特開 2017-91407 不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】特開2017-91407(P2017-91407A)

(43)【公開日】2017年5月25日

(54)【発明の名称】不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20170421BHJP

   G06F 21/55 20130101ALI20170421BHJP

【ＦＩ】

   G06F21/62 318

   G06F21/55

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

【全頁数】15

(21)【出願番号】特願2015-224145(P2015-224145)

(22)【出願日】2015年11月16日

(71)【出願人】

【識別番号】507417422

【氏名又は名称】株式会社 ゆうちょ銀行

(74)【代理人】

【識別番号】100100549

【弁理士】

【氏名又は名称】川口 嘉之

(74)【代理人】

【識別番号】100113608

【弁理士】

【氏名又は名称】平川 明

(72)【発明者】

【氏名】佐々木 大輔

(57)【要約】

【課題】検知精度を高めた不正アクセス検知装置を提供する。
【解決手段】本不正アクセス検知装置は、不正プログラム実行端末判定手段、第１の取得手段、第２の取得手段および検知手段を備える。不正プログラム実行端末判定手段は、第１のアクセスを検知すると、第１のアクセスに基づいて第１のアクセスの送信元である第１の送信元端末において不正プログラムが実行されているか否かを判定する。第１の取得手段は、不正プログラム実行端末判定手段によって不正プログラムが実行されていると判定された第１の送信元端末からの第１のアクセスに含まれるパラメータから第１の特定情報を取得する。第２の取得手段は、第２のアクセスを検知すると、第２のアクセスに含まれるパラメータから第２の特定情報を取得する。検知手段は、第１の特定情報と第２の特定情報とが一致する場合、第２のアクセスを不正アクセスとして検知する。
【選択図】図３

【特許請求の範囲】

【請求項1】

第１のアクセスを検知すると、前記第１のアクセスに基づいて前記第１のアクセスの送信元である第１の送信元端末において不正プログラムが実行されているか否かを判定する不正プログラム実行端末判定手段と、
前記不正プログラム実行端末判定手段によって不正プログラムが実行されていると判定された前記第１の送信元端末からの前記第１のアクセスに含まれるパラメータから第１の特定情報を取得する第１の取得手段と、
第２のアクセスを検知すると、前記第２のアクセスに含まれるパラメータから第２の特定情報を取得する第２の取得手段と、
前記第１の特定情報と前記第２の特定情報とが一致する場合、前記第２のアクセスを不正アクセスとして検知する検知手段と、を備える、
不正アクセス検知装置。

【請求項2】

前記不正アクセス検知装置は、前記第１のアクセスとして複数の情報部品を含むウェブページを要求するリクエストを受信すると、前記第１のアクセスが要求する情報部品を特定する情報と前記第１のアクセスに含まれるパラメータから取得される前記送信元端末を特定する第３の特定情報とを対応付けて記録したアクセスログにアクセス可能であり、
前記不正プログラム実行端末判定手段は、前記アクセスログを参照し、前記ウェブページに含まれる複数の情報部品のうち一部の情報部品を要求しない前記第１のアクセスを検出し、前記検出された第１のアクセスに対応付けられた前記第３の特定情報によって特定される端末を前記不正プログラムが実行されている端末と判定する、
請求項１に記載の不正アクセス検知装置。

【請求項3】

前記第１の特定情報は前記第１のアクセスを行った利用者を特定する第１の利用者ＩＤまたは前記第１の送信元端末を特定する第１の端末情報を含み、前記第２の特定情報は前記第２のアクセスを行った利用者を特定する第２の利用者ＩＤまたは前記第２のアクセスの送信元となる第２の送信元端末を特定する第２の端末情報を含む、
請求項１または２に記載の不正アクセス検知装置。

【請求項4】

前記第２の取得手段は、不正取引を検知する不正取引検知手段を含み、
前記第２の特定情報は、前記不正取引検知手段によって取得される、
請求項１に記載の不正アクセス検知装置。

【請求項5】

前記第１の特定情報は前記第１のアクセスを行った利用者を特定する第１の利用者ＩＤと前記第１の送信元端末を示す第１の端末情報とを含み、
前記第２の特定情報は前記第２のアクセスを行った利用者を特定する第２の利用者ＩＤと前記第２のアクセスの送信元となる第２の送信元端末を示す第２の端末情報とを含み、
前記検知手段は、前記第１の利用者ＩＤと前記第２の利用者ＩＤとが一致し、かつ、前記第１の端末情報と前記第２の端末情報とが一致しない場合に、前記第２のアクセスを不正アクセスとして検知する、
請求項１に記載の不正アクセス検知装置。

【請求項6】

前記不正プログラム実行端末判定手段によって不正プログラムが実行されていると判定された前記第１の送信元端末を特定する不正プログラム実行端末特定情報を記憶する不正プログラム実行端末特定情報記憶手段をさらに備え、
前記検知手段は、前記第２の特定情報が前記不正プログラム実行端末特定情報記憶手段に記憶された前記不正プログラム実行端末特定情報のいずれかと一致する場合、前記第２のアクセスを不正アクセスとして検知する、
請求項１または２に記載の不正アクセス検知装置。

【請求項7】

前記第１の利用者ＩＤと前記第２の利用者ＩＤとが一致し、かつ、前記第１の端末情報と前記第２の端末情報とが一致しない場合、前記第１の利用者ＩＤを漏洩した利用者ＩＤと判定する漏洩ＩＤ判定手段をさらに備える、
請求項５に記載の不正アクセス検知装置。

【請求項8】

前記第１の取得手段によって取得された前記第１の利用者ＩＤと前記第１の端末情報とを対応付けて記憶する対応情報記憶手段をさらに備え、
前記漏洩ＩＤ判定手段は、
前記第２の利用者ＩＤと前記対応情報記憶手段に記憶された前記第１の利用者ＩＤのいずれかが一致するか否かを判定し、
前記第２の利用者ＩＤと前記対応情報記憶手段に記憶された前記第１の利用者ＩＤのいずれかが一致する場合、一致した前記第１の利用者ＩＤに対応付けて前記対応情報記憶手段に記憶された前記第１の端末情報を抽出し、
抽出された前記第１の端末情報に対応付けられた前記第１の利用者ＩＤのすべてを漏洩したＩＤと判定する、
請求項７に記載の不正アクセス検知装置。

【請求項9】

コンピュータが、
第１のアクセスを検知すると、前記第１のアクセスに基づいて前記第１のアクセスの送信元である第１の送信元端末において不正プログラムが実行されているか否かを判定し、
不正プログラムが実行されていると判定された前記第１の送信元端末からの前記第１のアクセスに含まれるパラメータから第１の特定情報を取得し、
第２のアクセスを検知すると、前記第２のアクセスに含まれるパラメータから第２の特定情報を取得し、
前記第１の特定情報と前記第２の特定情報とが一致する場合、前記第２のアクセスを不正アクセスとして検知する、
不正アクセス検知方法。

【請求項10】

コンピュータに、
第１のアクセスを検知すると、前記第１のアクセスに基づいて前記第１のアクセスの送信元である第１の送信元端末において不正プログラムが実行されているか否かを判定させ、
不正プログラムが実行されていると判定された前記第１の送信元端末からの前記第１のアクセスに含まれるパラメータから第１の特定情報を取得させ、
第２のアクセスを検知すると、前記第２のアクセスに含まれるパラメータから第２の特定情報を取得させ、
前記第１の特定情報と前記第２の特定情報とが一致する場合、前記第２のアクセスを不正アクセスとして検知させる、
不正アクセス検知プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラムに関する。

【背景技術】

【0002】

オンラインサービスへの不正なアクセスを検知する方法では、例えば、普段と異なる環境からのアクセスまたは不正アクセスが検知された環境からのアクセスを不正アクセスとして検知する（特許文献１から４を参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１０−２１１２５７号公報

【特許文献2】特開２００５−３２１９２８号公報

【特許文献3】国際公開第０３／１００６１９号

【特許文献4】特開２００２−８２８４９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

従来の検知技術では、正規利用者が普段とは異なる環境からアクセスする場合も不正アクセスとして検知する虞がある。このような場合、ログ等の情報を基にアクセスを一件ずつ確認する事は、管理者にとって大きな負担となる。

【0005】

そこで、開示の技術の１つの側面は、検知精度を高めた不正アクセス検知装置を提供する事を課題とする。

【課題を解決するための手段】

【0006】

開示の技術の１つの側面は、次のような不正アクセス検知装置によって例示される。本不正アクセス検知装置は、不正プログラム実行端末判定手段、第１の取得手段、第２の取得手段および検知手段を備える。不正プログラム実行端末判定手段は、第１のアクセスを検知すると、第１のアクセスに基づいて第１のアクセスの送信元である第１の送信元端末において不正プログラムが実行されているか否かを判定する。第１の取得手段は、不正プログラム実行端末判定手段によって不正プログラムが実行されていると判定された第１の送信元端末からの第１のアクセスに含まれるパラメータから第１の特定情報を取得する。第２の取得手段は、第２のアクセスを検知すると、第２のアクセスに含まれるパラメータから第２の特定情報を取得する。検知手段は、第１の特定情報と第２の特定情報とが一致する場合、第２のアクセスを不正アクセスとして検知する。

【0007】

このような発明によれば、不正アクセス検知装置は、不正プログラムを実行していると判定された端末によるアクセスから取得した特定情報と一致する特定情報を含む第２のアクセスを不正アクセスとして検知することで、不正アクセスの検知精度を高めることができる。

【0008】

また、本不正アクセス検知装置は、第１のアクセスとして複数の情報部品を含むウェブページを要求するリクエストを受信すると、第１のアクセスが要求する情報部品を特定する情報と第１のアクセスに含まれるパラメータから取得される送信元端末を特定する第３の特定情報とを対応付けて記録したアクセスログにアクセス可能であってもよい。さらに
、本発明に係る不正プログラム実行端末判定手段は、アクセスログを参照し、ウェブページに含まれる複数の情報部品のうち一部の情報部品を要求しない第１のアクセスを検出し、検出された第１のアクセスに対応付けられた第３の特定情報によって特定される端末を不正プログラムが実行されている端末と判定してもよい。このような発明によれば、ウェブページに含まれる複数の情報部品のうち一部の情報部品を要求しない端末を不正プログラムが実行されている端末と判定できる。

【0009】

また、本発明に係る第１の特定情報は、第１のアクセスを行った利用者を特定する第１の利用者ＩＤまたは第１の送信元端末を特定する第１の端末情報を含み、第２の特定情報は、第２のアクセスを行った利用者を特定する第２の利用者ＩＤまたは第２のアクセスの送信元となる第２の送信元端末を特定する第２の端末情報含んでもよい。このような発明によれば、不正アクセス検知装置は、利用者ＩＤまたは端末情報に基づいて不正アクセスを検知できる。

【0010】

本発明に係る第２の取得手段は、不正取引を検知する不正取引検知手段を含み、第２の特定情報は、不正取引検知手段によって取得されてもよい。このような発明によれば、不正プログラムが実行された端末によるアクセスから取得した第１の特定情報と不正取引検知手段によって取得された第２の特定情報とを比較することで、不正アクセスの検知精度をより高くすることができる。

【0011】

本発明に係る第１の特定情報は、第１のアクセスを行った利用者を特定する第１の利用者ＩＤと第１の送信元端末を示す第１の端末情報とを含んでもよく、本発明に係る第２の特定情報は、第２のアクセスを行った利用者を特定する第２の利用者ＩＤと第２のアクセスの送信元となる第２の送信元端末を示す第２の端末情報とを含んでもよい。さらに、本発明に係る検知手段は、第１の利用者ＩＤと第２の利用者ＩＤとが一致し、かつ、第１の端末情報と第２の端末情報とが一致しない場合に、第２のアクセスを不正アクセスとして検知してもよい。このような発明によれば、不正プログラムを実行していると判定された端末からのアクセスと同一の利用者ＩＤによって不正プログラムを実行していると判定された端末とは異なる端末から行われたアクセスを不正アクセスとして検知できる。

【0012】

また、本発明に係る不正アクセス検知装置は、不正プログラム実行端末判定手段によって不正プログラムが実行されていると判定された第１の送信元端末を特定する不正プログラム実行端末特定情報を記憶する不正プログラム実行端末特定情報記憶手段をさらに備えてもよい。さらに、本発明に係る検知手段は、第２の特定情報が不正プログラム実行端末特定情報記憶手段に記憶された不正プログラム実行端末特定情報のいずれかと一致する場合、第２のアクセスを不正アクセスとして検知してもよい。このような発明によれば、不正プログラムを実行していると判定された端末からのアクセスを不正アクセスとして検知できる。

【0013】

また、本発明に係る不正アクセス検知装置は、第１の利用者ＩＤと第２の利用者ＩＤとが一致し、かつ、第１の端末情報と第２の端末情報とが一致しない場合、第１の利用者ＩＤを漏洩した利用者ＩＤと判定する漏洩ＩＤ判定手段をさらに備えてもよい。このような発明によれば、不正プログラムが実行されていると判定された端末からのアクセスに用いられた利用者ＩＤと同一の利用者ＩＤによるアクセスが異なる端末から行われた場合、当該利用者ＩＤを漏洩した利用者ＩＤとして判定できる。

【0014】

また、本発明に係る不正アクセス検知装置は、第１の取得手段によって取得された第１の利用者ＩＤと第１の端末情報とを対応付けて記憶する対応情報記憶手段をさらに備えてもよい。さらに、本発明に係る漏洩ＩＤ判定手段は、第２の利用者ＩＤと対応情報記憶手段に記憶された第１の利用者ＩＤのいずれかが一致するか否かを判定し、第２の利用者Ｉ
Ｄと対応情報記憶手段に記憶された第１の利用者ＩＤのいずれかが一致する場合、一致した第１の利用者ＩＤに対応付けて対応情報記憶手段に記憶された第１の端末情報を抽出し、抽出された第１の端末情報に対応付けられた第１の利用者ＩＤのすべてを漏洩したＩＤと判定してもよい。このような発明によれば、不正プログラムが実行されていると判定された端末から送信された複数の利用者ＩＤのうち、一部が不正アクセスに用いられた場合、他の利用者ＩＤも漏洩した利用者ＩＤとして検知できる。

【0015】

また、本発明は、コンピュータによって実行される不正アクセス検知方法およびコンピュータに実行させる不正アクセス検知プログラムとして把握する事も可能である。

【発明の効果】

【0016】

本不正アクセス検知装置は、不正アクセスの検知精度を高めることができる。

【図面の簡単な説明】

【0017】

【図1】図１は、不正アクセス検知装置の適用例を示す図である。

【図2】図２は、不正アクセス検知装置のハードウェア構成の一例を示す図である。

【図3】図３は、不正アクセス検知装置の処理ブロックの一例を示す図である。

【図4】図４は、不正プログラム実行端末判定手段の処理フローの一例を示す図である。

【図5】図５は、ウェブサーバによって公開されるウェブページの一例を示す図である。

【図6】図６は、ウェブサーバのログファイルの一例を示す図である。

【図7】図７は、第１の取得手段の処理フローの一例を示す図である。

【図8】図８は、第２の取得手段の処理フローの一例を示す図である。

【図9】図９は、検知手段の処理フローの一例を示す図である。

【図10】図１０は、漏洩ＩＤ判定手段の処理フローの一例を示す図である。

【図11】図１１は、漏洩ＩＤ判定手段の処理の別例を示す図である。

【発明を実施するための形態】

【0018】

以下、図面を参照して、一実施形態に係る不正アクセス検知装置について説明する。以下に示す実施形態の構成は例示であり、開示の技術は実施形態の構成に限定されない。

【0019】

＜実施形態＞
図１は、不正アクセス検知装置１１の適用例を示す図である。図１では、不正アクセス検知装置１１、ウェブサーバ１２、不正プログラム実行端末２０、不正アクセス端末３０が例示されている。不正アクセス検知装置１１、不正プログラム実行端末２０および不正アクセス端末３０は、相互にネットワークＮ１によって接続されている。

【0020】

ネットワークＮ１は、情報処理装置を相互に通信可能に接続するコンピュータネットワークである。ネットワークＮ１は、例えば、インターネットである。

【0021】

ウェブサーバ１２は、情報を要求するアクセスを他の情報処理装置から受け付け、当該アクセスに応じて情報を提供する情報処理装置である。ウェブサーバ１２は、あらかじめ登録された利用者を示す利用者ＩＤに基づいて認証を行い、認証されたアクセスに対して情報を提供する。また、ウェブサーバ１２は、受け付けたアクセスに含まれる各種情報をログファイルに出力する。

【0022】

不正アクセス検知装置１１は、ウェブサーバ１２に対する不正アクセスを検知する情報処理装置である。不正アクセスとは、他人の利用者ＩＤを使用したアクセスを含む。不正アクセス検知装置１１は、図１に例示されるように、ネットワークＮ１からウェブサーバ
１２へのアクセスの通信経路上に設けられる。すなわち、ネットワーク１からウェブサーバ１２へのアクセスは、不正アクセス検知装置１１を経由する。

【0023】

不正プログラム実行端末２０は、ウェブサーバ１２の利用者として登録されたユーザによって用いられる情報処理装置である。不正プログラム実行端末２０は、ウェブサーバ１２に対し情報の提供を要求し、ウェブサーバ１２から提供された情報を受信する。不正プログラム実行端末２０には、ＩＰアドレス「xxx.xxx.xxx.xxx」が割り当てられている。
また、不正プログラム実行端末２０では、利用者ＩＤ等を搾取して不正アクセス端末３０に送信する不正プログラムが実行されている。不正プログラムは、ウェブサーバ１２によって公開される情報のうち一部の情報を不正プログラム実行端末２０に取得させない処理をさらに行う。この一部の情報は、例えば、セキュリティに関する注意事項の告知である。不正プログラムは、例えば、コンピュータウィルスである。不正プログラム実行端末２０は、「第１の送信元端末」の一例である。

【0024】

不正アクセス端末３０は、ウェブサーバ１２に対し不正アクセスを行う情報処理装置である。不正アクセス端末３０は、例えば、ウェブサーバ１２の保有する情報に対し、改変、削除、搾取等を行う。不正アクセス端末３０は、不正プログラム実行端末２０で実行されている不正プログラムによって取得した利用者ＩＤを使用することで、正規の利用者に成り済ましてウェブサーバ１２にアクセスする。不正アクセス端末３０には、ＩＰアドレス「yyy.yyy.yyy.yyy」が割り当てられている。不正アクセス端末３０は、「第２の送信
元端末」の一例である。

【0025】

不正プログラム実行端末２０および不正アクセス端末３０によってウェブサーバ１２へ行われるアクセスには、送信元端末を示す情報がパラメータとして含まれる。送信元端末を示す情報は、例えば、ＩＰアドレスまたはホスト名である。また、不正プログラム実行端末２０および不正アクセス端末３０は、パラメータとして利用者ＩＤを含めたアクセスをウェブサーバ１２に対して行う事で、ウェブサーバ１２に対して認証処理を要求する。

【0026】

＜情報処理装置１００のハードウェア構成＞
図２は、情報処理装置１００のハードウェア構成の一例を示す図である。情報処理装置１００は、プロセッサ１０１、主記憶部１０２、補助記憶部１０３、通信部１０４および接続バスＢ１を含む。プロセッサ１０１、主記憶部１０２、補助記憶部１０３および通信部１０４は、接続バスＢ１によって相互に接続されている。情報処理装置１００は、端末とも称する。情報処理装置１００は、例えば、不正アクセス検知装置１１、ウェブサーバ１２、不正プログラム実行端末２０および不正アクセス端末３０として利用できる。

【0027】

情報処理装置１００では、プロセッサ１０１が補助記憶部１０３に記憶されたプログラムを主記憶部１０２の作業領域に展開し、プログラムの実行を通じて周辺装置の制御を行う。これにより、情報処理装置１００は、所定の目的に合致した処理を実行することができる。主記憶部１０２および補助記憶部１０３は、情報処理装置１００が読み取り可能な記録媒体である。

【0028】

主記憶部１０２は、プロセッサ１０１から直接アクセスされる記憶部として例示され、例えば、Random Access Memory（ＲＡＭ）やRead Only Memory（ＲＯＭ）を適用可能である。補助記憶部１０３は、各種のプログラムおよび各種のデータを読み書き自在に記録媒体に格納する記憶部であり、オペレーティングシステムやその他各種のプログラム等が格納される。なお、補助記憶部１０３は、例えば、ネットワーク上のコンピュータ群であるクラウドシステムの一部であってもよい。

【0029】

通信部１０４は、例えば、ネットワーク環境５とのインターフェースであり、ネットワ
ーク環境５を介して外部の装置と通信を行う。

【0030】

なお、情報処理装置１００には、例えば、各種操作を受け付ける入力部や、各種データを出力する出力部を備えていてもよい。

【0031】

＜不正アクセス検知装置１１の処理ブロック＞
図３は、不正アクセス検知装置１１の処理ブロックの一例を示す図である。図３では、不正プログラム実行端末判定手段２０１、第１の取得手段２０２、第２の取得手段２０３、検知手段２０４、漏洩ＩＤ判定手段２０５、不正プログラム実行端末特定情報記憶手段２０６および対応情報記憶手段２０７の各処理ブロックが例示されている。例えば、図２のプロセッサ１０１が図３の各ブロックとして主記憶部１０２に展開されたコンピュータプログラムを実行する。ただし、図３のいずれかのブロックの少なくとも一部はハードウェア回路、専用のプロセッサまたはデジタルシグナルプロセッサ（Digital Signal Processor、ＤＳＰ）を含んでもよい。

【0032】

プロセッサ１０１は、不正プログラム実行端末判定手段２０１として、ウェブサーバ１２にアクセスした情報処理装置において不正プログラムが実行されているか否かの判定を行う。不正プログラム実行端末判定手段２０１は、不正プログラムが実行されていると判定された情報処理装置を特定する特定情報を不正プログラム実行端末特定情報記憶手段２０６に記憶させる。

【0033】

プロセッサ１０１は、第１の取得手段２０２として、不正プログラムが実行されていると判定された情報処理装置によるウェブサーバ１２へのアクセスに含まれるパラメータから特定情報を取得する。特定情報は、例えば、ウェブサーバ１２の利用者を識別する利用者ＩＤまたはアクセスを要求した情報処理装置を特定する端末情報である。端末情報は、例えば、Internet Protocol（ＩＰ）アドレス、Media Access Control（ＭＡＣ）アドレ
スまたはホスト名である。さらに、第１の取得手段２０２は、特定情報として利用者ＩＤと端末情報の双方を取得した場合、端末情報と利用者ＩＤとを対応付けて対応情報記憶手段２０７に記憶させる。以下、本明細書において、第１の取得手段２０２によって取得された特定情報を第１の特定情報とも称する。また、第１の取得手段２０２によって特定情報の取得対象となったアクセスを第１のアクセスとも称する。

【0034】

プロセッサ１０１は、第２の取得手段２０３として、不正プログラムが実行されていないと判定された情報処理装置によるウェブサーバ１２へのアクセスに含まれるパラメータから特定情報を取得する。以下、本明細書において、第２の取得手段２０３によって取得された特定情報を第２の特定情報とも称する。また、第２の取得手段２０３によって特定情報の取得対象となったアクセスを第２のアクセスとも称する。

【0035】

プロセッサ１０１は、検知手段２０４として、第１の取得手段２０２および第２の取得手段２０３によって取得された特定情報に基づいて不正アクセスを検知する。

【0036】

プロセッサ１０１は、漏洩ＩＤ判定手段２０５として、ウェブサーバ１２へのアクセスに用いられた利用者ＩＤが漏洩した利用者ＩＤであるか否かを判定する。

【0037】

＜各処理ブロックの処理フロー＞
以下、図面を参照して、不正アクセス検知装置１１の各処理ブロックの処理フローについて説明する。

【0038】

＜不正プログラム実行端末判定手段２０１の処理フロー＞
図４は、不正プログラム実行端末判定手段２０１の処理フローの一例を示す図である。
不正プログラム実行端末判定手段２０１による処理は、例えば、定期的に実行される。以下、図４を参照して、不正プログラム実行端末判定手段２０１の処理フローの一例について説明する。

【0039】

ＯＰ１では、不正プログラム実行端末判定手段２０１は、ウェブサーバ１２のログを参照し、ウェブページに含まれる情報部品のうち、一部の部品を要求しなかったアクセスを抽出する。

【0040】

図５は、ウェブサーバ１２によって公開されるウェブページＰ１の一例を示す図である。ウェブページＰ１は、図５に例示されるように、枠部品Ｍ１、タイトル部品Ｍ２、ログイン部品Ｍ３およびテキスト部品Ｍ４を含む。テキスト部品Ｍ４には、セキュリティに関する注意事項が記載されているものとする。すなわち、ウェブページＰ１を要求する他の情報処理装置は、Ｍ１からＭ４までの各々の部品をウェブサーバ１２に要求し、受信したＭ１からＭ４までの部品を組み立てることで、ウェブページＰ１を出力する。

【0041】

図６は、ウェブサーバ１２のログファイル１２Ｌの一例を示す図である。ウェブサーバ１２は、他の情報処理装置から受けつけたアクセスの内容をログファイル１２Ｌに記録する。ログファイル１２Ｌは、図６に例示されるように、ＩＰアドレス、受信日時、要求内容を含む。ログファイル１２ＬのＩＰアドレスには、ウェブサーバ１２にアクセスした情報処理装置のＩＰアドレスが記録される。ログファイル１２Ｌに記録される情報は、これらに限定されず、ウェブサーバ１２にアクセスした情報処理装置で稼働するＯＳの種別やインターネットブラウザの種別等が記録されてもよい。ログファイル１２Ｌの受信日時には、アクセスを受け付けた日時が記録される。ログファイル１２Ｌの要求内容には、ウェブサーバ１２に送信された要求が記録される。例えば、図６に例示されるログファイル１２Ｌの２行目では、ＩＰアドレス「xxx.xxx.xxx.xxx」の不正プログラム実行端末２０が
タイトル部品Ｍ２を要求していることがわかる。また、図６に例示されるアクセスＡ１は、ＩＰアドレス「xxx.xxx.xxx.xxx」の不正プログラム実行端末２０がウェブページＰ１
を要求する一連のアクセスの記録であり、アクセスＡ２は、ＩＰアドレス「yyy.yyy.yyy.yyy」の不正アクセス端末３０がウェブページＰ１を要求する一連のアクセスの記録であ
る。図６のアクセスＡ１およびＡ２では、ウェブページＰ１の取得後、利用者ＩＤ「USER1」を用いて認証処理が要求されている。ログファイル１２Ｌは、「アクセスログ」の一
例である。

【0042】

不正プログラム実行端末２０では、前述のとおり不正プログラムが実行されている。そのため、不正プログラム実行端末２０では、セキュリティに関する注意事項が記載されたテキスト部品Ｍ４の取得が不正プログラムによって妨げられる。そのため、図６に例示するように、不正プログラム実行端末２０によるアクセスＡ１は、ウェブページＰ１の部品Ｍ１からＭ３は要求しているものの、テキスト部品Ｍ４は要求していない。すなわち、アクセスＡ１は、ウェブページＰ１の一部の部品を要求していない。そこで、不正プログラム実行端末判定手段２０１は、一部の部品を要求しないアクセスとして、アクセスＡ１を抽出する。

【0043】

ＯＰ２では、不正プログラム実行端末判定手段２０１は、ＯＰ１で抽出したアクセスＡ１に対応付けられた特定情報を抽出する。ここでは、不正プログラム実行端末判定手段２０１は、アクセスＡ１に対応付けられた不正プログラム実行端末２０の特定情報として、ＩＰアドレス「xxx.xxx.xxx.xxx」および利用者ＩＤ「USER1」を抽出する。

【0044】

ＯＰ３では、不正プログラム実行端末判定手段２０１は、抽出した不正プログラム実行端末２０のＩＰアドレス「xxx.xxx.xxx.xxx」および利用者ＩＤ「USER1」を不正プログラム実行端末特定情報記憶手段２０６に記憶させる。

【0045】

＜第１の取得手段２０２の処理フロー＞
図７は、第１の取得手段２０２の処理フローの一例を示す図である。第１の取得手段２０２による処理は、例えば、不正アクセス検知装置１１がウェブサーバ１２へのアクセスを検知した際に実行される。以下、図７を参照して、第１の取得手段２０２の処理フローの一例について説明する。

【0046】

ＯＰ１１では、第１の取得手段２０２は、ウェブサーバ１２へのアクセスを検知する。第１の取得手段２０２は、アクセスの送信元となる情報処理装置を示すＩＰアドレスおよび利用者ＩＤを検知したアクセスに含まれるパラメータから取得する。

【0047】

ＯＰ１２では、第１の取得手段２０２は、ＯＰ１１で取得したＩＰアドレスが不正プログラム実行端末特定情報記憶手段２０６に記憶されたＩＰアドレスのいずれかと一致するか否かを判定する。第１の取得手段２０２は、当該判定により、検知したアクセスが不正プログラム実行端末２０からのアクセスであるか否かを判定する。不正プログラム実行端末２０からのアクセスである場合（ＯＰ１２でＹＥＳ）、処理はＯＰ１３に進められる。不正プログラム実行端末２０からのアクセスではない場合（ＯＰ１２でＮＯ）、処理は終了する。

【0048】

ＯＰ１３では、第１の取得手段２０２は、ＯＰ１１で取得した不正プログラム実行端末２０のＩＰアドレスと利用者ＩＤとを対応付けて対応情報記憶手段２０７に格納する。

【0049】

＜第２の取得手段２０３の処理フロー＞
図８は、第２の取得手段２０３の処理フローの一例を示す図である。第２の取得手段２０３による処理は、例えば、不正アクセス検知装置１１がウェブサーバ１２へのアクセスを検知した際に実行される。以下、図８を参照して、第２の取得手段２０３の処理フローの一例について説明する。

【0050】

ＯＰ２１の処理は、図７のＯＰ１１の処理と同様である。そのため、その説明を省略する。ＯＰ２２では、第２の取得手段２０３は、ＯＰ２１で取得したＩＰアドレスが不正プログラム実行端末特定情報記憶手段２０６に記憶されたＩＰアドレスのいずれかと一致するか否かを判定する。第２の取得手段２０３は、当該判定により、検知したアクセスが不正プログラム実行端末２０からのアクセスであるか否かを判定する。不正プログラム実行端末２０からのアクセスである場合（ＯＰ２２でＹＥＳ）、処理は終了する。不正プログラム実行端末２０からのアクセスではない場合（ＯＰ２２でＮＯ）、処理はＯＰ２３に進められる。

【0051】

ＯＰ２３では、第２の取得手段２０３は、ＯＰ２１で取得したＩＰアドレスと利用者ＩＤとを対応付けて対応情報記憶手段２０７に格納する。

【0052】

＜検知手段２０４の処理フロー＞
図９は、検知手段２０４の処理フローの一例を示す図である。検知手段２０４による処理は、例えば、第２の取得手段２０３による処理の後に実行される。以下、図９を参照して、検知手段２０４の処理フローの一例について説明する。

【0053】

ＯＰ３１では、検知手段２０４は、第１の取得手段によって取得された利用者ＩＤと第２の取得手段によって取得された利用者ＩＤとを比較する。第１の取得手段によって取得された利用者ＩＤと第２の取得手段によって取得された利用者ＩＤが一致する場合（ＯＰ３２でＹＥＳ）、処理はＯＰ３３に進められる。第１の取得手段によって取得された利用者ＩＤと第２の取得手段によって取得された利用者ＩＤが一致しない場合（ＯＰ３２でＮ
Ｏ）、処理は終了する。すなわち、検知手段２０４は、ＯＰ３２の判定により、不正プログラム実行端末２０から利用者ＩＤを搾取した不正アクセス端末３０からのアクセスであるか否かを判定する。

【0054】

ＯＰ３３では、検知手段２０４は、第２の取得手段によって取得されたＩＰアドレスによって示される情報処理装置からのアクセスを不正アクセスとして検知する。すなわち、検知手段２０４は、不正アクセス端末３０からのアクセスを不正アクセスとして検知する。

【0055】

＜漏洩ＩＤ判定手段２０５の処理フロー＞
図１０は、漏洩ＩＤ判定手段２０５の処理フローの一例を示す図である。漏洩ＩＤ判定手段２０５の処理は、例えば、第２の取得手段２０３によって利用者ＩＤも取得された場合に実行される。以下、図１０を参照して、漏洩ＩＤ判定手段２０５の処理フローの一例について説明する。

【0056】

ＯＰ４１では、漏洩ＩＤ判定手段２０５は、第１の取得手段２０２が取得した利用者ＩＤと第２の取得手段２０３が取得した利用者ＩＤとを比較する。第１の取得手段２０２が取得した利用者ＩＤと第２の取得手段２０３が取得した利用者ＩＤとが一致する場合（ＯＰ４２でＹＥＳ）、処理はＯＰ４３に進められる。第１の取得手段２０２が取得した利用者ＩＤと第２の取得手段２０３が取得した利用者ＩＤとが一致しない場合（ＯＰ４２でＮＯ）、処理はＯＰ４６に進められる。

【0057】

ＯＰ４３では、漏洩ＩＤ判定手段２０５は、第１の取得手段２０２が取得したＩＰアドレスと第２の取得手段２０３が取得したＩＰアドレスとを比較する。第１の取得手段２０２が取得したＩＰアドレスと第２の取得手段２０３が取得したＩＰアドレスとが一致する場合（ＯＰ４４でＹＥＳ）、処理はＯＰ４６に進められる。第１の取得手段２０２が取得したＩＰアドレスと第２の取得手段２０３が取得したＩＰアドレスとが一致しない場合（ＯＰ４４でＮＯ）、処理はＯＰ４５に進められる。

【0058】

ＯＰ４５では、漏洩ＩＤ判定手段２０５は、第１の取得手段２０２が取得した利用者ＩＤを漏洩した利用者ＩＤと判定する。ＯＰ４６では、漏洩ＩＤ判定手段２０５は、第１の取得手段２０２が取得した利用者ＩＤを漏洩した利用者ＩＤと判定しない。

【0059】

＜変形例＞
実施形態では、不正プログラム実行端末２０および不正アクセス端末３０とウェブサーバ１２との通信経路上に不正アクセス検知装置１１が設けられた。実施形態では、この不正アクセス検知装置１１によってウェブサーバ１２への不正アクセスの検知が行われた。しかしながら、本発明はこのような構成に限定されない。不正アクセスの検知は、例えば、ウェブサーバ１２によって行われてもよい。

【0060】

実施形態の検知手段２０４では、第１の取得手段２０２によって取得された利用者ＩＤと第２の取得手段２０３によって取得された利用者ＩＤとが一致した場合に、第２のアクセスを不正アクセスとして検知した。しかしながら、検知手段２０４の処理は、このような処理に限定されない。検知手段２０４は、例えば、第１の取得手段２０２によって取得されたＩＰアドレスと第２の取得手段２０３によって取得されたＩＰアドレスが異なり、かつ、第１の取得手段２０２によって取得された利用者ＩＤと第２の取得手段２０３によって取得された利用者ＩＤとが一致する場合に、第２のアクセスを不正アクセスとして検知してもよい。

【0061】

第２の取得手段２０３は不正取引を検知する不正取引検知手段を含み、第２の特定情報
は不正取引検知手段が取得することとしてもよい。検知手段２０４が不正取引検知手段によって取得された第２の特定情報と第１の特定情報とを比較する。このことにより、不正アクセス検知装置１１は、不正取引検知手段のみによる検知よりも、不正アクセスの検知精度を高めることができる。不正取引検知手段は、例えば、利用者ＩＤに対応付けて記憶された取引の内容に基づいて検知する。取引の内容は、例えば、取引履歴、取引額、取引頻度、取引する商品の種別、取引する商品の数量、アクセス元となる情報処理装置の地理情報である。さらに、不正取引検知手段は、これらに限定されず、様々な公知の方法を採用できる。

【0062】

ＯＳやインターネットブラウザによっては、特定の情報部品を取得しないことでウェブサーバ１２からのデータ転送量を削減するものがある。そこで、不正プログラム実行端末判定手段２０１は、例えば、アクセスを行った情報処理装置で稼働するＯＳの種別やインターネットブラウザの種別等をログファイル１２Ｌから取得してもよい。不正プログラム実行端末判定手段２０１は、ＯＳの種別やインターネットブラウザの種別を基に、一部の情報部品を取得しないアクセスについて、当該アクセスが通常のアクセスであるか否かを判定できる。不正プログラム実行端末判定手段２０１は、当該判定によって通常のアクセスではないと判定したアクセスを不正プログラム実行端末２０からのアクセスとして検知できる。

【0063】

実施形態の漏洩ＩＤ判定手段２０５は、第１の取得手段２０２が取得したＩＰアドレスと第２の取得手段２０３が取得したＩＰアドレスとが異なる場合、第１の取得手段２０２が取得した利用者ＩＤを漏洩した利用者ＩＤと判定した。しかしながら、漏洩ＩＤ判定手段２０５の処理は、このような処理に限定されない。図１１は、漏洩ＩＤ判定手段２０５の処理の別例を示す図である。以下、図１１を参照して、漏洩ＩＤ判定手段２０５の処理の別例について説明する。

【0064】

ＯＰ５１では、漏洩ＩＤ判定手段２０５は、第２の取得手段２０３によって取得された利用者ＩＤに一致する利用者ＩＤが対応情報記憶手段２０７に記憶されているか判定する。記憶されている場合（ＯＰ５１でＹＥＳ）、処理はＯＰ５２に進められる。一致しない場合（ＯＰ５１でＮＯ）、処理は終了する。

【0065】

ＯＰ５２では、漏洩ＩＤ判定手段２０５は、ＯＰ５１で一致すると判定された利用者ＩＤに対応づけられたＩＰアドレスを抽出する。ＯＰ５３では、漏洩ＩＤ判定手段２０５は、ＯＰ５２で抽出したＩＰアドレスと対応付けて対応情報記憶手段２０７に記憶されている利用者ＩＤのすべてを漏洩した利用者ＩＤと判定する。

【0066】

以上で開示した実施形態や変形例はそれぞれ組み合わせる事ができる。

【符号の説明】

【0067】

１１・・・不正アクセス検知装置
１２・・・ウェブサーバ
２０・・・不正プログラム実行端末
３０・・・不正アクセス端末
Ｎ１・・・ネットワーク
１００・・・情報処理装置
１０１・・・プロセッサ
１０２・・・主記憶部
１０３・・・補助記憶部
１０４・・・通信部
Ｂ１・・・接続バス
２０１・・・不正プログラム実行端末判定手段
２０２・・・第１の取得手段
２０３・・・第２の取得手段
２０４・・・検知手段
２０５・・・漏洩ＩＤ判定手段
２０６・・・不正プログラム実行端末特定情報記憶手段
２０７・・・対応情報記憶手段

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】