(57)【特許請求の範囲】
【請求項１】
中継コンピュータを介してアクセス先コンピュータにアクセスしたアクセス元コンピュータを前記中継コンピュータに蓄積した接続情報を取得して探索するアクセス追跡装置であって、前記接続情報は接続元コンピュータの識別子、接続先コンピュータの識別子および接続時刻情報を有し、該アクセス追跡装置は、
ネットワークに流れる情報を監視し不正アクセスを検知するネットワーク監視部、並びに前記ネットワーク監視部が不正アクセスを検知したときおよび任意時刻に前記追跡コンピュータにアクセス元の探索を指示する追跡要求部を備えたセキュリティ管理装置と、
該セキュリティ管理装置の指示を受け、接続情報を問い合わせるべき問い合わせ先中継コンピュータを決定し、決定した問い合わせ先中継コンピュータの接続元コンピュータの情報を前記接続情報に基づいて収集する追跡コンピュータからなることを特徴とするアクセス追跡装置。
【請求項２】
請求項１に記載のアクセス追跡装置において、前記中継コンピュータは接続時刻情報を含む接続情報を自己の署名を付して蓄積することを特徴とするアクセス追跡装置。
【請求項３】
請求項１に記載のアクセス追跡装置において、前記追跡コンピュータは収集した接続時刻情報を含む接続情報および該接続情報をもとに探索したアクセス元情報を自己の署名を付して蓄積することを特徴とするアクセス追跡装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明はアクセス追跡装置にかかり、特に不正アクセス等があったときアクセス元コンピュータを追跡するアクセス追跡装置に関する。
【０００２】
【従来の技術】
近年、インターネットは急速に普及しており、インターネットに接続するサーバ数も急増している。これに伴い、インターネットを使用した不正アクセスに関する報告も急速に増加している。これら不正アクセスは、これからのインターネットを使用した電子商取引等において多大な脅威となる。このため不正アクセス者を特定することにより不正アクセスを抑止する技術が必要不可欠となっている。  セキュリティ管理に関する技術として「特願平６−４７１９４  セキュリティ管理装置」が知られている。この技術は不正アクセスを検知した際に、セキュリティレポートを作成し、これらを統合的に分析してシステムの脆弱性を診断する技術である。また、侵入検出システムに関する論文として「モバイルエージェントによる侵入検出システムのための情報収集方式，電子情報通信学会論文誌，Ｖｏｌ．Ｊ８１−Ｄ−Ｉ  Ｎｏ．５，  ｐｐ．５３２−５３９，  １９９８．」が知られている。この技術は不正アクセスの検知を起因にして追跡を行なう技術である。しかし、これらの技術はいずれも不正アクセスの検知を起因として追跡を行う技術であり、不正アクセスが検知されないと追跡は行われない。
【０００３】
【発明が解決しようとする課題】
一般に、インターネットにおける接続では、ある接続に関して接続先からは、一つ前の接続元の情報しか知ることができない。このため、不正アクセス者が中継コンピュータ、すなわち踏み台となるコンピュータを介してアクセスした場合、あるいはプロクシサーバを介してアクセスした場合は、不正アクセスを検知しても不正アクセス者の接続元を容易には特定しえない。また、不正アクセス者が前記踏み台としたコンピュータあるいはプロクシサーバのログを改竄した場合は接続元の特定は不可能となる。
【０００４】
本発明は前記問題点に鑑みてなされたもので、不正アクセス者がプロクシサーバ等の中継コンピュータを介してアクセスした場合においてもアクセス元を特定できるアクセス追跡装置を提供する。また、任意あるいは定期的に接続元を追跡することによって、アクセス元の監査を可能とするアクセス追跡装置を提供する。
【０００５】
【課題を解決するための手段】
本発明は、上記の課題を解決するために次のような手段を採用した。
【０００６】
中継コンピュータを介してアクセス先コンピュータにアクセスしたアクセス元コンピュータを前記中継コンピュータに蓄積した接続情報を取得して探索するアクセス追跡装置であって、前記接続情報は接続元コンピュータの識別子、接続先コンピュータの識別子および接続時刻情報を有し、該アクセス追跡装置は、
ネットワークに流れる情報を監視し不正アクセスを検知するネットワーク監視部、並びに前記ネットワーク監視部が不正アクセスを検知したときおよび任意時刻に前記追跡コンピュータにアクセス元の探索を指示する追跡要求部を備えたセキュリティ管理装置と、
該セキュリティ管理装置の指示を受け、接続情報を問い合わせるべき問い合わせ先中継コンピュータを決定し、決定した問い合わせ先中継コンピュータの接続元コンピュータの情報を前記接続情報に基づいて収集する追跡コンピュータからなる。
【０００７】
【発明の実施の形態】
以下に本発明の実施形態を図１ないし図１２を用いて説明する。図１は本発明の実施形態にかかるアクセス追跡装置を示す図である。図において、１００は不正アクセス者等のアクセス者が操作するアクセス元コンピュータ、１０１はアクセス者がアクセスの対象としたアクセス先コンピュータ、１０２はネットワーク、１１０はアクセス者が対象コンピュータにアクセスする際の中継基地として利用する中継コンピュータである。１１１は取得した接続情報に必要に応じてデジタル署名を付与する署名装置、１１２は接続情報を保管する接続情報保管部、１１３は時刻情報を管理する時刻管理部、１１４は中継コンピュータ１１０接続相手先を表す接続情報を取得する接続情報取得部、１１５は追跡コンピュータ１２０からの接続情報問い合わせを処理する接続情報問い合わせ処理部である。
【０００８】
１２０は前記中継コンピュータの接続情報収集し、収集した情報を解析してアクセス元コンピュータを追跡した追跡情報を生成する追跡コンピュータ、１２１は生成した追跡情報に必要に応じてデジタル署名を付与する署名装置、１２２は生成した追跡情報を保管する追跡情報保管部、１２３は中継コンピュータに接続情報を問い合わせて接続情報を収集する接続情報問い合わせ部、１２４は追跡処理部１２５からの追跡要求に基づき問い合わせ中継コンピュータを指定する追跡要求処理部、１２５は追跡要求処理部１２４が指定した問い合わせ先中継コンピュータに、接続情報問い合わせ部１２３を介して順次接続情報を問い合わせる追跡処理部である。
【０００９】
１３０はセキュリティ管理装置、１３１はネットワークに流れる情報を監視し不正アクセスを検知するネットワーク監視部、１３２はネットワーク監視部１３１の指示に基づき、あるいは任意時刻または定期的に追跡コンピュータにアクセス元の追跡を要求する追跡要求部。１３３は時刻管理部である。
【００１０】
図２はアクセス元を追跡する過程を示す図、図３はアクセス元を追跡する過程を示すシーケンス図である。なお、これらの図において図１に示される部分と同一部分については同一符号を付してその説明を省略する。まず、アクセス元コンピュータ１００は、接続２０１を介して第１の中継コンピュータ１１０ａに接続し、接続２０２を介して第２の中継コンピュータ１１０ｂに接続し、接続２０３を介してアクセス先コンピュータに接続する。また、第１の中継コンピュータ１１０ａおよび第２の中継コンピュータ１１０ｂは中継接続に際して接続情報を取得し保管する。
【００１１】
次に、セキュリティ管理装置１３０は接続２０３に流れる情報を監視線２０４を用いて抽出することによりネットワークを監視し、不正アクセスを検知すると追跡コンピュータ１２０に対して接続２０３の接続元情報を提示して追跡要求２０５を行う。また、セキュリティ管理装置１３０は任意あるいは定期的に追跡コンピュータ１２０に対して同様に追跡要求２０５を行うことができる。
【００１２】
次いで、追跡コンピュータ１２０は接続２０３の接続元情報に基づき接続２０３の接続元である第２の中継コンピュータ１１０ｂに接続情報問合せ要求２０６ｂを行い、第２の中継コンピュータ１１０ｂは接続２０２の接続元情報を含む接続情報問合せ応答２０７ｂを返す。
【００１３】
次いで、追跡コンピュータ１２０は接続２０２の接続元情報に基づき接続２０２の接続元である第１の中継コンピュータ１１０ａに接続情報問合せ要求２０６ａを行い、第１の中継コンピュータ１１０ａは接続２０１の接続元情報を含む接続情報問合せ応答２０７ａを返す。
【００１４】
次いで、追跡コンピュータ１２０は接続２０１の接続元情報であるアクセス元情報を含む追跡結果を追跡情報２０８としてセキュリティ管理装置１３０に返す。
【００１５】
図４はデータ構成を示す図であり、図（ａ）は中継コンピュータが蓄積する接続情報を示す図あり、接続情報は時刻情報、接続元ＩＰアドレス、接続元ポート番号、接続先ＩＰアドレス、接続先ポート番号、プロセスＩＤからなる。図（ｂ）は追跡情報の例を示す図であり、追跡情報は時刻情報、追跡情報を要求した接続先コンピュータＩＰアドレス、アクセス元情報、各中継コンピュータのＩＰアドレス、各中継コンピュータ１１０のポート番号、これら情報に対する追跡コンピュータのデジタル署名、および追跡コンピュータの証明書からなる。追跡情報を受領した者は前記デジタル署名を検証することにより追跡情報が改竄されたか否かを確認することができる。
【００１６】
図５は中継コンピュータによる接続情報の保管（署名なし）を示す図である。ステップ５０１において中継コンピュータ１１０が接続を検知すると、ステップ５０２において接続情報取得部１１４から接続情報を取得し、さらにステップ５０３において時刻管理部１１３から時刻情報を取得する。次いでステップ５０４において図４（ａ）に示す接続情報を作成し、ステップ５０５において該接続情報を接続情報保管部１１２に保管する。
【００１７】
図６は中継コンピュータによる接続情報の保管（署名付き）を示す図である。ステップ６０１において中継コンピュータ１１０が接続を検知すると、ステップ６０２において接続情報取得部１１４から接続情報を取得し、さらにステップ６０３において時刻管理部１１３から時刻情報を取得する。次いでステップ６０４において図４（ａ）に示す接続情報を作成し、ステップ６０５において署名装置１１１を用いて接続情報に署名を付す。ステップ６０６において署名付きの接続情報を接続情報保管部１１２に保管する。
【００１８】
図７は中継コンピュータにおける接続情報問い合わせ処理（署名なし）を示す図である。ステップ７０１において追跡コンピュータからの接続情報の問い合わせを受信する。ステップ７０２において追跡コンピュータからの接続情報に含まれる接続の一つ前の接続元情報を含む接続情報を接続情報保管部１１２から検索し、ステップ７０３において検索した接続情報を抽出する。ステップ７０４において抽出した接続情報をもとに接続応答情報を生成し、ステップ７０５において生成した接続応答情報を追跡コンピュータに向け送信する。
【００１９】
図８は中継コンピュータにおける接続情報問い合わせ処理（署名付き）を示す図である。ステップ８０１において追跡コンピュータからの接続情報の問い合わせを受信する。ステップ８０２において追跡コンピュータからの接続情報に含まれる接続の一つ前の接続元情報を含む接続情報を接続情報保管部１１２から検索し、ステップ８０３において検索した接続情報を抽出する。ステップ８０４において検索した接続情報に含まれる署名を署名装置１１１用いて検定し、前記接続情報に対する改竄の有無を検定する。ステップ８０５において抽出した接続情報をもとに接続応答情報を生成し、ステップ８０６において生成した接続応答情報を追跡コンピュータに向け送信する。
【００２０】
図９は追跡コンピュータによる追跡処理（署名なし）を示す図である。ステップ９０１においてセキュリティ管理装置１３０から追跡要求を受信する。ステップ９０２において、追跡要求に含まれる接続の一つ前の接続の接続元情報をもとに問い合わせ先の中継コンピュータを決定する。ステップ９０３において決定した中継コンピュータに対する問い合わせ要求を作成し、ステップ９０４において作成した問い合わせ要求を送信する。ステップ９０５において問い合わせに対する応答を受信する。ステップ９０６において問い合わせ応答に含まれる一つ前の接続元情報を解析する。ステップ９０７において前記問い合わせ応答に含まれる接続の接続元にさらに問い合わせ要求を送信するか否かを判定する。送信要求を送信する場合はステップ９０２に進み、そうでない場合はステップ９０８に進む。ステップ９０８において、問い合わせ応答をもとに図４（ｂ）に示す追跡情報を生成し、ステップ９０９において追跡コンピュータ１２０に送信する。
【００２１】
図１０は追跡コンピュータによる追跡処理（署名なし）を示す図である。ステップ１００１においてセキュリティ管理装置１３０から追跡要求を受信する。ステップ１００２において、追跡要求に含まれる接続の一つ前の接続の接続元情報をもとに問い合わせ先の中継コンピュータを決定する。ステップ１００３において決定した中継コンピュータに対する問い合わせ要求を作成し、ステップ１００４において作成した問い合わせ要求を送信する。ステップ１００５において問い合わせに対する応答を受信する。ステップ１００６において問い合わせ応答に含まれる一つ前の接続元情報を解析する。ステップ１００７において前記問い合わせ応答に含まれる接続の接続元にさらに問い合わせ要求を送信するか否かを判定する。送信要求を送信する場合はステップ１００２に進み、そうでない場合はステップ１００８に進む。ステップ１００８において問い合わせ応答をもとに図４（ｂ）に示す追跡情報を生成し、生成した追跡情報に署名装置１２１を用いて署名を付す。ステップ１００９において署名を付した追跡情報を追跡情報保管部１２２に保管する。ステップ１０１０において、前記保管した追跡情報を追跡コンピュータ１２０に送信する。
【００２２】
図１１はセキュリティ管理装置の処理を示す図である。ステップ１１０１においてネットワーク監視部１３１はネットワークの接続２０３に流れる情報を監視し、ステップ１１０２において不正アクセスを検知すると、ステップ１１０３において時刻管理部１３３から時刻情報を取得する。ステップ１１０４において、前記時刻情報に接続２０３の接続元情報を付加して追跡要求情報を生成する。ステップ１１０５において前記追跡要求情報を追跡コンピュータに向け送信する。ステップ１１０６において追跡コンピュータから追跡情報を受信する。ステップ１１０７において受信した追跡情報を解析してアクセス元コンピュータを特定し、ステップ１１０９において追跡結果を表示する。
【００２３】
図１２は追跡結果の表示例を示す図であり、図（ａ）は識別子情報、図（ｂ）は接続情報を示す。図（ａ）において、１２０１は追跡コンピュータの追跡要求受付時刻、１２０２は追跡コンピュータの識別子、１２０３はセキュリティ管理装置の識別子である。図（ｂ）において、第１行はアクセス先コンピュータ、第２行は中継コンピュータ、第３行は第１の中継コンピュータ、第４行はアクセス元コンピュータの、それぞれアクセス時刻、ＩＰアドレス、ポート番号を示す。
【００２４】
以上説明したように本実施形態によれば、不正アクセス者がプロクシサーバ等の中継コンピュータを介してアクセスした場合においてもアクセス元を特定できる。また、任意あるいは定期的に接続元を追跡することによって、アクセス元の監査を可能とする。さらにデジタル署名を付すことにより情報の改竄を抑止することができる。
【００２５】
【発明の効果】
以上説明したように本発明によれば、アクセス元が中継コンピュータを介してアクセスした場合においてもアクセス元を特定することができる。
【図面の簡単な説明】
【図１】本発明の実施形態にかかるアクセス追跡装置を示す図である。
【図２】アクセス元を追跡する過程を示す図である。
【図３】アクセス元を追跡する過程を示すシーケンス図である。
【図４】データ構成を示す図である。
【図５】中継コンピュータによる接続情報の保管を示す図である。
【図６】中継コンピュータによる接続情報の保管を示す図である。
【図７】中継コンピュータによる接続情報問い合わせ処理を示す図である。
【図８】中継コンピュータによる接続情報問い合わせ処理を示す図である。
【図９】追跡コンピュータによる追跡処理を示す図である。
【図１０】追跡コンピュータによる追跡処理を示す図である。
【図１１】セキュリティ管理装置の処理を示す図である。
【図１２】追跡結果の表示例を示す図である。
【符号の説明】
１００  アクセス元コンピュータ
１０１  アクセス先コンピュータ
１０２  ネットワーク
１１０  中継コンピュータ
１１１  署名装置
１１２  接続情報保管部
１１３  時刻管理部
１１４  接続情報取得部
１１５  接続情報問い合わせ処理部
１２１  署名装置
１２２  追跡情報保管部
１２３  接続情報問い合わせ部
１２４  追跡要求処理部
１２５  追跡処理部
１３０  セキュリティ管理装置
１３１  ネットワーク監視部
１３２  追跡要求部
１３３  時刻管理部
【図１】
0003801432.tif 000002
【図２】
0003801432.tif 000003
【図３】
0003801432.tif 000004
【図４】
0003801432.tif 000005
【図５】
0003801432.tif 000006
【図６】
0003801432.tif 000007
【図７】
0003801432.tif 000008
【図８】
0003801432.tif 000009
【図９】
0003801432.tif 000010
【図１０】
0003801432.tif 000011
【図１１】
0003801432.tif 000012
【図１２】
0003801432.tif 000013