JP4600327B2

JP4600327B2 - ログ解析システム、ログ解析ツール設定方法およびプログラム

Info

Publication number: JP4600327B2
Application number: JP2006085677A
Authority: JP
Inventors: 祐坂本
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2006-03-27
Filing date: 2006-03-27
Publication date: 2010-12-15
Anticipated expiration: 2026-03-27
Also published as: JP2007264760A

Description

本発明は、ログ解析ツールの設定の変更と評価を繰り返すことで、システムにおける最適なログ解析ツールの設定を発見する技術に関する。

従来、ログを集積し、それを解析するツールがあった。

ここで、不正通信の自動設定侵入検知装置からの通知をデータベースに格納し、攻撃傾向や頻度を分析し、各自動設定侵入検知装置に対して、その攻撃傾向や頻度にあわせた設定情報を配布する集約装置の解釈可能なデータに変換し、ファイアウォール、侵入検知装置から得られた不正アクセスログをログデータベースに格納し、管理者に不正アクセスを報告し、ファイアウォール、侵入検知装置の固有の設定データ形態を解析し、集約装置の解釈可能なデータに変換し、解釈可能なデータとして変換された設定情報を保持し、新たに設定しなければならない情報を受け取り、設定情報への改変、更新を行うことで、監視対象ネットワークが多くても、また、管理者が異なっても、不正アクセスの対処方法を一元管理することが容易である不正通信の自動設定侵入検知装置を提供することができる技術が提案されている（例えば、特許文献１参照）。
特開２００５−２９３５０９号公報

しかしながら、上述した従来例においては次のような問題点があった。

解析するログに対して有効な設定を見つけることが困難であり、有識者でも試行錯誤が必要であった。

本発明は、以上説明した事情に鑑みてなされたものであり、その目的は、ユーザが目標スコアを指定することで、自動的にログ解析ツールの設定変更と試行錯誤を行うことによって、目標スコアを達成する設定を発見することにある。

上記課題を解決するために、本発明は、セッション生成モジュールは、連続する２つのログの記録時刻が所定時間以上である箇所をセッションの区切りとしてログファイルを１つ以上のログからなるセッションに分割し、
解析モジュールは、該セッションごとに解析を行い、セッションごとの異常度等を解析スコアとして出力するログ解析システムにおいて、
目標スコア変換モジュールは、前記セッションごとに分割した複数のログの各々にユーザが指定した目標スコアの下限のうち、最小のものを前記セッションごとの目標スコアの下限とし、前記目標スコアの上限のうち、最大のものを前記セッションごとの目標スコアの上限として抽出し、
パラメータ設定モジュールは、所定の複数のパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させ、
評価モジュールは、目標スコアを満たすパラメータ候補を探すために前記解析モジュールの出力する前記解析スコアが前記セッションごとの目標スコアを満たすか否か評価し、
前記評価モジュールにより前記目標スコアを満たさないと評価され、前記所定の複数のパラメータ候補に目標スコアを満たすパラメータ候補が無い場合、前記パラメータ設定モジュールは複数の新しいパラメータ候補を生成し、生成した該新しいパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させ、前記評価モジュールは、前記評価をし、
前記複数のパラメータ候補のうち、少なくとも１つのパラメータ候補が前記目標スコアを満たすパラメータ候補であると評価されるまで前記パラメータ候補の前記生成による変更と前記評価とを繰り返すことで、より前記目標スコアの範囲に前記解析スコアが収まる割合が大きく評価結果の良い前記目標スコアを満たすパラメータ候補を発見することを特徴とするログ解析システムを提供する。

また、本発明は、セッション生成モジュールが、連続する２つのログの記録時刻が所定時間以上である箇所をセッションの区切りとしてログファイルを１つ以上のログからなるセッションに分割し、
解析モジュールが、該セッションごとに解析を行い、セッションごとの異常度等を解析スコアとして出力するログ解析ツールのログ解析ツール設定方法であって、
目標スコア変換モジュールが、前記セッションごとに分割した複数のログの各々にユーザが指定した目標スコアの下限のうち、最小のものを前記セッションごとの目標スコアの下限とし、前記目標スコアの上限のうち、最大のものを前記セッションごとの目標スコアの上限として抽出するステップと、
パラメータ設定モジュールが、所定の複数のパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させるステップと、
評価モジュールが、目標スコアを満たすパラメータ候補を探すために前記解析モジュールの出力する前記解析スコアが前記セッションごとの目標スコアを満たすか否か評価するステップと、
前記評価モジュールにより前記目標スコアを満たさないと評価され、前記所定の複数のパラメータ候補に目標スコアを満たすパラメータ候補が無い場合、前記パラメータ設定モジュールが複数の新しいパラメータ候補を生成し、生成した該新しいパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させ、前記評価モジュールが、前記評価をするステップと
を有し、
前記複数のパラメータ候補のうち、少なくとも１つのパラメータ候補が前記目標スコアを満たすパラメータ候補であると評価されるまで前記パラメータ候補の前記生成による変更と前記評価とを繰り返すことで、より前記目標スコアの範囲に前記解析スコアが収まる割合が大きく評価結果の良い前記目標スコアを満たすパラメータ候補を発見することを特徴とするログ解析ツール設定方法を提供する。

また、本発明は、コンピュータに、セッション生成モジュールによって、連続する２つのログの記録時刻が所定時間以上である箇所をセッションの区切りとしてログファイルを１つ以上のログからなるセッションに分割する処理と、
解析モジュールによって、該セッションごとに解析を行い、セッションごとの異常度等を解析スコアとして出力する処理とを実行させるログ解析ツールのプログラムであって、
コンピュータに、目標スコア変換モジュールが、前記セッションごとに分割した複数のログの各々にユーザが指定した目標スコアの下限のうち、最小のものを前記セッションごとの目標スコアの下限とし、前記目標スコアの上限のうち、最大のものを前記セッションごとの目標スコアの上限として抽出する処理と、
パラメータ設定モジュールが、所定の複数のパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させる処理と、
評価モジュールが、目標スコアを満たすパラメータ候補を探すために前記解析モジュールの出力する前記解析スコアが前記セッションごとの目標スコアを満たすか否か評価する処理と、
前記評価モジュールにより前記目標スコアを満たさないと評価され、前記所定の複数のパラメータ候補に目標スコアを満たすパラメータ候補が無い場合、前記パラメータ設定モジュールが複数の新しいパラメータ候補を生成し、生成した該新しいパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させ、前記評価モジュールが、前記評価をする処理と
を実行させ、
前記複数のパラメータ候補のうち、少なくとも１つのパラメータ候補が前記目標スコアを満たすパラメータ候補であると評価されるまで前記パラメータ候補の前記生成による変更と前記評価とを繰り返すことで、より前記目標スコアの範囲に前記解析スコアが収まる割合が大きく評価結果の良い前記目標スコアを満たすパラメータ候補を発見させることを特徴とするプログラムを提供する。

本発明によれば、自動的にログ解析ツールの設定変更と試行錯誤を行うことによって、目標スコアを達成する設定を発見することができる。

以下、本発明の実施の形態について図面を参照して詳細に説明する。

図１を参照すると、本実施の形態におけるログ解析システムとしてのログ解析ツールは、セッション生成モジュール１０２と解析モジュール１０３から構成される。

評価モジュール１００は、ユーザが指定する評価完了条件に従って解析スコアファイル１０９と目標スコアファイル１０７を比較評価し、評価結果をパラメータ設定モジュール１０１に渡す機能を有する。

詳細ロジックは図２に示す。

パラメータ設定モジュール１０１は、ユーサが指定する探索範囲と評価モジュール１００から渡される評価結果に従って各パラメータを変更し、変更したパラメータを指定してセッション生成モジュール１０２と解析モジュール１０３を動作させる機能を有する。

詳細ロジックは図３、図４に示す。

セッション生成モジュール１０２は、パラメータ設定モジュール１０１から指定されたパラメータに従って解析対象ログファイル１０５からセッションデータをセッションデータファイル１０６に出力する機能を有する。

詳細ロジックは図５に示す。

解析対象ログファイル１０５とセッションデータファイル１０８の関係の一例を図６に示す。これは、解析対象ログファイル（syslog_merge.log）を以下のセッション化ルールでセッション化したものである。

ログから時刻情報とホスト情報を削除し、メッセージから数字を削除したものをシンボルとし、ログの間隔が６０秒以上開くごとにセッションを分割する。

セッションヘッダはセッションの先頭にあり、以下のような形式で情報を持つ。
セッション番号△セッションに含まれるシンボル数△解析対象ログにおける開始行番号△解析対象ログにおける終了行番号△”解析対象ログファイル名”
また、セッションが複数ファイルに及ぶ場合や行番号が連続しない場合は、
「”解析対象ログファイル名”」のあとに必要なだけ
「△解析対象ログにおける開始行番号△解析対象ログにおける終了行番号△”解析対象ログファイル名”」
を記載することで表現する。
(△は半角スペースとする。)

解析モジュール１０３は、パラメータ設定モジュール１０１から指定されたパラメータに従ってセッションデータファイル１０８からセッションデータを読み込み、セッションごとの解析スコアを解析スコアファイル１０９に出力する。

詳細ロジックは図７に示す。

セッションデータファイル１０８と解析スコアファイル１０９の関係の一例を図８に示す。
解析スコアファイルには、セッションごとの解析結果である解析スコアがあり、解析スコアには以下のような形式で情報をもつ。
セッション番号,解析スコア１,解析スコア２,解析スコア３,、解析対象ログファイルにおける開始行番号△解析対象ログファイルにおける終了行番号△”解析対象ログファイル名”
なお、「解析対象ログファイルにおける開始行番号△解析対象ログファイルにおける終了行番号△”解析対象ログファイル名”」の部分についてはセッションデータファイル１０８と同様である。

また、解析スコアが４つ以上の場合は、
セッション番号、解析スコア１,解析スコア２,解析スコア３,解析スコア４,・・・解析対象ログファイルにおける開始行番号△解析対象ログファイルにおける終了行番号△”解析対象ログファイル名”
というように「,」で区切って追加していけばよい。

目標スコア変換モジュール１０４は、ユーザがログごとに指定する目標スコアをもつユーザ指定目標スコアファイル１０６とセッションデータファイル１０８からセッションごとの目標スコアもつ目標スコアファイル１０７を生成する機能を有する。

詳細ロジックは図９に示す。

ユーザ指定目標スコアファイル１０６とセッションデータファイル１０８と目標スコアファイル１０７の関係の一例は図１０に示す。これは、ユーザ指定目標スコアファイル１０６のログごとに指定された目標スコアをセッションデータファイル１０８のセッションと同様に分割し、そのセッション内の目標スコア(解析スコアの目標範囲)の中からそのセッションの目標スコアを算出している。

また、解析スコア１に対しては目標スコアの指定はなく、解析スコア２に対しては２つの目標範囲が指定されており、解析スコア３に対しては１つの目標範囲が指定されていることを示している。ユーザ指定目標スコアファイル１０６は以下の形式でログごとの目標スコアを示している。

解析スコア１の目標範囲,解析スコア２の目標範囲,解析スコア３の目標範囲
また、各目標範囲は「下限△上限」の順で示し、一つの解析スコア（解析スコア１や解析スコア２など）に対して複数の目標範囲を指定する場合は、
目標範囲１の下限△目標範囲１の上限△目標範囲２の下限△目標範囲２の上限 …
というように指定する。

次に、本実施の形態の動作を説明する。

ログ解析ツールの自動設定を行う場合、まず、評価モジュール１００は評価完了条件を設定し、パラメータ設定モジュール１０１にパラメータ設定開始要求を行う（２００−２０２）。ここでは、評価完了条件として「解析スコア２が目標範囲２の上限と下限の間に全セッションの９０％以上が収まり、かつ解析スコア２が目標範囲１の上限と下限の間に全て収まり、かつ解析スコア３が目標範囲３の上限と下限の間にすべて収まる場合」もしくは、「検証回数が１０００回に到達した場合」とする。これらは評価完了条件の一例であり限定されない。

パラメータ設定モジュール１０１はパラメータ設定要求を受けると、ユーザが指定する最適値を探索するパラメータとその探索範囲、初期値、固定値とするパラメータの値を設定する (３００−３０２)。

ここでの各モジュールに指定するパラメータはセッション生成モジュール１０２に対しては５つ、解析モジュール１０３に対しては３つとし、探索するパラメータと探索範囲の一例は図１１に示す。

ここでの初期値（パラメータ候補）は５つ用意し、それを図１２に示す。

また、各パラメータ候補は図１３のように管理する。

初期値としてパラメータ候補がセットされると、そのパラメータ候補で、セッション作成モジュール１０２にセッションデータ生成要求と解析モジュール１０３に解析要求を行い、目標スコア変換モジュール１０４に目標スコア変換要求を行う（３０３−３０５）。
ここでは、パラメータ候補Ａが選択されたものとする。

セッション生成モジュール１０２は、セッションデータ生成要求を受けると、解析対象ログを読み込み、セッションデータを出力する（４００−４０３）。

解析モジュール１０３は、解析要求を受けると、セッションデータを読み込み、解析スコアを出力する（６００−６０３）。

目標スコア変換モジュール１０４は、ユーザ指定目標スコアを読み込み、目標スコア変換要求を受けると、セッションデータを読み込み、目標スコアを出力する（８００−８０５）。

ここでのユーザ指定目標スコアから目標スコアの算出方法は、ユーザ指定目標スコアの同じセッションの同じ目標範囲から下限は最小値、上限は最小値を目標スコアの下限、上限とする。

例えば、同一セッションのユーザ指定目標スコアが以下の場合、
,,4.000000e-002 1.000000e-001 6.000000e-002 9.000000e-002,1.000000e+000 3.000000e+000
,,8.000000e-001 1.000000e+000 8.500000e-001 9.000000e-001,1.000000e+000 3.000000e+000
,,8.000000e-001 1.000000e+000 8.500000e-001 9.000000e-001,1.000000e+000 3.000000e+000
,,5.000000e-002 9.000000e-002 6.000000e-002 8.000000e-002,1.000000e+000 3.000000e+000
,,8.000000e-001 1.000000e+000 8.500000e-001 9.000000e-001,1.000000e+000 3.000000e+000
,,8.000000e-001 1.000000e+000 8.500000e-001 9.000000e-001,1.000000e+000 3.000000e+000
同一セッションの目標スコアは以下のようになる。
2,,4.000000e-002 1.000000e+000 6.000000e-002 9.000000e-001,1.000000e+000 3.000000e+000

評価モジュール１００は、目標スコア、解析スコアを読み込み、同じセッション番号の目標スコアと解析スコアを比較評価する（２０３−２０５）。

ここでは、解析スコア２が目標範囲２の下限を下回るセッションがあったとする。

この場合、「評価完了条件の未達」を意味する評価結果をパラメータ設定変更モジュール１０１に渡す（２０６）。

パラメータ設定変更モジュール１０１は「評価完了条件の未達」を意味する評価結果を受けると、セッション生成モジュール１０２にセッションデータ生成中止要求、解析モジュールに解析中止要求、目標スコア変換モジュールに目標スコア変換中止要求を行う（３０７，３１２−３１４）。

次に、まだ未検証であるパラメータ候補（パラメータ候補Ｂ、パラメータ候補Ｃ、パラメータ候補Ｄ、パラメータ候補Ｅ）があるので、次のパラメータ候補（パラメータ候補Ｂ）をセットして、各モジュールに開始要求を行う（３１５−３１６，３０３−３０５）。

ここでは、初期値であるパラメータ候補は全て、評価完了条件を達成できなかったとする。

すべてのパラメータ候補について検証を実施し、評価完了条件を達成できなかった場合は、評価結果の順にパラメータ候補を並べ、順位が一つ上位であるパラメータ候補からランダムな位置のビットをコピーし、最も評価結果の悪いパラメータ候補のランダムな位置のビット反転を行い新しいパラメータ候補を生成する（３１５，３１７−３２０）。

ここでの評価結果が良い順は以下のようにする。
「解析スコア２が目標範囲１の上限と下限の間に全て収まり、かつ、解析スコア３が目標範囲３の上限と下限の間に全て収まる場合」＞「解析スコア２が目標範囲１の上限と下限の間に全て収まる」＞「解析スコア３が目標範囲３の上限と下限の間にすべて収まる場合」＞「その他の場合」

同一条件内では、解析スコア２が目標範囲２の上限と下限の間に収まっている割合が大きいほど良いとする。

新しいパラメータ候補の生成方法の一例を図１４に示す。
ここでは、Ｄ、Ｂ、Ａ、Ｅ、Ｃの順となったとし、コピーならびに反転するビットは１つとする。
この新しいパラメータ候補の生成で、生成されたパラメータが探索範囲外を示している場合は、パラメータの補正を行う（３２１）。
ここでの補正方法は、探索範囲の上限より大きい場合は探索範囲の上限、探索範囲の下限より小さい場合は探索範囲の下限として扱うように補正する。ただし、パラメータ候補を示すビット列自体は変更しない。

新しいパラメータ候補を図１５に示す。
新たにパラメータ候補を生成すると、その新たに生成したパラメータ候補をセットして、セッション生成モジュール１０２、解析モジュール１０３に開始要求を行い、目標スコア変換モジュール１０４に開始要求を行う（３２２，３０３−３０５）。

なお、パラメータ候補Ｄは変更がないので検証を行わない。

このパラメータ候補の生成と検証を「評価完了条件を達成する」を意味する評価結果を受けるまで行う。

そして、パラメータ候補の生成と検証の繰り返しによって、最適なパラメータ候補が生成され、そのパラメータ候補をセットして、セッション生成モジュール１０２、解析モジュール１０３、目標スコア変換モジュールに開始要求１０４が行われたとする。

すると、評価モジュール１００が目標スコアと解析スコアを読み込み、比較評価を行う（２０３−２０５）。

ここで、「解析スコア２が目標範囲２の上限と下限の間に全セッションの９０％以上が収まり、解析スコア２が目標範囲１の上限と下限の間に全て収まり、解析スコア３が目標範囲３の上限と下限の間にすべて収まる場合」という評価完了条件の達成が確認されると、その評価結果をパラメータ設定モジュール１０１に渡し、評価モジュール１００は次の評価開始要求を待つ（２０６−２０７）。

パラメータ設定変更モジュール１０１は、評価完了条件の達成を意味する評価結果を受けるとパラメータ候補値を評価結果の良い順に出力し、セッション生成モジュール１０２、解析モジュール１０３、目標スコア変換モジュール１０４に中止要求を行い、次のパラメータ設定変更開始要求を待つ（３０７−３１１）。

また、セッション生成モジュール１０２、解析モジュール１０３、目標スコア変換モジュール１０４も中止要求を受けると次の開始要求を待つ。

以上により、最適なログ解析ツールの設定の発見を容易にする。

なお、上記の実施の形態で具体的に示した、評価完了条件、探索するパラメータ、設定可能なパラメータの種類、探索範囲、パラメータの補正方法、新しいパラメータの生成方法、ログ毎の目標スコアをセッション毎の目標スコアに変換する方法、解析対象ログファイルのフォーマット、セッションデータファイルのフォーマット、解析スコアファイルのフォーマット、ユーザ指定目標スコアファイルのフォーマット、目標スコアファイルのフォーマット等は適宜該当箇所で言及したものもあるが、一例に過ぎず、種々の変形を含むものである。

上述する各実施の形態は、本発明の好適な実施の形態であり、本発明の要旨を逸脱しない範囲内において種々変更実施が可能である。例えば、本ログ解析システムの機能を実現するためのプログラムを各装置に読込ませて実行することにより各装置の機能を実現する処理を行ってもよい。さらに、そのプログラムは、コンピュータ読み取り可能な記録媒体であるＣＤ−ＲＯＭまたは光磁気ディスクなどを介して、または伝送媒体であるインターネット、電話回線などを介して伝送波により他のコンピュータシステムに伝送されてもよい。

上述する各実施の形態は、本ログ解析システムが１つのコンピュータシステムとして実現されている構成について説明したが、各機能が別個に接続されている構成や機能毎に複数の装置などが追加された構成にも適用可能であることはもちろんである。

本発明の実施の形態におけるログ解析システムの概念図である。本発明の実施の形態における評価モジュールを示す図である。本発明の実施の形態におけるパラメータ設定モジュールの一例を示す図である。本発明の実施の形態におけるパラメータ設定モジュールの一例を示す図である。本発明の実施の形態におけるセッション生成モジュールを示す図である。本発明の実施の形態における解析対象ログファイルとセッションデータファイルの関係を示す図である。本発明の実施の形態における解析モジュールを示す図である。本発明の実施の形態におけるセッションデータファイルと解析スコアファイルの関係を示す図である。本発明の実施の形態における目標スコア変換モジュールを示す図である。本発明の実施の形態におけるユーザ指定目標スコアファイルとセッションデータファイルと目標スコアファイルの関係を示す図である。本発明の実施の形態における各モジュールと各パラメータの探索範囲を示す図である。本発明の実施の形態における各初期値を示す図である。本発明の実施の形態におけるパラメータ候補の管理を示す図である。本発明の実施の形態における新しいパラメータ候補の生成を示す図である。本発明の実施の形態における新しいパラメータ候補を示す図である。

符号の説明

１００評価モジュール
１０１パラメータ設定モジュール
１０２セッション生成モジュール
１０３解析モジュール
１０４目標スコア変換モジュール
１０５解析対象ログファイル
１０６セッションデータファイル
１０７目標スコアファイル
１０８セッションデータファイル
１０９解析スコアファイル

Claims

セッション生成モジュールは、連続する２つのログの記録時刻が所定時間以上である箇所をセッションの区切りとしてログファイルを１つ以上のログからなるセッションに分割し、
解析モジュールは、該セッションごとに解析を行い、セッションごとの異常度等を解析スコアとして出力するログ解析システムにおいて、
目標スコア変換モジュールは、前記セッションごとに分割した複数のログの各々にユーザが指定した目標スコアの下限のうち、最小のものを前記セッションごとの目標スコアの下限とし、前記目標スコアの上限のうち、最大のものを前記セッションごとの目標スコアの上限として抽出し、
パラメータ設定モジュールは、所定の複数のパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させ、
評価モジュールは、目標スコアを満たすパラメータ候補を探すために前記解析モジュールの出力する前記解析スコアが前記セッションごとの目標スコアを満たすか否か評価し、
前記評価モジュールにより前記目標スコアを満たさないと評価され、前記所定の複数のパラメータ候補に目標スコアを満たすパラメータ候補が無い場合、前記パラメータ設定モジュールは複数の新しいパラメータ候補を生成し、生成した該新しいパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させ、前記評価モジュールは、前記評価をし、
前記複数のパラメータ候補のうち、少なくとも１つのパラメータ候補が前記目標スコアを満たすパラメータ候補であると評価されるまで前記パラメータ候補の前記生成による変更と前記評価とを繰り返すことで、より前記目標スコアの範囲に前記解析スコアが収まる割合が大きく評価結果の良い前記目標スコアを満たすパラメータ候補を発見することを特徴とするログ解析システム。
セッション生成モジュールが、連続する２つのログの記録時刻が所定時間以上である箇所をセッションの区切りとしてログファイルを１つ以上のログからなるセッションに分割し、
解析モジュールが、該セッションごとに解析を行い、セッションごとの異常度等を解析スコアとして出力するログ解析ツールのログ解析ツール設定方法であって、
目標スコア変換モジュールが、前記セッションごとに分割した複数のログの各々にユーザが指定した目標スコアの下限のうち、最小のものを前記セッションごとの目標スコアの下限とし、前記目標スコアの上限のうち、最大のものを前記セッションごとの目標スコアの上限として抽出するステップと、
パラメータ設定モジュールが、所定の複数のパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させるステップと、
評価モジュールが、目標スコアを満たすパラメータ候補を探すために前記解析モジュールの出力する前記解析スコアが前記セッションごとの目標スコアを満たすか否か評価するステップと、
前記評価モジュールにより前記目標スコアを満たさないと評価され、前記所定の複数のパラメータ候補に目標スコアを満たすパラメータ候補が無い場合、前記パラメータ設定モジュールが複数の新しいパラメータ候補を生成し、生成した該新しいパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させ、前記評価モジュールが、前記評価をするステップと
を有し、
前記複数のパラメータ候補のうち、少なくとも１つのパラメータ候補が前記目標スコアを満たすパラメータ候補であると評価されるまで前記パラメータ候補の前記生成による変更と前記評価とを繰り返すことで、より前記目標スコアの範囲に前記解析スコアが収まる割合が大きく評価結果の良い前記目標スコアを満たすパラメータ候補を発見することを特徴とするログ解析ツール設定方法。
コンピュータに、セッション生成モジュールによって、連続する２つのログの記録時刻が所定時間以上である箇所をセッションの区切りとしてログファイルを１つ以上のログからなるセッションに分割する処理と、
解析モジュールによって、該セッションごとに解析を行い、セッションごとの異常度等を解析スコアとして出力する処理とを実行させるログ解析ツールのプログラムであって、
コンピュータに、目標スコア変換モジュールが、前記セッションごとに分割した複数のログの各々にユーザが指定した目標スコアの下限のうち、最小のものを前記セッションごとの目標スコアの下限とし、前記目標スコアの上限のうち、最大のものを前記セッションごとの目標スコアの上限として抽出する処理と、
パラメータ設定モジュールが、所定の複数のパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させる処理と、
評価モジュールが、目標スコアを満たすパラメータ候補を探すために前記解析モジュールの出力する前記解析スコアが前記セッションごとの目標スコアを満たすか否か評価する処理と、
前記評価モジュールにより前記目標スコアを満たさないと評価され、前記所定の複数のパラメータ候補に目標スコアを満たすパラメータ候補が無い場合、前記パラメータ設定モジュールが複数の新しいパラメータ候補を生成し、生成した該新しいパラメータ候補のうちの各パラメータを指定して前記セッション生成モジュールおよび前記解析モジュールを動作させ、前記評価モジュールが、前記評価をする処理と
を実行させ、
前記複数のパラメータ候補のうち、少なくとも１つのパラメータ候補が前記目標スコアを満たすパラメータ候補であると評価されるまで前記パラメータ候補の前記生成による変更と前記評価とを繰り返すことで、より前記目標スコアの範囲に前記解析スコアが収まる割合が大きく評価結果の良い前記目標スコアを満たすパラメータ候補を発見させることを特徴とするプログラム。