JP2016170568A - ログ管理制御システムおよびログ管理制御方法 - Google Patents

Abstract

【課題】脆弱性由来のリスクに関する監視にて有効なログ収集を、該当システムの状況に応じて効率的に実行可能とする。【解決手段】ログ管理制御システム１０において、管理対象システム２０を構成する機器１０１、ネットワーク、および機器１０１に関する脆弱性の各情報を互いに関連付けたデータベースを保持するデータベースサーバ１０５と、データベースサーバ１０５で保持する機器１０１、ネットワーク、および脆弱性の各情報に基づいて、ネットワークにおける各機器１０１の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、リスクの高さが所定基準以上の機器１０１に対してログ収集を指示するリスク評価サーバ１０７およびログ収集管理サーバ１０８を含む構成とする。【選択図】図１

Description

本発明は、ログ管理制御システムおよびログ管理制御方法に関するものであり、具体的には、脆弱性由来のリスクに関する監視にて有効なログ収集を、該当システムの状況に応じて効率的に実行可能とする技術に関する。

情報化社会では、多種多様なソフトウェアが存在し利用されている。一方で、そうしたソフトウェアが、プログラムの不具合や仕様の問題点などに起因するソフトウェア脆弱性を含むことは避けられない。そのため、そうした脆弱性を利用した標的型攻撃によるリスクを、予め全て回避することも難しい。特に近年では、年間約５、０００件のソフトウェア脆弱性が発見、公開されており、そうした脆弱性を利用した悪意の攻撃者による攻撃量が、同脆弱性の情報公開直後から著しく増加する傾向にあることが報告されている。

従って、情報システムを運用するシステム管理者は、上述のように発見、公開される膨大な脆弱性情報に関して、効率良く対策を実施していく必要がある。一般的に、脆弱性対策においては、対象となるシステムの情報および脆弱性情報を取得し、両情報の関係性や、脆弱性情報がもたらすリスク等を評価して、これに基づいて有効な対策手段を立案し、実際に対策の適用が行われる。

ここで、脆弱性対策はソフトウェアの問題点を直接修正したプログラムを、部分的、あるいは、全面的に更新することで、根本的な対策が行われる。このようなプログラムの更新は、システムに実装されたアプリケーションの動作に影響を及ぼす可能性がある。そのためレグレッションテスト等が必要であり、常時稼働のシステムでは、迅速に根本的な対策を行うことが困難であった。

そこで、根本的な脆弱性対策が完了するまでの間、対策対象たる脆弱性を利用した攻撃に対し、例えばログ監視を行う必要がある。一方、対象機器で多量に発生するログをそのまま監視対象とすることは、監視用のシステムにおけるログ転送量や記憶容量などの制約から困難であり、非効率である。このため、ログの類似度や結果の有無に従ってサマリログを生成し、情報量の多いサマリログのみを保存・転送する技術（特許文献１参照）などが提案されている。

特開２０１０−３９８７８号公報

従来技術によれば、ログを集約したサマリログを転送・保存することで、監視用のコンピューティングリソース負荷の低減を図ることは可能である。しかしながら、ログ監視の本来目的は、システム脆弱性を利用した攻撃の監視であり、従来技術の如く類似度や情報量に依存したログ集約を行う場合、攻撃監視に必要な情報量を確保出来ない恐れがある。

そこで本発明の目的は、脆弱性由来のリスクに関する監視にて有効なログ収集を、該当システムの状況に応じて効率的に実行可能とする技術を提供することにある。

上記課題を解決する本発明のログ管理制御システムは、管理対象システムを構成する機器、ネットワーク、および前記機器に関する脆弱性の各情報を互いに関連付けたデータベースを保持する記憶装置と、前記データベースで保持する前記機器、前記ネットワーク、および前記脆弱性の各情報に基づいて、ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、前記リスクの高さが所定基準以上の機器に対してログ収集を指示する演算装置を備えることを特徴する。

また、本発明のログ管理制御方法は、管理対象システムを構成する機器、ネットワーク、および前記機器に関する脆弱性の各情報を互いに関連付けたデータベースを保持する記憶装置を備えた情報処理システムが、前記データベースで保持する前記機器、前記ネットワーク、および前記脆弱性の各情報に基づいて、ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、前記リスクの高さが所定基準以上の機器に対してログ収集を指示することを特徴する。

本発明によれば、脆弱性由来のリスクに関する監視にて有効なログ収集が、該当システムの状況に応じて効率的に実行可能となる。

本実施形態におけるログ管理制御システムを含むネットワーク構成例を示す図である。 本実施形態における管理対象機器の機能構成例を示す図である。 本実施形態における情報収集サーバの機能構成例を示す図である。 本実施形態におけるセキュリティナレッジ公開機関サーバの機能構成例を示す図である。 本実施形態におけるクライアントの機能構成例を示す図である。 本実施形態におけるリスク評価サーバの機能構成例を示す図である。 本実施形態におけるログ収集管理サーバの機能構成例を示す図である。 本実施形態におけるログ管理制御システムを構成するコンピュータ装置のハードウェア構成例を示す図である。 本実施形態におけるデータベースに格納されるデータテーブル一覧を示す図である。 本実施形態におけるユーザ情報テーブルの例を示す図である。 本実施形態におけるネットワーク情報テーブルの例を示す図である。 本実施形態における機器情報テーブルの例を示す図である。 本実施形態における脆弱性情報テーブルの例を示す図である。 本実施形態におけるログ収集管理設定情報テーブルの収集設定の例を示す図である。 本実施形態におけるログ収集管理設定情報テーブルの分析ルール設定の例を示す図である。 本実施形態におけるログ管理制御方法の手順例１を示すフロー図である。 本実施形態におけるログ管理制御方法の手順例２を示すフロー図である。 本実施形態におけるログ管理制御方法の手順例３を示すフロー図である。 本実施形態におけるログ管理制御方法の手順例４を示すフロー図である。 本実施形態における画面例１を示す図である。 本実施形態における画面例２を示すフロー図である。 本実施形態におけるログ管理制御方法の手順例５を示すフロー図である。 本実施形態における脆弱性種別による収集ログの設定テーブルの例である。 本実施形態におけるプロダクト毎の収集ログの設定テーブルの例である。 本実施形態における各ログの収集レベルに関する設定テーブルの例である。 本実施形態における画面例３を示す図である。 本実施形態における画面例４を示す図である。 本実施形態におけるログ管理制御方法の手順例６を示す図である。

−−−システム構成−−−

以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、本実施形態のログ管理制御システム１０を含むネットワーク構成図である。図１に示すログ管理制御システム１０は、脆弱性個々の技術的な特性に加え、システム構成やトポロジに基づいて脆弱性リスクを評価し、この評価結果に基づいたログ管理制御を行うコンピュータシステムである。ひいては、脆弱性由来のリスクに関する監視にて有効なログ収集を、該当システムの状況に応じて効率的に実行可能とするシステムとなる。

図１に例示する本実施形態のログ管理制御システム１０が含まれるネットワーク１０２には、リスク評価対象のシステムを構成する管理対象機器１０１の他、情報収集サーバ１０３、セキュリティナレッジ公開機関サーバ１０４、データベースサーバ１０５、クライアント１０６、リスク評価サーバ１０７、およびログ収集管理サーバ１０８が接続されている。こうした装置らのうち、少なくともリスク評価サーバ１０７およびログ収集管理サーバ１０８からログ管理制御システム１０は構成される。このうち少なくともリスク評価サーバ１０７はデータベースサーバ１０５にアクセス可能である。勿論、ログ管理制御システム１０がリスク評価サーバ１０７およびログ収集管理サーバ以外の装置を適宜含んで構成されるとしてもよい。

上述のネットワーク１０２に接続された装置のうち、管理対象機器１０１は、システム管理者がリスク評価対象として管理するシステムすなわち管理対象システム２０を構成する機器である。図１では複数の管理対象機器１０１＿１〜１０１＿ｎを例示している。本実施形態において、ログの収集および管理による監視対象となるのは、この管理対象機器１０１が保有する脆弱性がもたらすリスクに対してである。

また、上述のネットワーク１０２に接続されている情報収集サーバ１０３は、管理対象システム２０、すなわち上述の管理対象機器１０１らに関する情報（システム情報、各管理対象機器１０１の識別情報、所属するネットワークに関する情報など）と、インターネット１０２＿２上でセキュリティナレッジ公開機関サーバ１０４によって公開されたセキュリティ情報（上述の管理対象機器１０１に関連する少なくとも脆弱性情報）を収集する機器である。

一方、セキュリティナレッジ公開機関サーバ１０４は、インターネット１０２＿２上でセキュリティナレッジを公開している所定機関のサーバ装置である。このセキュリティナレッジ公開機関サーバ１０４の運営機関の例としては、コンピュータウィルスの検知と対処など各種セキュリティ対策サービスを提供する企業や、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の提供企業などが想定できる。こうした運用機関は、特定の情報処理装置やＯＳ、或いはソフトウェアに関して得ている、情報セキュリティに関する脆弱性情報をこのセキュリティナレッジ公開機関サーバ１０４によって公開する。

なお、上述の管理対象機器１０１、情報収集サーバ１０３、およびログ収集管理サーバ１０８は、それぞれネットワーク１０２＿１で接続されている。また、情報収集サーバ１０３とセキュリティナレッジ公開機関サーバ１０４は、インターネット１０２＿２で接続
されている。

また、データベースサーバ１０５は、情報収集サーバ１０３が収集した上述のシステム情報とセキュリティナレッジを格納するサーバ装置であり、ネットワーク１０２＿３を介して少なくともリスク評価サーバ１０７と通信可能に結ばれている。或いは、このデータベースサーバ１０５における格納情報は、リスク評価サーバ１０７の外部記憶装置７０４（図７参照）に格納されているとしても好適である。その場合、データベースサーバ１０５は省略してもよい。

また、ネットワーク１０２に接続するクライアント１０６は、システム管理者が直接操作する一般的なコンピュータ端末である。このクライアント１０６は、リスク評価サーバ１０７による処理結果、すなわちリスク評価結果、および本実施形態のログ管理制御内容の主たる出力先となる装置となる。

また、ログ管理制御システム１０を構成するリスク評価サーバ１０７は、データベースサーバ１０５上の情報と、クライアント１０６を介して受けたシステム管理者の要求とに基づき、管理対象システム２０の脆弱性を評価した上で本実施形態のログ管理制御方法に対応する各手順を実行するサーバ装置である。このリスク評価サーバ１０７は、上述の情報収集サーバ１０３の機能、構成を含んで構成するとしても良い。

また、ログ収集管理サーバ１０８は、上述のリスク評価サーバ１０７と共にログ管理制御システム１０を構成するサーバ装置であり、管理対象システム２０、すなわち上述の管理対象機器１０１らが生成するログ情報を収集・管理する装置である。このリスク評価サーバ１０７は、リスク評価サーバ１０７で処理された結果と、クライアント１０６を介して受けたシステム管理者の要求とに基づき、ログ収集、およびログ監視のパラメータを追加・変更する装置である。

なお、本実施形態において、ネットワーク１０２＿１、１０２＿２、１０２＿３はそれぞれ異なるネットワークとして例示しているが、同一のネットワークであっても良い。また、図１のネットワーク構成において符号を付した構成要素は、実施形態に応じて複数であるとしてもよい。
−−−機能構成−−−

続いて、本実施形態のログ管理制御システム１０が備える機能について説明する。上述したように、以下に説明する機能は、例えばログ管理制御システム１０を構成するリスク評価サーバ１０７およびログ収集管理サーバ１０８がそれぞれ備えるプログラムを実行することで実装される機能と言える。ここでは、リスク評価サーバ１０７のみならず、例えばログ管理制御システム１０を含む上述のネットワーク構成における各装置が、そのメモリないし外部記憶装置にて備える適宜なプログラムを実行することで実装される機能についてそれぞれ説明するものとする。

図２は、本実施形態の管理対象機器１０１の機能構成例を示す図である。図２に例示する管理対象機器１０１は、送受信部２０１および制御部２０２から構成されている。このうち送受信部２０１は、ネットワーク１０２＿１を介し、情報収集サーバ１０３およびログ収集管理サーバ１０８との間で情報の送受信を行う処理部である。

一方、制御部２０２は、システム情報出力部２０３およびログ情報出力部２０５から構成されている。このうちシステム情報出力部２０３は、管理対象機器１０１の識別情報たる機器ＩＤ、機器名、製品ＩＤ（プロダクトＩＤ）、ネットワークセグメントＩＤ、および利用する中継機器といった情報を含むシステム情報を収集し、送受信部２０１を介して
、情報収集サーバ１０３に送信する処理部である。システム情報出力部２０３におけるシステム情報の収集には、管理対象機器１０１の搭載するＯＳの標準的な機能を利用すれば良いが、その他の手法を採用してもよく、その形態は限定しない。

また、ログ情報出力部２０５は、管理対象機器１０１が生成・記録するローカルログの記憶部２０４にアクセスして、ログ収集管理サーバ１０８から指定された条件のログの情報を抽出し、これを送受信部２０１を介してログ収集管理サーバ１０８に送信する処理部である。

図３は、本実施形態の情報収集サーバ１０３の機能構成例を示す図である。図３に例示する情報収集サーバ１０３は、送受信部３０１および制御部３０２から構成されている。このうち送受信部３０１は、ネットワーク１０２＿１、１０２＿２、１０２＿３を介して情報の送受信を行う処理部である。

一方、制御部３０２は、システム情報収集部３０３およびセキュリティナレッジ収集部３０４から構成されている。このうちシステム情報収集部３０３は、送受信部３０１を介して、管理対象機器１０１から上述のシステム情報を受信し、これをデータベースサーバ１０５に格納する。また、セキュリティナレッジ収集部３０４は、送受信部３０１を介して、セキュリティナレッジ公開機関サーバ１０４からセキュリティナレッジを受信し、これをデータベースサーバ１０５に格納する。

図４は、本実施形態のセキュリティナレッジ公開機関サーバ１０４の機能構成例を示す図である。図４に例示するセキュリティナレッジ公開機関サーバ１０４は、送受信部４０１および制御部４０２から構成されている。このうち送受信部４０１は、ネットワーク１０２＿２を介して情報収集サーバ１０３との間で情報の送受信を行う処理部である。

一方、制御部４０２は、セキュリティナレッジ出力部４０３から構成されている。このセキュリティナレッジ出力部４０３は、上述の送受信部４０１を介して、情報収集サーバ１０３に対して、セキュリティナレッジ記憶部４０４で保持するセキュリティナレッジを送信する。セキュリティナレッジ公開機関サーバ１０４におけるセキュリティナレッジの収集、管理の手法は、セキュリティナレッジ公開機関サーバ１０４の仕様や当該セキュリティナレッジ公開機関サーバ１０４の運営企業により異なるため、ここでは特に限定しない。

図５は、本実施形態のクライアント１０６の機能構成例を示す図である。図５に例示するクライアント１０６は、送受信部５０１、入出力部５０２、および制御部５０３から構成されている。このうち送受信部５０１は、ネットワーク１０２＿３を介して情報の送受信を行う処理部である。また、入出力部５０２は、キーボード等のインタフェース機器を介してシステム管理者等のユーザからの入力を制御し、モニタ等のインタフェース機器を介してユーザ向けの出力処理を制御する処理部である。

また、上述の制御部５０３は、画面表示処理部５０４、画面表示要求部５０５、脆弱性リスク表示要求部５０６、ログ管理連携表示要求部５０７、ログ表示要求部５０８、およびログ分析表示要求部５０９から構成されている。

このうち画面表示処理部５０４は、上述の入出力部５０２を介して、ユーザに対して画面表示を行う処理部であり、画面表示要求部５０５、脆弱性リスク表示要求部５０６、ログ管理連携表示要求部５０７、ログ表示要求部５０８、およびログ分析表示要求部５０９で取得した画面を表示する。

また、画面表示要求部５０５は、上述の送受信部５０１を介して、リスク評価サーバ１０７に対し、当該クライアント１０６からの接続時にユーザに提示する初期画面のデータを要求し、該当データを受信する処理部である。

また、脆弱性リスク表示要求部５０６およびログ管理連携表示要求部５０７は、リスク評価サーバ１０７が行った脆弱性リスクの評価結果、および、ログ管理連携処理に関する表示リクエストを、送受信部５０１を介してリスク評価サーバ１０７に対して送信し、リスク評価サーバ１０７から得た処理結果の画面データを受信する処理部である。

また、ログ表示要求部５０８およびログ分析表示要求部５０９は、上述の入出力部５０２を介してユーザからのログ収集管理サーバ１０８関するリクエストを受け付け、これを送受信部５０１を介してログ収集管理サーバ１０８に送信し、ログ収集管理サーバ１０７から得た画面データを受信する処理部である。

図６は、本実施形態のリスク評価サーバ１０７の機能構成例を示す図である。図６に例示するリスク評価サーバ１０７は、送受信部６０１および制御部６０２から構成されている。このうち送受信部６０１は、ネットワーク１０２＿３を介して情報の送受信を行う処理部である。

一方、制御部６０２は、初期画面表示処理部６０３、脆弱性リスク表示処理部６０４、ログ管理連携表示処理部６０５、リスク値計算処理部６０７、およびログ管理連携処理部６０８から構成されている。

このうち、画面表示処理部６０３は、送受信部６０１を介してクライアント１０６から画面表示リクエストを受信し、画面表示に必要となる画面データを、例えばデータベースサーバ１０５（この場合のデータベースサーバ１０５は、クライアント１０６での各表示画面の画面データを予め保持している）から取得し、これを返信する処理部である。

また、脆弱性リスク表示処理部６０４は、送受信部６０１を介してクライアント１０６から脆弱性リスク表示リクエストを受信し、リスク値計算処理部６０７を利用して得た脆弱性リスク評価結果の画面データを返信する処理部である。

また、ログ管理連携表示処理部６０５は、送受信部６０１を介して、クライアント１０６からログ管理連携表示リクエストを受信し、ログ管理連携処理部６０８を利用して得た、ログ連携処理結果の画面データを返信する処理部である。

また、リスク値計算処理部６０７は、データベースサーバ１０５上の情報（管理対象機器１０１から収集した情報、およびセキュリティナレッジ公開機関サーバ１０４から収集した情報）に基づいて管理対象システム２０のネットワーク構成などを加味したリスク値を計算する処理部である。ここで、リスク値を計算する手法として、以下が知られている。

・M. Schiffman他："CVSS：A Common Vulnerability Scoring System", National Infrastructure Advisory Council(NIAC), 2004

・O. Sheyner他："Tools for Generating and Analyzing Attack Graphs", Lecture Notes in Computer Science Volume 3188, 2004, pp 344-371

・杉本他：動的モデリングに基づいたリスク評価システム、CSS2014, pp.100-107

これらの手法に基づいて、管理対象システム２０に内在する各脆弱性のリスク値が得られているものとするが、本実施の形態ではリスク値算出方法はこれらに限定するものではない。

また、ログ管理連携処理部６０８は、データベースサーバ１０５上の情報（各機器１０１のログ収集設定、および監視設定のための情報）に基づいて、リスク値に応じたログ収集設定、および監視設定のための処理を行う処理部である。

なお、上述のリスク評価サーバ１０７における各機能部による処理の詳細については、フロー図に基づいて後述するものとする。

図７は、本実施形態のログ収集管理サーバ１０８の機能構成例を示す図である。図７に例示するログ収集管理サーバ１０８は、送受信部７０１、制御部７０２および記憶部７０３から構成されている。このうち送受信部7０１は、ネットワーク１０２を介して情報の
送受信を行う処理部である。

一方、制御部７０２は、ログ収集処理部７０５、ログ収集設定処理部７０６、ログ表示処理部７０７、ログ分析処理部７０８、ログ分析設定処理部７０９、およびログ分析表示処理部７１０から構成されている。

このうち、ログ表示処理部７０７およびログ分析表示処理部７１０は、送受信部７０１を介してクライアント１０６からログ表示およびログ分析表示リクエストを受信し、ログ画面およびログ分析画面の表示に必要となる画面データを、例えば記憶部７０４から取得・処理し、これを返信する処理部である。

また、ログ収集処理部７０５は、記憶部７０４の設定情報記憶部７１１の情報に基づき、管理対象機器１０１からログ情報を収集し、ログ記憶部７１２に記憶、管理する処理部である。この際、ログ収集処理部７０５は、後段の分析処理に備えて、日時など各ログに共通する記述事項の書式を定められた形式に標準化して記録・管理する。

また、ログ分析処理部７０８は、上述の設定情報記憶部７１１の情報に基づき、ログの分析を行って、設定に応じた監視情報を生成し、これをログ記憶部７１２に記憶する処理部である。

また、ログ収集設定処理７０６およびログ分析設定処理部７０９は、クライアント１０６からのユーザ要求で指定された設定に設定情報記憶部７１１の情報を更新するとともに、データベースサーバ１０５の情報も同期して更新する処理部である。なお、上述の設定情報記憶部７１１の情報は、後述するデータベースサーバ１０５におけるログ収集管理設定情報テーブル９０５の情報と同じものとなる。
−−−ハードウェア構成−−−

続いて、本実施形態のログ管理制御システム１０を構成する装置のハードウェア構成について説明する。図８は、本実施形態のログ管理制御システム１０を構成するコンピュータ装置８０１のハードウェア構成例を示す図である。

図にて例示するコンピュータ装置８０１は、ＣＰＵ８０２、ＲＡＭなど揮発性記憶素子で構成されるメモリ８０３、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される外部記憶装置８０４、ネットワークインターフェイスカード（ＮＩＣ：Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）などの送受信装置８０５、ディスプレイなどの出力装置８０６、およびキーボード等の
入力装置８０７から構成されている。このうち出力装置８０６および入力装置８０７については、管理対象機器１０１、セキュリティナレッジ公開機関サーバ１０４、情報収集サーバ１０３、リスク評価サーバ１０７、およびログ収集管理サーバ１０８のいずれも備えないとしても良い。

上述の図２〜図７で例示した各装置の制御部２０２、３０２、４０２、５０３、６０２、７０２は、ＣＰＵ８０２が上述の外部記憶装置８０４に記憶された適宜なプログラムをメモリ８０３にロードし実行することで実装される。また、図２〜図７で例示した各装置の送受信部２０１、３０１、４０１、５０１、６０１、７０１は、送受信装置８０５により実装される。また、図５で例示したクライアント１０６における入出力部５０２は、出力装置８０６、および入力装置８０７により実装される。 図４、図７で例示した核装置の記憶部４０４、７０４は、外部記憶装置８０４により実装される。
−−−データ構造例−−−

次に、本実施形態のログ管理制御システム１０を構成する装置のうち、主にリスク評価サーバ１０７が利用するデータの構成例について説明する。当該ログ管理制御システム１０のリスク評価サーバ１０７にて利用するデータは、少なくとも、システム管理者のユーザ情報、管理対象システム２０のネットワーク情報、機器情報、セキュリティナレッジとして公開されている脆弱性情報、およびログ収集管理サーバ１０８の設定情報となる。

図９は、本実施形態のデータベースサーバ１０５上に格納されるデータテーブルの一覧を示す図である。図９に例示するデータベースサーバ１０５では、ユーザ情報テーブル９０１、ネットワーク情報テーブル９０２、機器情報テーブル９０３、脆弱性情報テーブル９０４、およびログ収集管理設定情報テーブル９０５を格納している。これら各テーブル間は、互いのレコードが含む所定のＩＤ等により相互に関連付けられている。

こうしたデータベースサーバ１０５が含むテーブルのうち、ユーザ情報テーブル９０１の構成例を図１０に示す。図１０に例示するユーザ情報テーブル９０１は、ユーザＩＤ１００１、ユーザ情報１００２、およびシステムリスト１００３をデータ項目としたレコードを有する。このうちユーザＩＤ１００１は、当該ログ管理制御システム１０において、システム管理者などのユーザに対してユニークに割り当てられたＩＤである。また、ユーザ情報１００２は、上述のユーザＩＤ１００１に対応するユーザの氏名や連絡先などの情報である。また、システムリスト１００３は、ユーザＩＤ１００１に対応するユーザが管理しているシステム、すなわち管理対象システム２０のＩＤとシステム名の組のリストである。なお本実施形態では、複数のシステム管理者が複数のシステムを管理する状況を想定するため、こうしたユーザ情報テーブル９０１をデータベースサーバ１０５にて保持するものとしているが、単一のシステムのみをリスク評価対象とする状況であれば、このユーザ情報テーブル９０１をデータベースサーバ１０５で保持せずともよい。このユーザ情報テーブル９０１は、ログ管理制御システム１０の管理者等が予め生成してデータベースサーバ１０５に格納してあるものとする。

次に、ネットワーク情報テーブル９０２の構成例について図１１に基づき説明する。図１１に例示するネットワーク情報テーブル９０２は、ネットワークセグメントＩＤ１１０１、システムＩＤ１１０２、および可達セグメントＩＤリスト１１０３をデータ項目としたレコードを有する。このうちネットワークセグメントＩＤ１１０１は、管理対象システム２０が含まれるネットワークセグメントに対してユニークに割り当てられたＩＤである。また、システムＩＤ１１０２は、上述のネットワークセグメントＩＤ１１０１が関連する管理対象システム２０のＩＤである。また、可達セグメントＩＤリスト１００３は、ネットワークセグメントＩＤ１１０１が示すネットワークセグメントからメッセージが到達可能な隣接するセグメントのＩＤリストである。

例えば、ネットワークセグメントＩＤ１１０１が"１１１"のネットワークセグメントからネットワークセグメントＩＤ１１０１が"２２２"のネットワークセグメントにメッセージが到達する場合、ネットワークセグメントＩＤ１１０１が"１１１"のレコードの可達セグメントＩＤリスト１１０３には、ネットワークセグメントＩＤ１００１の"２２２"が格納される。

こうしたネットワーク情報テーブル９０２は、ログ管理制御システム１０の管理者等が予め生成してデータベースサーバ１０５に格納してあるものとする。

次に、機器情報テーブル９０３の構成例について図１２に基づき説明する。図１２に例示する機器情報テーブル９０３は、上述の情報収集サーバ１０３が収集して当該テーブルに格納した、機器１０１の機器ＩＤ１２０１、機器名１２０２、プロダクトＩＤ１１０３、ネットワークセグメントＩＤリスト１２０４、および中継機器ＩＤマップ１２０５をデータ項目としたレコードを有する。また、ログ収集管理サーバ１０８における管理対象機器１０１に対する管理ＩＤを別名１２０６としてデータ項目としたレコードを有する。

このうち機器ＩＤ１２０１は、情報収集サーバ１０３が情報収集を行った上述の管理対象機器１０１に対してユニークに割り当てられたＩＤである。また、機器名１２０２は、上述の機器ＩＤ１２０１に対応する管理対象機器１０１に与えられたマシン名である。また、プロダクトＩＤ１２０３は、機器ＩＤ１２０１に対応する管理対象機器１０１を構成する製品ＩＤである。また、ネットワークセグメントＩＤリスト１２０４は、機器ＩＤ１２０１に対応する管理対象機器１０１が所属しているネットワークセグメントのＩＤリストである。また、中継機器ＩＤマップ１２０５は、システム構成上、管理対象機器１０１が中継する通信の送信元と送信先の管理対象機器１０１を示す機器ＩＤのリストである。例えば、管理対象機器である"機器Ａ"から"機器Ｂ"への通信が"機器Ｃ"を経由する場合、当該機器情報テーブル９０３の"機器Ｃ"に関するレコードにおいて、"機器Ａ"をＫＥＹ、"機器Ｂ"をＶＡＬＵＥとした連想配列として格納する。また、別名１２０６は、ログ収集管理サーバ１０８において管理対象機器を特定する管理ＩＤを格納する。機器ＩＤ１２０１との対応関係は、ＩＰアドレス情報やＭＡＣアドレスなどにより、識別しているものとする。

次に、脆弱性情報テーブル９０４の構成例について図１３に基づき説明する。図１３に例示する脆弱性情報テーブル９０４は、上述の情報収集サーバ１０３がセキュリティナレッジ公開機関サーバ１０４から収集した情報が含む、脆弱性ＩＤ１３０１、機器ＩＤ１３０２、脆弱性攻撃確率１３０３、機器影響確率１３０４、脆弱性種別１３０５、脆弱性の対象ソフト１３０６、脆弱性脅威の内容１３０７、対策予定日１３０８、および対策ステータス１３０９をデータ項目としたレコードを有する。

このうち脆弱性ＩＤ１３０１は、脆弱性に対してユニークに割り当てられたＩＤである。この脆弱性ＩＤ１３０１としては、ＭＩＴＲＥ社が採番し、国際的に利用されている共通脆弱性識別子（ＣＶＥ：Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ａｎｄ Ｅｘｐｏｓｕｒｅｓ）や、日本国内で利用されているＪＶＮ番号（ＪＶＮ：Ｊａｐａｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｎｏｔｅｓ）、或いはベンダが独自に採番した脆弱性ＩＤなどを想定出来る。

また、機器ＩＤ１３０２は、上述の脆弱性ＩＤ１３０１に対応する脆弱性が存在する管理対象機器１０１のＩＤである。また、対象プロダクト１３０６は、この機器ＩＤ１３０２に対応した機器１０１を構成するソフトウェア等のプロダクトＩＤと、上述の脆弱性ＩＤ１３０１に合致するプロダクトを指定する情報である。また、脆弱性攻撃確率１３０３
は、上述の脆弱性ＩＤ１３０１に対応する脆弱性単体を突いた攻撃の発生確率、あるいはスコアであり、脆弱性の技術的な特性に基づいたスコアである。また、機器影響確率１３０４は、上述の脆弱性ＩＤ１３０１に対応する脆弱性への攻撃により、該当管理対象機器１０１（機器ＩＤ１３０２が示す機器）に影響を与える確率であり、脆弱性の技術的な特性に基づいたスコアである。また、脆弱性種別１３０５は、上述の脆弱性ＩＤ１３０１に対応する脆弱性の種別（クラスタリングされたクラス）である。一般的にセキュリティナレッジ公開機関サーバ１０４では、ＣＶＳＳ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍ）などの標準的なセキュリティ規格に基づき、個々のソフトウェア脆弱性に対して、技術特性の観点から攻撃容易性や機器への影響度などのスコアや脆弱性種別ＣＷＥ（Ｃｏｍｍｏｎ Ｗｅａｋｎｅｓｓ Ｅｎｕｍｅｒａｔｉｏｎ）を付与して、セキュリティ情報を公開している。よって、上述の情報収集サーバ１０３は、上述の脆弱性攻撃確率１３０３や機器影響確率１３０４、脆弱性種別１３０５として、同スコアや種別をセキュリティナレッジ公開機関サーバ１０４から取得することが可能である。

また、対策予定日１３０８および対策ステータス１３０９は、本実施形態では、システム管理者による、該当脆弱性の対策予定日およびその実施状況の各情報を示すものである。これらの情報は、システム管理者により更新されることを想定している。

次に、ログ収集管理設定情報テーブル９０５の構成例について図１４、図１５に基づき説明する。まず、図１４に例示する第１のログ収集管理設定情報テーブル９０５＿１は、上述のログ収集管理サーバ１０８のログ収集設定に関する情報を格納した、収集ログＩＤ１４０１、機器ＩＤ１４０２、機器名１４０３、プロダクトＩＤ１４０４、ログファイル名１４０５、および収集レベル１４０６をデータ項目としたレコードを有する。

このうち収集ログＩＤ１４０１は、管理対象機器１０１が生成する複数のローカルログ（ローカルログ記憶部２０４で保持）をファイル毎に一意に特定するＩＤである。また、機器ＩＤ１４０２、機器名１４０３、プロダクトＩＤ１４０４、ログファイル名１４０５は、収集ログＩＤ１４０１を特定する属性情報である。また、収集レベル１４０６は、機器ＩＤ１４０２で指定される管理対象機器１０１のローカルログ２０４からログ収集管理サーバ１０８に転送する情報量を設定するデータ項目である。この収集レベル１４０６は、 "０：収集しない"、と"Ａ：すべて収集"の２値の形態や、ログ生成するプロダクトＩ
Ｄ１４０４ごとの任意レベルの形態など、任意のものを設定できるものとする。例えば、Ｗｅｂサーバなどのアクセスログについては、"０：収集しない"、"１：アクセス成功の
み収集する"、"２：アクセス失敗のみ収集する"、"Ａ：すべて収集する"など、プロダク
トごとに収集レベルを定義して持っておくこととする。

続いて、図１５に例示する第２のログ収集管理設定情報テーブル９０５＿２は、上述のログ収集管理サーバ１０８の分析設定に関する情報を格納した、分析ログＩＤ１５０１、分析ルール１５０２、および合致後の処理１５０３をデータ項目としたレコードを有する。

このうち分析ＩＤ１５０１は、ログ収集管理サーバ１０８に収集管理するログについての分析ルールを一意に特定するＩＤである。本実施形態では分析ルールは分析に利用する収集ログのＩＤ１４０１で指定し、指定した収集ログに対する合致条件の複数の組を論理式で定義されたものとするが、この表記方式に限定するものではない。分析ルール１５０２の論理式にて合致（Ｔｒｕｅ）を出力した場合の処理を合致後の処理１５０３にて定義する。例えば、システム管理者が定義した監視用のテーブルレコードにインサートするなどを本実施形態では想定している。
−−−情報収集、登録のフロー例−−−

以下、本実施形態におけるログ管理制御方法の実際手順について図に基づき説明する。以下で説明するログ管理制御方法に対応する各種動作は、ログ管理制御システム１０を構成する例えばリスク評価サーバ１０７がメモリ等に読み出して実行するプログラムによって実現される。そして、このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。

なお、以下の説明においては、リスク評価サーバ１０７が実行する処理のみならず、他の装置が実行する処理についても適宜説明するものとする。

図１６は、本実施形態におけるログ管理制御方法の処理手順例１を示すフロー図であり、具体的には、システム情報の収集処理手順例を示すフロー図である。ここではまず、データベースサーバ１０５の各テーブルの生成処理、すなわち情報収集サーバ１０３による管理対象機器１０１のシステム情報およびセキュリ情報の取得と、データベースサーバ１０５への格納の処理について説明する。

こうした処理は、リスク評価サーバ１０７において、管理対象機器１０１の脆弱性がもたらすリスクの評価処理を行う前（少なくとも直前）に、予め実行しておく必要がある。また、上述のシステム情報（管理対象機器１０１から得られる情報）やセキュリティナレッジ（セキュリティナレッジ公開機関サーバ１０４から得られる情報）は、管理対象機器１０１やセキュリティナレッジ公開機関サーバ１０４にて随時、追加や更新がなされているため、本実施形態のログ管理制御システム１０（に含まれる、或いは協働する管理対象機器１０１、情報収集サーバ１０３、リスク評価サーバ１０７またはログ収集管理サーバ１０８）においては、これら各情報の取得処理をバックグラウンドの処理として実行するとすれば好適である。

この場合まず、管理対象機器１０１が、自身のＯＳにおける標準機能が含むスケジューラ機能により、例えば所定時間の到来に応じてシステム情報出力部２０３を起動する（１６０１）。

次に、管理対象機器１０１におけるシステム情報出力部２０３は、当該管理対象機器１０１のシステム情報を取得し、これを情報収集サーバ１０３に送信する（１６０２）。システム情報出力部２０３が取得するシステム情報は、機器情報テーブル９０３やネットワーク情報テーブル９０２における各レコードが含む項目（例：機器ＩＤ、機器名、ネットワークセグメントＩＤ等々）に対応する情報となる。

一方、上述の管理対象機器１０１からシステム情報を受信した情報収集サーバ１０３は、データベースサーバ１０５に対して、データの新規追加または更新のリクエストを送信する（１６０３）。データベースサーバ１０５は、このリクエストを受けて、リクエストが含むシステム情報のうち、例えば機器ＩＤをキーに機器情報テーブル９０３を検索し、該当機器ＩＤに関するレコードがなければ新規にレコードを生成し、上述のリクエストが含むシステム情報のうち該当項目の値をセットする。また、機器情報テーブル９０３にて該当機器ＩＤに関するレコードが既に存在すれば、該当レコードにおいて、上述のリクエストが含むシステム情報のうち該当項目の値でデータ更新を行う。こうした処理はネットワーク情報テーブル９０２に関しても同様に実行するものとする。

以上の処理、ステップ１６０１〜ステップ１６０３は、管理対象機器１０１毎に実行され、管理対象機器１０１の数だけ反復されることとなる。本実施形態では、管理対象機器１０１と情報収集サーバ１０３との間でクライアントサーバ構成を取っており、上述のシステム情報の取得処理を自動化して運用を効率化している。但し、クライアント１０６な
どを利用するシステム管理者の手によって、データファイル形式で管理対象機器１０１のシステム情報を記述し、これを情報収集サーバ１０３に入力するとしてもよい。このようにシステム管理者の手によりシステム情報の入力を行うことで、管理対象機器１０１をエージェントレスで動作させることができる利点はある。また本実施形態では、定期的にシステム情報を送信する実施形態としているが、システム情報の変化を検知したタイミング、または、システム構成を更新したタイミングで同システム情報を送信しても良い。

上述のシステム情報の収集、格納に関する説明に引き続き、情報収集サーバ１０３が、セキュリティナレッジ公開機関サーバ１０４からセキュリティ情報を収集し、これをデータベースサーバ１０５に格納する一連の処理について説明する。

図１７は本実施形態におけるログ管理制御方法のセキュリティ情報を収集する手順を示すフロー図であり、具体的には、情報収集サーバ１０３がバックグラウンド処理として行うセキュリティナレッジの取得処理のフロー例を示す図である。

この場合まず、情報収集サーバ１０３は、情報収集サーバ１０３自身のＯＳ等に備わるスケジューラ機能により、所定時間の到来に応じてセキュリティナレッジ収集部３０４を起動し（１７０１）、このセキュリティナレッジ収集部３０４により、セキュリティナレッジ要求をセキュリティナレッジ公開機関サーバ１０４に送信する（１７０２）。

一方、上述のセキュリティナレッジ要求を受信したセキュリティナレッジ公開機関サーバ１０４は、セキュリティナレッジ出力部４０３により、自身の記憶装置のセキュリティナレッジ記憶部４０４にて保持するセキュリティナレッジのデータを、情報収集サーバ１０３に対して返信する（１７０３）。ここでセキュリティナレッジ公開機関サーバ１０４が情報収集サーバ１０３に返信するセキュリティナレッジは、脆弱性情報テーブル９０４におけるレコードの項目に対応する情報である。

上述のセキュリティナレッジのデータを受信した情報収集サーバ１０３は、データベースサーバ１０５に対して、セキュリティナレッジすなわちセキュリティ情報の新規追加または更新のリクエストを送信する（１７０４）。一方、データベースサーバ１０５は、このリクエストを受けて、リクエストが含むセキュリティ情報のうち、例えば機器ＩＤないし脆弱性ＩＤをキーに脆弱性情報テーブル９０４を検索し、該当機器ＩＤ等に関するレコードがなければ新規にレコードを生成し、上述のリクエストが含むセキュリティ情報のうち該当項目の値をセットする。また、脆弱性情報テーブル９０４にて該当機器ＩＤ等に関するレコードが既に存在すれば、該当レコードにおいて、上述のリクエストが含むセキュリティ情報のうち該当項目の値でデータ更新を行う。

本実施形態では、セキュリティナレッジ公開機関サーバ１０４と情報収集サーバ１０３との間で、上述のセキュリティ情報の取得処理を自動化して運用を効率化している。但し、セキュリティナレッジ公開機関サーバ１０４と情報収集サーバ１０３との間での情報授受の手法は、セキュリティナレッジ公開機関サーバ１０４の仕様に基づくものとする。

さらに引き続き、本実施形態におけるログ管理制御方法のログ情報の収集処理手順例を示すフローを説明する（図１８）。ここでは、ログ収集管理サーバ１０８による管理対象機器１０１のログ情報の取得について説明する。また、ログ情報は随時、生成されているため、本実施形態のログ管理制御システム１０（に含まれる、或いは協働する管理対象機器１０１、情報収集サーバ１０３、リスク評価サーバ１０７またはログ収集管理サーバ１０８）においては、ログ情報の取得処理をバックグラウンドの処理として実行するとすれば好適である。

この場合まず、管理対象機器１０１が、自身のＯＳにおける標準機能が含むスケジューラ機能により、例えば所定時間の到来に応じてログ情報出力部２０５を起動する（１８０１）。

次に、管理対象機器１０１におけるログ情報出力部２０５は、当該管理対象機器１０１が生成するローカルログ一覧をログ収集管理サーバ１０８に転送し、当該ログ収集管理サーバ１０８が収集するログの設定をログ収集管理サーバ１０８に要求する（１８０２）。これにより管理対象機器１０１は、、ログ収集管理サーバ１０８に転送すべきログに関する設定情報を得る。続いて、ログ情報出力部２０５は、上述の設定情報に応じて転送する、管理対象機器１０１のローカルログ情報を抽出・取得し、これをログ収集管理サーバ１０８に送信する（１８０３）。

一方、上述の管理対象機器１０１からログ情報を受信したログ収集管理サーバ１０８は、受信したログ情報を記憶装置に格納するとともに、ログ分析設定を検索してログ分析を実施し、入手したログ情報が所定条件に合致するかどうか確認し、合致した場合、定義された処理を実行する。ここで、ログ収集設定やログ分析設定は、後述の処理にてシステム管理者により設定されているものとする。

以上の処理、ステップ１８０１〜ステップ１８０３は、管理対象機器１０１毎に実行され、管理対象機器１０１の数だけ反復されることとなる。本実施形態では、管理対象機器１０１とログ収集管理サーバ１０８との間でクライアントサーバ構成を取っており、上述のログ情報の取得処理を自動化して運用を効率化している。また本実施形態では、定期的にログ情報を送信する実施形態としているが、管理対象機器１０１のＯＳや他のソフトが検知した何らかのイベントのタイミング（例えば、マルウェア検知など）で同ログ情報を送信しても良い。

次に、システム管理者の操作によってクライアント１０６がリスク評価サーバ１０７に接続された際の、リスク評価サーバ１０７によるクライアント１０６に対する画面表示の処理について図に基づき説明する。図１９は、本実施形態におけるログ管理制御方法の画面表示処理手順例を示すフロー図である。

この場合まず、システム管理者の指示を、入出力部５０２を介して受けたクライアント１０６が、画面表示要求部５０５を用いて、リスク評価サーバ１０７に対しリクエストを送信する（１９０１）。この接続リクエストには、少なくともユーザＩＤ１００１が含まれる。

一方、リスク評価サーバ１０７の画面表示処理部６０３は、上述のクライアント１０６に対して出力すべき画面表示データを、例えばデータベースサーバ１０５に要求して取得する（１９０２）。さらに、リスク評価サーバ１０７の画面表示処理部６０３は、ステップ１９０１で受けたクライアント１０６のリクエストの必要に応じて、例えば、ログ収集管理サーバ１０８に要求して、必要なログ情報等を取得する（１９０３）。この場合、リスク評価サーバ１０７の外部記憶装置８０４には、例えば、本実施形態のリスク評価方法の各手順に対応する所定画面の雛形データが予め格納されており、リスク評価サーバ１０７は、クライアント１０６からの要求に応じて該当手順に対応する画面の雛形データをこの外部記憶装置８０４から読み出し、これに、データベースサーバ１０５およびログ収集管理サーバへの要求に伴って得たデータを設定して出力するものとする。

上述のステップ１９０２およびステップ１９０３にてリスク評価サーバ１０７が、データベースサーバ１０５およびログ収集管理サーバ１０８から取得するデータ、すなわち画面の雛形データに設定するデータは、例えば、上述のリクエストが含むユーザＩＤ１００
１をキーにユーザ情報テーブル９０１、機器情報テーブル９０３のそれぞれから得られるデータとなる。そのデータとは、ユーザＩＤ１００１に関連付けられたユーザ情報１００２、システムリスト１００３、および、このシステムリスト１００３が含むシステムＩＤに関連付けられた機器ＩＤ１２０１、機器名１２０２、ネットワークセグメントＩＤ１２０４等である。

なお、本実施形態では、クライアント１０６からのリクエストにユーザＩＤ１００１が含まれている例を示しているが、その他にも、リクエストに対する一般的なユーザ認証等の処理（例：ＩＤ、パスワードの組の真正性を検証する本人認証等）を行い、その認証処理等を通じてユーザＩＤ１００１を特定するとしても良い。このユーザ認証等の処理形態については限定するものではない。

リスク評価サーバ１０７の画面表示処理部６０３は、上述のように、データベースサーバ１０５のユーザ情報テーブル９０１および機器情報テーブル９０３のそれぞれから得たデータと、クライアント１０６からのリクエスト内容に応じてログ収集管理サーバ１０８から得た情報を、所定画面の雛形データにセットして画面データを生成し、これを上述のクライアント１０６に返す（１９０４）。このステップ１９０４の処理の結果、クライアント１０６の入出力部５０２にて表示される画面２００１の例を図２０に示す。

図２０で例示する画面２００１は、ユーザＩＤおよびユーザ名の各情報を表示するユーザ情報領域２００２と、システム一覧リストの情報を表示するシステムリスト表示領域２００３と、システム一覧で選択されたシステムの機器リストと構成を表示するシステム情報表示領域２００４とログ連携ボタン２００５を含む構成となっている。

このうちシステムリスト表示領域２００３は、該当システムを識別するＩＤとシステム名、システム毎の代表リスク値が表示されている。この図２０の例では、システム管理者により登録された最も重要な保護対象機器への攻撃到達可能性をこの代表リスク値として表示している。但しこのリスク値の算出方法は前述した通り、本実施の形態では限定しない。また、システム情報表示領域２００４は、システムの構成機器ＩＤと機器名、各機器までの攻撃到達可能性、およびこの際の攻撃可達性経路図を表示している。詳細は後述するが、ログ連携ボタン２００５が押下された場合、その時点でチェックボックス２０１０、２０１１にチェックが入っているシステムおよび機器に関して、ログ連携表示画面がリクエストされる。

本実施形態のログ連携表示画面２１０１の例を図２１に例示する。図２１で例示する画面２１０１においては、画面２００１から引き継いだユーザＩＤおよびユーザ名の各情報を表示するユーザ情報領域２１０１と、ログ収集管理サーバ１０８のログ許容量を表示するログ許容量情報表示領域２１０３、画面２００１のシステムリスト一覧２００３のチェックボックス２０１０で指定されたシステムに関する収集ログ情報を表示する領域２１０４と、画面２００１のシステム情報領域２００４の機器リストのチェックボックス２０１１で指定された機器に関する脆弱性について表示する領域２１０５を含む構成となっている。

このうちログ許容量情報２１０３は、図２１の例では、「８０ＭＢＰＳ」（８０ Ｍｅ
ｇａＢｙｔｅ Ｐｅｒ Ｓｅｃ．）などといった単位時間当たりの最大許容平均発生ログ量（単位時間当たり収集ログ量合計の許容値）と、ログ管理制御システム１０が指示・設定したログ収集により、単位時間当たりに発生するログ量の見積値（図中では、０．００１ＭＢＰＳ）との関係を例示している。上述の最大許容平均発生ログ量の値は、例えば、ログ収集管理サーバ１０８におけるログ記憶可能容量とログの保存期間と各ログの発生量見積値により事前に算出しておくことを想定している。

一例として、ログ収集管理サーバ１０８における或る時点でのログ記憶可能容量が６４２テラバイトで、各ログの保存期間が３ヶ月であったとすれば、該当時点から３ヶ月の間に格納出来るログデータ量は、計６４２テラバイトである。この場合、単位時間当たりの最大許容平均発生ログ量は、６４２tera／（３month×３１days＊２４hour＊６０min.＊
６０sec.）≒８０ＭＢＰＳ、と算定出来る。また、過去に各機器の各プロダクトで生じたログの発生履歴（ログ収集管理サーバ１０８が記憶装置に保持している）などに基づき、管理対象システム２０での単位時間当たりのログ発生量の平均値を算出して、その値を単位時間当たりに発生するログ量の見積値とすればよい。

また、「○○社人事管理システム」など指定システムに関する収集ログの情報表示領域２１０４は、該当システムを構成する各機器がローカルで（つまり該当各機器内で）生成しているログがリスト２１１０として一覧表示されている。図２１の例では、画面２００１のシステム情報領域２００４の機器リストのチェックボックスで指定された機器からネットワークで可達する順で該当各機器を列挙表示している。

また、この表示例における収集ログのリスト２１１０には、収集ログＩＤごとに、ログ収集する機器ＩＤ、ログを生成するプロダクトを一意に示すソフトＩＤ、ログを転送する情報量のレベル、単位時間当たりのログ量、およびログの保存期間が含まれる。この収集ログ情報２１０４に対して、ログ収集最適化ボタン２１０５が押下されることにより、ログ収集設定の最適化処理が起動される。この処理に関して詳細は後述する。

また、機器毎の脆弱性情報の表示領域２１０５は、各機器が含む脆弱性のリスト２１１１で構成される。脆弱性のリスト２１１１は、脆弱性を一意に特定する脆弱性ＩＤと、その脆弱性が攻撃に利用される可能性（確率）と、その脆弱性の種別と、その脆弱性への対策予定日、その脆弱性監視のための分析ログＩＤで構成される。この図２１の例では、攻撃利用可能性の値の大きい順で、各脆弱性のレコードを表示する構成としている。また、この脆弱性リスト２１１１のチェックボックス２１１２での指定に応じて、指定を受けた該当脆弱性の詳細情報として、脆弱性の概要や対象プロダクト、脅威の内容などを表示するものとする。これらの内容は、クライアント１０６が、リスク評価サーバ１０７を介して脆弱性情報テーブル９０４から該当データを入手し、表示することを想定している。

なお、脆弱性リスト２１１１における項目のうち対策予定日は、デフォルトでは該当システムの定期保守日とすることを想定している。この定期保守日は、システム管理者により、あらかじめ入力されるものとする。また、分析ログＩＤは、該当の脆弱性攻撃を監視するために追加するログ分析ルールを指定するＩＤである。ここでは、分析ログルールが既に登録されていれば該当分析ログＩＤ２１１３が表示され、未登録であれば追加ボタン２１１４が表示される構成としている。クライアント１０６は、ユーザによる分析ＩＤ２１１３のクリック、あるいは、追加ボタン２１１４のクリックに応じて、ログ分析設定・確認画面（図２７：後述）を呼び出すことを想定している。なお、ログ分析設定については後述する。

−−−システム情報登録時のログ収集設定の生成フロー−−−

次に、本実施形態のログ管理制御システム１０に、管理対象機器１０１＿１〜１０１＿ｎからなる管理対象システム２０のシステム情報を登録した際のリスク評価結果に対するログ収集設定情報の生成フローについて説明する。図２２は、本実施形態におけるログ管理制御方法の処理手順例５を示すフロー図である。

この場合、リスク評価サーバ１０７は、例えばクライアント１０６からの、新規管理対
象システム２０に関する情報登録要求を受けて、この要求が含む各情報と、そのうちの所定情報に基づいて管理対象システム２０を構成する管理対象機器１０１から得た情報を、データベースサーバ１０５のネットワーク情報テーブル９０２、機器情報テーブル９０３にレコードを生成して登録する（２２０１）。

ここでデータベースサーバ１０５に登録する情報は、クライアント１０６から得た該当管理対象システム２０の名称、ＩＤ、所属するネットワークセグメントといった各種属性情報と、該当管理対象システム２０を構成する管理対象機器１０１＿１〜１０１＿ｎのシステム情報出力部２０３にリスク評価サーバ１０７又はクライアント１０６が要求して取得した各機器１０１のシステム情報（機器ＩＤ、機器名、プロダクトＩＤ、ネットワークセグメント、中継機器ＩＤマップ、別名）等が含まれる。なお、システムＩＤについては、リスク評価サーバ１０７が、該当管理対象システム２０に関して所定ルールにて付番するとしてもよい。

次にリスク評価サーバ１０７は、上述のステップ２２０１においてシステム管理者により該当管理対象システム２０の情報登録が開始された、ネットワーク情報テーブル９０２および機器情報テーブル９０３の格納情報と、公開セキュリティナレッジ公開機関サーバ１０４で保持、蓄積されているた脆弱性情報とに基づいて、脆弱性情報テーブル９０４の情報を生成し、各管理対象機器１０１の脆弱性における攻撃利用可能性をリスク値として算出・格納する（２２０２）。

或る攻撃源が、ネットワークで繋がる各管理対象機器１０１の持つ脆弱性を利用して（各管理対象機器１０１に）攻撃を行う確率、すなわち上述の攻撃利用可能性の算出手法は、データベースサーバ１０５の機器情報テーブル９０３で保持する管理対象機器１０１の情報、ネットワーク情報テーブル９０２で保持するネットワークセグメントおよび可達セグメントＩＤリストの各情報、および脆弱性情報テーブル９０４で保持する脆弱性攻撃確率１３０３、機器影響確率１３０４、脆弱性種別１３０５といった各情報に基づいて、該当ネットワークにおける各管理対象機器１０１の配置に応じた脆弱性の影響関係について所定アルゴリズム（既存のものを適用すればよい）によるリスク評価を行うものを想定する。

このステップ２２０２での処理結果が、図２１で例示したログ連携画面２１０１に表示されることとなる。このログ連携画面２１０１においてログ収集最適化ボタン２１０５が押下されることで、以降の処理が起動される。

次に、リスク評価サーバ１０７は、既に述べた単位時間当たりの最大許容平均発生ログ量を、上述の手法等で算定するか、或いはクライアント１０６から取得し、これを記憶する（２２０３）。

続いてリスク評価サーバ１０７は、上述の管理対象機器１０１の情報（当該フロー開始以降、メモリ等での作業用記憶領域で保持。以下同様）を、ステップ２２０２で算定した攻撃利用可能性の値の昇順（可能性の高い順）でソートし、さらに、管理対象機器１０１毎の脆弱性の情報についても攻撃利用可能性の昇順でソートし（２２０４）、例えば図２１の画面２１０１における各リスト２１１０、２１１１での各レコードの表示位置も上述のソート結果に応じて更新する。

次にリスク評価サーバ１０７は、上述のステップ２２０４で攻撃利用可能性を得た脆弱性のうち、所定テーブルで情報設定がなされていないもので、例えば最も攻撃利用可能性が高い脆弱性について、そのログ収集に関する設定情報を上述の所定テーブルに追加する（２２０５）。

この所定テーブル２３００の例を図２３に示す。リスク評価サーバ１０７は、登録対象の脆弱性に関し、その種別ＩＤをキーとして、該当脆弱性に関する説明、必要な監視内容、該当監視に必要となるログを含むログファイル、および該当脆弱性の監視に必要なログ量を規定した必要レベル（情報量レベル）の各情報を対応付けたレコードを生成し、登録することとなる。このうち、説明、監視内容、ログファイル、および必要レベルの各情報については、ユーザがクライアント１０６を操作して入力したものを取得したものとなる。

続いてリスク評価サーバ１０７は、上述のステップ２２０５でテーブル２３００に対する情報設定が追加された脆弱性について、それを含む管理対象機器１０１のプロダクトにて発生するログ量の見積計算を実行する（２２０６）。ここでは、図２４で例示するテーブル２４００を利用した見積計算を想定する。このテーブル２４００は、各プロダクトのＩＤ、製品名、発生ログの格納先であるログファイル、ログレベル（ログ収集量に応じて大きな値となるもの）ごとの標準ログＥＰＳ（Ｅｖｅｎｔ Ｐｅｒ Ｓｅｃ．）および、標準ＢＰＥ（Ｂｙｔｅ Ｐｅｒ Ｅｖｅｎｔ）など単位時間当たりの標準的なログ量が対応付いたレコードの集合体となっている。なお、上述のテーブル２３００およびテーブル２４００とも、リスク評価サーバ１０７がその外部記憶装置に保持するものとする。

この場合、当該ステップ２２０６におけるリスク評価サーバ１０７は、例えば図２１の画面２１０１でユーザが指定した脆弱性「VUL14013」に関する、脆弱性種別「CWE78」と
対象プロダクト「Tomcat」の各情報のうち、まずは脆弱性種別「CWE78」に基づき、テー
ブル２３００で該当ログファイル「access_log」と、その必要レベル「２」の各情報を特定する。また、リスク評価サーバ１０７は、対象プロダクト「Tomcat」のログファイル「access_log」とその必要レベル「２」に関してテーブル２４００を検索し、標準ログＥＰＳとして「２．５」、標準ＢＰＥとして「５００」の各値を取得する。リスク評価サーバ１０７は、ここで得た標準ログＥＰＳ「２．５」を標準ＢＰＥ「５００」に乗算し、ログ量の見積値である見積ＢＰＳ「１２５０」を算定する。

なおこうしたログ量については、システム毎、機器毎に発生量がばらつくことも容易に想定される。このため、各管理対象機器１０１の各ログ毎に平均の単位時間当たりのログ発生量や、単位時間当たりの最大のログ発生量などの統計値を算出し、この見積もりに反映するとしても良い。

次にリスク評価サーバ１０７は、上述のステップ２２０６で算定したログ量の見積値を、既に算定済みの他の脆弱性に関するログ量の見積値（勿論、今回のステップ２２０５が該当管理対象システム２０に関して初回のものであれば、他の脆弱性に関して算定済みのログ量見積値はゼロである）と合計し、その合計値が、上述のステップ２２０３で得ている単位時間当たりの最大許容平均発生ログ量を超えているか判定する（２２０７）。この時、リスク評価サーバ１０７は、今回判定対象としている脆弱性が、上述のステップ２２０４でソートした脆弱性の情報中で最後の脆弱性であるか否かも併せて判定するものとする。

上述のように今回算定したログ量の見積値が「１２５０」ＢＰＳで、既に得ている他の脆弱性のログ量の見積値が「４００」ＢＰＳであったとすれば、リスク評価サーバ１０７は、これらを合計した「１６５０」ＢＰＳを、上述の単位時間当たりの最大許容平均発生ログ量たる「８０Ｍ」ＢＰＳと比較し、合計値「１６５０」ＢＰＳが、単位時間当たりの最大許容平均発生ログ量「８０Ｍ」ＢＰＳを超えていないと判定することとなる。

上述の判定の結果、ログ量の見積値の合計値が単位時間当たりの最大許容平均発生ログ
量を超えた場合か、または今回判定対象としている脆弱性が最後の脆弱性であった場合（２２０７：Ｙｅｓ）、リスク評価サーバ１０７は、処理をステップ２２０８へ進める。それ以外の場合（２２０７：Ｎｏ）、リスク評価サーバ１０７は処理を上述のステップ２２０５に戻し、上述のソートした脆弱性の情報中で未処理のものについてステップ２２０５〜２２０７を順次繰り返すこととなる。

一方、ステップ２２０８におけるリスク評価サーバ１０７は、上述のステップ２２０５〜２２０７でテーブル２３００に追加されたログ収集の設定情報を、クライアント１０６に対して送信して表示させ、このクライアント１０６で設定情報を閲覧したシステム管理者の確認指示を受けた上で、ログ収集管理サーバ１０８に該当設定情報を通知し、設定情報記憶部７１１の格納情報に反映する（２２０８）。

このステップ２２０８でクライアント１０６で表示させる画面例を図２６にて示す。この図２６で示すログ収集設定・確認画面２６０１は、上記処理フローの結果について所定メッセージ２６１０を表示するメッセージ領域２６０２、追加された収集ログの設定情報リスト２６１１の表示領域２６０３、追加された収集ログの設定情報をログ収集管理サーバ１０８に反映する処理の実行指示を受け付けるボタン２６０４、設定情報リスト２６１１におけるレベル（情報量レベル）をユーザ指示に応じて変更して上述のログ量の見積を再実行する指示を受け付けるボタン２６０５から構成されている。

ここで上述の設定情報リスト２６１１は、収集ログごとに、該当ログを生成する機器名、プロダクトＩＤ、ログの収集レベル（情報量レベル）、見積ＢＰＳ（Ｂｙｔｅ Ｐｅｒ
Ｓｅｃ．）、ログの保存期間で構成されている。このうち「収集レベル」欄をユーザがクリックした場合、これを受けたリスク評価サーバ１０７は、テーブル２４００において該当プロダクトの該当ログファイルに関するログレベルを参照し、このログレベルに対応した収集レベル一覧をクライアント１０６にプルダウン表示させる。ユーザはこの一覧から任意の収集レベルへの変更を選択できる。こうした収集レベルの設定変更を受けたリスク評価サーバ１０７は上述のボタン２６０５を活性化させ、該当ボタン２６０５の押下に応じてログ量の再見積もり計算を実行するものとする。

なお、上述のステップ２２０８の実行により、リスク評価サーバ１０７がログ収集管理サーバ１０８に対してテーブル２３００のデータを通知し、ログ収集の内容について設定する際、図２５の示すテーブル２５００の内容についても通知、設定するものとする。図２５に例示するテーブル２５００は、各プロダクトのログファイル毎のログレベルに関する規定を格納したテーブルである。このテーブル２５００では、ログを生成するプロダクト毎に、ログファイル名、ログレベル、およびログレベルごとのログ内容の各情報を格納した構造となっている。例えば、Ｗｅｂサーバのアクセスログの場合は、ＨＴＴＰステータスコードごとに以下のようにログレベルの内容が規定されている。

ログレベル１：ＨＴＴＰステータスコード２ｘｘコードのみ（成功の場合）

ログレベル２：ログレベル１に加え、４ｘｘ、および５ｘｘコード（失敗の場合）

ログレベル３：ログレベル１に加え、３ｘｘコード（Ｒｅｄｉｒｅｃｔの場合）
ログレベルＡ：すべて（ＡＬＬ）

ログ収集管理サーバ１０８は、上述のステップ２２０８の処理を受けて、各管理対象機器１０１から、そのプロダクトにおける脆弱性を踏まえた内容でのログ収集を実行することとなる。

なお、上述のように収集設定したログについて、分析のルール設定をユーザから受け付けて処理するとしてもよい。この場合の画面２７０１の例を図２７に示す。この画面２７０１は、脆弱性に基づくリスクの高さに応じて選定された収集ログを表示するリスト表示領域２７０２、上述の分析ルールの設定を受け付ける領域２７０３、この分析ルールをログ収集管理サーバ１０８に反映する処理の実行指示を受け付けるボタン２７０４から構成されている。また本画面２７０１は、例えば、ログ連携画面２１０１の脆弱性一覧表示領域２１０５で所定のインターフェイスに対するクリック動作を受けて表示されるものとする。

ここで、分析ルール設定領域２７０３は、分析ルールの設定対処たる収集ログのＩＤを指定するチェックボックス２７１０、該当収集ログの分析ルールとして、例えば特定の文字列を含むなどの条件を設定するフィールド２７１１、このフィールド２７１１で記述された条件に該当収集ログが合致する場合に実施する処理を設定するフィールド２７１２で構成されるものとする。

また、フィールド２７１２で設定する処理として、決められたテーブルにアラート情報を登録する等の処理の他に、中間ログを生成するといった処理も選択可能なインターフェイスを提供するものとする。ここで生成する中間ログについても収集ログＩＤをつけて、収集ログとして管理・リスト化することで、より複雑な条件での分析・監視ルールの設定を可能とすることをこの例では想定している。このことにより、脆弱性単位で監視ルールを管理することができ、脆弱性対策の状況により、対策完了時に無用の監視ルール設定、および収集ログ設定を解除することができる。また、攻撃可能性確率の順で収集ログを設定することで、収集するログ容量を高い脅威の順に最適化することができる。このことにより、効果的・効率的なログ管理制御が実現できる。

−−−新規脆弱性情報公開時のログ収集フロー−−−

次に、セキュリティナレッジ公開機関サーバ１０４から新しく脆弱性情報が公開された際のログ収集設定の更新処理について図に基づき説明する。図２８は、本実施形態におけるログ管理制御方法の処理手順例６を示すフロー図である。

この場合、情報収集サーバ１０３は、自身の備えるＯＳ等におけるスケジューラ呼び出し（図１７：ステップ１７０１と同様）により、セキュリティナレッジ公開機関サーバ１０４にアクセスして、新規公開された脆弱性情報を収集し（２８０１）、これをリスク評価サーバ１０７に送信する。

次に、リスク評価サーバ１０７は、情報収集サーバ１０３から得た上述の新しい脆弱性情報と、データベースサーバ１０５のネットワーク情報テーブル９０２および機器情報テーブル９０３の各情報とに基づいて、各機器の脆弱性における攻撃利用可能性を図２２のステップ２２０２と同様にリスク値として再度算出し、この攻撃利用可能性の情報を含む所定項目（脆弱性情報テーブル９０４のレコードが含むもの）の情報からなるレコードを生成して、これをデータベースサーバ１０５の脆弱性情報テーブル９０４に格納する（２８０２）。

続いてリスク評価サーバ１０７は、単位時間当たりの最大許容平均発生ログ量を、図２２のステップ２２０３と同様に算定するか、或いはクライアント１０６から取得し、これをメモリ等に記憶する（２８０３）。

次にリスク評価サーバ１０７は、上述の管理対象機器１０１の情報を、ステップ２８０２で算定した攻撃利用可能性の値の昇順（可能性の高い順）でソートし、さらに、管理対
象機器１０１毎の脆弱性の情報についても攻撃利用可能性の昇順でソートする（２８０４）。

次にリスク評価サーバ１０７は、ステップ２８０１で収集された新規の脆弱性を持つプロダクトにおけるログ収集が既に実施されているか、データベースサーバ１０５のログ収集管理設定情報テーブル９０５を検索して判定する（２８０５）。

この判定の結果、該当脆弱性に対応したプロダクトにおけるログ収集が実施済みであれば（２８０５：Ｎｏ）、リスク評価サーバ１０７は、ステップ２８０４でソートした中で次に攻撃利用可能性の高い脆弱性を特定し（２８０５１）、この脆弱性に関して当該ステップ２８０５を再度実行する。他方、上述の判定の結果、該当脆弱性に対応したプロダクトにおけるログ収集が未実施であれば（２８０５：Ｙｅｓ）、リスク評価サーバ１０７は、処理をステップ２８０６に進める。

以降、リスク評価サーバ１０７は、図２２におけるステップ２２０５〜２２０７と同様に、ステップ２８０６〜２８０８を実行し、上述の各ステップで更新されたログ収集の設定情報を、クライアント１０６に対して送信して表示させ、このクライアント１０６で設定情報を閲覧したシステム管理者の確認指示を受けた上で、ログ収集管理サーバ１０８に該当設定情報を通知し、設定情報記憶部７１１の格納情報に反映する。

以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

こうした本実施形態によれば、脆弱性由来のリスクに関する監視にて有効なログ収集が、該当システムの状況に応じて効率的に実行可能となる。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態のログ管理制御システムにおいて、前記演算装置は、前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、前記ログ収集の指示に際し、前記攻撃利用可能性の高さが、機器間で所定順位以上の機器に対してログ収集を指示するものである、としてもよい。

これによれば、ログ収集の必要性について、脆弱性における攻撃利用可能性の観点で順位付けした所定数の機器に対して、そのプロダクトでのログ収集を設定することが可能となる。ひいては、脆弱性由来のリスクに関する監視にて有効なログ収集が、該当システムの状況に応じて効率的に実行可能となる。

また、本実施形態のログ管理制御システムにおいて、前記記憶装置は、脆弱性の種類とログ収集の情報量レベルとの関係を定めたテーブルを更に格納するものであり、前記演算装置は、前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、前記ログ収集の指示に際し、前記攻撃利用可能性の高い順に、該当機器における脆弱性の種類に応じたログ収集の情報量レベルを前記テーブルにて特定し、前記特定した情報量レベルに基づく各機器からの収集ログ量合計が所定許容値を越えない制約で、前記攻撃利用可能性の高さが機器間で所定順位以上の機器を特定し、当該特定した機器に対してログ収集を指示するものであるとしてもよい。

これによれば、脆弱性における攻撃利用可能性の観点で順位付けした機器を、ログ量の
制約で所定数だけ特定し、ログ収集の設定をすることが可能となる。ひいては、脆弱性由来のリスクに関する監視にて有効なログ収集が、該当システムの状況に応じて更に効率的に実行可能となる。

また、本実施形態のログ管理制御システムにおいて、前記記憶装置は、脆弱性の種類とログ収集の情報量レベルとの関係を定めたテーブルを更に格納するものであり、前記演算装置は、前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、前記ログ収集の指示に際し、前記攻撃利用可能性の高い順に、該当機器における脆弱性の種類に応じたログ収集の情報量レベルを前記テーブルにて特定し、前記特定した情報量レベルに応じた各機器での単位時間当たりログ発生量の合計値が、ログ格納先の記憶可能容量に応じた単位時間当たり収集可能な最大ログ発生量を越えない制約で、前記攻撃利用可能性の高さが機器間で所定順位以上の機器を特定し、当該特定した機器に対しログ収集を指示するものであるとしてもよい。

これによれば、脆弱性における攻撃利用可能性の観点で順位付けした機器を、単位時間当たりのログ発生量の制約で所定数だけ特定し、ログ収集の設定をすることが可能となる。ひいては、脆弱性由来のリスクに関する監視にて有効なログ収集が、該当システムの状況に応じて更に効率的に実行可能となる。

また、本実施形態のログ管理制御システムにおいて、前記演算装置は、脆弱性に関するログ生成条件である脆弱性監視内容の設定を入力装置で受け付けて記憶装置に格納し、前記ログ収集の指示に際し、該当機器での脆弱性に関する前記脆弱性監視内容も含めて指示するものであるとしてもよい。

これによれば、例えば、管理対象システムに特有の構成や状況等について知見を備えたユーザから指定を受けて、これにマッチしたログ収集の設定が可能となる。ひいては、脆弱性由来のリスクに関する監視にて有効なログ収集が、該当システムの状況に応じて更に効率的に実行可能となる。

また、本実施形態のログ管理制御システムにおいて、前記演算装置は、前記データベースで脆弱性の情報を保持している所定機器について、所定装置から新たな脆弱性の情報を取得した場合、該当脆弱性の情報を前記所定機器に対応付けて前記データベースに更に格納し、前記新たな脆弱性も含めて、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによる前記リスク評価を再実行し、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、前記ログ収集の指示に際し、前記攻撃利用可能性の高さが、機器間で所定順位以上の機器として、前記新たな脆弱性の攻撃利用可能性に基づくものが含まれる場合、該当機器に対して新たなログ収集を指示するものである、としてもよい。

これによれば、脆弱性情報を公開するインターネット上のサーバ等から新たな脆弱性情報が公開される際に、あらためて必要となるログ収集の設定をすることが可能となる。ひいては、脆弱性由来のリスクに関する監視にて有効なログ収集が、該当システムの状況に応じて更に効率的に実行可能となる。

また、本実施形態のログ管理制御方法において、前記情報処理システムが、前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、前記ログ収集の指示に際し、前記攻撃利用可能性の高
さが、機器間で所定順位以上の機器に対してログ収集を指示するとしてもよい。

また、本実施形態のログ管理制御方法において、前記情報処理システムが、前記記憶装置において、脆弱性の種類とログ収集の情報量レベルとの関係を定めたテーブルを更に格納し、前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、前記ログ収集の指示に際し、前記攻撃利用可能性の高い順に、該当機器における脆弱性の種類に応じたログ収集の情報量レベルを前記テーブルにて特定し、前記特定した情報量レベルに基づく各機器からの収集ログ量合計が所定許容値を越えない制約で、前記攻撃利用可能性の高さが機器間で所定順位以上の機器を特定し、当該特定した機器に対してログ収集を指示するとしてもよい。

また、本実施形態のログ管理制御方法において、前記情報処理システムが、前記記憶装置において、脆弱性の種類とログ収集の情報量レベルとの関係を定めたテーブルを更に格納し、前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、前記ログ収集の指示に際し、前記攻撃利用可能性の高い順に、該当機器における脆弱性の種類に応じたログ収集の情報量レベルを前記テーブルにて特定し、前記特定した情報量レベルに応じた各機器での単位時間当たりログ発生量の合計値が、ログ格納先の記憶可能容量に応じた単位時間当たり収集可能な最大ログ発生量を越えない制約で、前記攻撃利用可能性の高さが機器間で所定順位以上の機器を特定し、当該特定した機器に対しログ収集を指示するとしてもよい。

また、本実施形態のログ管理制御方法において、前記情報処理システムが、脆弱性に関するログ生成条件である脆弱性監視内容の設定を入力装置で受け付けて記憶装置に格納し、前記ログ収集の指示に際し、該当機器での脆弱性に関する前記脆弱性監視内容も含めて指示するとしてもよい。

また、本実施形態のログ管理制御方法において、前記情報処理システムが、前記データベースで脆弱性の情報を保持している所定機器について、所定装置から新たな脆弱性の情報を取得した場合、該当脆弱性の情報を前記所定機器に対応付けて前記データベースに更に格納し、前記新たな脆弱性も含めて、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによる前記リスク評価を再実行し、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、前記ログ収集の指示に際し、前記攻撃利用可能性の高さが、機器間で所定順位以上の機器として、前記新たな脆弱性の攻撃利用可能性に基づくものが含まれる場合、該当機器に対して新たなログ収集を指示するとしてもよい。

１０ ログ管理制御システム
２０ 管理対象システム
１０１ 管理対象機器
１０２ ネットワーク
１０３ 情報収集サーバ
１０４ セキュリティナレッジ公開機関サーバ
１０５ データベースサーバ
１０６ クライアント
１０７ リスク評価サーバ
１０８ ログ収集管理サーバ
８０２ ＣＰＵ（演算装置）
８０３ メモリ
８０４ 外部記憶装置
８０５ 送受信装置
８０６ 出力装置
８０７ 入力装置
９０１ ユーザ情報テーブル
９０２ ネットワーク情報テーブル
９０３ 機器情報テーブル
９０４ 脆弱性情報テーブル
９０５ ログ収集管理設定情報テーブル

Claims (12)

1. 管理対象システムを構成する機器、ネットワーク、および前記機器に関する脆弱性の各情報を互いに関連付けたデータベースを保持する記憶装置と、
   前記データベースで保持する前記機器、前記ネットワーク、および前記脆弱性の各情報に基づいて、ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、前記リスクの高さが所定基準以上の機器に対してログ収集を指示する演算装置と、
   を備えることを特徴するログ管理制御システム。
2. 前記演算装置は、
   前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、
   前記ログ収集の指示に際し、前記攻撃利用可能性の高さが、機器間で所定順位以上の機器に対してログ収集を指示するものである、
   ことを特徴とする請求項１に記載のログ管理制御システム。
3. 前記記憶装置は、
   脆弱性の種類とログ収集の情報量レベルとの関係を定めたテーブルを更に格納するものであり、
   前記演算装置は、
   前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、
   前記ログ収集の指示に際し、前記攻撃利用可能性の高い順に、該当機器における脆弱性の種類に応じたログ収集の情報量レベルを前記テーブルにて特定し、前記特定した情報量レベルに基づく各機器からの収集ログ量合計が所定許容値を越えない制約で、前記攻撃利用可能性の高さが機器間で所定順位以上の機器を特定し、当該特定した機器に対してログ収集を指示するものである、
   ことを特徴とする請求項１に記載のログ管理制御システム。
4. 前記記憶装置は、
   脆弱性の種類とログ収集の情報量レベルとの関係を定めたテーブルを更に格納するものであり、
   前記演算装置は、
   前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、
   前記ログ収集の指示に際し、前記攻撃利用可能性の高い順に、該当機器における脆弱性の種類に応じたログ収集の情報量レベルを前記テーブルにて特定し、前記特定した情報量レベルに応じた各機器での単位時間当たりログ発生量の合計値が、ログ格納先の記憶可能容量に応じた単位時間当たり収集可能な最大ログ発生量を越えない制約で、前記攻撃利用可能性の高さが機器間で所定順位以上の機器を特定し、当該特定した機器に対しログ収集を指示するものである、
   ことを特徴とする請求項１に記載のログ管理制御システム。
5. 前記演算装置は、
   脆弱性に関するログ生成条件である脆弱性監視内容の設定を入力装置で受け付けて記憶装置に格納し、
   前記ログ収集の指示に際し、該当機器での脆弱性に関する前記脆弱性監視内容も含めて指示するものである、
   こと特徴とする請求項１に記載のログ管理制御システム。
6. 前記演算装置は、
   前記データベースで脆弱性の情報を保持している所定機器について、所定装置から新たな脆弱性の情報を取得した場合、該当脆弱性の情報を前記所定機器に対応付けて前記データベースに更に格納し、
   前記新たな脆弱性も含めて、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによる前記リスク評価を再実行し、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、
   前記ログ収集の指示に際し、前記攻撃利用可能性の高さが、機器間で所定順位以上の機器として、前記新たな脆弱性の攻撃利用可能性に基づくものが含まれる場合、該当機器に対して新たなログ収集を指示するものである、
   ことを特徴とする請求項１に記載のログ管理制御システム。
7. 管理対象システムを構成する機器、ネットワーク、および前記機器に関する脆弱性の各情報を互いに関連付けたデータベースを保持する記憶装置を備えた情報処理システムが、
   前記データベースで保持する前記機器、前記ネットワーク、および前記脆弱性の各情報に基づいて、ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、前記リスクの高さが所定基準以上の機器に対してログ収集を指示する、
   ことを特徴するログ管理制御方法。
8. 前記情報処理システムが、
   前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、
   前記ログ収集の指示に際し、前記攻撃利用可能性の高さが、機器間で所定順位以上の機器に対してログ収集を指示する、
   ことを特徴とする請求項７に記載のログ管理制御方法。
9. 前記情報処理システムが、
   前記記憶装置において、脆弱性の種類とログ収集の情報量レベルとの関係を定めたテーブルを更に格納し、
   前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、
   前記ログ収集の指示に際し、前記攻撃利用可能性の高い順に、該当機器における脆弱性の種類に応じたログ収集の情報量レベルを前記テーブルにて特定し、前記特定した情報量レベルに基づく各機器からの収集ログ量合計が所定許容値を越えない制約で、前記攻撃利用可能性の高さが機器間で所定順位以上の機器を特定し、当該特定した機器に対してログ収集を指示する、
   ことを特徴とする請求項７に記載のログ管理制御方法。
10. 前記情報処理システムが、
    前記記憶装置において、脆弱性の種類とログ収集の情報量レベルとの関係を定めたテーブルを更に格納し、
    前記リスク評価に際し、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによるリスク評価を行い、各機器の脆弱性が所定攻撃源か
    らの攻撃に利用される攻撃利用可能性を特定し、
    前記ログ収集の指示に際し、前記攻撃利用可能性の高い順に、該当機器における脆弱性の種類に応じたログ収集の情報量レベルを前記テーブルにて特定し、前記特定した情報量レベルに応じた各機器での単位時間当たりログ発生量の合計値が、ログ格納先の記憶可能容量に応じた単位時間当たり収集可能な最大ログ発生量を越えない制約で、前記攻撃利用可能性の高さが機器間で所定順位以上の機器を特定し、当該特定した機器に対しログ収集を指示する、
    ことを特徴とする請求項７に記載のログ管理制御方法。
11. 前記情報処理システムが、
    脆弱性に関するログ生成条件である脆弱性監視内容の設定を入力装置で受け付けて記憶装置に格納し、
    前記ログ収集の指示に際し、該当機器での脆弱性に関する前記脆弱性監視内容も含めて指示する、
    こと特徴とする請求項７に記載のログ管理制御方法。
12. 前記情報処理システムが、
    前記データベースで脆弱性の情報を保持している所定機器について、所定装置から新たな脆弱性の情報を取得した場合、該当脆弱性の情報を前記所定機器に対応付けて前記データベースに更に格納し、
    前記新たな脆弱性も含めて、前記ネットワークにおける各機器の配置に応じた脆弱性の影響関係について所定アルゴリズムによる前記リスク評価を再実行し、各機器の脆弱性が所定攻撃源からの攻撃に利用される攻撃利用可能性を特定し、
    前記ログ収集の指示に際し、前記攻撃利用可能性の高さが、機器間で所定順位以上の機器として、前記新たな脆弱性の攻撃利用可能性に基づくものが含まれる場合、該当機器に対して新たなログ収集を指示する、
    ことを特徴とする請求項７に記載のログ管理制御方法。