(57)【要約】【課題】高額なコストをかけず、またエンドポイントに負荷をかけることなく、さらには専門的な人材を必要とすることなく、中堅企業や中小企業であっても容易に導入することができるセキュリティインシデント検知システムを提供する。【解決手段】企業に設けられた利用者端末２０と、利用者端末２０とネットワークを介して相互に通信可能なサーバ装置１０と、備えたセキュリティインシデント検知システム１において、利用者端末２０は、定期的にログ情報２１１を収集してサーバ装置１０に送信し、サーバ装置１０は、ログ情報２１１を受信すると、ログ情報２１１を分析して、企業単位に分析レポート１１５Ｐを作成し、作成した分析レポート１１５Ｐ企業の管理者に送信する。【選択図】図１
2020135002.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワークを介して、企業に設けられた利用者端末と相互に通信可能であり、前記利用者端末に発生したセキュリティインシデントを検知するセキィリティインシデント検知装置であって、
前記利用者端末から定期的にセキュリティインシデントに関連するログ情報を収集するログ情報収集部と、
前記ログ情報収集部により収集された前記ログ情報に対して、検知するセキュリティインシデントのタイプごとに設けられた分析パターンごとに、分析パターンに対応付けられた前記ログ情報を分析し、セキュリティインシデント発生の可能性を検知するログ情報分析部と、
前記ログ情報分析部による前記ログ情報の分析結果を企業単位に集計し、分析レポートを作成する分析レポート作成部と、
作成した分析レポートを前記利用者端末に出力する分析レポート出力部と、
を備えるセキュリティインシデント検知装置。
【請求項２】
前記ログ情報は、プログラム実行履歴に関するログ情報、ユーザ操作履歴に関するログ情報、及びシステム情報を備える請求項１記載のセキュリティインシデント検知装置。
【請求項３】
企業ごとに、ログ取集のタイミング及び収集対象となるファイルに関するログ収集制御データを記憶するログ収集制御データ記憶部をさらに備え、
前記ログ情報収集部は、前記利用者端末が、前記セキィリティインシデント検知装置から受信したログ収集制御データに基づいて、定められたログ取集のタイミングにおいて収集対象となる前記ログ情報を収集して送信することにより、前記ログ情報を収集する請求項１又は２記載のセキュリティインシデント検知装置。
【請求項４】
企業ごとのセキュリティルールに関するデータ、及び公開されている不正プログラムや不正ファイルに関するマスタデータを記憶するマスタデータ記憶部をさらに備え、
前記ログ情報分析部は、前記マスタデータ記憶部に記憶されたマスタデータを参照して前記ログ情報を分析する請求項１乃至３のいずれか１項に記載のセキュリティインシデント検知装置。
【請求項５】
前記分析レポートは、前記ログ情報の分析を受けた前記利用者端末の数、セキュリティインシデント発生の可能性がある前記利用者端末の数、セキュリティインシデント発生の可能性がある前記利用者端末に関する情報が記されている請求項１乃至４のいずれか１項に記載のセキュリティインシデント検知装置。
【請求項６】
企業に設けられた利用者端末と、前記利用者端末と通信ネットワークを介して相互に通信可能なサーバ装置と、を備え、前記利用者端末に発生したセキュリティインシデントを検知するセキュリティインシデント検知システムであって、
前記利用者端末は、
定期的にセキュリティインシデントに関連するログ情報を収集して送信するログ情報送信部を備え、
前記サーバ装置は、
前記ログ情報送信部から送信された前記ログ情報を受信するログ情報受信部と、
検知するセキュリティインシデントのタイプごとに分析パターンを記憶する分析パターン記憶部と、
前記分析パターン記憶部に記憶されたそれぞれの分析パターンごとに、該分析パターンに対応付けられた前記ログ情報を分析し、セキュリティインシデント発生の可能性を検知するログ情報分析部と、
前記ログ情報分析部による前記ログ情報の分析結果を企業単位に集計し、分析レポートを作成する分析レポート作成部と、
作成した分析レポートを前記利用者端末に出力する分析レポート出力部と、
を備え、
前記利用者端末は、
前記分析レポート出力部により出力された分析レポートを表示する分析レポート表示部を備えるセキュリティインシデント検知システム。
【請求項７】
企業に設けられた利用者端末に発生したセキュリティインシデントを検知するセキュリティインシデント検知方法であって、
前記利用者端末から定期的にセキュリティインシデントに関連するログ情報を収集するログ情報収集ステップと、
前記ログ情報収集ステップにより収集された前記ログ情報に対して、検知するセキュリティインシデントのタイプごとに設けられた分析パターンごとに、分析パターンに対応付けられた前記ログ情報を分析し、セキュリティインシデント発生の可能性を検知するログ情報分析ステップと、
前記ログ情報分析ステップによる前記ログ情報の分析結果を企業単位に集計し、分析レポートを作成する分析レポート作成ステップと、
作成した分析レポートを前記利用者端末に出力する分析レポート出力ステップと、
を備えるセキュリティインシデント検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、エンドポイントにおいてセキュリティインシデントの被害を防ぐ技術に関し、特に、エンドポイントにおいてセキュリティインシデントが発生した後の事後対処を支援するセキュリティインシデント検知装置、セキュリティインシデント検知システム及びセキュリティインシデント検知方法に関する。
【背景技術】
【０００２】
従来、エンドポイントにおいてセキュリティインシデントを発生させるマルウェアの検知は、マルウェア検体をもとにシグネチャ（例えば、コンピュータウイルスなどに含まれる特徴的なデータ断片や、攻撃者のアクセスに特徴的な受信データのパターンなど）を作成して防御する機能を中心に発展してきた。ここで、マルウェアとは、利用者やコンピュータに害を成す不正な動作を行うソフトウェアの総称をいい、セキュリティインシデントとは、事業運営に影響を与えたり、情報セキュリティを脅かしたりする事件や事故のことをいう。
【０００３】
しかしながら、昨今のマルウェアに関しては、標的型攻撃や多種多様な亜種を簡単に作成できるツールなどが存在することにより、マルウェア検体自体の効果は薄れてきている状況にある。
【０００４】
そのため、情報セキュリティ業界においては、マルウェア等のセキュリティ被害を１００％完璧に防御することは出来ないことが常識になっており、この防御を破られマルウェア被害に遭ってしてしまうことを前提にした「事後対処」が非常に重要である、という考えが急速に加速している。
【０００５】
この点、エンドポイントセキュリティ製品の中で昨今注目を集めているのは、マルウェアによる感染後の調査・復旧・対策を支援する「ＥＤＲ」（Endpoint Detection abd Response）や機密情報の紛失・漏洩を防ぐ「ＤＬＰ」（Data Loss Prevention）といったセキュリティインシデントの事後対処を支援する製品である。
【０００６】
例えば、非特許文献１には、ＥＤＲに関する製品が開示されており、非特許文献２には、ＤＬＰに関する製品が開示されている。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】サイバーリーズン・ジャパン 株式会社、“Cybereason EDR”、［online］、［平成３１年１月１５日検索］、インターネット＜ＵＲＬ：https://www.cybereason.co.jp/products/edr/＞
【非特許文献２】マカフィー株式会社、“McAfee DLP Endpoint”、［online］、［平成３１年１月１５日検索］、インターネット＜ＵＲＬ： https://www.mcafee.com/enterprise/ja-jp/products/dlp-endpoint.html＞
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、従来のＥＤＲやＤＬＰに関する製品は、高額な製品であり、大企業を中心に導入が進んでいた。また、従来のＥＤＲやＤＬＰに関する製品は、リアルタイムでセキュリティインシデントに対する処理を実行する必要があり、また、常時データを収集・保管するデータ保存領域を確保する必要があることから、エンドポイントやネットワークの負荷を高めてしまうという問題があった。また、製品導入後の運用においても、専門性の高い人材の配置が必要となるという問題があった。
【０００９】
その結果、中堅企業や中小企業においては、ＥＤＲやＤＬＰといったセキュリティインシデントの事後対処を支援する製品を導入することが困難であるという状況があった。
【００１０】
本発明は上記の事情を鑑みてなされたものであり、高額なコストをかけず、またエンドポイントに負荷をかけることなく、さらには専門的な人材を必要とすることなく、中堅企業や中小企業であっても容易に導入することができるエンドポイントに対するセキュリティインシデント検知装置、セキュリティインシデント検知システム及びセキュリティインシデント検知方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記目的を達成するため、本発明に係るセキィリティインシデント検知装置は、その一態様として、通信ネットワークを介して、企業に設けられた利用者端末と相互に通信可能であり、前記利用者端末に発生したセキュリティインシデントを検知するセキィリティインシデント検知装置であって、前記利用者端末から定期的にセキュリティインシデントに関連するログ情報を収集するログ情報収集部と、前記ログ情報収集部により収集された前記ログ情報に対して、検知するセキュリティインシデントのタイプごとに設けられた分析パターンごとに、分析パターンに対応付けられた前記ログ情報を分析し、セキュリティインシデント発生の可能性を検知するログ情報分析部と、前記ログ情報分析部による前記ログ情報の分析結果を企業単位に集計し、分析レポートを作成する分析レポート作成部と、作成した分析レポートを前記利用者端末に出力する分析レポート出力部と、を備える。
【００１２】
また、本発明に係るセキィリティインシデント検知システムは、その一態様として、企業に設けられた利用者端末と、前記利用者端末と通信ネットワークを介して相互に通信可能なサーバ装置と、を備え、前記利用者端末に発生したセキュリティインシデントを検知するセキュリティインシデント検知システムであって、前記利用者端末は、定期的にセキュリティインシデントに関連するログ情報を収集して送信するログ情報送信部を備え、前記サーバ装置は、前記ログ情報送信部から送信された前記ログ情報を受信するログ情報受信部と、検知するセキュリティインシデントのタイプごとに分析パターンを記憶する分析パターン記憶部と、前記分析パターン記憶部に記憶されたそれぞれの分析パターンごとに、該分析パターンに対応付けられた前記ログ情報を分析し、セキュリティインシデント発生の可能性を検知するログ情報分析部と、前記ログ情報分析部による前記ログ情報の分析結果を企業単位に集計し、分析レポートを作成する分析レポート作成部と、作成した分析レポートを前記利用者端末に出力する分析レポート出力部と、を備え、前記利用者端末は、前記分析レポート出力部により出力された分析レポートを表示する分析レポート表示部を備える。
【００１３】
また、本発明に係るセキィリティインシデント検知方法は、その一態様として、企業に設けられた利用者端末に発生したセキュリティインシデントを検知するセキュリティインシデント検知方法であって、前記利用者端末から定期的にセキュリティインシデントに関連するログ情報を収集するログ情報収集ステップと、前記ログ情報収集ステップにより収集された前記ログ情報に対して、検知するセキュリティインシデントのタイプごとに設けられた分析パターンごとに、分析パターンに対応付けられた前記ログ情報を分析し、セキュリティインシデント発生の可能性を検知するログ情報分析ステップと、前記ログ情報分析ステップによる前記ログ情報の分析結果を企業単位に集計し、分析レポートを作成する分析レポート作成ステップと、作成した分析レポートを前記利用者端末に出力する分析レポート出力ステップと、を備える。
【発明の効果】
【００１４】
本発明によれば、高額なコストをかけず、またエンドポイントに負荷をかけることなく、さらには専門的な人材を必要としない。これにより、中堅企業や中小企業であっても容易に導入することができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の実施の形態に係るセキュリティインシデント検知システムの概略構成図である。
【図２】本発明の実施の形態に係るセキュリティインシデント検知システムにおけるログ分析を説明する概要図である。
【図３】本発明の実施の形態に係るセキュリティインシデント検知サーバの概略構成図である。
【図４】本発明の実施の形態に係る分析レポートの一例を示す図である。
【図５】本発明の実施の形態に係る利用者端末の概略構成図である。
【図６】本発明の実施の形態に係るログ収集処理の流れを示すフローチャートである。
【図７】本発明の実施の形態に係るログ分析処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００１６】
以下、本発明の実施の形態について図面を用いて説明する。
【００１７】
＜セキュリティインシデント検知システムの構成＞
図１は、本発明の実施の形態に係るセキュリティインシデント検知システム１の概略構成図である。セキュリティインシデント検知システム１は、企業のエンドポイント２０に発生したセキュリティインシデントを検知するサービス（以下、Endpoint Incident Scanning Service；以下、ＥＩＳＳという）を提供するコンピュータシステムである。エンドポイント２０とは、通信ネットワークに接続されたサーバ、パーソナルコンピュータ（以下、ＰＣと略す）、スマートフォンなどの携帯情報端末を意味するが、本実施の形態では、エンドポイント２０を、ＥＩＳＳを利用する企業に設置されたＰＣとして説明する。また、エンドポイント２０を利用者端末２０と表記する。
【００１８】
セキュリティインシデント検知システム１は、セキュリティインシデント検知サーバ１０と、企業の１又は複数の利用者端末２０と、セキュリティインシデント検知サーバ１０と利用者端末２０をそれぞれ相互に通信可能とする、例えば、インターネット網、公衆網、ＬＡＮ（Local Area Network）などの構内網、などからなる通信ネットワーク２、とを備えて構成されている。このような構成の下、セキュリティインシデント検知サーバ１０は、企業の利用者端末２０から定期的に送信されるログ情報２１１を分析して、企業単位に分析レポート１１５Ｐを作成し、作成した分析レポート１１５Ｐを企業に送信するようにしている。ＥＩＳＳを利用する企業はこの分析レポート１１５Ｐを見ることにより、企業の利用者端末２０においてセキュリティインシデントが発生しているか否かを把握することができる。
【００１９】
このように、本実施の形態に係るセキュリティインシデント検知システム１では、企業に備えた利用者端末２０側でデータ収集、分析及び結果出力という一連のリアルタイム処理を行うのではなく、利用者端末２０側では対象となるログ情報を定期的に収集して送信するだけであり、セキュリティインシデント検知サーバ１０側でログ情報の分析及び結果出力を行うようにしている。そのため、企業側にコストや処理負荷をかけることなく、また、専門性の高い人材を配置する必要もないという効果を有している。つまり、ＥＩＳＳは、エンドポイントにおいてセキュリティインシデントが発生した後の事後対処を支援するサービスとして、中堅企業や中小企業であっても容易に導入することができるサービスとなっている。
【００２０】
図２は、セキュリティインシデント検知システム１において実行されるログ分析の概要を説明する図である。
【００２１】
本実施の形態に係るセキュリティインシデント検知システム１のログ分析を説明する前に、まず、本実施の形態に係るログ情報について説明する。
【００２２】
本実施の形態に係るログ情報２１１は、プログラム実行履歴２１１Ａと、ユーザ操作履歴２１１Ｂと、システム情報２１１Ｃと、に大別される。プログラム実行履歴２１１Ａは、利用者端末２０で実行されたプログラムの履歴に関する情報である。例えば、プロセスリスト（システムの裏（バックエンド）で実行されるプログラムの一覧情報）などが該当する。ユーザ操作履歴２１１Ｂは、利用者の利用者端末２０に対する操作の履歴に関する情報である。例えば、ＵＳＢ接続デバイスリスト（利用者端末２０に接続されたＵＳＢデバイスの一覧情報）やネットワーク接続履歴リスト（利用者端末２０がどのネットワークに接続されたかの一覧情報）などである。システム情報２１１Ｃは、利用者端末２０のその時点のシステム状況に関する情報である。例えば、プログラムハッシュリスト（特定ディレクトリに存在するプログラムのハッシュ情報一覧）などである。
【００２３】
本実施の形態では、このようなログ情報２１１が利用者端末２０から定期的にセキュリティインシデント検知サーバ１０にアップロードされてくる。
【００２４】
セキュリティインシデント検知サーバ１０は、このようなログ情報２１１のそれぞれを、セキュリティインシデント検知サーバ１０が備える分析パターン１１２、及びマスタデータ１１３を参照して、ログ分析を行う。ログ分析の結果、セキュリティインシデント発生の可能性があると判断された場合には、後述する分析後データ１１４として記録する。
【００２５】
ここで、分析パターン１１２は、セキュリティインシデントを検知するための条件に関するロジックデータである。例えば、プロセスリストをログ分析する場合には、予め用意した不正なプロセスに関する分析パターン１１２を参照して、当該プロセスリストのプロセスが不正であるか否かを検知する。なお、本実施の形態の分析パターン１１２は、データとして保持されるようにしているが、ロジックとしてプログラムに組み込まれるようにしてもよい。
【００２６】
また、マスタデータ１１３は、企業ごとのセキュリティルールに関するデータや公開されている不正プログラムや不正ファイルに関するデータである。例えば、企業ごとのセキュリティのルールに関するデータとしては、ＵＳＢ利用可否やＷｉｆｉ利用可否に関するデータなどが挙げられる。例えば、上述のＵＳＢ接続デバイスリストやネットワーク接続履歴リストのログ分析においては、これらの企業ごとのマスタデータ１１３も参照して行われる。
【００２７】
図２においては、例えば、プログラム実行履歴２１１ＡのＡ１というログ情報は分析パターン１を用いてログ分析をし、ユーザ操作履歴２１１ＢのＢ１というログ情報は分析パターン３及びマスタデータ１を用いてログ分析をする。このようにログ情報２１１と分析パターン１１２及びマスタデータ１１３との関係は１対１の対応関係ではなく、Ｎ対Ｎの対応関係となっている。実際には、それぞれの分析パターンに１１２に合わせて、対応付けられたログ情報２１１をログ分析する。その際、マスタデータ１１３が必要な場合には、マスタデータ１１３も参照してログ分析を行う。
【００２８】
図３は、セキュリティインシデント検知サーバ１０の機能構成図である。セキュリティインシデント検知サーバ１０は、セキュリティインシデント検知システム１の中核となるサーバ装置である。
【００２９】
セキュリティインシデント検知サーバ１０は、図３に示すように、例えば、ハードディスク等から構成され、セキュリティインシデント検知サーバ１０が管理するデータを記憶する記憶部１１と、例えば、ＣＰＵ及びメモリ等から構成され、記憶部１１の制御や、各種データの転送、種々の演算、データの一時的な格納等を行うことにより、本実施の形態の後述する各種処理（ログ収集処理、ログ分析処理）を実行する制御部１２と、通信ネットワーク２を介して利用者端末２０とデータの送受信を行う通信部１３と、を備えている。
【００３０】
記憶部１１は、詳しくは、ログ収集制御データ１１１、分析パターン１１２、マスタデータ１１３、分析後データ１１４、及びレポートデータ１１５を記憶する。
【００３１】
ログ収集制御データ１１１は、ログ取集を制御するマスタデータであり、企業単位に設定される。例えば、ログ収集のタイミング、ログ収集の対象となるファイル（設定ファイルともいう）などに関するデータが設定されている。
【００３２】
分析パターン１１２及びマスタデータ１１３は、ログ分析において参照されるデータであり、図２で説明した通りである。
【００３３】
分析後データ１１４は、セキュリティインシデント検知サーバ１０のログ分析によりセキュリティインシデント発生の疑いありと判断されたデータである。分析後データ１１４は、ログ分析単位で作成される。
【００３４】
レポートデータ１１５は、企業に送信される分析レポート１１５Ｐのデータであり、本実施の形態では、企業の利用者（管理者）は、メール又はＷｅｂ上の管理画面サイトで分析レポート１１５Ｐを見ることが可能となっている。
【００３５】
図４に分析レポート１１５Ｐの一例を示す。図４（ａ）は、企業全体における分析結果概要を示す図であり、分析対象期間、契約内容、分析端末情報、及び分析結果概要を示している。図７（ａ）に示す分析レポートで１１５Ｐは、１３台の利用者端末２０のうち１台に情報詐取のおそれがある旨が報告されている。図４（ｂ）は、分析結果詳細を示す図であり、利用者端末２０ごとの検知内容を示している。検知内容としては、図４（ｂ）に示すように、利用者端末２０にセキュリティインシデントのおそれがない場合には「情報搾取の痕跡はみられませんでした」、利用者端末２０にセキュリティインシデントのおそれがある場合には「情報搾取の恐れがあります」などのメッセージを出力する。
【００３６】
企業の利用者（管理者）は、この分析レポート１１５Ｐの結果に基づいて、以後対策を講ずる。例えば、セキュリティインシデントのおそれがある利用者端末２０に対してウィルス対策ソフトを使って駆除したり、ＥＩＳＳを提供するサービス事業者に連絡をし、以後の具体的な解決方法を求めたりする。本実施の形態のセキュリティインシデント検知システム１は、セキュリティインシデントの検知に特化しており、その解決まで対応しているシステムではないからである。
【００３７】
制御部１２は、主たる機能に細分化すると、ログ収集制御部１２１、ログ分析部１２２、及び分析レシート作成部１２３に分類される。
【００３８】
ログ収集制御部１２１は、後述するログ収集処理におけるセキュリティインシデント検知サーバ１０側の処理を実行する。例えば、利用者端末２０からログ収集の問い合わせがあった場合には、ログ収集制御データ１１１を参照して今がログ収集のタイミングであるか否かを伝え、また、ログ収集する対象のファイルを示す設定ファイルの取得要求があった場合には、ログ収集設定データ１１１を参照して設定ファイルを送信する。
【００３９】
ログ分析部１２２は、後述するログ分析処理を実行し、利用者端末２０から送信されたログ情報を解析し、分析後データ１１４を記憶部１１に登録する。
【００４０】
なお、分析後データ１１４は、セキュリティインシデント発生の疑いありと判断されたデータであり、誤検知されたデータも含まれるため、このようなデータは分析後データ１１４から取り除く。例えば、システム情報２１１Ｃの一例として挙げた、プログラムハッシュリスト（特定ディレクトリに存在するプログラムのハッシュ情報一覧）に対しては、ｔｅｍｐフォルダ内にあるＥＸＥファイルの存在を検知する分析パターン１１２を用いてログ分析を行うが、ｔｅｍｐフォルダ内にあるＥＸＥファイルのすべてがマルウェアの疑いありというわけではないので、セキィリティインシデントに関連しないファイルは除外する。
【００４１】
分析レシート作成部１２３は、ログ分析部１２２が作成した分析後データ１１４に基づいて企業ごとのレポートデータ１１５を作成する。また、作成したレポートデータ１１５に基づく分析レポート１１５Ｐを企業の管理者に送信する。
【００４２】
なお、セキュリティインシデント検知サーバ１０は、上述したようなアプリケーションサーバ、データベースサーバ、及びＷｅｂ（World  Wide  Web）サーバとしての機能を有しており、利用者端末２０とアプリケーションやＷｅｂを活用した情報授受ができるようになっている。さらに、セキュリティインシデント検知サーバ１０は、物理的に一つからなる装置の他、複数の装置がネットワーク接続されたシステムから構成されてもよく、複数の装置で構成された場合には、同一の場所にすべてが設置されていてもよいし、複数の場所に分散して設置されていてもよい。
【００４３】
図５は、利用者端末２０の機能構成図である。利用者端末２０は、図５に示すように、例えば、ハードディスク等から構成され、プログラムや各種データを記憶する記憶部２１と、例えば、キーボードやマウスなどで構成される入力部２２、例えば、液晶ディスプレイやスピーカなどで構成される出力部２３と、例えば、ＣＰＵ及びメモリ等から構成され、記憶部２１の制御や、各種データの転送、種々の演算、データの一時的な格納等を行うことにより、本実施の形態の後述するログ取集処理を実行する制御部２４と、通信ネットワーク２を介してセキュリティインシデント検知サーバ１０とデータの送受信を行う通信部２５と、を具備する構成である。
【００４４】
記憶部２１は、収集対象であるログ情報２１１、ログ取集プログラム２１２などを記憶している。ログ取集プログラム２１２は、ＥＩＳＳを利用する企業の各利用者端末２０にインストールされるアプリケーションプログラムである。利用者端末２０は、このログ取集プログラム２１２に基づいてセキュリティインシデント検知サーバ１０にアクセスすることにより、ログ収集に関する情報、例えば、ログ収集のタイミングやログ収集の対象ファイルなどの情報を取得する。
【００４５】
制御部２４は、セキュリティインシデント検知システム１の機能として、利用者端末２０のログ情報を定期的に収集するログ収集部２４１を有する。なお、管理者の利用者端末２０の制御部２４には、ログ収集部２４１のほか、セキュリティインシデント検知サーバ１０が作成した分析レポートを閲覧するレポート閲覧部２４２（図示せず）を有する。このレポート閲覧部２４２の機能により、企業の管理者は、利用者端末２０において分析レポート１１５Ｐを閲覧することが可能である。
【００４６】
なお、本実施の形態に係るセキュリティインシデント検知システム１の各種処理（ログ収集処理、ログ分析処理）を実行するプログラムは、上述したメモリなどの主記憶装置やハードディスクなどの補助記憶装置に格納されているものである。そして、このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ（Compact  Disc）、ＤＶＤ（Digital  Versatile  Disc）、ＢＤ（Blu-ray  Disc（登録商標））などのコンピュータが読み取り可能な記録媒体に記録することも、通信ネットワークを介して配信することも可能である。
【００４７】
＜セキュリティインシデント検知システムの動作＞
次に、図６及び図７を用いて、本実施の形態に係るセキュリティインシデント検知システム１の動作について説明する。
【００４８】
まず、図６を用いて、本実施の形態に係るセキュリティインシデント検知システム１のログ収集処理について説明する。図６は、ログ収集処理の流れを示すフローチャートである。
【００４９】
なお、図６に示したログ収集処理のうち、ステップＳ２０〜ステップＳ６０の利用者端末２０側の処理は、ログ収集プログラム２１２に基づくログ収集部２４１の機能による。一方、図６に示したログ収集処理のうち、セキュリティインシデント検知サーバ１０側の処理は、ログ収集制御部１２１の機能による。
【００５０】
企業の利用者は利用者端末２０を起動すると（ステップＳ１０）、利用者端末２０は、ログ収集問い合わせをセキュリティインシデント検知サーバ１０に送信する（ステップＳ２０）。
【００５１】
セキュリティインシデント検知サーバ１０は、ログ収集問い合わせを受信すると、問い合わせをした企業のログ収集制御データ１１１を参照して、ログ収集タイミングか否かの回答を利用者端末２０に送信する。
【００５２】
利用者端末２０は、ログ収集タイミングに関する回答を受信すると、受信した回答に基づいてログ収集タイミングであるか否かを判断する（ステップＳ３０）。
【００５３】
利用者端末２０は、ログ収集タイミングであると判断した場合には（ステップＳ３０：ＹＥＳ）、設定ファイルの取得要求をセキュリティインシデント検知サーバ１０に送信する。セキュリティインシデント検知サーバ１０は、設定ファイルの取得要求を受信すると、問い合わせをした企業の設定ファイルを利用者端末２０に送信する。これにより、利用者端末２０は、セキュリティインシデント検知サーバ１０から設定ファイルを取得する（ステップＳ４０）。設定ファイルには、ログ収集の対象となるファイルが記載されている。
【００５４】
次いで、利用者端末２０は、取得した設定ファイルに基づいて、利用者端末２０内のログ情報２１１を収集し（ステップＳ５０）、収集したログ情報２１１をデータ圧縮してセキュリティインシデント検知サーバ１０に送信する（ステップＳ６０）。
【００５５】
この結果、セキュリティインシデント検知サーバ１０は、利用者端末２０からデータ圧縮されたログ情報２１１を収集する。
【００５６】
一方、利用者端末２０は、ログ収集タイミングではないと判断した場合には（ステップＳ３０：ＮＯ）、ログ収集処理を終了する。
【００５７】
なお、図６に示したログ収集処理は、企業の一の利用者端末２０について説明したが、セキュリティインシデント検知サーバ１０は、当該企業の対象となる全利用者端末２０からログ情報２１１を収集する。
【００５８】
次に、図７を用いて、本実施の形態に係るセキュリティインシデント検知システム１のログ分析処理について説明する。図７は、ログ分析処理の流れを示すフローチャートである。ログ分析処理は、ログ収集処理が実行され、利用者端末２０からログ情報を受信したことを契機に実行される。
【００５９】
セキュリティインシデント検知サーバ１０は、まず、受信したログ情報２１１を分解する（ステップＳ１１０）。これは、具体的には、データ圧縮されたログ情報２１１をデータ解凍にすることを意味する。
【００６０】
次に、セキュリティインシデント検知サーバ１０は、ログ情報２１１を分析する（ステップＳ１２０）。このログ分析は、上述したように、分析パターン１１２及びマスタデータ１１３を参照して実行される。すなわち、分析パターン１１２ごとにマスタデータ１１３を用いて対象となるログ情報２１１を分析し、ごとにセキュリティインシデントの発生があるのか否かを判定する（図２参照）。
【００６１】
次に、セキュリティインシデント検知サーバ１０は、ログ分析の結果、セキュリティインシデント発生の疑いがあるログ情報２１１を分析後データ１１４として作成し、作成した分析後データ１１４を記憶部１１に記憶する（ステップＳ１３０）。なお、セキュリティインシデント検知サーバ１０は、記憶部１１に記憶された分析後データ１１４から誤検知されたデータを取り除く。
【００６２】
次に、セキュリティインシデント検知サーバ１０は、分析後データ１１４を企業単位に集計して分析レポートを作成する（ステップＳ１４０）。すなわち、利用者端末２０ごとに実行されたステップＳ１１０〜Ｓ１３０の処理を企業単位に集計したレポートデータ１１５を作成する。
【００６３】
次に、セキュリティインシデント検知サーバ１０は、作成したレポートデータ１１５を記憶部１１に記憶させるとともにレポートデータ１１５に基づく分析レポート１１５Ｐを企業の管理者に送信する（ステップＳ１５０）。具体的には、分析レポート１１５Ｐは、企業の管理者に送信される電子メールにファイルとして添付される。勿論、これ以外にも、管理者は、管理画面サイトから分析レポート１１５Ｐを閲覧することができる。
【００６４】
以上、本実施の形態のセキュリティインシデント検知システム１は、企業に設けられた利用者端末２０から定期的にセキュリティインシデントに関連するログ情報２１１を収集し、検知するセキュリティインシデントのタイプごとに設けられた分析パターン１１２ごとに、分析パターン１１２に対応付けられたログ情報２１１を分析し、セキュリティインシデント発生の可能性を検知するとともに、このログ情報２１１の分析を企業単位に集計した分析レポート１１５Ｐを作成し、利用者端末２０に出力する構成を採用する。
【００６５】
このような構成を採用することにより、本実施の形態のセキュリティインシデント検知システム１は、高額なコストをかけず、またエンドポイントに負荷をかけることなく、さらには専門的な人材を必要としないという顕著な効果を有する。これにより、中堅企業や中小企業であっても容易に導入することができる。
【００６６】
より詳しくは、セキュリティインシデント検知サーバ１０は、定期的にログ情報を収集し、ログ分析するので、必要なセキュリティ対策処理を軽減することができ、高額なコストを必要としない。すなわち、ＥＩＳＳを利用する企業は、セキュリティインシデントが発生した後の事後対処処理を少ないコストで実行することができる。
【００６７】
また、例えば、ユーザ操作履歴２１１Ｂなどに基づいてデータ流出や破壊などにつながるデータの動き、操作自体の動きなど行動に着目して監視をすることはできるので、人為的な内部犯行も早期に発見することができる。
【００６８】
さらには、セキュリティインシデント検知サーバ１０は、プログラムリスト（プログラム実行履歴２１１Ａの一例）など揮発性データを定期的に収集し保持することができる。その結果、利用者端末２０のデータ記録の証拠性を明らかにすることができる。
【００６９】
以上、本発明の実施の形態について説明してきたが、本発明は、上述した実施の形態に限られるものではなく、本発明の要旨を逸脱しない範囲において、本発明の実施の形態に対して種々の変形や変更を施すことができ、そのような変形や変更を伴うものもまた、本発明の技術的範囲に含まれるものである。また、発明の実施の形態に記載された、作用及び効果は、本発明から生じる最も好適な作用及び効果を列挙したに過ぎず、本発明による作用及び効果は、本発明の実施の形態に記載されたものに限定されるものではない。
【符号の説明】
【００７０】
１  セキュリティインシデント検知システム
２  通信ネットワーク
１０  セキュリティインシデント検知サーバ
１１，２１  記憶部
１２，２４  制御部
１３，２５  通信部
２０  利用者端末（エンドポイント）
２２  入力部
２３  出力部
１１１  ログ収集制御データ
１１２  分析パターン
１１３  マスタデータ
１１４  分析後データ
１１５  レポートデータ
１１５Ｐ  分析レポート
１２１  ログ収集制御部
１２２  ログ分析部
１２３  分析レポート作成部
２１１  ログ情報
２１２  ログ収集プログラム
２４１  ログ収集部
【図１】
2020135002.tif 000003
【図２】
2020135002.tif 000004
【図３】
2020135002.tif 000005
【図４】
2020135002.tif 000006
【図５】
2020135002.tif 000007
【図６】
2020135002.tif 000008
【図７】
2020135002.tif 000009