(57)【要約】【課題】大量のフィルタルールを要せずに、分析に不必要なログを生ログ状態で排除すること。【解決手段】センサから出力される生ログを取得する取得手段と、前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化手段と、前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタ手段と、前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行手段と、を備えた情報処理装置。【選択図】  図１
2018156543.tif 000002
【特許請求の範囲】
【請求項１】
センサから出力される生ログを取得する取得手段と、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化手段と、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタ手段と、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行手段と、
を備えた情報処理装置。
【請求項２】
過去の生ログと正規化ログの組合せを前記過去データとして保持する過去データ保持手段をさらに備え、
前記ログ正規化手段は、前記過去データを用いて、前記生ログから正規化ログを生成する請求項１に記載の情報処理装置。
【請求項３】
正規化ログと前記フィルタ処理の結果との組合せを前記過去データとして保持する過去データ保持手段をさらに備え、
前記正規化ログフィルタ手段は、さらに、前記過去データを用いて、前記正規化ログから前記フィルタ処理の結果を導き出す請求項１または２に記載の情報処理装置。
【請求項４】
１つ以上のセンサと、
前記センサから出力される生ログを取得する取得手段と、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化手段と、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタ手段と、
あらかじめ設定された分析ルールに基づき正規化ログを自動的に分析する分析実行手段と、
を備えた情報処理システム。
【請求項５】
過去の生ログと正規化ログの組合せを前記過去データとして保持する過去データ保持手段をさらに備え、
前記ログ正規化手段は、前記過去データを用いて、前記生ログから正規化ログを生成する請求項４に記載の情報処理システム。
【請求項６】
正規化ログと前記フィルタ処理の結果との組合せを前記過去データとして保持する過去データ保持手段をさらに備え、
前記正規化ログフィルタ手段は、さらに、前記過去データを用いて、前記正規化ログから前記フィルタ処理の結果を導き出す請求項４または５に記載の情報処理システム。
【請求項７】
前記過去データ保持手段を前記センサ内に備えた請求項５または５に記載の情報処理システム。
【請求項８】
センサから出力される生ログを取得する取得ステップと、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化ステップと、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタステップと、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行ステップと、
を含む情報処理方法。
【請求項９】
センサから出力される生ログを取得する取得ステップと、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化ステップと、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタステップと、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行ステップと、
をコンピュータに実行させる情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理方法および情報処理プログラムに関する。
【背景技術】
【０００２】
特許文献１には、セキュリティ攻撃を検知するため、ファイアウォールやサーバ、クライアント端末等のログの相関関係を自動的に分析するＳＩＥＭ（Security Information and Event Management）システムが開示されている。
【０００３】
ＳＩＥＭを用いることにより、監視対象の装置のログがあらかじめ設定されたセキュリティ攻撃を判別するための分析ルールに合致するか否かを自動的に分析し、早期にセキュリティ攻撃を発見することが可能となる。
【０００４】
また、特許文献２、３では、連続的に到着する大量のログをリアルタイムに分析するため、管理者により入力されたフィルタルールに基づいて分析に不必要なログを排除するシステムが開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特表2004-537075号公報
【特許文献２】特開2006-319633号公報
【特許文献３】特開2015-198301号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献２、３に記載のシステムでは、ログの正規化後に分析に不要なログを破棄しているが、無駄な正規化処理が発生するという課題がある。
【０００７】
一方、分析に不要なログを生ログ（正規化前のログ）状態で破棄するためには、ベンダー間や装置間、ログ間の表記揺れを考慮してフィルタルールを記述する必要がある。例えばログ内に表記される送信元ＩＰアドレスによりフィルタを実行したい場合、同じ装置でもログによって送信元ＩＰアドレスが記載される場所が異なるので、到着するログ全てを考慮し、それに応じたフィルタルールを設定しなければならない。これは、大量のフィルタルールが必要となり運用コストが高くなるという課題がある。
【０００８】
本発明の目的は、上述の課題を解決する技術を提供することにある。
【課題を解決するための手段】
【０００９】
上記目的を達成するため、本発明に係る装置は、
センサから出力される生ログを取得する取得手段と、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化手段と、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタ手段と、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行手段と、
を備えた。
【００１０】
上記目的を達成するため、本発明に係るシステムは、
１つ以上のセンサと、
前記センサから出力される生ログを取得する取得手段と、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化手段と、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタ手段と、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行手段と、
を備えた。
【００１１】
上記目的を達成するため、本発明に係る方法は、
センサから出力される生ログを取得する取得ステップと、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化ステップと、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタステップと、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行ステップと、
を含む。
【００１２】
上記目的を達成するため、本発明に係るプログラムは、
センサから出力される生ログを取得する取得ステップと、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化ステップと、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタステップと、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行ステップと、
をコンピュータに実行させる。
【発明の効果】
【００１３】
本発明によれば、大量のフィルタルールを要せずに、分析に不必要なログを生ログ状態で排除することを可能とする。
【図面の簡単な説明】
【００１４】
【図１】本発明の第１実施形態にかかる情報処理装置の機能構成を示すブロック図である。
【図２】本発明の第２実施形態にかかる情報処理装置の機能構成を示すブロック図である。
【図３】本発明の第２実施形態にかかる情報処理装置の過去データ保持部２１９の内容を示す図である。
【図４】本発明の第２実施形態にかかる情報処理装置の生ログ・正規化ログ対応関係保持部のデータ例を示す図である。
【図５】本発明の第２実施形態にかかる情報処理装置の正規化ログ・フィルタ結果対応関係保持部のデータ例を示す図である。
【図６】本発明の第２実施形態にかかる情報処理装置の処理の流れを示すシーケンス図である。
【図７】本発明の第２実施形態にかかる情報処理装置の処理の流れを示すシーケンス図である。
【図８】本発明の第２実施形態にかかる情報処理装置のハードウェア構成図である。
【図９】本発明における第３実施形態に係る情報処理装置の機能構成を示すブロック図である。
【発明を実施するための形態】
【００１５】
以下に、図面を参照して、本発明の実施の形態について例示的に詳しく説明する。ただし、以下の実施の形態に記載されている構成要素はあくまで例示であり、本発明の技術範囲をそれらのみに限定する趣旨のものではない。
【００１６】
［第１実施形態］
本発明の第１実施形態としての情報処理装置１００について、図１を用いて説明する。情報処理装置１００は、センサからの取得したログを分析する装置である。
【００１７】
図１に示すように、情報処理装置１００は、生ログ取得部１０１と、ログ正規化部１０２と正規化ログフィルタ部１０３と分析実行部１０４とを含む。
【００１８】
生ログ取得部１０１は、センサから出力される生ログを取得する。
【００１９】
ログ正規化部１０２は、生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成する。
【００２０】
正規化ログフィルタ部１０３は、正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う。
【００２１】
分析実行部１０４は、フィルタ処理を行なった正規化ログを、あらかじめ設定された分析ルールに基づいて分析する。
【００２２】
以上の構成によれば、過去データを用いてログを処理するため、大量のフィルタルールを要せずに、分析に不必要なログを生ログ状態で排除することを可能とする。
【００２３】
［第２実施形態］
次に本発明の第２実施形態に係る情報処理装置について、図２以降を用いて説明する。図２は、本実施形態に係る情報処理装置２０１を含む情報処理システム２００の概略構成を説明するためのブロック図である。図２に示すように、情報処理システム２００は、情報処理装置２０１および複数のセンサ２１０がネットワーク２２０を介して接続された構成となっている。情報処理装置２０１はインターネット等の外部のネットワーク２２０に接続され、１つ以上のセンサ２１０からログを受信する。
【００２４】
情報処理装置２０１は、センサ２１０から生ログを取得する生ログ取得部２１１と、取得した生ログと過去データを比較することで対処方法を決定する決定部２１２と、を含む。また、情報処理装置２０１は、あらかじめ設定された正規化ルール２１４に基づき生ログを正規化するログ正規化部２１３と、正規化されたログをあらかじめ設定された正規化ログフィルタルール２１５に基づきフィルタ処理を行う正規化ログフィルタ部２１６とを備える。さらに、情報処理装置２０１は、正規化ログをあらかじめ設定された分析ルール２１７に基づき自動分析する分析実行部２１８と、生ログと正規化ログの対応関係および正規化ログとフィルタ結果の対応関係を記録する過去データ保持部２１９とを含む。
【００２５】
図３は、過去データ保持部２１９の構成例を示すブロック図である。生ログと正規化ログの対応関係を生ログ・正規化ログ対応関係保持部３０１に、正規化ログとフィルタ結果の対応関係を正規化ログ・フィルタ結果対応関係保持部３０２にそれぞれ保持する。
【００２６】
図４は、生ログ・正規化ログ対応関係保持部３０１に格納されるデータの一例である。ログ分析システムが取得した生ログと生ログの正規化後のログが対となり格納される。
【００２７】
図５は、正規化ログ・フィルタ結果対応関係保持部３０２に格納されるデータの一例である。正規化後のログとフィルタ結果が対となり格納される。
【００２８】
図４、５に示すように、生ログ・正規化ログ対応関係保持部３０１と正規化ログ対応関係保持部３０２にそれぞれ格納される情報から、過去の生ログのフィルタ結果を検索することが可能となる。すなわち、新規に取得した生ログが過去に破棄されたものか否かを検索することが可能となる。また、これらに保持される生ログ、正規化ログはハッシュ関数などを用い特徴を持った値に変換してもよい。
【００２９】
図６は、本実施形態における過去データ学習時の動作を示すシーケンス図である。図６に示すように、生ログ取得部２１１はセンサからログを取得し（Ｓ６０１）、ログを決定部２１２に送信する（Ｓ６０３）。決定部２１２では過去データ保持部２１９に対して、受信した生ログが過去に破棄されたものかどうかを検索する（Ｓ６０５）。
【００３０】
決定部２１２は、過去データ保持部２１９からの回答（Ｓ６０７）を受付け、過去に破棄された記録があるか判定する（Ｓ６０９）。言い換えれば、決定部２１２は、過去データ保持部２１９を参照して、過去に破棄された生ログとの類似性を判定する。過去に破棄された生ログと受信した生ログが同じもしくは類似している場合には、破棄する（Ｓ６１０）。過去に破棄された記録がない場合、生ログをログ正規化部２１３に送信する（Ｓ６１１）。ログ正規化部２１３はあらかじめ設定された正規化ルール２１４に基づき、生ログを正規化ログに変換する（Ｓ６１３）。
【００３１】
ログ正規化部２１３は、変換後の正規化ログを過去データ保持部２１９に対してに送信する（Ｓ６１５）。また、生ログと正規化ログとの対応関係を示す情報を正規化ログフィルタ部２１６に送信する（Ｓ６１７）。過去データ保持部２１９は受信した生ログと正規化ログの対応情報を生ログ・正規化ログ対応関係保持部３０１に記録する（Ｓ６１９）。
【００３２】
正規化ログフィルタ部２１６では、受信した正規化ログに対し、あらかじめ設定された正規化ログフィルタルール２１５を用いてフィルタ処理を施す（Ｓ６２１）。そして、正規化ログとフィルタ結果の対応関係を過去データ保持部２１９に対して通知する（Ｓ６２３）。フィルタ通過したか判定し（Ｓ６２５）、フィルタを通過した場合は正規化ログを分析実行部２１８に送信する（Ｓ６２７）。フィルタに引っかかった場合は該当正規化ログの処理を中止する。
【００３３】
これにより、一度正規化処理後に破棄されたログは、もう一度同一もしくは類似するログが到着した際に生ログ状態で破棄することが可能となる。よって、正規化ログフィルタルール２１５のみで生ログ状態での破棄も可能になるため、無駄な正規化処理を削減することができる。
【００３４】
図７は、正規化ログフィルタルールが変更された際の動作を示すシーケンス図である。ログ分析システムでは、過去に正規化後に破棄されたログを生ログ状態で破棄する。正規化ログフィルタルール２１５や分析ルール２１７に変更があった場合、過去に不要であったログが必要になる場合があるため、図８に示すように、正規化ログフィルタルール２１５が変更された際には、過去データ保持部２１９に対して変更されたことを通知する（Ｓ８０１）。過去データ保持部２１９では、上記通知を受信した場合、保持している過去データを消去する（Ｓ８０２）。これにより、変更以前は破棄していたが変更後に通過するログに対して対応することが可能となる。なお、図７では正規化ログフィルタルール２１５の場合であるが、分析ルール２１７の場合も同様である。以上の通り、正規化ログフィルタの変更があった場合には、過去データ保持部２１９の内容をオールクリアし、学習結果を削除して変更に追従させる。
【００３５】
図８は、情報処理装置２０１のハードウェア構成を示す図である。情報処理装置２０１は、ＣＰＵ８１０、ＲＯＭ８２０、通信制御部８３０、ＲＡＭ８４０、およびストレージ８５０を備えている。ＣＰＵ８１０は中央処理部であって、様々なプログラムを実行することにより情報処理装置２０１全体を制御する。ＲＯＭ８２０は、リードオンリメモリであり、ＣＰＵ８１０が最初に実行すべきブートプログラムの他、各種パラメータ等を記憶している。また、ＲＡＭ８４０は、ランダムアクセスメモリであり、アプリケーション８４１の実行領域を有している。
【００３６】
ログ分析アプリケーション８４１は、生ログ取得モジュール８４２と、決定モジュール８４３と、ログ正規化モジュール８４４と、正規化ログフィルタモジュール８４５と、分析実行モジュール８４６とを有する。一方、ストレージ８５０は、過去データ８５１、正規化ルール８５２、正規化ログフィルタルール８５３、および分析ルール８５４を記憶している。また、通信制御部８３０は、センサ２１０とのネットワーク２２０を介した通信を制御する。
【００３７】
以上、本実施形態によれば、過去データを参照して生ログを評価しているので、大量のフィルタルールを要せずに、分析に不必要なログを生ログ状態で排除することが可能となる。
【００３８】
［第３実施形態］
次に本発明の第３実施形態に係る情報処理システム９００について、図９を用いて説明する。図９は、本実施形態に係る情報処理システム９００の概略構成を説明するための図である。本実施形態に係る情報処理システム９００は、上記第２実施形態と比べると、過去データ比較によるフィルタ処理をセンサ９１０内で行なう点で異なる。その他の構成および動作は、第２実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。
【００３９】
センサ９１０は、過去データ比較部９１１と過去データ保持部９１２を備えている。過去データ比較部９１１は、センサ９１０で取得した生ログと、過去データ保持部９１２に保持された過去の生ログとを比較し、破棄すべきか否かを判定する。センサ９１０は、判定結果を生ログに付加して情報処理装置９０１に送信する。生ログ取得部９１１は、取得した生ログに付加された判定結果をログ正規化部９１３および正規化ログフィルタ部９１６に渡す。
【００４０】
過去データ保持部９１２の保持内容およびログ正規化部９１３および正規化ログフィルタ部９１６の処理は、上記第２実施形態と同様である。
【００４１】
以上、本実施形態によれば、過去データを参照して生ログを評価しているので、大量のフィルタルールを要せずに、分析に不必要なログを生ログ状態で排除することが可能となる。
【００４２】
［他の実施形態］
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。また、それぞれの実施形態に含まれる別々の特徴を如何様に組み合わせたシステムまたは装置も、本発明の範疇に含まれる。
【００４３】
また、本発明は、複数の機器から構成されるシステムに適用されてもよいし、単体の装置に適用されてもよい。さらに、本発明は、実施形態の機能を実現する情報処理プログラムが、システムあるいは装置に直接あるいは遠隔から供給される場合にも適用可能である。したがって、本発明の機能をコンピュータで実現するために、コンピュータにインストールされるプログラム、あるいはそのプログラムを格納した媒体、そのプログラムをダウンロードさせるＷＷＷ(World Wide Web)サーバも、本発明の範疇に含まれる。特に、少なくとも、上述した実施形態に含まれる処理ステップをコンピュータに実行させるプログラムを格納した非一時的コンピュータ可読媒体（non-transitory computer readable medium）は本発明の範疇に含まれる。
【００４４】
［実施形態の他の表現］
上記の実施形態の一部または全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
センサから出力される生ログを取得する取得手段と、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化手段と、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタ手段と、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行手段と、
を備えた情報処理装置。
（付記２）
過去の生ログと正規化ログの組合せを前記過去データとして保持する過去データ保持手段をさらに備え、
前記ログ正規化手段は、前記過去データを用いて、前記生ログから正規化ログを生成する付記１に記載の情報処理装置。
（付記３）
正規化ログと前記フィルタ処理の結果との組合せを前記過去データとして保持する過去データ保持手段をさらに備え、
前記正規化ログフィルタ手段は、さらに、前記過去データを用いて、前記正規化ログから前記フィルタ処理の結果を導き出す付記１または２に記載の情報処理装置。
（付記４）
１つ以上のセンサと、
前記センサから出力される生ログを取得する取得手段と、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化手段と、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタ手段と、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行手段と、
を備えた情報処理システム。
（付記５）
過去の生ログと正規化ログの組合せを前記過去データとして保持する過去データ保持手段をさらに備え、
前記ログ正規化手段は、前記過去データを用いて、前記生ログから正規化ログを生成する付記４に記載の情報処理システム。
（付記６）
正規化ログと前記フィルタ処理の結果との組合せを前記過去データとして保持する過去データ保持手段をさらに備え、
前記正規化ログフィルタ手段は、さらに、前記過去データを用いて、前記正規化ログから前記フィルタ処理の結果を導き出す付記４または５に記載の情報処理システム。
（付記７）
前記過去データ保持手段を前記センサ内に備えた付記５または５に記載の情報処理システム。
（付記８）
センサから出力される生ログを取得する取得ステップと、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化ステップと、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタステップと、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行ステップと、
を含む情報処理方法。
（付記９）
センサから出力される生ログを取得する取得ステップと、
前記生ログに対して、過去データを参照しつつ、あらかじめ設定された正規化ルールに基づき正規化処理を施し、正規化ログを生成するログ正規化ステップと、
前記正規化ログに対して、あらかじめ設定された正規化ログフィルタルールに基づきフィルタ処理を行う正規化ログフィルタステップと、
前記フィルタ処理を行なった前記正規化ログを、あらかじめ設定された分析ルールに基づいて分析する分析実行ステップと、
をコンピュータに実行させる情報処理プログラム。
【図１】
2018156543.tif 000003
【図２】
2018156543.tif 000004
【図３】
2018156543.tif 000005
【図４】
2018156543.tif 000006
【図５】
2018156543.tif 000007
【図６】
2018156543.tif 000008
【図７】
2018156543.tif 000009
【図８】
2018156543.tif 000010
【図９】
2018156543.tif 000011