(57)【要約】【課題】ネットワークを流れる大量のパケット情報を効率的に可視化することにより，ワーム等の活動の傾向を把握し，対策に活用する。【解決手段】可視化装置１４は，収集装置１３から取得した通信情報に含まれる宛先あるいは送信元ＩＰアドレスを複数のオクテットに分解し，個々のオクテットの推移を可視化し，可視化情報として分析ＤＢに格納する。また，特定の端末装置の通信情報に含まれるＩＰアドレスを構成する各オクテットやポート番号のランダム性をそれぞれ算出し，送信元あるいは宛先ＩＰアドレスの走査範囲を定量的に評価し，特定の端末装置の拡散性として数値化する。収集装置１３は，ルータからネットワークを流れるパケットに関する通信情報を収集し，通信情報ＤＢに格納する。管理装置は，可視化装置から送信される拡散性情報を他のネットワークと共有して，事前対策に活用するための情報を提供する。【選択図】      図９
2008131565.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上で発生したインシデントの状況を可視化するログ可視化システムにおいて，
ルータと，収集装置と，可視化装置とを備え，
前記ルータは，通過するパケットを取得する手段と，取得したパケット情報を前記収集装置に送信する手段とを備えて構成され，
前記収集装置は，前記ルータからのパケット情報を取得して該パケット情報に関わる通信情報を通信情報データベースに格納する手段と，前記可視化装置からの通信情報取得要求を受信して，指定された条件の通信情報を通信情報データベースから検索する手段と，検索した通信情報を前記可視化装置に送信する手段とを備えて構成され，
前記可視化装置は，指定条件に一致する通信情報を取得するための要求を前記収集装置に送信する手段と，要求により前記収集装置から取得した通信情報を可視化する手段と，可視化結果の情報を格納する分析データベースとを備え，さらに，取得した通信情報に含まれる通信日時と，特定の送信元あるいは宛先ＩＰアドレスに対する宛先あるいは送信元ＩＰアドレスを４つのオクテットに分解したオクテット情報とに基づいて可視化する手段とを備えて構成される
ことを特徴とするログ可視化システム。
【請求項２】
請求項１記載のログ可視化システムにおいて，
前記可視化装置は，前記オクテット情報及びポート番号のランダム性を定量的な値に変換する手段と，該定量値に基づいて，特定の送信元あるいは宛先ＩＰアドレスに関わるインシデントの拡散性を規定する手段とを備える
ことを特徴とするログ可視化システム。
【請求項３】
請求項１または２に記載のログ可視化システムにおいて，
管理装置をさらに備え，該管理装置は，前記特定のＩＰアドレスと該ＩＰアドレスの拡散性情報を他のネットワークに属する管理装置と共有する手段と，他のネットワークと共有して得た該ＩＰアドレスと該拡散性情報に基づいて自ネットワークへの影響力の高さを判定する手段と，該判定に基づいて事前に対策を講じる手段とを備える
ことを特徴とするログ可視化システム。
【請求項４】
ルータと，収集装置と，可視化装置とを備える，ネットワーク上で発生したインシデントの状況を可視化するログ可視化システムでのログ可視化方法において，
前記ルータは，通過するパケットを取得し，取得したパケット情報を前記収集装置に送信し，
前記収集装置は，前記ルータからのパケット情報を取得して該パケット情報に関わる通信情報を通信情報データベースに格納し，前記可視化装置からの通信情報取得要求を受信して，指定された条件の通信情報を通信情報データベースから検索し，検索した通信情報を前記可視化装置に送信し，
前記可視化装置は，指定条件に一致する通信情報を取得するための要求を前記収集装置に送信し，要求により前記収集装置から取得した通信情報を可視化し，可視化結果の情報を分析データベースに格納し，さらに，取得した通信情報に含まれる通信日時と，特定の送信元あるいは宛先ＩＰアドレスに対する宛先あるいは送信元ＩＰアドレスを４つのオクテットに分解したオクテット情報とに基づいて可視化する
ことを特徴とするログ可視化方法。
【請求項５】
請求項４記載のログ可視化システムにおいて，
前記可視化装置は，前記オクテット情報及びポート番号のランダム性を定量的な値に変換し，該定量値に基づいて，特定の送信元あるいは宛先ＩＰアドレスに関わるインシデントの拡散性を規定することを特徴とするログ可視化方法。
【請求項６】
請求項４または５に記載のログ可視化システムにおいて，
管理装置をさらに備え，該管理装置は，前記特定のＩＰアドレスと該ＩＰアドレスの拡散性情報を他のネットワークに属する管理装置と共有し，他のネットワークと共有して得た該ＩＰアドレスと該拡散性情報に基づいて自ネットワークへの影響力の高さを判定し，事前に対策を講じる
ことを特徴とするログ可視化方法。
【請求項７】
ネットワーク上で発生したインシデントの状況を可視化するログ可視化装置において，
前記ルータは，通過するパケットを取得する手段と，取得したパケット情報を前記収集装置に送信する手段とを備えて構成され，
前記収集装置は，前記ルータからのパケット情報を取得して該パケット情報に関わる通信情報を通信情報データベースに格納する手段と，前記可視化装置からの通信情報取得要求を受信して，指定された条件の通信情報を通信情報データベースから検索する手段と，検索した通信情報を前記可視化装置に送信する手段とを備えて構成され，
前記可視化装置は，指定条件に一致する通信情報を取得するための要求を，通過するパケットを取得するルータより受信した該パケット情報に関わる通信情報を通信情報データベースに格納する収集装置に送信する手段と，要求により前記収集装置から取得した通信情報を可視化する手段と，可視化結果の情報を格納する分析データベースとを備え，さらに，取得した通信情報に含まれる通信日時と，特定の送信元あるいは宛先ＩＰアドレスに対する宛先あるいは送信元ＩＰアドレスを４つのオクテットに分解したオクテット情報とに基づいて可視化する手段と，該オクテット情報及びポート番号のランダム性を定量的な値に変換する手段と，該定量値に基づいて，特定の送信元あるいは宛先ＩＰアドレスに関わるインシデントの拡散性を規定する手段とを備えて構成される
ことを特徴とするログ可視化装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，ログ可視化システム，可視化方法及びログ可視化装置に係り，特に，ネットワーク上に発生したインシデントの状況を可視化するログ可視化システム，可視化方法及びログ可視化装置に関する。
【背景技術】
【０００２】
ネットワークを流れるパケットに基づいてマルウェアの活動等の不正アクセスを検知する手段として，ＩＤＳ（侵入検知装置）やＦＷ（ファイアウォール）と呼ばれるセキュリティ装置を設置する方法が知られている。これらの装置は，有識者が事前に不正なアクセスに伴うパケットの特徴点を見つけ出してパターンとして定義して装置に登録し，そのパターンにマッチングするパケットを不正アクセスとして検出している。
【０００３】
ＩＤＳを利用して不正アクセスを検出する方法に関する従来技術として，例えば，非特許文献１等に記載されて知られている。
【０００４】
【非特許文献１】Stephen Northcutt, Judy Novak ,矢野博之(訳) ，"ネットワーク不正侵入検知"，翔泳社，Ｐ１５７−１８０，２００１年１１月
【発明の開示】
【発明が解決しようとする課題】
【０００５】
前述した従来技術によってインシデントを検出する手段では，事前に発見された既知の不正アクセスしか検出できない。一報，ネットワークを流れる全てのパケットを検出することは，管理者の処理能力および効率面で現実的ではない。すなわち，前述した従来技術では大量のパケットから既知の脅威を検出することは可能であるが，未知の脅威や，脅威となる前の状況の検出，把握が困難であるという問題点を有している。
【課題を解決するための手段】
【０００６】
本発明は，前述した従来技術の問題点を解決し，ネットワークに設置されたルータやセキュリティ装置の検出したイベントに基づいて，ネットワーク上で発生しているインシデントの状況を効率的に把握することを可能にするログ可視化システム，可視化方法及びログ可視化装置を提供する。
【０００７】
より具体的には，本発明は，ワーム感染端末装置の感染先探索活動に伴うパケット送信等により，ネットワーク上で発生したインシデントを記録した通信情報に対し，効率的に可視化し，大量の情報から特徴的な事象を視覚的に表示し，これまで機械的に検出することが困難だったパターンの検出を支援するログ可視化システム，可視化方法及び可視化装置を提供する。
【０００８】
本発明が提供する，ネットワーク上で発生したインシデントの状況を可視化するログ可視化システムは，たとえば，ルータと，収集装置と，可視化装置とを備え，ルータは，通過するパケットを取得する手段と，取得したパケット情報を収集装置に送信する手段とを備えて構成され，収集装置は，ルータからのパケット情報を取得して該パケット情報に関わる通信情報を通信情報データベースに格納する手段と，可視化装置からの通信情報取得要求を受信して，指定された条件の通信情報を通信情報データベースから検索する手段と，検索した通信情報を可視化装置に送信する手段とを備えて構成され，可視化装置は，指定条件に一致する通信情報を取得するための要求を収集装置に送信する手段と，要求により収集装置から取得した通信情報を可視化する手段と，可視化結果の情報を格納する分析データベースとを備え，さらに，取得した通信情報に含まれる通信日時と，特定の送信元あるいは宛先ＩＰアドレスに対する宛先あるいは送信元ＩＰアドレスを４つのオクテットに分解したオクテット情報とに基づいて可視化する手段とを備えて構成されることを特徴とする。
【０００９】
また，本発明が提供するネットワーク上で発生したインシデントの状況を可視化するログ可視化システムでのログ可視化方法は，ルータと，収集装置と，可視化装置とを備え，
ルータは，通過するパケットを取得し，取得したパケット情報を収集装置に送信し，収集装置は，ルータからのパケット情報を取得して該パケット情報に関わる通信情報を通信情報データベースに格納し，可視化装置からの通信情報取得要求を受信して，指定された条件の通信情報を通信情報データベースから検索し，検索した通信情報を可視化装置に送信し，可視化装置は，指定条件に一致する通信情報を取得するための要求を収集装置に送信し，要求により収集装置から取得した通信情報を可視化し，可視化結果の情報を分析データベースに格納し，さらに，取得した通信情報に含まれる通信日時と，特定の送信元あるいは宛先ＩＰアドレスに対する宛先あるいは送信元ＩＰアドレスを４つのオクテットに分解したオクテット情報とに基づいて可視化することを特徴とする。
【００１０】
さらに，本発明が提供するネットワーク上で発生したインシデントの状況を可視化するログ可視化装置は，指定条件に一致する通信情報を取得するための要求を，通過するパケットを取得するルータより受信した該パケット情報に関わる通信情報を通信情報データベースに格納する収集装置に送信する手段と，要求により収集装置から取得した通信情報を可視化する手段と，可視化結果の情報を格納する分析データベースとを備え，さらに，取得した通信情報に含まれる通信日時と，特定の送信元あるいは宛先ＩＰアドレスに対する宛先あるいは送信元ＩＰアドレスを４つのオクテットに分解したオクテット情報とに基づいて可視化する手段と，該オクテット情報及びポート番号のランダム性を定量的な値に変換する手段と，該定量値に基づいて，特定の送信元あるいは宛先ＩＰアドレスに関わるインシデントの拡散性を規定する手段とを備えて構成されることを特徴とする。
【発明の効果】
【００１１】
本発明によれば，不正に送信された大量のパケットにみられる特徴を，人間が確認しやすいように可視化することで，ネットワークあるいは端末装置に発生した問題点の把握を容易にすることができる。
【００１２】
また，ワーム等に感染した特定の端末装置に関わるパケットに含まれるＩＰアドレスなどのランダム性を定量的に評価することにより，そのワーム感染端末装置による影響範囲を推定し，非攻撃側ネットワークの事前対策に役立てることができる。
【発明を実施するための最良の形態】
【００１３】
以下，本発明によるログ可視化システム及び可視化方法の実施形態を図面により詳細に説明する。
【００１４】
図１は本発明の一実施形態によるログ可視化システムの構成を示すブロック図である。図１において，１０はログ可視化システム，１１は端末装置，１２はルータ，１３は収集装置，１４は可視化装置，１５は管理装置，１６はローカルエリアネットワーク，１７は管理用ネットワーク，５０はインターネットである。
【００１５】
本実施形態によるログ可視化システム１０は，ローカルエリアネットワーク１６を介して端末装置１１と，ルータ１２とが互いに接続され，また，管理用ネットワーク１７を介してルータ１２と，収集装置１３と，可視化装置１４と，管理装置１５とが互いに接続され，ルータ１２が外部のネットワークであるインターネット５０に接続されて構成される。そして，前述の装置１１〜１５を構成するハードウェアは，実質的に同様のユニットを有して構成されている。
【００１６】
図２は端末装置１１，ルータ１２のハードウェア構成を示すブロック図，図３は収集装置１３，可視化装置１４，管理装置１５のハードウェア構成を示すブロック図であり，次に，装置１１〜１５のハードウェア構成について説明する。
【００１７】
端末装置１１は，パーソナルコンピュータ（ＰＣ）のようなクライアントであり，バス１１０１等で接続された，演算装置１１０２と，表示装置１１０３と，入力装置１１０４と，メモリ１１０５と，記憶装置１１０６と，通信装置１１０７とを備えたコンピュータ上に構成される。ルータ１２は，ローカルエリアネットワーク１６と，管理用ネットワーク１７と，インターネット５０との間で通信制御を行い，ローカルエリアネットワーク１６とインターネット５０との間の通信情報を取得する装置であり，バス１２０１等で接続された，演算装置１２０２と，表示装置１２０３と，入力装置１２０４と，メモリ１２０５と，記憶装置１２０６と，通信装置１２０７，１２０８，１２０９とを備えたコンピュータ上に構成される。
【００１８】
また，収集装置１３は，ルータ１２が出力するパケット情報を収集する装置であり，バス１３０１等で接続された，演算装置１３０２と，表示装置１３０３と，入力装置１３０４と，メモリ１３０５と，記憶装置１３０６と，通信装置１３０７とを備えたコンピュータ上に構成される。可視化装置１４は，収集装置１３が出力する通信情報の可視化や分析を行う装置であり，バス１４０１等で接続された，演算装置１４０２と，表示装置１４０３と，入力装置１４０４と，メモリ１４０５と，記憶装置１４０６と，通信装置１４０７とを備えたコンピュータ上に構成される。管理装置１５は，分析結果を共有する装置であり，バス１５０１等で接続された，演算装置１５０２と，表示装置１５０３と，入力装置１５０４と，メモリ１５０５と，記憶装置１５０６と，通信装置１５０７とを備えたコンピュータ上に構成される。
【００１９】
図４は端末装置１１，ルータ１２の機能構成を示すブロック図，図５は収集装置１３，可視化装置１４，管理装置１５の機能構成を示すブロック図であり，次に，図４，図５を参照して，装置１１〜１５の機能構成及びそれらに関連するソフトウェア情報について説明する。
【００２０】
端末装置１１は，通常時，記憶装置１１０６に記憶されたプログラムを演算装置１１０２で実行して所期の機能を実現している。そして，本実施形態における端末装置１１の１つは，不正通信を行う端末装置であり，その端末装置１１は，ローカルエリアネットワーク１６との間で情報の送受信を行うデータ送受信部１１１と，それらを制御する不正通信プログラム１１２とを有して構成される。
【００２１】
不正通信プログラム１１２は，ウイルスやワームや不正アクセス行為によって不正なパケットをネットワークに送信するプログラムである。この端末装置による不正行為は，ルータ１２でパケット情報として取得される。また，このような不正行為を働く端末装置１１は，複数存在することもあり，さらに，ローカルエリアネットワーク１６以外にも，インターネット５０に接続されたネットワークにも散在する可能性がある。
【００２２】
ルータ１２は，ローカルエリアネットワーク１６と管理用ネットワーク１７とインターネット５０との間の通信制御をする機能と，ローカルエリアネットワーク１６とインターネット５０との間で，互いのネットワークを行き来するパケットに関する情報を取得する機能を有する。このルータ１２は，図４に示すように，インターネット５０からローカルエリアネットワーク１６に向けたパケットを受信し，あるいは，ローカルエリアネットワーク１６からインターネット５０に向けたパケットを送信するデータ送受信部１２４と，インターネット５０からローカルエリアネットワーク１６に向けたパケットを送信，あるいは，ローカルエリアネットワーク１６からインターネットに向けたパケットを受信するデータ送受信部１２１と，これらの通信情報を収集装置１３に対して送信するデータ送受信部１２３と，それらを制御する経路制御プログラム，パケット取得プログラム１２２とを備えて構成される。
【００２３】
収集装置１３は，ルータ１２から取得したパケット情報，可視化装置１４の通信情報取得要求に対して通信情報取得結果などを送受信するデータ送受信部１３１と，取得したパケット情報に関わる通信情報を格納する通信情報データベース（ＤＢ）１３３と，それらを制御する通信情報収集プログラム１３２とを備えて構成される。そして，収集装置１３は，可視化装置１４の通信情報取得要求に応じて通信情報ＤＢから，該当する通信情報を検索し，可視化装置１４に通信情報の取得結果を返す。なお，ＤＢ１３３は，記憶装置１３０６内に形成されており，この通信情報ＤＢ１３３に格納される通信情報１３４は，ルータ１２から取得した１つあるいは複数の通信情報である。この通信情報の構成例及び通信情報取得要求の構成例については後述する。
【００２４】
可視化装置１４は，収集装置１３から取得した通信情報を検索した結果等を格納するための分析ＤＢ１４３と，通信情報取得要求，通信情報取得結果，拡散性情報などを送受信するデータ送受信部１４１と，それらを制御する可視化プログラム１４２とを備えて構成される。そして，分析ＤＢ１４３には，収集装置１３から取得した通信情報取得結果をもとに可視化した可視化情報１４４と，通信情報のランダム性を定量的に数値化したランダム性情報１４５と，ランダム性情報をもとに特定のＩＰアドレスを有する端末装置の通信の拡散性を定量的に数値化した拡散性情報１４６等とが格納される。なお，分析ＤＢ１４３は，記憶装置１４０６内に形成され，格納される前述した各情報の詳細については後述する。
【００２５】
管理装置１５は，可視化装置１４から受信した拡散性情報を格納するための管理ＤＢ１５３と，拡散性情報等を送受信するためのデータ送受信部１５１と，それらを制御する管理プログラム１５２とを備えて構成される。管理ＤＢ１５３は，記憶装置１５０６内に形成される。そして，管理ＤＢ１５３には，可視化装置１４から取得した拡散性情報１５４等が格納される。この拡散性情報の構成については後述する。
【００２６】
図６は収集装置１３の通信情報ＤＢ１３３に格納された通信情報１３４の構成，可視化装置１４から収集装置１３への通信情報取得要求の構成を示す図である。なお，通信情報取得要求に対して収集装置１３が可視化装置１４に送信する通信情報取得結果の構成は，通信情報１３４と同様である。
【００２７】
収集装置１３の通信情報ＤＢ１３３に格納された通信情報１３４は，例えば図６に示すように，ルータ１２を通過する１つ１つのパケットに対し，パケットの通信日時，送信元ＩＰアドレスをオクテットに分解した情報，送信元ポート番号，宛先ＩＰアドレスをオクテットに分解した情報，宛先ポート番号，通信プロトコル等を含んで構成される。なお，送信元及び宛先ＩＰアドレスを構成するオクテットの数は，ＩＰｖ４の場合で４つとなる。本実施形態では，端末装置１１の不正プログラム１１２によって送信されたパケットをルータ１２が検出して，収集装置１３に向けてパケット情報を送信するので，収集装置１３は，これを受けて，不正通信プログラム１１２によって送信されたパケットをルータが取得した日時，端末装置１１のＩＰアドレスを構成する４つのオクテット，端末装置１１のポート番号，端末装置１１が送信した不正なパケットの宛先ＩＰアドレスを構成する４つのオクテット，宛先ポート番号，通信プロトコル等を通信情報ＤＢ１３３に格納する。
【００２８】
可視化装置１４から収集装置１３への通信情報取得要求は，図６に示すように，パケット発生日時に対する検索対象期間，パケットの送信元ＩＰアドレスあるいは宛先ＩＰアドレス，パケットの送信元ＩＰアドレスあるいは宛先ポート番号，通信プロトコル等を含んで構成される。
【００２９】
図７は可視化装置１４の分析ＤＢ１４３に格納される可視化情報１４４と，ランダム性情報１４５と，可視化装置１４の分析ＤＢ１４３及び管理装置１５の管理ＤＢ１５３の拡散性情報１４６，１５４との構成を示す図である。
【００３０】
収集装置１３から取得した通信情報取得結果をもとに，可視化装置１４は収集した通信情報の各要素のランダム性を評価する。ランダム性情報１４５は，収集装置１３に対する通信情報取得要求に送信元ＩＰアドレスを指定した場合，収集装置１３により返される通信情報取得結果に含まれる宛先ＩＰアドレスを構成する４つのオクテットの各々のランダム性と，宛先ポート番号のランダム性とをそれぞれ定量化した値と，通信情報取得要求で指定した送信元ＩＰアドレス等を含む。ランダム性の定量化には，分散値やフーリエ変換等を利用する。例えば，クラスＣネットワーク内をスキャンする性質を有するワームに感染した端末装置１１に関する通信情報のランダム性は，第１〜３オクテットのランダム性が低く，第４オクテットのランダム性が高くなる。また，ポートスキャンを行うワームに感染した端末装置１１に関する通信情報のランダム性は，宛先ポート番号のランダム性が高い値となる。拡散性情報１４６は，ランダム性情報１４５をもとに，ＩＰアドレスの走査範囲を定量化した値と，通信情報取得要求で指定した送信元あるいは宛先ＩＰアドレス等を含む。例えば，第１オクテットの重み付けを最も高くし，第４オクテットの重み付けを最も低くした上で，各オクテットのランダム性の和を拡散性とする。さらに，可視化装置１４は，通信情報取得結果を可視化する。本実施形態では，図８に示すように，ある日時の通信情報取得結果に含まれる送信元，あるいは宛先ＩＰアドレスを構成する４つのオクテットをもとに，各オクテットと対応する４つの線に表現し，各オクテットの値を，円心を中心とする各線の回転角として表現し，通信日時別の複数の表示画面を動画として連続表示する。
【００３１】
本実施形態では，可視化装置１４の可視化情報１４４や拡散性情報１４６をもとに管理者が端末装置１１のネットワーク上での振る舞いを観察する。また，管理装置１５は，他のログ可視化システムあるいは管理者と拡散性情報を共有し，他のログ可視化システムあるいは管理者は，共有して得た拡散性情報をもとに，自ネットワークへの感染波及を予知し事前対策に繋げる。例えば，管理者の管理するネットワーク（セグメントＡ）と端末装置１１の属するネットワーク（セグメントＢ）の距離と，拡散性情報（他セグメントへの拡散性の合い）から，影響力の度合いを推定する。
【００３２】
図９は本実施形態によるログ可視化システムの動作の概要を説明する図であり，次に，これについて説明する。
（１）最初に，ワームに感染した端末装置１１がワームの感染活動を行う不正通信プログラム１１２の実行によって，ローカルエリアネットワーク１６あるいはインターネット５０を介して，他の端末装置等に感染先を探索するためのパケットを送信する（ＳＴ１）。
（２）ルータ１２は，並行してまたは逐次的に，それぞれ，パケット取得プログラム１２２を実行することによりローカルエリアネットワーク１６あるいはインターネット５０を流れるパケットを監視している（ＳＴ０１）。
（３）ローカルエリアネットワーク１６あるいはインターネット５０を流れるパケットは，前述のルータ１２による監視により取得され，逐次あるいは定期的に収集装置１３にパケット情報を送信する（ＳＴ２）。
（４）収集装置１３は，ルータ１２からパケット情報を収集し，通信情報収集プログラム１３２の実行により，通信情報を図６に示して説明したような形式に正規化して通信情報ＤＢ１３３に格納する（ＳＴ３）。
（５）可視化装置１４は，可視化プログラム１４２の実行により，逐次的あるいは定期的に収集装置１３に対して図６に示して説明したような通信情報取得要求を送信する（ＳＴ４）。
（６）収集装置１３は，ＳＴ４で送信されてきた通信情報取得要求を受信すると，通信情報ＤＢ１３３から通信情報取得要求を満たした通信情報に関する情報を，図６に示して説明した通信情報と同様の形式の通信情報取得結果として，可視化装置１４に送信する（ＳＴ５）。
（７）可視化装置１４は，収集装置１３から通信情報取得結果を受信し，図８に示して説明したように，特定のＩＰアドレスに関して，送信元あるいは宛先ＩＰアドレスの可視化処理を行い，結果を分析ＤＢ１４３に格納する（ＳＴ６）。
（８）可視化装置１４は，さらに，図７に示して説明したような，通信情報のランダム性を評価してランダム性情報として分析ＤＢ１４３に格納し，また，ランダム性をもとに拡散性を評価して拡散性情報として分析ＤＢ１４３に格納する（ＳＴ７，ＳＴ８）。
（９）その後，可視化装置１４は，逐次的あるいは定期的に管理者に対してＳＴ６で生成された可視化情報１４４を管理者に表示して通知する（ＳＴ９）。
（１０）可視化装置１４は，また，逐次的あるいは定期的に管理装置１５に対して図７に示して説明したような拡散性情報を送信する（ＳＴ１０）。
（１１）管理装置１５は，ＳＴ１０で送信されてきた拡散性情報を受信すると，管理者に対して，端末装置１１による自ネットワークへの影響度合いを警告する（ＳＴ１１）。
（１２）管理装置１５は，さらに，逐次的あるいは定期的に他のログ可視化システムの管理装置と拡散性情報の交換を行い，拡散性情報を共有する（ＳＴ１２）。
【００３３】
図１０，図１１は本実施形態によるログ可視化システムにおける各装置の処理動作について説明するフローチャートであり，次に，これについて説明する。
（１）最初に，端末装置１１が，ワームの感染等の理由により，不正通信プログラム１１２を起動したものとする。不正通信プログラム１１２は，ワームの感染拡大のために，他の端末装置を探索するためのパケットを大量に送信する（ステップＳ００１，Ｓ００２）。
（２）一方，ルータ１２は，起動されると，経路制御プログラム及びパケット取得プログラム１２２を起動し，ステップＳ００２で送信された探索パケットをパケット取得プログラム１２２により取得し，取得した探索パケットを収集装置１３に送信する（ステップＳ００３〜Ｓ００５）。
（３）収集装置１３は，起動されると，通信情報収集プログラム１３２を起動する。起動された通信情報収集プログラム１３２は，ステップＳ００５で送信されてきたパケット情報を受信し，図６に示して説明したような通信情報として正規化した後，通信情報ＤＢ１３３に登録する（ステップＳ００６〜Ｓ００９）。
【００３４】
前述したステップＳ００２，Ｓ００４〜Ｓ００５，Ｓ００７〜Ｓ００９での処理が繰り返し実行され，送信されてきた探索パケットによる通信情報が，収集装置１３の通信情報ＤＢ１３３に多数記録される。
（４）次に，可視化装置１４が起動されて，可視化プログラム１４２を起動し，可視化装置１４は，通信情報取得条件として，例えば，図６に示して説明した通信情報取得要求にあるような，可視化の対象とする期間，端末装置のＩＰアドレス，ポート番号，通信プロトコル等を規定する。そして，ログ可視化プログラム１４２は，逐次的あるいは定期的に収集装置１３に対して，図６に示して説明したような，通信情報取得要求を送信する（ステップＳ０１０〜Ｓ０１３）。
（５）収集装置１３の通信情報収集プログラム１３２は，ステップ０１３で送信されてくる通信情報取得要求を受信し，通信情報ＤＢ１３３から取得条件を満たす通信情報を検索し，可視化装置１４に対して，検索した通信情報を，図６に示して説明した通信情報と同様の形式の通信情報取得結果として送信する（ステップＳ０１４〜Ｓ０１６）。
【００３５】
前述において，例えば，この通信情報取得要求の取得期間を2006年01月01日 00時00分00秒から2006年01月01日 01時00分00秒と設定し，送信元ＩＰアドレスに端末装置１１のＩＰアドレスを設定し，送信元ポート番号及び通信プロトコルを無条件と設定することにより，2006年01月01日 00時00分00秒から2006年01月01日 01時00分00秒の期間に端末装置１１から送信されたパケットに関する通信情報を，通信情報ＤＢ１３３から検索し，可視化装置１４に対して送信する。
（６）可視化装置１４の可視化プログラム１４２は，ステップＳ０１６で送信されてくる日時別の通信情報取得結果をもとに，端末装置１１が2006年01月01日 00時00分00秒から2006年01月01日 01時00分00秒の間に送信したパケットの宛先ＩＰアドレスを，通信日時別に表現した，複数の表示画面からなる動画像を作成し，可視化情報１４４として，分析ＤＢ１４３に格納する（Ｓ０１７，Ｓ０１８）。
【００３６】
前述において，図８に示して説明した手法に従い可視化すると，例えば，端末装置１１の不正通信プログラム１１２が完全にランダムなＩＰアドレスに対して探索パケットを送信する性質を有していた場合，ステップＳ０１８では，宛先ＩＰアドレスを構成する４つのオクテットを示す線は，四方八方に無作為に描写された動画像が生成される。一方，端末装置１１の不正通信プログラム１１２がクラスＢのネットワークを順序正しく昇順で探索する性質を有していた場合は，ステップＳ０１８では，宛先ＩＰアドレスを構成する４つのオクテットを示す線のうち，宛先ＩＰアドレスの上位２オクテットを表す内側２本の線が固定された状態で，下位２オクテットを表す外側２本の線が時間の経過と共に，時計回りに１２時方向から３６０度回転する動画像が生成される。
（７）管理者は，ステップＳ０１８で生成された可視化情報１４４を閲覧し，端末装置１１の振る舞いを監視する（ステップＳ０１９）。
（８）可視化装置１４の可視化プログラム１４２は，また，ステップＳ０１６で送信されてくる通信情報取得結果をもとに，端末装置１１が2006年01月01日 00時00分00秒から2006年01月01日 01時00分00秒の間に送信したパケットの宛先ＩＰアドレスの各オクテット，宛先ポート番号のそれぞれのランダム性を表す定量値と，送信元となる端末装置１１のＩＰアドレスをランダム性情報１４５として分析ＤＢ１４３に格納する（ステップＳ０２０，Ｓ０２１）。
【００３７】
前述において，ランダム性の算出に分散値を利用すると，例えば，端末装置１１の不正通信プログラム１１２が完全にランダムなＩＰアドレスの特定のポート番号に対して探索パケットを送信する性質を有していた場合，宛先ＩＰアドレスの各オクテットのランダム性は大きな値を持ち，宛先ポート番号のランダム性は０に近づく。一方，端末装置１１の不正通信プログラム１１２がクラスＢのネットワークを順序正しく昇順で探索する性質を有していた場合，宛先ＩＰアドレスの上位２オクテットのランダム性はそれぞれ大きな値を持ち，下位２オクテットのランダム性はそれぞれ０に近づく。ランダム性の算出に他の手法を利用することで，値の分散以外にも増減の規則性なども定量的に表せる。
（９）可視化装置１４の可視化プログラム１４２は，さらに，分析ＤＢ１４３に格納されたランダム性情報１４５をもとに，端末１１の探索パケットの走査範囲を定量的に評価し，拡散性情報１４６として分析ＤＢ１４３に格納する（ステップＳ０２２）。
【００３８】
前述の拡散性の算出において，例えば，第１オクテットのランダム性と１０００の積と，第２オクテットのランダム性と１００の積と，第３オクテットのランダム性と１０の積と，第４オクテットのランダム性とを総和した値を定量値とする。
（１０）ここで得られた端末装置１１に関する拡張性情報１４６は，可視化装置１４の可視化プログラムにより，逐次あるいは定期的に管理装置１５に送信される（ステップＳ０２３）。また，ステップＳ０１２〜Ｓ０２３での処理が繰り返し実行され，様々な期間及び端末装置の通信情報が可視化情報１４４，ランダム性情報１４５，及び拡散性情報１４６として分析ＤＢ１４３に蓄積される。
（１１）管理装置１５の管理プログラム１５２は，ステップＳ０２３で送信されてくる端末装置１１に関する拡散性情報１４６を受信して，管理ＤＢ１５３に格納する（ステップＳ０２４）。
（１２）管理装置１５の管理プログラム１５２は，他ネットワークのログ可視化システムに属する管理装置に端末装置１１に関する拡散性情報を含む拡散性情報１４６を送信し，複数のネットワークのログ可視化システム間で，探索活動をしている端末装置１１の拡散性情報を共有する（ステップＳ０２５）。
（１３）他ネットワークの管理装置の管理プログラムは，ステップＳ０２５で送信されてくる端末装置１１に関する拡散性情報１４６を受信し，ネットワークへの影響力を算出し，管理者に提示する（ステップＳ０２６〜０２８）。
【００３９】
前述の影響力の算出において，例えば，他ネットワークのＩＰアドレスを構成する４つのオクテットと，ステップＳ０２６で受信した端末装置１１の拡散性情報１４６に含まれる端末装置１１のＩＰアドレスを構成する４つのオクテットとをそれぞれ比較して，ネットワークの距離を算出し，その結果と拡散性情報１４６とを比較して影響力を算出する。
（１４）他ネットワークの管理者は，ステップＳ０２８で表示された影響力を閲覧し，ログ可視化システム１０のローカルエリアネットワーク１６に接続された端末装置１１によるリスクを判断する１つの材料とし，事前対策に役立てる（ステップＳ０２９〜Ｓ０３０）。
【００４０】
前述において，事前対策とは，例えば，管理者の判断によってルータ等の設定を変更して通信を遮断することである。また，影響力の値により自律的にネットワークの経路制御やアクセス制御を実施することである。
（１５）ステップＳ０２５〜Ｓ０３０と同様に，他ネットワークのログ可視化システムが算出した他ネットワークに属する端末装置に関する拡散性情報を，管理者装置１５が取得し，事前対策に役立てる（Ｓ０３１〜Ｓ０３６）。
【００４１】
前述した本実施形態における各処理は，上記各プログラムを各コンピュータが備える各演算装置が実行することにより実現できる。また，それらのプログラムは，ＦＤ，ＣＤＲＯＭ，ＤＶＤ等の記憶媒体に格納して提供してもよいし，ネットワークまたはネットワーク上の搬送波やデジタル信号などの通信媒体を経由して他の装置から提供することができる。
【図面の簡単な説明】
【００４２】
【図１】本発明の一実施形態によるログ可視化システムの構成を示すブロック図である。
【図２】端末装置，ルータのハードウェア構成を示すブロック図である。
【図３】収集装置，可視化装置，管理装置のハードウェア構成を示すブロック図である。
【図４】端末装置，ルータの機能構成を示すブロック図である。
【図５】収集装置，可視化装置，管理装置の機能構成を示すブロック図である。
【図６】収集装置の通信情報ＤＢに格納された通信情報の構成，可視化装置から収集装置への通信情報取得要求の構成を示す図である。
【図７】可視化装置の分析ＤＢと管理装置の管理ＤＢに格納される拡散性情報と，可視化装置の分析ＤＢに格納される可視化情報と，ランダム性情報との構成を示す図である。
【図８】可視化装置の可視化処理による表示例を示す図である。
【図９】本発明の実施形態によるログ可視化システムの動作の概要を説明する図である。
【図１０】本発明の実施形態によるログ可視化システムにおける各装置の処理動作について説明するフローチャート（その１）である。
【図１１】本発明の実施形態によるログ可視化システムにおける各装置の処理動作について説明するフローチャート（その２）である。
【符号の説明】
【００４３】
１０：ログ可視化システム，１１：端末装置，１２：ルータ，１３：収集装置，１４：可視化装置，１５：管理装置，１６：ローカルエリアネットワーク，１７：管理用ネットワーク，５０：インターネット，１１１，１２１，１２３，１２４，１３１，１４１，１５１：データ送受信部，１１２：不正通信プログラム，１２２：パケット取得プログラム，経路制御プログラム，１３２：通信情報収集プログラム，１３３：通信情報ＤＢ，１３４：通信情報，１４２：可視化プログラム，１４３：分析ＤＢ，１４４：可視化情報，１４５：ランダム性情報，１４６，１５４：拡散性情報，１５２：管理プログラム，１５３：管理ＤＢ，１１０１，１２０１，１３０１，１４０１，１５０１：バス，１１０２，１２０２，１３０２，１４０２，１５０２：演算装置，１１０３，１２０３，１３０３，１４０３，１５０３：表示装置，１１０４，１２０４，１３０４，１４０４，１５０４：入力装置，１１０５，１２０５，１３０５，１４０５，１５０５：メモリ，１１０６，１２０６，１３０６，１４０６，１５０６：記憶装置，１１０７，１２０７，１２０８，１２０９，１３０７，１４０７，１５０７：通信装置
【図１】
2008131565.tif 000003
【図２】
2008131565.tif 000004
【図３】
2008131565.tif 000005
【図４】
2008131565.tif 000006
【図５】
2008131565.tif 000007
【図６】
2008131565.tif 000008
【図７】
2008131565.tif 000009
【図８】
2008131565.tif 000010
【図９】
2008131565.tif 000011
【図１０】
2008131565.tif 000012
【図１１】
2008131565.tif 000013