(57)【要約】【課題】ストリーム監視とストレージ検索を組み合わせる分析手法において、頻度の高いイベントと頻度の低いイベントが混在した相関分析を効率的に行う。【解決手段】手順リスト生成器１２０は、ストリーム監視が完了した際にストレージ検索を開始させる第１の開始手順と、ストリーム監視の完了前にストリーム監視において特定の事象が発生した際にストレージ検索を開始させる第２の開始手順とが定義された条件付手順リスト１３１を生成する。監視・検索エンジン１４０は、条件付手順リスト１３１に従い、ストリーム監視の完了前の特定の事象の発生有無に基づき、第１の開始手順及び第２の開始手順のいずれかに従って、ストレージ検索を開始する。【選択図】図１
2016024506.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークで送受信されるデータを監視するストリーム監視を行い、更に、前記ネットワークで送受信されたデータのログを検索するストレージ検索を行うことが定義された監視検索シナリオを生成するシナリオ生成部と、
前記監視検索シナリオに従って、前記ストリーム監視を行い、更に、前記ストレージ検索を行うシナリオ実行部とを有し、
前記シナリオ生成部は、
前記ストリーム監視が完了した際に前記ストレージ検索を開始させる第１の開始手順と、前記ストリーム監視の完了前に前記ストリーム監視において特定の事象が発生した際に前記ストレージ検索を開始させる第２の開始手順とが定義された監視検索シナリオを生成し、
前記シナリオ実行部は、
前記ストリーム監視の完了前の前記特定の事象の発生有無に基づき、前記第１の開始手順及び前記第２の開始手順のいずれかに従って、前記ストレージ検索を開始することを特徴とするデータ処理装置。
【請求項２】
前記シナリオ実行部は、
前記ストリーム監視を行うとともに、前記ストリーム監視において前記特定の事象が発生するか否かを監視し、
前記特定の事象が発生することなく前記ストリーム監視が完了した際に、前記第１の開始手順に従って、前記ストレージ検索を開始し、
前記ストリーム監視の完了前に前記特定の事象が発生した際に、前記第２の開始手順に従って、前記ストレージ検索を開始することを特徴とする請求項１に記載のデータ処理装置。
【請求項３】
前記シナリオ生成部は、
攻撃を検出するための検出ルールであって、前記ストリーム監視及び前記ストレージ検索のいずれも規定されていない検出ルールを解析して、前記ストリーム監視及び前記ストレージ検索が定義される前記監視検索シナリオを生成することを特徴とする請求項１に記載のデータ処理装置。
【請求項４】
前記シナリオ実行部は、
等間隔で発生するイベントが最後に発生した最終イベント発生時刻と、前記イベントが前記等間隔で発生した発生回数とを管理するテーブルを記憶しており、前記イベントが発生する度に前記テーブルを更新して、前記ストリーム監視において前記イベントを監視することを特徴とする請求項１に記載のデータ処理装置。
【請求項５】
コンピュータが、ネットワークで送受信されるデータを監視するストリーム監視を行い、更に、前記ネットワークで送受信されたデータのログを検索するストレージ検索を行うことが定義された監視検索シナリオを生成するシナリオ生成ステップと、
前記コンピュータが、前記監視検索シナリオに従って、前記ストリーム監視を行い、更に、前記ストレージ検索を行うシナリオ実行ステップとを有し、
前記シナリオ生成ステップにおいて、
前記コンピュータは、
前記ストリーム監視が完了した際に前記ストレージ検索を開始させる第１の開始手順と、前記ストリーム監視の完了前に前記ストリーム監視において特定の事象が発生した際に前記ストレージ検索を開始させる第２の開始手順とが定義された監視検索シナリオを生成し、
前記シナリオ実行ステップにおいて、
前記コンピュータは、
前記ストリーム監視の完了前の前記特定の事象の発生有無に基づき、前記第１の開始手順及び前記第２の開始手順のいずれかに従って、前記ストレージ検索を開始することを特徴とするデータ処理方法。
【請求項６】
ネットワークで送受信されるデータを監視するストリーム監視を行い、更に、前記ネットワークで送受信されたデータのログを検索するストレージ検索を行うことが定義された監視検索シナリオを生成するシナリオ生成処理と、
前記監視検索シナリオに従って、前記ストリーム監視を行い、更に、前記ストレージ検索を行うシナリオ実行処理とをコンピュータに実行させるプログラムであって、
前記シナリオ生成処理において、
前記コンピュータに、
前記ストリーム監視が完了した際に前記ストレージ検索を開始させる第１の開始手順と、前記ストリーム監視の完了前に前記ストリーム監視において特定の事象が発生した際に前記ストレージ検索を開始させる第２の開始手順とが定義された監視検索シナリオを生成させ、
前記シナリオ実行処理において、
前記コンピュータに、
前記ストリーム監視の完了前の前記特定の事象の発生有無に基づき、前記第１の開始手順及び前記第２の開始手順のいずれかに従って、前記ストレージ検索を開始させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サイバー攻撃や不正アクセスを検知する技術に関する。
【背景技術】
【０００２】
近年、サイバー攻撃や不正アクセスによる情報漏えい等が社会問題化しており、サイバー攻撃や不正アクセスを検知したいという要求が高まってきている。
不正アクセスを検知するための方法として、パケットからキーデータを抽出し、進行中のシナリオ記憶と照合してその結果に基づき不正アクセスとしてレポートする方法が開示されている（特許文献１）。
また、データベースとの照合で一致した場合にアラートを上げ、侵入容疑が高いログ情報を分析センタにアップロードする方法が開示されている（特許文献２）。
さらに、一定間隔ごとに抽出した部分的ログ情報に注目すべき内容が検出された場合には、対応する他の関連ネットワーク機器内の関連するログ情報を速やかに収集し効率的解析処理が実現できるよう抽出期間を最適化する方式が開示されている（特許文献３）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−１３６５２６号公報
【特許文献２】特開２００５−１８９９９６号公報
【特許文献３】特開２００４−２８８１１０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
サイバー攻撃を検知する際に、ある１つの事象を示すログのみをもとにサイバー攻撃と判断するのは難しく、ログのみを用いた場合は漏れや誤検知が多くなってしまう。
なぜなら個々のログは正常な通信ログとなんら変わらない場合が多いからである。
そのため、サイバー攻撃の検知は、ログの相関を分析するなどして、各種ログの内容を総合的に分析して判断する必要がある。
従来のサイバー攻撃向け検知方式は、極めて高頻度に発生するイベントを含めた相関分析に時間がかかるという問題があった。
例えば、以下のような例である。
（ａ）ホワイトリストに記載されていない外部のＩＰアドレスを発信元とするアクセスが発生（ファイアウォールログに記録）
（ｂ）（ａ）のイベント発生後、１時間以内に（ａ）と同じＩＰアドレスを発信元とするＩＤＳのＭｅｄｉｕｍアラートが５回発生
この例の場合、（ａ）、（ｂ）のいずれかを検知すると、発信元のＩＰアドレスが確定するため、もう片方の検知処理はＩＰアドレスを限定して実施することが可能である。
また、もう１つの特徴として、検知対象により頻度が大きく異なる。
この例では（ａ）は極めて頻発するが、（ｂ）が起きることは稀であると想定される。
【０００５】
従来の監視手法では時間順に処理を行う必要があるため、上記例の場合、（ａ）を検知し（ｂ）を検知することになる。
（ａ）はあらゆるＩＰアドレスについて検知しなくてはならないため極めて頻発し、（ａ）を検出する度に、該当ＩＰアドレスにて（ｂ）を監視するプロセスが発行されるため、（ｂ）を監視するプロセスの数が膨大となり、時間がかかりすぎてしまう。
【０００６】
この発明は上記のような課題を解決することを主な目的としており、ストリーム監視とストレージ検索を組み合わせる分析手法において、頻度の高いイベントと頻度の低いイベントが混在した相関分析を効率的に行うことを主な目的とする。
【課題を解決するための手段】
【０００７】
本発明に係るデータ処理装置は、
ネットワークで送受信されるデータを監視するストリーム監視を行い、更に、前記ネットワークで送受信されたデータのログを検索するストレージ検索を行うことが定義された監視検索シナリオを生成するシナリオ生成部と、
前記監視検索シナリオに従って、前記ストリーム監視を行い、更に、前記ストレージ検索を行うシナリオ実行部とを有し、
前記シナリオ生成部は、
前記ストリーム監視が完了した際に前記ストレージ検索を開始させる第１の開始手順と、前記ストリーム監視の完了前に前記ストリーム監視において特定の事象が発生した際に前記ストレージ検索を開始させる第２の開始手順とが定義された監視検索シナリオを生成し、
前記シナリオ実行部は、
前記ストリーム監視の完了前の前記特定の事象の発生有無に基づき、前記第１の開始手順及び前記第２の開始手順のいずれかに従って、前記ストレージ検索を開始することを特徴とする。
【発明の効果】
【０００８】
本発明では、ストリーム監視の完了前にストレージ検索を開始させる第２の開始手順が定義されているため、頻度の高いイベントに対するストレージ検索を早期に開始させることができ、頻度の高いイベントと頻度の低いイベントが混在した相関分析を効率的に行うことができる。
【図面の簡単な説明】
【０００９】
【図１】実施の形態１に係る相関分析装置の構成例を示す図。
【図２】実施の形態１に係る手順リスト生成器の動作例を示すフローチャート図。
【図３】実施の形態１に係る監視部の動作例を示すフローチャート図。
【図４】実施の形態１に係る検索部及び結果判定部の動作例を示すフローチャート図。
【図５】実施の形態１に係る検出ルールの例を示す図。
【図６】実施の形態１に係る条件付手順リストの例を示す図。
【図７】実施の形態２に係る監視部の構成例を示す図。
【図８】実施の形態２に係るテーブルの例を示す図。
【図９】実施の形態１及び２に係る相関分析装置のハードウェア構成例を示す図。
【発明を実施するための形態】
【００１０】
実施の形態１．
本実施の形態及び実施の形態２では、サイバー攻撃検知向けにログの相関関係を分析する構成を説明する。
より具体的には、本実施の形態及び実施の形態２では、ストリーム監視（以下、ストリーム処理又は単に監視ともいう）とストレージに貯めてのストレージ検索（以下、単に検索ともいう）を組み合わせ、ストリーム処理での検出結果とストレージ検索ジョブの保持状況に基づき検索処理を行うことで、頻度の高いイベントと頻度の低いイベントが混在した相関分析を効率的に行う構成を説明する。
なお、ストリーム監視とは、ネットワークで送受信されるデータをリアルタイムで監視する処理であり、ストレージ検索とは、ストレージに蓄積されたログデータの中から所定の条件に合致するログデータを検索する処理である。
【００１１】
図１は、本実施の形態に係る相関分析装置１００の一例を示す構成図である。
図１において、相関分析装置１００は、手順リスト生成器１２０及び監視・検索エンジン１４０から構成される。
手順リスト生成器１２０は、検出ルール１１１、イベント頻度情報１１２、監視・検索を実行するシステムのシステムスペック情報１１３を基に、条件付手順リスト１３１を生成する。
条件付手順リスト１３１は、ストリーム監視を行い、更に、ストレージ検索を行うことが定義されたシナリオであり、監視検索シナリオの例に相当する。
そして、手順リスト生成器１２０は、シナリオ生成部の例に相当する。
監視・検索エンジン１４０は、条件付手順リスト１３１に記載の手順に従い、監視と検索を組み合わせて検出ルールに合致したイベントを検出し検出結果１５１を出力する。
つまり、監視・検索エンジン１４０は、条件付手順リスト１３１従って、ストリーム監視を行い、更に、ストレージ検索を行うものであり、シナリオ実行部の例に相当する。
【００１２】
手順リスト生成器１２０は、監視・検索分類部１２１と条件付手順リスト生成部１２２から構成される。
【００１３】
監視・検索分類部１２１は、検出ルール１１１の検出方法を監視と検索に分類した手順を生成する。
【００１４】
条件付手順リスト生成部１２２は、監視と検索に分類された手順から、条件付手順リスト１３１を生成する。
【００１５】
条件付手順リスト１３１は、監視・検索の手順を記したリストであり、検索実行の条件として、監視結果や保持されている検索ジョブの数等が指定されたものである。
【００１６】
監視・検索エンジン１４０は、ストリームＤＢ（ストリームデータベース）１４１、ストレージＤＢ（ストレージデータベース）１４２、監視部１４３、検索部１４４、検索条件判定部１４５、検索ジョブ保持部１４６、結果判定部１４７から構成される。
【００１７】
ストリームＤＢ（ストリームデータベース）１４１は、受信したログをストリームとしてリアルタイム処理するためデータベースである。
【００１８】
ストレージＤＢ（ストレージデータベース）１４２は、ログを蓄積し後で検索するためのデータベースである。
【００１９】
監視部１４３は、ストリームＤＢ１４１を使用し条件に合致したログが出現するのを監視する。
【００２０】
検索部１４４は、ストレージＤＢ１４２を使用し検索を行う。
【００２１】
検索条件判定部１４５は、条件付手順リスト１３１に基づき、監視部１４３による検知結果から検索実行の判定を行う。
【００２２】
検索ジョブ保持部１４６は、未実施の検索ジョブを保持する。
【００２３】
結果判定部１４７は、監視部１４３による検知結果、検索部１４４による検索結果を総合して、検出ルール１１１で定めた相関を検出したかどうかを判定し、検出した場合は検出結果を出力する。
【００２４】
次に、発明が解決しようとする課題で挙げた例で本実施の形態に係る相関分析装置１００の動作の概要を説明する。
一般的な動作の詳細は後でフローチャートを用いて説明する。
発明が解決しようとする課題で挙げた例の場合、検知順を時間順と逆にし、まず頻度の低い（ｂ）を監視し、（ｂ）を検知後に過去のデータを用いて（ａ）をストレージ検索するという処理とすることで、効率的に検知できる。
（ｂ）の検知により対象となる外部ＩＰアドレスが限定でき、（ａ）の検索条件を大きく絞ることができるからである。
さらに、監視部１４３での検知が５回に達していなくても、検索条件判定部１４５で判断して、場合によっては検索を開始する。
例えば、検知が４回の状況で、検索対象のログが同じであるアドレスが検知されたことがジョブ検索情報に保持されていれば、検索を開始する。
そのため、監視部１４３での検知が５回に確定してから検索を開始するよりも検出結果が早く出力されるという利点がある。
これらの監視、検索の手順を条件付手順リスト１３１に記載しておき、その手順に従い監視・検索エンジン１４０で処理を行う。
【００２５】
このように、本実施の形態では、手順リスト生成器１２０が、ストリーム監視が完了した際（前出の例では対象のアドレスを５回検知した際）にストレージ検索を開始させる第１の開始手順と、ストリーム監視の完了前にストリーム監視において特定の事象が発生した際（同じログを対象とする検索ジョブ情報が存在している場合に、対象のアドレスを４回検知した際）にストレージ検索を開始させる第２の開始手順とが定義された条件付手順リスト１３１を生成する。
そして、監視・検索エンジン１４０が、ストリーム監視を行うとともに、ストリーム監視において特定の事象が発生するか否かを監視し、特定の事象が発生することなくストリーム監視が完了した際に、第１の開始手順に従って、ストレージ検索を開始する。
一方、ストリーム監視の完了前に特定の事象が発生した際に、第２の開始手順に従って、ストレージ検索を開始する。
【００２６】
次に、本実施の形態に係る相関分析装置１００の一般的な動作例について詳しく説明する。
図２〜図４に動作例のフローチャートを示す。
【００２７】
図２は手順リスト生成器１２０のフローチャートである。
【００２８】
まず、ステップ２００で、監視・検索分類部１２１が、検出ルール１１１から、同一の処理や包含関係にある処理を抽出し、集約する。
次に、ステップ２０１で、監視・検索分類部１２１が、イベント頻度情報１１２やシステムスペック情報１１３を基に、処理を監視・検索に分類する。
次に、ステップ２０２で、条件付手順リスト生成部１２２が、手順リストに検索条件を追加し、条件付手順リスト１３１を生成する。
【００２９】
図３は監視処理のフローチャート、図４は検索、結果判定のフローチャートであり、これらは並行に実行される。
まず、監視処理のフローについて説明する。
【００３０】
ステップ３００で、無限ループを行う。
ステップ３０１で、監視部１４３が、ストリーム監視によるイベント検知を行う。
イベントを検知した場合はステップ３０２に進み、検知しなかった場合はステップ３００でループする。
ステップ３０２で、監視部１４３は、検知フラグを立て、検知結果を検索条件判定部１４５に出力する。
検知フラグは、ストリーム監視において対象となるアドレスを検知する度に立てられる。
【００３１】
次に、検索、結果判定のフローについて説明する。
【００３２】
ステップ４００で、無限ループを行う。
ステップ４０１で、検索条件判定部１４５は、検知フラグが立っているかどうかを確認する。
検知フラグが立っていた場合（検知ありの場合）、ステップ４０２で検索条件判定部１４５は、検索条件判定を行う。
検索条件判定では、検索条件判定部１４５は、条件付手順リスト１３１に記載の内容に従い、検知の結果、必要になる検索ジョブがあるか、また、ある場合にその検索ジョブでの検索対象と同じログに対する検索ジョブが有るかどうかに応じて判定を行う。
また、検索の時間範囲の重複度合に応じて、重複部分を先に行うなどの制御も行う。
【００３３】
検索条件判定（ステップ４０２）の結果、条件付手順リスト１３１にストレージ検索が定義されていなければ、ステップ４０６に進む。
【００３４】
検索条件判定（ステップ４０２）の結果、検索実行は不要と判定されたら、検索ジョブ保持部１４６が、ステップ４０３で検索ジョブ情報を保持する。
つまり、前出の例のようにアドレス検知が５回あった場合又はアドレス検知が４回あり同じログを対象とする検索ジョブ情報が保持されている場合にストレージ検索を行うという条件が条件付手順リスト１３１に定義されている場合に、１〜３回目のアドレス検知や、４回目のアドレス検知であるが同じログを対象とするジョブ検索情報が保持されていない場合は、条件を満たしていないので、ストレージ検索は行われず、検索ジョブ情報を保持する。
検索ジョブ情報には、図３のステップ３０１で検知されたアドレスが記述される。
【００３５】
検索条件判定（ステップ４０２）の結果、検索実行が必要と判定された場合は、検索部１４４が、ステップ４０４で実際に検索を実行する。
つまり、前出の例のようにアドレス検知が５回あった場合又はアドレス検知が４回あり同じログを対象とする検索ジョブ情報が保持されている場合にストレージ検索を行うという条件が条件付手順リスト１３１に定義されている場合は、５回目のアドレス検知や、同じログを対象とするジョブ検索情報が保持されている状況での４回目のアドレス検知であれば、条件を満たしているので、ストレージ検索が行われる。
検索実行（ステップ４０４）の後、ステップ４０５で、結果判定部１４７が検索結果の確認を行う。
検索条件判定及びその後の処理終了後、ステップ４０６で、結果判定部１４７は、ログ内の相関を検出したかどうかの結果判定を行う。
結果判定（ステップ４０６）の結果、検出があれば、結果判定部１４７は、ステップ４０７で検出結果を出力する。
検出が無ければループする。
【００３６】
図５に発明が解決しようとする課題で挙げた例での検出ルールの記述例を示す。
この例では角括弧“［］”はセクションと呼ばれ、その中にルール番号が記載される。
また、名前と値が“＝”で結ばれており、各名前の要素の値が示されている。
“＃”以降は行末までコメントである。
検出ルールファイルには、ルール番号の他、そのルールに対するログのパス、ログの種別、検出する条件などが記載される。
また、名前ｔｒｉｇｇｅｒで、検索開始のトリガとなるルール番号が指定される。
この項目があるセクションは、トリガとなるルールが成立したときにのみ該当セクションに記述されている検出処理を行うことを示す。
尚、検出ルールでは、検出をストリーム監視で行うか、もしくはストレージ検索で行うかといった検出方法については規定しない。
【００３７】
図６に、発明が解決しようとする課題で挙げた例での条件付手順リスト１３１の記述例を示す。
条件付手順リスト１３１は、検出ルールに基づき検出したいログ相関の、検出手順を記したリストである。
角括弧“［］”で囲まれたセクション名はｓｔｒｅａｍ又はｓｔｏｒａｇｅで始まる。
ｓｔｒｅａｍで始まるセクションは検出手法としてストリーム監視を、ｓｔｏｒａｇｅで始まるセクションはストレージ検索を使用することを意味する。
また、ｃｏｎｄｉｔｉｏｎという名前で検索条件判定ルールを規定する。
この例の場合は、５回の検出のうち、３回起きた場合は同じログを対象とする検索ジョブが他に２件あれば検索実行、４回起きた場合は同じログを対象とする検索ジョブが他に１件あれば検索実行を行う。
また、同じログに対する検索があるかどうかという条件以外に、同じ内容の検索があるかどうかという条件も併せて検索実行するかどうかを判定してもよい。
【００３８】
以上のように、ストリーム処理とストレージ検索を組み合わせ、ストリーム処理による検知後、検索ジョブの保持状況の条件により検索を開始するようにしているため、ログの相関を高速に検出することができる。
【００３９】
実施の形態２．
実施の形態２は、実施の形態１の相関分析装置１００における監視部１４３において、定期的イベントの検出を可能にした例を説明する。
ここで、定期的イベントとは、サイバー攻撃で頻繁に行われる、ビーコン通信などの定期的に出現するイベントのことである。
【００４０】
ここで、定期的とは、等間隔（ΔＴ）で、同じイベント（通信など）が発生している状態のこととする。
具体的には、同じイベントの発生数ｋが、観測期間Ｔ、時間間隔ΔＴ、イベント発生回数の揺らぎδとしたとき、閾値｛（Ｔ／ΔＴ）−δ｝回以上発生していることと定義する。
また、ΔＴも揺らぐ（ゆらぎ量＝α）ことを考慮すると、カウンタでの集計対象となるイベントは、（ΔＴ±α）のタイミングで発生したものとなる。
なお、イベントの発生抜けや、想定した揺らぎ以上の揺らぎでイベントが発生した場合、検知漏れが発生することも考えられるが、定期的なイベントは、継続して発生していると考えられるため、監視を継続していくことで、いずれかのタイミングで検知できるものと考える。
また、ΔＴは、観測期間Ｔの中での最初の２回のイベントの時間差で決定することとする。
【００４１】
実施の形態２の監視部１４３の構成図を図７に示す。
実施の形態１の監視部１４３に、テーブル更新部７０１、テーブル判定部７０２、定期的イベントの検出に使用するテーブル７０３を追加している。
テーブル更新部７０１は、監視結果に基づきテーブル７０３の更新処理を行う。
テーブル判定部７０２は、テーブル７０３の内容を確認し、定期的イベントを検知しているかどうかの判定を行う。
【００４２】
図８に、テーブル７０３の例を示す。
テーブル７０３は、イベント種別８０１、ΔＴ８０２、最終イベント発生時刻８０３、一致回数８０４、足切り時刻８０５、削除フラグ８０６の列を持つ。
また、観測情報８０７として、開始時刻、イベント発生間隔の揺らぎ（α）、イベント発生回数の揺らぎ（δ）の情報を持つ。
【００４３】
イベント種別８０１は、イベントを区別する種別であり、例えば通信を行っている外部のホスト名と内部のＩＰアドレスの組である。
ΔＴ８０２は、イベントの間隔であり、前述の通り、観測期間Ｔの中で、イベント種別が一致する最初の２回のイベントの時間差により決定する。
最終イベント発生時刻８０３は、該当イベント種別において、最後にイベントが発生した時刻である。
一致回数８０４は、前回のイベントから（ΔＴ±α）のタイミングでイベントが発生した回数である。
足切り時刻８０５は、該当イベント種別において、この時刻までに一致が起きなければ定期的検出の見込みが無くなるという時刻である。
削除フラグ８０６は、該当イベント種別において、定期的イベントの検出の見込みが無くなったことを示すフラグである。
【００４４】
このように、各イベント時刻を保持するのではなく、最終イベント発生時刻及び一致回数を保持するという方式によりメモリ使用量を削減することができる。
また、足切り時刻を生成し、定期的検出の見込みが無くなったイベント種別は削除フラグを立て順次除外してくことにより、高速に処理を行うことが可能である。
【００４５】
以上、本発明の実施の形態について説明したが、これらの実施の形態を組み合わせて実施しても構わない。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
【００４６】
最後に、実施の形態１及び２に示した相関分析装置１００のハードウェア構成例を図９を参照して説明する。
相関分析装置１００はコンピュータであり、相関分析装置１００の各要素をプログラムで実現することができる。
相関分析装置１００のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。
【００４７】
演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）である。
外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置である。
主記憶装置９０３は、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）である。
通信装置９０４は、例えばＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）である。
入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。
【００４８】
プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
プログラムは、図１に示す「〜部」として説明している機能を実現するプログラムである。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、図１に示す「〜部」の機能を実現するプログラムを実行する。
また、実施の形態１及び２の説明において、「〜の判断」、「〜の判定」、「〜の抽出」、「〜の検知」、「〜の検索」、「〜の確認」、「〜の設定」、「〜の登録」、「〜の解析」、「〜の選択」、「〜の生成」、「〜の入力」、「〜の出力」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
【００４９】
なお、図９の構成は、あくまでも相関分析装置１００のハードウェア構成の一例を示すものであり、相関分析装置１００のハードウェア構成は図９に記載の構成に限らず、他の構成であってもよい。
【００５０】
また、実施の形態１及び２に示す手順により、本発明に係るデータ処理方法を実現可能である。
【符号の説明】
【００５１】
１００  相関分析装置、１１１  検出ルール、１１２  イベント頻度情報、１１３  システムスペック情報、１２０  手順リスト生成器、１２１  監視・検索分類部、１２２  条件付手順リスト生成部、１３１  条件付手順リスト、１４０  監視・検索エンジン、１４１  ストリームＤＢ、１４２  ストレージＤＢ、１４３  監視部、１４４  検索部、１４５  検索条件判定部、１４６  検索ジョブ保持部、１４７  結果判定部、１５１  検出結果、７０１  テーブル更新部、７０２  テーブル判定部、７０３  テーブル。
【図１】
2016024506.tif 000003
【図２】
2016024506.tif 000004
【図３】
2016024506.tif 000005
【図４】
2016024506.tif 000006
【図５】
2016024506.tif 000007
【図６】
2016024506.tif 000008
【図７】
2016024506.tif 000009
【図８】
2016024506.tif 000010
【図９】
2016024506.tif 000011