JP6357093B2

JP6357093B2 - ログ解析方法、ログ解析プログラム及びログ解析装置

Info

Publication number: JP6357093B2
Application number: JP2014250955A
Authority: JP
Inventors: 善弘早矢仕
Original assignee: TIS Inc
Current assignee: TIS Inc
Priority date: 2014-12-11
Filing date: 2014-12-11
Publication date: 2018-07-11
Anticipated expiration: 2034-12-11
Also published as: JP2016114985A

Description

本発明は、ログ解析方法、ログ解析プログラム及びログ解析装置に関する。

いわゆる情報漏洩への対策として、様々な技術が提案されている。例えば、社員の外部サービスの利用状況を監視する技術が提案されている（特許文献１）。具体的には、アカウント情報を抽出する条件に基づいて、外部サービスのリクエストの通信データからアカウント情報を抽出し、予めアカウント情報に対応付けられているユーザ識別情報を表示するとしている。

また、プロキシサーバから定期的に取得するアクセスログデータから不正候補ログデータを抽出し、さらに不正候補ログデータを解析対象としてログデータの絞り込みを行う技術も提案されている（特許文献２）。具体的には、ネットワーク管理者によって解析対象が重要度別に分類されたアクセス先ＵＲＬデータに基づいて、アクセスログデータから不正候補ログデータを抽出し、さらに所定のフィルタリング条件に基づいてフィルタリング処理を実施することで絞り込みを行うとしている。

また、クライアント端末から電子メールの送信が指示された場合において、不正メールであると判断されたときは所定の制御指示を送信するという技術も提案されている（特許文献３）。具体的には、操作ログ情報に基づいてクライアント端末が事前にアクセスしたファイルを特定するとともに、ファイル毎のキーワードを抽出し、電子メールの本文と抽出したキーワードとを用いて不正メールであるか否かを判定するとしている。

特開２０１３−８４０５１号公報特開２００３−２８０９４５号公報特開２００９−１１６６１６号公報

従来、通信のログを蓄積したり、蓄積したログから予め定められた条件を満たすログデータを抽出する技術は提案されている。また、所定の条件を満たすメールの送信を制御する技術も提案されている。しかしながら、漏えいを防ぐべき対象となる情報の範囲や、情報の公開を許可する範囲は画一的に判断できるものではない。すなわち、いわゆる不正であると判断すべき通信の定義は、例えば会社等の組織ごとに異なったり、同一の組織であっても時間の経過と共に変化したり、通信先によって不正であるか否かの判断が変わることもある。

本発明は、上記のような問題に鑑みてなされたものであり、組織のメンバーが行う通信に関して、組織ごとの内部事情に特化した問題を発見すること又は発見を支援することを目的とする。

本発明に係るログ解析方法は、所定の組織において利用される内部ネットワークと、外部ネットワークとの間で発生した通信の記録を複数含む通信ログを記憶する記憶部から、組織ごとの内部事情に基づいて決定された条件によって通信の記録を抽出するログ抽出ス
テップと、抽出された通信の記録を出力する出力ステップとをコンピュータが実行する。

画一的に適用できる条件ではなく、組織ごとの内部事情に基づいて決定された条件によって、通信ログから通信の記録を抽出すれば、問題につながりそうな通信を柔軟に発見することができるようになる。すなわち、組織のメンバーが行う通信に関して、組織ごとの内部事情に特化した問題を発見することができる。なお、所定の組織とは、各々が外部ネットワークへのアクセスを行う複数のメンバーを有する集団であり、例えば会社等をいうものとする。

また、通信ログは、複数の通信ルートに関する通信の記録を含むものであってもよい。なお、通信ルートとは、物理的な回線や通信のプロトコルではなく、電子メールやウェブコンテンツ、インスタントメッセンジャといったオンラインサービスを単位として、送受信される情報の経路を数えるものとする。個々の通信ルートを流れた通信の記録からはメンバーの行動が把握しきれない場合もあるところ、複数の通信ルートに関する通信の記録を解析の対象とすれば、メンバーのオンライン上での行動を多角的に把握できるようになる。

また、通信ログに含まれる通信の記録は、ＳＭＴＰ（Simple Mail Transfer Protocol
）、ＰＯＰ（Post Office Protocol）又はＩＭＡＰ（Internet Message Access Protocol）の少なくともいずれかを利用した通信の記録、及びＨＴＴＰ（Hypertext Transfer Protocol）を利用した通信の記録であってもよい。このようにすれば、いわゆる電子メール
の送信又は受信と、ウェブコンテンツへのアクセスとを少なくとも監視の対象とすることができる。少なくともこれらのプロトコルを利用する通信を監視することで、主要な通信の記録が監視対象から漏れるのを防ぐことができる。

また、ログ解析方法は、通信の記録の少なくとも一部を一覧表示するステップと、一覧表示された通信の記録の内容を用いて、検索キー、通信が行われた時間帯、又はこれらの組み合わせによって表される条件の入力を受けるステップとをさらに含むようにしてもよい。そして、抽出ステップにおいて、条件に基づいて通信の記録を抽出するようにしてもよい。このようにすれば、例えばユーザが一覧の内容を確認しつつ、さらに抽出する通信の記録を適切に絞り込む処理を繰り返すことができる。

また、複数の通信ルートに関する通信の記録の内容を突き合わせ、いずれかの通信ルートにのみ内容が存在する通信の記録、又はいずれの通信ルートにも内容が存在する通信の記録を抽出するステップをさらに含むようにしてもよい。このように複数の通信ルートに関する通信のログを利用することによっても、メンバーのオンライン上での行動を多角的に把握できるようになる。

なお、課題を解決するための手段に記載した構成は、本発明の課題や技術的思想を逸脱しない範囲で可能な限り組み合わせることができる。また、課題を解決するための手段の内容は、コンピュータ等の装置若しくは複数の装置を含むシステム、コンピュータが実行する方法、又はコンピュータに実行させるプログラムとして提供することができる。なお、プログラムを保持する記録媒体を提供するようにしてもよい。

組織のメンバーが行う通信に関して、組織ごとの内部事情に特化した問題を発見すること又は発見を支援することができるようになる。

図１は、システム構成の一例を示す図である。図２は、プロキシサーバの一例を示す機能ブロック図である。図３Ａは、通信ログの一例を示す図である。図３Ｂは、通信ログの一例を示す図である。図３Ｃは、通信ログの一例を示す図である。図３Ｄは、通信ログの一例を示す図である。図３Ｅは、通信ログの一例を示す図である。図３Ｆは、通信ログの一例を示す図である。図３Ｇは、ＨＴＴＰリクエストの一例を示す図である。図４Ａは、ＳＳＬ通信を説明するための模式的なシーケンス図である。図４Ｂは、ＳＳＬ通信を説明するための模式的なシーケンス図である。図５は、解析装置の一例を示す機能ブロック図である。図６Ａは、ログ抽出処理のユーザインターフェースの一例を示す図である。図６Ｂは、ログ抽出処理のユーザインターフェースの一例を示す図である。図７は、コンピュータの一例を示す装置構成図である。図８は、解析処理の一例を示す処理フロー図である。

以下、図面を参照して本発明を実施するための形態について説明する。なお、実施の形態に示す構成は一例であり、本発明はこれらの構成には限定されない。

＜システム構成＞
図１は、本実施形態に係るシステム構成の一例を示す図である。図１のシステムは、会社等のような所定の組織が利用するイントラネット（内部ネットワークとも呼ぶ）であるローカル・エリア・ネットワーク（ＬＡＮ：Local Area Network）１と、インターネット等の外部ネットワーク２と、本発明に係る解析処理を行う解析装置３とを含む。なお、外部ネットワーク２には、図示していないウェブサーバやメールサーバ、その他の様々なオンラインサービスを提供するサーバ等が接続されているものとする。なお、解析装置３は、ＬＡＮ１内に接続される構成であってもよい。

ＬＡＮ１には、ＬＡＮ１の一端であって外部ネットワーク２との境界に設けられるプロキシサーバ１１と、ウェブサーバ、メールサーバ、ファイルサーバ等であるサーバ１２と、ＬＡＮ１を利用する組織の構成員（メンバー）が利用するコンピュータである端末１３（図１の例では、１３ａ及び１３ｂ）と、無線ＬＡＮルータ１４とを含む。なお、ＬＡＮ１に含まれる機器は、図示していないルータやスイッチ、ハブ等を介して、有線又は無線により接続される。プロキシサーバ１１は、ＬＡＮ１に接続された端末１３と外部ネットワーク２との通信を仲介する代理サーバである。本実施形態では、プロキシサーバ１１は、ＬＡＮ１に接続された端末１３と外部ネットワーク２との通信履歴（通信ログ）を蓄積し、所定のタイミングで通信ログを解析装置３に送信する。なお、端末１３のユーザ（すなわち、ＬＡＮ１を利用する組織のメンバー）ごとに外部ネットワーク上のサービスに対する通信の可否を定めておき、プロキシサーバ１１は、端末１３ごとにアクセスを制御するようにしてもよい。また、端末１３の各々が閲覧したウェブサイトの情報を所定期間キャッシュしておき、当該期間内にいずれかの端末１３から同一のウェブサイトへの閲覧要求があった場合には、プロキシサーバ１１はキャッシュしている情報を返すようにしてもよい。また、サーバ１２が外部ネットワーク２に公開される場合は、サーバ１１は非武装地帯（ＤＭＺ：DeMilitarized Zone）に設置されていてもよい。端末１３は、例えばデスクトップ型又はラップトップ型のパーソナルコンピュータ（ＰＣ：Personal Computer）
、ワークステーション、スレートＰＣ、スマートフォン、携帯電話機等のコンピュータである。図１の例では端末１３ａ及び端末１３ｂを示したが、ＬＡＮ１に接続される端末１
３の数は特に限定されない。

図２は、本実施の形態に係るプロキシサーバ１１の一例を示す機能ブロック図である。プロキシサーバ１１は、ＬＡＮ１に接続された機器と通信を行う内部通信部１１１と、発生した通信のログ等を蓄積する記憶部１１２と、記憶部１１２に通信のログを記憶させるログ記録部１１３と、外部ネットワーク２に接続された機器と通信を行う外部通信部１１４と、記憶部１１２に蓄積された通信のログを所定のタイミングで解析装置３に送信するログ送信部１１５とを含む。なお、プロキシサーバ１１は、ＬＡＮ１と外部ネットワーク２との間で送受信される情報の宛先の変換等を行う図示していない代理処理部等も有する。また、ログ送信部１１５が通信ログを解析装置３に送信するタイミングは任意であり、月次、日次等のバッチ処理として行ってもよいし、通信が発生する度に送信するようにしてもよい。

図３Ａ〜図３Ｆは、記憶部１１２に記憶されるログの一例を示す表である。本実施形態では、ウェブページの閲覧や電子メールの送信などによって発生する通信を、例えばＨＴＭＬファイルごとやメールごとといった所定の単位で１レコードに記録する。そして、通信履歴（「通信ログ」とも呼ぶ）には複数のレコード（「通信の記録」とも呼ぶ）が含まれるものとする。なお、図３Ａ〜図３Ｆの例では、記憶部１１２に格納する情報を行及び列からなる一般的な表で例示したが、通信ログを記憶する際の形式は特に限定されない。例えばＲＤＢＭＳ（Relational Database Management System）を採用してもよいし、い
わゆるＮｏＳＱＬと呼ばれるような、キーバリュー型、オブジェクトデータベース、マルチバリューデータベース等の管理システムを採用してもよい。また、ＣＳＶ（Comma-Separated Values）のようなデリミタ区切りで内容を記憶する形式を採用してもよい。

図３Ａは、ＨＴＴＰ（Hypertext Transfer Protocol）又はＨＴＴＰＳ（Hypertext Transfer Protocol Secure）を用いた通信のログの一例であり、ウェブコンテンツの閲覧を
行った場合のログを示す。すなわち、端末１３が備えるウェブブラウザと、外部ネットワーク２に接続されたウェブサーバとの間で、ＨＴＭＬ（HyperText Markup Language）等
で記載されたコンテンツを送受信する場合に、プロキシサーバ１１の記憶部１１２には、図３Ａに示すような項目を含む１つのレコードが記録される。なお、ウェブブラウザが１つのウェブページを表示するためには、例えばウェブページ内に含まれる画像の各々についてウェブブラウザからのリクエストとウェブサーバからのレスポンスとが送受信される。図３Ａに示すログは、これらのリクエストやレスポンスをそれぞれ記録するのではなく、例えば１つのＨＴＭＬファイルに関する通信を１レコードとして記録するものとする。図３Ａに示すログは、送信日時、受信日時、ホスト名、サーバ情報、リファラ、ユーザエージェント、送信元IPアドレス、送信先IPアドレス、利用ポート、ログイン情報、Cookie情報、文字コード情報、HTTPリクエストURL、HTTPリクエストボディの内容、HTTPレスポ
ンスボディの内容、ファイル名、その他HTTPヘッダ情報といった項目を含む。これらの項目に対応する内容は、リクエストやレスポンスのヘッダやボディ、ＴＣＰヘッダやＩＰヘッダ等からそれぞれ取得することができる。

図３Ｂは、ＨＴＴＰ（Hypertext Transfer Protocol）又はＨＴＴＰＳ（Hypertext Transfer Protocol Secure）を用いた通信のログの一例であり、情報の投稿や共有を行った
場合のログを示す。すなわち、端末１３から、外部ネットワーク２に接続されたウェブサーバ等に対し、テキストやファイルの送信が行われた場合にこれらの投稿を示す１つのレコードが記録される。図３Ｂに示すログは、送信日時、受信日時、ホスト名、サーバ情報、リファラ、ユーザエージェント、送信元IPアドレス、送信先IPアドレス、利用ポート、ログイン情報、Cookie情報、文字コード情報、HTTPリクエストURL、HTTPリクエストボデ
ィの内容、HTTPレスポンスボディの内容、投稿者名、投稿内容、情報閲覧履歴、所属グループ情報、ファイル名、その他HTTPヘッダ情報といった項目を含む。これらの項目に対応
する内容も、リクエストやレスポンスのヘッダやボディ、ＴＣＰヘッダやＩＰヘッダ等からそれぞれ取得することができる。なお、投稿者や投稿内容、ログイン情報、所属グループ情報等の項目は、例えばアクセス先のドメイン名やサービスごとにリクエストボディ等を解析することにより、送受信される内容を適宜項目わけして表示するようにすればよい。

図３Ｃは、ＨＴＴＰ（Hypertext Transfer Protocol）又はＨＴＴＰＳ（Hypertext Transfer Protocol Secure）を用いた通信のログの一例であり、ファイルの転送又は共有サ
ービスを利用した場合のログを示す。すなわち、端末１３から、外部ネットワーク２に接続されたウェブサーバ等に対し、ファイルの送信が行われた場合にファイル送信を示す１つのレコードが記録される。図３Ｃに示すログは、送信日時、受信日時、ホスト名、サーバ情報、リファラ、ユーザエージェント、送信元IPアドレス、送信先IPアドレス、利用ポート、ログイン情報、Cookie情報、文字コード情報、HTTPリクエストURL、HTTPリクエストボディの内容、HTTPレスポンスボディの内容、ファイル名、その他HTTPヘッダ情報といった項目を含む。これらの項目に対応する内容も、リクエストやレスポンスのヘッダやボディ、ＴＣＰヘッダやＩＰヘッダ等からそれぞれ取得することができる。

図３Ｄは、ＨＴＴＰ（Hypertext Transfer Protocol）又はＨＴＴＰＳ（Hypertext Transfer Protocol Secure）を用いた通信のログの一例であり、ウェブメールサービスを利
用した場合のログを示す。すなわち、端末１３から、外部ネットワーク２に接続されたウェブサーバ等に対し、メール送信の指示が行われた場合にメール送信を示す１つのレコードが記録される。図３Ｄに示すログは、送信日時、受信日時、ホスト名、サーバ情報、リファラ、ユーザエージェント、コンテンツタイプ、送信元IPアドレス、送信先IPアドレス、ポート番号、ログイン情報、Cookie情報、文字コード情報、HTTPリクエストURL、HTTP
リクエストボディの内容、HTTPレスポンスボディの内容、その他HTTPヘッダ、送信メールアドレス、受信メールアドレス、メール件名、メール本文、メール添付データといった項目を含む。これらの項目に対応する内容も、リクエストやレスポンスのヘッダやボディ、ＴＣＰヘッダやＩＰヘッダ等からそれぞれ取得することができる。

図３Ｅは、ＳＭＴＰ（Simple Mail Transfer Protocol）又はＳＭＴＰｏｖｅｒＳＳＬ
を用いた通信のログの一例であり、いわゆる電子メールを送信した場合のログを示す。すなわち、端末１３から、外部ネットワーク２に接続されたメールサーバ等に対し、メール送信の指示が行われた場合にメール送信を示す１つのレコードが記録される。図３Ｅに示すログは、メール送信日時、送信元IPアドレス、接続メールサーバアドレス、ポート番号、コンテンツタイプ、送信先メールアドレス、送信元メールアドレス、メッセージID、メール件名、メール本文、メール添付データ、SSL証明書情報、ログイン情報、ユーザエー
ジェントといった項目を含む。これらの項目に対応する内容は、ＴＣＰヘッダやＩＰヘッダのほか、メールヘッダやメールボディから適宜取得することができる。

図３Ｆは、ＰＯＰ（Post Office Protocol）又はＰＯＰｏｖｅｒＳＳＬを用いた通信のログの一例であり、いわゆる電子メールを受信した場合のログを示す。すなわち、端末１３から、外部ネットワーク２に接続されたメールサーバ等に対し、メール受信が行われた場合にメール受信を示す１つのレコードが記録される。なお、ＩＭＡＰ（Internet Message Access Protocol）又はＩＭＡＰｏｖｅｒＳＳＬを用いた通信のログも同様である。図３Ｆに示すログは、メール受信日時、送信元IPアドレス、接続メールサーバアドレス、ポート番号、コンテンツタイプ、メッセージID、送信者メールアドレス、受信メールアドレス、メール件名、メール本文、メール添付データ、SSL証明書情報、ログイン情報といっ
た項目を含む。これらの項目に対応する内容も、ＴＣＰヘッダやＩＰヘッダのほか、メールヘッダやメールボディから適宜取得することができる。

上述の通り、例えばＨＴＴＰを利用して送受信される情報は、オンラインサービスごとにリクエストボディやレスポンスボディに独自の項目を含むことがある。図３Ｇは、ウェブメールを送る際に送信されるＨＴＴＰリクエストの一例を示す。また、ＨＴＴＰリクエストは、１行の空白をはさんでリクエストヘッダとリクエストボディとを含む。そして、図３Ｇのリクエストボディは、アンパサンド（＆）で始まる「to」、「cc」、「bcc」、
「subjectbox」、「composeid」、「from」、「subject」・・・といった項目と、これらの項目に対応付けてイコール（＝）で接続された内容とを含んでいる。本実施形態では、プロキシサーバ１１の記憶部１１２に、取得すべき項目を予め設定しておき、図３Ｄに示したような通信ログを記録する。図３Ｇの例では、例えば項目「to」の内容を通信ログの「送信先メールアドレス」として記録し、項目「from」の内容を通信ログの「送信元メールアドレス」として記録し、項目「subject」の内容を通信ログの「メール件名」として
記憶し、項目「body」の内容を通信ログの「メール本文」として記録する。以上のようなリクエストボディの構造はオンラインサービスごとに異なるため、あらかじめ構造を解析して通信ログを記録できるようにしておく。すなわち、宛先、件名、内容といった電子メールの構成要素や、掲示板、メッセンジャ等への投稿データの構成要素を表す項目（属性）であって、リクエストボディから抽出すべき項目を予めオンラインサービスごとに保持しておき、各項目に対応付けられた内容を示す文字列を取得する。

なお、監視の対象とする通信ログは上述したプロトコルを利用するソフトウェアで送受信されるものには限られない。例えばインスタントメッセンジャの機能を有するソフトウェアについて、送受信されるパケットの内容を解析し、監視対象としてもよい。本実施形態では、上述した通信ログがプロキシサーバ１１の記憶部１１２に蓄積され、所定のタイミングで解析装置３に送信されるものとする。

また、本実施形態に係るプロキシサーバは、ＳＳＬ（／ＴＬＳ）通信を復号し、ログを平文で蓄積する。図４Ａ、図４Ｂは、ＳＳＬ通信を説明するための模式的なシーケンス図である。図４Ａは、ＳＳＬ暗号化通信の開始までに行うハンドシェイクを説明するための図である。まず、端末１３は外部ネットワークに存在するサーバ（ここでは、ウェブサーバとする）に対してＳＳＬ通信の開始を要求する。このとき、プロキシサーバ１１は通信を仲介する（図４Ａ：（１）、（２））。一方、ウェブサーバはサーバ証明書を端末１３に向けて送信する（図４Ａ：（３））。このとき、ウェブサーバの公開鍵が送信される。また、これを中継するプロキシサーバ１１は、ウェブサーバの公開鍵を保持し（図４Ａ：（４））、端末１３へは、例えばウェブサーバの証明書に記述されている識別名（Subject DN（Distinguished Name））等に基づいて生成及び署名した証明書を送信する（図４Ａ：（５））。なお、秘密鍵を利用可能な既存の証明書を送信するようにしてもよい。このような中間者攻撃の手法を用いた処理は、例えばＳＳＬｓｐｌｉｔのような既存のツールを用いて実行することもできる。その後、端末１３は、共通鍵を生成し（図４Ａ：（６））、プロキシサーバ１１から受信した公開鍵で暗号化して、ウェブサーバへ向けて送信する（図４Ａ：（７））。これを中継するプロキシサーバ１１は、例えば自身が生成及び署名して端末１３に送信した証明書の公開鍵と対になる秘密鍵を用いて、端末１３から受信した共通鍵を復号し、記憶部に保持する。また、プロキシサーバ１１は、復号化された共通鍵をウェブサーバの公開鍵で暗号化し、ウェブサーバへ送信する（図４Ａ：（９））。そして、ウェブサーバは端末１３が生成した共通鍵を受信する（図４Ａ：（１０））。

図４Ｂは、ＳＳＬ暗号化通信が確立した後の通信を示す模式的なシーケンス図である。まず、端末１３は、共通鍵を用いて、送信する平文から暗号文を生成し（図４Ｂ：（１１））、暗号文をウェブサーバへ送信する（図４Ｂ（１２））。これを中継するプロキシサーバ１１は、自身が保持している共通鍵を用いて通信の内容を復号し、ログにレコードを記録する（図４Ｂ：（１３））。そして、端末から受信した暗号文をウェブサーバへ転送する（図４Ｂ（１４））。一方、ウェブサーバは、共通鍵を用いて受信した暗号文を復号
する（図４Ｂ：（１５））。そして、応答の内容を、共通鍵を用いて暗号化し（図４Ｂ：（１６））、暗号文を端末１３へ送信する（図４Ｂ（１７））。これを中継するプロキシサーバ１１は、自身が保持している共通鍵を用いて通信の内容を復号し、ログにレコードを記録する（図４Ｂ：（１８））。そして、ウェブサーバから受信した暗号文を端末１３へ転送する（図４Ｂ（１９））。その後、端末１３は、共通鍵を用いて受信した暗号文を復号する（図４Ｂ：（２０））。以上のように、本実施形態に係るプロキシサーバ１１は、ＳＳＬ暗号化通信の内容もログに蓄積することができる。

図４は、本実施形態に係る解析装置３の一例を示す機能ブロック図である。本実施形態に係る解析装置３は、ＬＡＮ１のプロキシサーバ１１が蓄積した通信ログを、外部ネットワーク２を介して受信するログ取得部３１と、受信した通信ログを記憶する記憶部３２と、通信ログから所定のレコードを抽出するための条件の入力を受ける条件入力部３３と、入力された条件に合致するレコードを抽出する抽出部３４と、抽出されたレコードを出力する出力部３５とを含む。本実施形態では、抽出部３４は入力された抽出条件に基づいて、例えば図３Ａ〜図３Ｆに示した項目に対して行う文字列の検索（完全一致、部分一致等）や、日時等の項目に対する範囲検索、送信元又は送信先等の項目ごとに行う通信回数等の集計等の処理を行う。また、例えば図３Ａ〜図３Ｆに示した様々な通信ログから横断的にレコードを抽出したり、様々な通信ログに含まれるレコードを突き合わせて所定の情報を抽出することもできる。

ＬＡＮ１内の端末１３から電子メールを送信する手段には、いわゆるメーラのようにＳＭＴＰやＩＭＡＰを利用して電子メールを送信するソフトウェアもあれば、ブラウザによってアクセスすることができるＨＴＴＰを利用して電子メールを送信するウェブメールサービスもある。したがって、ＬＡＮ１内の端末１３から様々なプロトコルを利用する様々なサービスの通信ログを横断的に検索することができれば、端末１３のユーザの通信の監視漏れを低減することができる。

図６Ａ及び図６Ｂは、解析処理を行うソフトウェアのユーザインターフェースの一例を示す図である。ユーザインターフェースは、通信ログの検索条件を入力するための「条件入力欄」と、検索結果を表示するための「結果出力欄」を有している。

図６Ａは、ＨＴＴＰを利用した通信のログから、「upload」を検索文字列としてレコードを抽出する例を示している。検索の対象とする項目は、例えば図３Ａ〜図３Ｄに示した項目のいずれかに絞ってもよいし、いずれかの項目に対応する内容に検索文字列が含まれていれば抽出できるようにしてもよい。また、図６Ａの例では、日時の検索範囲を２０１４年５月１３日から２０１４年５月２０日に絞っている。そして、図６Ａの例では、抽出されたレコードについて、送信日時、送信元ＩＰアドレス、送信先ＩＰアドレス、利用ポート、ホスト名、（添付）ファイル名といった項目の内容を表示している。ＨＴＴＰを利用した通信を検索対象としているため、図６Ａの例では、例えばウェブメールに添付したファイルや、ファイル共有サービスに転送したファイル等、様々なサービスに関して通信のログを横断的に監視することができるようになる。なお、図６Ａに示した項目は一例であり、図３Ａ〜図３Ｄに示したログに含まれる任意の項目を表示することができる。

図６Ｂは、ＳＭＴＰを利用した通信のログから就業時間外（Off hours）に送信された
メールの一覧を抽出した例を示している。なお、就業時間を示す開始時刻及び終了時刻は、別途定義しておくものとする。図６Ｂの例では、抽出されたレコードについて、送信日時、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元メールアドレス、送信先メールアドレス、メール件名、メッセージＩＤ、メール添付データ、メール本文といった項目の内容を表示している。なお、メール本文は、例えば各リンクをクリックすることにより詳細な内容が表示される。図６Ａに示したＨＴＴＰを利用した通信だけでなく、監視対象とす
るプロトコルを増やすことで、メンバーのネットワーク上での行動を漏れなく監視することができるようになる。また、吹き出しに示すように、添付ファイルやメール本文をクリックすることで詳細な内容を表示できるようにしてもよい。図６Ｂに示した項目も一例であり、図３Ｅに示したログに含まれる任意の項目を表示することができる。同様に、図３Ｆに示した、ＰＯＰ又はＩＭＡＰを用いた通信のログについても、少なくとも一部の項目を表示するようなユーザインターフェースを出力することができる。

図６Ａ及び図６Ｂに示したようなユーザインターフェースを介して、解析装置３の条件入力部３３、出力部３５は、それぞれ条件の入力受付、抽出結果の出力を行う。なお、図６Ａ及び図６Ｂに示したユーザインターフェースは一例であり、例えば添付ファイルの有無等その他の項目を条件入力欄に指定できるようにしてもよい。また、組織のメンバーの識別情報と、当該メンバーが使用する端末１３のＩＰアドレスを対応付けて記憶しておくと共に、メンバーごとに許可される通信の条件を別途設定しておき、許可された範囲から外れたことを条件としてレコードを抽出できるようにしてもよい。また、条件を入力した状態でタブを切り替えることにより、同一の条件で他のプロトコルを利用した通信のログを検索するようにしてもよい。このようにすれば、様々な通信ルートを横断的に検索する処理が容易になる。また、図３Ａ〜図３Ｆに示した様々なプロトコルに係るログを混合し、例えば通信の発生した日時等任意の項目でソートして出力するようにしてもよい。このようにすれば、タブを切り替えることなく様々な通信ルートを横断的に検索することができる。

＜装置構成＞
図７は、コンピュータの一例を示す装置構成図である。解析装置３、プロキシサーバ１１、サーバ１２、端末１３は、例えば図７に示すようなコンピュータである。図７に示すコンピュータ１０００は、ＣＰＵ（Central Processing Unit）１００１、主記憶装置１
００２、補助記憶装置（外部記憶装置）１００３、通信ＩＦ（Interface）１００４、入
出力ＩＦ（Interface）１００５、ドライブ装置１００６、通信バス１００７を備えてい
る。ＣＰＵ１００１は、プログラムを実行することにより本実施の形態に係る処理等を行う。主記憶装置１００２は、ＣＰＵ１００１が読み出したプログラムやデータをキャッシュしたり、ＣＰＵの作業領域を展開したりする。主記憶装置は、具体的には、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等である。補助記憶装置１００３は、ＣＰＵ１００１により実行されるプログラムや、本実施の形態で用いる設定情報などを記憶する。補助記憶装置１００３は、具体的には、ＨＤＤ（Hard-disk Drive）やＳＳＤ
（Solid State Drive）、ｅＭＭＣ（embedded Multi-Media Card）、フラッシュメモリ等である。主記憶装置１００２や補助記憶装置１００３は、解析装置３の記憶部３２やプロキシサーバ１１の記憶部１１２として働く。通信ＩＦ１００４は、他のコンピュータとの間でデータを送受信する。解析装置３のログ取得部３２やプロキシサーバ１１の内部通信部１１１、外部通信部１１４、ログ送信部１１５は、通信ＩＦ１００４を介してネットワーク２又はＬＡＮ１の他の装置に接続される。通信ＩＦ１００４は、具体的には、有線又は無線のネットワークカード等である。入出力ＩＦ１００５は、入出力装置と接続され、ユーザから入力を受け付けたり、ユーザへ情報を出力したりする。入出力装置は、具体的には、キーボード、マウス、ディスプレイ、タッチパネル等である。解析装置３の条件入力部３３や出力部３５は、入出力ＩＦ１００５を介して情報の入出力を行う。ドライブ装置１００６は、磁気ディスク、光磁気ディスク、光ディスク等の記憶媒体に記録されたデータを読み出したり、記憶媒体にデータを書き込んだりする。そして、以上のような構成要素が、通信バス１００７で接続されている。なお、これらの構成要素はそれぞれ複数設けられていてもよいし、一部の構成要素（例えば、ドライブ装置１００６）を設けないようにしてもよい。また、入出力装置がコンピュータと一体に構成されていてもよい。また、ドライブ装置１００６で読み取り可能な可搬性の記憶媒体や、フラッシュメモリのような可搬性の補助記憶装置１００３、通信ＩＦ１００４などを介して、本実施の形態で実行
されるプログラムが提供されるようにしてもよい。そして、ＣＰＵ１００１がプログラムを実行することにより、上記のようなコンピュータを解析装置３として働かせる。

＜解析処理＞
図８は、解析装置３が行う解析処理の一例を示す処理フロー図である。なお、プロキシサーバ１１に蓄積された通信ログが、ログ送信部１１５によって解析装置３に送信され、すでに解析装置３の記憶部３２に保持されているものとする。

まず、解析装置３の抽出条件入力部３３は、通信ログから所定のレコードを抽出するための条件を、ユーザから受ける（図８：Ｓ１）。本実施形態において入力される条件は、組織ごとの内部事情に基づいて決定する。条件は、定期的なコンサルティングを通じて組織ごとに例えば漏洩を注意すべき情報を決めるようにしてもよい。また、組織の内規が変更された場合に、新たな条件が設定されるようにしてもよい。以上のような条件は、解析処理のオペレータによって、例えば図６Ａ及び図６Ｂに示した条件入力欄に入力される。

また、解析装置３の抽出部３４は、入力された抽出条件に基づいて、記憶部３２に蓄積されている通信ログから条件に該当するレコードを抽出する（Ｓ２）。ここでは、一般的なデータベース（ＤＢ：Database）の操作により条件に合致するレコードを抽出することができる。

そして、解析装置３の出力部３５は、抽出されたレコードを出力する（Ｓ３）。ここでは、Ｓ２において抽出されたレコードについて、通信ログに記憶された項目のうち少なくとも一部の項目の内容が一覧表示される。例えば、図６Ａ及び図６Ｂに示した結果出力欄に、内容が出力される。

その後、解析装置３の条件入力部３３は、処理を継続するか判断する（Ｓ４）。例えば、抽出条件が入力された場合は、処理を継続するものと判断し（Ｓ４：ＹＥＳ）、Ｓ１の処理に戻る。一方、例えば解析処理のオペレータからプログラムの終了が指示されたような場合は、処理を終了するものと判断し（Ｓ４：ＮＯ）、解析処理を終了する。なお、以上のような解析処理を例えば１か月ごとなど任意の間隔で継続するようにしてもよい。また、出力結果を踏まえて、組織ごとに例えば漏えいを防止すべき情報についてコンサルティングを行い、通信ログの新たな抽出条件を決めるようにしてもよい。このようにして抽出された通信を行ったメンバーに対しては、さらに詳細な調査を行ったり、注意を喚起したりするものとする。

このように、画一的に適用できる条件ではなく、組織ごとの内部事情に基づいて決定された条件によって通信の記録を抽出すれば、問題につながりそうな組織のメンバーの通信を柔軟に発見することができるようになる。すなわち、組織のメンバーが行う通信に関して、組織ごとの内部事情に特化した問題を発見することができる。本実施形態に係る解析処理は、様々なプロトコルを利用する通信のログを総合的に検索できるため、様々な組織の要求に応じた検索結果を提供するのに好適なものとなっている。以下、具体的なケースに当てはめて説明する。

＜例１＞
例１では、メンバーが所属する部署ごとに、残業自体が禁止されていたり、深夜の残業が禁止されていたり、又は残業申請の提出により残業が許可されるような場合において、ルールに違反しているメンバーを抽出する例を説明する。この場合、図８のＳ２において、抽出部３４は、例えば図３Ａ〜図３Ｆに示した様々な通信のログから、定時後や２２時以降等、所定の時間帯に行われた通信の送信元ＩＰアドレスやメールアドレス等に対応付けられたメンバーの識別情報を取得することで、定時後又は深夜の時間帯に業務を行った
メンバーを抽出する。さらに、抽出部３４は、所定の時間帯に通信を行ったことを示すレコードであっても、残業申請を提出していた日については抽出しないようにしてもよい。このとき、残業申請の有無を示す電子データも予め記憶部３４に記憶させておき、通信ログと突き合わせる処理を行ってもよい。以上のように、本例では通信のログを参照することによって、間接的にメンバーの勤務時間を監視している。また、本例ではメーラによって送信された電子メールだけでなく、ウェブメールを利用して送信された電子メールなど、様々な通信ルートを監視できるため、より正確にメンバーの行動を把握することができるようになる。

＜例２＞
例２では、組織の内規として電子メールの添付ファイルには必ずパスワードを設定することが求められている場合において、違反しているメンバーを抽出する例を説明する。この場合、図８のＳ２において、抽出部３４は、図３Ｅに示したＳＭＴＰを利用する通信や図３Ｆに示したＩＭＡＰを利用する通信のログから、メール添付データが付いており、且つメール添付データが平文のままのレコードを抽出する。メール添付データにパスワードが設定されているか否かは、例えば、プログラムがファイルの属性値を参照してパスワードの有無を判定してもよいし、プログラムからファイルのオープンを試み、開けなければパスワードが設定されていると判定するようにしてもよい。また、このような判定は、添付ファイルの種類（拡張子）ごとに異なる方法で行うようにしてもよい。また、メール添付データにパスワードが設定されていないレコードが抽出された場合、抽出したレコードの送信者メールアドレス又は送信元ＩＰアドレスに対応付けられたユーザの識別情報に基づいて、違反しているメンバーを特定し、例えば出力部３５は該当するメンバーに対して改善を促す内容のメールも送信する。本例でも、いわゆる電子メールだけでなく、ウェブメールの添付データについても総合的に監視できる。すなわち、より正確にメンバーの行動を把握することができるようになる。

＜例３＞
例３では、組織が抱える懸念材料として特定の事柄に関する情報の漏えいを防止したい場合において、外部に関連事項を送信しているメンバーを抽出する例を説明する。この場合、図８のＳ２において、抽出部３４は、図３Ｂ〜図３Ｆに示した通信のログから、上述した特定の事柄に関するキーワードや関連するワードを検索キーにするとともに、送信先メールアドレス又は送信先ＩＰアドレスが、組織内で利用されているもの以外であることを検索条件とし、組織外への通信を抽出する。このとき、当該情報を送信しても問題のない受信メールアドレスのドメイン名の一覧（すなわち、ホワイトリスト）や、当該情報を送信してはいけない受信メールアドレスのドメイン名の一覧（いわゆる、ブラックリスト）等を用いて、抽出するレコードを絞り込むようにしてもよい。このようにして、外部に関連事項を送信したことを示すレコードが抽出される。また、抽出部３４は、抽出したレコードの送信者メールアドレス又は送信元ＩＰアドレスに対応付けられたユーザの識別情報に基づいて、情報を送信したメンバーを特定しする。このようにして、外部に関連事項を送信したメンバーが抽出される。その後、組織の担当者は、当該送信行為の要否を詳細に調査するようにしてもよい。本例では、いわゆる電子メールだけでなく、ユーザ投稿型のウェブサービスへの情報送信やウェブメールの内容についても総合的に監視できる。

＜例４＞
例４では、組織の内規として「すべての役職員は、業務上必要な場合のみ社内及び社外のウェブサイトにアクセスすることができる」というセキュリティポリシーが定められている場合において、ウェブサイトへのアクセスの状況を可視化し、要否の判断を支援する例を説明する。この場合、図８のＳ２において、抽出部３４は、図３Ａに示した通信のログから、例えばＨＴＴＰリクエストＵＲＬのドメイン名ごとに、アクセスした送信元ＩＰアドレス（すなわち、組織のメンバー）及びアクセスの回数を集計する。そして、Ｓ３に
おいて、出力部３５がこのような情報を出力することにより、ドメイン名ごとに業務上のアクセスの要否を判断し易くなる。また、出力された統計情報に基づいて、例えばメンバー毎のアクセス状況を数か月等の所定期間監視し、不必要なウェブサイトへのアクセスが継続する場合には注意喚起を行うようにしてもよい。

＜例５＞
例５では、組織の内規として「業務上不必要なファイルやソフトウェア、不審なファイルなどをダウンロードしてはならない」というセキュリティポリシーが定められている場合において、様々な通信ルートからのダウンロードを監視する例を説明する。この場合、図８のＳ２において、抽出部３４は、図３Ａ、図３Ｄ、図３Ｆ等に示した通信のログから、ダウンロードしたファイルの名称、受信メールの添付データの名称を抽出し、受信メールアドレスや送信先ＩＰアドレスに対応付けられたユーザの識別情報に基づいて、情報を受信したメンバーを特定する。また、ダウンロードしたファイルの要否を別途判断し、不必要と考えられるファイルやソフトウェア、不審なファイルがダウンロードされた端末１３を具体的に調査する。

＜例６＞
例６では、情報の流出経路の特定と流出先の絞込みを行う場合において、様々な通信ルートのログを突き合わせて判断する例を説明する。この場合、図８のＳ２において、抽出部３４は、図３Ｂ〜図３Ｆに示した様々な通信のログや、例えばＨＴＴＰやＩＭＡＰ等を利用したＳＮＳアプリケーションの通信ログ（図示せず）等から電子メールやチャット等の内容を精査し、流出先の候補を抽出する。このとき、いずれかの通信ルートにのみ内容が存在する通信の記録、又はいずれの通信ルートにも内容が存在する通信の記録を抽出するようにしてもよい。例えば、ある通信ルートにおいてある情報に言及するメッセージが送受信されており、他の通信ルートにおいて当該情報自体が転送されたような場合、様々な通信ルートのログを突き合わせて解析することにより、端末のユーザ（社員等）の行動の全体を把握できるようになる。そして、流出先の候補を示すＩＰアドレスやメールアドレス等を検索キーとして、さらに図３Ｂ〜図３Ｆに示した様々な通信のログやその他の通信のログを検索し、情報の流出に至る経緯を詳細に抽出する。

上述した各例の処理は、解析装置３のオペレータが実行するようにしてもよいし、解析装置３が検索結果を再帰的に利用して繰り返すようにしてもよい。本発明では様々な通信ルートのログを総合的に監視対象としており、幅広い条件で通信ログの検索を行うことができ、組織ごとの内部事情に特化した問題を抽出するために好適な構成となっている

１ＬＡＮ（内部ネットワーク）
１１プロキシサーバ
１１１内部通信部
１１２記憶部
１１３ログ記録部
１１４外部通信部
１１５ログ送信部
１２サーバ
１３（１３ａ，１３ｂ）端末
１４無線ＬＡＮルータ
２外部ネットワーク
３解析装置
３１ログ取得部
３２記憶部
３３条件入力部
３４抽出部
３５出力部

Claims

所定の組織において利用される内部ネットワークと、外部ネットワークとの間で発生した通信の記録であって、通信のプロトコルとして、ＳＭＴＰ（Simple Mail Transfer Protocol）、ＰＯＰ（Post Office Protocol）又はＩＭＡＰ（Internet Message Access Protocol）の少なくともいずれかを利用した通信の記録、及びＨＴＴＰ（Hypertext Transfer Protocol）を利用した通信の記録を複数含む通信ログを記憶する記憶部を、所定の条件に基づいて検索すると共に、前記プロトコルを切り替え可能にして前記通信の記録を抽出し又は複数の前記プロトコルにおける通信の記録を混合して抽出するログ抽出ステップと、
抽出された前記通信の記録を出力する出力ステップと、
をコンピュータが実行するログ解析方法。
一覧表示された前記通信の記録の内容に基づいて決定される、検索キー、及び通信が行われた時間帯の組み合わせによって表される条件の入力を受けるステップをさらに含み、
前記ログ抽出ステップにおいて、入力された前記条件に基づいて通信の記録を抽出する
請求項１に記載のログ解析方法。
前記ログ抽出ステップにおいて、前記記憶部に予め記憶された例外となる時間帯を示す情報と前記条件に含まれる通信が行われた時間帯とを突き合わせ、前記例外となる時間帯に行われた通信の記録を除いて抽出する
請求項２に記載のログ解析方法。
前記プロトコルにおける通信の記録を、電子メール及びウェブコンテンツを少なくとも含むオンラインサービスごとの記録として扱い、複数の前記オンラインサービス間において前記通信の記録の内容を突き合わせ、いずれかのオンラインサービスにのみ前記内容が存在する通信の記録、又はいずれのオンラインサービスにも前記内容が存在する通信の記録を抽出するステップ
をさらに含む請求項１から３のいずれか一項に記載のログ解析方法。
所定の組織において利用される内部ネットワークと、外部ネットワークとの間で発生した通信の記録であって、通信のプロトコルとして、ＳＭＴＰ（Simple Mail Transfer Pro
tocol）、ＰＯＰ（Post Office Protocol）又はＩＭＡＰ（Internet Message Access Protocol）の少なくともいずれかを利用した通信の記録、及びＨＴＴＰ（Hypertext Transfer Protocol）を利用した通信の記録を複数含む通信ログを記憶する記憶部を、所定の条件に基づいて検索すると共に、前記プロトコルを切り替え可能にして前記通信の記録を抽出し又は複数の前記プロトコルにおける通信の記録を混合して抽出するログ抽出ステップと、
抽出された前記通信の記録を出力する出力ステップと、
をコンピュータに実行させるためのログ解析プログラム。
所定の組織において利用される内部ネットワークと、外部ネットワークとの間で発生した通信の記録であって、通信のプロトコルとして、ＳＭＴＰ（Simple Mail Transfer Protocol）、ＰＯＰ（Post Office Protocol）又はＩＭＡＰ（Internet Message Access Protocol）の少なくともいずれかを利用した通信の記録、及びＨＴＴＰ（Hypertext Transfer Protocol）を利用した通信の記録を複数含む通信ログを記憶する記憶部を、所定の条件に基づいて検索すると共に、前記プロトコルを切り替え可能にして前記通信の記録を抽出し又は複数の前記プロトコルにおける通信の記録を混合して抽出するログ抽出部と、
抽出された前記通信の記録を出力する出力部と、
を備えるログ解析装置。