JP2002135248A - ネットワーク監視方法、ネットワーク監視システム及びそのプログラムを記録した記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 本発明は、ネットワーク使用状況を監視して
ネットワーク不正侵入またはそのおそれを検知し、リア
ルタイムにシステム管理者に異常を知らせることのでき
るネットワーク監視方法、ネットワーク監視システム及
びそのプログラムを記録した記録媒体を提供することを
目的とする。 【解決手段】 ネットワークに対するユーザのイベント
をログデータとして収集し、収集されたログデータから
ユーザ毎に通常のネットワーク使用状況を表すプロファ
イルを生成し、新たに収集したログデータをプロファイ
ルとユーザ毎に照合し、新たに収集したログデータの照
合結果を表示することにより、表示される新たに収集し
たログデータの照合結果からネットワーク使用状況を監
視でき、ネットワーク不正侵入またはそのおそれを検知
することができ、リアルタイムに異常を知らせることが
できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワーク監視
方法、ネットワーク監視システム及びそのプログラムを
記録した記録媒体に関し、特に、ネットワークのアクセ
ス状況を監視してネットワーク不正侵入等を検知するネ
ットワーク監視方法、ネットワーク監視システム及びそ
のプログラムを記録した記録媒体に関する。

【０００２】

【従来の技術】従来より、ネットワークまたはネットワ
ークの構成機器に対し、ネットワークの外部または内部
から不正にアクセスするネットワーク不正侵入は社会的
問題となっており、ネットワーク不正侵入を検知できる
検知システムの登場が望まれている。上記のネットワー
ク不正侵入は年々増加しており、近年の調査によると、
外部犯行と共に、内部犯行によるネットワーク不正侵入
の被害件数も無視できないくらい多い。このため、侵入
検知への期待が高まっている。

【０００３】従来より、統計や機械学習を利用してシス
テムの正常な運用状態を把握し、例外を検出することに
より異常検知（ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ）
を行うという研究がある。この研究は、電話の詐欺を検
知するために普段の通話記録を機械学習によりルール化
し、モニタリングするというものである。

【０００４】また、ユーザのコマンドログに対してベイ
ジアンネットを利用して行動を分析する研究や、機械学
習によりコマンドログのシーケンスを解析する研究など
がある。

【０００５】

【発明が解決しようとする課題】しかし、既存の研究は
未だ検討段階であり、ネットワークシステムへの不正ア
クセスが行われた段階で、ネットワーク不正侵入を検知
してネットワーク管理者に異常を知らせるする具体的な
技術はなかった。

【０００６】本発明は、上記の点に鑑みなされたもの
で、ネットワーク使用状況を監視してネットワーク不正
侵入またはそのおそれを検知し、リアルタイムにシステ
ム管理者に異常を知らせることのできるネットワーク監
視方法、ネットワーク監視システム及びそのプログラム
を記録した記録媒体を提供することを目的とする。

【０００７】

【課題を解決するための手段】請求項１に記載の発明
は、ネットワークに対するユーザのイベントをログデー
タとして収集し、収集されたログデータからユーザ毎に
通常のネットワーク使用状況を表すプロファイルを生成
し、新たに収集したログデータを前記プロファイルとユ
ーザ毎に照合し、前記新たに収集したログデータの照合
結果を表示することにより、表示される新たに収集した
ログデータの照合結果からネットワーク使用状況を監視
でき、ネットワーク不正侵入またはそのおそれを検知す
ることができ、リアルタイムに異常を知らせることがで
きる。

【０００８】請求項２に記載の発明は、請求項１記載の
ネットワーク監視方法において、前記新たに収集したロ
グデータの照合結果に応じて前記ログデータの表示形態
を異ならせて表示することにより、ログデータの表示形
態から視覚的にネットワーク使用状況をリアルタイムに
監視できネットワーク不正侵入を検知することができ
る。

【０００９】請求項３に記載の発明は、ネットワークに
対するユーザのイベントをログデータとして収集してデ
ータベースに格納する収集手段と、前記データベースに
格納されているログデータからユーザ毎に通常のネット
ワーク使用状況を表すプロファイルを生成するプロファ
イル生成手段と、前記収集手段で新たに収集したログデ
ータを前記プロファイルとユーザ毎に照合する照合手段
と、前記新たに収集したログデータの照合結果を表示す
る表示手段とを有することにより、表示される新たに収
集したログデータの照合結果からネットワーク使用状況
を監視でき、ネットワーク不正侵入またはそのおそれを
検知することができ、リアルタイムに異常を知らせるこ
とができる。

【００１０】請求項４に記載の発明は、請求項３記載の
ネットワーク監視システムにおいて、前記表示手段は、
前記新たに収集したログデータの照合結果に応じて前記
ログデータの表示形態を異ならせることにより、ログデ
ータの表示形態から視覚的にネットワーク使用状況をリ
アルタイムに監視でき、ネットワーク不正侵入として検
知されたログデータのチェックを容易に行うことができ
る。

【００１１】請求項５に記載の発明は、請求項３または
４記載のネットワーク監視システムにおいて、前記表示
手段は、収集したログデータを、ユーザ毎に、かつ、時
間の推移に応じて２次元的に表示することにより、大量
のログデータの全貌を表示することが可能となる。

【００１２】請求項６に記載の発明は、請求項３乃至５
のいずれか記載のネットワーク監視システムにおいて、
前記プロファイル生成手段は、パラメータ自動調整機能
を持つＩＬＰシステムで構成されることにより、最良の
性能パラメータ値を示すエラー率を用いて学習した結果
の集合をプロファイルとして得ることができる。

【００１３】請求項７に記載の発明は、コンピュータ
を、ネットワークに対するユーザのイベントをログデー
タとして収集してデータベースに格納する収集手段と、
前記データベースに格納されているログデータからユー
ザ毎に通常のネットワーク使用状況を表すプロファイル
を生成するプロファイル生成手段と、前記収集手段で新
たに収集したログデータを前記プロファイルとユーザ毎
に照合する照合手段と、前記新たに収集したログデータ
の照合結果を表示する表示手段として機能させるための
プログラムを記録したコンピュータ読み取り可能な記録
媒体を用いることにより、表示される新たに収集したロ
グデータの照合結果からネットワーク使用状況を監視で
き、ネットワーク不正侵入またはそのおそれを検知する
ことができ、リアルタイムに異常を知らせることができ
る。

【００１４】

【発明の実施の形態】図１は、本発明のネットワーク監
視システムが構築されるコンピュータシステムの一実施
例のブロック構成図を示す。同図中、ＣＰＵ１０はシス
テム全体の制御を司る。ＣＤ（コンパクトディスク）装
置１２にセットされて再生されるＣＤには、ＣＰＵ１０
で実行されるログチェッカー，プロファイリングエンジ
ン，ビジュアルブラウザ等のプログラムが格納されてい
る。ハードディスク装置１４にはブーツストラッププロ
グラムやシステムプログラムが格納される他に、ログデ
ータベースが格納される。また、ＲＯＭ１６には立ち上
げ時にハードディスク装置１４からブートストラッププ
ログラムやシステムプログラムを読み込むためのプログ
ラムが格納されている。

【００１５】ＲＡＭ１８は、ＣＰＵ１０が実行するプロ
グラムを一時記憶したり、演算結果を記憶するするため
の作業領域として使用される。通信装置２０はＬＡＮや
インターネット等のネットワークに接続する。ディスプ
レイ装置２２はディスプレイ表示を行い、プリンタ２４
は処理結果等をプリントアウトする。また、入力装置２
６としてコマンド等を入力するキーボードと、表示画面
におけるカーソル移動やクリックを行うためのマウス等
が設けられ、出力装置２７として発音のためのスピーカ
が設けられている。上記の各装置間はシステムバス２８
により接続されている。

【００１６】図２は、本発明のネットワーク監視システ
ムのシステムアーキテクチャの一実施例のブロック図を
示す。本発明システムは、ログチェッカー３０、ログデ
ータベース３２、プロファイリングエンジン３４、及び
ビジュアルブラウザ３６から成る。ログチェッカー３０
は、通信装置２０が接続されたネットワーク上を流れる
ユーザイベントを常時モニタリングして、そのユーザイ
ベントをログデータとして収集しログデータベース３２
に格納する。ログデータベース３２に収集されたログデ
ータはプロファイリングエンジン３４、及びビジュアル
ブラウザ３６によって参照される。

【００１７】プロファイリングエンジン３４は、各ユー
ザの通常の振る舞いを表すプロファイルを生成する。こ
のプロファイルの生成には、帰納論理プログラミング
（ＩＬＰ：Ｉｎｄｕｃｔｉｖｅ Ｌｏｇｉｃ Ｐｒｏｇ
ｒａｍｍｉｎｇ）を利用する。生成されたプロファイル
は、ログチェッカー３０およびビジュアルブラウザ３６
に送られる。

【００１８】ログチェッカー３０はこのプロファイルを
利用し、ユーザのイベントをプロファイルと照合する。
プロファイルに当てはまらないイベントは、そのユーザ
の通常の利用とは異なるため、不正なイベント即ちネッ
トワーク不正侵入として検知され、検知情報がビジュア
ルブラウザ３６に通知される。

【００１９】ビジュアルブラウザ３６は、ログデータベ
ース３２からログデータを取得し、ログデータそのもの
を表示すると共に、通常のイベントのログか、もしく
は、不正なイベントのログかの分類を表示形態を変える
ことにより視覚的に表現する。また、システム管理者は
ビジュアルブラウザ３６を利用してイベントやプロファ
イルを編集することが可能である。これは、不正なイベ
ントだけを検知するための完全なプロファイルの生成が
困難であるため、システム管理者がイベントまたはプロ
ファイルを編集するために必要となる。

【００２０】現実的には、不正なイベントは必ず検知す
るが、まれに正常なイベントを不正なイベントとして検
知する程度のプロファイルをプロファイリングエンジン
３４で生成する。この場合、システム管理者はネットワ
ーク侵入等の不正なイベントとして検知されたイベント
が本当に不正なものかどうかをチェックする必要がある
が、ビジュアルブラウザ３６ではログデータを視覚的に
表現するため、上記チェック作業が容易になる。ここ
で、対象とするユーザのイベントのログデータとして
は、ユーザ名（ｗｈｏ）、マシン名（ｗｈｅｒｅ）、イ
ベント名（ｗｈａｔ）、イベント引数（ｈｏｗ）、イベ
ント実行時刻（ｗｈｅｎ）が上げられる。これは、どの
ユーザが、いつ、どこで、何を、どのように実行したか
を表すものである。なお、ログデータとして、この５つ
の情報は必要不可欠ではなく、いずれかの情報を含んで
いれば利用可能である。

【００２１】ビジュアルブラウザ３６は、ログデータの
効率的な閲覧を可能とし、システム管理者に対して、視
覚的にログのデータ構造を示すもので、通常のユーザの
利用状況の把握や、ログチェッカー３０がネットワーク
不正侵入を検知した場合に、どのようなイベントを実行
したかの痕跡を発見し易くする。ビジュアルブラウザ３
６は、ディスプレイ装置２２に、図３に示すログブラウ
ザパネル、図４に示すプロパティパネル、図５に示すビ
ジュアライズパネル、図６に示すプロファイルパネル、
それぞれを表示する。

【００２２】図３は、ログブラウザパネルの一実施例を
示す。同図中、ログ表示部４０に複数のログを行単位で
表示する。また、テキストフィールド４２に、ログデー
タベース３２からログを取得する際の検索条件を記入す
る。この実施例では、ユーザ名「ｈｉｒａｉｓｈｉ」か
つ、ホスト名「ｉｍｃｔ４５１」の検索条件を満足する
ログデータの取得することを指示している。テキストフ
ィールド４２に記入された「＆」は論理積を表すが、
「＆」の代わりに「｜」を用いて論理和を指示すること
も可能である。

【００２３】Ｇｅｔボタン４３は、テキストフィールド
４２に記入した条件によるログデータの取得を指示す
る。また、Ｃｌｅａｒボタン４４は、テキストフィール
ド４２のクリアを指示する。Ｂａｃｋボタン４５はＧｅ
ｔボタン４３をクリックする一つ前に表示したログデー
タをログ表示部４０表示させることを指示する。ところ
で、テキストフィールド４２に未記入の状態でＧｅｔボ
タン４３をクリックすると、後述するプロパティパネル
で設定された条件に相当するログデータが取得されてロ
グ表示部４０に表示される。なお、テキストフィールド
４２、Ｇｅｔボタン４３、Ｃｌｅａｒボタン４４、Ｂａ
ｃｋボタン４５は、ログブラウザパネルだけでなくプロ
パティパネル、ビジュアライズパネル、プロファイルパ
ネルにも共通に表示される。

【００２４】ログ表示部４０には、ログデータベース３
２から取得した複数のログを行単位で表示される。各行
左端の第１カラムにはユーザ名、第２カラムにはホスト
名、第３カラムには実行したコマンド及びその引数、右
端の第４カラムには実行した日付と時刻が表示される。
また、ログ表示部４０に表示されているユーザ名やホス
ト名をマウスで選択してクリックすると、選択されたユ
ーザ名やホスト名がテキストフィールド４２にコピーさ
れ、自動的に項目（ユーザ名やホスト名）に関連するロ
グデータがデータベース３２から取得される。このよう
にして、マウス操作によるログのブラウジングを可能と
している。

【００２５】ところで、ログチェッカー３０によって、
不正なイベントの通知があった場合には、ビジュアルブ
ラウザ３６はカッコーアイコン４６が動かし、カッコー
の鳴き声をスピーカより発音することによって、不正な
イベントが発生したことをシステム管理者に通知する。
また、不正なイベントに対応するログデータを例えば赤
い文字で表示する。このように、視覚と聴覚によって、
システム管理者に対し不正なイベント発生の通知が行わ
れる。

【００２６】図４は、プロパティパネルの一実施例を示
す。同図中、指定欄５０ではログデータを取得する期間
（デフォルト値）を指定する。指定欄５２では、ログ表
示部４０に表示されているユーザ名やホスト名等の項目
をクリックしてテキストフィールド４２にコピーする際
に、複数の項目の論理積と論理和のいずれを用いるかを
設定する。指定欄５４ではログデータを取得するタイミ
ングを指定する。また、指定欄５６ではログチェッカー
３０との通信を行うためにログチェッカー３０のＩＰア
ドレス及びポート番号を指定する。

【００２７】同様に、プロファイリングエンジン３４の
ＩＰアドレス及びポート番号を指定するための図示され
てない欄も設けられている。上記のログチェッカー３０
やプロファイリングエンジン３４のＩＰアドレス及びポ
ート番号の指定は、ログチェッカー３０やプロファイリ
ングエンジン３４がビジュアルブラウザ３６とは異なる
コンピュータで動作する場合に必要となるものであっ
て、図１に示すように、ログチェッカー３０やプロファ
イリングエンジン３４がビジュアルブラウザ３６と同一
のＣＰＵで動作する場合には必要ない。

【００２８】図５は、ビジュアライズパネルの一実施例
を示す。ビジュアライズパネルの最も重要な役割はマシ
ンやネットワークの状態を容易に理解させることにあ
る。図５において、ワイヤフレームによる楕円球６０
は、縦軸にユーザ名及びマシン名からなる属性が表現さ
れ、横軸の左から右に時間の推移が表現された２次元構
成である。縦横の線で区画された各セルには、ユーザが
実行したコマンド（ログデータのコマンド）が表示され
る。

【００２９】楕円球６０の中央に向かうほどセルの表示
領域は大きく、外枠に近くなるにつれてセルの表示領域
は小さくなる。このため、外枠に近づくにつれて表示は
小さくなるが、一度に大量のログデータの全貌を表示す
ることが可能である。また、任意のセルをマウスでドラ
ッグすることによって、楕円球６０を上下左右に回転す
るようにスクロールさせることによって、目的の属性
（ユーザ及びマシン）及び時間の推移に沿ってログデー
タの内容を見ることが可能である。この時、楕円球６０
の中央に位置するログデータの属性が左端部に選択ログ
属性６２として表示され、また、楕円球６０の中央に位
置するログデータのコマンドの実行時刻が下端部にコマ
ンド実行時刻６４として表示される。

【００３０】また、新たなログデータが得られた場合に
は、最新のログデータを楕円球６０の中央のセル６０ａ
に表示するように、自動的にスクロールが行われる。図
５に示す例は、楕円球６０は中央のセル６０ａに表示さ
れているログデータ「ｌｓ」が得られスクロールされた
状態を表している。

【００３１】更に、大量のログデータの中で、不正なイ
ベントのログデータの発見を容易にするため、ログデー
タのコマンドに対して以下の4 つのカテゴリに分類を行
い、カテゴリによって表示するセルの色分けを行う。

【００３２】第１のカテゴリは、Ｕｎ−ｒｕｌｅｄコマ
ンドであり赤で表示する。このカテゴリは最も危険なカ
テゴリであり、当該属性のプロファイルに適合しないコ
マンド群である。つまり、このカテゴリに含まれるコマ
ンドは、ユーザが本来実行しないコマンドであるため、
そのユーザになりすましたネットワーク不正侵入者によ
って、実行されたコマンドである可能性が高い。

【００３３】第２のカテゴリは、Ｄａｎｇｅｒコマンド
であり黄で表示する。このカテゴリには、ネットワーク
に関連するコマンドや、システム管理者用のコマンドが
属し、例えばｓｕ，ｆｉｎｇｅｒ，ｆｔｐ，ｔｅｌｎｅ
ｔ，ｒｌｏｇｉｎ，ａｌｉａｓ，ｃｏｎｆｉｇｕｒｅ，
ｎｍａｐ等のコマンドである。これらのコマンドは、ネ
ットワークヘの不正侵入や、パスワードデータを盗み見
るために利用されるものである。

【００３４】第３のカテゴリは、Ｓａｆｅｔｙコマンド
であり青で表示する。このカテゴリは、当該属性のプロ
ファイルに適合するコマンドや間違いなく安全なコマン
ドがこのカテゴリに含まれ、例えばｌｓ，ｃｄ，ｊｌａ
ｔｅｘ，ｊａｖａ等のコマンドである。

【００３５】第４のカテゴリは、Ｕｎｋｎｏｗｎコマン
ドであり緑で表示する。このカテゴリは上記第１〜第３
のカテゴリに属さないコマンド群である。これは、多く
の場合タイプミスされたコマンドや、ユーザが独自に作
成したマクロのコマンドが含まれる。この第４のカテゴ
リも、ネットワーク不正侵入者によって作成されたコマ
ンドの可能性は高い。

【００３６】大量のログデータを図５の楕円球６０に表
示した場合、外枠に近いものの内容の表示は不可能であ
るが、色の表示は可能である。したがって、上記のよう
にカテゴリ毎にセルの色分けを行えば、色の表示をみる
だけで不正なイベントを発見することが可能である。さ
らに、発見したセルをドラッグして楕円球６０の中央位
置に移動させることでログデータの内容を読み取ること
ができ、何が実行されたのかを把握することが可能であ
る。

【００３７】例えば、システム管理者は、重要度の高い
順に、例えば、赤色、黄色、緑色のセルに注目し、その
色のセルが存在する場合には、その内容のチェックを行
う。これによって、システム管理者は大量なログデータ
を視覚的に理解し、その内容を確認することが可能とな
る。

【００３８】なお、カテゴリに応じて色を異ならせる以
外に、文字のフォントを異ならせたり、点滅間隔を異な
らせる等の、他の表示形態を異ならせる方法を採用して
も良い。

【００３９】図６は、プロファイルパネルの一実施例を
示す。同図中、プロファイル表示部７０には、プロファ
イリングエンジン３４によって生成されたプロファイル
がユーザ毎にリストとして表示される。このリストはプ
ロファイルを構成するルールを行毎に表示している。

【００４０】図６に示す例では、第１行の記述「−−−
ｈｉｒａｉｓｈｉ−−−」がユーザ名を表している。リ
ストの第２行の記述「＊，ｊａｖａ，」における「＊」
は全てに当てはまることを示すワイルドカードであり、
このユーザは「ｊａｖａ」というコマンドをマシンに関
係なく利用するというルールである。以降の行にそのユ
ーザの通常のコマンドのルールが続いて表示されてい
る。第５行の記述は、このユーザはマシン名「ｉｍｃｔ
−ｒ０３」で、コマンド「ｋｔｅｒｍ」を実行し、その
とき、引数の一番目に「＆」“を指定するというルール
である。第２行以降の各ルールは論理和の関係となる。

【００４１】プロファイリングエンジン３４によって生
成されるプロファイルは完全ではないため、プロファイ
ル表示部７０では、各行のルールを編集したり、新たな
ルールの追加やルールの削除が可能である。また、ボタ
ン７２をクリックすることで全てのユーザについての新
たなプロファイルをプロファイリングエンジン３４から
取得する。また、欄７４によって、新たなプロファイル
をプロファイリングエンジン３４から取得するタイミン
グ（図示の例では６０秒毎に取得）を設定することがで
きる。

【００４２】プロファイリングエンジン３４では帰納論
理プログラミング（ＩＬＰ）システムを利用する。ＩＬ
Ｐシステムは、機械学習の一つの手法であり、一階述語
論理に基づいた例からの関係学習、更に、逐次的な処理
が可能なシステムである。そして、ＩＬＰは次のような
フレームワークに基づいている。正事例Ｅ^＋、負事例Ｅ
⁻、それらを説明する背景知識Ｂを与えたとき、（１）
式により正事例を含み、（２）式により負事例を排除す
る仮説Ｈを仮説探索により見つける。

【００４３】

【数１】 ＩＬＰでは、ユーザが与えた宣言情報を利用して述語を
結合する。これは、規則にのっとって関係データベース
内の複数テーブルを結合するのと等しい。これは、従っ
て、このテーブルに複数のログデータを格納し、そこか
ら規則を導出する。本実施例では汎用性を考え、そのＩ
ＬＰシステムをＪａｖａ言語によって実装する。

【００４４】ここでは、仮説生成を行なうとき、入出力
モードと変数結合の深さを利用して、最も特殊な節をま
ず求める。そして、最も一般的な仮説から最も特殊な仮
説（ボトム節) に向けて仮説を徐々に特殊化する。この
時、仮説における正事例の包含率と仮説の長さを目的関
数とし、含んでもよい負事例の割合（エラー率) を制約
条件として与え、この目的関数が最大となる仮説を最良
仮説、即ちルールとする。このように、ＩＬＰシステム
は、学習時に負事例をどの程度含んでもよいかというエ
ラー率を設定しなければならない。その設定次第でルー
ルの性能が左右される。

【００４５】ここで、得られたルールが正事例と負事例
をどの程度正しく説明できるかを示す精度（Ａｃｃｕｒ
ａｃｙ）、正と判別する規則が正事例をどの程度判別で
きるかを示す感度（Ｓｅｎｓｉｔｉｖｉｔｙ）、負と判
別する規則が負事例をどの程度判別できるかを示す特殊
性（Ｓｐｅｃｉｆｉｃｉｔｙ）の３種類の性能パラメー
タを次のように定義する。

【００４６】正事例Ｅ^＋が仮説Ｈで正として判断するＴ
Ｐ（Ｔｒｕｅ Ｐｏｓｉｔｉｖｅ）と仮説Ｈで負として
判断するＦＮ（Ｆａｌｓｅ Ｎｅｇａｔｉｖｅ）とから
なり、負事例Ｅ⁻が仮説Ｈで正として判断するＦＰ（Ｆ
ａｌｓｅ Ｐｏｓｉｔｉｖｅ）と仮説Ｈで負として判断
するＴＮ（Ｔｒｕｅ Ｎｅｇａｔｉｖｅ）とからなると
き、性能パラメータは次の式で表される。

【００４７】感度＝ＴＰ／Ｅ^＋ 特殊性＝ＴＮ／Ｅ⁻ 精度＝（ＴＰ＋ＴＮ）／（Ｅ^＋＋Ｅ⁻） これらの性能パラメータは、リサンプリング手法により
求まる。そして、指定した性能パラメータを最大化し、
指定されなかった残りの性能パラメータを制約条件とし
て定義する。この時、性能パラメータの特徴として、エ
ラー率を大きくすると感度はよくなり精度は悪くなる傾
向がある。そこで、エラー率と各性能パラメータの関係
を考慮に入れた探索により、最良の性能パラメータ値を
示すエラー率を求める。その時のエラー率を用いて学習
した結果の集合をプロファイルとする。

【００４８】図７は、プロファイリングエンジン３４内
のＩＬＰシステムが実行するエラー率自動調整処理の一
実施例のフローチャートを示す。

【００４９】同図中、ステップＳ１０でシステム管理者
は最大化したい性能パラメータを決め、制約条件として
残り２つの性能パラメータ値を与える。ステップＳ１２
で停止条件を満足したか否かを判別して、停止条件を満
足しない場合は、ステップＳ１４に進む。ここではクロ
スバリデーションやブートストラップのようなリサンプ
リング処理により訓練集合とテスト集合を作成する。

【００５０】次に、ステップＳ１６でＩＬＰシステムは
訓練集合を学習し、それをテストして３つの性能パラメ
ータを求める。そして、ステップＳ１８でシステム管理
者が指定した制約条件を２つの性能パラメータが満足し
ているかどうかを確認する。ここで、満足している場合
は、ステップＳ２０の調整プロセスに進んで、最大化し
たい性能パラメータが最大になるようにエラー率を更新
してステップＳ１２に進みステップＳ１２〜Ｓ１８を繰
り返す。

【００５１】一方、ステップＳ１８で制約条件を満足し
ている場合には、ステップＳ２２の最大化プロセスに進
んで最大化したい性能パラメータが最大になるようにエ
ラー率を更新してステップＳ１２に進みステップＳ１２
〜Ｓ１８を繰り返す。そして、最大化したい性能パラメ
ータの値に変動がなくなると、ステップＳ１２で停止条
件を満足してこの処理を終了する。

【００５２】上記の処理によって、ログデータベース３
２のログイン状況とコマンドログを取得することによ
り、例えば次に示すようなルールが作成される。

【００５３】ｕｓｅｒ＿Ａ（Ｘ）：−ｌｏｇｉｎ
（Ｘ，’’ｉｍｃｔＸ’’，Ｙ），ｔｙｐｅ（Ｙ，’’
ｌｐｒ、ｐｉｍｃ３，３’’）． このルールは、ホスト名ｉｍｃｔＸではユーザＡはプリ
ンタ利用のコマンドｌｐｒをタイプし、そのとき第３引
数にネットワークプリンタを指定するｐｉｍｃ３を用い
ることを表している。このようなルールの集合をあるカ
テゴリのプロファイル集合とする。

【００５４】ログデータベース３２では、ファイルと関
係データベースとを利用してログデータの管理を行う。
関係データベースは例えば、「ＩＤ（識別番号）、ユー
ザ名、ホスト名、タイプされたコマンド（引数を含
む）、タイプされたコマンド（引数を含まない）、タイ
プされた時刻」のテーブルと、「ＩＤ、タイプされたコ
マンド（引数を含む）、コマンド引数」のテーブルとの
２つのテーブルから構成する。また、ファイルは例え
ば、上記関係データベースの各テーブルを１つのファイ
ルとして、その中にＣＳＶ（Ｃｏｍｍａ Ｓｅｐａｒａ
ｔｅｄ Ｖａｌｕｅ）形式で上記関係データベースと同
一データを格納する。

【００５５】このように、ファイルと関係データベース
を用いるのは、関係データベースが利用できない環境で
あっても、ファイルを利用できるようにしておくためで
あり、ファイルと関係データベースのいずれか一方だけ
を利用するものであっても良い。

【００５６】関係データベース、ファイル共に、関係デ
ータベースを演算するための言語であるＳＱＬ（Ｓｔｕ
ｒａｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ）を
用いて演算を行い、ログデータの加工と検索を行なう。
図８に示すように、ビジュアルブラウザ３６のログブラ
ウザパネル、プロパティパネル、ビジュアライズパネ
ル、プロファイルパネルそれぞれは、必要な情報をログ
データベース３２から取得するときに、演算要求「クエ
リ」をログデータベース３２に供給して、ログデータの
加工及び検索を行い、その演算結果を得て、上記の各パ
ネルに表示する。また、プロファイリングエンジン３４
は、プロファイルを作成する際の関係抽出や仮説の包含
数を導出するときに、そのための演算要求をログデータ
ベース３２に供給してログデータベース３２を利用す
る。ログチェッカー３０は、分散型のログ収集を行な
う。この場合、ログチェッカー３０は、図９に示すよう
に、ログ収集サーバ８０と複数のモニタエージェント８
２ａ〜８２ｘとからなる。対象としたいログ（ユーザ名
やホスト名）が決まれば、対象のログを監視するモニタ
エージェントを作成し、それにログを監視させる。ここ
でいう監視とは、ログの収集及びプロファイルとの照合
による検知である。

【００５７】ログの収集では、各モニタエージェント８
２ａ〜８２ｘが収集したログをログ収集サーバ８０から
例えばＴＣＰ／ＩＰ接続を利用してログデータベース３
２の対象ファイル、または、対象関係データベースに付
け加える。プロファイルとの照合による検知では、各モ
ニタエージェント８２ａ〜８２ｘは、プロファイリング
エンジン３４で作成されたプロファイルと得られたログ
を照合し、そのログが異常の有無を示すフラグ等の検知
情報をビジュアルブラウザ３６に供給する。

【００５８】図１０は、ログチェッカー３０が実行する
処理の一実施例のフローチャートを示す。同図中、ステ
ップＳ３０でネットワーク上を流れるログデータを取得
する。次に、ステップＳ３２で取得したログデータをロ
グデータベース３２に送信する。ステップＳ３４では取
得したログデータをプロファイリングエンジン３４から
供給されている対応するプロファイルと照合して、異常
なログか否かを判別する。ここで、異常と判別されると
ステップＳ３６で異常なログデータをビジュアルブラウ
ザ３６に送信してステップＳ３０に進み、異常がないと
判別されるとそのままステップＳ３０に進んで、上記の
処理を繰り返す。

【００５９】図１１は、ログデータベース３２が実行す
る処理の一実施例のフローチャートを示す。同図中、ス
テップＳ４０でログチェッカー３０から送信されたログ
データを受信し、ステップＳ４２でこのログデータを保
存する。次に、ステップＳ４４でプロファイリングエン
ジン３４からログ取得要求があるか否かを判別する。ロ
グ取得要求があった場合はステップＳ４６でログ取得要
求があったログデータをプロファイリングエンジン３４
に送信してステップＳ４８に進む。ログ取得要求がなか
った場合はそのままステップＳ４８に進む。

【００６０】ステップＳ４８ではビジュアルブラウザ３
６からログ取得要求があるか否かを判別する。ログ取得
要求があった場合はステップＳ４９でログ取得要求があ
ったログデータをビジュアルブラウザ３６に送信してス
テップＳ４０に進む。ログ取得要求がなかった場合はそ
のままステップＳ４０に進んで、上記の処理を繰り返
す。

【００６１】図１２は、ビジュアルブラウザ３６が実行
する処理の一実施例のフローチャートを示す。同図中、
ステップＳ５０でログチェッカー３０またはログデータ
ベース３２から送信されたログデータ、またはプロファ
イリングエンジン３４から送信されたプロファイルを受
信する。次に、ステップＳ５２で受信したログデータは
異常なログであるか否かを判別する。異常なログであれ
ばステップＳ５４で警報を鳴らし、ステップＳ５６に進
む。異常なログでなければそのままステップＳ５６に進
む。ステップＳ５６ではログデータの分類及び表示を行
い、ステップＳ５０に進んで、上記の処理を繰り返す。

【００６２】図１３は、ステップＳ５６で実行されるロ
グデータの分類及び表示処理の一実施例のフローチャー
トを示す。同図中、ステップＳ６０でログチェッカー３
０から送信されたログデータのコマンドを、そのログデ
ータのユーザ名に対応するプロファイルと照合して照合
できたか否かを判別する。照合できなかったログデータ
のコマンドについてはＵｎ−ｒｕｌｅｄコマンドである
ので、ステップＳ６２に進んで赤で表示を行う。

【００６３】照合できたログデータのコマンドについて
はステップＳ６４で、ｓｕ，ｆｉｎｇｅｒ，ｆｔｐ，ｔ
ｅｌｎｅｔ，ｒｌｏｇｉｎ，ａｌｉａｓ，ｃｏｎｆｉｇ
ｕｒｅ，ｎｍａｐ等のＤａｎｇｅｒコマンドと一致する
か否かによりＤａｎｇｅｒコマンドに分類されるか否か
を判別し、Ｄａｎｇｅｒコマンドに分類されると、ステ
ップＳ６６に進んで黄で表示を行う。

【００６４】Ｄａｎｇｅｒコマンドに分類されないログ
データのコマンドについてはステップＳ６８で、ｌｓ，
ｃｄ，ｊｌａｔｅｘ，ｊａｖａ等のＳａｆｔｙコマンド
と一致するか否かによりＳａｆｔｙコマンドに分類され
るか否かを判別し、Ｓａｆｔｙコマンドに分類される
と、ステップＳ７０に進んで青で表示を行う。Ｓａｆｔ
ｙコマンドに分類されないログデータのコマンドについ
てはステップＳ７２でＵｎｋｎｏｗｎコマンドに分類し
て緑で表示を行う。

【００６５】図１４は、プロファイリングエンジン３４
が実行する処理の一実施例のフローチャートを示す。同
図中、ステップＳ８０でログデータベース３２に対し任
意のユーザ名に対応する過去の全てのログデータの送信
要求を行い、これによりログデータベース３２から送信
されたログデータを受信する。次に、ステップＳ８２で
受信した任意のユーザ名に対応する過去の全てのログデ
ータからプロファイルを作成する。

【００６６】この後、ステップＳ８４で作成したプロフ
ァイルをログチェッカー３０に送信し、ステップＳ８６
で作成したプロファイルをビジュアルブラウザ３６に送
信したのち、ステップＳ８０に進んで、上記の処理を繰
り返す。

【００６７】ここで、ユーザ名「ｙｏｓｈｉｉ」に対応
して、図１５に示すログデータがログデータベース３２
に格納されているものとする。図１５では、各２行で１
つのコマンドを表す。第１行の「＋０９６４６１５６５
８」はコマンドの実行時間であり、「ｉｍｃｔｕｔ０
１」は実行マシン名であり、第２行の「ｊｌａｔｅｘ
ａ．ｔｅｘ」は実行コマンドである。この場合、プロフ
ァイリングエンジン３４は、図１５に示すログデータか
ら図１６に示すプロファイルを生成する。

【００６８】図１６に示すユーザ名「ｙｏｓｈｉｉ」の
プロファイルにおいて、第２行のプロファイル「＊，ｊ
ｌａｔｅｘ，＊」は、図１５の第１，２行のログデータ
と第７，８行のログデータから生成され、両ログデータ
のマシン名，引数が異なるため、単にｊｌａｔｅｘとい
うコマンドを利用する、といった意味のプロファイルで
ある。図１６の第３行のプロファイルは、図１５の第
３，４行のログデータと第９，１０行のログデータから
生成されている。

【００６９】図１６の第４行のプロファイルは、図１５
の第５，６行のログデータと第１１，１２行のログデー
タから生成され、両ログデータともマシン名はｉｍｃｔ
ｕｔ０２で、１番目の引数に−Ｐｉｍｃ３が指定されて
いるので、ｌｐｒというコマンドをｉｍｃｔｕｔ０２と
いうマシンで引数の１番目に−Ｐｉｍｃ３を利用する、
といった意味のプロファイルである。

【００７０】上記のプロファイルが得られた後、図１７
に示すログデータが新たに得られた場合について説明す
る。図１７の第１，２行のログデータ及び第３，４行の
ログデータはプロファイル「＊，ｊｌａｔｅｘ，＊」に
一致するためログチェッカー３０では正常と判別され
る。

【００７１】図１７の第５，６行のログデータはプロフ
ァイル「＊，ｄｖｉ２ｐｓ，＊」に一致するためログチ
ェッカー３０では正常と判別される。図１７の第７，８
行のログデータはプロファイル「ｉｍｃｔｕｔ０２，ｌ
ｐｒ，−Ｐｉｍｃ３，１」に対し、１番目の引数−Ｐｉ
ｍｃ３が異なるためログチェッカー３０では異常と判別
され、この第７，８行のログデータはビジュアルブラウ
ザ３６に送信される。

【００７２】

【発明の効果】上述の如く、請求項１に記載の発明は、
ネットワークに対するユーザのイベントをログデータと
して収集し、収集されたログデータからユーザ毎に通常
のネットワーク使用状況を表すプロファイルを生成し、
新たに収集したログデータを前記プロファイルとユーザ
毎に照合し、前記新たに収集したログデータの照合結果
を表示することにより、表示される新たに収集したログ
データの照合結果からネットワーク使用状況を監視で
き、ネットワーク不正侵入またはそのおそれを検知する
ことができ、リアルタイムに異常を知らせることができ
る。

【００７３】請求項２に記載の発明は、新たに収集した
ログデータの照合結果に応じて前記ログデータの表示形
態を異ならせて表示することにより、ログデータの表示
形態から視覚的にネットワーク使用状況をリアルタイム
に監視できネットワーク不正侵入を検知することができ
る。

【００７４】請求項３に記載の発明は、ネットワークに
対するユーザのイベントをログデータとして収集してデ
ータベースに格納する収集手段と、前記データベースに
格納されているログデータからユーザ毎に通常のネット
ワーク使用状況を表すプロファイルを生成するプロファ
イル生成手段と、前記収集手段で新たに収集したログデ
ータを前記プロファイルとユーザ毎に照合する照合手段
と、前記新たに収集したログデータの照合結果を表示す
る表示手段とを有することにより、表示される新たに収
集したログデータの照合結果からネットワーク使用状況
を監視でき、ネットワーク不正侵入またはそのおそれを
検知することができ、リアルタイムに異常を知らせるこ
とができる。

【００７５】請求項４に記載の発明では、表示手段は、
前記新たに収集したログデータの照合結果に応じて前記
ログデータの表示形態を異ならせることにより、ログデ
ータの表示形態から視覚的にネットワーク使用状況をリ
アルタイムに監視でき、ネットワーク不正侵入として検
知されたログデータのチャックを容易に行うことができ
る。

【００７６】請求項５に記載の発明では、表示手段は、
収集したログデータを、ユーザ毎に、かつ、時間の推移
に応じて２次元的に表示することにより、大量のログデ
ータの全貌を表示することが可能となる。

【００７７】請求項６に記載の発明では、プロファイル
生成手段は、パラメータ自動調整機能を持つＩＬＰシス
テムで構成されることにより、最良の性能パラメータ値
を示すエラー率を用いて学習した結果の集合をプロファ
イルとして得ることができる。

【００７８】請求項７に記載の発明は、コンピュータ
を、ネットワークに対するユーザのイベントをログデー
タとして収集してデータベースに格納する収集手段と、
前記データベースに格納されているログデータからユー
ザ毎に通常のネットワーク使用状況を表すプロファイル
を生成するプロファイル生成手段と、前記収集手段で新
たに収集したログデータを前記プロファイルとユーザ毎
に照合する照合手段と、前記新たに収集したログデータ
の照合結果を表示する表示手段として機能させるための
プログラムを記録したコンピュータ読み取り可能な記録
媒体を用いることにより、表示される新たに収集したロ
グデータの照合結果からネットワーク使用状況を監視で
き、ネットワーク不正侵入またはそのおそれを検知する
ことができ、リアルタイムに異常を知らせることができ
る。

【図面の簡単な説明】

【図１】本発明のネットワーク監視システムが構築され
るコンピュータシステムの一実施例のブロック構成図で
ある。

【図２】本発明のネットワーク監視システムのシステム
アーキテクチャの一実施例のブロック図である。

【図３】ログブラウザパネルの一実施例を示す図であ
る。

【図４】プロパティパネルの一実施例を示す図である。

【図５】ビジュアライズパネルの一実施例を示す図であ
る。

【図６】プロファイルパネルの一実施例を示す図であ
る。

【図７】プロファイリングエンジン３４内のＩＬＰシス
テムが実行するエラー率自動調整処理の一実施例のフロ
ーチャートである。

【図８】ビジュアルブラウザ３６及びプロファイリング
エンジン３４によるログデータベース３２の利用を説明
するための図である。

【図９】分散型のログ収集を行なうログチェッカー３０
の構成を説明するための図である。

【図１０】ログチェッカー３０が実行する処理の一実施
例のフローチャートである。

【図１１】ログデータベース３２が実行する処理の一実
施例のフローチャートである。

【図１２】ビジュアルブラウザ３６が実行する処理の一
実施例のフローチャートである。

【図１３】ステップＳ５６で実行されるログデータの分
類及び表示処理の一実施例のフローチャートである。

【図１４】プロファイリングエンジン３４が実行する処
理の一実施例のフローチャートである。

【図１５】ログデータベース３２に格納されているログ
データの一実施例を示す図である。

【図１６】生成されるプロファイルの一実施例を示す図
である。

【図１７】ログデータの一実施例を示す図である。

【符号の説明】

１０ ＣＰＵ １２ ＣＤ装置 １４ ハードディスク装置 ２０ 通信装置 ２２ ディスプレイ装置 ２４ プリンタ ２６ 入力装置 ２７ 出力装置 ３０ ログチェッカー ３２ ログデータベース ３４ プロファイリングエンジン ３６ ビジュアルブラウザ ４０ ログ表示部 ４３ Ｇｅｔボタン ４４ Ｃｌｅａｒボタン ４５ Ｂａｃｋボタン ４６ カッコーアイコン ５０，５２，５４，５６ 指定欄 ６０ 楕円球 ７０ プロファイル表示部

Claims (7)

【特許請求の範囲】
1. 【請求項１】 ネットワークに対するユーザのイベント
   をログデータとして収集し、 収集されたログデータからユーザ毎に通常のネットワー
   ク使用状況を表すプロファイルを生成し、 新たに収集したログデータを前記プロファイルとユーザ
   毎に照合し、 前記新たに収集したログデータの照合結果を表示するこ
   とを特徴とするネットワーク監視方法。
2. 【請求項２】 請求項１記載のネットワーク監視方法に
   おいて、 前記新たに収集したログデータの照合結果に応じて前記
   ログデータの表示形態を異ならせて表示することを特徴
   とするネットワーク監視方法。
3. 【請求項３】 ネットワークに対するユーザのイベント
   をログデータとして収集してデータベースに格納する収
   集手段と、 前記データベースに格納されているログデータからユー
   ザ毎に通常のネットワーク使用状況を表すプロファイル
   を生成するプロファイル生成手段と、 前記収集手段で新たに収集したログデータを前記プロフ
   ァイルとユーザ毎に照合する照合手段と、 前記新たに収集したログデータの照合結果を表示する表
   示手段とを有することを特徴とするネットワーク監視シ
   ステム。
4. 【請求項４】 請求項３記載のネットワーク監視システ
   ムにおいて、 前記表示手段は、前記新たに収集したログデータの照合
   結果に応じて前記ログデータの表示形態を異ならせるこ
   とを特徴とするネットワーク監視システム。
5. 【請求項５】 請求項３または４記載のネットワーク監
   視システムにおいて、 前記表示手段は、収集したログデータを、ユーザ毎に、
   かつ、時間の推移に応じて２次元的に表示することを特
   徴とするネットワーク監視システム。
6. 【請求項６】 請求項３乃至５のいずれか記載のネット
   ワーク監視システムにおいて、 前記プロファイル生成手段は、パラメータ自動調整機能
   を持つＩＬＰシステムで構成されることを特徴とするネ
   ットワーク監視システム。
7. 【請求項７】 コンピュータを、 ネットワークに対するユーザのイベントをログデータと
   して収集してデータベースに格納する収集手段と、 前記データベースに格納されているログデータからユー
   ザ毎に通常のネットワーク使用状況を表すプロファイル
   を生成するプロファイル生成手段と、 前記収集手段で新たに収集したログデータを前記プロフ
   ァイルとユーザ毎に照合する照合手段と、 前記新たに収集したログデータの照合結果を表示する表
   示手段として機能させるためのプログラムを記録したコ
   ンピュータ読み取り可能な記録媒体。