(57)【要約】【課題】  悪性通信を監視するための調査対象となる通信履歴の傾向に応じてフィルタリングを効率化できるフィルタ制御装置を提供する。【解決手段】  本発明のフィルタ制御装置は、悪性通信を監視するための調査対象となる通信履歴のフィルタ処理を制御するフィルタ制御装置であって、入力された前記通信履歴の傾向に基づき、前記通信履歴に対するフィルタの適用の有無および適用順を制御するフィルタ管理制御部を有することを特徴とする。【選択図】      図１
2019146070.tif 000002
【特許請求の範囲】
【請求項１】
悪性通信を監視するための調査対象となる通信履歴のフィルタ処理を制御するフィルタ制御装置であって、
入力された前記通信履歴の傾向に基づき、前記通信履歴に対するフィルタの適用の有無および適用順を制御するフィルタ管理制御部を有することを特徴とするフィルタ制御装置。
【請求項２】
前記フィルタ管理制御部の制御に基づき、前記通信履歴に対して所定のフィルタリング処理を行い、フィルタリングされた前記通信履歴を出力する１又は２以上のフィルタ処理部をさらに有することを特徴とする請求項１に記載のフィルタ制御装置。
【請求項３】
前記通信履歴の傾向は、前記通信履歴の取得場所に依存して得られる傾向であることを特徴とする請求項１又は２に記載のフィルタ制御装置。
【請求項４】
前記通信履歴が、外部ネットワークが介在する通信履歴であり、
前記通信履歴の傾向は、前記外部ネットワークへのアクセスが大多数を占めているとの傾向であることを特徴とする請求項３に記載のフィルタ制御装置。
【請求項５】
前記外部ネットワークへのアクセスが特定のドメインに偏っていることを特徴とする請求項４に記載のフィルタ制御装置。
【請求項６】
前記通信履歴の傾向は、前記通信履歴の取得時間に依存して得られる傾向であることを特徴とする請求項１又は２に記載のフィルタ制御装置。
【請求項７】
前記通信履歴には、前記通信履歴の取得年月日及び時刻が含まれ、
前記通信履歴の傾向は、業務時間内又は業務時間外のいずれかに区別できる傾向であることを特徴とする請求項６に記載のフィルタ制御装置。
【請求項８】
前記通信履歴の傾向に対して、フィルタリング効果を示す指標がフィルタの種類毎に予め定義されたフィルタ適用管理情報をさらに有し、
前記フィルタ管理制御部は、前記フィルタ適用管理情報を用いて、前記通信履歴に対するフィルタの適用の有無および適用順を制御する
ことを特徴とする請求項１〜７のいずれかに記載のフィルタ制御装置。
【請求項９】
悪性通信を監視するための調査対象となる通信履歴のフィルタ処理を制御するフィルタ制御装置に搭載されるコンピュータを、
入力された前記通信履歴の傾向に基づき、前記通信履歴に対するフィルタの適用の有無および適用順を制御するフィルタ管理制御部として機能させることを特徴とするフィルタ制御プログラム。
【請求項１０】
悪性通信を監視するための調査対象となる通信履歴のフィルタ処理を制御するフィルタ制御方法であって、
フィルタ管理制御部を有し、
前記フィルタ管理制御部は、入力された前記通信履歴の傾向に基づき、前記通信履歴に対するフィルタの適用の有無および適用順を制御することを特徴とするフィルタ制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、フィルタ制御装置、フィルタ制御プログラム及びフィルタ制御方法に関し、例えば、サイバー攻撃監視のために調査対象となるログのフィルタリングシステムに適用し得る。
【背景技術】
【０００２】
従来、サイバー攻撃監視の目的で、プロキシサーバなどの社内装置に記録されるログ情報を調査し、マルウェアのダウンロードや攻撃者サーバとの通信といった悪性通信を検出する取り組みが実施されている。
【０００３】
一般にアクセス履歴などのログ情報は膨大であり、そのほとんどが悪性でない通信によるログ情報であることが多い。そのような前提で、すべてのログ情報の中から悪性通信を総当り的に見つけ出すというアプローチは、監視工数が大きく効率的でない。
【０００４】
ところで、悪性通信を効率良く発見するための一つの手法として、ログ情報のフィルタリングが存在する。ログ情報のフィルタリングにより調査すべきログの総数を減少させることができるため、悪性通信の検出速度向上が期待できる。
【０００５】
ただし、利用するフィルタによっては、削減効果が低いものもある。例えば、複数のフィルタを順番に適用する多段構成のフィルタリングシステムの場合、初めに削減効果が低いフィルタを適用すると、フィルタリング処理を実施するにも関わらず、次段のフィルタへの入力ログも減少せず、システム全体としてフィルタリング処理効率が悪くなるという問題を考慮しなければならない。
【０００６】
上記問題を解決する方法として、例えば、特許文献１には、各フィルタがフィルタリングルールにマッチした回数をカウントし、マッチカウントが高いフィルタほど適用順序を前段に移動するように再配置する方法が開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０００−１７４８０８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、特許文献１に記載の方法は、現在受信するパケットが、その後に受信するパケットの傾向と同様であるという前提の上でフィルタリング処理効率が向上するものである。例えば、社内から社外へのアクセスログから悪性通信を見つけ出すためのログのフィルタリングという観点では、平日・休日の違いや通常勤務時間内・外によるログの傾向に違いが存在する。
【０００９】
そのため、通信履歴の傾向に応じてフィルタリングを効率化できるフィルタ制御装置、フィルタ制御プログラム及びフィルタ制御方法が望まれている。
【課題を解決するための手段】
【００１０】
第１の本発明は、悪性通信を監視するための調査対象となる通信履歴のフィルタ処理を制御するフィルタ制御装置であって、入力された前記通信履歴の傾向に基づき、前記通信履歴に対するフィルタの適用の有無および適用順を制御するフィルタ管理制御部を有することを特徴とする。
【００１１】
第２の本発明のフィルタ制御プログラムは、悪性通信を監視するための調査対象となる通信履歴のフィルタ処理を制御するフィルタ制御装置に搭載されるコンピュータを、入力された前記通信履歴の傾向に基づき、前記通信履歴に対するフィルタの適用の有無および適用順を制御するフィルタ管理制御部として機能させることを特徴とする。
【００１２】
第３の本発明は、悪性通信を監視するための調査対象となる通信履歴のフィルタ処理を制御するフィルタ制御方法であって、フィルタ管理制御部を有し、前記フィルタ管理制御部は、入力された前記通信履歴の傾向に基づき、前記通信履歴に対するフィルタの適用の有無および適用順を制御することを特徴とする。
【発明の効果】
【００１３】
本発明によれば、通信履歴の傾向に応じてフィルタリングを効率化できる。
【図面の簡単な説明】
【００１４】
【図１】実施形態に係るフィルタ制御装置の機能的構成を示すブロック図である。
【図２】実施形態に係るフィルタリングシステムの構成例（その１）を示すブロック図である。
【図３】実施形態に係るフィルタ適用管理テーブルの一例を示す図（その１）である。
【図４】実施形態に係るフィルタリングシステムの構成例（その２）を示すブロック図である。
【図５】実施形態に係るフィルタ適用管理テーブルの一例を示す図（その２）である。
【図６】実施形態に係るフィルタ適用管理テーブルの一例を示す図（その３）である。
【図７】実施形態に係るフィルタリングシステムの構成例（その３）を示すブロック図である。
【発明を実施するための形態】
【００１５】
（Ａ）主たる実施形態
以下、本発明に係るフィルタ制御装置、フィルタ制御プログラム及びフィルタ制御方法の主たる実施形態を、図面を参照しながら詳述する。
【００１６】
（Ａ−１）実施形態の構成
図１は、実施形態に係るフィルタ制御装置の機能的構成を示すブロック図である。また、図２は、実施形態に係るフィルタリングシステムの構成を示すブロック図である。図２で示すフィルタリングシステム１は、図１で示すフィルタ制御装置が１又は複数備わることにより形成される。フィルタリングシステム１は、種々様々な装置に搭載することができるが、例えば、社内ネットワークと社外ネットワークの境界に設置される装置（ファイアウォール）、プロキシサーバ等に搭載しても良いし、また社内ネットワーク上のログを一元管理する装置に搭載しても良い。
【００１７】
図１において、フィルタ制御装置１０は、フィルタ管理制御部１１及び複数のフィルタ処理部１２（１２−１〜１２−ｎ）を有する。実施施形態に係るフィルタ制御装置は、図１に示す各構成部を搭載した専用のＩＣチップ等のハードウェアとして構成しても良いし、又は、ＣＰＵと、ＣＰＵが実行するプログラムを中心としてソフトウェア的に構成して良いが、機能的には、図１で表すことができる。
【００１８】
フィルタ処理部１２は、フィルタ管理制御部１１から与えられたログ情報を規定のルールに従ってフィルタ処理（フィルタリング）し、フィルタ処理した結果（フィルタリング後のログ情報）を、フィルタ管理制御部１１に出力するものである。フィルタ処理部１２は、種々様々なフィルタ処理を適用することができるが、例えば、悪性でないとみなせるドメインへのアクセスログをフィルタする処理であったり、社外との通信ログで通信が成立していないものをフィルタする処理であったり、前日と比べてアクセス数が同等のドメインをフィルタリングする処理であったり等のフィルタ処理を適用しても良い。図１では、特徴の異なるフィルタ処理の数に応じて、フィルタ処理部１２（１２−１〜１２−ｎ）が形成される例が示されている。
【００１９】
フィルタ管理制御部１１は、入力されたログ（ログ情報）に適用し得る１以上のフィルタを管理するものであり、取得したログの傾向を加味して、フィルタの適用の有無、及び適用順を制御するものである。
【００２０】
ログの傾向とは、ログの「取得場所」や「取得時間」に依存して得られる傾向である。例えば、社内から社外へのアクセスログ（例えば、社内のプロキシサーバで取得）に関して、グローバルＩＰアドレスや名前解決可能なドメイン名が宛先となるログが多数で、それ以外（例えば、社内ローカルアドレス宛や名前解決不可能なドメイン名）は存在しても検出対象ではない可能性が高いという傾向である。また例えば、企業のドメインアクセス傾向であり、当該企業で取得されるログに関して、平日の通常業務時間中は情報調査のために検索サイトへのアクセスが多く、通常業務時間外はニュースサイトへのアクセスが多いという傾向である。また例えば、ある部署（送信元ＩＰアドレスで識別可能とする）では、休日明けにアップデート関係のアクセスが多数発生するという傾向である。これらログの傾向は、例えば、有限個のパラメータで定義できる。例えば、各パラメータは、社外ログか社内ログかのフラグや、勤務時間内か勤務時間外かのフラグ等である。
【００２１】
ログの傾向の取得方法としては、事前に設定されても良いし、外部から適時与えられても良い。また、実際に任意数のログを教師データとして傾向をフィルタ管理制御部１１が作成しても良い。
【００２２】
フィルタ管理制御部１１は、当該フィルタ管理制御部１１で管理する１以上のフィルタ（フィルタ処理部１２）に対して、ログの傾向（有限個のパラメータ）が定義された場合に、適用の有無や、適用順のパターンを予め定義しておく。この定義は、例えば、フィルタ管理制御部１１が管理するフィルタ（フィルタ処理部１２）を追加するときに、事前に実施される。
【００２３】
フィルタ管理制御部１１は、ログの傾向を加味して、フィルタ処理部１２の適用やその適用順を制御する。例えば、社内から社外へのアクセスログにおいて、社内ローカルアドレス宛や名前解決不可能なドメイン名を取り除くフィルタは、削減効果が低いと考えられるため、フィルタ適用順としては後に設定する。また例えば、悪性でないとみなせるドメインへのアクセスログを取り除くフィルタは、平日の通常業務時間中のログに関しては、ニュースサイトのフィルタよりも検察サイトのフィルタを前に設定し、通常業務時間外のログに関しては、その逆に設定する。また例えば、前日と比べてアクセス数が同等のサイトを取り除くフィルタは、休日明けのログに適用してもフィルタ効果が期待できないため、休日明けのログには適用しないといった制御を行う。
【００２４】
図３は、実施形態に係るフィルタ適用管理テーブルの一例を示す図である。
【００２５】
図３では、フィルタとしてＡ、Ｂ、Ｃの３種類が存在し、各フィルタが、業務時間内／業務時間外／深夜早朝の時間帯において、社内ログ、／社外ログ、又は事務職系職場ログ／技術職系職場ログに対してどれくらいの削減効果が存在するかを段階毎に示している。削減効果は、例えば、「０」〜「５」の６段階で示し、数値が大きいほど削減効果が高いことを示し、数値が小さいほど削減効果が低いことを示す。また、数値の「０」は、フィルグ適用効果が低く、フィルタを適用する必要がないことを示している。ここで、Ａ〜Ｃの種類のフィルタは、例えば、フィルタ処理部１２−１〜１２−３のフィルタが該当する。
【００２６】
フィルタ管理制御部１１は、入力されたログに対して、図３に示すようなフィルタ適用管理テーブル３０を参照し、各フィルタの適用有無や適用順を決定する。例えば、フィルタ管理制御部１１は、業務時間内における社内向けのログに対しては、Ａ〜Ｃの全てのフィルタを適用し、最も数値が高い値（５）であるＡのフィルタ、次に数値が高い値(３)であるＢのフィルタ、数値が最も低い値（１）であるＣのフィルタの順に適用するフィルタの順番を決定する。また例えば、フィルタ管理制御部１１は、深夜早朝の時間帯における技術職系職場ログに対しては、Ｂ、Ｃの２種類のフィルタを適用し、数値の値に従い、Ｃのフィルタ、Ｂのフィルタの順に適用するフィルタの順番を決定する。
【００２７】
また、フィルタ管理制御部１１は、他のフィルタ制御装置１０に対してログおよび当該ログの傾向を与え、他のフィルタ制御装置１０より、フィルタ後のログを取得するようにしても良い。フィルタ制御装置１０が他のフィルタ制御装置１０と連係してログをフィルタリングする例については、動作の項で詳述する。
【００２８】
（Ａ−２）実施形態の動作
次に、以上のような構成を有する実施形態に係るフィルタリングシステム１の動作を、図面を参照しながら説明する。
【００２９】
図４は、実施形態に係るフィルタリングシステムの構成例（その２）を示すブロック図である。図４において、フィルタリングシステム１は、２つのフィルタ制御装置１０−１及びフィルタ制御装置１０−２を備える。以下では、２つのフィルタ制御装置１０−１及びフィルタ制御装置１０−１が連係して外部から与えられたログ情報（ログ）をフィルタリングする動作例を示す。
【００３０】
図４において、フィルタリングシステム１の処理は、大別すると、ログ情報を取得し、ログの傾向を把握するステップＳ１０１の処理と、フィルタの適用有無及び適用順を制御するステップＳ１０２の処理と、適用するフィルタにおいて、フィルタリングを行うステップＳ１０３〜Ｓ１０５の処理と、フィルタリングしたログを出力するＳステップ１０６の処理に大別できる。以下では各処理の詳細について述べる。
【００３１】
［Ｓ１０１］ログ情報の取得とログの傾向把握
フィルタ制御装置１０−１のフィルタ管理制御部１１−１は、任意期間のログ情報を取得する。例えば、フィルタ管理制御部１１は、取得した通信ログからランダムサンプリングし、一般的な統計手法により、休日明けの平日の通常勤務時間に取得された社外への通信ログであるというログの傾向を得る。なお、このログの傾向の把握は、外部の装置が行い、フィルタ管理制御部１１−１は、その結果を受け取る構成でも良い。
【００３２】
［Ｓ１０２］フィルタの適用有無と適用順の制御
フィルタ管理制御部１１−１は、例えば、休日明けの平日の通常勤務時間（業務時間）に取得された社外への通信ログであるという傾向を有するログに対して、フィルタ適用管理テーブル３０−１を参照して、フィルタの適用有無及び適用順を制御する。なお、図４の例では、フィルタ管理制御部１１−１が管理するフィルタは、フィルタ制御装置１０−１のフィルタ処理部１２（１２−１〜１２−３）に搭載されるフィルタＡ〜Ｃと、フィルタ制御装置１０−２のフィルタ処理部１２（１２−４、１２−５）に搭載されるフィルタＤ（Ｄ１、Ｄ２）である。
【００３３】
フィルタＡは、ニュース系サイトのドメインへのアクセスログをフィルタリングするものである。また、フィルタＢは、検索系サイトのドメインへのアクセスログをフィルタリングするものである。さらに、フィルタＣは、前日と比べてアクセス数が同等のドメインをフィルタリングするものである。そして、フィルタＤは、社外とのアクセスログ以外をフィルタリングするものである。
【００３４】
「休日明けの平日の通常勤務時間に取得された社外への通信ログである」というログの傾向は、図５のフィルタ適用管理テーブル３０−１では、業務時間内（休日明け）及び社外向けの項目が交差するセルが対応するものである。つまり、対応するフィルタＡのセルは「３」であり、フィルタＢのセルは「４」であり、フィルタＣのセルは「０」であり、フィルタＤのセルは「１」である。
【００３５】
従って、フィルタ管理制御部１１−１は、取得したログに対して、Ａ、Ｂ、Ｄのフィルタを、Ｂ→Ａ→Ｄの順に適用することを決定する。なお、フィルタＣに関しては、休日明けのログでは、その性質上フィルタ効果を期待できないため、フィルタの適用自体を行わない。
【００３６】
［Ｓ１０３］フィルタ処理部（フィルタＢ）の適用
フィルタ管理制御部１１−１は、ログをフィルタ処理部１２−２（フィルタＢ）に与える。フィルタ処理部１２−２（フィルタＢ）は、与えられたログに対して、フィルタリングを行い、フィルタリングしたログをフィルタ管理制御部１１−１に返信する。
【００３７】
［Ｓ１０４］フィルタ処理部（フィルタＡ）の適用
フィルタ管理制御部１１−１は、ステップＳ１０３でフィルタリングしたログを、フィルタ処理部１２−１（フィルタＡ）に与える。フィルタ処理部１２−１（フィルタＡ）は、与えられたログに対して、フィルタリングを行い、フィルタリングしたログをフィルタ管理制御部１１−１に返信する。
【００３８】
［Ｓ１０５］フィルタ処理部（フィルタＤ）の適用
フィルタ管理制御部１１−１は、ステップＳ１０４でフィルタリングしたログ及びログの傾向（休日明けの平日の通常勤務時間に取得された社外への通信ログであるという傾向）を、フィルタ制御装置１０−２のフィルタ管理制御部１１−２に与える。
【００３９】
フィルタ管理制御部１１−２では、フィルタ処理部１２−４（フィルタＤ１）及びフィルタ処理部１２−５（フィルタＤ２）を管理している。フィルタＤ１は、宛先が社内ローカルアドレスをフィルタリングするものである。また、フィルタＢは、名前解決不可能なドメインをフィルタリングするものである。
【００４０】
フィルタ管理制御部１１−２は、例えば、ログの傾向から自身が保持するフィルタ適用管理テーブル３０−２（図６）を参照しても、各セルの値が全て同じ値（１）のため、フィルタの適用順が処理効率にあまり影響しないと判断する。この場合、フィルタ管理制御部１１−２は、順にフィルタの適用を実施する。
【００４１】
つまり、フィルタ管理制御部１１−１は、フィルタ処理部１２−４（フィルタＤ１）、フィルタ処理部１２−５（フィルタＤ１）の順に、与えられたログに対してフィルタリングを行わせる。
【００４２】
そして、フィルタ管理制御部１１−２は、フィルタリングしたログをフィルタ制御装置１０−１のフィルタ管理制御部１１−１に返信する。
【００４３】
［Ｓ１０６］フィルタリング結果の出力
フィルタ管理制御部１１−１は、種々のフィルタでフィルタリングした結果（ログ）を要求元に出力する。
【００４４】
（Ａ−２）実施形態の効果
上記実施形態によれば、フィルタ制御装置１０（フィルタ管理制御部１１）は、ログの取得場所や取得時間を加味してフィルタ適用順やフィルタの適用有無を制御する。例えば、複数のフィルタ（フィルタ処理部１２）を順番に適用する多段構成のフィルタリングシステムにおいて、ログの取得場所や取得時間に応じてフィルタの適用順を制御できるため、削減効果が低いフィルタが含まれる場合でも、フィルタリング処理効率を向上させることができる（削減効果が低いフィルタは後回しにできる）。
【００４５】
また、ログの取得場所や取得時間に応じてフィルタの効果が期待できない場合には、フィルタ管理制御部１１は、フィルタの適用自体を無効に制御することで、無駄なフィルタ処理を省くことができ、フィルタリング処理効率を向上させることができる。
【００４６】
（Ｂ）他の実施形態
本発明は、上記実施形態に限定されるものではなく、以下に例示するような変形実施形態も挙げることができる。
【００４７】
（Ｂ−１）上記実施形態では、フィルタ制御装置１０がフィルタ処理部１２とフィルタ管理制御部１１とで構成される例を示したが、この構成に限定されるものではない。フィルタ制御装置１０はフィルタ管理制御部１１だけを備え、フィルタ処理部１２は他の装置が備える構成としても良い。
【００４８】
（Ｂ−２）上記実施形態の図４の動作例では、フィルタ制御装置１０−１が取得したログに対するフィルタリング結果を応答する例を示したが、この動作に限定されるものではない。例えば、図７に示すフィルタリングシステム１のように、フィルタ制御装置１０−３がログの傾向のみをフィルタ制御装置１０−４と、フィルタ制御装置１０−５にそれぞれ与え、フィルタ制御装置１０−４及びフィルタ制御装置１０−５がそれぞれ並列にログ情報のフィルタリング結果を返信する構成としても良い。
【符号の説明】
【００４９】
１…フィルタリングシステム、１０(１０−１〜１０−ｎ)…フィルタ制御装置、１１(１１−１〜１１−ｎ)…フィルタ管理制御部、１２(１２−１〜１２−ｎ)…フィルタ処理部、３０(３０−１、３０−２)…フィルタ適用管理テーブル。
【図１】
2019146070.tif 000003
【図２】
2019146070.tif 000004
【図３】
2019146070.tif 000005
【図４】
2019146070.tif 000006
【図５】
2019146070.tif 000007
【図６】
2019146070.tif 000008
【図７】
2019146070.tif 000009