(57)【要約】  ログ取得部（２０１）は、所定のネットワークにおける通信から得られる分析対象の通信ログを取得する。ログ分析部（２０４）は、マルウェアに感染した端末が発生させる通信ログの特徴に基づいて生成されたシグネチャを用いた分析ルールに合致する端末を検知する。一次スコアリング部（２０６）および二次スコアリング部（２０８）は、ログ分析部（２０４）によって検知された端末に関する情報と端末が合致した分析ルールとを含んだ検知結果に対して、脅威の度合いを表すスコアを、分析ルールに関する情報および検知結果に関する情報を用いて計算する。検知結果表示部（２０９）は、検知結果と、一次スコアリング部（２０６）および二次スコアリング部（２０８）によって計算されたスコアと、を出力する。
2017221711.tif 000002
【特許請求の範囲】
【請求項１】
所定のネットワークにおける通信から得られる分析対象の通信ログを取得するログ取得部と、
マルウェアに感染した端末が発生させる通信ログの特徴に基づいて生成されたシグネチャを用いた分析ルールに合致する端末を検知する検知部と、
前記検知部によって検知された端末に関する情報と前記端末が合致した分析ルールとを含んだ検知結果に対して、脅威の度合いを表すスコアを、前記分析ルールに関する情報および前記検知結果に関する情報を用いて計算する計算部と、
前記検知結果と、前記計算部によって計算された前記スコアと、を出力する出力部と、
を有することを特徴とするログ分析装置。
【請求項２】
前記検知部は、前記分析対象の通信ログに含まれる所定のフィールドおよび値の組が、前記シグネチャに合致した回数があらかじめ設定された閾値以上である端末を検知し、
前記計算部は、あらかじめ設定された前記シグネチャの脅威の度合い、および前記閾値と前記回数との乖離の度合いを基に、前記スコアを計算することを特徴とする請求項１に記載のログ分析装置。
【請求項３】
前記計算部は、前記検知結果に含まれる端末に関する情報および分析ルールと同一の端末に関する情報および分析ルールを含む検知結果の出現期間および出現頻度と、を基に前記スコアを計算することを特徴とする請求項１に記載のログ分析装置。
【請求項４】
前記検知部は、前記分析対象の通信ログに含まれる所定のフィールドおよび値の組が、前記シグネチャに合致した回数があらかじめ設定された閾値以上である端末を検知し、
前記計算部は、あらかじめ設定された前記シグネチャの脅威の度合い、および前記閾値と前記回数との乖離の度合いを基に、第１のスコアを計算し、前記検知結果に含まれる端末に関する情報および分析ルールと同一の端末に関する情報および分析ルールを含む検知結果の出現期間および出現頻度と、前記第１のスコアと、を基に第２のスコアを計算し、
前記出力部は、少なくとも、前記検知結果に含まれる端末に関する情報と、前記第２のスコアと、を出力することを特徴とする請求項１に記載のログ分析装置。
【請求項５】
前記検知部による検知結果のうち、所定の条件に合致する検知結果を除外する除外部をさらに有し、
前記計算部は、前記検知部による検知結果のうち、前記除外部によって除外された検知結果以外の検知結果について前記スコアを計算することを特徴とする請求項１に記載のログ分析装置。
【請求項６】
前記検知結果が対処不要であるか否かの選択を受け付ける受付部をさらに有し、
前記除外部は、前記検知結果に含まれる分析ルールによって用いられるシグネチャと同じ特徴を有する通信ログの前記ネットワーク内における出現頻度が所定値以上である場合、および、前記検知結果が対処不要であることが前記受付部によってあらかじめ受け付けられている場合、のうちの少なくともいずれかの場合に、前記検知結果を除外することを特徴とする請求項５に記載のログ分析装置。
【請求項７】
ログ分析装置で実行されるログ分析方法であって、
所定のネットワークにおける通信から得られる分析対象の通信ログを取得するログ取得工程と、
マルウェアに感染した端末が発生させる通信ログの特徴に基づいて生成されたシグネチャを用いた分析ルールに合致する端末を検知する検知工程と、
前記検知工程によって検知された端末に関する情報と前記端末が合致した分析ルールとを含んだ検知結果に対して、脅威の度合いを表すスコアを、前記分析ルールに関する情報および前記検知結果に関する情報を用いて計算する計算工程と、
前記検知結果と、前記計算工程によって計算された前記スコアと、を出力する出力工程と、
を含んだことを特徴とするログ分析方法。
【請求項８】
コンピュータを、請求項１から６のいずれか１項に記載のログ分析装置として機能させるためのログ分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログ分析装置、ログ分析方法およびログ分析プログラムに関する。
【背景技術】
【０００２】
ネットワークを介しての各種サービスやインフラへのサイバー攻撃は多種多様な手法を用いた執拗なものへと日々進化し、ますます脅威が増大しているが、感染を完全に防ぐことは困難である。そのため、ＳＩＥＭ（Security  Information  and  Event  Management）製品を活用し各種セキュリティアプライアンスやネットワーク機器からログを集約して分析を行うことで、感染端末を早期に発見し駆除するための感染端末検知技術が注目されている。【０００３】
例えば、感染端末検知技術として、FireWallやＩＤＳ（Intrusion  Detection  System）／ＩＰＳ（Intrusion  Prevention  System）といったセキュリティアプライアンスを用いて防御対象ネットワークの出入り口で通信ログを監視し、監視している通信の通信ログが、シグネチャや、あらかじめ定められたプロファイルから外れた場合、当該通信を攻撃や異常として検知する技術が知られている（例えば非特許文献１を参照）。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】中田  健介「ネットワークログ分析による不正通信検出手法」、電子情報通信学会、２０１３年総合大会
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来の技術には、検知結果が複数ある場合に、オペレータがどの検知結果を優先的に対処すべきかを判断することが困難であるという問題があった。
【課題を解決するための手段】
【０００６】
本発明のログ分析装置は、所定のネットワークにおける通信から得られる分析対象の通信ログを取得するログ取得部と、マルウェアに感染した端末が発生させる通信ログの特徴に基づいて生成されたシグネチャを用いた分析ルールに合致する端末を検知する検知部と、前記検知部によって検知された端末に関する情報と前記端末が合致した分析ルールとを含んだ検知結果に対して、脅威の度合いを表すスコアを、前記分析ルールに関する情報および前記検知結果に関する情報を用いて計算する計算部と、前記検知結果と、前記計算部によって計算された前記スコアと、を出力する出力部と、を有することを特徴とする。【０００７】
また、本発明のログ分析方法は、ログ分析装置で実行されるログ分析方法であって、所定のネットワークにおける通信から得られる分析対象の通信ログを取得するログ取得工程と、マルウェアに感染した端末が発生させる通信ログの特徴に基づいて生成されたシグネチャを用いた分析ルールに合致する端末を検知する検知工程と、前記検知工程によって検知された端末に関する情報と前記端末が合致した分析ルールとを含んだ検知結果に対して、脅威の度合いを表すスコアを、前記分析ルールに関する情報および前記検知結果に関する情報を用いて計算する計算工程と、前記検知結果と、前記計算工程によって計算された前記スコアと、を出力する出力工程と、を含んだことを特徴とする。
【発明の効果】
【０００８】
本発明によれば、検知結果が複数ある場合であっても、オペレータがどの検知結果を優先的に対処すべきかを判断することが容易になる。
【図面の簡単な説明】
【０００９】
【図１】図１は、第１の実施形態に係るログ分析システムの構成の一例を示す図である。
【図２】図２は、通信ログのフィールドの一例を示す図である。
【図３】図３は、分析ルールの一例を示す図である。
【図４】図４は、検知結果の一例を示す図である。
【図５】図５は、一次検知結果の一例を示す図である。
【図６】図６は、二次検知結果の一例を示す図である。
【図７】図７は、検知結果表示画面の一例を示す図である。
【図８】図８は、第１の実施形態に係るログ分析装置の処理の流れを示すフローチャートである。
【図９】図９は、プログラムが実行されることによりログ分析装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１０】
以下に、本願に係るログ分析装置、ログ分析方法およびログ分析プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本発明が限定されるものではない。
【００１１】
［第１の実施形態の構成］
まず、図１を用いて、第１の実施形態に係るログ分析システムの構成について説明する。図１は、第１の実施形態に係るログ分析システムの構成の一例を示す図である。図１に示すように、ログ分析システム１は、ログ収集蓄積装置１０およびログ分析装置２０を有する。
【００１２】
ログ収集蓄積装置１０およびログ分析装置２０は、例えば、有線または無線のＬＡＮ（Local  Area  Network）やＶＰＮ（Virtual  Private  Network）等の任意の種類の通信網によって接続されている。なお、ログ分析システム１に含まれるログ分析装置２０の数は、図示の数に限定されず、任意の数とすることができる。また、ログ収集蓄積装置１０およびログ分析装置２０は、それぞれ図示しない通信部、制御部、および記憶部を有する。
【００１３】
通信部は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部はＮＩＣ（Network  Interface  Card）である。また、制御部は、装置全体を制御する。制御部は、例えば、ＣＰＵ（Central  Processing  Unit）、ＭＰＵ（Micro  Processing  Unit）等の電子回路や、ＡＳＩＣ（Application  Specific  Integrated  Circuit）、ＦＰＧＡ（Field  Programmable  Gate  Array）等の集積回路である。また、制御部は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部で各種のプログラムを動作させることにより各処理部が実現される。
【００１４】
また、記憶部は、ＨＤＤ（Hard  Disk  Drive）、ＳＳＤ（Solid  State  Drive）、光ディスク等の記憶装置である。なお、記憶部は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non  Volatile  Static  Random  Access  Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部は、各装置で実行されるＯＳ（Operating  System）や各種プログラムを記憶する。さらに、記憶部は、プログラムの実行で用いられる各種情報を記憶する。
【００１５】
例えば、制御部でプログラムを動作させることにより、後述のログ取得部２０１、統計情報抽出部２０２、除外条件学習部２０３、ログ分析部２０４、検知結果フィルタリング部２０５、一次スコアリング部２０６、継続性判定部２０７、二次スコアリング部２０８および検知結果表示部２０９が実現される。また、例えば、記憶部は、後述の分析用通信ログ２５１、ネットワーク統計情報２５２、分析ルール設定情報２５３、シグネチャ情報２５４、検知除外条件２５５、一次検知結果２５６、継続情報２５７および二次検知結果２５８を記憶する。
【００１６】
ここで、ログ分析システム１の各装置について説明する。ログ収集蓄積装置１０は、分析対象の通信ログを収集し蓄積する。図１に示すように、ログ収集蓄積装置１０は、収集部１０１、正規化部１０２を有し、正規化済通信ログ１０３を記憶する。
【００１７】
収集部１０１は、ＩＤＳ／ＩＰＳ、WebProxy、FireWall等から、分析対象の通信ログを取得する。分析対象の通信ログは、例えば、当該通信ログを発生させた端末がマルウェアに感染しているか否かが未知の通信ログである。また、正規化部１０２は、通信ログの正規化を行う。通信ログは、当該通信ログを記録した機器ごとにフォーマットが異なっている場合がある。このため、正規化部１０２は、分析対象の通信ログから所定のフィールドおよび値を抽出することで正規化を行う。そして、ログ収集蓄積装置１０は、正規化した通信ログを正規化済通信ログ１０３として記憶する。
【００１８】
図２を用いて通信ログのフィールドおよび値について説明する。図２は、通信ログのフィールドの一例を示す図である。正規化部１０２は、例えば図２に示すようなフィールドおよび値を、正規化済通信ログ１０３として通信ログから抽出する。
【００１９】
図２に示すように、通信ログのフィールドには、例えば、タイムスタンプ、LogSource、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、通信プロトコル名、判定結果、送信バイト数、受信バイト数、ＵＲＬ、メソッド名、UserAgent、ステータスコード、継続時間および通信方向が含まれる。
【００２０】
フィールド「タイムスタンプ」の値は、通信ログが取得された時刻である。また、フィールド「LogSource」の値は、通信ログを記録した機器ごとのユニークなＩＤである。また、フィールド「送信元ＩＰアドレス」の値は、当該通信の送信元ＩＰアドレス情報である。また、フィールド「送信元ポート番号」の値は、当該通信の送信元ポート番号である。また、フィールド「宛先ＩＰアドレス」の値は、当該通信の宛先ＩＰアドレスである。また、フィールド「宛先ポート番号」の値は、当該通信の宛先ポート番号である。また、フィールド「通信プロトコル名」の値は、当該通信の通信プロトコル名である。また、フィールド「判定結果」の値は、当該通信の機器における判定結果である。また、フィールド「送信バイト数」の値は、当該通信の送信バイト数である。また、フィールド「受信バイト数」の値は、当該通信の受信バイト数である。また、フィールド「ＵＲＬ」の値は、当該通信がＨＴＴＰ通信である際の宛先ＵＲＬである。また、フィールド「メソッド名」の値は、当該通信がＨＴＴＰ通信である際のＨＴＴＰメソッド名である。また、フィールド「UserAgent」の値は、当該通信がＨＴＴＰ通信である際のＨＴＴＰユーザエージェント名である。また、フィールド「ステータスコード」の値は、当該通信がＨＴＴＰ通信である際のＨＴＴＰステータスコードである。また、フィールド「継続時間」の値は、当該通信におけるセッション継続時間である。また、フィールド「通信方向」の値は、当該通信における通信方向である。
【００２１】
ログ分析装置２０は、通信ログを分析し、分析結果および分析に用いたシグネチャの生成元のマルウェアに関する情報を表示する。図１に示すように、ログ分析装置２０は、ログ取得部２０１、統計情報抽出部２０２、除外条件学習部２０３、ログ分析部２０４、検知結果フィルタリング部２０５、一次スコアリング部２０６、継続性判定部２０７、二次スコアリング部２０８および検知結果表示部２０９を有する。また、ログ分析装置２０は、分析用通信ログ２５１、ネットワーク統計情報２５２、分析ルール設定情報２５３、シグネチャ情報２５４、検知除外条件２５５、一次検知結果２５６、継続情報２５７および二次検知結果２５８を記憶する。
【００２２】
ログ取得部２０１は、所定のネットワークにおける通信から得られる分析対象の通信ログを取得する。ログ取得部２０１は、分析対象の通信ログとして、ログ収集蓄積装置１０の正規化済通信ログ１０３を取得する。例えば、ログ取得部２０１は、所定の検索条件で正規化済通信ログ１０３を検索し、ログの取得を問い合わせる。そして、ログ収集蓄積装置１０は、検索結果を応答としてログ取得部２０１に返す。また、以降の説明において、正規化された通信ログを単に通信ログと呼ぶ。
【００２３】
次に、ログ取得部２０１は、取得した分析対象の通信ログを分析用通信ログ２５１としてログ分析装置２０に記憶させる。また、統計情報抽出部２０２は、ログ取得部２０１によって取得された分析対象の通信ログから統計情報を抽出する。統計情報抽出部２０２は、例えば、各フィールドの値の一定期間内の出現回数、出現割合、または当該通信ログを発生させているユニークな端末数や端末の割合を抽出する。そして、統計情報抽出部２０２は、抽出した統計情報を、分析対象のネットワークの特性を表すネットワーク統計情報２５２としてログ分析装置２０に記憶させる。
【００２４】
ログ分析部２０４は、マルウェアに感染した端末が発生させる通信ログの特徴に基づいて生成されたシグネチャを用いた分析ルールに合致する端末を検知する。ログ分析部２０４は、一定期間分の分析用通信ログ２５１を取得し、分析ルール設定情報２５３およびシグネチャ情報２５４を基に分析ルールを生成し、生成した分析ルールを用いて分析する。分析ルール設定情報２５３は、例えば分析ルールの閾値である。また、シグネチャ情報２５４は、例えば分析ルールのシグネチャのフィールド、値および脅威度である。なお、ログ分析部２０４は、検知部の一例である。なお、脅威度は、例えば、分析ルールに対応するマルウェアによる既知の被害の大きさ等に基づいて設定された値であってもよいし、当該マルウェアへの感染件数であってもよいし、当該マルウェアによる攻撃の継続時間の長さを正規化した値であってもよい。
【００２５】
図３を用いて分析ルールについて説明する。図３は、分析ルールの一例を示す図である。ログ分析部２０４は、所定の端末が発生させた分析対象の通信ログが、各分析ルールの検知条件を満たす場合、当該端末を検知する。例えば、ログ分析部２０４は、分析対象の通信ログに含まれる所定のフィールドおよび値の組が、シグネチャに合致した回数があらかじめ設定された閾値以上である端末を検知する。また、各分析ルールには脅威度が設定されている。脅威度は、後述する一次スコアリング部２０６によってスコアが計算される際に用いられる。
【００２６】
例えば、図３の分析ルール「Rule-1」に示すように、ログ分析部２０４は、ＵＲＬが「http://www.malsite.com/」である通信ログを１回以上発生させている端末を検知する。また、分析ルール「Rule-1」の脅威度は「８」である。
【００２７】
また、例えば、図３の分析ルール「Rule-2」に示すように、ログ分析部２０４は、プロトコル＋宛先ポートが「TCP/4092」である通信ログを１０回以上発生させている端末を検知する。また、分析ルール「Rule-2」の脅威度は「２」である。
【００２８】
また、例えば、図３の分析ルール「Rule-3」に示すように、ログ分析部２０４は、宛先組織が「Malware.com」である通信ログを１回以上発生させている端末を検知する。また、分析ルール「Rule-3」の脅威度は「７」である。なお、宛先組織は、通信ログ中のＵＲＬ情報から抽出することができる。
【００２９】
また、例えば、図３の分析ルール「Rule-4」に示すように、ログ分析部２０４は、UserAgentが「badAgent」である通信ログを５回以上発生させている端末を検知する。また、分析ルール「Rule-4」の脅威度は「３」である。
【００３０】
また、例えば、図３の分析ルール「Rule-5」に示すように、ログ分析部２０４は、宛先ＩＰアドレスが「10.10.10.10」である通信ログを５回以上発生させている端末を検知する。また、分析ルール「Rule-5」の脅威度は「８」である。
【００３１】
なお、分析ルールは、図３に示すようなフィールドと値の出現回数をカウントするものに限られず、例えば、時系列等を考慮した所定のパターンにどの程度マッチするかによって検知を行うものであってもよい。例えば、分析ルールは、５つのＵＲＬの組み合わせがパターンとして設定され、当該５つのＵＲＬのうち４つ以上のＵＲＬへアクセスがあった端末、すなわちマッチ率が８０％以上である端末を検知するものであってもよい。
【００３２】
ここで、図４を用いてログ分析部２０４による検知結果について説明する。図４は、検知結果の一例を示す図である。図４に示すように、検知結果には、検知した端末、分析ルール、閾値、カウント数に加え、基本スコアおよび関連ログの情報が含まれる。カウント数は、フィールドと値の組がカウントされた回数である。また、基本スコアは、各分析ルールに設定された脅威度である。また、関連ログの情報は、検知に用いられた分析対象の通信ログに関する情報である。
【００３３】
例えば、図４のＮｏ．１の行は、端末「192.168.10.10」が分析ルール「Rule-1」によって検知され、閾値が「１」、カウント数が「１」、基本スコアが「８」、関連ログの情報が「Log1」であったことを示している。
【００３４】
また、例えば、図４のＮｏ．２の行は、端末「192.168.20.20」が分析ルール「Rule-2」によって検知され、閾値が「１０」、カウント数が「２０」、基本スコアが「２」、関連ログの情報が「Log101-120」であったことを示している。
【００３５】
また、例えば、図４のＮｏ．３の行は、端末「192.168.30.30」が分析ルール「Rule-3」によって検知され、閾値が「１」、カウント数が「１」、基本スコアが「７」、関連ログの情報が「Log300」であったことを示している。
【００３６】
また、例えば、図４のＮｏ．４の行は、端末「192.168.40.40」が分析ルール「Rule-1」によって検知され、閾値が「１」、カウント数が「５」、基本スコアが「８」、関連ログの情報が「Log401-405」であったことを示している。
【００３７】
また、例えば、図４のＮｏ．５の行は、端末「192.168.50.50」が分析ルール「Rule-2」によって検知され、閾値が「１０」、カウント数が「５０」、基本スコアが「２」、関連ログの情報が「Log501-550」であったことを示している。
【００３８】
検知結果フィルタリング部２０５は、ログ分析部２０４による検知結果のうち、所定の条件に合致する検知結果を除外する。このとき、一次スコアリング部２０６および二次スコアリング部２０８は、ログ分析部２０４による検知結果のうち、検知結果フィルタリング部２０５によって除外された検知結果以外の検知結果についてスコアを計算する。なお、一次スコアリング部２０６および二次スコアリング部２０８は、計算部の一例である。また、検知結果フィルタリング部２０５は、除外部の一例である。
【００３９】
検知除外条件２５５は、除外条件学習部２０３によって学習される。除外条件学習部２０３は、まず、登録済みの検知除外条件２５５に類似する検知条件、ＩＰアドレスが検知除外条件に含まれるＩＰアドレスと同じＩＰアドレス帯に存在する検知条件、ネットワーク統計情報２５２に頻出する値、分析対象のネットワーク上の特定の宛先ＩＰアドレスに対して頻出している値等を、検知除外条件の候補として抽出する。そして、除外条件学習部２０３は、ネットワーク統計情報２５２等を用いて検知除外条件の候補を評価し、検知率や誤検知率が所定の条件を満たす検知除外条件の候補を検知除外条件２５５に追加する。
【００４０】
一次スコアリング部２０６および二次スコアリング部２０８は、ログ分析部２０４によって検知された端末に関する情報と端末が合致した分析ルールとを含んだ検知結果に対して、脅威の度合いを表すスコアを、分析ルールに関する情報および検知結果に関する情報を用いて計算する。
【００４１】
一次スコアリング部２０６は、ログ分析部２０４による検知結果に一次スコアを付与する。一次スコアリング部２０６は、あらかじめ設定されたシグネチャの脅威の度合い、および閾値と回数との乖離の度合いを基に、一次スコアを計算する。
【００４２】
図５を用いて、一次スコアリング部２０６によって一次スコアが付与された検知結果である一次検知結果２５６について説明する。図５は、一次検知結果の一例を示す図である。図５に示すように、一次検知結果には、検知した端末、分析ルール、閾値、カウント数に加え、一次スコアおよび除外フラグが含まれる。除外フラグは、検知結果フィルタリング部２０５によって除外された検知結果を示すフラグである。
【００４３】
例えば、図５のＮｏ．１の行は、端末「192.168.10.10」が分析ルール「Rule-1」によって検知され、閾値が「１」、カウント数が「１」、一次スコアが「８」であったことを示している。一次スコアリング部２０６は、式（１）を用いて一次スコアを計算する。式（１）の「カウント数÷閾値」は、カウント数の閾値に対する乖離の度合いの一例である。  なお、基本スコアおよび閾値は、分析ルールに関する情報の一例である。また、カウント数は、検知結果に関する情報の一例である。
一次スコア＝基本スコア×（カウント数÷閾値）・・・（１）
【００４４】
また、例えば、図５のＮｏ．２の行は、端末「192.168.20.20」が分析ルール「Rule-2」によって検知され、閾値が「１０」、カウント数が「２０」、一次スコアが「４」であったことを示している。また、図５のＮｏ．３の行は除外フラグが立っているため、一次スコアリング部２０６は、Ｎｏ．３の行の検知結果に対して一次スコアの計算を行わない。
【００４５】
また、例えば、図５のＮｏ．４の行は、端末「192.168.40.40」が分析ルール「Rule-1」によって検知され、閾値が「１」、カウント数が「５」、一次スコアが「４０」であったことを示している。また、例えば、図５のＮｏ．５の行は、端末「192.168.50.50」が分析ルール「Rule-2」によって検知され、閾値が「１０」、カウント数が「５０」、一次スコアが「１０」であったことを示している。
【００４６】
継続性判定部２０７は、一次検知結果２５６に含まれる検知結果についての継続性の判定を行う。具体的に、継続性判定部２０７は、一次検知結果２５６に含まれる検知結果と同一の検知、すなわち同一の端末から同一の分析ルールによる検知が初めて行われた日時や所定期間内における当該検知が行われた回数等を継続情報２５７から取得する。そして、継続性判定部２０７は、継続性を表すスコアである継続性スコアを計算する。継続性判定部２０７は、検知が初めて行われた日時が過去であるほど、また、所定期間内における検知が行われた回数が多いほど継続性スコアを大きい値とする。例えば、継続性判定部２０７は、所定の期間ごとに検知結果に対して集計処理を行い、各期間における同一端末における同一ルールの検知件数を記録したものを継続スコアとすることができる。
【００４７】
二次スコアリング部２０８は、一次検知結果２５６に二次スコアを付与する。二次スコアリング部２０８は、検知結果に含まれる端末に関する情報および分析ルールと同一の端末に関する情報および分析ルールを含む検知結果の出現期間および出現頻度と、一次スコアと、を基に二次スコアを計算する。なお、検知結果の出現期間および出現頻度は、継続性判定部２０７によって算出される。
【００４８】
図６を用いて、二次スコアリング部２０８によって二次スコアが付与された検知結果である二次検知結果２５８について説明する。図６は、二次検知結果の一例を示す図である。図６に示すように、二次検知結果には、検知した端末、分析ルール、閾値、カウント数に加え、二次スコアおよび除外フラグが含まれる。
【００４９】
例えば、図６のＮｏ．１の行は、端末「192.168.10.10」が分析ルール「Rule-1」によって検知され、閾値が「１」、カウント数が「１」、二次スコアが「５８」であったことを示している。二次スコアリング部２０８は、端末分析ルール「Rule-1」によって検知された検知結果に対して、式（２）を用いて二次スコアを計算する。図６の例では、端末が「192.168.10.10」、分析ルールが「Rule-1」である検知の継続性スコアは「５０」である。なお、継続性スコアは、検知結果に関する情報の一例である。
二次スコア＝一次スコア＋継続性スコア・・・（２）
【００５０】
また、例えば、図６のＮｏ．２の行は、端末「192.168.20.20」が分析ルール「Rule-2」によって検知され、閾値が「１０」、カウント数が「２０」、二次スコアが「４」であったことを示している。図６の例では、端末が「192.168.20.20」、分析ルールが「Rule-2」である検知の継続性スコアは「０」である。また、図６のＮｏ．３の行は除外フラグが立っているため、二次スコアリング部２０８は、Ｎｏ．３の行の検知結果に対して二次スコアの計算を行わない。
【００５１】
また、例えば、図６のＮｏ．４の行は、端末「192.168.40.40」が分析ルール「Rule-1」によって検知され、閾値が「１」、カウント数が「５」、二次スコアが「４２」であったことを示している。図６の例では、端末が「192.168.40.40」、分析ルールが「Rule-1」である検知の継続性スコアは「２」である。
【００５２】
また、例えば、図６のＮｏ．５の行は、端末「192.168.50.50」が分析ルール「Rule-2」によって検知され、閾値が「１０」、カウント数が「５０」、二次スコアが「１５」であったことを示している。図６の例では、端末が「192.168.50.50」、分析ルールが「Rule-2」である検知の継続性スコアは「５」である。
【００５３】
検知結果表示部２０９は、検知結果と、一次スコアリング部２０６および二次スコアリング部２０８によって計算されたスコアと、を出力する。検知結果表示部２０９は、少なくとも、検知結果に含まれる端末に関する情報と、二次スコアと、を出力するようにしてもよい。なお、検知結果表示部２０９は、出力部の一例である。
【００５４】
また、検知結果表示部２０９は、二次検知結果２５８を表示する。例えば、検知結果表示部２０９は、図７に示すように、オペレータ３０が閲覧可能な形式で、検知結果表示画面２０９ａに二次検知結果２５８を表示する。図７は、検知結果表示画面の一例を示す図である。
【００５５】
図７に示すように、検知結果表示部２０９は、検知結果表示画面２０９ａに、二次検知結果２５８に含まれる端末の端末名、端末ＩＰアドレスを表示する。ここで、検知結果表示部２０９は、端末を管理する図示しない所定のＤＢを参照し、端末ＩＰアドレスを基に端末名を取得するようにしてもよい。また、検知結果表示部２０９は、二次検知結果２５８に含まれる二次スコアをスコアとして表示し、さらに除外チェックボックス２０９ｂおよび決定ボタン２０９ｃを表示する。さらに、このとき、検知結果表示部２０９は、解析用付加情報として分析用通信ログ２５１から通信ログに関する情報を取得して表示してもよい。
【００５６】
オペレータ３０は、検知結果表示画面２０９ａに表示された検知結果の一覧から、今後の検知から除外してよいと判断した検知結果の除外チェックボックス２０９ｂをチェックし、決定ボタン２０９ｃを押下する。このとき、フィードバック部２１０は、除外チェックボックス２０９ｂがチェックされた検知結果を検知除外条件２５５に登録する。そして、除外条件学習部２０３は、当該検知結果を、除外条件、または除外条件の候補とする。
【００５７】
このように、検知結果表示部２０９は、検知結果が対処不要であるか否かの選択を受け付ける。このとき、検知結果フィルタリング部２０５は、検知結果に含まれる分析ルールによって用いられるシグネチャと同じ特徴を有する通信ログのネットワーク内における出現頻度が所定値以上である場合、および、検知結果が対処不要であることが検知結果表示部２０９によってあらかじめ受け付けられている場合、のうちの少なくともいずれかの場合に、検知結果を除外する。なお、このとき、検知結果表示部２０９は、受付部として機能している。また、検知結果フィルタリング部２０５は、除外条件、または除外条件の候補となった検知結果については、ログ分析部２０４で同様の検知が行われにくくなるような処理を行ってもよい。例えば、検知結果フィルタリング部２０５は、除外条件、または除外条件の候補となった検知結果をログ分析部２０４に通知してもよい。この場合、ログ分析部２０４は、通知された検知結果に対応する分析ルールを分析対象から除外してもよいし、当該分析ルールの閾値を大きくするようにしてもよい。
【００５８】
図７の例では、検知結果表示部２０９は、端末名が「ＰＣ＿００１」、端末ＩＰアドレスが「192.168.10.10」である端末が検知され、検知のスコアが「５８」であることを表示している。また、検知結果表示部２０９は、端末名が「ＰＣ＿１１１」、端末ＩＰアドレスが「192.168.20.20」である端末が検知され、検知のスコアが「４」であり、除外チェックボックス２０９ｂがチェックされたことを表示している。また、検知結果表示部２０９は、端末名が「ＰＣ＿１２３」、端末ＩＰアドレスが「192.168.40.40」である端末が検知され、検知のスコアが「４２」であることを表示している。また、検知結果表示部２０９は、端末名が「ＰＣ＿４５６」、端末ＩＰアドレスが「192.168.50.50」である端末が検知され、検知のスコアが「１５」であることを表示している。
【００５９】
［第１の実施形態の処理］
図８を用いて、ログ分析装置２０の処理について説明する。図８は、第１の実施形態に係るログ分析装置の処理の流れを示すフローチャートである。図８に示すように、まず、ログ取得部２０１は、分析対象の通信ログを取得する（ステップＳ１１）。次に、ログ分析部２０４は、分析対象の通信ログを基に、分析ルールに合致する端末を検知する（ステップＳ１２）。
【００６０】
そして、検知結果フィルタリング部２０５は、ログ分析部２０４による検知結果のうち、検知除外条件に合致する検知結果を除外する（ステップＳ１３）。なお、検知除外条件は、統計情報抽出部２０２が通信ログから抽出したネットワーク統計情報２５２を、除外条件学習部２０３が学習することによって生成される。
【００６１】
ここで、一次スコアリング部２０６は、分析ルールおよび検知結果を基に一次スコアを計算し、計算した一次スコアを検知結果に付与し、一次検知結果２５６とする（ステップＳ１４）。
【００６２】
そして、二次スコアリング部２０８は、一次スコアおよび検知の継続性を基に二次スコアを計算し、計算した二次スコアを一次検知結果２５６に付与し、二次検知結果２５８とする（ステップＳ１５）。そして、検知結果表示部２０９は、二次検知結果２５８に含まれる検知結果およびスコアを画面に表示することで出力する（ステップＳ１６）。
【００６３】
また、フィードバック部２１０は、検知結果表示部２０９によって表示された検知結果のうち、オペレータ３０によって検知から除外してよいと判断された検知結果を、検知除外条件２５５にフィードバックする。
【００６４】
［第１の実施形態の効果］
ログ取得部２０１は、所定のネットワークにおける通信から得られる分析対象の通信ログを取得する。ログ分析部２０４は、マルウェアに感染した端末が発生させる通信ログの特徴に基づいて生成されたシグネチャを用いた分析ルールに合致する端末を検知する。一次スコアリング部２０６および二次スコアリング部２０８は、ログ分析部２０４によって検知された端末に関する情報と端末が合致した分析ルールとを含んだ検知結果に対して、脅威の度合いを表すスコアを、分析ルールに関する情報および検知結果に関する情報を用いて計算する。検知結果表示部２０９は、検知結果と、一次スコアリング部２０６および二次スコアリング部２０８によって計算されたスコアと、を出力する。
【００６５】
これにより、検知結果が複数ある場合であっても、オペレータは、それぞれの検知結果に付与されたスコアを確認することができる。このため、オペレータは、優先的に対処すべき検知結果を容易に判断することができる。例えば、オペレータは、未対処の検知結果のうち、スコアが最も大きい検知結果を優先的に対処する検知結果として判断する。
【００６６】
ログ分析部２０４は、分析対象の通信ログに含まれる所定のフィールドおよび値の組が、シグネチャに合致した回数があらかじめ設定された閾値以上である端末を検知してもよい。このとき、一次スコアリング部２０６は、あらかじめ設定されたシグネチャの脅威の度合い、および閾値と回数との乖離の度合いを基に、一次スコアを計算する。
【００６７】
これにより、通信ログがシグネチャに合致した回数をスコアに反映させることができる。例えば、通信ログがシグネチャに合致した回数が多い端末は、実際にマルウェアによる悪性通信が多く発生していることが考えられる。このため、通信ログがシグネチャに合致した回数をスコアに反映させることで、オペレータは、悪性通信が多く発生している端末を優先的に対処する判断を行うことができるようになる。
【００６８】
さらに、二次スコアリング部２０８は、検知結果に含まれる端末に関する情報および分析ルールと同一の端末に関する情報および分析ルールを含む検知結果の出現期間および出現頻度と、一次スコアと、を基に二次スコアを計算してもよい。このとき、検知結果表示部２０９は、少なくとも、検知結果に含まれる端末に関する情報と、二次スコアと、を出力する。
【００６９】
これにより、検知結果の継続性をスコアに反映させることができる。例えば、脅威度が小さいシグネチャによって検知された検知結果であっても、同一の端末で同一の検知が長期間、または高頻度で発生している場合に、オペレータは、当該検知結果を優先的に対処する判断を行うことができるようになる。
【００７０】
また、検知結果フィルタリング部２０５は、ログ分析部２０４による検知結果のうち、所定の条件に合致する検知結果を除外してもよい。このとき、一次スコアリング部２０６および二次スコアリング部２０８は、ログ分析部２０４による検知結果のうち、検知結果フィルタリング部２０５によって除外された検知結果以外の検知結果についてスコアを計算する。
【００７１】
このように、あらかじめ設定された所定の除外条件に基づいて検知結果を除外しておくことで、一次スコアリングおよび二次スコアリングにおける処理負荷、およびオペレータの検知結果の優先度の判断に要する負担を低減することができる。
【００７２】
検知結果表示部２０９は、検知結果が対処不要であるか否かの選択を受け付けるようにしてもよい。このとき、検知結果フィルタリング部２０５は、検知結果に含まれる分析ルールによって用いられるシグネチャと同じ特徴を有する通信ログのネットワーク内における出現頻度が所定値以上である場合、および、検知結果が対処不要であることが検知結果表示部２０９によってあらかじめ受け付けられている場合、のうちの少なくともいずれかの場合に、検知結果を除外する。
【００７３】
これにより、オペレータが除外してよいと判断した検知結果を除外することができ、オペレータの検知結果の優先度の判断に要する負担を低減することができる。また、ネットワーク内でよくみられる特徴を有する通信ログによる検知結果を除外することで、誤検知を低減することができる。
【００７４】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００７５】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００７６】
［プログラム］
一実施形態として、ログ分析装置２０は、パッケージソフトウェアやオンラインソフトウェアとして上記のログ分析を実行するログ分析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記のログ分析プログラムを情報処理装置に実行させることにより、情報処理装置をログ分析装置２０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistant）等のスレート端末等がその範疇に含まれる。
【００７７】
また、ログ分析装置２０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記のログ分析に関するサービスを提供するログ分析サーバ装置として実装することもできる。例えば、ログ分析サーバ装置は、分析対象の通信ログを入力とし、検知された端末に関する情報および二次スコアを出力とするログ分析サービスを提供するサーバ装置として実装される。この場合、ログ分析サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記のログ分析に関するサービスを提供するクラウドとして実装することとしてもかまわない。
【００７８】
図９は、プログラムが実行されることによりログ分析装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００７９】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【００８０】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ログ分析装置２０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、ログ分析装置２０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
【００８１】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００８２】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３およびプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３およびプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００８３】
１  ログ分析システム
１０  ログ収集蓄積装置
２０  ログ分析装置
３０  オペレータ
１０１  収集部
１０２  正規化部
１０３  正規化済通信ログ
２０１  ログ取得部
２０２  統計情報抽出部
２０３  除外条件学習部
２０４  ログ分析部
２０５  検知結果フィルタリング部
２０６  一次スコアリング部
２０７  継続性判定部
２０８  二次スコアリング部
２０９  検知結果表示部
２５１  分析用通信ログ
２５２  ネットワーク統計情報
２５３  分析ルール設定情報
２５４  シグネチャ情報
２５５  検知除外条件
２５６  一次検知結果
２５７  継続情報
２５８  二次検知結果
【図１】
2017221711.tif 000003
【図２】
2017221711.tif 000004
【図３】
2017221711.tif 000005
【図４】
2017221711.tif 000006
【図５】
2017221711.tif 000007
【図６】
2017221711.tif 000008
【図７】
2017221711.tif 000009
【図８】
2017221711.tif 000010
【図９】
2017221711.tif 000011
【国際調査報告】
2017221711.tif 000012
2017221711.tif 000013
2017221711.tif 000014
2017221711.tif 000015