(57)【要約】【課題】セキュリティ監視におけるシステムでの分析とオペレータでの分析とを効果的に分担して、多数のアラームに対し、精度良く分析して対応することができるシステムを提供する。【解決手段】監視対象機器のセキュリティを監視してアラームを行い、アラームの判定における分析過程の提示により分析過程に対するオペレータの評価を支援するセキュリティ監視システム１であって、セキュリティを監視する際に発したアラームの判定に用いた入力情報１０の分析過程で使用する分析ルールを有する分析ルールテーブル２０と、分析ルールの内容を確認するための確認項目を有する確認項目テーブル４０と、分析ルールと前記確認項目の関連付けを行う関連付けテーブル５０とを備える。分析ルールテーブル２０及び確認項目テーブル４０が、それぞれ独立して設けられている。【選択図】図１
2008003873.tif 000002
【特許請求の範囲】
【請求項１】
監視対象機器のセキュリティを監視してアラームを行い、アラームの判定における分析過程の提示により分析過程に対するオペレータの評価を支援するセキュリティ監視システムであって、
セキュリティを監視する際に発したアラームの判定に用いた入力情報の分析過程で使用する分析ルールを有する分析ルールテーブルと、前記分析ルールの内容を確認するための確認項目を有する確認項目テーブルと、前記分析ルールと前記確認項目の関連付けを行う関連付けテーブルとを備えることを特徴とするセキュリティ監視システム。
【請求項２】
請求項１に記載のセキュリティ監視システムにおいて、
前記分析ルールテーブル及び前記確認項目テーブルが、それぞれ独立して設けられていることを特徴とするセキュリティ監視システム。
【請求項３】
請求項１に記載のセキュリティ監視システムにおいて、
前記分析ルールテーブル、前記確認項目テーブル及び前記関連付けテーブルが、それぞれ独立して設けられていることを特徴とするセキュリティ監視システム。
【請求項４】
請求項１〜３のいずれか１項に記載のセキュリティ監視システムにおいて、
前記入力情報の分析結果と、分析過程で使用した分析ルール及び確認項目とを出力し、前記入力情報の精度と前記分析過程の判断ロジックの信頼性を前記オペレータに確認させることを特徴とするセキュリティ監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ監視システムに関し、特にセキュリティ監視におけるアラーム判定時の分析過程の提示により分析過程に対するオペレータの評価を支援するシステムに関する。
【背景技術】
【０００２】
監視対象におけるセキュリティを監視するシステムでアラームが発生しても、オペレータ、特に初心者のオペレータは、このアラームからシステムが監視対象をどのように判断したかがわからない。
【０００３】
このため、オペレータは、セキュリティ監視システムの判断を１００％信じるしか方法はない。監視対象に対する判断の際には誤判定が許されないため、利用可能なアラームとしては、機械的な判定が可能なもののみに限定される。特に、監視対象のセキュリティに関しては、悪意のある人間により監視対象のセキュリティが保持できないものもあり、障害分析に比べて機械的な判定を行うには限界がある。
【０００４】
分析システムの種類によっては、分析システムのコンピュータとオペレータとの対話的操作を通じて、コンピュータがオペレータ側の知識を援用するものも一般的にはある（例えば特許文献１を参照）。
【特許文献１】特開２００２−３０４３３２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、この種の分析システムの動作も一種のロジックにしたがって行われ、セキュリティの分析のように、高い経験や様々な手法に対する知識力や洞察力、あるいはリアルタイムに変化する状況に応じたひらめきを伴った総合的な判断を要する分析を行う際には、この種の従来の分析システムは不向きである。
【０００６】
そこで本発明は、システムでの分析とオペレータでの分析とを効果的に分担して、多数のアラームに対し、精度良く分析して対応することができるセキュリティ監視システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明は、監視対象機器のセキュリティを監視してアラームを行い、アラームの判定における分析過程の提示により分析過程に対するオペレータの評価を支援するセキュリティ監視システムであって、セキュリティを監視する際に発したアラームの判定に用いた入力情報の分析過程で使用する分析ルールを有する分析ルールテーブルと、前記分析ルールの内容を確認するための確認項目を有する確認項目テーブルと、前記分析ルールと前記確認項目の関連付けを行う関連付けテーブルとを備えるセキュリティ監視システムである。
【０００８】
また、本発明は、前記分析ルールテーブル及び前記確認項目テーブルが、それぞれ独立して設けられているセキュリティ監視システムである。
【０００９】
そして、本発明は、前記分析ルールテーブル、前記確認項目テーブル及び前記関連付けテーブルが、それぞれ独立して設けられているセキュリティ監視システムである。
【００１０】
更に、本発明は、前記入力情報の分析結果と、分析過程で使用した分析ルール及び確認項目とを出力し、前記入力情報の精度と前記分析過程の判断ロジックの信頼性を前記オペレータに確認させるセキュリティ監視システムである。
【発明の効果】
【００１１】
本発明によれば、ログの解析において、システムで判断できる部分と、オペレータでのみ判断できる部分を、最適化して分担できるため、オペレータの負荷を軽減でき、かつ誤検知を減らすことも可能となる。
【発明を実施するための最良の形態】
【００１２】
本発明を実施するための最良の形態を説明する。
本発明のセキュリティ監視システムの実施例について、図面を用いて説明する。
【００１３】
実施例を説明する。図１は、本実施例のセキュリティ監視システムを示している。セキュリティ監視システム１は、例えばサーバからなり、監視対象機器のセキュリティ監視をする際に、監視対象機器への入力情報１０を分析し、特に初心者のオペレータに対してその分析過程を提示する際に、入力情報１０や判断ロジックの信頼性を確認するための能動的手段を合わせて提示することで、分析過程に対するオペレータの評価を支援することができるシステムである。
【００１４】
入力情報１０は、監視対象機器をセキュリティ監視した際にアラームの判定に用いる情報であり、例えばワームを含む情報である。本実施例における入力情報１０の例を、以下に説明する。
（１）あるＩＰアドレスから、同じセグメントのそれぞれ異なるＩＰアドレスに対し通信が発生している。
（２）通信は、各アドレスに対し１回のみで、３分間に１００以上の通信が発生している。
（３）通信の内容は全て同じデータである。
【００１５】
セキュリティ監視システム１は、分析ルールテーブル２０と確認項目テーブル４０および確認のための関連付けテーブル５０を有する。
【００１６】
図２は、本実施例における関連付けデータベース（リレーショナルＤＢ）による実現例を示す。分析ルールテーブル２０では、ルールＩＤ（識別符号）１のルール名としては「ワームの発生」であり、ルールＩＤ２のルール名としては「ＤｏＳ攻撃」であり、ルールＩＤ３のルール名としては、「ファイル不正アクセス」である。
【００１７】
確認項目テーブル４０では、確認項目ＩＤ１としては「正規のスキャナ動作であるか」であり、確認項目ＩＤ２としては「アドレス詐称であるか」であり、確認項目ＩＤ３としては「未知のワームであるか」であり、確認項目ＩＤ４としては「アカウントの不正使用であるか」を含む。
【００１８】
確認項目テーブル４０の内容を、さらに詳しく以下に説明する。
（１）確認項目ＩＤ１：正規のスキャナ動作であるか、例えば発信元ＩＰアドレスにて、ネットワーク管理者などが、スキャナソフトを利用していないか（誤検知の疑い）。
（２）確認項目ＩＤ２：アドレス詐称であるか、例えば発信元ＩＰアドレスは、実在のマシンか（アドレスが詐称された攻撃の疑い）。
（３）確認項目ＩＤ３：未知のワームであるか、例えば最新のセキュリティ情報にて、新種ワーム（未知ワーム）がアナウンスされていないか（分析過程の裏づけ）。
（４）確認項目ＩＤ４：アカウントが不正使用されていないか。
【００１９】
確認のための関連付けテーブル５０では、分析ルールテーブル２０におけるルールＩＤ１〜ＩＤ３と、確認項目テーブル４０における確認項目ＩＤ１〜ＩＤ４とを関連付けている。図２において、関連付けテーブル５０では、ルールＩＤ１は確認項目ＩＤ１〜ＩＤ３と関連付けており、ルールＩＤ２は確認項目ＩＤ１〜ＩＤ３と関連付けており、そしてルールＩＤ３は確認項目ＩＤ２とＩＤ４に関連付けている。
【００２０】
次に、図３の監視・分析処理フローを参照しながら、本実施例のセキュリティ監視システムにおける監視・分析処理の一例を説明する。ステップＳ１０１では、入力イベント待ちをし、入力情報１０の発生を待つ。
【００２１】
ステップＳ１０２で、入力イベントが発生して入力情報１０が与えられ、ステップＳ１０３で、セキュリティ監視システム１は、この入力情報１０に対して各分析ルールを適用する。この分析ルールは、リレーショナルデータベースの分析ルールテーブル２０に含まれている。
【００２２】
ステップＳ１０４で、この分析ルールが入力情報１０に成立しない場合に、ステップＳ１０３に戻って、入力情報１０に対して各分析ルールを再度適用してみる。
【００２３】
ステップＳ１０４において分析ルールが入力情報１０に成立すると、セキュリティ監視システム１は、ステップＳ１０５では、分析ルールテーブル２０のルールＩＤにより、関連付けテーブル５０内を検索する。この関連付けテーブル５０は、信頼性を得るために、ベテランのオペレータから収集した情報に基づいて作成されている。
【００２４】
この検索の結果、ステップＳ１０６で、関連付けテーブル５０内において確認項目ＩＤがあると、ステップＳ１０７に移り、セキュリティ監視システム１は、確認事項テーブル４０を参照し、分析過程と関連付けテーブル５０の各確認項目をオペレータに提示する。その後、ステップＳ１０１に戻って、入力イベント待ちをして、入力情報１０の発生を待つ。
【００２５】
ステップＳ１０６で、関連付けテーブル５０内において確認事項が無い場合には、ステップＳ１０８において、分析過程のみをプリンタにより用紙に出力する、あるいは分析過程のみをディスプレイ上に表示する。そして、セキュリティ監視システム１は、分析過程のみを出力をした後に、ステップＳ１０１に戻って、入力イベント待ちをして、入力情報１０の発生を待つ。
【００２６】
以上のようにして、本実施例のセキュリティ監視システム１は、監視対象に対する監視・分析処理を行うことができる。
【００２７】
図４は、本実施例のセキュリティ監視システム１における登録・関連付け処理の一例を示しており、ルール登録８０と、確認項目登録９０は、関連付け１００により関連付けが行われる。ルール登録８０における分析ルールテーブル２０のルールＩＤと、確認項目登録９０における確認項目テーブル４０の確認項目ＩＤ１の関連付けは、例えば図２の関連付けテーブル５０で示すように、相互の間で自由に行える。
【００２８】
以上説明したように、本実施例のセキュリティ監視システム１では、セキュリティ監視を行う際に分析過程あるいは分析過程をオペレータへ提示する際に、入力情報１０や判断ロジックの信頼性を確認する能動的手段（例えば図２に示す関連付けテーブル５０）を合わせて提示することで、分析過程に対するオペレータの評価を支援することができる。
【００２９】
また、関連付けテーブル５０は、分析に用いる分析ルールテーブル２０とは独立に設けることで、本実施例のセキュリティ監視システム１は、分析過程をオペレータへ提示する際に柔軟性と拡張性を備える。
【００３０】
なお、本発明の実施例では、セキュリティ監視システムにおいて発したアラームを判定するのに用いた入力情報を分析するためのルールＩＤを有する分析ルールテーブルと、分析ルールの内容を確認するための確認項目ＩＤを有する確認項目テーブルと、入力情報の精度と分析過程の判断ロジックの信頼性をオペレータに確認させるために、ルールＩＤと確認項目ＩＤの関連付けを行うための関連付けテーブルと、を備える。これにより、オペレータに対しては、アラームの判定に用いた入力情報とその確認項目テーブルを提示することができ、オペレータが入力情報の精度と判断ロジックの信頼性を確認することをオペレータに対して促すことができ、オペレータの負荷を軽減でき、かつ誤検知を減らすことが可能である。
【００３１】
また、本発明の実施例では、分析ルールテーブルと確認項目テーブルとが独立して設けられている。これにより、分析ルールテーブルにおけるルールＩＤの追加とカスタマイズが可能であり、そして、確認項目テーブルの確認項目ＩＤの追加とカスタマイズが可能であり、分析ルールテーブルのルールＩＤと確認項目テーブルの確認項目ＩＤの関連付け項目の追加とカスタマイズが可能になる。
【００３２】
本実施例のセキュリティ監視システム１は、システム分析過程としては、セキュリティシステムからのアラームに対して、オペレータの対応は「定型的な対応で良し」とするか、「さらに詳細な調査が行う必要がある」か、を判定する。また、応用例として、自分でカスタマイズした分析ルールが、正しく動いているかを確認する。また、システム分析過程は、セキュリティ監視のチューニング方法にフィードバックすることで、セキュリティ監視の精度を上げることができる。
【図面の簡単な説明】
【００３３】
【図１】実施例のセキュリティ監視システムの説明図。
【図２】実施例における分析ルールテーブル、確認項目テーブル及び関連付けテーブルの一例の説明図。
【図３】実施例における監視・分析処理の一例を示すフロー図。
【図４】実施例における登録・関連付け処理の一例を示すフロー図。
【符号の説明】
【００３４】
１  セキュリティ監視システム
１０  入力情報
２０  分析ルールテーブル
４０  確認項目テーブル
５０  関連付けテーブル
【図１】
2008003873.tif 000003
【図２】
2008003873.tif 000004
【図３】
2008003873.tif 000005
【図４】
2008003873.tif 000006