(57)【要約】【課題】  ファイアウォール及び不正侵入検知装置（ＩＤＳ）のログとＳＮＭＰの管理情報を総合的に監視することを容易に行える方法及び装置を提供する。【解決手段】  この発明は、インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置と、を備えるシステムにおいて不正侵入を監視するための方法であって、前記ファイアウォール及び前記不正侵入検知装置からのログに含まれる複数のイベントに関するデータについてその変化量を求め、前記複数のイベントに関する変化量を時系列のグラフとして表示するものである。【選択図】              図１
2006018527.tif 000002
【特許請求の範囲】
【請求項１】
インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）と、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムにおいて不正侵入を監視するための方法であって、
前記ファイアウォール及び前記不正侵入検知装置からログを受信するデータソース受信ステップと、
前記ログに含まれる複数のイベントに関するデータについてその変化量を求める変化量演算ステップと、
前記複数のイベントに関する変化量を時系列のグラフとして表示する表示ステップとを備えるコンピュータネットワークの運用監視方法。
【請求項２】
前記システムに、前記内部ネットワークに接続された機器を監視するためのプロトコルであるＳＮＭＰ（Simple Network Management Protocol）などに対応した機器を備える場合において、
前記ＳＮＭＰに対応した機器の全部又は一部からデバイス管理データを受信するステップと、
前記デバイス管理データに含まれる複数のイベントに関するデータについてその変化量を求めるステップと、
前記複数のイベントに関する変化量を、前記ファイアウォール及び前記不正侵入検知装置のログに含まれる複数のイベントに関する変化量とともにグラフとして表示するステップとを備える請求項１記載のコンピュータネットワークの運用監視方法。
【請求項３】
前記変化量演算ステップは、
前記ログに含まれる複数のイベントに関して、通常値をそれぞれ求めるステップと、
データソース受信ステップで受信した前記ログについてイベントごとに前記通常値との偏差を求め、これを変化量とするステップとを備えることを特徴とする請求項１記載のコンピュータネットワークの運用監視方法。
【請求項４】
前記変化量演算ステップは、
前記ログに含まれる複数のイベントに関して、イベントの発生確率の分布をそれぞれ求めるステップと、
前記データソース受信ステップで受信したログに含まれるイベントの実際の発生頻度を求めるステップと、
前記実際の発生頻度を前記発生確率の分布に当てはめてイベントの発生しにくさを求め、これを変化量とするステップとを備えることを特徴とする請求項１記載のコンピュータネットワークの運用監視方法。
【請求項５】
前記表示ステップは、
一方の軸を時間軸とし、もう一方の軸をイベントの種類として平面的なグラフを表示し、前記変化量を濃淡又は色分けにより表現するステップと、
前記変化量の大きさに応じて表示するイベントの種類の順番を並べ替えるステップとを備えることを特徴とする請求項１記載のコンピュータネットワークの運用監視方法。
【請求項６】
前記表示ステップは、
前記変化量が予め定めた閾値を超えたかどうか判定するステップと、
前記変化量が予め定めた閾値を超えたときに、当該変化量のグラフの表示態様を変化させるステップとを備えることを特徴とする請求項１記載のコンピュータネットワークの運用監視方法。
【請求項７】
前記表示ステップは、
前記イベントに関して単位時間当たりの発生数を求めるステップと、
前記イベントの単位時間当たりの発生数が予め定めた閾値を超えたかどうか判定するステップと、
前記イベントの単位時間当たりの発生数が予め定めた閾値を超えたときに、当該変化量のグラフの表示態様を変化させるステップとを備えることを特徴とする請求項１記載のコンピュータネットワークの運用監視方法。
【請求項８】
インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置と、前記内部ネットワークに接続された機器を監視するためのプロトコルであるＳＮＭＰなどに対応した機器とを備えるシステムにおいて不正侵入を監視するための方法であって、
前記ファイアウォール、前記不正侵入検知装置及び前記ＳＮＭＰなどに対応した機器のうちで予め定められた２つ以上のものからデータを受け、これらに含まれる任意の２つを第１データソース及び第２データソースとするデータソース受信ステップと、
前記第１データソースの変化量を求める第１変化量演算ステップと、
前記第２データソースの変化量を求める第２変化量演算ステップと、
前記第１データソースの変化量と前記第２データソースの変化量を時系列に並べ、これらの相関を求める相関演算ステップと、
前記相関演算ステップによる演算結果を出力する出力ステップとを備えるコンピュータネットワークの運用監視方法。
【請求項９】
前記ファイアウォール、前記不正侵入検知装置及び前記ＳＮＭＰなどに対応した機器のうちで予め定められた２つ以上のものから受けた他のデータを第３データソースとし、
前記第３データソースの変化量を求める第３変化量演算ステップと、
前記第１データソースの変化量及び／又は前記第２データソースの変化量と前記第３データソースの変化量との相関を求める相関演算ステップと、
前記相関演算ステップによる演算結果を出力する出力ステップとを備える請求項８記載のコンピュータネットワークの運用監視方法。
【請求項１０】
前記相関演算ステップによる演算結果を予め定められた閾値と比較することにより、不正侵入の有無を判定する判定ステップを備えることを特徴とする請求項８又は請求項９記載のコンピュータネットワークの運用監視方法。
【請求項１１】
インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置と、前記内部ネットワークに接続された機器を監視するためのプロトコルであるＳＮＭＰなどに対応した機器とを備えるシステムにおいて不正侵入を監視するための方法であって、
前記ファイアウォール、前記不正侵入検知装置及び前記ＳＮＭＰなどに対応した機器のうちで予め定められた１つ以上のものからデータを受けるステップと、
受けたデータについて変化量を求めるステップと、
前記受けたデータについての変化量を時系列に並べ、その相関を求める相関演算ステップと、
前記相関演算ステップによる演算結果を出力する出力ステップとを備えるコンピュータネットワークの運用監視方法。
【請求項１２】
インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置と、を備えるシステムにおいて不正侵入を監視するための装置であって、
前記ファイアウォール及び前記不正侵入検知装置からログを受信するデータソース受信部と、前記ログに含まれる複数のイベントに関するデータについてその変化量を求める変化量演算部と、前記複数のイベントに関する変化量を時間軸を共通とするグラフとして表示する表示部とを備えることを特徴とするコンピュータネットワークの運用監視装置。
【請求項１３】
インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置と、前記内部ネットワークに接続された機器を監視するためのプロトコルであるＳＮＭＰなどに対応した機器とを備えるシステムにおいて不正侵入を監視するための装置であって、
前記ファイアウォール、前記不正侵入検知装置及び前記ＳＮＭＰなどに対応した機器のうちで予め定められた２つ以上のものからデータを受け、これらに含まれる任意の２つを第１データソース及び第２データソースとして出力するデータソース受信部と、前記第１データソースの変化量を求める第１変化量演算部と、前記第２データソースの変化量を求める第２変化量演算部と、前記第１データソースの変化量と前記第２データソースの変化量を時系列に並べ、これらの相関を求める相関演算部と、前記相関演算部による演算結果を出力する出力部とを備えるコンピュータネットワークの運用監視装置。
【請求項１４】
インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）と、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムにおいて不正侵入を監視するための方法をコンピュータに実行させるためのプログラムであって、
前記ファイアウォール及び前記不正侵入検知装置からログを受信するデータソース受信ステップと、
前記ログに含まれる複数のイベントに関するデータについてその変化量を求める変化量演算ステップと、
前記複数のイベントに関する変化量を時系列のグラフとして表示する表示ステップとをコンピュータに実行させるためのプログラム。
【請求項１５】
インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置と、前記内部ネットワークに接続された機器を監視するためのプロトコルであるＳＮＭＰなどに対応した機器とを備えるシステムにおいて不正侵入を監視するための方法をコンピュータに実行させるためのプログラムであって、
前記ファイアウォール、前記不正侵入検知装置及び前記ＳＮＭＰなどに対応した機器のうちで予め定められた２つからデータを受け、これらを第１データソース及び第２データソースとするデータソース受信ステップと、
前記第１データソースの変化量を求める第１変化量演算ステップと、
前記第２データソースの変化量を求める第２変化量演算ステップと、
前記第１データソースの変化量と前記第２データソースの変化量を時系列に並べ、これらの相関を求める相関演算ステップと、
前記相関演算ステップによる演算結果を出力する出力ステップとをコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、コンピュータネットワークへの不正侵入を監視するための運用監視方法及び装置並びにプログラムに関する。
【背景技術】
【０００２】
コンピュータ及び電気通信網の発達に伴い、データ通信が飛躍的に普及している。企業ばかりでなく一般個人もインターネットに接続し、各種情報をダウンロードしたり、自分のウェブページを設けて情報を発信するようになってきている。
【０００３】
インターネットは誰でも利用できるため、一部の悪意を持つ者がコンピュータウイルスをばら撒いたり、コンピュータへ不正にアクセスして個人情報や秘密情報を盗み出したり、ウェブページを改ざんしたり、特定のサーバへ攻撃を掛けてその利用をできなくするようなことが発生している。このようなことからコンピュータ及びネットワークを守るためのセキュリティの確立が求められている。不正アクセスを防止するための装置として、ファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）、内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）が知られている。直接不正アクセスを防止するためのものではないがネットワークの監視に役立つものとして、内部ネットワークに接続された機器を監視するためのプロトコルであるＳＮＭＰ（Simple Network Management Protocol）などが知られている。これらについて簡単に説明を加える。
【０００４】
（１）ファイアウォール
ファイアウォールは、インターネットなどの外部ネットワークとローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークの間に設けられるコンピュータであって、オープンでそれゆえ必ずしも信頼できない外部ネットワークを、企業のネットワークのように機密性の高い内部ネットワークから分離し、悪意を持った攻撃から内部ネットワークを守る「防火壁」に相当する装置である。
ファイアウォールは、管理者が意図するようなポリシー（ルール）に従ってデータ（パケット）の中継を管理し、ルールに適合しないデータの中継を拒否することにより、不正なデータが内部ネットワークに流れることを防止することができる。具体的には、ファイアウォールは、アクセス制限、アドレス変換、ログ収集／解析、ルーティングなどの処理を行う。
ファイアウォールだけではセキュリティの完全を期すことはできない。ファイアウォールは許可されていないアクセスを拒否できるが、許可されているアクセスを用いた不正アクセスのやり方があるためである。例えば、ウェブページの改ざんには、サーバのプログラムのバグを突いた攻撃が多く利用されているが、ファイアウォールによりそのような攻撃を防ぐことはできない。また、DoS（Denial of Services：ルータやサーバに不正なデータを送信したり、トラフィックを増大させることによりサービスを停止させる攻撃。「サービス停止攻撃」などと呼ばれる）やDDos（Distributed Denial of Services：攻撃の意図がない管理者、利用者のコンピュータを巻き込んだ複数のコンピュータによるDoS攻撃）といった攻撃もファイアウォールで防ぐことはできない。
【０００５】
（２）不正侵入検知装置（Intrusion Detection System：ＩＤＳ）
不正アクセス監視システム／侵入検知システムとも呼ばれ、ネットワークに流れるパケットを監視して、不正アクセスと思われるパケットを発見したときにアラームを表示するとともに、当該通信記録を収集して保存する装置である。Dos攻撃やDDos攻撃を検知することができる。
IDSのタイプとして、ネットワーク型監視（ネットワーク上のパケットを監視するもの）とサーバ型監視（サーバのＩ／Ｏパケットを監視するもの）がある。IDSによる不正アクセス検知の方式には、「シグネチャ」ベースの侵入検知（予め登録されたシグネチャと呼ばれる侵入手口のパターンとマッチングを行うことにより侵入を検知する手法）と、統計ベースの侵入検知（通常とは異なる振る舞いを検出する手法）がある。
IDSは不正侵入検知に有効であるが、他方限界もある。例えば次のような点に留意する必要がある。
・IDSは不審なパケットを検知することができても、対象サーバに対してそのパケットがもたらす影響、その通信による不正行為が成功したかどうかについては検知できない。
・ネットワークの高速化に伴い、キャプチャリングロスが発生したり、パケットシグネチャ分析の速度が追随できなくなることがある。
・誤検知／過剰検知が多く、正常な通信であるにもかかわらず、攻撃として検出されるケースが多い。
【０００６】
（３）ＳＮＭＰ
ＳＮＭＰ（Simple Network Management Protocol）は、ネットワーク機器を管理するための通信プロトコルのひとつである。ＳＮＭＰはネットワーク上に存在する管理対象の機器と、その管理を司る機器（管理ステーションと呼ばれる）の間で、管理情報をやり取りするための普通のプロトコルである。通信にはＵＤＰを用いており、ＴＣＰ／ＩＰをベースとした管理プロトコルの標準と言えるものである。
ＳＮＭＰでは、管理対象機器にはエージェント、管理ステーションにはマネージャと呼ばれるソフトウエアがそれぞれ常駐して通信を行う。管理できるのはネットワーク機器の性能や構成、障害、セキュリティ、アカウントなどである（これらは一例である。ＳＮＭＰの管理対象はこれらに限定されない）の５種類である。マネージャとエージェントは、これらの管理情報をＭＩＢ（Management Information Base）と呼ばれるデータベースに保存する。エージェントはマネージャからの要求に応えて、ＭＩＢから必要な情報を送信する。
ＳＮＭＰエージェントから取得したデータを加工してグラフ化するために、ＭＲＴＧ（Multi Router Traffic Grapher）というツールが利用される。ＭＲＴＧによれば、前記管理情報をグラフ画像にして、これをＷｅｂブラウザで閲覧することができる。
【０００７】
なお、ネットワークの状態に関する情報（ログ）を取得するために、ＳＮＭＰ以外にも、アンチウイルスソフトウエアを搭載したコンピュータからのログや、メールサーバのログ等も利用することもできる。本明細書において、これら及びこれらに相当するものを総称して「ＳＮＭＰなど」と表現することがある。
【０００８】
ファイアウォール技術を開示するものとして下記特許文献１がある。不正侵入検知装置（ＩＤＳ）を開示するものとして下記特許文献２がある。
【特許文献１】特開平１１−１６７５３８号公報
【特許文献２】特開２００４−１６４１０７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
ファイアウォール、不正侵入検知装置（ＩＤＳ）、ＳＮＭＰなど（ＳＮＭＰ以外であってネットワークの状態に関する情報（ログ）を取得できるものを含む。例えばアンチウイルスソフトウエアのログ、メールサーバのログ等）は、いずれも不正アクセス検知に効果をあげるものであるが、完全に不正アクセスを防止することはできない。前述のようにファイアウォールではDoS攻撃やDDos攻撃を防ぐことはできないし、不正侵入検知装置（ＩＤＳ）では未知の侵入手口による不正アクセスを完全に防ぐことはできないし、しかも誤検知／過剰検知が多く、正常な通信であるにもかかわらず、攻撃として検出されるケースが多いという問題もある。ＳＮＭＰは単にネットワーク機器を管理するためのものであり、管理情報をＭＲＴＧでグラフ化したとしても、経験ある有能なオペレータでなければ不正アクセスを見抜くことができない。しかも、スイッチがどこに置いてあるかにより、トラフィック量が大きく異なり、ただ表示するだけではわかりにくい。
【００１０】
ファイアウォール、不正侵入検知装置（ＩＤＳ）、ＳＮＭＰにはそれぞれ長所と短所があるので、これらを組み合わせ総合的に監視・判断することで不正アクセスを効果的に検知することが好ましいことが判明した。従来技術では、もっぱらファイアウォール単独で不正アクセスを防止したり、不正侵入検知装置（ＩＤＳ）単独で不正アクセスを検知することが行われてきたが、発明者らの検討により総合的な監視、つまり総合ネットワーク監視によるインシデント分析が好ましいことがわかった（ファイアウォール、不正侵入検知装置、ＳＮＭＰを総合的に監視すること自体が新規な試みである）。
【００１１】
そこで、ファイアウォール及び不正侵入検知装置（ＩＤＳ）のログと、ＳＮＭＰの管理情報を同じ画面上にグラフとして表示するようにした。ログや管理情報に含まれる複数のイベントを時系列のグラフとして表示するのであるが、その縦軸（横軸を時間軸とする）は各イベントの絶対量であった。これでひとつの画面で総合的な監視を行うことができるはずである。しかしながら、異なる性質の装置から得たログを一緒に表示するだけではわかりにくい。例えば、イベントには頻繁に変化するものと、めったに変化しないものがあり、前者はわかりやすいが後者はわかりにくい。単純に、ファイアウォール及び不正侵入検知装置（ＩＤＳ）のログと、ＳＮＭＰの管理情報を同じ画面上にグラフとして表示するだけでは、使いにくいことが判明した。
【００１２】
本発明は上記課題を解決するためになされたもので、ファイアウォール及び不正侵入検知装置（ＩＤＳ）のログとＳＮＭＰの管理情報を総合的に監視することを容易に行えるコンピュータネットワークの運用監視方法及び装置並びにプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１３】
この発明は、インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワーク（ここで、内部ネットワークは、インターネットに対比して、外部に資源を公開していないネットワークを意味する）と、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）と、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）と、を備えるシステムにおいて不正侵入を監視するための方法であって、
前記ファイアウォール及び前記不正侵入検知装置からログを受信するデータソース受信ステップと、
前記ログに含まれる複数のイベントに関するデータについてその変化量を求める変化量演算ステップと、
前記複数のイベントに関する変化量を時系列のグラフとして表示する表示ステップとを備えるものである。
【００１４】
ログに含まれるイベントについて、例えば次のようにして変化量を求める。
・通常値との乖離を偏差を使って分析
・通常値との乖離を分布に基づいた発生確率により分析
通常、前記ファイアウォール及び前記不正侵入検知装置のログはイベント（セキュリティイベントやポートアクセス）ごとに発生頻度が異なるため、単に量的な変化を分析しただけでは、発生頻度の低いイベントの異常を見つけることが難しい。これを、各イベントの変化量に注目することで、イベント発生の頻度に関わらず、通常との乖離を分析することができる。
変化量を検出する手法をSNMP（CPU、Traffic・・・）などにも適用する。前記ファイアウォール及び前記不正侵入検知装置のログやSNMPなどの管理データは、データの内容が異なるため同じ軸で分析することはできない。しかし、これを変化量（微分）に着目することで、もともと性格の違うデータを相関的かつ総合的に分析することができるようになった。
【００１５】
前記システムに、前記内部ネットワークに接続された機器を監視するためのプロトコルであるＳＮＭＰ（Simple Network Management Protocol）など（ＳＮＭＰ以外であってネットワークの状態に関する情報（ログ）を取得できるものを含む。例えばアンチウイルスソフトウエアのログ、メールサーバのログ等）に対応した機器をさらに備える場合において、
前記ＳＮＭＰに対応した機器の全部又は一部からデバイス管理データを受信するステップと、
前記デバイス管理データに含まれる複数のイベントに関するデータについてその変化量を求めるステップと、
前記複数のイベントに関する変化量を、前記ファイアウォール及び前記不正侵入検知装置のログに含まれる複数のイベントに関する変化量とともにグラフとして表示するステップとを備えるようにしてもよい。
【００１６】
前記変化量演算ステップは、例えば、
前記ログに含まれる複数のイベントに関して、通常値（例えば、不正侵入がないと思われる状態のとき一定期間以上にわたって求めた平均値や、その他の統計量。なお、不正侵入のないことが通常値を求める前提では必ずしもない）をそれぞれ求めるステップと、
データソース受信ステップで受信した前記ログについてイベントごとに前記通常値との偏差を求め、これを変化量とするステップとを備える。
【００１７】
前記変化量演算ステップは、例えば、
前記ログに含まれる複数のイベントに関して、イベントの発生確率の分布をそれぞれ求める（一定期間以上にわたって観測した結果から分布を求めたり、理論的に分布を求める）ステップと、
前記データソース受信ステップで受信したログに含まれるイベントの実際の発生頻度を求めるステップと、
前記実際の発生頻度を前記発生確率の分布に当てはめてイベントの発生しにくさを求め、これを変化量とするステップとを備える。
【００１８】
グラフを平面的（等高線）で表現するようにしてもよい。例えば、前記表示ステップは、
一方の軸を時間軸とし、もう一方の軸をイベントの種類として平面的なグラフを表示し、前記変化量を濃淡又は色分けにより表現するステップと、
前記変化量の大きさに応じて表示するイベントの種類の順番を並べ替えるステップとを備えるようにする。
【００１９】
前記表示ステップは、例えば、
前記変化量が予め定めた閾値を超えたかどうか判定するステップと、
前記変化量が予め定めた閾値を超えたときに、当該変化量のグラフの表示態様を変化させる（色を変える、点滅する、太線などの強調表示を行うなど）ステップとを備える。
【００２０】
前記表示ステップは、例えば、
前記イベントに関して単位時間当たりの発生数を求めるステップと、
前記イベントの単位時間当たりの発生数が予め定めた閾値を超えたかどうか判定するステップと、
前記イベントの単位時間当たりの発生数が予め定めた閾値を超えたときに、当該変化量のグラフの表示態様を変化させる（色を変える、点滅する、太線などの強調表示を行うなど）ステップとを備える。
【００２１】
この発明は、インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワーク（ここで、内部ネットワークは、インターネットに対比して、外部に資源を公開していないネットワークを意味する）と、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置と、前記内部ネットワークに接続された機器を監視するためのプロトコルであるＳＮＭＰなどに対応した機器とを備えるシステムにおいて不正侵入を監視するための方法であって、
前記ファイアウォール、前記不正侵入検知装置及び前記ＳＮＭＰなどに対応した機器のうちで予め定められた２つ以上のものからデータを受け、これらに含まれる任意の２つを第１データソース及び第２データソースとするデータソース受信ステップと、
前記第１データソースの変化量を求める第１変化量演算ステップと、
前記第２データソースの変化量を求める第２変化量演算ステップと、
前記第１データソースの変化量と前記第２データソースの変化量を時系列に並べ、これらの相関を求める相関演算ステップと、
前記相関演算ステップによる演算結果を出力する出力ステップとを備えるものである。
【００２２】
前記ファイアウォール、前記不正侵入検知装置及び前記ＳＮＭＰなどに対応した機器のうちで予め定められた２つ以上のものから受けた他のデータを第３データソースとし、
前記第３データソースの変化量を求める第３変化量演算ステップと、
前記第１データソースの変化量及び／又は前記第２データソースの変化量と前記第３データソースの変化量との相関を求める相関演算ステップと、
前記相関演算ステップによる演算結果を出力する出力ステップとを備えてもよい。
【００２３】
前記相関演算ステップによる演算結果を予め定められた閾値と比較することにより、不正侵入の有無を判定する判定ステップを備えるようにしてもよい。
【００２４】
この発明は、インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置と、前記内部ネットワークに接続された機器を監視するためのプロトコルであるＳＮＭＰなどに対応した機器とを備えるシステムにおいて不正侵入を監視するための方法であって、
前記ファイアウォール、前記不正侵入検知装置及び前記ＳＮＭＰなどに対応した機器のうちで予め定められた１つ以上のものからデータを受けるステップと、
受けたデータについて変化量を求めるステップと、
前記受けたデータについての変化量を時系列に並べ、相関を求める相関演算ステップと、
前記相関演算ステップによる演算結果を出力する出力ステップとを備えるものである。
【００２５】
この発明は、インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置と、を備えるシステムにおいて不正侵入を監視するための装置であって、
前記ファイアウォール及び前記不正侵入検知装置からログを受信するデータソース受信部と、前記ログに含まれる複数のイベントに関するデータについてその変化量を求める変化量演算部と、前記複数のイベントに関する変化量を時間軸を共通とするグラフとして表示する表示部とを備えるものである。
【００２６】
この発明は、インターネットなどの外部ネットワークと、ローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークと、前記外部ネットワークと前記内部ネットワークの間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールと、前記内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置と、前記内部ネットワークに接続された機器を監視するためのプロトコルであるＳＮＭＰなどに対応した機器（ＳＮＭＰ以外であってネットワークの状態に関する情報（ログ）を取得できるものを含む。例えばアンチウイルスソフトウエアを搭載したコンピュータのログ、メールサーバのログ等）とを備えるシステムにおいて不正侵入を監視するための装置であって、
前記ファイアウォール、前記不正侵入検知装置及び前記ＳＮＭＰなどに対応した機器のうちで予め定められた２つ以上のものからデータを受け、これらに含まれる任意の２つを第１データソース及び第２データソースとして出力するデータソース受信部と、前記第１データソースの変化量を求める第１変化量演算部と、前記第２データソースの変化量を求める第２変化量演算部と、前記第１データソースの変化量と前記第２データソースの変化量を時系列に並べ、これらの相関を求める相関演算部と、前記相関演算部による演算結果を出力する出力部とを備えるものである。
【００２７】
この発明は、上記方法をコンピュータに実行させるためのプログラムに関する。
この発明に係るプログラムは、例えば、記録媒体に記録される。
媒体には、例えば、ＥＰＲＯＭデバイス、フラッシュメモリデバイス、フレキシブルディスク、ハードディスク、磁気テープ、光磁気ディスク、ＣＤ（ＣＤ−ＲＯＭ、Ｖｉｄｅｏ−ＣＤを含む）、ＤＶＤ（ＤＶＤ−Ｖｉｄｅｏ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭを含む）、ＲＯＭカートリッジ、バッテリバックアップ付きのＲＡＭメモリカートリッジ、フラッシュメモリカートリッジ、不揮発性ＲＡＭカートリッジ等を含む。
【００２８】
また、電話回線等の有線通信媒体、マイクロ波回線等の無線通信媒体等の通信媒体を含む。インターネットもここでいう通信媒体に含まれる。
【００２９】
媒体とは、何等かの物理的手段により情報（主にデジタルデータ、プログラム）が記録されているものであって、コンピュータ、専用プロセッサ等の処理装置に所定の機能を行わせることができるものである。
【発明の効果】
【００３０】
本発明によれば、ファイアウォール及び不正侵入検知装置（ＩＤＳ）のログと、ＳＮＭＰの管理情報に含まれる複数のイベント（全部だけではなく、表示すべきもの一部の場合も含む）について、その変化量を求め、それらを同じ画面上にグラフとして表示することにより、総合的な監視を容易に行うことができるようになった。
【００３１】
さらに、各グラフ間の相関を求めることにより、不正アクセスに関するアラームを自動的に発するようにもできる。
【発明を実施するための最良の形態】
【００３２】
発明の実施の形態１．
図１はこの発明が適用されるシステムの一例を示す。図１において、１はインターネットなどの外部ネットワーク、２はローカルエリアネットワーク（ＬＡＮ）などの内部ネットワークである。ここで、内部ネットワーク２は、インターネット１に対比して、外部に資源を公開していないネットワークを意味する。３は外部ネットワーク１と内部ネットワーク２の間に設けられてネットワーク間のデータの中継を予め定められたルールに基づき制御するファイアウォールコンピュータ（Fire Wall：FW、以下「ファイアウォール」と記す）である。内部ネットワーク２は、ＬＡＮとこれに接続されたＰＣ端末５ａ〜５ｃやプリンタ６、ＷＷＷサーバ７ａ・７ｂなどを含んでいる。４は内部ネットワーク２を流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）である。
【００３３】
図１に例示するシステムにおいて不正侵入を監視するための方法について、図２のフローチャートを参照して説明を加える。
【００３４】
Ｓ１：ファイアウォール（ＦＷ）３及び不正侵入検知装置（ＩＤＳ）４からログを受信する。
ポートアクセスの大きな変化を捉えるには、ファイアウォールのログが適切である。一方で、アタックと通常のアクセスを区別しないため、不正アクセス等の小さな変化を捉えにくい面がある。
ＩＤＳのログは、ネットワークのセキュリティ状況の変化を敏感に記録する。特にワーム等の挙動については、Sweep系、Scan系のイベントとして記録されることから、これらのイベントの変化と、ファイアウォールのログの変化を合わせることで、ワームの発生を早い段階でつかむことができる。
【００３５】
Ｓ２：図１のシステムに、内部ネットワーク２に接続された機器を監視するためのプロトコルであるＳＮＭＰ（Simple Network Management Protocol）に対応した機器を備える場合、ＳＮＭＰに対応した機器（ＳＮＭＰエージェント又はマネージャ）の全部又は一部からデバイス管理データを受信する。なお、ＳＮＭＰ以外であってネットワークの状態に関する情報（ログ）を取得できるものであれば、ここで利用可能である。例えばアンチウイルスソフトウエアをインストールしてあるコンピュータからのログ、メールサーバのログ等も監視対象として利用することができる。
Ｓ３：Ｓ１やＳ２で受信したログ、デバイス管理データに含まれる複数のイベントに関するデータを取り出す。
【００３６】
Ｓ４：Ｓ３で取り出したデータについてその変化量を求める。
単純なカウントによる分析は大きな変化を捉えるために重要な手法であるが、初期の微妙な変化を捉えることができない。また、S1,S2で記録されたデータには、ワームやウィルスなどのアクセスが、バックグラウンドノイズとして含まれるため、これを分離することができない。したがって、S4による変化量の分析を行うことにより、バックグラウンドノイズの影響を最小限にすると共に、ワーム等の活動初期の微妙な変化を捉えるのである。
したがって、Ｓ４では少なくともＩＤＳのログについて変化量を求めることにする。
【００３７】
Ｓ５：Ｓ４で求めた複数のイベントに関する変化量を時系列のグラフとして表示する。
【００３８】
図３（ａ）を参照して変化量を求める手順を説明する。
【００３９】
Ｓ１０：イベントに関して、不正侵入のない状態を示す通常値（又はこれに相当するもの）を求める。
Ｓ１１：イベントごとに通常値との偏差を求めこれを変化量とする。
【００４０】
あるいは図３（ｂ）のように変化量を求めてもよい。
【００４１】
Ｓ１２：イベントに関して、理論的又は統計的にその発生確率の分布を求める。
Ｓ１３：イベントごとに実際の発生頻度（発生確率）を求める。
Ｓ１４：実際の発生頻度を発生確率の分布に当てはめ、当該イベントの発生しにくさを求め、これを変化量とする。
【００４２】
発明の実施の形態１の装置／方法は、ファイアウォールのログと侵入検知装置（ＩＤＳ）のログを使って、インターネット上の疑わしい動きをいち早く捉えることを目的としている。これらのログの解析においては、表や数値を使った解析も有効であるが、データをグラフ化したほうが変化や推移を容易に把握できると考えられる。
【００４３】
ログデータを単にグラフ化するだけでもイベントの推移をつかむことができるが、この手法では、大量のイベントに隠れた小さな動きを把握することができない。しかも、ファイアウォールと侵入検知装置（ＩＤＳ）という全く性格の異なるデバイスのログを取り扱うこと、及び、システムごとに取り扱うデバイスの数や監視しているネットワークの特性が異なっている。これらのことを考慮すると、イベントの絶対量（絶対数）に基づいてシステム全体を監視しようとしても、各データを比較することができず、システム全体の状況を把握することが困難である。
【００４４】
これを解決するために、イベント数をその平均値でわった値（イベント数（カウント）÷平均値）でログを解析することを試みたが、最大値があまりに大きくなりすぎ、各項目をグラフ上に適切に描画できないことがわかった。
【００４５】
そこで、発明の実施の形態１では、データの絶対量ではなく、変化量に着目している。変化量として、図３（ａ）に示す偏差を利用するものと、図３（ｂ）に示す確率分布を利用するものがある。
【００４６】
図３（ａ）の偏差の式の一例を挙げる。
Ｎ＝偏差値＝（COUNT(I:n)-Average(I))/標準偏差（I)
ただし、COUNTはイベントのカウント値（検出数）、Averageは通常値。
ファイアウォールやＩＤＳのイベントは正規分布またはポアソン分布をしているようである。ポアソン分布では、発生確率が高くなると、正規分布に非常に近い分布をとるようになる。
偏差による分析は極めて敏感で、小さなイベントの変化を的確に捉えることができる。
【００４７】
図３（ｂ）の確率分布を利用する手法は、図３（ａ）の偏差よりも感度の鈍い解析手法であると言え、偏差の場合に一部のログに生じる、過度に敏感な値になってしまい適切な分布が行えない場合があるという問題を回避することができる。確率分布を利用する手法は、具体的には、イベントの発生頻度により、ポアソン分布または正規分布の発生確率を算出し、これによりイベントの発生しにくさを分析データとする。発生確率を算出するにあたってはデータの正規化が必要となるが、このデータは、ちょうどカウント／平均でイメージしたグラフに極めて近いものになるので、発生確率に加えて正規化したデータも分析に利用することができる。
【００４８】
図４は発明の実施の形態１に係る装置のブロック図である。
１０ａ，１０ｂはファイアウォール（ＦＷ）３及び不正侵入検知装置（ＩＤＳ）４からログを受信するデータソース受信部である。１１ａ，１１ｂは受信したログに含まれる複数のイベントに関するデータを取り出し、その変化量を求める変化量演算部である。なお、図１のシステムに、内部ネットワーク２に接続された機器を監視するためのプロトコルであるＳＮＭＰ（Simple Network Management Protocol）に対応した機器を備える場合、ＳＮＭＰに対応した機器（ＳＮＭＰエージェント又はマネージャ）の全部又は一部からデバイス管理データを受信するデータソース受信部１０ｃと、デバイス管理データに含まれる複数のイベントに関するデータを取り出し、その変化量を求める変化量演算部１１ｃとを備えてもよい。１２は複数のイベントに関する変化量を時系列のグラフに作成するグラフ生成部、１３はグラフを表示する表示部である。
【００４９】
グラフ生成部１２は折れ線グラフ（図５、図６参照）のほかに、平面的な表示（一方の軸を時間軸とし、もう一方の軸をイベントの種類として平面的なグラフを表示し、前記変化量を濃淡又は色分けにより表現したもの。図７参照）を行うこともできる。この場合、並べ替え処理部１２ａは、変化量の大きさに応じて表示するイベントの種類の順番を並べ替える（図７では変化量の大きさの順に上から下へイベントが並べられている）。
【００５０】
グラフ生成部１２は、不正侵入と思われる異常がイベントに生じたとき、当該イベントの表示態様を変化させて報知する（色を変える、点滅する、太線などの強調表示を行うなど）表示態様設定部１２ｂを備える。例えば、表示態様設定部１２ｂは、イベントの変化量が予め定めた閾値を超えたかどうか判定し、変化量が予め定めた閾値を超えたときに、当該変化量のグラフの表示態様を変化させる。あるいは、表示態様設定部１２ｂは、イベントに関して単位時間当たりの発生数を求め、イベントの単位時間当たりの発生数が予め定めた閾値を超えたかどうか判定し、イベントの単位時間当たりの発生数が予め定めた閾値を超えたときに、当該変化量のグラフの表示態様を変化させるようにしてもよい。
【００５１】
次に発明の実施の形態１に係る装置／方法により得られるグラフについて例を参照して説明を加える。
【００５２】
図５の上段は検出数を単純に折れ線グラフで表現したものであり、同図の下段は本発明の実施の形態１による偏差を折れ線グラフで表現したものである。
【００５３】
１０／０６  １０：１５近辺のデータ
検出数のグラフ：イベントのひとつWin_Rpc_TCP（図５の符号ａ）と他のイベントの関連がわからない。
偏差のグラフ：Win_Rpc_TCP以外にも、他に複数のイベントに変化が起きていることを容易に判断できる。Win_Rpc_TCP以外に、少なくとも４つのイベント（WEB_MISC_HTTP、SMB_malformed、Port_445_TCP、SSH_Deattack_IO、HTTP_Field_With_Binary）に変化が起きていることがわかる。
【００５４】
１０／０６  １０：５０−１３：００のデータ
検出数のグラフ：Win_Rpc_TCPの影響で他のイベントの変化をつかめない。
偏差のグラフ：この時間帯にも大きな変化があったイベントが存在することが容易に判断できる。例えば、BugBear-B（図５の符号ｄ）、HTTP_cookieOverflow（同符号ｅ）、HTTP_Field_With_Binary（同符号ｆ）、HTTP_GET_DotDot_Data（同符号ｇ）、HTTP_IIS_Double_Eval_Evation（同符号ｈ）である。
【００５５】
１０／０６  １３：３５近辺のデータ
検出数のグラフ：Win_Rpc_TCP（同符号ａ）の方が、SMB_malformed（同符号ｂ）よりも大きく変化しているように見える。
偏差のグラフ：変化量の点では、SMB_malformed（同符号ｂ）の方が、Win_Rpc_TCP（同符号ａ）よりも大きく変化していることがわかる。つまり、アタックの可能性が高いことが判断できる。
【００５６】
図５によれば、偏差を用いることによりさまざまなイベントの動きを一目で把握できることがわかる。
【００５７】
図６も同様である。
１０／０６  １０：１５近辺のデータ
検出数のグラフ：Win_Rpc_TCP（図６の符号ａ）の増加以外は検知が難しい。
偏差のグラフ：Win_Rpc_TCP以外に、下記のイベントの増加を見ることができる。
・WEB-MISC HTTP OPTIONS
・SSH_Deattack_IO
・DNS_Spoof_Failed
・TCP_Port_Scan
・SQL_SSRP_Slammer_Worm
・445/TCP
この分析はNachiのアクセスパターン（135/TCP、WebDavへのアクセス）を示唆しているものと思われる。
【００５８】
図６でも、偏差を用いることによりさまざまなイベントの動きを一目で把握できることがわかる。
【００５９】
図５や図６の折れ線グラフでは、低い値の項目の変化を捉えることができない。図７に示すような平面表示を行えば、低い値の項目の変化を捉えることができるようになる。図７の横軸は時間軸（図５や図６と同じ）、縦軸はイベントである。あるイベントの変化量は図７の平面上に濃淡又は色彩で表現される（図７は模式図のため濃淡又は色彩の表現を省略している）。例えば、変化量がゼロのときは白色、変化量の増加に伴い、水色などの寒色から赤色などの暖色に変化させる。最大のレベルを赤色とする。
【００６０】
縦軸上のイベントの位置を固定するのではなく、そのレベルによって並べ替えるようにするとよい。例えば、レベルの高い順番に上から並べるようにすると、どのようなイベントの変化量が大きいか一目でわかり、システムの状況を把握しやすくなる。
【００６１】
発明の実施の形態２．
ファイアウォール、不正侵入検知装置（ＩＤＳ）及び前記ＳＮＭＰに対応した機器のうちで少なくとも２つ（３つ全部でもよい）からデータを受け、これらに含まれるイベントの変化量を求め、さらに、イベント間の相関を求め、相関演算結果を予め定められた閾値と比較することにより、不正アクセス等の有無を判定するようにしてもよい。どのイベント間で相関を求めるかによって、検出する不正アクセスの種類が決まってくる。
【００６２】
図１に例示するシステムにおいて不正侵入の有無を判定する方法について、図８のフローチャートを参照して説明を加える。
【００６３】
Ｓ２０：ファイアウォール（ＦＷ）３及び不正侵入検知装置（ＩＤＳ）４からログを受信する。
Ｓ２１：図１のシステムに、内部ネットワーク２に接続された機器を監視するためのプロトコルであるＳＮＭＰ（Simple Network Management Protocol）に対応した機器を備える場合、ＳＮＭＰに対応した機器（ＳＮＭＰエージェント又はマネージャ）の全部又は一部からデバイス管理データを受信する。
Ｓ２２：Ｓ２０やＳ２１で受信したログ、デバイス管理データに含まれる複数のイベントに関するデータを取り出す。
Ｓ２３：Ｓ２２で取り出したデータについてその変化量を求める。
Ｓ２４：Ｓ２３で求めた複数のイベントに関する変化量に基づいて、予め定められた複数のイベント間の相関を求める。例えば、あるイベント（第１データソース）の変化量と他のイベント（第２データソース）の変化量を時系列に並べ、公知の相関を求める式に基づき相関を求める。なお、データソースは少なくとも２つあればよく、３つ以上であっても相関を求めることができる。
Ｓ２５：Ｓ２４で求めた相関のグラフを表示する。
Ｓ２６：予め定められた閾値と、Ｓ２４で求めた相関のグラフを比較し、閾値を超える場合に不正侵入があったと判定し、その旨を表示装置等により報知する。
【００６４】
図９は発明の実施の形態２に係る装置のブロック図である。図９において、図４と同一又は相当部分は同一符号を付し、これらについての説明は省略する。
【００６５】
図９において、１４はあるイベント（第１データソース）の変化量と他のイベント（第２データソース）の変化量を時系列に並べ、公知の相関を求める式に基づき相関を求める相関演算部である。相関演算部１４は、求めた相関値を予め定められた閾値と比較し、閾値を超える場合に不正侵入があったと判定する不正侵入判定部１４ａを含む。
【００６６】
相関演算部１４は、不正侵入判定部１４ａにより不正侵入と思われる異常がイベントに生じたと判定したとき、当該イベントの表示態様を変化させて報知する（色を変える、点滅する、太線などの強調表示を行うなど）。相関演算部１４は、イベントに関して単位時間当たりの発生数を求め、イベントの単位時間当たりの発生数が予め定めた閾値を超えたかどうか判定し、イベントの単位時間当たりの発生数が予め定めた閾値を超えたときに、当該変化量のグラフの表示態様を変化させるようにしてもよい。
【００６７】
発明の実施の形態２によれば不正侵入の自動判定が可能になる。その例をいくつか列挙する。
【００６８】
（１）図５の１０／０６  １３：３５近辺のデータについて説明したように、偏差のグラフにおいて、SMB_malformed（符号ｂ）の方が、Win_Rpc_TCP（符号ａ）よりも大きく変化していて、アタックの可能性が高いことが判断できる。そこで、SMB_malformed（符号ｂ）の変化量とWin_Rpc_TCP（符号ａ）の変化量の相関を求め、これが所定の閾値を超えたとき、アタックと判定することができる。
【００６９】
（２）図６の１０／０６  １０：１５近辺のデータについて説明したように、下記の変化量の相関を求め、これが所定の閾値を超えたとき、Nachiのアクセスパターン（135/TCP、WebDavへのアクセス）と判定することができる。
・Win_Rpc_TCP
・WEB-MISC HTTP OPTIONS
・SSH_Deattack_IO
・DNS_Spoof_Failed
・TCP_Port_Scan
・SQL_SSRP_Slammer_Worm
・445/TCP
【００７０】
（３）ＤＮＳサーバに問題（ＣＰＵ利用率の増加など）が生じたときに、その原因を解析し特定し、攻撃パケットであればこれを切断するために、例えば次のようにする。
Zone_Transferの変化量とＣＰＵ利用率の変化量の相関を求め、これが所定の閾値を超えたとき、Zone_TransferがＣＰＵ利用率に影響を与えていると判断する。設定を見直すように、その旨の警報を発生する。
【００７１】
一般的に、相関を求める際に２つのデータソースに関して演算を行うが、本発明はこれに限定されない（例えば３とか１０とかの相関分析も可能）。３つ以上のデータソースに関して相関を求めるようにしてもよい。３つ以上のデータソースを同時に演算してもよいし、３つ以上のデータソースを各２つの組みにしてそれぞれについて相関を求め、これらの結果を何らかの評価関数に従い総合的に判定するようにしてもよい。
【００７２】
例えば、ファイアウォール、不正侵入検知装置及びＳＮＭＰなどに対応した複数の機器から３つ以上のデータを受け、受けたデータそれぞれについて変化量を求め、受けたデータそれぞれについての変化量を時系列に並べ、これら全体について相関を求めるようにしてもよい（例えば多変量の関数を用いる）。
【００７３】
例えば、ファイアウォール、不正侵入検知装置及び前記ＳＮＭＰなどに対応した機器から３つのデータ（４つ以上であってもよい）を受け、それぞれ第１データソース、第２データソース及び第３データソースとしたとき、これら３つについてそれぞれ変化量を求め、これら３つの変化量を時系列に並べ、第１データソース及び第２データソースの相関、第２データソース及び第３データソースの相関、第１データソース及び第３データソースの相関をそれぞれ求め、これら３つの相関結果を何らかの評価関数により統合し（例えば単純に加算したり、重みを加えて加算する）、これに従い総合的に判定するようにしてもよい。４つ以上の場合も同様である。
【００７４】
なお、１データソース内において相関分析を適用してもよい。例えば次のような場合である。
（１）ファイアウォールのログの中で、WEBのアクセスと、メールのアクセスの相関を取る
（２）不正侵入検知装置のログの中で、DDoSと、ポートスキャンの相関を取る
（３）ＳＮＭＰに対応した機器で、CPUとトラフィックの相関を取る
本発明は上記例を含む１データソース内の相関分析にも適用されるものである。
【００７５】
本発明は、以上の実施の形態に限定されることなく、特許請求の範囲に記載された発明の範囲内で、種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。
【００７６】
また、本明細書において、部とは必ずしも物理的手段を意味するものではなく、各部の機能が、ソフトウェアによって実現される場合も包含する。さらに、一つの部の機能が、二つ以上の物理的手段により実現されても、若しくは、二つ以上の部の機能が、一つの物理的手段により実現されてもよい。
【図面の簡単な説明】
【００７７】
【図１】発明の実施の形態が適用されるシステムの一例を示す図である。
【図２】発明の実施の形態１に係る処理フローチャートである。
【図３】発明の実施の形態１に係る変化量演算処理フローチャートである。
【図４】発明の実施の形態１に係る装置のブロック図である。
【図５】発明の実施の形態１に係る装置／方法によるグラフの一例である（上段は検出数をそのまま表示したグラフ、下段は偏差を表示したグラフである）。
【図６】発明の実施の形態１に係る装置／方法によるグラフの他の例である（上段は検出数をそのまま表示したグラフ、下段は偏差を表示したグラフである）。
【図７】発明の実施の形態１に係る装置／方法による平面表示のグラフの例である。
【図８】発明の実施の形態２に係る処理フローチャートである。
【図９】発明の実施の形態２に係る装置のブロック図である。
【符号の説明】
【００７８】
１    インターネット（外部ネットワーク）
２    内部ネットワーク
３    ファイアウォール（ＦＷ）
４    不正侵入検知装置（ＩＤＳ）
１０    データソース受信部
１１    変化量演算部
１２    グラフ生成部
１２ａ  並べ替え処理部
１２ｂ  表示態様設定部
１３    表示部
１４    相関演算部
１４ａ    不正侵入判定部
【図１】
2006018527.tif 000003
【図２】
2006018527.tif 000004
【図３】
2006018527.tif 000005
【図４】
2006018527.tif 000006
【図５】
2006018527.tif 000007
【図６】
2006018527.tif 000008
【図７】
2006018527.tif 000009
【図８】
2006018527.tif 000010
【図９】
2006018527.tif 000011