(57)【要約】  関連度計算部（１２３）は、ログデータ（１１）が示す発生時刻に基づき、イベントの種類間で同じ期間に発生した同期間確率を計算して、同期間確率から種類間の関連度を計算する。対応種類特定部（１２４）は、関連度計算部（１２３）が計算した関連度から対応する種類を特定する。ログ対応付部（１２５）は、対応イベント特定部（１２４）が特定した対応する種類についてのログデータ間であって、発生時刻が同じ期間に含まれるログデータ間の対応付けたログ合成データ（１２）を生成する。
2016129093.tif 000002
【特許請求の範囲】
【請求項１】
複数の種類のイベントそれぞれについて、イベントの発生時刻を示すログデータを取得する取得部と、
前記取得部が取得したログデータが示す発生時刻に基づき、イベントの種類間で同じ期間に発生した同期間確率を計算して、前記同期間確率から前記種類間の関連度を計算する関連度計算部と、
前記関連度計算部が計算した関連度から対応する種類を特定する対応種類特定部と、
前記対応種類特定部が特定した対応する種類についてのログデータ間であって、前記発生時刻が同じ期間に含まれるログデータ間の対応付けをするログ対応付部と
を備えるログトレース装置。
【請求項２】
前記取得部は、第１分類における複数の種類の第１イベントについての第１ログデータと、第２分類における複数の種類の第２イベントについての第２ログデータとを取得し、
前記関連度計算部は、前記第１イベントの種類と前記第２イベントの種類との間で同じ期間に発生した同期間確率を計算して、計算した同期間確率から前記第１イベントの種類と前記第２イベントの種類との間の関連度を計算し、
前記対応種類特定部は、前記第１イベントの種類に対応する前記第２イベントの種類を特定する
請求項１に記載のログトレース装置。
【請求項３】
前記関連度計算部は、前記第１イベントのある種類ｄｊと前記第２イベントのある種類ｔｉとの間の前記同期間確率と、前記種類ｔｉと同じ期間に発生した前記第１イベントの種類数とから、前記種類ｄｊと前記種類ｔｉとの間の前記関連度を計算する
請求項２に記載のログトレース装置。
【請求項４】
前記関連度計算部は、前記同期間確率が高いほど関連度が高くなり、前記種類数が少ないほど関連度が高くなるように、前記種類ｄｊと前記種類ｔｉとの間の前記関連度を計算する
請求項３に記載のログトレース装置。
【請求項５】
前記関連度計算部は、前記種類ｄｊと前記種類ｔｉとの間の前記同期間確率をｔｆｉ，ｊとし、前記第１イベントの全種類数をＮとし、前記種類ｔｉが発生した期間と同じ期間に発生した前記第１イベントの種類数をｄｆｉとして、数１により前記種類ｄｊと前記種類ｔｉとの間の前記関連度ｔｆｉｄｆｉ，ｊを計算する
請求項４に記載のログトレース装置。
【数１】
2016129093.tif 000010
【請求項６】
前記関連度計算部は、前記第２イベントのある種類ｔｉと前記第１イベントの各種類との間の前記同期間確率の和で、前記種類ｔｉと前記第１イベントの対象の種類との間の前記同期間確率を除して得られる、前記種類ｔｉと前記対象の種類との間の関連確率を、前記第１イベントの各種類を前記対象の種類として計算し、前記種類ｔｉと前記第１イベントのある種類ｄｊとの前記関連確率と、前記各種類についての関連確率から得られる前記種類ｔｉについてのエントロピーとから、前記種類ｄｊと前記種類ｔｉとの間の前記関連度を計算する
請求項２に記載のログトレース装置。
【請求項７】
前記関連度計算部は、前記種類ｄｊと前記種類ｔｉとの間の前記同期間確率が高いほど関連度が高くなり、前記エントロピーが小さいほど関連度が高くなるように、前記種類ｄｊと前記種類ｔｉとの間の前記関連度を計算する
請求項６に記載のログトレース装置。
【請求項８】
前記関連度計算部は、前記第１イベントのある種類ｄｊと前記第２イベントのある種類ｔｉとの間の前記同期間確率をＰｒｉ，ｊとし、前記種類ｔｉについての前記エントロピーをＩＥｉとして、数２により前記種類ｄｊと前記種類ｔｉとの間の前記関連度ＲＳｉ，ｊを計算する
請求項７に記載のログトレース装置。
【数２】
2016129093.tif 000011
【請求項９】
前記ログトレース装置は、さらに、
対応する種類の入力を受け付ける受付部
を備え、
前記ログ対応付部は、前記受付部が受け付けた対応する種類についてのログデータ間であって、前記発生時刻が同じ期間に含まれるログデータ間の対応付けをする
請求項１に記載のログトレース装置。
【請求項１０】
複数の種類のイベントそれぞれについて、イベントの発生時刻を示すログデータを取得する取得処理と、
前記取得処理で取得したログデータが示す発生時刻に基づき、イベントの種類間で同じ期間に発生した同期間確率を計算して、前記同期間確率から前記種類間の関連度を計算する関連度計算処理と、
前記関連度計算処理で計算した関連度から対応する種類を特定する対応種類特定処理と、
前記対応種類特定処理で特定した対応する種類についてのログデータ間であって、前記発生時刻が同じ期間に含まれるログデータ間の対応付けをするログ対応付処理と
をコンピュータに実行させるログトレースプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、情報システムから出力される各種ログデータをトレースする技術に関する。
【背景技術】
【０００２】
特許文献１，２には、ログデータをトレースする技術について記載されている。
特許文献１には、ログデータ間の関係を事前学習させることによって、ログデータ間の関連を特定することが記載されている。特許文献２には、各サーバのセッション情報に対応したログデータを収集することによって、一連の処理の流れを抽出することが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−３０４１０８号公報
【特許文献２】特開２００４−２２７３６０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１に記載された方法では、ログデータの関連を特定するために、テストデータを用いて事前学習させる必要がある。特許文献２に記載された方法では、ログデータの関連を特定するために、セッション情報という共通の識別子を用いる必要がある。そのため、既存のシステムに対して、これらの方法を導入することが困難な場合がある。
この発明は、既存のシステムへの導入が容易な方法により、ログデータ間の関連を特定することを目的とする。
【課題を解決するための手段】
【０００５】
この発明に係るログトレース装置は、
複数の種類のイベントそれぞれについて、イベントの発生時刻を示すログデータを取得する取得部と、
前記取得部が取得したログデータが示す発生時刻に基づき、イベントの種類間で同じ期間に発生した同期間確率を計算して、前記同期間確率から前記種類間の関連度を計算する関連度計算部と、
前記関連度計算部が計算した関連度から対応する種類を特定する対応種類特定部と、
前記対応種類特定部が特定した対応する種類についてのログデータ間であって、前記発生時刻が同じ期間に含まれるログデータ間の対応付けをするログ対応付部と
を備える。
【発明の効果】
【０００６】
この発明では、ログデータの種類間で同じ期間に発生した同期間確率に基づき、ログデータの種類間の関連度を計算する。そして、関連度と発生時刻とに基づきログデータ間の関連付けを行う。そのため、事前学習や共通の識別子を用いることなく、ログデータ間の関連を特定することができる。事前学習や共通の識別子を用いる必要がないので、既存のシステムへの導入が容易である。
【図面の簡単な説明】
【０００７】
【図１】実施の形態１に係るログトレースシステム１００の構成図。
【図２】実施の形態１に係るログトレース装置１１３の構成図。
【図３】実施の形態１に係るログトレース装置１１３のデータフロー図。
【図４】通信ログデータ２１の例を示す図。
【図５】アプリケーションログデータ２２の例を示す図。
【図６】図５に示すアプリケーションログデータ２２のうちのＡＰＰ１（Ｗｅｂ）ログデータを示す図。
【図７】図５に示すアプリケーションログデータ２２のうちのＡＰＰ２（Ｍａｉｌ）ログデータを示す図。
【図８】図５に示すアプリケーションログデータ２２のうちのＡＰＰ３（ファイルアクセス）ログデータを示す図。
【図９】実施の形態１に係るログトレース装置１１３の動作を示すフローチャート。
【図１０】実施の形態１に係るログトレース装置１１３の動作を示すフローチャート。
【図１１】実施の形態１に係るログトレース装置１１３の動作を示すフローチャート。
【図１２】同期間発生表１４の例を示す図。
【図１３】図４に示す通信ログデータ２１の発生時刻と、図５に示すアプリケーションログデータ２２の発生時刻とを示す時系列データ。
【図１４】関連度表１５の例を示す図。
【図１５】対応種類表１６の例を示す図。
【図１６】ログ合成データ１２の例を示す図。
【図１７】ＴＦ−ＩＤＦの考え方を用いた関連度の計算方法を示すフローチャート。
【図１８】エントロピーの考え方を用いた関連度の計算方法を示すフローチャート。
【図１９】発生確率表１７の例を示す図。
【図２０】図１２に示した同期間発生表１４を用いて計算した関連度表１５を示す図。
【図２１】実施の形態３にかかるログトレース装置１１３の構成図。
【図２２】ログデータ１１間の対応付けの入力画面の例を示す図。
【図２３】実施の形態１〜３に係るログトレース装置１１３のハードウェア構成例を示す図。
【発明を実施するための形態】
【０００８】
実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、実施の形態１に係るログトレースシステム１００の構成図である。
ログトレースシステム１００は、セキュリティ監視システム１０１と、監視対象ネットワークシステム１０２とを備える。セキュリティ監視システム１０１は、監視対象を監視するシステムである。監視対象ネットワークシステム１０２は、セキュリティ監視システム１０１の監視対象となるシステムである。
【０００９】
セキュリティ監視システム１０１は、ログ収集装置１１１と、監視対象ログ記憶部１１２と、ログトレース装置１１３と、攻撃検知装置１１４と、被害状況特定装置１１５と、監視用端末１１６とを備える。
【００１０】
ログ収集装置１１１は、監視対象ネットワークシステム１０２からログデータ１１を収集する装置である。
【００１１】
監視対象ログ記憶部１１２は、ログ収集装置１１１によって収集されたログデータ１１を記憶する記憶装置である。
【００１２】
ログトレース装置１１３は、監視対象ログ記憶部１１２に記憶されたログデータ１１間の対応付けを行いログ合成データ１２を生成する装置である。
【００１３】
攻撃検知装置１１４は、監視対象ログ記憶部１１２に記憶されたログデータ１１に基づき、監視対象ネットワークシステム１０２に対する攻撃を検知する装置である。
【００１４】
被害状況特定装置１１５は、攻撃検知装置１１４によって攻撃が検知された場合に、ログトレース装置１１３によって対応付けされたログ合成データ１２を参照して、被害状況を特定する装置である。
【００１５】
監視用端末１１６は、セキュリティ監視システム１０１の管理者が使用する端末であり、被害状況特定装置１１５によって特定された被害状況を参照するための端末である。
【００１６】
監視対象ネットワークシステム１０２は、インターネット１７１に接続されている。そのため、監視対象ネットワークシステム１０２は、インターネット１７１を介して攻撃を受ける可能性がある。
監視対象ネットワークシステム１０２は、複数のクライアント１３１と、複数のサーバ１３２と、ネットワークセキュリティ監視装置１５１とを備える。
【００１７】
各クライアント１３１は、利用者が使用する端末である。
各クライアント１３１には、そのクライアント１３１で発生した各種イベントのログデータ１１を記憶する複数のログ記憶部１４１が接続されている。ここでは、ログ記憶部１４１として、通信ログ記憶部１４１ａと、プロセスログ記憶部１４１ｂと、アプリケーションログ記憶部１４１ｃとが接続されている。
【００１８】
各サーバ１３２は、クライアント１３１にサービスを提供する装置である。
各サーバ１３２には、そのサーバ１３２で発生した各種イベントのログデータ１１を記憶する複数のログ記憶部１４２が接続されている。ここでは、ログ記憶部１４２として、通信ログ記憶部１４２ａと、プロセスログ記憶部１４２ｂと、アプリケーションログ記憶部１４２ｃとが接続されている。
【００１９】
ネットワークセキュリティ監視装置１５１は、監視対象ネットワークシステム１０２のネットワークを監視する装置である。
ネットワークセキュリティ監視装置１５１には、ネットワークセキュリティ監視装置１５１が監視することにより得られたログデータ１１を記憶するネットワークセキュリティログ記憶部１６１が接続されている。
【００２０】
ログ収集装置１１１は、各クライアント１３１に接続された各ログ記憶部１４１と、各サーバ１３２に接続された各ログ記憶部１４２と、ネットワークセキュリティ監視装置１５１に接続されたネットワークセキュリティログ記憶部１６１とに記憶されたログデータ１１を収集する。
【００２１】
図２は、実施の形態１に係るログトレース装置１１３の構成図である。図３は、実施の形態１に係るログトレース装置１１３のデータフロー図である。
ログトレース装置１１３は、取得部１２１と、同期間発生イベント特定部１２２と、関連度計算部１２３と、対応種類特定部１２４と、ログ対応付部１２５とを備える。
【００２２】
取得部１２１は、監視対象ログ記憶部１１２から、複数の種類のイベントそれぞれについて、イベントの発生時刻を示すログデータ１１を取得する（Ｆ１０１）。取得部１２１は、取得したログデータ１１を監視対象ログデータ１３とする（Ｆ２０１）。
【００２３】
同期間発生イベント特定部１２２は、取得部１２１によって記憶された監視対象ログデータ１３が示す発生時刻に基づき（Ｆ２０２）、イベントの種類間で同じ期間に発生したものを特定した同期間発生表１４を生成する（Ｆ３０１）。
【００２４】
関連度計算部１２３は、同期間発生イベント特定部１２２によって生成された同期間発生表１４を参照して（Ｆ３０２）、イベントの種類間で同じ期間に発生した同期間確率を計算する。そして、関連度計算部１２３は、同期間確率から種類間の関連度を計算した関連度表１５を生成する（Ｆ４０１）。
【００２５】
対応種類特定部１２４は、関連度計算部１２３によって計算された関連度表１５から（Ｆ４０２）、対応するイベントの種類を特定した対応種類表１６を生成する（Ｆ５０１）。
【００２６】
ログ対応付部１２５は、対応種類特定部１２４によって生成された対応種類表１６を参照して（Ｆ５０２）、監視対象ログデータ１３（Ｆ２０３）を合成したログ合成データ１２を生成する（Ｆ６０１）。
具体的には、ログ対応付部１２５は、対応種類表１６が対応することを示す種類についてのログデータ１１間であって、発生時刻が同じ期間に含まれるログデータ１１間の対応付けをする。そして、ログ対応付部１２５は、対応付けしたログデータ１１を合成したログ合成データ１２を生成する。
【００２７】
被害状況特定装置１１５は、ログ対応付部１２５によって生成されたログ合成データ１２を参照して（Ｆ６０２）、被害状況を特定する。
【００２８】
以下では、第１分類における複数の種類の第１イベントについての第１ログデータと、第２分類における複数の種類の第２イベントについての第２ログデータとを対応付ける場合について説明する。
ここでは、第１分類を通信とし、第２分類をアプリケーションとする。したがって、第１イベントは、通信イベントであり、第１ログデータは、通信ログデータ２１である。また、第２イベントは、アプリケーションイベントであり、第２ログデータは、アプリケーションログデータ２２である。
【００２９】
図４は、通信ログデータ２１の例を示す図である。
通信ログデータ２１は、クライアント１３１及びサーバ１３２で行った通信に関するログデータと、ネットワークセキュリティ監視装置１５１で取得された、ファイアウォールとＩＰＳ（Ｉｎｔｒｕｓｉｏｎ  Ｐｒｅｖｅｎｔｉｏｎ  Ｓｙｓｔｅｍ）とＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）とプロキシサーバと等で行った通信に関するログデータ１１である。通信ログデータ２１は、通信ログ記憶部１４１ａと通信ログ記憶部１４２ａとネットワークセキュリティログ記憶部１６１とに記憶されたログデータ１１である。
【００３０】
通信ログデータ２１は、発生日時と、種類と、アクセス元ホストと、アクセス先ホストと、アクセス先ポートとを有する。
発生日時は、通信ログデータ２１が示すイベントが発生した日時を示す。種類は、通信ログデータ２１が示すイベントの種類であり、通信のプロトコルと、通信が提供する内容との少なくともいずれかを示す。アクセス元ホストと、アクセス先ホストと、アクセス先ポートとは、それぞれアクセス元のホスト、アクセス先のホスト、アクセス先のポートとを示す。
図４では、通信ログデータ２１が発生日時の順に整列されている。
【００３１】
図５は、アプリケーションログデータ２２の例を示す図である。
図５は、アプリケーションログデータ２２を示している。
アプリケーションログデータ２２は、クライアント１３１及びサーバ１３２で動作するアプリケーションが発生させたイベントについてのログデータ１１である。アプリケーションログデータ２２は、プロセスログ記録部１４１ｂとプロセスログ記録部１４２ｂとアプリケーションログ記憶部１４１ｃとアプリケーションログ記憶部１４２ｃとに記憶されたログデータ１１である。
【００３２】
アプリケーションログデータ２２は、発生日時と、種類と、内容とを有する。
発生日時は、アプリケーションログデータ２２が示すイベントが発生した日時を示す。種類は、アプリケーションログデータ２２が示すイベントの種類であり、アプリケーションの機能を示す。内容は、アプリケーションログデータ２２が示すイベントの内容を示す。
図５では、アプリケーションログデータ２２が発生日時の順に整列されている。
【００３３】
ここでは、アプリケーションログデータ２２の種類は、Ａｐｐ１〜Ａｐｐ３がある。Ａｐｐ１はＷｅｂログデータであり、Ａｐｐ２はＭａｉｌログデータであり、Ａｐｐ３はファイルアクセスログデータである。
図６から図８は、それぞれ、図５に示すアプリケーションログデータ２２のうちのＷｅｂログデータと、Ｍａｉｌログデータと、ファイルアクセスログデータとを示している。
【００３４】
なお、イベントは、ログデータに記載される１つの対象である。イベントは、通信ログデータ２１であれば、１回のＨＴＴＰ通信等であり、アプリケーションログデータ２２であれば、１回のリンクのクリック等である。
【００３５】
＊＊＊動作の説明＊＊＊
図９から図１１は、実施の形態１に係るログトレース装置１１３の動作を示すフローチャートである。
実施の形態１に係るログトレース装置１１３の動作は、実施の形態１に係るログトレース方法に相当する。また、実施の形態１に係るログトレース装置１１３の動作は、実施の形態１に係るログトレースプログラムの処理手順に相当する。
【００３６】
Ｓ１２１の取得処理について説明する。
Ｓ１２１は、Ｓ１０１の１つの処理から構成される。
Ｓ１２１では、取得部１２１は、監視対象ログ記憶部１１２から、複数の種類の通信イベントについての通信ログデータ２１と、複数の種類のアプリケーションイベントについてのアプリケーションログデータ２２とを取得する。取得部１２１は、取得した通信ログデータ２１とアプリケーションログデータ２２とを監視対象ログデータ１３として記憶する。
【００３７】
Ｓ１２２の同期間発生イベント特定処理について説明する。
Ｓ１２２では、同期間発生イベント特定部１２２は、監視対象ログデータ１３を入力として、通信イベントの各種類について、アプリケーションイベントの各種類との間で同じ期間に発生した回数を特定した同期間発生表１４を生成する。
【００３８】
図１２は、同期間発生表１４の例を示す図である。
同期間発生表１４は、行に通信イベントの種類が割り当てられ、列にアプリケーションイベントの種類が割り当てられている。通信イベントの種類が割り当てられた行とアプリケーションイベントの種類が割り当てられた列とが交差する欄には、その行に割り当てられた通信イベントの種類と、その列に割り当てられたアプリケーションイベントの種類とが同じ期間に発生した回数が設定される。
また、同期間発生表１４には、通信イベントの各種類についての発生回数が設定される欄が設けられる。
【００３９】
Ｓ１２２は、Ｓ２０１からＳ２０５の５つの処理から構成される。
Ｓ２０１では、同期間発生イベント特定部１２２は、同期間発生表１４の全ての要素を０に初期化する。
次に、同期間発生イベント特定部１２２は、Ｓ２０２からＳ２０５の処理を、監視対象ログデータ１３に含まれる各通信ログデータ２１を対象として発生日時の古いものから順に実行する（ループ１）。Ｓ２０２では、同期間発生イベント特定部１２２は、同期間発生表１４における、対象の通信ログデータ２１が示す通信イベントの種類についての発生回数に１加算する。
次に、同期間発生イベント特定部１２２は、Ｓ２０３からＳ２０５の処理を、監視対象ログデータ１３に含まれる各アプリケーションログデータ２２を対象として発生日時の古いものから順に実行する（ループ２）。Ｓ２０３では、同期間発生イベント特定部１２２は、対象の通信ログデータ２１の発生時刻と、対象のアプリケーションログデータ２２の発生時刻との差が基準期間α秒以内であるか否かを判定する。同期間発生イベント特定部１２２は、差が基準期間α秒以内である場合には、同じ期間に発生したと判定して、処理をＳ２０４へ進め、差が基準期間α秒より長い場合には、異なる期間に発生したと判定して、処理をＳ２０５へ進める。
Ｓ２０４では、同期間発生イベント特定部１２２は、同期間発生表１４における、対象の通信ログデータ２１の種類と、対象のアプリケーションログデータ２２の種類とが同じ期間に発生した回数に１加算する。
Ｓ２０５では、同期間発生イベント特定部１２２は、対象の通信ログデータ２１の発生時刻が、対象のアプリケーションログデータ２２の発生時刻のよりも後であるか否かを判定する。同期間発生イベント特定部１２２は、後であれば、次のアプリケーションログデータ２２が対象の通信ログデータ２１と同じ期間に発生した可能性があるので、処理をループ２の最後へ進める。一方、同期間発生イベント特定部１２２は、後でなければ、次のアプリケーションログデータ２２が対象の通信ログデータ２１と同じ期間に発生した可能性がないので、ループ２を出る。
【００４０】
図１３は、図４に示す通信ログデータ２１の発生時刻と、図５に示すアプリケーションログデータ２２の発生時刻とを示す時系列データである。
図１３から分かるように、通信イベントの種類がｈｔｔｐと、アプリケーションイベントの種類Ａｐｐ１，Ａｐｐ２，Ａｐｐ３とが同じ期間に発生した回数は、それぞれ５回、２回、５回である。また、通信イベントの種類がｈｔｔｐが発生した回数は、５回である。そのため、図１２におけるｈｔｔｐが割り当てられた行には、Ａｐｐ１，Ａｐｐ２，Ａｐｐ３の列に、それぞれ５，２，５が設定され、発生回数に５が設定されている。
【００４１】
Ｓ１２３の関連度計算処理について説明する。
Ｓ１２３では、関連度計算部１２３は、同期間発生表１４を入力として、通信イベントの各種類と、アプリケーションイベントの各種類との間の関連度を示す関連度表１５を生成する。
Ｓ１２３の処理の詳細については後述する。
【００４２】
図１４は、関連度表１５の例を示す図である。
関連度表１５は、行に通信イベントの種類が割り当てられ、列にアプリケーションイベントの種類が割り当てられている。通信イベントの種類が割り当てられた行とアプリケーションイベントの種類が割り当てられた列とが交差する欄には、その行に割り当てられた通信イベントの種類と、その列に割り当てられたアプリケーションイベントの種類との関連度が設定される。
【００４３】
Ｓ１２４の対応種類特定処理について説明する。
Ｓ１２４では、対応種類特定部１２４は、関連度表１５を入力として、通信イベントの種類に対応するアプリケーションイベントの種類を特定した対応種類表１６を生成する。
【００４４】
図１５は、対応種類表１６の例を示す図である。
対応種類表１６は、通信イベントの種類毎に、対応するアプリケーションイベントの種類が示されている。複数の通信イベントの種類に対して、同一のアプリケーションイベントの種類が対応する場合もある。
【００４５】
Ｓ１２４は、Ｓ３０１からＳ３０６の６つの処理から構成される。
Ｓ３０１では、対応種類特定部１２４は、対応種類表１６の対応するアプリケーションイベントの種類の欄を空間に初期化する。
次に、対応種類特定部１２４は、Ｓ３０２からＳ３０６の処理を、各通信イベントの種類を対象として順に実行する（ループ３）。つまり、Ｓ３０２からＳ３０６の処理は、関連度表１５の各行について実行される。Ｓ３０２では、対応種類特定部１２４は、対象の通信イベントの種類についての最大関連度Ｒｍａｘを０に初期化する。
次に、対応種類特定部１２４は、Ｓ３０３からＳ３０５の処理を、各アプリケーションイベントの種類を対象として順に実行する（ループ４）。つまり、Ｓ３０３からＳ３０５の処理は、関連度表１５の各列について実行される。Ｓ３０３では、対応種類特定部１２４は、対象の通信イベントの種類と対象のアプリケーションイベントの種類との関連度Ｒｖａｌｕｅが、最大関連度Ｒｍａｘよりも大きいか否かを判定する。対応種類特定部１２４は、大きい場合、処理をＳ３０４へ進め、大きくない場合、処理をループ４の最後へ進める。
Ｓ３０４では、対応種類特定部１２４は、対象の通信イベントの種類と対象のアプリケーションイベントの種類との関連度Ｒｖａｌｕｅを、最大関連度Ｒｍａｘに設定する。Ｓ３０５では、対象のアプリケーションイベントの種類を、対象の通信イベントの種類に対応する候補Ｒａに設定する。
そして、Ｓ３０６では、対応種類特定部１２４は、最終的に候補Ｒａに設定されたアプリケーションイベントの種類を、対象の通信イベントの種類に対応するアプリケーションイベントの種類として、対応種類表１６に設定する。
【００４６】
図１４に示すように、ｈｔｔｐとアプリケーションイベントの種類Ａｐｐ１，Ａｐｐ２，Ａｐｐ３との関連度は、それぞれ２、０．５７、１である。そのため、Ａｐｐ１が最も高いので、図１５に示すように、対応種類表１６では、ｈｔｔｐに対応するアプリケーションイベントの種類はＡｐｐ１になる。
【００４７】
Ｓ１２５のログ対応付処理について説明する。
Ｓ１２５では、ログ対応付部１２５は、対応種類表１６と、監視対象ログデータ１３とを入力として、通信ログデータ２１とアプリケーションログデータ２２とを対応付けたログ合成データ１２を生成する。
【００４８】
図１６は、ログ合成データ１２の例を示す図である。
ログ合成データ１２は、発生日時と、通信イベントの種類と、アクセス元ホストと、アクセス先ホストと、アクセス先ポートと、アプリケーションイベントの種類と、内容とを有する。つまり、ログ合成データ１２は、通信ログデータ２１が有する情報と、アプリケーションログデータ２２が有する情報との両方を有する。
なお、発生日時は１つになっている。しかし、同じ期間に発生した通信ログデータ２１とアプリケーションログデータ２２とが合成されるため、通信ログデータ２１の発生時刻とアプリケーションログデータ２２の発生時刻とに大差はない。したがって、通信ログデータ２１の発生時刻とアプリケーションログデータ２２の発生時刻とのどちらかが、ログ合成データ１２の発生時刻に設定される。
【００４９】
Ｓ１２５は、Ｓ４０１からＳ４０５の５つの処理から構成される。
Ｓ４０１では、ログ対応付部１２５は、ログ合成データ１２を初期化する。
次に、ログ対応付部１２５は、Ｓ４０２からＳ４０５の処理を、各通信ログデータ２１について、各アプリケーションログデータ２２を対象として順に実行する（ループ５，６）。
Ｓ４０２では、ログ対応付部１２５は、対象の通信ログデータ２１の発生日時と、対象のアプリケーションログデータ２２の発生日時との差が基準期間α秒以内であるか否かを判定する。ログ対応付部１２５は、差が基準期間α秒以内である場合には、同じ期間に発生したと判定して、処理をＳ４０３へ進め、差が基準期間α秒より長い場合には、異なる期間に発生したと判定して、処理をＳ４０５へ進める。
Ｓ４０３では、ログ対応付部１２５は、対象のアプリケーションログデータ２２の種類が、対象の通信ログデータ２１の種類に対応するアプリケーションイベントの種類と同じであるか否かを判定する。ログ対応付部１２５は、同じであれば、処理をＳ４０４へ進め、同じでなければ、処理をループ６の最後へ進める。
Ｓ４０４では、ログ対応付部１２５は、対象の通信ログデータ２１と対象のアプリケーションログデータ２２とを合成して、ログ合成データ１２を生成する。
Ｓ４０５では、ログ対応付部１２５は、対象の通信ログデータ２１の発生時刻が、対象のアプリケーションログデータ２２の発生時刻のよりも後であるか否かを判定する。ログ対応付部１２５は、後であれば、次のアプリケーションログデータ２２が対象の通信ログデータ２１と同じ期間に発生した可能性があるので、処理をループ６の最後へ進める。一方、ログ対応付部１２５は、後でなければ、次のアプリケーションログデータ２２が対象の通信ログデータ２１と同じ期間に発生した可能性がないので、ループ６を出る。
【００５０】
図４の１行目の通信ログデータ２１は、種類がｈｔｔｐである。そのため、図１５に示す対応種類表１６から、図４の１行目の通信ログデータ２１に対応するアプリケーションイベントの種類は、Ａｐｐ１である。
図４の１行目の通信ログデータ２１は、発生日時が２０１４／１２／０２の９：００：００である。そのため、同じ時刻に発生し、種類がＡｐｐ１である図５の１行目のアプリケーションログデータ２２が、図４の１行目の通信ログデータ２１と対応付けられ、合成される。そして、図１６の１行目のログ合成データ１２が生成される。
【００５１】
Ｓ１２３の関連度計算処理詳細にについて説明する。
関連度の計算方法は複数考えられる。ここでは、ＴＦ−ＩＤＦ（Ｔｅｒｍ  Ｆｒｅｑｕｅｎｃｙ−Ｉｎｖｅｒｓｅ  Ｄｏｃｕｍｅｎｔ  Ｆｒｅｑｕｅｎｃｙ）の考え方を用いた関連度の計算方法について説明する。
ＴＦ−ＩＤＦは、文章中の重要語を抽出する手法として、Ｗｅｂの検索やタグ付け、文章の要約等に利用されている技術である。文章中に出現する頻度が多いほど重要語になる可能性が高いが、一方で、様々な文章にも出現する単語は重要でない可能性が高いという概念である。様々な文章にも出現する単語とは、例えば、英語の“ｔｈｅ”といった単語である。ＴＦ−ＩＤＦには、ＴＦ値とＩＤＦ値の２つの値を用いた数式がある。
【００５２】
数１１から数１３は、ＴＦ−ＩＤＦの考え方を用いた関連度の計算方法を示す。
【数１１】
2016129093.tif 000003
【数１２】
2016129093.tif 000004
【数１３】
2016129093.tif 000005
【００５３】
数１１に示されたｔｆｉ，ｊは、ＴＦ−ＩＤＦにおけるＴＦ値に相当する値であり、通信イベントの種類ｄｊとアプリケーションイベントの種類ｔｉとの間の同期間確率である。ｎｉ，ｊは、通信イベントｄｊとアプリケーションイベントの種類ｔｉとが同じ期間に発生した回数である。ｎｊは、通信イベントの種類ｄｊが発生した回数である。
数１２に示されたｉｄｆｉは、ＴＦ−ＩＤＦにおけるＩＤＦ値に相当する値である。Ｎは、通信イベントの全種類数である。ｄｆｉは、アプリケーションイベントの種類ｔｉと同じ期間に発生した通信イベントの種類数である。
数１３に示されたｔｆｉｄｆｉ，ｊは、ＴＦ−ＩＤＦにおけるＴＦ−ＩＤＦ値に相当する値であり、ＴＦ−ＩＤＦの考え方を用いた場合における、通信イベントの種類ｄｊとアプリケーションイベントの種類ｔｉとの間の関連度である。
【００５４】
図１７は、ＴＦ−ＩＤＦの考え方を用いた関連度の計算方法を示すフローチャートである。
ＴＦ−ＩＤＦの考え方を用いた関連度の計算方法は、Ｓ５０１からＳ５０７の７つの処理から構成される。
Ｓ５０１では、関連度計算部１２３は、関連度表１５の要素を全て０に初期化する。Ｓ５０２では、関連度計算部１２３は、アプリケーションイベントの各種類ｔｉについての同じ期間に発生した通信イベントの種類数ｄｆｉを０に初期化する。
【００５５】
次に、関連度計算部１２３は、Ｓ５０３からＳ５０４の処理を、アプリケーションイベントの各種類について、通信イベントの各種類を対象として実行する（ループ７，８）。
Ｓ５０３では、関連度計算部１２３は、同期間発生表１４における対象のアプリケーションイベントの種類ｔｉと通信イベントの種類ｄｊとが同じ期間に発生した回数が０であるか否かを判定する。関連度計算部１２３は、０でない場合には処理をＳ５０４へ進め、０である場合には処理をループ８の最後へ進める。Ｓ５０４では、関連度計算部１２３は、対象のアプリケーションイベントの種類ｔｉについての同じ期間に発生した通信イベントの種類数ｄｆｉに１加算する。
【００５６】
次に、関連度計算部１２３は、Ｓ５０５からＳ５０７の処理を、アプリケーションイベントの各種類ｔｉを対象として実行する（ループ９）。
Ｓ５０５では、関連度計算部１２３は、通信イベントの全種類数Ｎと、対象のアプリケーションイベントの種類ｔｉについての同じ期間に発生した通信イベントの種類数ｄｆｉとを入力として、数１２によりＩＤＦ値ｉｄｆｉを計算する。
次に、関連度計算部１２３は、Ｓ５０６からＳ５０７の処理を、同期間発生表１４における対象のアプリケーションイベントの種類ｔｉについての通信イベントの各種類を対象として実行する（ループ１０）。
Ｓ５０６では、関連度計算部１２３は、同期間発生表１４における、対象のアプリケーションイベントの種類ｔｉと対象の通信イベントの種類ｄｊとが同じ期間に発生した回数と、通信イベントの種類ｄｊが発生した回数とを入力として、数１１により同期間確率であるＴＦ値ｔｆｉ，ｊを計算する。
Ｓ５０７では、関連度計算部１２３は、Ｓ５０５で計算されたＩＤＦ値ｉｄｆｉと、Ｓ５０６で計算されたＴＦ値ｔｆｉ，ｊとを入力として、数１３により関連度ｔｆｉｄｆｉ，ｊを計算する。
【００５７】
図１２に示した同期間発生表１４を用いて、Ａｐｐ１とｈｔｔｐとの間の関連度を計算する。図１４は、図１２に示した同期間発生表１４を用いて計算した関連度表１５を示している。
Ａｐｐ１は、ｈｔｔｐとｐｏｐ３との２種類の通信イベントと同じ期間に発生している。また、通信イベントは、ｈｔｔｐ，ｓｍｔｐ，ｐｏｐ３，ｆｔｐの４種類である。そのため、Ａｐｐ１についてのＩＤＦ値ｉｄｆｉはｌｏｇ（４／２）＋１＝２となる。ここで、ｌｏｇの底は２である。
Ａｐｐ１とｈｔｔｐとの同期間発生回数は５であり、ｈｔｔｐの発生回数は５である。そのため、Ａｐｐ１とｈｔｔｐとの間の同期間確率であるＴＦ値ｔｆｉ，ｊは、５／５＝１である。
したがって、図１４に示すように、Ａｐｐ１とｈｔｔｐとの間の関連度ｔｆｉｄｆｉ，ｊは、１×２＝２となる。
【００５８】
以上のように、実施の形態１に係るログトレース装置１１３は、ログデータ１１間の関連度を同期間発生確率から計算し、関連度と発生時刻とに基づきログデータ間の関連付けを行う。そのため、事前学習や共通の識別子を用いることなく、ログデータ１１間の関連を特定することができる。事前学習や共通の識別子を用いる必要がないので、既存のシステムへの導入が容易である。
【００５９】
ログトレース装置１１３がログデータ間の対応付けを行うことにより、被害状況特定装置１１５が攻撃による被害状況の特定を容易に行うことが可能となる。
例えば、上述した例のように、通信ログデータ２１とアプリケーションログデータ２２との間の対応付けを行えば、不審な通信が検知された場合に、その通信がどのアプリケーションによって発生したものであるかを特定することができる。これにより、被害の内容や影響範囲等を把握することが可能になる。
【００６０】
また、実施の形態１に係るログトレース装置１１３は、ＴＦ−ＩＤＦの考え方を用いて関連度を計算する。そのため、単に同期間発生確率を関連度にする場合に比べ、適切に関連度を計算することが可能である。
【００６１】
実施の形態２．
実施の形態１では、ＴＦ−ＩＤＦの考え方を用いて関連度を計算した。実施の形態２では、エントロピーの考え方を用いて関連度を計算する点が実施の形態１と異なる。実施の形態２では、この異なる点について説明する。
【００６２】
エントロピーは、情報の不確かさを表す。
【００６３】
数１４から数１７は、エントロピーの考え方を用いた関連度の計算方法を示す。
【数１４】
2016129093.tif 000006
【数１５】
2016129093.tif 000007
【数１６】
2016129093.tif 000008
【数１７】
2016129093.tif 000009
【００６４】
数１４に示されたＰｒｉ，ｊは、通信イベントの種類ｄｊとアプリケーションイベントの種類ｔｉとの間の同期間確率である。ｎｉ，ｊは、通信イベントｄｊとアプリケーションイベントの種類ｔｉとが同じ期間に発生した回数である。ｎｊは、通信イベントの種類ｄｊが発生した回数である。
数１５に示されたＲＰｒｉ，ｊは、アプリケーションイベントの種類ｔｉと通信イベントの種類ｄｊとが関連している確率を表す関連確率である。ΣｊＰｒｉ，ｊは、アプリケーションイベントの種類ｔｉと通信イベントの各種類との間の同期間確率の和である。
数１６に示されたＩＥｉは、アプリケーションイベントの種類ｔｉのエントロピーである。ΣｊＲＰｒｉ，ｊは、アプリケーションイベントの種類ｔｉと通信イベントの各種類との間の関連確率の和である。
数１７に示されたＲＳｉ，ｊは、エントロピーの考え方を用いた場合における、通信イベントの種類ｄｊとアプリケーションイベントの種類ｔｉとの間の関連度である。
【００６５】
図１８は、エントロピーの考え方を用いた関連度の計算方法を示すフローチャートである。
エントロピーの考え方を用いた関連度の計算では、発生確率表１７が用いられる。
【００６６】
図１９は、発生確率表１７の例を示す図である。
発生確率表１７は、行に通信イベントの種類が割り当てられ、列にアプリケーションイベントの種類が割り当てられている。通信イベントの種類が割り当てられた行とアプリケーションイベントの種類が割り当てられた列とが交差する欄には、その行に割り当てられた通信イベントの種類と、その列に割り当てられたアプリケーションイベントの種類とが同じ期間に発生した同期間確率が設定される。
また、発生確率表１７には、アプリケーションイベントの各種類について、同期間確率の和が設定される欄が設けられる。
【００６７】
エントロピーの考え方を用いた関連度の計算方法は、Ｓ６０１からＳ６０９の９つの処理から構成される。
Ｓ６０１では、関連度計算部１２３は、関連度表１５の要素を全て０に初期化する。Ｓ６０２では、関連度計算部１２３は、発生確率表１７の要素を全て０に初期化する。Ｓ６０３では、関連度計算部１２３は、アプリケーションイベントの各種類ｔｉについてのエントロピーＩＥｉを０に初期化する。
【００６８】
次に、関連度計算部１２３は、Ｓ６０４からＳ６０５の処理を、アプリケーションイベントの各種類について、通信イベントの各種類を対象として実行する（ループ１１，１２）。
Ｓ６０４では、関連度計算部１２３は、同期間発生表１４における、対象のアプリケーションイベントの種類ｔｉと対象の通信イベントの種類ｄｊとが同じ期間に発生した回数と、通信イベントの種類ｄｊが発生した回数とを入力として、数１４によりＰｒｉ，ｊを計算する。Ｓ６０５では、関連度計算部１２３は、対象のアプリケーションイベントの種類ｔｉについてのΣｊＰｒｉ，ｊに、Ｓ６０４で計算したＰｒｉ，ｊを加算する。これにより、発生確率表１７が生成される。
【００６９】
次に、関連度計算部１２３は、Ｓ６０６からＳ６０７の処理を、アプリケーションイベントの各種類について、通信イベントの各種類を対象として実行する（ループ１３，１４）。
Ｓ６０６では、関連度計算部１２３は、発生確率表１７における、対象のアプリケーションイベントの種類ｔｉと通信イベントの各種類との間の同期間確率Ｐｒｉ，ｊと、対象のアプリケーションについての同期間確率の和ΣｊＰｒｉ，ｊとを入力として、数１５により関連確率ＲＰｒｉ，ｊを計算する。Ｓ６０７では、関連度計算部１２３は、対象のアプリケーションイベントの種類ｔｉについての関連確率の和ΣｊＲＰｒｉ，ｊに、Ｓ６０６で計算された関連確率ＲＰｒｉ，ｊを加算する。
【００７０】
次に、関連度計算部１２３は、Ｓ６０８の処理を、アプリケーションイベントの各種類を対象として実行する（ループ１５）。
Ｓ６０８では、関連度計算部１２３は、Ｓ６０６で計算された、対象のアプリケーションイベントの種類ｔｉと通信イベントの各種類との間の関連確率Ｐｒｉ，ｊと、Ｓ６０７で計算された、対象のアプリケーションイベントの種類ｔｉについての関連確率の和ΣｊＲＰｒｉ，ｊとを入力として、数１６によりエントロピーＩＥｉを計算する。
【００７１】
次に、関連度計算部１２３は、Ｓ６０９の処理を、アプリケーションイベントの各種類について、通信イベントの各種類を対象として実行する（ループ１６，１７）。
Ｓ６０９では、関連度計算部１２３は、Ｓ６０４で計算された、対象のアプリケーションイベントの種類ｔｉと、対象の通信イベントの種類ｄｊとの間の同期間確率Ｐｒｉ，ｊと、Ｓ６０８で計算された、対象のアプリケーションイベントの種類ｔｉについてのエントロピーＩＥｉとを入力として、数１７により、関連度ＲＳｉ，ｊを計算する。
【００７２】
図１２に示した同期間発生表１４を用いて、Ａｐｐ１とｈｔｔｐとの間の関連度を計算する。図２０は、図１２に示した同期間発生表１４を用いて計算した関連度表１５を示す図である。
Ａｐｐ１とｈｔｔｐとの同期間発生回数は５であり、ｈｔｔｐの発生回数は５である。そのため、Ａｐｐ１とｈｔｔｐとの間の同期間確率Ｐｒｉ，ｊは、５／５＝１である。同様に、Ａｐｐ１とｐｏｐ３との同期間発生回数は１であり、ｐｏｐ３の発生回数は２である。そのため、Ａｐｐ１とｐｏｐ３との間の同期間確率Ｐｒｉ，ｊは、１／２＝０．５である。したがって、Ａｐｐ１についての同期間確率の和ΣｊＰｒｉ，ｊは、１＋０．５＝１．５である。
そのため、Ａｐｐ１とｈｔｔｐとの間の関連確率ＲＰｒｉ，ｊは、１／１．５＝０．６６となる。また、Ａｐｐ１とｐｏｐ３との間の関連確率ＲＰｒｉ，ｊは、０．５／１．５＝０．３３となる。これにより、ｈｔｔｐは、ｐｏｐ３よりも２倍、Ａｐｐ１に関連している確率が高いことが分かる。
Ａｐｐ１のエントロピーＩＥｉは、−０．６６×ｌｏｇ（０．６６）−０．３３×ｌｏｇ（０．３３）＝０．３９＋０．５３＝０．９２となる。そして、関連度ＲＳｉ，ｊは、１／０．９２＝１．１となる。
【００７３】
以上のように、実施の形態２に係るログトレース装置１１３は、エントロピーの考え方を用いて関連度を計算する。そのため、実施の形態１に係るログトレース装置１１３とは異なる観点から、適切に関連度を計算することが可能である。
【００７４】
実施の形態３．
実施の形態１，２では、対応種類特定部１２４が関連度表１５に基づきログデータ１１間を対応付けした。実施の形態３では、利用者の入力によりログデータ１１間の対応付けを可能とする点が実施の形態１，２と異なる。実施の形態３では、この異なる点について説明する。
【００７５】
図２１は、実施の形態３にかかるログトレース装置１１３の構成図である。
図２１に示すログトレース装置１１３は、図２に示すログトレース装置１１３が備える要素に加え、受付部１２６を備える。受付部１２６は、監視用端末１１６から対応するイベントの種類の入力を受け付ける。
受付部１２６がイベントの種類間の対応付けの入力を受け付けた場合、ログ対応付部１２５は、受付部１２６が受け付けた対応する種類についてのログデータ間であって、発生時刻が同じ期間に含まれるログデータ間の対応付けをする。
【００７６】
図２２は、ログデータ１１間の対応付けの入力画面の例を示す図である。
図２２に示す入力画面では、通信イベントの各種類について、関連度表１５において関連度が０でないアプリケーションイベントの種類を対応付けの候補として示されている。特に、関連度の高いアプリケーションイベントの種類から順に対応付けの候補として示されている。受付部１２６は、図２２に示すような入力画面を表示して、監視用端末１１６から対応するイベントの種類の入力を受け付ける。
【００７７】
以上のように、実施の形態３に係るログトレース装置１１３では、対応するイベントの種類の入力を受け付ける。発生したイベント数が少なく、対応付けが難しい場合もある。このような場合に、利用者からの入力によりイベントの種類間の対応付けを可能としておくことは有効である。
【００７８】
図２３は、実施の形態１〜３に係るログトレース装置１１３のハードウェア構成例を示す図である。
ログトレース装置１１３はコンピュータである。
ログトレース装置１１３は、プロセッサ９０１、補助記憶装置９０２、メモリ９０３、通信装置９０４、入力インタフェース９０５、ディスプレイインタフェース９０６といったハードウェアを備える。
プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
入力インタフェース９０５は、ケーブル９１１により入力装置９０７に接続されている。
ディスプレイインタフェース９０６は、ケーブル９１２によりディスプレイ９０８に接続されている。
【００７９】
プロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）である。プロセッサ９０１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）である。
補助記憶装置９０２は、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）である。
メモリ９０３は、例えば、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）である。
通信装置９０４は、データを受信するレシーバー９０４１及びデータを送信するトランスミッター９０４２を含む。通信装置９０４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）である。
入力インタフェース９０５は、入力装置９０７のケーブル９１１が接続されるポートである。入力インタフェース９０５は、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）端子である。
ディスプレイインタフェース９０６は、ディスプレイ９０８のケーブル９１２が接続されるポートである。ディスプレイインタフェース９０６は、例えば、ＵＳＢ端子又はＨＤＭＩ（登録商標）（Ｈｉｇｈ  Ｄｅｆｉｎｉｔｉｏｎ  Ｍｕｌｔｉｍｅｄｉａ  Ｉｎｔｅｒｆａｃｅ）端子である。
入力装置９０７は、例えば、マウス、キーボード又はタッチパネルである。
ディスプレイ９０８は、例えば、ＬＣＤ（Ｌｉｑｕｉｄ  Ｃｒｙｓｔａｌ  Ｄｉｓｐｌａｙ）である。
【００８０】
補助記憶装置９０２には、上述した取得部１２１、同期間発生イベント特定部１２２、関連度計算部１２３、対応種類特定部１２４、ログ対応付部１２５、受付部１２６（以下、取得部１２１、同期間発生イベント特定部１２２、関連度計算部１２３、対応種類特定部１２４、ログ対応付部１２５、受付部１２６をまとめて「部」と表記する）の機能を実現するプログラムが記憶されている。
このプログラムは、メモリ９０３にロードされ、プロセッサ９０１に読み込まれ、プロセッサ９０１によって実行される。
更に、補助記憶装置９０２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がメモリ９０３にロードされ、プロセッサ９０１はＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。
図２３では、１つのプロセッサ９０１が図示されているが、ログトレース装置１１３が複数のプロセッサ９０１を備えていてもよい。そして、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。
また、「部」の処理の結果を示す情報やデータや信号値や変数値と、対応情報記憶部２１が記憶する情報やデータや信号値や変数値とが、メモリ９０３、補助記憶装置９０２、又は、プロセッサ９０１内のレジスタ又はキャッシュメモリにファイルとして記憶される。
【００８１】
「部」を「サーキットリー」で提供してもよい。また、「部」を「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。「回路」及び「サーキットリー」は、プロセッサ９０１だけでなく、ロジックＩＣ又はＧＡ（Ｇａｔｅ  Ａｒｒａｙ）又はＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）又はＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）といった他の種類の処理回路をも包含する概念である。
【符号の説明】
【００８２】
１０１  セキュリティ監視システム、１０２  監視対象ネットワークシステム、１１１  ログ収集装置、１１２  監視対象ログ記憶部、１１３  ログトレース装置、１１４  攻撃検知装置、１１５  被害状況特定装置、１１６  監視用端末、１２１  取得部、１２２  同期間発生イベント特定部、１２３  関連度計算部、１２４  対応種類特定部、１２５  ログ対応付部、１２６  受付部、１３１  クライアント、１３２  サーバ、１４１，１４２  ログ記憶部、１５１  ネットワークセキュリティ監視装置、１６１  ネットワークセキュリティログ記憶部、１７１  インターネット、 １１  ログデータ、１２  ログ合成データ、１３  監視対象ログデータ、１４  同期間発生表、１５  関連度表、１６  対応種類表、１７  発生確率表。
【図１】
2016129093.tif 000012
【図２】
2016129093.tif 000013
【図３】
2016129093.tif 000014
【図４】
2016129093.tif 000015
【図５】
2016129093.tif 000016
【図６】
2016129093.tif 000017
【図７】
2016129093.tif 000018
【図８】
2016129093.tif 000019
【図９】
2016129093.tif 000020
【図１０】
2016129093.tif 000021
【図１１】
2016129093.tif 000022
【図１２】
2016129093.tif 000023
【図１３】
2016129093.tif 000024
【図１４】
2016129093.tif 000025
【図１５】
2016129093.tif 000026
【図１６】
2016129093.tif 000027
【図１７】
2016129093.tif 000028
【図１８】
2016129093.tif 000029
【図１９】
2016129093.tif 000030
【図２０】
2016129093.tif 000031
【図２１】
2016129093.tif 000032
【図２２】
2016129093.tif 000033
【図２３】
2016129093.tif 000034
【手続補正書】
【提出日】平成29年2月22日(2017.2.22)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
第１分類における複数の種類の第１イベントについて、イベントの発生時刻を示す第１ログデータを取得するとともに、第２分類における複数の種類の第２イベントについて、イベントの発生時刻を示す第２ログデータを取得する取得部と、
前記取得部が取得した第１ログデータ及び第２ログデータが示す発生時刻に基づき、前記第１イベントの種類と前記第２イベントの種類との間で同じ期間に発生した同期間確率を計算して、前記同期間確率から前記第１イベントの種類と前記第２イベントの種類との間の関連度を計算する関連度計算部であって、前記第１イベントのある種類ｄｊと前記第２イベントのある種類ｔｉとの間の前記同期間確率と、前記種類ｔｉと同じ期間に発生した前記第１イベントの種類数とから、前記種類ｄｊと前記種類ｔｉとの間の前記関連度を計算する関連度計算部と、
前記関連度計算部が計算した関連度から、前記第１イベントの種類に対応する前記第２イベントの種類を特定する対応種類特定部と、
前記対応種類特定部が特定した対応する種類についての前記第１ログデータと前記第２ログデータとの間であって、前記発生時刻が同じ期間に含まれる前記第１ログデータと前記第２ログデータとの間の対応付けをするログ対応付部と
を備えるログトレース装置。
【請求項２】
前記関連度計算部は、前記同期間確率が高いほど関連度が高くなり、前記種類数が少ないほど関連度が高くなるように、前記種類ｄｊと前記種類ｔｉとの間の前記関連度を計算する
請求項１に記載のログトレース装置。
【請求項３】
前記関連度計算部は、前記種類ｄｊと前記種類ｔｉとの間の前記同期間確率をｔｆｉ，ｊとし、前記第１イベントの全種類数をＮとし、前記種類ｔｉが発生した期間と同じ期間に発生した前記第１イベントの種類数をｄｆｉとして、数１により前記種類ｄｊと前記種類ｔｉとの間の前記関連度ｔｆｉｄｆｉ，ｊを計算する
請求項２に記載のログトレース装置。
【数１】
2016129093.tif 000035
【請求項４】
前記関連度計算部は、前記第２イベントのある種類ｔｉと前記第１イベントの各種類との間の前記同期間確率の和で、前記種類ｔｉと前記第１イベントの対象の種類との間の前記同期間確率を除して得られる、前記種類ｔｉと前記対象の種類との間の関連確率を、前記第１イベントの各種類を前記対象の種類として計算し、前記種類ｔｉと前記第１イベントのある種類ｄｊとの前記関連確率と、前記各種類についての関連確率から得られる前記種類ｔｉについてのエントロピーとから、前記種類ｄｊと前記種類ｔｉとの間の前記関連度を計算する
請求項１に記載のログトレース装置。
【請求項５】
前記関連度計算部は、前記種類ｄｊと前記種類ｔｉとの間の前記同期間確率が高いほど関連度が高くなり、前記エントロピーが小さいほど関連度が高くなるように、前記種類ｄｊと前記種類ｔｉとの間の前記関連度を計算する
請求項４に記載のログトレース装置。
【請求項６】
前記関連度計算部は、前記第１イベントのある種類ｄｊと前記第２イベントのある種類ｔｉとの間の前記同期間確率をＰｒｉ，ｊとし、前記種類ｔｉについての前記エントロピーをＩＥｉとして、数２により前記種類ｄｊと前記種類ｔｉとの間の前記関連度ＲＳｉ，ｊを計算する
請求項５に記載のログトレース装置。
【数２】
2016129093.tif 000036
【請求項７】
前記ログトレース装置は、さらに、
対応する種類の入力を受け付ける受付部
を備え、
前記ログ対応付部は、前記受付部が受け付けた対応する種類についてのログデータ間であって、前記発生時刻が同じ期間に含まれるログデータ間の対応付けをする
請求項１に記載のログトレース装置。
【請求項８】
第１分類における複数の種類の第１イベントについて、イベントの発生時刻を示す第１ログデータを取得するとともに、第２分類における複数の種類の第２イベントについて、イベントの発生時刻を示す第２ログデータを取得する取得処理と、
前記取得処理で取得した第１ログデータ及び第２ログデータが示す発生時刻に基づき、前記第１イベントの種類と前記第２イベントの種類との間で同じ期間に発生した同期間確率を計算して、前記同期間確率から前記第１イベントの種類と前記第２イベントの種類との間の関連度を計算する関連度計算処理であって、前記第１イベントのある種類ｄｊと前記第２イベントのある種類ｔｉとの間の前記同期間確率と、前記種類ｔｉと同じ期間に発生した前記第１イベントの種類数とから、前記種類ｄｊと前記種類ｔｉとの間の前記関連度を計算する関連度計算処理と、
前記関連度計算処理で計算した関連度から、前記第１イベントの種類に対応する前記第２イベントの種類を特定する対応種類特定処理と、
前記対応種類特定処理で特定した対応する種類についての前記第１ログデータと前記第２ログデータとの間であって、前記発生時刻が同じ期間に含まれる前記第１ログデータと前記第２ログデータとの間の対応付けをするログ対応付処理と
をコンピュータに実行させるログトレースプログラム。
【国際調査報告】
2016129093.tif 000037
2016129093.tif 000038