JP7799558B2 - リスクベース認証システム及びリスクベース認証方法 - Google Patents

Description

本発明は、リスクベース認証システム及びリスクベース認証方法に関する。

近年、ＩＴ環境が大きく変化している。クラウドサービスの利用は増加の一途を辿り、２０１９年にはクラウドサービスを一部でも利用している企業の割合は６４．７％となっている。また、Ｃｏｖｉｄ－１９に起因するＷＦＨ（Working From Home）の急速な普及に伴い、企業におけるテレワークの導入が急速に進み、今後導入予定がある企業を含めた割合は６０％近くとなっている。このようなＩＴ利用形態の変化に加え、企業の情報を狙った攻撃も変化してきている。サイバー攻撃は高度化しており、特にＡＰＴ（Advanced Persistent Threat）攻撃は、秘密裏に、そして執拗に長期間攻撃を続ける点で従来の脅威とは異なり、マルウエアが企業ネットワーク内に侵入することを検知あるいは防止することはもはや不可能である。また、企業の営業秘密の漏洩ルートは内部犯によるものが一番多いため、企業の外からの攻撃を防ぐだけでは、情報の漏洩を防ぐことはできない。

このような情勢の中で、リスクベース認証の注目度が高まっている。リスクベース認証とは、ユーザのアクセスログなどの記録を用い、ユーザによるアクセスのリスクレベルを算出し、リスクレベルに応じて認証方法やアクセス権限を動的に変えることで、より確実な本人認証やアクセス制御を行う方法である。

例えば、クラウドサービスに対して、ユーザが日本からアクセスした直後に他の国からアクセスが発生した際に、なりすましのリスクが高いと判断して追加の認証を行うことで、不正なアクセスを防ぐことが期待できる。また、ユーザやユーザが利用するクライアント端末の状態に応じて、例えばテレワークでは重要なリソースにアクセスさせないといったアクセス制御も考えられる。また、普段のユーザの行動パターンであるふるまいと異なるパターンでのアクセスに対して警告を出すことで、内部犯への対策となりうる。

このように、近年のＩＴ環境の変化からリスクベース認証が注目されている。しかし、リスクベース認証では、ユーザの振舞いやデバイスの状態等、様々な情報を相関的に分析することが推奨されているが、入力情報及び分析方法は確立されていない。

この課題を解決する背景技術として、特許文献１がある。特許文献１には、「リスクベース認証システムにおいて、外部から得られるインターネット上の危険度情報に基づいてリスクレベルの評価結果を変化させて追加認証を実行する判断レベルを変化させることにより、より柔軟性のあるリスクベース認証を実現することが可能となる。」という記載がある。

特開２０１９－１９１６５７号公報

特許文献１に記載の技術は、ルール分析及び行動分析に加えて、外部から得られるインターネット上の危険度情報に基づいてリスクベース認証を行うため、より柔軟で精度の良いリスクベース認証を行うことが可能である。しかし、認証及び認可時に、複数のリスク判定手段を全て実施するため、リスク評価の処理時間や、リスク評価を行うために利用するシステムのリソース消費量が増加する。

本発明は上述した課題を対処するためになされた。即ち、本発明の目的の一つは、リスク評価の処理時間及びリスク評価を行うために利用するシステムのリソース消費量を低減できるリスクベース認証システム及びリスクベース認証方法を提供することにある。

上記課題を解決するために、本発明のリスクベース認証システムは、クライアント端末によるリソースへのアクセスのリスクを評価し、評価結果に応じた処理を行う情報処理装置を含み、前記情報処理装置は、複数のリスク判定方法のそれぞれによって、リスクレベルを示すリスクスコアを計算するために必要な情報であるリスク計算用データを用いて、前記リスクスコアを計算するリスクスコア計算を行うように構成され、前記情報処理装置は、前記リスク判定方法による前記リスクスコア計算を行う順番を段階的に設定するための実行段階を、複数の前記リスク判定方法のそれぞれに対して設定可能に構成され、前記情報処理装置は、前記実行段階単位で、前記リスク判定方法による前記リスクスコア計算を行うことにより前記リスクスコアを計算し、計算した前記リスクスコアを統合することより、前記実行段階単位のステージリスクスコアを計算し、計算した前記ステージリスクスコアに基づいて、前記アクセスの前記リスクの評価を行うリスク評価を、前記実行段階が小さい方から順に且つ所定の場合のみ次の前記実行段階に移行するように段階的に行う、ように構成されている。

本発明のリスクベース認証方法は、クライアント端末によるリソースへのアクセスのリスクを評価し、評価結果に応じた処理を行う情報処理装置を用い、前記情報処理装置によって、複数のリスク判定方法のそれぞれによって、リスクレベルを示すリスクスコアを計算するために必要な情報であるリスク計算用データを用いて、前記リスクスコアを計算するリスクスコア計算を行い、前記リスク判定方法による前記リスクスコア計算を行う順番を段階的に設定するための実行段階を、複数の前記リスク判定方法のそれぞれに対して設定可能とし、前記実行段階単位で、前記リスク判定方法による前記リスクスコア計算を行うことにより前記リスクスコアを計算し、計算した前記リスクスコアを統合することより、前記実行段階単位のステージリスクスコアを計算し、計算した前記ステージリスクスコアに基づいて、前記アクセスの前記リスクの評価を行うリスク評価を、前記実行段階が小さい方から順に且つ所定の場合のみ次の前記実行段階に移行するように段階的に行う。

本発明によれば、リスク評価の処理時間及びリスク評価を行うために利用するシステムのリソース消費量を低減できる。

図１は本発明の実施形態に係るリスクベース認証システムを含むシステム全体を示すブロック図である。 図２はリスクベース認証システムに含まれるリスク判定装置の詳細を示すブロック図である。 図３はリスク判定手段テーブルの一例を示す図である。 図４は閾値テーブルの一例を示す図である。 図５はリスク判定結果ログテーブルの一例を示す図である。 図６はリスクベース認証システムを有するシステムの処理の概要を示すＵＭＬシーケンス図である。 図７はリスク計算用データ更新処理の処理フローを示すフローチャートである。 図８はリスク判定処理の処理フローを示すフローチャートである。 図９はパラメータ更新処理の処理フローを示すフローチャートである。 図１０は拒否画面の一例を示す図である。 図１１はクライアント端末リスク表示画面の一例を示す図である。

<<実施形態>>
以下、本発明の実施形態を図１ないし図１１を用いて説明する。なお、本実施形態において、同一の構成には原則として同一の符号を付け、繰り返しの説明は省略する。本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。以下の実施形態のリスク判定処理は、コンピュータがソフトウェアを実行することにより、その機能を実現する例について説明するが、ハードウェアロジックによるものであってもよい。

以下の説明では、「テーブル」等の表現にて各種情報を説明することがあるが、各種情報は、これら以外のデータ構造で表現されてもよい。更に、識別情報について説明する際、「ＩＤ」、「符号」、「識別情報」等の表現を用いるが、これらについてはお互いに置換が可能である。更に、以下の説明では、機能ブロックを主語として処理を説明する場合があるが、処理の主語が、機能ブロックに代えて、ＣＰＵとされてもよい。

プログラムは、プログラムソースから計算機（情報処理装置）にインストールされてもよい。プログラムソースは、例えば、プログラム配布サーバまたは計算機（情報処理装置）が読み取り可能な記憶メディア（可搬型記憶媒体）であってもよい。実施形態において、２以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２以上のプログラムとして実現されてもよい。

本発明は、複数のリスク評価手段（リスク判定方法）を用いて、クライアント端末によるサーバ等のリソースへのアクセスのリスクを評価するシステムに関する。更に、本発明は、このシステムにおいて、リスク評価にかかる処理時間、リスク評価の精度、並びに、リスク評価処理にかかるデータベース、リスク管理評価システム及びクライアント端末のリソース消費量等を最適化するための技術に関する。更に、本発明は、これらのリソース消費量等を最適化するために、各リスク評価手段の重み、リスク評価手段の実施有無や順番、リスク評価を行うために作成するリスク計算用データの更新頻度、及びリスク計算用データを作成するために必要なログデータの収集期間、を可変とする技術に関する。

先ず、図１を用いて、本発明の実施形態に係るリスクベース認証システム１を有するシステム構成について説明する。システムは、テレワーク環境や自国オフィス、海外オフィスといった様々な環境でユーザが利用するクライアント端末１０１と、ユーザがクライアント端末１０１を利用しアクセスする、クラウド環境、自国オフィス、海外オフィス等の様々な環境に存在するリソース１０２と、リスクベース認証システム１と、ログ管理装置１０５と、を有しそれらがネットワーク１０６を介して接続されている。ネットワーク１０６は、例えば、有線ＬＡＮ（Local Area Network）あるいは無線ＬＡＮであってもよいし、インターネットのようなグローバルネットワークであってもよい。

リスクベース認証システム１は、認証装置１０３と、リスク判定装置１０４とを含む。認証装置１０３は、クライアント端末１０１がリソース１０２にアクセスするたびに、クライアント端末１０１や、それを利用するユーザを認証する装置である。認証の頻度としては、例えばクライアント端末１０１がリソース１０２を持つサーバに対してリクエストを送るたびに行うことが挙げられる。また、他の認証の頻度としては、ログインからログアウトまでといった、ある期間のアクセスに対しては複数回行わない等が挙げられる。認証装置１０３は、認証の際にリスク判定装置１０４にアクセスのリスクレベル（リスクの大きさ）について問い合わせを行い、その結果に応じて適切な認証やアクセス制御をユーザに課す（即ち、認証装置１０３は、リスクレベルに応じて、ユーザに課す認証レベルを動的に変更する。）。ログ管理装置１０５は、リスク判定装置１０４がリスクレベル（リスクレベルを示すリスクスコア）を算出する際に必要となる情報を保管している。

図１では、一例として、クライアント端末１０１はテレワーク環境、自国オフィス及び海外オフィスの３つに存在する。なお、クライアント端末１０１は、これら以外の他の環境に存在してもよい。同様に、リソース１０２はクラウド環境、自国オフィス及び海外オフィスの３つに存在する。リソース１０２は、これら以外の他の環境に存在してもよい。また、ログ管理装置１０５はＡからＣの３つを示しているが、数に決まりはない。

次に、図２を用いて、リスク判定装置１０４について説明する。リスク判定装置１０４は、図２に示されるようなＰＣ（Personal Computer）、サーバなどの一般的な情報処理装置で実現され、通信インターフェース（通信ＩＦ）１１１と、ＣＰＵ（Central Processing Unit）１１２と、メインメモリ１１３と、記憶装置１１４と、それらの各部を接続する通信路１１５と、を備えている。通信路１１５は、例えば、バスやケーブルなどの情報伝達媒体である。なお、リスク判定装置１０４は複数の情報処理装置で実現されてもよい。情報処理装置はクラウド上に構築される仮想的な情報処理装置であってもよい。

メインメモリ１１３は、例えば、ＲＡＭ（Random Access Memory）などの半導体記憶装置であり、記憶装置１１４からロードされてＣＰＵ１１２で実行されるプログラムや、必要なワークデータを一時的に記憶する。

ＣＰＵ１１２は、メインメモリ１１３に記憶されているプログラムを実行する。

記憶装置１１４は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）などの大容量の磁気記憶装置や半導体記憶装置であり、ＣＰＵ１１２で実行されるプログラムや、ＣＰＵ１１２に利用されるデータを記憶する。

本実施形態では、ＣＰＵ１１２が、メインメモリ１１３に、プログラムとしてのリスク計算用データ作成部１２１、データ収集部１２２、リスク判定部１２３、パラメータ更新部１２４及び表示部１２５がロードする。ＣＰＵ１１２が、メインメモリ１１３にロードされたこれらのプログラムを実行することによって、リスク計算用データ作成部１２１、データ収集部１２２、リスク判定部１２３、パラメータ更新部１２４及び表示部１２５の各機能を実現する。

リスク計算用データ作成部１２１は、後述するように、データ収集部１２２を用いてログ管理装置１０５から収集したログデータを基に、リスクスコアの算出に必要なリスク計算用データ１３３を作成及び更新するプログラムである。

データ収集部１２２は、リスク計算用データ作成部１２１が１つ以上の種類があるログ管理装置１０５からログデータを収集する際に、ログ管理装置１０５の種類による違いをなくした統一のインターフェースを提供するプログラムである。

リスク判定部１２３は、後述するリスク判定手段テーブル１３１、閾値テーブル１３２及びリスク計算用データ１３３を用いて、リスクスコアの算出をするプログラムである。

パラメータ更新部１２４は、後述するリスク判定結果ログテーブル１３４を用いて、後述するリスク判定手段テーブル１３１及び閾値テーブル１３２の設定更新を行うプログラムである。

表示部１２５は、後述する画面表示及び前記画面に対する入力の処理等を行うプログラムである。

また、記憶装置１１４は、リスク判定手段テーブル１３１、閾値テーブル１３２、リスク計算用データ１３３及びリスク判定結果ログテーブル１３４を記憶している。各テーブルの詳細は、後述する。

なお、認証装置１０３も、ＰＣ（Personal Computer）、サーバなどの一般的な情報処理装置で実現される。認証装置１０３も、複数の情報処理装置で実現されてもよい。更に、認証装置１０３及びリスク判定装置１０４が、一つの情報処理装置で実現されてもよい。情報処理装置はクラウド上に構築される仮想的な情報処理装置であってもよい。

次に、図３ないし図５を用いて本実施形態に係るリスクベース認証システム１で使用されるデータ構造について説明する。

先ず、図３を用いてリスク判定手段テーブルの一例について説明する。リスク判定手段テーブル１３１は、リスク判定装置１０４（リスク判定部１２３）がリスクスコアの算出を行うために利用する１つ以上のリスク判定手段（「リスク判定情報」又は「リスク判定方法」とも称呼される。）を規定する情報を記録したテーブルである。このテーブルには、リスク判定方法を規定する情報が互いに対応づけられて格納されている。

リスク判定手段テーブル１３１のエントリは、ＩＤ３０１、リスク判定手段３０２、タイプ３０３、重み３０４、ステージ３０５、リスク計算用データ更新頻度３０６、利用ログの取得期間３０７及びリアルタイム性３０８、の各フィールドを有する。ＩＤ３０１には、テーブル内でレコードを一意に識別するための符号が格納される。リスク判定手段３０２には、リスク判定手段の名称が格納される。タイプ３０３には、リスク判定手段のタイプである「ふるまい」及び「状態」、のいずれかの値が格納される。「ふるまい」とは、過去のデータを基にベースラインを作成して、前記ベースラインからの乖離度によりリスクを判定する手段（方法）である。例えば、乖離度が大きくなるほど大きいリスクスコアが計算される。一方状態は、現在或いは直近の状態に基づいて、リスクを判定する手段（方法）である。例えば、現在或いは直近の状態が、規定された状態より異なるか否か、或いは、規定された状態からの相違の程度、現在或いは直近の状態の程度（例えば、デバイス上の攻撃の痕跡の程度）に基づいて、リスクスコアが計算される。

重み３０４には、リスク判定装置１０４により各リスク判定手段（リスク判定方法）が算出したリスクスコアを統合し、ステージリスクスコアを算出する際に利用される重みが格納される。

ステージ３０５には、リスク判定手段（リスク判定方法）が実行されるステージが格納される。リスク判定装置１０４は、後述するリスク判定処理Ｓ６０４に示す通り、ステージに格納された値が小さいリスク判定手段（リスク判定方法）の結果から順番に、ステージ単位でリスクスコアの計算を実施する。即ち、ステージは、ステージ単位で、リスク判定手段（リスク判定方法）によるリスクスコア計算を行う順番を段階的に設定するための情報である。ステージは、「実行段階」とも称呼され、ステージ単位は、「実行段階単位」とも称呼される。

リスク計算用データ更新頻度３０６には、リスク判定手段（リスク判定方法）がリスクスコア計算に利用するリスク計算用データ１３３を更新する頻度の設定情報が格納される。例えばリスク計算用データ更新頻度３０６が１日であれば、１日に１回ログ管理装置１０５からログデータを収集しリスク計算用データ１３３を更新する。具体的な処理は、図７のリスク計算用データ更新処理フローチャートにて後述する。

尚、リスク計算用データ１３３は、リスクスコアを計算（算出）するために必要なデータ（機械学習モデルを含む。）であり、例えばログ管理装置１０５に格納されたアクセスログから生成する、ユーザが利用するＷｅｂブラウザの割合といった単純なものや、アクセスログから生成した一般ユーザと内部犯を識別するような機械学習モデルなどを意味する。

利用ログの取得期間３０７には、リスク計算用データ１３３の更新の際に、現在日時よりどれほど前のログデータをログ管理装置１０５から収集するかを決める設定値が格納される。数値が大きい場合は、より過去をさかのぼった情報を基にリスクスコアの算出が可能となるが、ログ管理装置１０５から大量のログを収集するため、ログ管理装置１０５のリソース消費量、ネットワーク消費量及びログデータ収集時間が増加する。タイプ３０３がふるまいの場合、全期間のログが必要なため、リスク計算用データ更新頻度３０６と同じ値となる。

一方、タイプ３０３が状態の場合、利用ログの取得期間３０７には、リスク計算用データ更新頻度３０６と同じか、より小さい値が設定される。これは、リスク計算用データ更新頻度３０６より長い期間のログを収集すると、重複してログが収集されるためである。リアルタイム性３０８には、リスク判定手段（リスク判定方法）によってリスクスコアの算出を行う際に、どの程度直近のデータを利用する必要があるかを定める設定値が格納される。即ち、リアルタイム性３０８には、リスク判定部１２３がリスクスコアの算出を行うときのリスク判定方法（リスク判定手段）が求めるリスク計算用データ１３３のリアルタイム性を規定するための時間（値）が格納される。アクセスログの傾向等、短期間による変動が少ない情報に対してはリアルタイム性３０８の期間（時間）を長くし、反対に、ユーザ端末上に現れた攻撃の痕跡などリアルタイムに検出が必要な場合は、リアルタイム性３０８の期間（時間）を短くするなどが考えられる。本値は、リスク計算用データ更新頻度３０６と同じか、より小さい値が設定される。これは、リスク計算用データ更新頻度３０６より大きな値とした場合、何れの値を取ったとしても、後述するステップ８０４の手順（処理）において、リスク計算用データ更新頻度３０６と同じ値とした場合と処理結果が変わらないためである。また、設定値は、クライアント端末１０１ごとに異なる設定を行ってもよい。その際、クライアント端末１０１によっては、実施しないリスク判定手段（リスク判定方法）があってもよい。

次に、図４を用いて閾値テーブルの一例について説明する。閾値テーブル１３２は、各ステージ３０５において、ステージが設定されたリスク判定手段３０２（リスク判定方法）を、ステージ単位で、実行し結果を統合した結果、どのようにアクセス制御を行うかを決定するうえで利用される段階的な閾値（便宜上、「閾値スコア」とも称呼される場合がある。）を格納したテーブルである。

閾値テーブル１３２のエントリは、ＩＤ４０１、ステージ４０２、閾値４０３及び判定結果４０４、の各フィールドを有する。ＩＤ４０１には、テーブル内でレコードを一意に識別するための識別情報（符号）が格納される。ステージ４０２には、閾値４０３を適用するステージ番号が格納される。閾値４０３には、判定結果４０４を決定するための閾値が格納される。なお、この閾値は、ステージリスクスコアに基づいて、リスクレベル（アクセスのリスク）を評価するために使用される閾値ともいえる。判定結果４０４には、各ステージ４０２の全リスク判定手段（リスク判定方法）による結果を統合し得られるリスクスコア（ステージリスクスコア）が、閾値４０３を上回った場合に実行するアクセス制御処理が格納される。

重み３０４、ステージ３０５、リスク計算用データ更新頻度３０６、利用ログの取得期間３０７及び閾値４０３は、管理者によってあらかじめ設定されてしてもよいし、管理者によって更新されてもよい。

更に、重み３０４、ステージ３０５、リスク計算用データ更新頻度３０６、利用ログの取得期間３０７及び閾値４０３は、機械学習により、設定されるようにしてもよいし、更新されるようにしてもよい。この場合、例えば、検知すべきであるアクセスパターンと検知すべきではないアクセスパターンとが用意される。これらを用いてリスク判定が行われ、その結果等を含む情報が、後に詳述するリスク判定結果ログテーブル１３４の情報に格納される。そして、リスク判定結果ログテーブル１３４の情報に基づいて、遺伝的アルゴリズムなどの機械学習により、リスク判定処理時間、判定精度及びリソース消費量の少なくとも一つを最適化するように、重み３０４、ステージ３０５、リスク計算用データ更新頻度３０６、利用ログの取得期間３０７及び閾値４０３の少なくとも一つが機械的に設定（更新）される。ここでいう最適化とは、リスク判定処理時間、判定精度及びリソース消費量の３つの指標全てを同時に改善できる設定値が存在しない、重み３０４、ステージ３０５、リスク計算用データ更新頻度３０６、利用ログの取得期間３０７及び閾値４０３の設定値を求めることである。尚、リスク判定処理時間、判定精度及びリソース消費量の３つの指標は、全てを最良とすることはできず、トレードオフの関係になっている。例えば、リスク判定処理時間を最小とするためには、リスク計算用データ更新頻度３０６の値を短くすることで、後述するリスク判定処理Ｓ６０４のリスク計算用データ更新処理（ステップ８０５）の発生を抑えることにより、実現できる。しかしこの場合、高頻度でリスク計算用データ更新処理が実行されるため、リソース消費量が増加する。また、例えばステージ３０５の設定を、早い段階で実施されるリスク判定手段を少なくし、閾値４０３の設定を、次の段階に遷移しにくいように設定することで、実行するリスク判定手段を減らすことにより、実現することも可能である。しかしこの場合、実行されるリスク判定手段が減るため、リスク判定精度の悪化が起きる。他の指標においても同様で、何れかの指標を改善した場合、他の指標が悪化する。そのため、最適な値は複数存在することになる。ここでいう最適化とは、別の言い方をすれば、多目的最適化アルゴリズムを用いたパレート最適な解を算出することを指す。

次に、図５を用いてリスク判定結果ログテーブルの一例について説明する。リスク判定結果ログテーブル１３４は、リスク判定の結果を記録したテーブルである。リスク判定結果ログテーブル１３４のエントリは、ＩＤ５０１、日時５０２、クライアント端末識別子５０３、リスク判定手段５０４、リスク計算用データの更新有無５０５、処理時間５０６、リソース消費量５０７、リスクスコア５０８及びステージ５０９、の各フィールドを有する。

ＩＤ５０１には、テーブル内でレコードを一意に識別するための識別情報（符号）が格納される。日時５０２には、リスク判定が実行された日時が格納される。クライアント端末識別子５０３には、リスク判定が実行されたクライアント端末１０１を一意に識別する識別子が格納される。リスク判定手段５０４には、実行されたリスク判定手段（リスク判定方法）が格納される。リスク計算用データの更新有無５０５には、図８で後述するリスク判定処理において、リスク計算用データ１３３の更新処理が発生したか否かの情報が格納される。処理時間５０６には、リスク判定手段を実行し、リスクスコアが算出されるまでに要した処理時間が格納される。リソース消費量５０７には、リスクスコアを算出する際に消費したリソースの消費量が格納される。リソースの消費量は、ネットワーク通信量、データベース、リスク認証システム、クライアント端末１０１のＣＰＵ、メモリ等のそれぞれの項目を格納してもよいし、それらを統合した指標を格納してもよい。リスクスコア５０８には、リスク判定手段（リスク判定方法）を実行した結果得られるリスクスコアが格納される。ステージ５０９には、リスク判定手段（リスク判定方法）が実行されたステージが格納される。

次に、図６ないし図８を用いてリスクベース認証システム１の処理について説明する。先ず、図６を用いてリスクベース認証システム１の処理の概要について説明する。

クライアント端末１０１は、リソース１０２にアクセスする際に、認証装置１０３に対してアクセス要求を行う（Ｓ６０１）。その際、認証装置１０３は何れかの方法でクライアント端末１０１やクライアント端末１０１を利用するユーザを識別する。識別の方法としてはユーザＩＤとパスワードとの組合せや、クライアント端末１０１が持つクライアント証明書を利用する方法などが挙げられる。認証装置１０３は、リスク判定装置１０４に対して、クライアント端末１０１のアクセスのリスクを問い合わせる（Ｓ６０２）。

次に、リスク判定装置１０４は、後述の図８で説明するリスク判定処理を行う（Ｓ６０４）。次に、リスク判定装置１０４は、リスク判定処理Ｓ６０４で得られたリスク判定結果を認証装置１０３に応答する（Ｓ６０８）。認証装置１０３は、リスク判定装置１０４から受け取ったリスク判定結果を基に、前記クライアント端末１０１の前記リソース１０２へのアクセス可否をクライアント端末１０１に応答する（Ｓ６０９）。

以後の処理は、クライアント端末１０１が受け取ったアクセス可否の結果に応じて処理内容を変える。アクセス可否がアクセス許可の場合（Ｓ６１１）、クライアント端末１０１はリソース１０２にアクセスを行う（Ｓ６１２）。アクセス可否の結果が追加認証の場合（Ｓ６１３）、クライアント端末１０１は認証装置１０３に対して、クライアント端末１０１やそれのユーザを識別するための情報を認証装置１０３に送付する（Ｓ６１４）。認証装置１０３は、受け取った識別情報を検証し、追加認証の結果をクライアント端末１０１に応答する（Ｓ６１５）。アクセス可否がアクセス拒否の場合（Ｓ６１６）、クライアント端末１０１の画面上にアクセスが拒否された旨を示す画面を表示し処理を終了する（Ｓ６１７）。

以後の処理は、クライアント端末１０１が受け取った追加認証結果に応じて処理内容を変える。追加認証結果がアクセス許可の場合（Ｓ６１９）、クライアント端末１０１はリソース１０２にアクセスを行う（Ｓ６２０）。追加認証結果がアクセス拒否の場合（Ｓ６２１）、クライアント端末１０１の画面上にアクセスが拒否された旨を示す画面を表示し処理を終了する（Ｓ６２２）。

次に、図７を用いてリスク計算用データ事前更新処理について説明する。図７は、リスク計算用データ作成部１２１が実行するリスク計算用データ更新処理の処理フローを示すフローチャートである。この更新処理によって、各リスク判定方法の各クライアント端末１０１に関する計算用データが所定の更新頻度で更新される。

リスク計算用データ作成部１２１は、ステップ７００から処理を開始しループ１処理の始点のステップ７０１に進み、リスク判定手段テーブル１３１に格納されているリスク判定手段のうちの未選択のリスク判定手段を選択し、ステップ７０１乃至ステップ７０７のループ１処理の実行を開始する。このループ１処理は、ループ１処理の終了条件（リスク判定手段テーブル１３１に格納されている全てのリスク判定手段についてループ１処理が実行される）が成立するまで、繰り返し実行される。

リスク計算用データ作成部１２１は、ループ２処理の始点のステップ７０２に進み、選択したリスク判定手段のループ２処理がまだ実行されていないクライアント端末１０１について、ステップ７０２乃至ステップ７０６のループ２処理の実行を開始する。このループ２処理は、ループ２処理の終了条件（全てのクライアント端末１０１について、ループ２処理が実行される）が成立するまで、繰り返し実行される。

リスク計算用データ作成部１２１は、ステップ７０３に進み、リスク判定手段テーブル１３１に格納されている、選択したリスク判定手段についての更新頻度データ（リスク計算用データ更新頻度）を取得する。

次に、リスク計算用データ作成部１２１は、ステップ７０４に進み、「現在日時」から「リスク計算用データ更新日時」を減算した値（時間）が、ステップ７０３にて取得した「リスク計算用データ更新頻度」より小さいか否かを判定する。なお、「リスク計算用データ更新日時」は、後述するステップ７０５のリスク計算用データ更新処理を最後に実施した際の日時（ステップ７０４の時点を基準として、直近のリスク計算用データ更新処理の更新処理の実施日時）である。

「現在日時」から「リスク計算用データ更新日時」を減算した値が、「リスク計算用データ更新頻度」より小さい場合、リスク計算用データ作成部１２１は、ステップ７０４にて「Ｙｅｓ」と判定してループ２処理の終点のステップ７０６に進む。

一方、「現在日時」から「リスク計算用データ更新日時」を減算した値が、「リスク計算用データ更新頻度」以上である場合、リスク計算用データ作成部１２１は、ステップ７０４にて「Ｎｏ」と判定してステップ７０５に進み、ログ管理装置１０５からログを収集し、リスク計算用データを更新する。その後、リスク計算用データ作成部１２１は、ループ２処理の終点のステップ７０６に進む。

リスク計算用データ作成部１２１は、ループ２処理の終点のステップ７０６にて、ループ２処理の終了条件（全てのクライアント端末１０１に対して、ループ２処理が実行される）が成立していない場合、ループ２処理の始点のステップ７０２に戻る。リスク計算用データ作成部１２１は、ステップ７０２に戻ると、まだループ２処理が実行されていないクライアント端末１０１に対して、ループ２処理の実行を開始する。

一方、リスク計算用データ作成部１２１は、ループ２処理の終点のステップ７０６にて、ループ２処理の終了条件（全てのクライアント端末１０１に対して、ループ２処理が実行される）が成立している場合、ループ２処理を終了してループ１処理の終点のステップ７０７に進む。

リスク計算用データ作成部１２１は、ループ１処理の終点のステップ７０７にて、ループ１処理の終了条件（リスク判定手段テーブル１３１に格納されている全てのリスク判定手段についてループ１処理が実行される）が成立していない場合、ループ１処理の始点のステップ７０１に戻る。リスク計算用データ作成部１２１は、ステップ７０１に戻ると、まだ選択されていない未選択のリスク判定手段を選択し、再度ループ１処理の実行を開始する。

一方、リスク計算用データ作成部１２１は、ループ１処理の終点のステップ７０７にて、ループ１処理の終了条件（リスク判定手段テーブル１３１に格納されている全てのリスク判定手段についてループ１処理が実行される）が成立している場合、ループ１処理を終了し、ステップ７９５に進み、本処理フローを一旦終了する。

次に、図８を用いてリスク判定処理の詳細について説明する。図８は、リスク判定部１２３が実行するリスク判定処理の処理フローを示すフローチャートである。これは、図６のＳ６０４に該当する処理である。

リスク判定部１２３は、ステップ８００から処理を開始してステップ８０１に進み、認証装置１０３からリクエスト情報を取得する。その後、リスク判定部１２３は、ループ１処理の始点のステップ８０２に進み、ステージを小さい順から選択し、ステップ８０２乃至ステップ８１１のループ１処理の実行を開始する。このループ１処理は、ループ１処理の終了条件（リスク判定手段テーブル１３１のステージ３０５の全ステージに対して、ループ１処理が実行される）が成立するまで繰り返し実行される。

その後、リスク判定部１２３は、ステップ８０３のループ２処理の始点に進み、ステップ８０３乃至ステップ８０７のループ２処理の実行を開始する。このループ２処理は、ループ２処理の終了条件（ループ１処理で選択されているステージと一致する全てのリスク判定手段に対して、ループ２処理が実行される）が成立するまで、繰り返し実行される。

リスク判定部１２３は、ステップ８０４に進み、「現在日時」から「リスク計算用データ更新日時」を減算した値（時間（即ち、更新日時からの経過時間））が、リアルタイム性３０８の値より小さいか否かを判定する。リスク計算用データ更新日時は、後述するリスク計算用データ更新処理（ステップ８０５）を最後に実施した際の日時（ステップ８０４の時点を基準として、直近のリスク計算用データ更新処理の実施日時）である。

「現在日時」から「リスク計算用データ更新日時」を減算した値が、リアルタイム性３０８の値以上である場合、リスク判定部１２３は、ステップ８０４にて「Ｎｏ」と判定してステップ８０５に進み、ログ管理装置１０５からログを収集し、リスク計算用データ１３３を更新する。リスク判定部１２３は、ステップ８０５にて更新したリスク計算用データ１３３を用いてリスクスコアを算出する。

これに対して、「現在日時」から「リスク計算用データ更新日時」を減算した値が、リアルタイム性３０８の値より小さい場合、リスク判定部１２３は、ステップ８０４にて「Ｙｅｓ」と判定してステップ８０６に進み、リスク計算用データ１３３を更新することなく、既存の作成済みのリスク計算用データ１３３を基にリスクスコアを算出する。

その後、リスク判定部１２３は、ループ２処理の終点のステップ８０７に進む。ループ２処理の終点のステップ８０７にて、ループ２処理の終了条件（ループ１処理で選択されているステージと一致する全ての判定手段に対して、ループ２処理が実行される）が成立していない場合、ループ２処理の始点のステップ８０３に戻る。リスク判定部１２３は、ループ２処理の始点のステップ８０３に戻ると、まだ選択されていない未選択のリスク判定手段を選択し、再度ループ２処理の実行を開始する。

ループ２処理の終点のステップ８０７にて、ループ２処理の終了条件（ループ１処理で選択されているステージと一致する全ての判定手段に対して、ループ２処理が実行される）が成立している場合、リスク判定部１２３は、ループ２処理を終了してステップ８０８に進み、ループ２処理で算出した同一ステージ内の全てのリスクスコアを、重み３０４を利用し統合し（例えば、リスクスコアに重み３０４を乗算した値を合計し）ステージリスクスコアを算出する。なお、この際、リスク判定部１２３は、前のステージのステージリスクスコアも利用してステージリスクスコアを算出してもよい。

その後、リスク判定部１２３は、ステップ８０９に進み、ステップ８０８にて算出したステージリスクコアと閾値４０３とを比較し（即ち、アクセスのリスクを評価し）、判定結果４０４を決定してステップ８１０に進む。

リスク判定部１２３は、ステップ８１０に進むと、「判定結果４０４が次ステージへ進む」であるか否かを判定する。

「判定結果４０４が次ステージへ進む」である場合、リスク判定部１２３は、ステップ８１０にて「Ｙｅｓ」と判定してステップ８１１のループ１処理の終点のステップ８１１に進む。リスク判定部１２３は、ループ１処理の終点のステップ８１１にて、ループ１処理の終了条件（リスク判定手段テーブル１３１のステージ３０５の全ステージに対して、ループ１処理が実行される）が成立していない場合、ループ１処理の始点のステップ８０２に戻り、次ステージのリスク判定手段について、ループ２処理を実行する。

ループ１処理の終点のステップ８１１にて、ループ１処理の終了条件が成立している場合、リスク判定部１２３は、ループ１処理を終了してステップ８１２に進み、ステージ毎のステージ単位のリスクスコア（ステージリスクスコア）を統合した統合リスクスコアを算出する。統合リスクスコアは、例えば、ステージリスクスコアの平均値である。その後、リスク判定部１２３は、ステップ８１３に進み、判定結果を認証装置１０３に送信する。

ステップ８１０にて「判定結果４０４が次ステージへ進む」ではない場合、リスク判定部１２３は、ステップ８１０にて「Ｎｏ」と判定してステップ８１２に直接進んで、既述のステップ８１２の処理を実行した後、ステップ８１３に進み、判定結果を認証装置１０３に送信する
。なお、本例では各ステージ及びリスク判定手段を逐次的に実行しているが、並列に実行してもよい。

次に、図９を用いて、リスク判定手段テーブル１３１及び閾値テーブル１３２のパラメータ更新処理を説明する。図９は、パラメータ更新部１２４が実行するパラメータ更新処理の処理フローを示すフローチャートである。パラメータ更新部１２４は、管理者が実行したい任意のタイミングで管理者による更新処理を開始する指令があった場合、本処理フローを実行する。パラメータ更新部１２４は、ステップ９００から処理を開始して以下に述べるステップ９０１乃至ステップ９０５の処理を実行した後、ステップ９９５に進んで本処理フローを一旦終了する。

ステップ９０１：パラメータ更新部１２４は、リスク判定手段テーブル１３１、閾値テーブル１３２及び判定結果ログテーブル１３４を取得する。

ステップ９０２：パラメータ更新部１２４は、リスク判定手段テーブル１３１、閾値テーブル１３２及び判定結果ログテーブル１３４を管理者に分析させるために、リスク判定手段テーブル１３１、閾値テーブル１３２及び判定結果ログテーブル１３４を含む分析のために必要な情報をリスク判定装置１０４の管理者の端末（不図示）に出力する。管理者は、端末に出力された情報に基づいて分析し、パラメータを所望のパラメータに変更するための情報を、端末（入力装置）を介してリスク判定装置１０４に入力する。

ステップ９０３：パラメータ更新部１２４は、ステップ９０２にて入力された情報に基づいて、リスク判定手段テーブル１３１及び閾値テーブル１３２のパラメータ（少なくとも一つのパラメータ）を更新する。

ステップ９０４：パラメータ更新部１２４は、ステップ９０２にて入力された情報に基づいて、各指標（リスク判定処理時間、判定精度及びリソース消費量）の値を算出する。

ステップ９０５：ステップ９０４で算出された各指標の値において「終了条件を満たす」場合、「Ｙｅｓ」と判定してステップ９９５に進んで本処理フローを一旦終了する。一方、「終了条件を満たす」ではない場合、「Ｎｏ」と判定してステップ９０２からの処理を繰り返す。ここでいう終了条件とは、各指標の値が、管理者が設定するなどした目標とする値よりも良い値となった場合等である。

なお、上述したパラメータ更新処理は、管理者によって入力された情報に基づいて行われるようにしたが、パラメータ更新部１２４が、自動且つ定期的な分析及びパラメータ更新を、機械学習（例えば、ＡＩによる学習等）を利用して機械的（自動的）に実行するようにしてもよい。この場合において、リスク判定処理時間、判定精度及びリソース消費量の少なくとも一つ（或いは、リスク判定処理時間及びリソース消費量の少なくとも一つ）でパレート最適な解が算出されるように機械的に、リスク判定手段テーブル１３１及び閾値テーブル１３２のパラメータ（少なくとも一つのパラメータ）が更新されるようにしてもよい。

次に、図１０を用いて拒否表示画面について説明する。拒否画面１００１は、リソース１０２へのアクセスを拒否された際に表示する画面である。拒否画面１００１は、例えば、クライアント端末１０１が備える表示装置（不図示）に表示される、ＧＵＩ（Graphical User Interface）を構成するＧＵＩ画面である。ユーザは、クライアント端末１０１に接続されたマウス、キーボード等の入力装置を介して、ＧＵＩを操作する。

拒否画面１００１は、図１０に示されるように、拒否メッセージ表示領域１００２と、リスク計算用データ更新ボタン１００３と、を含む。拒否メッセージ表示領域１００２は、接続が拒否された旨を示すメッセージを表示する領域である。なお、本領域（拒否メッセージ表示領域１００２）に拒否された主な理由が、メッセージとして記載（表示）されるようにしてもよい。これにより、ユーザは、リスク低減のため（接続拒否を解消するため）の是正を行いやすくなる。一方で、攻撃者や内部犯行者が拒否された主な理由を悪用しアクセス許可を得ることを防ぐために、図１０の例のように拒否された旨のみを示してもよい。

リスク計算用データ更新ボタン１００３は、リスク判定部１２３に対して、リスク計算用データの更新を依頼するためのボタンである。本ボタンを利用する（操作する）ことでリスク計算用データ１３３の更新が実行され、ユーザはリスク低減のために実施した内容を即時でリスク評価に反映させることが可能となる。

次に、図１１を用いてクライアント端末リスク表示画面について説明する。クライアント端末リスク画面１１０１は、特定のクライアント端末１０１のアクセスリスク状況を表示する画面である。クライアント端末リスク画面１１０１は、例えば、リスク判定装置１０４に接続された表示装置（不図示）に表示される画面である。クライアント端末リスク画面１１０１は、図１１に示されるように、リスクスコア推移表示領域１１０２と、リスク評価結果表示領域１１０３と、を含む。

リスクスコア推移表示領域１１０２は、リソースアクセス時のリスクスコアの時間推移を示す情報（本例において、グラフ）を含む。リスク評価結果表示領域１１０３は、リソースアクセス時のリスク判定結果の詳細を示す情報を表示する領域である。

＜効果＞
以上説明したように、本発明の実施形態に係るリスクベース認証システム１は、ステージ単位でリスク判定方法によるリスクスコア計算を行い、リスクスコアに基づいて、ステージ単位のステージリスクスコアを計算し、計算したステージリスクスコアに基づいて、ステージ単位でアクセスのリスクを評価するリスク評価を、実行段階が小さい方から順に且つ所定の場合のみ次の実行段階に移行するように段階的に行う。これにより、実施形態に係るリスクベース認証システム１は、リスク評価の処理時間及びリスク評価を行うために利用するシステムのリソース消費量を低減できる。更に、本発明の実施形態に係るリスクベース認証システムは、複数のリスク判定方法を規定するパラメータを可変に設定可能に構成される。これにより、実施形態に係るリスクベース認証システム１は、リスクベース認証におけるリスク判定精度、リスク判定にかかる処理速度及びリソース消費量の少なくとも一つを最適化できるように、複数のリスク判定方法を設定できる。更に、実施形態に係るリスクベース認証システム１は、リスクベース認証におけるリスク判定精度、リスク判定にかかる処理速度及びリソース消費量の少なくとも一つを最適化するように設定された複数のリスク判定方法により、リスク評価を行うことによって、リスクベース認証におけるリスク判定にかかる処理速度及びリソース消費量の少なくとも一つを最適化できる。

<<変形例>>
なお、本発明は上記実施形態に限定されることなく、本発明の範囲内において種々の変形例を採用することができる。例えば、上記実施形態において、ステージの数は、２つに限定されず、３つ以上であってもよい。

１…リスクベース認証システム、１０１…クライアント端末、１０２…リソース、１０３…認証装置、１０４…リスク判定装置、１０５…ログ管理装置、１０６…ネットワーク、１２１…リスク計算用データ作成部、１２２…データ収集部、１２３…リスク判定部、１２４…パラメータ更新部、１２５…表示部、１３１…リスク判定手段テーブル、１３２…閾値テーブル、１３３…リスク計算用データ、１３４…リスク判定結果ログテーブル

Claims (11)

1. クライアント端末によるリソースへのアクセスのリスクを評価し、評価結果に応じた処理を行う情報処理装置を含むリスクベース認証システムであって、
   前記情報処理装置は、
   複数のリスク判定方法のそれぞれによって、リスクレベルを示すリスクスコアを計算するために必要な情報であるリスク計算用データを用いて、前記リスクスコアを計算するリスクスコア計算を行うように構成され、
   前記情報処理装置は、
   前記リスク判定方法による前記リスクスコア計算を行う順番を段階的に設定するための実行段階を、複数の前記リスク判定方法のそれぞれに対して設定可能に構成され、
   前記情報処理装置は、
   前記実行段階単位で、前記リスク判定方法による前記リスクスコア計算を行うことにより前記リスクスコアを計算し、計算した前記リスクスコアを統合することより、前記実行段階単位のステージリスクスコアを計算し、計算した前記ステージリスクスコアに基づいて、前記アクセスの前記リスクの評価を行うリスク評価を、
   前記実行段階が小さい方から順に且つ所定の場合のみ次の前記実行段階に移行するように段階的に行う、
   ように構成された、
   リスクベース認証システム。
2. 請求項１に記載のリスクベース認証システムにおいて、
   前記情報処理装置は、
   前記実行段階単位の前記リスク評価の評価結果に基づき次の前記実行段階の前記実行段階単位での前記リスクの評価に移行することが要求される場合に限って、次の前記実行段階の前記実行段階単位の前記リスク評価に移行する、
   ように構成された、
   リスクベース認証システム。
3. 請求項１に記載のリスクベース認証システムにおいて、
   データを格納可能な記憶装置を含み、
   前記情報処理装置は、
   前記リソースへアクセスする前記クライアント端末のログ情報を取得し、取得したログ情報に基づいて、前記リスク計算用データを生成し、前記記憶装置に格納する、
   ように構成され、
   前記情報処理装置は、
   複数の前記リスク判定方法のそれぞれに対して、前記リスク計算用データを更新する頻度を設定可能に構成され、
   前記設定された頻度で、前記リスク計算用データを生成し、生成した前記リスク計算用データによって、前記記憶装置に格納されている前記リスク計算用データを更新する、
   ように構成された、
   リスクベース認証システム。
4. 請求項３に記載のリスクベース認証システムにおいて、
   前記記憶装置には、複数の前記リスク判定方法のそれぞれを規定するためのパラメータが格納され、
   前記情報処理装置は、
   前記パラメータに従って、前記リスク判定方法による前記リスクスコア計算を実行する、
   ように構成された、
   リスクベース認証システム。
5. 請求項４に記載のリスクベース認証システムにおいて、
   前記記憶装置には、前記実行段階単位毎に段階的な複数の閾値スコアが格納され、
   前記情報処理装置は、
   計算した前記ステージリスクスコアと、複数の前記閾値スコアとを比較することにより、前記リスク評価を行う、
   ように構成された、
   リスクベース認証システム。
6. 請求項５に記載のリスクベース認証システムにおいて、
   前記記憶装置には、過去に実行された前記リスク判定方法に関するリスク判定結果ログ情報が格納され、
   前記情報処理装置は、
   前記リスク判定結果ログ情報を用いて、前記リスク評価の精度、前記リスク判定方法による前記リスクスコア計算の処理速度及び前記リスクスコア計算を行うために利用するシステムのリソース消費量の少なくとも一つでパレート最適な解を算出するように前記パラメータ及び前記閾値スコアの少なくとも一つを計算し、前記パラメータ及び前記閾値スコアの少なくとも一つを更新する、
   ように構成された、
   リスクベース認証システム。
7. 請求項５に記載のリスクベース認証システムにおいて、
   前記情報処理装置に情報を入力するための入力装置を含み、
   前記情報処理装置は、
   前記入力装置を介して入力された情報に基づいて、前記パラメータ及び前記閾値スコアの少なくとも一つを変更するように構成された、
   リスクベース認証システム。
8. 請求項４に記載のリスクベース認証システムにおいて、
   前記記憶装置には、前記パラメータとして、前記実行段階を示すステージと、前記ステージリスクスコアを計算するときの重みと、リスク計算用データ更新頻度と、前記ログ情報の取得期間と、前記リスク計算用データのリアルタイム性を規定するための時間と、が格納されている、
   リスクベース認証システム。
9. 請求項８に記載のリスクベース認証システムにおいて、
   前記情報処理装置は、
   前記リスクスコア計算を行う前に、直近の前記リスク計算用データの更新日時からの経過時間を計算し、
   前記経過時間が、前記リスク計算用データのリアルタイム性を規定するための時間以上である場合、前記リスク計算用データを更新し、更新後の前記リスク計算用データを用いて、前記リスクスコアを計算する、
   ように構成された、
   リスクベース認証システム。
10. 請求項１に記載のリスクベース認証システムにおいて、
    ＧＵＩ画面を表示可能な表示装置を備え、
    前記情報処理装置は、
    前記実行段階単位の前記リスクの評価に基づいて、前記リソースへのアクセスが拒否された場合、前記ＧＵＩ画面に前記リソースへのアクセスが拒否された旨を示す情報と、操作ボタンとを表示し、
    前記操作ボタンが操作された場合、前記リスク計算用データを更新する、
    ように構成された、
    リスクベース認証システム。
11. クライアント端末によるリソースへのアクセスのリスクを評価し、評価結果に応じた処理を行う情報処理装置を用いたリスクベース認証方法であって、
    前記情報処理装置によって、
    複数のリスク判定方法のそれぞれによって、リスクレベルを示すリスクスコアを計算するために必要な情報であるリスク計算用データを用いて、前記リスクスコアを計算するリスクスコア計算を行い、
    前記リスク判定方法による前記リスクスコア計算を行う順番を段階的に設定するための実行段階を、複数の前記リスク判定方法のそれぞれに対して設定可能とし、
    前記実行段階単位で、前記リスク判定方法による前記リスクスコア計算を行うことにより前記リスクスコアを計算し、計算した前記リスクスコアを統合することより、前記実行段階単位のステージリスクスコアを計算し、計算した前記ステージリスクスコアに基づいて、前記アクセスの前記リスクの評価を行うリスク評価を、
    前記実行段階が小さい方から順に且つ所定の場合のみ次の前記実行段階に移行するように段階的に行う、
    リスクベース認証方法。