JP6296915B2 - 解析装置及び解析方法及びプログラム - Google Patents
解析装置及び解析方法及びプログラム Download PDFInfo
- Publication number
- JP6296915B2 JP6296915B2 JP2014126458A JP2014126458A JP6296915B2 JP 6296915 B2 JP6296915 B2 JP 6296915B2 JP 2014126458 A JP2014126458 A JP 2014126458A JP 2014126458 A JP2014126458 A JP 2014126458A JP 6296915 B2 JP6296915 B2 JP 6296915B2
- Authority
- JP
- Japan
- Prior art keywords
- communication
- suspicious
- destination
- terminal
- suspicious communication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
本発明は、不審な通信を解析する技術に関する。
近年、マルウェアが機密情報を組織外に漏洩させる事故が問題となっている。
マルウェアを用いたサイバー攻撃は高度化されつつあり、例えば、非特許文献１に示されるＡＰＴ（高度かつ継続的な脅威：Ａｄｖａｎｃｅｄ・Ｐｅｒｓｉｓｔｅｎｔ・Ｔｈｒｅａｔ）と呼ばれる攻撃等がある。
マルウェアを用いたサイバー攻撃は高度化されつつあり、例えば、非特許文献１に示されるＡＰＴ（高度かつ継続的な脅威：Ａｄｖａｎｃｅｄ・Ｐｅｒｓｉｓｔｅｎｔ・Ｔｈｒｅａｔ）と呼ばれる攻撃等がある。
ＡＰＴでは、添付メールなどで組織に侵入したマルウェアが、計算機に感染し、さらに、攻撃者が運用するインターネット上のＣ＆Ｃ（Ｃｏｍｍａｎｄ＆Ｃｏｎｔｒｏｌ）サーバと通信し、新しいマルウェアや攻撃ツールをダウンロードしたり自身をアップデートする。
そして、マルウェアはＣ＆Ｃサーバから命令を受信して、組織内を偵察し、ファイルサーバを見つけ、機密ファイルをＣ＆Ｃサーバへ通信で漏洩する。
これらの各活動を、攻撃とみなした場合、各攻撃は、長時間かけて段階的に行われる。
例えば、計算機に感染したマルウェアは、感染後、１ヶ月は活動せず身を潜め、１ヶ月後にＣ＆Ｃサーバと通信を開始する。
このように、ＡＰＴでは、複数の攻撃が時間をおいて行われる。
そして、マルウェアはＣ＆Ｃサーバから命令を受信して、組織内を偵察し、ファイルサーバを見つけ、機密ファイルをＣ＆Ｃサーバへ通信で漏洩する。
これらの各活動を、攻撃とみなした場合、各攻撃は、長時間かけて段階的に行われる。
例えば、計算機に感染したマルウェアは、感染後、１ヶ月は活動せず身を潜め、１ヶ月後にＣ＆Ｃサーバと通信を開始する。
このように、ＡＰＴでは、複数の攻撃が時間をおいて行われる。
さらに、水飲み場攻撃と呼ばれる攻撃が注目されている。
水飲み場攻撃とは、攻撃者が標的とする組織が閲覧することが予想される、インターネット上のＷｅｂサイトを侵害し、Ｗｅｂサイトを改ざんして、悪性Ｗｅｂサイトへのリンクを仕込んだり、マルウェアをホスティングする攻撃である。
また、Ｃ＆Ｃサーバとして悪用する場合もある。
このように、攻撃者が標的とする組織が閲覧することが予想されるＷｅｂサイトを改ざんすることで、標的とする組織が当Ｗｅｂサイトを閲覧した場合に、悪性サイトへ誘導したり、マルウェアに感染させたり、Ｃ＆Ｃサーバとして悪用できる。
標的とする組織は正規のサイトを閲覧している間に攻撃されていることになり、攻撃に気づかないことが多い。
また、標的とする組織以外の組織がアクセスした場合は攻撃を行わない場合があり、つまり、そのＷｅｂサイトにアクセスした誰に対しても攻撃を行うわけではないので、そのＷｅｂサイトが侵害されていることが世の中に知れ渡りにくい。
水飲み場攻撃とは、攻撃者が標的とする組織が閲覧することが予想される、インターネット上のＷｅｂサイトを侵害し、Ｗｅｂサイトを改ざんして、悪性Ｗｅｂサイトへのリンクを仕込んだり、マルウェアをホスティングする攻撃である。
また、Ｃ＆Ｃサーバとして悪用する場合もある。
このように、攻撃者が標的とする組織が閲覧することが予想されるＷｅｂサイトを改ざんすることで、標的とする組織が当Ｗｅｂサイトを閲覧した場合に、悪性サイトへ誘導したり、マルウェアに感染させたり、Ｃ＆Ｃサーバとして悪用できる。
標的とする組織は正規のサイトを閲覧している間に攻撃されていることになり、攻撃に気づかないことが多い。
また、標的とする組織以外の組織がアクセスした場合は攻撃を行わない場合があり、つまり、そのＷｅｂサイトにアクセスした誰に対しても攻撃を行うわけではないので、そのＷｅｂサイトが侵害されていることが世の中に知れ渡りにくい。
ＡＰＴの対策には、様々な方法がある。
ＡＰＴ対策の製品として、メールによる侵入を防止する製品、情報漏洩を防止する製品などがある。
また、ＡＰＴ対策の方法の一つとして自動的にログ分析する方法がある。
自動的にログ分析する方法は、計算機、サーバ、ルータ等のネットワーク機器、ファイアウォール、侵入検知システム等のセキュリティ機器等のログを分析し、相互の相関関係を調べる、あるいはログから異常な記録を見つけることでＡＰＴを検知する、あるいは経過を観察する方法がある。
ＡＰＴ対策の製品として、メールによる侵入を防止する製品、情報漏洩を防止する製品などがある。
また、ＡＰＴ対策の方法の一つとして自動的にログ分析する方法がある。
自動的にログ分析する方法は、計算機、サーバ、ルータ等のネットワーク機器、ファイアウォール、侵入検知システム等のセキュリティ機器等のログを分析し、相互の相関関係を調べる、あるいはログから異常な記録を見つけることでＡＰＴを検知する、あるいは経過を観察する方法がある。
ファイアウォール、あるいは侵入検知システム等のセキュリティ機器のログなどの相関関係を調べることで自動的に異常を検知する製品の例として、ＳＩＥＭ（セキュリティ情報およびイベント管理：Ｓｅｃｕｒｉｔｙ・Ｉｎｆｏｒｍａｔｉｏｎ・ａｎｄ・Ｅｖｅｎｔ・Ｍａｎａｇｅｍｅｎｔ）システムがある（特許文献１参照）。
ＳＩＥＭシステムは、統合ログ監視システムなどと呼ばれることもある。
ＳＩＥＭシステムは、統合ログ監視システムなどと呼ばれることもある。
また、各種ログを様々なキーワードでドリルダウンする、あるいは時系列で状況変化を表示する等により、人間が異常を発見するログ分析システムがある。
ＡＰＴでも水飲み場攻撃に関するものは正規サイトが改ざんされるため、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）フィルタやＷｅｂレピュテーションが無効である。
「新しいタイプの攻撃」の対策に向けた設計・運用ガイド，改訂第２版，ＩＰＡ
水飲み場攻撃に関しては、正規サイトが改ざんされるため、ＵＲＬフィルタやＷｅｂレピュテーションが無効である。
サンドボックス型のマルウェア検知システムは、マルウェアが感染してすぐに動き出す場合は検知できるが、時間をおいたり、あるイベントをきっかけに動き出す場合は検知漏れする。
また、マルウェアが暗号化されていた場合は、マルウェア検知システムで復号できないため検知漏れする。
アンチウイルスソフトも、新種のマルウェアの場合はシグネチャの作成が遅れ検知漏れすることがある。
振る舞い検知型のアンチウイルスソフトであっても方式に依存し検知漏れが発生する課題がある。
サンドボックス型のマルウェア検知システムは、マルウェアが感染してすぐに動き出す場合は検知できるが、時間をおいたり、あるイベントをきっかけに動き出す場合は検知漏れする。
また、マルウェアが暗号化されていた場合は、マルウェア検知システムで復号できないため検知漏れする。
アンチウイルスソフトも、新種のマルウェアの場合はシグネチャの作成が遅れ検知漏れすることがある。
振る舞い検知型のアンチウイルスソフトであっても方式に依存し検知漏れが発生する課題がある。
この様に、各々のセキュリティ機器で水飲み場攻撃を検知することは困難なため、セキュリティ機器や通信機器のログを突き合わせて分析することが望ましい。
本発明は、上記のような、水飲み場攻撃を含めた不正な通信を検知することを主な目的とする。
本発明に係る解析装置は、
不審な通信を行った機器である不審通信機器と、前記不審通信機器の通信先である不審通信先とが検知された場合に、前記不審通信機器以外の機器であって前記不審通信先との通信履歴がある機器を解析対象機器として抽出する機器抽出部と、
前記解析対象機器と前記不審通信先との通信履歴を解析して、前記不審通信機器と前記不審通信先との間の通信が不正な通信であるか否かを判定する通信判定部とを有することを特徴とする。
不審な通信を行った機器である不審通信機器と、前記不審通信機器の通信先である不審通信先とが検知された場合に、前記不審通信機器以外の機器であって前記不審通信先との通信履歴がある機器を解析対象機器として抽出する機器抽出部と、
前記解析対象機器と前記不審通信先との通信履歴を解析して、前記不審通信機器と前記不審通信先との間の通信が不正な通信であるか否かを判定する通信判定部とを有することを特徴とする。
本発明では、不審通信先との通信履歴がある機器を解析対象機器として抽出し、解析対象機器と不審通信先との通信履歴を解析して、不審通信機器と不審通信先との通信が不正な通信であるか否かを判定する。
このように、不審通信機器と不審通信先との通信履歴のみならず、解析対象機器と不審通信先との通信履歴も解析することで、水飲み場攻撃を含めた不正な通信を検知することができる。
このように、不審通信機器と不審通信先との通信履歴のみならず、解析対象機器と不審通信先との通信履歴も解析することで、水飲み場攻撃を含めた不正な通信を検知することができる。
実施の形態１．
本実施の形態及び以降の実施の形態では、複数のセキュリティログを分析することで水飲み場攻撃を含めたサイバー攻撃の検知を行う構成を説明する。
本実施の形態及び以降の実施の形態では、複数のセキュリティログを分析することで水飲み場攻撃を含めたサイバー攻撃の検知を行う構成を説明する。
図１は、本実施の形態に係るセキュリティログ分析装置１を示す図である。
図１を用いて、セキュリティログ分析装置１の動作の概要について説明する。
なお、セキュリティログ分析装置１は、解析装置の例に相当する。
図１を用いて、セキュリティログ分析装置１の動作の概要について説明する。
なお、セキュリティログ分析装置１は、解析装置の例に相当する。
図１に示すように、セキュリティログ分析装置１は、入力部１０１、解釈部１０２、攻撃判定部１０３、出力部１０４、セキュリティ対策情報検索部２０１、ログ検索部２０２、端末設定情報検索部２０３、インベントリ情報検索部２０４を備える。
また、セキュリティログ分析装置１は、セキュリティ対策情報ＤＢ３０１、ログＤＢ３０２、端末設定情報ＤＢ３０３、インベントリ情報ＤＢ３０４を備える。
また、セキュリティログ分析装置１は、セキュリティ対策情報ＤＢ３０１、ログＤＢ３０２、端末設定情報ＤＢ３０３、インベントリ情報ＤＢ３０４を備える。
入力部１０１は、検知１２０１’を入力し、検知データ１１０１を出力する。
解釈部１０２は、検知データ１１０１を入力し、検知情報１１０２を出力する。
解釈部１０２は、検知データ１１０１を入力し、検知情報１１０２を出力する。
セキュリティ対策情報検索部２０１は、セキュリティ対策情報検索条件１１０３を入力し、セキュリティ対策情報検索条件１１０３’を出力してセキュリティ対策情報ＤＢ３０１を検索する。
セキュリティ対策情報検索部２０１は、セキュリティ対策情報ＤＢ３０１から、検索結果であるセキュリティ対策情報１１０４を入力する。
さらに、セキュリティ対策情報検索部２０１は、入力したセキュリティ対策情報１１０４を攻撃判定部１０３へ出力する。
セキュリティ対策情報検索部２０１は、セキュリティ対策情報ＤＢ３０１から、検索結果であるセキュリティ対策情報１１０４を入力する。
さらに、セキュリティ対策情報検索部２０１は、入力したセキュリティ対策情報１１０４を攻撃判定部１０３へ出力する。
セキュリティ対策情報ＤＢ３０１は、攻撃情報と対策に関わる情報を保存する。
ログ検索部２０２は、ログ検索条件１１０５を入力し、ログ検索条件１１０５’を出力してログＤＢ３０２を検索する。
ログ検索部２０２は、ログＤＢ３０２から、検索結果であるログエントリ１１０６を入力する。
さらに、ログ検索部２０２は、入力したログエントリ１１０６を攻撃判定部１０３へ出力する。
ログ検索部２０２は、機器抽出部の例に相当する。
ログ検索部２０２は、ログＤＢ３０２から、検索結果であるログエントリ１１０６を入力する。
さらに、ログ検索部２０２は、入力したログエントリ１１０６を攻撃判定部１０３へ出力する。
ログ検索部２０２は、機器抽出部の例に相当する。
ログＤＢ３０２は、プロキシログや端末ログなど様々なログを保存する。
端末設定情報検索部２０３は、端末設定情報検索条件１１０７を入力し、端末設定情報検索条件１１０７’を出力して端末設定情報ＤＢ３０３を検索する。
端末設定情報検索部２０３は、端末設定情報ＤＢ３０３から、検索結果である端末設定情報１１０８を入力する。
さらに、端末設定情報検索部２０３は、入力した端末設定情報１１０８を攻撃判定部１０３へ出力する。
端末設定情報検索部２０３は、端末設定情報ＤＢ３０３から、検索結果である端末設定情報１１０８を入力する。
さらに、端末設定情報検索部２０３は、入力した端末設定情報１１０８を攻撃判定部１０３へ出力する。
端末設定情報ＤＢ３０３は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）やサーバなどの端末のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）や、ブラウザやメーラなどのソフトウェアの設定情報を保存する。
また、端末設定情報ＤＢ３０３は、ブラウザやメーラの設定、ネットワークの設定などにアクセス可能なプロセス、アプリケーション名の情報も保存する。
また、端末設定情報ＤＢ３０３は、ブラウザやメーラの設定、ネットワークの設定などにアクセス可能なプロセス、アプリケーション名の情報も保存する。
インベントリ情報検索部２０４は、インベントリ情報検索条件１１０９を入力し、インベントリ情報検索条件１１０９’を出力してインベントリ情報ＤＢ３０４を検索する。
インベントリ情報検索部２０４は、インベントリ情報ＤＢ３０４から、検索結果であるインベントリ情報１１１０を入力する。
さらに、インベントリ情報検索部２０４は、入力したインベントリ情報１１１０を攻撃判定部１０３へ出力する。
インベントリ情報検索部２０４は、インベントリ情報ＤＢ３０４から、検索結果であるインベントリ情報１１１０を入力する。
さらに、インベントリ情報検索部２０４は、入力したインベントリ情報１１１０を攻撃判定部１０３へ出力する。
インベントリ情報ＤＢ３０４は、ＰＣやサーバなどの端末の、資産ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、使用ＯＳやアプリケーション、パッチ適用状況、アカウント権限などの情報を保存する。
攻撃判定部１０３は、検知情報１１０２、セキュリティ対策情報１１０４、ログエントリ１１０６、端末設定情報１１０８、インベントリ情報１１１０を入力し、分析結果１１１１を出力部１０４に出力する。
また、攻撃判定部１０３は、セキュリティログ分析装置１の外部から、攻撃判定条件１２０２、セキュリティ対策情報検索条件１２０３、ログ検索条件１２０４、端末設定情報検索条件１２０５、インベントリ情報検索条件１２０６を入力する。
攻撃判定部１０３は、通信判定部の例に相当する。
また、攻撃判定部１０３は、セキュリティログ分析装置１の外部から、攻撃判定条件１２０２、セキュリティ対策情報検索条件１２０３、ログ検索条件１２０４、端末設定情報検索条件１２０５、インベントリ情報検索条件１２０６を入力する。
攻撃判定部１０３は、通信判定部の例に相当する。
図２は、本実施の形態に係る検知１２０１’の構成の一例を示す図である。
図３は、本実施の形態に係るセキュリティ対策情報１１０４の構成の一例を示す図である。
図４は、本実施の形態に係るインベントリ情報１１１０の構成の一例を示す図である。
インベントリ情報１１１０は、資産識別情報１１１０＿ａ、資産ＯＳ情報１１１０＿ｂ、資産アプリ情報１１１０＿ｃ、資産実行情報１１００＿ｄ、資産セキュリティ施策情報１１１０＿ｅで構成される。
資産識別情報１１１０＿ａは、端末やサーバやセキュリティ機器の資産ＩＤ（識別子）、ＩＰアドレス、ＭＡＣアドレス、（その資産を使用するユーザの）ユーザＩＤなどで構成される。
資産ＯＳ情報１１１０＿ｂは、インストールされているＯＳの情報（製品ＩＤ、バージョン情報）、そのＯＳに適用しているパッチの情報（適用パッチ。パッチＩＤで識別する）、そのＯＳに適用している回避策の情報（適用回避策。回避策ＩＤで識別する）などで構成される。
資産アプリ情報１１１０＿ｃは、インストールされている（アプリケーション）ソフトウエアの情報（アプリ。製品ＩＤ、バージョン情報）、そのソフトウエアに適用しているパッチの情報（適用パッチ。パッチＩＤで識別する）、そのソフトウエアに適用している回避策（適用回避策。回避策ＩＤで識別する）などで構成される。
資産実行情報１１００＿ｄは、資産にインストールされたＯＳやアプリケーションソフトウエアを実行するための権限の情報であり、実行権限である。
資産セキュリティ施策情報１１１０＿ｅは、資産におけるセキュリティ施策（ＯＳやソフトウエアについて、実施しているセキュリティに関わる設定や、アンチウイルスソフトウエアなどのセキュリティ施策について、製品名、バージョン、パターンファイル番号など）の情報である。
インベントリ情報１１１０は、さらに、この資産（端末やサーバやセキュリティ機器）の用途として、開発用途、人事用途などの情報を含んでもよく、また、どの様な種類のファイル（設計ファイル、人事秘ファイルなど）を保存しているかの情報でもよい。また、ハードウエア、ソフトウエアの構成情報を含んでもよい。
図５は、本実施の形態に係る端末設定情報１１０８の構成の一例を示す図である。
端末設定情報１１０８は、各種ファイルが格納されているディレクトリなどの位置、ブラウザの設定（プロキシなど）、メーラの設定（メールアドレスなど）などの、端末の設定に関する情報である。また、ブラウザはどのファイルにアクセスできるか、どのプロセスを起動するか、起動したプロセスが何のファイルや情報にアクセスするか、といったアプリケーションに固有の情報を有する。また、特定のファイルに対してアクセス可能なプロセス名の情報が含まれてもよい。
図３は、本実施の形態に係るセキュリティ対策情報１１０４の構成の一例を示す図である。
図４は、本実施の形態に係るインベントリ情報１１１０の構成の一例を示す図である。
インベントリ情報１１１０は、資産識別情報１１１０＿ａ、資産ＯＳ情報１１１０＿ｂ、資産アプリ情報１１１０＿ｃ、資産実行情報１１００＿ｄ、資産セキュリティ施策情報１１１０＿ｅで構成される。
資産識別情報１１１０＿ａは、端末やサーバやセキュリティ機器の資産ＩＤ（識別子）、ＩＰアドレス、ＭＡＣアドレス、（その資産を使用するユーザの）ユーザＩＤなどで構成される。
資産ＯＳ情報１１１０＿ｂは、インストールされているＯＳの情報（製品ＩＤ、バージョン情報）、そのＯＳに適用しているパッチの情報（適用パッチ。パッチＩＤで識別する）、そのＯＳに適用している回避策の情報（適用回避策。回避策ＩＤで識別する）などで構成される。
資産アプリ情報１１１０＿ｃは、インストールされている（アプリケーション）ソフトウエアの情報（アプリ。製品ＩＤ、バージョン情報）、そのソフトウエアに適用しているパッチの情報（適用パッチ。パッチＩＤで識別する）、そのソフトウエアに適用している回避策（適用回避策。回避策ＩＤで識別する）などで構成される。
資産実行情報１１００＿ｄは、資産にインストールされたＯＳやアプリケーションソフトウエアを実行するための権限の情報であり、実行権限である。
資産セキュリティ施策情報１１１０＿ｅは、資産におけるセキュリティ施策（ＯＳやソフトウエアについて、実施しているセキュリティに関わる設定や、アンチウイルスソフトウエアなどのセキュリティ施策について、製品名、バージョン、パターンファイル番号など）の情報である。
インベントリ情報１１１０は、さらに、この資産（端末やサーバやセキュリティ機器）の用途として、開発用途、人事用途などの情報を含んでもよく、また、どの様な種類のファイル（設計ファイル、人事秘ファイルなど）を保存しているかの情報でもよい。また、ハードウエア、ソフトウエアの構成情報を含んでもよい。
図５は、本実施の形態に係る端末設定情報１１０８の構成の一例を示す図である。
端末設定情報１１０８は、各種ファイルが格納されているディレクトリなどの位置、ブラウザの設定（プロキシなど）、メーラの設定（メールアドレスなど）などの、端末の設定に関する情報である。また、ブラウザはどのファイルにアクセスできるか、どのプロセスを起動するか、起動したプロセスが何のファイルや情報にアクセスするか、といったアプリケーションに固有の情報を有する。また、特定のファイルに対してアクセス可能なプロセス名の情報が含まれてもよい。
次に、図１〜図６を用いて、セキュリティログ分析装置１の動作について説明する。
本実施の形態では、端末は、端末が配置される組織のプロキシサーバを経由してインターネットのＷｅｂサイトに接続するものとする。
図１に示すように、入力部１０１は、検知１２０１’を入力する。
検知１２０１’は、図２に示す検知１２０１が、フォーマット化された情報である。
図２に示すように、検知１２０１は、以下の内容から構成される。
（ａ）日時：攻撃が発生した日時。
（ｂ）攻撃ＩＤ：攻撃を識別する情報。
（ｃ）攻撃種別：攻撃の種別（例えば、不審なＷｅｂアクセス、ＤｏＳ攻撃、権限昇格など）。
（ｄ）脆弱性ＩＤ：攻撃がソフトウェアなどの脆弱性を悪用することで成り立つ場合、その識別情報（例えば、ＣＶＥ番号（脆弱性識別番号））。
（ｅ）攻撃元情報：ＳｏｕｒｃｅＩＰ／Ｐｏｒｔ、資産ＩＤなど攻撃元若しくは通信元に関する情報（通信元情報）。
（ｆ）攻撃先情報：ＤｅｓｔｉｎａｔｉｏｎＩＰ／Ｐｏｒｔ、ＵＲＬ、資産ＩＤなど攻撃先若しくは通信先に関する情報（通信先情報）。
このような情報は、例えば、ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）などのセキュリティ機器による攻撃の検知結果として通知される。
或いは、セキュリティログ分析装置１の外部で、プロキシログを分析した結果、不審なＷｅｂサイト（（ｆ）攻撃先情報）へ、ある端末（（ｅ）攻撃元情報）から定期的／不規則に、通信が発生していることが、検知１２０１’として入力される。
検知１２０１’は、図２に示す検知１２０１が、フォーマット化された情報である。
図２に示すように、検知１２０１は、以下の内容から構成される。
（ａ）日時：攻撃が発生した日時。
（ｂ）攻撃ＩＤ：攻撃を識別する情報。
（ｃ）攻撃種別：攻撃の種別（例えば、不審なＷｅｂアクセス、ＤｏＳ攻撃、権限昇格など）。
（ｄ）脆弱性ＩＤ：攻撃がソフトウェアなどの脆弱性を悪用することで成り立つ場合、その識別情報（例えば、ＣＶＥ番号（脆弱性識別番号））。
（ｅ）攻撃元情報：ＳｏｕｒｃｅＩＰ／Ｐｏｒｔ、資産ＩＤなど攻撃元若しくは通信元に関する情報（通信元情報）。
（ｆ）攻撃先情報：ＤｅｓｔｉｎａｔｉｏｎＩＰ／Ｐｏｒｔ、ＵＲＬ、資産ＩＤなど攻撃先若しくは通信先に関する情報（通信先情報）。
このような情報は、例えば、ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）などのセキュリティ機器による攻撃の検知結果として通知される。
或いは、セキュリティログ分析装置１の外部で、プロキシログを分析した結果、不審なＷｅｂサイト（（ｆ）攻撃先情報）へ、ある端末（（ｅ）攻撃元情報）から定期的／不規則に、通信が発生していることが、検知１２０１’として入力される。
セキュリティログ分析装置１は、検知１２０１’を、例えば、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）やＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）パケットとして入力する。
検知１２０１’は、パケットのボディ部に検知１２０１を格納する形でフォーマット化される。
検知１２０１’は、セキュリティ機器のログファイルに記録されたログのエントリでもよい。
検知１２０１’は、パケットのボディ部に検知１２０１を格納する形でフォーマット化される。
検知１２０１’は、セキュリティ機器のログファイルに記録されたログのエントリでもよい。
入力部１０１は、（検知１２０１がフォーマット化された情報である）検知１２０１’から、検知１２０１’がパケットの場合はボディ部を、ログエントリの場合は、そのエントリである検知データ１１０１を取り出し、解釈部１０２へ出力する。
すなわち、検知データ１１０１とは、検知１２０１のことである。
すなわち、検知データ１１０１とは、検知１２０１のことである。
解釈部１０２は、検知１２０１である検知データ１１０１を入力する。
解釈部１０２は、入力した検知データ１１０１を、日時、攻撃ＩＤ、攻撃種別、脆弱性ＩＤ、攻撃元情報、攻撃先情報などの構成要素に分解する（解釈する）。
解釈部１０２は、この結果を、攻撃判定部１０３に入力する。
解釈部１０２は、入力した検知データ１１０１を、日時、攻撃ＩＤ、攻撃種別、脆弱性ＩＤ、攻撃元情報、攻撃先情報などの構成要素に分解する（解釈する）。
解釈部１０２は、この結果を、攻撃判定部１０３に入力する。
攻撃判定部１０３は、攻撃元情報、攻撃先情報のうち、監視対象の組織内の機器に該当する情報を選択する。
例えば、攻撃元情報が組織内の端末のＩＰアドレスであれば、攻撃元情報を選択する。
ここで、検知１２０１’で通知された攻撃元情報（通信元情報）で識別される端末が、組織内の端末Ａであるとする（図６のＳ１０３＿１）。
なお、攻撃元情報（通信元情報）で識別される端末は、不審な通信を行った機器であり、不審通信機器に相当する。
また、攻撃先情報（通信先情報）で識別される通信先は、不審通信機器の通信先であり、不審通信先に相当する。
例えば、攻撃元情報が組織内の端末のＩＰアドレスであれば、攻撃元情報を選択する。
ここで、検知１２０１’で通知された攻撃元情報（通信元情報）で識別される端末が、組織内の端末Ａであるとする（図６のＳ１０３＿１）。
なお、攻撃元情報（通信元情報）で識別される端末は、不審な通信を行った機器であり、不審通信機器に相当する。
また、攻撃先情報（通信先情報）で識別される通信先は、不審通信機器の通信先であり、不審通信先に相当する。
次に、攻撃判定部１０３は、セキュリティ対策情報検索条件１１０３として、通知された攻撃種別若しくは脆弱性ＩＤを指定して、セキュリティ対策情報検索部２０１へ出力する。
セキュリティ対策情報検索部２０１はセキュリティ対策情報検索条件１１０３をもとに、セキュリティ対策情報ＤＢ３０１に対して、セキュリティ対策情報検索条件１１０３’を出力し、該当する情報を検索して、セキュリティ対策情報１１０４（図３）を入力し、さらに、攻撃判定部１０３へ出力する（図６のＳ１０３＿２）。
セキュリティ対策情報１１０４の一例として図３を用いて説明する。
セキュリティ対策情報１１０４は、攻撃識別情報１１０７＿ａ、攻撃情報１１０７＿ｂ、対策識別情報１１０７＿ｃ、対策情報１１０７＿ｄ、対策実施の有無１１０７＿ｅで構成される。
攻撃識別情報１１０７＿ａは、攻撃ＩＤ（識別情報）、攻撃種別、脆弱性ＩＤで構成される。
攻撃情報１１０７＿ｂは、影響を受ける製品の情報（製品ＩＤ、バージョン情報、パッチＩＤなど）、必要とする実行権限（管理者権限など）、キーワード（攻撃情報を表す文言）などの情報で構成される。
対策識別情報１１０７＿ｃは、（攻撃に対する対策の情報の）対策ＩＤである。
対策情報１１０７＿ｄは、（ＩＤＳなどのシグネチャの）シグネチャＩＤ、（脆弱性を修正するパッチの）パッチＩＤ、（脆弱性を回避するための回避策の）回避策ＩＤ、回避策内容などの情報で構成される。
対策実施の有無１１０７＿ｅは、情報システムにおいて、対策を実施したか否かの情報（対策情報の有無）である。
セキュリティ対策情報検索部２０１はセキュリティ対策情報検索条件１１０３をもとに、セキュリティ対策情報ＤＢ３０１に対して、セキュリティ対策情報検索条件１１０３’を出力し、該当する情報を検索して、セキュリティ対策情報１１０４（図３）を入力し、さらに、攻撃判定部１０３へ出力する（図６のＳ１０３＿２）。
セキュリティ対策情報１１０４の一例として図３を用いて説明する。
セキュリティ対策情報１１０４は、攻撃識別情報１１０７＿ａ、攻撃情報１１０７＿ｂ、対策識別情報１１０７＿ｃ、対策情報１１０７＿ｄ、対策実施の有無１１０７＿ｅで構成される。
攻撃識別情報１１０７＿ａは、攻撃ＩＤ（識別情報）、攻撃種別、脆弱性ＩＤで構成される。
攻撃情報１１０７＿ｂは、影響を受ける製品の情報（製品ＩＤ、バージョン情報、パッチＩＤなど）、必要とする実行権限（管理者権限など）、キーワード（攻撃情報を表す文言）などの情報で構成される。
対策識別情報１１０７＿ｃは、（攻撃に対する対策の情報の）対策ＩＤである。
対策情報１１０７＿ｄは、（ＩＤＳなどのシグネチャの）シグネチャＩＤ、（脆弱性を修正するパッチの）パッチＩＤ、（脆弱性を回避するための回避策の）回避策ＩＤ、回避策内容などの情報で構成される。
対策実施の有無１１０７＿ｅは、情報システムにおいて、対策を実施したか否かの情報（対策情報の有無）である。
次に、攻撃判定部１０３は、ログ検索条件１１０５として、通知された攻撃先（通信先）情報、検索期間、ログ種類を指定して、ログ検索部２０２へ出力する。
ここで、検索期間はログ検索条件１２０４で例えば、「検知の発生した日時を基準に前後２４時間」として指定されたものである。
従って、検知情報１１０２で通知された攻撃が発生した日時の前後２４時間を検索期間とする。
ログ種類は、ログ検索条件１１０５で指定されたログ種類であり、例えば、プロキシログである。
ログ種類は、通知された攻撃ＩＤや攻撃種別に対して、予めどのログ種類を調べるかログ検索条件１２０４で指定する。
または、セキュリティログ分析装置１の運用者が予め指定して、同装置内に保存しておく。
この場合は、「不審なＷｅｂアクセスが通知された場合は、プロキシログを調べる」という指定をログ検索条件１２０４で指定する。
ここで、検索期間はログ検索条件１２０４で例えば、「検知の発生した日時を基準に前後２４時間」として指定されたものである。
従って、検知情報１１０２で通知された攻撃が発生した日時の前後２４時間を検索期間とする。
ログ種類は、ログ検索条件１１０５で指定されたログ種類であり、例えば、プロキシログである。
ログ種類は、通知された攻撃ＩＤや攻撃種別に対して、予めどのログ種類を調べるかログ検索条件１２０４で指定する。
または、セキュリティログ分析装置１の運用者が予め指定して、同装置内に保存しておく。
この場合は、「不審なＷｅｂアクセスが通知された場合は、プロキシログを調べる」という指定をログ検索条件１２０４で指定する。
従って、ログ検索条件１１０５は、以下の条件となる。
・検索期間：攻撃が発生した日時（２０１４／０３／２１：１２：００：００とする）の前後２４時間を検索期間（２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００とする）
・宛先：通知されたＵＲＬ（ｗｗｗ．○×△．ｎｅｔとする）
・検索するログ：プロキシログ
・検索期間：攻撃が発生した日時（２０１４／０３／２１：１２：００：００とする）の前後２４時間を検索期間（２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００とする）
・宛先：通知されたＵＲＬ（ｗｗｗ．○×△．ｎｅｔとする）
・検索するログ：プロキシログ
ログ検索部２０２は、このログ検索条件１１０５を入力し、ログ検索条件１１０５’としてログＤＢ３０２に対して該当するログを検索し、検索結果をログエントリ１１０６として入力し、さらに、攻撃判定部１０３へ出力する（図６のＳ１０３＿３）。
この結果、該当するログエントリから、指定した期間に通知されたＵＲＬ（ｗｗｗ．○×△．ｎｅｔ）と通信した端末の識別情報（例：ＩＰアドレス）がわかる。
この端末には端末Ａも含まれる。
ここで、取得されたログを以下とする（図６のＳ１０３＿３）。
・端末Ａに関わるもの：ＬｏｇＡ
・端末Ｂｉ（ｉ＝１〜ｎ）に関わるもの：ＬｏｇＢｉ（ｉ＝１〜ｎ）
ここで、端末Ｂｉ（ｉ＝１〜ｎ）は、検索期間において通知されたＵＲＬにアクセスした端末Ａ以外の端末である。
なお、ログ検索部２０２により抽出された端末Ｂｉ（ｉ＝１〜ｎ）は、不審通信機器である端末Ａ以外の端末であって、不審通信先であるＵＲＬ（ｗｗｗ．○×△．ｎｅｔ）との通信履歴がある機器であり、解析対象機器の例である。
この結果、該当するログエントリから、指定した期間に通知されたＵＲＬ（ｗｗｗ．○×△．ｎｅｔ）と通信した端末の識別情報（例：ＩＰアドレス）がわかる。
この端末には端末Ａも含まれる。
ここで、取得されたログを以下とする（図６のＳ１０３＿３）。
・端末Ａに関わるもの：ＬｏｇＡ
・端末Ｂｉ（ｉ＝１〜ｎ）に関わるもの：ＬｏｇＢｉ（ｉ＝１〜ｎ）
ここで、端末Ｂｉ（ｉ＝１〜ｎ）は、検索期間において通知されたＵＲＬにアクセスした端末Ａ以外の端末である。
なお、ログ検索部２０２により抽出された端末Ｂｉ（ｉ＝１〜ｎ）は、不審通信機器である端末Ａ以外の端末であって、不審通信先であるＵＲＬ（ｗｗｗ．○×△．ｎｅｔ）との通信履歴がある機器であり、解析対象機器の例である。
次に、攻撃判定部１０３は、インベントリ情報検索部２０４に、インベントリ情報検索条件１１０９を出力する。
インベントリ情報検索条件１１０９は、インベントリ情報検索条件で指定された「検索期間と検索対象」を用いて攻撃判定部１０３により生成される。
ここで、インベントリ情報は、端末にインストールされたＯＳとソフトウェアの情報、及び、これらのパッチ情報とする。
検索期間は、攻撃が発生した日時（２０１４／０３／２１：１２：００：００）の前後２４時間を検索期間（２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００）とする。
インベントリ情報検索条件１１０９は、インベントリ情報検索条件で指定された「検索期間と検索対象」を用いて攻撃判定部１０３により生成される。
ここで、インベントリ情報は、端末にインストールされたＯＳとソフトウェアの情報、及び、これらのパッチ情報とする。
検索期間は、攻撃が発生した日時（２０１４／０３／２１：１２：００：００）の前後２４時間を検索期間（２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００）とする。
インベントリ情報検索条件１１０９は、以下の条件となる。
・検索期間：攻撃が発生した日時（２０１４／０３／２１：１２：００：００）の前後２４時間（２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００）
・検索対象：検知１２０１’で通知された攻撃先情報（通信先情報）に対して、検索期間にアクセスした端末
・検索期間：攻撃が発生した日時（２０１４／０３／２１：１２：００：００）の前後２４時間（２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００）
・検索対象：検知１２０１’で通知された攻撃先情報（通信先情報）に対して、検索期間にアクセスした端末
この結果、検索対象は端末Ａ、端末Ｂｉ（ｉ＝１〜ｎ）となる。
インベントリ情報検索部２０４は、インベントリ情報検索条件１１０９を入力し、インベントリ情報検索条件１１０９’としてインベントリ情報ＤＢ３０４へ出力し、該当するインベントリ情報１１１０を入力し、さらに、攻撃判定部１０３へ出力する。
この結果、得られたインベントリ情報を以下とする（図６のＳ１０３＿４）。
ＩｎｖＡ：端末Ａのインベントリ情報
ＩｎｖＢｉ：端末Ｂｉのインベントリ情報（ｉ＝１〜ｎ）
この結果、得られたインベントリ情報を以下とする（図６のＳ１０３＿４）。
ＩｎｖＡ：端末Ａのインベントリ情報
ＩｎｖＢｉ：端末Ｂｉのインベントリ情報（ｉ＝１〜ｎ）
攻撃判定部１０３は次のように、検知１２０１’で通知された通信が攻撃（不正な通信）か、以下の処理で判定する（図６のＳ１０３＿５）。
ここでは、説明を簡潔にするため、端末Ｂｉ（ｉ＝１〜ｎ）については、ｎ＝１として端末Ｂ１で表現する。
ここでは、説明を簡潔にするため、端末Ｂｉ（ｉ＝１〜ｎ）については、ｎ＝１として端末Ｂ１で表現する。
攻撃判定部１０３は、セキュリティ対策情報（図３）で示された攻撃情報について、端末Ａと端末Ｂ１のインベントリ情報を照合して、各端末でセキュリティ対策が施されているか確認する。
インベントリ情報には、インストールしているＯＳとソフトウェア、それらのパッチ適用情報が存在するため、端末Ａと端末Ｂ１において差異があるか確認する。
ここでは、図３の対策情報１１０７＿ｄのパッチＩＤを用いて、パッチの適用状態を確認する。
「最新のパッチ」が適用されているかどうかを、端末Ａ、Ｂ１ごとにパッチの適用／未適用で示している。
インベントリ情報には、インストールしているＯＳとソフトウェア、それらのパッチ適用情報が存在するため、端末Ａと端末Ｂ１において差異があるか確認する。
ここでは、図３の対策情報１１０７＿ｄのパッチＩＤを用いて、パッチの適用状態を確認する。
「最新のパッチ」が適用されているかどうかを、端末Ａ、Ｂ１ごとにパッチの適用／未適用で示している。
ここで、ログ検索部２０２から、端末Ａと端末Ｂ１が、２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００の期間に、ｗｗｗ．○×△．ｎｅｔへ通信した記録がプロキシログから、ログエントリ１１０６として得られている。
つまり、ログエントリ１１０６は、前に定義したＬｏｇＡとＬｏｇＢｉ（ｉ＝１、つまりＬｏｇＢ１）である。
つまり、ログエントリ１１０６は、前に定義したＬｏｇＡとＬｏｇＢｉ（ｉ＝１、つまりＬｏｇＢ１）である。
ここで、攻撃判定部１０３は、端末Ｂ１のｗｗｗ．○×△．ｎｅｔに対する通信について不審か否かを、ＬｏｇＢ１に対して、予め定めた方法で分析する。
その方法は従来技術を利用してよく、例えば、通信の傾向が定期的である、頻度が極端に高いなどで判定する。
その結果により、不審通信有、不審通信無を判定する（図６のＳ１０３＿５）。
その方法は従来技術を利用してよく、例えば、通信の傾向が定期的である、頻度が極端に高いなどで判定する。
その結果により、不審通信有、不審通信無を判定する（図６のＳ１０３＿５）。
次に、攻撃判定部１０３は、表１において、端末Ａと端末Ｂ１の通信とパッチの適用状態を比較して、端末Ａの通信が正常通信か不正通信か判定する（図６のＳ１０３＿６）。
図６のＳ１０３＿４で取得したＩｎｖＡ、ＩｎｖＢ１は、２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００の期間における、端末Ａと端末Ｂ１のインベントリ情報であり、これを調べることでこれらの端末の最新のパッチの適用の有無がわかる。
図６のＳ１０３＿４で取得したＩｎｖＡ、ＩｎｖＢ１は、２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００の期間における、端末Ａと端末Ｂ１のインベントリ情報であり、これを調べることでこれらの端末の最新のパッチの適用の有無がわかる。
攻撃判定部１０３は、端末Ｂ１において最新のパッチが未適用＋不審通信有である場合に対して、端末Ａにおいて最新のパッチが未適用の場合は、後に述べる方法で端末Ｓと比較する（１）。
攻撃判定部１０３は、端末Ｂ１において最新のパッチが未適用＋不審通信無である場合に対して、端末Ａにおいて最新のパッチが未適用の場合は、後に述べる方法で端末Ｓと比較する（２）。
攻撃判定部１０３は、端末Ｂ１において最新のパッチが未適用＋不審通信有である場合に対して、端末Ａにおいて最新のパッチが適用されている場合は、端末Ａの通信を正常通信と判定する（３）。
攻撃判定部１０３は、端末Ｂ１において最新のパッチが未適用＋不審通信無である場合に対して、端末Ａにおいて最新のパッチが適用されている場合は、端末Ａの通信を正常通信と判定する（４）。
攻撃判定部１０３は、端末Ｂ１において最新のパッチが適用されている＋不審通信有である場合に対して、端末Ａが最新のパッチが未適用の場合は、端末Ａの通信と端末Ｂ１の通信を比較し類似しているか判定する（５）。
その方法は、既存の技術を適用してよいが、例を２つ示す。
−端末Ａと端末Ｂ１における、ｗｗｗ．○×△．ｎｅｔへのアクセス数を１分毎に、端末Ａと端末Ｂ１ごとに集計する。集計した結果の平均と分散を、端末Ａと端末Ｂ１について調べ、差異があるか調べる。差異が無ければ類似、差異があれば、非類似と判定する。
−端末Ａと端末Ｂ１における、ｗｗｗ．○×△．ｎｅｔへのアクセス数を１分毎に、端末Ａと端末Ｂ１ごとに集計する。次に、集計した結果から、アクセスが発生した時間帯（１分毎）から、次にアクセスが発生した時間帯を調べ、定期的にアクセスが発生しているか、ランダムにアクセスが発生しているかを調べて、傾向を比較する。
攻撃判定部１０３は、端末Ａと端末Ｂ１の通信が似ているか判定した結果、類似と判定された場合は、端末Ａの通信を正常通信と判定する。
非類似と判定された場合は、不正通信として判定する。
その方法は、既存の技術を適用してよいが、例を２つ示す。
−端末Ａと端末Ｂ１における、ｗｗｗ．○×△．ｎｅｔへのアクセス数を１分毎に、端末Ａと端末Ｂ１ごとに集計する。集計した結果の平均と分散を、端末Ａと端末Ｂ１について調べ、差異があるか調べる。差異が無ければ類似、差異があれば、非類似と判定する。
−端末Ａと端末Ｂ１における、ｗｗｗ．○×△．ｎｅｔへのアクセス数を１分毎に、端末Ａと端末Ｂ１ごとに集計する。次に、集計した結果から、アクセスが発生した時間帯（１分毎）から、次にアクセスが発生した時間帯を調べ、定期的にアクセスが発生しているか、ランダムにアクセスが発生しているかを調べて、傾向を比較する。
攻撃判定部１０３は、端末Ａと端末Ｂ１の通信が似ているか判定した結果、類似と判定された場合は、端末Ａの通信を正常通信と判定する。
非類似と判定された場合は、不正通信として判定する。
攻撃判定部１０３は、端末Ｂ１において最新のパッチが適用されている＋不審通信有である場合に対して、端末Ａにおいて最新のパッチが適用されている場合は、端末Ａの通信を正常通信と判定する（６）。
攻撃判定部１０３は、端末Ｂ１において、最新のパッチが適用されている場合＋不審通信無の場合に対して、端末Ａにおいて最新のパッチが適用されていない場合は、端末Ａの通信を不正通信と判定する（７）。
攻撃判定部１０３は、端末Ｂ１において、最新のパッチが適用されている場合で不審通信無の場合に対して、端末Ａにおいて最新のパッチが適用されている場合は、端末Ｓと比較する（８）。
ここで、（１）、（２）、（８）については端末Ｓと比較を行うのでその比較の処理について説明する。
端末Ｓは、組織内で利用されるブラウザ、ドキュメントアプリケーション、メーラなどがインストールされており、ＯＳやこれらのアプリケーションのパッチの適用が、パッチのリリースと同時に即座に適用され、さらに、振る舞い検知のアンチウイルスソフトウェアなどがインストールされるなどの方法により、現在知られているセキュリティ対策が施されたリファレンス端末である。
この端末は、組織内でよくアクセスするＵＲＬに対して、定期的にアクセスを行っている。
従って、２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００の期間においてｗｗｗ．○×△．ｎｅｔへもアクセスしている（組織で利用されているＯＳが複数の種類あれば、各々について端末Ｓを用意する）。
なお、端末Ｓは対策済み機器の例に相当する。
この端末は、組織内でよくアクセスするＵＲＬに対して、定期的にアクセスを行っている。
従って、２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００の期間においてｗｗｗ．○×△．ｎｅｔへもアクセスしている（組織で利用されているＯＳが複数の種類あれば、各々について端末Ｓを用意する）。
なお、端末Ｓは対策済み機器の例に相当する。
攻撃判定部１０３は、２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００の期間において、端末Ｓからのｗｗｗ．○×△．ｎｅｔへのアクセスのログを、ログ検索部２０２を経由して取得する。
さらに、表１における、端末Ｂｉを端末Ｓに読み替えて、端末Ｓにおけるパッチの未適用の行を削除したのが、表２である。
さらに、表１における、端末Ｂｉを端末Ｓに読み替えて、端末Ｓにおけるパッチの未適用の行を削除したのが、表２である。
ここでも、端末Ｓの２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００の期間において、端末Ｓからのｗｗｗ．○×△．ｎｅｔへのアクセスについて、端末Ｂ１と同様の方法で不審通信の有無を調べる。
表２における（５’）、（６’）、（７’）については、表１と同じ判定方法である。より具体的には、表１における端末Ｂ１を端末Ｓに読み替える。
つまり、表１の端末Ｂ１の最新のパッチ適用の場合における（５）が表２の（５’）に、表１における（６）が表２の（６’）に、表１における（７）が表２の（７’）に該当する。
つまり、表１の端末Ｂ１の最新のパッチ適用の場合における（５）が表２の（５’）に、表１における（６）が表２の（６’）に、表１における（７）が表２の（７’）に該当する。
表２において、端末Ｓが不審通信無で、端末Ａが最新のパッチを適用している場合は、攻撃判定部１０３は、端末Ａの通信は不正通信と判定する（９）。
また、図６、表１、表２では、最新のパッチの適用を判断に用いたが、最新のパッチの適用の代わりに、以下のインベントリ情報の差異を判断に使用してもよい。
・端末Ａと端末Ｂｉにおける、ウイルス検知ソフトウェアの最新バージョンや最新パターンファイルの適用状態。
・端末Ａと端末Ｂｉにおける、使用しているブラウザの違い、同じである場合はバージョンの違い。
・端末Ａと端末Ｂｉにおける、使用しているＯＳの違い、同じである場合はバージョンの違い。
・端末Ａと端末Ｂｉにおける、使用しているオフィスドキュメントソフトウェアの違い、同じである場合はバージョンの違い。
・端末Ａと端末Ｂｉが配置されているネットワークのセキュリティ対策の違い。
・端末Ａと端末Ｂｉにおける、ウイルス検知ソフトウェアの最新バージョンや最新パターンファイルの適用状態。
・端末Ａと端末Ｂｉにおける、使用しているブラウザの違い、同じである場合はバージョンの違い。
・端末Ａと端末Ｂｉにおける、使用しているＯＳの違い、同じである場合はバージョンの違い。
・端末Ａと端末Ｂｉにおける、使用しているオフィスドキュメントソフトウェアの違い、同じである場合はバージョンの違い。
・端末Ａと端末Ｂｉが配置されているネットワークのセキュリティ対策の違い。
つまり、実施の形態１では、パッチの適用状態を含めた、端末間のセキュリティ対策の適用状態の差異を判断に用いる。
不審な通信が検知された端末Ａと、同じ通信先にアクセスした別の端末があった場合に、別の端末の通信状態と、セキュリティ対策の差異を、端末Ａの通信が不正化の判定に用いる。
不審な通信が検知された端末Ａと、同じ通信先にアクセスした別の端末があった場合に、別の端末の通信状態と、セキュリティ対策の差異を、端末Ａの通信が不正化の判定に用いる。
このように、攻撃判定部１０３が判定した結果は、分析結果１１１１として出力部１０４に出力し、出力部１０４はセキュリティログ分析装置１の外部に分析結果１３００として出力する。
本実施の形態では、説明を簡潔にするために、端末Ａと端末Ｂ１との比較のみを説明したが、端末Ｂｉが複数ある場合は次のように判定してもよい。
・端末Ａと端末Ｂｉに対して、表１、表２を用いて端末Ａの通信が不正か判定する。
ｉ＝１〜ｎについて判定を行い、その結果を、判定結果ｉ（ｉ＝１〜ｎ）とする。
・判定結果ｉ（ｉ＝１〜ｎ）のうち不正通信と判定した数を計算する。
例えば、ｎ＝１０において、６つの判定結果が不正通信であったとする。
・不正通信と判定された結果が、あらかじめ定めた閾値を超えたか調べる。
閾値を超えていれば、端末Ａの通信は不正であったと判定する。
例えば、閾値が５であれば、６＞閾値５ なので不正通信と判定する。
或いは、ｎに対する不正通信と判定した割合で、判定してもよい。
例えば、閾値を０．５とすれば、６／１０＝０．６なので、閾値０．５を超えており、不正通信と判定する。
・端末Ａと端末Ｂｉに対して、表１、表２を用いて端末Ａの通信が不正か判定する。
ｉ＝１〜ｎについて判定を行い、その結果を、判定結果ｉ（ｉ＝１〜ｎ）とする。
・判定結果ｉ（ｉ＝１〜ｎ）のうち不正通信と判定した数を計算する。
例えば、ｎ＝１０において、６つの判定結果が不正通信であったとする。
・不正通信と判定された結果が、あらかじめ定めた閾値を超えたか調べる。
閾値を超えていれば、端末Ａの通信は不正であったと判定する。
例えば、閾値が５であれば、６＞閾値５ なので不正通信と判定する。
或いは、ｎに対する不正通信と判定した割合で、判定してもよい。
例えば、閾値を０．５とすれば、６／１０＝０．６なので、閾値０．５を超えており、不正通信と判定する。
また、端末Ａ、端末Ｂｉは、物理的なユーザ端末に限らず、物理的なサーバであっても、モバイル端末であっても、これらの用途となる仮想端末であっても、それらの組み合わせでもよい。
（実施の形態の効果）
このように、セキュリティログ分析装置１は、装置の外部で不審な通信を発していると判定された端末Ａについて、本当に不審な通信か否かを、端末ＡがアクセスしたＷｅｂサイトに同時期にアクセスした端末Ｂのログを用いて不審通信を行っているか調べ、さらに、インベントリ情報から得られたパッチの適用状態の差異をもとに、端末Ａのアクセスが本当に不正か判定できる。
端末ＡがアクセスしたＷｅｂサイトが、正規のサイトであったとしても、同時期に同組織からアクセスした他の端末の通信傾向と比較し、さらにパッチの状況を比較することで、正規のサイトがＣ＆Ｃサーバとして密かに侵害されていたとしても検知が可能となる。
このように、セキュリティログ分析装置１は、装置の外部で不審な通信を発していると判定された端末Ａについて、本当に不審な通信か否かを、端末ＡがアクセスしたＷｅｂサイトに同時期にアクセスした端末Ｂのログを用いて不審通信を行っているか調べ、さらに、インベントリ情報から得られたパッチの適用状態の差異をもとに、端末Ａのアクセスが本当に不正か判定できる。
端末ＡがアクセスしたＷｅｂサイトが、正規のサイトであったとしても、同時期に同組織からアクセスした他の端末の通信傾向と比較し、さらにパッチの状況を比較することで、正規のサイトがＣ＆Ｃサーバとして密かに侵害されていたとしても検知が可能となる。
実施の形態２．
実施の形態１では、端末Ａの攻撃の判定に、端末Ａと端末Ｂｉのパッチ等のセキュリティ対策状態の差異を用いた。
本実施の形態では、端末Ａと端末Ｂｉの、端末の用途の差異を判定に用いる。
攻撃者は、興味のある情報を扱える端末に対してのみ攻撃をしかけ、その結果、特定の端末に不正通信が発生している可能性があるため、これを踏まえた実施の形態である。
ここでは、端末Ａの用途が人事情報を扱う端末であるとする（人事用途）。
実施の形態１では、端末Ａの攻撃の判定に、端末Ａと端末Ｂｉのパッチ等のセキュリティ対策状態の差異を用いた。
本実施の形態では、端末Ａと端末Ｂｉの、端末の用途の差異を判定に用いる。
攻撃者は、興味のある情報を扱える端末に対してのみ攻撃をしかけ、その結果、特定の端末に不正通信が発生している可能性があるため、これを踏まえた実施の形態である。
ここでは、端末Ａの用途が人事情報を扱う端末であるとする（人事用途）。
実施の形態１との差分を示す。
実施の形態２では、セキュリティ対策情報は使用しない（図６における、Ｓ１０３＿２は用いない）。
図６のＳ１０３＿１、Ｓ１０３＿３、Ｓ１０３＿４、Ｓ１０３＿５の処理は実施の形態１に同じである。
Ｓ１０３＿４では、インベントリ情報ＤＢにおいて、各端末の用途を取得し、開発用途の端末Ｂｉを抽出する。
Ｓ１０３＿６における処理を、表３を用いて説明する。
本実施の形態でも、説明を簡潔にするために、端末Ｂ１に関して説明する。
実施の形態２では、セキュリティ対策情報は使用しない（図６における、Ｓ１０３＿２は用いない）。
図６のＳ１０３＿１、Ｓ１０３＿３、Ｓ１０３＿４、Ｓ１０３＿５の処理は実施の形態１に同じである。
Ｓ１０３＿４では、インベントリ情報ＤＢにおいて、各端末の用途を取得し、開発用途の端末Ｂｉを抽出する。
Ｓ１０３＿６における処理を、表３を用いて説明する。
本実施の形態でも、説明を簡潔にするために、端末Ｂ１に関して説明する。
攻撃判定部１０３は、インベントリ情報ＤＢから取得した端末Ａの用途（人事用途）と、端末Ｂ１の用途（開発用途）を用いて表３に従い端末Ａの通信が不正か判定する。
・端末Ｂ１が不審通信有の場合は、端末Ａの通信は正常通信と判定する（１）
・端末Ｂ１が不審通信無の場合は、端末Ａの通信は不正通信と判定する（２）
・端末Ｂ１が不審通信有の場合は、端末Ａの通信は正常通信と判定する（１）
・端末Ｂ１が不審通信無の場合は、端末Ａの通信は不正通信と判定する（２）
本実施の形態では、端末Ａが不審な通信を行っている場合に、端末Ａと同じ通信先にアクセスした他の端末Ｂ１があった場合に、端末Ｂ１の通信が不正か調べ、さらに、端末Ａと端末Ｂの用途の差異から、端末Ａの通信が不正通信か判定する。
人事用途の端末Ａで不審通信が発生しているが、開発用途の端末Ｂ１では不審通信が発生していない場合（表３の（１））は、端末Ａを利用する人事部のみで不正通信が発生していると捉えることができる。
このため、表３の（１）に該当する場合は、人事部を狙った攻撃が発生していると判断することができる。
一方、人事用途の端末Ａ、開発用途の端末Ｂ１でともに不審通信が発生している場合（表３の（２））は、人事部及び開発部に共通する事象なので、問題がないと捉えることができる。
人事用途の端末Ａで不審通信が発生しているが、開発用途の端末Ｂ１では不審通信が発生していない場合（表３の（１））は、端末Ａを利用する人事部のみで不正通信が発生していると捉えることができる。
このため、表３の（１）に該当する場合は、人事部を狙った攻撃が発生していると判断することができる。
一方、人事用途の端末Ａ、開発用途の端末Ｂ１でともに不審通信が発生している場合（表３の（２））は、人事部及び開発部に共通する事象なので、問題がないと捉えることができる。
インベントリ情報ＤＢには、端末の用途の代わりに、アクセス可能なサーバとそのサーバに保存されている情報の種類（開発情報、人事情報など）を含めてもよい。
これにより、各端末がアクセス可能な情報の種類がわかるので、結果として、各端末の用途を調べることが可能となる。
これにより、各端末がアクセス可能な情報の種類がわかるので、結果として、各端末の用途を調べることが可能となる。
実施の形態１のように、端末Ｂｉが複数あった場合に、端末Ａと各端末Ｂｉ間の比較により不正通信と判定された合計数を、閾値と比較して、端末Ａの通信を不正通信と判定してもよい。
（実施の形態の効果）
このように、セキュリティログ分析装置１は、端末の用途の情報の差異を用いて、不正通信か否か判定するため、特定の用途の端末に攻撃を仕掛けられた場合でも、不正通信を判定できる。
このように、セキュリティログ分析装置１は、端末の用途の情報の差異を用いて、不正通信か否か判定するため、特定の用途の端末に攻撃を仕掛けられた場合でも、不正通信を判定できる。
実施の形態３．
水飲み場攻撃の場合、攻撃者は特定の組織からのアクセスに対してのみ反応することがある。
本実施の形態では、不審な通信が検知された端末Ａに対して、端末Ａが所属する組織以外に設置された端末から、端末Ａがアクセスした通信先にアクセスし、その差異から不正通信か否か判定する。
水飲み場攻撃の場合、攻撃者は特定の組織からのアクセスに対してのみ反応することがある。
本実施の形態では、不審な通信が検知された端末Ａに対して、端末Ａが所属する組織以外に設置された端末から、端末Ａがアクセスした通信先にアクセスし、その差異から不正通信か否か判定する。
本実施の形態では、実施の形態１との差分を示す。
本実施の形態では、セキュリティ対策情報検索部２０１、端末設定情報検索部２０３、インベントリ情報検索部２０４は使用しない。
本実施の形態では、セキュリティ対策情報検索部２０１、端末設定情報検索部２０３、インベントリ情報検索部２０４は使用しない。
ログ検索条件１１０５は、以下の条件とする。
・検索期間：攻撃が発生した日時（２０１４／０３／２１：１２：００：００とする）の前後２４時間を検索期間（２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００）
・宛先：通知されたＵＲＬ（ｗｗｗ．○×△．ｎｅｔ）
・検索するログ：プロキシログ、端末Ａの配置されている組織以外の端末
・検索期間：攻撃が発生した日時（２０１４／０３／２１：１２：００：００とする）の前後２４時間を検索期間（２０１４／０３／２０：１２：００：００〜２０１４／０３／２２：１２：００：００）
・宛先：通知されたＵＲＬ（ｗｗｗ．○×△．ｎｅｔ）
・検索するログ：プロキシログ、端末Ａの配置されている組織以外の端末
図６の処理において、Ｓ１０３＿１、Ｓ１０３＿３、Ｓ１０３＿５を使用する。
Ｓ１０３＿３においては、ログエントリＬｏｇＢｉとして取得されるのは、端末Ａの配置されている組織以外の端末に関するものである。
つまり、端末Ｂｉ（ｉ＝１〜ｎ）は、端末Ａの配置されている組織以外の端末である。
端末Ａが企業Ｘのイントラネット内に配置されているのであれば、端末Ｂは企業Ｘのイントラネット以外に配置されたものである。
Ｓ１０３＿５において、攻撃判定部１０３は、ＬｏｇＢｉ（ｉ＝１〜ｎ）において、通信が不審か判定された結果を用いて、以下のように端末Ａの通信が不正通信か判定する。
ここでは、説明を簡潔にするためにｎ＝１とする。
・端末Ｂ１の通信が不審な通信である場合：端末Ａの通信は正常通信
・端末Ｂ１の通信が不審な通信で無い場合：端末Ａの通信は不正通信
Ｓ１０３＿３においては、ログエントリＬｏｇＢｉとして取得されるのは、端末Ａの配置されている組織以外の端末に関するものである。
つまり、端末Ｂｉ（ｉ＝１〜ｎ）は、端末Ａの配置されている組織以外の端末である。
端末Ａが企業Ｘのイントラネット内に配置されているのであれば、端末Ｂは企業Ｘのイントラネット以外に配置されたものである。
Ｓ１０３＿５において、攻撃判定部１０３は、ＬｏｇＢｉ（ｉ＝１〜ｎ）において、通信が不審か判定された結果を用いて、以下のように端末Ａの通信が不正通信か判定する。
ここでは、説明を簡潔にするためにｎ＝１とする。
・端末Ｂ１の通信が不審な通信である場合：端末Ａの通信は正常通信
・端末Ｂ１の通信が不審な通信で無い場合：端末Ａの通信は不正通信
実施の形態１、２のように、端末Ｂｉが複数あった場合に、端末Ａと各端末Ｂｉ間の比較により不正通信と判定された合計数を、閾値と比較して、端末Ａの通信を不正通信と判定してもよい。
ログＤＢ３０２において、「端末Ａが配置されている組織（企業Ｘ）」以外に配置された端末についてログを収集していない場合が考えられる。
その場合、例えば、企業Ｘ内のイントラネットのある端末Ｂ’から、企業Ｘのプロキシサーバを経由して、インターネット上の公開プロキシサーバに接続し、さらに、インターネット上の公開プロキシサーバから、「ｗｗｗ．○×△．ｎｅｔ」に接続し、この通信の状態をログＤＢに蓄積して、ＬｏｇＢ’として判定に用いてもよい。
この場合は、ログエントリの検索対象の期間が異なるが、通信の傾向（定期的な通信を発しているかなど）について判定することが可能である。
或いは、このように、インターネット上の公開プロキシサーバを経由して、組織の端末がよくアクセスするＷｅｂサイトに定期的にアクセスするリファレンス端末を運用することで、上記のログを常にログＤＢ３０２に記録してもよい。
このようにすれば、ログ検索条件１１０５で指定する検索期間のログを取得できる。
その場合、例えば、企業Ｘ内のイントラネットのある端末Ｂ’から、企業Ｘのプロキシサーバを経由して、インターネット上の公開プロキシサーバに接続し、さらに、インターネット上の公開プロキシサーバから、「ｗｗｗ．○×△．ｎｅｔ」に接続し、この通信の状態をログＤＢに蓄積して、ＬｏｇＢ’として判定に用いてもよい。
この場合は、ログエントリの検索対象の期間が異なるが、通信の傾向（定期的な通信を発しているかなど）について判定することが可能である。
或いは、このように、インターネット上の公開プロキシサーバを経由して、組織の端末がよくアクセスするＷｅｂサイトに定期的にアクセスするリファレンス端末を運用することで、上記のログを常にログＤＢ３０２に記録してもよい。
このようにすれば、ログ検索条件１１０５で指定する検索期間のログを取得できる。
（実施の形態の効果）
このように、本実施の形態では、セキュリティログ分析装置１は、端末の配置された場所の違いを用いて、不正通信か否か判定するため、攻撃者が特定の組織からのアクセスにのみ反応して不正通信を行う場合に検知が可能である。
このように、本実施の形態では、セキュリティログ分析装置１は、端末の配置された場所の違いを用いて、不正通信か否か判定するため、攻撃者が特定の組織からのアクセスにのみ反応して不正通信を行う場合に検知が可能である。
実施の形態４．
本実施の形態では、端末操作ログと、端末設定情報を用いて、水飲み場攻撃などの攻撃を検知する実施の形態を示す。
マルウェアは、組織内からインターネットのＣ＆Ｃサーバと通信する際に、端末内のプロキシの設定情報を参照して、プロキシサーバに接続するため、これを検知に利用する。
本実施の形態では、セキュリティログ分析装置１における、セキュリティ対策情報ＤＢ３０１、入力部１０１、解釈部１０２、検知１２０１’は使用しない。
また、本実施の形態、更に実施の形態５及び６では、攻撃判定部１０３は、不審ファイル操作抽出部及び不正ファイル操作抽出部の例に相当する。
本実施の形態では、端末操作ログと、端末設定情報を用いて、水飲み場攻撃などの攻撃を検知する実施の形態を示す。
マルウェアは、組織内からインターネットのＣ＆Ｃサーバと通信する際に、端末内のプロキシの設定情報を参照して、プロキシサーバに接続するため、これを検知に利用する。
本実施の形態では、セキュリティログ分析装置１における、セキュリティ対策情報ＤＢ３０１、入力部１０１、解釈部１０２、検知１２０１’は使用しない。
また、本実施の形態、更に実施の形態５及び６では、攻撃判定部１０３は、不審ファイル操作抽出部及び不正ファイル操作抽出部の例に相当する。
セキュリティログ分析装置１は、以下のログ検索条件１２０４を入力する。
・検索期間：現在の時刻から２４時間遡った期間（２０１４／０３／１９：１２：００：００〜２０１４／０３／２０：１２：００：００とする）
・検索するログ：端末操作ログ、監査ログ
・端末：端末Ａ
・検索期間：現在の時刻から２４時間遡った期間（２０１４／０３／１９：１２：００：００〜２０１４／０３／２０：１２：００：００とする）
・検索するログ：端末操作ログ、監査ログ
・端末：端末Ａ
さらに、セキュリティログ分析装置１は、以下の端末設定情報検索条件１２０５を入力する。
・検索期間：現在の時刻から２４時間遡った期間（２０１４／０３／１９：１２：００：００〜２０１４／０３／２０：１２：００：００とする）
・検索対象：プロキシの設定情報（プロキシ設定ファイル）
・端末：端末Ａ
・検索期間：現在の時刻から２４時間遡った期間（２０１４／０３／１９：１２：００：００〜２０１４／０３／２０：１２：００：００とする）
・検索対象：プロキシの設定情報（プロキシ設定ファイル）
・端末：端末Ａ
セキュリティログ分析装置１の攻撃判定部１０３は、ログ検索条件１２０４を用いて、ログ検索部２０２を経由して、ログＤＢ３０２から、ログ検索条件１２０４で指定された端末操作ログと監査ログのログエントリ１１０６を取得する。
セキュリティログ分析装置１の攻撃判定部１０３は、端末設定情報検索条件１２０５を用いて、端末設定情報検索部２０３を経由して、端末設定情報ＤＢ３０３から、端末設定情報検索条件１２０５で指定された端末設定情報１１０８を取得する。
攻撃判定部１０３の処理を図７で説明する。
監査ログは以下のフォーマットとする。
タイムスタンプ 端末ＩＤ プロセス名 端末設定情報 処理
２０１４／３／２０：０９：００：００ 端末Ａ Ｐ＿α プロキシ情報 読出
２０１４／３／２０：１０：００：００ 端末Ａ Ｐ＿β プロキシ情報 読出
２０１４／３／２０：１１：００：００ 端末Ａ Ｐ＿γ プロキシ情報 読出
端末ＩＤは監査対象の機器のＩＤである。
プロセス名は、端末設定情報に対してアクセスしたプロセス名で、処理は、端末設定情報に対する処理である。
この例の一行目は、２０１４／３／２０：０９：００：００に、端末Ａにおいて、プロセスＰ＿αが、プロキシの設定情報を、読み出した、という意味になる。
監査ログは以下のフォーマットとする。
タイムスタンプ 端末ＩＤ プロセス名 端末設定情報 処理
２０１４／３／２０：０９：００：００ 端末Ａ Ｐ＿α プロキシ情報 読出
２０１４／３／２０：１０：００：００ 端末Ａ Ｐ＿β プロキシ情報 読出
２０１４／３／２０：１１：００：００ 端末Ａ Ｐ＿γ プロキシ情報 読出
端末ＩＤは監査対象の機器のＩＤである。
プロセス名は、端末設定情報に対してアクセスしたプロセス名で、処理は、端末設定情報に対する処理である。
この例の一行目は、２０１４／３／２０：０９：００：００に、端末Ａにおいて、プロセスＰ＿αが、プロキシの設定情報を、読み出した、という意味になる。
攻撃判定部１０３は、ログエントリ１１０６から、監査ログのログエントリを参照し、上記のような端末設定情報におけるプロキシ情報へのアクセスを記録したログエントリを抽出する（図７ Ｓ１０３２＿１）。
ここで、上記の例のログエントリが得られたとする。
ここで、上記の例のログエントリが得られたとする。
次に、攻撃判定部１０３は、監査ログのログエントリから、端末設定情報内のプロキシ情報（プロキシ設定ファイル）にアクセス可能なプロセス名のリストに該当するログエントリを除外する。
端末設定情報内のプロキシ情報にアクセス可能なプロセス名のリストは、端末設定情報１１０８から得られる。
端末設定情報内のプロキシ情報にアクセス可能なプロセス名が、Ｐ＿αの場合、この除外の結果、以下のログエントリが残る（図７ Ｓ１０３２＿２）。
タイムスタンプ 端末ＩＤ プロセス名、端末設定情報 処理
２０１４／３／２０：１０：００：００ 端末Ａ Ｐ＿β プロキシ情報 読出
２０１４／３／２０：１１：００：００ 端末Ａ Ｐ＿γ プロキシ情報 読出
このエントリを、不審アクセスログエントリとする。
端末設定情報内のプロキシ情報にアクセス可能なプロセス名のリストは、端末設定情報１１０８から得られる。
端末設定情報内のプロキシ情報にアクセス可能なプロセス名が、Ｐ＿αの場合、この除外の結果、以下のログエントリが残る（図７ Ｓ１０３２＿２）。
タイムスタンプ 端末ＩＤ プロセス名、端末設定情報 処理
２０１４／３／２０：１０：００：００ 端末Ａ Ｐ＿β プロキシ情報 読出
２０１４／３／２０：１１：００：００ 端末Ａ Ｐ＿γ プロキシ情報 読出
このエントリを、不審アクセスログエントリとする。
次に、攻撃判定部１０３は、ログエントリ１１０６から、端末操作ログのログエントリを参照する。
端末操作ログは以下のフォーマットとする。
タイムスタンプ 端末ＩＤ プロセス名 操作対象 処理
２０１４／３／２０：１０：００：００ 端末Ａ Ｐ＿β プロキシ情報 読出
この例の一行目は、２０１４／３／２０：１０：００：００に、端末Ａにおいて、プロセスＰ＿βが、プロキシの設定情報を、読み出した、という意味になる。
端末操作ログは以下のフォーマットとする。
タイムスタンプ 端末ＩＤ プロセス名 操作対象 処理
２０１４／３／２０：１０：００：００ 端末Ａ Ｐ＿β プロキシ情報 読出
この例の一行目は、２０１４／３／２０：１０：００：００に、端末Ａにおいて、プロセスＰ＿βが、プロキシの設定情報を、読み出した、という意味になる。
端末操作ログは、端末操作記録ツールにより、記録されるログで、端末のユーザが手動により操作した結果を記録するツールである。
例えば、ブラウザを操作して、どのサイトにアクセスしたか、何のアプリケーションを用いて、ドキュメントを閲覧・書き込みなどを行ったか、何のファイルをどのフォルダからどのフォルダへコピーしたか、何のファイルをリネーム・削除したか、何のアプリケーションを使って何のファイルへアクセスしたか、などの操作が記録される。
プロセス名は、アプリケーション名として示される場合もある。
プロセスＰ＿βは、例えば、ブラウザや、Ｗｅｂサイトと通信を行うアプリケーションが該当する。
例えば、ブラウザを操作して、どのサイトにアクセスしたか、何のアプリケーションを用いて、ドキュメントを閲覧・書き込みなどを行ったか、何のファイルをどのフォルダからどのフォルダへコピーしたか、何のファイルをリネーム・削除したか、何のアプリケーションを使って何のファイルへアクセスしたか、などの操作が記録される。
プロセス名は、アプリケーション名として示される場合もある。
プロセスＰ＿βは、例えば、ブラウザや、Ｗｅｂサイトと通信を行うアプリケーションが該当する。
次に、攻撃判定部１０３は、端末操作ログのログエントリを参照した結果、ユーザがプログラムなどを用いて手動でプロキシ情報にアクセスしたタイムスタンプと、プロセス名を抽出する（図７ Ｓ１０３２＿３）。
つまり、以下が抽出される。
これを、正常アクセス情報とする。
２０１４／３／２０：１０：００：００ 端末Ａ Ｐ＿β プロキシ情報 読出
つまり、以下が抽出される。
これを、正常アクセス情報とする。
２０１４／３／２０：１０：００：００ 端末Ａ Ｐ＿β プロキシ情報 読出
次に、攻撃判定部１０３は、不審アクセスログエントリから、正常アクセス情報のタイムスタンプとプロセス名に該当するエントリを削除する（図７ Ｓ１０３２＿４）。
この結果、以下が残る。
タイムスタンプ 端末ＩＤ プロセス名、端末設定情報 処理
２０１４／３／２０：１１：００：００ 端末Ａ Ｐ＿γ プロキシ情報 読出
この結果、以下が残る。
タイムスタンプ 端末ＩＤ プロセス名、端末設定情報 処理
２０１４／３／２０：１１：００：００ 端末Ａ Ｐ＿γ プロキシ情報 読出
次に、攻撃判定部１０３は、Ｓ１０３２＿４の結果、残ったログエントリは、アクセスが許可されたプロセスがアクセスしたものでも、ユーザ操作によってアクセスされたものでもないため、不正なプログラムがアクセスした結果、記録されたものと判定し、マルウェアがプロキシ情報にアクセスしたと判定する。
上記の例では、ログを分析する対象を端末Ａとして指定したが、複数の端末を、検索条件で指定してもよく、その場合は、該当する端末各々について、端末Ａと同じログの分析を行えばよい。
（実施の形態の効果）
このように、本実施の形態では、セキュリティログ分析装置１は、端末操作ログと監査ログを用いることで、不正なプログラムがインターネットと通信する際に利用するプロキシ情報へのアクセスを識別できる。
このように、本実施の形態では、セキュリティログ分析装置１は、端末操作ログと監査ログを用いることで、不正なプログラムがインターネットと通信する際に利用するプロキシ情報へのアクセスを識別できる。
実施の形態５．
以下では、端末操作ログと、端末設定情報を用いて、水飲み場攻撃などの攻撃を検知する実施の形態４とは異なる実施の形態を示す。
以下では、端末操作ログと、端末設定情報を用いて、水飲み場攻撃などの攻撃を検知する実施の形態４とは異なる実施の形態を示す。
マルウェアは、組織内からインターネットのＣ＆Ｃサーバと通信する際に、ブラウザにコードインジェクションなどの手段で自身を組み込んで、ブラウザの通信を用いて、Ｃ＆Ｃサーバと通信することがある。
本実施の形態では、このような通信を検出する。
本実施の形態では、このような通信を検出する。
本実施の形態で使用する情報は、監査ログと端末操作ログである。
監査ログと端末操作ログとの取得条件は、実施の形態４と同じとする。
監査ログと端末操作ログとの取得条件は、実施の形態４と同じとする。
攻撃判定部１０３は、ブラウザを起動している時間帯を、端末操作ログを用いて調べる。
端末操作ログが以下のように記録されている場合、端末Ａでは、２０１４／３／２０：０９：００：００から２０１４／３／２０：０９：３０：００までブラウザが起動していることになる（操作対象の列は、記録されたＵＲＬ１〜ＵＲＬ４にアクセスしていることを示し、処理は、ＨＴＴＰのメソッドを示している）。
タイムスタンプ 端末ＩＤ プロセス名 操作対象 処理
２０１４／３／２０：０９：００：００ 端末Ａ ブラウザ ＵＲＬ１ ＧＥＴ
２０１４／３／２０：０９：１０：００ 端末Ａ ブラウザ ＵＲＬ２ ＧＥＴ
２０１４／３／２０：０９：２０：００ 端末Ａ ブラウザ ＵＲＬ３ ＧＥＴ
２０１４／３／２０：０９：３０：００ 端末Ａ ブラウザ ＵＲＬ４ ＰＯＳＴ
端末操作ログが以下のように記録されている場合、端末Ａでは、２０１４／３／２０：０９：００：００から２０１４／３／２０：０９：３０：００までブラウザが起動していることになる（操作対象の列は、記録されたＵＲＬ１〜ＵＲＬ４にアクセスしていることを示し、処理は、ＨＴＴＰのメソッドを示している）。
タイムスタンプ 端末ＩＤ プロセス名 操作対象 処理
２０１４／３／２０：０９：００：００ 端末Ａ ブラウザ ＵＲＬ１ ＧＥＴ
２０１４／３／２０：０９：１０：００ 端末Ａ ブラウザ ＵＲＬ２ ＧＥＴ
２０１４／３／２０：０９：２０：００ 端末Ａ ブラウザ ＵＲＬ３ ＧＥＴ
２０１４／３／２０：０９：３０：００ 端末Ａ ブラウザ ＵＲＬ４ ＰＯＳＴ
次に、攻撃判定部１０３は、端末Ａでブラウザが操作されている時間である、「２０１４／３／２０：０９：００：００から２０１４／３／２０：０９：３０：００」の期間において、監査ログからブラウザのプロセスがブラウザキャッシュ領域（以下、単にブラウザキャッシュという）以外に保存したファイルＸを特定する。
例えば、監査ログのエントリが、以下の場合、ファイルＸ（紙面幅の都合で、フォルダパスの情報まで書けないが、実際にはフォルダパスの情報も操作対象の欄に含んで記録されうる。フォルダパスは例えば「ｃ：￥○○○」でありブラウザのキャッシュの場所「ｃ：￥◇◇◇」ではない）が、ブラウザキャッシュ以外に書出されたか調べる。
タイムスタンプ 端末ＩＤ プロセス名、対象 処理
２０１４／３／２０：１０：００：００ 端末Ａ ブラウザ ファイルＸ 書出
タイムスタンプ 端末ＩＤ プロセス名、対象 処理
２０１４／３／２０：１０：００：００ 端末Ａ ブラウザ ファイルＸ 書出
調べた結果、ファイルＸは、フォルダパス「ｃ：￥○○○」に出力されており、ブラウザのキャッシュの場所「ｃ：￥◇◇◇」には保存されていない。
つまり、ブラウザが自動的にファイルＸを保存したのではない。
つまり、ブラウザが自動的にファイルＸを保存したのではない。
次に、攻撃判定部１０３は、端末操作ログについて、２０１４／３／２０：０９：００：００から２０１４／３／２０：０９：３０：００の期間において、ユーザが手動でファイルＸを書出したか調べる。ファイル操作に関する端末操作ログが以下の場合、該当するログエントリが無い。
タイムスタンプ 端末ＩＤ プロセス名 操作対象 処理
２０１４／３／２０：１０：００：００ 端末Ａ ファイル操作 ファイルＹ 書出
タイムスタンプ 端末ＩＤ プロセス名 操作対象 処理
２０１４／３／２０：１０：００：００ 端末Ａ ファイル操作 ファイルＹ 書出
つまり、ユーザがファイル操作により、ファイルＹを書き出したことはわかるが（操作対象にはフォルダパス「ｃ：￥●●●」も記録される）、ファイルＸをフォルダパス「ｃ：￥○○○」へ保存していない。
この結果、攻撃判定部１０３は、ファイルＸは、ブラウザにより書出されたが、ユーザが手動で実施したものでも、ブラウザが自動で実施したものでもないことがわかるため、マルウェアなどの不正なプログラムによる書出しと判定する。
この結果、攻撃判定部１０３は、ファイルＸは、ブラウザにより書出されたが、ユーザが手動で実施したものでも、ブラウザが自動で実施したものでもないことがわかるため、マルウェアなどの不正なプログラムによる書出しと判定する。
（実施の形態の効果）
このように、本実施の形態では、セキュリティログ分析装置１は、端末操作ログと監査ログを用いて、不正なプログラムがインターネットと通信した際に保存したファイルを特定することで、マルウェアの侵入を検知できる。
このように、本実施の形態では、セキュリティログ分析装置１は、端末操作ログと監査ログを用いて、不正なプログラムがインターネットと通信した際に保存したファイルを特定することで、マルウェアの侵入を検知できる。
実施の形態６．
本実施の形態では、実施の形態５と同様に、端末操作ログと監査ログに加えてプロキシログを用いることで、マルウェアによるファイルの送信を検知する。
本実施の形態では、実施の形態５と同様に、端末操作ログと監査ログに加えてプロキシログを用いることで、マルウェアによるファイルの送信を検知する。
実施の形態５との差分を示す。
実施の形態５と同様に、端末Ａの端末操作ログと監査ログを取得する。
さらに、同じ期間における端末Ａのインターネットへのアクセスに関するプロキシログを取得する。
実施の形態５と同様に、端末Ａの端末操作ログと監査ログを取得する。
さらに、同じ期間における端末Ａのインターネットへのアクセスに関するプロキシログを取得する。
攻撃判定部１０３は、プロキシログから、端末ＡからＰＯＳＴを行ったログエントリを取得する。
さらに、攻撃判定部１０３は、ブラウザを起動している時間帯を端末操作ログから特定する。
この結果、端末ＡからのＰＯＳＴに該当するエントリは以下であるとする。
・プロキシログ
タイムスタンプ 端末ＩＤ プロセス名 操作対象 処理
２０１４／３／２０：０９：３０：００ 端末Ａ ブラウザ ＵＲＬ４ ＰＯＳＴ
また、ブラウザを起動している時間帯は、実施の形態５と同じで、以下である。
・端末操作ログ
２０１４／３／２０：０９：００：００から２０１４／３／２０：０９：３０：００
さらに、攻撃判定部１０３は、ブラウザを起動している時間帯を端末操作ログから特定する。
この結果、端末ＡからのＰＯＳＴに該当するエントリは以下であるとする。
・プロキシログ
タイムスタンプ 端末ＩＤ プロセス名 操作対象 処理
２０１４／３／２０：０９：３０：００ 端末Ａ ブラウザ ＵＲＬ４ ＰＯＳＴ
また、ブラウザを起動している時間帯は、実施の形態５と同じで、以下である。
・端末操作ログ
２０１４／３／２０：０９：００：００から２０１４／３／２０：０９：３０：００
次に、攻撃判定部１０３は、監査ログを用いて、上記期間にブラウザのプロセスが読出したファイルＺを特定する。
・監査ログ
タイムスタンプ 端末ＩＤ プロセス名、対象 処理
２０１４／３／２０：０９：００：０１ 端末Ａ ブラウザ ファイルＵ 読出
２０１４／３／２０：０９：２９：００ 端末Ａ ブラウザ ファイルＺ 読出
上記の監査ログのエントリが得られたとする。
つまり、端末Ａにおいて、２０１４／３／２０：０９：００：０１に、ブラウザがファイルＵを、２０１４／３／２０：０９：２９：００に、ブラウザがファイルＺを、読出したことがかる。
・監査ログ
タイムスタンプ 端末ＩＤ プロセス名、対象 処理
２０１４／３／２０：０９：００：０１ 端末Ａ ブラウザ ファイルＵ 読出
２０１４／３／２０：０９：２９：００ 端末Ａ ブラウザ ファイルＺ 読出
上記の監査ログのエントリが得られたとする。
つまり、端末Ａにおいて、２０１４／３／２０：０９：００：０１に、ブラウザがファイルＵを、２０１４／３／２０：０９：２９：００に、ブラウザがファイルＺを、読出したことがかる。
次に、攻撃判定部１０３は、このタイムスタンプ２０１４／３／２０：０９：００：０１、０９：２９：００のタイミングで、端末操作によりユーザがファイルＺを読み出したか調べる。
ファイル操作に関わる端末操作ログのエントリは以下である。
・端末操作ログ
タイムスタンプ 端末ＩＤ プロセス名 操作対象 処理
２０１４／３／２０：０９：００：０１ 端末Ａ ブラウザ ファイルＵ 読出
２０１４／３／２０：０９：２９：０２ 端末Ａ ファイル操作 ファイルＷ 読出
つまり、ユーザは、ファイルＵについてはブラウザを使って読み出しているが、ファイルＺについてはブラウザを使って操作していない。
従って、ファイルＺは、ユーザの操作によってＰＯＳＴされていないことがわかるので、攻撃判定部１０３は、マルウェアによるＰＯＳＴの候補と判定する。
プロキシログには、送信したファイル名が記録されることがあり（ＨＴＴＰヘッダに記録されることがある）、これとファイルＺの名称を比較することで、ファイルＺがＰＯＳＴされたと判定してもよい。
また、送信したファイル名がプロキシログからわからない場合は、プロキシログに記録されるＨＴＴＰリクエストのサイズから、ＨＴＴＰヘッダ部分のサイズを削除した残りのサイズと、ファイルＺのサイズを比較し、同じか値が似ていれば、ファイルＺが送出されたと判定してもよい。
ＨＴＴＰヘッダ部分のサイズは、送信先のＵＲＬの記録などから推測する。
ファイル操作に関わる端末操作ログのエントリは以下である。
・端末操作ログ
タイムスタンプ 端末ＩＤ プロセス名 操作対象 処理
２０１４／３／２０：０９：００：０１ 端末Ａ ブラウザ ファイルＵ 読出
２０１４／３／２０：０９：２９：０２ 端末Ａ ファイル操作 ファイルＷ 読出
つまり、ユーザは、ファイルＵについてはブラウザを使って読み出しているが、ファイルＺについてはブラウザを使って操作していない。
従って、ファイルＺは、ユーザの操作によってＰＯＳＴされていないことがわかるので、攻撃判定部１０３は、マルウェアによるＰＯＳＴの候補と判定する。
プロキシログには、送信したファイル名が記録されることがあり（ＨＴＴＰヘッダに記録されることがある）、これとファイルＺの名称を比較することで、ファイルＺがＰＯＳＴされたと判定してもよい。
また、送信したファイル名がプロキシログからわからない場合は、プロキシログに記録されるＨＴＴＰリクエストのサイズから、ＨＴＴＰヘッダ部分のサイズを削除した残りのサイズと、ファイルＺのサイズを比較し、同じか値が似ていれば、ファイルＺが送出されたと判定してもよい。
ＨＴＴＰヘッダ部分のサイズは、送信先のＵＲＬの記録などから推測する。
（実施の形態の効果）
このように、本実施の形態では、セキュリティログ分析装置１は、端末操作ログと監査ログを用いて、不正なプログラムがインターネットと通信してＰＯＳＴしたファイルを特定することで、マルウェアの侵入を検知できる。
このように、本実施の形態では、セキュリティログ分析装置１は、端末操作ログと監査ログを用いて、不正なプログラムがインターネットと通信してＰＯＳＴしたファイルを特定することで、マルウェアの侵入を検知できる。
以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
最後に、実施の形態１〜６に示したセキュリティログ分析装置１のハードウェア構成例を図８を参照して説明する。
セキュリティログ分析装置１はコンピュータであり、セキュリティログ分析装置１の各要素をプログラムで実現することができる。
セキュリティログ分析装置１のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。
セキュリティログ分析装置１はコンピュータであり、セキュリティログ分析装置１の各要素をプログラムで実現することができる。
セキュリティログ分析装置１のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。
演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置である。
主記憶装置９０３は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
通信装置９０４は、例えばＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。
外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置である。
主記憶装置９０３は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
通信装置９０４は、例えばＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。
プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
プログラムは、図１に示す「〜部」として説明している機能を実現するプログラムである。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、図１に示す「〜部」の機能を実現するプログラムを実行する。
また、実施の形態１〜６の説明において、「〜の判断」、「〜の判定」、「〜の抽出」、「〜の検知」、「〜の解析」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の生成」、「〜の入力」、「〜の出力」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
プログラムは、図１に示す「〜部」として説明している機能を実現するプログラムである。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、図１に示す「〜部」の機能を実現するプログラムを実行する。
また、実施の形態１〜６の説明において、「〜の判断」、「〜の判定」、「〜の抽出」、「〜の検知」、「〜の解析」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の生成」、「〜の入力」、「〜の出力」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
なお、図８の構成は、あくまでもセキュリティログ分析装置１のハードウェア構成の一例を示すものであり、セキュリティログ分析装置１のハードウェア構成は図８に記載の構成に限らず、他の構成であってもよい。
また、実施の形態１〜６に示す手順により、本発明に係る解析方法を実現可能である。
１ セキュリティログ分析装置、１０１ 入力部、１０２ 解釈部、１０３ 攻撃判定部、１０４ 出力部、２０１ セキュリティ対策情報検索部、２０２ ログ検索部、２０３ 端末設定情報検索部、２０４ インベントリ情報検索部、３０１ セキュリティ対策情報ＤＢ、３０２ ログＤＢ、３０３ 端末設定情報ＤＢ、３０４ インベントリ情報ＤＢ。
Claims (13)
- 不審な通信を行った機器である不審通信機器と、前記不審通信機器の通信先である不審通信先とが検知された場合に、前記不審通信機器以外の機器であって前記不審通信先との通信履歴がある機器を解析対象機器として抽出する機器抽出部と、
前記解析対象機器と前記不審通信先との通信履歴を解析して、前記不審通信機器と前記不審通信先との間の通信が不正な通信であるか否かを判定する通信判定部とを有することを特徴とする解析装置。 - 前記通信判定部は、
前記解析対象機器と前記不審通信先との通信履歴を解析して、前記解析対象機器と前記不審通信先との間に不審な通信があったか否かを判定し、前記解析対象機器と前記不審通信先との間に不審な通信があったか否かの判定結果に基づき、前記不審通信機器と前記不審通信先との間の通信が不正な通信であるか否かを判定することを特徴とする請求項１に記載の解析装置。 - 前記通信判定部は、
前記不審通信機器及び前記解析対象機器のセキュリティ状態を判定し、前記不審通信機器及び前記解析対象機器のセキュリティ状態の判定結果と前記解析対象機器と前記不審通信先との間に不審な通信があったか否かの判定結果とに基づき、前記不審通信機器と前記不審通信先との間の通信が不正な通信であるか否かを判定することを特徴とする請求項２に記載の解析装置。 - 前記通信判定部は、
前記不審通信機器及び前記解析対象機器のセキュリティ状態として、特定のセキュリティ対策が前記不審通信機器及び前記解析対象機器に施されているか否かを判定することを特徴とする請求項３に記載の解析装置。 - 前記通信判定部は、
前記不審通信機器に前記セキュリティ対策が施されていて前記解析対象機器には前記セキュリティ対策が施されていない場合は、前記解析対象機器と前記不審通信先との間に不審な通信があったか否かにかかわらず、前記不審通信機器と前記不審通信先との間の通信は正常な通信であると判定し、
前記不審通信機器及び前記解析対象機器に前記セキュリティ対策が施されている場合に、前記解析対象機器と前記不審通信先との間に不審な通信があれば、前記不審通信機器と前記不審通信先との間の通信は正常な通信であると判定し、
前記不審通信機器に前記セキュリティ対策が施されていなくて前記解析対象機器には前記セキュリティ対策が施されている場合に、前記解析対象機器と前記不審通信先との間に不審な通信がなければ、前記不審通信機器と前記不審通信先との間の通信は不正な通信であると判定することを特徴とする請求項４に記載の解析装置。 - 前記通信判定部は、
前記不審通信機器に前記セキュリティ対策が施されていなくて前記解析対象機器には前記セキュリティ対策が施され、更に、前記解析対象機器と前記不審通信先との間に不審な通信がある場合は、
前記不審通信機器と前記不審通信先との間の通信パターンと前記解析対象機器と前記不審通信先との通信パターンとが類似すれば、前記不審通信機器と前記不審通信先との間の通信は正常な通信であると判定し、
前記不審通信機器と前記不審通信先との間の通信パターンと前記解析対象機器と前記不審通信先との通信パターンとが類似しなければ、前記不審通信機器と前記不審通信先との間の通信は不正な通信であると判定することを特徴とする請求項４に記載の解析装置。 - 前記通信判定部は、
前記不審通信機器及び前記解析対象機器に前記セキュリティ対策が施されていない場合と、前記不審通信機器及び前記解析対象機器に前記セキュリティ対策が施され、更に、前記解析対象機器と前記不審通信先との間に不審な通信がない場合に、
前記セキュリティ対策が施され、前記不審通信先との通信履歴がある機器である対策済み機器と前記不審通信先との間に不審な通信があったか否かを判定し、
前記対策済み機器と前記不審通信先との間に不審な通信がない場合は、前記不審通信機器と前記不審通信先との間の通信は不正な通信であると判定し、
前記対策済み機器と前記不審通信先との間に不審な通信がある場合は、
前記不審通信機器と前記不審通信先との間の通信パターンと前記対策済み機器と前記不審通信先との通信パターンとが類似すれば、前記不審通信機器と前記不審通信先との間の通信は正常な通信であると判定し、
前記不審通信機器と前記不審通信先との間の通信パターンと前記対策済み機器と前記不審通信先との通信パターンとが類似しなければ、前記不審通信機器と前記不審通信先との間の通信は不正な通信であると判定することを特徴とする請求項４に記載の解析装置。 - 前記通信判定部は、
前記不審通信機器及び前記解析対象機器の用途の異同を判定し、用途の異同の判定結果と前記解析対象機器と前記不審通信先との間に不審な通信があったか否かの判定結果とに基づき、前記不審通信機器と前記不審通信先との間の通信が不正な通信であるか否かを判定することを特徴とする請求項２に記載の解析装置。 - 前記通信判定部は、
前記不審通信機器及び前記解析対象機器の用途が異なる場合に、
前記解析対象機器と前記不審通信先との間に不審な通信があれば、前記不審通信機器と前記不審通信先との間の通信は正常な通信であると判定し、前記解析対象機器と前記不審通信先との間に不審な通信がなければ、前記不審通信機器と前記不審通信先との間の通信は不正な通信であると判定することを特徴とする請求項８に記載の解析装置。 - 前記機器抽出部は、
前記不審通信機器が所属する組織に所属していない機器を前記解析対象機器として抽出することを特徴とする請求項１に記載の解析装置。 - 前記機器抽出部は、
前記不審通信機器と前記不審通信先との間の通信が発生した時刻が含まれる時間帯に前記不審通信先との通信履歴がある機器を前記解析対象機器として抽出することを特徴とする請求項１に記載の解析装置。 - 不審な通信を行った機器である不審通信機器と、前記不審通信機器の通信先である不審通信先とが検知された場合に、コンピュータが、前記不審通信機器以外の機器であって前記不審通信先との通信履歴がある機器を解析対象機器として抽出する機器抽出ステップと、
前記コンピュータが、前記解析対象機器と前記不審通信先との通信履歴を解析して、前記不審通信機器と前記不審通信先との間の通信が不正な通信であるか否かを判定する通信判定ステップとを有することを特徴とする解析方法。 - 不審な通信を行った機器である不審通信機器と、前記不審通信機器の通信先である不審通信先とが検知された場合に、前記不審通信機器以外の機器であって前記不審通信先との通信履歴がある機器を解析対象機器として抽出する機器抽出処理と、
前記解析対象機器と前記不審通信先との通信履歴を解析して、前記不審通信機器と前記不審通信先との間の通信が不正な通信であるか否かを判定する通信判定処理とをコンピュータに実行させることを特徴とするプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014126458A JP6296915B2 (ja) | 2014-06-19 | 2014-06-19 | 解析装置及び解析方法及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014126458A JP6296915B2 (ja) | 2014-06-19 | 2014-06-19 | 解析装置及び解析方法及びプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2016004540A JP2016004540A (ja) | 2016-01-12 |
| JP6296915B2 true JP6296915B2 (ja) | 2018-03-20 |
Family
ID=55223740
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2014126458A Expired - Fee Related JP6296915B2 (ja) | 2014-06-19 | 2014-06-19 | 解析装置及び解析方法及びプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6296915B2 (ja) |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002251374A (ja) * | 2000-12-20 | 2002-09-06 | Fujitsu Ltd | 情報管理システム、情報管理方法、およびその方法をコンピュータに実行させるプログラム、並びにそのプログラムを記録したコンピュータ読み取り可能な記録媒体 |
| JP4437107B2 (ja) * | 2005-08-16 | 2010-03-24 | 日本電気株式会社 | コンピュータシステム |
| JP2010108469A (ja) * | 2008-10-01 | 2010-05-13 | Sky Co Ltd | 操作監視システム及び操作監視プログラム |
-
2014
- 2014-06-19 JP JP2014126458A patent/JP6296915B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2016004540A (ja) | 2016-01-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6894003B2 (ja) | Ａｐｔ攻撃に対する防御 | |
| US9542556B2 (en) | Malware family identification using profile signatures | |
| EP3295359B1 (en) | Detection of sql injection attacks | |
| US10726125B2 (en) | Malware detection using clustering with malware source information | |
| Sukwong et al. | Commercial antivirus software effectiveness: an empirical study | |
| JP6104149B2 (ja) | ログ分析装置及びログ分析方法及びログ分析プログラム | |
| US9117075B1 (en) | Early malware detection by cross-referencing host data | |
| CN107612924B (zh) | 基于无线网络入侵的攻击者定位方法及装置 | |
| US20160078229A1 (en) | System And Method For Threat Risk Scoring Of Security Threats | |
| JP6001781B2 (ja) | 不正アクセス検知システム及び不正アクセス検知方法 | |
| CN108369541B (zh) | 用于安全威胁的威胁风险评分的系统和方法 | |
| Wang et al. | NetSpy: Automatic generation of spyware signatures for NIDS | |
| CN107465702B (zh) | 基于无线网络入侵的预警方法及装置 | |
| CN110868403B (zh) | 一种识别高级持续性攻击apt的方法及设备 | |
| CN107566401B (zh) | 虚拟化环境的防护方法及装置 | |
| Sequeira | Intrusion prevention systems: security's silver bullet? | |
| US20240045954A1 (en) | Analysis of historical network traffic to identify network vulnerabilities | |
| Yamada et al. | RAT-based malicious activities detection on enterprise internal networks | |
| US10601867B2 (en) | Attack content analysis program, attack content analysis method, and attack content analysis apparatus | |
| Abuzaid et al. | An efficient trojan horse classification (ETC) | |
| Mallikarajunan et al. | Detection of spyware in software using virtual environment | |
| Vigna et al. | Host-based intrusion detection | |
| Kono et al. | An unknown malware detection using execution registry access | |
| JP6296915B2 (ja) | 解析装置及び解析方法及びプログラム | |
| CN107517226B (zh) | 基于无线网络入侵的报警方法及装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20170116 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20171116 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20171212 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20180111 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20180123 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20180220 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6296915 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |