JP2012088843A - フィルタリングルール決定システム、フィルタリングルール決定方法、フィルタリング方法およびプログラム - Google Patents

Abstract

【課題】 フィルタリングによる監視能力低下のリスクを評価した上で、監視能力低下を抑えながら必要なログ削減量を達成する事が可能なフィルタリングルールを決定することができる技術を提供する。
【解決手段】 本発明のフィルタリングルール決定システムは、フィルタリングルールをログに適用したときのリスクを評価するリスク評価部と、フィルタリングルールをログに適用したときのログの削減量を評価する削減量評価部と、リスク評価部と削減量評価部との評価結果に基づいて、フィルタリングルールを決定するフィルタリングルール決定部と、を含む。
【選択図】 図１

Description

本発明は、監視ログのフィルタリングルール決定システム、フィルタリングルール決定方法、フィルタリング方法およびプログラムに関する。

情報漏えい、システムの不具合、不正利用などの脅威を監視するためにシステムの構成要素が生成するイベントログの監視が行われている。このような監視をする目的の一つは、脅威の発覚後における原因究明である。監視対象が生成するログは膨大であるため、全てのログを収集すると、以下のような問題がある。
・ログの保存に必要な記憶容量が大きくなる。
・ログの収集のために、より多くのリソース（ネットワーク容量など）が必要になる。
・原因究明のために、より多くのリソース（ＣＰＵ時間など）が必要になる。

一般に、原因究明に必要な監視ログは、収集可能なログの一部だけである。したがって、原因究明に必要が無いログ、すなわち、監視能力を持たないログを収集しないことにより、収集するログの総量を削減し、上記の問題を抑制することができる。監視能力を持たないログを収集しないようにすることをフィルタリングと呼ぶ。また、ログが監視能力を持たないかどうかを判断する規則をフィルタリングルールと呼ぶ。

フィルタリングルールは、設定の仕方が重要である。また、状況に応じて適切に修正、追加および削減を行う必要がある。特許文献１には、冗長なフィルタを抽出する技術が開示されているが、必ずしも適切にフィルタリングの設定がなされる技術ではない。

フィルタリングルールを適切に設定しないと、以下のような問題が生じる。
・過大なフィルタリングにより、フィルタリングしなければ原因究明できた脅威の原因が究明できなくなる可能性がある。すなわち、過大なフィルタリングによって監視能力が低下するリスクがある。
・過少なフィルタリングにより、ログの削減効果が不十分になる。すなわち、ログの削減量が低下する。

過大なフィルタリングによる監視能力低下のリスクに対して、他の関連技術では以下のような対処がなされている。

特許文献２に記載の仲介装置は、管理装置と、該管理装置によって管理される被管理装置との間に位置し、両者と回線を介して接続される。仲介装置のログ情報取得手段は、被管理装置からログ情報を取得する。仲介装置のログフィルタは、ログ情報取得手段で取得したログ情報の異常を異常検知対応ルールで検知する。

仲介装置の関連性取得手段は、異常検知対応ルールと、被管理装置の障害との関連性を取得する。仲介装置の異常検知対応ルール生成手段は、関連性取得手段で取得した関連性に基づき、新しい異常検知対応ルールの生成を行う。最後に、仲介装置のログフィルタは、異常検知対応ルールを異常検知対応ルール生成手段で生成した新しい異常検知対応ルールに更新する。

特許文献３に記載のログ取得管理システムは、効率的且つ効果的に必要なログを取得する。ログ取得管理システムの判別手段は、イベントの発生に応答して当該イベントが条件データベースに記憶されているログ生成の除外条件を示すログ生成除外条件データのいずれかに該当するかを判別する。

イベントが条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、ログ取得管理システムのログ生成手段は、当該イベントに対応するログを生成しない。イベントが条件データベースに記憶されているログ生成除外条件データのいずれにも該当しないと判別された場合、ログ取得管理システムのログ生成手段は、当該イベントに対応するログを生成してログデータベースに記憶する。ログ取得管理システムの条件削減手段は、条件データベースに記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データを前記条件データベースから削減する。

なお、ログ生成の除外条件を示すログ生成除外条件データは、ログを構成する項目の組み合わせのうちから出現度の高い組み合わせを表す相関ルールであって、所定期間単位で出現率が閾値を超える相関ルールである。

上記の関連技術では、障害との関連性や相関ルールを考慮することで、監視能力の低下に対するリスクへの対処がなされている。

特開２００９−２１７３９２号公報 特開２００８−２０４０６３号公報 特開２００６−１６３９３１号公報 特開２００５−２８６５６０号公報

離散システムの最適化 〜一目的から多目的へ 著 坂和正敏 森北出版株式会社

しかしながら上記の関連技術は、ログの削減量について考慮していないので、必ずしも必要なログ削減量を達成することができない。 本来フィルタリングの目的はログを削減することである。しかし、上記の関連技術はこの目的に対して評価を行っておらず、ログの削減効果を過剰に低下させるおそれがある。そのため、関連技術によるフィルタリング方法は、必ずしも適切なフィルタリング方法となっているとは言えない。

削減量を評価する技術として、特許文献４があるが、この技術はフィルタリングルールの決定に関する技術ではない。

以上より本発明の目的は、フィルタリングによる監視能力低下のリスクを評価した上で、監視能力低下を抑えながら必要なログ削減量を達成する事が可能なフィルタリングルールを決定することができる技術を提供することである。

上記目的を達成するために、本発明のフィルタリングルール決定システムは、フィルタリングルールをログに適用したときのリスクを評価するリスク評価部と、フィルタリングルールをログに適用したときのログの削減量を評価する削減量評価部と、リスク評価部と削減量評価部との評価結果に基づいて、適用するフィルタリングルールを決定するフィルタリングルール決定部と、を含む。

上記目的を達成するために、本発明のフィルタリングルール決定方法は、フィルタリングルールをログに適用したときのリスクを評価し、フィルタリングルールをログに適用したときのログの削減量を評価し、リスクと削減量との評価結果に基づいて、適用するフィルタリングルールを決定する。

上記目的を達成するために、本発明のプログラムは、フィルタリングルールをログに適用したときのリスクを評価し、フィルタリングルールをログに適用したときのログの削減量を評価し、リスクと削減量との評価結果に基づいて、適用するフィルタリングルールを決定する、処理をコンピュータに実行させる。

本発明によれば、フィルタリングによる監視能力低下のリスクを評価した上で、監視能力低下を抑えながら必要なログ削減量を達成する事が可能なフィルタリングルールを決定することができる。

本発明の第１の実施形態に係るフィルタリングルール決定システム１の機能構成を示すブロック図である。 観測事象分析部１４２が行う故障木解析の結果である観測情報の概念を示す図である。 リスク評価部１４２が生成するか、または予め有する不観測情報の例を示す図である。 リスク評価部１４２が行うリスク値の計算を説明するために用いる観測情報の概念を示す図である。第１の実施の形態の監視ログフィルタリングルール決定方法装置のステップ１の動作例を示すフローチャートである。 資産ＤＢ１２からリスク評価部１４１に供給される資産情報の例を示す図である。 リスク評価部１４２がリスク値を計算する経過を説明するための図である。 リスク評価部１４１がリスク評価済みルール格納装置１５に出力する情報の例を示す図である。 削減量評価部１６１がフィルタリングルール決定部１６２に出力する情報の例を示す図である。 フィルタリングルール決定部１６２がフィルタリングルールを決定するために用いる情報の例を示す図である。 フィルタリングルール決定部１６２の行う具体的な処理を説明するための図である。 図１０の例における適用するルールを選択する処理を説明するための図である。 リスク評価装置１４の動作を示すフローチャートである。 削減量評価部１６１の動作（Ｓ２）を示すフローチャートである。 フィルタリングルール決定システム１の全体の動作を示すフローチャートである。 本発明の第２の実施形態に係るフィルタリングルール決定システム２の機能構成を示すブロック図である。 基本事象の概念を表した図である。 基本事象について詳細に説明するための図である。 基本事象分析部２１３が基本事象格納部２１２に出力する基本事象の情報を表した図である。 フィルタリングルールと、そのフィルタリングルールにより削除される基本事象との対応関係に関する情報を表した図である。 依存リスク評価部２１１が、基本事象毎に、基本事象が削除された際のリスク値を計算した結果を示す図である。 基本事象削減量評価部２２１の削減量の評価結果を追記した図である。 依存フィルタリングルール決定部２２２がフィルタリングルールを決定するために用いる情報の例を示す図である。 依存リスク評価装置２１の動作（Ｓ４）を示すフローチャートである。 依存フィルタリングルール決定装置２２の動作（Ｓ５）を示すフローチャートである。 本発明の第３の実施形態に係るフィルタリングルール決定システム３の機能構成を示すブロック図である。 本発明を実施するための第３の実施の形態におけるフィルタリングルール決定システム３の動作を示すフローチャートである。 本発明の第４の実施形態に係るフィルタリングルール決定システム４の機能構成を示すブロック図である。

以下、本発明の実施形態について、図面を用いて説明する。すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。

なお、各実施形態のフィルタリングルール決定システム１を構成する各装置における各部は、制御部、メモリ、メモリにロードされたプログラム、プログラムを格納するハードディスク等の記憶ユニット、ネットワーク接続用インターフェースなどからなり、ハードウェアとソフトウェアの任意の組合せによって実現される。そして特に断りのない限り、その実現方法、装置は限定されない。

制御部は、ＣＰＵ（Central Processing Unit。以下同様。）などからなり、オペレーティングシステムを動作させてフィルタリングルール決定装置１の各装置の全体を制御する。また、制御部は、例えばドライブ装置などに装着された記録媒体からメモリにプログラムやデータを読み出し、これにしたがって各種の処理を実行する。

記録媒体は、例えば光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク、半導体メモリ等であって、コンピュータプログラムをコンピュータ読み取り可能に記録する。また、コンピュータプログラムは、通信網に接続されている図示しない外部コンピュータからダウンロードされても良い。

また、各実施形態の説明において利用するブロック図は、ハードウェア単位の構成ではなく、機能単位のブロックを示している。これらの機能ブロックはハードウェア、ソフトウェアの任意の組み合わせによって実現される。また、これらの図においては、各実施形態の構成部は物理的に結合した一つの装置により実現されるよう記載されている場合もあるが、その実現手段は特に限定されない。すなわち、二つ以上の物理的に分離した装置を有線または無線で接続し、これら複数の装置により、各実施形態のシステムを実現しても良い。

＜第１の実施形態＞
まず、図１を参照して本発明の第１の実施形態に係るフィルタリングルール決定システム１の機能構成を説明する。

図１は、本発明の第１の実施形態に係るフィルタリングルール決定システム１の機能構成を示すブロック図である。図１に示すように、フィルタリングルール決定システム１は、フィルタリングルール格納装置１１と資産ＤＢ１２とログ格納装置１３とリスク評価装置１４とリスク評価済みルール格納装置１５とフィルタリングルール決定装置１６とを含む。

リスク評価装置１４は、入力元となるフィルタリングルール格納装置１１と資産ＤＢ１２と、出力先となるリスク評価済みルール格納装置１５とがそれぞれ接続される。

フィルタリングルール決定装置１６は、入力となるログ格納装置１３とリスク評価済みルール格納装置１５とがそれぞれ接続されており、図示しない装置に対し決定したフィルタリングルールの出力を行う。

フィルタリングルール格納装置１１は、人手によって（専門家や管理者など知識のある者の手によるものでも良い）予め作成したフィルタリングルールを格納する。
本実施形態においてフィルタリングルールは、ある１つのログに対して削減できるフィルタリングルールは１つだけであるような互いに独立なフィルタリングルールとする。

資産ＤＢ１２は、監視の対象となるシステム１７（以下、監視対象システム１７）に含まれる、監視対象の資産に関する情報である資産情報を格納する。また、資産ＤＢ１２は、必要に応じてリスク評価装置１４（観測事象分析部１４２及びリスク評価部１４１）に資産情報を供給する。

ここで、監視対象の資産とは、機密情報を保存したファイル（機密ファイル）、重要なサーバやネットワークなど、脅威が発生した際に原因を究明する必要がある資産のことである。また、資産情報は、その資産を識別する識別子と、資産の価値を表す値（資産価値）を含む。資産ＤＢ１２は、人手によって作成されても良いし、監視対象システムを公知の資産情報分析手段を用いて分析することで作成されても良い。

ログ格納装置１３は、監視対象システム１７から評価用監視ログが入力される。評価用監視ログは、フィルタリングルールの削減量を評価するための監視ログである。ログ格納装置１３は、監視対象システム１７から入力された評価用監視ログの特徴を格納する。ログ格納装置１３は、例えば、１週間の通常の業務内容を処理したマシンのログや、共通の業務内容を処理したグループ全員のマシンのログ等を取得しても良い。なお、ログ格納装置１３は、人手によって任意に集められたログの特徴を格納しても良い。ここで、ログの特徴とは、ログに含まれる要素（例えば、プロセス名や、ファイルパス）の内容などである。

リスク評価装置１４は、リスク評価部１４１と観測事象分析部１４２と観測情報格納部１４３とを含む。

リスク評価装置１４は、フィルタリングルール格納装置１１からの入力を得ると、リスク評価部１４１により観測情報格納部１４３の情報を用いてフィルタリングルールのリスクの評価を行い、結果をリスク評価済みルール格納装置１５に格納する。リスク評価装置１４を構成する各要素について説明する。

観測事象分析部１４２は、脅威が発生した際に、資産ＤＢ１２に格納された資産情報に関して発生しうるログの特徴（観測事象）を分析する。例えば、資産がパスワード付きの「ｔｅｓｔ．ｄｏｃ」だった場合、観測事象は、「ｗｏｒｄに関するログ」、「ｔｅｓｔ．ｄｏｃのディレクトリにアクセスしたログ」、「パスワード認証に関するログ」などの特徴である。

観測事象分析部１４２は、上記分析から観測事象と資産等との関係を表す観測情報を生成して観測情報格納部１４３に出力する。

観測事象分析部１４２が行う分析は、例えば故障木解析でも良い。または、観測事象分析部１４２は、監視対象システム１７上で脅威を発生させ、その際に生じるログの特徴を採取して、観測事象としても良い。

観測情報格納部１４３は、観測事象分析部１４２から入力される観測情報を格納する。また、観測情報格納部１４３は、資産情報を格納しても良い。資産情報は、観測事象分析部１４２を通して、又は直接、資産ＤＢ１２から観測情報格納部１４３に入力される。

リスク評価部１４１は、フィルタリングルールをログに適用したときのリスクを評価する。すなわち、リスク評価部１４１は、フィルタリングルール格納装置１１に格納されたフィルタリングルールによって、どの程度の監視能力の低下が生じるかを評価し、評価結果を出力する。

具体的には、リスク評価部１４１は、フィルタリングルールを適用することによって収集されなくなるログの特徴と、観測情報格納部１４３に格納された観測情報を比較することによりリスク値を決定する。このリスク値が、監視能力の低下を評価した結果となる。リスク評価部１４１は、リスク値の計算に、観測情報格納部１４３が格納する資産情報を利用しても良い。リスク評価部１４１がリスク値を決定する処理は、後述する。リスク評価部１４１は、決定したリスク値をフィルタリングルールと対応付けて、評価結果（リスク評価済みフィルタリングルールとも言う）としてリスク評価済みルール格納装置１５へ出力する。

リスク評価済みルール格納装置１５は、評価結果を入力し、フィルタリングルールごとに、どの程度の監視能力の低下が生じうるかを評価した結果であるリスク値を格納する。すなわち、リスク評価済みルール格納装置１５は、フィルタリングルールとリスク値とを関連付けた情報を格納する。この情報の中のフィルタリングルールは、リスク評価済みフィルタリングルールとも呼ばれる。

フィルタリングルール決定装置１６は、削減量評価部１６１とフィルタリングルール決定部１６２とを含む。

フィルタリングルール決定装置１６は、ログの削減量を評価した上でフィルタリングルールを決定する。フィルタリングルール決定装置１６は、ログ格納装置１３に格納されている評価用監視ログに対して、リスク評価済みルール格納装置１５に格納されているリスク評価済みフィルタリングルールを適用して、フィルタリングルール毎のログの削減量を評価する。フィルタリングルール決定装置１６は、削減量を評価した後、フィルタリングルールを決定する。フィルタリングルール決定装置１６を構成する各要素について説明する。

削減量評価部１６１は、リスク評価済みフィルタリングルールをログに適用したときのログの削減量を評価する。すなわち、削減量評価部１６１は、リスク評価済みルール格納装置１５が格納するリスク評価済みフィルタリングルールを、ログ格納装置１３が格納する評価用監視ログに適用したときの削減量を測定し、測定した削減量を評価結果として出力する。

フィルタリングルール決定部１６２は、リスク評価済みルール格納装置１５が格納するリスク評価部１４１の評価結果（特にフィルタリングルールごとのリスク値）と、削減量評価部１６１の評価結果（ログの削減量）とに基づいて、フィルタリングルールを決定する。

具体的には、フィルタリングルール決定部１６２は、リスクによる閾値と削減量の閾値を決めておき、それぞれを満たす最適なルールとなるように、リスク評価済みフィルタリングルールの中から複数のルールを選んでも良い。フィルタリングルール決定部１６２は、決定したフィルタリングルールを出力する。

次に、図２〜図１１を参照して、観測事象分析部１４２、リスク評価部１４１、削減量評価部１６１、フィルタリングルール決定部１６２の機能構成を詳細に説明する。

観測事象分析部１４２は、例えば故障木解析によって観測事象を分析する。ここで、故障木とは、脅威の原因を、ログの特徴で表したものである。

図２は、観測事象分析部１４２が行う故障木解析の結果である観測情報の概念を示す図である。故障木解析の際、観測事象分析部１４２は、まず資産ＤＢ１２に格納されている資産（α１、α２、α３・・・）に対して想定される脅威（β１、β２、β３・・・）を列挙する。次に、観測事象分析部１４２は、それぞれの脅威の原因となる要素（γ１、γ２、γ３・・・）を列挙する。この列挙を繰り返し、脅威の原因を、ログの特徴（ｙ１、ｙ２、ｙ３・・・）で表す。該ログの特徴は、すなわち観測事象である。

観測事象分析部１４２は、分析の結果得られる、資産と、脅威と、脅威の原因となる要素と、その他複数の要素と、観測事象との関係（例えば図２で示される関係）を観測情報として、観測情報格納部１４３に出力する。なお、故障木解析によって図２で示すような関係を表す観測情報を生成する処理は、専門家などによって人手で行われても良い。

リスク評価部１４１は、フィルタリングルール格納装置１１に格納されたフィルタリングルール毎に、どの程度の監視能力の低下が生じるかを評価する。

リスク評価部１４１は、フィルタリングルール格納装置１１に格納されたフィルタリングルール毎に、該ルールの適用によってフィルタリングされるログの特徴（不観測事象）を予め有する。予め有する不観測事象は、フィルタリングルール作成時に想定した、フィルタリングされるログの特徴であっても良いし、また別の任意の方法から特定したものでも良い。または、フィルタリングルール格納装置１１が、フィルタリングルール毎の不観測事象を予め格納していても良い。その場合、リスク評価部１４１は、必要に応じてフィルタリングルール格納装置１１が格納する不観測事象を参照しても良い。

また、リスク評価部１４１は、フィルタリングルールと不観測事象とから不観測情報を生成するか、または不観測情報を予め有する（格納する）。図３は、リスク評価部１４２が生成するか、または予め有する不観測情報の例を示す図である。図３に示すように、不観測情報は、フィルタリングルールと不観測事象との対応関係を表す情報である。

リスク評価部１４１は、観測情報格納部１４３が格納する観測情報と、不観測情報とを比較して、観測事象に対して不観測事象が影響を与えるかどうかを調べる。具体的には、リスク評価部１４１は、観測事象である全てのログの特徴の中に、不観測事象であるログの特徴があるかどうかを調べる。リスク評価部１４１は、観測事象の中に不観測事象が含まれることにより、観測事象に対して不観測事象が影響を与えると判定した場合は、例えば、観測事象に影響を与える不観測事象の、観測事象に対する割合（損失情報）を、計算する。次に、リスク評価部１４１は、不観測事象の影響を受ける資産の資産価値と、該資産の前述の損失情報とを掛け合わせることによって、リスク値を計算し、リスクを評価しても良い。

図３〜図６を参照して、リスク評価部１４１が、資産価値と損失情報とを掛け合わせることによりリスク値を計算する例を説明する。

図４は、リスク評価部１４２が行うリスク値の計算を説明するために用いる観測情報の概念を示す図であり、図２を簡略化したものである。図５は、資産ＤＢ１２からリスク評価部１４１に供給される資産情報の例を示す図である。図６は、リスク評価部１４２がリスク値を計算する経過を説明するための図である。

リスク値計算の説明の簡易のために、脅威の原因となる観測事象に対し、不観測事象が一つでも存在する場合、脅威は観測されなくなるとする。また、脅威はどれも等しいとする。

リスク評価部１４１が、ルールｂのリスクを計算する例を説明する。なお、リスク評価部１４２は、ルールを適用することによるリスク値を、（資産α１の資産価値）×（α１の損失情報）＋（資産α２の資産価値）×（α２の損失情報）として計算するとする。

リスク評価部１４２は、図３に示す不観測情報を参照し、ルールｂは不観測事象ｙ１を有することを判定する。リスク評価部１４２は、図４に示す観測情報を参照し、ｙ１は脅威β１の原因となる観測事象であることを判定する。ルールbにより、資産α１は、脅威の１／３が特定されなくなる（β１、β２、β３のうちβ１が特定できなくなるから）。このため、資産α１に対する損失情報は、１／３となる。またルールｂは、資産α２に対して影響を及ぼさない。また、図５によれば、資産α１の資産価値は２、資産α２の資産価値は４である。よって、リスク評価部１４２は、ルールｂを適用することによるリスク値は、２×１／３＋４×０＝０．６であると判定する。なお、リスク値の少数第２位は、切り捨てとした。

リスク評価部１４１は、以上の計算方法によって、図６に示すように全てのルールについてのリスク値を計算する。なお、リスク評価部１４１が行うリスクの評価の方法は、リスクの評価として適正であればどのような方法であっても良く、これまで説明した資産価値と損失情報との掛け合わせによってリスク値を計算する方法に限定されない。

リスク評価部１４１は、フィルタリングルール毎にリスク値を計算した後、評価結果をリスク評価済みルール格納装置１５に出力する。

図７は、リスク評価済みルール格納装置１５が格納する情報の例を示す図である。リスク評価部１４１は、ルールとリスク値との対応を表す評価結果をリスク評価済みルール格納装置１５に出力する。図７に示すように、リスク評価済みルール格納装置１５は、該評価結果を、「ｄｅｌ」の項目のデータとともに格納する。図７の「ｄｅｌ」の項目は、後述する削減量評価部１６１がログ削減量を評価した結果を追記する項目である。ただし、図７において、「ｄｅｌ」の項目のデータは、空である。

削減量評価部１６１は、すでにリスク評価がされているフィルタリングルール毎に、ログの削減量を評価する。削減量評価部１６１には、リスク評価済みルール格納装置１５から、例えば図７に示すような情報が入力される。また、削減量評価部１６１には、ログ格納装置１３から評価用監視ログが入力される。

削減量評価部１６１は、リスク評価済みフィルタリングルールを、評価用監視ログに適用してフィルタリングを行い、実際の削減量を計測する。削減量評価部１６１は、フィルタリングルール毎に計測した削減量を、リスク評価済みルール格納装置１５内の情報（図７の「ｄｅｌ」の項目）に追記して、図８に示すような情報として生成してもよい。また、削減量評価部１６１は、図８に示すような情報をフィルタリングルール決定部１６２に出力する。図８に示すように、削減量評価部１６１は、ルール毎のリスクと削減量との対応を表す情報を、フィルタリングルール決定部１６２に出力する。

フィルタリングルール決定部１６２は、リスク評価の結果と削減量の評価の結果とに基づいて、フィルタリングルールを決定する。すなわち、フィルタリングルール決定部１６２は、削減量評価部１６１から入力される図８に示すような情報に基づいてフィルタリングルールを決定する。フィルタリングルール決定部１６２は、例えば、リスク値と削減量に関する所定の式を最適化問題として解くことで、フィルタリングルールを決定しても良い。

図９は、フィルタリングルール決定部１６２がフィルタリングルールを決定するために用いる情報の例を示す図である。図９の項目（１）は、削減量評価部１６１から入力された図８に示す情報が対応する。ここでは、例としてＸ１、Ｘ２、Ｘ３、Ｘ４に対応する４つのフィルタリングルールについて考える。また、フィルタリングルール毎の、リスク評価部１４により計算されたリスク値をｒ１、ｒ２、ｒ３、ｒ４とし、削減量評価部１６１で計測された削減量をｄ１、ｄ２、ｄ３、ｄ４とする。

図９の項目（２）、（３）、及び（４）は、フィルタリングルールを決定するための計算式（計算の制約の式）の情報である。図９（２）のＸｉは、対応するフィルタリングルールを適用するか（Ｘｉ＝１）、適用しないか（Ｘｉ＝０）を表す値である。Ｒは、適用するフィルタリングルール全体のリスクを表す。Ｄは、適用するフィルタリングルール全体のログ削減量を表す。

図９の項目（３）のＲ０は、リスク値の閾値を表す。ＭＡＸは、最大値の意味である。すなわち、図９の項目（３）の式は「リスク値がＲ０以下で削減量が最大のもの」という条件を表す。図９の項目（４）のＤ０は削減量の閾値を表す。Ｍｉｎは、最小値の意味である。すなわち、図９の項目（４）の式は、「削減量がＤ０以上でリスク値が最小のもの」という条件を表す。図９の項目（３）又は（４）の条件式は、フィルタリングルール決定部１６２が予め有するか、又はユーザの任意により入力されても良い。

フィルタリングルール決定部１６２は、図９の項目（４）を満たすようなＲ、Ｄを求めることにより、削減量が閾値以上でリスクが最小になるように、適用するフィルタリングルールを決定しても良い。または、フィルタリングルール決定部１６２は、図９の項目（３）を満たすようなＲ、Ｄを求めることにより、リスクが閾値以下で削減量が最大になるように、適用するフィルタリングルールを決定しても良い。フィルタリングルール決定部１６２は、図９の項目（３）または（４）を、非特許文献１に記載されている整数最適化問題として解いても良い。以下、具体的な数字を用いて、フィルタリングルール決定部１６２の行う処理を説明する。

図１０は、フィルタリングルール決定部１６２の行う具体的な処理を説明するための図である。例えば、フィルタリングルール決定部１６２に削減量評価部１６１から図１０の項目（１）のような情報が入力されると、図９の項目（２）は、図１０の項目（２）のように求まる。図１０の項目（３）において、Ｒ０＝５とすると、フィルタリングルール決定部１６２は、リスク値が５を超えない範囲で、削減量Ｄが最大になるように、１６通りのフィルタリングルールの中から選択する。

図１１は、図１０の例における適用するルールを選択する処理を説明するための図である。図１１は、リスク値が５以下という条件を満たすＸ（Ｘ１、Ｘ２、Ｘ３、Ｘ４）の組み合わせと、そのＸに対応するフィルタリングルールを適用したときのリスク値及び削減量との対応を表す。この結果により、フィルタリングルール決定部１６２は、削減量が最大となるＸの組み合わせは、（Ｘ１、Ｘ２、Ｘ３、Ｘ４）＝（０、１、１、０）、（１、０、０、１）の２つであると判定する。２つの組み合わせが得られたので、フィルタリングルール決定部１６２は、リスク値が最小となる（０、１、１、０）の組み合わせを選択する。以上より、フィルタリングルール決定部１６２は、Ｘ２とＸ３との組み合わせのフィルタリングルールを、適用するフィルタリングルールとして決定し、出力する。

以上、これまでの例では、全体のリスク値Ｒは個々のリスクの総和で算出されるものとしたが、別の方法で算出しても良い。例えば、全体のリスク値Ｒは、個々のリスクのうち最大のリスク値Ｒであると定義してもよい。また、フィルタリングルール決定部１６２は、上記で説明した最適化問題を解く以外の別の方法で、適用するフィルタリングルールを決定しても良い。

次に、図１２〜図１４を参照して、本発明の第１実施形態におけるフィルタリングルール決定システム１の動作を説明する。まず、リスク評価装置１４がフィルタリングルール毎のリスクを評価する動作について説明する。

図１２は、リスク評価装置１４におけるリスク値の算出までの動作（Ｓ１）を示すフローチャートである。図１２に示すように、まず観測事象分析部１４２は、資産ＤＢ１２に格納されている資産情報に対して、脅威が発生した際に発生しうるログの特徴の分析を行い、観測情報を生成して観測情報格納部１４３に格納する（ステップＳ１１）。なお、観測情報の例は、図２や図４に概念で示す。

次に、リスク評価部１４１は、フィルタリングルール格納装置１１に格納されているフィルタリングルールを読み込む（ステップＳ１２)。リスク評価部１４１は、読み込んだフィルタリングルールの各々に対して、不観測情報を生成する（ステップＳ１３)。不観測情報とは、図３に示すような情報である。なお、上記したように、リスク評価部１４１は、不観測情報を予め有していても良い。

次に、リスク評価部１４１は、観測情報と不観測情報の結果から、観測事象に対して不観測事象が影響を与えるかどうかを調べる（ステップＳ１４）。すなわち、リスク評価部１４１は、図２や図４で示されるような、故障木の観測事象の中に、図３に示される不観測事象があるかどうかを判定する。

もし、影響を与える（観測事象の中に不観測事象がある）ならば、不観測事象の観測事象に対する割合（損失情報）を算出し、そのリスク値を計算する（ステップＳ１５）。リスク値は、例えば、上述したように資産価値と損失情報とを掛け合わせることによって計算しても良いし、別の方法で計算してもよい。

リスク評価部１４１は、Ｓ１４とＳ１５の処理を、フィルタリングルールの数だけ繰り返し行う（ステップＳ１６）。

次に、フィルタリングルール決定装置１６が含む、削減量評価部１６１の動作について説明する。

図１３は、削減量評価部１６１における削減量算出までの動作（Ｓ２）を示すフローチャートである。図１３に示すように、まず削減量評価部１６１は、リスク評価済みルール格納装置１５に格納されているリスク評価済みフィルタリングルールを読み込む（ステップＳ２１）。

次に、削減量評価部１６１は、ログ格納装置に格納されている評価用監視ログに対し、リスク評価済みフィルタリングルールを適用してフィルタリングを行い、実際の削減量を計測する（ステップＳ２２）。

削減量評価部１６１は、Ｓ２２の処理を、評価済みフィルタリングルールの数だけ繰り返し行う（ステップＳ２３）。

次に、フィルタリングルール決定システム１の全体の動作を説明する。

図１４は、フィルタリングルール決定システム１の全体の動作を示すフローチャートである。図１４に示すように、まず、リスク評価装置１４が、上述したＳ１の動作を行うことで、フィルタリングルール毎のリスクを評価する（ステップＳ１）。

次に、削減量評価部１６１が、上述したＳ２の動作を行うことで、フィルタリングルール毎のログ削減量を評価する（ステップＳ２）。

次に、フィルタリングルール決定部１６２は、Ｓ１とＳ２の結果より得られたフィルタリングルール毎のリスク値と削減量を考慮して、フィルタリングルールを決定する（ステップＳ３）。適用するフィルタリングルールは、例えば、既に詳細に説明したリスク値と削減量の最適化問題を解くことで決定しても良い。

以上説明したように、本発明の第１の実施形態に係るフィルタリングルール決定システム１によれば、フィルタリングによる監視能力低下のリスクを評価した上で、監視能力低下を抑えながら必要なログ削減量を達成する事が可能なフィルタリングルールを決定することができる。

なぜならば、リスク評価部１４１によるフィルタリングを行うことによるリスクの評価結果と、削減量評価部１６１によるフィルタリングを行うことによるログ削減量の評価結果に基づくことで、フィルタリングルール決定システム１は、監視能力と削減能力の両方を満足するようなフィルタリングルールを決定できるからである。

＜第２の実施形態＞
図１５を参照して本発明の第２の実施形態に係るフィルタリングルール決定システム２の機能構成を説明する。

図１５は、本発明の第２の実施形態に係るフィルタリングルール決定システム２の機能構成を示すブロック図である。図１５に示すように、フィルタリングルール決定システム２は、依存リスク評価装置２１と依存フィルタリングルール決定装置２２と依存フィルタリングルール格納装置２３とが、第１の実施形態に係るフィルタリングルール決定システム１と比較して異なる。フィルタリングルール決定システム１と同様の構成については、図１と同じ符号を付し、詳細な説明を省略する。

依存フィルタリングルール格納装置２３は、互いに独立でないような依存関係を持ったフィルタリングルールも格納する。依存関係を持ったフィルタリングルールとは、異なる複数のフィルタリングルールのどちらからもフィルタリングされる要素があるようなルールである。

依存リスク評価装置２１は、依存リスク評価部２１１と基本事象格納部２１２と基本事象分析部２１３とを含む。まず、基本事象分析部２１３について説明する。

基本事象分析部２１３は、資産ＤＢ１２と依存フィルタリングルール格納装置２３との入力を受け、観測事象とフィルタリングルールとから判断出来る基本事象を分析し、基本事象に関する情報を基本事象格納部２１２に出力する。なお、観測事象とは、第１の実施形態と同様、脅威が発生した際に、資産ＤＢ１２に格納された資産情報に関して発生しうるログの特徴であるとする。

ここで基本事象とは、ログが含まれうる全ての事象からなる集合を分割する部分集合であり、以下の全ての条件を満たすものである。
（１）基本事象同士は共通の要素を持たない。
（２）基本事象に含まれる全ての事象は、あるフィルタリングルールによって全て削除されるか、一つも削除されないかのいずれかである。
（３）基本事象に含まれる全ての事象は、ある脅威の観測事象を全て含むか、一つも含まないかのいずれかである。

図１６は、基本事象の概念を表した図である。図１６に示すように、フィルタリングルール間の依存関係は、基本事象によって表現される。

基本事象分析部２１３についての詳細は、後述する。

基本事象格納部２１２は、基本事象分析部２１３が行った基本事象に関する情報である分析結果を格納する。また、基本事象格納部２１２は、資産情報（例えば図５に示す情報）を格納しても良い。資産情報は、基本事象分析部２１３を通して、又は直接、資産ＤＢ１２から基本事象格納部２１２に入力されても良い。

依存リスク評価部２１１は、依存フィルタリングルール格納装置２３と基本事象格納部２１２とから入力を受け、フィルタリングルールとフィルタリングされる基本事象との関係から、フィルタリングルール毎のリスクを評価する。

次に依存フィルタリングルール決定装置２２について説明する。依存フィルタリングルール決定装置２２は、基本事象削減量評価部２２１と、依存フィルタリングルール決定部２２２とを含む。

基本事象削減量評価部２２１は、リスク評価済みルール格納装置１５が格納する情報の入力を受け、ログ格納装置１３が格納する基本事象毎のログ削減量を計測する。

依存フィルタリングルール決定部２２２は、基本事象削減量評価部２２１からログ削減量に関する評価を含む情報が入力される。依存フィルタリングルール決定部２２２は、例えばリスクとログ削減量に関する最適化問題を解くことにより、許容できるリスクの範囲で最大のログ削減量を実現するフィルタリングルールを決定する。

次に、図１７〜図２１を参照して、基本事象分析部２１３、基本事象格納部２１２、依存リスク評価部２１１の機能構成について詳細に説明する。

基本事象分析部２１３は、第１の実施形態における観測事象分析部１４２と同様、脅威が発生した際に、資産ＤＢ１２に格納された資産情報に関して発生しうるログの特徴（観測事象）を分析する。基本事象分析部２１３は、観測事象の分析を、例えば故障木解析などで行っても良い。

基本事象分析部２１３は、依存フィルタリングルール格納装置２３からフィルタリングルールが入力される。基本事象分析部２１３は、フィルタリングルールと、不観測事象と、観測事象との関係から、基本事象を分析する。

ここで、基本事象分析部２１３は、依存フィルタリングルール格納装置２３に格納されたフィルタリングルール毎に、該ルールの適用によってフィルタリングされるログの特徴（不観測事象）を予め有しても良い。予め有する不観測事象は、フィルタリングルール作成時に想定した、フィルタリングされるログの特徴であっても良いし、また別の任意の方法から特定したものでも良い。または、依存フィルタリングルール格納装置２３が、フィルタリングルール毎の不観測事象を予め格納していても良い。その場合、基本事象分析部２１３は、必要に応じて依存フィルタリングルール格納装置２３が格納する不観測事象を参照しても良い。または、依存フィルタリングルール格納装置２３は、必要に応じて不観測事象を基本事象分析部２１３に出力しても良い。

図１７は、基本事象について詳細に説明するための図である。図１７の（ａ），（ｂ）はそれぞれ、観測事象の集合を表す。図１７（ｂ）のｚｉ（ｉ＝１，２，・・・）が基本事象である。基本事象は上記条件（１）（２）（３）を満たす事象なので、図１７（ａ）のような基本事象ｚｉは存在しない。

基本事象分析部２１３は、フィルタリングルールと、不観測事象と、観測事象との関係が、上記条件（１）（２）（３）を満たすように、観測事象を基本事象に分割する。上記条件（１）（２）（３）を満たすとき、基本事象は必ず図１７（ｂ）のｚｉのように分割され、図１７（ａ）のようには分割されない。

図１８は、基本事象分析部２１３が基本事象格納部２１２に出力する基本事象の情報を表した図である。また、基本事象格納部２１２は、図１８の基本事象の情報に加えて、図５に示すような資産情報を格納しても良い。

依存リスク評価部２１１は、基本事象格納装置２１２が格納する情報の入力を受け、又は参照して、基本事象毎のリスクを評価する。

図１９及び図２０は、依存リスク評価部２１１が行うリスク評価の処理に関係する図である。図１９は、フィルタリングルールと、そのフィルタリングルールにより削除される基本事象との対応関係に関する情報を表した図である。図１９によれば、例えば、フィルタリングルールｘ１は、基本事象ｚ２、ｚ３、ｚ４を削除する。

なお、フィルタリングルールとフィルタリングされる基本事象の関係については、基本事象の作成過程で自明である。そのため、例えば基本事象分析部２１３が図１９に関する情報を生成して、基本事象格納部２１２がその情報も格納しておくように構成しても良い。その場合、基本事象格納部２１２は、依存リスク評価部２１１に図１９に示す情報も合わせて出力するようにしても良い。

図２０は、依存リスク評価部２１１が、基本事象毎に、基本事象が削除された際のリスク値を計算した結果を示す図である。依存リスク評価部２１１は、第１の実施形態におけるリスク評価部１４１と同様、図２に示すような故障木解析を行うことで、基本事象が削除された際のリスク評価を行っても良い。

その場合、依存リスク評価部２１１は、削除される基本事象に含まれる観測事象（不観測事象）が、資産を特定するための観測事象（図２に示すｙｉ）の中に含まれている場合に、影響があるとしてリスク値を計算しても良い。リスク値の計算方法は、第１の実施形態と同様に、例えば資産価値と損失情報とを掛け合わせることによって行っても良いし、別の方法で計算しても良い。

依存リスク評価部２１１は、図１９及び図２０に示すような情報を、リスク評価済みルール格納装置１５に出力する。

基本事象削減量評価部２２１は、ログ格納装置１３から入力される監視ログに対して、基本事象毎の削減量を計測する。

図２１は、基本事象削減量評価部２２１の削減量の評価結果を追記した図である。図２１に示すように、例えばフィルタリングルールによって基本事象ｚｉが削除される時のリスクはｒｉであり、削減量はｄｉである。

次に依存フィルタリングルール決定部２２２の機能構成について詳細に説明する。依存フィルタリングルール決定部２２２は、リスク評価の結果と削減量の評価の結果とに基づいて、フィルタリングルールを決定する。依存フィルタリングルール決定部２２２は、例えばリスクとログ削減量に関する最適化問題を解くことにより、フィルタリングルールを決定しても良い。

図２２は、依存フィルタリングルール決定部２２２がフィルタリングルールを決定するために用いる情報の例を示す図である。図２２の項目（１）は基本事象削減量評価部２２１から入力された図１９及び図２１に示す情報が対応する。

図２２の項目（２）、（３）、（４）及び（５）は、フィルタリングルールを決定するための計算式（計算の制約の式）である。図２２の項目（２）のｘ及びｚは、０か１かの二値を取る。また、図２２の項目（２）のｘ１、ｘ２、ｘ３、ｘ４の式は、フィルタリングルールの依存関係の論理式を表す。また図２２の項目（３）は、リスクと削減量を表す。

このとき、ログの閾値をＤ０とすると、図２２の項目（５）を満たすようなＲ、Ｄを求めることにより、依存フィルタリングルール決定部２２２は、削減量が閾値Ｄ０以上でリスク最小のフィルタリングルールを決定する。

また、依存フィルタリングルール決定部２２２は、リスクの閾値をＲ０とし、図２２の項目（４）を満たすようなＲ、Ｄを求めることにより、リスクが閾値Ｒ０以下で削減量最大のフィルタリングルールを決定しても良い。

ここで依存フィルタリングルール決定部２２２は、上述した論理式の最適化問題を、非特許文献１に記載されているような公知の制約最適化問題として解いても良い。また、依存フィルタリングルール決定部２２２は、図２２の項目（２）の論理式を線形制約式に変形して、第１の実施形態と同様に公知の整数最適化問題として解いても良い。

次に、図２３〜図２４を参照して、本発明の第２実施形態におけるフィルタリングルール決定システム２の動作を説明する。まず、依存リスク評価装置２１が、依存関係を持ったフィルタリングルール毎のリスクを評価する動作について説明する。

図２３は、依存リスク評価装置２１の動作（Ｓ４）を示すフローチャートである。まず、基本事象分析部２１３は、観測事象とフィルタリングルールとから判断出来る基本事象を分析する（ステップＳ４１）。つまり、観測事象の集合は、図１７（ｂ）のように基本事象に分割される。

次に、依存リスク評価部２１１は、基本事象格納部２１２が格納している情報（図１８に示すような情報）を用いて、フィルタリングルールと基本事象との関係を示す情報（図１９に示すような情報）を生成する（ステップＳ４２）。

また、依存リスク評価部２１１は、基本事象毎のリスク値を計算し、リスク値に関する情報を生成する（ステップＳ４３）。

依存リスク評価部２１１は、ステップＳ４２、Ｓ４３で生成した情報をリスク評価済みルール格納装置１５に出力する。

次に、フィルタリングルール決定システム２全体の動作について説明する。

図２４は、依存フィルタリングルール決定装置２２の動作（Ｓ５）を示すフローチャートである。図２４に示すように、まず、依存リスク評価装置２１が上述したＳ４の動作を行うことで、基本事象毎のリスクを評価する（ステップＳ４）。

次に、基本事象削減量評価部２２１が、ログ格納装置１３が格納する監視ログを対象に、基本事象毎のログ削減量を評価する（ステップＳ５）。

次に、依存フィルタリングルール決定部２２２は、上記Ｓ４とＳ５の結果より得られた基本事象毎のリスク値と削減量の関係、及びフィルタリングルールと基本事象との関係に基づいて、適用するフィルタリングルールを決定する（ステップＳ６）。

適用するフィルタリングルールは、例えば、既に詳細に説明したリスク値と削減量の最適化問題を解くことで決定しても良い。

以上説明したように、本発明の第２の実施形態に係るフィルタリングルール決定システム２は、互いに独立ではないフィルタリングルールの組み合わせにより発生するリスクの変化や削減量の変化に対応でき、依存関係を持ったフィルタリングルールに対しても適用することが出来る。

なぜならば、基本事象毎のリスク及び削除量を評価することで、フィルタリングルール間の依存関係を考慮して最適なフィルタリングルールを決定できるからである。

＜第３の実施形態＞
次に本発明の第３の実施形態に係るフィルタリングルール決定システム３の機能構成を説明する。第３の実施の形態は、以下の点で第２の実施形態と異なる。

１点目は、第２の実施形態におけるログ格納装置１３は試験データであるのに対し、第３の実施形態におけるログ格納装置１３は、ログ収集装置４が取得したログを定期的に入力として受け付ける点である。

２点目は、第３の実施形態に係るフィルタリングルール決定システム３は、依存フィルタリングルール決定部２２２により決定したフィルタリングルールで実際にフィルタリングを行いその結果を保存装置５に格納する点である。

図２５は、本発明の第３の実施形態に係るフィルタリングルール決定システム３の機能構成を示すブロック図である。図２５に示すように、フィルタリングルール決定システム３は、フィルタリング部３１とログ収集装置４と保存装置５が、フィルタリングルール決定システム２と異なりその他の構成要素については、フィルタリングルール決定システム２と同様である。フィルタリングルール決定システム２と同様の構成要素については、図１５と同じ符号を付し、詳細な説明を省略する。

ログ収集装置４は、ログ格納装置１３と接続されている。ログ収集装置４は、第１の実施形態及び第２の実施形態の監視対象システム１７と異なり、実際に観測した監視ログを収集する装置である。ログ収集装置４は、ユーザが予め設定しておいた時間の間隔で定期的に、実際に観測した監視ログをログ格納装置１３に出力する。

フィルタリング部３１は、依存フィルタリングルール決定装置２２で決定したフィルタリングルールで実際に監視ログに対してフィルタリングを行い、保存装置５に出力する。

図２６は、本発明を実施するための第３の実施の形態におけるフィルタリングルール決定システム３の動作を示すフローチャートである。フィルタリングルール決定システム２の動作と異なる点は、ステップＳ５の後、フィルタリング部３１が実際にフィルタリングを実行する点である（ステップＳ６）。

以上説明したように、本発明の第３の実施形態に係るフィルタリングルール決定システム３は、監視能力の低下をさらに減少、あるいは削減量をさらに増加させることができる。

なぜならば、依存フィルタリングルール決定装置２２は、ログ収集装置４から予め決められた時間の間隔で定期的に監視ログの入力を受け付け、その入力ごとに基本事象削減量評価部２２１により削減量の評価が行われるからである。

一般にログは、監視対象の稼働状況により、その性質が変化するため、状況によりフィルタリングによる削減量が変化することが知られている。そのため、定期的に適用するフィルタリングルールを変更し、その度に削減量評価が最大となるフィルタリングルールを適用することで、フィルタリングルール決定システム３は、より適切にフィルタリングルールを決定することができる。

＜第４の実施形態＞
次に本発明の第４の実施形態に係るフィルタリングルール決定システム４の機能構成を説明する。

図２７は、本発明の第４の実施形態に係るフィルタリングルール決定システム４の機能構成を示すブロック図である。図２７に示すようにフィルタリングルール決定システム４は、リスク評価部１４１と、削減量評価部１６１と、フィルタリングルール決定部１６２と、を含む。

リスク評価部１４１は、フィルタリングルールをログに適用したときのリスクを評価する。

削減量評価部１６１は、フィルタリングルールをログに適用したときのログの削減量を評価する。

フィルタリングルール決定部１６２は、リスク評価部１４１と削減量評価部１６１との評価結果に基づいて、フィルタリングルールを決定する。

以上説明したように、本発明の第４の実施形態に係るフィルタリングルール決定システム４によれば、フィルタリングによる監視能力低下のリスクを評価した上で、監視能力低下を抑えながら必要なログ削減量を達成する事が可能なフィルタリングルールを決定することができる。

１ フィルタリングルール決定システム
２ フィルタリングルール決定システム
３ フィルタリングルール決定システム
４ ログ収集装置
５ 保存装置
１１ フィルタリングルール格納装置
１２ 資産ＤＢ
１３ ログ格納装置
１４ リスク評価装置
１４１ リスク評価部
１４２ 観測事象分析部
１４３ 観測情報格納部
１５ リスク評価済みルール格納装置
１６ フィルタリングルール決定装置
１６１ 削減量評価部
１６２ フィルタリングルール決定部
２１ 依存リスク評価装置
２１１ 依存リスク評価部
２１２ 基本事象格納部
２１３ 基本事象分析部
２２ 依存フィルタリングルール決定装置
２２１ 基本事象削減量評価部
２２２ 依存フィルタリングルール決定部
２３ 依存フィルタリングルール格納装置
３１ フィルタリング部

Claims (9)

1. フィルタリングルールをログに適用したときのリスクを評価するリスク評価部と、
   フィルタリングルールをログに適用したときのログの削減量を評価する削減量評価部と、
   前記リスク評価部と前記削減量評価部との評価結果に基づいて、フィルタリングルールを決定するフィルタリングルール決定部と、
   を含むフィルタリングルール決定システム。
2. 前記リスク評価部は、観測したい資産を特定するために必要なログの特徴（観測事象）と、フィルタリングルールの適用によってフィルタリングされるログの特徴（不観測事象）とに基づいてリスク計算を行うことでリスクの評価を行う、
   請求項１に記載のフィルタリングルール決定システム。
3. 前記リスク評価部は、前記観測事象に対して影響を与える不観測事象の、前記観測事象に対する割合である損失情報と、前記資産の価値を数値で表した資産価値とを掛け合わせることで前記リスク計算を行う、
   請求項１又は２に記載のフィルタリングルール決定システム。
4. 前記フィルタリングルール決定部は、リスク及び削減量を評価した複数のフィルタリングルールのうちから、全体のリスクと削減量の関係が最適化されるように１つ以上の適用するフィルタリングルールを決定する、
   請求項１〜３に記載のフィルタリングルール決定システム。
5. 前記フィルタリングルールは互いに独立でないような依存関係を持ったルールであって、
   前記リスク評価部は、前記依存関係を表現する基本事象に分割したログを対象にフィルタリングルールを適用したときのリスクを評価し、
   前記削減量評価部は、前記基本事象ごとに削減量を評価する、
   請求項１〜４に記載のフィルタリングルール決定システム。
6. 前記ログは、監視対象システムから定期的に出力される監視ログであって、
   前記フィルタリングルール決定部が定期的に決定したフィルタリングルールに基づいてフィルタリングを行なうフィルタリング部をさらに含む、
   請求項１〜５に記載のフィルタリングルール決定システム。
7. 請求項１〜６に記載のフィルタリングルール決定システムで決定したフィルタリングルールを適用してフィルタリングを行う、
   フィルタリング方法。
8. フィルタリングルールをログに適用したときのリスクを評価し、
   フィルタリングルールをログに適用したときのログの削減量を評価し、
   前記リスクと前記削減量との評価結果に基づいて、適用するフィルタリングルールを決定する、
   フィルタリングルール決定方法。
9. フィルタリングルールをログに適用したときのリスクを評価し、
   フィルタリングルールをログに適用したときのログの削減量を評価し、
   前記リスクと前記削減量との評価結果に基づいて、適用するフィルタリングルールを決定する、
   処理をコンピュータに実行させるプログラム。

Images