ログファイルの視覚化による不正侵入検知手法の提案
高 田 哲 司小 池英 樹

電気通信大学大学院 情報システム学研究科
今日、計算機への不正侵入が大きな問題となっている。これに対し計算機管理者は様々なログファイルやシステム情報を監視し 、計算機が不正侵入されているか否かを判断する必要がある。しかし調査対象となる情報は膨大な量であり、その作業は熟練と特別な知識を要する。そこで本研究では 3 次元グラフィックスを用いてログファイル情報の視覚化を行った。本手法により、ログファイルに含まれている情報の認識が容易になる。結果として不正侵入検知が容易になる。

An intrusion detection system using visualization of computer log les

Tetsuji Takada and Hideki Koike
Graduate School of Information Systems
University of Electro-Communications

The increase of unauthorized access to computer systems is one of major issues in computer
securities. System administrators have to monitor some log les or system's performance toknow whether or not the systems are attacked.
There are, however, various kinds of log les and these les are usually located at di erent
directories. It makes the intrusion detection more dicult.
This paper proposed a visualization approach for the intrusion detection. Four prototype
visualization systems were developed. By using our visualizations, some intrusion detection
tasks were performed more easily.

1.

3

入検知法を提案する。ログファイルを 次元グラフィッ
クスを用いて視覚化する事により、ログファイル内に含まれる情報の認識が容易になり、結果として不正侵入検知が可能になる。本稿では、不正侵入対策への問題点を挙げ、本手法の提案と試作システムの紹介、そして不正侵入検知例について述べる。

はじめに今日、コンピュータセキュリティの重要性が声高に叫ばれている。の普及に伴い、ネットワークに接続される計算機は増加の一途をたどり、情報収集手段としてのや連絡手段としての電子メイルはすでに一部の者だけの技術ではない。
しかし 、多くの計算機がネットワークに接続される事で、悪意をもったユーザによる計算機への不正侵入の危険性が増大し、近年多数の事件が報告されている。
したがって計算機を利用するにあたって、不正侵入に対する対策をとる必要がある。
この問題に対する対策は、計算機の挙動を監視する事である。具体的に言うとが生成するログファイルや様々なシステム情報を監視し 、計算機が不正侵入されていない事を確認する事である。しかし調査対象となるログファイルは膨大な量の情報を含んでおり、かつ計算機内に分散し 、偏在していることがその監視作業を困難にしている。
そこで本研究では、情報視覚化技術を用いた不正侵Internet

WWW

2.

不正侵入対策不正侵入対策における 4 つの場面
不正侵入対策には、以下の つの場面からなるサイクルが必要であると言われている。1) このサイクルの繰り返しによりセキュリティを強化し 、不正侵入の対処が可能になる。
回避 防止
保証検知調査日本においてもをはじめ、多くの組織や研究者による活動により、コンピュータセキュリティの知識は普及しつつある。これにより多くの計算機環
2.1

OS

I.
II.
III.
IV.

1

4/

JPCERTtcp wrapper

境では、ファイアウォールやをはじめとした不正侵入防止システムが導入されている回避防止 。またといった不正侵入攻撃シュミレータやなどのセキュリティチェックツールを用いて自計算機の安全性を検査し 、保証している
安全性の保証 。
しかし 、以下の理由により上記の対策だけで計算機が不正侵入される危険性がなくなるわけではない。
 欠陥のないソフトウェアはない
ソフトウェアの欠陥は次々と発見されている。この欠陥が場合によっては、新たな侵入手段を生む可能性を持っている 完全な不正侵入防止システムはない
新しい侵入手段の発見や、人為的な問題があるため、ネットワークとの接続を維持したまま、不正侵入に対して絶対的な安全を保証する不正侵入防止システムはない
上記の理由より、不正侵入に対する対策は、前述のつの場面のうちのだけでは不十分であり、の不正侵入検知や、の不正侵入検知後の調査が必要不可欠である。
2.2 現在の不正侵入監視作業とその問題点
現在の不正侵入監視作業とは、豊富な経験と知識を持った計算機管理者がや不正侵入防止システムが生成するログファイルそして計算機の動作状況を定期的に監視し 、不正侵入されていない事を確認することである。
そこで実際に不正侵入監視作業がどのように行われるか、ファイアウォールとが稼働している計算機を前提に、具体例を挙げて考察する。
1. アクセス状況の調査
まず以下の事象に関する調査から始める。
 見知らぬ計算機からアクセスされていないか ログイン処理の失敗が繰り返されていないか
そのためには以下の作業を行わなければならない。
 ファイアウォールのアクセスログを調査し 、見知らぬ計算機からのアクセスを示すログがないかを探索する
ファイルを眺め、膨大な量の情報の中からによるログ情報を抽出する。さらにその中に見知らぬ計算機からのアクセスを示すログがないかを探索する
 上記同様にファイルを眺め、繰り返しログイン失敗のログを探索する
2. ログイン状況の調査
前述の事象が発見されたら、次に計算機に不正侵入しているかを調査する必要がある。具体的にはログイン履歴情報を調査することであり、と呼ばれるコマンドを使用してファイル というログファイルの内容を調査することである。このログファイルも膨大な量の情報が含まれており、そのログ情報の中から見知らぬ計算機からアクセスしているユーザがいるかど うかを探索しなければならない。
3. 不正侵入者の挙動調査
計算機への侵入が認められれば、その次に不正侵入者が計算機上で何を行ったかを調査する必要がある。具体的には以下の作業が必要になる。
コマンドの実行履歴情報やファイルの更新履歴情報を調査する必要がある。具体的には以下の作業を行う。
 どのようなコマンドを実行したかというコマンドを使用してコマンド 実
行履歴情報を調査し 、見知らぬ計算機からアクセスしたユーザがどのようなコマンドを実行したかを調査する
 重要なファイルが新規作成 削除 変更されていな
いかコマンドやエディタを使用して、セキュリティ上重要なファイルが改ざんされていないかを確認する
もちろん上述の監視作業で全ての不正侵入手段が検知可能ではない。しかし上記例から、人手による不正侵入監視作業は、困難であることがわかると同時に以下のような問題点が明らかになる。
 不正侵入監視知識の必要性
不正侵入監視作業を行うには、ログファイルの存在場所から不正侵入である事象まで、 やセキュリティに関する膨大な知識が必要となる
 ログファイルの分散 偏在性
ログファイルが分散、偏在していることが調査作業を困難にしている
 膨大な情報量
人が手作業により容易に処理できる量ではない
 対象情報の抽出
ログファイルはセキュリティに関する情報のみを含んでいるわけではない。必要な情報をログファイルから抽出する必要がある 単調作業極めて単調な作業である
2.3 関 連 研 究
不正侵入の試みや不正侵入されたという事象を検知するシステムとして不正侵入検知システム☆があり、多くの研究が行われている。以下に例を挙げる。

(I. /)SATAN (Security Administrators Tool
for Analyzing Networks)
COPS(Computer Oracle and PasswordSystem)
(II)

\ls"

4
(III)

(I),(II)
(IV)

OS//

syslogtcp wrapper



syslog

\wtmp

/?

OS

tcp wrapper

UNIX?

\acctcom"

NIDES
SRI International's Computer Science Laboratory で研究が行われている不正侵入検知システム
3)である。特徴は、不正侵入の発見方法としてエキスパートシステムと統計的手法の両方を用いている事である。

\last""☆

2

Intrusion Detection System.

略して IDS と呼ばれる

NSM
University of California, Davis で研究が行われており、Network 監視を基本としたシステムである。不正侵入を検知するために audit trail を使用せず、network の trac 情報を用いている。
 USTATUSTAT は University of California, Santa BarBara で開発されたシステムで、その特徴は、ユーInformation collecting
processmonitoring
daemonmonitoring
daemonMonitored
Workstation

logfilesmonitoring
daemon4)

Networkdatacollector

ザの利用状況を状態遷移としてとらえ不正侵入を検知している事である。
上記に挙げるように侵入者を発見するために様々な方法が考案されている。しかしこれらのシステムは、熟練者向けシステムであるといえる。
多くのシステムは、不正侵入検知を計算機管理者に通報するのみであり、どのような判断から不正侵入を検知したかが不明であるため、事後の調査を行う必要がある。
ここで我々は、不正侵入監視作業を計算機管理者のみに依存しているのは危険であると考える。それは、彼らが不在であったり、様々な理由により監視作業を行えなくなる可能性があり、またおろそかにもなる傾向もあるからである。
そこで我々は、計算機管理者以外のユーザも不正侵入監視作業に参加できるようにすべきであると考える。
これにより、管理者が不在、その他の理由により不正侵入監視作業が行えない場合においても、管理者以外のユーザが不正侵入監視作業を代行することができ、堅牢な監視体制を確立する事が可能である。
2.4 情報視覚化による不正侵入検知システム
そこで本研究では、情報視覚化技術を用いた不正侵入検知システムを提案し 、 次元グラフィックスを用いてログファイルの情報を視覚化するシステムを試作した。これにより以下の利点が考えられる。
 情報が図表として視覚化される事により、文字の羅列による表示よりも認識負担が軽減され、膨大な量の情報も容易に認識可能になる
 分散していたログファイル情報を統合して表示可能になる。これにより個々にログファイルを調査するだけでは把握しにくい情報間の関連性が明らかになり、監視作業を支援できる
 侵入として疑わしい挙動が容易に把握可能になる。ログファイル情報の初期分析を行うため、初心者だけでなく熟練者にとっても作業負荷を軽減できる
上記の利点から、ログファイル内の情報がより直感的に把握可能になり、様々な事象が管理者以外のユーザにも理解可能になる。結果として、管理者以外のユーザが不正侵入監視作業に参加できるようになり、前節で述べた堅牢な監視体制を確立する事が可能になる。
またログファイル情報の初期分析も行われるため、単にログファイルを眺めているだけでは気づかない情報

statistical dataprocess

Visualizing processvisualizing
process

ScreenImage
Visualizing
Workstation

図1

システム構成図も把握することができる。
3.

ログファイル視覚化システム

UNIX

本研究では、不正侵入検知システムとしてが動作している計算機を対象としたログファイル視覚化システムを試作した。本章では試作システムについて述べる。
3.1 システムの枠組
試作システムの枠組は、情報収集処理と視覚化処理の つの処理部から構成される 図 参照 。
 情報収集処理やセキュリティツールが生成する種々のログファイルを一定間隔で監視し 、新規情報があれば情報収集を行う。本処理部は、組み込み関数、別コマンドとして開発してきた。今後は汎用性、リアルタイム性向上のために形式の開発を目指す。
現在とし て稼働している情報収集処理
は 以下の 通りで あ る 。ただし 動作環境とし てのもとでとが稼働していることを仮定している。
ログイン履歴情報収集
ログファイルを監視
アクセス履歴情報収集
ファイルを 監視し ている。現在はのログと繰り返しログイン失敗の 点に 対象を絞り情報収集を行っているコマンド 実行履歴情報収集
ファイルの監視コマンド 実行履歴情報収集
ファイルを監視指定したファイルの属性変化情報
ユーザが明示的に指定したファイルについて、関数で得られる情報とファイルから作成した情報を保持し 、これらの2( 1)OSdaemondaemon3daemonSUN Solaris2.6
tcp wrapper
1.
wtmp
2.
syslogtcp wrapper
2
3.
4.
5.

\su"
sulog

pacct

stat

3

MD5

system accounting

図3

図2

報のフィルタリングが可能である。
本システムにより、以下のことが把握できる。
 現在作業中のユーザ名
 各ユーザのアクセス元ホスト名

コマンドを実行したユーザ
結果として
 見知らぬホストからのアクセス
コマンドによるなりすまし ありえないユーザの計算機利用といった事象が監視可能である。
3.2.2 コマンド 実行履歴の視覚化
コマンド 実行履歴情報の視覚化 図 は、計算機内でのコマンド実行状況の把握を目的としたシステムで、コマンドとログインに関する履歴情報を統合して視覚化を行った。
概観は、最下層に実行されたコマンド 名が円形状に表示され、その実行頻度を表す円柱が付随して描かれている。またその円の内部には、各ユーザ毎のコマン
ド 実行状況を表す輪が層状に描かれている。
本システムにより、以下のことが把握できる。
 計算機内で実行された全コマンド
 計算機内で実行された全コマンド の使用頻度
 各ユーザのコマンド 実行状況
 ユーザの各コマンド 実行方法 端末からの入力による起動、もしくはによる間接的な起動結果として 該当ユーザが使うはずのないコマンドが実行されている 本人の知らないうちに 、コマンドが実行されている。
といった不正侵入として疑わしい事象が検知可能である。
またマウスによる表示オブジェクトのピックにより、実行コマンドの表示を計算機単位からユーザ単位、セッション単位へと移行することが可能であり、表示情報ログイン履歴情報の視覚化例情報の変化を履歴情報として収集している 視覚化処理

3\su"

情報収集処理で得られた情報を 次元グラフィック
スを用いて視覚化している。現在、
社製ワークステーション O2 上にて動作している。また本処理ではユーザからの要求を受け付け、それに対する反応も行う
3.2 試作システム
本節では、これまでに開発した試作システムを紹介する。
3.2.1 ログイン履歴情報の視覚化
ログイン履歴情報の視覚化 図 は、計算機へのアクセス状況の把握を目的としたシステムで、ログイン履歴情報、アクセス履歴情報、コマンド 実行履歴情報を統合して視覚化を行った。概観は、多角形上の枠により「層」を形成した形状である。この各層は、アクセス元ホストの信頼度を表し 、疑わしいアクセス元ホストの認識を容易にしている。
枠外周には、文字によりアクセス元ホスト名が表示され、枠内周にはユーザを表す球または円錐が表示される。ユーザ情報は、その形状によってコマンドを実行し 、異なるユーザへのなりかわりが成功したか否かを表し 、色により内で共通の一般ユーザなのか、または計算機限定のユーザ☆なのかを知ることが可能である。またユーザとアクセス元ホスト間は線で結ばれ、その線の種類によってアクセス方法を知ることが可能である。
またユーザはマウスによるドラッグ操作により、様々な位置へ視点の移動が可能である。さらに表示されているオブジェクトをマウスでピックすることで表示情

ics

Silicon Graph-\su"

( 3)

( 2)

\su"

\su"

cron,rshLAN☆

コマンド 実行履歴の視覚化例

root 、adm など

4()This object means
user executes 'su' command and succeeded.

This line means
user accesses to host by telnet or rlogin.

図4

XXXX
XX

ファイルの時刻情報の視覚化
Unknown host

図6

不正侵入検知例 ファイルの状態情報変更履歴

図5

この方法では、個々の情報内に含まれる特徴は隠蔽されてしまうが、一つの視覚化表示で様々なセキュリティ情報を同時に見ることができる。また時刻を基準とした表示を行っているため、個々の情報間の時間関係が直接認識できる利点がある。
このように時間を基準にした視覚化は必要である。
セキュリティ上、ある異常な事態が発生した際に、同時刻で何が行われていたか、またその後に何が発生したかを知る必要があることは多い。時刻を基準にした視覚化は、このような作業を直接支援可能にする。

種々の情報の統合視覚化例のフィルタリングが可能である。
3.2.3 ファイルの時刻情報の視覚化におけるファイルには、 種類の時刻情報が存在する。これらの情報の把握を目的として視覚化を行った 図 。
本システムによってファイルの時刻情報がより直感的に把握可能になり、ファイルがアクセス、更新されたり、許可権限が変更された場合にその状態変化が容易に認識可能になる。これをセキュリティ上重要なファイルに適用することで、不正侵入監視作業を支援することが可能である。
3.2.4 セキュリティ情報の統合視覚化
これまでは、個々のセキュリティ情報に焦点をあてて視覚化を行った例を紹介した。本節では、今までに焦点をあてた種々のセキュリティ情報をより統合的に視覚化した例を紹介する。
図 は、ある時間間隔内に発生したセキュリティに関する情報を統合して視覚化した例である。この表示には以下の情報が含まれている。
 アクセス履歴 ログイン履歴
コマンド 実行履歴
 コマンド 実行履歴

UNIX

34.

不正侵入検知例

本章では、ログファイル視覚化システムを利用して、不正侵入が検知可能であることを以下の不正侵入事例を例に挙げて示す。
ネットワークを通じて計算機に不正侵入した。計算機の使用状況をうががい、その後 su コマンド を実行してroot ユーザになり、/etc/inetd.conf を編集した。
図 ではログイン履歴情報視覚化での不正侵入検知例である。図 の表示は、視覚化結果に疑わしい表示があったため、表示情報のフィルタリングを行ったものである。その結果として次のような疑わしい挙動が認識される。
 見知らぬホスト名表示が存在する
見知らぬホストからのアクセスがあったことを示す
 見知らぬホスト名とユーザを表すオブジェクトを結ぶ線が存在する
見知らぬホストからあるユーザになりすまし 、ログ インに成功していることを示す
 ユーザを表すオブジェクトが赤い円錐表示である

( 4)

65su

56

(2 ) 不正侵入検知の通知
不正侵入があった際に、それが即時に認識できるような工夫が必要である。侵入事象が一層顕著になるような視覚化手法の考案、および警報音などによるユーザへの通知を考える必要がある。
視覚化処理の統合監視作業を行うにあたって、監視対象情報ごとに異なるシステムを実行するのはユーザにとって手間であり、 つのシステムで様々な視覚化表示を見ることが出来ることが望ましい。よって視覚化処理部の統合を行う必要がある。

(3 )This line means that
'inetd.conf' file is edited by vi.

1These command means
user is monitoring current status

図7

不正侵入調査例

su コマンドを実行しており、それが成功している

6.

ことを示す
これらの結果より、見知らぬホストから不正侵入されており、 コマンドにより他のユーザになり変わっている可能性が高いことがわかる。
さらに不正侵入者が何を行ったのかを調査する必要がある。図 は、コマンド 実行履歴情報視覚化による不正侵入調査例であり、前述の検知結果を基に、視覚化対象情報のしぼり込みを行ったものである。
その表示から次のことが認識される。
といったコマンドを実行して計算機内の現状をうかがっている コマンドとファイルが線で結ばれている。これは、 によりを改ざんした可能性がある事を示している
これらの結果を総合すると、不正侵入者である可能性が非常に高いと判断できる。またが改ざんされていないか、ファイルの内容を確認する必要がある。

本研究では、不正侵入検知を目的としてログファイル情報を 次元グラフィックスを用いて視覚化することを提案し 、試作システムを開発した。本手法により膨大な量であり、かつ偏在するログファイル情報を統合し 、その特徴を視覚化することによって、ログファイル情報の認識が容易になる。結果として、不正侵入対策における不正侵入検知作業を支援することが可能になると同時に、セキュリティ監視の熟練者でなくても不正侵入監視作業が可能になる。また、試作システ
ムを用いて不正侵入検知が可能であることを示した。
今後は、システムの統合と、より直感的に不正侵入が認識可能になる表示法の工夫、そして実運用環境での不正侵入検知評価を行う。

3

su
7

\who",\w",\ps"\vi"\/etc/inetd.conf"vi
inetd.conf

参 考 文 献/etc/inetd.conf

5.

問

題

1) 不正侵入はこう防げ , 日経コンピュータ, No.448,
pp188-195, July, 1998
2) Teresa F. Lunt, Detecting Intruders in Computer Systems, Conference on Auditing andComputer Technology, 1993
3) Debra Anderson. Thane Frivold. AlfonsoValdes, Next-generation Intrusion Detection
Expert System(NIDES) A Summary, SRICSL-95-07, SRI International, Menlo Park,CA, May 1995
4) Koral Ilgun. Richard A. Kemmerer. Phillip
A. Porras, State Transition Analysis: A RuleBased Intrusion Detection Approach, IEEETransactions on SOFTWARE ENGINEERING, Vol.21, No.3, pp181-199, 1995
5) Eleen Frisch 著. 谷川哲司監訳, UNIX システム
管理 改訂版, オライリージャパン /オーム社, 1998

点

本章では、試作システムの構築を通して発生した問題点、および今後の課題について述べる。
 情報収集部
ログファイルの改ざん 削除
不正侵入検知はログファイルなしには不可能である。よって内容の正確さとその存在を保証する必要がある。保証レベルに応じて様々な対策が考えられるが、本システムとしても対策を考える必要がある。
 視覚化処理部
ネットワーク監視
不正侵入の手口には、単一ホストの監視だけでは発見不可能なものがある。
で接続された複数台の計算機の監視が必要である。

( 1)

おわりに/

( 1)

network6