(57)【要約】 【課題】  未来のイベント数の推移を客観的に予測することができるログ分析システム、ログ分析方法およびログ分析プログラムを提供する。【解決手段】  ログ収集部１０１はネットワーク２０〜２２の各機器から出力されるログを収集し、ログ保存部１０２へ出力する。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する。ログ分析部１０４は記憶部１０３から分析対象のパラメータを読み出し、比率分析により比率Ｄを算出する。続いて、ログ分析部１０４は、比率Ｄに関する所定の条件が満たされた場合に所定の事象が発生する条件付確率を算出し、算出結果を記憶部１０３に保存すると共に、インタフェース部１０５を介して、Ｗｅｂブラウザ３０１へ出力する。【選択図】    図１
2005196675.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク機器から収集したログに基づいて分析処理を行うログ分析装置において、
前記ネットワーク機器から出力されるログを収集する収集手段と、
前記収集手段によって収集された前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出する異常値算出手段と、
該異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出する確率算出手段と、
を具備することを特徴とするログ分析装置。
【請求項２】
前記異常値算出手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする請求項１に記載のログ分析装置。
【請求項３】
前記異常値算出手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする請求項１または請求項２に記載のログ分析装置。
【請求項４】
ネットワーク機器から収集したログに基づいて分析処理を行うログ分析装置において、
前記ネットワーク機器から出力されるログを収集する収集手段と、
前記収集手段によって収集された前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うグループ化手段と、
前記グループ化手段によってグループ化された前記イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出する異常値算出手段と、
該異常値に関して所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出する確率算出手段と、
を具備することを特徴とするログ分析装置。
【請求項５】
前記グループ化手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする請求項４に記載のログ分析装置。
【請求項６】
前記グループ化手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする請求項４または請求項５に記載のログ分析装置。
【請求項７】
前記所定の事象は、前記ログ中のパラメータに属するイベントの記録数が増加する事象または前記ログ中のパラメータに属するイベントの記録数が減少する事象であることを特徴とする請求項１〜請求項６のいずれかの項に記載のログ分析装置。
【請求項８】
ネットワーク機器から収集したログに基づいて分析処理を行うログ分析方法において、
前記ネットワーク機器から出力されるログを収集するステップと、
収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、
該異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップと、
を具備することを特徴とするログ分析方法。
【請求項９】
前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする請求項８に記載のログ分析方法。
【請求項１０】
前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする請求項８または請求項９に記載のログ分析方法。
【請求項１１】
ネットワーク機器から収集したログに基づいて分析処理を行うログ分析方法において、
前記ネットワーク機器から出力されるログを収集するステップと、
収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、
グループ化した前記イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、
該異常値に関して所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップと、
を具備することを特徴とするログ分析方法。
【請求項１２】
前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする請求項１１に記載のログ分析方法。
【請求項１３】
前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする請求項１１または請求項１２に記載のログ分析方法。
【請求項１４】
前記所定の事象は、前記ログ中のパラメータに属するイベントの記録数が増加する事象または前記ログ中のパラメータに属するイベントの記録数が減少する事象であることを特徴とする請求項８〜請求項１３のいずれかの項に記載のログ分析方法。
【請求項１５】
ネットワーク機器から収集したログに基づいた分析処理をコンピュータに実行させるためのログ分析プログラムにおいて、
前記ネットワーク機器から出力されるログを収集するステップと、
収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、
該異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップと、
をコンピュータに実行させるためのログ分析プログラム。
【請求項１６】
前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする請求項１５に記載のログ分析プログラム。
【請求項１７】
前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする請求項１５または請求項１６に記載のログ分析プログラム。
【請求項１８】
ネットワーク機器から収集したログに基づいた分析処理をコンピュータに実行させるためのログ分析プログラムにおいて、
前記ネットワーク機器から出力されるログを収集するステップと、
収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、
グループ化した前記イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、
該異常値に関して所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップと、
をコンピュータに実行させるためのログ分析プログラム。
【請求項１９】
前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする請求項１８に記載のログ分析プログラム。
【請求項２０】
前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする請求項１８または請求項１９に記載のログ分析プログラム。
【請求項２１】
前記所定の事象は、前記ログ中のパラメータに属するイベントの記録数が増加する事象または前記ログ中のパラメータに属するイベントの記録数が減少する事象であることを特徴とする請求項１５〜請求項２０のいずれかの項に記載のログ分析プログラム。
【請求項２２】
請求項１５〜請求項２１のいずれかの項に記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ：侵入検知システム）、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌなどのネットワーク機器から出力されるログの分析を行うログ分析装置、ログ分析方法およびログ分析プログラムに関する。。
【背景技術】
【０００２】
近年、ネットワークシステムに対する攻撃監視のためにＩＤＳを導入するサイトが増えている。一般に、ＩＤＳは、ネットワーク上を流れるパケットとＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅと呼ばれる攻撃パターンファイルとを単純に比較して、マッチングするものがあればログを出力する。
【０００３】
ＩＤＳから出力される冗長なログを効率的に分析するために、ログを視覚化して異常を知らせるシステムがある（非特許文献１参照）。しかし、非特許文献１に記載されているシステムにおいては、異常の判断に関しては運用者の主観に委ねられており、結果に対する信頼性が一様でない。
【０００４】
一方、非特許文献２においては、比率分析および稀率分析により、客観的な数値を用いて異常を評価する手法が提案されている。比率分析においては、ログに記録されている、過去の長期間に検知されたイベント数の単位時間当たりの平均値に対する、注目する単位時間のイベント数の比率を求める。また、稀率分析においては、ログに記録されている、過去の長期間に検知されたイベント数の平均と標準偏差とを用いて、出力数が様々に変動するイベントの異常性を評価する。統計分析において、９５％信頼区間という指標がよく利用されているが、ここでの稀率分析とは、この信頼区間の補集合を算出するものである。
【０００５】
従来より、インターネットには、日々新たなセキュリティホールが発見され、ウィルスやワームが生まれている。図１５は、世界の各地に仕掛けられたＩＤＳによって検知された、Ｐｏｒｔ１４３４に対する攻撃頻度の推移を示す参考図である。図１５より、２００３年１月２４日頃、Ｐｏｒｔ１４３４に対する攻撃が急に盛んになっている様子がわかる。これはＳｌａｍｍｅｒワームによる攻撃で、世界的な問題を引き起こしたサイバーテロである。図１５において、２００３年１月２４日以前に注目すると、実際にはＩＤＳにより、予兆らしき事象が検知されていたことがわかる。この予兆の時点において、警戒態勢を整えておくことができたとしたら、その後の被害の広がりを抑えることができたものと予想される。また、３月７日以降の推移についても、３月７日の時点で推定を行うことが望ましい。
【非特許文献１】高田哲司、外１名，「見えログ：情報視覚化とテキストマイニングを用いたログ情報ブラウザ」，（社）情報処理学会論文誌，２０００年１２月，Ｖｏｌ４１，Ｎｏ．１２，ｐ．３２６５−３２７５
【非特許文献２】竹森敬祐、外４名，「セキュリティデバイスログ分析支援システムの広域監視への適用」，Ｃｏｍｐｕｔｅｒ  Ｓｅｃｕｒｉｔｙ  Ｓｙｍｐｏｓｉｕｍ（ＣＳＳ２００３），２００３年１０月，ｐ．３９７−４０２
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、従来のログ分析の手法においては、現在の異常なログを分析することはできるものの、今後の推移を予測することができなかった。近年のＳｌａｍｍｅｒワームやＢｌａｓｔｅｒワームによる攻撃においては、攻撃が盛んになり始めて（攻撃が臨界に達し、急激に広がり始めて）から１０分後にはインターネットが不能に陥っており、サイバーテロの脅威が浮き彫りになった。したがって、ログに記録される、過去および現在の長期間のイベント数の推移を統計的に学習して、未来のイベント数の推移を予測することが緊急の課題である。
【０００７】
本発明は、上述した問題点に鑑みてなされたものであって、未来のイベント数の推移を客観的に予測することができるログ分析システム、ログ分析方法およびログ分析プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は上記の課題を解決するためになされたもので、請求項１に記載の発明は、ネットワーク機器から収集したログに基づいて分析処理を行うログ分析装置において、前記ネットワーク機器から出力されるログを収集する収集手段と、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出する異常値算出手段と、該異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出する確率算出手段とを具備することを特徴とするログ分析装置である。
前期パラメータとしては、ＩＤＳ、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌなどのネットワーク機器から出力されるログに記録されているＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔ、およびＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰなどが挙げられる。前記異常値算出手段は、前記イベントの記録数に基づいて、比率分析や稀率分析などを行い、分析対象のネットワークの異常度に関する異常値を算出する。前記異常値としては、比率分析における比率や、稀率分析における上側稀率、下側稀率などが挙げられる。
【０００９】
請求項２に記載の発明は、請求項１に記載のログ分析装置において、前記異常値算出手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。
【００１０】
請求項３に記載の発明は、請求項１または請求項２に記載のログ分析装置において、前記異常値算出手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。
【００１１】
請求項４に記載の発明は、ネットワーク機器から収集したログに基づいて分析処理を行うログ分析装置において、前記ネットワーク機器から出力されるログを収集する収集手段と、前記収集手段によって収集された前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うグループ化手段と、前記グループ化手段によってグループ化された前記イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出する異常値算出手段と、該異常値に関して所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出する確率算出手段とを具備することを特徴とするログ分析装置である。
【００１２】
請求項５に記載の発明は、請求項４に記載のログ分析装置において、前記グループ化手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。
【００１３】
請求項６に記載の発明は、請求項４または請求項５に記載のログ分析装置において、前記グループ化手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。
【００１４】
請求項７に記載の発明は、請求項１〜請求項６のいずれかの項に記載のログ分析装置において、前記所定の事象は、前記ログ中のパラメータに属するイベントの記録数が増加する事象または前記ログ中のパラメータに属するイベントの記録数が減少する事象であることを特徴とする。
【００１５】
請求項８に記載の発明は、ネットワーク機器から収集したログに基づいて分析処理を行うログ分析方法において、前記ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、該異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップとを具備することを特徴とするログ分析方法である。
【００１６】
請求項９に記載の発明は、請求項８に記載のログ分析方法において、前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。
【００１７】
請求項１０に記載の発明は、請求項８または請求項９に記載のログ分析方法において、前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。
【００１８】
請求項１１に記載の発明は、ネットワーク機器から収集したログに基づいて分析処理を行うログ分析方法において、前記ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、グループ化した前記イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、該異常値に関して所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップとを具備することを特徴とするログ分析方法である。
【００１９】
請求項１２に記載の発明は、請求項１１に記載のログ分析方法において、前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。
【００２０】
請求項１３に記載の発明は、請求項１１または請求項１２に記載のログ分析方法において、前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。
【００２１】
請求項１４に記載の発明は、請求項８〜請求項１３のいずれかの項に記載のログ分析方法において、前記所定の事象は、前記ログ中のパラメータに属するイベントの記録数が増加する事象または前記ログ中のパラメータに属するイベントの記録数が減少する事象であることを特徴とする。
【００２２】
請求項１５に記載の発明は、ネットワーク機器から収集したログに基づいた分析処理をコンピュータに実行させるためのログ分析プログラムにおいて、前記ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、該異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップとをコンピュータに実行させるためのログ分析プログラムである。
【００２３】
請求項１６に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。
【００２４】
請求項１７に記載の発明は、請求項１５または請求項１６に記載のログ分析プログラムにおいて、前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。
【００２５】
請求項１８に記載の発明は、ネットワーク機器から収集したログに基づいた分析処理をコンピュータに実行させるためのログ分析プログラムにおいて、前記ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、グループ化した前記イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、該異常値に関して所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップとをコンピュータに実行させるためのログ分析プログラムである。
【００２６】
請求項１９に記載の発明は、請求項１８に記載のログ分析プログラムにおいて、前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。
【００２７】
請求項２０に記載の発明は、請求項１８または請求項１９に記載のログ分析プログラムにおいて、前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。
【００２８】
請求項２１に記載の発明は、請求項１５〜請求項２０のいずれかの項に記載のログ分析プログラムにおいて、前記所定の事象は、前記ログ中のパラメータに属するイベントの記録数が増加する事象または前記ログ中のパラメータに属するイベントの記録数が減少する事象であることを特徴とする。
【００２９】
請求項２２に記載の発明は、請求項１５〜請求項２１のいずれかの項に記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体である。
【発明の効果】
【００３０】
本発明によれば、様々なネットワーク機器から出力されるログ中のパラメータに属するイベントのイベント数に基づいて、ネットワークの異常度に関する異常値を算出し、その異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するようにしたので、未来のイベント数の推移を客観的に予測することができるという効果が得られる。
【発明を実施するための最良の形態】
【００３１】
以下、図面を参照し、この発明を実施するための最良の形態について説明する。図１は、この発明の一実施形態によるログ分析装置を備えたネットワークの構成を示す構成図である。図において、１０はログ分析装置である。ログ分析装置１０は分析対象のネットワーク２０〜２２から出力されるログを収集・分析し、分析結果をＷｅｂブラウザ３０１へ出力する。ログ分析装置１０は、表示部を有する他の機器へ分析結果を出力してもよいし、ログ分析装置１０に表示部が備えられている場合には、ログ分析装置１０が分析結果を表示してもよい。
【００３２】
また、ログ分析装置１０はＷｅｂブラウザ３０１を備えるセキュリティオペレーションセンター３０からは独立した装置であってもよいし、セキュリティオペレーションセンター３０内のＷｅｂブラウザ３０１を具備する機器がログ分析装置１０の機能を有していてもよい。ネットワーク２０〜２２のＲｏｕｔｅｒ、Ｆｉｒｅｗａｌｌ、およびＩＤＳはログを生成し、ｓｙｓｌｏｇｄ等の通信方式により、ログ分析装置１０にログを出力する。セキュリティオペレーションセンター３０はＷｅｂブラウザ３０１を有しており、運用者はＷｅｂブラウザ３０１に表示される分析結果に基づいて、ネットワーク２０〜２２の異常度を判断することができる。
【００３３】
ログ分析装置１０において、１０１はログ収集部であり、ネットワーク２０〜２２の機器から出力されたログを定期的に収集し、ログ保存部１０２へログを出力する。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する。運用者がＷｅｂブラウザ３０１を介して、分析を希望するパラメータを要求すると、分析を指示する指示情報がインタフェース部１０５を介してログ分析部１０４へ入力される。
【００３４】
ログ分析部１０４はこの指示情報に従って、記憶部１０３から分析用のパラメータを読み出し、このパラメータに関して分析を行い（詳細は後述する）、分析結果を記憶部１０３に保存すると共に、インタフェース部１０５へ出力する。インタフェース部１０５は、ログ分析部１０４から出力された分析結果を、通信回線を介してＷｅｂブラウザ３０１へ出力する。運用者はＷｅｂブラウザ３０１に表示される分析結果に基づいて、ネットワーク２０〜２２に対する攻撃の状況を判断する。
【００３５】
次に、本実施形態において分析対象となるパラメータについて説明する。図２は本実施形態において、ログ中の分析対象となるパラメータを示している。本実施形態においては、Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔ、およびＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰの各パラメータに属するイベントをグループ化し、各パラメータグループの統計的異常値を算出する。Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔは送信元／送信先の機器のポート番号を示す。Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰは送信元／送信先の機器のＩＰアドレスを示す。なおＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＰｏｒｔはＳｏｕｒｃｅ  ＰｏｒｔおよびＤｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔの２つのパラメータのうちのいずれか１つを示しており、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰに関しても同様である。
【００３６】
Ａｔｔａｃｋ  ＳｉｇｎａｔｕｒｅはＩＤＳから出力されるログに含まれるパラメータである。Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅを分析することにより、分析対象のネットワークに対して行われている攻撃の種類を特定することができる。なお、全てのネットワーク型ＩＤＳおよび一部のホスト型ＩＤＳがＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅを出力可能である。また、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＰｏｒｔおよびＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰはＩＤＳ、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌから出力されるログに含まれるパラメータである。Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔを分析することにより、攻撃元／攻撃対象のポート番号を特定することができる。また、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰを分析することにより、攻撃元／攻撃対象のＩＰアドレスを特定することができる。上記のパラメータは図２に示されるような複数のイベントからなる。例えば、Ａｔｔａｃｋ  ＳｉｇｎａｔｕｒｅにはＰｉｎｇ  ｓｗｅｅｐ、ＨＴＴＰ  Ｐｏｒｔ  Ｐｒｏｂｅ等のイベントがある。ログ中に同じイベントが複数記録されている場合に、その総数をそのイベントのイベント数と定義する。
【００３７】
次に、本実施形態によるログ分析装置１０の動作を説明する。本実施形態においては、一例として、比率分析による比率Ｄを用いてイベント数の推移を予測する場合の動作を説明する。図３は本実施形態によるログ分析装置１０の動作を示すフローチャートである。ログ収集部１０１はネットワーク２０〜２２の各機器から出力されるログを収集し、ログ保存部１０２へ出力する（ステップＳ３００）。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する（ステップＳ３１０）。運用者から特定のパラメータに関する分析の要求がＷｅｂブラウザ３０１を介してなされると、Ｗｅｂブラウザ３０１から出力された指示情報がインタフェース部１０５を介してログ分析部１０４へ入力される。すると、ログ分析部１０４は指示情報に基づいて記憶部１０３から分析対象のパラメータを読み出す（ステップＳ３２０）。
【００３８】
ログ分析部１０４は分析対象のパラメータに関して、後述する分析処理を行い、分析結果を記憶部１０３に保存する（ステップＳ３３０）。続いて、ログ分析部１０４はインタフェース部１０５を介して、分析結果をＷｅｂブラウザ３０１へ出力する（ステップＳ３４０）。Ｗｅｂブラウザ３０１上には、例えば「今後の○○イベント数は、増加する確率  ３０％  減少する確率  ７０％  です。」のように分析結果が表示され、運用者はこの分析結果に基づいて、ネットワーク２０〜２２に対しての今後の攻撃の推移を判断する。
【００３９】
次に、図３のステップＳ３３０における分析処理の詳細について説明する。図４は、ログ分析部１０４による分析処理を示すフローチャートである。ログ分析部１０４は図３のステップＳ３２０において記憶部１０３から読み出したパラメータ中のイベントのイベント数に基づいて、比率分析または稀率分析を行う（ステップＳ３３０１）。続いて、ログ分析部１０４は比率分析または稀率分析の結果に基づいて、予測値を算出し、その予測値を記憶部１０３に格納する（ステップＳ３３０２）。
【００４０】
次に、比率分析および稀率分析の詳細について説明する。図５は比率分析モデルの一例を示している。図において、Ｅ１〜Ｅｌ１は、ログに記録されているある特定のイベントの単位時間当たりのイベント数を棒グラフで示したものである。この例では、単位時間を一日としている。Ｅｌは過去の複数の単位時間（Ｅ１〜Ｅｌ０）における各イベント数の平均を示す。また、Ｅｓは注目する単位時間Ｅ１１のイベント数を示す。比率分析における指標となる比率Ｄは以下の式で表される。
【００４１】
【数１】
2005196675.tif 000003
【００４２】
また、図６は稀率分析モデルの一例を示している。Ｅｌは過去の複数の単位時間（Ｅ１、Ｅ２、・・・Ｅｋ）におけるイベント数の平均であり、ＳＤは標準偏差である。横軸は平均値Ｅｌからの距離を、標準偏差ＳＤを単位として表している。縦軸は、過去の複数の単位時間において、注目するイベントのイベント数が横軸で示される値となった単位時間の数（例えば日数）を表している。標準偏差ＳＤは［数２］より求められる。注目する単位時間当たりのイベント数が長期プロファイルＥｌよりも大きな場合の上側稀率Ｒｕを［数３］、小さな場合の下側稀率Ｒｌを［数４］のように定義する。［数３］および［数４］において、ｆ（Ｅ）は正規分布の密度関数であり、以下の［数５］で表される。なお、ｆ（Ｅ）として指数分布やガンマ分布などの密度関数を適宜選択して使用してもよい。
【００４３】
【数２】
2005196675.tif 000004
【００４４】
【数３】
2005196675.tif 000005
【００４５】
【数４】
2005196675.tif 000006
【００４６】
【数５】
2005196675.tif 000007
【００４７】
比率分析および稀率分析によって算出される比率D、上側稀率Ｒｕ、および下側稀率Ｒｌに関しての判断は以下のようになる。まず、Ｄ＞１．０もしくはＲｕ≒０．０％の場合は、新たな攻撃がインターネット上に出回っていること、内部ホストがワームに感染していること、ＤＤｏＳ（Ｄｅｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃（攻撃者がインターネット上のセキュリティに弱い複数のＷｅｂサイトに侵入して攻撃拠点とし、複数の攻撃拠点に仕込んだプログラムを同時に動作させて、攻撃ターゲットのサーバに大量のパケットを送りつけ、サーバの機能を停止させてしまう攻撃）などによる短期のイベント数が急増したことなどを示している。
【００４８】
また、Ｄ≒０．０もしくはＲｌ≒０．０％の場合は、普段から出力され続けていたアラームが急に減少もしくは無くなるか、攻撃により機器が停止した状態である。これは、攻撃が収束に向かっている段階、もしくはシステムが停止した状態である。また、Ｄ≒１．０もしくはＲｕ、Ｒｌ≒５０．０％の場合は、普段から検知され続けているログを見分けることができる。これは、既に対策が施されている攻撃、もしくは誤検知されやすいイベントであり、特に注意する必要はない状態である。
【００４９】
次に、本実施形態における予測値の算出手法について説明する。本実施形態においてはベイズ推論により予測値を算出する。以下では、一例として比率分析による比率Ｄを用いて説明を行うが、稀率分析による上側稀率Ｒｕや下側稀率Ｒｌを用いた場合も同様である。以下の［数６］はベイズ推論の一般式である。
【００５０】
【数６】
2005196675.tif 000008
【００５１】
［数６］において、Ｘは状態を表し、Ｐ（Ｘ）はその出現確率である。ａは観測結果を表し、Ｐ（ａ）はその出現確率である。また、Ｐ（ａ｜Ｘ）は、Ｘを条件としたときにａが発生する条件付確率を表す。ベイズ推論を用いて予測値を求めるために、例えば図７に示すようなパラメータを適用する。図７には、Ｘ（増加）またはＹ（減少）を条件としたときにａ（Ｄ＞１．０）またはｂ（Ｄ≦１．０）が発生する条件付確率がそれぞれ示されている。
【００５２】
以下、Ｘ，Ｙ，ａ，ｂの具体例を示す。
（事象例１）
Ｘ：次の日のイベント数（検出数）が当日よりも増加したという事象
Ｙ：次の日のイベント数（検出数）が当日よりも減少したという事象
ａ：当日のイベント数に係る比率Ｄに関してＤ＞１．０であるという事象
ｂ：当日のイベント数に係る比率Ｄに関してＤ≦１．０であるという事象
また、次の日の検出数が増加したという前提でＤ＞１．０であるという条件付確率Ｐ（ａ｜Ｘ）を［数７］により求める。Ｐ（ｂ｜Ｘ）、Ｐ（ａ｜Ｙ）、Ｐ（ｂ｜Ｙ）も同様にして求めることができる。
【００５３】
【数７】
2005196675.tif 000009
【００５４】
また、Ｐ（Ｘ）およびＰ（Ｙ）はそれぞれ［数８］および［数９］により求める。
【００５５】
【数８】
2005196675.tif 000010
【００５６】
【数９】
2005196675.tif 000011
【００５７】
比率Ｄに関して、Ｄ＞１．０である（事象ａ）場合に、今後検出数が増加する（事象Ｘが起こる）確率は［数６］によって求められる。ここで、［数６］における右辺の分母は以下の式で表される。
Ｐ（ａ）＝Ｐ（ａ｜Ｘ）Ｐ（Ｘ）＋Ｐ（ａ｜Ｙ）Ｐ（Ｙ）  ・・・（１）
［数７］〜［数９］および（１）式により求められた値を［数６］に代入することにより、次の日の検出数が増加する確率を算出することができる。また、Ｐ（Ｘ｜ｂ）も以下の（２）式または［数１０］により求めることができる。ログ分析部１０４はログ保存部１０３から読み出したパラメータに属するイベントのイベント数に基づいて、上述した確率の算出を行う。
Ｐ（Ｙ｜ａ）＝１−Ｐ（Ｘ｜ａ）  ・・・（２）
【００５８】
【数１０】
2005196675.tif 000012
【００５９】
また、Ｘ，Ｙ，ａ，ｂ等の他の具体例として以下のものを挙げる。
（事象例２）
Ｘ：次の日のイベント数に係る比率Ｄに関してＤ＞１．０であるという事象
Ｙ：次の日のイベント数に係る比率Ｄに関してＤ≦１．０であるという事象
ａ：当日のイベント数が前日のイベント数よりも増加したという事象
ｂ：当日のイベント数が前日のイベント数よりも減少したという事象
（事象例３）
Ｘ：次の日のイベント数が当日よりも増加したという事象
Ｙ：次の日のイベント数が当日よりも減少したという事象
ａ：当日のイベント数が前日のイベント数よりも増加したという事象
ｂ：当日のイベント数が前日のイベント数よりも減少したという事象
【００６０】
（事象例４）
Ｘ：次の日のイベント数に係る比率Ｄに関してＤ＞１．０であるという事象
Ｙ：次の日のイベント数に係る比率Ｄに関してＤ≦１．０であるという事象
ａ：当日のイベント数に係る比率Ｄに関してＤ＞１．０であるという事象
ｂ：当日のイベント数に係る比率Ｄに関してＤ≦１．０であるという事象
（事象例５）
Ｘ：次の日のイベント数が当日よりも増加したという事象
Ｙ：次の日のイベント数が当日よりも減少したという事象
ａ：当日のイベント数に係る比率Ｄに関してＤ＞１０．０であるという事象
ｂ：当日のイベント数に係る比率Ｄに関してＤ＞１．０かつＤ≦１０．０であるという事象
ｃ：当日のイベント数に係る比率Ｄに関してＤ≦１．０かつＤ＞０．１であるという事象
ｄ：当日のイベント数に係る比率Ｄに関してＤ≦０．１であるという事象
なお、上記Ｄの値（例：１０．０）を変数として、最適値を常に確認しながら実施するようにしてもよい。すなわち、予測値に関する検証を常日頃から行い、最も予想が的中するＤを求めておき、その値を用いて予測を行ってもよい。
【００６１】
（事象例６）
Ｘ：次の日のイベント数が当日よりも増加したという事象
Ｙ：次の日のイベント数が当日よりも減少したという事象
ａ：当日のイベント数に係る比率Ｄに関してＤ＞１．０であり、かつ、当日のイベント数が前日よりも増加したという事象
ｂ：当日のイベント数に係る比率Ｄに関してＤ＞１．０であり、かつ、当日のイベント数が前日よりも減少したという事象
ｃ：当日のイベント数に係る比率Ｄに関してＤ≦１．０であり、かつ、当日のイベント数が前日よりも増加したという事象
ｄ：当日のイベント数に係る比率Ｄに関してＤ≦１．０であり、かつ、当日のイベント数が前日よりも減少したという事象
（事象例７）
Ｘ：次の時間区間（単位時間）のイベント数が現在の時間区間よりも増加したという事象
Ｙ：次の時間区間のイベント数が現在の時間区間よりも減少したという事象
ａ：前時間区間のイベント数に係る比率Ｄ１および現時間区間のイベント数に係る比率Ｄ２に関してＤ１＜Ｄ２であるという事象
ｂ：前時間区間のイベント数に係る比率Ｄ１および現時間区間のイベント数に係る比率Ｄ２に関してＤ１≧Ｄ２であるという事象
【００６２】
（事象例８）
Ｘ：次の日のイベント数が当日よりも増加したという事象
Ｙ：次の日のイベント数が当日よりも減少したという事象
ａ：当日のイベント数が前日のイベント数に対して２倍以上に増加したという事象
ｂ：当日のイベント数が前日のイベント数に対して１倍以上２倍未満に増加したという事象
ｃ：当日のイベント数が前日のイベント数に対して２分の１倍以上１倍未満に減少したという事象
ｄ：当日のイベント数が前日のイベント数に対して２分の１倍未満に減少したという事象
なお、上記の２倍および２分の１倍は、それぞれより一般的に、ｍ倍（１＜ｍ）およびｎ倍（０≦ｎ＜１）としてもよい。
【００６３】
次に、上述した予想値の算出方法の適用について、図８を参照しながら説明する。図８は、Ｉｎｔｅｒｎｅｔ  Ｓｔｏｒｍ  ＣｅｎｔｅｒのＰｏｒｔ２７３７４において日単位で検出されたパケットの検出数の変化を示すグラフである。Ｉｎｔｅｒｎｅｔ  Ｓｔｏｒｍ  ＣｅｎｔｅｒはＷｅｂ上のトラヒックを監視する世界最大規模のＩＤＳであり、攻撃の多いＰｏｒｔの攻撃検知数の推移や攻撃の傾向などの情報がＷｅｂ上で公開されている。
【００６４】
図８のグラフにおいて、１０月１３日から１０月１４日にかけて検出数が急激に増加している。普段から日単位ではなく、時間単位で検出数を記録しておけば、検出数が急増したときに、その後も引き続いて検出数が急激に増加することを予測することができる。急激的な増加が起こることを予測した場合には、分単位などのさらに細かい単位で検出数を記録していく。
【００６５】
さらに、攻撃の減少を予測する必要性がある。図８のグラフにおいて、１０月１４日から１０月１５日にかけて検出数が急激に減少していることがわかる。検出数の増加率が徐々に小さくなっていく傾向を検知した場合には、検出数の減少の開始を予測することができる。
【００６６】
より具体的には、上述した事象例７におけるパラメータの組み合わせにより、以上の現象の予測を行うことができる。例えば、１０月１３日から１０月１４日にかけて検出数が急激に増加し始めた時点において、Ｐ（Ｘ｜ａ）を算出することにより、今後も引き続いて検出数が増加するのかどうか予測することができる。続いて、検出数が急激に増加し始めた時点以降において、Ｐ（Ｘ｜ｂ）を算出することにより、検出数の増加が緩やかになるのかどうか（検出数がピークに近づいたのかどうか）を予測することができる。
【００６７】
また、検出数のピークが記録された時点において、Ｐ（Ｙ｜ｂ）を算出することにより、検出数が今後減少するのかどうか予測することができる。続いて、検出数が急激に減少し始めた時点以降において、Ｐ（Ｙ｜ａ）を算出することにより、攻撃の終了が近いのかどうか予測することができる。
【００６８】
次に、過去にほとんど検知されていないイベントに対する予測手法について説明する。例えば、Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅの中には、１ヶ月に数個程度しか検知されないようなイベントもあり、そのような出現頻度の低いイベントに対しては、そのイベント単体では統計的推測が困難である。そこで、類似した推移をたどっている他のイベントの状況も考慮に入れ、予測を行う。例えば、長期間中のイベント検知数が、予測対象イベントの長期間中の検知数に近いもの（より具体的には、長期間中のイベント検知数が、予測対象イベントの長期間中の検知数の±５％以内のものなど）であるイベントを抽出し、それらのイベントの総数に対して、予測を行う。これにより、頻度の低いイベントであっても、類似のイベントを集めたイベントグループに対する予測を行うことができる。
【００６９】
次に、イベントのグループ化について説明する。上述した予測値の算出手法においては、分析対象のパラメータに属する１つ１つのイベントに対して個別に予測値を算出しているが、イベント単体では検知頻度が小さく、上述したように予測が難しい場合がある。また、例えばＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅには約２０００種類のイベントがあり、それらのイベントの個々に対して予測値を算出していたのでは、作業工数および時間が掛かり、予測をリアルタイムに行うことが困難である。
【００７０】
そこで、複数のイベントをグループ化することにより、検知頻度を高め、推定精度を向上させると共に、作業工数および算出時間の低減を図ることができる。以下、グループ化の具体的手法について説明する。
【００７１】
（静的グループ化１）
Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅを、通信レイヤ、攻撃目的、サービスを考慮して意味内容ごとにグループ化する。図９および図１０はＳｎｏｒｔ  ＩＤＳから出力されたログ中のＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅを１０個の意味単位（クラス）にグループ化した例である。個数は各グループに含まれるＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅの数である。Ｓｎｏｒｔルールファイルは、Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅをある程度の意味単位に集めたファイルである。各Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅには脆弱性に関するキーが元々割り当てられており、このキーに基づいて意味内容ごとのグループ化を行う。記憶部１０３には、そのキーとグループとが対応付けられたテーブルが予め格納されており、ログ分析部１０４は、そのテーブルを参照してイベントのグループ化を行う。
【００７２】
（静的グループ化２）
Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰを国単位、もしくはドメイン単位でグループ化する。図１１は、ＩＰアドレスをそのＩＰアドレスが所属する国名へ変換するための変換テーブルを示している。図において、例えばＩＰアドレスが０．０．０．０〜０．２５５．２５５．２５５はＵＳ（アメリカ合衆国）、２４．４２．０．０〜２４．４３．２５５．２５５はＣＡ（カナダ）に所属することがわかる。
【００７３】
この変換テーブルは、ＩＡＮＡ（Ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ａｓｓｉｇｎｅｄ  Ｎｕｍｂｅｒｓ  Ａｕｔｈｏｒｉｔｙ）等で管理されているＩＰアドレスとドメイン表から作成することができる。ＩＰアドレスからドメインへの変換を示す変換テーブルも同様に作成することができる。この場合も、ログ分析部１０４は、記憶部１０３中の変換テーブルに基づいて各イベントをグループ化する。
【００７４】
以上のような静的グループ化を行う場合、ログ分析部１０４は所定の単位ごとにイベントをグループ化し、各グループを識別する情報と、そのグループ内の総イベント数を示す情報とを記憶部１０３に格納する。ログ分析部１０４は、過去の単位時間におけるイベントおよび注目する単位時間におけるイベントを上記の所定の単位ごとにグループ化する。続いて、ログ分析部１０４は、グループ化後の各グループを１つのイベントとみなし、前述した比率分析を行い、それらの結果に基づいて、予測値の算出を行う。
【００７５】
（動的グループ化１）
分析対象のパラメータに関して、各イベントをイベント数順に並べ替え、イベントの総数に基づいて、各グループ内の総イベント数がほぼ均等になるようにグループ化を行う。図１２は、この場合のグループ化の様子を示している。図において、棒グラフの１つ１つがイベント（ＨＴＴＰ  Ｐｏｒｔ  Ｐｒｏｂｅ、Ｓｍｕｒｆ  Ａｔｔａｃｋ・・・）を表しており、縦軸方向の棒の長さがイベント数を表している。図においては、一例として各イベントをイベント数の多い順に左から並べ、各グループ内の総イベント数がほぼ均等になるように左からＧ１、Ｇ２・・・とグループ名を付けた様子が示されている。
【００７６】
この場合、ログ分析部１０４はイベントをグループ化し、各グループを識別する情報と、そのグループ内のイベント総量を示す情報とを記憶部１０３に格納する。動的グループ化１においては、ログ分析部１０４は以下のようにグループ化を行う。例えば、イベントを６グループに分割し、各グループ内のイベント数が総イベント数の約６分の１となるようにグループ化することにする。図１２において、左のイベントからイベント数を順に加算していき、その量が総イベント数の６分の１以上となったところで１つのグループとする。このとき、例えばイベント数の最下位の桁は四捨五入するなどの処理を行う。
【００７７】
あるいは、左のイベントからイベント数を加算していき、その量が総イベント数の６分の１を超えたところで１つのグループとする。以上の方法により、１つ目のグループ化を行い、次のグループに関してはイベント数が残りのイベント数の約５分の１となるように、上述した方法と同様に２つ目のグループ化を行う。さらに次のグループに関しても同様に、イベント数が残りのイベント数の約４分の１となるように、３つ目のグループ化を行う。これを繰り返し行うことにより、イベントを６グループに分割する。なお、上述した方法は一例であり、各グループ内のイベント数がほぼ均等となるようにグループ化できれば、その方法は問わない。
【００７８】
（動的グループ化２）
分析対象のパラメータに関して、各イベントをイベントのＩＤ順に並べ替え、イベントの総数に基づいて、各グループ内の統イベント数がほぼ均等になるようにグループ化を行う。ここでＩＤとは、Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅの場合は製品ごとに決められたＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅ番号であり、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔの場合はＰｏｒｔ番号であり、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰの場合はＩＰアドレス順位である。図１３はこの場合のグループ化の様子を示している。各グループ内の総イベント数がほぼ均等になるようなグループ化の方法は動的グループ化１と同様である。
【００７９】
図において、棒グラフの１つ１つがパラメータ（ＨＴＴＰ  Ｐｏｒｔ  Ｐｒｏｂｅ、Ｓｍｕｒｆ  Ａｔｔａｃｋ・・・）を表している。図においては、各グループ内の総イベント数がほぼ均等になるように左からＧ１、Ｇ２・・・とグループ名を付けた様子が示されている。この場合のログ分析装置１０の動作等は動的グループ化１と同様である。この手法は、Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔ、およびＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰの分析への適用が好適である。
【００８０】
動的グループ化を行う場合、ログ分析部１０４は、過去のある単位時間のデータに基づいてイベントの動的グループ化を行い、グループ化後の各グループを識別する情報と、そのグループ内の総イベント数を示す情報と、分割形態（分割数、イベント種別とグループの識別情報との対応関係など）を示す情報とを記憶部１０３に格納する。そして、ログ分析部１０４は分割形態を示す情報に基づいて、残りの過去の各単位時間におけるイベントおよび注目する現在の単位時間におけるイベントをグループ化する。続いて、ログ分析部１０４は、グループ化後の各グループを１つのイベントとみなし、前述した比率分析を行い、それらの結果に基づいて、予測値の算出を行う。
【００８１】
以上のように、イベントのグループ化を行うことにより、計算対象となる変数の数を減らすことができるので、異常値の算出に要する時間を低減することができる。また、グループ化によってネットワーク全体のログの傾向を大きく捉えることができると共に、異常に関する誤検出の低減により、分析の信頼性を向上させることができる。
【００８２】
図１４は、図３のステップＳ３３０における分析処理において、ログ分析部１０４がイベントのグループ化を行う場合の分析処理例を示すフローチャートである。ログ分析部１０４は図３のステップＳ３２０において記憶部１０３から読み出したパラメータ中のイベントをグループ化する（ステップＳ３３０３）。続いて、ログ分析部１０４は、各グループ内のイベント総数に基づいて、比率分析または稀率分析を行う（ステップＳ３３０４）。続いて、ログ分析部１０４は比率分析または稀率分析の結果に基づいて、予測値を算出し、その予測値を記憶部１０３に格納する（ステップＳ３３０５）。
【００８３】
なお、上述したグループ化において、グループの数はユーザが選択できるようにしてもよい。また、全てのイベントを一つのグループとしてもよく、その場合は、特定のパラメータに属する全イベントの総数に関して予測を行うことになり、攻撃を特定せず、単に攻撃の増減を予測するような概況把握に適している。
【００８４】
なお、上述した分析処理においては、分析対象のネットワークを固定し、特定の単位時間当たりのイベント数が過去の複数の単位時間当たりのイベント数に対してどの程度異常であるかを評価する手法を示したが、以下のような分析処理を行うこともできる。すなわち、分析対象の期間を固定したときに、特定のネットワークで検知された特定のパラメータに関するイベントのイベント数（自網プロファイルと定義する）が、他の複数のネットワークで検知された同じ特定のパラメータに関するイベントの１ネットワーク当たりのイベント数の平均（他網プロファイルと定義する）に対してどの程度異常であるかを評価する手法である。
【００８５】
例えば、比率分析において、分析対象のネットワークにおける自網プロファイルをＥｍとし、このネットワークを含まない他の各ネットワークにおける他網プロファイルをＥｏとすると、比率Ｄは以下の［数１１］のように表される。同様にして、稀率分析における上側稀率および下側稀率を計算することができる。これらの値を用いて、前述した予測値の算出を行うことにより、他のネットワークから注目するネットワークへのパケットの数が今後どのくらいの確率で増加または減少するのか等を知ることができる。
【００８６】
【数１１】
2005196675.tif 000013
【００８７】
なお、上記の実施形態において、予測範囲を絞る手法も有効である。多くのサイバーテロは、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）やプロトコルの脆弱性がインターネット上で公開されてから２〜４週間後に発生している。例えば、ＭＳ−Ｂｌａｓｔｅｒワームは、２００３年７月中旬にＯＳの脆弱性に関する情報が公開された後、２００３年８月中旬にインターネット上を蔓延した。したがって、この脆弱性の公開情報を考慮することにより、予測の範囲を絞り、予測精度を向上させることができる。
【００８８】
この脆弱性の公開情報としては、例えば特定のＰｏｒｔ番号が挙げられる。ユーザはインターネット上でそのＰｏｒｔ番号を確認し、ログ分析装置１０の図示せぬ操作部からＰｏｒｔ番号を入力する。このＰｏｒｔ番号は記憶部１０３に記憶され、ログ分析部１０４はこのＰｏｒｔ番号に関係するイベントのみを選択し、前述した分析処理を行う。上述した脆弱性の公開情報としては、ＯＳの種類とバージョン、アプリケーションの種類とバージョン、通信プロトコルの種類とバージョン、ハードウェアの種類とバージョン等もあり、これらに関係するイベントのみについて前述した分析処理を行ってもよい。
【００８９】
なお、本実施形態における各事象例においては、単位時間が日であるとしているが、秒・分・時間・週・月・年などを単位時間としてもよい。さらに、単位時間の設定に関しては、以下のようなものであってもよい。例えば、注目する日が月曜日であり、次の日（火曜日）のイベント数に関する予測値を求めたいという場合に、比率分析や稀率分析における過去の複数の単位時間のデータとして、過去の月曜日に検知されたイベントのデータとする。また、注目する時刻が１２時であり、１時のイベント数に関する予測値を求めたいという場合に、比率分析や稀率分析における過去の複数の単位時間のデータとして、過去の１１時から１２時に検知されたイベントのデータとする。
【００９０】
この場合、ログ分析部１０４は、記憶部１０３に格納されているイベントの時刻情報に基づいて、所定の時間単位のイベントを読み出し（例えば、月曜日に記録されたイベントのみ、あるいは１１時〜１２時に記録されたイベントのみ等）、そのイベントのイベント数に基づいて前述した分析処理を行う。イベントの時刻情報とは、イベントがＩＤＳ等によって検知されてログに記録された時刻に関する情報である。近年の攻撃の多くが、潜伏期間や発症・伝播期間を有するウィルスやワームによるものであり、攻撃の周期性を考慮に入れた上記の手法により、予測値の精度が向上する。
【００９１】
以上説明したように、本実施形態によれば、様々なネットワーク機器から出力されるログ中のパラメータに属するイベントのイベント数に基づいて、ネットワークの異常度に関する異常値（比率分析における比率Ｄ、稀率分析における上側稀率Ｒｕ・下側稀率Ｒｌなど）を算出し、その異常値に関する所定の条件（当日のイベント数に係る比率Ｄに関してＤ＞１．０等）が満たされた場合に、所定の事象（次の日のイベント数が当日よりも増加したという事象）が発生する条件付確率をベイズ推論により算出するようにしたので、未来のイベント数の推移を客観的に予測することができる。
【００９２】
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこれらの実施の形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態におけるログ分析装置は、その動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させることにより実現してもよい。
【００９３】
ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００９４】
また、上述したログ分析プログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上述したログ分析プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【図面の簡単な説明】
【００９５】
【図１】この発明の一実施形態によるログ分析装置１０を備えたネットワークの構成を示す構成図である。
【図２】同実施形態における分析対象のパラメータを示す参考図である。
【図３】同実施形態におけるログ分析装置１０の動作を示すフローチャートである。
【図４】同実施形態におけるログ分析装置１０の分析処理を示すフローチャートである。
【図５】同実施形態における比率分析モデルを示す参考図である。
【図６】同実施形態における稀率分析モデルを示す参考図である。
【図７】同実施形態における予測値の算出に用いるパラメータを示す参考図である。
【図８】Ｉｎｔｅｒｎｅｔ  Ｓｔｏｒｍ  ＣｅｎｔｅｒのＰｏｒｔ２７３７４において検出されたパケットの検出数の変化を示すグラフである。
【図９】同実施形態におけるＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅのイベントのグループ化を説明するための参考図である。
【図１０】同実施形態におけるＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅのイベントのグループ化を説明するための参考図である。
【図１１】同実施形態における、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰを国名に変換するための変換テーブルの内容を示す参考図である。
【図１２】同実施形態におけるイベントの動的グループ化１の手法を示す参考図である。
【図１３】同実施形態におけるイベントの動的グループ化２の手法を示す参考図である。
【図１４】同実施形態におけるログ分析装置１０の他の分析処理を示すフローチャートである。
【図１５】Ｐｏｒｔ１４３４に対する攻撃頻度の推移を示す参考図である。
【符号の説明】
【００９６】
１０・・・ログ分析装置、２０，２１，２２・・・ネットワーク、３０・・・セキュリティオペレーションセンター、１０１・・・ログ収集部、１０２・・・ログ保存部、１０３・・・記憶部、１０４・・・ログ分析部、１０５・・・インタフェース部、３０１・・・Ｗｅｂブラウザ。
【図１】
2005196675.tif 000014
【図２】
2005196675.tif 000015
【図３】
2005196675.tif 000016
【図４】
2005196675.tif 000017
【図５】
2005196675.tif 000018
【図６】
2005196675.tif 000019
【図７】
2005196675.tif 000020
【図８】
2005196675.tif 000021
【図９】
2005196675.tif 000022
【図１０】
2005196675.tif 000023
【図１１】
2005196675.tif 000024
【図１２】
2005196675.tif 000025
【図１３】
2005196675.tif 000026
【図１４】
2005196675.tif 000027
【図１５】
2005196675.tif 000028