒間程度に何千、何万個もの非常に多くのパスワードを試すことができる。このようにして多くのパスワードの試行による不正ログイン操作を許すことにより、いつかはパスワードは解かれてしまう。
【０００４】
そこで、不正ログイン操作の試行回数の上限を設定し、不正ログイン操作が該上限を超えた場合は、当該コンピュータシステムをロックアウト状態に遷移させ、当該コンピュータに対するすべてのユーザのログイン操作を一定期間禁止するようにしたものがある。これをロックアウト方式と称す。これにより、侵入者は多くのパスワードを試すことができなくなり、不正ユーザによるコンピュータシステムの不正使用を防止し、コンピュータシステム内のデータ等の安全性を保つことができる。なお、ロックアウト方式については、例えば特開平１１−１４３８３４号公報に記載されている。
【０００５】
【発明が解決しようとする課題】
ロックアウト方式を採用する際には、普通、ログイン禁止期間（ロックアウト期間）はシステム管理者が該当コンピュータシステムのセキュリティポリシーに沿って定めるが、比較的長い時間であり、システム管理者がロックアウト状態を解除しなければ二度とログインできない場合もある。よって、ロックアウトをかけられてしまうと、正当なユーザも一定期間、当該コンピュータシステムを利用できなくなってしまう。
【０００６】
また、不正ログインの際に用いられたユーザＩＤを所有する正当なユーザが、ログアウトをかけられてしまうと、一定期間、コンピュータシステムを利用できなくなることに着目して、攻撃者が特定ユーザのユーザＩＤを利用して不正ログインを試みてわざとロックアウト状態に陥らせることによって、当該ユーザのコンピュータシステム利用を不可能にする攻撃を受けるおそれがある。
【０００７】
本発明の目的は、パスワード総当たり攻撃に対し、従来のロックアウト方式よりも正当なユーザにとってより利便性の高いコンピュータシステムの防御方式を提供することにある。
【０００８】
【課題を解決するための手段】
前記目的を達成するために、本発明では、入力されたパスワードを解析して攻撃者による攻撃であるかどうかを判定し、攻撃者に対してはパスワード試行を何回か行わせた後、攻撃者が不正なパスワードを入力した際には、該攻撃者が攻撃対象とするコンピュータ（サーバ）とは異なるコンピュータ（偽サーバ）にログインさせる（以下、疑似ログインと呼ぶ）方式を採用する。攻撃者が疑似ログインにかかる時間の分、攻撃者が正しいパスワードを解くまでにかかる時間を長くすることができる。また、攻撃者による攻撃を受けている間も、正当なユーザは正しいパスワードを入力することによって、コンピュータシステムの本来のサーバを利用することができる。さらに、本発明では、偽サーバにログインさせた際に攻撃者が入力したユーザＩＤ及びパスワード（疑似ログイン情報）を記憶しておき、該攻撃者が同じコンピュータＩＤおよびパスワードを用いて、再びコンピュータシステムへ侵入を試みた場合には、直ちに偽サーバにログインさせるようにする。
【０００９】
【発明の実施の形態】
以下、本発明の一実施形態について図面を用いて説明する。
図１は、本発明の一実施形態におけるシステム構成のブロック図を示す。図において、コンピュータシステム１００は、インターネットなどのネットワーク１４０を通してクライアント１５０と結ばれている。クライアント１５０は、ネットワーク１４０上に多数存在するが、図１では便宜上、１台のみを示す。
【００１０】
コンピュータシステム１００は、クライアント１５０のユーザに対して各種データやアプリケーションプログラムなどを提供するシステムであり、ゲートウェイ１１０、サーバ１２０、および偽サーバ１３０から構成されている。ゲートウェイ１１０は、ログイン処理、ルーティング、攻撃者行動解析、および攻撃者行動制限を行うコンピュータであり、ゲートウェイ制御部１１１、パスワード格納部１１２、誤入力パターン格納部１１３、カウンタ１１４、制限行動パターン格納部１１５、および疑似ログイン情報格納部１１６を持つ。ゲートウェイ制御部１１１は、ログイン、ルーティング、攻撃者行動解析、および攻撃者行動制限などの一連の処理を制御するためのものである。パスワード格納部１１２は、コンピュータシステム１００のサーバ１２０を利用する権限を持つすべてのユーザのパスワードをユーザＩＤと対応付けて格納するためのものである。誤入力パターン格納部１１３は、パスワードの入力誤りのパターンを格納するためのものである。カウンタ１１４は、攻撃者による攻撃の回数をカウントしておくためのものであり、本実施形態では、各ユーザごとに用意するものとする。制限行動パターン格納部１１５は、攻撃者に対して偽サーバ１３０内において制限をかける行動のパターン（以下、制限行動パターンと呼ぶ）を格納するためのものである。疑似ログイン情報格納部１１６は、疑似ログイン情報を格納するためのものである。
【００１１】
図２は、疑似ログイン情報格納部１１６に格納されている疑似ログイン情報の例を示す図である。図２に示した例では、過去にコンピュータシステム１００が攻撃者に対して疑似ログインを行わせた際、攻撃者が入力したユーザＩＤおよびパスワードが格納されている。疑似ログイン情報は、コンピュータシステム１００への侵入に成功したと思い込んだ攻撃者が、前回の攻撃の際に用いたのと同じユーザＩＤおよびパスワードを用いて、再びコンピュータシステム１００へ侵入を試みる場合、ゲートウエイ１１０が当該攻撃者に対して再度疑似ログインを行わせるために使用される。
【００１２】
図１に戻り、サーバ１２０は、ユーザに対して各種のアプリケーションプログラムなどを提供するコンピュータであり、コンピュータシステム１００における各種の重要な情報が格納されている。図３は、サーバ１２０に格納されている情報の例を示す図である。図３に示した例では、コンピュータシステム１００が管理する顧客の氏名と電話番号が格納されている。
【００１３】
偽サーバ１３０は、攻撃者に対して疑似ログインを行わせ、各種アプリケーションプログラムなどを提供するためのコンピュータであり、一見コンピュータシステム１００における重要な情報であるかのように見える各種の偽情報が格納されている。図４は、偽サーバ１３０に格納されている偽情報の例を示す図である。図４に示した例では、あたかも図３の如く、顧客の偽の氏名と電話番号が格納されている。
【００１４】
クライアント１５０は、ユーザがコンピュータシステム１００を遠隔地から利用するためのクライアントコンピュータであり、入力部１５１、クライアント制御部１５２、および表示部１５３を持つ。入力部１５１は、ユーザが情報を入力するためのものであり、具体的にはキーボードやマウスなどがあげられる。クライアント制御部１５２は、クライアント１５０からのログインに伴う一連の処理を制御するためのものである。表示部１５３は、ユーザに対して情報を表示するためのものであり、具体的にはディスプレイが例としてあげられる。
【００１５】
本実施形態では、ユーザがクライアント１５０を使用して、遠隔地からコンピュータシステム１００のサーバ１２０にログインする状況を対象としている。
【００１６】
図５は、本実施形態におけるログイン処理の全体的フローチャートを示すものである。以下、これにしたがって説明する。
コンピュータシステム１００のサーバ１２０を遠隔地から利用したいユーザは、クライアント１５０の入力部１５１から、サーバ１２０へのログイン要求を入力する（ステップ５０１）。ログイン要求が入力されると、クライアント制御部１５２は、該ログイン要求をコンピュータシステム１００へ送信する（ステップ５０２）。コンピュータシステム１００では、ログイン要求をネットワーク１４０を経由して受信すると、ゲートウェイ制御部１１１が、パスワードを暗号化するための鍵であるセッション鍵を生成する（ステップ５０３）。セッション鍵は、ログイン要求のたびに毎回異なる値をランダムに生成するようにする。セッション鍵を生成すると、ゲートウェイ制御部１１１は、該セッション鍵およびログイン画面情報をクライアント１５０へ送信する（ステップ５０４）。クライアント１５０側では、セッション鍵およびログイン画面情報をネットワーク１４０を経由して受信すると、クライアント制御部１５２が、ログイン画面情報に基づいてログイン画面を表示部１５３に表示する（ステップ５０５）。
【００１７】
図６は、ステップ５０５においてクライアント１５０の表示部１５３に表示されるログイン画面の一例を示している。図において、６０１はユーザＩＤ入力領域、６０２はパスワード入力領域である。
【００１８】
ログイン画面が表示されると、ユーザは、あらかじめ定められたユーザＩＤとパスワードを入力部１５１から入力する（ステップ５０６）。ユーザＩＤとパスワードが入力されると、クライアント制御部１５２は、所定の暗号アルゴリズムを用いて、該パスワードを受信したセッション鍵で暗号化する（ステップ５０７）。なお、暗号アルゴリズムは、本発明で問うところのものではなく、任意のアルゴリズムでよい。パスワードを暗号化すると、クライアント制御部１５２は、先に入力されたユーザＩＤおよび暗号化されたパスワードをコンピュータシステム１００へ送信する（ステップ５０８）。
【００１９】
コンピュータシステム１００では、ユーザＩＤおよび暗号化パスワードをネットワーク１４０を経由して受信すると、ゲートウェイ制御部１１１にて、ユーザＩＤおよびパスワードの正当性を判定して、正当である場合には、当該ユーザに対してサーバ１２０へのログインを許可し、正当でない場合には該ログインを不許可とする（ステップ５０９）。
【００２０】
図７は、図５のステップ５０９の詳細を示すフローチャートである。ユーザＩＤおよび暗号化パスワードをネットワーク１４０を経由して受信すると、ゲートウェイ制御部１１１は、該暗号化パスワードをセッション鍵で復号する（ステップ７０１）。暗号化パスワードを復号すると、ゲートウェイ制御部１１１は、受信されたユーザＩＤに対応する正当なパスワードをパスワード格納部１１２から取り出し、復号したパスワードが、当該正当なパスワードと一致するかどうかを比較する（ステップ７０２）。パスワード格納部１１２内のパスワードは、所定の暗号アルゴリズムによって暗号化されており、外部のユーザが解読できないように保護されている。ステップ７０２において、パスワードが一致する場合、ゲートウェイ制御部１１１は、ログイン要求をしてきたユーザをサーバ１２０を利用する権限を持つ正当なユーザであるとみなし、該ユーザがサーバ１２０にログインすることを許可する（ステップ７０７）。ログインを許可すると、ゲートウェイ制御部１１１は、該ユーザのユーザＩＤをサーバ１２０へ送信し、クライアント１５０とサーバ１２０との間の通信を中継する。
【００２１】
図８は、図７のステップ７０７におけるログイン成功画面の例を示す図である。ログインを許可されたユーザは、クライアント１５０からネットワーク１４０を通じて、コンピュータシステム１００のサーバ１２０が提供する各種データやアプリケーションプログラムなどを、前記ユーザが持つ権限の範囲内で利用することができる。
【００２２】
一方、ステップ７０２において、パスワードが一致しない場合、ゲートウェイ制御部１１１は、疑似ログイン情報格納部１１６から疑似ログイン情報を取り出し、受信したユーザＩＤおよび復号したパスワードが、該疑似ログイン情報内のユーザＩＤおよびパスワードと一致するかどうかを比較する（ステップ７０３）。ステップ７０３において、パスワードが一致する場合、ステップ７１１に進んで疑似ログイン処理を行う。これの詳細は後述する。
【００２３】
ステップ７０３において、パスワードが一致しない場合、ゲートウェイ制御部１１１は、誤入力パターン格納部１１３から誤入力パターンを取り出し、復号したパスワードが正当なパスワードの誤入力パターンと一致するかどうかを比較する（ステップ７０４）。
【００２４】
図９は、誤入力パターン格納部１１３に格納されている誤入力パターンの例を示す図である。図９に示した例では、正しいパスワードの誤入力パターンとして、９０１の「間違えて隣のキーを打ってしまう」、９０２「大文字と小文字を間違える」、および、９０３の「間に余計なキーを打ってしまう」など、正しいパスワードを知っている正当なユーザが誤って入力する場合として考えられるパターンがあげられている。
【００２５】
図１０は、図７のステップ７０４における誤入力パターン一致判定の例を示す図である。図１０に示す例では、正しいパスワードは「ｋｏｎ２ｃｈｉ＝」であり、復号したパスワードは「ｋｏｍ２ｃｈｉ」となっている。この場合、正しいパスワードと復号したパスワードとの違いは、３文字目の「ｎ」と「ｍ」の部分だけである。通常、コンピュータのキーボードの配列では、「ｎ」のキーと「ｍ」のキーは隣同士になっている。よってこの例の場合においては、ゲートウェイ制御部１１１は、図９の誤入力パターンのうちの、９０１の「間違えて隣のキーを打ってしまう」に一致するものと判定する。
【００２６】
ステップ７０４において、誤入力パターンと一致する場合、ゲートウェイ制御部１１１は、サーバ１２０を利用する権限を持つ正当なユーザがパスワードを誤って入力したものとみなし、ログイン失敗画面情報をクライアント１５０へ送信して、ユーザがサーバ１２０にログインすることを拒絶する。
【００２７】
クライアント１５０では、ログイン失敗画面情報をネットワーク１４０を経由して受信すると、クライアント制御部１５２は、ログイン失敗画面情報に基づいてログイン失敗画面を表示部１５３に表示する（ステップ７０８）。図１１は、ステップ７０８におけるログイン失敗画面の例を示す。ログイン失敗画面が表示されると、ユーザは、あらためてユーザＩＤとパスワードを入力部１５１から入力する。すなわち、図５のステップ５０６から処理を再開する。
【００２８】
図７に戻り、ステップ７０４において、誤入力パターンと一致しない場合、ゲートウェイ制御部１１１は、攻撃者が総当たり攻撃においてパスワードをランダムに入力したものとみなし、該攻撃者が用いたユーザＩＤに対応するカウンタ１１４の値に１を加える（ステップ７０５）。カウンタ１１４の値を加算すると、ゲートウェイ制御部１１１は、該カウンタ１１４の値が各ユーザごとにあらかじめ設定しておいたしきい値Ｎｕに達しているかどうかを判定する（ステップ７０６）。カウンタ１１４の値がＮｕに達していない場合は、ステップ７０８に進み、ゲートウェイ制御部１１１はログインを拒絶する。カウンタ１１４の値がＮｕに達している場合は、ゲートウェイ制御部１１１は、攻撃者が用いたユーザＩＤおよび復号後パスワード等から構成される疑似ログイン情報を、疑似ログイン情報格納部１１６へ追加し（ステップ７０９）、すべてのユーザについてカウンタ１１４の値を０にクリアした後（ステップ７１０）、該攻撃者がログインを要求しているサーバ１２０とは異なる、偽サーバ１３０にログインすることを許可する（ステップ７１１）。ログインを許可すると、ゲートウェイ制御部１１１は、前記攻撃者が用いたユーザＩＤを偽サーバ１３０へ送信し、クライアント１５０と偽サーバ１３０との間の通信を中継して、該攻撃者の行動を監視する。
【００２９】
以上説明したように、ゲートウェイ制御部１１１は、正当なユーザが関与するクライアントとサーバ１２０の通信と、攻撃者が関与するクライアントと偽サーバ１３０の通信との両方を中継する。ゲートウェイ制御部１１１は、中継している通信に関与している者が正当なユーザであるか、あるいは攻撃者であるかを、擬似ログイン情報格納部１１６の擬似ログイン情報で把握できる。ゲートウェイ制御部１１１は、正当なユーザが関与する通信に対しては、中継の際に特に制限を設けない。
【００３０】
図１２は、図７のステップ７１１における疑似ログイン画面の一例を示す。図１２は、図８のログイン成功画面と一見変わらないものである。ログインを許可された攻撃者は、クライアントからネットワーク１４０を通じて、コンピュータシステム１００の偽サーバ１３０が提供する各種データやアプリケーションプログラムなどを、後述の制限行動パターンに触れない範囲で利用することができる。よって、当分の間は攻撃者に対してあたかもサーバ１２０のログインに成功したかのように思い込ませることができる。
【００３１】
ここで、しきい値Ｎｕを設定する理由を説明する。正当なユーザに対しては、ログイン時に正しいパスワードを入力しようとすることを当然期待できるが、正当なユーザがログイン時に正しいパスワードとは無関係な文字列を入力してしまう可能性を完全には否定できない。このため、ステップ７０４において、たとえ誤入力パターンと一致しないからといって即座に疑似ログインを行わせてしまうと、正当なユーザに対して、偽サーバ１３０にログインさせてしまう可能性がある。また、攻撃者に対しては、一回目の攻撃でログインが成功したように見せかけることになるため、攻撃者に完全に怪しまれてしまう。よって、ある程度大きなしきい値Ｎｕを設定する必要がある。しかしながら、しきい値Ｎｕをあまり大きくし過ぎると、前記しきい値Ｎｕに達する前に攻撃者が正しいパスワードを当ててしまい、サーバ１２０にログインしてしまう可能性が高くなる。しきい値Ｎｕを設定する際には、このような事情を勘案した上で適切な値を設定すべきである。
【００３２】
次に、ステップ７１０において、カウンタ１１４の値をすべてのユーザについてクリアする理由を説明する。ある攻撃者が疑似ログインを行った後、該攻撃者とは別の攻撃者がコンピュータシステム１００へ侵入を試みる可能性が考えられる。このとき、カウンタ１１４の値をすべてのユーザについてクリアしておかないと、後から侵入を試みる攻撃者は、しきい値Ｎｕ以下の回数のパスワード試行で疑似ログインできてしまう。このため、カウンタ１１４の値をすべてのユーザについてクリアする必要がある。
【００３３】
上で述べた複数の攻撃者に対処する方法としては、カウンタ１１４を攻撃者ごとに用意することも考えられる。一般的に、コンピュータシステムに対する複数の攻撃が同一の者による攻撃か、あるいは別々の者による攻撃かを判別することは難しいが、判別法の例としては、同一のＩＰアドレスから行われた攻撃を同一者からの攻撃とみなす方法や、同一時間帯に行われた攻撃を同一者からの攻撃とみなす方法が挙げられる。
【００３４】
また、攻撃側は、複数の攻撃者が同一時間帯に、それぞれ異なるＩＤを利用して一斉に攻撃をかけてくることが想定される（グループ攻撃）。これに対処するには、カウンタ１１４に各ユーザに共通のカウンタを用意し、複数の攻撃者による一定時間内の不正パスワード入力回数を該カウンタでカウントし、該カウント値が所定の値に達した場合にグループ攻撃と判断して偽サーバ１３０にログインを許可するようにする。あるいは、コンピュータシステム１００を一定期間ロックアウトする。
【００３５】
次に、図７のステップ７１１における疑似ログイン後の攻撃者の行動監視について詳述する。図１３は、この擬似ログイン後の攻撃者の行動監視の処理を示すフローチャートである。
【００３６】
擬似ログインした攻撃者は、クライアント１５０の入力部１５１から、コンピュータシステム１００のサーバ１２０を対象にコマンドを入力する（ステップ１３０１）。コマンドが入力されると、クライアント制御部１５２は、該コマンドをコンピュータシステム１００へ送信する（ステップ１３０２）。
【００３７】
コンピュータシステム１００では、クライアント１５０からコマンドをネットワーク１４０を経由して受信すると、ゲートウェイ制御部１１１は、該コマンドを解析し、該コマンドによって攻撃者が行おうとする行動が、制限行動パターン格納部１１５に格納されている制限行動パターンと一致するかどうかを比較する（ステップ１３０３）。
【００３８】
図１４は、制限行動パターン格納部１１５に格納されている制限行動パターンの例を示す図である。図１４に示した例では、制限行動パターンとして、１４０１の「特権ユーザになろうとする」、および１４０２の「他のコンピュータにログインしようとする」などの、攻撃者に対して偽サーバ１３０内において制限をかける行動のパターンがあげられている。なお、制限行動パターンは、コンピュータシステム１００内のセキュリティポリシーに応じて設定する。
【００３９】
図１５は、図１３のステップ１３０３における制限行動パターン一致判定の一例を示す図である。図１５に示す例では、ゲートウェイ制御部１１１は、「ｓｕ」というコマンドを受信すると、該コマンドを解析して、図１４の制限行動パターンのうちの、１４０１の「特権ユーザになろうとする」の一致するものと判定している。
【００４０】
図１３に戻り、ステップ１３０３において、制限行動パターンと一致する場合、ゲートウェイ制御部１１１は、入力されたコマンドを偽サーバ１３０に中継することなく、該コマンドに応じたコマンド失敗応答をクライアント１５０へ返す。クライアント１５０では、コマンド失敗応答をネットワーク１４０を経由して受信すると、クライアント制御部１５２は、該コマンド失敗応答に基づいてコマンド失敗画面を表示部１５３に表示する（ステップ１３０４）。
【００４１】
図１６は、ステップ１３０３において、図１４の制限行動パターンの「特権ユーザになろうとする」１４０１に一致した場合の、ステップ１３０４におけるコマンド失敗画面の例を示す図である。図１６に示した例では、攻撃者が特権ユーザになろうとしてコマンドとパスワードを入力したものの、該特権ユーザになることに失敗した状況が表わされている。
【００４２】
なお、本実施形態におけるコンピュータシステム１００では、ユーザが遠隔地にあるクライアント１５０から特権ユーザのユーザＩＤとパスワードを入力して直接ログインすることを禁止するものとする。
【００４３】
図１７は、ステップ１３０３において、図１４の制限行動パターンの「他のコンピュータにログインしようとする」１４０２に一致した場合の、ステップ１３０４におけるコマンド失敗画面の例を示す図である。図１７に示した例では、攻撃者が他のコンピュータにログインしようとしてコマンドを入力したものの、何の応答も返ってこない状況が表わされている。図１７に示したように、攻撃者が入力したコマンドによっては、クライアント１５０に何の応答も返ってこない場合がある。すなわち、ステップ１３０４におけるコマンド失敗応答には、ゲートウェイ制御部１１１がクライアント１５０へ何の応答も返さない場合も含んでいる。
【００４４】
再び図１３に戻り、ステップ１３０３において、制限行動パターンと一致しない場合、ゲートウェイ制御部１１１は、受信したコマンドを偽サーバ１３０へ中継する（ステップ１３０５）。
以上で説明したように、コンピュータシステム１００は、攻撃者に対しては疑似ログインを行わせて、偽サーバ１３０が提供する各種データやアプリケーションプログラムなどを、制限行動パターンに触れない範囲で自由に利用させる。コンピュータシステム１００内における重要な情報はサーバ１２０の方に格納してあり、かつコンピュータシステム１００内のセキュリティポリシーに応じた制限行動パターンを設定してあるので、コンピュータシステム１００が疑似ログインをさせた攻撃者によって致命的な被害を受けることはない。
【００４５】
侵入に成功したと思い込んだ攻撃者は、前回の攻撃の際に用いたのと同じユーザＩＤおよびパスワードを用いて、再度、コンピュータシステム１００へ侵入を試みることが考えられる。その場合、コンピュータシステム１００は、図７のステップ７０３からステップ７１１を経由して、攻撃者に対して再び疑似ログインを行わせることになる。しかしながら、やがて攻撃者は自分が侵入しているコンピュータが攻撃目標であるサーバ１２０ではないことに気付き、一旦ログアウトして再びユーザＩＤおよびパスワードを変えて総当たり攻撃を仕掛けてくるかもしれない。そのときは、疑似ログインに用いるしきい値Ｎｕと、偽サーバ１３０に格納する偽情報の内容を変えておく。さらに、疑似ログイン情報格納部１１６に格納してある疑似ログイン情報の内容を消去し、以前の疑似ログイン時のユーザＩＤおよびパスワードでは再び疑似ログインできないようにしておく。
【００４６】
しきい値Ｎｕを変えておかないと、攻撃者は前回と同じ回数のパスワード試行でログインすることになり、疑似ログインさせられていることが簡単に判明してしまう。また、以前の疑似ログイン時のユーザＩＤおよびパスワードで再び疑似ログインできたままにしておくのも問題がある。攻撃者はＮｕ回のパスワード入力によって疑似ログインした場合でも、以前の疑似ログイン時のパスワードを入力することで疑似ログインした場合でも、どちらでも偽サーバ１３０内の偽情報を閲覧できることになる。攻撃者は前記攻撃を両方試みることによって、どちらの場合でもログイン先のコンピュータ内の情報が同一の内容であることを確認できるため、やはり疑似ログインさせられていることが判明してしまう。しきい値Ｎｕと偽情報の内容を変え、以前の疑似ログイン時のユーザＩＤおよびパスワードでは再び疑似ログインできないようにしておけば、再び偽サーバ１３０に疑似ログインしてきた攻撃者は疑心暗鬼に陥り、自分がログインしたコンピュータが本物のサーバ１２０かどうかわからなくなることが期待できる。このようにして、パスワードの総当たり攻撃を仕掛けてくる攻撃者に対して、パスワードを解くまでの時間を稼ぐことができる。
【００４７】
以上、本発明の一実施の形態について説明したが、本発明の疑似ログイン方式は、従来のロックアウト方式と併用することも可能である。併用した場合、どちらかの方式を単独で採用した場合に比べて、攻撃者は、疑似ログインあるいはロックアウトにかかる時間の分だけパスワードを解くのに時間がかかることになる。このため、コンピュータシステムがより安全になるものと考えられる。
【００４８】
【発明の効果】
以上説明したように、本発明によれば、コンピュータシステムを不正に利用しようとする攻撃者が総当たり攻撃によってパスワードを解くまでの時間を長くし、かつ、正当なユーザが攻撃者の攻撃に妨げられることなくコンピュータシステムを利用することができる。
【図面の簡単な説明】
【図１】本発明のの一実施形態におけるシステム構成のブロック図である。
【図２】図１の疑似ログイン情報格納部に格納されている疑似ログイン情報の一例を示す図である。
【図３】図１のサーバに格納されている情報の一例を示す図である。
【図４】図１の偽サーバ１３０に格納されている偽情報の一例を示す図である。
【図５】本発明の一実施形態におけるログイン処理の全体的フローチャートである。
【図６】図５のステップ５０５におけるログイン画面の一例を示す図である。
【図７】図５のステップ５０９の詳細を示すフローチャートである。
【図８】図７のステップ７０７におけるログイン成功画面の一例を示す図である。
【図９】図１の誤入力パターン格納部１１３に格納されている誤入力パターンの一例を示す図である。
【図１０】図７のステップ７０４における誤入力パターン一致判定の一例を示す図である。
【図１１】図７のステップ７０８におけるログイン失敗画面の一例を示す図である。
【図１２】図７のステップ７１１における疑似ログイン画面の一例を示す図である。
【図１３】図７のステップ７１１における疑似ログイン後の攻撃者行動監視の処理を示すフローチャートである。
【図１４】図１の制限行動パターン格納部１１５に格納されている制限行動パターンの一例を示す図である。
【図１５】図１３のステップ１３０３における制限行動パターン一致判定の一例を示す図である。
【図１６】図１３のステップ１３０４におけるコマンド失敗画面の一例を示す図である。
【図１７】図１３のステップ１３０４におけるコマンド失敗画面の他の例を示す図である。
【符号の説明】
１００  コンピュータシステム
１１０  ゲートウェイ
１１１  ゲートウェイ制御部
１１２  パスワード格納部
１１３  誤入力パターン格納部
１１４  カウンタ
１１５  禁止行動パターン格納部
１１６  疑似ログイン情報格納部
１２０  サーバ
１３０  偽サーバ
１４０  ネットワーク
１５０  クライアント
１５１  入力部
１５２  クライアント制御部
１５３  表示部
【図１】
0003841259.tif 000002
【図２】
0003841259.tif 000003
【図３】
0003841259.tif 000004
【図４】
0003841259.tif 000005
【図５】
0003841259.tif 000006
【図６】
0003841259.tif 000007
【図７】
0003841259.tif 000008
【図８】
0003841259.tif 000009
【図９】
0003841259.tif 000010
【図１０】
0003841259.tif 000011
【図１１】
0003841259.tif 000012
【図１２】
0003841259.tif 000013
【図１３】
0003841259.tif 000014
【図１４】
0003841259.tif 000015
【図１５】
0003841259.tif 000016
【図１６】
0003841259.tif 000017
【図１７】
0003841259.tif 000018