JP6288244B2 - 情報処理装置、影響過程抽出方法およびプログラム - Google Patents

情報処理装置、影響過程抽出方法およびプログラム Download PDF

Info

Publication number
JP6288244B2
JP6288244B2 JP2016508307A JP2016508307A JP6288244B2 JP 6288244 B2 JP6288244 B2 JP 6288244B2 JP 2016508307 A JP2016508307 A JP 2016508307A JP 2016508307 A JP2016508307 A JP 2016508307A JP 6288244 B2 JP6288244 B2 JP 6288244B2
Authority
JP
Japan
Prior art keywords
time
abnormality
information
relationship
graph
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2016508307A
Other languages
English (en)
Other versions
JPWO2015140843A1 (ja
Inventor
崇志 野村
崇志 野村
弘司 喜田
弘司 喜田
純平 上村
純平 上村
純明 榮
純明 榮
悦子 勝田
悦子 勝田
和彦 磯山
和彦 磯山
健太郎 山崎
健太郎 山崎
佑嗣 小林
佑嗣 小林
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Publication of JPWO2015140843A1 publication Critical patent/JPWO2015140843A1/ja
Application granted granted Critical
Publication of JP6288244B2 publication Critical patent/JP6288244B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3447—Performance evaluation by modeling
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3476—Data logging
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0677—Localisation of faults
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/875—Monitoring of systems including the internet
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/12—Discovery or management of network topologies

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Computing Systems (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Evolutionary Biology (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Debugging And Monitoring (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

本発明は、情報処理装置、影響過程抽出方法および記録媒体に関する。
大規模なネットワークシステムにおいて、ある箇所で異常が検知された場合、当該異常の原因箇所がどこか、および、当該異常の影響範囲はどこかを、特定することは難しい。
したがって、上記異常が検知された場合、上記原因箇所および影響範囲の特定には、人手による上記ネットワークシステムに含まれるホスト等のログの解析が必要であった。したがって、上記原因箇所および影響範囲の特定は、多大な工数がかかるという問題があった。また、上記原因箇所および影響範囲の特定には、上記解析を行う作業者の能力に依存してしまうという問題があった。
特許文献１には、監視対象ネットワーク内の機器で生成されたログに基づいて、複数種の評価パラメータを用いて、監視対象ネットワークに対する攻撃の攻撃元と攻撃経路を推定する攻撃判定装置が記載されている。
また、特許文献２には、ネットワークに潜在するサービス間の依存関係を形式的に表現した依存関係グラフを利用して、障害箇所を検出する方法が記載されている。その方法は、依存関係グラフ上における、依存関係を辿り、障害の原因となる、あるいは、障害が影響を与えるネットワーク機器上のサービスの集合を抽出・限定することにより障害箇所を検出する方法である。
特開２０１０−１５２７７３号公報 特開平１１−２５９３３１号公報
しかしながら、上述の技術では、異常が検知された箇所（障害の発見箇所）が一か所の場合を想定しており、複数の箇所で異常が発見される場合については、開示されていない。したがって、複数箇所での異常が発見された場合、異常の影響過程を検出できない可能性がある。
本発明は、上記課題に鑑みてなされたものであり、その目的は、複数箇所で異常が発見された場合であっても、より好適に異常の影響過程を抽出する情報処理装置を提供することにある。
本発明の一態様に係る情報処理装置は、システムに含まれる複数の要素間の関係を表す関係グラフ、および、異常が検知された前記システム上の位置を示す情報であって、当該関係グラフ上の複数の位置を示す位置情報を用いて、前記複数の位置の夫々を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、到達範囲として抽出する到達範囲抽出手段と、前記到達範囲として抽出された前記関係グラフ上の複数の経路のうち、所定数以上の経路で共通する範囲を抽出することにより、異常の影響過程を抽出する共通範囲抽出手段と、を備える。
本発明の一態様に係る情報処理装置は、システムに含まれる複数の要素間の関係を表す関係グラフ、および、異常が検出された前記システム上の位置を示す情報であって、当該関係グラフ上の位置を示す位置情報を取得する取得手段と、当該取得手段が取得した前記関係グラフおよび前記位置情報を用いて、前記位置を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、異常の影響過程として抽出する到達範囲抽出手段と、を備える。
本発明の一態様に係る影響過程抽出方法は、システムに含まれる複数の要素間の関係を表す関係グラフ、および、異常が検知された前記システム上の位置を示す情報であって、当該関係グラフ上の複数の位置を示す位置情報を用いて、前記複数の位置の夫々を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、到達範囲として抽出し、前記到達範囲として抽出された前記関係グラフ上の複数の経路のうち、所定数以上の経路で共通する範囲を抽出することにより、異常の影響過程を抽出する。
本発明の一態様に係る影響過程抽出方法は、情報処理装置の影響過程抽出方法であって、システムに含まれる複数の要素間の関係を表す関係グラフ、および、異常が検出された前記システム上の位置を示す情報であって、当該関係グラフ上の位置を示す位置情報を取得し、前記取得した前記関係グラフおよび前記位置情報を用いて、前記位置を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、異常の影響過程として抽出する。
なお、上記情報処理装置または上記影響過程抽出方法を、コンピュータによって実現するコンピュータプログラム、およびそのコンピュータプログラムが格納されている、コンピュータ読み取り可能な記憶媒体も、本発明の範疇に含まれる。
本発明によれば、複数箇所で異常が発見された場合であっても、より好適に異常の影響過程を抽出することができる。
本発明の第１の実施の形態に係る情報処理装置の機能構成の一例を示す機能ブロック図である。 本発明の第１の実施の形態に係る情報処理システムの構成の一例を示すブロック図である。 本発明の第１の実施の形態に係る情報処理装置で使用する関係グラフの一例を示す図である。 本発明の第１の実施の形態に係る情報処理装置で使用する関係グラフで表される要素間の関係を示す概念図である。 本発明の第１の実施の形態に係る情報処理装置の動作を説明するための図である。 本発明の第２の実施の形態に係る情報処理装置の機能構成の一例を示す機能ブロック図である。 本発明の第２の実施の形態に係る情報処理装置の動作を説明するための図である。 本発明の第３の実施の形態に係る監視対象システムに含まれる要素の間の時間軸に対する関係を説明するための図である。 本発明の第３の実施の形態に係る情報処理装置で使用する関係グラフの一例を示す図である。 本発明の第３の実施の形態に係る情報処理装置の機能構成の一例を示す機能ブロック図である。 本発明の第３の実施の形態の変形例に係る情報処理装置で使用する関係グラフの一例を示す図である。 本発明の第３の実施の形態の変形例に係る情報処理装置の機能構成の一例を示す機能ブロック図である。 本発明の第４の実施の形態に係る情報処理装置の機能構成の一例を示す機能ブロック図である。 本発明の各実施形態に係る情報処理システムを実現可能な情報処理装置のハードウェア構成の一例を示す図である。
＜第１の実施の形態＞
本発明の第１の実施の形態について、図面を参照して詳細に説明する。図１は、本発明の第１の実施の形態に係る情報処理装置１００の構成の一例を示す図である。図１に示す通り、情報処理装置１００は、到達範囲抽出部１１０と、共通範囲抽出部１２０とを備えている。
ここで、図２を参照して、情報処理装置１００を含む情報処理システム１について説明を行う。図２は、本実施の形態に係る情報処理システム１の構成の一例を示す図である。図２に示す通り、情報処理システム１は、情報処理装置１００と監視対象システム（単に「システム」とも呼ばれる）９００とを備えている。情報処理装置１００と監視対象システム９００とは、図示しないネットワークで接続されている。なお、図２の例に係わらず、複数の監視対象システム９００が、情報処理装置１００に接続されてよい。
監視対象システム９００は、複数の要素９２０を含む。そして、その要素９２０のそれぞれは、他のその要素９２０のそれぞれと何らかの関係を有する。
例えば、監視対象システム９００は、ネットワークで接続された複数のホスト（不図示）を含み、そのホスト上でプロセス（不図示）が動作する、情報処理システムである。
また、監視対象システム９００は、ソーシャルネットワークであってよい。
また、監視対象システム９００は、何らかの構造を有するデータアイテム（要素９２０）の集合であってもよい。何らかの構造を有するデータアイテムの集合は、例えば、ハイパーリンクと被ハイパーリンクとの関係を有するファイルの集合である。
以上の例に関わらず、監視対象システム９００は、任意のシステムであってよい。
次に、情報処理装置１００の各部について説明する。
（到達範囲抽出部１１０）
到達範囲抽出部１１０は、監視対象システム９００に含まれる複数のノード（要素とも呼ばれる）間の関係を表す関係グラフと、当該関係グラフ上の複数の位置を示す情報（位置情報）とを、図示しない外部装置から受信する。この位置情報は、異常が検知された監視対象システム９００上の位置を示す情報である。なお、到達範囲抽出部１１０は、上記関係グラフと、上記位置情報とを、情報処理装置１００内の図示しない他の手段から取得する構成であってもよい。上記関係グラフおよび上記位置情報を取得する方法は、特に限定されない。
ここで、関係グラフについて、図３および４を参照して説明する。図３は、監視対象システム９００に含まれる複数の要素間の関係を表す関係グラフの一例を示す図である。
関係グラフは、要素９２０のそれぞれを頂点（要素あるいは節点とも呼ばれる）とし、および、それらの要素９２０間の関係を辺（リンク、エッジ或いは枝とも呼ばれる）とする、グラフである。関係グラフは、監視対象システム９００内の要素９２０間の関係を表す。ここで、その関係は、例えば、「ある期間に、要素間でデータが伝達された」というデータ伝達関係や、「ある瞬間（または期間）に、要素間でデータ伝達が行われうる状態である」というデータ伝達関係などである。図３に示すように、関係グラフは、頂点識別子と辺とを含むレコードからなる。頂点識別子は、頂点となる要素９２０の識別子である。辺は、頂点識別子のそれぞれで特定される頂点（要素９２０）と、他の頂点（要素９２０）との関係を示す情報である。
例えば、頂点識別子の「Ｅ１」は、識別子が「Ｅ１」である要素９２０を特定する。そして、頂点識別子「Ｅ１」に対応する辺の「Ｅ２；Ｌ０、 Ｅ３；Ｌ１；Ｌ１」は、以下のことを示す。第１に、要素９２０「Ｅ１」は、要素９２０「Ｅ２」との関係を表す辺を有し、その辺の属性は、「Ｌ０」である。第２に、要素９２０「Ｅ１」は、要素９２０「Ｅ３」との関係を表す２つの辺を有し、それら辺の属性は、いずれも「Ｌ１」である。
例えば、頂点識別子が「Ｅ４」のレコードにおいて、辺が空欄であることは、要素９２０「Ｅ４」は、他のいずれの要素９２０に対しても、辺を持たない（関係しない）ことを示す。
辺は、例えば、その辺を有する要素９２０間において、通信を実行するための準備が完了している状態にあることを示す。辺の属性は、例えば、その辺において実行される通信の、プロトコルの種別を示す。尚、辺や辺の種別は、上述の例に限らず、要素９２０間の関係を示す、任意の定義であってよい。なお、関係グラフは、上述の例に係わらず任意の形式の関係グラフであってよい。
図４は、関係グラフで表される要素９２０間の、関係を示す概念図である。図４において、頂点は円形で示され、円形の中に頂点識別子が示されている。また、辺は円形を結ぶ線分で示されている。例えば、実線で示す線分は、種別が「Ｌ０」の辺を示す。一点鎖線で示す線分は、種別が「Ｌ１」の辺を示す。２点鎖線で示す線分は、種別が「Ｌ２」の辺を示す。また、矢印は、関係を生成する側から外へ向かう方向を示す。
なお、関係グラフは、上述の例に係わらず任意の形式で示されてよい。例えば、関係グラフは、隣接リストや隣接行列などのデータ構造をとってもよい。
次に、到達範囲抽出部１１０が取得する、位置情報について説明を行う。到達範囲抽出部１１０は、位置情報として、要素を示す情報および／または辺を示す情報を取得する。要素を示す情報とは、例えば、頂点識別子である。また、辺を示す情報としては、例えば、辺の両端に接続する頂点識別子で表される情報である。なお、位置情報はこれらに限定されるものではなく、関係グラフ上の位置を示す情報であればよい。
なお、本実施の形態において、異常が検知された監視対象システム９００上の位置とは、例えば、マルウェア等に感染したことが検知された監視対象システム９００上の位置であるが、本発明はこれに限定されるものではない。
図１に戻り、到達範囲抽出部１１０について説明する。到達範囲抽出部１１０は、位置情報で示される、関係グラフ上の位置の夫々を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を抽出する。到達範囲抽出部１１０は、例えば、バックトレースなどを用いて、各起点から到達する関係グラフ上の経路（当該起点と直接的または間接的に関係を有する範囲）を走査し、抽出する。ここで、バックトレースとは、関係グラフが有向グラフである場合に、有向辺を逆方向に辿ることである。なお、本実施の形態では、バックトレースを後方検索とも呼ぶ。
なお、上記経路の抽出方法は、上記に限定されるものではなく、例えば、ダイクストラ法などであってもよい。そして、到達範囲抽出部１１０は、上記異常が検知された関係グラフ上の位置ごとに抽出した関係グラフ上の経路（到達範囲）を、夫々、共通範囲抽出部１２０に供給する。
（共通範囲抽出部１２０）
共通範囲抽出部１２０は、到達範囲抽出部１１０から、異常が検知された関係グラフ上の位置ごとに抽出した関係グラフ上の経路を受け取る。そして、共通範囲抽出部１２０は、抽出された関係グラフ上の複数の経路のうち、所定数以上の経路で共通する範囲を抽出する。なお、抽出される共通範囲は、要素であってもよいし、辺であってもよいし、これらの集合であってもよい。そして、共通範囲抽出部１２０は、抽出される共通範囲から、異常の影響過程を抽出する。また、所定数以上の経路とは、全ての経路であってもよいし、予め定められた数または割合以上の経路であってもよい。
図５を参照して、情報処理装置１００の動作について、より具体的に説明する。図５は、情報処理装置１００の動作を説明するための図である。図５に示す図は、関係グラフの一例である。図５に示す関係グラフは、Ｅ１〜Ｅ２２、Ｃ１およびＣ２の頂点識別子で示される要素と要素間を接続する有向の線分（辺）とで構成されている。なお、説明の便宜上、Ｅ１〜Ｅ２２の頂点識別子で示される要素は円で示され、Ｃ１およびＣ２の頂点識別子で示される要素は、四角で示される。
ここで、異常が検知された関係グラフ上の位置を示す情報（位置情報）が、Ｃ１およびＣ２である場合、到達範囲抽出部１１０は、Ｃ１を起点として、Ｃ１から到達する関係グラフ上の経路を抽出する。そして、到達範囲抽出部１１０は、図５の一点鎖線で囲んだ範囲（経路）をＣ１から到達する到達範囲であると抽出する。
また、到達範囲抽出部１１０は、Ｃ２を起点として、Ｃ２から到達する関係グラフ上の経路（到達範囲）を抽出する。そして、到達範囲抽出部１１０は、図５の破線で囲んだ範囲をＣ２からの到達範囲であると抽出する。
そして、到達範囲抽出部１１０は、Ｃ１からの到達範囲を示す情報と、Ｃ２からの到達範囲を示す情報とを共通範囲抽出部１２０に供給する。
共通範囲抽出部１２０は、供給された２つの範囲で共通する範囲を抽出する。図５に示す通り、一点鎖線で囲んだ範囲と、破線で囲んだ範囲とで共通する範囲は、斜線で記載された要素（Ｅ１１〜Ｅ１４）を含む部分である。
共通範囲抽出部１２０は、抽出した共通範囲から、異常の影響過程を抽出する。例えば、図５において、Ｃ１からの到達範囲に含まれるＥ６は、Ｅ５とＥ１４との経路が想定される。ここで、共通範囲は、Ｅ１４であるため、共通範囲抽出部１２０は、Ｅ５とＥ１４との内、Ｅ６から異常の影響が及んでいる経路がＥ１４の経路であると抽出する。このように、共通範囲抽出部１２０は、抽出した共通範囲を用いて、異常の影響過程を抽出することができる。
なお、共通範囲抽出部１２０が共通範囲として抽出する範囲は、複数の要素であってもよいし、１つの要素であってもよい。また、共通範囲が複数の要素の場合、共通範囲抽出部１２０は、各要素間を接続する辺も共通範囲として抽出してもよい。
なお、本実施の形態では、異常が検知された関係グラフ上の位置が２つであることを例に説明を行ったが、本発明はこれに限定されるものではない。異常が検知された関係グラフ上の位置は複数であってもよい。また、本実施の形態においては、異常が検知された関係グラフ上の位置が、要素であることを例に説明を行ったが、本発明はこれに限定されるものではない。異常が検知された位置は、辺であってもよい。
（効果）
本実施の形態に係る情報処理装置１００によれば、複数箇所で異常が発見された場合であっても、より好適に異常の影響過程を抽出することができる。
なぜならば、到達範囲抽出部１１０が関係グラフと、異常が検知された監視対象システム９００上の位置を示す情報であって、当該関係グラフ上の複数の位置を示す位置情報を用いて、複数の位置の夫々を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる関係グラフ上の経路を、到達範囲として抽出するからである。そして、共通範囲抽出部１２０が、抽出された複数の経路であって、関係グラフ上の経路のうち、所定数以上の経路で共通する範囲を、抽出することにより、異常の影響過程を抽出するからである。
到達範囲抽出部１１０が、異常が検知された監視対象システム９００上の位置から関係グラフを用いて、当該位置から到達する範囲を抽出することにより、上記異常がシステムの、どの範囲に影響を与えた可能性があるのかを抽出することができる。
また、共通範囲抽出部１２０が、異常が検知された関係グラフ上の複数の位置の夫々からの経路のうち、所定数以上の経路で共通する範囲を抽出することにより、異常の影響過程を抽出することにより、容易に異常の影響過程を抽出することができる。
（変形例）
本実施の形態に係る情報処理装置１００は、異常が検知された関係グラフ上の複数の位置（図５ではＣ１、Ｃ２）から、バックトレースを行うことにより、異常が検知された位置から到達する到達範囲を抽出することを例に説明を行ったが、本発明はこれに限定されるものではない。情報処理装置１００の到達範囲抽出部１１０は、異常が検知された位置から、フォワードトレースを行うことにより、到達範囲を抽出してもよい。ここで、フォワードトレースとは、関係グラフが有向グラフである場合に、有向辺を正方向に辿ることである。以降、フォワードトレースを前方検索とも呼ぶ。
これにより、異常が検出された関係グラフ上の位置から、当該異常が影響を与える可能性がある範囲も、異常の影響過程として抽出することができる。したがって、本変形例に係る情報処理装置１００は、より好適に異常の影響過程を抽出することができる。
＜第２の実施の形態＞
本発明の第２の実施の形態について、図面を参照して詳細に説明する。なお、上述した第１の実施の形態で説明した図面に含まれる部材と同じ機能を有する部材については、同じ符号を付し、その詳細な説明を省略する。
図６は、本実施の形態に係る情報処理装置１０１の機能構成の一例を示す機能ブロック図である。図６に示す通り、情報処理装置１０１は、共通範囲抽出部１２０と、到達範囲抽出部１３０とを備えている。このように、本実施の形態に係る情報処理装置１０１は、図６に示す通り、第１の実施の形態に係る情報処理装置１００における到達範囲抽出部１１０に代えて、到達範囲抽出部１３０を備えている。
（到達範囲抽出部１３０）
到達範囲抽出部１３０は、監視対象システム９００に含まれる複数の要素間の関係を表す関係グラフと、異常が検出された監視対象システム９００上の位置を示す情報であって、当該関係グラフ上の複数の位置を示す位置情報とを、図示しない外部装置から受信する。
ここで、前述した第１の実施の形態における異常が検知された、関係グラフ上の位置を示す位置情報は、異常の発生が検知された監視対象システム９００上の複数の位置であって、関係グラフ上の複数の位置を示す位置情報であることを例に説明を行ったが、本発明はこれに限定されるものではない。本実施の形態で使用する位置情報は、第１の実施の形態で情報処理装置１００に入力された位置情報と異なる。その位置情報は、異常の発生が検知された、関係グラフ上の１または複数の位置を示す情報（第１の位置情報）と、異常の原因の可能性があるとして検知された、関係グラフ上の１または複数の位置を示す情報（第２の位置情報）とを含む。なお、第１の位置情報および第２の位置情報はこれに限定されるものではなく、異常として検出された情報であり、夫々、異常の内容が異なるものであればよい。
ここで、異常の発生を検知した関係グラフ上の位置とは、例えば、マルウェア等に感染したことを検知した関係グラフ上の位置である。また、異常の原因の可能性がある関係グラフ上の位置とは、例えば、脆弱性を有する可能性があると検知された要素を示す関係グラフ上の位置であってもよいし、攻撃によって通常とは違うふるまいを行っていると検知された要素等を示す関係グラフ上の位置であってもよい。なお、到達範囲抽出部１３０は、上記関係グラフと、上記位置情報とを、情報処理装置１０１内の図示しない他の手段から取得する構成であってもよい。上記関係グラフおよび上記位置情報を取得する方法は、特に限定されない。
到達範囲抽出部１３０は、図６に示す通り、第１の抽出部１３１と、第２の抽出部１３２とを含んでいる。第１の抽出部１３１は、一方の位置情報（例えば、第１の位置情報）から、到達する関係グラフ上の範囲を到達範囲として抽出する。また、第２の抽出部１３２は、他方の位置情報（例えば、第２の位置情報）から、上記第１の位置情報とは異なる方法を用いて、到達する関係グラフ上の範囲を到達範囲として抽出する。
図７を参照して、情報処理装置１０１における到達範囲抽出部１３０の動作について、より具体的に説明する。図７は、情報処理装置１０１における到達範囲抽出部１３０の動作を説明するための図である。図７に示す図は、関係グラフの一例である。図７に示す関係グラフは、Ｅ１〜Ｅ１１、Ｅ１３〜２３、Ｃ１およびＣ３の頂点識別子で示される要素と要素間を接続する有向の線分（辺）とで構成されている。なお、説明の便宜上、Ｅ１〜Ｅ１１、Ｅ１３〜Ｅ２３の頂点識別子で示される要素は円で示され、Ｃ１およびＣ３の頂点識別子で示される要素は、ファイルを示す図形で示される。
１または複数の第１の位置情報のうちの１つがＣ１であり、１または複数の第２の位置情報のうちの１つがＣ３であるとする。到達範囲抽出部１３０の第１の抽出部１３１は、Ｃ１を起点として、Ｃ１から到達する関係グラフ上の範囲を走査する。なお、第１の抽出部１３１が、Ｃ１から到達する関係グラフ上の範囲を走査する方法は、例えば、バックトレースであるとするが、本発明はこれに限定されるものではない。そして、第１の抽出部１３１は、図７の一点鎖線で囲んだ範囲をＣ１から到達する範囲（第１の到達範囲）であると抽出する。
また、到達範囲抽出部１３０の第２の抽出部１３２は、Ｃ３を起点として、Ｃ３から到達する関係グラフ上の範囲を走査する。このとき、なお、第２の抽出部１３２が、Ｃ３から到達する関係グラフ上の範囲を走査する方法は、例えば、フォワードトレースであるとするが、本発明はこれに限定されるものではない。第２の抽出部１３２は、第１の抽出部１３１と異なる方法を用いて、上記範囲を走査するものであればよい。そして、第２の抽出部１３２は、図７の破線で囲んだ範囲をＣ３から到達する範囲（第２の到達範囲）であると抽出する。
そして、共通範囲抽出部１２０は、到達範囲抽出部１３０が抽出した第１の到達範囲および第２の到達範囲の間で共通する範囲を、共通範囲として抽出する。図７に示す通り、一点鎖線で囲んだ範囲と、破線で囲んだ範囲とで共通する範囲は、斜線で記載された要素（Ｅ６〜８、Ｅ１３、Ｅ１４、Ｃ３、Ｃ１）を含む部分である。したがって、共通範囲抽出部１２０は、上記斜線で記載された共通範囲を異常の影響過程として抽出する。
なお、本実施の形態において、第１の位置情報によって示される、関係グラフ上の位置と、第２の位置情報によって示される、関係グラフ上の位置との間の経路（異常の影響過程）を、フォワードトレースとバックトレースとを用いて抽出したが、本発明はこれに限定されるものではない。上記経路は、例えば、第１の位置情報によって示される、関係グラフ上の位置と、第２の位置情報によって示される、関係グラフ上の位置とを用いた双方向ダイクストラ法によって、抽出されるものであってもよい。上記経路の抽出方法は、特に限定されない。
（効果）
本実施の形態に係る情報処理装置１０１によれば、複数箇所で異常が発見された場合であっても、より好適に異常の影響過程を抽出することができる。
なぜならば、到達範囲抽出部１３０が、以下の（１）および（２）の位置の夫々を起点に、当該位置から直接的または間接的に関係を有する要素の集合からなる関係グラフ上の経路を、到達範囲として抽出するからである。
（１）異常の発生が検知されたシステム上の位置を示す情報であって、関係グラフ上の位置を示す１または複数の第１の位置情報で示される位置。
（２）異常の原因の可能性があるとして検知された関係グラフ上の１または複数の位置を示す第２の位置情報で示される位置。
このように、本実施の形態に係る到達範囲抽出部１３０は、複数箇所で発見された異常の内容が異なる場合であっても、当該異常が検出された、関係グラフ上の夫々の位置を起点に、当該位置から到達する範囲を抽出することができる。
そして、共通範囲抽出部１２０が、第１および第２の位置情報で示される、関係グラフ上の位置の間の経路を、異常の影響過程として抽出するからである。
これにより、より少ない工数で異常の影響過程を抽出することができる。
＜第３の実施の形態＞
本発明の第３の実施の形態について、図面を参照して詳細に説明する。なお、上述した第１および第２の実施の形態で説明した図面に含まれる部材と同じ機能を有する部材については、同じ符号を付し、その詳細な説明を省略する。
本実施の形態では、時間情報を含む関係グラフを用いて、異常の影響過程を求める方法について説明する。
ここで、図８を参照して、監視対象システム９００の要素間の関係であって、時間軸に対する要素間の関係について説明する。図８は、監視対象システム９００に含まれる要素の間の時間軸に対する関係を説明するための図である。
図８において、横軸は時間軸を示している。また、図８において、Ａ〜Ｅは頂点識別子であり、円は各頂点識別子で表される要素を示している。また、「ＯＰ」は、各要素から他の要素に対し、ある処理がオープンしたことを示し、「ＣＬ」は、上記ある処理がクローズしたことを示している。つまり、ある要素と他の要素とは、オープンからクローズまでの間で関係を有している。
図８に示す通り、頂点識別子が「Ｃ」の要素（以降、要素（Ｃ）と呼ぶ）は、要素（Ｄ）に対し、「ｔ１」から「ｔ２」まで、および、「ｔ６」から「ｔ１５」まで、の間で関係を有している。同様に、要素（Ｄ）は、要素（Ｅ）に対し、「ｔ３」から「ｔ４」までの間で関係を有している。また、要素（Ｅ）は、要素（Ａ）に対し、「ｔ１２」から「ｔ１４」までの間で関係を有している。また、要素（Ａ）は、要素（Ｂ）に対し、「ｔ８」から「ｔ１３」までの間で関係を有している。また、要素（Ｂ）は、要素（Ｃ）に対し、「ｔ５」から「ｔ７」まで、および、「ｔ１０」から「ｔ１１」まで、の間で関係を有している。
したがって、本実施の形態に係る情報処理装置１０２で使用する関係グラフは、図９に示す通り、辺の属性として時間情報（第１の時間情報）を有している。各辺の属性として示される時間情報は、ある要素から他の要素に対し、最初の処理がオープンした時間と、最後の処理がクローズした時間とが含まれる。例えば、要素（Ｃ）から要素（Ｄ）に対する辺には、最初の処理がオープンした時間「ｔ１」と、最後の処理がクローズした時間「ｔ１５」が含まれている。なお、図９においては、最初の処理がオープンした時間「ｔ１」と、最後の処理がクローズした時間「ｔ１５」とを、（ｔ１，ｔ１５）と記載している。このように、ある要素間の最初の処理がオープンした時間をｔｆｉｒｓｔとも呼び、最後の処理がクローズした時間を、ｔｌａｓｔとも呼ぶ。そして、本実施の形態では、各辺の属性情報を（ｔｆｉｒｓｔ，ｔｌａｓｔ）と表す。
このような関係グラフを用いて、異常の影響過程を抽出する情報処理装置１０２について説明する。図１０は、本実施の形態に係る情報処理装置１０２の機能構成の一例を示す機能ブロック図である。図１０に示す通り、本実施の形態に係る情報処理装置１０２は、到達範囲抽出部１４０とデータ取得部１５０と、を備えている。このように、本実施の形態に係る情報処理装置１０２は、図１０に示す通り、第１の実施の形態に係る情報処理装置１００における到達範囲抽出部１１０に代えて、到達範囲抽出部１４０およびデータ取得部１５０を備え、共通範囲抽出部１２０を備えない構成である。
データ取得部１５０は、監視対象システム９００に含まれる複数の要素間の関係を表す関係グラフと、異常が検知された監視対象システム９００上の位置を示す情報であって、当該関係グラフ上の複数の位置を示す位置情報とを、図示しない外部装置から取得する。なお、データ取得部１５０は、上記関係グラフと、上記位置情報とを、情報処理装置１０２内の図示しない他の手段から取得する構成であってもよい。上記関係グラフおよび上記位置情報を取得する方法は、特に限定されない。関係グラフは、上述したとおり、辺の属性として時間情報を有している。また、位置情報には、異常が検知された時間を示す情報（第２の時間情報）が含まれている。
なお、データ取得部１５０は、上述した到達範囲抽出部１１０、または、到達範囲抽出部１３０に含まれる機能である。
データ取得部１５０は、取得した上記関係グラフと、上記位置情報とを、到達範囲抽出部１４０に供給する。
到達範囲抽出部１４０は、データ取得部１５０から上記関係グラフと、上記位置情報とを受け取る。到達範囲抽出部１４０は、位置情報に含まれる異常が検知された時間に基づいて、当該時間を示す情報を含む位置情報によって示される関係グラフ上の位置を起点に、当該位置から到達する関係グラフ上の経路（到達範囲）を抽出する。
図８および図９を参照して、情報処理装置１０２における到達範囲抽出部１４０の動作について、より具体的に説明する。ここでは、到達範囲抽出部１４０が、図９に示すような関係グラフと、時間「ｔ９」を含む、要素（Ｅ）を示す位置情報とを受け取った場合について説明する。
時間「ｔ９」は、図８に星形七角形（符号９で示す位置）で示す通り、ｔ８より後の時間であり、ｔ１０より前の時間である。
まず、到達範囲抽出部１４０は、位置情報によって示される要素（Ｅ）の時間ｔ９の関係グラフ上の位置を起点に、当該位置から後方探索と前方探索とを行う。なお、本実施の形態においては、要素間の辺を、例えば、辺（Ｄ，Ｅ）のように記載する。ここで、括弧内の最初の要素は、有向矢印の起点の要素の頂点識別子を示し、２つ目の要素は、有向矢印の終点の要素の頂点識別子を示している。
後方探索では、到達範囲抽出部１４０は、まず、現時点で取得される最も古い時間（時間の最小値と呼ぶ）を求める。現時点で取得される最も古い時間とは、検知された異常に対して、影響を与えることができた最後の時間を示す。以降、現時点の最小値をｔｍｉｎと呼ぶ。初期値は、位置情報で示される時間である。そのため最小値（ｔｍｉｎ）の初期値は、ｔ９である。
次に、到達範囲抽出部１４０は、探索対象の辺の属性情報の１つ目の要素（ｔｆｉｒｓｔ）が、位置情報に含まれる時間（つまり、現時点の最小値（＝ｔｍｉｎ））より前か否かを確認する。以降、不等号を用いて、「ｔｆｉｒｓｔ＜ｔｍｉｎ」を満たすか否かを確認する、と記載する。辺（Ｄ，Ｅ）の属性情報は、図９に示す通り、（ｔ３，ｔ４）である。したがって、辺（Ｄ，Ｅ）のｔｆｉｒｓｔは、ｔ３である。ｔ３＜ｔ９を満たすので、到達範囲抽出部１４０は、要素（Ｄ）が、要素（Ｅ）と関係を有していると判定し、要素（Ｄ）を後方探索の対象とする。
次に、到達範囲抽出部１４０は、要素（Ｄ）が、検知された異常に対して、影響を与えることができた最後の時間を求める。つまり、到達範囲抽出部１４０は、ＭＩＮ（ｔｍｉｎ，ｔｌａｓｔ）を用いて新しい最小値（ｔｍｉｎ）を求める。ここで、ＭＩＮ（ｘ，ｙ）は、括弧内の要素のうち、小さい方を返す関数である。ＭＩＮ（ｔ９，ｔ４）＝ｔ４であるため、新しい最小値（ｔｍｉｎ）は、ｔｍｉｎ＝ｔ４となる。
次に、到達範囲抽出部１４０は、辺（Ｃ，Ｄ）について、ｔｆｉｒｓｔ＜ｔｍｉｎを満たすか否かを確認する。ｔ１＜ｔ４を満たすため、到達範囲抽出部１４０は、要素（Ｃ）が、要素（Ｄ）と関係を有していると判定し、要素（Ｃ）を後方探索の対象とする。そして、到達範囲抽出部１４０は、新しい最小値を、ＭＩＮ（ｔｍｉｎ，ｔｌａｓｔ）を用いて求める。新しい最小値は、ＭＩＮ（ｔ４，ｔ１５）から、ｔｍｉｎ＝ｔ４となる。
同様に、到達範囲抽出部１４０は、辺（Ｂ，Ｃ）について、ｔｆｉｒｓｔ＜ｔｍｉｎを満たすか否かを確認する。ｔ５＞ｔ４であり、上記条件を満たさないため、到達範囲抽出部１４０は、要素（Ｂ）を後方探索の対象としない。これにより、到達範囲抽出部１４０は、後方探索を終了する。
次に、到達範囲抽出部１４０が行う前方探索について説明する。前方探索では、到達範囲抽出部１４０は、まず、現時点で取得される最も新しい時間（時間の最大値と呼ぶ）を求める。現時点で取得される最も新しい時間とは、検知された異常に対して、影響を与えることができた最初の時間を示す。以降、現時点の最大値をｔｍａｘと呼ぶ。初期値は、位置情報で示される時間である。そのため最大値（ｔｍａｘ）の初期値は、ｔ９である。
次に、到達範囲抽出部１４０は、探索対象の辺の属性情報の２つ目の要素（ｔｌａｓｔ）が、位置情報に含まれる時間（現時点の最大値（＝ｔｍａｘ））より後か否かを確認する。以降、不等号を用いて、「ｔｍａｘ＜ｔｌａｓｔ」を満たすか否かを確認する、と記載する。辺（Ｅ，Ａ）の属性情報は、図１１に示す通り、（ｔ１２，ｔ１４）である。したがって、辺（Ｅ，Ａ）のｔｌａｓｔは、ｔ１４である。ｔ９＜ｔ１４を満たすため、到達範囲抽出部１４０は、要素（Ｅ）が、要素（Ａ）と関係を有していると判定し、要素（Ａ）を前方探索の対象とする。
次に、到達範囲抽出部１４０は、要素（Ａ）が、検知された異常に対して、影響を与えることができた最初の時間を求める。つまり、到達範囲抽出部１４０は、ＭＡＸ（ｔｍａｘ，ｔｆｉｒｓｔ）を用いて新しい最大値（ｔｍａｘ）を求める。ここで、ＭＡＸ（ｘ，ｙ）は、括弧内の要素のうち、大きい方を返す関数である。ＭＡＸ（ｔ９，ｔ１２）＝ｔ１２であるため、新しい最大値（ｔｍａｘ）は、ｔｍａｘ＝ｔ１２となる。
次に、到達範囲抽出部１４０は、辺（Ａ，Ｂ）について、ｔｍａｘ＜ｔｌａｓｔを満たすか否かを確認する。ｔ１２＜ｔ１３を満たすため、到達範囲抽出部１４０は、要素（Ａ）が、要素（Ｂ）と関係を有していると判定し、要素（Ｂ）を前方探索の対象とする。そして、新しい最大値を、ＭＡＸ（ｔｍａｘ，ｔｆｉｒｓｔ）を用いて求める。新しい最大値は、ＭＡＸ（ｔ１２，ｔ８）から、ｔｍａｘ＝ｔ１２となる。
同様に、到達範囲抽出部１４０は、辺（Ｂ，Ｃ）について、ｔｍａｘ＜ｔｌａｓｔを満たすか否かを確認する。ｔ１２＞ｔ１１であり、上記条件を満たさないため、到達範囲抽出部１４０は、要素（Ｃ）を前方探索の対象としない。これにより、到達範囲抽出部１４０は、前方探索を終了する。
到達範囲抽出部１４０は、位置情報で示される関係グラフ上の位置ごとに、以上のように前方探索および後方探索して抽出した関係グラフ上の経路を、異常の影響過程として抽出する。
なお、本実施の形態では、到達範囲抽出部１４０が後方探索を行った後に前方探索を行うことについて説明を行ったが、本発明はこれに限定されるものではない。到達範囲抽出部１４０は、後方探索と前方探索とを同時に行ってもよいし、前方探索の後に後方探索を行ってもよい。
（効果）
本実施の形態に係る情報処理装置１０２によれば、より好適に異常の影響過程を抽出することができる。また、時間情報を用いて異常の影響過程の抽出を行うことにより、情報処理装置１０２は、異常の影響過程の探索時間を削減することができる。
したがって、より少ない工数で異常の影響過程を抽出することができる。
また、本発明の第２の目的として、特許文献１または２に記載の技術では、特定される異常の範囲が不十分、または、広すぎる可能性があるという、更なる課題がある。なぜならば、特許文献１または２に記載の技術では、異常が検知された時点におけるその異常が検知されたサービスや機器に対する依存関係について考慮されていないからである。つまり、特許文献１および２の技術では、システム全体では依存関係を有していても、異常が検知された時点において異常が検知されたサービスや機器に対する依存関係を有していないサービスや機器等も異常の影響過程として抽出される可能性がある。したがって、より好適に異常の影響過程を特定することが求められる。
本実施の形態に係る情報処理装置１０２によれば、上記課題も解決することができる。
（変形例１）
本実施の形態に係る変形例１について、図１１を参照して説明を行う。図１１は、本変形例に係る情報処理装置１０２で使用する関係グラフの一例を示す図である。なお、本変形例に係る情報処理装置１０２は、図１０に示す情報処理装置１０２と同様の機能構成を有するため、その説明を省略する。
上述した第３の実施の形態に係る情報処理装置１０２で用いる関係グラフには、時間情報が辺の属性として含まれる構成について説明を行ったが、本発明はこれに限定されるものではない。時間情報は、要素の属性として含まれる構成であってもよい。
図１１に示す関係グラフは、図８を用いて説明した情報を含むものである。まず、図１１においては、時間ｔ０（初期状態）で複数の頂点（Ａ１，Ｂ１，Ｃ１，Ｄ１，Ｅ１）が生成されていることを示す。そして、各頂点は、他の要素から、ある処理がオープンした際に生成されたものである。言い換えると、ある要素Ｍが別の要素Ｎに、新たに影響を与えることができる状態になるたびに、Ｍのある時点の状態を表す頂点Ｍｉ、Ｎのある時点の状態を表す頂点Ｎｊからの有向辺をもつ、要素Ｎの新たな状態を表す頂点Ｎｊ＋１を生成している。なお、ｉおよびｊは、自然数である。例えば、図８において、要素（Ｃ）から要素（Ｄ）に対する処理が、時間「ｔ１」でオープンしている。そのため、図１１に示す通り、関係グラフには、時間「ｔ１」の位置に頂点Ｄ２が含まれる。更に、関係グラフには、各頂点間の関係を示す辺（Ｃ１からＤ２に対する辺と、Ｄ１からＤ２に対する辺）が含まれる。
また、時間「ｔ１０」では、頂点（Ｃ３）と、頂点（Ｄ４）を新たに生成している。図８に示す通り、時間「ｔ１０」において、要素（Ｂ）から要素（Ｃ）に対し、処理が新たにオープンしている。そのため、図１１に示す関係グラフには、時間「ｔ１０」の情報を有した頂点（Ｃ３）が含まれる。ここで、要素（Ｃ）から要素（Ｄ）に対する処理は、時間「ｔ１０」の時点では、継続して行われている。したがって、要素（Ｃ）から要素（Ｄ）に対する処理は、要素（Ｂ）による要素（Ｃ）に対する処理の影響を受ける可能性がある。したがって、図１１に示す関係グラフには、頂点（Ｃ３）が含まれる時間と同じ時間「ｔ１０」に、頂点（Ｄ４）が含まれる。
到達範囲抽出部１４０は、このような情報を含んだ関係グラフを用いて、位置情報および時間によって示される関係グラフ上の位置を起点に、当該位置から到達する関係グラフ上の経路を、異常の影響過程として抽出する。
図１１を参照して、情報処理装置１０２における到達範囲抽出部１４０の動作について、より具体的に説明する。ここでは、到達範囲抽出部１４０が、図１１に示すような関係グラフと、時間「ｔ９」を含む、頂点（Ｅ２）を示す位置情報とを受け取った場合について説明する。
まず、到達範囲抽出部１４０は、頂点（Ｅ２）を起点に、当該頂点の位置から後方探索を行う。頂点（Ｅ２）に関連付けられた経路は、図１１の破線の太い矢印で表される経路（Ｃ１からＤ２、Ｄ１からＤ２、Ｄ２からＥ２、Ｅ１からＥ２の経路）である。したがって、到達範囲抽出部１４０は、後方探索の結果として、当該経路を抽出する。
次に、到達範囲抽出部１４０は、頂点（Ｅ２）を起点に、当該頂点の位置から前方探索を行う。頂点（Ｅ２）に関連付けられた経路は、図１１の破線の太い矢印で表される経路（Ｅ２からＡ２、Ａ２からＢ３の経路）である。したがって、到達範囲抽出部１４０は、前方探索の結果として、当該経路を抽出する。
到達範囲抽出部１４０は、位置情報で示される関係グラフ上の位置ごとに、以上のように前方探索および後方探索して抽出した関係グラフ上の経路を、異常の影響過程として抽出する。
なお、本変形例では、到達範囲抽出部１４０が後方探索を行った後に前方探索を行うことについて説明を行ったが、本発明はこれに限定されるものではない。到達範囲抽出部１４０は、後方探索と前方探索とを同時に行ってもよいし、前方探索の後に後方探索を行ってもよい。
このように、図１１に示すような関係グラフであっても、本変形例１における情報処理装置１０２によれば、上述した第３の実施の形態と同様に、より好適に異常の影響過程を抽出することができる。したがって、上述した第２の実施の形態と同様に、より少ない工数で異常の影響過程を抽出することができる。
なお、上述した関係グラフの時間情報の持ち方、および、それを利用した探索方法は、一例であり、本発明はこれに限定されるものではない。
（変形例２）
本実施の形態に係る変形例２について、図１２を参照して説明を行う。図１２は、本変形例に係る情報処理装置１０３の機能構成を示す機能ブロック図である。なお、上述した第１から第３の実施の形態で説明した図面に含まれる部材と同じ機能を有する部材については、同じ符号を付し、その詳細な説明を省略する。
本変形例に係る情報処理装置１０３は、図１２に示す通り、共通範囲抽出部１２０、到達範囲抽出部１４０、および、データ取得部１５０を備えている。図１２に示す通り、本変形例に係る情報処理装置１０３は、第３の実施の形態において説明した情報処理装置１０２に、共通範囲抽出部１２０を更に備える構成である。
情報処理装置１０３における到達範囲抽出部１４０は、位置情報で示される関係グラフ上の位置ごとに、第３の実施の形態で説明した前方探索および後方探索して抽出した関係グラフ上の経路を、到達範囲として抽出する。そして、異常が検出された、関係グラフ上の複数の位置の夫々に対し、抽出した到達範囲を、共通範囲抽出部１２０に供給する。
共通範囲抽出部１２０は、上述した第１および第２の実施の形態と同様に、到達範囲抽出部１４０が、関係グラフ上の複数の位置の夫々に対して抽出した上記到達範囲を用いて、所定数以上の到達範囲で共通する範囲を抽出する。共通範囲抽出部１２０は、この抽出した範囲を異常の影響過程として抽出することができる。
このように、本変形例に係る情報処理装置１０３の構成であっても、上述した第１から第３の実施の形態と同様の効果を得ることができる。
＜第４の実施の形態＞
本発明の第４の実施の形態について、図面を参照して詳細に説明する。なお、上述した第１から第３の実施の形態で説明した図面に含まれる部材と同じ機能を有する部材については、同じ符号を付し、その詳細な説明を省略する。
図１３は、本実施の形態に係る情報処理装置１０４の機能構成の一例を示す機能ブロック図である。図１３に示す通り、情報処理装置１０４は、到達範囲抽出部１１０と、共通範囲抽出部１２０と、経路異常度評価部１６０とを備えている。なお、図１３に示す情報処理装置１０４は、第１の実施の形態の情報処理装置１００に、更に経路異常度評価部１６０を備える構成であるが、その他の実施の形態の情報処理装置に経路異常度評価部１６０を備える構成であってもよい。
（経路異常度評価部１６０）
経路異常度評価部１６０は、監視対象システム９００に含まれる複数の要素間の関係を表す関係グラフを、図示しない外部装置から受信する。なお、経路異常度評価部１６０は、上記関係グラフを、情報処理装置１０４内の図示しない他の手段から取得する構成であってもよい。上記関係グラフを取得する方法は、特に限定されない。
経路異常度評価部１６０が取得する関係グラフには、辺の属性として、辺の異常度（例えば、重み）が含まれる。例えば、通常の動作では関係を有しない要素同士が、取得した関係グラフ上では辺で接続されている場合、当該辺には、当該辺の属性として高い異常度が含まれる。また、通常の動作で関係を有する要素同士を接続する辺には、当該辺の属性として低い異常度が含まれる。経路異常度評価部１６０は、このような辺の属性を含む関係グラフを取得する。また、異常度は、辺に限定されず、ノードに対して付されたものであってもよい。
また、経路異常度評価部１６０には、異常が検出された監視対象システム９００上の位置を示す情報であって、関係グラフ上の位置を示す位置情報を取得する。
経路異常度評価部１６０は、取得した関係グラフと、位置情報とから、当該位置情報によって示される関係グラフ上の位置を起点にした経路に対し、当該経路の異常度を評価する。経路異常度評価部１６０は、評価した結果（評価結果）である、経路の異常度を示す情報を生成し、当該情報を到達範囲抽出部１１０に供給する。
なお、辺の異常度は、辺の属性として、関係グラフに含まれることを例に説明を行ったが、本発明はこれに限定されるものではない。経路異常度評価部１６０は、辺の異常度を、関係グラフとは別に取得する構成であってもよい。
また、経路異常度評価部１６０は、各辺に対し、当該辺の異常度を算出する構成であってもよい。経路異常度評価部１６０は、例えば、各辺の距離の合計を求め、当該各辺の距離の合計を辺の総数で割った数を閾値とし、当該閾値より距離が長い辺を異常度が高いと評価し、距離が短い辺を異常度が低いと評価する。なお、上記閾値は予め定められた値であってもよい。
なお、経路異常度評価部１６０が経路の異常度を評価する方法はこれに限定されるものではない。経路異常度評価部１６０は、例えば、各辺で表される要素間の関係の発生回数が所定の閾値より小さいか否かを判定することにより、各辺の異常度を評価してもよい。また、上記閾値は、上記回数の合計を辺の総数で割った数としてもよい。
このように、経路異常度評価部１６０は、到達範囲抽出部１１０による探索をより効率化するための情報（評価結果）を到達範囲抽出部１１０に供給する。
到達範囲抽出部１１０は、経路異常度評価部１６０から供給された評価結果と、取得した関係グラフと、取得した位置情報とを用いて、到達経路を抽出する。このとき、到達範囲抽出部１１０は、評価結果に基づいて、異常度が高い経路を到達範囲として抽出する。到達範囲抽出部１１０の到達範囲の抽出方法は、例えば、位置情報によって示される関係グラフ上の位置から、上記関係グラフ上の経路中の各辺の異常度を累積し、累積値が所定の値より高い経路を抽出する方法であってもよいし、そのほかの方法であってもよい。例えば、到達範囲抽出部１１０は、異常度の平均値を求め、当該平均値より異常度が高い辺を有する経路を抽出してもよい。
そして、到達範囲抽出部１１０は、抽出した到達範囲を、共通範囲抽出部１２０に供給する。なお、このとき、到達範囲抽出部１１０は、経路異常度評価部１６０から取得した評価結果を共通範囲抽出部１２０に供給してもよい。
また、共通範囲抽出部１２０は、到達範囲抽出部１１０から供給された評価結果と、到達範囲とを用いて共通範囲を抽出してもよい。これにより、共通範囲抽出部１２０は、異常度を反映した影響過程を抽出することができる。また、共通範囲抽出部１２０は、供給された評価結果を抽出した影響過程と共に出力してもよい。
（効果）
本実施の形態に係る情報処理装置１０４によれば、より好適に異常の影響過程を抽出することができる。なぜならば、経路異常度評価部１６０が、関係グラフの経路の異常度を評価し、評価結果を生成するからである。
これにより、到達範囲抽出部１１０は、上記評価結果を用いて到達範囲を抽出するため、より好適な範囲の到達範囲を抽出することができる。
また、共通範囲抽出部１２０は、上記評価結果を用いて、異常の影響過程を抽出するため、より、異常の度合いを反映させた影響過程を抽出することができる。
（ハードウェア構成について）
なお、図１、６、１０、１２および１３に示した情報処理装置の各部は、図１４に例示するハードウェア資源で実現してもよい。即ち、図１４に示す構成は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１１１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１１２、通信インタフェース１１３、記憶媒体１１４およびＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１５を備える。ＣＰＵ１１５は、ＲＯＭ１１２または記憶媒体１１４に記憶された各種ソフトウェアプログラム（コンピュータプログラム）を、ＲＡＭ１１１に読み出して実行することにより、情報処理装置の全体的な動作を司る。すなわち、上記各実施形態において、ＣＰＵ１１５は、ＲＯＭ１１２または記憶媒体１１４を適宜参照しながら、情報処理装置が備える各機能（各部）を実行するソフトウェアプログラムを実行する。
また、各実施形態を例に説明した本発明は、情報処理装置に対して、上記説明した機能を実現可能なコンピュータプログラムを供給した後、そのコンピュータプログラムを、ＣＰＵ１１５がＲＡＭ１１１に読み出して実行することによって達成される。
また、係る供給されたコンピュータプログラムは、読み書き可能なメモリ（一時記憶媒体）またはハードディスク装置等のコンピュータ読み取り可能な記憶デバイスに格納すればよい。そして、このような場合において、本発明は、係るコンピュータプログラムを表すコード或いは係るコンピュータプログラムを格納した記憶媒体によって構成されると捉えることができる。
上述した各実施形態では、図１、６、１０、１２および１３に示した情報処理装置における各ブロックに示す機能を、図１４に示すＣＰＵ１１５が実行する一例として、ソフトウェアプログラムによって実現する場合について説明した。しかしながら、図１、６、１０、１２および１３に示した各ブロックに示す機能は、一部または全部を、ハードウェアの回路として実現してもよい。
なお、上述した各実施の形態は、本発明の好適な実施の形態であり、上記各実施の形態にのみ本発明の範囲を限定するものではなく、本発明の要旨を逸脱しない範囲において当業者が上記各実施の形態の修正や代用を行い、種々の変更を施した形態を構築することが可能である。
この出願は、２０１４年３月２０日に出願された日本出願特願２０１４−０５８５５８を基礎とする優先権を主張し、その開示の全てをここに取り込む。
１ 情報処理システム
１００ 情報処理装置
１０１ 情報処理装置
１０２ 情報処理装置
１０３ 情報処理装置
１０４ 情報処理装置
１１０ 到達範囲抽出部
１２０ 共通範囲抽出部
１３０ 到達範囲抽出部
１３１ 第１の抽出部
１３２ 第２の抽出部
１４０ 到達範囲抽出部
１５０ データ取得部
１６０ 経路異常度評価部
９００ 監視対象システム
９２０ 要素

Claims (19)

  1. システムに含まれる複数の要素間の関係を表す関係グラフ、および、異常が検知された前記システム上の位置を示す情報であって、当該関係グラフ上の複数の位置を示す位置情報を用いて、前記複数の位置の夫々を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、到達範囲として抽出する到達範囲抽出手段と、
    前記到達範囲として抽出された前記関係グラフ上の複数の経路のうち、所定数以上の経路で共通する範囲を抽出することにより、異常の影響過程を抽出する共通範囲抽出手段と、を備え、
    前記関係グラフには、前記要素および辺の少なくとも一方の属性として、第１の時間情報が含まれ、
    前記位置情報には、前記異常が検知された時間を示す第２の時間情報が含まれ、
    前記到達範囲抽出手段は、前記第２の時間情報によって示される、前記異常が検知された時間に基づいて、当該第２の時間情報を含む前記位置情報によって示される、前記関係グラフ上の位置を起点に、当該位置から到達する前記関係グラフ上の経路を、前記到達範囲として抽出する、ことを特徴とする情報処理装置。
  2. 前記位置情報には、異常の発生が検知された前記システム上の位置を示す情報であって、前記関係グラフ上の位置を示す複数の第１の位置情報が含まれ、
    前記到達範囲抽出手段は、前記複数の第１の位置情報の夫々で示される関係グラフ上の位置から、到達範囲を抽出する、ことを特徴とする請求項１に記載の情報処理装置。
  3. 前記位置情報には、異常の発生が検知された前記システム上の位置を示す情報であって、前記関係グラフ上の位置を示す１または複数の第１の位置情報と、異常の原因の可能性があるとして検知された関係グラフ上の１または複数の位置を示す第２の位置情報とが含まれ、
    前記到達範囲抽出手段は、前記第１の位置情報によって示される、前記関係グラフ上の位置を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、第１の到達範囲として抽出する第１の抽出手段と、前記第２の位置情報によって示される、前記関係グラフ上の位置を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、第２の到達範囲として抽出する第２の抽出手段とを含み、
    前記共通範囲抽出手段は、前記第１の位置情報によって示される、前記関係グラフ上の位置と、前記第２の位置情報によって示される、前記関係グラフ上の位置との間の経路を、前記異常の影響過程として抽出することを特徴とする請求項１に記載の情報処理装置。
  4. 前記第１の時間情報が前記要素の属性であるとき、前記到達範囲抽出手段は、前記異常が検知された時間より前の時間を検索する第１の検索、および、前記異常が検知された時間より後の時間を検索する第２の検索の少なくとも一方を行うことにより、前記位置情報によって示される前記関係グラフ上の位置から到達する前記関係グラフ上の経路を抽出する、ことを特徴とする請求項１から３の何れか１項に記載の情報処理装置。
  5. 前記第１の時間情報には、各辺に対し、前記辺の一方の端部に接続された要素から他方の端部に接続された要素に対し、最初に影響を及ぼした開始時間と、最後に影響を及ぼした終了時間とが含まれ、
    前記第１の検索は、現時点で取得可能な最も古い時間と前記終了時間とを比較し、古い方の時間を前記最も古い時間とし、前記開始時間が当該最も古い時間より前の時間の場合、当該開始時間を含む辺の前記一方の端部に接続された前記要素を前記到達範囲に含ませ、前記開始時間が前記最も古い時間より後の時間の場合、前記開始時間を含む辺の前記一方の端部に接続された前記要素を前記到達範囲に含ませない、ことを特徴とする請求項４に記載の情報処理装置。
  6. 前記第１の時間情報には、各辺に対し、前記辺の一方の端部に接続された要素から他方の端部に接続された要素に対し、最初に影響を及ぼした開始時間と、最後に影響を及ぼした終了時間とが含まれ、
    前記第２の検索は、現時点で取得可能な最も新しい時間と前記開始時間とを比較し、新しい方の時間を前記最も新しい時間とし、前記終了時間が当該最も新しい時間より後の時間の場合、当該終了時間を含む辺の前記他方の端部に接続された前記要素を前記到達範囲に含ませ、前記終了時間が当該最も新しい時間より前の時間の場合、前記終了時間を含む辺の前記他方の端部に接続された前記要素を前記到達範囲に含ませない、ことを特徴とする請求項４または５に記載の情報処理装置。
  7. 前記関係グラフには、ある要素が他の要素に影響を与えることができる状態になるたびに生成される、第１の時間情報を含む頂点が含まれ、
    前記位置情報には、前記異常が検知された時間を示す第２の時間情報が含まれ、
    前記到達範囲抽出手段は、前記第２の時間情報によって示される、前記異常が検知された時間に基づいて、前記第２の時間情報を含む前記位置情報によって示される、前記関係グラフ上の位置を起点に、当該位置から到達する前記関係グラフ上の経路を、前記到達範囲として抽出する、ことを特徴とする請求項１から３の何れか１項に記載の情報処理装置。
  8. 前記関係グラフの経路の異常度を評価し、評価結果を生成する、経路異常度評価手段を更に備え、
    前記到達範囲抽出手段は、前記評価結果を用いて、前記到達範囲を抽出する、ことを特徴とする請求項１から７の何れか１項に記載の情報処理装置。
  9. 前記共通範囲抽出手段は、前記評価結果を用いて、前記異常の影響過程を抽出する、ことを特徴とする請求項８に記載の情報処理装置。
  10. システムに含まれる複数の要素間の関係を表す関係グラフ、および、異常が検出された前記システム上の位置を示す情報であって、当該関係グラフ上の位置を示す位置情報を取得する取得手段と、
    当該取得手段が取得した前記関係グラフおよび前記位置情報を用いて、前記位置を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、異常の影響過程として抽出する到達範囲抽出手段と、を備え、
    前記関係グラフには、前記要素および辺の少なくとも一方の属性として、第１の時間情報が含まれ、
    前記位置情報には、前記異常が検知された時間を示す第２の時間情報が含まれ、
    前記到達範囲抽出手段は、前記第２の時間情報によって示される、異常が検知された時間に基づいて、当該第２の時間情報を含む前記位置情報によって示される前記関係グラフ上の位置を起点に、当該位置から到達する前記関係グラフ上の経路を、前記異常の影響過程として特定する、ことを特徴とする情報処理装置。
  11. 前記第１の時間情報が前記要素の属性であるとき、前記到達範囲抽出手段は、前記異常が検知された時間より前の時間を検索する第１の検索、および、前記異常が検知された時間より後の時間を検索する第２の検索の少なくとも一方を行うことにより、前記位置情報によって示される前記関係グラフ上の位置から到達する前記関係グラフ上の経路を抽出する、ことを特徴とする請求項１０に記載の情報処理装置。
  12. 前記第１の時間情報には、各辺に対し、前記辺の一方の端部に接続された要素から他方の端部に接続された要素に対し、最初に影響を及ぼした開始時間と、最後に影響を及ぼした終了時間とが含まれ、
    前記第１の検索は、現時点で取得可能な最も古い時間と前記終了時間とを比較し、古い方の時間を前記最も古い時間とし、前記開始時間が当該最も古い時間より前の時間の場合、当該開始時間を含む辺の前記一方の端部に接続された前記要素を前記異常の影響過程に含ませ、前記開始時間が前記最も古い時間より後の時間の場合、前記開始時間を含む辺の前記一方の端部に接続された前記要素を前記異常の影響過程に含ませない、ことを特徴とする請求項１１に記載の情報処理装置。
  13. 前記第１の時間情報には、各辺に対し、前記辺の一方の端部に接続された要素から他方の端部に接続された要素に対し、最初に影響を及ぼした開始時間と、最後に影響を及ぼした終了時間とが含まれ、
    前記第２の検索は、現時点で取得可能な最も新しい時間と前記開始時間とを比較し、新しい方の時間を前記最も新しい時間とし、前記終了時間が当該最も新しい時間より後の時間の場合、当該終了時間を含む辺の前記他方の端部に接続された前記要素を前記異常の影響過程に含ませ、前記終了時間が当該最も新しい時間より前の時間の場合、前記終了時間を含む辺の前記他方の端部に接続された前記要素を前記異常の影響過程に含ませない、ことを特徴とする請求項１１または１２に記載の情報処理装置。
  14. 前記関係グラフには、ある要素が他の要素に影響を与えることができる状態になるたびに生成される、第１の時間情報を含む頂点が含まれ、
    前記位置情報には、前記異常が検知された時間を示す第２の時間情報が含まれ、
    前記到達範囲抽出手段は、前記第２の時間情報によって示される、前記異常が検知された時間に基づいて、前記第２の時間情報を含む前記位置情報によって示される、前記関係グラフ上の位置を起点に、当該位置から到達する前記関係グラフ上の経路を、前記異常の影響過程として抽出する、ことを特徴とする請求項１０に記載の情報処理装置。
  15. 前記関係グラフの経路の異常度を評価し、評価結果を生成する、経路異常度評価手段を更に備え、
    前記到達範囲抽出手段は、前記評価結果を用いて、前記異常の影響過程を抽出する、ことを特徴とする請求項１０から１４の何れか１項に記載の情報処理装置。
  16. 情報処理装置の影響過程抽出方法であって、
    システムに含まれる複数の要素間の関係を表す関係グラフ、および、異常が検知された前記システム上の位置を示す情報であって、当該関係グラフ上の複数の位置を示す位置情報を用いて、前記複数の位置の夫々を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、到達範囲として抽出し、
    前記到達範囲として抽出された前記関係グラフ上の複数の経路のうち、所定数以上の経路で共通する範囲を抽出することにより、異常の影響過程を抽出し、
    前記関係グラフには、前記要素および辺の少なくとも一方の属性として、第１の時間情報が含まれ、
    前記位置情報には、前記異常が検知された時間を示す第２の時間情報が含まれ、
    前記到達範囲の抽出に際して、前記第２の時間情報によって示される、前記異常が検知された時間に基づいて、当該第２の時間情報を含む前記位置情報によって示される、前記関係グラフ上の位置を起点に、当該位置から到達する前記関係グラフ上の経路を、前記到達範囲として抽出する、ことを特徴とする影響過程抽出方法。
  17. 情報処理装置の影響過程抽出方法であって、
    システムに含まれる複数の要素間の関係を表す関係グラフ、および、異常が検出された前記システム上の位置を示す情報であって、当該関係グラフ上の位置を示す位置情報を取得し、
    前記取得した前記関係グラフおよび前記位置情報を用いて、前記位置を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、異常の影響過程として抽出し、
    前記関係グラフには、前記要素および辺の少なくとも一方の属性として、第１の時間情報が含まれ、
    前記位置情報には、前記異常が検知された時間を示す第２の時間情報が含まれ、
    前記異常の影響過程の抽出に際して、前記第２の時間情報によって示される、異常が検知された時間に基づいて、当該第２の時間情報を含む前記位置情報によって示される前記関係グラフ上の位置を起点に、当該位置から到達する前記関係グラフ上の経路を、前記異常の影響過程として特定する、ことを特徴とする影響過程抽出方法。
  18. 情報処理装置を含むコンピュータに、
    システムに含まれる複数の要素間の関係を表す関係グラフ、および、異常が検知された前記システム上の位置を示す情報であって、当該関係グラフ上の複数の位置を示す位置情報を用いて、前記複数の位置の夫々を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、到達範囲として抽出する処理と、
    前記到達範囲として抽出された前記関係グラフ上の複数の経路のうち、所定数以上の経路で共通する範囲を抽出することにより、異常の影響過程を抽出する処理と、を実行させ、
    前記関係グラフには、前記要素および辺の少なくとも一方の属性として、第１の時間情報が含まれ、
    前記位置情報には、前記異常が検知された時間を示す第２の時間情報が含まれ、
    前記到達範囲を抽出する処理において、前記第２の時間情報によって示される、前記異常が検知された時間に基づいて、当該第２の時間情報を含む前記位置情報によって示される、前記関係グラフ上の位置を起点に、当該位置から到達する前記関係グラフ上の経路を、前記到達範囲として抽出する、プログラム。
  19. 情報処理装置を含むコンピュータに、
    システムに含まれる複数の要素間の関係を表す関係グラフ、および、異常が検出された前記システム上の位置を示す情報であって、当該関係グラフ上の位置を示す位置情報を取得する処理と、
    前記取得した前記関係グラフおよび前記位置情報を用いて、前記位置を起点に、当該位置から直接的または間接的に関係を有する前記要素の集合からなる前記関係グラフ上の経路を、異常の影響過程として抽出する処理と、を実行させ、
    前記関係グラフには、前記要素および辺の少なくとも一方の属性として、第１の時間情報が含まれ、
    前記位置情報には、前記異常が検知された時間を示す第２の時間情報が含まれ、
    前記異常の影響過程の抽出の処理において、前記第２の時間情報によって示される、異常が検知された時間に基づいて、当該第２の時間情報を含む前記位置情報によって示される前記関係グラフ上の位置を起点に、当該位置から到達する前記関係グラフ上の経路を、前記異常の影響過程として特定する、プログラム。
JP2016508307A 2014-03-20 2014-06-17 情報処理装置、影響過程抽出方法およびプログラム Active JP6288244B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2014058558 2014-03-20
JP2014058558 2014-03-20
PCT/JP2014/003227 WO2015140843A1 (ja) 2014-03-20 2014-06-17 情報処理装置、影響過程抽出方法および記録媒体

Publications (2)

Publication Number Publication Date
JPWO2015140843A1 JPWO2015140843A1 (ja) 2017-04-06
JP6288244B2 true JP6288244B2 (ja) 2018-03-07

Family

ID=54143869

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016508307A Active JP6288244B2 (ja) 2014-03-20 2014-06-17 情報処理装置、影響過程抽出方法およびプログラム

Country Status (4)

Country Link
US (1) US10887331B2 (ja)
EP (1) EP3121723A4 (ja)
JP (1) JP6288244B2 (ja)
WO (1) WO2015140843A1 (ja)

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10397261B2 (en) * 2014-10-14 2019-08-27 Nippon Telegraph And Telephone Corporation Identifying device, identifying method and identifying program
JP6828692B2 (ja) * 2015-12-02 2021-02-10 日本電気株式会社 支援装置、支援方法およびプログラム
US9967267B2 (en) 2016-04-15 2018-05-08 Sophos Limited Forensic analysis of computing activity
US12093383B2 (en) 2016-04-15 2024-09-17 Sophos Limited Tracking malware root causes with an event graph
US10129274B2 (en) * 2016-09-22 2018-11-13 Adobe Systems Incorporated Identifying significant anomalous segments of a metrics dataset
JP7036106B2 (ja) 2017-02-22 2022-03-15 日本電気株式会社 情報処理装置、情報処理システム、監視方法、及び、プログラム
JP6867589B2 (ja) * 2017-05-30 2021-04-28 富士通株式会社 影響範囲特定プログラム、影響範囲特定方法、および影響範囲特定装置
JP6904420B2 (ja) * 2017-08-09 2021-07-14 日本電気株式会社 情報選択装置、情報選択方法、及び、情報選択プログラム
US10938838B2 (en) 2018-08-31 2021-03-02 Sophos Limited Computer augmented threat evaluation
US11792210B2 (en) 2019-08-02 2023-10-17 Crowdstrike, Inc. Mapping unbounded incident scores to a fixed range
US11588832B2 (en) 2019-08-02 2023-02-21 Crowdstrike, Inc. Malicious incident visualization
US11516237B2 (en) * 2019-08-02 2022-11-29 Crowdstrike, Inc. Visualization and control of remotely monitored hosts
US11582246B2 (en) 2019-08-02 2023-02-14 Crowd Strike, Inc. Advanced incident scoring
WO2021186683A1 (ja) * 2020-03-19 2021-09-23 三菱電機株式会社 汚染範囲特定装置および汚染範囲特定プログラム

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06175884A (ja) 1992-12-04 1994-06-24 Nippon Telegr & Teleph Corp <Ntt> プログラムエラー原因究明装置
JPH11259331A (ja) * 1998-03-13 1999-09-24 Nippon Telegr & Teleph Corp <Ntt> ネットワークにおける障害箇所検出方法及び装置及びネットワークにおける障害箇所検出プログラムを格納した記憶媒体
US20020061001A1 (en) * 2000-08-25 2002-05-23 The Regents Of The University Of California Dynamic source tracing (DST) routing protocol for wireless networks
WO2004112327A1 (ja) * 2003-06-11 2004-12-23 Nec Corporation ルータ装置およびネットワーク接続方式
EP1566756A1 (en) * 2004-02-20 2005-08-24 Hitachi, Ltd. Traceability system
US10097612B2 (en) * 2006-05-26 2018-10-09 Fuze, Inc. Selecting routes through a network
JP5264470B2 (ja) 2008-12-26 2013-08-14 三菱電機株式会社 攻撃判定装置及びプログラム
US8392760B2 (en) * 2009-10-14 2013-03-05 Microsoft Corporation Diagnosing abnormalities without application-specific knowledge
JP2011113122A (ja) 2009-11-24 2011-06-09 Mitsubishi Electric Corp 障害影響分析装置及び業務システム及び障害影響分析方法
KR101277274B1 (ko) 2009-11-27 2013-06-20 한국전자통신연구원 자원 간의 물리적/논리적 관계를 맵핑하는 방법 및 장치
JP5534481B2 (ja) 2010-08-30 2014-07-02 日本電気株式会社 通信品質監視システム、通信品質監視方法、及び記憶媒体
EP2648104B1 (en) 2010-11-30 2016-04-27 Japan Science and Technology Agency Dependability maintenance system for maintaining dependability of a target system in an open environment, corresponding method, computer control program achieving the same and computer readable recording medium recording the same
US8914499B2 (en) * 2011-02-17 2014-12-16 Zenoss, Inc. Method and apparatus for event correlation related to service impact analysis in a virtualized environment
US8751867B2 (en) * 2011-10-12 2014-06-10 Vmware, Inc. Method and apparatus for root cause and critical pattern prediction using virtual directed graphs
US20130103739A1 (en) * 2011-10-21 2013-04-25 Cisco Technology, Inc. Obtaining Dynamic Connected-Network Topology Via any Node in Network

Also Published As

Publication number Publication date
EP3121723A1 (en) 2017-01-25
US20170093900A1 (en) 2017-03-30
US10887331B2 (en) 2021-01-05
EP3121723A4 (en) 2017-11-22
JPWO2015140843A1 (ja) 2017-04-06
WO2015140843A1 (ja) 2015-09-24

Similar Documents

Publication Publication Date Title
JP6288244B2 (ja) 情報処理装置、影響過程抽出方法およびプログラム
US10789118B2 (en) Information processing device and error detection method
US9355005B2 (en) Detection apparatus and detection method
CN108694320B (zh) 一种多安全环境下敏感应用动态度量的方法及系统
JP6711000B2 (ja) 情報処理装置、ウィルス検出方法及びプログラム
US9658908B2 (en) Failure symptom report device and method for detecting failure symptom
JP6259522B2 (ja) ソフトウェア障害の位置標定方法、装置及び設備
JP6245006B2 (ja) テストケース生成装置、方法、及びプログラム
JP2019057139A (ja) 運用管理システム、監視サーバ、方法およびプログラム
CN115982053A (zh) 一种检测软件源代码缺陷的方法、装置及应用
WO2015087509A1 (ja) 状態保存復元装置、状態保存復元方法、および、記憶媒体
US9686310B2 (en) Method and apparatus for repairing a file
CN116629330B (zh) 一种算子检测方法、装置以及计算机设备
US9465687B2 (en) Information processing apparatus and information processing method
US20150149829A1 (en) Failure detecting apparatus and failure detecting method
JP5836316B2 (ja) 障害監視システム、障害監視方法、及び障害監視プログラム
US11657160B2 (en) Vulnerability analyzer
US20190050568A1 (en) Process search apparatus and computer-readable recording medium
JP5516192B2 (ja) モデル作成装置、モデル作成プログラムおよびモデル作成方法
US11513884B2 (en) Information processing apparatus, control method, and program for flexibly managing event history
US11797707B2 (en) Non-transitory computer-readable recording medium having stored therein information processing program, information processing method, and information processing apparatus
JP6257236B2 (ja) データ処理装置及びデータ処理方法及びプログラム
JP7231029B2 (ja) 矛盾検知装置、矛盾検知方法およびプログラム
CN106874182B (zh) 代码异常处理、代码执行方法及装置
JP2010252154A (ja) 劣化箇所推定装置及び劣化箇所推定方法並びにそのプログラム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20170515

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20170926

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20171117

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20180109

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20180122

R150 Certificate of patent or registration of utility model

Ref document number: 6288244

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150