(57)【要約】【課題】セキュリティインシデントを検知するネットワークシステムにおいて、センサによって検知され収集されたイベントログと各通信端末によって記録されるシステムコールログを関連付け、管理者が容易に監査を実施することができるようにする。【解決手段】ログデータ解析端末１には、ネットワークセンサ２０及びホストセンサ３０が検知したイベントを収集するコレクタ１０と、イベントログを表示するコンソール１１と、イベントを解析するインシデント解析機能を有するデータ解析エージェント１３と、を設ける。サーバ３及び通信端末４には、システムコールに関する情報をＤＢ３５，４５に記録するシステムコール保持部３１，４１と、ＤＢ３５，４５内の情報を検索する情報検索エージェント３３，４３と、を設ける。さらに、データ解析エージェント１３と情報検索エージェント３３，４３との間の通信を仲介する通信部１２，３２，４２を設ける。【選択図】      図１
2005227982.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続され、不正パケット検知機能を有するネットワークセンサを備えたネットワーク監視端末と、
前記ネットワークに接続され、不正操作検知機能を有するホストセンサと第１の情報記録手段とを備える１または複数のサーバと、
前記ネットワークに接続され、前記ネットワークセンサ及び前記ホストセンサが検知した情報をイベントとして収集するコレクタと前記コレクタが収集した情報をイベントログとして表示するコンソールとを有するログデータ解析端末と、
を備えるネットワークシステムであって、
前記サーバは、プロセスが発行するシステムコールに関する情報を前記第１の情報記録手段に記録する第１のシステムコール保持手段と、前記第１の情報記録手段内の情報を検索する第１の情報検索エージェントと、を備え、
前記ログデータ解析端末は、前記コレクタが収集したイベントを解析するインシデント解析機能を有するデータ解析エージェントを備え、
前記第１のシステムコール保持手段は、前記サーバにおける通信に関わるシステムコール及び前記サーバのメモリ内の情報からプロセスと該プロセスが発行したパケットとを関連付けるネットワークアクセス情報を前記第１の情報記録手段に記録するとともに、プロセスの生成・消滅に関わる前記サーバのシステムコール及び前記サーバのメモリ内の情報からプロセスの親子関係に関わる情報と前記第１の情報記録手段に記録し、
さらに前記データ解析エージェントと前記第１の情報検索エージェントとの間の通信手段を備える、ネットワークシステム。
【請求項２】
第２の情報記録手段を有する通信端末が前記ネットワークに接続し、
前記通信端末は、プロセスが発行するシステムコールに関する情報を前記第２の情報記録手段に記録する第２のシステムコール保持手段と、前記第２の情報記録手段内の情報を検索する第２の情報検索エージェントと、を備え、
前記第２のシステムコール保持手段は、前記通信端末における通信に関わるシステムコール及び前記通信端末のメモリ内の情報からプロセスと該プロセスが発行したパケットとを関連付けるネットワークアクセス情報を前記第２の情報記録手段に記録するとともに、プロセスの生成・消滅に関わる前記通信端末のシステムコール及び前記通信端末のメモリ内の情報からプロセスの親子関係に関わる情報を前記第２の情報記録手段に記録し、
前記通信手段は、前記データ解析エージェントと前記第１及び第２の情報検索エージェントとの間の通信を確立する、請求項１に記載のネットワークシステム。
【請求項３】
前記データ解析エージェントは、前記ネットワークセンサにおいて検知され、前記コンソールに表示されたイベントに対してイベントの指定があった場合に、指定されたイベントから不正パケットの送受信に関連する情報端末を特定し、前記特定した情報端末に対して、前記通信手段を利用し、前記不正パケットを生成したシステムコールを調査するための調査パケットを送信し、
前記調査パケットを受信した通信端末の第２の情報検索エージェントは、前記第２の情報記録手段から、前記第２のシステムコール保持手段により保存されたデータを検索し、前記不正パケットを発信もしくは受信したプロセスを特定し、前記特定したプロセスの親子関係及び前記特定したプロセスが発行したシステムコールを検索し、特定し検索した結果を含む応答パケットを前記データ解析エージェントに対して前記通信手段を用いて送信する、請求項２に記載のネットワークシステム。
【請求項４】
前記データ解析エージェントは、前記ホストセンサにおいて検知され前記コンソールに表示されたイベントに対してイベントの指定があった場合に、前記不正操作が検知されたサーバの第１の情報検索エージェントに対してシステムコールを調査するための第１の調査パケットを送信し、第１の応答パケットを受信した場合に、イベントを引き起こしたパケットを送信した通信端末に対して該パケットを生成したシステムコールを調査するための第２の調査パケットを送信し、
情報検索エージェントは、前記第１の調査パケットを受信した場合に、イベント生成の原因を分析して該イベントの原因が他の情報端末からのパケットにより引き起こされたものと判断した場合には、前記イベントを引き起こしたパケットを送信した情報端末を特定する情報を含む前記第１の応答パケットを前記データ解析エージェントに送信し、前記第２の調査パケットを受信した場合に、前記第２のシステムコール保持手段により保存されたデータを検索し、前記不正パケットを発信もしくは受信したプロセスを特定し、該プロセスの親子関係及び該プロセスが発行したシステムコールを前記第２の情報記録手段から検索し、特定し検索した結果を含む第２の応答パケットを前記データ解析エージェントに前記通信手段を用いて送信する、請求項２に記載のネットワークシステム。
【請求項５】
ネットワークに接続されたログデータ解析端末であって、
ネットワークセンサ及びホストセンサが検知した情報をイベントとして収集するコレクタと、
前記コレクタが収集した情報をイベントログとして表示するコンソールと、
前記コレクタが収集したイベントを解析するインシデント解析機能を有するとともに、ネットワークセンサによって検知されたイベントに対して指定があった場合に、指定されたイベントから不正パケットの送受信に関連する通信端末を特定し、前記特定した通信端末に対して、前記不正パケットを生成したシステムコールを調査するための調査パケットを送信するデータ解析エージェントと、
前記通信端末との間での通信を確立する送信部と、
有するログデータ解析端末。
【請求項６】
ネットワークに接続されたログデータ解析端末であって、
ネットワークセンサ及びホストセンサが検知した情報をイベントとして収集するコレクタと、
前記コレクタが収集した情報をイベントログとして表示するコンソールと、
前記コレクタが収集したイベントを解析するインシデント解析機能を有するとともに、ホストセンサにおいて検知されたイベントに対して指定があった場合に、不正操作が検知されたサーバの情報検索エージェントに対してシステムコール及びイベントの原因を調査するための第１の調査パケットを送信し、第１の応答パケットを受信した場合に、イベントを引き起こしたパケットを送信した情報端末に対して該パケットを生成したシステムコールを調査するための第２の調査パケットを送信するデータ解析エージェントと、
前記情報端末との間での通信を確立する送信部と、
有するログデータ解析端末。
【請求項７】
情報記録手段と、
プロセスが発行するシステムコールに関する情報を前記情報記録手段に記録し、通信に関わるシステムコール及びメモリ内の情報からプロセスと該プロセスが発行したパケットとを関連付けるネットワークアクセス情報を前記情報記録手段に記録し、プロセスの生成・消滅に関わるシステムコール及びメモリ内の情報からプロセスの親子関係に関わる情報を前記情報記録手段に記録するシステムコール保持手段と、
前記情報記録手段内を検索する機能を有し、調査パケットを受信した場合に、前記情報記録手段から、前記システムコール保持手段により保存されたデータを検索し、不正パケットを発信もしくは受信したプロセスを特定し、特定したプロセスの親子関係及び前記特定したプロセスが発行したシステムコールを検索し、特定し検索した結果を含む応答パケットを前記調査パケットを発行したデータ解析エージェントに対して送信する情報検索エージェントと、
前記データ解析エージェントとの通信を確立する通信部と、
を有する情報端末。
【請求項８】
情報記録手段と、
プロセスが発行するシステムコールに関する情報を前記情報記録手段に記録し、通信に関わるシステムコール及びメモリ内の情報からプロセスとプロセスが発行したパケットとを関連付けるネットワークアクセス情報を前記情報記録手段に記録し、プロセスの生成・消滅に関わるシステムコール及びメモリ内の情報からプロセスの親子関係に関わる情報を前記情報記録手段に記録するシステムコール保持手段と、
前記情報記録手段内を検索する機能を有し、調査パケットを受信した場合に、イベント生成の原因を分析して該イベントの原因が他の情報端末からのパケットにより引き起こされたものと判断した場合には、前記イベントを引き起こしたパケットを送信した情報端末を特定する情報を含む応答パケットを前記調査パケットを発行したデータ解析エージェントに送信する情報検索エージェントと、
前記データ解析エージェントとの通信を確立する通信部と、
を有する情報端末。
【請求項９】
コンピュータを、
イベントを収集するコレクタ、
前記コレクタが収集したイベントを解析するインシデント解析機能を有するとともに、ネットワークセンサによって検知されたイベントに対して指定があった場合に、指定されたイベントから不正パケットの送受信に関連する情報端末を特定し、前記特定した情報端末に対して、前記不正パケットを生成したシステムコールを調査するための調査パケットを送信するデータ解析エージェント、
として機能させるプログラム。
【請求項１０】
コンピュータを、
イベントを収集するコレクタ、
前記コレクタが収集したイベントを解析するインシデント解析機能を有するとともに、ホストセンサにおいて検知されたイベントに対して指定があった場合に、不正操作が検知されたサーバの情報検索エージェントに対してシステムコールを調査するための第１の調査パケットを送信し、第１の応答パケットを受信した場合に、イベントを引き起こしたパケットを送信した情報端末に対してそのパケットを生成したシステムコールを調査するための第２の調査パケットを送信するデータ解析エージェント、
として機能させるプログラム。
【請求項１１】
コンピュータを、
プロセスが発行するシステムコールに関する情報を情報記録手段に記録し、通信に関わるシステムコール及びメモリ内の情報からプロセスとプロセスが発行したパケットとを関連付けるネットワークアクセス情報と、プロセスの生成・消滅に関わるシステムコール及びメモリ内の情報からプロセスの親子関係に関わる情報と、を前記情報記録手段に記録するシステムコール保持手段、
前記情報記録手段内を検索する機能を有し、調査パケットを受信した場合に、前記情報記録手段から、前記システムコール保持手段により保存されたデータを検索し、不正パケットを発信もしくは受信したプロセスを特定し、特定したプロセスの親子関係及び前記特定したプロセスが発行したシステムコールを検索し、特定し検索した結果を含む応答パケットを前記調査パケットを発行したデータ解析エージェントに対して送信する情報検索エージェント、
として機能させるプログラム。
【請求項１２】
コンピュータを、
プロセスが発行するシステムコールに関する情報を情報記録手段に記録し、通信に関わるシステムコール及びメモリ内の情報からプロセスとプロセスが発行したパケットとを関連付けるネットワークアクセス情報と、プロセスの生成・消滅に関わるシステムコール及びメモリ内の情報からプロセスの親子関係に関わる情報と、を前記情報記録手段に記録するシステムコール保持手段、
前記情報記録手段内を検索する機能を有し、調査パケットを受信した場合に、イベント生成の原因を分析して該イベントの原因が他の情報端末からのパケットにより引き起こされたものと判断した場合には、前記イベントを引き起こしたパケットを送信した情報端末を特定する情報を含む応答パケットを前記調査パケットを発行したデータ解析エージェントに送信る情報検索エージェント、
として機能させるプログラム。
【請求項１３】
コンピュータが読み取り可能な記録媒体であって、請求項８乃至１２のいずれか１項に記載のプログラムを格納した記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおけるセキュリティ監視技術に関し、特に、ログの解析を基にするセキュリティ監視機能を備えたネットワークシステムに関する。
【背景技術】
【０００２】
従来、セキュリティインシデント（セキュリティ上の問題となり得る事象）を検知する方法として、ネットワーク上の不正パケットを監視するネットワークＩＤＳ（侵入検知システム(Intrusion Detection System)）を配置する方法と、サーバ等の端末にホストＩＤＳを配置する方法が知られている。
【０００３】
また、システム上で発生したインシデントについて、証拠の保全及び詳細な原因の追究を実施するために、各端末において発行された全てのシステムコールを収集する手法（例えば非特許文献１参照）が知られている。さらに、ネットワークＩＤＳに端末におけるログを連携させて、ＩＤＳにおけるfalse positive（偽陽性）を減らすシステムも開発されている（例えば非特許文献２参照）。
【非特許文献１】SECURE AUDITING FOR LINUX (SAL) SOFTWARE DESIGN DOCUMENT, ２００３年２月２８日（[online]、インターネット＜URL：http://secureaudit.sourceforge.net/docs/SAL_SDD_1.pdf＞）
【非特許文献２】「２００３年５月２０日プレスリリース」、沖電気工業株式会社（[online]、インターネット＜URL：http://www.oki.com/jp/Home/JIS/New/OKI-News/2003/05/z03013.html＞）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ＩＤＳを導入することにより、システムの管理者は、ＩＤＳのアラームによって、セキュリティインシデントの発生を確認できる。しかしながらＩＤＳのアラームは、各端末で検査された結果によって生ずるため、例えばネットワークＩＤＳが管理者に通知するアラームに含まれる情報では、パケット受信端末に影響を与えるパケットと引き起こされるインシデントの特定はできるものの、問題となるパケットが、パケットを送信したホストのどのユーザやプロセスが発行したものなのか、パケットを受信したホストではどのような操作がなされたのか、といった情報までは把握することができない。また、ホストＩＤＳのアラーム情報においても、そのアラームが端末のローカルでの操作に起因するものでなく、他のホストからのパケットによって引き起こされた場合には、アラームを引き起こしたパケットの送信元において、どのようなプロセスが問題のパケットを送信したのか、といった情報を知ることができない。
【０００５】
また、従来のホストＩＤＳは、管理者が設定したログ取得ポリシーに基づくログファイルの検索を基礎とするため、ログファイルに収集されないイベントについては、調査を行うことができない。
【０００６】
そのような問題を解消し、より正確な監査を実施するために、システムコール情報の収集が行われるが、その場合には膨大なログの蓄積・解析が必要となるため、システムコールログを１つのコレクタにより収集する方式では限界がある。
【０００７】
現状では、セキュリティインシデントの原因の解明のために、管理者は、アラームの情報を基に容疑対象の端末を特定し、その端末のログデータやディスクイメージ等を解析することになる。容疑端末やプロセスの特定には、ログの情報操作に対する管理者の高いスキルを必要とする。
【０００８】
本発明は、このような従来の課題を解決するためになされたもので、各端末及びネットワーク監視装置によりログの収集がなされるネットワークにおいて、互いのログデータを自動的に関連付けて解析することで管理者の情報収集・解析業務を軽減することができる、セキュリティ監視機能を備えたネットワークシステムと、そのようなネットワークシステムで用いられるログデータ解析端末及び情報端末を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明のネットワークシステムは、ネットワークに接続され、不正パケット検知機能を有するネットワークセンサを備えたネットワーク監視端末と、ネットワークに接続され、不正操作検知機能を有するホストセンサと第１の情報記録手段とを備える１または複数のサーバと、ネットワークに接続され、ネットワークセンサ及びホストセンサが検知した情報をイベントとして収集するコレクタとコレクタが収集した情報をイベントログとして表示するコンソールとを有するログデータ解析端末と、を備えるネットワークシステムであって、サーバは、プロセスが発行するシステムコールに関する情報を第１の情報記録手段に記録する第１のシステムコール保持手段と、第１の情報記録手段内の情報を検索する第１の情報検索エージェントと、を備え、ログデータ解析端末は、コレクタが収集したイベントを解析するインシデント解析機能を有するデータ解析エージェントを備え、第１のシステムコール保持手段は、サーバにおける通信に関わるシステムコール及びサーバのメモリ内の情報からプロセスとプロセスが発行したパケットとを関連付けるネットワークアクセス情報と、プロセスの生成・消滅に関わるサーバのシステムコール及びサーバのメモリ内の情報からプロセスの親子関係に関わる情報と、を第１の情報記録手段に記録し、さらにデータ解析エージェントと第１の情報検索エージェントとの間の通信手段を備える。
【００１０】
本発明のネットワークシステムにおいては、通信手段を用いてインシデント解析エージェントと情報検索エージェントとが情報を交換することにより、端末（通信端末やサーバ）間にまたがる不正行為を調査することが可能となる。また、システムコールログの収集・解析を各端末やサーバに分散させているので、ログの一元集中管理方式における問題点を解消することができる。
【００１１】
本発明においては、第２の情報記録手段を有する通信端末がネットワークに接続されるようにし、通信端末には、プロセスが発行するシステムコールに関する情報を第２の情報記録手段に記録する第２のシステムコール保持手段と、第２の情報記録手段内の情報を検索する第２の情報検索エージェントと、が設けられ、第２のシステムコール保持手段が、通信端末における通信に関わるシステムコール及び通信端末のメモリ内の情報からプロセスとプロセスが発行したパケットとを関連付けるネットワークアクセス情報と、プロセスの生成・消滅に関わる通信端末のシステムコール及び通信端末のメモリ内の情報からプロセスの親子関係に関わる情報と、を第２の情報記録手段に記録し、通信手段は、データ解析エージェントと第１及び第２の情報検索エージェントとの間の通信を確立するようにすることが好ましい。
【００１２】
本発明のネットワークシステムでは、データ解析エージェントが、ネットワークセンサにおいて検知され、コンソールに表示されたイベントに対してイベントの指定があった場合に、指定されたイベントから不正パケットの送受信に関連する情報端末（サーバまたは通信端末）を特定し、特定した情報端末がサーバである場合には、その特定したサーバに対して、通信手段を利用し、不正パケットを生成したシステムコールを調査するための調査パケットを送信し、調査パケットを受信したサーバの第１の情報検索エージェントが、第１の情報記録手段から、第１のシステムコール保持手段により保存されたデータを検索し、不正パケットを発信もしくは受信したプロセスを特定し、特定したプロセスの親子関係及び特定したプロセスが発行したシステムコールを検索し、特定し検索した結果を含む応答パケットをデータ解析エージェントに対して通信手段を用いて送信するようにすることが好ましい。同様に、特定した情報端末が通信端末である場合には、データ解析エージェントは、その特定した通信端末に対して、通信手段を利用し、不正パケットを生成したシステムコールを調査するための調査パケットを送信し、調査パケットを受信した通信端末の第２の情報検索エージェントが、第２の情報記録手段から、第２のシステムコール保持手段により保存されたデータを検索し、不正パケットを発信もしくは受信したプロセスを特定し、特定したプロセスの親子関係及び特定したプロセスが発行したシステムコールを検索し、特定し検索した結果を含む応答パケットをデータ解析エージェントに対して通信手段を用いて送信するようにすることが好ましい。
【００１３】
そのように構成することにより、コンソールを実装した端末であるログデータ解析端末は、ネットワークセンサで検知されたイベントについて、イベントに関連する情報端末を調査し、どのユーザやプロセスが発行したパケットによるものなのか、パケットを受けた通信端末においてパケットを受けたプロセスがファイル操作を行ったか、といった情報をオンデマンドに調査することが可能となる。
【００１４】
本発明ではさらに、データ解析エージェントが、ホストセンサにおいて検知されコンソールに表示されたイベントに対してイベントの指定があった場合に、不正操作が検知されたサーバの第１の情報検索エージェントに対してシステムコールを調査するための第１の調査パケットを送信し、第１の応答パケットを受信した場合に、イベントを引き起こしたパケットを送信した通信端末（やサーバ）に対してそのパケットを生成したシステムコールを調査するための第２の調査パケットを送信し、情報検索エージェントが、第１の調査パケットを受信した場合に、イベント生成の原因を分析してイベントの原因が他の通信端末（やサーバ）からのパケットにより引き起こされたものと判断した場合には、イベントを引き起こしたパケットを送信した通信端末（やサーバ）を特定する情報を含む第１の応答パケットをデータ解析エージェントに送信し、第２の調査パケットを受信した場合に、第２のシステムコール保持手段により保存されたデータを検索し、不正パケットを発信もしくは受信したプロセスを特定し、プロセスの親子関係及びプロセスが発行したシステムコールを第２の情報記録手段から検索し、特定し検索した結果を含む第２の応答パケットをデータ解析エージェントに通信手段を用いて送信するようにすることが、好ましい。
【００１５】
このように構成することにより、ホストセンサによってイベントとして捉えられた情報端末上の振る舞いが、どのようなパケットによって引き起こされたかを把握することができ、イベントを引き起こしたパケットがどの情報端末のどのプロセスが発行したものであるかを把握することができ、さらに、そのパケットを受信した情報端末のプロセスの動きを把握することができるようになる。
【００１６】
本発明のログデータ解析端末は、上述した本発明のネットワークシステムにおけるログデータ解析端末であり、本発明の情報端末は、上述した本発明のネットワークシステムにおけるサーバまたは通信端末であって、上述したように機能する情報記録手段とシステムコール保持手段と情報検索エージェントとを備えることを特徴とするものである。
【発明の効果】
【００１７】
本発明は、セキュリティ監視機能を有するネットワークシステムにおいて、インシデントの詳細情報の収集をオンデマンドに行うことで、管理者の情報収集・解析業務を軽減することができる。
【発明を実施するための最良の形態】
【００１８】
以下、図面を参照して本発明の実施の形態について詳細に説明する。図１は、本発明の実施の一形態に関わるネットワークシステムのブロック構成図である。
【００１９】
図１に示すように、ネットワークシステム１０００は、ログデータ解析端末１、ネットワーク監視端末２、サーバ３及び通信端末４を備えており、これらはいずれもネットワーク９に接続している。ここでは通信端末４は１台しか描かれていないが、実際には、複数台の通信端末４がネットワーク９に接続しているものとする。サーバ３についても、複数台がネットワーク９に接続していてもよい。
【００２０】
ネットワーク監視端末２は、いくつかのサーバ３及び通信端末４へのトラフィックを捕捉できる位置に設置されており、不正パケット検知機能を有するネットワークセンサ２０を備えている。サーバ３には、不正操作検知機能を有するホストセンサ３０が設けられている。ログデータ解析端末１には、ネットワークセンサ２０やホストセンサ３０からのイベント（不正パケット、不正操作を検知した情報）を収集するコレクタ１０と、インシデント解析機能を有するデータ解析エージェント１３と、コレクタ１１が収集したデータ（すなわちイベントログ）やデータ解析エージェント１３が収集したデータを管理し表示するコンソール１１とが設けられている。コンソール１１は、さらに、ネットワークセンサ２０、ホストセンサ３０などの管理や監視も行う。データ解析エージェント１３は、インシデント解析機能を有する機能達成手段（すなわちデータ解析部）として構成されていればよい。
【００２１】
このネットワークシステムにおいて、ログデータ解析端末１、サーバ３及び通信端末４は、ログの解析に関わる端末であって、それぞれ、相互の間で通信を行うための通信部１２，３２，４２を備えている。通信部１２，３２，４２は、例えばＩＰｓｅｃのような、暗号化や認証によりセキュリティを確保できるプロトコルを用いて、情報を送受信する。特に通信部１２，３２，４２は、ログデータ解析端末１内のデータ解析エージェント１３と、サーバ３及び通信端末４内にそれぞれ設けられる後述する情報検索エージェント３３，４３との間の通信を確立する。なお、ここでのプロトコルは、ＳＳＬ(Secure Sockets Layer)、ＴＬＳ(Transport Layer Security)などの通信プロトコルでもよい。検索情報は、暗号化や認証によるセキュリティが確保される論理的な通信路を用いて交換される。
【００２２】
サーバ３や通信端末４には、ＳＥ  ＬｉｎｕｘなどのセキュアＯＳ（オペレーティングシステム）がインストールされている。ところで、セキュアＯＳの代表的な機能として、強制アクセス制御などがある。サーバ３や通信端末４は、それぞれ、情報記録手段であるデータベース（ＤＢ）３５，４５と、そのサーバ３や通信端末４のＯＳ上で発行されたシステムコールを保持する機能を有するシステムコール保持部３１，４１と、ＤＢ３５，４５にアクセスしてＤＢ３５，４５内の情報を検索する情報検索エージェント３３，４３とを備えている。そして、システムコール保持部３１，４１を備えるサーバ３や通信端末４では、（ＯＳに直接関連しているシステムコール保持部などを除いて）情報検索エージェント３３，４３のみがＤＢ３５，４５にアクセスできるようにセキュリティポリシを記述し、これにより、ＤＢ３５，４５の改竄を防止する。なお、情報検索エージェント３３，４３は、それぞれ、ＤＢ３５，４５内の情報を検索する機能を有する機能達成手段（すなわち情報検索部）として構成されていればよい。以下、ＯＳとしてＬｉｎｕｘがインストールされた通信端末４を想定する。
【００２３】
通信端末４のシステムコール保持部４１は、通信端末４で実行されるプロセスが発行するシステムコールを捕捉し、そのシステムコールに関する情報をシステムコール情報４６としてＤＢ４５に蓄積する。また、各システムコールについて、ＯＳで定義されたシステムコール番号とともにタイムスタンプ・プロセスＩＤ・ユーザＩＤ・実効ユーザＩＤ・システムコールからの戻り値・システムコールを発行したプロセスを実行したプログラム情報をシステムコールデータとしてＤＢ４５に格納する。また、システムコールにおいてユーザプロセスがカーネルに引き渡す引数もＤＢ４５に保存する。
【００２４】
システムコール保持部４１は、通信に関わるシステムコール及びメモリ内の情報からプロセスとプロセスが発行したパケットを関連付けるネットワークアクセス情報４７を保持し、ＤＢ４５に記録する。具体的には、システムコール保持部４１は、ｓｏｃｋｆｓファイルシステムへのシステムコールｏｐｅｎ、ｒｅａｄ、ｗｒｉｔｅを監視し、メモリ上のｓｏｃｋｅｔ構造体・ｓｏｃｋ構造体よりＩＰアドレス・ポート番号を取得し、システムコールを発行したシステムコール番号・プロセスＩＤ・タイムスタンプとともに、ネットワークアクセス情報４７としてＤＢ４５に記録する。
【００２５】
また、システムコール保持部４１は、プロセスの生成・消滅に関わるシステムコール及びメモリ内の情報からプロセスの親子関係に関わる情報をプロセス情報４８として保持し、ＤＢ４５に記録する。具体的にはシステムコール保持部４１は、ｆｏｒｋ、ｅｘｅｃｖｅ、ｅｘｉｔ、ｋｉｌｌといったプロセス生成や消滅に関わるシステムコールを監視する。通信端末４に存在する全てのプロセスに対して、親子関係やユーザＩＤの情報をプロセス情報４８としてＤＢ４５に保持し、システムコール保持部４１がプロセス状況の変化を検知した場合は、タイムスタンプとともに、プロセス情報４８としてＤＢ４５に記録する。
【００２６】
サーバ３においてもシステムコール保持部３１は、上述と同様に、ＤＢ３５に対してシステムコール情報３６、ネットワークアクセス情報３７及びプロセス情報３８を登録する。なお、本実施形態のネットワークシステム１０００においては、ＮＴＰ(network time protocol)を利用することによって、ログデータ解析端末１、ネットワーク監視端末２、サーバ３及び通信端末４の間での時刻の同期が確立するようにしている。
【００２７】
まず、ネットワークセンサ２０からのイベントログから調査する方法について、説明する。
【００２８】
ネットワーク監視端末２のネットワークセンサ２０は、ネットワーク９上での不正パケットを監視しており、ネットワークセンサ２０が不正アクセスの兆候を検知すると、ログデータ解析端末１のコンソール１１においては、不正アクセスの兆候を持ったパケットのイベントログの記録が表示される。管理者が追跡したいイベントログを指示すると、データ解析エージェント１３は、イベントログより、パケットの受発信に関わる情報端末のＩＰアドレス、ポート番号、及びイベント発生時間を示すタイムスタンプを取得する。情報端末とは、通信端末４やサーバ３など、ネットワーク９に接続する機器を総称するものである。
【００２９】
ここで、イベントとして記録されたパケットが通信端末４からサーバ３に対するものであったと仮定する（パケットの発信に関わる情報端末が通信端末４であり、受信に関わる情報端末がサーバ３であったものと仮定する）。図２にはログデータ解析端末１と通信端末４の間のパケットの流れが示されている（サーバ３に対しても同様の処理が行われる）。データ解析エージェント１３は、調査パケット１００を生成し、イベントログから取得したＩＰアドレスを基に、その調査パケット１００を該当する通信端末４に送信する。
【００３０】
通信端末４においては、情報検索エージェント４３が調査パケット１００を受信する。パケットの受信を受け、情報検索エージェント４３は、ＤＢ４５内のネットワークアクセス情報４７を検索し、タイムスタンプの情報を基にパケットの受発信に関わるプロセスを特定する。さらに情報検索エージェント４３は、プロセス情報４８を検索し、タイムスタンプを基にパケット受発信時のプロセス状況を取得する。
【００３１】
特定されたプロセスとプロセス状況は、応答パケット１０１によりログデータ解析端末１のデータ解析エージェント１３に返信され、その返信された情報は、コンソール１１により表示される。
【００３２】
次に、コンソール１１において管理者が調査したいプロセスを指定することで、調査パケット１０２が通信端末４に送信される。調査パケット１０２には、管理者の指定した、調査したいプロセスのＩＤ、検索対象時間（ログの検索範囲を、不正パケットの送受信から前後の時間幅により制限する）が含まれる。調査パケット１０２を受信した通信端末４の情報検索エージェント４３は、調査パケット１０２により指定されたプロセスに関するシステムコールのデータを、ＤＢ４５内のシステムコール情報４６より取得する。情報検索エージェント４３が検索した結果は、応答パケット１０３によりデータ解析エージェント１３に返信され、その返信された情報は、コンソール１１により表示される。その際、例えばシステムコールｗｒｉｔｅの引数に利用されるｆｄ（ファイルディスクリプタ）を、システムコールｗｒｉｔｅに先立ち発行されるシステムコールｏｐｅｎの引数からデータを取得して、ファイル名に変換する等の処理がなされる。
【００３３】
次に、ホストセンサ３０からのイベントログから調査する方法について記載する。
【００３４】
サーバ３のホストセンサ３０が不正操作の疑いがあるイベントを検知したと仮定する。ログデータ解析端末１のコンソール１１においては、サーバ３における不正操作のイベントログの記録が表示される。管理者が追跡したいイベントログをコンソール１１上で指示すると、データ解析エージェント１３は、イベントログからイベントログの原因となった操作を行ったユーザＩＤとプロセスＩＤを取得し、それらのデータ、及びサーバ３におけるシステムコール情報の検索対象時間（ログの検索範囲を、不正パケットの送受信から前後の時間幅により制限する）を含む調査パケット２００を生成し、不正操作を検知したサーバ３の情報検索エージェント３３に送信する。
【００３５】
情報検索エージェント３３は、検索対象のプロセスがネットワーク経由で生成されたものかどうかを判断する機能を備えており、調査パケット２００を受信すると、ＤＢ３５内のシステムコール情報３６とネットワークアクセス情報３７を検索し、イベントログの原因となった操作を行ったプロセスが、ネットワーク経由で生成されたものであるかを判断する。そして、プロセスがネットワーク経由で生成されたものであったと判断した場合はに、情報検索エージェント３３は、ＤＢ３５を検索してネットワークアクセス情報３７よりそのプロセス生成を行ったパケットに関する情報を収集し、応答パケット２０１によりデータ解析エージェント１３に送信する。この応答パケット２０１には、調査パケット２００において指定され、情報検索エージェント３３が収集したシステムコール情報３３も含まれる。
【００３６】
応答パケット２０１により送信されたデータは、ログデータ解析端末１により受信され、コンソール１１により管理者に通知される。同時に、応答パケット２０１を受信したデータ解析エージェント１３は、応答パケット２０１に含まれるＩＰアドレス情報を基に、そのイベントログの原因となった操作を行ったプロセスを生成するパケットを発信した情報端末を特定し、その情報端末に対して調査パケット２０２を送信する。以下では、不正パケットを送信した情報端末が通信端末４であったとして、説明する。
【００３７】
調査パケット２０２を受信した通信端末４において、情報検索エージェント４３は、ＤＢ４５においてネットワークアクセス情報４７及びプロセス情報４８を検索し、サーバ３における不正操作の原因となったパケットを生成したプロセス及びそのパケットの生成時のプロセス状態を求め、求めたプロセス及びプロセス状態を、応答パケット２０３を使用して、ログデータ解析端末１のデータ解析エージェント１３に送信する。
【００３８】
ログデータ解析端末１において、データ解析エージェント１３により受信された情報は、コンソール１１により管理者に通知される。そこで管理者は、コンソール１１上に表示されたプロセスから、調査したいプロセスを指定する。その指定の後、データ解析エージェント１３は、調査したいプロセスのＩＤ、検索対象時間（ログの検索範囲を、不正パケットの送受信から前後の時間幅により制限する）を含んだ検索パケット２０４を通信端末４に送信する。
【００３９】
調査パケット２０４を受信した通信端末４の情報検索エージェント４３は、ＤＢ４５を検索して、調査パケット２０４により指定されたプロセスに関するシステムコールのデータをシステムコール情報４６により取得する。情報検索エージェント４３が検索した結果は、応答パケット２０５により、データ解析エージェント１３に返信される。返信された情報は、コンソール１１上に表示される。その際、例えばシステムコールｗｒｉｔｅの引数に利用されるｆｄを、そのシステムコールｗｒｉｔｅに先立ち発行されるシステムコールｏｐｅｎの引数からデータを取得して、ファイル名に変換する等の処理がなされる。
【００４０】
以上説明したように、本発明の実施形態に関わるネットワークシステムでは、データ解析エージェント１３と情報検索エージェント３３，３４は、パケット交換によるデータ交換により、ログデータ解析端末１から、
（１）ネットワークセンサ２０で検知されたイベントについては、どのユーザやプロセスが発行したパケットによるものなのか、パケット送受信に関わったプロセスがファイル操作等、どのようなシステム操作を行ったか、
（２）ホストセンサ３０で検知されたイベントについては、不正操作を行ったユーザやプロセスは他にどのようなシステム操作を行ったか、不正操作を行ったプロセスが他の端末からのパケットにより生成されたものである場合は、そのパケットはどの通信端末のどのプロセスが発行したものであるか、不正操作を行ったパケットを生成したプロセスが端末においてどのようなシステム操作を行ったか、
といった情報を管理者の指示によりオンデマンドに調査することが可能である。
【００４１】
以上、本実施形態に関わるネットワークシステムについて説明したが、上述のネットワークシステムにおいて、ログデータ解析端末１、ネットワーク監視端末２、サーバ３及び通信端末４は、いずれも、それを実現するためのコンピュータプログラムを、パーソナルコンピュータやサーバ用コンピュータなどのコンピュータに読み込ませ、そのプログラムを実行させることによっても実現できる。ログデータ解析端末１、ネットワーク監視端末２、サーバ３及び通信端末４を実現するためのプログラムは、ＣＤ−ＲＯＭなどの記録媒体によって、あるいはネットワークを介して、コンピュータに読み込まれる。そのようなコンピュータは、一般に、ＣＰＵ（中央処理装置）と、プログラムやデータを格納するためのハードディスク装置と、主メモリと、キーボードやマウスなどの入力装置と、ＣＲＴなどの表示装置と、ＣＤ−ＲＯＭ等の記録媒体を読み取る読み取り装置と、ネットワークと接続するための通信インタフェースとから構成されており、ハードディスク装置、主メモリ、入力装置、表示装置、読み取り装置及び通信インタフェースは、いずれもＣＰＵに接続している。このようなコンピュータのハードディスク装置に対し、ログデータ解析端末１、ネットワーク監視端末２、サーバ３及び通信端末４のいずれかを実現するプログラムを記録媒体から読出してあるいはネットワークを介して格納し、その格納されたプログラムをＣＰＵが実行することによって、そのコンピュータが、ログデータ解析端末１、ネットワーク監視端末２、サーバ３及び通信端末４のいずれかとして機能することになる。
【図面の簡単な説明】
【００４２】
【図１】本発明の第１の実施の形態に関わるサービス提供システムのブロック構成図である。
【図２】本発明の第１の実施の形態に関わる、ネットワークセンサーからの情報をもとにした情報検索のパケットフロー図である。
【図３】本発明の第１の実施の形態に関わる、ホストセンサーからの情報をもとにした情報検索のパケットフロー図である。
【符号の説明】
【００４３】
１    ログデータ解析端末
２    ネットワーク監視端末
３    サーバ
４    通信端末
９    ネットワーク
１０    コレクタ
１１    コンソール
１２，３２，４２    通信部
１３    データ解析エージェント
２０    ネットワークセンサ
３０    ホストセンサ
３１，４１    システムコール保持部
３３，４３    情報検索エージェント
３５，４５    ＤＢ（データベース）
３６，４６    システムコール情報
３７，４７    ネットワークアクセス情報
３８，４８    プロセス情報
１００，１０２，２００，２０２，２０４    調査パケット
１０１，１０３，２０１，２０３，２０５    応答パケット
１０００    ネットワークシステム
【図１】
2005227982.tif 000003
【図２】
2005227982.tif 000004
【図３】
2005227982.tif 000005