(57)【要約】  ログ取得部（４０１）は、分析用通信ログ（４５１）と、悪性通信ログ（４５２）と、を取得する。シグネチャ生成部（４０２）は、悪性通信ログ（４５２）に含まれるフィールドおよび値を基に、マルウェアに感染した端末を検知する条件であるシグネチャを生成する。マルウェア解析レポート取得部（４０３）は、マルウェアに関する情報を取得する。マルウェア情報付与部（４０４）は、シグネチャに、マルウェアに関する情報を付与する。ログ分析部（４０６）は、シグネチャを用いて分析用通信ログ（４５１）を分析し、マルウェアに感染した端末を検知する。検知結果表示部（４０７）は、ログ分析部（４０６）による分析用通信ログ（４５１）の検知結果と、分析用通信ログ（４５１）の分析に用いられたシグネチャに付与されたマルウェアに関する情報と、を対応付けて表示する。
2017217301.tif 000002
【特許請求の範囲】
【請求項１】
所定のネットワークにおける通信から得られる第１の通信ログと、マルウェアによる通信から得られる第２の通信ログと、を取得するログ取得部と、
前記第２の通信ログに含まれるフィールドおよび値を基に、前記マルウェアに感染した端末を検知する条件であるシグネチャを生成するシグネチャ生成部と、
前記マルウェアに関する情報を取得するマルウェア情報取得部と、
前記シグネチャに、前記マルウェアに関する情報を付与するマルウェア情報付与部と、
前記シグネチャを用いて前記第１の通信ログを分析し、前記マルウェアに感染した端末を検知する検知部と、
前記検知部による前記第１の通信ログの検知結果と、前記第１の通信ログの分析に用いられた前記シグネチャに付与された前記マルウェアに関する情報と、を対応付けて表示する表示部と、
を有することを特徴とするログ分析装置。
【請求項２】
前記表示部は、前記第１の通信ログのうち、フィールドおよび値が前記シグネチャのフィールドおよび値と合致した第１の通信ログに関する情報をさらに表示することを特徴とする請求項１に記載のログ分析装置。
【請求項３】
前記検知結果が無害であるか否かの選択を受け付け、前記選択を基に条件を生成する無害条件生成部をさらに有し、
前記表示部は、前記検知結果が前記無害条件生成部によって生成された条件を満たすか否かによって、前記検知結果が無害であるか否かを判定し、前記検知結果が無害でないと判定した場合に、前記検知結果と前記マルウェアに関する情報とを対応付けて表示することを特徴とする請求項１に記載のログ分析装置。
【請求項４】
前記シグネチャ生成部は、前記第２の通信ログに含まれるフィールドから、所定の条件を満たすフィールドを抽出し、抽出したフィールドおよび値の組に閾値が設定されたシグネチャを生成することを特徴とする請求項１に記載のログ分析装置。
【請求項５】
前記シグネチャのうち、前記第１の通信ログを分析した場合の誤検知数または誤検知率が所定値以上であるシグネチャを除外する除外部をさらに有することを特徴とする請求項１に記載のログ分析装置。
【請求項６】
前記マルウェア情報付与部は、前記シグネチャに、前記マルウェアに関する情報として、ファイルタイプ、登録された日時、検知名、動作情報のうち少なくとも１つを付与することを特徴とする請求項１に記載のログ分析装置。
【請求項７】
ログ分析装置で実行されるログ分析方法であって、
所定のネットワークにおける通信から得られる第１の通信ログと、マルウェアによる通信から得られる第２の通信ログと、を取得するログ取得工程と、
前記第２の通信ログに含まれるフィールドおよび値を基に、前記マルウェアに感染した端末を検知する条件であるシグネチャを生成するシグネチャ生成工程と、
前記マルウェアに関する情報を取得するマルウェア情報取得工程と、
前記シグネチャに、前記マルウェアに関する情報を付与するマルウェア情報付与工程と、
前記シグネチャを用いて前記第１の通信ログを分析し、前記マルウェアに感染した端末を検知する検知工程と、
前記検知工程による前記第１の通信ログの検知結果と、前記第１の通信ログの分析に用いられた前記シグネチャに付与された前記マルウェアに関する情報と、を対応付けて表示する表示工程と、
を含んだことを特徴とするログ分析方法。
【請求項８】
コンピュータを、請求項１に記載のログ分析装置として機能させるためのログ分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログ分析装置、ログ分析方法およびログ分析プログラムに関する。
【背景技術】
【０００２】
ネットワークを介しての各種サービスやインフラへのサイバー攻撃は多種多様な手法を用いた執拗なものへと日々進化し、ますます脅威が増大しているが、感染を完全に防ぐことは困難である。そのため、感染を前提として、通信の情報からマルウェア感染端末を早期に発見し駆除するためのマルウェア感染端末の検知技術が知られている。【０００３】
例えば、マルウェア感染端末の検知技術として、マルウェアの動的解析結果を用いて、悪性リストや通信の挙動に基づいたシグネチャを作成し、防御対象の通信ログを分析する技術が知られている。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】中田健介、青木一史、神谷和憲、角田進、大嶋嘉人、「動的解析結果に基づく共通的なマルウェア通信パターン抽出技術の検討」、情報処理学会、コンピュータセキュリティシンポジウム２０１５
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来の技術には、ログ分析の検知結果を基に、オペレータが詳細解析および対処の要否を判断することが困難であるという問題があった。例えば、従来の技術では、ログ分析の検知結果、および検知に用いられたシグネチャがオペレータに通知される場合がある。この場合、オペレータは、検知結果やシグネチャに関する情報を得ることができるが、検知結果に対しどのような対処をするべきかを判断するための情報を得ることができないため、検知結果を解析し、詳細解析および対処の要否を判断することが困難であった。
【課題を解決するための手段】
【０００６】
本発明のログ分析装置は、所定のネットワークにおける通信から得られる第１の通信ログと、マルウェアによる通信から得られる第２の通信ログと、を取得するログ取得部と、前記第２の通信ログに含まれるフィールドおよび値を基に、前記マルウェアに感染した端末を検知する条件であるシグネチャを生成するシグネチャ生成部と、前記マルウェアに関する情報を取得するマルウェア情報取得部と、前記シグネチャに、前記マルウェアに関する情報を付与するマルウェア情報付与部と、前記シグネチャを用いて前記第１の通信ログを分析し、前記マルウェアに感染した端末を検知する検知部と、前記検知部による前記第１の通信ログの検知結果と、前記第１の通信ログの分析に用いられた前記シグネチャに付与された前記マルウェアに関する情報と、を対応付けて表示する表示部と、を有することを特徴とする。【０００７】
また、本発明のログ分析方法は、ログ分析装置で実行されるログ分析方法であって、所定のネットワークにおける通信から得られる第１の通信ログと、マルウェアによる通信から得られる第２の通信ログと、を取得するログ取得工程と、前記第２の通信ログに含まれるフィールドおよび値を基に、前記マルウェアに感染した端末を検知する条件であるシグネチャを生成するシグネチャ生成工程と、前記マルウェアに関する情報を取得するマルウェア情報取得工程と、前記シグネチャに、前記マルウェアに関する情報を付与するマルウェア情報付与工程と、前記シグネチャを用いて前記第１の通信ログを分析し、前記マルウェアに感染した端末を検知する検知工程と、前記検知工程による前記第１の通信ログの検知結果と、前記第１の通信ログの分析に用いられた前記シグネチャに付与された前記マルウェアに関する情報と、を対応付けて表示する表示工程と、を含んだことを特徴とする。
【発明の効果】
【０００８】
本発明によれば、ログ分析の検知結果を基に、オペレータが容易に詳細解析および対処の要否を判断することができるようになる。
【図面の簡単な説明】
【０００９】
【図１】図１は、第１の実施形態に係るログ分析システムの構成の一例を示す図である。
【図２】図２は、通信ログのフィールドの一例を示す図である。
【図３】図３は、シグネチャ候補の一例を示す図である。
【図４】図４は、マルウェアに関する情報の一例を示す図である。
【図５】図５は、マルウェアに関する情報が付与されたシグネチャ候補の一例を示す図である。
【図６】図６は、検知結果表示画面の一例を示す図である。
【図７】図７は、第１の実施形態に係るログ分析装置の処理の流れを示すフローチャートである。
【図８】図８は、プログラムが実行されることによりログ分析装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１０】
以下に、本願に係るログ分析装置、ログ分析方法およびログ分析プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本発明が限定されるものではない。
【００１１】
［第１の実施形態の構成］
まず、図１を用いて、第１の実施形態に係るログ分析システムの構成について説明する。図１は、第１の実施形態に係るログ分析システムの構成の一例を示す図である。図１に示すように、ログ分析システム１は、マルウェア共有サーバ１０、マルウェア動的解析装置２０、ログ収集蓄積装置３０およびログ分析装置４０を有する。
【００１２】
マルウェア共有サーバ１０、マルウェア動的解析装置２０、ログ収集蓄積装置３０およびログ分析装置４０は、例えば、有線または無線のＬＡＮ（Local  Area  Network）やＶＰＮ（Virtual  Private  Network）等の任意の種類の通信網によって接続されている。なお、ログ分析システム１に含まれるログ分析装置４０の数は、図示の数に限定されず、任意の数とすることができる。
【００１３】
また、マルウェア共有サーバ１０、マルウェア動的解析装置２０、ログ収集蓄積装置３０およびログ分析装置４０は、それぞれ図示しない通信部、制御部、および記憶部を有する。
【００１４】
通信部は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部はＮＩＣ（Network  Interface  Card）である。また、制御部は、装置全体を制御する。制御部は、例えば、ＣＰＵ（Central  Processing  Unit）、ＭＰＵ（Micro  Processing  Unit）等の電子回路や、ＡＳＩＣ（Application  Specific  Integrated  Circuit）、ＦＰＧＡ（Field  Programmable  Gate  Array）等の集積回路である。また、制御部は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部で各種のプログラムを動作させることにより各処理部が実現される。
【００１５】
また、記憶部は、ＨＤＤ（Hard  Disk  Drive）、ＳＳＤ（Solid  State  Drive）、光ディスク等の記憶装置である。なお、記憶部は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non  Volatile  Static  Random  Access  Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部は、各装置で実行されるＯＳ（Operating  System）や各種プログラムを記憶する。さらに、記憶部は、プログラムの実行で用いられる各種情報を記憶する。
【００１６】
例えば、制御部でプログラムを動作させることにより、後述のログ取得部４０１、シグネチャ生成部４０２、マルウェア解析レポート取得部４０３、マルウェア情報付与部４０４、トレーニング部４０５、ログ分析部４０６、検知結果表示部４０７および無害判定部４０８が実現される。また、例えば、記憶部は、後述の分析用通信ログ４５１、悪性通信ログ４５２、シグネチャ情報４５３、検知結果４５４および無害判定条件４５５を記憶する。
【００１７】
ここで、ログ分析システム１の各装置について説明する。まず、マルウェア共有サーバ１０は、マルウェアに関する情報を、マルウェア共有サイトを介してログ分析装置４０等に提供する。マルウェア共有サイトには、例えばVirusTotalがある。図１に示すように、マルウェア共有サーバ１０は、マルウェアに関する情報を、マルウェア検体情報１０１として記憶する。
【００１８】
マルウェア動的解析装置２０は、マルウェアを動作させ、悪性通信ログを取得する。図１に示すように、マルウェア動的解析装置２０は、マルウェア取得部２０１、動的解析部２０２を有し、悪性通信ログ２０３を記憶する。マルウェア取得部２０１は、マルウェア共有サーバ１０からマルウェア検体情報１０１を取得する。また、動的解析部２０２は、端末に感染させたマルウェアを動作させ、悪性通信ログ２０３を取得する。なお、マルウェア取得部２０１は、ハニーポットを設置してマルウェアを取得してもよい。
【００１９】
ログ収集蓄積装置３０は、分析対象の通信ログおよび悪性通信ログを収集し蓄積する。図１に示すように、ログ収集蓄積装置３０は、収集部３０１、正規化部３０２を有し、正規化済通信ログ３０３を記憶する。収集部３０１は、マルウェア動的解析装置２０から悪性通信ログ２０３を取得する。
【００２０】
また、収集部３０１は、ＩＤＳ（Intrusion  Detection  System）／ＩＰＳ（Intrusion  Prevention  System）、WebProxy、FireWall等から、分析対象の通信ログを取得する。分析対象の通信ログは、悪性であるか否かが未知の通信ログである。
【００２１】
正規化部３０２は、通信ログの正規化を行う。通信ログは、当該通信ログを記録した機器ごとにフォーマットが異なっている場合がある。このため、正規化部３０２は、通信ログから所定のフィールドおよび値を抽出することで正規化を行う。正規化部３０２が正規化を行った通信ログには、例えば分析対象の通信ログおよび悪性通信ログが含まれる。そして、ログ収集蓄積装置３０は、正規化した通信ログを正規化済通信ログ３０３として記憶する。
【００２２】
図２を用いて通信ログのフィールドおよび値について説明する。図２は、通信ログのフィールドの一例を示す図である。正規化部３０２は、例えば図２に示すようなフィールドおよび値を、正規化済通信ログ３０３として通信ログから抽出する。
【００２３】
図２に示すように、通信ログのフィールドには、例えば、タイムスタンプ、LogSource、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、通信プロトコル名、判定結果、送信バイト数、受信バイト数、ＵＲＬ、メソッド名、UserAgent、ステータスコード、継続時間および通信方向が含まれる。
【００２４】
フィールド「タイムスタンプ」の値は、通信ログが取得された時刻である。また、フィールド「LogSource」の値は、通信ログを記録した機器ごとのユニークなＩＤである。また、フィールド「送信元ＩＰアドレス」の値は、当該通信の送信元ＩＰアドレス情報である。また、フィールド「送信元ポート番号」の値は、当該通信の送信元ポート番号である。また、フィールド「宛先ＩＰアドレス」の値は、当該通信の宛先ＩＰアドレスである。また、フィールド「宛先ポート番号」の値は、当該通信の宛先ポート番号である。また、フィールド「通信プロトコル名」の値は、当該通信の通信プロトコル名である。また、フィールド「判定結果」の値は、当該通信の機器における判定結果である。また、フィールド「送信バイト数」の値は、当該通信の送信バイト数である。また、フィールド「受信バイト数」の値は、当該通信の受信バイト数である。また、フィールド「ＵＲＬ」の値は、当該通信がＨＴＴＰ通信である際の宛先ＵＲＬである。また、フィールド「メソッド名」の値は、当該通信がＨＴＴＰ通信である際のＨＴＴＰメソッド名である。また、フィールド「UserAgent」の値は、当該通信がＨＴＴＰ通信である際のＨＴＴＰユーザエージェント名である。また、フィールド「ステータスコード」の値は、当該通信がＨＴＴＰ通信である際のＨＴＴＰステータスコードである。また、フィールド「継続時間」の値は、当該通信におけるセッション継続時間である。また、フィールド「通信方向」の値は、当該通信における通信方向である。
【００２５】
ログ分析装置４０は、通信ログを分析し、分析結果および分析に用いたシグネチャの生成元のマルウェアに関する情報を表示する。図１に示すように、ログ分析装置４０は、ログ取得部４０１、シグネチャ生成部４０２、マルウェア解析レポート取得部４０３、マルウェア情報付与部４０４、トレーニング部４０５、ログ分析部４０６、検知結果表示部４０７および無害判定部４０８を有する。また、ログ分析装置４０は、分析用通信ログ４５１、悪性通信ログ４５２、シグネチャ情報４５３、検知結果４５４および無害判定条件４５５を記憶する。
【００２６】
ログ取得部４０１は、ログ収集蓄積装置３０の正規化済通信ログ３０３を取得する。例えば、ログ取得部４０１は、所定の検索条件で正規化済通信ログ３０３を検索し、ログの取得を問い合わせる。そして、ログ収集蓄積装置３０は、検索結果を応答としてログ取得部４０１に返す。なお、ログ取得部４０１が取得する正規化済通信ログ３０３には、分析対象の通信ログおよび悪性通信ログの両方が含まれている。また、以降の説明において、正規化された通信ログを単に通信ログと呼ぶ。
【００２７】
次に、ログ取得部４０１は、取得した通信ログのうち、分析対象の通信ログを分析用通信ログ４５１としてログ分析装置４０に記憶させる。また、ログ取得部４０１は、取得した通信ログのうち、悪性通信ログを、悪性通信ログ４５２としてログ分析装置４０に記憶させる。このように、ログ取得部４０１は、所定のネットワークにおける通信から得られる分析用通信ログ４５１と、マルウェアによる通信から得られる悪性通信ログ４５２と、を取得する。
【００２８】
また、シグネチャ生成部４０２は、悪性通信ログ４５２に含まれるフィールドおよび値を基に、マルウェアに感染した端末を検知する条件であるシグネチャを生成する。ここで、図３を用いてシグネチャ候補について説明する。図３は、シグネチャ候補の一例を示す図である。
【００２９】
シグネチャ生成部４０２は、悪性通信ログ４５２に含まれるフィールドから、所定の条件を満たすフィールドを抽出し、抽出したフィールドおよび値の組に閾値が設定されたシグネチャを生成する。例えば、シグネチャ生成部４０２は、悪性通信ログ４５２のフィールドおよび値の出現回数、出現割合、出現順位等が所定の条件を満たしている場合、シグネチャ候補として抽出する。
【００３０】
図３に示すように、例えば、シグネチャ生成部４０２は、フィールドが「ＵＲＬ」、値が「http://www.malsite.com/」、閾値が１であるシグネチャを生成する。この場合、例えば、ログ分析装置４０は、当該ＵＲＬを含む通信ログが１回以上記録されている端末を検知する。
【００３１】
また、例えば、シグネチャ生成部４０２は、フィールドが「プロトコル＋宛先ポート」、値が「ＴＣＰ／４０９２」、閾値が１０であるシグネチャを生成する。この場合、例えば、ログ分析装置４０は、当該値を含む通信ログが１０回以上記録されている端末を検知する。このように、シグネチャ生成部４０２は、フィールドの値を組み合わせてシグネチャ候補を生成してもよい。
【００３２】
また、例えば、シグネチャ生成部４０２は、フィールドが「宛先組織」、値が「Malware.com」、閾値が１であるシグネチャを生成する。この場合、例えば、ログ分析装置４０は、当該組織を含む通信ログが１回以上記録されている端末を検知する。なお、宛先組織は、通信ログ中のＵＲＬ情報から抽出することができる。
【００３３】
また、例えば、シグネチャ生成部４０２は、フィールドが「UserAgent」、値が「badAgent」、閾値が５であるシグネチャを生成する。この場合、例えば、ログ分析装置４０は、当該UserAgentを含む通信ログが５回以上記録されている端末を検知する。
【００３４】
また、例えば、シグネチャ生成部４０２は、フィールドが「宛先ＩＰアドレス」、値が「10.10.10.10」、閾値が５であるシグネチャを生成する。この場合、例えば、ログ分析装置４０は、当該宛先ＩＰアドレスを含む通信ログが５回以上記録されている端末を検知する。
【００３５】
マルウェア解析レポート取得部４０３は、マルウェアに関する情報を取得する。マルウェア解析レポート取得部４０３は、マルウェア共有サーバ１０から、マルウェア共有サイトを介してマルウェア検体情報１０１を取得する。マルウェア解析レポート取得部４０３は、取得したマルウェア検体情報１０１を、レポートファイルとしてマルウェア情報付与部４０４に受け渡す。図４に示すように、マルウェア検体情報１０１が受け渡すレポートファイルには、マルウェアに関する情報として、マルウェアがアクセスを行ったファイル、マルウェアが実行したコマンド、マルウェアの感染端末内での挙動、当該マルウェアに対する（Anti  Virus）ソフトの検知結果等に関する情報が含まれる。図４は、マルウェアに関する情報の一例を示す図である。
【００３６】
図４に示すように、マルウェアに関する情報の項目名には、例えば「imphash」、「ＴｒＩＤ」、「First_Seen」、「AntiVirusベンダの検知名」、「behaviour」、「Ｓｈａ１」が含まれる。
【００３７】
項目「imphash」は、当該マルウェアのインポート関数のハッシュ値である。また、項目「ＴｒＩＤ」は、当該マルウェアのファイルタイプである。また、項目「First_Seen」は、当該マルウェアが初めて共有サイトに登録された日時である。また、項目「AntiVirusベンダの検知名」は、当該マルウェアの各ＡＶソフトの検知結果である。また、項目「behaviour」は、当該マルウェアの動作情報である。また、項目「Ｓｈａ１」は、当該マルウェアのｓｈａ１ハッシュ値である。なお、マルウェアに関する各情報が集約されたＷｅｂページが存在する場合、ログ分析装置４０は、当該ＷｅｂページのＵＲＬを参考ＵＲＬとしてレポートファイル等に記憶させておき、検知結果表示部４０７に表示させてもよい。
【００３８】
また、マルウェア情報付与部４０４は、シグネチャ候補に、マルウェアに関する情報を付与する。マルウェア情報付与部４０４は、レポートファイルに含まれるマルウェアに関する情報を、各シグネチャ候補に付与する。例えば、マルウェア情報付与部４０４は、シグネチャ候補に、ファイルタイプ、登録された日時、検知名、動作情報のうち少なくとも１つを付与する。各シグネチャ候補には、生成元となった悪性通信ログ４５２が存在する。このため、マルウェア情報付与部４０４は、悪性通信ログ４５２を生成したマルウェアに対応する情報が付与される。ここで、例えば、動的解析部２０２が悪性通信ログ２０３を取得する際に動作させたマルウェアを識別可能な情報を、悪性通信ログ２０３とともにログ収集蓄積装置３０及びログ分析装置４０等に流通させておくことで、マルウェア情報付与部４０４は、シグネチャ候補とマルウェアに関する情報との対応付けを行うことができる。
【００３９】
なお、シグネチャ候補の生成元のマルウェアが複数存在する場合がある。このような場合、マルウェア情報付与部４０４は、１つのシグネチャ候補に、複数のマルウェアに関する情報を並列して付与してもよいし、所定の条件で限定した１つのマルウェアに関する情報のみを付与するようにしてもよい。
【００４０】
例えば、マルウェア情報付与部４０４は、マルウェアの分類名について、マルウェアに関する情報の提供元であるベンダのうち、確度が最も高いベンダによって提供される分類名をシグネチャ候補に付与するようにしてもよいし、最も多くのベンダから提供されている分類名を付与するようにしてもよい。
【００４１】
ここで、図５を用いてマルウェアに関する情報が付与されたシグネチャ候補について説明する。図５は、マルウェアに関する情報が付与されたシグネチャ候補の一例を示す図である。図５の例では、マルウェアに関する情報の一例として、マルウェアの分類名、すなわち、図４における項目「AntiVirusベンダの検知名」の値がシグネチャ候補に付与されている。
【００４２】
図５に示すように、マルウェア情報付与部４０４は、例えば、フィールドが「ＵＲＬ」、値が「http://www.malsite.com/」、閾値が１であるシグネチャ候補に、マルウェア情報「Win-PUP/SoftPulse」を付与する。
【００４３】
また、例えば、マルウェア情報付与部４０４は、フィールドが「プロトコル＋宛先ポート」、値が「ＴＣＰ／４０９２」、閾値が１０であるシグネチャ候補に、マルウェア情報「BehavesLike.Win32.CryptDoma.dc」を付与する。
【００４４】
また、例えば、マルウェア情報付与部４０４は、フィールドが「宛先組織」、値が「Malware.com」、閾値が１であるシグネチャ候補に、マルウェア情報「Gen:Variant.Application.Bundler.SoftPulse.4」を付与する。
【００４５】
また、例えば、マルウェア情報付与部４０４は、フィールドが「UserAgent」、値が「badAgent」、閾値が５であるシグネチャ候補に、マルウェア情報「Trojan.Win32.DriverUpd.dmhxcl」を付与する。
【００４６】
また、例えば、マルウェア情報付与部４０４は、フィールドが「宛先ＩＰアドレス」、値が「10.10.10.10」、閾値が５であるシグネチャ候補に、マルウェア情報「Trj/Genetic.gen、Signed-Adware.Softpulse」を付与する。
【００４７】
トレーニング部４０５は、学習用の通信ログを用いてシグネチャ候補のトレーニングを行う。トレーニング部４０５は、学習用の通信ログとして、例えば分析用通信ログ４５１を一定期間蓄積したものを用いる。例えば、トレーニング部４０５は、シグネチャ候補を用いて検知した結果を全て誤検知とみなし、誤検知の結果が所定の条件を満たすシグネチャ候補を除外する。例えば、トレーニング部４０５は、誤検知数または誤検知率が所定の閾値以上であるシグネチャ候補を除外し、残ったシグネチャ候補をシグネチャ情報４５３に含める。このように、トレーニング部４０５は、シグネチャ候補のうち、分析用通信ログ４５１を分析した場合の誤検知数または誤検知率が所定値以上であるシグネチャを除外する。
【００４８】
シグネチャ情報４５３には、マルウェア情報付与部４０４によって付与されたマルウェアに関する情報が、シグネチャと紐付けられて記憶されている。なお、ログ分析装置４０は、トレーニング部４０５によるトレーニングを行わず、全てのシグネチャ候補をシグネチャ情報４５３に含めてもよい。
【００４９】
ログ分析部４０６は、シグネチャを用いて分析用通信ログ４５１を分析し、マルウェアに感染した端末を検知する。ログ分析部４０６は、図３に示すような、各シグネチャの検知条件に合致した端末を検知する。ログ分析部４０６は、検知結果４５４を、検知結果表示部４０７に受け渡す。検知結果４５４には、検知に用いられたシグネチャ、検知された端末に関する情報、および当該シグネチャに付与されたマルウェアに関する情報が含まれる。なお、ログ分析部４０６は、端末に関する情報を、分析用通信ログ４５１に含まれる送信元ＩＰとしてもよいし、参照可能な別ＤＢから送信元ＩＰの情報を紐付けて取得したユーザＩＤや端末のＩＤ情報としてもよい。
【００５０】
検知結果表示部４０７は、検知結果４５４を表示する。例えば、検知結果表示部４０７は、図６に示すように、オペレータ５０が閲覧可能な形式で、検知結果表示画面４０７ａに検知結果４５４を表示する。図６は、検知結果表示画面の一例を示す図である。検知結果表示部４０７は、ログ分析部４０６による分析用通信ログ４５１の検知結果と、分析用通信ログ４５１の分析に用いられたシグネチャに付与されたマルウェアに関する情報と、を対応付けて表示する。さらに、このとき、検知結果表示部４０７は、検知結果４５４に含まれない情報を、解析用付加情報として分析用通信ログ４５１から通信ログに関する情報を取得して表示してもよい。
【００５１】
図６の例では、検知結果表示部４０７は、感染端末情報として、感染した端末の端末ＩＤが「ＰＣ＿１２３」であること、および管理者が「社員Ａ」であることを表示している。なお、検知結果表示部４０７は、感染端末情報を、ログ分析部４０６によって取得されたユーザＩＤや端末のＩＤ情報としてもよい。
【００５２】
また、検知結果表示部４０７は、検知結果の原因となったマルウェアに付与されたマルウェアの分類名が「Win-PUP/SoftPulse」であること、および参考ＵＲＬが「http://www.example.com/malware1」であることを表示している。なお、参考ＵＲＬは、例えば、当該マルウェアの情報を提供しているマルウェア共有サイトのＵＲＬである。
【００５３】
また、検知結果表示部４０７は、分析用通信ログ４５１のうち、フィールドおよび値がシグネチャのフィールドおよび値と合致した分析用通信ログ４５１に関する情報をさらに表示する。検知結果表示部４０７は、マルウェア感染端末の検知の原因となった通信ログの情報として、取得時刻が「2016/5/31  12:10:15」であること、宛先ＩＰアドレスが「10.10.10.20」であること、およびＵＲＬが「http://www.malsite.com/」であることを表示している。
【００５４】
さらに、検知結果表示部４０７は、無害判定ボタン４０８ａを表示している。無害判定部４０８は、無害判定ボタン４０８ａがオペレータ５０によって押下されると、ログ分析の検知結果を無害なものであると判定する条件として、無害判定条件４５５を生成する。検知結果表示部４０７は、ログ分析の検知結果が、無害判定条件４５５を満たす場合、当該ログ分析の検知結果および分析に用いられたシグネチャに付与されたマルウェアに関する情報を表示しない。
【００５５】
このように、無害判定部４０８は、検知結果が無害であるか否かの選択を受け付け、選択を基に条件を生成する。そして、検知結果表示部４０７は、検知結果が無害判定部４０８によって生成された条件を満たすか否かによって、検知結果が無害であるか否かを判定し、検知結果が無害でないと判定した場合に、検知結果と分析に用いられたシグネチャに付与されたマルウェアに関する情報とを対応付けて表示する。
【００５６】
なお、シグネチャにマルウェアに関する情報を付与するタイミングは、図１の例のものに限られない。例えば、マルウェア情報付与部４０４は、トレーニング部４０５によるトレーニング、およびログ分析部４０６によるログ分析が行われた後に、シグネチャにマルウェアに関する情報を付与するようにしてもよい。
【００５７】
［第１の実施形態の処理］
図７を用いて、ログ分析装置４０の処理の流れについて説明する。図７は、第１の実施形態に係るログ分析装置の処理の流れを示すフローチャートである。まず、図７に示すように、ログ取得部４０１は、通信ログを取得する（ステップＳ１１）。このとき、ログ取得部４０１が取得する通信ログには、分析用通信ログ４５１および悪性通信ログ４５２が含まれる。
【００５８】
次に、シグネチャ生成部４０２は、悪性通信ログ４５２を基に、シグネチャ候補を生成する（ステップＳ１２）。そして、マルウェア情報付与部４０４は、シグネチャ候補にマルウェアに関する情報を付与する（ステップＳ１３）。例えば、マルウェア情報付与部４０４は、シグネチャ候補の生成元となった悪性通信ログ４５２を発生させたマルウェアに関する情報を、当該シグネチャ候補に付与する。
【００５９】
次に、トレーニング部４０５は、学習用の通信ログを用いて、シグネチャ候補のトレーニングを行う（ステップＳ１４）。このとき、例えば、トレーニング部４０５は、シグネチャ候補のうち、誤検知率が所定値以上であるシグネチャ候補を除外する。
【００６０】
次に、ログ分析部４０６は、シグネチャを用いて分析用通信ログ４５１の分析を行う（ステップＳ１５）。ログ分析部４０６は、シグネチャの検知条件を満たす端末を、マルウェアに感染した端末として検知する。
【００６１】
ここで、検知結果表示部４０７は、ログ分析部４０６の検知結果が無害判定条件を満たす場合（ステップＳ１６、Ｙｅｓ）、検知結果を表示しない。一方、検知結果表示部４０７は、ログ分析部４０６の検知結果が無害判定条件４５５を満たさない場合（ステップＳ１６、Ｎｏ）、検知結果を表示する（ステップＳ１７）。さらに、表示された検知結果が、オペレータ５０によって無害であると判断された場合、無害判定部４０８は、当該判断を無害判定条件４５５にフィードバックする（ステップＳ１８）。
【００６２】
［第１の実施形態の効果］
ログ取得部４０１は、所定のネットワークにおける通信から得られる分析用通信ログ４５１と、マルウェアによる通信から得られる悪性通信ログ４５２と、を取得する。また、シグネチャ生成部４０２は、悪性通信ログ４５２に含まれるフィールドおよび値を基に、マルウェアに感染した端末を検知する条件であるシグネチャを生成する。また、マルウェア解析レポート取得部４０３は、マルウェアに関する情報を取得する。また、マルウェア情報付与部４０４は、シグネチャに、マルウェアに関する情報を付与する。また、ログ分析部４０６は、シグネチャを用いて分析用通信ログ４５１を分析し、マルウェアに感染した端末を検知する。また、検知結果表示部４０７は、ログ分析部４０６による分析用通信ログ４５１の検知結果と、分析用通信ログ４５１の分析に用いられたシグネチャに付与されたマルウェアに関する情報と、を対応付けて表示する。
【００６３】
これにより、オペレータは、端末がマルウェアに感染していることを知るとともに、当該検知結果に紐付くマルウェアに関する情報を得ることができる。このため、オペレータは、当該検知結果に紐付くマルウェアに関する情報に基づいて容易に解析等を行うことができる。
【００６４】
検知結果表示部４０７は、分析用通信ログ４５１のうち、フィールドおよび値がシグネチャのフィールドおよび値と合致した分析用通信ログ４５１に関する情報をさらに表示する。このように、検知結果だけでなく、検知の原因となった通信ログに関する情報を表示することで、オペレータはより多くの情報を得ることになり、解析がより容易になる。
【００６５】
無害判定部４０８は、検知結果が無害であるか否かの選択を受け付け、選択を基に条件を生成する。また、検知結果表示部４０７は、検知結果が無害判定部４０８によって生成された条件を満たすか否かによって、検知結果が無害であるか否かを判定し、検知結果が無害でないと判定した場合に、検知結果と分析に用いられたシグネチャに付与されたマルウェアに関する情報とを対応付けて表示する。
【００６６】
このように、オペレータの判断をログ分析に反映させることで、オペレータは一度無害であると判断した検知結果の解析を行う必要がなくなり、解析をより効率的に行うことができるようになる。
【００６７】
シグネチャ生成部４０２は、悪性通信ログ４５２に含まれるフィールドから、所定の条件を満たすフィールドを抽出し、抽出したフィールドおよび値の組に閾値が設定されたシグネチャを生成する。これにより、検知精度への影響が小さいフィールドをあらかじめ除外しておくことができるため、ログ分析における処理量を削減することができる。
【００６８】
トレーニング部４０５は、シグネチャのうち、分析用通信ログ４５１を分析した場合の誤検知数または誤検知率が所定値以上であるシグネチャを除外する。これにより、ログ分析における誤検知率を低減させることができる。
【００６９】
マルウェア情報付与部４０４は、シグネチャに、ファイルタイプ、登録された日時、検知名、動作情報のうち少なくとも１つを付与する。このように、オペレータが見ることによって理解できる情報を付与することで、解析を容易にすることができる。
【００７０】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００７１】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００７２】
［プログラム］
一実施形態として、ログ分析装置４０は、パッケージソフトウェアやオンラインソフトウェアとして上記のログ分析を実行するログ分析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記のログ分析プログラムを情報処理装置に実行させることにより、情報処理装置をログ分析装置４０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistant）等のスレート端末等がその範疇に含まれる。
【００７３】
また、ログ分析装置４０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記のログ分析に関するサービスを提供するログ分析サーバ装置として実装することもできる。例えば、ログ分析サーバ装置は、ユーザの通信ログを入力とし、分析結果および分析に用いられたシグネチャに付与されたマルウェアに関する情報を出力とするログ分析サービスを提供するサーバ装置として実装される。この場合、ログ分析サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記のログ分析に関するサービスを提供するクラウドとして実装することとしてもかまわない。
【００７４】
図８は、プログラムが実行されることによりログ分析装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００７５】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【００７６】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ログ分析装置４０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、ログ分析装置４０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
【００７７】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００７８】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３およびプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３およびプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００７９】
１  ログ分析システム
１０  マルウェア共有サーバ
２０  マルウェア動的解析装置
３０  ログ収集蓄積装置
４０  ログ分析装置
５０  オペレータ
１０１  マルウェア検体情報
２０１  マルウェア取得部
２０２  動的解析部
２０３  悪性通信ログ
３０１  収集部
３０２  正規化部
３０３  正規化済通信ログ
４０１  ログ取得部
４０２  シグネチャ生成部
４０３  マルウェア解析レポート取得部
４０４  マルウェア情報付与部
４０５  トレーニング部
４０６  ログ分析部
４０７  検知結果表示部
４０８  無害判定部
４５１  分析用通信ログ
４５２  悪性通信ログ
４５３  シグネチャ情報
４５４  検知結果
４５５  無害判定条件
【図１】
2017217301.tif 000003
【図２】
2017217301.tif 000004
【図３】
2017217301.tif 000005
【図４】
2017217301.tif 000006
【図５】
2017217301.tif 000007
【図６】
2017217301.tif 000008
【図７】
2017217301.tif 000009
【図８】
2017217301.tif 000010
【国際調査報告】
2017217301.tif 000011
2017217301.tif 000012
2017217301.tif 000013
2017217301.tif 000014