JP4500921B2

JP4500921B2 - ログ分析装置、ログ分析方法およびログ分析プログラム

Info

Publication number: JP4500921B2
Application number: JP2004004567A
Authority: JP
Inventors: 敬祐竹森; 千枝石田; 巌笹瀬
Original assignee: KDDI Corp; Keio University
Current assignee: KDDI Corp; Keio University
Priority date: 2004-01-09
Filing date: 2004-01-09
Publication date: 2010-07-14
Anticipated expiration: 2024-01-09
Also published as: JP2005196675A

Description

本発明は、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ：侵入検知システム）、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌなどのネットワーク機器から出力されるログの分析を行うログ分析装置、ログ分析方法およびログ分析プログラムに関する。。

近年、ネットワークシステムに対する攻撃監視のためにＩＤＳを導入するサイトが増えている。一般に、ＩＤＳは、ネットワーク上を流れるパケットとＡｔｔａｃｋＳｉｇｎａｔｕｒｅと呼ばれる攻撃パターンファイルとを単純に比較して、マッチングするものがあればログを出力する。

ＩＤＳから出力される冗長なログを効率的に分析するために、ログを視覚化して異常を知らせるシステムがある（非特許文献１参照）。しかし、非特許文献１に記載されているシステムにおいては、異常の判断に関しては運用者の主観に委ねられており、結果に対する信頼性が一様でない。

一方、非特許文献２においては、比率分析および稀率分析により、客観的な数値を用いて異常を評価する手法が提案されている。比率分析においては、ログに記録されている、過去の長期間に検知されたイベント数の単位時間当たりの平均値に対する、注目する単位時間のイベント数の比率を求める。また、稀率分析においては、ログに記録されている、過去の長期間に検知されたイベント数の平均と標準偏差とを用いて、出力数が様々に変動するイベントの異常性を評価する。統計分析において、９５％信頼区間という指標がよく利用されているが、ここでの稀率分析とは、この信頼区間の補集合を算出するものである。

従来より、インターネットには、日々新たなセキュリティホールが発見され、ウィルスやワームが生まれている。図１５は、世界の各地に仕掛けられたＩＤＳによって検知された、Ｐｏｒｔ１４３４に対する攻撃頻度の推移を示す参考図である。図１５より、２００３年１月２４日頃、Ｐｏｒｔ１４３４に対する攻撃が急に盛んになっている様子がわかる。これはＳｌａｍｍｅｒワームによる攻撃で、世界的な問題を引き起こしたサイバーテロである。図１５において、２００３年１月２４日以前に注目すると、実際にはＩＤＳにより、予兆らしき事象が検知されていたことがわかる。この予兆の時点において、警戒態勢を整えておくことができたとしたら、その後の被害の広がりを抑えることができたものと予想される。また、３月７日以降の推移についても、３月７日の時点で推定を行うことが望ましい。
高田哲司、外１名，「見えログ：情報視覚化とテキストマイニングを用いたログ情報ブラウザ」，（社）情報処理学会論文誌，２０００年１２月，Ｖｏｌ４１，Ｎｏ．１２，ｐ．３２６５−３２７５竹森敬祐、外４名，「セキュリティデバイスログ分析支援システムの広域監視への適用」，ＣｏｍｐｕｔｅｒＳｅｃｕｒｉｔｙＳｙｍｐｏｓｉｕｍ（ＣＳＳ２００３），２００３年１０月，ｐ．３９７−４０２

しかし、従来のログ分析の手法においては、現在の異常なログを分析することはできるものの、今後の推移を予測することができなかった。近年のＳｌａｍｍｅｒワームやＢｌａｓｔｅｒワームによる攻撃においては、攻撃が盛んになり始めて（攻撃が臨界に達し、急激に広がり始めて）から１０分後にはインターネットが不能に陥っており、サイバーテロの脅威が浮き彫りになった。したがって、ログに記録される、過去および現在の長期間のイベント数の推移を統計的に学習して、未来のイベント数の推移を予測することが緊急の課題である。

本発明は、上述した問題点に鑑みてなされたものであって、未来のイベント数の推移を客観的に予測することができるログ分析システム、ログ分析方法およびログ分析プログラムを提供することを目的とする。

本発明は上記の課題を解決するためになされたもので、請求項１に記載の発明は、ネットワーク機器から収集したログに基づいて分析処理を行うログ分析装置において、前記ネットワーク機器から出力されるログを収集する収集手段と、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出する異常値算出手段と、該異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出する確率算出手段とを具備することを特徴とするログ分析装置である。
前期パラメータとしては、ＩＤＳ、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌなどのネットワーク機器から出力されるログに記録されているＡｔｔａｃｋＳｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ、およびＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰなどが挙げられる。前記異常値算出手段は、前記イベントの記録数に基づいて、比率分析や稀率分析などを行い、分析対象のネットワークの異常度に関する異常値を算出する。前記異常値としては、比率分析における比率や、稀率分析における上側稀率、下側稀率などが挙げられる。

請求項２に記載の発明は、請求項１に記載のログ分析装置において、前記異常値算出手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。

請求項３に記載の発明は、請求項１または請求項２に記載のログ分析装置において、前記異常値算出手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。

請求項４に記載の発明は、ネットワーク機器から収集したログに基づいて分析処理を行うログ分析装置において、前記ネットワーク機器から出力されるログを収集する収集手段と、前記収集手段によって収集された前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うグループ化手段と、前記グループ化手段によってグループ化された前記イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出する異常値算出手段と、該異常値に関して所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出する確率算出手段とを具備することを特徴とするログ分析装置である。

請求項５に記載の発明は、請求項４に記載のログ分析装置において、前記グループ化手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。

請求項６に記載の発明は、請求項４または請求項５に記載のログ分析装置において、前記グループ化手段は、前記収集手段によって収集された前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。

請求項７に記載の発明は、請求項１〜請求項６のいずれかの項に記載のログ分析装置において、前記所定の事象は、前記ログ中のパラメータに属するイベントの記録数が増加する事象または前記ログ中のパラメータに属するイベントの記録数が減少する事象であることを特徴とする。

請求項８に記載の発明は、ネットワーク機器から収集したログに基づいて分析処理を行うログ分析方法において、前記ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、該異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップとを具備することを特徴とするログ分析方法である。

請求項９に記載の発明は、請求項８に記載のログ分析方法において、前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。

請求項１０に記載の発明は、請求項８または請求項９に記載のログ分析方法において、前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。

請求項１１に記載の発明は、ネットワーク機器から収集したログに基づいて分析処理を行うログ分析方法において、前記ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、グループ化した前記イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、該異常値に関して所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップとを具備することを特徴とするログ分析方法である。

請求項１２に記載の発明は、請求項１１に記載のログ分析方法において、前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。

請求項１３に記載の発明は、請求項１１または請求項１２に記載のログ分析方法において、前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。

請求項１４に記載の発明は、請求項８〜請求項１３のいずれかの項に記載のログ分析方法において、前記所定の事象は、前記ログ中のパラメータに属するイベントの記録数が増加する事象または前記ログ中のパラメータに属するイベントの記録数が減少する事象であることを特徴とする。

請求項１５に記載の発明は、ネットワーク機器から収集したログに基づいた分析処理をコンピュータに実行させるためのログ分析プログラムにおいて、前記ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、該異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップとをコンピュータに実行させるためのログ分析プログラムである。

請求項１６に記載の発明は、請求項１５に記載のログ分析プログラムにおいて、前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。

請求項１７に記載の発明は、請求項１５または請求項１６に記載のログ分析プログラムにおいて、前記収集した前記ログ中のパラメータに属するイベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出することを特徴とする。

請求項１８に記載の発明は、ネットワーク機器から収集したログに基づいた分析処理をコンピュータに実行させるためのログ分析プログラムにおいて、前記ネットワーク機器から出力されるログを収集するステップと、収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップと、グループ化した前記イベントの記録数に基づいて、ネットワークの異常度に関する異常値を算出するステップと、該異常値に関して所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するステップとをコンピュータに実行させるためのログ分析プログラムである。

請求項１９に記載の発明は、請求項１８に記載のログ分析プログラムにおいて、前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、所定の時間単位のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。

請求項２０に記載の発明は、請求項１８または請求項１９に記載のログ分析プログラムにおいて、前記収集した前記ログ中のパラメータに属するイベントを複数のグループに分割するグループ化を行うステップにおいては、収集した前記ログ中のパラメータに属するイベントの中から、脆弱性に関する公開情報に基づいて、特定のイベントを選択し、該イベントを複数のグループに分割するグループ化を行うことを特徴とする。

請求項２１に記載の発明は、請求項１５〜請求項２０のいずれかの項に記載のログ分析プログラムにおいて、前記所定の事象は、前記ログ中のパラメータに属するイベントの記録数が増加する事象または前記ログ中のパラメータに属するイベントの記録数が減少する事象であることを特徴とする。

請求項２２に記載の発明は、請求項１５〜請求項２１のいずれかの項に記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体である。

本発明によれば、様々なネットワーク機器から出力されるログ中のパラメータに属するイベントのイベント数に基づいて、ネットワークの異常度に関する異常値を算出し、その異常値に関する所定の条件が満たされた場合に、所定の事象が発生する条件付確率を算出するようにしたので、未来のイベント数の推移を客観的に予測することができるという効果が得られる。

以下、図面を参照し、この発明を実施するための最良の形態について説明する。図１は、この発明の一実施形態によるログ分析装置を備えたネットワークの構成を示す構成図である。図において、１０はログ分析装置である。ログ分析装置１０は分析対象のネットワーク２０〜２２から出力されるログを収集・分析し、分析結果をＷｅｂブラウザ３０１へ出力する。ログ分析装置１０は、表示部を有する他の機器へ分析結果を出力してもよいし、ログ分析装置１０に表示部が備えられている場合には、ログ分析装置１０が分析結果を表示してもよい。

また、ログ分析装置１０はＷｅｂブラウザ３０１を備えるセキュリティオペレーションセンター３０からは独立した装置であってもよいし、セキュリティオペレーションセンター３０内のＷｅｂブラウザ３０１を具備する機器がログ分析装置１０の機能を有していてもよい。ネットワーク２０〜２２のＲｏｕｔｅｒ、Ｆｉｒｅｗａｌｌ、およびＩＤＳはログを生成し、ｓｙｓｌｏｇｄ等の通信方式により、ログ分析装置１０にログを出力する。セキュリティオペレーションセンター３０はＷｅｂブラウザ３０１を有しており、運用者はＷｅｂブラウザ３０１に表示される分析結果に基づいて、ネットワーク２０〜２２の異常度を判断することができる。

ログ分析装置１０において、１０１はログ収集部であり、ネットワーク２０〜２２の機器から出力されたログを定期的に収集し、ログ保存部１０２へログを出力する。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する。運用者がＷｅｂブラウザ３０１を介して、分析を希望するパラメータを要求すると、分析を指示する指示情報がインタフェース部１０５を介してログ分析部１０４へ入力される。

ログ分析部１０４はこの指示情報に従って、記憶部１０３から分析用のパラメータを読み出し、このパラメータに関して分析を行い（詳細は後述する）、分析結果を記憶部１０３に保存すると共に、インタフェース部１０５へ出力する。インタフェース部１０５は、ログ分析部１０４から出力された分析結果を、通信回線を介してＷｅｂブラウザ３０１へ出力する。運用者はＷｅｂブラウザ３０１に表示される分析結果に基づいて、ネットワーク２０〜２２に対する攻撃の状況を判断する。

次に、本実施形態において分析対象となるパラメータについて説明する。図２は本実施形態において、ログ中の分析対象となるパラメータを示している。本実施形態においては、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ、およびＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰの各パラメータに属するイベントをグループ化し、各パラメータグループの統計的異常値を算出する。Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔは送信元／送信先の機器のポート番号を示す。Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰは送信元／送信先の機器のＩＰアドレスを示す。なおＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔはＳｏｕｒｃｅＰｏｒｔおよびＤｅｓｔｉｎａｔｉｏｎＰｏｒｔの２つのパラメータのうちのいずれか１つを示しており、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰに関しても同様である。

ＡｔｔａｃｋＳｉｇｎａｔｕｒｅはＩＤＳから出力されるログに含まれるパラメータである。ＡｔｔａｃｋＳｉｇｎａｔｕｒｅを分析することにより、分析対象のネットワークに対して行われている攻撃の種類を特定することができる。なお、全てのネットワーク型ＩＤＳおよび一部のホスト型ＩＤＳがＡｔｔａｃｋＳｉｇｎａｔｕｒｅを出力可能である。また、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔおよびＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰはＩＤＳ、Ｒｏｕｔｅｒ、およびＦｉｒｅｗａｌｌから出力されるログに含まれるパラメータである。Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔを分析することにより、攻撃元／攻撃対象のポート番号を特定することができる。また、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰを分析することにより、攻撃元／攻撃対象のＩＰアドレスを特定することができる。上記のパラメータは図２に示されるような複数のイベントからなる。例えば、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅにはＰｉｎｇｓｗｅｅｐ、ＨＴＴＰＰｏｒｔＰｒｏｂｅ等のイベントがある。ログ中に同じイベントが複数記録されている場合に、その総数をそのイベントのイベント数と定義する。

次に、本実施形態によるログ分析装置１０の動作を説明する。本実施形態においては、一例として、比率分析による比率Ｄを用いてイベント数の推移を予測する場合の動作を説明する。図３は本実施形態によるログ分析装置１０の動作を示すフローチャートである。ログ収集部１０１はネットワーク２０〜２２の各機器から出力されるログを収集し、ログ保存部１０２へ出力する（ステップＳ３００）。ログ保存部１０２はログ収集部１０１によって出力されたログから、分析に用いるパラメータを抽出し、記憶部１０３に保存する（ステップＳ３１０）。運用者から特定のパラメータに関する分析の要求がＷｅｂブラウザ３０１を介してなされると、Ｗｅｂブラウザ３０１から出力された指示情報がインタフェース部１０５を介してログ分析部１０４へ入力される。すると、ログ分析部１０４は指示情報に基づいて記憶部１０３から分析対象のパラメータを読み出す（ステップＳ３２０）。

ログ分析部１０４は分析対象のパラメータに関して、後述する分析処理を行い、分析結果を記憶部１０３に保存する（ステップＳ３３０）。続いて、ログ分析部１０４はインタフェース部１０５を介して、分析結果をＷｅｂブラウザ３０１へ出力する（ステップＳ３４０）。Ｗｅｂブラウザ３０１上には、例えば「今後の○○イベント数は、増加する確率３０％減少する確率７０％です。」のように分析結果が表示され、運用者はこの分析結果に基づいて、ネットワーク２０〜２２に対しての今後の攻撃の推移を判断する。

次に、図３のステップＳ３３０における分析処理の詳細について説明する。図４は、ログ分析部１０４による分析処理を示すフローチャートである。ログ分析部１０４は図３のステップＳ３２０において記憶部１０３から読み出したパラメータ中のイベントのイベント数に基づいて、比率分析または稀率分析を行う（ステップＳ３３０１）。続いて、ログ分析部１０４は比率分析または稀率分析の結果に基づいて、予測値を算出し、その予測値を記憶部１０３に格納する（ステップＳ３３０２）。

次に、比率分析および稀率分析の詳細について説明する。図５は比率分析モデルの一例を示している。図において、Ｅ_１〜Ｅ_ｌ１は、ログに記録されているある特定のイベントの単位時間当たりのイベント数を棒グラフで示したものである。この例では、単位時間を一日としている。Ｅ_ｌは過去の複数の単位時間（Ｅ_１〜Ｅ_ｌ０）における各イベント数の平均を示す。また、Ｅ_ｓは注目する単位時間Ｅ_１１のイベント数を示す。比率分析における指標となる比率Ｄは以下の式で表される。

また、図６は稀率分析モデルの一例を示している。Ｅ_ｌは過去の複数の単位時間（Ｅ_１、Ｅ_２、・・・Ｅ_ｋ）におけるイベント数の平均であり、ＳＤは標準偏差である。横軸は平均値Ｅ_ｌからの距離を、標準偏差ＳＤを単位として表している。縦軸は、過去の複数の単位時間において、注目するイベントのイベント数が横軸で示される値となった単位時間の数（例えば日数）を表している。標準偏差ＳＤは［数２］より求められる。注目する単位時間当たりのイベント数が長期プロファイルＥ_ｌよりも大きな場合の上側稀率Ｒ_ｕを［数３］、小さな場合の下側稀率Ｒ_ｌを［数４］のように定義する。［数３］および［数４］において、ｆ（Ｅ）は正規分布の密度関数であり、以下の［数５］で表される。なお、ｆ（Ｅ）として指数分布やガンマ分布などの密度関数を適宜選択して使用してもよい。

比率分析および稀率分析によって算出される比率D、上側稀率Ｒ_ｕ、および下側稀率Ｒ_ｌに関しての判断は以下のようになる。まず、Ｄ＞１．０もしくはＲ_ｕ≒０．０％の場合は、新たな攻撃がインターネット上に出回っていること、内部ホストがワームに感染していること、ＤＤｏＳ（ＤｅｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ）攻撃（攻撃者がインターネット上のセキュリティに弱い複数のＷｅｂサイトに侵入して攻撃拠点とし、複数の攻撃拠点に仕込んだプログラムを同時に動作させて、攻撃ターゲットのサーバに大量のパケットを送りつけ、サーバの機能を停止させてしまう攻撃）などによる短期のイベント数が急増したことなどを示している。

また、Ｄ≒０．０もしくはＲ_ｌ≒０．０％の場合は、普段から出力され続けていたアラームが急に減少もしくは無くなるか、攻撃により機器が停止した状態である。これは、攻撃が収束に向かっている段階、もしくはシステムが停止した状態である。また、Ｄ≒１．０もしくはＲ_ｕ、Ｒ_ｌ≒５０．０％の場合は、普段から検知され続けているログを見分けることができる。これは、既に対策が施されている攻撃、もしくは誤検知されやすいイベントであり、特に注意する必要はない状態である。

次に、本実施形態における予測値の算出手法について説明する。本実施形態においてはベイズ推論により予測値を算出する。以下では、一例として比率分析による比率Ｄを用いて説明を行うが、稀率分析による上側稀率Ｒ_ｕや下側稀率Ｒ_ｌを用いた場合も同様である。以下の［数６］はベイズ推論の一般式である。

［数６］において、Ｘは状態を表し、Ｐ（Ｘ）はその出現確率である。ａは観測結果を表し、Ｐ（ａ）はその出現確率である。また、Ｐ（ａ｜Ｘ）は、Ｘを条件としたときにａが発生する条件付確率を表す。ベイズ推論を用いて予測値を求めるために、例えば図７に示すようなパラメータを適用する。図７には、Ｘ（増加）またはＹ（減少）を条件としたときにａ（Ｄ＞１．０）またはｂ（Ｄ≦１．０）が発生する条件付確率がそれぞれ示されている。

以下、Ｘ，Ｙ，ａ，ｂの具体例を示す。
（事象例１）
Ｘ：次の日のイベント数（検出数）が当日よりも増加したという事象
Ｙ：次の日のイベント数（検出数）が当日よりも減少したという事象
ａ：当日のイベント数に係る比率Ｄに関してＤ＞１．０であるという事象
ｂ：当日のイベント数に係る比率Ｄに関してＤ≦１．０であるという事象
また、次の日の検出数が増加したという前提でＤ＞１．０であるという条件付確率Ｐ（ａ｜Ｘ）を［数７］により求める。Ｐ（ｂ｜Ｘ）、Ｐ（ａ｜Ｙ）、Ｐ（ｂ｜Ｙ）も同様にして求めることができる。

また、Ｐ（Ｘ）およびＰ（Ｙ）はそれぞれ［数８］および［数９］により求める。

比率Ｄに関して、Ｄ＞１．０である（事象ａ）場合に、今後検出数が増加する（事象Ｘが起こる）確率は［数６］によって求められる。ここで、［数６］における右辺の分母は以下の式で表される。
Ｐ（ａ）＝Ｐ（ａ｜Ｘ）Ｐ（Ｘ）＋Ｐ（ａ｜Ｙ）Ｐ（Ｙ）・・・（１）
［数７］〜［数９］および（１）式により求められた値を［数６］に代入することにより、次の日の検出数が増加する確率を算出することができる。また、Ｐ（Ｘ｜ｂ）も以下の（２）式または［数１０］により求めることができる。ログ分析部１０４はログ保存部１０３から読み出したパラメータに属するイベントのイベント数に基づいて、上述した確率の算出を行う。
Ｐ（Ｙ｜ａ）＝１−Ｐ（Ｘ｜ａ）・・・（２）

また、Ｘ，Ｙ，ａ，ｂ等の他の具体例として以下のものを挙げる。
（事象例２）
Ｘ：次の日のイベント数に係る比率Ｄに関してＤ＞１．０であるという事象
Ｙ：次の日のイベント数に係る比率Ｄに関してＤ≦１．０であるという事象
ａ：当日のイベント数が前日のイベント数よりも増加したという事象
ｂ：当日のイベント数が前日のイベント数よりも減少したという事象
（事象例３）
Ｘ：次の日のイベント数が当日よりも増加したという事象
Ｙ：次の日のイベント数が当日よりも減少したという事象
ａ：当日のイベント数が前日のイベント数よりも増加したという事象
ｂ：当日のイベント数が前日のイベント数よりも減少したという事象

（事象例４）
Ｘ：次の日のイベント数に係る比率Ｄに関してＤ＞１．０であるという事象
Ｙ：次の日のイベント数に係る比率Ｄに関してＤ≦１．０であるという事象
ａ：当日のイベント数に係る比率Ｄに関してＤ＞１．０であるという事象
ｂ：当日のイベント数に係る比率Ｄに関してＤ≦１．０であるという事象
（事象例５）
Ｘ：次の日のイベント数が当日よりも増加したという事象
Ｙ：次の日のイベント数が当日よりも減少したという事象
ａ：当日のイベント数に係る比率Ｄに関してＤ＞１０．０であるという事象
ｂ：当日のイベント数に係る比率Ｄに関してＤ＞１．０かつＤ≦１０．０であるという事象
ｃ：当日のイベント数に係る比率Ｄに関してＤ≦１．０かつＤ＞０．１であるという事象
ｄ：当日のイベント数に係る比率Ｄに関してＤ≦０．１であるという事象
なお、上記Ｄの値（例：１０．０）を変数として、最適値を常に確認しながら実施するようにしてもよい。すなわち、予測値に関する検証を常日頃から行い、最も予想が的中するＤを求めておき、その値を用いて予測を行ってもよい。

（事象例６）
Ｘ：次の日のイベント数が当日よりも増加したという事象
Ｙ：次の日のイベント数が当日よりも減少したという事象
ａ：当日のイベント数に係る比率Ｄに関してＤ＞１．０であり、かつ、当日のイベント数が前日よりも増加したという事象
ｂ：当日のイベント数に係る比率Ｄに関してＤ＞１．０であり、かつ、当日のイベント数が前日よりも減少したという事象
ｃ：当日のイベント数に係る比率Ｄに関してＤ≦１．０であり、かつ、当日のイベント数が前日よりも増加したという事象
ｄ：当日のイベント数に係る比率Ｄに関してＤ≦１．０であり、かつ、当日のイベント数が前日よりも減少したという事象
（事象例７）
Ｘ：次の時間区間（単位時間）のイベント数が現在の時間区間よりも増加したという事象
Ｙ：次の時間区間のイベント数が現在の時間区間よりも減少したという事象
ａ：前時間区間のイベント数に係る比率Ｄ_１および現時間区間のイベント数に係る比率Ｄ_２に関してＤ_１＜Ｄ_２であるという事象
ｂ：前時間区間のイベント数に係る比率Ｄ_１および現時間区間のイベント数に係る比率Ｄ_２に関してＤ_１≧Ｄ_２であるという事象

（事象例８）
Ｘ：次の日のイベント数が当日よりも増加したという事象
Ｙ：次の日のイベント数が当日よりも減少したという事象
ａ：当日のイベント数が前日のイベント数に対して２倍以上に増加したという事象
ｂ：当日のイベント数が前日のイベント数に対して１倍以上２倍未満に増加したという事象
ｃ：当日のイベント数が前日のイベント数に対して２分の１倍以上１倍未満に減少したという事象
ｄ：当日のイベント数が前日のイベント数に対して２分の１倍未満に減少したという事象
なお、上記の２倍および２分の１倍は、それぞれより一般的に、ｍ倍（１＜ｍ）およびｎ倍（０≦ｎ＜１）としてもよい。

次に、上述した予想値の算出方法の適用について、図８を参照しながら説明する。図８は、ＩｎｔｅｒｎｅｔＳｔｏｒｍＣｅｎｔｅｒのＰｏｒｔ２７３７４において日単位で検出されたパケットの検出数の変化を示すグラフである。ＩｎｔｅｒｎｅｔＳｔｏｒｍＣｅｎｔｅｒはＷｅｂ上のトラヒックを監視する世界最大規模のＩＤＳであり、攻撃の多いＰｏｒｔの攻撃検知数の推移や攻撃の傾向などの情報がＷｅｂ上で公開されている。

図８のグラフにおいて、１０月１３日から１０月１４日にかけて検出数が急激に増加している。普段から日単位ではなく、時間単位で検出数を記録しておけば、検出数が急増したときに、その後も引き続いて検出数が急激に増加することを予測することができる。急激的な増加が起こることを予測した場合には、分単位などのさらに細かい単位で検出数を記録していく。

さらに、攻撃の減少を予測する必要性がある。図８のグラフにおいて、１０月１４日から１０月１５日にかけて検出数が急激に減少していることがわかる。検出数の増加率が徐々に小さくなっていく傾向を検知した場合には、検出数の減少の開始を予測することができる。

より具体的には、上述した事象例７におけるパラメータの組み合わせにより、以上の現象の予測を行うことができる。例えば、１０月１３日から１０月１４日にかけて検出数が急激に増加し始めた時点において、Ｐ（Ｘ｜ａ）を算出することにより、今後も引き続いて検出数が増加するのかどうか予測することができる。続いて、検出数が急激に増加し始めた時点以降において、Ｐ（Ｘ｜ｂ）を算出することにより、検出数の増加が緩やかになるのかどうか（検出数がピークに近づいたのかどうか）を予測することができる。

また、検出数のピークが記録された時点において、Ｐ（Ｙ｜ｂ）を算出することにより、検出数が今後減少するのかどうか予測することができる。続いて、検出数が急激に減少し始めた時点以降において、Ｐ（Ｙ｜ａ）を算出することにより、攻撃の終了が近いのかどうか予測することができる。

次に、過去にほとんど検知されていないイベントに対する予測手法について説明する。例えば、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅの中には、１ヶ月に数個程度しか検知されないようなイベントもあり、そのような出現頻度の低いイベントに対しては、そのイベント単体では統計的推測が困難である。そこで、類似した推移をたどっている他のイベントの状況も考慮に入れ、予測を行う。例えば、長期間中のイベント検知数が、予測対象イベントの長期間中の検知数に近いもの（より具体的には、長期間中のイベント検知数が、予測対象イベントの長期間中の検知数の±５％以内のものなど）であるイベントを抽出し、それらのイベントの総数に対して、予測を行う。これにより、頻度の低いイベントであっても、類似のイベントを集めたイベントグループに対する予測を行うことができる。

次に、イベントのグループ化について説明する。上述した予測値の算出手法においては、分析対象のパラメータに属する１つ１つのイベントに対して個別に予測値を算出しているが、イベント単体では検知頻度が小さく、上述したように予測が難しい場合がある。また、例えばＡｔｔａｃｋＳｉｇｎａｔｕｒｅには約２０００種類のイベントがあり、それらのイベントの個々に対して予測値を算出していたのでは、作業工数および時間が掛かり、予測をリアルタイムに行うことが困難である。

そこで、複数のイベントをグループ化することにより、検知頻度を高め、推定精度を向上させると共に、作業工数および算出時間の低減を図ることができる。以下、グループ化の具体的手法について説明する。

（静的グループ化１）
ＡｔｔａｃｋＳｉｇｎａｔｕｒｅを、通信レイヤ、攻撃目的、サービスを考慮して意味内容ごとにグループ化する。図９および図１０はＳｎｏｒｔＩＤＳから出力されたログ中のＡｔｔａｃｋＳｉｇｎａｔｕｒｅを１０個の意味単位（クラス）にグループ化した例である。個数は各グループに含まれるＡｔｔａｃｋＳｉｇｎａｔｕｒｅの数である。Ｓｎｏｒｔルールファイルは、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅをある程度の意味単位に集めたファイルである。各ＡｔｔａｃｋＳｉｇｎａｔｕｒｅには脆弱性に関するキーが元々割り当てられており、このキーに基づいて意味内容ごとのグループ化を行う。記憶部１０３には、そのキーとグループとが対応付けられたテーブルが予め格納されており、ログ分析部１０４は、そのテーブルを参照してイベントのグループ化を行う。

（静的グループ化２）
Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰを国単位、もしくはドメイン単位でグループ化する。図１１は、ＩＰアドレスをそのＩＰアドレスが所属する国名へ変換するための変換テーブルを示している。図において、例えばＩＰアドレスが０．０．０．０〜０．２５５．２５５．２５５はＵＳ（アメリカ合衆国）、２４．４２．０．０〜２４．４３．２５５．２５５はＣＡ（カナダ）に所属することがわかる。

この変換テーブルは、ＩＡＮＡ（ＴｈｅＩｎｔｅｒｎｅｔＡｓｓｉｇｎｅｄＮｕｍｂｅｒｓＡｕｔｈｏｒｉｔｙ）等で管理されているＩＰアドレスとドメイン表から作成することができる。ＩＰアドレスからドメインへの変換を示す変換テーブルも同様に作成することができる。この場合も、ログ分析部１０４は、記憶部１０３中の変換テーブルに基づいて各イベントをグループ化する。

以上のような静的グループ化を行う場合、ログ分析部１０４は所定の単位ごとにイベントをグループ化し、各グループを識別する情報と、そのグループ内の総イベント数を示す情報とを記憶部１０３に格納する。ログ分析部１０４は、過去の単位時間におけるイベントおよび注目する単位時間におけるイベントを上記の所定の単位ごとにグループ化する。続いて、ログ分析部１０４は、グループ化後の各グループを１つのイベントとみなし、前述した比率分析を行い、それらの結果に基づいて、予測値の算出を行う。

（動的グループ化１）
分析対象のパラメータに関して、各イベントをイベント数順に並べ替え、イベントの総数に基づいて、各グループ内の総イベント数がほぼ均等になるようにグループ化を行う。図１２は、この場合のグループ化の様子を示している。図において、棒グラフの１つ１つがイベント（ＨＴＴＰＰｏｒｔＰｒｏｂｅ、ＳｍｕｒｆＡｔｔａｃｋ・・・）を表しており、縦軸方向の棒の長さがイベント数を表している。図においては、一例として各イベントをイベント数の多い順に左から並べ、各グループ内の総イベント数がほぼ均等になるように左からＧ１、Ｇ２・・・とグループ名を付けた様子が示されている。

この場合、ログ分析部１０４はイベントをグループ化し、各グループを識別する情報と、そのグループ内のイベント総量を示す情報とを記憶部１０３に格納する。動的グループ化１においては、ログ分析部１０４は以下のようにグループ化を行う。例えば、イベントを６グループに分割し、各グループ内のイベント数が総イベント数の約６分の１となるようにグループ化することにする。図１２において、左のイベントからイベント数を順に加算していき、その量が総イベント数の６分の１以上となったところで１つのグループとする。このとき、例えばイベント数の最下位の桁は四捨五入するなどの処理を行う。

あるいは、左のイベントからイベント数を加算していき、その量が総イベント数の６分の１を超えたところで１つのグループとする。以上の方法により、１つ目のグループ化を行い、次のグループに関してはイベント数が残りのイベント数の約５分の１となるように、上述した方法と同様に２つ目のグループ化を行う。さらに次のグループに関しても同様に、イベント数が残りのイベント数の約４分の１となるように、３つ目のグループ化を行う。これを繰り返し行うことにより、イベントを６グループに分割する。なお、上述した方法は一例であり、各グループ内のイベント数がほぼ均等となるようにグループ化できれば、その方法は問わない。

（動的グループ化２）
分析対象のパラメータに関して、各イベントをイベントのＩＤ順に並べ替え、イベントの総数に基づいて、各グループ内の統イベント数がほぼ均等になるようにグループ化を行う。ここでＩＤとは、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅの場合は製品ごとに決められたＡｔｔａｃｋＳｉｇｎａｔｕｒｅ番号であり、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔの場合はＰｏｒｔ番号であり、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰの場合はＩＰアドレス順位である。図１３はこの場合のグループ化の様子を示している。各グループ内の総イベント数がほぼ均等になるようなグループ化の方法は動的グループ化１と同様である。

図において、棒グラフの１つ１つがパラメータ（ＨＴＴＰＰｏｒｔＰｒｏｂｅ、ＳｍｕｒｆＡｔｔａｃｋ・・・）を表している。図においては、各グループ内の総イベント数がほぼ均等になるように左からＧ１、Ｇ２・・・とグループ名を付けた様子が示されている。この場合のログ分析装置１０の動作等は動的グループ化１と同様である。この手法は、ＡｔｔａｃｋＳｉｇｎａｔｕｒｅ、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ、およびＳｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰの分析への適用が好適である。

動的グループ化を行う場合、ログ分析部１０４は、過去のある単位時間のデータに基づいてイベントの動的グループ化を行い、グループ化後の各グループを識別する情報と、そのグループ内の総イベント数を示す情報と、分割形態（分割数、イベント種別とグループの識別情報との対応関係など）を示す情報とを記憶部１０３に格納する。そして、ログ分析部１０４は分割形態を示す情報に基づいて、残りの過去の各単位時間におけるイベントおよび注目する現在の単位時間におけるイベントをグループ化する。続いて、ログ分析部１０４は、グループ化後の各グループを１つのイベントとみなし、前述した比率分析を行い、それらの結果に基づいて、予測値の算出を行う。

以上のように、イベントのグループ化を行うことにより、計算対象となる変数の数を減らすことができるので、異常値の算出に要する時間を低減することができる。また、グループ化によってネットワーク全体のログの傾向を大きく捉えることができると共に、異常に関する誤検出の低減により、分析の信頼性を向上させることができる。

図１４は、図３のステップＳ３３０における分析処理において、ログ分析部１０４がイベントのグループ化を行う場合の分析処理例を示すフローチャートである。ログ分析部１０４は図３のステップＳ３２０において記憶部１０３から読み出したパラメータ中のイベントをグループ化する（ステップＳ３３０３）。続いて、ログ分析部１０４は、各グループ内のイベント総数に基づいて、比率分析または稀率分析を行う（ステップＳ３３０４）。続いて、ログ分析部１０４は比率分析または稀率分析の結果に基づいて、予測値を算出し、その予測値を記憶部１０３に格納する（ステップＳ３３０５）。

なお、上述したグループ化において、グループの数はユーザが選択できるようにしてもよい。また、全てのイベントを一つのグループとしてもよく、その場合は、特定のパラメータに属する全イベントの総数に関して予測を行うことになり、攻撃を特定せず、単に攻撃の増減を予測するような概況把握に適している。

なお、上述した分析処理においては、分析対象のネットワークを固定し、特定の単位時間当たりのイベント数が過去の複数の単位時間当たりのイベント数に対してどの程度異常であるかを評価する手法を示したが、以下のような分析処理を行うこともできる。すなわち、分析対象の期間を固定したときに、特定のネットワークで検知された特定のパラメータに関するイベントのイベント数（自網プロファイルと定義する）が、他の複数のネットワークで検知された同じ特定のパラメータに関するイベントの１ネットワーク当たりのイベント数の平均（他網プロファイルと定義する）に対してどの程度異常であるかを評価する手法である。

例えば、比率分析において、分析対象のネットワークにおける自網プロファイルをＥ_ｍとし、このネットワークを含まない他の各ネットワークにおける他網プロファイルをＥ_ｏとすると、比率Ｄは以下の［数１１］のように表される。同様にして、稀率分析における上側稀率および下側稀率を計算することができる。これらの値を用いて、前述した予測値の算出を行うことにより、他のネットワークから注目するネットワークへのパケットの数が今後どのくらいの確率で増加または減少するのか等を知ることができる。

なお、上記の実施形態において、予測範囲を絞る手法も有効である。多くのサイバーテロは、ＯＳ（ＯｐｅｒａｔｉｎｇＳｙｓｔｅｍ）やプロトコルの脆弱性がインターネット上で公開されてから２〜４週間後に発生している。例えば、ＭＳ−Ｂｌａｓｔｅｒワームは、２００３年７月中旬にＯＳの脆弱性に関する情報が公開された後、２００３年８月中旬にインターネット上を蔓延した。したがって、この脆弱性の公開情報を考慮することにより、予測の範囲を絞り、予測精度を向上させることができる。

この脆弱性の公開情報としては、例えば特定のＰｏｒｔ番号が挙げられる。ユーザはインターネット上でそのＰｏｒｔ番号を確認し、ログ分析装置１０の図示せぬ操作部からＰｏｒｔ番号を入力する。このＰｏｒｔ番号は記憶部１０３に記憶され、ログ分析部１０４はこのＰｏｒｔ番号に関係するイベントのみを選択し、前述した分析処理を行う。上述した脆弱性の公開情報としては、ＯＳの種類とバージョン、アプリケーションの種類とバージョン、通信プロトコルの種類とバージョン、ハードウェアの種類とバージョン等もあり、これらに関係するイベントのみについて前述した分析処理を行ってもよい。

なお、本実施形態における各事象例においては、単位時間が日であるとしているが、秒・分・時間・週・月・年などを単位時間としてもよい。さらに、単位時間の設定に関しては、以下のようなものであってもよい。例えば、注目する日が月曜日であり、次の日（火曜日）のイベント数に関する予測値を求めたいという場合に、比率分析や稀率分析における過去の複数の単位時間のデータとして、過去の月曜日に検知されたイベントのデータとする。また、注目する時刻が１２時であり、１時のイベント数に関する予測値を求めたいという場合に、比率分析や稀率分析における過去の複数の単位時間のデータとして、過去の１１時から１２時に検知されたイベントのデータとする。

この場合、ログ分析部１０４は、記憶部１０３に格納されているイベントの時刻情報に基づいて、所定の時間単位のイベントを読み出し（例えば、月曜日に記録されたイベントのみ、あるいは１１時〜１２時に記録されたイベントのみ等）、そのイベントのイベント数に基づいて前述した分析処理を行う。イベントの時刻情報とは、イベントがＩＤＳ等によって検知されてログに記録された時刻に関する情報である。近年の攻撃の多くが、潜伏期間や発症・伝播期間を有するウィルスやワームによるものであり、攻撃の周期性を考慮に入れた上記の手法により、予測値の精度が向上する。

以上説明したように、本実施形態によれば、様々なネットワーク機器から出力されるログ中のパラメータに属するイベントのイベント数に基づいて、ネットワークの異常度に関する異常値（比率分析における比率Ｄ、稀率分析における上側稀率Ｒ_ｕ・下側稀率Ｒ_ｌなど）を算出し、その異常値に関する所定の条件（当日のイベント数に係る比率Ｄに関してＤ＞１．０等）が満たされた場合に、所定の事象（次の日のイベント数が当日よりも増加したという事象）が発生する条件付確率をベイズ推論により算出するようにしたので、未来のイベント数の推移を客観的に予測することができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこれらの実施の形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態におけるログ分析装置は、その動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させることにより実現してもよい。

ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したログ分析プログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上述したログ分析プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

この発明の一実施形態によるログ分析装置１０を備えたネットワークの構成を示す構成図である。同実施形態における分析対象のパラメータを示す参考図である。同実施形態におけるログ分析装置１０の動作を示すフローチャートである。同実施形態におけるログ分析装置１０の分析処理を示すフローチャートである。同実施形態における比率分析モデルを示す参考図である。同実施形態における稀率分析モデルを示す参考図である。同実施形態における予測値の算出に用いるパラメータを示す参考図である。ＩｎｔｅｒｎｅｔＳｔｏｒｍＣｅｎｔｅｒのＰｏｒｔ２７３７４において検出されたパケットの検出数の変化を示すグラフである。同実施形態におけるＡｔｔａｃｋＳｉｇｎａｔｕｒｅのイベントのグループ化を説明するための参考図である。同実施形態におけるＡｔｔａｃｋＳｉｇｎａｔｕｒｅのイベントのグループ化を説明するための参考図である。同実施形態における、Ｓｏｕｒｃｅ／ＤｅｓｔｉｎａｔｉｏｎＩＰを国名に変換するための変換テーブルの内容を示す参考図である。同実施形態におけるイベントの動的グループ化１の手法を示す参考図である。同実施形態におけるイベントの動的グループ化２の手法を示す参考図である。同実施形態におけるログ分析装置１０の他の分析処理を示すフローチャートである。Ｐｏｒｔ１４３４に対する攻撃頻度の推移を示す参考図である。

符号の説明

１０・・・ログ分析装置、２０，２１，２２・・・ネットワーク、３０・・・セキュリティオペレーションセンター、１０１・・・ログ収集部、１０２・・・ログ保存部、１０３・・・記憶部、１０４・・・ログ分析部、１０５・・・インタフェース部、３０１・・・Ｗｅｂブラウザ。

Claims

ネットワーク機器から収集したログに基づいて分析処理を行うログ分析装置において、
前記ネットワーク機器から出力されるログを収集する収集手段と、
前記収集手段によって収集されたログのうち、所定の単位時間のデータで構成される第１のログ中のイベントを、各グループ内のイベントの記録数の総量が均等に近づくようにイベント毎に複数のグループに分割する第１のグループ化を行うと共に、前記収集手段によって収集されたログのうち、前記所定の単位時間を除く他の単位時間および注目する単位時間のデータで構成される第２のログ中のイベントを、前記第１のグループ化のときと同じグループを用いてイベント毎に複数のグループに分割する第２のグループ化を行うグループ化手段と、
前記グループ化手段による前記第２のグループ化で分割された各グループ内のイベントの記録数の総量に基づいて、ネットワークの異常度に関する値を算出する異常値算出手段と、
該異常値が所定の数値範囲に含まれる場合に、前記ログ中のイベントの記録数が増加する事象または前記ログ中のイベントの記録数が減少する事象が発生する条件付確率を、前記第２のログを用いて算出する確率算出手段と、
を具備することを特徴とするログ分析装置。
ネットワーク機器から収集したログに基づいて分析処理を行うログ分析方法において、
コンピュータが、
前記ネットワーク機器から出力されるログを収集するステップと、
収集したログのうち、所定の単位時間のデータで構成される第１のログ中のイベントを、各グループ内のイベントの記録数の総量が均等に近づくようにイベント毎に複数のグループに分割する第１のグループ化を行うと共に、収集したログのうち、前記所定の単位時間を除く他の単位時間および注目する単位時間のデータで構成される第２のログ中のイベントを、前記第１のグループ化のときと同じグループを用いてイベント毎に複数のグループに分割する第２のグループ化を行う第１のステップと、
前記第２のグループ化で分割された各グループ内のイベントの記録数の総量に基づいて、ネットワークの異常度に関する異常値を算出する第２のステップと、
該異常値が所定の数値範囲に含まれる場合に、前記ログ中のイベントの記録数が増加する事象または前記ログ中のイベントの記録数が減少する事象が発生する条件付確率を、前記第２のログを用いて算出する第３のステップと、
を具備することを特徴とするログ分析方法。
ネットワーク機器から収集したログに基づいた分析処理をコンピュータに実行させるためのログ分析プログラムにおいて、
前記ネットワーク機器から出力されるログを収集するステップと、
収集したログのうち、所定の単位時間のデータで構成される第１のログ中のイベントを、各グループ内のイベントの記録数の総量が均等に近づくようにイベント毎に複数のグループに分割する第１のグループ化を行うと共に、収集したログのうち、前記所定の単位時間を除く他の単位時間および注目する単位時間のデータで構成される第２のログ中のイベントを、前記第１のグループ化のときと同じグループを用いてイベント毎に複数のグループに分割する第２のグループ化を行う第１のステップと、
前記第２のグループ化で分割された各グループ内のイベントの記録数の総量に基づいて、ネットワークの異常度に関する異常値を算出する第２のステップと、
該異常値が所定の数値範囲に含まれる場合に、前記ログ中のイベントの記録数が増加する事象または前記ログ中のイベントの記録数が減少する事象が発生する条件付確率を、前記第２のログを用いて算出する第３のステップと、
をコンピュータに実行させるためのログ分析プログラム。
請求項３に記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体。