JP6070688B2 - イベント相関規則検出システム、イベント相関規則検出方法およびイベント相関規則検出用プログラム - Google Patents

イベント相関規則検出システム、イベント相関規則検出方法およびイベント相関規則検出用プログラム Download PDF

Info

Publication number
JP6070688B2
JP6070688B2 JP2014501843A JP2014501843A JP6070688B2 JP 6070688 B2 JP6070688 B2 JP 6070688B2 JP 2014501843 A JP2014501843 A JP 2014501843A JP 2014501843 A JP2014501843 A JP 2014501843A JP 6070688 B2 JP6070688 B2 JP 6070688B2
Authority
JP
Japan
Prior art keywords
event
correlation rule
correlation
events
occurrence location
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2014501843A
Other languages
English (en)
Other versions
JPWO2013128530A1 (ja
Inventor
敏夫 登内
敏夫 登内
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Publication of JPWO2013128530A1 publication Critical patent/JPWO2013128530A1/ja
Application granted granted Critical
Publication of JP6070688B2 publication Critical patent/JP6070688B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3065—Monitoring arrangements determined by the means or processing involved in reporting the monitored data
    • G06F11/3072—Monitoring arrangements determined by the means or processing involved in reporting the monitored data where the reporting involves data filtering, e.g. pattern matching, time or event triggered, adaptive or policy-based reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3476—Data logging
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/86—Event-based monitoring

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)

Description

本発明は、イベントの履歴から、イベントの相関有無の判別に用いられる規則であるイベント相関規則を抽出するイベント相関規則検出システム、イベント相関規則検出方法およびイベント相関規則検出用プログラムに関する。
蓄積された履歴から相関関係を抽出するシステムが特許文献１に記載されている。図１９は、特許文献１に記載されたシステムの機能を示すブロック図である。図１９に示すシステムは、データ・アクセス・プログラム／ユーティリティ１８と、データ・ベース２０と、マイニング・カーネル・インタフェース２６と、マイング・カーネル１６と、マイニング・カーネル１６の実行結果を記録するマイニング結果レポジトリ２４を備えている。
マイニング・カーネル・インタフェース２６には、最低サポート値および最低信頼値が事前に与えられる。マイング・カーネル１６は、データ・アクセス・プログラム／ユーティリティ１８を介してデータ・ベース２０にアクセスし、抽出した相関関係をマイニング結果レポジトリ２４に記憶する。
具体的には、マイング・カーネル１６は、ｋ種類の品目セットを生成する。ここで、ｋは、品目セットの長さを示す。マイング・カーネル１６は、ｋ＝２から処理を始めて、徐々にｋを増やしていく。特許文献１に記載されたシステムでは、品目セットがトランザクションのデータ・ベース２０に存在する回数がサポート率と定義される。このサポート率が事前に与えられた最小サポート値を超える品目セットを、大きな品目セットとして選び出す。
そして、マイング・カーネル１６は、選び出したｋ種類の品目で構成されている品目セットに対し、品目を１個加えて（ｋ＋１）個にし、これに対して同様にサポート率を計算する。以降、ｋを増加させ、処理が繰り返される。そして、すべてのサポート率が最小サポート値未満になったときの品目の種類をｋ’とすると、マイング・カーネル１６は、（ｋ’−１）個の時点で残った品目セットを出力する。
そして、マイング・カーネル１６は、残った要素の一集合（例えば、｛Ａ，Ｂ，Ｃ，Ｄ｝）から一つの要素（例えばＤ）を取り出し、その要素が他の要素（例えば、Ａ，Ｂ，Ｃ）に起因するか調べる。
具体的には、マイング・カーネル１６は、試験対象の大きな品目セットｌｋのサポートを、サブセット（ｌｋ−ｈｍ＋１）のサポートで除算して信頼値を求める。そして、この信頼値が事前に与えられた最低信頼値以上であれば、マイング・カーネル１６は、（ｌｋ−ｈｍ＋１）=>ｈｍ＋１（上記の例では、Ａ，Ｂ，Ｃ=>Ｄ）を関連規則と判断する。なお、記号「=>」は、左辺に起因して右辺が発生する相関関係を有することを示す。
図２０は、イベント履歴からイベント相関規則を抽出する一般的なイベント相関規則検出システムの例を示すブロック図である。図２０に例示するイベント相関規則検出システムは、イベント発生源１１０と、イベント相関用ルールエンジン１６０と、イベント履歴データベース１３０（以下、イベント履歴ＤＢ１３０）と、イベント相関規則生成手段９３０と、ＧＵＩ（Graphical User Interface）１１５とを備えている。
イベント履歴ＤＢ１３０は、イベント発生源１１０が発生したイベントの履歴を記憶する。
イベント相関規則生成手段９３０は、イベント履歴ＤＢ１３０に記憶されたイベントに基づいてイベント相関規則９７０を生成する。イベント相関規則生成手段９３０は、例えば、上述する特許文献１に記載されたシステムが相関関係を生成する方法と同様の方法を利用してイベント相関規則を生成することができる。
イベント相関用ルールエンジン１６０は、イベント相関規則９７０を参照しつつ、相関性のあるイベント（相関規則）をＧＵＩ１１５に表示する。例えば、「イベント型Ａのイベントが発生した場合にイベント型Ｃのイベントが発生する」というイベント相関規則「Ａ=>Ｃ」が存在すると想定する。なお、イベント型とは、イベントに含まれ、そのイベントの種類を示す情報である。
ここで、連続したイベントの集合Ｗ１内に、イベント型ＣのイベントＥ３が存在したとする。また、その集合Ｗ１内であってイベント型Ｃの直前に、イベント型ＡのイベントＥ１が存在したとする。このとき、イベント相関用ルールエンジン１６０は、Ｅ１とＥ３に相関があると判断し、その相関規則をＧＵＩ１１５に表示する。
特許第３１９５２３３号公報
上述する特許文献１に記載されたシステムにより生成されるイベント相関規則を用いることで、関連するイベントを抽出することはできる。しかし、特許文献１に記載されたシステムにより生成されるイベント相関規則を用いてイベントを抽出した場合、誤検出を行う可能性がある。以下、誤検出が行われる場合について具体例を用いて説明する。
図２１は、イベントの例およびイベントから生成されるイベント相関規則の例を示す説明図である。また、図２２は、イベントの他の例を示す説明図である。図２１（ａ）は、メールサーバ（１９２．１６８．２００．１９２）のイベントログと、メールクライアント（１９２．１６８．２００．１０）のイベントログを示している。
図２１（ａ）に例示するイベントログは、メールクライアントがメールサーバへの接続を失敗（Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｅｄ）したことにより発生する。そのため、メールサーバは、“Ｅｒｒｏｒ ｒｅａｄｉｎｇ ｆｒｏｍ ｃｏｎｎｅｃｔｉｏｎ”イベントおよびＮＯＱＵＥＵＥイベントを発生させる。
この場合、一般的に、図２１（ｂ）に例示するイベント相関規則が生成される。例えば、図２１（ｂ）の１行目は、Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｅｄイベントが発生したとき、１５分以内 （ＷＩＴＨＩＮ １５ｍｉｎ）に、ＮＯＱＵＥＵＥイベントが発生するという規則を示す。
ここで、図２２に例示するイベントログに対して、図２１（ｂ）の１行目に例示する規則を適用するとする。図２２に例示するイベントログは、メールサーバ（１９２．１６８．２００．１９２）を使っている他のメールクライアント（１０．１６８．２００．１９９）がＣｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｅｄイベントを発生させたことを示す。すなわち、図２１（ａ）に例示するイベントとたまたま同時間帯に、メールサーバ（１９２．１６８．２００．１９２）がメールクライアント（１０．１６８．２００．１０）からの接続に対してＮＯＱＵＥＵＥイベントを発生させたとする。
このような場合、メールクライアントが発生させたイベントの内容（具体的には、メールクライアントを特定する情報「１９２．１６８．２００．１０」）を参照すれば、図２２に例示するイベント間に相関が無いのは自明である。しかし、図２１（ｂ）の１行目に例示する規則を適用して関連するイベントを検出する場合、この両者のイベントは相関有りと判断され誤検出されてしまう。
すなわち、特許文献１に記載された方法などの一般的な方法で抽出される相関規則を利用すると、同時間帯に複数の装置間で同種のイベントが複数発生した場合、関連するイベントの誤検出率が高くなり、イベントの分析精度が低下してしまうという問題がある。
そこで、本発明では、関連するイベントの誤検出率を抑えることができるイベント相関分析システム、イベント相関規則検出方法およびイベント相関規則検出用プログラムを提供することを目的とする。
本発明によるイベント相関規則検出システムは、イベントの発生箇所を示す情報、そのイベントの種類を示すイベント型およびそのイベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、そのイベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割手段と、イベント型ウィンドウ分割手段によって生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出手段と、相互相関関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれるそのイベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成手段とを備えたことを特徴とする。
本発明によるイベント相関規則検出方法は、イベント型ウィンドウ分割手段が、イベントの発生箇所を示す情報、そのイベントの種類を示すイベント型およびそのイベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、そのイベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成し、相互相関関係抽出手段が、生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出し、相互相関規則生成手段が、抽出されたイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれるそのイベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成することを特徴とする。
本発明による相関規則検出用プログラムは、コンピュータに、イベントの発生箇所を示す情報、そのイベントの種類を示すイベント型およびそのイベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、そのイベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割処理、イベント型ウィンドウ分割処理で生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出処理、および、相互相関関係抽出処理で抽出されたイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれるそのイベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成処理を実行させることを特徴とする。
本発明によれば、関連するイベントの誤検出率を抑えることができる。
本発明によるイベント相関規則検出システムの一実施形態を示すブロック図である。 イベント履歴ＤＢが記憶するイベント情報の例を示す説明図である。 イベントウィンドウの例を示す説明図である。 イベント相関規則生成手段の例を示すブロック図である。 イベント型ウィンドウ表の例を示す説明図である。 イベント相関規則を検出する動作の例を示すフローチャートである。 イベント相関規則生成手段の動作の例を示すフローチャートである。 相互相関規則の例を示す説明図である。 イベント相関規則を生成する処理を表すシークエントの例を示す説明図である。 相互相関イベント型ウィンドウ表の例を示す説明図である。 支持度および信頼度の例を示す説明図である。 イベント相関規則の例を示す説明図である。 単一相関イベント型ウィンドウ表の例を示す説明図である。 支持度および信頼度の他の例を示す説明図である。 発生箇所別イベント型ウィンドウ表の例を示す説明図である。 支持度および信頼度のさらに他の例を示す説明図である。 イベントウィンドウ表の例を示す説明図である。 本発明によるイベント相関規則検出システムの概要を示すブロック図である。 特許文献１に記載されたシステムの機能を示すブロック図である。 一般的なイベント相関規則検出システムの例を示すブロック図である。 イベントの例およびイベントから生成されるイベント相関規則の例を示す説明図である。 イベントの他の例を示す説明図である。
以下、本発明の実施形態を図面を参照して説明する。
実施形態１．
図１は、本発明によるイベント相関規則検出システムの一実施形態を示すブロック図である。本実施形態のイベント相関規則検出システムは、イベント発生源１１０と、イベント履歴ＤＢ１３０と、ウィンドウ分割手段１４０と、イベントウィンドウ表記憶手段１５０と、イベント相関用ルールエンジン１６０と、イベント相関規則データベース１７０（以下、イベント相関規則ＤＢ１７０と記す。）と、イベント相関規則生成手段１８０と、ＧＵＩ１１５とを備えている。
イベント発生源１１０は、イベントの発生源になる装置である。イベント発生源１１０は、例えば、処理を要求する端末や、処理要求を受信するサーバなどにより実現される。なお、イベント発生源１１０は、イベントの発生が検知可能な装置であれば、どのような装置であってもよい。
また、イベント発生源１１０は、検知されたイベントをイベント履歴ＤＢ１３０に記憶させる。なお、イベントの発生源になる装置と、検知されたイベントの内容をイベント履歴ＤＢ１３０に記憶させる装置とは、同一であってもよく、異なっていてもよい。
イベント履歴ＤＢ１３０は、各装置で発生したイベントの内容を示す情報（以下、イベント情報と記す。）を記憶する。図２は、イベント履歴ＤＢ１３０が記憶するイベント情報の例を示す説明図である。図２に例示するイベント履歴ＤＢ１３０は、イベントを識別する識別子（ｅ＃）ごとに、イベントが発生した発生時刻（Ｔｉｍｅ）、イベントの種類を示すイベント型、イベントが発生した装置を識別する情報であるイベント発生箇所（発生箇所）、イベントに関連する情報を示すイベント属性（属性１，属性２）を一覧表の形式で記憶していることを示す。また、イベント属性は、イベントに関係する装置を示す情報も含んでいる。
なお、図２では、イベント属性が２つである場合を例示しているが、イベント情報に含まれるイベント属性は、２つに限られず、３つ以上であってもよい。以下の説明では、イベント属性を単に属性と記すこともある。
ウィンドウ分割手段１４０は、イベント発生源１１０から受信したイベント情報を一定時間ごとに区切り、イベントウィンドウと呼ばれるイベントの集合に分割する。
図３は、イベントウィンドウの例を示す説明図である。図３に示す例では、イベントが横方向に時系列に発生していることを示す。また、図３に例示する黒三角印が、発生したイベントを示す。ウィンドウ分割手段１４０は、発生したイベントを一定時間Ｗ［ｓｅｃ］ごとに区切ることで、イベント情報を複数のイベントウィンドウに分割する。そして、ウィンドウ分割手段１４０は、分割したイベントウィンドウをイベントウィンドウ表記憶手段１５０に記憶する。
イベントウィンドウ表記憶手段１５０は、ウィンドウ分割手段１４０によって分割されたイベントウィンドウを記憶する。イベントウィンドウ表記憶手段１５０は、例えば、イベントウィンドウに含まれるイベント情報を表形式で記憶する。以下、イベントウィンドウ表記憶手段１５０が記憶するイベントウィンドウの集合を、イベントウィンドウ表と記す。
イベント相関規則ＤＢ１７０は、イベントの相関有無の判別に用いられる規則（すなわち、イベント相関規則）を記憶する。なお、イベント相関規則の具体的内容は、後述される。
イベント相関用ルールエンジン１６０は、イベント相関規則ＤＢ１７０に記憶されたイベント相関規則に基づいて、イベントウィンドウ表記憶手段１５０に記憶された各イベントの相関有無を判別する。具体的には、イベント相関用ルールエンジン１６０は、イベント相関規則を満たすイベントを相関ありと判断する。そして、イベント相関用ルールエンジン１６０は、相関があるイベントを検出し、ＧＵＩ１１５に表示する。
ＧＵＩ１１５は、イベント相関用ルールエンジン１６０の指示に基づいて、相関のあるイベント情報を表示する。ＧＵＩ１１５は、例えば、ディスプレイ装置等により実現される。
図４は、イベント相関規則生成手段１８０の例を示すブロック図である。本実施形態のイベント相関規則生成手段１８０は、イベント型ウィンドウ分割手段２１０と、イベント型ウィンドウ表記憶手段２２０と、相互相関分類手段２３０と、相互相関規則生成手段２５０と、単一相関分類手段３３０と、単一相関規則生成手段３５０と、発生箇所別分類手段４３０と、発生箇所別規則生成手段４５０とを含む。
イベント型ウィンドウ分割手段２１０は、イベント履歴ＤＢ１３０に記憶されたイベントを一定時間ごとに区切り、イベントの集合であるイベントウィンドウに分割する。なお、イベント型ウィンドウ分割手段２１０が一定時間ごとにイベントを区切る方法は、ウィンドウ分割手段１４０が、イベント発生源１１０から受信したイベントを一定時間ごとに区切る方法と同様である。なお、分割する時間間隔は、予め定められる。
イベント型ウィンドウ表記憶手段２２０は、イベント型ウィンドウ分割手段２１０によって分割されたイベントウィンドウを記憶する。以下、イベント型ウィンドウ分割手段２１０によって生成されたイベントウィンドウの集合をイベント型ウィンドウ表と記す。図５は、イベント型ウィンドウ表記憶手段２２０が記憶するイベント型ウィンドウ表の例を示す説明図である。図５に例示するイベント型ウィンドウ表は、イベントウィンドウを識別するイベントウィンドウＩＤ（ｗ＃）が付与されたイベントを記憶していることを示す。具体的には、図５に例示するイベント型ウィンドウ表の第２列にイベントウィンドウＩＤ（ｗ＃）が設定され、第３列に、イベントウィンドウに属するイベントのイベント型の集合が設定される。
相互相関分類手段２３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一で、一のイベントの属性が示す情報と他のイベントの発生箇所を示す情報とが同一である組を相互相関イベント型ウィンドウ表２４０として抽出する。
相互相関規則生成手段２５０は、相互相関分類手段２３０が抽出したイベントの組（すなわち、相互相関イベント型ウィンドウ表２４０）からイベント相関規則の一つである相互相関規則を生成する。相互相関規則生成手段２５０は、生成した相互相関規則をイベント相関規則としてイベント相関規則ＤＢ１７０に記憶する。
具体的には、相互相関規則生成手段２５０は、相互相関分類手段２３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、そのイベントの組に含まれる発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組を相関ありと判断する。そして、相互相関規則生成手段２５０は、各イベント型の組合せ、発生箇所およびイベント属性を用いて、相互相関規則を生成する。
単一相関分類手段３３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一である組を単一相関イベント型ウィンドウ表３４０として抽出する。
単一相関規則生成手段３５０は、単一相関分類手段３３０が抽出したイベントの組（すなわち、単一相関イベント型ウィンドウ表３４０）からイベント相関規則の一つである単一相関規則を生成する。単一相関規則生成手段３５０は、生成した単一相関規則をイベント相関規則としてイベント相関規則ＤＢ１７０に記憶する。
具体的には、単一相関規則生成手段３５０は、単一相関分類手段３３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、そのイベントの組に含まれる発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組を相関ありと判断する。そして、単一相関規則生成手段３５０は、各イベント型の組合せ、発生箇所およびイベント属性を用いて、単一相関規則を生成する。
なお、単一相関規則生成手段３５０は、生成した単一相関規則のうち、相互相関規則生成手段２５０が生成した相互相関規則とイベント型の組が一致する単一相関規則を除いた規則をイベント相関規則ＤＢ１７０に記憶する。このようにすることで、重複したイベント相関規則がイベント相関規則ＤＢ１７０に記憶されることを抑制できる。
発生箇所別分類手段４３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一である組を発生箇所別イベント型ウィンドウ表４４０として抽出する。
発生箇所別規則生成手段４５０は、発生箇所別分類手段４３０が抽出したイベントの組（すなわち、発生箇所別イベント型ウィンドウ表４４０）からイベント相関規則の一つである発生箇所別規則を生成する。発生箇所別規則生成手段４５０は、生成した発生箇所別規則をイベント相関規則としてイベント相関規則ＤＢ１７０に記憶する。
具体的には、発生箇所別規則生成手段４５０は、発生箇所別分類手段４３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、そのイベントの組に含まれる発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組を相関ありと判断する。そして、発生箇所別規則生成手段４５０は、各イベント型の組合せ、発生箇所およびイベント属性を用いて、発生箇所別規則を生成する。
なお、発生箇所別規則生成手段４５０は、生成した発生箇所別規則のうち、相互相関規則生成手段２５０が生成した相互相関規則及び単一相関規則生成手段３５０が生成した単一相関規則とイベント型の組が一致する発生箇所別規則を除いた規則をイベント相関規則ＤＢ１７０に記憶する。このようにすることで、重複したイベント相関規則がイベント相関規則ＤＢ１７０に記憶されることを抑制できる。
イベント相関規則生成手段１８０は、相互相関分類手段２３０および相互相関規則生成手段２５０と、単一相関分類手段３３０および単一相関規則生成手段３５０と、発生箇所別分類手段４３０および発生箇所別規則生成手段４５０の各手段の組合せのうち、いずれか１つの組合せのみを含んでいてもよく、各組合せを２つ以上含んでいてもよい。
ウィンドウ分割手段１４０と、イベント相関用ルールエンジン１６０と、イベント相関規則生成手段１８０（より具体的には、イベント型ウィンドウ分割手段２１０と、相互相関分類手段２３０と、相互相関規則生成手段２５０と、単一相関分類手段３３０と、単一相関規則生成手段３５０と、発生箇所別分類手段４３０と、発生箇所別規則生成手段４５０）とは、プログラム（イベント相関規則検出用プログラム）に従って動作するコンピュータのＣＰＵ（Central Processing Unit ）によって実現される。
例えば、プログラムは、イベント相関規則検出システムを実現する装置の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、ウィンドウ分割手段１４０、イベント相関用ルールエンジン１６０およびイベント相関規則生成手段１８０（より具体的には、イベント型ウィンドウ分割手段２１０、相互相関分類手段２３０、相互相関規則生成手段２５０、単一相関分類手段３３０、単一相関規則生成手段３５０、発生箇所別分類手段４３０および発生箇所別規則生成手段４５０）として動作してもよい。
また、ウィンドウ分割手段１４０と、イベント相関用ルールエンジン１６０と、イベント相関規則生成手段１８０（より具体的には、イベント型ウィンドウ分割手段２１０と、相互相関分類手段２３０と、相互相関規則生成手段２５０と、単一相関分類手段３３０と、単一相関規則生成手段３５０と、発生箇所別分類手段４３０と、発生箇所別規則生成手段４５０）とは、それぞれが専用のハードウェアで実現されていてもよい。
次に、本実施形態のイベント相関規則検出システムの動作を説明する。まず、本実施形態のイベント相関規則検出システムの動作のうち、イベント相関規則を検出する動作を説明する。図６は、イベント相関規則を検出する動作の例を示すフローチャートである。
まず、イベント相関規則生成手段１８０は、イベント履歴ＤＢ１３０に記憶されたイベント情報を参照して、イベント相関規則を生成する。イベント相関規則生成手段１８０は、生成したイベント相関規則をイベント相関規則ＤＢ１７０に記憶する（ステップＡ１１０）。なお、イベント相関規則を生成する動作については後述される。
イベント相関規則ＤＢ１７０にイベント相関規則が記憶された後、システムの運用が開始される（ステップＡ１２０）。
続いて、ウィンドウ分割手段１４０は、イベント発生源１１０が発生させたイベントに関するイベント情報を受信し、一定時間Ｗ［ｓｅｃ］ごとにイベント情報をグループ化する。ウィンドウ分割手段１４０は、その結果をイベントウィンドウ表記憶手段１５０に記録する（ステップＡ１３０）。
イベント相関用ルールエンジン１６０は、イベント相関規則ＤＢ１７０に格納されたイベント相関規則を参照し、イベントウィンドウ表記憶手段１５０に記憶されているイベント間で相関のあるイベント群をＧＵＩ１１５に表示する（ステップＡ１４０）。
イベント相関用ルールエンジン１６０は、ユーザが運用終了の指示を与えているか否か判断する（ステップＡ１５０）。運用終了の指示は、例えば、ＧＵＩ１１５等を介してユーザにより与えられる。運用終了の指示が与えられていない場合（ステップＡ１５０におけるｎｏ）、ステップＡ１３０以降の処理が繰り返される。一方、運用終了の指示が与えられている場合（ステップＡ１５０におけるｙｅｓ）、イベント相関規則を検出する動作は終了する。
次に、本実施形態のイベント相関規則生成手段１８０の動作を説明する。図７は、イベント相関規則生成手段１８０の動作の例を示すフローチャートである。
イベント型ウィンドウ分割手段２１０は、イベント履歴ＤＢ１３０を参照し、一定時間Ｗ［ｓｅｃ］単位でイベントをイベントウィンドウに分割し、イベント型ウィンドウ表記憶手段２２０に記憶する（ステップＢ１１０）。
相互相関分類手段２３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一で、一のイベントの属性が示す情報と他のイベントの発生箇所を示す情報とが同一である組を相互相関イベント型ウィンドウ表２４０として抽出する（ステップＢ１２０）。
相互相関規則生成手段２５０は、相互相関イベント型ウィンドウ表２４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１３０）。
続いて、単一相関分類手段３３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報が同一である組を単一相関イベント型ウィンドウ表３４０として抽出する（ステップＢ１４０）。
単一相関規則生成手段３５０は、単一相関イベント型ウィンドウ表３４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１５０）。ただし、単一相関規則生成手段３５０は、相互相関規則生成手段２５０がすでに生成済みのイベント相関規則とイベント型が同一の規則を記憶しないようにする。このようにすることで、重複したイベント相関規則がイベント相関規則ＤＢ１７０に記憶されることを抑制できる。
続いて、発生箇所別分類手段４３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一である組を発生箇所別イベント型ウィンドウ表４４０として抽出する（ステップＢ１６０）。
発生箇所別規則生成手段４５０は、発生箇所別イベント型ウィンドウ表４４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１７０）。ただし、発生箇所別規則生成手段４５０は、相互相関規則生成手段２５０および単一相関規則生成手段３５０がすでに生成済みのイベント相関規則とイベント型が同一の規則を記憶しないようにする。このようにすることで、重複したイベント相関規則がイベント相関規則ＤＢ１７０に記憶されることを抑制できる。
以上のように、本実施形態によれば、イベント型ウィンドウ分割手段２１０が、イベント履歴ＤＢ１３０に記憶されたイベント情報の集合をイベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントウィンドウを生成する。相互相関分類手段２３０が、イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する。そして、相互相関規則生成手段２５０が、イベント相関規則を生成する。このイベント相関規則としての相互相関規則は、相互相関分類手段２３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれる発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定する。以上の構成により、関連するイベントの誤検出率を抑えることができる。
すなわち、本実施形態のイベント相関規則検出システムでは、既存のイベント履歴からイベントの発生箇所やイベントの属性も考慮したイベント相関規則が生成される。よって、誤検出率を抑えることができるため、相関イベントを高精度に検出することが可能になる。
また、単一相関分類手段３３０が、イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出してもよい。そして、単一相関規則生成手段３５０が、イベント相関規則を生成してもよい。このイベント相関規則としての単一相関規則は、単一相関分類手段３３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれる発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定する。このような構成を含むことで、関連するイベントの誤検出率をより抑えることができる。
また、発生箇所別分類手段４３０が、イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一であるイベントの組を抽出してもよい。そして、発生箇所別規則生成手段４５０が、イベント相関規則を生成する。このイベント相関規則としての発生箇所別規則則は、発生箇所別分類手段４３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれる発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組が相関を有することを規定する。このような構成を含むことで、関連するイベントの誤検出率をより抑えることができる。
以下、図２１（ａ）に例示するイベントの例を用いて、本実施形態の効果を説明する。メールサーバで発生したＮＯＱＵＥＵＥイベントは、発生箇所６１（ｓｏｌ８：１９２．１６８．２００．１９２）とイベントに関係するホスト（装置）を示す属性６２（ＮＯＱＵＥＵＥ．ｆｒｏｍＨｏｓｔ＝１９２．１６８．２００．１０）とを含む。
また、メールクライアントで発生したＣｏｎｎｅｃｔｉｏｎ Ｆａｉｌｅｄイベントは、発生箇所６３（ｍｙｈｏｓｔ：１９２．１６８．２００．１０）と、イベントに関係するホスト（装置）を示す属性６４（Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｕｒｅ．ｔｏＨｏｓｔ＝１９２．１６８．２００．１９２）とを含む。
このイベントの組を参照すると、メールサーバで発生したイベントの発生箇所を示す情報と、メールクライアントで発生したイベントの属性が示す情報とが同一である。且つ、メールサーバで発生したイベントの属性が示す情報と、メールクライアントで発生したイベントの発生箇所を示す情報とが同一である。そのため、相互相関分類手段２３０が、このイベントの組を相互相関イベント型ウィンドウ表２４０として抽出する。
そして、相互相関規則生成手段２５０は、このイベントの組から相互相関規則を生成する。図８は、相互相関規則の例を示す説明図である。図８に例示する規則は、Ｃｏｎｎｅｃｔｉｏｎ＿ＦａｉｌｕｒｅイベントからＮＯＱＵＥＵＥイベントが１５分以内に発生し、ＷＨＥＲＥ節が成立したときのみに、相関有りと判断されることを意味する。また、ＷＨＥＲＥ節は、Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｕｒｅの発生箇所（Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｕｒｅ．ｈｏｓｔｎａｍｅ）とＮＯＱＵＥＵＥの属性（ＮＯＱＵＥＵＥ．ｆｒｏｍＨｏｓｔ）が一致しており、かつ、ＮＯＱＵＥＵＥの発生箇所（ＮＯＱＵＥＵＥ．ｈｏｓｔｎａｍｅ）とＣｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｕｒｅの属性（Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｕｒｅ．ｔｏＨｏｓｔ）が一致しているという条件を示す。
図２２に例示するイベントからイベント相関規則を検出する場合、図８に例示するイベント相関規則を用いれば、図２２に例示するイベントからはイベントの組が抽出されないことになる。このように、同時間帯に複数の装置間で同種のイベントが複数発生した場合であっても、関連するイベントの誤検出を抑制できる。
なお、相互相関規則生成手段２５０、単一相関規則生成手段３５０および発生箇所別規則生成手段４５０がイベント相関規則を生成する処理は、シークエントを用いて表すことも可能である。図９は、イベント相関規則を生成する処理を表すシークエントの例を示す説明図である。図９（ａ）は、発生箇所別規則を生成する処理の例を示す。図９（ｂ）は、単一相関規則の例を示す。図９（ｃ）は、相互相関規則の例を示す。
図９に例示するシークエントは、イベント型ウィンドウ表の中に、横線上部に該当するイベント群が存在するとき、横線下部の規則を生成することを示す。
図９（ａ）に例示するシークエントは、発生箇所が同一（Ａ１）のイベント型ｅ１及びｅ２のイベントが同一のイベントウィンドウＷに属しており、イベント型ｅ１とイベント型ｅ２の相関規則（ｅ１=>ｅ２）を生成する場合を想定している。
そして、図９（ａ）に例示するシークエントは、「イベントの発生箇所が同一ならば、イベント型ｅ１のイベントとイベント型ｅ２のイベントは、イベント相関が成り立つ」というイベント相関規則を生成することを意味する。
すなわち、図９（ａ）に例示するシークエントは、発生箇所別規則生成手段４５０が行う動作を示している。
図９（ｂ）に例示するシークエントは、イベント型ｅ１及びｅ２のイベントが同一のイベントウィンドウＷに属しており、イベントｅ１の属性ａｔｔｒ１の値が、イベントｅ２の発生箇所（Ｂ１）と同一であり、かつ、イベント型ｅ１とイベント型ｅ２の相関規則（ｅ１=>ｅ２）を生成する場合を想定している。
そして、図９（ｂ）に例示するシークエントは、「イベント型ｅ１のイベントの属性ａｔｔｒ１が他のイベント発生箇所と同一であるイベント型ｅ１のイベントは、イベント相関が成り立つ」というイベント相関規則を生成することを意味する。
すなわち、図９（ｂ）に例示するシークエントは、単一相関規則生成手段３５０が行う動作を示している。
図９（ｃ）に例示するシークエントは、イベント型ｅ１及びｅ２のイベントが同一のイベントウィンドウＷに属しており、イベントｅ１の属性ａｔｔｒ１の値が、イベントｅ２の発生箇所（Ｂ１）と同一であり、イベントｅ２の属性ａｔｔｒ２の値が、イベントｅ２の発生箇所（Ａ１）と同一であり、イベント型ｅ１とイベント型ｅ２の相関規則（ｅ１=>ｅ２）を生成する場合を想定している。
そして、図９（ｃ）に例示するシークエントは、「イベントｅ１の属性ａｔｔｒ１が、ｅ２のイベント発生箇所と同一であり、イベントｅ２の属性ａｔｔｒ２が、ｅ１のイベント発生箇所と同一であるならば、イベント型ｅ１のイベントとイベント型ｅ２のイベントは、イベント相関が成り立つ」というイベント相関規則を生成することを意味する。
すなわち、図９（ｃ）に例示するシークエントは、相互相関規則生成手段２５０が行う動作を示している。
例えば、イベント相関規則を生成する一般的な方法では、イベントの発生箇所を考慮せずにイベント相関規則が生成されていた。そのため、イベントの相関を検出する際、関係のないイベントが誤検出される場合があった。しかし、上述するように、相互相関規則生成手段２５０、単一相関規則生成手段３５０および発生箇所別規則生成手段４５０がイベントの発生箇所を示す情報を含むイベント相関規則を生成するため、関連するイベントの誤検出率を抑えることができる。
以下、具体的な実施例により本発明を説明するが、本発明の範囲は以下に説明する内容に限定されない。以下の実施例の説明では、イベント履歴ＤＢ１３０が図２に例示するイベント履歴を記憶しているものとする。また、図２に例示するイベントのイベント型は、ＱｕｅｒｙＥｒｒｏｒ，ＤＢＥｒｒｏｒ，ＮＷＣｏｎｇｅｓｔｉｏｎ，ＴｏｏＭａｎｙＲｅｑｕｅｓｔ，ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ，ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅの６種類であるとする。
イベント型ウィンドウ分割手段２１０は、イベント履歴ＤＢ１３０を参照し、一定時間Ｗ［ｓｅｃ］＝３００秒単位でイベントをイベントウィンドウに分割し、イベント型ウィンドウ表記憶手段２２０に記憶する（図７におけるステップＢ１１０）。本実施例では、この処理により、図５の例に示すようにイベントが記憶される。具体的には、イベント履歴ＤＢ１３０にイベントウィンドウのＩＤ（ｗ＃）を付与した情報がイベント型ウィンドウ表記憶手段２２０に記憶された情報になる。
相互相関分類手段２３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一で、一のイベントの属性が示す情報と他のイベントの発生箇所を示す情報とが同一である組を相互相関イベント型ウィンドウ表２４０として抽出する（ステップＢ１２０）。
例えば、図５に例示する表のイベントＩＤ（ｅ＃）５，６で識別される２つのイベントは、同一ウィンドウ（ｗ＃＝３）に属している。また、ｅ＃＝５で識別されるイベントの発生箇所（Ｄ２）とｅ＃＝６で識別されるイベントの属性２が示す値（Ｄ２）は同一である。かつ、ｅ＃＝５で識別されるイベントの属性１の値（ＬＢ）と、ｅ＃＝６で識別されるイベントの発生箇所（ＬＢ）は同一である。よって、相互相関分類手段２３０は、このイベントの組を相互相関イベント型ウィンドウ表２４０として抽出する。
続いて、相互相関規則生成手段２５０は、相互相関イベント型ウィンドウ表２４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１３０）。
図１０は、相互相関イベント型ウィンドウ表の例を示す説明図である。ここでは、図１０に例示する相互相関イベント型ウィンドウ表２４０が生成されているものとする。
相互相関規則生成手段２５０は、イベントの組ごとに、イベント型の組における支持度と信頼度を計算する。そして、相互相関規則生成手段２５０は、支持度および信頼度が閾値よりも大きいイベント型の組を特定し、このイベント型の組から相互相関規則を生成する。以下、イベント型の組を（ｅＴｙｐｅ１，ｅＴｙｐｅ２）と記す。
なお、この閾値は、予め定められた値であってもよく、運用者がＧＵＩ１１５を介して入力した値であってもよい。以降に示す閾値についても同様である。
ここで、イベント型の組（ｅＴｙｐｅ１，ｅＴｙｐｅ２）に対する支持度ｓ（ｅＴｙｐｅ１，ｅＴｙｐｅ２）とは、相互相関イベント型ウィンドウ表２４０Ｗｍ中のイベント型の組が現れるウィンドウ数＃｛ｗ∈Ｗｍ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウ表Ｗに含まれるウィンドウ数＃｛ｗ∈Ｗ｝で割った値である。なお、＃は、集合の要素を表す単項前置演算子である。
すなわち、支持度ｓとは、対象とするイベント型の組がイベント履歴中に含まれる度合いを示す指標である。具体的には、支持度ｓは、相互相関分類手段２３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウ数で割ることにより算出される。
また、イベント型の組における信頼度は、イベント型（ｅ１．ｔｙｐｅ）の発生を元にするイベント型（ｅ２．ｔｙｐｅ）の信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）として表わすことができる。信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）は、相互相関イベント型ウィンドウ表２４０Ｗｍ中の２つのイベント型（ｅＴｙｐｅ１，ｅＴｙｐｅ２）が同時に発生するウィンドウ数＃｛ｗ∈Ｗｍ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウ表Ｗの中でｅＴｙｐｅ１が発生するウィンドウ数＃｛ｗ∈Ｗ｜ｅ∈ｗ∧ｅ．ｔｙｐｅ＝ｅＴｙｐｅ１｝で割った値である。
すなわち、信頼度とは、一のイベントが発生した場合に他のイベントが発生し得る度合いを示す指標である。具体的には、第一のイベント型を有する一のイベントの発生に基づいて発生する第二のイベント型を有する他のイベントの信頼度ｔは、相互相関分類手段２３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウのうち一のイベント型のイベントを有するイベントウィンドウの数で割ることにより算出される。
図１１は、支持度および信頼度の例を示す説明図である。本実施例では、支持度の閾値を０．１５とし、信頼度の閾値を０．６とする。
図１１（ａ）は、支持度の例を示す説明図である。図１１（ａ）に例示する表では、行と列で表されたイベント型の交点に当たる部分が、そのイベント型の組の支持度を表す。
図１１（ａ）に例示する支持度が算出された場合、支持度の閾値０．１５よりも支持度が大きい組は、ｓ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ，ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ）＝ｓ（ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ，ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）である。
図１１（ｂ）は、信頼度の例を示す説明図である。図１１（ｂ）に例示する表では、行と列で表されたイベント型の交点に当たる部分が、そのイベント型の組の信頼度を表す。
図１１（ｂ）に例示する信頼度が算出された場合、信頼度が閾値０．６よりも大きい組は、ｔ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ｜ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ），ｔ（ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ｜ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）の２つである。
そこで、相互相関規則生成手段２５０は、これらの結果（図１１（ｃ）参照）に基づいて相互相関規則を生成する。具体的には、相互相関規則生成手段２５０は、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組のうち、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一で、一のイベントの属性が示す情報と他のイベントの発生箇所を示す情報とが同一である組であって、支持度および信頼度に基づいて特定されたイベント型を有する組であることを条件とする相互相関規則を生成する。
図１２は、イベント相関規則の例を示す説明図である。本実施例では、相互相関規則生成手段２５０は、図１２（ａ）および図１２（ｂ）に例示する規則を生成する。すなわち、相互相関規則生成手段２５０は、以下に示す２つの規則を生成する。そして、相互相関規則生成手段２５０は、これらの規則をイベント相関規則ＤＢ１７０に記憶する。
NullConnectionFrom => ConnectionFailure WITHIN 15min WHERE {
NullConnectionFrom.hostname == ConnectionFailure.attr2
NullConnectionFrom.attr1 == ConnectionFailure.hostname
}
ConnectionFailure => NullConnectionFrom WITHIN 15min WHERE {
ConnectionFailure.hostname == NullConnectionFrom.attr1
ConnectionFailure.attr2 == NullConnectionFrom.hostname
}
このように、相互相関規則生成手段２５０が、相互相関分類手段２３０が抽出したイベント型の各組について支持度と信頼度を計算し、支持度および信頼度が閾値よりも大きいイベント型の組から相互相関規則を生成する。
次に、単一相関分類手段３３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組で、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一である組を単一相関イベント型ウィンドウ表３４０として抽出する（ステップＢ１４０）。
例えば、図５に例示する表のイベントＩＤ（ｅ＃）１０，１１で識別される２つのイベントは、同一ウィンドウ（ｗ＃＝４）に属している。また、ｅ＃＝１１で識別されるイベントの発生箇所（Ｄ２）と、ｅ＃＝１０で識別されるイベントの属性１の値（Ｄ２）は同一である。よって、単一相関分類手段３３０は、このイベントの組を単一相関イベント型ウィンドウ表３４０として抽出する。
続いて、単一相関規則生成手段３５０は、単一相関イベント型ウィンドウ表３４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１５０）。
図１３は、単一相関イベント型ウィンドウ表の例を示す説明図である。ここでは、図１３に例示する単一相関イベント型ウィンドウ表３４０が生成されているものとする。
単一相関規則生成手段３５０は、イベントの組ごとに、イベント型の組における支持度と信頼度を計算する。そして、単一相関規則生成手段３５０は、支持度および信頼度が閾値よりも大きいイベント型の組を特定し、このイベント型の組から単一相関規則を生成する。
ここで、イベント型の組（ｅＴｙｐｅ１，ｅＴｙｐｅ２）に対する支持度ｓ（ｅＴｙｐｅ１，ｅＴｙｐｅ２）とは、単一相関イベント型ウィンドウ表３４０Ｗｓ中のイベント型の組が現れるウィンドウ数＃｛ｗ∈Ｗｓ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウＷに含まれるウィンドウ数＃｛ｗ∈Ｗ｝で割った値である。
すなわち、ここでの支持度ｓも、対象とするイベント型の組がイベント履歴中に含まれる度合いを示す指標である。具体的には、支持度ｓは、単一相関分類手段３３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウ数で割ることにより算出される。
また、イベント型の組における信頼度は、イベント型（ｅ１．ｔｙｐｅ）の発生を元にするイベント型（ｅ２．ｔｙｐｅ）の信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）として表わすことができる。信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）は、単一相関イベント型ウィンドウ表３４０Ｗｓ中の２つのイベント型（ｅＴｙｐｅ１，ｅＴｙｐｅ２）が同時に発生するウィンドウ数＃｛ｗ∈Ｗｓ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウ表Ｗの中でｅＴｙｐｅ１が発生するウィンドウ数＃｛ｗ∈Ｗ｜ｅ∈ｗ∧ｅ．ｔｙｐｅ＝ｅＴｙｐｅ１｝で割った値である。
すなわち、ここでの信頼度も、一のイベントが発生した場合に他のイベントが発生し得る度合いを示す指標である。具体的には、第一のイベント型を有する一のイベントの発生に基づいて発生する第二のイベント型を有する他のイベントの信頼度ｔは、単一相関分類手段３３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウのうち一のイベント型のイベントを有するイベントウィンドウの数で割ることにより算出される。
図１４は、支持度および信頼度の他の例を示す説明図である。本実施例では、支持度の閾値を０．２とし、信頼度の閾値を０．６とする。
図１４（ａ）は、支持度の例を示す説明図である。表の内容は、図１１（ａ）に例示する表と同様である。
図１４（ａ）に例示する支持度が算出された場合、支持度の閾値０．２よりも支持度が大きい組は、ｓ（ＤＢＥｒｒｏｒ，ＱｕｅｒｙＥｒｒｏｒ）＝ｓ（ＱｕｅｒｙＥｒｒｏｒ，ＤＢＥｒｒｏｒ）及びｓ（ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ，ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）＝ｓ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ，ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ）の２つである。
図１４（ｂ）は、信頼度の例を示す説明図である。表の内容は、図１１（ｂ）に例示する表と同様である。
図１４（ｂ）に例示する信頼度が算出された場合、信頼度が閾値０．６よりも大きい組は、ｔ（ＱｕｅｒｙＥｒｒｏｒ｜ＤＢＥｒｒｏｒ），ｔ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ｜ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ），ｔ（ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ｜ ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）の３つである。
そこで、単一相関規則生成手段３５０は、これらの結果（図１４（ｃ）参照。）に基づいて単一相関規則を生成する。具体的には、単一相関規則生成手段３５０は、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組のうち、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一である組であって、支持度および信頼度に基づいて特定されたイベント型を有する組であることを条件とする単一相関規則を生成する。
この場合、単一相関規則生成手段３５０は、以下に示す３つの規則を生成する。
DBError => QueryError WITHIN 15min WHERE {
DBError.hostname== QueryError.attr1
} ・・・規則（１）
NullConnectionFrom => ConnectionFailure WITHIN 15min WHERE {
NullConnectionFrom.hostname == ConnectionFailure.attr2
} ・・・規則（２）
ConnectionFailure => NullConnectionFrom WITHIN 15min WHERE {
ConnectionFailure.hostname == NullConnectionFrom.attr1
} ・・・規則（３）
ただし、上記に示す３つの規則のうち、規則（２）および規則（３）のイベント型は、それぞれ「NullConnectionFrom => ConnectionFailure」、「ConnectionFailure => NullConnectionFrom」である。これは、ステップＢ１３０で生成された規則のイベント型と一致する。そのため、単一相関規則生成手段３５０は、上記に示す２つの規則（２）および規則（３）（図１６（ｃ）における網掛け部分）を除き、一番上に示す規則（１）をイベント相関規則ＤＢ１７０に記憶する（図１２（ｃ）参照）。
次に、発生箇所別分類手段４３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組で、一のイベントの発生箇所を示す情報と他のイベントの発生箇所を示す情報とが同一である組を発生箇所別イベント型ウィンドウ表４４０として抽出する（ステップＢ１６０）。
例えば、図５に例示する表のイベントＩＤ（ｅ＃）２，３で識別される２つのイベントは、同一ウィンドウ（ｗ＃＝１）に属している。また、両者とも、イベントの発生箇所（ＬＢ）は同一である。よって、発生箇所別分類手段４３０は、このイベントの組を発生箇所別イベント型ウィンドウ表４４０として抽出する。
続いて、発生箇所別規則生成手段４５０は、発生箇所別イベント型ウィンドウ表４４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１７０）。
図１５は、発生箇所別イベント型ウィンドウ表の例を示す説明図である。ここでは、図１５に例示する発生箇所別イベント型ウィンドウ表４４０が生成されているものとする。
発生箇所別規則生成手段４５０は、イベントの組ごとに、イベント型の組における支持度と信頼度を計算する。そして、発生箇所別規則生成手段４５０は、支持度および信頼度が閾値よりも大きいイベント型の組を特定し、このイベント型の組から発生箇所別規則を生成する。
ここで、イベント型の組（ｅＴｙｐｅ１，ｅＴｙｐｅ２）に対する支持度ｓ（ｅＴｙｐｅ１，ｅＴｙｐｅ２）とは、発生箇所別イベント型ウィンドウ表４４０Ｗｐ中のイベント型の組が現れるウィンドウ数＃｛ｗ∈Ｗｐ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウ表Ｗに含まれるウィンドウ数＃｛ｗ∈Ｗ｝で割った値である。
すなわち、ここでの支持度ｓも、対象とするイベント型の組がイベント履歴中に含まれる度合いを示す指標である。具体的には、支持度ｓは、発生箇所別分類手段４３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウ数で割ることにより算出される。
また、イベント型の組における信頼度は、イベント型（ｅ１．ｔｙｐｅ）の発生を元にするイベント型（ｅ２．ｔｙｐｅ）の信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）として表わすことができる。信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）は、発生箇所別イベント型ウィンドウ表４４０Ｗｐ中の２つのイベント型（ｅＴｙｐｅ１，ｅＴｙｐｅ２）が同時に発生するウィンドウ数＃｛ｗ∈Ｗｐ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウ表Ｗの中でｅＴｙｐｅ１が発生するウィンドウ数＃｛ｗ∈Ｗ｜ｅ∈ｗ∧ｅ．ｔｙｐｅ＝ｅＴｙｐｅ１｝で割った値である。
すなわち、ここでの信頼度も、一のイベントが発生した場合に他のイベントが発生し得る度合いを示す指標である。具体的には、第一のイベント型を有する一のイベントの発生に基づいて発生する第二のイベント型を有する他のイベントの信頼度ｔは、発生箇所別分類手段４３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウのうち一のイベント型のイベントを有するイベントウィンドウの数で割ることにより算出される。
図１６は、支持度および信頼度のさらに他の例を示す説明図である。本実施例では、支持度の閾値を０．１５とし、信頼度の閾値を０．６とする。
図１６（ａ）は、支持度の例を示す説明図である。表の内容は、図１１（ａ）に例示する表と同様である。
図１６（ａ）に例示する支持度が算出された場合、支持度の閾値０．１５よりも支持度が大きい組は、ｓ（ＮＷＣｏｎｇｅｓｔｉｏｎ，ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）＝ｓ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ，ＮＷＣｏｎｇｅｓｔｉｏｎ）及びｓ（ＴｏｏＭａｎｙＲｅｑｕｅｓｔ，ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）＝ｓ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ，ＴｏｏＭａｎｙＲｅｑｕｅｓｔ）の２つである。
図１６（ｂ）は、信頼度の例を示す説明図である。表の内容は、図１１（ｂ）に例示する表と同様である。
図１６（ｂ）に例示する信頼度が算出された場合、信頼度が閾値０．６よりも大きい組は、存在しない。そのため、この例の場合、発生箇所別規則生成手段４５０は、イベント相関規則（発生箇所別規則）を生成しない（図１６（ｃ）参照）。
以上の処理により、相互相関規則生成手段２５０、単一相関規則生成手段３５０および発生箇所別規則生成手段４５０は、図１２に例示する３つの規則を生成する。
次に、イベント相関規則を検出する処理の具体的な動作を説明する。なお、以下の処理は、図６に例示するフローチャートで示す動作の一部に対応する。
ウィンドウ分割手段１４０は、イベント発生源１１０が発生させたイベントを受信し、一定時間Ｗ［ｓｅｃ］ごとにイベントを分割し、イベントウィンドウ表記憶手段１５０に記憶する（ステップＡ１３０）。
図１７は、イベントウィンドウ表記憶手段１５０に記憶されたイベントウィンドウ表の例を示す説明図である。このうち、ウィンドウ４（ｗ＃＝４）で識別されるイベント（ｅ＃＝１２）のイベント型「ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ」と、イベント（ｅ＃＝１３）のイベント型「ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ」が、図１２に例示する第一段目の規則に合致する。具体的には、イベント（ｅ＃＝１２）とイベント（ｅ＃＝１３）との関係が、以下の規則に合致する。
NullConnectionFrom => ConnectionFailure WITHIN 15min WHERE {
NullConnectionFrom.hostname == ConnectionFailure.attr2
NullConnectionFrom.attr1 == ConnectionFailure.hostname
}
そのため、イベント相関用ルールエンジン１６０は、イベント相関規則ＤＢ１７０に記憶された上記イベント相関規則に従い、イベントウィンドウ表記憶手段１５０に記録されたイベントで相関のあるイベント（ｅ＃＝１２），（ｅ＃＝１３）をＧＵＩ１１５に表示する。
次に、本発明の概要を説明する。図１８は、本発明によるイベント相関規則検出システムの概要を示すブロック図である。本発明によるイベント相関規則検出システムは、イベントの発生箇所を示す情報（例えば、メールサーバ、メールクライアントなど）、そのイベントの種類を示すイベント型（例えば、ＱｕｅｒｙＥｒｒｏｒなど）および、そのイベントに関係する情報（例えば、イベントに関する装置を示す情報、イベント発生時刻など）を示す１つ以上のイベント属性を含むイベント情報の集合を、そのイベントの発生時刻に基づいて予め定められた時間間隔（例えば、一定間隔Ｗ［ｓｅｃ］）で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割手段８１（例えば、イベント型ウィンドウ分割手段２１０）と、イベント型ウィンドウ分割手段８１によって生成されたイベントウィンドウの集合であるイベント型ウィンドウ表（例えば、イベント型ウィンドウ表記憶手段２２０に記憶されたイベント型ウィンドウ表）から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出手段８２（例えば、相互相関分類手段２３０）と、相互相関関係抽出手段８２が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれるそのイベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則（例えば、図１２（ａ）、図１２（ｂ）に例示する相互相関規則）をイベント相関規則として生成する相互相関規則生成手段８３（例えば、相互相関規則生成手段２５０）とを備えている。
そのような構成により、関連するイベントの誤検出率を抑えることができる。
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割手段と、前記イベント型ウィンドウ分割手段によって生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出手段と、前記相互相関関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成手段とを備えたことを特徴とするイベント相関規則検出システム。
（付記２）イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出する単一相関関係抽出手段と、前記単一相関関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した単一相関規則をイベント相関規則として生成する単一相関規則生成手段とを備えた付記１記載のイベント相関規則検出システム。
（付記３）単一相関規則生成手段は、生成した単一相関規則のうち、相互相関規則生成手段が生成した相互相関規則とイベント型の組が一致する規則を除いた単一相関規則をイベント相関規則として生成する付記２記載のイベント相関規則検出システム。
（付記４）イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一であるイベントの組を抽出する発生箇所関係抽出手段と、前記発生箇所関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組が相関を有することを規定した発生箇所別規則をイベント相関規則として生成する発生箇所別規則生成手段とを備えた付記２または付記３記載のイベント相関規則検出システム。
（付記５）発生箇所別規則生成手段は、生成した発生箇所別規則のうち、相互相関規則生成手段が生成した相互相関規則とイベント型の組が一致する規則、および、単一相関規則生成手段が生成した単一相関規則とイベント型の組が一致する規則を除いた発生箇所別規則をイベント相関規則として生成する付記４記載のイベント相関規則検出システム。
（付記６）イベント相関規則生成手段は、イベントの組ごとに、対象とするイベント型の組がイベント情報の集合中に含まれる度合いを示す指標である支持度と、一のイベントが発生した場合に他のイベントが発生し得る度合いを示す指標である信頼度とを計算し、当該支持度および当該信頼度が閾値よりも大きいイベント型の組から相互相関規則を生成する付記１記載のイベント相関規則検出システム。
（付記７）イベント情報に含まれるイベント属性は、イベントに関係する装置を示す情報を含む付記１から付記６のうちのいずれか１つに記載のイベント相関規則検出システム。
（付記８）イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成し、生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出し、前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成することを特徴とするイベント相関規則検出方法。
（付記９）イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出し、前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した単一相関規則をイベント相関規則として生成する付記８記載のイベント相関規則検出方法。
（付記１０）イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一であるイベントの組を抽出し、前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組が相関を有することを規定した発生箇所別規則をイベント相関規則として生成する付記８または付記９記載のイベント相関規則検出方法。
（付記１１）コンピュータに、イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割処理、前記イベント型ウィンドウ分割処理で生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出処理、および、前記相互相関関係抽出処理で抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成処理を実行させるための相関規則検出用プログラム。
（付記１２）コンピュータに、イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出する単一相関関係抽出処理、および、前記単一相関関係抽出処理で抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した単一相関規則をイベント相関規則として生成する単一相関規則生成処理を実行させる付記１１記載のイベント相関規則検出用プログラム。
以上、実施形態及び実施例を参照して本願発明を説明したが、本願発明は上記実施形態および実施例に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
この出願は、２０１２年２月２７日に出願された日本特許出願２０１２−０４００６２を基礎とする優先権を主張し、その開示の全てをここに取り込む。
本発明は、イベントの履歴からイベント相関規則を抽出するイベント相関規則検出システムに好適に適用される。例えば、本発明のイベント相関規則検出システムを、ＩＴ（Information Technology）システムが発生する警報を相関分析する用途に適用できる。
１１０ イベント発生源
１１５ ＧＵＩ
１３０ イベント履歴データベース（イベント履歴ＤＢ）
１４０ ウィンドウ分割手段
１５０ イベントウィンドウ表記憶手段
１６０ イベント相関用ルールエンジン
１７０ イベント相関規則データベース（イベント相関規則ＤＢ）
１８０ イベント相関規則生成手段
２１０ イベント型ウィンドウ分割手段
２２０ イベント型ウィンドウ表記憶手段
２３０ 相互相関分類手段
２４０ 相互相関イベント型ウィンドウ表
２５０ 相互相関規則生成手段
３３０ 単一相関分類手段
３４０ 単一相関イベント型ウィンドウ表
３５０ 単一相関規則生成手段
４３０ 発生箇所別分類手段
４４０ 発生箇所別イベント型ウィンドウ表
４５０ 発生箇所別規則生成手段

Claims (10)

  1. イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割手段と、
    前記イベント型ウィンドウ分割手段によって生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出手段と、
    前記相互相関関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成手段とを備えた
    ことを特徴とするイベント相関規則検出システム。
  2. イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出する単一相関関係抽出手段と、
    前記単一相関関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した単一相関規則をイベント相関規則として生成する単一相関規則生成手段とを備えた
    請求項１記載のイベント相関規則検出システム。
  3. 単一相関規則生成手段は、生成した単一相関規則のうち、相互相関規則生成手段が生成した相互相関規則とイベント型の組が一致する規則を除いた単一相関規則をイベント相関規則として生成する
    請求項２記載のイベント相関規則検出システム。
  4. イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一であるイベントの組を抽出する発生箇所関係抽出手段と、
    前記発生箇所関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組が相関を有することを規定した発生箇所別規則をイベント相関規則として生成する発生箇所別規則生成手段とを備えた
    請求項２または請求項３記載のイベント相関規則検出システム。
  5. 発生箇所別規則生成手段は、生成した発生箇所別規則のうち、相互相関規則生成手段が生成した相互相関規則とイベント型の組が一致する規則、および、単一相関規則生成手段が生成した単一相関規則とイベント型の組が一致する規則を除いた発生箇所別規則をイベント相関規則として生成する
    請求項４記載のイベント相関規則検出システム。
  6. 相互相関規則生成手段は、イベントの組ごとに、対象とするイベント型の組がイベント情報の集合中に含まれる度合いを示す指標である支持度と、一のイベントが発生した場合に他のイベントが発生し得る度合いを示す指標である信頼度とを計算し、当該支持度および当該信頼度が閾値よりも大きいイベント型の組から相互相関規則を生成する
    請求項１記載のイベント相関規則検出システム。
  7. イベント型ウィンドウ分割手段が、イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成し、
    相互相関関係抽出手段が、生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出し、
    相互相関規則生成手段が、前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する
    ことを特徴とするイベント相関規則検出方法。
  8. 単一相関関係抽出手段が、イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出し、
    単一相関規則生成手段が、前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した単一相関規則をイベント相関規則として生成する
    請求項７記載のイベント相関規則検出方法。
  9. 発生箇所関係抽出手段が、イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一であるイベントの組を抽出し、
    発生箇所別規則生成手段が、前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組が相関を有することを規定した発生箇所別規則をイベント相関規則として生成する
    請求項７または請求項８記載のイベント相関規則検出方法。
  10. コンピュータに、
    イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割処理、
    前記イベント型ウィンドウ分割処理で生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出処理、および、
    前記相互相関関係抽出処理で抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成処理
    を実行させるための相関規則検出用プログラム。
JP2014501843A 2012-02-27 2012-12-14 イベント相関規則検出システム、イベント相関規則検出方法およびイベント相関規則検出用プログラム Active JP6070688B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2012040062 2012-02-27
JP2012040062 2012-02-27
PCT/JP2012/008009 WO2013128530A1 (ja) 2012-02-27 2012-12-14 イベント相関規則検出システム、イベント相関規則検出方法およびイベント相関規則検出用プログラム

Publications (2)

Publication Number Publication Date
JPWO2013128530A1 JPWO2013128530A1 (ja) 2015-07-30
JP6070688B2 true JP6070688B2 (ja) 2017-02-01

Family

ID=49081792

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2014501843A Active JP6070688B2 (ja) 2012-02-27 2012-12-14 イベント相関規則検出システム、イベント相関規則検出方法およびイベント相関規則検出用プログラム

Country Status (2)

Country Link
JP (1) JP6070688B2 (ja)
WO (1) WO2013128530A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6997668B2 (ja) * 2018-04-17 2022-01-17 Kddi株式会社 関連イベント統合プログラム、装置及び方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3721735B2 (ja) * 1996-08-30 2005-11-30 Ｋｄｄｉ株式会社 因果関係検出装置
JP3652913B2 (ja) * 1999-03-12 2005-05-25 富士通株式会社 相関分析装置及び記録媒体
JP2001202383A (ja) * 2000-01-21 2001-07-27 Mitsubishi Electric Corp データマイニング装置、データマイニング方法および記録媒体
JP2004110327A (ja) * 2002-09-18 2004-04-08 Fujitsu Ltd 時系列相関抽出装置
JP2006338373A (ja) * 2005-06-02 2006-12-14 Toshiba Corp 多変数時系列データ分析装置、方法およびプログラム

Also Published As

Publication number Publication date
WO2013128530A1 (ja) 2013-09-06
JPWO2013128530A1 (ja) 2015-07-30

Similar Documents

Publication Publication Date Title
EP3136249B1 (en) Log analysis device, attack detection device, attack detection method and program
US9621571B2 (en) Apparatus and method for searching for similar malicious code based on malicious code feature information
US9244755B2 (en) Scalable log analytics
CN107204960B (zh) 网页识别方法及装置、服务器
CN107241296B (zh) 一种Webshell的检测方法及装置
US20160094431A1 (en) Service Analyzer Interface
JP6473234B2 (ja) 分析方法、分析装置、および分析プログラム
US20180357214A1 (en) Log analysis system, log analysis method, and storage medium
US20190387012A1 (en) Log analysis apparatus, log analysis method, and log analysis program
JP2014215883A (ja) システム・ログの分類方法、プログラム及びシステム
JP2021093176A (ja) セキュリティ情報分析方法、セキュリティ情報分析システム、及び、プログラム
US20160098390A1 (en) Command history analysis apparatus and command history analysis method
JPWO2018159337A1 (ja) プロファイル生成装置、攻撃検知装置、プロファイル生成方法、および、プロファイル生成プログラム
US20160255109A1 (en) Detection method and apparatus
WO2020164272A1 (zh) 上网设备的识别方法、装置及存储介质、计算机设备
CN111183620B (zh) 入侵调查
WO2019077656A1 (ja) 生産設備監視装置、生産設備監視方法及び生産設備監視プログラム
CN115509848A (zh) 日志分析方法、装置、电子设备和存储介质
US10346450B2 (en) Automatic datacenter state summarization
US10320636B2 (en) State information completion using context graphs
JP6070688B2 (ja) イベント相関規則検出システム、イベント相関規則検出方法およびイベント相関規則検出用プログラム
CN109919180B (zh) 电子装置、用户操作记录数据的处理方法和存储介质
CN112130944A (zh) 页面异常的检测方法、装置、设备及存储介质
CN114254069A (zh) 域名相似度的检测方法、装置和存储介质
CN115879028A (zh) 基于孤立森林动态训练的实时异常检测方法、装置、电子设备和存储介质

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20151109

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20161018

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20161114

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20161206

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20161219

R150 Certificate of patent or registration of utility model

Ref document number: 6070688

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150