特許 6290659 アクセス管理方法およびアクセス管理システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6290659

(24)【登録日】2018年2月16日

(45)【発行日】2018年3月7日

(54)【発明の名称】アクセス管理方法およびアクセス管理システム

(51)【国際特許分類】

   G06F 21/44 20130101AFI20180226BHJP

   G06F 13/00 20060101ALI20180226BHJP

   G06F 21/56 20130101ALI20180226BHJP

【ＦＩ】

   G06F21/44

   G06F13/00 540A

   G06F21/56

【請求項の数】8

【全頁数】17

(21)【出願番号】特願2014-45594(P2014-45594)

(22)【出願日】2014年3月7日

(65)【公開番号】特開2015-170219(P2015-170219A)

(43)【公開日】2015年9月28日

【審査請求日】2017年2月13日

(73)【特許権者】

【識別番号】000233491

【氏名又は名称】株式会社日立システムズ

(74)【代理人】

【識別番号】110001689

【氏名又は名称】青稜特許業務法人

(72)【発明者】

【氏名】藤井 康広

(72)【発明者】

【氏名】角田 朋

(72)【発明者】

【氏名】大鳥 朋哉

【審査官】 岸野 徹

(56)【参考文献】

【文献】 特開２００４−０３０２８６（ＪＰ，Ａ）

【文献】 特開２０１１−１３８３３４（ＪＰ，Ａ）

【文献】 国際公開第２０１２／１６６４４０（ＷＯ，Ａ１）

【文献】 特表２０１４−５１６１８３（ＪＰ，Ａ）

【文献】 特開２０１３−１９１１３３（ＪＰ，Ａ）

【文献】 特開２００６−１８５３８２（ＪＰ，Ａ）

【文献】 特開２０１３−０９２９９８（ＪＰ，Ａ）

【文献】 特開２０１５−１６２２２５（ＪＰ，Ａ）

【文献】 米国特許出願公開第２０１１／００７２５１６（ＵＳ，Ａ１）

【文献】 北澤 繁樹 Shigeki Kitazawa，２０１２ 第２９回 暗号と情報セキュリティシンポジウム概要集 ［ＣＤ−ＲＯＭ］ ２０１２年 暗号と情報セキュリティシンポジウム予稿集 Abstracts of the 29th Symposium on Cryptography and Information Security Proceedings of the 2012 Symposium on Cryptography and Information Security，２０１２年１２月３１日，pp.1-8

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／４４

Ｇ０６Ｆ １３／００

Ｇ０６Ｆ ２１／５６

(57)【特許請求の範囲】

【請求項1】

端末からアクセスするＷｅｂサイトのアクセス情報をログとして記録し、Ｗｅｂサイトの属性を分析するアクセス管理システムにより実行されるアクセス管理方法であって、
該ログからＷｅｂサイトの悪性度を計算するステップと、
悪性度が第一のしきい値以下のとき該Ｗｅｂサイトに関する情報をホワイトリストに登録し、第二のしきい値以上のとき該Ｗｅｂサイトに関する情報をブラックリストに登録し、第一のしきい値より大きく第二のしきい値より小さいとき該Ｗｅｂサイトに関する情報をグレーリストに登録するステップと、
を有することを特徴とするアクセス管理方法。

【請求項2】

ある端末がグレーリストに登録されているＷｅｂサイトに接続するとき、一回目の接続認証後、該端末に対して追加認証を要求するステップと、
該追加認証に成功したとき、該Ｗｅｂサイトの情報を該グレーリストから削除して該ホワイトリストに登録し、一定期間一度も成功しなかったとき、該Ｗｅｂサイトの情報を該グレーリストから削除して該ブラックリストに登録するステップを有することを特徴とする請求項１に記載のアクセス管理方法。

【請求項3】

前記悪性度は、複数の分析ルールを適用して求めたスコアに重み付けをした一次形式の総和で与えられ、
第一の分析ルールは、同一のＷｅｂサイトにアクセスした端末の数が多いほど小さいスコアを与えるものであり、その対応する重みは負であり、
第二の分析ルールは、アクセスの周期性強度が高いほど大きいスコアを与えるものであり、その対応する重みは正であることを特徴とする請求項１又は２に記載のアクセス管理方法。

【請求項4】

前記追加認証は、画像認証により行なわれることを特徴とする請求項２に記載のアクセス管理方法。

【請求項5】

端末からアクセスするＷｅｂサイトのアクセス情報をログとして記録し、Ｗｅｂサイトの属性を分析するアクセス管理システムにおいて実行されるアクセス管理プログラムであって、
該ログからＷｅｂサイトの悪性度を計算するステップと、
ある端末がグレーリストに登録されているＷｅｂサイトに接続するとき、一回目の接続認証後、該端末に対して追加認証を要求するステップと、
該追加認証に成功したとき、該Ｗｅｂサイトの情報を該グレーリストから削除してホワイトリストに登録し、一定期間一度も成功しなかったとき、該Ｗｅｂサイトの情報を該グレーリストから削除してブラックリストに登録するステップと、を実行することを特徴するアクセス管理プログラム。

【請求項6】

端末からアクセスするＷｅｂサイトのアクセス情報をログとして記録し、Ｗｅｂサイトの属性を分析するアクセス管理システムにおいて実行されるアクセス管理プログラムであって、
該アクセス管理システムが、該ログからＷｅｂサイトの悪性度を計算するステップと、
該アクセス管理システムが、悪性度が第一のしきい値以下のとき該Ｗｅｂサイトに関する情報をホワイトリストに登録し、第二のしきい値以上のとき該Ｗｅｂサイトに関する情報をブラックリストに登録し、第一のしきい値より大きく第二のしきい値より小さいとき該Ｗｅｂサイトに関する情報をグレーリストに登録するステップと、
を有することを特徴とするアクセス管理プログラム。

【請求項7】

端末からアクセスするＷｅｂサイトのアクセス情報をログとして記録し、Ｗｅｂサイトの属性を分析するアクセス管理システムであって、
正規のＷｅｂサイトに関する情報が記載されたホワイトリストと、マルウェアに指令をおこなう悪性のＷｅｂサイトに関する情報が記載されたブラックリストと、さらに、そのいずれにも含まれていないＷｅｂサイトに関する情報を保持するグレーリストと有し、
該アクセス管理システムは、
プロキシサーバのログからＷｅｂサイトの悪性度を計算して、悪性度が第一のしきい値以下のとき該Ｗｅｂサイトに関する情報をホワイトリストに登録し、第二のしきい値以上のとき該Ｗｅｂサイトに関する情報をブラックリストに登録し、第一のしきい値より大きく第二のしきい値より小さいとき該Ｗｅｂサイトに関する情報をグレーリストに登録するリスト生成管理装置と、
ある端末がグレーリストに登録されているＷｅｂサイトに接続するとき、プロキシサーバによる認証後、該端末に対して追加認証を要求する追加認証サーバと、を有し、
該追加認証に成功したとき、該リスト生成管理装置は、該Ｗｅｂサイトの情報を該グレーリストから削除して該ホワイトリストに登録し、一定期間一度も成功しなかったとき、該Ｗｅｂサイトの情報を該グレーリストから削除して該ブラックリストに登録することを特徴とするアクセス管理システム。

【請求項8】

前記アクセス管理システムは、
ファイアウォールまたは不正侵入検知装置を含み、
前記リスト生成管理装置は、プロキシサーバのログの代わりにファイアウォールまたは不正侵入検知装置のログからＷｅｂサイトの悪性度を計算することを特徴とする請求項７記載のアクセス管理システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、アクセス管理方法およびアクセス管理システムに係り、特に、ネットワークを介してアクセスするＷｅｂサイトが正規のものであるか悪性のものであるか判別するのに好適なアクセス管理方法およびそのシステムに関する。

【背景技術】

【0002】

近年のインターネットの普及により、社会生活や産業化活動におけるネットワークの依存性がますます高まってきており、ネットワーク人口も増加の一途をたどっている。それに伴い、ネットワーク上の犯罪行為とされるサイバー攻撃手法も洗練され、マルウェア（malware：不正かつ有害な動作を行う意図で作成された悪意のあるソフトウェアや悪質なコード）などの侵入を防止することが困難になってきている。そこで、マルウェアに侵入されたとしても実被害が発生しないよう、プロキシサーバなどのログを分析して、できるだけ早くマルウェア感染を検知する技術が注目されてきている。

【0003】

例えば、一般に、マルウェアに攻撃指令等を行う悪性のＷｅｂサイト（Ｃ＆Ｃサーバ：Commmand & Control Server）のＵＲＬ（Uniform Resource Locator）情報を、マルウェア自体を分析することにより抽出してブラックリストとしてまとめておき、このブラックリストをプロキシサーバなどのログに含まれる接続先ＵＲＬと照合することにより、マルウェアを検知する技術が知られている。

【0004】

また、特許文献１には、マルウェアとＣ＆Ｃサーバ間で攻撃命令などの情報を授受する際、アクセスが周期的になりやすいといった特性に着目して、ＦＷ（Fire Wall：ファイアウォール）やＩＤＳ（Intrusion Detection System：不正侵入検知装置）などのログからＷｅｂサイトへのアクセス間隔の周期性の強度を算出してマルウェアを検知する技術が記載されている。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２００６−３１９６３３号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

従来技術では、ブラックリストの載せられたものを悪性のＷｅｂサイトであるとして排除する。しかしながら、マルウェア作成者は頻繁にＣ＆Ｃサーバを変えることが多く、ブラックリストは陳腐化しやすい。また、ブラックリスト作成にはマルウェア自体を分析する必要があり、時間がかかる。その結果、ブラックリストを用いる方法ではＣ＆Ｃサーバの変更への追従が困難であるという問題点がある。

【0007】

また、基本的に、端末とＷｅｂ間のアクセスを記録するＦＷやＩＤＳのログは膨大になりやすく、かつ周期性の強度の算出は計算量が大きいため、特許文献１のような方式で膨大なログを対象にしてマルウェアを検知するには処理時間がかかる。したがって、この方法でもＣ＆Ｃサーバの頻繁な変更への追従は困難であるといえる。

【0008】

本発明は、上記課題を解決するためになされたものであり、その目的は、Ｗｅｂサイトの判定のためのログを効率的に分析し、システムにおけるマルウェア感染を確実に検出できるアクセス管理方法及びアクセス管理システムを提供することにある。

【課題を解決するための手段】

【0009】

本発明は、悪性度だけではＣ＆Ｃサーバを特定するのは困難であるため、ホワイトリストでもブラックリストでもないグレーリストを準備しておき、その後、マルウェアの様なプログラムでは突破が困難となるような形式で追加認証を行い、その結果を基にグレーリストをホワイトリストかブラックリストに振り分けるようにしたものである。

【0010】

そのため、好ましい例によれば、本発明に係るアクセス管理システムは、プロキシサーバ等のログから計算したＷｅｂサイトの悪性度に基づいて、Ｗｅｂサイトのホワイトリスト、ブラックリスト、および、いずれにも属さないグレーリストを生成するリスト生成管理装置と、グレーリストに記載されたＷｅｂサイトに接続するとき追加認証を要求する追加認証サーバを有する。追加認証は、応答者が人間であれば突破できるが、マルウェアの様なプログラムでは突破が困難となる画像認証のような形式でおこなう。そして、該追加認証に成功したときグレーリストをホワイトリストに振り分け、一定期間一度も成功しなかったときブラックリストに振り分けることにより、ホワイトリスト等を自動的に生成する。
本発明はまた、アクセス管理方法及びアクセス管理システムで実行されるプログラムとしても構成される。

【0011】

以上の構成により、Ｃ＆ＣサーバのＵＲＬ情報からなるブラックリストのみならず、正規のＷｅｂサイトからなるホワイトリストも自動で生成することができ、このホワイトリスト等を用いて分析対象となるログの分量を削減することで分析処理にかかる時間を短縮することができる。さらに、本発明に係るアクセス管理システムを利用し続けることで、ホワイトリスト等が拡充され、分析処理時間をより短縮することができる。その結果、たとえＣ＆Ｃサーバを頻繁に変更させられたとしても効率的にログを分析できるようになり、マルウェア感染をより確実に検出できるようになる。
また、疑義のあるＷｅｂサイトの情報を、いったん、グレーリストに振り分けて、追加認証を人でないと認証できない方法により、認証させることにより、判定の精度を向上させることができる。

【発明の効果】

【0012】

本発明によれば、Ｗｅｂサイトにおけるログを効率的に分析し、システムにおけるマルウェア感染を確実に検出できるアクセス管理を実現することができる。

【図面の簡単な説明】

【0013】

【図1】第一の実施形態に係るアクセス管理システムを示すブロック図である。

【図2】アクセス管理システムの構成要素のハードウェア構成図である。

【図3】システムの構成要素とデータフローを示した概念図である。

【図4】プロキシサーバがログを収集してからホワイトリスト等を生成する処理を示すフローチャートである。

【図5】プロキシサーバのログの一例を示す図である。

【図6】ブラックリスト、グレーリスト、ホワイトリストの一例を示す図である。

【図7】ログ分析結果の一例を示す図である。

【図8】ログ分析としてのヒストグラムの一例を示す図である。

【図9】アクセス管理システムにおける認証処理を説明するフローチャートである。

【図10】認証処理の際のユーザインターフェイスを示す図である。

【図11】アクセス管理システムにおけるグレーリストをホワイトリストやブラックリストに振り分ける処理を示すフローチャートである。

【図12】第二の実施形態に係るアクセス管理システムを示すブロック図である。

【図13】第二の実施形態のアクセス管理システムにおけるグレーリストをホワイトリストやブラックリストに振り分ける処理を示すフローチャートである。

【発明を実施するための形態】

【0014】

以下、本発明に係る実施形態を、図１ないし図１３を用いて説明する。

【0015】

〔実施形態１〕
以下、本発明に係る第一の実施形態を、図１ないし図１１を用いて説明する。
先ず、図１および図２を用いて第一の実施形態に係るアクセス管理システムの構成について説明する。

【0016】

図１は、第一の実施形態に係るアクセス管理システムを示すブロック図である。図２は、アクセス管理システムの構成要素のハードウェア構成図である。
図１に示されるように、アクセス管理システム１は、ログからホワイトリスト等を生成するリスト生成管理装置１０と、一つ以上のクライアントシステム３０が、ネットワーク２０を介して接続して構成される。

【0017】

リスト生成管理装置１０は、フィルタリング部１０２と、ログ分析部１０４と、ログＤＢ（データベース）１００と、ホワイトリストＤＢ１１０と、グレーリストＤＢ１１２と、ブラックリストＤＢ１１４を有する。ここで、リスト生成管理装置１０は、例えばサーバであり、ハードウェア構成として、プログラムを実行する処理装置（プロセッサともいう）と、プログラムやデータを格納するメモリやハードディスク装置等の記憶部を有して構成される。上記フィルタリング部１０２やログ分析部１０４は、プログラムの実行によって実現される機能である。

【0018】

フィルタリング部１０２は、ホワイトリスト等を用いてログから不要な情報を除去する装置である。ログ分析部１０４は、ログを分析する部分である。リスト管理部１０６は、ホワイトリスト等を管理し、更新する部分である。ログＤＢ１００は、ログを格納するデータベースである。ホワイトリストＤＢ１１０、グレーリストＤＢ１１２、ブラックリストＤＢ１１４は、それぞれ、ホワイトリスト、グレーリスト、ブラックリストを格納するデータベースである。

【0019】

ここで、ホワイトリストは、システムが問題と判定したＷｅｂサイトのＵＲＬを格納するリストであり、ブラックリストは、システムがマルウェアをコントロールするＣ＆Ｃサーバのように、排除するＷｅｂサイトのＵＲＬを格納するリストであり、グレーリストは、ホワイトリストにもブラックリストにも属しないＷｅｂサイトのＵＲＬを格納するリストである。なお、具体的なホワイトリスト、ブラックリスト、グレーリストの形式は、後に説明する。

【0020】

クライアントシステム３０は、ＦＷ（ファイアウォール）３０２と、ＩＤＳ（不正侵入検知システム）３０４と、プロキシサーバ３０６と、追加認証サーバ３０８と、一つ以上の端末３１０とがＬＡＮ（ローカルエリアネットワーク）を介して接続した構成をとる。

【0021】

ＦＷ３０２は、外部からのシステムに関する攻撃を防御するために設けられるソフトウェア、あるいは、そのソフトウェアを搭載するハードウェアである。
ＩＤＳ３０４は、ネットワークを流れるパケットやコンピュータ内部の挙動を監視して、不正な動きを検知するシステムである。

【0022】

プロキシサーバ３０６は、内部ネットワークと外部ネットワークの境にあって、直接、外部ネットワークに接続できない内部ネットワークのコンピュータに代わって、「代理」として外部ネットワークとの接続をおこなうコンピュータ、また、そのための機能を実現するソフトウェアである。

【0023】

追加認証サーバ３０８は、端末に対して追加の認証を要求するサーバである。端末３１０は、Ｗｅｂサイトにアクセスするコンピュータである。
なお、ネットワーク２０はインターネットでもよいし、インターネットから直接アクセスを受けない閉鎖網でもよい。また、クライアントシステム３０においてＦＷ３０２とＩＤＳ３０４は必須ではない。

【0024】

次に、図２を用いて、アクセス管理システムの構成要素のハードウェア構成について説明する。

【0025】

図１に示したＦＷ３０２、ＩＤＳ３０４、プロキシサーバ３０６、追加認証サーバ３０８、端末３１０は、それぞれ、図２に示されるような、演算装置３２２、メモリ３２４、記憶装置３２６、および、通信装置３２８、表示装置３３０、入力装置３３２、等のデバイスがバスに接続して構成される。なお、サーバ等の構成によっては、あるデバイスを有しない場合もある。

【0026】

演算装置３２２は、メモリ３２４に格納されたプログラムの命令を実行し、各部の制御をおこなう。メモリ３２４は、半導体装置で実現され、プログラムや一時的なデータを格納する。記憶装置３２６は、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）などであり、大容量のデータを記憶する装置である。通信装置３２８は、ネットワーク２０を介して外部機器と通信をおこなう装置である。表示装置３３０は、液晶ディスプレイ等の結果等を表示する装置である。入力装置３３２は、キーボードやマウスなどの入力を受け付ける装置である。

【0027】

フィルタリング部１０２、ログ分析部１０４、リスト管理部１０６については、同じハードウェア構成をとってもよいし、記憶装置３２６やメモリ３２４に格納され演算装置３２２で実行されるプログラムとして、ソフトウェアで構成されてもよい。また、ログＤＢ１００、ホワイトリストＤＢ１１０、グレーリストＤＢ１１２、ブラックリストＤＢ１１４は、上記と同じハードウェア構成をとって、データベースサーバとして実現されてもよいし、単なるデータとして記憶装置３２６やメモリ３２４上に実現されてもよい。

【0028】

次に、図３を用いて、アクセス管理システムにおけるアクセス管理方法の処理の概要について説明する。
図３は、システムの構成要素とデータフローを示した概念図である。

【0029】

端末Ａ、Ｂ、ＣがそれぞれＷｅｂサイトＡ、Ｂ、Ｃにネットワーク２０を介してアクセスを試みる際、プロキシサーバ３０６が端末Ａ、Ｂ、ＣにＩＤとパスワードによる認証を要求し、そのログ２０２がログＤＢ１００に記録されるとする。このとき、ログ２０２には、どの端末がどのＷｅｂサイトにアクセスしようとしたのか、その認証は成功したのかなどといった情報が記録されている。

【0030】

図３では、端末Ａでは、ユーザがＷｅｂサイトにアクセスしようとしており、端末Ｃに、マルウェアが潜んで、ＷｅｂサーバＣがＣ＆Ｃサーバであり、端末Ｃに潜むマルウェアに、コマンドを送っている様子が示されている。

【0031】

本実施形態では、このような前提のもと、ＷｅｂサイトＡ、Ｂ、Ｃがホワイトリストまたはブラックリストどちらに含まれるかを判定して、ホワイトリスト等を自動的に生成する。

【0032】

先ず、リスト生成管理装置１０のフィルタリング部１０２は、ログ２０２から不要な情報を除去して、ログ分析部１０４へ送る。具体的な除去方法については後に、図４を用いて説明する。

【0033】

次に、ログ分析部１０４は、所定のアルゴリズムでログを分析して、表２０４のようなＷｅｂサイトがＣ＆Ｃサーバである確率（悪性度）の一覧を生成する。悪性度は、マルウェアとＣ＆Ｃサーバ間の特有のアクセスパターンがあることなどに基づいて算出されるアクセスするＷｅｂサイトを排除するために用いられる指標である。アルゴリズムの詳細については後に、図６を用いて説明する。
この図３の例では、分析の結果、ＷｅｂサイトＡの悪性度が０．０１％、ＷｅｂサイトＢが８０％、ＷｅｂサイトＣが９０％と算出されている。

【0034】

この例では、ＷｅｂサイトＡは、正規のＷｅｂサイトと予測される反面、ＷｅｂサイトＢ、Ｃは、Ｃ＆Ｃサーバなのか、分析アルゴリズムの特性上誤って悪性度が高く算出されただけなのか不明である。例えば、マルウェアではない正規のプログラムが情報収集のためニュースサイトなどに周期的にアクセスした場合、それとマルウェアがＣ＆Ｃサーバにアクセスする場合とを見分けることは困難である。そこで、リスト管理部１０６は、ＷｅｂサイトＡの情報をホワイトリスト２０６に格納し、ＷｅｂサイトＢ、Ｃの情報を、ホワイトでもブラックでもないものとしてグレーリスト２０８に格納しておく。その後、追加認証サーバ３０８は、グレーリスト２０８に格納されたＷｅｂサイトＢ、Ｃへのアクセスに対しては、プロキシ認証を突破した端末に対して追加の認証を要求する。ここで、この追加認証は、単純なＩＤパスワードの方式ではなく、ＣＡＰＴＣＨＡ（Completely Automated Public Turing Test to Tell Computers and Humans Apart、コンピュータと人間を区別する完全に自動化された公開チューリングテストの意味。日本では「画像認証」とも呼ばれる）やマトリクス認証（ユーザが予め設定した位置と順番を使って、アクセスするたびにランダムに表示が変わるマトリクス表からその位置と順番に当てはまる数字を抜き出してパスワードとして認識させる認証方式）のような、応答者が人間であれば突破できるがマルウェアの様なプログラムでは突破が困難となるような方式を用いる。そして、追加認証サーバ３０８は、追加認証に関する情報をログ２０２に記録しておく。詳細については、後に図７を用いて説明する。

【0035】

さて、図３に示したアクセス管理システムにおいて、一定期間経過後、ＷｅｂサイトＢへのアクセスに関しては追加認証を突破した端末がいくつか存在した反面、ＷｅｂサイトＣへはどの端末も追加認証を突破できなかったとする。このときリスト管理部１０６は、グレーリスト２０８からＷｅｂサイトＢの情報をホワイトリスト２０６に移動し、さらにＷｅｂサイトＣの情報をブラックリスト２１０に移動する。このようにして、ホワイトリストおよびブラックリストが、本システムにより自動的に生成される。

【0036】

生成されたホワイトリスト２０６およびブラックリスト２１０は、フィルタリング部１０２にてログ２０２から不要な情報を除去するために用いられる。すなわち、ホワイトリストに記載されたＷｅｂサイトは正規のサイトであり悪性度を算出する必要がないため、フィルタリング部１０２にて除去される。また、ブラックリストに記載されたＷｅｂサイトは、Ｃ＆Ｃサーバそのものであってあえて分析する必要もないため、これも除去される。このようにホワイトリスト等を用いて分析対象となるログの分量を削減することにより、分析処理にかかる時間を短縮することができる。さらに、本実施形態のアクセス管理システムを使用し続けることでホワイトリスト等が拡充され、分析処理時間をより短縮することができる。その結果、たとえＣ＆Ｃサーバを頻繁に変更させられたとしても効率的にログを分析できるようになり、マルウェア感染をより確実に検出できるようになる。

【0037】

以下、図４ないし図８を用いて、アクセス管理システムのホワイトリスト等を生成する処理の具体的な流れについて説明する。
図４は、プロキシサーバがログを収集してからホワイトリスト等を生成する処理を示すフローチャートである。
図５は、プロキシサーバのログの一例を示す図である。
図６は、ブラックリスト、グレーリスト、ホワイトリストの一例を示す図である。
図７は、ログ分析結果の一例を示す図である。
図８は、ログ分析としてのヒストグラムの一例を示す図である。

【0038】

先ず、フィルタリング部１０２は、プロキシサーバなどのログを収集する（Ｓ４０２）。図５（ａ）には、プロキシサーバのログ５０２の一例が示されている。このプロキシサーバログ５０２は、ＵＮＩＸ時刻で記載されたアクセス時刻と、接続先ＵＲＬ、端末アドレスと、ＨＴＴＰメソッドとＨＴＴＰステータスコードからなる。例えば。プロキシサーバログ５０２のＩＤ＝１のログから、ＵＮＩＸ時刻「1326034811.816」すなわち「2012年1月9日0時0分11秒」に、ＩＰアドレスが「151.125.109.231」の端末から、「www.google.com」へＨＴＴＰメソッド「GET」で接続しようとして、ＨＴＴＰステータスコード「TCP_DENIED/407」が返ったこと、すなわち、プロキシサーバによる認証が失敗したことを読み取ることができる。

【0039】

次に、フィルタリング部１０２は、収集したログをブラックリスト５０４と照合して合致するログを除外し、さらに警告をおこなう（Ｓ４０４）。図５（ａ）には、ブラックリスト５０４の一例が示される。図６（ａ）には、ブラックリスト５０４には、「www.XXXbank.com/css/skin_small_window.css」のように具体的なＵＲＬと、登録日「2012/01/17 18:30」が記載されている。ブラックリスト５０４の照合においては、このようにＵＲＬが完全一致した場合にログを除去してもよいし、ＵＲＬのドメイン名「www.XXXbank.com」が一致した場合にログを除去してもよい。このようにブラックリストと照合することにより、Ｃ＆Ｃサーバの検知率が高まる反面、正規のＷｅｂサイトを誤ってＣ＆Ｃサーバとみなす誤検知率も高まる。どちらを採用するかは入力装置３３２を介してユーザが決められるようにしてもよいし、予めいずれかに固定しておいてもよい。

【0040】

同様にフィルタリング部１０２は、収集したログをホワイトリストと照合し、合致するログを除外する（Ｓ４０６）。図６（ｃ）には、ホワイトリスト５０６の一例が示されている。図６（ｃ）のホワイトリスト５０６には、「www.google.com」のように具体的なＵＲＬと、登録日「2012/01/14 16:34」が記載されている。ホワイトリスト５０４の照合においても、ＵＲＬではなくドメイン名の一致で照合することも可能である。しかしながら、この場合、Ｃ＆Ｃサーバを誤って正規のＷｅｂサイトと誤認識する確率も高まる。これについてもどちらを採用するか入力装置３３２を介してユーザが決められるようにしてもよいし、予めいずれに固定しておいてもよい。

【0041】

なお、Ｓ４０４とＳ４０６の順番は逆でもよい。また、マルウェア作成者は頻繁にＣ＆Ｃサーバを変えることが多く、ブラックリストは陳腐化しやすいため、ブラックリストまたはホワイトリストに登録されているＵＲＬ情報について、リスト管理部１０６が登録日の古いものを順次削除してもよい。

【0042】

さて、一般に、プロキシサーバのログはプロキシサーバへのアクセス順に記録されるため、このままでは分析に向いていない。そこでフィルタリング部１０２は次に、ログの整形をおこなう（Ｓ４０８）。図５（ｂ）には、整形されたログ５０８の一例が示されている。ログ５０８では同一の接続先ＵＲＬおよび端末からのアクセスが連続するように順序が入れ替えられている。このような整形によりアクセス間隔が明らかとなり、特許文献１に記載されているような周期性の計算など高度な分析をおこなうことができるようになる。なお、このＳ４０８の処理は、ログの分析を容易にするためのステップであり、必須ではない。

【0043】

以上のようにフィルタリング部１０２がホワイトリスト等を用いてログから分析に不要な情報を除去した後、次にログ分析部１０４が、接続先ＵＲＬがＣ＆Ｃサーバである確率（悪性度）を算出する（Ｓ４１０）。図７には、ログ分析結果６０２が示されている。ログ分析結果６０２では悪性度の算出にアクセス端末割合、周期性強度など、Ｒ個の分析ルールを用いている。アクセス端末割合とは、１か月等一定期間に同じＷｅｂサイトにアクセスした端末の数をクライアントシステム３０に属する全端末数で割った値のことである。正規のＷｅｂサイトであればさまざまな端末がアクセスする反面、Ｃ＆Ｃサーバへのアクセスはマルウェアに感染した端末に限られ、それほど数が多くないことから、接続先の悪性度の算出に利用できる。値が大きいほど正規のＷｅｂサイトである可能性が高い。なお、当該期間は入力装置３３２を介してユーザが決められるようにしてもよいし、予め固定しておいてもよい。

【0044】

周期性強度とは、アクセス間隔が周期的であるほど大きくなるような値のことである。マルウェアとＣ＆Ｃサーバの間で攻撃命令などの情報を授受するとき、人間と比較してアクセスが周期的になりやすいため、周期性強度が大きいほど悪性度が高まると考えられる。以下、周期性強度の具体的な算出方法について説明する。先ず、整形されたログ５０８から、同一端末が同一の接続先に、１０分間隔等ある一定間隔ごとに何回アクセスしたかをカウントすることでヒストグラムを作成する。図６には、ヒストグラム６０４に一例が示されている。横軸がアクセス時刻、縦軸がアクセス数に対応している。ヒストグラム６０４では、Ｎ個のアクセス数ａ_０，…，ａ_Ｎ−１が得られている。１０分間隔でカウントしたとすると、ヒストグラム６０４は１０Ｎ分間のアクセスについて表現していることになる。周期性強度は、一般にフーリエ変換により求めることができる。すなわち、以下の（式１）によりヒストグラム６０４をフーリエ変換して周波数成分の集合｛Ａ_ｋ｝を求め、

【0045】

【数1】

【0046】

次に、以下の（式２）のように｛Ａ_ｋ｝から絶対値｜Ａ_ｋ｜が最大となるようなｋを求め、これをＫとしたとき、周期性強度Ｐは、以下の（式３）で求められる。ここで、Ａ_０は、周期的に変動しない直流成分である。

【0047】

【数2】

【0048】

【数3】

【0049】

【数4】

【0050】

このような複数の分析ルールによりＲ個のスコア｛Ｘ_ｔ｝が求められたとする。このとき悪性度Ｓは、（式４）のように、Ｒ個の重み｛ｒ_ｔ｝を掛け合わせた合計により与えられる。ここで重み｛ｒ_ｔ｝は、Ｘｔが大きいほど悪性度が高くすべき場合は正、そうでない場合は負となり、かつ、悪性度への寄与が高い分析ルールに対しては大きい値、そうでない場合は小さい値を取るように設定される。例えば、上記のアクセス端末数場合の重みは、負、周期性強度の重みは、正とする。図７に示した分析結果６０２の一例では、ｒ_０を−１、ｒ_１を１、ｒ_２からｒ_Ｒをすべて、０として悪性度を求めている。Ｎｏ＝１，２，３のアクセス端末割合が０．０００１でアクセス端末数が少なく、周期性強度も０．９以上あり比較的大きいため、悪性度が高く算出されている。一方、Ｎｏ＝１００００のようにアクセス端末数が多く、周期性強度も小さいような接続先ＵＲＬに対しては、悪性度が低く算出されている。なお、重み｛ｒ_ｔ｝や分析ルール適用における補助的な変数（ヒストグラム作成時におけるアクセス間隔など）は、入力装置３３２を介してユーザが決められるようにしてもよいし、予め固定しておいてもよい。

【0051】

以上のようなログ分析部１０４における分析処理が完了した後、リスト管理部１０６は、悪性度Ｓに基づき、接続先ＵＲＬをブラックリスト５０４、グレーリスト５０５、ホワイトリスト５０６に分類する（Ｓ４１２）。具体的には、しきい値Ｂ、Ｗを用いて、ＳがＢ以上のとき接続先ＵＲＬをブラックリスト５０４に（Ｓ４１４）、ＳがＢより大きくＷより小さいとき接続先ＵＲＬをグレーリスト５０５に（Ｓ４１６）、ＳがＷ以下のとき接続先ＵＲＬをホワイトリスト５０６に（Ｓ４１８）登録する。ここで、しきい値Ｂ、Ｗは入力装置３３２を介してユーザが決められるようにしてもよいし、予め固定しておいてもよい。なお、いずれの場合も必ずＢはＷよりも大きくなるように設定する。また、（式４）の重み｛ｒ_ｔ｝に応じて悪性度Ｓの取りうる値の範囲は変動するため、それに応じてしきい値Ｂ、Ｗを設定する必要がある。
以上、Ｓ４０２からＳ４１８までの処理ステップにより本発明のホワイトリスト等を生成する処理が完了する。

【0052】

本発明の特徴は、悪性度だけではＣ＆Ｃサーバを特定するのは困難であるため、ホワイトリストでもブラックリストでもないグレーリストを準備しておき、その後、応答者が人間であれば突破できるがマルウェアの様なプログラムでは突破が困難となるような方式で追加認証を行って、その結果に基づいてグレーリストをホワイトリストかブラックリストに振り分けることにある。

【0053】

そこで、以下、図９を用いて、アクセス管理システムの追加認証を含めた認証処理の具体的な処理の流れについて説明する。図９は、アクセス管理システムの認証処理を説明するフローチャートである。図１０は、認証処理の際のユーザインターフェイスを示す図である。

【0054】

先ず、端末３１０は、ネットワーク２０を介してＷｅｂサイトにアクセスをおこなう際、端末のＩＰアドレス、接続先ＷｅｂサイトのＵＲＬに関する情報をプロキシサーバ３０６に送信する（Ｓ７０２）。プロキシサーバ３０６は認証をおこなうため、図１０（ａ）に示されるように、端末３１０に対してＩＤとパスワードを要求する（Ｓ７０４）。認証が成功した場合Ｓ７０４に飛ぶ。失敗した場合は、再度ＩＤとパスワードを要求し、予め定めた回数連続して認証が失敗した場合接続不許可とする（Ｓ７１４）。

【0055】

プロキシサーバ３０６による認証を突破した場合、追加認証サーバ３０８が起動されて、接続先ＵＲＬをリスト生成管理装置１０のグレーリストＤＢ１１２と照合する（Ｓ７０６）。照合の結果接続先ＵＲＬがグレーリスト５０５に含まれていた場合、追加認証を要求する（Ｓ７０８）。そうでない場合はそのまま接続を許可する（Ｓ７１２）。

【0056】

追加認証には、図１０（ａ）に示されるようなＩＤとパスワードによる認証ではなく、図１０（ｂ）に示されるようにＣＡＰＴＣＨＡ（画像認証）やマトリクス認証のような別方式を採用する。この追加認証が成功したとき接続を許可し（Ｓ７１２）、予め定めた回数連続して認証が失敗した場合接続不許可とする（Ｓ７１４）。

【0057】

接続許可（Ｓ７１２）または不許可（Ｓ７１４）の処理の後、プロキシサーバ３０６および必要があれば追加認証サーバ３０８がログ５０２をログＤＢ１００に出力して（Ｓ７１６）、認証処理が完了する。プロキシサーバのログ５０２については先に図５（ａ）に示した通りである。追加認証サーバのログ５０２も同様であり、アクセス時刻、接続先ＵＲＬ、端末アドレス、ＨＴＴＰメソッド、ＨＴＴＰステータスコードなどの情報が格納される。図５のＩＤ＝３の例では、認証が失敗したことをステータスコード「TCP_DENIED/407」で示している。

【0058】

上記の追加認証処理により、グレーリストに含まれたＷｅｂサイトの情報をホワイトリストやブラックリストに振り分けることができる。

【0059】

以下、図１１を用いてその具体的な手順について説明する。図１１は、アクセス管理システムにおけるグレーリストをホワイトリストやブラックリストに振り分ける処理を示すフローチャートである。

【0060】

先ず、管理装置１０６は、追加認証サーバ３０８の一定期間分のログ５０２をログＤＢ１００から収集する（Ｓ８０２）。ここで、一定期間とは、追加認証の成否によってホワイトリスト等への振り分けができる程度にＷｅｂサイトへのアクセス情報が収集できるような、１か月程度の期間を想定している。当該期間は入力装置３３２を介してユーザが決められるようにしてもよいし、予め固定しておいてもよい。

【0061】

次に、リスト管理部１０６は、収集した追加認証サーバ３０８のログ５０２を接続先ＵＲＬごとにまとめ、図５（ｂ）に示したような整形されたログ５０８にする（Ｓ８０４）。ここで、接続先ＵＲＬの数をＮとする。

【0062】

次に、リスト管理部１０６は、添え字ｉを０とおいて（Ｓ８０６）、ｉ番目の接続先ＵＲＬ＿ｉについて追加認証を成功した回数を集計する（Ｓ８０８）。もし１回以上追加認証に成功していたら、ＵＲＬ＿ｉはマルウェアではなく人間によるアクセスでありＣ＆Ｃサーバではなかったと判断してＵＲＬ＿ｉをグレーリストＤＢ１１２から削除し、ホワイトリストＤＢ１１０に登録する（Ｓ８１０）。逆に一度も追加認証に成功していなかったら、ＵＲＬ＿ｉはマルウェアがアクセスを試みているＣ＆Ｃサーバであると判断して、ＵＲＬ＿ｉをグレーリストＤＢ１１２から削除し、ブラックリストＤＢ１１４に登録する（Ｓ８１２）。

【0063】

ｉがＮより小さければｉを１増やしてＳ８０８に戻り（Ｓ８１４、Ｓ８１６）、すべての接続先についてＳ８０８からＳ８１２の処理を施す。以上によりグレーリストのホワイトリスト等への振り分け処理が完了する。

【0064】

以上、本発明を実施するための形態について図１から図１１を用いて説明した。なお、これまでプロキシサーバ３０６のログに限定して説明したが、ＦＷやＩＤＳのログも接続先、接続元のアドレスやアクセス時刻等の情報を含んでおり、図４に示したフローチャートと同様の処理で悪性度を計算できるため、上記と同様のシステムおよび処理手順で、ＦＷまたはＩＤＳのログからホワイトリスト等を生成することも可能である。すなわち、プロキシサーバ３０６、ＦＷ３０２、ＩＤＳ３０４いずれか一つ以上の機器が存在し、いずれかの機器のログがあれば本発明を実施することができる。ただし、ＦＷやＩＤＳはプロキシサーバと異なりアクセス毎に認証するわけではないので、その場合には、図９のＳ７０４の処理は省略される。

【0065】

〔実施形態２〕
以下、本発明に係る第二の実施形態を、図１２および図１３を用いて説明する。
図１２は、第二の実施形態に係るアクセス管理システムを示すブロック図である。図１３は、アクセス管理システムにおけるグレーリストをホワイトリストやブラックリストに振り分ける処理を示すフローチャートである。

【0066】

上記第一の実施形態では、ホワイトリストでもブラックリストでもないグレーリストを準備しておき、追加認証の結果を用いてグレーリストをホワイトリストかブラックリストに振り分けることによって、ホワイトリスト等を自動で生成した。しかしながら、リスト生成管理装置１０とクライアントシステム３０の管轄が異なっているなどの理由により、クライアントシステム３０のＬＡＮに追加認証サーバ３０８を導入することが難しい場合がある。そこで、本実施形態では、追加認証サーバ３０８を用いずにホワイトリスト等を生成するシステムを提示する。

【0067】

第二の実施形態のアクセス管理システムは、図１に示したアクセス管理システムと比較して、クライアントシステム９０には追加認証サーバ３０８が存在せず、代わりにマルウェア検知装置９０２が端末９０４に直接接続されている。他の構成は、第一の実施形態のアクセス管理システムと同様である。マルウェア検知装置９０２は、端末９０４のメモリや記憶装置をスキャンするなどしてマルウェアの検知をおこなう装置である。マルウェア検知装置９０２のハードウェア構成は、図２に示したものと同様である。

【0068】

ここで、本実施形態のアクセス管理システムが、図４と同様のログ分析処理をおこなって、グレーリストＤＢ１１２にＷｅｂサイトに関する情報がＮ個蓄積されたとする。そのときに、図１３を用いてグレーリストをホワイトリストまたはブラックリストに振り分ける処理の具体手順について説明する。

【0069】

先ず、リスト管理部１０６は、添え字ｉを０とおいて（Ｓ１００２）、ログＤＢ１００に格納されているログ５０２を走査して、グレーリストＤＢ１１２に含まれるｉ番目の接続先ＵＲＬ＿ｉの端末９０４を特定する（Ｓ１００４）。

【0070】

次に、マルウェア検知装置９０２は、端末９０４のメモリや記憶装置をスキャンするなどしてマルウェアの検知をおこなう（Ｓ１００６、Ｓ１００８）。もし、端末９０４がマルウェアに感染していた場合、ＵＲＬ＿ｉをグレーリストＤＢ１１２から削除し、ブラックリストＤＢ１１４に登録する（Ｓ１１１０）。感染していなかった場合、ＵＲＬ＿ｉをグレーリストＤＢ１１２から削除し、ホワイトリストＤＢ１１０に登録する（Ｓ１１１２）。

【0071】

ｉがＮより小さければｉを１増やしてＳ１００４に戻り（Ｓ１０１４、Ｓ１０１６）、グレーリストＤＢ１１２に格納されているすべての接続先についてＳ１００４からＳ１０１２の処理を施す。以上によりグレーリストのホワイトリスト等への振り分け処理が完了する。

【0072】

なお、第一の実施形態と同様、プロキシサーバ３０６、ＦＷ３０２、ＩＤＳ３０４いずれか一つ以上の機器のログがあれば、本実施形態を実施することができる。

【0073】

以上、本発明の実施形態について説明したが、本発明の上記実施形態に限定されることなく、種々変形、応用して実施できる。
例えば、図１に示した、リスト生成管理装置１０は１台のサーバで構成せずに、各機能部を分けて複数のサーバで構成されてもよい。

【0074】

また、上記実施形態で説明した、「以上」、「以下」、「より大きい」、「より小さい」等の表現は、しきい値を含むか否かと言うような、数学的な意味ほど厳格なものである必要はない。本発明の趣旨を逸脱しない範囲で、しきい値を含んでもよいし、含まなくてもよい。

【符号の説明】

【0075】

１…アクセス管理システム、１０…リスト生成管理装置、１００…ログＤＢ、１０２…フィルタリング部、１０４…ログ分析部、１０６…リスト管理部、１１０…ホワイトリストＤＢ、１１２…グレーリストＤＢ、１１４…ブラックリストＤＢ、２０…ネットワーク、３０…クライアントシステム、３０２…ＦＷ、３０４…ＩＤＳ、３０６…プロキシサーバ、３０８…追加認証サーバ、３１０…端末、
２０２…ログ、２０２…表、２０６…ホワイトリスト、２０８…グレーリスト、２１０…ブラックリスト、
３２２…演算装置、３２４…メモリ、３２６…記憶装置、３２８…通信装置、３３０…表示装置、３３２…入力装置、
５０２…プロキシサーバログ、５０４…ブラックリスト、５０５…グレーリスト、５０６…ホワイトリスト、５０８…整形されたログ、６０２…分析結果、６０４…ヒストグラム、
２…アクセス管理システム、９０…クライアントシステム、９０２…マルウェア検知装置、９０４…端末。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】