JP6159018B2 - 抽出条件決定方法、通信監視システム、抽出条件決定装置及び抽出条件決定プログラム - Google Patents

Description

本発明の実施形態は、抽出条件決定方法、通信監視システム、抽出条件決定装置及び抽出条件決定プログラムに関する。

インターネットの普及に伴い、ＤＤｏＳ（Distributed Denial of Service）攻撃やスパムメール送信などのサイバー攻撃が急増している。これらの攻撃のほとんどは、マルウェアと呼ばれる悪意あるソフトウェアに起因している。攻撃者は、一般ユーザの端末やサーバをマルウェアに感染させ、マルウェアを操作することで端末やサーバを不正に制御し、情報収集や新たな攻撃を実施している。これらの攻撃は近年社会問題化している。このため、マルウェア感染を中心としたサイバー攻撃への対策が急務となっている。

サイバー攻撃対策としては、端末上で実施する対策とネットワーク上で実施する対策が検討されている。端末上で実施する対策としては、アンチウィルスソフトを用いる手法や、ホスト型Intrusion Detection System（ＩＤＳ）やホスト型Intrusion Prevention System（ＩＰＳ）を用いる手法が検討されている。本手法では、端末にソフトウェアをインストールして対策を実施する。一方、ネットワーク上で実施する対策としては、ネットワーク型のＩＤＳやＩＰＳ、FirewallやWeb Application Firewall（ＷＡＦ）等を用いる手法が検討されている。本手法では、ネットワークの接続箇所に検査装置を配置する。また、近年では、端末や装置のログを分析して攻撃の痕跡を発見するSecurity Information and Event Management（ＳＩＥＭ）サービス等も実施されている。上述のいずれの手法においても、予め用意した既知の攻撃の特徴情報に基づいて対策を講じている。

このような対策手法では、ハニーポットと呼ばれる囮のシステムでマルウェア感染攻撃やその他のサイバー攻撃の通信相手や通信内容を収集したり、サンドボックスと呼ばれるマルウェア解析システムでマルウェアを実際に動作させてマルウェアの通信相手や通信内容を収集したり、スパムメール対策システムやＤＤｏＳ対策システムで攻撃と判定された通信の通信相手や通信内容を収集したりすることで、攻撃に関わる通信の情報を収集する。更に、攻撃に関わる通信の情報から、宛先ＵＲＬ（Uniform Resource Locator）や宛先ＩＰ（Internet Protocol）アドレス等を含む特徴情報を抽出する。この際、機械学習を初めとした既存の技術を用いて、攻撃に関わる通信の情報から特徴情報を自動的に抽出する場合が多い。この手法では、攻撃に関わる通信の情報を、日時、通信相手のＩＰアドレス、通信時に使用したポート番号、一定時間内の通信回数、及び通信量等、予め定めた項目毎に分類して集計する。この際、日時やポート番号には観測した値が入力されることが多いが、通信回数や通信量については、平均値、標準偏差、分散値等の統計値が入力されることがある。集計値が算出された後、例えば、統計的な外れ値を探索し、外れ値を発見した際には、当該値に関わる通信を攻撃と判定するとともに、当該項目の当該外れ値を攻撃検知のための規則とし、当該項目における当該値を、攻撃に見られる特徴情報であると特定する。更に、発見した攻撃に関して、例えば、ＩＰアドレスをブラックリスト化し、当該ＩＰアドレスを相手とした通信を攻撃と判定するための特徴情報とする場合もある。なお、通信相手のＵＲＬをブラックリスト化する場合もあるが、この際は、ＵＲＬを正規表現でブラックリスト化する場合もある。なお、通常、異なる装置やソフトウェアからトラヒックログやアラートを収集して通信相手や通信内容の情報を抽出する際、装置やソフトウェアに応じて各項目の表記方法が異なる場合があるが、近年ではＳＩＥＭ製品として異なる表記で示されたログ情報を統一的な表記方法に変換して集計する技術も普及している。

R. Perdisci, W. Lee, and N. Feamster, "Behavioral Clustering of HTTP-Based Malware and Signature Generation Using Malicious Network Traces." NSDI, p.26, Apr. 2010. Y. Xie, F. Yu, K. Achan, R. Panigrahy, G. Hulten, and I. Osipkov, "Spamming Botnets: Signatures and Characteristics," Proceedings of the ACM SIGCOMM 2008 conference on Data communication - SIGCOMM’08, vol.38, no. 4, p.171, Aug. 2008.

しかしながら、上記の方法では、攻撃に関わる通信ではない通信、すなわち良性な通信を、攻撃に関わる通信として誤検知してしまう場合がある。

例えば、上記の方法では、攻撃に関わる通信の情報を収集した際に、良性な通信が混在した場合に、良性な通信の特徴情報を誤って抽出し、当該情報を抽出した規則を悪性トラヒックログ特定のための規則と誤判定してしまう危険性がある。一例としては、マルウェアは、解析の妨害やインターネットへの接続確認を目的として、正規のＷｅｂサイト等にアクセスする場合が多い。このため、サンドボックスを用いて収集したマルウェアの通信相手や通信内容に正規のＷｅｂサイトへの正常なアクセスが混在する可能性がある。攻撃に関わる通信の内容を精査する手法として、インターネット上の情報を収集して通信相手のレピュテーションを実施する手法や、収集した通信内容をアンチウィルスソフト、ＩＤＳ、ＩＰＳ、ＷＡＦ等に対して再現して攻撃と判定されるか検査する手法が検討されている。しかしながら、いずれの手法においても、検知漏れや誤検知が発生する可能性があり、攻撃に関わる通信の情報から攻撃の通信情報を自動的に、かつ、正確に抽出することは困難である。特に、他の手段でも発見できない攻撃を発見できないことを意味する検知漏れは許容されることがあるが、誤検知については、検知後に発生する対処や調査等のオペレーションコスト発生を回避するために、可能な限り抑制することが望まれる。このため、現在では、攻撃を発見するための規則を特定して攻撃の特徴情報を抽出する場合、ほぼ多くの場合において解析者が手動で内容を分析することが行われている。この結果、攻撃の特徴情報を抽出するための時間的なコストと人的なコストが必要となり、攻撃が多種多様化している近年では、これらのコストがセキュリティベンダやサービスプロバイダにおいて大きなボトルネックとなっている。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、誤検知を抑制することを目的とする。

実施形態に係る抽出条件決定方法は、抽出条件決定装置で実行される抽出条件決定方法であって、所定の期間における通信のログ情報であって、特定種類の通信が既知であるログ情報を収集する収集工程と、前記ログ情報から特定種類の通信を抽出するための条件が定義された抽出条件を記憶する記憶部を参照し、収集されたログ情報から当該条件に適合する通信を抽出する抽出工程と、抽出された通信に対する前記特定種類の通信の割合が閾値以上である場合に、当該抽出条件を採用することを決定する決定工程と、採用された抽出条件を出力する制御を行う出力制御工程とを含んだことを特徴とする。

本願の開示する技術の一つの態様によれば、誤検知を抑制することができるという効果を奏する。

図１は、第１の実施形態に係る情報収集配信サーバを適用するネットワーク構成の一例を示す図である。 図２は、第１の実施形態に係る情報収集配信サーバの構成を示すブロック図である。 図３は、第１の実施形態に係るログ情報記憶部に記憶される情報の一例を示す図である。 図４は、第１の実施形態に係る解析情報記憶部に記憶される情報の一例を示す図である。 図５は、第１の実施形態に係る解析情報記憶部に記憶される情報の一例を示す図である。 図６は、第１の実施形態に係る抽出条件記憶部に記憶される情報の一例を示す図である。 図７は、第１の実施形態に係る情報収集配信サーバの処理手順を説明するためのフローチャートである。 図８は、第１の実施形態に係る情報収集配信サーバの適用例を説明するための図である。 図９は、第１の実施形態に係る情報収集配信サーバの適用例を説明するための図である。 図１０は、第１の実施形態に係る情報収集配信サーバの適用例を説明するための図である。 図１１は、第１の実施形態の変形例に係る情報収集配信サーバの処理手順を説明するためのフローチャートである。 図１２は、抽出条件決定プログラムを実行するコンピュータを示す図である。

以下に添付図面を参照して、この発明に係る抽出条件決定方法、通信監視システム、抽出条件決定装置及び抽出条件決定プログラムの実施形態を詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。

（第１の実施形態）
（情報収集配信サーバを適用するネットワーク構成）
図１は、第１の実施形態に係る情報収集配信サーバを適用するネットワーク構成の一例を示す図である。

図１に示すように、ネットワーク１は、ネットワーク２〜５を収容する。ネットワーク１は、インターネットのように広域なネットワークであってもよいし、企業ネットワークのように比較的狭域ネットワークであってもよい。

ネットワーク１とネットワーク２との間は、パケット転送部２９によって接続されている。また、ネットワーク１とネットワーク３との間は、パケット転送部３７によって接続されている。また、ネットワーク１とネットワーク４との間は、パケット転送部４２によって接続されている。また、ネットワーク１とネットワーク５との間は、パケット転送部５３によって接続されている。また、ネットワーク２内のサーバや端末との間は、パケット転送部２５、２６によって接続されている。また、ネットワーク３内のサーバや端末との間は、パケット転送部３５、３６によって接続されている。

囮サーバ２１、囮端末２２、端末型サンドボックス２３、及びサーバ型サンドボックス２４は、サーバや端末に不正アクセスするために用いる攻撃ツールプログラムであるマルウェアを利用したＤＤｏＳ（Distributed Denial of Service）攻撃やスパム送信などの特定種類（以下、適宜「悪性」という）の通信を収集する。そして、囮サーバ２１、囮端末２２、端末型サンドボックス２３、及びサーバ型サンドボックス２４は、収集した悪性の通信のログ情報を所定の記憶領域に保存している。

例えば、囮サーバ２１及び囮端末２２としては、オープンソースのハニーポットや独自に開発したハニーポット等が適用される。また、例えば、端末型サンドボックス２３及びサーバ型サンドボックス２４としては、オープンソースのソフトウェアや独自に開発したサンドボックス等が適用される。

ユーザ端末３１、３２及びユーザサーバ３３、３４は、ネットワーク１〜５を介して通信を行う。ユーザ端末３１、３２及びユーザサーバ３３、３４は、攻撃者端末４１や悪性サーバ５１などからの攻撃を受けたことを確認したい対象であり、フィルタ処理による防御対象である。また、ユーザ端末３１、３２及びユーザサーバ３３、３４は、攻撃を検知する攻撃検知ソフトウェアが適用される。ユーザ端末３１、３２及びユーザサーバ３３、３４は、検知した通信のログ情報を所定の記憶領域に保存している。

攻撃者端末４１は、ユーザ端末３１、３２やユーザサーバ３３、３４を攻撃する。悪性サーバ５１は、アクセスしたユーザ端末３１、３２を攻撃するために他のサーバに転送する。マルウェア配布サーバ５２は、アクセスしたユーザ端末３１、３２にマルウェアを配布する。

パケット転送部２５、２６、２９、３５〜３７、４２、５３は、スイッチやルータなどの機器であって、スイッチ機能、ルータ機能、ポートフォワ−ディング機能、ハイパーテキスト転送プロトコル（ＨＴＴＰ：HyperText Transfer Protocol）転送機能などを有する。パケット転送部２５、２６、２９、３５〜３７、４２、５３は、ＭＡＣアドレスやＩＰアドレス、ポート番号、ＨＴＴＰヘッダなどのヘッダの情報を参照して転送先を決定してパケットを出力する。

通信監視部２７、２８は、ネットワーク２において配置される装置である。また、通信監視部３７ａは、パケット転送部３７内の一機能として配置される。通信監視部２７、２８、３７ａは、セキュリティアプライアンスやプロキシ、アンチウィルスなどが適用され、転送に用いられる情報及びパケットペイロードを監視する。

また、通信監視部２７、２８、３７ａは、悪性の通信を特定するための特徴情報を保有し、特徴情報と一致する通信を検知し、検知した通信を遮断するとともに、図示しない外部端末に転送して検疫させる。また、通信監視部２７、２８、３７ａは、検知した通信を遮断するとともに、通信を情報収集配信サーバ１０に送信する。また、通信監視部２７、２８、３７ａは、トラヒックのログ情報を保存している。

情報収集配信サーバ１０は、各通信監視部２７、２８、３７ａや、囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４により保存された通信のログ情報を収集する。そして、情報収集配信サーバ１０は、収集した情報を解析して新たな特徴情報を抽出し、抽出された新たな特徴情報を各通信監視部２７、２８、３７ａや、囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４に配信する。例えば、情報収集配信サーバ１０は、セキュリティベンダによって提供される。なお、情報収集配信サーバ１０についての詳しい説明は、以下に説明する。

（情報収集配信サーバの構成）
図２は、第１の実施形態に係る情報収集配信サーバ１０の構成を示すブロック図である。図２に示すように、この情報収集配信サーバ１０は、通信制御Ｉ／Ｆ１１、制御部１２、記憶部１３を有する。以下にこれらの各部の処理を説明する。

通信制御Ｉ／Ｆ１１は、接続される各通信監視部２７、２８、３７ａや、囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４との間でやり取りする各種情報に関する通信を制御する。具体的には、通信制御Ｉ／Ｆ１１は、各通信監視部２７、２８、３７ａや、囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４から通信のログ情報を受信する。また、通信制御Ｉ／Ｆ１１は、各通信監視部２７、２８、３７ａや、囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４へ特徴情報を送信する。

記憶部１３は、制御部１２による各種処理に要するデータや、制御部１２による各種処理結果を記憶する。記憶部１３は、ログ情報記憶部１３１と、解析情報記憶部１３２と、抽出条件記憶部１３３とを有する。また、記憶部１３は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置である。

ログ情報記憶部１３１は、通信のログ情報を記憶する。例えば、ログ情報記憶部１３１は、所定の期間において、ログ情報収集部１２１によって収集されたログ情報を記憶する。また、例えば、ログ情報記憶部１３１は、ログ情報解析部１２２によって参照される。

図３は、第１の実施形態に係るログ情報記憶部１３１に記憶される情報の一例を示す図である。図３に示すように、例えば、ログ情報記憶部１３１は、「番号」と、「通信日時」と、「通信元ＩＰアドレス」と、「通信先ＩＰアドレス」と、「送信元ポート」と、「宛先ポート」とをそれぞれ対応付けて記憶する。このうち、「番号」は、通信元と通信先との間で行われた通信を一意に識別する情報である。「通信日時」は、通信の日時を示す情報である。「通信元ＩＰアドレス」は、通信元のＩＰアドレスを示す情報である。「通信先ＩＰアドレス」は、通信先のＩＰアドレスを示す情報である。「送信元ポート」は、送信元のポート番号を示す情報である。「宛先ポート」は、宛先のポート番号を示す情報である。

なお、図３の例は、あくまで一例に過ぎない。例えば、ログ情報記憶部１３１には、上記のログ情報とは異なる情報がログ情報として記憶されていても良い。これは、ログ情報収集部１２１によって収集可能なログ情報が、ソフトウェアやネットワーク機器によって異なるからである。例えば、ログ情報記憶部１３１には、ｐｃａｐ形式のデータが記憶されていても良いし、ｐｒｏｘｙサーバ等で収集されるＨＴＴＰヘッダのデータが記憶されていても良い。また、ログ情報記憶部１３１には、ルータやスイッチ等のネットワーク機器において標準的に観測できるＩＰアドレスやポート番号毎のフレーム・パケット数等が記憶されても良い。また、ログ情報記憶部１３１には、通信ごとのデータが記録される場合や、受信フレーム・パケットごとにデータが記録される場合、若しくはマルチセッションのデータが記録される場合であっても良い。

解析情報記憶部１３２は、解析情報を記憶する。例えば、解析情報記憶部１３２は、ログ情報解析部１２２によって通信元ＩＰアドレスごとに解析された解析情報を記憶する。また、例えば、解析情報記憶部１３２は、通信ログ抽出部１２３によって参照される。

図４は、第１の実施形態に係る解析情報記憶部１３２に記憶される情報の一例を示す図である。図４に示すように、例えば、解析情報記憶部１３２において、「番号」は、解析情報を一意に識別する情報である。「通信元ＩＰアドレス」は、通信元のＩＰアドレスを示す情報である。「通信先ＩＰアドレス」は、所定の期間内に通信元ＩＰアドレスから行われた通信の通信先のＩＰアドレスを示す情報である。ここで、「＊」は、複数の通信先ＩＰアドレスを含むことを示す。「通信回数」は、所定の期間内に通信元ＩＰアドレスから行われた通信の回数を示す情報である。「通信間隔（平均）」は、所定の期間内に通信元ＩＰアドレスから行われた通信の間隔の平均値を示す情報である。「通信間隔（標準偏差）」は、所定の期間内に通信元ＩＰアドレスから行われた通信の間隔の標準偏差を示す情報である。「通信量（平均）」は、所定の期間内に通信元ＩＰアドレスから行われた通信に要した通信量の平均値を示す情報である。「通信量（標準偏差）」は、所定の期間内に通信元ＩＰアドレスから行われた通信に要した通信量の標準偏差を示す情報である。

なお、本実施形態においては、解析情報記憶部１３２の各々のエントリ（レコード）を「トラヒックログ」、若しくは「通信ログ」と表記する。また、トラヒックログのうち、悪性の通信であることが既知のトラヒックログを「悪性トラヒックログ」と表記し、良性の通信であることが既知のトラヒックログを「良性トラヒックログ」と表記する。また、トラヒックログは、「通信」の一例である。

また、図４の例は、あくまで一例に過ぎない。例えば、解析情報記憶部１３２には、上記の解析情報とは異なる情報が解析情報として記憶されていても良い。例えば、解析情報記憶部１３２には、上記の平均値や標準偏差に限らず、分散値等、他の統計値であっても良い。また、例えば、解析情報記憶部１３２は、統計値に限らず、初観測日時、最終観測日時、通信プロトコル、通信先ＵＲＬ、及びデータ内に記述されたテキスト等の情報が記憶されても良い。

ここで、第１の実施形態に係るログ情報記憶部１３１及び解析情報記憶部１３２は、後述のログ情報収集部１２１が、悪性の通信が既知であるログ情報を収集した場合には、悪性の通信を示す情報を記憶する。例えば、解析情報記憶部１３２は、悪性トラヒックログを示す情報と、良性トラヒックログを示す情報とを記憶する。

図５は、第１の実施形態に係る解析情報記憶部１３２に記憶される情報の一例を示す図である。図５に示す例では、悪性トラヒックログが白色（ハッチング無し）のエントリで示され、良性トラヒックログが網掛けのエントリで示される。すなわち、解析情報記憶部１３２は、番号「１」、「３」、「５」の各トラヒックログが悪性トラヒックログであることを記憶する。また、解析情報記憶部１３２は、番号「２」、「４」、「６」、「７」の各トラヒックログが良性トラヒックログであることを記憶する。

なお、ここでは一例として、悪性の通信を示す情報をエントリのハッチングパターンによって示したが、実際には、解析情報記憶部１３２は、悪性の通信を示す情報を表すフラグ情報として記憶したり、悪性の通信を示す情報を記憶するテーブルとして記憶したりする。フラグ情報として記憶する場合には、例えば、解析情報記憶部１３２は、悪性トラヒックログを示すフラグ情報と、良性トラヒックログを示すフラグ情報とをそれぞれ個別に用いても良いし、１つのフラグ情報のＯＮ／ＯＦＦによって悪性トラヒックログ及び良性トラヒックログを識別可能なフラグ情報を用いても良い。

また、ここでは説明の都合上、解析情報記憶部１３２が悪性の通信を示す情報を記憶する場合を例示したが、ログ情報記憶部１３１も同様に悪性の通信を示す情報を記憶する。また、ログ情報記憶部１３１及び解析情報記憶部１３２は、ログ情報収集部１２１が、悪性の通信が未知であるログ情報を収集した場合には、悪性の通信を示す情報を記憶しない。

抽出条件記憶部１３３は、通信のログ情報から特定種類の通信を抽出するための条件が定義された抽出条件を記憶する。例えば、抽出条件記憶部１３３は、情報収集配信サーバ１０を操作する操作者によって予め定義される。また、例えば、抽出条件記憶部１３３は、通信ログ抽出部１２３によって参照される。

図６は、第１の実施形態に係る抽出条件記憶部１３３に記憶される情報の一例を示す図である。図６に示すように、例えば、抽出条件記憶部１３３は、抽出条件として、複数の「手順」と、複数の「条件」とをそれぞれ対応づけて記憶する。「手順」は、対応する条件による抽出を実行する順序を示す。「条件」は、悪性の通信をログ情報から抽出するための情報である。後述の処理では、例えば、手順に従ってそれぞれの条件に適合するトラヒックログを抽出するので、条件は、次の手順で処理対象とする範囲が記憶されているとも言える。このように、抽出条件記憶部１３３は、１つの抽出条件として、複数の条件と、その条件の順序を示す手順とを対応づけて記憶する。

なお、図６の例は、あくまで一例に過ぎない。例えば、抽出条件記憶部１３３には、複数の抽出条件が記憶されていても良い。また、抽出条件記憶部１３３に記憶される抽出条件には、１つの条件のみが記憶されていても良い。また、抽出条件記憶部１３３に記憶される情報の具体例については、図８〜図１０を用いて後述する。

このように、記憶部１３は、各種の情報を記憶する。なお、記憶部１３に記憶される各種の情報は、抽出の過程において、項目が随時追加されたり、数値が再計算されて更新されたりしても良い。

制御部１２は、制御プログラム、各種の処理手順等を規定したプログラム及び所要データを格納するための内部メモリを有する。制御部１２は、ログ情報収集部１２１と、ログ情報解析部１２２と、通信ログ抽出部１２３と、抽出条件決定部１２４と、出力制御部１２５とを有する。また、制御部１２は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路、又は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の電子回路である。

ログ情報収集部１２１は、所定の期間における通信のログ情報を収集する。例えば、ログ情報収集部１２１は、各通信監視部２７、２８、３７ａや、囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４から通信のログ情報を収集する。そして、ログ情報収集部１２１は、収集したログ情報を通信日時の順に採番し、ログ情報記憶部１３１に格納する。

一例としては、ログ情報収集部１２１は、ｐｃａｐ形式のデータ、サーバのｓｙｓｌｏｇ情報、ｐｒｏｘｙサーバ等で収集されるＨＴＴＰヘッダのデータ、ネットワーク機器において観測されるＩＰアドレスやポート番号毎のフレーム・パケット数等を収集し、ログ情報記憶部１３１に格納する。なお、ネットワーク機器やソフトウェアの違いにより、収集されるログ情報の項目や表記方法は必ずしも一致しないものの、近年では、ＳＩＥＭ製品として、異なる表記方法で示されたログ情報を統一的な表記方法に変換して集計する技術が普及している。

また、ログ情報収集部１２１は、悪性の通信が既知であるログ情報を収集する。例えば、ログ情報収集部１２１は、囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４が攻撃を検知した場合には、検知した通信のログ情報を悪性の通信のログ情報として収集する。そして、ログ情報収集部１２１は、収集したログ情報を通信日時の順に採番し、悪性の通信を示す情報とともにログ情報記憶部１３１に格納する（図５参照）。また、ログ情報収集部１２１は、囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４等が攻撃として検知しなかった通信のログ情報を、良性の通信のログ情報として収集する。そして、ログ情報収集部１２１は、収集したログ情報を通信日時の順に採番し、良性の通信を示す情報とともにログ情報記憶部１３１に格納する（図５参照）。

なお、ここでは、攻撃として検知されなかった通信のログ情報を、良性の通信のログ情報として収集する場合を説明したが、実施形態はこれに限定されるものではない。例えば、ログ情報収集部１２１は、悪性の通信とは別に、良性の通信であるか否かを判定する処理が行われた後に、良性の通信であると判定された通信のログ情報を収集してもよい。言い換えると、ログ情報収集部１２１は、良性の通信が既知であるログ情報を収集してもよいし、良性の通信が既知でなくとも、悪性の通信ではない通信を良性の通信のログ情報として収集してもよい。すなわち、ログ情報収集部１２１は、少なくとも、悪性の通信が既知であるログ情報を収集する。

また、ここでは、ログ情報収集部１２１が、囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４から自動的にログ情報を収集する場合を説明したが、実施形態はこれに限定されるものではない。例えば、ログ情報収集部１２１は、操作者による手動的なログ情報の登録を受け付けることで、ログ情報を収集しても良い。この場合、情報収集配信サーバ１０は、囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４と接続されていなくても良い。また、ログ情報収集部１２１は、悪性の通信が未知であるログ情報を収集する場合もある。

ログ情報解析部１２２は、ログ情報を解析する。例えば、ログ情報解析部１２２は、ログ情報記憶部１３１が登録されると、ログ情報記憶部１３１から所定の期間におけるログ情報を取得する。そして、ログ情報解析部１２２は、取得したログ情報を、通信元ＩＰアドレスごとに解析し、解析情報を生成する。そして、ログ情報解析部１２２は、生成した解析情報を解析情報記憶部１３２に格納する。

例えば、ログ情報解析部１２２は、通信元ＩＰアドレスごとに、通信先ＩＰアドレスを集計する。そして、ログ情報解析部１２２は、通信先ＩＰアドレスが１つある場合には、そのＩＰアドレスを解析情報記憶部１３２に登録する。また、ログ情報解析部１２２は、通信先ＩＰアドレスが複数ある場合には、解析情報記憶部１３２に「＊」を登録する。また、例えば、ログ情報解析部１２２は、通信元ＩＰアドレスごとに通信回数を計数し、計数した値を解析情報記憶部１３２に登録する。また、ログ情報解析部１２２は、通信元ＩＰアドレスごとに各種の統計値（通信間隔（平均）、通信間隔（標準偏差）、通信量（平均）、通信量（標準偏差）等）を算出し、算出した値を解析情報記憶部１３２に登録する。なお、ログ情報解析部１２２によって解析される解析方法は、例えば、操作者によって予め設定されている。

通信ログ抽出部１２３は、抽出条件記憶部１３３を参照し、収集されたログ情報からその条件に適合する通信を抽出する。例えば、通信ログ抽出部１２３は、解析情報記憶部１３２に解析情報が登録されると、抽出条件記憶部１３３を参照し、手順１の条件を取得する。そして、通信ログ抽出部１２３は、取得した条件に適合するトラヒックログを解析情報から抽出する。そして、通信ログ抽出部１２３は、抽出したトラヒックログに悪性トラヒックログが存在するか否かを判定する。

ここで、悪性トラヒックログが存在する場合には、通信ログ抽出部１２３は、抽出条件に未取得の条件が無くなるまで、上述した処理を繰り返し行う。そして、抽出条件に未取得の条件が無くなると、通信ログ抽出部１２３は、抽出に用いた抽出条件及び抽出されたトラヒックログを示す情報を含む抽出結果を抽出条件決定部１２４へ送る。一方、悪性トラヒックログが存在しない場合には、通信ログ抽出部１２３は、その旨の情報を抽出条件決定部１２４へ送る。なお、通信ログ抽出部１２３の詳細な説明は、適用例を挙げて後述する。

抽出条件決定部１２４は、抽出された通信に対する悪性の通信の割合が閾値以上である場合に、抽出条件を採用することを決定する。例えば、抽出条件決定部１２４は、通信ログ抽出部１２３によって抽出された抽出結果を受け付けると、抽出された全てのトラヒックログに対する悪性トラヒックログの割合が閾値以上であるか否かを判定する。ここで、抽出条件決定部１２４は、閾値以上である場合には、通信ログ抽出部１２３で抽出に用いられた抽出条件を採用することを決定する。そして、抽出条件決定部１２４は、決定した抽出条件を出力制御部１２５へ送る。なお、この閾値は、操作者によって予め設定されてもよいし、本機能によって機械的に設定されてもよい。

一方、抽出条件決定部１２４は、閾値以上でない場合、若しくは、悪性トラヒックログが存在しない旨の情報を通信ログ抽出部１２３から受け付けた場合には、抽出条件を不採用とすることを決定する。そして、抽出条件決定部１２４は、抽出条件を不採用とした旨の情報を出力制御部１２５へ送る。なお、抽出条件決定部１２４の詳細な説明は、適用例を挙げて後述する。

出力制御部１２５は、採用された結果を出力する制御を行う。例えば、出力制御部１２５は、決定した抽出条件を抽出条件決定部１２４から受け付けると、受け付けた抽出条件を操作者に通知する。また、例えば、出力制御部１２５は、抽出条件を不採用とした旨の情報を抽出条件決定部１２４から受け付けると、受け付けた不採用の旨の情報を操作者に通知する。

（情報収集配信サーバの処理）
図７は、第１の実施形態に係る情報収集配信サーバ１０の処理手順を説明するためのフローチャートである。

図７に示すように、ログ情報収集部１２１は、悪性の通信が既知であるログ情報を収集する（ステップＳ１０１）。続いて、ログ情報解析部１２２は、ログ情報を解析し、解析情報を生成する（ステップＳ１０２）。例えば、ログ情報解析部１２２は、図５に示した解析情報を生成する。

続いて、通信ログ抽出部１２３は、抽出に用いる条件の順序として、ｎ＝１を設定し（ステップＳ１０３）、抽出条件から手順ｎ＝１の条件を取得する（ステップＳ１０４）。そして、通信ログ抽出部１２３は、取得した条件に適合するトラヒックログを解析情報のトラヒックログから抽出する（ステップＳ１０５）。そして、通信ログ抽出部１２３は、抽出したトラヒックログに悪性トラヒックログが存在するか否か判定する（ステップＳ１０６）。

ここで、悪性トラヒックログが存在する場合には（ステップＳ１０６肯定）、通信ログ抽出部１２３は、抽出条件に未取得の条件があるか否か判定する（ステップＳ１０７）。未取得の条件がある場合には（ステップＳ１０７肯定）、通信ログ抽出部１２３は、ｎを１インクリメントさせ（ステップＳ１０８）、抽出条件から手順ｎの条件を取得する（ステップＳ１０９）。そして、通信ログ抽出部１２３は、手順ｎ−１までに適合したトラヒックログのうち、手順ｎの条件に適合するトラヒックログを抽出する（ステップＳ１１０）。そして、通信ログ抽出部１２３は、ステップＳ１０６の処理に戻る。

一方、ステップＳ１０７において、未取得の条件がない場合には（ステップＳ１０７否定）、通信ログ抽出部１２３は、抽出結果を抽出条件決定部１２４へ送る。この抽出結果には、少なくとも、抽出に用いた抽出条件と、それまでの処理で抽出された全てのトラヒックログを示す情報が含まれる。そして、抽出条件決定部１２４は、抽出結果を受け付けると、抽出されたトラヒックログに対する悪性トラヒックログの割合が閾値以上であるか否かを判定する（ステップＳ１１１）。ここで、閾値以上である場合には（ステップＳ１１１肯定）、抽出条件決定部１２４は、通信ログ抽出部１２３で抽出に用いられた抽出条件を採用することを決定する（ステップＳ１１２）。そして、抽出条件決定部１２４は、決定した抽出条件を出力制御部１２５へ送る。

一方、閾値以上でない場合には（ステップＳ１１１否定）、抽出条件決定部１２４は、抽出条件を不採用とすることを決定する（ステップＳ１１３）。そして、抽出条件決定部１２４は、抽出条件を不採用とした旨の情報を出力制御部１２５へ送る。

また、ステップＳ１０６において、悪性トラヒックログが存在しない場合には（ステップＳ１０６否定）、通信ログ抽出部１２３は、悪性トラヒックログが存在しない旨の情報を抽出条件決定部１２４へ送る。そして、抽出条件決定部１２４は、抽出条件を不採用とすることを決定する（ステップＳ１１３）。そして、抽出条件決定部１２４は、抽出条件を不採用とした旨の情報を出力制御部１２５へ送る。

そして、出力制御部１２５は、決定された結果を出力する（ステップＳ１１４）。例えば、出力制御部１２５は、採用された抽出条件を抽出条件決定部１２４から受け付けると、受け付けた抽出条件を操作者に通知する。また、例えば、出力制御部１２５は、抽出条件を不採用とした旨の情報を抽出条件決定部１２４から受け付けると、受け付けた不採用の旨の情報を操作者に通知する。

（適用例）
図８〜図１０は、第１の実施形態に係る情報収集配信サーバ１０の適用例を説明するための図である。ここでは、情報収集配信サーバ１０が、図５に示した解析情報を用いて、図８〜図１０に示した各抽出条件ａ〜ｃを採用するか否かを決定する場合の処理を説明する。なお、ここでは、抽出条件決定部１２４は、抽出された全てのトラヒックログに対する悪性トラヒックログの割合が９５％以上である場合に、抽出に用いた抽出条件を採用することを決定する場合を説明する。

図８を用いて、抽出条件ａを採用するか否かを決定する場合の処理を説明する。この場合、通信ログ抽出部１２３は、抽出条件記憶部１３３の抽出条件ａから手順１の条件「通信回数が３００回以上」を取得する。そして、通信ログ抽出部１２３は、図５のトラヒックログから、条件「通信回数が３００回以上」に適合するトラヒックログを抽出する。ここで、条件「通信回数が３００回以上」に適合するトラヒックログは、番号「３」、「４」のトラヒックログである。このため、通信ログ抽出部１２３は、番号「３」、「４」のトラヒックログを抽出する。

続いて、通信ログ抽出部１２３は、抽出したトラヒックログに悪性トラヒックログが存在するか否かを判定する。ここで、抽出されたトラヒックログのうち、番号「３」は、悪性トラヒックログである。このため、通信ログ抽出部１２３は、抽出条件に未取得の条件があるか否かを判定する。ここで、図８の抽出条件ａには、手順１以外の条件は存在しないので、通信ログ抽出部１２３は、抽出に用いた抽出条件ａと、抽出された番号「３」、「４」のトラヒックログを抽出条件決定部１２４に送る。

そして、抽出条件決定部１２４は、抽出された全てのトラヒックログに対する悪性トラヒックログの割合が９５％以上であるか否かを判定する。ここで、抽出されたトラヒックログのうち、番号「３」は悪性トラヒックログであり、番号「４」は良性トラヒックログである（図５参照）。つまり、この場合、抽出された全てのトラヒックログに対する悪性トラヒックログの割合は５０％であるので、抽出条件決定部１２４は、抽出条件ａを不採用と決定する。このように、図８の抽出条件ａは、不採用と決定される。

図９を用いて、抽出条件ｂを採用するか否かを決定する場合の処理を説明する。この場合、通信ログ抽出部１２３は、抽出条件記憶部１３３の抽出条件ｂから手順１の条件「１つの通信元ＩＰアドレスからの通信先ＩＰアドレスが２以上」を取得する。そして、通信ログ抽出部１２３は、図５のトラヒックログから、取得した条件に適合するトラヒックログを抽出する。ここで、条件「１つの通信元ＩＰアドレスからの通信先ＩＰアドレスが２以上」に適合するトラヒックログは、番号「１」、「３」、「６」、「７」のトラヒックログである。このため、通信ログ抽出部１２３は、番号「１」、「３」、「６」、「７」のトラヒックログを抽出する。

続いて、通信ログ抽出部１２３は、抽出したトラヒックログに悪性トラヒックログが存在するか否かを判定する。ここで、抽出されたトラヒックログのうち、番号「１」、「３」は、悪性トラヒックログである。このため、通信ログ抽出部１２３は、抽出条件に未取得の条件があるか否かを判定する。ここで、図８の抽出条件ｂには、手順２の条件が存在するので、通信ログ抽出部１２３は、手順２の条件「通信回数が３００回以上」を取得する。そして、通信ログ抽出部１２３は、手順ｎ−１までに適合したトラヒックログのうち、条件「通信回数が３００回以上」に適合するトラヒックログを抽出する。ここで、手順１の条件で抽出した番号「１」、「３」、「６」、「７」のトラヒックログのうち、手順２の条件「通信回数が３００回以上」に適合するトラヒックログは、番号「３」のトラヒックログである。このため、通信ログ抽出部１２３は、番号「３」のトラヒックログを抽出する。

ここで、抽出条件ｂには、これ以上条件は存在しないので、通信ログ抽出部１２３は、抽出に用いた抽出条件ｂと、抽出された番号「３」のトラヒックログを抽出条件決定部１２４に送る。

抽出条件決定部１２４は、抽出された全てのトラヒックログに対する悪性トラヒックログの割合が９５％以上であるか否かを判定する。ここで、抽出されたトラヒックログのうち、番号「３」は悪性トラヒックログである（図５参照）。つまり、この場合、抽出された全てのトラヒックログに対する悪性トラヒックログの割合は１００％であるので、抽出条件決定部１２４は、抽出条件ｂを採用すると決定する。このように、図９の抽出条件ｂは、採用と決定される。なお、抽出条件ｂによれば、例えば、Ｄｄｏｓ攻撃を検出することができる。

図１０を用いて、抽出条件ｃを採用するか否かを決定する場合の処理を説明する。この場合、通信ログ抽出部１２３は、抽出条件記憶部１３３の抽出条件ｃから手順１の条件「通信間隔（標準偏差）が５以下」を取得する。そして、通信ログ抽出部１２３は、図５のトラヒックログから、取得した条件に適合するトラヒックログを抽出する。ここで、条件「通信間隔（標準偏差）が５以下」に適合するトラヒックログは、番号「１」、「５」のトラヒックログである。このため、通信ログ抽出部１２３は、番号「１」、「５」のトラヒックログを抽出する。

続いて、通信ログ抽出部１２３は、抽出したトラヒックログに悪性トラヒックログが存在するか否かを判定する。ここで、抽出されたトラヒックログのうち、番号「１」、「５」は、悪性トラヒックログである。このため、通信ログ抽出部１２３は、抽出条件に未取得の条件があるか否かを判定する。ここで、図８の抽出条件ｃには、手順２の条件が存在するので、通信ログ抽出部１２３は、手順２の条件「１つの通信元ＩＰアドレスからの通信先ＩＰアドレスが２以上」を取得する。そして、通信ログ抽出部１２３は、手順ｎ−１までに適合した番号「１」、「５」のトラヒックログのうち、条件「１つの通信元ＩＰアドレスからの通信先ＩＰアドレスが２以上」に適合する番号「１」のトラヒックログを抽出する。

ここで、抽出条件ｃには、これ以上条件は存在しないので、通信ログ抽出部１２３は、抽出に用いた抽出条件ｃと、抽出された番号「１」のトラヒックログを抽出条件決定部１２４に送る。

抽出条件決定部１２４は、抽出された全てのトラヒックログに対する悪性トラヒックログの割合が９５％以上であるか否かを判定する。ここで、抽出されたトラヒックログのうち、番号「１」は悪性トラヒックログである（図５参照）。つまり、この場合、抽出された全てのトラヒックログに対する悪性トラヒックログの割合は１００％であるので、抽出条件決定部１２４は、抽出条件ｃを採用すると決定する。このように、図１０の抽出条件ｃは、採用と決定される。なお、抽出条件ｃによれば、一定間隔で複数の通信先にアクセスするトラヒックログを特定できるので、マルウェアが通信時に到達可能なサーバを探索する挙動を発見することができる。

（第１の実施形態の効果）
上述してきたように、情報収集配信サーバ１０において、抽出条件記憶部１３３は、通信のログ情報から悪性の通信を抽出するための条件が定義された抽出条件を記憶する。また、ログ情報収集部１２１は、悪性の通信が既知であるログ情報を収集する。また、通信ログ抽出部１２３は、抽出条件記憶部１３３を参照し、収集されたログ情報からその条件に適合する通信を抽出する。また、抽出条件決定部１２４は、抽出された通信に対する悪性の通信の割合が閾値以上である場合に、抽出条件を採用することを決定する。また、出力制御部１２５は、決定された結果を出力する制御を行う。このため、第１の実施形態に係る情報収集配信サーバ１０は、誤検知を抑制することができる。

例えば、情報収集配信サーバ１０は、悪性の通信を抽出する条件が適宜された抽出条件を用いて、悪性の通信が既知のログ情報から抽出する。そして、情報収集配信サーバ１０は、抽出された通信に対する悪性の通信の割合が閾値（例えば、９５％等）を超える場合に、用いた抽出条件を採用することを決定する。このため、情報収集配信サーバ１０は、良性の通信が混在し難い抽出条件を採用することができるので、良性の通信が悪性と誤検知されるのを抑制しつつ、悪性の通信の検出を行うことができる。

（第１の実施形態の変形例）
上述した処理によって採用された抽出条件を用いることで、情報収集配信サーバ１０は、悪性の通信が未知であるログ情報から悪性の通信を検出することができる。

図１１は、第１の実施形態の変形例に係る情報収集配信サーバ１０の処理手順を説明するためのフローチャートである。なお、図１１では、通信ログ抽出部１２３は、抽出条件決定部１２４によって採用された抽出条件も用いて悪性トラヒックログを抽出する。

図１１に示すように、ログ情報収集部１２１は、悪性の通信が未知であるログ情報を収集する（ステップＳ２０１）。続いて、ログ情報解析部１２２は、ログ情報を解析し、解析情報を生成する（ステップＳ２０２）。

続いて、通信ログ抽出部１２３は、ｎ＝１を設定し（ステップＳ２０３）、抽出条件から手順ｎ＝１の条件を取得する（ステップＳ２０４）。そして、通信ログ抽出部１２３は、取得した条件に適合するトラヒックログを解析情報のトラヒックログから抽出する（ステップＳ２０５）。

そして、通信ログ抽出部１２３は、抽出条件に未取得の条件があるか否か判定する（ステップＳ２０６）。未取得の条件がある場合には（ステップＳ２０６肯定）、通信ログ抽出部１２３は、ｎを１インクリメントさせ（ステップＳ２０７）、抽出条件から手順ｎの条件を取得する（ステップＳ２０８）。そして、通信ログ抽出部１２３は、手順ｎ−１までに適合したトラヒックログのうち、手順ｎの条件に適合するトラヒックログを抽出する（ステップＳ２０９）。そして、通信ログ抽出部１２３は、ステップＳ２０６の処理に戻る。

一方、ステップＳ２０６において、未取得の条件がない場合には（ステップＳ２０６否定）、通信ログ抽出部１２３は、抽出結果を出力制御部１２５へ送る。そして、出力制御部１２５は、抽出結果を出力する（ステップＳ２１０）。

このように、情報収集配信サーバ１０は、抽出条件決定部１２４によって採用された抽出条件を用いて、悪性の通信が未知であるログ情報から悪性の通信を検出することができる。このため、情報収集配信サーバ１０は、検出した悪性の通信の特徴を示す特徴情報をログ情報から抽出し、これを囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４、ユーザ端末３１、３２、ユーザサーバ３３、３４等の各通信監視装置に配信することができる。この場合、通信監視装置は、配信された特徴情報と一致する通信をネットワークにおける通信から検知することが可能となる。

また、例えば、情報収集配信サーバ１０は、ネットワーク２で収集されたログ情報を使って抽出条件を決定し、その抽出条件で抽出された特徴情報を、ネットワーク２の通信を監視する通信監視装置（囮サーバ２１、囮端末２２、端末型サンドボックス２３、サーバ型サンドボックス２４）に適用することができる。これによれば、情報収集配信サーバ１０は、ネットワーク２のログ情報に基づく特徴情報を、ネットワーク２の監視に適用できるので、より正確な攻撃検知が期待される。なお、これに限らず、情報収集配信サーバ１０は、ネットワーク２のログ情報に基づく特徴情報を、他のネットワークの監視に適用しても良い。

（その他の実施形態）
さて、これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、種々の異なる形態にて実施されてよいものである。

（良性の通信を用いた処理）
例えば、上記の実施形態では、抽出された通信に対する悪性の通信の割合が閾値以上である場合に、抽出に用いた抽出条件を採用する場合を説明したが、実施形態はこれに限定されるものではない。例えば、実施形態は、抽出された通信に対する良性の通信の割合が閾値以上である場合に、抽出に用いた抽出条件を採用しない場合であっても良い。すなわち、抽出条件決定部１２４は、抽出された通信に対する特定種類の通信の割合が閾値以上であるか否かに応じて、抽出に用いた抽出条件を採用するか否かを決定する。

（システム構成）
また、本実施形態において説明した各処理の内、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上述文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。

（プログラム）
上記実施形態で説明した情報収集配信サーバ１０は、あらかじめ用意されたプログラムをコンピュータで実行することで実現することもできる。そこで、以下では、図２に示した情報収集配信サーバ１０と同様の機能を実現する抽出条件決定プログラムを実行するコンピュータの一例を説明する。

図１２は、抽出条件決定プログラムを実行するコンピュータ１０００を示す図である。図１２に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図１２に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１２に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図１２に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。

ここで、図１２に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のデータ処理プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各手順を実行する。

なお、抽出条件決定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、データ処理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

これらの実施例やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０ 情報収集配信サーバ
１２ 制御部
１３ 記憶部
１２１ ログ情報収集部
１２３ 通信ログ抽出部
１２４ 抽出条件決定部
１２５ 出力制御部
１３３ 抽出条件記憶部

Claims (8)

1. 抽出条件決定装置で実行される抽出条件決定方法であって、
   所定の期間における悪性の通信と良性の通信とが混在する通信のログ情報であって、悪性の通信が既知であるログ情報を収集する収集工程と、
   前記ログ情報における通信元ごとに解析し、該通信元ごとの所定の項目の統計値を含む解析情報を生成する解析工程と、
   前記ログ情報から悪性の通信を抽出するための条件が定義された抽出条件を記憶する記憶部を参照し、前記解析情報から当該条件に適合する通信を抽出する抽出工程と、
   抽出された全ての通信に対する前記悪性の通信の割合が閾値以上であるか否かを判定し、前記全ての通信に対する前記悪性の通信の割合が閾値以上である場合に、当該抽出条件を採用することを決定する決定工程と、
   採用された抽出条件を出力する制御を行う出力制御工程と
   を含んだことを特徴とする抽出条件決定方法。
2. 前記記憶部は、前記条件が複数定義された抽出条件を記憶し、
   前記抽出工程は、前記複数の条件に適合する通信を前記ログ情報から抽出することを特徴とする請求項１に記載の抽出条件決定方法。
3. 前記記憶部は、前記複数の条件が所定の順序で定義された抽出条件を記憶し、
   前記抽出工程は、前記複数の条件に所定の順序で適合する通信を前記ログ情報から抽出することを特徴とする請求項２に記載の抽出条件決定方法。
4. 前記収集工程は、前記ログ情報として、前記悪性の通信が未知である未知ログ情報を収集し、
   前記抽出工程は、前記未知ログ情報から前記条件に適合する通信を抽出し、
   前記出力制御工程は、前記未知ログ情報から抽出された通信の特徴を示す特徴情報を、ネットワークにおける通信を監視する通信監視装置に出力することで、前記通信監視装置に前記特徴情報と一致する通信を検知させることを特徴とする請求項１〜３のいずれか一つに記載の抽出条件決定方法。
5. 通信監視装置と、抽出条件決定装置とを備えた通信監視システムであって、
   前記通信監視装置は、ネットワークにおける通信を監視し、
   前記抽出条件決定装置は、
   通信のログ情報から特定種類の通信を抽出するための条件が定義された抽出条件を記憶する記憶部と、
   所定の期間における通信のログ情報であって、特定種類の通信が既知であるログ情報を前記通信監視装置から収集する収集部と、
   前記記憶部を参照し、収集されたログ情報から前記条件に適合する通信を抽出する抽出部と、
   抽出された通信に対する前記特定種類の通信の割合が閾値以上である場合に、当該抽出条件を採用することを決定する決定部と、
   採用された抽出条件を出力する制御を行う出力制御部と
   を備えたことを特徴とする通信監視システム。
6. 前記収集部は、前記ログ情報として、前記特定種類の通信が未知である未知ログ情報を収集し、
   前記抽出部は、前記未知ログ情報から前記条件に適合する通信を抽出し、
   前記出力制御部は、前記未知ログ情報から抽出された通信の特徴を示す特徴情報を前記通信監視装置に出力し、
   前記通信監視装置は、出力された特徴情報と一致する通信を前記ネットワークにおける通信から検知することを特徴とする請求項５に記載の通信監視システム。
7. 通信のログ情報から特定種類の通信を抽出するための条件が定義された抽出条件を記憶する記憶部と、
   所定の期間における悪性の通信と良性の通信とが混在する通信のログ情報であって、悪性の通信が既知であるログ情報を収集する収集部と、
   前記ログ情報における通信元ごとに解析し、該通信元ごとの所定の項目の統計値を含む解析情報を生成する解析部と、
   前記記憶部を参照し、前記解析情報から前記条件に適合する通信を抽出する抽出部と、
   抽出された全ての通信に対する前記悪性の通信の割合が閾値以上であるか否かを判定し、前記全ての通信に対する前記悪性の通信の割合が閾値以上である場合に、当該抽出条件を採用することを決定する決定部と、
   採用された抽出条件を出力する制御を行う出力制御部と
   を備えたことを特徴とする抽出条件決定装置。
8. 所定の期間における悪性の通信と良性の通信とが混在する通信のログ情報であって、悪性の通信が既知であるログ情報を収集する収集ステップと、
   前記ログ情報における通信元ごとに解析し、該通信元ごとの所定の項目の統計値を含む解析情報を生成する解析ステップと、
   前記ログ情報から特定種類の通信を抽出するための条件が定義された抽出条件を記憶する記憶部を参照し、前記解析情報から当該条件に適合する通信を抽出する抽出ステップと、
   抽出された全ての通信に対する前記悪性の通信の割合が閾値以上であるか否かを判定し、前記全ての通信に対する前記悪性の通信の割合が閾値以上である場合に、当該抽出条件を採用することを決定する決定ステップと、
   採用された抽出条件を出力する制御を行う出力制御ステップと
   をコンピュータに実行させるための抽出条件決定プログラム。

Images