不正アクセス検出装置、不正アクセス検出システム、不正アクセス検出方法及びプログラム
【課題】不正アクセスパターンの管理を必要とせず、目的までも考慮して不正アクセスを検出する。
【解決手段】作業申請サーバ６は、承認された作業内容を示す申請作業内容情報を記憶する。作業者は業務処理を行う際、作業端末３にログオンアカウント、作業ＩＤ、作業対象の業務サーバ４を入力する。入力された作業ＩＤを含む申請作業内容情報がある場合、作業端末３は利用制限を解除し、業務サーバ４にアクセスして業務処理を行う。作業端末３は、作業者が入力した情報と利用時間を設定した端末利用情報を生成し、業務サーバ４は、作業端末３との接続時間を設定したログデータを生成する。突合端末８は、端末利用情報とログデータを突合して合致する端末利用情報がないログデータにより不正アクセスを検出し、端末利用情報と申請作業内容情報を突合して合致する申請作業内容情報がない端末利用情報により不正アクセスを検出する。
【解決手段】作業申請サーバ６は、承認された作業内容を示す申請作業内容情報を記憶する。作業者は業務処理を行う際、作業端末３にログオンアカウント、作業ＩＤ、作業対象の業務サーバ４を入力する。入力された作業ＩＤを含む申請作業内容情報がある場合、作業端末３は利用制限を解除し、業務サーバ４にアクセスして業務処理を行う。作業端末３は、作業者が入力した情報と利用時間を設定した端末利用情報を生成し、業務サーバ４は、作業端末３との接続時間を設定したログデータを生成する。突合端末８は、端末利用情報とログデータを突合して合致する端末利用情報がないログデータにより不正アクセスを検出し、端末利用情報と申請作業内容情報を突合して合致する申請作業内容情報がない端末利用情報により不正アクセスを検出する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正アクセス検出装置、不正アクセス検出システム、不正アクセス検出方法及びプログラムに関する。
【背景技術】
【０００２】
近年、ネットワークに接続されているコンピュータ装置への不正なアクセスが問題となっている。そこで、不正アクセスのパターンを予めデータベースに記憶しておき、このパターンと合致するか否かによってネットワークを介して行なわれる不正アクセスを検出している（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−６７２７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
上述した従来の技術では、不正アクセスに使われるパケットの特徴的なパターンを記述したパターンデータを予めデータベースに登録しておかなければならない。そのため、新たな不正アクセスのパターンが見つかるたびに、データベースに新たなパターンデータを登録しなければならかった。パターンデータの登録を忘れた場合、不正アクセスを検出することはできない。
また、不正アクセスのパターンに合致しない場合でも、アクセスの目的が許可されているものであるとは限らない。つまり、パターンデータを用いた不正アクセス検出では、アクセスの目的までを判断することはできず、不正目的のアクセスを検出することはできない。
【０００５】
本発明は上記事情に鑑みてなされたものであり、不正アクセスパターンの管理を必要とせず、不正な目的のアクセスについても検出することができる不正アクセス検出装置、不正アクセス検出システム、不正アクセス検出方法及びプログラムを提供する。
【課題を解決するための手段】
【０００６】
本発明は、上記の課題を解決すべくなされたもので、許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得部と、前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部と、前記情報取得部が取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部と、を備えることを特徴とする不正アクセス検出装置である。
なお、上記不正アクセス検出装置において、前記申請作業内容突合部は、前記ログデータ突合部において前記ログデータと合致すると判断された前記端末利用情報及び前記情報取得部が取得した前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する、ことを特徴としてもよい。
なお、上記不正アクセス検出装置において、前記ログデータ突合部は、前記申請作業内容突合部において前記申請作業内容情報と合致すると判断された前記端末利用情報及び前記情報取得部が取得した前記ログデータを突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出する、ことを特徴としてもよい。
【０００７】
また本発明は、不正アクセス検出装置と、作業を指示する作業端末と、前記作業端末からの指示を受けて作業の業務処理を実行する業務処理装置とを備えた不正アクセス検出システムであって、前記不正アクセス検出装置は、許可された作業に関する情報を示す申請作業内容情報を記憶する申請作業内容蓄積部と、前記業務処理装置から当該業務処理装置において実行された作業に関する情報を示すログデータを取得するとともに、前記作業端末から作業者により前記作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報を取得する情報取得部と、前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部と、前記情報取得部が取得した前記端末利用情報及び前記申請作業内容蓄積部から読み出した前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部と、を備える、ことを特徴とする不正アクセス検出システムである。
【０００８】
また本発明は、上述する不正アクセス検出システムであって、前記申請作業内容情報は、作業対象の前記業務処理装置の識別情報及び前記作業者の識別情報を含み、前記ログデータは、前記業務処理装置に作業を指示した前記作業端末の識別情報と、当該作業端末から当該業務処理装置へのアクセスが開始された時刻及び前記アクセスが終了した時刻を示す作業時間とを含み、前記作業端末は、作業者により前記作業端末に入力された作業対象の前記業務処理装置の識別情報及び前記作業者の識別情報と、前記作業者が当該作業端末の利用を開始した時刻及び前記利用を終了した時刻を示す端末利用時間と、当該作業端末の識別情報とを含んだ端末利用情報を生成して前記不正アクセス検出装置に送信する端末利用情報転送部を備え、前記ログデータ突合部は、前記端末利用情報により示される前記作業端末の識別情報と、前記端末利用情報内の前記業務処理装置の識別情報により特定される業務処理装置の前記ログデータにより示される前記作業端末の識別情報とが一致し、かつ、前記端末利用情報内の前記端末利用時間が示す前記作業端末の利用の開始から終了までの時間帯が前記ログデータ内の前記作業時間が示す前記作業端末からのアクセスの開始から終了までの時間帯を包含している場合に合致と判断し、前記申請作業内容突合部は、前記端末利用情報により示される前記業務処理装置の識別情報及び前記作業者の識別情報と、前記申請作業内容情報により示される前記業務処理装置の識別情報及び前記作業者の識別情報とが一致している場合に合致と判断する、ことを特徴とする。
【０００９】
また本発明は、上述する不正アクセス検出システムであって、前記作業端末は、作業者が入力した前記作業に関する情報を前記不正アクセス検出装置に送信する照合要求部と、前記照合要求部が送信した前記作業に関する情報に対応して照合成功を受信した場合、業務処理を許可する規制解除部とを備え、前記不正アクセス検出装置は、前記作業端末から受信した前記作業に関する情報を含んだ前記申請作業内容情報が前記申請作業内容蓄積部に記憶されている場合に、前記作業端末へ照合成功を通知する照合処理部をさらに備える、ことを特徴とする。
【００１０】
また本発明は、上述する不正アクセス検出システムであって、前記作業端末は、前記作業に関する情報を入力させるための画面を表示部に全画面表示し、前記入力された作業に関する情報を受信する入力情報受信部をさら備え、前記規制解除部は、前記照合要求部が送信した前記作業に関する情報に対応して前記照合成功を受信した場合、前記全画面表示を解除する、ことを特徴とする。
【００１１】
また本発明は、不正アクセス検出装置において実行される不正アクセス検出方法であって、情報取得部が、許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得過程と、ログデータ突合部が、前記情報取得過程において取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合過程と、申請作業内容突合が、前記情報取得過程において取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合過程と、を有することを特徴とする不正アクセス検出方法である。
【００１２】
また本発明は、不正アクセス検出装置として用いられるコンピュータを、許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得部、前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部、前記情報取得部が取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部、として機能させることを特徴とするプログラムである。
【発明の効果】
【００１３】
本発明によれば、不正アクセスパターンの管理を必要とせず、アクセスの目的までも考慮して不正アクセスを検出することができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の一実施形態による不正アクセス検出システムの全体構成を示す図である。
【図２】同実施形態による申請端末の内部構成を示す機能ブロック図である。
【図３】同実施形態による承認端末の内部構成を示す機能ブロック図である。
【図４】同実施形態による作業端末の内部構成を示す機能ブロック図である。
【図５】同実施形態による業務サーバの内部構成を示す機能ブロック図である。
【図６】同実施形態による作業申請サーバの内部構成を示す機能ブロック図である。
【図７】同実施形態による端末利用情報蓄積サーバの内部構成を示す機能ブロック図である。
【図８】同実施形態による突合端末の内部構成を示す機能ブロック図である。
【図９】同実施形態による作業申請内容情報のデータ構成例を示す図である。
【図１０】同実施形態によるログデータのデータ構成例を示す図である。
【図１１】同実施形態による端末利用情報のデータ構成例を示す図である。
【図１２】同実施形態による作業端末の全画面表示イメージを示す図である。
【図１３】同実施形態による不正アクセス検出システムのシーケンス図である。
【図１４】同実施形態によるデータ突合範囲を示す図である。
【図１５】同実施形態によるログデータと端末利用情報の突合例を示す図である。
【図１６】同実施形態による端末利用情報と申請作業内容情報との突合例を示す図である。
【図１７】同実施形態による突合端末の不正アクセス検出処理フローを示す図である。
【発明を実施するための形態】
【００１５】
以下、図面を参照しながら本発明の実施形態を詳細に説明する。
【００１６】
図１は、本発明の一実施形態による不正アクセス検出システムの全体構成を示す図である。同図に示すように、不正アクセス検出システムは、ＩＰ（Internet Protocol）通信網であるネットワーク９に接続される申請端末１、承認端末２、作業端末３、業務サーバ４及び不正アクセス検出装置５により構成される。同図においては、申請端末１、承認端末２、作業端末３、及び、業務サーバ４を１台のみ示しているが、複数台を備えてもよい。不正アクセス検出装置５は、作業申請サーバ６、端末利用情報蓄積サーバ７、及び、突合端末８により構成される。
【００１７】
申請端末１は、維持運用対象の業務サーバ４に対して行う作業を申請するコンピュータ端末である。承認端末２は、申請端末１によって申請された作業を承認するコンピュータ端末である。作業申請サーバ６は、承認端末２によって承認された作業の申請内容を示す申請作業内容情報を蓄積するサーバである。作業端末３は、業務サーバ４へアクセスし、承認された作業についての業務処理を指示するコンピュータ端末であり、作業者が作業前に入力した作業に関する情報や、当該作業端末３が指示した作業に関する情報を示す端末利用情報を生成する。業務サーバ４は、作業端末３から受信した指示に従って業務処理を実行するサーバであり、当該業務サーバ４において実行された作業に関する情報を示すログデータを記録する。端末利用情報蓄積サーバ７は、作業端末３から端末利用情報を受信し、蓄積するサーバである。突合端末８は、業務サーバ４が記録したログデータと、端末利用情報蓄積サーバ７が蓄積している端末利用情報とを突合するとともに、端末利用情報と作業申請サーバ６が蓄積している申請作業内容情報とを突合して、不正アクセスを検出するコンピュータ端末である。
【００１８】
上記構成により、本実施形態による不正アクセス検出システムは、作業端末３から業務サーバ４へのアクセスが正しい作業申請に基づいて、すなわち、正当な目的によって実施されたか否かの事後追跡を可能とする。
【００１９】
図２は、申請端末１の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。申請端末１は、通信部１１、ブラウザ処理部１２、表示部１３及び入力部１４を備えて構成される。通信部１１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。表示部１３は、ＬＣＤ（Liquid Crystal Display）などのディスプレイである。入力部１４は、キーボードやマウスなどであり、ユーザ操作による情報の入力を受ける。ブラウザ処理部１２は、通信部１１を介して他の装置から受信した画面データに基づいて表示部１３に画面を表示し、表示部１３に表示されている画面上で入力部１４により入力された情報を通信部１１を介してアクセス先のコンピュータ装置に送信する。
【００２０】
図３は、承認端末２の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。承認端末２は、通信部２１、ブラウザ処理部２２、表示部２３及び入力部２４を備えて構成される。通信部２１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。表示部２３は、ＬＣＤなどのディスプレイである。入力部２４は、キーボードやマウスなどであり、ユーザ操作による情報の入力を受ける。ブラウザ処理部２２は、通信部２１を介して他の装置から受信した画面データに基づいて表示部２３に画面を表示し、表示部２３に表示されている画面上で入力部２４により入力された情報を通信部２１を介してアクセス先のコンピュータ装置に送信する。
【００２１】
図４は、作業端末３の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。作業端末３は、入力部３１、表示部３２、通信部３３、端末管理部３４及び業務処理指示部３９を備えて構成される。入力部３１は、キーボードやマウスなどであり、ユーザ操作による情報の入力を受ける。表示部３２は、ＬＣＤなどのディスプレイである。通信部３３は、ネットワーク９を介して他の装置との間でデータの送受信を行う。
【００２２】
端末管理部３４は、ログオン時にＣＰＵ（central processing unit）がメモリから端末管理ツールのアプリケーションソフトウェアを読み込んで実行することにより生成される。端末管理部３４は、入力情報受信部３５、照合要求部３６、画面ロック解除部３７及び端末利用情報転送部３８を備える。入力情報受信部３５は、ログオン後最初に表示部３２に情報入力画面の全画面表示を行い、情報入力画面上で入力部３１により入力された情報を受信する。入力情報受信部３５は、必要な情報を全て受信するまで、表示部３２に情報入力画面を表示し続ける。照合要求部３６は、入力情報受信部３５が受信した情報に含まれる申請作業内容情報の一部を設定した照合要求を通信部３３を介して作業申請サーバ６に送信する。画面ロック解除部３７は、照合要求に対応して作業申請サーバ６から受信した照合結果が照合成功を示している場合に、全画面表示による画面ロックを解除し、表示部３２の画面遷移を許可する。端末利用情報転送部３８は、作業終了後、端末利用情報を生成し、通信部３３を介して端末利用情報蓄積サーバ７へ送信する。
【００２３】
業務処理指示部３９は、入力部３１により入力された業務処理に関する指示を通信部３３を介して業務サーバ４に送信し、送信した指示に対応して業務サーバ４から受信した業務処理結果を表示部３２に表示させる。
【００２４】
図５は、業務サーバ４の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。業務サーバ４は、通信部４１、業務処理部４２、ログデータ記録部４３、ログデータ蓄積部４４、及び、ログデータ送信部４５を備えて構成される。通信部４１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。業務処理部４２は、作業端末３から受信した業務処理に関する指示に従って業務処理を実行し、通信部４１を介して業務処理の結果を返送する。ログデータ記録部４３は、作業端末３からのアクセスに関するログを示すデータであるログデータを生成し、ログデータ蓄積部４４に書き込む。ログデータ送信部４５は、ログデータ蓄積部４４からログデータを読み出し、通信部４１を介して突合端末８に送信する。
【００２５】
図６は、作業申請サーバ６の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。作業申請サーバ６は、通信部６１、申請受付部６２、承認処理部６３、作業ＩＤ発行部６４、申請作業内容蓄積部６５、照合部６６、及び、申請作業内容情報送信部６７を備えて構成される。通信部６１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。申請受付部６２は、申請端末１が送信した作業の申請内容を受信する。承認処理部６３は、申請内容を通信部６１を介して承認端末２に送信する。作業ＩＤ発行部６４は、送信した申請内容に対応して承認端末２から承認を示す情報を受信した場合、作業を一意に特定する識別情報である作業ＩＤを発行し、発行した作業ＩＤと作業の申請内容とを設定した申請作業内容情報を申請作業内容蓄積部６５に書き込む。照合部６６は、作業端末３から受信した照合要求と、申請作業内容蓄積部６５に記憶されている申請作業内容情報とを照合し、照合結果を通信部６１を介して返送する。申請作業内容情報送信部６７は、申請作業内容蓄積部６５から申請作業内容情報を読み出し、通信部６１を介して突合端末８に送信する。
【００２６】
図７は、端末利用情報蓄積サーバ７の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。端末利用情報蓄積サーバ７は、通信部７１、端末利用情報受信部７２、端末利用情報蓄積部７３及び端末利用情報送信部７４を備えて構成される。通信部７１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。端末利用情報受信部７２は、作業端末３から受信した端末利用情報を端末利用情報蓄積部７３に書き込む。端末利用情報送信部７４は、端末利用情報蓄積部７３から端末利用情報を読み出し、通信部７１を介して突合端末８に送信する。
【００２７】
図８は、突合端末８の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。突合端末８は、通信部８１、情報取得部８２、情報蓄積部８３、入力部８４、突合処理部８５、及び、出力部８８を備えて構成される。通信部８１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。入力部８４は、キーボードやマウスなどであり、ユーザ操作による情報の入力を受ける。出力部８８は、情報を出力する。本実施形態では、出力部８８を、情報を表示するディスプレイとして説明するが、情報を印刷するプリンタ、情報を情報記録媒体へ書き込む書き込み装置としてもよい。
【００２８】
情報取得部８２は、業務サーバ４から受信したログデータ、作業申請サーバ６から受信した申請作業内容情報、及び、端末利用情報蓄積サーバ７から受信した端末利用情報を情報蓄積部８３に書き込む。突合処理部８５は、ログデータ突合部８６と申請作業内容突合部８７を備える。ログデータ突合部８６は、情報蓄積部８３に記憶されている端末利用情報とログデータとの突合処理を行ない、突合結果を出力部８８に出力させる。申請作業内容突合部８７は、情報蓄積部８３に記憶されている端末利用情報と申請作業内容情報との突合を行ない、突合結果を出力部８８に出力させる。
【００２９】
次に、本実施形態による各種データのデータ構成例を示す。
【００３０】
図９は、作業申請内容情報のデータ構成例を示す図である。同図に示すように、申請作業内容情報は、許可された作業に関する情報として、作業ＩＤ、アクセス先サーバ名、ログオンアカウント等の情報を含む。アクセス先サーバ名は、作業対象の業務サーバ４の名前であり、業務サーバ４を一意に特定する識別情報である。ログオンアカウントは、作業者が作業端末３にログオンするときに用いるアカウントであり、作業者を一意に特定する識別情報である。
【００３１】
図１０は、ログデータのデータ構成例を示す図である。同図に示すように、ログデータは、業務サーバ４において実行された作業に関する情報として、ＰＣホスト名、サーバ利用開始日時、サーバ利用終了日時等の情報を含む。ＰＣホスト名は、業務サーバ４がアクセスを受けた、つまり、作業を指示した作業端末３の名前であり、作業端末３を一意に特定する識別情報である。サーバ利用開始日時は、作業端末３の指示による作業を開始した日時を示し、サーバ利用終了日時は、作業端末３の指示による作業を終了した日時を示す。具体的には、サーバ利用開始日時は、作業端末３から業務サーバ４へのアクセスが開始された時刻、すなわち、業務サーバ４が作業端末３との接続状態を確立した日時を示し、サーバ利用終了日時は、作業端末３からの業務サーバ４へのアクセスが終了した時刻、すなわち、業務サーバ４が作業端末３との接続状態を終了した日時を示す。
【００３２】
図１１は、端末利用情報のデータ構成例を示す図である。端末利用情報は、作業ＩＤ、アクセス先サーバ名、ログオンアカウント、ＰＣホスト名、端末利用開始日時、端末利用終了日時等の情報を含む。作業ＩＤは、作業者が作業端末３に入力した作業ＩＤである。アクセス先サーバ名は、作業者が作業端末３に入力したアクセス先の業務サーバ４の名前である。ログオンアカウントは、作業端末３にログオンした作業者のアカウントである。ＰＣホスト名は、当該端末利用情報を生成した作業端末３の名前である。端末利用開始日時は、作業者が作業端末３の利用を開始した日時を示し、端末利用終了日時は、作業者が作業端末３の利用を終了した日時を示す。具体的には、端末利用開始日時は、作業者がログオンした日時であり、端末利用終了日時は、作業者がログオフした日時である。
つまり、作業ＩＤ、アクセス先サーバ名、ログオンアカウントは、作業者が作業端末３に入力した作業に関する情報であり、ＰＣホスト名、端末利用開始日時、端末利用終了日時は、作業端末３において実行された作業に関する情報である。
【００３３】
図１２は、作業端末３の表示部３２に表示される情報入力画面の表示イメージを示す図である。同図に示すように、情報入力画面は全画面表示され、ステップＳ２１において作業者がログオンした日時を示す開始日時と、ログオンしたときに入力したログオンアカウントと、作業端末３のホスト名とが表示される。さらに情報入力画面には、利用者氏名、担当業務、作業対象の業務サーバ４のサーバ名（接続先）、作業ＩＤ（処理申込番号または作業依頼番号）、作業の依頼元、作業として行う業務処理が操作対象としているデータ（操作テーブル名称）及びそのデータ操作（ＳＱＬ使用）、作業内容などの情報を入力するフィールドやチェックボックスが表示される。全てのフィールド及びチェックボックスの入力後、ＯＫボタンのクリックが受け付け可能となる。
【００３４】
次に、不正アクセス検出システムの動作について説明する。
【００３５】
図１３は、不正アクセス検出システムのシーケンス図である。
まず、申請者は、申請端末１から作業申請サーバ６にアクセスする。申請端末１の通信部１１は作業申請サーバ６から作業申請情報を入力させるための申請入力画面データを受信し、ブラウザ処理部１２は、受信した申請入力画面データを表示部１３に表示させる。作業者は、申請入力画面上で入力部１４により作業申請情報を入力する。作業申請情報には、作業対象の業務サーバ４のサーバ名であるアクセス先サーバ名、作業を行う作業者のアカウントであるログオンアカウント、申請日時、作業件名、作業内容、作業日時、申請者に関する情報（名前、担当、連絡先、所属部署）、管理者に関する情報（名前、担当、連絡先、所属部署）、作業者に関する情報（名前、担当、連絡先、所属部署）、作業と関連する書類の番号などの情報が含まれる。ブラウザ処理部１２は、入力された作業申請情報を送信するよう通信部１１に指示し、通信部１１は、作業申請情報を作業申請サーバ６に送信する（ステップＳ１１）。
【００３６】
作業申請サーバ６の通信部６１は、申請端末１から作業申請情報を受信して申請受付部６２に出力する。申請受付部６２は、作業申請情報を受信すると、承認処理部６３に承認処理の実行を指示する。承認処理部６３は、受信した作業申請情報を表示させる承認要求画面データを承認端末２に送信するよう通信部６１に指示し、通信部６１は承認要求画面データを承認端末２へ送信する（ステップＳ１２）。承認端末２のブラウザ処理部２２は、通信部２１が受信した承認要求画面データを表示部２３に表示させる。承認者は、表示部２３に表示されている作業申請情報を確認し、入力部２４により承認を入力する。ブラウザ処理部２２は、承認を示す承認結果情報を返送するよう通信部２１に指示し、通信部２１は、承認結果情報を作業申請サーバ６へ送信する（ステップＳ１３）。
【００３７】
作業申請サーバ６の通信部６１は承認結果情報を受信し、承認処理部６３へ出力する。承認処理部６３は、承認を示す承認結果情報を受信すると、作業ＩＤ発行部６４へ作業ＩＤの発行を指示する。作業ＩＤ発行部６４は、新たな作業ＩＤを生成し（ステップＳ１４）、生成した作業ＩＤと、ステップＳ１１において受信した作業申請情報とを設定した申請作業内容情報を申請作業内容蓄積部６５へ書き込む（ステップＳ１５）。作業ＩＤ発行部６４は、承認された旨と作業ＩＤとを表示させる申請結果通知画面データを申請端末１に送信するよう通信部６１に指示し、通信部６１は申請結果通知画面データを申請端末１に送信する（ステップＳ１６）。申請端末１のブラウザ処理部１２は、通信部１１が受信した申請結果通知画面データを表示部１３に表示させる。これにより、申請者は、申請した作業が承認された旨と作業ＩＤを確認する。
【００３８】
作業申請の承認後、作業者は、作業端末３の入力部３１により、ログオンアカウント及びパスワードを入力する（ステップＳ２１）。作業端末３がログオンアカウント及びパスワードにより正当性を確認すると、入力情報受信部３５は、図１２に示す情報入力画面を全画面表示により表示部３２に表示させ、画面をロックする。作業者は、入力部３１により、情報入力画面上に利用者氏名、担当業務、作業対象であるアクセス先の業務サーバ４のサーバ名、作業ＩＤ、作業の依頼元、操作テーブル名称、ＳＱＬ使用、作業内容を入力する。入力情報受信部３５は、これら全ての情報が入力されたと判断した場合、情報入力画面上のＯＫボタンの使用を可能とする。ＯＫボタンがクリックされると、入力情報受信部３５は、照合要求部３６に照合実行を指示する。
【００３９】
照合要求部３６は、入力された作業ＩＤを設定した照合要求を送信するよう通信部３３に指示し、通信部３３は照合要求を作業申請サーバ６に送信する（ステップＳ２３）。作業申請サーバ６の照合部６６は、通信部６１を介して照合要求を受信すると、申請作業内容蓄積部６５を検索し、受信した照合要求と同一の作業ＩＤが設定され、かつ、使用済みを示す情報が対応付けられていない申請作業内容情報があるか否かを判断する（ステップＳ２４）。照合部６６は、検索の結果、申請作業内容情報が検出された場合、照合成功と判断する。照合部６６は、検出された申請作業内容情報と対応づけて使用済みを示す情報を申請作業内容蓄積部６５に書き込み、通信部６１に照合成功を示す照合結果を返送するよう指示する。通信部６１は、作業端末３へ照合結果を送信する（ステップＳ２５）。作業端末３の画面ロック解除部３７は、通信部３３を介して受信した照合結果が照合成功を示している場合、全画面表示による画面ロックを解除して画面遷移を許可し、業務処理が可能な操作画面を表示部３２に表示させる（ステップＳ２６）。
【００４０】
作業者は、作業端末３の入力部３１により業務サーバ４への接続指示を入力すると、通信部３３は、業務サーバ４に接続要求を送信する。接続要求には、作業端末３の名前が設定される。業務サーバ４の通信部４１は、作業端末３から接続要求を受信し、作業端末３の通信部３３と接続状態（セッション）を確立する。接続状態の確立後、作業端末３と業務サーバ４の間で業務処理が実行される（ステップＳ２７）。具体的には、作業者が、作業端末３の入力部３１により業務処理の指示を入力すると、業務処理指示部３９は、通信部３３を介して業務処理の指示を業務サーバ４へ送信する。業務処理の指示には、例えば、業務に関する各種データの登録、更新、読出し、削除などがある。業務サーバ４の業務処理部４２は、通信部４１が受信した業務処理の指示に従って業務処理を実行し、通信部４１を介して業務処理の実行結果を作業端末３に送信する。作業端末３の業務処理指示部３９は、通信部３３が業務サーバ４から受信した業務処理の結果を表示部３２に表示させる。
【００４１】
業務処理の終了後、作業者が作業端末３の入力部３１により業務サーバ４との接続切断指示を入力すると、通信部３３は、業務サーバ４に接続切断要求を送信する。業務サーバ４の通信部４１は、作業端末３から接続切断要求を受信し、作業端末３の通信部３３との接続状態（セッション）を終了する。ログデータ記録部４３は、接続要求から取得した作業端末３の名前を設定したＰＣホスト名、作業端末３と接続状態を確立した時刻を示すサーバ利用開始日時、作業端末３との接続状態を終了した日時を示すサーバ利用終了日時などの情報を設定したログデータを生成し、ログデータ蓄積部４４へ書き込む（ステップＳ２８）。
【００４２】
複数の業務サーバ４に対して業務処理を行う場合、作業端末３と他の業務サーバ４の間でステップＳ２７及びＳ２８の処理を繰り返す。なお、作業端末３と複数の業務サーバ４との間で同時に接続状態を確立し、業務処理を行うことも可能である。
【００４３】
作業を終了すると、作業者は、作業端末３の入力部３１によりログオフの指示を入力する（ステップＳ２９）。端末利用情報転送部３８は、ステップＳ２１において入力されたログオンアカウント、自作業端末３の名前を示すＰＣホスト名、ステップＳ２２において情報入力画面上で入力された情報（利用者氏名、担当業務、業務サーバ４のサーバ名、作業ＩＤ、作業の依頼元、操作テーブル名称、ＳＱＬ使用、作業内容）、作業端末３にログオンした日時を示す端末利用開始日時、ログオフした日時を示す端末利用終了日時などを設定した端末利用情報を生成する。通信部３３は、端末利用情報転送部３８が生成した端末利用情報を端末利用情報蓄積サーバ７に送信する（ステップＳ３０）。端末利用情報蓄積サーバ７の端末利用情報受信部７２は、通信部７１が受信した端末利用情報を端末利用情報蓄積部７３に書き込む（ステップＳ３１）。
【００４４】
突合端末８の情報取得部８２は、定期的に、あるいは、入力部８４により指示が入力された場合に、通信部８１を介して端末利用情報蓄積サーバ７に端末利用情報取得要求を送信する（ステップＳ４１）。端末利用情報蓄積サーバ７の端末利用情報送信部７４は、通信部７１を介して端末利用情報取得要求を受信すると、端末利用情報蓄積部７３から突合端末８へ未送信の端末利用情報を読み出す。通信部７１は、端末利用情報送信部７４が読み出した端末利用情報を突合端末８へ返送する（ステップＳ４２）。突合端末８の情報取得部８２は、通信部８１が受信した端末利用情報を情報蓄積部８３に書き込む。
【００４５】
次に、突合端末８の情報取得部８２は、通信部８１を介して業務サーバ４にログデータ取得要求を送信する（ステップＳ４３）。業務サーバ４のログデータ送信部４５は、通信部４１を介してログデータ取得要求を受信すると、ログデータ蓄積部４４から突合端末８へ未送信のログデータを読み出す。通信部４１は、ログデータ蓄積部４４が読み出した端末利用情報を突合端末８へ返送する（ステップＳ４４）。突合端末８の情報取得部８２は、通信部８１が受信したログデータと、ログデータの送信元の業務サーバ４を特定する情報（例えば、サーバ名）とを対応付けて情報蓄積部８３に書き込む。
【００４６】
続いて、突合端末８の情報取得部８２は、通信部８１を介して作業申請サーバ６に申請作業内容情報取得要求を送信する（ステップＳ４５）。作業申請サーバ６の申請作業内容情報送信部６７は、通信部６１を介して申請作業内容情報取得要求を受信すると、申請作業内容蓄積部６５から未送信の申請作業内容情報を読み出す。通信部６１は、申請作業内容情報送信部６７が読み出した申請作業内容情報を突合端末８へ返送する（ステップＳ４６）。突合端末８の情報取得部８２は、通信部８１が受信した申請作業内容情報を情報蓄積部８３に書き込む。
【００４７】
突合端末８の突合処理部８５は、情報蓄積部８３に記憶されている申請作業内容情報、ログデータ、端末利用情報を用いて突合処理を行い、不正アクセスの有無を判断し、判断結果を出力部８８に表示させる（ステップＳ４７）。
【００４８】
端末利用情報とログデータを突合した結果、いずれの端末利用情報とも合致しないログデータがある場合、そのログデータは、業務サーバ４が作業端末３以外からアクセスされたことを示す。つまり、不正アクセスの発生を示すものである。一方、いずれのログデータとも合致していない端末利用情報がある場合、その端末利用情報は、作業端末３にログオンが行われたものの、業務サーバ４にアクセスすることなくログオフが行われたことを示す。つまり、業務サーバ４にはアクセスしていないため、不正アクセスの発生を示すものではない。
【００４９】
また、端末利用情報と申請作業内容情報を突合した結果、いずれの申請作業内容情報とも合致していない端末利用情報がある場合、作業端末３は、申請していない業務サーバ４にアクセスしたことを示す。つまり、不正アクセスの発生を示すものである。一方、いずれの端末利用情報とも合致していない申請作業内容情報がある場合、作業者は申請端末１により申請を行なったものの、申請した業務処理をまだ行なっていないことを示す。つまり、不正アクセスの発生を示すものではない。
そこで、突合処理において、突合端末８の突合処理部８５は、いずれの端末利用情報とも合致していないログデータがあるかを検出するとともに、ログデータと合致している端末利用情報の中にいずれの申請作業内容情報とも合致していないものがあるかを検出する。
【００５０】
図１４は、データ突合範囲を示す図である。同図においては、突合処理に用いる一部の情報のみを記載している。ステップＳ４７の突合処理において、突合端末８のログデータ突合部８６は、端末利用情報蓄積サーバ７から取得した端末利用情報のＰＣホスト名、端末利用開始日時及び端末利用終了日時と、端末利用情報内のアクセス先サーバ名で特定される業務サーバ４から取得したログデータのＰＣホスト名、サーバ利用開始日時及びサーバ利用終了日時の合致を判断する。突合処理部８５は、端末利用情報とログデータに同一のＰＣホスト名が設定されており、かつ、端末利用情報の端末利用開始日時及び端末利用終了日時で示される時間帯が、ログデータのサーバ利用開始日時及びサーバ利用終了日時で示される時間帯を包含している場合、これらの端末利用情報とログデータが合致していると判断する。
【００５１】
また、申請作業内容突合部８７は、端末利用情報蓄積サーバ７から取得した端末利用情報と、作業申請サーバ６から取得した申請作業内容情報の作業ＩＤ、アクセス先サーバ名、及び、ログオンアカウントの合致を判断する。突合処理部８５は、端末利用情報と申請作業内容情報に同一の作業ＩＤ及びログオンアカウントが設定されており、かつ、端末利用情報に設定されているアクセス先サーバ名が申請作業内容情報に設定されているアクセス先サーバ名に含まれている場合、これらの端末利用情報と申請作業内容情報が合致していると判断する。
【００５２】
図１５は、ログデータと端末利用情報の突合例を示す図である。図１５（ａ）は、突合に使用される端末利用情報及びログデータの設定内容の一部を示し、図１５（ｂ）は、端末利用情報の端末利用開始日時及び端末利用終了日時が示す時間帯、ログデータのサーバ利用開始日時及びサーバ利用終了日時が示す時間帯を示す。なお、不正アクセス検出システムは業務サーバ４を複数台備えるものとし、それぞれの業務サーバ４を業務サーバ４ａ、４ｂ、４ｃ、…と記載する。
【００５３】
業務サーバ４ａ、４ｂ、４ｃのサーバ名がアクセス先サーバ名に設定されている端末利用情報に、図１５（ａ）に示すように、ＰＣホスト名「TerminalA」、端末利用開始日時「20101018,10:00」、端末利用終了日時「20101018,16:00」が設定されている。これは、図１５（ｂ）に示すように、作業者は、ＰＣホスト名「TerminalA」の作業端末３を、２０１０年１０月１８日１０時００分から１６時００分まで使用していたことを示す。
【００５４】
一方、業務サーバ４ａのログデータには、図１５（ａ）に示すように、ＰＣホスト名「TerminalA」、サーバ利用開始日時「20101018,11:15」、サーバ利用終了日時「20101018,13:20」が設定されている。従って、図１５（ｂ）に示すように、業務サーバ４ａは、ＰＣホスト名「TerminalA」の作業端末３から、２０１０年１０月１８日１１時１５分から１３時２０分までアクセスされていたことを示す。業務サーバ４ａのログデータが示す時間帯は、作業端末３の端末利用情報で示される時間帯に包含されているため、端末利用情報と業務サーバ４ａのログデータは合致すると判断される。
【００５５】
同様に、業務サーバ４ｂのログデータは、ＰＣホスト名「TerminalA」の作業端末３から、２０１０年１０月１８日１３時２５分から１５時０５分までアクセスされていたことを示している。この時間帯は、ＰＣホスト名「TerminalA」の作業端末３において記録された端末利用情報で示される時間帯に包含されているため、端末利用情報と業務サーバ４ｂのログデータとは合致すると判断される。
【００５６】
一方、業務サーバ４ｃのログデータは、ＰＣホスト名「TerminalA」の作業端末３から、２０１０年１０月１８日１５時２５分から１６時２５分までアクセスされていたことを示している。この時間帯は、ＰＣホスト名「TerminalA」の作業端末３において記録された端末利用情報で示される時間帯に包含されていない。よって、端末利用情報と業務サーバ４ｃのログデータは合致しないと判断される。
【００５７】
図１６は、端末利用情報と申請作業内容情報との突合例を示す図である。
図１６（ａ）に示すように、端末利用情報と申請作業内容情報の両方に、同一の作業ＩＤ「NB0G372」、及び、ログオンアカウント「SUGIYAMA」が設定されており、端末利用情報のアクセス先サーバ名「ServerA」は、申請作業内容情報のアクセスサーバ名「ServerA,ServerB」に含まれている。この場合、申請した作業対象の一部の業務サーバ４に対して実際に作業を行ったことを示すため、端末利用情報と申請作業内容情報は合致すると判断される。
一方、図１６（ｂ）に示すように、端末利用情報と申請作業内容情報の両方に、作業ＩＤ「NB0G372」、アクセス先サーバ名「ServerA,ServerB」が設定されている。しかし、端末利用情報のログオンアカウントには「S.SATO」が設定されており、端末利用情報のログオンアカウントには「SUGIYAMA」が設定されているため、ログオンアカウントは一致しない。この場合、端末利用情報と申請作業内容情報は合致しないと判断される。
【００５８】
図１７は、図１３のステップＳ４７の突合処理において突合端末８が実行する不正アクセス検出処理フローを示す図である。
まず、管理者は、突合端末８の入力部８４により、不正アクセス判定処理を行なう対象として指定する業務サーバ４を入力する（ステップＳ５１）。ログデータ突合部８６は、指定された業務サーバ４全てに対する不正アクセス判定処理が完了したかを判断する（ステップＳ５２）。まだ不正アクセス判定処理の対象となっていない業務サーバ４がある場合（ステップＳ５２：ＮＯ）、ログデータ突合部８６は、指定された業務サーバ４のうち、まだ不正アクセス判定処理の対象となっていない業務サーバ４を１つ選択する（ステップＳ５３）。以下、選択された業務サーバを「選択業務サーバ」と記載する。
【００５９】
ログデータ突合部８６は、選択業務サーバにおいて記録されたログデータ全て、つまり、選択業務サーバを特定する情報と対応付けて情報蓄積部８３に記憶されているログデータ全てに対する不正アクセス判定処理が終了したかを判断する（ステップＳ５４）。まだ不正アクセス判定処理の対象となっていないログデータがある場合（ステップＳ５４：ＮＯ）、ログデータ突合部８６は、選択業務サーバを特定する情報と対応付けて情報蓄積部８３に記憶されているログデータのうち、まだ不正アクセス判定処理の対象となっていないログデータを１つ選択する（ステップＳ５５）。以下、選択されたログデータを「選択ログデータ」と記載する。
【００６０】
ログデータ突合部８６は、選択業務サーバのサーバ名を設定したアクセス先サーバ名と、選択ログデータ内のＰＣホスト名とを検索条件として情報蓄積部８３に記憶されている端末利用情報を検索する（ステップＳ５６）。検索条件で示されるアクセス先サーバ名及びＰＣホスト名が設定されている端末利用情報が検出されなかった場合（ステップＳ５７：ＮＯ）、ログデータ突合部８６は、不正アクセスと判断する（ステップＳ５８）。ログデータ突合部８６は、不正アクセスである旨と、選択ログデータとを出力部８８に表示させ（ステップＳ５９）、突合処理部８５は、ステップＳ５４からの処理を繰り返す。
【００６１】
ステップＳ５７において、検索条件で示されるアクセス先サーバ名及びＰＣホスト名が設定されている端末利用情報が検出された場合（ステップＳ５７：ＹＥＳ）、申請作業内容突合部８７は、検出された端末利用情報のうち、選択ログデータから得られる時間帯を包含する端末利用開始日時及び端末利用終了日時が設定されている端末利用情報を検索する（ステップＳ６０）。つまり、端末利用情報に設定されている端末利用開始日時及び端末利用終了日時で示される時間帯が、選択ログデータに設定されているサーバ利用開始日時及びサーバ利用終了日時で示される時間帯を包含しているものを検索する。
【００６２】
選択ログデータから得られる時間帯を包含する端末利用開始日時及び端末利用終了日時が設定されている端末利用情報が検出された場合（ステップＳ６１：ＹＥＳ）、申請作業内容突合部８７は、検出された端末利用情報に設定されている作業ＩＤ、アクセス先サーバ名及びログオンアカウントを検索条件として情報蓄積部８３に記憶されている申請作業内容情報を検索する（ステップＳ６２）。検索条件で示される作業ＩＤ、アクセス先サーバ名及びログオンアカウントが設定されている申請作業内容情報が検出された場合（ステップＳ６３：ＹＥＳ）、ログデータ突合部８６は、正常アクセスと判断する（ステップＳ６４）。申請作業内容突合部８７は、正常アクセスである旨と、選択ログデータと、ステップＳ６０において検出された端末利用情報を出力部８８に表示させ（ステップＳ６５）、突合処理部８５は、ステップＳ５４からの処理を繰り返す。
【００６３】
一方、ステップＳ６１において、選択ログデータから得られる時間帯を包含する端末利用開始日時及び端末利用終了日時が設定されている端末利用情報が検出されなかった場合（ステップＳ６１：ＮＯ）、申請作業内容突合部８７は、不正アクセスと判断する（ステップＳ５８）。申請作業内容突合部８７は、不正アクセスである旨と、選択ログデータと、ステップＳ５６における検索の結果検出された端末利用情報を出力部８８に表示させ（ステップＳ５９）、突合処理部８５は、ステップＳ５４からの処理を繰り返す。
【００６４】
また、ステップＳ６３において、検索条件で示される作業ＩＤ、アクセス先サーバ名及びログオンアカウントの全てが設定されている申請作業内容情報が検出されなかった場合（ステップＳ６１：ＮＯ）、申請作業内容突合部８７は、不正アクセスと判断する（ステップＳ５８）。申請作業内容突合部８７は、不正アクセスである旨と、選択ログデータと、ステップＳ５６における検索の結果検出された端末利用情報を出力部８８に表示させ（ステップＳ５９）、突合処理部８５は、ステップＳ５４からの処理を繰り返す。
【００６５】
ステップＳ５４において、申請作業内容突合部８７は、選択業務サーバにおいて記録されたログデータ全てに対する不正アクセス判定処理が終了したと判断した場合（ステップＳ５４：ＹＥＳ）、ステップＳ５２からの処理を繰り返す。
そして、ステップＳ５２において、ログデータ突合部８６が、指定された業務サーバ４全てに対する不正アクセス判定処理が完了したと判断した場合（ステップＳ５２：ＹＥＳ）、突合処理部８５は、突合処理を終了する。
【００６６】
上記実施形態では、図１３のステップＳ２３において、作業端末３の照合要求部３６は、照合要求に作業に関する情報として作業ＩＤのみを設定しているが、作業ＩＤに加えて、あるいは、作業ＩＤに代えて、申請作業内容情報に含まれる他の情報、例えば、アクセス先サーバ名、ログオンアカウント、申請日時、作業件名、作業内容、作業日時、申請者の名前、申請者の担当、申請者の連絡先、申請者の所属部署、管理者の名前、管理者の担当、管理者の連絡先、管理者の所属部署、作業者の名前、作業者の担当、作業者の連絡先、作業者の所属部署、作業と関連する書類の番号のうち一以上を照合要求に設定してもよい。この場合、作業端末３の入力情報受信部３５は、照合要求に設定する情報を入力させるフィールドを含んだ情報入力画面を表示させる。ただし、ログオンアカウントは、ログオン時に入力した情報とする。また、ステップＳ１１において入力される申請情報に、操作テーブル名称、ＳＱＬ使用の情報を含むことによって、情報入力画面上で入力された操作テーブル名称、ＳＱＬ使用の情報を照合要求に設定してもよい。
図１３のステップＳ２４において、作業申請サーバ６の照合部６６は、照合要求に設定されている情報と同一の情報が設定され、かつ、使用済みを示す情報が対応付けられていない申請作業内容情報を検出した場合、照合成功と判断する。
【００６７】
また、端末利用情報、申請作業内容情報、及び、ログデータに業務処理の情報を設定し、これらを照合してもよい。例えば、作業申請サーバ６は、操作テーブル名称、及び、操作テーブルに対して行うＳＱＬ操作などを示す業務処理情報をさらに含んだ申請情報を申請端末１から受信し、作業ＩＤと受信した申請情報とを設定した申請作業内容情報を生成する。また、業務サーバ４のログデータ記録部４３は、作業端末３から受信した業務処理の指示に従って業務処理部４２が操作した操作テーブル名称、この操作テーブルに対して行なったＳＱＬ操作を示す業務処理情報をさらに含んだログデータを生成する。
そして、図１７のステップＳ６０において、申請作業内容突合部８７は、検出された端末利用情報のうち、選択ログデータのサーバ利用開始日時及びサーバ利用終了日時が示す時間帯を包含する端末利用開始日時及び端末利用終了日時と、選択ログデータの業務処理情報とが設定されている端末利用情報を検索する。また、図１７のステップＳ６２において、申請作業内容突合部８７は、検出された端末利用情報に設定されている作業ＩＤ、アクセス先サーバ名、ログオンアカウント及び業務処理情報を検索条件として情報蓄積部８３に記憶されている申請作業内容情報を検索する。
【００６８】
上記実施形態では、突合端末８のログデータ突合部８６において、各ログデータがいずれかの端末利用情報と合致するか否かを判断した後、申請作業内容突合部８７において、ログデータと合致する端末利用情報がいずれかの申請作業内容情報と合致するかを判断しているが、申請作業内容突合部８７の不正アクセス検出処理を先に行なってもよい。つまり、突合端末８の申請作業内容突合部８７において、各端末利用情報がいずれかの申請作業内容情報と合致するか否かを判断する。申請作業内容突合部８７は、いずれの申請作業内容情報とも合致しない端末利用情報を検出した場合、不正アクセスと判断し、不正アクセスである旨と、いずれの申請作業内容情報とも合致しなかった端末利用情報を出力部８８に表示させる。続いて、ログデータ突合部８６は、各ログデータが、申請作業内容突合部８７においていずれかの申請作業内容情報に合致すると判断された端末利用情報のうちいずれかと合致するか否かを判断する。合致する場合、ログデータ突合部８６は、正常アクセスと判断し、合致しない場合、不正アクセスと判断する。ログデータ突合部８６は、正常アクセスと判断した場合、正常アクセスである旨と、ログデータと、ログデータに合致する端末利用情報とを出力部８８に表示させ、不正アクセスと判断した場合、不正アクセスである旨といずれの端末利用情報にも合致しなかったログデータとを出力部８８に表示させる。
【００６９】
上述した実施形態では、不正アクセス検出装置５を作業申請サーバ６、端末利用情報蓄積サーバ７、及び、突合端末８により構成しているが、これらのうち任意の２台を１台のコンピュータ装置により実現してもよく、これらの全てを１台のコンピュータ装置により実現してもよい。
【００７０】
また、既存の任意の技術によって、申請端末１及び承認端末２から業務サーバ４への接続を規制するようにしてもよい。例えば、申請端末１、承認端末２及び作業申請サーバ６を接続するネットワークと、作業端末３、業務サーバ４、作業申請サーバ６、端末利用情報蓄積サーバ７、及び、突合端末８を接続するネットワークとを分離してもよく、業務サーバ４において、申請端末１及び承認端末２からのアクセスを規制してもよい。
【００７１】
以上説明した本実施形態によれば、作業端末３の不正利用を抑制し、作業端末３から業務サーバ４へのアクセスが正しい作業申請に基づいて実施されたか否かを事後追跡することが可能となる。
上述した本実施形態では、作業実施前に作業内容の承認を受け、承認された作業内容を示す申請作業内容情報を作業申請サーバ６に保持しておく。そして、作業端末３の利用時、作業者に申請作業内容情報の一部を入力させ、その入力された情報が作業申請サーバ６に保持されている申請作業内容情報と一致しないと利用できないように制限をかけている。つまり、業務サーバ４へのアクセスが必要となる都度、作業端末３の利用制限を解除する手順としている。これにより、管理者が作業端末３や業務サーバ４についてのアクセス許可管理を行なったり、不正アクセスパターンの管理を行なったりする必要なく、不正なアクセスを検出することができる。従って、アクセス許可や不正アクセスパターンの登録漏れ、削除漏れ等によって、正当なアクセスが誤って不正と判断されたり、不正なアクセスが検出されなかったりするセキュリティ問題の発生を防ぐことが可能となる。
【００７２】
また、本実施形態では、作業端末３へのログオン時に、全画面表示を行なって画面をロックすることにより画面遷移を抑止し、利用制限を行なっている。画面ロックを解除するために作業者は必要な情報を全て入力しなければならず、このとき入力された情報を申請作業内容情報と照合するため、成りすましによる不正アクセスを効果的に抑止することができる。また、必要な情報を作業者に全て入力させることができるため、利用許可を判断するために照合する情報だけではなく、不正アクセスが検出されたときの解析情報として用いる情報も入力させ、記録しておくことができる。従って、従来紙の書類によって管理していた作業に関する内容を電子的に記録することも可能である。
また、作業実施後、作業端末３を利用した時に記録される端末利用情報と、作業申請時に登録した申請作業内容情報とを突合することにより、実際の作業内容と申請された作業内容との合致を確認することができるため、不正目的によるアクセスについても検出することができ、不正アクセス判定の精度を向上させることが可能となる。
【００７３】
上述したように、本実施形態によれば、不正アクセスパターンの登録を必要とせず、目的までも考慮して不正アクセスを検出することができるため、セキュリティが向上する。
また、作業前に作業申請サーバ６において記録される申請作業内容情報、作業実施の時に作業端末３において記録される端末利用情報、業務サーバ４がアクセスを受けたときに記録されるログデータの３点を突合したチェックにより、不正アクセスを確実に追跡することができる。
また、本実施形態では、ＳＯＸ（サーベンス・オクスリー法）法の対応のために必要となる意思決定と作業証跡記録の確認手順を電子化することができ、人的リソースの負担が軽減される。
【００７４】
なお、上述の申請端末１、承認端末２、作業端末３、業務サーバ４、作業申請サーバ６、端末利用情報蓄積サーバ７及び突合端末８は、内部にコンピュータシステムを有している。そして、申請端末１のブラウザ処理部１２、承認端末２のブラウザ処理部２２、作業端末３の端末管理部３４及び業務処理指示部３９、業務サーバ４の業務処理部４２、ログデータ記録部４３及びログデータ送信部４５、作業申請サーバ６の申請受付部６２、承認処理部６３、作業ＩＤ発行部６４申請作業内容蓄積部６５及び申請作業内容情報送信部６７、端末利用情報蓄積サーバ７の端末利用情報受信部７２及び端末利用情報蓄積部７３、ならびに、突合端末８の情報取得部８２及び突合処理部８５の動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＣＰＵ及び各種メモリやＯＳ、周辺機器等のハードウェアを含むものである。
【００７５】
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
【符号の説明】
【００７６】
１…申請端末
１１、２１、３３、４１、６１、７１、８１…通信部
１２、２２…ブラウザ処理部
１３、２３、３２…表示部
１４、２４、３１、８４…入力部
２…承認端末
３…作業端末
３４…端末管理部
３５…入力情報受信部
３６…照合要求部
３７…画面ロック解除部（規制解除部）
３８…端末利用情報転送部
３９…業務処理指示部
４…業務サーバ（業務処理装置）
４２…業務処理部
４３…ログデータ記録部
４４…ログデータ蓄積部
４５…ログデータ送信部
５…不正アクセス検出装置
６…作業申請サーバ
６２…申請受付部
６３…承認処理部
６４…作業ＩＤ発行部
６５…申請作業内容蓄積部
６６…照合部
６７…申請作業内容情報送信部
７…端末利用情報蓄積サーバ
７２…端末利用情報受信部
７３…端末利用情報蓄積部
７４…端末利用情報送信部
８…突合端末
８２…情報取得部
８３…情報蓄積部
８５…突合処理部
８６…ログデータ突合部
８７…申請作業内容突合部
８８…出力部
９…ネットワーク
【技術分野】
【０００１】
本発明は、不正アクセス検出装置、不正アクセス検出システム、不正アクセス検出方法及びプログラムに関する。
【背景技術】
【０００２】
近年、ネットワークに接続されているコンピュータ装置への不正なアクセスが問題となっている。そこで、不正アクセスのパターンを予めデータベースに記憶しておき、このパターンと合致するか否かによってネットワークを介して行なわれる不正アクセスを検出している（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−６７２７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
上述した従来の技術では、不正アクセスに使われるパケットの特徴的なパターンを記述したパターンデータを予めデータベースに登録しておかなければならない。そのため、新たな不正アクセスのパターンが見つかるたびに、データベースに新たなパターンデータを登録しなければならかった。パターンデータの登録を忘れた場合、不正アクセスを検出することはできない。
また、不正アクセスのパターンに合致しない場合でも、アクセスの目的が許可されているものであるとは限らない。つまり、パターンデータを用いた不正アクセス検出では、アクセスの目的までを判断することはできず、不正目的のアクセスを検出することはできない。
【０００５】
本発明は上記事情に鑑みてなされたものであり、不正アクセスパターンの管理を必要とせず、不正な目的のアクセスについても検出することができる不正アクセス検出装置、不正アクセス検出システム、不正アクセス検出方法及びプログラムを提供する。
【課題を解決するための手段】
【０００６】
本発明は、上記の課題を解決すべくなされたもので、許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得部と、前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部と、前記情報取得部が取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部と、を備えることを特徴とする不正アクセス検出装置である。
なお、上記不正アクセス検出装置において、前記申請作業内容突合部は、前記ログデータ突合部において前記ログデータと合致すると判断された前記端末利用情報及び前記情報取得部が取得した前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する、ことを特徴としてもよい。
なお、上記不正アクセス検出装置において、前記ログデータ突合部は、前記申請作業内容突合部において前記申請作業内容情報と合致すると判断された前記端末利用情報及び前記情報取得部が取得した前記ログデータを突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出する、ことを特徴としてもよい。
【０００７】
また本発明は、不正アクセス検出装置と、作業を指示する作業端末と、前記作業端末からの指示を受けて作業の業務処理を実行する業務処理装置とを備えた不正アクセス検出システムであって、前記不正アクセス検出装置は、許可された作業に関する情報を示す申請作業内容情報を記憶する申請作業内容蓄積部と、前記業務処理装置から当該業務処理装置において実行された作業に関する情報を示すログデータを取得するとともに、前記作業端末から作業者により前記作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報を取得する情報取得部と、前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部と、前記情報取得部が取得した前記端末利用情報及び前記申請作業内容蓄積部から読み出した前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部と、を備える、ことを特徴とする不正アクセス検出システムである。
【０００８】
また本発明は、上述する不正アクセス検出システムであって、前記申請作業内容情報は、作業対象の前記業務処理装置の識別情報及び前記作業者の識別情報を含み、前記ログデータは、前記業務処理装置に作業を指示した前記作業端末の識別情報と、当該作業端末から当該業務処理装置へのアクセスが開始された時刻及び前記アクセスが終了した時刻を示す作業時間とを含み、前記作業端末は、作業者により前記作業端末に入力された作業対象の前記業務処理装置の識別情報及び前記作業者の識別情報と、前記作業者が当該作業端末の利用を開始した時刻及び前記利用を終了した時刻を示す端末利用時間と、当該作業端末の識別情報とを含んだ端末利用情報を生成して前記不正アクセス検出装置に送信する端末利用情報転送部を備え、前記ログデータ突合部は、前記端末利用情報により示される前記作業端末の識別情報と、前記端末利用情報内の前記業務処理装置の識別情報により特定される業務処理装置の前記ログデータにより示される前記作業端末の識別情報とが一致し、かつ、前記端末利用情報内の前記端末利用時間が示す前記作業端末の利用の開始から終了までの時間帯が前記ログデータ内の前記作業時間が示す前記作業端末からのアクセスの開始から終了までの時間帯を包含している場合に合致と判断し、前記申請作業内容突合部は、前記端末利用情報により示される前記業務処理装置の識別情報及び前記作業者の識別情報と、前記申請作業内容情報により示される前記業務処理装置の識別情報及び前記作業者の識別情報とが一致している場合に合致と判断する、ことを特徴とする。
【０００９】
また本発明は、上述する不正アクセス検出システムであって、前記作業端末は、作業者が入力した前記作業に関する情報を前記不正アクセス検出装置に送信する照合要求部と、前記照合要求部が送信した前記作業に関する情報に対応して照合成功を受信した場合、業務処理を許可する規制解除部とを備え、前記不正アクセス検出装置は、前記作業端末から受信した前記作業に関する情報を含んだ前記申請作業内容情報が前記申請作業内容蓄積部に記憶されている場合に、前記作業端末へ照合成功を通知する照合処理部をさらに備える、ことを特徴とする。
【００１０】
また本発明は、上述する不正アクセス検出システムであって、前記作業端末は、前記作業に関する情報を入力させるための画面を表示部に全画面表示し、前記入力された作業に関する情報を受信する入力情報受信部をさら備え、前記規制解除部は、前記照合要求部が送信した前記作業に関する情報に対応して前記照合成功を受信した場合、前記全画面表示を解除する、ことを特徴とする。
【００１１】
また本発明は、不正アクセス検出装置において実行される不正アクセス検出方法であって、情報取得部が、許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得過程と、ログデータ突合部が、前記情報取得過程において取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合過程と、申請作業内容突合が、前記情報取得過程において取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合過程と、を有することを特徴とする不正アクセス検出方法である。
【００１２】
また本発明は、不正アクセス検出装置として用いられるコンピュータを、許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得部、前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部、前記情報取得部が取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部、として機能させることを特徴とするプログラムである。
【発明の効果】
【００１３】
本発明によれば、不正アクセスパターンの管理を必要とせず、アクセスの目的までも考慮して不正アクセスを検出することができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の一実施形態による不正アクセス検出システムの全体構成を示す図である。
【図２】同実施形態による申請端末の内部構成を示す機能ブロック図である。
【図３】同実施形態による承認端末の内部構成を示す機能ブロック図である。
【図４】同実施形態による作業端末の内部構成を示す機能ブロック図である。
【図５】同実施形態による業務サーバの内部構成を示す機能ブロック図である。
【図６】同実施形態による作業申請サーバの内部構成を示す機能ブロック図である。
【図７】同実施形態による端末利用情報蓄積サーバの内部構成を示す機能ブロック図である。
【図８】同実施形態による突合端末の内部構成を示す機能ブロック図である。
【図９】同実施形態による作業申請内容情報のデータ構成例を示す図である。
【図１０】同実施形態によるログデータのデータ構成例を示す図である。
【図１１】同実施形態による端末利用情報のデータ構成例を示す図である。
【図１２】同実施形態による作業端末の全画面表示イメージを示す図である。
【図１３】同実施形態による不正アクセス検出システムのシーケンス図である。
【図１４】同実施形態によるデータ突合範囲を示す図である。
【図１５】同実施形態によるログデータと端末利用情報の突合例を示す図である。
【図１６】同実施形態による端末利用情報と申請作業内容情報との突合例を示す図である。
【図１７】同実施形態による突合端末の不正アクセス検出処理フローを示す図である。
【発明を実施するための形態】
【００１５】
以下、図面を参照しながら本発明の実施形態を詳細に説明する。
【００１６】
図１は、本発明の一実施形態による不正アクセス検出システムの全体構成を示す図である。同図に示すように、不正アクセス検出システムは、ＩＰ（Internet Protocol）通信網であるネットワーク９に接続される申請端末１、承認端末２、作業端末３、業務サーバ４及び不正アクセス検出装置５により構成される。同図においては、申請端末１、承認端末２、作業端末３、及び、業務サーバ４を１台のみ示しているが、複数台を備えてもよい。不正アクセス検出装置５は、作業申請サーバ６、端末利用情報蓄積サーバ７、及び、突合端末８により構成される。
【００１７】
申請端末１は、維持運用対象の業務サーバ４に対して行う作業を申請するコンピュータ端末である。承認端末２は、申請端末１によって申請された作業を承認するコンピュータ端末である。作業申請サーバ６は、承認端末２によって承認された作業の申請内容を示す申請作業内容情報を蓄積するサーバである。作業端末３は、業務サーバ４へアクセスし、承認された作業についての業務処理を指示するコンピュータ端末であり、作業者が作業前に入力した作業に関する情報や、当該作業端末３が指示した作業に関する情報を示す端末利用情報を生成する。業務サーバ４は、作業端末３から受信した指示に従って業務処理を実行するサーバであり、当該業務サーバ４において実行された作業に関する情報を示すログデータを記録する。端末利用情報蓄積サーバ７は、作業端末３から端末利用情報を受信し、蓄積するサーバである。突合端末８は、業務サーバ４が記録したログデータと、端末利用情報蓄積サーバ７が蓄積している端末利用情報とを突合するとともに、端末利用情報と作業申請サーバ６が蓄積している申請作業内容情報とを突合して、不正アクセスを検出するコンピュータ端末である。
【００１８】
上記構成により、本実施形態による不正アクセス検出システムは、作業端末３から業務サーバ４へのアクセスが正しい作業申請に基づいて、すなわち、正当な目的によって実施されたか否かの事後追跡を可能とする。
【００１９】
図２は、申請端末１の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。申請端末１は、通信部１１、ブラウザ処理部１２、表示部１３及び入力部１４を備えて構成される。通信部１１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。表示部１３は、ＬＣＤ（Liquid Crystal Display）などのディスプレイである。入力部１４は、キーボードやマウスなどであり、ユーザ操作による情報の入力を受ける。ブラウザ処理部１２は、通信部１１を介して他の装置から受信した画面データに基づいて表示部１３に画面を表示し、表示部１３に表示されている画面上で入力部１４により入力された情報を通信部１１を介してアクセス先のコンピュータ装置に送信する。
【００２０】
図３は、承認端末２の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。承認端末２は、通信部２１、ブラウザ処理部２２、表示部２３及び入力部２４を備えて構成される。通信部２１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。表示部２３は、ＬＣＤなどのディスプレイである。入力部２４は、キーボードやマウスなどであり、ユーザ操作による情報の入力を受ける。ブラウザ処理部２２は、通信部２１を介して他の装置から受信した画面データに基づいて表示部２３に画面を表示し、表示部２３に表示されている画面上で入力部２４により入力された情報を通信部２１を介してアクセス先のコンピュータ装置に送信する。
【００２１】
図４は、作業端末３の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。作業端末３は、入力部３１、表示部３２、通信部３３、端末管理部３４及び業務処理指示部３９を備えて構成される。入力部３１は、キーボードやマウスなどであり、ユーザ操作による情報の入力を受ける。表示部３２は、ＬＣＤなどのディスプレイである。通信部３３は、ネットワーク９を介して他の装置との間でデータの送受信を行う。
【００２２】
端末管理部３４は、ログオン時にＣＰＵ（central processing unit）がメモリから端末管理ツールのアプリケーションソフトウェアを読み込んで実行することにより生成される。端末管理部３４は、入力情報受信部３５、照合要求部３６、画面ロック解除部３７及び端末利用情報転送部３８を備える。入力情報受信部３５は、ログオン後最初に表示部３２に情報入力画面の全画面表示を行い、情報入力画面上で入力部３１により入力された情報を受信する。入力情報受信部３５は、必要な情報を全て受信するまで、表示部３２に情報入力画面を表示し続ける。照合要求部３６は、入力情報受信部３５が受信した情報に含まれる申請作業内容情報の一部を設定した照合要求を通信部３３を介して作業申請サーバ６に送信する。画面ロック解除部３７は、照合要求に対応して作業申請サーバ６から受信した照合結果が照合成功を示している場合に、全画面表示による画面ロックを解除し、表示部３２の画面遷移を許可する。端末利用情報転送部３８は、作業終了後、端末利用情報を生成し、通信部３３を介して端末利用情報蓄積サーバ７へ送信する。
【００２３】
業務処理指示部３９は、入力部３１により入力された業務処理に関する指示を通信部３３を介して業務サーバ４に送信し、送信した指示に対応して業務サーバ４から受信した業務処理結果を表示部３２に表示させる。
【００２４】
図５は、業務サーバ４の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。業務サーバ４は、通信部４１、業務処理部４２、ログデータ記録部４３、ログデータ蓄積部４４、及び、ログデータ送信部４５を備えて構成される。通信部４１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。業務処理部４２は、作業端末３から受信した業務処理に関する指示に従って業務処理を実行し、通信部４１を介して業務処理の結果を返送する。ログデータ記録部４３は、作業端末３からのアクセスに関するログを示すデータであるログデータを生成し、ログデータ蓄積部４４に書き込む。ログデータ送信部４５は、ログデータ蓄積部４４からログデータを読み出し、通信部４１を介して突合端末８に送信する。
【００２５】
図６は、作業申請サーバ６の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。作業申請サーバ６は、通信部６１、申請受付部６２、承認処理部６３、作業ＩＤ発行部６４、申請作業内容蓄積部６５、照合部６６、及び、申請作業内容情報送信部６７を備えて構成される。通信部６１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。申請受付部６２は、申請端末１が送信した作業の申請内容を受信する。承認処理部６３は、申請内容を通信部６１を介して承認端末２に送信する。作業ＩＤ発行部６４は、送信した申請内容に対応して承認端末２から承認を示す情報を受信した場合、作業を一意に特定する識別情報である作業ＩＤを発行し、発行した作業ＩＤと作業の申請内容とを設定した申請作業内容情報を申請作業内容蓄積部６５に書き込む。照合部６６は、作業端末３から受信した照合要求と、申請作業内容蓄積部６５に記憶されている申請作業内容情報とを照合し、照合結果を通信部６１を介して返送する。申請作業内容情報送信部６７は、申請作業内容蓄積部６５から申請作業内容情報を読み出し、通信部６１を介して突合端末８に送信する。
【００２６】
図７は、端末利用情報蓄積サーバ７の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。端末利用情報蓄積サーバ７は、通信部７１、端末利用情報受信部７２、端末利用情報蓄積部７３及び端末利用情報送信部７４を備えて構成される。通信部７１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。端末利用情報受信部７２は、作業端末３から受信した端末利用情報を端末利用情報蓄積部７３に書き込む。端末利用情報送信部７４は、端末利用情報蓄積部７３から端末利用情報を読み出し、通信部７１を介して突合端末８に送信する。
【００２７】
図８は、突合端末８の内部構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみ抽出して示してある。突合端末８は、通信部８１、情報取得部８２、情報蓄積部８３、入力部８４、突合処理部８５、及び、出力部８８を備えて構成される。通信部８１は、ネットワーク９を介して他の装置との間でデータの送受信を行う。入力部８４は、キーボードやマウスなどであり、ユーザ操作による情報の入力を受ける。出力部８８は、情報を出力する。本実施形態では、出力部８８を、情報を表示するディスプレイとして説明するが、情報を印刷するプリンタ、情報を情報記録媒体へ書き込む書き込み装置としてもよい。
【００２８】
情報取得部８２は、業務サーバ４から受信したログデータ、作業申請サーバ６から受信した申請作業内容情報、及び、端末利用情報蓄積サーバ７から受信した端末利用情報を情報蓄積部８３に書き込む。突合処理部８５は、ログデータ突合部８６と申請作業内容突合部８７を備える。ログデータ突合部８６は、情報蓄積部８３に記憶されている端末利用情報とログデータとの突合処理を行ない、突合結果を出力部８８に出力させる。申請作業内容突合部８７は、情報蓄積部８３に記憶されている端末利用情報と申請作業内容情報との突合を行ない、突合結果を出力部８８に出力させる。
【００２９】
次に、本実施形態による各種データのデータ構成例を示す。
【００３０】
図９は、作業申請内容情報のデータ構成例を示す図である。同図に示すように、申請作業内容情報は、許可された作業に関する情報として、作業ＩＤ、アクセス先サーバ名、ログオンアカウント等の情報を含む。アクセス先サーバ名は、作業対象の業務サーバ４の名前であり、業務サーバ４を一意に特定する識別情報である。ログオンアカウントは、作業者が作業端末３にログオンするときに用いるアカウントであり、作業者を一意に特定する識別情報である。
【００３１】
図１０は、ログデータのデータ構成例を示す図である。同図に示すように、ログデータは、業務サーバ４において実行された作業に関する情報として、ＰＣホスト名、サーバ利用開始日時、サーバ利用終了日時等の情報を含む。ＰＣホスト名は、業務サーバ４がアクセスを受けた、つまり、作業を指示した作業端末３の名前であり、作業端末３を一意に特定する識別情報である。サーバ利用開始日時は、作業端末３の指示による作業を開始した日時を示し、サーバ利用終了日時は、作業端末３の指示による作業を終了した日時を示す。具体的には、サーバ利用開始日時は、作業端末３から業務サーバ４へのアクセスが開始された時刻、すなわち、業務サーバ４が作業端末３との接続状態を確立した日時を示し、サーバ利用終了日時は、作業端末３からの業務サーバ４へのアクセスが終了した時刻、すなわち、業務サーバ４が作業端末３との接続状態を終了した日時を示す。
【００３２】
図１１は、端末利用情報のデータ構成例を示す図である。端末利用情報は、作業ＩＤ、アクセス先サーバ名、ログオンアカウント、ＰＣホスト名、端末利用開始日時、端末利用終了日時等の情報を含む。作業ＩＤは、作業者が作業端末３に入力した作業ＩＤである。アクセス先サーバ名は、作業者が作業端末３に入力したアクセス先の業務サーバ４の名前である。ログオンアカウントは、作業端末３にログオンした作業者のアカウントである。ＰＣホスト名は、当該端末利用情報を生成した作業端末３の名前である。端末利用開始日時は、作業者が作業端末３の利用を開始した日時を示し、端末利用終了日時は、作業者が作業端末３の利用を終了した日時を示す。具体的には、端末利用開始日時は、作業者がログオンした日時であり、端末利用終了日時は、作業者がログオフした日時である。
つまり、作業ＩＤ、アクセス先サーバ名、ログオンアカウントは、作業者が作業端末３に入力した作業に関する情報であり、ＰＣホスト名、端末利用開始日時、端末利用終了日時は、作業端末３において実行された作業に関する情報である。
【００３３】
図１２は、作業端末３の表示部３２に表示される情報入力画面の表示イメージを示す図である。同図に示すように、情報入力画面は全画面表示され、ステップＳ２１において作業者がログオンした日時を示す開始日時と、ログオンしたときに入力したログオンアカウントと、作業端末３のホスト名とが表示される。さらに情報入力画面には、利用者氏名、担当業務、作業対象の業務サーバ４のサーバ名（接続先）、作業ＩＤ（処理申込番号または作業依頼番号）、作業の依頼元、作業として行う業務処理が操作対象としているデータ（操作テーブル名称）及びそのデータ操作（ＳＱＬ使用）、作業内容などの情報を入力するフィールドやチェックボックスが表示される。全てのフィールド及びチェックボックスの入力後、ＯＫボタンのクリックが受け付け可能となる。
【００３４】
次に、不正アクセス検出システムの動作について説明する。
【００３５】
図１３は、不正アクセス検出システムのシーケンス図である。
まず、申請者は、申請端末１から作業申請サーバ６にアクセスする。申請端末１の通信部１１は作業申請サーバ６から作業申請情報を入力させるための申請入力画面データを受信し、ブラウザ処理部１２は、受信した申請入力画面データを表示部１３に表示させる。作業者は、申請入力画面上で入力部１４により作業申請情報を入力する。作業申請情報には、作業対象の業務サーバ４のサーバ名であるアクセス先サーバ名、作業を行う作業者のアカウントであるログオンアカウント、申請日時、作業件名、作業内容、作業日時、申請者に関する情報（名前、担当、連絡先、所属部署）、管理者に関する情報（名前、担当、連絡先、所属部署）、作業者に関する情報（名前、担当、連絡先、所属部署）、作業と関連する書類の番号などの情報が含まれる。ブラウザ処理部１２は、入力された作業申請情報を送信するよう通信部１１に指示し、通信部１１は、作業申請情報を作業申請サーバ６に送信する（ステップＳ１１）。
【００３６】
作業申請サーバ６の通信部６１は、申請端末１から作業申請情報を受信して申請受付部６２に出力する。申請受付部６２は、作業申請情報を受信すると、承認処理部６３に承認処理の実行を指示する。承認処理部６３は、受信した作業申請情報を表示させる承認要求画面データを承認端末２に送信するよう通信部６１に指示し、通信部６１は承認要求画面データを承認端末２へ送信する（ステップＳ１２）。承認端末２のブラウザ処理部２２は、通信部２１が受信した承認要求画面データを表示部２３に表示させる。承認者は、表示部２３に表示されている作業申請情報を確認し、入力部２４により承認を入力する。ブラウザ処理部２２は、承認を示す承認結果情報を返送するよう通信部２１に指示し、通信部２１は、承認結果情報を作業申請サーバ６へ送信する（ステップＳ１３）。
【００３７】
作業申請サーバ６の通信部６１は承認結果情報を受信し、承認処理部６３へ出力する。承認処理部６３は、承認を示す承認結果情報を受信すると、作業ＩＤ発行部６４へ作業ＩＤの発行を指示する。作業ＩＤ発行部６４は、新たな作業ＩＤを生成し（ステップＳ１４）、生成した作業ＩＤと、ステップＳ１１において受信した作業申請情報とを設定した申請作業内容情報を申請作業内容蓄積部６５へ書き込む（ステップＳ１５）。作業ＩＤ発行部６４は、承認された旨と作業ＩＤとを表示させる申請結果通知画面データを申請端末１に送信するよう通信部６１に指示し、通信部６１は申請結果通知画面データを申請端末１に送信する（ステップＳ１６）。申請端末１のブラウザ処理部１２は、通信部１１が受信した申請結果通知画面データを表示部１３に表示させる。これにより、申請者は、申請した作業が承認された旨と作業ＩＤを確認する。
【００３８】
作業申請の承認後、作業者は、作業端末３の入力部３１により、ログオンアカウント及びパスワードを入力する（ステップＳ２１）。作業端末３がログオンアカウント及びパスワードにより正当性を確認すると、入力情報受信部３５は、図１２に示す情報入力画面を全画面表示により表示部３２に表示させ、画面をロックする。作業者は、入力部３１により、情報入力画面上に利用者氏名、担当業務、作業対象であるアクセス先の業務サーバ４のサーバ名、作業ＩＤ、作業の依頼元、操作テーブル名称、ＳＱＬ使用、作業内容を入力する。入力情報受信部３５は、これら全ての情報が入力されたと判断した場合、情報入力画面上のＯＫボタンの使用を可能とする。ＯＫボタンがクリックされると、入力情報受信部３５は、照合要求部３６に照合実行を指示する。
【００３９】
照合要求部３６は、入力された作業ＩＤを設定した照合要求を送信するよう通信部３３に指示し、通信部３３は照合要求を作業申請サーバ６に送信する（ステップＳ２３）。作業申請サーバ６の照合部６６は、通信部６１を介して照合要求を受信すると、申請作業内容蓄積部６５を検索し、受信した照合要求と同一の作業ＩＤが設定され、かつ、使用済みを示す情報が対応付けられていない申請作業内容情報があるか否かを判断する（ステップＳ２４）。照合部６６は、検索の結果、申請作業内容情報が検出された場合、照合成功と判断する。照合部６６は、検出された申請作業内容情報と対応づけて使用済みを示す情報を申請作業内容蓄積部６５に書き込み、通信部６１に照合成功を示す照合結果を返送するよう指示する。通信部６１は、作業端末３へ照合結果を送信する（ステップＳ２５）。作業端末３の画面ロック解除部３７は、通信部３３を介して受信した照合結果が照合成功を示している場合、全画面表示による画面ロックを解除して画面遷移を許可し、業務処理が可能な操作画面を表示部３２に表示させる（ステップＳ２６）。
【００４０】
作業者は、作業端末３の入力部３１により業務サーバ４への接続指示を入力すると、通信部３３は、業務サーバ４に接続要求を送信する。接続要求には、作業端末３の名前が設定される。業務サーバ４の通信部４１は、作業端末３から接続要求を受信し、作業端末３の通信部３３と接続状態（セッション）を確立する。接続状態の確立後、作業端末３と業務サーバ４の間で業務処理が実行される（ステップＳ２７）。具体的には、作業者が、作業端末３の入力部３１により業務処理の指示を入力すると、業務処理指示部３９は、通信部３３を介して業務処理の指示を業務サーバ４へ送信する。業務処理の指示には、例えば、業務に関する各種データの登録、更新、読出し、削除などがある。業務サーバ４の業務処理部４２は、通信部４１が受信した業務処理の指示に従って業務処理を実行し、通信部４１を介して業務処理の実行結果を作業端末３に送信する。作業端末３の業務処理指示部３９は、通信部３３が業務サーバ４から受信した業務処理の結果を表示部３２に表示させる。
【００４１】
業務処理の終了後、作業者が作業端末３の入力部３１により業務サーバ４との接続切断指示を入力すると、通信部３３は、業務サーバ４に接続切断要求を送信する。業務サーバ４の通信部４１は、作業端末３から接続切断要求を受信し、作業端末３の通信部３３との接続状態（セッション）を終了する。ログデータ記録部４３は、接続要求から取得した作業端末３の名前を設定したＰＣホスト名、作業端末３と接続状態を確立した時刻を示すサーバ利用開始日時、作業端末３との接続状態を終了した日時を示すサーバ利用終了日時などの情報を設定したログデータを生成し、ログデータ蓄積部４４へ書き込む（ステップＳ２８）。
【００４２】
複数の業務サーバ４に対して業務処理を行う場合、作業端末３と他の業務サーバ４の間でステップＳ２７及びＳ２８の処理を繰り返す。なお、作業端末３と複数の業務サーバ４との間で同時に接続状態を確立し、業務処理を行うことも可能である。
【００４３】
作業を終了すると、作業者は、作業端末３の入力部３１によりログオフの指示を入力する（ステップＳ２９）。端末利用情報転送部３８は、ステップＳ２１において入力されたログオンアカウント、自作業端末３の名前を示すＰＣホスト名、ステップＳ２２において情報入力画面上で入力された情報（利用者氏名、担当業務、業務サーバ４のサーバ名、作業ＩＤ、作業の依頼元、操作テーブル名称、ＳＱＬ使用、作業内容）、作業端末３にログオンした日時を示す端末利用開始日時、ログオフした日時を示す端末利用終了日時などを設定した端末利用情報を生成する。通信部３３は、端末利用情報転送部３８が生成した端末利用情報を端末利用情報蓄積サーバ７に送信する（ステップＳ３０）。端末利用情報蓄積サーバ７の端末利用情報受信部７２は、通信部７１が受信した端末利用情報を端末利用情報蓄積部７３に書き込む（ステップＳ３１）。
【００４４】
突合端末８の情報取得部８２は、定期的に、あるいは、入力部８４により指示が入力された場合に、通信部８１を介して端末利用情報蓄積サーバ７に端末利用情報取得要求を送信する（ステップＳ４１）。端末利用情報蓄積サーバ７の端末利用情報送信部７４は、通信部７１を介して端末利用情報取得要求を受信すると、端末利用情報蓄積部７３から突合端末８へ未送信の端末利用情報を読み出す。通信部７１は、端末利用情報送信部７４が読み出した端末利用情報を突合端末８へ返送する（ステップＳ４２）。突合端末８の情報取得部８２は、通信部８１が受信した端末利用情報を情報蓄積部８３に書き込む。
【００４５】
次に、突合端末８の情報取得部８２は、通信部８１を介して業務サーバ４にログデータ取得要求を送信する（ステップＳ４３）。業務サーバ４のログデータ送信部４５は、通信部４１を介してログデータ取得要求を受信すると、ログデータ蓄積部４４から突合端末８へ未送信のログデータを読み出す。通信部４１は、ログデータ蓄積部４４が読み出した端末利用情報を突合端末８へ返送する（ステップＳ４４）。突合端末８の情報取得部８２は、通信部８１が受信したログデータと、ログデータの送信元の業務サーバ４を特定する情報（例えば、サーバ名）とを対応付けて情報蓄積部８３に書き込む。
【００４６】
続いて、突合端末８の情報取得部８２は、通信部８１を介して作業申請サーバ６に申請作業内容情報取得要求を送信する（ステップＳ４５）。作業申請サーバ６の申請作業内容情報送信部６７は、通信部６１を介して申請作業内容情報取得要求を受信すると、申請作業内容蓄積部６５から未送信の申請作業内容情報を読み出す。通信部６１は、申請作業内容情報送信部６７が読み出した申請作業内容情報を突合端末８へ返送する（ステップＳ４６）。突合端末８の情報取得部８２は、通信部８１が受信した申請作業内容情報を情報蓄積部８３に書き込む。
【００４７】
突合端末８の突合処理部８５は、情報蓄積部８３に記憶されている申請作業内容情報、ログデータ、端末利用情報を用いて突合処理を行い、不正アクセスの有無を判断し、判断結果を出力部８８に表示させる（ステップＳ４７）。
【００４８】
端末利用情報とログデータを突合した結果、いずれの端末利用情報とも合致しないログデータがある場合、そのログデータは、業務サーバ４が作業端末３以外からアクセスされたことを示す。つまり、不正アクセスの発生を示すものである。一方、いずれのログデータとも合致していない端末利用情報がある場合、その端末利用情報は、作業端末３にログオンが行われたものの、業務サーバ４にアクセスすることなくログオフが行われたことを示す。つまり、業務サーバ４にはアクセスしていないため、不正アクセスの発生を示すものではない。
【００４９】
また、端末利用情報と申請作業内容情報を突合した結果、いずれの申請作業内容情報とも合致していない端末利用情報がある場合、作業端末３は、申請していない業務サーバ４にアクセスしたことを示す。つまり、不正アクセスの発生を示すものである。一方、いずれの端末利用情報とも合致していない申請作業内容情報がある場合、作業者は申請端末１により申請を行なったものの、申請した業務処理をまだ行なっていないことを示す。つまり、不正アクセスの発生を示すものではない。
そこで、突合処理において、突合端末８の突合処理部８５は、いずれの端末利用情報とも合致していないログデータがあるかを検出するとともに、ログデータと合致している端末利用情報の中にいずれの申請作業内容情報とも合致していないものがあるかを検出する。
【００５０】
図１４は、データ突合範囲を示す図である。同図においては、突合処理に用いる一部の情報のみを記載している。ステップＳ４７の突合処理において、突合端末８のログデータ突合部８６は、端末利用情報蓄積サーバ７から取得した端末利用情報のＰＣホスト名、端末利用開始日時及び端末利用終了日時と、端末利用情報内のアクセス先サーバ名で特定される業務サーバ４から取得したログデータのＰＣホスト名、サーバ利用開始日時及びサーバ利用終了日時の合致を判断する。突合処理部８５は、端末利用情報とログデータに同一のＰＣホスト名が設定されており、かつ、端末利用情報の端末利用開始日時及び端末利用終了日時で示される時間帯が、ログデータのサーバ利用開始日時及びサーバ利用終了日時で示される時間帯を包含している場合、これらの端末利用情報とログデータが合致していると判断する。
【００５１】
また、申請作業内容突合部８７は、端末利用情報蓄積サーバ７から取得した端末利用情報と、作業申請サーバ６から取得した申請作業内容情報の作業ＩＤ、アクセス先サーバ名、及び、ログオンアカウントの合致を判断する。突合処理部８５は、端末利用情報と申請作業内容情報に同一の作業ＩＤ及びログオンアカウントが設定されており、かつ、端末利用情報に設定されているアクセス先サーバ名が申請作業内容情報に設定されているアクセス先サーバ名に含まれている場合、これらの端末利用情報と申請作業内容情報が合致していると判断する。
【００５２】
図１５は、ログデータと端末利用情報の突合例を示す図である。図１５（ａ）は、突合に使用される端末利用情報及びログデータの設定内容の一部を示し、図１５（ｂ）は、端末利用情報の端末利用開始日時及び端末利用終了日時が示す時間帯、ログデータのサーバ利用開始日時及びサーバ利用終了日時が示す時間帯を示す。なお、不正アクセス検出システムは業務サーバ４を複数台備えるものとし、それぞれの業務サーバ４を業務サーバ４ａ、４ｂ、４ｃ、…と記載する。
【００５３】
業務サーバ４ａ、４ｂ、４ｃのサーバ名がアクセス先サーバ名に設定されている端末利用情報に、図１５（ａ）に示すように、ＰＣホスト名「TerminalA」、端末利用開始日時「20101018,10:00」、端末利用終了日時「20101018,16:00」が設定されている。これは、図１５（ｂ）に示すように、作業者は、ＰＣホスト名「TerminalA」の作業端末３を、２０１０年１０月１８日１０時００分から１６時００分まで使用していたことを示す。
【００５４】
一方、業務サーバ４ａのログデータには、図１５（ａ）に示すように、ＰＣホスト名「TerminalA」、サーバ利用開始日時「20101018,11:15」、サーバ利用終了日時「20101018,13:20」が設定されている。従って、図１５（ｂ）に示すように、業務サーバ４ａは、ＰＣホスト名「TerminalA」の作業端末３から、２０１０年１０月１８日１１時１５分から１３時２０分までアクセスされていたことを示す。業務サーバ４ａのログデータが示す時間帯は、作業端末３の端末利用情報で示される時間帯に包含されているため、端末利用情報と業務サーバ４ａのログデータは合致すると判断される。
【００５５】
同様に、業務サーバ４ｂのログデータは、ＰＣホスト名「TerminalA」の作業端末３から、２０１０年１０月１８日１３時２５分から１５時０５分までアクセスされていたことを示している。この時間帯は、ＰＣホスト名「TerminalA」の作業端末３において記録された端末利用情報で示される時間帯に包含されているため、端末利用情報と業務サーバ４ｂのログデータとは合致すると判断される。
【００５６】
一方、業務サーバ４ｃのログデータは、ＰＣホスト名「TerminalA」の作業端末３から、２０１０年１０月１８日１５時２５分から１６時２５分までアクセスされていたことを示している。この時間帯は、ＰＣホスト名「TerminalA」の作業端末３において記録された端末利用情報で示される時間帯に包含されていない。よって、端末利用情報と業務サーバ４ｃのログデータは合致しないと判断される。
【００５７】
図１６は、端末利用情報と申請作業内容情報との突合例を示す図である。
図１６（ａ）に示すように、端末利用情報と申請作業内容情報の両方に、同一の作業ＩＤ「NB0G372」、及び、ログオンアカウント「SUGIYAMA」が設定されており、端末利用情報のアクセス先サーバ名「ServerA」は、申請作業内容情報のアクセスサーバ名「ServerA,ServerB」に含まれている。この場合、申請した作業対象の一部の業務サーバ４に対して実際に作業を行ったことを示すため、端末利用情報と申請作業内容情報は合致すると判断される。
一方、図１６（ｂ）に示すように、端末利用情報と申請作業内容情報の両方に、作業ＩＤ「NB0G372」、アクセス先サーバ名「ServerA,ServerB」が設定されている。しかし、端末利用情報のログオンアカウントには「S.SATO」が設定されており、端末利用情報のログオンアカウントには「SUGIYAMA」が設定されているため、ログオンアカウントは一致しない。この場合、端末利用情報と申請作業内容情報は合致しないと判断される。
【００５８】
図１７は、図１３のステップＳ４７の突合処理において突合端末８が実行する不正アクセス検出処理フローを示す図である。
まず、管理者は、突合端末８の入力部８４により、不正アクセス判定処理を行なう対象として指定する業務サーバ４を入力する（ステップＳ５１）。ログデータ突合部８６は、指定された業務サーバ４全てに対する不正アクセス判定処理が完了したかを判断する（ステップＳ５２）。まだ不正アクセス判定処理の対象となっていない業務サーバ４がある場合（ステップＳ５２：ＮＯ）、ログデータ突合部８６は、指定された業務サーバ４のうち、まだ不正アクセス判定処理の対象となっていない業務サーバ４を１つ選択する（ステップＳ５３）。以下、選択された業務サーバを「選択業務サーバ」と記載する。
【００５９】
ログデータ突合部８６は、選択業務サーバにおいて記録されたログデータ全て、つまり、選択業務サーバを特定する情報と対応付けて情報蓄積部８３に記憶されているログデータ全てに対する不正アクセス判定処理が終了したかを判断する（ステップＳ５４）。まだ不正アクセス判定処理の対象となっていないログデータがある場合（ステップＳ５４：ＮＯ）、ログデータ突合部８６は、選択業務サーバを特定する情報と対応付けて情報蓄積部８３に記憶されているログデータのうち、まだ不正アクセス判定処理の対象となっていないログデータを１つ選択する（ステップＳ５５）。以下、選択されたログデータを「選択ログデータ」と記載する。
【００６０】
ログデータ突合部８６は、選択業務サーバのサーバ名を設定したアクセス先サーバ名と、選択ログデータ内のＰＣホスト名とを検索条件として情報蓄積部８３に記憶されている端末利用情報を検索する（ステップＳ５６）。検索条件で示されるアクセス先サーバ名及びＰＣホスト名が設定されている端末利用情報が検出されなかった場合（ステップＳ５７：ＮＯ）、ログデータ突合部８６は、不正アクセスと判断する（ステップＳ５８）。ログデータ突合部８６は、不正アクセスである旨と、選択ログデータとを出力部８８に表示させ（ステップＳ５９）、突合処理部８５は、ステップＳ５４からの処理を繰り返す。
【００６１】
ステップＳ５７において、検索条件で示されるアクセス先サーバ名及びＰＣホスト名が設定されている端末利用情報が検出された場合（ステップＳ５７：ＹＥＳ）、申請作業内容突合部８７は、検出された端末利用情報のうち、選択ログデータから得られる時間帯を包含する端末利用開始日時及び端末利用終了日時が設定されている端末利用情報を検索する（ステップＳ６０）。つまり、端末利用情報に設定されている端末利用開始日時及び端末利用終了日時で示される時間帯が、選択ログデータに設定されているサーバ利用開始日時及びサーバ利用終了日時で示される時間帯を包含しているものを検索する。
【００６２】
選択ログデータから得られる時間帯を包含する端末利用開始日時及び端末利用終了日時が設定されている端末利用情報が検出された場合（ステップＳ６１：ＹＥＳ）、申請作業内容突合部８７は、検出された端末利用情報に設定されている作業ＩＤ、アクセス先サーバ名及びログオンアカウントを検索条件として情報蓄積部８３に記憶されている申請作業内容情報を検索する（ステップＳ６２）。検索条件で示される作業ＩＤ、アクセス先サーバ名及びログオンアカウントが設定されている申請作業内容情報が検出された場合（ステップＳ６３：ＹＥＳ）、ログデータ突合部８６は、正常アクセスと判断する（ステップＳ６４）。申請作業内容突合部８７は、正常アクセスである旨と、選択ログデータと、ステップＳ６０において検出された端末利用情報を出力部８８に表示させ（ステップＳ６５）、突合処理部８５は、ステップＳ５４からの処理を繰り返す。
【００６３】
一方、ステップＳ６１において、選択ログデータから得られる時間帯を包含する端末利用開始日時及び端末利用終了日時が設定されている端末利用情報が検出されなかった場合（ステップＳ６１：ＮＯ）、申請作業内容突合部８７は、不正アクセスと判断する（ステップＳ５８）。申請作業内容突合部８７は、不正アクセスである旨と、選択ログデータと、ステップＳ５６における検索の結果検出された端末利用情報を出力部８８に表示させ（ステップＳ５９）、突合処理部８５は、ステップＳ５４からの処理を繰り返す。
【００６４】
また、ステップＳ６３において、検索条件で示される作業ＩＤ、アクセス先サーバ名及びログオンアカウントの全てが設定されている申請作業内容情報が検出されなかった場合（ステップＳ６１：ＮＯ）、申請作業内容突合部８７は、不正アクセスと判断する（ステップＳ５８）。申請作業内容突合部８７は、不正アクセスである旨と、選択ログデータと、ステップＳ５６における検索の結果検出された端末利用情報を出力部８８に表示させ（ステップＳ５９）、突合処理部８５は、ステップＳ５４からの処理を繰り返す。
【００６５】
ステップＳ５４において、申請作業内容突合部８７は、選択業務サーバにおいて記録されたログデータ全てに対する不正アクセス判定処理が終了したと判断した場合（ステップＳ５４：ＹＥＳ）、ステップＳ５２からの処理を繰り返す。
そして、ステップＳ５２において、ログデータ突合部８６が、指定された業務サーバ４全てに対する不正アクセス判定処理が完了したと判断した場合（ステップＳ５２：ＹＥＳ）、突合処理部８５は、突合処理を終了する。
【００６６】
上記実施形態では、図１３のステップＳ２３において、作業端末３の照合要求部３６は、照合要求に作業に関する情報として作業ＩＤのみを設定しているが、作業ＩＤに加えて、あるいは、作業ＩＤに代えて、申請作業内容情報に含まれる他の情報、例えば、アクセス先サーバ名、ログオンアカウント、申請日時、作業件名、作業内容、作業日時、申請者の名前、申請者の担当、申請者の連絡先、申請者の所属部署、管理者の名前、管理者の担当、管理者の連絡先、管理者の所属部署、作業者の名前、作業者の担当、作業者の連絡先、作業者の所属部署、作業と関連する書類の番号のうち一以上を照合要求に設定してもよい。この場合、作業端末３の入力情報受信部３５は、照合要求に設定する情報を入力させるフィールドを含んだ情報入力画面を表示させる。ただし、ログオンアカウントは、ログオン時に入力した情報とする。また、ステップＳ１１において入力される申請情報に、操作テーブル名称、ＳＱＬ使用の情報を含むことによって、情報入力画面上で入力された操作テーブル名称、ＳＱＬ使用の情報を照合要求に設定してもよい。
図１３のステップＳ２４において、作業申請サーバ６の照合部６６は、照合要求に設定されている情報と同一の情報が設定され、かつ、使用済みを示す情報が対応付けられていない申請作業内容情報を検出した場合、照合成功と判断する。
【００６７】
また、端末利用情報、申請作業内容情報、及び、ログデータに業務処理の情報を設定し、これらを照合してもよい。例えば、作業申請サーバ６は、操作テーブル名称、及び、操作テーブルに対して行うＳＱＬ操作などを示す業務処理情報をさらに含んだ申請情報を申請端末１から受信し、作業ＩＤと受信した申請情報とを設定した申請作業内容情報を生成する。また、業務サーバ４のログデータ記録部４３は、作業端末３から受信した業務処理の指示に従って業務処理部４２が操作した操作テーブル名称、この操作テーブルに対して行なったＳＱＬ操作を示す業務処理情報をさらに含んだログデータを生成する。
そして、図１７のステップＳ６０において、申請作業内容突合部８７は、検出された端末利用情報のうち、選択ログデータのサーバ利用開始日時及びサーバ利用終了日時が示す時間帯を包含する端末利用開始日時及び端末利用終了日時と、選択ログデータの業務処理情報とが設定されている端末利用情報を検索する。また、図１７のステップＳ６２において、申請作業内容突合部８７は、検出された端末利用情報に設定されている作業ＩＤ、アクセス先サーバ名、ログオンアカウント及び業務処理情報を検索条件として情報蓄積部８３に記憶されている申請作業内容情報を検索する。
【００６８】
上記実施形態では、突合端末８のログデータ突合部８６において、各ログデータがいずれかの端末利用情報と合致するか否かを判断した後、申請作業内容突合部８７において、ログデータと合致する端末利用情報がいずれかの申請作業内容情報と合致するかを判断しているが、申請作業内容突合部８７の不正アクセス検出処理を先に行なってもよい。つまり、突合端末８の申請作業内容突合部８７において、各端末利用情報がいずれかの申請作業内容情報と合致するか否かを判断する。申請作業内容突合部８７は、いずれの申請作業内容情報とも合致しない端末利用情報を検出した場合、不正アクセスと判断し、不正アクセスである旨と、いずれの申請作業内容情報とも合致しなかった端末利用情報を出力部８８に表示させる。続いて、ログデータ突合部８６は、各ログデータが、申請作業内容突合部８７においていずれかの申請作業内容情報に合致すると判断された端末利用情報のうちいずれかと合致するか否かを判断する。合致する場合、ログデータ突合部８６は、正常アクセスと判断し、合致しない場合、不正アクセスと判断する。ログデータ突合部８６は、正常アクセスと判断した場合、正常アクセスである旨と、ログデータと、ログデータに合致する端末利用情報とを出力部８８に表示させ、不正アクセスと判断した場合、不正アクセスである旨といずれの端末利用情報にも合致しなかったログデータとを出力部８８に表示させる。
【００６９】
上述した実施形態では、不正アクセス検出装置５を作業申請サーバ６、端末利用情報蓄積サーバ７、及び、突合端末８により構成しているが、これらのうち任意の２台を１台のコンピュータ装置により実現してもよく、これらの全てを１台のコンピュータ装置により実現してもよい。
【００７０】
また、既存の任意の技術によって、申請端末１及び承認端末２から業務サーバ４への接続を規制するようにしてもよい。例えば、申請端末１、承認端末２及び作業申請サーバ６を接続するネットワークと、作業端末３、業務サーバ４、作業申請サーバ６、端末利用情報蓄積サーバ７、及び、突合端末８を接続するネットワークとを分離してもよく、業務サーバ４において、申請端末１及び承認端末２からのアクセスを規制してもよい。
【００７１】
以上説明した本実施形態によれば、作業端末３の不正利用を抑制し、作業端末３から業務サーバ４へのアクセスが正しい作業申請に基づいて実施されたか否かを事後追跡することが可能となる。
上述した本実施形態では、作業実施前に作業内容の承認を受け、承認された作業内容を示す申請作業内容情報を作業申請サーバ６に保持しておく。そして、作業端末３の利用時、作業者に申請作業内容情報の一部を入力させ、その入力された情報が作業申請サーバ６に保持されている申請作業内容情報と一致しないと利用できないように制限をかけている。つまり、業務サーバ４へのアクセスが必要となる都度、作業端末３の利用制限を解除する手順としている。これにより、管理者が作業端末３や業務サーバ４についてのアクセス許可管理を行なったり、不正アクセスパターンの管理を行なったりする必要なく、不正なアクセスを検出することができる。従って、アクセス許可や不正アクセスパターンの登録漏れ、削除漏れ等によって、正当なアクセスが誤って不正と判断されたり、不正なアクセスが検出されなかったりするセキュリティ問題の発生を防ぐことが可能となる。
【００７２】
また、本実施形態では、作業端末３へのログオン時に、全画面表示を行なって画面をロックすることにより画面遷移を抑止し、利用制限を行なっている。画面ロックを解除するために作業者は必要な情報を全て入力しなければならず、このとき入力された情報を申請作業内容情報と照合するため、成りすましによる不正アクセスを効果的に抑止することができる。また、必要な情報を作業者に全て入力させることができるため、利用許可を判断するために照合する情報だけではなく、不正アクセスが検出されたときの解析情報として用いる情報も入力させ、記録しておくことができる。従って、従来紙の書類によって管理していた作業に関する内容を電子的に記録することも可能である。
また、作業実施後、作業端末３を利用した時に記録される端末利用情報と、作業申請時に登録した申請作業内容情報とを突合することにより、実際の作業内容と申請された作業内容との合致を確認することができるため、不正目的によるアクセスについても検出することができ、不正アクセス判定の精度を向上させることが可能となる。
【００７３】
上述したように、本実施形態によれば、不正アクセスパターンの登録を必要とせず、目的までも考慮して不正アクセスを検出することができるため、セキュリティが向上する。
また、作業前に作業申請サーバ６において記録される申請作業内容情報、作業実施の時に作業端末３において記録される端末利用情報、業務サーバ４がアクセスを受けたときに記録されるログデータの３点を突合したチェックにより、不正アクセスを確実に追跡することができる。
また、本実施形態では、ＳＯＸ（サーベンス・オクスリー法）法の対応のために必要となる意思決定と作業証跡記録の確認手順を電子化することができ、人的リソースの負担が軽減される。
【００７４】
なお、上述の申請端末１、承認端末２、作業端末３、業務サーバ４、作業申請サーバ６、端末利用情報蓄積サーバ７及び突合端末８は、内部にコンピュータシステムを有している。そして、申請端末１のブラウザ処理部１２、承認端末２のブラウザ処理部２２、作業端末３の端末管理部３４及び業務処理指示部３９、業務サーバ４の業務処理部４２、ログデータ記録部４３及びログデータ送信部４５、作業申請サーバ６の申請受付部６２、承認処理部６３、作業ＩＤ発行部６４申請作業内容蓄積部６５及び申請作業内容情報送信部６７、端末利用情報蓄積サーバ７の端末利用情報受信部７２及び端末利用情報蓄積部７３、ならびに、突合端末８の情報取得部８２及び突合処理部８５の動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＣＰＵ及び各種メモリやＯＳ、周辺機器等のハードウェアを含むものである。
【００７５】
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
【符号の説明】
【００７６】
１…申請端末
１１、２１、３３、４１、６１、７１、８１…通信部
１２、２２…ブラウザ処理部
１３、２３、３２…表示部
１４、２４、３１、８４…入力部
２…承認端末
３…作業端末
３４…端末管理部
３５…入力情報受信部
３６…照合要求部
３７…画面ロック解除部（規制解除部）
３８…端末利用情報転送部
３９…業務処理指示部
４…業務サーバ（業務処理装置）
４２…業務処理部
４３…ログデータ記録部
４４…ログデータ蓄積部
４５…ログデータ送信部
５…不正アクセス検出装置
６…作業申請サーバ
６２…申請受付部
６３…承認処理部
６４…作業ＩＤ発行部
６５…申請作業内容蓄積部
６６…照合部
６７…申請作業内容情報送信部
７…端末利用情報蓄積サーバ
７２…端末利用情報受信部
７３…端末利用情報蓄積部
７４…端末利用情報送信部
８…突合端末
８２…情報取得部
８３…情報蓄積部
８５…突合処理部
８６…ログデータ突合部
８７…申請作業内容突合部
８８…出力部
９…ネットワーク
【特許請求の範囲】
【請求項１】
許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得部と、
前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部と、
前記情報取得部が取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部と、
を備えることを特徴とする不正アクセス検出装置。
【請求項２】
不正アクセス検出装置と、作業を指示する作業端末と、前記作業端末からの指示を受けて作業の業務処理を実行する業務処理装置とを備えた不正アクセス検出システムであって、
前記不正アクセス検出装置は、
許可された作業に関する情報を示す申請作業内容情報を記憶する申請作業内容蓄積部と、
前記業務処理装置から当該業務処理装置において実行された作業に関する情報を示すログデータを取得するとともに、前記作業端末から作業者により前記作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報を取得する情報取得部と、
前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部と、
前記情報取得部が取得した前記端末利用情報及び前記申請作業内容蓄積部から読み出した前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部と、
を備える、
ことを特徴とする不正アクセス検出システム。
【請求項３】
前記申請作業内容情報は、作業対象の前記業務処理装置の識別情報及び前記作業者の識別情報を含み、
前記ログデータは、前記業務処理装置に作業を指示した前記作業端末の識別情報と、当該作業端末から当該業務処理装置へのアクセスが開始された時刻及び前記アクセスが終了した時刻を示す作業時間とを含み、
前記作業端末は、
作業者により前記作業端末に入力された作業対象の前記業務処理装置の識別情報及び前記作業者の識別情報と、前記作業者が当該作業端末の利用を開始した時刻及び前記利用を終了した時刻を示す端末利用時間と、当該作業端末の識別情報とを含んだ端末利用情報を生成して前記不正アクセス検出装置に送信する端末利用情報転送部を備え、
前記ログデータ突合部は、前記端末利用情報により示される前記作業端末の識別情報と、前記端末利用情報内の前記業務処理装置の識別情報により特定される業務処理装置の前記ログデータにより示される前記作業端末の識別情報とが一致し、かつ、前記端末利用情報内の前記端末利用時間が示す前記作業端末の利用の開始から終了までの時間帯が前記ログデータ内の前記作業時間が示す前記作業端末からのアクセスの開始から終了までの時間帯を包含している場合に合致と判断し、
前記申請作業内容突合部は、前記端末利用情報により示される前記業務処理装置の識別情報及び前記作業者の識別情報と、前記申請作業内容情報により示される前記業務処理装置の識別情報及び前記作業者の識別情報とが一致している場合に合致と判断する、
ことを特徴とする請求項２に記載の不正アクセス検出システム。
【請求項４】
前記作業端末は、
作業者が入力した前記作業に関する情報を前記不正アクセス検出装置に送信する照合要求部と、
前記照合要求部が送信した前記作業に関する情報に対応して照合成功を受信した場合、業務処理を許可する規制解除部とを備え、
前記不正アクセス検出装置は、
前記作業端末から受信した前記作業に関する情報を含んだ前記申請作業内容情報が前記申請作業内容蓄積部に記憶されている場合に、前記作業端末へ照合成功を通知する照合処理部をさらに備える、
ことを特徴とする請求項２または請求項３に記載の不正アクセス検出システム。
【請求項５】
前記作業端末は、
前記作業に関する情報を入力させるための画面を表示部に全画面表示し、前記入力された作業に関する情報を受信する入力情報受信部をさら備え、
前記規制解除部は、前記照合要求部が送信した前記作業に関する情報に対応して前記照合成功を受信した場合、前記全画面表示を解除する、
ことを特徴とする請求項４に記載の不正アクセス検出システム。
【請求項６】
不正アクセス検出装置において実行される不正アクセス検出方法であって、
情報取得部が、許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得過程と、
ログデータ突合部が、前記情報取得過程において取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合過程と、
申請作業内容突合が、前記情報取得過程において取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合過程と、
を有することを特徴とする不正アクセス検出方法。
【請求項７】
不正アクセス検出装置として用いられるコンピュータを、
許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得部、
前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部、
前記情報取得部が取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部、
として機能させることを特徴とするプログラム。
【請求項１】
許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得部と、
前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部と、
前記情報取得部が取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部と、
を備えることを特徴とする不正アクセス検出装置。
【請求項２】
不正アクセス検出装置と、作業を指示する作業端末と、前記作業端末からの指示を受けて作業の業務処理を実行する業務処理装置とを備えた不正アクセス検出システムであって、
前記不正アクセス検出装置は、
許可された作業に関する情報を示す申請作業内容情報を記憶する申請作業内容蓄積部と、
前記業務処理装置から当該業務処理装置において実行された作業に関する情報を示すログデータを取得するとともに、前記作業端末から作業者により前記作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報を取得する情報取得部と、
前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部と、
前記情報取得部が取得した前記端末利用情報及び前記申請作業内容蓄積部から読み出した前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部と、
を備える、
ことを特徴とする不正アクセス検出システム。
【請求項３】
前記申請作業内容情報は、作業対象の前記業務処理装置の識別情報及び前記作業者の識別情報を含み、
前記ログデータは、前記業務処理装置に作業を指示した前記作業端末の識別情報と、当該作業端末から当該業務処理装置へのアクセスが開始された時刻及び前記アクセスが終了した時刻を示す作業時間とを含み、
前記作業端末は、
作業者により前記作業端末に入力された作業対象の前記業務処理装置の識別情報及び前記作業者の識別情報と、前記作業者が当該作業端末の利用を開始した時刻及び前記利用を終了した時刻を示す端末利用時間と、当該作業端末の識別情報とを含んだ端末利用情報を生成して前記不正アクセス検出装置に送信する端末利用情報転送部を備え、
前記ログデータ突合部は、前記端末利用情報により示される前記作業端末の識別情報と、前記端末利用情報内の前記業務処理装置の識別情報により特定される業務処理装置の前記ログデータにより示される前記作業端末の識別情報とが一致し、かつ、前記端末利用情報内の前記端末利用時間が示す前記作業端末の利用の開始から終了までの時間帯が前記ログデータ内の前記作業時間が示す前記作業端末からのアクセスの開始から終了までの時間帯を包含している場合に合致と判断し、
前記申請作業内容突合部は、前記端末利用情報により示される前記業務処理装置の識別情報及び前記作業者の識別情報と、前記申請作業内容情報により示される前記業務処理装置の識別情報及び前記作業者の識別情報とが一致している場合に合致と判断する、
ことを特徴とする請求項２に記載の不正アクセス検出システム。
【請求項４】
前記作業端末は、
作業者が入力した前記作業に関する情報を前記不正アクセス検出装置に送信する照合要求部と、
前記照合要求部が送信した前記作業に関する情報に対応して照合成功を受信した場合、業務処理を許可する規制解除部とを備え、
前記不正アクセス検出装置は、
前記作業端末から受信した前記作業に関する情報を含んだ前記申請作業内容情報が前記申請作業内容蓄積部に記憶されている場合に、前記作業端末へ照合成功を通知する照合処理部をさらに備える、
ことを特徴とする請求項２または請求項３に記載の不正アクセス検出システム。
【請求項５】
前記作業端末は、
前記作業に関する情報を入力させるための画面を表示部に全画面表示し、前記入力された作業に関する情報を受信する入力情報受信部をさら備え、
前記規制解除部は、前記照合要求部が送信した前記作業に関する情報に対応して前記照合成功を受信した場合、前記全画面表示を解除する、
ことを特徴とする請求項４に記載の不正アクセス検出システム。
【請求項６】
不正アクセス検出装置において実行される不正アクセス検出方法であって、
情報取得部が、許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得過程と、
ログデータ突合部が、前記情報取得過程において取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合過程と、
申請作業内容突合が、前記情報取得過程において取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合過程と、
を有することを特徴とする不正アクセス検出方法。
【請求項７】
不正アクセス検出装置として用いられるコンピュータを、
許可された作業に関する情報を示す申請作業内容情報と、業務処理装置において生成され、当該業務処理装置において実行された作業に関する情報を示すログデータと、作業端末において生成され、作業者により当該作業端末に入力された作業に関する情報及び当該作業端末において前記業務処理装置に対して指示した作業に関する情報を示す端末利用情報とを取得する情報取得部、
前記情報取得部が取得した前記ログデータ及び前記端末利用情報を突合して、前記ログデータにより示される前記作業に関する情報と前記端末利用情報により示される前記作業に関する情報とが合致しているかを判断し、合致する前記端末利用情報がないと判断された前記ログデータによって不正アクセスを検出するログデータ突合部、
前記情報取得部が取得した前記端末利用情報及び前記申請作業内容情報を突合して、前記端末利用情報により示される前記入力された作業に関する情報と、前記申請作業内容情報により示される前記許可された作業に関する情報とが合致しているかを判断し、合致する前記申請作業内容情報がないと判断された前記端末利用情報によって不正アクセスを検出する申請作業内容突合部、
として機能させることを特徴とするプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２０１２−１３３４０７（Ｐ２０１２−１３３４０７Ａ）
【公開日】平成２４年７月１２日（２０１２．７．１２）
【国際特許分類】
【出願番号】特願２０１０−２８２３６１（Ｐ２０１０−２８２３６１）
【出願日】平成２２年１２月１７日（２０１０．１２．１７）
【出願人】（３９７０６５４８０）エヌ・ティ・ティ・コムウェア株式会社 (187)
【Ｆターム（参考）】
【公開日】平成２４年７月１２日（２０１２．７．１２）
【国際特許分類】
【出願日】平成２２年１２月１７日（２０１０．１２．１７）
【出願人】（３９７０６５４８０）エヌ・ティ・ティ・コムウェア株式会社 (187)
【Ｆターム（参考）】
[ Back to top ]