(57)【要約】 【課題】  ログ分析に掛かる作業工数を低減し、攻撃に対するネットワーク全体の概要を把握することができるログ分析装置およびログ分析方法を提供する。【解決手段】  ログ収集部１０１はネットワーク２０〜２２の各機器から出力されるログを収集し、ログ保存部１０２へ出力する。ログ保存部１０２はログから分析に用いるパラメータを抽出し、記憶部１０３に保存する。記憶部１０３には、Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅの脆弱性に関するキーとグループとが対応付けられたテーブルが格納されている。運用者から特定のパラメータに関する分析の要求がなされると、ログ分析部１０４は記憶部１０３からテーブルを読み出して参照し、グループ化の対象となるイベントを所定のグループに対応させる。ログ分析部１０４は分析対象のパラメータに関する異常値を算出し、分析結果をインタフェース部１０５を介してＷｅｂブラウザ３０１へ出力する。【選択図】    図１
2005128946.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク機器から出力されるログを収集する収集手段と、
前記収集手段によって収集された前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うグループ化手段と、
前記グループ化手段によってグループ化された前記イベントの量に基づいて、ネットワークの異常度に関する値を算出する算出手段と、
を具備することを特徴とするログ分析装置。
【請求項２】
前記グループ化手段は、前記収集手段によって収集された前記ログ中のシグネチャが示す意味内容ごとに、該シグネチャに属するイベントをグループ化することを特徴とする請求項１に記載のログ分析装置。
【請求項３】
前記グループ化手段は、前記収集手段によって収集された前記ログ中のＩＰアドレスが示す国ごとに該ＩＰアドレスをグループ化することを特徴とする請求項１に記載のログ分析装置。
【請求項４】
前記グループ化手段は、前記イベントと前記イベントが属するグループとが対応付けられたテーブルを予め記憶し、前記収集手段によって収集された前記ログ中のパラメータに属するイベントを、前記テーブルに基づいて所定のグループにグループ化することを特徴とする請求項１に記載のログ分析装置。
【請求項５】
前記グループ化手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントに対して、該イベントの量に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする請求項１に記載のログ分析装置。
【請求項６】
前記グループ化手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントに対して、該イベントに含まれる識別情報に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする請求項１に記載のログ分析装置。
【請求項７】
前記グループ化手段は、前記収集手段によって収集された前記ログ中のＩＰアドレスに対して、該ＩＰアドレスの値に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、かつ先頭からｎビット（ｎは正の整数）が同じ前記ＩＰアドレスは同じグループとなるように、前記優先度に基づいた順序で、前記ＩＰアドレスをグループ化することを特徴とする請求項１に記載のログ分析装置。
【請求項８】
ネットワーク機器から出力されるログを収集するステップと、
収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、
グループ化された前記イベントの量に基づいて、ネットワークの異常度に関する値を算出するステップと、
を具備することを特徴とするログ分析方法。
【請求項９】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のシグネチャが示す意味内容ごとに、該シグネチャに属するイベントをグループ化することを特徴とする請求項８に記載のログ分析方法。
【請求項１０】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のＩＰアドレスが示す国ごとに該ＩＰアドレスをグループ化することを特徴とする請求項８に記載のログ分析方法。
【請求項１１】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントを、前記イベントと前記イベントが属するグループとが対応付けられたテーブルに基づいて所定のグループにグループ化することを特徴とする請求項８に記載のログ分析方法。
【請求項１２】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントに対して、該イベントの量に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする請求項８に記載のログ分析方法。
【請求項１３】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントに対して、該イベントに含まれる識別情報に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする請求項８に記載のログ分析方法。
【請求項１４】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のＩＰアドレスに対して、該ＩＰアドレスの値に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、かつ先頭からｎビット（ｎは正の整数）が同じ前記ＩＰアドレスは同じグループとなるように、前記優先度に基づいた順序で、前記ＩＰアドレスをグループ化することを特徴とする請求項８に記載のログ分析方法。
【請求項１５】
ネットワーク機器から出力されるログを収集するステップと、
収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、
グループ化された前記イベントの量に基づいて、ネットワークの異常度に関する値を算出するステップと、
をコンピュータに実行させるためのログ分析プログラム。
【請求項１６】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のシグネチャが示す意味内容ごとに、該シグネチャに属するイベントをグループ化することを特徴とする請求項１５に記載のログ分析プログラム。
【請求項１７】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のＩＰアドレスが示す国ごとに該ＩＰアドレスをグループ化することを特徴とする請求項１５に記載のログ分析プログラム。
【請求項１８】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントを、前記イベントと前記イベントが属するグループとが対応付けられたテーブルに基づいて所定のグループにグループ化することを特徴とする請求項１５に記載のログ分析プログラム。
【請求項１９】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントに対して、該イベントの量に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする請求項１５に記載のログ分析プログラム。
【請求項２０】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントに対して、該イベントに含まれる識別情報に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする請求項１５に記載のログ分析プログラム。
【請求項２１】
収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のＩＰアドレスに属するイベントに対して、該イベントに含まれるＩＰアドレスに基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、かつ先頭からｎビット（ｎは正の整数）が同じ前記イベントは同じグループとなるように、前記優先度に基づいた順序で、前記イベントをグループ化することを特徴とする請求項１５に記載のログ分析プログラム。
【請求項２２】
請求項１５〜請求項２１のいずれかの項に記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ：侵入検知システム）、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌなどのネットワーク機器から出力されるログの分析を行うログ分析装置、ログ分析方法およびログ分析プログラムに関する。
【背景技術】
【０００２】
近年、ネットワークシステムに対する攻撃監視のためにＩＤＳを導入するサイトが増えている。一般にＩＤＳは、ネットワーク上を流れるパケットとＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅと呼ばれる攻撃パターンファイルとを単純に比較して、マッチングするものがあればログを出力する。
【０００３】
従来においては、コンピュータの稼働状況を示すログ情報の解析作業に要する時間を減少させ、種々のデータ形式とファイル・システム上の偏在性とを有するログ情報を統合し、既知の異常ではない異常を示すログ情報を抽出することを目的としたログ情報解析装置が考え出されている。このログ情報解析装置はシステム管理者が文字による膨大な量のログ情報を棒グラフのように表示させて注目すべき情報を迅速に把握しようとするものである。（例えば特許文献１参照）
【特許文献１】特開２００１−３５６９３９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、従来のＩＤＳから出力されるログは、誤検知、多重検知、セキュリティ対策済みのシステムに対する攻撃検知などの冗長なログが多量に出力される。このようなログは、同じ攻撃を繰り返し受けるたびに出力されるため、さらに冗長なものとなる。多量のログは傾向把握には適しているが、出現頻度の低いログを見落としがちになり、新たな攻撃の兆候を的確に抽出することを困難にする。また、ログに含まれるパラメータの１つ１つを分析することにより、ネットワークの詳細を把握することはできるが、分析に必要なデータ量が膨大となり、ネットワーク全体の概要を把握するには作業工数が掛かってしまうという問題点があった。
【０００５】
本発明は、上述した問題点に鑑みてなされたものであって、ログ分析に掛かる作業工数を低減し、攻撃に対するネットワーク全体の概要を把握することができるログ分析装置およびログ分析方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は上記の課題を解決するためになされたもので、請求項１に記載の発明は、ネットワーク機器から出力されるログを収集する収集手段と、前記収集手段によって収集された前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うグループ化手段と、前記グループ化手段によってグループ化された前記イベントの量に基づいて、ネットワークの異常度に関する値を算出する算出手段とを具備することを特徴とするログ分析装置である。
前期パラメータとしては、ＩＤＳ、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌなどのネットワーク機器から出力されるログに記録されているＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔ、およびＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰなどが挙げられる。前期算出手段は、グループ化後の各グループ内のイベントの量に基づいて、比率分析や稀率分析などを行い、分析対象のネットワークの異常度に関する値を算出する。分析対象のネットワークの異常度に関する値としては、短期プロファイルのイベント量と長期プロファイルのイベント量の単位時間当たりの平均値との比率や、自網プロファイルのイベント量と他網プロファイルのイベント量の１ネットワーク当たりの平均との比率、上側稀率、下側稀率などが挙げられる。
【０００７】
請求項２に記載の発明は、請求項１に記載のログ分析装置において、前記グループ化手段は、前記収集手段によって収集された前記ログ中のシグネチャが示す意味内容ごとに、該シグネチャに属するイベントをグループ化することを特徴とする。
シグネチャとしては、ＩＤＳから出力されるログに記録されているＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅが挙げられる。Ａｔｔａｃｋ  ＳｉｇｎａｔｕｒｅはＰｉｎｇ  Ｓｗｅｅｐ、Ｈｔｔｐ  ｐｏｒｔ  ｐｒｏｂｅなどのイベントからなり、前期グループ化手段はそれらのイベントの意味内容ごとに各イベントをグループ化する。
【０００８】
請求項３に記載の発明は、請求項１に記載のログ分析装置において、前記グループ化手段は、前記収集手段によって収集された前記ログ中のＩＰアドレスが示す国ごとに該ＩＰアドレスをグループ化することを特徴とする。
前期ＩＰアドレスとしては、ＩＤＳ、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌなどから出力されるＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰが挙げられる。
【０００９】
請求項４に記載の発明は、請求項１に記載のログ分析装置において、前記グループ化手段は、前記イベントと前記イベントが属するグループとが対応付けられたテーブルを予め記憶し、前記収集手段によって収集された前記ログ中のパラメータに属するイベントを、前記テーブルに基づいて所定のグループにグループ化することを特徴とする。
前期テーブルには、Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅの各イベントとそれらのイベントが示す意味内容ごとにまとめられたグループとが対応付けられたテーブルや、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰと国名あるいはドメインとが対応付けられたテーブルなどがある。
【００１０】
請求項５に記載の発明は、請求項１に記載のログ分析装置において、前記グループ化手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントに対して、該イベントの量に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする。
【００１１】
請求項６に記載の発明は、請求項１に記載のログ分析装置において、前記グループ化手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントに対して、該イベントに含まれる識別情報に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする。
識別情報とは、例えばＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅの場合は製品ごとに決められたＡｔｔａｃｋ  Ｓｉｇｎａｇｕｒｅ番号であり、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔの場合はＰｏｒｔ番号であり、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰの場合はＩＰアドレス順位である。
【００１２】
請求項７に記載の発明は、請求項１に記載のログ分析装置において、前記グループ化手段は、前記収集手段によって収集された前記ログ中のＩＰアドレスに対して、該ＩＰアドレスの値に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、かつ先頭からｎビット（ｎは正の整数）が同じ前記ＩＰアドレスは同じグループとなるように、前記優先度に基づいた順序で、前記ＩＰアドレスをグループ化することを特徴とする。
【００１３】
請求項８に記載の発明は、ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、グループ化された前記イベントの量に基づいて、ネットワークの異常度に関する値を算出するステップとを具備することを特徴とするログ分析方法である。
【００１４】
請求項９に記載の発明は、請求項８に記載のログ分析方法において、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のシグネチャが示す意味内容ごとに、該シグネチャに属するイベントをグループ化することを特徴とする。
【００１５】
請求項１０に記載の発明は、請求項８に記載のログ分析方法において、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のＩＰアドレスが示す国ごとに該ＩＰアドレスをグループ化することを特徴とする。
【００１６】
請求項１１に記載の発明は、請求項８に記載のログ分析方法において、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントを、前記イベントと前記イベントが属するグループとが対応付けられたテーブルに基づいて所定のグループにグループ化することを特徴とする。
【００１７】
請求項１２に記載の発明は、請求項８に記載のログ分析方法において、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントに対して、該イベントの量に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする。
【００１８】
請求項１３に記載の発明は、請求項８に記載のログ分析方法において、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントに対して、該イベントに含まれる識別情報に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする。
【００１９】
請求項１４に記載の発明は、請求項８に記載のログ分析方法において、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のＩＰアドレスに対して、該ＩＰアドレスの値に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、かつ先頭からｎビット（ｎは正の整数）が同じ前記ＩＰアドレスは同じグループとなるように、前記優先度に基づいた順序で、前記ＩＰアドレスをグループ化することを特徴とする。
【００２０】
請求項１５に記載の発明は、ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、グループ化された前記イベントの量に基づいて、ネットワークの異常度に関する値を算出するステップとをコンピュータに実行させるためのログ分析プログラムである。
【００２１】
請求項１６に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のシグネチャが示す意味内容ごとに、該シグネチャに属するイベントをグループ化することを特徴とする。
【００２２】
請求項１７に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のＩＰアドレスが示す国ごとに該ＩＰアドレスをグループ化することを特徴とする。
【００２３】
請求項１８に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントを、前記イベントと前記イベントが属するグループとが対応付けられたテーブルに基づいて所定のグループにグループ化することを特徴とする。
【００２４】
請求項１９に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントに対して、該イベントの量に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする。
【００２５】
請求項２０に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のパラメータに属するイベントに対して、該イベントに含まれる識別情報に基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、前記優先度に基づいた順序で前記イベントをグループ化することを特徴とする。
【００２６】
請求項２１に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、収集した前記ログ中のパラメータに属するイベントをグループ化するステップにおいては、収集した前記ログ中のＩＰアドレスに属するイベントに対して、該イベントに含まれるＩＰアドレスに基づいて優先度を付け、各グループ内の前記イベントの総量が均等に近づくように、かつ先頭からｎビット（ｎは正の整数）が同じ前記イベントは同じグループとなるように、前記優先度に基づいた順序で、前記イベントをグループ化することを特徴とする。
【００２７】
請求項２２に記載の発明は、請求項１５〜請求項２１のいずれかの項に記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体である。
【発明の効果】
【００２８】
この発明によれば、分析対象となるパラメータに含まれるイベントをグループ化し、各グループに対して分析対象のネットワークに関する異常値を算出するようにしたので、ログ分析に掛かる作業工数を低減し、攻撃に対するネットワーク全体の概要を把握することができるという効果が得られる。特に、グループ化を行うことによって、異常値の算出に用いられる変数の数を大幅に減らすことができるので、異常値の算出に要する時間を大幅に低減することができ、攻撃をリアルタイムに検知することができる。また、グループ化を行うことによってログの傾向を大きく捉えることができ、異常に関する誤検出を低減させ、分析の信頼性が向上するという効果も得られる。
【発明を実施するための最良の形態】
【００２９】
以下、図面を参照し、この発明を実施するための最良の形態について説明する。図１は、この発明の一実施形態によるログ分析装置を備えたネットワークの構成を示す構成図である。図において、１０はログ分析装置である。ログ分析装置１０は分析対象のネットワーク２０〜２２から出力されるログを収集・分析し、分析結果をセキュリティオペレーションセンター３０へ出力する。ネットワーク２０〜２２のＲｏｕｔｅｒ、Ｆｉｒｅｗａｌｌ、およびＩＤＳはログを生成し、ｓｙｓｌｏｇ等の機能により、ログ分析装置１０にログを出力する。セキュリティオペレーションセンター３０はＷｅｂブラウザ３０１を有しており、運用者はＷｅｂブラウザ３０１に表示される分析結果に基づいて、ネットワーク２０〜２２の異常度を判断することができる。
【００３０】
ログ分析装置１０において、１０１はログ収集部であり、ネットワーク２０〜２２の機器から出力されたログを定期的に収集し、ログ保存部１０２へログを出力する。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する。運用者がＷｅｂブラウザ３０１を介して、分析を希望するパラメータを要求すると、分析を指示する指示情報がインタフェース部１０５を介してログ分析部１０４へ入力される。
【００３１】
ログ分析部１０４はこの指示情報に従って、記憶部１０３から分析用のパラメータを読み出し、分析対象とするネットワークに関する異常値を算出し、インタフェース部１０５へ出力する。インタフェース部１０５は、ログ分析部１０４から出力された異常値を、通信回線を介してＷｅｂブラウザ３０１へ出力する。運用者はこの異常値に基づいて、ネットワーク２０〜２２に対して攻撃が行われているかどうかを判断する。
【００３２】
図２は本実施形態において、ログ中の分析対象となるパラメータを示している。本実施形態においては、Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔ、およびＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰの各パラメータに属するイベントをグループ化し、各パラメータグループの統計的異常値を算出する。Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔは送信元／送信先の機器のポート番号を示す。Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰは送信元／送信先の機器のＩＰアドレスを示す。なおＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＰｏｒｔはＳｏｕｒｃｅ  ＰｏｒｔおよびＤｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔの２つのパラメータのうちのいずれか１つを示しており、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰに関しても同様である。
【００３３】
Ａｔｔａｃｋ  ＳｉｇｎａｔｕｒｅはＩＤＳから出力されるログに含まれるパラメータである。Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅを分析することにより、分析対象のネットワークに対して行われている攻撃の種類を特定することができる。なお、全てのネットワーク型ＩＤＳおよび一部のホスト型ＩＤＳがＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅを出力可能である。また、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＰｏｒｔおよびＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰはＩＤＳ、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌから出力されるログに含まれるパラメータである。Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔを分析することにより、攻撃元／攻撃対象のポート番号を特定することができる。また、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰを分析することにより、攻撃元／攻撃対象のＩＰアドレスを特定することができる。上記のパラメータは図２に示されるような複数のイベントからなる。ログ中に同じイベントが複数記録されている場合は、その総数をそのイベントのイベント量と定義する。
【００３４】
次に、本実施形態におけるログ分析装置１０の動作を説明する。図３はログ分析装置１０の動作を示すフローチャートである。ログ収集部１０１はネットワーク２０〜２２の各機器から出力されるログを収集し、ログ保存部１０２へ出力する（ステップＳ３０）。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する（ステップＳ３１）。運用者から特定のパラメータに関する分析の要求がＷｅｂブラウザ３０１を介してなされると、Ｗｅｂブラウザ３０１から出力された指示情報がインタフェース部１０５を介してログ分析部１０４へ入力される。すると、ログ分析部１０４は指示情報に基づいて記憶部１０３からパラメータを読み出す（ステップＳ３２）。
【００３５】
続いて、ログ分析部１０４は読み出したパラメータに含まれるイベントを、後述するように所定の方法に従ってグループ化する（ステップＳ３３）。そしてログ分析部１０４は分析対象のパラメータに関する異常値を算出する（ステップＳ３４）。続いて、ログ分析部１０４は異常値を分析結果としてインタフェース１０５を介してＷｅｂブラウザ３０１へ出力する（ステップＳ３５）。分析結果はＷｅｂブラウザ３０１上に表示され、運用者はこの分析結果に基づいて、ネットワーク２０〜２２に対して攻撃が行われているかどうかを判断する。
【００３６】
次に、ステップＳ３４でログ分析部１０４が行う分析処理について説明する。ここでは、比率分析および稀率分析を一例として挙げる。比率分析においては、注目する短期間を単位時間（例えば１日）としたときに、短期間に含まれるイベント量（短期プロファイルと定義する）と、過去の複数の単位時間に含まれるイベント量の平均（長期プロファイルと定義する）との比率を異常値として評価する。図４は、単位時間を1日としたときの比率分析モデルの一例を示している。
【００３７】
図において、Ｅｌは長期プロファイルにおけるイベント量の単位時間あたりの平均を示す。短期プロファイルにおけるイベント量をＥｓとすると、短期プロファイルに対する長期プロファイルの比率Ｄは［数１］のように表される。短期プロファイルは記憶部１０３に格納され、ログ分析部１０４は記憶部１０３から過去の複数の短期プロファイルを読み出して、長期プロファイルを作成する。あるいは、記憶部１０３に過去のログを複数格納するようにしておき、それらのログから長期プロファイルを作成するようにしてもよい。
【００３８】
【数１】
2005128946.tif 000003
【００３９】
一方、稀率分析においては、統計値の平均と標準偏差とを用いて、出力数が様々に変動するイベントの異常性を評価する。統計分析において、９５％信頼区間という指標がよく利用されているが、ここでの稀率分析とは、この信頼区間の補集合を算出するものである。図５は単位時間を１日としたときの稀率分析モデルの一例を示している。Ｅｌは長期プロファイルのイベント量の単位時間あたりの平均であり、ＳＤは標準偏差である。横軸は平均値Ｅｌからの距離を、標準偏差ＳＤを単位として表し、縦軸は、イベント量が横軸で示される値となった単位時間の数（日数）を表している。標準偏差ＳＤは［数２］より求められる。短期プロファイルのイベント量が長期プロファイルの平均Ｅｌよりも大きな場合の上側稀率Ｒｕを［数３］、小さな場合の下側稀率Ｒｌを［数４］のように定義する。Ｅ１、Ｅ２、・・・Ｅｋは長期プロファイルにおける各単位時間のイベント量である。
【００４０】
【数２】
2005128946.tif 000004
【００４１】
【数３】
2005128946.tif 000005
【００４２】
【数４】
2005128946.tif 000006
【００４３】
［数３］および［数４］において、ｆ（Ｅ）は正規分布の密度関数であり、以下の［数５］で表される。なお、上記の例においては、稀率計算のための攻撃の分布を正規分布と仮定しているが、ｆ（Ｅ）として指数分布やガンマ分布などの関数を適宜選択してもよい。
【００４４】
【数５】
2005128946.tif 000007
【００４５】
上述した比率分析および稀率分析によって算出された異常値であるＤ、Ｒｕ、およびＲｌに関しての判断は以下のように行うことができる。まず、Ｄ＞１．０もしくはＲｕ≒０．０％の場合は、インターネット上に新たな攻撃が出回り始めたとき、内部ホストがワームに感染したとき、ＤＤｏＳ（Ｄｅｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃（攻撃者がインターネット上のセキュリティに弱い複数のＷｅｂサイトに侵入して攻撃拠点とし、複数の攻撃拠点に仕込んだプログラムを同時に動作させて、攻撃ターゲットのサーバに大量のパケットを送りつけ、サーバの機能を停止してしまう攻撃）を受けたときなど、短期のイベント量が急増したことを示している。攻撃が活発な段階であり、警戒する必要がある。比率分析により、内部ホストがワームに感染したことやＤＤｏＳ攻撃を受けたことなどを迅速かつ正確に検出することができる。
【００４６】
また、Ｄ≒０．０もしくはＲｌ≒０．０％の場合は、普段から出力され続けていたアラームが急に減少した、もしくは無くなってしまったことを示している。これは、攻撃が収束に向かっている段階、もしくはシステムが停止した状態である。比率分析により、ネットワークやホストの停止に関する異常を迅速かつ正確に検出することができる。
【００４７】
また、Ｄ≒１．０もしくはＲｕ、Ｒｌ≒５０．０％の場合は、普段から検知され続けているログを見分けることができる。これは、既に対策が施されている攻撃、もしくは誤検知されやすいイベントであり、特に注意する必要はない。ネットワークの運用者は、ログ分析装置１０から出力されるＤ、Ｒｕ、およびＲｌ等の値に基づいて、上述した評価を行えばよい。
【００４８】
上述した分析処理においては、分析対象のネットワークを固定し、短期プロファイルが長期プロファイルに対してどの程度異常であるかを評価する手法を示したが、以下のような分析処理を行うこともできる。それは、分析対象の期間を固定したときに、分析対象のネットワークで検知された、特定のパラメータに関するイベント量（自網プロファイルと定義する）が、他のネットワークで検知された、そのイベント量（他網プロファイルと定義する）に対してどの程度異常であるかを評価する手法である。
【００４９】
例えば、比率分析において、分析対象のネットワークにおける検知イベント量をＥｍとし、このネットワークを含まない他の各ネットワークにおける検知イベント量の１ネットワーク当たりの平均をＥｏとすると、比率Ｄは以下の［数６］のように表される。同様にして、稀率分析において、自網プロファイルのイベント量が平均より大きな場合の上側稀率および小さな場合の下側稀率を計算することができる。
【００５０】
【数６】
2005128946.tif 000008
【００５１】
次に、本実施形態におけるイベントのグループ化を説明する。本実施形態においては、分析対象のパラメータに含まれる個々のイベントに基づいてネットワークの詳細を把握するのではなく、分析対象のパラメータ中のイベントを適切な単位にグループ化し、それらのグループに基づいて比率分析や稀率分析を行い、ネットワーク全体の概要を把握する。グループ化対象のパラメータは図２で示したパラメータである。
【００５２】
静的グループ化１
Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅを通信レイヤ、攻撃目的、サービスを考慮して意味内容ごとにグループ化する。図６および図７はＳｎｏｒｔ  ＩＤＳから出力されたログ中のＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅを１０個の意味単位（クラス）にグループ化した例である。個数は各グループに含まれるＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅの数である。Ｓｎｏｒｔルールファイルは、Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅをある程度の意味単位に集めたファイルである。各Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅには脆弱性に関するキーが元々割り当てられており、このキーに基づいて意味内容ごとのグループ化を行う。記憶部１０３には、そのキーとグループとが対応付けられたテーブルが予め格納されており、ログ分析部１０４は、そのテーブルを参照してイベントのグループ化を行う。
【００５３】
図８はこの場合の、図３のステップＳ３３におけるイベントのグループ化の動作を示すフローチャートである。記憶部１０３には、上述したテーブルが格納されているとする。ログ分析部１０４は記憶部１０３からテーブルを読み出して参照し（ステップＳ３３０）、グループ化の対象となるイベントの脆弱性に関するキーに基づいて、そのイベントを所定のグループに対応させる（ステップＳ３３１）。グループ化の結果は図６および図７で一例として示したテーブルなどの形式で記憶部１０３に格納される。この場合、長期プロファイル（あるいは他網プロファイル）および短期プロファイル（あるいは自網プロファイル）を記憶部１０３中のテーブルに基づいてそれぞれグループ化し、グループ化後の各グループ内のイベント量に基づいて、比率分析や稀率分析などを行う。
【００５４】
静的グループ化２
Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰを国単位に、もしくはドメイン単位にグループ化する。図９はＩＰアドレスからそのＩＰアドレスが所属する国名へ変換するための変換テーブルを示している。図において、例えばＩＰアドレスが０．０．０．０〜０．２５５．２５５．２５５はＵＳ（アメリカ合衆国）、２４．４２．０．０〜２４．４３．２５５．２５５はＣＡ（カナダ）に所属することがわかる。
【００５５】
この変換テーブルは、ＩＡＮＡ（Ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ａｓｓｉｇｎｅｄ  Ｎｕｍｂｅｒｓ  Ａｕｔｈｏｒｉｔｙ）等で管理されているＩＰアドレスとドメイン表から作成することができる。ＩＰアドレスからドメインへの変換を示す変換テーブルも同様に作成することができる。この場合も、長期プロファイル（あるいは他網プロファイル）および短期プロファイル（あるいは自網プロファイル）を記憶部１０３中のテーブルに基づいてそれぞれグループ化し、グループ化後の各グループを１つのイベントとみなして前述した比率分析や稀率分析などを行う。
【００５６】
動的グループ化１
分析対象のパラメータに関して、各イベントをイベント量順に並べ替え、イベントの総量に基づいて、各グループ内の統イベント量がほぼ均等になるようにグループ化を行う。図１０はこの場合のグループ化の様子を示している。図において、棒グラフの１つ１つがイベント（ＨＴＴＰ  Ｐｏｒｔ  Ｐｒｏｂｅ、Ｓｍｕｒｆ  Ａｔｔａｃｋ・・・）を表している。図においては、一例として各イベントをイベント量の多い順に左から並べ、各グループ内の総イベント量がほぼ均等になるように左からＧ１、Ｇ２・・・とグループ名を付けた様子が示されている。
【００５７】
イベントの総量に基づいて、各グループ内の統イベント量がほぼ均等になるようなグループ化の具体的な手法は以下のとおりである。例えば、イベントを１０グループに分割し、各グループ内のイベント量が総イベント量の約１０分の１となるようにグループ化することにする。図１０において、左のイベントからイベント量を加算していき、その量が総イベント量の１０分の１以上となったところで１つのグループとする。このとき、例えばイベント量の最下位の桁は四捨五入するなどの処理を行う。
【００５８】
あるいは、左のイベントからイベント量を加算していき、その量が総イベント量の１０分の１を超えたところで１つのグループとする。以上の方法により、１つ目のグループ化を行い、次のグループに関してはイベント量が残りのイベント量の約９分の１となるように、上述した方法と同様に２つ目のグループ化を行う。さらに次のグループに関しても同様に、イベント量が残りのイベント量の約８分の１となるように、３つ目のグループ化を行う。これを繰り返し行うことにより、イベントを１０グループに分割する。なお、上述した方法は一例であり、各グループ内のイベント量がほぼ均等となるようにグループ化できれば、その方法は問わない。
【００５９】
図１１はこの場合の、図３のステップＳ３３におけるイベントのグループ化の動作を示すフローチャートである。ログ分析部１０４は記憶部１０３から読み出したパラメータ中のイベントに対して、イベント量に基づいた順序付けを行う（イベント量順に各イベントに順序付けを行う）（ステップＳ３３２）。そしてログ分析部１０４は順序付けを行った各イベントに対して、グループ内のイベント量がほぼ等しくなるようにグループ化を行い、所定数のグループを生成する（ステップＳ３３３）。
【００６０】
ログ分析部１０４は長期プロファイル（あるいは他網プロファイル）の統計量を算出するたびに上記のグループ化を行う。これにより、長期プロファイルの各グループはグループ内の総イベント量がほぼ等しくなる。続いて、長期プロファイルのグループと同じグループを用いて、短期プロファイル（あるいは自網プロファイル）のイベントをグループ化する。
【００６１】
定常状態であれば、短期プロファイル内の各グループ内のイベント量はほぼ等しいが、攻撃が行われている場合には、各グループ間の総イベント量のバランスが崩れ、特定のグループのイベント量が他のグループに比べて顕著に多くなる。以上のようにしてグループ化した長期プロファイル（あるいは他網プロファイル）および短期プロファイル（あるいは自網プロファイル）に対して比率分析等を適用することにより、異常をより検知しやすくなる。この手法は、Ａｔｔａｃｋ  ＳｉｇｎａｔｕｒｅおよびＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔの分析への適用が好適である。
【００６２】
動的グループ化２
分析対象のパラメータに関して、イベントのＩＤ順に並べ替え、イベントの総量に基づいて、各グループ内の統イベント量がほぼ均等になるようにグループ化を行う。ここで、ＩＤとはＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅの場合は製品ごとに決められたＡｔｔａｃｋ  Ｓｉｇｎａｇｕｒｅ番号であり、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔの場合はＰｏｒｔ番号であり、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰの場合はＩＰアドレス順位である。図１２はこの場合のグループ化の様子を示している。各グループ内の総イベント量がほぼ均等になるようなグループ化の方法は動的グループ化１と同様である。
【００６３】
図において、棒グラフの１つ１つがパラメータ（ＨＴＴＰ  Ｐｏｒｔ  Ｐｒｏｂｅ、Ｓｍｕｒｆ  Ａｔｔａｃｋ・・・）を表している。図においては、一例として各イベントをイベント量の多い順に左から並べ、各グループ内の総イベント量がほぼ均等になるように左からＧ１、Ｇ２・・・とグループ名を付けた様子が示されている。この場合のログ分析装置１０の動作等は動的グループ化１と同様である。この手法は、Ａｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔ、およびＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰの分析への適用が好適である。
【００６４】
動的グループ化３
Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰの分析は、国やドメイン単位で行うことが望ましい。国やドメインは２のべき乗単位に区切られており、動的グループ化２で説明したグループ化手法をＩＰアドレスの分析に適用する場合には、この点を考慮することが望ましい。そこで、動的グループ化２によるグループ化手法をＩＰアドレスの分析に適用する場合において、各グループ内のＩＰアドレスの数がほぼ均等になるように、２のべき乗単位でＩＰアドレスをグループ化する。
【００６５】
例えば、ＩＰアドレス１９２．１６８．０．１と２０２．２５５．４４．１とを２進数で表すと、「１１００００００  １０１０１０００  ００００００００  ０００００００１」と「１１００１０１０  １１１１１１１１  ００１０１１００  ０００００００１」となり、先頭４ビットが同じプリフィックスを持つ。このように、２進数表示したときに、先頭からｎ（ｎは正の整数）ビットまでが一つのグループとなるように、なおかつ各グループ内の総イベント量がほぼ等しくなるようにグループ化を行う。
【００６６】
以上のようにしてグループ化されたイベントに対して、前述した比率分析や稀率分析などを適用する。この場合、各グループごとに比率分析および稀率分析を行うことになる。したがって、個々のイベント種別ごとに比率分析および稀率分析を行う場合と比較して、比率分析および稀率分析を行う回数が低減する。また、グループ化によって分析単位が大きくなるので、より広範囲の異常度の概要を把握することができる。
【００６７】
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこれらの実施の形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態におけるログ分析装置は、その動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させることにより実現してもよい。
【００６８】
ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００６９】
また、上述したログ分析プログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上述したログ分析プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【図面の簡単な説明】
【００７０】
【図１】この発明の一実施形態によるログ分析装置１０を備えたネットワークの構成を示す構成図である。
【図２】同実施形態における分析対象のパラメータを示す参考図である。
【図３】同実施形態におけるログ分析装置１０の動作を示すフローチャートである。
【図４】同実施形態における比率分析モデルを示す図である。
【図５】同実施形態における稀率分析モデルを示す図である。
【図６】同実施形態におけるＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅのイベントのグループ化を説明するための参考図である。
【図７】同実施形態におけるＡｔｔａｃｋ  Ｓｉｇｎａｔｕｒｅのイベントのグループ化を説明するための参考図である。
【図８】同実施形態におけるログ分析装置１０の動作を示すフローチャートである。
【図９】同実施形態におけるＳｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰから国名に変換するための変換テーブルの内容を示す参考図である。
【図１０】同実施形態におけるイベントの動的グループ化１の手法を示す図である。
【図１１】同実施形態におけるログ分析装置１０の動作を示すフローチャートである。
【図１２】同実施形態におけるイベントの動的グループ化２の手法を示す図である。
【符号の説明】
【００７１】
１０・・・ログ分析装置、２０，２１，２２・・・ネットワーク、３０・・・セキュリティオペレーションセンター、１０１・・・ログ収集部、１０２・・・ログ保存部、１０３・・・記憶部、１０４・・・ログ分析部、１０５・・・インタフェース部、３０１・・・Ｗｅｂブラウザ。
【図１】
2005128946.tif 000009
【図２】
2005128946.tif 000010
【図３】
2005128946.tif 000011
【図４】
2005128946.tif 000012
【図５】
2005128946.tif 000013
【図６】
2005128946.tif 000014
【図７】
2005128946.tif 000015
【図８】
2005128946.tif 000016
【図９】
2005128946.tif 000017
【図１０】
2005128946.tif 000018
【図１１】
2005128946.tif 000019
【図１２】
2005128946.tif 000020