JP2005234849A - 監視装置及び監視方法及びプログラム - Google Patents

Abstract

【課題】 未知の攻撃の検知が可能であり、シグニチャのアップデートを不要とし管理者の作業を軽減可能な侵入検知装置を実現する。
【解決手段】 プログラムの実運用前に、状態監視部１００及び状態数値化部１０１が、予め、各プログラムが正常に実行しているときのシステムコールの回数をカウントし、状態分析部１０２が、各プログラムのシステムコール回数の正常範囲を算出し、評価基準値情報記憶部１０５に評価基準値情報として格納し、実運用時に、状態監視部１００及び状態数値化部１０１がシステムコール回数をカウントし、評価部１０３が、カウントされたシステムコール回数が評価基準値情報の正常範囲内であるか否かを判断し、正常範囲内であれば正常と判断し、正常範囲外であれば異常と判断することによりシグニチャ更新不要の侵入検知が可能となる。
【選択図】 図１

Description

この発明は、コンピュータネットワークシステムに関するものであり、特に、不正アクセス、攻撃を検知する技術に関するものである。

特開２００１−３１３６４０号公報に従来の不正アクセス検知装置について示されており、正常なアクセスのための条件をあらかじめ学習することにより定義した、アクセスポリシーにしたがって不正か否かを判断するものである。

次に動作について説明する。あらかじめ学習させるアクセスポリシーとは、（１）アクセスに使用されるプロトコルの仕様に準拠しているかどうか、（２）管理対象となる通信システムまたは通信システムグループのアクセスポリシー（送信元アドレス／宛先アドレス／利用プロトコル（ポート番号）／これら組み合わせ等）に準拠しているか、（３）プロトコルポリシー（プロトコルで使用されているコマンドやＵＲＬ等の内容、データの長さ）に準拠しているかどうか、（４）単位時間あたりのアクセスの回数が、上記のアクセスポリシーに記述されているアクセスの許容範囲以内であるかどうか、とういう観点から決定する。その後、各チェックの結果をあらかじめ学習されたニューラルネットワークに入力し、危険度を定量化し、不正アクセスを判断するものである。
特開２００１−３１３６４０号公報

従来の不正アクセス検知装置では、アクセスポリシーに合致しているか否かで不正アクセスを判断していた。しかし、上記に記述するアクセスポリシーには、アクセス制御を目的としたものであり、攻撃者がシステムやプログラムの脆弱性を悪用したバッファオーバフロー・ＤｏＳ（Ｄｉｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）といった攻撃そのものを検知することはできない。

また、システムの脆弱性を悪用した攻撃を検知するためには、攻撃を表すパターン（シグニチャ）を蓄積しておき、受信したパケットが蓄積してあるシグニチャを含んでいるか否かで判断するのが通常の方法である。しかし、この方法だと、蓄積しているシグニチャに対応した攻撃しか検知できない。すなわち、新たな攻撃を検知するためには、新たな攻撃に対応したシグニチャの更新が必要となり、管理運用のための作業が絶えず発生する。

この発明は上記のような問題点を解決するためになされたもので、あらかじめ各アプリケーションの正常時の状態を学習しておき、運用時、各アプリケーションが学習した状態と異なる振る舞いがあった場合、不正なアクセス・攻撃があったと判断することにより、システムの脆弱性を悪用した攻撃を検知しようとするものであり、同時に未知の攻撃（まだ発見されてない攻撃）をも検知する侵入検知装置を得ることを目的とする。また、シグニチャのアップデートを不要とし管理者の作業を軽減する侵入検知装置を得ることを目的とする。

本発明に係る監視装置は、
所定のコンピュータリソースを監視対象リソースとし、監視対象リソースの正常時の動作を監視して生成された、監視対象リスースの正常時の動作状態を定義する評価基準値情報を記憶する評価基準値情報記憶部と、
前記監視対象リソースの動作を監視するとともに、監視結果から、前記監視対象リソースの動作状態を示す動作状態値情報を生成する状態監視数値化部と、
前記状態監視数値化部により生成された前記監視対象リソースの動作状態値情報と前記評価基準値情報記憶部に記憶されている評価基準値情報とを比較し、動作状態値情報が評価基準値情報に合致しない場合に、前記監視対象リソースが異常であると評価する評価部と、
前記評価部による評価結果を出力する評価結果出力部とを有することを特徴とする。

この発明によれば、監視対象リソースの動作を監視するとともに、監視結果から、監視対象リソースの動作状態を示す動作状態値情報を生成し、監視対象リソースの正常時の動作状態を定義する評価基準値情報と監視対象リソースの動作状態値情報とを比較し、動作状態値情報が評価基準値情報に合致しない場合に、監視対象リソースが異常であると評価するため、シグニチャの更新が不要となり、また、システムの脆弱性を悪用した未発見の攻撃又は異常を検知することが可能となり、この結果、管理者の作業を軽減することができる。

実施の形態１．
図１は、実施の形態１に係る侵入検知装置の構成例を示す図である。

図１において、１は実施の形態１に係る侵入検知装置である。侵入検知装置１は、監視装置の例に相当する。

１００は監視対象となる監視対象リソースの動作を監視する状態監視部である。状態監視部１００は、具体的にはアプリケーション・ユーザ操作等を監視する。１０１は状態監視部１００が取得した状態を分析用のデータに変換する状態数値化部である。状態監視部１００と状態数値化部１０１を合わせたものが、状態監視数値化部に相当する。また、状態数値化部１０１は、例えば、図２に示すような状態数値化テーブルを生成するが、この状態数値化テーブルは、動作状態値情報の例である。

１０２は、プログラムの実行前に、正常時の状態を示す状態数値化テーブル（正常時動作状態値情報）を分析し、分析結果を評価基準値情報として評価基準値情報記憶部１０５に格納する状態分析部である。状態分析部１０２が導出する評価基準値情報は、監視対象リソースの正常時の動作状態を定義する情報であり、後述する評価部１０３による評価の基準となる数値を示す。

１０３は状態数値化部１０１から得られた状態数値テーブル（動作状態値情報）の内容が不正か否かを評価基準値情報記憶部１０５に記憶されている評価基準値情報を基に判断する評価部である。１０４は評価部１０３で評価した結果を表示する評価結果表示部である。評価結果表示部１０４は、評価結果出力部の例である。

１０５は状態分析部１０２で生成された評価基準値情報を記憶する評価基準値情報記憶部である。

また、侵入検知装置１は、複数のプログラム１０６〜１０８を管理しており、これらのプログラムが監視対象リソース（監視対象プログラム）に相当する。

なお、侵入検知装置１は、図示していないが、例えばマイクロプロセッサ等のＣＰＵ、半導体メモリ等や磁気ディスク等の記録手段、及び通信手段を有する計算機により実現することができる。記録手段に、侵入検知装置１に含まれる各構成要素の機能を実現するプログラムを記録し、ＣＰＵがこれらのプログラムを読み込むことにより侵入検知装置１の動作を制御し、各構成要素の機能を実現することも可能である。

図２において、ｂ１は侵入検知装置１の状態数値化部１０１が生成した状態数値化テーブルであり、プログラム名と、そのプログラムが実行中にコールされた各システムコールの回数とからなる。

図６は、状態分析部１０２で生成され、評価基準値情報記憶部１０５に記憶される評価基準値情報の例を示す。評価基準値情報は、状態数値化テーブルと同様のデータ形式となっており、プログラム名と、それぞれのプログラム名に対する各システムコール回数の正常範囲とを示す。

次に動作について説明する。まず、本実施の形態に係る侵入検知装置１の動作概要を図７を参照して説明する。

まず、侵入検知装置１は、あらかじめプログラムの正常な動作状態（ここでは、システムコールを例にする）を学習・監視する（Ｓ７０１）。すなわち、状態監視部１００が、正常時のアプリケーション・ユーザオペレーションの状態を監視する。次に、状態数値化部１０１で正常時の状態数値化テーブルｂ１を作成する（Ｓ７０２）。ここで作成される状態数値化テーブルｂ１は、正常時動作状態値情報に相当する。次に、状態分析部１０２で正常時の状態（Ｓ７０２で作成された状態数値化テーブルｂ１）を分析し、評価基準値情報を生成し、評価基準値情報記憶部１０５に格納する（Ｓ７０３）。これにより正常時の状態学習が完了した。

次に、実際にシステムが運用された場合（Ｓ７０４でＹｅｓの場合）に、状態監視部１００でアプリケーション・ユーザオペレーションの状態（システムコール）を監視する（Ｓ７０５）。次に、状態数値化部１０１で実運用中の状態を数値化して、状態数値化テーブルｂ１を生成する。ここで生成される状態数値化テーブルｂ１は、動作状態値情報に相当する。次に、評価部１０３が、数値化された状態（Ｓ７０６で作成された状態数値化テーブル）と正常状態を定義する評価基準値情報とを比較してプログラムが異常な状態であるか否かを判断する。具体的には、状態数値化テーブルの数値が評価基準値の範囲内であるか否かを判断し（Ｓ７０８）、範囲内であれば（Ｓ７０８でＹｅｓ）、正常と判断し（Ｓ７０９）、範囲外であれば（Ｓ７０８でＮｏ）、異常と判断し（Ｓ７１０）、そして評価結果表示部１０４で運用中の現在の状態が異常か否かを出力（表示）する（Ｓ７１１）。

以上の処理における各部の動作を説明する。

状態監視部１００は、各プログラムが正常に動作しているとき（不正なアクセスが行われていないとき）のシステムコールを監視する。

そして、状態数値化部１０１は、各プログラム（プロセス）が実行中（起動してから終了するまで）にコールされたシステムコールを各プログラム（プロセス）ごとにカウントし、状態数値化テーブルｂ１を生成する。

そして、状態分析部１０２は、状態数値化テーブルｂから各プログラム（プロセス）が正常に動作したときの各システムコールの回数の正常範囲を算出する。算出方法は、たとえば、各システムコールの回数が正規分布にしたがうと仮定すると、その分布は平均ｍと分散ｓ^２で表される。したがって正常範囲をｍ±２ｓとすればその範囲にあてはまるものは９８％の確率で正常と判断できる。なお、正常範囲は稼動環境、セキュリティ等の方針によりｍ±２ｓでなくてもよい。この分析によって得られた数値範囲が評価基準値情報となる。

評価部１０３は、実運用中に状態数値化部１０１がカウントした各プログラム（プロセス）ごとのシステムコールの回数が評価基準値情報に示される正常範囲と比較して正常か否かを判断する。

なお、以上では、状態分析部１０２は、プログラム（プロセス）ごとの各システムコールごとに正常範囲の回数をもとめた。しかし、評価部１０３による評価処理を高速にするため、各システムコールを近似する関数を求め、近似した関数のパラメータを評価基準値情報としてもよい。また、システムコールの回数の近似には、相関分析・データマイニング等で用いられている手法を用いてもよい。

また、評価結果の出力方法は、コンソール画面やＧＵＩ等に表示するだけではなく、電子メールやページャ（ｐａｇｅｒ）等により管理者に通知してもよい。

以上のように、あらかじめ各プログラム（プロセス）が正常に動作するときのシステムコールの回数をカウントし、各システムコール回数の正常な範囲を算出しておき、実運用時は、各プログラム（プロセス）がコールしたシステムコールの回数があらかじめ算出した正常範囲にあるか否かで攻撃か否かを判断する。そうすることにより、シグニチャ更新不要でまだ発見されてないシステムの脆弱性を悪用した攻撃又は異常を検知することが可能となる。なぜならば、システムの脆弱性を悪用して行うバッファオーバフロー・ＤｏＳといった攻撃を受けると、プログラムの動作・挙動が変わるからである。

なお、上述では、システムの脆弱性を悪用した攻撃によるプログラムの動作・挙動が変わる状態をシステムコールの回数とした。しかし、攻撃によっては本来そのプログラムがアクセスしてはいけない、又はアクセスすることのないファイル（データ）へアクセスすることにより、パスワードファイル・システムファイルといった重要なファイルを閲覧・複製・削除・改ざん等してしまうものもある。そのため、状態監視部１００は、システムコールの回数ではなく、パスワード・システム構成といった重要な情報が格納されているファイルや、それら重要なファイルが保管されているディレクトリへのアクセスを監視し、状態数値化部１０１は、プログラム名と各ディレクトリへのアクセス回数とからなる状態数値化テーブル（ディレクトリ）ｂ２を生成してもよい。図３に状態数値化テーブル（ディレクトリ）ｂ２の例を示す。

また、プログラムの動作・挙動に変化が現われる他のパラメータとして、プログラムの実行時間が挙げられる。すなわち、バッファオーバフロー・ＤｏＳ等の攻撃により攻撃を受けたプログラムが直ちに終了したり、不正なコードが実行されるため、実行時間が変化する。そこで、状態監視部１００は各プログラム（プロセス）の実行時間を監視し、状態数値化部１０１は、プログラム名とそのプログラムの実行時間からなる状態数値化テーブル（実行時間）ｂ３を生成してもよい。図４に状態数値化テーブル（実行時間）ｂ３の例を示す。

また、Ｗｉｎｄｏｗｓ（登録商標）上で動作するようなイベントドリブン型のアプリケーションでは、システムコールではなく、イベント状況を監視し、各イベントをカウントし、プログラムと各イベントの回数とからなる状態数値化テーブルを作成してもよい。図５に状態数値化テーブル（イベント数）ｂ４の例を示す。

また、上述では、アプリケーションの動作監視として、監視対象をシステムコール回数、ファイル・ディレクトリへのアクセス回数、実行時間、イベント数の４つの例を示したが、状態監視部１００は、それらから１つ以上を監視し、状態数値化テーブルは監視対象を結合したテーブルを作成してもよい。

なお、処理を高速にするために、すべてを監視しなくてもよい。すなわち、特定のアプリケーション、アプリケーションに対する特定のシステムコール、ファイル・ディレクトリだけを監視してもよい。

実施の形態２．
実施の形態１では、学習フェーズと実運用とは切り離されていた。すなわち、実運用中は、学習していない。しかし、業務内容や利用者によって、利用される機能が絞られてきたりと必ずしも学習した正常範囲が永久に適しているとは限らない。正常範囲は、逐次、実状にあわせて修正することが、攻撃及び異常をより正確に判断するために不可欠である。そのため、実運用時でも、状態分析部１０２を用いてもよい。すなわち、実運用中、状態数値化部１０１により数値化された状態を評価部１０３で評価するだけでなく、状態分析部１０２で分析することにより、運用中にも逐次正常範囲を修正して、評価基準値情報を更新し、評価基準値情報記憶部１０５が更新後の評価基準値情報を記憶するようにしてもよい。なお、状態分析部１０２と評価部１０３の順番は問わない。実運用中にも状態分析部１０２にて分析することを特徴とする。

また、実運用中、毎回毎回状態分析部１０２で分析しなくてもよい。システムの負荷を考慮し、時間間隔または特定時刻による定期的な分析実行、プログラムの実行回数をトリガーというように毎回分析しなくてもよい。

また、実運用時に分析対象とする状態を、学習時に収集したすべてを含めてもよいし、より最近の実情だけを反映させるために、数日前又は数時間前というように、一部分だけ学習させてもよい。

このように、本実施の形態によれば、プログラムの実運用時に評価基準値情報の更新を行うため、常にプログラムの運用状況に適合した適切な評価基準値情報を得ることができる。

実施の形態３．
以上の実施の形態では、実運用前に正常状態を学習したが、異常状態を学習してもよい。すなわち、例えば、実施の形態１ではプログラムごとにシステムコール回数をカウントしたが、バッファオーバフロー・クロスサイトスクリプティングといった攻撃ごとにシステムコールをカウント及び学習させて、攻撃時のシステムコール回数の範囲を定め、実運用時、評価結果がバッファオーバフロー等の攻撃可能性の範囲に含まれているか否かで攻撃を判断してもよい。

本実施の形態では、実運用前に異常状態を学習し、異常状態の範囲を示す評価基準値情報を評価基準値情報記憶部１０５に記憶させ、また、実運用時に、状態数値化部１０１により生成された状態数値化テーブルの値が評価基準値情報の範囲に合致する場合に、異常と判断する。これ以外は、実施の形態１と同様であり、詳細な説明は省略する。

このように、本実施の形態によれば、あらかじめ各プログラム（プロセス）が異常動作するときのシステムコールの回数をカウントし、各システムコール回数の異常な範囲を算出しておき、実運用時は、各プログラム（プロセス）がコールしたシステムコールの回数があらかじめ算出した異常範囲にあるか否かで攻撃か否かを判断する。そうすることにより、シグニチャ更新不要でまだ発見されてないシステムの脆弱性を悪用した攻撃又は異常を検知することが可能となる。

また、実施の形態１と同様に、システムコールだけでなく、ファイル・ディレクトリへのアクセス数、実行時間、イベント数を監視するようにしてもよい。また、これらを組み合わせて用いてもよい。

ここで、以上の実施の形態で説明した侵入検知装置の主な特徴を以下にて示す。

以上の実施の形態で説明した侵入検知装置は、コンピュータネットワークシステムにおいて、あらかじめシステムの動作をモニタし正常時の状態を記憶し、運用時に、あらかじめ記憶していた状態と異なる場合に異常と判断することを特徴とする。

また、コンピュータネットワークシステムにおいて、プログラムやユーザの振る舞いを数値化する手段を備えたことを特徴とする。

また、コンピュータネットワークシステムにおいて、数値化されたプログラムやユーザの振る舞いを相関分析する手段を備えたことを特徴とする。

実施の形態１に係る侵入検知装置の構成例を示す図。 実施の形態１に係る状態数値化テーブルの一例を示す図。 実施の形態１に係る状態数値化テーブルの一例を示す図。 実施の形態１に係る状態数値化テーブルの一例を示す図。 実施の形態１に係る状態数値化テーブルの一例を示す図。 実施の形態１に係る評価基準値情報の一例を示す図。 実施の形態１に係る侵入検知装置の処理例を示すフローチャート図。

符号の説明

１ 侵入検知装置、１００ 状態監視部、１０１ 状態数値化部、１０２ 状態分析部、１０３ 評価部、１０４ 評価結果表示部、１０５ 評価基準値情報記憶部。

Claims (12)

1. 所定のコンピュータリソースを監視対象リソースとし、監視対象リソースの正常時の動作を監視して生成された、監視対象リスースの正常時の動作状態を定義する評価基準値情報を記憶する評価基準値情報記憶部と、
   前記監視対象リソースの動作を監視するとともに、監視結果から、前記監視対象リソースの動作状態を示す動作状態値情報を生成する状態監視数値化部と、
   前記状態監視数値化部により生成された前記監視対象リソースの動作状態値情報と前記評価基準値情報記憶部に記憶されている評価基準値情報とを比較し、動作状態値情報が評価基準値情報に合致しない場合に、前記監視対象リソースが異常であると評価する評価部と、
   前記評価部による評価結果を出力する評価結果出力部とを有することを特徴とする監視装置。
2. 前記状態監視数値化部は、
   前記監視対象リソースの正常時の動作を監視するとともに、監視結果から、前記監視対象リソースの正常時の動作状態を示す正常時動作状態値情報を生成し、
   前記監視装置は、更に、
   前記状態監視数値化部により生成された正常時動作状態値情報を分析して評価基準値情報を導出する状態分析部を有し、
   前記評価基準値情報記憶部は、
   前記状態分析部により導出された評価基準値情報を記憶することを特徴とする請求項１に記載の監視装置。
3. 前記評価基準値情報記憶部は、
   所定のプログラムを監視対象プログラムとし、監視対象プログラムの正常時のシステムコールの回数を定義する評価基準値情報を記憶し、
   前記状態監視数値化部は、
   前記監視対象プログラムのシステムコールの状況を監視するとともに、監視結果から、前記監視対象プログラムのシステムコールの回数を示す動作状態値情報を生成し、
   前記評価部は、
   前記監視対象プログラムのシステムコールの回数を示す動作状態値情報と前記監視対象プログラムの正常時のシステムコールの回数を定義する評価基準値情報とを比較し、動作状態値情報が評価基準値情報に合致しない場合に、前記監視対象プログラムが異常であると評価することを特徴とする請求項１に記載の監視装置。
4. 前記評価基準値情報記憶部は、
   所定のプログラムを監視対象プログラムとし、監視対象プログラムが正常時に特定のデータにアクセスする回数を定義する評価基準値情報を記憶し、
   前記状態監視数値化部は、
   前記監視対象プログラムのデータアクセス状況を監視するとともに、監視結果から、前記監視対象プログラムが前記特定のデータにアクセスする回数を示す動作状態値情報を生成し、
   前記評価部は、
   前記監視対象プログラムが前記特定のデータにアクセスする回数を示す動作状態値情報と前記監視対象プログラムが正常時に前記特定のデータにアクセスする回数を定義する評価基準値情報とを比較し、動作状態値情報が評価基準値情報に合致しない場合に、前記監視対象プログラムが異常であると評価することを特徴とする請求項１に記載の監視装置。
5. 前記評価基準値情報記憶部は、
   所定のプログラムを監視対象プログラムとし、監視対象プログラムの正常時の実行時間を定義する評価基準値情報を記憶し、
   前記状態監視数値化部は、
   前記監視対象プログラムの実行時間を監視するとともに、監視結果から、前記監視対象プログラムの実行時間を示す動作状態値情報を生成し、
   前記評価部は、
   前記監視対象プログラムの実行時間を示す動作状態値情報と前記監視対象プログラムの正常時の実行時間を定義する評価基準値情報とを比較し、動作状態値情報が評価基準値情報に合致しない場合に、前記監視対象プログラムが異常であると評価することを特徴とする請求項１に記載の監視装置。
6. 前記評価基準値情報記憶部は、
   所定のプログラムを監視対象プログラムとし、監視対象プログラムの正常時のイベント数を定義する評価基準値情報を記憶し、
   前記状態監視数値化部は、
   前記監視対象プログラムのイベント状況を監視するとともに、監視結果から、前記監視対象プログラムのイベント数を示す動作状態値情報を生成し、
   前記評価部は、
   前記監視対象プログラムのイベント数を示す動作状態値情報と前記監視対象プログラムの正常時のイベント数を定義する評価基準値情報とを比較し、動作状態値情報が評価基準値情報に合致しない場合に、前記監視対象プログラムが異常であると評価することを特徴とする請求項１に記載の監視装置。
7. 前記状態分析部は、
   前記状態監視数値化部により生成された動作状態値情報を分析して評価基準値情報を更新し、
   前記評価基準値情報記憶部は、
   前記状態分析部により更新された更新後の評価基準値情報を記憶することを特徴とする請求項２に記載の監視装置。
8. 所定のコンピュータリソースを監視対象リソースとし、監視対象リソースの異常時の動作状態を定義する評価基準値情報を記憶する評価基準値情報記憶部と、
   前記監視対象リソースの動作を監視するとともに、監視結果から、前記監視対象リソースの動作状態を示す動作状態値情報を生成する状態監視数値化部と、
   前記状態監視数値化部により生成された前記監視対象リソースの動作状態値情報と前記評価基準値情報記憶部に記憶されている評価基準値情報とを比較し、動作状態値情報が評価基準値情報に合致する場合に、前記監視対象リソースが異常であると評価する評価部と、
   前記評価部による評価結果を出力する評価結果出力部とを有することを特徴とする監視装置。
9. 所定のコンピュータリソースを監視対象リソースとし、監視対象リソースの動作を監視するとともに、監視結果から、前記監視対象リソースの動作状態を示す動作状態値情報を生成する状態監視数値化ステップと、
   前記監視対象リソースの正常時の動作を監視して生成された、前記監視対象リスースの正常時の動作状態を定義する評価基準値情報と、前記状態監視数値化ステップにより生成された前記監視対象リソースの動作状態値情報とを比較し、動作状態値情報が評価基準値情報に合致しない場合に、前記監視対象リソースが異常であると評価する評価ステップと、
   前記評価ステップによる評価結果を出力する評価結果出力ステップとを有することを特徴とする監視方法。
10. 所定のコンピュータリソースを監視対象リソースとし、監視対象リソースの動作を監視するとともに、監視結果から、前記監視対象リソースの動作状態を示す動作状態値情報を生成する状態監視数値化ステップと、
    前記監視対象リソースの異常時の動作状態を定義する評価基準値情報と、前記状態監視数値化ステップにより生成された前記監視対象リソースの動作状態値情報とを比較し、動作状態値情報が評価基準値情報に合致する場合に、前記監視対象リソースが異常であると評価する評価ステップと、
    前記評価ステップによる評価結果を出力する評価結果出力ステップとを有することを特徴とする監視方法。
11. 所定のコンピュータリソースを監視対象リソースとし、監視対象リソースの動作を監視するとともに、監視結果から、前記監視対象リソースの動作状態を示す動作状態値情報を生成する状態監視数値化処理と、
    前記監視対象リソースの正常時の動作を監視して生成された、前記監視対象リスースの正常時の動作状態を定義する評価基準値情報と、前記状態監視数値化処理により生成された前記監視対象リソースの動作状態値情報とを比較し、動作状態値情報が評価基準値情報に合致しない場合に、前記監視対象リソースが異常であると評価する評価処理と、
    前記評価処理による評価結果を出力する評価結果出力処理とをコンピュータに実行させることを特徴とするプログラム。
12. 所定のコンピュータリソースを監視対象リソースとし、監視対象リソースの動作を監視するとともに、監視結果から、前記監視対象リソースの動作状態を示す動作状態値情報を生成する状態監視数値化処理と、
    前記監視対象リソースの異常時の動作状態を定義する評価基準値情報と、前記状態監視数値化処理により生成された前記監視対象リソースの動作状態値情報とを比較し、動作状態値情報が評価基準値情報に合致する場合に、前記監視対象リソースが異常であると評価する評価処理と、
    前記評価処理による評価結果を出力する評価結果出力処理とをコンピュータに実行させることを特徴とするプログラム。

Images