JP2019074893A - Unauthorized login detection method - Google Patents
Unauthorized login detection method Download PDFInfo
- Publication number
- JP2019074893A JP2019074893A JP2017199954A JP2017199954A JP2019074893A JP 2019074893 A JP2019074893 A JP 2019074893A JP 2017199954 A JP2017199954 A JP 2017199954A JP 2017199954 A JP2017199954 A JP 2017199954A JP 2019074893 A JP2019074893 A JP 2019074893A
- Authority
- JP
- Japan
- Prior art keywords
- information
- unauthorized login
- unauthorized
- server
- terminal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000001514 detection method Methods 0.000 title claims abstract description 45
- 238000004891 communication Methods 0.000 claims description 3
- 238000000034 method Methods 0.000 description 33
- 230000000694 effects Effects 0.000 description 3
- 238000010586 diagram Methods 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 1
- 230000010365 information processing Effects 0.000 description 1
- 230000037303 wrinkles Effects 0.000 description 1
Landscapes
- Information Transfer Between Computers (AREA)
Abstract
【課題】ユーザーが使いやすく、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供する。
【解決手段】不正ログイン検出方法を用いたシステムは、不正ログイン検出プログラム１００が実行されるサーバ群、不正ログイン検出対象のＷｅｂサイト２００及びユーザー端末３００を備える。Ｗｅｂサイトは、情報収集用Ｓｃｒｉｐｔを備え、ユーザー端末からＷｅｂサイトへアクセスがあった際に、ユーザー端末においてＳｃｒｉｐｔが実行され、ユーザー端末からアクセス端末情報及び操作情報を第一のサーバ１１０へ送信させる。第一のサーバは、受信したアクセス端末情報及び操作情報を記録し、第二のサーバ１２０は、記録されたアクセス端末情報及び操作情報に基づき不正ログインか否か分析を行う。分析結果として不正ログインの可能性が高い場合、第二のサーバは、不正ログインの疑いをＷｅｂサイトへ通知する。
【選択図】図１PROBLEM TO BE SOLVED: To provide an unauthorized login detection method which is easy to use for a user and prevents unauthorized third parties from unauthorized login.
A system using an unauthorized login detection method includes a server group on which an unauthorized login detection program 100 is executed, a website 200 as an unauthorized login detection target, and a user terminal 300. The website has a script for collecting information, and when the user terminal accesses the website, the script is executed in the user terminal, and the user terminal transmits access terminal information and operation information to the first server 110. . The first server records the received access terminal information and operation information, and the second server 120 analyzes whether the login is unauthorized or not based on the recorded access terminal information and operation information. If the analysis result indicates that the possibility of unauthorized login is high, the second server notifies the website of the suspected unauthorized login.
[Selected figure] Figure 1
Description
本発明は、不正ログイン検出方法に関する。 The present invention relates to an unauthorized login detection method.
近年、インターネット上で不正ログインが行われ、社会問題になっていきている。例えば、警察庁によって発表された不正アクセス行為の発生状況によれば、平成２８年に認知された不正アクセス行為は、１８４０件もあった。 In recent years, unauthorized logins have been made on the Internet, which has become a social problem. For example, according to the occurrence situation of unauthorized access announced by the National Police Agency, there were 1840 unauthorized access recognized in 2016.
不正アクセスの例としては、インターネットバンキングやクレジットカード情報を保持するＥＣサイトといった会員制Ｗｅｂサイトで、悪意を持った者が、会員の識別子（以下、会員ＩＤ）およびパスワードを不正に入手し、会員本人になりすましてログインし、不正送金や不正な商品購入等を行う犯罪行為が増えている An example of unauthorized access is a member-only website such as Internet banking or an EC site that holds credit card information. A malicious party illegally obtains a member identifier (hereinafter referred to as a member ID) and password and The criminal act which impersonates as the person and logs in and performs illegal remittance, illegal product purchase etc. is increasing
このように、不正アクセスを受けているのは、ほとんど一般企業である。不正アクセスの主な手口としては、パスワードの不正入手、不正プログラムの導入などがある。これらの不正アクセスを防ぐために、ユーザーＩＤとパスワードとＩＰを紐付けた技術が開発されている。 In this way, most companies that receive unauthorized access are. The main methods of unauthorized access include unauthorized acquisition of passwords and introduction of unauthorized programs. In order to prevent such unauthorized access, a technology in which a user ID, a password and an IP are linked has been developed.
一方、近年モバイル端末などを用いてＷｅｂサイトにログインするケースが増えてきている。このため、モバイル端末の特性上、ＩＰアドレスは頻繁に変わることになり、ユーザーＩＤとパスワードとＩＰを紐づける技術のみでは不正アクセスを防ぐことが困難になってきている。また、モバイル機器でなくても、他人のコンピューターへの不正アクセスを経て当該ユーザーが利用しているＷｅｂサイトへの不正ログインする事例が発生している。 On the other hand, in recent years, cases of logging in to a web site using a mobile terminal or the like are increasing. Therefore, due to the characteristics of the mobile terminal, the IP address changes frequently, and it is becoming difficult to prevent unauthorized access only by the technique of associating the user ID, password and IP. Moreover, even if it is not a mobile device, there is a case where an unauthorized login to a web site used by the user is made after an unauthorized access to another person's computer.
不正アクセスを防ぐ方法として、既存のものは、特別な装置等を設置する必要があり高コストとなるものや、ＩＤやパスワード入力以外に加えて更に本人認証の為の操作を行わせる等、Ｗｅｂサイトにおけるユーザービリティを毀損する恐れがあるものがありユーザーにとって必ずしも使いやすいものとは言えない。 As a method to prevent unauthorized access, there is a need to install a special device etc. for the existing ones, resulting in high cost, and in addition to the input of ID and password, in addition to the operation for personal authentication. There are things that can damage the usability of the site, and it is not always easy for users to use.
このため、ユーザーが使いやすく、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法が求められている。 Therefore, there is a need for an unauthorized login detection method that is easy for the user to use and prevents malicious third parties from unauthorized login.
本発明は、上述した課題を解決するためにユーザーが使いやすく、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供することを目的とする。 An object of the present invention is to provide an unauthorized login detection method which is easy for a user to use to solve the problems described above and which can prevent a malicious third party from unauthorized login.
（１） 通信回線を利用したネットワークにおけるＷｅｂサイトに対して行われる不正ログイン検出方法であって、前記Ｗｅｂサイトに情報収集用のプログラムモジュールを送信する工程と、前記Ｗｅｂサイトにユーザー端末からアクセスがあった際に、前記ユーザー端末において前記プログラムモジュールが実行される工程と、前記プログラムモジュールによって、前記ユーザー端末内における前記Ｗｅｂサイトに対する前記ユーザーの操作処理情報、前記ユーザー端末情報を第一サーバに送信する工程と、前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程と、第二サーバにおいて、前記第一サーバに記録された前記操作処理情報及び、前記端末情報に基づき、不正ログインか否か分析を行う工程と、前記第二サーバにおいて、前記分析結果として不正ログインの可能性が高い場合には、不正ログインの可能性を前記Ｗｅｂサイトに通知する工程とを備える不正ログイン検出方法。 (1) A method for detecting an unauthorized login performed on a website in a network using a communication line, comprising: transmitting a program module for collecting information to the website; and accessing the website from a user terminal When the user terminal performs the program module in the user terminal, and transmits the user terminal operation processing information for the web site in the user terminal and the user terminal information to the first server by the program module A process of recording the operation process information and the terminal information in the first server, and a process of the operation process information recorded in the first server and the terminal information in the second server. Analyzing the unauthorized login or not; In the server, if there is a high possibility of fraudulent login as the result of analysis, fraud login detection method and a step of notifying the possibility of unauthorized login to the Web site.
Ｗｅｂサイトに情報処理用のプログラムモジュールを送信し、そのプログラムモジュールが実行され、ユーザーの操作処理情報（マウス操作情報やキーボード操作情報、モバイル端末のスワイプ操作の情報など）や端末情報（ハードウェアの情報や、ブラウザの情報など）を第一サーバに送る。第二サーバでは、第一サーバに記録された情報に基づいてこのアクセスが不正アクセスか否かを分析する。分析の結果、不正アクセスの可能性が高い場合には、Ｗｅｂサイト運営者に対して、メールや管理用コンソール通知などの手段を使い不正アクセスの可能性が高いことを通知する。これによって、ユーザーに負担をかけることなく、ユーザーが使いやすく、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供できる。 The program module for information processing is transmitted to the website, and the program module is executed, and user operation processing information (mouse operation information, keyboard operation information, information of swipe operation of mobile terminal, etc.) and terminal information (hardware) Send information, browser information, etc. to the first server. The second server analyzes whether this access is unauthorized access based on the information recorded in the first server. As a result of the analysis, if there is a high possibility of unauthorized access, the website operator is notified that the possibility of unauthorized access is high using means such as e-mail or console notification for management. This can provide an unauthorized login detection method that is easy for the user to use and that prevents unauthorized third parties from unauthorized login without placing a burden on the user.
（２） （１）に記載の不正ログイン検出方法であって、前記不正ログインか否か分析を行う工程において、第三者が前記ユーザー端末を乗っ取り、当該ユーザー端末を用いてログインする不正ログイン行為か否かの分析、前記Ｗｅｂサイトに自動的にログインするプログラムを用いてログインする不正ログイン行為か否かの分析、または、事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析の少なくとも何らか一つの分析を行う不正ログイン検出方法。 (2) In the unauthorized login detection method according to (1), in the step of analyzing whether or not the unauthorized login is performed, the unauthorized login act in which a third party hijacks the user terminal and logs in using the user terminal Analysis of whether or not to log in using a program that automatically logs in to the website, or analysis of whether or not to log in using the program that is prepared beforehand, An unauthorized login detection method that performs at least one analysis of non-disclosure analysis.
第一サーバに記録された今までの操作処理情報と、今回のログイン時の操作処理情報を比較し、第三者による操作や、プログラムによる操作か否か分析したり、事前に登録された不正アクセスリストと比較したりすることで不正ログインを検知する。このように、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供できる。 The operation processing information recorded so far in the first server is compared with the operation processing information at the time of the current login to analyze the operation by a third party, whether or not it is the operation by the program, or the fraud registered in advance Detect unauthorized login by comparing with access list. In this way, it is possible to provide an unauthorized login detection method that can prevent a malicious third party from unauthorized login.
（３） （１）または（２）に記載の不正ログイン検出方法であって、前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程において、前記端末情報の識別用の固有のキーを生成して、操作処理情報及び、端末情報を記録する工程を含む不正ログイン検出方法。 (3) In the unauthorized login detection method according to (1) or (2), in the step of recording the operation processing information and the terminal information in the first server, a unique identifier for identifying the terminal information. A method of detecting an unauthorized login, comprising the steps of: generating a key; and recording operation processing information and terminal information.
例えば、電話番号などで特定する場合、キャリアが変わると、電話番号が変化する可能性が考えられる。また、ＩＰで特定する場合、移動中にアクセスするとＩＰが変わり得てしまう。端末情報の識別用の固有のキーを生成し、記録することによって、その端末を特定できるようになり、特定の機器に対する操作情報が記録されていき、精度が向上していく。このように、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供できる。 For example, when specifying with a telephone number etc., if a carrier changes, a possibility that a telephone number may change is considered. Also, when specifying by IP, if you access during movement, IP may change. By generating and recording a unique key for identifying terminal information, the terminal can be identified, operation information for a specific device is recorded, and the accuracy is improved. In this way, it is possible to provide an unauthorized login detection method that can prevent a malicious third party from unauthorized login.
（４） （１）及び（２）に記載の不正ログイン検出方法であって、前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程において、前記端末情報に固有の識別キーを生成して、前記操作処理情報及び、前記端末情報を記録する工程を含み、
前記事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析を行う工程の分析結果を、前記識別キーを用いて、前記不正行為リストに情報を記録する工程とを含む不正ログイン検出方法。
(4) The unauthorized login detection method according to (1) or (2), in the step of recording the operation processing information and the terminal information in the first server, an identification key unique to the terminal information And generating the operation processing information and the terminal information;
Analyzing the analysis result of the step of analyzing whether or not the unauthorized login action is performed by comparison with the information of the fraudulent action list prepared in advance, using the identification key to record the information in the fraudulent action list; Unauthorized login detection methods including:
第一サーバに固有の識別キーを用いて記録された今までの操作処理情報と、今回のログイン時の操作処理情報を比較し、第三者による操作や、プログラムによる操作か否か分析したり、事前に登録された不正アクセスリストと比較したりすることで不正ログインを検知する。さらに、分析結果を不正アクセスリストに記憶することで、不正アクセスリストの精度を向上し、不正ログイン検出能力を向上できる。このように、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供できる。 Compare the operation processing information recorded so far using the identification key unique to the first server with the operation processing information at the time of this login, and analyze whether it is an operation by a third party or an operation by a program Detects unauthorized login by comparing it with the previously registered unauthorized access list. Furthermore, storing the analysis result in the unauthorized access list can improve the accuracy of the unauthorized access list and improve the unauthorized login detection capability. In this way, it is possible to provide an unauthorized login detection method that can prevent a malicious third party from unauthorized login.
図１に示すように、不正ログイン検出方法を用いたシステム１は、不正ログイン検出プログラムが実行されるサーバ群１００と、不正ログイン検出対象Ｗｅｂサイト２００と、ユーザー端末３００を含んで構成されている。これらは、インターネットなど電気通信回線でそれぞれ接続されている。不正ログイン検出プログラムが実行されるサーバ群１００は、後述するユーザー端末情報や、操作情報など各種情報が記憶されている第１サーバ１００と、各種アプリケーションが実行されている第２サーバ１２０を含んで構成されている。なお、このサーバの分類は概念上のものであり、実際の物理的な構成はサーバ数が二つ以上いかなる数であってもよい。 As shown in FIG. 1, a system 1 using an unauthorized login detection method includes a server group 100 in which an unauthorized login detection program is executed, an unauthorized login detection target website 200, and a user terminal 300. . These are respectively connected by telecommunication lines such as the Internet. The server group 100 in which the unauthorized login detection program is executed includes a first server 100 storing various information such as user terminal information described later and operation information, and a second server 120 in which various applications are executed. It is configured. Note that this classification of servers is conceptual, and the actual physical configuration may be any number of two or more servers.
ユーザー端末３００は、例えば、スマートフォンや、コンピューターなどである。不正ログイン検出対象Ｗｅｂサイト２００は、ユーザー端末３００を用いてログインされる対象のサイトであり、例えば、銀行などのサイトや、ＥＣサイトなどである。 The user terminal 300 is, for example, a smartphone or a computer. The unauthorized login detection target website 200 is a site to be logged in using the user terminal 300, and is, for example, a site such as a bank, an EC site, or the like.
不正ログイン検出方法を用いたシステム１は、ユーザー端末３００が不正ログイン検出対象Ｗｅｂサイト２００にログインする際に、不正ログイン検出対象Ｗｅｂサイト２００がユーザー端末３００に対しＪａｖａ Ｓｃｒｉｐｔ（登録商標）を送信し、ユーザー端末３００からユーザーの端末情報や操作情報を送信させる。さらに、不正ログイン検出対象Ｗｅｂサイト２００は、それらの情報をサーバ群１００に送信し、サーバ群１００の第２サーバ１２０、第１サーバ１１０に記憶された情報などを用いて、ユーザー端末３００上の振る舞いが通常の振る舞いと同じか否かなどの観点から不正ログインか否かを判定し、判定結果を不正ログイン検出対象Ｗｅｂサイト２００に送信するともに、判定結果を第１サーバ１１０に記憶する。 In the system 1 using the unauthorized login detection method, the unauthorized login detection target website 200 transmits Java Script (registered trademark) to the user terminal 300 when the user terminal 300 logs in to the unauthorized login detection target website 200. , Transmit user's terminal information and operation information from the user terminal 300. Further, the unauthorized login detection target website 200 transmits the information thereof to the server group 100, and uses the information stored in the second server 120 of the server group 100, the first server 110, etc., on the user terminal 300. Whether or not the behavior is the same as the normal behavior is determined whether or not it is an unauthorized login, and the determination result is transmitted to the unauthorized login detection target website 200, and the determination result is stored in the first server 110.
＜処理シーケンス＞
図２は、本発明にかかる不正ログイン検出処理のシーケンスを示す。ユーザー側の端末は、不正検出対象Ｗｅｂサイトに対して、ログイン画面を要求する。次に、不正検出対象Ｗｅｂサイト２００は、ユーザー側の端末に対して、ログイン画面のプログラムを送信する。ユーザー側の端末は、不正ログイン検出プログラム用サーバに対して、Ｊａｖａ Ｓｃｒｉｐｔを要求する。
<Processing sequence>
FIG. 2 shows a sequence of unauthorized login detection processing according to the present invention. The terminal on the user side requests a login screen from the fraud detection target web site. Next, the fraud detection target website 200 transmits the program of the login screen to the terminal on the user side. The terminal on the user side requests Java Script from the server for the unauthorized login detection program.
不正ログイン検出用プログラム用サーバは、ユーザー側の端末に対して、不正ログイン検出用のＪａｖａ Ｓｃｒｉｐｔプログラムを送信する。このように、この処理は、Ｗｅｂサイトに情報収集用のプログラムモジュールを送信する工程の一例である。 The server for the unauthorized login detection program transmits a JavaScript script for unauthorized login detection to the terminal on the user side. Thus, this process is an example of the process of transmitting the program module for information collection to the Web site.
ユーザー側の端末において、Ｊａｖａ Ｓｃｒｉｐｔは、ユーザー側の端末情報であるアクセス端末情報を収集する。より具体的には、（ブラウザ設定言語設定情報、画面解像度情報、設定時刻情報をはじめとした端末に設定された情報）などを収集する。このように、この処理は、Ｗｅｂサイトにユーザー端末からアクセスがあった際に、ユーザー端末においてプログラムモジュールが実行される工程の一例である。 In the terminal on the user side, Java Script collects access terminal information which is terminal information on the user side. More specifically, (the browser setting language setting information, the screen resolution information, the information set in the terminal including the setting time information) and the like are collected. Thus, this process is an example of a process in which the program module is executed at the user terminal when the website is accessed from the user terminal.
ユーザー側の端末において、Ｊａｖａ Ｓｃｒｉｐｔは、ユーザーがユーザー側の端末をどのような操作を行ったかという情報である操作情報を収集する。より具体的には、不正検出対象Ｗｅｂサイト２００でのキー入力の間隔や、画面スクロールの移動距離や、画面にタッチしている際の画面座標などの情報を収集する。 In the terminal on the user side, Java Script collects operation information which is information on what kind of operation the user performed on the terminal on the user side. More specifically, information such as an interval of key input on the fraud detection target website 200, a moving distance of screen scrolling, and screen coordinates when touching the screen is collected.
ユーザー側の端末は、アクセス端末情報や操作情報をハッシュ化し、不正ログイン検出プログラム用第１サーバ１１０に送信する。不正ログイン検出プログラム用第１サーバ１１０は、アクセス端末情報や操作情報を受信後、不正ログイン検出を受け付けた旨の情報をユーザー側の端末に送信する。このように、この処理は、プログラムモジュールによって、ユーザー端末３００内におけるＷｅｂサイトに対するユーザーの操作処理情報、ユーザー端末情報を第一サーバに送信する工程の一例である。 The terminal on the user side hashes the access terminal information and the operation information, and transmits the hash information to the first server 110 for the unauthorized login detection program. After receiving the access terminal information and the operation information, the first server 110 for the unauthorized login detection program transmits information to the effect that the unauthorized login detection has been received to the terminal on the user side. As described above, this process is an example of the process of transmitting the user's operation process information for the web site in the user terminal 300 and the user terminal information to the first server by the program module.
不正ログイン検出プログラム用第２サーバ１２０は、ユーザー端末３００から不正ログイン検出プログラム用第１サーバ１１０に送信された情報に基づいて、当該ユーザー端末３００による不正検出対象Ｗｅｂサイト２００へのログインが不正ログインか否か判定を行う。なお、不正ログインか否かの判定の詳細は後述する。このように、この処理は、第二サーバにおいて、第一サーバに記録された操作処理情報及び、端末情報に基づき、不正ログインか否か分析を行う工程の一例である。 Based on the information transmitted from the user terminal 300 to the first server 110 for unauthorized login detection program, the second server 120 for unauthorized login detection program is improperly logged in to the fraud detection target web site 200 by the user terminal 300. It is judged whether or not it is. In addition, the detail of determination of whether it is unauthorized login is mentioned later. As described above, this process is an example of the process of analyzing whether or not the unauthorized login is performed based on the operation process information and the terminal information recorded in the first server in the second server.
図３に示すように、ステップＳ１０において、不正ログイン検出プログラム用第１サーバ１１０は、ユーザー側の端末から送信されたアクセス情報を登録する。ステップＳ２０において、不正ログイン検出プログラム用第１サーバ１１０は、ユーザー側の端末から送信された操作情報を、ユーザーを特定する一意キーと紐づけ登録する。 As shown in FIG. 3, in step S10, the first server 110 for the unauthorized login detection program registers the access information transmitted from the terminal on the user side. In step S20, the first server 110 for the unauthorized login detection program associates and registers the operation information transmitted from the terminal on the user side with the unique key for identifying the user.
ステップＳ３０において、不正ログイン検出プログラム用第２サーバ１２０は、ユーザー側の端末から送信されたアクセス情報から端末一意キーを生成する。ステップＳ４０において、不正ログイン検出プログラム用第２サーバ１２０は、生成された端末一意キーから不正ログイン検出プログラム用第１サーバ１１０に記録された本人過去履歴を参照する。なお、この本人過去履歴には、端末一意キーに紐づけられた当該ユーザー端末３００において行われた操作情報が登録されている。このように、この処理は、第一サーバにおいて、操作処理情報及び、端末情報を記録する工程において、端末情報の識別用の固有のキーを生成して、操作処理情報及び、端末情報を記録する工程を含む不正ログイン検出方法の一例である。 In step S30, the second server for unauthorized login detection program 120 generates a terminal unique key from the access information transmitted from the terminal on the user side. In step S40, the second server for unauthorized login detection program 120 refers to the personal past history recorded in the first server for unauthorized login detection program 110 from the generated terminal unique key. In addition, the operation information performed in the said user terminal 300 stringed | linked by the terminal unique key is registered into this principal past history. As described above, in this process, in the step of recording the operation processing information and the terminal information in the first server, a unique key for identification of the terminal information is generated and the operation processing information and the terminal information are recorded. It is an example of the unauthorized login detection method including a process.
ステップＳ５０において、不正ログイン検出プログラム用第２サーバ１２０は、本人過去履歴と今回の操作情報を照合し、不正ログインを判定する。不正ログインの判例方法の例としては、第三者がユーザー端末３００を乗っ取り、当該ユーザー端末３００を用いてログインする不正ログイン行為か否かの分析するために、記録されていたユーザー端末３００の操作情報と今回の操作情報を比較し差異があるか否かを判定する方法がある。ユーザーごとに、操作する際のキー入力の間隔や、画面スクロールの移動距離や、画面にタッチしている際の画面座標などの癖がある。その癖を分析することで、本来のユーザーか、第三者によるものかを判定することができる。 In step S50, the second server for unauthorized login detection program 120 collates the personal past history with the current operation information to determine unauthorized login. As an example of the illegal login case method, the operation of the user terminal 300 recorded in order to analyze whether the third party hijacks the user terminal 300 and logs in using the user terminal 300 is an unauthorized login activity or not. There is a method of comparing information and current operation information to determine whether there is a difference. For each user, there are wrinkles such as an interval of key input at the time of operation, a moving distance of screen scrolling, and screen coordinates when touching the screen. By analyzing the habit, it can be determined whether it is the original user or a third party.
また、別の不正ログインの判例方法の例としては、Ｗｅｂサイトに自動的にログインするプログラムを用いてログインする不正ログイン行為か否かの分析をするために、記録されていたユーザー端末３００の操作情報と今回の操作情報を比較し差異があるか否かを判定する方法がある。プログラムによってＷｅｂサイトに自動的にログインする場合には、画面などの操作方法の情報が本来のユーザーの操作情報と異なるか、操作情報がそもそもないため、本来のユーザーか、プログラムによるものか判定することができる。 In addition, as an example of another unauthorized login case method, the operation of the user terminal 300 recorded to analyze whether or not an unauthorized login operation is performed by logging in using a program for automatically logging in to a website. There is a method of comparing information and current operation information to determine whether there is a difference. When logging in to a Web site automatically by a program, it is determined whether the information of the operation method such as the screen is different from the operation information of the original user, or the operation information is not found in the first place. be able to.
また、事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かを判定する方法がある。端末が盗難されたり、紛失した、不正に使われたなどの情報が登録された不正行為リストと照合することで、そのリストに登録されている端末によるログインは不正ログインと判定できる。 In addition, there is a method of determining whether or not an unauthorized login is performed by comparison with information on a fraud list prepared in advance. If the terminal is stolen, lost, or used illegally, the information is collated with the registered fraudulent activity list, and the login by the terminal registered in the list can be determined as an unauthorized login.
このように、この処理は、第三者がユーザー端末３００を乗っ取り、当該ユーザー端末３００を用いてログインする不正ログイン行為か否かの分析、Ｗｅｂサイトに自動的にログインするプログラムを用いてログインする不正ログイン行為か否かの分析、または、事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析の少なくとも何らか一つの分析を行うことの一例である。 Thus, in this process, a third party hijacks the user terminal 300, analyzes whether or not it is an unauthorized login act to log in using the user terminal 300, and logs in using a program that automatically logs in to a website. This is an example of performing at least one analysis of analysis of fraudulent login behavior or not by analysis of fraudulent login behavior or comparison with information on a fraud list prepared in advance.
不正ログイン検出プログラム用第２サーバ１２０は、不正ログインと判定した場合には、通知要否フラグを立てる。また、不正ログイン検出プログラム用第２サーバ１２０は、不正ログイン検出プログラム用第１サーバ１１０に判定結果を登録する。不正ログイン検出プログラム用第２サーバ１２０は、通知要否フラグが立っている場合には、不正検出対象Ｗｅｂサイト２００に通知を行う。このように、この処理は、事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析を行う工程の分析結果を、識別キーを用いて、不正行為リストに情報を記録する工程の一例である。 If it is determined that the unauthorized login is performed, the second server for unauthorized login detection program 120 sets a notification necessity flag. Further, the second server for unauthorized login detection program 120 registers the determination result in the first server for unauthorized login detection program 110. When the notification necessity flag is set, the second server for unauthorized login detection program 120 notifies the fraud detection target website 200. Thus, this process analyzes the analysis result of the process of analyzing whether or not the unauthorized login is performed by comparison with the information of the fraud list prepared in advance, using the identification key, the information in the fraud list. It is an example of the process to record.
このように、この処理は、第二サーバにおいて、分析結果として不正ログインの可能性が高い場合には、不正ログインの可能性をＷｅｂサイトに通知する工程の一例である。このように、本発明にかかる不正ログイン検出システムは、通信回線を利用したネットワークにおけるＷｅｂサイトに対して行われる不正ログイン検出方法を用いたシステムの一例である。 As described above, this process is an example of the process of notifying the website of the possibility of the unauthorized login in the second server when the possibility of the unauthorized login is high as the analysis result. As described above, the unauthorized login detection system according to the present invention is an example of a system using an unauthorized login detection method performed on a website in a network using a communication line.
１００ 不正ログイン検出用プログラム
１１０ 第１サーバ
１２０ 第２サーバ
２００ 不正ログイン検出対象Ｗｅｂサイト
３００ ユーザー端末
100 Program for detecting unauthorized login 110 First server 120 Second server 200 Website for unauthorized login detection 300 User terminal
Claims (4)
前記Ｗｅｂサイトに情報収集用のプログラムモジュールを送信する工程と、
前記Ｗｅｂサイトにユーザー端末からアクセスがあった際に、前記ユーザー端末において前記プログラムモジュールが実行される工程と、
前記プログラムモジュールによって、前記ユーザー端末内における前記Ｗｅｂサイトに対する前記ユーザーの操作処理情報、前記ユーザー端末情報を第一サーバに送信する工程と、
前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程と、
第二サーバにおいて、前記第一サーバに記録された前記操作処理情報及び、前記端末情報に基づき、不正ログインか否か分析を行う工程と、
前記第二サーバにおいて、前記分析結果として不正ログインの可能性が高い場合には、不正ログインの可能性を前記Ｗｅｂサイトに通知する工程とを備える不正ログイン検出方法。 An unauthorized login detection method for a website in a network using a communication line, comprising:
Sending a program module for collecting information to the website;
A step of executing the program module on the user terminal when the web site is accessed from the user terminal;
Sending the user terminal operation processing information for the web site in the user terminal and the user terminal information to the first server by the program module;
Recording the operation processing information and the terminal information in the first server;
Analyzing the unauthorized login based on the operation processing information recorded in the first server and the terminal information in the second server;
And c. Notifying the web site of the possibility of unauthorized login if the second server has a high possibility of unauthorized login as the analysis result.
前記不正ログインか否か分析を行う工程において、
第三者が前記ユーザー端末を乗っ取り、当該ユーザー端末を用いてログインする不正ログイン行為か否かの分析、
前記Ｗｅｂサイトに自動的にログインするプログラムを用いてログインする不正ログイン行為か否かの分析、
または、事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析の少なくとも何らか一つの分析を行う不正ログイン検出方法。 The unauthorized login detection method according to claim 1, wherein
In the step of analyzing whether or not the unauthorized login is performed,
Analysis as to whether a third party hijacks the user terminal and logs in using the user terminal as an unauthorized login act,
Analysis of whether or not it is an unauthorized login act to log in using a program that automatically logs in to the website,
Alternatively, an unauthorized login detection method that performs at least one analysis of analysis of whether or not an unauthorized login is performed by comparison with information on a fraud list prepared in advance.
前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程において、前記端末情報の識別用の固有のキーを生成して、操作処理情報及び、端末情報を記録する工程を含む不正ログイン検出方法。 The unauthorized login detection method according to claim 1 or 2, wherein
In the first server, in the step of recording the operation processing information and the terminal information, a unique key for identification of the terminal information is generated, and the step of recording the operation processing information and the terminal information is illegal. Login detection method.
前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程において、前記端末情報に固有の識別キーを生成して、前記操作処理情報及び、前記端末情報を記録する工程を含み、
前記事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析を行う工程の分析結果を、前記識別キーを用いて、前記不正行為リストに情報を記録する工程とを含む不正ログイン検出方法。 The unauthorized login detection method according to claim 1 and claim 2, wherein
The step of recording the operation processing information and the terminal information in the first server includes a step of generating an identification key unique to the terminal information and recording the operation processing information and the terminal information.
Analyzing the analysis result of the step of analyzing whether or not the unauthorized login action is performed by comparison with the information of the fraudulent action list prepared in advance, using the identification key to record the information in the fraudulent action list; Unauthorized login detection methods including:
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017199954A JP2019074893A (en) | 2017-10-13 | 2017-10-13 | Unauthorized login detection method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017199954A JP2019074893A (en) | 2017-10-13 | 2017-10-13 | Unauthorized login detection method |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2019074893A true JP2019074893A (en) | 2019-05-16 |
Family
ID=66544724
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2017199954A Pending JP2019074893A (en) | 2017-10-13 | 2017-10-13 | Unauthorized login detection method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2019074893A (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2022024495A1 (en) * | 2020-07-30 | 2022-02-03 | かっこ株式会社 | Breach sensing system, breach sensing method, and program |
-
2017
- 2017-10-13 JP JP2017199954A patent/JP2019074893A/en active Pending
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2022024495A1 (en) * | 2020-07-30 | 2022-02-03 | かっこ株式会社 | Breach sensing system, breach sensing method, and program |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Wu et al. | Effective defense schemes for phishing attacks on mobile computing platforms | |
| EP3398106B1 (en) | Utilizing behavioral features to identify bot | |
| KR101890272B1 (en) | Automated verification method of security event and automated verification apparatus of security event | |
| US9083733B2 (en) | Anti-phishing domain advisor and method thereof | |
| Malik et al. | CREDROID: Android malware detection by network traffic analysis | |
| CN104954372B (en) | A kind of evidence obtaining of fishing website and verification method and system | |
| CN109376078B (en) | Mobile application testing method, terminal equipment and medium | |
| US20170070533A1 (en) | Systems and methods for detecting and preventing spoofing | |
| US10063538B2 (en) | System for secure login, and method and apparatus for same | |
| CN111786966A (en) | Method and device for browsing webpage | |
| EP2748781A2 (en) | Multi-factor identity fingerprinting with user behavior | |
| US11303670B1 (en) | Pre-filtering detection of an injected script on a webpage accessed by a computing device | |
| Bin et al. | A DNS based anti-phishing approach | |
| CN104135467B (en) | Identify method and the device of malicious websites | |
| CN101714272A (en) | Method for protecting number and password of bank card from stealing by phishing website | |
| CN109547426B (en) | Service response method and server | |
| CN111885007A (en) | Information tracing method, device, system and storage medium | |
| Kim et al. | A study on the digital forensic investigation method of clever malware in IoT devices | |
| RU2758359C1 (en) | System and method for detecting mass fraudulent activities in the interaction of users with banking services | |
| US11012450B2 (en) | Detection device, detection method, detection system, and detection program | |
| WO2019159809A1 (en) | Access analysis system and access analysis method | |
| JP6258189B2 (en) | Specific apparatus, specific method, and specific program | |
| JP2019074893A (en) | Unauthorized login detection method | |
| Somarriba et al. | A collaborative framework for android malware detection using DNS & dynamic analysis | |
| CN106992972B (en) | A kind of cut-in method and device |