認証機器および認証システム
【課題】悪意のある認証要求であるか否かを適正に判断することができる認証機器、および認証システムを提供する。
【解決手段】認証ログＤＢ１０４に記憶された認証ログに記録された接続情報が、接続見込情報ＤＢ３０１に記憶された接続見込情報と一致しなかった場合に、被認証対象機器２による認証機器３００への悪意のある認証要求が行われたと判断することにより、認証が成功していても悪意があると疑わしい認証要求を検知することができるので、悪意のある認証要求であるか否かを適正に判断することができる。
【解決手段】認証ログＤＢ１０４に記憶された認証ログに記録された接続情報が、接続見込情報ＤＢ３０１に記憶された接続見込情報と一致しなかった場合に、被認証対象機器２による認証機器３００への悪意のある認証要求が行われたと判断することにより、認証が成功していても悪意があると疑わしい認証要求を検知することができるので、悪意のある認証要求であるか否かを適正に判断することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証機器および認証システムに関する。
【背景技術】
【０００２】
ネットワークに接続されたサイト（サーバやネットワーク機器群など）は、ネットワークを介して接続されたあらゆる被認証対象機器からデータ（パケット）を受信する。そのため、サイトが受信するパケットの中には、悪意のある認証要求のパケットが含まれることもある。このような悪意のある認証要求からサイトを守るテクニックとして、（１）接続時のパスワードや秘密鍵などの認証情報を用いた認証処理、（２）受信したパケットのセキュリティ上の問題を監視するＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention System）、ＷＡＦ（Web Application Firewall）などのパケット監視装置の配置、というようなテクニックが既に知られている。
【０００３】
しかし、（１）接続時のパスワードや秘密鍵などの認証情報を用いた認証処理は、認証情報が流出してしまった場合に、悪意のある認証要求からサイトを防御できなくなるだけでなく、悪意のある認証要求（攻撃）を検知することもできなくなっていた。また、（２）パケット監視装置の配置は、通信プロトコルのレベルで通信の可否を判断するとしても、柔軟性に欠け、かつ高度な処理を短時間で行うためにはコストが高くなっていた。
【０００４】
そこで、被認証対象機器からの認証要求の妥当性を判断する方法として、悪意のある認証要求であるか否かをログから総合的に判断する技術が提案されている（特許文献１参照）。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら上記特許文献１には、悪意のある認証要求を判断するために、ログに記録された情報のうち、具体的にどのような情報を用いて悪意のある認証要求を判断するかは開示されておらず、未だ悪意のある認証要求であるか否かを適正に判断する方法は実現されていない。
【０００６】
本発明は、上記に鑑みてなされたものであって、悪意のある認証要求であるか否かを適正に判断することができる認証機器および認証システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明は、自機器に接続された被認証対象機器から受けた認証要求に応じて、前記被認証対象機器の認証処理を行う認証処理手段と、前記被認証対象機器が認証要求の際に自機器への接続に使用した接続情報を記憶する記憶手段と、記憶した前記接続情報が、前記被認証対象機器が自機器への接続に使用すると見込まれる接続見込情報と一致しなかった場合に、前記被認証対象機器により自機器へ悪意のある認証要求が行われたと判断する判断手段と、を備えたことを特徴とする。
【０００８】
また、本発明は、自機器に接続された被認証対象機器から受けた認証要求に応じて、前記被認証対象機器の認証処理を行う認証手段と、前記被対象機器が認証要求の際に自機器への接続に使用した接続情報が記録された認証ログを記憶する記憶手段と、前記認証ログを監視するログ監視サーバからの請求に応じて、記憶した前記認証ログを前記ログ監視サーバに提供する提供手段と、を備えた認証機器と、前記認証機器に対して前記認証ログの提供を請求する請求手段と、悪意のある認証要求の際に前記認証機器への接続に使用される前記接続情報が記録された前記認証ログのログ監視基準に従って、前記認証機器から提供された前記認証ログの中に不正な接続の疑いのある前記認証ログがあるかを監視する監視手段と、を備えた前記ログ監視サーバと、を備えたことを特徴とする。
【発明の効果】
【０００９】
本発明によれば、認証が成功していても悪意があると疑わしい認証要求を検知することができるので、悪意のある認証要求であるか否かを適正に判断することができる、という効果を奏する。
【図面の簡単な説明】
【００１０】
【図１】図１は、本発明を適用可能な認証機器の機能ブロック図である。
【図２】図２は、認証処理の流れを示すフローチャートである。
【図３】図３は、本発明の第１実施の形態にかかる認証機器を含むシステムの機能ブロック図である。
【図４】図４は、認証ログの一例を示す図である。
【図５】図５は、接続見込情報の一例を示す図である。
【図６】図６は、認証ログの監視処理の流れを示すフローチャートである。
【図７】図７は、本発明を適用可能な認証機器の機能ブロック図である。
【図８】図８は、第２実施の形態にかかる認証機器を含むシステムの機能ブロック図である。
【図９】図９は、認証機器に対して認証ログを請求する処理の流れを示すフローチャートである。
【図１０】図１０は、認証ログの監視処理の流れを示すフローチャートである。
【図１１】図１１は、ログ監視基準の設定処理の流れを示すフローチャートである。
【図１２】図１２は、レポート文書を認証機器に返送する処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００１１】
以下に添付図面を参照して、この発明にかかる認証機器および認証システムの最良な実施の形態を詳細に説明する。
【００１２】
（第１実施の形態）
まず、図１を用いて、本発明を適用可能な認証機器の例について説明する。図１は、本発明を適用可能な認証機器の機能ブロック図である。
【００１３】
図１に示すように、本発明を適用可能な認証機器１は、公知の技術により、インターネットなどの安全でないネットワーク３を介して、被認証対象機器２からの認証要求を受けて、当該被認証対象機器２の認証処理を行う機器である。認証機器１は、認証処理情報ＤＢ１０１、認証処理機構１０２、実時間時計１０３、認証ログＤＢ１０４などを備えている。
【００１４】
認証処理情報ＤＢ１０１は、認証処理に必要な情報、および認証処理に付随して行う付随処理に必要な情報を記憶するものである。認証処理に必要な情報には、少なくとも被認証対象機器２を使用するユーザを特定するための情報、そのユーザの認証に使用する情報であってその取り扱いが制限された情報（例えば、パスワードや公開鍵など）が含まれているものとする。また、付随処理に必要な情報には、例えば、認証処理が成功した場合に認証機器１へのアクセス権などの権限付与が付随処理として行われる場合にはその権限情報、認証処理後にメールによる通知が付随処理として行われる場合にはメールアドレスなどが含まれているものとする。
【００１５】
認証ログＤＢ１０４（記憶手段）は、認証処理の認証結果などを記録したログ（以下、認証ログ）を記憶するものである。実時間時計１０３は、認証ログＤＢ１０４に記憶される認証ログに、被認証対象機器２から認証要求を受けた時刻を記録するための実時間を得る時計である。
【００１６】
認証処理機構１０２（認証処理手段）は、被認証対象機器２から受けた認証要求に応じて、被認証対象機器２の認証処理を行うものである。ここで、図２を用いて、認証処理機構１０２による認証処理の流れについて説明する。図２は、認証処理の流れを示すフローチャートである。
【００１７】
認証処理機構１０２は、まず、被認証対象機器２からの認証要求を待つ（ステップＳ２０１）。そして、認証処理機構１０２は、被認証対象機器２から認証要求を受けると（ステップＳ２０２：Ｙｅｓ）、被認証対象機器２と認証処理に必要な情報をやり取りして認証処理を行う（ステップＳ２０３）。なお、認証処理機構１０２は、認証処理を行う度に、認証ログＤＢ１０４に認証ログを記憶させるものとする。
【００１８】
次に、認証処理機構１０２は、認証ログＤＢ１０４に記憶された認証ログのロギングを行うとともに（ステップＳ２０４）、認証処理情報ＤＢ１０１に付随処理に必要な情報として記憶されたメールアドレスなどを利用して、ロギングした認証ログに記録された認証結果を被認証対象機器２に通知する（ステップＳ２０５）。
【００１９】
さらに、認証処理機構１０２は、ロギングした認証ログに記録された認証結果が成功であった場合（ステップＳ２０６：Ｙｅｓ）、権限付与や各種処理の要求の受付などの付随処理を行う（ステップＳ２０７）。一方、認証処理機構１０２は、ロギングした認証ログに記録された認証結果が失敗であった場合（ステップＳ２０６：Ｎｏ）、被認証対象機器２に対して権限付与などの付随処理を拒否する（ステップＳ２０７）。
【００２０】
次に、図３を用いて、本発明を適用した認証機器について説明する。図３は、本発明の第１実施の形態にかかる認証機器を含むシステムの機能ブロック図である。なお、以下の説明では、図１に示す認証機器１と同様の箇所については説明を省略し、異なる箇所についてのみ説明する。
【００２１】
図３に示すように、本実施の形態にかかる認証機器３００は、図１に示す認証機器１の構成に加えて、接続見込情報ＤＢ３０１および認証監視処理機構３０２を備えている。接続見込情報ＤＢ３０１および認証監視処理機構３０２の説明に先立って、認証ログＤＢ１０４に記憶された認証ログについて詳細に説明する。
【００２２】
図４は、認証ログの一例を示す図である。図４に示すように、認証ログには、認証処理機構１０２により行われた認証処理のログであって、被認証対象機器２が認証要求を行った時刻（認証要求を受けた時刻）、被認証対象機器２を特定するための被認証対象機器ＩＤ、被認証対象機器２が認証要求の際に使用した被認証対象機器２のＩＰアドレス通信プロトコル、通信パフォーマンスなど、被認証対象機器２が認証要求の際に認証機器３００への接続に使用した接続情報、および認証処理機構１０２による認証処理の認証結果が記録されている。なお、認証機器３によっては、認証ログに認証結果を記録せず、認証が成功した場合と認証が失敗した場合とで異なるログに記録しても良い。なお、認証ログに認証結果が記録する場合と認証ログに認証結果を記録しない場合は、認証結果の表現形式が異なるだけである。よって、本実施の形態は、認証ログに認証結果を記録する場合であれ、認証ログに認証結果を記録しない場合であれ、認証結果が認証ログＤＢ１０４内に記憶されていることを前提としたものである。
【００２３】
次に、接続見込情報ＤＢ３０１および認証監査処理機構３０２について説明する。まず、図５を用いて、接続見込情報ＤＢに記憶された接続見込情報について説明する。図５は、接続見込情報の一例を示す図である。接続見込情報ＤＢ３０１は、図５に示すように、認証機器３００への接続に使用すると見込まれる被認証対象機器２のＩＤ、認証機器３００への接続に使用すると見込まれるネットワーク組織やドメイン名、認証機器３００への接続に使用すると見込まれる時間帯（例えば、最後に認証要求を受けた時刻が属する時間帯）など、被認証対象機器２が認証機器３００への接続に使用すると見込まれる接続見込情報を記憶するものである。
【００２４】
認証監視処理機構３０２（判断手段）は、認証ログＤＢ１０４に記憶された認証ログを監視するものである。より具体的には、認証監視処理機構３０２は、認証ログＤＢ１０４に記憶された認証ログに記録された接続情報が、接続見込情報ＤＢ３０１に記憶された接続見込情報と一致しなかった場合に、被認証対象機器２による認証機器３００への悪意のある認証要求が行われたと判断する。
【００２５】
ここで、図６を用いて、認証監視処理機構３０２による認証ログの監視処理について詳細に説明する。図６は、認証ログの監視処理の流れを示すフローチャートである。
【００２６】
認証監視処理機構３０２は、前回の監視処理以降に認証ログＤＢ１０４に追加された最初のログエントリ（認証ログ）を取得する（ステップＳ６０１）。そして、認証監視処理機構３０２は、ログエントリを取得すると（ステップＳ６０２：Ｎｏ）、取得したログエントリに記録された接続情報（認証要求を受けた時刻）が、当該取得したログエントリに記録された被認証対象機器ＩＤとともに接続見込情報として記憶された最後に認証要求を受けた時刻が属する時間帯以外の時刻（例えば、通常あり得ない時刻、勤務時間外の時刻など）の時刻になっているかどうかを確認する（ステップＳ６０３）。さらに、認証監視処理機構３０２は、取得したログエントリに記録された接続情報（認証要求してきた被認証対象機器２のＩＰアドレスの保有組織をＷｈｏｉｓサービスから取得する（ステップＳ６０４）。そして、認証監視処理機構３０２は、Ｗｈｏｉｓサービスから取得した被認証対象機器２の保有組織が、当該取得したログエントリに記録された被認証対象機器ＩＤとともに接続見込情報として記憶されたネットワーク組織と一致するか否かを確認する（ステップＳ６０５）。
【００２７】
次に、認証監視処理機構３０２は、取得したログエントリに記録された接続情報（認証要求を受けた時刻）が通常あり得ない時刻、若しくはＷｈｏｉｓサービスから取得した被認証対象機器２の保有組織が、接続が見込まれなかった組織（つまり、接続見込情報として記憶されたネットワーク組織以外の組織）であった場合（ステップＳ６０６：Ｙｅｓ）、悪意のある認証要求が行われたと判断して、当該取得したログエントリを疑わしいログエントリとして認証ログＤＢ１０４などに一時的に記憶する（ステップＳ６０７）。一方、認証監視処理機構３０２は、認証要求を受けた時刻が通常の時刻、若しくはＷｈｏｉｓサービスから取得した被認証対象機器２の保有組織が、接続が見込まれた組織であった場合（ステップＳ６０６：Ｎｏ）、または疑わしいログエントリの記憶が完了すると、認証ログＤＢ１０４から次のログエントリを取得する（ステップＳ６０８）。
【００２８】
認証監視処理機構３０２は、上述の処理を繰り返して全てのログエントリの監視が終了すると（ステップＳ６０２：Ｙｅｓ）、認証機器３００の管理者に対して、認証ログＤＢ１０４に記憶された疑わしいログエントリ、およびその判断理由（例えば、通常あり得ない時刻の認証要求、接続が見込まれなかった組織からの認証要求など）を通知する（ステップＳ６０９）。
【００２９】
このように、本実施の形態にかかる認証機器３００によれば、認証ログＤＢ１０４に記憶された認証ログに記録された接続情報が、接続見込情報ＤＢ３０１に記憶された接続見込情報と一致しなかった場合に、被認証対象機器２による認証機器３００への悪意のある認証要求が行われたと判断することにより、認証が成功していても悪意があると疑わしい認証要求を検知することができるので、悪意のある認証要求であるか否かを適正に判断することができる。
【００３０】
（第２実施の形態）
本実施の形態は、ネットワークを介して接続された機器同士が相互に認証処理（以下、相互認証処理とする）を行って通信を行うものである。なお、以下の説明では、第１実施の形態と同様の箇所については説明を省略し、第１実施の形態と異なる箇所についてのみ説明する。
【００３１】
まず、図７を用いて、本発明を適用可能な認証機器の例について説明する。図７は、本発明を適用可能な認証機器の機能ブロック図である。
【００３２】
図７に示すように、本発明を適用可能な認証機器１は、第１実施の形態にかかる認証機器３００と同様に、認証処理情報ＤＢ１０１、認証処理機構１０２、実時間時計１０３、認証ログＤＢ１０４などを備えているものとする。また、認証機器１は、安全でないネットワーク３を介して、他の認証機器１と接続されているものとする。
【００３３】
このような認証機器１同士が相互に認証処理を行って通信するシステムをユーザが安全に運用するためには、各認証機器１が備える認証ログＤＢ１０４に記憶された認証ログを定期的に監視しなければならない。具体的には、システムのユーザが、認証ログを参照して、その中に疑わしい認証ログがあるかどうかを判断しなければならない。
【００３４】
そこで、本実施の形態では、図１に示すシステムに対して新たな機能を追加して、認証ログの監視を外部から自動的に行うことにより、認証機器１を保有するユーザの管理業務を軽減するものである。図８は、第２実施の形態にかかる認証機器を含むシステムの機能ブロック図である。
【００３５】
図８に示すように、本実施の形態にかかる認証機器８０１は、相互に認証処理を行って通信を構築するために、認証処理に必要な機能（例えば、認証処理情報ＤＢ１０１、認証処理機構１０２、実時間時計１０３、認証ログＤＢ１０４など）を保有している。なお、他の機器の認証ログを監視するログ監視サーバとして機能する認証機器８１０も、認証機器８０１と同様に認証処理に必要な機能を備えている。
【００３６】
まず、認証機器８０１に新たに追加された機能（ログ提供機構８０２）について説明する。ログ提供機構８０２（提供手段）は、認証機器８１０からの請求に応じて、認証ログＤＢ１０４に記憶された認証ログを認証機器８１０に提供するものである。
【００３７】
次に、認証機器８１０に新たに追加された機能（ログ監視レポートＤＢ８１１、ログ監視基準情報ＤＢ８１２、利用者認証ログＤＢ８１３、請求処理部８１４、定期的ログ監視処理部８１５、ログ監視基準設定ＵＩ８１６、ログ監視依頼対応処理部８１７）について説明する。
【００３８】
請求処理部８１４（請求手段）は、安全でないネットワーク３を介して接続された他の認証機器８０１に対して認証ログの提供を請求するものである。
【００３９】
利用者認証ログＤＢ８１３は、他の認証機器８０１から提供を受けた認証ログを記憶するものである。
【００４０】
ログ監視基準情報ＤＢ８１２は、利用者認証ログＤＢ８１３に記憶された認証ログの監視に用いる基準であって、悪意のある認証要求の際に認証機器８０１への接続に使用される接続情報が記録された認証ログのログ監視基準（例えば、正しい利用で認証が起こり得る時間帯、同じＩＰアドレスから異なる認証要求があった場合に、それを悪意のある認証要求の疑いありとみなす回数などの基準値など）を記憶するものである。
【００４１】
ログ監視基準設定ＵＩ８１６（設定手段）は、認証機器が備えるＵＩを介してユーザにより入力された、ログ監視基準を設定するものである。これにより、ユーザが悪意のある認証要求であるか否かの判断基準（ログ監視基準）を自由に修正・追加することができるので、ログ監視基準の柔軟性を維持することができる。
【００４２】
定期的ログ監視処理部８１５（監視手段）は、ログ監視基準情報ＤＢ８１２に記憶されたログ監視基準に従って、利用者認証ログＤＢ８１３に記憶された認証ログの中に、悪意のある認証要求の疑いのある認証ログがあるかを監視する。なお、本実施の形態では、定期的ログ監視処理部８１５は、所定時間毎に、悪意のある認証要求の疑いのある認証ログがあるかを監視するものとする。
【００４３】
ログ監視レポートＤＢ８１１は、定期的ログ監視処理部８１５による監視結果を記憶するものである。
【００４４】
ログ監視依頼対応処理部８１７は、他の認証機器８０１からの認証ログの監視依頼の呼び出しに応じるとともに、悪意のある認証要求の疑いのある認証ログがあった場合に、ログ監視レポートＤＢ８１１に記憶された認証ログの監視結果を他の認証機器８０１に対して送信するものである。
【００４５】
次に、図９を用いて、認証機器８０１に対して認証ログを請求する処理について詳細に説明する。図９は、認証機器に対して認証ログを請求する処理の流れを示すフローチャートである。
【００４６】
請求処理部８１４は、相互認証処理を利用して、監視する認証ログを持つ他の認証機器８０１に接続する（ステップＳ９０１）。次に、請求処理部８１４は、当該分析すべき認証ログを持つ他の認証機器８０１が備えるログ提供機構８０２を呼び出して、認証ログを取り出す（ステップＳ９０２）。
【００４７】
そして、請求処理部８１４は、取り出した認証ログを、利用者認証ログＤＢ８１３の内部に記憶させて、定期的なログ監視処理に備える（ステップＳ９０３）。
【００４８】
次に、図１０を用いて、認証ログの監視処理について詳細に説明する。図１０は、認証ログの監視処理の流れを示すフローチャートである。
【００４９】
ログ監視依頼対応処理部８１７が他の認証機器８０１からの認証ログの監視依頼の呼び出しに応じると、定期的ログ監視処理部８１５は、監視を行う他の認証機器８０１の認証ログを、利用者認証ログＤＢ８１３から取得する（ステップＳ１００１）。次に、定期的ログ監視処理部８１５は、取得した認証ログの中から、同じＩＰアドレスから異なるユーザの認証機器８０１へ認証要求を行うような通信の認証ログを抽出する（ステップＳ１００２）。
【００５０】
さらに、定期的ログ監視処理部８１５は、取得した認証ログの中から、ログ監視基準情報ＤＢ８１２に記憶されたログ監視基準で設定された通常の使用時間以外の時刻に行われたアクセスの認証ログを抽出する（ステップＳ１００３）。
【００５１】
そして、定期的ログ監視処理部８１５は、監視中の認証機器８０１に対して認証要求した相手側の認証機器８０１の認証ログも利用者認証ログＤＢ８１３に記憶されている場合、取得した認証ログの中から、相手側の認証機器８０１の認証ログに記録された情報と、監視中の認証機器８０１に認証ログに記録された情報との間に矛盾（不一致）があるアクセスの認証ログを抽出する（ステップＳ１００４）。
【００５２】
ステップＳ１００２〜ステップＳ１００４までの処理で抽出された認証ログがあった場合（ステップＳ１００５：Ｙｅｓ）、定期的ログ監視処理部８１５は、抽出された認証ログに記録されたアクセスの情報が記載されたレポート文書を作成し、作成したレポート文書をログ監視レポートＤＢ８１１に記憶させる（ステップＳ１００６）。ログ監視依頼対応処理部８１７は、必要に応じてログ監視レポートＤＢ８１１に記憶されたレポート文書をＷｅｂで提示したり、印刷・発送したりする（ステップＳ１００７）。
【００５３】
次に、図１１を用いて、ログ監視基準の設定処理について詳細に説明する。図１１は、ログ監視基準の設定処理の流れを示すフローチャートである。
【００５４】
ログ監視基準設定ＵＩ８１６は、ユーザに対してパラメータ（ログ監視基準）を設定するためのＵＩを提示する（ステップＳ１１０１）。ログ監視基準設定ＵＩ８１６は、提示したＵＩを介して、ユーザから正しい利用で認証が起こり得る時間帯、同じＩＰアドレスから異なるユーザに対する認証要求が繰り返された場合に、悪意のある認証要求の疑いがあるものとする繰り返し回数などの基準値などのパラメータを受け取り、受け取ったパラメータをログ監視基準情報ＤＢ８１２に記憶させる（ステップＳ１１０２）。
【００５５】
次に、図１２を用いて、レポート文書の返送処理について詳細に説明する。図１２は、レポート文書を認証機器に返送する処理の流れを示すフローチャートである。
【００５６】
ログ提供機構８０２は、相互認証処理を利用して、監視する認証ログを持つ認証機器８０１に接続する（ステップＳ１２０１）。次に、ログ提供機構８０２は、ログ監視サーバ８１０に対して、認証ログを送出しつつ、ログ監視依頼対応処理部８１７に対して監視を依頼する処理を遠隔処理呼び出しにより行う（ステップＳ１２０２）。そして、ログ監視依頼対応処理部８１７が監視依頼の呼び出しに応じると、定期的ログ監視処理部８１５が、上述した処理（図１０に示す）を行い、作成したレポート文書を依頼元機器（認証機器８０１）に返送する（ステップＳ１２０３）。
【００５７】
このように、本実施の形態にかかる認証機器８０１、８１０によれば、認証機器８０１に記憶された認証ログの監視をログ監視サーバとして機能する認証機器８１０が行うことにより、ユーザが認証ログを監視する必要がなくなるため、認証機器８０１を保有するユーザの管理業務を軽減することができる。また、悪意のある認証要求の際に認証機器８０１への接続に使用される接続情報を記録した認証ログのログ監視基準に従って、認証機器８０１から提供された認証ログの中から、悪意のある認証要求の疑いのある認証ログを監視することにより、認証が成功していても悪意のあると疑わしい認証要求を検知することができるので、悪意のある認証要求であるか否かを適正に判断することができる。
【００５８】
上述の実施の形態の認証機器は、ＣＰＵなどの制御装置と、ＲＯＭ（Read Only Memory）やＲＡＭなどの記憶装置と、ＨＤＤ、ＣＤドライブ装置などの外部記憶装置と、ディスプレイ装置などの表示装置と、キーボードやマウスなどの入力装置を備えており、通常のコンピュータを利用したハードウェア構成となっている。
【００５９】
また、上述の実施の形態の認証機器で実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のコンピュータで読み取り可能な記録媒体に記録されて提供される。
【００６０】
また、上述の実施の形態の認証機器で実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成しても良い。また、上述の実施の形態の認証機器で実行されるプログラムをインターネット等のネットワーク経由で提供または配布するように構成しても良い。また、上述の実施の形態のプログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。
【００６１】
そして、上述の実施の形態の認証機器で実行されるプログラムは、上述した各部（認証処理情報ＤＢ、認証処理機構、実時間時計、認証ログＤＢ、認証監視処理機構、接続見込情報ＤＢ、ログ提供機構、ログ監視レポートＤＢ、ログ監視基準情報ＤＢ、利用者認証ログＤＢ、請求処理部、定期的ログ監視処理部、ログ監視基準設定ＵＩ、ログ監視依頼対応処理部など）を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ（プロセッサ）が上記記憶媒体からプログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、認証処理情報ＤＢ、認証処理機構、実時間時計、認証ログＤＢ、認証監視処理機構、接続見込情報ＤＢ、ログ提供機構、ログ監視レポートＤＢ、ログ監視基準情報ＤＢ、利用者認証ログＤＢ、請求処理部、定期的ログ監視処理部、ログ監視基準設定ＵＩ、ログ監視依頼対応処理部などが主記憶装置上に生成されるようになっている。
【符号の説明】
【００６２】
２ 被認証対象機器
１０２ 認証処理機構
１０４ 認証ログＤＢ
３００，８０１，８１０ 認証機器
３０２ 認証監視処理機構
８０２ ログ提供機構
８１４ 請求処理部
８１５ 定期的ログ監視処理部
８１６ ログ監視基準設定ＵＩ
【先行技術文献】
【特許文献】
【００６３】
【特許文献１】特開２００７−２３３６６１号公報
【技術分野】
【０００１】
本発明は、認証機器および認証システムに関する。
【背景技術】
【０００２】
ネットワークに接続されたサイト（サーバやネットワーク機器群など）は、ネットワークを介して接続されたあらゆる被認証対象機器からデータ（パケット）を受信する。そのため、サイトが受信するパケットの中には、悪意のある認証要求のパケットが含まれることもある。このような悪意のある認証要求からサイトを守るテクニックとして、（１）接続時のパスワードや秘密鍵などの認証情報を用いた認証処理、（２）受信したパケットのセキュリティ上の問題を監視するＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention System）、ＷＡＦ（Web Application Firewall）などのパケット監視装置の配置、というようなテクニックが既に知られている。
【０００３】
しかし、（１）接続時のパスワードや秘密鍵などの認証情報を用いた認証処理は、認証情報が流出してしまった場合に、悪意のある認証要求からサイトを防御できなくなるだけでなく、悪意のある認証要求（攻撃）を検知することもできなくなっていた。また、（２）パケット監視装置の配置は、通信プロトコルのレベルで通信の可否を判断するとしても、柔軟性に欠け、かつ高度な処理を短時間で行うためにはコストが高くなっていた。
【０００４】
そこで、被認証対象機器からの認証要求の妥当性を判断する方法として、悪意のある認証要求であるか否かをログから総合的に判断する技術が提案されている（特許文献１参照）。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら上記特許文献１には、悪意のある認証要求を判断するために、ログに記録された情報のうち、具体的にどのような情報を用いて悪意のある認証要求を判断するかは開示されておらず、未だ悪意のある認証要求であるか否かを適正に判断する方法は実現されていない。
【０００６】
本発明は、上記に鑑みてなされたものであって、悪意のある認証要求であるか否かを適正に判断することができる認証機器および認証システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明は、自機器に接続された被認証対象機器から受けた認証要求に応じて、前記被認証対象機器の認証処理を行う認証処理手段と、前記被認証対象機器が認証要求の際に自機器への接続に使用した接続情報を記憶する記憶手段と、記憶した前記接続情報が、前記被認証対象機器が自機器への接続に使用すると見込まれる接続見込情報と一致しなかった場合に、前記被認証対象機器により自機器へ悪意のある認証要求が行われたと判断する判断手段と、を備えたことを特徴とする。
【０００８】
また、本発明は、自機器に接続された被認証対象機器から受けた認証要求に応じて、前記被認証対象機器の認証処理を行う認証手段と、前記被対象機器が認証要求の際に自機器への接続に使用した接続情報が記録された認証ログを記憶する記憶手段と、前記認証ログを監視するログ監視サーバからの請求に応じて、記憶した前記認証ログを前記ログ監視サーバに提供する提供手段と、を備えた認証機器と、前記認証機器に対して前記認証ログの提供を請求する請求手段と、悪意のある認証要求の際に前記認証機器への接続に使用される前記接続情報が記録された前記認証ログのログ監視基準に従って、前記認証機器から提供された前記認証ログの中に不正な接続の疑いのある前記認証ログがあるかを監視する監視手段と、を備えた前記ログ監視サーバと、を備えたことを特徴とする。
【発明の効果】
【０００９】
本発明によれば、認証が成功していても悪意があると疑わしい認証要求を検知することができるので、悪意のある認証要求であるか否かを適正に判断することができる、という効果を奏する。
【図面の簡単な説明】
【００１０】
【図１】図１は、本発明を適用可能な認証機器の機能ブロック図である。
【図２】図２は、認証処理の流れを示すフローチャートである。
【図３】図３は、本発明の第１実施の形態にかかる認証機器を含むシステムの機能ブロック図である。
【図４】図４は、認証ログの一例を示す図である。
【図５】図５は、接続見込情報の一例を示す図である。
【図６】図６は、認証ログの監視処理の流れを示すフローチャートである。
【図７】図７は、本発明を適用可能な認証機器の機能ブロック図である。
【図８】図８は、第２実施の形態にかかる認証機器を含むシステムの機能ブロック図である。
【図９】図９は、認証機器に対して認証ログを請求する処理の流れを示すフローチャートである。
【図１０】図１０は、認証ログの監視処理の流れを示すフローチャートである。
【図１１】図１１は、ログ監視基準の設定処理の流れを示すフローチャートである。
【図１２】図１２は、レポート文書を認証機器に返送する処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００１１】
以下に添付図面を参照して、この発明にかかる認証機器および認証システムの最良な実施の形態を詳細に説明する。
【００１２】
（第１実施の形態）
まず、図１を用いて、本発明を適用可能な認証機器の例について説明する。図１は、本発明を適用可能な認証機器の機能ブロック図である。
【００１３】
図１に示すように、本発明を適用可能な認証機器１は、公知の技術により、インターネットなどの安全でないネットワーク３を介して、被認証対象機器２からの認証要求を受けて、当該被認証対象機器２の認証処理を行う機器である。認証機器１は、認証処理情報ＤＢ１０１、認証処理機構１０２、実時間時計１０３、認証ログＤＢ１０４などを備えている。
【００１４】
認証処理情報ＤＢ１０１は、認証処理に必要な情報、および認証処理に付随して行う付随処理に必要な情報を記憶するものである。認証処理に必要な情報には、少なくとも被認証対象機器２を使用するユーザを特定するための情報、そのユーザの認証に使用する情報であってその取り扱いが制限された情報（例えば、パスワードや公開鍵など）が含まれているものとする。また、付随処理に必要な情報には、例えば、認証処理が成功した場合に認証機器１へのアクセス権などの権限付与が付随処理として行われる場合にはその権限情報、認証処理後にメールによる通知が付随処理として行われる場合にはメールアドレスなどが含まれているものとする。
【００１５】
認証ログＤＢ１０４（記憶手段）は、認証処理の認証結果などを記録したログ（以下、認証ログ）を記憶するものである。実時間時計１０３は、認証ログＤＢ１０４に記憶される認証ログに、被認証対象機器２から認証要求を受けた時刻を記録するための実時間を得る時計である。
【００１６】
認証処理機構１０２（認証処理手段）は、被認証対象機器２から受けた認証要求に応じて、被認証対象機器２の認証処理を行うものである。ここで、図２を用いて、認証処理機構１０２による認証処理の流れについて説明する。図２は、認証処理の流れを示すフローチャートである。
【００１７】
認証処理機構１０２は、まず、被認証対象機器２からの認証要求を待つ（ステップＳ２０１）。そして、認証処理機構１０２は、被認証対象機器２から認証要求を受けると（ステップＳ２０２：Ｙｅｓ）、被認証対象機器２と認証処理に必要な情報をやり取りして認証処理を行う（ステップＳ２０３）。なお、認証処理機構１０２は、認証処理を行う度に、認証ログＤＢ１０４に認証ログを記憶させるものとする。
【００１８】
次に、認証処理機構１０２は、認証ログＤＢ１０４に記憶された認証ログのロギングを行うとともに（ステップＳ２０４）、認証処理情報ＤＢ１０１に付随処理に必要な情報として記憶されたメールアドレスなどを利用して、ロギングした認証ログに記録された認証結果を被認証対象機器２に通知する（ステップＳ２０５）。
【００１９】
さらに、認証処理機構１０２は、ロギングした認証ログに記録された認証結果が成功であった場合（ステップＳ２０６：Ｙｅｓ）、権限付与や各種処理の要求の受付などの付随処理を行う（ステップＳ２０７）。一方、認証処理機構１０２は、ロギングした認証ログに記録された認証結果が失敗であった場合（ステップＳ２０６：Ｎｏ）、被認証対象機器２に対して権限付与などの付随処理を拒否する（ステップＳ２０７）。
【００２０】
次に、図３を用いて、本発明を適用した認証機器について説明する。図３は、本発明の第１実施の形態にかかる認証機器を含むシステムの機能ブロック図である。なお、以下の説明では、図１に示す認証機器１と同様の箇所については説明を省略し、異なる箇所についてのみ説明する。
【００２１】
図３に示すように、本実施の形態にかかる認証機器３００は、図１に示す認証機器１の構成に加えて、接続見込情報ＤＢ３０１および認証監視処理機構３０２を備えている。接続見込情報ＤＢ３０１および認証監視処理機構３０２の説明に先立って、認証ログＤＢ１０４に記憶された認証ログについて詳細に説明する。
【００２２】
図４は、認証ログの一例を示す図である。図４に示すように、認証ログには、認証処理機構１０２により行われた認証処理のログであって、被認証対象機器２が認証要求を行った時刻（認証要求を受けた時刻）、被認証対象機器２を特定するための被認証対象機器ＩＤ、被認証対象機器２が認証要求の際に使用した被認証対象機器２のＩＰアドレス通信プロトコル、通信パフォーマンスなど、被認証対象機器２が認証要求の際に認証機器３００への接続に使用した接続情報、および認証処理機構１０２による認証処理の認証結果が記録されている。なお、認証機器３によっては、認証ログに認証結果を記録せず、認証が成功した場合と認証が失敗した場合とで異なるログに記録しても良い。なお、認証ログに認証結果が記録する場合と認証ログに認証結果を記録しない場合は、認証結果の表現形式が異なるだけである。よって、本実施の形態は、認証ログに認証結果を記録する場合であれ、認証ログに認証結果を記録しない場合であれ、認証結果が認証ログＤＢ１０４内に記憶されていることを前提としたものである。
【００２３】
次に、接続見込情報ＤＢ３０１および認証監査処理機構３０２について説明する。まず、図５を用いて、接続見込情報ＤＢに記憶された接続見込情報について説明する。図５は、接続見込情報の一例を示す図である。接続見込情報ＤＢ３０１は、図５に示すように、認証機器３００への接続に使用すると見込まれる被認証対象機器２のＩＤ、認証機器３００への接続に使用すると見込まれるネットワーク組織やドメイン名、認証機器３００への接続に使用すると見込まれる時間帯（例えば、最後に認証要求を受けた時刻が属する時間帯）など、被認証対象機器２が認証機器３００への接続に使用すると見込まれる接続見込情報を記憶するものである。
【００２４】
認証監視処理機構３０２（判断手段）は、認証ログＤＢ１０４に記憶された認証ログを監視するものである。より具体的には、認証監視処理機構３０２は、認証ログＤＢ１０４に記憶された認証ログに記録された接続情報が、接続見込情報ＤＢ３０１に記憶された接続見込情報と一致しなかった場合に、被認証対象機器２による認証機器３００への悪意のある認証要求が行われたと判断する。
【００２５】
ここで、図６を用いて、認証監視処理機構３０２による認証ログの監視処理について詳細に説明する。図６は、認証ログの監視処理の流れを示すフローチャートである。
【００２６】
認証監視処理機構３０２は、前回の監視処理以降に認証ログＤＢ１０４に追加された最初のログエントリ（認証ログ）を取得する（ステップＳ６０１）。そして、認証監視処理機構３０２は、ログエントリを取得すると（ステップＳ６０２：Ｎｏ）、取得したログエントリに記録された接続情報（認証要求を受けた時刻）が、当該取得したログエントリに記録された被認証対象機器ＩＤとともに接続見込情報として記憶された最後に認証要求を受けた時刻が属する時間帯以外の時刻（例えば、通常あり得ない時刻、勤務時間外の時刻など）の時刻になっているかどうかを確認する（ステップＳ６０３）。さらに、認証監視処理機構３０２は、取得したログエントリに記録された接続情報（認証要求してきた被認証対象機器２のＩＰアドレスの保有組織をＷｈｏｉｓサービスから取得する（ステップＳ６０４）。そして、認証監視処理機構３０２は、Ｗｈｏｉｓサービスから取得した被認証対象機器２の保有組織が、当該取得したログエントリに記録された被認証対象機器ＩＤとともに接続見込情報として記憶されたネットワーク組織と一致するか否かを確認する（ステップＳ６０５）。
【００２７】
次に、認証監視処理機構３０２は、取得したログエントリに記録された接続情報（認証要求を受けた時刻）が通常あり得ない時刻、若しくはＷｈｏｉｓサービスから取得した被認証対象機器２の保有組織が、接続が見込まれなかった組織（つまり、接続見込情報として記憶されたネットワーク組織以外の組織）であった場合（ステップＳ６０６：Ｙｅｓ）、悪意のある認証要求が行われたと判断して、当該取得したログエントリを疑わしいログエントリとして認証ログＤＢ１０４などに一時的に記憶する（ステップＳ６０７）。一方、認証監視処理機構３０２は、認証要求を受けた時刻が通常の時刻、若しくはＷｈｏｉｓサービスから取得した被認証対象機器２の保有組織が、接続が見込まれた組織であった場合（ステップＳ６０６：Ｎｏ）、または疑わしいログエントリの記憶が完了すると、認証ログＤＢ１０４から次のログエントリを取得する（ステップＳ６０８）。
【００２８】
認証監視処理機構３０２は、上述の処理を繰り返して全てのログエントリの監視が終了すると（ステップＳ６０２：Ｙｅｓ）、認証機器３００の管理者に対して、認証ログＤＢ１０４に記憶された疑わしいログエントリ、およびその判断理由（例えば、通常あり得ない時刻の認証要求、接続が見込まれなかった組織からの認証要求など）を通知する（ステップＳ６０９）。
【００２９】
このように、本実施の形態にかかる認証機器３００によれば、認証ログＤＢ１０４に記憶された認証ログに記録された接続情報が、接続見込情報ＤＢ３０１に記憶された接続見込情報と一致しなかった場合に、被認証対象機器２による認証機器３００への悪意のある認証要求が行われたと判断することにより、認証が成功していても悪意があると疑わしい認証要求を検知することができるので、悪意のある認証要求であるか否かを適正に判断することができる。
【００３０】
（第２実施の形態）
本実施の形態は、ネットワークを介して接続された機器同士が相互に認証処理（以下、相互認証処理とする）を行って通信を行うものである。なお、以下の説明では、第１実施の形態と同様の箇所については説明を省略し、第１実施の形態と異なる箇所についてのみ説明する。
【００３１】
まず、図７を用いて、本発明を適用可能な認証機器の例について説明する。図７は、本発明を適用可能な認証機器の機能ブロック図である。
【００３２】
図７に示すように、本発明を適用可能な認証機器１は、第１実施の形態にかかる認証機器３００と同様に、認証処理情報ＤＢ１０１、認証処理機構１０２、実時間時計１０３、認証ログＤＢ１０４などを備えているものとする。また、認証機器１は、安全でないネットワーク３を介して、他の認証機器１と接続されているものとする。
【００３３】
このような認証機器１同士が相互に認証処理を行って通信するシステムをユーザが安全に運用するためには、各認証機器１が備える認証ログＤＢ１０４に記憶された認証ログを定期的に監視しなければならない。具体的には、システムのユーザが、認証ログを参照して、その中に疑わしい認証ログがあるかどうかを判断しなければならない。
【００３４】
そこで、本実施の形態では、図１に示すシステムに対して新たな機能を追加して、認証ログの監視を外部から自動的に行うことにより、認証機器１を保有するユーザの管理業務を軽減するものである。図８は、第２実施の形態にかかる認証機器を含むシステムの機能ブロック図である。
【００３５】
図８に示すように、本実施の形態にかかる認証機器８０１は、相互に認証処理を行って通信を構築するために、認証処理に必要な機能（例えば、認証処理情報ＤＢ１０１、認証処理機構１０２、実時間時計１０３、認証ログＤＢ１０４など）を保有している。なお、他の機器の認証ログを監視するログ監視サーバとして機能する認証機器８１０も、認証機器８０１と同様に認証処理に必要な機能を備えている。
【００３６】
まず、認証機器８０１に新たに追加された機能（ログ提供機構８０２）について説明する。ログ提供機構８０２（提供手段）は、認証機器８１０からの請求に応じて、認証ログＤＢ１０４に記憶された認証ログを認証機器８１０に提供するものである。
【００３７】
次に、認証機器８１０に新たに追加された機能（ログ監視レポートＤＢ８１１、ログ監視基準情報ＤＢ８１２、利用者認証ログＤＢ８１３、請求処理部８１４、定期的ログ監視処理部８１５、ログ監視基準設定ＵＩ８１６、ログ監視依頼対応処理部８１７）について説明する。
【００３８】
請求処理部８１４（請求手段）は、安全でないネットワーク３を介して接続された他の認証機器８０１に対して認証ログの提供を請求するものである。
【００３９】
利用者認証ログＤＢ８１３は、他の認証機器８０１から提供を受けた認証ログを記憶するものである。
【００４０】
ログ監視基準情報ＤＢ８１２は、利用者認証ログＤＢ８１３に記憶された認証ログの監視に用いる基準であって、悪意のある認証要求の際に認証機器８０１への接続に使用される接続情報が記録された認証ログのログ監視基準（例えば、正しい利用で認証が起こり得る時間帯、同じＩＰアドレスから異なる認証要求があった場合に、それを悪意のある認証要求の疑いありとみなす回数などの基準値など）を記憶するものである。
【００４１】
ログ監視基準設定ＵＩ８１６（設定手段）は、認証機器が備えるＵＩを介してユーザにより入力された、ログ監視基準を設定するものである。これにより、ユーザが悪意のある認証要求であるか否かの判断基準（ログ監視基準）を自由に修正・追加することができるので、ログ監視基準の柔軟性を維持することができる。
【００４２】
定期的ログ監視処理部８１５（監視手段）は、ログ監視基準情報ＤＢ８１２に記憶されたログ監視基準に従って、利用者認証ログＤＢ８１３に記憶された認証ログの中に、悪意のある認証要求の疑いのある認証ログがあるかを監視する。なお、本実施の形態では、定期的ログ監視処理部８１５は、所定時間毎に、悪意のある認証要求の疑いのある認証ログがあるかを監視するものとする。
【００４３】
ログ監視レポートＤＢ８１１は、定期的ログ監視処理部８１５による監視結果を記憶するものである。
【００４４】
ログ監視依頼対応処理部８１７は、他の認証機器８０１からの認証ログの監視依頼の呼び出しに応じるとともに、悪意のある認証要求の疑いのある認証ログがあった場合に、ログ監視レポートＤＢ８１１に記憶された認証ログの監視結果を他の認証機器８０１に対して送信するものである。
【００４５】
次に、図９を用いて、認証機器８０１に対して認証ログを請求する処理について詳細に説明する。図９は、認証機器に対して認証ログを請求する処理の流れを示すフローチャートである。
【００４６】
請求処理部８１４は、相互認証処理を利用して、監視する認証ログを持つ他の認証機器８０１に接続する（ステップＳ９０１）。次に、請求処理部８１４は、当該分析すべき認証ログを持つ他の認証機器８０１が備えるログ提供機構８０２を呼び出して、認証ログを取り出す（ステップＳ９０２）。
【００４７】
そして、請求処理部８１４は、取り出した認証ログを、利用者認証ログＤＢ８１３の内部に記憶させて、定期的なログ監視処理に備える（ステップＳ９０３）。
【００４８】
次に、図１０を用いて、認証ログの監視処理について詳細に説明する。図１０は、認証ログの監視処理の流れを示すフローチャートである。
【００４９】
ログ監視依頼対応処理部８１７が他の認証機器８０１からの認証ログの監視依頼の呼び出しに応じると、定期的ログ監視処理部８１５は、監視を行う他の認証機器８０１の認証ログを、利用者認証ログＤＢ８１３から取得する（ステップＳ１００１）。次に、定期的ログ監視処理部８１５は、取得した認証ログの中から、同じＩＰアドレスから異なるユーザの認証機器８０１へ認証要求を行うような通信の認証ログを抽出する（ステップＳ１００２）。
【００５０】
さらに、定期的ログ監視処理部８１５は、取得した認証ログの中から、ログ監視基準情報ＤＢ８１２に記憶されたログ監視基準で設定された通常の使用時間以外の時刻に行われたアクセスの認証ログを抽出する（ステップＳ１００３）。
【００５１】
そして、定期的ログ監視処理部８１５は、監視中の認証機器８０１に対して認証要求した相手側の認証機器８０１の認証ログも利用者認証ログＤＢ８１３に記憶されている場合、取得した認証ログの中から、相手側の認証機器８０１の認証ログに記録された情報と、監視中の認証機器８０１に認証ログに記録された情報との間に矛盾（不一致）があるアクセスの認証ログを抽出する（ステップＳ１００４）。
【００５２】
ステップＳ１００２〜ステップＳ１００４までの処理で抽出された認証ログがあった場合（ステップＳ１００５：Ｙｅｓ）、定期的ログ監視処理部８１５は、抽出された認証ログに記録されたアクセスの情報が記載されたレポート文書を作成し、作成したレポート文書をログ監視レポートＤＢ８１１に記憶させる（ステップＳ１００６）。ログ監視依頼対応処理部８１７は、必要に応じてログ監視レポートＤＢ８１１に記憶されたレポート文書をＷｅｂで提示したり、印刷・発送したりする（ステップＳ１００７）。
【００５３】
次に、図１１を用いて、ログ監視基準の設定処理について詳細に説明する。図１１は、ログ監視基準の設定処理の流れを示すフローチャートである。
【００５４】
ログ監視基準設定ＵＩ８１６は、ユーザに対してパラメータ（ログ監視基準）を設定するためのＵＩを提示する（ステップＳ１１０１）。ログ監視基準設定ＵＩ８１６は、提示したＵＩを介して、ユーザから正しい利用で認証が起こり得る時間帯、同じＩＰアドレスから異なるユーザに対する認証要求が繰り返された場合に、悪意のある認証要求の疑いがあるものとする繰り返し回数などの基準値などのパラメータを受け取り、受け取ったパラメータをログ監視基準情報ＤＢ８１２に記憶させる（ステップＳ１１０２）。
【００５５】
次に、図１２を用いて、レポート文書の返送処理について詳細に説明する。図１２は、レポート文書を認証機器に返送する処理の流れを示すフローチャートである。
【００５６】
ログ提供機構８０２は、相互認証処理を利用して、監視する認証ログを持つ認証機器８０１に接続する（ステップＳ１２０１）。次に、ログ提供機構８０２は、ログ監視サーバ８１０に対して、認証ログを送出しつつ、ログ監視依頼対応処理部８１７に対して監視を依頼する処理を遠隔処理呼び出しにより行う（ステップＳ１２０２）。そして、ログ監視依頼対応処理部８１７が監視依頼の呼び出しに応じると、定期的ログ監視処理部８１５が、上述した処理（図１０に示す）を行い、作成したレポート文書を依頼元機器（認証機器８０１）に返送する（ステップＳ１２０３）。
【００５７】
このように、本実施の形態にかかる認証機器８０１、８１０によれば、認証機器８０１に記憶された認証ログの監視をログ監視サーバとして機能する認証機器８１０が行うことにより、ユーザが認証ログを監視する必要がなくなるため、認証機器８０１を保有するユーザの管理業務を軽減することができる。また、悪意のある認証要求の際に認証機器８０１への接続に使用される接続情報を記録した認証ログのログ監視基準に従って、認証機器８０１から提供された認証ログの中から、悪意のある認証要求の疑いのある認証ログを監視することにより、認証が成功していても悪意のあると疑わしい認証要求を検知することができるので、悪意のある認証要求であるか否かを適正に判断することができる。
【００５８】
上述の実施の形態の認証機器は、ＣＰＵなどの制御装置と、ＲＯＭ（Read Only Memory）やＲＡＭなどの記憶装置と、ＨＤＤ、ＣＤドライブ装置などの外部記憶装置と、ディスプレイ装置などの表示装置と、キーボードやマウスなどの入力装置を備えており、通常のコンピュータを利用したハードウェア構成となっている。
【００５９】
また、上述の実施の形態の認証機器で実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のコンピュータで読み取り可能な記録媒体に記録されて提供される。
【００６０】
また、上述の実施の形態の認証機器で実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成しても良い。また、上述の実施の形態の認証機器で実行されるプログラムをインターネット等のネットワーク経由で提供または配布するように構成しても良い。また、上述の実施の形態のプログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。
【００６１】
そして、上述の実施の形態の認証機器で実行されるプログラムは、上述した各部（認証処理情報ＤＢ、認証処理機構、実時間時計、認証ログＤＢ、認証監視処理機構、接続見込情報ＤＢ、ログ提供機構、ログ監視レポートＤＢ、ログ監視基準情報ＤＢ、利用者認証ログＤＢ、請求処理部、定期的ログ監視処理部、ログ監視基準設定ＵＩ、ログ監視依頼対応処理部など）を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ（プロセッサ）が上記記憶媒体からプログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、認証処理情報ＤＢ、認証処理機構、実時間時計、認証ログＤＢ、認証監視処理機構、接続見込情報ＤＢ、ログ提供機構、ログ監視レポートＤＢ、ログ監視基準情報ＤＢ、利用者認証ログＤＢ、請求処理部、定期的ログ監視処理部、ログ監視基準設定ＵＩ、ログ監視依頼対応処理部などが主記憶装置上に生成されるようになっている。
【符号の説明】
【００６２】
２ 被認証対象機器
１０２ 認証処理機構
１０４ 認証ログＤＢ
３００，８０１，８１０ 認証機器
３０２ 認証監視処理機構
８０２ ログ提供機構
８１４ 請求処理部
８１５ 定期的ログ監視処理部
８１６ ログ監視基準設定ＵＩ
【先行技術文献】
【特許文献】
【００６３】
【特許文献１】特開２００７−２３３６６１号公報
【特許請求の範囲】
【請求項１】
自機器に接続された被認証対象機器から受けた認証要求に応じて、前記被認証対象機器の認証処理を行う認証処理手段と、
前記被認証対象機器が認証要求の際に自機器への接続に使用した接続情報を記憶する記憶手段と、
記憶した前記接続情報が、前記被認証対象機器が自機器への接続に使用すると見込まれる接続見込情報と一致しなかった場合に、前記被認証対象機器により自機器へ悪意のある認証要求が行われたと判断する判断手段と、
を備えたことを特徴とする認証機器。
【請求項２】
前記接続情報が、前記被認証対象機器が認証要求の際に自機器へ接続に使用した接続時刻であり、
前記接続見込情報が、前記被認証対象機器が自機器への接続に使用すると見込まれる時間帯の時刻であることを特徴とする請求項１に記載の認証機器。
【請求項３】
前記接続情報が、前記被認証対象機器が認証要求の際に自機器への接続に使用したＩＰアドレスであり、
前記接続見込情報が、前記被認証対象機器が自機器への接続に使用すると見込まれる前記被認証対象機器のＩＰアドレスであることを特徴とする請求項１または２に記載の認証機器。
【請求項４】
前記判断手段は、所定期間ごとに、前記被認証対象機器により自機器へ悪意のある認証要求が行われたかを判断することを特徴とする請求項１から３のいずれか一に記載の認証機器。
【請求項５】
自機器に接続された被認証対象機器から受けた認証要求に応じて、前記被認証対象機器の認証処理を行う認証手段と、
前記被認証対象機器が認証要求の際に自機器への接続に使用した接続情報が記録された認証ログを記憶する記憶手段と、
前記認証ログを監視するログ監視サーバからの請求に応じて、記憶した前記認証ログを前記ログ監視サーバに提供する提供手段と、
を備えた認証機器と、
前記認証機器に対して前記認証ログの提供を請求する請求手段と、
悪意のある認証要求の際に前記認証機器への接続に使用される前記接続情報が記録された前記認証ログのログ監視基準に従って、前記認証機器から提供された前記認証ログの中に不正な接続の疑いのある前記認証ログがあるかを監視する監視手段と、
を備えた前記ログ監視サーバと、
を備えたことを特徴とする認証システム。
【請求項６】
前記ログ監視サーバが、前記ログ監視基準を設定する設定手段をさらに備えたことを特徴とする請求項５に記載の認証システム。
【請求項１】
自機器に接続された被認証対象機器から受けた認証要求に応じて、前記被認証対象機器の認証処理を行う認証処理手段と、
前記被認証対象機器が認証要求の際に自機器への接続に使用した接続情報を記憶する記憶手段と、
記憶した前記接続情報が、前記被認証対象機器が自機器への接続に使用すると見込まれる接続見込情報と一致しなかった場合に、前記被認証対象機器により自機器へ悪意のある認証要求が行われたと判断する判断手段と、
を備えたことを特徴とする認証機器。
【請求項２】
前記接続情報が、前記被認証対象機器が認証要求の際に自機器へ接続に使用した接続時刻であり、
前記接続見込情報が、前記被認証対象機器が自機器への接続に使用すると見込まれる時間帯の時刻であることを特徴とする請求項１に記載の認証機器。
【請求項３】
前記接続情報が、前記被認証対象機器が認証要求の際に自機器への接続に使用したＩＰアドレスであり、
前記接続見込情報が、前記被認証対象機器が自機器への接続に使用すると見込まれる前記被認証対象機器のＩＰアドレスであることを特徴とする請求項１または２に記載の認証機器。
【請求項４】
前記判断手段は、所定期間ごとに、前記被認証対象機器により自機器へ悪意のある認証要求が行われたかを判断することを特徴とする請求項１から３のいずれか一に記載の認証機器。
【請求項５】
自機器に接続された被認証対象機器から受けた認証要求に応じて、前記被認証対象機器の認証処理を行う認証手段と、
前記被認証対象機器が認証要求の際に自機器への接続に使用した接続情報が記録された認証ログを記憶する記憶手段と、
前記認証ログを監視するログ監視サーバからの請求に応じて、記憶した前記認証ログを前記ログ監視サーバに提供する提供手段と、
を備えた認証機器と、
前記認証機器に対して前記認証ログの提供を請求する請求手段と、
悪意のある認証要求の際に前記認証機器への接続に使用される前記接続情報が記録された前記認証ログのログ監視基準に従って、前記認証機器から提供された前記認証ログの中に不正な接続の疑いのある前記認証ログがあるかを監視する監視手段と、
を備えた前記ログ監視サーバと、
を備えたことを特徴とする認証システム。
【請求項６】
前記ログ監視サーバが、前記ログ監視基準を設定する設定手段をさらに備えたことを特徴とする請求項５に記載の認証システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２０１１−３４４４８（Ｐ２０１１−３４４４８Ａ）
【公開日】平成２３年２月１７日（２０１１．２．１７）
【国際特許分類】
【出願番号】特願２００９−１８１８３６（Ｐ２００９−１８１８３６）
【出願日】平成２１年８月４日（２００９．８．４）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
【公開日】平成２３年２月１７日（２０１１．２．１７）
【国際特許分類】
【出願日】平成２１年８月４日（２００９．８．４）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
[ Back to top ]