JP5640166B1 - ログ分析システム - Google Patents
ログ分析システム Download PDFInfo
- Publication number
- JP5640166B1 JP5640166B1 JP2014074606A JP2014074606A JP5640166B1 JP 5640166 B1 JP5640166 B1 JP 5640166B1 JP 2014074606 A JP2014074606 A JP 2014074606A JP 2014074606 A JP2014074606 A JP 2014074606A JP 5640166 B1 JP5640166 B1 JP 5640166B1
- Authority
- JP
- Japan
- Prior art keywords
- log
- communication
- detection
- analysis
- processing
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000001514 detection method Methods 0.000 claims abstract description 201
- 238000012544 monitoring process Methods 0.000 claims abstract description 130
- 238000000034 method Methods 0.000 claims abstract description 70
- 230000008569 process Effects 0.000 claims abstract description 62
- 238000012545 processing Methods 0.000 claims description 280
- 238000010219 correlation analysis Methods 0.000 claims description 23
- 230000002776 aggregation Effects 0.000 claims description 22
- 238000004220 aggregation Methods 0.000 claims description 22
- 238000010606 normalization Methods 0.000 claims description 5
- 238000004891 communication Methods 0.000 abstract description 363
- 238000007689 inspection Methods 0.000 abstract description 6
- 230000005540 biological transmission Effects 0.000 description 69
- 230000006870 function Effects 0.000 description 26
- 238000010586 diagram Methods 0.000 description 17
- 238000009825 accumulation Methods 0.000 description 15
- 239000003795 chemical substances by application Substances 0.000 description 13
- 230000009471 action Effects 0.000 description 12
- 230000010365 information processing Effects 0.000 description 9
- 230000008859 change Effects 0.000 description 8
- 239000000284 extract Substances 0.000 description 6
- 230000002155 anti-virotic effect Effects 0.000 description 5
- 238000011156 evaluation Methods 0.000 description 5
- 241000700605 Viruses Species 0.000 description 4
- 238000000605 extraction Methods 0.000 description 4
- 238000001914 filtration Methods 0.000 description 3
- 230000007246 mechanism Effects 0.000 description 3
- 230000004931 aggregating effect Effects 0.000 description 2
- 238000013461 design Methods 0.000 description 2
- 230000004044 response Effects 0.000 description 2
- 230000002159 abnormal effect Effects 0.000 description 1
- 230000004913 activation Effects 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 230000000295 complement effect Effects 0.000 description 1
- 238000004590 computer program Methods 0.000 description 1
- 235000009508 confectionery Nutrition 0.000 description 1
- 230000009849 deactivation Effects 0.000 description 1
- 230000008034 disappearance Effects 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 239000004973 liquid crystal related substance Substances 0.000 description 1
- 238000012806 monitoring device Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 238000011895 specific detection Methods 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
- G06Q50/10—Services
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/64—Hybrid switching systems
- H04L12/6418—Hybrid transport
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/149—Network analysis or design for prediction of maintenance
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/02—Capturing of monitoring data
- H04L43/026—Capturing of monitoring data using flow identification
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/06—Generation of reports
- H04L43/065—Generation of reports related to network devices
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Signal Processing (AREA)
- Computer Networks & Wireless Communication (AREA)
- Theoretical Computer Science (AREA)
- Business, Economics & Management (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Tourism & Hospitality (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- General Health & Medical Sciences (AREA)
- Economics (AREA)
- Marketing (AREA)
- Primary Health Care (AREA)
- Strategic Management (AREA)
- General Business, Economics & Management (AREA)
- Health & Medical Sciences (AREA)
- Human Resources & Organizations (AREA)
- Computing Systems (AREA)
- Debugging And Monitoring (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
- Computer And Data Communications (AREA)
- Radar Systems Or Details Thereof (AREA)
Abstract
Description
そして、処理装置の第1処理ユニットは、取得装置の種類に対応して設定された規則に基づいて、第1処理ユニットを構成する処理単位ブロックの種類および適用順を特定して処理を行う。
また、処理装置の第2処理ユニットは、検知ログに前記共通情報を付加し、情報粒度を揃えるために行われる個々の処理ごとに個別にコンポーネント化された処理単位ブロックを組み合わせて構成される。
そして、処理装置の第2処理ユニットは、監視対象単位の種類に対応して設定された規則に基づいて、第2処理ユニットを構成する処理単位ブロックの種類および適用順を特定して処理を行う。
また、処理装置の第3処理ユニットは、第2処理ユニットから出力された分析単位情報を、相関関係の分析が行われる分析単位情報と相関関係の分析が行われない分析単位情報とに分ける分類手段と、相関関係の分析が行われる分析単位情報を集積して検出対象の事象の候補とする集積手段と、この検出対象の事象の候補に対して分析単位情報の相関関係の分析を含む判定処理を行って、この検出対象の事象の候補が前記特定の性質を有する検知対象処理か否かを判断する分析手段と、を備える。
そして、処理装置の第3処理ユニットに含まれる分析手段は、検出対象の事象の候補が前記特定の性質を有する検知対象処理か否かを判断するために設定された判定条件に基づいて、相関関係の分析を含む判定処理における個々の処理ごとに個別にコンポーネント化された処理単位ブロックを組み合わせて構成される。
また、さらに好ましくは、処理装置の第2処理ユニットは、検知ログの情報粒度を揃える処理として、この検知ログが一つの検知対象処理に対して検知ログが取得される監視対象システムから取得された検知ログである場合は、予め設定された集約条件に基づいて集約された複数の検知ログを一つの分析単位情報とする。一方、この検知ログが複数の検知対象処理に対して検知ログが取得される監視対象システムから取得された検知ログである場合は、一つの検知ログを一つの分析単位情報とする。
以下では、検査対象のシステムから検知対象処理のログ(検知ログ)を取得して分析する本実施形態のログ分析システムを、検知対象処理としてネットワーク上の通信を監視し、検知ログとして通信ログを取得し分析するセキュリティ監視システムに適用した場合を例として説明する。ネットワークに接続されたサーバ等の情報処理装置では、ネットワークを介して様々な通信が行われる。本実施形態のセキュリティ監視システム(SOC(Security Operation Center)システム)は、監視対象装置である情報処理装置の通信を監視し、抽出すべき特定の性質を有する検知対象処理の一例として、外部からの不正なアクセスや内部からの不正な情報流出等のような問題のある通信を抽出する。
図1は、本実施形態のセキュリティ監視システムの構成例を示す図である。
図1に示すように、本実施形態によるセキュリティ監視システムは、監視対象装置100における通信を監視して通信ログを取得する取得装置としての検知デバイス110、ログ取得エージェント121およびログ管理サブシステム120と、取得された通信ログを処理して問題のある通信を抽出する処理装置としての監視サブシステム200と、監視サブシステム200による処理の結果を出力する出力装置としての端末装置300とを備える。図1に示す構成において、監視対象装置100に搭載される検知デバイス110およびログ取得エージェント121と、ログ管理サブシステム120、監視サブシステム200および端末装置300とを区別するために、監視対象装置100に搭載される構成要素を対象側システムと呼び、ログ管理サブシステム120、監視サブシステム200および端末装置300をセンター側システムと呼ぶ場合がある。なお、図1において、監視対象装置100は1台のみが例示されているが、実際のシステムにおいては、複数の監視対象装置100における通信を監視対象とする。
なお、本実施形態では、セキュリティ監視システムとしてのログ分析システムが、ネットワーク通信を監視対象として通信ログを取得する例について説明するが、通信以外の種々の処理において生成される様々なログを取得し検査するために本実施形態のログ分析システムを適用することも可能である。
なお、図1に示す構成例では、ログ取得エージェント121を対象側システムとして監視対象装置100に搭載する構成としたが、監視対象装置100に搭載せずにセンター側システムとして構成しても良い。この場合、ネットワークを介して監視対象装置100に接続された独立のサーバ等としてログ取得エージェント121を構成しても良いし、ログ管理サブシステム120の機能の一つとしてログ取得エージェント121を実現しても良い。
図2は、監視サブシステム200を構成する収集ユニット210の機能構成例を示す図である。
第1処理ユニットである収集ユニット210は、ログ管理サブシステム120から取得した通信ログファイルに対して、その通信ログファイルの元の通信ログ(生ログ)を取得した検知デバイス110の種類ごとに設定された処理を行う。ここで、検知デバイス110の種類とは、検知デバイス110のセンサ111およびセンサ・マネージャ112の機能を提供するIDS/IPS、ファイア・ウォール、ウィルス対策ソフト等の製品の種別を意味する。なお、検知デバイス110の種類を特定する情報(ID、製品名等)は、例えば、通信ログファイルに含まれている。
図3に示す例では、「初期情報取得」、「受信件数取得」、「受信ファイル登録」、「項目編集」、「フォーマット不一致ログ情報登録」、「ログ共通項目編集」、「顧客分割」等の処理を行う処理単位ブロック211が組み合わされて収集ユニット210が構成されている。なお、図3には、収集ユニット210を構成する処理単位ブロック211の一部のみが記載されている。例えば、「初期情報取得」、「受信件数取得」、「受信ファイル登録」等の処理単位ブロック211が、図2に示した分析対象ログ抽出処理を担い、「項目編集」、「フォーマット不一致ログ情報登録」、「ログ共通項目編集」等の処理単位ブロック211が、図2に示した正規化処理を担い、「顧客分割」等の処理単位ブロック211が、図2に示した振り分け処理を担う。
図4は、監視サブシステム200を構成する検出ユニット220の機能構成例を示す図である。
第2処理ユニットである検出ユニット220は、前段の収集ユニット210から取得した通信ログに対する処理として、その通信ログファイルの元の通信ログ(生ログ)を取得した検知デバイス110の分類ごとに設定された処理を行う。ここで、検知デバイス110の分類とは、検知デバイス110のセンサ111およびセンサ・マネージャ112の機能を提供するセキュリティ装置の種別(IDS/IPSやファイア・ウォール等)を意味する。なお、検知デバイス110の分類を特定する情報(ID、機器名等)は、例えば、通信ログファイルに含まれている。
図5に示す例では、「固有識別情報付加」、「通信方向区分付加」、「ルール・アクション付加」、「プロトコル番号・名称付加」、「国コード付加」、「集約規則判断」、「ホスト・スキャン集約」、「ポート・スキャン集約」等の処理を行う処理単位ブロック221が組み合わされて検出ユニット220が構成されている。なお、図5には、検出ユニット220を構成する処理単位ブロック221の一部のみが記載されている。例えば、「固有識別情報付加」、「通信方向区分付加」、「ルール・アクション付加」、「プロトコル番号・名称付加」、「国コード付加」等の処理単位ブロック221が、図4に示した共通情報の付加処理を担い、「集約規則判断」、「ホスト・スキャン集約」、「ポート・スキャン集約」等の処理単位ブロック221が、図4に示したログ集約(イベント化)処理を担う。
図6は、監視サブシステム200を構成する分析ユニット230の機能構成例を示す図である。
図6に示す構成例において、第3処理ユニットである分析ユニット230は、個別分析処理部230aと、イベント集積処理部230bと、相関分析処理部230cと、増分分析処理部230dとにより構成される。
分析ユニット230のイベント集積処理部230bにより、検出ユニット220から取得したイベントのうち、集積処理の対象となったイベントが集積されてイベント列が生成され、さらに検出事象候補が生成される。そして、検出事象候補ごとに、各検出事象候補に含まれるイベント列やイベントの間の相関関係に基づき、上記の攻撃パターン組み合わせ判定および件数閾値超過判定が行われる。
事象変化の判定では、前回の分析時と異なる分析ルールが適用された(事象が変化した)場合に、判定対象の検出事象候補に含まれる通信は問題のある通信であると判断する。
攻撃手段増加の判定では、前回分析時と同一ルールが適用されたが、確認対象の攻撃パターン情報が追加された(確認対象の攻撃手段が増えた)場合に、判定対象の検出事象候補に含まれる通信は問題のある通信であると判断する。
攻撃件数増加の判定では、確認対象の攻撃パターン情報が同一の通信(同一の攻撃手法)や、同一の攻撃元からの通信が継続しており、それらの通信による単位時間当たりのイベント件数が増加している場合に、判定対象の検出事象候補に含まれる通信は問題のある通信であると判断する。
攻撃先増加の判定では、攻撃先や接続先が増えた場合に、判定対象の検出事象候補に含まれる通信は問題のある通信であると判断する。
同じ検出事象候補に関する前回分析時の構成(図8(a))と今回分析時の構成(図8(b))とを比較すると、今回分析時の構成では、前回分析時には含まれていなかったイベント列(図8(b)において網掛けを付して記載)が新たに含まれている。このため、この検出事象候補は、上述した事象変化の判定、攻撃手段増加の判定、攻撃件数増加の判定、攻撃先増加の判定の何れかにおいて問題のある通信と判断される。
図9に示す例では、「リスト照合」、「イベント集約」、「イベント列集約」、「攻撃パターン組み合わせ判定」、「件数閾値超過判定」、「事象変化判定」、「攻撃手段増加判定」、「件数増加率判定」、「宛先IPアドレス増加判定」等の処理を行う処理単位ブロック231が組み合わされて分析ユニット230の各処理部230a〜230dが構成されている。なお、図9には、分析ユニット230を構成する処理単位ブロック231の一部のみが記載されている。例えば、「リスト照合」の処理単位ブロック231は、個別分析処理部230aの問題のある通信のリストとの照合を担う。「イベント集約」および「イベント列集約」の処理単位ブロック231は、イベント集積処理部230bによるイベント列および検出事象候補の生成を担う。「攻撃パターン組み合わせ判定」および「件数閾値超過判定」の処理単位ブロック231は、相関分析処理部230cによる分析を担う。「事象変化判定」、「攻撃手段増加判定」、「件数増加率判定」および「宛先IPアドレス増加判定」の処理単位ブロック231は、増分分析処理部230dによる分析を担う。この処理単位ブロック231の列により構成される個別分析処理部230a、イベント集積処理部230b、相関分析処理部230cおよび増分分析処理部230dは、複数用意して並列かつ非同期に処理を実行することができる。
図10は、監視サブシステム200の手動分析ユニット240の機能構成例を示す図である。
第4処理ユニットである手動分析ユニット240は、検出ユニット220および分析ユニット230による上記の各処理によって得られたイベント、イベント列および検出事象候補の情報と、分析ユニット230による分析結果とを記憶装置241に格納して管理する。また、手動分析ユニット240は、端末装置300からの要求に応じて、送受信部242により、記憶装置241に格納しているイベント、イベント列および検出事象候補の情報と、分析ユニット230による分析結果とを送る。さらに、手動分析ユニット240は、端末装置300においてこれらの情報に付与された情報を送受信部242により取得し、格納している各情報に付加して管理する。
本実施形態によるセキュリティ監視システムは、監視対象装置100における通信を監視して、問題のある通信をリアルタイムに検出する。すなわち、蓄積された通信ログファイルを解析して問題のある通信が行われていたことを事後的に発見するシステムではない。したがって、通信ログから問題のある通信を検出するための監視サブシステム200における各処理ユニット間における通信ログファイルの伝達は、できるだけ高速に行われることが望ましい。例えば、TCP(Transmission Control Protocol)等のようなコネクション型の通信ではなく、コネクションレス型の通信を行う。上述したように、本実施形態では、JMSに基づくコネクションレス型の通信を行うこととしている。
本実施形態では、監視サブシステム200を構成する処理ユニット列(収集ユニット210、検出ユニット220、分析ユニット230、手動分析ユニット240)において、先頭の処理ユニット(収集ユニット210)から最後の処理ユニット(手動分析ユニット240)まで、正常に通信ログの伝達が行われたことを、先頭の処理ユニットにフィードバックする構成を設けた。
図12に示すように、ある通信ログファイルが、1回目の送信において、収集ユニット210から検出ユニット220へ送信され、検出ユニット220による処理を経た後、検出ユニット220から分析ユニット230へ送信され、分析ユニット230に到達せずに消失したものとする。この場合、手動分析ユニット240から通信ログファイルを取得したことを示す通知が行われないので、収集ユニット210は、通信ログファイルを再送する(2回目の送信)。
なお、1回目の送信に係る通信ログファイルに対して行われた検出ユニット220の処理の結果は、1回目の送信に係る通信ログファイルと共に消失しているので、検出ユニット220は、再送された通信ログファイルに対して処理を行う。
なお、2回目の送信に係る通信ログファイルに対して行われた検出ユニット220および分析ユニット230の処理の結果は、2回目の送信に係る通信ログファイルと共に消失しているので、検出ユニット220および分析ユニット230は、再送された通信ログファイルに対して処理を行う。
図13に示す例において、1回目の送信では、通信ログファイルは、検出ユニット220による処理を経た後、分析ユニット230に到達せずに消失した。2回目の送信では、通信ログファイルは消失せずに手動分析ユニット240に到達したが、途中の処理に時間を要したため、手動分析ユニット240から収集ユニット210へ通知が行われる前に3回目の送信が行われた。さらに、2回目の送信に係る通信ログファイルに対する処理に時間を要したため、3回目の送信に係る通信ログファイルが、2回目の送信に係る通信ログファイルよりも先に手動分析ユニット240に到達した。この場合、手動分析ユニット240に到達した順番に関わらず、3回目(最後)の送信に係る通信ログファイルに対して行われた処理の結果が有効なデータとして扱われる。
なお、上記の場合、手動分析ユニット240に到達して記憶装置241に格納された、同じ通信ログファイルに関する重複したデータのうち、有効なデータ以外のデータ(図13に示す例では、2回目の送信に係る通信ログファイルに関するデータ)については、削除しても良いし、記憶装置241に格納されたまま放置しても良い。
上述した例のように、前に送信された通信ログファイルが手動分析ユニット240に到達する前に通信ログファイルの再送が行われた場合であって、後に送信された通信ログファイルが途中で消失する場合があり得る。図14に示す例では、2回目の送信に係る通信ログファイルが手動分析ユニット240に到達する前に通信ログファイルの再送(3回目の送信)が行われたが、3回目の送信に係る通信ログファイルは手動分析ユニット240に到達せずに消失している。この場合、手動分析ユニット240に到達して記憶装置241に格納されたのは、2回目の送信に係る通信ログファイルだけなので、この2回目の送信に係る通信ログファイルに関するデータが有効なデータとして扱われる。
一例としては、ある処理ユニットにおいて、再送された通信ログファイルが処理済みの通信ログファイルであった場合、既に存在している処理結果の情報を今回の処理結果に置き換えることが考えられる。すなわち、その通信ログファイルに関する前回の処理結果を破棄する。また、別の例としては、ある処理ユニットにおいて、再送された通信ログファイルが処理済みの通信ログファイルであった場合、その再送された通信ログファイルに対する処理をスキップして(飛ばして)、後段の処理ユニットへ通信ログファイルを送るようにしても良い。
図15は、端末装置300の機能構成例を示す図である。
図15に示す例において、端末装置300は、送受信部310と、データ処理部320とを備える。また、端末装置300は、液晶ディスプレイ等で実現される表示部330と、キーボードやマウス等の入力デバイスで実現される操作部340とを備える。
図16に示す例において、表示部330に表示される分析用画面は、検索条件表示領域331、検出事象候補表示領域332、イベント列表示領域333、イベント表示領域334、コメント表示領域335、重要度表示領域336の6個の表示領域により構成される。
重要度表示領域336には、検出事象候補表示領域332に表示された(すなわち、検索条件表示領域331において特定された検索条件で検索された)検出事象候補に対する評価を行うための評価レベルが示される。ここで、評価レベルとは、例えば、直ちに対策を取ることが必要か否か、引き続き同種の通信を検出して評価する必要があるか否か等の、検出事象候補により特定される通信に対する必要な対応等に応じて予め段階分けされた、重要度の値である。この重要度表示領域336は、解析者による重要度レベルの選択を受け付ける入力インターフェイスとなっている。そして、解析者は、重要度表示領域336に表示された重要度レベルの一つを選択することにより、検索された検出事象候補に対する評価を行う。
図17は、本実施形態の監視サブシステム200の各処理ユニットや端末装置300を構成するのに適用可能なハードウェア(コンピュータ)構成例を示す図である。
図17に示すコンピュータは、演算手段であるCPU(Central Processing Unit)10aと、主記憶手段であるメモリ10cを備える。また、外部デバイスとして、磁気ディスク装置(HDD:Hard Disk Drive)10g、ネットワーク・インターフェイス10f、ディスプレイ装置を含む表示機構10d、キーボードやマウス等の入力デバイス10i等を備える。
Claims (8)
- 監視対象システムにおいて検知される検知ログを分析するログ分析システムにおいて、
前記監視対象システムにおいて行われる検知対象処理を検知し、当該検知対象処理の検知ログを取得する取得装置と、
前記取得装置により取得された前記検知ログを処理して、特定の性質を有する検知対象処理と当該特定の性質を有しない検知対象処理とを仕分ける処理装置と、を備え、
前記処理装置は、
前記取得装置により取得された前記検知ログを正規化し、予め設定された監視対象単位ごとに振り分けて出力する第1処理ユニットと、
前記第1処理ユニットから出力された前記監視対象単位ごとの検知ログに対して、予め設定された規則に基づく共通情報を付加し、当該検知ログの内容および当該共通情報に基づいて情報粒度を揃え、分析単位情報として出力する第2処理ユニットと、
前記第2処理ユニットから出力された前記分析単位情報を、予め設定された規則に基づいて集積して検出対象の事象の候補とし、予め設定された規則に基づいて当該検出対象の事象の候補が前記特定の性質を有する検知対象処理か否かを判断し、当該検出対象の事象の候補および判断結果を出力する第3処理ユニットと、
前記第3処理ユニットから出力された前記検出対象の事象の候補および前記判断結果を、予め設定された出力形式で出力する第4処理ユニットと、
を備えることを特徴とする、ログ分析システム。 - 前記処理装置の前記第1処理ユニットは、前記検知ログの正規化および振り分けのために行われる個々の処理ごとに個別にコンポーネント化された処理単位ブロックを組み合わせて構成されること、を特徴とする、請求項1に記載のログ分析システム。
- 前記処理装置の前記第1処理ユニットは、前記取得装置の種類に対応して設定された規則に基づいて、当該第1処理ユニットを構成する前記処理単位ブロックの種類および適用順を特定して処理を行うこと、を特徴とする、請求項2に記載のログ分析システム。
- 前記処理装置の前記第2処理ユニットは、前記検知ログに前記共通情報を付加し、情報粒度を揃えるために行われる個々の処理ごとに個別にコンポーネント化された処理単位ブロックを組み合わせて構成されること、を特徴とする、請求項1乃至請求項3の何れかに記載のログ分析システム。
- 前記処理装置の前記第2処理ユニットは、前記監視対象単位の種類に対応して設定された規則に基づいて、当該第2処理ユニットを構成する前記処理単位ブロックの種類および適用順を特定して処理を行うこと、を特徴とする、請求項4に記載のログ分析システム。
- 前記処理装置の前記第3処理ユニットは、
前記第2処理ユニットから出力された前記分析単位情報を、相関関係の分析が行われる分析単位情報と相関関係の分析が行われない分析単位情報とに分ける分類手段と、
当該相関関係の分析が行われる分析単位情報を集積して前記検出対象の事象の候補とする集積手段と、
当該検出対象の事象の候補に対して当該分析単位情報の相関関係の分析を含む判定処理を行って、当該検出対象の事象の候補が前記特定の性質を有する検知対象処理か否かを判断する分析手段と、
を備えることを特徴とする、請求項1乃至請求項5の何れかに記載のログ分析システム。 - 前記処理装置の前記第3処理ユニットに含まれる前記分析手段は、前記検出対象の事象の候補が前記特定の性質を有する検知対象処理か否かを判断するために設定された判定条件に基づいて、前記相関関係の分析を含む判定処理における個々の処理ごとに個別にコンポーネント化された処理単位ブロックを組み合わせて構成されること、を特徴とする、請求項6に記載のログ分析システム。
- 前記処理装置の前記第2処理ユニットは、前記検知ログの情報粒度を揃える処理として、当該検知ログが一つの検知対象処理に対して検知ログが取得される前記監視対象システムから取得された検知ログである場合は、予め設定された集約条件に基づいて集約された複数の検知ログを一つの前記分析単位情報とし、当該検知ログが複数の検知対象処理に対して検知ログが取得される前記監視対象システムから取得された検知ログである場合は、一つの検知ログを一つの前記分析単位情報とすること、を特徴とする、請求項1乃至請求項7の何れかに記載のログ分析システム。
Priority Applications (9)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2014074606A JP5640166B1 (ja) | 2014-03-31 | 2014-03-31 | ログ分析システム |
CA2942521A CA2942521A1 (en) | 2014-03-31 | 2015-02-26 | Log analysis system |
EP15773496.3A EP3128457A4 (en) | 2014-03-31 | 2015-02-26 | Log analysis system |
CN201580013969.5A CN106133740B (zh) | 2014-03-31 | 2015-02-26 | 日志分析系统 |
KR1020167025232A KR101827197B1 (ko) | 2014-03-31 | 2015-02-26 | 로그 분석 시스템 |
SG11201602112WA SG11201602112WA (en) | 2014-03-31 | 2015-02-26 | Log analysis system |
PCT/JP2015/055613 WO2015151667A1 (ja) | 2014-03-31 | 2015-02-26 | ログ分析システム |
EA201691642A EA201691642A1 (ru) | 2014-03-31 | 2015-02-26 | Система анализа записей |
US15/072,720 US10164839B2 (en) | 2014-03-31 | 2016-03-17 | Log analysis system |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2014074606A JP5640166B1 (ja) | 2014-03-31 | 2014-03-31 | ログ分析システム |
Related Child Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2014217997A Division JP5797827B1 (ja) | 2014-10-27 | 2014-10-27 | 情報分析システム、情報分析方法およびプログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP5640166B1 true JP5640166B1 (ja) | 2014-12-10 |
JP2015198301A JP2015198301A (ja) | 2015-11-09 |
Family
ID=52145716
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2014074606A Active JP5640166B1 (ja) | 2014-03-31 | 2014-03-31 | ログ分析システム |
Country Status (9)
Country | Link |
---|---|
US (1) | US10164839B2 (ja) |
EP (1) | EP3128457A4 (ja) |
JP (1) | JP5640166B1 (ja) |
KR (1) | KR101827197B1 (ja) |
CN (1) | CN106133740B (ja) |
CA (1) | CA2942521A1 (ja) |
EA (1) | EA201691642A1 (ja) |
SG (1) | SG11201602112WA (ja) |
WO (1) | WO2015151667A1 (ja) |
Cited By (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP6048555B1 (ja) * | 2015-09-10 | 2016-12-21 | 日本電気株式会社 | 分類情報作成装置、分類情報作成方法、分類情報作成プログラム、検索装置、検索方法、及び、検索プログラム |
JP6070799B1 (ja) * | 2015-09-24 | 2017-02-01 | 日本電気株式会社 | 通信情報算出装置、通信情報算出方法、通信情報算出プログラム、及び、通信管理システム |
CN109479013A (zh) * | 2016-05-27 | 2019-03-15 | 网安护盾有限公司 | 计算机网络中的业务的日志记录 |
Families Citing this family (14)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10812327B2 (en) * | 2014-07-31 | 2020-10-20 | Ent. Services Development Corporation Lp | Event clusters |
JP5966076B1 (ja) * | 2015-12-25 | 2016-08-10 | 株式会社ラック | 情報処理装置、情報処理方法及びプログラム |
JP6475654B2 (ja) * | 2016-03-10 | 2019-02-27 | 株式会社日立製作所 | 情報セキュリティシステム、サーバ装置、及び情報セキュリティ支援方法 |
EP3291120B1 (en) * | 2016-09-06 | 2021-04-21 | Accenture Global Solutions Limited | Graph database analysis for network anomaly detection systems |
JP6903901B2 (ja) * | 2016-11-28 | 2021-07-14 | 富士通株式会社 | 攻撃検知装置、攻撃検知プログラム及び攻撃検知方法 |
US10929765B2 (en) * | 2016-12-15 | 2021-02-23 | Nec Corporation | Content-level anomaly detection for heterogeneous logs |
JP7028559B2 (ja) * | 2017-01-25 | 2022-03-02 | エヌ・ティ・ティ・コミュニケーションズ株式会社 | 攻撃検知システム、攻撃検知方法および攻撃検知プログラム |
JP6852421B2 (ja) * | 2017-01-31 | 2021-03-31 | オムロン株式会社 | 情報処理装置、情報処理プログラムおよび情報処理方法 |
CN107733716A (zh) * | 2017-10-26 | 2018-02-23 | 郑州云海信息技术有限公司 | 分布式文件系统日志分析方法、系统、设备及存储介质 |
WO2019117052A1 (ja) * | 2017-12-13 | 2019-06-20 | 日本電気株式会社 | 情報処理装置、情報処理システム、情報処理方法、及び、記録媒体 |
JP6719492B2 (ja) * | 2018-02-26 | 2020-07-08 | 三菱電機株式会社 | ルール生成装置およびルール生成プログラム |
CN109271349A (zh) * | 2018-09-29 | 2019-01-25 | 四川长虹电器股份有限公司 | 一种基于日志通用性规则引擎的规则处理方法 |
AU2020451897A1 (en) * | 2020-06-05 | 2022-12-15 | Fujitsu Limited | Information processing program, information processing method, and information processing device |
CN111736579B (zh) * | 2020-08-26 | 2020-12-08 | 北京安帝科技有限公司 | 基于日志问询留存的工业控制设备安全检测方法 |
Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20030188189A1 (en) * | 2002-03-27 | 2003-10-02 | Desai Anish P. | Multi-level and multi-platform intrusion detection and response system |
US20070234425A1 (en) * | 2006-03-29 | 2007-10-04 | Woonyon Kim | Multistep integrated security management system and method using intrusion detection log collection engine and traffic statistic generation engine |
JP2008205954A (ja) * | 2007-02-21 | 2008-09-04 | International Network Securitiy Inc | 通信情報監査装置、方法及びプログラム |
JP2009020812A (ja) * | 2007-07-13 | 2009-01-29 | Hitachi Electronics Service Co Ltd | 操作検知システム |
US7500266B1 (en) * | 2002-12-03 | 2009-03-03 | Bbn Technologies Corp. | Systems and methods for detecting network intrusions |
JP2011076483A (ja) * | 2009-09-30 | 2011-04-14 | Fujitsu Ltd | データ管理装置およびデータ管理プログラム |
Family Cites Families (30)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP3778652B2 (ja) * | 1997-04-18 | 2006-05-24 | 株式会社日立製作所 | ログデータ収集管理方法及びその装置 |
US6597818B2 (en) * | 1997-05-09 | 2003-07-22 | Sarnoff Corporation | Method and apparatus for performing geo-spatial registration of imagery |
US7155507B2 (en) * | 2000-03-25 | 2006-12-26 | Nippon Telegraph And Telephone Corporation | Method and system for providing environmental information on network |
US7568019B1 (en) * | 2002-02-15 | 2009-07-28 | Entrust, Inc. | Enterprise management system for normalization, integration and correlation of business measurements with application and infrastructure measurements |
CA2496779C (en) * | 2002-08-26 | 2011-02-15 | Guardednet, Inc. | Determining threat level associated with network activity |
US7376969B1 (en) * | 2002-12-02 | 2008-05-20 | Arcsight, Inc. | Real time monitoring and analysis of events from multiple network security devices |
US7509677B2 (en) | 2004-05-04 | 2009-03-24 | Arcsight, Inc. | Pattern discovery in a network security system |
US7668809B1 (en) * | 2004-12-15 | 2010-02-23 | Kayak Software Corporation | Method and apparatus for dynamic information connection search engine |
US8135828B2 (en) * | 2005-03-14 | 2012-03-13 | Microsoft Corporation | Cooperative diagnosis of web transaction failures |
JP4523480B2 (ja) * | 2005-05-12 | 2010-08-11 | 株式会社日立製作所 | ログ分析システム、分析方法及びログ分析装置 |
US20070073519A1 (en) * | 2005-05-31 | 2007-03-29 | Long Kurt J | System and Method of Fraud and Misuse Detection Using Event Logs |
JP4753997B2 (ja) * | 2005-09-23 | 2011-08-24 | バークレイズ・キャピタル・インコーポレーテッド | イベントログをレビューするためのシステム及び方法 |
US20110314148A1 (en) * | 2005-11-12 | 2011-12-22 | LogRhythm Inc. | Log collection, structuring and processing |
US8489110B2 (en) * | 2006-05-12 | 2013-07-16 | At&T Intellectual Property I, L.P. | Privacy control of location information |
US9111088B2 (en) * | 2006-08-14 | 2015-08-18 | Quantum Security, Inc. | Policy-based physical security system for restricting access to computer resources and data flow through network equipment |
CN101192227B (zh) * | 2006-11-30 | 2011-05-25 | 阿里巴巴集团控股有限公司 | 一种基于分布式计算网络的日志文件分析方法和系统 |
US8051204B2 (en) | 2007-04-05 | 2011-11-01 | Hitachi, Ltd. | Information asset management system, log analysis server, log analysis program, and portable medium |
US7844600B2 (en) * | 2007-07-13 | 2010-11-30 | Oracle International Corp. | Materialized views with user-defined aggregates |
US9390384B2 (en) * | 2008-07-01 | 2016-07-12 | The 41 St Parameter, Inc. | Systems and methods of sharing information through a tagless device consortium |
KR101399326B1 (ko) | 2009-05-07 | 2014-06-03 | 에스케이플래닛 주식회사 | 정보보안을 위한 증적추적 장치 및 방법 |
US8953571B2 (en) * | 2009-12-14 | 2015-02-10 | Alwayson, Llc | Electronic messaging technology |
US8868728B2 (en) * | 2010-03-11 | 2014-10-21 | Accenture Global Services Limited | Systems and methods for detecting and investigating insider fraud |
US9020831B2 (en) * | 2010-04-29 | 2015-04-28 | Hewlett-Packard Development Company, L.P. | Information tracking system and method |
US9225793B2 (en) * | 2011-01-28 | 2015-12-29 | Cisco Technology, Inc. | Aggregating sensor data |
US20120246303A1 (en) * | 2011-03-23 | 2012-09-27 | LogRhythm Inc. | Log collection, structuring and processing |
US8996688B2 (en) * | 2011-05-31 | 2015-03-31 | Nokia Corporation | Method and apparatus for monitoring and controlling data sharing |
US20150356104A9 (en) * | 2011-10-04 | 2015-12-10 | Electro Industries/Gauge Tech | Systems and methods for collecting, analyzing, billing, and reporting data from intelligent electronic devices |
JP6196017B2 (ja) * | 2012-01-13 | 2017-09-13 | サターン ライセンシング エルエルシーSaturn Licensing LLC | 情報処理装置及び情報処理方法、並びにコンピューター・プログラム |
EP2953298B1 (en) * | 2013-01-30 | 2018-03-21 | Nippon Telegraph and Telephone Corporation | Log analysis device, information processing method and program |
US9692785B2 (en) * | 2013-03-05 | 2017-06-27 | Pierce Global Threat Intelligence | Systems and methods for detecting and preventing cyber-threats |
-
2014
- 2014-03-31 JP JP2014074606A patent/JP5640166B1/ja active Active
-
2015
- 2015-02-26 CN CN201580013969.5A patent/CN106133740B/zh not_active Expired - Fee Related
- 2015-02-26 KR KR1020167025232A patent/KR101827197B1/ko active IP Right Grant
- 2015-02-26 WO PCT/JP2015/055613 patent/WO2015151667A1/ja active Application Filing
- 2015-02-26 EA EA201691642A patent/EA201691642A1/ru unknown
- 2015-02-26 SG SG11201602112WA patent/SG11201602112WA/en unknown
- 2015-02-26 EP EP15773496.3A patent/EP3128457A4/en not_active Withdrawn
- 2015-02-26 CA CA2942521A patent/CA2942521A1/en not_active Abandoned
-
2016
- 2016-03-17 US US15/072,720 patent/US10164839B2/en active Active
Patent Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20030188189A1 (en) * | 2002-03-27 | 2003-10-02 | Desai Anish P. | Multi-level and multi-platform intrusion detection and response system |
US7500266B1 (en) * | 2002-12-03 | 2009-03-03 | Bbn Technologies Corp. | Systems and methods for detecting network intrusions |
US20070234425A1 (en) * | 2006-03-29 | 2007-10-04 | Woonyon Kim | Multistep integrated security management system and method using intrusion detection log collection engine and traffic statistic generation engine |
JP2008205954A (ja) * | 2007-02-21 | 2008-09-04 | International Network Securitiy Inc | 通信情報監査装置、方法及びプログラム |
JP2009020812A (ja) * | 2007-07-13 | 2009-01-29 | Hitachi Electronics Service Co Ltd | 操作検知システム |
JP2011076483A (ja) * | 2009-09-30 | 2011-04-14 | Fujitsu Ltd | データ管理装置およびデータ管理プログラム |
Cited By (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP6048555B1 (ja) * | 2015-09-10 | 2016-12-21 | 日本電気株式会社 | 分類情報作成装置、分類情報作成方法、分類情報作成プログラム、検索装置、検索方法、及び、検索プログラム |
WO2017043075A1 (ja) * | 2015-09-10 | 2017-03-16 | 日本電気株式会社 | 分類情報作成装置、分類情報作成方法、検索装置、検索方法、及び、記録媒体 |
JP2017054333A (ja) * | 2015-09-10 | 2017-03-16 | 日本電気株式会社 | 分類情報作成装置、分類情報作成方法、分類情報作成プログラム、検索装置、検索方法、及び、検索プログラム |
US10902027B2 (en) | 2015-09-10 | 2021-01-26 | Nec Corporation | Generation of category information for measurement value |
JP6070799B1 (ja) * | 2015-09-24 | 2017-02-01 | 日本電気株式会社 | 通信情報算出装置、通信情報算出方法、通信情報算出プログラム、及び、通信管理システム |
WO2017051518A1 (ja) * | 2015-09-24 | 2017-03-30 | 日本電気株式会社 | 通信情報算出装置、通信情報算出方法、記録媒体、及び、通信管理システム |
CN109479013A (zh) * | 2016-05-27 | 2019-03-15 | 网安护盾有限公司 | 计算机网络中的业务的日志记录 |
CN109479013B (zh) * | 2016-05-27 | 2022-04-26 | 网安护盾有限公司 | 计算机网络中的业务的日志记录 |
Also Published As
Publication number | Publication date |
---|---|
SG11201602112WA (en) | 2016-04-28 |
EP3128457A4 (en) | 2017-11-15 |
CA2942521A1 (en) | 2015-10-08 |
CN106133740B (zh) | 2019-04-05 |
WO2015151667A1 (ja) | 2015-10-08 |
CN106133740A (zh) | 2016-11-16 |
US20160197790A1 (en) | 2016-07-07 |
JP2015198301A (ja) | 2015-11-09 |
KR101827197B1 (ko) | 2018-02-07 |
US10164839B2 (en) | 2018-12-25 |
KR20160120761A (ko) | 2016-10-18 |
EP3128457A1 (en) | 2017-02-08 |
EA201691642A1 (ru) | 2017-04-28 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP5640166B1 (ja) | ログ分析システム | |
JP5640167B1 (ja) | ログ分析システム | |
CN106462702B (zh) | 用于在分布式计算机基础设施中获取并且分析电子取证数据的方法和系统 | |
US11563755B2 (en) | Machine-learning based approach for dynamically generating incident-specific playbooks for a security orchestration, automation and response (SOAR) platform | |
IL262866A (en) | Automated investigation of computer systems through behavioral intelligence | |
US11546356B2 (en) | Threat information extraction apparatus and threat information extraction system | |
JP5927330B2 (ja) | 情報分析システム、情報分析方法およびプログラム | |
JP2010250607A (ja) | 不正アクセス解析システム、不正アクセス解析方法、および不正アクセス解析プログラム | |
JP2017211806A (ja) | 通信の監視方法、セキュリティ管理システム及びプログラム | |
JP6035445B2 (ja) | 情報処理システム、情報処理方法およびプログラム | |
JP2015198455A (ja) | 処理システム、処理装置、処理方法およびプログラム | |
JP5797827B1 (ja) | 情報分析システム、情報分析方法およびプログラム | |
EP3361405B1 (en) | Enhancement of intrusion detection systems | |
KR101712462B1 (ko) | Ip 위험군 탐지 시스템 | |
JP2019186686A (ja) | ネットワーク監視装置,ネットワーク監視プログラム及びネットワーク監視方法 | |
JP2016001493A (ja) | 情報分析システム、情報分析方法およびプログラム | |
Balcerek et al. | ACARM-ng: next generation correlation framework | |
JP2019175070A (ja) | アラート通知装置およびアラート通知方法 | |
US20220247763A1 (en) | Dynamic Computer Threat Alert System and Method | |
EP4300888A1 (en) | Automatic signatures generation from a plurality of sources |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A975 | Report on accelerated examination |
Free format text: JAPANESE INTERMEDIATE CODE: A971005 Effective date: 20140924 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20140930 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20141027 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 5640166 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |