JP5969618B2 - セキュリティシステム、および、セキュリティ監視方法 - Google Patents

Description

本発明は、セキュリティシステムに関する。

コンピュータウイルスなどのマルウェアが添付されたメールが計算機に送信されることによって、メールを受信した計算機およびその他の計算機が、旧来から攻撃されている。メールに添付されるファイルが不正なファイルであるか否かは、一般的に、アンチウイルスソフトなどを用いて判定される。

アンチウイルスソフトには様々な種類があり、アンチウイルスソフトの各々には、検出することが得意なウイルス、および、検出することが不得意なウイルスがある。また、似たような機能を持つ複数のアンチウイルスソフト間においても、アンチウイルスソフトに含まれるアンチウイルスエンジンの内部構造、または、アンチウイルスソフトに含まれるシグネチャデータベースの内容の差異により、ウイルスの検出率に違いが発生する。

昨今のマルウェアの特徴は、日々新しいマルウェアが発生していることである。このため、アンチウイルスソフトによるマルウェアへの対策が、マルウェアの発生に追いつかないという問題がある。また、一つのアンチウイルスソフトのみを用いて、日々増加するマルウェアに対抗することには限界がある。

このような問題を解決する技術として、メールを検査する際に複数のアンチウイルスエンジンを用いることでマルウェアの検出率の向上を図る技術が提案されている（例えば、特許文献１参照）。

特開２００５−１０００９３号公報

しかし、特許文献１で開示される技術のとおり、複数のアンチウイルスエンジンを用いてメールを検査（スキャン）する場合、メール１通あたりに複数のアンチウイルスエンジンが用いられるため、メール一通あたりの検査に必要な計算機の負荷が増大する。ユーザ数が多い企業または大学などの組織においては、受信するメールの数は膨大であるため、特許文献１で開示される技術を用いる場合、メールを検査する計算機の負荷が無視できない程度に増大する。また、複数のアンチウイルスエンジンが各々ログを出力するため、メールのスキャンに関連するログが増大し、ログの分析にかかるコストが大きくなるという問題もある。

本発明の目的は、マルウェア検出に必要な計算機の負荷を低減し、マルウェアへの対策を効率化することである。

本発明の代表的な一実施形態によると、セキュリティシステムであって、前記セキュリティシステムは、プロセッサおよびメモリを備え、受信したデータにマルウェアが付加されているか否かをスキャンする計算機システムに接続され、前記計算機システムが前記データをスキャンするために用いる複数のスキャン方法と前記計算機システムが当該複数のスキャン方法の各々を用いる順番とを示す、複数の監視シナリオを保持する監視シナリオ保持部と、前記複数の監視シナリオの各々と、前記複数の監視シナリオの各々を割り当てられた少なくとも一つのユーザと、を示す情報を保持するユーザ情報保持部と、前記計算機システムが前記データを、前記複数のスキャン方法のうちの一つのスキャン方法を用いてスキャンした後に、前記監視シナリオ保持部が保持する前記複数の監視シナリオと、前記ユーザ情報保持部が保持する情報と、前記データに含まれる識別子が示すユーザとに基づいて、前記複数のスキャン方法の中から、前記データに次に用いられるスキャン方法を決定し、前記決定されたスキャン方法によって前記データがスキャンされるように、前記決定されたスキャン方法を示す情報を前記計算機システムに送信する振分部と、を有する。

本発明の一実施形態によると、マルウェア検出に必要な計算機の負荷を低減し、マルウェアへの対策を効率化することができる。

上記した以外の課題、構成および効果は、以下の実施形態の説明により明らかにされる。

本実施例１のセキュリティ監視システムおよび計算機システムを含むネットワークシステムを示すブロック図である。 本実施例１の振分装置のハードウェアを示すブロック図である。 本実施例１のセキュリティ監視システムの処理の概要を示すブロック図である。 本実施例１の監視シナリオの例を示す説明図である。 本実施例１の振分装置の論理的な構成を示すブロック図である。 本実施例１の管理情報格納装置の物理的な構成を示すブロック図である。 本実施例１のユーザＤＢを示す説明図である。 本実施例１の監視シナリオＤＢを示す説明図である。 本実施例１の情報更新装置の論理的な構成を示すブロック図である。 本実施例１のログ情報格納装置の論理的な構成を示すブロック図である。 本実施例１のメールログＤＢを示す説明図である。 本実施例１のＡＶログＤＢを示す説明図である。 本実施例１のＵＲＬ検査ログＤＢを示す説明図である。 本実施例１のファイル解析ログＤＢを示す説明図である。 本実施例１の監視シナリオ更新装置のブロック図である。 本実施例１の転送先決定部の処理を示すフローチャートである。 本実施例１の検知情報取得部の処理を示すフローチャートである。 本実施例１のログ解析部の処理を示すフローチャートである。 本実施例２の管理情報格納装置および監視シナリオ更新装置の構成を示すブロック図である。 本実施例２のユーザＤＢを示す説明図である。 本実施例２の振分装置がユーザに対応する監視シナリオを取得する処理を示すフローチャートである。 本実施例２の監視シナリオ決定ポリシＤＢを示す説明図である。 本実施例２のログ解析部の処理のうち、ユーザに監視シナリオを割り当てる処理を示すフローチャートである。

以降、本発明を実施するための実施例を、図等を参照して詳細に説明する。

図１は、本実施例１のセキュリティ監視システム１０１および計算機システム１０２を含むネットワークシステム１００を示すブロック図である。

セキュリティ監視システム１０１と計算機システム１０２とは、ネットワーク１０３を介して接続される。計算機システム１０２は、特定のシステム（例えば、企業または学校等の組織のシステム）に侵入しようとするマルウェアを検出するシステムである。セキュリティ監視システム１０１は、計算機システム１０２において行われるマルウェアの検出処理を監視するシステムである。

セキュリティ監視システム１０１は、振分装置１０５、管理情報格納装置１０６、情報更新装置１０７、ログ情報格納装置１０８、および、監視シナリオ更新装置１０９を備える。セキュリティ監視システム１０１に備わる各装置は、ネットワーク１０４を介して接続される。

振分装置１０５は、計算機システム１０２が受信したメールを、計算機システム１０２が有するサーバに振り分ける装置である。管理情報格納装置１０６は、計算機システム１０２が受信したメールが、計算機システム１０２のいずれのサーバによって処理されるかを示す情報を保持する記憶装置である。

情報更新装置１０７は、計算機システム１０２が有するサーバのうち少なくとも一つのサーバの処理を更新する装置である。ログ情報格納装置１０８は、計算機システム１０２における処理のログを保持する装置である。監視シナリオ更新装置１０９は、管理情報格納装置１０６の情報を更新する装置である。

計算機システム１０２は、メール受信サーバ１１１、メール蓄積サーバ１１２、ＡＶ（Ａｎｔｉ Ｖｉｒｕｓ）サーバ（方法Ａ）１１３、ＡＶサーバ（方法Ｂ）１１４、ＡＶサーバ（方法Ｃ）１１５、ＵＲＬ検査サーバ１１６、および、ファイル解析サーバ１１７を備える。計算機システム１０２に備わる各サーバは、ネットワーク１１０を介して接続される。

なお、計算機システム１０２は、前述のサーバの他に業務用サーバ、ＤＮＳサーバ、Ｗｅｂサーバ、ファイルサーバ、ネットワーク機器（例えば、ファイアウォールなど）、または、ユーザが使用する端末などを備えてもよい。これらサーバは、以下に示す処理とは直接の関係がないため、図示しない。

メール受信サーバ１１１は、計算機システム１０２が所属する組織の外部ネットワークからメールを受信するメールサーバである。メール蓄積サーバ１１２は、メール受信サーバ１１１によって受信されたメールをユーザに取得させるために、受信したメールを保持するサーバである。

ＡＶサーバ（方法Ａ）１１３と、ＡＶサーバ（方法Ｂ）１１４と、ＡＶサーバ（方法Ｃ）１１５とは、ＡＶサーバであり、また、メールサーバである。さらに、これら三つのＡＶサーバは、メール受信サーバ１１１が受信したメールにマルウェアが付加されるか否かを検査（スキャン）する。そして、これら三つのＡＶサーバは、メールをスキャンする方法がそれぞれ異なる。

本実施例におけるスキャンする方法には、ファイル（メールに付加されたファイル）の全部または一部にマッチするシグネチャを用いる方法、および、ファイル内の命令列からファイルがマルウェアであるか否か類推する方法、などの方法がある。スキャンする方法が異なるとは、このような方法に違いがあることを示す。さらに、本実施例においては、同じシグネチャを用いても異なるシグネチャデータベースを用いてスキャンする方法も、異なった方法であると記載する。

このため、本実施例の三つのＡＶサーバ、ＵＲＬ検査サーバ１１６、および、ファイル解析サーバ１１７は、メールにマルウェアが付加されるか否かを各々異なる方法によってスキャンするサーバである。

ＡＶサーバ（方法Ａ）１１３は、自らが保持するシグネチャデータベースが示すシグネチャと、メールに添付されたファイル全体とがマッチするか否かを判定することによって、マルウェアを検出できる。さらに、ＡＶサーバ（方法Ａ）１１３は、メールに記載されたＵＲＬを、自らが保持するＵＲＬブラックリストと照合することによって、不正メールを検出できる。

また、ＡＶサーバ（方法Ａ）１１３は、シグネチャデータベースおよびＵＲＬブラックリストの他に、外部インタフェースを有する。ＡＶサーバ（方法Ａ）１１３は、外部インタフェースを介して外部から入力された情報に従って、自らが保持するシグネチャデータベースへ情報を追加し、さらに、自らが保持するＵＲＬブラックリストへ情報を追加できる。

ＵＲＬ検査サーバ１１６は、メールサーバである。さらに、ＵＲＬ検査サーバ１１６は、受信したメールに記載されたＵＲＬが不正なものであるか否かを、自らが保持するＵＲＬブラックリストと照合することによってスキャンするサーバである。

ファイル解析サーバ１１７は、メールサーバとして動作する。さらに、ファイル解析サーバ１１７は、例えば、受信したメールに添付されるファイルを実際に実行し、実行された結果を測定することによって、受信したメールを詳細に解析する。そして、この詳細な解析によって、ファイル解析サーバ１１７は、そのファイルがマルウェアであるか否かをスキャンする。

なお、前述の計算機システム１０２の各サーバはあくまで一例であり、ＡＶサーバの数およびスキャンの方法の数、ＵＲＬ検査サーバ１１６またはファイル解析サーバ１１７の有無、ならびに、その他のサーバの有無を制限するものではない。計算機システム１０２には複数のサーバが備わればよく、本実施例において、サーバの用途の内訳が明確に規定される必要はない。

また、図１において、ネットワーク１０３とネットワーク１０４とネットワーク１１０とは、それぞれ別のネットワークとして示されるが、三つのネットワークのうちの任意の二つ、または、すべてのネットワークが、一つのネットワークに包含されてもよい。さらに、ネットワーク１０３とネットワーク１０４とネットワーク１１０とは、企業内ネットワークなどのＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）であってもよいし、インターネットであってもよい。また、ネットワーク１０３、ネットワーク１０４、およびネットワーク１１０には図示されない端末、または通信装置などが接続されてもよい。

また、図１において、セキュリティ監視システム１０１と計算機システム１０２とは、一つずつ図示されるが、一つのセキュリティ監視システム１０１が複数の計算機システム１０２を監視してもよい。

さらに、計算機システム１０２に備わる各サーバの機能は、各々異なる計算機が有する各機能によって実装されてもよく、さらに、一つの計算機が有する複数のプログラムによって実装されてもよい。また、セキュリティ監視システム１０１に備わる各装置も、各々異なる計算機によって実装されてもよく、さらに、一つの計算機が有する複数のプログラムによって実装されてもよい。

図２は、本実施例１の振分装置１０５のハードウェアを示すブロック図である。

振分装置１０５は、通信装置２０１、入力装置２０２、表示装置２０３、演算装置２０４、メモリ２０５、および、記憶装置２０６を備える。

通信装置２０１は、ネットワークカードなどのネットワークインタフェースである。通信装置２０１は、ネットワーク１０４を介して他の装置からデータを受信し、受信したデータを演算装置２０４へ送る。そして、通信装置２０１は、演算装置２０４によって生成されたデータを、ネットワーク１０４を介して他の装置へ送信する。

入力装置２０２は、キーボードまたはマウス等の装置であり、ユーザによる情報の入力を受け付けるための装置である。表示装置２０３は、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）等の装置であり、管理者に情報を出力するための装置である。

記憶装置２０６は、ハードディスク等の装置であり、演算装置２０４が実行するプログラムおよび演算装置２０４が使用するデータ等を格納する。メモリ２０５は、一時的にデータ等が読み出される記憶領域である。

演算装置２０４は、記憶装置２０６に格納されたプログラムを実行し、振分装置１０５に備わる各装置を制御する。演算装置２０４は、入力装置２０２および表示装置２０３を制御し、入力装置２０２から入力されたデータを受け付け、表示装置２０３へデータを出力する。記憶装置２０６に格納されるプログラムは、演算装置２０４によって、記憶装置２０６からメモリ２０５に読み出され、メモリ２０５において実行される。

演算装置２０４は、プログラムを記憶装置２０６から読み出すが、他の例として、ＣＤもしくはＤＶＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、磁気記録媒体、または、半導体メモリ等の記録媒体からプログラムを読み出してもよい。また他の例として、他の装置から、通信媒体を介して、プログラムを読み出してもよい。通信媒体とは、ネットワークまたはこれらを伝搬するディジタル信号または搬送波を示す。

図１に示すその他の装置（すなわち、管理情報格納装置１０６、情報更新装置１０７、ログ情報格納装置１０８、監視シナリオ更新装置１０９、メール受信サーバ１１１、メール蓄積サーバ１１２、ＡＶサーバ（方法Ａ）１１３、ＡＶサーバ（方法Ｂ）１１４、ＡＶサーバ（方法Ｃ）１１５、ＵＲＬ検査サーバ１１６、ファイル解析サーバ１１７）のハードウェア構成は、図２に示す振分装置１０５と同じハードウェア構成であるか、それに相当する構成を有する。このため、その他の装置のハードウェア構成を、図示しない。

図３は、本実施例１のセキュリティ監視システム１０１の処理の概要を示すブロック図である。

本実施例において、メール蓄積サーバ１１２およびＡＶサーバ（方法Ａ）１１３以外の各サーバは、受信したメールにマルウェアが付加されているか否かをスキャンした後、受信したメールをセキュリティ監視システム１０１の振分装置１０５に転送するように、あらかじめ設定される。また、メール蓄積サーバ１１２は、受信したメールを自らに蓄積するように、あらかじめ設定される。また、ＡＶサーバ（方法Ａ）１１３は、受信したメールにマルウェアが付加されているか否かをスキャンした後、受信したメールをメール蓄積サーバ１１２に転送するように、あらかじめ設定される。

さらに、メール受信サーバ１１１、ＡＶサーバ（方法Ａ）１１３、ＡＶサーバ（方法Ｂ）１１４、ＡＶサーバ（方法Ｃ）１１５、ＵＲＬ検査サーバ１１６、およびファイル解析サーバ１１７は、受信したメールにマルウェアが付加されているか否かをスキャンした後、スキャン結果をログとして出力するように、あらかじめ設定される。

ここで出力されるログには、各サーバにおいて処理された結果と、各サーバにおいて処理されたメールのヘッダ情報とが少なくとも含まれる。また、出力されるログには、各サーバにおいて処理されたメールの本文（データ部）が含まれてもよい。

図３に示す外部ネットワーク３００は、計算機システム１０２が所属する組織の外部のシステムに接続されるネットワークである。計算機システム１０２は、組織の外部のシステムから送信されるメールを、外部ネットワーク３００を介して受信する。

計算機システム１０２が外部ネットワーク３００からメールを受信した場合、メール受信サーバ１１１がメールを受信する（３０１）。メール受信サーバ１１１は、メール受信サーバ１１１自身の設定に従い、受信したメールを振分装置１０５に転送する（３０２）。

振分装置１０５は、メールを受信した場合、受信したメールの宛先ユーザに対応する監視シナリオを、管理情報格納装置１０６から取得する（３０３）。ここで、宛先ユーザとは、受信したメールの宛先となるユーザを示す識別子である。

監視シナリオとは、受信したメールをスキャンする処理の順番を示す情報である。本実施例の監視シナリオは、受信したメールが、マルウェアが付加されているか否かをスキャンされる計算機システム１０２のサーバの順番を示す。受信したメールは、監視シナリオに従って、計算機システム１０２の各サーバを通過する。

振分装置１０５は、受信したメールが次に処理されるべきサーバを、取得された監視シナリオから決定する。そして、振分装置１０５は、決定されたサーバへメールを転送する（３０４）。または、振分装置１０５は、決定されたサーバへメールが転送されるように、計算機システム１０２に指示する。

メールが受信されたサーバが、メール蓄積サーバ１１２またはＡＶサーバ（方法Ａ）１１３ではない場合、処理３０２、処理３０３、および処理３０４の流れが繰り返される。

計算機システム１０２内の各サーバは、受信したメールを処理した後、処理においてマルウェアを検出した結果を示すログを生成する。生成されたログは、ログ情報格納装置１０８に収集され、ログ情報格納装置１０８に蓄積される（３０５）。

情報更新装置１０７は、ログ情報格納装置１０８からログ情報を取得する（３０６）。情報更新装置１０７は、三つのＡＶサーバ、ＵＲＬ検査サーバ１１６、およびファイル解析サーバ１１７においてマルウェアが検出された結果を、取得されたログ情報から抽出する。情報更新装置１０７は、抽出された情報に基づいてＡＶサーバ（方法Ａ）１１３が保持するシグネチャデータベース、および、ＵＲＬブラックリスト等の情報を更新する（３０７）。

ＡＶサーバ（方法Ａ）１１３は、情報更新装置１０７から情報を受信し、自身が保持するシグネチャデータベース、および、ＵＲＬブラックリスト等の情報を更新する。シグネチャデータベース、およびＵＲＬブラックリストは、例えば、シグネチャ、およびＵＲＬを各々複数含むファイルとして、ＡＶサーバ（方法Ａ）１１３が有する記憶装置等に保持される。

ＡＶサーバ（方法Ａ）１１３は、情報更新装置１０７から送信されたシグネチャ、およびＵＲＬによって、ＡＶサーバ（方法Ａ）１１３の記憶装置に保持されるファイルを更新する。そして、ＡＶサーバ（方法Ａ）１１３は、更新されたファイルを読み出すことによって、新たなシグネチャデータベースおよびＵＲＬブラックリストを用いてメールをスキャンする。

また、ＡＶサーバ（方法Ａ）１１３は、自らが有するメモリに保持されるシグネチャデータベースまたはＵＲＬブラックリストに、情報更新装置１０７から送信された情報を追加することで、シグネチャデータベースおよびＵＲＬブラックリストを更新してもよい。

処理３０５〜３０７によって、ＡＶサーバ（方法Ａ）１１３以外で検出された不正なメールに関する情報が、ＡＶサーバ（方法Ａ）１１３にフィードバックされる。そして、ＡＶサーバ（方法Ａ）１１３は、フィードバックされた情報に基づいてマルウェアを検出できる。

また、監視シナリオ更新装置１０９は、ログ情報格納装置１０８からログ情報を取得する（３０８）。そして、監視シナリオ更新装置１０９は、取得されたログ情報に基づいて、管理情報格納装置１０６に格納された、宛先ユーザと監視シナリオとの組み合わせを更新する（３０９）。

図４は、本実施例１の監視シナリオの例を示す説明図である。

図４は、監視シナリオＸ４０１、監視シナリオＹ４０２、および監視シナリオＺ４０３の三つの監視シナリオを示す。本実施例において、監視シナリオのいずれかがメールを受信するユーザに設定される。

監視シナリオＸ４０１は、メール受信サーバ１１１によって受信されたメールが、ＡＶサーバ（方法Ａ）１１３によってスキャンされ、その後、メール蓄積サーバ１１２によって蓄積されることを示す。

監視シナリオＹ４０２は、メール受信サーバ１１１によって受信されたメールが、ＡＶサーバ（方法Ｂ）１１４、ＵＲＬ検査サーバ１１６、および、ＡＶサーバ（方法Ａ）１１３の順にそれぞれのサーバによってスキャンされ、その後、メール蓄積サーバ１１２に蓄積されることを示す。

監視シナリオＺ４０３は、メール受信サーバ１１１によって受信されたメールが、ＡＶサーバ（方法Ｂ）１１４、ＡＶサーバ（方法Ｃ）１１５、ＵＲＬ検査サーバ１１６、ファイル解析サーバ１１７、および、ＡＶサーバ（方法Ａ）１１３の順にそれぞれのサーバによってスキャンされ、メール蓄積サーバ１１２に蓄積されることを示す。

本実施例において、監視シナリオＸ４０１、監視シナリオＹ４０２、および監視シナリオＺ４０３の全てに、ＡＶサーバ（方法Ａ）１１３は共通して含まれるようにあらかじめ定められる。図３の処理３０７において行われるＡＶサーバ（方法Ａ）１１３の情報の更新は、すべてのユーザに対するセキュリティを維持するための情報の更新となる。

図４に示す監視シナリオは、監視シナリオＸ４０１、監視シナリオＹ４０２、監視シナリオＺ４０３の３種類である。監視シナリオＹ４０２は、監視シナリオＸ４０１に、通過するサーバが追加された監視シナリオであり、監視シナリオＸ４０１によるセキュリティのレベルよりも、さらにセキュリティのレベルが高い監視シナリオである。

また、監視シナリオＺ４０３は、監視シナリオＹ４０２に、通過するサーバが追加された監視シナリオであり、監視シナリオＹ４０２によるセキュリティのレベルよりも、さらにセキュリティのレベルを高めたシナリオである。

一方で、監視シナリオＺ４０３は、一通のメールを多くのサーバがスキャンする監視シナリオであるため、監視シナリオＹ４０２よりもメールへの処理に時間がかかり、かつ、計算機システム１０２におけるリソースへの負荷が高まる監視シナリオである。同様に、監視シナリオＹ４０２は、監視シナリオＸ４０１よりもメールへの処理に時間がかかり、かつ、計算機システム１０２におけるリソースへの負荷が高まる監視シナリオである。

なお、前述の三つの監視シナリオは例であり、本実施例のセキュリティ監視システム１０１における監視シナリオは、前述の処理内容に制限されるものではない。本実施例の監視シナリオは２種類、または４種類以上あってもよい。また、例えば、監視シナリオＡはサーバＡのみを示し、監視シナリオＢはサーバＢのみを示すように、複数のシナリオが共通するサーバを含まなくともよい。

以下、セキュリティ監視システム１０１を構成する各装置の構成について説明する。

図５は、本実施例１の振分装置１０５の論理的な構成を示すブロック図である。

振分装置１０５は、計算機システム１０２から受信したメールの転送先のサーバを決定する装置である。振分装置１０５は、受信部５０１、送信部５０２、および、転送先決定部５０３を有する。受信部５０１、送信部５０２、および、転送先決定部５０３の機能は、プログラムを演算装置２０４が実行することによって実装されてもよく、また、集積回路等の物理的な装置によって実装されてもよい。

受信部５０１および送信部５０２は、メール送信用のプロトコルＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）に従ったインタフェースである。受信部５０１および送信部５０２は、通信装置２０１を介して、メールの送受信を行う。

受信部５０１がメールを受信した場合、受信部５０１は、受信したメールを転送先決定部５０３へ送信する。転送先決定部５０３は、受信したメールの宛先ユーザに従い、受信部５０１から受信したメールの転送先のサーバを決定する。

そして、転送先決定部５０３は、送信部５０２を介して、決定された転送先のサーバへ受信したメールが送信されるように、受信したメールを計算機システム１０２へ送信する。具体的には、転送先決定部５０３は、受信したメールに決定された転送先のサーバを示す情報を付加し、決定された転送先のサーバに向けて、受信したメールを送信する。

なお、決定された転送先のサーバへ受信したメールを送信する方法は、いかなる方法でもよい。例えば、振分装置１０５は、計算機システム１０２からメールのヘッダ情報のみを受信し、転送先決定部５０３は、メールのヘッダ情報に従って転送先のサーバを決定してもよい。そして、振分装置１０５は、計算機システム１０２において受信したメールを最後にスキャンしたサーバに、転送先のサーバを示す情報を送信し、転送先のサーバへ受信したメールを転送させてもよい。

図６は、本実施例１の管理情報格納装置１０６の論理的な構成を示すブロック図である。

以下、図面および明細書においてデータベースを「ＤＢ」と省略する場合がある。

管理情報格納装置１０６は、ユーザＤＢ６０１および監視シナリオＤＢ６０２を有する記憶装置である。ユーザＤＢ６０１および監視シナリオＤＢ６０２は、管理情報格納装置１０６の記憶装置２０６に格納される。

ユーザＤＢ６０１は、セキュリティ監視システム１０１によって用いられる複数の監視シナリオがいずれのユーザに適用されるかを示す情報を含む。監視シナリオＤＢ６０２は、メールが通過する計算機システム１０２内のサーバと通過する順番とを示す監視シナリオを格納するデータベースである。

ユーザＤＢ６０１および監視シナリオＤＢ６０２に格納される情報は、振分装置１０５の転送先決定部５０３が、メールの転送先のサーバを決定するために用いられる。また、ユーザＤＢ６０１に格納される情報は、監視シナリオ更新装置１０９によって更新される。監視シナリオＤＢ６０２に格納される情報は、あらかじめ管理者等によって設定される。

図７は、本実施例１のユーザＤＢ６０１を示す説明図である。

ユーザＤＢ６０１は、ユーザ識別子７０１およびシナリオ識別子７０２を含む。ユーザ識別子７０１は、計算機システム１０２を利用するユーザを一意に識別するための識別子である。シナリオ識別子７０２は、監視シナリオを一意に識別するための識別子である。図７に示す"Ｘ"は監視シナリオＸ４０１を示し、"Ｙ"は監視シナリオＹ４０２を示し、"Ｚ"は監視シナリオＺ４０３を示す。

本実施例において、ユーザ識別子７０１の値とシナリオ識別子７０２の値との組み合わせは、ユーザＤＢ６０１において一意である。

図８は、本実施例１の監視シナリオＤＢ６０２を示す説明図である。

監視シナリオＤＢ６０２は、シナリオ識別子８０１、受信元サーバ８０２、および転送先サーバ８０３を含む。シナリオ識別子８０１は、監視シナリオを一意に識別するための識別子であり、ユーザＤＢ６０１のシナリオ識別子７０２に相当する。受信元サーバ８０２および転送先サーバ８０３は、計算機システム１０２のサーバを示す。

監視シナリオＤＢ６０２の各エントリは、シナリオ識別子７０２が示す監視シナリオにおいて、受信元サーバ８０２が示すサーバから受信したメールは、転送先サーバ８０３が示すサーバへ送信されることを示す。

図８に示す監視シナリオＤＢ６０２は、図４に示す三つの監視シナリオに対応する。

図９は、本実施例１の情報更新装置１０７の論理的な構成を示すブロック図である。

情報更新装置１０７は、検知情報取得部９０１および更新部９０２を有する。検知情報取得部９０１は、ログ情報格納装置１０８から、マルウェア検知情報、または不正ＵＲＬ検知情報などを取得する。

検知情報取得部９０１および更新部９０２の機能は、情報更新装置１０７の演算装置２０４がプログラムを実行することによって実装されてもよいし、集積回路等の物理的な装置によって実装されてもよい。

更新部９０２は、検知情報取得部９０１によって取得された情報から、計算機システム１０２内のＡＶサーバ（方法Ａ）１１３が利用可能な情報を抽出する。そして、更新部９０２は、抽出された情報を含むＡＶサーバ（方法Ａ）１１３の更新情報を生成する。そして、更新部９０２は、生成された更新情報を、ＡＶサーバ（方法Ａ）１１３へ送信する。

更新部９０２からＡＶサーバ（方法Ａ）１１３に送信される更新情報は、ＡＶサーバ（方法Ａ）１１３が使用するシグネチャデータベースに追加するシグネチャの情報、およびＵＲＬブラックリストに追加する不正ＵＲＬの情報を含む。ＡＶサーバ（方法Ａ）１１３が情報更新装置１０７から更新情報を受信した場合、シグネチャデータベース、および、ＵＲＬブラックリストの少なくとも一つは更新されるため、情報更新装置１０７から更新情報によって、ＡＶサーバ（方法Ａ）１１３によるメールの監視方法は、変更される。

図１０は、本実施例１のログ情報格納装置１０８の論理的な構成を示すブロック図である。

ログ情報格納装置１０８は、メールログＤＢ１００１、ＡＶログＤＢ１００２、ＵＲＬ検査ログＤＢ１００３、ファイル解析ログＤＢ１００４、およびログ収集部１００５を有する。ログ情報格納装置１０８は、計算機システム１０２の各サーバのログ情報を格納する記憶装置である。

ログ収集部１００５の機能は、ログ情報格納装置１０８の演算装置２０４がプログラムを実行することによって実装されてもよいし、集積回路等の物理的な装置によって実装されてもよい。メールログＤＢ１００１、ＡＶログＤＢ１００２、ＵＲＬ検査ログＤＢ１００３、およびファイル解析ログＤＢ１００４は、ログ情報格納装置１０８の記憶装置２０６に格納される。

ログ収集部１００５は、計算機システム１０２の各サーバからログ情報を収集する。例えば、計算機システム１０２の各サーバが、ｓｙｓｌｏｇなどのログをログ情報格納装置１０８へ定期的に送信することによって、ログ収集部１００５はログ情報を収集してもよい。また、ログ収集部１００５は、計算機システム１０２の各サーバのｓｙｓｌｏｇなどのログを定期的に確認し、新たなログが出力されていると判定した場合、新たなログをログ情報として収集してもよい。

新たなログ情報を収集した際、ログ収集部１００５は、収集されたログ情報を、メールログＤＢ１００１、ＡＶログＤＢ１００２、ＵＲＬ検査ログＤＢ１００３、および、ファイル解析ログＤＢ１００４に格納する。

また、新たなログ情報を収集した際、ログ情報格納装置１０８は、収集したログ情報を情報更新装置１０７へ送信する。新たなログ情報は、情報更新装置１０７が、ＡＶサーバ（方法Ａ）１１３によるマルウェアの検出方法を更新するために用いられる。また、ログ情報格納装置１０８に格納されたログ情報は、監視シナリオ更新装置１０９によって取得され、監視シナリオ更新装置１０９がユーザＤＢ６０１を更新するために用いられる。

ログ情報格納装置１０８は、情報更新装置１０７または監視シナリオ更新装置１０９にログ情報が送信する場合、ログ情報格納装置１０８が有する各ＤＢの各エントリの内容を含むデータを、ログ情報として送信する。

なお、ログ情報格納装置１０８は、ログ情報格納装置１０８からログ情報を情報更新装置１０７および監視シナリオ更新装置１０９に送信するプログラムまたは装置（図示なし）を有してもよい。

図１１は、本実施例１のメールログＤＢ１００１を示す説明図である。

メールログＤＢ１００１は、メール受信サーバ１１１が出力するログ（メールログ）に対応する。メールログＤＢ１００１は、メール識別子１１０１、宛先ユーザ１１０２、受信日時１１０３、発信元メールアドレス１１０４、およびメールデータ１１０５を含む。メールログＤＢ１００１の一つのエントリは、一つのメールログを示す。

メール識別子１１０１は、メールを一意に識別するための識別子であり、ログ収集部１００５によって割り当てられる値である。宛先ユーザ１１０２は、メール識別子１１０１が示すメールの宛先ユーザの識別子であり、管理情報格納装置１０６のユーザＤＢ６０１のユーザ識別子７０１に相当する。

受信日時１１０３は、メール受信サーバ１１１がメールを受信した日付および時刻を示す。発信元メールアドレス１１０４は、メールが送信されたシステム等を示すメールアドレスである。

メールデータ１１０５は、メール識別子１１０１が示すメールのデータ全体を含む。ここで、メールデータ１１０５に含まれるデータ全体には、ヘッダ情報と本文（添付ファイルを含む）とが含まれる。

本実施例におけるメールログＤＢ１００１は、メールデータ全体を格納するが、これ以外の情報を含んでもよい。例えば、メールログＤＢ１００１は、発信元のホスト情報、転送経路、添付ファイルの有無、および添付ファイル名のうち、少なくとも一つを含んでもよい。

図１２は、本実施例１のＡＶログＤＢ１００２を示す説明図である。

ＡＶログＤＢ１００２は、計算機システム１０２のＡＶサーバが出力するログ（ＡＶログ）を蓄積するデータベースである。ＡＶログＤＢ１００２は、メール識別子１２０１、宛先ユーザ１２０２、ＡＶサーバ１２０３、スキャン結果１２０４、添付ファイル名１２０５、および、添付ファイルシグネチャ１２０６を含む。ＡＶログＤＢ１００２の一つのエントリが、一つのＡＶログを示す。

メール識別子１２０１および宛先ユーザ１２０２は、メールログＤＢ１００１のメール識別子１１０１および宛先ユーザ１１０２に相当する。

ＡＶサーバ１２０３は、メール識別子１２０１が示すメールをスキャンしたＡＶサーバを示す値を含む。本実施例におけるＡＶサーバは、方法Ａ、方法Ｂ、方法Ｃの３種類を各々行う三つのＡＶサーバである。このため、ＡＶサーバ１２０３には、これら三つのＡＶサーバのうちのいずれかを示す値が格納される。

スキャン結果１２０４は、メール識別子１２０１が示すメールをＡＶサーバ１２０３が示すＡＶサーバがスキャンした結果を示す。具体的には、スキャン結果１２０４は、受信したメールにマルウェアが付加されるか否かを示す情報を含む。図１２に示すスキャン結果１２０４には、受信したメールにマルウェアが付加されると判定された場合には"Ｔｒｕｅ"が格納され、マルウェアは付加されていないと判定された場合には"Ｆａｌｓｅ"が格納される。

添付ファイル名１２０５は、ＡＶサーバの各々によってスキャンされた添付ファイルの名称を含む。

添付ファイルシグネチャ１２０６には、添付ファイルがマルウェアであると判定された場合に、その添付ファイルを一意に特定するためのシグネチャ情報が格納される。添付ファイルシグネチャ１２０６に格納される情報には、ＭＤ５またはＳＨＡ１などのハッシュ関数によって取得されたファイルのハッシュ値がある。

メール識別子１２０１が示すメールに添付ファイルがない場合、添付ファイル名１２０５および添付ファイルシグネチャ１２０６は空白である。また、添付ファイルをスキャンした結果、添付ファイルがマルウェアでないと判定された場合、添付ファイルシグネチャ１２０６は空白である。

ＡＶサーバから送信されたログ情報にシグネチャを示す値が格納される場合、ログ収集部１００５は、ログ情報に格納されたシグネチャを、添付ファイルシグネチャ１２０６に格納する。ログ収集部１００５は、ＡＶサーバから送信されたログ情報にシグネチャを示す値が格納されない場合、添付ファイルシグネチャ１２０６に格納されるシグネチャの値を、収集されたログ情報に基づいて算出してもよい。

図１３は、本実施例１のＵＲＬ検査ログＤＢ１００３を示す説明図である。

ＵＲＬ検査ログＤＢ１００３は、ＵＲＬ検査サーバ１１６が出力するログ（ＵＲＬ検査ログ）を蓄積するデータベースである。ＵＲＬ検査ログＤＢ１００３は、メール識別子１３０１、宛先ユーザ１３０２、検査サーバ１３０３、ＵＲＬ検査結果１３０４、および、記載ＵＲＬ１３０５を含む。ＵＲＬ検査ログＤＢ１００３の一つのエントリが、一つのＵＲＬ検査ログを示す。

メール識別子１３０１および宛先ユーザ１３０２は、メールログＤＢ１００１のメール識別子１１０１および宛先ユーザ１１０２に相当する。

検査サーバ１３０３は、メール識別子１３０１が示すメールに記載されたＵＲＬをスキャンしたＵＲＬ検査サーバ１１６を示す値を含む。

本実施例において、ＵＲＬをスキャンするＡＶサーバ以外のサーバは、ＵＲＬ検査サーバ１１６のみである。このため、図１３に示す検査サーバ１３０３に格納される値はＵＲＬ検査サーバ１１６を示す値のみである。しかし、ＵＲＬ検査サーバ１１６が複数ある場合、検査サーバ１３０３には、複数のＵＲＬ検査サーバ１１６の各々を識別する値が含まれる。

ＵＲＬ検査結果１３０４は、メール識別子１３０１が示すメールを検査サーバ１３０３が示すＵＲＬ検査サーバがスキャンした結果を示す。具体的には、ＵＲＬ検査結果１３０４は、メール識別子１３０１が示すメールの本文内に記載されたＵＲＬが不正であるか否かを示す情報を含む。ＵＲＬ検査結果１３０４は、メールに記載されたＵＲＬが不正であると判定された場合"Ｔｒｕｅ"が格納され、メールに記載されたＵＲＬが不正でないと判定された場合"Ｆａｌｓｅ"が格納される。

記載ＵＲＬ１３０５は、検査サーバ１３０３によってスキャンされたＵＲＬを示す。

図１４は、本実施例１のファイル解析ログＤＢ１００４を示す説明図である。

ファイル解析ログＤＢ１００４は、ファイル解析サーバ１１７が出力するログ（ファイル解析ログ）を蓄積するデータベースである。ファイル解析ログＤＢ１００４は、メール識別子１４０１、宛先ユーザ１４０２、解析サーバ１４０３、添付ファイル解析結果１４０４、添付ファイル名１４０５、および添付ファイルシグネチャ１４０６を含む。ファイル解析ログＤＢ１００４の一つのエントリが、一つのファイル解析ログを示す。

メール識別子１４０１および宛先ユーザ１４０２は、メールログＤＢ１００１のメール識別子１１０１および宛先ユーザ１１０２に対応する。

解析サーバ１４０３は、メール識別子１４０１が示すメールの添付ファイルを解析したファイル解析サーバを示す情報である。本実施例において、添付ファイルを解析するＡＶサーバ以外のサーバは、ファイル解析サーバ１１７のみであるため、図１４に示すファイル解析ログＤＢ１００４の解析サーバ１４０３には、ファイル解析サーバ１１７を示す値のみが格納される。

添付ファイル解析結果１４０４は、メール識別子１４０１が示すメールの添付ファイルを解析サーバ１４０３で解析した結果を示し、具体的には、解析された添付ファイルがマルウェアであるか否か判定された結果を示す。添付ファイル解析結果１４０４には、添付ファイルがマルウェアであると判定された場合"Ｔｒｕｅ"が格納され、添付ファイルがマルウェアでないと判定された場合"Ｆａｌｓｅ"が格納される。

添付ファイル名１４０５は、解析された添付ファイルの名称を示す。

添付ファイルシグネチャ１４０６には、添付ファイルがマルウェアであると判定された場合、添付ファイルを一意に識別するためのシグネチャを示す値が格納される。添付ファイルシグネチャ１４０６に格納される情報には、ＡＶログＤＢ１００２の添付ファイルシグネチャ１２０６と同じく、ＭＤ５またはＳＨＡ１などのハッシュ関数によって取得されたファイルのハッシュ値がある。

メール識別子１４０１が示すメールに添付ファイルがない場合、添付ファイル名１４０５および添付ファイルシグネチャ１４０６は空白である。また、添付ファイルが解析された結果添付ファイルがマルウェアでないと判定された場合、添付ファイルシグネチャ１４０６は空白である。

ログ収集部１００５は、メール受信サーバ１１１からログ情報を収集した場合、収集したログ情報から受信したメールに関する情報を抽出する。そして、ログ収集部１００５は、抽出された情報に基づいて、受信したメールの各々に一意に識別するメール識別子を割り当てる。そして、ログ収集部１００５は、割り当てられたメール識別子を、メールログＤＢ１００１のメール識別子１１０１に格納し、ログ情報から抽出された情報を、メールログＤＢ１００１の各エントリに格納する。

メール受信サーバ１１１以外のサーバが出力したログ情報を収集した場合、ログ収集部１００５は、メールログＤＢ１００１に格納された情報（特に、メールデータ１１０５）と、収集されたログ情報（例えば、ログ情報に含まれるメールのヘッダ情報）とを比較する。ログ収集部１００５は、比較の結果に基づいて、収集されたログ情報に対応するメールを示すメールログＤＢ１００１のエントリを抽出し、抽出されたエントリのメール識別子１１０１の値を取得する。

そして、ログ収集部１００５は、取得されたメール識別子１１０１の値を、ログ情報の収集元のサーバに対応するデータベースのメール識別子の領域（ＡＶログＤＢ１００２のメール識別子１２０１、ＵＲＬ検査ログＤＢ１００３のメール識別子１３０１、またはファイル解析ログＤＢ１００４のメール識別子１４０１）に格納する。そして、ログ収集部１００５は、あらかじめ定められたテンプレート等によって、収集されたログ情報の値から各ＤＢの情報を抽出し、抽出された情報を各ＤＢに格納する。

なお、三つのＡＶサーバ、または、ファイル解析サーバ１１７から収集されたログ情報に添付ファイルシグネチャ情報（添付ファイルシグネチャ１２０６または添付ファイルシグネチャ１４０６に相当）が含まれていない場合、ログ収集部１００５は、添付ファイルシグネチャを生成する。

具体的には、三つのＡＶサーバから収集されたログ情報に、添付ファイルシグネチャ情報（添付ファイルシグネチャ１２０６に相当）が含まれておらず、かつ、スキャン結果１２０４相当の値として"Ｔｒｕｅ"が含まれていた場合、ログ収集部１００５は、収集されたログ情報に対応するメールを示すメールログＤＢ１００１のエントリを抽出する。そして、抽出されたエントリのメールデータ１１０５から、添付ファイルシグネチャを生成する。そして、ログ収集部１００５は、生成された添付ファイルシグネチャを、添付ファイルシグネチャ１２０６に格納する。

ここで、ログ収集部１００５は、メールデータ１１０５の値から、あらかじめ定められたテンプレートを用いて、添付ファイルを示す識別子を抽出し、抽出された識別子を添付ファイルシグネチャとしてもよい。また、あらかじめ定められた手順によって、メールデータ１１０５の値から、添付ファイルシグネチャを生成してもよい。

また、ファイル解析サーバ１１７から収集されたログ情報に、添付ファイルシグネチャ情報（添付ファイルシグネチャ１４０６に相当）が含まれておらず、かつ、添付ファイル解析結果１４０４相当の値として"Ｔｒｕｅ"が含まれていた場合においても、ログ収集部１００５は、前述の方法と同じく、添付ファイルシグネチャを生成する。

図１５は、本実施例１の監視シナリオ更新装置１０９のブロック図である。

監視シナリオ更新装置１０９は、ログ解析部１５０１、および更新部１５０２を有する。ログ解析部１５０１、および更新部１５０２の機能は、監視シナリオ更新装置１０９の演算装置２０４がプログラムを実行することによって実装されてもよいし、集積回路等の物理的な装置によって実装されてもよい。

ログ解析部１５０１は、ログ情報格納装置１０８に格納されたログ情報を取得し、取得されたログ情報に基づいて、ユーザと監視シナリオとの組み合わせ（ユーザＤＢ６０１に相当）を更新するための更新情報を生成する。生成された更新情報は、更新部１５０２に送られ、更新部１５０２によって管理情報格納装置１０６へ送信される。

以上が、セキュリティ監視システム１０１を構成する装置の構成になる。以下では、各装置の動作について詳細に説明する。

図１６は、本実施例１の転送先決定部５０３の処理を示すフローチャートである。

転送先決定部５０３は、受信部５０１からメールを転送された際に図１６に示す処理を開始する。受信部５０１がメールを受信した場合（図３に示す処理３０２に相当）、転送先決定部５０３は、受信部５０１からメールを転送されることによって、受信部５０１からメールを取得する（Ｓ１６０１）。

なお、受信部５０１は、あらかじめ定められた期間において受信した複数のメールを、転送先決定部５０３に転送してもよい。また、受信部５０１は、Ｓ１６０１において、メールを送信した計算機システム１０２のサーバを示す受信元サーバの値が付加されていない場合、転送先決定部５０３に転送するメールに受信元サーバの値を付加する。

Ｓ１６０１の後、転送先決定部５０３は、受信した一つまたは複数のメールから、宛先ユーザを抽出する（Ｓ１６０２）。ここで抽出される一つまたは複数の宛先ユーザは、ユーザを示す値であり、ユーザＤＢ６０１のユーザ識別子７０１に相当する。

Ｓ１６０２の後、転送先決定部５０３は、Ｓ１６０２において抽出された宛先ユーザごとに、受信した一つまたは複数のメールに、Ｓ１６０４からＳ１６０６までの処理を繰り返す（Ｓ１６０３）。具体的には、転送先決定部５０３はＳ１６０３において、Ｓ１６０２において抽出された一つまたは複数の宛先ユーザのうち、Ｓ１６０４〜Ｓ１６０６の処理が行われていない一つの宛先ユーザを任意に選択する。

転送先決定部５０３は、管理情報格納装置１０６のユーザＤＢ６０１を参照する（図３に示す処理３０３に相当）。そして、転送先決定部５０３は、Ｓ１６０３において選択された宛先ユーザを示すユーザ識別子７０１の、ユーザＤＢ６０１の一つのエントリを抽出する。そして、転送先決定部５０３は、抽出された一つのエントリのシナリオ識別子７０２から監視シナリオのシナリオ識別子を取得する（Ｓ１６０４）。

Ｓ１６０４の後、転送先決定部５０３は、管理情報格納装置１０６の監視シナリオＤＢ６０２を参照する（図３に示す処理３０３に相当）。そして、転送先決定部５０３は、Ｓ１６０４において取得されたシナリオ識別子をシナリオ識別子８０１に含み、Ｓ１６０３において選択された宛先ユーザのメール（一つまたは複数）に付加された受信元サーバの値を受信元サーバ８０２に含むエントリ（一つまたは複数）を、監視シナリオＤＢ６０２から抽出する。

そして、転送先決定部５０３は、抽出されたエントリの転送先サーバ８０３の値を、メールの転送先サーバとして各々取得する（１６０５）。

Ｓ１６０５の後、転送先決定部５０３は、Ｓ１６０５において取得された転送先サーバ８０３の値を、メールの転送先サーバとして各々決定する。そして、転送先決定部５０３は、一つまたは複数のメールと、各メールに決定された送信先のサーバを示す値とを送信部５０２に送信する（Ｓ１６０６）。

送信部５０２は、転送先決定部５０３によって決定された転送先サーバへ、一つまたは複数のメールが各々送信されるように、一つまたは複数のメールを計算機システム１０２へ送信する（図３に示す処理３０４に相当）。例えば、送信部５０２は、決定された転送先サーバを示す値を宛先サーバのアドレスとして付加されたメールの各々を送信してもよい。

Ｓ１６０６の後、転送先決定部５０３は、Ｓ１６０３に戻る。

Ｓ１６０３においてすべての宛先ユーザを選択した後、転送先決定部５０３は、図１６に示す処理を終了する。

図１６に示す処理によれば、振分装置１０５は、受信したメールの宛先ユーザと監視シナリオとに従って、受信したメールが次にスキャンされるべき計算機システム１０２のサーバを決定できる。このため、セキュリティ監視システム１０１は、宛先ユーザごとに異なる監視シナリオを用いることによって、宛先ユーザごとにセキュリティのレベルを変更することが可能である。

すなわち、実施例１のセキュリティ監視システム１０１は、高いセキュリティレベルが必要なユーザにメールが送信された場合、多くのサーバにメールをスキャンさせる監視シナリオを用いることによって、セキュリティレベルを高めることができる。

また、実施例１のセキュリティ監視システム１０１は、高いセキュリティレベルが不要なユーザにメールが送信された場合、メールをスキャンするサーバが少ない監視シナリオを用いることによって、セキュリティレベルを低めることができる。これによって、セキュリティ監視システム１０１は、計算機システム１０２の各サーバの処理の負荷を、低減することができ、さらに、各サーバによって出力されるログの量を抑制することができる。

図１７は、本実施例１の検知情報取得部９０１の処理を示すフローチャートである。

情報更新装置１０７の検知情報取得部９０１は、ログ情報格納装置１０８からログ情報（図１７においては、最新のＡＶログ、最新のＵＲＬ検査ログ、および最新のファイル解析ログ）を送信された場合（図３の処理３０８に相当）、図１７に示す処理を開始する。

ログ情報格納装置１０８は、あらかじめ定められた期間において、最新のログ情報を検知情報取得部９０１に送信してもよい。また、ログ情報格納装置１０８は、検知情報取得部９０１に未送信のログ情報が、あらかじめ定められた量蓄積された場合に、最新のログ情報を検知情報取得部９０１に送信してもよい。

検知情報取得部９０１は、ログ情報格納装置１０８から最新のログ情報を取得する（Ｓ１７０１、図３の処理３０６に相当）。Ｓ１７０１の後、検知情報取得部９０１は、取得されたログ情報の中から、ＡＶサーバ１２０３がＡＶサーバ（方法Ａ）１１３以外を示し、かつ、スキャン結果１２０４が"Ｔｒｕｅ"を示す、一つまたは複数のＡＶログを抽出できるか否かを判定する（Ｓ１７０２）。すなわち、Ｓ１７０２において、検知情報取得部９０１は、ＡＶサーバ（方法Ａ）１１３以外のＡＶサーバがマルウェアを検出したことを示すＡＶログを抽出できるか否かを判定する。

Ｓ１７０２において、ＡＶログを抽出できないと判定された場合、ＡＶサーバ（方法Ａ）１１３のシグネチャデータベースをＡＶログによって更新する必要がないため、検知情報取得部９０１は、Ｓ１７０４に進む。

Ｓ１７０２において、一つまたは複数のＡＶログを抽出できると判定された場合、検知情報取得部９０１は、Ｓ１７０３に進む。検知情報取得部９０１は、Ｓ１７０２において抽出された一つまたは複数のＡＶログの添付ファイルシグネチャ１２０６の情報を、更新部９０２に送信する（Ｓ１７０３）。

Ｓ１７０２においてＡＶログを抽出できないと判定された場合、または、Ｓ１７０３の後、検知情報取得部９０１は、Ｓ１７０１において取得されたログ情報の中から、ＵＲＬスキャン結果１３０４が"Ｔｒｕｅ"を示す、一つまたは複数のＵＲＬ検査ログを抽出できるか否かを判定する（Ｓ１７０４）。

Ｓ１７０４においてＵＲＬ検査ログを抽出できないと判定された場合、ＡＶサーバ（方法Ａ）１１３のＵＲＬブラックリストをＵＲＬ検査ログによって更新する必要がないため、検知情報取得部９０１は、Ｓ１７０６に進む。

Ｓ１７０４において、一つまたは複数のＵＲＬ検査ログを抽出できると判定された場合、検知情報取得部９０１は、Ｓ１７０４において抽出された一つまたは複数のＵＲＬ検査ログの記載ＵＲＬ１３０５の情報を、更新部９０２に送信する（Ｓ１７０５）。

Ｓ１７０４においてＵＲＬ検査ログを抽出できないと判定された場合、または、Ｓ１７０５の後、検知情報取得部９０１は、Ｓ１７０１において取得されたログ情報の中から、添付ファイル解析結果１４０４が"Ｔｒｕｅ"を示す、一つまたは複数のファイル解析ログを抽出できるか否かを判定する（Ｓ１７０６）。

Ｓ１７０６においてファイル解析ログを抽出できないと判定された場合、検知情報取得部９０１は、ＡＶサーバ（方法Ａ）１１３のシグネチャデータベースをファイル解析ログによって更新する必要がない。

Ｓ１７０６において、一つまたは複数のファイル解析ログを抽出できると判定された場合、Ｓ１７０６において抽出された一つまたは複数のファイル解析ログの添付ファイルシグネチャ１４０６の情報を、更新部９０２に送信する（Ｓ１７０７）。Ｓ１７０６においてファイル解析ログを抽出できないと判定された場合、または、Ｓ１７０７の後、検知情報取得部９０１は、図１７に示す処理を終了する。

更新部９０２は、検知情報取得部９０１から情報を送信された場合、送信された情報に基づいて、ＡＶサーバ（方法Ａ）１１３のシグネチャデータベースまたはＵＲＬブラックリストを更新するための更新情報を生成する。そして、更新部９０２は、生成された更新情報をＡＶサーバ（方法Ａ）１１３に送信する（図３の処理３０７に相当）。

図１７に示す処理によって、セキュリティ監視システム１０１は、計算機システム１０２における各サーバのスキャンの結果に基づいて、計算機システム１０２の一部のサーバにおけるスキャンの方法を随時変更できる。さらに、これによって、セキュリティ監視システム１０１は、計算機システム１０２が提供するセキュリティのレベルを随時変更できる。

具体的には、前述の処理において、計算機システム１０２における各サーバのスキャンの結果に基づいて、情報更新装置１０７は、ＡＶサーバ（方法Ａ）１１３におけるスキャンの方法を変更した。これは、ＡＶサーバ（方法Ａ）１１３によって保持されるセキュリティのレベルを上げることである。そして、複数の監視シナリオに共通して含まれるＡＶサーバ（方法Ａ）１１３のセキュリティのレベルを上げることは、計算機システム１０２によって提供されるセキュリティのレベルを上げることである。このため、図１７に示す処理によって、計算機システム１０２が提供するセキュリティのレベルを随時変更できる。

図１８は、本実施例１のログ解析部１５０１の処理を示すフローチャートである。

監視シナリオ更新装置１０９のログ解析部１５０１は、あらかじめ定められた期間において、または、システム管理者の指定するタイミングにおいて、図１８に示す処理を開始する。

ログ解析部１５０１は、すべての宛先ユーザにＳ１８０２からＳ１８０４までの処理を繰り返す（Ｓ１８０１）。Ｓ１８０１におけるすべての宛先ユーザとは、メールログＤＢ１００１の宛先ユーザ１１０２が示すすべての宛先ユーザでもよい。また、Ｓ１８０１におけるすべての宛先ユーザとは、受信時刻１１０３の値があらかじめ定められた期間に含まれるメールログの宛先ユーザ１１０２が示すすべての宛先ユーザでもよい。

Ｓ１８０１においてログ解析部１５０１は、すべての宛先ユーザ１１０２が示すすべての宛先ユーザのうち、Ｓ１８０２〜Ｓ１８０４の処理が行われていない一つの宛先ユーザを選択する。

ログ解析部１５０１は、ログ情報格納装置１０８のメールログＤＢ１００１を参照し（図３の処理３０８に相当）、宛先ユーザ１１０２が、選択された宛先ユーザを示すメールログＤＢ１００１のエントリを一つまたは複数抽出する。そして、ログ解析部１５０１は、抽出された一つまたは複数のエントリのメール識別子１１０１を、選択された宛先ユーザに送信されたメールを示す一つまたは複数のメール識別子として取得する。さらに、ログ解析部１５０１は、抽出された一つまたは複数のエントリの数を、選択された宛先ユーザに送信されたメールの総数として算出する（Ｓ１８０２）。

ここで、Ｓ１８０２におけるログ解析部１５０１は、選択された宛先ユーザに送信されたメールを示すすべてのエントリを、メールログＤＢ１００１から抽出してもよい。また、ログ解析部１５０１は、抽出するメールログＤＢ１００１のエントリをあらかじめ定められた方法によって制限してもよい。

例えば、ログ解析部１５０１は、Ｓ１８０２において、メールログＤＢ１００１の受信日時１１０３があらかじめ定められた期間に含まれる日時を示すメールログＤＢ１００１のエントリのみを抽出してもよいし、最新のエントリからあらかじめ定められた件数のエントリをメールログＤＢ１００１から抽出してもよい。

Ｓ１８０２の後、ログ解析部１５０１は、ログ情報格納装置１０８のＡＶログＤＢ１００２を参照し（図３の処理３０８に相当）、メール識別子１２０１が、Ｓ１８０２において抽出された一つまたは複数のエントリのメール識別子１１０１の値を示し、かつ、スキャン結果１２０４が、"Ｔｒｕｅ"（添付ファイルがマルウェアであると検知された）を示すエントリを抽出する。そして、ログ解析部１５０１は、抽出されたエントリの数を算出する（Ｓ１８０３）。

Ｓ１８０３において算出されるエントリの数は、Ｓ１８０１において選択された宛先ユーザに送信され、かつ、マルウェアを付加されたメールの数である。このため、Ｓ１８０３において算出されるエントリの数は、０でもよい。

ここで、Ｓ１８０３におけるログ解析部１５０１は、前述のメール識別子１２０１およびスキャン結果１２０４の条件によって抽出されたエントリの中から、さらに、ＡＶサーバ１２０３がＡＶサーバ（方法Ａ）１１３を示すＡＶログのエントリを抽出してもよい。そして、ログ解析部１５０１は、最終的に抽出されたＡＶログのエントリの数を、マルウェアを付加されたメールの数として、算出してもよい。

また、Ｓ１８０３におけるログ解析部１５０１は、ＡＶログだけでなく、ＵＲＬ検査ログおよびファイル解析ログの少なくとも一つから、Ｓ１８０２において抽出された一つまたは複数のエントリのメール識別子１１０１が示すメールに、マルウェアが付加されていたことを示すエントリを抽出してもよい。そして、ログ解析部１５０１は、ＡＶログと、ＵＲＬ検査ログおよびファイル解析ログの少なくとも一つとから抽出されたエントリの数を、マルウェアを付加されたメールの数として算出してもよい。

具体的には、ログ解析部１５０１は、マルウェアを付加されたメールを示すエントリとして、ＵＲＬ検査ログＤＢ１００３のＵＲＬ検査結果１３０４が"Ｔｒｕｅ"を示すエントリを抽出してもよく、さらに、ファイル解析ログＤＢ１００４の添付ファイル解析結果１４０４が"Ｔｒｕｅ"を示すエントリを抽出してもよい。

Ｓ１８０３の後、Ｓ１８０２において算出されたメールの総数によって、Ｓ１８０３において算出されたマルウェアを付加されたメールの数を除算することによって、Ｓ１８０１において選択された宛先ユーザのマルウェアメール受信率を算出する（Ｓ１８０４）。Ｓ１８０２〜Ｓ１８０４を繰り返すことによって、すべての宛先ユーザのマルウェアメール受信率を算出する。

本実施例のマルウェアメール受信率は、宛先ユーザごとに算出され、宛先ユーザに送信されるメールのうち、マルウェアが付加されたメールが占める割合を示す。このため、マルウェアメール受信率が高い場合、送信されるメールに頻繁にマルウェアが付加されることを示す。

Ｓ１８０２〜Ｓ１８０４によってすべての宛先ユーザのマルウェアメール受信率を算出した後、ログ解析部１５０１は、すべての宛先ユーザをマルウェアメール受信率でソートする（Ｓ１８０５）。Ｓ１８０５の後、ログ解析部１５０１は、マルウェアメール受信率に従って宛先ユーザの各々に監視シナリオを割り当てる（Ｓ１８０６）。

実施例１におけるログ解析部１５０１は、Ｓ１８０６において、あらかじめ定められた方法により、監視シナリオを宛先ユーザの各々に割り当てる。あらかじめ定められた方法とは、マルウェアメール受信率が閾値Ｔｈ＿ｚ以上の宛先ユーザに、監視シナリオＺ４０３を割り当て、マルウェアメール受信率が閾値Ｔｈ＿ｙ以上閾値Ｔｈ＿ｚ未満の宛先ユーザに、監視シナリオＹ４０２を割り当て、さらに、マルウェアメール受信率が閾値Ｔｈ＿ｙ未満の宛先ユーザに、監視シナリオＸ４０１を割り当てる方法である。閾値Ｔｈ＿ｙおよび閾値Ｔｈ＿ｚは、あらかじめ定められた閾値である。

さらに、ログ解析部１５０１は、Ｓ１８０６において、前述の割り当て結果に基づいて、宛先ユーザを示す識別子（ユーザＤＢ６０１のユーザ識別子７０１に相当）と、宛先ユーザに割り当てられた監視シナリオを示す識別子（ユーザＤＢ６０１のシナリオ識別子７０２）とを含む監視シナリオ更新情報を生成する。

Ｓ１８０６の後、ログ解析部１５０１は、生成された監視シナリオ更新情報を、更新部１５０２へ送信する（Ｓ１８０７）。Ｓ１８０７の後、ログ解析部１５０１は、図１８に示す処理を終了する。

更新部１５０２は、ログ解析部１５０１から受信した監視シナリオ更新情報を、管理情報格納装置１０６へ送信し（図３の処理３０９に相当）、管理情報格納装置１０６のユーザＤＢ６０１を、受信した監視シナリオ更新情報によって更新する。

Ｓ１８０６における各宛先ユーザへの監視シナリオの割り当て方法は、前述した方法に制限されるものではない。例えば、監視シナリオの割り当て方法は、マルウェアメール受信率上位から全宛先ユーザの５％にあたる数の宛先ユーザに監視シナリオＺ４０３を割り当て、次のマルウェアメール受信率上位から全宛先ユーザの５％にあたる数の宛先ユーザに監視シナリオＹ４０２を割り当て、残りの宛先ユーザに監視シナリオＸ４０１を割り当てる、といった方法でもよい。

図１８に示す処理によって、実施例１のセキュリティ監視システム１０１は、計算機システム１０２において検出されたマルウェアに関する最新の情報に基づいて、監視シナリオを各ユーザに適切に割り当てることができる。例えば、実施例１のセキュリティ監視システム１０１は、宛先ユーザＳに送信されるメールからマルウェアが頻繁に検出される場合、計算機システム１０２に、宛先ユーザＳに送信されるメールをスキャンするレベルをあげさせることができる。この結果、セキュリティ監視システム１０１は、計算機システム１０２に、各宛先ユーザに適切なセキュリティレベルを提供させることができる。

前述の実施例１では、計算機システム１０２が、マルウェアが付加されるか否かスキャンする対象はメールである。しかし、本実施例１のセキュリティ監視システム１０１の対象はメールに制限されない。例えば、計算機システム１０２がＷｅｂ閲覧時のトラヒックをスキャンする場合も、実施例１のセキュリティ監視システムに前述の構成と同様の構成を適用することができる。

計算機システム１０２がＷｅｂ閲覧時のトラヒックを対象とする場合、計算機システム１０２のサーバの各々は、Ｐｒｏｘｙサーバとして動作する。前述の実施例１におけるＡＶサーバ、ＵＲＬ検査サーバ１１６、およびファイル解析サーバ１１７は、計算機システム１０２がＷｅｂ閲覧時のトラヒックを対象とする場合、ＵＲＬフィルタリング、コンテンツフィルタリング、およびマルウェアフィルタリングを行うサーバに置き換わる。また、インターネットのＷｅｂへ最終的にアクセスするサーバ以外の各サーバは、受信したリクエストを振分装置１０５に転送するように設定される。

ユーザがＷｅｂへアクセスする場合、ユーザは端末を介して、計算機システム１０２のＰｒｏｘｙサーバへリクエストを送信する。Ｐｒｏｘｙサーバは、リクエストを受信した場合、Ｗｅｂアクセスに関する処理を行い、さらに、自身の設定に従い受信したリクエストを振分装置１０５へ転送する。

振分装置１０５は、前述の実施例１と同様に、リクエストを送信したユーザに割り当てられた監視シナリオを抽出し、抽出された監視シナリオからリクエストの転送先サーバを決定する。そして、振分装置１０５は、決定された転送先サーバにリクエストを送信する。転送先サーバが、インターネットのＷｅｂへ最終的にアクセスするサーバでない場合、転送先サーバは、Ｗｅｂへのアクセスに関する処理を行い、さらに、自身の設定に従いリクエストを振分装置１０５へ転送する。リクエストがインターネットのＷｅｂへ最終的にアクセスするサーバに転送されるまで、これらの処理が繰り返される。

なお、本例の監視シナリオは、インターネットのＷｅｂへ最終的にアクセスするサーバが、すべてのユーザのリクエストをスキャンするように、あらかじめ設定される。

インターネットのＷｅｂへ最終的にアクセスするサーバは、計算機システム１０２のサーバの各々によってリクエストから取得された不正ＵＲＬ、および不正コンテンツなどに関する情報を、情報更新装置１０７から送信される。これによって、インターネットのＷｅｂへ最終的にアクセスするサーバにおけるフィルタリングが強化される。

なお、実施例１においては、セキュリティ監視システム１０１を複数の装置で構成したが、セキュリティ監視システム１０１は、これらの装置のうち二つ以上の装置の機能を１台に集約した装置を用いて、実装されてもよい。さらに、セキュリティ監視システム１０１の機能を１台に集約したセキュリティ監視装置が構成されてもよい。

実施例１におけるセキュリティ監視システム１０１は、すべてのユーザに対してすべてのサーバを用いてメールをスキャンする場合に比べ、必要なセキュリティレベルに従って各ユーザ宛てのメールをスキャンする。このため、実施例１のセキュリティ監視システム１０１は、効率のよいセキュリティ監視を実現することができる。また、セキュリティ監視システム１０１は、必要なセキュリティレベルに従ってメールをスキャンするサーバが定められるため、サーバから出力されるログの量を低減させることができる。

実施例２におけるセキュリティ監視システム１０１について説明する。実施例２におけるセキュリティ監視システム１０１によると、ユーザごとに監視シナリオを割り当てる方法を、運用時に柔軟に変更でき、また、ユーザの役職または業務に従った監視シナリオをユーザに割り当てることができる。なお、実施例２の説明において、既に説明した図に示されたものと同一の符号を付された構成要素、機能部、および処理ステップについては、説明を省略する。

図１９は、本実施例２の管理情報格納装置１０６および監視シナリオ更新装置１０９の構成を示すブロック図である。

実施例１と実施例２との相違点を以下に示す。一つ目の相違点は、実施例２のユーザＤＢ１９０１が、実施例１のユーザＤＢ６０１の情報と、実施例１のユーザＤＢ６０１には含まれない情報とを含むことである。また、二つ目の相違点は、実施例２の管理情報格納装置１０６が、監視シナリオ決定ポリシＤＢ１９０２を有する点である。また、三つ目の相違点は、ログ解析部１９０３と、転送先決定部５０３との処理が、実施例１のログ解析部１５０１と、転送先決定部５０３との処理と、各々異なる点である。

ユーザに監視シナリオを割り当てる方法は、実施例１においてはあらかじめ定められていたが、実施例２においてユーザに監視シナリオを割り当てる方法は、管理者等によってポリシグループが指定されることによって随時変更可能である。

監視シナリオ決定ポリシＤＢ１９０２は、ユーザに監視シナリオを割り当てる方法のパターンを示し、実施例２によれば、管理者等は、監視シナリオ決定ポリシＤＢ１９０２が示すポリシグループを指定することによって、監視シナリオを割り当てる方法を随時変更することができる。

監視シナリオ決定ポリシＤＢ１９０２に格納される値は、あらかじめ管理者等によって定められる。監視シナリオ決定ポリシＤＢ１９０２は、管理情報格納装置１０６の記憶装置２０６に格納される。

ログ解析部１９０３は、ログ情報格納装置１０８から取得されたログ情報を解析し、さらに、解析結果と、ユーザＤＢ１９０１と、監視シナリオ決定ポリシＤＢ１９０２とに基づいて、監視シナリオ更新情報を生成する。

図２０は、本実施例２のユーザＤＢ１９０１を示す説明図である。

ユーザＤＢ１９０１は、実施例１のユーザＤＢ６０１が含む情報（ユーザ識別子７０１およびシナリオ識別子７０２）に加え、ユーザと監視シナリオとの組み合わせを静的に定めるためのフィールドを含む。

ユーザＤＢ１９０１は、ユーザ識別子７０１、シナリオ識別子７０２、および静的シナリオ２００１を含む。静的シナリオ２００１には、ユーザに対して静的に監視シナリオを割り当てる場合に値があらかじめ設定される。図２０に示すユーザＤＢ１９０１は、ユーザ識別子７０１が"ｄｄｄ"であるユーザ（ユーザ"ｄｄｄ"）には、静的シナリオ２００１が示す監視シナリオＺ４０３が常に割り当てられることを示す。

このため、監視シナリオ更新装置１０９のログ解析部１５０１によって生成された監視シナリオ更新情報が、ユーザ"ｄｄｄ"には監視シナリオＸ４０１が割り当てられることを示す場合も、ユーザ"ｄｄｄ"には監視シナリオＺ４０３が最終的に割り当てられる。

図２１は、本実施例２の振分装置１０５がユーザに対応する監視シナリオを取得する処理を示すフローチャートである。

実施例２の転送先決定部５０３は、受信したメールの転送先サーバを決定するため、受信したメールの宛先ユーザの監視シナリオを取得する処理（図１６のＳ１６０４）において、ユーザＤＢ１９０１の静的シナリオ２００１を参照する。この点において、実施例１の転送先決定部５０３の処理と、実施例２の転送先決定部５０３の処理とは異なる。図２１に示す処理は、図１６に示すＳ１６０４に相当する。

図１６に示すＳ１６０３の後、実施例２の転送先決定部５０３は、Ｓ１６０３において選択された宛先ユーザを示すユーザ識別子７０１のエントリを、ユーザＤＢ１９０１から抽出し、抽出されたエントリの静的シナリオ２００１に値が格納されるか否かを判定する（Ｓ２３０１）。

静的シナリオ２００１に値が格納されない場合、転送先決定部５０３は、抽出されたエントリのシナリオ識別子７０２に格納される値を監視シナリオのシナリオ識別子として取得する（Ｓ２３０２）。また、静的シナリオ２００１に値が格納される場合、転送先決定部５０３は、抽出されたエントリの静的シナリオ２００１に格納される値を監視シナリオのシナリオ識別子として取得する（Ｓ２３０３）。

Ｓ２３０２またはＳ２３０３の後、転送先決定部５０３は、Ｓ１６０４の処理を終了し、Ｓ１６０５を開始する。

図２１に示す処理によって、監視シナリオ更新装置１０９がシナリオ識別子７０２を更新した場合も、転送先決定部５０３は、静的シナリオをあらかじめ定められているユーザに、静的シナリオを監視シナリオとして割り当てることができる。また、これによって、転送先決定部５０３は、特定のユーザには、常に同じ監視シナリオを割り当てることができる。

図２２は、本実施例２の監視シナリオ決定ポリシＤＢ１９０２を示す説明図である。

監視シナリオ決定ポリシＤＢ１９０２は、ポリシグループ識別子２１０１、ポリシ識別子２１０２、シナリオ識別子２１０３、優先度２１０４、パラメータ下限２１０５、パラメータ上限２１０６、および限定数２１０７を含む。

ポリシグループ識別子２１０１は、ポリシグループを一意に識別する識別子である。一つのポリシグループは、複数のポリシを含む。複数のポリシの各々は、複数の監視シナリオの各々と、当該監視シナリオの各々をユーザに割り当てるための方法とを示す。

ポリシグループ識別子２１０１には、複数のポリシグループを示す値が格納される。これによって、管理者が、セキュリティ監視システム１０１の運用時に、適用されるポリシグループの値を指定するだけで、ユーザに監視シナリオを割り当てる方法を変更できる。

ポリシ識別子２１０２は、ポリシを一意に識別するための識別子を含む。シナリオ識別子２１０３は、ポリシ識別子２１０２が示すポリシに対応する監視シナリオのシナリオ識別子を含む。実施例２において、一つのポリシには一つの監視シナリオが対応する。

優先度２１０４は、各ポリシグループにおいてポリシが用いられる優先度を示す。本実施例において、優先度２１０４に大きい数値が格納されるエントリは、優先的に用いられるポリシを示す。

パラメータ下限２１０５は、各ポリシに適合するユーザの条件を示す値であり、実施例２において、マルウェアメール受信率の下限値を示す。例えば、ユーザＴに算出されたマルウェアメール受信率が監視シナリオ決定ポリシＤＢ１９０２のエントリＵのパラメータ下限２１０５の値以上である場合、ユーザＴにはエントリＵのポリシによって、監視シナリオが割り当てられる。

パラメータ上限２１０６は、各ポリシに適合するユーザの条件を示す値であり、実施例２において、マルウェアメール受信率の上限値を示す。例えば、ユーザＴに算出されたマルウェアメール受信率が監視シナリオ決定ポリシＤＢ１９０２のエントリＶのパラメータ上限２１０６の値より小さい場合、ユーザＴにはエントリＶのポリシによって、監視シナリオが割り当てられる。

パラメータ下限２１０５の値が格納されないエントリは、マルウェアメール受信率の下限が設定されないポリシを示す。パラメータ上限２１０６の値が格納されないエントリは、マルウェアメール受信率の上限が設定されないポリシ、すなわち、マルウェアメール受信率が無限大であるポリシを示す。

限定数２１０７は、ポリシ識別子２１０２が示すポリシによって監視シナリオを割り当てられるユーザの上限数を示す。ポリシ識別子２１０２が示すポリシの監視シナリオが割り当てられたユーザが、限定数２１０７に格納される値と同じ値になった後、当該ポリシによってユーザに監視シナリオは割り当てられない。限定数２１０７に値が格納されない場合、ポリシに割り当てられるユーザの数は制限されない。

図２２に示す例において、ポリシグループ識別子２１０１が"ＰＧ０１"であるエントリは、マルウェアメール受信率の高い５ユーザに監視シナリオＺ４０３を割り当て、残りのユーザのうちマルウェアメール受信率が０．１以上のユーザに監視シナリオＹ４０２を割り当て、さらに残りのユーザに監視シナリオＸ４０１を割り当てることを示す。

図２３は、本実施例２のログ解析部１９０３の処理のうち、ユーザに監視シナリオを割り当てる処理を示すフローチャートである。

図２３に示す処理は、図１８のＳ１８０６に相当する処理である。実施例１におけるログ解析部１５０１の処理と実施例２におけるログ解析部１９０３の処理とは、Ｓ１８０６の処理のみが異なる。

Ｓ１８０５の後、ログ解析部１９０３は、計算機システム１０２に適用するポリシグループの識別子を取得する（Ｓ２２０１）。ポリシグループの識別子は、管理者が必要に応じて変更する、ログ解析部１９０３の設定情報にあらかじめ格納される。このためログ解析部１９０３は、Ｓ２２０１において、自らが有する設定情報から、計算機システム１０２に適用するポリシグループの識別子を取得する。

Ｓ２２０１の後、ログ解析部１９０３は、監視シナリオ更新装置１０９の監視シナリオ決定ポリシＤＢ１９０２において、ポリシグループ識別子２１０１がＳ２２０１において取得されたポリシグループの識別子を示すエントリを、すべて抽出する（Ｓ２２０２）。ここで抽出されるエントリの各々は、監視シナリオを割り当てるためのポリシを示す。Ｓ２２０２の後、ログ解析部１９０３は、抽出された複数のエントリ（ポリシ）を、優先度２１０４の値が大きい順にソートする（Ｓ２２０３）。

Ｓ２２０３の後、ログ解析部１９０３は、マルウェアメール受信率の高い順に、すべての宛先ユーザにＳ２２０７〜Ｓ２２０９の処理を繰り返す（Ｓ２２０４）。具体的には、ログ解析部１９０３は、Ｓ２２０４において、Ｓ２２０５の処理が実行されていない宛先ユーザを、マルウェアメール受信率が高い順に一人選択する。

また、ログ解析部１９０３は、Ｓ２２０６およびＳ２２０７の処理を、Ｓ２２０３においてソートされたすべてのエントリ（ポリシ）について繰り返す（Ｓ２２０５）。具体的には、Ｓ２２０５においてログ解析部１９０３は、Ｓ２２０３においてソートされたエントリのうち、Ｓ２２０６の処理が実行されていないエントリを、優先度２１０４の値が大きい順に一つ選択する。

ログ解析部１９０３は、選択された宛先ユーザのマルウェアメール受信率が、選択されたエントリのパラメータ下限２１０５の値以上であり、かつ、パラメータ上限２１０６の値より下であるか否かを判定する（Ｓ２２０６）。

選択された宛先ユーザのマルウェアメール受信率が、選択されたエントリのパラメータ下限２１０５の値以上であり、かつ、パラメータ上限２１０６の値より下である場合、ログ解析部１９０３は、Ｓ２２０７に進む。

選択された宛先ユーザのマルウェアメール受信率が、選択されたエントリのパラメータ下限２１０５の値以上であり、かつ、パラメータ上限２１０６の値より下ではない場合、選択された宛先ユーザに他のポリシが用いられるか否かを判定するため、ログ解析部１９０３は、Ｓ２２０５に戻る。そして、Ｓ２２０５においてログ解析部１９０３は、Ｓ２２０３においてソートされたエントリのうち、Ｓ２２０６の処理が実行されていないエントリ（ポリシ）を、優先度２１０４の値が大きい順に一つ選択する。

Ｓ２２０７において、ログ解析部１９０３は、選択されたエントリの限定数２１０７に値が格納されていない、または、選択されたエントリの限定数２１０７に値が格納される場合においても残席数が０より大きい、か否かを判定する。ここで、残席数とは、限定数２１０７が示す値から、エントリが示すポリシによって監視シナリオを割り当てられたユーザの数を減じた値である。限定数２１０７に値が格納されていない、または、残席数が０より大きい場合、ログ解析部１９０３は、Ｓ２２０８に進む。

限定数２１０７に値が設定されていない、または、残席数が０の場合、ログ解析部１９０３は、Ｓ２２０５に戻り、新たなエントリを選択する。

Ｓ２２０８において、ログ解析部１９０３は、選択されたエントリの限定数２１０７に値が格納される場合、選択されたエントリの残席数から１を減じる。Ｓ２２０８の後、ログ解析部１９０３は、選択されたエントリのシナリオ識別子２１０３の値を抽出し、選択された宛先ユーザに、抽出された値が示す監視シナリオを割り当てる（Ｓ２２０９）。ここで、ログ解析部１９０３は、監視シナリオ更新情報に、選択された宛先ユーザと、選択された宛先ユーザに割り当てられた監視シナリオとを示す識別子を格納する。

Ｓ２２０９の後、ログ解析部１９０３は、Ｓ２２０４に戻り、すべての宛先ユーザから新たに宛先ユーザを選択する。Ｓ２２０４による繰り返し処理が終了した場合、ログ解析部１９０３は、Ｓ１８０７に進む。

実施例２におけるセキュリティ監視システム１０１によると、ユーザに監視シナリオを割り当てる方法を計算機システム１０２の運用時に、管理者が柔軟に変更できる。また、ユーザＤＢ１９０１が静的シナリオ２００１を含むことによって、ユーザの役職または業務に応じた監視シナリオのあらかじめ設定しておくことができる。

以上、本発明を添付の図面を参照して詳細に説明したが、本発明はこのような具体的構成に限定されるものではなく、添付した請求の範囲の趣旨内における様々な変更および同等の構成を含むものである。

例えば、前述の実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明したすべての構成を備えるものに限定されるものではない。

具体的には、前述の実施例１に記載したユーザＤＢ６０１は、静的シナリオ２００１を含まないが、実施例１におけるユーザＤＢ６０１を、ユーザＤＢ１９０１と同じ内容に変更し、図２１に示す処理が実施例１において行われてもよい。

また、各処理部の機能を実現するプログラム、データベース、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしもすべての制御線や情報線を示しているとは限らない。実際にはほとんどすべての構成が相互に接続されていると考えてもよい。

メールの受信、またはＷｅｂへのアクセスの際にセキュリティを維持するための計算機システムに適用できる。

Claims (12)

1. セキュリティシステムであって、
   プロセッサおよびメモリを備え、
   ネットワークを介して受信したデータにマルウェアが付加されているか否かをスキャンする計算機システムに接続され、
   前記計算機システムが前記データをスキャンするために用いる複数のスキャン方法と前記計算機システムが当該複数のスキャン方法の各々を用いる順番とを示す、複数の監視シナリオを保持する監視シナリオ保持部と、
   前記複数の監視シナリオと、前記複数の監視シナリオのうち一つを割り当てられた少なくとも一人のユーザと、を示すユーザ情報を保持するユーザ情報保持部と、
   前記計算機システムが前記データを、前記複数のスキャン方法のうち一つを用いてスキャンした後に、前記監視シナリオ保持部が保持する前記複数の監視シナリオと、前記ユーザ情報保持部が保持するユーザ情報と、前記データに含まれる識別子が示すユーザとに基づいて、前記複数のスキャン方法の中から前記データに次に用いられるスキャン方法を決定し、前記決定されたスキャン方法によって前記データがスキャンされるように、前記決定されたスキャン方法を示す情報を前記計算機システムに送信する振分部と、を有することを特徴とするセキュリティシステム。
2. 請求項１に記載のセキュリティシステムであって、
   前記計算機システムが前記データをスキャンした結果を示すログ情報を、当該データに用いられた前記複数のスキャン方法の各々に対応して収集するログ情報収集部と、
   前記ログ情報収集部によって収集されたログ情報に基づいて、前記計算機システムが用いる複数のスキャン方法のうち少なくとも一つのスキャン方法を更新する情報更新部と、を有することを特徴とするセキュリティシステム。
3. 請求項２に記載のセキュリティシステムであって、
   前記ログ情報は、前記データに付加されたマルウェアの情報を含み、
   前記情報更新部は、
   前記ログ情報収集部によって収集されたログ情報から、前記データに付加されたマルウェアの情報を抽出し、
   前記複数の監視シナリオに共通する少なくとも一つのスキャン方法を、前記抽出された情報が示すマルウェアを検出可能なスキャン方法に更新することを特徴とするセキュリティシステム。
4. 請求項２または３に記載のセキュリティシステムであって、
   前記ユーザ情報保持部に保持されるユーザ情報を更新する監視シナリオ更新部を有し、
   前記監視シナリオ更新部は、
   前記ログ情報収集部によって収集されたログ情報に基づいて、前記ユーザを示す識別子を含むデータの数のうち、前記マルウェアが付加された当該データの数が占める割合を算出し、
   前記算出された割合に従って、前記データに含まれる識別子が示す前記ユーザに、前記複数の監視シナリオのうち一つを割り当て、
   前記割り当ての結果に基づいて、前記ユーザ情報保持部に保持されるユーザ情報を更新することを特徴とするセキュリティシステム。
5. 請求項４に記載のセキュリティシステムであって、
   前記セキュリティシステムは、前記複数の監視シナリオのうち一つを前記ユーザに割り当てるための前記複数の監視シナリオの各々に対応する割り当てポリシと、前記複数の監視シナリオに対応する前記複数の割り当てポリシを含む少なくとも一つのポリシグループと、を含むポリシ保持部を、さらに有し、
   前記監視シナリオ更新部は、
   前記少なくとも一つのポリシグループから選択された、一つのポリシグループを取得し、
   前記取得されたポリシグループに含まれる前記複数の割り当てポリシと前記算出された割合とに基づいて、前記複数の監視シナリオのうち一つを、前記ユーザに割り当てることを特徴とするセキュリティシステム。
6. 請求項１に記載のセキュリティシステムであって、
   前記ユーザ情報は、あらかじめ定められた静的ユーザと、前記静的ユーザにあらかじめ割り当てられる監視シナリオと、を示す情報を含み、
   前記振分部は、
   前記データに含まれる識別子が示すユーザが、前記静的ユーザである場合、前記ユーザ情報保持部が示す、前記静的ユーザにあらかじめ割り当てられた監視シナリオを特定し、
   前記特定された結果と、前記監視シナリオ保持部が保持する前記複数の監視シナリオと、に基づいて、前記静的ユーザを示す識別子を含むデータに次に用いられる前記スキャン方法を決定することを特徴とするセキュリティシステム。
7. セキュリティシステムによるセキュリティ監視方法であって、
   前記セキュリティシステムは、
   プロセッサおよびメモリを備え、
   受信したデータにマルウェアが付加されているか否かをスキャンする計算機システムに接続され、
   前記計算機システムが前記データをスキャンするために用いる複数のスキャン方法と前記計算機システムが当該複数のスキャン方法の各々を用いる順番とを示す複数の監視シナリオと、
   前記複数の監視シナリオと、前記複数の監視シナリオのうち一つを割り当てられた少なくとも一人のユーザと、を示すユーザ情報と、を前記メモリに保持し、
   前記方法は、
   前記プロセッサが、前記計算機システムが前記データを、前記複数のスキャン方法のうち一つを用いてスキャンした後に、前記監視シナリオと、前記ユーザ情報と、前記データに含まれる識別子が示すユーザとに基づいて、前記複数のスキャン方法の中から前記データに次に用いられるスキャン方法を決定するスキャン方法決定手順と、
   前記プロセッサが、前記決定されたスキャン方法によって前記データがスキャンされるように、前記決定されたスキャン方法を示す情報を前記計算機システムに送信する振分手順と、を含むことを特徴とするセキュリティ監視方法。
8. 請求項７に記載のセキュリティ監視方法であって、
   前記方法は、
   前記プロセッサが、前記計算機システムが前記データをスキャンした結果を示すログ情報を、当該データに用いられた前記複数のスキャン方法の各々に対応して収集するログ情報収集手順と、
   前記プロセッサが、前記ログ情報収集手順によって収集されたログ情報に基づいて、前記計算機システムが用いる複数のスキャン方法のうち少なくとも一つのスキャン方法を更新する情報更新手順と、を含むことを特徴とするセキュリティ監視方法。
9. 請求項８に記載のセキュリティ監視方法であって、
   前記ログ情報は、前記データに付加されたマルウェアの情報を含み、
   前記情報更新手順は、
   前記プロセッサが、前記ログ情報収集手順によって収集されたログ情報から、前記データに付加されたマルウェアの情報を抽出する手順と、
   前記プロセッサが、前記複数の監視シナリオに共通する少なくとも一つのスキャン方法を、前記抽出された情報が示すマルウェアを検出可能なスキャン方法に更新する手順と、を含むことを特徴とするセキュリティ監視方法。
10. 請求項８または９に記載のセキュリティ監視方法であって、
    前記方法は、
    前記ユーザ情報を更新する監視シナリオ更新手順を、含み、
    前記監視シナリオ更新手順は、
    前記プロセッサが、前記ログ情報収集手順によって収集されたログ情報に基づいて、前記ユーザを示す識別子を含む前記データの数のうち、前記マルウェアが付加された当該データの数が占める割合を算出する手順と、
    前記プロセッサが、前記算出された割合に従って、前記データに含まれる識別子が示すユーザに、前記複数の監視シナリオのうち一つを割り当てる手順と、
    前記プロセッサが、前記割り当ての結果に基づいて、前記ユーザ情報を更新する手順と、を含むことを特徴とするセキュリティ監視方法。
11. 請求項１０に記載のセキュリティ監視方法であって、
    前記セキュリティシステムは、前記複数の監視シナリオのうち一つを前記ユーザに割り当てるための前記複数の監視シナリオの各々に対応する割り当てポリシと、前記複数の監視シナリオに対応する前記複数の割り当てポリシを含む少なくとも一つのポリシグループと、を含むポリシ情報を、前記メモリにさらに保持し、
    前記監視シナリオ更新手順は、
    前記プロセッサが、前記少なくとも一つのポリシグループから選択された、一つのポリシグループを取得する手順と、
    前記プロセッサが、前記取得されたポリシグループに含まれる前記複数の割り当てポリシと前記算出された割合とに基づいて、前記複数の監視シナリオのうち一つを、前記ユーザに割り当てる手順と、を含むことを特徴とするセキュリティ監視方法。
12. 請求項７に記載のセキュリティ監視方法であって、
    前記ユーザ情報は、あらかじめ定められた静的ユーザと、前記静的ユーザにあらかじめ割り当てられる監視シナリオと、を示す情報を含み、
    前記スキャン方法決定手順は、
    前記プロセッサが、前記データに含まれる識別子が示すユーザが、前記静的ユーザである場合、前記ユーザ情報が示す、前記静的ユーザにあらかじめ割り当てられた監視シナリオを特定する手順と、
    前記プロセッサが、前記特定された結果と、前記保持される複数の監視シナリオと、に基づいて、前記静的ユーザを示す識別子を含むデータに次に用いられる前記スキャン方法を決定する手順と、を含むことを特徴とするセキュリティ監視方法。

Images