JP6824151B2 - インシデント対応支援装置 - Google Patents

Description

この発明は、セキュリティインシデント（以下、インシデント）の発生時において対応作業を行うユーザを支援するインシデント対応支援装置に関するものである。

インシデント発生時における主な作業として、検知と対応がある。これらの作業にはセキュリティに関する知識とインシデントが発生した機器やシステムに関する知識の両方が必要となるので、作業を迅速かつ的確に実施するためには十分な要員配置及びユーザに対する教育など高いコストが必要となっていた。また、大規模なシステムにインシデントが発生した場合には、発生したインシデントの種類や発生場所の特定に多くの時間がかかり、インシデント対応にかかるコストをさらに増大させていた。そこで、受付管理システムがインシデント毎にインシデント状態を管理するとともに、ナレッジシステムがエラーコード毎に対応手順を管理し、統合支援システムがインシデント状態と対応手順に基づいてリモート操作システムに監視対象サーバに対して遠隔保守操作させる運用管理システムが提案されている（例えば、特許文献１参照）。

特開２０１０−２２４８２９号公報

しかしながら、特許文献１の運用管理システムでは、発生したインシデントのエラーコードに対応する対応手順がナレッジシステムに登録されていない場合は手動対応処理を実施するように構成されている。また、手動対応処理を行う場合にユーザに対してどのような指示、支援を行うかについては特許文献１には開示されていない。このため、特許文献１の運用管理システムは、対応可能な範囲が予め対応手順を登録したインシデントに限られており、種々のインシデントに対して柔軟に対応できないという問題点がある。

この発明は、上記のような問題点を解決するためになされたもので、種々のインシデントに対して柔軟に対応できるインシデント対応支援装置を得るものである。

この発明のインシデント対応支援装置は、監視対象にインシデントが発生したことを示すインシデント検知情報を取得するインシデント検知情報取得部と、監視対象のログデータを取得するログデータ取得部と、インシデント検知情報及びログデータに対してインシデント抽出処理を実行して、監視対象に発生したインシデントを特定するインシデント情報を抽出するインシデント抽出部と、インシデント情報及び予め作成された対応手順テンプレートに基づいて、監視対象に発生したインシデントに対応するインシデント対応手順を作成する対応手順作成部と、対応手順作成部により作成されたインシデント対応手順を表示する表示部と
を備え、インシデント抽出処理は、先に行われた比較処理の結果に応じて後に行われる比較処理の内容が変わる一連の比較処理により構成されており、対応手順作成部は、インシデント対応手順のうち表示部に表示させる範囲を監視対象に発生したインシデントへの対応の進捗状況に応じて選定し、表示部は、インシデント対応手順と進捗状況を合わせて表示するものである。

この発明によれば、監視対象に発生したインシデントを特定するインシデント情報に基づいてインシデント対応手順を作成するため、種々のインシデントに対して柔軟に対応することができる。

この発明の実施の形態１におけるインシデント対応支援装置を示すハードウエア構成図であり、ＳＩＥＭが装置外部にある場合のハードウエア構成図である。 この発明の実施の形態１におけるインシデント対応支援装置を示すハードウエア構成図であり、ＳＩＥＭが装置内部にある場合のハードウエア構成図である。 この発明の実施の形態１におけるインシデント対応支援装置を示す機能ブロック図である。 この発明の実施の形態１に係るアラートの例を示す図である。 この発明の実施の形態１に係るログデータの例を示す図であり、ＩＤＳのログの例を示す図である。 この発明の実施の形態１に係るログデータの例を示す図であり、アンチウィルスソフトのログの例を示す図である。 この発明の実施の形態１に係るログデータの例を示す図であり、イベントログの例を示す図である。 この発明の実施の形態１におけるインシデント対応支援装置の動作を示すフロー図である。 この発明の実施の形態１に係るインシデント抽出処理の例を示す図である。 この発明の実施の形態１に係る表示対応手順の例を示す図である。 この発明の実施の形態２に係るインシデント抽出処理の例を示す図である。 この発明の実施の形態３におけるインシデント対応支援装置を示す機能ブロック図である。 この発明の実施の形態３におけるインシデント対応支援装置の動作を示すフロー図である。 この発明の実施の形態３に係るインシデント抽出処理の例を示す図である。 この発明の実施の形態３に係る行動指示テーブルの例を示す図である。

実施の形態１．
以下に、この発明の実施の形態１を図１から図７に基づいて説明する。図１Ａは、実施の形態１におけるインシデント対応支援装置を示すハードウエア構成図であり、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ）が装置外部にある場合のハードウエア構成図である。また図１Ｂは、ＳＩＥＭが装置内部にある場合のハードウエア構成図である。インシデント対応支援装置１０は、図１Ａ及び図１Ｂに示すようにプロセッサ８１、メモリ８２、補助記憶装置であるハードディスク８３をシステムバス８５により接続して構成したものである。システムバス８５には、ネットワークを介して外部の機器と通信する通信入出力回路８４、例えば液晶ディスプレイである表示装置９４などの外部装置に対して出力を行う出力回路８６、例えばキーボード、マウス、タッチパネルである入力装置９５からの入力を受け付ける入力回路８７がさらに接続されている。通信入出力回路８４は、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）９１が出力するログを記憶するログＤＢ９２と接続されている。ログＤＢ９２は、インシデント対応支援装置１０から参照可能に設定されている。なお、実施の形態１ではログＤＢ９２をインシデント対応支援装置１０の外部に設けているが、ハードディスク８３を用いてログＤＢ９２を構成してもよい。

ＩＤＳ９１は、監視手段として監視対象の機器又はシステムが接続されたネットワークに設置されたネットワーク型ＩＤＳであり、監視対象の機器又はシステムが送信元あるいは送信先となっているパケットに関するログをログＤＢ９２に送信する。なお、実施の形態１では一例として監視手段をＩＤＳ９１とし、ＩＤＳ９１が接続されたネットワーク上の機器を監視対象としているが、監視手段としてはファイアウオール機能を備えたサーバやルーター、ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）や、監視対象の機器あるいは監視対象とネットワークで接続された機器にインストールされたアンチウィルスソフト（ＡＶ）や、イベントログを収集可能なＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）など、監視対象の機器又はシステムに関するログを収集する機能を備えたものであればよい。

ログＤＢ９２に記憶されたログの内容は、ＳＩＥＭ９３、すなわちインシデント検知装置によってチェックされる。ＳＩＥＭ９３は、図１Ａに示すようにインシデント対応支援装置１０の外部装置として通信入出力回路８４によって通信可能に接続されていてもよいし、図１Ｂに示すようにインシデント対応支援装置１０内部で動作するソフトウエアであってもよい。ＳＩＥＭ９３は、予め定義されたルールに従って、例えばＩＤＳ９１のログの中から不正なパケットの存在を検知した場合など、ログＤＢ９２に記憶されているログの内容からインシデントが発生していると判定した場合にインシデント対応支援装置１０に対してアラート、すなわちインシデント検知情報を出力する。このように、ＳＩＥＭ９３は、ＩＤＳ９１などの監視手段を介して監視対象の機器又はシステムを監視し、インシデントの発生を検知する。

次に、インシデント対応支援装置１０の機能について説明する。図２は、実施の形態１におけるインシデント対応支援装置を示す機能ブロック図である。インシデント対応支援装置１０は、図２に示すようにＳＩＥＭ９３からのアラートＡＬＴを取得するアラート取得部１０１、すなわちインシデント検知情報取得部と、ユーザに提示される表示対応手順ＤＧＤを作成するための手順作成フローＦＬＷを格納する手順作成フロー格納部１０２と、監視対象の機器又はシステムのログデータＬＧＤを取得するログデータ取得部１０３と、手順作成フローＦＬＷに従ってアラートＡＬＴとログデータＬＧＤからインシデント情報ＩＮＣを抽出し、ＳＩＥＭ９３が検知したインシデントを抽出するインシデント抽出部１０４と、種々のインシデントに対応するための対応手順テンプレートＴＭＰが格納された対応手順書格納部１０５、インシデント情報ＩＮＣと対応手順テンプレートＴＭＰを組み合わせて、ユーザに表示する表示対応手順ＤＧＤを作成する対応手順作成部１０６と、表示対応手順ＤＧＤを表示する画面表示部１０７、すなわち表示部と、ユーザから入力されるインシデント対応の進捗情報を入力ＩＮＰとして画面表示部に送信する入力部１０８を備える。これらの機能部は、プロセッサ８１がメモリ８２またはハードディスク８３に記憶されたプログラムを実行することにより実現される。また、複数のプロセッサ８１及び複数のメモリ８２又はハードディスク８３が連携して上記機能部を実現してもよい。以下、より具体的に説明する。

アラート取得部１０１は、プロセッサ８１、通信入出力回路８４、及びメモリ８２又はハードディスク８３によって実現されるもので、ＳＩＥＭ９３が外部にある場合はプロセッサ８１からの要求に応じて通信入出力回路８４によりＳＩＥＭ９３からアラートＡＬＴを受信後、受信したアラートＡＬＴをメモリ８２又はハードディスク８３に記憶させる。ＳＩＥＭ９３が内部にある場合はプロセッサ８１からの要求に応じてアラートＡＬＴをメモリ８２又はハードディスク８３に記憶させる。メモリ８２又はハードディスク８３に格納されたアラートＡＬＴは、手順作成フローＦＬＷに定められたタイミングでインシデント抽出部１０４に読み出される。なお、アラートＡＬＴはＳＩＥＭ９３からインシデントの発生時に出力されるものであるが、所定のタイミングでアラート取得部１０１からＳＩＥＭ９３に対してアラートＡＬＴの有無を確認する構成にしてもよい。

手順作成フロー格納部１０２は、メモリ８２又はハードディスク８３により実現されるもので、予め作成された１つ又は複数の手順作成フローＦＬＷを格納している。手順作成フローＦＬＷは、インシデント情報ＩＮＣを抽出するインシデント抽出処理から表示対応手順ＤＧＤの作成までの一連の処理の流れを含んでいる。手順作成フローＦＬＷは、自動又は手動のいずれで作成してもよく、インシデント対応支援装置１０又はその他の装置のいずれで作成してもよい。また、手順作成フロー格納部１０２の機能は、外付けのハードディスクや外部のデータベースなど、インシデント対応支援装置１０外部の記憶装置によって実現してもよい。また、手順作成フローＦＬＷは、例えばアラートＡＬＴの種類毎に対応させて格納してもよい。

ログデータ取得部１０３は、プロセッサ８１、通信入出力回路８４及びメモリ８２によって実現されるもので、インシデント抽出部１０４が必要とするログデータＬＧＤをプロセッサ８１からの要求に応じてログＤＢ９２から受信し、受信したログデータＬＧＤをメモリ８２に記憶させる。メモリ８２に記憶されたログデータＬＧＤは、手順作成フローＦＬＷに定められたタイミングでインシデント抽出部１０４に読み出される。なお、ログデータＬＧＤに含まれる情報としては、例えば監視対象の機器やシステムにログインしたアカウント名や時間、ログインの成功／失敗情報など、監視対象の機器又はシステムによって異なる。

インシデント抽出部１０４は、プロセッサ８１及びメモリ８２によって実現されるもので、アラートＡＬＴ、アラートＡＬＴに対応する手順作成フローＦＬＷをメモリ８２から読み出し、プロセッサ８１により手順作成フローＦＬＷの処理を実行しながら必要となるログデータＬＧＤをメモリ８２から適宜読み出して、対応すべきインシデントのインシデント情報ＩＮＣをアラートＡＬＴ及びログデータＬＧＤから抽出し、抽出したインシデント情報ＩＮＣをメモリ８２に記憶させる。インシデント情報ＩＮＣは、インシデントの種類や発生時刻、発生場所など、発生したインシデントを特定する情報である。

対応手順書格納部１０５は、メモリ８２又はハードディスク８３により実現されるもので、予め作成された１つ又は複数の対応手順テンプレートＴＭＰを格納している。対応手順テンプレートＴＭＰは、例えば装置の停止及び再起動、ネットワークからの遮断及び再接続、状況確認など、種々のインシデントに対する抽象的一般的なインシデント対応手順を含んでいる。対応手順テンプレートＴＭＰは、自動又は手動のいずれで作成してもよく、インシデント対応支援装置１０又はその他の装置のいずれで作成してもよい。また、対応手順書格納部１０５の機能は、外付けのハードディスクや外部のデータベースなど、インシデント対応支援装置１０外部の記憶装置によって実現してもよい。また、対応手順テンプレートＴＭＰは、例えばアラートＡＬＴの種類毎に対応させて格納してもよい。

対応手順作成部１０６は、プロセッサ８１及びメモリ８２によって実現されるもので、手順作成フローＦＬＷ、インシデント情報ＩＮＣ及び対応手順テンプレートＴＭＰをメモリ８２から読み出し、手順作成フローＦＬＷに従ってインシデント情報ＩＮＣと対応手順テンプレートＴＭＰを組み合わせて、監視対象に発生したインシデントに対応するインシデント対応手順を作成する。さらに、対応手順作成部１０６は作成したインシデント対応手順のうち、ユーザに表示する範囲を選定して表示対応手順ＤＧＤを作成しメモリ８２に格納する。なお実施の形態１では、表示対応手順ＤＧＤがインシデント対応の進捗状況を反映させるように、インシデント対応の進捗状況に応じた表示範囲の選定が行われる。インシデント対応の進捗状況に関するデータは、ユーザからの入力により取得する。

画面表示部１０７は、出力回路８６と表示装置９４により実現されるもので、メモリ８２に格納されている表示対応手順ＤＧＤを読み出して、出力回路８６を介して表示装置９４に出力し、所定のレイアウトで表示対応手順ＤＧＤを表示装置９４に表示する。入力部１０８は、入力回路８７と入力装置に９５によって実現される。

次に、アラートＡＬＴとログデータＬＧＤについて説明する。図３は、実施の形態１に係るアラートの例を示す図であり、図４Ａ、図４Ｂ、図４Ｃは、ログデータの例を示す図である。アラートＡＬＴは、図３に示すようにアラートを識別するアラートＩＤ、検知結果、関連するログを示す関連ログ対応キー、拡張情報としてのオプションフィールドを含む。オプションフィールドは、インシデントの種類に応じてデータが入力されるものであり、例えばインシデントがウィルス感染であった場合は、感染したウィルスのハッシュ値などが入力される。オプションフィールドへの入力は、ログデータＬＧＤを取得する際などに用いられ、ログデータＬＧＤを検索するためのＳＱＬ文で利用可能であれば特に限られるものではない。

図４Ａは、実施の形態１に係るログデータの例を示す図であり、ＩＤＳのログの例を示す図である。ＩＤＳが出力するログは、監視手段を示す「機能名」がＩＤＳであり、不正なパケットの検知日時を示すタイムスタンプ、対応するアラートＡＬＴの種類を示すアラートＩＤ、脅威レベル、不正なパケットの発信元ＩＰ、送信ＩＰなど、検知した不正なパケットに関する情報や、拡張情報としてのオプションフィールドが含まれる。
図４Ｂは、アンチウィルスソフトのログの例を示す図である。アンチウィルスソフトが出力するログは、監視手段を示す「機能名」がＡＶであり、ウィルスの兆候の検知日時を示すタイムスタンプ、対応するアラートＡＬＴの種類を示すアラートＩＤ、脅威レベル、のウィルスの兆候が検知された機器のＩＰを示すホストＩＰ、プロセスＩＤなど、検知したウィルスの兆候に関する情報が含まれる。また、拡張情報としてのオプションフィールドには兆候があったウィルスを示すハッシュ値などが入力される。なお、オプションフィールドの入力はシグネチャなどでもよい。
図４Ｃは、イベントログの例を示す図である。ＯＳが出力するイベントログの場合は「機能名」がイベントログとなり、イベント発生時のタイムスタンプやイベントＩＤ、イベントが発生した機器のＩＰを示すホストＩＰなどイベントを特定する情報が含まれる。イベントとしては、例えばＵＳＢ挿入イベントやログイン／ログオフなどが考えられる。

次に、動作について説明する。図５は、実施の形態１におけるインシデント対応支援装置の動作を示すフロー図、図６は、実施の形態１に係るインシデント抽出処理の例を示す図であり、図７は、実施の形態１に係る表示対応手順の例を示す図である。
まず、アラート取得部１０１は１つ又は複数のアラートＡＬＴをＳＩＥＭ９３から受信する（ステップＳＴ１１）。アラート取得部１０１は、受信したアラートＡＬＴをメモリ８２に記憶させる。

アラートＡＬＴの受信後、手順作成フロー格納部１０２は手順作成フローＦＬＷをメモリ８２に書き込み、インシデント抽出部１０４はメモリ８２に書き込まれた手順作成フローＦＬＷを取得する（ステップＳＴ１２）。次いで、インシデント抽出部１０４は手順作成フローＦＬＷ中のインシデント抽出処理を読み込み、一連の処理を順次実行する。インシデント抽出処理は、図６に示す例のように、各処理に一意に紐付けられた「処理ＩＤ」、変数の比較である比較処理の内容を示す「比較式」、必要なログデータＬＧＤを取得するためのＳＱＬ文を示す「参照式」、次に行う処理の処理ＩＤを比較処理の結果に応じて示す「飛び先」の４つの要素を含んでおり、先に行われた比較処理の結果に応じて後に行われる比較処理の内容が変わる一連の比較処理により構成されている。それぞれのＳＱＬ文は、同じ処理ＩＤを持つ比較式を実行するのに必要な全てのログデータＬＧＤを取得するように記述されている。図６に示す例の場合、インシデント抽出部１０４は、まずＳＱＬ文Ａを実行することでログデータ取得部１０３に指示を出し、処理ＩＤ１の比較式に必要な全てのログデータＬＧＤを取得させる。（ステップＳＴ１３）。ログデータ取得部１０３は、取得したログデータＬＧＤをメモリ８２に書き込む。

次に、インシデント抽出部１０４は、処理ＩＤが１の比較式に記述された比較処理を実行する（ステップＳＴ１４）。この比較処理は、アラートＡＬＴ及びログデータＬＧＤの情報を比較対象として実行される。ある処理ＩＤにおけるインシデント抽出処理の実行後、インシデント情報ＩＮＣの作成に必要なインシデント抽出処理が全て実行されたかをチェックする（ステップＳＴ１５）。ここで、必要なインシデント抽出処理が全て実行されたかの判断は、飛び先の値に基づいて行われる。すなわち、飛び先として別の処理ＩＤが示されている場合は必要なインシデント抽出処理が全て実行されていないと判断し、飛び先の処理ＩＤにおいてステップＳＴ１３〜ステップＳＴ１５を実行する。飛び先がない（Ｅｎｄ）の場合は、必要なインシデント抽出処理が全て実行されたと判断してステップＳＴ１６に進む。このようにして、１つ１つのインシデント抽出処理を実行していくことにより、発生しているインシデントのインシデント情報ＩＮＣが作成されていく。なお、比較式はインシデント抽出部１０４が処理できる形態であればどのように記述してもよく、例えばポーランド記法により記述してよい。また、比較式は参照するログや定数を含んでいてもよい。比較式の変数は、初期の状態では実体が入力されていないため、実際に比較処理を行う際には変数に実体が入力される。

インシデントの例として総当たり攻撃の可能性を考える場合、ホストＩＰがＩＤＳ９１のログの宛先ＩＰと同じ機器のイベントログのログデータＬＧＤを取得し、当該機器における所定の期間内のログインの成功／失敗情報について比較処理を行うことにより、総当たり攻撃の発生の有無の判断及び発生場所などの特定を行う。また、インシデントの例としてウィルス感染の可能性を考える場合、アラートＡＬＴのオプションフィールドにあるハッシュ値を含むログのログデータＬＧＤを取得し、取得したログデータＬＧＤからウィルスに感染した可能性のある全ての機器やウィルスの詳細な発生源の特定を行う。インシデント情報ＩＮＣは、それぞれの比較処理に用いたアラートＡＬＴの情報やログデータＬＧＤの情報、及び比較処理の内容や結果を含む。

インシデント抽出部１０４は、インシデント情報ＩＮＣの作成に必要なインシデント抽出処理を全て実行した後、インシデント情報ＩＮＣをインシデント抽出処理の結果から取得し（ステップＳＴ１６）、取得したインシデント情報ＩＮＣをメモリ８２に書き込む。なお、例えばＳＩＥＭ９３からのアラートＡＬＴが誤検知によるものだった場合など、対応すべきインシデントを抽出できないときは対応すべきインシデントが無いことを示す情報をメモリ８２に書き込む。

インシデント情報ＩＮＣがメモリ８２に書き込まれると、対応手順書格納部１０５により対応手順テンプレートＴＭＰもメモリ８２に書き込まれる。対応手順作成部１０６は、インシデント情報ＩＮＣ及び対応手順テンプレートＴＭＰを取得し（ステップＳＴ１７）、手順作成フローＦＬＷに従ってインシデント情報ＩＮＣ及び対応手順テンプレートＴＭＰに基づいて監視対象に発生したインシデントに対応するインシデント対応手順を作成するとともに、作成したインシデント対応手順の中から表示する部分を選定することで表示対応手順ＤＧＤを作成する。（ステップＳＴ１８）。対応手順作成部１０６は、表示対応手順ＤＧＤを画面表示部１０７に渡す。なお、対応すべきインシデントが抽出されていないときは、対応するインシデントが無いことを示す情報を画面表示部１０７に渡す。

画面表示部１０７は、表示装置９４の画面に表示対応手順ＤＧＤを表示させる（ステップＳＴ１９）。表示対応手順ＤＧＤは、図７に示すように、発生したインシデントの種類や発生場所を表示するインシデント情報表示部ＧＤ１、インシデント対応の現在の進捗状況を表示する進捗表示部ＧＤ２、大枠の対応手順を表示する対応手順表示部ＧＤ３、個々の装置についてなど、より詳細な対応手順を表示する詳細手順表示部ＧＤ４を含んでいる。また、それぞれの詳細手順表示部ＧＤ４には、対応する詳細手順の完了／未完を示す完了チェックボックスＧＤ５が設けられ、具体的な対応状況をユーザに明示している。なお、表示中の対応手順を表示対応手順として選定した理由等を表示させてもよい。また、対応すべきインシデントが抽出されていないときは、対応すべきインシデントが無い旨を示す文言や説明を表示する。

なお、実施の形態１ではインシデント対応の進捗状況をユーザからの入力により取得して完了チェックボックスＧＤ５に反映させるが、インシデント対応支援装置１０側で進捗状況を把握し、進捗状況に応じて完了チェックボックスＧＤ５の入力を制限する構成にしてもよい。この場合、対応する詳細手順が未完である完了チェックボックスＧＤ５についてはユーザがチェックを入れることができないように制限する。進捗状況の把握については、例えばＳＩＥＭ９３からのログにより各装置の起動状況やネットワーク接続状況の情報を取得し、対応する詳細手順の完了／未完を判定する。また、実施の形態１では完了チェックボックスＧＤ５により進捗状況を把握するがこれは一例であり、例えば完了／未完に応じて詳細手順表示部ＧＤ４の色を変えるなど、対応の進捗が確認できるものであればチェックボックス以外の方法でもよい。

実施の形態１によれば、監視対象の機器又はシステムで発生したインシデントの内容を容易に把握するとともに、種々のインシデントに対して柔軟に対応することができる。より具体的には、監視対象にインシデントが発生したことを示すアラートと監視対象のログデータを取得し、インシデントを特定するインシデント情報をアラート及びログデータから抽出する構成とした。インシデント情報を抽出するためのインシデント抽出処理は一連の比較処理により構成されており、先に行われた比較処理の結果に応じて処理内容が変わる。これにより、全体としてどのような比較処理が行われ、どのような結果が得られるかは実際に発生しているインシデントの内容に応じて変わるので、最終的に得られるインシデント情報及びこれに基づくインシデント対応手順は実際に発生しているインシデントの内容に即したものとなる。このため、監視対象の機器又はシステムで発生したインシデントの内容を容易に把握するとともに、種々のインシデントに対して柔軟に対応することができる。また、監視対象に発生しているインシデントの内容と対応作業の関係や必要な対応作業をユーザが容易に把握することができるようになり、インシデント対応作業の負荷を軽減することができる

また、インシデント対応の進捗状況に応じて表示範囲を選定した表示対応手順を表示するため、現在行うべき作業を対応手順の中からを見つけることが容易となり、インシデント対応作業の負荷がさらに軽減されるとともに、ユーザがより迅速に対応作業を実施できるようになる。

なお、実施の形態１では表示対応手順ＤＧＤを出力回路８６から表示装置９４に表示させる構成としているが、ネットワークを介して表示対応手順ＤＧＤを送信する構成にしてもよい。この場合、専用のアプリケーションが動作するパソコンやタブレットなどのクライアント端末に表示対応手順ＤＧＤのデータを送信して、クライアント端末側で表示対応手順ＤＧＤを表示させる。このような構成とすれば、監視対象とインシデント対応支援装置１０が離れている場合でも、現場のユーザに対して適時にインシデントの対応支援をすることができ、より迅速にインシデント対応することができる。

実施の形態２．
以下に、この発明の実施の形態２を図８に基づいて説明する。図８は、実施の形態２に係るインシデント抽出処理の例を示す図である。実施の形態２では、インシデント抽出処理においてスクリプトで記述された一連の処理式を実行する点が実施の形態１と異なる。実施の形態１と実施の形態２の相違点はインシデント抽出処理のみなので、以下ではインシデント抽出処理について説明する。

まず、実施の形態１と同様に、参照式で示されたＳＱＬ文により必要なログデータＬＧＤを取得する。次に、インシデント抽出部１０４は取得したログデータＬＧＤをリスト型の変数であるｌｏｇｌｉｓｔ変数に１行ごとに格納する。ｌｏｇｌｉｓｔ変数に全てのログデータＬＧＤを格納した後、ｌｏｇｌｉｓｔ変数に格納されたログデータＬＧＤ、及びアラートＡＬＴが有する情報をもとに、処理式に記述された比較処理を実行して返り値を得る。そして、返り値に応じた飛び先の処理ＩＤにおいて同様の処理を行う。一連の処理は、実施の形態１と同様に飛び先が無くなるまで繰り返す。

処理式は、例えばｐｙｔｈｏｎやｒｕｂｙといったスクリプト言語など、インシデント抽出部１０４が実行可能な言語により記述される。処理式は例えば複数の比較式を有しており、処理式の返り値は、例えば結果がＴｒｕｅであった比較処理の回数など、その処理式内の比較処理の結果に応じたものとなり、実施の形態１の比較式の結果のような２値に限られない。このため、条件に合致するログの個数に応じて処理を変えるなど、より詳細なインシデント抽出処理を行うことが可能である。
その他については実施の形態１と同様であるので、その説明を省略する。

実施の形態２によれば、実施の形態１と同様の効果を得ることができる。

また、インシデント抽出処理においてスクリプト言語で記述された処理式を実行することで、より詳細なインシデント抽出処理を行うことが可能であるため、監視対象で発生しているインシデントの情報をより詳細に把握することができ、より詳細かつ適切なインシデント対応手順を作成することができる。このため、複雑なインシデントに対応することが可能となり、インシデント対応作業の負荷をより軽減することができる。

実施の形態３．
以下に、この発明の実施の形態３を図９から図１２に基づいて説明する。図９は、実施の形態３におけるインシデント対応支援装置を示す機能ブロック図である。図９において、図２と同一または相当部分については同一符号を付している。インシデント対応支援装置３０は、実施の形態１の入力部１０８をデータ入力部３０８に置き換えたものである。また、ユーザへの指示を示す行動指示テーブルがインシデント抽出処理に組み込まれ、インシデント抽出部３０４がユーザに対する行動指示ＡＧＤを画面表示部１０７に出力する。データ入力部３０８は、実施の形態１の入力部１０８のように入力ＩＮＰを画面表示部１０７に送信することに加え、手順作成フローＦＬＷの処理を実行中、すなわちインシデント抽出処理からインシデンント対応手順の作成の間にもユーザからの入力受け付け、入力データＩＮＰ２としてインシデント抽出部３０４に送信するものである。入力データＩＮＰ２は、例えばユーザから追加されたログのデータや、ユーザのインシデント対応の内容を示すデータである。行動指示ＡＧＤは、例えば不足しているログデータＬＧＤの追加指示である。

図１０は、実施の形態３におけるインシデント対応支援装置の動作を示すフロー図、図１１は、実施の形態３に係るインシデント抽出処理の例を示す図であり、図１２は、実施の形態３に係る行動指示テーブルの例を示す図である。図１０において、図５と同一または相当部分については同一符号を付している。図１１に示すように、実施の形態３のインシデント抽出処理は「処理ＩＤ」、「比較式」、「参照式」及び「飛び先」の４つの要素を含んでいるが、実施の形態３のインシデント抽出処理では、ログが無かった場合などの飛び先として、行動指示テーブルの指示ＩＤも飛び先として設定されている。また、図１２に示すように、行動指示テーブルは、「指示ＩＤ」、ユーザへの指示として表示される文字列である「表示」、ユーザに期待する行動を示す「行動」、及びユーザの行動後に実行する処理・行動指示の処理ＩＤまたは行動指示ＩＤを示す「飛び先」の３つの要素を含んでいる。

インシデント抽出部１０４は、実施の形態１と同様に手順作成フローＦＬＷを取得した（ステップＳＴ１２）後、参照式のＳＱＬ文を実行することでログデータ取得部１０３に指示を出し、必要なログデータＬＧＤが全て取得可能かを確認する（ステップＳＴ３３１）。必要なログデータＬＧＤが全て取得可能であるときはステップＳＴ１３に進み、以降は実施の形態１と同様の処理を行う。

取得できないログデータＬＧＤがある場合、インシデント抽出部３０４は不足しているログデータＬＧＤの追加を指示する行動指示ＡＧＤを画面表示部１０７に出力し、行動指示ＡＧＤの内容を表示装置９４に表示させることでユーザに対してログデータＬＧＤの追加を指示する（ステップＳＴ３３２）。ユーザが指示されたログデータＬＧＤを入力すると、データ入力部３０８は入力されたログデータＬＧＤを入力データＩＮＰ２としてインシデント抽出部３０４に送信する。インシデント抽出部３０４は、ログデータＬＧＤの追加を確認してステップＳＴ１３に進む。以降の処理は実施の形態１と同様である。なお、実施の形態３では画面表示部１０７に行動指示ＡＧＤを表示させているが、画面表示部１０７とは別の表示部を設け、その表示部に行動指示ＡＧＤを表示させてもよい。

なお、図１２で示した行動指示は一例であり、他にも機器設定の変更指示やデータ入力指示を行動指示ＡＧＤとしてもよい。また、図１０で示した動作は一例であり、インシデント抽出部３０４から行動指示ＡＧＤを出さなくとも、ユーザからの入力に応じてその後の処理を変えてもよい。また、ユーザが行動指示通りの行動をとらなかった場合（行動指示通りの行動が確認されなかった場合）の処理を追加してもよい。

実施の形態３によれば、実施の形態１と同様の効果を得ることができる。

また、手順作成フローの処理を実行中にユーザからの入力を受け付けるデータ入力部を備えたことにより、ユーザの行動に応じたインシデント対応手順を作成することができ、より柔軟なインシデント対応をすることが可能となる。

また、インシデント抽出処理に行動指示テーブルを組み込み、インシデント情報の抽出に必要な行動を行動指示としてユーザに表示する構成としたので、インシデントの抽出に必要なログが不足している場合や機器設定の変更が必要な場合に、必要な行動をユーザに指示することが可能となった。このため、手順作成フローの開始後にログの不足などの不具合が判明した場合でも対応することができ、より確実にインシデントの抽出及びインシデント対応手順の作成を行うことができる。

なお、この発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略したりすることが可能である。

１０、３０ インシデント対応支援装置、９１ ＩＤＳ、９３ ＳＩＥＭ、１０１ アラート取得部、１０３ ログデータ取得部、１０４、３０４ インシデント抽出部、１０５ 対応手順書格納部、１０６ 対応手順作成部、１０７ 画面表示部、ＡＬＴ アラート、ＡＧＤ 行動指示、ＬＧＤ ログデータ、ＩＮＣ インシデント情報、ＩＮＰ２ 入力データ、ＴＭＰ 対応手順テンプレート、ＤＧＤ 表示対応手順

Claims (5)

1. 監視対象にインシデントが発生したことを示すインシデント検知情報を取得するインシデント検知情報取得部と、
   前記監視対象のログデータを取得するログデータ取得部と、
   前記インシデント検知情報及び前記ログデータに対してインシデント抽出処理を実行して、前記監視対象に発生したインシデントを特定するインシデント情報を抽出するインシデント抽出部と、
   前記インシデント情報及び予め作成された対応手順テンプレートに基づいて、前記監視対象に発生したインシデントに対応するインシデント対応手順を作成する対応手順作成部と、
   前記対応手順作成部により作成された前記インシデント対応手順を表示する表示部と
   を備え、
   前記インシデント抽出処理は、先に行われた比較処理の結果に応じて後に行われる比較処理の内容が変わる一連の比較処理により構成されており、
   前記対応手順作成部は、前記インシデント対応手順のうち前記表示部に表示させる範囲を前記監視対象に発生したインシデントへの対応の進捗状況に応じて選定し、前記表示部は、前記インシデント対応手順と前記進捗状況を合わせて表示することを特徴とするインシデント対応支援装置。
2. 前記インシデント抽出処理から前記インシデント対応手順の作成の間にユーザからの入力を受け付けるデータ入力部をさらに備え、前記インシデント抽出部及び前記対応手順作成部は、前記データ入力部からの入力に応じて処理を変更する請求項１に記載のインシデント対応支援装置。
3. 前記インシデント抽出部は、前記インシデント情報の抽出に必要な行動をユーザに指示する行動指示を表示させる請求項２に記載のインシデント対応支援装置。
4. 前記表示部は、前記インシデント抽出部が前記インシデント情報を抽出できなかった場合に、対応すべきインシデントが無い旨を表示する請求項１から３のいずれか１項に記載のインシデント対応支援装置。
5. 前記進捗状況は、前記監視対象の起動状況または前記監視対象のネットワーク接続状況から取得される請求項１から４のいずれか１項に記載のインシデント対応支援装置。

Images