特開 2024-146656 情報処理装置、情報処理方法、及び情報処理プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024146656

(43)【公開日】2024-10-15

(54)【発明の名称】情報処理装置、情報処理方法、及び情報処理プログラム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20241004BHJP

【ＦＩ】

G06F21/55 340

【審査請求】有

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2023069592

(22)【出願日】2023-04-20

(31)【優先権主張番号】P 2023059161

(32)【優先日】2023-03-31

(33)【優先権主張国・地域又は機関】JP

(71)【出願人】

【識別番号】500147023

【氏名又は名称】デジタルアーツ株式会社

(72)【発明者】

【氏名】道具 登志夫

(72)【発明者】

【氏名】猪俣 清人

(57)【要約】

【課題】組織内のデータを不正取得した攻撃者などの情報を事後的に取得することができる情報処理装置、情報処理方法、及び情報処理プログラムを提供する。
【解決手段】情報処理装置１０は、組織が管理しているネットワークにおける不正なアクセスを検知する不正アクセス検知部１２と、不正なアクセスが検知された際、偽装データを生成する偽装データ生成部１３と、偽装データをネットワーク内に配置する偽装データ配置部１４と、偽装データが端末によりアクセスされた際に、アクセス情報を取得する偽装データアクセス受信部１５と、を備える情報処理装置。
【選択図】図１

【特許請求の範囲】

【請求項1】

組織が管理しているネットワークにおける不正なアクセスを検知する不正アクセス検知部と、
不正なアクセスが検知された際、偽装データを生成する偽装データ生成部と、
前記偽装データを前記ネットワーク内に配置する偽装データ配置部と、
前記偽装データが端末によりアクセスされた際に、アクセス情報を取得する偽装データアクセス受信部と、
を備えることを特徴とする情報処理装置。

【請求項2】

前記偽装データ生成部は、端末によりアクセスされた際に、当該端末のＩＰアドレスを含むアクセス情報を、前記偽装データアクセス受信部に送信するデータを偽装データとして生成する、
ことを特徴とする請求項１に記載の情報処理装置。

【請求項3】

前記偽装データ生成部は、前記偽装データに対して所定のアクセス可能時間を設定する、
ことを特徴とする請求項１に記載の情報処理装置。

【請求項4】

前記偽装データ生成部は、予め定めた登録ワードを含むデータ名を有するデータを生成する、
ことを特徴とする請求項１に記載の情報処理装置。

【請求項5】

前記偽装データアクセス受信部は、前記偽装データにアクセスが発生したときに、管理者端末に通知する、
ことを特徴とする請求項１に記載の情報処理装置。

【請求項6】

前記偽装データアクセス受信部は、適切なＩＰアドレスを登録しておき、前記偽装データにアクセスがあった際に、当該ＩＰアドレスが適切なＩＰアドレスと一致する場合には、前記偽装データの開封を停止させる、
ことを特徴とする請求項１に記載の情報処理装置。

【請求項7】

組織が管理しているネットワークにおける不正なアクセスを検知するステップと、
不正なアクセスが検知された際、偽装データを生成するステップと、
前記偽装データを前記ネットワーク内に配置するステップと、
前記偽装データが端末によりアクセスされた際に、アクセス情報を取得するステップと、
を含むことを特徴とする情報処理方法。

【請求項8】

コンピュータを、
組織が管理しているネットワークにおける不正なアクセスを検知する機能、
不正なアクセスが検知された際、偽装データを生成する機能、
前記偽装データを前記ネットワーク内に配置する機能、
前記偽装データが端末によりアクセスされた際に、アクセス情報を取得する機能、
として機能させることを特徴とする情報処理プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、情報処理装置、情報処理方法、及び情報処理プログラムに関する。

【背景技術】

【0002】

近年、特定のターゲットに電子メールを送付し、メールの添付ファイルやリンク先のＵＲＬを介して組織内の端末にマルウエアをダウンロードさせて、ウイルスに感染させる標的型攻撃やＯＳやアプリケーションの脆弱性を利用して組織内に侵入し、重要なデータを窃取するサイバー攻撃が急増している。特に、ランサムウェアと呼ばれるマルウエアでは、組織内のネットワークに侵入し、システム内のデータを暗号化した上で、暗号化の解除と引き換えに金銭を要求する攻撃があり、ランサムウェアに感染した企業に大きな被害を与えている。

【0003】

悪意の攻撃を行うマルウエアは日々増加し、攻撃手法は巧妙化している一方で、未知のマルウエアを事前に把握し対応策を講じることやＯＳやアプリケーションの脆弱性を予め把握することは困難であるという課題がある。このため、組織内のネットワークに攻撃者の侵入を許した場合であっても、その不正侵入を早期に検知し、データが窃取や暗号化された場合にも迅速に対応する必要がある。

【0004】

従来では、攻撃者による組織内のネットワークシステムへの侵入を検知するために、囮（おとり）となるサーバを配置し、この囮サーバへのアクセス履歴に基づいて不正侵入を検知するシステムが開示されている。また、囮サーバ内に囮のデータを配置する技術も開示されている。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０１６－３３６９０号公報

【特許文献2】特開２００６－３０１７９８号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、攻撃者による不正侵入を検知し囮サーバ上で事前に設置した囮のデータを取得させ、実被害が無いようにできたとしても、データを不正取得した攻撃者の情報は詐称されていることがあり、その後の特定が困難である。また、囮のデータであっても不正取得後の当該データの流出場所、流出経路などの情報を取得することは容易ではない。このため、攻撃者の情報などが特定できずに、その後の攻撃対策が十分に行うことが出来ずに、新たな被害が発生するおそれがある。

【0007】

本発明はこのような事情を考慮してなされたもので、組織内のデータを不正取得した攻撃者などの情報を事後的に取得することができる情報処理装置、情報処理方法、及び情報処理プログラムを提供することを目的とする。

【課題を解決するための手段】

【0008】

本発明の実施形態に係る情報処理装置は、組織が管理しているネットワークにおける不正なアクセスを検知する不正アクセス検知部と、不正なアクセスが検知された際、偽装データを生成する偽装データ生成部と、前記偽装データを前記ネットワーク内に配置する偽装データ配置部と、前記偽装データが端末によりアクセスされた際に、アクセス情報を取得する偽装データアクセス受信部と、を備えることを特徴とする。

【発明の効果】

【0009】

本発明の実施形態により、組織内のデータを不正取得した攻撃者などの情報を事後的に取得することができる情報処理装置、情報処理方法、及び情報処理プログラムが提供される。

【図面の簡単な説明】

【0010】

【図1】本実施形態に係る情報処理装置の構成の一例を示す構成図。

【図2】偽装データが生成された場合の、ネットワーク内の保存ファイルの一覧を示す説明図。

【図3】情報処理装置において取得される、偽装データのアクセス情報を示す説明図。

【図4】本実施形態に係る情報処理装置において、組織内の偽装データが第三者に窃取されて、第三者が偽装データにアクセスした場合を示す模式図。

【図5】本実施形態に係る情報処理方法の一例を示すフローチャート。

【発明を実施するための形態】

【0011】

以下、本発明の実施形態を添付図面に基づいて説明する。
図１は、本実施形態に係る情報処理装置１０の構成の一例を示す図である。

【0012】

実施形態に係る情報処理装置１０は、組織が管理しているネットワークへの不正アクセスを検知した場合に、偽装データを生成し、当該偽装データをネットワーク内に配置して、この偽装データにアクセスした端末等の情報を取得するサーバである。

【0013】

本実施形態に係る情報処理装置１０の具体的な構成について説明する。
情報処理装置１０は、アクセス情報収集部１１と、不正アクセス検知部１２と、偽装データ生成部１３と、偽装データ配置部１４と、偽装データアクセス受信部１５と、を備えている。

【0014】

なお、情報処理装置１０を構成する各ユニットの機能は、所定のプログラムコードを、プロセッサを用いて実行することによって実現しても良く、このようなソフトウェア処理に限らず、例えば、ＡＳＩＣ等を用いたハードウェア処理で実現してもよいし、ソフトウェア処理とハードウェア処理とを組み合わせて実現してもよい。

【0015】

情報処理装置１０は、企業や団体等の組織が管理しているネットワークに配置されたサーバである。なお、組織が管理しているネットワークには、組織により構築され管理されるローカルネットワークとともに、当該ローカルネットワークの外部に配置されて、組織により管理されるサーバ等も含まれる。情報処理装置１０は、組織内の端末やネットワーク内に配置されたサーバと通信可能である。情報処理装置１０は、管理者の端末などを除き組織内の端末には、その存在を知らせない、またはアクセス権限を付与しない等、第三者の端末による不正侵入を検知するために配置されるものであってもよい。

【0016】

なお、第三者端末５０とは、組織に属していない第三者の端末であり、図１において、第三者端末５０ａは組織が管理しているネットワークに侵入を試みる第三者の端末を示しており、第三者端末５０ｂは第三者端末５０ａから偽装データを受領する端末を示している。

【0017】

アクセス情報収集部１１は、情報処理装置１０に対するアクセスに関する情報を収集する。アクセスに関する情報として、アクセス端末のＩＰアドレス、情報処理装置での認証時のＩＤ及びパスワード、当該アクセス端末を識別する識別情報、アクセス時間等の情報を収集、記録する。また、アクセス情報収集部１１は、組織内の別のサーバに対するアクセスに関する情報を収集してもよい。

【0018】

不正アクセス検知部１２は、組織が管理しているネットワークにおける不正なアクセスを検知する。不正アクセス検知方法として、具体的には、外部のＩＰアドレスによる、組織内のサーバ（外部アクセスを許可されていないサーバ）へのアクセスの検知、アクセスが許可されていない端末（組織内の端末も含む）からの組織内のサーバへのアクセス検知等により不正アクセスを検知する。情報処理装置１０にアクセス権限を設定している場合に、権限を有しない端末から当該情報処理装置１０へのアクセスがあった際に、不正アクセスとして検知してもよい。

【0019】

偽装データ生成部１３は、不正なアクセスが検知された際、偽装データを生成する。偽装データは、第三者にあえてアクセスさせてその端末の情報を収集するための囮となるデータであり、端末によりアクセスされた際に、端末のＩＰアドレスを含むアクセス情報を、偽装データアクセス受信部１５に送信するデータである。

【0020】

具体的には、偽装データは、アクセスした際に、アクセスした端末のＩＰアドレス、データへのアクセス時間、データ名、データの識別情報等のアクセス情報を、情報処理装置１０の偽装データアクセス受信部１５に送信可能なように実行スクリプトが組み込まれたデータである。データ名（ファイル名）とは、データに付される名称を意味する。なお、偽装データへのアクセスとは、偽装データの開封動作を実行することを意味する。

【0021】

偽装データは、データの形式はネットワーク内に保存されるファイル等のデータと同一の形式となるが、データの実体は無くてもよい。また、偽装データ生成部１３は、偽装データであることが判別できるように、識別情報を設定してもよい。

【0022】

偽装データ生成部１３は、偽装データに対して所定のアクセス可能時間を設定してもよい。アクセス可能時間は、データを閲覧ができる期限を意味しており、例えば、１週間に設定した場合、データが生成されたときから１週間の間だけデータの閲覧が可能となり、１週間経過後は閲覧不可となる。このように、生成された偽装データの閲覧期限を限定ですることで、偽装データが第三者間で流通することを防止できる。

【0023】

また、偽装データ生成部１３は、予め定めた登録ワードを含むデータ名（ファイル名）を有するデータを生成してもよい。予め定めた登録ワードとは、例えば「顧客情報」、「機密」、「秘密」、「開発」、「設計」、「実験」のように、データ内に個人情報や企業秘密を含むことが想定されるワードを意味している。偽装データ生成部１３は、登録ワードを含むデータ名（ファイル名）を付した偽装データを任意に生成する。この場合、偽装データを配置する組織内のデータ保存領域内にすでに存在しているファイル名と重複しない名称をファイル名として設定してもよい。

【0024】

偽装データ配置部１４は、生成された偽装データを、組織のネットワーク内に配置する。偽装データ配置部１４は、情報処理装置１０の内部にデータを配置してもよいし、ネットワーク内のファイル共有サーバ等に配置してもよい。

【0025】

図２は、偽装データが生成された場合の、ネットワーク内の保存ファイルを保存するフォルダの一覧を示す説明図である。

【0026】

図２に示すように、不正アクセスが検知された際に、偽装データとして「顧客情報Ｄファイル」が生成されて、組織内の保存ファイルを保存しているフォルダに「顧客情報Ｄファイル」が配置されている。ファイルの識別情報やデータ名（ファイル名）等により偽装データか否かを判断することができる。また、偽装データの更新日時については、偽装データが作成された時間でもよいし、作成時間の所定時間前（例えば作成時間の１日前）を更新時間に設定してもよい。第三者には、フォルダ内に偽装データが含まれていることに気づくことは困難となる。

【0027】

偽装データアクセス受信部１５は、偽装データがアクセスされた際に、偽装データにアクセスした端末の情報を受信する。偽装データアクセス受信部１５は、偽装データに組み込まれた実行スクリプトにより、第三者端末が偽装データにアクセスした際、端末のＩＰアドレス、データへのアクセス時間、データ名、データの識別情報等のアクセス情報を受信する。受信したアクセス情報を随時記録する。なお、端末のＩＰアドレスは、偽装データのアクセスにかかるＩＰアドレスを意味しており、端末自体のＩＰアドレスに限定されるものではなく、端末が中継装置などを介してアクセスする場合には、当該中継装置のＩＰアドレスも含まれる。

【0028】

また、偽装データアクセス受信部１５は、偽装データのアクセス情報について、組織のネットワークで利用されているＩＰアドレスにかかる端末のアクセス情報を除外してもよい。これにより、組織外からのアクセス情報だけを取得することができる。

【0029】

また、正規の組織や団体のＩＰアドレス等、適切なＩＰアドレス（悪意の第三者と関係のない事が確認されているＩＰアドレス）を登録しておき、偽装データにアクセス（開封動作）があった際に、アクセスにかかるＩＰアドレスが適切なＩＰアドレスと一致する場合には、偽装データの開封動作が停止される（データは開かれない）ようにしてもよい。これにより、適切なＩＰアドレスの端末では偽装データは開かれず、悪意の第三者である可能性が高い者の端末のみで偽装データが開かれることになる。なお、適切なＩＰアドレスは、管理者等によって登録されてよいし、組織や団体の電子メールなどから収集したＩＰアドレスを自動で登録してもよい。

【0030】

また、偽装データのアクセス情報について、適切なＩＰアドレスによるアクセス情報を除外してもよい。

【0031】

また、偽装データアクセス受信部１５は、偽装データに対するアクセスが発生したときに、情報処理装置１０の管理者端末に通知してもよい。

【0032】

図３は、情報処理装置１０において取得される、偽装データのアクセス情報を示す説明図である。

【0033】

図３に示すように、不正アクセス時に生成された「顧客情報Ｄ」ファイルについて、アクセス端末のＩＰアドレスとアクセス時間が取得される。アクセス者が変わった場合等によってＩＰアドレスが変化した場合にも、その変化を確認することができる。これにより、偽装データにアクセスした者の情報を取得することができるとともに、偽装データが第三者から第三者に転々と流通した場合であっても、アクセスした者の情報を取得することができる。ＩＰアドレスなどに基づいてアクセスを制限可能なサーバなどについては、偽装データにアクセスした端末のＩＰアドレスを悪意の第三者に関係するものとして通信を不許可に設定することで、同じＩＰアドレスの端末による攻撃を防ぐことができる。

【0034】

図４は、本実施形態に係る情報処理装置１０において、組織内の偽装データが第三者に窃取されて、第三者が偽装データにアクセスした場合の状態を示す模式図である。なお、ファイルサーバ２０は、組織が管理しているネットワークに設けられた、データを管理するためのサーバである。

【0035】

偽装データ生成部１３が、不正アクセスを検知した際に、偽装データを生成して、ファイルサーバ２０に配置する。第三者Ｘ（攻撃者）は、偽装データを含むデータを組織内のネットワークから窃取する。その後、第三者Ｘの第三者端末５０ａによりアクセスされた際に、偽装データアクセス受信部１５はそのアクセス情報を受信する。

【0036】

また、偽装データが、第三者Ｘから別の第三者Ｙに渡った場合であっても、第三者Ｙが偽装データにアクセスした際、その第三者端末５０ｂによるアクセス情報を受信することができる。これにより、不正アクセス後に、偽装データを取得した者のＩＰアドレス等の情報を取得することができ、攻撃者の情報を分析、追跡することができる。

【0037】

攻撃者は、ネットワークへの侵入時にはＩＰアドレスを偽装した上でデータ窃取を試みる場合があるが、取得した後は、警戒が解かれて自身の端末で窃取したデータを閲覧等、処理する場合がある。この場合に、偽装データからのアクセス情報により第三者の情報を取得することができる。これにより、攻撃者の特定につなげることができ、その後の攻撃対策を十分に行うことができる。

【0038】

図１に戻って説明を続ける。
続いて、本実施形態に係る情報処理装置１０の動作について説明する。
図５は、本実施形態に係る情報処理方法のフローチャートである（適宜、図１参照）。

【0039】

不正アクセス検知部１２は、組織が管理しているネットワークにおける不正なアクセスを検知した場合に、偽装データ生成部１３は、偽装データを生成する（Ｓ１０：ＹＥＳ，Ｓ１１）。不正アクセスを検知するまで待機状態となる（Ｓ１０：ＮＯ，Ｓ１１）。

【0040】

偽装データ配置部１４は、生成された偽装データを、組織のネットワーク内に配置する（Ｓ１２）。

【0041】

偽装データアクセス受信部１５は、偽装データへのアクセスがあった場合、偽装データのアクセス情報を取得する（Ｓ１３：ＹＥＳ、Ｓ１４）。継続してアクセスのある場合は、アクセス情報を取得して記録する。なお、アクセスがない場合は、アクセスがあるまで待機状態となる（Ｓ１３：ＮＯ、Ｓ１４）。

【0042】

このように、偽装データを取得した者に関するＩＰアドレス等の情報を取得することにより、不正アクセス後に、第三者の情報を収集、追跡することができる。

【0043】

以上述べた実施形態の情報処理装置によれば、組織が管理しているネットワークへの不正アクセスを検知した場合に、偽装データを生成し、当該偽装データをネットワーク内に配置して、この偽装データにアクセスした端末等の情報を取得することで、組織内のデータを不正取得した攻撃者などの情報を事後的に取得することができる。

【0044】

なお、情報処理装置１０で実行されるプログラムは、ＲＯＭ等の記憶回路に予め組み込んで提供される。もしくは、このプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、メモリカード、ＤＶＤ、フレキシブルディスク等のコンピュータで読み取り可能な記憶媒体に記憶されて提供するようにしてもよい。また、情報処理装置１０で実行されるプログラムは、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせて提供するようにしてもよい。

【0045】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0046】

１０…情報処理装置、１１…アクセス情報収集部、１２…不正アクセス検知部、１３…偽装データ生成部、１４…偽装データ配置部、１５…偽装データアクセス受信部、２０…ファイルサーバ、５０（５０ａ，５０ｂ）…第三者端末。

【図1】

【図2】

【図3】

【図4】

【図5】

【手続補正書】

【提出日】2024-07-23

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

組織が管理しているネットワークにおける不正なアクセスを検知する不正アクセス検知部と、
不正なアクセスが検知された際、偽装データを生成する偽装データ生成部と、
前記偽装データを前記ネットワーク内に配置する偽装データ配置部と、
前記偽装データが端末によりアクセスされた際に、アクセス情報を取得する偽装データアクセス受信部と、を備えて、
前記偽装データ生成部は、端末により前記ネットワークの外部から前記偽装データにアクセスされた際に、当該端末のＩＰアドレス及び当該偽装データの識別情報を含むアクセス情報を、前記偽装データアクセス受信部に送信する実行スクリプトが組み込まれたデータを偽装データとして生成する、
ことを特徴とする情報処理装置。

【請求項2】

前記偽装データ生成部は、前記偽装データに対して所定のアクセス可能時間を設定する、
ことを特徴とする請求項１に記載の情報処理装置。

【請求項3】

前記偽装データ生成部は、予め定めた登録ワードを含むデータ名を有するデータを生成する、
ことを特徴とする請求項１に記載の情報処理装置。

【請求項4】

前記偽装データアクセス受信部は、前記偽装データにアクセスが発生したときに、管理者端末に通知する、
ことを特徴とする請求項１に記載の情報処理装置。

【請求項5】

前記偽装データアクセス受信部は、適切なＩＰアドレスを登録しておき、前記偽装データにアクセスがあった際に、当該ＩＰアドレスが適切なＩＰアドレスと一致する場合には、前記偽装データの開封を停止させる、
ことを特徴とする請求項１に記載の情報処理装置。

【請求項6】

組織が管理しているネットワークにおける不正なアクセスを検知するステップと、
不正なアクセスが検知された際、偽装データを生成するステップと、
前記偽装データを前記ネットワーク内に配置するステップと、
前記偽装データが端末によりアクセスされた際に、アクセス情報を取得するステップと、
端末により前記ネットワークの外部から前記偽装データにアクセスされた際に、当該端末のＩＰアドレス及び当該偽装データの識別情報を含むアクセス情報を、前記偽装データアクセス受信部に送信する実行スクリプトが組み込まれたデータを偽装データとして生成するステップと、
を含むことを特徴とする情報処理方法。

【請求項7】

コンピュータを、
組織が管理しているネットワークにおける不正なアクセスを検知する機能、
不正なアクセスが検知された際、偽装データを生成する機能、
前記偽装データを前記ネットワーク内に配置する機能、
前記偽装データが端末によりアクセスされた際に、アクセス情報を取得する機能、
端末により前記ネットワークの外部から前記偽装データにアクセスされた際に、当該端末のＩＰアドレス及び当該偽装データの識別情報を含むアクセス情報を、前記偽装データアクセス受信部に送信する実行スクリプトが組み込まれたデータを偽装データとして生成する機能、
として機能させることを特徴とする情報処理プログラム。

【手続補正2】

【補正対象書類名】明細書

【補正対象項目名】０００８

【補正方法】変更

【補正の内容】

【0008】

本発明の実施形態に係る情報処理装置は、組織が管理しているネットワークにおける不正なアクセスを検知する不正アクセス検知部と、不正なアクセスが検知された際、偽装データを生成する偽装データ生成部と、前記偽装データを前記ネットワーク内に配置する偽装データ配置部と、前記偽装データが端末によりアクセスされた際に、アクセス情報を取得する偽装データアクセス受信部と、備えて、前記偽装データ生成部は、端末により前記ネットワークの外部から前記偽装データにアクセスされた際に、当該端末のＩＰアドレス及び当該偽装データの識別情報を含むアクセス情報を、前記偽装データアクセス受信部に送信する実行スクリプトが組み込まれたデータを偽装データとして生成することを特徴とする。