JP4317420B2 - サーバ計算機および通信ログの処理方法 - Google Patents

Description

この発明は、ネットワーク上に流れる通信／接続に関する履歴（通信ログ）の処理に関するものであり、特に、１以上の計算機が接続された通信網（ネットワーク）において、それぞれの計算機から送信される通信ログを用いて各計算機および通信網を管理するためのサーバ計算機、その通信ログを送信する計算機、あるいは、その通信ログの処理方法に関するものである。

従来の計算機ネットワークでは、例えば、ＵＮＩＸ（登録商標）／Ｌｉｎｕｘ（登録商標）のＯＳ（オペレーティング・システム）で用いられる「ｓｙｓｌｏｇ」や、Ｗｉｎｄｏｗｓ（登録商標）のＯＳで用いられる「Ｅｖｅｎｔｌｏｇ」、「ＳＮＭＰ」などのプロトコルを用いて、それぞれの計算機が通信を行った際の通信ログが送信され、これらの通信ログをサーバ計算機等に記録させることで、それぞれの計算機や、通信網を管理する手法が一般的に採用されている。

上記プロトコルの他にも、例えば、「Ａｐａｃｈｅ」などのアプリケーションが上述のＯＳなどに適用されており、これらのアプリケーションでは、通信ログが独自に生成され、通信網上にはさまざまなプロトコル、アプリケーションによる通信ログの送受信が行われている。

一方、通信網を経由して悪意ある情報（コンピュータウィルスやワーム）等を受信したり、不正なネットワーク接続（不正侵入行為そのものや、不正侵入を試みる行為）等が探知され、あるいは、通信障害等が発生した場合には、これらの記録された通信ログを調査することで、その悪意ある情報の発信元や接続元、あるいは障害の原因となっている装置・機器等を特定し、あるいは計算機および通信網を管理するなど、通信ログが積極的に利用されている。

さて、記録された通信ログを用いて、通信網接続された経路を探索する方法としては、例えば、特許文献１に記載された方法が知られている。この特許文献１に示された方法は、つぎに示すような処理を行うものとしている。

すなわち、不審な行為を発見するなどして、接続経路を探索すべき探索対象利用者を検出した計算機は、探索対象利用者に対応する論理的通信路を確立した計算機に対して、該探索対象利用者の利用時刻情報を含む探索要求を転送するステップを実行し、他の計算機から探索要求が転送された計算機は、該探索要求に含まれている探索対象利用者の利用時刻情報が示す利用時刻に自計算機を利用した利用者を選択する第１のステップと、第１のステップで選択した利用者に対応する論理的通信路を確立した計算機があるならば、該計算機に対して、探索対象利用者の利用時刻情報を含む探索要求を転送する第２のステップと、第１のステップで選択した利用者に対応する論理的通信路を確立した計算機がないならば、自計算機の計算機識別子、および、該利用者の自計算機での利用者識別子を探索結果とする第３のステップと、第２のステップで探索要求を転送しなかった場合には、第３のステップで得た探索結果を、自計算機に探索要求を転送した探索要求元の計算機に転送し、第２のステップで探索要求を転送した場合には、探索要求先の計算機から転送された探索結果、および、第３のステップで得た探索結果を、一括して、自計算機に探索要求を転送した探索要求元の計算機に転送する第４のステップとを実行して、一般的に広く採取可能な情報である通信ログのみを用いて、探索対象利用者の接続経路を探索するようにしている。

また、これら探索要求に合わせて探索用プログラムである探索エージェントを転送し、転送先の計算機でこの探索エージェントを起動させることで、複数確立された接続経路をたどって行きながら探索対象利用者を探索するようにしている。

特開平１０−３０１８７７号公報（第１０−１４頁、第４および５図）。

しかしながら、特許文献１などに示される上述の方法（技術）では、以下に示すような問題があった。これらの問題点につて順を追って説明する。

まず、通信網上の計算機に障害が発生した場合には、障害調査として単一の計算機を調査するだけではなく、関連する計算機やアプリケーションなどが出力する複数の通信ログにまで範囲を広げて調査することが一般的である。その一方で、通信ログにはさまざまな形式（プロトコル）が存在していて、これらの形式が相違する通信ログ間では、互換性がないのが一般的である。必然的に、不正侵入を行う攻撃者もそのような瑕疵（互換性の不備）に着目し、追跡調査を困難にすることを狙って複数の通信網を経由させながら不正侵入を試みるような手法が一般的となる。したがって、前述の特許文献１などの手法では、検索対象者が発見されたとしても、その通信ログ探索の途中で、互換性のない通信ログを認識することができなくなることがあり、効果的な探索ができないという問題があった。

また、探索用プログラムを転送先の計算機で起動させるためには、ＯＳなどの基本環境がそろっているという条件が必要となる。しかし、通信網上にある計算機のＯＳをすべて同じものにすることは事実上不可能である。結果として、通信ログ探索の途中でＯＳなどの基本環境が変わってしまうような場合には、探索用プログラムを起動できなくなることがあり、効果的な探索ができないという問題があった。さらに、探索用プログラムという比較的大きいサイズの情報を転送させる必要もあり、その通信ログの探索に要する全体的な通信量が増大し、トラフィックの遅延もしくは通信障害等を引き起こすという問題があった。

また、異常性判断を行うための表示手段においては、テキストファイル等の形式で記録された通信ログを調査して通信ログの内容をグラフ化するなどして、異常性判断を視覚的に行うことを重視したアプリケーションが多数存在している。しかし、通信ログの異常性判断の本質的な点は、経験則等から知得した人為的な判断および作業によって行う他、過去の侵入形態に関する特徴をあらかじめ具体的に定義し、その定義された特徴と合致するものを自動的に抽出するという手法に頼らざるを得ない状況にある。そのため、定義されていない新たな形態で不正侵入されたときには、人為的判断や侵入形態の特徴を定義するまでの間に、これらの侵入を許してしまうという問題があった。

さらに、通信技術の飛躍的進展により通信網の規模も増大し、接続される機器の数も増加する趨勢にある。このような状況下において、一箇所にすべての通信ログを集める場合には、接続される機器の増加に応じて通信ログを集積するサーバ計算機の能力の向上も要求され、その一方で、通信網の通信量の増大によるトラフィックの遅延、あるいは通信障害等を誘発するといった問題があった。

この発明は、上述した従来の欠点に鑑みてなされたものであり、通信網上にある各計算機のＯＳやプロトコルの違いを意識することなしに、形式（プロトコル）の互換性のない通信ログを統一的に扱うことができるサーバ計算機および計算機を提供するとともに通信ログの処理方法を提案することを第１の課題とする。

また、この発明は、通信網上にある各計算機から出力された通信ログに基づいて、速やかに悪意ある情報等を受信したり、不正なネットワーク接続等を探知したり、あるいは、通信障害等を探知したりすることができるサーバ計算機および計算機を提供するとともに通信ログの処理方法を提案することを第２の課題とする。

さらに、この発明は、各通信網において分散配置された通信ログの記録を連携させ、相互の通信網間で横断的に通信ログの探索を行うことができるサーバ計算機を提供するとともに通信ログの処理方法を提案することを第３の課題とする。

そこで、本発明の第１の課題を解決するため、本発明は、各プロトコルに対応したログ変換モジュールを用意しておき、通信網と接続された各計算機から通信ログを受信したときには、そのプロトコルに対応したログ変換モジュールによって特定の統一された形式に変換した上で記録させるものである。また、本発明による計算機は、一つの通信網内において接続された機器からの複数種類の通信ログを、一箇所に集中して管理させ、規模の増大に伴ってサーバ計算機の数を増やし、通信ログ集積用のサーバ計算機を連携させることで、規模の増大に伴う能力増強を図れるようにしたものである。

すなわち、本発明第１の構成によるサーバ計算機は、１以上の計算機が接続された通信網を管理するサーバ計算機であって、１以上のログ変換モジュールと、統一ログ受信モジュールと、当該通信網を介して、あるいは介さずして接続されたログ記憶装置とを備え、前記ログ変換モジュールは、前記通信網に接続された１以上の計算機のそれぞれから受信したプロトコルの異なる通信ログを所定の統一形式ログに変換し、前記統一ログ受信モジュールは、前記統一形式ログを前記ログ記憶装置に記憶させることを特徴とする。

また、本発明第２の構成によるサーバ計算機は、前記統一ログ受信モジュールは、前記統一形式ログとともに、前記通信ログを当該統一形式ログに関連付けて前記ログ記憶装置に記憶させることを特徴とする。

また、本発明第３の構成によるサーバ計算機は、前記ログ変換モジュールは、前記通信ログのプロトコルごとに独立したものとして構成され、前記通信ログのプロトコルごとに前記ログ変換モジュールを追加でき、変更でき、あるいは削除できることを特徴とする。

また、本発明第１２の構成による計算機は、上記のサーバ計算機に備えられた前記ログ変換モジュールに対して、通信ログを出力することを特徴とする。

また、本発明第１３の処理ステップによる通信ログの処理方法は、１以上の計算機が接続された通信網を管理するサーバ計算機における通信ログの処理方法であって、前記通信網に接続された１以上の計算機のそれぞれから受信したプロトコルの異なる通信ログを所定の統一形式ログに変換するログ変換ステップと、前記ログ変換ステップにて変換された統一形式ログを記憶させる統一形式ログ記憶ステップとを含むことを特徴とする。

また、本発明第１４の処理ステップによる通信ログの処理方法は、前記統一形式ログ記憶ステップは、前記統一形式ログとともに、前記通信ログを当該統一形式ログに関連付けて記憶させることを特徴とする。

また、本発明第２の課題を解決するため、本発明は、いわゆる人工知能として用いられる推論手法を用いた判断基準で、通信ログの内容を常時チェックするとともに、受信した通信ログと関連する過去の通信ログをデータベースから検索する機能を備え、これら推論手法を用いた判断基準で、速やかに悪意ある情報等を受信したり、不正なネットワーク接続等を探知したり、あるいは、通信障害等を探知したりするようにしたものである。

すなわち、本発明第４の構成によるサーバ計算機は、所定の推論手法、所定の統計解析的手法あるいはこれらの手法を組み合わせた手法に基づく判断機能を有する１以上の単一ログ検査モジュールをさらに備え、前記統一ログ受信モジュールは、前記統一形式ログを前記単一ログ検査モジュールのいずれか１以上に送信し、前記単一ログ検査モジュールは、当該送信された統一形式ログに含まれるログ情報を検査した検査結果に基づいて前記ログ情報の異常状態を判定することを特徴とする。

また、本発明第５の構成によるサーバ計算機は、所定の推論手法、所定の統計解析的手法あるいはこれらの手法を組み合わせた手法に基づく判断機能を有する１以上のログ関連性検査モジュールをさらに備え、前記統一ログ受信モジュールは、前記統一形式ログを前記ログ関連性検査モジュールのいずれか１以上に送信し、前記ログ関連性検査モジュールは、当該送信された統一形式ログに含まれるログ情報に基づいて前記ログ記憶装置に記憶された過去の統一形式ログを検索し、当該検索された過去ログと当該送信された統一形式ログとの関連性を検査した検査結果に基づいて前記ログ情報の異常状態を判定することを特徴とする。

また、本発明第６の構成によるサーバ計算機は、前記単一ログ検査モジュールおよび前記ログ関連性検査モジュールの１以上の検査モジュールは、前記統一ログ受信モジュールに対して前記検査結果を通知するとともに、前記統一ログ受信モジュールは、前記統一形式ログとともに、前記検査結果を当該統一形式ログに関連付けて前記ログ記憶装置に記憶させることを特徴とする。

また、本発明第７の構成によるサーバ計算機は、前記単一ログ検査モジュールおよび前記ログ関連性検査モジュールの１以上の検査モジュールは、前記判断機能ごとに独立したものとして構成され、前記判断機能ごとに前記検査モジュールを追加でき、変更でき、あるいは削除できることを特徴とする。

また、本発明第１５の処理ステップによる通信ログの処理方法は、所定の推論手法、所定の統計解析的手法あるいはこれらの手法を組み合わせた手法に基づいた判断処理を行う単一ログ検査ステップをさらに備え、前記統一形式ログ記憶ステップは、前記統一形式ログを前記単一ログ検査ステップに伝達し、前記単一ログ検査ステップは、当該伝達された統一形式ログに含まれるログ情報を検査した検査結果に基づいて前記ログ情報の異常状態を判定することを特徴とする。

また、本発明第１６の処理ステップによる通信ログの処理方法は、所定の推論手法、所定の統計解析的手法あるいはこれらの手法を組み合わせた手法に基づいた判断処理を行うログ関連性検査ステップをさらに備え、前記統一形式ログ記憶ステップは、前記統一形式ログを前記ログ関連性検査ステップに伝達し、前記ログ関連性検査ステップは、当該伝達された統一形式ログに含まれるログ情報に基づいて前記統一形式ログ記憶ステップにて記憶されている過去の統一形式ログを検索し、当該検索された過去ログと当該伝達された統一形式ログとの関連性を検査した検査結果に基づいて前記ログ情報の異常状態を判定することを特徴とする。

また、本発明第１７の処理ステップによる通信ログの処理方法は、前記単一ログ検査ステップまたは前記ログ関連性検査ステップは、前記統一形式ログ記憶ステップに前記検査結果を通知するとともに、前記統一形式ログ記憶ステップは、前記統一形式ログとともに、前記検査結果を当該統一形式ログに関連付けて記憶させることを特徴とする。

また、本発明第３の課題を解決するため、本発明によるサーバ計算機は、通信ログの内容をチェック等した結果、悪意ある情報、不正なネットワーク接続、あるいは、通信障害等を発見した場合には、複数の通信網の相互間で連携して通信を行うようにし、その原因となった通信ログの情報を接続可能な他のサーバ計算機に送信するとともに、他のサーバ計算機からそのような情報を受け取った場合には、自身が保存している通信ログの中から受信した通信ログに関連する通信ログを検索し、その結果を返信することで、直接通信することができないサーバ計算機を含めて通信網を横断的に通信ログの検査を行うようにしたものである。

すなわち、本発明第８の構成によるサーバ計算機は、前記単一ログ検査モジュールおよび前記ログ関連性検査モジュールの１以上の検査モジュールは、前記ログ情報を異常と判定したときには、前記通信網あるいは前記通信網の近傍にある他の通信網に接続された他のサーバ計算機に対して、当該異常と判定したログ情報および当該ログ情報に関連する過去の通信ログを異常ログ情報として送信することを特徴とする。

また、本発明第９の構成によるサーバ計算機は、前記ログ関連性検査モジュールの１以上の検査モジュールに対して他のサーバ計算機から前記異常ログ情報が送信された場合に、当該異常ログ情報に含まれる計算機情報に基づいて、前記ログ記憶装置に記憶された過去の統一形式ログを検索し、当該検索された過去ログを前記異常ログ情報を送信したサーバ計算機に対して返信することを特徴とする。

また、本発明第１０の構成によるサーバ計算機は、前記ログ関連性検査モジュールの１以上の検査モジュールに対して他のサーバ計算機から前記異常ログ情報が送信された場合に、前記通信網あるいは前記通信網の近傍にある他の通信網に接続された前記他のサーバ計算機と異なるサーバ計算機に対して前記異常ログ情報を転送するとともに、前記転送の結果、当該転送先のサーバ計算機から過去ログの返信を受けたときには、前記検索された過去ログと当該返信された過去ログとを併せた情報を、前記異常ログ情報を送信したサーバ計算機に対して返信することを特徴とする。

また、本発明第１１の構成によるサーバ計算機は、前記単一ログ検査モジュールおよび前記ログ関連性検査モジュールは、前記異常ログ情報を送信し、転送し、あるいは前記過去ログを返信するときには、当該異常ログ情報の送信先、転送先、あるいは返信先にとって不要な情報をあらかじめ削除することを特徴とする。

この発明によれば、通信網に接続された１以上の計算機のそれぞれから受信したプロトコルの異なる通信ログを所定の統一形式ログに変換し、この統一形式ログをログ記憶装置に記憶させようにしているので、通信網上にある各計算機のＯＳやプロトコルの違いを意識することなく互換性のない通信ログを統一的に扱うことができ、通信網の規模を容易に拡張することができるという効果を奏する。

また、この発明によれば、所定の推論手法、所定の統計解析的手法あるいはこれらの手法を組み合わせた手法に基づく判断機能を活用し、統一形式ログに含まれるログ情報を検査した検査結果に基づいてログ情報の異常状態を判定するようにしているので、不正なネットワーク接続等の探知、あるいは通信障害等の探知を迅速かつ確実に行うことができるという効果を奏する。

また、この発明によれば、ログ情報を異常と判定したときには、通信網あるいは通信網の近傍にある他の通信網に接続された他のサーバ計算機に対して、当該異常と判定したログ情報および当該ログ情報に関連する過去の通信ログを異常ログ情報として送信することで、各通信網において分散配置された通信ログの記録を連携させ、相互の通信網間で横断的に通信ログの探索を行うようにしているので、通信網の規模が増大しても不正なネットワーク接続等の探知、あるいは通信障害等の探知を迅速かつ確実に行うことができるという効果を奏する。

以下、図面を参照して、この発明にかかるサーバ計算機、計算機および通信ログの処理方法の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。

図１は、本発明の実施例１にかかるサーバ計算機および計算機等の構成図である。同図において、サーバ計算機１００は、通信網１５０と、通信網１５０に接続された計算機の管理を行うものであり、プロトコルの種類に対応して備えられる１以上のログ変換モジュール１０１Ａ、１０１Ｂ、１０１Ｃと、統一ログ受信モジュール１０２と、ログ記憶装置１０３とを備えている。また、計算機２０１Ａ、２０２Ａ、２０３Ｂ、２０４Ｃおよび管理者用計算機２０５は、サーバ計算機１００と通信網１５０を介して接続されている。なお、ログ記憶装置１０３は、サーバ計算機１００に直接内蔵される構成として示しているが、サーバ計算機１００の外部に接続される周辺機器として構成されていてもよい。また、通信網１５０を介して接続された他の計算機（図示省略）の中に備えられた記憶装置として構成されていても機能上差し支えない。

つぎに、実施例１に示すサーバ計算機および計算機等の動作について図１および図２を用いて説明する。ここで、図２は、実施例１に示すサーバ計算機および計算機等が行う処理フローを示すフローチャートである。なお、図１において、計算機２０１Ａ、２０２Ａ、２０３Ｂ、２０４Ｃは、サーバ計算機１００に対して、それぞれの計算機が通信ログ２１１Ａ、２１２Ａ、２１３Ｂ、２１４Ｃを出力しているが、これらの通信ログ２１１Ａ、２１２Ａ、２１３Ｂ、２１４Ｃをまとめて「通信ログ２１」と称することにする。

計算機２０１Ａ、２０２Ａは、同一のプロトコル２２Ａに基づいた通信ログ２１１Ａ、２１２Ａをサーバ計算機１００に対してそれぞれ送信する（ステップＳ１０１Ａ）。計算機２０３Ｂは、プロトコル２２Ａとは異なる形式のプロトコル２２Ｂに基づく通信ログ２１３Ｂをサーバ計算機１００に対して送信する（ステップＳ１０１Ｂ）。計算機２０４Ｃは、これらの通信プロトコルとは異なる形式のプロトコル２２Ｃに基づく通信ログ２１４Ｃをサーバ計算機１００に対して送信する（ステップＳ１０１Ｃ）。

また、サーバ計算機１００に備えられたログ変換モジュール１０１Ａ、１０１Ｂ、１０１Ｃは、それぞれの計算機から送信された異なるプロトコル（プロトコル２２Ａ、プロトコル２２Ｂあるいはプロトコル２２Ｃ）の通信ログ２１を受信し（ステップＳ１０２）、通信ログ２１から所定のログ情報を抽出し（ステップＳ１０３）、抽出されたログ情報を所定の統一形式として規定された統一形式ログ１０４に変換する（ステップＳ１０４）。

なお、ログ変換モジュール１０１Ａ、１０１Ｂ、１０１Ｃは、それぞれが通信ログ２１の形式（プロトコル）ごとに独立したものであり、通信ログ２１の形式ごとにログ変換モジュールを追加でき、変更でき、あるいは削除できる。すなわち、ログ変換モジュールは、通信ログ２１の形式（プロトコル）ごとに独立したソフトウエアとして構成されている。したがって、サーバ計算機１００は、必要に応じた、ソフトウエアの追加、変更あるいは削除により、通信網１５０に接続された各計算機で用いられるプロトコルごとに、これらのログ変換モジュール管理することができる。

サーバ計算機１００におけるこれらのソフトウエア管理は、サーバ計算機１００のディスプレイ装置やキーボード（ともに図示省略）などの入出力装置で直接操作してもよいし、通信網１５０上にある管理者用計算機２０５からの遠隔操作によって行ってもよい。また、通信網１５０と接続された別の通信網上にある計算機（ともに図示省略）からの遠隔操作で行ってもよい。つまり、当該通信網の管理者が、サーバ計算機１００へのアクセスや管理を可能とした入出力手段が提供されれば、如何なる形態であっても支障ない。

さらに、変換された統一形式ログ１０４を受け取った統一ログ受信モジュール１０２は、統一形式ログ１０４の記憶命令（データベースに応じた形式で）を出力し、ログ記憶装置１０３に統一形式ログ１０４を記憶させる（ステップＳ１０５）。なお、統一ログ受信モジュール１０２は、統一形式ログ１０４とともに、受信した通信ログ２１そのものを関連付けてログ記憶装置１０３に記憶させるように命令することが好適である。

このように、通信網１５０の上にある計算機２０１Ａ、２０２Ａ、２０３Ｂ、２０４Ｃから通信ログ２１が出力されたときには、いずれかのログ変換モジュール１０１Ａ、１０１Ｂ、１０１Ｃにて、統一形式ログ１０４が作成され、統一ログ受信モジュール１０２は、ログ記憶装置１０３に統一形式ログ１０４を記録させることとなる。

以上説明したように、この実施例にかかるサーバ計算機、あるいは通信ログの処理方法によれば、異なるプロトコルのそれぞれに対応したログ変換モジュールを用意しておき、通信網と接続されたそれぞれの計算機から通信ログを受信したときには、そのプロトコルに対応したログ変換モジュールにて特定の統一された形式に変換した上でログ情報を記憶させるようにしているので、一つの通信網内において接続された機器からの複数種類の通信ログを、一箇所に集中して管理させることを可能とし、また、規模の増大に伴って通信ログ集積用のサーバ計算機の数を増加させるとともに、これらのサーバ計算機を連携させることで、規模の増大に伴う能力増強を図れることができ、通信網上にある各計算機のＯＳやプロトコルの違いを意識することなしに、形式（プロトコル）の異なる互換性のない通信ログを統一的に扱うことができ、かつ通信網の規模の拡張を容易に実現することができる。

図３は、本発明の実施例２にかかるサーバ計算機および計算機等の構成図である。同図において、図１の実施例１に示す構成と同一あるいは同等の部分については、同一の符号を付して示しており、これらの同一部分にかかる説明は省略する。

図３において、サーバ計算機１００は、実施例１で説明した構成に加え、人工知能的な推論手法や、統計解析的手法、あるいは、これらを組み合わせた手法を利用した判断機能を有する１以上の単一ログ検査モジュール１０５Ａ、１０５Ｂとログ関連性検査モジュール１０６Ａ、１０６Ｂとを備えている。なお、人工知能的な推論手法とは、例えば、遺伝的アルゴリズム、ニューラルネットワークあるいはファジィ理論などを用いた手法であり、統計解析的手法とは、定常状態の分布に対する異常度（危険度）などを用いて統計的に処理する手法である。その他にも、通信ログ内の所定の情報の特徴が一致するか否かを判定するような単純な処理手法も適用できる。

つぎに、実施例２に示すサーバ計算機および計算機等の動作について図３および図４を用いて説明する。なお、図４は、実施例２に示すサーバ計算機および計算機等が行う処理フローを示すフローチャートであり、統一形式ログがログ記憶装置１０３にあらかじめ記憶されており、この状態において、計算機２０４Ｃから送信された通信ログ２１４Ｃを検査対象として検査する場合の処理フローを示している。

図４において、計算機２０４Ｃから検査対象の通信ログ２１４Ｃ（プロトコル２２Ｃ）が送信される（ステップＳ２０１）。サーバ計算機１００に備えられたログ変換モジュール１０１Ｃは、通信ログ２１４Ｃを受信し（ステップＳ２０２）、この通信ログ２１４Ｃから所定のログ情報を抽出し（ステップＳ２０３）、抽出されたログ情報を統一形式ログ１０４に変換し（ステップＳ２０４）、記憶命令を発出してこの統一形式ログ１０４を記憶させる（ステップＳ２０５）。なお、これらのステップＳ２０１〜２０５までの一連の処理は、図２に示す実施例１のステップＳ１０１〜１０５の各処理と同一である。

また、単一ログ検査モジュール１０５Ａ、１０５Ｂ、およびログ関連性検査モジュール１０６Ａ、１０６Ｂのいずれか１以上のモジュールには、統一ログ受信モジュール１０２によって統一形式ログ１０４が伝達される。統一形式ログ１０４が伝達された単一ログ検査モジュール１０５Ａ、１０５Ｂは、統一形式ログ１０４に含まれるログ情報に基づいてログ異常度を算出し（ステップＳ２０６）、算出されたログ異常度に基づいて検査対象のログが異常か否かを判定する（ステップＳ２０７）。

また、これらの処理は、ログ関連性検査モジュール１０６Ａ、１０６Ｂにおいても同様である。すなわち、統一形式ログ１０４が伝達されたログ関連性検査モジュール１０６Ａ、１０６Ｂは、ログ記憶装置１０３に記憶された過去の統一形式ログを検索し、その検索された過去ログ１０７と、統一ログ受信モジュール１０２から送信された統一形式ログ１０４との関連性に基づいてログ異常度を算出し（ステップＳ２０６）、算出されたログ異常度に基づいて検査対象のログが異常か否かを判定する（ステップＳ２０７）。なお、この判定処理で行われた判定結果は、統一ログ受信モジュール１０２に対して通知される。

統一ログ受信モジュール１０２は、検査対象のログが異常ではないと判定された場合（ステップＳ２０７、Ｎｏ）には、検査結果を記憶せずに処理を終了する。一方、検査対象のログが異常と判定された場合（ステップＳ２０７、Ｙｅｓ）には、検査結果１０８を記憶させるための記憶命令を発出し、ログ記憶装置１０３に検査結果１０８を記憶させる（ステップＳ２０８）。なお、検査対象のログが異常ではないと判定された場合であっても、検査結果１０８を記憶（例えば、検査対象ログが「正常」として記憶）させてもよいことは勿論である。また、検査結果１０８をログ記憶装置１０３に記憶させる場合に、例えば、統一形式ログ１０４に関連付けて検査結果１０８を記憶させるようにすれば、後述する過去ログの検索処理などにおいて、より効果的な検索処理を行うことができる。

なお、上記の例では、計算機２０４Ｃから通信ログ２１４Ｃが送信される場合を一例として説明したが、計算機２０４Ｂから通信ログ２１３Ｂが送信される場合も同様な処理が行われる。

つぎに、単一ログ検査モジュール１０５Ａ、１０５Ｂの処理機能の詳細について、これらの検査モジュールが、ファジイ理論による判断機能を有する場合を例にとり説明する。

いま、ファジイ理論による判断機能を用いて通信ログのログ異常状態を判定する場合において、事象ベクトルＸ、段階ベクトルＹ、および事象ベクトルＸと段階ベクトルＹとの相関マトリックスＡを、次式にて定義する。

Ｙ^T＝ＡＸ^T ・・・・・（１）

式（１）において、事象ベクトルＸは、「ＥＲＲＯＲ」というメッセージを含んだログ情報を受信する事象Ｘ_ERROR、「ｌｏｇｉｎ ｆａｉｌｅｄ」というメッセージを含んだログ情報を受信する事象Ｘ_FAILED、安全性の確認されていない計算機からの接続を意味するログ情報を受信する事象Ｘ_UNKNOWNなどのように、受信したメッセージと、事象ベクトルＸとの関連付けがなされた状態ベクトルとして、つぎのように表すことができる。

Ｘ＝［Ｘ_ERROR，Ｘ_FAILED，Ｘ_UNKNOWN］ ・・・・・（２）

一方、段階ベクトルＹは、ログの状態のリスクを「致命的」である場合のパラメータＹ₁、「重大」である場合のパラメータＹ₂、「警告」である場合のパラメータＹ₃、「正常」である場合のパラメータＹ₄などのように、その危険度を４段階で定義した段階ベクトルとして、つぎのように表すことができる。

Ｙ＝［Ｙ₁，Ｙ₂，Ｙ₃，Ｙ₄］ ・・・・・（３）

また、式（１）における相関マトリックスＡは、事象ベクトルＸと段階ベクトルＹとを関連付けるために、あらかじめ定められた行列を意味するものである。上記の例では、事象ベクトルＸが３次元のベクトルであり、段階ベクトルＹが４次元のベクトルであるため、相関マトリックスＡは４行３列の大きさを持ち、例えば、つぎのように表すことができる。

いま、通信ログとして、「ＥＲＲＯＲ ＬＯＧＩＮ−ＦＡＩＬＥＤ ＦＲＯＭ 計算機Ａ」というメッセージを受信し、サーバ計算機が計算機Ａが安全であることを知っている場合を想定すると、単一ログ検査モジュール１０５Ａまたは１０５Ｂの中で、次式に示す状態ベクトル（事象ベクトル）Ｘが生成される。

Ｘ＝［１，１，０］ ・・・・・（５）

また、式（１）および式（２）によって、次式に示す段階ベクトルＹが一意的に定まる。

Ｙ＝［０．５，０．６，０．３，０．２］^T ・・・・・（６）

この段階ベクトルＹの各成分の中で、一番高い値を持つものをログの状態として判断するようにすると、式（６）からパラメータＹ₂が最大であるから、ログ異常度は「０．６」として算出され、このログ異常度に基づいて、このログに対する危険度が「重大」であると判定され、ログ記憶装置１０３にこの検査結果が記憶される。

なお、この例では、段階ベクトルＹの各成分の中で、一番高い値を持つものをログの状態として判定したが、所定のしきい値を超えた成分についてのみ判断を行うようにしてもよい。

また、単一ログ検査モジュール１０５Ａまたは１０５Ｂの代わりに、ログ関連性検査モジュール１０６Ａまたは１０６Ｂを用いた判定を行ってもよい。すなわち、それまでに取得した段階ベクトルＹの各成分の統計値（例えば、平均値、標準偏差など）をあらかじめ算出しておき、平均値からの逸脱度などを数値化して所定のしきい値との比較処理を行うような統計解析的手法を用いても好適な結果が得られる。

この他、ファジイ理論以外の判断機能を用いても、好適な結果が得られる。例えば、パターンマッチングを有する判断機能により、ログ異常状態を判定するような手法を用いることもできる。この処理の一例を具体的に示すと、受信した通信ログのメッセージに含まれるパターンと、式（３）にて示される段階ベクトルＹとの相関をとる。このとき、受信したメッセージに「パターンａ₁」と「パターンａ₂」とを、ともに含む場合はＹ₁＝１とし、それ以外の場合はＹ₁＝０とする。以下同様に、「パターンｂ₁」または「パターンｂ₂」を含み、かつ「パターンｂ₃」をも含む場合はＹ₂＝１（左記以外の場合はＹ₂＝０）とし、「パターンｃ₁」を含む場合はＹ₃＝１（左記以外の場合はＹ₃＝０）とし、「パターンｄ₁」あるいは「パターンｄ₂」を含む場合はＹ₄＝１（左記以外の場合はＹ₄＝０）と定義するなどして、段階ベクトルＹの成分が１となったものの中で一番危険度の高いものをログ異常度として算出し、通信ログの異常性に対する判断基準とすればよい。

なお、単一ログ検査モジュール１０５Ａ、１０５Ｂおよびログ関連性検査モジュール１０６Ａ、１０６Ｂは、それぞれが判断機能ごとに独立したものであり、判断機能ごとにログ判断モジュールを追加でき、変更でき、あるいは削除できるように構成する。すなわち、これらの検査モジュールは、判断機能ごとに独立したソフトウエアとして構成される。このように構成すれば、必要に応じて、所要のソフトウエアの追加、変更、あるいは削除により、通信ログ２１の新たな異常形態（不正アクセス等の形態）に迅速に対応することができる。

また、サーバ計算機１００に対する、これらのソフトウエア管理、および検査結果のモニタリングに対する管理は、通信網１５０上にある管理者用計算機２０５からの遠隔操作によって行ってもよい。また、通信網１５０と接続された別の通信網上にある計算機（ともに図示省略）からの遠隔操作で行ってもよい。つまり、当該通信網の管理者が、サーバ計算機１００へのアクセスや管理を可能とした入出力手段が提供されれば、如何なる形態であっても支障ない。

以上説明したように、この実施例にかかるサーバ計算機、あるいはログ処理方法によれば、いわゆる人工知能として用いられる種々の推論手法を用いた判断基準にて通信ログの内容を常時チェックするとともに、受信した通信ログと関連する過去の通信ログをデータベースから検索する機能を備えているので、速やかに悪意ある情報等を受信し、不正なネットワーク接続等を探知し、あるいは通信障害等を探知することができる。

図５は、本発明の実施例３にかかるサーバ計算機および計算機等の構成図である。同図に示す実施例３の構成は、図３の実施例２に示す構成と同一あるいは同等であり、これらの同一部分については同一の符号を付して示している。

図５において、単一ログ検査モジュール１０５Ａ、１０５Ｂおよびログ関連性検査モジュール１０６Ａ、１０６Ｂの１以上のモジュールが検査対象の通信ログを異常と判定したときには、統一ログ受信モジュール１０２を介すなどして、通信網１５０あるいは通信網１５０の近傍にある他の通信網と接続された別のサーバ計算機（図示省略）に対して、ログの異常状態や異常と判断したログ情報などが異常ログ情報１０９Ａとして送信される。

一方、別のサーバ計算機から異常ログ情報１０９Ｂが送られてきたときには、ログ関連性検査モジュール１０６Ａ、１０６Ｂの１以上のモジュールは、異常ログ情報１０９Ｂに含まれる計算機情報に基づいてログ記憶装置１０３に記憶された過去の統一形式ログ１０４を検索する。また、ログ関連性検査モジュール１０６Ａ、１０６Ｂの１以上のモジュールは、統一ログ受信モジュール１０２などを介して、検索された過去ログ１０７を異常ログ情報１０９Ｂを送信したサーバ計算機に対して返信するとともに、通信網１５０あるいは通信網１５０の近傍にある他の通信網に接続された別のサーバ計算機に対しても、この異常ログ情報１０９Ｂを転送する。転送の結果、転送先のサーバ計算機から過去ログの返信を受けたときには、検索された過去ログ１０７と、返信された過去ログとを併せた情報を、異常ログ情報１０９Ｂを送信したサーバ計算機に対して返信する。

このとき、単一ログ検査モジュール１０５Ａ、１０５Ｂおよび、ログ関連性検査モジュール１０６Ａ、１０６Ｂは、異常ログ情報１０９Ａまたは１０９Ｂを送信し、転送し、あるいは過去ログ１０７を返信するときには、その送信先、転送先、あるいは返信先にとって不要な情報をあらかじめ削除することにより、受け手側のサーバ計算機の処理負荷の増加を抑制するとともに、通信網に対するトラフィック量を抑制することもできるので、より好適である。

上述のような機能を有するサーバ計算機を各通信網に設けることで、規模が数台レベルという小規模なローカル通信網から、インターネットなどの大規模通信網に至るまで、各サーバ計算機を経由してのログの探索が可能となる。

また、上述のような機能を有するサーバ計算機は、自らが接続された通信網の近傍にある他の通信網に接続された別のサーバ計算機を参照できるようにしておくとよい。簡単な例として、ＤＮＳサーバのような形態がある。このＤＮＳサーバの仕組みを利用することによって、新たにサーバ計算機を追加した場合であっても、追加されたサーバ計算機が直接通信可能な既存のサーバ計算機が連携している通信網にアクセスすることで、この追加したサーバ計算機との通信が可能となる。

すなわち、各サーバ計算機には、一例として、設定ファイル（図示省略）を備え、そのファイルの中に自身が通信可能な別のサーバ計算機のリストを設けて、そのリストに記録された各サーバ計算機（異常ログ情報１０９を転送する場合には、その転送する異常ログ情報１０９を送信あるいは転送したサーバ計算機は除く）に対し、異常ログ情報１０９Ａを送信あるいは転送すればよい。

また、異常ログ情報１０９を送信あるいは転送するときには、自らのサーバ計算機の識別情報（ＩＰアドレスなどその計算機を識別できるＩＤ）をその情報に付加し、一方、受信した異常ログ情報１０９Ｂの中に、自らのサーバ計算機と同一の識別情報が含まれていた場合には、異常ログ情報を破棄するなどして、同じ処理を繰り返さないようにするとよい。

このように、自らのサーバ計算機と同一の識別情報が含まれていた場合には、通常、その転送された通信網の接続経路の中に、環状となったルートが含まれているので、ＢＧＰ（Ｂｏｒｄｅｒ Ｇａｔｅｗａｙ Ｐｒｏｔｏｃｏｌ）と同様のパスベクタ型の経路探索によって、その通信経路を最適化することがより好適である。

また、通信網やサーバ計算機の新たな設置あるいはその設置状況の変更を行った場合は、その新設または設置変更した通信網に接続可能なサーバ計算機について、通信可能な別のサーバ計算機のリストを変更しておけばよい。

図６は、大規模通信網の一例を示す構成図である。同図において、通信網１５０、２５０、３５０、４５０、５５０は、それぞれサーバ計算機１００、２００、３００、４００、５００を備え、実施例１および実施例２に基づいて、当該通信網における通信ログの記録や、通信ログの異常検出等を行っている。

上記の構成に加え、通信網１５０は計算機１６０、１７０、１８０を備え、通信網２５０は計算機１７０、２６０、２７０を備え、通信網３５０は計算機３６０、３７０、３８０を備え、通信網４５０は計算機４６０、４７０、４８０を備え、通信網５５０は、計算機４７０、５６０、５７０を備えている。

また、通信網１５０、３５０、４５０は、それぞれ計算機１６０、３６０、４６０と接続されたインターネット（通信網）９００を介して接続されている。一方、通信網１５０と２５０との間は計算機１７０を介して接続され、通信網４５０と５５０との間は計算機４７０を介して接続されているので、各計算機間は通信網を経由させることで、接続が可能な状態となっている。

サーバ計算機１００は、通信網１５０および計算機１７０を介して接続された通信網２５０を管理するサーバ計算機２００の情報を備え、その逆として、サーバ計算機２００は、サーバ計算機１００の情報を備える。サーバ計算機４００は、通信網４５０および計算機４７０を介して接続された通信網５５０を管理するサーバ計算機５００の情報を備え、その逆として、サーバ計算機５００は、サーバ計算機４００の情報を備える。また、サーバ計算機１００は、インターネット９００を介して接続された通信網３５０および４５０を管理するサーバ計算機３００および４００の情報を備え、同様に、サーバ計算機３００は、サーバ計算機１００および４００の情報を、サーバ計算機４００は、サーバ計算機１００および３００の情報を備える。

以上のような大規模通信網において、サーバ計算機が異常ログを検出したときの処理を図５〜図７を用いて説明する。なお、図７は、大規模通信網において、異常ログを検出したときの処理フローを示すフローチャートである。

図７において、サーバ計算機１００は、ログ情報を受信し（ステップＳ３０１）、実施例２などに示す処理手段あるいは処理手順に基づいて当該ログが異常か否かを判定する（ステップＳ３０２）。当該ログが異常ではないと判定された場合（ステップＳ３０２、Ｎｏ）は、以下に示す処理は行われず、新たなログ情報の受信待ちの状態となる。一方、当該ログが異常と判定された場合（ステップＳ３０２、Ｙｅｓ）には、サーバ計算機１００は、通信網１５０の近傍にある別のサーバ計算機２００、３００および４００に対して、異常ログ情報１０９Ａを送信する（ステップＳ３０３）。

サーバ計算機２００、３００は、サーバ計算機１００から送信された異常ログ情報１０９Ｂを受信する（ステップＳ４０１）ので、その異常ログ情報１０９Ｂに含まれる計算機情報に基づき、関連が認められる過去の通信ログを検索し（ステップＳ４０２）、検索された過去ログ１０７の検査結果１０８として通知元であるサーバ計算機１００に対して返信する（ステップＳ４０３）。

サーバ計算機４００は、サーバ計算機１００から送信された異常ログ情報１０９Ｂを受信する（ステップＳ５０１）ので、通信網４５０の近傍にある別のサーバ計算機５００に対して異常ログ情報を転送する（ステップＳ５０２）とともに、異常ログ情報１０９Ｂに含まれる計算機情報に基づき、関連が認められる過去の通信ログを検索する（ステップＳ５０３）。

一方、サーバ計算機５００は、サーバ計算機４００から転送された異常ログ情報１０９Ｂを受信する（ステップＳ６０１）ので、その異常ログ情報１０９Ｂに含まれる計算機情報に基づいて、関連が認められる過去の通信ログを検索し（ステップＳ６０２）、その過去ログ１０７の検査結果１０８を、通知元であるサーバ計算機４００に対して返信する（ステップＳ６０３）。

その結果、サーバ計算機４００は、ステップＳ６０３によるサーバ計算機５００からの返信結果と、ステップＳ５０３による過去ログ１０７の検査結果１０８とを併せて通知元であるサーバ計算機１００に対して返信する（ステップＳ５０４）。

最後に、サーバ計算機１００は、通信網１５０の近傍にある別のサーバ計算機２００、３００および４００からの返信（ステップＳ３０４）に基づいて、その返信結果を管理者用計算機２０５に通知したり、表示装置（図示省略）などに出力したり、記録装置に記録させたりする（ステップＳ３０５）。

以上説明したように、この実施例にかかるサーバ計算機、あるいはログ処理方法によれば、通信ログの内容をチェック等した結果、悪意ある情報、不正なネットワーク接続、あるいは、通信障害等を発見した場合には、複数の通信網の相互間で連携して通信を行うようにし、その原因となった通信ログの情報を接続可能な他のサーバ計算機に送信するとともに、他のサーバ計算機からそのような情報を受け取った場合には、自身が保存している通信ログの中から受信した通信ログに関連する通信ログを検索し、その結果を返信することで、直接通信することができないサーバ計算機を含めて通信網を横断的に通信ログの検査を行うようにしたので、各通信網において分散配置された通信ログの記録を連携させ、相互の通信網間で横断的に通信ログの探索を行うことができる。

なお、上述した実施例１〜３では、サーバ計算機やその他の計算機を別々に記載しあるいは表現しているが、これは、各機能を説明する上で便宜的に分割させたものであって、これらの構成が必ずしも別々のハードウエアとして構成されていることを意味するものではなく、これらの実施例に限定して解釈する必要はない。すなわち、一つの計算機が複数の通信網を管理するものであったり、通信網と接続された計算機がこのサーバ計算機のみであっても、本発明の趣旨を変えることにはならない。

以上のように、この発明にかかるサーバ計算機および通信ログの処理方法は、不正アクセスの検出装置や、通信障害の検出装置等として有用であり、特に、使用しているＯＳやプロトコルが混在している大規模通信網における不正なネットワーク接続等の探知や、通信障害等の探知に適している。

本発明の実施例１にかかるサーバ計算機および計算機等の構成図である。 実施例１に示すサーバ計算機および計算機等が行う処理フローを示すフローチャートである。 本発明の実施例２にかかるサーバ計算機および計算機等の構成図である。 実施例２に示すサーバ計算機および計算機等が行う処理フローを示すフローチャートである。 本発明の実施例３にかかるサーバ計算機および計算機等の構成図である。 大規模通信網の一例を示す構成図である。 大規模通信網において、異常ログを検出したときの処理フローを示すフローチャートである。

符号の説明

１００，２００，３００，４００，５００ サーバ計算機
１０１Ａ，１０１Ｂ，１０１Ｃ ログ変換モジュール
１０２ 統一ログ受信モジュール
１０３ ログ記憶装置
１０４ 統一形式ログ
１０５Ａ，１０５Ｂ 単一ログ検査モジュール
１０６Ａ，１０６Ｂ ログ関連性検査モジュール
１０７ 過去ログ
１０８ 検査結果
１０９Ａ，１０９Ｂ 異常ログ情報
２１，２１１Ａ，２１２Ａ，２１３Ｂ，２１４Ｃ 通信ログ
２２Ａ，２２Ｂ，２２Ｃ プロトコル
２０５ 管理者用計算機
１５０，２５０，３５０，４５０，５５０ 通信網
９００ インターネット
１６０，１７０，１８０，２０１Ａ，２０２Ｂ，２０３Ｂ，２０４Ｃ，２６０，２７０，３６０，３７０，３８０，４６０，４７０，４８０，５６０，５７０ 計算機

Claims (8)

1. １以上の計算機が接続された通信網を管理するサーバ計算機であって、
   前記通信網に接続された１以上の計算機のそれぞれから受信したプロトコルの異なる通信ログを所定の統一形式ログに変換する１以上のログ変換モジュールと、
   前記統一形式ログを前記ログ記憶装置に記憶させる統一ログ受信モジュールと、
   当該通信網を介して、あるいは介さずして接続されたログ記憶装置と、
   所定の推論手法、所定の統計解析的手法あるいはこれらの手法を組み合わせた手法に基づく判断機能を有する１以上のログ関連性検査モジュールと、
   を備え、
   前記統一ログ受信モジュールは、前記統一形式ログを前記ログ関連性検査モジュールのいずれか１以上に送信し、
   前記ログ関連性検査モジュールは、当該送信された統一形式ログに含まれるログ情報に基づいて前記ログ記憶装置に記憶された過去の統一形式ログを検索し、当該検索された過去ログと当該送信された統一形式ログとの関連性を検査するとともに、その検査結果に基づいて前記ログ情報の異常状態を判定し、
   前記ログ記憶装置には、前記ログ関連性検査モジュールによる検査結果が、当該統一形式ログに関連付けて記憶されることを特徴とするサーバ計算機。
2. 所定の推論手法、所定の統計解析的手法あるいはこれらの手法を組み合わせた手法に基づく判断機能を有する１以上の単一ログ検査モジュールをさらに備え、
   前記統一ログ受信モジュールは、前記統一形式ログを前記単一ログ検査モジュールのいずれか１以上に送信し、
   前記単一ログ検査モジュールは、当該送信された統一形式ログに含まれるログ情報を検査するとともに、その検査結果に基づいて前記ログ情報の異常状態を判定し、
   前記ログ記憶装置には、さらに、前記単一ログ検査モジュールによる検査結果が、当該統一形式ログに関連付けて記憶される
   ことを特徴とする請求項１に記載のサーバ計算機。
3. 前記単一ログ検査モジュールまたは前記ログ関連性検査モジュールの１以上の検査モジュールは、前記ログ情報を異常と判定したときには、前記通信網あるいは前記通信網の近傍にある他の通信網に接続された他のサーバ計算機に対して、当該異常と判定したログ情報および当該ログ情報に関連する過去の通信ログを異常ログ情報として送信することを特徴とする請求項１または請求項２に記載のサーバ計算機。
4. 前記ログ関連性検査モジュールの１以上の検査モジュールに対して他のサーバ計算機から前記異常ログ情報が送信された場合に、当該異常ログ情報に含まれる計算機情報に基づいて、前記ログ記憶装置に記憶された過去の統一形式ログを検索し、当該検索された過去ログを前記異常ログ情報を送信したサーバ計算機に対して返信することを特徴とする請求項３に記載のサーバ計算機。
5. 前記ログ関連性検査モジュールの１以上の検査モジュールに対して他のサーバ計算機から前記異常ログ情報が送信された場合に、前記通信網あるいは前記通信網の近傍にある他の通信網に接続された前記他のサーバ計算機と異なるサーバ計算機に対して前記異常ログ情報を転送するとともに、前記転送の結果、当該転送先のサーバ計算機から過去ログの返信を受けたときには、前記検索された過去ログと当該返信された過去ログとを併せた情報を、前記異常ログ情報を送信したサーバ計算機に対して返信することを特徴とする請求項４に記載のサーバ計算機。
6. 前記単一ログ検査モジュールおよび前記ログ関連性検査モジュールは、前記異常ログ情報を送信し、転送し、あるいは前記過去ログを返信するときには、当該異常ログ情報の送信先、転送先、あるいは返信先にとって不要な情報をあらかじめ削除することを特徴とする請求項３〜５のいずれか一つに記載のサーバ計算機。
7. １以上の計算機が接続された通信網を管理するサーバ計算機における通信ログの処理方法であって、
   前記通信網に接続された１以上の計算機のそれぞれから受信したプロトコルの異なる通信ログを所定の統一形式ログに変換するログ変換ステップと、
   前記ログ変換ステップにて変換された統一形式ログを記憶させる統一形式ログ記憶ステップと、
   所定の推論手法、所定の統計解析的手法あるいはこれらの手法を組み合わせた手法に基づいた判断処理を行うログ関連性検査ステップと、を含み、
   前記統一形式ログ記憶ステップは、前記統一形式ログを前記ログ関連性検査ステップに伝達し、
   前記ログ関連性検査ステップは、当該伝達された統一形式ログに含まれるログ情報に基づいて前記統一形式ログ記憶ステップにて記憶されている過去の統一形式ログを検索し、当該検索された過去ログと当該伝達された統一形式ログとの関連性を検査し、その検査結果に基づいて前記ログ情報の異常状態を判定するとともに、前記統一形式ログ記憶ステップに前記検査結果を通知し、
   さらに、前記統一形式ログ記憶ステップは、前記統一形式ログとともに、前記検査結果を当該統一形式ログに関連付けて記憶させる
   ことを特徴とする通信ログの処理方法。
8. 所定の推論手法、所定の統計解析的手法あるいはこれらの手法を組み合わせた手法に基づいた判断処理を行う単一ログ検査ステップをさらに備え、
   前記統一形式ログ記憶ステップは、前記統一形式ログを前記単一ログ検査ステップに伝達し、
   前記単一ログ検査ステップは、当該伝達された統一形式ログに含まれるログ情報を検査し、その検査結果に基づいて前記ログ情報の異常状態を判定するとともに、前記統一形式ログ記憶ステップに前記検査結果を通知する
   ことを特徴とする請求項７に記載の通信ログの処理方法。

Images