(57)【要約】【課題】不正アクセスを検知することができるログ解析システム、解析装置、解析方法、および解析用プログラムが記憶された記憶媒体を提供する。【解決手段】クライアント端末２００は、外部の通信機器と通信を行う。中継機器１００は、クライアント端末２００の要求に応じて、外部の通信機器とクライアント端末２００との通信を中継する。解析装置３００は、クライアント端末２００による通信内容を解析する。そして、クライアント端末２００は、外部の通信機器との通信を司ったプログラムを示すプログラム情報を記録する。中継機器１００は、クライアント端末２００によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログを記録する。また、解析装置３００は、プログラム情報と中継ログとを照合する。【選択図】      図１
2020119596.tif 000002
【特許請求の範囲】
【請求項１】
外部の通信機器と通信を行うクライアント端末と、
前記クライアント端末の要求に応じて、前記外部の通信機器と前記クライアント端末との通信を中継する中継機器と、
前記クライアント端末による通信内容を解析する解析装置とを備え、
前記クライアント端末は、前記外部の通信機器との通信を司ったプログラムを示すプログラム情報を記録し、
前記中継機器は、前記クライアント端末によってなされた、前記外部の通信機器との通信の要求をそれぞれ示す中継ログを記録し、
前記解析装置は、前記プログラム情報と前記中継ログとを照合する
ことを特徴とするログ解析システム。
【請求項２】
前記解析装置は、
前記プログラム情報と前記中継ログとを照合して、前記中継ログに記録されている要求に応じた通信を司ったプログラムを特定する
請求項１に記載のログ解析システム。
【請求項３】
前記クライアント端末は、前記プログラム情報と、前記外部の通信機器との通信における当該クライアント側のＩＰアドレスおよびポート番号を含む接続識別子とを含む接続ログを記録する
請求項１または請求項２に記載のログ解析システム。
【請求項４】
前記クライアント端末には、前記記録の対象外とするプログラムが登録されたリストが設定されている
請求項１から請求項３のうちいずれかに記載のログ解析システム。
【請求項５】
前記クライアント端末には、前記記録された内容のうち、前記解析装置による照合の対象外とするプログラムが登録されたリストが設定されている
請求項１から請求項３のうちいずれかに記載のログ解析システム。
【請求項６】
外部の通信機器と通信を行うクライアント端末が記録した、前記外部の通信機器との通信を司ったプログラムを示すプログラム情報と、前記クライアント端末の要求に応じて、前記外部の通信機器と前記クライアント端末との通信を中継する中継機器が記録した、前記クライアント端末によってなされた、前記外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合する照合手段を備えた
ことを特徴とする解析装置。
【請求項７】
外部の通信機器と通信を行うクライアント端末が記録した、前記外部の通信機器との通信を司ったプログラムを示すプログラム情報と、前記クライアント端末の要求に応じて、前記外部の通信機器と前記クライアント端末との通信を中継する中継機器が記録した、前記クライアント端末によってなされた、前記外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合する
ことを特徴とする解析方法。
【請求項８】
コンピュータに、
外部の通信機器と通信を行うクライアント端末が記録した、前記外部の通信機器との通信を司ったプログラムを示すプログラム情報と、前記クライアント端末の要求に応じて、前記外部の通信機器と前記クライアント端末との通信を中継する中継機器が記録した、前記クライアント端末によってなされた、前記外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合させる
ための解析用プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信のログを解析するログ解析システム、解析装置、解析方法、および解析用プログラムが記憶された記憶媒体に関する。
【背景技術】
【０００２】
企業等の組織内の通信ネットワークにおいて、当該通信ネットワークに接続された機器がコンピュータウィルスに感染したり、機器から情報が漏洩したりするセキュリティインシデントが発生する場合がある。そのような場合には、当該機器に記録されたログなどの証跡を解析して、インシデントの原因究明や影響範囲の把握などを行う必要がある。
【０００３】
特に、当該通信ネットワークの外部から不正アクセスされたり、外部へ情報が漏洩したりしたようなインシデントでは、当該通信ネットワークに接続されたクライアント端末と通信ネットワーク外部の通信ネットワークに接続された機器（以下、単に外部ネットワークともいう）との間で通信が行われる。したがって、通信ネットワークに接続された機器と外部ネットワークとの間の通信のログはインシデントの調査において非常に重要である。
【０００４】
当該通信ネットワークに接続された機器と外部との通信のログには、例えば、プロキシサーバのアクセスログがある。ファイアウォールなどによって外部への通信を制限されている企業等における通信ネットワークでは、プロキシサーバを介したＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）通信は、外部との数少ない通信経路の１つである。
【０００５】
特許文献１には、通信端末が記録したアクセスログと、当該通信端末のユーザによる操作内容を示す端末操作ログと、プロキシサーバが記録したプロキシログとに基づいて、不正アクセスを検知する方法が記載されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１３−１９１１３３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかし、プロキシサーバのアクセスログから得られる情報は限定的である。プロキシサーバを介して外部とのＨＴＴＰ通信が可能なことから、マルウェアの中には、マルウェアに対して攻撃命令を出すＣ＆Ｃ（Ｃｏｍｍａｎｄ  ａｎｄ  Ｃｏｎｔｒｏｌ）サーバとの通信に、専用のプロトコルを用いずにＨＴＴＰプロトコルを用いるものも多い。
【０００８】
そのような通信では、プロキシサーバにおいて、アクセス時刻や、クライアント端末のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス、接続先サーバ名などがアクセスログとして記録される。しかし、これらの情報だけからでは、アクセスログに記録されたアクセスがウェブブラウザなどの安全なプログラムによる適切なアクセスなのか、またはマルウェアによる不正アクセスなのかを判定することは困難である。
【０００９】
一般に、プロキシサーバにおけるアクセスログは、その大半がウェブブラウザによるものである。そうすると、特許文献１に記載されている方法のように、アクセスログに含まれた、量は多いものの限られた種類の情報に基づいて、ウェブブラウザによる適切な通信と、ウェブブラウザ以外のマルウェア等のソフトウェアによる不正アクセスの通信とを識別することは困難である。よって、不正アクセスを検知することは困難である。
【００１０】
そこで、本発明は、不正アクセスを検知することができるログ解析システム、解析装置、解析方法、および解析用プログラムが記憶された記憶媒体を提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明によるログ解析システムは、外部の通信機器と通信を行うクライアント端末と、クライアント端末の要求に応じて、外部の通信機器とクライアント端末との通信を中継する中継機器と、クライアント端末による通信内容を解析する解析装置とを備え、クライアント端末は、外部の通信機器との通信を司ったプログラムを示すプログラム情報を記録し、中継機器は、クライアント端末によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログを記録し、解析装置は、プログラム情報と中継ログとを照合することを特徴とする。
【００１２】
本発明による解析装置は、外部の通信機器と通信を行うクライアント端末が記録した、外部の通信機器との通信を司ったプログラムを示すプログラム情報と、クライアント端末の要求に応じて、外部の通信機器とクライアント端末との通信を中継する中継機器が記録した、クライアント端末によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合する照合手段を備えたことを特徴とする。
【００１３】
本発明による解析方法は、外部の通信機器と通信を行うクライアント端末が記録した、外部の通信機器との通信を司ったプログラムを示すプログラム情報と、クライアント端末の要求に応じて、外部の通信機器とクライアント端末との通信を中継する中継機器が記録した、クライアント端末によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合することを特徴とする。
【００１４】
本発明による解析用プログラムが記憶された記憶媒体は、コンピュータに、外部の通信機器と通信を行うクライアント端末が記録した、外部の通信機器との通信を司ったプログラムを示すプログラム情報と、クライアント端末の要求に応じて、外部の通信機器とクライアント端末との通信を中継する中継機器が記録した、クライアント端末によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合させることを特徴とする解析用プログラムが記憶されている。
【発明の効果】
【００１５】
本発明によれば、不正アクセスを検知することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の第１の実施形態の通信システムの構成例を示すブロック図である。
【図２】本発明の第１の実施形態における中継サーバの構成例を示すブロック図である。
【図３】中継ログ記憶部に記録される中継ログの例を示す説明図である。
【図４】本発明の第１の実施形態におけるクライアント端末の構成例を示すブロック図である。
【図５】端末ログ記憶部に記録される端末ログの例を示す説明図である。
【図６】本発明の第１の実施形態における解析装置の構成例を示すブロック図である。
【図７】照合結果記録部に記録された照合結果を示す照合結果情報の例を示す説明図である。
【図８】本発明の第１の実施形態の通信システムにおいて、中継サーバとクライアント端末とがログを記録するログ記録処理を示すシーケンス図である。
【図９】本発明の第１の実施形態の通信システムにおいて、解析装置が、記録されたログを取得して照合を行う照合処理を示すシーケンス図である。
【図１０】本発明の第２の実施形態の通信システムの構成例を示すブロック図である。
【図１１】本発明の第２の実施形態におけるクライアント端末の構成例を示すブロック図である。
【図１２】ホワイトリスト記憶部に記録されているホワイトリストの例を示す説明図である。
【図１３】更新処理が行われた場合の端末ログの例を示す説明図である。
【図１４】図１３に示す端末ログと、図３に示す中継ログとの照合結果を示す説明図である。
【図１５】本発明の第３の実施形態のログ解析システムの構成例を示すブロック図である。
【図１６】本発明の第４の実施形態の解析装置の構成例を示すブロック図である。
【発明を実施するための形態】
【００１７】
実施形態１．
本発明の第１の実施形態の通信システムについて、図面を参照して説明する。図１は、本発明の第１の実施形態の通信システムの構成例を示すブロック図である。図１に示すように、本発明の第１の実施形態の通信システムは、中継サーバ１０、クライアント端末２０、および解析装置３０を含む。そして、中継サーバ１０、クライアント端末２０、および解析装置３０は、通信回線や、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）等の通信ネットワークを介して互いに接続されている。また、中継サーバ１０は、インターネット等の通信ネットワークである外部ネットワーク４０に接続されている。
【００１８】
クライアント端末２０は、外部ネットワーク４０に接続された通信端末（図示せず）と、中継サーバ１０を介して通信を行う。
【００１９】
中継サーバ１０は、クライアント端末２０の要求に応じて、クライアント端末２０と外部ネットワーク４０に接続された通信端末（図示せず）との間の通信を中継する。
【００２０】
図２は、本発明の第１の実施形態における中継サーバ１０の構成例を示すブロック図である。図２に示すように、本発明の第１の実施形態における中継サーバ１０は、中継ログ記録部１０１と、中継ログ記憶部１０２とを含む。なお、中継サーバ１０は、例えば、ＨＴＴＰ通信を中継するプロキシサーバであり、通信の中継機能を有する。
【００２１】
中継ログ記録部１０１は、クライアント端末２０からの通信の中継の要求（中継要求）毎に、中継ログを生成し、生成した中継ログを中継ログ記憶部１０２に記録する。中継ログとは、クライアント端末２０による通信の履歴を示す情報であり、少なくとも要求時刻情報、接続先サーバ情報、通信の中継に利用したクライアント端末２０と中継サーバ１０との接続を示す接続識別子を記録する。なお、要求時刻情報は、例えば、クライアント端末２０から通信の中継（以下、単に中継ともいう）を要求された時刻を示す情報である。接続先サーバ情報は、例えば、クライアント端末２０による通信の相手先を示す情報である。接続識別子は、例えば、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）コネクションにおけるクライアント端末２０のＩＰアドレスとポート番号との組である。また、複数の中継サーバ１０が配置されている場合には、ＴＣＰコネクションにおける中継サーバ１０のＩＰアドレスおよびポート番号も中継ログとして中継ログ記憶部１０２に記録してもよい。
【００２２】
中継ログ記憶部１０２には、中継ログ記録部１０１によって、中継要求毎に生成された中継ログが記録される。より具体的には、中継ログ記憶部１０２に記録されている中継ログは、中継ログ記録部１０１によって、中継要求毎に更新される。図３は、中継ログ記憶部１０２に記録される中継ログの例を示す説明図である。
【００２３】
図３に示すように、中継ログによって、中継を要求された時刻である要求時刻、クライアント端末２０のＩＰアドレスとポート番号とからなる接続識別子、および接続先サーバが示される。具体的には、図３に示すように、中継ログによって、要求時刻「０９：００：１２」に、ＩＰアドレスが「１０．１．０．１」であるクライアント端末２０が、「２００１０」番ポートを利用して中継サーバ１０に接続し、ＦＱＤＮ（Ｆｕｌｌｙ  Ｑｕａｌｉｆｉｅｄ  Ｄｏｍａｉｎ  Ｎａｍｅ）が「ｍａｌｉｃｉｏｕｓ．ｅｘａｍｐｌｅ．ｃｏｍ」で識別されるサーバの「８０」番ポートとの通信を要求して、当該要求に応じた通信が行われたことが示されている。
【００２４】
次に、クライアント端末２０について説明する。図４は、本発明の第１の実施形態におけるクライアント端末２０の構成例を示すブロック図である。図４に示すように、本発明の第１の実施形態におけるクライアント端末２０は、通信検知部２０１、プログラム特定部２０２、および端末ログ記憶部２０３を含む。なお、クライアント端末２０は、前述したように、中継サーバ１０に中継要求を行い、中継サーバ１０を介して、外部ネットワーク４０に接続されたサーバ端末と通信する機能を有する。
【００２５】
通信検知部２０１は、クライアント端末２０と中継サーバ１０との接続を検知する。具体的には、通信検知部２０１は、例えば、通信の開始および終了のいずれか、または両方を検知する。
【００２６】
プログラム特定部２０２は、通信検知部２０１が検知した接続について、その接続を司ったプログラムを特定する。さらに、プログラム特定部２０２は、クライアント端末２０と中継サーバ１０との接続毎に生成される接続に関する情報である端末ログを端末ログ記憶部２０３に記録する。端末ログ記憶部２０３には、端末ログが記録される。より具体的には、端末ログ記憶部２０３に記録されている端末ログは、プログラム特定部２０２によって、中継サーバ１０との接続毎に更新される。
【００２７】
端末ログには、少なくとも接続時刻情報と、接続識別子と、接続を司るプログラムを示すプログラム情報とが含まれる。接続時刻情報は、中継サーバ１０とクライアント端末２０との間の接続（通信）の開始時刻、終了時刻、および開始時刻と終了時刻との組のいずれかを示す情報である。プログラム情報は、接続を司るプログラムの実行ファイルの名前、パスを示す情報、およびハッシュ値、またはそれらの組み合わせなど示す情報である。
【００２８】
図５は、端末ログ記憶部２０３に記録される端末ログの例を示す説明図である。図５に示すように、端末ログによって、接続時刻情報として接続開始時刻、クライアント端末２０のＩＰアドレスとポート番号とからなる接続識別子、およびプログラム情報として実行ファイルのパスの情報が示される。具体的には、図５に示すように、端末ログによって、時刻「０９：００：１２」に、クライアント端末２０においてパスが「／Ｔｅｍｐ／ｍａｌｗａｒｅ．ｅｘｅ」で特定されるプログラムが、ＩＰアドレス「１０．１．０．１」を利用し「２００１０」番ポートで、中継サーバ１０との接続を開始したことを示される。
【００２９】
なお、端末ログと中継ログとを単にログと総称することがある。
【００３０】
次に、解析装置３０について説明する。図６は、本発明の第１の実施形態における解析装置３０の構成例を示すブロック図である。図６に示すように、本発明の第１の実施形態における解析装置３０は、ログ取得部３０１、ログ照合部３０２、および照合結果記憶部３０３を含む。なお、解析装置３０は、中継サーバ１０の中継ログ記憶部１０２に記録されている中継ログと、クライアント端末２０の端末ログ記憶部２０３に記録されている端末ログとを照合する。そして、解析装置３０は、照合結果に基づいて、中継サーバ１０が中継した通信において通信（接続）を司ったプログラムを推定する。
【００３１】
ログ取得部３０１は、中継サーバ１０の中継ログ記憶部１０２に記録されている中継ログと、クライアント端末２０の端末ログ記憶部２０３に記録されている端末ログとを取得する。
【００３２】
ログ照合部３０２は、ログ取得部３０１が取得した中継ログと端末ログとを照合する。具体的には、ログ照合部３０２は、中継ログに含まれている要求時刻情報および接続識別子と、端末ログに含まれている接続時刻情報および接続識別子とを照合する照合処理を行って、一連の通信による情報を互いに対応付ける。そして、ログ照合部３０２は、照合結果を示す照合結果情報を照合結果記憶部３０３に記録する。照合結果情報によって、少なくとも、時刻情報、接続識別子、プログラム情報、および接続先が示される。
【００３３】
照合結果記憶部３０３には、ログ照合部３０２における照合結果を示す照合結果情報が記録される。照合結果情報は、少なくとも、時刻情報、クライアント識別子、プログラム情報、および接続先を示す情報を含む。
【００３４】
図７は、照合結果記憶部３０３に記録された照合結果情報の例を示す説明図である。図７に示す例では、照合結果記憶部３０３に、時刻「０９：００：１２」に、クライアント端末２０においてパスが「／Ｔｅｍｐ／ｍａｌｗａｒｅ．ｅｘｅ」で特定されるプログラムが、ＩＰアドレス「１０．１．０．１」を利用し「２００１０」番ポートで、中継サーバ１０を介して「ｍａｌｉｃｉｏｕｓ．ｅｘａｍｐｌｅ．ｃｏｍ」で識別されるサーバの「８０」番ポートと通信したことを示す照合結果情報が記録されることが示されている。
【００３５】
次に、本発明の第１の実施形態の通信システムの動作について説明する。本発明の第１の実施形態の通信システムの動作で実行される処理は、中継サーバ１０とクライアント端末２０とがログを記録するログ記録処理と、解析装置３０が、記録されたログを取得して照合を行う照合処理とを含む。
【００３６】
図８は、本発明の第１の実施形態の通信システムにおいて、中継サーバ１０とクライアント端末２０とがログを記録するログ記録処理を示すシーケンス図である。
【００３７】
図８に示すように、中継サーバ１０は、クライアント端末２０が外部ネットワーク４０に接続された通信端末と通信を行う場合に、中継を行う（ステップＳ１０１）。そして、中継サーバ１０の中継ログ記録部１０１は、クライアント端末２０が外部ネットワーク４０に接続された通信端末と行った通信に応じた中継ログを生成して、中継ログ記憶部１０２に記録する（ステップＳ１０２）。ステップＳ１０２の処理で、中継ログとして、少なくとも要求時刻情報および接続識別子が中継ログ記憶部１０２に記録される。
【００３８】
クライアント端末２０において、通信検知部２０１が中継サーバ１０との接続を検知すると（ステップＳ１０３）、プログラム特定部２０２が、通信を司ったプログラムを特定する（ステップＳ１０４）。そして、プログラム特定部２０２は、ステップＳ１０３の処理で通信検知部２０１が検知した接続の接続時刻情報、接続識別子、およびプログラム情報を含む端末ログを端末ログ記憶部２０３に記録する（ステップＳ１０５）。
【００３９】
クライアント端末２０には、クライアント端末２０にインストールされているＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）が備えるクライアント型ファイアウォール機能を実装するためのＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｉｎｔｅｒｆａｃｅ）を利用して、通信検知部２０１の通信検知機能を実装できる。その理由は、クライアント型ファイアウォールは、通信毎にその可否を判断するため通信の開始を検知する必要があるためである。また、クライアント型ファイアウォール向けのＡＰＩは、プログラム毎にルールを設定できるようにするために、検知した接続がどのプログラムによるものかを参照できるように構成されている。そのようなＡＰＩを活用することで、クライアント端末２０に、プログラム特定部２０２のプログラム特定機能を実装可能である。
【００４０】
図９は、本発明の第１の実施形態の通信システムにおいて、解析装置３０が、記録されたログを取得して照合を行う照合処理を示すシーケンス図である。
【００４１】
まず、解析装置３０のログ取得部３０１が、中継ログ記憶部１０２から中継ログを取得し（ステップＳ２０１）、端末ログ記憶部２０３から端末ログを取得する（ステップＳ２０２）。ログ取得部３０１は、ステップＳ２０１，２０２の処理で、全部のログを取得してもよいし、時刻の範囲などの条件を指定し、指定された条件に合致するログのみを取得してもよい。そして、ログ照合部３０２が、ログ取得部３０１がステップＳ２０１の処理で取得した中継ログとステップＳ２０２の処理で取得した端末ログとの照合処理を行う（ステップＳ２０３）。ログ照合部３０２は、ステップＳ２０３の処理における照合結果を照合結果記憶部３０３に記録する（ステップＳ２０４）。
【００４２】
ログ照合部３０２がステップＳ２０３の処理で行う中継ログと端末ログとの照合処理について説明する。まず、ログ照合部３０２は、中継ログにおける接続識別子と合致する接続識別子の端末ログの行を検索して抽出する。したがって、中継ログおよび端末ログについて、一連の通信に対応する行がそれぞれ１つずつ抽出されるはずである。しかし、中継ログにおける１つの行に対して端末ログの複数の行が抽出される可能性がある。例えば、クライアント端末２０において、ポートが再利用された場合にそのような事象が生じる。そのような事象の発生を抑止するために、ログ照合部３０２は、抽出された１つ以上の端末ログの行について、時刻情報に基づいたフィルタリングを行う。
【００４３】
具体的には、ログ照合部３０２は、要求時刻情報と接続時刻情報とに基づいて、双方のログが一連の通信によるものである可能性が高いもののみを抽出する。なお、中継サーバ１０に設定されている時刻とクライアント端末２０に設定されている時刻との間に、差異がある可能性がある。そこで、ログ照合部３０２は、要求時刻情報によって示されている時刻と接続時刻情報によって示されている時刻とが一致するもののみを抽出するのではなく、要求時刻情報によって示されている時刻と接続時刻情報によって示されている時刻との差異が所定の閾値未満の行を抽出する。なお、ログ照合部３０２は、当該差異が最も小さい行を抽出するように構成されていてもよい。
【００４４】
一般に、一のポートが他のプログラムによって再利用されるまでには、ある程度の時間がかかる。よって、このように時刻情報に基づいてフィルタリングすることで、前述したような事象の発生を抑止することができる。すると、ログ照合部３０２は、１つの中継ログの行に対して、一連の通信によるものと推定される端末ログの行を１つ抽出することができる。
【００４５】
したがって、ログ照合部３０２は、中継ログから抽出した行と端末ログから抽出した行とを対応付けることができる。そうすると、中継ログから抽出した行における接続先と、端末ログから抽出した行におけるプログラムとが対応付けられ、マルウェアによる通信であるか否かと、当該通信による接続先とを特定することができる。そして、特定結果に基づいて、不正アクセスが行われたか否かを検知することができる。
【００４６】
本実施形態によれば、中継サーバ１０が、要求時刻情報、接続識別子、および接続先サーバを含む中継ログを取得し、クライアント端末２０が、接続時刻情報、接続プログラム情報を含む端末ログを取得する。そして、解析装置が、中継ログと端末ログとを照合することにより、接続先サーバと当該接続先サーバとの通信を司ったプログラムとの対応関係を把握することができる。
【００４７】
したがって、本実施形態によれば、クライアント端末２０がＨＴＴＰヘッダを解析して接続先サーバを特定することなく、ウェブブラウザ以外のプログラムによるアクセスを検知することができる。よって、本実施形態によれば、マルウェア等による不正アクセスを検知することができる。
【００４８】
なお、ＨＴＴＰ通信では、１つのＴＣＰ接続を用いて、複数のＨＴＴＰ要求を行うパーシステントコネクションが行われ得る。パーシステントコネクションが行われた場合に、中継ログ記憶部１０２に記録されている中継ログは中継要求毎に更新されるのに対して、端末ログ記憶部２０３に記録されている端末ログは、ＴＣＰ接続毎に１回更新される。より具体的には、パーシステントコネクションが行われた場合に、中継ログ記憶部１０２に記録されている中継ログは中継要求毎に１行追加されるのに対して、端末ログ記憶部２０３に記録されている端末ログは、ＴＣＰ接続毎に１行追加される。そうすると、中継ログにおける行と、端末ログにおける行とが１対１では対応しなくなってしまう。
【００４９】
また、パーシステントコネクションでは、接続時間が単一の要求（パーシステントコネクションでない接続）の処理時間よりも長くなる可能性がある。そして、ＴＣＰ接続の開始時刻（例えば、接続時間情報が示す時刻）と、パーシステントコネクション内の最後の要求時刻（例えば、要求時刻情報が示す時刻）との間に大きな差異が生じる可能性がある。すると、本実施形態における処理のように開始時刻の時刻差のみに基づいてフィルタリングをした場合に、ログ照合部３０２による照合処理が適切に行われない可能性がある。
【００５０】
そのような事態を避けるためには、端末ログにおける接続時刻情報が、接続開始時刻と接続終了時刻との両方を示すように構成されればよい。つまり、中継ログにおける要求時刻情報が示す時刻が、接続時刻情報が示す接続開始時刻と接続終了時刻との間である場合に、ログ照合部３０２は、中継ログにおいて当該要求時刻情報を含む行と、端末ログにおいて当該接続時刻情報を含む行とを対応付ける照合処理を行う。ただし、前述したように中継サーバ１０に設定されている時刻とクライアント端末２０に設定されている時刻との差異は考慮されるとする。
【００５１】
そのような構成によれば、パーシステントコネクションが長時間維持される場合にも、ログ照合部３０２は、適切に照合処理を行うことができる。
【００５２】
実施形態２．
次に本発明の第２の実施形態の通信システムについて、図面を参照して説明する。図１０は、本発明の第２の実施形態の通信システムの構成例を示すブロック図である。図１０に示すように、本発明の第２の実施形態の通信システムは、クライアント端末２０に代えてクライアント端末２１を含む点で、第１の実施形態における構成と異なる。その他の構成は、図１に示す第１の実施形態における構成と同様なため、対応する各要素には図１と同じ符号を付して説明を省略する。
【００５３】
図１１は、本発明の第２の実施形態におけるクライアント端末２１の構成例を示すブロック図である。図１１に示すように、本発明の第２の実施形態におけるクライアント端末２１は、図４に示す本発明の第１の実施形態におけるクライアント端末２０の構成に加えて、ホワイトリスト記憶部２１４を含む。また、図１１に示すように、本発明の第２の実施形態におけるクライアント端末２１は、図４に示す本発明の第１の実施形態におけるクライアント端末２０におけるプログラム特定部２０２に代えて、プログラム特定部２１２を含む。本発明の第２の実施形態におけるクライアント端末２１のその他の構成要素は、図４に示す本発明の第１の実施形態におけるクライアント端末２０の構成と同様なため、対応する各要素には図４と同じ符号を付して説明を省略する。
【００５４】
ホワイトリスト記憶部２１４には、個々の端末ログを保持するか否かを決定するためのホワイトリストが記録されている。ホワイトリストとは、端末ログを端末ログ記憶部２０３に記録する必要がないプログラム情報のリストである。
【００５５】
図１２は、ホワイトリスト記憶部２１４に記録されているホワイトリストの例を示す説明図である。図１２に示す例では、「／Ｐｒｏｇｒａｍｓ／ｂｒｏｗｓｅｒ．ｅｘｅ」がホワイトリストに登録されている。そして、プログラム特定部２１２は、例えば、特定した、通信検知部２０１が検知した接続を司ったプログラムが、「／Ｐｒｏｇｒａｍｓ／ｂｒｏｗｓｅｒ．ｅｘｅ」と合致する場合に、当該プログラムの動作に応じた情報を端末ログに追加する更新処理を行わない。
【００５６】
なお、ホワイトリストには、例えば、ウェブブラウザや、安全性が高いと判断されたプログラムが登録されている。
【００５７】
プログラム特定部２１２において、端末ログを端末ログ記憶部２０３に記録する際の動作が、第１の実施形態におけるプログラム特定部２０２の動作と異なる。具体的には、プログラム特定部２１２は、端末ログを端末ログ記憶部２０３に記録するか否かを、ホワイトリスト記憶部２１４に記録されているホワイトリストを参照して決定する。より具体的には、プログラム特定部２１２は、端末ログ記憶部２０３に記録されている端末ログに、通信検知部２０１が検知した接続を司ったプログラムの動作に応じた情報を追加する更新処理を行うか否かを、ホワイトリスト記憶部２１４に記録されているホワイトリストに基づいて決定する。
【００５８】
すなわち、通信検知部２０１が検知した接続を司ったプログラムが、ホワイトリストに登録されているプログラムのいずれか１つと合致した場合に、そのプログラムによる動作に応じた情報を端末ログ記憶部２０３に記録されている端末ログに追加する更新処理を行わない。換言すれば、通信検知部２０１が検知した接続を司ったプログラムが、ホワイトリストに登録されているプログラムのいずれもと合致しなかった場合に、そのプログラムによる動作に応じた情報を端末ログ記憶部２０３に記録されている端末ログに追加する更新処理を行う。
【００５９】
図１３は、そのような更新処理が行われた場合の端末ログの例を示す説明図である。図１３に例示した端末ログでは、図５に示す端末ログにおける行のうち、プログラム情報が「／Ｐｒｏｇｒａｍｓ／ｂｒｏｗｓｅｒ．ｅｘｅ」である行が除外されている。
【００６０】
したがって、通信検知部２０１が検知した接続を司ったプログラムの動作に応じた情報の一部がホワイトリストによって端末ログに記録されていない。すると、解析装置３０における照合結果において、中継ログの行のうち、端末ログのどの行とも対応しない行が生じる。
【００６１】
図１４は、図１３に示す端末ログと、図３に示す中継ログとの照合結果を示す説明図である。図１４に示す例では、端末ログにおいて、中継ログの３行目に対応する行と４行目に対応する行とが記録されていない。よって、解析装置３０において、当該行に応じた接続を司ったプログラムを示すプログラム情報が取得されない。
【００６２】
そして、ログ照合部３０２は、照合処理で取得しなかったプログラム情報を空とした照合結果を示す照合結果情報を照合結果記憶部３０３に記録する。照合結果情報において、プログラム情報が空である行については、中継ログに更新登録の契機になったプログラムが特定されない。しかし、ホワイトリストに含まれるプログラムのうちいずれか１つであることは明らかである。そして、ホワイトリストに登録されているプログラムの安全性が高いのであれば、中継ログおよび照合結果情報における当該行に関する動作について、さらなる解析を行う必要性は低いと考えられる。また、ウェブブラウザによる通信に応じた情報は、クライアント端末２１のウェブブラウザによって記憶手段（図示せず）に記録されている。よって、当該情報によって、ウェブブラウザによる通信であることを確認することが可能である。
【００６３】
本実施形態によれば、ホワイトリストに登録されている、ウェブブラウザや安全性の高いプログラムによる通信に応じた端末ログは記録されない。そのような構成により、ウェブブラウザを利用した通信が外部ネットワークへの通信の多くを占める環境であれば、端末ログ記憶部２０３に記録される端末ログのデータ量を大幅に削減することができる。同時に、解析装置３０が取得する端末ログのデータ量も大幅に削減することができる。
【００６４】
本実施形態では、ホワイトリストは、端末ログに情報を更新登録するか否かを判断するために用いられているが、端末ログに登録された情報を解析装置３０に送信するか否かを判断するために用いられるように構成されていてもよい。
【００６５】
そのように構成された場合には、クライアント端末２１は、ホワイトリストに登録されている内容に関わらず、端末ログ記憶部２０３に記録されている端末ログに情報を更新登録する。そして、解析装置３０のログ取得部３０１が、端末ログ記憶部２０３から端末ログを取得する際に、端末ログにおいて、ホワイトリストに登録されているプログラムの情報と合致しないプログラムについての行のみを取得するのか、または、端末ログの全てを取得するのかを、例えば、ユーザの操作によって選択できるように構成する。
【００６６】
そして、解析装置３０のログ取得部３０１は、ホワイトリストに登録されているプログラムの情報と合致しないプログラムについての行のみを取得することが選択された場合に、端末ログ記憶部２０３に記録されている端末ログにおいて、ホワイトリストに登録されているプログラムの情報と合致しないプログラムについての行のみを取得する。
【００６７】
このように構成された場合には、クライアント端末２１から解析装置３０に送信される端末ログのデータ量を削減することができる。さらに、解析装置３０は端末ログの全てを取得することもできるので、ホワイトリストに登録されているいずれかのプログラムによる通信を把握したい状況にも対応することが可能になる。
【００６８】
実施形態３．
次に、本発明の第３の実施形態のログ解析システムについて、図面を参照して説明する。図１５は、本発明の第３の実施形態のログ解析システムの構成例を示すブロック図である。図１５に示すように、本発明の第３の実施形態のログ解析システムは、クライアント端末２００、中継機器１００、および解析装置３００を含む。
【００６９】
なお、クライアント端末２００は、例えば、図１に示す本発明の第１の実施形態におけるクライアント端末２０や、第２の実施形態におけるクライアント端末２１に相当する。また、中継機器１００は、例えば、図１に示す本発明の第１の実施形態における中継サーバ１０に相当する。解析装置３００は、例えば、図１に示す本発明の第１の実施形態における解析装置３０に相当する。
【００７０】
クライアント端末２００は、外部の通信機器と通信を行う。中継機器１００は、クライアント端末２００の要求に応じて、外部の通信機器とクライアント端末２００との通信を中継する。解析装置３００は、クライアント端末２００による通信内容を解析する。
【００７１】
そして、クライアント端末２００は、外部の通信機器との通信を司ったプログラムを示すプログラム情報を記録する。
【００７２】
中継機器１００は、クライアント端末２００によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログを記録する。
【００７３】
また、解析装置３００は、プログラム情報と中継ログとを照合する。
【００７４】
そのような構成によれば、不正アクセスを検知することができる。
【００７５】
実施形態４．
次に、本発明の第４の実施形態の解析装置について、図面を参照して説明する。図１６は、本発明の第４の実施形態の解析装置３１０の構成例を示すブロック図である。
【００７６】
図１６に示すように、本発明の第４の実施形態の解析装置３１０は、外部の通信機器と通信を行うクライアント端末が記録した、外部の通信機器との通信を司ったプログラムを示すプログラム情報と、クライアント端末の要求に応じて、外部の通信機器とクライアント端末との通信を中継する中継機器が記録した、クライアント端末によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合する照合部３１を含む。
【００７７】
なお、照合部３１は、例えば、図１に示す本発明の第１の実施形態におけるログ照合部３０２に相当する。
【００７８】
そのような構成によれば、不正アクセスを検知することができる。
【００７９】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【００８０】
この出願は、２０１５年３月３日に出願された日本出願特願２０１５−０４１４５４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【００８１】
１０    中継サーバ
２０、２１、２００    クライアント端末
３０、３００、３１０    解析装置
３１    照合部
４０    外部ネットワーク
１００    中継機器
１０１    中継ログ記録部
１０２    中継ログ記憶部
２０１    通信検知部
２０２、２１２    プログラム特定部
２０３    端末ログ記憶部
２１４    ホワイトリスト記憶部
３０１    ログ取得部
３０２    ログ照合部
３０３    照合結果記憶部
【図１】
2020119596.tif 000003
【図２】
2020119596.tif 000004
【図３】
2020119596.tif 000005
【図４】
2020119596.tif 000006
【図５】
2020119596.tif 000007
【図６】
2020119596.tif 000008
【図７】
2020119596.tif 000009
【図８】
2020119596.tif 000010
【図９】
2020119596.tif 000011
【図１０】
2020119596.tif 000012
【図１１】
2020119596.tif 000013
【図１２】
2020119596.tif 000014
【図１３】
2020119596.tif 000015
【図１４】
2020119596.tif 000016
【図１５】
2020119596.tif 000017
【図１６】
2020119596.tif 000018
【手続補正書】
【提出日】令和2年5月14日(2020.5.14)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
通信装置と通信を行う端末が記録した、前記通信を要求したプログラムを示すプログラム情報を含む端末ログと、前記端末と前記通信装置との間で前記通信を中継する中継装置が記録した、中継ログとを取得し、
前記端末ログと前記中継ログの照合を行い、前記中継装置で中継した前記通信を要求した前記プログラム情報を特定する方法。
【請求項２】
前記中継ログは、前記通信装置のうち接続先であるサーバを示す情報を含み、
前記プログラム情報と、前記サーバを示す情報とを対応付ける
ことを特徴とする、請求項１に記載の方法。
【請求項３】
前記端末ログは前記端末で前記通信を行った第１の時刻を含み、
前記中継ログは前記中継装置で前記通信を中継した第２の時刻を含み、
前記第１の時刻と前記第２の時刻とを用いて前記照合を行う
ことを特徴とする、請求項１または請求項２に記載の方法。
【請求項４】
前記端末ログは前記端末で前記通信を開始した第１の時刻を含み、
前記中継ログは前記中継装置で前記通信の中継を開始した第２の時刻を含み
前記第１の時刻と前記第２の時刻とを用いて前記照合を行う
ことを特徴とする、請求項１または請求項２に記載の方法。
【請求項５】
前記端末ログは前記端末で前記通信を終了した第３の時刻を更に含み、
前記第１の時刻、前記第２の時刻に加えて更に前記第３の時刻を用いて前記照合を行う
ことを特徴とする、請求項３または請求項４に記載の方法。
【請求項６】
前記端末ログは前記端末で前記通信を行った第１のＩＰアドレスおよび第１のポート番号のうち少なくとも１つを含み、
前記中継ログは前記中継装置に対して前記通信を要求してきた第２のＩＰアドレスおよび第２のポート番号のうち少なくとも１つを含み、
前記第１のＩＰアドレスと前記第２のＩＰアドレス、および、前記第１のポート番号と前記第２のポート番号のうち少なくとも１つを用いて前記照合を行う
ことを特徴とする請求項１から請求項５の何れか１項に記載の方法。
【請求項７】
通信装置と通信を行う端末が記録した、前記通信を要求したプログラムを示すプログラム情報を含む端末ログと、前記端末と前記通信装置との間で前記通信を中継する中継装置が記録した、中継ログとを取得する取得手段と、
前記端末ログと前記中継ログの照合を行い、前記中継装置で中継した前記通信を要求した前記プログラム情報を特定する照合手段と
を備える解析装置。
【請求項８】
前記中継ログは、前記通信装置のうち接続先であるサーバを示す情報を含み、
前記照合手段は、前記プログラム情報と、前記サーバを示す情報とを対応付ける
ことを特徴とする、請求項７に記載の解析装置。
【請求項９】
前記端末ログは前記端末で前記通信を行った第１の時刻を含み、
前記中継ログは前記中継装置で前記通信を中継した第２の時刻を含み、
前記照合手段は、前記第１の時刻と前記第２の時刻とを用いて前記照合を行う
ことを特徴とする、請求項７または請求項８に記載の解析装置。
【請求項１０】
前記端末ログは前記端末で前記通信を開始した第１の時刻を含み、
前記中継ログは前記中継装置で前記通信の中継を開始した第２の時刻を含み
前記照合手段は、前記第１の時刻と前記第２の時刻とを用いて前記照合を行う
ことを特徴とする、請求項７または請求項８に記載の解析装置。
【請求項１１】
前記端末ログは前記端末で前記通信を終了した第３の時刻を更に含み、
前記照合手段は、前記第１の時刻、前記第２の時刻に加えて更に前記第３の時刻を用いて前記照合を行う
ことを特徴とする、請求項９または請求項１０に記載の解析装置。
【請求項１２】
前記端末ログは前記端末で前記通信を行った第１のＩＰアドレスおよび第１のポート番号のうち少なくとも１つを含み、
前記中継ログは前記中継装置に対して前記通信を要求してきた第２のＩＰアドレスおよび第２のポート番号のうち少なくとも１つを含み、
前記照合手段は、前記第１のＩＰアドレスと前記第２のＩＰアドレス、および、前記第１のポート番号と前記第２のポート番号のうち少なくとも１つを用いて前記照合を行う
ことを特徴とする請求項７から請求項１１の何れか１項に記載の解析装置。
【請求項１３】
端末は、
通信装置と通信を行い、
前記通信を要求したプログラムを示すプログラム情報を含む端末ログを記録し、
中継装置は、
前記端末と前記通信装置との間で前記通信を中継し、
中継ログを記録し、
解析装置は、
前記端末ログと、前記中継ログとを取得し、
前記端末ログと前記中継ログの照合を行い、前記中継装置で中継した前記通信を要求した前記プログラム情報を特定する方法。
【請求項１４】
通信装置と通信を行う端末と、
前記端末と前記通信装置との間で前記通信を中継する中継装置と、
請求項７から請求項１２のいずれか１項に記載の解析装置とを備え、
前記端末は、前記通信を要求したプログラムを示すプログラム情報を含む端末ログを記録し、
前記中継装置は、中継ログを記録し、
前記解析装置の前記取得手段は、前記端末ログと、前記中継ログとを取得し、
前記解析装置の前記照合手段は、前記端末ログと前記中継ログの照合を行い、前記中継装置で中継した前記通信を要求した前記プログラム情報を特定する
ログ解析システム。
【請求項１５】
コンピュータに、
通信装置と通信を行う端末が記録した、前記通信を要求したプログラムを示すプログラム情報を含む端末ログと、前記端末と前記通信装置との間で前記通信を中継する中継装置が記録した、中継ログとを取得させ、
前記端末ログと前記中継ログの照合を行わせ、前記中継装置で中継した前記通信を要求した前記プログラム情報を特定させる
ための解析用プログラム。