(57)【要約】【課題】不正の疑いのある監視対象を早期発見すること。【解決手段】コンピュータが、記憶部１１から、監視対象が同じ複数のログ間で、該ログのログ内容を照合した場合に、該ログ内容が示す状況の組み合わせから異常と判断される該ログ内容の組み合わせを異常パターン１１ａとして取得し、複数の監視対象それぞれに関する複数のログについてログ内容の組み合わせと異常パターン１１ａとが合致するかを判定し、合致する場合には該ログ内容の少なくとも一部を含む監視情報１１ｂを監視対象毎に記憶部１１に記憶させるログ監視方法が提供される。【選択図】図１
2016143320.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータが、
記憶部から、監視対象が同じ複数のログ間で、該ログのログ内容を照合した場合に、該ログ内容が示す状況の組み合わせから異常と判断される該ログ内容の組み合わせを異常パターンとして取得し、
複数の監視対象それぞれに関する複数のログについてログ内容の組み合わせと前記異常パターンとが合致するかを判定し、合致する場合には該ログ内容の少なくとも一部を含む監視情報を前記監視対象毎に前記記憶部に記憶させる
ログ監視方法。
【請求項２】
前記記憶部には、前記ログ内容の組み合わせが異なる複数の前記異常パターンが格納されており、
前記コンピュータは、
前記監視対象に関する複数のログについてログ内容の組み合わせと前記複数の異常パターンのそれぞれとが合致するかを判定し、前記異常パターン毎の判定結果に応じて前記異常パターン毎に前記監視情報を前記記憶部に記憶させ、
前記監視情報の数に基づいて前記監視対象毎に異常の有無を判断する
請求項１に記載のログ監視方法。
【請求項３】
前記コンピュータは、
前記監視対象に関する複数のログのうち、１つのログのログ内容から異常と判断される異常ログの数をカウントし、該異常ログの数と前記監視情報の数とに基づいて該監視対象について異常の有無を判断する
請求項２に記載のログ監視方法。
【請求項４】
前記コンピュータは、
前記記憶部から、第１の閾値と、前記第１の閾値とは異なる第２の閾値とを取得し、
前記監視情報の数が前記第１の閾値より大きく、前記異常ログの数が前記第２の閾値より大きい場合に異常有りと判断する
請求項３に記載のログ監視方法。
【請求項５】
監視対象が同じ複数のログ間で、該ログのログ内容を照合した場合に、該ログ内容が示す状況の組み合わせから異常と判断される該ログ内容の組み合わせを異常パターンとして記憶する記憶部と、
複数の監視対象それぞれに関する複数のログについてログ内容の組み合わせと前記異常パターンとが合致するかを判定し、合致する場合には該ログ内容の少なくとも一部を含む監視情報を前記監視対象毎に前記記憶部に記憶させる制御部と
を有する、ログ監視装置。
【請求項６】
ログを出力する複数の機器と、前記複数の機器から前記ログを取得するログ監視装置とを含むログ監視システムであって、
前記ログ監視装置は、
監視対象が同じ複数のログ間で、該ログのログ内容を照合した場合に、該ログ内容が示す状況の組み合わせから異常と判断される該ログ内容の組み合わせを異常パターンとして記憶する記憶部と、
前記複数の機器から複数の監視対象それぞれに関する複数のログを取得し、該複数のログについてログ内容の組み合わせと前記異常パターンとが合致するかを判定し、合致する場合には該ログ内容の少なくとも一部を含む監視情報を前記監視対象毎に前記記憶部に記憶させる制御部と
を有する、ログ監視システム。
【請求項７】
コンピュータに、
記憶部から、監視対象が同じ複数のログ間で、該ログのログ内容を照合した場合に、該ログ内容が示す状況の組み合わせから異常と判断される該ログ内容の組み合わせを異常パターンとして取得し、
複数の監視対象それぞれに関する複数のログについてログ内容の組み合わせと前記異常パターンとが合致するかを判定し、合致する場合には該ログ内容の少なくとも一部を含む監視情報を前記監視対象毎に前記記憶部に記憶させる
処理を実行させる、ログ監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログ監視方法、ログ監視装置、ログ監視システム、及びログ監視プログラムに関する。
【背景技術】
【０００２】
ネットワーク機器（以下、ＮＷ機器）やファイルサーバなどの各種機器が出力するログを分析し、システムへの攻撃や不正アクセスを検出して障害発生や情報漏洩などを防止する技術が研究されている。
【０００３】
例えば、複数の通信ログを分析して不正アクセスを検出するシステムが提案されている。このシステムは、ブートフォースアタックやポートスキャンなどを監視対象のパターンに設定し、接続ＩＰ（Internet Protocol）や接続時間を分析する。また、ログ毎に日付及び時刻の情報を管理し、日時をもとにログを並べ替えた上でログを統合し、統合したログを表示するログの管理方法が提案されている。
【０００４】
監視対象の各機器が出力したログの分析結果から不正が検出されると、例えば、各機器やセキュリティシステムが管理者に不正を知らせるメールを送信する。メールの代わりに、パトライト（登録商標）やブザーなどを利用して不正を管理者に知らせるシステムもある。管理者は、通知された不正の内容を分析して不正の原因を特定する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００２−３１８７３４号公報
【特許文献２】特開２００８−２１０３０８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
多くの場合、原因を特定するために参照されるログは膨大にあるため、特定作業には長い時間がかかる上、原因の特定に至るかは管理者のスキルレベルに依存する。また、管理者はいずれかの機器が不正を検出したことを契機に原因の特定を始めるため、各機器が不正を検出するまでシステムが危険にさらされた状態になる。つまり、原因の特定作業は、機器が不正と判断するログ（以下、異常ログ）が検出されてから開始される。
【０００７】
原因の特定が遅延すると被害が深刻化する。不正が疑われる状況を早期に発見することができれば、このような被害の深刻化を避けることができる。ただ、機器が出力する膨大なログの大部分を占める、機器が不正なしと判断するログ（以下、正常ログ）から、不正が疑われる状況を管理者が発見するのは現実的に難しい。各機器が不正なしと判断した正常ログから、どのように不正が疑われる状況を発見するのかも問題となる。
【０００８】
本発明の目的は、不正の疑いのある監視対象の早期発見が可能なログ監視方法、ログ監視装置、ログ監視システム、及びログ監視プログラムを提供することにある。
【課題を解決するための手段】
【０００９】
１つの態様では、コンピュータが、記憶部から、監視対象が同じ複数のログ間で、該ログのログ内容を照合した場合に、該ログ内容が示す状況の組み合わせから異常と判断される該ログ内容の組み合わせを異常パターンとして取得し、複数の監視対象それぞれに関する複数のログについてログ内容の組み合わせと異常パターンとが合致するかを判定し、合致する場合には該ログ内容の少なくとも一部を含む監視情報を監視対象毎に記憶部に記憶させるログ監視方法が提供される。
【発明の効果】
【００１０】
１つの側面として、不正の疑いのある監視対象の早期発見が可能になる。
【図面の簡単な説明】
【００１１】
【図１】第１実施形態に係るログ監視システムの一例を示した図である。
【図２】第２実施形態に係るシステムの一例を示した図である。
【図３】第２実施形態に係る監視装置の機能を実現可能なハードウェアの一例を示した図である。
【図４】第２実施形態に係る監視装置の機能の一例を示したブロック図である。
【図５】第２実施形態に係るログデータベースに登録されるログの一例を示した第１の図である。
【図６】第２実施形態に係るログデータベースに登録されるログの一例を示した第２の図である。
【図７】第２実施形態に係るログデータベースに登録されるログの一例を示した第３の図である。
【図８】第２実施形態に係るログデータベースに登録されるログの一例を示した第４の図である。
【図９】第２実施形態に係るログデータベースに登録されるログの一例を示した第５の図である。
【図１０】第２実施形態に係るログデータベースに登録されるログの一例を示した第６の図である。
【図１１】第２実施形態に係る共通キーデータベースの一例を示した図である。
【図１２】第２実施形態に係るイベントデータベースの一例を示した図である。
【図１３】第２実施形態に係る振る舞いデータベースの一例を示した図である。
【図１４】第２実施形態に係る監視対象データベースの一例を示した図である。
【図１５】第２実施形態に係る閾値データベースの一例を示した図である。
【図１６】第２実施形態に係る監視装置が実行する処理の流れを示したフロー図である。
【図１７】第２実施形態に係る共通キーデータベースの構築処理の流れを示したフロー図である。
【図１８】第２実施形態に係る監視対象データベースの構築処理の流れを示したフロー図である。
【発明を実施するための形態】
【００１２】
以下に添付図面を参照しながら、本発明の実施形態について説明する。なお、本明細書及び図面において実質的に同一の機能を有する要素については、同一の符号を付することにより重複説明を省略する場合がある。
【００１３】
＜１．第１実施形態＞
図１を参照しながら、第１実施形態について説明する。図１は、第１実施形態に係るログ監視システムの一例を示した図である。図１に例示したログ監視システム５は、第１実施形態に係るログ監視システムの一例である。
【００１４】
図１に示すように、ログ監視システム５は、ログを出力する機器２１、２２、２３と、機器２１、２２、２３からログを取得するログ監視装置１０とを含む。
なお、ログ監視システム５に含まれる機器の数は任意である。機器２１、２２、２３は、ネットワークを介してログ監視装置１０に接続されている。ネットワークは、有線であっても無線であってもよい。例えば、ネットワークは、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）などである。機器２１、２２、２３の一部又は全部は、ケーブルなどを用いて直接的にログ監視装置１０に接続されていてもよい。
【００１５】
（機器２１、２２、２３について）
機器２１、２２、２３は、例えば、端末装置、サーバ装置、又はＮＷ機器などである。
端末装置は、例えば、パーソナルコンピュータ、シンクライアント端末、携帯電話、スマートフォン、又はタブレット端末などのユーザが利用するコンピュータである。端末装置は、例えば、ユーザのログイン状況、アプリケーションプログラムの実行状況、ＣＰＵ負荷状況、ネットワークへの接続状況などのログを出力する。
【００１６】
サーバ装置は、勤怠管理サーバ、ログイン管理サーバ、ＶＰＮ（Virtual Private Network）サーバ、ファイルサーバ、基幹システム、フォレンジックサーバ、ＳＮＭＰ（Simple Network Management Protocol）サーバ、認証サーバ、ファイアウォール、Ｐｒｏｘｙサーバなどのコンピュータである。ＮＷ機器は、例えば、ルータ、スイッチ、ロードバランサ、無線基地局などの機器である。
【００１７】
勤怠管理サーバは、例えば、出勤状況（出勤／未出勤）、出勤時刻、退勤時刻などのログを出力する。ログイン管理サーバは、例えば、ユーザのログイン時刻、ログオフ時刻、ログイン状況（ログイン／未ログイン）などのログを出力する。ＶＰＮサーバは、例えば、ＶＰＮ接続の開始時刻、切断時刻、接続状況（接続／未接続）などのログを出力する。ファイルサーバは、例えば、ファイルへのアクセス開始時刻、アクセス先のファイル名などのログを出力する。
【００１８】
基幹システムは、例えば、利用状況（利用中／未利用）、利用開始時刻、利用中ユーザ名、利用時に用いた端末装置のＩＰアドレスなどのログを出力する。フォレンジックサーバは、例えば、データの転送内容（ファイル名など）、転送元及び転送先のＩＰアドレス、転送日時などのログを出力する。
【００１９】
ＳＮＭＰサーバは、例えば、送信先毎のトラフィック量などのログを出力する。認証サーバは、例えば、認証状況（認証済み／未認証）、認証日時などのログを出力する。ファイアウォール及びＰｒｏｘｙサーバは、例えば、送信元及び送信先のＩＰアドレス、送信日時などのログを出力する。
【００２０】
機器２１、２２、２３の種類は上記の例に限定されない。機器２１、２２、２３が出力するログの種類も上記の例に限定されない。例えば、ゲートウェイログ、フィルタリングログ、Ｓｙｓｌｏｇ、ＤＨＣＰ（Dynamic Host Configuration Protocol）／ＤＮＳ（Domain Name System）ログ、メールログ、ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）ログ、入退室ログ、電源・空調・照明ログ（オン／オフ）、温度・湿度ログなども利用されうる。
【００２１】
ここでは、説明の都合上、機器２１が勤怠管理サーバ、機器２２がログイン管理サーバ、機器２３がＶＰＮサーバである場合を想定して説明を進める。この場合、機器２１は、図１（Ａ）に示すようなログ（ログ＃１）を出力する。機器２２は、図１（Ｂ）に示すようなログ（ログ＃２）を出力する。機器２３は、図１（Ｃ）に示すようなログ（ログ＃３）を出力する。もちろん、第１実施形態に係る技術の適用範囲はこれに限定されない。
【００２２】
（ログ監視装置１０について）
ログ監視装置１０は、記憶部１１、及び制御部１２を有する。
なお、記憶部１１は、ＲＡＭ（Random Access Memory）などの揮発性記憶装置、或いは、ＨＤＤ（Hard Disk Drive）やフラッシュメモリなどの不揮発性記憶装置である。制御部１２は、ＣＰＵ（Central Processing Unit）やＤＳＰ（Digital Signal Processor）などのプロセッサである。但し、制御部１２は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの電子回路であってもよい。制御部１２は、例えば、記憶部１１又は他のメモリに記憶されたプログラムを実行する。
【００２３】
記憶部１１は、監視対象が同じ複数のログ間で、該ログのログ内容を照合した場合に、該ログ内容が示す状況の組み合わせから異常と判断される該ログ内容の組み合わせを異常パターン１１ａとして記憶する。なお、ログ内容は、機器２１、２２、２３から出力されたログに含まれる情報から特定されるログの内容である。
【００２４】
図１に例示したログ＃１を参照すると、社員Ａの出勤状況は「未出勤」であり、社員Ｂの出勤状況は「出勤」である。ログ＃２を参照すると、社員Ａ、Ｂのログイン状況はいずれも「ログイン」である。ログ＃３を参照すると、社員Ａ、ＢのＶＰＮ接続による接続状況はいずれも「未接続」である。
【００２５】
つまり、ログ＃１を参照すると、社員名を示す情報「Ａ」と、出勤状況を示す情報「未出勤」とを組み合わせたログ内容から、社員Ａが未出勤である状況が分かる。同様に、ログ＃２のログ内容から、社員Ａ、Ｂがログイン中である状況が分かる。また、ログ＃３のログ内容から、社員Ａ、ＢがＶＰＮ接続を行っていない状況が分かる。
【００２６】
社員Ａ（監視対象）に注目すると、社員Ａは、出勤していないのに、ログイン管理サーバが管理する社内のシステムにログインしている。社外から社内のシステムにログインする場合は、セキュリティの見地からＶＰＮ接続が利用されるが、社員Ａは、ＶＰＮ接続もしていない。とすると、何者かが社員ＡのログインＩＤなどを用いて社内のシステムに不正アクセスしている疑いがある。他方、監視対象として社員Ｂに注目した場合には、不正アクセスなどが疑われる状況は生じていない。
【００２７】
社員Ａに関するログ＃１、＃２、＃３は機器２１、２２、２３が正常ログとして出力したものである。しかし、上述したように社員Ａについて明らかに異常な状態が生じている。このような異常は、機器２１、２２、２３がそれぞれ出力したログだけを分析しても検出することは容易でない。熟練した管理者が長い時間をかけて分析すれば、異常を発見できる可能性もある。しかし、異常の発見までに長い時間がかかると被害が拡大するリスクが大きい。
【００２８】
そこで、ログ監視装置１０は、複数のログ内容を照合した場合に論理的に異常の可能性が導き出せるログ内容の組み合わせを異常パターン１１ａとして記憶部１１に記憶させておき、この異常パターン１１ａを異常の検出に利用する。図１の例では、出勤状況が「未出勤」、ログイン状況が「ログイン」、ＶＰＮ接続の接続状況が「未接続」となるログの組み合わせ（異常パターン１１ａ）が検出された場合に異常と判定される。
【００２９】
判定処理は制御部１２が実行する。制御部１２は、機器２１、２２、２３から複数の監視対象それぞれに関する複数のログを取得する。例えば、制御部１２は、社員名「Ａ」に関するログ＃１、＃２、＃３（ログ内容が出勤状況、ログイン状況、接続状況のログ）を取得する。同様に、制御部１２は、社員名「Ｂ」に関するログを取得する。
【００３０】
そして、制御部１２は、取得したログについてログ内容の組み合わせと異常パターン１１ａとが合致するかを判定し、合致する場合には該ログ内容の少なくとも一部を含む監視情報１１ｂを監視対象毎に記憶部１１に記憶させる。
【００３１】
図１の例では、社員名「Ａ」のログが異常パターン１１ａに合致するため、制御部１２は、社員名「Ａ」に関する監視情報１１ｂを記憶部１１に記憶させる。例えば、制御部１２は、監視情報１１ｂとして、（１）社員名だけ、又は（２）社員名、出勤状況、ログイン状況、接続状況の組を記憶部１１に記憶させる。（１）の場合、管理者は、記憶部１１にある監視情報１１ｂから異常の疑いのある監視対象（社員）を特定できる。（２）の場合、管理者は、監視対象と共に、異常の疑いありと判断した理由を特定できる。
【００３２】
上記のように、第１実施形態に係る技術を適用することで、１つの機器が出力するログを分析しても検出が難しい異常を容易に発見することができる。その結果、なりすまし、標的型攻撃、不正アクセスなどの高度化する攻撃に対し、漏れが少なく、より迅速に対応することができるようになる。また、管理者のスキルへの依存が低減され、高い異常検出レベルを安定的に維持することが可能になる。
【００３３】
なお、上記の例では、社員名をキーに個人を監視対象としたが、キーとする情報は、その社員が利用するコンピュータのログインＩＤ、ＭＡＣ（Media Access Control）アドレス、ＩＰアドレスなどに設定してもよい。また、監視対象を人ではなくコンピュータとし、ＭＡＣアドレスなどをキーに監視することも可能である。その他にも、ログに関連する情報が含まれるならば、例えば、部署、会社、ネットワーク上のグループなどを監視対象とすることも可能である。このような変形例も第１実施形態の技術的範囲に属する。
【００３４】
以上、第１実施形態について説明した。
＜２．第２実施形態＞
次に、第２実施形態について説明する。
【００３５】
［２−１．システム］
図２を参照しながら、第２実施形態に係るシステムについて説明する。図２は、第２実施形態に係るシステムの一例を示した図である。
【００３６】
図２に示すように、第２実施形態に係るシステムは、監視装置１００、及び被監視装置群２００を含む。
監視装置１００は、被監視装置群２００に含まれる各機器が出力したログを分析し、なりすまし、標的型攻撃、又は不正アクセスなどの不正が疑われる対象を特定する。例えば、監視装置１００は、被監視装置群２００が正常と判断したログ（正常ログ）の組み合わせから、不正アクセスを試みた疑いのあるユーザやコンピュータなどを特定する。
【００３７】
被監視装置群２００は、例えば、パーソナルコンピュータ、シンクライアント端末、携帯電話、スマートフォン、又はタブレット端末などのユーザが利用する端末装置を含む。端末装置は、例えば、ユーザのログイン状況、アプリケーションプログラムの実行状況、ＣＰＵ負荷状況、ネットワークへの接続状況などのログを出力する。
【００３８】
また、被監視装置群２００は、勤怠管理サーバ、ログイン管理サーバ、ＶＰＮサーバ、ファイルサーバ、基幹システム、フォレンジックサーバ、ＳＮＭＰサーバ、認証サーバ、ファイアウォール、Ｐｒｏｘｙサーバなどのサーバ装置を含む。
【００３９】
勤怠管理サーバは、例えば、出勤状況（出勤／未出勤）、出勤時刻、退勤時刻などのログを出力する。ログイン管理サーバは、例えば、ユーザのログイン時刻、ログオフ時刻、ログイン状況（ログイン／未ログイン）などのログを出力する。ＶＰＮサーバは、例えば、ＶＰＮ接続の開始時刻、切断時刻、接続状況（接続／未接続）などのログを出力する。ファイルサーバは、例えば、ファイルへのアクセス開始時刻、アクセス先のファイル名などのログを出力する。
【００４０】
基幹システムは、例えば、利用状況（利用中／未利用）、利用開始時刻、利用中ユーザ名、利用時に用いた端末装置のＩＰアドレスなどのログを出力する。フォレンジックサーバは、例えば、データの転送内容（ファイル名など）、転送元及び転送先のＩＰアドレス、転送日時などのログを出力する。
【００４１】
ＳＮＭＰサーバは、例えば、送信先毎のトラフィック量などのログを出力する。認証サーバは、例えば、認証状況（認証済み／未認証）、認証日時などのログを出力する。ファイアウォール及びＰｒｏｘｙサーバは、例えば、送信元及び送信先のＩＰアドレス、送信日時などのログを出力する。
【００４２】
また、被監視装置群２００は、例えば、ルータ、スイッチ、ロードバランサ、無線基地局などのＮＷ機器を含む。さらに、被監視装置群２００は、入退室管理機器、電源管理機器、空調管理機器、照明管理機器、温度・湿度管理機器などを含んでいてもよい。被監視装置群２００から出力されうるログには、例えば、ゲートウェイログ、フィルタリングログ、Ｓｙｓｌｏｇ、ＤＨＣＰ／ＤＮＳログ、メールログ、ＩＤＳ／ＩＰＳログ、入退室ログ、電源・空調・照明ログ（オン／オフ）、温度・湿度ログなどがある。
【００４３】
以上、第２実施形態に係るシステムについて説明した。以下では、説明の都合上、図２に例示したシステムを前提に説明を進める。
［２−２．ハードウェア］
図３を参照しながら、監視装置１００の機能を実現可能なハードウェアについて説明する。図３は、第２実施形態に係る監視装置の機能を実現可能なハードウェアの一例を示した図である。
【００４４】
監視装置１００が有する機能は、例えば、図３に示す情報処理装置のハードウェア資源を用いて実現することが可能である。つまり、監視装置１００が有する機能は、コンピュータプログラムを用いて図３に示すハードウェアを制御することにより実現される。
【００４５】
図３に示すように、このハードウェアは、主に、ＣＰＵ９０２と、ＲＯＭ（Read Only Memory）９０４と、ＲＡＭ９０６と、ホストバス９０８と、ブリッジ９１０とを有する。さらに、このハードウェアは、外部バス９１２と、インターフェース９１４と、入力部９１６と、出力部９１８と、記憶部９２０と、ドライブ９２２と、接続ポート９２４と、通信部９２６とを有する。
【００４６】
ＣＰＵ９０２は、例えば、演算処理装置又は制御装置として機能し、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、又はリムーバブル記録媒体９２８に記録された各種プログラムに基づいて各構成要素の動作全般又はその一部を制御する。ＲＯＭ９０４は、ＣＰＵ９０２に読み込まれるプログラムや演算に用いるデータなどを格納する記憶装置の一例である。ＲＡＭ９０６には、例えば、ＣＰＵ９０２に読み込まれるプログラムや、そのプログラムを実行する際に変化する各種パラメータなどが一時的又は永続的に格納される。
【００４７】
これらの要素は、例えば、高速なデータ伝送が可能なホストバス９０８を介して相互に接続される。一方、ホストバス９０８は、例えば、ブリッジ９１０を介して比較的データ伝送速度が低速な外部バス９１２に接続される。また、入力部９１６としては、例えば、マウス、キーボード、タッチパネル、タッチパッド、ボタン、スイッチ、及びレバーなどが用いられる。さらに、入力部９１６としては、赤外線やその他の電波を利用して制御信号を送信することが可能なリモートコントローラが用いられることもある。
【００４８】
出力部９１８としては、例えば、ＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、又はＥＬＤ（Electro-Luminescence Display）などのディスプレイ装置が用いられる。また、出力部９１８として、スピーカやヘッドホンなどのオーディオ出力装置、又はプリンタなどが用いられることもある。つまり、出力部９１８は、情報を視覚的又は聴覚的に出力することが可能な装置である。
【００４９】
記憶部９２０は、各種のデータを格納するための装置である。記憶部９２０としては、例えば、ＨＤＤなどの磁気記憶デバイスが用いられる。また、記憶部９２０として、ＳＳＤ（Solid State Drive）やＲＡＭディスクなどの半導体記憶デバイス、光記憶デバイス、又は光磁気記憶デバイスなどが用いられてもよい。
【００５０】
ドライブ９２２は、着脱可能な記録媒体であるリムーバブル記録媒体９２８に記録された情報を読み出し、又はリムーバブル記録媒体９２８に情報を書き込む装置である。リムーバブル記録媒体９２８としては、例えば、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリなどが用いられる。
【００５１】
接続ポート９２４は、例えば、ＵＳＢ（Universal Serial Bus）ポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ（Small Computer System Interface）、ＲＳ−２３２Ｃポート、又は光オーディオ端子など、外部接続機器９３０を接続するためのポートである。外部接続機器９３０としては、例えば、プリンタなどが用いられる。
【００５２】
通信部９２６は、ネットワーク９３２に接続するための通信デバイスである。通信部９２６としては、例えば、有線又は無線ＬＡＮ用の通信回路、ＷＵＳＢ（Wireless USB）用の通信回路、光通信用の通信回路やルータ、ＡＤＳＬ（Asymmetric Digital Subscriber Line）用の通信回路やルータ、携帯電話ネットワーク用の通信回路などが用いられる。通信部９２６に接続されるネットワーク９３２は、有線又は無線により接続されたネットワークであり、例えば、インターネット、ＬＡＮ、放送網、衛星通信回線などを含む。
【００５３】
以上、監視装置１００の機能を実現可能なハードウェアについて説明した。なお、被監視装置群２００の機能も、図３に例示したハードウェアの一部又は全部を利用して実現可能である。例えば、被監視装置群２００は、ＣＰＵ９０２、ＲＡＭ９０６、通信部９２６などを有する。したがって、被監視装置群２００のハードウェアについては詳細な説明を省略する。
【００５４】
［２−３．監視装置の機能］
図４を参照しながら、監視装置１００の機能について説明する。図４は、第２実施形態に係る監視装置の機能の一例を示したブロック図である。
【００５５】
図４に示すように、監視装置１００は、記憶部１０１、ログ収集部１０２、キー生成部１０３、候補検出部１０４、及び不正判定部１０５を有する。
なお、記憶部１０１の機能は、上述したＲＡＭ９０６や記憶部９２０などを用いて実現できる。ログ収集部１０２の機能は、上述したＣＰＵ９０２、接続ポート９２４、通信部９２６などを用いて実現できる。キー生成部１０３、候補検出部１０４、及び不正判定部１０５の機能は、上述したＣＰＵ９０２などを用いて実現できる。
【００５６】
（記憶部１０１）
記憶部１０１は、ログデータベース１０１ａ、共通キーデータベース１０１ｂ、イベントデータベース１０１ｃ、振る舞いデータベース１０１ｄ、監視対象データベース１０１ｅ、及び閾値データベース１０１ｆを有する。
【００５７】
（ログデータベース１０１ａ）
まず、ログデータベース１０１ａについて説明する。ログデータベース１０１ａは、被監視装置群２００から収集されたログが登録されるデータベースである。ログデータベース１０１ａに登録されるログの例を図５〜図１０に示した。なお、図５〜図１０には、説明の都合上、組み合わせ例＃１〜＃６としてログを組み合わせて表記しているが、ログデータベース１０１ａ内で組み合わせ毎にログ同士が対応付けられていなくてもよい。
【００５８】
図５は、第２実施形態に係るログデータベースに登録されるログの一例を示した第１の図である。図６は、第２実施形態に係るログデータベースに登録されるログの一例を示した第２の図である。図７は、第２実施形態に係るログデータベースに登録されるログの一例を示した第３の図である。
【００５９】
図８は、第２実施形態に係るログデータベースに登録されるログの一例を示した第４の図である。図９は、第２実施形態に係るログデータベースに登録されるログの一例を示した第５の図である。図１０は、第２実施形態に係るログデータベースに登録されるログの一例を示した第６の図である。
【００６０】
図５の例（組み合わせ例＃１）は、勤怠管理、ログイン管理、ＶＰＮ接続に関するログを示す。勤怠管理に関するログ（ログ＃１）は、社員名毎の出勤状況を記録したログである。ログイン管理に関するログ（ログ＃２）は、社員名毎のログイン状況を記録したログである。ＶＰＮ接続に関するログ（ログ＃３）は、ＶＰＮ接続の接続状況を社員名毎に記録したログである。ログ＃１は、勤怠管理サーバから収集される。ログ＃２は、ログイン管理サーバから収集される。ログ＃３は、ＶＰＮサーバから収集される。
【００６１】
図６の例（組み合わせ例＃２）は、ファイルサーバ、ログイン管理、アクセス時刻に関するログを示す。ファイルサーバに関するログ（ログ＃１）は、ファイル名毎にアクセス時刻を記録したログである。ログイン管理に関するログ（ログ＃２）は、社員名毎のログイン状況を記録したログである。アクセス時刻に関するログ（ログ＃３）は、ファイルサーバへのアクセス時刻を社員名毎に記録したログである。ログ＃１は、ファイルサーバから収集される。ログ＃２は、ログイン管理サーバから収集される。ログ＃３は、端末装置やファイルサーバから収集される。
【００６２】
図７の例（組み合わせ例＃３）は、基幹システム利用、ファイアウォールに関するログを示す。基幹システム利用に関するログ（ログ＃１）は、基幹システムの利用開始時刻、利用者のユーザ名、利用者が基幹システムの利用時に用いている端末装置のＩＰアドレスを記録したログである。ファイアウォールに関するログ（ログ＃２）は、ファイアウォールを通過したデータの送信元ＩＰアドレス、送信先ＩＰアドレス、通過時刻を記録したログである。ログ＃１は、基幹システムから収集される。ログ＃２は、ファイアウォールから収集される。
【００６３】
図８の例（組み合わせ例＃４）は、Ｐｒｏｘｙ、ファイアウォール、フォレンジックに関するログを示す。Ｐｒｏｘｙに関するログ（ログ＃１）は、Ｐｒｏｘｙサーバで転送されたデータの送信元ＩＰアドレス、送信先ＩＰアドレス、送信日時を記録したログである。ファイアウォールに関するログ（ログ＃２）は、ファイアウォールを通過するデータの送信元ＩＰアドレス、送信先ＩＰアドレス、通過時刻を記録したログである。
【００６４】
フォレンジックに関するログ（ログ＃３）は、フォレンジックサーバが不正アクセスなどの疑いがあると判断した処理の内容、その処理に伴うデータの送信先ＩＰアドレス、送信元ＩＰアドレス、及びその処理が実行された日時を記録したログである。なお、図８（Ｃ）はネットワークフォレンジックに関するログの例であるが、コンピュータフォレンジックに関するログがログデータベース１０１ａに登録されていてもよい。ログ＃１は、Ｐｒｏｘｙサーバから収集される。ログ＃２は、ファイアウォールから収集される。ログ＃３は、フォレンジックサーバから収集される。
【００６５】
図９の例（組み合わせ例＃５）は、トラフィック、ファイアウォール、ファイルサーバに関するログを示す。トラフィックに関するログ（ログ＃１）は、ＳＮＭＰサーバが監視するＮＷ機器における送信先ＩＰアドレス毎のトラフィック量を記録したログである。
【００６６】
ファイアウォールに関するログ（ログ＃２）は、ファイアウォールを通過したデータの送信元ＩＰアドレス、送信先ＩＰアドレス、通過時刻を記録したログである。ファイルサーバに関するログ（ログ＃３）は、ファイル名毎にアクセス時刻を記録したログである。ログ＃１は、ＳＮＭＰサーバから収集される。ログ＃２は、ファイアウォールから収集される。ログ＃３は、ファイルサーバから収集される。
【００６７】
図１０の例（組み合わせ例＃６）は、出退勤、認証に関するログを示す。出退勤に関するログ（ログ＃１）は、社員名毎の出勤状況を日付毎に記録したログである。認証に関するログ（ログ＃２）は、社員名毎の認証状況を日付毎に記録したログである。ログ＃１は、勤怠管理サーバや入退室管理機器から収集される。ログ＃２は、認証サーバや端末装置から収集される。
【００６８】
（共通キーデータベース１０１ｂ）
次に、共通キーデータベース１０１ｂについて説明する。共通キーデータベース１０１ｂは、ログデータベース１０１ａに登録されている複数のログから、監視対象に関するログの情報（以下、ログ情報）を横断的に検索するために用いるキー情報（以下、共通キー）が登録される。共通キーデータベース１０１ｂの例を図１１に示した。図１１は、第２実施形態に係る共通キーデータベースの一例を示した図である。
【００６９】
図１１に例示した共通キーデータベース１０１ｂは、ＩＰアドレス、社員名、ユーザ名、ホスト名、ＭＡＣアドレスなどを対応付ける。ログに含まれる情報は、多くの場合、そのログを出力する機器やアプリケーションプログラムによって異なる。他方、ある社員を特定するために、社員名の他、ユーザ名や社員番号などの複数の情報を利用することができる。同様に、ある端末装置を特定するために、ＩＰアドレスの他、ホスト名やＭＡＣアドレスなどの複数の情報を利用することができる。
【００７０】
そこで、共通キーデータベース１０１ｂは、社員や端末装置などの監視対象の特定に利用可能な複数の情報（共通キー）を監視対象毎に対応付ける。例えば、ログにＩＰアドレスが含まれていれば、そのログに社員名が含まれていなくても、共通キーデータベース１０１ｂを参照することで、社員名を特定することが可能になる。つまり、共通キーデータベース１０１ｂを利用することで、監視対象をキーに複数のログを対応付けることが可能になり、ログデータベース１０１ａに登録された複数のログを共通キーにより横断的に探索することが可能になる。
【００７１】
（イベントデータベース１０１ｃ）
次に、イベントデータベース１０１ｃについて説明する。イベントデータベース１０１ｃは、なりすましや不正アクセスなどの疑いのある異常な振る舞いを特定するために用いるログ及びログ情報の組み合わせを登録するデータベースである。図１２にイベントデータベース１０１ｃの例を示した。図１２は、第２実施形態に係るイベントデータベースの一例を示した図である。
【００７２】
図１２に例示したイベントデータベース１０１ｃの例は、図５〜図１０に例示した組み合わせ例＃１〜＃６に対応する。ここで、図５〜図１０を併せて参照しながら、組み合わせ例＃１〜＃６にそれぞれ対応する異常な振る舞い（以下、イベント）について説明する。以下、社員名Ｘ（Ｘ＝Ａ、Ｂ、…）の社員を社員Ｘと表記する。
【００７３】
（振る舞いＩＤ＝００１のケース：組み合わせ例＃１）
まず、図１２に例示したイベントデータベース１０１ｃのうち、振る舞いＩＤが００１のレコードに対応するイベントについて、図５を併せて参照しながら説明する。
【００７４】
振る舞いＩＤが００１のレコードには、イベント欄に「勤怠管理」、「ログイン管理」、「ＶＰＮ接続」の３項目（以下、イベント項目）が登録され、その３項目の下にそれぞれ「未出勤」、「ログイン」、「未接続」という情報（ログ情報）が登録されている。つまり、このレコードは、「勤怠管理」に関するログのログ情報が「未出勤」、「ログイン管理」に関するログのログ情報が「ログイン」、「ＶＰＮ接続」に関するログのログ情報が「未接続」の場合にイベント発生が疑われることを示している。
【００７５】
ここで、図５（組み合わせ例＃１）のログ＃１（「勤怠管理」に関するログ）を参照すると、社員Ａの出勤状況は「未出勤」であり、社員Ｂの出勤状況は「出勤」である。ログ＃２（「ログイン管理」に関するログ）を参照すると、社員Ａ、Ｂのログイン状況はいずれも「ログイン」である。ログ＃３（「ＶＰＮ接続」に関するログ）を参照すると、社員Ａ、ＢのＶＰＮ接続による接続状況はいずれも「未接続」である。
【００７６】
組み合わせ例＃１のログから、社員Ａは、出勤していないのに、ログイン管理サーバがログイン管理する社内の端末装置にログインしていることが分かる。社外から社内のシステムにログインする場合は、セキュリティの見地からＶＰＮ接続が利用されるが、社員Ａは、ＶＰＮ接続もしていない。とすると、何者かが社員ＡのログインＩＤなどを用いて社内のシステムに不正アクセス（なりすまし）している疑いがある。つまり、振る舞いＩＤが００１のレコードに対応する状況（イベント発生の疑いのある状況）が生じている。
【００７７】
一方、社員Ｂについては振る舞いＩＤが００１のレコードに対応する状況が生じていないから、社員Ｂはイベント発生の疑いのある状況にないことが分かる。このように、イベントデータベース１０１ｃのレコードに合致する状況が生じているかを監視対象（この例では社員）毎に調査することで、イベント発生の疑いのある監視対象を特定することができる。以下のように、振る舞いＩＤが００１以外のレコードについても同様である。
【００７８】
（振る舞いＩＤ＝００２のケース：組み合わせ例＃２）
図６（組み合わせ例＃２）のログ＃１（「ファイルサーバ」に関するログ）を参照すると、土曜日（Ｓａｔ）に何度もファイルサーバのファイル（Ｆｉｌｅ０１．ｚｉｐ、Ｆｉｌｅ０２．ｚｉｐ）へアクセスがあったことが分かる。ログ＃２（「ログイン管理」に関するログ）を参照すると、社員Ａがログイン管理サーバがログイン管理する社内の端末装置にログインしていることが分かる。
【００７９】
ログ＃３（「アクセス時刻」に関するログ）をログ＃１と共に参照すると、ファイルサーバへのアクセスが社員Ａによるものであることが分かる。ログ＃１〜＃３を組み合わせると、休日である土曜日に端末装置へログインしてファイルサーバのファイルへ頻繁にアクセスしている振る舞いが見て取れ、端末装置が何者かに乗っ取られた可能性がある。つまり、振る舞いＩＤが００２のレコードに対応する状況が生じており、社員Ａの端末装置についてイベント発生の疑いがある。
【００８０】
（振る舞いＩＤ＝００３のケース：組み合わせ例＃３）
図７（組み合わせ例＃３）のログ＃１（「基幹システム利用」に関するログ）を参照すると、ＵｓｅｒＡが基幹システムを利用中であり、基幹システムの利用にＩＰアドレスがＡ．Ａ．Ａ．Ａの端末装置を利用していることが分かる。ログ＃２（「ファイアウォール」に関するログ）を参照すると、ＩＰアドレスがＡ．Ａ．Ａ．Ａの端末装置がＰｒｏｘｙを経由せずにファイアウォールを通過し、複数の送信先へデータを送信していることが分かる。
【００８１】
上記の状況から、情報漏洩の可能性がある。つまり、振る舞いＩＤが００３のレコードに対応する状況が生じており、ＵｓｅｒＡ、ＩＰアドレスがＡ．Ａ．Ａ．Ａの端末装置についてイベント発生の疑いがある。
【００８２】
（振る舞いＩＤ＝００４のケース：組み合わせ例＃４）
図８（組み合わせ例＃４）のログ＃１（「Ｐｒｏｘｙ」に関するログ）を参照すると、ＩＰアドレスがＡ．Ａ．Ａ．Ａの送信元と、ＩＰアドレスがＤ．Ｄ．Ｄ．Ｄの送信先との間の通信頻度は低いことが分かる。ログ＃２（「ファイアウォール」に関するログ）からも同様の傾向が見て取れる。ログ＃３（「フォレンジック」に関するログ）を参照すると、ＩＰアドレスがＡ．Ａ．Ａ．Ａの送信元と、ＩＰアドレスがＤ．Ｄ．Ｄ．Ｄの送信先との間の通信がいずれもデータ転送であることが分かる。
【００８３】
上記の状況から、業務利用ではない相手と社内の端末装置との間でデータの転送が行われていることが推察され、端末装置の乗っ取りなどを利用した外部への情報漏洩の可能性がある。つまり、振る舞いＩＤが００４のレコードに対応する状況が生じており、ＩＰアドレスがＡ．Ａ．Ａ．Ａの端末装置についてイベント発生の疑いがある。
【００８４】
（振る舞いＩＤ＝００５のケース：組み合わせ例＃５）
図９（組み合わせ例＃５）のログ＃１（「トラフィック」に関するログ）を参照すると、ＩＰアドレスがＤ．Ｄ．Ｄ．Ｄの送信先を相手とするトラフィック量が大きいことが分かる。ログ＃２（「ファイアウォール」に関するログ）及びログ＃３（「ファイルサーバ」に関するログ）を参照すると、ファイルサーバにあるファイルを特定の送信先に転送していることが分かる。特定の送信先へ一定量超のデータ転送が行われていることから、情報漏洩の可能性がある。つまり、振る舞いＩＤが００５のレコードに対応する状況が生じており、ＩＰアドレスがＡ．Ａ．Ａ．Ａの端末装置についてイベント発生の疑いがある。
【００８５】
（振る舞いＩＤ＝００６のケース：組み合わせ例＃６）
図１０（組み合わせ例＃６）のログ＃１（「出退勤」に関するログ）を参照すると、４月１日に社員Ｂが未出勤であることが分かる。ログ＃２（「認証」に関するログ）を参照すると、４月１日に社員Ｂが認証サーバの認証に成功していることが分かる。これらの状況から、社員Ｂについて、なりすましの疑いがある。つまり、振る舞いＩＤが００５のレコードに対応する状況が生じており、社員Ｂについてイベント発生の疑いがある。
【００８６】
（異常ログについて）
上記のように、イベントデータベース１０１ｃに登録されたレコードに記載の条件と、ログデータベース１０１ａに登録されたログ情報とを照合することで、各ログが正常ログであっても、イベント発生の疑いのある監視対象を特定することが可能になる。なお、以下の説明において、正常ログの組み合わせからイベント発生の疑いのある監視対象を特定可能な条件を「正常系」と表記する場合がある。他方、異常ログからイベント発生の疑いのある監視対象を特定可能な条件を「異常系」と表記する場合がある。
【００８７】
異常系の条件としては、図１２に示すように、認証エラー、アカウントエラー、フィルタリングエラー、デバイス使用制限違反、未許可ソフトウェアインストールなどがある。
認証エラーは、例えば、ＡＤ（Active Directory）、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）、Ｐｒｏｘｙなどで生じうる。アカウントエラーは、例えば、メールやアプリケーションソフトウェアなどで生じうる。フィルタリングエラーは、例えば、ファイアウォールなどで生じうる。デバイス使用制限違反は、例えば、情報漏洩などを防止するために社内で使用が禁止されているＵＳＢメモリなどを端末装置に接続した場合に生じる。未許可ソフトウェアインストールは、許可無く端末装置へソフトウェアがインストールされた場合などに生じる。
【００８８】
異常系の条件を満たした場合にもログが出力され、ログデータベース１０１ａに登録される。そして、イベントデータベース１０１ｃに登録された異常系の条件を満たすログ情報を含むログが検出された場合、検出されたログに関する監視対象がイベント発生の疑いありとして特定される。なお、正常系の条件を複数満たす場合や、正常系の条件と異常系の条件とをいずれも満たす場合なども生じうる。
【００８９】
（振る舞いデータベース１０１ｄ）
次に、振る舞いデータベース１０１ｄについて説明する。振る舞いデータベース１０１ｄは、イベントデータベース１０１ｃに登録された条件に合致するログ情報が登録されるデータベースである。振る舞いデータベース１０１ｄの例を図１３に示した。図１３は、第２実施形態に係る振る舞いデータベースの一例を示した図である。
【００９０】
図５〜図１０のログが得られている場合、振る舞いＩＤが００１のパターンについては、社員Ａに関するログ情報がイベント発生の疑いありとして特定される。この場合、図１３に示すように、振る舞いＩＤが００１のレコードに、社員Ａに関するログ情報（社員名「Ａ」など）が登録される。監視対象が社員である場合、振る舞いデータベース１０１ｄには、少なくとも社員を特定可能なログ情報（例えば、社員名、ユーザ名、ＩＰアドレスなど）が登録される。
【００９１】
図１３の例では、振る舞いＩＤが００１のレコードに、社員名、出勤状況、ログイン状況、ＶＰＮ接続の接続状況が登録されている。社員名だけでも監視対象となる社員を特定できるが、出勤状況、ログイン状況、ＶＰＮ接続の接続状況が併せて登録されていることで、イベント発生の原因を特定する作業が容易になる。同様に、振る舞いＩＤが００２のレコードは、社員名の他、アクセス時刻、ファイル名、ログイン状況を含む。
【００９２】
振る舞いデータベース１０１ｄには、正常系の条件を満たしたログ情報だけでなく、異常系の条件を満たしたログ情報も登録される。図１３の例では、振る舞いＩＤがＥ００４のレコードに、社員名、使用デバイスが登録されている。例えば、ＵＳＢメモリの使用が禁止されている場合、社員ＣがＵＳＢメモリを端末装置に接続すると、端末装置から異常ログが出力され、振る舞いデータベース１０１ｄに登録される。
【００９３】
図１３に示すように、振る舞いデータベース１０１ｄの各レコードには監視対象（この例では社員）に関するログ情報が含まれているため、共通キーデータベース１０１ｂに登録された共通キーを用いることで、特定の監視対象に関するログ情報の検索ができる。なお、図１３の例では、振る舞いデータベース１０１ｄが１つのデータベースであるかのように記載されているが、振る舞いＩＤ毎に別々のデータベースが設けられていてもよい。
【００９４】
（監視対象データベース１０１ｅ）
次に、監視対象データベース１０１ｅについて説明する。監視対象データベース１０１ｅは、各共通キーを利用して振る舞いデータベース１０１ｄに登録されたログ情報を検索し、検索結果が予め設定された条件を満たした場合に、条件を満たした共通キーが登録されるデータベースである。監視対象データベース１０１ｅの例を図１４に示した。図１４は、第２実施形態に係る監視対象データベースの一例を示した図である。
【００９５】
監視対象データベース１０１ｅに共通キーが登録されるための条件は、例えば、検索により振る舞いデータベース１０１ｄから抽出されたレコードの数が予め設定した閾値より大きい場合などである。例えば、社員Ａに関する共通キーを用いて図１３に例示した振る舞いデータベース１０１ｄを検索した場合、振る舞いＩＤが００１、００２、００３、００４、００５のレコードが抽出される。閾値が３に設定されていた場合、社員Ａに関する共通キーが監視対象データベース１０１ｅに登録される。
【００９６】
（閾値データベース１０１ｆ）
次に、閾値データベース１０１ｆについて説明する。閾値データベース１０１ｆは、監視対象データベース１０１ｅに登録される共通キーの判定に用いる閾値が登録されたデータベースである。閾値データベース１０１ｆの例を図１５に示した。図１５は、第２実施形態に係る閾値データベースの一例を示した図である。
【００９７】
図１５の例は、正常系、異常系、合計を区別して閾値を設定した場合の登録例を示している。正常系の閾値Ｔｈ１は、共通キーを利用して振る舞いデータベース１０１ｄから抽出されたレコードのうち正常系の条件に関するレコードの数を評価するための閾値である。異常系の閾値Ｔｈ２は、共通キーを利用して振る舞いデータベース１０１ｄから抽出されたレコードのうち異常系の条件に関するレコードの数を評価するための閾値である。
【００９８】
合計の閾値Ｔｈ３は、共通キーを利用して振る舞いデータベース１０１ｄから抽出されたレコードのうち正常系又は異常系の条件に関するレコードの数（つまり、抽出された全レコードの数）を評価するための閾値である。このように、正常系と異常系とを区別することで、条件の満たしやすさ（条件を満たす頻度や可能性）を考慮した異常性の評価が可能になる。また、合計に対する閾値Ｔｈ３を設けることで、最終的に監視対象データベース１０１ｅに登録するか否かの判断の厳しさを調整することができる。
【００９９】
なお、図１５の例では正常系、異常系を区別する例を示したが、振る舞いＩＤ毎の条件を区別し、振る舞いＩＤ毎に閾値を設定して閾値データベース１０１ｆに登録してもよい。例えば、振る舞いＩＤ毎のイベント発生頻度をシミュレーションや実験により推定し、その発生頻度の比率に応じた閾値を振る舞いＩＤ毎に設定してもよい。但し、Ｔｈ３≧Ｔｈ１＋Ｔｈ２である。
【０１００】
（ログ収集部１０２、キー生成部１０３）
再び図４を参照する。ログ収集部１０２は、被監視装置群２００からログを取得し、ログデータベース１０１ａ（図５〜図１０を参照）に登録する。キー生成部１０３は、監視対象について、ログデータベース１０１ａに登録された複数のログに共通するログ情報を抽出し、抽出したログ情報を共通キーとして共通キーデータベース１０１ｂ（図１１を参照）に登録する。なお、共通キーデータベース１０１ｂは予め記憶部１０１に格納されていてもよい。この場合、キー生成部１０３は省略可能である。
【０１０１】
（候補検出部１０４、不正判定部１０５）
候補検出部１０４は、ログデータベース１０１ａを参照し、イベントデータベース１０１ｃ（図１２を参照）に登録された条件を満たすログ情報を振る舞いＩＤ毎に検出する。そして、候補検出部１０４は、検出したログ情報を振る舞いデータベース１０１ｄ（図１３を参照）に登録する。
【０１０２】
不正判定部１０５は、共通キーデータベース１０１ｂに登録されている各共通キーを用いて振る舞いデータベース１０１ｄのレコードを検索し、検出されたレコードの数をカウントする。そして、不正判定部１０５は、閾値データベース１０１ｆ（図１５を参照）に登録された閾値よりもカウントした数が大きくなる共通キーを監視対象データベース１０１ｅ（図１４を参照）に登録する。不正判定部１０５は、監視対象データベース１０１ｅに共通キーを登録した場合、例えば、管理者に不正を知らせるメールを送信するか、パトライトやブザーなどの通知機器を利用して管理者に不正を知らせる。
【０１０３】
以上、監視装置１００の機能について説明した。
［２−４．処理フロー］
図１６を参照しながら、監視装置１００が実行する処理の流れについて説明する。図１６は、第２実施形態に係る監視装置が実行する処理の流れを示したフロー図である。
【０１０４】
（Ｓ１０１）ログ収集部１０２は、被監視装置群２００からログを取得する。また、ログ収集部１０２は、被監視装置群２００の時刻と、監視装置１００の時刻とのずれを検出し、取得したログの時刻を補正する。例えば、ログ収集部１０２は、検出した時刻のずれをもとに、監視装置１００の時刻が基準となるようにログの時刻を補正する。そして、ログ収集部１０２は、時刻補正後のログをログデータベース１０１ａ（図５〜図１０を参照）に登録する。
【０１０５】
（Ｓ１０２）キー生成部１０３は、ログデータベース１０１ａに登録されたログのログ情報間にある相関を分析し、監視対象を特定するための共通キーとして利用できるログ情報を特定する。そして、キー生成部１０３は、特定したログ情報を共通キーとして共通キーデータベース１０１ｂ（図１１を参照）に登録することで、共通キーデータベース１０１ｂを構築する。
【０１０６】
（Ｓ１０３）候補検出部１０４は、イベントデータベース１０１ｃ（図１２を参照）に登録されている振る舞いＩＤを１つ選択する。
（Ｓ１０４）候補検出部１０４は、選択した振る舞いＩＤに対応する条件を満たすログ情報の組をログデータベース１０１ａから抽出する。例えば、候補検出部１０４は、図１２に例示したイベントデータベース１０１ｃのうち振る舞いＩＤが００１の条件を満たすログ情報の組として、図５に例示したログ＃１〜＃３の社員Ａに関するログ情報（社員名「Ａ」、出勤状況「未出勤」、ログイン状況「ログイン」、ＶＰＮ接続の接続状況「未接続」）を抽出する。
【０１０７】
（Ｓ１０５）候補検出部１０４は、Ｓ１０４で抽出したログ情報のうち、共通キー（図１１を参照）を含むログ情報の組を対応付けて振る舞いデータベース１０１ｄ（図１３を参照）に登録する。例えば、振る舞いＩＤが００１の場合、候補検出部１０４は、共通キーとなるログ情報として社員名「Ａ」を認識し、社員名「Ａ」を含むログ情報の組（この例では、出勤状況「未出勤」、ログイン状況「ログイン」、ＶＰＮ接続の接続状況「未接続」）を振る舞いデータベース１０１ｄに登録する。
【０１０８】
（Ｓ１０６）候補検出部１０４は、振る舞いデータベース１０１ｄに登録されている全ての振る舞いＩＤを選択し終えたか否かを判定する。未選択の振る舞いＩＤがある場合、処理はＳ１０３へと進む。一方、全ての振る舞いＩＤを選択し終えた場合、処理はＳ１０７へと進む。
【０１０９】
（Ｓ１０７）不正判定部１０５は、共通キーを用いて振る舞いデータベース１０１ｄのレコードを検索し、検索結果に基づいて監視対象に関する共通キーを特定する。このとき、不正判定部１０５は、利用した共通キー毎に、検出されたレコードの数をカウントし、閾値データベース１０１ｆ（図１５を参照）に登録された閾値よりもレコード数（条件に該当する振る舞いＩＤの数）が大きくなる共通キーを特定する。そして、不正判定部１０５は、特定した共通キーを監視対象データベース１０１ｅ（図１４を参照）に登録して、監視対象データベース１０１ｅを構築する。
【０１１０】
Ｓ１０７の処理が完了すると、図１６に示した一連の処理は終了する。
（共通キーＤＢの構築処理）
ここで、図１７を参照しながら、共通キーデータベース１０１ｂの構築処理（Ｓ１０２）の流れについて、さらに説明する。図１７は、第２実施形態に係る共通キーデータベースの構築処理の流れを示したフロー図である。
【０１１１】
（Ｓ１３１）キー生成部１０３は、イベントデータベース１０１ｃ（図１２を参照）に登録されている振る舞いＩＤを１つ選択する。
（Ｓ１３２）キー生成部１０３は、ログデータベース１０１ａ（図５〜図１０を参照）を参照し、複数のログに重複して同じ情報が含まれるログ情報の種類を特定し、特定したログ情報の種類を検索キーに設定する。例えば、図５に示したログ＃１〜＃３には、社員名「Ａ」、「Ｂ」という情報が重複して含まれている。この場合、キー生成部１０３は、重複する情報の種類である社員名を検索キーに設定する。
【０１１２】
（Ｓ１３３）キー生成部１０３は、イベントデータベース１０１ｃに含まれる全ての振る舞いＩＤを選択し終えたか否かを判定する。未選択の振る舞いＩＤがある場合、処理はＳ１３１へと進む。一方、全ての振る舞いＩＤを選択し終えた場合、処理はＳ１３４へと進む。
【０１１３】
（Ｓ１３４）キー生成部１０３は、予め設定された監視対象（例えば、社員や端末装置など）を表す検索キーを基準に、対応する検索キーを特定し、特定した検索キーを共通キーに設定する。社員を監視対象とする場合、キー生成部１０３は、例えば、図７のログ＃１から、社員に対応する基幹システムのユーザ名（検索キー）に対応するＩＰアドレス（検索キー）を特定し、ＩＰアドレスを共通キーに設定する。なお、設定される共通キーの種類は、被監視装置群２００が出力するログの内容や監視対象の設定による。
【０１１４】
（Ｓ１３５）キー生成部１０３は、Ｓ１３４で設定した共通キーを対応付けて共通キーデータベース１０１ｂ（図１１を参照）に登録する。例えば、キー生成部１０３は、共通キーとして、ＩＰアドレス、社員名、ユーザ名、ホスト名、ＭＡＣアドレスなどを登録する。そして、キー生成部１０３は、各共通キーに対応するログ情報をログデータベース１０１ａから抽出し、抽出したログ情報の組を共通キーデータベース１０１ｂに登録することで、共通キーデータベース１０１ｂを構築する。
【０１１５】
Ｓ１３５の処理が完了すると、図１７に示した一連の処理は終了する。
（監視対象ＤＢの構築処理）
ここで、図１８を参照しながら、監視対象データベース１０１ｅの構築処理（Ｓ１０７）の流れについて、さらに説明する。図１８は、第２実施形態に係る監視対象データベースの構築処理の流れを示したフロー図である。
【０１１６】
（Ｓ１５１）不正判定部１０５は、共通キーデータベース１０１ｂ（図１１を参照）に登録された共通キーのレコード（監視対象に関する共通キーの組）を１つ選択する。
（Ｓ１５２）不正判定部１０５は、振る舞いデータベース１０１ｄ（図１３を参照）を参照し、Ｓ１５１で選択したレコードの共通キーを含む振る舞いデータベース１０１ｄのレコードを振る舞いＩＤ単位で特定する。そして、不正判定部１０５は、特定したレコードの数をカウントする。このとき、不正判定部１０５は、正常系の条件に関するレコードの数（以下、正常系レコード数Ｎ１）、異常系の条件に関するレコードの数（以下、異常系レコード数Ｎ２）をそれぞれカウントする。
【０１１７】
例えば、社員Ａに関する共通キーの組が選択された場合、図１３に示した振る舞いデータベース１０１ｄにおいて、振る舞いＩＤが００１、００２、００３、００４、００５の５つのレコードが特定される。この例において、社員Ａについては異常系の条件を満たすレコードが検出されないため、正常系レコード数Ｎ１が５、異常系レコード数Ｎ２が０となる。そして、正常系レコード数Ｎ１と異常系レコード数Ｎ２との合計である合計レコード数Ｎ３は５となる。
【０１１８】
（Ｓ１５３）不正判定部１０５は、閾値データベース１０１ｆ（図１５を参照）に登録された正常系に関する閾値Ｔｈ１と正常系レコード数Ｎ１とを比較する。そして、不正判定部１０５は、正常系レコード数Ｎ１が閾値Ｔｈ１以上か否かを判定する。正常系レコード数Ｎ１が閾値Ｔｈ１以上の場合、処理はＳ１５４へと進む。一方、正常系レコード数Ｎ１が閾値Ｔｈ１未満の場合、処理はＳ１５７へと進む。
【０１１９】
（Ｓ１５４）不正判定部１０５は、閾値データベース１０１ｆに登録された異常系に関する閾値Ｔｈ２と異常系レコード数Ｎ２とを比較する。そして、不正判定部１０５は、異常系レコード数Ｎ２が閾値Ｔｈ２以上か否かを判定する。異常系レコード数Ｎ２が閾値Ｔｈ２以上の場合、処理はＳ１５５へと進む。一方、異常系レコード数Ｎ２が閾値Ｔｈ２未満の場合、処理はＳ１５７へと進む。
【０１２０】
（Ｓ１５５）不正判定部１０５は、閾値データベース１０１ｆに登録された正常系及び異常系の両方（合計）に関する閾値Ｔｈ３と合計レコード数Ｎ３とを比較する。そして、不正判定部１０５は、合計レコード数Ｎ３が閾値Ｔｈ３以上か否かを判定する。合計レコード数Ｎ３が閾値Ｔｈ３以上の場合、処理はＳ１５６へと進む。一方、合計レコード数Ｎ３が閾値Ｔｈ３未満の場合、処理はＳ１５７へと進む。
【０１２１】
（Ｓ１５６）不正判定部１０５は、Ｓ１５１で選択した共通キーを監視対象データベース１０１ｅに登録する。
（Ｓ１５７）不正判定部１０５は、共通キーデータベース１０１ｂに登録されている共通キーのレコードを全て選択し終えたか否かを判定する。未選択のレコードがある場合、処理はＳ１５１へと進む。一方、全ての共通キーのレコードを選択し終えた場合、図１８に示した一連の処理は終了する。
【０１２２】
以上、監視装置１００が実行する処理の流れについて説明した。
以上説明したように、ログの組み合わせから異常な振る舞いが疑われる状況をパターンとして保持し、パターンに合致したログから監視対象を特定することで、被監視装置群２００が正常と判断したログからも不正の疑いのある対象を検出することができる。また、共通キーを利用して振る舞いデータベース１０１ｄを検索した検索結果をもとに最終的な監視対象の特定を行うことで、不正の疑いが強い対象をより適切に絞り込むことが可能になる。そのため、不正なき対象に対して不正原因の特定作業が生じるリスクを低減することが可能になり、作業負担を軽減することができる。
【０１２３】
以上、第２実施形態について説明した。
【符号の説明】
【０１２４】
５  ログ監視システム
１０  ログ監視装置
１１  記憶部
１１ａ  異常パターン
１１ｂ  監視情報
１２  制御部
２１、２２、２３  機器
【図１】
2016143320.tif 000003
【図２】
2016143320.tif 000004
【図３】
2016143320.tif 000005
【図４】
2016143320.tif 000006
【図５】
2016143320.tif 000007
【図６】
2016143320.tif 000008
【図７】
2016143320.tif 000009
【図８】
2016143320.tif 000010
【図９】
2016143320.tif 000011
【図１０】
2016143320.tif 000012
【図１１】
2016143320.tif 000013
【図１２】
2016143320.tif 000014
【図１３】
2016143320.tif 000015
【図１４】
2016143320.tif 000016
【図１５】
2016143320.tif 000017
【図１６】
2016143320.tif 000018
【図１７】
2016143320.tif 000019
【図１８】
2016143320.tif 000020