JP4188203B2

JP4188203B2 - ログ分析装置、ログ分析方法およびログ分析プログラム

Info

Publication number: JP4188203B2
Application number: JP2003366156A
Authority: JP
Inventors: 敬祐竹森; 史昭菅谷
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2003-10-27
Filing date: 2003-10-27
Publication date: 2008-11-26
Anticipated expiration: 2023-10-27
Also published as: JP2005128947A

Description

この発明は、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ：侵入検知システム）、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌなどのネットワーク機器から出力されるログの分析を行うログ分析装置、ログ分析方法およびログ分析プログラムに関する。

近年、ネットワークシステムに対する攻撃監視のためにＩＤＳを導入するサイトが増えている。一般にＩＤＳは、ネットワーク上を流れるパケットとＡｔｔａｃｋＳｉｇｎａｔｕｒｅと呼ばれる攻撃パターンファイルとを単純に比較して、マッチングするものがあればログを出力する。

従来においては、コンピュータの稼働状況を示すログ情報の解析作業に要する時間を減少させ、種々のデータ形式とファイル・システム上の偏在性とを有するログ情報を統合し、既知の異常ではない異常を示すログ情報を抽出することを目的としたログ情報解析装置が考え出されている。このログ情報解析装置はシステム管理者が文字による膨大な量のログ情報を棒グラフのように表示させて注目すべき情報を迅速に把握しようとするものである。（例えば特許文献１参照）
特開２００１−３５６９３９号公報

しかし、従来のＩＤＳから出力されるログは、誤検知、多重検知、セキュリティ対策済みのシステムに対する攻撃検知などの冗長なログが多量に出力される。このようなログは、同じ攻撃を繰り返し受けるたびに出力されるため、さらに冗長なものとなる。多量のログは傾向把握には適しているが、出現頻度の低いログを見落としがちになり、新たな攻撃の兆候を的確に抽出することを困難にする。また、ログに含まれるパラメータの１つ１つを分析することにより、ネットワークの詳細を把握することはできるが、分析に必要なデータ量が膨大となり、ネットワーク全体の概要を把握することが困難であるという問題点があった。

本発明は、上述した問題点に鑑みてなされたものであって、攻撃に対するネットワーク全体の概要を把握することができるログ分析装置およびログ分析方法を提供することを目的とする。

本発明は上記の課題を解決するためになされたもので、請求項１に記載の発明は、ネットワーク機器から出力されるログを収集する収集手段と、前記収集手段によって収集された前記ログ中のパラメータに属する各種イベントの量に基づいて、エントロピー値を算出するエントロピー算出手段と、前記エントロピー算出手段によって算出された前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出する異常値算出手段とを具備することを特徴とするログ分析装置である。
前期パラメータとしては、ＩＤＳ、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌなどのネットワーク機器から出力されるログに記録されているＡｔｔａｃｋＳｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ、およびＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰなどが挙げられる。

請求項２に記載の発明は、請求項１に記載のログ分析装置において、前記収集手段によって収集された前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うグループ化手段をさらに具備し、前記エントロピー算出手段は、前記グループ化手段によってグループ化された各グループ内のイベントの総量に基づいてエントロピー値を算出することを特徴とする。

請求項３に記載の発明は、請求項１または請求項２に記載のログ分析装置において、前記エントロピー算出手段はさらに、単位時間に含まれるイベントの量に基づいて第１のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて第２のエントロピー値を算出し、前記異常値算出手段は、前記第１のエントロピー値と前記第２のエントロピー値との比率を算出することを特徴とする。
前記エントロピー算出手段は、複数の単位時間の各単位時間に含まれるイベントの量に基づいて、各単位時間のエントロピー値を算出する。前記第２のエントロピー値は、この各単位時間のエントロピー値の単位時間当たりの平均値であることが望ましい。これにより、前記比率の値として１を基準とし、異常度の判断を行うことができる。

請求項４に記載の発明は、請求項１または請求項２に記載のログ分析装置において、前記エントロピー算出手段はさらに、分析対象のネットワークに関するイベントの量に基づいて第１のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて第２のエントロピー値を算出し、前記異常値算出手段は、前記第１のエントロピー値と前記第２のエントロピー値との比率を算出することを特徴とする。
前記エントロピー算出手段は、前記分析対象のネットワークを除く他の複数のネットワークの各ネットワークに含まれるイベントの量に基づいて、各ネットワークのエントロピー値を算出する。前記第２のエントロピー値は、この各ネットワークのエントロピー値の１ネットワーク当たりの平均値であることが望ましい。これにより、前記比率の値として１を基準とし、異常度の判断を行うことができる。また、前記分析対象のネットワークを除く他の複数のネットワークを適宜選択できるようにしてもよい。

請求項５に記載の発明は、請求項１または請求項２に記載のログ分析装置において、前記エントロピー算出手段はさらに、単位時間に含まれるイベントの量に基づいて第１のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて、前記複数の単位時間中の各単位時間についての第２のエントロピー値を算出し、前記異常値算出手段はさらに、前記第２のエントロピー値の標準偏差および確率分布に基づいて、前記第１のエントロピー値に関する上側稀率または下側稀率を算出することを特徴とする。
前記確率分布に関しては、前記第２のエントロピー値の分布が正規分布、指数分布、ガンマ分布などの確率分布の中の１つに従うと仮定し、適宜確率分布を求める。上側稀率とは、求めた確率分布において、前記第２のエントロピー値が前記第１のエントロピー値以上となる確率であり、下側稀率とは、求めた確率分布において、前記第２のエントロピー値が前記第１のエントロピー値以下となる確率である。

請求項６に記載の発明は、請求項１または請求項２に記載のログ分析装置において前記エントロピー算出手段はさらに、分析対象のネットワークに関するイベントの量に基づいて第１のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて、前記複数のネットワーク中の各ネットワークについての第２のエントロピー値を算出し、前記異常値算出手段はさらに、前記第２のエントロピー値の標準偏差および確率分布に基づいて、前記第１のエントロピー値に関する上側稀率または下側稀率を算出することを特徴とする。

請求項７に記載の発明は、ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属する各種イベントの量に基づいて、エントロピー値を算出するステップと、算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップとを具備することを特徴とするログ分析方法である。

請求項８に記載の発明は、ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、グループ化した各グループ内のイベントの総量に基づいてエントロピー値を算出するステップと、算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップとを具備することを特徴とするログ分析方法である。

請求項９に記載の発明は、請求項７または請求項８に記載のログ分析方法において、前記エントロピー値を算出するステップにおいては、単位時間に含まれるイベントの量に基づいて第１のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて第２のエントロピー値を算出し、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第１のエントロピー値と前記第２のエントロピー値との比率を算出することを特徴とする。

請求項１０に記載の発明は、請求項７または請求項８に記載のログ分析方法において、前記エントロピー値を算出するステップにおいては、分析対象のネットワークに関するイベントの量に基づいて第１のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて第２のエントロピー値を算出し、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第１のエントロピー値と前記第２のエントロピー値との比率を算出することを特徴とする。

請求項１１に記載の発明は、請求項７または請求項８に記載のログ分析方法において、前記エントロピー値を算出するステップにおいては、単位時間に含まれるイベントの量に基づいて第１のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて、前記複数の単位時間中の各単位時間についての第２のエントロピー値を算出し、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第２のエントロピー値の標準偏差および確率分布に基づいて、前記第１のエントロピー値に関する上側稀率または下側稀率を算出することを特徴とする。

請求項１２に記載の発明は、請求項７または請求項８に記載のログ分析方法において、前記エントロピー値を算出するステップにおいては、分分析対象のネットワークに関するイベントの量に基づいて第１のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて、前記複数のネットワーク中の各ネットワークについての第２のエントロピー値を算出し、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第２のエントロピー値の標準偏差および確率分布に基づいて、前記第１のエントロピー値に関する上側稀率または下側稀率を算出することを特徴とする。

請求項１３に記載の発明は、ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属する各種イベントの量に基づいて、エントロピー値を算出するステップと、算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップとをコンピュータに実行させるためのログ分析プログラムである。

請求項１４に記載の発明は、ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、グループ化した各グループ内のイベントの総量に基づいてエントロピー値を算出するステップと、算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップとをコンピュータに実行させるためのログ分析プログラムである。

請求項１５に記載の発明は、請求項１３または請求項１４に記載のログ分析プログラムにおいて、前記エントロピー値を算出するステップにおいては、単位時間に含まれるイベントの量に基づいて第１のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて第２のエントロピー値を算出し、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第１のエントロピー値と前記第２のエントロピー値との比率を算出することを特徴とする。

請求項１６に記載の発明は、請求項１３または請求項１４に記載のログ分析プログラムにおいて、前記エントロピー値を算出するステップにおいては、分析対象のネットワークに関するイベントの量に基づいて第１のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて第２のエントロピー値を算出し、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第１のエントロピー値と前記第２のエントロピー値との比率を算出することを特徴とする。

請求項１７に記載の発明は、請求項１３または請求項１４に記載のログ分析プログラムにおいて、前記エントロピー値を算出するステップにおいては、単位時間に含まれるイベントの量に基づいて第１のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて、前記複数の単位時間中の各単位時間についての第２のエントロピー値を算出し、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第２のエントロピー値の標準偏差および確率分布に基づいて、前記第１のエントロピー値に関する上側稀率または下側稀率を算出することを特徴とする。

請求項１８に記載の発明は、請求項１３または請求項１４に記載のログ分析プログラムにおいて、分析対象のネットワークに関するイベントの量に基づいて第１のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて、前記複数のネットワーク中の各ネットワークについての第２のエントロピー値を算出し、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第２のエントロピー値の標準偏差および確率分布に基づいて、前記第１のエントロピー値に関する上側稀率または下側稀率を算出することを特徴とする。

請求項１９に記載の発明は、請求項１３〜請求項１８のいずれかの項に記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体である。

この発明によれば、分析対象となるパラメータに含まれるイベントの量に基づいて、エントロピーを算出し、このエントロピーを用いて分析対象のネットワークに関する異常値を算出するようにしたので、攻撃に対するネットワーク全体の概要を把握することができるという効果が得られる。

以下、図面を参照し、この発明を実施するための最良の形態について説明する。図１は、この発明の一実施形態によるログ分析装置を備えたネットワークの構成を示す構成図である。図において、１０はログ分析装置である。ログ分析装置１０は分析対象のネットワーク２０〜２２から出力されるログを収集・分析し、分析結果をセキュリティオペレーションセンター３０へ出力する。ネットワーク２０〜２２のＲｏｕｔｅｒ、Ｆｉｒｅｗａｌｌ、およびＩＤＳはログを生成し、ｓｙｓｌｏｇ等の機能により、ログ分析装置１０にログを出力する。セキュリティオペレーションセンター３０はＷｅｂブラウザ３０１を有しており、運用者はＷｅｂブラウザ３０１に表示される分析結果に基づいて、ネットワーク２０〜２２の異常度を判断することができる。

ログ分析装置１０において、１０１はログ収集部であり、ネットワーク２０〜２２の機器から出力されたログを定期的に収集し、ログ保存部１０２へログを出力する。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する。運用者がＷｅｂブラウザ３０１を介して、分析を希望するパラメータを要求すると、分析を指示する指示情報がインタフェース部１０５を介してログ分析部１０４へ入力される。

ログ分析部１０４はこの指示情報に従って、記憶部１０３から分析用のパラメータを読み出し、分析対象とするネットワークに関する異常値を算出し、インタフェース部１０５へ出力する。インタフェース部１０５は、ログ分析部１０４から出力された異常値を、通信回線を介してＷｅｂブラウザ３０１へ出力する。運用者はこの異常値に基づいて、ネットワーク２０〜２２に対して攻撃が行われているかどうかを判断する。

図２は本実施形態において、ログ中の分析対象となるパラメータを示している。
Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔは送信元／送信先の機器のポート番号を示す。Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰは送信元／送信先の機器のＩＰアドレスを示す。なおＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔはＳｏｕｒｃｅＰｏｒｔおよびＤｅｓｔｉｎａｔｉｏｎＰｏｒｔの２つのパラメータのうちのいずれか１つを示しており、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰに関しても同様である。

ＡｔｔａｃｋＳｉｇｎａｔｕｒｅはＩＤＳから出力されるログに含まれるパラメータである。ＡｔｔａｃｋＳｉｇｎａｔｕｒｅを分析することにより、分析対象のネットワークに対して行われている攻撃の種類を特定することができる。なお、全てのネットワーク型ＩＤＳおよび一部のホスト型ＩＤＳがＡｔｔａｃｋＳｉｇｎａｔｕｒｅを出力可能である。また、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔおよびＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰはＩＤＳ、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌから出力されるログに含まれるパラメータである。Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔを分析することにより、攻撃元／攻撃対象のポート番号を特定することができる。また、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰを分析することにより、攻撃元／攻撃対象のＩＰアドレスを特定することができる。上記のパラメータは図２に示されるような複数のイベントからなる。ログ中に同じイベントが複数記録されている場合は、その総数をそのイベントのイベント量と定義する。

次に、本実施形態におけるログ分析装置１０の動作を説明する。図３はログ分析装置１０の動作を示すフローチャートである。ログ収集部１０１はネットワーク２０〜２２の各機器から出力されるログを収集し、ログ保存部１０２へ出力する（ステップＳ３０）。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する（ステップＳ３１）。運用者から特定のパラメータに関する分析の要求がＷｅｂブラウザ３０１を介してなされると、Ｗｅｂブラウザ３０１から出力された指示情報がインタフェース部１０５を介してログ分析部１０４へ入力される。すると、ログ分析部１０４は指示情報に基づいて記憶部１０３からパラメータを読み出す（ステップＳ３２）。

続いて、ログ分析部１０４は、後述する分析処理を行い、ステップＳ３２において読み出した分析対象のパラメータに関する異常値を算出する（ステップＳ３３）。続いて、ログ分析部１０４は異常値を分析結果としてインタフェース１０５を介してＷｅｂブラウザ３０１へ出力する（ステップＳ３４）。分析結果はＷｅｂブラウザ３０１上に表示され、運用者はこの分析結果に基づいて、ネットワーク２０〜２２に対して攻撃が行われているかどうかを判断する。

次に、ステップＳ３３でログ分析部１０４が行う分析処理について説明する。本実施形態においては、各種のネットワーク機器から出力されるログの曖昧度（エントロピー）を評価することにより、ネットワークの異常を検出する。ＤＤｏＳ（ＤｅｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ）攻撃（攻撃者がインターネット上のセキュリティに弱い複数のＷｅｂサイトに侵入して攻撃拠点とし、複数の攻撃拠点に仕込んだプログラムを同時に動作させて、攻撃ターゲットのサーバに大量のパケットを送りつけ、サーバの機能を停止してしまう攻撃）を受けていたり、ウィルス感染が蔓延していたりする状態では、ログに出力されるイベントに偏りが発生するため、ログの曖昧度が小さくなる。したがって、ログの曖昧度を分析すれば、ネットワークの状態を把握することができる。

以下、エントロピーの算出によってネットワークの異常度を検出する手法について述べる。図４は、ログ中のＡｔｔａｃｋＳｉｇｎａｔｕｒｅに注目した場合の、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅの各イベントのイベント量を示したものである。横軸はイベントの種別（ＨＴＴＰｐｏｒｔｐｒｏｂｅ、ＤＮＳｐｏｒｔｐｒｏｂｅ、・・・）を示しており、各種別はＩＤ（製品ごとに決められたＡｔｔａｃｋＳｉｇｎａｇｕｒｅ番号）順に並んでいる。また、縦軸は各イベントのイベント量を示している。

総イベント量をＥ、分析対象のイベント種別のイベント量をｅ_ｉとし、各分析対象の相対頻度を［数１］により算出する。ここでＥは［数２］のように表される（ｋはイベント種別の数である）。

そして、分析対象のパラメータのエントロピーを［数３］により算出する。

上述したエントロピーの計算手法においては、分析対象のパラメータに属する１つ１つのイベントに対して［数１］〜［数３］を適用しているが、イベント種別の数が非常に多い場合（例えば分析対象のパラメータがＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰの場合など）には、ネットワークの異常度に関する値を算出するのに非常に長い時間を要する場合がある。このような場合、攻撃をリアルタイムに検知することが困難である。

そこで、分析対象のパラメータに属するイベントを以下の手法によりグループ化し、各グループ内のイベントの総量をｅ_ｉ、グループの数をｋとして［数１］〜［数３］を適用し、エントロピーを算出する。グループ化を行うことにより、計算対象となる変数の数を減らすことができるので、異常値の算出に要する時間を低減することができる。また、グループ化によってネットワーク全体のログの傾向を大きく捉えることができると共に、異常に関する誤検出の低減により、分析の信頼性を向上させることができる。

以下、具体的なグループ化の手法を説明する。例えば、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅを、通信レイヤ、攻撃目的、サービスを考慮して意味内容ごとにグループ化する（静的グループ化１と定義する）。各ＡｔｔａｃｋＳｉｇｎａｔｕｒｅには脆弱性に関するキーが元々割り当てられており、このキーに基づいて意味内容ごとのグループ化を行う。記憶部１０３にそのキーとグループとが対応付けられたテーブルを予め格納し、ログ分析部１０４が、そのテーブルを参照してイベントのグループ化を行う。

また、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰを国単位に、もしくはドメイン単位にグループ化する手法（静的グループ化２と定義する）もある。例えば、ＩＰアドレスからそのＩＰアドレスが所属する国名（もしくはドメイン）へ変換するための変換テーブルを、ＩＡＮＡ（ＴｈｅＩｎｔｅｒｎｅｔＡｓｓｉｇｎｅｄＮｕｍｂｅｒｓＡｕｔｈｏｒｉｔｙ）等で管理されているＩＰアドレスとドメイン表から作成し、記憶部１０３に予め格納する。そして、ログ分析部１０４が、そのテーブルを参照してイベントのグループ化を行う。

また、分析対象のパラメータに関して、各イベントをイベント量順に並べ替え、イベントの総量に基づいて、各グループ内のイベント量がほぼ均等になるようにグループ化する手法もある（動的グループ化１と定義する）。例えば、イベントを１０グループに分割し、各グループ内のイベント量が総イベント量の約１０分の１となるようにグループ化することにする。まず、イベントの種別ごとに、イベント量の多い順にイベントに優先順位を付け、優先順位の高いイベントからイベント量を加算していき、その量が総イベント量の１０分の１以上となったところで１つのグループとする。このとき、例えばイベント量の最下位の桁は四捨五入するなどの処理を行う。

あるいは、優先順位の高いイベントからイベント量を加算していき、その量が総イベント量の１０分の１を超えたところで１つのグループとする。以上の方法により、１つ目のグループ化を行い、次のグループに関してはイベント量が残りのイベント量の約９分の１となるように、上述した方法と同様に２つ目のグループ化を行う。さらに次のグループに関しても同様に、イベント量が残りのイベント量の約８分の１となるように、３つ目のグループ化を行う。これを繰り返し行うことにより、イベントを１０グループに分割する。この手法は、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅおよびＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔの分析への適用が好適である。なお、上述した方法は一例であり、各グループ内のイベント量がほぼ均等となるようにグループ化できれば、その方法は問わない。

また、分析対象のパラメータに関して、各イベントをイベントのＩＤ順に優先順位を付け、イベントの総量に基づいて、各グループ内の総イベント量がほぼ均等になるようにグループ化する手法もある（動的グループ化２と定義する）。ここで、ＩＤとはＡｔｔａｃｋＳｉｇｎａｔｕｒｅの場合は製品ごとに決められたＡｔｔａｃｋＳｉｇｎａｇｕｒｅ番号であり、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔの場合はＰｏｒｔ番号であり、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰの場合はＩＰアドレス順位である。グループ化の具体的な手法は上述した手法と同様である。この手法は、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ、およびＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰの分析への適用が好適である。

また、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰの分析は、国やドメイン単位で行うことが望ましい。国やドメインは２のべき乗単位に区切られており、動的グループ化２で説明したグループ化手法をＩＰアドレスの分析に適用する場合には、この点を考慮することが望ましい。そこで、動的グループ化２によるグループ化手法をＩＰアドレスの分析に適用する場合において、各グループ内のＩＰアドレスの数がほぼ均等になるように、２のべき乗単位でＩＰアドレスをグループ化する。

例えば、ＩＰアドレス１９２．１６８．０．１と２０２．２５５．４４．１とを２進数で表すと、「１１００００００１０１０１００００００００００００００００００１」と「１１００１０１０１１１１１１１１００１０１１０００００００００１」となり、先頭４ビットが同じプリフィックスを持つ。このように、２進数表示したときに、先頭からｎ（ｎは正の整数）ビットまでが一つのグループとなるように、なおかつ各グループ内の総イベント量がほぼ等しくなるようにグループ化を行う。

次に、［数３］によって算出されたエントロピー値を用いてネットワークを分析する手法を説明する。ここでは、比率分析および稀率分析を一例として挙げる。比率分析においては、注目する短期間を単位時間（例えば１日）としたときに、短期間のエントロピー値（短期プロファイルと定義する）と、過去の複数の単位時間のエントロピー値の平均（長期プロファイルと定義する）との比率を異常値として評価する。図５は、単位時間を1日としたときの比率分析モデルの一例を示している。

図において、Ｈ_ｌは長期プロファイルにおけるエントロピーの単位時間あたりの平均を示す。短期プロファイルにおけるエントロピー値をＨ_ｓとすると、短期プロファイルに対する長期プロファイルの比率Ｄは［数４］のように表される。短期プロファイルは記憶部１０３に格納され、ログ分析部１０４は記憶部１０３から過去の複数の短期プロファイルを読み出して、長期プロファイルを作成する。あるいは、記憶部１０３に過去のログを複数格納するようにしておき、それらのログから長期プロファイルを作成するようにしてもよい。

図６は比率分析を行う場合の、図３のステップＳ３３における分析処理の動作を示すフローチャートである。ログ分析部１０４は分析対象のパラメータに対してエントロピーを算出する（ステップＳ３３１）。そして、ログ分析部１０４は長期プロファイルにおけるエントロピーの単位時間あたりの平均値と短期プロファイルにおけるエントロピー値との比率を算出する（ステップＳ３３２）。

上述した分析処理においては、分析対象のネットワークを固定し、短期プロファイルが長期プロファイルに対してどの程度異常であるかを評価する手法を示したが、以下のような分析処理を行うこともできる。それは、分析対象の期間を固定したときに、分析対象のネットワークで検知された、特定のパラメータに関するエントロピー（自網プロファイルと定義する）が、他のネットワークで検知された、そのエントロピー（他網プロファイルと定義する）に対してどの程度異常であるかを評価する手法である。

例えば、比率分析において、分析対象のネットワークにおけるエントロピーをＨ_ｍとし、このネットワークを含まない他の各ネットワークにおけるエントロピーの１ネットワーク当たりの平均をＥ_ｏとすると、比率Ｄは以下の［数５］のように表される。

一方、稀率分析においては、統計値の平均と標準偏差とを用いて、出力数が様々に変動するイベントの異常性を評価する。統計分析において、９５％信頼区間という指標がよく利用されているが、ここでの稀率分析とは、この信頼区間の補集合を算出するものである。図７は単位時間を１日としたときの稀率分析モデルの一例を示している。Ｈ_ｌは長期プロファイルのエントロピーの単位時間あたりの平均値であり、ＳＤは標準偏差である。横軸は平均値Ｈ_ｌからの距離を、標準偏差ＳＤを単位として表し、縦軸は、エントロピー値が横軸で示される値となった単位時間の数（日数）を表している。標準偏差ＳＤは［数６］より求められる。短期プロファイルのエントロピーが長期プロファイルのエントロピーの平均値Ｈ_ｌよりも大きな場合の上側稀率Ｒ_ｕを［数７］、小さな場合の下側稀率Ｒ_ｌを［数８］のように定義する。H_１、H_２、・・・H_ｋは長期プロファイルにおける各単位時間のエントロピーである。

［数７］および［数８］において、ｆ（Ｈ）は正規分布の密度関数であり、以下の［数９］で表される。なお、上記の例においては、稀率計算のための攻撃の分布を正規分布と仮定しているが、ｆ（Ｈ）として指数分布やガンマ分布などの関数を適宜選択してもよい。

なお、ここでは短期プロファイルおよび長期プロファイルを例として稀率分析の手法について説明したが、比率分析と同様に、自網プロファイルおよび他網プロファイルを用い、稀率分析を行うこともできる。例えば、自網プロファイルのエントロピーが平均より大きな場合の上側稀率または小さな場合の下側稀率を計算することができる。

図８は稀率分析を行う場合の、図３のステップＳ３３における分析処理の動作を示すフローチャートである。ログ分析部１０４は分析対象のパラメータに対してエントロピーを算出する（ステップＳ３３３）。そして、短期プロファイルのエントロピーが長期プロファイルのエントロピーの平均値Ｈ_ｌよりも大きな場合の上側稀率または小さな場合の下側稀率（あるいは、自網プロファイルのエントロピーが他網プロファイルのエントロピーの平均値よりも大きな場合の上側稀率または小さな場合の下側稀率）を算出する（ステップＳ３３４）。

上述した比率分析および稀率分析によって算出された異常値であるＤ、Ｒ_ｕ、およびＲ_ｌに関しての判断は以下のように行うことができる。まず、Ｄ≒０．０もしくはＲ_ｌ≒０．０％の場合は、インターネット上に新たな攻撃が出回り始めたとき、内部ホストがワームに感染したとき、ＤＤｏＳ攻撃を受けたときなど、短期のイベント量が急増したことを示している。攻撃が活発な段階であり、警戒する必要がある。比率分析により、内部ホストがワームに感染したことやＤＤｏＳ攻撃を受けたことなどを迅速かつ正確に検出することができる。

また、Ｄ＞１．０もしくはＲ_ｕ≒０．０％の場合は、普段から出力され続けていたアラームが急に減少した、もしくは無くなってしまったことを示している。これは、攻撃が収束に向かっている段階、もしくはシステムが停止した状態である。比率分析により、ネットワークやホストの停止に関する異常を迅速かつ正確に検出することができる。

また、Ｄ≒１．０もしくはＲ_ｕ、Ｒ_ｌ≒５０．０％の場合は、普段から検知され続けているログを見分けることができる。これは、既に対策が施されている攻撃、もしくは誤検知されやすいイベントであり、特に注意する必要はない。ネットワークの運用者は、ログ分析装置１０から出力されるＤ、Ｒ_ｕ、およびＲ_ｌ等の値に基づいて、上述した評価を行えばよい。

以上のように、エントロピーを算出して比率分析あるいは稀率分析を行うことは以下の利点を有する。分析対象のパラメータにおける特定のイベント種別に注目して比率分析や稀率分析を行う場合、分析対象の一部に関する詳細なデータを得ることができるが、全てのイベント種別に対して比率分析や稀率分析を行うには作業工数が掛かり、分析対象全体の概要を把握するには適していない。

一方、分析対象のパラメータに対してエントロピーを算出し、比率分析や稀率分析を行う場合、分析対象の全域にわたる曖昧度を示すエントロピーを使用するので、分析対象全体の概要を把握するのに適している。さらに、前述したイベントのグループ化を行った場合、エントロピーの算出に用いられる変数の数を大幅に減らすことができるので、異常値の算出に要する時間を大幅に低減することができ、攻撃をリアルタイムに検知することができる。

また、イベントのグループ化において、前述した動的グループ化１または動的グループ化２を行うことは以下の利点を有する。動的グループ化１または動的グループ化２において、ログ分析部１０４は長期プロファイル（あるいは他網プロファイル）の統計量を算出するたびに動的グループ化を行う。これにより、長期プロファイルの各グループはグループ内の総イベント量がほぼ等しくなり、曖昧度の高い状態となる。この状態でエントロピーを算出すると、エントロピーは高くなる。

続いて、ログ分析部１０４は長期プロファイルのグループと同じグループを用いて、短期プロファイル（あるいは自網プロファイル）のイベントをグループ化し、エントロピーを算出する。短期的に（あるいは自網に対して）攻撃が行われた場合、短期プロファイル（あるいは自網プロファイル）における特定のグループ内の総イベント量が多くなるので、曖昧度の低い状態となる。この状態でエントロピーを算出すると、エントロピーは長期プロファイル（あるいは他網プロファイル）のエントロピーよりも小さくなるので、このエントロピー変化を、比率分析あるいは稀率分析を用いて検出することにより、ネットワークの異常度を客観的に評価することができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこれらの実施の形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態におけるログ分析装置は、その動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させることにより実現してもよい。

ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したログ分析プログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上述したログ分析プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

この発明の一実施形態によるログ分析装置１０を備えたネットワークの構成を示す構成図である。同実施形態における分析対象のパラメータを示す参考図である。同実施形態におけるログ分析装置１０の動作を示すフローチャートである。同実施形態におけるＡｔｔａｃｋＳｉｇｎａｔｕｒｅのイベントの分布例を示す図である。同実施形態における比率分析モデルを示す図である。同実施形態におけるログ分析装置１０の動作を示すフローチャートである。同実施形態における稀率分析モデルを示す図である。同実施形態におけるログ分析装置１０の動作を示すフローチャートである。

符号の説明

１０・・・ログ分析装置、２０，２１，２２・・・ネットワーク、３０・・・セキュリティオペレーションセンター、１０１・・・ログ収集部、１０２・・・ログ保存部、１０３・・・記憶部、１０４・・・ログ分析部、１０５・・・インタフェース部、３０１・・・Ｗｅｂブラウザ。

Claims

ネットワーク機器から出力されるログを収集する収集手段と、
前記収集手段によって収集された第１のログ中のパラメータに属するイベントを、各グループ内のイベントの総量が均等に近づくようにイベント毎に複数のグループに分割する第１のグループ化を行うと共に、前記収集手段によって収集された第２のログ中のパラメータに属するイベントを、前記第１のグループ化のときと同じグループを用いてイベント毎に複数のグループに分割する第２のグループ化を行うグループ化手段と、
前記グループ化手段による前記第１のグループ化で分割された各グループ内のイベントの総量に基づいて第１のエントロピー値を算出すると共に、前記グループ化手段による前記第２のグループ化で分割された各グループ内のイベントの総量に基づいて第２のエントロピー値を算出するエントロピー算出手段と、
前記エントロピー算出手段によって算出された前記第１のエントロピー値および前記第２のエントロピー値に基づいて、ネットワークの異常度に関する値を算出する異常値算出手段と、
前記異常値算出手段によって算出された値を表示する表示手段と、
を具備することを特徴とするログ分析装置。
前記エントロピー算出手段はさらに、単位時間に含まれるイベントの量に基づいて前記第２のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて、前記複数の単位時間を構成する各単位時間についての前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値の平均値と前記第２のエントロピー値との比率を算出する
ことを特徴とする請求項１に記載のログ分析装置。
前記エントロピー算出手段はさらに、分析対象のネットワークに関するイベントの量に基づいて前記第２のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値と前記第２のエントロピー値との比率を算出する
ことを特徴とする請求項１に記載のログ分析装置。
前記エントロピー算出手段はさらに、単位時間に含まれるイベントの量に基づいて前記第２のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて、前記複数の単位時間中の各単位時間についての前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値の標準偏差および確率分布に基づいて、前記第２のエントロピー値に関する上側稀率または下側稀率を算出する
ことを特徴とする請求項１に記載のログ分析装置。
前記エントロピー算出手段はさらに、分析対象のネットワークに関するイベントの量に基づいて前記第２のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて、前記複数のネットワーク中の各ネットワークについての前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値の標準偏差および確率分布に基づいて、前記第２のエントロピー値に関する上側稀率または下側稀率を算出する
ことを特徴とする請求項１に記載のログ分析装置。
ネットワーク機器から出力されるログを収集手段が収集するステップと、
前記収集手段によって収集された第１のログ中のパラメータに属するイベントを、各グループ内のイベントの総量が均等に近づくようにイベント毎に複数のグループに分割する第１のグループ化をグループ化手段が行うと共に、前記収集手段によって収集された第２のログ中のパラメータに属するイベントを、前記第１のグループ化のときと同じグループを用いてイベント毎に複数のグループに分割する第２のグループ化を前記グループ化手段が行うステップと、
前記グループ化手段による前記第１のグループ化で分割された各グループ内のイベントの総量に基づいてエントロピー算出手段が第１のエントロピー値を算出すると共に、前記グループ化手段による前記第２のグループ化で分割された各グループ内のイベントの総量に基づいて前記エントロピー算出手段が第２のエントロピー値を算出するステップと、
前記エントロピー算出手段によって算出された前記第１のエントロピー値および前記第２のエントロピー値に基づいて、ネットワークの異常度に関する値を異常値算出手段が算出するステップと、
前記異常値算出手段によって算出された値を表示手段が表示するステップと、
を具備することを特徴とするログ分析方法。
前記エントロピー算出手段はさらに、単位時間に含まれるイベントの量に基づいて前記第２のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて、前記複数の単位時間を構成する各単位時間についての前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値の平均値と前記第２のエントロピー値との比率を算出する
ことを特徴とする請求項６に記載のログ分析方法。
前記エントロピー算出手段はさらに、分析対象のネットワークに関するイベントの量に基づいて前記第２のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値と前記第２のエントロピー値との比率を算出する
ことを特徴とする請求項６に記載のログ分析方法。
前記エントロピー算出手段はさらに、単位時間に含まれるイベントの量に基づいて前記第２のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて、前記複数の単位時間中の各単位時間についての前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値の標準偏差および確率分布に基づいて、前記第２のエントロピー値に関する上側稀率または下側稀率を算出する
ことを特徴とする請求項６に記載のログ分析方法。
前記エントロピー算出手段はさらに、分析対象のネットワークに関するイベントの量に基づいて前記第２のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて、前記複数のネットワーク中の各ネットワークについての前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値の標準偏差および確率分布に基づいて、前記第２のエントロピー値に関する上側稀率または下側稀率を算出する
ことを特徴とする請求項６に記載のログ分析方法。
ネットワーク機器から出力されるログを収集手段が収集するステップと、
前記収集手段によって収集された第１のログ中のパラメータに属するイベントを、各グループ内のイベントの総量が均等に近づくようにイベント毎に複数のグループに分割する第１のグループ化をグループ化手段が行うと共に、前記収集手段によって収集された第２のログ中のパラメータに属するイベントを、前記第１のグループ化のときと同じグループを用いてイベント毎に複数のグループに分割する第２のグループ化を前記グループ化手段が行うステップと、
前記グループ化手段による前記第１のグループ化で分割された各グループ内のイベントの総量に基づいてエントロピー算出手段が第１のエントロピー値を算出すると共に、前記グループ化手段による前記第２のグループ化で分割された各グループ内のイベントの総量に基づいて前記エントロピー算出手段が第２のエントロピー値を算出するステップと、
前記エントロピー算出手段によって算出された前記第１のエントロピー値および前記第２のエントロピー値に基づいて、ネットワークの異常度に関する値を異常値算出手段が算出するステップと、
前記異常値算出手段によって算出された値を表示手段が表示するステップと、
をコンピュータに実行させるためのログ分析プログラム。
前記エントロピー算出手段はさらに、単位時間に含まれるイベントの量に基づいて前記第２のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて、前記複数の単位時間を構成する各単位時間についての前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値の平均値と前記第２のエントロピー値との比率を算出する
ことを特徴とする請求項１１に記載のログ分析プログラム。
前記エントロピー算出手段はさらに、分析対象のネットワークに関するイベントの量に基づいて前記第２のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値と前記第２のエントロピー値との比率を算出する
ことを特徴とする請求項１１に記載のログ分析プログラム。
前記エントロピー算出手段はさらに、単位時間に含まれるイベントの量に基づいて前記第２のエントロピー値を算出すると共に、複数の単位時間に含まれるイベントの量に基づいて、前記複数の単位時間中の各単位時間についての前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値の標準偏差および確率分布に基づいて、前記第２のエントロピー値に関する上側稀率または下側稀率を算出する
ことを特徴とする請求項１１に記載のログ分析プログラム。
前記エントロピー算出手段はさらに、分析対象のネットワークに関するイベントの量に基づいて前記第２のエントロピー値を算出すると共に、前記分析対象のネットワークを除く他の複数のネットワークに関するイベントの量に基づいて、前記複数のネットワーク中の各ネットワークについての前記第１のエントロピー値を算出し、
前記異常値算出手段はさらに、前記第１のエントロピー値の標準偏差および確率分布に基づいて、前記第２のエントロピー値に関する上側稀率または下側稀率を算出する
ことを特徴とする請求項１１に記載のログ分析プログラム。
請求項１１〜請求項１５のいずれかの項に記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体。