JP2005012312A - イベントログ表示方法及びこれを用いた侵入検知システム - Google Patents

Abstract

【課題】イベントログの把握を視覚的に容易に行うことが可能なイベントログ表示方法及びこれを用いた侵入検知システムを実現する。
【解決手段】インターネットからの不正アクセスを検知し不正アクセスを遮断する侵入検知システムのイベントログ表示方法であって、表示画面上の縦軸にイベントログから送信先ＩＰアドレスを抽出して表示させ、表示画面上の横軸にイベントログから送信元ＩＰアドレスを抽出して表示させ、イベントログから各ＩＰアドレス間で発生したイベント数を計数し、各ＩＰアドレス間に該当する表示画面上の縦軸と横軸との交差部分に計数したイベント数を表示させる。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネットからの不正アクセスを検知し当該不正アクセスを遮断する侵入検知システム（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ：ＩＤＳ）のイベントログ表示方法及びこれを用いた侵入検知システムに関し、特にイベントログの把握を視覚的に容易に行うことが可能なイベントログ表示方法及びこれを用いた侵入検知システムに関する。
【０００２】
【従来の技術】
従来のインターネットからの不正アクセスを検知し当該不正アクセスを遮断する侵入検知システムのイベントログ表示方法及びこれを用いた侵入検知システムに関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】
特開２００１−２１７８３４号公報
【特許文献２】
特開２００１−３５６９３９号公報
【特許文献３】
特開２００３−０６７２６９号公報
【特許文献４】
特開２００３−０９９３３９号公報
【０００４】
図８はこのような従来のインターネットからの不正アクセスを検知し当該不正アクセスを遮断する侵入検知システムの一例を示す構成ブロック図である。
【０００５】
図８において１はインターネット等の汎用のネットワーク、２は侵入検知システム、３は不正アクセスの対象となる機器の一例であるサーバである。侵入検知システム２の一方の入出力はネットワーク１に接続され、他方の入出力はサーバ３に接続される。
【０００６】
ここで、図８に示す従来例の動作を図９及び図１０を用いて説明する。図９は送信元ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、送信先ＩＰアドレス及びイベントの関係を示すイベントログ、図１０は発生イベントと送信元ＩＰアドレス及びポート、並びに、送信先ＩＰアドレス及びポートの関係を示すイベントログである。
【０００７】
侵入検知システム２はネットワーク１からのアクセスのイベントログを取得し、侵入検知システム２内の記憶手段（図示せず。）にイベントログを順次格納蓄積すると共に解析時には蓄積されたイベントログを図９若しくは図１０に示すように表示手段（図示せず。）に適宜表示させる。
【０００８】
例えば、図９中”ＬＧ１１”に示すイベントログとしては、送信元のＩＰアドレス”２３．１０．３２．５７”から送信先のＩＰアドレス”１０．０．１００．１３”に対してＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）ポートのスキャンが発生したことを示している。
【０００９】
また、例えば、図９中”ＬＧ１２”に示すイベントログとしては、送信元のＩＰアドレス”２３．１０．３２．５８”から送信先のＩＰアドレス”１０．０．１００．１４”に対してＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）によるデータの取得が発生したことを示している。
【００１０】
一方、図１０に示すイベントログでは、例えば、図１０中”ＬＧ２１”、”ＬＧ２２”、”ＬＧ２３”及び”ＬＧ２４”に示すように複数のＩＰアドレス”１０．０．０．１００〜１０３”から１つのＩＰアドレス”１０．０．１．１０”に対してＴＣＰポートのスキャンが発生したことを示している。
【００１１】
侵入検知システム２では蓄積されたイベントログを解析して正常なアクセスであるか不正アクセスであるかを判断し、正常なアクセスを通過させ、不正アクセスを遮断させる措置を講じる。
【００１２】
例えば、図８中”ＮＡ０１”に示すネットワーク１からの正常なアクセスは、侵入検知システム２を通過して、図８中”ＮＡ０２”に示すようにサーバ３まで到達し、一方、図８中”ＡＡ０１”に示すネットワーク１からの不正アクセスは侵入検知システム２によって遮断され、サーバ３までは到達しない。
【００１３】
この結果、侵入検知システム２ではアクセスのイベントログを格納蓄積して当該イベントログを解析して正常なアクセスであるか不正アクセスであるかを判断し、正常なアクセスを通過させ、不正アクセスを遮断させる措置を講じることにより、不正アクセスからサーバ３を守ることを可能にする。
【００１４】
【発明が解決しようとする課題】
しかし、図８に示す従来例では図９に示すようなイベントログを表示した場合には各ＩＰアドレス間の個別の発生イベントは把握できるものの、視覚的に各ＩＰアドレス間で発生している全てのイベント数を的確に把握することは困難であると言った問題点があった。
【００１５】
また、図８に示す従来例では図１０に示すようなイベントログを表示した場合、非常に多数のＩＰアドレスからの１つのＩＰアドレスに不正アクセスを受けた際には非常に多くのイベントログが表示されることになり、表示手段（図示せず。）の表示画面上に収まらなかったりして、視覚的に１つのＩＰアドレスにおいて発生しているイベント数を的確に把握することは困難であると言った問題点があった。
従って本発明が解決しようとする課題は、イベントログの把握を視覚的に容易に行うことが可能なイベントログ表示方法及びこれを用いた侵入検知システムを実現することにある。
【００１６】
【課題を解決するための手段】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
インターネットからの不正アクセスを検知し不正アクセスを遮断する侵入検知システムのイベントログ表示方法であって、
表示画面上の縦軸にイベントログから送信先ＩＰアドレスを抽出して表示させ、前記表示画面上の横軸に前記イベントログから送信元ＩＰアドレスを抽出して表示させ、前記イベントログから各ＩＰアドレス間で発生したイベント数を計数し、各ＩＰアドレス間に該当する前記表示画面上の縦軸と横軸との交差部分に計数したイベント数を表示させることにより、送信先ＩＰアドレスと送信元ＩＰアドレスとの間で発生したアクセス数を視覚的に容易に把握することができる。
【００１７】
請求項２記載の発明は、
請求項１記載の発明であるイベントログ表示方法であって、
発生したイベント数が閾値を超過した場合に前記交差部分を色分け表示させることにより、多数のイベントが発生しているＩＰアドレス間を的確に把握することができる。
【００１８】
請求項３記載の発明は、
請求項１記載の発明であるイベントログ表示方法であって、
発生したイベント数が閾値を超過した場合に前記交差部分を強調表示させることにより、多数のイベントが発生しているＩＰアドレス間を的確に把握することができる。
【００１９】
請求項４記載の発明は、
請求項１記載の発明であるイベントログ表示方法であって、
発生したイベント数が閾値を超過した場合に前記交差部分を点滅表示させることにより、多数のイベントが発生しているＩＰアドレス間を的確に把握することができる。
【００２０】
請求項５記載の発明は、
インターネットからの不正アクセスを検知し当該不正アクセスを遮断する侵入検知システムのイベントログ表示方法であって、
イベントログから同一の送信元ＩＰアドレス、若しくは、同一の送信先ＩＰアドレスで同一イベントが複数発生していると判断した場合に、前記イベントログに基づき前記送信元ＩＰアドレス、若しくは、前記送信先ＩＰアドレスに対する同一イベント数を計数し、前記イベントログに基づき前記同一イベント数が発生した送信元ＩＰアドレス、若しくは、送信先ＩＰアドレスの数を計数し、表示画面上に前記イベント及び前記送信先ＩＰアドレス、若しくは、前記送信元ＩＰアドレスを表示させると共に同一行の前記送信元ＩＰアドレス、若しくは、前記送信先ＩＰアドレスの欄に複数箇所からのアクセスが存在する旨の表示させ、前記表示画面上のイベント数の欄に計数した前記イベント数を表示させ、前記表示画面上のホスト数の欄に計数した送信元ＩＰアドレスの前記数を表示させることにより、視覚的に１つのＩＰアドレスにおいて発生しているイベント数を的確に把握することができる。
【００２１】
請求項６記載の発明は、
請求項５記載の発明であるイベントログ表示方法であって、
前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を色分け表示させることにより、多数のイベント、若しくは、ホストからのアクセスが発生していることを的確に把握することができる。
【００２２】
請求項７記載の発明は、
請求項５記載の発明であるイベントログ表示方法であって、
前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を強調表示させることにより、多数のイベント、若しくは、ホストからのアクセスが発生していることを的確に把握することができる。
【００２３】
請求項８記載の発明は、
請求項５記載の発明であるイベントログ表示方法であって、
前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を点滅表示させることにより、多数のイベント、若しくは、ホストからのアクセスが発生していることを的確に把握することができる。
【００２４】
請求項９記載の発明は、
請求項５記載の発明であるイベントログ表示方法であって、
前記複数箇所からのアクセスが存在する旨の表示を色分け表示させることにより、同一の送信元ＩＰアドレス、或いは、送信先ＩＰアドレスにおいて同一イベントが複数発生していることを的確に把握することができる。
【００２５】
請求項１０記載の発明は、
請求項５記載の発明であるイベントログ表示方法であって、
複数箇所からのアクセスが存在する旨の表示を強調表示させることにより、同一の送信元ＩＰアドレス、或いは、送信先ＩＰアドレスにおいて同一イベントが複数発生していることを的確に把握することができる。
【００２６】
請求項１１記載の発明は、
請求項５記載の発明であるイベントログ表示方法であって、
複数箇所からのアクセスが存在する旨の表示を点滅表示させることにより、同一の送信元ＩＰアドレス、或いは、送信先ＩＰアドレスにおいて同一イベントが複数発生していることを的確に把握することができる。
【００２７】
請求項１２記載の発明は、
インターネットからの不正アクセスを検知し不正アクセスを遮断する侵入検知システムにおいて、
前記インターネットと、前記不正アクセスの対象となる機器との間でそれぞれ通信を行う通信手段と、記憶手段と、表示手段と、前記通信手段を介してイベントログを取得して前記記憶手段に格納蓄積すると共に、前記表示手段の表示画面上の縦軸にイベントログから送信先ＩＰアドレスを抽出して表示させ、前記表示画面上の横軸に前記イベントログから送信元ＩＰアドレスを抽出して表示させ、前記イベントログから各ＩＰアドレス間で発生したイベント数を計数し、各ＩＰアドレス間に該当する前記表示画面上の縦軸と横軸との交差部分に計数したイベント数を表示させる演算制御手段とを備えたことにより、送信先ＩＰアドレスと送信元ＩＰアドレスとの間で発生したアクセス数を視覚的に容易に把握することができる。
【００２８】
請求項１３記載の発明は、
請求項１２記載の発明である侵入検知システムにおいて、
前記演算制御手段が、
発生したイベント数が閾値を超過した場合に前記交差部分を色分け表示させることにより、多数のイベントが発生しているＩＰアドレス間を的確に把握することができる。
【００２９】
請求項１４記載の発明は、
請求項１２記載の発明である侵入検知システムにおいて、
前記演算制御手段が、
発生したイベント数が閾値を超過した場合に前記交差部分を強調表示させることにより、多数のイベントが発生しているＩＰアドレス間を的確に把握することができる。
【００３０】
請求項１５記載の発明は、
請求項１２記載の発明である侵入検知システムにおいて、
前記演算制御手段が、
発生したイベント数が閾値を超過した場合に前記交差部分を点滅表示させることにより、多数のイベントが発生しているＩＰアドレス間を的確に把握することができる。
【００３１】
請求項１６記載の発明は、
インターネットからの不正アクセスを検知し不正アクセスを遮断する侵入検知システムにおいて、
前記インターネットと、前記不正アクセスの対象となる機器との間でそれぞれ通信を行う通信手段と、記憶手段と、表示手段と、前記通信手段を介してイベントログを取得して前記記憶手段に格納蓄積すると共に、イベントログから同一の送信元ＩＰアドレス、若しくは、同一の送信先ＩＰアドレスで同一イベントが複数発生していると判断した場合に、前記イベントログに基づき前記送信元ＩＰアドレス、若しくは、前記送信先ＩＰアドレスに対する同一イベント数を計数し、前記イベントログに基づき前記同一イベント数が発生した送信元ＩＰアドレス、若しくは、送信先ＩＰアドレスの数を計数し、前記表示手段の表示画面上に前記イベント及び前記送信先ＩＰアドレス、若しくは、前記送信元ＩＰアドレスを表示させると共に同一行の前記送信元ＩＰアドレス、若しくは、前記送信先ＩＰアドレスの欄に複数箇所からのアクセスが存在する旨の表示させ、前記表示画面上のイベント数の欄に計数した前記イベント数を表示させ、前記表示画面上のホスト数の欄に計数した送信元ＩＰアドレスの前記数を表示させる演算制御手段とを備えたことにより、視覚的に１つのＩＰアドレスにおいて発生しているイベント数を的確に把握することができる。
【００３２】
請求項１７記載の発明は、
請求項１６記載の発明である侵入検知システムにおいて、
前記演算制御手段が、
前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を色分け表示させることにより、多数のイベント、若しくは、ホストからのアクセスが発生していることを的確に把握することができる。
【００３３】
請求項１８記載の発明は、
請求項１６記載の発明である侵入検知システムにおいて、
前記演算制御手段が、
前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を強調表示させることにより、多数のイベント、若しくは、ホストからのアクセスが発生していることを的確に把握することができる。
【００３４】
請求項１９記載の発明は、
請求項１６記載の発明である侵入検知システムにおいて、
前記演算制御手段が、
前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を点滅表示させることにより、多数のイベント、若しくは、ホストからのアクセスが発生していることを的確に把握することができる。
【００３５】
請求項２０記載の発明は、
請求項１６記載の発明である侵入検知システムにおいて、
前記演算制御手段が、
前記複数箇所からのアクセスが存在する旨の表示を色分け表示させることにより、同一の送信元ＩＰアドレス、或いは、送信先ＩＰアドレスにおいて同一イベントが複数発生していることを的確に把握することができる。
【００３６】
請求項２１記載の発明は、
請求項１６記載の発明である侵入検知システムにおいて、
前記演算制御手段が、
複数箇所からのアクセスが存在する旨の表示を強調表示させることにより、同一の送信元ＩＰアドレス、或いは、送信先ＩＰアドレスにおいて同一イベントが複数発生していることを的確に把握することができる。
【００３７】
請求項２２記載の発明は、
請求項１６記載の発明である侵入検知システムにおいて、
前記演算制御手段が、
複数箇所からのアクセスが存在する旨の表示を点滅表示させることにより、同一の送信元ＩＰアドレス、或いは、送信先ＩＰアドレスにおいて同一イベントが複数発生していることを的確に把握することができる。
【００３８】
【発明の実施の形態】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るイベントログ表示方法及びこれを用いた侵入検知システムの一実施例を示す構成ブロック図である。
【００３９】
図１において１及び３は図８と同一符号を付してあり、４はネットワーク１及びサーバ３との間でそれぞれ通信を行う通信手段、５はＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等の演算制御手段、６はイベントログが格納蓄積等される記憶手段、７はＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）やＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）等の表示手段である。また、４，５，６及び７は侵入検知システム５０を構成している。
【００４０】
通信手段４の一方の入出力はネットワーク１に接続され、他方の入出力はサーバ３に接続され、通信手段４は演算制御手段５に相互に接続される。演算制御手段５の入出力は記憶手段６に接続され、演算制御手段５の出力は表示手段７に接続される。
【００４１】
ここで、図１に示す実施例の動作を図２，図３，図４，図５，図６及び図７を用いて説明する。図２及び図６は演算制御手段５の動作を説明するフロー図、図３，図４，図５及び図７は表示手段７に表示されるイベントログの一例を示す説明図である。
【００４２】
演算制御手段５はネットワーク１からサーバ３に対するアクセスのイベントログを通信手段４を介して取得し、記憶手段６に当該イベントログを順次格納蓄積すると共に解析時には蓄積されたイベントログを表示手段７に適宜表示させる。
【００４３】
図２中”Ｓ００１”において演算制御手段５は表示手段７の表示画面上の縦軸に記憶手段６に格納蓄積されているイベントログから送信先ＩＰアドレスを抽出して表示させる。
【００４４】
同時に、図２中”Ｓ００２”において演算制御手段５は表示手段７の表示画面上の横軸に記憶手段６に格納蓄積されているイベントログから送信元ＩＰアドレスを抽出して表示させる。
【００４５】
例えば、図３に示すように演算制御手段５は表示手段７の表示画面上の縦軸に送信先ＩＰアドレスを”２３．１０．３２．５６”、”１０．０．１００．１３”…と言うように表示させると共に横軸に送信元ＩＰアドレスを”１０．０．１００．１２”、”２３．１０．３２．５７”…と言うように表示させる。
【００４６】
そして、図２中”Ｓ００３”において演算制御手段５は記憶手段６に格納蓄積されているイベントログから各ＩＰアドレス間で発生したイベント数を計数し、各ＩＰアドレス間に該当する表示手段７の表示画面上の縦軸と横軸との交差部分に計数したイベント数を表示させる。
【００４７】
例えば，図３中”ＳＲ３１”に示すように演算制御手段５はイベントログに基づき送信元ＩＰアドレス”１０．０．１００．１６”と、送信先ＩＰアドレス”２３．１０．３２．５６”，”１０．０．１００．１３”…”１０．０．１１００．９６”との間でそれぞれ発生したイベント数を”０”，”２０”，”５０”，”２５”，”３１”，”９９”、”０”及び”０”と表示させる。
【００４８】
この場合、図３中”ＳＲ３１”に示すように送信元ＩＰアドレス”１０．０．１００．１６”から、送信先ＩＰアドレス”１０．０．１００．１３”，”１０．０．１００．１４”，”１０．０．１００．１５”，”２３．１０．３２．６０”及び”２３．１０．３２．６１”に対して”２０”，”５０”，”２５”，”３１”及び”９９”と言ったイベント数が発生していることを視覚的に把握することが可能になる。
【００４９】
また、例えば、図４に示すように演算制御手段５は表示手段７の表示画面上の縦軸に送信先ＩＰアドレスを”２３．１０．３２．５６”、”１０．０．１００．１３”…と言うように表示させると共に横軸に送信元ＩＰアドレスを”１０．０．１００．１２”、”２３．１０．３２．５７”…と言うように表示させる。
【００５０】
図４中”ＤＳ４１”に示すように演算制御手段５はイベントログに基づき送信元ＩＰアドレス”１０．０．１００．１２”、”２３．１０．３２．５７”…”１０．０．０．１６”と、送信先ＩＰアドレス”２３．１０．３２．６１”との間でそれぞれ発生したイベント数を”０”，”２０”，”５１”，”３３”，”３５”，”２８”，”０”及び”０”と表示させる。
【００５１】
この場合、図４中”ＤＳ４１”に示すように複数の送信元ＩＰアドレス”２３．１００．３２．５７”，”２３．１０．３２．５８”，”２３．１０．３２．５９”，”１０．０．１００．１６”及び”１０．０．１００．１７”から、１つの送信先ＩＰアドレス”２３．１００．３２．６１”に対して”２０”，”５１”，”３３”，”３５”及び”２８”と言ったイベント数が発生していることを視覚的に把握することが可能になる。
【００５２】
また、発生したイベント数に応じて色分け表示、数字の太さやポイント数の変更による強調表示若しくは点滅表示等させることにより、所定の閾値を超過したイベント数を段階的に表示させたり、強調させたりしても構わない。
【００５３】
例えば、図５中”ＣＬ５１”に示すようにイベント数が”１００”を超過したものに関してはイベント数として”＃＃”と表示させると共に表示部分の色を”赤色”で表示させ、図５中”ＣＬ５２”及び”ＣＬ５３”に示すようにイベント数が”５０”を超過したものに関してはイベント数をそのまま表示させると共に表示部分の色を”黄色”で表示させる。
【００５４】
また、例えば、図５中”ＣＬ５１”に示す部分に関しては点滅表示させてさらに強調しても良い。
【００５５】
この場合には、各交差部分のイベント数を確認することなく、”表示色”や”点滅状況”を確認することにより、多数のイベントが発生しているＩＰアドレス間を的確に把握することができる。
【００５６】
この結果、縦軸及び横軸に送信先ＩＰアドレス及び送信元ＩＰアドレスを表示させて縦軸と横軸との交差部分に当該ＩＰアドレス間で発生したイベント数を表示させることにより、図９に示す従来例と比較して送信先ＩＰアドレスと送信元ＩＰアドレスとの間で発生したアクセス数を視覚的に容易に把握することができる。
【００５７】
また、発生したイベント数に応じて色分け表示、強調表示若しくは点滅表示等させることにより、具体的には、所定の閾値を超過したイベント数を色分けして段階的に表示させたり、強調させたりすることにより、多数のイベントが発生しているＩＰアドレス間を的確に把握することができる。
【００５８】
一方、図６中”Ｓ１０１”において演算制御手段５は記憶手段６に格納蓄積されているイベントログを読み込み、同一の送信先ＩＰアドレスで同一イベントが複数発生しているか否かを判断する。
【００５９】
もし、図６中”Ｓ１０１”において同一の送信先ＩＰアドレスで同一イベントが複数発生していると判断した場合には、図６中”Ｓ１０２”において演算制御手段５は読み込んだイベントログに基づき当該送信先ＩＰアドレスに対する同一イベントの数を計数する。
【００６０】
同時に、図６中”Ｓ１０３”において演算制御手段５は読み込んだイベントログに基づき当該同一イベント数を発生させた送信元ＩＰアドレスの数（ホスト数）を計数する。
【００６１】
例えば、図１０に示す従来例では、送信先ＩＰアドレス”１０．０．１．１０”に対して異なる４つの送信元ＩＰアドレスから４件の”ＴＣＰ＿Ｐｏｒｔ＿Ｓｃａｎ”という同一イベントが発生しているので、この場合には演算制御手段５はイベント数及びホスト数をそれぞれ”４”及び”４”と計数することになる。
【００６２】
そして、図６中”Ｓ１０４”において演算制御手段５は表示手段７の表示画面上に”発生イベント”及び送信先ＩＰアドレスを表示させると共に同一行の送信元ＩＰアドレスの欄に複数箇所からのアクセスが存在する旨の”ａｎｙ”を表示させる。
【００６３】
最後に、図６中”Ｓ１０５”において演算制御手段５は表示手段７の表示画面上のイベント数の欄に計数したイベント数を表示させ、図６中”Ｓ１０６”において演算制御手段５は表示手段７の表示画面上のホスト数の欄に計数した送信元ＩＰアドレスの数（ホスト数）を表示させる。
【００６４】
例えば、図１０に示す従来例に適用すれば、図７中”ＳＲ６１”に示す送信元ＩＰアドレスの欄に”ａｎｙ”が表示され、図７中”ＥＶ６１”及び”ＨＳ６１”に示すイベント数の欄及びホスト数の欄に計数したイベント数”４”及び送信元ＩＰアドレスの数（ホスト数）”４”が表示される。
【００６５】
この結果、同一の送信先ＩＰアドレスで同一イベントが複数発生している場合には、送信元ＩＰアドレスを１つの”ａｎｙ”と言う表現で表示し、当該送信先ＩＰアドレスに対する同一イベント数及び当該同一イベントを発生させた送信元ＩＰアドレスの数（ホスト数）をそれぞれ計数して表示させることにより、図１０に示す従来例と比較して視覚的に１つのＩＰアドレスにおいて発生しているイベント数を的確に把握することができる。
【００６６】
なお、図３〜図５に示す実施例の表示例に際しては縦軸及び横軸に送信先ＩＰアドレス及び送信元ＩＰアドレスを表示させて縦軸と横軸との交差部分に当該ＩＰアドレス間で発生したイベント数を表示させる、言い換えれば、２次元的に表示していたが、イベント数の部分を棒グラフ（ヒストグラム）的に表示して３次元的に表示しても構わない。
【００６７】
また、図７に示す実施例の表示例に際しては、同一の送信先ＩＰアドレスで同一イベントが複数発生している場合には、送信元ＩＰアドレスを１つの”ａｎｙ”と言う表現で表示させているが、複数箇所からのアクセスが存在する旨の表示であれば、当該表現に関しては何ら”ａｎｙ”に限定されるものではない。
【００６８】
また、図７に示す実施例の表示例に際しては、同一の送信先ＩＰアドレスで同一イベントが複数発生している場合には、送信元ＩＰアドレスを１つの”ａｎｙ”と言う表現で表示し、当該送信先ＩＰアドレスに対する同一イベント数及び当該同一イベントを発生させた送信元ＩＰアドレスの数（ホスト数）をそれぞれ計数して表示させているがその逆も勿論可能である。
【００６９】
すなわち、同一の送信元ＩＰアドレスからのアクセスで同一イベントが複数発生している場合には、送信先ＩＰアドレスを１つの”ａｎｙ”と言う表現で表示し、当該送信元ＩＰアドレスからのアクセスで発生した同一イベント数及び当該同一イベントが発生している送信先ＩＰアドレスの数（ホスト数）をそれぞれ計数して表示させることも可能である。
【００７０】
また、図７に示す表示に際して、図３〜図５に示す実施例の表示例と同様に発生したイベント数、若しくは、ホスト数に応じて色分け表示、強調表示若しくは点滅表示等させることにより、具体的には、イベント数、若しくは、ホスト数が所定の閾値を超過した場合にイベント数、若しくは、ホスト数を色分けして段階的に表示させたり、強調させたりすることにより、多数のイベント、若しくは、ホストからのアクセスが発生していることを的確に把握することができる。
【００７１】
さらに、図７に示す表示に際して、送信元ＩＰアドレス、或いは、送信先ＩＰアドレスを１つで表現する”ａｎｙ”を色分け表示、強調表示若しくは点滅表示等させることにより、同一の送信元ＩＰアドレス、或いは、送信先ＩＰアドレスにおいて同一イベントが複数発生していることを的確に把握することができる。
【００７２】
【発明の効果】
以上説明したことから明らかなように、本発明によれば次のような効果がある。
請求項１及び請求項１２の発明によれば、縦軸及び横軸に送信先ＩＰアドレス及び送信元ＩＰアドレスを表示させて縦軸と横軸との交差部分に当該ＩＰアドレス間で発生したイベント数を表示させることにより、送信先ＩＰアドレスと送信元ＩＰアドレス間で発生したアクセス数を視覚的に容易に把握することができる。
【００７３】
また、請求項２，３，４，１３，１４及び請求項１５の発明によれば、発生したイベント数に応じて色分け表示、強調表示若しくは点滅表示等させることにより、具体的には、所定の閾値を超過したイベント数を色分けして段階的に表示させたり、強調させたりすることにより、多数のイベントが発生しているＩＰアドレス間を的確に把握することができる。
【００７４】
また、請求項５及び請求項１６の発明によれば、同一の送信先ＩＰアドレスで同一イベントが複数発生している場合には、送信元ＩＰアドレスを１つの表現で表示し、当該送信先ＩＰアドレスに対する同一イベント数及び当該同一イベントを発生させた送信元ＩＰアドレスの数（ホスト数）をそれぞれ計数して表示させることにより、視覚的に１つのＩＰアドレスにおいて発生しているイベント数を的確に把握することができる。
【００７５】
また、請求項６，７，８，１７，１８及び請求項１９の発明によれば、発生したイベント数、若しくは、ホスト数に応じて色分け表示、強調表示若しくは点滅表示等させることにより、具体的には、イベント数、若しくは、ホスト数が所定の閾値を超過した場合にイベント数、若しくは、ホスト数を色分けして段階的に表示させたり、強調させたりすることにより、多数のイベント、若しくは、ホストからのアクセスが発生していることを的確に把握することができる。
【００７６】
また、請求項９，１０，１１，２０，２１及び請求項２２の発明によれば、送信元ＩＰアドレス、或いは、送信先ＩＰアドレスを１つで表現する表示を色分け表示、強調表示若しくは点滅表示等させることにより、同一の送信元ＩＰアドレス、或いは、送信先ＩＰアドレスにおいて同一イベントが複数発生していることを的確に把握することができる。
【図面の簡単な説明】
【図１】本発明に係るイベントログ表示方法及びこれを用いた侵入検知システムの一実施例を示す構成ブロック図である。
【図２】演算制御手段の動作を説明するフロー図である。
【図３】表示手段に表示されるイベントログの一例を示す説明図である。
【図４】表示手段に表示されるイベントログの一例を示す説明図である。
【図５】表示手段に表示されるイベントログの一例を示す説明図である。
【図６】演算制御手段の動作を説明するフロー図である。
【図７】表示手段に表示されるイベントログの一例を示す説明図である。
【図８】従来のインターネットからの不正アクセス等を検知し当該不正アクセス等を遮断する侵入検知システムの一例を示す構成ブロック図である。
【図９】送信元ＩＰアドレス、送信先ＩＰアドレス及びイベントの関係を示すイベントログである。
【図１０】発生イベントと送信元ＩＰアドレス及びポート、並びに、送信先ＩＰアドレス及びポートの関係を示すイベントログである。
【符号の説明】
１ ネットワーク
２，５０ 侵入検知システム
３ サーバ
４ 通信手段
５ 演算制御手段
６ 記憶手段
７ 表示手段

Claims (22)

1. インターネットからの不正アクセスを検知し不正アクセスを遮断する侵入検知システムのイベントログ表示方法であって、
   表示画面上の縦軸にイベントログから送信先ＩＰアドレスを抽出して表示させ、
   前記表示画面上の横軸に前記イベントログから送信元ＩＰアドレスを抽出して表示させ、
   前記イベントログから各ＩＰアドレス間で発生したイベント数を計数し、各ＩＰアドレス間に該当する前記表示画面上の縦軸と横軸との交差部分に計数したイベント数を表示させる
   ことを特徴とするイベントログ表示方法。
2. 発生したイベント数が閾値を超過した場合に前記交差部分を色分け表示させることを特徴とする
   請求項１記載のイベントログ表示方法。
3. 発生したイベント数が閾値を超過した場合に前記交差部分を強調表示させることを特徴とする
   請求項１記載のイベントログ表示方法。
4. 発生したイベント数が閾値を超過した場合に前記交差部分を点滅表示させることを特徴とする
   請求項１記載のイベントログ表示方法。
5. インターネットからの不正アクセスを検知し当該不正アクセスを遮断する侵入検知システムのイベントログ表示方法であって、
   イベントログから同一の送信元ＩＰアドレス、若しくは、同一の送信先ＩＰアドレスで同一イベントが複数発生していると判断した場合に、
   前記イベントログに基づき前記送信元ＩＰアドレス、若しくは、前記送信先ＩＰアドレスに対する同一イベント数を計数し、
   前記イベントログに基づき前記同一イベント数が発生した送信元ＩＰアドレス、若しくは、送信先ＩＰアドレスの数を計数し、
   表示画面上に前記イベント及び前記送信先ＩＰアドレス、若しくは、前記送信元ＩＰアドレスを表示させると共に同一行の前記送信元ＩＰアドレス、若しくは、前記送信先ＩＰアドレスの欄に複数箇所からのアクセスが存在する旨の表示させ、
   前記表示画面上のイベント数の欄に計数した前記イベント数を表示させ、
   前記表示画面上のホスト数の欄に計数した送信元ＩＰアドレスの前記数を表示させる
   ことを特徴とするイベントログ表示方法。
6. 前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を色分け表示させることを特徴とする
   請求項５記載のイベントログ表示方法。
7. 前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を強調表示させることを特徴とする
   請求項５記載のイベントログ表示方法。
8. 前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を点滅表示させることを特徴とする
   請求項５記載のイベントログ表示方法。
9. 前記複数箇所からのアクセスが存在する旨の表示を色分け表示させることを特徴とする
   請求項５記載のイベントログ表示方法。
10. 複数箇所からのアクセスが存在する旨の表示を強調表示させることを特徴とする
    請求項５記載のイベントログ表示方法。
11. 複数箇所からのアクセスが存在する旨の表示を点滅表示させることを特徴とする
    請求項５記載のイベントログ表示方法。
12. インターネットからの不正アクセスを検知し不正アクセスを遮断する侵入検知システムにおいて、
    前記インターネットと、前記不正アクセスの対象となる機器との間でそれぞれ通信を行う通信手段と、
    記憶手段と、
    表示手段と、
    前記通信手段を介してイベントログを取得して前記記憶手段に格納蓄積すると共に、前記表示手段の表示画面上の縦軸にイベントログから送信先ＩＰアドレスを抽出して表示させ、前記表示画面上の横軸に前記イベントログから送信元ＩＰアドレスを抽出して表示させ、前記イベントログから各ＩＰアドレス間で発生したイベント数を計数し、各ＩＰアドレス間に該当する前記表示画面上の縦軸と横軸との交差部分に計数したイベント数を表示させる演算制御手段と
    を備えたことを特徴とする侵入検知システム。
13. 前記演算制御手段が、
    発生したイベント数が閾値を超過した場合に前記交差部分を色分け表示させることを特徴とする
    請求項１２記載の侵入検知システム。
14. 前記演算制御手段が、
    発生したイベント数が閾値を超過した場合に前記交差部分を強調表示させることを特徴とする
    請求項１２記載の侵入検知システム。
15. 前記演算制御手段が、
    発生したイベント数が閾値を超過した場合に前記交差部分を点滅表示させることを特徴とする
    請求項１２記載の侵入検知システム。
16. インターネットからの不正アクセスを検知し不正アクセスを遮断する侵入検知システムにおいて、
    前記インターネットと、前記不正アクセスの対象となる機器との間でそれぞれ通信を行う通信手段と、
    記憶手段と、
    表示手段と、
    前記通信手段を介してイベントログを取得して前記記憶手段に格納蓄積すると共に、イベントログから同一の送信元ＩＰアドレス、若しくは、同一の送信先ＩＰアドレスで同一イベントが複数発生していると判断した場合に、前記イベントログに基づき前記送信元ＩＰアドレス、若しくは、前記送信先ＩＰアドレスに対する同一イベント数を計数し、前記イベントログに基づき前記同一イベント数が発生した送信元ＩＰアドレス、若しくは、送信先ＩＰアドレスの数を計数し、前記表示手段の表示画面上に前記イベント及び前記送信先ＩＰアドレス、若しくは、前記送信元ＩＰアドレスを表示させると共に同一行の前記送信元ＩＰアドレス、若しくは、前記送信先ＩＰアドレスの欄に複数箇所からのアクセスが存在する旨の表示させ、前記表示画面上のイベント数の欄に計数した前記イベント数を表示させ、前記表示画面上のホスト数の欄に計数した送信元ＩＰアドレスの前記数を表示させる演算制御手段と
    を備えたことを特徴とする侵入検知システム。
17. 前記演算制御手段が、
    前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を色分け表示させることを特徴とする
    請求項１６記載の侵入検知システム。
18. 前記演算制御手段が、
    前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を強調表示させることを特徴とする
    請求項１６記載の侵入検知システム。
19. 前記演算制御手段が、
    前記イベント数、若しくは、前記数が所定の閾値を超過した場合に前記イベント数の欄、若しくは、前記ホスト数の欄を点滅表示させることを特徴とする
    請求項１６記載の侵入検知システム。
20. 前記演算制御手段が、
    前記複数箇所からのアクセスが存在する旨の表示を色分け表示させることを特徴とする
    請求項１６記載の侵入検知システム。
21. 前記演算制御手段が、
    複数箇所からのアクセスが存在する旨の表示を強調表示させることを特徴とする
    請求項１６記載の侵入検知システム。
22. 前記演算制御手段が、
    複数箇所からのアクセスが存在する旨の表示を点滅表示させることを特徴とする
    請求項１６記載の侵入検知システム。

Images