不正操作監視プログラム、不正操作監視方法、及び不正操作監視システム
【課題】 コンピュータに対する不正操作を監視するために、コンピュータを操作するユーザの一連の操作経過から示される不審値を反映して不正スコアを算出する不正操作監視プログラムを提供することを目的とする。
【解決手段】 本発明においては、対象イベントについて不正操作の確率を示す不正スコアを算出すると、算出された不正スコアの水準に対応した不審値（ＰＳＶ）を設定する。次回に新たなイベントが発生した場合には、新たなイベントについて算出したスコア（原スコア）に対して、前回イベントで設定されたＰＳＶを反映した不正スコアを算出することによって、不審値が高い操作が繰り返される場合には、不正スコアとして通常に算出した場合のスコア値より高いスコアが算出されるよう構成されている。
【解決手段】 本発明においては、対象イベントについて不正操作の確率を示す不正スコアを算出すると、算出された不正スコアの水準に対応した不審値（ＰＳＶ）を設定する。次回に新たなイベントが発生した場合には、新たなイベントについて算出したスコア（原スコア）に対して、前回イベントで設定されたＰＳＶを反映した不正スコアを算出することによって、不審値が高い操作が繰り返される場合には、不正スコアとして通常に算出した場合のスコア値より高いスコアが算出されるよう構成されている。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータに対する不正操作を監視するために、コンピュータを操作するユーザの一連の操作経過から示される不審値を反映して不正スコアを算出する不正操作監視プログラム、不正操作監視方法、及び不正操作監視システムに関するものである。
【背景技術】
【０００２】
企業等においてコンピュータを使用する場合、インターネット等のネットワークを通じて外部から不正なデータが侵入を防止することと合わせて、コンピュータの不正操作によって内部からのデータ流出や情報漏洩を防止することが重要な課題となっている。出願人は、このような内部からの情報漏洩を防止するために、コンピュータへの不正操作を自動的に検出して対策を講ずる内部情報漏洩対策システムを提供している（ｈｔｔｐ：／／ｗｗｗ．ｉｗｉ．ｃｏ．ｊｐ／ｊａｐａｎｅｓｅ／ＣＷＡＴ／ｉｎｄｅｘ．ｈｔｍｌ）。
【０００３】
上記の内部情報漏洩対策システムにおいては、コンピュータのユーザによる通常とは異なる特異挙動を監視して、各々の操作についての不正の可能性を判定し、不正行為である可能性が高いと判断される場合には、プリンタへの出力や外部ディスクへの書出しを停止するなどの（例えば、特許文献１参照。）、情報漏洩を防止するための所定の動作を実行する。不正の可能性の判定においては、不正行為の一般的なルールと対照させる他に、ユーザ毎のプロファイルを参照して日常的な操作と異なる特異挙動を検出したり、ユーザ毎のみでなくノード単位でのプロファイルを参照したりするなど（例えば、特許文献２参照。）、様々な判定方法を採用することができる
【０００４】
【特許文献１】特開２００５−１４９２４３号公報
【特許文献２】国際公開第０５／０４８１１９号パンフレット
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記のように、コンピュータに対する操作を監視して不正操作の可能性を判定する場合には、個々に行われた操作に対して、一般的なルールやユーザ毎の行動パターンと対照させることによって、一般的に不正行為であることが多い場合（例えば、大容量のデータの書出しを行う場合）や操作を行ったユーザにとって特異挙動と認められる場合（例えば、通常はコンピュータを操作しないユーザの休日にデータの出力操作を行う場合）に該当すると、不正操作の可能性が高いと判定している。つまり、不正操作の判定は、個々の操作について各々行われることとなっている。
【０００６】
しかしながら、同じ不正操作の可能性が高いと判定される操作であっても、その以前に行われた一連の操作の手順によって、不正操作である可能性は異なることが通常である。例えば、同じ大容量のデータの書出しという操作であっても、通常の業務時間中にコンピュータが起動され、文書の作成等が行われた後に書出しが行われる場合と、業務時間外である深夜にコンピュータが起動され、大容量のデータのコピーから連続して書出しが行われる場合とであれば、一連の操作として捉えた場合には明らかに後者の挙動のほうが不審の度合いが高いものと考えられる。
【０００７】
従って、コンピュータに対する操作を監視して、不正操作である可能性をより精緻に判定するためには、コンピュータに対して行われた操作の不審の度合を個々に捉えて判定するよりも、ユーザの一連の連続操作の流れを反映した不審の度合を示す不審値を用いて判定を行うことが好ましい。
【０００８】
本発明は、このような課題に対応するためになされたものであり、コンピュータに対する不正操作を監視するために、コンピュータを操作するユーザの一連の操作経過から示される不審値を反映して不正スコアを算出する不正操作監視プログラム、不正操作監視方法、及び不正操作監視システムに関するものである。
【課題を解決するための手段】
【０００９】
本発明においては、ユーザの操作が不正操作である可能性を示す不正スコアを算出すると、算出された不正スコアの水準に対応した不審値を設定する。次回に新たな操作が行われた場合には、該操作について算出した新たなスコアに対して、前回の操作で設定された不審値を反映して不正スコアを算出することによって、不正操作の可能性が高い操作が連続して行われる場合や、より不審値が高い操作が繰り返される場合には、不正スコアとしてより高いスコアが算出されるよう構成されている。
【００１０】
本発明にかかる不正操作監視プログラムは、コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視プログラムであって、前記コンピュータのメモリには、前記ユーザの操作によって発生したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値が一時記憶されていて、前記コンピュータに、前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付ステップと、前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記イベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納部、若しくは前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納部の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出ステップと、ｎ−１回目のイベントを受け付けた時間と、ｎ回目のイベントを受け付けた時間との時間差を算出する時間差算出ステップと、前記原スコアに、前記時間差と、前記コンピュータのメモリ領域から読み出した前記不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出ステップと、前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止ステップと、前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させる不審値更新ステップと、を実行させることを特徴とする不正操作監視プログラムである。
【００１１】
また、前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータには、不正スコアのレベルに対応する乗算値を定めて記憶した乗算値記憶部が備えられていて、前記不審値更新ステップにおいては、前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアに対応する乗算値を前記乗算値記憶部から取得し、前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値に前記乗算値を乗じることによって、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新することを特徴とすることもできる。
【００１２】
さらに、前記コンピュータに、前記ユーザからのログインを受け付けると、前記不審値を初期値にセットして前記コンピュータのメモリに一時記憶させる初期値記憶ステップを実行させ、前記イベント受付ステップにおいて受け付けるイベントが、前記ユーザの操作により発生した１回目のイベントである場合には、前記不正スコア算出ステップにおいては、前記原スコア算出ステップで算出した原スコアを不正スコアとして特定し、前記不審値更新ステップにおいては、前記コンピュータのメモリに一時記憶された前記初期値を、前記初期値に前記不正スコア算出ステップで特定された１回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させることを特徴としてもよい。
【００１３】
本発明にかかる不正操作監視方法は、コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視方法であって、前記コンピュータのメモリには、前記ユーザの操作によって発生したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値が一時記憶されていて、前記コンピュータが、前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付ステップと、前記コンピュータが、前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記イベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納部、若しくは前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納部の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出ステップと、前記コンピュータが、ｎ−１回目のイベントを受け付けた時間と、ｎ回目のイベントを受け付けた時間との時間差を算出する時間差算出ステップと、前記コンピュータが、前記原スコアに、前記時間差と、前記コンピュータのメモリ領域から読み出した前記不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出ステップと、前記コンピュータが、前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止ステップと、前記コンピュータが、前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させる不審値更新ステップと、を有することを特徴とする不正操作監視方法である。
【００１４】
また、前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータには、不正スコアのレベルに対応する乗算値を定めて記憶した乗算値記憶部が備えられていて、前記不審値更新ステップにおいては、前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアに対応する乗算値を前記乗算値記憶部から取得し、前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値に前記乗算値を乗じることによって、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新することを特徴とすることもできる。
【００１５】
さらに、前記コンピュータが、前記ユーザからのログインを受け付けると、前記不審値を初期値にセットして前記コンピュータのメモリに一時記憶させる初期値記憶ステップを有していて、前記イベント受付ステップにおいて受け付けるイベントが、前記ユーザの操作により発生した１回目のイベントである場合には、前記不正スコア算出ステップにおいては、前記原スコア算出ステップで算出した原スコアを不正スコアとして特定し、前記不審値更新ステップにおいては、前記コンピュータのメモリに一時記憶された前記初期値を、前記初期値に前記不正スコア算出ステップで特定された１回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させることを特徴としてもよい。
【００１６】
本発明にかかる不正操作監視システムは、コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視システムであって、前記ユーザの操作によって発生したイベントにおける不正スコアを反映して設定した不審値を一時記憶する不審値記憶手段と、前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付手段と、前記イベント受付手段が受け付けたイベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納手段と、前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納手段と、前記不正ルール格納手段、又は前記プロファイル格納手段の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出手段と、ｎ−１回目のイベントを受け付けた時間と、ｎ回目のイベントを受け付けた時間との時間差を算出する時間差算出手段と、前記原スコアに、前記時間差と、前記不審値記憶手段から読み出したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出手段と、前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止手段と、前記不審値記憶手段に記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出手段が算出した不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新する不審値更新手段と、を備えることを特徴とする不正操作監視システムである。
【００１７】
また、前記不正スコア算出手段の算出した不正スコアのレベルに対応する乗算値を定めて記憶した乗算値記憶手段が備えられていて、前記不審値更新手段は、前記不正スコア算出手段が算出したｎ回目のイベントにおける不正スコアに対応する乗算値を前記乗算値記憶手段から取得し、前記不審値記憶手段に一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値に前記乗算値を乗じることによって、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新することを特徴とすることもできる。
【００１８】
さらに、ユーザからのログインを受け付けると、前記不審値記憶手段に記憶する不審値を初期値にセットする不審値初期化手段を備えていて、前記不正スコア算出手段は、前記イベント受付手段が受け付けたイベントが前記ユーザの操作により発生した１回目のイベントである場合には、前記原スコア算出手段が算出した原スコアを不正スコアとして特定し、前記不審値更新手段が１回目のイベントにおける不正スコアを反映して設定した不審値を更新する際には、前記不審値記憶手段に記憶された前記初期値を、前記初期値に前記不正スコア算出手段において特定された不正スコアを反映した不審値に更新することを特徴としてもよい。
【発明の効果】
【００１９】
本発明によると、コンピュータに対する不正操作を監視する際に、コンピュータに対する個々の操作についての不審の度合のみでなく、ユーザの一連の操作経過から示される不審の度合を反映して不正スコアを算出することによって、不審の度合をより精緻に反映したスコア値を算出することが可能になる。より精緻に算出されたスコア値に基づいて不正操作の可能性を判定して対処を行うことによって、内部情報漏洩等に対する安全性を高めることができる。
【発明を実施するための最良の形態】
【００２０】
本発明を実施するための最良の形態について、図面を用いて以下に詳細に説明する。尚、以下に説明する実施形態において例示する不正スコアの算出式や乗算値の設定などの具体例は本発明の一例であって、本発明はかかる実施形態に限定されるものではない。
【００２１】
図１は、本発明にかかる不正操作監視システムの利用形態を示す図である。図２は、本発明にかかる不正操作監視システムの構成を示すブロック図である。図３は、本発明にかかる不正操作監視システムによる不正スコアの算出方法を示す図である。図４は、本発明にかかる不正操作監視システムにおけるＰＳＶ演算テーブルの一例を示す図である。図５は、本発明にかかる不正操作監視システムにおいて原スコアに乗算する値の時間差による変化の例を示す図である。図６〜図１４は、本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す、それぞれ第１〜第９の図である。図１５、図１６は、本発明にかかる不正操作監視システムにおける不正スコア監視のフローを示す、それぞれ第１、第２のフローチャートである。
【００２２】
図１を用いて、本発明にかかる不正操作監視システムの利用形態について説明する。本発明にかかる不正操作監視システムは、主として企業内等における内部情報漏洩対策として導入されるものなので、通常は企業内ＬＡＮ等に接続されるコンピュータにおいて用いられるが、スタンドアローンで設置されるコンピュータにおいて用いることとしてもよい。図１では、企業内ＬＡＮ等のネットワークに接続された一般社員等が利用するユーザ端末におけるオペレーションの監視に用いられる例を示しているが、ユーザ端末には監視用のプログラムが備えられ、各々の端末において不正の可能性が高いと判定されたオペレーションにより実行される動作を停止させるための処理を行う。
【００２３】
また、本発明にかかる不正操作監視システムは、ユーザ端末に対するオペレーションの他にも、監視用サーバにおいてネットワークを流れるデータをセグメント単位又はネットワーク全体で監視する場合や、メールサーバから送受信されるメールの監視、ゲートウェイを経由するデータの監視などにも適用することが可能である。これらの監視において、監視対象となるのはコンピュータに対して実行されるオペレーションに限られず、ネットワークから取得するデータやサーバに書き込まれたデータを監視することになるが、これらのデータにルール等を適用して不正スコアを算出する点においては、オペレーションを対象に不正スコアを算出する場合と異なるものではないため、本発明による不正スコアの演算方式を同様に適用することが可能である。
【００２４】
尚、不正スコアを算出するための一般的なルールや特異挙動を判断するためのユーザ毎のプロファイルは、監視用プログラムが備えられる各々のコンピュータに格納されるのが通常であるが、ネットワーク内の不正監視サーバ等に格納しておいて、不正スコアの算出時には不正監視サーバにアクセスして、ルールやプロファイルを参照するよう構成してもよい。
【００２５】
図２において、本発明にかかる不正操作監視システムは、ＬＡＮに接続されたコンピュータ１０に備えられている。コンピュータ１０において、ＨＤＤ１４に格納されたアプリケーションプログラムによって所定の処理を実行するためには、ＲＯＭ１３に記憶された入力制御や出力制御などのハードウェア制御のための基本的な各種プログラムを起動し、ＲＡＭ１２をアプリケーションプログラムのワークエリアとして機能させながら、ＣＰＵ１１が演算処理を行う。
【００２６】
ＨＤＤ１４には、コンピュータ１０が受け付けたオペレーションが不正でないかを判定する不正判定プログラム１４１、不正判定の一部に用いられる、一連の操作経過の不審の度合を示す不審値（以下の説明においては、Ｐｒｅｖｉｏｕｓ Ｓｔａｔｕｓ Ｖａｌｕｅの略から「ＰＳＶ」と称する。）を算出するＰＳＶ演算プログラム１４２が格納されている。また、不正判定プログラム１４１により算出された不正スコアから、次回の判定に用いられるＰＳＶを算出する際に参照されるＰＳＶ演算テーブル１４３が記憶されている。
【００２７】
ＲＡＭ１２にはＰＳＶを記憶させるための領域であるＰＳＶ記憶部１２１が設けられ、ＰＳＶ演算プログラム１４２によって算出されたＰＳＶは、ＰＳＶ記憶部１２１に一時記憶される。一時記憶されたＰＳＶは次回の不正スコア算出の際に読み出され、次回の不正スコアが算出された際には該不正スコアを反映した新たなＰＳＶに更新されて、ＰＳＶ記憶部１２１に一時記憶される。尚、ＰＳＶ記憶部１２１は、ＨＤＤ１４の仮想メモリ領域に設けられるものであってもよい。
【００２８】
さらに、ＨＤＤ１４には、コンピュータ１０が受け付けたオペレーションの内容と受付時間等に関する情報を蓄積するオペレーションログ格納部１４４が備えられている。不正判定プログラム１４１によって不正スコアを算出するために、スコア算出の基準として用いられるユーザ毎の挙動パターンを定めたユーザプロファイル格納部１４５、不正操作に関する一般的なパターンをルール化した不正判定ルール格納部１４６等が備えられているが、これらの一部又は全部を不正監視サーバ５０に備えて、不正スコアの算出毎にＬＡＮを介して参照することとしてもよい。また、不正判定ルール格納部１４６をコンピュータ１０のＨＤＤ１４に備える場合には、不正監視サーバ５０から新たに設定されたルールを送信して、不正判定ルール格納部１４６に格納されたルールを随時更新することとしてもよい。
【００２９】
不正判定プログラム１４１によって、受け付けたオペレーションが不正である可能性が高いと判定された場合には、不正判定プログラム１４１は該オペレーションを停止させるための動作を実行する。例えば、ＬＡＮを通じて外部にデータを送信するオペレーションが不正と判定された場合には、ＮＩＣ１５にデータの送信を停止する命令を発信し、出力装置３０や外部記憶装置４０にデータの出力や書出しを行うオペレーションが不正と判定された場合には、外部接続バス１６に送信された出力命令や書出命令を停止させる命令を発信する。
【００３０】
ここで、ＰＳＶを用いて一連の操作経過の不審の度合を反映した不正スコアを算出する方法について、図３を用いて説明する。コンピュータが、ユーザが行ったオペレーションにより発生した不正スコアの算出対象となるイベントを受け付けると、従来の不正判定システムと同様に、不正判定のためのルールやユーザの通常の挙動パターンを記録したユーザプロファイルを参照して、不正である可能性を示す原スコア（以下、Ｄｉｒｅｃｔ Ｓｃｏｒｅ＝「ＤＳ」とする。）を算出する。従来の不正判定システムにおいては、ここで算出された原スコアがそのまま不正スコアとして採用される。
【００３１】
これに対して本発明では、原スコアに対して直前のイベントまでの操作経過の不審の度合をスコアに反映するために、所定の数値を用いて調整した不正スコア（以下、Ｍｏｄｉｆｉｅｄ Ｓｃｏｒｅ＝「ＭＳ」とする。）を算出する。具体的には、前回イベントから対象イベントまでの時間差に関する数値（以下、「Ｔｅｒｍ％」とする。）と、直前のイベントまでの不審の度合を反映したＰＳＶを、不正スコアの調整に用いる。
【００３２】
前回イベントから対象イベントまでの時間差については、一般に時間差が短いほど不審の度合が高いと考えられる。そこで、例えば、
Ｔｅｒｍ％＝１．００−{（対象イベント発生時間−前回イベント発生時間）÷１００}
（発生時間の単位は分）
により算出することとする。
【００３３】
ＰＳＶについては、同じオペレーションであっても、不正の可能性が高いオペレーションが連続して行われるほど、より高い不正スコアが算出されるように設定することが好ましい。なぜならば、例えば不正の可能性が高い大量なファイルの書き出しというオペレーションであっても、通常の勤務時間中に文書ファイルの作成等の一般的なオペレーションの後に実行される場合と、勤務時間外の夜間にコンピュータが立ち上げられ、普段はアクセスすることが少ないファイルにアクセスした後に実行される場合を比較すれば、後者のほうが明らかに不正である可能性が高いと考えられるからである。
【００３４】
そこで、ＰＳＶの設定には、例えば図４の例に示したようなＰＳＶ演算テーブルを用いて、対象イベントにより算出された不正スコアのレベルに応じて、対応する乗算値を前回イベントにより設定されたＰＳＶに乗じていくことによって、不正の可能性が高いオペレーションが連続して行われるほど、ＰＳＶの値を高く設定することが可能になる。尚、ＰＳＶは、対象となるユーザがコンピュータにログインした段階で初期値（＝１．００）に設定し、ログオフされるまでの間は、随時更新されることとする。
【００３５】
つまり、ログイン時には、
ＰＳＶ＝１．００
と設定され、初回のイベントの不正スコアから乗算値が１．３０と特定された場合、
ＰＳＶ＝１．００×１．３０＝１．３０
に更新される。さらに、次回イベントの不正スコアからも乗算値が１．３０と特定された場合は、
ＰＳＶ＝１．３０×１．３０＝１．６９
となり、高い不正スコアが連続して算出された場合には、ＰＳＶの値も順次増加していくことになる。
【００３６】
これまで説明したように、Ｔｅｒｍ％、ＰＳＶを算出することとすると、不正スコア（ＭＳ）は、例えば、
ＭＳ＝ＤＳ×{（ＰＳＶ−１．００）×Ｔｅｒｍ％＋１．００}
によって算出するものと定義することができる。このような算出式によると、オペレーションが短時間に連続するほど（＝Ｔｅｒｍ％の値が大きいほど）、不正の可能性が高いオペレーションが連続するほど（＝ＰＳＶが高いほど）、対象イベントのみから算出した原スコア（ＤＳ）より、実態を精緻に反映した不正スコア（ＭＳ）を算出することができる。
【００３７】
上記のように、不正スコア（ＭＳ）は、原スコア（ＤＳ）に
（ＰＳＶ−１．００）×Ｔｅｒｍ％＋１．００
を乗算することによって求められるが、対象イベント発生時間と前回イベント発生時間の時間差が１００分となれば
Ｔｅｒｍ％＝０
となるので、原スコア（ＤＳ）に乗算する値は０ということになる。この関係を例示したものが図５で、点線はＰＳＶ＝１．３０の場合に時間差によって乗算する値が変化する様子を、破線はＰＳＶ＝０．９０の場合に時間差によって乗算する値が変化する様子を示している。つまり、不審な挙動が連続してＰＳＶが高くなっている場合であっても、前回イベントとの間の時間差が拡大するにつれて、前回イベントとの関連性が低いものと判断して、乗算する値は１．００に収束することになる。正常な挙動が連続してＰＳＶが低くなっている場合でも同様に、前回イベントとの間の時間差が拡大するにつれて、前回イベントとの関連性が低いものと判断して、乗算する値は１．００に収束することになる。
【００３８】
続いて、図６〜図１４を用いて、本発明にかかる不正操作監視システムにおける不正スコア監視のための動作について説明する。尚、図６〜図１４に示すメインメモリは、コンピュータに備えられたメインメモリの他に、ハードディスク上の仮想メモリも含むものとする。
【００３９】
まず、図６に示したようにユーザがコンピュータにログインを行うと、ＰＳＶの初期値である１．００が、メインメモリの所定の記憶領域（図２であればＰＳＶ記憶部１２１）に一時記憶される。
【００４０】
図７に示したように、ログインしたユーザが最初のオペレーションを行うと、該オペレーションにより発生したイベント１を受け付けて、イベント１が不正なオペレーションによるものかを判定するために、ハードディスクからメインメモリに不正判定プログラム（図２であれば不正判定プログラム１４１）が読み出される。読み出された不正判定プログラムによって、イベント１が不正である可能性を示す原スコアが算出されるが、原スコアを算出するためのスコアリングモデルについては特に限定されるものではない。
【００４１】
例えば、イベント１をユーザの通常の挙動パターンを定めたユーザプロファイルと対比して、該ユーザについて特異挙動に該当しないかから不正である可能性を判断してもよいし、イベント１を一般的な不正のパターンを定義した不正判定ルールと対比して、経験則的に不正であることが多いパターンに該当しないかから不正である可能性を判断することとしてもよい。
【００４２】
さらに、図８に示したように、受け付けたイベント１に関する情報を、ハードディスクの所定の記憶領域（図２であればオペレーションログ格納部１４４）に、ログとして記録する。記録する情報には、イベント１が発生した時間（受け付けた時間でもよい）が含まれる。
【００４３】
初回のイベントについての不正スコアを算出する際には、ログイン後については前回イベントが存在しないため、前回イベントとの時間差を算出することができない。また、ＰＳＶは初期値である１．００と設定されている。従って、初回の不正スコアについては、図８に示したように先に算出された原スコアがそのまま採用される。
【００４４】
このようにしてイベント１についての不正スコアが算出されると、不正スコアが所定の閾値を超えるか否かによって、イベント１を発生させたオペレーションが不正であるか否かを判定する。閾値を超える場合には、図９に示したように、イベント１を発生させたオペレーションを停止させるためのコマンド、例えばプリンタへの出力や外部ディスクへの書き出しの停止処理、ネットワークとの接続を切断する処理や電子メールの送信停止処理などを実行する。閾値を超えない場合には、イベント１による処理がそのまま実行される。
【００４５】
イベント１についての不正判定が終了すると、算出した不正スコアを反映してＰＳＶを更新するために、図１０に示したように、ハードディスクからメインメモリにＰＳＶ演算プログラム（図２であればＰＳＶ演算プログラム１４２）が読み出される。読み出されたＰＳＶ演算プログラムによって、イベント１について算出された不正スコアを反映した新たなＰＳＶが算出され、メインメモリに一時記憶されたＰＳＶの値が更新される。
【００４６】
新たなＰＳＶの算出は、ハードディスクに記憶されたＰＳＶ演算テーブル（図２であればＰＳＶ演算テーブル１４３）を参照し、イベント１について算出された不正スコアに対応する乗算値を取得して、ＰＳＶの初期値として記憶されている１．００に取得した乗算値を乗じることによって算出される。メインメモリの所定の記憶領域に一時記憶されたＰＳＶの初期値は、算出された新たなＰＳＶ（図１０の「１．××」）に更新される。
【００４７】
次に、図１１に示したように、同一のユーザが２回目のオペレーションを行うと、該オペレーションにより発生したイベント２を受け付けて、イベント２が不正なオペレーションによるものかを判定するために、ハードディスクからメインメモリに不正判定プログラムが読み出される。読み出された不正判定プログラムによって、イベント２が不正である可能性を示す原スコアが算出される。
【００４８】
また、図１２に示したように、受け付けたイベント２に関する情報を、ハードディスクの所定の記憶領域に、ログとして記録する。記録する情報には、イベント２が発生した時間（受け付けた時間でもよい）が含まれる。さらに、記録されたログから前回イベントであるイベント１が発生した時間を取得して、イベント２が発生した時間との時間差を算出する。
【００４９】
イベント２についての不正スコアを算出する際には、算出した時間差と、メインメモリに一時記憶されているＰＳＶが用いられる。不正スコアの算出式に時間差とＰＳＶをどのように用いるかは特に限定されるものではないが、ＰＳＶが高い値であるほど不正スコアが高い値となるように、時間差が長いほどＰＳＶによる影響を緩和させるように用いることが好ましい。原スコアにかかる算出式を適用して、図１２に示したようにイベント２についての不正スコアが算出される。
【００５０】
このようにしてイベント２についての不正スコアが算出されると、不正スコアが所定の閾値を超えるか否かによって、イベント２を発生させたオペレーションが不正であるか否かを判定する。閾値を超える場合には、図１３に示したように、イベント２を発生させたオペレーションを停止させるためのコマンドを実行する。閾値を超えない場合には、イベント２による処理がそのまま実行される。
【００５１】
イベント２についての不正判定が終了すると、算出した不正スコアを反映してＰＳＶを更新するために、図１４に示したように、ハードディスクからメインメモリにＰＳＶ演算プログラムが読み出される。読み出されたＰＳＶ演算プログラムによって、イベント２について算出された不正スコアを反映した新たなＰＳＶが算出され、メインメモリに記憶されたＰＳＶの値が更新される。
【００５２】
新たなＰＳＶの算出は、ハードディスクに記憶されたＰＳＶ演算テーブルを参照し、イベント２について算出された不正スコアに対応する乗算値を取得して、前回イベントであるイベント１の不正スコアを反映した値として一時記憶されているＰＳＶ＝１．××に、取得した乗算値を乗じることによって算出される。メインメモリの所定の記憶領域に一時記憶されたＰＳＶ＝１．××は、算出された新たなＰＳＶ（図１４の「１．△△」）に更新される。
【００５３】
さらに、続いて同一のユーザが３回目以降のオペレーションを連続して行うと、各回のオペレーション毎に、図１１〜図１４によって説明したのと同様の処理が繰り返される。ＰＳＶは同一のユーザのログインからログオフまでの間は更新が継続され、メインメモリにおいて保持される。
【００５４】
尚、図６〜図１４においては、コンピュータに対してユーザが実行するオペレーションが不正でないかを判定する例について説明したが、ここで説明したＰＳＶや時間差を用いた不正スコアの算出方法については、不正操作の監視はコンピュータに実行されたオペレーションを直接監視する場合に限られず、例えばＬＡＮ等のネットワークを流れるデータによって不正なデータの送受信等を監視したり、ゲートウェイを通過するデータによって不正なデータ送受信等を監視したりする場合の、不正スコアの算出に適用することも可能である。この場合、受け付けるイベントに換えて、監視用のサーバがネットワークから取得したデータや、ゲートウェイを通過するデータが、原スコアを算出する対象になる。
【００５５】
図１５、図１６を用いて、本発明にかかる不正操作監視システムにおける不正スコア監視のフローについて説明する。まず、コンピュータが対象となるイベントを受け付けると（Ｓ０１）、不正判定ルールやユーザプロファイルを参照して（Ｓ０２、Ｓ０３）、対象イベントの内容のみを反映した原スコアを算出する（Ｓ０４）。
【００５６】
対象イベントが初回のイベントでない場合には（Ｓ０５）、前回受け付けたイベントの発生時間をログから読み出して（Ｓ０６）、今回受け付けた対象イベントの発生時間との時間差を算出する（Ｓ０７）。対象イベントが初回のイベントである場合には、ステップ０６、ステップ０７の処理は実行されない。
【００５７】
次に、一時記憶されているＰＳＶを読み出して（Ｓ０８）、原スコアに時間差とＰＳＶを適用して、ユーザの一連の操作経過から示される不審の度合を反映した不正スコアを算出する（Ｓ０９）。算出された不正スコアが、不正と判断するための基準値を超過していないかを確認し（Ｓ１０）、基準値を超過している場合には、対象イベントを発生させたオペレーションによる処理を停止させるための処理を実行する（Ｓ１１）。基準値を超過していない場合には、該オペレーションによる処理は停止されないため、そのまま実行される。以上の図１５に示したフローにより、対象イベントについての不正判定が終了する。
【００５８】
このようにして対象イベントについての不正判定が終了すると、図１６のフローに示したＰＳＶ更新の処理が行われる。不正判定の処理が終了すると、ＰＳＶ演算テーブルを参照して（Ｓ１２）、対象イベントについて算出された不正スコアに対応する乗算値を特定する（Ｓ１３）。特定した乗算値を一時記憶されたＰＳＶに乗じて新たなＰＳＶを算出し（Ｓ１４）、一時記憶されたＰＳＶを算出されたＰＳＶに更新することによって、ＰＳＶ更新の処理を終了する。
【００５９】
尚、図１５及び図１６に示した、不正スコアが基準値を超過するかによってオペレーションの停止を実行する処理（Ｓ１０〜Ｓ１１）と、ＰＳＶ更新の処理（Ｓ１２〜Ｓ１５）の処理順序については特に限定されるのではなく、先の説明とは逆に、ＰＳＶ更新の後に不正スコアと基準値の対比を行うこととしてもよい。
【図面の簡単な説明】
【００６０】
【図１】本発明にかかる不正操作監視システムの利用形態を示す図である。
【図２】本発明にかかる不正操作監視システムの構成を示すブロック図である。
【図３】本発明にかかる不正操作監視システムによる不正スコアの算出方法を示す図である。
【図４】本発明にかかる不正操作監視システムにおけるＰＳＶ演算テーブルの一例を示す図である。
【図５】本発明にかかる不正操作監視システムにおいて原スコアに乗算する値の時間差による変化の例を示す図である。
【図６】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第１の図である。
【図７】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第２の図である。
【図８】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第３の図である。
【図９】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第４の図である。
【図１０】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第５の図である。
【図１１】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第６の図である。
【図１２】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第７の図である。
【図１３】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第８の図である。
【図１４】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第９の図である。
【図１５】本発明にかかる不正操作監視システムにおける不正スコア監視のフローを示す第１のフローチャートである。
【図１６】本発明にかかる不正操作監視システムにおける不正スコア監視のフローを示す第２のフローチャートである。
【符号の説明】
【００６１】
１０ コンピュータ
１１ ＣＰＵ
１２ ＲＡＭ
１２１ ＰＳＶ記憶部
１３ ＲＯＭ
１４ ＨＤＤ
１４１ 不正判定プログラム
１４２ ＰＳＶ演算プログラム
１４３ ＰＳＶ演算テーブル
１４４ オペレーションログ格納部
１４５ ユーザプロファイル格納部
１４６ 不正判定ルール格納部
１５ ＮＩＣ
１６ 外部接続バス
２０ 入力装置
３０ 出力装置
４０ 外部記憶装置
５０ 不正監視サーバ
【技術分野】
【０００１】
本発明は、コンピュータに対する不正操作を監視するために、コンピュータを操作するユーザの一連の操作経過から示される不審値を反映して不正スコアを算出する不正操作監視プログラム、不正操作監視方法、及び不正操作監視システムに関するものである。
【背景技術】
【０００２】
企業等においてコンピュータを使用する場合、インターネット等のネットワークを通じて外部から不正なデータが侵入を防止することと合わせて、コンピュータの不正操作によって内部からのデータ流出や情報漏洩を防止することが重要な課題となっている。出願人は、このような内部からの情報漏洩を防止するために、コンピュータへの不正操作を自動的に検出して対策を講ずる内部情報漏洩対策システムを提供している（ｈｔｔｐ：／／ｗｗｗ．ｉｗｉ．ｃｏ．ｊｐ／ｊａｐａｎｅｓｅ／ＣＷＡＴ／ｉｎｄｅｘ．ｈｔｍｌ）。
【０００３】
上記の内部情報漏洩対策システムにおいては、コンピュータのユーザによる通常とは異なる特異挙動を監視して、各々の操作についての不正の可能性を判定し、不正行為である可能性が高いと判断される場合には、プリンタへの出力や外部ディスクへの書出しを停止するなどの（例えば、特許文献１参照。）、情報漏洩を防止するための所定の動作を実行する。不正の可能性の判定においては、不正行為の一般的なルールと対照させる他に、ユーザ毎のプロファイルを参照して日常的な操作と異なる特異挙動を検出したり、ユーザ毎のみでなくノード単位でのプロファイルを参照したりするなど（例えば、特許文献２参照。）、様々な判定方法を採用することができる
【０００４】
【特許文献１】特開２００５−１４９２４３号公報
【特許文献２】国際公開第０５／０４８１１９号パンフレット
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記のように、コンピュータに対する操作を監視して不正操作の可能性を判定する場合には、個々に行われた操作に対して、一般的なルールやユーザ毎の行動パターンと対照させることによって、一般的に不正行為であることが多い場合（例えば、大容量のデータの書出しを行う場合）や操作を行ったユーザにとって特異挙動と認められる場合（例えば、通常はコンピュータを操作しないユーザの休日にデータの出力操作を行う場合）に該当すると、不正操作の可能性が高いと判定している。つまり、不正操作の判定は、個々の操作について各々行われることとなっている。
【０００６】
しかしながら、同じ不正操作の可能性が高いと判定される操作であっても、その以前に行われた一連の操作の手順によって、不正操作である可能性は異なることが通常である。例えば、同じ大容量のデータの書出しという操作であっても、通常の業務時間中にコンピュータが起動され、文書の作成等が行われた後に書出しが行われる場合と、業務時間外である深夜にコンピュータが起動され、大容量のデータのコピーから連続して書出しが行われる場合とであれば、一連の操作として捉えた場合には明らかに後者の挙動のほうが不審の度合いが高いものと考えられる。
【０００７】
従って、コンピュータに対する操作を監視して、不正操作である可能性をより精緻に判定するためには、コンピュータに対して行われた操作の不審の度合を個々に捉えて判定するよりも、ユーザの一連の連続操作の流れを反映した不審の度合を示す不審値を用いて判定を行うことが好ましい。
【０００８】
本発明は、このような課題に対応するためになされたものであり、コンピュータに対する不正操作を監視するために、コンピュータを操作するユーザの一連の操作経過から示される不審値を反映して不正スコアを算出する不正操作監視プログラム、不正操作監視方法、及び不正操作監視システムに関するものである。
【課題を解決するための手段】
【０００９】
本発明においては、ユーザの操作が不正操作である可能性を示す不正スコアを算出すると、算出された不正スコアの水準に対応した不審値を設定する。次回に新たな操作が行われた場合には、該操作について算出した新たなスコアに対して、前回の操作で設定された不審値を反映して不正スコアを算出することによって、不正操作の可能性が高い操作が連続して行われる場合や、より不審値が高い操作が繰り返される場合には、不正スコアとしてより高いスコアが算出されるよう構成されている。
【００１０】
本発明にかかる不正操作監視プログラムは、コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視プログラムであって、前記コンピュータのメモリには、前記ユーザの操作によって発生したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値が一時記憶されていて、前記コンピュータに、前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付ステップと、前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記イベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納部、若しくは前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納部の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出ステップと、ｎ−１回目のイベントを受け付けた時間と、ｎ回目のイベントを受け付けた時間との時間差を算出する時間差算出ステップと、前記原スコアに、前記時間差と、前記コンピュータのメモリ領域から読み出した前記不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出ステップと、前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止ステップと、前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させる不審値更新ステップと、を実行させることを特徴とする不正操作監視プログラムである。
【００１１】
また、前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータには、不正スコアのレベルに対応する乗算値を定めて記憶した乗算値記憶部が備えられていて、前記不審値更新ステップにおいては、前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアに対応する乗算値を前記乗算値記憶部から取得し、前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値に前記乗算値を乗じることによって、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新することを特徴とすることもできる。
【００１２】
さらに、前記コンピュータに、前記ユーザからのログインを受け付けると、前記不審値を初期値にセットして前記コンピュータのメモリに一時記憶させる初期値記憶ステップを実行させ、前記イベント受付ステップにおいて受け付けるイベントが、前記ユーザの操作により発生した１回目のイベントである場合には、前記不正スコア算出ステップにおいては、前記原スコア算出ステップで算出した原スコアを不正スコアとして特定し、前記不審値更新ステップにおいては、前記コンピュータのメモリに一時記憶された前記初期値を、前記初期値に前記不正スコア算出ステップで特定された１回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させることを特徴としてもよい。
【００１３】
本発明にかかる不正操作監視方法は、コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視方法であって、前記コンピュータのメモリには、前記ユーザの操作によって発生したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値が一時記憶されていて、前記コンピュータが、前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付ステップと、前記コンピュータが、前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記イベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納部、若しくは前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納部の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出ステップと、前記コンピュータが、ｎ−１回目のイベントを受け付けた時間と、ｎ回目のイベントを受け付けた時間との時間差を算出する時間差算出ステップと、前記コンピュータが、前記原スコアに、前記時間差と、前記コンピュータのメモリ領域から読み出した前記不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出ステップと、前記コンピュータが、前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止ステップと、前記コンピュータが、前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させる不審値更新ステップと、を有することを特徴とする不正操作監視方法である。
【００１４】
また、前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータには、不正スコアのレベルに対応する乗算値を定めて記憶した乗算値記憶部が備えられていて、前記不審値更新ステップにおいては、前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアに対応する乗算値を前記乗算値記憶部から取得し、前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値に前記乗算値を乗じることによって、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新することを特徴とすることもできる。
【００１５】
さらに、前記コンピュータが、前記ユーザからのログインを受け付けると、前記不審値を初期値にセットして前記コンピュータのメモリに一時記憶させる初期値記憶ステップを有していて、前記イベント受付ステップにおいて受け付けるイベントが、前記ユーザの操作により発生した１回目のイベントである場合には、前記不正スコア算出ステップにおいては、前記原スコア算出ステップで算出した原スコアを不正スコアとして特定し、前記不審値更新ステップにおいては、前記コンピュータのメモリに一時記憶された前記初期値を、前記初期値に前記不正スコア算出ステップで特定された１回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させることを特徴としてもよい。
【００１６】
本発明にかかる不正操作監視システムは、コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視システムであって、前記ユーザの操作によって発生したイベントにおける不正スコアを反映して設定した不審値を一時記憶する不審値記憶手段と、前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付手段と、前記イベント受付手段が受け付けたイベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納手段と、前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納手段と、前記不正ルール格納手段、又は前記プロファイル格納手段の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出手段と、ｎ−１回目のイベントを受け付けた時間と、ｎ回目のイベントを受け付けた時間との時間差を算出する時間差算出手段と、前記原スコアに、前記時間差と、前記不審値記憶手段から読み出したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出手段と、前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止手段と、前記不審値記憶手段に記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出手段が算出した不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新する不審値更新手段と、を備えることを特徴とする不正操作監視システムである。
【００１７】
また、前記不正スコア算出手段の算出した不正スコアのレベルに対応する乗算値を定めて記憶した乗算値記憶手段が備えられていて、前記不審値更新手段は、前記不正スコア算出手段が算出したｎ回目のイベントにおける不正スコアに対応する乗算値を前記乗算値記憶手段から取得し、前記不審値記憶手段に一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値に前記乗算値を乗じることによって、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新することを特徴とすることもできる。
【００１８】
さらに、ユーザからのログインを受け付けると、前記不審値記憶手段に記憶する不審値を初期値にセットする不審値初期化手段を備えていて、前記不正スコア算出手段は、前記イベント受付手段が受け付けたイベントが前記ユーザの操作により発生した１回目のイベントである場合には、前記原スコア算出手段が算出した原スコアを不正スコアとして特定し、前記不審値更新手段が１回目のイベントにおける不正スコアを反映して設定した不審値を更新する際には、前記不審値記憶手段に記憶された前記初期値を、前記初期値に前記不正スコア算出手段において特定された不正スコアを反映した不審値に更新することを特徴としてもよい。
【発明の効果】
【００１９】
本発明によると、コンピュータに対する不正操作を監視する際に、コンピュータに対する個々の操作についての不審の度合のみでなく、ユーザの一連の操作経過から示される不審の度合を反映して不正スコアを算出することによって、不審の度合をより精緻に反映したスコア値を算出することが可能になる。より精緻に算出されたスコア値に基づいて不正操作の可能性を判定して対処を行うことによって、内部情報漏洩等に対する安全性を高めることができる。
【発明を実施するための最良の形態】
【００２０】
本発明を実施するための最良の形態について、図面を用いて以下に詳細に説明する。尚、以下に説明する実施形態において例示する不正スコアの算出式や乗算値の設定などの具体例は本発明の一例であって、本発明はかかる実施形態に限定されるものではない。
【００２１】
図１は、本発明にかかる不正操作監視システムの利用形態を示す図である。図２は、本発明にかかる不正操作監視システムの構成を示すブロック図である。図３は、本発明にかかる不正操作監視システムによる不正スコアの算出方法を示す図である。図４は、本発明にかかる不正操作監視システムにおけるＰＳＶ演算テーブルの一例を示す図である。図５は、本発明にかかる不正操作監視システムにおいて原スコアに乗算する値の時間差による変化の例を示す図である。図６〜図１４は、本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す、それぞれ第１〜第９の図である。図１５、図１６は、本発明にかかる不正操作監視システムにおける不正スコア監視のフローを示す、それぞれ第１、第２のフローチャートである。
【００２２】
図１を用いて、本発明にかかる不正操作監視システムの利用形態について説明する。本発明にかかる不正操作監視システムは、主として企業内等における内部情報漏洩対策として導入されるものなので、通常は企業内ＬＡＮ等に接続されるコンピュータにおいて用いられるが、スタンドアローンで設置されるコンピュータにおいて用いることとしてもよい。図１では、企業内ＬＡＮ等のネットワークに接続された一般社員等が利用するユーザ端末におけるオペレーションの監視に用いられる例を示しているが、ユーザ端末には監視用のプログラムが備えられ、各々の端末において不正の可能性が高いと判定されたオペレーションにより実行される動作を停止させるための処理を行う。
【００２３】
また、本発明にかかる不正操作監視システムは、ユーザ端末に対するオペレーションの他にも、監視用サーバにおいてネットワークを流れるデータをセグメント単位又はネットワーク全体で監視する場合や、メールサーバから送受信されるメールの監視、ゲートウェイを経由するデータの監視などにも適用することが可能である。これらの監視において、監視対象となるのはコンピュータに対して実行されるオペレーションに限られず、ネットワークから取得するデータやサーバに書き込まれたデータを監視することになるが、これらのデータにルール等を適用して不正スコアを算出する点においては、オペレーションを対象に不正スコアを算出する場合と異なるものではないため、本発明による不正スコアの演算方式を同様に適用することが可能である。
【００２４】
尚、不正スコアを算出するための一般的なルールや特異挙動を判断するためのユーザ毎のプロファイルは、監視用プログラムが備えられる各々のコンピュータに格納されるのが通常であるが、ネットワーク内の不正監視サーバ等に格納しておいて、不正スコアの算出時には不正監視サーバにアクセスして、ルールやプロファイルを参照するよう構成してもよい。
【００２５】
図２において、本発明にかかる不正操作監視システムは、ＬＡＮに接続されたコンピュータ１０に備えられている。コンピュータ１０において、ＨＤＤ１４に格納されたアプリケーションプログラムによって所定の処理を実行するためには、ＲＯＭ１３に記憶された入力制御や出力制御などのハードウェア制御のための基本的な各種プログラムを起動し、ＲＡＭ１２をアプリケーションプログラムのワークエリアとして機能させながら、ＣＰＵ１１が演算処理を行う。
【００２６】
ＨＤＤ１４には、コンピュータ１０が受け付けたオペレーションが不正でないかを判定する不正判定プログラム１４１、不正判定の一部に用いられる、一連の操作経過の不審の度合を示す不審値（以下の説明においては、Ｐｒｅｖｉｏｕｓ Ｓｔａｔｕｓ Ｖａｌｕｅの略から「ＰＳＶ」と称する。）を算出するＰＳＶ演算プログラム１４２が格納されている。また、不正判定プログラム１４１により算出された不正スコアから、次回の判定に用いられるＰＳＶを算出する際に参照されるＰＳＶ演算テーブル１４３が記憶されている。
【００２７】
ＲＡＭ１２にはＰＳＶを記憶させるための領域であるＰＳＶ記憶部１２１が設けられ、ＰＳＶ演算プログラム１４２によって算出されたＰＳＶは、ＰＳＶ記憶部１２１に一時記憶される。一時記憶されたＰＳＶは次回の不正スコア算出の際に読み出され、次回の不正スコアが算出された際には該不正スコアを反映した新たなＰＳＶに更新されて、ＰＳＶ記憶部１２１に一時記憶される。尚、ＰＳＶ記憶部１２１は、ＨＤＤ１４の仮想メモリ領域に設けられるものであってもよい。
【００２８】
さらに、ＨＤＤ１４には、コンピュータ１０が受け付けたオペレーションの内容と受付時間等に関する情報を蓄積するオペレーションログ格納部１４４が備えられている。不正判定プログラム１４１によって不正スコアを算出するために、スコア算出の基準として用いられるユーザ毎の挙動パターンを定めたユーザプロファイル格納部１４５、不正操作に関する一般的なパターンをルール化した不正判定ルール格納部１４６等が備えられているが、これらの一部又は全部を不正監視サーバ５０に備えて、不正スコアの算出毎にＬＡＮを介して参照することとしてもよい。また、不正判定ルール格納部１４６をコンピュータ１０のＨＤＤ１４に備える場合には、不正監視サーバ５０から新たに設定されたルールを送信して、不正判定ルール格納部１４６に格納されたルールを随時更新することとしてもよい。
【００２９】
不正判定プログラム１４１によって、受け付けたオペレーションが不正である可能性が高いと判定された場合には、不正判定プログラム１４１は該オペレーションを停止させるための動作を実行する。例えば、ＬＡＮを通じて外部にデータを送信するオペレーションが不正と判定された場合には、ＮＩＣ１５にデータの送信を停止する命令を発信し、出力装置３０や外部記憶装置４０にデータの出力や書出しを行うオペレーションが不正と判定された場合には、外部接続バス１６に送信された出力命令や書出命令を停止させる命令を発信する。
【００３０】
ここで、ＰＳＶを用いて一連の操作経過の不審の度合を反映した不正スコアを算出する方法について、図３を用いて説明する。コンピュータが、ユーザが行ったオペレーションにより発生した不正スコアの算出対象となるイベントを受け付けると、従来の不正判定システムと同様に、不正判定のためのルールやユーザの通常の挙動パターンを記録したユーザプロファイルを参照して、不正である可能性を示す原スコア（以下、Ｄｉｒｅｃｔ Ｓｃｏｒｅ＝「ＤＳ」とする。）を算出する。従来の不正判定システムにおいては、ここで算出された原スコアがそのまま不正スコアとして採用される。
【００３１】
これに対して本発明では、原スコアに対して直前のイベントまでの操作経過の不審の度合をスコアに反映するために、所定の数値を用いて調整した不正スコア（以下、Ｍｏｄｉｆｉｅｄ Ｓｃｏｒｅ＝「ＭＳ」とする。）を算出する。具体的には、前回イベントから対象イベントまでの時間差に関する数値（以下、「Ｔｅｒｍ％」とする。）と、直前のイベントまでの不審の度合を反映したＰＳＶを、不正スコアの調整に用いる。
【００３２】
前回イベントから対象イベントまでの時間差については、一般に時間差が短いほど不審の度合が高いと考えられる。そこで、例えば、
Ｔｅｒｍ％＝１．００−{（対象イベント発生時間−前回イベント発生時間）÷１００}
（発生時間の単位は分）
により算出することとする。
【００３３】
ＰＳＶについては、同じオペレーションであっても、不正の可能性が高いオペレーションが連続して行われるほど、より高い不正スコアが算出されるように設定することが好ましい。なぜならば、例えば不正の可能性が高い大量なファイルの書き出しというオペレーションであっても、通常の勤務時間中に文書ファイルの作成等の一般的なオペレーションの後に実行される場合と、勤務時間外の夜間にコンピュータが立ち上げられ、普段はアクセスすることが少ないファイルにアクセスした後に実行される場合を比較すれば、後者のほうが明らかに不正である可能性が高いと考えられるからである。
【００３４】
そこで、ＰＳＶの設定には、例えば図４の例に示したようなＰＳＶ演算テーブルを用いて、対象イベントにより算出された不正スコアのレベルに応じて、対応する乗算値を前回イベントにより設定されたＰＳＶに乗じていくことによって、不正の可能性が高いオペレーションが連続して行われるほど、ＰＳＶの値を高く設定することが可能になる。尚、ＰＳＶは、対象となるユーザがコンピュータにログインした段階で初期値（＝１．００）に設定し、ログオフされるまでの間は、随時更新されることとする。
【００３５】
つまり、ログイン時には、
ＰＳＶ＝１．００
と設定され、初回のイベントの不正スコアから乗算値が１．３０と特定された場合、
ＰＳＶ＝１．００×１．３０＝１．３０
に更新される。さらに、次回イベントの不正スコアからも乗算値が１．３０と特定された場合は、
ＰＳＶ＝１．３０×１．３０＝１．６９
となり、高い不正スコアが連続して算出された場合には、ＰＳＶの値も順次増加していくことになる。
【００３６】
これまで説明したように、Ｔｅｒｍ％、ＰＳＶを算出することとすると、不正スコア（ＭＳ）は、例えば、
ＭＳ＝ＤＳ×{（ＰＳＶ−１．００）×Ｔｅｒｍ％＋１．００}
によって算出するものと定義することができる。このような算出式によると、オペレーションが短時間に連続するほど（＝Ｔｅｒｍ％の値が大きいほど）、不正の可能性が高いオペレーションが連続するほど（＝ＰＳＶが高いほど）、対象イベントのみから算出した原スコア（ＤＳ）より、実態を精緻に反映した不正スコア（ＭＳ）を算出することができる。
【００３７】
上記のように、不正スコア（ＭＳ）は、原スコア（ＤＳ）に
（ＰＳＶ−１．００）×Ｔｅｒｍ％＋１．００
を乗算することによって求められるが、対象イベント発生時間と前回イベント発生時間の時間差が１００分となれば
Ｔｅｒｍ％＝０
となるので、原スコア（ＤＳ）に乗算する値は０ということになる。この関係を例示したものが図５で、点線はＰＳＶ＝１．３０の場合に時間差によって乗算する値が変化する様子を、破線はＰＳＶ＝０．９０の場合に時間差によって乗算する値が変化する様子を示している。つまり、不審な挙動が連続してＰＳＶが高くなっている場合であっても、前回イベントとの間の時間差が拡大するにつれて、前回イベントとの関連性が低いものと判断して、乗算する値は１．００に収束することになる。正常な挙動が連続してＰＳＶが低くなっている場合でも同様に、前回イベントとの間の時間差が拡大するにつれて、前回イベントとの関連性が低いものと判断して、乗算する値は１．００に収束することになる。
【００３８】
続いて、図６〜図１４を用いて、本発明にかかる不正操作監視システムにおける不正スコア監視のための動作について説明する。尚、図６〜図１４に示すメインメモリは、コンピュータに備えられたメインメモリの他に、ハードディスク上の仮想メモリも含むものとする。
【００３９】
まず、図６に示したようにユーザがコンピュータにログインを行うと、ＰＳＶの初期値である１．００が、メインメモリの所定の記憶領域（図２であればＰＳＶ記憶部１２１）に一時記憶される。
【００４０】
図７に示したように、ログインしたユーザが最初のオペレーションを行うと、該オペレーションにより発生したイベント１を受け付けて、イベント１が不正なオペレーションによるものかを判定するために、ハードディスクからメインメモリに不正判定プログラム（図２であれば不正判定プログラム１４１）が読み出される。読み出された不正判定プログラムによって、イベント１が不正である可能性を示す原スコアが算出されるが、原スコアを算出するためのスコアリングモデルについては特に限定されるものではない。
【００４１】
例えば、イベント１をユーザの通常の挙動パターンを定めたユーザプロファイルと対比して、該ユーザについて特異挙動に該当しないかから不正である可能性を判断してもよいし、イベント１を一般的な不正のパターンを定義した不正判定ルールと対比して、経験則的に不正であることが多いパターンに該当しないかから不正である可能性を判断することとしてもよい。
【００４２】
さらに、図８に示したように、受け付けたイベント１に関する情報を、ハードディスクの所定の記憶領域（図２であればオペレーションログ格納部１４４）に、ログとして記録する。記録する情報には、イベント１が発生した時間（受け付けた時間でもよい）が含まれる。
【００４３】
初回のイベントについての不正スコアを算出する際には、ログイン後については前回イベントが存在しないため、前回イベントとの時間差を算出することができない。また、ＰＳＶは初期値である１．００と設定されている。従って、初回の不正スコアについては、図８に示したように先に算出された原スコアがそのまま採用される。
【００４４】
このようにしてイベント１についての不正スコアが算出されると、不正スコアが所定の閾値を超えるか否かによって、イベント１を発生させたオペレーションが不正であるか否かを判定する。閾値を超える場合には、図９に示したように、イベント１を発生させたオペレーションを停止させるためのコマンド、例えばプリンタへの出力や外部ディスクへの書き出しの停止処理、ネットワークとの接続を切断する処理や電子メールの送信停止処理などを実行する。閾値を超えない場合には、イベント１による処理がそのまま実行される。
【００４５】
イベント１についての不正判定が終了すると、算出した不正スコアを反映してＰＳＶを更新するために、図１０に示したように、ハードディスクからメインメモリにＰＳＶ演算プログラム（図２であればＰＳＶ演算プログラム１４２）が読み出される。読み出されたＰＳＶ演算プログラムによって、イベント１について算出された不正スコアを反映した新たなＰＳＶが算出され、メインメモリに一時記憶されたＰＳＶの値が更新される。
【００４６】
新たなＰＳＶの算出は、ハードディスクに記憶されたＰＳＶ演算テーブル（図２であればＰＳＶ演算テーブル１４３）を参照し、イベント１について算出された不正スコアに対応する乗算値を取得して、ＰＳＶの初期値として記憶されている１．００に取得した乗算値を乗じることによって算出される。メインメモリの所定の記憶領域に一時記憶されたＰＳＶの初期値は、算出された新たなＰＳＶ（図１０の「１．××」）に更新される。
【００４７】
次に、図１１に示したように、同一のユーザが２回目のオペレーションを行うと、該オペレーションにより発生したイベント２を受け付けて、イベント２が不正なオペレーションによるものかを判定するために、ハードディスクからメインメモリに不正判定プログラムが読み出される。読み出された不正判定プログラムによって、イベント２が不正である可能性を示す原スコアが算出される。
【００４８】
また、図１２に示したように、受け付けたイベント２に関する情報を、ハードディスクの所定の記憶領域に、ログとして記録する。記録する情報には、イベント２が発生した時間（受け付けた時間でもよい）が含まれる。さらに、記録されたログから前回イベントであるイベント１が発生した時間を取得して、イベント２が発生した時間との時間差を算出する。
【００４９】
イベント２についての不正スコアを算出する際には、算出した時間差と、メインメモリに一時記憶されているＰＳＶが用いられる。不正スコアの算出式に時間差とＰＳＶをどのように用いるかは特に限定されるものではないが、ＰＳＶが高い値であるほど不正スコアが高い値となるように、時間差が長いほどＰＳＶによる影響を緩和させるように用いることが好ましい。原スコアにかかる算出式を適用して、図１２に示したようにイベント２についての不正スコアが算出される。
【００５０】
このようにしてイベント２についての不正スコアが算出されると、不正スコアが所定の閾値を超えるか否かによって、イベント２を発生させたオペレーションが不正であるか否かを判定する。閾値を超える場合には、図１３に示したように、イベント２を発生させたオペレーションを停止させるためのコマンドを実行する。閾値を超えない場合には、イベント２による処理がそのまま実行される。
【００５１】
イベント２についての不正判定が終了すると、算出した不正スコアを反映してＰＳＶを更新するために、図１４に示したように、ハードディスクからメインメモリにＰＳＶ演算プログラムが読み出される。読み出されたＰＳＶ演算プログラムによって、イベント２について算出された不正スコアを反映した新たなＰＳＶが算出され、メインメモリに記憶されたＰＳＶの値が更新される。
【００５２】
新たなＰＳＶの算出は、ハードディスクに記憶されたＰＳＶ演算テーブルを参照し、イベント２について算出された不正スコアに対応する乗算値を取得して、前回イベントであるイベント１の不正スコアを反映した値として一時記憶されているＰＳＶ＝１．××に、取得した乗算値を乗じることによって算出される。メインメモリの所定の記憶領域に一時記憶されたＰＳＶ＝１．××は、算出された新たなＰＳＶ（図１４の「１．△△」）に更新される。
【００５３】
さらに、続いて同一のユーザが３回目以降のオペレーションを連続して行うと、各回のオペレーション毎に、図１１〜図１４によって説明したのと同様の処理が繰り返される。ＰＳＶは同一のユーザのログインからログオフまでの間は更新が継続され、メインメモリにおいて保持される。
【００５４】
尚、図６〜図１４においては、コンピュータに対してユーザが実行するオペレーションが不正でないかを判定する例について説明したが、ここで説明したＰＳＶや時間差を用いた不正スコアの算出方法については、不正操作の監視はコンピュータに実行されたオペレーションを直接監視する場合に限られず、例えばＬＡＮ等のネットワークを流れるデータによって不正なデータの送受信等を監視したり、ゲートウェイを通過するデータによって不正なデータ送受信等を監視したりする場合の、不正スコアの算出に適用することも可能である。この場合、受け付けるイベントに換えて、監視用のサーバがネットワークから取得したデータや、ゲートウェイを通過するデータが、原スコアを算出する対象になる。
【００５５】
図１５、図１６を用いて、本発明にかかる不正操作監視システムにおける不正スコア監視のフローについて説明する。まず、コンピュータが対象となるイベントを受け付けると（Ｓ０１）、不正判定ルールやユーザプロファイルを参照して（Ｓ０２、Ｓ０３）、対象イベントの内容のみを反映した原スコアを算出する（Ｓ０４）。
【００５６】
対象イベントが初回のイベントでない場合には（Ｓ０５）、前回受け付けたイベントの発生時間をログから読み出して（Ｓ０６）、今回受け付けた対象イベントの発生時間との時間差を算出する（Ｓ０７）。対象イベントが初回のイベントである場合には、ステップ０６、ステップ０７の処理は実行されない。
【００５７】
次に、一時記憶されているＰＳＶを読み出して（Ｓ０８）、原スコアに時間差とＰＳＶを適用して、ユーザの一連の操作経過から示される不審の度合を反映した不正スコアを算出する（Ｓ０９）。算出された不正スコアが、不正と判断するための基準値を超過していないかを確認し（Ｓ１０）、基準値を超過している場合には、対象イベントを発生させたオペレーションによる処理を停止させるための処理を実行する（Ｓ１１）。基準値を超過していない場合には、該オペレーションによる処理は停止されないため、そのまま実行される。以上の図１５に示したフローにより、対象イベントについての不正判定が終了する。
【００５８】
このようにして対象イベントについての不正判定が終了すると、図１６のフローに示したＰＳＶ更新の処理が行われる。不正判定の処理が終了すると、ＰＳＶ演算テーブルを参照して（Ｓ１２）、対象イベントについて算出された不正スコアに対応する乗算値を特定する（Ｓ１３）。特定した乗算値を一時記憶されたＰＳＶに乗じて新たなＰＳＶを算出し（Ｓ１４）、一時記憶されたＰＳＶを算出されたＰＳＶに更新することによって、ＰＳＶ更新の処理を終了する。
【００５９】
尚、図１５及び図１６に示した、不正スコアが基準値を超過するかによってオペレーションの停止を実行する処理（Ｓ１０〜Ｓ１１）と、ＰＳＶ更新の処理（Ｓ１２〜Ｓ１５）の処理順序については特に限定されるのではなく、先の説明とは逆に、ＰＳＶ更新の後に不正スコアと基準値の対比を行うこととしてもよい。
【図面の簡単な説明】
【００６０】
【図１】本発明にかかる不正操作監視システムの利用形態を示す図である。
【図２】本発明にかかる不正操作監視システムの構成を示すブロック図である。
【図３】本発明にかかる不正操作監視システムによる不正スコアの算出方法を示す図である。
【図４】本発明にかかる不正操作監視システムにおけるＰＳＶ演算テーブルの一例を示す図である。
【図５】本発明にかかる不正操作監視システムにおいて原スコアに乗算する値の時間差による変化の例を示す図である。
【図６】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第１の図である。
【図７】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第２の図である。
【図８】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第３の図である。
【図９】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第４の図である。
【図１０】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第５の図である。
【図１１】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第６の図である。
【図１２】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第７の図である。
【図１３】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第８の図である。
【図１４】本発明にかかる不正操作監視システムにおける不正スコア監視のための動作を示す第９の図である。
【図１５】本発明にかかる不正操作監視システムにおける不正スコア監視のフローを示す第１のフローチャートである。
【図１６】本発明にかかる不正操作監視システムにおける不正スコア監視のフローを示す第２のフローチャートである。
【符号の説明】
【００６１】
１０ コンピュータ
１１ ＣＰＵ
１２ ＲＡＭ
１２１ ＰＳＶ記憶部
１３ ＲＯＭ
１４ ＨＤＤ
１４１ 不正判定プログラム
１４２ ＰＳＶ演算プログラム
１４３ ＰＳＶ演算テーブル
１４４ オペレーションログ格納部
１４５ ユーザプロファイル格納部
１４６ 不正判定ルール格納部
１５ ＮＩＣ
１６ 外部接続バス
２０ 入力装置
３０ 出力装置
４０ 外部記憶装置
５０ 不正監視サーバ
【特許請求の範囲】
【請求項１】
コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視プログラムであって、前記コンピュータのメモリには、前記ユーザの操作によって発生したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値が一時記憶されていて、前記コンピュータに、
前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付ステップと、
前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記イベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納部、若しくは前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納部の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出ステップと、
前記原スコアに、前記コンピュータのメモリ領域から読み出した前記不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出ステップと、
前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止ステップと、
前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させる不審値更新ステップと、
を実行させることを特徴とする不正操作監視プログラム。
【請求項２】
コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視方法であって、前記コンピュータのメモリには、前記ユーザの操作によって発生したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値が一時記憶されていて、
前記コンピュータが、前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付ステップと、
前記コンピュータが、前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記イベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納部、若しくは前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納部の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出ステップと、
前記コンピュータが、前記原スコアに、前記コンピュータのメモリ領域から読み出した前記不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出ステップと、
前記コンピュータが、前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止ステップと、
前記コンピュータが、前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させる不審値更新ステップと、
を有することを特徴とする不正操作監視方法。
【請求項３】
コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視システムであって、
前記ユーザの操作によって発生したイベントにおける不正スコアを反映して設定した不審値を一時記憶する不審値記憶手段と、
前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付手段と、
前記イベント受付手段が受け付けたイベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納手段と、
前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納手段と、
前記不正ルール格納手段、又は前記プロファイル格納手段の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出手段と、
前記原スコアに、前記不審値記憶手段から読み出したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出手段と、
前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止手段と、
前記不審値記憶手段に記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出手段が算出した不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新する不審値更新手段と、
を備えることを特徴とする不正操作監視システム。
【請求項１】
コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視プログラムであって、前記コンピュータのメモリには、前記ユーザの操作によって発生したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値が一時記憶されていて、前記コンピュータに、
前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付ステップと、
前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記イベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納部、若しくは前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納部の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出ステップと、
前記原スコアに、前記コンピュータのメモリ領域から読み出した前記不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出ステップと、
前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止ステップと、
前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させる不審値更新ステップと、
を実行させることを特徴とする不正操作監視プログラム。
【請求項２】
コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視方法であって、前記コンピュータのメモリには、前記ユーザの操作によって発生したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値が一時記憶されていて、
前記コンピュータが、前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付ステップと、
前記コンピュータが、前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記イベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納部、若しくは前記コンピュータ又は前記コンピュータとネットワークを通じて接続された他のコンピュータに備えられた前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納部の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出ステップと、
前記コンピュータが、前記原スコアに、前記コンピュータのメモリ領域から読み出した前記不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出ステップと、
前記コンピュータが、前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止ステップと、
前記コンピュータが、前記コンピュータのメモリに一時記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出ステップで算出したｎ回目のイベントにおける不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新して前記コンピュータのメモリに一時記憶させる不審値更新ステップと、
を有することを特徴とする不正操作監視方法。
【請求項３】
コンピュータに対するユーザの不正操作を監視するために、前記ユーザの過去の操作経過から示される不審値を反映して、前記ユーザの操作によって発生したｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正操作監視システムであって、
前記ユーザの操作によって発生したイベントにおける不正スコアを反映して設定した不審値を一時記憶する不審値記憶手段と、
前記ユーザの操作により発生したｎ回目のイベントを受け付けるイベント受付手段と、
前記イベント受付手段が受け付けたイベントが不正操作に該当するかを判断するためのルールを格納する不正ルール格納手段と、
前記ユーザの過去の操作により発生したイベントに関するプロファイルを格納するプロファイル格納手段と、
前記不正ルール格納手段、又は前記プロファイル格納手段の少なくとも一つを参照して、ｎ回目のイベントを発生させた操作が不正操作である可能性を反映した原スコアを算出する原スコア算出手段と、
前記原スコアに、前記不審値記憶手段から読み出したｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を反映して、ｎ回目のイベントにおける不正操作の確率を示す不正スコアを算出する不正スコア算出手段と、
前記不正スコアが所定の基準値を超過する場合には、ｎ回目のイベントを発生させた操作により実行される動作を停止させるためのコマンドを実行する不正操作停止手段と、
前記不審値記憶手段に記憶されたｎ−１回目のイベントにおける不正スコアを反映して設定した不審値を、前記不審値に前記不正スコア算出手段が算出した不正スコアを反映して、ｎ回目のイベントにおける不正スコアを反映して設定した不審値に更新する不審値更新手段と、
を備えることを特徴とする不正操作監視システム。
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１】
【公開番号】特開２００７−１８３９１１（Ｐ２００７−１８３９１１Ａ）
【公開日】平成１９年７月１９日（２００７．７．１９）
【国際特許分類】
【出願番号】特願２００６−２２２２２８（Ｐ２００６−２２２２２８）
【出願日】平成１８年８月１７日（２００６．８．１７）
【分割の表示】特願２００６−５２５９７０（Ｐ２００６−５２５９７０）の分割
【原出願日】平成１８年１月５日（２００６．１．５）
【出願人】（３９７０６７８５３）株式会社インテリジェントウェイブ (20)
【Ｆターム（参考）】
【公開日】平成１９年７月１９日（２００７．７．１９）
【国際特許分類】
【出願日】平成１８年８月１７日（２００６．８．１７）
【分割の表示】特願２００６−５２５９７０（Ｐ２００６−５２５９７０）の分割
【原出願日】平成１８年１月５日（２００６．１．５）
【出願人】（３９７０６７８５３）株式会社インテリジェントウェイブ (20)
【Ｆターム（参考）】
[ Back to top ]