JP2020038439A - ログ出力装置、ログ出力方法およびログ出力システム - Google Patents

Abstract

【課題】処理履歴として生成されたログに応じて、ＳＩＥＭへの報告対象となるログを適正に選別し、トラフィックの増大およびＳＩＥＭにおける処理負荷の増大の抑制に資する。【解決手段】ログ出力装置は、処理の実行履歴を示すログを生成する生成部と、処理が異常であることを示す第１の静的情報を含む第１のリストと、処理が正常であることを示す第２の静的情報を含む第２のリストと、ログに応じてそのログの出力の要否を決定するための動的情報を含む第３のリストと、を保持するメモリと、生成されたログが第１の静的情報を有する場合にそのログの出力を決定するとともに、生成されたログが第２の静的情報を有する場合にそのログの非出力を決定する選別部と、を備える。選別部は、生成されたログと第３のリストとに基づいて、そのログの出力の要否を決定する。【選択図】図５Ｂ

Description

本開示は、ログ出力装置、ログ出力方法およびログ出力システムに関する。

ＩｏＴ（Internet of Things）機器は、「モノのインターネット」とも呼ばれ、プロセッサおよび作動デバイスを有し、プロセッサの指示に従って作動デバイスにより取得されたデータもしくは情報を、通信ネットワーク（例えばインターネット）を介して接続された通信相手に対して送信可能な機器である。作動デバイスとは、例えば、所定の事象もしくはパラメータを検出するためのセンシングデバイス、または画角内の被写体を撮像するための撮像デバイスである。ＩｏＴ機器は、ＰＣ（Personal Computer）等の情報処理装置と同様、作動デバイスにより何かしらのイベントを実行すると、そのイベントの実行あるいは他の機器との間の通信に関する履歴を示すログを生成する。

特許文献１には、悪性または良性であることが既知の通信ログの特徴を表す第１の文字列、および第１の文字列と対象通信ログの特徴である文字列とが結合された第２の文字列を圧縮し、圧縮された第１の文字列のデータサイズおよび圧縮された第２の文字列のデータサイズを基に、対象通信ログが悪性であるか良性であるかを判定するためのスコアを算出する悪性通信ログ検出装置が開示されている。この悪性通信ログ検出装置は、算出されたスコアおよび所定のパラメータを基に、対象通信ログが悪性であるか良性であるかを判定する。

国際公開第２０１７／２２１６６７号

昨今、ＰＣ等の情報処理装置のログ（例えば通信履歴）を分析して、その情報処理装置が危険にさらされていないか（例えば、第三者からサイバー攻撃を受けていないか）を判断するセキュリティ技術として、ＳＩＥＭ（Security Information and Event Management）が知られている。ＳＩＥＭ対応機器は、情報処理装置から送られた複数のログを収集し、収集されたそれぞれのログを分析することで、その情報処理装置に対する攻撃もしくはその攻撃の前兆をいち早く検知して管理者に知らせることが可能である。

ここで、上述したＩｏＴ機器の普及に伴い、ＳＩＥＭのサービスの対象範囲をＰＣ等の情報処理装置だけでなくＩｏＴ機器にまで展開する可能性が考えられる。この場合、非常に多くの数のＩｏＴ機器からＳＩＥＭにログが送られることになるので、ＳＩＥＭにおけるログの分析対象数が莫大に増加し、ＳＩＥＭの処理負担が増加する。つまり、ＰＣ等の情報処理装置に比べて配置数が多いＩｏＴ機器が全てログをＳＩＥＭに報告（送信）してしまうと、通信ネットワークのトラフィックが増大するだけでなく、ＳＩＥＭにおける分析処理が煩雑になる。

また、ＩｏＴ機器は上述したＰＣ等の情報処理装置に比べて搭載されているプロセッサの性能が低いので、出力されるログの量が多くなると、ＩｏＴ機器自体の通常処理に関する基本機能に悪影響が出て、処理遅延等の懸念が生じる。上述した特許文献１においても、一つ一つのＩｏＴ機器からＳＩＥＭに対して数多くのログが都度送信される場合に生じ得る、トラフィックの増大を軽減したりＩｏＴ機器からのログの出力を抑制したりする技術的な対策は考慮されていない。

本開示は、上述した従来の事情に鑑みて案出され、処理履歴として生成されたログに応じて、ＳＩＥＭへの報告対象となるログを適正に選別し、通常処理に関する基本機能への悪影響ならびに通信ネットワークのトラフィックの増大を抑制するログ出力装置、ログ出力方法およびログ出力システムを提供することを目的とする。

本開示は、処理の実行履歴を示すログを生成する生成部と、前記処理が異常であることを示す第１の静的情報を含む第１のリストと、前記処理が正常であることを示す第２の静的情報を含む第２のリストと、前記ログに応じてそのログの出力の要否を決定するための動的情報を含む第３のリストと、を保持するメモリと、前記生成部により生成されたログが前記第１の静的情報を有する場合にそのログの出力を決定するとともに、前記生成部により生成されたログが前記第２の静的情報を有する場合にそのログの非出力を決定する選別部と、を備え、前記選別部は、前記生成部により生成されたログと前記第３のリストとに基づいて、そのログの出力の要否を決定する、ログ出力装置を提供する。

また、本開示は、ログ出力装置におけるログ出力方法であって、処理の実行履歴を示すログを生成するステップと、前記処理が異常であることを示す第１の静的情報を含む第１のリストと、前記処理が正常であることを示す第２の静的情報を含む第２のリストと、前記ログに応じてそのログの出力の要否を決定するための動的情報を含む第３のリストと、をメモリに保持するステップと、前記生成されたログが前記第１の静的情報を有する場合にそのログの出力を決定するとともに、前記生成されたログが前記第２の静的情報を有する場合にそのログの非出力を決定するステップと、前記生成されたログと前記第３のリストとに基づいて、そのログの出力の要否を決定するステップと、を有する、ログ出力方法を提供する。

また、本開示は、ログ出力装置と前記ログ出力装置からのログを解析するサーバ装置とが通信可能に接続されたログ出力システムであって、前記ログ出力装置は、処理の実行履歴を示すログを生成し、前記処理が異常であることを示す第１の静的情報を含む第１のリストと、前記処理が正常であることを示す第２の静的情報を含む第２のリストと、前記ログに応じてそのログの出力の要否を決定するための動的情報を含む第３のリストと、をメモリに保持し、前記生成されたログが前記第１の静的情報を有する場合にそのログの出力を決定するとともに、前記生成されたログが前記第２の静的情報を有する場合にそのログの非出力を決定し、前記生成されたログと前記第３のリストとに基づいて、そのログの出力の要否を決定する、ログ出力システムを提供する。

本開示によれば、処理履歴として生成されたログに応じて、ＳＩＥＭへの報告対象となるログを適正に選別し、通常処理に関する基本機能への悪影響ならびに通信ネットワークのトラフィックの増大を抑制できる。

実施の形態１に係るログ出力システムのシステム構成例を示す図 実施の形態１に係るＩｏＴ機器の内部構成例を示すブロック図 ログの構成例を示す図 ログの構成例を示す図 ログＩＤの構成例を示す図 ログの種別例を示す図 ブラックリスト、ホワイトリスト、動的リストを構成する項目例を示す図 実施の形態１に係るＩｏＴ機器の動作概要例を示す説明図 実施の形態１に係るＩｏＴ機器の動作手順を時系列に示すフローチャート 動的リストの構成例を示す図 限定条件リストの構成例を示す図 ログのメッセージ中に記載されるキー文字列の一例を示す図 Ｗｅｂサーバへの正常なアクセス時のログの一例を示す図 Ｗｅｂサーバへのアクセスのエラー時のログの一例を示す図 限定条件（１）の条件を用いた判断手順例を示す簡易的なフローチャート 正常系ログのＤｅｔａｉｌＩＤごとのログの一例を示す図 限定条件（２），（３）の条件を用いた判断手順例を示す簡易的なフローチャート 比較情報を削除するためまたは比較情報を削除しないための優先条件リストの構成例を示す図 図６のステップＳｔ３の動作手順の詳細例を示すフローチャート 図１２のステップＳｔ１２の動作手順の詳細例を示すフローチャート 図６のステップＳｔ４の動作手順の詳細例を示すフローチャート 図１４のステップＳｔ１８の動作手順の詳細例を示すフローチャート

以下、適宜図面を参照しながら、本開示に係るログ出力装置、ログ出力方法およびログ出力システムを具体的に開示した実施の形態を詳細に説明する。但し、必要以上に詳細な説明は省略する場合がある。例えば、既によく知られた事項の詳細説明や実質的に同一の構成に対する重複説明を省略する場合がある。これは、以下の説明が不必要に冗長になるのを避け、当業者の理解を容易にするためである。なお、添付図面および以下の説明は、当業者が本開示を十分に理解するために提供されるのであって、これらにより特許請求の範囲に記載の主題を限定することは意図されていない。

以下、本開示に係るログ出力装置の一例として、ＩｏＴ機器（上述参照）を例示して説明する。実施の形態１に係るログ出力装置の一例としてのＩｏＴ機器は、ＩｏＴ機器における何かしらの処理の実行履歴を示すログを生成する。ＩｏＴ機器は、その処理が異常であることを示す第１の静的情報を含む第１のリスト（例えばブラックリスト）と、その処理が正常であることを示す第２の静的情報を含む第２のリスト（例えばホワイトリスト）と、ログに応じてそのログの出力の要否を決定するための動的情報を含む第３のリスト（例えば動的リスト）と、をメモリ（例えばフラッシュメモリ２４）に保持する。ＩｏＴ機器は、生成されたログが第１の静的情報を有する場合にそのログの出力を決定するとともに、生成されたログが第２の静的情報を有する場合にそのログの非出力を決定する。また、ＩｏＴ機器は、生成されたログと第３のリスト（上述参照）とに基づいて、そのログの出力の要否を決定する。なお、本開示に係るログ出力装置は、上述したＩｏＴ機器に限定されず、ＰＣ等のコンピュータであってもよい。

図１は、実施の形態１に係るログ出力システム１０のシステム構成例を示す図である。ログ出力システム１０は、ＰＣ１と、複数（ｎ：２以上の整数）個のＩｏＴ機器２−１〜２−ｎと、ＩＰＳ３と、ＳＩＥＭ４と、ＳＯＣ５とを含む構成である。ＰＣ１、ｎ個のＩｏＴ機器２−１〜２−ｎ、ＩＰＳ３およびＳＩＥＭ４はそれぞれネットワークＮＷ１を介して通信可能に接続される。ＩＰＳ３およびＳＯＣ５はそれぞれネットワークＮＷ２を介して通信可能に接続される。ネットワークＮＷ１，ＮＷ２は、無線ネットワークであり、例えば、Ｗｉｆｉ（登録商標）等の無線ＬＡＮ（Local Area Network）、第４世代移動通信システム（いわゆる、４Ｇ）もしくは第５世代移動通信システム（いわゆる、５Ｇ）である。なお、ネットワークＮＷ１，ＮＷ２は、有線ネットワークでもよい。

ＰＣ１は、高い情報処理能力を有するプロセッサを備えた通常のパーソナルコンピュータであり、ハイエンド仕様の情報処理機器である。ＰＣ１の具体的な内部構成例の図示は省略するが、ＰＣ１は、プロセッサ、ＲＡＭ（Random Access Memory）およびＲＯＭ（Read Only Memory）等のメモリ、ＨＤＤ（Hard Disk Drive）、通信用のネットワークＩ／Ｆ（Interface）を含む構成である。ＰＣ１に搭載されるプロセッサの処理能力は、後述するＩｏＴ機器２−１〜２−ｎに搭載されるプロセッサ２３（図２参照）の処理能力より優れていればハイエンド仕様でなくてもよい。ＰＣ１は、何らかの処理（例えば、アプリケーションの処理、通信）を実行すると、その処理の実行履歴を示すログをプロセッサにおいて生成する。ＰＣ１は、ネットワークＮＷ１およびＩＰＳ３を介して、またはネットワークＮＷ１を介して直接に、生成されたログをＳＩＥＭ４に送る。

ＩｏＴ機器２−１〜２−ｎは、上述したように、プロセッサ２３および作動ユニット２６を少なくとも有し、プロセッサ２３の指示に従って作動ユニット２６により取得されたデータもしくは情報を、ネットワーク（例えばネットワークＮＷ１）を介して接続された通信相手に対して送信可能な、ローエンド仕様の電子機器である。また、ＩｏＴ機器２−１〜２−ｎは、作動ユニット２６により取得されたデータもしくは情報を、ネットワークＮＷ１を介して、クラウドサーバ（図示略）との間で通信でき、クラウドサーバから送信された制御データに従って、自身に内蔵されたアクチュエータを駆動することができる。ＩｏＴ機器２−１〜２−ｎは、例えば、監視カメラ、決済端末、ボディウォーンカメラ（Body Worn Camera）、ドアホン、複合機、スマートメータ、ＰＬＣ（programmable logic controller）、ゲートウェイボックス等が挙げられる。

ＩｏＴ機器２−１〜２−ｎは、ＰＣ１と同様、何らかの処理（例えば、通信、作動ユニット２６における処理）を実行するまたはマルウェア等の悪意のあるウイルスソフトウェアによる攻撃等の処理を受けると、その処理の実行履歴あるいは上述したウイルスソフトウェアによる攻撃等の処理を受けた履歴を示すログをプロセッサ２３または作動ユニット２６において生成する。ＩｏＴ機器２−１〜２−ｎは、主に３種類のリスト（具体的には、ブラックリストＬ１、ホワイトリストＬ２、動的リストＬ３）を用いて、生成されたログの出力（例えば、ＳＩＥＭ４への送信）の要否を決定し、そのログを出力すると決定した場合に限って出力（例えば、ＳＩＥＭ４に送信）する。言い換えると、実施の形態１では、ＩｏＴ機器２−１〜２−ｎは、処理の実行の度に生成されたログを都度出力するのではなく、上述したそれぞれのリストを用いて自らログの出力の要否を決定することで、出力対象となるログをふるい分けする。これにより、ＩｏＴ機器２−１〜２−ｎは、全てのログを出力することなく、必要なログだけを出力できるので、ネットワークＮＷ１のトラフィックの増大を抑制できるとともに、大量のログを出力することによる基本機能への悪影響（例えば処理の遅延）を抑制できる。

ＩＰＳ（Intrusion Prevention System）３は、ネットワークＮＷ１に接続される機器（例えば、ＰＣ１、ＩｏＴ機器２−１〜２−ｎ）から送られるデータを監視して解析するネットワーク機器である。ＩＰＳ３は、データの解析によって、第三者からの不正なアクセスおよび攻撃またはその予兆を検出可能であり、検出した際にはシステム管理者に通知する。また、ＩＰＳ３は、第三者からの不正なアクセスおよび攻撃を防御することも可能である。なお、ＩＰＳ３はＳＩＥＭ４と直接にデータもしくは情報の通信が可能に接続されている。なお、ＩＰＳの代わりにＩＤＳ（Intrusion Detection System）、ファイアウォール、プロキシなどが接続される場合も考えられる。

ＳＩＥＭ（Security Information and Event Management）４は、ＩＰＳ３またはネットワークＮＷ１を介して受信された複数のデータまたは情報（例えば、ＰＣ１あるいはＩｏＴ機器２−１〜２−ｎからのログ）を収集して分析する。ＳＩＥＭ４は、ログを分析することで、ＰＣ１あるいはＩｏＴ機器２−１〜２−ｎが危険またはその脅威にさらされていないか（例えば、第三者からサイバー攻撃を受けていないかまたは受けそうになっていないか）を検知可能な、高度な情報処理性能を有する機器である。ＳＩＥＭ４は、例えばＰＣもしくはＰＣより高度な情報処理性能を有するサーバ装置を用いて構成される。ＳＩＥＭ４は、ログの分析結果として、ＰＣ１あるいはＩｏＴ機器２−１〜２−ｎが危険またはその脅威にさらされていることを検知した際、システム管理者に通知可能である。

ＳＯＣ（Security Operation Center）５は、ＩＰＳ３における解析結果またはＳＩＥＭ４における分析結果に基づいてサイバー攻撃の検知および分析を行う組織である。ＳＯＣ５は、分析結果を監視するための複数台のコンピュータからなるネットワーク機器で構成され、例えばシステム管理およびセキュリティの専門知識を有する人により管理される。

図２は、実施の形態１に係るＩｏＴ機器２−１〜２−ｎの内部構成例を示すブロック図である。ＩｏＴ機器２−１〜２−ｎの内部構成例はそれぞれ共通でもよく、特段の理由が無い限り、以下の説明ではＩｏＴ機器２と総称する。ＩｏＴ機器２は、ＲＯＭ２１と、ＲＡＭ２２と、プロセッサ２３と、フラッシュメモリ２４と、内部Ｉ／Ｆ２５と、作動ユニット２６と、ネットワークＩ／Ｆ２７とを含む構成である。

ＲＯＭ２１は、プロセッサ２３を制御するためのプログラムおよびデータを予め記憶する。

ＲＡＭ２２は、プロセッサ２３の動作時に使用されるワークメモリである。ＲＡＭ２２は、プロセッサ２３の動作の実行に必要なプログラムやデータ、更には、動作中に生成された情報またはデータ等を一時的に保存する。

プロセッサ２３は、例えばＰＣ１のプロセッサ（図示略）に比べて処理能力が劣っているＣＰＵ（Central Processing unit）またはＭＰＵ（Micro Processing Unit）を用いて構成され、ＩｏＴ機器２の各部の動作を制御する。プロセッサ２３は、ＩｏＴ機器２の制御部として機能し、ＩｏＴ機器２の各部の動作を全体的に統括するための制御処理、ＩｏＴ機器２の各部との間のデータの入出力処理、データの演算（計算）処理およびデータの記憶処理を行う。プロセッサ２３は、ＲＯＭ２１に記憶されたプログラムおよびデータに従って動作する。生成部の一例としてのプロセッサ２３は、処理（例えばＲＯＭ２１に記憶されたプログラムおよびデータに従って動作した処理）の実行履歴を示すログを生成する。また、登録部の一例としてのプロセッサ２３は、過去に出力されたことのあるログの内容に基づいて、そのログの有する項目ごとの内容からなる比較情報を生成し、その生成された比較情報を動的リストＬ３としてフラッシュメモリ２４に登録する。

また、選別部の一例としてのプロセッサ２３は、生成されたログがブラックリストＬ１に含まれる情報（静的、つまり変わらない情報）を有する場合に、その生成されたログを出力することを決定する。プロセッサ２３は、生成されたログがホワイトリストＬ２に含まれる情報（静的、つまり変わらない情報）を有する場合に、その生成されたログを出力しないことを決定する。さらに、プロセッサ２３は、生成されたログの内容と動的リストＬ３の内容とに基づいて、そのログの出力の要否を決定する。プロセッサ２３の動作例の詳細については後述する（図５Ｂおよび図６参照）。

メモリの一例としてのフラッシュメモリ２４は、プロセッサ２３または作動ユニット２６により生成されるログを外部に出力するか否か（例えば、ネットワークＮＷ１を介して接続されたＳＩＥＭ４に送信するか否か）を決定するためのリストを記憶して保持する。リストは、ブラックリストＬ１、ホワイトリストＬ２および動的リストＬ３である。なお、ブラックリストＬ１、ホワイトリストＬ２および動的リストＬ３のうち少なくとも１つは、ＲＡＭ２２に一時的に格納されてもよい。

第１のリストの一例としてのブラックリストＬ１は、プロセッサ２３または作動ユニット２６において実行された処理の実行履歴（つまり、ログ）に異常があったことを示す情報（第１の静的情報の一例）を含む。

第２のリストの一例としてのホワイトリストＬ２は、プロセッサ２３または作動ユニット２６において実行された処理の実行履歴（つまり、ログ）が正常であったことを示す情報（第２の静的情報の一例）を含む。

第３のリストの一例としての動的リストＬ３は、プロセッサ２３または作動ユニット２６において実行された処理の実行履歴（つまり、ログ）の内容に応じてそのログの出力の要否を決定するための動的情報を含む。動的リストＬ３の具体例の詳細については後述する。

内部Ｉ／Ｆ２５は、作動ユニット２６と他の各部との間のデータもしくは情報の入出力を行うインターフェースである。

作動ユニット２６は、例えば、所定のイベントもしくは気温、気圧、湿度等のパラメータを検出するためのセンシングデバイスでもよいし、既定または可変の画角内の被写体を撮像するための撮像デバイスである。作動ユニット２６は上述したセンシングデバイスや撮像デバイスに限定されない。作動ユニット２６は、センシングまたは撮像の処理を実行すると、その処理の実行履歴を示すログを生成してプロセッサ２３に渡してもよい。

ネットワークＩ／Ｆ２７は、ＩｏＴ機器２における通信部としての役割を有し、プロセッサ２３においてログの出力を行うと決定された場合に、プロセッサ２３または作動ユニット２６により生成されたログを外部（例えばネットワークＮＷ１を介してＩｏＴ機器２と接続されたＳＩＥＭ４）に送信する。

図３Ａおよび図３Ｂは、ログの構成例を示す図である。図３Ａに示されるように、ログＬＧ１は、ヘッダ情報ＬＧＨとログ本体ＬＧＢとを含む。実施の形態１に係るＩｏＴ機器２がログＬＧ１の出力（例えばＳＩＥＭ４への送信）を必要と決定するための判断に用いられる各種の情報は、ヘッダ情報ＬＧＨ内に記載されている場合（図３Ａ参照）と、ログ本体ＬＧＢ内に記載されている場合（図３Ｂ参照）とがある。ここで、各種の情報とは、例えばログＩＤ３１、相手先ＩＰ（Internet Protocol）アドレス３２、相手先ポート番号３３、ｆａｃｉｌｉｔｙ３４、ｐｒｉｏｒｉｔｙ３５、その他の情報である。

ログＩＤ３１はログを識別するための情報であり、その詳細については図４Ａおよび図４Ｂを参照して後述する。相手先ＩＰアドレス３２は、ＩｏＴ機器２の通信相手である通信機器のＩＰアドレスを示す。相手先ポート番号３３は、ＩｏＴ機器２とその通信相手である通信機器との間で用いられるポート番号を示す。ｆａｃｉｌｉｔｙ３４は、ログの種類を分類するための情報である。ｐｒｉｏｒｉｔｙ３５は、ログの緊急性（例えば警告レベル、重大な危険レベル）を示す情報である。

図４Ａは、ログＩＤ３１の構成例を示す図である。図４Ｂは、ログＬＧ１の種別例を示す図である。図４Ａに示されるように、ログＩＤ３１は、ＩｎｆｏＩＤ（インフォＩＤ）と、ＤｅｔａｉｌＩＤ（ディーテイルＩＤ）とが連接された構成である。インフォＩＤは、ログＩＧ１の種類を示す。ディーテイルＩＤは、ログＬＧ１の詳細な内容に対して付与されるＩＤを示す。

図４Ｂに示されるように、ログの種類として、正常系ログ、異常系ログ、ｉｐｔａｂｌｅｓログ、Ａｐａｃｈｅ（登録商標）アクセスログ、Ｓｅｃｕｒｅログが例示されている。例えば、正常系ログでは、インフォＩＤは１６進数で「１」と示され、ディーテイルＩＤは１６進数で「８００１〜８１ｆｆ」と示される。また例えば、異常系ログでは、インフォＩＤは１６進数で「２」と示され、ディーテイルＩＤは１６進数で「８００１〜８１ｆｆ」と示される。また例えば、ｉｐｔａｂｌｅｓログでは、インフォＩＤは１６進数で「５」と示され、ディーテイルＩＤは１６進数で「１」と示される。また例えば、Ａｐａｃｈｅ（登録商標）アクセスログでは、インフォＩＤは１６進数で「７」と示され、ディーテイルＩＤは１６進数で「１」と示される。また例えば、Ｓｅｃｕｒｅログでは、インフォＩＤは１６進数で「８」と示され、ディーテイルＩＤは１６進数で「１」と示される。このように、ログの種類に応じて、インフォＩＤおよびディーテイルＩＤからなるログＩＤ３１がそれぞれ異なって識別可能に構成される。

次に、実施の形態１に係るＩｏＴ機器２におけるログの出力の要否を決定するための動作概要例について、図５Ａ、図５Ｂおよび図６を参照して説明する。図５Ａは、ブラックリスト、ホワイトリスト、動的リストを構成する項目例を示す図である。図５Ｂは、実施の形態１に係るＩｏＴ機器の動作概要例を示す説明図である。図６は、実施の形態１に係るＩｏＴ機器の動作手順を時系列に示すフローチャートである。

図５Ａに示すように、実施の形態１に係るブラックリストＬ１は、比較項目として、ログＩＤ、相手先ＩＰアドレスおよびポート番号、ｆａｃｉｌｉｔｙ、ｐｒｉｏｒｉｔｙ、ログメッセージ、Ａｐａｃｈｅ（登録商標）ステータスのそれぞれに対し、処理の実行結果が異常であること示す内容を含む。

実施の形態１に係るホワイトリストＬ２は、比較項目として、ログＩＤ、相手先ＩＰアドレスおよびポート番号、ｆａｃｉｌｉｔｙ、ｐｒｉｏｒｉｔｙ、Ａｐａｃｈｅ（登録商標）ステータスのそれぞれに対し、処理の実行結果が正常であることを示す内容を含む。

実施の形態１に係る動的リストＬ３は、過去に出力されたログに記載されていた内容のうち、比較項目として相手先ＩＰアドレス、ポート番号およびログＩＤのそれぞれが抽出された情報を有する１つ以上の比較情報（図７参照）を含む。

図５Ｂおよび図６に示すように、ＩｏＴ機器２のプロセッサ２３は、処理の実行履歴を示すログ（例えばログＬＧ１）が生成される度に、そのログに記載されている内容の中に、ブラックリストＬ１中の全比較項目のうち一部または全部の比較項目の内容と一致する内容が含まれているか否かを判定する（Ｓｔ１）。選別部の一例としてのプロセッサ２３は、その生成されたログ（以下、便宜的に「生成ログ」と称する）に記載されている内容の中に、ブラックリストＬ１中の一部または全部の比較項目の内容と一致すると判定した場合（Ｓｔ１、ＹＥＳ）、その生成ログの出力を決定する。プロセッサ２３は、ネットワークＩ／Ｆ２７を介して、その生成ログを出力（例えば、ＳＩＥＭ４に送信）する（Ｓｔ５）。

一方、プロセッサ２３は、生成ログに記載されている内容の中に、ブラックリストＬ１中のいずれの比較項目の内容と一致する内容が含まれていないと判定した場合（Ｓｔ１、ＮＯ）、ホワイトリストＬ２中の全比較項目のうち一部または全部の比較項目の内容と一致する内容が含まれているか否かを判定する（Ｓｔ２）。プロセッサ２３は、その生成ログに記載されている内容の中に、ホワイトリストＬ２中の一部または全部の比較項目の内容と一致すると判定した場合（Ｓｔ２、ＹＥＳ）、その生成ログの非出力（つまり、その生成ログを出力しない）と決定する。

一方、プロセッサ２３は、生成ログに記載されている内容の中に、ホワイトリストＬ２中のいずれの比較項目の内容と一致する内容が含まれていないと判定した場合（Ｓｔ２、ＮＯ）、後述する限定条件リストＬ４（図８Ａ参照）を考慮して、その生成ログを出力することの要否が決定可能か否かを判定する（Ｓｔ３）。プロセッサ２３は、限定条件リストＬ４を用いた判定結果として生成ログを出力すると判定した場合（Ｓｔ３、出力要）、その生成ログの出力を決定する。プロセッサ２３は、ネットワークＩ／Ｆ２７を介して、その生成ログを出力（例えば、ＳＩＥＭ４に送信）する（Ｓｔ５）。

また、プロセッサ２３は、限定条件リストＬ４を用いた判定結果として生成ログを出力しないと判定した場合（Ｓｔ３、出力不要）、その生成ログの非出力（つまり、その生成ログを出力しない）と決定する。

さらに、プロセッサ２３は、限定条件リストＬ４を用いた判定結果として生成ログを出力することの要否を決定できないと判定した場合（Ｓｔ３、決定不可）、その生成ログの内容と動的リストＬ３とに基づいて、その生成ログを出力することが必要か否かを判定する（Ｓｔ４）。プロセッサ２３は、生成ログの内容と動的リストＬ３とに基づいて、その生成ログを出力することが必要と判定した場合には（Ｓ４、ＹＥＳ）、その生成ログの出力を決定する。プロセッサ２３は、ネットワークＩ／Ｆ２７を介して、その生成ログを出力（例えば、ＳＩＥＭ４に送信）する（Ｓｔ５）。

一方、プロセッサ２３は、生成ログの内容と動的リストＬ３とに基づいて、その生成ログを出力することが不要と判定した場合には（Ｓ４、ＹＥＳ）、その生成ログの非出力（つまり、その生成ログを出力しない）と決定する。なお、プロセッサ２３は、生成ログの出力の要否を決定するために、ブラックリストＬ１およびホワイトリストＬ２の順に比較しているが、ホワイトリストＬ２およびブラックリストＬ１の順に比較してもよい。但し、プロセッサ２３は、図６に示すように、ブラックリストＬ１およびホワイトリストＬ２の順に比較することで、ブラックリストＬ１の一部または全部の比較項目の内容が生成ログに含まれていれば生成ログを出力すると決定するので、その生成ログの出力の要否を迅速に決定できる。

次に、実施の形態１に係る動的リストＬ３の詳細について、図７を参照して説明する。図７は、動的リストＬ３の構成例を示す図である。動的リストＬ３は、リスト番号０からリスト番号（ｎ−１）の最大ｎ個の比較情報を登録可能なリストである。図７に示される例では、動的リストＬ３は、（ｎ−３）個の比較情報（１），比較情報（２），比較情報（３），…，比較情報（ｎ−３）を有する。図７において、リスト番号（ｎ−２），リスト番号（ｎ−１）のアドレスには比較情報が未だ登録されていないことが示されている。それぞれの比較情報（例えば、比較情報（１））は、比較条件３１１と頻度情報３１２とからなる。

比較条件３１１は、ＩＰアドレス３１１１、ポート番号３１１２およびログＩＤ３１１３を有する。ＩＰアドレス３１１１は、図３Ａに示す相手先ＩＰアドレス３２であり、比較条件３１１の生成の元になったログ（つまり、過去に出力されたことのあるログ）に含まれていた相手先ＩＰアドレスである。ポート番号３１１２は、図３Ａに示す相手先ポート番号３３であり、比較条件３１１の生成の元になったログ（つまり、過去に出力されたことのあるログ）に含まれていた相手先ポート番号である。ログＩＤ３１１３は、図３Ａに示すログＩＤ３１である。

頻度情報３１２は、出現回数３１２１および経過時間３１２２を有する。出現回数３１２１は、対応する比較条件３１１と一致する内容を含むログが生成された（言い換えると、出現した）回数を示す。例えば出現回数３１２１が「０（ゼロ）」となる時（言い換えると、対応する比較条件３１１と一致する内容を含むログが初めて生成された時）には、プロセッサ２３により、そのログは出力されると決定される。その後、プロセッサ２３は、対応する比較条件３１１と一致する内容を含むログが生成される度に、出現回数３１２１をインクリメントし、出現回数３１２１が第１の既定値（例えば１０）に達した時には出現回数３１２１を初期化（つまり、リセット）する。これにより、プロセッサ２３は、対応する比較条件３１１と一致する内容を含むログが１０回生成された場合、１回だけ出力すると決定できるので、同様な内容の生成ログを無造作に出力することを抑制できる。

経過時間３１２２は、対応する比較条件３１１と一致する内容を含むログが生成された時点からの経過時間を示す。つまり、プロセッサ２３は、対応する比較条件３１１と一致する内容を含むログが生成された時点からの経過時間を経過時間３１２２として保存する。なお、経過時間３１２２の代わりに、ログが生成された時刻そのものが頻度情報として保存されても構わない。プロセッサ２３は、第２の既定値（例えば１０分）以内に出現回数３１２１が第１の既定値（例えば１０）に達しなかった場合には、出現回数３１２１および経過時間３１２２を初期化（つまり、リセット）する。これにより、プロセッサ２３は、対応する比較条件３１１と一致する内容を含むログが生成されてから少なくとも第２の既定値が経過していない場合には、同様な内容のログの出力を省くことができ、ログの出力量を適正に絞ることができる。

次に、実施の形態１に係る限定条件リストＬ４の詳細について、図８Ａ、図８Ｂ、図９Ａ、図９Ｂ、図９Ｃ、図１０Ａおよび図１０Ｂを参照して説明する。図８Ａは、限定条件リストＬ４の構成例を示す図である。図８Ｂは、ログＬＧＢ１のメッセージ中に記載されるキー文字列の一例を示す図である。図９Ａは、Ｗｅｂサーバへの正常なアクセス時のログＬＧＢ２の一例を示す図である。図９Ｂは、Ｗｅｂサーバへのアクセスのエラー時のログＬＧＢ３の一例を示す図である。図９Ｃは、限定条件（１）の条件を用いた判断手順例を示す簡易的なフローチャートである。図１０Ａは、正常系ログのＤｅｔａｉｌＩＤごとのログの一例を示す図である。図１０Ｂは、限定条件（２），（３）の条件を用いた判断手順例を示す簡易的なフローチャートである。

図８Ａに示されるように、限定条件リストＬ４は、動的リストＬ３を用いた生成ログの出力または非出力の決定の要否を判定するための複数の限定条件を含むリストである。具体的には、限定条件リストＬ４は、限定条件の数を示す限定条件数と、それぞれの限定条件（例えば、限定条件（１），限定条件（２），限定条件（３），…）とを有する。それぞれの限定条件（例えば、限定条件（１））は、「ＩＰアドレスおよび対応するフラグ」、「ポート番号および対応するフラグ」、「ＤｅｔａｉｌＩＤおよび対応するフラグ」、「キー文字列および対応するフラグ」の組からなる。それぞれのフラグは、対応する項目（例えば、ＩＰアドレス、ポート番号、ＤｅｔａｉｌＩＤ、キー文字列）を限定条件として使用するまたは使用しないことを示す付加情報である。

それぞれの限定条件は、ログＩＤ３１（図４Ａ参照）の一部であるＩｎｆｏＩＤ（インフォＩＤ）ごとに設けられ、例えばＡｐａｃｈｅ（登録商標）アクセスログ（インフォＩＤが１６進数で「７」），正常系ログ（インフォＩＤが１６進数で「１」），異常系ログ（インフォＩＤが１６進数で「２」），…ごとに設けられる。

プロセッサ２３は、限定条件リストＬ４を構成する限定条件のうち、生成ログのログＩＤ３１に対応して設けられた限定条件を抽出して生成ログと比較する。プロセッサ２３は、その限定条件に対応するログＩＤに応じて、その限定条件と一致する内容を含む生成ログについては、動的リストＬ３を用いた生成ログの出力または非出力の決定の対象外と判定する。これにより、プロセッサ２３は、限定条件と一致する内容を含む生成ログの種類によっては、動的リストＬ３を用いた生成ログの出力または非出力を決定しないで、その生成ログの出力または非出力を迅速に判定できる。

また、プロセッサ２３は、限定条件リストＬ４を構成する限定条件のうち、生成ログのログＩＤ３１に対応して設けられた限定条件を抽出して生成ログと比較する。プロセッサ２３は、その限定条件に対応するログＩＤに応じて、その限定条件と一致する内容を含む生成ログについては、動的リストＬ３を用いた生成ログの出力または非出力の決定の対象と判定してもよい。これにより、プロセッサ２３は、限定条件と一致する内容を含む生成ログの種類によっては、その生成ログの出力または非出力について、限定条件で出力の要否を簡易チェックせずに動的リストＬ３を用いて詳細に判定できる。

限定条件を構成するＩＰアドレスは、図３Ａに示す相手先ＩＰアドレス３２である。限定条件を構成するポート番号は、図３Ａに示す相手先ポート番号３３である。限定条件を構成するＤｅｔａｉｌＩＤは、図４Ａに示すＤｅｔａｉｌＩＤである。限定条件を構成するキー文字列は、例えば図８Ｂに示されるように、ログＬＧＢ１のメッセージ内に記載されている特定の文字列（図８Ｂの下線部参照）である。

図９Ａには、例えばＩｏＴ機器２がＷｅｂサーバに対して正常にアクセスした時のログＬＧＢ２の一部が示されており、このログＬＧＢ２のログＩＤのインフォＩＤは１６進数で「７」である（図４Ｂ参照）。このようなログＬＧＢ２は、ＩｏＴ機器２が通常状態時に多く生成されるので、例えば限定条件（１）として、ログＬＧＢ２の一部の文字列「““ＧＥＴ／ＨＴＴＰ／１．１”２００”」がキー文字列として予め登録される。従って、図９Ｃに示されるように、プロセッサ２３は、その限定条件（１）のキー文字列（上述参照）と一致する内容を含むログが生成された場合、そのログは限定条件（１）と一致する内容を含むので（Ｓｔ１２、ＹＥＳ）、そのログＬＧＢ２の出力または非出力について、動的リストＬ３を用いて決定すると判定する。

一方、図９Ｂには、例えばＩｏＴ機器２がＷｅｂサーバに対してアクセスエラーが生じた時のログＬＧＢ３の一部が示されており、このログＬＧＢ２のログＩＤのインフォＩＤは１６進数で「７」である（図４Ｂ参照）。従って、図９Ｃに示されるように、プロセッサ２３は、このようなログＬＧＢ３が生成された場合、ログＬＧＢ３は限定条件（１）と一致する内容を含まないので（Ｓｔ１２、ＮＯ）、そのログＬＧＢ３を出力すると決定する。

図１０Ａには、ログの種類が正常系ログである場合に（例えばインフォＩＤが１６進数で「１」、図４Ｂ参照）、正常系ログの４つのＤｅｔａｉｌＩＤ（ディーテイルＩＤ）に対応するログのメッセージ例とその時の発生事象とが対応付けられて示されている。例えば、ＤｅｔａｉｌＩＤが１６進数で「８００１」のログはネットワーク接続時のログを示し、ＤｅｔａｉｌＩＤが１６進数で「８００２」のログはネットワーク切断時のログを示し、ＤｅｔａｉｌＩＤが１６進数で「８００３」のログはデータ受信時のログを示し、ＤｅｔａｉｌＩＤが１６進数で「８００４」のログはデータ送信時のログを示す。このように一つの正常系ログの中で階層的に複数の細かいログが規定される場合には、限定条件として、ＤｅｔａｉｌＩＤ（ディーテイルＩＤ）が使用されて予め登録される。

より具体的には、図１０Ｂに示されるように、ＤｅｔａｉｌＩＤが１６進数で「８００１」のログは出現回数が少ないので、すべて出力の対象として限定条件（２）として予め登録される。従って、プロセッサ２３は、その限定条件（２）と一致する内容を含むログが生成された場合（Ｓｔ１３、ＹＥＳ）、そのログを出力すると決定する。

また、ＤｅｔａｉｌＩＤが１６進数で「８００２」のログは重要でないため、すべて非出力の対象として限定条件（３）として予め登録される。従って、プロセッサ２３は、限定条件（２）と一致する内容を含まないログが生成された場合（Ｓｔ１３、ＮＯ）、そのログが限定条件（３）と一致する内容を含むか否かを判定する（Ｓｔ１４）。プロセッサ２３は、限定条件（３）と一致する内容を含むと判定した場合（Ｓｔ１４、ＹＥＳ）、そのログは出力しないと決定する。

また、ＤｅｔａｉｌＩＤが１６進数で「８００３」，「８００４」のそれぞれのログは出現回数が多いので、出力または非出力の判別が簡易には行えない。つまり、このようなＤｅｔａｉｌＩＤは限定条件に適さない。従って、プロセッサ２３は、限定条件（３）と一致する内容を含まないと判定するので（Ｓｔ１４、ＮＯ）、動的リストＬ３を用いて出力または非出力の決定を行うと判定する。

次に、実施の形態１に係る優先条件リストＬ５の詳細について、図１１を参照して説明する。図１１は、比較情報を削除するためまたは比較情報を削除しないための優先条件リストＬ５の構成例を示す図である。優先条件リストＬ５は、登録数が限られた比較情報を優先的に削除するためまたは比較情報を削除しないための複数の優先条件を含むリストである。具体的には、優先条件リストＬ５は、優先条件の数を示す優先条件数と、それぞれの優先条件（例えば、優先条件（１），優先条件（２），優先条件（３），…）とを有する。それぞれの優先条件（例えば、優先条件（１））は、ＩＰアドレス、ポート番号、ＤｅｔａｉｌＩＤ、キー文字列からなる。

上述したように、動的リストＬ３を構成する比較情報（図７参照）の登録数は有限（例えばｎ個、図７参照）であり、（ｎ＋１）個以上の比較情報の登録はできない。これは、例えばＰＣ１に比べてローエンド仕様であるＩｏＴ機器２のフラッシュメモリ２４の記憶容量が、ＰＣ１のＨＤＤの記憶容量に比べてとても少ないからである。従って、選別部の一例としてのプロセッサ２３は、次の削除条件１〜削除条件５のうちいずれか一つまたは組み合わせ可能な２つ以上の削除条件を満たす場合に、動的リストＬ３を構成する比較情報を削除する。但し、削除条件４と削除条件５とは相反する条件であるため、組み合わせて使用することはできない。

削除条件１：プロセッサ２３は、比較情報のうち最も古い（言い換えると、最初に登録された）比較情報を削除する。

削除条件２：プロセッサ２３は、比較情報ごとに出現頻度（例えば、頻度情報３１２の出現回数３１２１）を対応付けて記憶しておき、その出現頻度の最も少ない比較情報を削除する。

削除条件３：プロセッサ２３は、比較情報ごとに登録時刻（つまり、動的リストＬ３としての登録時刻）を記憶しておき、その比較情報の比較条件と一致する内容を含むログが生成された場合に、登録時刻を更新する。プロセッサ２３は、登録時刻の古い比較情報から削除する。

削除条件４：プロセッサ２３は、図１１に示す優先条件リストＬ５をフラッシュメモリ２４に登録しておき、優先条件リストＬ５を構成する優先条件（１），優先条件（２），優先条件（３），…のうちいずれかと一致する比較条件を有する比較情報を優先的に削除する。この削除条件４を用いる場合、優先条件リストＬ５を構成する優先条件（１），優先条件（２），優先条件（３），…はいずれも、比較情報を削除するための条件と考えることができる。

削除条件５：プロセッサ２３は、図１１に示す優先条件リストＬ５をフラッシュメモリ２４に登録しておき、優先条件リストＬ５を構成する優先条件（１），優先条件（２），優先条件（３），…のうちいずれかと一致しない比較条件を有する比較情報を優先的に削除する。この削除条件５を用いる場合、優先条件リストＬ５を構成する優先条件（１），優先条件（２），優先条件（３），…はいずれも、比較情報を削除しないための条件と考えることができる。

次に、実施の形態１に係るＩｏＴ機器２における生成ログの出力または非出力について、限定条件リストＬ４および動的リストＬ３をそれぞれ用いて判断する時の動作手順の詳細について、図１２、図１３、図１４および図１５を参照して説明する。図１２は、図６のステップＳｔ３の動作手順の詳細例を示すフローチャートである。図１３は、図１２のステップＳｔ１２の動作手順の詳細例を示すフローチャートである。図１４は、図６のステップＳｔ４の動作手順の詳細例を示すフローチャートである。図１５は、図１４のステップＳｔ１８の動作手順の詳細例を示すフローチャートである。図１２〜図１５の各処理は、例えばＩｏＴ機器２のプロセッサ２３により実行される。

図１２において、プロセッサ２３は、プロセッサ２３または作動ユニット２６により生成されたログのインフォＩＤに基づいて、その生成ログがＡｐａｃｈｅ（登録商標）アクセスログ、正常系ログおよび異常系ログのうちいずれであるかを判定する（Ｓｔ１１）。

プロセッサ２３は、生成ログがＡｐａｃｈｅ（登録商標）アクセスログ（つまり、Ｗｅｂサーバへのアクセスに関するログ）であると判定した場合（Ｓｔ１１、Ａｐａｃｈｅ（登録商標）アクセスログ）、その生成ログと限定条件（１）と一致するか否かを判定する（Ｓｔ１２）。

プロセッサ２３は、その生成ログが限定条件（１）と一致する内容を含むと判定した場合（Ｓｔ１２、ＹＥＳ）、（Ａ−１）の処理（つまり、動的リストＬ３を用いた出力または非出力の要否のチェック）を実行すると判定する（図６のステップＳｔ３の「決定不可」、図９Ｃ参照）。

一方、プロセッサ２３は、その生成ログが限定条件（１）と一致する内容を含まないと判定した場合（Ｓｔ１２、ＮＯ）、（Ａ−２）の処理（つまり、生成ログの出力）を実行すると判定する（図６のステップＳｔ３の「出力要」、図９Ｃ参照）。つまり、プロセッサ２３は、その生成ログの出力（例えばＳＩＥＭ４への送信）を行う（Ｓｔ２４）。

プロセッサ２３は、生成ログが異常系ログであると判定した場合（Ｓｔ１１、異常系ログ）、（Ａ−２）の処理（つまり、生成ログの出力）を実行すると判定する（図６のステップＳｔ３の「出力要」、図１０Ｂ参照）。つまり、プロセッサ２３は、その生成ログの出力（例えばＳＩＥＭ４への送信）を行う（Ｓｔ２４）。

プロセッサ２３は、生成ログが正常系ログであると判定した場合（Ｓｔ１１、正常系ログ）、その生成ログと限定条件（２）と一致するか否かを判定する（Ｓｔ１３）。プロセッサ２３は、その生成ログが限定条件（２）と一致する内容を含むと判定した場合（Ｓｔ１３、ＹＥＳ）、（Ａ−２）の処理（つまり、生成ログの出力）を実行すると判定する（図６のステップＳｔ３の「出力要」、図１０Ｂ参照）。つまり、プロセッサ２３は、その生成ログの出力（例えばＳＩＥＭ４への送信）を行う（Ｓｔ２４）。

一方、プロセッサ２３は、その生成ログが限定条件（２）と一致する内容を含まないと判定した場合（Ｓｔ１３、ＮＯ）、その生成ログと限定条件（３）と一致するか否かを判定する（Ｓｔ１４）。

プロセッサ２３は、その生成ログが限定条件（３）と一致する内容を含むと判定した場合（Ｓｔ１４、ＹＥＳ）、（Ａ−３）の処理（つまり、生成ログの非出力）を実行すると判定する（図６のステップＳｔ３の「出力不要」、図１０Ｂ参照）。

一方、プロセッサ２３は、その生成ログが限定条件（３）と一致する内容を含まないと判定した場合（Ｓｔ１４、ＮＯ）、（Ａ−１）の処理（つまり、動的リストＬ３を用いた出力または非出力の要否のチェック）を実行すると判定する（図６のステップＳｔ３の「決定不可」、図９Ｃ参照）。

なお、実施の形態１では、Ａｐａｃｈｅ（登録商標）アクセスログ、正常系ログおよび異常系ログについて記載したが、ｉｐｔａｂｌｅｓログおよびＳｅｃｕｒｅログについて同じように限定条件を設定する場合も考えられる。

図１３において、プロセッサ２３は、限定条件（１）においてＩＰアドレスを使用する旨のフラグが保持されているか否かを判定する（Ｓｔ１２−１）。限定条件（１）においてＩＰアドレスを使用する旨のフラグが保持されていないと判定された場合（Ｓｔ１２−１、ＮＯ）、プロセッサ２３の処理はステップＳｔ１２−３に進む。

プロセッサ２３は、限定条件（１）においてＩＰアドレスを使用する旨のフラグが保持されていると判定した場合（Ｓｔ１２−１、ＹＥＳ）、ステップＳｔ１２の対象となる生成ログが限定条件（１）のＩＰアドレスと一致する内容を含むか否かを判定する（Ｓｔ１２−２）。プロセッサ２３は、ステップＳｔ１２の対象となる生成ログが限定条件（１）のＩＰアドレスと一致する内容を含まないと判定した場合（Ｓｔ１２−２、ＮＯ）、動的リストＬ３を用いた出力の要否のチェックを行わず、（Ａ−２）の処理（つまり、生成ログの出力）を実行すると判定する。つまり、プロセッサ２３は、その生成ログの出力（例えばＳＩＥＭ４への送信）を行う（Ｓｔ２４）。

プロセッサ２３は、ステップＳｔ１２の対象となる生成ログが限定条件（１）のＩＰアドレスと一致する内容を含むと判定した場合（Ｓｔ１２−２、ＹＥＳ）、限定条件（１）においてポート番号を使用する旨のフラグが保持されているか否かを判定する（Ｓｔ１２−３）。限定条件（１）においてポート番号を使用する旨のフラグが保持されていないと判定された場合（Ｓｔ１２−３、ＮＯ）、プロセッサ２３の処理はステップＳｔ１２−５に進む。

プロセッサ２３は、限定条件（１）においてポート番号を使用する旨のフラグが保持されていると判定した場合（Ｓｔ１２−３、ＹＥＳ）、ステップＳｔ１２の対象となる生成ログが限定条件（１）のポート番号と一致する内容を含むか否かを判定する（Ｓｔ１２−４）。プロセッサ２３は、ステップＳｔ１２の対象となる生成ログが限定条件（１）のポート番号と一致する内容を含まないと判定した場合（Ｓｔ１２−４、ＮＯ）、動的リストＬ３を用いた出力の要否のチェックを行わず、（Ａ−２）の処理（つまり、生成ログの出力）を実行すると判定する。つまり、プロセッサ２３は、その生成ログの出力（例えばＳＩＥＭ４への送信）を行う（Ｓｔ２４）。

プロセッサ２３は、ステップＳｔ１２の対象となる生成ログが限定条件（１）のポート番号と一致する内容を含むと判定した場合（Ｓｔ１２−４、ＹＥＳ）、限定条件（１）においてログＩＤを使用する旨のフラグが保持されているか否かを判定する（Ｓｔ１２−５）。限定条件（１）においてログＩＤを使用する旨のフラグが保持されていないと判定された場合（Ｓｔ１２−５、ＮＯ）、プロセッサ２３の処理はステップＳｔ１２−７に進む。

プロセッサ２３は、限定条件（１）においてログＩＤを使用する旨のフラグが保持されていると判定した場合（Ｓｔ１２−５、ＹＥＳ）、ステップＳｔ１２の対象となる生成ログが限定条件（１）のログＩＤと一致する内容を含むか否かを判定する（Ｓｔ１２−６）。プロセッサ２３は、ステップＳｔ１２の対象となる生成ログが限定条件（１）のログＩＤと一致する内容を含まないと判定した場合（Ｓｔ１２−６、ＮＯ）、動的リストＬ３を用いた出力の要否のチェックを行わず、（Ａ−２）の処理（つまり、生成ログの出力）を実行すると判定する。

プロセッサ２３は、ステップＳｔ１２の対象となる生成ログが限定条件（１）のログＩＤと一致する内容を含むと判定した場合（Ｓｔ１２−６、ＹＥＳ）、限定条件（１）においてキー文字列を使用する旨のフラグが保持されているか否かを判定する（Ｓｔ１２−７）。限定条件（１）においてキー文字列を使用する旨のフラグが保持されていないと判定された場合（Ｓｔ１２−７、ＮＯ）、プロセッサ２３は、（Ａ−１）の処理（つまり、動的リストＬ３を用いた出力または非出力の要否のチェック）を実行すると判定する。

プロセッサ２３は、限定条件（１）においてキー文字列を使用する旨のフラグが保持されていると判定した場合（Ｓｔ１２−７、ＹＥＳ）、ステップＳｔ１２の対象となる生成ログが限定条件（１）のキー文字列と一致する内容を含むか否かを判定する（Ｓｔ１２−８）。プロセッサ２３は、ステップＳｔ１２の対象となる生成ログが限定条件（１）のキー文字列と一致する内容を含まないと判定した場合（Ｓｔ１２−８、ＮＯ）、動的リストＬ３を用いた出力の要否のチェックを行わず、（Ａ−２）の処理（つまり、生成ログの出力）を実行すると判定する。

プロセッサ２３は、ステップＳｔ１２の対象となる生成ログが限定条件（１）のキー文字列と一致する内容を含むと判定した場合（Ｓｔ１２−８、ＹＥＳ）、（Ａ−１）の処理（つまり、動的リストＬ３を用いた出力または非出力の要否のチェック）を実行すると判定する。

図１４において、プロセッサ２３は、（Ａ−１）の処理として、動的リストＬ３のリスト番号０を設定し（Ｓｔ１５）、現在のリスト番号に対応する比較情報が動的リストＬ３に存在しているか否か（例えば、削除されていないかどうか）を判定する（Ｓｔ１６）。現在のリスト番号に対応する比較情報が動的リストＬ３に存在していないと判定された場合には（Ｓｔ１６、ＮＯ）、プロセッサ２３の処理はステップＳｔ２２に進む。

プロセッサ２３は、現在のリスト番号に対応する比較情報が動的リストＬ３に存在していると判定した場合（Ｓｔ１６、ＹＥＳ）、該当する比較情報をフラッシュメモリ２４から読み出して取得する（Ｓｔ１７）。プロセッサ２３は、対象とするログ（つまり、生成ログ）と読み出された比較情報とが一致するか否か（つまり、生成ログが比較情報の比較条件と一致する内容を含むか否か）を判定する（Ｓｔ１８）。

プロセッサ２３は、動的リストＬ３を用いた出力の要否を決定する対象とするログ（つまり、生成ログ）と読み出された比較情報とが一致しないと判定した場合（Ｓｔ１８、ＮＯ）、動的リストＬ３のリスト番号をインクリメントする（Ｓｔ１９）。プロセッサ２３は、インクリメント後のリスト番号が最終のリスト番号（例えば（ｎ−１））であるか否かを判定する（Ｓｔ２０）。インクリメント後のリスト番号が最終のリスト番号でない場合には（Ｓｔ２０、ＮＯ）、プロセッサ２３の処理はステップＳｔ１６に戻る。

プロセッサ２３は、インクリメント後のリスト番号が最終のリスト番号であると判定した場合には（Ｓｔ２０、ＹＥＳ）、削除条件（上述参照）に従って、動的リストＬ３から少なくとも一つの比較情報を削除する（Ｓｔ２１）。プロセッサ２３は、動的リストＬ３を用いた出力の要否を決定する対象とするログ（つまり、生成ログ）に基づいて比較情報（図７参照）を生成して動的リストＬ３に登録する（Ｓｔ２２）。例えば、プロセッサ２３は、生成ログからＩＰアドレス３１１１、ポート番号３１１２およびログＩＤ３１１３をそれぞれ抽出して比較情報を生成する。プロセッサ２３は、その生成された比較情報の出現回数および経過時間を「０（ゼロ）」に初期化する（Ｓｔ２３）。この場合、プロセッサ２３は、生成ログが全ての比較情報のそれぞれと一致する内容を含まないと判定したので、その生成ログを出力すると判定し、その判定に従ってその生成ログを出力する（Ｓｔ２４）。なお、ステップＳｔ２３において、プロセッサ２３は、生成された比較情報の出現回数および経過時間を初期化する代わりに、生成ログの生成時刻を保存してもよい。

一方、プロセッサ２３は、動的リストＬ３を用いた出力の要否を決定する対象とするログ（つまり、生成ログ）と読み出された比較情報とが一致すると判定した場合（Ｓｔ１８、ＹＥＳ）、その読み出された比較情報の出現回数（図７参照）をインクリメントする（Ｓｔ２５）。プロセッサ２３は、インクリメント後の出現回数が設定値（例えば、「１０」等の第１の既定値）に達したか否かを判定する（Ｓｔ２６）。プロセッサ２３は、インクリメント後の出現回数が設定値（例えば、「１０」等の第１の既定値）に達したと判定した場合には（Ｓｔ２６、ＹＥＳ）、その比較情報の出現回数および経過時間を「０（ゼロ）」に初期化する（Ｓｔ２３）。

一方、プロセッサ２３は、インクリメント後の出現回数が設定値（例えば、「１０」等の第１の既定値）に達していないと判定した場合（Ｓｔ２６、ＮＯ）、その比較情報の経過時間が設定値（例えば、「１０分」等の第２の既定値）に達したか否かを判定する（Ｓｔ２７）。プロセッサ２３は、その比較情報の経過時間が設定値（例えば、「１０分」等の第２の既定値）に達したと判定した場合には（Ｓｔ２７、ＹＥＳ）、その比較情報の出現回数および経過時間を「０（ゼロ）」に初期化する（Ｓｔ２３）。

プロセッサ２３は、その比較情報の経過時間が設定値（例えば、「１０分」等の第２の既定値）に達していないと判定した場合には（Ｓｔ２７、ＮＯ）、その比較情報の生成された時点から現在時刻までの時間を経過時間として保存（登録）する（Ｓｔ２８）。なお、ステップＳｔ２８は省略されてもよく、比較情報の経過時間が設定値（例えば、「１０分」等の第２の既定値）に達していないと判定した場合には（Ｓｔ２７、ＮＯ）、プロセッサ２３の処理はステップＳｔ２４に進んでよい。

図１５において、プロセッサ２３は、対象とするログ（つまり、生成ログ）と読み出された比較情報の比較条件のＩＰアドレスとが一致するか否かを判定する（Ｓｔ１８−１）。プロセッサ２３は、その比較条件のＩＰアドレスと生成ログに記載されているＩＰアドレスとが一致しない場合には（Ｓｔ１８−１、ＮＯ）、ステップＳｔ１８の処理として「不一致」と判定する。

一方、プロセッサ２３は、その比較条件のＩＰアドレスと生成ログに記載されているＩＰアドレスとが一致すると判定した場合（Ｓｔ１８−１、ＹＥＳ）、対象とするログ（つまり、生成ログ）と読み出された比較情報の比較条件のポート番号とが一致するか否かを判定する（Ｓｔ１８−２）。プロセッサ２３は、その比較条件のポート番号と生成ログに記載されているポート番号とが一致しない場合には（Ｓｔ１８−２、ＮＯ）、ステップＳｔ１８の処理として「不一致」と判定する。

一方、プロセッサ２３は、その比較条件のポート番号と生成ログに記載されているポート番号とが一致すると判定した場合（Ｓｔ１８−２、ＹＥＳ）、対象とするログ（つまり、生成ログ）と読み出された比較情報の比較条件のログＩＤとが一致するか否かを判定する（Ｓｔ１８−３）。プロセッサ２３は、その比較条件のログＩＤと生成ログに記載されているログＩＤとが一致しない場合には（Ｓｔ１８−３、ＮＯ）、ステップＳｔ１８の処理として「不一致」と判定する。

一方、プロセッサ２３は、その比較条件のポート番号と生成ログに記載されているポート番号とが一致すると判定した場合（Ｓｔ１８−２、ＹＥＳ）、ステップＳｔ１８の処理として「一致」と判定する。

以上により、実施の形態１に係るログ出力システム１０では、ＩｏＴ機器２は、ＩｏＴ機器における処理の実行履歴を示すログを生成する。ＩｏＴ機器２は、その処理が異常であることを示す第１の静的情報を含む第１のリスト（例えばブラックリストＬ１）と、その処理が正常であることを示す第２の静的情報を含む第２のリスト（例えばホワイトリストＬ２）と、ログに応じてそのログの出力の要否を決定するための動的情報を含む第３のリスト（例えば動的リストＬ３）と、をメモリ（例えばフラッシュメモリ２４）に保持する。ＩｏＴ機器２は、生成されたログが第１の静的情報を有する場合にそのログの出力を決定するとともに、生成されたログが第２の静的情報を有する場合にそのログの非出力を決定する。また、ＩｏＴ機器２は、生成されたログと第３のリスト（例えば動的リストＬ３）とに基づいて、そのログの出力の要否を決定する。

これにより、ＩｏＴ機器２は、処理履歴として生成されたログの内容に応じて、ＳＩＥＭ４への報告対象となるログを適正に選別できるので、ＩｏＴ機器２における通常処理に関する基本機能への悪影響を軽減できるとともに、ネットワークＮＷ１の通信トラフィックの増大を抑制できる。

また、ＩｏＴ機器２は、過去に出力されたログに基づく比較情報（動的情報の一例）を生成して動的リストＬ３として登録する。ＩｏＴ機器２は、生成されたログが比較情報と一致した場合にそのログの非出力を決定する。これにより、ＩｏＴ機器２は、動的リストＬ３として登録された比較情報と一致するような同様な内容のログの頻繁な出力を抑制できる。

また、ＩｏＴ機器２は、複数の比較情報（動的情報の一例）を生成して動的リストＬ３として登録する。これにより、ＩｏＴ機器２は、複数の比較情報を含む動的リストＬ３を登録できるので、複数の比較情報のうちいずれかと一致する内容を含むログの出力を抑制でき、比較情報が一つである場合に比べてログの頻繁な出力をより一層抑制できる。

また、比較情報は、過去に出力されたログの内容の一部を含む比較条件と、その比較条件と一致する内容を含むログが生成される頻度情報とを有する。これにより、ＩｏＴ機器２は、過去に出力されたログの一部を含む比較条件とその比較条件と一致する内容を含むログが生成される頻度情報とを用いて、その生成ログの出力の要否を詳細かつきめ細かく
判別できるので、同様な内容であって頻繁に生成されるログの出力を効果的に抑制できる。

また、頻度情報は、生成されたログが比較条件と一致した回数を示す出現回数を少なくとも有する。ＩｏＴ機器２は、出現回数が第１の既定値未満であると判定した場合に、生成されたログの非出力を決定する。これにより、ＩｏＴ機器２は、対応する比較条件と一致する内容を含むログが第１の既定値（例えば１０）回生成された場合に、１回だけ出力すると決定できるので、同様な内容の生成ログを無造作に出力することを抑制できる。

また、頻度情報は、比較条件と一致したログが生成された時点からの経過時間を少なくとも有する。ＩｏＴ機器２は、経過時間が第２の既定値未満であると判定した場合に、生成されたログの非出力を決定する。これにより、ＩｏＴ機器２は、対応する比較条件と一致する内容を含むログが生成されてから少なくとも第２の既定値（例えば１０分）が経過していない場合には、同様な内容のログの出力を省くことができ、ログの出力量を適正に絞ることができる。

また、頻度情報は、比較条件と一致したログの生成時刻を少なくとも有する。ＩｏＴ機器２は、現在時刻がその生成時刻からの経過時間が第２の既定値未満であると判定した場合に、生成されたログの非出力を決定する。これにより、ＩｏＴ機器２は、対応する比較条件と一致する内容を含むログが生成されてから少なくとも第２の既定値（例えば１０分）が経過していない場合には、同様な内容のログの出力を省くことができ、ログの出力量を適正に絞ることができる。

また、フラッシュメモリ２４は、動的リストＬ３を用いたログの出力または非出力の決定の要否を判定するための複数の限定条件を含む限定条件リストＬ４（第４のリストの一例）をさらに保持する。ＩｏＴ機器２は、生成されたログが限定条件と一致する場合に、そのログに対する、動的リストＬ３を用いたログの出力または非出力の決定を行うと判定する。これにより、ＩｏＴ機器２は、限定条件と一致する内容を含む生成ログの種類によっては、その生成ログの出力または非出力について、限定条件で出力の要否を簡易チェックせずに動的リストＬ３を用いて詳細に判定できる。

また、フラッシュメモリ２４は、動的リストＬ３を用いたログの出力または非出力の決定の要否を判定するための複数の限定条件を含む限定条件リストＬ４（第４のリストの一例）をさらに保持する。ＩｏＴ機器２は、生成されたログが限定条件と一致する場合に、そのログに対する、動的リストＬ３を用いた生成ログの出力または非出力の決定を行わないと判定して出力または非出力を決定する。これにより、ＩｏＴ機器２は、限定条件と一致する内容を含む生成ログの種類によっては、動的リストＬ３を用いた生成ログの出力または非出力を決定しないで、その生成ログの出力または非出力を迅速に判定できる。

また、フラッシュメモリ２４は、比較情報を削除するための複数の優先条件を含む優先条件リストＬ５（第５のリストの一例）をさらに保持する。ＩｏＴ機器２は、動的リストＬ３として登録可能な個数の比較情報が登録され、かつ生成されたログが優先条件のうちいずれかに一致する場合に、その優先条件と一致する比較情報を削除する。例えば、実行頻度の低い処理によって生成されるログは、その出力優先度が高いと考えられる。これにより、ＩｏＴ機器２は、高頻度に実行される処理に基づくログの内容を含む比較情報が優先条件と一致する場合にその比較情報を削除でき、限られた個数の中で高頻度に生成されるログの出力を抑制可能とするべく有意義な比較情報の保持に資することができる。

また、フラッシュメモリ２４は、比較情報を削除しないための複数の優先条件を含む優先条件リストＬ５（第５のリストの一例）をさらに保持する。ＩｏＴ機器２は、動的リストＬ３として登録可能な個数の比較情報が登録され、かつ生成されたログが優先条件のうちいずれかに一致する場合に、その優先条件と一致する比較情報を削除しない。例えば、実行頻度の高い処理によって生成されるログは、その出力優先度が低いと考えられる。これにより、ＩｏＴ機器２は、高頻度に実行される処理に基づくログの内容を含む比較情報が優先条件と一致する場合にその比較情報を削除せずに残すことで、高頻度に生成されるログの出力を抑制可能とするべく有意義な比較情報の保持に資することができる。

また、ＩｏＴ機器２は、動的情報を構成する複数の比較情報の中から、最も古い比較情報を削除する。これにより、ＩｏＴ機器２は、最も古い比較情報を満たすような処理が実行される頻度は低いので、そのような低頻度な処理に基づく不要な比較情報を削除することで、高頻度に実行される処理のログの出力を抑制可能とするべく有意義な比較情報を保持できる。

また、フラッシュメモリ２４に保持される動的情報を構成する複数の比較情報のそれぞれは、その比較情報を満たすログの生成回数を示す出現頻度を保持する。ＩｏＴ機器２は、動的情報を構成する複数の比較情報の中から、出現頻度の最も少ない比較情報を削除する。これにより、ＩｏＴ機器２は、低頻度な処理に基づく不要な比較情報を削除することで、高頻度に実行される処理のログの出力を抑制可能とするべく有意義な比較情報を保持できる。

また、フラッシュメモリ２４に保持される動的情報を構成する複数の比較情報のそれぞれは、その比較情報が動的情報として登録された登録時刻を保持する。ＩｏＴ機器２は、動的情報を構成する複数の比較情報の中から、登録時刻の最も古い比較情報を削除する。なお、登録時刻は、対応する比較情報の比較条件と一致する内容を含むログが生成された場合に更新される。これにより、ＩｏＴ機器２は、低頻度な処理に基づく不要な比較情報を削除することで、高頻度に実行される処理のログの出力を抑制可能とするべく有意義な比較情報を保持できる。

以上、図面を参照しながら各種の実施の形態について説明したが、本開示はかかる例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例、修正例、置換例、付加例、削除例、均等例に想到し得ることは明らかであり、それらについても当然に本開示の技術的範囲に属するものと了解される。また、発明の趣旨を逸脱しない範囲において、上述した各種の実施の形態における各構成要素を任意に組み合わせてもよい。

本開示は、処理履歴として生成されたログに応じて、ＳＩＥＭへの報告対象となるログを適正に選別し、通常処理に関する基本機能への悪影響ならびに通信ネットワークのトラフィックの増大を抑制するログ出力装置、ログ出力方法およびログ出力システムとして有用である。

１ ＰＣ
２、２−１、２−ｎ ＩｏＴ機器
３ ＩＰＳ
４ ＳＩＥＭ
５ ＳＯＣ
２１ ＲＯＭ
２２ ＲＡＭ
２３ プロセッサ
２４ フラッシュメモリ
２５ 内部Ｉ／Ｆ
２６ 作動ユニット
２７ ネットワークＩ／Ｆ
Ｌ１ ブラックリスト
Ｌ２ ホワイトリスト
Ｌ３ 動的リスト
Ｌ４ 限定条件リスト
Ｌ５ 優先条件リスト
ＮＷ１、ＮＷ２ ネットワーク

Claims (16)

1. 処理の実行履歴を示すログを生成する生成部と、
   前記処理が異常であることを示す第１の静的情報を含む第１のリストと、前記処理が正常であることを示す第２の静的情報を含む第２のリストと、前記ログに応じてそのログの出力の要否を決定するための動的情報を含む第３のリストと、を保持するメモリと、
   前記生成部により生成されたログが前記第１の静的情報を有する場合にそのログの出力を決定するとともに、前記生成部により生成されたログが前記第２の静的情報を有する場合にそのログの非出力を決定する選別部と、を備え、
   前記選別部は、前記生成部により生成されたログと前記第３のリストとに基づいて、そのログの出力の要否を決定する、
   ログ出力装置。
2. 過去に出力されたログに基づく比較情報を生成して前記動的情報として登録する登録部、をさらに備え、
   前記選別部は、前記生成部により生成されたログが前記比較情報と一致した場合にそのログの非出力を決定する、
   請求項１に記載のログ出力装置。
3. 前記登録部は、複数の前記比較情報を生成して前記動的情報として登録する、
   請求項２に記載のログ出力装置。
4. 前記比較情報は、前記過去に出力されたログの内容の一部を含む比較条件と、その比較条件と一致するログが生成される頻度情報とを有する、
   請求項２または３に記載のログ出力装置。
5. 前記頻度情報は、前記生成部により生成されたログが前記比較条件と一致した回数を示す出現回数を少なくとも有し、
   前記選別部は、前記出現回数が第１の既定値未満であると判定した場合に、前記生成部により生成されたログの非出力を決定する、
   請求項４に記載のログ出力装置。
6. 前記頻度情報は、前記比較条件と一致したログが前記生成部により生成された時点からの経過時間を少なくとも有し、
   前記選別部は、前記経過時間が第２の既定値未満であると判定した場合に、前記生成部により生成されたログの非出力を決定する、
   請求項４に記載のログ出力装置。
7. 前記頻度情報は、前記比較条件と一致したログの生成時刻を少なくとも有し、
   前記選別部は、現在時刻が前記生成時刻からの経過時間が第２の既定値未満であると判定した場合に、前記生成部により生成されたログの非出力を決定する、
   請求項４に記載のログ出力装置。
8. 前記メモリは、前記第３のリストを用いたログの出力または非出力の決定の要否を判定するための複数の限定条件を含む第４のリストをさらに保持し、
   前記選別部は、前記生成部により生成されたログが前記限定条件と一致する場合に、そのログに対する、前記第３のリストを用いたログの出力または非出力の決定を行うと判定する、
   請求項１に記載のログ出力装置。
9. 前記メモリは、前記第３のリストを用いたログの出力または非出力の決定の要否を判定するための複数の限定条件を含む第４のリストをさらに保持し、
   前記選別部は、前記生成部により生成されたログが前記限定条件と一致する場合に、そのログに対する、前記第３のリストを用いたログの出力または非出力の決定を行わないと判定して出力または非出力を決定する、
   請求項１に記載のログ出力装置。
10. 前記メモリは、前記比較情報を削除するための複数の優先条件を含む第５のリストをさらに保持し、
    前記選別部は、前記動的情報として登録可能な個数の前記比較情報が登録され、かつ前記生成部により生成されたログが前記優先条件のうちいずれかに一致する場合に、その優先条件と一致する前記比較情報を削除する、
    請求項２に記載のログ出力装置。
11. 前記メモリは、前記比較情報を削除しないための複数の優先条件を含む第５のリストをさらに保持し、
    前記選別部は、前記動的情報として登録可能な個数の前記比較情報が登録され、かつ前記生成部により生成されたログが前記優先条件のうちいずれかに一致する場合に、その優先条件と一致する前記比較情報を削除しない、
    請求項２に記載のログ出力装置。
12. 前記選別部は、前記動的情報を構成する複数の前記比較情報の中から、最も古い比較情報を削除する、
    請求項３に記載のログ出力装置。
13. 前記比較情報は、その比較情報を満たすログの生成回数を示す出現頻度を保持し、
    前記選別部は、前記動的情報を構成する複数の前記比較情報の中から、前記出現頻度の最も少ない比較情報を削除する、
    請求項３に記載のログ出力装置。
14. 前記比較情報は、その比較情報が前記動的情報として登録された登録時刻を保持し、
    前記選別部は、前記動的情報を構成する複数の前記比較情報の中から、前記登録時刻の最も古い比較情報を削除する、
    請求項３に記載のログ出力装置。
15. ログ出力装置におけるログ出力方法であって、
    処理の実行履歴を示すログを生成するステップと、
    前記処理が異常であることを示す第１の静的情報を含む第１のリストと、前記処理が正常であることを示す第２の静的情報を含む第２のリストと、前記ログに応じてそのログの出力の要否を決定するための動的情報を含む第３のリストと、をメモリに保持するステップと、
    前記生成されたログが前記第１の静的情報を有する場合にそのログの出力を決定するとともに、前記生成されたログが前記第２の静的情報を有する場合にそのログの非出力を決定するステップと、
    前記生成されたログと前記第３のリストとに基づいて、そのログの出力の要否を決定するステップと、を有する、
    ログ出力方法。
16. ログ出力装置と前記ログ出力装置からのログを解析するサーバ装置とが通信可能に接続されたログ出力システムであって、
    前記ログ出力装置は、
    処理の実行履歴を示すログを生成し、
    前記処理が異常であることを示す第１の静的情報を含む第１のリストと、前記処理が正常であることを示す第２の静的情報を含む第２のリストと、前記ログに応じてそのログの出力の要否を決定するための動的情報を含む第３のリストと、をメモリに保持し、
    前記生成されたログが前記第１の静的情報を有する場合にそのログの出力を決定するとともに、前記生成されたログが前記第２の静的情報を有する場合にそのログの非出力を決定し、
    前記生成されたログと前記第３のリストとに基づいて、そのログの出力の要否を決定する、
    ログ出力システム。

Images