(57)【要約】      （修正有）【課題】セキュリティに関する状態をオペレータに容易に認識させる。【解決手段】セキュリティ情報処理装置１は、ネットワーク上のネットワーク装置から収集した解析対象データから、ネットワーク上の危険要素を検出し、検出した危険要素ごとの検出結果を出力する危険要素検出手段と、危険要素検出手段が出力した検出結果を蓄積する情報蓄積手段と、情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得する描画データ取得手段と、描画データ取得手段が取得した描画データに基づき、描画期間における前記ネットワーク上の危険要素の要素名ごとに図形を用いて表される描画オブジェクトが描画された図形表示画面を描画部に表示させる描画制御手段とを有する。【選択図】図１
2020024650.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上に配置された１又は複数のネットワーク装置から収集した解析対象データから、前記ネットワーク上の危険要素を検出し、検出した危険要素ごとの検出結果を出力する危険要素検出手段と、
前記危険要素検出手段が出力した検出結果を蓄積する情報蓄積手段と、
前記情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得する描画データ取得手段と、
前記描画データ取得手段が取得した描画データに基づき、前記描画期間における前記ネットワーク上の危険要素の要素名ごとに図形を用いて表される描画オブジェクトが描画された図形表示画面を描画部に表示させる描画制御手段とを有し、
ことを特徴とするセキュリティ情報処理装置。
【請求項２】
それぞれの描画オブジェクトは、前記描画データにおいて対応する要素名に関する危険要素の内容に応じた図形となることを特徴とする請求項１に記載のセキュリティ情報処理装置。
【請求項３】
それぞれの描画オブジェクトは、前記描画データにおいて対応する要素名に関する危険要素の数に応じた図形となることを特徴とする請求項２に記載のセキュリティ情報処理装置。
【請求項４】
それぞれの危険要素に対応する検出結果には、危険度合を数値化した危険度値の情報が含まれており、
それぞれの描画オブジェクトは、前記描画データにおいて対応する要素名に関する危険要素の危険度値に応じた図形となることを特徴とする請求項２又は３に記載のセキュリティ情報処理装置。
【請求項５】
前記描画制御手段は、前記描画期間を複数の区間に区切り、前記描画部に区間ごとの前記図形表示画面を時系列順に表示可能であることを特徴とする請求項１〜４のいずれかに記載のセキュリティ情報処理装置。
【請求項６】
それぞれの危険要素に対応する検出結果には、危険度合を数値化した危険度値の情報が含まれており、
前記描画制御手段は、任意の要素名に係る危険度値を時系列で描画した異常状態時系列表示画面を、前記描画部に表示させる
ことを特徴とする請求項１に記載のセキュリティ情報処理装置。
【請求項７】
前記描画制御手段は、前記図形表示画面のいずれかの描画オブジェクトが操作された場合、当該描画オブジェクトに対応する要素名に係る危険度値を時系列で描画した異常状態時系列表示画面を、前記描画部に表示させることを特徴とする請求項６に記載のセキュリティ情報処理装置。
【請求項８】
前記描画制御手段は、時系列順に危険要素に係る解析対象データの情報と、その解析対象データに係るサイバー攻撃の影響度を描画したサイバー影響度状態時系列表示画面を前記描画部に表示させることを特徴とする請求項６又は７に記載のセキュリティ情報処理装置。
【請求項９】
前記描画制御手段は、前記異常状態時系列表示画面で操作された領域に対応する時刻を含む所定期間における解析対象データの情報と、その解析対象データに係るサイバー攻撃の影響度を時系列で描画したサイバー影響度状態時系列表示画面を前記描画部に表示させることを特徴とする請求項８に記載のセキュリティ情報処理装置。
【請求項１０】
前記描画制御手段は、各要素名の描画オブジェクトを、所定の基準に基づいて分類されたグループごとに区別して描画された前記図形表示画面を前記描画部に表示させることを特徴とする請求項１に記載のセキュリティ情報処理装置。
【請求項１１】
コンピュータを、
ネットワーク上に配置された１又は複数のネットワーク装置から収集した解析対象データから、前記ネットワーク上の危険要素を検出し、検出した危険要素ごとの検出結果を出力する危険要素検出手段と、
前記危険要素検出手段が出力した検出結果を蓄積する情報蓄積手段と、
前記情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得する描画データ取得手段と、
前記描画データ取得手段が取得した描画データに基づき、前記描画期間における前記ネットワーク上の危険要素の要素名ごとに図形を用いて表される描画オブジェクトが描画された図形表示画面を描画部に表示させる描画制御手段として機能させ、
ことを特徴とするセキュリティ情報処理プログラム。
【請求項１２】
セキュリティ情報処理装置が行うセキュリティ処理方法において、
前記セキュリティ情報処理装置は、危険要素検出手段、情報蓄積手段、描画データ取得手段、及び描画制御手段を有し、
前記危険要素検出手段は、ネットワーク上に配置された１又は複数のネットワーク装置から収集した解析対象データから、前記ネットワーク上の危険要素を検出し、検出した危険要素ごとの検出結果を出力し、
前記情報蓄積手段は、前記危険要素検出手段が出力した検出結果を蓄積し、
前記描画データ取得手段は、前記情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得し、
前記描画制御手段は、前記描画データ取得手段が取得した描画データに基づき、前記描画期間における前記ネットワーク上の危険要素の要素名ごとに図形を用いて表される描画オブジェクトが描画された図形表示画面を描画部に表示させる
ことを特徴とするセキュリティ情報処理方法。
【請求項１３】
ネットワーク上に配置された１又は複数のネットワーク装置から収集した解析対象データから、前記ネットワーク上の危険要素を検出し、検出した危険要素ごとの危険度合を数値化した危険度値の情報を含む検出結果を出力する危険要素検出手段と、
前記危険要素検出手段が出力した検出結果を蓄積する情報蓄積手段と、
前記情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得する描画データ取得手段と、
前記描画データ取得手段が取得した描画データに基づき、任意の要素名に係る危険度値を時系列で描画した異常状態時系列表示画面を描画部に表示させる描画制御手段と
を有することを特徴とするセキュリティ情報処理装置。
【請求項１４】
ネットワーク上に配置された１又は複数のネットワーク装置から収集した解析対象データから、前記ネットワーク上の危険要素を検出し、検出した危険要素ごとの危険度合を数値化した危険度値の情報を含む検出結果を出力する危険要素検出手段と、
前記危険要素検出手段が出力した検出結果を蓄積する情報蓄積手段と、
前記情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得する描画データ取得手段と、
前記描画データ取得手段が取得した描画データに基づき、時系列順に危険要素に係る解析対象データの情報と、その解析対象データに係るサイバー攻撃の影響度を描画したサイバー影響度状態時系列表示画面を描画部に表示させる描画制御手段と
を有することを特徴とするセキュリティ情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、セキュリティ情報処理装置、プログラム及び方法に関し、例えば、インターネット等のネットワーク上のセキュリティ監視のためのセキュリティ状態を視覚化して把握するためのセキュリティダッシュボード（コンピュータシステム上のセキュリティダッシュボード）に適用し得る。
【背景技術】
【０００２】
従来、セキュリティダッシュボードとしては、特許文献１に記載されたものがある。
【０００３】
特許文献１に記載されたセキュリティダッシュボードは、解析したログに対して時系列に情報を描画するために、横軸を時間、縦軸に異常の度合いや要素等を線グラフや棒グラフで表示している。さらに、特許文献１のセキュリティダッシュボードでは、多種の指標で生成したそれらのグラフを複数並べたうえで、拡大や縮小によってオペレータにとって見やすいセキュリティダッシュボードを提供している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特表２０１４−５３１６５２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来のセキュリティダッシュボードでは、多数のセキュリティ情報が時系列に描画されたものを複合的に把握し、着目する項目を元に情報を掘り下げて（ＧＵＩ上でドリルダウンして）、セキュリティ異常の原因となるような危険要素を抽出していくが、情報を把握して解析していくための十分なスキル（知識）が求められるという課題があった。
【０００６】
また、従来のセキュリティダッシュボードでは、特定のダッシュボードにおいて、セキュリティ異常が観測された場合においても、解析するまでは原因となっている危険要素（例えば、危険要素となっている端末やＵＲＬ）が特定できないという課題があった。
【０００７】
以上のような問題に鑑みて、セキュリティに関する状態をオペレータに容易に認識させることができるセキュリティ情報処理装置、プログラム及び方法が望まれている。
【課題を解決するための手段】
【０００８】
第１の本発明のセキュリティ情報処理装置は、（１）ネットワーク上に配置された１又は複数のネットワーク装置から収集した解析対象データから、前記ネットワーク上の危険要素を検出し、検出した危険要素ごとの検出結果を出力する危険要素検出手段と、（２）前記危険要素検出手段が出力した検出結果を蓄積する情報蓄積手段と、（３）前記情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得する描画データ取得手段と、（４）前記描画データ取得手段が取得した描画データに基づき、前記描画期間における前記ネットワーク上の危険要素の要素名ごとに図形を用いて表される描画オブジェクトが描画された図形表示画面を描画部に表示させる描画制御手段とを有することを特徴とする。
【０００９】
第２の本発明のセキュリティ情報処理プログラムは、コンピュータを、（１）ネットワーク上に配置された１又は複数のネットワーク装置から収集した解析対象データから、前記ネットワーク上の危険要素を検出し、検出した危険要素ごとの検出結果を出力する危険要素検出手段と、（２）前記危険要素検出手段が出力した検出結果を蓄積する情報蓄積手段と、（３）前記情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得する描画データ取得手段と、（４）前記描画データ取得手段が取得した描画データに基づき、前記描画期間における前記ネットワーク上の危険要素の要素名ごとに図形を用いて表される描画オブジェクトが描画された図形表示画面を描画部に表示させる描画制御手段とを有することを特徴とする。
【００１０】
第３の本発明は、セキュリティ情報処理装置が行うセキュリティ処理方法において、（１）前記セキュリティ情報処理装置は、危険要素検出手段、情報蓄積手段、描画データ取得手段、及び描画制御手段を有し、（２）前記危険要素検出手段は、ネットワーク上に配置された１又は複数のネットワーク装置から収集した解析対象データから、前記ネットワーク上の危険要素を検出し、検出した危険要素ごとの検出結果を出力し、（３）前記情報蓄積手段は、前記危険要素検出手段が出力した検出結果を蓄積し、（４）前記描画データ取得手段は、前記情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得し、（５）前記描画制御手段は、前記描画データ取得手段が取得した描画データに基づき、前記描画期間における前記ネットワーク上の危険要素の要素名ごとに図形を用いて表される描画オブジェクトが描画された図形表示画面を描画部に表示させることを特徴とする。
【００１１】
第４の本発明のセキュリティ情報処理装置は、（１）ネットワーク上に配置された１又は複数のネットワーク装置から収集した解析対象データから、前記ネットワーク上の危険要素を検出し、検出した危険要素ごとの危険度合を数値化した危険度値の情報を含む検出結果を出力する危険要素検出手段と、（２）前記危険要素検出手段が出力した検出結果を蓄積する情報蓄積手段と、（３）前記情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得する描画データ取得手段と、（４）前記描画データ取得手段が取得した描画データに基づき、任意の要素名に係る危険度値を時系列で描画した異常状態時系列表示画面を描画部に表示させる描画制御手段とを有することを特徴とする。
【００１２】
第５の本発明のセキュリティ情報処理装置は、（１）ネットワーク上に配置された１又は複数のネットワーク装置から収集した解析対象データから、前記ネットワーク上の危険要素を検出し、検出した危険要素ごとの危険度合を数値化した危険度値の情報を含む検出結果を出力する危険要素検出手段と、（２）前記危険要素検出手段が出力した検出結果を蓄積する情報蓄積手段と、（３）前記情報蓄積手段に蓄積された検出結果から所定の描画期間に発生した危険要素の検出結果を抽出した描画データを取得する描画データ取得手段と、（４）前記描画データ取得手段が取得した描画データに基づき、時系列順に危険要素に係る解析対象データの情報と、その解析対象データに係るサイバー攻撃の影響度を描画したサイバー影響度状態時系列表示画面を描画部に表示させる描画制御手段とを有することを特徴とする。
【発明の効果】
【００１３】
本発明によれば、セキュリティに関する状態をオペレータに容易に認識させるセキュリティ情報処理装置、プログラム及び方法を提供することができる。
【図面の簡単な説明】
【００１４】
【図１】第１の実施形態に関係する各装置の接続構成、及び実施形態に係るセキュリティ情報処理装置の機能的構成について示したブロック図である。
【図２】第１の実施形態に係るセキュリティ情報処理装置で生成される描画データの構成例について示した説明図である。
【図３】第１の実施形態に係るセキュリティ処理装置で描画されるセキュリティダッシュボード表示画面の構成例（その１）について示した説明図である。
【図４】第１の実施形態に係るセキュリティ処理装置で描画されるセキュリティダッシュボード表示画面の構成例（その２）について示した説明図である。
【図５】第１の実施形態に係るセキュリティ処理装置で描画されるセキュリティダッシュボード表示画面の構成例（その３）について示した説明図である。
【図６】第１の実施形態に係るセキュリティ処理装置で描画されるセキュリティダッシュボード表示画面の構成例（その４）について示した説明図である。
【図７】第２の実施形態に関係する各装置の接続構成、及び実施形態に係るセキュリティ情報処理装置の機能的構成について示したブロック図である。
【図８】第２の実施形態に係るセキュリティダッシュボード表示画面（異常時系列表示画面）の構成例ついて示した説明図である。
【図９】第３の実施形態に関係する各装置の接続構成、及び実施形態に係るセキュリティ情報処理装置の機能的構成について示したブロック図である。
【図１０】第３の実施形態に係るセキュリティダッシュボード表示画面（時系列サイバー攻撃影響度表示画面）の構成例ついて示した説明図である。
【図１１】第１の実施形態の変形実施例に係るセキュリティダッシュボード表示画面（異常バブルチャート表示画面）の構成例ついて示した説明図である。
【発明を実施するための形態】
【００１５】
（Ａ）第１の実施形態
以下、本発明によるセキュリティ情報処理装置、プログラム及び方法の第１の実施形態を、図面を参照しながら詳述する。
【００１６】
（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態に関係する各装置の接続構成、及びこの実施形態におけるセキュリティ情報処理装置１の機能席構成について示したブロック図である。
【００１７】
セキュリティ情報処理装置１は、ネットワークＮ内の危険（異常）に関する解析処理を行い、オペレータに対して、その解析結果（セキュリティに関する解析結果）を視覚的に描画した画面（以下、「セキュリティダッシュボード」とも呼ぶ）を表示（提示）する装置である。
【００１８】
この実施形態では、異常検知対象のネットワークＮには、Ｐｒｏｘｙ２０１、ＷＥＢサーバ２０２、ルータ２０３、及びＦＷ２０４を含むネットワーク装置（通信装置）が配置されており、それぞれのネットワーク装置で発生するログが解析対象のデータ（以下、「解析対象データ」と呼ぶ）としてセキュリティ情報処理装置１に供給される構成となっているものとする。ネットワークＮに配置されている通信装置の数や構成については限定されないものである。
【００１９】
次に、セキュリティ情報処理装置１の内部構成について説明する。
【００２０】
図１に示すように、セキュリティ情報処理装置１は、大別すると解析対象データ保持部１０、異常判定部２０、異常情報蓄積部３０、描画情報収集部４０、描画データ管理部５０、及び描画部６０を有している。また、異常判定部２０には、Ｍ個（Ｍは２以上の整数）の異常判定処理部２１（２１−１〜２１−Ｍ）が配置されている。
【００２１】
この実施形態では、プロセッサやメモリ等を有するコンピュータ上に実施形態に係るセキュリティ情報処理プログラムをインストールすることにより実現することができる。なお、セキュリティ情報処理装置１は複数のコンピュータを用いて構成するようにしてもよい。
【００２２】
解析対象データ保持部１０は、ネットワークＮ上で、セキュリティ管理対象となる各ネットワーク装置（Ｐｒｏｘｙ２０１、ＷＥＢサーバ２０２、ルータ２０３、ＦＷ２０４、…）で発生したログを解析対象データとして蓄積して、蓄積した解析対象データを異常判定部２０に供給する手段である。解析対象データ保持部１０は、セキュリティ管理対象となるネットワーク装置から、１種類以上のログを解析対象データとして収集して保持し、多種多様な記述形式の異なる解析対象データ（ログ）から任意の形式のデータ（後段の処理で必要となる形式のデータ）を出力するようにしてもよい。
【００２３】
解析対象データ保持部１０が保持するログには、各ネットワーク装置で発生する各種ログ（例えば、Ｓｙｓｌｏｇ、ウィルス対策ソフトのログ、セキュリティエージェントソフトのログ、トラフィックデータ、セキュリティ機能プログラム等が生成するログ）を含むようにしてもよい。トラフィックデータとしては、例えば、Ｗｉｒｅｓｈａｒｋ（登録商標）を用いたパケットダンプデータ等を適用することができる。
【００２４】
異常判定部２０は、解析対象データ保持部１０に保持された各解析対象データ（各種ログ）に基づき、セキュリティの観点で危険性が認められる要素（以下、「危険要素」と呼ぶ）を判定（検出）する処理を行う。異常判定部２０は、解析対象データ保持部１０に接続されており、各解析対象データを読み込む。そして、異常判定部２０は、読み込んだ各解析対象データを所定のロジック（アルゴリズム）で解析して、危険要素の抽出（検出）を試み、抽出した結果を判定結果（検出結果）として異常情報蓄積部３０に供給する。異常判定部２０は、それぞれ異なるロジック（アルゴリズム）により各解析対象データを解析するＭ個（Ｍは１以上の整数）の異常判定処理部２１（２１−１〜２１−Ｍ）を有している。すなわち、異常判定部２０は、Ｍ個の異常判定処理部２１の解析結果に基づいて危険要素に関連するログ抽出（検出）を行う。
【００２５】
異常判定部２０（異常判定処理部２１）では、例えば、ログがパケットダンプデータであれば危険判定のためのシグネチャとパターンマッチに基づいて危険要素に関するログを抽出するロジックを適用するようにしてもよい。また、異常判定部２０（異常判定処理部２１）では、例えば、ＦＷ２０４やルータ２０３のログ（トラフィックデータのログ）、からパケットがＤｒｏｐされる数（単位時間当たりのＤｒｏｐ数）が閾値を越えた部分を危険要素として抽出するロジックを適用するようにしてもよい。さらに、異常判定部２０（異常判定処理部２１）は、監視対象の装置にインストールされたウィルス対策ソフトのログから、ウィルスが検出されたログを危険要素として抽出するロジックを適用するようにしてもよい。さらにまた、異常判定部２０（異常判定処理部２１）は、監視対象の装置（コンピュータ）のＳｙｓｌｏｇに出力される情報の中から危険パターンにマッチするログを危険要素として抽出するロジックを適用するようにしてもよい。
【００２６】
各異常判定処理部２１に対して用いられるロジックは、予め定められた単純なロジック以外にも、機械学習を用いる手法や、ＡＩを用いる手法等、抽出したい正解データを一定数与えて学習させることで、自動判定するようなロジックも含まれる。異常判定処理部２１に適用可能な機械学習やＡＩの一例としては、ＳＶＭ（Ｓｕｐｐｏｒｔ  Ｖｅｃｔｏｒ  Ｍａｃｈｉｎｅ）、Ｒａｎｄｏｍ  Ｆｏｒｅｓｔ、Ｄｅｅｐ  Ｌｅａｒｎｉｎｇ等が挙げられるが、これらに限ったものではない。
【００２７】
異常判定部２０は、危険要素の原因となるログ（例えば、解析対象データを構成するログのうち危険要素の判定に影響した時間帯のログ）を含むデータを判定結果として異常情報蓄積部３０に供給する。また、異常判定処理部２１は、判定結果に、メタデータとして、どのロジック（異常判定処理部２１）がどのような危険（異常）の判定を行ったのか等の情報を付加して異常情報蓄積部３０に供給するようにしてもよい。例えば、この実施形態において、異常判定部２０は、判定結果に、当該危険要素の危険の度合いを数値化した値（以下、「危険度値」と呼ぶ）の情報も付加して異常情報蓄積部３０に供給するようにしてもよい。
【００２８】
異常情報蓄積部３０は、異常判定部２０から供給された判定結果に基づくデータ（以下、「判定結果データ」と呼ぶ）を保持（蓄積）する手段である。異常判定部２０と描画情報収集部４０と接続されている。異常情報蓄積部３０は、保持した判定結果データを、描画情報収集部４０に供給する。
【００２９】
描画情報収集部４０は、異常情報蓄積部３０に蓄積された判定結果データから、所定の期間（例えば、オペレータ等により設定された期間や現在時刻から一定期間前までの期間；以下、「描画期間」と呼ぶ）におけるセキュリティダッシュボードを描画するために必要なデータ（以下、「描画データ」と呼ぶ）を抽出して、描画データ管理部５０に供給する処理を行う。描画情報収集部４０による詳細処理については後述する。
【００３０】
描画データ管理部５０は、描画情報収集部４０から供給された描画データに基づく画面（セキュリティダッシュボード）を描画部６０に描画（表示）させる。描画データ管理部５０は、例えば、描画部６０が備える表示領域内の座標を管理し、任意の座標に任意の図形により表されるオブジェクトを、任意の色を付けて要素名とともに描画させる。描画データ管理部５０は、例えば、描画部６０に表示される内容（セキュリティダッシュボード）を管理して、時間幅の中での特定の時間において危険要素の状態がどのように変わるのかの情報も管理しており、時間とともに変化する場合に図形の大きさや色を変えて描画させる。描画データ管理部５０による詳細処理については後述する。
【００３１】
描画部６０は、描画データ管理部５０の制御に従った内容の描画を行う装置である。描画部６０としては、例えば、ポインティングデバイス（例えば、マウスやタッチパネル等）及びディスプレイを備えるコンピュータ（例えば、ＰＣ、タブレット、スマートホン等）にＷｅｂブラウザをインストールした構成を適用することができる。この場合、描画データ管理部５０は、描画部６０のＷｅｂブラウザ（Ｗｅｂブラウザが対応する表示領域）に対して描画データに基づく画面（セキュリティダッシュボード）を表示させるようなデータ（例えば、Ｗｅｂコンテンツ形式のデータ）を供給する。
【００３２】
次に、描画情報収集部４０が生成する描画データの構成例について説明する。
【００３３】
図２は、描画データの構成例をテーブル形式で示した説明図である。
【００３４】
図２に示すように、描画データには、時系列（時刻）ごとに発生した危険要素の情報が設定される。
【００３５】
図２に示す描画データでは、時刻Ｔ１、Ｔ２、Ｔ３、Ｔ４の４つの時刻（区間）における危険要素の情報が設定されている。図２に示す描画データでは、各時刻の各危険要素について少なくとも要素名、種類、及び危険度値の項目の情報が設定されている。なお、描画データにおいては、１つの時刻（１つの区間）に同じ要素名の危険要素が複数発生する場合もあり得る。例えば、１つの要素名に対して、複数の異常判定処理部２１により危険要素と判定される場合があるためである。
【００３６】
次に、異常情報蓄積部３０の処理の詳細について説明する。
【００３７】
異常情報蓄積部３０は、異常判定部２０から供給された判定結果について、そのまま保持するようにしてもよいが、装置全体として効率的な処理（効率的な描画）を目指す場合、図２に示すような描画データの構成に必要な項目を抽出しやすい状態に加工して保持することが望ましい。例えば、ログは発生源（ログの発生源となる装置やソフトウェア）によって記述形式が異なるため、異常情報蓄積部３０は、判定結果に含まれるログをそのまま保持せずに、新たな記述形式で危険要素となりうる項目でまず表を作成し、該当項目があるログに関してデータを入力し、必要に応じて要素名コラムを追加して保持してもよい。異常情報蓄積部３０は、例えば、端末ＩＤ（ＩＰアドレス等）、ユーザーＩＤ（社員ＩＤ等）、接続先ホスト名（ＦＱＤＮ等）、接続要求（ＵＲＬ  Ｐａｔｈ、Ｑｕｅｒｙ等）、プログラム名、マルウェア名、異常判定部２０の付与したメタデータ等を時間とともに主たるデータとして、データ参照のために他の要素が付随したような記述形式で判定結果データを保持してもよい。
【００３８】
例えば、上述のように判定結果には、危険度値が付加されるため、異常情報蓄積部３０は、判定結果から危険度値を抽出して別のテーブル等に保持しておくようにしてもよい。
【００３９】
また、例えば、通常ログにはタイムスタンプが付加されているため、異常情報蓄積部３０は、各判定結果に含まれているログのタイムスタンプによって各危険要素（判定結果）に係る時刻を把握することができる。異常情報蓄積部３０は、例えば、各危険要素の判定結果に含まれるログのうち一番後のタイムスタンプを当該危険要素に係る時刻として別テーブルで保持するようにしてもよい。
【００４０】
異常情報蓄積部３０は、例えば、各危険要素の判定結果に含まれているログから要素名を抽出して別テーブル等に保持しておくようにしてもよい。例えば、異常情報蓄積部３０は、各危険要素の判定結果に含まれているログから端末ＩＤ（ＩＰアドレス等）、ユーザーＩＤ（社員ＩＤ等）、接続先ホスト名（ＦＱＤＮ等）、接続要求（ＵＲＬ  Ｐａｔｈ、Ｑｕｅｒｙ等）、プログラム名、マルウェア名等を要素名として抽出するようにしてもよい。また、異常情報蓄積部３０は、判定結果に含まれるメタデータ（異常判定部２０が異常判定処理の過程で付与したメタデータ）又はそのメタデータの一部を要素名として抽出するようにしてもよい。
【００４１】
また、異常情報蓄積部３０は、各危険要素について取得した要素名に応じた「種類」（危険要素の種類）を示す情報を、別テーブル等に保持しておくようにしてもよい。例えば、要素名が「端末ＩＤ」の危険要素の種類は「端末」、要素名が「接続先ホスト名」の要素の種類は「ホスト」、要素名がプログラム名の要素の種類は「プログラム」、要素名がマルウェア名であれば要素の種類は「マルウェア」となる。
【００４２】
以上のように、異常情報蓄積部３０は、ログの形式に応じた加工処理を行って、各危険要素に係る記述形式を統一（例えば、描画データに必要な要素を別テーブルに抽出して管理）することで効率的な描画データの生成（レスポンスタイムの向上）に寄与するようにしてもよい。
【００４３】
（Ａ−２）第１の実施形態の動作
次に、以上のような構成を有する第１の実施形態のセキュリティ情報処理装置１の動作を説明する。
【００４４】
解析対象データ保持部１０は、ネットワークＮ上で、セキュリティ管理対象となる各ネットワーク装置（Ｐｒｏｘｙ２０１、ＷＥＢサーバ２０２、ルータ２０３、ＦＷ２０４、…）で発生したログを解析対象データとして蓄積して、蓄積した解析対象データを異常判定部２０の要求に応じて供給する。
【００４５】
異常判定部２０は、危険要素の原因となるログに当該危険要素の危険度値を付加したデータを判定結果として異常情報蓄積部３０に供給する。
【００４６】
異常情報蓄積部３０は、異常判定部２０から供給された判定結果を加工した判定結果データを保持する。
【００４７】
描画情報収集部４０は、任意の描画期間（任意の描画開始時刻から描画終了時刻までの期間）の危険要素に係る判定結果（当該判定結果に付加されたメタデータや加工済のデータを含む）を判定結果データから取得（抽出）して描画データ（抽出データ）を生成する。
【００４８】
描画情報収集部４０は、例えばオペレータ等から予め描画期間の設定を受け付けるようにしてもよいし、現在時刻を描画期間の終期（描画終了時刻）として、現在時刻から一定時間前を描画期間の始期（描画開始時刻）とするようにしてもよい。
【００４９】
描画情報収集部４０は、例えば、描画期間を所定の間隔（以下、「描画間隔」と呼ぶ）ごとに区切り、各描画間隔で検知されている危険要素を集計する。
【００５０】
例えば、現在時刻を描画終了時刻とし、描画開始時刻を現在時刻から６０分前とし、描画間隔を５分とした場合、描画期間は１２個の描画間隔に区切られる。この場合、描画情報収集部４０は、１２の描画間隔ごとに危険要素を集計して描画データ（テーブル）に登録する。
【００５１】
以上のような処理により、描画情報収集部４０は、任意の描画期間の描画データを生成して、描画データ管理部５０に送る。
【００５２】
例えば、図２は、描画開始時刻をＴ０描画終了時刻をＴ４とする描画期間を、４つの区間（Ｔ０〜Ｔ１、Ｔ１〜Ｔ２、Ｔ２〜Ｔ３、Ｔ３〜Ｔ４の区間）に分割した場合の描画データの例について示している。
【００５３】
図２に示す描画データでは、Ｔ０〜Ｔ１の区間の危険要素（例えば、時刻Ｔ０から時刻Ｔ１までの間のタイムスタンプのログを判定結果に含む危険要素）を時刻Ｔ１の危険要素として登録し、Ｔ１〜Ｔ２の区間の危険要素を時刻Ｔ２の危険要素として登録し、Ｔ２〜Ｔ３の区間の危険要素を時刻Ｔ２の危険要素として登録し、Ｔ３〜Ｔ４の区間の危険要素を時刻Ｔ３の危険要素として登録している。図２のように、危険要素毎に複数の危険度値をそれぞれ保持してもよく、危険要素毎に危険度値の最大値のみを保持したり、さらに件数を保持してもよい。
【００５４】
描画データ管理部５０は、描画データに基づいて、区間ごとに検出された危険要素に関する情報を視覚的に表示する画面（セキュリティダッシュボード）を描画部６０に表示させる。
【００５５】
描画データ管理部５０は、描画情報収集部４０から送られた描画データに基づき、描画期間内の時刻経過（区間の変化）とともにアニメーション（紙芝居）のように描画部６０の表示内容（セキュリティダッシュボードの表示内容）を変化させることが可能となっている。例えば、６０分の描画期間に対して描画間隔を１５分とすると、描画データ管理部５０は、４つのフレームで構成されるアニメーション（紙芝居）について表示時刻をスライダー（ＧＵＩ）で切替可能な表示画面（以下、「セキュリティダッシュボード表示画面」と呼ぶ）を描画部６０に表示させる。
【００５６】
図２に示す描画データに基づいて、描画データ管理部５０が描画部６０に表示させるセキュリティダッシュボード表示画面の遷移について図３〜図６を用いて説明する。
【００５７】
図３〜６に示すように、セキュリティダッシュボード表示画面には、画像を描画するための画像描画領域ＭＦと画像描画領域ＭＦに表示する画像の時刻の変更（操作）を受け付け可能なユーザインタフェースＵＩが配置されている。
【００５８】
ユーザインタフェースＵＩには、アニメーション表示の処理（一定時間ごとに画像描画領域ＭＦに表示する画像を次の時刻の画像に切り替える処理）を開始させるプレイボタンＢＰ、プレイボタンＢＰにより開始されたアニメーション表示の処理をストップさせるストップボタンＢＳと、現在の表示時刻を表示すると共に表示時刻の切り替えを受け付けるためのスライダーＳＬ（スクロールバー）が配置されている。スライダーＳＬは、描画期間全体を示すアローＳＬ１と、アローＳＬ１上で移動するノブＳＬ２が配置されている。表示時刻の遷移（経過）とともにアローＳＬ１上のノブＳＬ２が左側から右側に移動する。ノブＳＬ２はオペレータの操作によりアローＳＬ１上で任意の位置に移動可能となっている。
【００５９】
描画データ管理部５０は、時刻ごとに、閾値や指標を元に、画像描画領域ＭＦ上で各要素名に対応する描画オブジェクト（図形）を表示する。描画データ管理部５０は、各要素名に対応する描画オブジェクトについて、その要素名に対応する判定結果（危険要素）の内容に応じて、形状や色や大きさを変化させる。描画データ管理部５０による各描画オブジェクトの変化のさせ方は限定されないものであるが、優先的に対処する必要のある要素名（オペレータに警告したい要素名）に対応する描画オブジェクトほど、オペレータに認識させやすくするため、大きく目立つ色（例えば、緑→黄色→赤等）に設定することが望ましい。
【００６０】
この実施形態では、画像描画領域ＭＦは、各要素名に対応する描画オブジェクトをバブルチャートの形式で表示するものとする。言い換えると、画像描画領域ＭＦには、例えば、各要素名に対応する種々の形状（外形）、色、大きさの描画オブジェクト（図形）が表示される。
【００６１】
描画データ管理部５０は、例えば、要素名（危険要素）の種類に応じて、描画オブジェクトの形状（図形の形状）を変更するようにしてもよい。例えば、描画データ管理部５０は、種類が端末ＩＤの要素名（危険要素）の描画オブジェクトを四角、種類がホストの要素名の描画オブジェクトを円形などとしてもよい。
【００６２】
また、描画データ管理部５０は、例えば、要素名ごとに検出された危険度値に応じて、描画オブジェクトの色やパターンを変更するようにしてもよい。例えば、描画データ管理部５０は、危険度値が低い要素名の描画オブジェクトの色を白色や青色とし、危険度値の上昇と共に黄色や赤等危険の高まりを表現するようにしてもよい。なお、複数の危険要素が検出された要素名の描画オブジェクトついては、最も高い危険度値（以下、「最大危険度値」とも呼ぶ）に基づく色やパターンを適用するようにしてもよい。例えば、最大危険度値が１〜３０の要素名に対応する描画オブジェクトを白色、最大危険度値が３１〜６０の要素名に対応する描画オブジェクトを黄色、最大危険度値が６１以上の要素名に対応する描画オブジェクトを赤色としてもよい。
【００６３】
さらに、描画データ管理部５０は、例えば、１つの時刻（表示時刻）に同じ要素名の危険要素が複数あった場合、その危険要素の数（以下、「カウント数」と呼ぶ）に応じて、表示する描画オブジェクトの大きさ（面積）を大きくするようにしてもよい。例えば、描画データ管理部５０は、カウント数の大きい要素名ほど描画オブジェクトの大きさ（面積）を大きく（広く）するようにしてもよい。また、描画データ管理部５０は、例えば、カウント数が所定以下となる要素名の描画オブジェクトについては、要素名を付記しなかったり、描画オブジェクト自体を非表示とするようにしてもよい。
【００６４】
この実施形態の例では、描画データ管理部５０は、カウント数が１の要素名については画像描画領域ＭＦに描画オブジェクトを表示せず、カウント数が２の要素名については最も小さい描画オブジェクトのみを表示（描画オブジェクトに要素名を付記しない）し、カウント数が３以上の要素名については描画オブジェクトに要素名を付記するとともにカウント数の増加に伴って描画オブジェクトの面積を大きくするものとする。
【００６５】
さらにまた、描画データ管理部５０は、各要素名の危険要素の内容に応じて、画像描画領域ＭＦ上の描画オブジェクトのプロット位置（描画座標）を決定するようにしてもよい。例えば、描画データ管理部５０は、画像描画領域ＭＦ内で、最も面積の大きな描画オブジェクトほど中心にプロット（中心の描画座標にプロット）し、次いで面積の大きい描画オブジェクトから順に、中心からの距離を面積のパラメータに応じて決定し、真上から順に時計回りに任意の角度回転しながら順にプロットしていくようにしてもよい。
【００６６】
なお、画像描画領域ＭＦ上で、時系列に切り替えて表示（アニメーション表示）をする場合、表示する項目の座標に一貫性が求められるため、描画データ管理部５０は、各描画オブジェクトの初期位置の座標をずらさずに固定したまま、描画オブジェクトに係るパラメータ（例えば、カウント数や危険度値等）に応じて、描画オブジェクトの色やサイズを変更するようにすることが望ましい。また、描画データ管理部５０は、原則として各描画オブジェクトを初期位置からずらさないポリシーとした場合でも、描画オブジェクト同士が接触した場合には、例外として重ならないように座標をずらすようにしてもよい。
【００６７】
図２の描画データに基づいて、上記のポリシーに従って描画データ管理部５０が描画部６０にセキュリティダッシュボード表示画面を表示させると、その内容は図３〜図６のような画像となる。図３〜図６は、それぞれ図２に示す描画データにおける時刻Ｔ１〜Ｔ４に対応して表示させるセキュリティダッシュボード表示画面の例について示した図となっている。
【００６８】
まず、図２、図３を用いて、時刻Ｔ１に対応するセキュリティダッシュボード表示画面（画像描画領域ＭＦ）の内容について説明する。図２に示すように、時刻Ｔ１では、カウント数が２以上の要素名は検出されていない。したがって、図３に示すように、時刻Ｔ１では、画像描画領域ＭＦに描画オブジェクトは１つも表示されず、注目すべき危険要素がないことを示す文字列（「Ｇｏｏｄ」という文字列）だけが表示されている。
【００６９】
次に、図２、図４を用いて、時刻Ｔ２に対応するセキュリティダッシュボード表示画面（画像描画領域ＭＦ）の内容について説明する。図２に示すように、時刻Ｔ２では、要素名「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」のカウント数が３である。したがって、図４に示すように、時刻Ｔ２では、画像描画領域ＭＦに「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」の要素名がついた描画オブジェクトが表示されている。また、時刻Ｔ２では「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」の要素名に対応する最大危険度値は３１未満であるため、「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」の要素名に対応する描画オブジェクトの色は白色となっている。
【００７０】
次に、図２、図５を用いて、時刻Ｔ３に対応するセキュリティダッシュボード表示画面（画像描画領域ＭＦ）の内容について説明する。図２に示すように、時刻Ｔ３では、要素名が「ｗｗｗ１．ｅｘａｍｐｌｅ．ｃｏｍ」と「ｗｗｗ３．ｅｘａｍｐｌｅ．ｃｏｍ」のカウント数が２となり、要素名「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」のカウント数が４となっている。したがって、図５に示すように、時刻Ｔ３では、画像描画領域ＭＦにＴ２のときよりも面積の大きい「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」の要素名がついた描画オブジェクトが表示される。また、図５に示すように、時刻Ｔ３では、画像描画領域ＭＦに要素名のつかない２つの描画オブジェクト（「ｗｗｗ１．ｅｘａｍｐｌｅ．ｃｏｍ」と「ｗｗｗ３．ｅｘａｍｐｌｅ．ｃｏｍ」に対応する描画オブジェクト）が表示される。時刻Ｔ３では、要素名「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」に対応する最大危険度値が５０（３１以上）であるため、要素名「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」の描画オブジェクトは黄色で表示（図５では網目のパターンを付して表示）される。
【００７１】
次に、図２、図６を用いて、時刻Ｔ４に対応するセキュリティダッシュボード表示画面（画像描画領域ＭＦ）の内容について説明する。図２に示すように、時刻Ｔ４では、要素名が「ｗｗｗ１．ｅｘａｍｐｌｅ．ｃｏｍ」と「ｗｗｗ３．ｅｘａｍｐｌｅ．ｃｏｍ」のカウント数が３となり、要素名「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」のカウント数が５となっている。したがって、図６に示すように、時刻Ｔ４では、画像描画領域ＭＦにＴ３のときよりも面積の大きい「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」の要素名がついた描画オブジェクトが表示される。また、図５に示すように、時刻Ｔ４では、要素名「ｗｗｗ１．ｅｘａｍｐｌｅ．ｃｏｍ」が付記された描画オブジェクトと、要素名「ｗｗｗ３．ｅｘａｍｐｌｅ．ｃｏｍ」が付記された描画オブジェクトが配置される。時刻Ｔ４では、要素名「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」に対応する最大危険度値が７０（６１以上）であるため、要素名「ｗｗｗ２．ｅｘａｍｐｌｅ．ｃｏｍ」の描画オブジェクトは赤色で表示（図５では黒色で表示）される。
【００７２】
図３〜図６に示すように、描画データ管理部５０の制御により時系列ごとのネットワークＮ上の危険の内容（危険要素）をバブルチャート形式で表示することにより、新たな疑わしい要素の出現（新たな要素名の出現）や、出現した疑わしい要素の危険の高まりや収束（出現した要素名に関する危険の高まりや収束）を視覚的に分かりやすく表示することができる。
【００７３】
（Ａ−３）第１の実施形態の効果
第１の実施形態によれば、以下のような効果を奏することができる。
【００７４】
この実施形態のセキュリティ情報処理装置１では、セキュリティダッシュボードの機能において、従来のように、指標を複数出してオペレータの知見によって細かく解析していく機能ではなく、要素（要素名）ごとに、危険要素の判定結果に応じた色やサイズの図形で表される描画オブジェクト（以下、「バブル」とも呼ぶ）を描画した画面（セキュリティダッシュボード）で表示している。これにより、この実施形態のセキュリティ情報処理装置１では、セキュリティに関する状態をオペレータに容易に認識させる（容易に熟練されたオペレータでなくても状況が把握できる）という効果を奏する。
【００７５】
また、この実施形態のセキュリティ情報処理装置１では、図３〜図６に示すように、画像描画領域ＭＦに表示するセキュリティダッシュボードを、時系列ごとに変化させることにより、ネットワークＮ上の危険度合が高まっているのか、危険が去ったのかなどの情報を視覚的にわかりやすく表示している。これにより、この実施形態のセキュリティ情報処理装置１では、オペレータに対して、どの程度緊急対処が求められる事象なのかを視覚的に認識させることができる。
【００７６】
さらに、この実施形態のセキュリティ情報処理装置１では、各描画オブジェクトの色や大きさを、危険要素の発生状況に応じてなめらかに変化させながら表示することで、より危険要素の変化をオペレータに認識させやすくしている。
【００７７】
（Ｂ）第２の実施形態
以下、本発明によるセキュリティ情報処理装置、プログラム及び方法の第２の実施形態を、図面を参照しながら詳述する。
【００７８】
（Ｂ−１）第２の実施形態の構成
図７は、第２の実施形態に関係する各装置の接続構成、及びこの実施形態におけるセキュリティ情報処理装置１Ａの機能席構成について示したブロック図である。
【００７９】
セキュリティ情報処理装置１Ａでは、描画情報収集部４１、描画データ管理部５１、及び描画部６１が追加されている点で、第１の実施形態と異なっている。
【００８０】
第２の実施形態では、描画情報収集部４０、４１により、描画データ取得手段が実現されている。また、第２の実施形態では、描画データ管理部５０、５１により、描画制御手段が実現されている。さらに、以下では、描画情報収集部４０、４１はそれぞれ別個の構成要素であるものとして説明するが、１つの構成要素（例えば、１つのコンピュータプログラム（モジュール））で構成するようにしてもよい。さらにまた、以下では、描画データ管理部５０、５１はそれぞれ別個の構成要素であるものとして説明するが、１つの構成要素（例えば、１つのコンピュータプログラム（モジュール））で構成するようにしてもよい。また、以下では、描画部６０、６１はそれぞれ別個の構成要素であるものとして説明するが、１つの構成要素（例えば、１つのデバイス）で構成するようにしてもよい。
【００８１】
描画情報収集部４１、描画データ管理部５１、及び描画部６１の基本的な機能は描画情報収集部４０、描画データ管理部５０、及び描画部６０と同様であるが、セキュリティダッシュボード表示画面に表示する情報の内容及び画面の構成が異なっている。
【００８２】
描画情報収集部４１、描画データ管理部５１、及び描画部６１は、セキュリティダッシュボード表示画面に上述の図３〜図６に示すようなバブルチャート形式の画面（以下、「異常バブルチャート表示画面」と呼ぶ）の表示を行う構成となっているが、描画情報収集部４１、描画データ管理部５１、及び描画部６１は、視覚的に異常を時系列で表示する画面（以下、「異常時系列表示画面」と呼ぶ）を表示するための処理を行う構成となっている。
【００８３】
異常時系列表示画面は、異常判定処理部２１が判定結果（危険要素の種類）ごとに時系列で異常度の値（以下、「異常度値」とも呼ぶ）を表示する画面構成となっている。以下では、各異常判定処理部２１の判定する内容を「異常項目」とも呼ぶものとする。以下では、異常判定処理部２１−１〜２１−Ｍの異常項目を、それぞれ異常項目１〜Ｍと表す。
【００８４】
図８は、異常時系列表示画面の構成例について示した説明図である。
【００８５】
図８に示す異常時系列表示画面では、横軸（ｘ軸）を時間、縦軸（ｙ軸）を異常度値とするグラフ上で、各異常項目について、時系列ごとに異常度値の点をプロット（描画）し、時系列が連続する異常度値の間は線で連結して表示している。図８の例では、１つの要素名（例えば、１つのホスト名）に関する各異常項目の異常度値が時系列で示されている。
【００８６】
異常時系列表示画面に表示する異常項目の数や組み合わせは限定されないものであるが、図８に示す異常時系列表示画面では、異常項目１〜５の異常度値がプロットされている。図８では、異常項目１〜５のプロットを識別するために、異常項目１〜５のプロット（点）をそれぞれ「〇」（丸）、「□」（四角）、「ｘ」（エックス）、「△」（三角）、「＊」（アスタリスク）という記号で表現している。なお、異常時系列表示画面のプロットは視覚的に異常項目が識別できれば具体的な表現の形式は限定されないものである。例えば、異常時系列表示画面において、各プロットや各プロット間を連結する線の色を異常項目ごとに異なる色で表現するようにしてもよい。
【００８７】
描画情報収集部４１は、描画情報収集部４０と同様に、任意の描画期間（任意の描画開始時刻から描画終了時刻までの期間）の危険要素に係る判定結果（当該判定結果に付加されたメタデータや加工済のデータを含む）を判定結果データから取得（抽出）して描画データ（抽出データ）を生成する。描画情報収集部４１は、例えば、任意の要素名（例えば、ホスト名）に対応する任意の期間の各危険要素（例えば、ログ）と、それらの危険要素に対応する異常項目と異常度値（各異常判定処理部２１の判定結果）を収集し、収集した内容に基づいて描画データ（抽出データ）を生成する。
【００８８】
描画データ管理部５１は、描画情報収集部４１で作成された描画データに基づいて、セキュリティダッシュボード（危険要素に関する情報を視覚的に表示する画面）として、異常時系列表示画面を描画部６１に表示させる。描画データ管理部５１は、異常時系列表示画面のグラフにおけるｘ軸とｙ軸の範囲を管理する。
【００８９】
（Ｂ−２）第２の実施形態の動作
次に、以上のような構成を有する第の実施形態のセキュリティ情報処理装置１Ａの動作を説明する。
【００９０】
以下では、第２の実施形態のセキュリティ情報処理装置１Ａの動作について、第１の実施形態との差異を中心に説明する。具体的には、以下では、描画情報収集部４１、描画データ管理部５１、及び描画部６１の動作を中心に説明する。
【００９１】
ここでは、まず、描画データ管理部５０により、描画部６０に異常バブルチャート表示画面が表示された状態であるものとして説明する。
【００９２】
描画情報収集部４１は、例えば、異常バブルチャート表示画面で、いずれかのホスト名（要素名）に対応するバブルの描画オブジェクト（シンボル）が操作された場合（例えば、当該バブルの描画オブジェクトにマウスカーソルが重ねられ、マウスクリックの操作が行われた場合）に、当該ホスト名に対応する所定の期間（例えば、当該異常バブルチャート表示画面の描画期間）の各異常項目の異常度値（各異常判定処理部２１の判定結果）を収集し、収集した内容に基づいて異常状態時系列表示画面の描画データ（抽出データ）を生成する。
【００９３】
描画データ管理部５１は、描画情報収集部４１で作成された描画データに基づいて、異常時系列表示画面を描画部６１に表示させる処理を行う。描画データ管理部５１は、例えば、描画部６０で表示されている異常バブルチャート表示画面の時間の幅を用いて、描画部６１に表示する異常時系列表示画面のx軸の時間幅（範囲）を管理する。また、描画データ管理部５１は、例えば、描画情報収集部４１から供給される描画データに含まれる各異常項目の異常度値の上限値と下限値を含むように、描画部６１に表示する異常時系列表示画面のｙ軸の幅（範囲）を管理する。
【００９４】
また、描画データ管理部５１及び描画部６１は、異常時系列表示画面で、任意の異常項目の任意の時刻のプロット（点）が操作された場合（例えば、当該点の部分にマウスカーソルが被せられた場合）に、当該プロット（点）に対応する異常度値（スコア）を表示（例えばポップアップウィンドウを追加表示）して、オペレータに危険要素を把握しやすくするようにしてもよい。
【００９５】
（Ｂ−３）第２の実施形態の効果
第２の実施形態によれば、以下のような効果を奏することができる。
【００９６】
第２の実施形態のセキュリティ情報処理装置１Ａでは、セキュリティダッシュボードの機能において、異常時系列表示画面を表示可能な構成となっている。具体的には、第２の実施形態のセキュリティ情報処理装置１Ａでは、異常バブルチャート表示画面で操作されたバブルに係る異常時系列表示画面を表示する構成となっている。これにより、第２の実施形態のセキュリティ情報処理装置１Ａでは、異常バブルチャート表示画面で描画されている時間の中で、異常時系列表示画面を表示することにより、どのような視点で異常と判定されたのかが２次元グラフとして把握しやすく、危険度の時系列変化と、各時間の傾向変化などを視覚的に把握することができるという効果を奏する。
【００９７】
（Ｃ）第３の実施形態
以下、本発明によるセキュリティ情報処理装置、プログラム及び方法の第３の実施形態を、図面を参照しながら詳述する。
【００９８】
（Ｃ−１）第３の実施形態の構成
図９は、第３の実施形態に関係する各装置の接続構成、及びこの実施形態におけるセキュリティ情報処理装置１Ｂの機能席構成について示したブロック図である。
【００９９】
以下では、第３の実施形態について第２の実施形態との差異を説明する。
【０１００】
セキュリティ情報処理装置１Ｂでは、描画情報収集部４２、描画データ管理部５２、及び描画部６２が追加されている点で、第２の実施形態と異なっている。
【０１０１】
第３の実施形態では、描画情報収集部４０、４１、４２により、描画データ取得手段が実現されている。また、第３の実施形態では、描画データ管理部５０、５１、５２により、描画制御手段が実現されている。さらに、以下では、描画情報収集部４０、４１、４２はそれぞれ別個の構成要素であるものとして説明するが、１つの構成要素（例えば、１つのコンピュータプログラム（モジュール））で構成するようにしてもよい。さらにまた、以下では、描画データ管理部５０、５１、５２はそれぞれ別個の構成要素であるものとして説明するが、１つの構成要素（例えば、１つのコンピュータプログラム（モジュール））で構成するようにしてもよい。また、以下では、描画部６０、６１、６２はそれぞれ別個の構成要素であるものとして説明するが、１つの構成要素（例えば、１つのデバイスや１つのウィンドウ）で構成するようにしてもよい。
【０１０２】
描画情報収集部４２、描画データ管理部５２、及び描画部６２の基本的な機能は描画情報収集部４０、描画データ管理部５０、及び描画部６０と同様であるが、セキュリティダッシュボード表示画面に表示する情報の内容及び画面の構成（描画オブジェクトの構成）が異なっている。
【０１０３】
描画情報収集部４０、描画データ管理部５０、及び描画部６０は、セキュリティダッシュボード表示画面に上述の図３〜図６に示すような異常バブルチャート表示画面の表示を行う構成となっているが、描画情報収集部４２、描画データ管理部５２、及び描画部６２は、各異常項目に関するサイバー攻撃の影響度（以下、「サイバー攻撃影響度」と呼ぶ）を時系列で視覚的に表示する画面（以下、「時系列サイバー攻撃影響度表示画面」と呼ぶ）を表示するための処理を行う構成となっている。
【０１０４】
図１０は、時系列サイバー攻撃影響度表示画面の構成例について示した説明図である。
【０１０５】
図１０に示す時系列サイバー攻撃影響度表示画面では、表形式で、ユーザＩＤとホスト名の組み合わせごとのサイバー攻撃影響度を時系列で表示する構成となっている。
【０１０６】
図１０の表（時系列サイバー攻撃影響度表示画面）では、１行で任意のユーザＩＤ、ホスト名、及び時刻の組み合わせのログに対応するサイバー攻撃影響度（当該ログに対応する危険要素に関するサイバー攻撃影響度）を表示している。図１０の表では、サイバー攻撃影響度を表示する領域（以下、「サイバー攻撃影響度表示領域」と呼ぶ）に、複数列のセル（図１０では、１０列のセル）が配置されている。以下では、図１０に示すサイバー攻撃影響度表示領域の各セルを左側から順にＣ１〜Ｃ１０と表すものとする。サイバー攻撃影響度表示領域には、サイバー攻撃の影響度に応じた列のセルに、危険要素に対応する異常項目を示す画像（以下、「異常項目画像」と呼ぶ）が配置される。図１０では、異常項目１〜５のそれぞれに対応する異常項目画像として「〇」（丸）、「□」（四角）、「ｘ」（エックス）、「△」（三角）、「＊」（アスタリスク）が適用されている。なお、サイバー攻撃影響度表示領域の異常項目画像は、視覚的に異常項目が識別できれば具体的な表現の形式は限定されないものである。例えば、サイバー攻撃影響度表示領域において、各異常項目画像を異常項目ごとに異なる色やパターン（模様）で表現するようにしてもよい。また、この実施形態においてサイバー攻撃影響度は、１０段階（Ｃ１〜Ｃ１０）で示す例について説明したがサイバー攻撃影響を示す段階の数は限定されないものである。
【０１０７】
図１０に示すサイバー攻撃影響度表示領域では、左側のセルＣ１から右側のセルＣ１０に向かって、サイバー攻撃で、より深刻な影響を受けている状況であることを示しているものとする。セルＣ１〜Ｃ１０の順序は、例えば、サイバー攻撃の影響度の指標として知られる、サイバーキルチェーンの段階に対応させるようにしてもよい。これにより、サイバー攻撃影響度表示領域では、左側のセルＣ１に異常として異常項目画像が表示されたものは、サイバー攻撃の初期段階を表しており、異常項目画像が右側のセルに移行するほどサイバー攻撃が進んでいることを視覚的に表示することができる。
【０１０８】
描画情報収集部４２は、描画情報収集部４０と同様に、任意の描画期間（任意の描画開始時刻から描画終了時刻までの期間）の危険要素に係る判定結果（当該判定結果に付加されたメタデータや加工済のデータを含む）を判定結果データから取得（抽出）して描画データ（抽出データ）を生成する。描画情報収集部４２は、例えば、「任意の要素名」又は「任意の複数の要素名の組み合わせ」（例えば、任意のホスト名とユーザＩＤの組み合わせ）に対応する任意の期間の各危険要素（例えば、ログ）と、それらの危険要素に対応する異常項目と異常度値（各異常判定処理部２１の判定結果）を収集し、収集した内容に基づいて描画データ（抽出データ）を生成する。
【０１０９】
描画情報収集部４２は、時系列サイバー攻撃影響度表示画面に表示する危険要素（ログ）ごとにサイバー攻撃影響度（サイバー攻撃影響度表示領域のどのセルに表示するかを決定する情報）も取得し、描画データに設定する。第３の実施形態においては、例えば、各異常判定処理部２１が各危険要素に対応するサイバー攻撃影響度を求めて、判定結果に含めて出力するようにしてもよい。これにより、描画情報収集部４２では、各危険要素のサイバー攻撃影響度を収集して描画データに設定することができる。
【０１１０】
描画データ管理部５２は、描画情報収集部４２で作成された描画データに基づいて、セキュリティダッシュボード（危険要素に関する情報を視覚的に表示する画面）として、時系列サイバー攻撃影響度表示画面を描画部６２に表示させる。
【０１１１】
（Ｃ−２）第３の実施形態の動作
次に、以上のような構成を有する第の実施形態のセキュリティ情報処理装置１Ｂの動作を説明する。
【０１１２】
以下では、第３の実施形態のセキュリティ情報処理装置１Ｂの動作について、第１の実施形態との差異を中心に説明する。具体的には、以下では、描画情報収集部４２、描画データ管理部５２、及び描画部６２の動作を中心に説明する。
【０１１３】
ここでは、まず、描画データ管理部５１により、描画部６１に異常状態時系列表示画面が表示された状態であるものとして説明する。
【０１１４】
描画情報収集部４２は、例えば、異常状態時系列表示画面で、いずれかのプロット（点）が操作された場合（例えば、当該プロットの描画オブジェクトにマウスカーソルが重ねられ、マウスクリックの操作が行われた場合）に、当該プロットを含む所定期間（例えば、当該プロットの時刻を中心とした前後３０分の期間）の各異常項目の危険要素に係る情報（各危険要素のサイバー攻撃影響度等を含む判定結果）を収集し、収集した内容に基づいて、サイバー影響度状態時系列表示画面の描画データ（抽出データ）を生成する。
【０１１５】
描画データ管理部５２は、描画情報収集部４２で作成された描画データに基づいて、時系列サイバー攻撃影響度表示画面を描画部６２に表示させる処理を行う。
【０１１６】
また、描画データ管理部５２及び描画部６２は、サイバー影響度状態時系列表示画面で、任意の時刻の任意のセル（異常項目画像が表示されたセル）が操作された場合（例えば、当該セル（異常項目画像）の部分にマウスカーソルが被せられた場合）に、当該セル（異常項目画像）に対応する異常度値（スコア）を表示（例えばポップアップウィンドウを追加表示）して、オペレータに危険要素を把握しやすくするようにしてもよい。
【０１１７】
（Ｃ−３）第３の実施形態の効果
第３の実施形態によれば、以下のような効果を奏することができる。
【０１１８】
第３の実施形態のセキュリティ情報処理装置１Ｂでは、セキュリティダッシュボードの機能において、サイバー影響度状態時系列表示画面を表示可能な構成となっている。具体的には、第３の実施形態のセキュリティ情報処理装置１Ｂでは、異常時系列表示画面で操作されたプロットを含む期間の危険要素（ログ）に基づいてサイバー影響度状態時系列表示画面を表示する構成となっている。これにより、第３の実施形態のセキュリティ情報処理装置１Ｂでは、異常時系列表示画面で描画されている時間の中で、サイバー影響度状態時系列表示画面を表示することにより、描画されている時間の中で、サイバー攻撃が時系列にどの程度進行しているのかをログ単位で把握することが可能となる。これにより、第３の実施形態のセキュリティ情報処理装置１Ｂでは、サイバー攻撃の影響度の時系列変化と、対応する接続先等の傾向変化などを視覚的に把握することができるという効果も奏する。
【０１１９】
（Ｄ）他の実施形態
本発明は、上記の実施形態に限定されるものではなく、以下に例示するような変形実施形態も挙げることができる。
【０１２０】
（Ｄ−１）上記の各実施形態では、セキュリティ情報処理装置１、１Ａ、１Ｂが描画部６０、６０Ａ、６０Ｂを備える構成となっているが、描画部６０、６０Ａ、６０Ｂについては外部の監視端末を適用するようにしてもよい。すなわち、本発明のセキュリティ情報処理装置自体は、描画部を備えない構成としてもよい。
【０１２１】
（Ｄ−２）第１の実施形態のセキュリティ情報処理装置１が表示する異常バブルチャート表示画面では、要素（要素名）ごとに、危険要素の判定結果に応じた色やサイズの図形で表されるバブル（円形の描画オブジェクト）を描画しているが、各要素（要素名）を所定の基準で分類し、分類したグループごとに区別して（グループ化して）各要素（要素名）のバブルの描画を行うようにしてもよい。
【０１２２】
図１１は、グループごとに区別してバブルを描画（バブルをグループ化して描画）した例について示した説明図である。
【０１２３】
図１１の例では、グループを示すバブルの内側にそのグループに属する要素（要素名）のバブルを配置している。また、図１１では、各バブル（要素）に対応するロケーションごとにグループ化している。図１１では、Ａ地区、Ｂ地区、Ｃ地区、Ｄ地区の４つの地区（ロケーション）を示すバブルが配置されている。そして、図１１では、９つの要素名（「ｗｗｗ１，ｅｘａｍｐｌｅ．ｃｏｍ」〜「ｗｗｗ９，ｅｘａｍｐｌｅ．ｃｏｍ」）に対応するバブルが、それぞれいずれかの地区のバブルの内側に配置されている。例えば、図１１では、Ａ地区のバブルの内側に「ｗｗｗ１，ｅｘａｍｐｌｅ．ｃｏｍ」、「ｗｗｗ２，ｅｘａｍｐｌｅ．ｃｏｍ」、「ｗｗｗ３，ｅｘａｍｐｌｅ．ｃｏｍ」の３つの要素名に対応するバブルが配置されている。ずなわち、図１１では、「ｗｗｗ１，ｅｘａｍｐｌｅ．ｃｏｍ」、「ｗｗｗ２，ｅｘａｍｐｌｅ．ｃｏｍ」、「ｗｗｗ３，ｅｘａｍｐｌｅ．ｃｏｍ」の３つの要素名が、Ａ地区のグループに属することを示している。
【０１２４】
図１１に示す異常バブルチャート表示画面では、ロケーションごとにグループ化した表示を行う例について示しているが、グループ化する基準はロケーションに限定されず、ホストの用途（例えば、システム名）、ホストを所有する組織の名称（例えば、会社名や会社内の部署名）等種々の基準を適用することができる。各要素（要素名）を分類する処理を行う主体については限定されないものであるが、例えば、異常判定処理部２１が行うようにしてもよい。例えば、異常判定処理部２１が処理結果（危険要素の検出結果）を出力する際にメタデータの一部として分類情報（例えば、ロケーション名や組織名等）を出力するようにしてもよい。また、例えば、別途図示しないデータベースにより要素（要素名）ごとの分類情報を登録しておくようにしてもよい。
【０１２５】
以上のように、セキュリティ情報処理装置１では、異常バブルチャート表示画面の各要素（要素名）に対応するバブルをグループごとに区別して描画することで、セキュリティに関する状態をオペレータにより容易に認識させる（容易に熟練されたオペレータでなくても状況が把握できる）という効果を奏する。
【符号の説明】
【０１２６】
１…セキュリティ情報処理装置、１０…解析対象データ保持部、２０…異常判定部、２１、２０−１〜２１−Ｍ…異常判定処理部、３０…異常情報蓄積部、４０…描画情報収集部、５０…描画データ管理部、６０…描画部。
【図１】
2020024650.tif 000003
【図２】
2020024650.tif 000004
【図３】
2020024650.tif 000005
【図４】
2020024650.tif 000006
【図５】
2020024650.tif 000007
【図６】
2020024650.tif 000008
【図７】
2020024650.tif 000009
【図８】
2020024650.tif 000010
【図９】
2020024650.tif 000011
【図１０】
2020024650.tif 000012
【図１１】
2020024650.tif 000013