JP2007148946A - Unauthorized access detection method - Google Patents

Abstract

<P>PROBLEM TO BE SOLVED: To solve the problem that various kinds of access history exists to each piece of software such as an OS, a DBMS, however, functions for detection of unauthorized access from collected logs, for early detection and prevention of information leakage are insufficient. <P>SOLUTION: Expansion of confidential information leakage is prevented by detecting an unauthorized user from an access log by adding a function for setting/managing an unauthorized access pattern to a collecting function of the access log and adding a function for executing more minute log output to an operation by the unauthorized access user and informing an operation manager of the unauthorized access by every access by e-mail. <P>COPYRIGHT: (C)2007,JPO&INPIT

Description

本発明は、情報資産への不正アクセス／情報漏洩に対する監査技術に関する。その中でも特に、情報資産へのアクセス履歴を識別し、監査者の想定外の履歴より、不正なアクセスを検知し情報資産の流出を早期に発見するための監査支援技術に関する。   The present invention relates to an audit technique for unauthorized access to information assets / information leakage. In particular, the present invention relates to an audit support technique for identifying an access history to an information asset, detecting unauthorized access from an unexpected history of an auditor, and detecting an outflow of the information asset at an early stage.

従来、情報資産の漏洩対策として、アクセス制御機能がある。イントラネットや企業内LANでの公開範囲を限定するためにユーザIDによるアクセス制御を行うケースが多い。アクセス制御しないケースではアクセス履歴を取得しておき、システム内の情報資産へのアクセスを常時監視し、情報漏洩の抑止効果となっている。   Conventionally, there is an access control function as a countermeasure against leakage of information assets. In many cases, access control by user ID is performed to limit the scope of disclosure on an intranet or corporate LAN. In the case where access control is not performed, an access history is acquired, and access to information assets in the system is constantly monitored, thereby preventing information leakage.

情報漏洩に関する監査をする場合、監査手段として、特許文献１がある。本方法ではシステム的に監査を行うことにより監査結果をまとめて対策を提示することはできるが、監査結果により、自システムの監査内容を見直し、より精巧な監査をおこなっていく仕組みまでは持っていない。また、アクセス履歴の監査については言及していない。アクセス履歴の監査はとくに利用者数や監査対象情報資産数が大きい場合、システム構築時設定項目が膨大となり、監査作業が煩雑になる。   When auditing information leakage, there is Patent Document 1 as an auditing means. In this method, it is possible to summarize the audit results by systematic audits and present countermeasures, but we have a mechanism to review the audit contents of our system based on the audit results and perform more sophisticated audits. Absent. It does not mention access history auditing. In the access history audit, especially when the number of users and the number of information assets to be audited is large, the setting items at the time of system construction become enormous and the audit work becomes complicated.

特開２００４−２５９１９７号公報JP 2004-259197 A

アクセス履歴を取得し、定期監査を慣行することにより情報漏洩の可能性を排除していくことはできても、本質的な未然阻止にはならない。なぜなら企業内情報資産は多く、情報資産データの複製も容易である。情報資産や情報資産から作成された副データに対するアクセスは履歴データとして膨大な量となりうるため、情報資産や情報資産の利用者および利用手段の数によっては履歴情報が膨大になり、分析の作業が煩瑣となり、情報流出の迅速な発見／未然対応を困難にしているという問題があった。   Although it is possible to eliminate the possibility of information leakage by acquiring access history and conducting regular audits, it does not essentially prevent it. Because there are many information assets in the company, it is easy to copy information asset data. Access to sub-data created from information assets and information assets can be enormous as historical data, so depending on the number of information assets and information asset users and means of use, the history information becomes enormous and analysis work becomes difficult. There has been a problem that it has become cumbersome and makes it difficult to quickly find and deal with information leaks.

そこで、本発明では、以下の処理を行う。（１）予め、対象のシステムのデータベースに対する各利用者のアクセスの内容を示すアクセスパターンログを記録しておく。（２）また、不正と判断するアクセスパターン（不正パターン）を記憶しておく。（３）記憶された不正パターンに対応する、前記アクセスパターンログを抽出する。（４）抽出されたアクセスパターンログの特徴（パターンそのもの、ユーザの特定、機器）を示す不正アクセス情報を算出する。（５）前記データベースに対するアクセスを監視し、算出された不正アクセス情報を満たすアクセスを検知する。   Therefore, in the present invention, the following processing is performed. (1) An access pattern log indicating the contents of each user's access to the target system database is recorded in advance. (2) Further, an access pattern (unauthorized pattern) determined to be unauthorized is stored. (3) The access pattern log corresponding to the stored illegal pattern is extracted. (4) Unauthorized access information indicating the characteristics (pattern itself, user identification, device) of the extracted access pattern log is calculated. (5) The access to the database is monitored, and an access satisfying the calculated unauthorized access information is detected.

なお、（２）の不正パターンの記憶については、その条件を規定してもよい。例えば、アクセスされた時間が何時以上、などが含まれる。   Note that the condition for the storage of the illegal pattern in (2) may be defined. For example, the time when the access was made is included.

また、本発明には、以下の態様も含まれる。監査手段を監査者によりあらかじめパターン化して決定しておき、システムに入力しておくことにより、履歴の分析作業をバッチ処理化し、また、監査の過程で抽出した脅威に対抗する方法を選択し、システムを改修して監査レベルを調整したり、監査者あるいはシステム管理者に情報提供したりして人手による監査作業を低減する。より具体的には、あらかじめ予想できる脅威をテーブルに表現しておき、そのテーブル情報をもとに監査して所定の条件を満たす履歴を抽出し、より詳細な監査データを取得し、監査者あるいはシステム管理者の人による監査を行うためのデータを提供する機能を提供する。   Moreover, the following aspects are also included in the present invention. The auditing means are determined in advance by patterning by the auditor, and the history analysis work is batch-processed by inputting into the system, and the method to counter the threat extracted in the audit process is selected, Reduce the amount of manual auditing by modifying the system to adjust the audit level or providing information to the auditor or system administrator. More specifically, threats that can be predicted in advance are represented in a table, audited based on the table information, a history satisfying a predetermined condition is extracted, detailed audit data is obtained, and an auditor or Provides a function to provide data for audits by system administrators.

さらに、本発明には以下の態様も含まれる。システムで取得したアクセス履歴より、アクセス履歴が不正なアクセスによるものまたは不正なアクセスによるものでないことを、あらかじめ登録した記載事項とのマッチングにより分析する。また、この分析により不正アクセス履歴を抽出することによって発見された不正利用者や不正利用端末に対する監査を強化する仕組み。さらに、監査を強化するために、さらに詳細な履歴を取得するようにシステム設定を変更する仕組み。また、同時に不正アクセスと考えられる履歴を発した利用者を通知するもの。   Furthermore, the following aspects are also included in the present invention. Based on the access history acquired by the system, it is analyzed by matching with a pre-registered description that the access history is due to unauthorized access or is not due to unauthorized access. In addition, a mechanism to strengthen auditing of unauthorized users and unauthorized terminals discovered by extracting unauthorized access history through this analysis. In addition, to enhance auditing, the system settings are changed to obtain more detailed history. At the same time, it notifies users who have a history of unauthorized access.

本発明によれば、分析対象や分析手段の数が非常に多い場合でも、監査を容易にすることを可能にし、また情報処理システムでの簡易的な監査を可能とし、監査で抽出された不審なアクセスに対する監査強化を迅速に行うことができ、監査を容易にすることが可能になる。   According to the present invention, even when the number of analysis objects and analysis means is very large, it is possible to facilitate the audit, and it is possible to perform a simple audit in the information processing system. It is possible to quickly enhance the auditing for various accesses and to facilitate the auditing.

本発明の実施の形態について、図面を用いて説明する。
本発明が対象とするシステムは、図２に示すとおりであり、LANなどのネットワーク上のあるノード（サーバ）にファイルやDBとして格納された情報資産と、情報資産を参照／更新している利用者と、ネットワーク上の情報資産にアクセスする場合に用いる利用端末、システム全体を管理するシステム管理者と管理に使用するシステム管理端末、データ化した情報資産へのシステム的なアクセスを実現する為のアクセス実現機能を含むものとし、各々の個を特定できるIDがあらかじめ付与してあるものとする。ここで、ＩＤおよびパスワードを利用者に入力させ、この入力内容と予めシステム側に格納されているＩＤ、パスワードが一致した場合、アクセスを許可する構成としている。ここで、これらのＩＤ、パスワードの代わりに、生体情報（指静脈、手のひら静脈、指紋、虹彩、声紋など）を用いてもよい。これら生体情報は、ＩＤ、パスワードと共に用いてもよい。つまり、生体情報とＩＤ，パスワードが一致した場合、アクセスを許可する構成も本実施例に含まれる。以下，図１および６に示すフローチャートに従って、本発明の一実施例の処理の流れを説明する。 Embodiments of the present invention will be described with reference to the drawings.
The system targeted by the present invention is as shown in FIG. 2 and uses information assets stored as files or DBs in a certain node (server) on a network such as a LAN, and uses that reference / update information assets. Users and users who access information assets on the network, system administrators who manage the entire system, system management terminals used for management, and systematic access to data assets It is assumed that an access realizing function is included, and an ID for identifying each individual is assigned in advance. Here, the ID and password are input by the user, and access is permitted when the input content matches the ID and password stored in the system in advance. Here, instead of these ID and password, biometric information (finger vein, palm vein, fingerprint, iris, voiceprint, etc.) may be used. These biometric information may be used together with an ID and a password. That is, a configuration for permitting access when the biometric information matches the ID and password is also included in this embodiment. The processing flow of one embodiment of the present invention will be described below with reference to the flowcharts shown in FIGS.

情報資産へのアクセス実現機能には、使用時にアクセス履歴取得機能を追加しアクセス履歴取得処理（00201）を実現する。情報資産へのアクセスは履歴として、日付、時刻、利用者ID、利用端末ID、アクセス情報資産IDを含むデータとしてディスクに書き込まれる。   The access history acquisition function (00201) is realized by adding an access history acquisition function at the time of use to the function for realizing access to information assets. The access to the information asset is written as a history on the disk as data including date, time, user ID, user terminal ID, and access information asset ID.

また、生体情報を用いた場合、この生体情報もアクセス履歴として含まれる。なお、アクセス履歴として含まれる生体情報は、利用者から入力されたものおよび予めシステム側に格納されているもの少なくとも一方でよい。ここで、システム側に格納された生体情報としては，利用者が管理するＩＤカード（ＩＣカード等）に格納されたものが含まれる。さらに、利用者から入力される生体情報に変換を施して認証を行う場合、この変換された生体情報を、アクセス履歴に含ませてもよい。   When biometric information is used, this biometric information is also included as an access history. The biometric information included as the access history may be at least one input from the user and stored in advance in the system side. Here, the biometric information stored on the system side includes information stored in an ID card (IC card or the like) managed by the user. Furthermore, when the biometric information input from the user is converted and authenticated, the converted biometric information may be included in the access history.

また、利用端末は起動時、操作履歴取得機能も起動するように設定してあり、操作履歴は各利用端末上で操作履歴ファイル（D002）に出力されている。操作履歴ファイルはパス指定により利用端末上のあらかじめ決められた場所に格納し、システム管理者がアクセスできるようになっている。指定したパスはDBデータとして管理者側でサーバに格納しテーブルとして参照できる。当該テーブルは利用端末IDとネットワークID、操作履歴パスを持つものとする。また、操作履歴ファイルはディスクを圧迫しないよう、定期的に上書きする。各利用端末は、システム上端末アクセス機能からアクセスできるものとする。   In addition, when the user terminal is activated, the operation history acquisition function is set to be activated, and the operation history is output to the operation history file (D002) on each user terminal. The operation history file is stored in a predetermined location on the user terminal by specifying a path so that the system administrator can access it. The specified path can be stored in the server as DB data on the server and referenced as a table. The table has a use terminal ID, a network ID, and an operation history path. Also, the operation history file is periodically overwritten so as not to squeeze the disk. Each user terminal can be accessed from the terminal access function on the system.

アクセス履歴は日付、時刻、利用者ID、利用端末ID、アクセス実現機能ID、アクセス情報資産IDを持ち、データの区切り、レコードの区切りが明確で、レコード毎に各データのマッチング処理が出来るような文字列が記載されているファイルである。   Access history has date, time, user ID, user terminal ID, access realization function ID, access information asset ID, data delimitation and record delimitation are clear, and each data can be matched for each record It is a file that contains a character string.

アクセス履歴の監査条件をシステム管理者があらかじめ取決め、データ化しておく。具体的にはアクセスパターン入力処理（00501）としてシステム管理者があらかじめ正当なアクセスと考えるアクセスパターンをアクセスパターンテーブル（図３、T001）の入力用として、データ入力しておく。アクセスパターンは日付、時刻、利用者ID、利用端末ID、アクセス実現機能ID、アクセス情報資産IDを、アクセス履歴に書き込まれるIDと同じID体系でもつ。アクセスパターンの各項目はすべてワイルドカード指定ができる。ある項目にワイルドカード指定をしてアクセスパターンを作成した場合、その項目は任意であるものとする。   The system administrator determines the audit conditions for access history in advance and converts it into data. Specifically, as an access pattern input process (00501), an access pattern that the system administrator considers to be legitimate access is input in advance for input of the access pattern table (FIG. 3, T001). The access pattern has date, time, user ID, user terminal ID, access realization function ID, and access information asset ID in the same ID system as the ID written in the access history. Each access pattern item can be specified with a wild card. When an access pattern is created by specifying a wild card for an item, the item is assumed to be arbitrary.

監査対象は、監査条件入力機能で入力したアクセスパターンにあてはまらないアクセス方法で情報資産にアクセスした場合のログとするため、監査条件の入力の際には正当なアクセスと考えられるパターンをレコードとして入力する。また、監査条件の入力は監査者が追加／修正できる機能を持つものとする。また、逆に不正アクセスパターンとして、不正なアクセスと考えられるパターンをアクセスパターンテーブルへ登録してもよい。   The audit target is a log when an information asset is accessed using an access method that does not match the access pattern entered with the audit condition input function, so when entering the audit condition, a pattern that is considered to be legitimate access is entered as a record. To do. Also, the input of audit conditions has a function that can be added / modified by the auditor. Conversely, as an unauthorized access pattern, a pattern considered to be unauthorized access may be registered in the access pattern table.

本監査処理では、アクセスパターンテーブルとアクセス履歴のレコードマッチングを行い、監査対象履歴を絞り込んでテーブル出力する処理（00701）を行う。アクセス履歴の1件1件に対し、アクセスパターンを１つずつ呼び出して、データを比較し、マッチしなかった場合は次のアクセスパターンとデータ比較を行う。すくなくとも１つのアクセスパターンに含まれるデータ項目にマッチングできたアクセス履歴レコードは監査する必要は無いものとして除外していく。   In this audit processing, record matching between the access pattern table and the access history is performed, and processing (00701) for narrowing down the audit target history and outputting the table is performed. For each access history, access patterns are called one by one and the data is compared. If there is no match, the data is compared with the next access pattern. Access history records that can be matched with data items included in at least one access pattern are excluded as those that do not need to be audited.

不正アクセスパターンをアクセスパターンテーブルに登録している場合は、逆にマッチングしたデータを抽出し、マッチングしないレコードは監査するログ用が無いものとして除外していく。
除外されなかったアクセス履歴レコードは、監査対象履歴ファイル（テーブル）（図３）に出力し、すべてのアクセス履歴のマッチング処理が完了したあと、当該ファイルレコードを監査対象として監査対象履歴テーブル（T002）に格納する。 If the unauthorized access pattern is registered in the access pattern table, the matched data is extracted, and the unmatched record is excluded as having no log for auditing.
The access history records that are not excluded are output to the audit target history file (table) (FIG. 3). After all access history matching processing is completed, the file record is set as the audit target to be audited history table (T002). To store.

監査対象履歴テーブルの利用者IDを抽出し、不正利用者データ（T003）を作成する。具体的には、監査対象履歴テーブルの利用者IDを抽出し、集約する。これに不正利用件数として利用者IDを集約した際のレコード件数をカウントしておき、利用者IDのマージ終了時にカウント値を添付する。また漏洩の恐れのある情報資産IDには、利用者IDをマージする際に、マージ処理最中のレコードのアクセス情報資産IDを全て添付し、利用者IDのマージ終了時に区切り文字を入れて羅列させたものとする。   Extract the user ID of the audit target history table and create unauthorized user data (T003). Specifically, user IDs in the audit target history table are extracted and aggregated. Count the number of records when user IDs are aggregated as the number of unauthorized use, and attach the count value at the end of merging user IDs. In addition, when merging user IDs, all access information asset IDs of records that are in the process of merging are attached to the information asset IDs that may be leaked. Suppose that

不正利用者データ（D003）はファイルに出力され、出力ファイルのネットワークパスを出力したメールメッセージを、あらかじめ記憶していたテーブルに記載されたアドレスに転送する機能で監査者またはシステム管理者に転送する（01001）。メッセージを受け取った監査者またはシステム管理者はファイル出力された監査データを参照し、当該利用者に対する聞き取り調査を行うなど監査に使用する。   Unauthorized user data (D003) is output to a file, and the mail message that outputs the network path of the output file is transferred to the auditor or system administrator using the function that transfers it to the address stored in the table stored in advance. (01001). The auditor or system administrator who receives the message refers to the audit data output to a file and uses it for auditing, such as conducting interviews with the user.

また、不正利用された端末での操作をさらに詳細に監査するために、不正利用端末で取得した操作履歴を収集し、システム管理者が確認できるようにする（01101）。
具体的には監査対象履歴テーブル（T002）に格納されたレコードの利用端末IDを抽出・集約し、不正利用端末ID一覧をサーバのメモリまたはディスクのワーク領域に出力する。不正利用された端末の操作履歴は前述しているように操作端末に操作履歴ファイル（D002）として出力されている。不正利用端末ID一覧に格納された端末IDの端末に限り操作履歴を取得する。 Further, in order to audit the operation on the illegally used terminal in more detail, the operation history acquired on the illegally used terminal is collected so that the system administrator can confirm (01101).
Specifically, the used terminal IDs of the records stored in the audit target history table (T002) are extracted and aggregated, and the unauthorized use terminal ID list is output to the server memory or the work area of the disk. The operation history of the illegally used terminal is output to the operation terminal as an operation history file (D002) as described above. The operation history is acquired only for the terminal with the terminal ID stored in the unauthorized terminal ID list.

不正利用端末IDの端末に限り操作履歴を取得するには、以下のような手段で行う。操作履歴ファイルの出力先は全て利用端末テーブル（図５、T003）にて登録してあるネットワークIDと操作履歴パスから定義できるものとする。これを、操作履歴取得処理引数（D004）として引数ファイルにあらかじめ定義しておく。操作履歴取得用実行ファイルの実行時、D004で定義したパスをファイル取得コマンドに引数として渡し、実行ファイルの実行時に当該操作履歴ファイルを読み取る。操作履歴読み取り後、実行ファイルに指定したサーバディスクの格納先に、不正利用端末IDをファイル名の一部として操作履歴ファイル（D002）を格納する。   In order to obtain the operation history only for the terminal with the unauthorized use terminal ID, the following means is used. It is assumed that the output destination of the operation history file can be defined from the network ID and the operation history path registered in the use terminal table (FIG. 5, T003). This is defined in advance in the argument file as an operation history acquisition process argument (D004). When executing the operation history acquisition executable file, the path defined in D004 is passed as an argument to the file acquisition command, and the operation history file is read when the execution file is executed. After reading the operation history, the operation history file (D002) is stored in the server disk storage location specified in the execution file with the unauthorized terminal ID as part of the file name.

操作履歴ファイル（D002）をサーバに取得した場合、不正操作履歴を取得した旨、および格納先をメールメッセージにしてあらかじめ記憶していたテーブルに記載されたアドレスに転送する機能で監査者またはシステム管理者に転送する。メッセージを受け取った監査者またはシステム管理者は操作履歴データを参照し、当該データのなかに不正アクセスと認められるものが存在するかどうか確認し、当該利用者に聞き取り調査など監査を行うなどして監査に使用する。
操作履歴のなかから不正アクセスと断定できる事象を発見することが出来た場合、当該履歴に特徴があった場合、アクセスパターンテーブルに当該履歴の特徴にマッチしないパターンを追加入力することにより、次回監査の精度を上げることが可能となる。 When the operation history file (D002) is acquired by the server, the auditor or system management uses the function that transfers the unauthorized operation history to the address described in the table stored in advance as an email message and the storage location Forward to The auditor or system administrator who received the message refers to the operation history data, confirms whether there is any unauthorized access that is identified in the data, and conducts audits such as interviews with the user. Used for auditing.
If an event that can be determined as unauthorized access can be found in the operation history, or if there is a feature in the history, the next audit is performed by additionally entering a pattern that does not match the feature of the history in the access pattern table. Can be improved.

本発明の実施の形態を表すフローチャートの例（その１）Example of a flowchart representing an embodiment of the present invention (part 1) 本発明の実施の形態を表すシステム構成図の例Example of system configuration diagram representing an embodiment of the present invention アクセスパターンテーブルの例Access pattern table example 監査対象履歴テーブルの例Audit history table example 利用端末テーブルの例User terminal table example 本発明の実施の形態を表すフローチャートの例（その２）Example of a flowchart representing an embodiment of the present invention (part 2)

符号の説明Explanation of symbols

Ｄ００１…アクセス履歴、００２０１…アクセス履歴取得機能、Ｄ００２…操作履歴
D001 ... access history, 00201 ... access history acquisition function, D002 ... operation history

Claims (1)

複数の利用者が利用者端末からアクセス可能なデータベースに格納された情報に対する不正アクセスを検知する不正アクセス検知方法において、
予め、前記データベースに対する各利用者のアクセスの内容を示すアクセスパターンログを記憶装置に記憶しておき、
不正と判断するアクセスパターンである不正パターンを前記記憶装置に記憶しておき、
記憶された前記不正パターンに対応する、前記アクセスパターンログを抽出し、
抽出されたアクセスパターンログの特徴を示す不正アクセス情報を算出し、
前記データベースに対するアクセスを監視し、算出された不正アクセス情報を満たすアクセスを検知することを特徴とする不正アクセス検知方法。
In an unauthorized access detection method for detecting unauthorized access to information stored in a database accessible by multiple users from a user terminal,
In advance, an access pattern log indicating the contents of each user's access to the database is stored in a storage device,
An unauthorized pattern that is an access pattern that is determined to be unauthorized is stored in the storage device,
Extracting the access pattern log corresponding to the stored illegal pattern;
Calculate unauthorized access information indicating the characteristics of the extracted access pattern log,
An unauthorized access detection method, wherein access to the database is monitored and an access satisfying the calculated unauthorized access information is detected.

Images