JP2006350543A - ログ分析装置 - Google Patents

Abstract

【課題】 また、管理者の能力に依存せずに分析を行うことのできるログ分析装置を得る。
【解決手段】 演算方法データベース５は、頂上事象を分析対象の分類とし、基本事象をその分類が発生する要因とするツリー構造のフォーマットを保持する。ログ変換部１は入力されたログを統合ログデータベース３に格納する。抽出処理部７は、統合ログデータベース３に格納されたログをフォーマットの最下位の基本事象の値とし、この値に基づいて、このフォーマットの頂上事象が発生したか否かを判定する。
【選択図】 図１

Description

この発明は、例えば、コンピュータネットワークにおける各種のセンサから出力されるログ状況に基づいて、コンピュータネットワークへの不正アクセス等の事象を分析するログ分析装置に関するものである。

不正アクセス者(攻撃者)は、以前はネットワークに対する攻撃を行ってきたが、近年アプリケーションを攻撃したり、攻撃をデータそのものの中に埋め込んだりするようなことが増えてきているため、単一センサからの情報に頼った検知が難しくなってきている。
これに対し、ログ管理装置は統合化されてきてはいるものの、各センサ(装置)単体からのログ情報を管理するものがほとんどであり、どこのセンサから検知があがったか、或いはログ(イベントあるいはセキュリティイベント)が何時発生したかを中心にまとめられているもの（例えば、特許文献１参照）が多く、これらはネットワーク全体としてどのようにインシデントが発生しているのかを把握しづらいという問題があった。

また、０−ｄａｙ攻撃（ゼロ・ディ・アタック）と呼ばれる、未知或いは公開されて間もない、一般的には多くが未対策の脆弱性を用いた攻撃も行われやすい状況になってきており、管理者が意識していない攻撃の検知はますます重要になってきている。

特開２００１−１８８６９４号公報

例えば、特許文献１に示されたような従来システムでは、イベントログの発生頻度の数を日付別や秒別の単位別に表示し、障害の原因となるイベントログを特定することを目的としているが、これはイベントログ全体から問題点を掘り起こすことに着眼したものであり、ネットワークなどの全体の状況を知ることにかけては優れているが、何故そのイベントログが発生したかを追求することには適していない。

このような従来のシステムのように、ログを分析することでネットワーク、或いはコンピュータが置かれている状況を示す、或いは示す内容をネットワーク管理者などに対し表示させる装置は多いが、これらは管理者に対し非常に多くの情報を与えることができると同時に多すぎる情報により判断は管理者の能力に依存したり、あるいは管理者が扱いきれないほどのロードワークを増加させる原因となっている。

この発明は上記のような課題を解決するためになされたもので、管理者にとって分析処理の負担が軽減され、また、管理者の能力に依存せずに分析を行うことのできるログ分析装置を得ることを目的とする。

この発明に係るログ分析装置は、頂上事象を分析対象の分類とし、基本事象をその分類が発生する要因とするツリー構造のフォーマットを保持し、抽出処理部は、入力されたログをツリー構造のフォーマットの最下位の基本事象の値として、その値に基づいて、このフォーマットの頂上事象が発生したか否かを判定するようにしたものである。

この発明のログ分析装置は、頂上事象を分析対象の分類とし、基本事象をその分類が発生する要因とするツリー構造の最下位の基本事象の値をログとし、この値に基づいて頂上事象が発生しているか否かを判定するようにしたので、管理者にとって分析処理の負担が軽減され、また、管理者の能力に依存せずに分析を行うことができる。

実施の形態１．
図１は、この発明の実施の形態１によるログ分析装置を示す構成図であるが、この説明に先立ち、ログ分析装置の概要を説明する。

本発明の実施形態では、ログ分析装置は、ネットワーク上のコンピュータを含む装置などからの情報をログとして取得し、これらのログを管理、分析する。
ある事象(インシデントと呼ぶ)がネットワーク或いはコンピュータ上に生じた場合、それに付随してログが発生するが、それ単独では不正アクセスとは判別できないことが多い。例えば、一般的にコンピュータウイルス、ワームといったものについても様々な攻撃手法が考えられるため、それら攻撃に呼応して発生するログは様々である。

そこで、本発明では、センサログ情報はインシデントに基づき出力されるという非常に本質的なところからログをまとめる。その方法を達成するために、各センサからの情報をＦＴＡ（Ｆａｕｌｔ Ｔｒｅｅ Ａｎａｌｙｓｉｓ；故障の木解析）に近いツリー構造として構築する。ＦＴＡとは一般的には装置などの品質管理、故障原因の探求に用いられる技法であり、信頼性または安全上、その発生が好ましくない事象を頂上事象として取り上げ、論理記号を用いてその発生の要因を次々に展開し、樹系図（ＦＴ図）を作成して、発生経路および発生原因、発生確率を解析する技法を言う。

本実施の形態では、ＦＴＡの頂点（分析対象、あるいは分析の起点）を不正アクセスのカテゴリ(分類)とし、ＦＴＡ頂点として選択した事象がネットワーク或いはコンピュータを含むネットワークを構成する装置に生じている場合のツリー構造をフォーマットとして予め用意しておき、発生したログがこのツリー構造の最下位の基本事象に該当した場合は、その頂上事象が発生していると判定するものである。

ログ分析装置へのログの転送方式には、一般的なｓｙｓｌｏｇ形式などが考えられるが、特にその形式は問わず、ログ分析装置と各センサとの間でログの受け渡しが行えれば良いものとする。ログ分析装置は、各センサから受け取ったログを各センサ及びセンサのモード(センサが検知可能な設定項目)に基づき、整理する。この整理の際には各センサの出すログを汎用的フォーマットに変換しておく。汎用的なフォーマットとして、特殊性は無く各センサからの出力ログの共通項目は最小限用い、各ログが同じデータフォーマット構成を採る形でよい。

図２に、ログ分析装置が持つログＦＴＡの例を示す。
図示例では、分析起点インシデントとしてネットワーク上にコンピュータワームが混入し、動作している場合という設定にしている。コンピュータワームとしてカテゴリ分けされる事象には、感染する相手を探す、自己動作をする等が挙げられ、その時のログ出力のされ方には特徴が生じる。その特徴をＦＴＡツリー構成の枝とするように、頂上事象である要因階層１（１０１）から、要因階層２（１０２）→要因階層３（１０３）→要因階層４（１０４）および基本事象である要因階層５（１０５）という形で最終的に要因階層５（１０５）のログ１０６に行き着くように展開させる。

ここで、要因階層１（１０１）は、上述したようにインシデントを示し、以下の階層は次の通りである。即ち、要因階層２（１０２）は、ログ／アラート要因であり、例えばセンサ種別といった事象を表している。図２中では、Ｎ−ＩＤＳログといった名称が示されており、これは、ネットワークタイプのＩＤＳ（侵入検知装置）を意味している。また、要因階層３（１０３）は、発信元要因を示しており、例えばセンサの名称といったデータが相当する。このような各階層について、故障の木解析の物理事象で示すと以下の通りとなる。

要因階層１：故障事象
要因階層２：故障を示すセンサの種別（測定方法）
要因階層３：故障を示すセンサの名称（例えば、Ａ社のａというセンサと、Ｂ社のｂというセンサでは同じデータを与えても同じ答えが出てこないようなこともあるため、そのセンサの名称とする）
要因階層４：そのセンサが何を検出するモードを持っているかを示す（例えば、わかり易い説明のため、分野が異なる装置による説明とすると、要因階層３がオシロスコープであれば、電圧、電流、周波数、時間、…といったモード）
要因階層５：例えば、要因階層がオシロスコープであったとすると、データ取得をする際に何をデータとして取得できるか、といった事象に相当する。電圧を測る場合では、測定日、時間、電圧、周期、ｍｉｎ値、ｍａｘ値といった値である。

また、ログ１０６における調査項目１は、各ログ項目が何を示しているかを示し、調査項目２は、各ログの分布を表している。

このようなログＦＴＡの表示(ＧＵＩ)はプルダウン形式で選択することができる。例えば、要因階層１（１０１）をクリックするとインシデントとして選択できるカテゴリが表示され、そのうちから１つを選択する。その選択したインシデントに対し、ログがどのように分布しているのかを表示することで、インシデントの構成要素を把握することができるよう構成されている。

以下、図１を参照して本実施の形態１のログ分析装置について説明する。
図１に示すログ分析装置は、ログ変換部１、ログ変換制御部２、統合ログデータベース３、ログ変換データベース４、演算方法データベース５、カテゴリデータベース６、抽出処理部７、結果データベース８、ＧＵＩ画面制御部９を備えている。

ログ変換部１は、ログ変換制御部２によって制御され、図示しない各センサからのログを統合化処理する（フォーマット的に同じくする）機能部である。ログ変換制御部２は、ログ変換データベース４に格納されているログ変換用のフォーマットに基づき、システム初期設定時に、ログ変換部１に各センサログの変換処理方法を指示する機能を有している。尚、ログ変換部１は、センサの数や種類が増えると、負荷が増大し、変換処理が遅延する可能性があるため、複数個が設けられており、これら複数のログ変換部１をログ変換制御部２から一括して管理できるよう構成されている。統合ログデータベース３は、ログ変換部１によって、各種センサログがフォーマット的に統一された後、これらログを格納するためのデータベースである。ログ変換データベース４は、ログ変換用フォーマットを格納するためのデータベースである。

演算方法データベース５は、ログの処理の仕方を定義しているデータベースである。即ち、図２に示したツリー構造の定義データと、各カテゴリに対応したログの判定値（頂上事象が発生したか否かの判定値）とを有している。カテゴリデータベース６は、要因階層１（１０１）のカテゴリが格納されるデータベースであり、例えば、ワームのネットワークへの混入や、ＤＤｏＳ攻撃、エクスプロイト攻撃等、特徴的な起こりうるセキュリティ事象（インシデント）に対応した複数のカテゴリが格納可能である。また、演算方法データベース５には、カテゴリデータベース６のカテゴリに対応して各ツリー構造の定義データ等が格納されている。

抽出処理部７は、統合ログデータベース３のログと、演算方法データベース５に格納されている定義データやログの判定値に基づいて、不正アクセスの分析を行い、その結果を結果データベース８とＧＵＩ画面制御部９とに出力する機能部である。結果データベース８は、抽出処理部７で判定された分析結果を格納するデータベースである。ＧＵＩ画面制御部９は、抽出処理部７の分析結果を図示しないディスプレイに表示したり、画面からの入力データをログ変換制御部２や抽出処理部７および演算方法データベース５やカテゴリデータベース６に出力する機能部である。

次に、動作について説明する。
本実施の形態では、上述したように、コンピュータワームが生じているかも知れない、という管理者のＧＵＩ画面制御部９からの指示により、本当に発生しているか否かを判定する。

ログ分析装置に各種センサのログが入力されると、ログ変換部１では、得られた各種センサのログを、ログ変換制御部２から指示されたフォーマットに基づいて変換し、統合ログデータベース３に格納する。ログはセンサ種別単位で時系列で統合ログデータベース３に格納される。

図３は、各センサ種別毎のフォーマットを示す説明図である。
図示のように、ログのフォーマットは、センサ名称（種別）、サーバ／ノード名称、ログモード、時刻、送信元ＭＡＣアドレス、送信先ＭＡＣアドレス、送信元ＩＰ、送信先ＩＰ、ＴＴＬといった時系列のフォーマットとなっており、これらのログに対応した値が入力され、統合ログデータベース３に格納されるようになっている。また、このようなデータベースの項目は、各センサからの出力の“ＯＲ”形式となっており、各センサから出力されるログ全ての項目となっている。

次に、抽出処理部７は、ＧＵＩ画面制御部９からの管理者の指示と、演算方法データベース５の定義データに基づいてログ分析を行う。例えば、図２に示すログＦＴＡにおいて、ログ１０６の調査項目２には、時刻、アラート種別、プロトコル、送信元ＩＰ、送信先ＩＰ、…といった項目に○が付いている。これは、○印が付いている項目を変数とする関数を意味し、この関数定義が演算方法データベース５に格納されている。また、この部分がＧＵＩ画面制御部９によって表示された状態で、ＧＵＩ上の項目をクリックすることにより、処理方法登録の画面が開かれるようになっている。開かれた画面において、○印をつけた項目をどのように加工するかの定義を行うことができる。

抽出処理部７は、対象とするログの値が、所定の値を上回っていた場合は、頂上事象が発生していると判定し、その分析結果を結果データベース８に格納する。また、これが、ＧＵＩ画面制御部９によって画面表示される。即ち、図２のログＦＴＡの例では、ログ出力の分布がコンピュータワームのものと同一或いは類似している場合にアラートを出力する。

以上のように、実施の形態１のログ分析装置によれば、頂上事象を分析対象の分類とし、基本事象をその分類が発生する要因とするツリー構造のフォーマットを保持する演算方法データベースと、入力されたログをフォーマットの最下位の基本事象の値とし、基本事象の値に基づいて、このフォーマットの頂上事象が発生したか否かを判定する抽出処理部とを備えたので、ログ分析の場合の管理者の負担が軽減され、また、管理者の能力に依存せずに分析を行うことができる。

また、実施の形態１のログ分析装置によれば、分析対象の分類を格納するカテゴリデータベースを備え、演算方法データベースは、カテゴリデータベースの分類に対応したツリー構造のフォーマットを有するので、種々の分類に対応したログ分析装置を実現することができる。

実施の形態２．
実施の形態２は、頂上事象が発生する段階に応じて最下位の基本事象を拡張したものである。
通常、不正アクセスは目的を達するまでに段階を必要とする。例えば、コンピュータワームであれば、ＩＰアドレスのスキャン、ポートスキャン、自己プログラム（コンピュータワームの転送）などの段階があって感染する。これらの各段階におけるログの分布を示すように拡張したものが実施の形態２である。

図４は、実施の形態２におけるログＦＴＡを示す説明図である。尚、図４において、要因階層１（１０１）〜要因階層４（１０４）は、図２に示す構成と同様であるため、要因階層５（１０５）以降の構成のみ示している。

ここで、ログ１０６ａの調査項目２において、phase1(ＩＰスキャン)、phase2(ポートスキャン)、phase3(自己転送)、phase4(起動；発病)は、事象発生の段階を示している。また、処理番号0,1,2,3,…,10は、それぞれの列をどのように処理するかを定義するためのものである。即ち、調査項目２として、各ログのうち、どれとどれを分析として用いるものか、という組み合わせ設定をしておく。この組み合わせの名前が０〜１０の番号である。また、その組み合わせを選択した時、その番号の組み合わせのデータを用いて、予め登録しておいたデータの整理方法で、設定したデータの処理を行う（＝自動分析する）仕組みを有している。従って、例えば、図４の項目において同じログの項目（＝列）に○印が付いていても、処理方法が異なれば、組み合わせ番号を１にして、同じデータを角度を変えた見方とする処理を行うような設定が可能となる。

例えば、この書式の例として、時間当たりのログの数の集計を行うのであれば、
count (p1_0,d,60,ignore(f,g))
のような関数を定義する。上記関数の意味としては、ｄ（時刻）項で６０秒の間に、ｆ（送信元ＩＰ）とｇ（送信先ＩＰ）にかかわらず、ｐ１＿０（phase1の処理番号0）の組み合わせの数を数える、ということを表している。尚、このような定義する関数は管理者によって作成され、予め演算方法データベース５に格納しておくものとする。

また、図４では、phase1〜４までを示しているが、各phaseの組み合わせを更に関数化（例：p1_0+p2_1+p3_1）して処理の連結を行うことにより、インシデント動作の連接を定義することができる。このようなことにより、単一のインシデントのみならずネットワーク、サーバへの侵入行為としてのフィンガープリント的な動作も検知させることが可能となる。

尚、実施の形態２におけるログ分析装置の図面上の構成は、図１と同様であるため、ここでの説明は省略する。また、上記のログＦＴＡの定義ファイルは演算方法データベース５に格納され、抽出処理部７がこれを用いて管理、分析を行うよう構成されている。

以上のような構成により、調査項目２の各処理番号のログの分布は、単に発生している／いないだけではなく、例えば、ある固有ログを起点とした特定の時間を中心としたログ分布の統計分析を行ったり、特定ＩＰアドレス、あるいは特定ネットワークアドレスを指定した状態でのログ分布等というものを区分けすることを指定、あるいは自動分析する仕組みを持つ。

以上のように、実施の形態２のログ分析装置によれば、最下位の基本事象として、頂上事象の段階を示す複数の基本事象を備えたので、実施の形態１の効果に加えて、例えば、侵入行為の可能性の段階といった不正アクセスの段階も含めて分析できる効果がある。

実施の形態３．
実施の形態３のログ分析装置は、得られたログを、各ログの項目間で相関がとれるよう、データベースに格納するようにしたものである。

図５は、実施の形態３のログ分析装置の構成図である。
図において、相関データベース１０は、抽出処理部７ａが演算方法データベース５の定義データに基づいて抽出した項目のデータのみを格納するためのデータベースである。即ち、実施の形態１、２において、調査項目２で○印が付いている項目（時刻、アラート種別、プロトコル、送信元ＩＰ、送信先ＩＰ、…）といった項目のデータを格納するためのデータベースである。また、抽出処理部７ａは、実施の形態１、２の抽出処理部７と同様の機能を有すると共に、演算方法データベース５の定義データに基づいて抽出した項目のデータを相関データベース１０に格納する機能を有している。これ以外の構成は、図１と同様であるため、対応する部分に同一符号を付してその説明を省略する。

このように構成されたログ分析装置では、実施の形態１、２で説明したように、抽出処理部７によってログ分析が行われると共に、得られたログ間の相関関係が分かるよう各データを相関データベース１０に格納する。例えば、図２や図４中の調査項目２における○印が付いている項目（例えば、時刻、アラート種別、プロトコル、…等）の相関関係が分かるよう、データベースフォーマットを生成し、相関データベース１０に格納する。

ここで、相関をとる、とは、例えば図２、図４の例では、あるログについて、時刻とアラート種別とプロトコルと送信元ＩＰと送信先ＩＰを情報として持つデータベースを構築する、ということになる。即ち、ログｉ＝Ｆｉ（時刻、アラート種別、プロトコル、送信元ＩＰ、送信先ＩＰ）であり、ログｉの集計をとる方法として、時刻ａ〜ｂの範囲で、アラートとしては何が一番出ているか、あるいは送信元ＩＰの出現ランキングはどうなっているか、といったことを相関として得られることになる。

以上のように、実施の形態３のログ分析装置によれば、入力されたログと、ログの基本事象とを格納する相関データベースを備えたので、ログとして得られた各項目のデータ間の相関関係を容易に知ることができる効果がある。

実施の形態４．
実施の形態４のログ分析装置は、脆弱性診断装置を備え、この脆弱性診断装置によって各センサから出力されたログに基づいて、分析処理を学習するようにしたものである。即ち、ログはある事象に対して、情報要素を含んだ形で出力されるが、データベースとして登録するにはログの情報の中身（時刻、ログ種別、ＩＰ等）であって、この中身はログを発生させなければどのようなものが出てくるかは分からない。そこで、ログを発生させるように、わざと（安全に）ネットワーク等に対して攻撃を行い、センサがどのようなログを出し、そのログの中身はどのような要素で構成され、ということを学習する。

図６は、実施の形態４のログ分析装置の構成図である。
図６において、脆弱性診断装置１１は、既知の脆弱性診断装置であり、ネットワークやサーバコンピュータの脆弱性を診断するために、同等の不正アクセスを診断対象に対して害無く試験的に実行する装置である。抽出処理部７ｂは、実施の形態１、２の機能を有すると共に、脆弱性診断装置１１の診断処理の実行によって各種センサから得られたログを、そのカテゴリのログとして出力する機能を有している。これ以外の構成は、実施の形態１または実施の形態２と同様であるため、ここでの説明は省略する。

このように構成されたログ分析装置は、学習モードと分析モードとを有している。ここで、分析モードは、実施の形態１や実施の形態２で説明した分析処理のモードであるため、その説明は省略する。学習モードは、脆弱性診断装置１１によって分析処理を学習するモードであり、以下、これについて説明を行う。

脆弱性診断装置１１によって擬似的な不正アクセスが図示しないネットワークに対して実施された場合、各種センサからログが出力される。これらの出力はログ変換部１によって変換され統合ログデータベース３に格納される。以上の動作は分析処理の場合と同様である。次に、抽出処理部７ｂは、学習モードで動作している場合、統合ログデータベース３に格納されたログを、そのカテゴリに対応したログとしてＧＵＩ画面制御部９に出力する。これにより、ＧＵＩ画面制御部９ではディスプレイに、不正アクセスに対応したログとして表示を行う。即ち、図２や図４に示したログＦＴＡのデータが得られる。このようなログＦＴＡの結果に基づき、管理者は、演算方法データベース５の定義ファイルを構築する。

以上のように、実施の形態４のログ分析装置によれば、ログの取得対象となるネットワークで、擬似的な頂上事象を発生させる脆弱性診断装置を備え、抽出処理部は、脆弱性診断装置によって発生し、入力されたログを、頂上事象に対応した最下位の基本事象のログとして出力するよう構成したので、演算方法を定義するための定義データ作成を作成する場合の管理者の負担を軽減することができる。

尚、上記各実施の形態では、頂上事象を不正アクセスとしたが、これに限定されるものではなく、発生が好ましくない事象であれば、どのような事象であっても対応することができる。

この発明の実施の形態１によるログ分析装置を示す構成図である。 この発明の実施の形態１によるログ分析装置のログＦＴＡを示す説明図である。 この発明の実施の形態１によるログ分析装置のセンサ種別毎のフォーマットを示す説明図である。 この発明の実施の形態２によるログ分析装置のログＦＴＡを示す説明図である。 この発明の実施の形態３によるログ分析装置を示す構成図である。 この発明の実施の形態４によるログ分析装置を示す構成図である。

符号の説明

１ ログ変換部、３ 統合ログデータベース、５ 演算方法データベース、６ カテゴリデータベース、７，７ａ，７ｂ 抽出処理部、９ ＧＵＩ画面制御部、１０１ 要因階層１（頂上事象）、１０２ 要因階層２、１０３ 要因階層３、１０４ 要因階層４、１０５ 要因階層５（最下位の基本事象）、１０６，１０６ａ ログ。

Claims (5)

1. 頂上事象を分析対象の分類とし、基本事象をその分類が発生する要因とするツリー構造のフォーマットを保持する演算方法データベースと、
   入力されたログを前記フォーマットの最下位の基本事象の値とし、当該基本事象の値に基づいて、このフォーマットの頂上事象が発生したか否かを判定する抽出処理部とを備えたログ分析装置。
2. 分析対象の分類を格納するカテゴリデータベースを備え、演算方法データベースは、当該カテゴリデータベースの分類に対応したツリー構造のフォーマットを有することを特徴とする請求項１記載のログ分析装置。
3. 最下位の基本事象として、頂上事象の段階を示す複数の基本事象を備えたことを特徴とする請求項１または請求項２記載のログ分析装置。
4. 入力されたログと、当該ログの基本事象とを格納する相関データベースを備えたことを特徴とする請求項１から請求項３のうちいずれか１項記載のログ分析装置。
5. ログの取得対象となるネットワークで、擬似的な頂上事象を発生させる脆弱性診断装置を備え、
   抽出処理部は、前記脆弱性診断装置によって発生し、入力されたログを、前記頂上事象に対応した最下位の基本事象のログとして出力するよう構成されていることを特徴とする請求項１から請求項４のうちいずれか１項記載のログ分析装置。
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   
   

Images