JP2003280945A - ログ解析システム，該ログ解析システムによる解析対象抽出方法および解析対象抽出プログラム - Google Patents

Abstract

(57)【要約】 【課題】 ネットワーク管理者によるログデータ解析の
効率化を図ること 【解決手段】 プロキシサーバ２０に蓄積されるログデ
ータのログ解析処理を行うログ解析処理装置１１は、プ
ロキシサーバ２０から全ログデータを定期的に取得する
アクセスログデータ取得部１１ａと、取得した全アクセ
スログデータから不正候補ログデータのみを抽出する不
正候補ログデータ抽出部１１ｂと、前記フィルタリング
条件データ格納部１３に格納されるフィルタリング条件
の内から任意に選択されたフィルタリング条件に基づ
き、前記不正候補ログデータのフィルタリング処理を行
うフィルタリング処理部１１ｃと、フィルタリング処理
により得られた結果データを外部に表示するフィルタリ
ング結果表示部１１ｄと、を具備する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、内部ネットワーク
から外部インターネット上のＷｅｂサーバへのアクセス
状況の管理において、アクセス先のＵＲＬを解析対象を
重要度別に分類して抽出し、不正利用と思われるアクセ
スログデータを効率的に検出することが可能なログ解析
システム，該ログ解析システムによる解析対象抽出方法
および解析対象抽出プログラムに関するものである。

【０００２】

【従来の技術】一般に、ネットワーク管理者は、内部ネ
ットワークの正常な運用を図るため、例えば社内ＬＡＮ
（Local Area Network）の内部から外部インターネット
にアクセスする際に経由するプロキシサーバに蓄積され
た全アクセスログデータを定期的に（例えば毎日）参照
し、社内ＬＡＮ内部から外部インターネット上のＷｅｂ
サーバへの不正アクセスが行われていないかを監視して
いる。

【０００３】ここで従来のネットワーク管理において、
ネットワーク管理者が、社内ネットワークからインター
ネット上のＷｅｂサーバへの不正利用と思われるアクセ
スを検出するためにログデータ解析を行う場合には、プ
ロキシサーバ内のプロキシログに記録されたアクセス先
のＵＲＬ（Uniform Resource Locators）の全てを解析
対象としてログデータ解析が行われている。具体的に
は、ネットワーク管理者は、プロキシログに記録された
アクセス先のＵＲＬ全てについて目を通し、特に解析す
る必要のない不正でないアクセス先ＵＲＬを毎回手動で
除外した後に、除外後に残った各ＵＲＬへのアクセスに
ついて一つずつ不正アクセスか否かを判断している。

【０００４】

【発明が解決しようとする課題】しかしながら、上記従
来技術では、膨大な量のプロキシサーバの全アクセスロ
グデータが解析対象であると共に、不正利用ではないと
判断できるアクセス先ＵＲＬも毎回解析対象に含まれて
しまう。そのため、ネットワーク管理者は、不正利用で
はないと判断できるアクセス先ＵＲＬを毎回手動で除外
しなければならないので、ログ解析に多大な手間と時間
を費やすこととなり効率的ではないという問題があっ
た。

【０００５】そこで本発明の目的は、解析対象のアクセ
ス先ＵＲＬを重要度に応じて分類し、次回以降のログデ
ータ解析時にその分類結果を反映させて解析対象アクセ
ス先ＵＲＬを絞り込むことにより、ネットワーク管理者
によるログデータの解析を効率的に行うことを可能とす
るログ解析システム，該ログ解析システムによる解析対
象抽出方法および解析対象抽出プログラムを提供するこ
とにある。

【０００６】

【課題を解決するための手段】前記目的を達成するため
に、本発明のログ解析システムは、プロキシサーバに蓄
積されるログデータのログ解析処理を行うログ解析処理
装置と、ネットワーク管理者により解析対象が重要度別
に分類されたアクセス先ＵＲＬデータを格納する分類別
アクセス先ＵＲＬデータベースと、フィルタリング処理
の際のフィルタリング条件データを格納するフィルタリ
ング条件データ格納部と、を有し、前記ログ解析処理装
置は、プロキシサーバから全ログデータを定期的に取得
するアクセスログデータ取得部と、取得した全アクセス
ログデータから不正候補ログデータのみを抽出する不正
候補ログデータ抽出部と、前記フィルタリング条件デー
タ格納部に格納されるフィルタリング条件の内から任意
に選択されたフィルタリング条件に基づき、前記不正候
補ログデータのフィルタリング処理を行うフィルタリン
グ処理部と、フィルタリング処理により得られた結果デ
ータを外部に表示するフィルタリング結果表示部と、を
具備するものである。

【０００７】また前記ログ解析処理装置は、ネットワー
ク管理者により不正アクセスではないと判断されたログ
データを分類別アクセス先ＵＲＬデータベースに追加登
録する追加登録部を更に具備するものである。

【０００８】また本発明のログ解析システムによる解析
対象抽出方法は、プロキシサーバから定期的に取得され
たアクセスログデータから、不正候補ログデータ抽出部
が、分類別アクセス先ＵＲＬデータベース内のデータに
基づいて不正候補ログデータを抽出する第一工程と、第
一工程にて抽出された不正候補ログデータに対し、フィ
ルタリング処理部が、フィルタリング条件データ格納部
内のデータに基づいてフィルタリング処理を実施し、前
記不正候補ログデータから更に解析対象としてのログデ
ータの絞り込みを行う第二工程と、第二工程にてフィル
タリングされた不正候補ログデータを外部表示する第三
工程と、を有するものであり、また前記第三工程後にネ
ットワーク管理者により不正アクセスの是非判断処理が
行われた結果、不正アクセスではないと判断されたログ
データについて、その不正アクセスではないと判断され
たログデータを、追加登録部が、分類別アクセス先ＵＲ
Ｌデータベース内の該当するアクセス先ＵＲＬグループ
に追加登録する第四工程を更に有するものである。

【０００９】また本発明の解析対象抽出プログラムは、
管理者用のコンピュータに、プロキシサーバから定期的
に取得されたアクセスログデータから、分類別アクセス
先ＵＲＬデータベース内のデータに基づいて不正候補ロ
グデータを抽出する機能と、抽出された不正候補ログデ
ータに対し、フィルタリング条件データ格納部内のデー
タに基づいてフィルタリング処理を実施し、前記不正候
補ログデータから更に解析対象としてのログデータの絞
り込みを行う機能と、フィルタリングされた不正候補ロ
グデータを外部表示する機能と、を実現させるものであ
り、また解析対象抽出プログラムは、ネットワーク管理
者により不正アクセスの是非判断処理が行われた結果、
不正アクセスではないと判断されたログデータについ
て、その不正アクセスではないと判断されたログデータ
を、分類別アクセス先ＵＲＬデータベース内の該当する
アクセス先ＵＲＬグループに追加登録する機能を更に有
するものである。

【００１０】

【発明の実施の形態】以下、本発明の一実施形態におけ
るログ解析システムの構成について、図１を参照して説
明する。図１は本発明の一実施形態におけるログ解析シ
ステムの構成を示すブロック図である。

【００１１】＜ログ解析システムの構成＞図１に示すよ
うに、ＬＡＮ内に接続されている本発明のログ解析シス
テム１０は、プロキシサーバ２０のアクセスログデータ
格納部２１に蓄積されるアクセスログデータのログ解析
処理を行うログ解析処理装置１１と、ネットワーク管理
者により解析対象が重要度別に分類されたアクセス先Ｕ
ＲＬデータを格納する分類別アクセス先ＵＲＬデータベ
ース１２と、フィルタリング処理の際のフィルタリング
条件データを格納するフィルタリング条件データ格納部
１３と、を有している。また、このログ解析システム１
０には、ネットワーク管理者がデータ入力を行うための
入力装置３０と、各種データをログ解析システム１０外
部に表示する表示装置４０とが設けられている。尚、本
システム１０構成は、メモリと記憶部と、表示部他を持
つ一般のパーソナルコンピュータであっても良い。

【００１２】また前記ログ解析処理装置１１は、プロキ
シサーバ２０から全アクセスログデータを定期的に取得
するアクセスログデータ取得部１１ａと、取得した全ア
クセスログデータから不正利用の可能性のあるアクセス
ログデータ（以下、不正候補ログデータという）のみを
抽出する不正候補ログデータ抽出部１１ｂと、フィルタ
リング条件データ格納部１３から選択されたフィルタリ
ング条件に基づいて、前記不正候補ログデータのフィル
タリング処理を行うフィルタリング処理部１１ｃと、フ
ィルタリング処理により得られた結果データを表示装置
４０に表示するフィルタリング結果表示部１１ｄと、ネ
ットワーク管理者により不正アクセスではないと判断さ
れたログデータを分類別アクセス先ＵＲＬデータベース
１２に追加登録する追加登録部１１ｅと、を有してい
る。尚、本実施形態におけるアクセスログデータ取得部
１１ａは、定期的にアクセスログデータを自動取得する
ように構成しているが、ネットワーク管理者が、プロキ
シサーバ２０からアクセスログデータを取得する旨の指
令を定期的に入力装置３０から入力し、アクセスログデ
ータの取得を定期的に行うようにしてもよい。

【００１３】次に、分類別アクセス先ＵＲＬデータベー
ス１２の構成について以下説明する。本実施形態におけ
る分類別アクセス先ＵＲＬデータベース１２では、図２
のように、アクセス先ＵＲＬのログ解析対象としての重
要度別に３つのアクセス先ＵＲＬグループに分類されて
いる。まず、例えばサーチエンジンや取引先の企業のホ
ームページのような、明らかに解析対象から除外しても
問題のないＵＲＬについては、最も解析対象重要度の低
いＵＲＬとして「第１レベル正当アクセス先ＵＲＬグル
ープ」に分類される。次に、以前の解析処理によってネ
ットワーク管理者がその時点で不正アクセスではないと
判断したＵＲＬについては、２番目に解析対象重要度の
低い「第２レベル正当アクセス先ＵＲＬグループ」に分
類される。最後に、上記２つのグループに含まれないア
クセス先ＵＲＬについては、全て不正アクセスの可能性
があるので、最も解析対象重要度の高い「一般アクセス
先ＵＲＬグループ」に分類される。

【００１４】また、前記フィルタリング条件データ格納
部１３に格納するフィルタリング条件データは、ネット
ワーク管理者が任意に設定可能であるが、本実施形態で
は次のような条件をフィルタリング条件として設定して
いる。まず、「企業において勤務時間中のアクセス先は
おそらく正当なものが多く、逆に昼休みや深夜などの勤
務時間外のアクセスは不正アクセスの可能性が高い」と
予測されることを理由として、「時間帯−転送バイト数
ＴｏｐＮ」条件並びに「時間帯別アクセス先ＵＲＬ−転
送バイト数ＴｏｐＮ」条件の二種類のフィルタリング条
件を設定している。これら各フィルタリング条件につい
て具体的に説明すると、「時間帯−転送バイト数Ｔｏｐ
Ｎ」条件は、転送バイト数の多い時間帯の上位Ｎ個を特
定して抽出する条件であり、「時間帯別アクセス先ＵＲ
Ｌ−転送バイト数ＴｏｐＮ」条件は、前記「時間帯−転
送バイト数ＴｏｐＮ」条件により絞り込まれたＮ個の時
間帯ごとに、さらに転送バイト数の多いアクセス先ＵＲ
Ｌの上位Ｎ個を特定して抽出する条件である。

【００１５】尚、上記の「時間帯」とは１時間毎の時間
帯であってもよく、また勤務時間（９−１２時，１３−
１７時），昼休み（１２−１３時），勤務時間外（０−
９時，１７−２４時）というように時間帯を設定しても
よい。また、「ＴｏｐＮ」の「Ｎ」は自然数であり、ネ
ットワーク管理者が任意に設定可能である。

【００１６】＜ログ解析システムによるログ解析手順＞
次に、上記構成のログ解析システムによるログ解析の手
順を、図３を用いて詳細に説明する。図３は本発明の一
実施形態におけるログ解析処理手順を説明するためのフ
ローチャートである。

【００１７】まず、ログ解析処理装置１１内のアクセス
ログデータ取得部１１ａが、プロキシサーバ２０からア
クセスログデータを定期的に取得し（ステップ１０
１）、ここで取得されたアクセスログデータから、不正
候補ログデータ抽出部１１ｂが分類別アクセス先ＵＲＬ
データベース１２内のデータに基づいて不正候補ログデ
ータを抽出する（ステップ１０２）。具体的には、不正
候補ログデータ抽出部１１ｂが、プロキシサーバ２０よ
り取得されたアクセスログデータから「第１レベル正当
アクセス先ＵＲＬグループ」及び「第２レベル正当アク
セス先ＵＲＬグループ」に該当するＵＲＬを削除し、
「一般アクセス先ＵＲＬグループ」に該当するＵＲＬ、
すなわち不正候補ログデータを抽出する。

【００１８】こうして抽出された不正候補ログデータに
対し、続いてフィルタリング処理部１１ｃが、フィルタ
リング条件データ格納部１３内のデータに基づいてフィ
ルタリング処理を実施する（ステップ１０３）。この処
理について具体的に説明すると、本実施形態では、まず
「時間帯−転送バイト数ＴｏｐＮ」条件により、ステッ
プ１０２により抽出された不正候補ログデータの内、転
送バイト数の多い時間帯の上位Ｎ個が特定され、特定さ
れた時間帯にアクセスされたログデータが抽出される。
次に、「時間帯別アクセス先ＵＲＬ−転送バイト数Ｔｏ
ｐＮ」条件により、更にその抽出ログデータの内から、
Ｎ個の時間帯ごとに、転送バイト数の多いアクセス先Ｕ
ＲＬの上位Ｎ個が特定され、抽出される。以上のような
フィルタリング処理により、不正候補ログデータから更
に解析対象としてのログデータの絞り込みを行う。

【００１９】上述のフィルタリング処理が実施された
後、フィルタリング結果表示部１１ｄが、ステップ１０
３にてフィルタリングされた不正候補ログデータ（以
下、フィルタリング済ログデータという）を表示装置４
０へ表示する（ステップ１０４）。そこでネットワーク
管理者は、表示装置４０に抽出，表示されたフィルタリ
ング済ログデータについて、自らそのアクセス先にアク
セスする等して不正アクセスの是非判断処理を行う（ス
テップ１０５〜ステップ１０８）。ここで、この不正の
是非判断処理にて不正アクセスのログデータが発見され
た場合には、ネットワーク管理者は、当該ログデータ内
に記録されているユーザーＩＤ等から当該不正アクセス
を行った者を割り出し、その者に警告する等の措置を行
う（ステップ１０６）。また、この不正の是非判断処理
にて不正アクセスではないと判断されたログデータにつ
いては、ネットワーク管理者からの指令により、追加登
録部１１ｅが、その不正アクセスではないと判断された
ログデータを、分類別アクセス先ＵＲＬデータベース１
２内の該当するアクセス先ＵＲＬグループに分類，追加
登録する（ステップ１０７）。尚、「第１レベル正当ア
クセス先ＵＲＬグループ」と「第２レベル正当アクセス
先ＵＲＬグループ」の何れに追加登録するかは、ネット
ワーク管理者の判断によるものである。

【００２０】以上のステップ１０５からステップ１０８
までの工程を、ステップ１０４にて表示装置４０に表示
された各フィルタリング済ログデータについて一つずつ
繰り返し行い（ステップ１０８）、全てのフィルタリン
グ済ログデータについて処理が終了した時点で、ネット
ワーク管理者によるログ解析作業が終了となる。

【００２１】以上のように、本発明のログ解析システム
１０によれば、上記処理手順によってプロキシサーバ２
０内の全アクセスログデータから、第１段階として不正
候補ログデータを抽出し、更に第２段階としてその不正
候補ログデータにフィルタリング処理を行うため、ネッ
トワーク管理者が不正アクセスの是非判断を行う解析対
象たるログデータを効率的に抽出することが可能とな
る。またステップ１０７の処理によって、不正アクセス
ではないと判断されたログデータが分類別アクセス先Ｕ
ＲＬデータベース１２に追加登録されるため、次回以降
のログ解析処理時には、この追加登録されたアクセス先
ＵＲＬデータを不正候補ログデータの抽出条件として反
映させることができる。これより、次回以降のログ解析
処理において、不正候補ログデータの抽出精度ならびに
抽出される不正候補ログデータの信頼度が向上し、より
精度の高い抽出，表示処理を行うことが可能となってい
くものであるため、結果的に高精度且つ効率的なフィル
タリング済ログデータの抽出，表示を実現することがで
きる。

【００２２】ここで上記実施形態では、「時間帯−転送
バイト数ＴｏｐＮ」条件並びに「時間帯別アクセス先Ｕ
ＲＬ−転送バイト数ＴｏｐＮ」条件の二種類のフィルタ
リング条件を設定しているが、この条件のみに限定され
ることはない。以下に、他のフィルタリング条件の具体
例を挙げる。

【００２３】一つの例としては、「１人で大量のデータ
を転送し、ネットワークに負荷をかけている場合は、そ
のアクセスは不正アクセスの可能性が高い」と予測され
ることを理由として、「アクセス元ＩＰ−転送バイト数
ＴｏｐＮ」条件並びに「アクセス元ＩＰ別アクセス先Ｕ
ＲＬ−転送バイト数ＴｏｐＮ」条件の二種類のフィルタ
リング条件を設定する。これら各フィルタリング条件に
ついて具体的に説明すると、「アクセス元ＩＰ−転送バ
イト数ＴｏｐＮ」条件は、転送バイト数の多いアクセス
元の上位Ｎ名を特定して抽出する条件であり、「アクセ
ス元ＩＰ別アクセス先ＵＲＬ−転送バイト数ＴｏｐＮ」
条件は、前記「アクセス元ＩＰ−転送バイト数Ｔｏｐ
Ｎ」条件により絞り込まれたＮ名ごとに、さらに各人に
おいて転送バイト数の多いアクセス先ＵＲＬの上位Ｎ個
を特定して抽出する条件である。以上のようなフィルタ
リング条件によっても、不正候補ログデータから更に解
析対象を絞り込むことができる。尚、「ＴｏｐＮ」の
「Ｎ」は自然数であり、ネットワーク管理者が任意に設
定可能である。

【００２４】また他の例としては、「極端に画像やスト
リーム系の通信が多いアクセス先ＵＲＬは、不正アクセ
ス先である可能性が高い」と予測されることを理由とし
て、「コンテンツタイプ−転送バイト数ＴｏｐＮ」条件
並びに「コンテンツタイプ別アクセス先ＵＲＬ−転送バ
イト数ＴｏｐＮ」条件の二種類のフィルタリング条件を
設定する。これら各フィルタリング条件について具体的
に説明すると、「コンテンツタイプ−転送バイト数Ｔｏ
ｐＮ」条件は、転送バイト数の多いコンテンツの種類
（画像系，ストリーム系，テキスト系など）の上位Ｎ個
を特定して抽出する条件であり、「コンテンツタイプ別
アクセス先ＵＲＬ−転送バイト数ＴｏｐＮ」条件は、前
記「コンテンツタイプ−転送バイト数ＴｏｐＮ」条件に
より絞り込まれたＮ個のコンテンツタイプごとに、さら
に転送バイト数の多いアクセス先ＵＲＬの上位Ｎ個を特
定して抽出する条件である。このようなフィルタリング
条件によっても、不正候補ログデータから更に解析対象
を絞り込むことができる。尚、「ＴｏｐＮ」の「Ｎ」は
自然数であり、ネットワーク管理者が任意に設定可能で
ある。

【００２５】また、上記実施形態では、不正アクセスの
可能性の高いアクセスログデータを効率的に抽出し、ネ
ットワーク管理者が効率的にログ解析することが可能な
ログ解析システム，該ログ解析システムによる解析対象
抽出方法について説明したが、このようにネットワーク
管理者が効率的にログ解析するための手段としては、本
発明の処理動作を行うプログラムを作成し、管理者用の
コンピュータに、このプログラムに基づいて処理動作を
実行させるようにしてもよい。

【００２６】具体的には、管理者用のコンピュータに、
プロキシサーバから定期的に取得されたアクセスログデ
ータから、分類別アクセス先ＵＲＬデータベース内のデ
ータに基づいて不正候補ログデータを抽出する機能と、
抽出された不正候補ログデータに対し、フィルタリング
条件データ格納部内のデータに基づいてフィルタリング
処理を実施し、前記不正候補ログデータから更に解析対
象としてのログデータの絞り込みを行う機能と、フィル
タリングされた不正候補ログデータを外部表示する機能
と、を実現させるプログラムに基づいて、ログ解析処理
装置が本発明の処理動作を行うように管理者用のコンピ
ュータを構成することで、上記実施形態と同様の効果を
得ることが可能となる。

【００２７】

【発明の効果】以上説明したように、本発明によれば、
プロキシサーバ内の全アクセスログデータから、第１段
階の不正候補ログデータ抽出処理ならびに第２段階のフ
ィルタリング処理によって、ネットワーク管理者が解析
対象たるログデータを効率的に抽出することが可能とな
る。また、不正アクセスではないと判断されたログデー
タが分類別アクセス先ＵＲＬデータベースに追加登録さ
れるため、次回以降のログ解析処理時に、この追加登録
されたアクセス先ＵＲＬデータを不正候補ログデータの
抽出条件として反映させることができ、次回以降のログ
解析処理において不正候補ログデータの抽出精度ならび
に抽出される不正候補ログデータの信頼度が向上し、よ
り精度の高い抽出，表示処理を行うことが可能となる、
つまり、高精度且つ効率的なフィルタリング済ログデー
タの抽出，表示を実現することができる。

【図面の簡単な説明】

【図１】本発明の一実施形態におけるログ解析システム
の構成を示すブロック図である。

【図２】本実施形態におけるログ解析システムの分類別
アクセス先ＵＲＬデータベースの構成を示す図である。

【図３】本実施形態におけるログ解析の処理手順を説明
するためのフローチャートである。

【符号の説明】

１０…ログ解析システム，１１…ログ解析処理装置，１
１ａ…アクセスログデータ取得部，１１ｂ…不正候補ロ
グデータ抽出部，１１ｃ…フィルタリング処理部，１１
ｄ…フィルタリング結果表示部，１１ｅ…追加登録部，
１２…分類別アクセス先ＵＲＬデータベース，１３…フ
ィルタリング条件データ格納部，２０…プロキシサー
バ，２１…アクセスログデータ格納部，３０…入力装
置，４０…表示装置。

Claims (6)

【特許請求の範囲】
1. 【請求項１】 プロキシサーバに蓄積されるログデータ
   のログ解析処理を行うログ解析処理装置と、ネットワー
   ク管理者により解析対象が重要度別に分類されたアクセ
   ス先ＵＲＬデータを格納する分類別アクセス先ＵＲＬデ
   ータベースと、フィルタリング処理の際のフィルタリン
   グ条件データを格納するフィルタリング条件データ格納
   部と、を有し、 前記ログ解析処理装置は、 プロキシサーバから全ログデータを定期的に取得するア
   クセスログデータ取得部と、 取得した全アクセスログデータから不正候補ログデータ
   のみを抽出する不正候補ログデータ抽出部と、 前記フィルタリング条件データ格納部に格納されるフィ
   ルタリング条件の内から任意に選択されたフィルタリン
   グ条件に基づき、前記不正候補ログデータのフィルタリ
   ング処理を行うフィルタリング処理部と、 フィルタリング処理により得られた結果データを外部に
   表示するフィルタリング結果表示部と、 を具備することを特徴とするログ解析システム。
2. 【請求項２】 前記ログ解析処理装置は、ネットワーク
   管理者により不正アクセスではないと判断されたログデ
   ータを分類別アクセス先ＵＲＬデータベースに追加登録
   する追加登録部を更に具備することを特徴とする請求項
   １に記載のログ解析システム。
3. 【請求項３】 プロキシサーバから定期的に取得された
   アクセスログデータから、不正候補ログデータ抽出部
   が、分類別アクセス先ＵＲＬデータベース内のデータに
   基づいて不正候補ログデータを抽出する第一工程と、 第一工程にて抽出された不正候補ログデータに対し、フ
   ィルタリング処理部が、フィルタリング条件データ格納
   部内のデータに基づいてフィルタリング処理を実施し、
   前記不正候補ログデータから更に解析対象としてのログ
   データの絞り込みを行う第二工程と、 第二工程にてフィルタリングされた不正候補ログデータ
   を外部表示する第三工程と、 を有することを特徴とするログ解析システムによる解析
   対象抽出方法。
4. 【請求項４】 前記第三工程後にネットワーク管理者に
   より不正アクセスの是非判断処理が行われた結果、不正
   アクセスではないと判断されたログデータについて、そ
   の不正アクセスではないと判断されたログデータを、追
   加登録部が、分類別アクセス先ＵＲＬデータベース内の
   該当するアクセス先ＵＲＬグループに追加登録する第四
   工程を更に有することを特徴とする請求項３に記載のロ
   グ解析システムによる解析対象抽出方法。
5. 【請求項５】 管理者用のコンピュータに、プロキシサ
   ーバから定期的に取得されたアクセスログデータから、
   分類別アクセス先ＵＲＬデータベース内のデータに基づ
   いて不正候補ログデータを抽出する機能と、 抽出された不正候補ログデータに対し、フィルタリング
   条件データ格納部内のデータに基づいてフィルタリング
   処理を実施し、前記不正候補ログデータから更に解析対
   象としてのログデータの絞り込みを行う機能と、 フィルタリングされた不正候補ログデータを外部表示す
   る機能と、 を実現させる解析対象抽出プログラム。
6. 【請求項６】 ネットワーク管理者により不正アクセス
   の是非判断処理が行われた結果、不正アクセスではない
   と判断されたログデータについて、その不正アクセスで
   はないと判断されたログデータを、分類別アクセス先Ｕ
   ＲＬデータベース内の該当するアクセス先ＵＲＬグルー
   プに追加登録する機能を更に有することを特徴とする請
   求項５に記載の解析対象抽出プログラム。