JP2023152539A - アラート峻別システム、アラート峻別方法、ユーザ端末装置、ユーザ端末プログラム、アラート峻別装置およびアラート峻別プログラム - Google Patents

Abstract

【課題】正規プロセスを予め列挙しなくても優先度の高いアラートを特定できるようにする。【解決手段】情報収集部３１０は、作業の開始時刻と前記作業の終了時刻の少なくとも一方を示す作業タイミング情報を収集する。時間帯推定部３２０は、前記開始時刻と前記終了時刻の一方だけが示される作業タイミング情報ごとに、前記作業の種類と、前記作業タイミング情報に示される前記開始時刻または前記終了時刻と、に基づいて作業時間帯を推定する。アラート峻別部２３０は、各作業タイミング情報の作業時間帯を示す作業情報を参照し、アラートデータベースに登録された１つ以上のアラート情報から、少なくともいずれかの作業情報に示される作業時間帯に発生したアラート情報を峻別する。【選択図】図１

Description

本開示は、優先度の高いアラートを特定するための技術に関するものである。

ＳＯＣ業務において大量のアラートが発生すると、ＳＯＣ業務の効率が低下してしまう。ＳＯＣ業務の効率化を行うために、優先度の高いアラートを特定することが重要である。
ＳＯＣはＳｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒの略称である。

特許文献１は、攻撃兆候を示す異常なイベントから真の攻撃の候補を絞り込むための技術を開示している。
具体的には、攻撃に使われたと考えられる正規プロセスがユーザにより操作されたプロセスとマルウェアにより操作されたプロセスのいずれであるかを、キーボードまたはマウスなどの操作情報を使って特定することが開示されている。

国際公開第２０２１－１４４９７８号

特許文献１の技術では、攻撃に使われることが想定される正規プロセスを予め列挙し、列挙された正規プロセスの操作ログを取得する必要がある。
想定外の正規プロセスが攻撃者に利用された場合、特許文献１の技術では操作ログが取得されないので、特許文献１の技術は効果を発揮しない。

本開示は、正規プロセスを予め列挙しなくても優先度の高いアラートを特定できるようにすることを目的とする。

本開示のアラート峻別システムは、
作業の開始時刻と前記作業の終了時刻の少なくとも一方を示す作業タイミング情報を収集する情報収集部と、
収集された作業タイミング情報のうち前記開始時刻と前記終了時刻の一方だけが示される作業タイミング情報ごとに、前記作業の種類と、前記作業タイミング情報に示される前記開始時刻または前記終了時刻と、に基づいて、前記開始時刻から前記終了時刻までの作業時間帯を推定する時間帯推定部と、
前記開始時刻と前記終了時刻の両方を示す各作業タイミング情報の前記開始時刻から前記終了時刻までの作業時間帯を示す作業情報と、前記開始時刻と前記終了時刻の一方だけを示す各作業タイミング情報の推定された作業時間帯を示す作業情報と、を参照し、アラートデータベースに登録された１つ以上のアラート情報から、少なくともいずれかの作業情報に示される作業時間帯に発生したアラート情報を峻別するアラート峻別部と、を備える。

本開示によれば、作業時間帯に基づいてアラート情報が峻別される。つまり、正規プロセスを予め列挙しなくても優先度の高いアラートを特定することができる。

実施の形態１におけるアラート峻別システム１００の構成図。 実施の形態１におけるアラート峻別装置２００の構成図。 実施の形態１におけるユーザ端末装置３００の構成図。 実施の形態１におけるアラート峻別方法のフローチャート。 実施の形態１における情報収集部３１０の動作の具体例を示す図。 実施の形態１における情報収集部３１０の動作の具体例を示す図。 実施の形態１における所要時間ＤＢ３９１の具体例を示す図。 実施の形態１における時間帯推定部３２０の動作の概要を示す図。 実施の形態１におけるステップＳ１２０のフローチャート。 実施の形態１におけるステップＳ１２０のフローチャート。 実施の形態１における作業情報送信部３３０の動作の概要を示す図。 実施の形態１における作業情報送信部３３０の動作の概要を示す図。 実施の形態１におけるアラート峻別部２３０の動作の概要を示す図。 従来システムにおけるＳＯＣ業務を示す図。 実施の形態１を利用したＳＯＣ業務を示す図。 実施の形態２におけるアラート峻別システム１００の構成図。 実施の形態２におけるＤＢ構築部３４０の動作の概要を示す図。 実施の形態２におけるＤＢ構築部３４０の動作の具体例を示す図。

実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。

実施の形態１．
アラート峻別システム１００について、図１から図１６に基づいて説明する。

＊＊＊構成の説明＊＊＊
図１に基づいて、アラート峻別システム１００の構成を説明する。
アラート峻別システム１００は、アラート峻別装置２００と１台以上のユーザ端末装置３００を備える。
ユーザ端末装置３００は、業務システムおよびその他システムを利用する。ユーザ端末装置３００によって利用されるシステムを利用システム１１０と称する。
アラート峻別装置２００は、ネットワークを介してユーザ端末装置３００と通信する。

図２に基づいて、アラート峻別装置２００の構成を説明する。
アラート峻別装置２００は、プロセッサ２０１とメモリ２０２と補助記憶装置２０３と通信装置２０４と入出力インタフェース２０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ２０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ２０１はＣＰＵである。
ＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。

メモリ２０２は揮発性または不揮発性の記憶装置である。メモリ２０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ２０２はＲＡＭである。メモリ２０２に記憶されたデータは必要に応じて補助記憶装置２０３に保存される。
ＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。

補助記憶装置２０３は不揮発性の記憶装置である。例えば、補助記憶装置２０３は、ＲＯＭ、ＨＤＤ、フラッシュメモリまたはこれらの組み合わせである。補助記憶装置２０３に記憶されたデータは必要に応じてメモリ２０２にロードされる。
ＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。
ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。

通信装置２０４はレシーバ及びトランスミッタである。例えば、通信装置２０４は通信チップまたはＮＩＣである。アラート峻別装置２００の通信は通信装置２０４を用いて行われる。
ＮＩＣは、Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄの略称である。

入出力インタフェース２０５は、入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース２０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。アラート峻別装置２００の入出力は入出力インタフェース２０５を用いて行われる。
ＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。

アラート峻別装置２００は、ログ分析部２１０と作業情報受信部２２０とアラート峻別部２３０とアラート出力部２４０といった要素を備える。これらの要素はソフトウェアで実現される。

補助記憶装置２０３には、ログ分析部２１０と作業情報受信部２２０とアラート峻別部２３０とアラート出力部２４０としてコンピュータを機能させるためのアラート峻別プログラムが記憶されている。アラート峻別プログラムは、メモリ２０２にロードされて、プロセッサ２０１によって実行される。
補助記憶装置２０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ２０２にロードされて、プロセッサ２０１によって実行される。
プロセッサ２０１は、ＯＳを実行しながら、アラート峻別プログラムを実行する。
ＯＳは、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略称である。

アラート峻別プログラムの入出力データは記憶部２９０に記憶される。
メモリ２０２は記憶部２９０として機能する。但し、補助記憶装置２０３、プロセッサ２０１内のレジスタおよびプロセッサ２０１内のキャッシュメモリなどの記憶装置が、メモリ２０２の代わりに、又は、メモリ２０２と共に、記憶部２９０として機能してもよい。

アラート峻別装置２００は、プロセッサ２０１を代替する複数のプロセッサを備えてもよい。

アラート峻別プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。

図３に基づいて、ユーザ端末装置３００の構成を説明する。
ユーザ端末装置３００は、プロセッサ３０１とメモリ３０２と補助記憶装置３０３と通信装置３０４と入出力インタフェース３０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ３０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ３０１はＣＰＵである。
メモリ３０２は揮発性または不揮発性の記憶装置である。メモリ３０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ３０２はＲＡＭである。メモリ３０２に記憶されたデータは必要に応じて補助記憶装置３０３に保存される。
補助記憶装置３０３は不揮発性の記憶装置である。例えば、補助記憶装置３０３は、ＲＯＭ、ＨＤＤ、フラッシュメモリまたはこれらの組み合わせである。補助記憶装置３０３に記憶されたデータは必要に応じてメモリ３０２にロードされる。
通信装置３０４はレシーバ及びトランスミッタである。例えば、通信装置３０４は通信チップまたはＮＩＣである。ユーザ端末装置３００の通信は通信装置３０４を用いて行われる。
入出力インタフェース３０５は、入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース３０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。ユーザ端末装置３００の入出力は入出力インタフェース３０５を用いて行われる。

ユーザ端末装置３００は、情報収集部３１０と時間帯推定部３２０と作業情報送信部３３０といった要素を備える。これらの要素はソフトウェアで実現される。

補助記憶装置３０３には、情報収集部３１０と時間帯推定部３２０と作業情報送信部３３０としてコンピュータを機能させるためのユーザ端末プログラムが記憶されている。ユーザ端末プログラムは、メモリ３０２にロードされて、プロセッサ３０１によって実行される。
補助記憶装置３０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ３０２にロードされて、プロセッサ３０１によって実行される。
プロセッサ３０１は、ＯＳを実行しながら、ユーザ端末プログラムを実行する。

ユーザ端末プログラムの入出力データは記憶部３９０に記憶される。
メモリ３０２は記憶部３９０として機能する。但し、補助記憶装置３０３、プロセッサ３０１内のレジスタおよびプロセッサ３０１内のキャッシュメモリなどの記憶装置が、メモリ３０２の代わりに、又は、メモリ３０２と共に、記憶部３９０として機能してもよい。

ユーザ端末装置３００は、プロセッサ３０１を代替する複数のプロセッサを備えてもよい。

ユーザ端末プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。

＊＊＊動作の説明＊＊＊
アラート峻別システム１００（特にアラート峻別装置２００）の動作の手順はアラート峻別方法に相当する。また、アラート峻別装置２００の動作の手順はアラート峻別プログラムによる処理の手順に相当する。

図４に基づいて、アラート峻別方法を説明する。
ステップＳ１１０において、情報収集部３１０は、利用システム１１０から作業タイミング情報１２０を収集する。

利用システム１１０は、業務システムおよびその他システムである。
業務システムは、例えば、メーラ、オンライン会議システムおよびワークフローシステムなどである。
その他システムは、例えば、キーボードおよびマイクなどである。

作業タイミング情報１２０は、利用システム１１０を利用して行われた作業のタイミングを示す。具体的には、作業タイミング情報１２０は、作業タイミング情報１２０は、作業種類識別子、ユーザ特定情報および時間帯情報を示す。
作業種類識別子は、行われた作業の種類を識別する。
ユーザ特定情報は、作業を行ったユーザを特定する情報である。ユーザ特定情報の具体例はユーザ識別子およびユーザ端末識別子である。ユーザ識別子はユーザを識別し、ユーザ端末識別子はユーザ端末装置３００を識別する。
時間帯情報は、作業の開始時刻と作業の終了時刻の少なくとも一方を示す。

図５に基づいて、ステップＳ１１０の具体例を説明する。
情報収集部３１０は、ＷＦシステムに対するクロールおよびスクレイプによって、ＷＦシステムからＷＦ情報を取得する。ＷＦ情報はＷＦの提出時刻またはＷＦの検印時刻を示す。また、ＷＦシステムからログが出力されているのであれば、ログから時刻を取得することができる。これらは、ＷＦシステムから情報を収集する方法の一例である。ＷＦはワークフローの略称である。ＷＦシステムの一例は経理システムおよび稟議システムである。
情報収集部３１０は、勤怠システムに対するクロールおよびスクレイプによって、勤怠システムから勤怠情報を取得する。勤怠情報は勤務開始時刻、勤務終了時刻、休憩開始時刻および休憩終了時刻を示す。
情報収集部３１０は、チャットシステムからチャットをエクスポートすることによって、チャットシステムからチャット情報を取得する。また、チャットシステムから発信履歴のログが出力されているのであれば、ログから時刻を取得することができる。これらは、チャットシステムから情報を収集する方法の一例である。
情報収集部３１０は、メーラまたはスケジューラからスケジュールをエクスポートすることによって、メーラまたはスケジューラからスケジュール情報または会議情報を取得する。スケジュール情報は、移動中の時間帯および外出中の時間帯を示す。例えば、スケジューラ情報は、スケジュールに対して自然言語処理を実行することによって得られる。会議情報は、ユーザが主催者となっている会議の時間帯を示す。また、スケジュール情報にアクセスできるＡＰＩが用意されていれば、ＡＰＩを利用して会議時間帯の情報を得ることができる。これらは、メーラまたはスケジュールから情報を収集する方法の一例である。ＡＰＩはＡｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅの略称である。
情報収集部３１０は、入退システムで管理される入退ログから入退情報を取得する。入退情報は、特定の部屋への入室時刻および特定の部屋からの退室時刻を示す。

図６に基づいて、ステップＳ１１０の具体例を説明する。
情報収集部３１０は、会議システムで使用されるマイクデバイスから音声入力情報を取得する。音声入力情報はユーザが発言している時間帯を示す。
情報収集部３１０は、ウィンドウシステムから画面情報を取得する。画面情報はアクティブウィンドウのプロセス名およびプロセスがアクティブである時間帯を示す。例えば、情報収集部３１０は、アクティブウィンドウのハンドルをＡＰＩで特定し、ハンドルからプロセス名を取得する。
情報収集部３１０は、会議システムから共有ファイル情報を取得する。共有ファイル情報は、オンライン会議で使用されたファイル（共有ファイル）がオープンしていた時間帯を示す。例えば、Ｗｉｎｄｏｗｓ ＯＳが使用される場合、情報収集部３１０は、ｏｐｅｎｆｉｌｅｓコマンドを実行することによって、オープンしているファイルの情報を取得する。オープン中のファイルは共有中のファイルであると仮定する。「Ｗｉｎｄｏｗｓ」は登録商標である。
情報収集部３１０は、ファイルシステムからファイル編集情報を取得する。ファイル編集情報は、ファイルが編集されていた時間帯を示す。例えば、情報収集部３１０は、ファイルシステムで管理される監査ログに基づいて、ファイルアクセスに関する情報を取得する。なお、収集される情報および収集方法は、必要に応じて適宜に追加される。

図４に戻り、ステップＳ１２０から説明を続ける。
ステップＳ１２０において、時間帯推定部３２０は、所要時間ＤＢ３９１を参照し、収集された作業タイミング情報１２０のうち開始時刻と終了時刻の一方だけが示される作業タイミング情報１２０ごとに、作業時間帯を推定する。
具体的には、時間帯推定部３２０は、作業タイミング情報１２０に示される開始時刻または終了時刻と所要時間ＤＢ３９１に示される所要時間に基づいて、作業時間帯を推定する。
作業時間帯は、作業が行われた時間帯である。つまり、作業時間帯は、作業の開始時刻から作業の終了時刻までの時間帯である。

所要時間ＤＢ３９１には、作業の種類ごとに所要時間情報が登録される。
所要時間情報は、作業の所要時間を示す。具体的には、所要時間情報は、作業種類識別子と所要時間と優先度を互いに対応付けて示す。
所要時間は、作業に要する時間である。
ＤＢは、データベースの略称である。

また、時間帯推定部３２０は、所要時間ＤＢ３９１を参照し、収集された各作業タイミング情報の優先度を特定する。

図７に、所要時間ＤＢ３９１の具体例を示す。
所要時間ＤＢ３９１は、作業の種類ごとに、作業種類識別子、最低所要時間および優先度を示している。
最低所要時間は、作業に要する最低限の時間である。
メール送信の最低所要時間は、１０秒である。但し、最低所要時間は１０秒でなくてもよい。
チャット送信の最低所要時間は、１行あたり５秒である。但し、最低所要時間は１行あたり５秒でなくてもよい。
会議のように時間帯が予め決められる場合、所要時間ＤＢ３９１は、予め決められた時間帯を示してもよい。

図４に戻り、ステップＳ１２０の説明を続ける。
時間帯推定部３２０は、作業タイミング情報１２０ごとに、作業情報１３０を生成する。
作業情報１３０は、作業が行われた時間帯を示す。具体的には、作業情報１３０は、作業種類識別子、ユーザ特定情報、時間帯情報および優先度を示す。
時間帯情報は、作業の開始時刻および作業の終了時刻を示す。

図８に、時間帯推定部３２０の動作の概要を示す。
図９および図１０に基づいて、ステップＳ１２０の手順を説明する。ステップＳ１２１からステップＳ１２９は、作業タイミング情報１２０ごとに実行される。
ステップＳ１２１において、時間帯推定部３２０は、所要時間ＤＢ３９１を参照し、作業タイミング情報１２０の作業種類識別子と同じ作業種類識別子を検索する。
作業タイミング情報１２０の作業種類識別子と同じ作業種類識別子を、該当識別子と称する。
該当識別子が見つかった場合、処理はステップＳ１２２に進む。
該当識別子が見つからなかった場合、処理はステップＳ１２６に進む。

ステップＳ１２２において、時間帯推定部３２０は、作業タイミング情報１２０において不明時刻があるか判定する。
不明時刻は、不明な開始時刻または不明な終了時刻である。
不明時刻がある場合、処理はステップＳ１２３に進む。
不明時刻がない場合、処理はステップＳ１２４に進む。

ステップＳ１２３において、時間帯推定部３２０は、所要時間ＤＢ３９１から、該当識別子に対応付けられた所要時間を取得する。
そして、時間帯推定部３２０は、作業タイミング情報１２０に示される開始時刻または終了時刻と取得された所要時間に基づいて、不明時刻を推定する。
不明時刻が終了時刻である場合、時間帯推定部３２０は、開始時刻から所要時間後の時刻を算出する。算出された時刻が、推定された不明時刻である。
不明時刻が開始時刻である場合、時間帯推定部３２０は、終了時刻より所要時間前の時刻を算出する。算出された時刻が、推定された不明時刻である。

ステップＳ１２４において、時間帯推定部３２０は、所要時間ＤＢ３９１から、該当識別子に対応付けられた優先度を取得する。

ステップＳ１２５において、時間帯推定部３２０は、作業タイミング情報１２０と推定された不明時刻と取得された優先度を用いて、作業情報１３０を生成する。
そして、時間帯推定部３２０は、生成された作業情報１３０を作業情報送信部３３０に渡す。
作業情報１３０は、作業種類識別子、ユーザ特定情報、時間帯情報および優先度を示す。

ステップＳ１２６において、時間帯推定部３２０は、作業タイミング情報１２０において不明時刻があるか判定する。
不明時刻がある場合、処理はステップＳ１２７に進む。
不明時刻がない場合、処理はステップＳ１２８に進む。

ステップＳ１２７において、時間帯推定部３２０は、デフォルト所要時間を取得する。
デフォルト所要時間は、予め決められた所要時間である。例えば、デフォルト所要時間は、所要時間ＤＢ３９１に予め登録される。
そして、時間帯推定部３２０は、作業タイミング情報１２０に示される開始時刻または終了時刻とデフォルト所要時間に基づいて、不明時刻を推定する。推定方法は、ステップＳ１２３における方法と同じである。

ステップＳ１２８において、時間帯推定部３２０はデフォルト優先度を取得する。
デフォルト優先度は、予め決められた優先度である。例えば、デフォルト優先度は、所要時間ＤＢ３９１に予め登録される。

ステップＳ１２９において、時間帯推定部３２０は、作業タイミング情報１２０と推定された不明時刻とデフォルト優先度を用いて、作業情報１３０を生成する。
そしＳて、時間帯推定部３２０は、生成された作業情報１３０を作業情報送信部３３０に渡す。

図４に戻り、ステップＳ１３０から説明を続ける。
ステップＳ１３０において、作業情報送信部３３０は、作業情報１３０をアラート峻別装置２００へ送信する。
作業情報送信部３３０は、作業情報１３０を暗号化し、暗号化された作業情報１３０を送信してもよい。暗号化鍵は記憶部３９０に予め記憶される。

ステップＳ１４０において、作業情報受信部２２０は、ユーザ端末装置３００から作業情報１３０を受信する。
作業情報１３０が暗号化される場合、作業情報受信部２２０は、暗号化された作業情報１３０を受信し、暗号化された作業情報１３０から作業情報１３０を復号する。復号鍵は記憶部２９０に予め記憶される。

図１１に基づいて、ステップＳ１３０およびステップＳ１４０の具体例を説明する。
プロキシサーバは、ログ情報を収集する機能を有する。プロキシサーバによって収集されたログ情報は、例えばログ分析部２１０によって、ログＤＢ２９１に登録される。
ビーコン用サーバは、ステップＳ１３０のために用意されたサーバ（テンポラリサーバ）である。
まず、作業情報送信部３３０は、ビーコン用サーバへのｈｔｔｐリクエストを生成する。
次に、作業情報送信部３３０は、作業情報１３０を暗号化し、暗号化された作業情報１３０をＧＥＴパラメータとしてｈｔｔｐリクエストに埋め込む。
そして、作業情報送信部３３０は、ｈｔｔｐリクエストを送信する。
プロキシサーバは、ｈｔｔｐリクエストを受信し、ｈｔｔｐリクエストを記録し、ｈｔｔｐリクエストをビーコン用サーバへ送信する。
作業情報受信部２２０は、プロキシサーバからｈｔｔｐリクエストを取得し、暗号化された作業情報１３０をｈｔｔｐリクエストから抽出し、暗号化された作業情報１３０から作業情報１３０を復号する。
そして、作業情報受信部２２０は、作業情報１３０を作業情報ＤＢ２９４に登録する。
但し、作業情報１３０は暗号化されなくてもよい。

図１２に基づいて、ステップＳ１３０およびステップＳ１４０の具体例を説明する。
作業情報送信部３３０は、作業情報１３０を暗号化し、暗号化された作業情報１３０をアラート峻別装置２００へ送信する。
作業情報受信部２２０は、暗号化された作業情報１３０を受信し、暗号化された作業情報１３０から作業情報１３０を復号し、作業情報１３０を作業情報ＤＢ２９４に登録する。
但し、作業情報１３０は暗号化されなくてもよい。

図４に戻り、ステップＳ１５０から説明を続ける。
ステップＳ１５０において、アラート峻別部２３０は、作業情報１３０を参照し、アラートＤＢ２９２に登録された１つ以上のアラート情報１４０から、少なくともいずれかの作業情報１３０に示される作業時間帯に発生したアラート情報１４０を峻別する。
アラートＤＢ２９２には、１つ以上のアラート情報が登録される。１つ以上のアラート情報は、ログ分析部２１０によって生成されてアラートＤＢ２９２に登録される。ログ分析部２１０は、ログＤＢ２９１に登録された１つ以上のログ情報を分析することによって、１つ以上のアラート情報を生成する。
ログ情報は、ログ種類識別子、時刻およびユーザ特定情報を含む。ログの種類によっては、ログ情報は、さらに、アクセスされたＵＲＬの情報、アクセスされたファイルの情報、認証成功の可否などの情報を含む。ログ種類識別子は、ウェブアクセスログまたは認証ログなどのログ種類を識別する。ログ情報は、ユーザ端末装置３００を管理する顧客システムによってログ種類ごとに記録され、顧客システムまたはクラウドシステムからアラート峻別装置２００へ提供される。
アラート情報は、ログ種類識別子、時刻およびユーザ特定情報を示す。

また、アラート峻別部２３０は、作業情報１３０に示される優先度を、峻別されたアラート情報１４０に付加する。

そして、アラート峻別部２３０は、峻別されたアラート情報１４０をアラート峻別ＤＢ２９３に登録する。

図１３に基づいて、ステップＳ１５０を補足する。
アラート峻別部２３０は、作業情報ＤＢ２９４に登録された作業情報１３０ごとに、以下のように動作する。
まず、アラート峻別部２３０は、作業情報１３０のユーザ特定情報と合致するユーザ特定情報を含んだアラート情報１４０をアラートＤＢ２９２から抽出する。
次に、アラート峻別部２３０は、抽出されたアラート情報１４０から、作業情報１３０の時間帯情報に示される作業時間帯の時刻を示すアラート情報１４０を抽出する。抽出されたアラート情報１４０が峻別されたアラート情報１４０である。
次に、アラート峻別部２３０は、抽出された各アラート情報１４０に、作業情報１３０に示される優先度を付加する。
そして、アラート峻別部２３０は、優先度が付加された各アラート情報１４０をアラート峻別ＤＢ２９３に登録する。

図４に戻り、ステップＳ１６０を説明する。
ステップＳ１６０において、アラート出力部２４０は、峻別されたアラート情報１４０を出力する。
例えば、アラート出力部２４０は、アラート峻別ＤＢ２９３に登録されたアラート情報１４０をディスプレイに表示する。

＊＊＊実施の形態１の効果＊＊＊
アラート峻別システム１００、ＳＯＣ業務に適用することができる。アラート峻別装置２００は、ＳＯＣ業務用の端末として使用される。ＳＯＣはＳｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒの略称である。
図１４に、従来システムによるＳＯＣ業務を示す。
従来システムによるＳＯＣ業務では、大量のアラートが発生する。ＳＯＣ業務の効率化のためには、優先度の高いアラートを特定する必要がある。
図１５に、アラート峻別システム１００によるＳＯＣ業務を示す。
ユーザ端末装置３００は、ユーザが作業に集中している時間帯（作業時間帯）を特定する。具体的には、ユーザ端末装置３００は、作業の開始時刻または作業の終了時刻と所要時間ΔＴに基づいて作業時間帯を特定する。
全ての作業において開始時刻と終了時刻の両方をトラッキングすることは大変である。開始時刻と終了時刻の一方をトラッキングすることができれば、ユーザ端末装置３００は所要時間ΔＴを用いて作業時間帯を特定することができる。つまり、ユーザ端末装置３００は、作業時間帯を明確に収集できない作業の作業時間帯を推定することが可能である。
そして、ユーザ端末装置３００は、作業時間帯を示す情報（作業情報）をアラート峻別装置２００へ通知する。
アラート峻別装置２００は、作業情報をアラートと突合し、ユーザが起こし得ないアラートを特定する。つまり、アラート峻別装置２００は、作業情報に示される作業時間帯に基づいて、既存システムから発報されたアラートから優先度の高いアラートを絞り込む。
これにより、攻撃者に使われる正規プロセスをあらかじめ列挙する必要なく、優先度の高いアラートを特定することができる。そして、ＳＯＣ業務が効率化される。

＊＊＊実施の形態１の補足＊＊＊
所要時間ΔＴについて補足する。
会議システムのログ、スケジューラの情報、マイクの（発話）状態のセンシングにおいて、作業の開始時刻と作業の終了時刻を推定することが可能である。この場合、所要時間ΔＴは不要である。
メールシステムでは、メール送信のタイミングだけが記録に残る。そのため、ユーザがどの程度作業していたのかは不明である。メールの送信前には宛先チェックが行われる。例えば、宛先チェックに要する時間が所要時間ΔＴとなる。
ＷＦシステムでは、ＷＦの提出とＷＦの承認のそれぞれのタイミングだけが記録に残る。そのため、ユーザがどの程度作業していたのかは不明である。ＷＦの提出またはＷＦの承認の前には内容チェックが行われる。例えば、内容チェックに要する時間が所要時間ΔＴとなる。
作業ごとの所要時間ΔＴは、例えば、手作業で決められる。但し、エージェントがユーザ端末装置３００にインストールされ、所要時間ΔＴを決める準備期間のみエージェントが作業に要する統計情報を収集し、収集された情報に基づいて所要時間ΔＴが決められてもよい。

実施の形態２．
所要時間ＤＢ３９１を構築する形態について、主に実施の形態１と異なる点を図１６から図１８に基づいて説明する。

＊＊＊構成の説明＊＊＊
図１６に基づいて、アラート峻別システム１００の構成を説明する。
アラート峻別システム１００の構成は、実施の形態１における構成と同様である。但し、ユーザ端末装置３００の構成が実施の形態１における構成と異なる。
ユーザ端末装置３００は、さらに、ＤＢ構築部３４０という要素を備える。ＤＢ構築部３４０はソフトウェアで実現される。
ユーザ端末プログラムは、さらに、ＤＢ構築部３４０としてコンピュータを機能させる。

＊＊＊動作の説明＊＊＊
図１７に基づいて、ＤＢ構築部３４０の動作を説明する。
ＤＢ構築部３４０は、実施の形態１のステップＳ１１０からステップＳ１６０が実行される前の準備期間に動作する。

まず、ＤＢ構築部３４０は、作業の種類ごとに、利用システム１１０に対するユーザ端末装置３００の操作情報１５０を取得する。
操作情報１５０は、操作種類識別子および操作時刻を示す。
操作種類識別子は、ユーザ端末装置３００によって利用システム１１０に対して行われた操作の種類を識別する。
操作時刻は、ユーザ端末装置３００によって利用システム１１０に対して操作が行われた時刻である。

次に、ＤＢ構築部３４０は、利用システム１１０における作業ごとに、操作情報１５０に基づいて作業時間を算出する。
作業時間は、作業に要した時間である。例えば、作業時間は、開始操作の時刻から終了操作の時刻までの時間である。

次に、ＤＢ構築部３４０は、作業の種類ごとに、作業時間の統計情報を算出する。
統計情報の具体例は、作業時間の平均および作業時間の標準偏差である。

次に、ＤＢ構築部３４０は、作業の種類ごとに、統計情報に基づいて所要時間を算出する。例えば、所要時間は以下の式を計算することによって算出される。
ＴＩ＝ＡＶ－（３×ＳＤ）
「ＴＩ」は、所要時間である。
「ＡＶ」は、作業時間の平均である。
「ＳＤ」は、作業時間の標準偏差である。

そして、ＤＢ構築部３４０は、作業の種類ごとに、算出された所要時間を示す所要時間情報を生成して所要時間ＤＢ３９１に登録する。
なお、作業の種類ごとに優先度は予め決められている。

図１８に基づいて、ＤＢ構築部３４０の動作の具体例を説明する。
ＤＢ構築部３４０は、ＷＦシステムに対する入力のタイミングを監視し、ＷＦ作業時間を取得する。作業の開始時刻および作業の終了時刻は操作情報１５０に基づいて特定される。ＷＦ作業時間は、ＷＦシステムにおける作業時間である。例えば、ＷＦ作業時間は、起票から提出までの時間、または、承認画面のオープンから承認までの時刻である。
ＤＢ構築部３４０は、メーラのアドイン機能を使って、メール作成時間を取得する。メール作成時間は、メールの作成のための作業時間である。例えば、メール作成時間は、メール作成イベントの発生からメール送信イベントの発生までの時間である。
ＤＢ構築部３４０は、キーボード入力を監視するツールを利用し、チャットプロセスに対する文字列の入力を監視する。そして、ＤＢ構築部３４０は、入力された文字列と入力時間に基づいて、キーボード入力速度を算出する。キーボード入力速度は、単位当たりの所要時間を示す。

＊＊＊実施の形態２の効果＊＊＊
アラート峻別システム１００は、操作の統計情報に基づいて所要時間ＤＢ３９１を構築する。具体的には、アラート峻別システム１００は、作業ごとに所要時間を所要時間ＤＢ３９１に登録する。
準備期間中に、エージェント（ＤＢ構築部３４０）が各ユーザ端末装置３００に導入される。エージェントは、作業に要した時間を記録する。例えば、メールの送信時間およびＷＦ提出時間が記録される。そして、エージェントは、記録された時間の統計（平均、標準偏差など）に基づいて所要時間ＤＢ３９１を構築する。
これにより、所要時間ＤＢ３９１を手作業ではなく自動的に作成することができる。

＊＊＊実施の形態２の補足＊＊＊
ユーザ別の所要時間が算出され登録されてもよいし、全てのユーザに共通の所要時間が算出され登録されてもよい。

＊＊＊実施の形態の補足＊＊＊
アラート峻別装置２００およびユーザ端末装置３００の各要素は、ソフトウェア、ハードウェア、ファームウェアまたはこれらの組み合わせのいずれで実現されてもよい。
アラート峻別装置２００およびユーザ端末装置３００の各要素の「部」は、「処理」、「工程」、「回路」または「サーキットリ」と読み替えてもよい。

１００ アラート峻別システム、１１０ 利用システム、１２０ 作業タイミング情報、１３０ 作業情報、１４０ アラート情報、１５０ 操作情報、２００ アラート峻別装置、２０１ プロセッサ、２０２ メモリ、２０３ 補助記憶装置、２０４ 通信装置、２０５ 入出力インタフェース、２１０ ログ分析部、２２０ 作業情報受信部、２３０ アラート峻別部、２４０ アラート出力部、２９０ 記憶部、２９１ ログＤＢ、２９２ アラートＤＢ、２９３ アラート峻別ＤＢ、２９４ 作業情報ＤＢ、３００ ユーザ端末装置、３０１ プロセッサ、３０２ メモリ、３０３ 補助記憶装置、３０４ 通信装置、３０５ 入出力インタフェース、３１０ 情報収集部、３２０ 時間帯推定部、３３０ 作業情報送信部、３４０ ＤＢ構築部、３９０ 記憶部、３９１ 所要時間ＤＢ。

Claims (9)

1. 作業の開始時刻と前記作業の終了時刻の少なくとも一方を示す作業タイミング情報を収集する情報収集部と、
   収集された作業タイミング情報のうち前記開始時刻と前記終了時刻の一方だけが示される作業タイミング情報ごとに、前記作業の種類と、前記作業タイミング情報に示される前記開始時刻または前記終了時刻と、に基づいて、前記開始時刻から前記終了時刻までの作業時間帯を推定する時間帯推定部と、
   前記開始時刻と前記終了時刻の両方を示す各作業タイミング情報の前記開始時刻から前記終了時刻までの作業時間帯を示す作業情報と、前記開始時刻と前記終了時刻の一方だけを示す各作業タイミング情報の推定された作業時間帯を示す作業情報と、を参照し、アラートデータベースに登録された１つ以上のアラート情報から、少なくともいずれかの作業情報に示される作業時間帯に発生したアラート情報を峻別するアラート峻別部と、
   を備えるアラート峻別システム。
2. 前記作業タイミング情報は、前記作業の前記種類を示し、
   前記時間帯推定部は、作業の所要時間を示す所要時間情報が作業の種類ごとに登録された所要時間データベースを参照し、収集された作業タイミング情報のうち前記開始時刻と前記終了時刻の一方だけが示される作業タイミング情報ごとに、前記作業タイミング情報に示される前記開始時刻または前記終了時刻と、前記作業タイミング情報に対応する前記所要時間情報に示される前記所要時間と、に基づいて前記作業時間帯を推定する
   請求項１に記載のアラート峻別システム。
3. 前記作業タイミング情報が収集される前の準備期間に、作業の種類ごとに作業のための操作が行われた操作時刻を示す操作情報を収集し、収集された操作情報に基づいて前記所要時間を算出し、前記所要時間情報を前記所要時間データベースに登録するデータベース構築部を備える
   請求項２に記載のアラート峻別システム。
4. 前記データベース構築部は、作業の種類ごとに各操作情報に示される操作時刻に基づいて前記作業に要した作業時間を算出し、算出された作業時間の統計情報を算出し、算出された統計情報に基づいて前記所要時間を算出する
   請求項３に記載のアラート峻別システム。
5. 作業の開始時刻と前記作業の終了時刻の少なくとも一方を示す作業タイミング情報を収集し、
   収集された作業タイミング情報のうち前記開始時刻と前記終了時刻の一方だけが示される作業タイミング情報ごとに、前記作業の種類と、前記作業タイミング情報に示される前記開始時刻または前記終了時刻と、に基づいて、前記開始時刻から前記終了時刻までの作業時間帯を推定し、
   前記開始時刻と前記終了時刻の両方を示す各作業タイミング情報の前記開始時刻から前記終了時刻までの作業時間帯を示す作業情報と、前記開始時刻と前記終了時刻の一方だけを示す各作業タイミング情報の推定された作業時間帯を示す作業情報と、を参照し、アラートデータベースに登録された１つ以上のアラート情報から、少なくともいずれかの作業情報に示される作業時間帯に発生したアラート情報を峻別する
   アラート峻別方法。
6. 作業の開始時刻と前記作業の終了時刻の少なくとも一方を示す作業タイミング情報を収集する情報収集部と、
   収集された作業タイミング情報のうち前記開始時刻と前記終了時刻の一方だけが示される作業タイミング情報ごとに、前記作業の種類と、前記作業タイミング情報に示される前記開始時刻または前記終了時刻と、に基づいて、前記開始時刻から前記終了時刻までの作業時間帯を推定する時間帯推定部と、
   前記開始時刻と前記終了時刻の両方を示す各作業タイミング情報の前記開始時刻から前記終了時刻までの作業時間帯を示す作業情報と、前記開始時刻と前記終了時刻の一方だけを示す各作業タイミング情報の推定された作業時間帯を示す作業情報と、をアラート峻別装置へ送信する作業情報送信部と、
   を備えるユーザ端末装置。
7. 作業の開始時刻と前記作業の終了時刻の少なくとも一方を示す作業タイミング情報を収集する情報収集処理と、
   収集された作業タイミング情報のうち前記開始時刻と前記終了時刻の一方だけが示される作業タイミング情報ごとに、前記作業の種類と、前記作業タイミング情報に示される前記開始時刻または前記終了時刻と、に基づいて、前記開始時刻から前記終了時刻までの作業時間帯を推定する時間帯推定処理と、
   前記開始時刻と前記終了時刻の両方を示す各作業タイミング情報の前記開始時刻から前記終了時刻までの作業時間帯を示す作業情報と、前記開始時刻と前記終了時刻の一方だけを示す各作業タイミング情報の推定された作業時間帯を示す作業情報と、をアラート峻別装置へ送信する作業情報送信処理と、
   をコンピュータに実行させるためのユーザ端末プログラム。
8. 作業の開始時刻から前記作業の終了時刻までの作業時間帯を示す各作業情報をユーザ端末装置から受信する作業情報受信部と、
   受信された各作業情報を参照し、アラートデータベースに登録された１つ以上のアラート情報から、少なくともいずれかの作業情報に示される作業時間帯に発生したアラート情報を峻別するアラート峻別部と、
   を備えるアラート峻別装置。
9. 作業の開始時刻から前記作業の終了時刻までの作業時間帯を示す各作業情報をユーザ端末装置から受信する作業情報受信処理と、
   受信された各作業情報を参照し、アラートデータベースに登録された１つ以上のアラート情報から、少なくともいずれかの作業情報に示される作業時間帯に発生したアラート情報を峻別するアラート峻別処理と、
   をコンピュータに実行させるためのアラート峻別プログラム。

Images