JP4523480B2 - ログ分析システム、分析方法及びログ分析装置 - Google Patents

Description

本発明は、ログ分析システム、分析方法及びログ分析装置に係り、特に、不正パケットの送信等によりネットワーク上に発生したインシデントの状況を分析するログ分析システム、分析方法及びログ分析装置に関する。

ネットワークを介する不正アクセスを検出する手段として、ＦＷ（ファイアウォール）やＩＤＳ（侵入検知装置）と呼ばれるセキュリティ装置を設置する方法が知られている。また、これらセキュリティ装置を一元的に管理して、セキュリティ装置が収集したログのパターン分析を行ったり、過去の事例と比較したりすることにより、より正確にネットワーク上で発生したインシデントの発生を検出することを可能とする方法も知られている。ここでいう、インシデントとは、コンピュータセキュリティに関連した意図的あるいは偶発的に発生した事件や出来事をいう。

前者の不正アクセスを検出する方法に関する従来技術として、例えば、特許文献１等に、ＩＤＳに関する技術が記載されて知られている。また、後者のセキュリティイベントを分析することによりインシデントの検出精度を向上させる方法に関する従来技術として、例えば、特許文献２等に、過去のモデルとの対比に基づいて分析を行う技術が記載されて知られている。
特開２００２−３４２２７６号公報 特開２００４−３３６１３０号公報

前述した従来技術によってインシデントを検出し、分析しようとする場合、複数の原因からなるインシデントの検出が困難になる傾向にある。すなわち、前述した従来技術は、単一あるいは少数の攻撃をインシデントとして効率的に検出、分析することが可能であるが、多数の攻撃が重なって発生した場合に、攻撃モデルを生成したり、比較したりすることが非常に困難となり、効率的なインシデントの検出、分析が困難であるという問題点を有している。

本発明の目的は、前述した従来技術の問題点を解決し、ネットワークに設置されているＩＤＳやＦＷ等のセキュリティ装置が検出したイベントに基づいて、効率的にインシデントを検知することを可能にしたログ分析システム、分析方法及びログ分析装置を提供することにある。

本発明は、ネットワーク上で発生した１つあるいは複数の攻撃を記録したセキュリティ装置のイベントログに対し、効率的に特徴付けを行い、その中の特異な変化を検出することにより、これまで検出が困難だった複雑なインシデントを検出することを可能としたログ分析システム、分析方法及びログ分析装置を提供する。

本発明によれば前記目的は、ネットワーク上で発生したインシデントの状況を分析するログ分析システムにおいて、セキュリティ装置と、収集装置と、分析装置とを備え、前記セキュリティ装置は、ネットワーク上を流れる不正なパケットを検知する手段と、不正なパケットを検知したときにイベント情報を前記収集装置に送信する手段とを備えて構成され、前記収集装置は、前記セキュリティ装置からのイベント情報を取得してイベントデータベースに格納する手段と、前記分析装置からのイベント取得要求を受信して、指定された条件のイベントをイベントデータベースから検索する手段と、検索したイベントを前記分析装置に送信する手段とを備えて構成され、前記分析装置は、指定期間に発生し、かつ、指定条件に一致するイベントを取得するための要求を前記収集装置に送信する手段と、要求により前記収集装置から取得したイベント情報を分析する手段と、分析結果の情報を格納する分析データベースとを備え、さらに、取得したイベント情報に基づいてイベント統計情報を作成する手段と、作成したイベント統計情報に対して周波数分解処理を適用して周波数情報と強度情報とから構成される周波数成分情報を作成する手段と、 前記分析結果の情報の中から全てのイベント統計情報の類似性を検証する手段と、類似性の高いイベント統計情報ペアの一覧を表示装置に順位付けて表示する手段と、前記分析結果の情報の中から特定の周波数の強度に基づいたイベント統計情報を検索する手段と、１つあるいは複数の周波数を指定することにより、その周波数を持つイベント統計情報の一覧を表示装置に順位付けて表示する手段と、前記分析結果情報の中から特定周波数の強度が高くなっているイベント統計情報を検索する手段と、イベント統計情報の一覧を表示装置に順位付けて表示する手段とを備えることにより達成される。

また、前記目的は、ネットワーク上で発生したインシデントの状況を分析するログ分析システムでのログ分析方法において、セキュリティ装置と、収集装置と、分析装置とを備え、前記セキュリティ装置は、ネットワーク上を流れる不正なパケットを検知し、不正なパケットを検知したときにイベント情報を前記収集装置に送信し、前記収集装置は、前記セキュリティ装置からのイベント情報を取得してイベントデータベースに格納し、前記分析装置からのイベント取得要求を受信して、指定された条件のイベントをイベントデータベースから検索し、検索したイベントを前記分析装置に送信し、前記分析装置は、指定期間に発生し、かつ、指定条件に一致するイベントを取得するための要求を前記収集装置に送信し、要求により前記収集装置から取得したイベント情報を分析し、分析結果の情報を分析データベース格納し、さらに、取得したイベント情報に基づいてイベント統計情報を作成し、作成したイベント統計情報に対して周波数分解処理を適用して周波数情報と強度情報とから構成される周波数成分情報を作成し、 前記分析結果の情報の中から全てのイベント統計情報の類似性を検証し、類似性の高いイベント統計情報ペアの一覧を表示装置に順位付けて表示し、前記分析結果の情報の中から特定の周波数の強度に基づいたイベント統計情報を検索し、１つあるいは複数の周波数を指定することにより、その周波数を持つイベント統計情報の一覧を表示装置に順位付けて表示し、前記分析結果情報の中から特定周波数の強度が高くなっているイベント統計情報を検索し、イベント統計情報の一覧を表示装置に順位付けて表示することにより達成される。

また、前記目的は、ネットワーク上で発生したインシデントの状況を分析するログ分析装置において、前記分析装置は、指定期間に発生し、かつ、指定条件に一致するイベントを取得するための要求を、セキュリティ装置がネットワーク上を流れる不正なパケットを検知して得たイベント情報をセキュリティ装置から取得してイベントデータベースに格納している収集装置に送信する手段と、要求により前記収集装置から取得したイベント情報を分析する手段と、分析結果の情報を格納する分析データベースとを備え、さらに、取得したイベント情報に基づいてイベント統計情報を作成する手段と、作成したイベント統計情報に対して周波数分解処理を適用して周波数情報と強度情報とから構成される周波数成分情報を作成する手段と、前記周波数成分に基づいた分析を行いインシデントの発生傾向を判断する手段とを備え、前記分析結果の情報の中から全てのイベント統計情報の類似性を検証する手段と、類似性の高いイベント統計情報ペアの一覧を表示装置に順位付けて表示する手段と、前記分析結果の情報の中から特定の周波数の強度に基づいたイベント統計情報を検索する手段と、１つあるいは複数の周波数を指定することにより、その周波数を持つイベント統計情報の一覧を表示装置に順位付けて表示する手段と、前記分析結果情報の中から特定周波数の強度が高くなっているイベント統計情報を検索する手段と、イベント統計情報の一覧を表示装置に順位付けて表示する手段とを備えることにより達成される。

前述により、複数の攻撃が重なり合ったインシデントや、時差や生活習慣などといった影響により個々の攻撃タイミングに差異が生じて発生したインシデントを正確に特徴付けることが可能となり、定常的に発生している攻撃と突発的に発生した攻撃とを判別することが可能となる。

本発明によれば、これまで検出が困難であったインシデントを検出することが可能となり、また、インシデント対策の判断支援を容易に行うことができる。

以下、本発明によるログ分析システム及び分析方法の実施形態を図面により詳細に説明する。

図１は本発明の一実施形態によるログ分析システムの構成を示すブロック図である。図１において、１０はログ分析システム、１１は端末装置、１２はＩＤＳ（侵入検知装置）、１３はＦＷ（ファイアウォール）、１４は収集装置、１５は分析装置、１６はアラート通知装置、１８はローカルエリアネットワーク、１９は管理用ネットワーク、５０はインターネットである。

本発明の実施形態によるログ分析システム１０は、ローカルエリアネットワーク１８を介して複数の端末装置１１と、ＩＤＳ１２と、ＦＷ１３とが互いに接続され、また、管理用ネットワーク１９を介してＩＤＳ１２と、ＦＷ１３と、収集装置１４と、分析装置１５と、アラート通知装置１６とが互いに接続され、ＦＷ１３が外部のネットワークであるインターネット５０に接続されて構成される。そして、前述の装置１１〜１６を構成するハードウェアは、実質的に同様のユニットを有して構成されている。

図２は端末装置１１、ＩＤＳ１２、ＦＷ１３のハードウェア構成を示すブロック図、図３は収集装置１４、分析装置１５、アラート通知装置１６のハードウェア構成を示すブロック図であり、次に、装置１１〜１６のハードウェア構成について説明する。

端末装置１１は、パーソナルコンピュータ（ＰＣ）のようなクライアントであり、それぞれ、バス１１０１に接続された、演算装置１１０２と、表示装置１１０３と、入力装置１１０４と、メモリ１１０５と、記憶装置１１０６と、通信装置１１０７とを備えて構成される。ＩＤＳ１２は、ローカルエリアネットワーク１８を流れる不正なパケットを検出する装置であり、バス１２０１に接続された、演算装置１２０２と、表示装置１２０３と、入力装置１２０４と、メモリ１２０５と、記憶装置１２０６と、通信装置１２０７、１２０８とを備えて構成される。ＦＷ１３は、インターネット５０とローカルエリアネットワーク１８との接続部で特定のパケットを遮断する装置であり、バス１３０１に接続された、演算装置１３０２と、表示装置１３０３と、入力装置１３０４と、メモリ１３０５と、記憶装置１３０６と、通信装置１３０７〜１３０９とを有して構成される。

また、収集装置１４は、ＩＤＳ１２やＦＷ１３が出力するイベントを収集する装置であり、バス１４０１に接続された、演算装置１４０２と、表示装置１４０３と、入力装置１４０４と、メモリ１４０５と、記憶装置１４０６と、通信装置１４０７とを備えて構成される。分析装置１５は、イベントを分析する装置であり、バス１５０１に接続された、演算装置１５０２と、表示装置１５０３と、入力装置１５０４と、メモリ１５０５と、記憶装置１５０６と、通信装置１５０７とを備えて構成される。アラート通知装置１６は、分析結果を通知する装置であり、バス１６０１に接続された、演算装置１６０２と、表示装置１６０３と、入力装置１６０４と、メモリ１６０５と、記憶装置１６０６と、通信装置１６０７とを備えて構成される。

図４は端末装置１１、ＩＤＳ１２、ＦＷ１３の機能構成を示すブロック図、図５は収集装置１４、分析装置１５、アラート通知装置１６の機能構成を示すブロック図であり、次に、図４、図５を参照して、装置１１〜１６の機能構成及びそれらに関連するソフトウェア情報について説明する。

端末装置１１は、通常時、記憶装置１１０６に記憶されたプログラムを演算装置１１０２で実行して所期の機能を実現している。そして、本発明の実施形態における端末装置１１の１つは、不正行為を行う端末装置であり、その端末装置１１は、ローカルエリアネットワーク１８との間で情報の送受信を行うデータ送受信部１１１と、それらを制御する不正通信プログラム１１２とを有して構成されている。

不正通信プログラム１１２は、ウイルスやワームや不正アクセス行為によって不正なパケットをネットワーク上に送信するプログラムである。この端末装置１１により行われる不正行為は、ＦＷ１１やＩＤＳ１２で検出される。また、このような不正行為を働く端末装置１１は、ローカルエリアネットワーク以外にも、インターネット５０に接続された世界各国のネットワークにも散在する可能性がある。

ＩＤＳ１２は、ローカルエリアネットワーク１８を流れる不正なパケットを検知し、異常を知らせるイベントを発行する。このＩＤＳ１２は、図４に示すように、ローカルエリアネットワーク１８を流れるパケットを受信するデータ送受信部１２１と、そのパケットが不正であるか否かを判断し、不正なパケットを検知した場合には、収集装置１４に対し異常を知らせるためのイベントを送信するデータ送受信部１２３と、それらを制御する検知プログラム１２２とを有して構成されている。

ＦＷ１３は、ローカルエリアネットワーク１８とインターネット５０との間で、互いのネットワークを行き来するパケットの中から、特定の条件に合ったパケットを破棄（遮断）あるいは許可（通過）する機能を有する。このＦＷ１３は、図４に示すように、インターネット５０からローカルエリアネットワーク１８に向けた通信データを受信し、あるいは、ローカルエリアネットワーク１８からインターネット５０に向けた通信データを送信するデータ送受信部１３４と、インターネット５０からローカルエリアネットワーク１８に向けた通信データを送信、あるいは、ローカルエリアネットワーク１８からインターネット５０に向けた通信データを受信するデータ送受信部１３１と、これらの通信状況をイベントとして収集装置１４に対して送信するデータ送受信部１３３と、それらを制御するアクセス制御プログラム１３２とを備えて構成されている。

収集装置１４は、ＩＤＳ１２あるいはＦＷ１３から取得したイベント情報、分析装置１５のイベント取得要求に対してイベント取得結果などを送受信するデータ送受信部１４１と、イベントを正規化して格納するイベントデータベース（ＤＢ）１４３と、それらを制御するイベント収集正規化プログラム１４２とを備えて構成される。そして、収集装置１４は、分析装置１５のイベント取得要求に応じてイベントＤＢから、該当するイベントを検索し、分析装置１５にイベント取得結果を返す。なお、ＤＢ１４３は、記憶装置１４０６内に形成されており、このイベントＤＢ１４３に格納されるイベント情報１４４は、ＩＤＳ１２あるいはＦＷ１３から取得した１つあるいは複数のイベントを、共通のフォーマットに正規化した情報である。このイベント情報の構成例及びイベント取得要求の構成例については後述する。

分析装置１５は、収集装置１４から取得したイベント情報を分析した結果等を格納するための分析ＤＢ１５３と、イベント取得要求、イベント取得結果、アラート通知命令などを送受信するデータ送受信部１５１と、それらを制御するログ分析プログラム１５２とを備えて構成される。そして、分析ＤＢ１５３には、収集装置１４から取得したイベント取得結果をもとにイベントを時系列に度数分布化したイベント統計情報１５４と、統計情報を周波数成分に変換した周波数成分情報１５５と、周波数成分情報に基づき分析した結果を蓄積した分析情報１５６等が格納される。なお、分析ＤＢ１５３は、記憶装置１５０６内に形成され、格納される前述した各情報の詳細については後述する。

アラート通知装置１６は、分析装置１５から受信したアラート通知命令や、通知先情報等のアラート情報１６４を格納するためのアラートＤＢ１６３と、アラート通知命令、アラート通知等を送受信するデータ送受信部１６１と、それらを制御するアラート通知プログラム１６２とを備えて構成されている。アラートＤＢ１６３は、記憶装置１６０６に形成される。アラートとは、分析の結果、危険度が高いと判断されて管理者あるいはユーザなどに対して通知する必要がある情報であり、メールやＷＥＢ等の通信手段を用いて管理者やユーザ等に対して送信する情報であり、その詳細については後述する。

図６は収集装置１４のイベントＤＢ１４３に格納されたイベント情報１４４の構成、分析装置１５から収集装置１４へのイベント取得要求の構成、イベント取得要求に対して収集装置１４が分析装置１５に送信するイベント取得結果の構成を示す図である。

収集装置１４のイベントＤＢ１４３に格納されたイベント情報情報１４４は、例えば、図６に示すように、１つ１つのイベントに対し、イベントの検出日時、イベントの関連するパケットの発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、通信プロトコル、不正の種類を示した検出タイプ、検出した装置を識別するための検出装置識別子等を含んで構成される。本発明の実施形態では、端末装置１１の不正通信プログラム１１２によって送信されたパケットをＩＤＳ１２が検出して、収集装置１４に向けてイベントを送信するので、収集装置１４は、これを受けて、不正通信プログラム１１２によって送信されたパケットをＩＤＳ１２が検出した日時、端末装置１１のＩＰアドレス、端末装置１１のポート番号、端末装置１１が不正なパケットを送信した宛先ＩＰアドレス、宛先ポート番号等をイベントＤＢ１４３に格納する。

分析装置１５から収集装置１４へのイベント取得要求は、図６に示すように、イベント取得要求を識別するための取得要求識別子、検索対象とするイベントの発生期間（開始日時、終了日時）、イベントに記録された発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル、検出タイプ、検出装置識別子等を含んで構成される。また、イベント取得要求に対して収集装置１４が分析装置１５に送信するイベント取得結果は、結果の元となったイベント取得要求のイベント要求識別子と、イベント取得要求に含まれる検索条件に合致したイベントの検索件数等を含んで構成される。

図７は分析装置１５の分析ＤＢ１５３に格納されるイベント統計情報１５４と、統計情報を周波数成分に変換した周波数成分情報１５５との構成を示す図である。

収集装置１４から取得したイベント取得結果をもとに、分析装置１５がイベントを時系列に度数分布化してイベント統計情報１５４を作成するが、度数分布化とは、図６に示して説明したイベント情報のような、１つのイベントを１つのレコードとして記録しているデータから、図７に示すイベント統計情報のような、一定期間内に発生したイベントの回数（度数）に変換することであり、例えば、１日（２４時間）分のイベント情報を１時間区切り（すなわち、サンプリング間隔が１時間）に度数分布化することにより２４個のデータ（各時間のイベント発生回数）に変換することである。図７に示す例では、これらのデータをデータ１〜データｎとして、それぞれにイベント発生の度数を示している。また、周波数成分とは、図７に示すようなイベント統計情報を、例えば、フーリエ変換等の手法を用いて周波数分解し、イベント統計情報に含まれる度数の変移状態に含まれる周波とその周波の強度の組に変換することであり、例えば、約１秒周期で発生するインシデントに関連するイベント統計情報は、周波数１Ｈｚの強い周波と、それ以外の周波数を持つ弱い周波とに分解することである。図７に示す例では、周波数成分１〜周波数成分ｎのそれぞれについてその周波数と強度とを示している。

本発明の実施形態では、分析装置１５の分析ログプログラム１５２の実行により、収集装置１４に収集されたイベント情報を取得して、統計情報に変換する。その統計情報に対し、フーリエ変換を用いて周波数分解を行い、統計情報毎に周波数成分情報を生成する。この周波数成分に基づき、分析を行い分析結果の表示や、アラート通知装置に対してアラートの通知命令を送信する。すなわち、ＩＤＳ１２やＦＷ１３が検出したイベント情報を周波数成分に基づき分析し、周波数の偏りや変化を分析結果として管理者やユーザなどに対して報告する。

図８はアラート通知装置１６が管理者やユーザ等に対して送信するアラート通知情報の構成を示す図である。アラート通知情報は、例えば、図８に示すように、アラートの通知先、通知日時、分析の対象となった情報、その情報の現象などを記述した内容、同じ現象が発生していると分析されたその他の関連アラート等を含んで構成されている。

図９は本発明の実施形態によるログ分析システムの動作の概要を説明する図であり、次に、これについて説明する。

（１）最初に、不正行為を行う端末装置１１が不正通信プログラム１１２の実行によって、ローカルエリアネットワーク１８あるいはインターネット５０を介して、他の端末装置１１などに不正なパケットを送信して攻撃を行う（ＳＴ０）。

（２）ＩＤＳ１２及びＦＷ１３は、並行してまたは逐次的に、それぞれ、検知プログラム１２２、アクセス制御プログラム１３２を実行することにより、ローカルエリアネットワーク１８あるいはインターネット５０を流れるパケットを監視している（ＳＴ０１）。

（３）ローカルエリアネットワーク１８あるいはインターネット５０を流れる不正なパケットは、前述のＩＤＳ１２またはＦＷ１３による監視により検知される（ＳＴ１）。

（４）前述の不正なパケットを検知したＩＤＳ１２またはＦＷ１３は、逐次あるいは定期的に収集装置１４にイベント情報を送信する（ＳＴ２）。

（５）収集装置１４は、ＩＤＳ１２またはＦＷ１３からイベント情報を収集し、イベント収集正規化プログラム１４２の実行により、イベント情報を図６に示して説明したような共通の形式に正規化してイベントＤＢ１４３に格納する（ＳＴ３）。

（６）分析装置１５は、ログ分析プログラム１５２の実行により、逐次的あるいは定期的に収集装置１４に対して図６に示して説明したようなイベント取得要求を送信する（ＳＴ４）。

（７）収集装置１４は、ＳＴ４で送信されてきたイベント取得要求を受信すると、イベントＤＢ１４３からイベント取得要求を満たしたイベントに関する情報を図６に示して説明したようなイベント取得結果として、分析装置１５に送信する（ＳＴ５）。

（８）分析装置１５は、収集装置１４からイベント取得結果を受信し、図７に示して説明したような、イベント統計情報に変換して分析ＤＢ１５３に格納し、また、逐次あるいは定期的に分析ＤＢ１５３からイベント統計情報１５４に対しフーリエ変換を用いて周波数分解して、図７に示して説明したような周波数成分情報として分析ＤＢ１５３に格納する（ＳＴ６、ＳＴ７）。

（９）分析装置１５は、さらに、分析ＤＢ１５３に格納された周波数成分情報１５５の中から特定の周波数の強度が高いものや、類似した周波数成分を持つような周波数成分情報を抽出し、例えば、図１４に示して後述するような分析情報として、分析ＤＢ１５３に格納する（ＳＴ８）。

（10）その後、分析装置１５は、分析情報１５６に基づき、予め設定しておいたアラート通知条件に従い、アラート通知装置１６に対して図８に示して説明したアラート通知情報のようなアラート通知命令を送信する（ＳＴ９）。

（11）アラート通知装置１９は、分析装置１５から受信したアラート通知命令をアラートＤＢ１６３に格納し、定期的あるいは逐次に、管理者やユーザに対しＷＥＢやメール等の通信手段を用いて通知する（ＳＴ１０）。

（12）分析装置１５は、アラート通知命令の送信に並行して又は逐次、分析ＤＢ１５３の内容を管理者やユーザに対して送信して公開する（ＳＴ１１）。

次に、本発明の実施形態によるログ分析システムにおける各装置の処理動作について説明するが、その前に、処理動作の前提となるネットワーク構成と、ワームＷの性質について説明する。

図１０はログ分析システムにおける各装置の動作を説明するための前提となるネットワーク構成を示すブロック図、図１１はログ分析システムにおける各装置の動作を説明するための前提となるワームＷの性質を説明する図である。図１０において、６０、７０、８０は国Ａ、Ｂ、Ｃ、６１、７１、８１は端末装置であり、他の符号は図１の場合と同一である。

図１０に示すように、インターネット５０を介して複数の国Ａ６０、Ｂ７０、Ｃ８０に存在する前述で説明した端末装置１１と同様の不正行為を行う端末装置６１、７１、８１が接続されているものとする。これらの端末装置６１、７１、８１は、端末装置１１の不正通信プログラム１１２と同様に不正プログラム（ワームＷ）が動作していて、それぞれの端末装置のワームＷは、図１１（ａ）に示すように、それぞれの国のローカル時間の午前１０時から他の端末装置１１に対して攻撃を行うものとする。なお、複数の国Ａ６０、Ｂ７０、Ｃ８０における本発明の実施形態によるログ分析システム１０が設置された国（この国の時間を標準時とする）との時差は、それぞれ、＋６時間、＋１２時間、＋１０時間あるものとする。

これら端末装置６１，７１，８１から送信される攻撃は前記時差の関係から、ログ分析システム１０には、それぞれ異なる時間に届くことになり、端末装置６１、７１、８１からのワームは、図１１（ｂ）〜図１１（ｄ）に示すような時間位置でＩＤＳ１２あるいはＦＷ１３により検出される。そして、端末装置６１、７１、８１が単独で稼働していた場合には、図１１（ｂ）、図１１（ｃ）、図１１（ｄ）に示すような時間位置でワームが検出される。また、端末装置６１と端末装置８１とが稼動していた場合には、図１１（ｅ）に示すように、ＩＤＳ１２あるいはＦＷ１３は、グラフで表すと２つの大きな山としてこれらのワームが観測される。また、同様に、端末装置７１及び端末装置８１が稼動していた場合には、図１１（ｆ）に示すように、ＩＤＳ１２あるいはＦＷ１３は、グラフで表すと１つの大きな山となってこれらのワームが観測される。このように、複数の攻撃が重なり合ったグラフは、同じワームＷの攻撃を観測している場合でも異なったグラフとして表れることが多い。

図１２、図１３は本発明の実施形態によるログ分析システムにおける各装置の処理動作について説明するフローチャートであり、次に、これについて説明する。なお、ここで説明するフローは、図１０において、端末装置６１と端末装置８１とが稼動したものとした場合の処理例である。

（１）まず最初に、国Ａ６０に設置されている端末装置６１が、ワームの感染等の理由により不正プログラム（ワームＷ）を起動したものとする。端末装置６１上で実行されたワームＷは、図１１で説明したワームＷの性質により、１０時から１３時の間（標準時で１６時〜１９時の間）に不正なパケットとして端末装置１１に対して送信される（ステップＳ００１、Ｓ００２）。

（２）一方、ＩＤＳ１２、ＦＷ１３は、起動されると、それぞれ検知プログラム１２２及びアクセス制御プログラム１３２を起動し、ステップＳ００２で送信されてきた不正なパケットを、検知プログラム１２２あるいはアクセス制御プログラム１３２により検知し、検知された攻撃をイベントとして収集して収集装置１４に送信する（ステップＳ００３〜Ｓ００５）。

（３）収集装置１４は、起動されると、イベント収集正規化プログラム１４２を起動する。起動されたイベント収集正規化プログラム１４２は、ステップＳ００５で送信されてきたイベントを受信し、図６に示して説明したようなイベント情報として正規化した後、イベントＤＢ１４３に登録する（ステップＳ００６〜Ｓ００９）。

（４）並行して、国Ｃ８０に設置されている端末装置８１が、ワームの感染等の理由によりワームＷを起動したものとする。端末装置８１上で実行されたワームＷは、図１１で説明したワームＷの性質により、１０時から１３時の間（標準時で２０時〜２３時の間）に不正なパケットとして端末装置１１に対して送信される（ステップＳ０１０、Ｓ０１１）。

（５）送信された不正なパケットは、前述と同様に、ＩＤＳ１２、ＦＷ１３の検知プログラム１２２あるいはアクセス制御プログラム１３２により検知され、検知された攻撃がイベントとして収集されて収集装置１４に送信される（ステップＳ０１２、Ｓ０１３）。

（６）収集装置１４は、イベント収集正規化プログラム１４２により、ステップＳ０１３で送信されてきたイベントを受信し、図６に示して説明したようなイベント情報として正規化した後、イベントＤＢ１４３に登録する（ステップＳ０１４〜Ｓ０１６）。

前述したステップＳ００２、Ｓ００４〜Ｓ００５、Ｓ００７〜Ｓ０１６での処理が繰り返し実行され、送信されてきた不正なパケットによるイベントが、収集装置１４のイベントＤＢ１４３に多数記録される。

（７）次に、分析装置１５が起動されて、ログ分析プログラム１５２を起動し、分析装置１５は、アラート発生条件の設定として、例えば、図１４に示して後述するような分析情報に含まれる数値（偏り指数等）が一定閾値以上であればアラート通知命令を送信するという条件を規定する（ステップＳ０１７、Ｓ０１８）。

（８）また、分析装置１５は、ログの分析条件の設定として、例えば、図７に示して説明したイベント統計情報の統計条件にあるようなサンプリング期間や分析対象とするホスト情報などを規定する。そして、ログ分析プログラム１５２は、逐次的あるいは定期的に収集装置１４に対して、図６に示して説明したような、イベント取得要求を送信する（ステップＳ０１９、Ｓ０２０）。

（９）収集装置１４のイベント収集正規化プログラム１４２は、ステップＳ０２０で送信されてくるイベント取得要求を受信し、イベントＤＢ１４３から取得条件を満たすイベントを検索し、分析装置１５に対して、該当した件数を図６に示して説明したようなイベント取得結果として送信する（ステップＳ０２１〜Ｓ０２３）。

前述において、例えば、このイベント取得要求の開始日時と終了日時とを１時間間隔で設定し、検索条件に例えば宛先ポート１３５番を設定する。より具体的には、開始日時2005/01/01 00:00:00 から終了日時2005/01/01 00:59:59 と設定することにより、この時間帯に宛先ポート番号１３５番に関連するイベントの検知数をイベント取得結果として取得することができる。この処理を、開始日時2005/01/01 01:00:00 、2005/01/01 02:00:00 といったように１時間ずつずらしてイベント取得要求を送信することにより、後述するようなサンプリング間隔を１時間とした統計情報を生成することができる。

（10）次に、分析装置１５のログ分析プログラム１５２は、ステップＳ０２３で送信されてきたイベント取得結果を受信し、前述した具体例及び図７に示して説明したようなイベント統計情報を生成する。このイベント統計情報は、逐次、分析ＤＢ１５３にイベント統計情報１５４として格納される（ステップＳ０２４〜Ｓ０２６）。

ここれ得られたイベント統計情報１５４は、時系列の２４時間分のみ統計グラフにすると、図１１（ｅ）に示すように、ワームＷが国Ａ６０と国Ｃ８０とで発生した場合の観測データのような形になる。

（11）分析装置１５ログ分析プログラム１５２は、イベント統計情報１５４に対しフーリエ変換処理を実施することにより、イベント統計情報を図７に示して説明したような複数の周波数成分に分解する（ステップＳ０２７）。

ここで扱うワームＷの性質は、１日を周期として活動するとしているため、１日周期を表す周波数成分の強度が高くなる。この周波数成分の強度は、フーリエ変換の特性上、ワームＷが異なるタイミングで同時期に発生した場合でも変わらない。例えば、国Ｂ７０の端末装置７１と国Ｃ８０の端末装置８１とのワームＷの活動を観測した場合にも、図１１に示す統計グラフ上は全く異なる形状であっても、周波数成分情報は同じ値になる。

（12）ステップＳ０２７の処理で得られた周波数成分情報１５５は、分析ＤＢ１５３に格納される。そして、ログ分析プログラム１５２は、前述した周波数成分情報１５５に対し、周波数の偏りの度合いを分析、評価して、結果を図１４に示して後述するような分析情報に埋め込む（ステップＳ０２８、Ｓ０２９）。

周波数の偏りとは、例えば、各周波数成分における強度の分散値のように、図７に示して説明した周波数成分情報の周波数成分１〜ｎのうち、一部の周波数成分の強度が、それ以外の周波数成分の強度より高くなる度合いを示したものである。周波数成分の偏りが高いということは、すなわち、そのイベント統計情報が、ある周期性を持つことを表しており、逆に周波数成分の偏りが低いということは、そのイベント統計情報が周期性を持たないことを表している。

（13）ここで得られた周波数成分の偏りなどの分析結果は、分析情報１５６として分析ＤＢ１５３に格納される。そして、ログ分析プログラム１５２は、逐次あるいは定期的に分析ＤＢ１５３に格納された分析情報１５６と予め設定したアラート発生条件に基づきアラートを通知するか否かの判断を行う（ステップＳ０３０、Ｓ０３１）。

（14）ステップＳ０３１で、アラート通知が必要と判断された場合、ログ分析プログラム１５２は、アラート通知装置１５に対し、図８に示して説明したようなアラート通知情報を含む通知命令を送信する（ステップＳ０３２）。

（15）一方、アラート通知装置１６は、起動されると、その直後にアラート通知プログラム１６２を起動する。起動されたアラート通知プログラム１６２には、予めアラートを通知するためのメールアドレスや公開用ＷＥＢサーバ等の情報を設定する（ステップＳ０３４）。

（16）アラート通知装置１６のアラート通知プログラム１６２は、ステップＳ０３４で送信されてきた分析装置１５からアラート通知命令を受信すると、図８に示して説明したようなアラート通知情報をアラートＤＢ１６３に格納する（ステップＳ０３５、Ｓ０３６）。

（17）次に、アラート通知プログラム１６２は、前述のアラート通知先情報と、アラートＤＢ１６３のアラート情報１６４に基づきアラート通知を作成し、管理者あるいはユーザに対してメールやＷＥＢなどの通信手段を用いてアラートを送信する（ステップＳ０３７、Ｓ０３８）。

（18）管理者あるいはユーザは、ステップＳ０３８で送信されてきた前述のアラート通知を受信し、インシデントの発生状況を確認する（ステップＳ０３９）。

前述で説明した処理において、分析装置のログ分析プログラムは、分析ＤＢに格納されている分析情報の中から、類似した周波数成分を持つイベント統計情報を検索する機能を有し、１つのイベント統計情報を指定することにより、類似する周波数成分を有するイベント統計情報の一覧を表示装置に順位付けて表示することができ、また、分析情報の中から、全てのイベント統計情報の類似性を検証し、類似性の高いイベント統計情報ペアの一覧を表示装置に順位付けて表示することができる。

また、分析装置のログ分析プログラムは、分析情報の中から、特定の周波数の強度に基づいてイベント統計情報を検索する機能を有し、１つあるいは複数の周波数を指定することにより、その周波数を持つイベント統計情報の一覧を表示装置に順位付けて表示することができ、また、分析情報の中から、特定周波数の強度が高くなっているイベント統計情報を検索し、イベント統計情報の一覧を表示装置に順位付けて表示することができる。

図１４は分析装置による分析の結果得られた分析情報の構成例を示す図である。

この分析情報は、ログ分析プログラム１５２が、前述したフローにおけるステップＳ０２９の処理により生成したものであり、周波数成分情報１５５に対し、周波数の偏りの度合いを分析、評価したものである。周波数の偏りの分析情報は、分析対象周波数成分情報識別子に対して、周波数成分情報の周波数成分１〜ｎの各周波数と、その強度と、偏り指数、周波数、強度とにより構成される。

前述した本発明の実施形態によれば、分析装置は、ワーム等の不正な行為を行う複数の端末装置により同時期に攻撃が発生した場合においても、その不正な行為の発生状況を確認することができる。また、分析情報は、分析装置の分析ＤＢに蓄積されているので、特定のインシデントと同様の性質を持つイベント統計情報を直ちに検索することが可能となる。すなわち、例えば、ポート４４５番に関連するインシデントが、前記インシデントと同様の性質をもっていた場合や、１ヶ月前に同様の条件で発生したインシデントが、前記インシデントと同様の性質を持っていた場合などを直ちに検出することが可能となり、これまでの統計グラフをみたり、過去のパターンとの対比することでは正確に検知できないインシデントを効率的に検知することが可能になる。

前述した本発明の実施形態における各処理はプログラムにより構成し計算機が備えるＣＰＵに実行させることができ、また、それらのプログラムは、ＦＤ、ＣＤＲＯＭ、ＤＶＤ等の記録媒体に格納して提供することができ、また、ネットワークを介してディジタル情報により提供することができる。

本発明の一実施形態によるログ分析システムの構成を示すブロック図である。 端末装置、ＩＤＳ、ＦＷのハードウェア構成を示すブロック図である。 収集装置、分析装置、アラート通知装置のハードウェア構成を示すブロック図である。 端末装置、ＩＤＳ、ＦＷの機能構成を示すブロック図である。 収集装置、分析装置、アラート通知装置の機能構成を示すブロック図である。 収集装置のイベントＤＢに格納されたイベント情報の構成、分析装置から収集装置へのイベント取得要求の構成、イベント取得要求に対して収集装置が分析装置に送信するイベント取得結果の構成を示す図である。 分析装置の分析ＤＢに格納されるイベント統計情報と、統計情報を周波数成分に変換した周波数成分情報との構成を示す図である。 アラート通知装置が管理者やユーザ等に対して送信するアラート通知情報の構成を示す図である。 本発明の実施形態によるログ分析システムの動作の概要を説明する図である。 ログ分析システムにおける各装置の動作を説明するための前提となるネットワーク構成を示すブロック図である。 ログ分析システムにおける各装置の動作を説明するための前提となるワームＷの性質を説明する図である。 本発明の実施形態によるログ分析システムにおける各装置の処理動作について説明するフローチャート（その１）である。 本発明の実施形態によるログ分析システムにおける各装置の処理動作について説明するフローチャート（その２）である。 分析装置による分析の結果得られた分析情報の構成例を示す図である。

符号の説明

１０ ログ分析システム
１１、６１、７１、８１ 端末装置
１２ ＩＤＳ（侵入検知装置）
１３ ＦＷ（ファイアウォール）
１４ 収集装置
１５ 分析装置
１６ アラート通知装置
１８ ローカルエリアネットワーク
１９ 管理用ネットワーク
５０ インターネット
６０ Ａ国
７０ Ｂ国
８０ Ｃ国
111、121、123、131、133、134、141、151、161 データ送受信部
１１２ 不正通信プログラム
１２２ 検知プログラム
１３２ アクセス制御プログラム
１４２ イベント収集正規化プログラム
１４３ イベントＤＢ
１４４ イベント情報
１５２ ログ分析プログラム
１５３ 分析ＤＢ
１５４ イベント統計情報
１５５ 周波数成分情報
１５６ 分析情報
１６２ アラート通知プログラム
１６３ アラートＤＢ
１６４ アラート情報
1101、1201、1301、1401、1501、1601 バス
1102、1202、1302、1402、1502、1602 演算装置
1103、1203、1303、1403、1503、1603 表示装置
1104、1204、1304、1404、1504、1604 入力装置
1105、1205、1305、1405、1505、1605 メモリ
1106、1206、1306、1406、1506、1606 記憶装置
1107、1207、1208、1307、1308、1309、1407、1507、1607 通信装置

Claims (8)

1. ネットワーク上で発生したインシデントの状況を分析するログ分析システムにおいて、
   セキュリティ装置と、収集装置と、分析装置とを備え、
   前記セキュリティ装置は、ネットワーク上を流れる不正なパケットを検知する手段と、不正なパケットを検知したときにイベント情報を前記収集装置に送信する手段とを備えて構成され、
   前記収集装置は、前記セキュリティ装置からのイベント情報を取得してイベントデータベースに格納する手段と、前記分析装置からのイベント取得要求を受信して、指定された条件のイベントをイベントデータベースから検索する手段と、検索したイベントを前記分析装置に送信する手段とを備えて構成され、
   前記分析装置は、指定期間に発生し、かつ、指定条件に一致するイベントを取得するための要求を前記収集装置に送信する手段と、要求により前記収集装置から取得したイベント情報を分析する手段と、分析結果の情報を格納する分析データベースとを備え、さらに、取得したイベント情報に基づいてイベント統計情報を作成する手段と、作成したイベント統計情報に対して周波数分解処理を適用して周波数情報と強度情報とから構成される周波数成分情報を作成する手段と、
   前記分析結果の情報の中から全てのイベント統計情報の類似性を検証する手段と、類似性の高いイベント統計情報ペアの一覧を表示装置に順位付けて表示する手段と、
   前記分析結果の情報の中から特定の周波数の強度に基づいたイベント統計情報を検索する手段と、１つあるいは複数の周波数を指定することにより、その周波数を持つイベント統計情報の一覧を表示装置に順位付けて表示する手段と、
   前記分析結果情報の中から特定周波数の強度が高くなっているイベント統計情報を検索する手段と、イベント統計情報の一覧を表示装置に順位付けて表示する手段とを備えることを特徴とするログ分析システム。
2. アラート通知装置をさらに備え、該アラート通知装置は、前記分析装置が分析した結果を、関係するネットワーク管理者や利用者に対して通知することを特徴とする請求項１記載のログ分析システム。
3. 前記分析装置は、前記分析情報の中から類似した周波数成分を持つイベント統計情報を検索する手段と、１つのイベント統計情報を指定することにより、類似する周波数成分を有するイベント統計情報の一覧を表示装置に順位付けて表示する手段とを備えることを特徴とする請求項１記載のログ分析システム。
4. ネットワーク上で発生したインシデントの状況を分析するログ分析システムでのログ分析方法において、
   セキュリティ装置と、収集装置と、分析装置とを備え、
   前記セキュリティ装置は、ネットワーク上を流れる不正なパケットを検知し、不正なパケットを検知したときにイベント情報を前記収集装置に送信し、
   前記収集装置は、前記セキュリティ装置からのイベント情報を取得してイベントデータベースに格納し、前記分析装置からのイベント取得要求を受信して、指定された条件のイベントをイベントデータベースから検索し、検索したイベントを前記分析装置に送信し、
   前記分析装置は、指定期間に発生し、かつ、指定条件に一致するイベントを取得するための要求を前記収集装置に送信し、要求により前記収集装置から取得したイベント情報を分析し、分析結果の情報を分析データベース格納し、さらに、取得したイベント情報に基づいてイベント統計情報を作成し、作成したイベント統計情報に対して周波数分解処理を適用して周波数情報と強度情報とから構成される周波数成分情報を作成し、
   前記分析結果の情報の中から全てのイベント統計情報の類似性を検証し、類似性の高いイベント統計情報ペアの一覧を表示装置に順位付けて表示し、
   前記分析結果の情報の中から特定の周波数の強度に基づいたイベント統計情報を検索し、１つあるいは複数の周波数を指定することにより、その周波数を持つイベント統計情報の一覧を表示装置に順位付けて表示し、
   前記分析結果情報の中から特定周波数の強度が高くなっているイベント統計情報を検索し、イベント統計情報の一覧を表示装置に順位付けて表示することを特徴とするログ分析方法。
5. アラート通知装置をさらに備え、前記分析装置は、前記周波数成分情報に基づいてインシデントの発生傾向を判断した後、該インシデントの発生傾向を表やグラフとしてアラート情報を生成し、アラート通知装置にアラート情報を送信し、前記アラート通知装置は、受信したアラート情報をネットワーク管理者や利用者に対して通知することを特徴とする請求項４記載のログ分析方法。
6. 前記分析装置は、前記１つのイベント統計情報から生成した周波数成分情報と、それ以外のイベント統計情報から生成した周波数成分情報との類似性を相関値として数値化して、得られた相関値に基づいてイベント統計情報を順位付けして表示することを特徴とする請求項４記載のログ分析方法。
7. 前記分析装置は、前記周波数成分情報から特定の周波数の強度が高くなっている周波数成分情報を検索し、周波数成分の関連するイベント統計情報をその強度に基づいて順位付けて表示することを特徴とする請求項４記載のログ分析方法。
8. ネットワーク上で発生したインシデントの状況を分析するログ分析装置において、
   前記分析装置は、指定期間に発生し、かつ、指定条件に一致するイベントを取得するための要求を、セキュリティ装置がネットワーク上を流れる不正なパケットを検知して得たイベント情報をセキュリティ装置から取得してイベントデータベースに格納している収集装置に送信する手段と、要求により前記収集装置から取得したイベント情報を分析する手段と、分析結果の情報を格納する分析データベースとを備え、さらに、取得したイベント情報に基づいてイベント統計情報を作成する手段と、作成したイベント統計情報に対して周波数分解処理を適用して周波数情報と強度情報とから構成される周波数成分情報を作成する手段と、前記周波数成分に基づいた分析を行いインシデントの発生傾向を判断する手段とを備え、
   前記分析結果の情報の中から全てのイベント統計情報の類似性を検証する手段と、類似性の高いイベント統計情報ペアの一覧を表示装置に順位付けて表示する手段と、
   前記分析結果の情報の中から特定の周波数の強度に基づいたイベント統計情報を検索する手段と、１つあるいは複数の周波数を指定することにより、その周波数を持つイベント統計情報の一覧を表示装置に順位付けて表示する手段と、
   前記分析結果情報の中から特定周波数の強度が高くなっているイベント統計情報を検索する手段と、イベント統計情報の一覧を表示装置に順位付けて表示する手段とを備えることを特徴とするログ分析装置。

Images