検疫システム、検疫装置、検疫方法、及び、コンピュータプログラム
【課題】ユーザの端末操作の確認を行い、管理者の決めたルールに反した場合、社内リソースへのアクセスを禁止する。
【解決手段】検疫装置２０は、クライアント端末１０からログデータを受信してログＤＢ３２に書き込むログ収集管理部と、ログＤＢ３２からログデータを読み出すログデータ読込部と、読み出されたログデータが、結果ＤＢに記憶されているルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合部と、ルール照合部により合致していると判断されたルールと、ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信部と、検出情報の示すルールに対応した通信制御を、該結果情報の示すユーザ識別子により特定されるユーザのクライアント端末１０へ指示する通信制御部と、を備える。
【解決手段】検疫装置２０は、クライアント端末１０からログデータを受信してログＤＢ３２に書き込むログ収集管理部と、ログＤＢ３２からログデータを読み出すログデータ読込部と、読み出されたログデータが、結果ＤＢに記憶されているルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合部と、ルール照合部により合致していると判断されたルールと、ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信部と、検出情報の示すルールに対応した通信制御を、該結果情報の示すユーザ識別子により特定されるユーザのクライアント端末１０へ指示する通信制御部と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検疫システム、検疫装置、検疫方法、及び、コンピュータプログラムに関する。
【背景技術】
【０００２】
近年、コンピュータシステムにおけるセキュリティの確保が重要な問題となっている。セキュリティ対策に用いらる従来の一般的な検疫システムは、クライアントＰＣ（パーソナルコンピュータ）のセキュリティレベルを診断し、セキュリティ対策が不十分な場合は、社内リソース、例えば、業務サーバや社内ネットワークへの接続を許可しないというものである。セキュリティレベルの診断には、セキュリティパッチが適用されているか否か、ウイルス対策ソフトウェアの定義ファイルのバージョン、必要・不要なアプリケーションのインストール状況などのチェックがあり、これは、つまりクライアントＰＣに対するコンプライアンスチェックである。
【０００３】
上述した検疫システムのほか、セキュリティ対策として、ユーザ認証、アプリケーションゲートウェイの設置、デジタルフォレンジクス製品等が用いられている。ユーザ認証は、システムを利用するユーザが登録されているユーザであるかの認証を行うものであり、基本的なＩＤ及びパスワードにより特定デバイスの所有、アプリケーションの使用、データへのアクセス等の権限をチェックする。ＩＤ及びパスワードによる認証の他、指紋・静脈などのバイオメトリクス認証を行うものなど、さまざまな認証方式が存在する。また、アプリケーションゲートウェイの設置により不正な操作を検出するものとして、ＩＰＳ（Intrusion Prevention System）、ＩＤＳ（Intrusion Detection System）、メールフィルタリング、ウェブフィルタリングなどがある。これらは、ネットワーク上に設置されたアプリケーションゲートウェイにおいて、そこを通過する通信を分析し、通信内容に問題が検出された場合に、通信を遮断するシステムである。また、デジタルフォレンジクス製品は、情報漏洩等のセキュリティ被害が発生した場合にその原因を調査することを主目的としており、ユーザ操作ログの収集と、収集したログの分析を行う。
一方、状態証明書を利用したセキュリティレベル管理システムも知られている（例えば、特許文献１参照）。このシステムにおいて、状態証明センタは、コンピュータのセキュリティ情報をもとに状態証明書を作成して当該コンピュータに送信し、状態送信センタは、ネットワークに接続するためのセキュリティを満たすウイルス定義ファイルの情報やＯＳのパッチ情報を含む安全状態情報を作成し、状態検証器へ送信する。状態検証器はコンピュータの状態証明書と、安全状態情報とを比較してセキュリティのチェックを行う。
【特許文献１】特開２００５−１２８６２２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上述するような、従来の検疫システムは、クライアントＰＣの状態を通信可否の判断根拠としているが、これは、ユーザの不正な操作に起因する情報漏洩、ウイルス感染防止には、十分な効果を発揮するものではない。加えて、最近、パッチ適用の自動化、ウイルス対策システムの自動化など、クライアントＰＣのセキュリティ対策機能が強化されており、現在の検疫システムが主眼を置いているクライアントＰＣに対するコンプライアンスチェックは、相対的に重要度が下がることが予想される。
加えて、エンドポイントセキュリティ、情報漏洩の分野では、利用可能として登録されていない、すなわち、権限のないユーザによる情報漏洩対策に加えて、権限のある人間による情報漏洩対策を強化する必要性が高まっている。ユーザ認証は、特定のユーザであることのみをチェックするため、このような最近特に問題となっている権限を持つユーザの不正操作によるセキュリティ被害を防ぐことはできない。
【０００５】
アプリケーションゲートウェイを用いる場合、通信の制御が可能な対象は、メール、ウェブページの閲覧など限定される。加えて、チェック対象はアプリケーションゲートウェイを通過する通信であるため、クライアントＰＣで行われるユーザ操作の一部に対してしかチェック及び制限が可能ではない。また、デジタルフォレンジクス製品では、上述するように、一般的にセキュリティ被害の発生後に利用するものであり、原因調査もしくはログ収集による不正操作の発生抑止を目的としている。そのため、ユーザの不正操作の禁止や被害発生防止、通信の制御によるペナルティの付与等の機能は弱い。一部製品では、不正なプログラム実行に対してプロセスの遮断を行うことが可能な製品が存在しているが、あくまで当該プログラムの実行禁止を行うだけであり、ユーザ操作によって通信範囲の拡大等の制御を行うことはできない。
【０００６】
本発明は、このような課題を解決するためになされたもので、その目的は、クライアントＰＣの状態によるセキュリティレベル診断（クライアントＰＣのコンプライアンスチェック）だけでなく、ユーザの端末操作の確認（ユーザ操作のコンプライアンスチェック）を行い、管理者の決めたルールに反した場合、社内リソースへのアクセスを禁止することのできる検疫システム、検疫装置、検疫方法、及び、コンピュータプログラムを提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するため、本発明は、端末と、前記端末とはネットワークを介して接続される検疫装置とからなる検疫システムであって、前記端末において実行された操作及びユーザ識別子の情報を含むログデータを記憶するログ記憶手段と、検出対象の操作を示すルールデータを記憶するルール記憶手段と、前記端末からログデータを受信して前記ログ記憶手段に書き込むログ収集管理部と、前記ログ記憶手段から前記ログ収集管理部が書き込んだログデータを読み出すログデータ読込部と、前記ログデータ読込部により読み出されたログデータが、前記ルール記憶手段内の前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合部と、前記ルール照合部により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信部と、前記結果送信部により出力された結果情報の示すルールに対応して通信範囲を制限または拡大する通信制御を、該結果情報の示すユーザ識別子により特定されるユーザの端末へ指示する通信制御部と、を備えることを特徴とする検疫システムである。
【０００８】
また、本発明は、端末において実行された操作及びユーザ識別子の情報を含むログデータを記憶するログ記憶手段と、検出対象の操作を示すルールデータを記憶するルール記憶手段と、前記ログ記憶手段からログデータを読み出すログデータ読込部と、前記ログデータ読込部により読み出されたログデータが、前記ルール記憶手段内の前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合部と、前記ルール照合部により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信部と、を備えることを特徴とする検疫装置である。
【０００９】
また、本発明は、上述する検疫装置であって、前記ルール記憶手段は、ユーザ識別子と前記ルールデータとを対応付けるデータをさらに記憶し、前記ルール照合部は、前記ログデータ内のユーザ識別子に対応したルールデータを前記ルール記憶手段から読み出し、前記ログデータが、読み出した前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断する、ことを特徴とする。
【００１０】
また、本発明は、上述する検疫装置であって、前記ルールデータは、１または複数の検出対象の操作の情報を含むことを特徴とする。
【００１１】
また、本発明は、上述する検疫装置であって、前記ルールデータは、複数の操作の情報と、閾値の情報とを含み、前記ルール照合部は、同じユーザ識別子を有する前記ログデータにより示される操作に、前記ルールデータにより示される操作と一致する操作が含まれており、かつ、該ルールデータに含まれる操作の数に対する、前記一致する操作の数の割合が、当該ルールデータで示される閾値以上である場合にルールと合致していると判断する、ことを特徴とする。
【００１２】
また、本発明は、上述する検疫装置であって、前記ルールデータは、複数の操作の情報と、閾値の情報とを含み、前記ルール記憶手段は、さらに、ルールデータの示す操作と類似する操作のデータを記憶し、前記ルール照合部は、前記ルールデータにより示される操作と類似している操作を前記ルール記憶手段から読み出し、同じユーザ識別子を有する前記ログデータの示す操作に、読み出した類似した操作が含まれており、かつ、その類似した操作の類似度の合計が、当該ルールデータで示される閾値以上である場合にルールと合致していると判断する、ことを特徴とする。
【００１３】
また、本発明は、上述する検疫装置であって、前記ログデータは、さらに、操作時刻の情報を含み、前記ルールデータは、さらに、閾値の情報を含み、前記ルール照合部は、同じユーザ識別子を有し、かつ、操作時刻が所定の期間内を示している前記ログデータのうち、前記ルールデータにより示される操作の実行を示しているログデータの数が、当該ルールデータの閾値で示される数以上である場合にルールと合致していると判断する、ことを特徴とする。
【００１４】
また、本発明は、上述する検疫装置であって、前記ルール照合部によりルールと合致していると判断されたルールと、判断時刻とルール結果データを結果記憶手段に書き込むユーザ状態管理部をさらに備え、前記ルール照合部は、判断時刻が所定期間内であるルール結果データが前記結果記憶手段に記憶されているか否かを検出し、前記通信制御部は、前記ルール照合部により判断時刻が所定期間内であるルール結果データが前記結果記憶手段に記憶されていることを検出した場合に、出力済みの結果情報に応じた通信制御の継続指示を出力する、ことを特徴とする。
【００１５】
また、本発明は、上述する検疫装置であって、結果情報に対応して、通信制御対象の端末の情報と、発信または着信を許可または制限する通信範囲を示すデータである通信制御プロファイルとを記憶する通信制御記憶手段と、前記結果送信部により出力された結果情報に対応する通信制御対象の端末の情報と、通信制御プロファイルとを前記通信制御記憶手段から読み出し、該通信制御対象の端末へ該通信制御プロファイルを通知する通信制御指示部とをさらに備える、ことを特徴とする。
【００１６】
また、本発明は、端末の操作ログにより検疫検査を行う検疫装置に用いられるコンピュータを、前記端末において実行された操作及びユーザ識別子の情報を含むログデータをログ記憶手段から読み出すログデータ読込手段、検出対象の操作を示すルールデータをルール記憶手段から読み出し、前記ログデータ読込手段により読み出されたログデータが、読み出した前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合手段、前記ルール照合手段により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信手段、として実行させることを特徴とするコンピュータプログラムである。
【発明の効果】
【００１７】
本発明によれば、ユーザの操作のコンプライアンスチェックを行うことにより、エンドポイントセキュリティを高めることができる。
すなわち、一定の操作をすることによるアクセス制限の緩和と、一定の操作をすることによるアクセス範囲の限定化という２面の通信制御が可能となることに加え、クライアントＰＣから社内リソースへのアクセス制御という面だけでなく、不正な操作をしたクライアントＰＣへの通信を制御し、ウイルス感染・情報漏洩を防止するなど、多面的な防御が可能となる。さらには、発生した不正な操作の妨害だけでなく、その行動の結果を継続的にペナルティとして課したり、過去に遡って一定の行為を複数回繰り返しているユーザに制限を課したりすることもでき、より厳密かつ柔軟なエンドユーザの行動制限を行うことが可能となる。
コンプライアンスチェックの判断根拠として、不正行為の累積カウントを用い、ユーザの不正行為を検知することができる。また、不正行為がなされる前に、一定の基準を超えた場合に、不正行為の兆候があることを判断することも可能となる。
【発明を実施するための最良の形態】
【００１８】
以下、本発明の好適な実施の形態について図面を参照しつつ説明する。
図１は、本発明の一実施の形態による検疫システムの概要を示す図である。企業が保有する検疫システムは、クライアント端末１０、及び、検疫装置２０を、ネットワーク７０を介して接続してなる。また、ネットワーク７０は、業務ネットワーク８１や業務ネットワーク８１上に設置された業務サーバ８２などの社内リソース８０とＶＰＮ−ＧＷ（Virtual Private Netework−Gateway)９０を介して接続される
【００１９】
同図に示す検疫システムの動作概要を説明する。クライアント端末１０が起動すると、まず、クライアント端末１０のＰＣ状態の検査を行う（ステップＳ１）。これは、ＰＣに対するコンプライアンスチェックであり、例えば、セキュリティパッチが適用されているか否か、ウイルス対策ソフトウェアの定義ファイルのバージョン、必要・不要なアプリケーション（ＡＰ）のインストール状況などをチェックする。ＰＣに対するコンプライアンスチェックが終了すると、以降、クライアント端末１０は、アプリケーションの利用ログ、メールやその貼付ファイルの送信ログ、ウェブの閲覧ログなどの操作ログを収集する。検疫装置２０は、クライアント端末１０から収集された操作ログのデータであるログデータを受信し、ログデータベース３２（以下、データベースを「ＤＢ」と記載）に書き込む（ステップＳ２）。検疫装置２０は、当該検疫装置２０内で管理している検出ルールと、ログＤＢ３２内のログデータとを照会して操作ログの検疫検査、すなわち、ユーザ操作のコンプライアンスチェックを行う（ステップＳ３）。このチェックにより、検疫装置２０において、禁止アプリケーションの起動や、特定ファイルのメール貼付、ウェブからの不正ダウンロード等によるアプリケーション実行など、情報漏洩等の怖れのある不正操作があったことを示す操作ログを発見した場合、検疫装置２０は、通信状態管理を行う機能部により、クライアント端末１０に対して通信制限を指示する（ステップＳ４）。クライアント端末１０は、検疫装置２０からの指示に従って通信制限を行い、指示された範囲の社内リソース８０へのアクセスは遮断し、通信可能な社内リソース８０へのみアクセスして業務通信を行う（ステップＳ５）。
【００２０】
本実施の形態においてユーザ操作のコンプライアンスチェックに用いる情報は、クライアント端末１０の操作ログである。つまり、検疫装置２０は、クライアント端末１０におけるユーザ操作のログを収集・管理し、ログと管理者が定義したルールとのマッチング、すなわち、コンプライアンスチェックを行い、ルールに適合しているか否かを判定する。
ログの具体的な例としては、メール送信の題名、メール本文中のキーワード、メールの添付ファイル名、閲覧したウェブページのアドレス（ＵＲＬ：Universal Resource Locator）、ウェブページ中のキーワード、ユーザがアクセス・操作（作成、保存、書換、削除など）を行ったファイル名、当該ファイルの保存場所、当該ファイルの中身、起動したアプリケーション・プロセス名、停止したアプリケーション・プロセス名、外部デバイスの接続・利用、印刷したドキュメント名、画面ウィンドウのタイトルに示されているテキストデータなどである。これらの情報は、既存の汎用的なログ収集のソフトウェアアプリケーションであるフォレンジクス製品により一般的に収集されるものであり、本システムにおいてもそれらの製品との連携によって実現することができる。また、既存技術の検疫システムや、通信制御プロファイルを自動配布するシステム等と組み合わせることもできる。
【００２１】
本実施の形態による検疫システムの効用は、クライアント端末１０のセキュリティ向上にある。まず、クライアント端末１０のコンプライアンスチェックを実施することにより、一定のセキュリティ基準を満たさないクライアント端末１０は、社内リソース８０にアクセスできない。これにより、不正な持込持ち込み端末、セキュリティ対策の不十分なクライアント端末１０を排除することができる。更に、これらのチェックを通過したクライアント端末１０であっても、ユーザが管理者の決めたルールを外れた操作をした場合に、社内リソース８０の利用範囲を縮小することが可能である。
【００２２】
ユーザ操作のコンプライアンスチェックには、ルールに外れた場合に通信範囲を制限するという方法以外にも、ルールに従った操作を行った場合に通信範囲を拡大するという利用方法も可能である。例えば、ウィルスチェック実施の操作を行った後には、ファイルサーバへのアクセスを許可する、注意事項や連絡事項を表記したウェブページを閲覧した後に、業務アプリケーション処理を行う業務サーバ８２へのアクセスがを許可する、などの利用法が考えられる。この機能により、社内リソース８０へのアクセス等の権限を有するユーザであっても、特定の操作を実行しない限り、その権限を行使できないといった、柔軟な制限を課すことが可能となる。また、特定の操作（作業）をクライアント端末１０の利用者に強制し、結果として特定操作の実施の確実さを高めることも可能となる。
【００２３】
さらに、クライアント端末１０から発信される通信だけでなく、クライアント端末１０への着信についても、同様の制限を課すことができる。つまり、クライアント端末１０もしくはユーザ操作へのコンプライアンスチェックにおいて問題があった場合、当該クライアント端末１０への外部から、あるいは、他のクライアント端末１０からの通信を制限する。また、逆に一定の操作を行った場合に、外部から、あるいは、他のクライアント端末１０からの通信を受取れる範囲を拡大することも可能となる。
さらには、不正を検出したクライアント端末１０への着信だけではなく、当該クライアント端末１０の周囲の他のクライアント端末１０への着信を制限することも可能である。これにより、例えば、不正を検出したクライアント端末１０と関連するデータや連携してアプリケーションを実行する他のクライアント端末１０へのアクセスも制限する。
【００２４】
検疫装置２０は、ユーザ操作のコンプライアンスチェック結果を一定の期間継続する。つまり、コンプライアンスチェック結果の情報に継続時間の情報を付加して保持することにより、不正な操作があったという時間軸上でのある時点における事象を、過去一定期間内に不正な操作があったという事象に変換する。これは、換言すると、望ましくない行動への対処だけではなく、望ましくない行動をしたユーザの今後の行動へのペナルティの役割を果たすことになる。
【００２５】
コンプライアンスチェックのルールには、２つの種類がある。１つは、１つの操作ログをコンプライアンスチェックの判断根拠とするルールである。例えば、アクセスを制限したいウェブページの閲覧や、実行してはいけないアプリケーションプログラムの実行のログを発見した場合に、通信の制限を行うものである。もう１つは、複数のログの組み合わせをコンプライアンスチェックの判断根拠とするルールである。それぞれの操作ログには問題はないが、組み合わせて実行されることにより問題となる場合に適用することができる。具体的な例をあげると、（１）顧客情報の参照、（２）画面キャプチャ、の操作の組み合わせである。それぞれの単体のログからは、接続の制限を課すべき操作であるとみなすことができないが、それらを組み合わせることにより問題のある操作であることが明らかになる。また、組み合わせるそれぞれのログ発生のタイミングについても規定を行うことにより、一定の期間内や同時に一連の操作が行われたときに問題となる場合のチェックがも可能となる。
【００２６】
複数のログを組み合わせてコンプライアンスチェックの判断根拠とする場合、禁止操作との類似度という観点を盛り込むことができる。具体的には次の２つの利用方法がある。１つ目は、禁止したい操作セットの全部が実行される前に、当該操作セットと一致する操作がある一定の割合を超えた場合に通信制御を行うものであり、禁止操作の兆候段階において対処を行うものである。例えば、５つの操作を組み合わせてルールとした場合、その４つ目までが実施された場合にルールに合致したと判断し、社内リソースの利用を禁止したり、あるいは、それぞれの操作に重み付けを行い、合致する操作に対応する重みの数値の合計（合算、二乗の加算など乖離度の数学的な操作により算出）が、全操作が行われた場合の重みの合計の８０％を超えた場合に通信を禁止する、などがあげられる。また、２つ目は、規定された禁止操作と類似した操作に類似度に応じたポイントを合計していき、一定の基準を超えた場合にルールに合致していると判断する。このことにより、ルールに幅を持たせることが可能となり、禁止したい操作の兆候を発見し、事前に通信を制御することが可能となる。
【００２７】
また、コンプライアンスチェックの結果判定には２つの方法がある。１つは、指定したユーザ操作（あるいはユーザ操作の組み合わせ）が発生したかどうかを単純に結果とするものである。望ましくない操作が１度でも実行された場合、その時点でＮＧと判定する。２つめは、一定期間内に指定した操作が何度か行われた場合に、ＮＧと判断するものである。例えば、３回同様の禁止キーワードを含むウェブページにアクセスした場合にＮＧと判定するなどである。この場合、当該ログが発生したことを記憶しておく時間を検疫装置２０内に保持しておくことにより、当該ログ発生の密度によって判断結果を変更することが可能となる。つまり、誤った操作を頻繁に行った場合（１０分間に３回など）には通信制御を行うが、それが１週間に３回であれば、通信制御は行わないなどである。これは、ユーザ操作が悪意のあるものであるか、たまたま間違ったものであるかについての識別にも利用可能である。
【００２８】
以下に、検疫システムの具体的な構成及び動作について説明する。
図２は、検疫システムの構成を示すブロック図である。
クライアント端末１０は、例えば、パーソナルコンピュータ（ＰＣ）などのコンピュータ端末であり、ログ収集エージェント１１、通信制御エージェント１２を備える。これらの各ブロックは、具体的には、ＣＰＵ（central processing unit）ならびにメモリを含む周辺ＬＳＩで構成され、ＣＰＵがメモリに記録されたプログラムを読み出し逐次実行することにより、そのブロックが持つ機能を実現するものである。ログ収集エージェント１１は、ユーザがクライアント端末１０で行った操作ログを示すログデータを収集し、検疫端末２へ収集したログデータを送信する機能を有する。通信制御エージェント１２は、検疫端末２から通信の制限あるいは許可対象を示すデータである通信制御プロファイルを受信し、この通信制御プロファイルに基づき通信制御を行う。また、通信制御エージェント１２は、検疫装置２０へ検疫検査要求を送信する。通信制御エージェント１２は、パーソナルファイアーウォールやＶＰＮ通信制御等の既存アプリケーションにより実現することができる。
【００２９】
検疫装置２０は、ログ収集管理部２１、ログベースド検疫検査部２２、及び、通信制御部２３から構成される。これらの各ブロックは、具体的には、ＣＰＵならびにメモリを含む周辺ＬＳＩで構成され、ＣＰＵがメモリに記録されたプログラムを読み出し逐次実行することにより、そのブロックが持つ機能を実現するものである。ログ収集管理部２１は、既存の汎用的なフォレンジクス製品により、通信制御部２３は、通信制御プロファイルを自動配布する既存のシステムにより実現することが可能である。
【００３０】
ログ収集管理部２１は、情報収集部３１、ログＤＢ３２、ログ管理部３３、資産情報管理部３４、及び、レポーティング部３５を備える。情報収集部３１は、クライアント端末１０からログデータを受信し、ログＤＢ３２へ書き込む。ログ管理部３３は、ログＤＢ３２内のログデータのデータ管理を行う。資産情報管理部３４は、ネットワーク７０に接続されているクライアント端末１０等の情報を管理する。レポーティング部３５は、ログＤＢ３２内のログデータや、このログデータに基づいた情報等を出力する。
【００３１】
通信制御部２３は、通信制御ＤＢ６１、通信制御指示部６２、及び、検疫要求受信部６３を備える。通信制御ＤＢ６１は、検疫結果と通信制御プロファイルとを対応付けた通信制御データを記憶する。通信制御指示部６２は、ログベースド検疫検査部２２からクライアント端末１０の検疫結果を受信し、受信した検疫結果に対応する通信制御プロファイルをクライアント端末１０へ送信する。検疫要求受信部６３は、クライアント端末１０から検疫検査要求を受信してログベースド検疫検査部２２へ通知する。
【００３２】
図３は、ログベースド検疫検査部２２の詳細な構成を示すブロック図である。
ログベースド検疫検査部２２は、ルールＤＢ４１、結果ＤＢ４２、ルール設定管理部５１、検査実施管理部５２、ログデータ読込部５３、ルール照合部５４、ユーザ状態管理部５５、結果判定部５６、結果送信部５７、検疫要求受信部５８、及び、結果参照／検査・結果操作部５９を備える。
ルールＤＢ４１は、検疫検査のためにログチェックを実行する際のルールを示すデータを記憶する。結果ＤＢ４２４は、ユーザ毎の条件達成状況、ルール適合状況等の検疫検査の結果データを記憶する。ルール設定管理部５１は、ルールＤＢ４１内のルールのデータに対して、追加、変更、削除などのデータ操作を行うユーザインタフェースを実現する。検査実施管理部５２は、検疫検査要求に基づく検疫検査の実施状況を管理する。また、検査実施管理部５２は、ログ収集管理部２１からのログ発生の通知を受信し、検疫検査処理を開始するとともに、定期的な検疫検査処理の実行を管理する。ログデータ読込部５３は、ログ収集管理部２１内のログＤＢ３２からレコード毎にログデータを読み出す。ルール照合部５４は、ログデータとルールのマッチングを行う。ユーザ状態管理部５５、ログデータとルールとのマッチング結果や、ルールを構成する各検査条件の達成状況を結果ＤＢ４２に書き込む。結果判定部５６は、ユーザ毎の条件達成状況から検疫検査の最終結果を判断する。結果送信部５７は、検疫検査の結果を通信制御部２３へ送信する。検疫要求受信部５８は、通信制御部２３から検疫検査要求を受信する。結果参照／検査結果操作部５９は、結果ＤＢ４２内の検疫検査の結果データを参照する。また、結果参照／検査結果操作部５９は、検疫検査の再実行を指示したり、ペナルティの解除などの、結果ＤＢ４２内の検疫検査の結果データの変更を行う。
【００３３】
図４は、各データ間の関連性を示すデータ概念モデルを示す図である。
ログデータと検査対象のユーザとは、ｎ：１の関係があり、検査対象のユーザとログの検査ルール（以下、単に「ルール」と記載する」とはｎ：ｍの関係がある。また、ルールは、具体的なログとのパターンマッチを判断するための単一もしくは複数の検査条件（以下、単に「条件」とも記載する）から構成され、ルールと条件とは、ｎ：ｍの関係がある。同図において、ログ１、２及び６は、ユーザ１のログデータであり、ログ３はユーザ２のログデータであり、ログ４及び５はユーザ３のログデータである。また、ユーザ１についてはルール１により検疫検査を行い、ユーザ２についてはルール２により検疫検査を行い、ユーザ３については、ルール１及び２により検疫検査を行う。ルール１は、条件１、２、３及び４の検査条件からなり、ルール２は、条件２、５及び６の検査条件からなる。
【００３４】
図５〜図７は、検疫装置２０が保持するデータの具体的例を示す図である。
図５は、ログＤＢ３２内に記憶されるログカテゴリ別テーブルの具体的な例を示す図である。同図において、ログカテゴリ別テーブルは、ログカテゴリ、ユーザＩＤ、発生時刻、及び、ログ内容のデータを含むログデータにより構成される。ログカテゴリは、ウェブアクセスに関するログ、メールに関するログなどのログの分類を示す。ユーザＩＤは、ログが発生したユーザを特定するためのユーザの管理ＩＤを示す。発生時刻は、ログの発生時刻を示す。ログ内容には、発生した事象の内容、例えば、指定アプリケーションの起動、アプリケーションを用いた操作及びその対象ファイル、アプリケーションのインストール、参照したウェブページ等のＵＲＬ（Universal Resource Locator）、参照したウェブページ内に含まれるキーワード、ダウンロードしたファイル、メールの送信、送信したメールの題名、メールに貼付されたファイル、印刷操作及び印刷対象ファイル、参照・コピー操作及びその対象ファイル、などがある。
【００３５】
図６は、ルールＤＢ４１内に記憶されるデータの具体的な例を示す図である。ルールＤＢ４１は、ユーザ／ルール対応テーブル、ルールテーブル、ルール／条件対応テーブル、条件テーブル、類似条件定義テーブルを記憶する。
ユーザ／ルール対応テーブルは、検疫対象となるユーザを特定するユーザＩＤと、当該ユーザの検疫検査に用いるルールの管理ＩＤであるルールＩＤとの情報を含むユーザ／ルール対応データからなる。
【００３６】
ルールテーブルは、ルールＩＤ、ルールタイプ、累積基準値、密度基準値、達成基準値、類似基準値、ペナルティ期間のデータを含むルールデータからなる。ルールタイプは、単体の条件からなるルールか、複合条件からなるルールかに関する分類を示す。累積基準値は、発生累積数による結果判定を行う場合の閾値である。密度基準値は、発生密度による結果判定を行う場合の閾値である。達成基準値は、ルールを構成する条件のうち、何％の条件が合致したかの結果判定を行う場合の閾値であり、例えば、完全に操作が一致したときに検出を行う場合には１００％が、５操作のうち４操作まで一致しているときに検出する場合には８０％が設定される。類似基準値は、類似度でルールに合致しているとの結果判定を行う場合の閾値を示し、例えば、全操作が類似しているときを１００％としたきの類似度の合計値の割合や、類似度の合計値が設定される。ペナルティ期間は、ルール達成時の結果の継続期間を示す。
【００３７】
ルール／条件対応テーブルは、ルールＩＤと、当該ルールに属する条件の管理ＩＤである条件ＩＤとを対応付けるデータを含むルール／条件対応データからなる。
【００３８】
条件テーブルは、ログをチェックするための条件の管理ＩＤを示す条件ＩＤ、当該条件によるチェック対象となるログの分類を示すログカテゴリ、及び、具体的なチェック内容を示す条件内容のデータを含む条件データからなる。条件内容には、例えば、起動禁止アプリケーション、ファイル操作、ファイル操作対象、閲覧禁止ＵＲＬ、アクセス制限を解除するためのセキュリティツールの起動、注意書き等を閲覧するためのＵＲＬなどである。
【００３９】
類似条件定義テーブルは、条件の管理ＩＤである条件ＩＤ、当該条件ＩＤと類似していると定義する条件（以下、「類似条件」と記載）の管理ＩＤを示す類似条件ＩＤ、及び、条件ＩＤで特定される条件と、類似条件ＩＤで特定される類似条件とがどれほど類似しているかを定量的に定義した類似度のデータを含む類似条件定義データからなる。
【００４０】
図７は、結果ＤＢ４２内に記憶されるデータの具体的な例を示す図である。結果ＤＢ４２は、ユーザ結果テーブル、ルール結果テーブル、条件結果テーブルを記憶する。
ユーザ結果テーブルは、検疫対象のユーザを特定するユーザＩＤ、当該ユーザの最終的な検疫検査結果を示す判定、判定がなされた時刻を示す判定時刻、判定の根拠となったルールを特定するルールＩＤのデータを含むユーザ結果データからなる。判定は、通信制御部２３への通達内容となり、例えば、通信を規制しているペナルティ状態、通信範囲を拡大しているアクセス許可状態、等である。
【００４１】
ルール結果テーブルは、検査を行ったルールを特定するルールＩＤ、当該ルールによる検疫検査対象のユーザを特定するユーザＩＤ、当該ルールのルールタイプ、累積数、密度、達成割合、類似割合、判定、及び、判定のデータを含むルール結果データからなる。累積数とは、現時点でのルール達成の発生累積数を示す。密度は、現時点でのルール達成の発生密度を示す。達成割合は、当該ルールを構成する一連の全条件のうち、現時点で何％を達成しているかの割合を示す。類似割合は、現時点で何％の類似度を達成しているかの割合を示す。判定は、当該ルールで設定した全条件を達成したか否かのフラグを示す。判定時刻は、当該ルールが達成されたと判定した時刻を示す。
【００４２】
条件結果テーブルは、ログとの適合チェックを行った条件を特定する条件ＩＤ、当該条件による検査を行ったルールのルールＩＤ、当該条件による検査対象のユーザを特定するユーザＩＤ、当該条件の判定、判定時刻、類似条件ＩＤ、類似割合のデータを含む条件結果データからなる。判定は、当該条件とログが適合したかの結果を示し、類似条件との判断結果も含まれる。判定時刻は、当該条件による判定が行われた時刻を示す。類似条件ＩＤは、類似した条件としてマッチングした条件を特定する管理ＩＤを示す。類似割合は、マッチングした類似条件との類似度を示す。
【００４３】
次に、検疫システムの動作手順について説明する。
図８及び図９は、検疫装置２０における検疫検査処理フローを示す図である。
予め、管理者は、ルールに関する情報を検疫装置２０の図示しない入力手段により入力する。入力手段は、キーボードやマウスなどであるが、コンピュータ読み取り可能な記録媒体から情報を読み取ったり、ネットワーク７０を介して接続されるコンピュータ装置から情報を受信することでもよい。検疫装置２０のルール設定管理部５１は、入力手段により入力されたルールに関する情報に基づき、ルールＤＢ４１内の各種データの登録、変更、削除を行う。
また、クライアント端末１０のログ収集エージェント１１は、ユーザがクライアント端末１０で行った操作のログデータを収集し、検疫装置２０へ送信する。ログ収集エージェント１１は、新しいログデータが発生する度に検疫装置２０へ送信することでもよく、所定の間隔毎に送信することでもよい。
【００４４】
図８は、ログ収集管理部２１からの要求により検疫検査処理を実行する場合のフローを示す。
同図において、検疫装置２０の情報収集部３１は、クライアント端末１０から受信したログデータをログＤＢ３２へ書き込むと、検査実施管理部５２へログ発生の通知を送信する。検査実施管理部５２は、情報収集部３１からのログ発生の通知を受信し、以下の検疫検査処理を開始する。なお、所定の間隔毎など定期的に検疫検査処理を実行することでもよい。
【００４５】
検査実施管理部５２から検疫検査開始の指示を受信したログデータ読込部５３は、ログ収集管理部２１において収集され、新しくログカテゴリ別テーブルに書き込まれたログデータを、ログＤＢ３２から読み込む（ステップＳ１１０）。ルール照合部５４は、読み込んだログデータ内のユーザＩＤ（以下、「検査対象ユーザＩＤ」と記載）から、当該ログデータがどのユーザのものかを判断する（ステップＳ１２０）。
【００４６】
続いて、ルール照合部５４は、検査対象ユーザが現在所定のペナルティ期間にあるか否かのチェックを行う（ステップＳ１３０）。具体的には、ルール照合部５４は、検査対象ユーザＩＤをキーにして、結果ＤＢ４２内のユーザ結果テーブルから判定、判定時刻、及び、判定ルールＩＤのデータを読み出す。ルール照合部５４は、判定のデータから検査対象のユーザがペナルティ状態であると判断した場合、判定ルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルからペナルティ期間のデータを読み出す。ルール照合部５４は、現在の時刻が、判定時刻データで示される時刻からペナルティ期間が経過した時刻に達していない場合、当該ユーザが現在ペナルティ期間であると判断する。
【００４７】
ステップＳ１３０において、検査対象ユーザがペナルティ期間ではないと判断された場合（ステップＳ１３０：Ｎｏ）、ルール照合部５４は、ルールＤＢ４１を参照し、検査対象ユーザＩＤをキーにしてユーザ／ルール対応テーブルからルールＩＤを読み出し、読み出したルールＩＤ（以下、「検査対象ルールＩＤ」と記載）をキーにしてルール／条件対応テーブルから条件ＩＤを読み出す（ステップＳ１４０）。
【００４８】
続いて、ルール照合部５４は、検査対象ユーザに適用するルールについて、類似検査の必要性の有無を判断する（ステップＳ１５０）。これは、例えば、ステップＳ１４０において読み出した検査対象ルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルから類似基準値のデータを読み出し、この類似基準値がＮＵＬＬまたは０であるか否かにより判断することができる。
【００４９】
類似性検査の必要性が有りと判断した場合（ステップＳ１５０：有）、ルール照合部５４は、ステップＳ１４０において読み出した条件ＩＤをキーにして、ルールＤＢ４１内の類似条件定義テーブルから類似条件ＩＤ及び類似度のデータを読み出す（ステップＳ１６０）。
【００５０】
続いて、ルール照合部５４は、ステップＳ１４０において読み出した条件ＩＤ群の中から１つの条件ＩＤを選択する（ステップＳ１７０）。ルール照合部５４は、選択した条件ＩＤをキーにして、ルールＤＢ４１内の条件テーブルからログカテゴリ及び条件内容のデータを読み出し、ステップＳ１１０において読み出したログデータと比較して、現在選択している条件とのマッチング（適合判定）を行う（ステップＳ１８０）。すなわち、ログデータ内のログカテゴリと、条件テーブルから読み出したログカテゴリが一致し、かつ、ログデータ内のログ内容の示すユーザ操作が、条件テーブルから読み出した条件内容データの示すチェック内容にマッチするかにより、現在選択している条件とログデータが適合しているか否かを判断する。
【００５１】
さらに、ルール照合部５４は、現在選択している条件ＩＤの類似条件ＩＤをキーにしてルールＤＢ４１内の条件テーブルからログカテゴリ及び条件内容のデータを読み出し、ステップＳ１１０において読み出したログデータと比較することにより、類似条件とのマッチング（適合判定）を行う。すなわち、ログデータ内のログカテゴリと、条件テーブルから読み出した類似条件のログカテゴリが一致し、かつ、当該ログデータ内のログ内容の示すユーザ操作が、当該類似条件の条件内容データの示すチェック内容にマッチするかにより、類似条件とログデータが適合しているか否かを判断する。
【００５２】
ステップＳ１８０において、ルール照合部５４が、ログデータと、現在選択している条件または当該条件の類似条件と適合していないと判断した場合（ステップＳ１８０：Ｎｏ）、ステップＳ１４０において読み出した条件ＩＤ群の中から、まだ選択していない１つの条件ＩＤを選択し（ステップＳ１７０）、ステップＳ１８０の条件適合判定処理を行う。
【００５３】
一方、ステップＳ１８０において、ルール照合部５４が、ログデータと、現在選択している条件または当該条件の類似条件と適合していると判断した場合（ステップＳ１８０：Ｙｅｓ）、この条件の条件ＩＤ（以下、「適合条件ＩＤ」と記載）、当該条件ＩＤと対応する検査対象ルールＩＤを示すルールＩＤ、検査対象ユーザＩＤ、条件と適合したことを示す判定データ、現在の時刻を示す判定時刻データ、類似条件ＩＤ、当該類似条件ＩＤの類似度を示す類似割合のデータを含む条件結果データを、結果ＤＢ４２の条件結果テーブルへ追加する（ステップＳ１９０）。
【００５４】
次に、ルール照合部５４は、ステップＳ１４０において読み出した検査対象ルールＩＤのうち、適合条件ＩＤに対応したルールＩＤを選択し、さらに、この選択したルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルからルールタイプを読み出して複合か単一かを判断する（ステップＳ２００）。ルールタイプが単一であると判断した場合（ステップＳ２００：単一）、後述するステップＳ２４０以降の処理が行われる。
【００５５】
一方、ルールタイプが複合である場合（ステップＳ２００：複数）、ルール照合部５４は、適合した条件と同一ルールに属する他条件の結果を結果ＤＢ４２より参照する（ステップＳ２１０）。すなわち、ルール照合部５４は、適合条件ＩＤを条件ＩＤとして含む検査対象ルールＩＤを特定し、この特定した検査対象ＩＤに対応した条件ＩＤのうちのいずれかと、検査対象ユーザＩＤとを含む条件結果データを、結果ＤＢ４２内の条件結果テーブルから抽出する。
【００５６】
ルール照合部５４は、抽出した条件結果データを基に、検査対象ルールとの類似度チェックを行う（ステップＳ２２０）。ルール照合部５４は、ステップＳ２１０において抽出した条件結果データから、各検査対象ルールについて、ステップＳ１９０において書き込んだ条件結果データ内の時刻と最も近い時刻の条件結果データを抽出し、この抽出した条件結果データ内の類似割合と、ステップＳ１９０において書き込んだ条件結果データ内の類似度とを合算して、最新の類似割合を算出する。ルール照合部５４は、検査対象ルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルから類似基準値を読み出し、今回算出した類似割合が、読み出した類似度基準値の示す閾値を超えたか否かを判断する。閾値を超えている場合には、そのルールＩＤと、類似度基準値を超過したことを示すフラグを内部に記憶する。
【００５７】
続いて、ルール照合部５４は、抽出したエントリに含まれる条件ＩＤと、検査対象ルールＩＤに属する条件ＩＤとがどれくらいの割合で一致しているかの達成度をチェックする（ステップＳ２３０）。すなわち、ルール照合部５４は、ステップＳ２１０において読み出した条件結果データから、各検査対象ルールに対応した一連の条件ＩＤと一致している条件結果データを抽出し、一致している割合を算出する。ルール照合部５４は、検査対象ルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルから達成基準値を読み出し、今回算出した達成割合が、読み出した達成基準値の示す閾値を超えたか否かを判断する。閾値を超えている場合には、そのルールＩＤと、達成基準値を超過したことを示すフラグを内部に記憶する。
【００５８】
累積カウントを考慮するルールの場合、ルール照合部５４は、適合条件ＩＤに対応した検査対象ルールＩＤをキーにして、結果ＤＢ４２のルール結果テーブルからルール結果データを読み出す。そして、読みした各ルール結果データ内の累積数に、１を加算して累積数を算出する。ルール照合部５４は、検査対象ルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルから累積基準値を読み出し、今回算出した累積数が、読み出した累積基準値の示す閾値を超えたか否かを判断する（ステップＳ２４０）。閾値を超えている場合には、そのルールＩＤと、累積基準値を超過したことを示すフラグを内部に記憶する。なお、読み出した累積基準値がＮＵＬＬや０の場合に、累積カウントを考慮しないと判断してもよい。
【００５９】
次に、発生密度を考慮するルールの場合、ルール照合部５４は、ステップＳ２４０において抽出したルール結果データ内の判定時刻を参照して、現在時刻から所定の時間内に発生したルール結果データを抽出する。ルール照合部５４は、各検査対象ルールについて、抽出したルール結果テーブルの数から発生数を得る。ルール照合部５４は、検査対象ルールＩＤに対応してルールＤＢ４１内のルールテーブルから密度データを読み出し、今回算出した所定時間における発生数が、読み出した密度データの示す閾値を超えたか否かを判断する（ステップＳ２５０）。閾値を超えている場合には、そのルールＩＤと、密度基準値を超過したことを示すフラグを内部に記憶する。なお、読み出した密度基準値がＮＵＬＬや０の場合、密度を考慮しないと判断してもよい。
【００６０】
結果判定部５６は、累積数、発生密度、類似割合、達成割合の閾値の超過を総合的に判断し、ルールに適合したかを判断する（ステップＳ２６０）。これは、例えば、ルールＩＤ毎に、累積数、発生密度、類似割合、達成割合の閾値超過フラグのどれが立っているときに、ルールに合致していると判断するかのデータを内部に記憶しておき、当該データと比較することにより判断することができる。ルールに合致していないと判断した場合（ステップＳ２６０：Ｎｏ）、ルール照合部５４は、ステップＳ１４０において読み出した条件ＩＤ群の中から、まだ選択していない１つの条件ＩＤを選択し（ステップＳ１７０）、ステップＳ１８０以降の処理を行う。
【００６１】
一方、ルールに合致していると判断した場合（ステップＳ２６０：Ｙｅｓ）、ユーザ状態管理部５５は、適合しているルールについてのルール結果データを生成して、結果ＤＢ４２内のルール結果テーブルに追加する（ステップＳ２７０）。生成したルール結果データには、適合したルールのルールＩＤ、検査対象ユーザＩＤ、当該ルールＩＤに対応したルールタイプ、算出した累積数、密度、達成割合、類似割合、適合を示す判定、判定時刻のデータが含まれる。結果送信部５７は、検査対象ユーザＩＤ、及び、適合したルールＩＤを示す結果データを、通信制御部２３へ送信する（ステップＳ２８０）。また、結果データには、閾値を超えた累積数、発生密度、類似割合、達成割合を含めることでもよい。
【００６２】
通信制御部２３の通信制御指示部６２は、結果データを受信すると、結果データに含まれる検査対象ユーザＩＤ、適合したルールのルールＩＤ、さらには、閾値を超えた累積数、発生密度、類似割合、達成割合により、通信制御ＤＢ６１から通信を制限すべき、あるいは、通信を許可すべき範囲を示す通信制御データを読み出す。通信制御データは、通信制御対象のクライアント端末１０のアドレス、通信制御対象のクライアント端末１０毎の通信制御プロファイルからなる。通信制御対象のクライアント端末１０のアドレスには、検査対象ユーザＩＤにより示されるユーザのクライアント端末１０のアドレスの他にも、当該ユーザのクライアント端末１０の周辺のクライアント端末１０のアドレスが含まれ得る。通信制御プロファイルデータは、発信または着信を、制限または許可する社内リソース／外部リソースの識別子／アドレス、アプリケーションに使用されるポート番号、ＶＰＮ番号などのパーソナルファイアーウォールのルールやＶＰＮのルールの情報が含まれる。通信制御指示部６２は、通信制御対象のクライアント端末１０へ、当該クライアント端末１０に対応する通信制御プロファイルを送信する。通信制御プロファイルをを受信したクライアント端末１０の通信制御エージェント１２は、当該通信制御プロファイルに従って、当該クライアント端末１０からの発信、及び、当該クライアント端末１０への着信を許可あるいは制限する。
【００６３】
一方、ルール照合部５４は、ステップＳ１４０において読み出した全ての条件ＩＤについて、ステップＳ１５０以降の処理を実行したかにより、終了を判断する（ステップＳ２９０）。終了ではないと判断した場合（ステップＳ２９０：Ｎｏ）、ステップＳ１３０からの処理を行い、終了と判断した場合（ステップＳ２９０：Ｙｅｓ）、検査処理を終了する。
【００６４】
なお、ステップＳ１３０において、検査対象ユーザがペナルティ期間であると判断された場合（ステップＳ１３０：Ｙｅｓ）、結果送信部５７は、検疫検査を中止し、現在の検査結果を維持するため、検査対象ユーザＩＤ、及び、ペナルティ期間であることを示す結果データを通信制御部２３へ送信する（ステップＳ２８０）。通信制御部２３の通信制御指示部６２は、結果データで示される検査対象ユーザＩＤのクライアント端末１０へ前回通知したものと同様の通信制御プロファイルをクライアント端末１０へ送信する。
【００６５】
図９は、クライアント端末１０からの要求により検疫検査処理を実行する場合のフローを示す。
オンデマンド検疫の場合、検疫装置２０の通信制御部２３は、クライアント端末１０の通信制御エージェント１２からユーザＩＤの情報が含まれる検疫要求メッセージを受信する。検疫装置２０の検疫要求受信部６３は、検疫要求メッセージをログベースド検疫検査部２２へ通知する（ステップＳ３１０）。ログベースド検疫検査部２２の検疫要求受信部５８は、検疫要求メッセージからユーザＩＤを抽出し、どのユーザの検疫要求かを特定する（ステップＳ３２０）。
【００６６】
ルール照合部５４は、図８のステップＳ１３０と同様の処理により、特定したユーザが現在所定のペナルティ期間にあるか否かのチェックを行う（ステップＳ３３０）。すなわち、ルール照合部５４は、検疫要求メッセージから抽出したユーザＩＤを検査対象ユーザＩＤとし、結果ＤＢ４２内のユーザ結果テーブルから、検査対象ユーザＩＤに対応する判定、判定時刻、及び、判定ルールＩＤのデータを読み出して、検査対象のユーザがペナルティ状態であるか、ペナルティ状態であると判断した場合、当該ユーザが現在ペナルティ期間であると判断する。
【００６７】
ペナルティ期間ではないと判断した場合（ステップＳ３３０：ＮＯ）、ログデータ読込部５３は、検査対象ユーザＩＤをキーにして、まだ、検疫検査を実行していないログデータをログＤＢ３２から読み出し（ステップＳ３４０）、図８のステップＳ１４０以降の検査処理を実行する。なお、ステップＳ３３０において、ペナルティ期間ではないと判断した場合（ステップＳ３３０：Ｙｅｓ）、図８のステップＳ２８０からの処理を実行することにより、検疫検査を中止し、現在の検査結果を維持する。
【００６８】
本実施の形態によれば、クライアント端末１０のコンプライアンスチェックに加えて、ユーザの操作のコンプライアンスチェックを行うことにより、エンドポイントセキュリティを高めることができる。
また、一定の操作をすることによるアクセス制限の緩和と、一定の操作をすることによるアクセス範囲の限定化という２面の通信制御が可能となる。
また、クライアント端末１０から、社内リソース８０へのアクセス制御という面だけでなく、不正な操作をしたクライアント端末１０への通信を制御することにより、ウイルス感染・情報漏洩を防止するなど、多面的な防御が可能となる。
また、検疫装置２０には、ユーザ操作のチェック機能を、フォレンジック製品には、ユーザの行動制限機能を追加することができ、それぞれを併用する場合よりも、高いセキュリティを実現することが可能である。
また、発生した不正な操作の妨害だけでなく、その行動の結果を継続的にペナルティとして課すこともできる。また、過去に遡り、一定の行為を複数回繰り返すことにより、制限を課すことも可能であり、より厳密かつ柔軟なエンドユーザの行動制限を行うことが可能である。
また、不正行為がなされる前に、一定の基準を超えた場合に、不正行為の兆候があることを判断することが可能である。
また、コンプライアンスチェックの判断根拠として、不正行為の累積カウントを用いることにより、ユーザの不正行為を検知することが可能である。
【００６９】
なお、上述したクライアント端末１０及び検疫装置２０は、内部にコンピュータシステムを有している。そして、上述したクライアント端末１０のログ収集エージェント１１及び通信制御エージェント１２、ならびに、検疫装置２０のログ収集管理部２１、ログベースド検疫検査部２２及び通信制御部２３の各部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上記各種処理を行う。尚、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。更に「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００７０】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。更に、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【図面の簡単な説明】
【００７１】
【図１】本発明の一実施の形態による検疫システムの概要を示す図である。
【図２】同実施の形態による検疫システムの構成を示すブロック図である。
【図３】同実施の形態によるログベースド検疫検査部の詳細な構成を示すブロック図である。
【図４】同実施の形態による各データ間の関連性を示すデータ概念モデルを示す図である。
【図５】同実施の形態によるログＤＢ内に記憶されるログカテゴリ別テーブルの具体的なデータ構成を示す図である。
【図６】同実施の形態によるルールＤＢ内に記憶されるデータの具体的な例を示す図である。
【図７】同実施の形態による結果ＤＢ内に記憶されるデータの具体的な例を示す図である。
【図８】同実施の形態による検疫装置の検疫検査処理フローを示す図である。
【図９】同実施の形態による検疫装置の検疫検査処理フローを示す図である。
【符号の説明】
【００７２】
１０…クライアント端末
１１…ログ収集エージェント
１２…通信制御エージェント
２０…検疫装置
２１…ログ収集管理部
２２…ログベースド検疫検査部
２３…通信制御部
３１…情報収集部
３２…ログＤＢ
３３…ログ管理部
３４…資産情報管理部
３５…レポーティング部
４１…ルールＤＢ
４２…結果ＤＢ
５１…ルール設定管理部
５２…検査実施管理部
５３…ログデータ読込部
５４…ルール照合部
５５…ユーザ状態管理部
５６…結果判定部
５７…結果送信部
５８…検疫要求受信部
５９…結果参照／検査・結果操作部
６１…通信制御ＤＢ
６２…通信制御指示部
６３…検疫要求受信部
７０…ネットワーク
８０…社内リソース
８１…業務ネットワーク
８２…業務サーバ
９０…ＶＰＮ−ＧＷ
【技術分野】
【０００１】
本発明は、検疫システム、検疫装置、検疫方法、及び、コンピュータプログラムに関する。
【背景技術】
【０００２】
近年、コンピュータシステムにおけるセキュリティの確保が重要な問題となっている。セキュリティ対策に用いらる従来の一般的な検疫システムは、クライアントＰＣ（パーソナルコンピュータ）のセキュリティレベルを診断し、セキュリティ対策が不十分な場合は、社内リソース、例えば、業務サーバや社内ネットワークへの接続を許可しないというものである。セキュリティレベルの診断には、セキュリティパッチが適用されているか否か、ウイルス対策ソフトウェアの定義ファイルのバージョン、必要・不要なアプリケーションのインストール状況などのチェックがあり、これは、つまりクライアントＰＣに対するコンプライアンスチェックである。
【０００３】
上述した検疫システムのほか、セキュリティ対策として、ユーザ認証、アプリケーションゲートウェイの設置、デジタルフォレンジクス製品等が用いられている。ユーザ認証は、システムを利用するユーザが登録されているユーザであるかの認証を行うものであり、基本的なＩＤ及びパスワードにより特定デバイスの所有、アプリケーションの使用、データへのアクセス等の権限をチェックする。ＩＤ及びパスワードによる認証の他、指紋・静脈などのバイオメトリクス認証を行うものなど、さまざまな認証方式が存在する。また、アプリケーションゲートウェイの設置により不正な操作を検出するものとして、ＩＰＳ（Intrusion Prevention System）、ＩＤＳ（Intrusion Detection System）、メールフィルタリング、ウェブフィルタリングなどがある。これらは、ネットワーク上に設置されたアプリケーションゲートウェイにおいて、そこを通過する通信を分析し、通信内容に問題が検出された場合に、通信を遮断するシステムである。また、デジタルフォレンジクス製品は、情報漏洩等のセキュリティ被害が発生した場合にその原因を調査することを主目的としており、ユーザ操作ログの収集と、収集したログの分析を行う。
一方、状態証明書を利用したセキュリティレベル管理システムも知られている（例えば、特許文献１参照）。このシステムにおいて、状態証明センタは、コンピュータのセキュリティ情報をもとに状態証明書を作成して当該コンピュータに送信し、状態送信センタは、ネットワークに接続するためのセキュリティを満たすウイルス定義ファイルの情報やＯＳのパッチ情報を含む安全状態情報を作成し、状態検証器へ送信する。状態検証器はコンピュータの状態証明書と、安全状態情報とを比較してセキュリティのチェックを行う。
【特許文献１】特開２００５−１２８６２２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上述するような、従来の検疫システムは、クライアントＰＣの状態を通信可否の判断根拠としているが、これは、ユーザの不正な操作に起因する情報漏洩、ウイルス感染防止には、十分な効果を発揮するものではない。加えて、最近、パッチ適用の自動化、ウイルス対策システムの自動化など、クライアントＰＣのセキュリティ対策機能が強化されており、現在の検疫システムが主眼を置いているクライアントＰＣに対するコンプライアンスチェックは、相対的に重要度が下がることが予想される。
加えて、エンドポイントセキュリティ、情報漏洩の分野では、利用可能として登録されていない、すなわち、権限のないユーザによる情報漏洩対策に加えて、権限のある人間による情報漏洩対策を強化する必要性が高まっている。ユーザ認証は、特定のユーザであることのみをチェックするため、このような最近特に問題となっている権限を持つユーザの不正操作によるセキュリティ被害を防ぐことはできない。
【０００５】
アプリケーションゲートウェイを用いる場合、通信の制御が可能な対象は、メール、ウェブページの閲覧など限定される。加えて、チェック対象はアプリケーションゲートウェイを通過する通信であるため、クライアントＰＣで行われるユーザ操作の一部に対してしかチェック及び制限が可能ではない。また、デジタルフォレンジクス製品では、上述するように、一般的にセキュリティ被害の発生後に利用するものであり、原因調査もしくはログ収集による不正操作の発生抑止を目的としている。そのため、ユーザの不正操作の禁止や被害発生防止、通信の制御によるペナルティの付与等の機能は弱い。一部製品では、不正なプログラム実行に対してプロセスの遮断を行うことが可能な製品が存在しているが、あくまで当該プログラムの実行禁止を行うだけであり、ユーザ操作によって通信範囲の拡大等の制御を行うことはできない。
【０００６】
本発明は、このような課題を解決するためになされたもので、その目的は、クライアントＰＣの状態によるセキュリティレベル診断（クライアントＰＣのコンプライアンスチェック）だけでなく、ユーザの端末操作の確認（ユーザ操作のコンプライアンスチェック）を行い、管理者の決めたルールに反した場合、社内リソースへのアクセスを禁止することのできる検疫システム、検疫装置、検疫方法、及び、コンピュータプログラムを提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するため、本発明は、端末と、前記端末とはネットワークを介して接続される検疫装置とからなる検疫システムであって、前記端末において実行された操作及びユーザ識別子の情報を含むログデータを記憶するログ記憶手段と、検出対象の操作を示すルールデータを記憶するルール記憶手段と、前記端末からログデータを受信して前記ログ記憶手段に書き込むログ収集管理部と、前記ログ記憶手段から前記ログ収集管理部が書き込んだログデータを読み出すログデータ読込部と、前記ログデータ読込部により読み出されたログデータが、前記ルール記憶手段内の前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合部と、前記ルール照合部により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信部と、前記結果送信部により出力された結果情報の示すルールに対応して通信範囲を制限または拡大する通信制御を、該結果情報の示すユーザ識別子により特定されるユーザの端末へ指示する通信制御部と、を備えることを特徴とする検疫システムである。
【０００８】
また、本発明は、端末において実行された操作及びユーザ識別子の情報を含むログデータを記憶するログ記憶手段と、検出対象の操作を示すルールデータを記憶するルール記憶手段と、前記ログ記憶手段からログデータを読み出すログデータ読込部と、前記ログデータ読込部により読み出されたログデータが、前記ルール記憶手段内の前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合部と、前記ルール照合部により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信部と、を備えることを特徴とする検疫装置である。
【０００９】
また、本発明は、上述する検疫装置であって、前記ルール記憶手段は、ユーザ識別子と前記ルールデータとを対応付けるデータをさらに記憶し、前記ルール照合部は、前記ログデータ内のユーザ識別子に対応したルールデータを前記ルール記憶手段から読み出し、前記ログデータが、読み出した前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断する、ことを特徴とする。
【００１０】
また、本発明は、上述する検疫装置であって、前記ルールデータは、１または複数の検出対象の操作の情報を含むことを特徴とする。
【００１１】
また、本発明は、上述する検疫装置であって、前記ルールデータは、複数の操作の情報と、閾値の情報とを含み、前記ルール照合部は、同じユーザ識別子を有する前記ログデータにより示される操作に、前記ルールデータにより示される操作と一致する操作が含まれており、かつ、該ルールデータに含まれる操作の数に対する、前記一致する操作の数の割合が、当該ルールデータで示される閾値以上である場合にルールと合致していると判断する、ことを特徴とする。
【００１２】
また、本発明は、上述する検疫装置であって、前記ルールデータは、複数の操作の情報と、閾値の情報とを含み、前記ルール記憶手段は、さらに、ルールデータの示す操作と類似する操作のデータを記憶し、前記ルール照合部は、前記ルールデータにより示される操作と類似している操作を前記ルール記憶手段から読み出し、同じユーザ識別子を有する前記ログデータの示す操作に、読み出した類似した操作が含まれており、かつ、その類似した操作の類似度の合計が、当該ルールデータで示される閾値以上である場合にルールと合致していると判断する、ことを特徴とする。
【００１３】
また、本発明は、上述する検疫装置であって、前記ログデータは、さらに、操作時刻の情報を含み、前記ルールデータは、さらに、閾値の情報を含み、前記ルール照合部は、同じユーザ識別子を有し、かつ、操作時刻が所定の期間内を示している前記ログデータのうち、前記ルールデータにより示される操作の実行を示しているログデータの数が、当該ルールデータの閾値で示される数以上である場合にルールと合致していると判断する、ことを特徴とする。
【００１４】
また、本発明は、上述する検疫装置であって、前記ルール照合部によりルールと合致していると判断されたルールと、判断時刻とルール結果データを結果記憶手段に書き込むユーザ状態管理部をさらに備え、前記ルール照合部は、判断時刻が所定期間内であるルール結果データが前記結果記憶手段に記憶されているか否かを検出し、前記通信制御部は、前記ルール照合部により判断時刻が所定期間内であるルール結果データが前記結果記憶手段に記憶されていることを検出した場合に、出力済みの結果情報に応じた通信制御の継続指示を出力する、ことを特徴とする。
【００１５】
また、本発明は、上述する検疫装置であって、結果情報に対応して、通信制御対象の端末の情報と、発信または着信を許可または制限する通信範囲を示すデータである通信制御プロファイルとを記憶する通信制御記憶手段と、前記結果送信部により出力された結果情報に対応する通信制御対象の端末の情報と、通信制御プロファイルとを前記通信制御記憶手段から読み出し、該通信制御対象の端末へ該通信制御プロファイルを通知する通信制御指示部とをさらに備える、ことを特徴とする。
【００１６】
また、本発明は、端末の操作ログにより検疫検査を行う検疫装置に用いられるコンピュータを、前記端末において実行された操作及びユーザ識別子の情報を含むログデータをログ記憶手段から読み出すログデータ読込手段、検出対象の操作を示すルールデータをルール記憶手段から読み出し、前記ログデータ読込手段により読み出されたログデータが、読み出した前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合手段、前記ルール照合手段により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信手段、として実行させることを特徴とするコンピュータプログラムである。
【発明の効果】
【００１７】
本発明によれば、ユーザの操作のコンプライアンスチェックを行うことにより、エンドポイントセキュリティを高めることができる。
すなわち、一定の操作をすることによるアクセス制限の緩和と、一定の操作をすることによるアクセス範囲の限定化という２面の通信制御が可能となることに加え、クライアントＰＣから社内リソースへのアクセス制御という面だけでなく、不正な操作をしたクライアントＰＣへの通信を制御し、ウイルス感染・情報漏洩を防止するなど、多面的な防御が可能となる。さらには、発生した不正な操作の妨害だけでなく、その行動の結果を継続的にペナルティとして課したり、過去に遡って一定の行為を複数回繰り返しているユーザに制限を課したりすることもでき、より厳密かつ柔軟なエンドユーザの行動制限を行うことが可能となる。
コンプライアンスチェックの判断根拠として、不正行為の累積カウントを用い、ユーザの不正行為を検知することができる。また、不正行為がなされる前に、一定の基準を超えた場合に、不正行為の兆候があることを判断することも可能となる。
【発明を実施するための最良の形態】
【００１８】
以下、本発明の好適な実施の形態について図面を参照しつつ説明する。
図１は、本発明の一実施の形態による検疫システムの概要を示す図である。企業が保有する検疫システムは、クライアント端末１０、及び、検疫装置２０を、ネットワーク７０を介して接続してなる。また、ネットワーク７０は、業務ネットワーク８１や業務ネットワーク８１上に設置された業務サーバ８２などの社内リソース８０とＶＰＮ−ＧＷ（Virtual Private Netework−Gateway)９０を介して接続される
【００１９】
同図に示す検疫システムの動作概要を説明する。クライアント端末１０が起動すると、まず、クライアント端末１０のＰＣ状態の検査を行う（ステップＳ１）。これは、ＰＣに対するコンプライアンスチェックであり、例えば、セキュリティパッチが適用されているか否か、ウイルス対策ソフトウェアの定義ファイルのバージョン、必要・不要なアプリケーション（ＡＰ）のインストール状況などをチェックする。ＰＣに対するコンプライアンスチェックが終了すると、以降、クライアント端末１０は、アプリケーションの利用ログ、メールやその貼付ファイルの送信ログ、ウェブの閲覧ログなどの操作ログを収集する。検疫装置２０は、クライアント端末１０から収集された操作ログのデータであるログデータを受信し、ログデータベース３２（以下、データベースを「ＤＢ」と記載）に書き込む（ステップＳ２）。検疫装置２０は、当該検疫装置２０内で管理している検出ルールと、ログＤＢ３２内のログデータとを照会して操作ログの検疫検査、すなわち、ユーザ操作のコンプライアンスチェックを行う（ステップＳ３）。このチェックにより、検疫装置２０において、禁止アプリケーションの起動や、特定ファイルのメール貼付、ウェブからの不正ダウンロード等によるアプリケーション実行など、情報漏洩等の怖れのある不正操作があったことを示す操作ログを発見した場合、検疫装置２０は、通信状態管理を行う機能部により、クライアント端末１０に対して通信制限を指示する（ステップＳ４）。クライアント端末１０は、検疫装置２０からの指示に従って通信制限を行い、指示された範囲の社内リソース８０へのアクセスは遮断し、通信可能な社内リソース８０へのみアクセスして業務通信を行う（ステップＳ５）。
【００２０】
本実施の形態においてユーザ操作のコンプライアンスチェックに用いる情報は、クライアント端末１０の操作ログである。つまり、検疫装置２０は、クライアント端末１０におけるユーザ操作のログを収集・管理し、ログと管理者が定義したルールとのマッチング、すなわち、コンプライアンスチェックを行い、ルールに適合しているか否かを判定する。
ログの具体的な例としては、メール送信の題名、メール本文中のキーワード、メールの添付ファイル名、閲覧したウェブページのアドレス（ＵＲＬ：Universal Resource Locator）、ウェブページ中のキーワード、ユーザがアクセス・操作（作成、保存、書換、削除など）を行ったファイル名、当該ファイルの保存場所、当該ファイルの中身、起動したアプリケーション・プロセス名、停止したアプリケーション・プロセス名、外部デバイスの接続・利用、印刷したドキュメント名、画面ウィンドウのタイトルに示されているテキストデータなどである。これらの情報は、既存の汎用的なログ収集のソフトウェアアプリケーションであるフォレンジクス製品により一般的に収集されるものであり、本システムにおいてもそれらの製品との連携によって実現することができる。また、既存技術の検疫システムや、通信制御プロファイルを自動配布するシステム等と組み合わせることもできる。
【００２１】
本実施の形態による検疫システムの効用は、クライアント端末１０のセキュリティ向上にある。まず、クライアント端末１０のコンプライアンスチェックを実施することにより、一定のセキュリティ基準を満たさないクライアント端末１０は、社内リソース８０にアクセスできない。これにより、不正な持込持ち込み端末、セキュリティ対策の不十分なクライアント端末１０を排除することができる。更に、これらのチェックを通過したクライアント端末１０であっても、ユーザが管理者の決めたルールを外れた操作をした場合に、社内リソース８０の利用範囲を縮小することが可能である。
【００２２】
ユーザ操作のコンプライアンスチェックには、ルールに外れた場合に通信範囲を制限するという方法以外にも、ルールに従った操作を行った場合に通信範囲を拡大するという利用方法も可能である。例えば、ウィルスチェック実施の操作を行った後には、ファイルサーバへのアクセスを許可する、注意事項や連絡事項を表記したウェブページを閲覧した後に、業務アプリケーション処理を行う業務サーバ８２へのアクセスがを許可する、などの利用法が考えられる。この機能により、社内リソース８０へのアクセス等の権限を有するユーザであっても、特定の操作を実行しない限り、その権限を行使できないといった、柔軟な制限を課すことが可能となる。また、特定の操作（作業）をクライアント端末１０の利用者に強制し、結果として特定操作の実施の確実さを高めることも可能となる。
【００２３】
さらに、クライアント端末１０から発信される通信だけでなく、クライアント端末１０への着信についても、同様の制限を課すことができる。つまり、クライアント端末１０もしくはユーザ操作へのコンプライアンスチェックにおいて問題があった場合、当該クライアント端末１０への外部から、あるいは、他のクライアント端末１０からの通信を制限する。また、逆に一定の操作を行った場合に、外部から、あるいは、他のクライアント端末１０からの通信を受取れる範囲を拡大することも可能となる。
さらには、不正を検出したクライアント端末１０への着信だけではなく、当該クライアント端末１０の周囲の他のクライアント端末１０への着信を制限することも可能である。これにより、例えば、不正を検出したクライアント端末１０と関連するデータや連携してアプリケーションを実行する他のクライアント端末１０へのアクセスも制限する。
【００２４】
検疫装置２０は、ユーザ操作のコンプライアンスチェック結果を一定の期間継続する。つまり、コンプライアンスチェック結果の情報に継続時間の情報を付加して保持することにより、不正な操作があったという時間軸上でのある時点における事象を、過去一定期間内に不正な操作があったという事象に変換する。これは、換言すると、望ましくない行動への対処だけではなく、望ましくない行動をしたユーザの今後の行動へのペナルティの役割を果たすことになる。
【００２５】
コンプライアンスチェックのルールには、２つの種類がある。１つは、１つの操作ログをコンプライアンスチェックの判断根拠とするルールである。例えば、アクセスを制限したいウェブページの閲覧や、実行してはいけないアプリケーションプログラムの実行のログを発見した場合に、通信の制限を行うものである。もう１つは、複数のログの組み合わせをコンプライアンスチェックの判断根拠とするルールである。それぞれの操作ログには問題はないが、組み合わせて実行されることにより問題となる場合に適用することができる。具体的な例をあげると、（１）顧客情報の参照、（２）画面キャプチャ、の操作の組み合わせである。それぞれの単体のログからは、接続の制限を課すべき操作であるとみなすことができないが、それらを組み合わせることにより問題のある操作であることが明らかになる。また、組み合わせるそれぞれのログ発生のタイミングについても規定を行うことにより、一定の期間内や同時に一連の操作が行われたときに問題となる場合のチェックがも可能となる。
【００２６】
複数のログを組み合わせてコンプライアンスチェックの判断根拠とする場合、禁止操作との類似度という観点を盛り込むことができる。具体的には次の２つの利用方法がある。１つ目は、禁止したい操作セットの全部が実行される前に、当該操作セットと一致する操作がある一定の割合を超えた場合に通信制御を行うものであり、禁止操作の兆候段階において対処を行うものである。例えば、５つの操作を組み合わせてルールとした場合、その４つ目までが実施された場合にルールに合致したと判断し、社内リソースの利用を禁止したり、あるいは、それぞれの操作に重み付けを行い、合致する操作に対応する重みの数値の合計（合算、二乗の加算など乖離度の数学的な操作により算出）が、全操作が行われた場合の重みの合計の８０％を超えた場合に通信を禁止する、などがあげられる。また、２つ目は、規定された禁止操作と類似した操作に類似度に応じたポイントを合計していき、一定の基準を超えた場合にルールに合致していると判断する。このことにより、ルールに幅を持たせることが可能となり、禁止したい操作の兆候を発見し、事前に通信を制御することが可能となる。
【００２７】
また、コンプライアンスチェックの結果判定には２つの方法がある。１つは、指定したユーザ操作（あるいはユーザ操作の組み合わせ）が発生したかどうかを単純に結果とするものである。望ましくない操作が１度でも実行された場合、その時点でＮＧと判定する。２つめは、一定期間内に指定した操作が何度か行われた場合に、ＮＧと判断するものである。例えば、３回同様の禁止キーワードを含むウェブページにアクセスした場合にＮＧと判定するなどである。この場合、当該ログが発生したことを記憶しておく時間を検疫装置２０内に保持しておくことにより、当該ログ発生の密度によって判断結果を変更することが可能となる。つまり、誤った操作を頻繁に行った場合（１０分間に３回など）には通信制御を行うが、それが１週間に３回であれば、通信制御は行わないなどである。これは、ユーザ操作が悪意のあるものであるか、たまたま間違ったものであるかについての識別にも利用可能である。
【００２８】
以下に、検疫システムの具体的な構成及び動作について説明する。
図２は、検疫システムの構成を示すブロック図である。
クライアント端末１０は、例えば、パーソナルコンピュータ（ＰＣ）などのコンピュータ端末であり、ログ収集エージェント１１、通信制御エージェント１２を備える。これらの各ブロックは、具体的には、ＣＰＵ（central processing unit）ならびにメモリを含む周辺ＬＳＩで構成され、ＣＰＵがメモリに記録されたプログラムを読み出し逐次実行することにより、そのブロックが持つ機能を実現するものである。ログ収集エージェント１１は、ユーザがクライアント端末１０で行った操作ログを示すログデータを収集し、検疫端末２へ収集したログデータを送信する機能を有する。通信制御エージェント１２は、検疫端末２から通信の制限あるいは許可対象を示すデータである通信制御プロファイルを受信し、この通信制御プロファイルに基づき通信制御を行う。また、通信制御エージェント１２は、検疫装置２０へ検疫検査要求を送信する。通信制御エージェント１２は、パーソナルファイアーウォールやＶＰＮ通信制御等の既存アプリケーションにより実現することができる。
【００２９】
検疫装置２０は、ログ収集管理部２１、ログベースド検疫検査部２２、及び、通信制御部２３から構成される。これらの各ブロックは、具体的には、ＣＰＵならびにメモリを含む周辺ＬＳＩで構成され、ＣＰＵがメモリに記録されたプログラムを読み出し逐次実行することにより、そのブロックが持つ機能を実現するものである。ログ収集管理部２１は、既存の汎用的なフォレンジクス製品により、通信制御部２３は、通信制御プロファイルを自動配布する既存のシステムにより実現することが可能である。
【００３０】
ログ収集管理部２１は、情報収集部３１、ログＤＢ３２、ログ管理部３３、資産情報管理部３４、及び、レポーティング部３５を備える。情報収集部３１は、クライアント端末１０からログデータを受信し、ログＤＢ３２へ書き込む。ログ管理部３３は、ログＤＢ３２内のログデータのデータ管理を行う。資産情報管理部３４は、ネットワーク７０に接続されているクライアント端末１０等の情報を管理する。レポーティング部３５は、ログＤＢ３２内のログデータや、このログデータに基づいた情報等を出力する。
【００３１】
通信制御部２３は、通信制御ＤＢ６１、通信制御指示部６２、及び、検疫要求受信部６３を備える。通信制御ＤＢ６１は、検疫結果と通信制御プロファイルとを対応付けた通信制御データを記憶する。通信制御指示部６２は、ログベースド検疫検査部２２からクライアント端末１０の検疫結果を受信し、受信した検疫結果に対応する通信制御プロファイルをクライアント端末１０へ送信する。検疫要求受信部６３は、クライアント端末１０から検疫検査要求を受信してログベースド検疫検査部２２へ通知する。
【００３２】
図３は、ログベースド検疫検査部２２の詳細な構成を示すブロック図である。
ログベースド検疫検査部２２は、ルールＤＢ４１、結果ＤＢ４２、ルール設定管理部５１、検査実施管理部５２、ログデータ読込部５３、ルール照合部５４、ユーザ状態管理部５５、結果判定部５６、結果送信部５７、検疫要求受信部５８、及び、結果参照／検査・結果操作部５９を備える。
ルールＤＢ４１は、検疫検査のためにログチェックを実行する際のルールを示すデータを記憶する。結果ＤＢ４２４は、ユーザ毎の条件達成状況、ルール適合状況等の検疫検査の結果データを記憶する。ルール設定管理部５１は、ルールＤＢ４１内のルールのデータに対して、追加、変更、削除などのデータ操作を行うユーザインタフェースを実現する。検査実施管理部５２は、検疫検査要求に基づく検疫検査の実施状況を管理する。また、検査実施管理部５２は、ログ収集管理部２１からのログ発生の通知を受信し、検疫検査処理を開始するとともに、定期的な検疫検査処理の実行を管理する。ログデータ読込部５３は、ログ収集管理部２１内のログＤＢ３２からレコード毎にログデータを読み出す。ルール照合部５４は、ログデータとルールのマッチングを行う。ユーザ状態管理部５５、ログデータとルールとのマッチング結果や、ルールを構成する各検査条件の達成状況を結果ＤＢ４２に書き込む。結果判定部５６は、ユーザ毎の条件達成状況から検疫検査の最終結果を判断する。結果送信部５７は、検疫検査の結果を通信制御部２３へ送信する。検疫要求受信部５８は、通信制御部２３から検疫検査要求を受信する。結果参照／検査結果操作部５９は、結果ＤＢ４２内の検疫検査の結果データを参照する。また、結果参照／検査結果操作部５９は、検疫検査の再実行を指示したり、ペナルティの解除などの、結果ＤＢ４２内の検疫検査の結果データの変更を行う。
【００３３】
図４は、各データ間の関連性を示すデータ概念モデルを示す図である。
ログデータと検査対象のユーザとは、ｎ：１の関係があり、検査対象のユーザとログの検査ルール（以下、単に「ルール」と記載する」とはｎ：ｍの関係がある。また、ルールは、具体的なログとのパターンマッチを判断するための単一もしくは複数の検査条件（以下、単に「条件」とも記載する）から構成され、ルールと条件とは、ｎ：ｍの関係がある。同図において、ログ１、２及び６は、ユーザ１のログデータであり、ログ３はユーザ２のログデータであり、ログ４及び５はユーザ３のログデータである。また、ユーザ１についてはルール１により検疫検査を行い、ユーザ２についてはルール２により検疫検査を行い、ユーザ３については、ルール１及び２により検疫検査を行う。ルール１は、条件１、２、３及び４の検査条件からなり、ルール２は、条件２、５及び６の検査条件からなる。
【００３４】
図５〜図７は、検疫装置２０が保持するデータの具体的例を示す図である。
図５は、ログＤＢ３２内に記憶されるログカテゴリ別テーブルの具体的な例を示す図である。同図において、ログカテゴリ別テーブルは、ログカテゴリ、ユーザＩＤ、発生時刻、及び、ログ内容のデータを含むログデータにより構成される。ログカテゴリは、ウェブアクセスに関するログ、メールに関するログなどのログの分類を示す。ユーザＩＤは、ログが発生したユーザを特定するためのユーザの管理ＩＤを示す。発生時刻は、ログの発生時刻を示す。ログ内容には、発生した事象の内容、例えば、指定アプリケーションの起動、アプリケーションを用いた操作及びその対象ファイル、アプリケーションのインストール、参照したウェブページ等のＵＲＬ（Universal Resource Locator）、参照したウェブページ内に含まれるキーワード、ダウンロードしたファイル、メールの送信、送信したメールの題名、メールに貼付されたファイル、印刷操作及び印刷対象ファイル、参照・コピー操作及びその対象ファイル、などがある。
【００３５】
図６は、ルールＤＢ４１内に記憶されるデータの具体的な例を示す図である。ルールＤＢ４１は、ユーザ／ルール対応テーブル、ルールテーブル、ルール／条件対応テーブル、条件テーブル、類似条件定義テーブルを記憶する。
ユーザ／ルール対応テーブルは、検疫対象となるユーザを特定するユーザＩＤと、当該ユーザの検疫検査に用いるルールの管理ＩＤであるルールＩＤとの情報を含むユーザ／ルール対応データからなる。
【００３６】
ルールテーブルは、ルールＩＤ、ルールタイプ、累積基準値、密度基準値、達成基準値、類似基準値、ペナルティ期間のデータを含むルールデータからなる。ルールタイプは、単体の条件からなるルールか、複合条件からなるルールかに関する分類を示す。累積基準値は、発生累積数による結果判定を行う場合の閾値である。密度基準値は、発生密度による結果判定を行う場合の閾値である。達成基準値は、ルールを構成する条件のうち、何％の条件が合致したかの結果判定を行う場合の閾値であり、例えば、完全に操作が一致したときに検出を行う場合には１００％が、５操作のうち４操作まで一致しているときに検出する場合には８０％が設定される。類似基準値は、類似度でルールに合致しているとの結果判定を行う場合の閾値を示し、例えば、全操作が類似しているときを１００％としたきの類似度の合計値の割合や、類似度の合計値が設定される。ペナルティ期間は、ルール達成時の結果の継続期間を示す。
【００３７】
ルール／条件対応テーブルは、ルールＩＤと、当該ルールに属する条件の管理ＩＤである条件ＩＤとを対応付けるデータを含むルール／条件対応データからなる。
【００３８】
条件テーブルは、ログをチェックするための条件の管理ＩＤを示す条件ＩＤ、当該条件によるチェック対象となるログの分類を示すログカテゴリ、及び、具体的なチェック内容を示す条件内容のデータを含む条件データからなる。条件内容には、例えば、起動禁止アプリケーション、ファイル操作、ファイル操作対象、閲覧禁止ＵＲＬ、アクセス制限を解除するためのセキュリティツールの起動、注意書き等を閲覧するためのＵＲＬなどである。
【００３９】
類似条件定義テーブルは、条件の管理ＩＤである条件ＩＤ、当該条件ＩＤと類似していると定義する条件（以下、「類似条件」と記載）の管理ＩＤを示す類似条件ＩＤ、及び、条件ＩＤで特定される条件と、類似条件ＩＤで特定される類似条件とがどれほど類似しているかを定量的に定義した類似度のデータを含む類似条件定義データからなる。
【００４０】
図７は、結果ＤＢ４２内に記憶されるデータの具体的な例を示す図である。結果ＤＢ４２は、ユーザ結果テーブル、ルール結果テーブル、条件結果テーブルを記憶する。
ユーザ結果テーブルは、検疫対象のユーザを特定するユーザＩＤ、当該ユーザの最終的な検疫検査結果を示す判定、判定がなされた時刻を示す判定時刻、判定の根拠となったルールを特定するルールＩＤのデータを含むユーザ結果データからなる。判定は、通信制御部２３への通達内容となり、例えば、通信を規制しているペナルティ状態、通信範囲を拡大しているアクセス許可状態、等である。
【００４１】
ルール結果テーブルは、検査を行ったルールを特定するルールＩＤ、当該ルールによる検疫検査対象のユーザを特定するユーザＩＤ、当該ルールのルールタイプ、累積数、密度、達成割合、類似割合、判定、及び、判定のデータを含むルール結果データからなる。累積数とは、現時点でのルール達成の発生累積数を示す。密度は、現時点でのルール達成の発生密度を示す。達成割合は、当該ルールを構成する一連の全条件のうち、現時点で何％を達成しているかの割合を示す。類似割合は、現時点で何％の類似度を達成しているかの割合を示す。判定は、当該ルールで設定した全条件を達成したか否かのフラグを示す。判定時刻は、当該ルールが達成されたと判定した時刻を示す。
【００４２】
条件結果テーブルは、ログとの適合チェックを行った条件を特定する条件ＩＤ、当該条件による検査を行ったルールのルールＩＤ、当該条件による検査対象のユーザを特定するユーザＩＤ、当該条件の判定、判定時刻、類似条件ＩＤ、類似割合のデータを含む条件結果データからなる。判定は、当該条件とログが適合したかの結果を示し、類似条件との判断結果も含まれる。判定時刻は、当該条件による判定が行われた時刻を示す。類似条件ＩＤは、類似した条件としてマッチングした条件を特定する管理ＩＤを示す。類似割合は、マッチングした類似条件との類似度を示す。
【００４３】
次に、検疫システムの動作手順について説明する。
図８及び図９は、検疫装置２０における検疫検査処理フローを示す図である。
予め、管理者は、ルールに関する情報を検疫装置２０の図示しない入力手段により入力する。入力手段は、キーボードやマウスなどであるが、コンピュータ読み取り可能な記録媒体から情報を読み取ったり、ネットワーク７０を介して接続されるコンピュータ装置から情報を受信することでもよい。検疫装置２０のルール設定管理部５１は、入力手段により入力されたルールに関する情報に基づき、ルールＤＢ４１内の各種データの登録、変更、削除を行う。
また、クライアント端末１０のログ収集エージェント１１は、ユーザがクライアント端末１０で行った操作のログデータを収集し、検疫装置２０へ送信する。ログ収集エージェント１１は、新しいログデータが発生する度に検疫装置２０へ送信することでもよく、所定の間隔毎に送信することでもよい。
【００４４】
図８は、ログ収集管理部２１からの要求により検疫検査処理を実行する場合のフローを示す。
同図において、検疫装置２０の情報収集部３１は、クライアント端末１０から受信したログデータをログＤＢ３２へ書き込むと、検査実施管理部５２へログ発生の通知を送信する。検査実施管理部５２は、情報収集部３１からのログ発生の通知を受信し、以下の検疫検査処理を開始する。なお、所定の間隔毎など定期的に検疫検査処理を実行することでもよい。
【００４５】
検査実施管理部５２から検疫検査開始の指示を受信したログデータ読込部５３は、ログ収集管理部２１において収集され、新しくログカテゴリ別テーブルに書き込まれたログデータを、ログＤＢ３２から読み込む（ステップＳ１１０）。ルール照合部５４は、読み込んだログデータ内のユーザＩＤ（以下、「検査対象ユーザＩＤ」と記載）から、当該ログデータがどのユーザのものかを判断する（ステップＳ１２０）。
【００４６】
続いて、ルール照合部５４は、検査対象ユーザが現在所定のペナルティ期間にあるか否かのチェックを行う（ステップＳ１３０）。具体的には、ルール照合部５４は、検査対象ユーザＩＤをキーにして、結果ＤＢ４２内のユーザ結果テーブルから判定、判定時刻、及び、判定ルールＩＤのデータを読み出す。ルール照合部５４は、判定のデータから検査対象のユーザがペナルティ状態であると判断した場合、判定ルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルからペナルティ期間のデータを読み出す。ルール照合部５４は、現在の時刻が、判定時刻データで示される時刻からペナルティ期間が経過した時刻に達していない場合、当該ユーザが現在ペナルティ期間であると判断する。
【００４７】
ステップＳ１３０において、検査対象ユーザがペナルティ期間ではないと判断された場合（ステップＳ１３０：Ｎｏ）、ルール照合部５４は、ルールＤＢ４１を参照し、検査対象ユーザＩＤをキーにしてユーザ／ルール対応テーブルからルールＩＤを読み出し、読み出したルールＩＤ（以下、「検査対象ルールＩＤ」と記載）をキーにしてルール／条件対応テーブルから条件ＩＤを読み出す（ステップＳ１４０）。
【００４８】
続いて、ルール照合部５４は、検査対象ユーザに適用するルールについて、類似検査の必要性の有無を判断する（ステップＳ１５０）。これは、例えば、ステップＳ１４０において読み出した検査対象ルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルから類似基準値のデータを読み出し、この類似基準値がＮＵＬＬまたは０であるか否かにより判断することができる。
【００４９】
類似性検査の必要性が有りと判断した場合（ステップＳ１５０：有）、ルール照合部５４は、ステップＳ１４０において読み出した条件ＩＤをキーにして、ルールＤＢ４１内の類似条件定義テーブルから類似条件ＩＤ及び類似度のデータを読み出す（ステップＳ１６０）。
【００５０】
続いて、ルール照合部５４は、ステップＳ１４０において読み出した条件ＩＤ群の中から１つの条件ＩＤを選択する（ステップＳ１７０）。ルール照合部５４は、選択した条件ＩＤをキーにして、ルールＤＢ４１内の条件テーブルからログカテゴリ及び条件内容のデータを読み出し、ステップＳ１１０において読み出したログデータと比較して、現在選択している条件とのマッチング（適合判定）を行う（ステップＳ１８０）。すなわち、ログデータ内のログカテゴリと、条件テーブルから読み出したログカテゴリが一致し、かつ、ログデータ内のログ内容の示すユーザ操作が、条件テーブルから読み出した条件内容データの示すチェック内容にマッチするかにより、現在選択している条件とログデータが適合しているか否かを判断する。
【００５１】
さらに、ルール照合部５４は、現在選択している条件ＩＤの類似条件ＩＤをキーにしてルールＤＢ４１内の条件テーブルからログカテゴリ及び条件内容のデータを読み出し、ステップＳ１１０において読み出したログデータと比較することにより、類似条件とのマッチング（適合判定）を行う。すなわち、ログデータ内のログカテゴリと、条件テーブルから読み出した類似条件のログカテゴリが一致し、かつ、当該ログデータ内のログ内容の示すユーザ操作が、当該類似条件の条件内容データの示すチェック内容にマッチするかにより、類似条件とログデータが適合しているか否かを判断する。
【００５２】
ステップＳ１８０において、ルール照合部５４が、ログデータと、現在選択している条件または当該条件の類似条件と適合していないと判断した場合（ステップＳ１８０：Ｎｏ）、ステップＳ１４０において読み出した条件ＩＤ群の中から、まだ選択していない１つの条件ＩＤを選択し（ステップＳ１７０）、ステップＳ１８０の条件適合判定処理を行う。
【００５３】
一方、ステップＳ１８０において、ルール照合部５４が、ログデータと、現在選択している条件または当該条件の類似条件と適合していると判断した場合（ステップＳ１８０：Ｙｅｓ）、この条件の条件ＩＤ（以下、「適合条件ＩＤ」と記載）、当該条件ＩＤと対応する検査対象ルールＩＤを示すルールＩＤ、検査対象ユーザＩＤ、条件と適合したことを示す判定データ、現在の時刻を示す判定時刻データ、類似条件ＩＤ、当該類似条件ＩＤの類似度を示す類似割合のデータを含む条件結果データを、結果ＤＢ４２の条件結果テーブルへ追加する（ステップＳ１９０）。
【００５４】
次に、ルール照合部５４は、ステップＳ１４０において読み出した検査対象ルールＩＤのうち、適合条件ＩＤに対応したルールＩＤを選択し、さらに、この選択したルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルからルールタイプを読み出して複合か単一かを判断する（ステップＳ２００）。ルールタイプが単一であると判断した場合（ステップＳ２００：単一）、後述するステップＳ２４０以降の処理が行われる。
【００５５】
一方、ルールタイプが複合である場合（ステップＳ２００：複数）、ルール照合部５４は、適合した条件と同一ルールに属する他条件の結果を結果ＤＢ４２より参照する（ステップＳ２１０）。すなわち、ルール照合部５４は、適合条件ＩＤを条件ＩＤとして含む検査対象ルールＩＤを特定し、この特定した検査対象ＩＤに対応した条件ＩＤのうちのいずれかと、検査対象ユーザＩＤとを含む条件結果データを、結果ＤＢ４２内の条件結果テーブルから抽出する。
【００５６】
ルール照合部５４は、抽出した条件結果データを基に、検査対象ルールとの類似度チェックを行う（ステップＳ２２０）。ルール照合部５４は、ステップＳ２１０において抽出した条件結果データから、各検査対象ルールについて、ステップＳ１９０において書き込んだ条件結果データ内の時刻と最も近い時刻の条件結果データを抽出し、この抽出した条件結果データ内の類似割合と、ステップＳ１９０において書き込んだ条件結果データ内の類似度とを合算して、最新の類似割合を算出する。ルール照合部５４は、検査対象ルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルから類似基準値を読み出し、今回算出した類似割合が、読み出した類似度基準値の示す閾値を超えたか否かを判断する。閾値を超えている場合には、そのルールＩＤと、類似度基準値を超過したことを示すフラグを内部に記憶する。
【００５７】
続いて、ルール照合部５４は、抽出したエントリに含まれる条件ＩＤと、検査対象ルールＩＤに属する条件ＩＤとがどれくらいの割合で一致しているかの達成度をチェックする（ステップＳ２３０）。すなわち、ルール照合部５４は、ステップＳ２１０において読み出した条件結果データから、各検査対象ルールに対応した一連の条件ＩＤと一致している条件結果データを抽出し、一致している割合を算出する。ルール照合部５４は、検査対象ルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルから達成基準値を読み出し、今回算出した達成割合が、読み出した達成基準値の示す閾値を超えたか否かを判断する。閾値を超えている場合には、そのルールＩＤと、達成基準値を超過したことを示すフラグを内部に記憶する。
【００５８】
累積カウントを考慮するルールの場合、ルール照合部５４は、適合条件ＩＤに対応した検査対象ルールＩＤをキーにして、結果ＤＢ４２のルール結果テーブルからルール結果データを読み出す。そして、読みした各ルール結果データ内の累積数に、１を加算して累積数を算出する。ルール照合部５４は、検査対象ルールＩＤをキーにして、ルールＤＢ４１内のルールテーブルから累積基準値を読み出し、今回算出した累積数が、読み出した累積基準値の示す閾値を超えたか否かを判断する（ステップＳ２４０）。閾値を超えている場合には、そのルールＩＤと、累積基準値を超過したことを示すフラグを内部に記憶する。なお、読み出した累積基準値がＮＵＬＬや０の場合に、累積カウントを考慮しないと判断してもよい。
【００５９】
次に、発生密度を考慮するルールの場合、ルール照合部５４は、ステップＳ２４０において抽出したルール結果データ内の判定時刻を参照して、現在時刻から所定の時間内に発生したルール結果データを抽出する。ルール照合部５４は、各検査対象ルールについて、抽出したルール結果テーブルの数から発生数を得る。ルール照合部５４は、検査対象ルールＩＤに対応してルールＤＢ４１内のルールテーブルから密度データを読み出し、今回算出した所定時間における発生数が、読み出した密度データの示す閾値を超えたか否かを判断する（ステップＳ２５０）。閾値を超えている場合には、そのルールＩＤと、密度基準値を超過したことを示すフラグを内部に記憶する。なお、読み出した密度基準値がＮＵＬＬや０の場合、密度を考慮しないと判断してもよい。
【００６０】
結果判定部５６は、累積数、発生密度、類似割合、達成割合の閾値の超過を総合的に判断し、ルールに適合したかを判断する（ステップＳ２６０）。これは、例えば、ルールＩＤ毎に、累積数、発生密度、類似割合、達成割合の閾値超過フラグのどれが立っているときに、ルールに合致していると判断するかのデータを内部に記憶しておき、当該データと比較することにより判断することができる。ルールに合致していないと判断した場合（ステップＳ２６０：Ｎｏ）、ルール照合部５４は、ステップＳ１４０において読み出した条件ＩＤ群の中から、まだ選択していない１つの条件ＩＤを選択し（ステップＳ１７０）、ステップＳ１８０以降の処理を行う。
【００６１】
一方、ルールに合致していると判断した場合（ステップＳ２６０：Ｙｅｓ）、ユーザ状態管理部５５は、適合しているルールについてのルール結果データを生成して、結果ＤＢ４２内のルール結果テーブルに追加する（ステップＳ２７０）。生成したルール結果データには、適合したルールのルールＩＤ、検査対象ユーザＩＤ、当該ルールＩＤに対応したルールタイプ、算出した累積数、密度、達成割合、類似割合、適合を示す判定、判定時刻のデータが含まれる。結果送信部５７は、検査対象ユーザＩＤ、及び、適合したルールＩＤを示す結果データを、通信制御部２３へ送信する（ステップＳ２８０）。また、結果データには、閾値を超えた累積数、発生密度、類似割合、達成割合を含めることでもよい。
【００６２】
通信制御部２３の通信制御指示部６２は、結果データを受信すると、結果データに含まれる検査対象ユーザＩＤ、適合したルールのルールＩＤ、さらには、閾値を超えた累積数、発生密度、類似割合、達成割合により、通信制御ＤＢ６１から通信を制限すべき、あるいは、通信を許可すべき範囲を示す通信制御データを読み出す。通信制御データは、通信制御対象のクライアント端末１０のアドレス、通信制御対象のクライアント端末１０毎の通信制御プロファイルからなる。通信制御対象のクライアント端末１０のアドレスには、検査対象ユーザＩＤにより示されるユーザのクライアント端末１０のアドレスの他にも、当該ユーザのクライアント端末１０の周辺のクライアント端末１０のアドレスが含まれ得る。通信制御プロファイルデータは、発信または着信を、制限または許可する社内リソース／外部リソースの識別子／アドレス、アプリケーションに使用されるポート番号、ＶＰＮ番号などのパーソナルファイアーウォールのルールやＶＰＮのルールの情報が含まれる。通信制御指示部６２は、通信制御対象のクライアント端末１０へ、当該クライアント端末１０に対応する通信制御プロファイルを送信する。通信制御プロファイルをを受信したクライアント端末１０の通信制御エージェント１２は、当該通信制御プロファイルに従って、当該クライアント端末１０からの発信、及び、当該クライアント端末１０への着信を許可あるいは制限する。
【００６３】
一方、ルール照合部５４は、ステップＳ１４０において読み出した全ての条件ＩＤについて、ステップＳ１５０以降の処理を実行したかにより、終了を判断する（ステップＳ２９０）。終了ではないと判断した場合（ステップＳ２９０：Ｎｏ）、ステップＳ１３０からの処理を行い、終了と判断した場合（ステップＳ２９０：Ｙｅｓ）、検査処理を終了する。
【００６４】
なお、ステップＳ１３０において、検査対象ユーザがペナルティ期間であると判断された場合（ステップＳ１３０：Ｙｅｓ）、結果送信部５７は、検疫検査を中止し、現在の検査結果を維持するため、検査対象ユーザＩＤ、及び、ペナルティ期間であることを示す結果データを通信制御部２３へ送信する（ステップＳ２８０）。通信制御部２３の通信制御指示部６２は、結果データで示される検査対象ユーザＩＤのクライアント端末１０へ前回通知したものと同様の通信制御プロファイルをクライアント端末１０へ送信する。
【００６５】
図９は、クライアント端末１０からの要求により検疫検査処理を実行する場合のフローを示す。
オンデマンド検疫の場合、検疫装置２０の通信制御部２３は、クライアント端末１０の通信制御エージェント１２からユーザＩＤの情報が含まれる検疫要求メッセージを受信する。検疫装置２０の検疫要求受信部６３は、検疫要求メッセージをログベースド検疫検査部２２へ通知する（ステップＳ３１０）。ログベースド検疫検査部２２の検疫要求受信部５８は、検疫要求メッセージからユーザＩＤを抽出し、どのユーザの検疫要求かを特定する（ステップＳ３２０）。
【００６６】
ルール照合部５４は、図８のステップＳ１３０と同様の処理により、特定したユーザが現在所定のペナルティ期間にあるか否かのチェックを行う（ステップＳ３３０）。すなわち、ルール照合部５４は、検疫要求メッセージから抽出したユーザＩＤを検査対象ユーザＩＤとし、結果ＤＢ４２内のユーザ結果テーブルから、検査対象ユーザＩＤに対応する判定、判定時刻、及び、判定ルールＩＤのデータを読み出して、検査対象のユーザがペナルティ状態であるか、ペナルティ状態であると判断した場合、当該ユーザが現在ペナルティ期間であると判断する。
【００６７】
ペナルティ期間ではないと判断した場合（ステップＳ３３０：ＮＯ）、ログデータ読込部５３は、検査対象ユーザＩＤをキーにして、まだ、検疫検査を実行していないログデータをログＤＢ３２から読み出し（ステップＳ３４０）、図８のステップＳ１４０以降の検査処理を実行する。なお、ステップＳ３３０において、ペナルティ期間ではないと判断した場合（ステップＳ３３０：Ｙｅｓ）、図８のステップＳ２８０からの処理を実行することにより、検疫検査を中止し、現在の検査結果を維持する。
【００６８】
本実施の形態によれば、クライアント端末１０のコンプライアンスチェックに加えて、ユーザの操作のコンプライアンスチェックを行うことにより、エンドポイントセキュリティを高めることができる。
また、一定の操作をすることによるアクセス制限の緩和と、一定の操作をすることによるアクセス範囲の限定化という２面の通信制御が可能となる。
また、クライアント端末１０から、社内リソース８０へのアクセス制御という面だけでなく、不正な操作をしたクライアント端末１０への通信を制御することにより、ウイルス感染・情報漏洩を防止するなど、多面的な防御が可能となる。
また、検疫装置２０には、ユーザ操作のチェック機能を、フォレンジック製品には、ユーザの行動制限機能を追加することができ、それぞれを併用する場合よりも、高いセキュリティを実現することが可能である。
また、発生した不正な操作の妨害だけでなく、その行動の結果を継続的にペナルティとして課すこともできる。また、過去に遡り、一定の行為を複数回繰り返すことにより、制限を課すことも可能であり、より厳密かつ柔軟なエンドユーザの行動制限を行うことが可能である。
また、不正行為がなされる前に、一定の基準を超えた場合に、不正行為の兆候があることを判断することが可能である。
また、コンプライアンスチェックの判断根拠として、不正行為の累積カウントを用いることにより、ユーザの不正行為を検知することが可能である。
【００６９】
なお、上述したクライアント端末１０及び検疫装置２０は、内部にコンピュータシステムを有している。そして、上述したクライアント端末１０のログ収集エージェント１１及び通信制御エージェント１２、ならびに、検疫装置２０のログ収集管理部２１、ログベースド検疫検査部２２及び通信制御部２３の各部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上記各種処理を行う。尚、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。更に「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００７０】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。更に、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【図面の簡単な説明】
【００７１】
【図１】本発明の一実施の形態による検疫システムの概要を示す図である。
【図２】同実施の形態による検疫システムの構成を示すブロック図である。
【図３】同実施の形態によるログベースド検疫検査部の詳細な構成を示すブロック図である。
【図４】同実施の形態による各データ間の関連性を示すデータ概念モデルを示す図である。
【図５】同実施の形態によるログＤＢ内に記憶されるログカテゴリ別テーブルの具体的なデータ構成を示す図である。
【図６】同実施の形態によるルールＤＢ内に記憶されるデータの具体的な例を示す図である。
【図７】同実施の形態による結果ＤＢ内に記憶されるデータの具体的な例を示す図である。
【図８】同実施の形態による検疫装置の検疫検査処理フローを示す図である。
【図９】同実施の形態による検疫装置の検疫検査処理フローを示す図である。
【符号の説明】
【００７２】
１０…クライアント端末
１１…ログ収集エージェント
１２…通信制御エージェント
２０…検疫装置
２１…ログ収集管理部
２２…ログベースド検疫検査部
２３…通信制御部
３１…情報収集部
３２…ログＤＢ
３３…ログ管理部
３４…資産情報管理部
３５…レポーティング部
４１…ルールＤＢ
４２…結果ＤＢ
５１…ルール設定管理部
５２…検査実施管理部
５３…ログデータ読込部
５４…ルール照合部
５５…ユーザ状態管理部
５６…結果判定部
５７…結果送信部
５８…検疫要求受信部
５９…結果参照／検査・結果操作部
６１…通信制御ＤＢ
６２…通信制御指示部
６３…検疫要求受信部
７０…ネットワーク
８０…社内リソース
８１…業務ネットワーク
８２…業務サーバ
９０…ＶＰＮ−ＧＷ
【特許請求の範囲】
【請求項１】
端末と、前記端末とはネットワークを介して接続される検疫装置とからなる検疫システムであって、
前記端末において実行された操作及びユーザ識別子の情報を含むログデータを記憶するログ記憶手段と、
検出対象の操作を示すルールデータを記憶するルール記憶手段と、
前記端末からログデータを受信して前記ログ記憶手段に書き込むログ収集管理部と、
前記ログ記憶手段から前記ログ収集管理部が書き込んだログデータを読み出すログデータ読込部と、
前記ログデータ読込部により読み出されたログデータが、前記ルール記憶手段内の前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合部と、
前記ルール照合部により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信部と、
前記結果送信部により出力された結果情報の示すルールに対応して通信範囲を制限または拡大する通信制御を、該結果情報の示すユーザ識別子により特定されるユーザの端末へ指示する通信制御部と、
を備えることを特徴とする検疫システム。
【請求項２】
端末において実行された操作及びユーザ識別子の情報を含むログデータを記憶するログ記憶手段と、
検出対象の操作を示すルールデータを記憶するルール記憶手段と、
前記ログ記憶手段からログデータを読み出すログデータ読込部と、
前記ログデータ読込部により読み出されたログデータが、前記ルール記憶手段内の前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合部と、
前記ルール照合部により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信部と、
を備えることを特徴とする検疫装置。
【請求項３】
前記ルール記憶手段は、ユーザ識別子と前記ルールデータとを対応付けるデータをさらに記憶し、
前記ルール照合部は、前記ログデータ内のユーザ識別子に対応したルールデータを前記ルール記憶手段から読み出し、前記ログデータが、読み出した前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断する、
ことを特徴とする請求項２に記載の検疫装置。
【請求項４】
前記ルールデータは、１または複数の検出対象の操作の情報を含むことを特徴とする請求項２または請求項３に記載の検疫装置。
【請求項５】
前記ルールデータは、複数の操作の情報と、閾値の情報とを含み、
前記ルール照合部は、同じユーザ識別子を有する前記ログデータにより示される操作に、前記ルールデータにより示される操作と一致する操作が含まれており、かつ、該ルールデータに含まれる操作の数に対する、前記一致する操作の数の割合が、当該ルールデータで示される閾値以上である場合にルールと合致していると判断する、
ことを特徴とする請求項２または請求項３に記載の検疫装置。
【請求項６】
前記ルールデータは、複数の操作の情報と、閾値の情報とを含み、
前記ルール記憶手段は、さらに、ルールデータの示す操作と類似する操作のデータを記憶し、
前記ルール照合部は、前記ルールデータにより示される操作と類似している操作を前記ルール記憶手段から読み出し、同じユーザ識別子を有する前記ログデータの示す操作に、読み出した類似した操作が含まれており、かつ、その類似した操作の類似度の合計が、当該ルールデータで示される閾値以上である場合にルールと合致していると判断する、
ことを特徴とする請求項２または請求項３に記載の検疫装置。
【請求項７】
前記ログデータは、さらに、操作時刻の情報を含み、
前記ルールデータは、さらに、閾値の情報を含み、
前記ルール照合部は、同じユーザ識別子を有し、かつ、操作時刻が所定の期間内を示している前記ログデータのうち、前記ルールデータにより示される操作の実行を示しているログデータの数が、当該ルールデータの閾値で示される数以上である場合にルールと合致していると判断する、
ことを特徴とする請求項２または請求項３に記載の検疫装置。
【請求項８】
前記ルール照合部によりルールと合致していると判断されたルールと、判断時刻とを示すルール結果データを結果記憶手段に書き込むユーザ状態管理部をさらに備え、
前記ルール照合部は、判断時刻が所定期間内であるルール結果データが前記結果記憶手段に記憶されているか否かを検出し、
前記通信制御部は、前記ルール照合部により判断時刻が所定期間内であるルール結果データが前記結果記憶手段に記憶されていることを検出した場合に、出力済みの結果情報に応じた通信制御の継続指示を出力する、
ことを特徴とする請求項２から請求項７のいずれかの項に記載の検疫装置。
【請求項９】
結果情報に対応して、通信制御対象の端末の情報と、発信または着信を許可または制限する通信範囲を示すデータである通信制御プロファイルとを記憶する通信制御記憶手段と、
前記結果送信部により出力された結果情報に対応する通信制御対象の端末の情報と、通信制御プロファイルとを前記通信制御記憶手段から読み出し、該通信制御対象の端末へ該通信制御プロファイルを通知する通信制御指示部とをさらに備える、
ことを特徴とする請求項２から請求項８のいずれかの項に記載の検疫装置。
【請求項１０】
端末の操作ログにより検疫検査を行う検疫装置に用いられるコンピュータを、
前記端末において実行された操作及びユーザ識別子の情報を含むログデータをログ記憶手段から読み出すログデータ読込手段、
検出対象の操作を示すルールデータをルール記憶手段から読み出し、前記ログデータ読込手段により読み出されたログデータが、読み出した前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合手段、
前記ルール照合手段により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信手段、
として実行させることを特徴とするコンピュータプログラム。
【請求項１】
端末と、前記端末とはネットワークを介して接続される検疫装置とからなる検疫システムであって、
前記端末において実行された操作及びユーザ識別子の情報を含むログデータを記憶するログ記憶手段と、
検出対象の操作を示すルールデータを記憶するルール記憶手段と、
前記端末からログデータを受信して前記ログ記憶手段に書き込むログ収集管理部と、
前記ログ記憶手段から前記ログ収集管理部が書き込んだログデータを読み出すログデータ読込部と、
前記ログデータ読込部により読み出されたログデータが、前記ルール記憶手段内の前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合部と、
前記ルール照合部により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信部と、
前記結果送信部により出力された結果情報の示すルールに対応して通信範囲を制限または拡大する通信制御を、該結果情報の示すユーザ識別子により特定されるユーザの端末へ指示する通信制御部と、
を備えることを特徴とする検疫システム。
【請求項２】
端末において実行された操作及びユーザ識別子の情報を含むログデータを記憶するログ記憶手段と、
検出対象の操作を示すルールデータを記憶するルール記憶手段と、
前記ログ記憶手段からログデータを読み出すログデータ読込部と、
前記ログデータ読込部により読み出されたログデータが、前記ルール記憶手段内の前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合部と、
前記ルール照合部により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信部と、
を備えることを特徴とする検疫装置。
【請求項３】
前記ルール記憶手段は、ユーザ識別子と前記ルールデータとを対応付けるデータをさらに記憶し、
前記ルール照合部は、前記ログデータ内のユーザ識別子に対応したルールデータを前記ルール記憶手段から読み出し、前記ログデータが、読み出した前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断する、
ことを特徴とする請求項２に記載の検疫装置。
【請求項４】
前記ルールデータは、１または複数の検出対象の操作の情報を含むことを特徴とする請求項２または請求項３に記載の検疫装置。
【請求項５】
前記ルールデータは、複数の操作の情報と、閾値の情報とを含み、
前記ルール照合部は、同じユーザ識別子を有する前記ログデータにより示される操作に、前記ルールデータにより示される操作と一致する操作が含まれており、かつ、該ルールデータに含まれる操作の数に対する、前記一致する操作の数の割合が、当該ルールデータで示される閾値以上である場合にルールと合致していると判断する、
ことを特徴とする請求項２または請求項３に記載の検疫装置。
【請求項６】
前記ルールデータは、複数の操作の情報と、閾値の情報とを含み、
前記ルール記憶手段は、さらに、ルールデータの示す操作と類似する操作のデータを記憶し、
前記ルール照合部は、前記ルールデータにより示される操作と類似している操作を前記ルール記憶手段から読み出し、同じユーザ識別子を有する前記ログデータの示す操作に、読み出した類似した操作が含まれており、かつ、その類似した操作の類似度の合計が、当該ルールデータで示される閾値以上である場合にルールと合致していると判断する、
ことを特徴とする請求項２または請求項３に記載の検疫装置。
【請求項７】
前記ログデータは、さらに、操作時刻の情報を含み、
前記ルールデータは、さらに、閾値の情報を含み、
前記ルール照合部は、同じユーザ識別子を有し、かつ、操作時刻が所定の期間内を示している前記ログデータのうち、前記ルールデータにより示される操作の実行を示しているログデータの数が、当該ルールデータの閾値で示される数以上である場合にルールと合致していると判断する、
ことを特徴とする請求項２または請求項３に記載の検疫装置。
【請求項８】
前記ルール照合部によりルールと合致していると判断されたルールと、判断時刻とを示すルール結果データを結果記憶手段に書き込むユーザ状態管理部をさらに備え、
前記ルール照合部は、判断時刻が所定期間内であるルール結果データが前記結果記憶手段に記憶されているか否かを検出し、
前記通信制御部は、前記ルール照合部により判断時刻が所定期間内であるルール結果データが前記結果記憶手段に記憶されていることを検出した場合に、出力済みの結果情報に応じた通信制御の継続指示を出力する、
ことを特徴とする請求項２から請求項７のいずれかの項に記載の検疫装置。
【請求項９】
結果情報に対応して、通信制御対象の端末の情報と、発信または着信を許可または制限する通信範囲を示すデータである通信制御プロファイルとを記憶する通信制御記憶手段と、
前記結果送信部により出力された結果情報に対応する通信制御対象の端末の情報と、通信制御プロファイルとを前記通信制御記憶手段から読み出し、該通信制御対象の端末へ該通信制御プロファイルを通知する通信制御指示部とをさらに備える、
ことを特徴とする請求項２から請求項８のいずれかの項に記載の検疫装置。
【請求項１０】
端末の操作ログにより検疫検査を行う検疫装置に用いられるコンピュータを、
前記端末において実行された操作及びユーザ識別子の情報を含むログデータをログ記憶手段から読み出すログデータ読込手段、
検出対象の操作を示すルールデータをルール記憶手段から読み出し、前記ログデータ読込手段により読み出されたログデータが、読み出した前記ルールデータにより示される操作の実行を示している場合にルールに合致していると判断するルール照合手段、
前記ルール照合手段により合致していると判断されたルールと、前記ログデータ内のユーザ識別子との情報を示す結果情報を出力する結果送信手段、
として実行させることを特徴とするコンピュータプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２００７−１７２２２１（Ｐ２００７−１７２２２１Ａ）
【公開日】平成１９年７月５日（２００７．７．５）
【国際特許分類】
【出願番号】特願２００５−３６７８７３（Ｐ２００５−３６７８７３）
【出願日】平成１７年１２月２１日（２００５．１２．２１）
【出願人】（３９９０４０４０５）東日本電信電話株式会社 (286)
【出願人】（３９９０３５７６６）エヌ・ティ・ティ・コミュニケーションズ株式会社 (321)
【Ｆターム（参考）】
【公開日】平成１９年７月５日（２００７．７．５）
【国際特許分類】
【出願日】平成１７年１２月２１日（２００５．１２．２１）
【出願人】（３９９０４０４０５）東日本電信電話株式会社 (286)
【出願人】（３９９０３５７６６）エヌ・ティ・ティ・コミュニケーションズ株式会社 (321)
【Ｆターム（参考）】
[ Back to top ]