JP5144488B2 - 情報処理システムおよびプログラム - Google Patents

Description

本発明は、コンピュータ上で生成されるログの情報を処理する情報処理システムに関する。また、本発明は、本情報処理システムとしてコンピュータを機能させるためのプログラムにも関する。

マルウェアへの感染や不正行為による攻撃を検知・防御する仕組みが広く用いられている。例として、端末のシステムの改ざんを検知するホスト型侵入検知システム（例えば非特許文献１参照）や、不正なプロセスを検知する不正プロセス検知システム（例えば非特許文献２参照）などがある。

ホスト型侵入検知システムは、監視対象の端末のファイルやディレクトリの正常な状態を保存して、定期的に整合性のチェックを行うことで、システムファイルの改ざんを検知する。不正プロセス検知システムは、マルウェアに感染した端末が、ユーザのキーボードやマウスの操作と関係なく、意図しないパケットを自動的もしくは外部からの制御によって送信する特徴に注目して、正常な端末の無操作状態の通信の特徴をプロファイル化して、これに該当しない通信を異常と判定して、不正プロセスを検知する。

また、不正行為や情報漏えいが発生した際に、攻撃手法の解析や情報流出の状況の把握を行うことを目的として、端末上のプロセスがOS（オペレーティングシステム）に発行するシステムコール処理をフックしてログを収集・解析するシステムがある（例えば非特許文献３参照）。
伊原 秀明、"Tripwire for Linux"、株式会社オーム社、2001年。 竹森 敬祐、三宅 優、"無操作ホストから発信されるパケットに注目したウイルス感染検知"、情処研報CSEC36、2007。 "情報漏洩対策 InfoTraceシリーズ │ Top"、[online]、Soliton Systems K.K.、２００８年、［平成２０年１２月１１日検索］、インターネット＜URL:http://www.soliton.co.jp/products/pc_security/infotrace/index.html＞

ホスト型侵入検知システムや不正プロセス検知システムによれば、攻撃の結果として、ファイルの改ざんや、端末で稼働している不正プロセスを発見することは可能であるが、それらが発生した経緯に関する「いつ、どのファイルに、どのプロセスが、どのような操作を行ったか」、という、詳細な情報を得ることはできない。また、これらのシステムによる監査は間欠的に行われるため、監査の合間にファイルやプロセスの生成と削除が完了する攻撃は、検知することができない。

一方、ログの収集・解析ツールは、「いつ、どのファイルに、どのプロセスが」という情報を得ることはできるが、「どのような操作を行ったか」という情報を得ることはできない。

本発明は、上述した課題に鑑みてなされたものであって、任意のタイミングで実行された不正行為の詳細情報を抽出することができる情報処理システムおよびプログラムを提供することを目的とする。

本発明は、上記の課題を解決するためになされたもので、コンピュータ上で動作するプロセスがオペレーティングシステムに対して発行するシステムコール処理を検出し、ファイル操作が行われたファイルを識別するファイル識別情報と、前記ファイル操作を行ったプロセスを識別するプロセス識別情報とを含む第１のログを生成する第１のログ生成手段と、プロセス操作が行われたプロセスを識別する前記プロセス識別情報と、当該プロセスが実行した内容を示す実行内容情報とを含む第２のログを生成する第２のログ生成手段と、前記第１のログと前記第２のログを記憶する記憶手段と、侵入検知システムが検出した前記ファイル識別情報に基づいて、前記記憶手段が記憶する前記第１のログからログを抽出し、抽出したログに含まれる前記プロセス識別情報に基づいて、前記記憶手段が記憶する前記第２のログからログを抽出する抽出手段と、を備えたことを特徴とする情報処理システムである。

また、本発明は、コンピュータ上で動作するプロセスがオペレーティングシステムに対して発行するシステムコール処理を検出し、ファイル操作が行われたファイルを識別するファイル識別情報と、前記ファイル操作を行ったプロセスを識別するプロセス識別情報とを含む第１のログを生成する第１のログ生成手段と、プロセス操作が行われたプロセスを識別する前記プロセス識別情報と、当該プロセスが実行した内容を示す実行内容情報とを含む第２のログを生成する第２のログ生成手段と、前記第１のログと前記第２のログを記憶する記憶手段と、不正プロセス検知システムが検出した前記実行内容情報に基づいて、前記記憶手段が記憶する前記第２のログからログを抽出し、抽出したログに含まれる前記プロセス識別情報に基づいて、前記記憶手段が記憶する前記第１のログからログを抽出する抽出手段と、を備えたことを特徴とする情報処理システムである。

また、本発明の情報処理装置は、前記抽出手段が抽出したログに基づいて、前記ファイル識別情報を第１の領域に表示し、前記プロセス識別情報を前記ファイル識別情報と関連付けて第２の領域に表示し、前記実行内容情報を表示する表示手段をさらに備えたことを特徴とする。

また、本発明の情報処理装置において、前記第１のログと前記第２のログはさらに時刻情報を含み、前記表示手段はさらに、前記時刻情報に基づいて、前記ファイル識別情報、前記プロセス識別情報、前記実行内容情報を表示する順番を制御することを特徴とする。

また、本発明は、上記の情報処理システムとしてコンピュータを機能させるためのプログラムである。

本発明によれば、システムコール処理を検出したタイミングで、ファイル識別情報、プロセス識別情報を含む第１のログと、プロセス識別情報、実行内容情報を含む第２のログとが生成される。また、侵入検知システムが検出したファイル識別情報または不正プロセス検知システムが検出したプロセス識別情報に基づいて、第１のログと第２のログから、共通のプロセス識別情報を有するログが抽出される。このログを参照することによって、ファイル識別情報、プロセス識別情報、実行内容情報を取得することが可能である。以上によって、任意のタイミングで実行された不正行為の詳細情報を抽出することができる。

以下、図面を参照し、本発明の実施形態を説明する。図１は、本発明の情報処理システムの一実施形態であるログ解析システムの構成を示している。本ログ解析システムは、ファイルの状態を変更する操作と、その操作を実行するプロセスとを関連付けることによって不正行為の詳細を簡易に抽出する。これを達成するために、システムコール処理をフックして、ファイル操作（ファイルの生成・変更・削除）に関するログと、プロセス操作（プロセスの生成・削除）に関するログとを生成し、それらのログを統合して解析する仕組みが設けられている。

監視対象の端末で動作するOS１１のカーネル部分には、ログ生成モジュール１２が設けられている。このログ生成モジュール１２は、各種のアプリケーションプロセスであるプロセス１０ａ，１０ｂ，１０ｃが記憶装置１３ａ、入力装置１３ｂ、出力装置１３ｃなどのハードウェア１３に対してアクセスを行う際にOS１１に発行したシステムコール処理をフックしてログを生成する。

Linux（登録商標）には、カーネルにおいてセキュリティ機能を拡張するフレームワークであるLinux（登録商標） Security Module（LSM）が実装されている。LSMでは、ファイルやプロセスの操作が行われた際に、ユーザが定義したセキュリティ検証機構を呼び出して権限の検証やログの生成を行うための監視ポイントが設けられている。本ログ解析システムのシステムコール処理のフックは、LSMの監視ポイントにおけるセキュリティ検証機構として実装される。

ログ生成モジュール１２が生成したログはログ記憶部１４に格納され、記憶される。ログ記憶部１４は、監視対象の端末が有する記憶装置１３ａの一部であってもよいし、監視対象とは別の端末が有する記憶装置の一部であってもよい。ログ解析モジュール１５は、ログ記憶部１４に格納されたログを解析し、不正行為に関するログである不正行為ログ１００を生成する。ログ解析モジュール１５がログを解析する際には、ホスト型侵入検知システム１６や不正プロセス検知システム１７で検知された情報が利用される。

表示処理部１８は、不正行為ログ１００が示す内容を表示するために必要な情報処理を行い、画像データを含む表示用データを生成して表示部１９へ出力する。表示部１９は、表示用データに基づいて、不正行為ログ１００が示す内容を表示する。これによって、「いつ、どのファイルに、どのプロセスが、どのような操作を行ったか」という情報が視覚化される。表示部１９は、出力装置１３ｃの一部であってもよいし、監視対象とは別の端末が有する出力装置の一部であってもよい。

次に、ログ生成モジュール１２が生成するログの詳細を説明する。LSMには、ファイル処理、プログラムの実行処理、通信処理など、およそ160の処理に関して、監視ポイントが設けられている。本実施形態において、ログ生成モジュール１２は、ファイル操作に関する監視ポイントによりファイル系ログを生成し、プロセス操作に関する監視ポイントによりプロセス系ログを生成する。

図２は、ログを生成する監視ポイントの一覧を示している。ファイルの生成を監視する「inode_create」、ファイルの削除を監視する「inode_delete」、ファイルの読み書きを監視する「file_permission」などの監視ポイントがファイル系ログを生成する。また、プログラムの実行を監視する監視ポイントである「bprm_check_security」がプロセス系ログを生成する。

図３および図４は、ログに含まれる情報を示している。ログ生成モジュール１２が生成するログに含まれる情報はヘッダ情報と監視ポイント固有情報に大別される。図３はヘッダ情報の内容を示している。ヘッダ情報は、ファイル系ログとプロセス系ログに共通して記録される情報である。具体的には、ログが記録された時刻３００、監視ポイントの名称３０２、処理を行ったプロセスのID３０４（pid）、ユーザID３０６（uid）、グループID３０８（gid）、親プロセスのID３１０（parent）、親プロセスの名称３１２（parent cmd）、および処理を行ったプロセスの名称であるコマンド名３１４が記録される。

監視ポイント固有情報は、フック処理に渡される引数の情報に応じて監視ポイント毎に記録される情報である。図４は監視ポイント固有情報の内容を示している。図４（ａ），（ｂ），（ｃ）はファイル系ログの監視ポイント固有情報の内容を示し、図（ｄ）はプロセス系ログの監視ポイント固有情報の内容を示している。

図４（ａ）は、ファイルの生成を監視する「inode_create」によって記録される情報を示している。情報４００（inode_num）は、ファイルに割り当てられた固有の識別子である。情報４０２（fowner）は、ファイルの所有者を示す固有の識別子である。情報４０４（fgrp）は、ファイルの所属するグループを示す固有の識別子である。情報４０６（path）は、操作対象となるファイルの名称である。

図４（ｂ）は、ファイルの削除を監視する「inode_delete」によって記録される情報を示している。図４（ｂ）に示す監視ポイント固有情報は、上述した情報４００，４０２，４０４を含む。

図４（ｃ）は、ファイルの読み書きを監視する「file_permission」によって記録される情報を示している。図４（ｃ）に示す監視ポイント固有情報は、上述した情報４００，４０２，４０４，４０６のほかに、ファイルに対する読み込み・書き込みを識別する情報４０８（mode）を含む。情報４０８の値はOSに固有の値であるが、この値を読み取ることで、操作内容を把握することが可能である。

図４（ｄ）は、プログラムの実行を監視する「bprm_check_security」によって記録される情報を示している。情報４１０（e_uid）、情報４１２（e_gid）は、それぞれsetuid、setgidという、通常とは異なる権限でプログラムが実行される挙動を検知して、不正行為を検知するために記録される情報である。情報４１０（e_uid）は、プログラムが、通常割り当てられた権限とは異なる、特権をもったユーザとして実行される場合に、特権に相当するユーザを示す識別子である。情報４１２（e_gid）は、プログラムが、通常割り当てられた権限とは異なる、特権をもったグループとして実行される場合に、特権に相当するグループを示す識別子である。情報４１４（filename）は、プロセスが実行した内容（実行内容情報）を示すコマンド名称である。

次に、ログ解析モジュール１５によるログの解析方法を説明する。まず、ホスト型侵入検知システム１６が検知した情報を使用してログを解析する第１の解析方法を説明する。図５は第１の解析方法を示している。

第１の解析方法では、ログ解析モジュール１５は、ホスト型侵入検知システム１６が改ざんを検知したファイルの名称である改ざん検知情報５００を利用する。ログ解析モジュール１５は、ログ記憶部１４からファイル系ログ５２０を読み出し、改ざん検知情報５００をファイル名称（図４の情報４０６）の検索キー５１０として用いてファイル系ログ５２０を検索する。この検索により、ログ解析モジュール１５は、ファイル系ログ５２０の中から、ファイル名称が検索キー５１０と一致するログ５３０を抽出する。

続いて、ログ解析モジュール１５は、ログ記憶部１４からプロセス系ログ５５０を読み出し、ファイル系ログ５２０から抽出したログ５３０に記録されているプロセスID（図３のID３０４）を検索キー５４０として用いてプロセス系ログ５５０を検索する。この検索により、ログ解析モジュール１５は、プロセス系ログ５５０の中から、プロセスIDが検索キー５４０と一致するログ５６０を抽出する。上記のようにして抽出されたログ５３０，５５０は、記憶装置１３ａまたはログ記憶部１４、もしくはこれらとは異なる記憶装置に格納され、記憶される。

第１の解析方法によりファイル系ログとプロセス系ログから抽出した２つのログを統合して時系列に整列することで、ホスト型侵入検知システム１６が検知した改ざんに関して、実行したプロセスの遷移と、端末のファイルに行われた操作内容とを関連付けて把握することができる。特に、「いつ、どのファイルに、どのプロセスが、どのような操作を、どのような手順で実行したか」という情報を得ることができる。

次に、不正プロセス検知システム１７が検知した情報を使用してログを解析する第２の解析方法を説明する。図６は第２の解析方法を示している。

第２の解析方法では、ログ解析モジュール１５は、不正プロセス検知システム１７が検知した不正なプロセスの名称である不正プロセス情報６００を利用する。ログ解析モジュール１５は、ログ記憶部１４からプロセス系ログ６２０を読み出し、不正プロセス情報６００をプロセス名称（図４の情報４１４）の検索キー６１０として用いてプロセス系ログ６２０を検索する。この検索により、ログ解析モジュール１５は、プロセス系ログ６２０の中から、プロセス名称が検索キー６１０と一致するログ６３０を抽出する。

続いて、ログ解析モジュール１５は、ログ記憶部１４からファイル系ログ６５０を読み出し、プロセス系ログ６２０から抽出したログ６３０に記録されているプロセスID（図３のID３０４）を検索キー６４０として用いてファイル系ログ６５０を検索する。この検索により、ログ解析モジュール１５は、ファイル系ログ６５０の中から、プロセスIDが検索キー６４０と一致するログ６６０を抽出する。上記のようにして抽出されたログ６３０，６５０は、記憶装置１３ａまたはログ記憶部１４、もしくはこれらとは異なる記憶装置に格納され、記憶される。

第２の解析方法によりファイル系ログとプロセス系ログから抽出した２つのログを統合して時系列に整列することで、不正プロセス検知システム１７が検知した不正プロセスの挙動に関して、実行したプロセスの遷移と、端末のファイルに行われた操作内容とを関連付けて把握することができる。特に、「いつ、どのファイルに、どのプロセスが、どのような操作を、どのような手順で実行したか」という情報を得ることができる。

次に、上記の解析方法により得られた２つのログの内容を視覚化する方法を説明する。この視覚化によって、マルウェアや不正行為による端末上での攻撃のふるまいをセキュリティ管理者が容易に監視・解析することができる。

図７は、表示部１９に表示される内容を示している。ログの内容は２種類のレイヤに分かれて表示される。レイヤは、収集するログの種別と対応させたファイル情報表示レイヤ７００とプロセス情報表示レイヤ７１０に分かれる。ファイル情報表示レイヤ７００にはファイル操作が行われたファイルの情報が表示され、プロセス情報表示レイヤ７１０にはファイル操作を行ったプロセスの情報が表示される。ファイルとプロセスを異なるレイヤに分割して表現することで、監視対象の関係性が明確になる。

また、ファイル情報表示レイヤ７００は、システムディレクトリのファイル（システムファイル）の情報を表示するファイル情報表示レイヤ７００ａと、ユーザのホームディレクトリのファイル（通常ファイル）の情報を表示するファイル情報表示レイヤ７００ｂとに分かれる。このほかに、ホスト型侵入検知システム１６のポリシーファイルへ記載されている領域とその他の領域といった、重要度に応じた区画を設けて、重要なファイルへのアクセス検知の視認性を高めることも可能である。

図７では、プロセス名称が「bash」、プロセスIDが401であるプロセス７２０と、プロセス名称が「bash」、プロセスIDが808であるプロセス７２１とがファイル操作を行ったことが示されている。プロセス情報表示レイヤ７１０には、これらのプロセス７２０，７２１のほかに、これらのプロセス７２０，７２１の親プロセスであり、プロセス名称が「init」、プロセスIDが1であるプロセス７２２が表示されている。

ファイル情報表示レイヤ７００ａにはファイル名称が「/etc/passwd」であるファイル７３０が表示され、ファイル情報表示レイヤ７００ｂにはファイル名称が「home/foo/testfile.txt」であるファイル７３１が表示される。プロセス７２０は、ファイル７３０に対して、コマンド名称が「passwd.hoge」であるコマンドを実行している。また、プロセス７２１は、ファイル７３１に対して、コマンド名称が「vi/home/foo/testfile.txt」であるコマンドを実行している。

プロセス７２０とファイル７３０の間に、両者を結ぶように線が描かれており、同様に、プロセス７２１とファイル７３１の間に、両者を結ぶように線が描かれている。これらの線によって、プロセスと、そのプロセスによるファイル操作の対象となったファイルとの関係性が明確になる。

図７に示す視覚化に必要な情報は、操作開始時刻、操作終了時刻、操作元プロセス名称、操作元プロセスID、親プロセス名称、親プロセスID、コマンド名称、および被操作ファイル名称である。

操作開始時刻／操作終了時刻は、視覚化する操作の開始時刻／終了時刻である。実際には、ログの内容は動画によるアニメーションで表示される。操作開始時刻／操作終了時刻はアニメーションの表示タイミングの制御に用いられる。

操作元プロセス名称は、ファイル操作を行ったプロセスの名称である。図７では、「bash」が操作元プロセス名称である。操作元プロセスIDは、ファイル操作を行ったプロセスの識別子である。図７では、「401」、「808」が操作元プロセスIDである。

親プロセス名称は、操作元プロセスの親プロセスの名称である。図７では、「init」が親プロセス名称である。親プロセスIDは、親プロセスの識別子である。図７では、「1」が親プロセスIDである。

コマンド名称は、操作元プロセスが操作対象のファイルに対して実行するコマンドの名称である。図７では、「passwd.hoge」や「vi/home/foo/testfile.txt」がコマンド名称である。被操作ファイル名称は、操作の対象となるファイルの名称である。図７では、「/etc/passwd」や「home/foo/testfile.txt」が被操作ファイル名称である。

次に、上記の情報をアニメーションにより視覚化する方法を説明する。図８は、前述した解析方法により抽出したログから上記の情報を取得する処理の流れを示している。以下、図８を参照しながら、上記の情報を取得する処理を説明する。

表示処理部１８は、図５または図６に示した解析方法により抽出されたファイル系ログとプロセス系ログのヘッダ情報（図３）に含まれるプロセスID（pid）を参照し、これらのログから、一致するプロセスIDを有するログを抽出する（ステップＳ１００）。ここでは、複数の不正行為が検知されたものとし、それら不正行為のそれぞれに関して、図５または図６に示した解析方法により２種類のログを抽出したことを前提としている。そのため、ステップＳ１００において、プロセスIDを基準にして、同一のファイル操作に関連すると思われる２種類のログを抽出するようにしている。

プロセスIDは、一時点においては、その時点で動作中の各プロセスに固有な情報であるが、異なる時点において各プロセスに固有な情報であることを保証するものではない。このため、ステップＳ１００で抽出されたログは、同一のプロセスIDが記録されていても、同一のファイル操作に関するログではないかもしれない。そこで、以降の処理により、同一のファイル操作に関するログを特定し、そのログから各種情報を取得するようにしている。

表示処理部１８は、ステップＳ１００で抽出したログのヘッダ情報に含まれる時刻を参照し、最初と最後に記録されたログから「開始時刻」と「終了時刻」をそれぞれ取得する（ステップＳ１０１）。続いて、表示処理部１８は、ステップＳ１００で抽出したログのうち、プログラムの実行を監視する「bprm_check_security」によって記録されたプロセス系ログを抽出する（ステップＳ１０２）。表示処理部１８は、ステップＳ１０２で抽出したログのヘッダ情報（図３）に含まれるコマンド（cmd）に記録された情報を「操作元プロセス名称」として取得し（ステップＳ１０３）、プロセスID（pid）に記録された情報を「操作元プロセスID」として取得する（ステップＳ１０４）。

また、表示処理部１８は、ステップＳ１０２で抽出したログのヘッダ情報（図３）に含まれる親プロセスコマンド（parent cmd）に記録された情報を「親プロセス名称」として取得し（ステップＳ１０５）、親プロセスID（parent）に記録された情報を「親プロセスID」として取得する（ステップＳ１０６）。続いて、表示処理部１８は、ステップＳ１０２で抽出したログの監視ポイント固有情報（図４）に含まれるコマンド名称（filename）に記録された情報を「コマンド名称」として取得する（ステップＳ１０７）。

最後に、表示処理部１８は、ステップＳ１００で抽出したログのうちファイル系ログのヘッダ情報（図３）に含まれるコマンド（cmd）に記録された情報を参照し、ステップＳ１０３で取得した「操作元プロセス名称」と一致するコマンドが記録されたログを抽出する。「コマンド名称」によってファイル系ログとプロセス系ログが関連付けられるので、同一のファイル操作に関するログから各種情報が得られることになる。表示処理部１８は、抽出したログの監視ポイント固有情報（図４）に含まれるファイル名称（path）に記録された情報を「被操作ファイル名称」として抽出する（ステップＳ１０８）。

上記の処理により、ファイル系ログとプロセス系ログから、同一のファイル操作に関するログを抽出し、そのログに記録された各種情報を取得することができる。図８に示した処理を行うことにより、例えば図７のファイル７３０の操作に関する情報が取得され、さらに図８に示した処理をもう一度行うことにより、例えば図７のファイル７３１の操作に関する情報が取得される。取得された情報は互いに関連付けられ、最終的に時系列順に統合され、図１に示した不正行為ログ１００となる。

次に、図９および図１０を参照しながら、ログの内容をアニメーションにより視覚化する方法を説明する。図９および図１０は、表示部１９に表示される内容を示している。以下では、図７に示した情報を表示する場合を例として説明を行う。表示処理部１８は、図８に示した処理により取得した情報を表示するための画像データを含む表示用データを生成し、表示部１９へ出力する。表示部１９は、この表示用データに基づいて画像を表示する。表示処理部１８が、画像データを更新して表示部１９へ出力することを繰り返すことにより、表示部１９は、表示内容が連続的に変化するアニメーションを表示する。

まず、表示処理部１８は、初期状態の画像を表示するための表示用データを生成する。図９（ａ）は初期状態を示している。ファイル情報表示レイヤ７００とプロセス情報表示レイヤ７１０が表示される。ファイル情報表示レイヤ７００については、システムファイルを表示するファイル情報表示レイヤ７００ａと、通常ファイルを表示するファイル情報表示レイヤ７００ｂとが異なる色で表示される。

表示処理部１８は、最も早い「開始時刻」に関連付けられた情報を参照し、図９（ｂ）に示すように、ファイル７３１の情報と、そのファイル操作を行ったプロセス７２１の情報とを表示するための表示用データを生成する。続いて、表示処理部１８は、２番目に早い「開始時刻」に関連付けられた情報を参照し、図１０（ａ）に示すように、ファイル７３０の情報と、そのファイル操作を行ったプロセス７２０の情報とを追加表示するための表示用データを生成する。ファイル７３１に関連するファイル操作については、図１０（ｂ）に示すように一定時間の経過後に、ファイル操作を示す線が消える。このようなアニメーションを表示することによって、セキュリティ管理者は、「いつ、どのファイルに、どのプロセスが、どのような操作を、どのような手順で実行したか」という情報を視覚的に得ることができる。

上述したように、本実施形態によれば、システムコール処理を検出したタイミングでファイル系ログとプロセス系ログが生成されるので、任意のタイミングで実行された不正行為の情報をログに記録することができる。さらに、図５および図６に示したように、ファイル系ログとプロセス系ログから、共通のプロセスIDを有するログを抽出することによって、時刻、ファイル名称、プロセス名称、プロセスの実行内容等の情報を取得することができる。以上により、任意のタイミングで実行された不正行為の詳細情報を抽出することができる。

また、ログを抽出する際に、ホスト型侵入検知システム１６が改ざんを検知したファイルの名称、または不正プロセス検知システム１７が検知した不正なプロセスの名称を利用することによって、攻撃に該当する情報を効率的に抽出することができる。

また、抽出したログに基づいて、ファイル操作に関連するファイルとプロセスの情報を関連付けて表示することによって、ファイルと、そのファイルに対してファイル操作を行ったプロセスとの関係性を視覚的に明確することができる。さらに、図９および図１０に示したアニメーションを表示することによって、ファイル操作の手順を視覚的に明確にすることができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述したログの生成方法および解析方法は、端末上のマルウェア検知、ネットワークを経由した端末への不正行為検知等のアプリケーションを実現するための中核技術として利用可能である。

また、上記の情報処理システム（ログ解析システム）の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。

ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

本発明の一実施形態によるログ解析システムの構成を示すブロック図である。 本発明の一実施形態における監視ポイントの一覧を示す参考図である。 本発明の一実施形態におけるログに含まれる情報を示す参考図である。 本発明の一実施形態におけるログに含まれる情報を示す参考図である。 本発明の一実施形態におけるログの解析方法を示す参考図である。 本発明の一実施形態におけるログの解析方法を示す参考図である。 本発明の一実施形態におけるログの内容を視覚化した状態を示す参考図である。 本発明の一実施形態におけるログから視覚化に必要な情報を取得する処理の流れを示すフローチャートである。 本発明の一実施形態におけるログの内容を表示するアニメーションを示す参考図である。 本発明の一実施形態におけるログの内容を表示するアニメーションを示す参考図である。

符号の説明

１１・・・OS、１２・・・ログ生成モジュール、１３・・・ハードウェア、１３ａ・・・記憶装置、１３ｂ・・・入力装置、１３ｃ・・・出力装置、１４・・・ログ記憶部、１５・・・ログ解析モジュール、１６・・・侵入検知システム、１７・・・不正プロセス検知システム、１８・・・表示処理部、１９・・・表示部

Claims (5)

1. コンピュータ上で動作するプロセスがオペレーティングシステムに対して発行するシステムコール処理を検出し、ファイル操作が行われたファイルを識別するファイル識別情報と、前記ファイル操作を行ったプロセスを識別するプロセス識別情報とを含む第１のログを生成する第１のログ生成手段と、
   プロセス操作が行われたプロセスを識別する前記プロセス識別情報と、当該プロセスが実行した内容を示す実行内容情報とを含む第２のログを生成する第２のログ生成手段と、
   前記第１のログと前記第２のログを記憶する記憶手段と、
   侵入検知システムが検出した前記ファイル識別情報に基づいて、前記記憶手段が記憶する前記第１のログからログを抽出し、抽出したログに含まれる前記プロセス識別情報に基づいて、前記記憶手段が記憶する前記第２のログからログを抽出する抽出手段と、
   を備えたことを特徴とする情報処理システム。
2. コンピュータ上で動作するプロセスがオペレーティングシステムに対して発行するシステムコール処理を検出し、ファイル操作が行われたファイルを識別するファイル識別情報と、前記ファイル操作を行ったプロセスを識別するプロセス識別情報とを含む第１のログを生成する第１のログ生成手段と、
   プロセス操作が行われたプロセスを識別する前記プロセス識別情報と、当該プロセスが実行した内容を示す実行内容情報とを含む第２のログを生成する第２のログ生成手段と、
   前記第１のログと前記第２のログを記憶する記憶手段と、
   不正プロセス検知システムが検出した前記実行内容情報に基づいて、前記記憶手段が記憶する前記第２のログからログを抽出し、抽出したログに含まれる前記プロセス識別情報に基づいて、前記記憶手段が記憶する前記第１のログからログを抽出する抽出手段と、
   を備えたことを特徴とする情報処理システム。
3. 前記抽出手段が抽出したログに基づいて、前記ファイル識別情報を第１の領域に表示し、前記プロセス識別情報を前記ファイル識別情報と関連付けて第２の領域に表示し、前記実行内容情報を表示する表示手段をさらに備えたことを特徴とする請求項１または請求項２に記載の情報処理システム。
4. 前記第１のログと前記第２のログはさらに時刻情報を含み、
   前記表示手段はさらに、前記時刻情報に基づいて、前記ファイル識別情報、前記プロセス識別情報、前記実行内容情報を表示する順番を制御する
   ことを特徴とする請求項３に記載の情報処理システム。
5. 請求項１〜請求項４のいずれかに記載の情報処理システムとしてコンピュータを機能させるためのプログラム。

Images