(57)【要約】【課題】アクセス分析の効率の向上を図る。【解決手段】アクセス監視装置１は、複数のユーザのアクセスログ２１を用いて、複数種類のアクセス特徴それぞれの複数のユーザのデータに基づき、アクセス特徴に異常を示すデータを持つユーザを抽出する抽出部１１と、アクセス特徴の異常を示すデータに基づいて、抽出部が抽出したユーザをクラスタリングするクラスタリング部１２と、クラスタ毎に各アクセス特徴を当該アクセス特徴のデータの代表値に基づいて可視化する可視化部１４と、を有する。【選択図】図１
2018116505.tif 000002
【特許請求の範囲】
【請求項１】
複数のユーザのアクセスログを用いて、複数種類のアクセス特徴それぞれの前記複数のユーザのデータに基づき、前記アクセス特徴に異常を示すデータを持つユーザを抽出する抽出部と、
前記アクセス特徴の前記異常を示すデータに基づいて、前記抽出部が抽出したユーザをクラスタリングするクラスタリング部と、
クラスタ毎に各アクセス特徴を当該アクセス特徴のデータの代表値に基づいてランク付けするランク付け部と、
を有することを特徴とするアクセス監視装置。
【請求項２】
前記ランク付け部は、クラスタ毎に、各アクセス特徴の各データを各アクセス特徴のデータの代表値に変換し、変換された代表値に基づいて各アクセス特徴をランク付けする
ことを特徴とする請求項１に記載のアクセス監視装置。
【請求項３】
前記ランク付け部は、クラスタ毎に、各アクセス特徴の各データを各アクセス特徴のデータの代表値に近似させ、代表値に近似させた値を用いて各アクセス特徴をランク付けする
ことを特徴とする請求項１に記載のアクセス監視装置。
【請求項４】
前記ランク付け部は、ランク付けされた各アクセス特徴を、ランク付けに応じて強調して可視化する
ことを特徴とする請求項１から請求項３のいずれか１つに記載のアクセス監視装置。
【請求項５】
前記クラスタリング部は、前記クラスタリング部によってクラスタリングされて得られた複数のクラスタそれぞれのクラスタ内のスコアを集約した集約スコアに基づいて、前記複数のクラスタを並べ替える
ことを特徴とする請求項１に記載のアクセス監視装置。
【請求項６】
コンピュータに、
複数のユーザのアクセスログを用いて、複数種類のアクセス特徴それぞれの前記複数のユーザのデータに基づき、前記アクセス特徴に異常を示すデータを持つユーザを抽出し、
前記アクセス特徴の前記異常を示すデータに基づいて、前記抽出部が抽出したユーザをクラスタリングし、
クラスタ毎に各アクセス特徴を当該アクセス特徴のデータの代表値に基づいてランク付けする
処理を実行させるアクセス監視プログラム。
【請求項７】
コンピュータが、
複数のユーザのアクセスログを用いて、複数種類のアクセス特徴それぞれの前記複数のユーザのデータに基づき、アクセス特徴に異常を示すデータを持つユーザを抽出し、
前記アクセス特徴の前記異常を示すデータに基づいて、前記抽出部が抽出したユーザをクラスタリングし、
クラスタ毎に各アクセス特徴を当該アクセス特徴のデータの代表値に基づいてランク付けする
各処理を実行するアクセス監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス監視装置などに関する。
【背景技術】
【０００２】
セキュリティ管理者（以降、管理者という）は、監視ログを定期的に分析し、障害、攻撃や不正を抽出して対処する検査業務を行う。
【０００３】
検査業務で利用される異常スコアを計算する異常検知技術が知られている（例えば、非特許文献１参照）。かかる技術では、情報処理装置が、データ全体の傾向を確率モデルなどで近似し、その傾向から個々のデータが外れている度合いを数値化した異常スコアを計算する。例えば、情報処理装置は、ファイルサーバへのアクセスログから、ユーザ毎にアクセス回数、アクセス先の多様性など複数の特徴に基づいてユーザそれぞれについて異常スコアを計算する。情報処理装置は、統計的に異常であるユーザを抽出する。そして、管理者は、異常スコアの大きいユーザから順に、異常であった時点の周辺の履歴（ログ）を参照し、異常の内容や対処の要否について精査する。したがって、管理者は、ユーザ毎に異なる観点でその周辺の履歴（ログ）を精査する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１５−２０７８１８号公報
【特許文献２】特開２００２−１３２７４９号公報
【非特許文献】
【０００５】
【非特許文献１】井手剛著「入門機械学習による異常検知−Ｒによる実践ガイド」コロナ社、2015年
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来の検査業務では、アクセスログの分析の効率が低下するという問題がある。例えば、管理者は、アクセスログから異常として抽出された対象（例えばユーザ）毎に、その異常スコアや特徴に応じて具体的な精査の方法を選択しなおす必要が生じる。この結果、アクセスログの分析の効率が低下するという問題がある。
【０００７】
本発明は、１つの側面では、アクセス分析の効率の向上を図ることを目的とする。
【課題を解決するための手段】
【０００８】
１つの態様では、アクセス監視装置は、複数のユーザのアクセスログを用いて、複数種類のアクセス特徴それぞれの前記複数のユーザのデータに基づき、前記アクセス特徴に異常を示すデータを持つユーザを抽出する抽出部と、前記アクセス特徴の前記異常を示すデータに基づいて、前記抽出部が抽出したユーザをクラスタリングするクラスタリング部と、クラスタ毎に各アクセス特徴を当該アクセス特徴のデータの代表値に基づいてランク付けするランク付け部と、を有する。
【発明の効果】
【０００９】
１実施態様によれば、アクセス分析の効率の向上を図ることができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施例に係るアクセス監視装置の構成を示す機能ブロック図である。
【図２】図２は、実施例に係る第１の可視化の一例を示す図である。
【図３】図３は、実施例に係る第２の可視化の一例を示す図である。
【図４】図４は、実施例に係る第３の可視化の概念を示す図である。
【図５】図５は、実施例に係る第３の可視化の一例を示す図である。
【図６】図６は、実施例に係るアクセス監視処理のフローチャートを示す図である。
【図７】図７は、実施例に係る可視化の変形例を示す図である。
【図８】図８は、可視化の参考例を示す図である。
【図９】図９は、アクセス監視プログラムを実行するコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１１】
以下に、本願の開示するアクセス監視装置、アクセス監視プログラムおよびアクセス監視方法の実施例を図面に基づいて詳細に説明する。なお、本発明は、実施例により限定されるものではない。
【実施例】
【００１２】
［実施例に係るアクセス監視装置の構成］
図１は、実施例に係るアクセス監視装置の構成を示す機能ブロック図である。図１に示すアクセス監視装置１は、複数のユーザのアクセスログを用いて、複数種類のアクセス特徴それぞれの複数のユーザのデータに基づき、アクセス特徴に異常を示すデータを持つユーザを抽出する。そして、アクセス監視装置１は、アクセス特徴の異常を示すデータに基づいて、抽出したユーザをクラスタリングする。アクセス監視装置１は、クラスタ毎に各アクセス特徴を当該アクセス特徴のデータの代表値に基づいてランク付けする。
【００１３】
アクセス監視装置１は、制御部１０と、記憶部２０とを有する。
【００１４】
制御部１０は、ＣＰＵ（Central  Processing  Unit）などの電子回路に対応する。そして、制御部１０は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、これらによって種々の処理を実行する。制御部１０は、抽出部１１と、クラスタリング部１２と、データ変換部１３と、可視化部１４とを有する。なお、抽出部１１は、抽出部の一例である。データ変換部１３および可視化部１４は、ランク付け部の一例である。
【００１５】
記憶部２０は、例えば、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）などの半導体メモリ素子、または、ハードディスク、光ディスクなどの記憶装置である。記憶部２０は、アクセスログ２１を有する。
【００１６】
アクセスログ２１は、アクセス単位で記録された情報であり、一定期間のアクセスをユーザ単位で集約した結果を示す情報である。例えば、アクセスログ２１は、図示しないファイルサーバへのアクセス状況を履歴として記録したファイルである。すなわち、アクセスログ２１は、ファイルサーバへのアクセス傾向が多数のユーザと大きく異なる一部のユーザを抽出して具体的なアクセス内容を検査する際に用いられるファイルである。アクセスログ２１には、事象毎に、アクセス傾向を表す複数の属性に対応するデータ値が記憶される。ここでいう事象とは、例えばユーザのことをいう。ここでいう属性とは、アクセス特徴のことをいい、一例として、アクセスのあった日数やアクセスの時間的な集中度が挙げられる。
【００１７】
抽出部１１は、アクセスログ２１を用いて、複数種類のアクセス特徴に基づいて異常スコアを計算し、異常スコアの高い事象（ユーザ）を抽出する。例えば、抽出部１１は、アクセスログ２１に記憶されたデータ全体の傾向を確率モデルなどで近似し、その傾向から個々のデータが外れている度合いを数値化した異常スコアを計算する。異常スコアは、事象（ユーザ）それぞれについて計算される。そして、抽出部１１は、異常スコアの高いユーザを抽出する。なお、異常スコアを計算する方法は、いかなる先行技術の方法であっても良い。一例として、抽出部１１は、「井手剛著「入門機械学習による異常検知−Ｒによる実践ガイド」コロナ社、2015年」の先行技術を用いて異常スコアを計算すれば良い。
【００１８】
クラスタリング部１２は、異常スコアの高い事象（ユーザ）に基づいて、複数の事象（ユーザ）をクラスタリングする。ここでいう「クラスタリング」とは、データ分析において、各データ間に距離または類似度が定められる場合に、距離または類似度に応じて各データを纏めたり区別したりすることをいう。すなわち、「クラスタリング」とは、各データにラベルを付し、同一ラベルの付されるデータ間は距離が近く（類似度が高く）、異なるラベルの付されるデータ間は距離が遠く（類似度が低く）なるようにする。ここでいうデータ間の距離は、アクセスログ２１を用いて計算される。なお、クラスタリング部１２は、データセット全体でなく、異常として抽出された事象のみに対してクラスタリングを適用する。例えば、クラスタリング部１２は、異常として抽出されたデータに対して、必要に応じて前処理を行い、所定のクラスタリングアルゴリズムを適用する。クラスタリングアルゴリズムには、階層的クラスタリング、ｋ平均法、データから最尤推定した確率モデルによる方法および密度の偏りに基づく方法などがあり、クラスタリング部１２は、任意の方法を適用すれば良い。クラスタリング部１２は、前処理を実ベクトル空間への写像とみなし、データ間の距離としてマンハッタン距離を用いれば良い。これは、マンハッタン距離の長短に基づいてクラスタリングが行われると、ユークリッド距離やチェビシェフ距離に基づく場合と比較して、事象の軸に沿ったクラスタが形成され、管理者はクラスタをより把握し易いからである。
【００１９】
また、クラスタリング部１２は、クラスタリングされて得られた複数のクラスタそれぞれのクラスタ内の異常スコアを集約した集約スコアに基づいて、複数のクラスタを並べ替ても良い。例えば、クラスタリング部１２は、集約スコアが高い順に複数のクラスタを並べ替えても良い。
【００２０】
なお、クラスタリングアルゴリズムでは、ラベルの数（クラスタの数）を予め設定する場合がある。かかる場合には、ラベルの数（クラスタの数）はデータの次元数より大きく、異常として抽出されたデータの件数より小さくすることが望ましい。ラベルの数（クラスタの数）が小さくなる程、類似の異常を一括して精査できるが、同一のクラスタに含まれるデータ間の類似度は小さくなってしまうからである。
【００２１】
データ変換部１３は、クラスタリングの結果に基づき、各データを変換する。データ変換部１３は、第１のデータ変換部１３１と、第２のデータ変換部１３２とを有する。
【００２２】
第１のデータ変換部１３１は、クラスタリングの結果に基づき、クラスタ内の各データをクラスタの代表値に変換する。クラスタの代表値とは、クラスタ内のアクセス特徴毎の代表値のことをいう。そして、クラスタの代表値とは、例えば、クラスタ内のアクセス特徴毎の各データから任意に選んだ１つのデータの値であったり、クラスタ内のアクセス特徴毎の各データから任意に選んだ１つ以上のデータの値の平均値や中央値であったりする。
【００２３】
第２のデータ変換部１３２は、クラスタリングの結果に基づき、クラスタ内の各データをクラスタの代表値に近い値に変換する。例えば、第２の変換部１３２は、クラスタ内の各データを、各データの値とクラスタの代表値との平均値に変換する。クラスタの代表値とは、クラスタ内のアクセス特徴毎の代表値のことをいう。そして、クラスタの代表値とは、例えば、クラスタ内のアクセス特徴毎の各データから任意に選んだ１つのデータの値であったり、クラスタ内のアクセス特徴毎の各データから任意に選んだ１つ以上のデータの値の平均値や中央値であったりする。すなわち、第２のデータ変換部１３２は、クラスタ内の各データの値をクラスタの代表値に近づけることで、クラスタを際立たせる変換をする。なお、以降では、クラスタ代表値をクラスタ内の全データの平均値として説明する。
【００２４】
可視化部１４は、各データの値または各データの変換値に基づいてアクセス特徴毎にランク付けして可視化する。
【００２５】
可視化部１４は、第１の可視化部１４１と、第２の可視化部１４２、または第３の可視化部１４３とを有する。
【００２６】
第１の可視化部１４１は、各アクセス特徴のデータの値に基づいてランク付けして可視化する。例えば、第１の可視化部１４１は、各アクセス特徴のデータ値をそのまま利用し、アクセス特徴毎にデータ値をランク付けする。そして、第１の可視化部１４１は、アクセス特徴毎に、例えば、ランク付けしたデータ値の最大値および最小値を強調して可視化する。
【００２７】
第２の可視化部１４２は、各アクセス特徴の代表値に基づいてランク付けして可視化する。例えば、第２の可視化部１４２は、第１のデータ変換部１３１によって変換されたアクセス特徴毎のクラスタの代表値を利用し、アクセス特徴毎に代表値をランク付けする。そして、第２の可視化部１４２は、アクセス特徴毎に、例えば、ランク付けした代表値の最大値および最小値を強調して可視化する。すなわち、第２の可視化部１４２は、全てのアクセス特徴をクラスタに共通の性質とみなして可視化する。なお、第２の可視化部１４２は、データの値を代表値とともに可視化しても良い。
【００２８】
第３の可視化部１４３は、各アクセス特徴の変換値に基づいてランク付けして可視化する。例えば、第３の可視化部１４３は、第２のデータ変換部１３２によって変換された変換値、すなわちクラスタ内のアクセス特徴毎のデータ値と代表値との平均値である変換値を利用し、アクセス特徴毎に変換値をランク付けする。そして、第３の可視化部１４３は、アクセス特徴毎に、例えば、ランク付けした変換値の最大値および最小値を強調して可視化する。すなわち、第３の可視化部１４３は、全てのアクセス特徴をクラスタに共通の性質とみなして可視化する。なお、第３の可視化部１４３は、データの値を変換値とともに可視化しても良い。
【００２９】
なお、可視化部１４は、１つの可視化手段として、表形式で表わすことができる。すなわち、可視化部１４は、各データを精査対象リストとして表形式で表わし、各行を事象（ユーザ）とし各列を属性（アクセス特徴）とし、各セルに各事象の各属性値（データ値）を表示する。そして、可視化部１４は、各列のセルの視覚的特徴をデータ値または変換値に基づいて変更する。また、可視化部１４は、別の可視化手段として、データ分布で表わしても良い。すなわち、可視化部１４は、データ全体の分布を表し、データの軸として１つ以上の属性（アクセス特徴）をとり、平面上にデータ値または変換値をプロットして表示する。
【００３０】
［第１の可視化の一例］
図２は、実施例に係る第１の可視化の一例を示す図である。なお、図２では、可視化部１４が、可視化手段として表形式で表わす場合を示す。表形式の行は、ユーザに対応する。表形式の各列は、それぞれアクセス特徴に対応する。ここでは、アクセス特徴としてアクセスのあった日数、アクセス元ネットワークの多様さ、アクセス元アドレスの多様さ、アクセス先の集中およびアクセスの時間的集中（スケールの小・中・大）が挙げられる。表形式の各セルには、各ユーザの各アクセス特徴のデータ値が表わされている。データ値は、アクセスログ２１上のデータそのものであったり、データを所定期間で集約したデータであったりする。
【００３１】
図２に示すように、クラスタリング部１２は、抽出部１１によって抽出された、異常スコアの高い事象（ユーザ）に基づいて、複数のユーザをクラスタリングする。ここでは、一例として、クラスタ番号「１」には、ユーザｉｄが「０４２８ｄ４４９」、「ｂ８３３９７ｄａ」である各アクセス特徴のデータ値が表わされている。クラスタ番号「２」には、ユーザｉｄが「２０６７４０５１」である各アクセス特徴のデータ値が表わされている。
【００３２】
これにより、アクセス傾向が似た異常が同じクラスタに属するため、同じ観点、同じ手法で精査することが可能になる。すなわち、アクセス傾向が似た対象を纏めて分析することが可能になる。
【００３３】
そして、第１の可視化部１４１は、各アクセス特徴のデータの値に基づいてランク付けして可視化する。ここでは、第１の可視化部１４１は、アクセス特徴毎に、最大値のセルと最小値のセルを強調して可視化する。そして、第１の可視化部１４１は、最大値と最小値との間を段階的に区別して可視化する。一例として、アクセス特徴として「アクセスのあった日数」について、クラスタ番号「６」に属するユーザｉｄ「ｅ２２４ｃｂｄｆ」およびクラスタ番号「５」に属するユーザｉｄ「ｄｆ１ｅｂ５ｄｅ」のデータ値「６」が、最大値として強調して可視化されている。クラスタ番号「１」に属するユーザｉｄ「ｂ８３３９７ｄａ」のデータ値「３」が、最小値として強調して可視化されている。また、アクセス特徴として「アクセス元ネットワークの多様さ」について、クラスタ番号「６」に属するユーザｉｄのデータ値「６」が最小値として強調して可視化されている。
【００３４】
これにより、管理者は、ユーザ毎に個々の異常毎ではなく、同じクラスタ内の共通するアクセス傾向の異常毎に一括して精査することができる。つまり、管理者は、クラスタ毎にクラスタに属するユーザに共通するアクセス傾向に基づいてアクセスログ２１を精査することができる。ここでは、例えば、管理者は、クラスタ番号「６」に属するユーザについて、アクセス日数の多さやアクセス元の少なさを共通するアクセス傾向として把握することができ、このアクセス傾向に基づいてアクセスログ２１を精査することができる。
【００３５】
［第２の可視化の一例］
図３は、実施例に係る第２の可視化の一例を示す図である。なお、図３では、図２と同様に、可視化部１４が、可視化手段として表形式で表わす場合を示す。表形式の行、列およびデータ値の説明は、図２と同様であるので、その説明を省略する。また、クラスタリング部１２によって行われるクラスタリングも、図２と同様であるので、その説明を省略する。
【００３６】
第１のデータ変換部１３１は、クラスタ内のアクセス特徴毎の各データを、クラスタ内のアクセス特徴毎の代表値に変換する。ここでは、クラスタ内のあるアクセス特徴の代表値は、クラスタ内のあるアクセス特徴の各データの平均値であるとする。
【００３７】
一例として、アクセス特徴が「アクセスのあった日数」であるとする。すると、クラスタ番号「１」内のアクセス特徴の代表値は、「４」と「３」との平均値の「３．５」である。したがって、第１のデータ変換部１３１は、クラスタ番号「１」内のアクセス特徴のデータ値「４」を代表値「３．５」に変換し、クラスタ番号「１」内のアクセス特徴のデータ値「３」を代表値「３．５」に変換する。また、クラスタ番号「５」内のアクセス特徴の代表値は、「５」と「６」との平均値の「５．５」である。したがって、第１のデータ変換部１３１は、クラスタ番号「５」内のアクセス特徴のデータ値「５」を代表値「５．５」に変換し、クラスタ番号「５」内のアクセス特徴のデータ値「６」を代表値「５．５」に変換する。
【００３８】
別の例として、アクセス特徴が「アクセスの時間的集中（大）」であるとする。すると、クラスタ番号「６」内のアクセス特徴の代表値は、「２．０８」、「１．７９」、「１．６１」、「１．４４」と「１．５３」との平均値の「１．６９」である。したがって、第１のデータ変換部１３１は、クラスタ番号「６」内のアクセス特徴の各データ値を代表値「１．６９」に変換する。
【００３９】
そして、第２の可視化部１４２は、各アクセス特徴の代表値に基づいてランク付けして可視化する。ここでは、第２の可視化部１４２は、アクセス特徴毎に、変換された代表値の最大値のセルと最小値のセルを強調して可視化する。そして、第２の可視化部１４２は、最大値と最小値との間を段階的に区別して可視化する。一例として、アクセス特徴として「アクセスのあった日数」について、クラスタ番号「５」に属する各ユーザｉｄのデータ値が、最大値として強調して可視化されている。クラスタ番号「１」に属する各ユーザｉｄのデータ値が、最小値として強調して可視化されている。また、アクセス特徴として「アクセスの時間的集中（大）」について、クラスタ番号「６」に属する各ユーザｉｄのデータ値が最小値として強調して可視化されている。
【００４０】
これにより、第２の可視化部１４２は、同じクラスタ内の共通するアクセス傾向の異常を把握させることができる。つまり、管理者は、クラスタ毎の共通の性質を把握することができ、着目すべきデータ項目（アクセス特徴）を明確にすることができる。この結果、管理者は、共通の性質に基づいてアクセスログ２１を精査することができる。ここでは、例えば、管理者は、クラスタ番号「６」のアクセスの時間的集中（大）の代表値が最小値であり、集中の度合いが小さいので、アクセス傾向として分散していることを把握することができる。そして、管理者は、このアクセス傾向に基づいてアクセスログ２１を精査することができる。
【００４１】
［第３の可視化の概念］
図４は、実施例に係る第３の可視化の概念を示す図である。なお、図４では、可視化部１４が、可視化手段としてデータ分布で表わす場合を示す。データ分布のＸ軸は、１つの属性（アクセス特徴）であり、Ｙ軸は、別の属性（アクセス特徴）である。Ｘ軸のデータ値とＹ軸のデータ値とで表わされる２次元のプロットは、データ点というものとする。また、図４のＣα、Ｃβ、Ｃγ、Ｃωは、それぞれ異なるクラスタを示す。
【００４２】
第２のデータ変換部１３２は、クラスタ内の２次元の各データ点を、各データ点とクラスタ内の代表点との平均に変換する。すなわち、第２のデータ変換部１３２は、クラスタ内の２次元のデータ点をクラスタ内の代表点に近づけることで、クラスタを際立たせる変換をする。
【００４３】
そして、第３の可視化部１４３は、変換された平均点を変換点として可視化するとともに、元のデータ点を可視化する。ここでは、左図には、元のデータ点が表わされている。右図には、元のデータ点に代えて元のデータ点とクラスタ内の代表点との平均点を変換点として表わされているとともに、元のデータ点が表わされている。塗りつぶしの点が変換点である。白抜きの点が元のデータ点である。
【００４４】
これにより、第３の可視化部１４３は、同じクラスタ内の共通するアクセス傾向の異常を把握させることができるとともに、ユーザ毎に個々の異常を把握させることができる。つまり、第３の可視化部１４３は、クラスタに共通の性質を強調し、各データの性質も残すことで、管理者に対してバランス良く可視化することができる。
【００４５】
なお、図４では、２次元のデータ分布を示したが、３次元のデータ分布であっても良いし、Ｎ次元のデータ分布であっても良い。３次元のデータ分布であれば、３個の属性（アクセス特徴）を使えば良い。Ｎ次元のデータ分布であれば、Ｎ個の属性（アクセス特徴）を使えば良い。
【００４６】
［第３の可視化の一例］
図５は、実施例に係る第３の可視化の一例を示す図である。なお、図５では、図２と同様に、可視化部１４が、可視化手段として表形式で表わす場合を示す。表形式の行、列およびデータ値の説明は、図２と同様であるので、その説明を省略する。また、クラスタリング部１２によって行われるクラスタリングも、図２と同様であるので、その説明を省略する。
【００４７】
第２のデータ変換部１３２は、クラスタ内のアクセス特徴毎の各データを、変換値として各データ値とクラスタの代表値との平均値に変換する。ここでは、クラスタ内のあるアクセス特徴の代表値は、クラスタ内のあるアクセス特徴の各データの平均値であるとする。
【００４８】
一例として、アクセス特徴が「アクセスのあった日数」であるとする。すると、クラスタ番号「１」内のアクセス特徴の代表値は、「４」と「３」との平均値の「３．５」である。そして、第２のデータ変換部１３２は、データ値「４」を、変換値としてデータ値「４」と代表値「３．５」との平均値「３．７５」に変換する。第２のデータ変換部１３２は、データ値「３」を、変換値としてデータ値「３」と代表値「３．５」との平均値「３．２５」に変換する。図５の括弧内の数値が、変換値である。
【００４９】
そして、第３の可視化部１４３は、各アクセス特徴の変換値に基づいてランク付けして可視化するとともに、元のデータ値を可視化する。ここでは、第３の可視化部１４３は、アクセス特徴毎に、変換された変換値の最大値のセルと最小値のセルを強調して可視化する。そして、第３の可視化部１４３は、最大値と最小値との間を段階的に区別して可視化する。一例として、アクセス特徴として「アクセスのあった日数」について、クラスタ番号「５」に属するユーザｉｄ「ｄｆ１ｅｂ５ｄｅ」のデータ値が、最大値として強調して可視化されている。クラスタ番号「１」に属するユーザｉｄ「ｂ８３３９７ｄａ」のデータ値が、最小値として強調して可視化されている。また、アクセス特徴として「アクセスの時間的集中（大）」について、クラスタ番号「６」に属するユーザｉｄ「ｆ６４ｂｆ６６ｅ」のデータ値が最小値として強調して可視化されている。
【００５０】
これにより、第３の可視化部１４３は、同じクラスタ内の共通するアクセス傾向の異常を把握させることができるとともに、ユーザ毎に個々の異常を把握させることができる。つまり、管理者は、クラスタの共通の性質をより詳細に把握することができ、共通の性質に基づいてアクセスログ２１を精査することができる。ここでは、例えば、管理者は、クラスタ番号「６」のアクセスの時間的集中（大）について、最小値を含む可視化の区別が多岐にわたるため、アクセス傾向として分散していることを把握することができる。そして、管理者は、このアクセス傾向に基づいてアクセスログ２１を精査することができる。
【００５１】
［アクセス監視処理のフローチャート］
図６は、実施例に係るアクセス監視処理のフローチャートを示す図である。なお、図６では、クラスタリング部１２が異常スコアに基づいてクラスタリングしたものとする。また、図６では、あるアクセス特徴に着目した場合のアクセス監視処理の手順を説明する。
【００５２】
図６に示すように、制御部１０は、各ｉ（１≦ｉ≦ｎ；ｎは整数）に対して、事象を表すデータＤｉ、当該事象の異常スコアａｉ、当該事象の所属クラスタ番号ｃｉを入力とする。なお、データＤｉは、クラスタ番号ｃｉ内の１または複数のデータを含むものとする。異常スコアａｉは、クラスタ番号ｃｉ内の１または複数のデータに対する異常スコアを含むものとする。
【００５３】
データ変換部１３は、１つのクラスタ番号ｃを選択する（ステップＳ１１）。
【００５４】
そして、データ変換部１３は、クラスタ番号ｃ内の代表値Ｄｃを計算する（ステップＳ１２）。クラスタ番号ｃ内の代表値Ｄｃの計算方法は、以下の式（１）に示すとおりである。
【数１】
2018116505.tif 000003
すなわち、データ変換部１３は、クラスタ番号ｃ内の各データＤｉの平均値を、クラスタ番号ｃ内の代表値Ｄｃとして計算する。
【００５５】
そして、データ変換部１３は、クラスタ番号ｃの異常スコア（集約スコア）ａｃを計算する（ステップＳ１３）。クラスタ番号ｃの異常スコアａｃの計算方法は、以下の式（２）に示すとおりである。なお、ｆは、平均、最大または和などを計算する関数である。
【数２】
2018116505.tif 000004
すなわち、データ変換部１３は、クラスタ番号ｃ内の各データの異常スコアの平均、最大または和に基づいて、クラスタ番号ｃの異常スコアａｃを計算する。
【００５６】
そして、データ変換部１３は、クラスタ番号ｃ内のデータＤｉを変換後のデータＤｉ´に変換する（ステップＳ１４）。変換後のデータＤｉ´の計算方法は、以下の式（３）に示すとおりである。
【数３】
2018116505.tif 000005
すなわち、データ変換部１３は、変換なしの場合には、データＤｉそのものをデータＤｉ´にコピーする。データ変換部１３は、代表値に基づく可視化の場合には、データＤｉを代表値Ｄｃに変換し、代表値Ｄｃを変換後のデータＤｉ´とする。代表値に基づく可視化の場合は、第１のデータ変換部１３１の処理に対応する。データ変換部１３は、クラスタ強調変換の場合には、データＤｉを、例えばデータＤｉとクラスタ番号ｃ内の代表値Ｄｃとの平均値に変換し、平均値を変換後のデータＤｉ´とする。クラスタ強調変換において、代表値を平均値とし、各データを代表値との平均に変換する場合には、ｐを０．５にすれば良い。クラスタ強調変換の場合は、第２のデータ変換部１３２の処理に対応する。
【００５７】
そして、データ変換部１３は、クラスタ番号ｃ内のデータを変換したか否かを判定する（ステップＳ１５）。クラスタ番号ｃ内のデータを変換していないと判定した場合には（ステップＳ１５；Ｎｏ）、データ変換部１３は、クラスタ番号ｃ内の次のデータを変換すべく、ステップＳ１４に移行する。
【００５８】
一方、クラスタ番号ｃ内のデータを変換したと判定した場合には（ステップＳ１５；Ｙｅｓ）、データ変換部１３は、全てのクラスタ番号を選択したか否かを判定する（ステップＳ１６）。全てのクラスタ番号を選択していないと判定した場合には（ステップＳ１６；Ｎｏ）、データ変換部１３は、次のクラスタ番号ｃを選択する（ステップＳ１７）。そして、データ変換部１３は、ステップＳ１１に移行する。
【００５９】
一方、全てのクラスタ番号を選択したと判定した場合には（ステップＳ１６；Ｙｅｓ）、可視化部１４は、変換後のデータＤｉ´（１≦ｉ≦ｎ；ｎは整数）に基づいてランク付けして可視化する（ステップＳ１８）。例えば、変換なしの場合には、可視化部１４は、データＤｉそのものを示すデータＤｉ´に基づいてランク付けして可視化する。変換なしの場合は、第１の可視化部１４１の処理に対応する。代表値に基づく可視化の場合には、可視化部１４は、代表値Ｄｃを示すデータＤｉ´に基づいてランク付けして可視化する。代表値に基づく可視化の場合は、第２の可視化部１４２の処理に対応する。クラスタ強調変換の場合には、可視化部１４は、データＤｉとクラスタの代表値Ｄｃとの平均値を示すデータＤｉ´に基づいてランク付けして可視化する。クラスタ強調変換の場合は、第３の可視化部１４３の処理に対応する。
【００６０】
そして、可視化部１４によって可視化されると、制御部１０は、アクセス監視処理を終了する。
【００６１】
［可視化の変形例］
なお、可視化部１４は、各クラスタに属するデータを可視化する際、各クラスタ内のデータに共通する度合いの強い特徴をより強調して可視化しても良い。例えば、可視化部１４は、クラスタ内に分散が小さいという特徴を持つアクセス特徴を強調して可視化しても良い。ここで、クラスタを特徴付けるアクセス特徴を強調して可視化する可視化の変形例を、図７を参照して説明する。
【００６２】
図７は、実施例に係る可視化の変形例を示す図である。図７に示すように、あるアクセス特徴ａｘをＸ軸として、別のアクセス特徴ａｙをＹ軸とする。クラスタは、Ｃ０、Ｃ１、Ｃ２、Ｃ３であるとする。可視化部１４は、データ値の小大を色相、例えば小さい程青く、大きい程赤く表現する。そして、可視化部１４は、データ値の分散（散らばり）を濃淡、例えば散らばりが小さい程濃く、散らばりが大きい程淡く表現する。ここでは、クラスタＣ２の場合には、Ｘ軸方向では、データ値が小さく且つ散らばりが大きいので、可視化部１４は、淡い青から淡い紫で表現する。一方、Ｙ軸方向では、データ値が小さく且つ散らばりが小さいので、可視化部１４は、濃い青で表現する。また、クラスタＣ０の場合には、Ｘ軸方向では、データ値が大きく且つ散らばりが小さいので、可視化部１４は、濃い青で表現する。一方、Ｙ軸方向では、データ値が大きく且つ散らばりが小さいので、可視化部１４は、濃い赤で表現する。
【００６３】
これにより、可視化部１４は、各クラスタ内のデータに共通する度合いの強い特徴をより強調して可視化することができる。
【００６４】
［実施例の効果］
このようにして、上記実施例では、アクセス監視装置１は、複数のユーザのアクセスログ２１を用いて、複数種類のアクセス特徴それぞれの複数のユーザのデータに基づき、アクセス特徴に異常を示すデータを持つユーザを抽出する。そして、アクセス監視装置１は、アクセス特徴の異常を示すデータに基づいて、抽出したユーザをクラスタリングする。そして、アクセス監視装置１は、クラスタ毎に各アクセス特徴を当該アクセス特徴のデータの代表値に基づいてランク付けする。かかる構成によれば、アクセス監視装置１は、アクセスログ２１の分析の効率を向上させることができる。すなわち、アクセス監視装置１は、ユーザ毎の個々の異常毎ではなく、同じクラスタ内の共通するアクセス傾向の異常毎にアクセス分析を行うことができ、アクセス分析の効率を向上させることができる。言い換えると、アクセス監視装置１は、複数のユーザのうち互いに類似したユーザを同一のクラスタに分類し、且つ、同一クラスタ内のユーザに共通するアクセス傾向を管理者に可視化することができる。このため、管理者は、クラスタ毎にクラスタ内のユーザに共通するアクセス傾向に基づいてアクセスログ２１を精査することができる。そして、管理者は、アクセスログ２１を精査する観点の決定を行う回数を減らし、且つそれぞれの決定を迅速に行うことができる。
【００６５】
ここで、管理者に可視化する可視化の参考例を、図８に示す。図８は、可視化の参考例を示す図である。図８に示すように、参考例では、管理者は、ユーザ毎の個々の異常を把握し、個々の異常毎にアクセス分析を行うことになる。しかしながら、実施例では、管理者は、ユーザ毎の個々の異常毎ではなく、同じクラスタ内の共通するアクセス傾向の異常毎にアクセス分析を行うことができ、アクセス分析の効率を向上させることができる。
【００６６】
また、上記実施例では、アクセス監視装置１は、クラスタリングされて得られた複数のクラスタそれぞれのクラスタ内のスコアを集約した集約スコアに基づいて、複数のクラスタを並べ替える。そして、アクセス監視装置１は、並べ替えられたクラスタ毎に各アクセス特徴を当該アクセス特徴のデータの代表値に基づいてランク付けする。かかる構成によれば、アクセス監視装置１は、複数のクラスタをランク付けしたうえで、クラスタ毎に各アクセス特徴をランク付けすることで、クラスタの共通の性質を把握させることができる。この結果、アクセス監視装置１は、さらに、アクセス分析の効率を向上させることができる。
【００６７】
また、上記実施例では、アクセス監視装置１は、クラスタ毎に、各アクセス特徴の各データを各アクセス特徴のデータの代表値に変換し、変換された代表値に基づいて各アクセス特徴をランク付けする。かかる構成によれば、アクセス監視装置１は、同じクラスタ内の共通するアクセス傾向の異常を管理者に把握させることができる。
【００６８】
また、上記実施例では、アクセス監視装置１は、クラスタ毎に、各アクセス特徴の各データを各アクセス特徴のデータの代表値に近似させ、代表値に近似させた値を用いて各アクセス特徴をランク付けする。かかる構成によれば、アクセス監視装置１は、クラスタに共通の性質とクラスタ内でも事象により異なる性質とを同時に把握させることができる。この結果、アクセス監視装置１は、さらに、アクセス分析の効率を向上させることができる。
【００６９】
また、上記実施例では、アクセス監視装置１は、ランク付けされた各アクセス特徴を、ランク付けに応じて強調して可視化する。かかる構成によれば、アクセス監視装置１は、各アクセス特徴のランク付けに応じて強調して可視化することで、管理者に、着目すべきアクセス特徴を明確に把握させることができる。
【００７０】
また、上記実施例では、アクセス監視装置１は、クラスタリングされて得られた複数のクラスタそれぞれのクラスタ内のスコアを集約した集約スコアに基づいて、複数のクラスタを並べ替える。かかる構成によれば、アクセス監視装置１は、各アクセス特徴のランク付けに応じて可視化する際に、さらに、管理者に、着目すべきアクセス特徴を明確に把握させることができる。
【００７１】
［その他］
なお、上記実施例では、アクセス監視装置１が、抽出部１１を含む構成としたが、これに限定されない。アクセス監視装置１は、抽出部１１によって計算された異常スコアおよび各データを入力しても良い。また、アクセス監視装置１は、抽出部１１によって計算された各異常スコアおよび各データを予め記憶部２０に記憶しても良い。
【００７２】
また、図示したアクセス監視装置１の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、アクセス監視装置１の分散・統合の具体的態様は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、クラスタリング部１２を、異常スコアに基づいて複数の事象をクラスタリングするクラスタリング部と、クラスタを並べ替える並べ替え部とに分離しても良い。また、第１のデータ変換部１３１と第２の可視化部１４２とを１つの部として統合しても良い。また、第２のデータ変換部１３２と第３の可視化部１４３とを１つの部として統合しても良い。また、記憶部２０をアクセス監視装置１の外部装置としてネットワーク経由で接続するようにしても良い。
【００７３】
また、上記実施例で説明した各種の処理は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図１に示したアクセス監視装置１と同様の機能を実現するアクセス監視プログラムを実行するコンピュータの一例を説明する。図９は、アクセス監視プログラムを実行するコンピュータの一例を示す図である。
【００７４】
図９に示すように、コンピュータ２００は、各種演算処理を実行するＣＰＵ２０３と、ユーザからのデータの入力を受け付ける入力装置２１５と、表示装置２０９を制御する表示制御部２０７とを有する。また、コンピュータ２００は、記憶媒体からプログラムなどを読取るドライブ装置２１３と、ネットワークを介して他のコンピュータとの間でデータの授受を行う通信制御部２１７とを有する。また、コンピュータ２００は、各種情報を一時記憶するメモリ２０１と、ＨＤＤ（Hard  Disk  Drive）２０５を有する。そして、メモリ２０１、ＣＰＵ２０３、ＨＤＤ２０５、表示制御部２０７、ドライブ装置２１３、入力装置２１５、通信制御部２１７は、バス２１９で接続されている。
【００７５】
ドライブ装置２１３は、例えばリムーバブルディスク２１１用の装置である。ＨＤＤ２０５は、アクセス監視プログラム２０５ａおよびアクセス監視処理関連情報２０５ｂを記憶する。
【００７６】
ＣＰＵ２０３は、アクセス監視プログラム２０５ａを読み出して、メモリ２０１に展開し、プロセスとして実行する。かかるプロセスは、アクセス監視装置１の各機能部に対応する。アクセス監視処理関連情報２０５ｂは、アクセスログ２１に対応する。そして、例えばリムーバブルディスク２１１が、アクセス監視プログラム２０５ａなどの各情報を記憶する。
【００７７】
なお、アクセス監視プログラム２０５ａについては、必ずしも最初からＨＤＤ２０５に記憶させておかなくても良い。例えば、コンピュータ２００に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」に当該プログラムを記憶させておく。そして、コンピュータ２００がこれらからアクセス監視プログラム２０５ａを読み出して実行するようにしても良い。また、コンピュータ２００が、ネットワーク上からアクセス監視プログラム２０５ａを読み出して実行するようにしても良い。
【符号の説明】
【００７８】
１  アクセス監視装置
１０  制御部
１１  抽出部
１２  クラスタリング部
１３  データ変換部
１３１  第１のデータ変換部
１３２  第２のデータ変換部
１４  可視化部
１４１  第１の可視化部
１４２  第２の可視化部
１４３  第３の可視化部
２０  記憶部
２１  アクセスログ
【図１】
2018116505.tif 000006
【図２】
2018116505.tif 000007
【図３】
2018116505.tif 000008
【図４】
2018116505.tif 000009
【図５】
2018116505.tif 000010
【図６】
2018116505.tif 000011
【図７】
2018116505.tif 000012
【図８】
2018116505.tif 000013
【図９】
2018116505.tif 000014