不正アクセス検出装置、不正アクセス検出プログラム、および、不正アクセス検出方法
【課題】閲覧を制限すべき情報への不正アクセス行為があったことを事後的に、迅速に認識することができる不正アクセス検出装置を提供する。
【解決手段】閲覧を制限すべき制限情報を複数保持するサーバ２のアクセスログを取得し、ログファイルとして保持するログ保持部１０と、各制限情報と、各制限情報の閲覧を許可された権限ユーザと、を対応付けた閲覧許可情報を保持する閲覧許可情報保持部２０と、閲覧許可情報に基づいて、閲覧を許可されていないユーザによる不許可閲覧が行われたアクセスログを検出する不許可閲覧検出部３０と、その不許可閲覧の内容を示したポリシ違反ログを生成し、ログファイルに記録するポリシ違反ログ記録部４０と、権限ユーザから不許可閲覧の事後承認を受付ける事後承認受付部５０と、受付けた事後承認の内容をログファイルに記録する書込部６０と、を有する不正アクセス検出装置。
【解決手段】閲覧を制限すべき制限情報を複数保持するサーバ２のアクセスログを取得し、ログファイルとして保持するログ保持部１０と、各制限情報と、各制限情報の閲覧を許可された権限ユーザと、を対応付けた閲覧許可情報を保持する閲覧許可情報保持部２０と、閲覧許可情報に基づいて、閲覧を許可されていないユーザによる不許可閲覧が行われたアクセスログを検出する不許可閲覧検出部３０と、その不許可閲覧の内容を示したポリシ違反ログを生成し、ログファイルに記録するポリシ違反ログ記録部４０と、権限ユーザから不許可閲覧の事後承認を受付ける事後承認受付部５０と、受付けた事後承認の内容をログファイルに記録する書込部６０と、を有する不正アクセス検出装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正アクセス検出装置、不正アクセス検出プログラム、および、不正アクセス検出方法に関する。
【背景技術】
【０００２】
近年、ネットワークの普及により、あらゆる情報の共有化が図られている。しかし、個人情報保護等の観点から、自由な閲覧を制限すべき情報もある。
【０００３】
ネットワーク上におかれた情報の閲覧を制限する手段としては、その情報へのアクセスを特定のユーザだけに制限するアクセス制限が考えられる。しかし、緊急時の対応を考えると、アクセス制限を厳格に設けることができないケースがある。
【０００４】
医療分野を例に考えてみる。個人情報保護の観点からは、患者のカルテ等を含む個人情報は担当の医師のみが閲覧できるように厳格にアクセス制限を設けるのが望ましい。しかし、ある患者が担当外の医師に診てもらわなければならない緊急事態が発生した際に、その担当外の医師がその患者のカルテ等を含む個人情報を閲覧することができなければ、適切な処置を施せないという不都合が生じる恐れがある。このため、医療分野においては、患者の個人情報を担当の医師のみならず、担当外の医師も閲覧できるようにしておく必要がある。
【０００５】
上述のように、閲覧を制限すべき情報へのアクセス制限を厳格に設けることができないケース（例：医療分野）が存在するが、この場合においても、個人情報保護等の観点から、目的外の閲覧や使用等を厳格に取り締まる手段を設ける必要がある。
【０００６】
ここで、特許文献１には、閲覧を制限すべき情報へのアクセス制限を厳格には設けず、簡易に不正アクセスを検出するシステムが記載されている。具体的には、あるユーザが患者情報を記録する患者情報データベースにアクセスすると、そのアクセスログを取得し、このアクセスログに記載されている内容を用いて、そのアクセスが目的外の閲覧等の可能性のある不正アクセスであるか否かを判断する。そして、そのアクセスが不正アクセスであると判断すると、その旨を示す警告をアクセスしてきたユーザに対して報知する技術が記載されている。不正アクセスであるか否かを判断する手段としては、患者情報へアクセスする回数の傾向を職種別（放射線科医師、薬剤師等）に分析し、この分析結果を基に、職種別に患者情報へアクセスする回数の閾値を定める。そして、アクセスログを用いて、患者情報にアクセスしてきたユーザの職種およびそのユーザの患者情報へのアクセス回数の累積数を把握すると、その累積数がそのユーザの職種に定められた閾値を超えていないか判断する。判断の結果、閾値を超えている場合には、そのアクセスは不正アクセスであると判断する技術が記載されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−４８４１０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
確かに、特許文献１に記載の技術によれば、不正アクセスである可能性のあるユーザからのアクセスを検出し、そのユーザに対して警告を報知することができる。しかし、特許文献１に記載の技術は、不正アクセスでないユーザからのアクセスをも、不正アクセスとして検出し、警告を報知する可能性がある。このような警告は、緊急時に正当な理由でアクセスするユーザにとってわずらわしく感じられるほか、緊急の業務を円滑に処理する妨げになる恐れがある。
【０００９】
また、特許文献１に記載の技術は、あるユーザからのある患者情報へのアクセスを不正アクセスと判断し、そのユーザに警告を発した後に、そのユーザからその患者情報へのアクセスの続行を指示する入力を受付けると、その患者情報へのアクセスを続行するよう構成されている。すなわち、ユーザへの警告は有名無実化している。さらに、特許文献１に記載の技術には、不正アクセスと判断したアクセスを、他のユーザ（例：患者情報に不正アクセスされた患者の担当医師）が認識する技術が設けられていない。このような特許文献１に記載の技術の場合、不正アクセス行為を厳格に取り締まることはできない。
【００１０】
ここで、本発明者は、閲覧を制限すべき情報を保持するサーバのアクセスログを用いて不正アクセスがあったか否かを事後的に判断することで、事後的に不正アクセス行為があったことを認識し、事後的にその行為を取り締まる手段を考えた。しかし、アクセスログが膨大な量である場合、多量のアクセスログを記録したログファイルから、不正アクセスの可能性のあるアクセスログを見つけ出すのは容易でない。
【００１１】
本発明は、閲覧を制限すべき情報への不正アクセス行為があったことを事後的に、迅速に認識することができる不正アクセス検出装置、不正アクセス検出プログラム、および、不正アクセス検出方法を提供することを課題とする。
【課題を解決するための手段】
【００１２】
本発明によれば、閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持するログ保持部と、前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報を保持する閲覧許可情報保持部と、前記閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出する不許可閲覧検出部と、前記不許可閲覧検出部で検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録するポリシ違反ログ記録部と、前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付ける事後承認受付部と、前記事後承認受付部の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録する書込部と、を有する不正アクセス検出装置が提供される。
【００１３】
本発明では、前記ポリシ違反ログには、前記書込部が事後承認を受付けた旨を示す情報を記録するための事後承認用領域が設けられてもよい。
【００１４】
本発明では、前記事後承認受付部は、前記サーバにアクセスしてきた前記権限ユーザからのみ、不許可閲覧の事後承認を受付け、前記書込部は、前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログと、そのポリシ違反ログと、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録してもよい。
【００１５】
本発明では、前記ログファイルの各アクセスログおよび各ポリシ違反ログには、第二ハッシュ値が記録されており、前記書込部は、前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログに記録されている前記第二ハッシュ値と、そのポリシ違反ログに記録されている前記第二ハッシュ値と、を用いて算出された前記第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録してもよい。
【００１６】
本発明では、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出する不正閲覧抽出部を有し、前記不正閲覧抽出部は、前記ログファイルの中から前記ポリシ違反ログを抽出する第一抽出部と、前記第一抽出部に抽出された前記ポリシ違反ログの中から、前記事後承認を受けた旨を示す情報を記録されていない前記ポリシ違反ログを抽出する第二抽出部と、を有してもよい。
【００１７】
本発明では、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出する不正閲覧抽出部を有し、前記不正閲覧抽出部は、前記ログファイルの中から前記ポリシ違反ログを抽出する第一抽出部と、前記第一抽出部に抽出された前記ポリシ違反ログの中から、事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログを抽出する第二抽出部と、事後承認用領域に前記第一ハッシュ値が記録されている前記ポリシ違反ログそれぞれの前記第一ハッシュ値を用いて、それぞれの前記ポリシ違反ログの前記第一ハッシュ値の記録が不正になされたものか否かを判断する不正判断部と、前記不正判断部により事後承認用領域の記録は不正になされたものと判断された前記ポリシ違反ログを抽出する第三抽出部と、前記第二抽出部と前記第三抽出部により抽出された前記ポリシ違反ログを、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログとして抽出する第四抽出部と、を有してもよい。
【００１８】
本発明では、前記権限ユーザのアドレス情報を保持するアドレス情報保持部と、前記不許可閲覧検出部により不許可閲覧が行われた前記アクセスログが検出されるとその旨を、その不許可閲覧された制限情報の閲覧を許可されている前記権限ユーザに、前記アドレス情報を用いて通知する通知部と、を有してもよい。
【００１９】
本発明によれば、閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持するステップと、前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出するステップと、不許可閲覧が行われた前記アクセスログとして検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録するステップと、前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付けるステップと、前記事後承認の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録するステップと、をコンピュータに実行させる不正アクセス検出プログラムが提供される。
【００２０】
本発明では、前記ポリシ違反ログを生成し、記録するステップは、前記事後承認を受付けた旨を示す情報を記録するための事後承認用領域が設けられている前記ポリシ違反ログを生成し、前記ログファイルに記録するステップであり、前記事後承認を受付けるステップは、前記サーバにアクセスしてきた前記権限ユーザからのみ、不許可閲覧の事後承認を受付けるステップであり、前記事後承認を受けた旨を示す情報を記録するステップは、前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログと、そのポリシ違反ログと、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録するステップでもよい。
【００２１】
本発明では、前記ログファイルの各アクセスログおよび各ポリシ違反ログには、第二ハッシュ値が記録されており、前記事後承認を受けた旨を示す情報を記録するステップは、前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログに記録されている前記第二ハッシュ値と、そのポリシ違反ログに記録されている前記第二ハッシュ値と、を用いて算出された前記第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録するステップでもよい。
【００２２】
本発明では、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出するステップを有し、前記事後承認を受けていない前記ポリシ違反ログを抽出するステップは、前記ログファイルの中から前記ポリシ違反ログを抽出するステップと、前記抽出された前記ポリシ違反ログの中から、前記事後承認を受けた旨を示す情報が記録されていない前記ポリシ違反ログを抽出するステップと、を有してもよい。
【００２３】
本発明では、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出するステップを有し、前記事後承認を受けていない前記ポリシ違反ログを抽出するステップは、前記ログファイルの中から前記ポリシ違反ログを抽出するステップと、前記抽出された前記ポリシ違反ログの中から、事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログを抽出するステップと、事後承認用領域に前記第一ハッシュ値が記録されている前記ポリシ違反ログそれぞれの前記第一ハッシュ値を用いて、それぞれの前記ポリシ違反ログの前記第一ハッシュ値の記録が不正になされたものか否かを判断するステップと、事後承認用領域の記録は不正になされたものと判断された前記ポリシ違反ログを抽出するステップと、事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログ、および、事後承認用領域に不正に前記第一ハッシュ値が記録されている前記ポリシ違反ログ、を前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログとして抽出するステップと、を有してもよい。
【００２４】
本発明によれば、閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持する工程と、前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出する工程と、不許可閲覧が行われた前記アクセスログとして検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録する工程と、前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付ける工程と、前記事後承認の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録する工程と、を有する不正アクセス検出方法が提供される。
【００２５】
本発明では、閲覧を制限すべき情報である制限情報へのアクセスに対して、何らかのアクセス制限を設ける必要がない。このため、各ユーザは、何らの影響を及ぼされることなく制限情報を閲覧することができ、自己の業務を円滑に進めることが可能となる。
【００２６】
しかし、上述の場合、制限情報への不正アクセスが自由に行われてしまう恐れがある。そこで、本発明では、制限情報を複数保持するサーバのアクセスログを利用して、前記複数のアクセスログの中から、不正アクセスである可能性のある不許可閲覧を行ったアクセスログを、事後的に検出する。この構成によれば、事後的に不正アクセスである可能性のある不許可閲覧を特定でき、事後的に不正アクセスを取り締まることが可能となる。
【００２７】
なお、通常、アクセスログは膨大な量である場合が多く、多量のアクセスログを記録したログファイルから、不正アクセスである可能性のある不許可閲覧を行ったアクセスログを見つけ出すのは容易でない。
【００２８】
そこで、本発明では、不正アクセスである可能性のある不許可閲覧を行ったアクセスログを検出すると、その旨を示す情報（ポリシ違反ログ）を新たに生成し、ログファイルに記録する。この構成によれば、ログファイルの中からポリシ違反ログを抽出することで、容易に、不正アクセスである可能性のある不許可閲覧の内容を知ることができる。すなわち、ログファイルを用いての不正アクセス行為の監査などを、迅速に行うことが可能となる。
【００２９】
また、本発明では、権限あるユーザがポリシ違反ログとして記録されている不許可閲覧を事後的に不正アクセスでないと承認すると、ログファイルにその旨を示す情報が記録される。例えば、ログファイルの中の各ポリシ違反ログにその旨を示す情報が記録されてもよい。この構成によれば、ポリシ違反ログとして記録されている不許可閲覧の中の、権限あるユーザから事後的に承認を受けていない不許可閲覧のみを抽出することができる。しかも、この抽出は、ログファイルのみを用いて実現することができる。すなわち、不正アクセス行為の監査などにおいて取り扱うデータ量を少なくすることが可能となり、コンピュータの処理速度の向上、および、人的作業の処理効率の向上を実現することができる。
【００３０】
また、本発明では、ハッシュ関数を用いることで、前記ログファイルに記録される事後承認を示す情報を改ざん等ができないような構成とすることもできる。このような構成によれば、ログファイルを用いての不正アクセス行為の検出を、厳密に行うことが可能となる。
【発明の効果】
【００３１】
本発明によれば、閲覧を制限すべき情報への不正アクセス行為があったことを事後的に、迅速に認識することが可能となる。
【図面の簡単な説明】
【００３２】
【図１】実施形態１の不正アクセス検出装置の構成の一例を表すブロック図である。
【図２】実施形態１の不正アクセス検出装置の構成の一例を表すブロック図である。
【図３】実施形態１の不正アクセス検出装置の構成の一例を表すブロック図である。
【図４】アクセスログ（閲覧ログ）の一例を模式的に示した図である。
【図５】ポリシ違反ログの一例を模式的に示した図である。
【図６】アクセスログ（承認ログ）の一例を模式的に示した図である。
【図７】制限情報サーバの処理の流れの一例を示したフローチャート図である。
【図８】実施形態１の不正アクセス検出装置の処理の流れの一例を示したフローチャート図である。
【図９】実施形態２の不正アクセス検出装置の構成の一例を表すブロック図である。
【図１０】実施形態２のログファイルの一例を模式的に示した図である。
【図１１】実施形態２の第一ハッシュ値の一例を模式的に示した図である。
【発明を実施するための形態】
【００３３】
以下、本発明の実施の形態について、図面を用いて説明する。すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。
【００３４】
なお、各実施形態の不正アクセス検出装置を構成する各部は、任意のコンピュータのＣＰＵ、メモリ、メモリにロードされたプログラム（あらかじめ装置を出荷する段階からメモリ内に格納されているプログラムのほか、ＣＤなどの記憶媒体やインターネット上のサーバなどからダウンロードされたプログラムも含む）、そのプログラムを格納するハードディスクなどの記憶ユニット、ネットワーク接続用インタフェースを中心にハードウエアとソフトウエアの任意の組合せによって実現される。そして、その実現方法、装置にはいろいろな変形例があることは、当業者には理解されるところである。
【００３５】
また、各実施形態の説明において利用する図１、２、３、９の機能ブロック図は、ハードウエア単位の構成ではなく、機能単位のブロックを示している。本実施形態の不正アクセス検出装置は一つの物理的に分離した装置により実現されてもよいし、または、二つ以上の物理的に分離した装置を有線または無線で接続し、これら複数の装置により実現されてもよい。
＜実施形態１＞
【００３６】
図１に本実施形態の不正アクセス検出装置１の機能ブロック図を示す。図に示すように、本実施形態の不正アクセス検出装置１は、ログ保持部１０と、閲覧許可情報保持部２０と、不許可閲覧検出部３０と、ポリシ違反ログ記録部４０と、事後承認受付部５０と、書込部６０と、を有する。なお、不正閲覧抽出部７０を有してもよい。または、アドレス情報保持部８０および通知部９０を有してもよい。または、不正閲覧抽出部７０およびアドレス情報保持部８０および通知部９０を有してもよい。不正閲覧抽出部７０は、第一抽出部７１と第二抽出部７２を有する。
【００３７】
ここで、図１においては、不正アクセス検出装置１と、閲覧を制限すべき情報である制限情報を複数保持する制限情報サーバ２と、を物理的に分離した別の装置として構成し、互いに、有線または無線での通信ができるように構成した例を示している。しかし、本実施形態の不正アクセス検出装置１はこのような構成に限定されない。例えば、図２に示すように、不正アクセス検出装置１が制限情報サーバ２内に構成されてもよい。この構成は、例えば、本発明の不正アクセス検出プログラムを、制限情報サーバ２内で実行可能にインストールすることで実現してもよい。
【００３８】
また、その他の例としては、図３に示すように、物理的に分離した二つの装置（第一不正アクセス検出装置１Ａおよび第二不正アクセス検出装置１Ｂ）を有線または無線での通信ができるように構成し、これら二つの装置により不正アクセス検出装置を構成するようにしてもよい。なお、図１〜３の例はあくまで一例であり、その他の構成とすることも可能である。
【００３９】
次に、本実施形態の不正アクセス検出装置１を構成する各部について説明する。
【００４０】
ログ保持部１０は、閲覧を制限すべき情報である制限情報を複数保持するサーバ２（以下、単に「制限情報サーバ２」という）のアクセスログを取得し、ログファイルとして保持するよう構成されている。「制限情報」は、閲覧を制限する必要のあるあらゆる情報が該当し、その種類は特段制限されない。例えば、医療の分野において活用される、患者のカルテ等を含む患者情報であってもよい。この制限情報は、電子データとして、制限情報サーバ２に保持される。
【００４１】
制限情報サーバ２は、コンピュータネットワーク（図示せず）上におかれる。コンピュータネットワークとしては特段制限されず、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネット等が考えられる。この構成により、ユーザは、制限情報サーバ２に保持されている制限情報を閲覧することが可能となる。なお、制限情報サーバ２への厳格なアクセス制限は設けないが、一定のアクセス制限は設けるのが望ましい。この一定のアクセス制限により、制限情報サーバ２が保持する制限情報を閲覧する必要性を全く有さないユーザのアクセスを制限することが可能となる。このアクセス制限は、例えば、「ユーザＩＤ」および「パスワード」を入力させる手法で、実現してもよい。
【００４２】
ここで、制限情報サーバ２は、アクセスログを生成するアクセスログ生成部１００を有する。このアクセスログ生成部１００は、ユーザが制限情報にアクセスしたアクセスログ（以下、「閲覧ログ」という）、を生成する。なお、アクセスログ生成部１００は他の内容のアクセスログを生成してもよい。閲覧ログの内容としては特段制限されないが、「アクセスしたユーザを特定する情報」、「アクセスされた制限情報を特定する情報」を最低限含むよう構成される。さらに、「アクセスされた日時」、および／または、「アクセスされた制限情報の閲覧を許可されているユーザを特定する情報」を含んでもよい。さらに、他の内容を含んでもよい。
【００４３】
図４に、閲覧ログの一例を示す。図中、「ログの種類を識別するＩＤ」は、ログの種類を識別するためのＩＤである。図に示されている「Ａ１」の「Ａ」は、閲覧ログ（制限情報にアクセスしたアクセスログ）である旨を示すＩＤである。「１」は、時系列順に、閲覧ログに付されている通し番号である。「アクセス日時」は、制限情報にアクセスした日時である。「アクセスしたユーザを特定する情報」および「アクセスされた制限情報の閲覧を許可されているユーザを特定する情報」は、例えば、制限情報サーバ２にアクセスするユーザごとに割り振られたユーザＩＤであってもよい。「アクセスされた制限情報を特定する情報」は、例えば、あらかじめ制限情報ごとに割り振られた制限情報ＩＤであってもよい。
【００４４】
アクセスログ生成部１００が閲覧ログを生成するために「アクセスしたユーザを特定する情報」を取得する手段としては、例えば、制限情報サーバ２にアクセスするユーザに対して「ユーザＩＤ」の入力を義務付け、入力を受付けたユーザＩＤを取得することで実現してもよい。なお、なりすまし防止の観点からは、「ユーザＩＤ」のみならず、「パスワード」等もあわせて入力させるのが望ましい。次に、「アクセスされた制限情報を特定する情報」を取得する手段しては、アクセスされた制限情報にあらかじめ割り振られた制限情報ＩＤを、その制限情報のファイル名としておき、アクセスされたファイル名を取得することで実現してもよい。「アクセスされた日時」を取得する手段としては、制限情報へのアクセスを受付けたのをトリガに、例えばサーバ内に内蔵された時計から、その時の日時情報を取得することで実現してもよい。「アクセスされた制限情報の閲覧を許可されているユーザを特定する情報」を取得する手段としては、以下で説明する閲覧許可情報保持部２０が保持する閲覧許可情報（制限情報と、各制限情報の閲覧を許可された権限ユーザと、を対応付けた情報）から、所望の情報を取得することで実現してもよい。なお、上述の例はあくまで一例であり、その他の手段で各情報を取得するよう構成されてもよい。
【００４５】
不正アクセス検出装置１は、制限情報サーバ２と有線または無線での通信ができるよう構成される。そして、ログ保持部１０は、制限情報サーバ２のアクセスログ生成部１００が生成したアクセスログを取得すると、取得したアクセスログを時系列順に蓄積し、ログファイルとして保持する。なお、ログ保持部１０が制限情報サーバ２からアクセスログを取得するタイミングとしては特段制限されず、一定時間ごとに取得してもよいし（バッチ処理）、または、アクセスログ生成部１００がアクセスログを生成するごとに取得してもよい（リアルタイム処理）。
【００４６】
閲覧許可情報保持部２０は、制限情報サーバ２が保持する複数の制限情報それぞれを特定する情報と、それぞれの制限情報の閲覧を許可されたユーザである権限ユーザを特定する情報と、を対応付けた閲覧許可情報を保持するよう構成されている。「複数の制限情報それぞれを特定する情報」は、例えば、あらかじめ制限情報ごとに割り振られた制限情報ＩＤであってもよい。また、「権限ユーザを特定する情報」は、あらかじめ、制限情報サーバ２にアクセスするユーザごとに割り振られたユーザＩＤであってもよい。すなわち、閲覧許可情報は、複数の制限情報それぞれの制限情報ＩＤと、それぞれの制限情報の閲覧を許可された権限ユーザのユーザＩＤと、を対応付けたテーブルであってもよい。なお、閲覧許可情報は、前記テーブル形式の情報でなく、各制限情報のメタデータに権限ユーザを特定する情報を書き込んだ形式の情報であってもよい。この閲覧許可情報保持部２０は、制限情報を保持する制限情報サーバ２内に構成されてもよい。
【００４７】
不許可閲覧検出部３０は、閲覧許可情報保持部２０が保持する閲覧許可情報に基づいて、ログ保持部１０が保持する複数のアクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われたアクセスログを検出するよう構成されている。検出の具体的処理としては特段制限されないが、以下のような処理であってもよい。
【００４８】
例えば、閲覧許可情報に基づいて、図４に示すような、「アクセスしたユーザを特定する情報」および「アクセスされた制限情報の閲覧を許可されているユーザを特定する情報」のいずれをも含む閲覧ログを生成するよう構成している場合には、不許可閲覧検出部３０は、ログ保持部１０が保持するアクセスログの中から閲覧ログを抽出すると、各閲覧ログの「アクセスしたユーザを特定する情報」および「アクセスされた制限情報の閲覧を許可されているユーザを特定する情報」を比較し、これらの情報が一致しない閲覧ログを、閲覧を許可されていないユーザによる不許可閲覧が行われたアクセスログとして検出してもよい。
【００４９】
その他には、例えば、不許可閲覧検出部３０は、ログ保持部１０が保持するアクセスログの中から閲覧ログを抽出すると、閲覧ログごとに、ログの内容に含まれる「アクセスしたユーザを特定する情報（例：ユーザＩＤ）」と「アクセスされた制限情報を特定する情報（例：制限情報ＩＤ）」とを取得する（図４参照）。そして、取得した情報の組合せが、「権限ユーザを特定する情報（例：ユーザＩＤ）」と「その権限ユーザが閲覧を許可されている制限情報を特定する情報（例：制限情報ＩＤ）」を対応付けた閲覧許可情報内に存在するか否かを判断し、存在しないと判断された組合せを内容に含む閲覧ログを、閲覧を許可されていないユーザによる不許可閲覧が行われたアクセスログとして検出してもよい。
【００５０】
不許可閲覧検出部３０による不許可閲覧が行われたアクセスログを検出する処理は、一定時間ごとに行われてもよいし（バッチ処理）、または、ログ保持部１０がアクセスログをリアルタイム処理で取得する場合には、ログ保持部１０がアクセスログを取得するごとに行われてもよい（リアルタイム処理）。
【００５１】
ポリシ違反ログ記録部４０は、不許可閲覧検出部３０で不許可閲覧が行われたアクセスログとして検出されたアクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、ログ保持部１０が保持するログファイルに記録するよう構成されている。
【００５２】
図５に、ポリシ違反ログの一例を示す。図中、「ログの種類を識別するＩＤ」は、ログの種類を識別するためのＩＤであり、図に示されている「Ｐ１」の「Ｐ」は、ポリシ違反ログである旨を示すＩＤである。このポリシ違反ログには、「不許可閲覧したユーザを特定する情報（ユーザＩＤ）」、「不許可閲覧された制限情報を特定する情報（例：制限情報ＩＤ）」、「不許可閲覧された日時」、「不許可閲覧された制限情報の閲覧を許可されているユーザを特定する情報（例：ユーザＩＤ）」、「ポリシ違反番号」が含まれている。「ポリシ違反番号」は、時系列順に、不許可閲覧行為に対して付されている通し番号である。なお、このログの内容はあくまで一例であり、不許可閲覧の内容を示す情報としてどのような内容を含めるかは任意の設計事項である。なお、図に示すように、ポリシ違反ログには、以下で説明する書込部６０が、権限ユーザから事後承認を受付けた旨を示す情報を記録するための事後承認用領域が設けられていてもよい。本実施形態の事後承認用領域のビット数は特段制限されず、例えば１ビットであってもよい。かかる場合、事後承認を受付ける前は「０」、事後承認を受付けると「１」が記録されるよう構成されてもよい。
【００５３】
事後承認受付部５０は、ポリシ違反ログに示される不許可閲覧をされた制限情報の権限ユーザから、その不許可閲覧の事後承認を受付けるよう構成されている。「制限情報の権限ユーザ」とは、その制限情報の閲覧を許可された権限ユーザのことである。「事後承認」とは、その不許可閲覧は、不正な目的での閲覧（不正閲覧）でないことを、事後的に承認することである。権限ユーザは、不許可閲覧を行ったユーザ、不許可閲覧された制限情報、不許可閲覧された日時などを基に、その不許可閲覧を承認するか否か判断することができる。
【００５４】
権限ユーザから事後承認を受付ける手段としては特段制限されず、例えば、不正アクセス検出装置１に入力ボタン、キーボード、タッチパネルディスプレイ、マウス、などの入力デバイスを設けておき、事後承認受付部５０はこの入力デバイスを介して、事後承認する不許可閲覧を特定する情報（ポリシ違反ログを特定する情報、ポリシ違反番号等）、および、事後承認する旨の入力を受付けてもよい。かかる手段の場合、事後承認受付部５０は受付けた事後承認の内容を記載したログを生成し、ログ保持部１０が保持するログファイル内に記録してもよい。
【００５５】
その他の手段としては、例えば、制限情報サーバ２が、当該制限情報サーバ２にアクセスしてきた権限ユーザから、上述の手段等を用いて事後承認の入力を受付けるよう構成し、アクセスログ生成部１００は、この事後承認の内容を示したアクセスログ（以下、「承認ログ」という）を生成するよう構成する。そして、事後承認受付部５０は、アクセスログ生成部１００からアクセスログを取得し、ログファイルとして保持しているログ保持部１０から、上述の承認ログを取得することで、権限ユーザからの事後承認を受付けてもよい。
【００５６】
図６に、承認ログの一例を示す。図中、「ログの種類を識別するＩＤ」は、ログの種類を識別するためのＩＤであり、図に示されている「Ｓ１」の「Ｓ」は、承認ログ（事後承認の内容を示したアクセスログ）である旨を示すＩＤである。「アクセス日時」は、権限ユーザが事後承認の入力を行った日時である。アクセスログに含まれる「事後承認されたポリシ違反番号」は、制限情報サーバ２にアクセスしてきた権限ユーザが、事後承認する不許可閲覧を特定するために入力したポリシ違反番号に従い、記載される。なお、制限情報サーバ２にアクセスしてきた権限ユーザが、事後承認する不許可閲覧を特定する情報として、ポリシ違反ログＩＤを入力するよう構成した場合には、「事後承認されたポリシ違反番号」の代わりに、「事後承認されたポリシ違反ログＩＤ」が記載されてもよい。
【００５７】
書込部６０は、事後承認受付部５０の受付に応じて、ログファイルに、不許可閲覧は事後承認を受けた旨を示す情報を記録するよう構成されている。具体的には、本実施形態の書込部６０は、事後承認受付部５０から、事後承認された不許可閲覧を特定する情報（例：ポリシ違反番号、ポリシ違反ログＩＤ）を取得すると、ログファイルに、いずれのポリシ違反ログで示される不許可閲覧が事後承認されたかを識別可能な情報を記録する。例えば、各ポリシ違反ログに事後承認用領域が設けられている場合には、事後承認された不許可閲覧を特定する情報を用いてログファイル中の事後承認された不許可閲覧を示すポリシ違反ログを検出し、そのポリシ違反ログの事後承認用領域に、事後承認された旨の記録を行う。
【００５８】
不正閲覧抽出部７０は、権限ユーザの事後承認を受けていない不許可閲覧を示すポリシ違反ログを抽出するよう構成されている。この構成を実現するため、不正閲覧抽出部７０は、第一抽出部７１と第二抽出部７２を有する。
【００５９】
第一抽出部７１は、ログファイルの中からポリシ違反ログを抽出するよう構成されている。この処理は、例えば、ポリシ違反ログであることを示す「ログの種類を識別するＩＤ」をキーとしてログファイル内を検索することで実現してもよい。
【００６０】
第二抽出部７２は、第一抽出部７１に抽出されたポリシ違反ログの中から、事後承認を受けた旨を示す情報を記録されていないポリシ違反ログを抽出するよう構成されている。この処理は、例えば、ポリシ違反ログに含まれる事後承認用領域の記載内容を判別することで実現してもよい。
【００６１】
上述の構成により、本実施形態の不正アクセス検出装置は、閲覧を制限すべき情報への不正アクセス行為である可能性のある不許可閲覧行為があったことを事後的に、迅速に認識することが可能となる。
【００６２】
また、権限ユーザにより事後承認された不許可閲覧行為は除いて、事後承認されていない不許可閲覧行為のみを事後的に、迅速に認識することも可能となる。かかる場合、不許可閲覧として扱うデータ数を真に必要なものに絞り込むことが可能となるので、コンピュータ上のデータ処理速度の向上が図られるほか、不正アクセスを監査する人間の作業効率も向上させることが可能となる。
【００６３】
ここで、本実施形態の不正アクセス検出装置は、権限ユーザが、自己が閲覧を許可されている制限情報を不許可閲覧された事実を認識する手段を備えてもよい。この手段は、アドレス情報保持部８０、および、通知部９０により実現される。
【００６４】
アドレス情報保持部８０は、権限ユーザのアドレス情報を保持するよう構成されている。すなわち、アドレス情報保持部８０は、権限ユーザを特定する情報（例：ユーザＩＤ）と、その権限ユーザのアドレス情報と、を対応付けたデータを保持する。アドレス情報としては、例えば、メールアドレス、電話番号、ＦＡＸ番号などが考えられる。
【００６５】
通知部９０は、不許可閲覧検出部３０により不許可閲覧が行われたアクセスログが検出されるとその旨を、その不許可閲覧された制限情報の閲覧を許可されている権限ユーザに通知するよう構成されている。この通知は、アドレス情報保持部８０が保持するアドレス情報を用いて実現される。通知の手段としては、Ｅメール、ＦＡＸ、電話などが考えられる。通知内容としては特段制限されず、単に、不許可閲覧されたことを通知するものであってもよいし、不許可閲覧の内容（不許可閲覧したユーザ、不許可閲覧された制限情報を識別する情報等）をも併せて通知するものであってもよい。なお、不許可閲覧の内容をも併せて通知する場合には、通知部９０は、通知を行うための雛型データをあらかじめ保持しておき、この雛型データに、必要な情報（不許可閲覧の内容）を埋め込んで通知を行うための通知データを作成し、通知を行ってもよい。雛型データは、通知手段に応じて、テキストデータ、音声データ等、適宜選択できる。
【００６６】
通知すべき権限ユーザを特定する手段としては、不許可閲覧検出部３０により検出されたアクセスログ（図４参照）、または、そのアクセスログをもとに生成されたポリシ違反ログ（図５参照）を用いて実現してもよい。または、不許可閲覧検出部３０により検出されたアクセスログ（図４参照）および閲覧許可情報を用いて実現してもよい。なお、権限ユーザによる事後承認は、制限情報サーバ２にアクセスして行われるよう構成する場合には、あわせて制限情報サーバ２のアドレス情報（ＵＲＬ等）も通知してもよい。
【００６７】
上述のアドレス情報法保持部８０および通知部９０の構成によれば、自己が閲覧を許可されている制限情報を不許可閲覧された権限ユーザに、その事実を認識させることが可能となり、その結果、事後承認の処理を促すことができる。
【００６８】
ここで、図３に示す構成について説明する。図３では、不正アクセス検出装置を物理的に分離した二つの装置（第一不正アクセス検出装置１Ａおよび第二不正アクセス検出装置１Ｂ）で構成し、また、不正アクセス検出装置と制限情報サーバ２とを物理的に分離した別の装置として構成している。このような構成の適用例としては、例えば、以下のようなものが考えられる。制限情報サーバ２で生成したアクセスログを長期的に保存するためのログサーバとして第二不正アクセス検出装置１Ｂを利用する。そして、制限情報サーバ２とログサーバ（第二不正アクセス検出装置１Ｂ）との間に、アクセスログを編集する装置（第一不正アクセス検出装置１Ａ）を設ける。なお、図３の第二不正アクセス検出装置１Ｂに記載されている記憶部１１０は、電子データを長期的に記憶するよう構成されている。
【００６９】
次に、本実施形態の処理の流れの一例について、図７、８のフローチャート図を用いて説明する。ここでは、図１に示すように不正アクセス検出装置１および制限情報サーバ２を構成した場合を例に、バッチ処理する処理の流れを説明する。なお、図１以外の構成にした場合も、以下で説明する処理の流れに準じて、処理を実行することができる。
【００７０】
図７は制限情報サーバの処理の流れの一例を示す。
【００７１】
まず、ユーザからのアクセス待機状態の制限情報サーバは、制限情報へのアクセスを検知すると（Ｓ７０１のＹｅｓ）、その旨を示すアクセスログ（閲覧ログ：図４参照）を生成し、蓄積する（Ｓ７０２）。また、ユーザからのアクセス待機状態の制限情報サーバは、自己が閲覧を許可されている制限情報を不許可閲覧された権限ユーザが、その不許可閲覧を事後承認するために制限情報サーバにアクセスし、事後承認を行ったことを検知すると（Ｓ７０３のＹｅｓ）、その旨を示すアクセスログ（承認ログ：図６参照）を生成し、蓄積する（Ｓ７０４）。
【００７２】
その後、蓄積したアクセスログを不正アクセス検出装置に送信する所定のタイミングになるまで、上述の処理を繰り返す（Ｓ７０５のＮｏ）。そして、蓄積したアクセスログを不正アクセス検出装置に送信する所定のタイミングになると（Ｓ７０５のＹｅｓ）、制限情報サーバは、蓄積したアクセスログを不正アクセス検出装置に送信する（Ｓ７０６）。この送信後、制限情報サーバに蓄積されている送信されたアクセスログは消去されてもよい。
【００７３】
図８は、不正アクセス検出装置の処理の流れの一例を示す。
【００７４】
不正アクセス検出装置は、制限情報サーバからアクセスログを受信すると（Ｓ８０１のＹｅｓ）、受信したアクセスログをログファイルとして蓄積する（Ｓ８０２）。
【００７５】
その後、蓄積されているログファイルの中の、ステップＳ８０１で新たに受信したアクセスログの中から、閲覧ログを抽出する（Ｓ８０３）。そして、ステップＳ８０３で抽出した閲覧ログの中に、不許可閲覧したことを示すアクセスログがないか検索する（Ｓ８０４）。
【００７６】
ステップＳ８０４での検索の結果、不許可閲覧したことを示すアクセスログがある場合には（Ｓ８０５のＹｅｓ）、そのアクセスログに記載されている内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、ログファイルに記録する。この処理は、ステップＳ８０４で検出されたすべての不許可閲覧したことを示すアクセスログに対して行われる（Ｓ８０６）。
【００７７】
その後、蓄積されているログファイルの中の、ステップＳ８０１で新たに受信したアクセスログの中から、承認ログがないか検索する（Ｓ８０７）。
【００７８】
ステップＳ８０７での検索の結果、承認ログがある場合には（Ｓ８０８のＹｅｓ）、そのアクセスログに記載されている内容を利用して、事後承認された不許可閲覧を示すポリシ違反ログを特定し（Ｓ８０９）、特定したポリシ違反ログの事後承認用領域に、事後承認されたことを示す情報を記録する。この処理は、ステップＳ８０７で検出されたすべての事後承認したことを示すアクセスログに対して行われる（Ｓ８１０）。
＜実施形態２＞
【００７９】
図９に本実施形態の不正アクセス検出装置１の機能ブロック図を示す。図に示すように、本実施形態の不正アクセス検出装置１は、ログ保持部１０と、閲覧許可情報保持部２０と、不許可閲覧検出部３０と、ポリシ違反ログ記録部４０と、事後承認受付部５０と、書込部６０と、を有する。なお、不正閲覧抽出部７０を有してもよい。または、アドレス情報保持部８０および通知部９０を有してもよい。または、不正閲覧抽出部７０およびアドレス情報保持部８０および通知部９０を有してもよい。不正閲覧抽出部７０は、第一抽出部７１と第二抽出部７２と第三抽出部７３と第四抽出部７４と不正判断部７５とを有する。
【００８０】
なお、本実施形態の不正アクセス検出装置１の構成は図９に示すものに限定されず、実施形態１と同様、その他の構成とすることも可能である。ここでの他の構成の例示は省略する。
【００８１】
本実施形態の不正アクセス検出装置１は、実施形態１の不正アクセス検出装置１を基本とし、以下の点で異なる。なお、本実施形態の制限情報サーバ２は、実施形態１の制限情報サーバ２と同様であるので、ここでの説明は省略する。
【００８２】
本実施形態の事後承認受付部５０は、制限情報サーバ２にアクセスしてきた権限ユーザからのみ、不許可閲覧の事後承認を受付けるよう構成される。具体的構成例については、実施形態１で説明したので、ここでの詳細な説明は省略する。
【００８３】
本実施形態の書込部６０は、ポリシ違反ログに示される不許可閲覧を事後承認したアクセスログ（承認ログ：図６参照）と、そのポリシ違反ログ（図５参照）と、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録するよう構成される。ハッシュ値とは、任意に定められたハッシュ関数から算出される値のことである。第一ハッシュ値は、任意に定められたハッシュ関数（ｈ（ｘ、ｙ））に、承認ログおよびポリシ違反ログ、の内容を示すデータとしてそれぞれのログに記録されている値を代入して求められる値である。
【００８４】
なお、本実施形態の不正アクセス検出装置１は、ログファイルの各アクセスログ（制限情報にアクセスしたログおよび承認ログ）および各ポリシ違反ログに第二ハッシュ値が記録されていてもよい。そして、本実施形態の書込部６０は、承認ログに記録されている第二ハッシュ値と、事後承認された不許可閲覧を示すポリシ違反ログに記録されている第二ハッシュ値と、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの事後承認用領域に記録するよう構成されてもよい。第二ハッシュ値は、例えば、任意に定められたハッシュ関数（ｈ（ｘ、ｙ））に、そのログ、および、ログファイルの中のそのログの一つ前のログ、の内容を示すデータとしてそれぞれのログに記録されている値を代入して求められる値であってもよい。第二ハッシュ値を算出するためのハッシュ関数と第一ハッシュ値を算出するためのハッシュ関数は、同一であってもよいし、異なっていてもよい。
【００８５】
図１０に、本実施形態のログファイルの一例を模式的に示す。この例の場合、各ログには、ログの内容を記載した領域（図４、５、６参照）の隣に、第二ハッシュ値を記載する領域が設けられている。そしてこの領域には、各ログおよびそのログの一つ前のログの内容（各ログの「ログの内容を記載した領域」に記録されている値）をハッシュ関数（ｈ（ｘ、ｙ））に代入して求められた第二ハッシュ値が記録されている。また、図１０の例では、ポリシ違反ログ（Ｐで始まるログ）に、事後承認用領域が設けられている。無許可閲覧を事後承認されていないポリシ違反ログ（図中、Ｐ１８ではじまるログ）の場合、事後承認用領域には、事後承認されていないことを示す情報、例えば「０」が並んでいる（ビット数は任意の設計事項）。そして、無許可閲覧を事後承認されたポリシ違反ログ（図中、Ｐ１ではじまるログ）の場合、事後承認用領域には、そのポリシ違反ログ（図中、Ｐ１ではじまるログ）およびその無許可閲覧を事後承認した承認ログ（図中、Ｓ１ではじまるログ）の内容（各ログの「ログの内容を記載した領域」に記録されている値）をハッシュ関数（ｈ（ｘ、ｙ））に代入して求められた第一ハッシュ値が記録されている。なお、この第一ハッシュ値は、図１１に示すように、そのポリシ違反ログ（図中、Ｐ１ではじまるログ）およびその無許可閲覧を事後承認した承認ログ（図中、Ｓ１ではじまるログ）の第二ハッシュ値をハッシュ関数（ｈ（ｘ、ｙ））に代入して求められた値であってもよい。
【００８６】
本実施形態の不正閲覧抽出部７０は、権限ユーザの事後承認を受けていない不許可閲覧を示すポリシ違反ログを抽出するよう構成されている。この構成を実現するため、本実施形態の不正閲覧抽出部７０は、第一抽出部７１と第二抽出部７２と第三抽出部７３と第四抽出部７４と不正判断部７５とを有する。
【００８７】
第一抽出部７１は、ログファイルの中からポリシ違反ログを抽出するよう構成されている。この処理は、例えば、ポリシ違反ログであることを示す「ログの種類を識別するＩＤ」をキーとしてログファイル内を検索することで実現してもよい。
【００８８】
第二抽出部７２は、第一抽出部７１に抽出されたポリシ違反ログの中から、事後承認を受けた旨を示す情報を記録されていないポリシ違反ログ、すなわち事後承認用領域に第一ハッシュ値が記録されていないポリシ違反ログを抽出するよう構成されている。なお、この抽出を実現するため、事後承認されていないポリシ違反ログの事後承認用領域には、事後承認されていない旨を示す情報（例：「００００００」）が記録されている。そして、第二抽出部７２は、事後承認用領域に、事後承認されていない旨を示す情報（例：「００００００」）が記録されているポリシ違反ログを抽出することで、事後承認用領域に第一ハッシュ値が記録されていないポリシ違反ログを抽出する。
【００８９】
不正判断部７５は、事後承認用領域に第一ハッシュ値が記録されているポリシ違反ログそれぞれの第一ハッシュ値を用いて、それぞれのポリシ違反ログの第一ハッシュ値の記録が不正になされたものか否かを判断するよう構成されている。
【００９０】
すなわち、不正判断部７５は、まず、事後承認用領域に、事後承認されていない旨を示す情報（例：「００００００」）が記録されていないポリシ違反ログを抽出する。そして、次に、各ポリシ違反ログに示される不許可閲覧を事後承認した承認ログを抽出する。この承認ログの抽出は、例えば、承認ログ（図６参照）およびポリシ違反ログ（図５参照）に記録されているポリシ違反番号をキーとして、ログファイルを検索することで実現してもよい。なお、ポリシ違反番号をキーとした抽出例はあくまで一例であり、任意に設計可能なログの内容に応じ、他の情報をキーとした検索で実現してもよい。
【００９１】
その後、不正判断部７５は、そのポリシ違反ログ（図１０中、Ｐ１ではじまるログ）およびその無許可閲覧を事後承認した承認ログ（図１０中、Ｓ１ではじまるログ）の内容（各ログの「ログの内容を記載した領域」に記録されている値）をハッシュ関数（ｈ（ｘ、ｙ））に代入して、第一ハッシュ値を算出する。そして、算出した第一ハッシュ値と、そのポリシ違反ログの事後承認用領域に記録されている第一ハッシュ値とを比較する。比較の結果、同一であれば、そのポリシ違反ログの事後承認用領域に記録されている第一ハッシュ値は正当な記録であると判断する。一方、同一でなければ、そのポリシ違反ログの事後承認用領域に記録されている第一ハッシュ値は不正な記録であると判断する。
【００９２】
なお、事後承認用領域に、ポリシ違反ログ（図１０中、Ｐ１ではじまるログ）およびその無許可閲覧を事後承認した承認ログ（図１０中、Ｓ１ではじまるログ）の第二ハッシュ値をハッシュ関数（ｈ（ｘ、ｙ））に代入して求められた値が記録されるよう構成した場合も、上述の処理に準じて、不正判断部７５は、各ポリシ違反ログの第二ハッシュ値の記録が不正になされたものか否か判断する。
【００９３】
第三抽出部７３は、不正判断部７５により事後承認用領域の記録は不正になされたものと判断されたポリシ違反ログを抽出するよう構成されている。
【００９４】
第四抽出部７４は、第二抽出部７２と第三抽出部７３により抽出されたポリシ違反ログを、権限ユーザの事後承認を受けていない不許可閲覧を示すポリシ違反ログとして抽出するよう構成されている。
【００９５】
本実施形態の不正アクセス検出装置によれば、事後承認用領域に不正な手段により何らかの値が記録されたり改ざんされたりしても、その不正行為を検知することができる。その結果、ログファイルを用いての不正アクセス行為の検出を、厳密に行うことが可能となる。
【００９６】
上述の実施形態１および２の説明により、本発明の不正アクセス検出装置、不正アクセス検出プログラム、および、不正アクセス検出方法の開示がなされた。
【符号の説明】
【００９７】
１ 不正アクセス検出装置
１Ａ 第一不正アクセス検出装置
１Ｂ 第二不正アクセス検出装置
２ 制限情報サーバ
１０ ログ保持部
２０ 閲覧許可情報保持部
３０ 不許可閲覧検出部
４０ ポリシ違反ログ記録部
５０ 事後承認受付部
６０ 書込部
７０ 不正閲覧抽出部
７１ 第一抽出部
７２ 第二抽出部
７３ 第三抽出部
７４ 第四抽出部
７５ 不正判断部
８０ アドレス情報保持部
９０ 通知部
１００ アクセスログ生成部
１１０ 記憶部
【技術分野】
【０００１】
本発明は、不正アクセス検出装置、不正アクセス検出プログラム、および、不正アクセス検出方法に関する。
【背景技術】
【０００２】
近年、ネットワークの普及により、あらゆる情報の共有化が図られている。しかし、個人情報保護等の観点から、自由な閲覧を制限すべき情報もある。
【０００３】
ネットワーク上におかれた情報の閲覧を制限する手段としては、その情報へのアクセスを特定のユーザだけに制限するアクセス制限が考えられる。しかし、緊急時の対応を考えると、アクセス制限を厳格に設けることができないケースがある。
【０００４】
医療分野を例に考えてみる。個人情報保護の観点からは、患者のカルテ等を含む個人情報は担当の医師のみが閲覧できるように厳格にアクセス制限を設けるのが望ましい。しかし、ある患者が担当外の医師に診てもらわなければならない緊急事態が発生した際に、その担当外の医師がその患者のカルテ等を含む個人情報を閲覧することができなければ、適切な処置を施せないという不都合が生じる恐れがある。このため、医療分野においては、患者の個人情報を担当の医師のみならず、担当外の医師も閲覧できるようにしておく必要がある。
【０００５】
上述のように、閲覧を制限すべき情報へのアクセス制限を厳格に設けることができないケース（例：医療分野）が存在するが、この場合においても、個人情報保護等の観点から、目的外の閲覧や使用等を厳格に取り締まる手段を設ける必要がある。
【０００６】
ここで、特許文献１には、閲覧を制限すべき情報へのアクセス制限を厳格には設けず、簡易に不正アクセスを検出するシステムが記載されている。具体的には、あるユーザが患者情報を記録する患者情報データベースにアクセスすると、そのアクセスログを取得し、このアクセスログに記載されている内容を用いて、そのアクセスが目的外の閲覧等の可能性のある不正アクセスであるか否かを判断する。そして、そのアクセスが不正アクセスであると判断すると、その旨を示す警告をアクセスしてきたユーザに対して報知する技術が記載されている。不正アクセスであるか否かを判断する手段としては、患者情報へアクセスする回数の傾向を職種別（放射線科医師、薬剤師等）に分析し、この分析結果を基に、職種別に患者情報へアクセスする回数の閾値を定める。そして、アクセスログを用いて、患者情報にアクセスしてきたユーザの職種およびそのユーザの患者情報へのアクセス回数の累積数を把握すると、その累積数がそのユーザの職種に定められた閾値を超えていないか判断する。判断の結果、閾値を超えている場合には、そのアクセスは不正アクセスであると判断する技術が記載されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−４８４１０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
確かに、特許文献１に記載の技術によれば、不正アクセスである可能性のあるユーザからのアクセスを検出し、そのユーザに対して警告を報知することができる。しかし、特許文献１に記載の技術は、不正アクセスでないユーザからのアクセスをも、不正アクセスとして検出し、警告を報知する可能性がある。このような警告は、緊急時に正当な理由でアクセスするユーザにとってわずらわしく感じられるほか、緊急の業務を円滑に処理する妨げになる恐れがある。
【０００９】
また、特許文献１に記載の技術は、あるユーザからのある患者情報へのアクセスを不正アクセスと判断し、そのユーザに警告を発した後に、そのユーザからその患者情報へのアクセスの続行を指示する入力を受付けると、その患者情報へのアクセスを続行するよう構成されている。すなわち、ユーザへの警告は有名無実化している。さらに、特許文献１に記載の技術には、不正アクセスと判断したアクセスを、他のユーザ（例：患者情報に不正アクセスされた患者の担当医師）が認識する技術が設けられていない。このような特許文献１に記載の技術の場合、不正アクセス行為を厳格に取り締まることはできない。
【００１０】
ここで、本発明者は、閲覧を制限すべき情報を保持するサーバのアクセスログを用いて不正アクセスがあったか否かを事後的に判断することで、事後的に不正アクセス行為があったことを認識し、事後的にその行為を取り締まる手段を考えた。しかし、アクセスログが膨大な量である場合、多量のアクセスログを記録したログファイルから、不正アクセスの可能性のあるアクセスログを見つけ出すのは容易でない。
【００１１】
本発明は、閲覧を制限すべき情報への不正アクセス行為があったことを事後的に、迅速に認識することができる不正アクセス検出装置、不正アクセス検出プログラム、および、不正アクセス検出方法を提供することを課題とする。
【課題を解決するための手段】
【００１２】
本発明によれば、閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持するログ保持部と、前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報を保持する閲覧許可情報保持部と、前記閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出する不許可閲覧検出部と、前記不許可閲覧検出部で検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録するポリシ違反ログ記録部と、前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付ける事後承認受付部と、前記事後承認受付部の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録する書込部と、を有する不正アクセス検出装置が提供される。
【００１３】
本発明では、前記ポリシ違反ログには、前記書込部が事後承認を受付けた旨を示す情報を記録するための事後承認用領域が設けられてもよい。
【００１４】
本発明では、前記事後承認受付部は、前記サーバにアクセスしてきた前記権限ユーザからのみ、不許可閲覧の事後承認を受付け、前記書込部は、前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログと、そのポリシ違反ログと、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録してもよい。
【００１５】
本発明では、前記ログファイルの各アクセスログおよび各ポリシ違反ログには、第二ハッシュ値が記録されており、前記書込部は、前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログに記録されている前記第二ハッシュ値と、そのポリシ違反ログに記録されている前記第二ハッシュ値と、を用いて算出された前記第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録してもよい。
【００１６】
本発明では、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出する不正閲覧抽出部を有し、前記不正閲覧抽出部は、前記ログファイルの中から前記ポリシ違反ログを抽出する第一抽出部と、前記第一抽出部に抽出された前記ポリシ違反ログの中から、前記事後承認を受けた旨を示す情報を記録されていない前記ポリシ違反ログを抽出する第二抽出部と、を有してもよい。
【００１７】
本発明では、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出する不正閲覧抽出部を有し、前記不正閲覧抽出部は、前記ログファイルの中から前記ポリシ違反ログを抽出する第一抽出部と、前記第一抽出部に抽出された前記ポリシ違反ログの中から、事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログを抽出する第二抽出部と、事後承認用領域に前記第一ハッシュ値が記録されている前記ポリシ違反ログそれぞれの前記第一ハッシュ値を用いて、それぞれの前記ポリシ違反ログの前記第一ハッシュ値の記録が不正になされたものか否かを判断する不正判断部と、前記不正判断部により事後承認用領域の記録は不正になされたものと判断された前記ポリシ違反ログを抽出する第三抽出部と、前記第二抽出部と前記第三抽出部により抽出された前記ポリシ違反ログを、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログとして抽出する第四抽出部と、を有してもよい。
【００１８】
本発明では、前記権限ユーザのアドレス情報を保持するアドレス情報保持部と、前記不許可閲覧検出部により不許可閲覧が行われた前記アクセスログが検出されるとその旨を、その不許可閲覧された制限情報の閲覧を許可されている前記権限ユーザに、前記アドレス情報を用いて通知する通知部と、を有してもよい。
【００１９】
本発明によれば、閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持するステップと、前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出するステップと、不許可閲覧が行われた前記アクセスログとして検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録するステップと、前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付けるステップと、前記事後承認の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録するステップと、をコンピュータに実行させる不正アクセス検出プログラムが提供される。
【００２０】
本発明では、前記ポリシ違反ログを生成し、記録するステップは、前記事後承認を受付けた旨を示す情報を記録するための事後承認用領域が設けられている前記ポリシ違反ログを生成し、前記ログファイルに記録するステップであり、前記事後承認を受付けるステップは、前記サーバにアクセスしてきた前記権限ユーザからのみ、不許可閲覧の事後承認を受付けるステップであり、前記事後承認を受けた旨を示す情報を記録するステップは、前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログと、そのポリシ違反ログと、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録するステップでもよい。
【００２１】
本発明では、前記ログファイルの各アクセスログおよび各ポリシ違反ログには、第二ハッシュ値が記録されており、前記事後承認を受けた旨を示す情報を記録するステップは、前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログに記録されている前記第二ハッシュ値と、そのポリシ違反ログに記録されている前記第二ハッシュ値と、を用いて算出された前記第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録するステップでもよい。
【００２２】
本発明では、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出するステップを有し、前記事後承認を受けていない前記ポリシ違反ログを抽出するステップは、前記ログファイルの中から前記ポリシ違反ログを抽出するステップと、前記抽出された前記ポリシ違反ログの中から、前記事後承認を受けた旨を示す情報が記録されていない前記ポリシ違反ログを抽出するステップと、を有してもよい。
【００２３】
本発明では、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出するステップを有し、前記事後承認を受けていない前記ポリシ違反ログを抽出するステップは、前記ログファイルの中から前記ポリシ違反ログを抽出するステップと、前記抽出された前記ポリシ違反ログの中から、事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログを抽出するステップと、事後承認用領域に前記第一ハッシュ値が記録されている前記ポリシ違反ログそれぞれの前記第一ハッシュ値を用いて、それぞれの前記ポリシ違反ログの前記第一ハッシュ値の記録が不正になされたものか否かを判断するステップと、事後承認用領域の記録は不正になされたものと判断された前記ポリシ違反ログを抽出するステップと、事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログ、および、事後承認用領域に不正に前記第一ハッシュ値が記録されている前記ポリシ違反ログ、を前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログとして抽出するステップと、を有してもよい。
【００２４】
本発明によれば、閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持する工程と、前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出する工程と、不許可閲覧が行われた前記アクセスログとして検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録する工程と、前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付ける工程と、前記事後承認の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録する工程と、を有する不正アクセス検出方法が提供される。
【００２５】
本発明では、閲覧を制限すべき情報である制限情報へのアクセスに対して、何らかのアクセス制限を設ける必要がない。このため、各ユーザは、何らの影響を及ぼされることなく制限情報を閲覧することができ、自己の業務を円滑に進めることが可能となる。
【００２６】
しかし、上述の場合、制限情報への不正アクセスが自由に行われてしまう恐れがある。そこで、本発明では、制限情報を複数保持するサーバのアクセスログを利用して、前記複数のアクセスログの中から、不正アクセスである可能性のある不許可閲覧を行ったアクセスログを、事後的に検出する。この構成によれば、事後的に不正アクセスである可能性のある不許可閲覧を特定でき、事後的に不正アクセスを取り締まることが可能となる。
【００２７】
なお、通常、アクセスログは膨大な量である場合が多く、多量のアクセスログを記録したログファイルから、不正アクセスである可能性のある不許可閲覧を行ったアクセスログを見つけ出すのは容易でない。
【００２８】
そこで、本発明では、不正アクセスである可能性のある不許可閲覧を行ったアクセスログを検出すると、その旨を示す情報（ポリシ違反ログ）を新たに生成し、ログファイルに記録する。この構成によれば、ログファイルの中からポリシ違反ログを抽出することで、容易に、不正アクセスである可能性のある不許可閲覧の内容を知ることができる。すなわち、ログファイルを用いての不正アクセス行為の監査などを、迅速に行うことが可能となる。
【００２９】
また、本発明では、権限あるユーザがポリシ違反ログとして記録されている不許可閲覧を事後的に不正アクセスでないと承認すると、ログファイルにその旨を示す情報が記録される。例えば、ログファイルの中の各ポリシ違反ログにその旨を示す情報が記録されてもよい。この構成によれば、ポリシ違反ログとして記録されている不許可閲覧の中の、権限あるユーザから事後的に承認を受けていない不許可閲覧のみを抽出することができる。しかも、この抽出は、ログファイルのみを用いて実現することができる。すなわち、不正アクセス行為の監査などにおいて取り扱うデータ量を少なくすることが可能となり、コンピュータの処理速度の向上、および、人的作業の処理効率の向上を実現することができる。
【００３０】
また、本発明では、ハッシュ関数を用いることで、前記ログファイルに記録される事後承認を示す情報を改ざん等ができないような構成とすることもできる。このような構成によれば、ログファイルを用いての不正アクセス行為の検出を、厳密に行うことが可能となる。
【発明の効果】
【００３１】
本発明によれば、閲覧を制限すべき情報への不正アクセス行為があったことを事後的に、迅速に認識することが可能となる。
【図面の簡単な説明】
【００３２】
【図１】実施形態１の不正アクセス検出装置の構成の一例を表すブロック図である。
【図２】実施形態１の不正アクセス検出装置の構成の一例を表すブロック図である。
【図３】実施形態１の不正アクセス検出装置の構成の一例を表すブロック図である。
【図４】アクセスログ（閲覧ログ）の一例を模式的に示した図である。
【図５】ポリシ違反ログの一例を模式的に示した図である。
【図６】アクセスログ（承認ログ）の一例を模式的に示した図である。
【図７】制限情報サーバの処理の流れの一例を示したフローチャート図である。
【図８】実施形態１の不正アクセス検出装置の処理の流れの一例を示したフローチャート図である。
【図９】実施形態２の不正アクセス検出装置の構成の一例を表すブロック図である。
【図１０】実施形態２のログファイルの一例を模式的に示した図である。
【図１１】実施形態２の第一ハッシュ値の一例を模式的に示した図である。
【発明を実施するための形態】
【００３３】
以下、本発明の実施の形態について、図面を用いて説明する。すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。
【００３４】
なお、各実施形態の不正アクセス検出装置を構成する各部は、任意のコンピュータのＣＰＵ、メモリ、メモリにロードされたプログラム（あらかじめ装置を出荷する段階からメモリ内に格納されているプログラムのほか、ＣＤなどの記憶媒体やインターネット上のサーバなどからダウンロードされたプログラムも含む）、そのプログラムを格納するハードディスクなどの記憶ユニット、ネットワーク接続用インタフェースを中心にハードウエアとソフトウエアの任意の組合せによって実現される。そして、その実現方法、装置にはいろいろな変形例があることは、当業者には理解されるところである。
【００３５】
また、各実施形態の説明において利用する図１、２、３、９の機能ブロック図は、ハードウエア単位の構成ではなく、機能単位のブロックを示している。本実施形態の不正アクセス検出装置は一つの物理的に分離した装置により実現されてもよいし、または、二つ以上の物理的に分離した装置を有線または無線で接続し、これら複数の装置により実現されてもよい。
＜実施形態１＞
【００３６】
図１に本実施形態の不正アクセス検出装置１の機能ブロック図を示す。図に示すように、本実施形態の不正アクセス検出装置１は、ログ保持部１０と、閲覧許可情報保持部２０と、不許可閲覧検出部３０と、ポリシ違反ログ記録部４０と、事後承認受付部５０と、書込部６０と、を有する。なお、不正閲覧抽出部７０を有してもよい。または、アドレス情報保持部８０および通知部９０を有してもよい。または、不正閲覧抽出部７０およびアドレス情報保持部８０および通知部９０を有してもよい。不正閲覧抽出部７０は、第一抽出部７１と第二抽出部７２を有する。
【００３７】
ここで、図１においては、不正アクセス検出装置１と、閲覧を制限すべき情報である制限情報を複数保持する制限情報サーバ２と、を物理的に分離した別の装置として構成し、互いに、有線または無線での通信ができるように構成した例を示している。しかし、本実施形態の不正アクセス検出装置１はこのような構成に限定されない。例えば、図２に示すように、不正アクセス検出装置１が制限情報サーバ２内に構成されてもよい。この構成は、例えば、本発明の不正アクセス検出プログラムを、制限情報サーバ２内で実行可能にインストールすることで実現してもよい。
【００３８】
また、その他の例としては、図３に示すように、物理的に分離した二つの装置（第一不正アクセス検出装置１Ａおよび第二不正アクセス検出装置１Ｂ）を有線または無線での通信ができるように構成し、これら二つの装置により不正アクセス検出装置を構成するようにしてもよい。なお、図１〜３の例はあくまで一例であり、その他の構成とすることも可能である。
【００３９】
次に、本実施形態の不正アクセス検出装置１を構成する各部について説明する。
【００４０】
ログ保持部１０は、閲覧を制限すべき情報である制限情報を複数保持するサーバ２（以下、単に「制限情報サーバ２」という）のアクセスログを取得し、ログファイルとして保持するよう構成されている。「制限情報」は、閲覧を制限する必要のあるあらゆる情報が該当し、その種類は特段制限されない。例えば、医療の分野において活用される、患者のカルテ等を含む患者情報であってもよい。この制限情報は、電子データとして、制限情報サーバ２に保持される。
【００４１】
制限情報サーバ２は、コンピュータネットワーク（図示せず）上におかれる。コンピュータネットワークとしては特段制限されず、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネット等が考えられる。この構成により、ユーザは、制限情報サーバ２に保持されている制限情報を閲覧することが可能となる。なお、制限情報サーバ２への厳格なアクセス制限は設けないが、一定のアクセス制限は設けるのが望ましい。この一定のアクセス制限により、制限情報サーバ２が保持する制限情報を閲覧する必要性を全く有さないユーザのアクセスを制限することが可能となる。このアクセス制限は、例えば、「ユーザＩＤ」および「パスワード」を入力させる手法で、実現してもよい。
【００４２】
ここで、制限情報サーバ２は、アクセスログを生成するアクセスログ生成部１００を有する。このアクセスログ生成部１００は、ユーザが制限情報にアクセスしたアクセスログ（以下、「閲覧ログ」という）、を生成する。なお、アクセスログ生成部１００は他の内容のアクセスログを生成してもよい。閲覧ログの内容としては特段制限されないが、「アクセスしたユーザを特定する情報」、「アクセスされた制限情報を特定する情報」を最低限含むよう構成される。さらに、「アクセスされた日時」、および／または、「アクセスされた制限情報の閲覧を許可されているユーザを特定する情報」を含んでもよい。さらに、他の内容を含んでもよい。
【００４３】
図４に、閲覧ログの一例を示す。図中、「ログの種類を識別するＩＤ」は、ログの種類を識別するためのＩＤである。図に示されている「Ａ１」の「Ａ」は、閲覧ログ（制限情報にアクセスしたアクセスログ）である旨を示すＩＤである。「１」は、時系列順に、閲覧ログに付されている通し番号である。「アクセス日時」は、制限情報にアクセスした日時である。「アクセスしたユーザを特定する情報」および「アクセスされた制限情報の閲覧を許可されているユーザを特定する情報」は、例えば、制限情報サーバ２にアクセスするユーザごとに割り振られたユーザＩＤであってもよい。「アクセスされた制限情報を特定する情報」は、例えば、あらかじめ制限情報ごとに割り振られた制限情報ＩＤであってもよい。
【００４４】
アクセスログ生成部１００が閲覧ログを生成するために「アクセスしたユーザを特定する情報」を取得する手段としては、例えば、制限情報サーバ２にアクセスするユーザに対して「ユーザＩＤ」の入力を義務付け、入力を受付けたユーザＩＤを取得することで実現してもよい。なお、なりすまし防止の観点からは、「ユーザＩＤ」のみならず、「パスワード」等もあわせて入力させるのが望ましい。次に、「アクセスされた制限情報を特定する情報」を取得する手段しては、アクセスされた制限情報にあらかじめ割り振られた制限情報ＩＤを、その制限情報のファイル名としておき、アクセスされたファイル名を取得することで実現してもよい。「アクセスされた日時」を取得する手段としては、制限情報へのアクセスを受付けたのをトリガに、例えばサーバ内に内蔵された時計から、その時の日時情報を取得することで実現してもよい。「アクセスされた制限情報の閲覧を許可されているユーザを特定する情報」を取得する手段としては、以下で説明する閲覧許可情報保持部２０が保持する閲覧許可情報（制限情報と、各制限情報の閲覧を許可された権限ユーザと、を対応付けた情報）から、所望の情報を取得することで実現してもよい。なお、上述の例はあくまで一例であり、その他の手段で各情報を取得するよう構成されてもよい。
【００４５】
不正アクセス検出装置１は、制限情報サーバ２と有線または無線での通信ができるよう構成される。そして、ログ保持部１０は、制限情報サーバ２のアクセスログ生成部１００が生成したアクセスログを取得すると、取得したアクセスログを時系列順に蓄積し、ログファイルとして保持する。なお、ログ保持部１０が制限情報サーバ２からアクセスログを取得するタイミングとしては特段制限されず、一定時間ごとに取得してもよいし（バッチ処理）、または、アクセスログ生成部１００がアクセスログを生成するごとに取得してもよい（リアルタイム処理）。
【００４６】
閲覧許可情報保持部２０は、制限情報サーバ２が保持する複数の制限情報それぞれを特定する情報と、それぞれの制限情報の閲覧を許可されたユーザである権限ユーザを特定する情報と、を対応付けた閲覧許可情報を保持するよう構成されている。「複数の制限情報それぞれを特定する情報」は、例えば、あらかじめ制限情報ごとに割り振られた制限情報ＩＤであってもよい。また、「権限ユーザを特定する情報」は、あらかじめ、制限情報サーバ２にアクセスするユーザごとに割り振られたユーザＩＤであってもよい。すなわち、閲覧許可情報は、複数の制限情報それぞれの制限情報ＩＤと、それぞれの制限情報の閲覧を許可された権限ユーザのユーザＩＤと、を対応付けたテーブルであってもよい。なお、閲覧許可情報は、前記テーブル形式の情報でなく、各制限情報のメタデータに権限ユーザを特定する情報を書き込んだ形式の情報であってもよい。この閲覧許可情報保持部２０は、制限情報を保持する制限情報サーバ２内に構成されてもよい。
【００４７】
不許可閲覧検出部３０は、閲覧許可情報保持部２０が保持する閲覧許可情報に基づいて、ログ保持部１０が保持する複数のアクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われたアクセスログを検出するよう構成されている。検出の具体的処理としては特段制限されないが、以下のような処理であってもよい。
【００４８】
例えば、閲覧許可情報に基づいて、図４に示すような、「アクセスしたユーザを特定する情報」および「アクセスされた制限情報の閲覧を許可されているユーザを特定する情報」のいずれをも含む閲覧ログを生成するよう構成している場合には、不許可閲覧検出部３０は、ログ保持部１０が保持するアクセスログの中から閲覧ログを抽出すると、各閲覧ログの「アクセスしたユーザを特定する情報」および「アクセスされた制限情報の閲覧を許可されているユーザを特定する情報」を比較し、これらの情報が一致しない閲覧ログを、閲覧を許可されていないユーザによる不許可閲覧が行われたアクセスログとして検出してもよい。
【００４９】
その他には、例えば、不許可閲覧検出部３０は、ログ保持部１０が保持するアクセスログの中から閲覧ログを抽出すると、閲覧ログごとに、ログの内容に含まれる「アクセスしたユーザを特定する情報（例：ユーザＩＤ）」と「アクセスされた制限情報を特定する情報（例：制限情報ＩＤ）」とを取得する（図４参照）。そして、取得した情報の組合せが、「権限ユーザを特定する情報（例：ユーザＩＤ）」と「その権限ユーザが閲覧を許可されている制限情報を特定する情報（例：制限情報ＩＤ）」を対応付けた閲覧許可情報内に存在するか否かを判断し、存在しないと判断された組合せを内容に含む閲覧ログを、閲覧を許可されていないユーザによる不許可閲覧が行われたアクセスログとして検出してもよい。
【００５０】
不許可閲覧検出部３０による不許可閲覧が行われたアクセスログを検出する処理は、一定時間ごとに行われてもよいし（バッチ処理）、または、ログ保持部１０がアクセスログをリアルタイム処理で取得する場合には、ログ保持部１０がアクセスログを取得するごとに行われてもよい（リアルタイム処理）。
【００５１】
ポリシ違反ログ記録部４０は、不許可閲覧検出部３０で不許可閲覧が行われたアクセスログとして検出されたアクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、ログ保持部１０が保持するログファイルに記録するよう構成されている。
【００５２】
図５に、ポリシ違反ログの一例を示す。図中、「ログの種類を識別するＩＤ」は、ログの種類を識別するためのＩＤであり、図に示されている「Ｐ１」の「Ｐ」は、ポリシ違反ログである旨を示すＩＤである。このポリシ違反ログには、「不許可閲覧したユーザを特定する情報（ユーザＩＤ）」、「不許可閲覧された制限情報を特定する情報（例：制限情報ＩＤ）」、「不許可閲覧された日時」、「不許可閲覧された制限情報の閲覧を許可されているユーザを特定する情報（例：ユーザＩＤ）」、「ポリシ違反番号」が含まれている。「ポリシ違反番号」は、時系列順に、不許可閲覧行為に対して付されている通し番号である。なお、このログの内容はあくまで一例であり、不許可閲覧の内容を示す情報としてどのような内容を含めるかは任意の設計事項である。なお、図に示すように、ポリシ違反ログには、以下で説明する書込部６０が、権限ユーザから事後承認を受付けた旨を示す情報を記録するための事後承認用領域が設けられていてもよい。本実施形態の事後承認用領域のビット数は特段制限されず、例えば１ビットであってもよい。かかる場合、事後承認を受付ける前は「０」、事後承認を受付けると「１」が記録されるよう構成されてもよい。
【００５３】
事後承認受付部５０は、ポリシ違反ログに示される不許可閲覧をされた制限情報の権限ユーザから、その不許可閲覧の事後承認を受付けるよう構成されている。「制限情報の権限ユーザ」とは、その制限情報の閲覧を許可された権限ユーザのことである。「事後承認」とは、その不許可閲覧は、不正な目的での閲覧（不正閲覧）でないことを、事後的に承認することである。権限ユーザは、不許可閲覧を行ったユーザ、不許可閲覧された制限情報、不許可閲覧された日時などを基に、その不許可閲覧を承認するか否か判断することができる。
【００５４】
権限ユーザから事後承認を受付ける手段としては特段制限されず、例えば、不正アクセス検出装置１に入力ボタン、キーボード、タッチパネルディスプレイ、マウス、などの入力デバイスを設けておき、事後承認受付部５０はこの入力デバイスを介して、事後承認する不許可閲覧を特定する情報（ポリシ違反ログを特定する情報、ポリシ違反番号等）、および、事後承認する旨の入力を受付けてもよい。かかる手段の場合、事後承認受付部５０は受付けた事後承認の内容を記載したログを生成し、ログ保持部１０が保持するログファイル内に記録してもよい。
【００５５】
その他の手段としては、例えば、制限情報サーバ２が、当該制限情報サーバ２にアクセスしてきた権限ユーザから、上述の手段等を用いて事後承認の入力を受付けるよう構成し、アクセスログ生成部１００は、この事後承認の内容を示したアクセスログ（以下、「承認ログ」という）を生成するよう構成する。そして、事後承認受付部５０は、アクセスログ生成部１００からアクセスログを取得し、ログファイルとして保持しているログ保持部１０から、上述の承認ログを取得することで、権限ユーザからの事後承認を受付けてもよい。
【００５６】
図６に、承認ログの一例を示す。図中、「ログの種類を識別するＩＤ」は、ログの種類を識別するためのＩＤであり、図に示されている「Ｓ１」の「Ｓ」は、承認ログ（事後承認の内容を示したアクセスログ）である旨を示すＩＤである。「アクセス日時」は、権限ユーザが事後承認の入力を行った日時である。アクセスログに含まれる「事後承認されたポリシ違反番号」は、制限情報サーバ２にアクセスしてきた権限ユーザが、事後承認する不許可閲覧を特定するために入力したポリシ違反番号に従い、記載される。なお、制限情報サーバ２にアクセスしてきた権限ユーザが、事後承認する不許可閲覧を特定する情報として、ポリシ違反ログＩＤを入力するよう構成した場合には、「事後承認されたポリシ違反番号」の代わりに、「事後承認されたポリシ違反ログＩＤ」が記載されてもよい。
【００５７】
書込部６０は、事後承認受付部５０の受付に応じて、ログファイルに、不許可閲覧は事後承認を受けた旨を示す情報を記録するよう構成されている。具体的には、本実施形態の書込部６０は、事後承認受付部５０から、事後承認された不許可閲覧を特定する情報（例：ポリシ違反番号、ポリシ違反ログＩＤ）を取得すると、ログファイルに、いずれのポリシ違反ログで示される不許可閲覧が事後承認されたかを識別可能な情報を記録する。例えば、各ポリシ違反ログに事後承認用領域が設けられている場合には、事後承認された不許可閲覧を特定する情報を用いてログファイル中の事後承認された不許可閲覧を示すポリシ違反ログを検出し、そのポリシ違反ログの事後承認用領域に、事後承認された旨の記録を行う。
【００５８】
不正閲覧抽出部７０は、権限ユーザの事後承認を受けていない不許可閲覧を示すポリシ違反ログを抽出するよう構成されている。この構成を実現するため、不正閲覧抽出部７０は、第一抽出部７１と第二抽出部７２を有する。
【００５９】
第一抽出部７１は、ログファイルの中からポリシ違反ログを抽出するよう構成されている。この処理は、例えば、ポリシ違反ログであることを示す「ログの種類を識別するＩＤ」をキーとしてログファイル内を検索することで実現してもよい。
【００６０】
第二抽出部７２は、第一抽出部７１に抽出されたポリシ違反ログの中から、事後承認を受けた旨を示す情報を記録されていないポリシ違反ログを抽出するよう構成されている。この処理は、例えば、ポリシ違反ログに含まれる事後承認用領域の記載内容を判別することで実現してもよい。
【００６１】
上述の構成により、本実施形態の不正アクセス検出装置は、閲覧を制限すべき情報への不正アクセス行為である可能性のある不許可閲覧行為があったことを事後的に、迅速に認識することが可能となる。
【００６２】
また、権限ユーザにより事後承認された不許可閲覧行為は除いて、事後承認されていない不許可閲覧行為のみを事後的に、迅速に認識することも可能となる。かかる場合、不許可閲覧として扱うデータ数を真に必要なものに絞り込むことが可能となるので、コンピュータ上のデータ処理速度の向上が図られるほか、不正アクセスを監査する人間の作業効率も向上させることが可能となる。
【００６３】
ここで、本実施形態の不正アクセス検出装置は、権限ユーザが、自己が閲覧を許可されている制限情報を不許可閲覧された事実を認識する手段を備えてもよい。この手段は、アドレス情報保持部８０、および、通知部９０により実現される。
【００６４】
アドレス情報保持部８０は、権限ユーザのアドレス情報を保持するよう構成されている。すなわち、アドレス情報保持部８０は、権限ユーザを特定する情報（例：ユーザＩＤ）と、その権限ユーザのアドレス情報と、を対応付けたデータを保持する。アドレス情報としては、例えば、メールアドレス、電話番号、ＦＡＸ番号などが考えられる。
【００６５】
通知部９０は、不許可閲覧検出部３０により不許可閲覧が行われたアクセスログが検出されるとその旨を、その不許可閲覧された制限情報の閲覧を許可されている権限ユーザに通知するよう構成されている。この通知は、アドレス情報保持部８０が保持するアドレス情報を用いて実現される。通知の手段としては、Ｅメール、ＦＡＸ、電話などが考えられる。通知内容としては特段制限されず、単に、不許可閲覧されたことを通知するものであってもよいし、不許可閲覧の内容（不許可閲覧したユーザ、不許可閲覧された制限情報を識別する情報等）をも併せて通知するものであってもよい。なお、不許可閲覧の内容をも併せて通知する場合には、通知部９０は、通知を行うための雛型データをあらかじめ保持しておき、この雛型データに、必要な情報（不許可閲覧の内容）を埋め込んで通知を行うための通知データを作成し、通知を行ってもよい。雛型データは、通知手段に応じて、テキストデータ、音声データ等、適宜選択できる。
【００６６】
通知すべき権限ユーザを特定する手段としては、不許可閲覧検出部３０により検出されたアクセスログ（図４参照）、または、そのアクセスログをもとに生成されたポリシ違反ログ（図５参照）を用いて実現してもよい。または、不許可閲覧検出部３０により検出されたアクセスログ（図４参照）および閲覧許可情報を用いて実現してもよい。なお、権限ユーザによる事後承認は、制限情報サーバ２にアクセスして行われるよう構成する場合には、あわせて制限情報サーバ２のアドレス情報（ＵＲＬ等）も通知してもよい。
【００６７】
上述のアドレス情報法保持部８０および通知部９０の構成によれば、自己が閲覧を許可されている制限情報を不許可閲覧された権限ユーザに、その事実を認識させることが可能となり、その結果、事後承認の処理を促すことができる。
【００６８】
ここで、図３に示す構成について説明する。図３では、不正アクセス検出装置を物理的に分離した二つの装置（第一不正アクセス検出装置１Ａおよび第二不正アクセス検出装置１Ｂ）で構成し、また、不正アクセス検出装置と制限情報サーバ２とを物理的に分離した別の装置として構成している。このような構成の適用例としては、例えば、以下のようなものが考えられる。制限情報サーバ２で生成したアクセスログを長期的に保存するためのログサーバとして第二不正アクセス検出装置１Ｂを利用する。そして、制限情報サーバ２とログサーバ（第二不正アクセス検出装置１Ｂ）との間に、アクセスログを編集する装置（第一不正アクセス検出装置１Ａ）を設ける。なお、図３の第二不正アクセス検出装置１Ｂに記載されている記憶部１１０は、電子データを長期的に記憶するよう構成されている。
【００６９】
次に、本実施形態の処理の流れの一例について、図７、８のフローチャート図を用いて説明する。ここでは、図１に示すように不正アクセス検出装置１および制限情報サーバ２を構成した場合を例に、バッチ処理する処理の流れを説明する。なお、図１以外の構成にした場合も、以下で説明する処理の流れに準じて、処理を実行することができる。
【００７０】
図７は制限情報サーバの処理の流れの一例を示す。
【００７１】
まず、ユーザからのアクセス待機状態の制限情報サーバは、制限情報へのアクセスを検知すると（Ｓ７０１のＹｅｓ）、その旨を示すアクセスログ（閲覧ログ：図４参照）を生成し、蓄積する（Ｓ７０２）。また、ユーザからのアクセス待機状態の制限情報サーバは、自己が閲覧を許可されている制限情報を不許可閲覧された権限ユーザが、その不許可閲覧を事後承認するために制限情報サーバにアクセスし、事後承認を行ったことを検知すると（Ｓ７０３のＹｅｓ）、その旨を示すアクセスログ（承認ログ：図６参照）を生成し、蓄積する（Ｓ７０４）。
【００７２】
その後、蓄積したアクセスログを不正アクセス検出装置に送信する所定のタイミングになるまで、上述の処理を繰り返す（Ｓ７０５のＮｏ）。そして、蓄積したアクセスログを不正アクセス検出装置に送信する所定のタイミングになると（Ｓ７０５のＹｅｓ）、制限情報サーバは、蓄積したアクセスログを不正アクセス検出装置に送信する（Ｓ７０６）。この送信後、制限情報サーバに蓄積されている送信されたアクセスログは消去されてもよい。
【００７３】
図８は、不正アクセス検出装置の処理の流れの一例を示す。
【００７４】
不正アクセス検出装置は、制限情報サーバからアクセスログを受信すると（Ｓ８０１のＹｅｓ）、受信したアクセスログをログファイルとして蓄積する（Ｓ８０２）。
【００７５】
その後、蓄積されているログファイルの中の、ステップＳ８０１で新たに受信したアクセスログの中から、閲覧ログを抽出する（Ｓ８０３）。そして、ステップＳ８０３で抽出した閲覧ログの中に、不許可閲覧したことを示すアクセスログがないか検索する（Ｓ８０４）。
【００７６】
ステップＳ８０４での検索の結果、不許可閲覧したことを示すアクセスログがある場合には（Ｓ８０５のＹｅｓ）、そのアクセスログに記載されている内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、ログファイルに記録する。この処理は、ステップＳ８０４で検出されたすべての不許可閲覧したことを示すアクセスログに対して行われる（Ｓ８０６）。
【００７７】
その後、蓄積されているログファイルの中の、ステップＳ８０１で新たに受信したアクセスログの中から、承認ログがないか検索する（Ｓ８０７）。
【００７８】
ステップＳ８０７での検索の結果、承認ログがある場合には（Ｓ８０８のＹｅｓ）、そのアクセスログに記載されている内容を利用して、事後承認された不許可閲覧を示すポリシ違反ログを特定し（Ｓ８０９）、特定したポリシ違反ログの事後承認用領域に、事後承認されたことを示す情報を記録する。この処理は、ステップＳ８０７で検出されたすべての事後承認したことを示すアクセスログに対して行われる（Ｓ８１０）。
＜実施形態２＞
【００７９】
図９に本実施形態の不正アクセス検出装置１の機能ブロック図を示す。図に示すように、本実施形態の不正アクセス検出装置１は、ログ保持部１０と、閲覧許可情報保持部２０と、不許可閲覧検出部３０と、ポリシ違反ログ記録部４０と、事後承認受付部５０と、書込部６０と、を有する。なお、不正閲覧抽出部７０を有してもよい。または、アドレス情報保持部８０および通知部９０を有してもよい。または、不正閲覧抽出部７０およびアドレス情報保持部８０および通知部９０を有してもよい。不正閲覧抽出部７０は、第一抽出部７１と第二抽出部７２と第三抽出部７３と第四抽出部７４と不正判断部７５とを有する。
【００８０】
なお、本実施形態の不正アクセス検出装置１の構成は図９に示すものに限定されず、実施形態１と同様、その他の構成とすることも可能である。ここでの他の構成の例示は省略する。
【００８１】
本実施形態の不正アクセス検出装置１は、実施形態１の不正アクセス検出装置１を基本とし、以下の点で異なる。なお、本実施形態の制限情報サーバ２は、実施形態１の制限情報サーバ２と同様であるので、ここでの説明は省略する。
【００８２】
本実施形態の事後承認受付部５０は、制限情報サーバ２にアクセスしてきた権限ユーザからのみ、不許可閲覧の事後承認を受付けるよう構成される。具体的構成例については、実施形態１で説明したので、ここでの詳細な説明は省略する。
【００８３】
本実施形態の書込部６０は、ポリシ違反ログに示される不許可閲覧を事後承認したアクセスログ（承認ログ：図６参照）と、そのポリシ違反ログ（図５参照）と、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録するよう構成される。ハッシュ値とは、任意に定められたハッシュ関数から算出される値のことである。第一ハッシュ値は、任意に定められたハッシュ関数（ｈ（ｘ、ｙ））に、承認ログおよびポリシ違反ログ、の内容を示すデータとしてそれぞれのログに記録されている値を代入して求められる値である。
【００８４】
なお、本実施形態の不正アクセス検出装置１は、ログファイルの各アクセスログ（制限情報にアクセスしたログおよび承認ログ）および各ポリシ違反ログに第二ハッシュ値が記録されていてもよい。そして、本実施形態の書込部６０は、承認ログに記録されている第二ハッシュ値と、事後承認された不許可閲覧を示すポリシ違反ログに記録されている第二ハッシュ値と、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの事後承認用領域に記録するよう構成されてもよい。第二ハッシュ値は、例えば、任意に定められたハッシュ関数（ｈ（ｘ、ｙ））に、そのログ、および、ログファイルの中のそのログの一つ前のログ、の内容を示すデータとしてそれぞれのログに記録されている値を代入して求められる値であってもよい。第二ハッシュ値を算出するためのハッシュ関数と第一ハッシュ値を算出するためのハッシュ関数は、同一であってもよいし、異なっていてもよい。
【００８５】
図１０に、本実施形態のログファイルの一例を模式的に示す。この例の場合、各ログには、ログの内容を記載した領域（図４、５、６参照）の隣に、第二ハッシュ値を記載する領域が設けられている。そしてこの領域には、各ログおよびそのログの一つ前のログの内容（各ログの「ログの内容を記載した領域」に記録されている値）をハッシュ関数（ｈ（ｘ、ｙ））に代入して求められた第二ハッシュ値が記録されている。また、図１０の例では、ポリシ違反ログ（Ｐで始まるログ）に、事後承認用領域が設けられている。無許可閲覧を事後承認されていないポリシ違反ログ（図中、Ｐ１８ではじまるログ）の場合、事後承認用領域には、事後承認されていないことを示す情報、例えば「０」が並んでいる（ビット数は任意の設計事項）。そして、無許可閲覧を事後承認されたポリシ違反ログ（図中、Ｐ１ではじまるログ）の場合、事後承認用領域には、そのポリシ違反ログ（図中、Ｐ１ではじまるログ）およびその無許可閲覧を事後承認した承認ログ（図中、Ｓ１ではじまるログ）の内容（各ログの「ログの内容を記載した領域」に記録されている値）をハッシュ関数（ｈ（ｘ、ｙ））に代入して求められた第一ハッシュ値が記録されている。なお、この第一ハッシュ値は、図１１に示すように、そのポリシ違反ログ（図中、Ｐ１ではじまるログ）およびその無許可閲覧を事後承認した承認ログ（図中、Ｓ１ではじまるログ）の第二ハッシュ値をハッシュ関数（ｈ（ｘ、ｙ））に代入して求められた値であってもよい。
【００８６】
本実施形態の不正閲覧抽出部７０は、権限ユーザの事後承認を受けていない不許可閲覧を示すポリシ違反ログを抽出するよう構成されている。この構成を実現するため、本実施形態の不正閲覧抽出部７０は、第一抽出部７１と第二抽出部７２と第三抽出部７３と第四抽出部７４と不正判断部７５とを有する。
【００８７】
第一抽出部７１は、ログファイルの中からポリシ違反ログを抽出するよう構成されている。この処理は、例えば、ポリシ違反ログであることを示す「ログの種類を識別するＩＤ」をキーとしてログファイル内を検索することで実現してもよい。
【００８８】
第二抽出部７２は、第一抽出部７１に抽出されたポリシ違反ログの中から、事後承認を受けた旨を示す情報を記録されていないポリシ違反ログ、すなわち事後承認用領域に第一ハッシュ値が記録されていないポリシ違反ログを抽出するよう構成されている。なお、この抽出を実現するため、事後承認されていないポリシ違反ログの事後承認用領域には、事後承認されていない旨を示す情報（例：「００００００」）が記録されている。そして、第二抽出部７２は、事後承認用領域に、事後承認されていない旨を示す情報（例：「００００００」）が記録されているポリシ違反ログを抽出することで、事後承認用領域に第一ハッシュ値が記録されていないポリシ違反ログを抽出する。
【００８９】
不正判断部７５は、事後承認用領域に第一ハッシュ値が記録されているポリシ違反ログそれぞれの第一ハッシュ値を用いて、それぞれのポリシ違反ログの第一ハッシュ値の記録が不正になされたものか否かを判断するよう構成されている。
【００９０】
すなわち、不正判断部７５は、まず、事後承認用領域に、事後承認されていない旨を示す情報（例：「００００００」）が記録されていないポリシ違反ログを抽出する。そして、次に、各ポリシ違反ログに示される不許可閲覧を事後承認した承認ログを抽出する。この承認ログの抽出は、例えば、承認ログ（図６参照）およびポリシ違反ログ（図５参照）に記録されているポリシ違反番号をキーとして、ログファイルを検索することで実現してもよい。なお、ポリシ違反番号をキーとした抽出例はあくまで一例であり、任意に設計可能なログの内容に応じ、他の情報をキーとした検索で実現してもよい。
【００９１】
その後、不正判断部７５は、そのポリシ違反ログ（図１０中、Ｐ１ではじまるログ）およびその無許可閲覧を事後承認した承認ログ（図１０中、Ｓ１ではじまるログ）の内容（各ログの「ログの内容を記載した領域」に記録されている値）をハッシュ関数（ｈ（ｘ、ｙ））に代入して、第一ハッシュ値を算出する。そして、算出した第一ハッシュ値と、そのポリシ違反ログの事後承認用領域に記録されている第一ハッシュ値とを比較する。比較の結果、同一であれば、そのポリシ違反ログの事後承認用領域に記録されている第一ハッシュ値は正当な記録であると判断する。一方、同一でなければ、そのポリシ違反ログの事後承認用領域に記録されている第一ハッシュ値は不正な記録であると判断する。
【００９２】
なお、事後承認用領域に、ポリシ違反ログ（図１０中、Ｐ１ではじまるログ）およびその無許可閲覧を事後承認した承認ログ（図１０中、Ｓ１ではじまるログ）の第二ハッシュ値をハッシュ関数（ｈ（ｘ、ｙ））に代入して求められた値が記録されるよう構成した場合も、上述の処理に準じて、不正判断部７５は、各ポリシ違反ログの第二ハッシュ値の記録が不正になされたものか否か判断する。
【００９３】
第三抽出部７３は、不正判断部７５により事後承認用領域の記録は不正になされたものと判断されたポリシ違反ログを抽出するよう構成されている。
【００９４】
第四抽出部７４は、第二抽出部７２と第三抽出部７３により抽出されたポリシ違反ログを、権限ユーザの事後承認を受けていない不許可閲覧を示すポリシ違反ログとして抽出するよう構成されている。
【００９５】
本実施形態の不正アクセス検出装置によれば、事後承認用領域に不正な手段により何らかの値が記録されたり改ざんされたりしても、その不正行為を検知することができる。その結果、ログファイルを用いての不正アクセス行為の検出を、厳密に行うことが可能となる。
【００９６】
上述の実施形態１および２の説明により、本発明の不正アクセス検出装置、不正アクセス検出プログラム、および、不正アクセス検出方法の開示がなされた。
【符号の説明】
【００９７】
１ 不正アクセス検出装置
１Ａ 第一不正アクセス検出装置
１Ｂ 第二不正アクセス検出装置
２ 制限情報サーバ
１０ ログ保持部
２０ 閲覧許可情報保持部
３０ 不許可閲覧検出部
４０ ポリシ違反ログ記録部
５０ 事後承認受付部
６０ 書込部
７０ 不正閲覧抽出部
７１ 第一抽出部
７２ 第二抽出部
７３ 第三抽出部
７４ 第四抽出部
７５ 不正判断部
８０ アドレス情報保持部
９０ 通知部
１００ アクセスログ生成部
１１０ 記憶部
【特許請求の範囲】
【請求項１】
閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持するログ保持部と、
前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報を保持する閲覧許可情報保持部と、
前記閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出する不許可閲覧検出部と、
前記不許可閲覧検出部で検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録するポリシ違反ログ記録部と、
前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付ける事後承認受付部と、
前記事後承認受付部の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録する書込部と、
を有する不正アクセス検出装置。
【請求項２】
請求項１に記載の不正アクセス検出装置において、
前記ポリシ違反ログには、前記書込部が事後承認を受付けた旨を示す情報を記録するための事後承認用領域が設けられている不正アクセス検出装置。
【請求項３】
請求項２に記載の不正アクセス検出装置において、
前記事後承認受付部は、
前記サーバにアクセスしてきた前記権限ユーザからのみ、不許可閲覧の事後承認を受付け、
前記書込部は、
前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログと、そのポリシ違反ログと、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録する不正アクセス検出装置。
【請求項４】
請求項３に記載の不正アクセス検出装置において、
前記ログファイルの各アクセスログおよび各ポリシ違反ログには、第二ハッシュ値が記録されており、
前記書込部は、
前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログに記録されている前記第二ハッシュ値と、そのポリシ違反ログに記録されている前記第二ハッシュ値と、を用いて算出された前記第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録する不正アクセス検出装置。
【請求項５】
請求項１から４のいずれか一に記載の不正アクセス検出装置において、さらに、
前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出する不正閲覧抽出部を有し、
前記不正閲覧抽出部は、
前記ログファイルの中から前記ポリシ違反ログを抽出する第一抽出部と、
前記第一抽出部に抽出された前記ポリシ違反ログの中から、前記事後承認を受けた旨を示す情報を記録されていない前記ポリシ違反ログを抽出する第二抽出部と、
を有する不正アクセス検出装置。
【請求項６】
請求項３または４に記載の不正アクセス検出装置において、さらに、
前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出する不正閲覧抽出部を有し、
前記不正閲覧抽出部は、
前記ログファイルの中から前記ポリシ違反ログを抽出する第一抽出部と、
前記第一抽出部に抽出された前記ポリシ違反ログの中から、事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログを抽出する第二抽出部と、
事後承認用領域に前記第一ハッシュ値が記録されている前記ポリシ違反ログそれぞれの前記第一ハッシュ値を用いて、それぞれの前記ポリシ違反ログの前記第一ハッシュ値の記録が不正になされたものか否かを判断する不正判断部と、
前記不正判断部により事後承認用領域の記録は不正になされたものと判断された前記ポリシ違反ログを抽出する第三抽出部と、
前記第二抽出部と前記第三抽出部により抽出された前記ポリシ違反ログを、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログとして抽出する第四抽出部と、
を有する不正アクセス検出装置。
【請求項７】
請求項１から６のいずれか一に記載の不正アクセス検出装置において、さらに、
前記権限ユーザのアドレス情報を保持するアドレス情報保持部と、
前記不許可閲覧検出部により不許可閲覧が行われた前記アクセスログが検出されるとその旨を、その不許可閲覧された制限情報の閲覧を許可されている前記権限ユーザに、前記アドレス情報を用いて通知する通知部と、
を有する不正アクセス検出装置。
【請求項８】
閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持するステップと、
前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出するステップと、
不許可閲覧が行われた前記アクセスログとして検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録するステップと、
前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付けるステップと、
前記事後承認の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録するステップと、
をコンピュータに実行させる不正アクセス検出プログラム。
【請求項９】
請求項８に記載の不正アクセス検出プログラムにおいて、
前記ポリシ違反ログを生成し、記録するステップは、
前記事後承認を受付けた旨を示す情報を記録するための事後承認用領域が設けられている前記ポリシ違反ログを生成し、前記ログファイルに記録するステップであり、
前記事後承認を受付けるステップは、
前記サーバにアクセスしてきた前記権限ユーザからのみ、不許可閲覧の事後承認を受付けるステップであり、
前記事後承認を受けた旨を示す情報を記録するステップは、
前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログと、そのポリシ違反ログと、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録するステップである不正アクセス検出プログラム。
【請求項１０】
請求項９に記載の不正アクセス検出プログラムにおいて、
前記ログファイルの各アクセスログおよび各ポリシ違反ログには、第二ハッシュ値が記録されており、
前記事後承認を受けた旨を示す情報を記録するステップは、
前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログに記録されている前記第二ハッシュ値と、そのポリシ違反ログに記録されている前記第二ハッシュ値と、を用いて算出された前記第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録するステップである不正アクセス検出プログラム。
【請求項１１】
請求項８から１０のいずれか一に記載の不正アクセス検出プログラムにおいて、さらに、
前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出するステップを有し、
前記事後承認を受けていない前記ポリシ違反ログを抽出するステップは、
前記ログファイルの中から前記ポリシ違反ログを抽出するステップと、
前記抽出された前記ポリシ違反ログの中から、前記事後承認を受けた旨を示す情報が記録されていない前記ポリシ違反ログを抽出するステップと、
を有する不正アクセス検出プログラム。
【請求項１２】
請求項９または１０に記載の不正アクセス検出プログラムにおいて、さらに、
前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出するステップを有し、
前記事後承認を受けていない前記ポリシ違反ログを抽出するステップは、
前記ログファイルの中から前記ポリシ違反ログを抽出するステップと、
前記抽出された前記ポリシ違反ログの中から、事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログを抽出するステップと、
事後承認用領域に前記第一ハッシュ値が記録されている前記ポリシ違反ログそれぞれの前記第一ハッシュ値を用いて、それぞれの前記ポリシ違反ログの前記第一ハッシュ値の記録が不正になされたものか否かを判断するステップと、
事後承認用領域の記録は不正になされたものと判断された前記ポリシ違反ログを抽出するステップと、
事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログ、および、事後承認用領域に不正に前記第一ハッシュ値が記録されている前記ポリシ違反ログ、を前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログとして抽出するステップと、
を有する不正アクセス検出プログラム。
【請求項１３】
閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持する工程と、
前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出する工程と、
不許可閲覧が行われた前記アクセスログとして検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録する工程と、
前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付ける工程と、
前記事後承認の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録する工程と、
を有する不正アクセス検出方法。
【請求項１】
閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持するログ保持部と、
前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報を保持する閲覧許可情報保持部と、
前記閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出する不許可閲覧検出部と、
前記不許可閲覧検出部で検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録するポリシ違反ログ記録部と、
前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付ける事後承認受付部と、
前記事後承認受付部の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録する書込部と、
を有する不正アクセス検出装置。
【請求項２】
請求項１に記載の不正アクセス検出装置において、
前記ポリシ違反ログには、前記書込部が事後承認を受付けた旨を示す情報を記録するための事後承認用領域が設けられている不正アクセス検出装置。
【請求項３】
請求項２に記載の不正アクセス検出装置において、
前記事後承認受付部は、
前記サーバにアクセスしてきた前記権限ユーザからのみ、不許可閲覧の事後承認を受付け、
前記書込部は、
前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログと、そのポリシ違反ログと、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録する不正アクセス検出装置。
【請求項４】
請求項３に記載の不正アクセス検出装置において、
前記ログファイルの各アクセスログおよび各ポリシ違反ログには、第二ハッシュ値が記録されており、
前記書込部は、
前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログに記録されている前記第二ハッシュ値と、そのポリシ違反ログに記録されている前記第二ハッシュ値と、を用いて算出された前記第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録する不正アクセス検出装置。
【請求項５】
請求項１から４のいずれか一に記載の不正アクセス検出装置において、さらに、
前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出する不正閲覧抽出部を有し、
前記不正閲覧抽出部は、
前記ログファイルの中から前記ポリシ違反ログを抽出する第一抽出部と、
前記第一抽出部に抽出された前記ポリシ違反ログの中から、前記事後承認を受けた旨を示す情報を記録されていない前記ポリシ違反ログを抽出する第二抽出部と、
を有する不正アクセス検出装置。
【請求項６】
請求項３または４に記載の不正アクセス検出装置において、さらに、
前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出する不正閲覧抽出部を有し、
前記不正閲覧抽出部は、
前記ログファイルの中から前記ポリシ違反ログを抽出する第一抽出部と、
前記第一抽出部に抽出された前記ポリシ違反ログの中から、事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログを抽出する第二抽出部と、
事後承認用領域に前記第一ハッシュ値が記録されている前記ポリシ違反ログそれぞれの前記第一ハッシュ値を用いて、それぞれの前記ポリシ違反ログの前記第一ハッシュ値の記録が不正になされたものか否かを判断する不正判断部と、
前記不正判断部により事後承認用領域の記録は不正になされたものと判断された前記ポリシ違反ログを抽出する第三抽出部と、
前記第二抽出部と前記第三抽出部により抽出された前記ポリシ違反ログを、前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログとして抽出する第四抽出部と、
を有する不正アクセス検出装置。
【請求項７】
請求項１から６のいずれか一に記載の不正アクセス検出装置において、さらに、
前記権限ユーザのアドレス情報を保持するアドレス情報保持部と、
前記不許可閲覧検出部により不許可閲覧が行われた前記アクセスログが検出されるとその旨を、その不許可閲覧された制限情報の閲覧を許可されている前記権限ユーザに、前記アドレス情報を用いて通知する通知部と、
を有する不正アクセス検出装置。
【請求項８】
閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持するステップと、
前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出するステップと、
不許可閲覧が行われた前記アクセスログとして検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録するステップと、
前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付けるステップと、
前記事後承認の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録するステップと、
をコンピュータに実行させる不正アクセス検出プログラム。
【請求項９】
請求項８に記載の不正アクセス検出プログラムにおいて、
前記ポリシ違反ログを生成し、記録するステップは、
前記事後承認を受付けた旨を示す情報を記録するための事後承認用領域が設けられている前記ポリシ違反ログを生成し、前記ログファイルに記録するステップであり、
前記事後承認を受付けるステップは、
前記サーバにアクセスしてきた前記権限ユーザからのみ、不許可閲覧の事後承認を受付けるステップであり、
前記事後承認を受けた旨を示す情報を記録するステップは、
前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログと、そのポリシ違反ログと、を用いて算出された第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録するステップである不正アクセス検出プログラム。
【請求項１０】
請求項９に記載の不正アクセス検出プログラムにおいて、
前記ログファイルの各アクセスログおよび各ポリシ違反ログには、第二ハッシュ値が記録されており、
前記事後承認を受けた旨を示す情報を記録するステップは、
前記ポリシ違反ログに示される不許可閲覧を事後承認した前記アクセスログに記録されている前記第二ハッシュ値と、そのポリシ違反ログに記録されている前記第二ハッシュ値と、を用いて算出された前記第一ハッシュ値を、当該ポリシ違反ログの前記事後承認用領域に記録するステップである不正アクセス検出プログラム。
【請求項１１】
請求項８から１０のいずれか一に記載の不正アクセス検出プログラムにおいて、さらに、
前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出するステップを有し、
前記事後承認を受けていない前記ポリシ違反ログを抽出するステップは、
前記ログファイルの中から前記ポリシ違反ログを抽出するステップと、
前記抽出された前記ポリシ違反ログの中から、前記事後承認を受けた旨を示す情報が記録されていない前記ポリシ違反ログを抽出するステップと、
を有する不正アクセス検出プログラム。
【請求項１２】
請求項９または１０に記載の不正アクセス検出プログラムにおいて、さらに、
前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログを抽出するステップを有し、
前記事後承認を受けていない前記ポリシ違反ログを抽出するステップは、
前記ログファイルの中から前記ポリシ違反ログを抽出するステップと、
前記抽出された前記ポリシ違反ログの中から、事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログを抽出するステップと、
事後承認用領域に前記第一ハッシュ値が記録されている前記ポリシ違反ログそれぞれの前記第一ハッシュ値を用いて、それぞれの前記ポリシ違反ログの前記第一ハッシュ値の記録が不正になされたものか否かを判断するステップと、
事後承認用領域の記録は不正になされたものと判断された前記ポリシ違反ログを抽出するステップと、
事後承認用領域に前記第一ハッシュ値が記録されていない前記ポリシ違反ログ、および、事後承認用領域に不正に前記第一ハッシュ値が記録されている前記ポリシ違反ログ、を前記権限ユーザの事後承認を受けていない不許可閲覧を示す前記ポリシ違反ログとして抽出するステップと、
を有する不正アクセス検出プログラム。
【請求項１３】
閲覧を制限すべき情報である制限情報を複数保持するサーバのアクセスログを取得し、ログファイルとして保持する工程と、
前記複数の制限情報それぞれを特定する情報と、それぞれの前記制限情報の閲覧を許可された権限ユーザを特定する情報と、を対応付けた閲覧許可情報に基づいて、前記アクセスログの中から、閲覧を許可されていないユーザによる不許可閲覧が行われた前記アクセスログを検出する工程と、
不許可閲覧が行われた前記アクセスログとして検出された前記アクセスログの記載内容を利用して、その不許可閲覧の内容を示したポリシ違反ログを生成し、前記ログファイルに記録する工程と、
前記ポリシ違反ログに示される不許可閲覧をされた前記制限情報の前記権限ユーザから、その不許可閲覧の事後承認を受付ける工程と、
前記事後承認の受付に応じて、前記ログファイルに、その不許可閲覧は事後承認を受けた旨を示す情報を記録する工程と、
を有する不正アクセス検出方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２０１１−６５３９７（Ｐ２０１１−６５３９７Ａ）
【公開日】平成２３年３月３１日（２０１１．３．３１）
【国際特許分類】
【出願番号】特願２００９−２１５１９２（Ｐ２００９−２１５１９２）
【出願日】平成２１年９月１７日（２００９．９．１７）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２３年３月３１日（２０１１．３．３１）
【国際特許分類】
【出願日】平成２１年９月１７日（２００９．９．１７）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]