JP2006304108A - ログ集計支援装置、ログ集計支援システム、ログ集計支援プログラム、およびログ集計支援方法 - Google Patents

Abstract

【課題】異なる種類の複数のＩＤＳが出力する複数のログ情報を対応付け、各ＩＤＳの比較をより容易に行う。
【解決手段】ログ集計支援装置４であって、異なる種類の複数の侵入検知システム各々から、不正な通信記録であるログ情報を収集する収集手段と、前記収集手段が収集した前記複数のログ情報を記憶する記憶手段と、前記記憶手段に記憶された前記複数のログ情報を読み出し、前記複数のログ情報が共通して有する共通属性に基づいて、前記複数のログ情報各々を対応付けたログ比較情報を生成する生成手段と、を備える。
【選択図】 図１

Description

本発明は、複数の侵入検知システム（ＩＤＳ：Intrusion Detection System）から出力されるログ情報の集計を支援する技術に関する。

従来、コンピュータやネットワークを監視する装置として、侵入検知システム（以下、「ＩＤＳ」）が用いられている。ＩＤＳは、ネットワーク上を流れる通信内容（パケット 等）を監視して不正な通信を検出した場合、警告を出力するとともに、不正な通信のログ情報をデータベースに出力する。なお、特許文献１には、ＩＤＳが出力したログ情報を分析する不正アクセス検知ログ情報分析支援装置が記載されている。
特開２００４−２２０３７３

さて、ＩＤＳが行う不正侵入の検出方法としては、シグネチャ（signature）を用いたパターン照合方法がある。シグネチャは、あらかじめ判明している不正な通信（侵入手口）を汎用的にパターン化したものである。

ＩＤＳの各ベンダ（例えば、製造会社）は、それぞれ独自にシグネチャを作成している。したがって、異なるベンダの複数のＩＤＳを使用した場合、同じ通信に対して各ＩＤＳは異なる名前の警告メッセージを出力する場合がある。また、同じ通信に対して、あるベンダのＩＤＳは、警告メッセージを出力するが、他のベンダのＩＤＳは警告メッセージ出力しない場合がある。すなわち、ＩＤＳはベンダ間での互換性について考慮されていない。このため、異なるネットワーク環境において、異なるベンダのＩＤＳを用いる場合、各ＩＤＳが出力する警告メッセージなどのログ情報を比較して、各ネットワーク環境のセキュリティ状態を同一に評価することは困難である。

本発明は上記事情に鑑みてなされたものであり、本発明の目的は、異なる種類の複数のＩＤＳが出力する複数のログ情報を対応付け、各ＩＤＳの検出基準・結果比較をより容易に行うことにある。

上記課題を解決するために、本発明は、例えば、ログ情報を集計するログ集計支援装置であって、異なる種類の複数の侵入検知システム各々から、不正な通信を記録したログ情報を収集する収集手段と、前記収集手段が収集した前記複数のログ情報を記憶する記憶手段と、前記記憶手段に記憶された前記複数のログ情報を読み出し、前記複数のログ情報が共通して有する共通属性に基づいて、前記複数のログ情報各々を対応付けたログ比較情報を生成する生成手段と、を備える。

本発明により、異なる種類の複数のＩＤＳが出力する複数のログ情報を対応付け、各ＩＤＳの検出基準・結果比較をより容易に行うことができる。

以下、本発明の実施の形態について説明する。

図１は、本発明の一実施形態が適用されたログ集計支援システムの全体構成図である。図示するログ集計支援システムは、発信端末１と、受信端末２と、複数のＩＤＳ３ａ、３ｂ、３ｃとを備え、これらの装置はＬＡＮ（Local Area Network）などのネットワーク９により接続されている。なお、ネットワーク９は、ルータ、ハブ、ケーブルなどの各種ネットワーク機器により構築される。

また、本実施形態のログ集計支援システムは、ログ集計装置４を備える。なお、図示するログ集計装置４は、専用線８を介して各ＩＤＳ３ａ、３ｂ、３ｃに接続されている。しかしながら、ネットワーク９にログ集計装置４を接続し、ネットワーク９を介して各ＩＤＳ３ａ、３ｂ、３ｃとログ集計装置４とを接続することとしてもよい。また、ログ集計装置４と各ＩＤＳ３ａ、３ｂ、３ｃとの専用線８は常時接続されていなくてもよい。

各ＩＤＳ（Intrusion Detection System：侵入検知システム）は、不正なアクセス（侵入）に該当する可能性が高い通信情報を検出し、警告メッセージの出力およびログ情報の出力を行う。そして、本実施形態では、それぞれ異なる種類（ベンダ）の複数のＩＤＳ３ａ、３ｂ、３ｃを用いるものとする。なお、本実施形態では３つのＩＤＳ（Ａ）３ａ、ＩＤＳ（Ｂ）３ｂ、ＩＤＳ（Ｃ）３ｃを例に説明するが、本発明はこの台数に限られない。また、各ＩＤＳ３ａ、３ｂ、３ｃは、発信端末１が送信する通信情報を監視（取得）可能な位置に、ネットワーク機器を用いてネットワーク９に接続されているものとする。なお、ＩＤＳ３ａ、３ｂ、３ｃについては後述する。

発信端末１は、送信部１１と、通信パターンファイル１２とを有する。送信部１１は、各ＩＤＳの後述するシグネチャに照合する通信情報を、ネットワーク９に出力する。通信情報は、例えば、パスワードの総当り攻撃（brute force attack）、ウィルス（virus）、ワーム（worm）など不正アクセスに該当するパケットである。送信部１１は、通信パターンファイル１２を参照し、各種の不正アクセスに該当するパケットを生成して送信する。なお、送信部１１は、所定の受信端末２を宛先として通信情報を送信する場合であっても、不特定多数の端末に通信情報を送信（ブロードキャスト）する場合であってもよい。

通信パターンファイル１２は、いずれかのＩＤＳ３ａ、３ｂ、３ｃが有するシグネチャに照合する通信情報のパターン（雛型）が少なくとも１つ以上記憶されたファイルである。なお、新たなウィルスなどが世の中に広まった場合、当該ウィルスに対応する通信情報のパターンが、通信パターンファイル１２に逐次、追加されるものとする。

受信端末２は、受信部２１を有し、発信端末１が送信した通信情報を受信する。なお、発信端末１が受信端末２なしで送信が可能な場合は、受信端末２は不要である。

ログ集計装置４は、ログ収集部４１と、集計処理部４２と、記憶部４３とを備える。ログ収集部４１は、各ＩＤＳ３ａ、３ｂ、３ｃから後述するログ情報を収集する。なお、ログ情報の収集方法として、ログ収集部４１が所定のタイミングで各ＩＤＳ３ａ、３ｂ、３ｃにアクセスしてログ情報を取得する方法が考えられる。また、ＩＤＳ３ａ、３ｂ、３ｃ各々が、所定のタイミングで各自のログ情報をログ集計装置４に送信する方法などが考えられる。

集計処理部４２は、ログ収集部４１が収集した複数のログ情報に基づいて、後述するログ比較表を生成する。記憶部４３には、ログ収集部４１が収集した複数のログ情報と、集計処理部４２が生成したログ比較表（ログ比較表を作成するための中間作業表を含む）と、が記憶される。なお、ログ集計装置４は、ログ収集部４１、集計処理部４２および記憶部４３を、ＩＤＳ３ａ、３ｂ、３ｃ毎に複数有することとしてもよい。

次に各ＩＤＳ３ａ、３ｂ、３ｃの機能について、詳細に説明する。

図２は、各ＩＤＳの機能ブロック図である。ＩＤＳは、パターンマッチング部３１と、ログ出力部３２と、アラート出力部３３と、シグネチャファイル３４と、ログ情報ファイル３５と、を備える。パターンマッチング部３１は、ネットワーク９を監視し、発信端末１が送信する通信情報とシグネチャファイル３４に記憶された各シグネチャとを照合（マッチング）する。そして、パターンマッチング部３１は、いずれかのシグネチャと照合合致する通信情報を検出し、当該通信情報を不正侵入であると判別する。ログ出力部３２は、パターンマッチング部３１が不正侵入と判別した通信情報に関する情報（通信記録）をログ情報としてログ情報ファイル３５に出力する。アラート出力部３３は、パターンマッチング部３１が不正侵入と判別した場合、警告メッセージを出力する。

シグネチャファイル３４には、少なくとも１つのシグネチャが記憶されている。シグネチャは、パスワードの総当り攻撃（brute force attack）、ウィルス（virus）、ワーム（worm）など、あらかじめ判明している不正侵入手口（侵入パターン）を、汎用的にパターン化したものである。なお、シグネチャファイル３４は、ＩＤＳのベンダ毎に、独自に作成されるものである。ログ情報ファイル３５には、ログ出力部３２が出力したログ情報が記憶される。

上記説明した、発信端末１、受信端末２、ＩＤＳ３ａ、３ｂ、３ｃおよびログ集計装置４は、いずれも、ＣＰＵと、メモリと、外部記憶装置と、入力装置と、出力装置と、他の装置と接続するための通信制御装置と、これらの各装置を接続するバスと、を備えた汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵがメモリ上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。例えば、発信端末１、受信端末２、ＩＤＳおよびログ集計装置４の各機能は、発信端末１用のプログラムの場合は発信端末１のＣＰＵが、受信端末２用のプログラムの場合は受信端末２のＣＰＵが、ＩＤＳ用のプログラムの場合はＩＤＳのＣＰＵが、そして、ログ集計装置４の場合はログ集計装置４のプログラムが、それぞれ実行することにより実現される。

なお、発信端末１の通信パターンファイル１２には、発信端末１のメモリまたは外部記憶装置が用いられる。また、各ＩＤＳのシグネチャファイル３４およびログ情報ファイル３５には、各ＩＤＳのメモリまたは外部記憶装置が用いられる。また、ログ集計装置４の記憶部４３には、ログ集計装置４のメモリまたは外部記憶装置が用いられる。また、外部記憶装置、入力装置および出力装置については、各装置が必要に応じて備えるものとする。

次に、各ＩＤＳのログ情報ファイル３５に記憶されたログ情報について説明する。

図３は、ＩＤＳ（Ａ）３ａのログ情報の一例を示した図である。図示するログ情報は、いずれかのシグネチャに照合した通信情報毎に、シグネチャ識別情報５１ａと、イベント名称５２ａと、日時５３ａと、を有する。シグネチャ識別情報５１ａには、シグネチャファイル３４に記憶された各シグネチャを識別するための識別情報が設定される。イベント名称５２ａは、各シグネチャの名称が設定される。なお、シグネチャ識別情報５１ａおよびイベント名称５２ａは、ＩＤＳの各ベンダがシグネチャ毎に独自に設定する情報である。

日時５３ａには、パターンマッチング部３１がいずれかのシグネチャと照合する通信情報を検出した日時が設定される。なお、本実施形態では、各ＩＤＳが出力する複数のログ情報を比較するための共通項目（属性）として日時５３ａを用いることとする。共通項目は、各ベンダのＩＤＳのログ情報に必ず含まれている項目である。共通項目としては、日時５３ａ以外に、発信端末１または受信端末２のＩＰアドレスを用いることとしてもよい。また、共通項目に、発信端末１または受信端末２のポート番号を用いることとしてもよい。また、複数の共通項目を組み合わせて、１つの共通項目として用いることとしてもよい。

図４は、ＩＤＳ（Ｂ）３ｂのログ情報の一例を示した図である。図示するログ情報は、図３と同様に、いずれかのシグネチャに照合した通信情報毎に、シグネチャ識別情報５１ｂと、イベント名称５２ｂと、日時５３ｂと、を有する。

図５は、ＩＤＳ（Ｃ）３ｃのログ情報の一例を示した図である。図示するログ情報は、図３と同様に、いずれかのシグネチャに照合した通信情報毎に、シグネチャ識別情報５１ｃと、イベント名称５２ｃと、日時５３ｃと、を有する。

次に、ログ集計支援システムの処理について説明する。

図６は、本システムの処理フロー図である。まず、発信端末１の送信部１１は、通信パターンファイル１２を参照し、いずれかのＩＤＳのシグネチャに照合する通信情報（パケット）を生成する。そして、送信部１１は、生成した通信情報を、ネットワーク９を介して受信端末２に送信する（Ｓ１）。なお、受信端末２が存在しない場合、送信部１１がネットワーク９上に送信した通信情報は、全てのＩＤＳの監視地点を通過するものとする。

そして、各ＩＤＳのパターンマッチング部３１は、発信端末１が送信した通信情報が、シグネチャファイル３４のいずれかのシグネチャと照合するか否かを判別する。そして、通信情報がいずれかのシグネチャに照合した場合、ログ出力部３２は、当該通信情報のログ情報をログ情報ファイル３５（図３〜図５参照）に出力する（Ｓ２）。

そして、ログ集計装置４のログ収集部４１は、所定のタイミングで各ＩＤＳからログ情報を収集し、記憶部４３に記憶する（Ｓ３）。なお、ログ収集部４１が、各ＩＤＳのログ情報ファイル３５にアクセスしてログ情報を取得する場合、または、各ＩＤＳのログ出力部３２が、ログ情報をログ集計装置４に送信する場合などが考えられる。

そして、ログ集計装置４の集計処理部４２は、記憶部４３に記憶された複数のログ情報に基づいて、中間作業表を生成し、記憶部４３に記憶する（Ｓ４）。中間作業表は、所定のログ情報と、当該所定のログ情報以外のログ情報とを組み合わせて生成した表である。本実施形態では、集計処理部４２は、第１の中間作業表（図７参照）と、第２の中間作業表（図８参照）とを生成するものとする。

図７は、ＩＤＳ（Ａ）３ａのログ情報（図３参照）と、ＩＤＳ（Ｂ）３ｂのログ情報（図４参照）とを組み合わせて生成した第１の中間作業表の一例を示す図である。図示する第１の中間作業表は、共通項目である日時７１ａと、ＩＤＳ（Ａ）３ａが出力したログ情報の一部７２ａと、ＩＤＳ（Ｂ）３ｂが出力したログ情報の一部７３ａと、を有する。なお、本実施形態では、ログ情報の一部７２ａ、７３ａとしては、シグネチャ識別情報およびイベント名称を用いることとする。

集計処理部４２は、ログ情報の共通項目である日時をマッチングキーとして、ＩＤＳ（Ａ）３ａのログ情報と、ＩＤＳ（Ｂ）３ｂのログ情報とを比較する。そして、集計処理部４２は、ＩＤＳ（Ａ）３ａのログ情報とＩＤＳ（Ｂ）３ｂのログ情報との間で、日時が一致するデータ（レコード）を同一の通信情報に対するデータであると判別し、両者を関連付ける。図示する第１の中間作業表の場合、集計処理部４２は、同一の通信情報であると判別したデータを、同じ行に並べて設定する。

具体的には、図３に示すＩＤＳ（Ａ）３ａのログ情報の「Ａ worm propagation」と、図４に示すＩＤＳ（Ｂ）３ｂのログ情報の「Ａ worm detected」とは、日時が一致する。したがって、集計処理部４２は、これらのデータを第１の中間作業表の同じ行７４に並べて設定する。

なお、集計処理部４２は、日時が一致する場合だけでなく、日時が所定の誤差の範囲内（例えば、１０秒以内）の場合は、同一の通信情報に対するデータであると判別し、両者を関連付けることとしてもよい。

図８は、ＩＤＳ（Ａ）３ａのログ情報（図３参照）と、ＩＤＳ（Ｃ）３ｃのログ情報（図５参照）とを組み合わせて生成した第２の中間作業表の一例を示す図である。図示する第２の中間作業表は、第１の中間作業表と同様に、共通項目である日時７１ｂと、ＩＤＳ（Ａ）３ａが出力したログ情報の一部７２ｂと、ＩＤＳ（Ｂ）３ｂが出力したログ情報の一部７３ｂと、を有する。集計処理部４２は、前述のとおり共通項目である日時をマッチングキーとして、ＩＤＳ（Ａ）３ａのログ情報と、ＩＤＳ（Ｃ）３ｃのログ情報とを比較し、第２の中間作業表を生成する。

なお、図５に示すＩＤＳ（Ｃ）３ｃのログ情報には、図３に示すＩＤＳ（Ａ）３ａのログ情報の「Ａ worm propagation」の日時（2005/03/12 04:17:00）に一致する日時が存在しない。この場合、集計処理部４２は、中間作業表の当該日時のＩＤＳ（Ｃ）３ｃの欄７５に、関連するデータが存在しないことを示す情報（例えば、斜線、ハイフンなどの記号）を設定する。なお、集計処理部４２は、関連するデータが存在しないことを示す情報を設定する替わりに、空欄またはスペースを設定することとしてもよい。

また、図５に示すＩＤＳ（Ｃ）３ｃのログ情報では、「2005/03/25 17:27:15」の日時に２件のデータが出力されている。一方、図３に示すＩＤＳ（Ａ）３ａのログ情報では、この日時には、１件のデータしか出力されていない。この場合、集計処理部４２は、ＩＤＳ（Ｃ）３ｃの出力データの数だけ中間作業表の行７６を作成し、ＩＤＳ（Ａ）３ａの各欄には該当するデータをコピーして設定する。

そして、集計処理部４２は、このように生成した中間作業表（図７、図８参照）を統合してログ比較表を生成し、記憶部４３に記憶する（Ｓ５）。

図９は、第１の中間作業表と、第２の中間作業表とを統合したログ比較表の一例を示す図である。図示するログ比較表は、共通項目である日時９１と、ＩＤＳ（Ａ）３ａのログ情報の一部９２と、ＩＤＳ（Ｂ）３ｂのログ情報の一部９３と、ＩＤＳ（Ｃ）３ｃのログ情報の一部９４と、を有する。集計処理部４２は、前述の中間作業表と同様に、共通項目の時刻に基づいて、第１の中間作業表と第２の中間作業表とを統合してログ比較表を生成する。

なお、第２の中間作業表で説明したように、対応するデータが存在しない場合は、データが存在しないことを示す情報がＩＤＳ（Ｃ）３ｃの該当する欄９５に設定されている。また、所定の日時に複数のデータが存在する場合は、当該日時に対応する複数の行９６が作成されている。

そして、集計処理部４２は、このように生成したログ比較表をディスプレイやプリンタなどの出力装置に出力する。

以上説明した本実施形態では、ログ集計装置４は、各ＩＤＳのログ情報を収集し、これらのログ情報を関連付けたログ比較表を生成する。このログ比較表を参照することにより、異なる種類（ベンダ）の複数のＩＤＳが出力するログ情報を容易に比較することができる。すなわち、各ベンダが独自に設定するシグネチャの関連付けを容易に行うことができる。

また、ログ比較表を参照することにより、例えば、同一の通信情報に対して所定のベンダのＩＤＳは不正侵入として検出し、他のベンダのＩＤＳは不正侵入と判別しないなど、各ＩＤＳの評価を行うことができる。また、同一の通信情報に対して出力されるログ情報の出力件数などを容易に比較することができる。

また、異なるネットワーク環境において、異なるベンダのＩＤＳを用いる場合であっても、ログ比較表を参照することにより、各ＩＤＳが出力するログ情報を容易に比較することができる。これにより、各ネットワーク環境のセキュリティ状態をより容易に評価することができる。

なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、本実施形態の発信端末１が送信する通信情報として、パケットを用いることとした。しかしながら、本発明はこれに限定されず、例えば音声などパケット以外の通信方法を用いることとしてもよい。

また、上記実施形態では、ログ集計装置４は、ログ情報から中間作業表を生成し、この中間作業表に基づいてログ比較表を生成することとした。しかしながら、ログ集計装置４は、中間作業表を生成することなく、ログ情報からログ比較表を生成することとしてもよい。

本発明の一実施形態が適用されたログ集計支援システムの全体構成を示す図である。 ＩＤＳの機能を示す機能ブロック図である。 ＩＤＳ（Ａ）のログ情報の一例を示す図である。 ＩＤＳ（Ｂ）のログ情報の一例を示す図である。 ＩＤＳ（Ｃ）のログ情報の一例を示す図である。 ログ集計支援システムの処理フロー図である。 第１の中間作業表の一例を示す図である。 第２の中間作業表の一例を示す図である。 ログ比較表の一例を示す図である。

符号の説明

１：発信端末、１１：送信部、１２：通信パターンファイル、２：受信端末、２１：受信部、３ａ、３ｂ、３ｃ：ＩＤＳ、３１：パターンマッチング部、３２：ログ出力部、３３：アラート出力部、３４：シグネチャファイル、３５：ログ情報ファイル、４：ログ集計装置、４１：ログ収集部、４２：ログ集計部、４３：記憶部、８：専用線、９：ネットワーク

Claims (6)

1. ログ情報を集計するログ集計支援装置であって、
   異なる種類の複数の侵入検知システム各々から、不正な通信を記録したログ情報を収集する収集手段と、
   前記収集手段が収集した前記複数のログ情報を記憶する記憶手段と、
   前記記憶手段に記憶された前記複数のログ情報を読み出し、前記複数のログ情報が共通して有する共通属性に基づいて、前記複数のログ情報各々を対応付けたログ比較情報を生成する生成手段と、を備えること
   を特徴とするログ集計支援装置。
2. 請求項１記載のログ集計支援装置であって、
   前記共通属性は、前記侵入検知システム各々が不正な通信を検出した時刻であって、
   前記生成手段は、前記時刻が所定の誤差の範囲内の場合、同一の不正な通信であると判別し、当該同一と判別した不正な通信を対応付けて前記ログ比較情報を生成すること
   を特徴とするログ集計支援装置。
3. 請求項１記載のログ集計支援装置であって、
   前記生成手段は、前記複数のログ情報の中で、第１のログ情報の前記共通属性に基づいて、対応する不正な通信の記録が第２のログ情報に存在しない場合、前記第１のログ情報に対応する前記不正な通信の記録が前記第２のログ情報に存在しないことを示す情報を、前記ログ比較情報に設定すること
   を特徴とするログ集計支援装置。
4. ログ情報を集計するログ集計支援システムであって、
   発信端末と、異なる種類の複数の侵入検知装置と、ログ集計装置と、を備え、
   前記発信端末は、
   少なくとも１つの不正な通信情報が記憶された通信情報記憶手段と、
   前記不正な通信情報を読み出して、ネットワーク上に前記不正な通信情報を送信する送信手段と、を備え、
   前記複数の異なる種類の侵入検知装置各々は、
   複数の不正な通信パターンが記憶されたパターン記憶手段と、
   前記ネットワークを監視し、前記パターン記憶手段に記憶されたいずれかの不正な通信パターンに該当する不正な通信情報を検知して、ログ情報を出力する出力手段と、を備え、
   前記ログ集計装置は、
   前記複数の異なる種類の侵入検知システム各々から、前記ログ情報を収集する収集手段と、
   前記収集手段が収集した前記複数のログ情報を記憶するログ情報記憶手段と、
   前記ログ情報記憶手段に記憶された前記複数のログ情報を読み出し、前記複数のログ情報が共通して有する共通属性に基づいて、前記複数のログ情報各々を対応付けたログ比較情報を生成する生成手段と、を備えること
   を特徴とするログ集計支援システム。
5. 情報処理装置が実行するログ情報の集計支援プログラムであって、
   前記情報処理装置は、複数の侵入検知システムの複数のログ情報を記憶する記憶部と、処理部と、を備え、
   前記処理部に、
   異なる種類の前記複数の侵入検知システム各々から、不正な通信を記録した前記ログ情報を収集し、前記記憶部に記憶する収集ステップと、
   前記記憶部に記憶された前記複数のログ情報を読み出し、前記複数のログ情報が共通して有する共通属性に基づいて、前記複数のログ情報各々を対応付けたログ比較情報を生成する生成ステップと、を実行させること
   を特徴とするログ情報の集計支援プログラム。
6. 情報処理装置が行う、ログ情報の集計支援方法であって、
   前記情報処理装置は、複数の侵入検知システムの複数のログ情報を記憶する記憶部と、処理部と、を備え、
   前記処理部は、
   異なる種類の前記複数の侵入検知システム各々から、不正な通信を記録した前記ログ情報を収集し、前記記憶部に記憶する収集ステップと、
   前記記憶部に記憶された前記複数のログ情報を読み出し、前記複数のログ情報が共通して有する共通属性に基づいて、前記複数のログ情報各々を対応付けたログ比較情報を生成する生成ステップと、を行うこと
   を特徴とするログ情報の集計支援方法。
   
   
   
   

Images