トップ :: G 物理学 :: G06 計算;計数




【発明の名称】 不正アクセス警告装置、サーバ装置及び不正アクセス警告プログラム
【発明者】 【氏名】佐久間 英夫
【住所又は居所】東京都千代田区大手町二丁目３番１号 日本電信電話株式会社内

【氏名】種茂 文之
【住所又は居所】東京都千代田区大手町二丁目３番１号 日本電信電話株式会社内
【要約】 【課題】不正アクセスに使用されるプロトコルが如何なるものであってもその発信者に対し警告を与えられるようにし、これにより不正アクセスに対し十分な抑止効果を期待できるようにする。

【解決手段】通信ネットワークＮＷとサーバ装置ＳＶとの間に設置した不正アクセス警告装置ＡＳにおいて、端末からサーバ装置ＳＶに対する不正アクセス要求が到来した場合に、この不正アクセスに関する履歴情報を作成して発信者情報ＤＢ１６に記憶する。そして、その後同じ端末から返答を期待するアクセス要求が到来した場合に、このアクセス要求の発信者が過去に不正アクセスを行った経歴があるか否かを上記発信者情報ＤＢ１６に記憶されている履歴情報をもとに判定し、不正アクセスを行った経歴のある発信者だった場合には、当該発信者の端末に対し返答情報に替えて警告情報を送信するようにしたものである。
【特許請求の範囲】
【請求項１】 端末とサーバ装置との間に設けられる不正アクセス警告装置において、前記端末から前記サーバ装置に対する不正アクセス要求が到来した場合に、当該不正アクセスに関する履歴情報を作成して記憶する履歴記憶手段と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを、前記履歴記憶手段に記憶されている履歴情報をもとに判定する判定手段と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると前記判定手段が判定した場合に、警告情報を該当する発信者に通知する警告通知手段とを具備したことを特徴とする不正アクセス警告装置。
【請求項２】 端末とサーバ装置との間に設けられる不正アクセス警告装置において、前記端末から前記サーバ装置に対するアクセス要求が到来した場合に、当該アクセス要求が不正アクセスであるか否かを判定する不正アクセス検出手段と、前記到来したアクセス要求が不正アクセスであると前記不正アクセス検出手段が判定した場合に、当該不正アクセスに関する履歴情報を作成して記憶する履歴記憶手段と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを、前記履歴記憶手段に記憶されている履歴情報をもとに判定する判定手段と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると前記判定手段が判定した場合に、警告情報を該当する発信者に通知する警告通知手段とを具備したことを特徴とする不正アクセス警告装置。
【請求項３】 前記判定手段は、過去に不正アクセスを行った経歴のある発信者であるか否かの判定を、前記端末から返答を期待するアクセス要求が到来した場合に行うことを特徴とする請求項１又は２記載の不正アクセス警告装置。
【請求項４】 前記警告通知手段は、アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると前記判定手段が判定した場合に、当該アクセス要求に対する返答情報に替えて警告情報を該当する発信者の端末へ送信することを特徴とする請求項１又は２記載の不正アクセス警告装置。
【請求項５】 前記警告通知手段は、アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると前記判定手段が判定した場合に、当該アクセス要求に対しサーバ装置から送信される返答情報に警告情報を付加或いは含めて該当する発信者の端末へ送信することを特徴とする請求項１又は２記載の不正アクセス警告装置。
【請求項６】 前記警告通知手段は、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると前記判定手段が判定した場合に、当該発信者が過去に行った不正アクセスの悪質度を前記履歴記憶手段に記憶されている履歴情報をもとに判定する手段と、前記悪質度の判定結果に基づいて、予め用意された複数の警告通知処理を選択的に実行する手段とを備えることを特徴とする請求項１又は２記載の不正アクセス警告装置。
【請求項７】 前記警告通知手段は、履歴記憶手段に記憶された履歴情報をもとに、不正アクセスの内容を表す情報と、この不正アクセスの内容に対応する警告メッセージとを含む警告情報を作成し、この作成した警告情報を該当する発信者の端末へ送信することを特徴とする請求項１又は２記載の不正アクセス警告装置。
【請求項８】 通信回線を介して端末が接続されるサーバ装置において、前記端末から自サーバ装置に対する不正アクセス要求が到来した場合に、当該不正アクセスに関する履歴情報を作成して記憶する履歴記憶手段と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを、前記履歴記憶手段に記憶されている履歴情報をもとに判定する判定手段と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると前記判定手段が判定した場合に、警告情報を該当する発信者に通知する警告通知手段とを具備したことを特徴とするサーバ装置。
【請求項９】 通信回線を介して端末が接続されるサーバ装置において、前記端末から自サーバ装置に対するアクセス要求が到来した場合に、当該アクセス要求が不正アクセスであるか否かを判定する不正アクセス検出手段と、前記到来したアクセス要求が不正アクセスであると前記不正アクセス検出手段が判定した場合に、当該不正アクセスに関する履歴情報を作成して記憶する履歴記憶手段と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを、前記履歴記憶手段に記憶されている履歴情報をもとに判定する判定手段と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると前記判定手段が判定した場合に、警告情報を該当する発信者に通知する警告通知手段とを具備したことを特徴とするサーバ装置。
【請求項１０】 端末とサーバ装置との間又はサーバ装置内に設けられるコンピュータで使用される不正アクセス警告プログラムであって、前記端末から前記サーバ装置に対する不正アクセス要求が到来した場合に、当該不正アクセスに関する履歴情報を作成してメモリに記憶する処理と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを、前記メモリに記憶されている履歴情報をもとに判定する処理と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると判定された場合に、警告情報を該当する発信者に通知する処理とを、前記コンピュータに実行させる不正アクセス警告プログラム。
【請求項１１】 端末とサーバ装置との間又はサーバ装置内に設けられるコンピュータで使用される不正アクセス警告プログラムであって、前記端末から前記サーバ装置に対するアクセス要求が到来した場合に、当該アクセス要求が不正アクセスであるか否かを判定する処理と、前記到来したアクセス要求が不正アクセスであると判定された場合に、当該不正アクセスに関する履歴情報を作成してメモリに記憶する処理と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを、前記メモリに記憶されている履歴情報をもとに判定する処理と、前記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると判定された場合に、警告情報を該当する発信者に通知する処理とを、前記コンピュータに実行させる不正アクセス警告プログラム。
【発明の詳細な説明】【０００１】
【発明の属する技術分野】この発明は、サーバ装置と端末とを含むネットワークシステムで使用される不正アクセス警告装置、不正アクセス警告機能を備えたサーバ装置、さらにはこれらの装置で使用される不正アクセス警告プログラムに関する。
【０００２】
【従来の技術】加入者網やインターネット等のネットワークを介して端末からサーバ装置に対し行われる不正アクセスは、ネットワークの伝送速度及び端末の処理速度の高速化や、自動ハッキングツールの流出等に伴い増加の一途をたどっている。特に自動ハッキングツールを使用した不正アクセスに関しては、ネットワーク技術やサーバに関する知識の浅いものでも比較的簡単に行うことができるため、今後さらに増加することが予想される。
【０００３】一方、このようなサーバ装置に対する不正アクセスに対抗するために、例えばインターネットの技術分野では、ＷＷＷ（World Wide Web）サーバに対する不正アクセスを防止する不正アクセス警告装置が使用されている。この不正アクセス警告装置は、例えばＷＷＷサーバのサンプルファイルに対するアクセス要求や、バッファのオーバフローを狙ったＵＲＬ（Uniform Resource Locator）に対する不正なアクセス要求を監視する。そして、不正アクセスが検出された場合に、上記アクセス要求の応答として警告メッセージを発信元の端末へ送り返す機能を有する。このような警告装置を設けると、例えばブラウザを使用してＷＷＷサーバに対し不正アクセスを行った発信者の端末に警告メッセージを表示することが可能となり、以後の不正アクセスを抑止させることができる。
【０００４】
【発明が解決しようとする課題】ところが、この種の従来の不正アクセス警告装置は次のような解決すべき課題を有していた。すなわち、発信者からの不正アクセスが例えばＨＴＴＰ（HyperText Transfer Protocol）のように返答を要求するプロトコルを使用して行われた場合には、返答パケットを利用して警告メッセージを発信者へ通知することが可能である。
【０００５】しかし、返答を要求しないプロトコルを使用した不正アクセスに対しては、不正アクセスを検出することはできても、警告メッセージを発信者に通知することができない。一般に、故意の不正アクセスは応答を求めない一方向のアクセスであることが多いため、上記した従来の不正アクセス警告装置では十分な抑止効果が期待できない。
【０００６】また、ブラウザを使用せずに不正アクセスが行われた場合には、警告メッセージを送信してもこの警告メッセージは発信者の端末に表示されない。したがって、この場合にも警告による抑止効果が期待できない。
【０００７】この発明は上記事情に着目してなされたもので、その目的とするところは、不正アクセスに使用されるプロトコルが如何なるものであってもその発信者に対し警告を与えられるようにし、これにより不正アクセスに対し十分な抑止効果を期待できる不正アクセス警告装置、サーバ装置及び警告制御プログラムを提供することにある。
【０００８】
【課題を解決するための手段】上記目的を達成するためにこの発明に係わる不正アクセス警告装置は、端末からサーバ装置に対する不正アクセス要求が到来した場合に当該不正アクセスに関する履歴情報を作成して記憶する。そして、以後端末からアクセス要求が到来した場合に、このアクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを、上記履歴記憶手段に記憶されている履歴情報をもとに判定し、上記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者だった場合には、当該発信者に対し警告情報を通知するように構成したものである。
【０００９】したがってこの発明によれば、発信者が不正アクセスを行うとその履歴情報が記憶され、その後同じ発信者が正当なアクセス要求が行った場合に、当該発信者に対し警告情報が通知される。このため、例えば返答を求めないプロトコルやブラウザ等を使用しないアクセス手段を用いて不正アクセスが行われたとしても、同じ発信者がその後正当なアクセスを行った時点で、当該発信者に対し警告情報を通知することが可能となる。
【００１０】したがって、不正アクセスに使用されるプロトコルが如何なるものであってもその発信者に対し警告を与えることができるようになり、これにより不正アクセスに対し十分な抑止効果が期待できるようになる。
【００１１】また、端末からサーバ装置に対するアクセス要求が到来した場合に、当該アクセス要求が不正アクセスであるか否かを判定する不正アクセス検出手段をさらに備える。そして、この不正アクセス検出手段により上記到来したアクセス要求が不正アクセスであると判定された場合に、当該不正アクセスに関する履歴情報を作成して記憶するように構成するとよい。このように構成すると、不正アクセスの発生を他の装置に頼ることなく不正アクセス警告装置自身で検出することが可能となる。
【００１２】さらに、過去に不正アクセスを行った経歴のある発信者であるか否かの判定は、端末から返答を求めるアクセス要求が到来した場合にのみ行うようにするとよい。このように構成すると、警告情報を通知することが可能なアクセス要求が到来した場合にのみ上記判定処理が行われることになり、これによりすべてのアクセス要求について無条件に上記判定処理を行う場合に比べ、判定処理に係わる装置の負担を軽減できる。
【００１３】また、警告通知手段として以下の構成が考えられる。第１の構成は、返答を求めるアクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると判定された場合に、当該アクセス要求に対する返答情報に替えて警告情報を該当する発信者の端末へ送信するものである。この構成によれば、返答情報に替えて警告情報が通知されるので、例えば故意に不正アクセスを行った発信者に対して強い警告を与えることができる。また、アドレスの偽造や誤りに対しても警告を与えることとができる。
【００１４】第２の構成は、返答を求めるアクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると判定された場合に、当該アクセス要求に対しサーバ装置から送信される返答情報に警告情報を付加或いは含めて該当する発信者の端末へ送信するものである。この構成によれば、サーバ装置からの返答情報に付加又は含めたかたちで警告情報が発信者に通知されるので、発信者の不慣れや誤操作が原因となって結果的に不正アクセスが行われた場合に、当該発信者に対し返答情報を利用して注意を喚起することができる。
【００１５】第３の構成は、アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であると判定された場合に、当該発信者が過去に行った不正アクセスの悪質度を履歴記憶手段に記憶されている履歴情報をもとに判定し、この悪質度の判定結果に基づいて、予め用意された複数の警告通知処理を選択的に実行するものである。
【００１６】このような構成であると、不正アクセスの悪質度に応じて適切な警告処理が自動的に選択されて実行される。例えば、故意と認められる不正アクセスについてはその発信者に対し強い警告を与えるための処理が選択されて実行され、一方不慣れや誤操作が原因と認められる不正アクセスについてはその発信者に対し操作上の注意を促す等の緩い警告を与えるための処理が選択されて実行される。
【００１７】
【発明の実施の形態】（第１の実施形態）この発明の第１の実施形態は、多数の端末が接続される通信ネットワークとサーバ装置との間に不正アクセス警告装置を設置し、この不正アクセス警告装置において、上記端末からサーバ装置に対する不正アクセス要求が到来した場合に、その履歴情報を作成して発信者情報データベースに記憶する。そして、その後上記端末から返答を期待するアクセス要求が到来した場合に、このアクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを上記発信者情報データベースに記憶されている履歴情報をもとに判定し、不正アクセスを行った経歴のある発信者だった場合には、当該発信者の端末に対し返答情報に替えて警告情報を送信するようにしたものである。
【００１８】図１は、この発明の第１の実施形態に係わる不正アクセス警告装置を備えたネットワークシステムの概略構成図である。同図において、ＮＷは通信ネットワークであり、例えばＰＳＴＮ（Public Switched Telephone Network）やＩＳＤＮ（Integrated Service Digital Network）等の有線加入者ネットワークと、移動通信ネットワークと、専用線ネットワークと、ＣＡＴＶ（Cable Television）ネットワークと、インターネットに代表されるコンピュータネットワークとを含んでいる。
【００１９】この通信ネットワークＮＷには、多数の端末ＴＭ１〜ＴＭｎが接続されると共に、サーバ装置ＳＶが接続される。各端末ＴＭ１〜ＴＭｎは、例えば電話機やパーソナル・コンピュータ、移動通信端末、テレビジョン端末からなり、上記サーバ装置ＳＶに対するアクセス機能を有する。サーバ装置ＳＶは、例えばＷＷＷサーバからなり、上記端末ＴＭ１ｌ〜ＴＭｎからのアクセス要求に応じてウエブデータのダウンロード等を行う機能を有する。
【００２０】ところで、上記通信ネットワークＮＷとサーバ装置ＳＶとの間には不正アクセス警告装置ＡＳが設置してある。不正アクセス警告装置ＡＳは、サーバ装置ＳＶに対する不正アクセスを監視して、不正アクセスを行った発信者に対し警告を通知する機能を有するもので、例えば次のように構成される。図２はその構成を示すブロック図である。
【００２１】すなわち、不正アクセス警告装置ＡＳは、入出力部１１，１３と、転送部１２と、不正アクセス検出部１４と、警告情報作成部１５と、複数のデータベース（以後データベースをＤＢと略称する）とを備えている。
【００２２】入出力部１１は、通信ネットワークＮＷとの間で通信パケットの送受信処理を行う。入出力部１３は、サーバ装置ＳＶとの間で通信パケットの送受信処理を行う。
【００２３】複数のデータベースは、発信者情報ＤＢ１６と、不正アクセス情報ＤＢ１７と、サーバ情報ＤＢ１８とから構成される。発信者情報ＤＢ１６には、端末ＴＭ１〜ＴＭｎからサーバ装置ＳＶに対し行われた不正アクセスに関する履歴情報が格納される。不正アクセス情報ＤＢ１７には、既知の複数種の不正アクセスパターンが記憶されている。サーバ情報ＤＢ１８には、保護しようとするサーバ装置ＳＶが提供しているサービス種別等、サーバ装置ＳＶに現在設定されている運用状態を表す情報が記憶されている。
【００２４】不正アクセス検出部１４は、端末ＴＭ１〜ＴＭｎから到来したアクセス要求が不正アクセスであるか否かを、上記不正アクセス情報ＤＢ１７及びサーバ情報ＤＢ１８に記憶された情報をもとに判定する。そして、その判定結果を転送部１２に通知する。
【００２５】警告情報作成部１５は、転送部１２から警告情報の作成指示を受け取った場合に、発信者情報ＤＢ１６に記憶されている履歴情報をもとに、該当する発信者に通知すべき警告情報を作成する。警告情報には、不正アクセスの内容を表す情報とこの情報に対応する警告メッセージとが含められる。
【００２６】転送部１２は、端末ＴＭ１〜ＴＭｎから到来したアクセス要求が不正アクセスであると上記不正アクセス検出部１４により判定された場合に、当該不正アクセスを破棄すると共に、この不正アクセスの内容と発信者のアドレス情報とを含む履歴情報を作成し、この履歴情報を上記発信者情報ＤＢ１６に記憶させる。また、端末ＴＭ１〜ＴＭｎから到来したアクセス要求が正当なアクセスであると上記不正アクセス検出部１４により判定され、かつ当該アクセス要求が返答を期待するものだった場合には、当該アクセス要求の発信者が過去に不正アクセスを行った経歴を持つ発信者であるか否かを上記発信者情報ＤＢ１６の履歴情報をもとに判定する。そして、発信者が不正アクセスの前歴を持つ場合には、上記警告情報作成部１５により作成された警告情報を、返答情報に替えて発信者の端末へ送信する処理を行う。
【００２７】次に、以上のように構成された不正アクセス警告装置の動作を、図３乃至図５に示す動作シーケンスを用いて説明する。
【００２８】いま例えば端末ＴＭ１からサーバ装置ＳＶに対するアクセス要求が到来したとする。そうすると上記アクセス要求は入出力部１１から転送部１２を介して不正アクセス検出部１４に転送される。
【００２９】不正アクセス検出部１４では、先ず不正アクセス情報ＤＢ１７に記憶されている既知の不正アクセスパターンをもとに、上記転送されたアクセス要求が不正アクセスに該当するものか否かが判定される。そして、この判定により不正アクセスではないと判定されると、続いてサーバ情報ＤＢ１８に記憶されているサーバ装置ＳＶの運用状態を表す情報をもとに、上記転送されたアクセス要求がサーバ装置ＳＶで提供されているサービスに対応するものか否かが判定される。そして、サーバ装置ＳＶが提供しているサービスに対応するものであれば、当該アクセス要求は正当なアクセス要求と判断され、その旨が転送部１２に報告される。これに対し、上記転送されたアクセス要求が既知の不正アクセスパターンのいずれかに該当するか、或いはサーバ装置ＳＶが提供しているサービスに対応しないアクセス要求であれば、当該アクセス要求は不正アクセスであると判断されて、その旨が転送部１２に報告される。
【００３０】転送部１２は、上記不正アクセス検出部１４から正当なアクセス要求である旨が報告され、かつこのアクセス要求が返答を期待しないアクセス要求であると、図３に示すように当該アクセス要求を入出力部１３へ転送し、この入出力部１３からサーバ装置ＳＶへ送信させる。この結果サーバ装置ＳＶでは、到来した上記アクセス要求に応じた処理が実行される。
【００３１】これに対し、上記不正アクセス検出部１４から不正アクセスである旨が報告されると、転送部１２は図３に示すように当該不正アクセスのアクセス要求を破棄する。また、このとき上記不正アクセス検出部１４は、上記不正アクセスである旨の報告後に、不正アクセスの内容を表す情報と発信者のアドレス情報とを含む履歴情報を作成する。そして、この不正アクセスの履歴情報を発信者情報ＤＢ１６に記憶する。
【００３２】なお、上記不正アクセスが、例えばＨＴＴＰやtelnet、ＦＴＰ（File Transfer Protocol）、ＩＣＭＰ（Internet Control Message Protocol）等のように返答を期待するプロトコルによってなされたものである場合には、図４に示すように転送部１２から警告情報作成部１５に対し警告情報の作成指示が与えられる。そして、この指示に従い警告情報作成部１５が作成した警告情報が、応答情報に替わって転送部１２から入出力部１１を介して発信元の端末ＴＭ１へ送信される。すなわち、不正アクセスが返答を要求するプロトコルによりなされたものであれば、従来と同様にその時点で即時発信者に対し警告が通知される。
【００３３】一方、返答を期待しないプロトコルにより不正アクセスが行われた場合には、その後同じ発信者から返答を期待するアクセス要求が到来したときに、警告処理が実行される。以下にその動作を述べる。
【００３４】すなわち、いま例えば端末ＴＭ１からサーバ装置ＳＶに対し返答を期待するアクセス要求が到来したとする。そうすると不正アクセス警告装置ＡＳでは、図５に示すように先ず不正アクセス検出部１４により上記到来したアクセス要求が不正アクセスであるか否かが判定される。この判定の結果、上記アクセス要求が正当なアクセス要求だったとすると、転送部１２において当該アクセス要求の発信者が過去に不正アクセスを行った経歴を持つ発信者であるか否かが判定される。この前歴の有無の判定は、発信者情報ＤＢ１６に記憶されている不正アクセスの履歴情報を検索し、この履歴情報の中から上記到来したアクセス要求の発信者アドレスを含む履歴情報を探すことにより行われる。
【００３５】上記前歴の判定の結果、不正アクセスの前歴が見つからなかった場合には、図５に示すように上記返答を期待するアクセス要求が転送部１２からそのまま入出力部１３を介してサーバ装置ＳＶへ転送される。この結果サーバ装置ＳＶでは、上記到来したアクセス要求に応じて例えばウエブ検索が行われ、その検索結果が応答情報として発信元の端末ＴＭ１に向け送信される。この応答情報は不正アクセス警告装置ＡＳを介してそのまま発信元の端末ＴＭ１へ伝送される。
【００３６】これに対し、上記前歴の判定の結果、発信者による不正アクセスの前歴が見つかったとする。この場合には、図５に示すように転送部１２から警告情報作成部１５に対し警告情報の作成指示が与えられる。そして、この指示に従い警告情報作成部１５で作成された警告情報が、応答情報に替わって転送部１２から入出力部１１を介して発信元の端末ＴＭ１へ送信される。上記警告情報には、履歴情報から抽出された不正アクセスの内容を表す情報とこの情報に対応する警告メッセージとが含められる。
【００３７】以上述べたように第１の実施形態では、通信ネットワークＮＷとサーバ装置ＳＶとの間に設置した不正アクセス警告装置ＡＳにおいて、端末からサーバ装置ＳＶに対する不正アクセス要求が到来した場合に、この不正アクセスに関する履歴情報を作成して発信者情報ＤＢ１６に記憶する。そして、その後同じ端末から返答を期待するアクセス要求が到来した場合に、このアクセス要求の発信者が過去に不正アクセスを行った経歴があるか否かを上記発信者情報ＤＢ１６に記憶されている不正アクセスの履歴情報をもとに判定し、不正アクセスを行った経歴のある発信者だった場合には、当該発信者の端末に対し返答情報に替えて警告情報を送信するようにしている。
【００３８】したがって、発信者が返答を期待しないプロトコルやブラウザ等を使用しないアクセス手段を用いて不正アクセスを行ったとしても、同じ発信者がその後に、ＨＴＴＰやtelnet、ＦＴＰ、ＩＣＭＰ等のような返答を期待する正当なアクセスを行った時点で、当該発信者に対し警告情報を通知することができる。このため、不正アクセスのみを単発的に行う発信者を除き、不正アクセスを行った多くの発信者に対し高い確率で警告を与えることができるようになり、これにより不正アクセスに対し十分な抑止効果を期待することができる。
【００３９】また、過去に不正アクセスを行った経歴がある発信者からのアクセス要求についてはサーバ装置ＳＶへ転送せずに破棄し、応答情報に替えて警告情報を通知するようにしているので、発信者に対し強い警告を与えることができる。
【００４０】さらに、不正アクセス警告装置ＡＳ内に、アクセス要求が不正アクセスであるか否かを判定する不正アクセス検出部１４を設けたことによって、不正アクセスの発生を他の装置に頼ることなく不正アクセス警告装置ＡＳ自身で検出することができる。
【００４１】（第２の実施形態）この発明の第２の実施形態は、通信ネットワークとサーバ装置との間に設置された不正アクセス警告装置において、端末からサーバ装置に対する不正アクセス要求が到来した場合に、その履歴情報を作成して発信者情報データベースに記憶する。そして、その後同じ端末から返答を期待する正当なアクセス要求が到来した場合に、このアクセス要求をサーバ装置へ転送すると共に、上記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを上記発信者情報データベースに記憶されている履歴情報をもとに判定する。この判定の結果、上記発信者が不正アクセスを行った経歴のあるものだった場合には、当該アクセス要求に対しサーバ装置から送信される返答情報に警告情報を添付或いは挿入して、該当する発信者の端末へ送信するようにしたものである。
【００４２】図６は、この発明に係わる不正アクセス警告装置の第２の実施形態を示す動作シーケンス図である。なお、不正アクセス警告装置ＡＳの構成については図２と同一なので説明を省略する。
【００４３】端末から到来したアクセス要求が不正アクセスだった場合に、不正アクセス検出部１４が不正アクセスの内容を表す情報と発信者のアドレス情報とを含む履歴情報を作成して発信者情報ＤＢ１６に記憶する点については、前記第１の実施形態と同様である。
【００４４】いま例えば端末ＴＭ１からサーバ装置ＳＶに対し返答を期待するアクセス要求が到来したとする。そうすると不正アクセス警告装置ＡＳでは、図６に示すように先ず不正アクセス検出部１４により上記到来したアクセス要求が不正アクセスであるか否かが判定される。この判定の結果、上記アクセス要求が正当なアクセス要求だったとすると、上記アクセス要求が転送部１２から入出力部１３を介してサーバ装置ＳＶへ転送される。この結果サーバ装置ＳＶでは、上記アクセス要求に応じて例えばウエブ検索が行われ、その検索結果が応答情報として発信元の端末ＴＭ１に向け送信される。
【００４５】またそれと共に転送部１２では、上記正当なアクセス要求の発信者が過去に不正アクセスを行った経歴を持つ発信者であるか否かが判定される。この前歴の有無の判定は、発信者情報ＤＢ１６に記憶されている不正アクセスの履歴情報を検索し、この履歴情報の中から上記到来したアクセス要求の発信者アドレスを含む履歴情報を探すことにより行われる。
【００４６】上記前歴の判定の結果、発信者による不正アクセスの前歴が見つかったとする。この場合には、図６に示すように転送部１２から警告情報作成部１５に対し警告情報の作成指示が与えられる。そして、この指示に従い警告情報作成部１５で作成された警告情報が、転送部１２においてサーバ装置ＳＶから到来する応答情報に挿入又は添付され、しかるのち入出力部１１を介して発信元の端末ＴＭ１へ送信される。上記警告情報には、履歴情報から抽出された不正アクセスの内容を表す情報とこの情報に対応する警告メッセージが含められる。
【００４７】このように第２の実施形態では、アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者だった場合に、当該アクセス要求に対しサーバ装置ＳＶが返送する返答情報に、上記過去の不正アクセスに対する警告情報を付加或いは挿入して該当する発信者の端末ＴＭ１へ送信するようにしている。
【００４８】したがって、サーバ装置ＳＶから発信者への返答情報の送信を制限することなく、発信者に対し過去の不正アクセスに対する警告を通知することができる。このため、発信者の不慣れや誤操作が原因となって結果的に不正アクセスが行われた場合に、当該発信者に対し緩やかな注意を喚起することができる。
【００４９】（第３の実施形態）前記第１の実施形態では、不正アクセス警告装置を主としてハードウエアにより構成した場合を例にとって説明した。これに対しこの発明の第３の実施形態は、不正アクセス警告装置にマイクロコンピュータ等のコンピュータを備え、このコンピュータにコンピュータプログラムを実行させることにより、第１の実施形態と同様の不正アクセスに対する警告処理を実現するようにしたものである。
【００５０】図７は、この発明に係わる不正アクセス警告装置の第３の実施形態を示すブロック図である。この不正アクセス警告装置ＡＭは、マイクロプロセッサからなる中央処理ユニット（ＣＰＵ）２１を備え、このＣＰＵ２１にバス２２を介して、プログラムメモリ２３と、２つの通信インタフェース部（通信Ｉ／Ｆ）２４，２５と、発信者情報ＤＢ２６と、不正アクセス情報ＤＢ２７と、サーバ情報ＤＢ２８とをそれぞれ接続したものとなっている。
【００５１】このうち通信Ｉ／Ｆ２４は、ＣＰＵ２１の制御の下、通信ネットワークＮＷとの間で通信パケットの送受信を行う。また通信Ｉ／Ｆ２５は、ＣＰＵ２１の制御の下、サーバ装置ＳＶとの間で通信パケットの送受信を行う。
【００５２】発信者情報ＤＢ２６には、端末ＴＭ１〜ＴＭｎからサーバ装置ＳＶに対し行われた不正アクセスに関する履歴情報が格納される。不正アクセス情報ＤＢ２７には、既知の複数種の不正アクセスパターンが記憶されている。サーバ情報ＤＢ２８には、保護しようとするサーバ装置ＳＶが提供しているサービス種別等、サーバ装置ＳＶに現在設定されている運用状態を表す情報が記憶されている。
【００５３】ところで、プログラムメモリ２３には、転送制御プログラム２３ａと、不正アクセス検出プログラム２３ｂと、履歴情報管理制御プログラム２３ｃと、前歴判定プログラム２３ｄと、警告通知制御プログラム２３ｅとがそれぞれ格納されている。
【００５４】転送制御プログラム２３ａは、上記通信Ｉ／Ｆ２４，２５を制御することにより、端末ＴＭ１〜ＴＭｎとサーバ装置ＳＶとの間で伝送されるアクセス要求及び返答情報等の通信パケットの転送を制御する。また、端末ＴＭ１〜ＴＭｎから到来したアクセス要求を、その不正アクセス検出期間中及び前歴判定期間中に保持し、当該アクセス要求が不正アクセスと判定されるか或いは当該アクセス要求の発信者に不正アクセスの前歴が見つかった場合に、当該アクセス要求を破棄する機能も有する。
【００５５】不正アクセス検出プログラム２３ｂは、端末ＴＭ１〜ＴＭｎから到来したアクセス要求が不正アクセスであるか否かを、上記不正アクセス情報ＤＢ２７に記憶された既知の複数種の不正アクセスパターンと、サーバ情報ＤＢ２８に記憶されているサーバ装置ＳＶの運用状態を表す情報とをもとに判定する。
【００５６】履歴情報管理制御プログラム２３ｃは、上記不正アクセス検出プログラム２３ｂにより、端末ＴＭ１〜ＴＭｎから到来したアクセス要求が不正アクセスであると判定された場合に、この不正アクセスの内容と発信者のアドレス情報とを含む履歴情報を作成し、この不正アクセスの履歴情報を上記発信者情報ＤＢ２６に記憶させる。
【００５７】前歴判定プログラム２３ｄは、上記不正アクセス検出プログラム２３ｂにより、端末ＴＭ１〜ＴＭｎから到来したアクセス要求が正当なアクセスであると判定され、かつ当該アクセス要求がサーバ装置ＳＶからの返答を期待するものだった場合に、当該アクセス要求の発信者が過去に不正アクセスを行った経歴を持つ発信者であるか否かを、上記発信者情報ＤＢ２６に記憶されている不正アクセスの履歴情報をもとに判定する。
【００５８】警告通知制御プログラム２３ｅは、上記前歴判定プログラム２３ｄにより発信者が不正アクセスの前歴を持つと判定された場合に、当該発信者に通知すべき警告情報を作成する。警告情報には、上記発信者情報ＤＢ２６に記憶されている不正アクセスの履歴情報をもとに、不正アクセスの内容を表す情報とこの情報に対応する警告メッセージとを含める。そして、この作成された警告情報を、返答情報に替えて発信者の端末へ送信する。
【００５９】次に、以上のように構成された不正アクセス警告装置ＡＭによる警告処理動作を説明する。図８乃至図１０はこの処理動作の手順と内容を示すフローチャートである。
【００６０】ＣＰＵ２１は、図８に示すようにステップ８ａにより通信Ｉ／Ｆ２４を介してサーバ装置ＳＶに対するアクセス要求の到来を監視している。この状態で、いま例えば端末ＴＭ２からサーバ装置ＳＶに対するアクセス要求が到来したとする。
【００６１】そうするとＣＰＵ２１は、先ずステップ８ｂにより上記アクセス要求を不正アクセス情報ＤＢ２７に記憶されている既知の不正アクセスパターンと照合し、この照合結果をもとに上記アクセス要求が不正アクセスに該当するものか否かをステップ８ｃにより判定する。そして、この判定の結果不正アクセスではなかった場合には、続いてステップ８ｄにより上記アクセス要求をサーバ情報ＤＢ２８に記憶されているサーバ装置ＳＶの運用状態を表す情報と照合し、この照合結果をもとに上記到来したアクセス要求がサーバ装置ＳＶで提供されているサービスに対応するものか否かをステップ８ｅで判定する。
【００６２】そして、サーバ装置ＳＶが提供しているサービスに対応するものであれば、当該アクセス要求は正当なアクセス要求であると結論し、以後正当アクセス対応制御に移行する。これに対し、上記転送されたアクセス要求が既知の不正アクセスパターンのいずれかに該当するか、或いはサーバ装置ＳＶが提供しているサービスに対応しないアクセス要求であれば、当該アクセス要求は不正アクセスであると結論し、以後不正アクセス対応制御に移行する。
【００６３】さて、不正アクセス対応制御に移行するとＣＰＵ２１は、図９に示すように先ずステップ９ａにおいて上記アクセス要求が返答を期待するアクセス要求であるか否かを判定する。この判定の結果、返答を要求するアクセス要求であれば、この時点で警告情報を通知することが可能であると判断し、ステップ９ｂにより警告情報を作成する。警告情報には、不正アクセスの内容を表す情報とこの情報に対応する警告メッセージとが含められる。そして、ステップ９ｃにより、上記作成された警告情報を応答情報に替えて、上記不正アクセス要求の発信者の端末ＴＭ２へ送信する。
【００６４】これに対し、上記ステップ９ａにおいて、端末ＴＭ２から到来した不正アクセスのアクセス要求が返答を期待しないアクセス要求であると判定されると、ＣＰＵ２１はステップ９ｄに移行し、ここで不正アクセスに関する履歴情報を作成する。この履歴情報には、不正アクセスの内容を表す情報と発信者のアドレス情報とを挿入する。そして、ステップ９ｅによりこの作成した履歴情報を発信者情報ＤＢ２６に記憶する。なお、上記到来したアクセス要求が返答を期待するアクセス要求であり、警告情報を送信した場合にも、ＣＰＵ２１はステップ９ｄ，９ｅにより不正アクセスに関する履歴情報を作成して発信者情報ＤＢ２６に記憶する。
【００６５】一方、正当アクセス対応制御に移行するとＣＰＵ２１は、次のように処理を実行する。すなわち、図１０に示すように先ずステップ１０ａにより上記正当なアクセス要求が返答を期待するアクセス要求であるか否かを判定する。この判定の結果、到来した正当なアクセス要求が返答を期待しないアクセス要求だったとすると、上記到来した正当なアクセス要求を通信Ｉ／Ｆ２５からそのままサーバ装置ＳＶへ転送させる。
【００６６】これに対し、上記正当なアクセス要求が返答を期待するアクセス要求だったとする。そうするとＣＰＵ２１は、ステップ１０ｂに移行してここで発信者情報ＤＢ２６に記憶されている不正アクセスの履歴情報と照合し、その照合結果をもとにアクセス要求の発信者が過去に不正アクセスを行った経歴を持つ発信者であるか否かをステップ１０ｃで判定する。そして、この前歴判定の結果、発信者に不正アクセスの前歴がなければ、ステップ１０ｆに移行して上記返答を期待するアクセス要求をそのまま通信Ｉ／Ｆ２５からサーバ装置ＳＶへ転送させる。
【００６７】この結果サーバ装置ＳＶでは、上記到来したアクセス要求に応じて例えばウエブ検索が行われ、その検索結果が応答情報として発信元の端末ＴＭ２に向け送信される。この応答情報は不正アクセス警告装置ＡＭを介してそのまま発信元の端末ＴＭ２へ伝送される。
【００６８】これに対し、上記ステップ１０ｃによる前歴判定の結果、発信者に不正アクセスの前歴が見つかったとする。この場合ＣＰＵ２１は、ステップ１０ｄに移行してここで警告情報を作成する。警告情報には、発信者情報ＤＢ２６に記憶されている該当発信者の不正アクセスの履歴情報をもとに、過去に行った不正アクセスの内容を表す情報とこの情報に対応する警告メッセージとが含められる。そして、ステップ１０ｅにより、上記作成された警告情報を応答情報に替えて、上記アクセス要求の発信者の端末ＴＭ２へ送信する。
【００６９】以上述べたように第３の実施形態では、前記第１の実施形態と同様に、不正アクセスが到来した場合にその履歴情報が作成されて発信者情報ＤＢ２６に記憶され、その後同じ発信者から返答を期待する正当なアクセス要求が到来したときに、上記履歴情報をもとに警告情報が作成されて、この警告情報が応答情報に替えて発信者の端末に通知される。
【００７０】したがって、発信者が返答を期待しないプロトコルやブラウザ等を使用しないアクセス手段を用いて不正アクセスを行ったとしても、同じ発信者がその後に、ＨＴＴＰやtelnet、ＦＴＰ、ＩＣＭＰ等のような返答を期待する正当なアクセスを行った時点で、当該発信者に対し警告情報を通知することができる。このため、不正アクセスのみを単発的に行う発信者を除き、不正アクセスを行った多くの発信者に対し高い確率で警告を与えることができるようになり、これにより不正アクセスに対し十分な抑止効果を期待することができる。
【００７１】またこの実施形態では、不正アクセスの検出から不正アクセスの履歴情報の作成と記憶、この履歴情報に基づく警告情報の通知までの一連の処理を、プログラムをＣＰＵ２１に実行させることにより実現している。したがって、判定基準の変更や制御手順及び内容の変更などが必要になった場合に、容易に対応できる利点がある。
【００７２】（第４の実施形態）この発明の第４の実施形態は、上記第３の実施形態と同様に不正アクセスに対する一連の警告処理をソフトウエアにより実現する不正アクセス警告装置において、アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者だった場合に、当該アクセス要求に対しサーバ装置から送信される返答情報に、警告情報を添付或いは挿入して該当する発信者の端末へ送信するように処理するようにしたものである。
【００７３】図１１は、この発明に係わる不正アクセス警告装置の第４の実施形態を説明するためのフローチャートである。なお、不正アクセス警告装置ＡＭの構成については図７と同一なので説明を省略する。
【００７４】正当アクセス対応制御に移行するとＣＰＵ２１は、先ずステップ１１ａにより、端末ＴＭ２から到来した正当なアクセス要求を、そのまま通信Ｉ／Ｆ２５からサーバ装置ＳＶへ転送させる。この結果サーバ装置ＳＶでは、上記到来したアクセス要求に応じて例えばウエブ検索が行われ、その検索結果が応答情報として発信元の端末ＴＭ２に向け送信される。
【００７５】次に、ＣＰＵ２１はステップ１１ｂにより、上記正当なアクセス要求が返答を期待するアクセス要求であるか否かを判定する。この判定の結果、到来した正当なアクセス要求が返答を期待しないアクセス要求だったとすると、そのまま処理を終了する。
【００７６】これに対し、上記正当なアクセス要求が返答を期待するアクセス要求だったとする。そうするとＣＰＵ２１は、ステップ１１ｃに移行してここで発信者情報ＤＢ２６に記憶されている不正アクセスの履歴情報と照合し、その照合結果をもとにアクセス要求の発信者が過去に不正アクセスを行った経歴を持つ発信者であるか否かをステップ１１ｄで判定する。そして、この判定の結果、発信者に不正アクセスの前歴がなければ、ステップ１１ｈに移行してサーバ装置ＳＶから到来する応答情報をそのまま通信Ｉ／Ｆ２４から発信者の端末ＴＭ２へ転送する。
【００７７】一方、上記ステップ１１ｄによる前歴判定の結果、発信者に不正アクセスの前歴が見つかったとする。この場合ＣＰＵ２１は、ステップ１１ｅに移行してここで警告情報を作成する。警告情報には、発信者情報ＤＢ２６に記憶されている該当発信者の不正アクセスの履歴情報をもとに、過去に行った不正アクセスの内容を表す情報とこの情報に対応する警告メッセージとが含められる。そして、ステップ１１ｆにおいて、サーバ装置ＳＶから到来する応答情報に上記作成された警告情報を添付或いは挿入し、この警告情報が添付或いは挿入された応答情報をステップ１１ｇにより発信者の端末ＴＭ２へ送信する。
【００７８】なお、前歴の判定を終了するまでの間にサーバ装置ＳＶからアクセス要求に対する応答情報が到来した場合には、この応答情報を一時保持しておく。そして、前歴の判定により発信者に不正アクセスの前歴があった場合には、警告情報を上記保持しておいた応答情報に添付或いは挿入して発信者の端末へ送信するように構成するとよい。
【００７９】以上述べたように第４の実施形態では、前記第２の実施形態と同様に、アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者だった場合に、当該アクセス要求に対しサーバ装置ＳＶが返送する返答情報に、上記過去の不正アクセスに対する警告情報を付加或いは挿入して該当する発信者の端末ＴＭ２へ送信するようにしている。
【００８０】したがって第４の実施形態によれば、サーバ装置ＳＶから発信者への返答情報の送信を制限することなく、発信者に対し過去の不正アクセスに対する警告を通知することができる。このため、発信者の不慣れや誤操作が原因となって結果的に不正アクセスが行われた場合に、当該発信者に対し緩やかな注意を促すことが可能となる。
【００８１】（その他の実施形態）前記各実施形態では、不正アクセスの履歴情報をその作成順に発信者情報ＤＢ１６又は２６に記憶する場合を例にとって説明した。しかしそれに限らず、１個の履歴情報を記憶するごとに並べ替え処理を行って発信者ごとに整理した状態で記憶するようにしてもよい。
【００８２】また、警告情報を作成する際には、該当する発信者の最新の不正アクセスの内容を表す情報だけでなく、上記発信者ごとに整理された履歴情報をもとに、該当する発信者に係わる過去のすべての不正アクセスの内容を表す情報を警告情報に含めて発信者に通知するようにしてもよい。さらに、その際に不正アクセスの件数や不正アクセスの悪質度に応じて、異なる警告メッセージを警告情報に含めて通知するようにするとよい。
【００８３】また、アクセス要求の発信者が過去に不正を行った前歴があると判定された場合に、不正アクセスの履歴情報をもとに不正アクセスの悪質度（不正アクセスの回数や頻度を含む）を判定する。そして、この判定された悪質度に応じて、警告情報の通知処理の内容を異ならせるようにしてもよい。
【００８４】例えば、悪質度が所定の基準以下の場合には、発信者から到来したアクセス要求をそのままサーバ装置ＳＶに転送し、このアクセス要求に対するサーバ装置ＳＶからの返答情報に、警告情報を添付或いは挿入して発信者に通知する。一方、悪質度が所定の基準を超えている場合には、発信者から到来したアクセス要求がたとえ正当であっても、この正当なアクセス要求をサーバ装置ＳＶには送らずに破棄して、その応答情報に替えて警告情報を発信者に通知するようにする。
【００８５】このように構成すると、例えば不正アクセスの内容が誤操作によるものと判断される発信者に対しては、サーバ装置ＳＶからの返答情報を利用して、誤操作を指摘する比較的軽い注意を発信者に通知することができる。一方、不正アクセス回数又は頻度が多かったり故意の不正アクセスと判断される発信者に対しては、サーバ装置ＳＶに対するアクセスを遮断しかつ警告メッセージの内容を強いものとすることで、発信者に対しより強い警告を与えることが可能となる。
【００８６】さらに、発信者に対し一度警告情報を通知した後は、当該発信者に対する警告情報の通知を一旦停止し、当該発信者が再度不正アクセスを行った場合に警告情報の通知を再開するように構成するとよい。
【００８７】前記第１乃至第３の実施形態では、通信ネットワークＮＷとサーバ装置ＳＶとの間に不正アクセス警告装置ＡＳを設置した場合を例にとって説明したが、この不正アクセス警告装置（ハードウエア）をサーバ装置ＳＶ内に収容してもよく、また不正アクセス警告装置の警告処理機能を実現するためのプログラム（ソフトウエア）をサーバ装置ＳＶにインストールすることにより、この発明を実施するようにしてもよい。
【００８８】また、第１乃至第３の実施形態では不正アクセス警告装置ＡＳ，ＡＭ内に不正アクセス検出部１４或いは不正アクセス検出プログラム２３ｂを設けた場合を例にとって説明した。しかし、不正アクセス検出部１４或いは不正アクセス検出プログラム２３ｂが例えばサーバ装置ＳＶに既に設けられている場合には、このサーバ装置に設けられている既存の不正アクセス検出部１４或いは不正アクセス検出プログラム２３ｂの判定結果を利用するようにしてもよい。このように構成することで、不正アクセス警告装置ＡＳ，ＡＭの構成の簡略化及びコストダウンが可能となる。
【００８９】また、アクセス要求には、サーバ装置のウエブページを検索するためのアクセス要求の他に、サーバ装置のポートをスキャンするための要求等も含む。その他、サーバ装置の設置場所やその機能と構成、端末の種類やその機能と構成、不正アクセス警告装置の設置場所や構成及びその機能、不正アクセスに対する警告処理の手順とその内容等についても、この発明の要旨を逸脱しない範囲で種々変形して実施できる。
【００９０】
【発明の効果】以上詳述したようにこの発明では、端末からサーバ装置に対する不正アクセス要求が到来した場合に当該不正アクセスに関する履歴情報を作成して記憶する。そして、その後端末からアクセス要求が到来した場合に、このアクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者であるか否かを、上記履歴記憶手段に記憶されている履歴情報をもとに判定し、上記アクセス要求の発信者が過去に不正アクセスを行った経歴のある発信者だった場合には、当該発信者に対し警告情報を通知するように構成している。
【００９１】したがってこの発明によれば、不正アクセスに使用されるプロトコルが如何なるものであっても、その発信者に対し警告を与えることができ、これにより不正アクセスに対し十分な抑止効果が期待できる不正アクセス警告装置、サーバ装置及び警告制御プログラムを提供することができる。
【出願人】 【識別番号】０００００４２２６
【氏名又は名称】日本電信電話株式会社
【住所又は居所】東京都千代田区大手町二丁目３番１号
【出願日】 平成１４年５月１５日（２００２．５．１５）
【代理人】 【識別番号】１０００５８４７９
【弁理士】
【氏名又は名称】鈴江 武彦 （外２名）
【公開番号】 特開２００３−３３０８８７（Ｐ２００３−３３０８８７Ａ）
【公開日】 平成１５年１１月２１日（２００３．１１．２１）
【出願番号】 特願２００２−１４００３２（Ｐ２００２−１４００３２）