[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2015001969A1 - 不正アクセス検知システム及び不正アクセス検知方法 - Google Patents

不正アクセス検知システム及び不正アクセス検知方法 Download PDF

Info

Publication number
WO2015001969A1
WO2015001969A1 PCT/JP2014/066272 JP2014066272W WO2015001969A1 WO 2015001969 A1 WO2015001969 A1 WO 2015001969A1 JP 2014066272 W JP2014066272 W JP 2014066272W WO 2015001969 A1 WO2015001969 A1 WO 2015001969A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication information
unauthorized access
host
unit
program
Prior art date
Application number
PCT/JP2014/066272
Other languages
English (en)
French (fr)
Inventor
満昭 秋山
毅 八木
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to CN201480038116.2A priority Critical patent/CN105359156B/zh
Priority to JP2015525135A priority patent/JP6001781B2/ja
Priority to EP14819369.1A priority patent/EP2998901B1/en
Priority to US14/901,934 priority patent/US10142343B2/en
Publication of WO2015001969A1 publication Critical patent/WO2015001969A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Definitions

  • the present invention relates to an unauthorized access detection system and an unauthorized access detection method.
  • This malware has been confirmed to be infected from various infection routes. For example, by pretending to be an e-mail attachment, the user accidentally clicks and installs it, or disguises general software distributed on a website. Malware, malware pretending to be a P2P file, infection caused by automatically downloading and installing malware when browsing a website containing attack codes with a vulnerable web browser.
  • authentication information for example, account name and password
  • brute-forced login that attempts an brute force combination of account name and password by an attacker
  • the authentication is performed using legitimate authentication information stolen from the user in some way.
  • IPS Intrusion Prevention System
  • malware signatures In response to these malware infections, anti-virus vendors create malware signatures to prevent hosts from being infected with malware. However, since the signature requires detailed analysis of the malware, it takes time to create the signature.
  • DLP Data Loss Prevention or Data Leak Prevention
  • information-centric control see, for example, Non-Patent Documents 2 to 4
  • DLP monitors access and transmission of confidential information, and prevents it when sending it to the outside.
  • the conventional technology has a problem in that it may not be possible to appropriately specify unauthorized access or identify a program that performs unauthorized access.
  • an object of the present invention is to appropriately identify unauthorized access or identify a program that performs unauthorized access.
  • the unauthorized access detection system sets authentication information generated by the generation unit on the host, and generates authentication information to be leaked to the outside.
  • a detection unit that detects access to content using the authentication information, and an access that uses the authentication information is detected by the detection unit, the access unit And a specifying unit that specifies as unauthorized access.
  • the unauthorized access detection method is an unauthorized access detection method executed by an unauthorized access detection system, and includes a generation step for generating authentication information to be leaked to the outside, and the authentication information generated by the generation step on the host.
  • An operation step for setting and operating the analysis target program on the host, a detection step for detecting access to content using the authentication information, and an access using the authentication information detected by the detection step Includes a specifying step of specifying the access as unauthorized access.
  • the unauthorized access detection system includes: a generation unit that generates authentication information; an operation unit that sets authentication information generated by the generation unit on a host device and operates an analysis target program on the host; and the authentication A detection unit that detects unauthorized access to content using information, and a program that operates on a host in which the authentication information is set when the detection unit detects unauthorized access using the authentication information, And a specifying unit that specifies as a program for performing information leakage.
  • the unauthorized access detection method is an unauthorized access detection method executed by the unauthorized access detection system, wherein a generation step for generating authentication information, and authentication information generated by the generation step are set on the host device, An operation step of operating an analysis target program on the host, a detection step of detecting unauthorized access to content using the authentication information, and an unauthorized access using the authentication information detected by the detection step And a specifying step of specifying a program operating on the host in which the authentication information is set as a program for leaking information.
  • the unauthorized access detection system and unauthorized access detection method disclosed in the present application can appropriately identify unauthorized access or a program that performs unauthorized access.
  • FIG. 1 is a diagram illustrating an example of a configuration of an unauthorized access detection system according to the first embodiment.
  • FIG. 2 is a diagram for explaining analysis authentication information leakage processing and processing for monitoring unauthorized access by a service in which analysis authentication information is set in the unauthorized access detection system according to the first embodiment.
  • FIG. 3 is a block diagram showing the configuration of the authentication information management apparatus according to the first embodiment.
  • FIG. 4 is a block diagram showing the configuration of the analysis host according to the first embodiment.
  • FIG. 5 is a block diagram illustrating a configuration of the server according to the first embodiment.
  • FIG. 6 is a diagram for explaining information leakage detection processing using authentication information in the unauthorized access detection system according to the first embodiment.
  • FIG. 1 is a diagram illustrating an example of a configuration of an unauthorized access detection system according to the first embodiment.
  • FIG. 2 is a diagram for explaining analysis authentication information leakage processing and processing for monitoring unauthorized access by a service in which analysis authentication information is set in the unauthorized access detection system according to
  • FIG. 7 is a block diagram showing the configuration of the unauthorized access information management apparatus according to the first embodiment.
  • FIG. 8 is a diagram for explaining processing when filtering a host of an attacker who performs unauthorized access in the unauthorized access detection system according to the first embodiment.
  • FIG. 9 is a diagram illustrating processing for preventing unauthorized access in the unauthorized access detection system according to the first embodiment.
  • FIG. 10 is a flowchart for explaining the flow of unauthorized access detection processing in the server of the unauthorized access detection system according to the first embodiment.
  • FIG. 11 is a diagram illustrating an example of a configuration of an unauthorized access detection system according to the second embodiment.
  • FIG. 12 is a diagram for explaining analysis authentication information leakage processing and processing for monitoring unauthorized access by a service in which analysis authentication information is set in the unauthorized access detection system according to the second embodiment.
  • FIG. 13 is a block diagram showing the configuration of the authentication information management apparatus according to the second embodiment.
  • FIG. 14 is a diagram illustrating an example of a table stored in the analysis authentication information storage unit.
  • FIG. 15 is a block diagram illustrating a configuration of an analysis host according to the second embodiment.
  • FIG. 16 is a diagram for explaining analysis processing using single and plural pieces of authentication information.
  • FIG. 17 is a block diagram illustrating a configuration of a server according to the second embodiment.
  • FIG. 18 is a diagram for explaining information leakage detection processing using authentication information in the unauthorized access detection system according to the second embodiment.
  • FIG. 19 is a diagram for explaining a process for identifying malware that leaks information in the unauthorized access detection system according to the second embodiment.
  • FIG. 20 is a flowchart for explaining the flow of unauthorized access detection processing in the server of the unauthorized access detection system according to the second embodiment.
  • FIG. 21 is a diagram illustrating a computer that executes an unauthorized access detection program.
  • FIG. 1 is a diagram illustrating an example of a configuration of an unauthorized access detection system according to the first embodiment.
  • the unauthorized access detection system 100 includes an authentication information management device 10, an analysis host 20, server groups 30A to 30C, and an unauthorized access information management device 40.
  • the authentication information management apparatus 10 the analysis host 20, and the server groups 30A to 30C are connected via the Internet 50, respectively.
  • the server groups 30A to 30C are referred to as servers 30 when a single server is described without particular distinction.
  • the authentication information management device 10 generates authentication information for analysis, and manages the correspondence between the generated authentication information and a program for setting the authentication information. Also, the authentication information management apparatus 10 transmits to the analysis host 20. At this time, the generated authentication information corresponds to each of the servers 30A to 30C, and service site information, an account name, and a password are generated as the authentication information.
  • the service site information is information on servers that provide services for monitoring unauthorized access using authentication information for analysis, and is, for example, the IP addresses or FQDNs of the server groups 30A to 30C. In addition, the account name and password are randomly generated and are not actually used.
  • the server groups 30A to 30C are servers that manage Web site contents, and are servers that allow unauthorized access by using authentication information that is intentionally leaked to an attacker. For example, when there is an access using the leaked authentication information, the server groups 30A to 30C specify that the access is unauthorized access, and host information (for example, the attacker who performed the unauthorized access) IP address) is acquired and transmitted to the unauthorized access information management apparatus 40.
  • host information for example, the attacker who performed the unauthorized access
  • the unauthorized access management device 40 manages host information of an attacker who has performed unauthorized access, and transmits the host information to the server groups 30A to 30C. As a result, the host of the attacker who made unauthorized access to the server groups 30A to 30C is targeted for filtering in various services.
  • the analysis host 20 first sets the authentication information generated by the authentication information management apparatus 10 as the authentication information of a specific service on the analysis host, and operates the program.
  • the analyzed program is a malware that leaks information, it accesses a file or registry in which the authentication information is stored (see (1) in FIG. 2).
  • the analysis host 20 secretly leaks the authentication information to an external attacker without the user's consent (see (2) in FIG. 2).
  • FIG. 3 is a block diagram showing the configuration of the authentication information management apparatus according to the first embodiment.
  • the authentication information management apparatus 10 includes a communication processing unit 11, a control unit 12, and a storage unit 13.
  • the communication processing unit 11 controls communication related to various information exchanged between the analysis host 20 and the server groups 30A to 30C to be connected. For example, the communication processing unit 11 transmits the generated authentication information to the analysis host 20. Further, for example, the communication processing unit 11 receives authentication information used for unauthorized access from the server groups 30A to 30C.
  • the storage unit 13 includes an analysis authentication information storage unit 13a as shown in FIG.
  • the storage unit 13 is, for example, a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory
  • a storage device such as a hard disk or an optical disk.
  • the analysis authentication information storage unit 13a stores a table in which a correspondence relationship between the authentication authentication information generated by the generation unit 12a described later and a program in which the authentication information is set is defined.
  • the analysis authentication information storage unit 13a stores, for example, an account name that is not used in an actual service.
  • the analysis authentication information storage unit 13a stores a sufficiently complex character string that is difficult to guess as a password. This is to identify a brute force login attack when identifying whether or not the information is leaked during login.
  • control unit 12 includes a generation unit 12a and a management unit 12b.
  • control unit 12 is an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit) or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • CPU Central Processing Unit
  • MPU Micro Processing Unit
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • the generation unit 12a generates authentication information that is leaked to the outside.
  • the generation unit 12a is a combination of the IP addresses or FQDNs of the server groups 30A to 30C and randomly generated account names and passwords as analysis authentication information to be leaked to the attacker.
  • the generated authentication information may correspond to various types of services, such as SSH (Secure SHell), FTP (File Transfer Protocol), POP (Post Office Protocol), and the like.
  • the generated authentication authentication information is a sufficiently long unique character string that is randomly generated.
  • the management unit 12b transmits the authentication information generated by the generation unit 12a to the analysis host 20.
  • the authentication information transmitted here is set on the analysis host 20 and executes the analysis target program. Further, the management unit 12b receives a set of authentication information corresponding to the program executed by the analysis host 20, and associates the authentication information with a set of authentication information corresponding to the program in the analysis authentication information storage unit 13a. Store.
  • FIG. 4 is a block diagram showing the configuration of the analysis host according to the first embodiment.
  • the analysis host 20 includes a communication processing unit 21, a control unit 22, and a storage unit 23.
  • the communication processing unit 21 controls communication related to various types of information exchanged with the authentication information management apparatus 10 and the server groups 30A to 30C to be connected. For example, the communication processing unit 21 receives authentication information from the authentication information management apparatus 10. For example, the communication processing unit 21 transmits authentication information to an external attacker. When the authentication information is received from the authentication information management apparatus 10, the received authentication information is stored in an analysis authentication information storage unit 23a described later.
  • the storage unit 23 includes an analysis authentication information storage unit 23a as shown in FIG.
  • the storage unit 23 is, for example, a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory
  • a storage device such as a hard disk or an optical disk.
  • the analysis authentication information storage unit 23a stores the authentication information for analysis generated by the authentication information management apparatus 10 described above.
  • the analysis authentication information storage unit 23a stores service site information, an account name, a password, and the like as authentication information used for analysis.
  • the service site information is, for example, information related to the servers 30A to 30C that provide services for monitoring unauthorized access using the authentication information for analysis.
  • the IP address or FQDN (Fully Qualified Domain Name) is used. is there.
  • the analysis authentication information storage unit 23a stores, for example, an account name that is not used in an actual service.
  • the analysis authentication information storage unit 23a stores a sufficiently complex character string that is difficult to guess as a password. This is to identify a brute force login attack when identifying whether or not the information is leaked during login.
  • control unit 22 includes a setting unit 22a and an operation unit 22b.
  • control unit 22 is an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit) or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • CPU Central Processing Unit
  • MPU Micro Processing Unit
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • the setting unit 22a sets the authentication information generated by the generation unit 12a of the authentication information management apparatus 10 as authentication information of a specific service. For example, the setting unit 22a acquires authentication information from the analysis authentication information storage unit 23a, and sets the acquired authentication information as authentication information for a specific service.
  • the operation unit 22b operates a service client application (SSH, FTP, POP, etc.) as an analysis target program on the analysis host 20 in which the authentication information is set by the setting unit 22a. Then, the operating unit 22b notifies the set of authentication information corresponding to the executed program.
  • the operated program is a malware that leaks information
  • the authentication information to be leaked may be any kind of service, as long as it is possible to confirm whether or not there is a login of the leaked authentication information on the server 30 side providing the service.
  • the service may be prepared for analysis or an actual service may be used.
  • FIG. 5 is a block diagram illustrating a configuration of the server according to the first embodiment.
  • the server 30 includes a communication processing unit 31, a control unit 32, and a storage unit 33.
  • the communication processing unit 31 controls communication related to various types of information exchanged with the connected authentication information management apparatus 10, the analysis host 20, and the like. For example, the communication processing unit 31 transmits authentication information used for unauthorized access to the authentication information management apparatus 10. Further, the communication processing unit 31 receives the analysis authentication information from the authentication information management apparatus 10. The analysis authentication information received here is stored in the analysis authentication information storage unit 33a.
  • the storage unit 33 includes an analysis authentication information storage unit 33a and an unauthorized host information storage unit 33b.
  • the storage unit 33 is, for example, a semiconductor memory device such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • the analysis authentication information storage unit 33a stores a list of analysis authentication information generated by the authentication information management apparatus 10 described above.
  • the list of authentication information stored in the analysis authentication information storage unit 33a is used by the detection unit 32a described later to determine whether or not the login is unauthorized access.
  • the analysis authentication information storage unit 33a stores service site information, an account name, a password, and the like as authentication information used for analysis.
  • the service site information is, for example, information related to the server 30 that provides a service for monitoring unauthorized access using analysis information for analysis, and is, for example, an IP address or an FQDN (Fully Qualified Domain Name).
  • the analysis authentication information storage unit 33a stores, for example, an account name that is not used in an actual service. Further, the analysis authentication information storage unit 33a stores a sufficiently complex character string that is difficult to guess as a password. This is to identify a brute force login attack when identifying whether or not the information is leaked during login.
  • the unauthorized host information storage unit 33b stores information on the host that performed unauthorized access.
  • the unauthorized host information storage unit 33b stores an IP address as information on the host that performed unauthorized access.
  • control unit 32 includes a detection unit 32a, a specification unit 32b, a storage unit 32c, and an access prevention unit 32d.
  • control unit 32 is an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit), or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • CPU Central Processing Unit
  • MPU Micro Processing Unit
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • the detection unit 32 a detects access to content using the authentication information generated by the generation unit 12 a of the authentication information management device 10. Specifically, the detection unit 32a determines whether the authentication information used for accessing the content matches the authentication information stored in the analysis authentication information storage unit 33a.
  • the specifying unit 32b specifies the access as unauthorized access. For example, when the login event occurs for the content for which the analysis account corresponding to the analysis authentication information is prepared, the specifying unit 32b displays the authentication information used for the login as the analysis authentication information storage unit. It is determined whether it is included in the authentication authentication information stored in 33a.
  • the identification unit 32b identifies the login as unauthorized access when the authentication information used for login is included in the list of analysis authentication information stored in the analysis authentication information storage unit 33a. Authentication information used for unauthorized access is transmitted to the authentication information management apparatus 10.
  • the storage unit 32c acquires information on the host that performed the access specified as the unauthorized access by the specifying unit 32b, and stores the acquired information in the unauthorized host information storage unit 33b. In addition, the storage unit 32 c transmits the acquired host information to the unauthorized access information management device 40.
  • the access prevention unit 32d detects access from the host specified by the host information stored in the unauthorized host information storage unit 33b, and prevents access from the host. For example, the access prevention unit 32d determines whether or not the host that attempts to log in is included in the attacker host information. If the host is included as a result of the determination, the access preventing unit 32d determines that the login is by the attacker and logs in. Cut off.
  • FIG. 6 is a diagram for explaining information leakage detection processing using authentication information in the unauthorized access detection system according to the first embodiment.
  • the authentication information management apparatus 10 of the unauthorized access detection system 100 performs unique analysis authentication information (a set of a server providing service, an account name and password information) every time a program is analyzed. (See (1) of FIG. 6).
  • the generated authentication authentication information is set on the analysis host 20 that executes the program (see (2) in FIG. 6), and the analysis target program is executed (see (3) in FIG. 6).
  • the analysis host 20 notifies the authentication information management apparatus 10 of a set of authentication information corresponding to the executed program (see (4) in FIG. 6).
  • the authentication information management apparatus 10 generates and notifies the generated analysis authentication information to the server 30 that provides the service (see (5) in FIG. 6).
  • the analysis host 20 transmits the set analysis authentication information to the attacker in the case of malware in which the information leaks (see (6) in FIG. 6). At this point, it is not necessary to identify whether the program has leaked information.
  • the attacker uses the leaked authentication information to make unauthorized access to the service and try to log in (see (7) in FIG. 6).
  • the server 30 that provides the service identifies whether or not the login is a login using analysis authentication information. If the login is using the analysis authentication information, the server 30 detects unauthorized access. (See (8) in FIG. 6). At this time, by acquiring and storing information of the host that performed unauthorized access, the host information is subject to filtering in various services.
  • the communication processing unit 41 controls communication related to various information exchanged with the authentication information management apparatus 10, the analysis host 20, the server 30, and the like connected thereto.
  • the communication processing unit 31 receives information on the host that performed unauthorized access from the server 30.
  • the communication processing unit 41 transmits information on the host that performed unauthorized access to the server groups 30A to 30C.
  • the storage unit 43 includes an unauthorized host information storage unit 43a and a server information storage unit 43b.
  • the storage unit 43 is, for example, a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • the unauthorized host information storage unit 43a stores a list of host information on which unauthorized access has been made (hereinafter sometimes referred to as an attacker host information list). For example, the unauthorized host information storage unit 43a stores IP addresses as a list of host information that has made unauthorized access.
  • the information stored here is a list of host information collected from the server groups 30A to 30C.
  • the server information storage unit 43b stores address information of a server that notifies information of a host that has performed unauthorized access.
  • the information stored here is referred to when the transmission unit 42b described later transmits information on the host that has performed unauthorized access to the server 30.
  • control unit 42 includes a storage unit 42a and a transmission unit 42b.
  • control unit 42 is an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit) or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • CPU Central Processing Unit
  • MPU Micro Processing Unit
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • the storage unit 42a receives the information on the host that performed the unauthorized access transmitted from the server 30, and stores the information on the host that performed the unauthorized access in the unauthorized host information storage unit 43a.
  • the storage unit 42a stores the IP address in the unauthorized host information storage unit 43a as information on the host that performed unauthorized access, and updates the attacker host information list.
  • the attacker host information list that can be collected when it is determined that unauthorized access is made in a service using analysis authentication information can be applied to services that use various actual authentication information. If the service is limited to in-house systems or users, by limiting the IP address of the host, etc., unauthorized access due to leaking account information can be prevented to some extent. For example, in the case of an in-house system, it can be protected by logging in only from an in-house IP address. However, a service used by an unspecified number of users has a large number of hosts that log in and IP addresses are distributed, and therefore, measures cannot be taken by restricting the user's IP address in advance. In the present embodiment, the present invention may be applied to a service used by the latter unspecified majority, for example, a mail service, an Internet shopping service, a social network service, a blog service, and the like.
  • the transmission unit 42b transmits information on the host that performed unauthorized access to each of the servers 30A to 30C.
  • the transmission unit 42b refers to the address information of the server 30 stored in the server information storage unit 43b, and transmits information on the host that performed unauthorized access to each of the servers 30A to 30C.
  • FIG. 8 is a diagram for explaining processing when filtering a host of an attacker who performs unauthorized access in the unauthorized access detection system according to the first embodiment.
  • the server 30A providing the service detects unauthorized access using the analysis authentication information (see (1) in FIG. 8)
  • the attacker's host information is used as the unauthorized access management device 40. (See (2) in FIG. 8).
  • the unauthorized access management device 40 transmits host information of an attacker who performs unauthorized access to other servers (server 30B, server 30C) (see (3) in FIG. 8).
  • server 30A-30C receiving the attacker information receives unauthorized access (see (4) in FIG. 8)
  • it compares the host information of the attacker with the host information at the time of login based on that information.
  • a plurality of types of servers 30 that provide services may be present or a single server.
  • the server 30 that provides a specific service is operated and the login is observed. At this time, if login using the authentication information leaked by the attacker is performed (see (3) in FIG. 9), the server 30 determines that this is unauthorized access ((4 in FIG. 9). )reference). Unauthorized access can be prevented by using host information that has been illegally accessed for access filtering of other services.
  • FIG. 10 is a flowchart for explaining the flow of unauthorized access detection processing in the server of the unauthorized access detection system according to the first embodiment.
  • the storage unit 32c determines whether or not the attacker host information has been received from the unauthorized access information management device 40 (step S103). As a result, when the host part 32c of the attacker is not received from the unauthorized access information management device 40 (No at Step S103), the storage unit 32c proceeds to the process at Step S105. In addition, when receiving the host information of the attacker from the unauthorized access information management device 40 (Yes at Step S103), the storage unit 32c stores the host information in the unauthorized host information storage unit 33b, thereby making a comparison attack. The host information list is updated (step S104).
  • the detection unit 32a determines whether or not a login event has occurred for the content for which the analysis account corresponding to the analysis authentication information is prepared (step S105). As a result, if the login event has not occurred (No at Step S105), the process returns to Step S101. In addition, when a login event occurs (Yes at Step S105), the detection unit 32a determines whether the authentication information used for the login is included in the analysis authentication information stored in the analysis authentication information storage unit 33a. (Step S106).
  • the specifying unit 32b determines that the login is unauthorized access. (Step S107). Subsequently, the specifying unit 32b notifies the authentication information management apparatus 10 of authentication information used for unauthorized access (step S108), and proceeds to the process of step S112.
  • step S106 if the authentication information used for login is not included in the analysis authentication information stored in the analysis authentication information storage unit 33a (No in step S106), the access prevention unit 32d It is determined whether the host that tries to be included in the attacker host information (step S109). As a result, if the access prevention unit 32d determines that the host attempting login is not included in the attacker host information (No at Step S109), the access prevention unit 32d determines that the login is normal access (Step S110) and Step S112. Proceed to the process. Further, when the access prevention unit 32d determines that the host that attempts to log in is included in the attacker host information (Yes in Step S109), the access prevention unit 32d determines that the attacker has logged in and blocks the login (Step S111). The process proceeds to step S112.
  • step S112 the detection unit 32a determines whether or not to continue monitoring unauthorized access (step S112). As a result, when it is determined that the monitoring of unauthorized access is continued (Yes at Step S112), the detection unit 32a returns to Step S101. If the detection unit 32a determines not to continue monitoring unauthorized access (No at step S112), the process ends.
  • the unauthorized access detection system 100 As described above, the unauthorized access detection system 100 according to the first embodiment generates authentication information to be leaked to the outside, sets the generated authentication information on the host, and executes the analysis target program on the host. Make it work.
  • the unauthorized access detection system 100 detects access to content using authentication information, and when access using authentication information is detected, the access is identified as unauthorized access. For this reason, it is possible to appropriately detect and prevent unauthorized access using the leaked authentication information.
  • the present embodiment is not limited to this.
  • malware that leaks information may be specified. Therefore, in the following, as a second embodiment, when the unauthorized access detection system detects unauthorized access to content using authentication information and the unauthorized access using authentication information is detected, the authentication information is An example in which a program that operates on a set host is specified as a program that leaks information will be described.
  • FIG. 11 is a diagram illustrating an example of a configuration of an unauthorized access detection system according to the second embodiment.
  • the unauthorized access detection system 200 includes an authentication information management device 210, an analysis host 220, and server groups 230A to 230C.
  • the authentication information management apparatus 210, the analysis host 220, and the server groups 230A to 230C are connected via the Internet 240, respectively.
  • the server groups 230A to 230C are referred to as servers 230 when a single server is described without particular distinction.
  • the authentication information management device 210 generates authentication information for analysis, and manages the correspondence between the generated authentication information and a program for setting the authentication information.
  • the authentication information management apparatus 210 transmits to the analysis host 220.
  • the generated authentication information corresponds to each of the servers 230A to 230C, and service site information, an account name, and a password are generated as the authentication information.
  • the service site information is information on servers that provide services for monitoring unauthorized access using authentication information for analysis, and is, for example, the IP addresses or FQDNs of the server groups 230A to 230C.
  • the account name and password are randomly generated and are not actually used.
  • the authentication information management apparatus 210 when the authentication information management apparatus 210 receives authentication information used for unauthorized access from the server groups 230A to 230C, the authentication information management apparatus 210 identifies a program corresponding to the received authentication information as a program for performing information leakage.
  • the server groups 230A to 230C are servers that manage the contents of the Web site, and are servers that allow unauthorized access using the authentication information that was intentionally leaked to the attacker. For example, if there is an access using the leaked authentication information, the server groups 230A to 230C identify that the access is unauthorized access and notify the authentication information management apparatus 210 of the used authentication information. .
  • FIG. 12 is a diagram for explaining analysis authentication information leakage processing and processing for monitoring unauthorized access by a service in which analysis authentication information is set in the unauthorized access detection system according to the second embodiment.
  • the analysis host 220 first sets the authentication information generated by the authentication information management device 210 as the authentication information of a specific service on the analysis host, and operates the program.
  • the analyzed program is a malware that leaks information, it accesses a file or registry in which the authentication information is stored (see (1) in FIG. 12). Then, the analysis host 220 secretly leaks the authentication information to an external attacker without the user's consent (see (2) in FIG. 12).
  • server groups 230A to 230C that provide a specific service are operated, and login is observed. At this time, if login using the authentication information leaked by the attacker is performed (see (3) in FIG. 12), the server groups 230A to 230C determine that this is unauthorized access (FIG. 12). (Refer to (4)).
  • the program corresponding to the authentication information used for unauthorized access is specified as a program for leaking information.
  • FIG. 13 is a block diagram showing the configuration of the authentication information management apparatus according to the second embodiment.
  • the authentication information management apparatus 210 includes a communication processing unit 211, a control unit 212, and a storage unit 213.
  • the storage unit 213 includes an analysis authentication information storage unit 213a and a malicious program storage unit 213b as shown in FIG.
  • the storage unit 213 is, for example, a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory
  • a storage device such as a hard disk or an optical disk.
  • the analysis authentication information storage unit 213a stores a table in which a correspondence relationship between analysis authentication information generated by the generation unit 212a described later and a program in which the authentication information is set is defined.
  • the analysis authentication information storage unit 213 a includes an “analysis program” that is information for identifying a program to be analyzed and a “client application” that indicates the type of application running on the analysis host 220
  • authentication information which is information for identifying the generated authentication information, is stored in association with each other.
  • the analysis authentication information storage unit 213a stores service site information, an account name, a password, and the like.
  • the service site information is, for example, information related to the servers 230A to 230C that provide services for monitoring unauthorized access using the authentication information for analysis.
  • the IP address or FQDN is used. is there.
  • the analysis authentication information storage unit 213a stores, for example, an account name that is not used in an actual service.
  • the analysis authentication information storage unit 213a stores a sufficiently complex character string that is difficult to guess as a password. This is to identify a brute force login attack when identifying whether or not the information is leaked during login.
  • the malicious program storage unit 213b stores information for identifying a malicious program that leaks information. Specifically, the malicious program storage unit 213b stores information for identifying the malicious program specified by the specifying unit 212c described later.
  • control unit 212 includes a generation unit 212a, a management unit 212b, a specification unit 212c, and a collection unit 212d.
  • control unit 212 is an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit) or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • CPU Central Processing Unit
  • MPU Micro Processing Unit
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • the generation unit 212a generates authentication information that is leaked to the outside.
  • the generation unit 212a is a combination of the IP addresses or FQDNs of the server groups 230A to 230C and randomly generated account names and passwords as analysis authentication information to be leaked to the attacker.
  • the generated authentication information may correspond to various types of services, such as SSH (Secure SHell), FTP (File Transfer Protocol), POP (Post Office Protocol), and the like.
  • the server 230 that provides the service accurately distinguishes between brute force logins (logins that attempt to brute force account names and passwords that can be combined by attackers) and logins that use leaked authentication information. Therefore, it is desirable that the generated authentication authentication information is a sufficiently long unique character string that is randomly generated.
  • the management unit 212b transmits the authentication information generated by the generation unit 212a to the analysis host 220.
  • the authentication information transmitted here is set on the analysis host 220 and executes the analysis target program.
  • the management unit 212b receives a set of authentication information corresponding to the program executed by the analysis host 220, and stores the authentication information and the set of authentication information corresponding to the program in the analysis authentication information storage unit 213a in association with each other. To do.
  • the identification unit 212c identifies, as an information leakage program, a program that operates on the analysis host 220 in which the authentication information is set when unauthorized access is detected to the authentication information by the detection unit 232a of the server 230 described later. To do. For example, when receiving the authentication information used for unauthorized access from the server groups 230A to 230C, the specifying unit 212c refers to the table stored in the analysis authentication information storage unit 233a and loads a program corresponding to the authentication information. The program is acquired and specified as a program for information leakage.
  • FIG. 15 is a block diagram illustrating a configuration of an analysis host according to the second embodiment.
  • the analysis host 220 includes a communication processing unit 221, a control unit 222, and a storage unit 223.
  • the communication processing unit 221 controls communication related to various types of information exchanged with the authentication information management apparatus 210 and the server groups 230A to 230C to be connected. For example, the communication processing unit 221 receives authentication information from the authentication information management device 210. For example, the communication processing unit 221 transmits authentication information to an external attacker. When the authentication information is received from the authentication information management apparatus 210, the received authentication information is stored in the analysis authentication information storage unit 223a described later.
  • the storage unit 223 includes an analysis authentication information storage unit 223a as shown in FIG.
  • the storage unit 223 is, for example, a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory
  • a storage device such as a hard disk or an optical disk.
  • the analysis authentication information storage unit 223a stores the authentication information for analysis generated by the authentication information management apparatus 210 described above.
  • the analysis authentication information storage unit 223a stores service site information, an account name, a password, and the like as authentication information used for analysis.
  • the service site information is, for example, information related to the servers 230A to 230C that provide services for monitoring unauthorized access using the authentication information for analysis.
  • the IP address or FQDN (Fully Qualified Domain Name) is used. is there.
  • the analysis authentication information storage unit 223a stores, for example, an account name that is not used in an actual service.
  • the analysis authentication information storage unit 223a stores a sufficiently complex character string that is difficult to guess as a password. This is to identify a brute force login attack when identifying whether or not the information is leaked during login.
  • control unit 222 includes a setting unit 222a and an operation unit 222b.
  • the controller 222 is an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit), or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • CPU Central Processing Unit
  • MPU Micro Processing Unit
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • the setting unit 222a sets the authentication information generated by the generation unit 212a of the authentication information management apparatus 210 as authentication information of a specific service. For example, the setting unit 222a acquires authentication information from the analysis authentication information storage unit 223a, and sets the acquired authentication information as authentication information of a specific service.
  • the operation unit 222b operates a client application (SSH, FTP, POP, etc.) of the service as an analysis target program on the analysis host 220 in which the authentication information is set by the setting unit 222a. Then, the operation unit 222b notifies the set of authentication information corresponding to the executed program.
  • the operated program is a malware that leaks information
  • the authentication information to be leaked may be any type of service, as long as it is possible to confirm whether or not there is a login of the leaked authentication information on the server 230 side that provides the service.
  • the service may be prepared for analysis or an actual service may be used.
  • the analysis host 220 sets “analysis authentication information A” to “SSH client application setting file”. And “Program 1” is operated.
  • the different analysis host 220 sets “analysis authentication information B” to “setting file of FTP client application” and operates “program 2”.
  • the analysis host 220 sets “analysis authentication information C” to “SSH client application setting file”. And “analysis authentication information D” is set in “FTP client application setting file”, and “analysis authentication information E” is set in “POP client application setting registry” and “ Run program 3 ".
  • FIG. 17 is a block diagram illustrating a configuration of a server according to the second embodiment.
  • the server 230 includes a communication processing unit 231, a control unit 232, and a storage unit 233.
  • the communication processing unit 231 controls communication related to various types of information exchanged with the connected authentication information management apparatus 210, the analysis host 220, and the like. For example, the communication processing unit 231 transmits authentication information used for unauthorized access to the authentication information management apparatus 210. In addition, the communication processing unit 231 receives the authentication authentication information from the authentication information management apparatus 210. The analysis authentication information received here is stored in the analysis authentication information storage unit 233a.
  • the storage unit 233 includes an analysis authentication information storage unit 233a as shown in FIG.
  • the storage unit 233 is, for example, a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory
  • a storage device such as a hard disk or an optical disk.
  • the analysis authentication information storage unit 233a stores a list of analysis authentication information generated by the authentication information management apparatus 210 described above.
  • the list of authentication information stored in the analysis authentication information storage unit 233a is used by the detection unit 232a described later to determine whether or not the login is unauthorized access.
  • the analysis authentication information storage unit 233a stores service site information, an account name, a password, and the like as authentication information used for analysis.
  • the service site information is, for example, information related to the server 230 that provides a service for monitoring unauthorized access that uses authentication information for analysis, and is, for example, an IP address or FQDN (Fully Qualified Domain Name).
  • the analysis authentication information storage unit 233a stores, for example, an account name that is not used in an actual service.
  • the analysis authentication information storage unit 233a stores a sufficiently complex character string that is difficult to guess as a password. This is to identify a brute force login attack when identifying whether or not the information is leaked during login.
  • control unit 232 includes a detection unit 232a and a deletion unit 232b.
  • control unit 232 is an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit) or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • CPU Central Processing Unit
  • MPU Micro Processing Unit
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • the detection unit 232a detects unauthorized access to content using the authentication information generated by the generation unit 212a of the authentication information management apparatus 210. Specifically, the detection unit 232a determines whether the authentication information used for accessing the content matches the authentication information stored in the analysis authentication information storage unit 233a. Detect.
  • the detection unit 232a determines that the login is unauthorized access, Authentication information used for unauthorized access is transmitted to the authentication information management apparatus 210.
  • the detection unit 232a determines that the login is normal access.
  • the deleting unit 232b detects the program specified by the specifying unit 212c of the authentication information management apparatus 210, and when detecting the program, deletes the program.
  • the deletion unit 232b uses a program that performs information leakage as a method for preventing an actual host from being damaged by information leakage. Execution can be prohibited on the host.
  • the program is registered as a file signature of a host-based intrusion detection system or anti-virus software, and prohibited or deleted when a file exists on the host or when an attempt is made to execute it.
  • the program can be prohibited from being downloaded from the network. Monitoring is performed by a network-based intrusion detection system, a Web proxy, a mail server, etc., and a file downloaded from an external network is inspected. If the program is included, the download is prohibited.
  • FIG. 18 is a diagram for explaining information leakage detection processing using authentication information in the unauthorized access detection system according to the second embodiment.
  • the authentication information management apparatus 210 of the unauthorized access detection system 200 has unique analysis authentication information (a combination of a server name providing a service, an account name and password information) each time a program is analyzed. Is generated and notified (see (1) in FIG. 18).
  • the generated authentication authentication information is set on the analysis host 220 that executes the program (see (2) in FIG. 18), and the analysis target program is executed (see (3) in FIG. 18).
  • the analysis host 220 notifies the authentication information management apparatus 210 of a set of authentication information corresponding to the executed program (see (4) in FIG. 18).
  • the authentication information management apparatus 210 generates and notifies the generated authentication information for analysis to the server 230 that provides the service (see (5) in FIG. 18).
  • the analysis host 220 transmits the set analysis authentication information to the attacker if the program is malware that leaks information (see (6) in FIG. 18). At this point, it is not necessary to identify whether the program has leaked information.
  • the attacker uses the leaked authentication information to make unauthorized access to the service and try to log in (see (7) in FIG. 18).
  • the server 230 that provides the service identifies whether or not the login is a login using analysis authentication information. If the login is using the analysis authentication information, the server 230 detects unauthorized access. (See (8) in FIG. 18). Since the analysis program can be identified from the analysis authentication information used at this time, it can be seen that the program is a program that leaks information.
  • FIG. 19 is a diagram for explaining a process for identifying malware that leaks information in the unauthorized access detection system according to the second embodiment.
  • the analysis host 220 sets the authentication information generated by the authentication information management apparatus 210 as authentication information of a specific service on the analysis host 220, and performs analysis when the program is operated.
  • the program to be executed is a malware that leaks information
  • it accesses a file or registry in which the aforementioned authentication information is stored (see (1) in FIG. 19).
  • the analysis host 220 secretly leaks the authentication information to an external attacker without the user's consent (see (2) in FIG. 19).
  • the server 230 that provides a specific service is operated and the login is observed.
  • the server 230 determines that this is unauthorized access ((4 in FIG. 19). )reference).
  • the authentication information used for unauthorized access it is possible to specify the program that has been set and analyzed, and it can be determined that this program has leaked information. For this reason, it is possible to accurately identify malware that leaks information.
  • FIG. 20 is a flowchart for explaining the flow of unauthorized access detection processing in the server of the unauthorized access detection system according to the second embodiment.
  • the detection unit 232a determines whether or not a login event has occurred for the content for which the analysis account corresponding to the analysis authentication information is prepared (step S203). As a result, when the login event has not occurred (No at Step S203), the process returns to Step S201. In addition, when a login event occurs (Yes in step S203), the detection unit 232a determines whether the authentication information used for the login is included in the analysis authentication information stored in the analysis authentication information storage unit 233a. (Step S204).
  • step S204 when the authentication information used for login is not included in the analysis authentication information stored in the analysis authentication information storage unit 233a (No in step S204), the detection unit 232a determines that the login is normal access. Determination is made (step S206), and the process of step S208 described later is performed. If the authentication information used for login is included in the analysis authentication information stored in the analysis authentication information storage unit 233a (Yes in step S204), the detection unit 232a determines that the login is unauthorized access (step S204). Step S205).
  • the detection unit 232a notifies the authentication information management apparatus 210 of authentication information used for unauthorized access (step S207), and determines whether or not to continue monitoring unauthorized access (step S208). As a result, if the detection unit 232a determines to continue monitoring unauthorized access (Yes at step S208), the detection unit 232a returns to step S201. If the detection unit 232a determines not to continue monitoring unauthorized access (No at step S208), the process ends.
  • a program that performs information leakage can be accurately identified without analyzing the code that performs information leakage, the behavior of the program, or the contents of communication that the program transmits to the outside.
  • each component of each illustrated apparatus is functionally conceptual, and does not necessarily need to be physically configured as illustrated.
  • the specific form of distribution / integration of each device is not limited to that shown in the figure, and all or a part thereof may be functionally or physically distributed or arbitrarily distributed in arbitrary units according to various loads or usage conditions. Can be integrated and configured.
  • the generation unit 12a and the management unit 12b may be integrated.
  • all or any part of each processing function performed in each device may be realized by a CPU and a program analyzed and executed by the CPU, or may be realized as hardware by wired logic.
  • FIG. 21 is a diagram illustrating a computer 1000 that executes an unauthorized access detection program.
  • the computer 1000 includes, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012 as illustrated in FIG.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1031 as illustrated in FIG.
  • the disk drive interface 1040 is connected to the disk drive 1041 as illustrated in FIG.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1041.
  • the serial port interface 1050 is connected to, for example, a mouse 1051 and a keyboard 1052 as illustrated in FIG.
  • the video adapter 1060 is connected to a display 1061, for example, as illustrated in FIG.
  • the hard disk drive 1031 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. That is, the unauthorized access detection program is stored in, for example, the hard disk drive 1031 as a program module in which a command executed by the computer 1000 is described.
  • various data described in the above embodiment is stored as program data in, for example, the memory 1010 or the hard disk drive 1031.
  • the CPU 1020 reads the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1031 to the RAM 1012 as necessary, and executes various processing procedures.
  • program module 1093 and the program data 1094 related to the unauthorized access detection program are not limited to being stored in the hard disk drive 1031, but are stored in, for example, a removable storage medium and read out by the CPU 1020 via the disk drive or the like. May be.
  • the program module 1093 and the program data 1094 related to the unauthorized access detection program are stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020 via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020 via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020 via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Storage Device Security (AREA)

Abstract

　不正アクセス検知システム（１００）では、外部に漏えいさせる認証情報を生成する。そして、不正アクセス検知システム（１００）では、生成された認証情報を解析ホスト（２０）上で設定し、該解析ホスト（２０）上で解析対象プログラムを動作させる。そして、不正アクセス検知システム（１００）では、認証情報を用いたコンテンツへのアクセスを検知し、認証情報を用いたアクセスが検知された場合には、該アクセスを不正アクセスとして特定する。

Description

不正アクセス検知システム及び不正アクセス検知方法
　本発明は、不正アクセス検知システム及び不正アクセス検知方法に関する。
　近年、悪意のあるソフトウェアであるマルウェアにコンピュータ端末やサーバ（ここでは、両者を区別せずに、以下ホストと記載する）が感染することで、ホスト内部の情報の破壊やホスト自体を踏み台とした新たな攻撃に悪用される事例が発生している。また、マルウェアは、ホスト内の情報を無断で外部に漏えいすることも可能である。個人情報だけでなく、会社や政府もしくは軍事機関等の機密情報が漏えいする可能性もあることから、マルウェア感染による情報漏えいが問題となっている。
　このマルウェアは様々な感染経路からの感染方法が確認されており、例えばメール添付ファイルを装うことでユーザが誤ってクリックおよびインストールする事による感染や、Ｗｅｂサイトで配布している一般のソフトウェアを装ったマルウェアや、Ｐ２Ｐファイルを装ったマルウェア、脆弱性のあるＷｅｂブラウザで攻撃コードが含まれるＷｅｂサイトを閲覧した場合に自動的にマルウェアをダウンロードおよびインストールしてしまう事による感染等である。
　また、インターネット上で提供されている様々なサービスへの不正アクセスが発生している。不正アクセスの多くは、認証情報（例えば、アカウント名やパスワード）をブルートフォース（攻撃者が可能な組み合わせのアカウント名とパスワードを総当たりで試行するログイン）で突破することで行われる場合と、あらかじめユーザから何らかの方法で盗んだ正規の認証情報を用いて行われる場合がある。認証情報をブルートフォースで突破する場合には、連続的なログインの施行が発生するため、単位時間当たりのログイン試行回数の閾値に基づいてＩＰＳ（Intrusion　Prevention　System：侵入防止システム）等によって検知および防御が可能である（例えば、非特許文献１参照）。
　また、これらマルウェア感染に対して、アンチウィルスベンダはマルウェアのシグネチャを作成し、ホストがマルウェアに感染する事を防いでいる。ただし、シグネチャはマルウェアの詳細な解析が必要とされるため、シグネチャ作成のための時間的コストがかかる。
　従来の情報漏えい対策としては、ユーザに対して情報に対するアクセス権限を設定して機密データの流出を防ぐものが多い。この際に、アクセス権限を持つユーザが故意に外部へ情報を漏えいする場合は対象外である。また、そのユーザが情報をコピーした場合は、コピー後のデータに対する保護は対象外である。
　一方、情報中心の制御による情報漏えい防止方法としてＤＬＰ（Data　Loss　PreventionもしくはData　Leak　Prevention）という技術が近年用いられている（例えば、非特許文献２～４参照）。ＤＬＰは、機密性のある情報について、それに対するアクセスや送信を監視し、特に外部へ送信する場合は防止する。この際に、ホスト上で情報の制御を行う方法と、ネットワーク上で通信の内容を監視することで制御する方法がある。
　前者のホスト上で情報の制御を行う方法として、ユーザが利用するホスト上にインストールされているエージェントプログラムを用いて、機密情報へのアクセスを監視する方法が知られている。例えば、ファイルサーバから機密情報をダウロードしてＵＳＢメモリ等の外部ストレージへコピーしようとした場合は、画面に警告文等を表示して防御する。メールの添付ファイルとして外部に送信しようとした場合も同様の処理により防御される。
　後者のネットワーク上で通信の内容を監視する方法としては、ネットワーク上の通信を分析するアプライアンスを用いて、ネットワーク上で通信の内容を監視する方法が知られている。例えば、メールの添付ファイルとして機密情報を外部に送信しようとした場合は、アプライアンスが通信内容を確認しブロックする。
"Suricata　Downloads"、[online]、[平成２５年５月１５日検索]、インターネット＜http://www.openinfosecfoundation.org/index.php/download-suricata＞ "Trend　Micro　Data　Loss　Prevention"、[online]、[平成２５年５月１日検索]、インターネット＜http://jp.trendmicro.com/jp/products/enterprise/tmdlp/＞ "RSA　DLP　（Data　Loss　Prevention）Suite"、[online]、[平成２５年５月１日検索]、インターネット＜http://japan.rsa.com/node.aspx?id=3426＞ "McAfee　Data　Loss　Prevention　Endpoint"、[online]、[平成２５年５月１日検索]、インターネット＜http://www.mcafee.com/japan/products/data_loss_prevention.asp＞
　しかしながら、従来の技術では、不正アクセスの特定、または、不正アクセスを行うプログラムの特定を適切に行うことができない場合があるという課題があった。
　例えば、ユーザから何らかの方法で盗んだ正規の認証情報を用いて不正アクセスが行われた場合には、攻撃者が正しい認証情報を用いてログインを行うため、正規のユーザによるアクセスと攻撃者によるアクセスの判別が困難である。よって、漏えいした認証情報を用いた不正アクセスの検知を適切に行うことが課題となっている。
　また、例えば、上記したエージェントプログラムを用いて、ホスト上で情報の制御を行う方法では、マルウェアに感染した場合に、このエージェントプログラムを停止させた上で動作する事が考えられる。このため、完全にホスト上で情報漏えい動作を防御することは困難である。
　また、例えば、上記したネットワーク上で通信の内容を監視する方法では、マルウェアが通信内容を暗号化した場合に、通信内容だけでは実際にどのような種類の情報が送信されているかを特定する事が困難である。
　また、例えば、インターネットには多種多様なプログラムが存在するが、このようなプログラムが情報漏えいを行うマルウェアであるかどうかを判別するためには、プログラムの詳細な解析が必要になる。ただし、マルウェアには一般的にコードの難読化やアンチデバッグなどの耐解析機能が具備されており、また通信内容自体も暗号化されている事が多いことから、情報漏えいを行うかどうかを特定することが困難である。
　そこで、この発明は、不正アクセスの特定、または、不正アクセスを行うプログラムの特定を適切に行うことを目的とする。
　上述した課題を解決し、目的を達成するため、不正アクセス検知システムは、外部に漏えいさせる認証情報を生成する生成部と、前記生成部によって生成された認証情報をホスト上で設定し、該ホスト上で解析対象プログラムを動作させる動作部と、前記認証情報を用いたコンテンツへのアクセスを検知する検知部と、前記検知部によって前記認証情報を用いたアクセスが検知された場合には、該アクセスを不正アクセスとして特定する特定部と、を備えたことを特徴とする。
　また、不正アクセス検知方法は、不正アクセス検知システムによって実行される不正アクセス検知方法であって、外部に漏えいさせる認証情報を生成する生成工程と、前記生成工程によって生成された認証情報をホスト上で設定し、該ホスト上で解析対象プログラムを動作させる動作工程と、前記認証情報を用いたコンテンツへのアクセスを検知する検知工程と、前記検知工程によって前記認証情報を用いたアクセスが検知された場合には、該アクセスを不正アクセスとして特定する特定工程と、を含んだことを特徴とする。
　また、不正アクセス検知システムは、認証情報を生成する生成部と、前記生成部によって生成された認証情報をホスト装置上で設定し、該ホスト上で解析対象プログラムを動作させる動作部と、前記認証情報を用いたコンテンツへの不正アクセスを検知する検知部と、前記検知部によって前記認証情報を用いた不正アクセスが検知された場合に、該認証情報が設定されたホスト上で動作するプログラムを、情報漏えいを行うプログラムとして特定する特定部と、を備えたことを特徴とする。
　また、不正アクセス検知方法は、不正アクセス検知システムによって実行される不正アクセス検知方法であって、認証情報を生成する生成工程と、前記生成工程によって生成された認証情報をホスト装置上で設定し、該ホスト上で解析対象プログラムを動作させる動作工程と、前記認証情報を用いたコンテンツへの不正アクセスを検知する検知工程と、前記検知工程によって前記認証情報を用いた不正アクセスが検知された場合に、該認証情報が設定されたホスト上で動作するプログラムを、情報漏えいを行うプログラムとして特定する特定工程と、を含んだことを特徴とする。
　本願に開示する不正アクセス検知システム及び不正アクセス検知方法は、不正アクセスの特定、または、不正アクセスを行うプログラムの特定を適切に行うことが可能である。
図１は、第一の実施形態に係る不正アクセス検知システムの構成の一例を示す図である。 図２は、第一の実施形態に係る不正アクセス検知システムにおいて、解析用認証情報の漏えい処理と、解析用認証情報を設定したサービスで不正アクセスを監視する処理とを説明する図である。 図３は、第一の実施形態に係る認証情報管理装置の構成を示すブロック図である。 図４は、第一の実施形態に係る解析ホストの構成を示すブロック図である。 図５は、第一の実施形態に係るサーバの構成を示すブロック図である。 図６は、第一の実施形態に係る不正アクセス検知システムにおいて、認証情報を用いた情報漏えい検知処理を説明する図である。 図７は、第一の実施形態に係る不正アクセス情報管理装置の構成を示すブロック図である。 図８は、第一の実施形態に係る不正アクセス検知システムにおいて、不正アクセスを行う攻撃者のホストをフィルタリングする際の処理を説明する図である。 図９は、第一の実施形態に係る不正アクセス検知システムにおいて、不正アクセスを防止する処理を説明する図である。 図１０は、第一の実施形態に係る不正アクセス検知システムのサーバにおける不正アクセス検知処理の流れを説明するためのフローチャートである。 図１１は、第二の実施形態に係る不正アクセス検知システムの構成の一例を示す図である。 図１２は、第二の実施形態に係る不正アクセス検知システムにおいて、解析用認証情報の漏えい処理と、解析用認証情報を設定したサービスで不正アクセスを監視する処理とを説明する図である。 図１３は、第二の実施形態に係る認証情報管理装置の構成を示すブロック図である。 図１４は、解析用認証情報記憶部に記憶されたテーブルの一例を示す図である。 図１５は、第二の実施形態に係る解析ホストの構成を示すブロック図である。 図１６は、単一および複数の認証情報を用いた解析処理を説明する図である。 図１７は、第二の実施形態に係るサーバの構成を示すブロック図である。 図１８は、第二の実施形態に係る不正アクセス検知システムにおいて、認証情報を用いた情報漏えい検知処理を説明する図である。 図１９は、第二の実施形態に係る不正アクセス検知システムにおいて、情報漏えいを行うマルウェアの特定処理を説明する図である。 図２０は、第二の実施形態に係る不正アクセス検知システムのサーバにおける不正アクセス検知処理の流れを説明するためのフローチャートである。 図２１は、不正アクセス検知プログラムを実行するコンピュータを示す図である。
　以下に図面を参照して、この発明に係る不正アクセス検知システム及び不正アクセス検知方法の実施形態を詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。
［第一の実施形態］
　以下の実施形態では、第一の実施形態に係る不正アクセス検知システム及び不正アクセス検知方法による処理の流れを順に説明し、最後に第一の実施形態による効果を説明する。
［システムの構成］
　まず、第一の実施形態に係る不正アクセス検知システム１００の構成の一例を説明する。図１は、第一の実施形態に係る不正アクセス検知システムの構成の一例を示す図である。図１に示すように、不正アクセス検知システム１００は、認証情報管理装置１０、解析ホスト２０およびサーバ群３０Ａ～３０Ｃ、不正アクセス情報管理装置４０を有する。また、不正アクセス検知システム１００では、認証情報管理装置１０と、解析ホスト２０と、サーバ群３０Ａ～３０Ｃとが、インターネット５０を介してそれぞれ接続される。なお、サーバ群３０Ａ～３０Ｃについて、特に区別なく一台のサーバについて説明する場合には、サーバ３０と記載する。
　認証情報管理装置１０は、解析用の認証情報を生成し、生成した認証情報と認証情報を設定するプログラムとの対応関係を管理する。また、認証情報管理装置１０は、解析ホスト２０に送信する。この際、生成される認証情報は、各サーバ３０Ａ～３０Ｃに対応するものであり、認証情報として、サービスのサイト情報、アカウント名およびパスワードが生成される。サービスのサイト情報とは、解析用の認証情報を利用する不正アクセスを監視するためのサービスを提供するサーバの情報であり、例えば、サーバ群３０Ａ～３０ＣのＩＰアドレスもしくはＦＱＤＮである。また、アカウント名およびパスワードは、ランダムに生成され、実際には使われていないものが生成される。
　解析ホスト２０は、解析ホスト２０上にある特定のサービスの認証情報を設定し、解析対象プログラムを動作させる。この時、解析ホスト２０は、インターネット５０に接続しておく。プログラムが情報漏えいを行うマルウェアであった場合は、認証情報をユーザの同意なく密かに外部の攻撃者に漏えいする。
　サーバ群３０Ａ～３０Ｃは、Ｗｅｂサイトのコンテンツを管理するサーバであって、攻撃者にわざと漏えいさせた認証情報で不正にアクセスさせるためのサーバである。例えば、サーバ群３０Ａ～３０Ｃは、漏えいさせた認証情報が利用されたアクセスがあった場合には、それが不正アクセスであると特定し、該不正アクセスを行った攻撃者のホスト情報（例えば、ＩＰアドレス）を取得し、不正アクセス情報管理装置４０に送信する。
　不正アクセス管理装置４０は、不正アクセスを行った攻撃者のホスト情報を管理し、サーバ群３０Ａ～３０Ｃに対して、ホスト情報を送信する。これにより、サーバ群３０Ａ～３０Ｃについて不正アクセスを行った攻撃者のホストを各種サービスにおいてフィルタリング対象とする。
　不正アクセス検知システム１００では、前提として、解析用の認証情報をあえて漏えいさせ、不正アクセスを監視する処理を行っている。ここで、図２を用いて、解析用認証情報の漏えい処理と、解析用認証情報を設定したサービスで不正アクセスを監視する処理とを説明する図である。図２は、第一の実施形態に係る不正アクセス検知システムにおいて、解析用認証情報の漏えい処理と、解析用認証情報を設定したサービスで不正アクセスを監視する処理とを説明する図である。
　図２に示すように、まず、解析ホスト２０は、認証情報管理装置１０によって生成された認証情報を、解析ホスト上にある特定のサービスの認証情報として設定し、プログラムを動作させた際に、解析するプログラムが情報漏えいを行うマルウェアの場合は、前述の認証情報が格納されているファイルやレジストリにアクセスする（図２の（１）参照）。そして、解析ホスト２０は、認証情報をユーザの同意なく密かに外部の攻撃者に漏えいする（図２の（２）参照）。
　次に、ある特定のサービスを提供するサーバ群３０Ａ～３０Ｃを動作させておき、ログインを観測する。この際に、攻撃者が漏えいさせた認証情報を用いたログインが行われた場合は（図２の（３）参照）、サーバ群３０Ａ～３０Ｃは、それは不正アクセスであると判断する（図２の（４）参照）。
　このように、解析用の認証情報をあえて漏えいさせることで、漏えいさせた同一の認証情報が利用された時点において、それが不正アクセスであるものと特定することができる。そして、不正アクセスを行った攻撃者のホスト情報を取得し、該ホスト情報を各種サービスでフィルタリングすることで、不正アクセスを検知し、未然に防止することができる。
［認証情報管理装置の構成］
　次に、図３に示した認証情報管理装置１０の構成を説明する。図３は、第一の実施形態に係る認証情報管理装置の構成を示すブロック図である。図３に示すように、認証情報管理装置１０は、通信処理部１１、制御部１２および記憶部１３を有する。
　通信処理部１１は、接続される解析ホスト２０、サーバ郡３０Ａ～３０Ｃ等との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、解析ホスト２０に対して生成した認証情報を送信する。また、例えば、通信処理部１１は、サーバ郡３０Ａ～３０Ｃから不正アクセスに利用された認証情報を受信する。
　記憶部１３は、図３に示すように、解析用認証情報記憶部１３ａを有する。記憶部１３は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
　解析用認証情報記憶部１３ａは、後述する生成部１２ａによって生成された解析用の認証情報と、該認証情報が設定されたプログラムとの対応関係が規定されたテーブルを記憶する。
　ここで、例えば、解析に利用する認証情報として、解析用認証情報記憶部１３ａは、サービスのサイト情報、アカウント名、パスワード等を記憶する。サービスのサイト情報とは、例えば、解析用の認証情報を利用する不正アクセスを監視するためのサービスを提供するサーバ群３０Ａ～３０Ｃに関する情報であり、例えばＩＰアドレスもしくはＦＱＤＮ（Fully　Qualified　Domain　Name）である。
　また、解析用認証情報記憶部１３ａは、アカウント名として、例えば、実際のサービスで利用されていないものを記憶する。また、解析用認証情報記憶部１３ａは、パスワードとして、推測が困難な十分に複雑な文字列を記憶する。これは、ログイン時に漏えい情報かどうかを識別する際に、ブルートフォースによるログイン攻撃と識別するためである。
　図３に戻って、制御部１２は、生成部１２ａと、管理部１２ｂとを有する。ここで、制御部１２は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路である。
　生成部１２ａは、外部に漏えいさせる認証情報を生成する。例えば、生成部１２ａは、攻撃者にあえて漏えいさせる解析用の認証情報として、サーバ群３０Ａ～３０ＣのＩＰアドレスもしくはＦＱＤＮと、ランダムに生成されたアカウント名およびパスワードの組み合わせである。なお、生成される認証情報は様々な種類のサービスに対応するものであってよく、例えばＳＳＨ（Secure　SHell）、ＦＴＰ（File　Transfer　Protocol）、ＰＯＰ（Post　Office　Protocol）などである。
　なお、サービスを提供するサーバ３０において当該サービスに対するブルートフォースのログイン（攻撃者が可能な組み合わせのアカウント名とパスワードを総当たりで試行するログイン）と漏えいした認証情報を用いたログインとを正確に区別するため、生成される解析用認証情報は、ランダムに生成される十分に長いユニークな文字列であることが望ましい。
　管理部１２ｂは、生成部１２ａによって生成された認証情報を解析ホスト２０に送信する。ここで送信された認証情報は、解析ホスト２０上に設定され、解析対象のプログラムを実行する。また、管理部１２ｂは、解析ホスト２０が実行したプログラムと対応する認証情報の組を受信し、認証情報と、プログラムと対応する認証情報の組とを対応付けて解析用認証情報記憶部１３ａに格納する。
［解析ホストの構成］
　次に、図４に示した解析ホスト２０の構成を説明する。図４は、第一の実施形態に係る解析ホストの構成を示すブロック図である。図４に示すように、解析ホスト２０は、通信処理部２１、制御部２２および記憶部２３を有する。
　通信処理部２１は、接続される認証情報管理装置１０、サーバ群３０Ａ～３０Ｃ等との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部２１は、認証情報管理装置１０から認証情報を受信する。また、例えば、通信処理部２１は、外部の攻撃者に認証情報を送信する。なお、認証情報管理装置１０から認証情報を受信した場合には、後述する解析用認証情報記憶部２３ａに受信した認証情報が格納される。
　記憶部２３は、図４に示すように、解析用認証情報記憶部２３ａを有する。記憶部２３は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
　解析用認証情報記憶部２３ａは、前述した認証情報管理装置１０によって生成された解析用の認証情報を記憶する。例えば、解析用認証情報記憶部２３ａは、解析に利用する認証情報として、サービスのサイト情報、アカウント名、パスワード等を記憶する。サービスのサイト情報とは、例えば、解析用の認証情報を利用する不正アクセスを監視するためのサービスを提供するサーバ群３０Ａ～３０Ｃに関する情報であり、例えばＩＰアドレスもしくはＦＱＤＮ（Fully　Qualified　Domain　Name）である。
　また、解析用認証情報記憶部２３ａは、アカウント名として、例えば、実際のサービスで利用されていないものを記憶する。また、解析用認証情報記憶部２３ａは、パスワードとして、推測が困難な十分に複雑な文字列を記憶する。これは、ログイン時に漏えい情報かどうかを識別する際に、ブルートフォースによるログイン攻撃と識別するためである。
　図４に戻って、制御部２２は、設定部２２ａと、動作部２２ｂとを有する。ここで、制御部２２は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路である。
　設定部２２ａは、認証情報管理装置１０の生成部１２ａによって生成された認証情報を特定のサービスの認証情報として設定する。例えば、設定部２２ａは、解析用認証情報記憶部２３ａから認証情報を取得し、取得した認証情報を特定のサービスの認証情報として設定する。
　動作部２２ｂは、設定部２２ａにより認証情報が設定された解析ホスト２０上で解析対象プログラムとして、サービスのクライアントアプリケーション（ＳＳＨ、ＦＴＰ、ＰＯＰ等）を動作させる。そして、動作部２２ｂは、実行したプログラムと対応する認証情報の組を通知する。ここで、動作させたプログラムが情報漏えいを行うマルウェアであった場合は、認証情報をユーザの同意なく密かに外部の攻撃者に漏えいすることとなる。漏えいさせる認証情報は、どのような種類のサービスであってもよく、サービスを提供するサーバ３０側で漏えいさせた認証情報のログインがあったかどうかを確認できればよい。また、サービスは解析用に用意してもいいし、実際のサービスを用いてもよい。
［サーバの構成］
　次に、図５に示したサーバ３０の構成を説明する。図５は、第一の実施形態に係るサーバの構成を示すブロック図である。図５に示すように、サーバ３０は、通信処理部３１、制御部３２および記憶部３３を有する。
　通信処理部３１は、接続される認証情報管理装置１０、解析ホスト２０等との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部３１は、認証情報管理装置１０に対して不正アクセスに利用された認証情報を送信する。また、通信処理部３１は、認証情報管理装置１０から解析用認証情報を受信する。ここで受信した解析用認証情報は、解析用認証情報記憶部３３ａに記憶される。
　記憶部３３は、図５に示すように、解析用認証情報記憶部３３ａおよび不正ホスト情報記憶部３３ｂを有する。記憶部３３は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
　解析用認証情報記憶部３３ａは、前述した認証情報管理装置１０によって生成された解析用の認証情報のリストを記憶する。解析用認証情報記憶部３３ａに記憶される認証情報のリストは、後述する検知部３２ａによってログインが不正アクセスであるか否かを判定するために使用される。
　例えば、解析用認証情報記憶部３３ａは、解析に利用する認証情報として、サービスのサイト情報、アカウント名、パスワード等を記憶する。サービスのサイト情報とは、例えば、解析用の認証情報を利用する不正アクセスを監視するためのサービスを提供するサーバ３０に関する情報であり、例えばＩＰアドレスもしくはＦＱＤＮ（Fully　Qualified　Domain　Name）である。
　また、解析用認証情報記憶部３３ａは、アカウント名として、例えば、実際のサービスで利用されていないものを記憶する。また、解析用認証情報記憶部３３ａは、パスワードとして、推測が困難な十分に複雑な文字列を記憶する。これは、ログイン時に漏えい情報かどうかを識別する際に、ブルートフォースによるログイン攻撃と識別するためである。
　不正ホスト情報記憶部３３ｂは、不正アクセスを行ったホストの情報を記憶する。例えば、不正ホスト情報記憶部３３ｂは、不正アクセスを行ったホストの情報として、ＩＰアドレスを記憶する。
　図５に戻って、制御部３２は、検知部３２ａと、特定部３２ｂと、格納部３２ｃと、アクセス防止部３２ｄとを有する。ここで、制御部３２は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路である。
　検知部３２ａは、認証情報管理装置１０の生成部１２ａによって生成された認証情報を用いたコンテンツへのアクセスを検知する。具体的には、検知部３２ａは、コンテンツへのアクセスに用いられた認証情報が解析用認証情報記憶部３３ａに記憶された認証情報と一致するか判定する。
　特定部３２ｂは、検知部３２ａによって認証情報を用いたアクセスが検知された場合には、該アクセスを不正アクセスとして特定する。例えば、特定部３２ｂは、解析用認証情報に対応する解析用アカウントが用意されたコンテンツに対して、ログインイベントが発生した場合には、該ログインに用いられた認証情報が解析用認証情報記憶部３３ａに記憶された解析用認証情報に含まれるか判定する。
　この結果、特定部３２ｂは、ログインに用いられた認証情報が解析用認証情報記憶部３３ａに記憶された解析用認証情報のリストに含まれる場合には、ログインを不正アクセスであると特定し、不正アクセスに利用された認証情報を認証情報管理装置１０に対して送信する。
　格納部３２ｃは、特定部３２ｂによって不正アクセスとして特定されたアクセスを行ったホストの情報を取得して不正ホスト情報記憶部３３ｂに格納する。また、格納部３２ｃは、取得したホストの情報を不正アクセス情報管理装置４０に送信する。
　アクセス防止部３２ｄは、不正ホスト情報記憶部３３ｂに記憶されたホストの情報により特定されるホストからのアクセスを検出し、該ホストからのアクセスを防止する。例えば、アクセス防止部３２ｄは、ログインを試みるホストが攻撃者ホスト情報に含まれているか否かを判定し、判定の結果、含まれている場合には、攻撃者によるログインと判断し、ログインを遮断する。
　ここで、図６を用いて、第一の実施形態に係る不正アクセス検知システム１００において、認証情報を用いた情報漏えい検知処理を説明する。図６は、第一の実施形態に係る不正アクセス検知システムにおいて、認証情報を用いた情報漏えい検知処理を説明する図である。図６に示すように、不正アクセス検知システム１００の認証情報管理装置１０は、プログラムの解析の度に毎回、ユニークな解析用認証情報（サービスを提供するサーバ名、アカウント名とパスワード情報の組）を生成する（図６の（１）参照）。
　そして、生成した解析用認証情報をプログラムを実行する解析ホスト２０上に設定し（図６の（２）参照）、解析対象のプログラムを実行する（図６の（３）参照）。また、解析ホスト２０は、実行したプログラムと対応する認証情報の組を認証情報管理装置１０に通知する（図６の（４）参照）。そして、認証情報管理装置１０は、生成した解析用認証情報を、サービスを提供するサーバ３０に対して生成して通知する（図６の（５）参照）。
　その後、解析ホスト２０は、解析対象のプログラムを実行した後、該プログラムが情報漏えいをするマルウェアの場合は設定された解析用認証情報を攻撃者に送信する（図６の（６）参照）。この時点で、プログラムが情報漏えいを行ったかどうかを識別する必要は無い。攻撃者は、漏えいした認証情報を利用して、当該サービスに対して不正アクセスを行って、ログインを試みる（図６の（７）参照）。当該サービスを提供するサーバ３０は、ログインに対して、解析用認証情報を用いたログインであるかどうかを識別し、解析用認証情報を用いたログインである場合は、不正アクセスであると検知する（図６の（８）参照）。この際に不正アクセスを行ったホストの情報を取得して記憶することで、そのホストの情報を各種サービスにおいてフィルタリング対象とする。
［不正アクセス情報管理装置の構成］
　次に、図７に示した不正アクセス情報管理装置４０の構成を説明する。図７は、第一の実施形態に係る不正アクセス情報管理装置の構成を示すブロック図である。図７に示すように、不正アクセス情報管理装置４０は、通信処理部４１、制御部４２および記憶部４３を有する。
　通信処理部４１は、接続される認証情報管理装置１０、解析ホスト２０、サーバ３０等との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部３１は、サーバ３０から不正アクセスを行ったホストの情報を受信する。また、通信処理部４１は、不正アクセスを行ったホストの情報を、サーバ群３０Ａ～３０Ｃに送信する。
　記憶部４３は、図７に示すように、不正ホスト情報記憶部４３ａおよびサーバ情報記憶部４３ｂを有する。記憶部４３は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
　不正ホスト情報記憶部４３ａは、不正アクセスを行ったホスト情報のリスト（以下、攻撃者ホスト情報リストと記載する場合がある）を記憶する。例えば、不正ホスト情報記憶部４３ａは、不正アクセスを行ったホスト情報のリストとして、ＩＰアドレスを記憶する。ここで記憶される情報は、サーバ群３０Ａ～３０Ｃから収集されたホスト情報のリストである。
　サーバ情報記憶部４３ｂは、不正アクセスを行ったホストの情報を通知するサーバのアドレス情報等を記憶する。ここで記憶される情報は、後述する送信部４２ｂが、不正アクセスを行ったホストの情報をサーバ３０に送信する際に参照される。
　図７に戻って、制御部４２は、格納部４２ａおよび送信部４２ｂを有する。ここで、制御部４２は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路である。
　格納部４２ａは、サーバ３０から送信された不正アクセスを行ったホストの情報を受信し、不正アクセスを行ったホストの情報を不正ホスト情報記憶部４３ａに格納する。例えば、格納部４２ａは、不正アクセスを行ったホストの情報として、ＩＰアドレスを不正ホスト情報記憶部４３ａに格納し、攻撃者ホスト情報リストを更新する。
　解析用認証情報を利用してあるサービスにおいて不正アクセスであると判別した際に収集できる攻撃者ホスト情報リストは、実際のさまざまな認証情報を用いるサービスに適用できる。社内システムや利用ユーザが限定されているサービスであれば、ホストのＩＰアドレスなどを限定することで、アカウント情報漏えいによる不正アクセスをある程度は防御できる。例えば、社内システムであれば、社内のＩＰアドレスからしかログインさせないことで防御ができる。しかし、不特定多数のユーザが利用するサービスは、ログインするホストが膨大に存在し、またＩＰアドレスも分散しているため、あらかじめ利用者のＩＰアドレスを制限することによる対策ができない。本実施形態では、後者の不特定多数が利用するサービスに対して適用してもよく、例えばメールサービス、インターネットショッピングサービス、ソーシャルネットワークサービス、ブログサービス、などが例としてあげられる。
　送信部４２ｂは、不正アクセスを行ったホストの情報を各サーバ３０Ａ～３０Ｃに送信する。例えば、送信部４２ｂは、サーバ情報記憶部４３ｂに記憶されたサーバ３０のアドレス情報を参照し、不正アクセスを行ったホストの情報を各サーバ３０Ａ～３０Ｃに送信する。
　図８を用いて、不正アクセスを行う攻撃者のホストをフィルタリングする際の処理を説明する。図８は、第一の実施形態に係る不正アクセス検知システムにおいて、不正アクセスを行う攻撃者のホストをフィルタリングする際の処理を説明する図である。図８に示すように、サービスを提供するサーバ３０Ａが解析用認証情報を用いた不正アクセスを検知した場合は（図８の（１）参照）、その攻撃者のホスト情報を不正アクセス管理装置４０に送信する（図８の（２）参照）。
　そして、不正アクセス管理装置４０は、他のサーバ（サーバ３０Ｂ、サーバ３０Ｃ）に対して不正アクセスを行う攻撃者のホスト情報を送信する（図８の（３）参照）。攻撃者の情報を受け取った各サーバ３０Ａ～３０Ｃは、不正アクセスを受けた際に（図８の（４）参照）、その情報を基にログイン時のホスト情報と比較することで攻撃者のホストを識別し、不正アクセスを防止する（図８の（５）参照）。なお、サービスを提供するサーバ３０は、複数種類存在してもよいし、単一のサーバでもよい。
　ここで、図９を用いて、第一の実施形態に係る不正アクセス検知システム１００において、不正アクセスを防止する処理を説明する。図９は、第一の実施形態に係る不正アクセス検知システムにおいて、不正アクセスを防止する処理を説明する図である。
　図９に示すように、解析ホスト２０は、認証情報管理装置１０によって生成された認証情報を、解析ホスト２０上にある特定のサービスの認証情報として設定し、プログラムを動作させた際に、解析するプログラムが情報漏えいを行うマルウェアの場合は、前述の認証情報が格納されているファイルやレジストリにアクセスする（図９の（１）参照）。そして、解析ホスト２０は、認証情報をユーザの同意なく密かに外部の攻撃者に漏えいする（図９の（２）参照）。
　次に、ある特定のサービスを提供するサーバ３０を動作させておき、ログインを観測する。この際に、攻撃者が漏えいさせた認証情報を用いたログインが行われた場合は（図９の（３）参照）、サーバ３０は、それは不正アクセスであると判断する（図９の（４）参照）。そして、不正アクセスを行ったホスト情報を、他のサービスのアクセスフィルタリングに活用することで、不正アクセスを防止することができる。
［サーバによる処理］
　次に、図１０を用いて、第一の実施形態に係るサーバ３０による処理を説明する。図１０は、第一の実施形態に係る不正アクセス検知システムのサーバにおける不正アクセス検知処理の流れを説明するためのフローチャートである。
　図１０に示すように、サーバ３０の通信処理部３１は、認証情報管理装置１０から解析用認証情報を受信したか判定する（ステップＳ１０１）。この結果、通信処理部３１は、認証情報管理装置１０から解析用認証情報を受信していない場合には（ステップＳ１０１否定）、ステップＳ１０３の処理に進む。また、通信処理部３１は、認証情報管理装置１０から解析用認証情報を受信した場合には（ステップＳ１０１肯定）、解析用認証情報記憶部３３ａに記憶された比較用の解析用認証情報のリストを更新する（ステップＳ１０２）。
　そして、格納部３２ｃは、不正アクセス情報管理装置４０から攻撃者のホスト情報を受信したかを判定する（ステップＳ１０３）。この結果、格納部３２ｃは、不正アクセス情報管理装置４０から攻撃者のホスト情報を受信していない場合には（ステップＳ１０３否定）、ステップＳ１０５の処理に進む。また、格納部３２ｃは、不正アクセス情報管理装置４０から攻撃者のホスト情報を受信した場合には（ステップＳ１０３肯定）、ホスト情報を不正ホスト情報記憶部３３ｂに格納することで、比較用の攻撃者ホスト情報リストを更新する（ステップＳ１０４）。
　そして、検知部３２ａは、解析用認証情報に対応する解析用アカウントが用意されたコンテンツに対して、ログインイベントが発生したか否かを判定する（ステップＳ１０５）。この結果、ログインイベントが発生しなかった場合には（ステップＳ１０５否定）、ステップＳ１０１の処理に戻る。また、検知部３２ａは、ログインイベントが発生した場合には（ステップＳ１０５肯定）、該ログインに用いられた認証情報が解析用認証情報記憶部３３ａに記憶された解析用認証情報に含まれるか判定する（ステップＳ１０６）。
　この結果、特定部３２ｂは、ログインに用いられた認証情報が解析用認証情報記憶部３３ａに記憶された解析用認証情報に含まれる場合には（ステップＳ１０６肯定）、ログインを不正アクセスと判定する（ステップＳ１０７）。続いて、特定部３２ｂは、不正アクセスに利用された認証情報を認証情報管理装置１０に通知し（ステップＳ１０８）、ステップＳ１１２の処理に進む。
　また、ステップＳ１０６において、ログインに用いられた認証情報が解析用認証情報記憶部３３ａに記憶された解析用認証情報に含まれていない場合には（ステップＳ１０６否定）、アクセス防止部３２ｄは、ログインを試みるホストが攻撃者ホスト情報に含まれるか判定する（ステップＳ１０９）。この結果、アクセス防止部３２ｄは、ログインを試みるホストが攻撃者ホスト情報に含まれていないと判定した場合には（ステップＳ１０９否定）、ログインを正常アクセスと判定して（ステップＳ１１０）、ステップＳ１１２の処理に進む。また、アクセス防止部３２ｄは、ログインを試みるホストが攻撃者ホスト情報に含まれていると判定した場合には（ステップＳ１０９肯定）、攻撃者によるログインと判断し、ログインを遮断し（ステップＳ１１１）、ステップＳ１１２の処理に進む。
　ステップＳ１１２では、検知部３２ａは、不正アクセスの監視を継続するか否かを判定する（ステップＳ１１２）。この結果、検知部３２ａは、不正アクセスの監視を継続すると判定した場合には（ステップＳ１１２肯定）、ステップＳ１０１に戻る。また、検知部３２ａは、不正アクセスの監視を継続しないと判定した場合には（ステップＳ１１２否定）、処理を終了する。
［第一の実施形態の効果］
　上述してきたように、第一の実施形態にかかる不正アクセス検知システム１００では、外部に漏えいさせる認証情報を生成し、生成された認証情報をホスト上で設定し、該ホスト上で解析対象プログラムを動作させる。そして、不正アクセス検知システム１００では、認証情報を用いたコンテンツへのアクセスを検知し、認証情報を用いたアクセスが検知された場合には、該アクセスを不正アクセスとして特定する。このため、漏えいした認証情報を用いた不正アクセスの検知および防御を適切に行うことが可能である。
　また、攻撃者が情報漏えいによって取得した認証情報を用いて各種サービスに対して不正アクセスを行った場合は、正規のユーザと攻撃者の判別が侵入検知システムでは困難であったが、不正アクセス検知システム１００では、漏えいさせた情報自体が解析用であり、一般ユーザが利用することがないため、それが利用された時点で不正アクセスであると判別でき、またその不正アクセスを行った攻撃者のホストを特定できる。この攻撃者のホストは他の各種サービスでも不正アクセスを行っている可能性が高いため、このホスト情報（例えばＩＰアドレス）を他の各種サービスでフィルタリングすることで不正アクセスを検知し、未然に防止できる。
［第二の実施形態］
　上記の第一の実施形態では、漏えいした認証情報を用いた不正アクセスを検知する場合について説明したが、本実施形態はこれに限定されるものではない。例えば、情報漏えいを行うマルウェアを特定するようにしてもよい。そこで、以下では、第二の実施形態として、不正アクセス検知システムが、認証情報を用いたコンテンツへの不正アクセスを検知し、認証情報を用いた不正アクセスが検知された場合に、該認証情報が設定されたホスト上で動作するプログラムを、情報漏えいを行うプログラムとして特定する場合の例について説明する。
［システムの構成］
　まず、第二の実施形態に係る不正アクセス検知システム２００の構成の一例を説明する。図１１は、第二の実施形態に係る不正アクセス検知システムの構成の一例を示す図である。図１１に示すように、不正アクセス検知システム２００は、認証情報管理装置２１０、解析ホスト２２０およびサーバ群２３０Ａ～２３０Ｃを有する。また、不正アクセス検知システム２００では、認証情報管理装置２１０と、解析ホスト２２０と、サーバ群２３０Ａ～２３０Ｃとが、インターネット２４０を介してそれぞれ接続される。なお、サーバ群２３０Ａ～２３０Ｃについて、特に区別なく一台のサーバについて説明する場合には、サーバ２３０と記載する。
　認証情報管理装置２１０は、解析用の認証情報を生成し、生成した認証情報と認証情報を設定するプログラムとの対応関係を管理する。また、認証情報管理装置２１０は、解析ホスト２２０に送信する。この際、生成される認証情報は、各サーバ２３０Ａ～２３０Ｃに対応するものであり、認証情報として、サービスのサイト情報、アカウント名およびパスワードが生成される。サービスのサイト情報とは、解析用の認証情報を利用する不正アクセスを監視するためのサービスを提供するサーバの情報であり、例えば、サーバ群２３０Ａ～２３０ＣのＩＰアドレスもしくはＦＱＤＮである。また、アカウント名およびパスワードは、ランダムに生成され、実際には使われていないものが生成される。
　また、認証情報管理装置２１０は、サーバ群２３０Ａ～２３０Ｃから不正アクセスに利用された認証情報を受信した場合には、受信した認証情報に対応するプログラムを、情報漏えいを行うプログラムとして特定する。
　解析ホスト２２０は、解析ホスト２２０上にある特定のサービスの認証情報を設定し、解析対象プログラムを動作させる。この時、解析ホスト２２０は、インターネット２４０に接続しておく。プログラムが情報漏えいを行うマルウェアであった場合は、認証情報をユーザの同意なく密かに外部の攻撃者に漏えいする。
　サーバ群２３０Ａ～２３０Ｃは、Ｗｅｂサイトのコンテンツを管理するサーバであって、攻撃者にわざと漏えいさせた認証情報で不正にアクセスさせるためのサーバである。例えば、サーバ群２３０Ａ～２３０Ｃは、漏えいさせた認証情報が利用されたアクセスがあった場合には、それが不正アクセスであると特定し、利用された認証情報を認証情報管理装置２１０に通知する。
　不正アクセス検知システム２００では、前提として、解析用の認証情報をあえて漏えいさせ、不正アクセスを監視する処理を行っている。ここで、図１２を用いて、解析用認証情報の漏えい処理と、解析用認証情報を設定したサービスで不正アクセスを監視する処理とを説明する。図１２は、第二の実施形態に係る不正アクセス検知システムにおいて、解析用認証情報の漏えい処理と、解析用認証情報を設定したサービスで不正アクセスを監視する処理とを説明する図である。
　図１２に示すように、まず、解析ホスト２２０は、認証情報管理装置２１０によって生成された認証情報を、解析ホスト上にある特定のサービスの認証情報として設定し、プログラムを動作させた際に、解析するプログラムが情報漏えいを行うマルウェアの場合は、前述の認証情報が格納されているファイルやレジストリにアクセスする（図１２の（１）参照）。そして、解析ホスト２２０は、認証情報をユーザの同意なく密かに外部の攻撃者に漏えいする（図１２の（２）参照）。
　次に、ある特定のサービスを提供するサーバ群２３０Ａ～２３０Ｃを動作させておき、ログインを観測する。この際に、攻撃者が漏えいさせた認証情報を用いたログインが行われた場合は（図１２の（３）参照）、サーバ群２３０Ａ～２３０Ｃは、それは不正アクセスであると判断する（図１２の（４）参照）。
　このように、解析用の認証情報をあえて漏えいさせることで、漏えいさせた同一の認証情報が利用された時点において、それが不正アクセスであるものと特定することができる。そして、不正アクセスに利用された認証情報に対応するプログラムを、情報の漏えいを行うプログラムとして特定する。
［認証情報管理装置の構成］
　次に、図１３に示した認証情報管理装置２１０の構成を説明する。図１３は、第二の実施形態に係る認証情報管理装置の構成を示すブロック図である。図１３に示すように、認証情報管理装置２１０は、通信処理部２１１、制御部２１２および記憶部２１３を有する。
　通信処理部２１１は、接続される解析ホスト２２０、サーバ群２３０Ａ～２３０Ｃ等との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部２１１は、解析ホスト２２０に対して生成した認証情報を送信する。また、例えば、通信処理部２１１は、サーバ群２３０Ａ～２３０Ｃから不正アクセスに利用された認証情報を受信する。
　記憶部２１３は、図１３に示すように、解析用認証情報記憶部２１３ａと、悪性プログラム記憶部２１３ｂとを有する。記憶部２１３は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
　解析用認証情報記憶部２１３ａは、後述する生成部２１２ａによって生成された解析用の認証情報と、該認証情報が設定されたプログラムとの対応関係が規定されたテーブルを記憶する。例えば、解析用認証情報記憶部２１３ａは、図１４に例示するように、解析対象のプログラムを識別する情報である「解析プログラム」と、解析ホスト２２０上で動作するアプリケーションの種別を示す「クライアントアプリケーション」と、生成した認証情報を識別する情報である「認証情報」とを対応付けて記憶する。
　ここで、例えば、解析に利用する認証情報として、解析用認証情報記憶部２１３ａは、サービスのサイト情報、アカウント名、パスワード等を記憶する。サービスのサイト情報とは、例えば、解析用の認証情報を利用する不正アクセスを監視するためのサービスを提供するサーバ群２３０Ａ～２３０Ｃに関する情報であり、例えばＩＰアドレスもしくはＦＱＤＮ（Fully　Qualified　Domain　Name）である。
　また、解析用認証情報記憶部２１３ａは、アカウント名として、例えば、実際のサービスで利用されていないものを記憶する。また、解析用認証情報記憶部２１３ａは、パスワードとして、推測が困難な十分に複雑な文字列を記憶する。これは、ログイン時に漏えい情報かどうかを識別する際に、ブルートフォースによるログイン攻撃と識別するためである。
　悪性プログラム記憶部２１３ｂは、情報を漏えいする悪性プログラムを識別する情報を記憶する。具体的には、悪性プログラム記憶部２１３ｂは、後述する特定部２１２ｃによって特定された悪性プログラムを識別する情報を記憶する。
　図１３に戻って、制御部２１２は、生成部２１２ａと、管理部２１２ｂと、特定部２１２ｃと、収集部２１２ｄとを有する。ここで、制御部２１２は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路である。
　生成部２１２ａは、外部に漏えいさせる認証情報を生成する。例えば、生成部２１２ａは、攻撃者にあえて漏えいさせる解析用の認証情報として、サーバ群２３０Ａ～２３０ＣのＩＰアドレスもしくはＦＱＤＮと、ランダムに生成されたアカウント名およびパスワードの組み合わせである。なお、生成される認証情報は様々な種類のサービスに対応するものであってよく、例えばＳＳＨ（Secure　SHell）、ＦＴＰ（File　Transfer　Protocol）、ＰＯＰ（Post　Office　Protocol）などである。
　なお、サービスを提供するサーバ２３０において当該サービスに対するブルートフォースのログイン（攻撃者が可能な組み合わせのアカウント名とパスワードを総当たりで試行するログイン）と漏えいした認証情報を用いたログインとを正確に区別するため、生成される解析用認証情報は、ランダムに生成される十分に長いユニークな文字列であることが望ましい。
　管理部２１２ｂは、生成部２１２ａによって生成された認証情報を解析ホスト２２０に送信する。ここで送信された認証情報は、解析ホスト２２０上に設定され、解析対象のプログラムを実行する。また、管理部２１２ｂは、解析ホスト２２０が実行したプログラムと対応する認証情報の組を受信し、認証情報と、プログラムと対応する認証情報の組を対応付けて解析用認証情報記憶部２１３ａに格納する。
　特定部２１２ｃは、後述するサーバ２３０の検知部２３２ａによって認証情報を不正アクセスが検知された場合に、該認証情報が設定された解析ホスト２２０上で動作するプログラムを、情報漏えいを行うプログラムとして特定する。例えば、特定部２１２ｃは、サーバ群２３０Ａ～２３０Ｃから不正アクセスで利用された認証情報を受信すると、解析用認証情報記憶部２３３ａに記憶されたテーブルを参照して、該認証情報に対応するプログラムを取得し、該プログラムを、情報漏えいを行うプログラムとして特定する。
　収集部２１２ｄは、特定部２１２ｃによって特定されたプログラムと同一プログラムを、ウェブ空間から収集する。例えば、収集部２１２ｄは、既存技術であるＷｅｂクライアントハニーポットを用いて、Ｗｅｂ空間を巡回することで収集してもよい。Ｗｅｂクライアントハニーポットは、Ｗｅｂブラウザの脆弱性を攻撃されることで自動的にダウンロードおよびインストールされるプログラムの収集だけでなく、ポップアップ等でユーザがダイアログをクリックする必要があるプログラムのダウンロードおよびインストールを行う必要があるプログラムであっても、ユーザインタラクションを模擬することで収集できる。特に、このようなユーザがダイアログをクリックする必要があるプログラムのダウンロードおよびインストールを行う必要があるプログラムの場合は、プログラムが正規のものと悪意をもったものが混在するため、情報漏えいを行うかどうかに基づいてマルウェアかどうかを判別できる。
［解析ホストの構成］
　次に、図１５に示した解析ホスト２２０の構成を説明する。図１５は、第二の実施形態に係る解析ホストの構成を示すブロック図である。図１５に示すように、解析ホスト２２０は、通信処理部２２１、制御部２２２および記憶部２２３を有する。
　通信処理部２２１は、接続される認証情報管理装置２１０、サーバ群２３０Ａ～２３０Ｃ等との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部２２１は、認証情報管理装置２１０から認証情報を受信する。また、例えば、通信処理部２２１は、外部の攻撃者に認証情報を送信する。なお、認証情報管理装置２１０から認証情報を受信した場合には、後述する解析用認証情報記憶部２２３ａに受信した認証情報が格納される。
　記憶部２２３は、図１５に示すように、解析用認証情報記憶部２２３ａを有する。記憶部２２３は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
　解析用認証情報記憶部２２３ａは、前述した認証情報管理装置２１０によって生成された解析用の認証情報を記憶する。例えば、解析用認証情報記憶部２２３ａは、解析に利用する認証情報として、サービスのサイト情報、アカウント名、パスワード等を記憶する。サービスのサイト情報とは、例えば、解析用の認証情報を利用する不正アクセスを監視するためのサービスを提供するサーバ群２３０Ａ～２３０Ｃに関する情報であり、例えばＩＰアドレスもしくはＦＱＤＮ（Fully　Qualified　Domain　Name）である。
　また、解析用認証情報記憶部２２３ａは、アカウント名として、例えば、実際のサービスで利用されていないものを記憶する。また、解析用認証情報記憶部２２３ａは、パスワードとして、推測が困難な十分に複雑な文字列を記憶する。これは、ログイン時に漏えい情報かどうかを識別する際に、ブルートフォースによるログイン攻撃と識別するためである。
　図１５に戻って、制御部２２２は、設定部２２２ａと、動作部２２２ｂとを有する。ここで、制御部２２２は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路である。
　設定部２２２ａは、認証情報管理装置２１０の生成部２１２ａによって生成された認証情報を特定のサービスの認証情報として設定する。例えば、設定部２２２ａは、解析用認証情報記憶部２２３ａから認証情報を取得し、取得した認証情報を特定のサービスの認証情報として設定する。
　動作部２２２ｂは、設定部２２２ａにより認証情報が設定された解析ホスト２２０上で解析対象プログラムとして、サービスのクライアントアプリケーション（ＳＳＨ、ＦＴＰ、ＰＯＰ等）を動作させる。そして、動作部２２２ｂは、実行したプログラムと対応する認証情報の組を通知する。ここで、動作させたプログラムが情報漏えいを行うマルウェアであった場合は、認証情報をユーザの同意なく密かに外部の攻撃者に漏えいすることとなる。漏えいさせる認証情報は、どのような種類のサービスであってもよく、サービスを提供するサーバ２３０側で漏えいさせた認証情報のログインがあったかどうかを確認できればよい。また、サービスは解析用に用意してもよいし、実際のサービスを用いてもよい。
　また、解析ホスト２２０上では、サービスのクライアントアプリケーションが動作する場合には、これらクライアントアプリケーションが認証情報をファイルやレジストリに書き込むことが想定される。この設定用ファイルやレジストリは各クライアントアプリケーションによって格納されるパスや形式があらかじめ決まっているため、それに従って認証情報をファイルやレジストリに書き込む。
　解析するプログラムが情報漏えいを行うマルウェアの場合は、前述の認証情報が格納されているファイルやレジストリにアクセスし、その情報を外部に送信する。認証情報の設定については、ホスト毎に単一の特定のクライアントアプリケーションのファイルやレジストリに設定してもよいし、同時に複数のクライアントアプリケーションのファイルやレジストリに設定してもよい。なお、同時に複数のクライアントアプリケーションに解析情報を設定する場合は、設定するクライアントアプリケーションの種類だけ解析用認証情報を生成しておく必要がある。
　例えば、図１６に例示するように、単一の特定のクライアントアプリケーションのファイルやレジストリに認証情報を設定する例として、解析ホスト２２０が、「解析用認証情報Ａ」を「ＳＳＨクライアントアプリケーションの設定ファイル」に設定して「プログラム１」を動作させる。または、異なる解析ホスト２２０が、「解析用認証情報Ｂ」を「ＦＴＰクライアントアプリケーションの設定ファイル」に設定して「プログラム２」を動作させる。
　また、図１６に例示するように、同時に複数のクライアントアプリケーションのファイルやレジストリに解析用認証情報を設定する例として、解析ホスト２２０が、「解析用認証情報Ｃ」を「ＳＳＨクライアントアプリケーションの設定ファイル」に設定し、かつ、「解析用認証情報Ｄ」を「ＦＴＰクライアントアプリケーションの設定ファイル」に設定し、かつ、「解析用認証情報Ｅ」を「ＰＯＰクライアントアプリケーションの設定レジストリ」に設定して「プログラム３」を動作させる。
［サーバの構成］
　次に、図１７に示したサーバ２３０の構成を説明する。図１７は、第二の実施形態に係るサーバの構成を示すブロック図である。図１７に示すように、サーバ２３０は、通信処理部２３１、制御部２３２および記憶部２３３を有する。
　通信処理部２３１は、接続される認証情報管理装置２１０、解析ホスト２２０等との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部２３１は、認証情報管理装置２１０に対して不正アクセスに利用された認証情報を送信する。また、通信処理部２３１は、認証情報管理装置２１０から解析用認証情報を受信する。ここで受信した解析用認証情報は、解析用認証情報記憶部２３３ａに記憶される。
　記憶部２３３は、図１７に示すように、解析用認証情報記憶部２３３ａを有する。記憶部２３３は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
　解析用認証情報記憶部２３３ａは、前述した認証情報管理装置２１０によって生成された解析用の認証情報のリストを記憶する。解析用認証情報記憶部２３３ａに記憶される認証情報のリストは、後述する検知部２３２ａによってログインが不正アクセスであるか否かを判定するために使用される。
　例えば、解析用認証情報記憶部２３３ａは、解析に利用する認証情報として、サービスのサイト情報、アカウント名、パスワード等を記憶する。サービスのサイト情報とは、例えば、解析用の認証情報を利用する不正アクセスを監視するためのサービスを提供するサーバ２３０に関する情報であり、例えばＩＰアドレスもしくはＦＱＤＮ（Fully　Qualified　Domain　Name）である。
　また、解析用認証情報記憶部２３３ａは、アカウント名として、例えば、実際のサービスで利用されていないものを記憶する。また、解析用認証情報記憶部２３３ａは、パスワードとして、推測が困難な十分に複雑な文字列を記憶する。これは、ログイン時に漏えい情報かどうかを識別する際に、ブルートフォースによるログイン攻撃と識別するためである。
　図１７に戻って、制御部２３２は、検知部２３２ａと、削除部２３２ｂとを有する。ここで、制御部２３２は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路である。
　検知部２３２ａは、認証情報管理装置２１０の生成部２１２ａによって生成された認証情報を用いたコンテンツへの不正アクセスを検知する。具体的には、検知部２３２ａは、コンテンツへのアクセスに用いられた認証情報が解析用認証情報記憶部２３３ａに記憶された認証情報と一致するか判定し、一致する場合には、不正アクセスとして検知する。
　例えば、検知部２３２ａは、解析用認証情報に対応する解析用アカウントが用意されたコンテンツに対して、ログインイベントが発生した場合には、該ログインに用いられた認証情報が解析用認証情報記憶部２３３ａに記憶された解析用認証情報に含まれるか判定する。
　この結果、検知部２３２ａは、ログインに用いられた認証情報が解析用認証情報記憶部２３３ａに記憶された解析用認証情報のリストに含まれる場合には、ログインを不正アクセスであると判定し、不正アクセスに利用された認証情報を認証情報管理装置２１０に対して送信する。また、検知部２３２ａは、ログインに用いられた認証情報が解析用認証情報記憶部２３３ａに記憶された解析用認証情報のリストに含まれない場合には、ログインを正常アクセスであると判定する。
　削除部２３２ｂは、認証情報管理装置２１０の特定部２１２ｃによって特定されたプログラムを検出し、該プログラムを検出した場合には、該プログラムを削除する。また、例えば、削除部２３２ｂは、認証情報管理装置２１０から情報漏えいするプログラムを識別する情報を受信すると、情報漏えいを行うプログラムから、実際のホストを情報漏えいの被害から防ぐ方法として、当該プログラムのホスト上での実行禁止ができる。ホストベースの侵入検知システムやアンチウィルスソフトのファイルシグネチャとして当該プログラムを登録しておき、ホスト上にファイルが存在した場合やまたそれを実行しようとした場合に禁止、および削除する。
　また、実際のホストを情報漏えいの被害から防ぐ方法として、当該プログラムのネットワークからのダウンロード禁止ができる。ネットワークベースの侵入検知システムやＷｅｂプロキシ、メールサーバなどで監視を行い、外部ネットワークからダウンロードされるファイルを検査し、当該プログラムが含まれる場合はダウンロードを禁止する。
　ここで、図１８を用いて、第二の実施形態に係る不正アクセス検知システム２００において、認証情報を用いた情報漏えい検知処理を説明する。図１８は、第二の実施形態に係る不正アクセス検知システムにおいて、認証情報を用いた情報漏えい検知処理を説明する図である。図１８に示すように、不正アクセス検知システム２００の認証情報管理装置２１０は、プログラムの解析の度に毎回、ユニークな解析用認証情報（サービスを提供するサーバ名、アカウント名とパスワード情報の組み）を生成して、通知する（図１８の（１）参照）。
　そして、生成した解析用認証情報をプログラムを実行する解析ホスト２２０上に設定し（図１８の（２）参照）、解析対象のプログラムを実行する（図１８の（３）参照）。また、解析用ホスト２２０は、実行したプログラムと対応する認証情報の組を認証情報管理装置２１０に通知する（図１８の（４）参照）。そして、認証情報管理装置２１０は、生成した解析用認証情報をサービスを提供するサーバ２３０に対して生成して通知する（図１８の（５）参照）。
　その後、解析ホスト２２０は、解析対象のプログラムを実行した後、該プログラムが情報漏えいをするマルウェアの場合は設定された解析用認証情報を攻撃者に送信する（図１８の（６）参照）。この時点で、プログラムが情報漏えいを行ったかどうかを識別する必要は無い。攻撃者は、漏えいした認証情報を利用して、当該サービスに対して不正アクセスを行って、ログインを試みる（図１８の（７）参照）。当該サービスを提供するサーバ２３０は、ログインに対して、解析用認証情報を用いたログインであるかどうかを識別し、解析用認証情報を用いたログインである場合は、不正アクセスであると検知する（図１８の（８）参照）。この際に利用された解析用認証情報から、解析を行ったプログラムを特定できるため、当該プログラムが情報漏えいを行うプログラムであることが分かる。
　ここで、図１９を用いて、第二の実施形態に係る不正アクセス検知システム２００において、情報漏えいを行うマルウェアの特定処理を説明する。図１９は、第二の実施形態に係る不正アクセス検知システムにおいて、情報漏えいを行うマルウェアの特定処理を説明する図である。
　図１９に示すように、解析ホスト２２０は、認証情報管理装置２１０によって生成された認証情報を、解析ホスト２２０上にある特定のサービスの認証情報として設定し、プログラムを動作させた際に、解析するプログラムが情報漏えいを行うマルウェアの場合は、前述の認証情報が格納されているファイルやレジストリにアクセスする（図１９の（１）参照）。そして、解析ホスト２２０は、認証情報をユーザの同意なく密かに外部の攻撃者に漏えいする（図１９の（２）参照）。
　次に、ある特定のサービスを提供するサーバ２３０を動作させておき、ログインを観測する。この際に、攻撃者が漏えいさせた認証情報を用いたログインが行われた場合は（図１９の（３）参照）、サーバ２３０は、それは不正アクセスであると判断する（図１９の（４）参照）。そして、不正アクセスに利用された認証情報から、その認証情報を設定して解析したプログラムを特定でき、さらにこのプログラムが情報漏えいを行ったと断定できる。このため、情報漏えいを行うマルウェアを正確に特定することができる。
［サーバによる処理］
　次に、図２０を用いて、第二の実施形態に係るサーバ２３０による処理を説明する。図２０は、第二の実施形態に係る不正アクセス検知システムのサーバにおける不正アクセス検知処理の流れを説明するためのフローチャートである。
　図２０に示すように、サーバ２３０の通信処理部２３１は、認証情報管理装置２１０から解析用認証情報を受信したか判定する（ステップＳ２０１）。この結果、通信処理部２３１は、認証情報管理装置２１０から解析用認証情報を受信していない場合には（ステップＳ２０１否定）、ステップＳ２０３の処理に進む。また、通信処理部２３１は、認証情報管理装置２１０から解析用認証情報を受信した場合には（ステップＳ２０１肯定）、解析用認証情報記憶部２３３ａに記憶された比較用の解析用認証情報のリストを更新する（ステップＳ２０２）。
　そして、検知部２３２ａは、解析用認証情報に対応する解析用アカウントが用意されたコンテンツに対して、ログインイベントが発生したか否かを判定する（ステップＳ２０３）。この結果、ログインイベントが発生しなかった場合には（ステップＳ２０３否定）、ステップＳ２０１の処理に戻る。また、検知部２３２ａは、ログインイベントが発生した場合には（ステップＳ２０３肯定）、該ログインに用いられた認証情報が解析用認証情報記憶部２３３ａに記憶された解析用認証情報に含まれるか判定する（ステップＳ２０４）。
　この結果、検知部２３２ａは、ログインに用いられた認証情報が解析用認証情報記憶部２３３ａに記憶された解析用認証情報に含まれていない場合には（ステップＳ２０４否定）、ログインを正常アクセスと判定して（ステップＳ２０６）、後述するステップＳ２０８の処理を行う。また、検知部２３２ａは、ログインに用いられた認証情報が解析用認証情報記憶部２３３ａに記憶された解析用認証情報に含まれる場合には（ステップＳ２０４肯定）、ログインを不正アクセスと判定する（ステップＳ２０５）。
　続いて、検知部２３２ａは、不正アクセスに利用された認証情報を認証情報管理装置２１０に通知し（ステップＳ２０７）、不正アクセスの監視を継続するか否かを判定する（ステップＳ２０８）。この結果、検知部２３２ａは、不正アクセスの監視を継続すると判定した場合には（ステップＳ２０８肯定）、ステップＳ２０１に戻る。また、検知部２３２ａは、不正アクセスの監視を継続しないと判定した場合には（ステップＳ２０８否定）、処理を終了する。
［第二の実施形態の効果］
　上述してきたように、第二の実施形態にかかる不正アクセス検知システム２００では、認証情報を生成し、生成された認証情報を解析ホスト２２０上で設定し、該解析ホスト２２０上で解析対象プログラムを動作させる。そして、認証情報を用いたコンテンツへの不正アクセスを検知し、認証情報を用いた認証情報を不正アクセスが検知された場合に、該認証情報が設定された解析ホスト２２０上で動作するプログラムを情報漏えいを行うプログラムとして特定する。このため、情報漏えいを行うマルウェアを正確に特定することが可能である。
　また、不正アクセス検知システム２００では、プログラム、特にマルウェアは耐解析機能を持っておりプログラムコードの解析や挙動の解析、通信内容の解析が一般的に困難である。本実施形態では、情報漏えいを行うコードの特定、プログラムの挙動、もしくはプログラムが外部に送信する通信の内容を解析することなく、情報漏えいを行うプログラム（マルウェア）を正確に特定できる。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、生成部１２ａと管理部１２ｂとを統合してもよい。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　また、上記実施形態において説明した不正アクセス検知システム１００、２００における各装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第一の実施形態に係る不正アクセス検知システム１００または第二の実施形態に係る不正アクセス検知システム２００における各装置が実行する処理をコンピュータが実行可能な言語で記述した不正アクセス検知プログラムを作成することもできる。この場合、コンピュータが不正アクセス検知プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる不正アクセス検知プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された不正アクセス検知プログラムをコンピュータに読み込ませて実行することにより上記第一の実施形態または第二の実施形態と同様の処理を実現してもよい。
　図２１は、不正アクセス検知プログラムを実行するコンピュータ１０００を示す図である。図２１に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
　メモリ１０１０は、図２１に例示するように、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図２１に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図２１に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、図２１に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図２１に例示するように、例えばディスプレイ１０６１に接続される。
　ここで、図２１に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の不正アクセス検知プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。
　また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
　なお、不正アクセス検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、不正アクセス検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１０、２１０　認証情報管理装置
　１１、２１、３１、４１、２１１、２２１、２３１　通信処理部
　１２、２２、３２、４２、２１２、２２２、２３２　制御部
　１２ａ、２１２ａ　生成部
　１２ｂ、２１２ｂ　管理部
　１３、２３、３３、４３、２１３、２２３、２３３　記憶部
　１３ａ、２３ａ、３３ａ、２１３ａ、２２３ａ、２３３ａ　解析用認証情報記憶部
　２０、２２０　解析ホスト
　２２ａ、２２２ａ　設定部
　２２ｂ、２２２ｂ　動作部
　３０、２３０　サーバ
　３２ａ、２３２ａ　検知部
　３２ｂ　特定部
　３２ｃ、４２ａ　格納部
　３２ｄ　アクセス防止部
　３３ｂ、４３ａ　不正ホスト情報記憶部
　４０　不正アクセス情報管理装置
　４２ｂ　送信部
　４３ｂ　サーバ情報記憶部
　５０、２４０　インターネット
　１００、２００　不正アクセス検知システム
　２１２ｃ　特定部
　２１２ｄ　収集部
　２１３ｂ　悪性プログラム記憶部
　２３２ｂ　削除部

Claims (16)

  1. 　外部に漏えいさせる認証情報を生成する生成部と、
    　前記生成部によって生成された認証情報をホスト上で設定し、該ホスト上で解析対象プログラムを動作させる動作部と、
    　前記認証情報を用いたコンテンツへのアクセスを検知する検知部と、
    　前記検知部によって前記認証情報を用いたアクセスが検知された場合には、該アクセスを不正アクセスとして特定する特定部と、
    　を備えたことを特徴とする不正アクセス検知システム。
  2. 　前記特定部によって不正アクセスとして特定されたアクセスを行ったホストの情報を取得して記憶部に格納する格納部をさらに備えることを特徴とする請求項１に記載の不正アクセス検知システム。
  3. 　前記記憶部に記憶されたホストの情報により特定されるホストからのアクセスを検出し、該ホストからのアクセスを防止するアクセス防止部をさらに備えることを特徴とする請求項２に記載の不正アクセス検知システム。
  4. 　前記格納部は、前記ホストの情報として、ＩＰ（Internet　Protocol）アドレスを取得して記憶部に格納することを特徴とする請求項２に記載の不正アクセス検知システム。
  5. 　認証情報を生成する生成部と、
    　前記生成部によって生成された認証情報をホスト装置上で設定し、該ホスト上で解析対象プログラムを動作させる動作部と、
    　前記認証情報を用いたコンテンツへの不正アクセスを検知する検知部と、
    　前記検知部によって前記認証情報を用いた不正アクセスが検知された場合に、該認証情報が設定されたホスト上で動作するプログラムを、情報漏えいを行うプログラムとして特定する特定部と、
    　を備えたことを特徴とする不正アクセス検知システム。
  6. 　前記生成部によって生成された認証情報を記憶する記憶部を更に備え、
    　前記検知部は、前記コンテンツへのアクセスに用いられた認証情報が前記記憶部に記憶された認証情報と一致するか判定し、一致する場合には、不正アクセスとして検知することを特徴とする請求項５に記載の不正アクセス検知システム。
  7. 　前記特定部によって特定されたプログラムを検出し、該プログラムを検出した場合には、該プログラムを削除する削除部をさらに備えることを特徴とする請求項５または６に記載の不正アクセス検知システム。
  8. 　前記特定部によって特定されたプログラムと同一プログラムを、ウェブ空間から収集する収集部をさらに備えることを特徴とする請求項５または６に記載の不正アクセス検知システム。
  9. 　不正アクセス検知システムによって実行される不正アクセス検知方法であって、
    　外部に漏えいさせる認証情報を生成する生成工程と、
    　前記生成工程によって生成された認証情報をホスト上で設定し、該ホスト上で解析対象プログラムを動作させる動作工程と、
    　前記認証情報を用いたコンテンツへのアクセスを検知する検知工程と、
    　前記検知工程によって前記認証情報を用いたアクセスが検知された場合には、該アクセスを不正アクセスとして特定する特定工程と、
    　を含んだことを特徴とする不正アクセス検知方法。
  10. 　前記特定工程によって不正アクセスとして特定されたアクセスを行ったホストの情報を取得して記憶部に格納する格納工程をさらに含んだことを特徴とする請求項９に記載の不正アクセス検知方法。
  11. 　前記記憶部に記憶されたホストの情報により特定されるホストからのアクセスを検出し、該ホストからのアクセスを防止するアクセス防止工程をさらに含んだことを特徴とする請求項１０に記載の不正アクセス検知方法。
  12. 　前記格納工程は、前記ホストの情報として、ホストのＩＰ（Internet　Protocol）アドレスを取得して記憶部に格納することを特徴とする請求項１０に記載の不正アクセス検知方法。
  13. 　不正アクセス検知システムによって実行される不正アクセス検知方法であって、
    　認証情報を生成する生成工程と、
    　前記生成工程によって生成された認証情報をホスト装置上で設定し、該ホスト上で解析対象プログラムを動作させる動作工程と、
    　前記認証情報を用いたコンテンツへの不正アクセスを検知する検知工程と、
    　前記検知工程によって前記認証情報を用いた不正アクセスが検知された場合に、該認証情報が設定されたホスト上で動作するプログラムを、情報漏えいを行うプログラムとして特定する特定工程と、
    　を含んだことを特徴とする不正アクセス検知方法。
  14. 　前記生成工程によって生成された認証情報を記憶部に格納する格納工程をさらに含み、
    　前記検知工程は、前記コンテンツへのアクセスに用いられた認証情報が前記記憶部に記憶された認証情報と一致するか判定し、一致する場合には、不正アクセスとして検知することを特徴とする請求項１３に記載の不正アクセス検知方法。
  15. 　前記特定工程によって特定されたプログラムを検出し、該プログラムを検出した場合には、該プログラムを削除する削除工程をさらに含んだことを特徴とする請求項１３または１４に記載の不正アクセス検知方法。
  16. 　前記特定工程によって特定されたプログラムと同一プログラムを、ウェブ空間から収集する収集工程をさらに含んだことを特徴とする請求項１３または１４に記載の不正アクセス検知方法。
PCT/JP2014/066272 2013-07-05 2014-06-19 不正アクセス検知システム及び不正アクセス検知方法 WO2015001969A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201480038116.2A CN105359156B (zh) 2013-07-05 2014-06-19 非法访问检测系统和非法访问检测方法
JP2015525135A JP6001781B2 (ja) 2013-07-05 2014-06-19 不正アクセス検知システム及び不正アクセス検知方法
EP14819369.1A EP2998901B1 (en) 2013-07-05 2014-06-19 Unauthorized-access detection system and unauthorized-access detection method
US14/901,934 US10142343B2 (en) 2013-07-05 2014-06-19 Unauthorized access detecting system and unauthorized access detecting method

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2013141770 2013-07-05
JP2013-141770 2013-07-05
JP2013141772 2013-07-05
JP2013-141772 2013-07-05

Publications (1)

Publication Number Publication Date
WO2015001969A1 true WO2015001969A1 (ja) 2015-01-08

Family

ID=52143547

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/066272 WO2015001969A1 (ja) 2013-07-05 2014-06-19 不正アクセス検知システム及び不正アクセス検知方法

Country Status (5)

Country Link
US (1) US10142343B2 (ja)
EP (1) EP2998901B1 (ja)
JP (1) JP6001781B2 (ja)
CN (1) CN105359156B (ja)
WO (1) WO2015001969A1 (ja)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9787715B2 (en) 2015-06-08 2017-10-10 Iilusve Networks Ltd. System and method for creation, deployment and management of augmented attacker map
JP2019508779A (ja) * 2015-12-31 2019-03-28 アリババ グループ ホウルディング リミテッド ラベルデータ漏洩チャネル検出方法および装置
US10333976B1 (en) 2018-07-23 2019-06-25 Illusive Networks Ltd. Open source intelligence deceptions
US10333977B1 (en) 2018-08-23 2019-06-25 Illusive Networks Ltd. Deceiving an attacker who is harvesting credentials
US10382483B1 (en) 2018-08-02 2019-08-13 Illusive Networks Ltd. User-customized deceptions and their deployment in networks
US10382484B2 (en) 2015-06-08 2019-08-13 Illusive Networks Ltd. Detecting attackers who target containerized clusters
US10404747B1 (en) 2018-07-24 2019-09-03 Illusive Networks Ltd. Detecting malicious activity by using endemic network hosts as decoys
US10432665B1 (en) 2018-09-03 2019-10-01 Illusive Networks Ltd. Creating, managing and deploying deceptions on mobile devices

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016121255A1 (ja) * 2015-01-28 2016-08-04 日本電信電話株式会社 マルウェア解析システム、マルウェア解析方法およびマルウェア解析プログラム
US10270808B1 (en) * 2018-03-12 2019-04-23 Capital One Services, Llc Auto-generated synthetic identities for simulating population dynamics to detect fraudulent activity
CN110661714B (zh) 2018-06-30 2022-06-28 华为技术有限公司 发送bgp消息的方法、接收bgp消息的方法以及设备
US11151576B2 (en) 2019-04-05 2021-10-19 At&T Intellectual Property I, L.P. Authorizing transactions using negative pin messages

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10124457A (ja) * 1996-10-25 1998-05-15 Hitachi Ltd ユーザ認証方法
JP2006099590A (ja) * 2004-09-30 2006-04-13 Oki Electric Ind Co Ltd アクセス制御装置、アクセス制御方法およびアクセス制御プログラム
US20070261112A1 (en) * 2006-05-08 2007-11-08 Electro Guard Corp. Network Security Device
JP2012083849A (ja) * 2010-10-07 2012-04-26 Hitachi Ltd マルウェア検知装置、及びその方法とプログラム
JP2014110046A (ja) * 2012-11-30 2014-06-12 Nhn Business Platform Corp 不正アクセスの検知および処理システム、装置、方法、並びにコンピュータ読み取り可能な記録媒体

Family Cites Families (39)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7093291B2 (en) * 2002-01-28 2006-08-15 Bailey Ronn H Method and system for detecting and preventing an intrusion in multiple platform computing environments
US9678967B2 (en) * 2003-05-22 2017-06-13 Callahan Cellular L.L.C. Information source agent systems and methods for distributed data storage and management using content signatures
US20050193429A1 (en) * 2004-01-23 2005-09-01 The Barrier Group Integrated data traffic monitoring system
US8321910B1 (en) * 2005-01-21 2012-11-27 Trend Micro, Inc. Determining the source of malware
US7665134B1 (en) * 2005-01-26 2010-02-16 Symantec Corporation Profiling users based on artificially constructed deceptive content
US8819825B2 (en) * 2006-05-31 2014-08-26 The Trustees Of Columbia University In The City Of New York Systems, methods, and media for generating bait information for trap-based defenses
US7814549B2 (en) * 2006-08-03 2010-10-12 Symantec Corporation Direct process access
US8220049B2 (en) * 2006-12-28 2012-07-10 Intel Corporation Hardware-based detection and containment of an infected host computing device
WO2009032379A1 (en) * 2007-06-12 2009-03-12 The Trustees Of Columbia University In The City Of New York Methods and systems for providing trap-based defenses
US9009829B2 (en) * 2007-06-12 2015-04-14 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for baiting inside attackers
JP5429157B2 (ja) * 2008-03-03 2014-02-26 日本電気株式会社 機密情報漏洩防止システム及び機密情報漏洩防止方法
US9130986B2 (en) * 2008-03-19 2015-09-08 Websense, Inc. Method and system for protection against information stealing software
US9015842B2 (en) * 2008-03-19 2015-04-21 Websense, Inc. Method and system for protection against information stealing software
US8695094B2 (en) * 2008-06-24 2014-04-08 International Business Machines Corporation Detecting secondary infections in virus scanning
US8181250B2 (en) * 2008-06-30 2012-05-15 Microsoft Corporation Personalized honeypot for detecting information leaks and security breaches
US8650630B2 (en) * 2008-09-18 2014-02-11 Alcatel Lucent System and method for exposing malicious sources using mobile IP messages
US9043919B2 (en) * 2008-10-21 2015-05-26 Lookout, Inc. Crawling multiple markets and correlating
US9047458B2 (en) * 2009-06-19 2015-06-02 Deviceauthority, Inc. Network access protection
JP2011053893A (ja) * 2009-09-01 2011-03-17 Hitachi Ltd 不正プロセス検知方法および不正プロセス検知システム
US8528091B2 (en) * 2009-12-31 2013-09-03 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for detecting covert malware
US8949988B2 (en) * 2010-02-26 2015-02-03 Juniper Networks, Inc. Methods for proactively securing a web application and apparatuses thereof
US8549643B1 (en) * 2010-04-02 2013-10-01 Symantec Corporation Using decoys by a data loss prevention system to protect against unscripted activity
US8839433B2 (en) * 2010-11-18 2014-09-16 Comcast Cable Communications, Llc Secure notification on networked devices
US8707437B1 (en) * 2011-04-18 2014-04-22 Trend Micro Incorporated Techniques for detecting keyloggers in computer systems
KR101380966B1 (ko) * 2011-08-24 2014-05-02 주식회사 팬택 휴대 단말 시스템에서의 보안 장치
CN102315992A (zh) * 2011-10-21 2012-01-11 北京海西赛虎信息安全技术有限公司 非法外联检测方法
US20130103944A1 (en) * 2011-10-24 2013-04-25 Research In Motion Limited Hypertext Link Verification In Encrypted E-Mail For Mobile Devices
US20130263226A1 (en) * 2012-01-22 2013-10-03 Frank W. Sudia False Banking, Credit Card, and Ecommerce System
EP2817760A4 (en) * 2012-02-21 2015-09-02 Logos Technologies Llc SYSTEM FOR DETECTING, ANALYZING AND CONTROLLING INFILTRATION OF COMPUTER SYSTEMS AND NETWORK
US9674258B2 (en) * 2012-02-23 2017-06-06 Yottaa Inc. System and method for context specific website optimization
US9152784B2 (en) * 2012-04-18 2015-10-06 Mcafee, Inc. Detection and prevention of installation of malicious mobile applications
US8990944B1 (en) * 2013-02-23 2015-03-24 Fireeye, Inc. Systems and methods for automatically detecting backdoors
US9565202B1 (en) * 2013-03-13 2017-02-07 Fireeye, Inc. System and method for detecting exfiltration content
US10185584B2 (en) * 2013-08-20 2019-01-22 Teleputers, Llc System and method for self-protecting data
US9473520B2 (en) * 2013-12-17 2016-10-18 Verisign, Inc. Systems and methods for incubating malware in a virtual organization
US9609019B2 (en) * 2014-05-07 2017-03-28 Attivo Networks Inc. System and method for directing malicous activity to a monitoring system
US9667637B2 (en) * 2014-06-09 2017-05-30 Guardicore Ltd. Network-based detection of authentication failures
US9740877B2 (en) * 2015-09-22 2017-08-22 Google Inc. Systems and methods for data loss prevention while preserving privacy
US9942270B2 (en) * 2015-12-10 2018-04-10 Attivo Networks Inc. Database deception in directory services

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10124457A (ja) * 1996-10-25 1998-05-15 Hitachi Ltd ユーザ認証方法
JP2006099590A (ja) * 2004-09-30 2006-04-13 Oki Electric Ind Co Ltd アクセス制御装置、アクセス制御方法およびアクセス制御プログラム
US20070261112A1 (en) * 2006-05-08 2007-11-08 Electro Guard Corp. Network Security Device
JP2012083849A (ja) * 2010-10-07 2012-04-26 Hitachi Ltd マルウェア検知装置、及びその方法とプログラム
JP2014110046A (ja) * 2012-11-30 2014-06-12 Nhn Business Platform Corp 不正アクセスの検知および処理システム、装置、方法、並びにコンピュータ読み取り可能な記録媒体

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
MCAFEE DATA LOSS PREVENTION ENDPOINT, 1 May 2013 (2013-05-01)
RSA DLP (DATA LOSS PREVENTION) SUITE, 1 May 2013 (2013-05-01)
TAKESHI YAGI: "Analysis of Website Infections using Malware", IEICE TECHNICAL REPORT, vol. 111, no. 82, 9 June 2011 (2011-06-09), pages 75 - 80, XP008181265 *
TAKESHI YAGI: "Design of an FTP Honeypot for Expanding the Search Scope in Attack Space", CSS2012 COMPUTER SECURITY SYMPOSIUM 2012 RONBUNSHU, vol. 2012, no. 3, 23 October 2012 (2012-10-23), pages 823 - 827, XP055295833 *

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10382484B2 (en) 2015-06-08 2019-08-13 Illusive Networks Ltd. Detecting attackers who target containerized clusters
US9794283B2 (en) 2015-06-08 2017-10-17 Illusive Networks Ltd. Predicting and preventing an attacker's next actions in a breached network
US9954878B2 (en) 2015-06-08 2018-04-24 Illusive Networks Ltd. Multi-factor deception management and detection for malicious actions in a computer network
US9985989B2 (en) 2015-06-08 2018-05-29 Illusive Networks Ltd. Managing dynamic deceptive environments
US10097577B2 (en) 2015-06-08 2018-10-09 Illusive Networks, Ltd. Predicting and preventing an attacker's next actions in a breached network
US10142367B2 (en) 2015-06-08 2018-11-27 Illusive Networks Ltd. System and method for creation, deployment and management of augmented attacker map
US10291650B2 (en) 2015-06-08 2019-05-14 Illusive Networks Ltd. Automatically generating network resource groups and assigning customized decoy policies thereto
US9787715B2 (en) 2015-06-08 2017-10-10 Iilusve Networks Ltd. System and method for creation, deployment and management of augmented attacker map
US10623442B2 (en) 2015-06-08 2020-04-14 Illusive Networks Ltd. Multi-factor deception management and detection for malicious actions in a computer network
JP2019508779A (ja) * 2015-12-31 2019-03-28 アリババ グループ ホウルディング リミテッド ラベルデータ漏洩チャネル検出方法および装置
US11080427B2 (en) 2015-12-31 2021-08-03 Alibaba Group Holding Limited Method and apparatus for detecting label data leakage channel
US10333976B1 (en) 2018-07-23 2019-06-25 Illusive Networks Ltd. Open source intelligence deceptions
US10404747B1 (en) 2018-07-24 2019-09-03 Illusive Networks Ltd. Detecting malicious activity by using endemic network hosts as decoys
US10382483B1 (en) 2018-08-02 2019-08-13 Illusive Networks Ltd. User-customized deceptions and their deployment in networks
US10333977B1 (en) 2018-08-23 2019-06-25 Illusive Networks Ltd. Deceiving an attacker who is harvesting credentials
US10432665B1 (en) 2018-09-03 2019-10-01 Illusive Networks Ltd. Creating, managing and deploying deceptions on mobile devices

Also Published As

Publication number Publication date
JP6001781B2 (ja) 2016-10-05
US20160373447A1 (en) 2016-12-22
EP2998901B1 (en) 2020-06-17
CN105359156A (zh) 2016-02-24
JPWO2015001969A1 (ja) 2017-02-23
EP2998901A1 (en) 2016-03-23
US10142343B2 (en) 2018-11-27
EP2998901A4 (en) 2016-12-21
CN105359156B (zh) 2018-06-12

Similar Documents

Publication Publication Date Title
JP6001781B2 (ja) 不正アクセス検知システム及び不正アクセス検知方法
JP7460696B2 (ja) カーネルモードにおけるマルウェアおよびステガノグラフィのリアルタイム検出ならびにマルウェアおよびステガノグラフィからの保護
JP7084778B2 (ja) 標的型攻撃をクラウド型検出、探索および除去するシステムおよび方法
US9531740B2 (en) Software program identification based on program behavior
Sukwong et al. Commercial antivirus software effectiveness: an empirical study
US9390268B1 (en) Software program identification based on program behavior
JP6334069B2 (ja) 悪意のあるコードの検出の精度保証のためのシステムおよび方法
US10235521B2 (en) Malware detection using clustering with malware source information
US20160373486A1 (en) Security Policy Deployment and Enforcement System for the Detection and Control of Polymorphic and Targeted Malware
JP2010079901A (ja) アプリケーションの評判に応じて段階的に制限を実施する方法およびそのコンピュータプログラム
US10033761B2 (en) System and method for monitoring falsification of content after detection of unauthorized access
US12056237B2 (en) Analysis of historical network traffic to identify network vulnerabilities
Sharp An introduction to malware
Kaur et al. An empirical analysis of crypto-ransomware behavior
US20230283632A1 (en) Detecting malicious url redirection chains
Anand et al. Comparative study of ransomwares
Kumar et al. A review on 0-day vulnerability testing in web application
EP3999985A1 (en) Inline malware detection
Deep et al. Security In Smartphone: A Comparison of Viruses and Security Breaches in Phones and Computers
Jamuradovich SEARCHING FOR WAYS TO IMPROVE THE EFFECTIVENESS OF TOOLS FOR DETECTING INFECTED FILES OF COMPUTER SYSTEMS
Patel et al. Malware Detection Using Yara Rules in SIEM
US20240333759A1 (en) Inline ransomware detection via server message block (smb) traffic
Fresia Macos X Malware Analysis
JP6296915B2 (ja) 解析装置及び解析方法及びプログラム
Aliabbas INFORMATION AND WEB TECHNOLOGIES

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201480038116.2

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14819369

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015525135

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 2014819369

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 14901934

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE