特許7192558不正アクセス監視システム、不正アクセス監視方法及び不正アクセス監視プログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2022-12-12
(45)【発行日】2022-12-20
(54)【発明の名称】不正アクセス監視システム、不正アクセス監視方法及び不正アクセス監視プログラム
(51)【国際特許分類】
G06F 21/31 20130101AFI20221213BHJP
G06F 21/45 20130101ALI20221213BHJP
G06F 21/55 20130101ALI20221213BHJP
【ＦＩ】
G06F21/31
G06F21/45
G06F21/55
【請求項の数】
5
(21)【出願番号】P 2019026848
(22)【出願日】2019-02-18
(65)【公開番号】P2020135317
(43)【公開日】2020-08-31
【審査請求日】2021-11-09
(73)【特許権者】
【識別番号】000005223
【氏名又は名称】富士通株式会社
(74)【代理人】
【識別番号】110002147
【氏名又は名称】弁理士法人酒井国際特許事務所
(72)【発明者】
【氏名】山下 聖悟
【審査官】平井 誠
(56)【参考文献】
【文献】特開２００９－０８９２７９（ＪＰ，Ａ）
【文献】特開２００５－２８３８４３（ＪＰ，Ａ）
【文献】特開２００９－１６９６１５（ＪＰ，Ａ）
【文献】特開２０１６－０６２４０９（ＪＰ，Ａ）
【文献】特開２００９－１７６３２３（ＪＰ，Ａ）
【文献】特開２０１５－２０７２４１（ＪＰ，Ａ）
【文献】特開２００２－０４１４６８（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／００－８８
(57)【特許請求の範囲】
【請求項1】
所定の監視対象装置に対するログイン認証を監視する監視部と、前記ログイン認証の受付時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率に基づいて前記監視対象装置に前記ログイン認証を要求する端末からのアクセスが不正アクセスであるか否かを判定する判定部と、
を有し、
前記判定部は、パスワードのリトライ回数が所定の閾値以上に達する前記端末から前記監視対象装置へのアクセスが不正アクセスであるか否かを過去所定回数の前記一致率の統計値に基づいて判定する、
ことを特徴とする不正アクセス監視システム。
【請求項2】
前記判定部は、前記一致率が所定の閾値未満である場合、前記端末からのアクセスが不正アクセスであると判定することを特徴とする請求項１に記載の不正アクセス監視システム。
【請求項3】
前記端末からのアクセスが不正アクセスと判定された場合、所定のおとりサーバへのログインを誘導する誘導部と、前記端末を前記おとりサーバへ誘導後、前記端末からのリモート操作に基づいて前記おとりサーバから外部へアクセスするパケットに前記端末に関する所定のデータを付加する付加部と、
前記所定のデータに関連付けて前記おとりサーバから外部へアクセスするログを記録する記録部とをさらに有することを特徴とする請求項１に記載の不正アクセス監視システム。
【請求項4】
所定の監視対象装置に対するログイン認証を監視し、前記ログイン認証の受付時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率に基づいて前記監視対象装置に前記ログイン認証を要求する端末からのアクセスが不正アクセスであるか否かを判定する、
処理をコンピュータに実行させ、
前記判定する処理は、パスワードのリトライ回数が所定の閾値以上に達する前記端末から前記監視対象装置へのアクセスが不正アクセスであるか否かを過去所定回数の前記一致率の統計値に基づいて判定する処理を含む、
ことを特徴とする不正アクセス監視プログラム。
【請求項5】
所定の監視対象装置に対するログイン認証を監視し、前記ログイン認証の受付時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率に基づいて前記監視対象装置に前記ログイン認証を要求する端末からのアクセスが不正アクセスであるか否かを判定する、
処理をコンピュータが実行し、
前記判定する処理は、パスワードのリトライ回数が所定の閾値以上に達する前記端末から前記監視対象装置へのアクセスが不正アクセスであるか否かを過去所定回数の前記一致率の統計値に基づいて判定する処理を含む、
ことを特徴とする不正アクセス監視方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、不正アクセス監視システム、不正アクセス監視方法及び不正アクセス監視プログラムに関する。
【背景技術】
【0002】
不正アクセスに対処する技術の一例として、不正利用検出可能ネットワークシステムが提案されている。例えば、不正利用検出可能ネットワークシステムでは、連続して誤った認証情報を連続して入力した回数と一連の認証動作が行われた期間と最後に正しい認証情報を入力しログインが成功したのか最後まで不成功に終わったかのかが不正アクセスの判断基準とされる。
【先行技術文献】
【特許文献】
【0003】
【文献】特開平１０－３４０２５４号公報
【文献】特開２００６－１８０３８９号公報
【文献】特開２００２－７２３４号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら、上記の技術では、不正アクセスの判定精度が低下する場合がある。
【0005】
すなわち、上記の不正利用検出可能ネットワークシステムでは、最後に正しい認証情報を入力しログインが成功したのか、あるいは最後まで不成功に終わったかのかが不正アクセスの判断基準とされる。ところが、最後に正しい認証情報が入力されたからといって一連のアクセスがアクセス権限を有する者による正常なアクセスとは限らない。なぜなら、一連のアクセスのうち最後のアクセスで入力された認証情報だけが正しかったという一面を指すものに過ぎず、全てのアクセスが正常なアクセスであるという根拠には欠ける側面があるからである。また、最後までログインが不成功に終わったからといって一連のアクセスが不正アクセスによるサイバー攻撃であるとも限らない。なぜなら、一連のアクセスで入力された認証情報が誤りであったとしても、その原因がアクセス権限を有する者の操作ミスや記憶違いであるケースがあるからである。
【0006】
１つの側面では、本発明は、不正アクセスの判定精度を向上させることができる不正アクセス監視システム、不正アクセス監視方法及び不正アクセス監視プログラムを提供することを目的とする。
【課題を解決するための手段】
【0007】
一態様では、不正アクセス監視システムは、所定の監視対象装置に対するログイン認証を監視する監視部と、前記ログイン認証の受付時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率に基づいて前記監視対象装置に前記ログイン認証を要求する端末からのアクセスが不正アクセスであるか否かを判定する判定部と、を有する。
【発明の効果】
【0008】
不正アクセスの判定精度を向上させることができる。
【図面の簡単な説明】
【0009】
【発明を実施するための形態】
【0010】
以下に添付図面を参照して本願に係る不正アクセス監視システム、不正アクセス監視方法及び不正アクセス監視プログラムについて説明する。なお、この実施例は開示の技術を限定するものではない。そして、各実施例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。
【実施例1】
【0011】
［システム構成］
図１は、実施例１に係る不正アクセス監視システムの構成例を示す図である。図１に示す不正アクセス監視システム１は、端末２から監視対象装置７Ａ～７Ｎへの不正アクセスを監視する不正アクセス監視サービスを提供するものである。
図１は、実施例１に係る不正アクセス監視システムの構成例を示す図である。図１に示す不正アクセス監視システム１は、端末２から監視対象装置７Ａ～７Ｎへの不正アクセスを監視する不正アクセス監視サービスを提供するものである。
【0012】
図１に示すように、不正アクセス監視システム１には、端末２と、ＮＷ（NetWork）装置５Ａ～５Ｎと、監視対象装置７Ａ～７Ｎと、おとりサーバ１０Ａ～１０Ｎとが含まれ得る。以下では、ＮＷ装置５Ａ～５Ｎのことを「ＮＷ装置５」と記載し、監視対象装置７Ａ～７Ｎのことを「監視対象装置７」と記載すると共に、おとりサーバ１０Ａ～１０Ｎのことを「おとりサーバ１０」と記載する場合がある。
【0013】
これらのうち、監視対象装置７及びそれに対応するおとりサーバ１０は、宅内や構内に構築されるＬＡＮ（Local Area Network）などの内部ネットワーク３に属する。この内部ネットワーク３は、宅外、あるいは構外のネットワーク、例えばインターネットなどとＮＷ装置５を介して接続される。
【0014】
端末２は、外部ネットワーク４に接続される任意のコンピュータに対応する。図１では、外部ネットワーク４の末端に位置するという側面からその一面を指すラベルを端末２として付与したが、このラベルによって端末２のハードウェア構成やソフトウェア機能は限定されない。
【0015】
ＮＷ装置５は、内部ネットワーク３に属するネットワークデバイスの一例に対応する。例えば、ＮＷ装置５は、内部ネットワーク３の構築に用いられる他、外部ネットワーク４を介する監視対象装置７へのアクセスを監視するためにも用いることができる。
【0016】
あくまでＮＷ装置５の一例として、監視対象装置７に接続されるエッジルータやエッジスイッチなどのデータ転送装置が挙げられる。このようなＮＷ装置５上で動作するＳＮＭＰ（Simple Network Management Protocol）エージェントがＳＮＭＰマネージャへ送信するＳＮＭＰトラップ等を介して、監視対象装置７に対する外部アクセスを監視することができる。なお、ＮＷ装置５の実態は、必ずしも上記のデータ転送装置に限定されない。例えば、監視対象装置７に対する外部アクセスを監視できるものであれば、他のネットワークデバイス、例えばオープンフローコントローラやＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention System）であってもかまわない。
【0017】
監視対象装置７は、上記の不正アクセス監視サービスの監視対象とされる装置である。この監視対象装置７は、当然のことながら、任意のコンピュータであってかまわない。例えば、監視対象装置７の例として、企業システム等の内部ネットワーク３に属するパーソナルコンピュータやワークステーション、メインフレームなどの他、各種のサーバ装置、例えばＷｅｂサーバやデータベースサーバなどが挙げられる。ここで挙げるマシンを監視対象装置７とすることで、最終目標に対するサイバー攻撃の踏み台として乗っ取るための不正アクセスを始め、ＳＮＳアカウントや顧客会員管理のマスタなどへ侵入するための不正アクセスなどを監視の範疇に含めることができる。なお、ここでは、内部ネットワーク３の例として、企業システムのネットワークを挙げたが、これに限定されず、企業以外の組織、例えば国や地方の公共団体、あるいは個人、例えば家庭等のネットワークであってもかまわない。
【0018】
おとりサーバ１０は、上記の不正アクセス監視サービスを提供するコンピュータの一例に対応する。おとりサーバ１０は、ハニーポットなどとも呼ばれる。図１には、あくまで説明の便宜上、監視対象装置７及びおとりサーバ１０が１対１に対応する例が示されているが、内部ネットワーク３に複数の監視対象装置７が含まれる場合、ハニーネットとして構築されることを妨げない。この場合、ハニーポットは、仮想マシンとして実装されることとしてもよく、１つの物理マシン上で複数のハニーポットが稼働されることとしてもかまわない。
【0019】
一実施形態として、おとりサーバ１０は、パッケージソフトウェア又はオンラインソフトウェアとして、上記の不正アクセス監視サービスに対応する機能を実現する不正アクセス監視プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、おとりサーバ１０は、上記の不正アクセス監視サービスを提供するサーバとしてオンプレミスに実装することとしてもよいし、アウトソーシングによって上記の不正アクセス監視サービスを提供するクラウドとして実装することとしてもかまわない。
【0020】
このような不正アクセス監視サービスのあくまで一例として、下記に挙げる複数のサービスがパッケージで提供される例を挙げて以下の説明を行う。例えば、不正アクセス監視サービスとしてパッケージ化されるサービスの１つとして、端末２から監視対象装置７Ａ～７Ｎへのアクセスが不正アクセスであるか否かを判定する不正アクセス判定サービスが挙げられる。さらには、不正アクセスが検知された端末２からのアクセスを監視対象装置７Ａ～７Ｎに対応するおとりサーバ１０Ａ～１０Ｎへ誘導して誘導後のアクセスログを記録するアクセスログ記録サービスなどが挙げられる。この他、上記のアクセスログに基づいてアラートやレポートを出力する情報出力サービスなどが挙げられる。
【0021】
［課題の一側面］
上記の背景技術の欄で説明した通り、不正アクセスの判定精度が低下する場合がある。
上記の背景技術の欄で説明した通り、不正アクセスの判定精度が低下する場合がある。
【0022】
すなわち、上記の不正利用検出可能ネットワークシステムでは、最後に正しい認証情報を入力しログインが成功したのか、あるいは最後まで不成功に終わったかのかが不正アクセスの判断基準とされる。ところが、最後に正しい認証情報が入力されたからといって一連のアクセスがアクセス権限を有する者による正常なアクセスとは限らない。なぜなら、一連のアクセスのうち最後のアクセスで入力された認証情報だけが正しかったという一面を指すものに過ぎず、全てのアクセスが正常なアクセスであるという根拠には欠ける側面があるからである。また、最後までログインが不成功に終わったからといって一連のアクセスが不正アクセスによるサイバー攻撃であるとも限らない。なぜなら、一連のアクセスで入力された認証情報が誤りであったとしても、その原因がアクセス権限を有する者の操作ミスや記憶違いであるケースがあるからである。
【0023】
［課題解決のアプローチの一側面］
そこで、本実施例に係るおとりサーバ１０は、ログイン要求時に入力されたパスワードが誤っていた場合に、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が高いか否かを不正アクセスの判断基準の１つとして用いるアプローチを採用する。すなわち、本実施例に係るおとりサーバ１０は、ログイン要求時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率が所定の閾値よりも低い場合、ログイン要求を行う端末２からのアクセスを不正アクセスと判定する。
そこで、本実施例に係るおとりサーバ１０は、ログイン要求時に入力されたパスワードが誤っていた場合に、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が高いか否かを不正アクセスの判断基準の１つとして用いるアプローチを採用する。すなわち、本実施例に係るおとりサーバ１０は、ログイン要求時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率が所定の閾値よりも低い場合、ログイン要求を行う端末２からのアクセスを不正アクセスと判定する。
【0024】
図２Ａ～図２Ｂ、図３Ａ～図３Ｃ及び図４Ａ～図４Ｃを用いて、３つのパスワードの入力パターンに関する不正アクセスの判定例を説明する。図２Ａ～図２Ｂ、図３Ａ～図３Ｃ及び図４Ａ～図４Ｃは、いずれも入力パスワードの一例を示す図である。なお、以下では、パスワード（password）のことを「ＰＷ」と略記する場合がある。さらに、以下では、アカウントに登録された正しいＰＷと、ログイン時に入力されるＰＷとのラベルを区別する側面から、前者のことを「登録ＰＷ」と記載すると共に、後者のことを「入力ＰＷ」と記載する場合がある。
【0025】
図２Ａ～図２Ｂ、図３Ａ～図３Ｃ及び図４Ａ～図４Ｃでは、あくまで一例として、ログイン要求が行われたアカウントに登録された正しいＰＷの桁数が「１０」であり、文字列が「１２３４５ａｂｃｄｅ」であるという条件の下で説明を行う。さらに、リトライ設定の一例として、ログインＩＤ（IDentification）又はＰＷのリトライ回数が所定の閾値、例えば「３」以上になるまでログイン認証のリトライが受け入れられることとする。さらに、不正アクセスが判定されるアクセスの一例として、リトライ回数が閾値以上に達するアクセスが不正アクセスであるか否かを入力ＰＷ及び登録ＰＷの一致率に基づいて判定することとする。
【0026】
【0027】
まず、端末２から監視対象装置７へ１回目のログイン要求が行われる。図２Ａには、１回目のログイン要求で入力されたＰＷの文字列が１桁目から１０桁目までの桁ごとに示されると共に、入力ＰＷのうち登録ＰＷの文字と一致する桁が反転表示されている。図２Ａに示すように、１回目にＰＷ「１１１１１１１１１１」が入力された場合、入力ＰＷ及び登録ＰＷの間では、１桁目の数字「１」は一致するものの、２桁目以降の文字列は不一致となる。この場合、入力ＰＷ及び登録ＰＷの一致率は「１０％（＝１／１０）」となる。以下、入力ＰＷ及び登録ＰＷの一致率のことを「リテラシヒット率」と記載する場合がある。この段階では、ＰＷのリトライ回数は「１」であり、閾値「３」には達していないので、２回目のログイン要求が行われた場合、ログイン認証のリトライが許可される。
【0028】
続いて、端末２から監視対象装置７へ２回目のログイン要求が行われる。図２Ｂには、２回目のログイン要求で入力されたＰＷの文字列が１桁目から１０桁目までの桁ごとに示されると共に、入力ＰＷのうち登録ＰＷの文字と一致する桁が反転表示されている。図２Ｂに示すように、２回目にＰＷ「１２３４５ａｂｃｄｅ」が入力された場合、入力ＰＷ及び登録ＰＷの間では、１桁目から１０桁目までの全ての桁の文字列が一致する。この場合、ログイン認証が成功する。
【0029】
【0030】
【0031】
まず、端末２から監視対象装置７へ１回目のログイン要求が行われる。図３Ａには、１回目のログイン要求で入力されたＰＷの文字列が１桁目から１０桁目までの桁ごとに示されると共に、入力ＰＷのうち登録ＰＷの文字と一致する桁が反転表示されている。図３Ａに示すように、１回目にＰＷ「１１１１１１１１１１」が入力された場合、入力ＰＷ及び登録ＰＷの間では、１桁目の数字「１」は一致するものの、２桁目以降の文字列は不一致となる。この場合、ＰＷのリテラシヒット率は「１０％（＝１／１０）」となる。この段階では、ＰＷのリトライ回数は「１」であり、閾値「３」には達していないので、２回目のログイン要求が行われた場合、ログイン認証のリトライが許可される。
【0032】
続いて、端末２から監視対象装置７へ２回目のログイン要求が行われる。図３Ｂには、２回目のログイン要求で入力されたＰＷの文字列が１桁目から１０桁目までの桁ごとに示されると共に、入力ＰＷのうち登録ＰＷの文字と一致する桁が反転表示されている。図３Ｂに示すように、２回目にＰＷ「１１１１１ａａａａａ」が入力された場合、入力ＰＷ及び登録ＰＷの間では、１桁目の数字「１」と、６桁目の英字「ａ」とが一致するものの、それ以外の文字列は不一致となる。この場合、ＰＷのリテラシヒット率は「２０％（２／１０）」となる。この段階においても、ＰＷのリトライ回数は「２」であり、閾値「３」には達していないので、３回目のログイン要求が行われた場合、ログイン認証のリトライが許可される。
【0033】
次に、端末２から監視対象装置７へ３回目のログイン要求が行われる。図３Ｃには、３回目のログイン要求で入力されたＰＷの文字列が１桁目から１０桁目までの桁ごとに示されると共に、入力ＰＷのうち登録ＰＷの文字と一致する桁が反転表示されている。図３Ｃに示すように、３回目にＰＷ「１２１２１ａｂａｂａ」が入力された場合、入力ＰＷ及び登録ＰＷの間では、１桁目の数字「１」、２桁目の数字「２」、６桁目の英字「ａ」及び７桁目の英字「ｂ」が一致するものの、それ以外の文字列は不一致となる。この場合、ＰＷのリテラシヒット率は「４０％（４／１０）」となる。
【0034】
このように３回目のログイン要求が端末２から行われた段階では、ＰＷのリトライ回数は「３」であり、閾値「３」に達する。この場合、ＰＷのリテラシヒット率に基づいて図３Ａ～図３Ｃに示す一連の入力ＰＷでログイン要求を行う端末２からのアクセスが不正アクセスであるか否かが判定される。
【0035】
ここでは、あくまで一例として、過去の所定回数、例えば直近の過去３回のリテラシヒット率の統計値、例えば平均値が不正アクセスの判定に用いられる例を挙げる。例えば、図３Ｃに示された直近の３回目のログイン要求から順に遡るとしたとき、過去３回のＰＷのリテラシヒット率は、４０％、２０％、１０％である。この例では、４０％、２０％及び１０％が平均されることにより、ＰＷのリテラシヒット率の平均値は、２３．３％（≒（４０％＋２０％＋１０％）／３）と算出される。このように算出されたＰＷのリテラシヒット率の平均値「２３．３％」は、所定の閾値と比較される。なお、ここでは、統計値の一例として、平均値を算出する例を挙げたが、他の統計値、例えば中央値や最頻値などを算出することとしてもかまわない。
【0036】
例えば、ＰＷのリテラシヒット率と比較する閾値は、下記に挙げる側面から設定される。例えば、正当なアカウントを有するユーザであれば、パスワードの一部の桁に操作ミスがあってもパスワードの全ての桁で操作ミスが発生することは想定しづらい。また、正当なアカウントを有するユーザであれば、記憶違いによってパスワードの一部に記憶があやふやな箇所があっても全ての桁の記憶がないという事態も想定しづらい。また、総当たり攻撃などの不正アクセスが行われる場合、入力パスワードの文字の組合せを１文字ずつ変えてリトライを続けるという反復処理が行われる。このため、リトライ回数が制限された状況では、入力パスワードの文字列をリトライの繰り返しによって登録パスワードの文字列に近付けることが困難であるので、ＰＷのリテラシヒット率が高くなることも想定しづらい。
【0037】
これらの側面から、ＰＷのリテラシヒット率と比較する閾値には、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が高く、かつ総当たり攻撃などのサイバー攻撃でない可能性が高いと識別できる程度の値、例えば８０％が設定される。
【0038】
ここで、直近の過去３回のＰＷのリテラシヒット率の平均値「２３．３％」は閾値「８０％」未満である。このため、図３Ａ～図３Ｃに示す一連の入力ＰＷでログイン要求を行う端末２からのアクセスが、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が低く、かつ総当たり攻撃などのサイバー攻撃である可能性が高いと識別できる。
【0039】
【0040】
【0041】
まず、端末２から監視対象装置７へ１回目のログイン要求が行われる。図４Ａには、１回目のログイン要求で入力されたＰＷの文字列が１桁目から１０桁目までの桁ごとに示されると共に、入力ＰＷのうち登録ＰＷの文字と一致する桁が反転表示されている。図４Ａに示すように、１回目にＰＷ「１２３４５ａｂｃｄｄ」が入力された場合、入力ＰＷ及び登録ＰＷの間では、１桁目の数字「１」から９桁目の英字「ｄ」までの計９桁は一致するものの、１０桁目は不一致となる。この場合、ＰＷのリテラシヒット率は「９０％（＝９／１０）」となる。この段階では、ＰＷのリトライ回数は「１」であり、閾値「３」には達していないので、２回目のログイン要求が行われた場合、ログイン認証のリトライが許可される。
【0042】
続いて、端末２から監視対象装置７へ２回目のログイン要求が行われる。図４Ｂには、２回目のログイン要求で入力されたＰＷの文字列が１桁目から１０桁目までの桁ごとに示されると共に、入力ＰＷのうち登録ＰＷの文字と一致する桁が反転表示されている。図４Ｂに示すように、２回目にＰＷ「１２３４５ａｂｃｄｂ」が入力された場合、入力ＰＷ及び登録ＰＷの間では、１桁目の数字「１」から９桁目の英字「ｄ」までの計９桁は一致するものの、１０桁目は不一致となる。この場合も、ＰＷのリテラシヒット率は「９０％（９／１０）」となる。この段階においても、ＰＷのリトライ回数は「２」であり、閾値「３」には達していないので、３回目のログイン要求が行われた場合、ログイン認証のリトライが許可される。
【0043】
次に、端末２から監視対象装置７へ３回目のログイン要求が行われる。図４Ｃには、３回目のログイン要求で入力されたＰＷの文字列が１桁目から１０桁目までの桁ごとに示されると共に、入力ＰＷのうち登録ＰＷの文字と一致する桁が反転表示されている。図４Ｃに示すように、３回目にＰＷ「１２３４５ａｂｃｄｃ」が入力された場合、入力ＰＷ及び登録ＰＷの間では、１桁目の数字「１」から９桁目の英字「ｄ」までの計９桁は一致するものの、１０桁目は不一致となる。この場合も、ＰＷのリテラシヒット率は「９０％（９／１０）」となる。
【0044】
このように３回目のログイン要求が端末２から行われた段階では、ＰＷのリトライ回数は「３」であり、閾値「３」に達する。この場合、ＰＷのリテラシヒット率に基づいて図４Ａ～図４Ｃに示す一連の入力ＰＷでログイン要求を行う端末２からのアクセスが不正アクセスであるか否かが判定される。
【0045】
例えば、図４Ｃに示された直近の３回目のログイン要求を含めて過去３つのログイン要求を遡るとしたとき、過去３回のＰＷのリテラシヒット率は、９０％、９０％、９０％である。この例では、９０％、９０％及び９０％が平均されることにより、ＰＷのリテラシヒット率の平均値は、９０％（≒（９０％＋９０％＋９０％）／３）と算出される。
【0046】
このように算出されたＰＷのリテラシヒット率の平均値「９０％」は、閾値「８０％」以上である。このため、図４Ａ～図４Ｃに示す一連の入力ＰＷでログイン要求を行う端末２からのアクセスが、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が高く、かつ総当たり攻撃などのサイバー攻撃である可能性が低いと識別できる。
【0047】
この結果、３回目のログイン認証が行われた時点では、図４Ａ～図４Ｃに示す一連の入力ＰＷでログイン要求を行う端末２からのアクセスは、不正アクセスでないと判定される。このように不正アクセスでないと判定された場合、ＰＷのリトライ回数が閾値に達する場合でも、４回目以降のログイン認証のリトライが許可される。その後、４回目以降のログイン要求が行われる場合、ＰＷのリテラシヒット率の平均値が閾値「８０％」を下回らない限りは、不正アクセスでないと判定される結果、ログイン認証のリトライが許可される。なお、４回目のログイン要求では、２回目から４回目までのＰＷのリテラシヒット率の平均値が不正アクセスの判定に用いられる。また、５回目のログイン要求では、３回目から５回目までのＰＷのリテラシヒット率の平均値が不正アクセスの判定に用いられる。
【0048】
以上のように、本実施例に係るおとりサーバ１０は、ログイン要求時に入力されたパスワードと正しいパスワードとの文字列の一致率が所定の閾値よりも低い場合、ログイン要求を行う端末２からのアクセスを不正アクセスと判定する。それ故、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が低く、かつ総当たり攻撃などのサイバー攻撃である可能性が高いログイン要求を不正アクセスと識別できる。さらに、逆説的に言えば、ログイン要求時に入力されたパスワードと正しいパスワードとの文字列の一致率が所定の閾値以上である場合、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が高く、かつ総当たり攻撃などのサイバー攻撃である可能性が低いログイン要求を正常なアクセスと識別できる。したがって、本実施例に係るおとりサーバ１０によれば、不正アクセスの判定精度を向上させることができる。
【0049】
［おとりサーバ１０の構成］
図５は、実施例１に係るおとりサーバ１０の機能的構成の一例を示すブロック図である。図５に示すように、おとりサーバ１０は、通信Ｉ／Ｆ（InterFace）部１１と、記憶部１３と、制御部１５とを有する。なお、図５には、データの授受の関係を表す実線が示されているが、説明の便宜上、最小限の部分について示されているに過ぎない。すなわち、各処理部に関するデータの入出力は、図示の例に限定されず、図示以外のデータの入出力、例えば処理部及び処理部の間、処理部及びデータの間、並びに、処理部及び外部装置の間のデータの入出力が行われることとしてもかまわない。
図５は、実施例１に係るおとりサーバ１０の機能的構成の一例を示すブロック図である。図５に示すように、おとりサーバ１０は、通信Ｉ／Ｆ（InterFace）部１１と、記憶部１３と、制御部１５とを有する。なお、図５には、データの授受の関係を表す実線が示されているが、説明の便宜上、最小限の部分について示されているに過ぎない。すなわち、各処理部に関するデータの入出力は、図示の例に限定されず、図示以外のデータの入出力、例えば処理部及び処理部の間、処理部及びデータの間、並びに、処理部及び外部装置の間のデータの入出力が行われることとしてもかまわない。
【0050】
通信Ｉ／Ｆ部１１は、他の装置、例えば端末２やＮＷ装置５、監視対象装置７との間で通信制御を行うインタフェースの一例に対応する。
【0051】
一実施形態として、通信Ｉ／Ｆ部１１には、ＬＡＮカードなどのネットワークインタフェースカードを採用することができる。例えば、通信Ｉ／Ｆ部１１は、ＮＷ装置５から任意のＳＮＭＰトラップや任意のＳＮＭＰコマンドに対するレスポンスを受信したり、また、任意のＳＮＭＰコマンドをＮＷ装置５へ送信したりする。また、通信Ｉ／Ｆ部１１は、監視対象装置７から任意のＳＮＭＰトラップや任意のＳＮＭＰコマンドに対するレスポンスを受信したり、また、任意のＳＮＭＰコマンドを監視対象装置７へ送信したりする。この他、通信Ｉ／Ｆ部１１は、おとりサーバ１０へのリモートログインを誘導する通知を端末２へ送信したり、また、端末２からおとりサーバ１０へのログイン情報を受け付けたりする。
【0052】
記憶部１３は、制御部１５で実行されるＯＳ（Operating System）を始め、上記の不正アクセス監視プログラムなどの各種プログラムに用いられるデータを記憶する機能部の一例に対応する。
【0053】
一実施形態として、記憶部１３は、おとりサーバ１０における補助記憶装置に対応する。例えば、ＨＤＤ（Hard Disk Drive）、光ディスクやＳＳＤ（Solid State Drive）などが補助記憶装置に対応する。この他、ＥＰＲＯＭ（Erasable Programmable Read Only Memory)などのフラッシュメモリも補助記憶装置に対応する。
【0054】
記憶部１３は、制御部１５で実行されるプログラムに用いられるデータの一例として、ＰＩＤ情報１３Ａと、誤入力情報１３Ｂと、アクセスログ情報１３Ｃとを記憶する。これらＰＩＤ情報１３Ａ、誤入力情報１３Ｂ及びアクセスログ情報１３Ｃ以外にも、記憶部１３は、他の電子データ、例えば不正アクセスの判定やアラートの出力に用いる閾値の設定などを記憶することができる。なお、ＰＩＤ情報１３Ａ、誤入力情報１３Ｂ及びアクセスログ情報１３Ｃの説明は、各データの登録または参照が行われる制御部１５の説明と合わせて行うこととする。
【0055】
制御部１５は、おとりサーバ１０の全体制御を行う処理部である。
【0056】
一実施形態として、制御部１５は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などのハードウェアプロセッサにより実装することができる。ここでは、プロセッサの一例として、ＣＰＵやＭＰＵを例示したが、汎用型および特化型を問わず、任意のプロセッサにより実装することができる。この他、制御部１５は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などのハードワイヤードロジックによって実現されることとしてもかまわない。
【0057】
制御部１５は、上記の不正アクセス監視プログラムを実行することにより、図示しない主記憶装置として実装されるＤＲＡＭ（Dynamic Random Access Memory）などのＲＡＭのワークエリア上に図５に示す処理部を仮想的に実現する。
【0058】
制御部１５は、図５に示すように、第１監視部１５Ａと、取得部１５Ｂと、判定部１５Ｃと、誘導部１５Ｄと、生成部１５Ｅと、模倣部１５Ｆと、第２監視部１５Ｇと、付加部１５Ｈと、更新制御部１５ｊと、出力部１５Ｋとを有する。
【0059】
これら図５の制御部１５に示された処理部は、おとりサーバ１０やＯＳの起動時に自動的に実行されて常に動作し続ける常駐のプロセスとして実装される。あくまで一例として、第１監視部１５Ａ、取得部１５Ｂ、判定部１５Ｃ、誘導部１５Ｄ、生成部１５Ｅ、模倣部１５Ｆ、第２監視部１５Ｇ、付加部１５Ｈ、更新制御部１５ｊ及び出力部１５Ｋは、デーモンプロセスとして機能させることができる。
【0060】
なお、ここでは、上記の不正アクセス監視サービスに対応する機能がパッケージ化された不正アクセス監視プログラムが実行される例を挙げるが、これに限定されない。例えば、上記の不正アクセス監視サービスのうち、上記のアクセスログ記録サービスや上記の情報出力サービスなどの単位でプログラムモジュールが実行されたり、あるいはライブラリが参照されたりすることとしてもかまわない。
【0061】
第１監視部１５Ａは、端末２から監視対象装置７への外部アクセスを監視する処理部である。第１監視部１５Ａは、監視部の一例に対応する。
【0062】
一実施形態として、第１監視部１５Ａは、ＳＮＭＰマネージャの機能を用いて端末２から監視対象装置７への外部アクセスを監視することができる。例えば、第１監視部１５Ａは、ＳＮＭＰエージェントが動作するＮＷ装置５から、端末２から監視対象装置７へのリモート接続のログイン要求を通知するＳＮＭＰトラップを受信する。このようなリモート接続の一例として、ＴｅｌｎｅｔやＳＳＨ（Secure SHell）などのコマンドを用いたリモートログインやＲＤＰ（Remote Desktop Protocol）を用いたリモートログインなどが挙げられる。そして、ＳＮＭＰトラップが受信された場合、第１監視部１５Ａは、ＰＩＤ情報１３Ａを参照して、端末２から監視対象装置７へのリモート接続のログイン要求が行われるパケットにＰＩＤが付加されているか否かを判定する。
【0063】
ここで、「ＰＩＤ（Process IDentification）」とは、不正アクセスと判定された端末２によりリモートログインされたおとりサーバ１０により生成されるＩＤを指す。詳細は後述するが、あくまで一例として、ＰＩＤは、不正アクセスと判定された端末２の送信元ＩＰアドレス、あるいはリモートログイン時に端末２から受け付けたアカウント情報、例えばパスワードなどが暗号化されることにより生成される。
【0064】
このようにＰＩＤが生成された場合、ＰＩＤ発行元のおとりサーバ１０は、ＰＩＤ発行元以外の他のおとりサーバ１０に対し、当該ＰＩＤとＰＩＤ発行元のおとりサーバ１０の識別情報とを対応付けて送信する。これによって、ＰＩＤとＰＩＤ発行元のおとりサーバ１０の識別情報とが対応付けられたエントリのリストがＰＩＤ情報１３ＡとしてＰＩＤ発行元のおとりサーバ１０およびＰＩＤ発行元以外の他のおとりサーバ１０の記憶部１３の間で共有される。
【0065】
さらに、不正アクセスと判定された端末２によりリモート接続されたおとりサーバ１０は、端末２からのリモート操作に基づいて当該おとりサーバ１０から他の装置へ外部アクセスが行われる場合、当該外部アクセスのパケットにＰＩＤを付加する。このようなＰＩＤの付加は、ＰＩＤ発行元のおとりサーバ１０のみならず、ＰＩＤ発行後に端末２がリモート接続を繰り返す全てのおとりサーバ１０により連動して行われる。これによって、全ての踏み台のおとりサーバ１０の間でＰＩＤがリレーされる。
【0066】
このようにリレーされるＰＩＤを端末２から監視対象装置７へのリモート接続のログイン要求から検出する側面から、第１監視部１５Ａは、当該リモート接続のログイン要求が行われるパケットにＰＩＤ情報１３Ａに含まれるＰＩＤのいずれかが付加されているかを判定する。
【0067】
ここで、リモート接続のログイン要求のパケットがＰＩＤ付きのパケットでない場合、当該リモート接続のログイン要求を行う端末２がこの時点で不正アクセスと判定されていないアクセス元であると識別できる。一方、リモート接続のログイン要求のパケットがＰＩＤ付きのパケットである場合、当該リモート接続のログイン要求を行う端末２が既にこれまでの時点で不正アクセスと判定されたアクセス元であると識別できる。
【0068】
取得部１５Ｂは、ログイン認証のログを取得する処理部である。
【0069】
一実施形態として、取得部１５Ｂは、ＳＮＭＰマネージャの機能を用いてログイン認証のログを取得する。例えば、取得部１５Ｂは、リモート接続のログイン要求のパケットがＰＩＤ付きのパケットでない場合、ログイン認証のイベントログを取得するＳＮＭＰコマンドを監視対象装置７上で動作するＳＮＭＰエージェントを送信する。このＳＮＭＰコマンドのレスポンスとして、取得部１５Ｂは、ログイン認証のイベントログを取得する。
【0070】
判定部１５Ｃは、端末２からの外部アクセスが不正アクセスであるか否かを判定する処理部である。
【0071】
一実施形態として、判定部１５Ｃは、取得部１５Ｂにより取得されたログイン認証のイベントログのうち最新のログイン認証がＮＧであるか否かを判定する。このとき、最新のログイン認証がＮＧである場合、判定部１５Ｃは、記憶部１３に記憶された誤入力情報１３Ｂを更新する。例えば、誤入力情報１３Ｂには、送信元ＩＰアドレス、ログインＩＤ、ＰＷ、ｍｉｓｓ及びＰＷＨｉｔＡｖｒなどの項目が対応付けられたデータを採用できる。このうち、「送信元ＩＰアドレス」とは、ログイン認証がＮＧであったログイン要求元の端末２のＩＰアドレスを指す。また、「ログインＩＤ」とは、端末２により入力されたログインＩＤを指す。また、「ＰＷ」とは、端末２により入力されたパスワードを指す。また、「ｍｉｓｓ」とは、ログインＩＤ及びパスワードのアカウント情報のうち入力された項目が誤りであった項目を指す。なお、ログインＩＤ及びパスワードの両方が誤りである場合、ｍｉｓｓのフィールドにはログインＩＤが登録されることとする。また、「ＰＷＨｉｔＡｖｒ」とは、ＰＷのリテラシヒット率を指す。
【0072】
図６は、誤入力情報１３Ｂの一例を示す図である。図６には、送信元ＩＰアドレス「192.168.1.xxx」に関するエントリが抜粋して示されている。図６に示す誤入力情報１３Ｂの例で言えば、送信元ＩＰアドレス「192.168.1.xxx」の端末２がこれまでに３回のＰＷの入力の誤りがあり、１回目から３回目までのリテラシヒット率が「０％」、「３３．３％」、「０％」であることをコンピュータに識別させることができる。
【0073】
誤入力情報１３Ｂが更新された後、判定部１５Ｃは、誤入力情報１３Ｂに追加された最新のエントリの送信元ＩＰアドレスと同一のＩＰアドレスを持つエントリがそれ以前にも存在するか否かを判定する。このとき、同一のＩＰアドレスを持つエントリがそれ以前にも存在する場合、判定部１５Ｃは、誤入力情報１３Ｂを参照して、ログインＩＤのリトライ回数、ＰＷのリトライ回数および過去の所定回数、例えば直近の過去３回のリテラシヒット率の統計値を算出する。例えば、図６に示す誤入力情報１３Ｂの例で言えば、ログインＩＤの入力の誤りは記録されていないので、ログインＩＤのリトライ回数は「０」と算出される。また、ＰＷの入力の誤りが３回記録されているので、ＰＷのリトライ回数は「３」と算出される。さらに、過去３回のＰＷのリテラシヒット率は「０％」、「３３．３％」、「０％」であるので、過去３回のＰＷのリテラシヒット率の平均値が「１１．１％＝（０％＋３３．３％＋０％）／３」と算出される。
【0074】
これらログインＩＤのリトライ回数、ＰＷのリトライ回数及び過去３回のＰＷのリテラシヒット率の平均値のうち少なくともいずれか１つに基づいて、判定部１５Ｃは、端末２から監視対象装置７への外部アクセスが不正アクセスであるか否かを判定する。
【0075】
あくまで一例として、判定部１５Ｃは、ログインＩＤのリトライ回数が所定の閾値Ｔｈ１、例えば３回以上であるか否かを判定する。このとき、ログインＩＤのリトライ回数が閾値Ｔｈ１以上である場合、端末２からの外部アクセスが不正アクセスであると判定される。一方、ログインＩＤのリトライ回数が閾値Ｔｈ１以上でない場合、判定部１５Ｃは、ＰＷのリトライ回数が所定の閾値Ｔｈ２、例えば３回以上であるか否かを判定する。このとき、ＰＷのリトライ回数が閾値Ｔｈ２以上でない場合、端末２からの外部アクセスは不正アクセスと判定されず、次のログイン認証のリトライが許可される。一方、ＰＷのリトライ回数が閾値Ｔｈ２以上である場合、判定部１５Ｃは、過去３回のＰＷのリテラシヒット率の平均値が所定の閾値Ｔｈ３、例えば８０％未満であるか否かをさらに判定する。
【0076】
ここで、過去３回のＰＷのリテラシヒット率の平均値が閾値Ｔｈ３未満である場合、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が低く、かつ総当たり攻撃や辞書攻撃などのサイバー攻撃である可能性が高いと識別できる。この場合、端末２からの外部アクセスが不正アクセスであると判定される。一方、過去３回のＰＷのリテラシヒット率の平均値が閾値Ｔｈ３未満でない場合、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が高く、かつ総当たり攻撃などのサイバー攻撃である可能性が低いと識別できる。この場合、端末２からの外部アクセスは不正アクセスと判定されず、次のログイン認証のリトライが許可される。
【0077】
誘導部１５Ｄは、おとりサーバ１０へのログインを誘導する処理部である。
【0078】
一実施形態として、誘導部１５Ｄは、判定部１５Ｃにより端末２からの外部アクセスが不正アクセスであると判定された場合、あるいはリモート接続のログイン要求のパケットがＰＩＤ付きのパケットである場合、おとりサーバ１０へのログインを誘導する。ここで、おとりサーバ１０へのログインを誘導する手法には、公知の技術であれば任意のものを用いることができるが、一例として、誘導部１５Ｄは、おとりサーバ１０へのログイン画面を端末２へ送信する。図７は、おとりサーバ１０へのログイン画面の一例を示す図である。図７に示すように、端末２からの外部アクセスが不正アクセスであると判定されたことを察知させずにハニーポットへ誘導する側面から、ログイン画面７０では、ログイン認証で入力されたログインＩＤは正しいものの、入力ＰＷが誤りであると錯覚させる表示が行われる。このとき、おとりサーバ１０へのログインを速やかに促す側面から、ログイン画面７０には、図７に示す通り、正解のパスワードを想起できるヒント、例えば監視対象装置７から推測や連想が可能なメッセージをさらに表示させることもできる。このようなログイン画面７０を通じて、端末２からおとりサーバ１０へログイン要求が行われた場合、リモートログインが成功してＳＳＨ接続やリモートデスクトップ接続のセッションが確立されたかの如く振舞う。
【0079】
生成部１５Ｅは、ＰＩＤを生成する処理部である。
【0080】
一実施形態として、生成部１５Ｅは、誘導部１５Ｄによるおとりサーバ１０へのログイン誘導後に端末２からおとりサーバ１０へログイン要求が行われた場合、不正アクセスと判定された端末２の送信元ＩＰアドレス、あるいはリモートログイン時に端末２から受け付けたアカウント情報、例えばパスワードなどを暗号化することによりＰＩＤを生成する。このとき、生成部１５Ｅは、あくまで一例として、ＲＳＡ（Rivest-Shamir-Adleman cryptosystem）暗号化を用いることができる。この他、他の公開鍵暗号を用いることもできれば、共通鍵暗号を用いることとしてもかまわない。
【0081】
その後、生成部１５Ｅは、他のおとりサーバ１０に対し、当該ＰＩＤとＰＩＤ発行元のおとりサーバ１０の識別情報とを対応付けて送信する。これによって、ＰＩＤとＰＩＤ発行元のおとりサーバ１０の識別情報とが対応付けられたエントリのリストがＰＩＤ情報１３ＡとしてＰＩＤ発行元のおとりサーバ１０およびＰＩＤ発行元以外の他のおとりサーバ１０の間で共有させる。このようなＰＩＤの共有と同時または並行して、生成部１５Ｅは、判定部１５Ｃにより不正アクセスと判定された端末２に関するエントリを記憶部１３に記憶されたアクセスログ情報１３Ｃに追加する。
【0082】
模倣部１５Ｆは、監視対象装置７の動作を模倣する処理部である。
【0083】
一実施形態として、模倣部１５Ｆは、誘導部１５Ｄによるおとりサーバ１０へのログイン誘導後に端末２からおとりサーバ１０へログイン要求が行われた場合、監視対象装置７の動作の模倣を開始する。このとき、模倣部１５Ｆは、リモート接続のセッションが確立中であると振舞う側面からおとりサーバ１０及び端末２の間で共有される擬似セッションＩＤに関連付けてＰＩＤを図示しない内部メモリに保存する。なお、監視対象装置７の動作の模倣には、公知のハニーポットの構築技術、例えば高対話型ハニーポットや低対話型ハニーポット、仮想ハニーポットなどを適用することができる。
【0084】
第２監視部１５Ｇは、おとりサーバ１０から外部ネットワーク４上の外部の装置へアクセスする外部アクセスを監視する処理部である。
【0085】
一実施形態として、第２監視部１５Ｇは、誘導部１５Ｄによるおとりサーバ１０へのログイン誘導後に端末２からおとりサーバ１０へログイン要求が行われた場合、ＳＮＭＰマネージャの機能を用いておとりサーバ１０から外部ネットワーク４上の外部装置へアクセスする外部アクセスを監視することができる。例えば、第２監視部１５Ｇは、模倣部１５Ｆにより監視対象装置７の動作の模倣が開始された後、おとりサーバ１０からの外部アクセスを通知するＳＮＭＰトラップを受信する。
【0086】
付加部１５Ｈは、おとりサーバ１０が外部へ出力するパケットにＰＩＤを付加する処理部である。
【0087】
一実施形態として、付加部１５Ｈは、第２監視部１５Ｇによりおとりサーバ１０からの外部アクセスが検知された場合、図示しない内部メモリに擬似セッションＩＤに関連付けて保存されたＰＩＤを当該外部アクセスのパケットに付加する。
【0088】
更新制御部１５Ｋは、アクセスログ情報１３Ｃの更新を制御する処理部である。更新制御部１５Ｋは、記録部の一例に対応する。
【0089】
１つの側面として、更新制御部１５Ｋは、第２監視部１５Ｇによりおとりサーバ１０からの外部アクセスが検知された場合、当該外部アクセスが外部装置へのリモート接続のログイン要求であるか否かを判定する。このとき、外部アクセスが外部装置へのリモート接続のログイン要求である場合、更新制御部１５Ｋは、おとりサーバ１０がＰＩＤ発行元であるならば記憶部１３に記憶されたアクセスログ情報１３Ｃに当該外部アクセスに関するエントリを追加する。また、更新制御部１５Ｋは、おとりサーバ１０がＰＩＤ発行元でないならば当該外部アクセスに関するエントリを追加するアクセスログ情報１３Ｃの更新依頼をＰＩＤ発行元のおとりサーバ１０に送信する。
【0090】
【0091】
図８は、不正アクセスの一例を示す図である。図８には、あくまで一例として、監視対象装置７がサーバである例が示されている。さらに、図８には、侵入者が端末２Ｉを用いてサーバ７Ａ、サーバ７Ｂ、サーバ７Ｃ、サーバ７Ｂ、サーバ７Ｄの順に各サーバを踏み台とし、サーバ７Ｅを最終のターゲットとするサイバー攻撃を行う不正アクセスの例が示されている。
【0092】
また、図９は、アクセスログ情報１３Ｃの一例を示す図である。図９には、図８に示す不正アクセスで記録されるアクセスログ情報１３Ｃが示されている。あくまでアクセスログ情報１３Ｃの一例として、ＰＩＤ、ＭＩＤ、ｖｉａ、Ｓｔａｙ及びＴｏＭなどの項目が対応付けられたデータが採用される例が示されている。このうち、「ＭＩＤ」は、「Machine IDentification」の略称であり、アクセス元のマシンの識別情報を指す。また、「ｖｉａ」は、踏み台回数を指す。また、「Ｓｔａｙ」は、マシンへの滞在時間を指し、例えば「ＨＨ：ＭＭ：ＳＳ」で表現される。また、「ＴｏＭ」は、アクセス先のマシンの識別情報を指す。
【0093】
図８に示すように、侵入者が端末２Ｉからサーバ７Ａへのリモート接続のログイン要求を行うと（ステップＳ１）、サーバ７Ａによりログイン認証が行われる（ステップＳ２）。このログイン認証のイベントログがサーバ７ＡのＳＮＭＰエージェントからおとりサーバ１０ＡのＳＮＭＰマネージャへ通知される（ステップＳ３）。
【0094】
ここで、端末２Ｉからサーバ７Ａへの外部アクセスが不正アクセスと判定されることとして以下の説明を続ける（ステップＳ４）。上述の通り、ログインＩＤのリトライ回数が閾値Ｔｈ１以上である場合、あるいはＰＷのリトライ回数が閾値Ｔｈ２以上であり、かつ過去３回のＰＷのリテラシヒット率の平均値が所定の閾値Ｔｈ３、例えば８０％未満である場合、不正アクセスと判定される。
【0095】
この場合、図７に例示されるログイン画面７０などがおとりサーバ１０Ａから端末２Ｉへ送信されることにより、おとりサーバ１０Ａへのログインが誘導される（ステップＳ５）。ステップＳ５の誘導にしたがって端末２Ｉからおとりサーバ１０Ａへログイン要求が行われる（ステップＳ６）。
【0096】
その後、おとりサーバ１０Ａは、侵入者の端末２Ｉからおとりサーバ１０Ａへのリモートログインが成功してＳＳＨ接続やリモートデスクトップ接続のセッションが確立されたかの如く振舞う。
【0097】
すると、おとりサーバ１０Ａは、端末２Ｉの送信元ＩＰアドレス等からＰＩＤ「ｐ０１」を生成する（ステップＳ７）。そして、おとりサーバ１０Ａは、ステップＳ７で生成したＰＩＤ「ｐ０１」とおとりサーバ１０Ａの識別情報「Ｓｖ１０Ａ」とを他のおとりサーバ１０、すなわちおとりサーバ１０Ｂ～１０Ｎへ送信することにより、ＰＩＤを共有する（ステップＳ８）。また、おとりサーバ１０Ａは、不正アクセスと判定した端末２Ｉに関するエントリをアクセスログ情報１３Ｃに追加する（ステップＳ９）。
【0098】
このステップＳ９の処理によって、図９に示すように、アクセスログ情報１３Ｃの１行目のエントリが生成される。すなわち、アクセス元のマシンであるＭＩＤのフィールドに端末２Ｉの識別情報「ｃｌｎｔ」が格納されると共に、アクセス先のマシンであるＴｏＭのフィールドにおとりサーバ１０Ａの識別情報「Ｓｖ１０Ａ」が格納される。この段階では、アクセス元のマシンは、侵入者の端末２Ｉとなるので、ｖｉａのフィールドには「０」が格納される。さらに、アクセス元のマシンは侵入者の端末２Ｉであり、侵入者の端末２Ｉは踏み台ではないので、Ｓｔａｙのフィールドはブランク、例えば「００：００：００」とされる。
【0099】
その後、侵入者の端末Ｉからのリモート操作に基づいて踏み台にされたおとりサーバ１０Ａからサーバ７Ｂへのリモート接続のログイン要求がＰＩＤ付きのパケットで行われる（ステップＳ１０）。そして、サーバ７Ｂへのリモート接続のログイン要求がＰＩＤ付きであることを検出したおとりサーバ１０Ｂは、おとりサーバ１０Ｂへのログインを誘導する（ステップＳ１１）。ステップＳ１１の誘導にしたがって端末２Ｉからおとりサーバ１０Ｂへログイン要求が行われる（ステップＳ１２）。
【0100】
ステップＳ１２の後、おとりサーバ１０Ｂは、侵入者の端末２Ｉからおとりサーバ１０Ｂへのリモートログインが成功してＳＳＨ接続やリモートデスクトップ接続のセッションが確立されたかの如く振舞う。
【0101】
ここで、おとりサーバ１０Ｂへのリモートログインによりログアウトされたおとりサーバ１０Ａは、ＰＩＤ「ｐ０１」の発行元であるので、図９に示すように、アクセスログ情報１３Ｃの２行目のエントリを生成する。すなわち、アクセス元のマシンであるＭＩＤのフィールドにおとりサーバ１０Ａの識別情報「Ｓｖ１０Ａ」が格納されると共に、アクセス先のマシンであるＴｏＭのフィールドにおとりサーバ１０Ｂの識別情報「Ｓｖ１０Ｂ」が格納される。ここまでに踏み台にされたのは、おとりサーバ１０Ａだけであるので、ｖｉａのフィールドには「１」が格納される。さらに、端末２Ｉがおとりサーバ１０Ｂへのリモートログインすることによりおとりサーバ１０Ａからのログアウトが確定するので、おとりサーバ１０Ａにリモートログインされてからログアウトされるまでの時間「００：１０：００」がＳｔａｙのフィールドに格納される。
【0102】
その後、侵入者の端末Ｉからのリモート操作に基づいて踏み台にされたおとりサーバ１０Ｂからサーバ７Ｃへのリモート接続のログイン要求がＰＩＤ付きのパケットで行われる（ステップＳ１４）。そして、サーバ７Ｃへのリモート接続のログイン要求がＰＩＤ付きであることを検出したおとりサーバ１０Ｃは、おとりサーバ１０Ｃへのログインを誘導する（ステップＳ１５）。ステップＳ１５の誘導にしたがって端末２Ｉからおとりサーバ１０Ｃへログイン要求が行われる（ステップＳ１６）。
【0103】
ステップＳ１６の後、おとりサーバ１０Ｃは、侵入者の端末２Ｉからおとりサーバ１０Ｃへのリモートログインが成功してＳＳＨ接続やリモートデスクトップ接続のセッションが確立されたかの如く振舞う。
【0104】
ここで、おとりサーバ１０Ｃへのリモートログインによりログアウトされたおとりサーバ１０Ｂは、ＰＩＤ「ｐ０１」の発行元ではないので、おとりサーバ１０Ｂからおとりサーバ１０Ｃへアクセスするアクセスログのエントリの追加依頼をＰＩＤ発行元のおとりサーバ１０Ａへ行う（ステップＳ１７）。
【0105】
これによって、図９に示すように、アクセスログ情報１３Ｃの３行目のエントリが生成される。すなわち、アクセス元のマシンであるＭＩＤのフィールドにおとりサーバ１０Ｂの識別情報「Ｓｖ１０Ｂ」が格納されると共に、アクセス先のマシンであるＴｏＭのフィールドにおとりサーバ１０Ｃの識別情報「Ｓｖ１０Ｃ」が格納される。ここまでに踏み台にされたのは、おとりサーバ１０Ａ及びおとりサーバ１０Ｂであるので、ｖｉａのフィールドには「２」が格納される。さらに、端末２Ｉがおとりサーバ１０Ｃへのリモートログインすることによりおとりサーバ１０Ｂからのログアウトが確定するので、おとりサーバ１０Ｂにリモートログインされてからログアウトされるまでの時間「００：０５：００」がＳｔａｙのフィールドに格納される。
【0106】
その後、侵入者の端末Ｉからのリモート操作に基づいて踏み台にされたおとりサーバ１０Ｃからサーバ７Ｂへのリモート接続のログイン要求がＰＩＤ付きのパケットで行われる（ステップＳ１８）。そして、サーバ７Ｂへのリモート接続のログイン要求がＰＩＤ付きであることを検出したおとりサーバ１０Ｂは、おとりサーバ１０Ｂへのログインを誘導する（ステップＳ１９）。ステップＳ１９の誘導にしたがって端末２Ｉからおとりサーバ１０Ｂへログイン要求が行われる（ステップＳ２０）。
【0107】
ステップＳ２０の後、おとりサーバ１０Ｂは、侵入者の端末２Ｉからおとりサーバ１０Ｂへのリモートログインが成功してＳＳＨ接続やリモートデスクトップ接続のセッションが確立されたかの如く振舞う。
【0108】
ここで、おとりサーバ１０Ｂへのリモートログインによりログアウトされたおとりサーバ１０Ｃは、ＰＩＤ「ｐ０１」の発行元ではないので、おとりサーバ１０Ｃからおとりサーバ１０Ｂへアクセスするアクセスログのエントリの追加依頼をＰＩＤ発行元のおとりサーバ１０Ａへ行う（ステップＳ２１）。
【0109】
これによって、図９に示すように、アクセスログ情報１３Ｃの４行目のエントリが生成される。すなわち、アクセス元のマシンであるＭＩＤのフィールドにおとりサーバ１０Ｃの識別情報「Ｓｖ１０Ｃ」が格納されると共に、アクセス先のマシンであるＴｏＭのフィールドにおとりサーバ１０Ｂの識別情報「Ｓｖ１０Ｂ」が格納される。ここまでに踏み台にされたのは、おとりサーバ１０Ａ、おとりサーバ１０Ｂ及びおとりサーバ１０Ｃであるので、ｖｉａのフィールドには「３」が格納される。さらに、端末２Ｉがおとりサーバ１０Ｂへのリモートログインすることによりおとりサーバ１０Ｃからのログアウトが確定するので、おとりサーバ１０Ｃにリモートログインされてからログアウトされるまでの時間「００：１５：００」がＳｔａｙのフィールドに格納される。
【0110】
その後、侵入者の端末Ｉからのリモート操作に基づいて踏み台にされたおとりサーバ１０Ｂからサーバ７Ｄへのリモート接続のログイン要求がＰＩＤ付きのパケットで行われる（ステップＳ２２）。そして、サーバ７Ｄへのリモート接続のログイン要求がＰＩＤ付きであることを検出したおとりサーバ１０Ｄは、おとりサーバ１０Ｄへのログインを誘導する（ステップＳ２３）。ステップＳ２３の誘導にしたがって端末２Ｉからおとりサーバ１０Ｄへログイン要求が行われる（ステップＳ２４）。
【0111】
ステップＳ２４の後、おとりサーバ１０Ｄは、侵入者の端末２Ｉからおとりサーバ１０Ｄへのリモートログインが成功してＳＳＨ接続やリモートデスクトップ接続のセッションが確立されたかの如く振舞う。
【0112】
ここで、おとりサーバ１０Ｄへのリモートログインによりログアウトされたおとりサーバ１０Ｂは、ＰＩＤ「ｐ０１」の発行元ではないので、おとりサーバ１０Ｂからおとりサーバ１０Ｄへアクセスするアクセスログのエントリの追加依頼をＰＩＤ発行元のおとりサーバ１０Ａへ行う（ステップＳ２５）。
【0113】
これによって、図９に示すように、アクセスログ情報１３Ｃの５行目のエントリが生成される。すなわち、アクセス元のマシンであるＭＩＤのフィールドにおとりサーバ１０Ｂの識別情報「Ｓｖ１０Ｂ」が格納されると共に、アクセス先のマシンであるＴｏＭのフィールドにおとりサーバ１０Ｄの識別情報「Ｓｖ１０Ｄ」が格納される。ここまでに踏み台にされたのは、おとりサーバ１０Ａ、おとりサーバ１０Ｂ、おとりサーバ１０Ｃ及びおとりサーバ１０Ｂであるので、ｖｉａのフィールドには「４」が格納される。さらに、端末２Ｉがおとりサーバ１０Ｄへのリモートログインすることによりおとりサーバ１０Ｂからのログアウトが確定するので、おとりサーバ１０Ｂにリモートログインされてからログアウトされるまでの時間「００：００：３０」がＳｔａｙのフィールドに格納される。
【0114】
その後、侵入者の端末Ｉからのリモート操作に基づいて踏み台にされたおとりサーバ１０Ｄからサーバ７Ｅへのリモート接続のログイン要求がＰＩＤ付きのパケットで行われる（ステップＳ２６）。そして、サーバ７Ｅへのリモート接続のログイン要求がＰＩＤ付きであることを検出したおとりサーバ１０Ｅは、おとりサーバ１０Ｅへのログインを誘導する（ステップＳ２７）。ステップＳ２７の誘導にしたがって端末２Ｉからおとりサーバ１０Ｅへログイン要求が行われる（ステップＳ２８）。
【0115】
ステップＳ２８の後、おとりサーバ１０Ｅは、侵入者の端末２Ｉからおとりサーバ１０Ｅへのリモートログインが成功してＳＳＨ接続やリモートデスクトップ接続のセッションが確立されたかの如く振舞う。
【0116】
ここで、おとりサーバ１０Ｅへのリモートログインによりログアウトされたおとりサーバ１０Ｄは、ＰＩＤ「ｐ０１」の発行元ではないので、おとりサーバ１０Ｄからおとりサーバ１０Ｅへアクセスするアクセスログのエントリの追加依頼をＰＩＤ発行元のおとりサーバ１０Ａへ行う（ステップＳ２９）。
【0117】
これによって、図９に示すように、アクセスログ情報１３Ｃの６行目のエントリが生成される。すなわち、アクセス元のマシンであるＭＩＤのフィールドにおとりサーバ１０Ｄの識別情報「Ｓｖ１０Ｄ」が格納されると共に、アクセス先のマシンであるＴｏＭのフィールドにおとりサーバ１０Ｅの識別情報「Ｓｖ１０Ｅ」が格納される。ここまでに踏み台にされたのは、おとりサーバ１０Ａ、おとりサーバ１０Ｂ、おとりサーバ１０Ｃ、おとりサーバ１０Ｂ及びおとりサーバ１０Ｄであるので、ｖｉａのフィールドには「５」が格納される。さらに、端末２Ｉがおとりサーバ１０Ｅへのリモートログインすることによりおとりサーバ１０Ｄからのログアウトが確定するので、おとりサーバ１０Ｄにリモートログインされてからログアウトされるまでの時間「００：０３：００」がＳｔａｙのフィールドに格納される。
【0118】
以上のように、アクセスログ情報１３Ｃの更新が実行されるので、図８に示す不正アクセスが行われた場合でも、図９に示すように、侵入者の端末２Ｉのアクセスログを記録することができる。さらに、ＰＩＤを復号化することにより、侵入者の端末２ＩのＩＰアドレスも割り出すことができる。
【0119】
出力部１５Ｋは、アクセスログ情報１３Ｃに基づいてアラートやレポートを出力する処理部である。
【0120】
あくまで一例として、出力部１５Ｋは、アクセスログ情報１３Ｃに新規のエントリが追加された場合、処理を起動する例を挙げるが、他のタイミングで処理が起動されることとしてもかまわない。例えば、定期時刻に処理を起動することとしてもよいし、図示しない外部装置からのリクエストを受け付けた場合に処理を起動することとしてもかまわない。これら任意のタイミングで処理が起動されると、出力部１５Ｋは、同一のＰＩＤを有するエントリ群に対し、下記の条件判定を実行する。
【0121】
１つの側面として、出力部１５Ｋは、おとりサーバ１０の１台あたりの滞在時間が閾値Ｔｈ４、例えば１０秒以上であるか否かを判定する。このとき、おとりサーバ１０の１台あたりの滞在時間が閾値Ｔｈ４以上である場合、出力部１５Ｋは、踏み台回数が所定の閾値Ｔｈ５、例えば３回以上であるか否かをさらに判定する。このとき、踏み台回数が所定の閾値Ｔｈ５以上である場合、出力部１５Ｋは、おとりサーバ１０のシステム管理者や警察関係者へアラートを出力することができる。この場合、閾値Ｔｈ４及び閾値Ｔｈ５の条件を満たす同一のＰＩＤのエントリ群が抽出されたレポートを出力することができる。このとき、ＰＩＤを復号化することにより、アクセス元のＩＰアドレスを併せて出力することもできる。
【0122】
例えば、図９に示すアクセスログ情報１３Ｃの例を挙げれば、４行目のエントリ、５行目のエントリ及び６行目のエントリが閾値Ｔｈ４及び閾値Ｔｈ５の両方の条件を満たす。すなわち、４行目のエントリ、５行目のエントリ及び６行目のエントリでは、いずれも踏み台回数が３回以上カウントされている。さらに、４行目のエントリ、５行目のエントリ及び６行目のエントリでは、いずれもおとりサーバ１０Ｂ、おとりサーバ１０Ｃまたはおとりサーバ１０Ｄの滞在時間が１０秒以上である。よって、ＰＩＤ「ｐ０１」に対応する不正アクセスのアラートが出力される。
【0123】
他の側面として、出力部１５Ｋは、踏み台にされたコンピュータの台数が閾値Ｔｈ６、例えば３台以上であるか否かを判定する。ここで言う「踏み台にされたコンピュータの台数」とは、のべ数ではなく、同一のコンピュータは１つとカウントされることとする。このとき、踏み台にされたコンピュータの台数が閾値Ｔｈ６以上である場合、出力部１５Ｋは、おとりサーバ１０のシステム管理者や警察関係者へアラートを出力することができる。この場合、閾値Ｔｈ６の条件を満たす同一のＰＩＤのエントリ群が抽出されたレポートを出力することができる。
【0124】
例えば、図９に示すアクセスログ情報１３Ｃの例を挙げれば、踏み台にされたコンピュータの台数は、おとりサーバ１０Ｂ、おとりサーバ１０Ｃ、おとりサーバ１０Ｄ及びおとりサーバ１０Ｅの４台となり、閾値Ｔｈ６の条件を満たす。よって、ＰＩＤ「ｐ０１」に対応する不正アクセスのアラートが出力される。
【0125】
更なる側面として、出力部１５Ｋは、同一のコンピュータが複数回にわたって踏み台にされたか否かを判定する。このとき、同一のコンピュータが複数回にわたって踏み台にされた場合、出力部１５Ｋは、おとりサーバ１０のシステム管理者や警察関係者へアラートを出力することができる。この場合、上記の条件を満たす同一のＰＩＤのエントリ群が抽出されたレポートを出力することができる。
【0126】
例えば、図９に示すアクセスログ情報１３Ｃの例を挙げれば、３行目のエントリと５行目のエントリから明らかである通り、おとりサーバ１０Ｂは、２回にわたって踏み台にされているので、上記の条件を満たす。よって、ＰＩＤ「ｐ０１」に対応する不正アクセスのアラートが出力される。
【0127】
［処理の流れ］
次に、本実施例に係るおとりサーバ１０の処理の流れについて説明する。ここでは、おとりサーバ１０により実行される（１）不正アクセス監視処理、（２）アクセスログ更新処理、（３）アラート出力処理の順に説明を行うこととする。
次に、本実施例に係るおとりサーバ１０の処理の流れについて説明する。ここでは、おとりサーバ１０により実行される（１）不正アクセス監視処理、（２）アクセスログ更新処理、（３）アラート出力処理の順に説明を行うこととする。
【0128】
（１）不正アクセス監視処理
図１０は、実施例１に係る不正アクセス監視処理の手順を示すフローチャートである。この処理は、あくまで一例として、端末２から監視対象装置７への外部アクセスが検出された場合に開始される。
図１０は、実施例１に係る不正アクセス監視処理の手順を示すフローチャートである。この処理は、あくまで一例として、端末２から監視対象装置７への外部アクセスが検出された場合に開始される。
【0129】
図１０に示すように、第１監視部１５Ａは、ＰＩＤ情報１３Ａを参照して、端末２から監視対象装置７へのリモート接続のログイン要求が行われるパケットにＰＩＤが付加されているか否かを判定する（ステップＳ１０１）。
【0130】
このとき、リモート接続のログイン要求のパケットがＰＩＤ付きのパケットでない場合（ステップＳ１０１Ｎｏ）、取得部１５Ｂは、ログイン認証のイベントログを取得する（ステップＳ１０２）。
【0131】
そして、判定部１５Ｃは、ステップＳ１０２で取得されたログイン認証のイベントログのうち最新のログイン認証がＮＧであるか否かを判定する（ステップＳ１０３）。このとき、最新のログイン認証がＮＧである場合（ステップＳ１０３Ｙｅｓ）、判定部１５Ｃは、記憶部１３に記憶された誤入力情報１３Ｂを更新する（ステップＳ１０４）。
【0132】
続いて、判定部１５Ｃは、誤入力情報１３Ｂに追加された最新のエントリの送信元ＩＰアドレスと同一のＩＰアドレスを持つエントリがそれ以前にも存在するか否かを判定する（ステップＳ１０５）。このとき、同一のＩＰアドレスを持つエントリがそれ以前にも存在する場合（ステップＳ１０５Ｙｅｓ）、判定部１５Ｃは、誤入力情報１３Ｂを参照して、ログインＩＤのリトライ回数、ＰＷのリトライ回数および過去の所定回数、例えば直近の過去３回のリテラシヒット率の統計値を算出する（ステップＳ１０６）。
【0133】
そして、判定部１５Ｃは、ログインＩＤのリトライ回数が所定の閾値Ｔｈ１、例えば３回以上であるか否かを判定する（ステップＳ１０７）。このとき、ログインＩＤのリトライ回数が閾値Ｔｈ１以上である場合（ステップＳ１０７Ｙｅｓ）、端末２からの外部アクセスが不正アクセスであると判定される。この場合、ステップＳ１１０の処理へ移行する。
【0134】
一方、ログインＩＤのリトライ回数が閾値Ｔｈ１以上でない場合（ステップＳ１０７Ｎｏ）、判定部１５Ｃは、ＰＷのリトライ回数が所定の閾値Ｔｈ２、例えば３回以上であるか否かを判定する（ステップＳ１０８）。このとき、ＰＷのリトライ回数が閾値Ｔｈ２以上でない場合（ステップＳ１０８Ｎｏ）、端末２からの外部アクセスは不正アクセスと判定されない。この場合、処理が終了される。
【0135】
一方、ＰＷのリトライ回数が閾値Ｔｈ２以上である場合（ステップＳ１０８Ｙｅｓ）、判定部１５Ｃは、過去所定回のＰＷのリテラシヒット率の平均値が所定の閾値Ｔｈ３、例えば８０％未満であるか否かをさらに判定する（ステップＳ１０９）。
【0136】
ここで、過去３回のＰＷのリテラシヒット率の平均値が閾値Ｔｈ３未満でない場合、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が高く、かつ総当たり攻撃などのサイバー攻撃である可能性が低いと識別できる。この場合、端末２からの外部アクセスは不正アクセスと判定されず、処理が終了される。
【0137】
一方、過去所定回のＰＷのリテラシヒット率の平均値が閾値Ｔｈ３未満である場合（ステップＳ１０９Ｙｅｓ）、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が低く、かつ総当たり攻撃や辞書攻撃などのサイバー攻撃である可能性が高いと識別できる。この場合、端末２からの外部アクセスが不正アクセスであると判定される。すると、誘導部１５Ｄは、おとりサーバ１０へのログインを誘導する（ステップＳ１１０）。
【0138】
続いて、生成部１５Ｅは、ステップＳ１１０によるおとりサーバ１０へのログイン誘導後に端末２からおとりサーバ１０へログイン要求が行われた場合、不正アクセスと判定された端末２の送信元ＩＰアドレス、あるいはリモートログイン時に端末２から受け付けたアカウント情報、例えばパスワードなどを暗号化することによりＰＩＤを生成する（ステップＳ１１１）。
【0139】
その後、生成部１５Ｅは、他のおとりサーバ１０に対し、当該ＰＩＤとＰＩＤ発行元のおとりサーバ１０の識別情報とを対応付けて送信する（ステップＳ１１２）。これによって、ＰＩＤとＰＩＤ発行元のおとりサーバ１０の識別情報とが対応付けられたエントリのリストがＰＩＤ情報１３ＡとしてＰＩＤ発行元のおとりサーバ１０およびＰＩＤ発行元以外の他のおとりサーバ１０の間で共有させる。
【0140】
このようなＰＩＤの共有と同時または並行して、生成部１５Ｅは、不正アクセスと判定された端末２に関するエントリを記憶部１３に記憶されたアクセスログ情報１３Ｃに追加する（ステップＳ１１３）。そして、模倣部１５Ｆは、監視対象装置７の動作の模倣を開始する（ステップＳ１１５）。その後、処理が終了される。
【0141】
一方、リモート接続のログイン要求のパケットがＰＩＤ付きのパケットである場合（ステップＳ１０１Ｙｅｓ）、誘導部１５Ｄは、おとりサーバ１０へのログインを誘導する（ステップＳ１１４）。そして、模倣部１５Ｆは、監視対象装置７の動作の模倣を開始する（ステップＳ１１５）。その後、処理が終了される。
【0142】
（２）アクセスログ更新処理
図１１は、実施例１に係るアクセスログ更新処理の手順を示すフローチャートである。この処理は、一例として、おとりサーバ１０へリモートログインされた場合に開始される。図１１に示すように、リモート操作によりおとりサーバ１０からログアウトされない限り（ステップＳ３０１Ｎｏ）、第２監視部１５Ｇは、おとりサーバ１０から外部ネットワーク４上の外部装置へアクセスする外部アクセスの監視を継続する（ステップＳ３０２）。
図１１は、実施例１に係るアクセスログ更新処理の手順を示すフローチャートである。この処理は、一例として、おとりサーバ１０へリモートログインされた場合に開始される。図１１に示すように、リモート操作によりおとりサーバ１０からログアウトされない限り（ステップＳ３０１Ｎｏ）、第２監視部１５Ｇは、おとりサーバ１０から外部ネットワーク４上の外部装置へアクセスする外部アクセスの監視を継続する（ステップＳ３０２）。
【0143】
このとき、おとりサーバ１０からの外部アクセスが検知された場合（ステップＳ３０２Ｙｅｓ）、付加部１５Ｈは、図示しない内部メモリに擬似セッションＩＤに関連付けて保存されたＰＩＤを当該外部アクセスのパケットに付加する（ステップＳ３０３）。
【0144】
ここで、更新制御部１５Ｋは、外部アクセスが外部装置へのリモート接続のログイン要求であるか否かを判定する（ステップＳ３０４）。このとき、外部アクセスが外部装置へのリモート接続のログイン要求である場合（ステップＳ３０４Ｙｅｓ）、更新制御部１５Ｋは、おとりサーバ１０がＰＩＤ発行元であるか否かをさらに判定する（ステップＳ３０５）。
【0145】
そして、おとりサーバ１０がＰＩＤ発行元である場合（ステップＳ３０５Ｙｅｓ）、更新制御部１５Ｋは、記憶部１３に記憶されたアクセスログ情報１３Ｃに当該外部アクセスに関するエントリを追加し（ステップＳ３０６）、処理が終了される。また、更新制御部１５Ｋは、おとりサーバ１０がＰＩＤ発行元でないならば当該外部アクセスに関するエントリを追加するアクセスログ情報１３Ｃの更新依頼をＰＩＤ発行元のおとりサーバ１０に送信し（ステップＳ３０７）、処理が終了される。
【0146】
（３）アラート出力処理
図１２は、実施例１に係るアラート出力処理の手順を示すフローチャートである。この処理は、一例として、アクセスログ情報１３Ｃに新規のエントリが追加された場合、起動する例を挙げるが、他のタイミングで処理が起動されることとしてもかまわない。例えば、定期時刻に処理を起動することとしてもよいし、図示しない外部装置からのリクエストを受け付けた場合に処理を起動することとしてもかまわない。
図１２は、実施例１に係るアラート出力処理の手順を示すフローチャートである。この処理は、一例として、アクセスログ情報１３Ｃに新規のエントリが追加された場合、起動する例を挙げるが、他のタイミングで処理が起動されることとしてもかまわない。例えば、定期時刻に処理を起動することとしてもよいし、図示しない外部装置からのリクエストを受け付けた場合に処理を起動することとしてもかまわない。
【0147】
これら任意のタイミングで処理が起動されると、出力部１５Ｋは、同一のＰＩＤを有するエントリ群に対し、下記のステップＳ５０１からステップＳ５０５までの処理を実行する。エントリ群が複数存在する場合、エントリ群間で処理を並列化して実行することができる。
【0148】
図１２に示すように、出力部１５Ｋは、おとりサーバ１０の１台あたりの滞在時間が閾値Ｔｈ４、例えば１０秒以上であるか否かを判定する（ステップＳ５０１）。このとき、おとりサーバ１０の１台あたりの滞在時間が閾値Ｔｈ４以上である場合（ステップＳ５０１Ｙｅｓ）、出力部１５Ｋは、踏み台回数が所定の閾値Ｔｈ５、例えば３回以上であるか否かをさらに判定する（ステップＳ５０２）。
【0149】
このとき、踏み台回数が所定の閾値Ｔｈ５以上である場合（ステップＳ５０２Ｙｅｓ）、出力部１５Ｋは、おとりサーバ１０のシステム管理者や警察関係者へアラートを出力する（ステップＳ５０５）。その後、処理が終了される。
【0150】
一方、おとりサーバ１０の１台あたりの滞在時間が閾値Ｔｈ４以上でない場合（ステップＳ５０１Ｎｏ）、出力部１５Ｋは、踏み台にされたコンピュータの台数が閾値Ｔｈ６、例えば３台以上であるか否かを判定する（ステップＳ５０３）。
【0151】
このとき、踏み台にされたコンピュータの台数が閾値Ｔｈ６以上である場合（ステップＳ５０３Ｙｅｓ）、出力部１５Ｋは、おとりサーバ１０のシステム管理者や警察関係者へアラートを出力する（ステップＳ５０５）。その後、処理が終了される。
【0152】
一方、踏み台にされたコンピュータの台数が閾値Ｔｈ６以上でない場合（ステップＳ５０３Ｎｏ）、出力部１５Ｋは、同一のコンピュータが複数回にわたって踏み台にされたか否かを判定する（ステップＳ５０４）。
【0153】
このとき、同一のコンピュータが複数回にわたって踏み台にされた場合（ステップＳ５０４Ｙｅｓ）、出力部１５Ｋは、おとりサーバ１０のシステム管理者や警察関係者へアラートを出力する（ステップＳ５０５）。その後、処理が終了される。なお、同一のコンピュータが複数回にわたって踏み台にされていない場合（ステップＳ５０４Ｎｏ）、ステップＳ５０５の処理をスキップし、処理が終了される。
【0154】
［効果の一側面］
上述してきたように、本実施例に係るおとりサーバ１０は、ログイン要求時に入力されたパスワードと正しいパスワードとの文字列の一致率が所定の閾値よりも低い場合、ログイン要求を行う端末２からのアクセスを不正アクセスと判定する。それ故、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が低く、かつ総当たり攻撃などのサイバー攻撃である可能性が高いログイン要求を不正アクセスと識別できる。さらに、逆説的に言えば、ログイン要求時に入力されたパスワードと正しいパスワードとの文字列の一致率が所定の閾値以上である場合、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が高く、かつ総当たり攻撃などのサイバー攻撃である可能性が低いログイン要求を正常なアクセスと識別できる。したがって、本実施例に係るおとりサーバ１０によれば、不正アクセスの判定精度を向上させることが可能である。
上述してきたように、本実施例に係るおとりサーバ１０は、ログイン要求時に入力されたパスワードと正しいパスワードとの文字列の一致率が所定の閾値よりも低い場合、ログイン要求を行う端末２からのアクセスを不正アクセスと判定する。それ故、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が低く、かつ総当たり攻撃などのサイバー攻撃である可能性が高いログイン要求を不正アクセスと識別できる。さらに、逆説的に言えば、ログイン要求時に入力されたパスワードと正しいパスワードとの文字列の一致率が所定の閾値以上である場合、正当なアカウントを有するユーザの操作ミスや記憶違いである可能性が高く、かつ総当たり攻撃などのサイバー攻撃である可能性が低いログイン要求を正常なアクセスと識別できる。したがって、本実施例に係るおとりサーバ１０によれば、不正アクセスの判定精度を向上させることが可能である。
【実施例2】
【0155】
さて、これまで開示の装置に関する実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。
【0156】
上記の実施例１では、上記の不正アクセス監視サービスの機能がおとりサーバ１０に搭載される例を挙げたが、必ずしも上記の不正アクセス監視サービスの機能がおとりサーバ１０に搭載されずともかまわない。例えば、ＮＷ装置５、例えばオープンフローコントローラやＩＤＳ、ＩＰＳなどに上記の不正アクセス監視サービスの機能が搭載されることとしてもかまわない。
【0157】
［分散・統合］
また、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されておらずともよい。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、第１監視部１５Ａ、取得部１５Ｂ、判定部１５Ｃ、誘導部１５Ｄ、生成部１５Ｅ、模倣部１５Ｆ、第２監視部１５Ｇ、付加部１５Ｈ、更新制御部１５ｊまたは出力部１５Ｋをおとりサーバ１０の外部装置としてネットワーク経由で接続するようにしてもよい。また、第１監視部１５Ａ、取得部１５Ｂ、判定部１５Ｃ、誘導部１５Ｄ、生成部１５Ｅ、模倣部１５Ｆ、第２監視部１５Ｇ、付加部１５Ｈ、更新制御部１５ｊまたは出力部１５Ｋを別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のおとりサーバ１０の機能を実現するようにしてもよい。
また、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されておらずともよい。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、第１監視部１５Ａ、取得部１５Ｂ、判定部１５Ｃ、誘導部１５Ｄ、生成部１５Ｅ、模倣部１５Ｆ、第２監視部１５Ｇ、付加部１５Ｈ、更新制御部１５ｊまたは出力部１５Ｋをおとりサーバ１０の外部装置としてネットワーク経由で接続するようにしてもよい。また、第１監視部１５Ａ、取得部１５Ｂ、判定部１５Ｃ、誘導部１５Ｄ、生成部１５Ｅ、模倣部１５Ｆ、第２監視部１５Ｇ、付加部１５Ｈ、更新制御部１５ｊまたは出力部１５Ｋを別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のおとりサーバ１０の機能を実現するようにしてもよい。
【0158】
［不正アクセス監視プログラム］
また、上記の実施例で説明した各種の処理は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図１３を用いて、上記の実施例と同様の機能を有する不正アクセス監視プログラムを実行するコンピュータの一例について説明する。
また、上記の実施例で説明した各種の処理は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図１３を用いて、上記の実施例と同様の機能を有する不正アクセス監視プログラムを実行するコンピュータの一例について説明する。
【0159】
図１３は、実施例１及び実施例２に係る不正アクセス監視プログラムを実行するコンピュータのハードウェア構成例を示す図である。図１３に示すように、コンピュータ１００は、操作部１１０ａと、スピーカ１１０ｂと、カメラ１１０ｃと、ディスプレイ１２０と、通信部１３０とを有する。さらに、このコンピュータ１００は、ＣＰＵ１５０と、ＲＯＭ１６０と、ＨＤＤ１７０と、ＲＡＭ１８０とを有する。これら１１０～１８０の各部はバス１４０を介して接続される。
【0160】
ＨＤＤ１７０には、図１３に示すように、上記の実施例１で示した第１監視部１５Ａ、取得部１５Ｂ、判定部１５Ｃ、誘導部１５Ｄ、生成部１５Ｅ、模倣部１５Ｆ、第２監視部１５Ｇ、付加部１５Ｈ、更新制御部１５ｊ及び出力部１５Ｋと同様の機能を発揮する不正アクセス監視プログラム１７０ａが記憶される。この不正アクセス監視プログラム１７０ａは、図５に示した第１監視部１５Ａ、取得部１５Ｂ、判定部１５Ｃ、誘導部１５Ｄ、生成部１５Ｅ、模倣部１５Ｆ、第２監視部１５Ｇ、付加部１５Ｈ、更新制御部１５ｊ及び出力部１５Ｋの各構成要素と同様、統合又は分離してもかまわない。すなわち、ＨＤＤ１７０には、必ずしも上記の実施例１で示した全てのデータが格納されずともよく、処理に用いるデータがＨＤＤ１７０に格納されればよい。
【0161】
このような環境の下、ＣＰＵ１５０は、ＨＤＤ１７０から不正アクセス監視プログラム１７０ａを読み出した上でＲＡＭ１８０へ展開する。この結果、不正アクセス監視プログラム１７０ａは、図１３に示すように、不正アクセス監視プロセス１８０ａとして機能する。この不正アクセス監視プロセス１８０ａは、ＲＡＭ１８０が有する記憶領域のうち不正アクセス監視プロセス１８０ａに割り当てられた領域にＨＤＤ１７０から読み出した各種データを展開し、この展開した各種データを用いて各種の処理を実行する。例えば、不正アクセス監視プロセス１８０ａが実行する処理の一例として、図１０～図１２に示す処理などが含まれる。なお、ＣＰＵ１５０では、必ずしも上記の実施例１で示した全ての処理部が動作せずともよく、実行対象とする処理に対応する処理部が仮想的に実現されればよい。
【0162】
なお、上記の不正アクセス監視プログラム１７０ａは、必ずしも最初からＨＤＤ１７０やＲＯＭ１６０に記憶されておらずともかまわない。例えば、コンピュータ１００に挿入されるフレキシブルディスク、いわゆるＦＤ、ＣＤ－ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」に不正アクセス監視プログラム１７０ａを記憶させる。そして、コンピュータ１００がこれらの可搬用の物理媒体から不正アクセス監視プログラム１７０ａを取得して実行するようにしてもよい。また、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ１００に接続される他のコンピュータまたはサーバ装置などに不正アクセス監視プログラム１７０ａを記憶させておき、コンピュータ１００がこれらから不正アクセス監視プログラム１７０ａを取得して実行するようにしてもよい。
【0163】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
【0164】
（付記１）所定の監視対象装置に対するログイン認証を監視する監視部と、
前記ログイン認証の受付時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率に基づいて前記監視対象装置に前記ログイン認証を要求する端末からのアクセスが不正アクセスであるか否かを判定する判定部と、
を有することを特徴とする不正アクセス監視システム。
前記ログイン認証の受付時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率に基づいて前記監視対象装置に前記ログイン認証を要求する端末からのアクセスが不正アクセスであるか否かを判定する判定部と、
を有することを特徴とする不正アクセス監視システム。
【0165】
（付記２）前記判定部は、前記一致率が所定の閾値未満である場合、前記端末からのアクセスが不正アクセスであると判定することを特徴とする付記１に記載の不正アクセス監視システム。
【0166】
（付記３）前記判定部は、パスワードのリトライ回数が所定の閾値以上に達する前記端末から前記監視対象装置へのアクセスが不正アクセスであるか否かを過去所定回数の前記一致率の統計値に基づいて判定することを特徴とする付記１に記載の不正アクセス監視システム。
【0167】
（付記４）前記端末からのアクセスが不正アクセスと判定された場合、所定のおとりサーバへのログインを誘導する誘導部と、
前記端末を前記おとりサーバへ誘導後、前記端末からのリモート操作に基づいて前記おとりサーバから外部へアクセスするパケットに前記端末に関する所定のデータを付加する付加部と、
前記所定のデータに関連付けて前記おとりサーバから外部へアクセスするログを記録する記録部とをさらに有することを特徴とする付記１に記載の不正アクセス監視システム。
前記端末を前記おとりサーバへ誘導後、前記端末からのリモート操作に基づいて前記おとりサーバから外部へアクセスするパケットに前記端末に関する所定のデータを付加する付加部と、
前記所定のデータに関連付けて前記おとりサーバから外部へアクセスするログを記録する記録部とをさらに有することを特徴とする付記１に記載の不正アクセス監視システム。
【0168】
（付記５）所定の監視対象装置に対するログイン認証を監視し、
前記ログイン認証の受付時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率に基づいて前記監視対象装置に前記ログイン認証を要求する端末からのアクセスが不正アクセスであるか否かを判定する、
処理をコンピュータに実行させることを特徴とする不正アクセス監視プログラム。
前記ログイン認証の受付時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率に基づいて前記監視対象装置に前記ログイン認証を要求する端末からのアクセスが不正アクセスであるか否かを判定する、
処理をコンピュータに実行させることを特徴とする不正アクセス監視プログラム。
【0169】
（付記６）前記判定する処理は、前記一致率が所定の閾値未満である場合、前記端末からのアクセスが不正アクセスであると判定することを特徴とする付記５に記載の不正アクセス監視プログラム。
【0170】
（付記７）前記判定する処理は、パスワードのリトライ回数が所定の閾値以上に達する前記端末から前記監視対象装置へのアクセスが不正アクセスであるか否かを過去所定回数の前記一致率の統計値に基づいて判定することを特徴とする付記５に記載の不正アクセス監視プログラム。
【0171】
（付記８）前記端末からのアクセスが不正アクセスと判定された場合、所定のおとりサーバへのログインを誘導する処理と、
前記端末を前記おとりサーバへ誘導後、前記端末からのリモート操作に基づいて前記おとりサーバから外部へアクセスするパケットに前記端末に関する所定のデータを付加する処理と、
前記所定のデータに関連付けて前記おとりサーバから外部へアクセスするログを記録する処理とをさらに前記コンピュータに実行させることを特徴とする付記５に記載の不正アクセス監視プログラム。
前記端末を前記おとりサーバへ誘導後、前記端末からのリモート操作に基づいて前記おとりサーバから外部へアクセスするパケットに前記端末に関する所定のデータを付加する処理と、
前記所定のデータに関連付けて前記おとりサーバから外部へアクセスするログを記録する処理とをさらに前記コンピュータに実行させることを特徴とする付記５に記載の不正アクセス監視プログラム。
【0172】
（付記９）所定の監視対象装置に対するログイン認証を監視し、
前記ログイン認証の受付時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率に基づいて前記監視対象装置に前記ログイン認証を要求する端末からのアクセスが不正アクセスであるか否かを判定する、
処理をコンピュータが実行することを特徴とする不正アクセス監視方法。
前記ログイン認証の受付時に入力されたパスワードと予め記憶されている正しいパスワードとの文字列の一致率に基づいて前記監視対象装置に前記ログイン認証を要求する端末からのアクセスが不正アクセスであるか否かを判定する、
処理をコンピュータが実行することを特徴とする不正アクセス監視方法。
【0173】
（付記１０）前記判定する処理は、前記一致率が所定の閾値未満である場合、前記端末からのアクセスが不正アクセスであると判定することを特徴とする付記９に記載の不正アクセス監視方法。
【0174】
（付記１１）前記判定する処理は、パスワードのリトライ回数が所定の閾値以上に達する前記端末から前記監視対象装置へのアクセスが不正アクセスであるか否かを過去所定回数の前記一致率の統計値に基づいて判定することを特徴とする付記９に記載の不正アクセス監視方法。
【0175】
（付記１２）前記端末からのアクセスが不正アクセスと判定された場合、所定のおとりサーバへのログインを誘導する処理と、
前記端末を前記おとりサーバへ誘導後、前記端末からのリモート操作に基づいて前記おとりサーバから外部へアクセスするパケットに前記端末に関する所定のデータを付加する処理と、
前記所定のデータに関連付けて前記おとりサーバから外部へアクセスするログを記録する処理とをさらに前記コンピュータが実行することを特徴とする付記９に記載の不正アクセス監視方法。
前記端末を前記おとりサーバへ誘導後、前記端末からのリモート操作に基づいて前記おとりサーバから外部へアクセスするパケットに前記端末に関する所定のデータを付加する処理と、
前記所定のデータに関連付けて前記おとりサーバから外部へアクセスするログを記録する処理とをさらに前記コンピュータが実行することを特徴とする付記９に記載の不正アクセス監視方法。
【符号の説明】
【0176】
１ 不正アクセス監視システム
２ 端末
３ 内部ネットワーク
５ ＮＷ装置
７ 監視対象装置
１０ おとりサーバ
１１ 通信Ｉ／Ｆ部
１３ 記憶部
１３Ａ ＰＩＤ情報
１３Ｂ 誤入力情報
１３Ｃ アクセスログ情報
１５ 制御部
１５Ａ 第１監視部
１５Ｂ 取得部
１５Ｃ 判定部
１５Ｄ 誘導部
１５Ｅ 生成部
１５Ｆ 模倣部
１５Ｇ 第２監視部
１５Ｈ 付加部
１５Ｊ 更新制御部
１５Ｋ 出力部
２ 端末
３ 内部ネットワーク
５ ＮＷ装置
７ 監視対象装置
１０ おとりサーバ
１１ 通信Ｉ／Ｆ部
１３ 記憶部
１３Ａ ＰＩＤ情報
１３Ｂ 誤入力情報
１３Ｃ アクセスログ情報
１５ 制御部
１５Ａ 第１監視部
１５Ｂ 取得部
１５Ｃ 判定部
１５Ｄ 誘導部
１５Ｅ 生成部
１５Ｆ 模倣部
１５Ｇ 第２監視部
１５Ｈ 付加部
１５Ｊ 更新制御部
１５Ｋ 出力部
【図1】
【図2A】
【図2B】
【図3A】
【図3B】
【図3C】
【図4A】
【図4B】
【図4C】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】