JP2003167786A - ネットワーク監視システム - Google Patents

Abstract

(57)【要約】 【課題】 外部コンピュータが企業内のＷＷＷサーバに
不正アクセスしてファイルを改竄しても、それを速やか
発見して改竄前の状態に自動的に復旧させる。 【解決手段】 外部コンピュータ１は、ＷＷＷサーバ３
へ自由にアクセスできるが、バックアップサーバ７へは
アクセスできない。また、バックアップサーバ７はＷＷ
Ｗサーバ３のバックアップファイルを格納している。一
方、ＷＷＷサーバ３のファイル更新日時とファイル容量
は、データベースサーバである非公開サーバ６に格納さ
れたデータと定期的に比較される。外部コンピュータ１
によってＷＷＷサーバ３のファイルが変更された場合
は、データの比較結果が不一致となり、バックアップサ
ーバ７に格納されているバックアップファイルによって
ＷＷＷサーバ３の変更ファイルが置換される。よって、
ＷＷＷサーバ３のファイルは変更前のファイルに自動的
に修復される。

Description

【発明の詳細な説明】 【０００１】 【発明の属する技術分野】本発明は、ネットワーク内に
設置されたＷＷＷ（World Wide Web）サーバに対する不
正操作を監視するネットワーク監視システムに関し、特
に、ＷＷＷサーバに対する外部からの不正改竄の監視及
び自動修復を行い、セキュリティ機能を一層強固に維持
するためのネットワーク監視システムに関するものであ
る。 【０００２】 【従来の技術】従来、インターネットを経由した企業ネ
ットワークへの不正アクセスを遮断するためには、一般
的に、企業ネットワークの入口に“ファイアウォール
（Fire Wall）”と呼ばれるバリア装置が設置されてい
る。このようなファイアウォールは、インターネットな
どの外部情報源からのパケットに対してアクセス制限を
行い、不正パケットを遮断することにより、企業ネット
ワークを不正アクセスからガードしている。しかしなが
ら、ハッカなどのように、ファイアウォールを巧妙に通
過して侵入してくる不正アクセスも存在するため、ネッ
トワーク監視システムを企業ネットワーク内に設置し
て、これらの不正アクセスに対処している。 【０００３】以下、従来のネットワーク監視システムに
よって行われている不正アクセスの検出方法及び不正ア
クセスの遮断方法について具体的に説明する。図４は、
企業ネットワークの不正アクセスを監視するための従来
のネットワーク監視システムの構成図である。つまり、
この図は、企業ネットワーク内のＷＷＷサーバに対する
一般的な不正アクセス対策方法を実現するためのネット
ワーク監視システムの概念を示している。同図では、企
業ネットワークは、外部コンピュータ１からはアクセス
できない社内ＬＡＮ（Local Area Network）９と、イン
ターネット１０側からの不正攻撃からＷＷＷサーバ３な
どの公開サーバを守るための情報管理単位であるＤＭＺ
（DeMilitarized Zone）８とによって構成されている。
このように構成された企業ネットワークとインターネッ
ト１０との接点にファイアウォール２を設置して、ハッ
カを含む外部コンピュータ１から企業ネットワークへの
アクセスの制限を行っている。 【０００４】通常、企業ネットワークは、ファイアウォ
ール２によって、外部からのアクセスを原則的に遮断す
る第１セグメント（つまり、社内ＬＡＮ９）と、インタ
ーネット１０と第１セグメント（社内ＬＡＮ９）の両方
から分離独立された第２セグメント（つまり、ＤＭＺ
８）とに分割されて管理されている。前者は同一構内の
みでネットワークを構成する社内ＬＡＮ９として利用さ
れ、後者は企業のホームページが置かれているＷＷＷサ
ーバ３や、ダウンロード用ファイルが置かれているＦＴ
Ｐ（File Transfer Protocol）サーバ（図示せず）や、
外部からのメールを受け付けるメールサーバ（図示せ
ず）などの公開サーバを設置する分離セグメントとして
利用される。 【０００５】インターネット１０と第２セグメントであ
るＤＭＺ８及び第１セグメントである社内ＬＡＮ９の間
にはファイアウォール２が設けられている。そして、フ
ァイアウォール２は、ＤＭＺ８に対してはホームページ
閲覧に使用するＨＴＴＰ（Hyper Text Transfer Protoc
ol）ポートや、ｅメールの送受信に使用するＳＭＴＰ
（Simple Mail Transfer protocol）ポートに対するア
クセスのみを許可している。また、ファイアウォール２
は、社内ＬＡＮ９に対してはハッカを含む外部コンピュ
ータ１からのアクセスを全て遮断して不正アクセスに対
応している。つまり、ＤＭＺ８内に備えるネットワーク
監視装置４が、企業ネットワークを流れるパケットを調
査し、不正パケットを検出した場合は、ファイアウォー
ル２に通知して不正パケットの受け取り拒否を行ってい
る。 【０００６】このように、企業ネットワークがＤＭＺ８
と社内ＬＡＮ９の２つに分割されてセキュリティ管理さ
れているのは、ＤＭＺ８内のＷＷＷサーバ３は制限付き
ではあるが外部コンピュータ１からアクセスが可能であ
るため、外部コンピュータ１に含まれるハッカなどの悪
意を持った第三者による攻撃を受ける可能性があるから
である。例えば、外部コンピュータ１に潜むハッカが、
ＷＷＷサーバ３に対してサーバの処理量を遥かに超える
大量のＨＴＴＰ接続要求パケットを送りつけた場合、パ
ケット自身は“正規の”パケットであるので、ファイア
ウォール２を通過してＤＭＺ８内のＷＷＷサーバ３に到
達してしまうため、結果としてＷＷＷサーバ３が過負荷
となってダウンしてしまうおそれがある。 【０００７】そこで、社内ＬＡＮ９とＷＷＷサーバ３の
設置されるＤＭＺ８とを分割しておけば、仮に、企業ネ
ットワークが外部コンピュータ１に潜むハッカなどから
攻撃を受けたとしても、ＷＷＷサーバ３のみの被害で抑
えられ、社内ＬＡＮ９に対する被害は防止される。ま
た、社内ＬＡＮ９内の非公開サーバ６にＷＷＷサーバ３
の原本を置き、情報の更新作業も原則的には社内ＬＡＮ
９側で対応し、ＷＷＷサーバ３には原本のコピーを置く
ようにすれば、万一、攻撃を受けてＷＷＷサーバ３が破
壊された場合でも迅速に復旧を行うことができる。 【０００８】ところで、外部コンピュータ１からの電文
をＷＷＷサーバ３に渡すアプリケーションを指定する方
法として、機能(アプリケーション)毎に“ポート番号”
と呼ばれる固有の数字が定義されており、外部からＷＷ
Ｗサーバ３のアプリケーションに要求電文を送るとき、
要求内容とともにポート番号も送信される。そして、Ｗ
ＷＷサーバ３側では、受信した要求電文中のポート番号
を照合し、受信したポート番号と一致するポート番号を
持つアプリケーションヘ要求電文を渡す。例えば、ホー
ムページを閲覧するために使用されるＨＴＴＰ(Hyper T
ext Transfer Protocol)のポート番号は“８０”、ファ
イルのダウンロード／アップロードに使用されるＦＴＰ
のポート番号は“２１”と決められている。したがっ
て、ＷＷＷサーバ３にアクセスしてホームページを閲覧
する場合は、外部コンピュータ１よりポート番号“８
０”と要求内容が書かれた電文が送られてくることにな
る。このようにして、目的のアプリケーションヘの電文
の受け渡しを行っている。 【０００９】このようにして、ファイアウォール２は、
ＤＭＺ８内のＷＷＷサーバ３に対しては、ホームページ
閲覧に使用するＨＴＴＰポートに対するアクセスのみ許
可し、社内ＬＡＮ９には外部からのアクセスを全て遮断
して、外部からの不正アクセスに対応している。つま
り、企業ネットワークがＤＭＺ８と社内ＬＡＮ９の２つ
に分割されてセキュリティ管理されているのは、ＷＷＷ
サーバ３などの公開サーバは、ホームページの公開のた
めに一般の人々(外部コンピュータ１)にアクセスを許可
しているために、悪意を持つ第三者による攻撃を受ける
おそれがあるからである。 【００１０】このように、ＷＷＷサーバ３は外部コンピ
ュータ１に公開されていることから攻撃され易い要素を
内在しており、また、外部コンピュータ１からの攻撃に
は比較的脆弱であるため、不正アクセスがあった場合に
は迅速に対応出来る仕組みが必要となる。現在、このよ
うな問題を解決するために、ネットワーク監視装置４を
設置して、ネットワークを流れるパケット(電文の送受
信単位)を監視する方法がとられている。このネットワ
ーク監視装置４は、ＤＭＺ８のネットワーク上を流れる
パケットを捕捉して、予め登録されている不正アクセス
パターン解析等の方法を用いて不正アクセスのチェック
を行っている。そして、ネットワーク監視装置４が不正
アクセスを検知した場合は、電子メールや別途設置され
た監視用モニタ表示（図示せず）等の手段によって、管
理者に対して通報処理を行っている。また、ネットワー
ク監視装置４は、ファイアウォール２に対して不正パケ
ット送信元のアドレスからのアクセスを遮断させる制御
を行う場合もある。 【００１１】不正アクセスは、主に、サーバアプリケー
ションソフトのセキュリティ部分に関するソフトウェア
バグ(セキュリティホール)を悪用して行われる。ソフト
ウェアにおいて不具合(バグ)を１００パーセント取り除
くことは不可能であり、開発者側でも把握しきれていな
いセキュリティホールが存在する可能性があるため、そ
の部分を狙って攻撃してくることが考えられる。 【００１２】実際問題として、インターネット１０上に
は、セキュリティホールを自動的に探索して不正にアプ
リケーションソフトの管理権を奪うソフトウェアが氾濫
しており、これらのソフトウェアが不正アクセス用に悪
用されている。セキュリティホールの探索及びサーバ管
理権の不正取得には、対象となるサーバコンピュータに
対し、アプリケーションソフトの管理権を奪取すること
を可能にする要求文(コマンド)にランダムなポート番号
を付与し、サーバ内の全アプリケーションソフトに電文
を送りつける方法が多く用いられる。 【００１３】もし、セキュリティホールのあるアプリケ
ーションソフトが存在すれば、そのアプリケーションソ
フトのポートで不正プログラムが隠された要求電文を受
け取ってしまう確率が高く、取り込まれた不正プログラ
ムの起動により、外部コンピュータ１にＷＷＷサーバ３
の管理権を奪われてしまう。但し、本来、ホームページ
を閲覧するために使用される“８０”ポート以外の他の
ポートに対しても電文の送りつけが頻繁に行われるた
め、通常の閲覧のためのアクセスと区別され、その大部
分が不審なアクセスとしてネットワーク監視装置に検出
されることになる。そこで、不正アクセスを検出した場
合は、セッションの遮断や、ファイアウォール２に対す
る不正アクセス元のＩＰ（Internet Protocol）アドレ
スからの通信遮断要求や、監視コンソール（図示せず）
ヘの通知などを行う。このような方法により、ＤＭＺ８
に設置されたＷＷＷサーバ３ヘの攻撃に対する被害拡大
の防止を図っている。 【００１４】 【発明が解決しようとする課題】しかしながら、従来の
不正アクセス監視方法では対処しきれない種々の問題も
ある。つまり、セキュリティホールに関する対策情報
は、サーバアプリケーション利用者が不正アクセスによ
る損害を被らないように、セキュリティ対策が確定次
第、アプリケーション開発者側から、随時、外部コンピ
ュータ１の一般ユーザに公表される。したがって、一般
ユーザを含めて誰でも（つまり、ハッカでも）セキュリ
ティホールに関する対策情報を容易に入手することがで
きる。但し、実際は、全てのユーザ（外部コンピュータ
１）が、セキュリティホールの対策情報が公開された直
後に、直ちにセキュリティ対策を実施するわけではな
い。その結果、外部コンピュータ１に潜むハッカは、こ
れまでに明確になっているセキュリティホールを狙っ
て、ネットワーク監視装置４に発見されることなく、巧
妙にＷＷＷサーバ３へ不正に侵入することも可能とな
る。 【００１５】また、何らかの方法で管理者用パスワード
が盗難されて、正規のパスワードを悪用して管理者にな
りすまされた場合、ＷＷＷサーバ３及びネットワーク監
視装置４は、共に、不正侵入を検知することが非常に困
難になる。場合によっては、一般ユーザの外部コンピュ
ータ１がホームページ閲覧の為にアクセスして、初めて
改竄が発見されることもある。現に、企業や官公庁のＷ
ＷＷサーバにおいて、このような不正アクセスの事例が
多数報告されている。このような不正アクセスによって
改竄を受けた内容が、企業の財務情報や株式情報などで
ある場合は、大規模な損害が発生するおそれも予想され
る。 【００１６】本発明はこのような事情に鑑みてなされた
ものであり、その目的とするところは、ファイルの更新
日付及び時間とファイル容量等を予め記憶しておき、フ
ァイルが書き換えられた場合はバックアップファイルに
差し替え、改竄が行われても直ちに改竄以前の状態に復
旧させることにより、改竄による被害を防止することの
できるネットワーク監視システムを提供することにあ
る。 【００１７】 【課題を解決するための手段】上記の課題を解決するた
めに、本発明のネットワーク監視システムは、インター
ネットを介して外部コンピュータに接続された所定のネ
ットワーク（例えばプライベートネットワーク）への不
正アクセスを監視するネットワーク監視システムにおい
て、ネットワークが、インターネットを経由して外部コ
ンピュータへ公開されるＷＷＷサーバと、外部コンピュ
ータに対して非公開であって、ＷＷＷサーバのファイル
の原本を格納するデータベースサーバと、外部コンピュ
ータに対して非公開であって、ＷＷＷサーバ内に存在す
るファイルと同一のファイルをバックアップ用として格
納するバックアップサーバとによって構成され、ＷＷＷ
サーバは、データの記録開始手続き後から一定期間に亘
って自己のファイル内容を定期的に監視するファイル監
視手段と、このファイル監視手段によってファイル監視
が行われているとき、自己のファイルの更新日時及びフ
ァイル容量を含むファイル情報とデータベースサーバの
ファイル情報とを比較するファイル比較手段と、このフ
ァイル比較手段による比較結果が不一致の場合は、バッ
クアップサーバに格納されたファイルを使用して、変更
が行われたファイルの内容を修復する改竄修復手段とを
備えることを特徴とする。 【００１８】つまり、本発明のネットワーク監視システ
ムによれば、万一、外部コンピュータからのアクセスに
よってＷＷＷサーバのデータが改竄された場合でも、Ｗ
ＷＷサーバのファイル内容とデータベースサーバ（非公
開サーバ）のファイル内容とを比較することにより、両
者のファイル内容が一致しない場合はＷＷＷサーバが不
正アクセスされたものと判断することができる。このと
き、改竄個所を記録しておけば、バックアップ用ファイ
ルが格納されているバックアップサーバからＷＷＷサー
バにファイルを転送することによって、改竄されたファ
イルを自動的に修復することができる。これによって、
不正に取得されたパスワードを使用したサーバ管理者へ
のなりすましを迅速に発見し、改竄が行われたデータ箇
所を速やかに修復することが可能となる。 【００１９】尚、本発明のネットワーク監視システム
は、上記の発明に加えて、さらに、ＷＷＷサーバが、自
己のファイル内容が変更された際に、最終的にバックア
ップされたファイル更新日時及びファイル容量を含むフ
ァイル情報を保存するファイル情報保存手段と、自己の
ファイル内容とデータベースサーバのファイル内容との
比較結果が一致した場合は、制約を与えることなく通常
通り操作できるようにし、両者のファイル内容の比較結
果が不一致の場合は、変更されたファイル内容を記録す
る変更ファイル記録手段とを備えることもできる。 【００２０】 【発明の実施の形態】以下、図面を用いて、本発明のネ
ットワーク監視システムについて詳細に説明する。本発
明のネットワーク監視システムは、ネットワーク内に設
置されたＷＷＷサーバのファイル内容と非公開サーバで
あるデータベースサーバのファイル内容とを比較するこ
とにより、ＷＷＷサーバ内のファイル更新の日時やファ
イル容量などを定期的に監視している。これによって、
ＷＷＷサーバに対する外部コンピュータからの不正改竄
の監視が常時行われている。もし、不正改竄が行われた
場合は、ＷＷＷサーバのバックアップ用のファイルを格
納しているバックアップサーバによってＷＷＷサーバの
ファイル内容を置換することにより、ＷＷＷサーバのフ
ァイル内容を自動的に改竄前のファイル内容に修復する
ことができる。 【００２１】図１は、企業ネットワークの不正アクセス
を監視するための、本発明のネットワーク監視システム
の構成図である。つまり、この図は、企業ネットワーク
内のＷＷＷサーバ３に対する不正アクセスを監視し、不
正アクセスされた場合は自動修復を実現するネットワー
ク監視システムの概念を示している。図１に示す本発明
のネットワーク監視システムの構成が、図４に示す従来
のシステム構成と異なるところは、社内ＬＡＮ９内に、
ＷＷＷサーバ３のバックアップ用のデータを保存し、不
正アクセスが行われたときにＷＷＷサーバ３に対してデ
ータのバックアップを行うバックアップサーバ７を備え
ていることと、ＷＷＷサーバ３が、不正侵入の検知と改
竄個所の自動修復とを行うためのアプリケーションソフ
トを備えていることである。 【００２２】図１において、企業ネットワークは、ＤＭ
Ｚ８と社内ＬＡＮ９とにセグメントが分割されている。
そして、インターネット１０と企業ネットワーク（ＤＭ
Ｚ８及び社内ＬＡＮ９）の接点にはファイアウォール２
が設置され、外部コンピュータ１からのアクセスが制限
されて企業ネットワークへの不正アクセスを遮断してい
る。また、ＤＭＺ８には、企業のホームページが置かれ
て外部からのアクセスが可能なＷＷＷサーバ３と、外部
コンピュータ１から企業ネットワークへの不正アクセス
を監視するネットワーク監視装置４とが設置されてい
る。さらに、社内ＬＡＮ９には、ＷＷＷサーバ３のファ
イルの原本を備えるデータベースサーバである非公開サ
ーバ６と、ＤＭＺ８に設置されたＷＷＷサーバ３のホー
ムページに関するファイルと全く同じ内容のファイルを
格納し、必要に応じてＷＷＷサーバ３のデータのバック
アップを行い、ＷＷＷサーバ３への改竄を防止するバッ
クアップサーバ７とを備えている。 【００２３】また、ＷＷＷサーバ３には、ＷＷＷサーバ
３自身のアプリケーションソフトと連携して不正侵入の
検知、及び改竄箇所の自動修復を行うためのＷＷＷサー
バ３のアプリケーションソフトが導入されている。した
がって、先ず、このようなＷＷＷサーバ３のアプリケー
ションソフトの主要機能について説明する。つまり、こ
のＷＷＷサーバ３のアプリケーションソフトは、少なく
とも次のような幾つかの機能を備えている。 【００２４】第１に、ＷＷＷサーバ３へのデータ記録開
始の手続き後から一定期間に亘ってＷＷＷサーバ３のフ
ァイル内容を定期的に監視する『ファイル監視機能』を
備えている。第２に、ファイル監視が行われたとき、Ｗ
ＷＷサーバ３内のファイルと非公開サーバ６（つまり、
データベースサーバ）内のファイルとを比較する『ファ
イル比較機能』を備えている。第３に、ＷＷＷサーバ３
のファイル内容が変更された際に、最終的にバックアッ
プされたファイル更新の日時及びファイル容量などのフ
ァイル情報を保存する『ファイル情報保存機能』を備え
ている。第４に、ＷＷＷサーバ３のファイル内容と非公
開サーバ６（つまり、データベースサーバ）のファイル
内容との比較結果が一致した場合は、制約を与えること
なく通常通り操作できるようにし、両者のファイル内容
の比較結果が不一致の場合は、ＷＷＷサーバ３から抜け
出るまでに操作者が行った変更操作による変更ファイル
を記録する『変更ファイル記録機能』を備えている。第
５に、ＷＷＷサーバ３のファイル内容と非公開サーバ６
（つまり、データベースサーバ）のファイル内容との比
較結果が一致しない場合は、操作者がＷＷＷサーバ３か
ら抜け出た直後に、バックアップサーバ７のファイルを
使用して変更（改竄）が行われたファイルの内容を修復
する『改竄修復機能』を備えている。 【００２５】図２は、図１に示すネットワーク監視シス
テムの構成図を機能的に表したブロック図である。つま
り、図２は、ＷＷＷサーバ３のアプリケーション機能を
手段として構成したブロック図である。図２において、
ネットワーク監視システムは、ホームページ閲覧用とし
て外部コンピュータ１に公開される公開用のＷＷＷサー
バ３と、外部コンピュータ１からのアクセスが制限して
企業ネットワーク（ＤＭＺ８及び社内ＬＡＮ９）内への
不正アクセスを遮断するファイアウォール２と、外部コ
ンピュータ１から企業ネットワークへの不正アクセスを
監視するネットワーク監視装置４と、ＷＷＷサーバ３の
データの原本を格納するデータベースサーバである非公
開サーバ６と、ＷＷＷサーバ３内に存在するファイルの
うち、少なくとも所定のホームページを表示するために
必要なファイルを改竄修復用として格納するバックアッ
プサーバ７とによって構成されている。 【００２６】そして、ＷＷＷサーバ３は、ＷＷＷサーバ
３へのデータ記録開始手続き後から一定期間に亘ってＷ
ＷＷサーバ３のファイル内容を定期的に監視するファイ
ル監視手段１１と、ファイル監視が行われたとき、ＷＷ
Ｗサーバ３内のファイルと非公開サーバ６（つまり、デ
ータベースサーバ）内のファイルとを比較するファイル
比較手段１２と、ＷＷＷサーバ３のファイル内容が変更
された際に、最終的にバックアップされたファイル更新
の日時及びファイル容量などのファイル情報を保存する
ファイル情報保存手段１３と、ＷＷＷサーバ３のファイ
ル内容と非公開サーバ６（つまり、データベースサー
バ）のファイル内容との比較結果が一致した場合は、制
約を与えることなく通常通り操作できるようにし、両者
のファイル内容の比較結果が不一致の場合は、ＷＷＷサ
ーバ３から抜け出るまでに操作者が行った変更操作によ
る変更ファイルを記録する変更ファイル記録手段１４
と、ＷＷＷサーバ３のファイル内容と非公開サーバ６
（つまり、データベースサーバ）のファイル内容との比
較結果が一致しない場合は、操作者がＷＷＷサーバ３か
ら抜け出た直後に、バックアップサーバ７のファイルを
使用して変更（改竄）が行われたファイルの内容を修復
する改竄（改ざん）修復手段１５とを備えている。 【００２７】次に、フローチャートを用いて、本発明に
おけるネットワーク監視システムが、ファイルの改竄検
出とファイルの自動修復を行う場合の動作の流れを説明
する。図３は、本発明におけるネットワーク監視システ
ムがファイルの改竄検出と自動修復を行う場合の動作の
流れを示すフローチャートである。このフローチャート
の場合は、外部コンピュータによる所定の変更操作が完
了してから、入力されたファイルが正当なものであるか
否かを比較判定して改竄検出を行う動作の流れを示して
いる。 【００２８】以下、図３に示すフローチャートに従い動
作を説明する。このアプリケーションでは、常に、ファ
イル監視手段１１がバックグラウンドでＷＷＷサーバ３
内のファイルを定期的に監視している。このとき、外部
コンピュータ１によってアクセスが行われる度に、逐
一、ファイル比較手段１２によってファイルの比較処理
が行われる。つまり、ファイルが定期的に監視される処
理として、先ず、ファイル監視手段１１によって、ＷＷ
Ｗサーバ３内のファイル情報が定期的に読み込まれる
（ステップＳ１）。 【００２９】そして、ファイル比較手段１２によって、
読み込まれたＷＷＷサーバ３のファイルと非公開サーバ
６（データベースサーバ）に保存されている最新のファ
イルとの比較が行われる。このとき、非公開サーバ６
（データベースサーバ）に保存されているファイルとＷ
ＷＷサーバ３のフアイルとを比較する対象は、ファイル
の更新日付と時間及びファイルの容量（つまり、ファイ
ルサイズ）などのファイル情報である（ステップＳ
２）。 【００３０】このようにして、ファイル比較手段１２
が、ＷＷＷサーバ３のファイルと非公開サーバ６（デー
タベースサーバ）のファイルとの比較処理を行い（ステ
ップＳ３）、両者のサーバのファイル情報が一致した場
合は（ステップＳ３でＹＥＳの場合）、ステップＳ１に
戻り、ファイル監視手段１１が、読み込んだファイル情
報の定期的な監視を続ける。このような定期的な監視処
理は予め設定した時間毎に随時行われる。 【００３１】また、外部コンピュータ１からの操作によ
ってＷＷＷサーバ３のファイル内容が変更された際に
は、ファイル情報保存手段１３が、変更されたファイル
の更新日時やファイル容量などのファイル情報を保存す
る。したがって、ＷＷＷサーバ３のファイル内容が変更
されたときには、ＷＷＷサーバ３がファイル情報保存手
段１３に保存しているファイル更新日時やファイル容量
などのファイル情報が、非公開サーバ６（データベース
サーバ）のファイル情報と一致しなくなる。このよう
に、ＷＷＷサーバ３のファイル内容と非公開サーバ６
（つまり、データベースサーバ）のファイル内容との比
較結果が一致しない場合は（ステップＳ３でＮＯの場
合）、変更ファイル記録手段１４が、ＷＷＷサーバ３か
ら抜け出るまでに操作者が行った変更操作による変更フ
ァイルを記録する（ステップＳ４）。 【００３２】つまり、このような変更操作が行われた場
合は、不正アクセス者がＷＷＷサーバ３に侵入した可能
性が極めて高いことが予想される。したがって、改竄修
復手段１５が、バックアップサーバ７に対して、ＷＷＷ
サーバ３の変更ファイルに対応する元のファイルを要求
する（ステップＳ５）。そして、バックアップサーバ７
が最新状態で保存しているファイルを、バックアップサ
ーバ７よりＷＷＷサーバヘ転送してファイルの置換を行
う。これによって、ＷＷＷサーバ３のファイル内容は、
変更が行われる以前のファイル内容に修復される（ステ
ップＳ６）。 【００３３】つまり、外部コンピュータ１が、インター
ネット１０を介してＷＷＷサーバ３にアクセスしてきた
場合、ＷＷＷサーバ３において、ログインの有無と各フ
ァイルの更新日時とファイル容量とを定期的に監視す
る。一方、データベースサーバである非公開サーバ６は
ＷＷＷサーバ３のファイルの原本を格納しているので、
ＷＷＷサーバ３のファイルの更新日時とファイル容量
は、非公開サーバ６に記録されている原本のファイル情
報と随時に比較される。この結果、ＷＷＷサーバ３のフ
ァイル更新日時やファイル容量が変更されていると判定
された場合は、外部コンピュータ１からの不正アクセス
によりファイルが改竄されたと見なされ、ＷＷＷサーバ
３からの要求に基づいて、バックアップデータを格納し
ているバックアップサーバ７が、ＷＷＷサーバ３に対し
て修復用のファイルを送信する。これによって、サーバ
管理者へのなりすましを発見することができると共に、
改竄が行われたファイルを自動修復することができる。 【００３４】 【発明の効果】以上説明したように、本発明のネットワ
ーク監視システムは、従来のネットワーク監視システム
に対してバックアップサーバを追加し、そのバックアッ
プサーバがＷＷＷサーバのバックアップ用のデータを格
納している。したがって、もし、ハッカなどによってＷ
ＷＷサーバのデータが改竄された場合は、ＷＷＷサーバ
の改竄個所を記録し、バックアップサーバに格納された
データを使用して改竄個所のデータを自動的に元のデー
タに修復することができる。あるいは、ＷＷＷサーバの
データの一部が改竄された場合は、ＷＷＷサーバの改竄
個所を記録しないで、バックアップサーバに格納された
データによって、ＷＷＷサーバの全データを書き換えて
自動修復することもできる。 【００３５】つまり、本発明のネットワーク監視システ
ムによれば、ＷＷＷサーバのファイル内容とデータベー
スサーバ（非公開サーバ）のファイル内容とを比較する
ことにより、両者のファイルが一致しない場合はＷＷＷ
サーバが不正アクセスされたものと見なす。そして、予
めバックアップ用のファイルが格納されているバックア
ップサーバからＷＷＷサーバへ正常なファイルを転送し
てファイルの修復処理を行う。このとき、不正アクセス
者に気付かれることなく、バックグラウンドで処理を行
い、その全操作内容及び変更箇所を自動的に記録し、不
正アクセス者がＷＷＷサーバから抜け出た直後に改竄前
の状態へ自動修復することができる。よって、本発明の
ネットワーク監視システムを適用することにより、各企
業等におけるサーバヘの不正アクセス者に対する損害を
最小限に留めることが可能となる。

【図面の簡単な説明】 【図１】 企業ネットワークの不正アクセスを監視する
ための、本発明のネットワーク監視システムの構成図で
ある。 【図２】 図１に示すネットワーク監視システムの構成
図を機能的に表したブロック図である。 【図３】 本発明におけるネットワーク監視システムが
データの改竄検出と自動修復を行う場合の動作の流れを
示すフローチャートである。 【図４】 企業ネットワークの不正アクセスを監視する
ための従来のネットワーク監視システムの構成図であ
る。 【符号の説明】 １ 外部コンピュータ、２ ファイアウォール、３ Ｗ
ＷＷサーバ、４ ネットワーク監視装置、６ 非公開サ
ーバ、７ バックアップサーバ、８ ＤＭＺ（DeMilita
rized Zone）、９ 社内ＬＡＮ、１０ インターネッ
ト、１１ ファイル監視手段、１２ ファイル比較手
段、１３ ファイル情報保存手段、１４ 変更ファイル
記録手段、１５ 改竄修復手段。

Claims (1)

1. 【特許請求の範囲】 【請求項１】 インターネットを介して外部コンピュー
   タに接続された所定のネットワークへの不正アクセスを
   監視するネットワーク監視システムにおいて、 前記ネットワークが、 前記インターネットを経由して前記外部コンピュータへ
   公開されるＷＷＷサーバと、 前記外部コンピュータに対して非公開であって、前記Ｗ
   ＷＷサーバのファイルの原本を格納するデータベースサ
   ーバと、 前記外部コンピュータに対して非公開であって、前記Ｗ
   ＷＷサーバ内に存在するファイルと同一のファイルをバ
   ックアップ用として格納するバックアップサーバとによ
   って構成され、 前記ＷＷＷサーバは、 データの記録開始手続き後から一定期間に亘って自己の
   ファイル内容を定期的に監視するファイル監視手段と、 前記ファイル監視手段によってファイル監視が行われて
   いるとき、自己のファイルの更新日時及びファイル容量
   を含むファイル情報と前記データベースサーバのファイ
   ル情報とを比較するファイル比較手段と、 前記ファイル比較手段による比較結果が不一致の場合
   は、前記バックアップサーバに格納されたファイルを使
   用して、変更が行われたファイルの内容を修復する改竄
   修復手段とを備えることを特徴とするネットワーク監視
   システム。