ログイン要求受付装置およびアクセス管理装置
【課題】 コンピュータシステムに対する不正アクセスを防止する。
【解決手段】 認証サーバ１は、社内ネットワーク９に対する第１のユーザからのログイン要求、および第２のユーザがログイン要求の正当性を確認するための情報の入力を受け付け、第１のユーザに予め対応づけられている第２のユーザの携帯電話機５へ、ログイン要求の正当性を確認するための情報を含む電子情報を送出する。
【解決手段】 認証サーバ１は、社内ネットワーク９に対する第１のユーザからのログイン要求、および第２のユーザがログイン要求の正当性を確認するための情報の入力を受け付け、第１のユーザに予め対応づけられている第２のユーザの携帯電話機５へ、ログイン要求の正当性を確認するための情報を含む電子情報を送出する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータシステムのセキュリティ管理に関し、特にコンピュータシステムに対するアクセス要求の正当性を判定する技術に関する。
【背景技術】
【０００２】
企業の社内システムなど、予め定められたユーザ（例えば、社員等）だけにアクセス権限が与えられている閉じたシステムにおいて、権限あるユーザがシステムの外部からアクセスすることを認めている場合がある。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
前記のようなシステムが外部からアクセス要求を受けたとき、真に権限あるユーザであるかどうかを確認することは、セキュリティ管理上極めて重要である。従って、係るシステムでは、通常、不正アクセスを防止するため、ユーザからのアクセス要求またはログイン要求を受けたとき、そのユーザが権限あるユーザであるかどうかを確認する（ユーザ認証）。このユーザ認証の方法として、パスワードによる認証や指紋などを用いた生体認証等が知られている。
【０００４】
しかし、パスワードは盗まれたり、解読されたりすることもあるし、指紋はダミーを作成されてしまえば不正アクセスを許すことになってしまう。
【０００５】
そこで、本発明の目的は、不正アクセスを防止するためのあらたなユーザ認証技術を提供することである。
【０００６】
本発明の別の目的は、管理者が部下など管理対象者の行動管理を支援することである。
【０００７】
本発明のさらに別の目的は、ログイン要求があったときのログイン許否判定を支援することである。
【課題を解決するための手段】
【０００８】
本発明の一つの態様に従うコンピュータシステムに対するログイン要求受付装置は、コンピュータシステムに対する第１のユーザからのログイン要求、および第２のユーザが前記ログイン要求の正当性を確認するための情報の入力を受け付ける受付手段と、前記第１のユーザに予め対応づけられている前記第２のユーザの通信装置へ、前記ログイン要求の正当性を確認するための情報を含む電子情報を送出する手段と、を備える。
【０００９】
好適な実施形態では、前記受付手段は、前記第１のユーザの識別情報をさらに受け付け、前記ログイン要求受付装置は、前記ユーザ識別情報と前記第２のユーザの通信装置とを対応づけて記憶した記憶手段をさらに備える。
【００１０】
さらに、前記第２のユーザは、前記第１のユーザを管理または監督する者であってもよい。
【００１１】
本発明の一つの態様に従うアクセス管理装置は、コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付ける受付手段と、前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出する手段と、前記受付手段が前記ユーザ識別情報および前記アクセス希望の理由を示す情報の入力を受け付けると、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するアクセス管理手段と、を備える。
【００１２】
好適な実施形態では、前記受付手段は、アクセス希望時間をさらに受け付け、前記ユーザが前記保護対象システムへアクセスした時間が前記アクセス希望時間を経過すると、前記アクセス管理手段はそのアクセスを切断する。
【００１３】
好適な実施形態では、前記通信装置から送信された電子情報を受信する受信手段をさらに備え、前記受信手段が前記通信装置からアクセス不許可を示す電子情報を受信すると、前記アクセス管理手段は前記コンピュータシステムへのアクセスを切断する。
【００１４】
好適な実施形態では、前記ユーザについて、第１および第２の認証を行う認証手段をさらに備え、前記受付手段は、前記第１および第２の認証に必要な情報をさらに受け付ける。
【００１５】
好適な実施形態では、前記受付手段は、前記ユーザの前記コンピュータシステムへの過去のアクセスに関する情報の入力を受け付け、前記第１の認証は、前記ユーザ識別情報に基づく認証であり、前記第２の認証は、前記過去のアクセスに関する情報に基づく認証である。
【００１６】
本発明の一つの態様に従うアクセス管理装置は、コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付ける受付手段と、前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出する手段と、前記通信装置から送信された電子情報を受信する受信手段と、前記受信手段が受信した電子情報が、前記コンピュータシステムに対するアクセスを許可することを示す情報であれば、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するアクセス管理手段と、を備える。
【発明を実施するための最良の形態】
【００１７】
以下、本発明を適用した一実施形態に係るシステムついて、図面を用いて説明する。
【００１８】
本システムの全体構成を図１に示す。本システムは、権限あるユーザ以外のユーザに対してアクセスを制限して、コンピュータシステムを保護するために、ユーザの認証および監視を行うための認証サーバ１を備える。保護すべきコンピュータシステムの好適な例として、本実施形態では企業の社内ネットワーク９を用いて説明する。社内ネットワーク９へアクセスできるのは、その企業の社員等の予め定められている者である。社員等が社内ネットワーク９へアクセスしたいときは、ユーザ端末２からインターネットなどのネットワーク３を介して認証サーバ１へログイン要求をする。このログイン要求が許可されると、そのユーザは社内ネットワーク９へアクセスすることができる。
【００１９】
また、社内ネットワーク９へのアクセス要求の正当性の確認等のため、認証サーバ１はアクセス要求をしたユーザを管理する管理者の携帯電話機５との間で、ネットワーク３、無線基地局４および携帯電話機用無線電話網（図示しない）を通じてデータの送受信を行う。
【００２０】
ここで、「管理者」は「ユーザ」を直接的、または間接的に管理、監督、監視、あるいは指導する立場にある者を含む。典型的には「管理者」と「ユーザ」とは、いわゆる上司と部下の関係であるが、必ずしもこれに限定されない。たとえば、「ユーザ」が外注先の社員であるときは、「管理者」は外注元の社員でもよいし、「ユーザ」と「管理者」とが相互に相手の行動を監視しあう立場でもよい。
【００２１】
認証サーバ１およびユーザ端末２は、いずれも例えば汎用的なコンピュータシステムにより構成され、以下に説明する個々の構成要素または機能は、例えば、コンピュータプログラムを実行することにより実現される。また、携帯電話機５は、必ずしも現在実用されているタイプの携帯電話機でなければならないわけではなく、例えば電子メールやＷＷＷによるインターネット通信機能を有する携帯型およびデスクトップのパーソナルコンピュータやＰＤＡ（パーソナルデータアシスタント）や現在のものから将来的に進化した携帯電話機等の他のタイプの携帯通信機器で置き換えられてもよい。
【００２２】
認証サーバ１は、ネットワークインタフェース部１１と、ログイン処理部１２と、Ｗｅｂページ１３と、管理者インタフェース１４と、管理者テーブル１５と、アクセス監視部１６と、ユーザテーブル１８と、アクセスログ１９とを備える。
【００２３】
ネットワークインタフェース部１１は、ネットワーク３に対するデータの入出力を制御する。さらに、ネットワークインタフェース部１１は、社内ネットワーク９へアクセスが許可されたユーザの通信記録（アクセス先や利用サービス）をアクセスログ１９に記録する。アクセスログ１９は、例えば、ユーザＩＤ、利用時間、容量、アクセス先の識別情報（アドレス等）、送受信コマンド、応答コード、送受信文字列等をデータ項目に含む。
【００２４】
ユーザテーブル１８は、社内ネットワーク９へアクセスする権限を有するユーザの個人情報を記憶する。たとえば、ユーザテーブル１８は、図２（ａ）に示すように、ユーザＩＤ１８１と、パスワード１８２と、電子メールアドレス１８３とをデータ項目として有する。アクセス要求を受けたときに、ログイン処理部１２がこのユーザテーブル１８を参照してユーザ認証を行う。電子メールアドレス１８３は、社内ネットワーク９内（社内）の電子メールアドレスである。ユーザＩＤ１８１のユーザがユーザ端末２からログインしたとき、ログイン処理部１２が電子メールアドレス１８３へログインの事実を通知するための電子メールを送信する。
【００２５】
管理者テーブル１５は、ユーザテーブル１８に登録されているユーザの管理者を示す情報が登録されている。例えば、管理者テーブル１５には、図２（ｂ）に示すように、ユーザＩＤ１５１と、管理者の電子メールアドレス１５２、１５３とが対応づけて記憶されている。ここで、管理者の電子メールアドレスが複数あるのは、以下の理由による。すなわち、後述するように、管理者インタフェース１４がこの管理者テーブル１５を参照して管理者の携帯電話機５へ電子メールを送信する。このとき、複数の電子メールアドレスの中で予め優先順位を定めておき、順位の高い電子メールアドレスから順に送信し、送信できない場合に下位の電子メールアドレスへ送信するようにしてもよい。
【００２６】
Ｗｅｂページ１３は、認証サーバ１へアクセスしたユーザから情報の入力を受け付けたり、ユーザに情報を提供したりする。Ｗｅｂページ１３の一例が図３に示すログイン申請画面１００である。ログイン申請画面１００の詳細については後述する。
【００２７】
ログイン処理部１２は、ユーザ端末２からアクセス要求を受け付けたとき、その要求を許可するかどうかを決定する。
【００２８】
例えば、社内ネットワーク９へログインを希望するユーザが、ユーザ端末２から認証サーバ１へアクセスすると、ログイン申請画面１００がユーザ端末２の図示しない表示部に表示される。そして、ログイン申請画面１００から入力された情報を認証サーバ１が受け付ける。
【００２９】
ここで、ログイン申請画面１００の一例を図３に示す。ログイン申請画面１００は、ユーザＩＤの入力領域１０１およびパスワードの入力領域１０２を有する。ログイン処理部１２は、ここで入力されたユーザＩＤおよびパスワードをユーザテーブル１８に予め記憶されているものと照合してユーザ認証を行う。ユーザ認証の結果、正規のユーザであることが確認されたら、ログイン処理部１２はログインを許可するようにしてもよい。あるいは、後述するようにユーザＩＤおよびパスワードによる認証に加え、管理者からのログイン許可通知があったときにログインを許可するようにしてもよい。さらに、後述するような追加認証を行ってもよい。
【００３０】
ログイン申請画面１００は、ログインの付加情報の入力を受け付ける領域をさらに有する。つまり、ログイン申請画面１００は、ログインした状態を継続する予定時間（アクセスを希望する時間）の入力領域１０３と、社内ネットワーク９内のどこへアクセスするか（アクセス先）、または何をするか（利用サービス）を選択するための入力領域１０４と、ログインする理由の入力領域１０５とを有する。ログイン付加情報に含まれる項目の一部または全部で、ログイン要求の正当性を確認することができる。ここで入力されたログイン付加情報の一部または全部が、後述するようにログインするユーザの管理者の携帯電話機５へ電子メール等で送信される（図４参照）。
【００３１】
ここで入力されたログイン付加情報は、図示しない記憶部に記憶される。このとき、入力領域１０４に入力された情報は、アクセス先のサーバ名またはＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）等、アクセス先を一意に識別可能な情報に置き換えられた後、記憶部に記憶するようにしてもよい。
【００３２】
また、ログイン処理部１２は、一度社内ネットワーク９へのアクセスを許可した場合であっても、アクセス監視部１６または管理者インタフェース１４から指示を受けたときなど、所定の場合にはそれを取り消して通信を切断する。
【００３３】
管理者インタフェース１４は、社内ネットワーク９へログインを希望するユーザの管理者との間で情報を送受信する。例えば、管理者インタフェース１４は、電子メール機能を備える。そして、ログイン申請画面１００に入力されたログイン付加情報を含むテキストファイルを生成して、アクセス要求をしたユーザの管理者の通信装置５へネットワークインタフェース１１を介して送信する。このとき、送信先の電子メールアドレスは、管理者インタフェース１４が、管理者テーブル１５を参照してアクセス要求をしたユーザのＩＤと対応する管理者の携帯電話機５の電子メールアドレス１５２，１５３を取得する。
【００３４】
図４は、上記電子メールを受信した管理者の携帯電話機５にログイン付加情報を表示したときの一例である。つまり、携帯電話機５の表示部５１に受信した電子メールの内容が表示される。ここで、付加情報と併せて、アクセス要求をしたユーザを特定するための情報も含まれている。ユーザを特定するための情報は、受信した管理者がユーザを特定するのに十分な情報であればよい。例えば、ユーザＩＤ、ユーザ名(ニックネーム、イニシャル等を含む)、あるいは所属部署とユーザ名の組み合わせなどでもよい。
【００３５】
また、管理者インタフェース１４は、後述するようなアクセス監視部１６からのメール通知指示を受けたときも、管理者のメールアドレスへ電子メールを送信する。
【００３６】
管理者は、携帯電話機５を操作して、受信した電子メールに対する返信メールを送ることができる。返信メールには、ログイン許可、または不許可を示す情報を添付できる。管理者インタフェース１４はこの返信メールを受信し、返信メールがログイン許可を示すときはその旨を、ログイン不許可を示すときはその旨または切断指示をログイン処理部１２へ通知する。
【００３７】
アクセス監視部１６は、アクセスログ１９を参照してユーザのアクセスを監視する。そして、予め申告したアクセス先と異なるところへアクセスしたときなど、不正なアクセスを検出したときは、ログイン処理部１２へ切断指示をする。アクセス監視部１６の処理の詳細は後述する。
【００３８】
以上に説明した構成を備える認証サーバ１が行う処理の手順について、図５〜図８のフローチャートを用いて説明する。
【００３９】
認証サーバ１の処理は、図５に示すように、ユーザのログインを許可するかどうかを判定するログイン処理Ｓ１と、ログインが許可された後、ユーザが社内ネットワーク９へアクセスしている間に行うアクセス中処理Ｓ２とに分かれる。
【００４０】
認証サーバ１はログイン処理Ｓ１として以下の処理を行う。すなわち、社内ネットワーク９へログインを希望するユーザが、ユーザ端末２から認証サーバ１へアクセスすると、これを受け付けてユーザ端末２にログイン申請画面１００を表示させる。ユーザが、ログイン申請画面１００の各入力項目に必要な情報を入力してログイン申請を行う（Ｓ１１）。このログイン申請を受け付けると、ログイン処理部１２が入力されたユーザＩＤおよびパスワードと、ユーザテーブル１８に登録されているユーザＩＤおよびパスワードとを照合して、ユーザ認証を行う（Ｓ１２）。ユーザＩＤおよびパスワードが一致すると、管理者インタフェース１４が、ログイン付加情報を含むテキストファイルを生成する。そして、管理者テーブル１５を参照して、ユーザＩＤに対応する管理者の電子メールアドレス１５２を取得する。管理者インタフェース１４は、生成されたテキストファイルを電子メール機能を利用して管理者へ送信する（Ｓ１３）。なお、ステップＳ１２とステップＳ１３とは順序が逆でもよい。つまり、ステップＳ１３をステップＳ１２より先に行ってもよい。
【００４１】
これにより、アクセスを要求するユーザにはログイン付加情報を入力させ、これをそのユーザの管理者へ通知することができる。ログイン付加情報の通知を受けた管理者は、自分の部下が外部から社内ネットワーク９へログインするために、付加情報としてどのようなことを申請しているか、リアルタイムで確認することができる。この結果、管理者は部下の申請内容が、その部下の業務や直近の行動に照らして矛盾しないかを確認できる。
【００４２】
なお、ログイン付加情報は、本実施形態で例示する項目以外に、社内ネットワーク９へのアクセス要求の正当性を管理者が確認できるような情報であれば、他の項目に関する情報を入力させてもよい。
【００４３】
次に、認証サーバ１は、アクセス中処理Ｓ２として以下の処理を行う。すなわち、図示しない計時部が、ユーザが実際にログインしている時間を計測し、自己申告したログイン予定時間と対比して残り時間を求め、ユーザ端末２に表示させる（Ｓ２１）。社内ネットワーク９へのログインが許可されている間に、ユーザからログイン時間の延長を求める再申請があるとステップＳ１のログイン処理を繰り返し（Ｓ２２：Ｙｅｓ）、再申請された時間を残り時間に追加する。再申請がないときは、ログイン処理部１２が実際にアクセスしている時間が申請されたアクセス時間を超過していないか監視する（Ｓ２３）。そして、実際のログイン時間が申請された時間を超過したとき、ログイン処理部１２が強制的にアクセスを遮断する（Ｓ２４）。
【００４４】
なお、アクセスの強制切断の前に、残り時間が所定の時間（たとえば、２分）以下になったところで、警告をしてもよい。また、ステップＳ２２で再申請があったとき、ログイン処理Ｓ１の繰り返しは省略してもよい。
【００４５】
次に、ログイン処理Ｓ１は、図５に示した処理以外に、以下のような処理でもよい。例えば、図６はログイン処理Ｓ１の他の態様について示す。この態様では、ログインに当たり管理者の承認を必要とする。すなわち、ステップＳ１１〜Ｓ１３のあとに、ログイン許可通知を受信するとログインを許可するステップＳ１４を追加してもよい。このログイン許可通知は、例えば、ステップＳ１３でログイン付加情報を送信した管理者の携帯電話機５からの返信メールである。ステップＳ１４では、所定時間内に返信メールを受信しない場合や、ログインを許可しない旨の電子メールを受信したときは、ログイン処理部１２はそのアクセス要求を許可しない（Ｓ１４：Ｎｏ）。
【００４６】
この態様では、管理者が携帯電話機５でログイン付加情報の通知を受けると、この内容を確認して、管理者がそのログインを許可するかどうかを判断する。これにより、不審なログイン要求は未然に拒否することができる。
【００４７】
また、図６の態様のようにログインに管理者の承認を必要とするかどうかは、ログインをするユーザ、あるいはアクセス先または利用サービスに応じて定めてもよい。この場合は、ユーザに与えられている権限あるいは担当業務、アクセス先等の機密の高さなどに応じて、管理者承認の要否を定めてもよい。
【００４８】
ログイン処理Ｓ１のさらに別の態様について図７に示す。この態様では、ステップＳ１２とＳ１３との間にユーザの追加認証を行うステップＳ１５が挿入されている。追加認証とは、ステップＳ１２のユーザＩＤおよびパスワードによる認証に加えて行われる認証で、ログイン処理部１２が行う。例えば、過去の通信記録に関する情報（前回のログイン時の理由など）をログイン申請時に入力させ、ログイン処理部１２がアクセスログ１９に記録されている情報と照合する。この場合、ログイン申請画面１００に入力領域をさらに設けて入力させるようにしてもよい。
【００４９】
なお、ステップＳ１２のユーザ認証は、ユーザＩＤおよびパスワードによる認証を、電子証明書による認証またはワンタイムパスワードによる認証と置き換えることもできるし、これらの２つ以上を併用して適用することもできる。
【００５０】
次に、アクセス中処理Ｓ２についても同様に、図５に示した処理以外の処理を行うこともできる。他の処理態様の例を図８に示す。
【００５１】
この処理態様では、切断指示を受けたかどうかの判断を行うステップＳ２５が追加されている。このステップＳ２５は、アクセス監視部１６または管理者の携帯電話機５から切断指示を受けたかどうかを判定する。そして、切断指示があったときは、ログイン処理部１２がステップＳ２４で強制的に切断する。これにより、アクセス監視部１６が例えば不正アクセスを検出したとき、あるいは管理者が不正なアクセスであると判断したときに、その時点で強制的にそのユーザのアクセスを切断することができる。
【００５２】
次に、アクセス監視部１６が行う処理の詳細について説明する。なお、以下の処理は、複数のユーザが社内ネットワーク９へアクセスしている場合は、ユーザＩＤをキーにしてユーザごとに行う。
【００５３】
アクセス監視部１６は、ログイン時にユーザによって申告されたログイン付加情報とアクセスログ１９とを比較する。この比較は、例えば、ログイン付加情報の各項目ごとに行い、アクセスログ１９に記録されたアクセス先の識別情報とが、ログイン付加情報のアクセス先とが一致するかどうかを判定する。ここで、現実のアクセス先が申告されたアクセス先と一致しない場合、直ちに不正アクセスとしてもよいが、本実施形態では、不一致の回数が所定のしきい値を越えたときに不正アクセスとして検出する。
【００５４】
これにより、自己申告とは異なるアクセスを繰り返すと不正なアクセスとして検出される。
【００５５】
また、現実のアクセス先に応じて重要度を予め設定しておき（例えば図９参照）、その重要度に応じて不正アクセスとして検出するためのしきい値を定めてもよい。つまり、重要度が高いアクセス先は、重要度が低いアクセス先よりも、少ない（不一致）検出回数で不正アクセスと認定する。
【００５６】
図９には、アクセス先別に重要度、および不正アクセス検出のしきい値が定義された重要度定義テーブル５０を示す。このテーブル５０は、例えば、アクセス監視部１６内の図示しない記憶領域に記憶されている。
【００５７】
アクセス監視部１６は、さらに、上記のアクセス先に基づく不正アクセス判定に加え、またはこれとは別に、ユーザが行っているアクセスの態様が、予め定めた不審な行為の類型に含まれるかどうかを判定する。この判定は、アクセス監視部１６がアクセスログ１９に記憶された内容を分析し、ユーザのアクセスの態様（ユーザが行っている行為）を特定する。そして、そのアクセス態様が不審なアクセスの類型（不審な行為）に属するかどうかを判別する。ここで、不審な行為とは、例えば、一般的に不正と思われるアクセス方法、または、ログイン付加情報に含まれる目的に照らし、その目的とは明らかに異なる行為、あるいはその目的とは関係ないと思われるような行為を含む。一般的に不正と思われるアクセス方法とは、例えば、連続してパスワードエラーを発生させる行為（応答コードを参照して判定する）、および所定時間内に所定数以上のサーバへアクセスするスキャン行為（ＩＰアドレスの末尾を１から１００まで順に辿るなど、実在しないサーバも含めてスキャンする行為）などである。不審な行為の中でも、さらに、危険度に応じて予めレベルを設定しておいてもよい。
【００５８】
これにより、ユーザ認証をクリアしてログインしたときでも、不審な行為を行うと不正なアクセスとして検出される。
【００５９】
ここで、不正なアクセス先を検出したときと同様に、不審な行為を検出すると直ちに不正アクセスとしてもよいが、本実施形態では、不審な行為の回数が所定のしきい値を越えたときに不正アクセスとして検出する。さらに、不正な行為の危険度に応じて不正アクセスとして検出するためのしきい値を定めてもよい（例えば図１０）。つまり、危険度の高い不審な行為を検出したときは、危険度が低いものよりも少ない回数で不正アクセスと認定する。
【００６０】
図１０には、不審な行為別に危険度、および不正アクセス検出のしきい値が定義された危険度定義テーブル６０を示す。このテーブル６０は、例えば、アクセス監視部１６内の図示しない記憶領域に記憶されている。
【００６１】
上述のようにして不正アクセスを検出したと判断したときは、アクセス監視部１６は、予め定められた所定の処理（対策）を実行する。例えば、アクセス監視部１６は、不正アクセスを行っているユーザの管理者のメールアドレス（社内ネットワーク９内の通常のメールアドレス、または携帯電話機５のメールアドレス）へ電子メールで通知するよう管理者インタフェース１４へ指示したり、強制的にアクセスを切断するためにログイン処理部１２へ切断指示をしたりする。管理者へ通知する電子メールには、検出された不正アクセスを行っているユーザを特定するための情報および不正アクセスの内容などが含まれる。
【００６２】
アクセス監視部１６が行う対策は、現実のアクセス先または不審な行為に基づいて定めてもよいし、所定のルールに基づいて、その時々で定めて行ってもよい。所定のルールの一例を、図１１および図１２を用いて説明する。すなわち、図１１は、示すアクセス先の重要度と不審な行為の危険度とから対策レベルを定めるマトリックス７０を示し、図１２は、ユーザＩＤ別の対策レベルに応じた対策テーブル８０を示す。このマトリックス７０および対策テーブル８０は、いずれも、例えば、アクセス監視部１６内の図示しない記憶領域に記憶されている。
【００６３】
まず、アクセス監視部１６がマトリックス７０を用いて対策レベルを定める。対策レベルが定まると、対策テーブル８０を参照し、ユーザＩＤ応じて実施する対策が定まる。
【００６４】
次に、アクセス中処理Ｓ２として行われるアクセス先を監視するときの処理手順を、図１３に示すフローチャートを用いて説明する。
【００６５】
まず、アクセス監視部１６が、図示しない記憶部に記憶されているログイン付加情報およびアクセスログ１９を参照して、アクセス先がユーザが自己申告したアクセス先と一致するかどうかを判定する（Ｓ３１，Ｓ３２）。
【００６６】
現実のアクセス先が申告したものと一致しない場合（Ｓ３２：Ｎｏ）、アクセス先別の回数をカウントするためのカウンタをカウントアップする（Ｓ３３）。そして、アクセス監視部１６は、そのカウンタのカウント値が所定のしきい値を越えたかどうかを判定する（Ｓ３４）。所定のしきい値を越えていた場合は（Ｓ３４：Ｙｅｓ）、アクセス監視部１６は、所定の対策または所定のルールに基づいて定まる対策を実施する（Ｓ３５）。
【００６７】
また、アクセス行為が不正なものであるかどうかの判定を行うときの処理手順を、図１４に示すフローチャートを用いて説明する。
【００６８】
まず、アクセス監視部１６がアクセスログ１９を参照して、ユーザの行為を分析ながら監視する（Ｓ３６）。そして、ユーザが不審な行為を行っていることを検出すると（Ｓ３７：Ｙｅｓ）、行為別の回数をカウントするためのカウンタをカウントアップする（Ｓ３８）。アクセス監視部１６は、そのカウンタのカウント値が所定のしきい値を越えたかどうかを判定する（Ｓ３９）。所定のしきい値を越えていた場合は（Ｓ３９：Ｙｅｓ）、アクセス監視部１６は、所定の対策または所定のルールに基づいて定まる対策を実施する（Ｓ４０）。
【００６９】
上述した本発明の実施形態は、本発明の説明のための例示であり、本発明の範囲をそれらの実施形態にのみ限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。
【図面の簡単な説明】
【００７０】
【図１】本発明を適用したユーザ認証システムの構成図である。
【図２】管理者テーブルおよびユーザテーブルのデータ項目の一例を示す図である。
【図３】ログイン申請画面の一例を示す図である。
【図４】携帯電話機５が受信した電子メールの内容を表示したときの一例を示す図である。
【図５】認証サーバが行う処理の一例を示すフローチャートである。
【図６】ログイン処理の他の態様を示すフローチャートである。
【図７】ログイン処理の他の態様を示すフローチャートである。
【図８】アクセス中処理の態様を示すフローチャートである。
【図９】重要度定義テーブルの一例を示す図である。
【図１０】危険度定義テーブルの一例を示す図である。
【図１１】対策レベルを定めるマトリックスの一例を示す図である。
【図１２】ユーザＩＤ別対策テーブルの一例を示す図である。
【図１３】アクセス先を監視するための処理の態様を示すフローチャートである。
【図１４】不正な行為を判定するための処理の態様を示すフローチャートである。
【符号の説明】
【００７１】
１…認証サーバ、２…ユーザ端末、３…ネットワーク、４…無線基地局、５…携帯電話機、９…社内ネットワーク、１１…ネットワークインタフェース部、１２…ログイン処理部、１３…Ｗｅｂページ、１４…管理者インタフェース、１５…管理者テーブル、１６…アクセス監視部、１８…ユーザテーブル、１９…アクセスログ。５０…重要度定義テーブル、６０…危険度定義テーブル、７０…対策レベルを定めるマトリックス、８０…ユーザＩＤ別対策テーブル。
【技術分野】
【０００１】
本発明は、コンピュータシステムのセキュリティ管理に関し、特にコンピュータシステムに対するアクセス要求の正当性を判定する技術に関する。
【背景技術】
【０００２】
企業の社内システムなど、予め定められたユーザ（例えば、社員等）だけにアクセス権限が与えられている閉じたシステムにおいて、権限あるユーザがシステムの外部からアクセスすることを認めている場合がある。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
前記のようなシステムが外部からアクセス要求を受けたとき、真に権限あるユーザであるかどうかを確認することは、セキュリティ管理上極めて重要である。従って、係るシステムでは、通常、不正アクセスを防止するため、ユーザからのアクセス要求またはログイン要求を受けたとき、そのユーザが権限あるユーザであるかどうかを確認する（ユーザ認証）。このユーザ認証の方法として、パスワードによる認証や指紋などを用いた生体認証等が知られている。
【０００４】
しかし、パスワードは盗まれたり、解読されたりすることもあるし、指紋はダミーを作成されてしまえば不正アクセスを許すことになってしまう。
【０００５】
そこで、本発明の目的は、不正アクセスを防止するためのあらたなユーザ認証技術を提供することである。
【０００６】
本発明の別の目的は、管理者が部下など管理対象者の行動管理を支援することである。
【０００７】
本発明のさらに別の目的は、ログイン要求があったときのログイン許否判定を支援することである。
【課題を解決するための手段】
【０００８】
本発明の一つの態様に従うコンピュータシステムに対するログイン要求受付装置は、コンピュータシステムに対する第１のユーザからのログイン要求、および第２のユーザが前記ログイン要求の正当性を確認するための情報の入力を受け付ける受付手段と、前記第１のユーザに予め対応づけられている前記第２のユーザの通信装置へ、前記ログイン要求の正当性を確認するための情報を含む電子情報を送出する手段と、を備える。
【０００９】
好適な実施形態では、前記受付手段は、前記第１のユーザの識別情報をさらに受け付け、前記ログイン要求受付装置は、前記ユーザ識別情報と前記第２のユーザの通信装置とを対応づけて記憶した記憶手段をさらに備える。
【００１０】
さらに、前記第２のユーザは、前記第１のユーザを管理または監督する者であってもよい。
【００１１】
本発明の一つの態様に従うアクセス管理装置は、コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付ける受付手段と、前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出する手段と、前記受付手段が前記ユーザ識別情報および前記アクセス希望の理由を示す情報の入力を受け付けると、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するアクセス管理手段と、を備える。
【００１２】
好適な実施形態では、前記受付手段は、アクセス希望時間をさらに受け付け、前記ユーザが前記保護対象システムへアクセスした時間が前記アクセス希望時間を経過すると、前記アクセス管理手段はそのアクセスを切断する。
【００１３】
好適な実施形態では、前記通信装置から送信された電子情報を受信する受信手段をさらに備え、前記受信手段が前記通信装置からアクセス不許可を示す電子情報を受信すると、前記アクセス管理手段は前記コンピュータシステムへのアクセスを切断する。
【００１４】
好適な実施形態では、前記ユーザについて、第１および第２の認証を行う認証手段をさらに備え、前記受付手段は、前記第１および第２の認証に必要な情報をさらに受け付ける。
【００１５】
好適な実施形態では、前記受付手段は、前記ユーザの前記コンピュータシステムへの過去のアクセスに関する情報の入力を受け付け、前記第１の認証は、前記ユーザ識別情報に基づく認証であり、前記第２の認証は、前記過去のアクセスに関する情報に基づく認証である。
【００１６】
本発明の一つの態様に従うアクセス管理装置は、コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付ける受付手段と、前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出する手段と、前記通信装置から送信された電子情報を受信する受信手段と、前記受信手段が受信した電子情報が、前記コンピュータシステムに対するアクセスを許可することを示す情報であれば、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するアクセス管理手段と、を備える。
【発明を実施するための最良の形態】
【００１７】
以下、本発明を適用した一実施形態に係るシステムついて、図面を用いて説明する。
【００１８】
本システムの全体構成を図１に示す。本システムは、権限あるユーザ以外のユーザに対してアクセスを制限して、コンピュータシステムを保護するために、ユーザの認証および監視を行うための認証サーバ１を備える。保護すべきコンピュータシステムの好適な例として、本実施形態では企業の社内ネットワーク９を用いて説明する。社内ネットワーク９へアクセスできるのは、その企業の社員等の予め定められている者である。社員等が社内ネットワーク９へアクセスしたいときは、ユーザ端末２からインターネットなどのネットワーク３を介して認証サーバ１へログイン要求をする。このログイン要求が許可されると、そのユーザは社内ネットワーク９へアクセスすることができる。
【００１９】
また、社内ネットワーク９へのアクセス要求の正当性の確認等のため、認証サーバ１はアクセス要求をしたユーザを管理する管理者の携帯電話機５との間で、ネットワーク３、無線基地局４および携帯電話機用無線電話網（図示しない）を通じてデータの送受信を行う。
【００２０】
ここで、「管理者」は「ユーザ」を直接的、または間接的に管理、監督、監視、あるいは指導する立場にある者を含む。典型的には「管理者」と「ユーザ」とは、いわゆる上司と部下の関係であるが、必ずしもこれに限定されない。たとえば、「ユーザ」が外注先の社員であるときは、「管理者」は外注元の社員でもよいし、「ユーザ」と「管理者」とが相互に相手の行動を監視しあう立場でもよい。
【００２１】
認証サーバ１およびユーザ端末２は、いずれも例えば汎用的なコンピュータシステムにより構成され、以下に説明する個々の構成要素または機能は、例えば、コンピュータプログラムを実行することにより実現される。また、携帯電話機５は、必ずしも現在実用されているタイプの携帯電話機でなければならないわけではなく、例えば電子メールやＷＷＷによるインターネット通信機能を有する携帯型およびデスクトップのパーソナルコンピュータやＰＤＡ（パーソナルデータアシスタント）や現在のものから将来的に進化した携帯電話機等の他のタイプの携帯通信機器で置き換えられてもよい。
【００２２】
認証サーバ１は、ネットワークインタフェース部１１と、ログイン処理部１２と、Ｗｅｂページ１３と、管理者インタフェース１４と、管理者テーブル１５と、アクセス監視部１６と、ユーザテーブル１８と、アクセスログ１９とを備える。
【００２３】
ネットワークインタフェース部１１は、ネットワーク３に対するデータの入出力を制御する。さらに、ネットワークインタフェース部１１は、社内ネットワーク９へアクセスが許可されたユーザの通信記録（アクセス先や利用サービス）をアクセスログ１９に記録する。アクセスログ１９は、例えば、ユーザＩＤ、利用時間、容量、アクセス先の識別情報（アドレス等）、送受信コマンド、応答コード、送受信文字列等をデータ項目に含む。
【００２４】
ユーザテーブル１８は、社内ネットワーク９へアクセスする権限を有するユーザの個人情報を記憶する。たとえば、ユーザテーブル１８は、図２（ａ）に示すように、ユーザＩＤ１８１と、パスワード１８２と、電子メールアドレス１８３とをデータ項目として有する。アクセス要求を受けたときに、ログイン処理部１２がこのユーザテーブル１８を参照してユーザ認証を行う。電子メールアドレス１８３は、社内ネットワーク９内（社内）の電子メールアドレスである。ユーザＩＤ１８１のユーザがユーザ端末２からログインしたとき、ログイン処理部１２が電子メールアドレス１８３へログインの事実を通知するための電子メールを送信する。
【００２５】
管理者テーブル１５は、ユーザテーブル１８に登録されているユーザの管理者を示す情報が登録されている。例えば、管理者テーブル１５には、図２（ｂ）に示すように、ユーザＩＤ１５１と、管理者の電子メールアドレス１５２、１５３とが対応づけて記憶されている。ここで、管理者の電子メールアドレスが複数あるのは、以下の理由による。すなわち、後述するように、管理者インタフェース１４がこの管理者テーブル１５を参照して管理者の携帯電話機５へ電子メールを送信する。このとき、複数の電子メールアドレスの中で予め優先順位を定めておき、順位の高い電子メールアドレスから順に送信し、送信できない場合に下位の電子メールアドレスへ送信するようにしてもよい。
【００２６】
Ｗｅｂページ１３は、認証サーバ１へアクセスしたユーザから情報の入力を受け付けたり、ユーザに情報を提供したりする。Ｗｅｂページ１３の一例が図３に示すログイン申請画面１００である。ログイン申請画面１００の詳細については後述する。
【００２７】
ログイン処理部１２は、ユーザ端末２からアクセス要求を受け付けたとき、その要求を許可するかどうかを決定する。
【００２８】
例えば、社内ネットワーク９へログインを希望するユーザが、ユーザ端末２から認証サーバ１へアクセスすると、ログイン申請画面１００がユーザ端末２の図示しない表示部に表示される。そして、ログイン申請画面１００から入力された情報を認証サーバ１が受け付ける。
【００２９】
ここで、ログイン申請画面１００の一例を図３に示す。ログイン申請画面１００は、ユーザＩＤの入力領域１０１およびパスワードの入力領域１０２を有する。ログイン処理部１２は、ここで入力されたユーザＩＤおよびパスワードをユーザテーブル１８に予め記憶されているものと照合してユーザ認証を行う。ユーザ認証の結果、正規のユーザであることが確認されたら、ログイン処理部１２はログインを許可するようにしてもよい。あるいは、後述するようにユーザＩＤおよびパスワードによる認証に加え、管理者からのログイン許可通知があったときにログインを許可するようにしてもよい。さらに、後述するような追加認証を行ってもよい。
【００３０】
ログイン申請画面１００は、ログインの付加情報の入力を受け付ける領域をさらに有する。つまり、ログイン申請画面１００は、ログインした状態を継続する予定時間（アクセスを希望する時間）の入力領域１０３と、社内ネットワーク９内のどこへアクセスするか（アクセス先）、または何をするか（利用サービス）を選択するための入力領域１０４と、ログインする理由の入力領域１０５とを有する。ログイン付加情報に含まれる項目の一部または全部で、ログイン要求の正当性を確認することができる。ここで入力されたログイン付加情報の一部または全部が、後述するようにログインするユーザの管理者の携帯電話機５へ電子メール等で送信される（図４参照）。
【００３１】
ここで入力されたログイン付加情報は、図示しない記憶部に記憶される。このとき、入力領域１０４に入力された情報は、アクセス先のサーバ名またはＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）等、アクセス先を一意に識別可能な情報に置き換えられた後、記憶部に記憶するようにしてもよい。
【００３２】
また、ログイン処理部１２は、一度社内ネットワーク９へのアクセスを許可した場合であっても、アクセス監視部１６または管理者インタフェース１４から指示を受けたときなど、所定の場合にはそれを取り消して通信を切断する。
【００３３】
管理者インタフェース１４は、社内ネットワーク９へログインを希望するユーザの管理者との間で情報を送受信する。例えば、管理者インタフェース１４は、電子メール機能を備える。そして、ログイン申請画面１００に入力されたログイン付加情報を含むテキストファイルを生成して、アクセス要求をしたユーザの管理者の通信装置５へネットワークインタフェース１１を介して送信する。このとき、送信先の電子メールアドレスは、管理者インタフェース１４が、管理者テーブル１５を参照してアクセス要求をしたユーザのＩＤと対応する管理者の携帯電話機５の電子メールアドレス１５２，１５３を取得する。
【００３４】
図４は、上記電子メールを受信した管理者の携帯電話機５にログイン付加情報を表示したときの一例である。つまり、携帯電話機５の表示部５１に受信した電子メールの内容が表示される。ここで、付加情報と併せて、アクセス要求をしたユーザを特定するための情報も含まれている。ユーザを特定するための情報は、受信した管理者がユーザを特定するのに十分な情報であればよい。例えば、ユーザＩＤ、ユーザ名(ニックネーム、イニシャル等を含む)、あるいは所属部署とユーザ名の組み合わせなどでもよい。
【００３５】
また、管理者インタフェース１４は、後述するようなアクセス監視部１６からのメール通知指示を受けたときも、管理者のメールアドレスへ電子メールを送信する。
【００３６】
管理者は、携帯電話機５を操作して、受信した電子メールに対する返信メールを送ることができる。返信メールには、ログイン許可、または不許可を示す情報を添付できる。管理者インタフェース１４はこの返信メールを受信し、返信メールがログイン許可を示すときはその旨を、ログイン不許可を示すときはその旨または切断指示をログイン処理部１２へ通知する。
【００３７】
アクセス監視部１６は、アクセスログ１９を参照してユーザのアクセスを監視する。そして、予め申告したアクセス先と異なるところへアクセスしたときなど、不正なアクセスを検出したときは、ログイン処理部１２へ切断指示をする。アクセス監視部１６の処理の詳細は後述する。
【００３８】
以上に説明した構成を備える認証サーバ１が行う処理の手順について、図５〜図８のフローチャートを用いて説明する。
【００３９】
認証サーバ１の処理は、図５に示すように、ユーザのログインを許可するかどうかを判定するログイン処理Ｓ１と、ログインが許可された後、ユーザが社内ネットワーク９へアクセスしている間に行うアクセス中処理Ｓ２とに分かれる。
【００４０】
認証サーバ１はログイン処理Ｓ１として以下の処理を行う。すなわち、社内ネットワーク９へログインを希望するユーザが、ユーザ端末２から認証サーバ１へアクセスすると、これを受け付けてユーザ端末２にログイン申請画面１００を表示させる。ユーザが、ログイン申請画面１００の各入力項目に必要な情報を入力してログイン申請を行う（Ｓ１１）。このログイン申請を受け付けると、ログイン処理部１２が入力されたユーザＩＤおよびパスワードと、ユーザテーブル１８に登録されているユーザＩＤおよびパスワードとを照合して、ユーザ認証を行う（Ｓ１２）。ユーザＩＤおよびパスワードが一致すると、管理者インタフェース１４が、ログイン付加情報を含むテキストファイルを生成する。そして、管理者テーブル１５を参照して、ユーザＩＤに対応する管理者の電子メールアドレス１５２を取得する。管理者インタフェース１４は、生成されたテキストファイルを電子メール機能を利用して管理者へ送信する（Ｓ１３）。なお、ステップＳ１２とステップＳ１３とは順序が逆でもよい。つまり、ステップＳ１３をステップＳ１２より先に行ってもよい。
【００４１】
これにより、アクセスを要求するユーザにはログイン付加情報を入力させ、これをそのユーザの管理者へ通知することができる。ログイン付加情報の通知を受けた管理者は、自分の部下が外部から社内ネットワーク９へログインするために、付加情報としてどのようなことを申請しているか、リアルタイムで確認することができる。この結果、管理者は部下の申請内容が、その部下の業務や直近の行動に照らして矛盾しないかを確認できる。
【００４２】
なお、ログイン付加情報は、本実施形態で例示する項目以外に、社内ネットワーク９へのアクセス要求の正当性を管理者が確認できるような情報であれば、他の項目に関する情報を入力させてもよい。
【００４３】
次に、認証サーバ１は、アクセス中処理Ｓ２として以下の処理を行う。すなわち、図示しない計時部が、ユーザが実際にログインしている時間を計測し、自己申告したログイン予定時間と対比して残り時間を求め、ユーザ端末２に表示させる（Ｓ２１）。社内ネットワーク９へのログインが許可されている間に、ユーザからログイン時間の延長を求める再申請があるとステップＳ１のログイン処理を繰り返し（Ｓ２２：Ｙｅｓ）、再申請された時間を残り時間に追加する。再申請がないときは、ログイン処理部１２が実際にアクセスしている時間が申請されたアクセス時間を超過していないか監視する（Ｓ２３）。そして、実際のログイン時間が申請された時間を超過したとき、ログイン処理部１２が強制的にアクセスを遮断する（Ｓ２４）。
【００４４】
なお、アクセスの強制切断の前に、残り時間が所定の時間（たとえば、２分）以下になったところで、警告をしてもよい。また、ステップＳ２２で再申請があったとき、ログイン処理Ｓ１の繰り返しは省略してもよい。
【００４５】
次に、ログイン処理Ｓ１は、図５に示した処理以外に、以下のような処理でもよい。例えば、図６はログイン処理Ｓ１の他の態様について示す。この態様では、ログインに当たり管理者の承認を必要とする。すなわち、ステップＳ１１〜Ｓ１３のあとに、ログイン許可通知を受信するとログインを許可するステップＳ１４を追加してもよい。このログイン許可通知は、例えば、ステップＳ１３でログイン付加情報を送信した管理者の携帯電話機５からの返信メールである。ステップＳ１４では、所定時間内に返信メールを受信しない場合や、ログインを許可しない旨の電子メールを受信したときは、ログイン処理部１２はそのアクセス要求を許可しない（Ｓ１４：Ｎｏ）。
【００４６】
この態様では、管理者が携帯電話機５でログイン付加情報の通知を受けると、この内容を確認して、管理者がそのログインを許可するかどうかを判断する。これにより、不審なログイン要求は未然に拒否することができる。
【００４７】
また、図６の態様のようにログインに管理者の承認を必要とするかどうかは、ログインをするユーザ、あるいはアクセス先または利用サービスに応じて定めてもよい。この場合は、ユーザに与えられている権限あるいは担当業務、アクセス先等の機密の高さなどに応じて、管理者承認の要否を定めてもよい。
【００４８】
ログイン処理Ｓ１のさらに別の態様について図７に示す。この態様では、ステップＳ１２とＳ１３との間にユーザの追加認証を行うステップＳ１５が挿入されている。追加認証とは、ステップＳ１２のユーザＩＤおよびパスワードによる認証に加えて行われる認証で、ログイン処理部１２が行う。例えば、過去の通信記録に関する情報（前回のログイン時の理由など）をログイン申請時に入力させ、ログイン処理部１２がアクセスログ１９に記録されている情報と照合する。この場合、ログイン申請画面１００に入力領域をさらに設けて入力させるようにしてもよい。
【００４９】
なお、ステップＳ１２のユーザ認証は、ユーザＩＤおよびパスワードによる認証を、電子証明書による認証またはワンタイムパスワードによる認証と置き換えることもできるし、これらの２つ以上を併用して適用することもできる。
【００５０】
次に、アクセス中処理Ｓ２についても同様に、図５に示した処理以外の処理を行うこともできる。他の処理態様の例を図８に示す。
【００５１】
この処理態様では、切断指示を受けたかどうかの判断を行うステップＳ２５が追加されている。このステップＳ２５は、アクセス監視部１６または管理者の携帯電話機５から切断指示を受けたかどうかを判定する。そして、切断指示があったときは、ログイン処理部１２がステップＳ２４で強制的に切断する。これにより、アクセス監視部１６が例えば不正アクセスを検出したとき、あるいは管理者が不正なアクセスであると判断したときに、その時点で強制的にそのユーザのアクセスを切断することができる。
【００５２】
次に、アクセス監視部１６が行う処理の詳細について説明する。なお、以下の処理は、複数のユーザが社内ネットワーク９へアクセスしている場合は、ユーザＩＤをキーにしてユーザごとに行う。
【００５３】
アクセス監視部１６は、ログイン時にユーザによって申告されたログイン付加情報とアクセスログ１９とを比較する。この比較は、例えば、ログイン付加情報の各項目ごとに行い、アクセスログ１９に記録されたアクセス先の識別情報とが、ログイン付加情報のアクセス先とが一致するかどうかを判定する。ここで、現実のアクセス先が申告されたアクセス先と一致しない場合、直ちに不正アクセスとしてもよいが、本実施形態では、不一致の回数が所定のしきい値を越えたときに不正アクセスとして検出する。
【００５４】
これにより、自己申告とは異なるアクセスを繰り返すと不正なアクセスとして検出される。
【００５５】
また、現実のアクセス先に応じて重要度を予め設定しておき（例えば図９参照）、その重要度に応じて不正アクセスとして検出するためのしきい値を定めてもよい。つまり、重要度が高いアクセス先は、重要度が低いアクセス先よりも、少ない（不一致）検出回数で不正アクセスと認定する。
【００５６】
図９には、アクセス先別に重要度、および不正アクセス検出のしきい値が定義された重要度定義テーブル５０を示す。このテーブル５０は、例えば、アクセス監視部１６内の図示しない記憶領域に記憶されている。
【００５７】
アクセス監視部１６は、さらに、上記のアクセス先に基づく不正アクセス判定に加え、またはこれとは別に、ユーザが行っているアクセスの態様が、予め定めた不審な行為の類型に含まれるかどうかを判定する。この判定は、アクセス監視部１６がアクセスログ１９に記憶された内容を分析し、ユーザのアクセスの態様（ユーザが行っている行為）を特定する。そして、そのアクセス態様が不審なアクセスの類型（不審な行為）に属するかどうかを判別する。ここで、不審な行為とは、例えば、一般的に不正と思われるアクセス方法、または、ログイン付加情報に含まれる目的に照らし、その目的とは明らかに異なる行為、あるいはその目的とは関係ないと思われるような行為を含む。一般的に不正と思われるアクセス方法とは、例えば、連続してパスワードエラーを発生させる行為（応答コードを参照して判定する）、および所定時間内に所定数以上のサーバへアクセスするスキャン行為（ＩＰアドレスの末尾を１から１００まで順に辿るなど、実在しないサーバも含めてスキャンする行為）などである。不審な行為の中でも、さらに、危険度に応じて予めレベルを設定しておいてもよい。
【００５８】
これにより、ユーザ認証をクリアしてログインしたときでも、不審な行為を行うと不正なアクセスとして検出される。
【００５９】
ここで、不正なアクセス先を検出したときと同様に、不審な行為を検出すると直ちに不正アクセスとしてもよいが、本実施形態では、不審な行為の回数が所定のしきい値を越えたときに不正アクセスとして検出する。さらに、不正な行為の危険度に応じて不正アクセスとして検出するためのしきい値を定めてもよい（例えば図１０）。つまり、危険度の高い不審な行為を検出したときは、危険度が低いものよりも少ない回数で不正アクセスと認定する。
【００６０】
図１０には、不審な行為別に危険度、および不正アクセス検出のしきい値が定義された危険度定義テーブル６０を示す。このテーブル６０は、例えば、アクセス監視部１６内の図示しない記憶領域に記憶されている。
【００６１】
上述のようにして不正アクセスを検出したと判断したときは、アクセス監視部１６は、予め定められた所定の処理（対策）を実行する。例えば、アクセス監視部１６は、不正アクセスを行っているユーザの管理者のメールアドレス（社内ネットワーク９内の通常のメールアドレス、または携帯電話機５のメールアドレス）へ電子メールで通知するよう管理者インタフェース１４へ指示したり、強制的にアクセスを切断するためにログイン処理部１２へ切断指示をしたりする。管理者へ通知する電子メールには、検出された不正アクセスを行っているユーザを特定するための情報および不正アクセスの内容などが含まれる。
【００６２】
アクセス監視部１６が行う対策は、現実のアクセス先または不審な行為に基づいて定めてもよいし、所定のルールに基づいて、その時々で定めて行ってもよい。所定のルールの一例を、図１１および図１２を用いて説明する。すなわち、図１１は、示すアクセス先の重要度と不審な行為の危険度とから対策レベルを定めるマトリックス７０を示し、図１２は、ユーザＩＤ別の対策レベルに応じた対策テーブル８０を示す。このマトリックス７０および対策テーブル８０は、いずれも、例えば、アクセス監視部１６内の図示しない記憶領域に記憶されている。
【００６３】
まず、アクセス監視部１６がマトリックス７０を用いて対策レベルを定める。対策レベルが定まると、対策テーブル８０を参照し、ユーザＩＤ応じて実施する対策が定まる。
【００６４】
次に、アクセス中処理Ｓ２として行われるアクセス先を監視するときの処理手順を、図１３に示すフローチャートを用いて説明する。
【００６５】
まず、アクセス監視部１６が、図示しない記憶部に記憶されているログイン付加情報およびアクセスログ１９を参照して、アクセス先がユーザが自己申告したアクセス先と一致するかどうかを判定する（Ｓ３１，Ｓ３２）。
【００６６】
現実のアクセス先が申告したものと一致しない場合（Ｓ３２：Ｎｏ）、アクセス先別の回数をカウントするためのカウンタをカウントアップする（Ｓ３３）。そして、アクセス監視部１６は、そのカウンタのカウント値が所定のしきい値を越えたかどうかを判定する（Ｓ３４）。所定のしきい値を越えていた場合は（Ｓ３４：Ｙｅｓ）、アクセス監視部１６は、所定の対策または所定のルールに基づいて定まる対策を実施する（Ｓ３５）。
【００６７】
また、アクセス行為が不正なものであるかどうかの判定を行うときの処理手順を、図１４に示すフローチャートを用いて説明する。
【００６８】
まず、アクセス監視部１６がアクセスログ１９を参照して、ユーザの行為を分析ながら監視する（Ｓ３６）。そして、ユーザが不審な行為を行っていることを検出すると（Ｓ３７：Ｙｅｓ）、行為別の回数をカウントするためのカウンタをカウントアップする（Ｓ３８）。アクセス監視部１６は、そのカウンタのカウント値が所定のしきい値を越えたかどうかを判定する（Ｓ３９）。所定のしきい値を越えていた場合は（Ｓ３９：Ｙｅｓ）、アクセス監視部１６は、所定の対策または所定のルールに基づいて定まる対策を実施する（Ｓ４０）。
【００６９】
上述した本発明の実施形態は、本発明の説明のための例示であり、本発明の範囲をそれらの実施形態にのみ限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。
【図面の簡単な説明】
【００７０】
【図１】本発明を適用したユーザ認証システムの構成図である。
【図２】管理者テーブルおよびユーザテーブルのデータ項目の一例を示す図である。
【図３】ログイン申請画面の一例を示す図である。
【図４】携帯電話機５が受信した電子メールの内容を表示したときの一例を示す図である。
【図５】認証サーバが行う処理の一例を示すフローチャートである。
【図６】ログイン処理の他の態様を示すフローチャートである。
【図７】ログイン処理の他の態様を示すフローチャートである。
【図８】アクセス中処理の態様を示すフローチャートである。
【図９】重要度定義テーブルの一例を示す図である。
【図１０】危険度定義テーブルの一例を示す図である。
【図１１】対策レベルを定めるマトリックスの一例を示す図である。
【図１２】ユーザＩＤ別対策テーブルの一例を示す図である。
【図１３】アクセス先を監視するための処理の態様を示すフローチャートである。
【図１４】不正な行為を判定するための処理の態様を示すフローチャートである。
【符号の説明】
【００７１】
１…認証サーバ、２…ユーザ端末、３…ネットワーク、４…無線基地局、５…携帯電話機、９…社内ネットワーク、１１…ネットワークインタフェース部、１２…ログイン処理部、１３…Ｗｅｂページ、１４…管理者インタフェース、１５…管理者テーブル、１６…アクセス監視部、１８…ユーザテーブル、１９…アクセスログ。５０…重要度定義テーブル、６０…危険度定義テーブル、７０…対策レベルを定めるマトリックス、８０…ユーザＩＤ別対策テーブル。
【特許請求の範囲】
【請求項１】
コンピュータシステムに対する第１のユーザからのログイン要求、および第２のユーザが前記ログイン要求の正当性を確認するための情報の入力を受け付ける受付手段と、
前記第１のユーザに予め対応づけられている前記第２のユーザの通信装置へ、前記ログイン要求の正当性を確認するための情報を含む電子情報を送出する手段と、を備えるコンピュータシステムに対するログイン要求受付装置。
【請求項２】
前記受付手段は、前記第１のユーザの識別情報をさらに受け付け、
前記ログイン要求受付装置は、前記ユーザ識別情報と前記第２のユーザの通信装置とを対応づけて記憶した記憶手段をさらに備える請求項１記載のログイン要求受付装置。
【請求項３】
前記第２のユーザは、前記第１のユーザを管理または監督する者である請求項１記載のログイン要求受付装置。
【請求項４】
コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付ける受付手段と、
前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出する手段と、
前記受付手段が前記ユーザ識別情報および前記アクセス希望の理由を示す情報の入力を受け付けると、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するアクセス管理手段と、を備えるアクセス管理装置。
【請求項５】
前記受付手段は、アクセス希望時間をさらに受け付け、
前記ユーザが前記保護対象システムへアクセスした時間が前記アクセス希望時間を経過すると、前記アクセス管理手段はそのアクセスを切断する請求項４記載のアクセス管理装置。
【請求項６】
前記通信装置から送信された電子情報を受信する受信手段をさらに備え、
前記受信手段が前記通信装置からアクセス不許可を示す電子情報を受信すると、前記アクセス管理手段は前記コンピュータシステムへのアクセスを切断する請求項４記載のアクセス管理装置。
【請求項７】
前記ユーザについて、第１および第２の認証を行う認証手段をさらに備え、
前記受付手段は、前記第１および第２の認証に必要な情報をさらに受け付ける請求項４記載のアクセス管理装置。
【請求項８】
前記受付手段は、前記ユーザの前記コンピュータシステムへの過去のアクセスに関する情報の入力を受け付け、
前記第１の認証は、前記ユーザ識別情報に基づく認証であり、
前記第２の認証は、前記過去のアクセスに関する情報に基づく認証である請求項７記載のアクセス管理装置。
【請求項９】
コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付ける受付手段と、
前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出する手段と、
前記通信装置から送信された電子情報を受信する受信手段と、
前記受信手段が受信した電子情報が、前記コンピュータシステムに対するアクセスを許可することを示す情報であれば、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するアクセス管理手段と、を備えるアクセス管理装置。
【請求項１０】
コンピュータシステムに対するログイン要求を受け付ける装置の動作のための方法であって、
コンピュータシステムに対する第１のユーザからのログイン要求、および第２のユーザが前記ログイン要求の正当性を確認するための情報の入力を受け付けるステップと、
前記第１のユーザに予め対応づけられている、前記第２のユーザの通信装置へ、前記ログイン要求の正当性を確認するための情報を含む電子情報を送出するステップと、を備えるログイン要求の受付方法。
【請求項１１】
コンピュータに実行されたとき、
コンピュータシステムに対する第１のユーザからのログイン要求、および第２のユーザが前記ログイン要求の正当性を確認するための情報の入力を受け付けるステップと、
前記第１のユーザに予め対応づけられている、前記第２のユーザの通信装置へ、前記ログイン要求の正当性を確認するための情報を含む電子情報を送出するステップと、を行うコンピュータシステムに対するログイン要求受付のためのコンピュータプログラム。
【請求項１２】
コンピュータシステムに対するアクセス要求を管理する装置の動作のための方法であって、
コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付けるステップと、
前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出するステップと、
前記ユーザ識別情報および前記アクセス希望の理由を示す情報の入力を受け付けると、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するステップ、を備えるアクセス要求の管理方法。
【請求項１３】
コンピュータに実行されたとき、
コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付けるステップと、
前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出するステップと、
前記ユーザ識別情報および前記アクセス希望の理由を示す情報の入力を受け付けると、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するステップ、を行うコンピュータシステムに対するアクセス要求管理のためのコンピュータプログラム。
【請求項１】
コンピュータシステムに対する第１のユーザからのログイン要求、および第２のユーザが前記ログイン要求の正当性を確認するための情報の入力を受け付ける受付手段と、
前記第１のユーザに予め対応づけられている前記第２のユーザの通信装置へ、前記ログイン要求の正当性を確認するための情報を含む電子情報を送出する手段と、を備えるコンピュータシステムに対するログイン要求受付装置。
【請求項２】
前記受付手段は、前記第１のユーザの識別情報をさらに受け付け、
前記ログイン要求受付装置は、前記ユーザ識別情報と前記第２のユーザの通信装置とを対応づけて記憶した記憶手段をさらに備える請求項１記載のログイン要求受付装置。
【請求項３】
前記第２のユーザは、前記第１のユーザを管理または監督する者である請求項１記載のログイン要求受付装置。
【請求項４】
コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付ける受付手段と、
前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出する手段と、
前記受付手段が前記ユーザ識別情報および前記アクセス希望の理由を示す情報の入力を受け付けると、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するアクセス管理手段と、を備えるアクセス管理装置。
【請求項５】
前記受付手段は、アクセス希望時間をさらに受け付け、
前記ユーザが前記保護対象システムへアクセスした時間が前記アクセス希望時間を経過すると、前記アクセス管理手段はそのアクセスを切断する請求項４記載のアクセス管理装置。
【請求項６】
前記通信装置から送信された電子情報を受信する受信手段をさらに備え、
前記受信手段が前記通信装置からアクセス不許可を示す電子情報を受信すると、前記アクセス管理手段は前記コンピュータシステムへのアクセスを切断する請求項４記載のアクセス管理装置。
【請求項７】
前記ユーザについて、第１および第２の認証を行う認証手段をさらに備え、
前記受付手段は、前記第１および第２の認証に必要な情報をさらに受け付ける請求項４記載のアクセス管理装置。
【請求項８】
前記受付手段は、前記ユーザの前記コンピュータシステムへの過去のアクセスに関する情報の入力を受け付け、
前記第１の認証は、前記ユーザ識別情報に基づく認証であり、
前記第２の認証は、前記過去のアクセスに関する情報に基づく認証である請求項７記載のアクセス管理装置。
【請求項９】
コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付ける受付手段と、
前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出する手段と、
前記通信装置から送信された電子情報を受信する受信手段と、
前記受信手段が受信した電子情報が、前記コンピュータシステムに対するアクセスを許可することを示す情報であれば、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するアクセス管理手段と、を備えるアクセス管理装置。
【請求項１０】
コンピュータシステムに対するログイン要求を受け付ける装置の動作のための方法であって、
コンピュータシステムに対する第１のユーザからのログイン要求、および第２のユーザが前記ログイン要求の正当性を確認するための情報の入力を受け付けるステップと、
前記第１のユーザに予め対応づけられている、前記第２のユーザの通信装置へ、前記ログイン要求の正当性を確認するための情報を含む電子情報を送出するステップと、を備えるログイン要求の受付方法。
【請求項１１】
コンピュータに実行されたとき、
コンピュータシステムに対する第１のユーザからのログイン要求、および第２のユーザが前記ログイン要求の正当性を確認するための情報の入力を受け付けるステップと、
前記第１のユーザに予め対応づけられている、前記第２のユーザの通信装置へ、前記ログイン要求の正当性を確認するための情報を含む電子情報を送出するステップと、を行うコンピュータシステムに対するログイン要求受付のためのコンピュータプログラム。
【請求項１２】
コンピュータシステムに対するアクセス要求を管理する装置の動作のための方法であって、
コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付けるステップと、
前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出するステップと、
前記ユーザ識別情報および前記アクセス希望の理由を示す情報の入力を受け付けると、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するステップ、を備えるアクセス要求の管理方法。
【請求項１３】
コンピュータに実行されたとき、
コンピュータシステムに対してアクセスを希望するユーザから、前記ユーザの識別情報と、アクセス希望の理由を示す情報とを受け付けるステップと、
前記ユーザ識別情報に予め対応づけられている通信装置へ、前記ユーザを特定するための情報および前記アクセス希望の理由を示す情報を含む電子情報を送出するステップと、
前記ユーザ識別情報および前記アクセス希望の理由を示す情報の入力を受け付けると、前記ユーザに対して前記コンピュータシステムへのアクセスを許可するステップ、を行うコンピュータシステムに対するアクセス要求管理のためのコンピュータプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２００７−２２６８２７（Ｐ２００７−２２６８２７Ａ）
【公開日】平成１９年９月６日（２００７．９．６）
【国際特許分類】
【出願番号】特願２００７−１１２９３１（Ｐ２００７−１１２９３１）
【出願日】平成１９年４月２３日（２００７．４．２３）
【分割の表示】特願２００３−１３９１（Ｐ２００３−１３９１）の分割
【原出願日】平成１５年１月７日（２００３．１．７）
【出願人】（０００１５５４６９）株式会社野村総合研究所 (1,067)
【Ｆターム（参考）】
【公開日】平成１９年９月６日（２００７．９．６）
【国際特許分類】
【出願日】平成１９年４月２３日（２００７．４．２３）
【分割の表示】特願２００３−１３９１（Ｐ２００３−１３９１）の分割
【原出願日】平成１５年１月７日（２００３．１．７）
【出願人】（０００１５５４６９）株式会社野村総合研究所 (1,067)
【Ｆターム（参考）】
[ Back to top ]