JP2005235134A - アクセスログ処理装置、アクセスログ処理方法およびアクセスログ処理プログラム - Google Patents

Abstract

【課題】
ネットワークに設置されたセキュリティ対策装置から出力されるアクセスログに対して、異なる複数の情報処理が必要な場合に、入力されたアクセスログに対応した適切な情報処理が実行でき、実行された情報処理結果を任意のタイミングで参照できるアクセスログ解析装置、アクセスログ解析プログラム及びアクセスログ解析方法を提供する。
【解決手段】
データ形式が異なるアクセスログデータのデータ処理を実行するアクセスログ処理装置において、前記アクセスログデータが入力され、入力された前記アクセスログデータのデータ処理を実行する複数のデータ処理部と、前記複数のデータ処理部の各々は、異なる処理規則に対応してデータ処理を実行し、データ処理実行規則を格納する記憶部と、前記アクセスログデータの処理手順を決定するデータ処理管理部とを具備える。そして、前記データ処理管理部は、前記データ処理実行規則に基づいて前記複数のデータ処理部の各々の配列を決定する。
【選択図】 図２

Description

本発明は、アクセスログ処理装置、アクセスログ処理方法およびアクセスログ処理プログラムに関し、特にネットワークに接続されたセキュリティ対策装置から出力されるアクセスログを解析する技術に関する。

情報通信技術の進歩によって、ネットワーク上の不正アクセス方法や、ネットワークに接続された端末に対する攻撃方法もいろいろなものが登場し、それに伴って、ファイアウォールやＩＤＳも、その新たな不正アクセス等を検出する様々な装置やソフトウェアが市場に流通されている。

従来のファイアウォールやＩＤＳ（Intrusion Detection System：侵入検知システム）には、攻撃やアクセスの情報であるアクセスログ（通信記録）が蓄積される。そのようなファイアウォールやＩＤＳのアクセスログを解析処理する部分は、本体部分とは分離されており、アクセスログの解析は、別途外部にログを出力して解析ツールによりその傾向分析を行われるという技術が知られている（例えば、特許文献１参照）。そのよう外部システムによるアクセスログの解析は、日時単位で実行される。アクセスログの解析が固定期間を単位として行われるため、統計処理に用いるデータの提供に適している。

ファイアウォールやＩＤＳを複数備えたシステムにおいて、そのような複数のセキュリティ対策装置から出力されるアクセスログを適切に解析できるアクセスログ解析装置が望まれる。

特開２００３−０９９２９５号公報

本発明が解決しようとする課題は、ネットワークに設置されたセキュリティ対策装置から出力されるアクセスログに対して、その複数のアクセスログに対応した異なる複数の情報処理が必要な場合に、入力されたアクセスログの各々に対して適切な情報処理が実行でき、実行された情報処理結果を任意のタイミングで参照できるアクセスログ解析装置、アクセスログ解析プログラム及びアクセスログ解析方法を提供することにある。

さらに、本発明が解決しようとする他の課題は、ファイアウォールやＩＤＳなどのセキュリティ対策装置から出力されたアクセスログについて、ログの出力の時点で解析と統計情報の計算を行い、不正なアクセスを検出した場合に、検出直前までの統計情報や解析情報を参照出来るアクセスログ解析装置、アクセスログ解析プログラム及びアクセスログ解析方法を提供することにある。

さらに、本発明が解決しようとする他の課題は、複数の異なるセキュリティ装置から受信した、連続するログのシーケンスを、逐次検査する処理モジュールを備え、単純なログのパターン一致による外部処理の起動以外に、複雑な一連の処理の実行結果を元に、外部の処理を行うべきかどうかを判断できるアクセスログ解析装置、アクセスログ解析プログラム及びアクセスログ解析方法を提供することにある。

さらに、本発明が解決しようとする他の課題は、一旦セキュリティ対策装置から出力されてしまったログの表示形式を、中間形式に変更して処理を実行し、その中間形式からさらに最終的に出力する形式に変更してアクセスログを出力することで、セキュリティ対策装置から出力されてしまったログの表示形式に縛られること無く、アクセスログに対応した任意の出力形式を選択できるアクセスログ解析装置、アクセスログ解析プログラム及びアクセスログ解析方法を提供することにある。

以下に、［発明を実施するための最良の形態］で使用される番号を用いて、課題を解決するための手段を説明する。これらの番号は、［特許請求の範囲］の記載と［発明を実施するための最良の形態］との対応関係を明らかにするために付加されたものである。ただし、それらの番号を、［特許請求の範囲］に記載されている発明の技術的範囲の解釈に用いてはならない。

データ形式が異なるアクセスログデータのデータ処理を実行するアクセスログ処理装置（２）において、
前記アクセスログデータが入力され、入力された前記アクセスログデータのデータ処理を実行する複数のデータ処理部（２５、２７〜２９、３２、３３、３７）と、前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の各々は、独立したモジュールで構成され、異なる処理規則に対応してデータ処理を実行するものであり、さらにデータ処理実行規則（５０）を格納する記憶部（３）と、前記アクセスログデータの処理手順を決定することによって、前記処理手順を確定するデータ処理管理部（１１）とを具備し、
前記データ処理管理部（１１）は、前記データ処理実行規則（５０）に基づいて前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の各々の配列を決定するアクセスログ処理装置（２）を使用してセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。これによって、モジュール化されたデータ処理部を自由に配列したアクセスログ解析装置を構成することが可能になり、データ処理を行う場合の手順を任意に変更することができる。

そのアクセスログ処理装置（２）において、前記データ処理実行規則（５０）は、データ振分け情報と、データ処理実行順序情報とを含み、前記データ振分け情報は、前記アクセスログデータのデータ処理を実行するデータ処理部を指定する情報であり、前記データ処理順序情報は、前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の各々が前記アクセスログデータのデータ処理を実行する順序を定めた情報であるアクセスログ処理装置（２）を使用してセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。これによって、入力されたデータに対応したデータ処理部を指定することが可能になる。、また、あるデータ処理部から出力された処理済データをさらに別のデータ処理部で処理を実行させることができる。

そのアクセスログ処理装置（２）において、前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の少なくとも一つは、データ形式変換処理を実行するデータ形式変換部（２５）であり、前記データ形式変換部（２５）は、前記アクセスログデータを逐次入力され、所定のデータ形式と異なるデータ形式で構成されたアクセスログデータのデータ形式を、所定のデータ形式に変換して形式変換済データを生成し、前記形式変換済データを前記記憶部（３）に格納するアクセスログ処理装置（２）を使用してセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。これによって、複数の異なるセキュリティ対策装置から出力されたデータであっても、データ形式に制限されること無く適切なデータ処理を行うことが可能になる。

そのアクセスログ処理装置（２）において、前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の少なくとも一つは、統計処理を実行する統計処理部（２９）であり、前記統計処理部（２９）は、前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の少なくとも一つから出力された異常なアクセスに関する情報に基づいて、前記アクセスログデータの統計処理結果を出力するアクセスログ処理装置（２）を使用して、セキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。これによって、予め決められた期間の統計データではなく、異常なアクセス（不正侵入や、攻撃など）が発生した時点での統計データを知ることが可能になる。

そのアクセスログ処理装置（２）において、前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の少なくとも一つは、外部プログラムの起動を実行する外部プログラム起動部（３２）であり、前記外部プログラム起動部（３２）は、前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の少なくとも一つから出力された、データ処理済のアクセスログデータが入力され、前記データ処理済のアクセスログデータの入力に応答して、前記外部プログラムを起動するアクセスログ処理装置（２）を使用して、セキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。これによって、外部プログラムとの連係が可能になり、より信頼性の高いアクセスログ解析の実行が可能になる。

そのアクセスログ装置（２）において、前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の少なくとも一つは、入力されたアクセスログデータの関連性を判別するための関連性情報を備えた連続ログデータ処理部であり、前記連続ログデータ処理部には、前記アクセスログデータが逐次入力され、前記連続ログデータ処理部は、入力された前記アクセスログデータの順列または組合せと、前記関連性情報とから、異常アクセスの発生を検出するアクセスログ処理装置（２）を使用して、セキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのアクセスログ処理装置（２）において、前記データ処理管理部（１１）は、前記データ処理実行規則（５０）に基づいて、前記アクセスログデータを処理する複数のデータ処理機能ブロックを生成し、前記データ処理機能ブロックは直列に構成され、前記データ処理機能ブロックの各々は、少なくとも一つの前記データ処理部を含み、前記複数のデータ処理機能ブロックの第１ブロックは、前記データ形式変換部（２５）を含むアクセスログ処理装置（２）を使用して、セキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

データ処理実行規則（５０）を読み出すステップと、前記データ処理実行規則（５０）に基づいて前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の各々の配列を決定するステップと、アクセスログデータが入力され、前記アクセスログデータのデータ処理を異なる処理規則に対応して実行するステップと、前記配列に基づいて前記アクセスログデータの処理手順を決定するステップを具備する方法をコンピュータで実行可能なプログラムによって、セキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのプログラムにおいて、前記データ処理実行規則（５０）は、データ振分け情報と、データ処理実行順序情報とを含み、前記データ振分け情報は、前記アクセスログデータのデータ処理を実行するデータ処理部を指定する情報であり、前記データ処理順序情報は、前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の各々が前記アクセスログデータのデータ処理を実行する順序を定めた情報であるコンピュータで実行可能なプログラムによってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのプログラムにおいて、所定のデータ形式と異なるデータ形式で構成されたアクセスログデータのデータ形式を、所定のデータ形式に変換して形式変換済データを生成するステップと、生成された前記形式変換済データを前記記憶部（３）に格納するステップを具備する方法をコンピュータで実行可能なプログラムによってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのプログラムにおいて、異常なアクセスに関する情報を出力するステップと、前記情報にに基づいて、前記アクセスログデータの統計処理結果を出力するステップを具備する方法をコンピュータで実行可能なプログラムによってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのプログラムにおいて、データ処理済のアクセスログデータを外部プログラムで処理するべきかどうか判断するステップと、前記データ処理済のアクセスログデータが、前記外部プログラムで処理するべきものであった場合、前記外部プログラムを起動するステップを具備する方法をコンピュータで実行可能なプログラムによってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのプログラムにおいて、アクセスログデータが逐次入力され、入力された前記アクセスログデータの順列または組合せを判別するステップと、前記順列または組合せと、前記関連性情報とから、異常アクセスの発生を検出するステップを具備する方法をコンピュータで実行可能なプログラムによってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのプログラムにおいて、前記データ処理実行規則（５０）に基づいて、前記アクセスログデータを処理する直列に構成された複数のデータ処理機能ブロックを生成するステップと、前記複数のデータ処理機能ブロックの第１ブロックによって、所定のデータ形式と異なるデータ形式で構成されたアクセスログデータのデータ形式を、所定のデータ形式に変換して形式変換済データを生成するステップを具備する方法をコンピュータで実行可能なプログラムによってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

データ処理実行規則（５０）を読み出すステップと、前記データ処理実行規則（５０）に基づいて前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の各々の配列を決定するステップと、アクセスログデータが入力され、前記アクセスログデータのデータ処理を異なる処理規則に対応して実行するステップと、前記配列に基づいて前記アクセスログデータの処理手順を決定するステップを具備するアクセスログデータ処理方法によってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのアクセスログデータ処理方法において、前記データ処理実行規則（５０）は、データ振分け情報と、データ処理実行順序情報とを含み、前記データ振分け情報は、前記アクセスログデータのデータ処理を実行するデータ処理部を指定する情報であり、前記データ処理順序情報は、前記複数のデータ処理部（２５、２７〜２９、３２、３３、３７）の各々が前記アクセスログデータのデータ処理を実行する順序を定めた情報であるアクセスログデータ処理方法によってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのアクセスログデータ処理方法において、所定のデータ形式と異なるデータ形式で構成されたアクセスログデータのデータ形式を、所定のデータ形式に変換して形式変換済データを生成するステップと、生成された前記形式変換済データを前記記憶部（３）に格納するステップを具備するアクセスログデータ処理方法によってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのアクセスログデータ処理方法において、異常なアクセスに関する情報を出力するステップと、前記情報にに基づいて、前記アクセスログデータの統計処理結果を出力するステップを具備するアクセスログデータ処理方法によってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのアクセスログデータ処理方法において、データ処理済のアクセスログデータを外部プログラムで処理するべきかどうか判断するステップと、前記データ処理済のアクセスログデータが、前記外部プログラムで処理するべきものであった場合、前記外部プログラムを起動するステップを具備するアクセスログデータ処理方法によってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのアクセスログデータ処理方法において、アクセスログデータが逐次入力され、入力された前記アクセスログデータの順列または組合せを判別するステップと、前記順列または組合せと、前記関連性情報とから、異常アクセスの発生を検出するステップを具備するアクセスログデータ処理方法によってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

そのアクセスログデータ処理方法において、前記データ処理実行規則（５０）に基づいて、前記アクセスログデータを処理する直列に構成された複数のデータ処理機能ブロックを生成するステップと、前記複数のデータ処理機能ブロックの第１ブロックによって、所定のデータ形式と異なるデータ形式で構成されたアクセスログデータのデータ形式を、所定のデータ形式に変換して形式変換済データを生成するステップを具備するアクセスログデータ処理方法によってセキュリティ対策装置（５〜７）から出力されるアクセスログの解析を行う。

本発明によれば、ファイアウォールやＩＤＳなどのセキュリティ対策装置から出力されたアクセスログについて、ログの出力の時点で解析と統計情報の計算を行うため、不正なアクセスを検出した場合に、検出直前までの統計情報や解析情報を参照出来る効果がある。

さらに、本発明によれば、複数の異なるセキュリティ装置から受信した、連続するログのシーケンスを、逐次検査する処理モジュールを組み込む事が可能であるため、単純なログのパターン一致による外部処理の起動以外に、複雑な一連の処理の実行結果を元に、外部の処理を行うべきかどうかを判断できる効果がある。

さらに、本発明によれば、一旦セキュリティ対策装置から出力されてしまったログの表示形式を、中間形式に変更して処理を実行し、その中間形式からさらに最終的に出力する形式に変更してアクセスログを出力するため、セキュリティ対策装置から出力されてしまったログの表示形式に縛られること無く、アクセスログに対応した任意の出力形式を選択できる効果がある。

以下に図面を使用して本発明を実施の形態について述べる。本発明のアクセスログ解析装置は、バッチ処理やトランザクションプログラムの動作ログを監視し、エラーが発生するまでのシーケンスをチェックして、別途対処が必要なものか、そうでないかを自動判定する様々な装置に適用可能である。また障害発生シーケンス毎に、個別の自動復旧処理を組み込むといった用途にも適用出来る。以下では、本発明をファイアウォール等のセキュリティ対策装置に適用した場合の実施の形態を例に説明を行う。

［実施の構成］
図１は、本発明の実施の形態におけるアクセスログ処理装置を備えるコンピュータ１を含むネットワークシステムの構成を示すブロック図である。図１を参照すると、そのネットワークシステムは、コンピュータ１と、そのコンピュータ１に接続または内蔵されるファイアウォール５、ＩＤＳ６及びログ出力プログラム７と、そのファイアウォール５、ＩＤＳ６及びログ出力プログラム７の各々に接続されるネットワーク８と、コンピュータ１に接続される表示部９とで構成される。図１に示されるファイアウォール５、ＩＤＳ６及びログ出力プログラム７は、並列の接続され各々が直接コンピュータ１と接続しているが、この構成は本実施の形態におけるセキュリティ対策装置の接続関係を限定しない。本実施の形態のアクセスログ処理は、異なる種類のセキュリティ対策装置を直列に接続した場合でも実行可能である。また、本実施の形態におけるセキュリティ対策装置は、ファイアウォール５、ＩＤＳ６及びログ出力プログラム７のみに限定されない。

コンピュータ１は、プログラムによって入力された情報を処理する情報処理端末である。コンピュータ１は、ファイアウォール５、ＩＤＳ６及びログ出力プログラム７の少なくとも一つを介してネットワーク８に接続され、ネットワーク８を介して送信された情報を受信する。コンピュータ１は更に、アクセスログデータ処理部２と、記憶部３と、ＣＰＵ４と、ファイアウォール５と、通信用インターフェース１２とを備え、アクセスログデータ処理部２はデータ処理実行部１０と、フロー管理部１１とを含む。

ファイアウォール５は、コンピュータ１とネットワーク８との間に設置された、ネットワーク上の不正アクセスや不正侵入を防止するセキュリティ対策装置である。ファイアウォール５はファイアウォールログファイル生成部５ａを備え、ネットワーク８に接続された外部端末（図示されず）から送信された、コンピュータ１に対するアクセス要求を受信する。ファイアウォールログファイル生成部５ａは、アクセス要求を受信する毎に、そのアクセス要求を送信した送信元や、どのような種類のアクセス要求が発生したのかなどの記録（以下、ファイアウォールログと呼ぶ。）を含むファイアウォールログファイルを生成し、そのファイアウォールログファイルをコンピュータ１に出力する。

ＩＤＳ６は、コンピュータ１とネットワーク８との間に設置されたセキュリティ対策装置である。ＩＤＳ６はＩＤＳログファイル生成部６ａを備え、コンピュータやネットワークへの不正侵入や攻撃の検出を行う。ＩＤＳログファイル生成部６ａは、コンピュータ１に対する接続要求が発生する毎に、その接続要求が適正かどうかを監視し、不正な接続要求を検出した場合、その検出した不正侵入や攻撃の関する記録（以下、ＩＤＳログと呼ぶ）を含むＩＤＳログファイルを生成し、そのＩＤＳログファイルをコンピュータ１に出力する。

ログ出力プログラム７は、コンピュータ１とネットワーク８との間に設置されたネットワークの監視を行うセキュリティ対策プログラムである。ログ出力プログラム７はログデータ生成部７ａを備え、ネットワークを監視することによって発生したコンピュータ１への接続に関する記録（以下、ログデータと呼ぶ）を生成する。ログデータ生成部７ａはそのログデータをコンピュータ１に送信する。

ネットワーク８は、インターネットに代表される情報通信ネットワークである。通信回路や通信ケーブルを使用して複数のコンピュータ（図示されず）同士が接続され、データの送受信やリソースの共有を行うことが可能である。

表示部９は、コンピュータ１から出力された情報を表示する情報表示機能ブロックである。例えば、コンピュータ１から出力された情報が画面表示用データの場合、表示部９は液晶ディスプレイなどの情報表示装置に対応する。また、コンピュータ１から出力された情報が印刷用データの場合、表示部９は印刷装置に対応する。

上述のコンピュータ１が備える、アクセスログデータ処理部２、記憶部３、ＣＰＵ４および通信用インターフェース１２に関して以下に説明を行う。図１に示されるように、アクセスログデータ処理部２、記憶部３、ＣＰＵ４および通信用インターフェース１２の各々はバスを介して互いに接続する。また、アクセスログデータ処理部２はデータ処理実行部１０と、フロー管理部１１とを含み、それらは互いに接続されている。

アクセスログデータ処理部２はファイアウォール５、ＩＤＳ６およびログ出力プログラム７の少なくとも一つから送信されたアクセスログ（ファイアウォールログ、ＩＤＳログまたはログデータ）の解析処理を行う情報処理機能ブロックである。アクセスログデータ処理部２に備えられたデータ処理実行部１０はアクセスログの解析を実行する解析実行機能ブロッである。フロー管理部１１は、データ処理実行部１０が実行するアクセスログの解析動作を制御する制御機能ブロックである。データ処理実行部１０およびフロー管理部１１に関する詳しい説明は後で説明する。

記憶部３は、コンピュータ１に備えられた情報記憶機能ブロックである。記憶部３は、磁気記憶装置や半導体記憶装置に情報を格納することで情報の記憶を行う。記憶部３に格納される情報は、例えば、コンピュータ１を動作させるためのプログラムや、フロー管理部１１がデータ処理実行部１０の制御を行う為に使用する設定ファイル、アクセスログデータ処理部２から出力された処理結果のデータである。ＣＰＵ４は、コンピュータ１内部に備えられた各種装置（図示されず）の制御やデータの処理を実行する演算処理機能ブロックである。ＣＰＵ４は入力装置などから受け取ったデータを解釈して演算を実行し、その演算結果を出力する。通信用インターフェース１２は、コンピュータ１とネットワーク８とを接続する接続機能ブロックである。ＮＩＣ（Network Interface Card）などと同様の機能を有し、ファイアウォール５、ＩＤＳ６及びログ出力プログラム７の少なくとも一つと接続する。

図２は、記憶部３とデータ処理実行部１０との構成を詳細に示すブロック図である。図２を参照すると、記憶部３は設定ファイル５０と中間形式蓄積ログファイル４０と統計情報蓄積ファイル６０とを格納する。設定ファイル５０は、外部に設置されたセキュリティ対策装置（５〜７）から入力されたアクセスログの処理手順を決定するために使用される設定ファイルである。設定ファイル５０の詳細に関しては後で説明する。また、図２に示されるデータ処理実行部１０は、設定ファイル５０の設定によりデータ処理機能ブロックが３段階に構成される場合の例であるが、これは本実施の形態におけるデータ処理機能ブロックの構成を限定するものではない。

中間形式蓄積ログファイル４０は、データ処理実行部１０の中間形式変換／ログ蓄積処理部２５から出力された処理結果が記録されたログファイルである。中間形式蓄積ログファイル４０には、中間形式変換／ログ蓄積処理部２５から時系列（中間形式変換／ログ蓄積処理部２５が第１内部キュー２４からデータを受け取った順番）で出力された中間形式データ（データフォーマットを中間形式に変換されたアクセスログ）が記録されて記憶部３に格納される。統計情報蓄積ファイル６０は、データ処理実行部１０の統計処理部２９から出力された処理結果が記録されたログファイルである。統計情報蓄積ファイル６０には、統計処理部２９から出力された統計情報が格納される。

データ処理実行部１０は、複数のセキュリティ対策装置の各々から送信されたアクセスログを受信する読込部（２１〜２３）を備える。図２には、ファイアウォールログ読込部２１と、ＩＤＳログ読込部２２と、ライブラリ出力読込部２３とを備えるデータ処理実行部１０に構成を示すが、これは本実施の形態におけるアクセスログ読込部の数を限定するものではない。データ処理実行部１０は更に、データを格納する機能を有する第１〜第３内部キュー（２４、３０、３５）と、入力されたデータを所定の規則にしたがって振分けて出力する第１〜第３ディスパッチャ（２６、３１、３６）と、モジュール化された複数のデータ処理モジュール（２５、２７、２８、２９、３２、３３、３７）とを備える。

データ処理実行部１０は、内部キューと処理モジュールとディスパッチャとの組み合わせによって、データ処理機能ブロックを構成する。データ処理機能ブロックは、フロー管理部１１からの指示の基づいて構成され、設定ファイル５０の設定によって任意に変更が可能である。設定ファイル５０に変更が加わった場合、フロー管理部１１は、アクセスログデータ処理部２の起動（または再起動）時に設定ファイル５０を読み込み、設定ファイル５０の設定に基づいて、データ処理機能ブロックの構成を変更する。

ファイアウォールログ読込部２１はファイアウォール５から送信されたファイアウォールログファイルを読み込むファイル読み取り機能ブロックである。ＩＤＳログ読込部２２はＩＤＳ６から送信されたＩＤＳログファイルを読み込むファイル読み取り機能ブロックである。ライブラリ出力読込部２３はログ出力プログラム７から送信されたログデータの読み込みを実行するデータ読み取り機能ブロックである。

第１〜第３内部キューは、受信したデータを時系列に（受信した順番に）格納し、ＦＩＦＯ方式で出力するデータ記憶機能ブロックである。第１内部キュー２４は、ファイアウォールログ読込部２１、ＩＤＳログ読込部２２及びライブラリ出力読込部２３の少なくとも一つから出力されたアクセスログを、中間形式変換／ログ蓄積処理部２５に出力する。第２内部キュー３０はパススル―処理部２７、シーケンス検査処理部２８及び統計処理部２９の少なくとも一つから出力された処理済データを第２ディスパッチャ３１に出力する。第３内部キュー３５は形式変換処理部３３から出力された処理済データを第３ディスパッチャ３６に出力する。

第１〜第３ディスパッチャは、入力されたデータに基づいて、そのデータを所定のデータ処理モジュールに出力するデータ振分け機能ブロックである。第１〜第３ディスパッチャの各々は入力されたデータの内容や種類に応じて、そのデータを処理するデータ処理モジュールを決定し、その決定されたデータ処理モジュールに該当するデータを出力する。

複数のデータ処理モジュール（２５、２７、２８、２９、３２、３３、３７）の各々は、入力されたデータに対する情報処理を実行する情報処理機能ブロックである。中間形式変換／ログ蓄積処理部２５は、入力されたデータが、所定のデータフォーマットと異なるデータフォーマットである場合に、その入力されたデータを所定のデータフォーマットに変換するデータフォーマット変換処理機能ブロックである。中間形式変換／ログ蓄積処理部２５は入力されたデータのデータフォーマットを変換した後、その変換後のデータを時系列で中間形式蓄積ログファイル４０に出力する。また、中間形式変換／ログ蓄積処理部２５は入力されたデータのデータフォーマットを変換した後、その変換後のデータを時系列で第１ディスパッチャ２６に出力する。

パススル―処理部２７は、入力されたデータに対する情報処理を実行せずに第２内部キュー３０に出力するスルー処理機能ブロックである。第１ディスパッチャ２６からパススル―処理部２７に受け渡されたデータは、次の第２内部キュー３０にそのまま引き継がれる。

シーケンス検査処理部２８は、入力されたアクセスログのシーケンス（順序または組合せ）を検査するシーケンス検査機能ブロックである。シーケンス検査処理部２８は、シーケンス検査を実行した結果、不正なシーケンスに該当するシーケンスが検出された場合、その不正シーケンスを通知するシーケンス検査処理済データを生成し、第２内部キュー３０に出力する。

統計処理部２９は、入力されたアクセスログに含まれる情報（送信元ＩＰアドレス、ポート情報、アクセス方式に関する情報など）に基づいて、統計処理を実行する統計処理機能ブロックである。統計処理部２９は、統計処理を実行し、それによって生成された統計処理済データを統計情報蓄積ファイル６０に出力する。また、統計処理部２９は、統計値が一定の閾値を超えた場合、統計処理済データを第２内部キュー３０に出力する。

外部コマンド起動部３２は、入力されたデータに応答して外部コマンドを起動する、外部処理機能ブロックである。外部コマンド３４は、データ処理実行部１０の外部コマンド起動部３２から出力された起動命令に対応して起動され、アクセスログを処理するための外部プログラムである。外部コマンド３４は、外部コマンド起動部３２からの命令によって起動された後、外部コマンド起動部３２から出力されたアクセスログを受信する。外部コマンド３４はその受信したアクセスログに対して、データ処理実行部１０に備えられた複数のデータ処理モジュールで行われるデータ処理以外のデータ処理を実行する。

形式変換処理部３３は、入力されたデータを外部出力可能なデータ形式に変換する形式変換機能ブロックである。外部出力処理部３７は、入力されたデータを表示部９に出力するデータ出力機能ブロックである。

図３は、フロー管理部１１がデータ処理実行部１０を構成するために読込む設定ファイル５０の構成の１例を示す図である。図３を参照すると、設定ファイル５０は複数のデータ処理モジュールの各々をフィルタに見立てて記述される。処理名５１は実行される処理を識別するための処理名を示す。処理名５１以下に記述される第１段フィルタ５２から第３段フィルタ５４の各々は、データ処理実行部１０に構成されるデータ処理機能ブロックの段を示し、第１段フィルタ５２の次の行に、配置するフィルタ（データ処理モジュール）名を記述することで第１段目のフィルタが設定される。同様に、第２、第３段目のフィルタを構成するために第２段フィルタ５３、第３段フィルタ５４の次の行に任意のフィルタ名を記述する。これによって、任意のデータ処理機能ブロックを設定し、そのデータ処理機能ブロックを複数段に構成することが可能になる。

図３に示される設定ファイル５０には、
＜ファイル定義＞
＜処理名キー＞ 実際の処理手順名
＜フィルタ段数指定キー＞：
フィルタ名
指定オプション
が記述され、フロー管理部１１はその設定ファイル５０の記述を順次読込むことで、データ処理実行部１０の構成を決定する。上述の設定ファイル５０の記述形式は、本実施の形態における設定ファイルの記述形式を限定するものではなく、更に詳細な設定ファイルを構成することも可能である。

各フィルタ名の次の行には、そのフィルタで処理されるデータを特定するためのオプション（“――”で始まる部分）が指定される。各フィルタには、オプションによって特定されたデータが入力され、各フィルタは入力されたデータの処理が完了した後、その処理済みデータを所定のデータ処理機能ブロックに出力する。

図３に記載された設定ファイル５０の設定を例にすると、第１段フィルタ５２には、Ｓｙｓｌｏｇ入力フィルタと、ファイアウォール入力フィルタと、ログファイル入力フィルタで構成される設定である。さらに、第２段フィルタ５３は日本語変換フィルタで構成され、第３段フィルタ５４は、ファイル出力フィルタとコマンド出力フィルタとで構成される設定である。また、第１段フィルタ５２のＳｙｓｌｏｇ入力フィルタには、ＧＥＴというキーワードを含む全てのデータ形式のデータが入力されることが設定されている。

［実施の動作］
図４Ａおよび図４Ｂは、本実施の形態の動作を示すフロー―チャートである。図４Ａは本実施の形態の動作の前半部分を示し、図４Ｂは本実施の形態の動作の後半部分を示す。図４Ａを参照すると、本実施の形態の動作は、アクセスログデータ処理部２を起動（または再起動）すると開始する（ステップＳ１０１）。ステップＳ１０２において、アクセスログデータ処理部２のフロー管理部１１は起動開始に対応して記憶部３に格納された設定ファイル５０を読込む。フロー管理部１１はその読込んだ設定ファイル５０に基づいてデータ処理実行部１０の構成を決定する。以下では、ステップＳ１０２で決定されたデータ処理実行部１０の構成が、図２に示される構成である場合を例に、本実施の形態における動作について述べる。

ステップＳ１０３において、ファイアウォールログ読込部２１、ＩＤＳログ読込部２２およびライブラリ出力読込部２３はネットワーク上に設置されたセキュリティ対策装置（５〜７）の各々から出力されたアクセスログに関する情報（アクセスログ）を受け取る。コンピュータ１に接続されたファイアウォール５、ＩＤＳ６及びログ出力プログラム７の各々は、コンピュータ１に対する接続要求を常時監視し、接続要求が発生するたびにアクセスログを出力する。ファイアウォールログ読込部２１、ＩＤＳログ読込部２２およびライブラリ出力読込部２３は、そのアクセスログを時系列で受信し、第１内部キュー２４に出力する。

ステップＳ１０４において、第１内部キュー２４は、入力されたアクセスログを中間形式変換／ログ蓄積処理部２５に出力する。中間形式変換／ログ蓄積処理部２５は、複数のセキュリティ対策装置から受信した各々が異なるフォーマットのアクセスログを、所定のデータフォーマット（以下、中間形式と呼ぶ。）に変換する。入力されたアクセスログが中間形式と同一のデータフォーマットであった場合には、データフォーマットの変換は行わない。中間形式変換／ログ蓄積処理部２５は処理済みのアクセスログを入力された順に、中間形式蓄積ログファイル４０に出力する。

ステップＳ１０５において、中間形式蓄積ログファイル４０は、中間形式変換／ログ蓄積処理部２５から出力されたアクセスログを格納する。中間形式蓄積ログファイル４０は中間形式変換／ログ蓄積処理部２５から出力されるアクセスログに含まれるログの発生時刻（セキュリティ対策装置がそのアクセスに関する記録を取った日時）の順にデータの格納を行う。

ステップＳ１０６において、中間形式変換／ログ蓄積処理部２５でデータフォーマットを中間形式に変換されたアクセスログは、第１ディスパッチャ２６に出力される。第１ディスパッチャ２６は、逐次で入力されたアクセスログの内容や作成日時などに基づいて、そのデータに対応した処理を実行するために、そのデータを所定のデータ処理モジュールに振分ける。

ステップＳ１０７において、第１ディスパッチャ２６は、そのアクセスログが統計処理をおこなうべきデータかどうかの判断を行う。その結果、統計処理が必要なデータが主力されていた場合、処理はステップＳ１０８に進み、統計処理が不必要なデータだった場合、処理はステップＳ１０９に進む。

ステップＳ１０８において、統計処理が必要なデータに対して、シーケンス検査処理を行うべきかどうかの判断を行う。その結果、シーケンス検査処理が必要であるならば、そのアクセスログはシーケンス検査処理部２８と統計処理部２９との各々に出力される（ステップ１１０）。シーケンス検査処理が不必要であるならば、そのアクセスログは、統計処理部２９に出力され、処理はステップＳ１１１に進む。

ステップＳ１０９において、統計処理が不必要なデータに対してシーケンス検査処理を実行するべきかどうかの判断を行う。その結果、シーケンス検査処理が必要なデータであった場合、ステップＳ１１２に進み、シーケンス検査処理が不必要なデータであった場合、処理はステップＳ１１３に進む。

ステップＳ１１１において、第１ディスパッチャ２６から出力されたアクセスログを受信した統計処理部２９は、そのアクセスログに含まれる情報（ＩＰアドレス、ポート情報など）に対する統計処理を実行する。統計処理部２９は、その処理によって得られた統計値を統計情報蓄積ファイル６０に出力し、さらに、その統計値が一定の閾値を超えたかどうかの判断を実行する（ステップＳ１１４）。ステップＳ１１２において、第１ディスパッチャ２６から出力されたアクセスログを受信したシーケンス検査処理部２８は、一定量のデータをシーケンス検査処理部２８内に一時的に記憶し、不正なシーケンスに該当するシーケンスが検出されたかどうかの判断を実行する（ステップ１１５）。ステップＳ１１３において、パススル―処理部２７は第１ディスパッチャ２６から出力されたアクセスログをデータ処理を実行することなく第２内部キュー３０に出力する。

図４Ｂを参照すると、ステップＳ１１４において、統計処理部２９は実行した統計処理の結果が、一定の閾値を超えたかどうかの判断を行い、その結果、あらかじめ設定された閾値を超えていない場合、その処理結果を記憶部３に保存した後に処理を終了する（ステップＳ１１６）。上記判断の結果、統計処理の結果が、その閾値を超えていた場合、統計処理部２９は、その処理結果を第２内部キュー３０に出力する。

ステップＳ１１５において、シーケンス検査処理部２８が実行したシーケンス検査の結果、不正なシーケンスに該当するシーケンスが検出され無かった場合、ステップＳ１１６と同様にその処理結果を記憶部３に保存した後に処理を終了する（ステップＳ１１７）。シーケンス検査処理部２８によって、不正なシーケンスに該当するシーケンスが検出された場合、シーケンス検査処理部２８は、その処理結果を第２内部キュー３０に出力する。

ステップＳ１１８において、パススル―処理部２７、シーケンス検査処理部２８および統計処理部２９の少なくとも一つから出力されたアクセスログを受信した第２内部キュー３０は、そのアクセスログを各モジュールから出力された順に格納する。さらに、第２内部キュー３０は、格納したアクセスログを格納した順に第２ディスパッチャ３１に出力する（ステップＳ１１９）。

ステップＳ１２０において、第２ディスパッチャ３１は入力されたアクセスログが外部コマンドによる情報処理が必要なものかどうかの判断を実行する。その結果、外部コマンドによる処理が必要なデータが入力された場合、処理はステップＳ１２２に進み、そのデータは外部コマンド起動部３２に出力される。外部コマンドによる処理が必要ないアクセスログが入力された場合、ステップＳ１２１に進み、外部出力処理が必要かどうかの判断が実行される。

ステップＳ１２１において、第２ディスパッチャ３１に入力されたアクセスログが外部出力する必要がないデータだった場合、処理はステップＳ１２４に進む。ステップＳ１２４において、外部コマンド起動部３２は入力されたアクセスログを記憶部３に保存した後に処理を終了するステップＳ１２１での判断の結果、入力されたアクセスログが外部出力が必要なデータであった場合、そのデータは外部コマンド起動部３２から形式変換処理部３３に出力される。

ステップＳ１２３において、外部コマンド起動部３２から出力されたアクセスログを受信した形式変換処理部３３は、設定ファイル５０に設定された外部出力形式の指定にしたがってデータ形式の変換（元のログに対応した新規のメッセージの生成）を実行する。形式変換処理部３３は、例えば、元のログデータが英語のログであった場合に、対応する日本語に変換して出力したり、元のログに含まれるデータを分割して、中に含まれる数値のみをＣＳＶ形式に変換して出力するといったデータ形式の変換を行う。形式変換処理部３３は、データ変換が終了したアクセスログを第３内部キュー３５に出力する。形式変換処理部３３から出力されたアクセスログは、第３内部キュー３５に入力され、第３内部キュー３５はその入力されたデータを一時的に記憶する（ステップＳ１２５）。

ステップＳ１２６において、第３内部キュー３５に記憶されたアクセスログは、ＦＩＦＯ方式で第３ディスパッチャ３６に読込まれる。第３ディスパッチャ３６は読込んだアクセスログから、設定ファイル５０に設定された情報に基づいて外部出力が必要なデータを選別する。第３ディスパッチャ３６は設定ファイル５０に設定された情報に基づいてそのデータを出力すべき外部出力処理部３７を決定し、決定した外部出力処理部３７にそのアクセスログを出力する。ステップＳ１２７において、第３ディスパッチャ３６から出力されたデータを受信した外部出力処理部３７は、所定のデータ出力を実行し、フローチャートは動作を終了する。

これによって、ファイアウォールやＩＤＳなどのセキュリティ対策装置から出力されたアクセスログについて、ログの出力の時点で解析や統計情報の計算を実行し、不正なアクセスを検出した場合に、検出直前までの統計情報や解析情報を参照することが可能になる。

さらに、本発明には図示されていないが、セキュリティ装置から受信した、連続するログのシーケンスを、逐次検査する処理モジュールを組み込む事が可能である。このような、ログのシーケンスを順序性を判定する処理モジュール（以下、連続ログデータ処理部と呼ぶ）は、異なるアクセス要求に関連性が存在する場合、その関連性情報を格納する。連続ログデータ処理部は、受信したアクセスログデータの各々は通常のアクセス要求である場合でも、組合せによって異常アクセスになる可能性を見出した場合（例えば、不正侵入の予備動作としてのアクセス要求の組）、その組合せを検出し、異常アクセス発生（または可能性）を通知するメッセージを生成する。これによって、個々のログデータだけではなく、複数のログデータの順列または組み合わせからも異常アクセスを検出することが可能になり、より効果的なアクセスログ解析の実行が可能になる。

図１は、本実施の形態の構成を示すブロック図である。 図２は、アクセスログデータ処理部の構成を示す部ブロック図である。 図３は、設定ファイルの構成を示す図である。 図４Ａは、本実施の形態の動作を示すフローチャートである。 図４Ｂは、本実施の形態の動作を示すフローチャートである。

符号の説明

１…コンピュータ
２…アクセスログデータ処理部
３…記憶部
４…ＣＰＵ
５…ファイアウォール、５ａ…ファイアウォールログファイル生成部
６…ＩＤＳ、６ａ…ＩＤＳログファイル生成部
７…ログ出力プログラム、７ａ…ログデータ生成部
８…ネットワーク
９…表示部
１０…データ処理実行部
１１…フロー管理部
１２…通信用インターフェース
２１…ファイアウォールログ読込部、２２…ＩＤＳログ読込部
２３…ライブラリ出力ログ読込部
２４…第１内部キュー
２５…中間形式変換／ログ蓄積処理部
２６…第１ディスパッチャ
２７…パススル―処理部、２８…シーケンス検査部、２９…統計処理部
３０…第２内部キュー
３１…第２ディスパッチャ
３２…外部コマンド起動部、３３…形式変換処理部、３４…外部コマンド
３５…第３内部キュー
３６…第３ディスパッチャ
３７…外部出力処理部
４０…中間形式蓄積ログファイル、５０…設定ファイル
６０…統計情報蓄積ログファイル
５１…処理名、
５２〜５４…フィルタ段数指定キー

Claims (21)

1. アクセスログデータが入力され、入力された前記アクセスログデータのデータ処理を実行する複数のデータ処理部と、前記複数のデータ処理部の各々は、異なる処理規則に対応してデータ処理を実行し、
   データ処理実行規則を格納する記憶部と、
   前記アクセスログデータの処理手順を決定するデータ処理管理部と
   を具備し、
   前記データ処理管理部は、前記データ処理実行規則に基づいて前記複数のデータ処理部の各々の配列を決定する
   アクセスログ処理装置。
2. 請求項１に記載のアクセスログ処理装置において、
   前記データ処理実行規則は、データ振分け情報と、データ処理実行順序情報とを含み、
   前記データ振分け情報は、前記アクセスログデータのデータ処理を実行するデータ処理部を指定する情報であり、
   前記データ処理順序情報は、前記複数のデータ処理部の各々が前記アクセスログデータのデータ処理を実行する順序を定めた情報である
   アクセスログ処理装置。
3. 請求項２に記載のアクセスログ処理装置において、
   前記複数のデータ処理部の少なくとも一つは、データ形式変換処理を実行するデータ形式変換部であり、
   前記データ形式変換部には、前記アクセスログデータが逐次入力され、所定のデータ形式と異なるデータ形式で構成されたアクセスログデータのデータ形式を、所定のデータ形式に変換して形式変換済データを生成し、
   前記形式変換済データを前記記憶部に格納する
   アクセスログ処理装置。
4. 請求項２または３に記載のアクセスログ処理装置において、
   前記複数のデータ処理部の少なくとも一つは、統計処理を実行する統計処理部であり、
   前記統計処理部は、前記複数のデータ処理部の少なくとも一つから、異常なアクセスに関する情報を受信し、前記情報に応答して、前記アクセスログデータの統計処理結果を出力する
   アクセスログ処理装置。
5. 請求項２から４の何れか１項に記載のアクセスログ処理装置において、
   前記複数のデータ処理部の少なくとも一つは、外部プログラムの起動を実行する外部プログラム起動部であり、
   前記外部プログラム起動部は、前記複数のデータ処理部の少なくとも一つから出力された、データ処理済のアクセスログデータが入力され、前記データ処理済のアクセスログデータの入力に応答して、前記外部プログラムを起動する
   アクセスログ処理装置。
6. 請求項２から５の何れか1項に記載のアクセスログ装置において、
   前記複数のデータ処理部の少なくとも一つは、入力されたアクセスログデータの関連性を判別するための関連性情報を備えた連続ログデータ処理部であり、
   前記連続ログデータ処理部には、前記アクセスログデータが逐次入力され、
   前記連続ログデータ処理部は、入力された前記アクセスログデータの順列または組合せと、前記関連性情報とから、異常アクセスの発生を検出する
   アクセスログ処理装置。
7. 請求項６に記載のアクセスログ処理装置において、
   前記データ処理管理部は、前記データ処理実行規則に基づいて、前記アクセスログデータを処理する直列に構成された複数のデータ処理機能ブロックを生成し、
   前記データ処理機能ブロックの各々は、少なくとも一つの前記データ処理部を含み、
   前記複数のデータ処理機能ブロックの第１ブロックは、前記データ形式変換部を含む
   アクセスログ処理装置。
8. データ処理実行規則を読み出すステップと、
   前記データ処理実行規則に基づいて前記複数のデータ処理部の各々の配列を決定するステップと、
   アクセスログデータが入力され、前記アクセスログデータのデータ処理を異なる処理規則に対応して実行するステップと、
   前記配列に基づいて前記アクセスログデータの処理手順を決定するステップ
   を具備する方法をコンピュータで実行可能なプログラム。
9. 請求項８に記載のプログラムにおいて、
   前記データ処理実行規則は、データ振分け情報と、データ処理実行順序情報とを含み、
   前記データ振分け情報は、前記アクセスログデータのデータ処理を実行するデータ処理部を指定する情報であり、
   前記データ処理順序情報は、前記複数のデータ処理部の各々が前記アクセスログデータのデータ処理を実行する順序を定めた情報である
   コンピュータで実行可能なプログラム。
10. 請求項９に記載のプログラムにおいて、
    所定のデータ形式と異なるデータ形式で構成されたアクセスログデータのデータ形式を、所定のデータ形式に変換して形式変換済データを生成するステップと、
    生成された前記形式変換済データを前記記憶部に格納するステップ
    を具備する方法をコンピュータで実行可能なプログラム。
11. 請求項９または１０に記載のプログラムにおいて、
    異常なアクセスに関する情報を受信するステップと、
    前記情報に応答して、前記アクセスログデータの統計処理結果を出力するステップ
    を具備する方法をコンピュータで実行可能なプログラム。
12. 請求項９から１１の何れか１項に記載のプログラムにおいて、
    データ処理済のアクセスログデータを外部プログラムで処理するべきかどうか判断するステップと、
    前記データ処理済のアクセスログデータが、前記外部プログラムで処理するべきものであった場合、前記外部プログラムを起動するステップ
    を具備する方法をコンピュータで実行可能なプログラム。
13. 請求項９から１２の何れか1項に記載のプログラムにおいて、
    アクセスログデータが逐次入力され、入力された前記アクセスログデータの順列または組合せを判別するステップと、
    前記順列または組合せと、前記関連性情報とから、異常アクセスの発生を検出するステップ
    を具備する方法をコンピュータで実行可能なプログラム。
14. 請求項１３に記載のプログラムにおいて、
    前記データ処理実行規則に基づいて、前記アクセスログデータを処理する直列に構成された複数のデータ処理機能ブロックを生成するステップと、
    前記複数のデータ処理機能ブロックの第１ブロックによって、所定のデータ形式と異なるデータ形式で構成されたアクセスログデータのデータ形式を、所定のデータ形式に変換して形式変換済データを生成するステップ
    を具備する方法をコンピュータで実行可能なプログラム。
15. データ処理実行規則を読み出すステップと、
    前記データ処理実行規則に基づいて前記複数のデータ処理部の各々の配列を決定するステップと、
    アクセスログデータが入力され、前記アクセスログデータのデータ処理を異なる処理規則に対応して実行するステップと、
    前記配列に基づいて前記アクセスログデータの処理手順を決定するステップ
    を具備するアクセスログデータ処理方法。
16. 請求項１５に記載のアクセスログデータ処理方法において、
    前記データ処理実行規則は、データ振分け情報と、データ処理実行順序情報とを含み、
    前記データ振分け情報は、前記アクセスログデータのデータ処理を実行するデータ処理部を指定する情報であり、
    前記データ処理順序情報は、前記複数のデータ処理部の各々が前記アクセスログデータのデータ処理を実行する順序を定めた情報である
    アクセスログデータ処理方法。
17. 請求項１６に記載のアクセスログデータ処理方法において、
    所定のデータ形式と異なるデータ形式で構成されたアクセスログデータのデータ形式を、所定のデータ形式に変換して形式変換済データを生成するステップと、
    生成された前記形式変換済データを前記記憶部に格納するステップ
    を具備するアクセスログデータ処理方法。
18. 請求項１６または１７に記載のアクセスログデータ処理方法において、
    異常なアクセスに関する情報を受信するステップと、
    前記情報に応答して、前記アクセスログデータの統計処理結果を出力するステップ
    を具備するアクセスログデータ処理方法。
19. 請求項１６から１８の何れか１項に記載のアクセスログデータ処理方法において、
    データ処理済のアクセスログデータを外部プログラムで処理するべきかどうか判断するステップと、
    前記データ処理済のアクセスログデータが、前記外部プログラムで処理するべきものであった場合、前記外部プログラムを起動するステップ
    を具備するアクセスログデータ処理方法。
20. 請求項１６から１９の何れか1項に記載のアクセスログデータ処理方法において、
    アクセスログデータが逐次入力され、入力された前記アクセスログデータの順列または組合せを判別するステップと、
    前記順列または組合せと、前記関連性情報とから、異常アクセスの発生を検出するステップ
    を具備するアクセスログデータ処理方法。
21. 請求項２０に記載のアクセスログデータ処理方法において、
    前記データ処理実行規則に基づいて、前記アクセスログデータを処理する直列に構成された複数のデータ処理機能ブロックを生成するステップと、
    前記複数のデータ処理機能ブロックの第１ブロックによって、所定のデータ形式と異なるデータ形式で構成されたアクセスログデータのデータ形式を、所定のデータ形式に変換して形式変換済データを生成するステップ
    を具備するアクセスログデータ処理方法。

Images