JP2005151289A

JP2005151289A - ログ分析装置およびログ分析プログラム

Info

Publication number: JP2005151289A
Application number: JP2003387709A
Authority: JP
Inventors: Keisuke Takemori; 敬祐竹森
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2003-11-18
Filing date: 2003-11-18
Publication date: 2005-06-09
Anticipated expiration: 2023-11-18
Also published as: JP4060263B2

Abstract

【課題】様々なネットワーク機器から出力されるログに基づいて、攻撃の周期性を考慮したログ分析を行うことができるログ分析装置およびログ分析プログラムを提供する。
【解決手段】ログ収集部１０１はネットワーク２０〜２２の各機器から出力されるログを収集し、ログ保存部１０２へ出力する。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する。ログ分析部１０４は記憶部１０３から分析対象のパラメータを読み出し、そのパラメータに関するイベントの時間軸上の分布を求め、その分布を周波数軸上の分布へ変換する。ログ分析部１０４は周波数軸上の分布に対して比率分析や稀率分析を行い、分析結果を記憶部１０３に保存すると共に、インタフェース１０５を介してＷｅｂブラウザ３０１へ出力する。
【選択図】図１

Description

この発明は、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ：侵入検知システム）、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌなどのネットワーク機器から出力されるログの分析を行うログ分析装置、ログ分析方法およびログ分析プログラムに関する。

近年、ネットワークシステムに対する攻撃監視のためにＩＤＳを導入するサイトが増えている。一般にＩＤＳは、ネットワーク上を流れるパケットとＡｔｔａｃｋＳｉｇｎａｔｕｒｅと呼ばれる攻撃パターンファイルとを単純に比較して、マッチングするものがあればログを出力する。

従来においては、コンピュータの稼働状況を示すログ情報の解析作業に要する時間を減少させ、種々のデータ形式とファイル・システム上の偏在性とを有するログ情報を統合し、既知の異常ではない異常を示すログ情報を抽出することを目的としたログ情報解析装置が考え出されている。このログ情報解析装置はシステム管理者が文字による膨大な量のログ情報を棒グラフのように表示させて注目すべき情報を迅速に把握しようとするものである。（例えば特許文献１参照）
特開２００１−３５６９３９号公報

しかし、従来のＩＤＳから出力されるログは、誤検知、多重検知、セキュリティ対策済みのシステムに対する攻撃検知などの冗長なログが多量に出力される。このようなログは、同じ攻撃を繰り返し受けるたびに出力されるため、さらに冗長なものとなる。多量のログは傾向把握には適しているが、出現頻度の低いログを見落としがちになり、新たな攻撃の兆候を的確に抽出することを困難にする。ＲｏｕｔｅｒやＦｉｒｅｗａｌｌから出力されるログを監視することで、より多角的な分析が可能になるが、これらのログを統合管理するシステムがないという問題があった。

また、ネットワーク上のトラヒックの増減は、ユーザによるＰＣ利用の時間帯や曜日帯に依存しており、攻撃の傾向もおおよそＰＣの利用頻度と類似している。しかし、近年の攻撃の多くが、潜伏期間や発症・伝播期間を有するウィルスやワームによるものであり、ＰＣの利用頻度以外の周期性で発現するものもある。従来、これらの攻撃の周期性を考慮して、分析対象への攻撃傾向や新たな攻撃の兆候を検出する手法がないという問題点があった。

本発明は、上述した問題点に鑑みてなされたものであって、様々なネットワーク機器から出力されるログに基づいて、攻撃の周期性を考慮したログ分析を行うことができるログ分析装置およびログ分析プログラムを提供することを目的とする。

本発明は上記の課題を解決するためになされたもので、請求項１に記載の発明は、ネットワーク機器から収集したログに基づいて分析処理を行うログ分析装置において、前記ネットワーク機器から出力されるログを収集する収集手段と、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの時間軸上の分布を求め、該時間軸上の分布を周波数軸上の分布へ変換する第１の変換手段とを具備することを特徴とするログ分析装置である。
前期パラメータとしては、ＩＤＳ、Ｒｏｕｔｅｒ、またはＦｉｒｅｗａｌｌなどのネットワーク機器から出力されるログに記録されているパケット量、トラヒック量、プロトコル量、Ｐｏｒｔ量、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ、およびＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰなどが挙げられる。

請求項２に記載の発明は、請求項１に記載のログ分析装置において、前記第１の変換手段によって生成された前記周波数軸上の分布を複数のグループに分割するグループ化を行うグループ化手段と、前記グループ化手段によってグループ化された前記周波数軸上の分布を、各イベントが該イベントの量順に並んだ分布に変換する第２の変換手段とをさらに具備することを特徴とする。

請求項３に記載の発明は、請求項１に記載のログ分析装置において、前記第１の変換手段によって生成された前記周波数軸上の分布を複数のグループに分割するグループ化を行うグループ化手段と、前記グループ化手段によってグループ化された前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出する異常値算出手段とをさらに具備することを特徴とする。

請求項４に記載の発明は、請求項１に記載のログ分析装置において、前記第１の変換手段によって生成された前記周波数軸上の分布を複数のグループに分割するグループ化を行うグループ化手段と、前記グループ化手段によってグループ化された前記周波数軸上の分布における各グループ内のイベントの量に基づいて、エントロピー値を算出するエントロピー算出手段と、前記エントロピー算出手段によって算出された前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出する異常値算出手段とをさらに具備することを特徴とする。

請求項５に記載の発明は、請求項３に記載のログ分析装置において、前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、前記異常値算出手段は、前記グループ化手段によってグループ化された特定の所定期間における前記分布に関する第１の値と、前記グループ化手段によってグループ化された過去の所定期間における複数の前記分布に関する第２の値との比率を算出することを特徴とする。
前記第１の値としては、前記ログ中のパラメータに属し、特定の所定期間内のイベントに関する前記分布の特定のグループ内のイベントの量が挙げられる。前記第２の値は、過去の複数の所定期間内のイベントに関する前記分布の特定のグループ内のイベントの量の平均値であることが望ましい。これにより、前記比率の値として１を基準とし、異常度の判断を行うことができる。

請求項６に記載の発明は、請求項３に記載のログ分析装置において、前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する複数の第２の分布とであり、前記異常値算出手段は、前記グループ化手段によってグループ化された前記第１の分布に関する第１の値と、前記グループ化手段によってグループ化された前記複数の第２の分布に関する第２の値との比率を算出することを特徴とする。
前記第１の値としては、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する前記分布の特定のグループ内のイベントの量が挙げられる。前記第２の値は、前記特定のネットワークを除く他の複数のネットワークのイベントに関する前記分布の特定のグループ内のイベントの量の平均値であることが望ましい。これにより、前記比率の値として１を基準とし、異常度の判断を行うことができる。

請求項７に記載の発明は、請求項３に記載のログ分析装置において、前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、前記異常値算出手段は、前記グループ化手段によってグループ化された過去の所定期間に関する複数の前記分布のイベントの量に基づいて確率分布を求め、前記グループ化手段によってグループ化された特定の所定期間における前記分布のイベントの量に関する上側稀率または下側稀率を前記確率分布に基づいて算出することを特徴とする。
前記確率分布に関しては、過去の所定期間に関する複数の前記分布に関する複数の値（例えば、特定のグループ内のイベントの量）の分布が正規分布、指数分布、ガンマ分布などの確率分布の中の１つに従うと仮定し、適宜確率分布を求めればよい。上側稀率とは、求めた確率分布における値が特定の所定期間における前記分布に関する値（例えば、特定のグループ内のイベントの量）以上となる確率であり、下側稀率とは、求めた確率分布における値が特定の前記分布に関する値以下となる確率である。

請求項８に記載の発明は、請求項３に記載のログ分析装置において、前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、前記異常値算出手段は、前記グループ化手段によってグループ化された前記第２の分布のイベントの量に基づいて確率分布を求め、前記グループ化手段によってグループ化された前記第１の分布のイベントの量に関する上側稀率または下側稀率を前記確率分布に基づいて算出することを特徴とする。
前記確率分布に関しては、前記特定のネットワークを除く他の複数のネットワークごとの前記第２の分布に関する複数の値（例えば、特定のグループ内のイベントの量）の分布が正規分布、指数分布、ガンマ分布などの確率分布の中の１つに従うと仮定し、適宜確率分布を求めればよい。上側稀率とは、求めた確率分布における値が前記第１の分布に関する値（例えば、前記特定のグループ内のイベントの量）以上となる確率であり、下側稀率とは、求めた確率分布における値が前記第１の分布に関する値以下となる確率である。

請求項９に記載の発明は、請求項４に記載のログ分析装置において、前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、前記異常値算出手段は、前記エントロピー算出手段によって算出された特定の所定期間における前記分布に関する第１のエントロピー値と、過去の所定期間に関する複数の前記分布に関する第２のエントロピー値との比率を算出することを特徴とする。

請求項１０に記載の発明は、請求項４に記載のログ分析装置において、前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、前記異常値算出手段は、前記エントロピー算出手段によって算出された前記第１の分布に関する第１のエントロピー値と、前記第２の分布に関する第２のエントロピー値との比率を算出することを特徴とする。

請求項１１に記載の発明は、請求項４に記載のログ分析装置において、前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、前記エントロピー算出手段は、前記グループ化手段によってグループ化された特定の所定期間における前記分布に関する第１のエントロピー値と、前記グループ化手段によってグループ化された過去の所定期間に関する複数の前記分布に関する第２のエントロピー値とを算出し、前記異常値算出手段は、前記第２のエントロピー値の確率分布を求め、前記第１のエントロピー値に関する上側稀率または下側稀率を前記確率分布に基づいて算出することを特徴とする。

請求項１２に記載の発明は、請求項４に記載のログ分析装置において、前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他のネットワークのイベントに関する第２の分布とであり、前記エントロピー算出手段は、前記グループ化手段によってグループ化された前記第1の分布に関する第１のエントロピー値と、前記グループ化手段によってグループ化された前記第２の分布に関する第２のエントロピー値とを算出し、前記異常値算出手段は、前記第２のエントロピー値の確率分布を求め、前記第１のエントロピー値に関する上側稀率または下側稀率を前記確率分布に基づいて算出することを特徴とする。

請求項１３に記載の発明は、請求項１〜請求項１２のいずれかの項に記載のログ分析装置において、前記グループ化手段は、前記第１の変換手段によって生成された前記周波数軸上の分布を、所定の周波数ごとに複数のグループに分割することを特徴とする。

請求項１４に記載の発明は、請求項３〜請求項１２のいずれかの項に記載のログ分析装置において、前記グループ化手段は、前記第１の変換手段によって生成された前記周波数軸上の分布における各周波数のイベントに対して、各グループ内のイベントの総量が均等に近づくように前記イベントをグループ化することを特徴とする。

請求項１５に記載の発明は、ネットワーク機器から収集したログに基づいて分析処理を行うログ分析方法において、前記ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントの時間軸上の分布を求め、該時間軸上の分布を周波数軸上の分布へ変換するステップとをコンピュータに実行させるためのログ分析プログラムである。

請求項１６に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、前記周波数軸上の分布を複数のグループに分割するグループ化を行うステップと、グループ化した前記周波数軸上の分布を、各イベントが該イベントの量順にならんだ分布に変換するステップとをさらに具備することを特徴とする。

請求項１７に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、前記周波数軸上の分布を複数のグループに分割するグループ化を行うステップと、グループ化した前記周波数軸上の分布を、各イベントが該イベントの量順にならんだ分布に変換するステップとをさらに具備することを特徴とする。

請求項１８に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、前記周波数軸上の分布を複数のグループに分割するグループ化を行うステップと、グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、エントロピー値を算出するステップと、算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップとをさらに具備することを特徴とする。

請求項１９に記載の発明は、請求項１７に記載のログ分析プログラムにおいて、前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、グループ化した特定の所定期間における前記分布に関する第１の値と、グループ化した過去の所定期間における複数の前記分布に関する第２の値との比率を算出することを特徴とする。

請求項２０に記載の発明は、請求項１７に記載のログ分析プログラムにおいて、前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、グループ化した前記第１の分布に関する第１の値と、グループ化した前記第２の分布に関する第２の値との比率を算出することを特徴とする。

請求項２１に記載の発明は、請求項１７に記載のログ分析プログラムにおいて、前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、グループ化した過去の所定期間に関する複数の前記分布のイベントの量に基づいて確率分布を求め、グループ化した特定の所定期間における前記分布のイベントの量に関する上側稀率または下側稀率を前記確率分布に基づいて算出することを特徴とする。

請求項２２に記載の発明は、請求項１７に記載のログ分析プログラムにおいて、前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、グループ化した前記第２の分布のイベントの量に基づいて確率分布を求め、グループ化した前記第１の分布のイベントの量に関する上側稀率または下側稀率を前記確率分布に基づいて算出することを特徴とする。

請求項２３に記載の発明は、請求項１８に記載のログ分析プログラムにおいて、前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、算出した特定の所定期間における前記分布に関する第１のエントロピー値と、過去の所定期間に関する複数の前記分布に関する第２のエントロピー値との比率を算出することを特徴とする。

請求項２４に記載の発明は、請求項１８に記載のログ分析プログラムにおいて、前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、算出した前記第１の分布に関する第１のエントロピー値と、前記第２の分布に関する第２のエントロピー値との比率を算出することを特徴とする。

請求項２５に記載の発明は、請求項１８に記載のログ分析プログラムにおいて、前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、エントロピー値を算出するステップにおいては、グループ化した特定の所定期間における前記分布に関する第１のエントロピー値と、グループ化した過去の所定期間に関する複数の前記分布に関する第２のエントロピー値とを算出し、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第２のエントロピー値の確率分布を求め、前記第１のエントロピー値に関する上側稀率または下側稀率を前記確率分布に基づいて算出することを特徴とする。

請求項２６に記載の発明は、請求項１８に記載のログ分析プログラムにおいて、前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、エントロピー値を算出するステップにおいては、グループ化した前記第1の分布に関する第１のエントロピー値と、グループ化した前記第２の分布に関する第２のエントロピー値とを算出し、前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第２のエントロピー値の確率分布を求め、前記第１のエントロピー値に関する上側稀率または下側稀率を前記確率分布に基づいて算出することを特徴とする。

請求項２７に記載の発明は、請求項１５〜請求項２６のいずれかの項に記載のログ分析プログラムにおいて、前記周波数軸上の分布を複数のグループに分割するグループ化を行うステップにおいては、前記周波数軸上の分布を、所定の周波数ごとに複数のグループに分割することを特徴とする。

請求項２８に記載の発明は、請求項１７〜請求項２６のいずれかの項に記載のログ分析プログラムにおいて、前記周波数軸上の分布を複数のグループに分割するグループ化を行うステップにおいては、前記周波数軸上の分布における各周波数のイベントに対して、各グループ内のイベントの総量が均等に近づくように前記イベントをグループ化することを特徴とする。

請求項２９に記載の発明は、請求項１５〜請求項２８のいずれかの項に記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体である。

この発明によれば、様々なネットワーク機器から出力されるログ中のパラメータに属するイベントの時間軸上の分布を求め、時間軸上の分布を周波数軸上の分布へ変換するようにしたので、攻撃の周期性を考慮したログ分析を行うことができるという効果が得られる。

以下、図面を参照し、この発明を実施するための最良の形態について説明する。図１は、この発明の一実施形態によるログ分析装置を備えたネットワークの構成を示す構成図である。図において、１０はログ分析装置である。ログ分析装置１０は分析対象のネットワーク２０〜２２から出力されるログを収集・分析し、分析結果をＷｅｂブラウザ３０１へ出力する。ログ分析装置１０は、表示部を有する他の機器へ分析結果を出力してもよいし、ログ分析装置１０に表示部が備えられている場合には、ログ分析装置１０が分析結果を表示してもよい。

また、ログ分析装置１０はＷｅｂブラウザ３０１を備えるセキュリティオペレーションセンター３０からは独立した装置であってもよいし、セキュリティオペレーションセンター３０内のＷｅｂブラウザ３０１を具備する機器がログ分析装置１０の機能を有していてもよい。ネットワーク２０〜２２のＲｏｕｔｅｒ、Ｆｉｒｅｗａｌｌ、およびＩＤＳはログを生成し、ｓｙｓｌｏｇｄ等の通信方式により、ログ分析装置１０にログを出力する。セキュリティオペレーションセンター３０はＷｅｂブラウザ３０１を有しており、運用者はＷｅｂブラウザ３０１に表示される分析結果に基づいて、ネットワーク２０〜２２の異常度を判断することができる。

ログ分析装置１０において、１０１はログ収集部であり、ネットワーク２０〜２２の機器から出力されたログを定期的に収集し、ログ保存部１０２へログを出力する。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する。運用者がＷｅｂブラウザ３０１を介して、分析を希望するパラメータを要求すると、分析を指示する指示情報がインタフェース部１０５を介してログ分析部１０４へ入力される。

ログ分析部１０４はこの指示情報に従って、記憶部１０３から分析用のパラメータを読み出し、このパラメータに関して分析を行い（詳細は後述する）、分析結果を記憶部１０３に保存すると共に、インタフェース部１０５へ出力する。インタフェース部１０５は、ログ分析部１０４から出力された分析結果を、通信回線を介してＷｅｂブラウザ３０１へ出力する。運用者はＷｅｂブラウザ３０１に表示される分析結果に基づいて、ネットワーク２０〜２２に対する攻撃の状況を判断する。

次に、本実施形態において分析対象となるパラメータについて説明する。本実施形態においては、
（ａ）パケット数
（ｂ）トラヒック量
（ｃ）プロトコル量
（ｄ）Ｐｏｒｔ量
（ｅ）ＡｔｔａｃｋＳｉｇｎａｔｕｒｅ
（ｆ）Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ
（ｇ）Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰ
の各パラメータを分析対象とする。

（ａ）〜（ｄ）はＲｏｕｔｅｒおよびＦｉｒｅｗａｌｌから出力されるログに記録されている。（ｅ）はＩＤＳから出力されるログに記録されている。（ｆ）〜（ｇ）はＩＤＳ、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌから出力されるログに記録されている。パケット数またはトラヒック量を分析することにより、ネットワークに対する攻撃が発生しているのかどうかを検出することができる。プロトコル量はＴＣＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ）／ＵＤＰ（ＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ）／ＩＣＭＰ（ＩｎｔｅｒｎｅｔＣｏｎｔｒｏｌＭｅｓｓａｇｅＰｒｏｔｏｃｏｌ）などのプロトコルに係るパケット数（あるいはトラヒック量）を示している。

プロトコル量を分析することにより、色々な攻撃を検出することができる。例えば、ＩＣＭＰに係るＰｉｎｇやＴｒａｃｅｒｏｕｔｅなどは攻撃前の下調べなので、これらを検出することにより本格的な攻撃に対して事前に注意を払うことができる。Ｐｏｒｔ量はＴＣＰ／ＵＤＰなどのプロトコルに係るパケットの送信元／送信先の機器のポート番号別のパケット数（あるいはトラヒック量）を示している。Ｐｏｒｔ量を分析することにより、特定のＰｏｒｔへのアクセスや侵入などを検出することができる。

ＡｔｔａｃｋＳｉｇｎａｔｕｒｅはＩＤＳから出力されるログに含まれるパラメータである。ＡｔｔａｃｋＳｉｇｎａｔｕｒｅを分析することにより、分析対象のネットワークに対して行われている攻撃の種類を特定することができる。なお、全てのネットワーク型ＩＤＳおよび一部のホスト型ＩＤＳがＡｔｔａｃｋＳｉｇｎａｔｕｒｅを出力可能である。Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔは送信元／送信先の機器のポート番号を示す。Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰは送信元／送信先の機器のＩＰアドレスを示す。なおＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔはＳｏｕｒｃｅＰｏｒｔおよびＤｅｓｔｉｎａｔｉｏｎＰｏｒｔの２つのパラメータのうちのいずれか１つを示しており、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰに関しても同様である。

Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔを分析することにより、攻撃元／攻撃対象のポート番号を特定することができる。また、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰを分析することにより、攻撃元／攻撃対象のＩＰアドレスを特定することができる。上記のパラメータは複数のイベントからなる。ログ中に上記の同じイベントが複数記録されている場合は、その総数をそのイベントのイベント量と定義する。

次に、本実施形態におけるログ分析装置１０の動作を説明する。図２はログ分析装置１０の動作を示すフローチャートである。ログ収集部１０１はネットワーク２０〜２２の各機器から出力されるログを収集し、ログ保存部１０２へ出力する（ステップＳ２００）。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する（ステップＳ２１０）。運用者から特定のパラメータに関する分析の要求がＷｅｂブラウザ３０１を介してなされると、Ｗｅｂブラウザ３０１から出力された指示情報がインタフェース部１０５を介してログ分析部１０４へ入力される。すると、ログ分析部１０４は指示情報に基づいて記憶部１０３からパラメータを読み出す（ステップＳ２２０）。

ログ分析部１０４は分析対象のパラメータに関して、後述する分析処理を行い、分析結果を記憶部１０３に保存する（ステップＳ２３０）。続いて、ログ分析部１０４はインタフェース１０５を介して、分析結果をＷｅｂブラウザ３０１へ出力する（ステップＳ２４０）。分析結果はＷｅｂブラウザ３０１上に表示され、運用者はこの分析結果に基づいて、ネットワーク２０〜２２に対して攻撃が行われているかどうかを判断する。

次に、ステップＳ２３でログ分析部１０４が行う分析処理について説明する。ログ分析部１０４はまず、記憶部１０３から読み出したパラメータに関するイベントのイベント量に基づいて、イベントの時間軸上の分布を求める。図３はＩＤＳから出力されたログに記録されたＡｔｔａｃｋＳｉｇｎａｔｕｒｅを例として、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅに関するイベントの時間軸上の分布を示している。図において、横軸は時刻を示し、縦軸は各時刻におけるイベントのイベント量を示している。ログには、イベントが検出された時刻も記録されているので、各時刻におけるイベントの総量を求めることができる。

ＡｔｔａｃｋＳｉｇｎａｔｕｒｅには、ＨＴＴＰｐｏｒｔｐｒｏｂｅ、ＤＮＳｐｏｒｔｐｒｏｂｅ、・・・などのイベント種別があり、ログ分析部１０４は特定のイベント種別（例えばＨＴＴＰｐｏｒｔｐｒｏｂｅ）のイベントに注目し、ある時刻（あるいは所定の時間範囲）において検出されたイベントの総数を求め、図３のような時間軸上の分布を得る。この分布は時刻とその時刻におけるイベント量とが対応付けられたテーブルデータなどの形式のデータとして記憶部１０３に保存される。なお、ログ分析部１０４が特定の複数のイベント種別に着目し、それらをひとまとまりのイベント種別とみなして、時間軸上の分布を求めてもよい。

図３において、折れ線ａは平日の各時刻におけるイベント量の、所定期間（例えば１ヶ月）にわたる平均を表したものである。また、折れ線ｂは休日および祝日の各時刻におけるイベント量の、所定期間にわたる平均を表したものである。なお、図３では１時間単位でイベント量が表示されているが、分あるいは秒単位で表示してもよい。ログ分析部１０４は時間軸上の分布から、離散フーリエ変換により、周波数軸上の分布を得る。時間軸上でｎ番目の観測点におけるイベント量をｅ（ｎ）、周波数軸上でのｋ番目の周波数成分量をＥ（ｋ）とすると（ただし、ｎ，ｋは自然数）、Ｎ個（Ｎは自然数）の離散時間信号｛ｅ（ｎ）｝，ｎ＝０，１，・・・，Ｎ−１が与えられたとき、その離散フーリエ変換は［数１］のように表される。なお、離散フーリエ変換を高速で行うＦＦＴ（ＦａｓｔＦｏｕｒｉｅｒＴｒａｎｓｆｏｒｍ）を行ってもよい。

図４は時間軸上の分布を周波数軸上の分布へ変換した例である。横軸は各周波数に対応した時間間隔（時間、日、週、月、年）を示しており、縦軸はイベント量を示している。続いてログ分析部１０４は、隣接する複数の周波数が同じグループとなるように、周波数軸上の分布を所定のグループに分割する（グループ化）。グループ化としては静的グループ化と動的グループ化とが挙げられる。静的グループ化は、時間／日／週／月／年という固定的な時間単位でグループ化を行うものである。この場合、ログ分析部１０４は所定の周波数ごとにイベントをグループ化し、各グループを識別する情報と、そのグループ内のイベント総量を示す情報とを記憶部１０３に格納する。

動的グループ化は、各グループ内のイベントの総量がほぼ等しくなるように、近隣の周波数成分をまとめて同じグループにするものである。図５は図４の分布を６つのグループにグループ化した様子を示している。この場合も、ログ分析部１０４は所定の周波数ごとにイベントをグループ化し、各グループを識別する情報と、そのグループ内のイベント総量を示す情報とを記憶部１０３に格納する。動的グループ化においては、ログ分析部１０４は以下のようにグループ化を行う。例えば、イベントを６グループに分割し、各グループ内のイベント量が総イベント量の約６分の１となるようにグループ化することにする。図５において、左のイベント（低周波数領域のイベント）からイベント量を順に加算していき、その量が総イベント量の６分の１以上となったところで１つのグループとする。このとき、例えばイベント量の最下位の桁は四捨五入するなどの処理を行う。

あるいは、左のイベントからイベント量を加算していき、その量が総イベント量の６分の１を超えたところで１つのグループとする。以上の方法により、１つ目のグループ化を行い、次のグループに関してはイベント量が残りのイベント量の約５分の１となるように、上述した方法と同様に２つ目のグループ化を行う。さらに次のグループに関しても同様に、イベント量が残りのイベント量の約４分の１となるように、３つ目のグループ化を行う。これを繰り返し行うことにより、イベントを６グループに分割する。なお、上述した方法は一例であり、各グループ内のイベント量がほぼ均等となるようにグループ化できれば、その方法は問わない。

続いて、ログ分析部１０４は各グループ内のイベントの総量に基づいて以下の分析を行う。ログ分析部１０４が行う分析としては、
（ａ）頻度分析
（ｂ）比率分析
（ｃ）稀率分析
が挙げられる。

頻度分析を行う場合、ログ分析部１０４は時間軸上の分布を周波数軸上に変換した分布（例えば図３）を分析結果として、あるいは時間軸上の分布を周波数軸上に変換した分布に対して静的グループ化を行い、各グループ内の頻度量（イベント総量）を頻度量順に並べたものを分析結果としてインタフェース部１０５へ出力する。分析結果はインタフェース部１０５からＷｅｂブラウザ３０１へ出力され、Ｗｅｂブラウザ３０１において図３のような周波数分布が表示されたり、時間／日／週／月／年ごとの頻度量がグラフあるいは数値によって頻度量順に表示されたりする。

比率分析においては、グループ化によって生成された複数のグループのうち、一つのグループに注目し、そのグループ内のイベント総量に基づいた分析を行う。注目したグループは元々、図２で示したように、所定期間のイベント量の平均に基づいて得られたものであり、この所定期間のデータに基づいて得られたイベント総量を短期プロファイルと定義する。また、過去の複数の所定期間について、上記と同様の操作によって得られた複数の短期プロファイルの平均を長期プロファイルと定義する。比率分析においては、短期プロファイルと長期プロファイルとの比率を異常値として評価する。図６は比率分析モデルの一例を示している。

図において、Ｅ_ｌは過去の複数の所定期間において特定のグループについて得られたイベント総量（Ｅ_１〜Ｅ_ｌ０）の平均を示す。短期プロファイルをＥ_ｓとすると、短期プロファイルに対する長期プロファイルの比率Ｄは［数２］のように表される。短期プロファイルは記憶部１０３に格納され、ログ分析部１０４は記憶部１０３から過去の複数の短期プロファイルを読み出して、長期プロファイルを作成する。あるいは、記憶部１０３に過去のログを複数格納するようにしておき、それらのログから長期プロファイルを作成するようにしてもよい。

グループ化が静的グループ化によって行われる場合は、分割の際に、時間／日／週／月／年のような周波数単位で分割が行われ、分割の境界となる周波数は固定される。一方、グループ化が動的グループ化によって行われる場合は、上述した方法でそのままグループ化を行うと、分割の境界となる周波数が過去の複数の短期プロファイル間で異なる場合がある。そこで、グループ化を動的グループ化によって行う場合は、以下のとおりとする。

まず、長期プロファイルを求めるにあたっては、ログ分析部１０４は過去のある所定期間におけるデータから、上述した動的グループ化により、特定のグループのイベント総量を求める。続いて、ログ分析部１０４はその動的グループ化における分割形態（分割数やグループごとの分割の境界の周波数）を情報として記憶部１０３に格納する。ログ分析部１０４はこの分割形態に関する情報を記憶部１０３から読み出して参照しながら、過去の他の所定期間における周波数分布のグループ化を同じ分割形態で行う。そして、ログ分析部１０４はそれらの周波数分布のそれぞれについて、特定のグループのイベント総量を求め、それら複数のイベント総量の平均を算出し、長期プロファイルを求める。また、ログ分析部１０４は分析対象となる所定期間における周波数分布のグループ化を上記の分割形態に従って行い、短期プロファイルを求める。

次に、稀率分析においては、イベント総量の平均と標準偏差とを用いて、出力数が様々に変動するイベントの異常性を評価する。統計分析において、９５％信頼区間という指標がよく利用されているが、ここでの稀率分析とは、この信頼区間の補集合を算出するものである。図７は所定期間における稀率分析モデルの一例を示している。Ｅ_ｌは過去の複数のイベント総量の平均（長期プロファイル）であり、ＳＤは標準偏差である。横軸は平均値Ｅ_ｌからの距離を、標準偏差ＳＤを単位として表し、縦軸は、イベント総量が横軸で示される値となったグループ数を表している。標準偏差ＳＤは［数３］より求められる。短期プロファイルが長期プロファイルＥ_ｌよりも大きな場合の上側稀率Ｒ_ｕを［数４］、小さな場合の下側稀率Ｒ_ｌを［数５］のように定義する。Ｅ_１、Ｅ_２、・・・Ｅ_ｋは過去の複数の所定期間において特定のグループについて得られたイベント総量である。

［数４］および［数５］において、ｆ（Ｅ）は正規分布の密度関数であり、以下の［数６］で表される。なお、上記の例においては、稀率計算のための攻撃の分布を正規分布と仮定しているが、ｆ（Ｅ）として指数分布やガンマ分布などの関数を適宜選択してもよい。

ログ分析部１０４は、上述した比率分析および稀率分析によって算出された異常値であるＤ、Ｒ_ｕ、およびＲ_ｌを分析結果としてインタフェース部１０５へ出力する。分析結果はインタフェース部１０５からセキュリティオペレーションセンター３０のＷｅｂブラウザ３０１へ出力され、Ｗｅｂブラウザ３０１において分析結果が表示される。ネットワークの運用者はＤ、Ｒ_ｕ、およびＲ_ｌに関しての判断を以下のように行えばよい。

まず、Ｄ＞１．０もしくはＲ_ｕ≒０．０％の場合は、特定の周期性を持つ新たな攻撃がインターネット上に出回っていること、内部ホストが周期的にワームに感染していること、ＤＤｏＳ（ＤｅｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ）攻撃（攻撃者がインターネット上のセキュリティに弱い複数のＷｅｂサイトに侵入して攻撃拠点とし、複数の攻撃拠点に仕込んだプログラムを同時に動作させて、攻撃ターゲットのサーバに大量のパケットを送りつけ、サーバの機能を停止してしまう攻撃）などによる短期のイベント量が特定の周期で急増したことを示している。

また、Ｄ≒０．０もしくはＲ_ｌ≒０．０％の場合は、周期的に出力され続けていたアラームが急に減少もしくは無くなるか、攻撃により機器が停止した状態である。また、Ｄ≒１．０もしくはＲ_ｕ、Ｒ_ｌ≒５０．０％の場合は、普段から検知され続けているログを見分けることができる。これは、既に対策が施されている攻撃、もしくは誤検知されやすいイベントであり、特に注意する必要はない。ネットワークの運用者は、ログ分析装置１０から出力されるＤ、Ｒ_ｕ、およびＲ_ｌ等の値に基づいて、上述した評価を行えばよい。

なお、上述した分析処理による結果の判断に関して、ネットワークの運用者は以下のようにしてネットワークの状態を判断してもよい。ウィルスやワームの中には特定の時期に活動するものがあり、そのようなものは周波数依存性を持っている。また、周波数依存性を持たないウィルスやワームであっても、ネットワーク上のコンピュータの周期的な動作（例えばＯＮ・ＯＦＦなど）によって活動に周期性が現れることがある。ウィルスやワームの活動（感染）日カレンダーがインターネットセキュリティを扱う会社などによって公開されており、その活動日を参照することにより、分析対象のネットワークに対する攻撃の種類を判断することができる。

上述した分析処理においては、分析対象のネットワークを固定し、短期プロファイルが長期プロファイルに対してどの程度異常であるかを評価する手法を示したが、以下のような分析処理を行うこともできる。すなわち、分析対象の期間を固定したときに、分析対象のネットワークで検知された特定のパラメータに関するイベントの周波数分布における特定のグループのイベント総量（自網プロファイルと定義する）が、他の複数のネットワークで検知された同じ特定のパラメータに関するイベントの周波数分布における特定のグループのイベント総量の平均（他網プロファイルと定義する）に対してどの程度異常であるかを評価する手法である。

例えば、比率分析において、分析対象のネットワークにおける自網プロファイルをＥ_ｍとし、このネットワークを含まない他の各ネットワークにおける他網プロファイルをＥ_ｏとすると、比率Ｄは以下の［数７］のように表される。同様にして、稀率分析における上側稀率および下側稀率を計算することができる。

以上のように時間軸上の分布を周波数軸上の分布に変換し、頻度分析・比率分析・稀率分析を行うことにより、攻撃の周期性に着目したログ分析を行うことができる。また、周波数分布として得られたイベントのグループ化を行うことにより、計算対象となる変数の数を減らすことができるので、異常値の算出に要する時間を低減することができる。また、グループ化によってネットワーク全体のログの傾向を大きく捉えることができると共に、異常に関する誤検出の低減により、分析の信頼性を向上させることができる。

次に、ログ分析部１０４が分析処理において行う他の処理について説明する。各種のネットワーク機器から出力されるログの曖昧度（エントロピー）を評価することにより、ネットワークの異常を検出することができる。例えば、攻撃を受けていない通常の状態ではログの曖昧度は大きいが、ＤＤｏＳ攻撃を受けていたり、ウィルス感染が蔓延していたりする状態では、ログに出力されるイベントに偏りが発生するため、ログの曖昧度が小さくなる。したがって、ログの曖昧度を分析すれば、ネットワークの状態を把握することができる。

以下、エントロピーの算出によってネットワークの異常度を検出する手法について述べる。ログ分析部１０４は図５のようにグループ化された周波数軸上の分布における各周波数帯のイベント量からエントロピーを算出する。まず、総イベント量Ｅを［数８］により算出する（ｋは周波数帯の数）。そして、ある周波数帯におけるイベント量をｅ_ｉとし、各周波数帯の相対頻度を［数９］により算出する。そして、分析対象のパラメータのエントロピーを［数１０］により算出する。

ログ分析部１０４は同様に、複数の過去のイベントの周波数軸上の分布に基づいて、各分布ごとにエントロピーを算出し、前述した比率分析や稀率分析を行う。例えば、比率分析の場合、ログ分析部１０４は分析対象の所定期間における分布に基づいて求めたエントロピー（短期プロファイル）と、過去の複数の所定期間における分布に基づいて求めた複数のエントロピーの平均（長期プロファイル）との比を算出する。

また、稀率分析の場合、ログ分析部１０４は分析対象の所定期間における分布に基づいてエントロピー（短期プロファイル）を算出すると共に、複数の過去のイベントの周波数軸上の分布に基づいて各分布のエントロピーとそれらの標準偏差を算出する。そして、複数の過去のイベントの周波数軸上の分布に基づいて算出した各分布のエントロピーの確率分布を求め、その確率分布におけるエントロピー値が短期プロファイル以上となる上側稀率または短期プロファイル以下となる下側稀率を算出する。

エントロピーを算出してから比率分析あるいは稀率分析を行うことは以下の利点を有する。分析対象のパラメータにおける特定のイベント種別に注目して比率分析や稀率分析を行う場合、分析対象の一部の周波数（グループ）に関する詳細なデータを得ることができるが、全ての周波数に対して比率分析や稀率分析を行うには作業工数が掛かり、分析対象全体の概要を把握するには適していない。

一方、分析対象のイベントの周波数軸上の分布の全イベント量に基づいてエントロピーを算出し、比率分析や稀率分析を行う場合、分析対象全体にわたる曖昧度を示すエントロピーを使用するので、分析対象全体の概要を把握するのに適している。さらに、前述したイベントのグループ化を行うことにより、エントロピーの算出に用いられる変数の数を大幅に減らすことができるので、異常値の算出に要する時間を大幅に低減することができ、攻撃をリアルタイムに検知することができる。

また、イベントのグループ化において、前述した動的グループ化を行うことは以下の利点を有する。ログ分析部１０４は長期プロファイル（あるいは他網プロファイル）の算出において動的グループ化を行う。このとき、長期にわたる分析結果が平均化されることにより、長期プロファイルは曖昧度の高い状態となる。この状態でエントロピーを算出すると、エントロピーは高くなる。

続いて、ログ分析部１０４は長期プロファイルの算出に用いられた分割形態を用いてイベントをグループ化し、各グループ内のイベント総量に基づいてエントロピーを算出する。周期性を持った攻撃が短期的に（あるいは自網に対して）行われた場合、特定のグループ内のイベント総量が多くなるので、曖昧度の低い状態となる。この状態でエントロピーを算出すると、エントロピーは長期プロファイル（あるいは他網プロファイル）よりも小さくなるので、このエントロピー変化を、比率分析あるいは稀率分析を用いて検出することにより、ネットワークの異常度を客観的に評価することができる。

図８〜図１２は上述した分析処理におけるログ分析部１０４の動作を示すフローチャートである。以下、フローチャートを用いて各場合のログ分析部１０４の動作を説明する。図８は前述した頻度分析を行う場合のログ分析部１０４の動作を示すフローチャートである。ログ分析部１０４は図２のステップＳ２２で記憶部１０３から読み出したパラメータに関するイベントのイベント量に基づいて、イベントの時間軸上の分布を求め、その分布に対して離散フーリエ変換を行い、周波数軸上の分布を求め、この分布を分析結果として記憶部１０３に保存する（ステップＳ２３０１）。

図９はグループ化を行ってから頻度分析を行う場合のログ分析部１０４の動作を示すフローチャートである。ステップＳ２３０２の動作は図８のステップＳ２３０１の動作と同様である。続いて、ログ分析部１０４は所定の周波数ごとに、近隣の周波数帯に属するイベントをグループ化（静的グループ化）する（ステップＳ２３０３）。ログ分析部１０４は各グループ内の頻度量（イベント総量）を頻度量順に並べたものを分析結果として記憶部１０３に記憶する（ステップＳ２３０４）。

図１０はグループ化を行い、比率分析または稀率分析を行う場合のログ分析部１０４の動作を示すフローチャートである。ステップＳ２３０５の動作は図８のステップＳ２３０１の動作と同様である。続いて、ログ分析部１０４は所定の周波数ごとにイベントをグループ化する（ステップＳ２３０６）。ログ分析部１０４は各グループ内のイベントの総量に基づいて比率分析または稀率分析を行い、分析結果を記憶部１０３に保存する（ステップＳ２３０７）。なお、ログ分析部１０４は比率分析と稀率分析の両方を行ってもよい。

図１２はグループ化を行ってからエントロピーを算出し、求めたエントロピーに対して比率分析または稀率分析を行う場合のログ分析部１０４の動作を示すフローチャートである。ステップＳ２３０８〜ステップＳ２３０９の動作は図９のステップＳ２３０２〜ステップＳ２３０３の動作と同様である。ステップＳ２３１０においては、ログ分析部１０４は図５のような周波数軸上の分布における各周波数帯のイベント量に基づいてエントロピーを算出する。続いて、ログ分析部１０４は比率分析または稀率分析を行い、分析結果を記憶部１０３に保存する（ステップＳ２３１１）。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこれらの実施の形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態におけるログ分析装置は、その動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させることにより実現してもよい。

ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したログ分析プログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上述したログ分析プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

この発明の一実施形態によるログ分析装置１０を備えたネットワークの構成を示す構成図である。同実施形態におけるログ分析装置１０の動作を示すフローチャートである。同実施形態においてイベント量を時間軸上で表したグラフである。同実施形態においてイベント量を周波数軸上で表したグラフである。同実施形態において周波数軸上の分布をグループ化した例を示すグラフである。同実施形態における比率分析モデルを示す図である。同実施形態における稀率分析モデルを示す図である。同実施形態におけるログ分析装置１０の動作を示すフローチャートである。同実施形態におけるログ分析装置１０の動作を示すフローチャートである。同実施形態におけるログ分析装置１０の動作を示すフローチャートである。同実施形態におけるログ分析装置１０の動作を示すフローチャートである。

符号の説明

１０・・・ログ分析装置、２０，２１，２２・・・ネットワーク、３０・・・セキュリティオペレーションセンター、１０１・・・ログ収集部、１０２・・・ログ保存部、１０３・・・記憶部、１０４・・・ログ分析部、１０５・・・インタフェース部、３０１・・・Ｗｅｂブラウザ。

Claims

ネットワーク機器から収集したログに基づいて分析処理を行うログ分析装置において、
前記ネットワーク機器から出力されるログを収集する収集手段と、
前記収集手段によって収集された前記ログ中のパラメータに属するイベントの時間軸上の分布を求め、該時間軸上の分布を周波数軸上の分布へ変換する第１の変換手段と、
を具備することを特徴とするログ分析装置。
前記第１の変換手段によって生成された前記周波数軸上の分布を複数のグループに分割するグループ化を行うグループ化手段と、
前記グループ化手段によってグループ化された前記周波数軸上の分布を、各イベントが該イベントの量順に並んだ分布に変換する第２の変換手段と、
をさらに具備することを特徴とする請求項１に記載のログ分析装置。
前記第１の変換手段によって生成された前記周波数軸上の分布を複数のグループに分割するグループ化を行うグループ化手段と、
前記グループ化手段によってグループ化された前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出する異常値算出手段と、
をさらに具備することを特徴とする請求項１に記載のログ分析装置。
前記第１の変換手段によって生成された前記周波数軸上の分布を複数のグループに分割するグループ化を行うグループ化手段と、
前記グループ化手段によってグループ化された前記周波数軸上の分布における各グループ内のイベントの量に基づいて、エントロピー値を算出するエントロピー算出手段と、
前記エントロピー算出手段によって算出された前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出する異常値算出手段と、
をさらに具備することを特徴とする請求項１に記載のログ分析装置。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、
前記異常値算出手段は、前記グループ化手段によってグループ化された特定の所定期間における前記分布に関する第１の値と、前記グループ化手段によってグループ化された過去の所定期間における複数の前記分布に関する第２の値との比率を算出する
ことを特徴とする請求項３に記載のログ分析装置。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する複数の第２の分布とであり、
前記異常値算出手段は、前記グループ化手段によってグループ化された前記第１の分布に関する第１の値と、前記グループ化手段によってグループ化された前記複数の第２の分布に関する第２の値との比率を算出する
ことを特徴とする請求項３に記載のログ分析装置。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、
前記異常値算出手段は、前記グループ化手段によってグループ化された過去の所定期間に関する複数の前記分布のイベントの量に基づいて確率分布を求め、前記グループ化手段によってグループ化された特定の所定期間における前記分布のイベントの量に関する上側稀率または下側稀率を前記確率分布に基づいて算出する
ことを特徴とする請求項３に記載のログ分析装置。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、
前記異常値算出手段は、前記グループ化手段によってグループ化された前記第２の分布のイベントの量に基づいて確率分布を求め、前記グループ化手段によってグループ化された前記第１の分布のイベントの量に関する上側稀率または下側稀率を前記確率分布に基づいて算出する
ことを特徴とする請求項３に記載のログ分析装置。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、
前記異常値算出手段は、前記エントロピー算出手段によって算出された特定の所定期間における前記分布に関する第１のエントロピー値と、過去の所定期間に関する複数の前記分布に関する第２のエントロピー値との比率を算出する
ことを特徴とする請求項４に記載のログ分析装置。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、
前記異常値算出手段は、前記エントロピー算出手段によって算出された前記第１の分布に関する第１のエントロピー値と、前記第２の分布に関する第２のエントロピー値との比率を算出する
ことを特徴とする請求項４に記載のログ分析装置。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、
前記エントロピー算出手段は、前記グループ化手段によってグループ化された特定の所定期間における前記分布に関する第１のエントロピー値と、前記グループ化手段によってグループ化された過去の所定期間に関する複数の前記分布に関する第２のエントロピー値とを算出し、
前記異常値算出手段は、前記第２のエントロピー値の確率分布を求め、前記第１のエントロピー値に関する上側稀率または下側稀率を前記確率分布に基づいて算出する
ことを特徴とする請求項４に記載のログ分析装置。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他のネットワークのイベントに関する第２の分布とであり、
前記エントロピー算出手段は、前記グループ化手段によってグループ化された前記第1の分布に関する第１のエントロピー値と、前記グループ化手段によってグループ化された前記第２の分布に関する第２のエントロピー値とを算出し、
前記異常値算出手段は、前記第２のエントロピー値の確率分布を求め、前記第１のエントロピー値に関する上側稀率または下側稀率を前記確率分布に基づいて算出する
ことを特徴とする請求項４に記載のログ分析装置。
前記グループ化手段は、前記第１の変換手段によって生成された前記周波数軸上の分布を、所定の周波数ごとに複数のグループに分割することを特徴とする請求項１〜請求項１２のいずれかの項に記載のログ分析装置。
前記グループ化手段は、前記第１の変換手段によって生成された前記周波数軸上の分布における各周波数のイベントに対して、各グループ内のイベントの総量が均等に近づくように前記イベントをグループ化することを特徴とする請求項３〜請求項１２のいずれかの項に記載のログ分析装置。
ネットワーク機器から収集したログに基づいて分析処理を行うログ分析方法において、
前記ネットワーク機器から出力されるログを収集するステップと、
収集した前記ログ中のパラメータに属するイベントの時間軸上の分布を求め、該時間軸上の分布を周波数軸上の分布へ変換するステップと、
をコンピュータに実行させるためのログ分析プログラム。
前記周波数軸上の分布を複数のグループに分割するグループ化を行うステップと、
グループ化した前記周波数軸上の分布を、各イベントが該イベントの量順にならんだ分布に変換するステップと、
をさらに具備することを特徴とする請求項１５に記載のログ分析プログラム。
前記周波数軸上の分布を複数のグループに分割するグループ化を行うステップと、
グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出するステップと、
をさらに具備することを特徴とする請求項１５に記載のログ分析プログラム。
前記周波数軸上の分布を複数のグループに分割するグループ化を行うステップと、
グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、エントロピー値を算出するステップと、
算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップと、
をさらに具備することを特徴とする請求項１５に記載のログ分析プログラム。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、
前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、グループ化した特定の所定期間における前記分布に関する第１の値と、グループ化した過去の所定期間における複数の前記分布に関する第２の値との比率を算出する
ことを特徴とする請求項１７に記載のログ分析プログラム。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、
前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、グループ化した前記第１の分布に関する第１の値と、グループ化した前記第２の分布に関する第２の値との比率を算出する
ことを特徴とする請求項１７に記載のログ分析プログラム。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、
前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、グループ化した過去の所定期間に関する複数の前記分布のイベントの量に基づいて確率分布を求め、グループ化した特定の所定期間における前記分布のイベントの量に関する上側稀率または下側稀率を前記確率分布に基づいて算出する
ことを特徴とする請求項１７に記載のログ分析プログラム。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、
前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、グループ化した前記第２の分布のイベントの量に基づいて確率分布を求め、グループ化した前記第１の分布のイベントの量に関する上側稀率または下側稀率を前記確率分布に基づいて算出する
ことを特徴とする請求項１７に記載のログ分析プログラム。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、
前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、算出した特定の所定期間における前記分布に関する第１のエントロピー値と、過去の所定期間に関する複数の前記分布に関する第２のエントロピー値との比率を算出する
ことを特徴とする請求項１８に記載のログ分析プログラム。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、
前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、算出した前記第１の分布に関する第１のエントロピー値と、前記第２の分布に関する第２のエントロピー値との比率を算出する
ことを特徴とする請求項１８に記載のログ分析プログラム。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、所定期間内のイベントに関する分布であり、
前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、エントロピー値を算出するステップにおいては、グループ化した特定の所定期間における前記分布に関する第１のエントロピー値と、グループ化した過去の所定期間に関する複数の前記分布に関する第２のエントロピー値とを算出し、
前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第２のエントロピー値の確率分布を求め、前記第１のエントロピー値に関する上側稀率または下側稀率を前記確率分布に基づいて算出する
ことを特徴とする請求項１８に記載のログ分析プログラム。
前記周波数軸上の分布は、前記ログ中のパラメータに属し、特定のネットワークのイベントに関する第１の分布と、前記ログ中のパラメータに属し、前記特定のネットワークを除く他の複数のネットワークのイベントに関する第２の分布とであり、
前記グループ化した前記周波数軸上の分布における各グループ内のイベントの量に基づいて、エントロピー値を算出するステップにおいては、グループ化した前記第1の分布に関する第１のエントロピー値と、グループ化した前記第２の分布に関する第２のエントロピー値とを算出し、
前記算出した前記エントロピー値に基づいて、ネットワークの異常度に関する値を算出するステップにおいては、前記第２のエントロピー値の確率分布を求め、前記第１のエントロピー値に関する上側稀率または下側稀率を前記確率分布に基づいて算出する
ことを特徴とする請求項１８に記載のログ分析プログラム。
前記周波数軸上の分布を複数のグループに分割するグループ化を行うステップにおいては、前記周波数軸上の分布を、所定の周波数ごとに複数のグループに分割することを特徴とする請求項１５〜請求項２６のいずれかの項に記載のログ分析プログラム。
前記周波数軸上の分布を複数のグループに分割するグループ化を行うステップにおいては、前記周波数軸上の分布における各周波数のイベントに対して、各グループ内のイベントの総量が均等に近づくように前記イベントをグループ化することを特徴とする請求項１７〜請求項２６のいずれかの項に記載のログ分析プログラム。
請求項１５〜請求項２８のいずれかの項に記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体。