(57)【要約】【課題】  複数のサイトで、フィルタポリシー及び構成情報に基づいて侵入容疑レベル付けを行うことができると共に、ログ分析手段でログ情報を容易に集中分析する。【解決手段】  監視対象となる各サイトは、前記侵入検知手段で記憶したログ情報をフィルタリングするためのログフィルタポリシーを格納するログフィルタポリシー格納手段と、サイト内の構成情報を格納する構成情報格納手段と、前記ログフィルタポリシー格納手段に格納されたログフィルタポリシー及び構成情報設定手段に格納された構成情報と、前記侵入検知手段で記憶したログ情報とを比較して不正侵入容疑レベルを決定する不正侵入容疑レベル決定手段と、該不正侵入容疑レベル決定手段で決定された不正侵入容疑レベルが所定レベル以上であるログ情報について不正侵入容疑レベル毎に纏め且つサイト識別情報を付加して前記ログ分析手段に転送するログ情報転送手段とを備えている【選択図】  図１
2005189996.tif 000002
【特許請求の範囲】
【請求項１】
内部ネットワーク上のパケットを監視してログ情報を記憶する侵入検知手段を少なくとも有する複数のサイトと、該複数のサイトにおける前記侵入検知手段で記憶したログ情報収集して分析するログ分析手段とを備えたネットワーク侵入検知システムであって、
前記各サイトは、前記侵入検知手段で記憶したログ情報をフィルタリングするためのログフィルタポリシーを格納するログフィルタポリシー格納手段と、サイト内の構成情報を格納する構成情報格納手段と、前記ログフィルタポリシー格納手段に格納されたログフィルタポリシー及び構成情報設定手段に格納された構成情報と、前記侵入検知手段で記憶したログ情報とを比較して不正侵入容疑レベルを決定する不正侵入容疑レベル決定手段と、該不正侵入容疑レベル決定手段で決定された不正侵入容疑レベルが所定レベル以上であるログ情報について不正侵入容疑レベル毎に纏め且つサイト識別情報を付加して前記ログ分析手段に転送するログ情報転送手段とを備えていることを特徴とするネットワーク侵入検知システム。
【請求項２】
前記不正侵入容疑レベル決定手段は、ログ情報がログフィルタポリシー格納手段に格納されたログフィルタポリシーと不一致であるときに高い第１の不正侵入容疑レベルを決定し、ログ情報が前記ログフィルタポリシーと一致するが構成情報と不一致であるときに前記第１の不正侵入容疑レベルより低い第２の不正侵入容疑レベルを決定するように構成されていることを特徴とする請求項１に記載のネットワーク侵入検知システム。
【請求項３】
前記不正侵入容疑レベル決定手段は、ログ情報がログフィルタポリシー及び構成情報と一致するときに該当ログ情報を破棄するように構成されていることを特徴とする請求項１又は２に記載のネットワーク侵入検知システム。
【請求項４】
前記ログ分析手段は、各サイトのログ情報転送手段に外部ネットワークを介して接続されていることを特徴とする請求項１乃至３の何れか１つに記載のネットワーク侵入検知システム。
【請求項５】
前記ログ分析手段は、各サイトのログ情報転送手段にイントラネットを介して接続されていることを特徴とする請求項１乃至３の何れか１つに記載のネットワーク侵入検知システム。
【請求項６】
前記ログ分析手段は、各サイトのログフィルタポリシーを一元管理するログフィルタポリシー管理装置を有し、該ログフィルタポリシー管理装置から各サイトのログフィルタポリシー格納手段にサイト毎のログフィルタポリシーを送信するように構成されていることを特徴とする請求項１乃至５の何れか１つに記載のネットワーク侵入検知システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のサイトで侵入検知手段によって内部ネットワーク上のパケットを監視してログ情報を記憶し、記憶したログ情報をログ分析装置に転送してログ分析によって不正パケットを検出するようにしたネットワーク侵入検知システムに関する。
【背景技術】
【０００２】
従来のネットワーク侵入検知システムとしては、例えば不正パケットの検知処理時に参照する侵入検知データベースに、全てのルールセットのうち、監視対象ネットワークに接続されたホスト計算機の構成情報に対応するルールセットが記憶され、これにより侵入検知装置で全てのルールセットを参照した従来の検知処理とは異なり、監視対象ネットワークに接続されたホスト計算機の構成情報に対応するルールセットだけを参照して不正パケットの検知処理を行うようにしたネットワーク侵入検知システムが提案されている（例えば、特許文献１参照）。
【０００３】
また、バケット解析機構において、特徴抽出機構で不正アクセス手段データベースに格納された既知の不正アクセスに関わるパケットのもつ特徴の一覧の中から、サーバ情報保持機構に保持されたオペレーティングシステムやサーバアプリケーションプログラムに関わるもののみを抽出し、パケット解析処理機構は特徴抽出機構が抽出した既知の不正アクセスに関わるパケットのもつ特徴の一覧をもとに、パケット受信部で受信されたパケットが不正アクセスに関わるパケットであるか否かを判定するようにした不正アクセス検知装置も提案されている（例えば、特許文献２参照）。
【特許文献１】特開２００３−９２６０３号公報（第１頁、図１）
【特許文献２】特開２００３−２２３３７５号公報（第１頁、図２）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記特許文献１に記載された従来例にあっては、監視対象ネットワークに接続されたホスト計算機の構成情報に対応するルールセットだけを参照して不正パケットの検知処理を行うことにより、複数の監視対象ネットワークが存在する場合に全ての監視対象ネットワークの全てのルールセットを参照する場合に比較して、１つの監視対象ネットワークでの侵入検知ルール情報の記憶領域の消費量を低減してハードウェア資源をより有効に利用することができるものであるが、ルールセットがホスト計算機の構成情報に対応しているだけであるので、例えば「海外のＩＰからのアクセスはない」とか「休日や定時間外のアクセスはない」とか等のフィルタポリシーを設定することができないと共に、分析対象がレベル分けされていないため、重要な異常を検出するための時間や手間がかかって、重要な異常を見逃すおそれがあるという未解決の課題がある。
【０００５】
また、上記特許文献２に記載された従来例にあっても、特徴抽出機構で既知の不正アクセスに関わるパケットの一覧を参照して受信したパケットが不正アクセスに関わるパケットであるか否かを判定することはできるが、上述した特許文献１に記載された従来例と同様に、フィルタポリシーを設定することができないと共に、分析対象がレベル分けされていないため、重要な異常を見逃すおそれがあるという未解決の課題がある。
【０００６】
さらに、上記特許文献１及び特許文献２に記載の従来例にあっては、複数の監視対象ネットワークが存在するときに、各監視対象ネットワークからインターネット等の外部ネットワークを経由してログ情報を管理センター等にアップロードして管理センターで集中的にログ分析を行うことが考慮されておらず、専門家による効率的・効果的な分析や各種のログ分析装置による分析が困難であるという未解決の課題もある。
そこで、本発明は、上記従来例の未解決の課題に着目してなされたものであり、複数のサイトで、フィルタポリシー及び構成情報に基づいて侵入容疑レベル付けを行うことができると共に、ログ分析手段でログ情報を容易に集中分析することができるようにしたネットワーク侵入検知システムを提供することを目的としている。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、請求項１に係るネットワーク侵入検知システムは、第１の技術手段は、内部ネットワーク上のパケットを監視してログ情報を記憶する侵入検知手段を少なくとも有する複数のサイトと、該複数のサイトにおける前記侵入検知手段で記憶したログ情報収集して分析するログ分析手段とを備えたネットワーク侵入検知システムであって、前記各サイトが、前記侵入検知手段で記憶したログ情報をフィルタリングするためのログフィルタポリシーを格納するログフィルタポリシー格納手段と、サイト内の構成情報を格納する構成情報格納手段と、前記ログフィルタポリシー格納手段に格納されたログフィルタポリシー及び構成情報設定手段に格納された構成情報と、前記侵入検知手段で記憶したログ情報とを比較して不正侵入容疑レベルを決定する不正侵入容疑レベル決定手段と、該不正侵入容疑レベル決定手段で決定された不正侵入容疑レベルが所定レベル以上であるログ情報について不正侵入容疑レベル毎に纏め且つサイト識別情報を付加して前記ログ分析手段に転送するログ情報転送手段とを備えていることを特徴としている。
【０００８】
また、請求項２に係るネットワーク侵入検知システムは、請求項１に係る発明において、前記不正侵入容疑レベル決定手段が、ログ情報がログフィルタポリシー格納手段に格納されたログフィルタポリシーと不一致であるときに高い第１の不正侵入容疑レベルを決定し、ログ情報が前記ログフィルタポリシーと一致するが構成情報と不一致であるときに前記第１の不正侵入容疑レベルより低い第２の不正侵入容疑レベルを決定するように構成されていることを特徴としている。
【０００９】
さらに、請求項３に係るネットワーク侵入検知システムは、請求項１又は２に係る発明において、前記不正侵入容疑レベル決定手段は、ログ情報がログフィルタポリシー及び構成情報と一致するときに該当ログ情報を破棄するように構成されていることを特徴としている。
さらにまた、請求項４に係るネットワーク侵入検知システムは、請求項１乃至３の何れか１つの発明において、前記ログ分析手段が、各サイトのログ情報転送手段に外部ネットワークを介して接続されていることを特徴としている。
【００１０】
なおさらに、請求項５に係るネットワーク侵入検知システムは、請求項１乃至３の何れか１つの発明において、前記ログ分析手段が、各サイトのログ情報転送手段にイントラネットを介して接続されていることを特徴としている。
また、請求項６に係るネットワーク侵入検知システムは、請求項１乃至５の何れか１つの発明において、前記ログ分析手段が、各サイトのログフィルタポリシーを一元管理するログフィルタポリシー管理装置を有し、該ログフィルタポリシー管理装置から各サイトのログフィルタポリシー格納手段にサイト毎のログフィルタポリシーを送信するように構成されていることを特徴としている。
【発明の効果】
【００１１】
請求項１に係る発明によれば、各サイトに、構成情報格納手段及びログフィルタポリシー格納手段を備えているので、ログフィルタポリシー格納手段に例えば「海外のＩＰからのアクセスはない」、「休日や定時間外のアクセスはない」等の所望のログフィルタポリシーを格納し、このログフィルタポリシー及び構成情報とログ情報とを比較することにより、侵入容疑レベルを判断することができ、侵入容疑レベル付けしたログ情報をサイト識別情報と共にログ分析手段に転送することにより、ログ分析手段でサイト別に侵入容疑レベルに基づいてログ分析処理を容易に行うことができるという効果が得られる。また、複数のサイトのログ情報をログ分析手段で集中管理することができるので、専門家による分析を行うことにより、重要な異常を確実に検知することができると共に、各サイトのログ情報を異なる複数のログ分析装置を適用して分析することができ、より分析精度の高いログ分析を行うことができるという効果も得られる。
【００１２】
また、請求項２に係る発明によれば、不正侵入容疑レベル決定手段で、ログ情報がログフィルタポリシーと不一致であるときに高い第１の不正侵入容疑レベルを決定し、ログ情報がログフィルタポリシーと一致するが構成情報と不一致であるときに第１の不正侵入容疑レベルより低い第２の不正侵入容疑レベルを決定するので、ログ情報に正確な不正容疑レベル付けを行うことができ、ログ分析手段でのログ分析処理を容易に行うことができるという効果が得られる。
【００１３】
さらに、請求項３に係る発明によれば、不正侵入容疑レベル決定手段で、ログ情報がログフィルタポリシー及び構成情報と一致するときには不正侵入容疑が無いものと判断してログ情報を破棄することにより、ログ分析手段に転送されるログ情報量を減少させることができるという効果が得られる。
さらにまた、請求項４に係る発明によれば、ログ分析手段が外部ネットワークを介して各サイトのログ情報転送手段に接続されているので、ログ分析手段を任意の場所に設置することができ、遠距離のサイトであっても、確実にログ情報を収集して、ログ分析を一元管理することができるという効果が得られる。
【００１４】
なおさらに、請求項５に係る発明によれば、ログ分析手段がイントラネットを介して各サイトのログ情報転送手段に接続されているので、例えば１つの会社内を部署毎にサイトを構築して、サイト毎のログ分析をログ分析手段で一元管理することができるという効果が得られる。
また、請求項６に係る発明によれば、各サイトのログフィルタポリシー格納手段に格納するログフィルタポリシーをログ分析手段に設けたログフィルタポリシー管理装置で一元管理するので、各サイトで個別にログフィルタポリシーを設定する手間を省略することができると共に、ログフィルタポリシーの設定忘れ等を防止することができるという効果が得られる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の実施の形態を図面に基づいて説明する。
図１は、本発明の一実施形態を示すシステム構成図であり、図中、Ｓ１、Ｓ２……Ｓｎ（ｎは任意の自然数）は監視対象となる複数のサイトであって、各サイトＳ１〜Ｓｎは、インターネット等の外部ネットワークＮｏにセキュリティを確保するために暗号化通信を行うＶＰＮルータやファイアウォールを介して接続されている。この外部ネットワークＮｏには、分析手段としてのログ分析センターＬＣも接続されている。
【００１６】
各サイトＳ１〜Ｓｎは、内部ネットワークＮｉに、不正アクセスの対象となる任意数の管理用サーバ１及びクライアント端末２が接続されていると共に、侵入検知装置３及びログフィルタサーバ４が接続された構成を有する。
ここで、内部ネットワークＮｉは、侵入検知の対象となるパケットが流れるネットワークであり、外部のインターネット等にファイアウォール等を経由したローカルエリアネットワーク等のネットワークや外部ネットワークと切り離されたイントラネット等で構成される。
管理用サーバ１は、構成スキャナ５を有し、この構成スキャナ５によって管理用サーバ１で実行されている実行プログラムや開いているポートの構成を走査し、その走査結果を構成情報としてログフィルタサーバ４に送信する。
【００１７】
侵入検知装置３は、多く使用されている一般的な侵入検知装置であって、機種等は特定しないが、侵入検知データベース６を有し、この侵入検知データベース６に不正パケットを定義するシグネチャを格納するシグネチャ格納領域６ａが形成されていると共に、アラート・ログを格納するアラート・ログ情報格納領域６ｂが形成されている。この侵入検知装置３では、内部ネットワークＮｉ上を流れるパケットを収集し、収集したパケットと侵入検知データベース６に格納されているシグネチャとをイベント分析機能で照合・分析して、両者が一致した場合はアラートとすると共に、その他のパケットデータもログ情報として侵入検知データベース６のアラート・ログ格納領域６ｂに格納する。
【００１８】
ログフィルタサーバ４は、後述するログフィルタポリシー管理装置から外部ネットワークＮｏを経由して「海外のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）からのアクセスはない」、「休日や定時間外のアクセスはない」などのログフィルタポリシー、検知対象の変更などの侵入検知装置設定情報及び管理用サーバ１のＯＳのパッチをリモートで当てたなどの構成情報を受信したときに、ログフィルタポリシーをフィルタ情報データベース７のログフィルタポリシー格納手段としてのログフィルタポリシー格納領域７ａに、侵入検知装置設定情報をフィルタ情報データベース７の侵入検知装置設定情報格納領域７ｂに、構成情報をフィルタ情報データベース７の構成情報格納手段としての構成情報格納領域７ｃに格納し、侵入検知装置設定情報を侵入検知装置３に送信する図２に示す設定更新処理を行うと共に、ログフィルタポリシー及び構成情報に基づいて図３に示すログフィルタ処理を実行する。
【００１９】
ここで、設定更新処理は、図２に示すように、ログフィルタポリシー管理装置から侵入検知装置設定情報を受信したときに実行開始され、先ず、ステップＳ１で、受信した侵入検知装置設定情報をフィルタ情報データベース７の侵入検知装置設定情報格納領域７ｂに格納する。
次いで、ステップＳ２に移行して、侵入検知装置３に対し、侵入検知データベース６に格納されている侵入検知装置設定情報の現在値を送信させる送信要求を出力し、次いでステップＳ３に移行して、侵入検知装置設定情報の現在値を受信したか否かを判定し、侵入検知装置設定情報の現在値を受信していないときにはこれを受信するまで待機し、侵入検知装置設定情報の現在値を受信したときにはステップＳ４に移行して、受信した侵入検知装置設定情報の現在値を変更前情報として一時メモリに記憶してからステップＳ５に移行する。
【００２０】
このステップＳ５では、フィルタ情報データベース７の侵入検知装置設定情報格納領域７ｂに格納した新たな侵入検知装置設定情報を侵入検知装置３に送信して侵入検知データベース６に格納し、次いでステップＳ６に移行して、再度侵入検知装置３に対して侵入検知データベース６に格納されている侵入検知装置設定情報の現在値を送信させる送信要求を出力してからステップＳ７に移行する。
【００２１】
このステップＳ７では、侵入検知装置設定情報の現在値を受信したか否かを判定し、侵入検知装置設定情報の現在値を受信していないときには、これを受信するまで待機し、侵入検知装置設定情報の現在値を受信したときにはステップＳ８に移行して、受信した侵入検知装置設定情報の現在値と、メモリに一時記憶した変更前情報及びフィルタ情報データベース７の侵入検知装置設定情報格納領域７ｂに格納されている新たな侵入検知装置設定情報とを比較することにより、侵入検知データベース６に格納されている侵入検知装置設定情報が正確に更新されているか否かを判定し、侵入検知装置設定情報が正確に更新されていないときには前記ステップＳ５に戻り、侵入検知装置設定情報が正確に更新されているときにはステップＳ９に移行して、侵入検知装置設定情報の現在値を後述するログフィルタポリシー管理装置９に送信してから侵入検知装置設定情報更新処理を終了する。
【００２２】
また、ログフィルタ処理は、図３に示すように、先ず、ステップＳ１１で、侵入検知装置３の侵入検知データベース６から未読のログ情報を読込み、次いでステップＳ１２に移行して、フィルタ情報データベース７のフィルタポリシー格納領域７ａからフィルタポリシーを読込み、次いでステップＳ１３に移行して、ログ情報がフィルタポリシーの条件と合致するか否かを判定し、ログ情報がフィルタポリシーの条件と合致しないときには、外部から不正アクセスしたパケットで侵入容疑が高いものと判断してステップＳ１４に移行し、高い侵入容疑を表す第１の侵入容疑レベルＨを設定し、これをログ情報及び処理時刻データと共に送信パッファに書込んでからステップＳ１５に移行する。
【００２３】
このステップＳ１５では、侵入検知データベース６に格納されている全てのログ情報のチェックが完了したか否かを判定し、全てのログ情報のチェックが完了していないときには前記ステップＳ１１に戻り、全てのログ情報のチェックが完了したときにはステップＳ１６に移行して、ログ情報送信バッファに書込まれているログ情報及び処理時刻データを侵入レベル単位で纏めて送信情報を形成し、これにサイトの識別情報を付加して後述するログ分析センターＬＣのログ情報データベースにアップロードしてからログフィルタ処理を終了する。
【００２４】
一方、ステップＳ１３の判定結果が、ログ情報がフィルタポリシーの条件と合致するときにはステップＳ１７に移行して、フィルタ情報データベース７の構成情報格納領域７ｃから構成情報を読込み、次いでステップＳ１８に移行して、ログ情報が構成情報の条件に合致するか否かを判定し、ログ情報が構成情報の条件に合致しない場合には外部から不正アクセスしたパケットで侵入容疑が中程度であるものと判断してステップＳ１９に移行し、中程度の侵入容疑を表す前記第１の侵入容疑レベルＨよりは低い第２の侵入容疑レベルＭを設定し、これをログ情報及び処理時刻データと共に送信バッファに書込んでから前記ステップＳ１５に移行し、ログ情報が構成情報の条件に合致するときには侵入容疑が無いものと判断してステップＳ２０に移行して、該当ログ情報を破棄してから前記ステップＳ１５に移行する。
【００２５】
この図３のログフィルタ処理において、ステップＳ１１〜Ｓ１９の処理が不正侵入容疑レベル決定手段に対応し、ステップＳ１６の処理がログ情報転送手段に対応している。
また、ログ分析センターＬＣは、外部ネットワークＮｏに図示しないＶＰＮルータ及びファイアウォールを介して接続されたセンタネットワークＮｃを有し、このセンタネットワークＮｃにログ情報データベース８、ログ分析装置９、ログフィルタポリシー管理装置１０が接続されている。
【００２６】
ログ情報データベース８は、前述した各サイトＳ１〜Ｓｎのログフィルタサーバ４からアップロードされる送信情報を図４に示すログ情報テーブル構成として格納する。このログ情報テーブルは、２．１にログ情報を識別し、ログ情報のフィルタリングをした時刻を確認するための時刻を格納し、２．２にサイトを識別する名称等で表されるサイト名を格納し、２．３に侵入容疑高・中などの分析レベルの指標を示すデータを格納し、２．４に該当するサイト及び分析レベルのログ情報を格納するように構成されている。
ログ分析装置９は、市販のログ統計・分析を行う装置であって、ログ情報データベース８に格納されているサイト別且つ侵入容疑レベル別に格納されているログ情報を読込み、読込んだログ情報を分析する。ここで、ログ分析装置９は１台のログ分析装置で構成する他、種類の異なる複数のログ分析装置を適用することも可能である。
【００２７】
ログフィルタポリシー管理装置１０は、データ設定機能を有し、図５に示すログフィルタポリシーテーブルの各項目を設定し、これをログフィルタポリシーデータベース１１に格納する。ログフィルタポリシーテーブルは、１．１にサイトを識別する名称等で表されるサイト名を格納し、１．２にサイト内のサーバ夫々に対し、アクセス可能ＩＰの条件などのパケットをフィルタリングするのに必要な条件を表すフィルタポリシーを記載し（アプリケーションサーバの場合は当該サーバの機能により、特定のＩＰアドレスの利用者したアクセスできない場合と当該ＩＰのみとの条件等のポリシーが設定される）、１．２．１にフィルタポリシーが適用されるサーバのＩＰアドレスを格納し、１．２．２に１．２．１のサーバのＩＰアドレスを格納し、１．３にサーバで実行されている実行プログラムや開いているポートなどの構成情報を格納し、１．３．１に構成情報が適用されるサーバのＩＰアドレスを格納し、１．３．２にサーバＩＰアドレスに対応した構成ポリシーを格納し、１．４に侵入検知装置３に設定する侵入検知装置設定情報を格納し、１．５に侵入検知装置３の侵入検知装置設定情報の現在値を格納する。
【００２８】
次に、上記実施形態の動作を説明する。
先ず、ログ分析センタＬＣのログフィルタポリシー管理装置１０で、監視対象となるサイトＳ１〜Ｓｎ毎に個別のログフィルタポリシーを設定する。すなわち、サイトＳ１がＡ自治体サイトであるものとすると、図６（ａ）に示すように、ログフィルタポリシーテーブルの１．１にサイト名としてＡ自治体サイトを格納し、１．２のフィルタポリシーとしては、ＩＰアドレス１０．１．１．１のサーバで「庁外ＩＰアドレスからのアクセスはない」を格納し、１．３の構成情報としては同様にＩＰアドレス１０．１．１．１のサーバの「ＰＲＯＴ２１のアクセスはない」を格納し、侵入検知装置設定情報としては「ＴＣＰ  ｐｏｒｔ  ｓｃａｎ」を格納すると共に、１．５の侵入検知装置設定情報の現在値として「ＴＣＰ  ｐｏｒｔ  ｓｃａｎ，ＵＤＰ  ｐｏｒｔ  ｓｃａｎ」を格納する。
【００２９】
また、他のサイトＳ２がＢ銀行サイトであるときには、図７（ａ）に示すように、ログフィルタポリシーテーブルの１．１のサイト名にＢ銀行サイトを格納し、１．２のフィルタポリシーとしてＩＰアドレス２０．１．１．１のサーバで「指定国以外のＩＰアドレスからのアクセスはない」を格納し、１．３の構成情報としてどうようにＩＰアドレス２０．１．１のサーバの「ＰＯＲＴ８０へのＧＥＴ，ＨＥＡＤ以外のコマンドアクセスはない」を格納し、１．４の侵入検知装置設定情報として「ＴＣＰ  ｐｏｒｔ  ｓｃａｎ，ＵＤＰ  ｐｏｒｔ  ｐｒｏｂｅ」を格納し、１．５の侵入検知装置設定情報の現在値として「ＴＣＰ  ｐｏｒｔ  ｓｃａｎ，ＵＤＰ  ｐｏｒｔ  ｐｒｏｂｅ」を格納する。
【００３０】
このように、ログフィルタポリシー管理装置１０でサイト別のログフィルタポリシーが設定され、これがログィルタポリシーデータベース１１に格納されると、設定されたログフィルタポリシー情報、侵入検知装置設定情報及び構成情報が該当するサイトＳ１及びＳ２のログフィルタサーバ４にダウンロードされ、フィルタ情報データベースのログフィルタポリシー格納領域７ａ、侵入検知装置設定情報格納領域７ｂ及び構成情報格納領域７ｃにログフィルタポリシー情報、侵入検知装置設定情報及び構成情報が個別に格納される。
【００３１】
そして、ログフィルタサーバ４では、侵入検知装置設定情報をログフィルタポリシー管理装置１０からダウンロードされると、サイトＳ１内の侵入検知装置３に対して侵入検知データベース６に格納されている侵入検知装置設定情報の現在値を送信させる送信要求を送信し、侵入検知装置３から侵入検知装置設定情報の現在値を受信すると、これをメモリに一時記憶してからフィルタ情報データベース７の侵入検知装置設定情報格納領域７ｂに格納されている新たな侵入検知装置設定情報を侵入検知装置３に送信して、侵入検知データベース６内の侵入検知装置設定情報を更新する。このとき、侵入検知装置設定情報を更新する前後の侵入検知データベース６の侵入検知装置設定情報を収集することにより、侵入検知装置設定情報の更新が的確に行われたか否かを確認することができる。
【００３２】
このようにして、各サイトＳ１〜Ｓｎにおける侵入検知データベース６に格納されている侵入検知装置設定情報がログフィルタポリシー管理装置１０での侵入検知装置設定情報の設定によって自動的に更新されると共に、フィルタ情報データベース７のログフィルタポリシー格納領域７ａに格納されているログフィルタポリシー情報及び構成情報格納領域７ｃに格納されている構成情報も自動的に更新される。また、管理用サーバ１は、所定のタイミングで構成スキャナ５で収集した構成情報をログフィルタサーバ４に送信し、このログフィルタサーバ４で、構成情報及び侵入検知装置設定情報の現在値を外部ネットワークＮｏを介してログフィルタポリシー管理装置１０に送信する。
【００３３】
この状態で、各サイトＳ１〜Ｓｎでは、侵入検知装置３によって内部ネットワークＮｉに流れるパケットを収集して、イベント分析機能によって、収集したパケットと侵入検知データベース６のシグネチャ格納領域６ａに格納されている不正パケットを定義するシグネチャとを照合・分析することにより、両者が一致したときにアラートとし、そうでないときもログ情報としてアラート・ログ格納領域６ｂに格納する。
そして、ログフィルタサーバ４は、所定のタイミングで、図３のログフィルタ処理を実行することにより、侵入容疑が高又は中レベルのログ情報を抽出し、これをログ分析センタＬＣのログ情報データベース８にアップロードする。
【００３４】
すなわち、ログフィルタサーバ４のログフィルタ処理で、侵入検知装置３の侵入検知データベース６からアラート・ログ格納領域６ａに格納されているアラート・ログ情報のうち未読のログ情報を読込むと共に、フィルタ情報データベース７のログフィルタポリシー格納領域７ａに格納されているログフィルタポリシー情報を読込み（ステップＳ１１，Ｓ１２）、ログ情報がログフィルタポリシーの条件と合致しているか否かを判定し、ログフィルタポリシーの条件と合致していない場合即ちサイトＳ１に設定されているＩＰアドレス１０．１．１．１のサーバで「庁外ＩＰアドレスからのアクセスはない」というログフィルタポリシーの条件に対して庁外ＩＰアドレスからのアクセスがあったときには、高レベルの侵入容疑があるものと判断して、第１の侵入容疑レベルＨを設定し、この第１の侵入容疑レベルＨとログ情報とを図６（ｂ）に示す送信情報を作成して送信バッファに書込む（ステップＳ１４）。
【００３５】
ここで、送信情報は、２．１にログ情報を識別し、ログのフィルタリングをした時刻として「２００３．８．１２．１．１４：４０：４０」が格納され、２．２のサイト名としてＡ自治体サイトが格納され、２．３のレベルとして侵入容疑高が格納され、２．４のログ情報として（１：１４１８：２）ＳＮＭＰ  ｒｅｑｕｅｓｔ  ｔｃｐ（Ｃｌａｓｓｉｆｉｃａｔｉｏｎ：Ａｔｔｅｍｐｔ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｌｅａｋ）（ｐｒｉｏｒｉｔｙ  ２）８／１２−９：２３：５３．６４３８２  １９２．１６８．１０．３４：１０８６→１０．１．１．１：１６１ＴＣＰ  ＴＴＬ：１２８  ＴＯＳ：０ｘ０  ｉｄ：１６４  ＩｐＬｅｎ：２０  ＤｇｍＬｅｎ：４８  ＤＦ」が格納される。
【００３６】
一方、読み出したログ情報がログフィルタポリシー情報の条件と合致し、さらに構成情報の条件とも合致すると不正パケットではないものと判断されて該当するログ情報は破棄される（ステップＳ２０）。したがって、送信バッファには侵入容疑レベルが高・中レベルのログ情報に基づく送信情報のみが書込まれる。
そして、侵入検知データベース６のアラート・ログ格納領域６ｂに格納されている全てのログ情報のチェックが完了すると、送信バッファに格納されているログ情報をレベル単位で纏めて、送信情報を形成し、これにサイト識別情報を付加してログ情報データベース８にアップロードする（ステップＳ１６）。
【００３７】
一方、Ｂ銀行サイトであるサイトＳ２で、侵入検知データベース６から未読のログ情報を読込んだときに、構成情報が「ＩＰアドレス２０．１．１．１のサーバのＰＯＲＴ８０へのＧＥＴ，ＨＥＡＤ以外のコマンドアクセスはない」が設定されているが、ＰＯＲＴ８０へＧＥＴ，ＨＥＡＤ以外のコマンドアクセスがあったときには、ログ情報が構成情報の条件と合致しないので、図７（ｂ）に示すようにフィルタリング時刻、サイト名、中程度の侵入容疑を表す第２の侵入容疑レベルＭ、及び該当するログ情報を記載した送信情報を形成し、これが送信バッファに書込まれる（ステップＳ１９）。
【００３８】
このため、全てのログ情報のチェックが完了したときに、送信パッファに格納されているログ情報が侵入容疑レベル単位に纏められて送信情報が形成され、これにサイト識別情報が付加されてログ情報データベース８にアップロードされる。
このように、各サイトＳ１〜Ｓｎでは、侵入容疑レベルが高・中のログ情報のみが送信バッファに書込まれ、全てのログ情報のチェックが完了した時点で、送信バッファに格納されているログ情報が侵入容疑レベル単位に纏められて送信情報が形成され、この送信情報にサイト識別情報が付加されてログ情報データベース８にアップロードされるので、ログ情報データベース８にアップロードされる情報量を大幅に削減することができる。
【００３９】
しかも、ログ情報データベース８に格納されるログ情報はサイト別で且つ侵入容疑レベル別に格納されることから、このログ情報データベース８に格納されているログ情報をログ分析装置９で分析する際に、重要な異常を検出するための時間と手間を軽減してログ情報の分析を容易に行うことができると共に、重要な異常データを見逃すことを確実に防止することができる。
【００４０】
さらに、複数のサイトＳ１〜Ｓｎのログ分析をログ分析センタＬＣのログ分析装置９で一括して行うことができるので、ログ分析センタＬＣに専門家を配置することにより、高度のログ分析を行うことができると共に、ログ分析センタＬＣで異なる複数の分析装置を設けて、異なるログ分析を行うことも可能となり、ログ分析精度を向上させることができる。
【００４１】
さらにまた、複数のサイトＳ１〜Ｓｎに個別に設定するログフィルタポリシー情報もログ分析センタＬＣに配置したログフィルタポリシー管理装置１０で一元管理するので、個々のサイトＳ１〜Ｓｎで個別にログフィルタポリシー情報、構成情報、侵入検知装置設定情報を設定する必要がなく、そのための時間と手間を省略することができる。
なお、上記実施形態においては、複数のサイトＳ１〜Ｓｎとログ分析センタＬＣとをインターネット等の外部ネットワークＮｏを経由して接続した場合について説明したが、これに限定されるものではなく、会社等の部署毎にサイトを形成し、各サイトをイントラネットに接続し、このイントラネットにログ分析センタを接続することにより、イントラネット内で複数サイトのログ分析を一括管理するようにしてもよい。
【００４２】
また、上記実施形態においては、ログ分析センタＬＣでログ情報データベース８とログ分析装置９とをセンタネットワークＮｃを介して接続する場合について説明したが、これに限定されるものではなく、ログ情報データベース８とログ分析装置９とを切り離してバッチ処理するようにしてもよい。
さらに、上記実施形態においては、サイト内の構成情報をサーバ１に設けた構成スキャナ５を使用して自動取得する場合について説明したが、これに限定されるもではなく、構成情報をログフィルタ管理装置１０で設定したり、ログフィルタサーバ４で設定したり、さらにはログフィルタ管理装置１０及びログフィルタサーバ４の双方で設定することもできる。
【図面の簡単な説明】
【００４３】
【図１】本発明の一実施形態を示すシステム構成図である。
【図２】ログフィルタサーバで実行する情報更新処理手順の一例を示すフローチャートである。
【図３】ログフィルタサーバで実行するログフィルタ処理手順の一例を示すフローチャートである。
【図４】ログ情報データベースのデーブル構成例を示す説明図である。
【図５】ログフィルタポリシーデータベースのテーブル構成例を示す説明図である。
【図６】あるサイトの実際のログフィルタポリシーテーブル及びログ情報テーブルを示す説明図である。
【図７】他のサイトの実際のログフィルタポリシーテーブル及びログ情報テーブルを示す説明図である。
【符号の説明】
【００４４】
Ｓ１〜Ｓｎ…サイト、Ｎｏ…外部ネットワーク、ＬＣ…ログ分析センタ、Ｎｉ…内部ネットワーク、１…管理用サーバ、２…クライアント端末、３…侵入検知装置、４…ログフィルタサーバ、５…構成スキャナ、６…侵入検知データベース、６ａ…シグネチャ格納領域、６ｂ…アラート・ログ格納領域、７…フィルタ情報データベース、７ａ…ログフィルポリシー格納領域、７ｂ…侵入検知装置設定情報格納領域、７ｃ…構成情報格納領域、８…ログ情報データベース、９…ログ分析装置、１０…ログフィルタポリシー管理装置、１１…ログフィルタポリシーデータベース
【図１】
2005189996.tif 000003
【図２】
2005189996.tif 000004
【図３】
2005189996.tif 000005
【図４】
2005189996.tif 000006
【図５】
2005189996.tif 000007
【図６】
2005189996.tif 000008
【図７】
2005189996.tif 000009