JP6904420B2 - 情報選択装置、情報選択方法、及び、情報選択プログラム - Google Patents

Description

本発明は、事象に関する情報を提供する情報選択装置等に関する。

ランサムウェア（Ｒａｎｓｏｍｗａｒｅ）、及び、マルウェア（ｍａｌｗａｒｅ）は、情報処理システムに対して悪影響を与えるソフトウェアである。情報処理システムがマルウェア等から攻撃を受けた場合には、該マルウェアが該情報処理システムに侵入した手順等を解明することによって、マルウェアから該情報処理システムを防御する体制を整えることができることに加え、さらに、マルウェアに対する対策を行うことができる。たとえば、対策は、通信ネットワークを遮断する対策、または、マルウェアである可能性が高いファイルを特定する対策等である。このような体制を整える装置の一例として、特許文献１及び特許文献２には、マルウェアを検出する装置が開示されている。また、特許文献３及び特許文献４には、情報処理システムにおける処理を可視化する装置が開示されている。

特許文献１には、マルウェアを検出する検出装置が開示されている。該検出装置は、プログラムが関数を呼び出す依存関係を表す依存情報を作成する。該検出装置は、マルウェアでないプログラムに関する該依存関係を表すパターンと、該依存情報とを比較する。

特許文献２には、マルウェアを検知する検知装置が開示されている。該検知装置は、マルウェアである可能性があるファイルを複数のクラスタに分類する。該検知装置は、クラスタに属している代表的なファイルを選択し、選択したファイルを静的に解析することによって、該ファイルがマルウェアを含んでいるか否かを判定する。

特許文献３には、情報処理システムにおいて処理されているデータを、グラフを用いて表すことによって、該情報処理システムにおけるデータの流れを可視化する情報処理装置が開示されている。また、特許文献４には、複数のイベント間における関連性を、グラフを用いて表すことによって、該関連性を可視化する情報処理装置が開示されている。

特表２０１７−５０５９４４号公報 特開２０１２−０８３８４９号公報 国際公開第２０１５／１４１２２０号 国際公開第２０１７／０９４８２０号

しかし、特許文献１乃至特許文献４に開示されたいずれの装置を用いたとしても、情報処理システムにおいて生じた事象を迅速に解明することは難しい。たとえば、特許文献１に開示された装置、または、特許文献２に開示された装置は、マルウェアを検出するものの、該マルウェアが情報処理システムに侵入した手順等を解明することはできない。また、特許文献３、または、特許文献４に開示された装置は、情報処理システムにて生じた事象を可視化する。しかし、該情報処理システムの規模が大きくなるにつれ該事象を表す表示情報が膨大になるので、これらの装置を用いたとしても、該表示情報の中から、注目する事象を迅速に見つけることは難しい。

そこで、本発明の目的の１つは、注目する事象に関する情報を迅速に取得することが可能な情報選択装置等を提供することである。

本発明の１つの態様として、情報選択装置は、
対象システムにおける処理対象に対して処理が実施されたことを表すログ情報のうち、該対象システムにて実施された異常処理に対して影響を与えた可能性がある、前記処理対象を含む対象ログ情報を特定する対象情報特定手段と、
前記処理及び前記処理対象の組み合わせごとに前記対象ログ情報の頻度を算出し、算出した前記頻度に基づき該対象ログ情報が異常である程度を表す異常度を算出する算出手段と、
前記対象ログ情報のうち、前記異常度が、異常なログ情報を判定する基準を満たしている関連ログ情報を選択する選択手段と
を備える。

また、本発明の他の態様として、情報選択方法は、
情報処理装置によって、対象システムにおける処理対象に対して処理が実施されたことを表すログ情報のうち、該対象システムにて実施された異常処理に対して影響を与えた可能性がある、前記処理対象を含む対象ログ情報を特定し、前記処理及び前記処理対象の組み合わせごとに前記対象ログ情報の頻度を算出し、算出した前記頻度に基づき該対象ログ情報が異常である程度を表す異常度を算出し、前記対象ログ情報のうち、前記異常度が、異常なログ情報を判定する基準を満たしている関連ログ情報を選択する。

また、本発明の他の態様として、情報選択プログラムは、
対象システムにおける処理対象に対して処理が実施されたことを表すログ情報のうち、該対象システムにて実施された異常処理に対して影響を与えた可能性がある、前記処理対象を含む対象ログ情報を特定する対象情報特定機能と、
前記処理及び前記処理対象の組み合わせごとに前記対象ログ情報の頻度を算出し、算出した前記頻度に基づき該対象ログ情報が異常である程度を表す異常度を算出する算出機能と、
前記対象ログ情報のうち、前記異常度が、異常なログ情報を判定する基準を満たしている関連ログ情報を選択する選択機能と
をコンピュータに実現させる。

さらに、同目的は、係るプログラムを記録するコンピュータが読み取り可能な記録媒体によっても実現される。

本発明に係る情報選択装置等によれば、注目する事象に関する情報を迅速に取得することができる。

本発明の第１の実施形態に係る情報選択装置が有する構成を示すブロック図である。 第１の実施形態に係る情報選択装置における処理の流れを示すフローチャートである。 処理情報記憶部に格納される処理情報の一例を概念的に表す図である。 通信情報記憶部に格納される通信情報の一例を概念的に表す図である。 ファイル情報記憶部に格納されるファイル情報の一例を概念的に表す図である。 関連情報記憶部に格納される関連情報の一例を概念的に表す図である。 グラフ情報記憶部に格納されるグラフ情報の一例を概念的に表す図である。 ログ情報の一例を概念的に表す図である。 本発明の第２の実施形態に係る情報選択装置が有する構成を示すブロック図である。 第２の実施形態に係る情報選択装置における処理の流れを示すフローチャートである。 本発明の第３の実施形態に係る情報選択装置が有する構成を示すブロック図である。 第３の実施形態に係る情報選択装置における処理の流れを示すフローチャートである。 本発明の第４の実施形態に係る情報選択装置が有する構成を示すブロック図である。 第４の実施形態に係る情報選択装置における処理の流れを示すフローチャートである。 本発明の各実施形態に係る情報選択装置を実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。

次に、本発明を実施する実施形態について図面を参照しながら詳細に説明する。

＜第１の実施形態＞
図１を参照しながら、本発明の第１の実施形態に係る情報選択装置１０１が有する構成について詳細に説明する。図１は、本発明の第１の実施形態に係る情報選択装置１０１が有する構成を示すブロック図である。

第１の実施形態に係る情報選択装置１０１は、異常判定部１０２と、対象情報特定部１０３と、算出部１０４と、選択部１０５とを有する。情報選択装置１０１は、さらに、表示情報作成部１０６と、情報変換部１０７とを有していてもよい。情報選択装置１０１は、処理情報記憶部１０８と、通信情報記憶部１０９と、ファイル情報記憶部１１０と、関連情報記憶部１１１と、グラフ情報記憶部１１２とを有していてもよい。処理情報記憶部１０８と、通信情報記憶部１０９と、ファイル情報記憶部１１０と、関連情報記憶部１１１と、グラフ情報記憶部１１２とに関しては、それぞれ、図３乃至図７を参照しながら後述する。

情報選択装置１０１は、管理装置１５１と通信可能に接続されていてもよいし、管理装置１５１に含まれていてもよいし、通信ネットワーク１５２を介して対象装置（対象装置１５３、及び、対象装置１５５）と通信接続していてもよい。以降の説明においては、説明の便宜上、情報選択装置１０１は、通信ネットワーク１５２を介して、管理装置１５１と通信可能に接続されているとする。

対象装置１５３は、たとえば、自装置において実行された処理を監視しているエージェント１５４を有する情報処理装置である。同様に、対象装置１５５は、たとえば、自装置において実行された処理を監視しているエージェント１５６を有する情報処理装置である。エージェント１５４、及び、エージェント１５６は、各エージェントを有する対象装置において実行された処理の内容を表すログ情報を作成し、作成したログ情報（図８に例示）を、通信ネットワーク１５２を介して管理装置１５１（または、情報選択装置１０１）に送信する。図８は、ログ情報の一例を概念的に表す図である。

ログ情報においては、たとえば、対象装置１５３において実行された処理に関して、該処理が実行された日時と、該処理を実行したユーザを表すユーザ識別子（以降、識別子を「ＩＤ」と表す）と、該処理を表す処理ＩＤと、該処理における処理内容を表す情報とが関連付けされている。ログ情報においては、さらに、該ログ情報を作成したエージェントを表すエージェントＩＤが関連付けされていてもよい。処理内容は、たとえば、該処理を表す処理情報（図３を参照しながら後述する）、該処理においてアクセスされたファイルを表すファイル情報（図５を参照しながら後述する）、または、該処理（この場合に、通信処理）においてアクセスされたソケットを表すソケット情報を含む通信情報（図４を参照しながら後述する）である。

図８に例示されたログ情報においては、たとえば、日時「２０１７／７／１９ １０：１５：２８」、ユーザＩＤ「Ａ」、処理ＩＤ「３９」、処理内容「プロセスＰを起動する」、及び、エージェントＩＤ「Ｂ」が関連付けされている。これは、処理ＩＤ「３９」が表す処理が実行された日時が、「２０１７／７／１９ １０：１５：２８」であり、該処理を実行したユーザを表すユーザＩＤが「Ａ」であり、「プロセスＰを起動する」という処理が実行され、エージェントＩＤ「Ｂ」が表すエージェントが該ログ情報を作成したことを表す。管理装置１５１は、たとえば、該エージェントＩＤが表すエージェントから、図８に例示されたログ情報のうち、該エージェントＩＤに関連付けされたログ情報を受信する。

以降においては、説明の便宜上、対象装置１５３、及び、対象装置１５５は、情報処理装置であると仮定する。しかし、対象装置１５３、及び、対象装置１５５は、情報処理装置でなくてもよい。また、対象装置は、２台の情報処理装置でなく、３台以上の情報処理装置であってもよい。以降、複数の対象装置を含むシステムを、「対象システム」と表す。

管理装置１５１は、各エージェントが送信したログ情報（図８に例示）を受信し、受信したログ情報を監視することによって、通信ネットワーク１５２を介して通信接続している各対象装置を管理している。管理装置１５１は、該ログ情報、または、ログ情報を監視した結果を表す情報を、たとえば、情報選択装置１０１に送信する。以降の説明においては、説明の便宜上、情報選択装置１０１は、各エージェントから、ログ情報（図８に例示）を受信すると仮定する。

情報選択装置１０１は、各エージェントからログ情報（図８に例示）を受信し、受信したログ情報に基づき、図２を参照しながら後述する処理を実行する。情報選択装置１０１は、図２を参照しながら後述する処理において作成した各情報を、処理情報記憶部１０８、通信情報記憶部１０９、ファイル情報記憶部１１０、または、関連情報記憶部１１１に格納する。

次に、図３乃至図６を参照しながら、処理情報記憶部１０８と、通信情報記憶部１０９と、ファイル情報記憶部１１０と、関連情報記憶部１１１とについて、それぞれ、説明する。まず、図３を参照しながら、処理情報記憶部１０８に格納される処理情報について説明する。図３は、処理情報記憶部１０８に格納される処理情報の一例を概念的に表す図である。

処理情報は、対象装置を含む対象システムにて取得されたログ情報に含まれている処理を表す情報である。図３に例示された処理情報においては、処理が実行された日時と、該処理を実行したユーザを表すユーザＩＤと、該処理の名称を表す処理名と、該処理を表す処理ＩＤと、該処理の内容を表す処理内容とが関連付けされている。処理情報は、上述した例に限定されない。

図３に例示された処理情報においては、日時「２０１７／７／２０ １４：１２：３３」と、ユーザＩＤ「Ｄ」と、処理名「削除」と、処理ＩＤ「２３１」と、処理内容「ファイルＦ２を削除する」とが関連付けされている。これは、ユーザＩＤが「Ｄ」であるユーザが、処理ＩＤ「２３１」が表す処理を実行し、該処理が日時「２０１７／７／２０ １４：１２：３３」にファイル「Ｆ２」を削除したことを表す。

図４を参照しながら、通信情報記憶部１０９に格納される通信情報について説明する。図４は、通信情報記憶部１０９に格納される通信情報の一例を概念的に表す図である。

通信情報は、対象装置を含む対象システムにて取得されたログ情報に含まれている処理のうちの通信処理に関する情報である。通信情報においては、たとえば、通信処理において送信される情報が経由したソケットを表す情報と、該通信処理において受信される情報が経由したソケットを表すソケット情報とが関連付けされている。該ソケット情報は、対象装置に割り当てられたアドレスと、該対象装置において使用されたポート番号とが関連付けされている情報である。通信情報は、上述した例に限定されない。

図４に例示された通信情報においては、送信側の対象装置にアドレス「１．２．３．４」と、ポート番号「５６」とが関連付けされている。さらに、該通信情報においては、受信側の対象装置にアドレス「７．８．９．１」と、ポート番号「１２」とが関連付けされている。これは、情報が、アドレス「１．２．３．４」が割り当てられた対象装置におけるポート番号「５６」から、アドレス「７．８．９．１」が割り当てられた対象装置におけるポート番号「１２」に送信された通信処理を表す。

図５を参照しながら、ファイル情報記憶部１１０に格納されるファイル情報について説明する。図５は、ファイル情報記憶部１１０に格納されるファイル情報の一例を概念的に表す図である。

ファイル情報は、対象装置を含む対象システムにて取得されたログ情報に含まれている処理にてアクセスされたファイルを表す情報である。ファイル情報は、たとえば、ファイルが格納されている領域を表す記憶領域と、該ファイルの名称を表すファイル名とが関連付けされる。図５に例示されたファイル情報においては、記憶領域「Ｄｉｒ１／Ｄｉｒ２」と、ファイル名「Ｂ」とが関連付けされている。これは、ファイル名「Ｂ」が表すファイルが、記憶領域が「Ｄｉｒ１／Ｄｉｒ２」にて示される領域に格納されていることを表す。

図６を参照しながら、関連情報記憶部１１１に格納される関連情報について説明する。図６は、関連情報記憶部１１１に格納される関連情報の一例を概念的に表す図である。

関連情報は、対象装置を含む対象システムにて取得されたログ情報に含まれている処理にて、該処理が処理対象に対して施した処理における処理内容を表す情報である。該処理対象は、たとえば、ファイル、ソケット、または、処理において実行された他の処理である。関連情報においては、処理を表す処理ＩＤと、該処理における処理内容を表す情報とが関連付けされる。関連情報においては、さらに、該処理が実行された日時を表す情報、該処理を実行したユーザを表すユーザＩＤ、該処理に関するログ情報（図８に例示）を作成したエージェントを表すエージェントＩＤ、該関連情報を識別可能な関連情報ＩＤ、または、該処理対象の種別を表す対象種別が関連付けされていてもよい。関連情報は、対象種別ごとに分類された情報であってもよい。関連情報は、上述した例に限定されない。

図６に例示された関連情報においては、たとえば、以下に示した項目１乃至項目７が関連付けされている。

（項目１）関連情報ＩＤ「３０」、
（項目２）日時「２０１７／７／５ １０：１１：１２」、
（項目３）ユーザＩＤ「Ｅ」、
（項目４）エージェントＩＤ「３」、
（項目５）処理ＩＤ「５」、
（項目６）対象種別「ファイル」、
（項目７）処理内容「記憶領域Ｄｉｒ３におけるファイルＢＢ４に書き込む」。

これは、ユーザＩＤ「Ｅ」が表すユーザが、処理ＩＤ「５」が表す処理を、日時「２０１７／７／５ １０：１１：１２」にて起動したことを表す。さらに、これは、エージェントＩＤ「３」が表すエージェントが該処理に関するログ情報を作成し、該処理がファイル（すなわち、処理対象の一例）に対して実行されたであったことを表す。また、これは、該処理が「記憶領域Ｄｉｒ３におけるファイルＢＢ４に書き込む」処理であることを表す。

上述したように、関連情報（図６に例示）における処理は、対象種別に応じて、他の処理に対して実行された処理と、ファイル、または、ソケット等の対象装置が有している処理対象に対して実行された処理とに大別される。以降の説明においては、説明の便宜上、前者に関する関連情報を「コントロールフロー」と表し、後者に関する関連情報を「データフロー」と表す。

情報変換部１０７は、ログ情報（図８に例示）を解析することによって、処理情報（図３に例示）、通信情報（図４に例示）、ファイル情報（図５に例示）、及び、関連情報（図６に例示）を作成する。たとえば、情報選択装置１０１において、情報変換部１０７は、受信したログ情報（図８に例示）のうち、ファイルに関する情報を表すファイル情報（図５に例示）を作成し、作成したファイル情報をファイル情報記憶部１１０に格納する。情報変換部１０７は、受信したログ情報（図８に例示）のうち、通信処理に関する情報を表す通信情報（図４に例示）を作成し、作成した通信情報を通信情報記憶部１０９に格納する。情報変換部１０７は、受信したログ情報（図８に例示）のうち、処理に関する情報を表す処理情報（図３に例示）を作成し、作成した該処理情報を処理情報記憶部１０８に格納する。

処理がファイルに対する処理である場合に、情報変換部１０７は、該処理を表す処理ＩＤと、処理対象の種別（この場合に、「ファイル」）と、該ファイルを表すファイル名とが関連付けされた関連情報（図６に例示）を作成し、作成した該関連情報を関連情報記憶部１１１に格納する。処理が通信に関する通信処理である場合に、情報変換部１０７は、該処理を表す処理ＩＤと、該処理対象の種別（この場合に、「ソケット」）と、該通信処理における処理対象を表す情報とが関連付けされた関連情報（図６に例示）を作成し、作成した該関連情報を関連情報記憶部１１１に格納する。処理が別の処理を実行する処理である場合に、情報変換部１０７は、該処理を表す処理ＩＤと、処理対象の種別（この場合に、「処理」）と、該別の処理を表す処理ＩＤとが関連付けされた関連情報（図６に例示）を作成し、作成した該関連情報を関連情報記憶部１１１に格納する。

情報選択装置１０１において、対象情報特定部１０３は、処理情報（図３に例示）、通信情報（図４に例示）、ファイル情報（図５に例示）、及び、関連情報（図６に例示）に基づき、グラフ情報（図７に例示）を作成する。図７は、グラフ情報記憶部１１２に格納されるグラフ情報の一例を概念的に表す図である。

グラフ情報は、対象装置を含む対象システムにて実行された処理が概念的に表されている情報である。グラフ情報は、たとえば、節点（ｖｅｒｔｅｘ）（たとえば、節点５０１乃至節点５０７）と、エッジ（ｅｄｇｅ）（たとえば、エッジ５１１乃至エッジ５１７）とを含むグラフを表す情報である。節点は、処理対象に対応している。エッジは、処理対象の間をデータ（または、情報）が移動する事象（以降、「データ移動」と表す）に対応している。本実施形態において、エッジは、２つの節点を関連付けしている有向枝を用いて表されている。エッジは、データ（または、情報）が移動する方向に従い向きが決められる。節点には、該節点に関する情報がラベル（節点内に図示）付けされていてもよい。節点に関する情報は、たとえば、該節点に対応する処理対象を識別する情報である。同様に、エッジには、該エッジに関する情報がラベル（エッジに重畳する態様にて図示、たとえば、ラベル５２１）付けされていてもよい。エッジに関する情報は、たとえば、該エッジに関する処理における処理内容を表す情報である。図７においては、アドレス「３．４．５．６」なる対象装置におけるポート番号「４５２」は、節点５０２と、節点５０６とを用いて表されている。これは、１つの処理対象を２つの節点を用いて表しているが、図を見やすくするために、便宜的に記載したものである。

本実施形態において、節点は、処理情報（図３に例示）における各処理を表す情報、通信情報（図４に例示）における各ソケットを表す情報、または、ファイル情報（図５に例示）における各ファイルを表す情報に対応している。たとえば、関連情報（図６に例示）において、処理ＩＤが表す処理が処理対象（ファイル、ソケット、または、処理）に対して施された場合に、該処理に対応している節点と、該処理対象を表す節点とが、エッジを用いて関連付けされる。

図７に例示されたグラフ情報において、節点５０１には、エージェントＩＤ「３」、及び、処理ＩＤ「５」なるラベルが付与されている。これは、エージェントＩＤ「３」が表すエージェントが作成したログ情報（図８に例示）において処理ＩＤ「５」が表す処理が、節点５０１に対応していることを表す。節点５０２には、アドレス「３．４．５．６」、及び、ポート番号「４５２」なるラベルが付与されている。これは、アドレス「３．４．５．６」とポート番号「４５２」とが表すソケットが、節点５０２に対応していることを表す。節点５０４には、記憶領域「Ｄｉｒ３」、及び、ファイル名「ＢＢ４」なるラベルが付与されている。これは、ファイル名「ＢＢ４」が表すファイルが記憶領域「Ｄｉｒ３」に格納されており、該ファイルが節点５０４に対応していることを表す。

図７に例示されたグラフ情報においては、節点５０１と、節点５０３とがエッジ５１１を用いて関連付けされている。また、エッジ５１１は、ラベル５２１が付与されている。これは、節点５０１に対応する処理が、節点５０３に対応する処理を実行した（ラベル５２１）ことを表し、関連情報（図６に例示）内の関連情報ＩＤ「４０」に識別される関連情報が表す処理におけるデータ移動に対応している。図７に例示されたグラフ情報において、節点５０１と、節点５０４とがエッジ５１２を用いて関連付けされている。これは、節点５０１に対応する処理が、節点５０４に対応するファイルに書き込む（ラベル「ｗｒｉｔｅ」）ことを表し、関連情報（図６に例示）内の関連情報ＩＤ「３０」が表す関連情報が表す処理におけるデータ移動に対応している。図７に例示されたグラフ情報において、節点５０３と、節点５０６とがエッジ５１３を用いて関連付けされている。これは、節点５０３に対応する処理が、節点５０６に対応するソケットをクローズした（ラベル「ｃｌｏｓｅ」）ことを表し、関連情報（図６に例示）内の関連情報ＩＤ「４３」が表す関連情報が表す処理におけるデータ移動に対応している。同様に、グラフ情報（図７に例示）におけるエッジ５１４、及び、エッジ５１７は、関連情報（図６に例示）内の関連情報ＩＤ「４２」が表す関連情報が表す処理におけるデータ移動に対応している。グラフ情報（図７に例示）におけるエッジ５１４、及び、エッジ５１５は、関連情報（図６に例示）内の関連情報ＩＤ「５１」が表す関連情報が表す処理におけるデータ移動に対応している。グラフ情報（図７に例示）におけるエッジ５１６は、関連情報（図６に例示）内の関連情報ＩＤ「４５」が表す関連情報が表す処理におけるデータ移動に対応している。

たとえば、エッジには、関連情報（図６に例示）における処理内容に基づき、たとえば、以下に示すラベル１乃至ラベル９を付与することができる。

（ラベル１）「ｅｘｅｃｕｔｅ」：ある処理が他の処理を実行する（エッジは、「ある処理」から「他の処理」への向き）、
（ラベル２）「ｒｅａｄ」：ある処理がファイルを読み取る（エッジは、「ファイル」から「ある処理」への向き）、
（ラベル３）「ｗｒｉｔｅ」：ある処理がファイルに書き込む（エッジは、「ある処理」から「ファイル」への向き）、
（ラベル４）「ｍｏｖｅ」：ある処理がファイルを格納している場所を変更する（エッジは、「ある処理」から「ファイル」への向き）、
（ラベル５）「ｄｅｌｅｔｅ」：ある処理がファイルを削除する（エッジは、「ある処理」から「ファイル」への向き）、
（ラベル６）「ｏｐｅｎ」：ある処理がソケットを開く（エッジは、「ある処理」から「ソケット」への向き）、
（ラベル７）「ｃｌｏｓｅ」：ある処理がソケットを閉じる（エッジは、「ある処理」から「ソケット」への向き）、
（ラベル８）「ｓｅｎｄ」：ある処理がソケットを介して情報を送信する（エッジは、「ある処理」から「ソケット」への向き）、
（ラベル９）「ｒｅｃｅｉｖｅ」：ある処理がソケットを介して情報を受信する（エッジは、「ソケット」から「ある処理」への向き）。

したがって、ラベル２乃至ラベル５は、ある処理がファイルに対して施された場合における処理を表す。ラベル６乃至ラベル９は、ある処理がソケットに対して施された場合における処理を表す。

ラベルは、ラベル１乃至ラベル９にて示された例に限定されない。たとえば、ラベル１は、ある処理が他の処理を開始することを表す「ｓｔａｒｔ」、及び、ある処理が他の処理を完了することを表す「ｅｎｄ」であってもよい。たとえば、ラベルは、ある処理が他の処理を作成する「Ｃｒｅａｔｅ」であってもよい。

エッジに付与されるラベルは、該エッジに関する処理が実行された日時を表す情報を含んでいてもよい。エッジに付与されるラベルは、該エッジに関する処理を実行するユーザを表すユーザＩＤを表す情報を含んでいてもよい。

図７に例示されたグラフ情報が表すグラフは、たとえば、隣接行列（Ａｄｊａｃｅｎｃｙ ｍａｔｒｉｘ）を用いて表されている。

次に、図２を参照しながら、本発明の第１の実施形態に係る情報選択装置１０１における処理について詳細に説明する。図２は、第１の実施形態に係る情報選択装置１０１における処理の流れを示すフローチャートである。グラフ理論における技術用語を用いながら第１の実施形態に係る情報選択装置１０１における処理の流れについて説明するが、情報選択装置１０１における処理は、図２を参照しながら説明する処理と同様な処理であればよい。

異常判定部１０２は、対象システムから受け取ったログ情報が、所定の異常判定条件を満たしている処理（以降、「異常処理」と表す）を含む異常ログ情報であるか否かを判定する（ステップＳ１０１）。所定の異常判定条件は、たとえば、対象装置１５３において通常実行されている処理と異なる処理が実行されるという条件である。所定の異常判定条件は、たとえば、対象装置１５３において処理が実施された頻度が所定の閾値よりも少ないという条件である。所定の閾値は、たとえば、対象装置において定常的に生じる通信量と、該対象装置にて異常が生じた場合に生じる通信量とを分類する値である。または、所定の閾値は、たとえば、対象装置において定常的に生じるファイルアクセスの頻度と、該対象装置にて異常が生じた場合に生じるファイルアクセスの頻度とを分類する値である。また、所定の異常判定条件は、異常である処理に関する情報があらかじめ格納されているリスト情報に基づき、ログ情報における処理が該リスト情報に含まれている情報と一致するという条件であってもよい。所定の異常判定条件は、たとえば、条件１乃至条件６に示された条件である。

（条件１）管理者権限（ａｄｍｉｎｉｓｔｒａｔｏｒ ａｕｔｈｏｒｉｔｙ）を有するユーザが、通常は実施していない処理を実行した（たとえば、管理者権限を有するユーザが、あるポート番号を無制限に開放した、該ユーザが、複数のファイルを暗号化した）、
（条件２）通常の通信量から乖離した通信が生じた（たとえば、通信がめったに行われない時間帯に通信が実行された）、
（条件３）通信が実行される時間間隔が、通常の該時間間隔から乖離した通信が生じた（たとえば、時間当たりの通信頻度が、通常の頻度よりも多い通信が生じた）、
（条件４）通常は、複数の対象装置に対してマルチキャストする通信が実行されていないにもかかわらず、マルチキャストする通信が実行された、
（条件５）通常とは異なる時間帯に処理が実行された（深夜の時間帯にサーバにアクセスした、または、深夜の時間帯にファイルにアクセスした等）、
（条件６）２つのソケットの間にて、初めて、通信が実行された（すなわち、通信が実行されたソケットの組み合わせとして、初めて、取得されたログ情報である）。

所定の異常判定条件は、上述した例に限定されない。また、異常判定部１０２が異常処理を特定するのに応じて、ステップＳ１０２以降に示された処理が実行されてもよい。この場合には、異常処理に関する情報が迅速に取得できるという効果を奏する。

次に、対象情報特定部１０３は、処理情報記憶部１０８に格納されている処理情報（図３に例示）、通信情報記憶部１０９に格納されている通信情報（図４に例示）、ファイル情報記憶部１１０に格納されているファイル情報（図５に例示）、及び、関連情報記憶部１１１に格納されている関連情報（図６に例示）を読み取る。対象情報特定部１０３は、異常判定部１０２が選択した異常処理に対して影響を与えた可能性がある処理、及び、該異常処理に対して影響を与えた可能性がある処理対象を含むグラフ情報（図７に例示）を作成する（ステップＳ１０２）。したがって、該グラフ情報は、対象装置において実行された処理のうち、異常処理に影響を与えた可能性がある処理、または、該異常処理に影響を与えた可能性がある処理対象が概念的に表されている情報である。

対象情報特定部１０３は、たとえば、関連情報（または、ログ情報）のうち、該異常処理が生じたタイミング以前に実行された処理であって、該異常処理を起動した処理、該異常処理がアクセスしたファイル、または、該異常処理が実行した通信にて使用されたソケットを含む処理を特定することによって、該異常処理に影響を与えた可能性がある処理を特定する。対象情報特定部１０３は、さらに、特定した該処理、特定した該ソケット、または、特定した該ファイルに対して実施された処理を、該異常処理に影響を与えた可能性がある処理として特定してもよい。さらに、対象情報特定部１０３は、上記の処理を再帰的に実行することによって、該異常処理に影響を与えた可能性がある処理を特定してもよい。

たとえば、対象情報特定部１０３は、処理情報（図３に例示）における各処理を表す情報、通信情報（図４に例示）における各ソケットを表すソケット情報、及び、ファイル情報（図５に例示）における各ファイルを表す情報を、それぞれ、節点として設定し、各節点に対応しているラベルを該節点に付与する。次に、対象情報特定部１０３は、関連情報（図６に例示）における各関連を表す情報を、該節点を関連付けするエッジとして設定する。上述したような処理によって、対象情報特定部１０３は、対象装置を含む対象システムにて実行された処理が概念的に表現されたグラフ情報（図７に例示）を作成する。たとえば、図７における節点５０７によって表現された処理が異常処理である場合に、対象情報特定部１０３は、該異常処理に対して影響を与えた可能性がある処理対象として、節点５０７に到達可能な節点を特定する。図７に例示されたグラフ情報の場合に節点５０７に到達可能な節点は、有向枝を逆向きに辿ることにより、節点５０１乃至節点５０３、節点５０５乃至節点５０６等と特定される。ただし、上述したように、図７においては、見易さのため、１つの処理対象を、節点５０２と、節点５０６とを２つの節点を用いて表しているため、節点５０２と、節点５０６とは１つの節点である。したがって、節点５０７について上述した節点が特定される。

また、図７における節点５０７によって表現された処理が異常処理である場合に、対象情報特定部１０３は、該異常処理に対して影響を与えた可能性がある処理として、節点５０７に到達可能な節点を探索する場合に経由したエッジを特定する。図７に例示されたグラフ情報の場合に、該エッジは、節点５０７に到達可能な節点を特定する場合に経由した有向枝を逆向きに辿ることにより、エッジ５１５、エッジ５１４、エッジ５１７、エッジ５１３、及び、エッジ５１１と特定される。有向枝を逆向きに辿る順序は、上述した例に限定されない。

言い換えると、対象情報特定部１０３は、たとえば、対象装置を含む対象システムにて取得されたログ情報のうち、異常処理に対して影響を与えた可能性がある処理対象を含むログ情報（以降、「対象ログ情報」と表す）を特定する。すなわち、図７に例示されたグラフ情報の場合に、対象情報特定部１０３は、エッジ５１４及びエッジ５１５に対応しているログ情報、エッジ５１４及びエッジ５１７に対応しているログ情報、エッジ５１３に対応しているログ情報、及び、エッジ５１１に対応しているログ情報を、対象ログ情報として特定する。

次に、算出部１０４は、グラフ情報（図７に例示）における各エッジに対して、処理及び処理対象の組み合わせごとに、該エッジが表すログ情報（または、関連情報）の頻度を算出する。算出部１０４は、グラフ情報（図７に例示）における２つの節点の間におけるエッジの本数を算出することによって、該頻度を算出する。算出部１０４は、処理及び処理対象の組み合わせごとに算出した該頻度に応じて、該関連情報が生じた（すなわち、処理が処理対象に対して実行される）ことに対する異常度（ａｂｎｏｒｍａｌｉｔｙ）を表すスコアを算出する（ステップＳ１０３）。算出部１０４は、エッジに対して算出した該スコアを、該エッジに関連付けする（すなわち、該エッジに対するラベルとして付与する）。ステップＳ１０３に示す処理において、算出部１０４は、たとえば、関連情報が生じた頻度を算出し、算出した該頻度に基づき後述するような異常度を算出する。

算出部１０４が異常度を算出する処理について説明する。異常度は、関連情報における処理（すなわち、処理対象（ファイル情報（図５に例示）、通信情報（図４に例示）におけるソケット情報、または、処理情報（図３に例示））に対して実行された処理）が異常である程度を表す情報である。

説明の便宜上、異常度が大きな値であるほど、該処理対象に対して実行された処理の頻度が少ないことを表すとする。また、異常度が小さな値であるほど、該処理対象に対して実行された処理の頻度が多いことを表すとする。頻度は、ある期間における頻度であってもよいし、特定の期間における頻度に対する、該ある期間における頻度（すなわち、相対頻度）であってもよい。算出部１０４は、処理対象に対して実行された処理の頻度が多いほど、小さな値である異常度を算出する。また、算出部１０４は、処理対象に対して実行された処理の頻度が少ないほど、大きな値である異常度を算出する。該頻度は、処理対象に対して実行された処理ごとに算出される。

スコアを算出する処理について具体的に説明する。対象装置１５３が管理装置１５１に情報を送信する通信処理は、繰り返し実行される（すなわち、頻度が多い）ことが多い。この場合に、算出部１０４は、該対象装置１５３において実行された該通信処理と、該通信処理にて経由するソケットを表すソケット情報とが関連付けされたエッジに関するスコアとして、異常度が低いことを表すスコアを算出する。算出部１０４は、たとえば、ある期間において該通信処理がＮ（Ｎは、自然数）回実行された場合に、該通信処理に対応するエッジに、「１÷Ｎ」というスコアを算出してもよい。

たとえば、管理者権限を有したユーザがソケットを介して通信する処理が異常処理である可能性が高い場合には、算出部１０４は、該処理を表す節点と、該ソケットを表す節点とを関連付けしているエッジに対して、高いスコアを算出する。あるいは、複数の対象装置が１つの対象装置１５３に対して送信する処理が異常処理である可能性が低い場合には、算出部１０４は、該処理を表す節点と、該送信処理にて用いたソケットを表す節点とを関連付けしているエッジに対して、低いスコアを算出する。

したがって、算出部１０４によって算出されたスコアがラベルとして付与されたグラフ情報は、各対象装置において実行された各処理に関して、各処理が異常である程度を表す異常度がラベルとして関連付けされている情報である。

したがって、ステップＳ１０３において、算出部１０４は、対象装置を含む対象システムにて取得されたログ情報（図８に例示、または、関連情報）に対して、該ログ情報の頻度に基づき、該ログ情報が異常である程度を表す異常度を算出する。

図２に示されたステップＳ１０３の後に、選択部１０５は、異常度がスコアとしてラベル付けされたグラフ情報のうち、該スコアが所定の閾値以下であるエッジを削除することによって、異常処理に関連している部分を選択する。接続しているエッジが存在していない節点がある場合に、選択部１０５は、グラフ情報から当該節点を削除してもよい。また、選択部１０５は、ステップＳ１０１にて異常であると判定した処理を表す節点に至る経路が存在しない節点（または、エッジ）を削除してもよい。

言い換えると、選択部１０５は、スコアが所定の閾値以下であるエッジを削除することによって、グラフ情報（図７に例示）から、スコアが所定の閾値よりも大きなエッジ（及び、該エッジに接続している節点）を特定している。すなわち、選択部１０５は、対象装置１５３において実行された異常処理に対して影響を与えた可能性があるログ情報のうち、異常度が所定の条件を満たしているログ情報（以降、「関連ログ情報」と表す）を選択する（ステップＳ１０４）。該所定の条件は、関連ログ情報のうち、異常なログ情報を判定する基準を表す。

選択部１０５は、接続しているエッジが存在していない節点を削除することによって、対象装置１５３に関する処理対象（すなわち、処理、ソケット、または、ファイル）のうち、異常処理に関連している情報を選択する。また、選択部１０５は、異常であると判定した節点に至る経路が存在しない節点（または、エッジ）を削除することによって、さらに、異常処理に関連している可能性が高い対象を選択する。

したがって、選択部１０５は、グラフ情報（すなわち、対象装置１５３における処理が模式的に表されている情報）のうち異常度が所定の閾値よりも大きなエッジを選択することによって、対象ログ情報のうち、異常度が所定の条件を満たしている関連ログ情報（または、関連情報）を選択する。選択部１０５は、該異常な関連情報に含まれている処理、及び、処理対象のうち、少なくともいずれかの情報を選択してもよい。

次に、表示情報作成部１０６は、選択部１０５が選択した情報を表す表示情報を作成してもよい。表示情報作成部１０６は、たとえば、図７を参照しながら説明したグラフを表すグラフ情報を、選択部１０５が選択した関連ログ情報に対して作成することによって、表示情報を作成する。表示情報作成部１０６は、たとえば、図６に例示された関連情報と同様な態様によって、選択部１０５が選択した関連ログ情報を表す表示情報を作成してもよい。表示情報作成部１０６は、さらに、処理対象に応じた表示態様にて該関連ログ情報を表す表示情報を作成してもよい。あるいは、表示情報作成部１０６は、対象情報特定部１０３が作成したグラフ情報のうち、選択部１０５が選択した関連ログ情報に含まれている処理及び処理対象に関する部分を選択することによって、表示情報を作成してもよい。表示情報作成部１０６は、作成した該表示情報に応じた画面を表示装置（不図示）に表示する。

上述した説明において、対象情報特定部１０３は、処理情報記憶部１０８に格納されている処理情報（図３に例示）、通信情報記憶部１０９に格納されている通信情報（図４に例示）、ファイル情報記憶部１１０に格納されているファイル情報（図５に例示）、及び、関連情報記憶部１１１に格納されている関連情報（図６に例示）に基づき、グラフ情報（図７に例示）を作成してもよい。または、対象情報特定部１０３は、対象装置を含む対象システムにて取得されたログ情報（図８に例示）に基づき、該グラフ情報（図７に例示）を作成してもよい。さらに、対象情報特定部１０３は、対象装置１５３からログ情報（図８に例示）を受け取るのに応じて、該グラフ情報を作成してもよい。この場合に、ログ情報（図８に例示）を受け取るのに応じてグラフ情報（図７に例示）が作成されるので、情報選択装置１０１によれば、対象装置１５３に生じた異常に関する情報を早期に提供することができる。

また、上述した説明において、処理情報（図３に例示）、通信情報（図４に例示）、ファイル情報（図５に例示）、及び、関連情報（図６に例示）に基づき、グラフ情報を作成する処理は、これらの情報に基づき、グラフ情報記憶部１１２に格納されているグラフ情報を更新する処理であってもよい。この場合に、対象情報特定部１０３は、たとえば、ログ情報（図８に例示）を受け取るのに応じて、グラフ情報記憶部１１２に格納されているグラフ情報を読み取り、該ログ情報に基づき、読み取った該グラフ情報（図７に例示）に節点を追加する、節点を削除する、エッジを追加する、または、エッジを削除する等の更新処理を実行する。対象情報特定部１０３は、更新後のグラフ情報をグラフ情報記憶部１１２に格納する。このような更新処理によって、情報選択装置１０１は、対象装置１５３に生じた異常に関する情報を早期に提供することができる。この理由は、該更新処理が、グラフ情報を作成する処理に比べて処理量が少ないからである。

まとめると、情報選択装置１０１は、対象装置を含む対象システムにて実行された処理のうち、異常処理に対して影響を与えた可能性がある処理の範囲、または、該異常処理に対して影響を与えた可能性がある処理対象の範囲（上述した、対象ログ情報）を特定する。さらに、情報選択装置１０１は、該範囲の中から、さらに、異常度に基づき、異常である処理、または、異常である処理対象（上述した、異常なログ情報）を選択する。したがって、異常処理に関連している範囲が広い場合であっても、情報選択装置１０１によれば、該異常処理に影響を与えた可能性がある範囲を絞り込むことができる。

次に、本発明の第１の実施形態に係る情報選択装置１０１に関する効果について説明する。

第１の実施形態に係る情報選択装置１０１によれば、注目する事象に関する情報を迅速に取得することができる。この理由は、情報選択装置１０１が、対象装置を含む対象システムにて実行された処理を表すログ情報のうち、異常処理に対して影響を与えた可能性がある対象ログ情報を特定し、さらに、異常度を表すスコアが高い処理を特定するからである。

また、情報選択装置１０１が、ステップＳ１０４にて異常であると判定した処理に至る経路のみを有するグラフ情報を作成することによって、さらに、異常な処理が影響を与える範囲をより正確に算出することができる。この理由は、情報選択装置１０１が、２つの異常判定処理において、ともに、異常であると判定した処理を、異常な処理として選択するからである。

＜第２の実施形態＞
次に、上述した第１の実施形態を基本とする本発明の第２の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図９を参照しながら、本発明の第２の実施形態に係る情報選択装置２０１が有する構成について詳細に説明する。図９は、本発明の第２の実施形態に係る情報選択装置２０１が有する構成を示すブロック図である。

第２の実施形態に係る情報選択装置２０１は、異常判定部１０２と、対象情報特定部２０３と、算出部２０４と、選択部１０５と、テンプレート情報記憶部２１３とを有する。情報選択装置２０１は、さらに、表示情報作成部１０６と、情報変換部１０７とを有していてもよい。情報選択装置２０１は、処理情報記憶部１０８と、通信情報記憶部１０９と、ファイル情報記憶部１１０と、関連情報記憶部１１１と、グラフ情報記憶部１１２とを有していてもよい。

情報選択装置２０１は、管理装置１５１と通信可能に接続されていてもよいし、管理装置１５１に含まれていてもよいし、通信ネットワーク１５２を介して対象装置１５３と通信接続していてもよい。

テンプレート情報記憶部２１３には、図７を参照しながら説明したようなグラフ情報が格納されている。以降、説明の便宜上、テンプレート情報記憶部２１３に格納されているグラフ情報を「テンプレート情報」と表す。

テンプレート情報におけるエッジには、所定の異常度がスコアとして関連付けされている。すなわち、該テンプレート情報においては、グラフ情報におけるエッジに、該エッジに関する所定の異常度がラベルとして付与されている。テンプレート情報は、対象装置が通常実行している処理を表すグラフ情報に含まれているエッジに対して低い異常度がラベルとして付与されたグラフ情報であってもよい。または、テンプレート情報は、対象装置に関して異常な処理（または、異常であると判定された処理）を表すグラフ情報に含まれているエッジに対して高い異常度がラベルとして付与されたグラフ情報であってもよい。したがって、テンプレート情報は、複数処理の組み合わせにおいて、各処理に関する所定の異常度が与えられている情報である。テンプレート情報は、上述した例に限定されない。

次に、図１０を参照しながら、本発明の第２の実施形態に係る情報選択装置２０１における処理について詳細に説明する。図１０は、第２の実施形態に係る情報選択装置２０１における処理の流れを示すフローチャートである。

異常判定部１０２は、対象システムから受け取ったログ情報が、所定の異常判定条件を満たしている異常処理を含む異常ログ情報であるか否かを判定する（ステップＳ１０１）。

対象情報特定部２０３は、情報選択装置２０１が受信したログ情報のうち、異常判定部１０２が選択した異常処理に対して影響を与えた可能性がある処理、及び、該異常処理に対して影響を与えた可能性がある処理対象を含む対象ログ情報を特定する（ステップＳ２０２）。対象情報特定部２０３は、たとえば、グラフ情報（図７に例示）に基づき、図２における上述したステップＳ１０２と同様な処理を実行することによって、対象ログ情報を特定してもよい。あるいは、対象情報特定部２０３は、関連情報記憶部１１１において異常処理と関連付けされている関連情報を特定することによって、対象ログ情報を特定してもよい。対象情報特定部２０３は、異常処理と関連付けされている関連情報に含まれている処理対象、または、処理ＩＤに関連付けされている関連情報を特定することによって、対象ログ情報を特定してもよい。すなわち、対象情報特定部２０３は、関連情報記憶部１１１に格納されている関連情報に基づき、再帰的に、対象ログ情報を特定してもよい。ステップＳ２０２における処理は、上述した例に限定されない。

説明の便宜上、対象情報特定部２０３は、グラフ情報（図７に例示）を作成し、作成したグラフ情報に基づき対象ログ情報を特定するとする。

算出部２０４は、対象情報特定部２０３が作成したグラフ情報に含まれているエッジに対して、異常度を表すスコアを算出する（ステップＳ２０３）。ステップＳ２０３において、算出部２０４は、テンプレート情報記憶部２１３に格納されているテンプレート情報を読み取り、該グラフ情報のうち該テンプレート情報と同型な（ｉｓｏｍｏｒｐｈｉｃ）部分を特定する。ただし、算出部２０４は、同型な部分を特定する処理において、エッジに付与された異常度（スコア）については用いない。同型な部分を特定する処理は、たとえば、節点にラベルとして付与されている処理名と、節点にラベルとして付与されているポート番号、節点にラベルとして付与されているファイル名、及び、エッジにラベルとして付与されている処理内容等に基づき実行される。同型な部分を特定する処理は、上述した例に限定されない。

該グラフ情報が該テンプレート情報と同型な部分を含んでいた場合に、算出部２０４は、該同型な部分に含まれているエッジに対して、該テンプレート情報において対応しているエッジに付与されているラベルに含まれているスコアを与える。すなわち、算出部２０４は、該テンプレート情報に含まれているスコアと同じスコアを、該同型な部分におけるエッジに対して算出する。算出部２０４は、該グラフ情報が該テンプレート情報と同型な部分を含んでいることを表す情報、または、該グラフ情報のうち該テンプレート情報と同型な部分を表す情報を出力してもよい。

算出部２０４は、該グラフ情報のうち該テンプレート情報に同型な部分以外の部分に関して、図２におけるステップＳ１０３と同様な処理を実行することによって、エッジに対してスコアを算出する。したがって、算出部２０４は、テンプレート情報（すなわち、複数処理の組み合わせに対する所定の異常度）に基づき、対象ログ情報に関する異常度を算出する。

選択部１０５は、異常度がスコアとしてラベル付けされたグラフ情報のうち、該スコアが所定の閾値以下であるエッジを削除することによって、異常処理に関連している部分を選択する。グラフ情報におけるエッジが、ログ情報において関連付けされている処理、及び、処理情報を表すので、選択部１０５は、対象ログ情報の中から、異常度を基準として、関連ログ情報を選択する（ステップＳ１０４）。

次に、本発明の第２の実施形態に係る情報選択装置２０１に関する効果について説明する。

第２の実施形態に係る情報選択装置２０１によれば、注目する事象に関する情報を迅速に取得することができる。この理由は、第１の実施形態にて説明した理由と同様である。

第２の実施形態に係る情報選択装置２０１によれば、注目する事象に関する情報を、より正確に取得することができる。この理由は、選択部１０５が、複数処理に対する異常度を表すテンプレート情報に基づき、対象ログ情報から関連ログ情報を選択するからである。

さらに、第２の実施形態に係る情報選択装置２０１によれば、複数処理によって対象システムが攻撃を受けたことを表す情報を提供することができる。この理由は、グラフ情報がテンプレート情報と同型な部分を含んでいる場合に、算出部２０４が、該グラフ情報が該テンプレート情報と同型な部分を含んでいることを表す情報、または、該グラフ情報のうち該テンプレート情報と同型な部分を表す情報を出力するからである。たとえば、該テンプレート情報が、マルウェアによって実行される複数処理を表す場合に、ユーザは、算出部２０４によって出力された情報に基づき、対象システムが該マルウェアによって攻撃されたことを認識することができる。

＜第３の実施形態＞
次に、上述した第１の実施形態を基本とする本発明の第３の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図１１を参照しながら、本発明の第３の実施形態に係る情報選択装置３０１が有する構成について詳細に説明する。図１１は、本発明の第３の実施形態に係る情報選択装置３０１が有する構成を示すブロック図である。

第３の実施形態に係る情報選択装置３０１は、異常判定部１０２と、対象情報特定部３０３と、算出部３０４と、選択部１０５と、表示情報作成部３０６とを有する。情報選択装置３０１は、さらに、情報変換部１０７を有していてもよい。情報選択装置３０１は、処理情報記憶部１０８と、通信情報記憶部１０９と、ファイル情報記憶部１１０と、関連情報記憶部１１１と、グラフ情報記憶部１１２とを有していてもよい。

情報選択装置３０１は、管理装置１５１と通信可能に接続されていてもよいし、管理装置１５１に含まれていてもよいし、通信ネットワーク１５２を介して対象装置１５３と通信接続していてもよい。

次に、図１２を参照しながら、本発明の第３の実施形態に係る情報選択装置３０１における処理について詳細に説明する。図１２は、第３の実施形態に係る情報選択装置３０１における処理の流れを示すフローチャートである。

異常判定部１０２は、対象システムから受け取ったログ情報が、所定の異常判定条件を満たしている異常処理を含む異常ログ情報であるか否かを判定する（ステップＳ１０１）。

対象情報特定部３０３は、情報選択装置３０１が受信したログ情報のうち、異常判定部１０２が選択した異常処理に対して影響を与えた可能性がある処理、及び、該異常処理に対して影響を与えた可能性がある処理対象を含む対象ログ情報を特定する（ステップＳ３０２）。ステップＳ３０２における処理は、図２における上述したステップＳ１０２、または、図１０におけるステップＳ２０２と同様な処理である。

算出部３０４は、処理及び処理対象の組み合わせごとに算出される対象ログ情報の頻度に基づき、該対象ログ情報が異常である程度を表す異常度を算出する（ステップＳ３０３）。ステップＳ３０３における処理は、図２におけるステップＳ１０３、または、図１０におけるステップＳ２０３と同様な処理である。

選択部１０５は、該対象ログ情報のうち、算出部３０４が算出した異常度が所定の条件を満たしている関連ログ情報を選択する（ステップＳ１０４）。

次に、表示情報作成部３０６は、選択部１０５が選択した関連ログ情報に関して、コントロールフローと、データフローとを識別可能に表示する表示情報を作成する（ステップＳ３０５）。すなわち、表示情報作成部３０６は、選択部１０５が選択した関連ログ情報に関して、コントロールフローと、データフローとを識別可能な表示態様にて表示する表示情報を作成する。

たとえば、コントロールフローと、データフローとを識別可能な表示態様は、これらの２つのフローを、異なる色にて表示する態様である。関連ログ情報を、文字を用いて表示する場合に、表示情報作成部３０６は、たとえば、コントロールフローを表す文字と、データフローを表す文字とを、異なる色にて表示する表示情報を作成する。関連ログ情報を、グラフ情報（図７に例示）を用いて表示する場合に、表示情報作成部３０６は、たとえば、コントロールフローを表す矢印と、データフローを表す矢印とを、異なる色（または、異なる線（実線と、点線等））にて表示する表示情報を作成する。表示情報作成部３０６は、コントロールフローを表す矢印と、データフローを表す矢印とを、たとえば、互いに異なるアイコンを付すことによって、識別可能な表示情報を作成してもよい。コントロールフローと、データフローとを識別可能な表示態様は、たとえば、該コントロールフローを表す部分、及び、データフローを表す部分を、それぞれ、枠で囲む態様であってもよい。または、コントロールフローと、データフローとを識別可能な表示態様は、たとえば、当該２つの部分における背景色を、異なる色にて表示する態様であってもよい。表示態様は、上述した例に限定されない。

表示情報作成部３０６は、作成した表示情報に応じた画面を表示装置（不図示）に表示する。

次に、本発明の第３の実施形態に係る情報選択装置３０１に関する効果について説明する。

第３の実施形態に係る情報選択装置３０１によれば、注目する事象に関する情報を迅速に取得することができる。この理由は、第１の実施形態にて説明した理由と同様である。

第３の実施形態に係る情報選択装置３０１によれば、さらに、ユーザが処理のフロー（すなわち、コントロールフロー）を識別しやすい表示情報を提供することができる。この理由は、コントロールフローと、データフローとが異なる表示態様にて表示されるからである。

＜第４の実施形態＞
次に、本発明の第４の実施形態について説明する。

以降の説明においては、上述した各実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図１３を参照しながら、本発明の第４の実施形態に係る情報選択装置４０１が有する構成について詳細に説明する。図１３は、本発明の第４の実施形態に係る情報選択装置４０１が有する構成を示すブロック図である。

第４の実施形態に係る情報選択装置４０１は、対象情報特定部４０２と、算出部４０３と、選択部４０４とを有する。

情報選択装置４０１は、管理装置１５１と通信可能に接続されていてもよいし、管理装置１５１に含まれていてもよいし、通信ネットワーク１５２を介して対象装置１５３と通信接続していてもよい。対象装置１５３は、たとえば、自装置において実行された処理を監視しているエージェント１５４を有する情報処理装置である。対象装置１５３は、複数であってもよい。この場合に、各エージェントは、該エージェントを有する対象装置において実行された処理の内容を表すログ情報を作成し、作成したログ情報（図８に例示）を、通信ネットワーク１５２を介して管理装置１５１、または、情報選択装置４０１に送信する。したがって、情報選択装置４０１は、対象装置１５３を含む対象システムにて取得されたログ情報を受信する。

次に、図１４を参照しながら、本発明の第４の実施形態に係る情報選択装置４０１における処理について詳細に説明する。図１４は、第４の実施形態に係る情報選択装置４０１における処理の流れを示すフローチャートである。

情報選択装置４０１は、対象装置１５３を含む対象システムにおける処理対象に処理が実施されたことを表すログ情報（図８に例示）を、エージェント１５４から受信する。

対象情報特定部４０２は、該ログ情報のうち、異常処理に対して影響を与えた可能性がある処理対象を含む対象ログ情報を特定する（ステップＳ４０１）。対象情報特定部４０２は、たとえば、ログ情報において、異常処理に関連付けされたログ情報を特定することによって、対象ログ情報を特定する。対象情報特定部４０２は、さらに、特定した該ログ情報に含まれている処理、または、該ログ情報に含まれている処理対象に関連付けされたログ情報を特定することによって、対象ログ情報を特定してもよい。さらに、対象情報特定部４０２は、上記の処理を再帰的に実行することによって、該異常処理に対して影響を与えた可能性がある処理を特定してもよい。

算出部４０３は、処理及び処理対象の組み合わせごとに、対象ログ情報の頻度を算出し、算出した該頻度に基づき、該対象ログ情報が異常である程度を表す異常度を算出する（ステップＳ４０２）。頻度に基づき異常度を算出する処理は、第１の実施形態乃至第３の実施形態にて上述した処理と同様な処理である。

選択部４０４は、該対象ログ情報のうち、異常度が所定の条件を満たしている関連ログ情報を選択する（ステップＳ４０３）。選択部４０４は、たとえば、対象ログ情報のうち、異常度が所定の閾値よりも大きなログ情報を選択することによって、関連ログ情報を選択する。

対象情報特定部４０２は、図１に示された対象情報特定部１０３、図９に示された対象情報特定部２０３、または、図１１に示された対象情報特定部３０３が有する機能と同様な機能によって実現することができる。算出部４０３は、図１に示された算出部１０４、図９に示された算出部２０４、または、図１１に示された算出部３０４が有する機能と同様な機能によって実現することができる。選択部４０４は、図１に示された選択部１０５、図９に示された選択部１０５、または、図１１に示された選択部１０５が有する機能と同様な機能によって実現することができる。したがって、情報選択装置４０１は、図１に示された情報選択装置１０１、図９に示された情報選択装置２０１、または、図１１に示された情報選択装置３０１が有する機能と同様な機能によって実現することができる。

次に、本発明の第４の実施形態に係る情報選択装置４０１に関する効果について説明する。

第４の実施形態に係る情報選択装置４０１によれば、注目する事象に関する情報を迅速に取得することができる。この理由は、情報選択装置４０１が、対象装置１５３において実行された処理を表すログ情報のうち、異常処理に対して影響を与えた可能性がある対象ログ情報を特定し、さらに、異常度を表すスコアが高い処理を特定するからである。

（ハードウェア構成例）
上述した本発明の各実施形態に係る情報選択装置を、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、係る情報選択装置は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現されてもよい。また、係る情報選択装置は、専用の装置として実現されてもよい。

図１５は、本発明の各実施形態に係る情報選択装置を実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。計算処理装置２０は、中央処理演算装置（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ、以降「ＣＰＵ」と表す）２１、メモリ２２、ディスク２３、不揮発性記録媒体２４、及び、通信インターフェース（以降、「通信ＩＦ」と表す）２７を有する。計算処理装置２０は、入力装置２５、出力装置２６に接続可能であってもよい。計算処理装置２０は、通信ＩＦ２７を介して、他の計算処理装置、及び、通信装置と情報を送受信することができる。

不揮発性記録媒体２４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ）、デジタルバーサタイルディスク（Ｄｉｇｉｔａｌ＿Ｖｅｒｓａｔｉｌｅ＿Ｄｉｓｃ）である。また、不揮発性記録媒体２４は、ユニバーサルシリアルバスメモリ（ＵＳＢメモリ）、ソリッドステートドライブ（Ｓｏｌｉｄ＿Ｓｔａｔｅ＿Ｄｒｉｖｅ）等であってもよい。不揮発性記録媒体２４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。不揮発性記録媒体２４は、上述した媒体に限定されない。また、不揮発性記録媒体２４の代わりに、通信ＩＦ２７、及び、通信ネットワークを介して係るプログラムを持ち運びしてもよい。

すなわち、ＣＰＵ２１は、ディスク２３に格納されているソフトウェア・プログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際にメモリ２２にコピーし、演算処理を実行する。ＣＰＵ２１は、プログラム実行に必要なデータをメモリ２２から読み取る。表示が必要な場合に、ＣＰＵ２１は、出力装置２６に出力結果を表示する。外部からプログラムを入力する場合に、ＣＰＵ２１は、入力装置２５からプログラムを読み取る。ＣＰＵ２１は、上述した図１、図９、図１１、または、図１３に示す各部が表す機能（処理）に対応するところのメモリ２２にある情報選択プログラム（図２、図１０、図１２、または、図１４）を解釈し実行する。ＣＰＵ２１は、上述した本発明の各実施形態において説明した処理を順次実行する。

すなわち、このような場合に、本発明の各実施形態は、係る情報選択プログラムによっても成し得ると捉えることができる。さらに、係る情報選択プログラムが記録されたコンピュータが読み取り可能な不揮発性の記録媒体によっても、本発明の各実施形態は成し得ると捉えることができる。

以上、上述した実施形態を模範的な例として本発明を説明した。しかし、本発明は、上述した実施形態には限定されない。すなわち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。

この出願は、２０１７年８月９日に出願された日本出願特願２０１７−１５４６２７を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１０１ 情報選択装置
１０２ 異常判定部
１０３ 対象情報特定部
１０４ 算出部
１０５ 選択部
１０６ 表示情報作成部
１０７ 情報変換部
１０８ 処理情報記憶部
１０９ 通信情報記憶部
１１０ ファイル情報記憶部
１１１ 関連情報記憶部
１１２ グラフ情報記憶部
１５１ 管理装置
１５２ 通信ネットワーク
１５３ 対象装置
１５４ エージェント
１５５ 対象装置
１５６ エージェント
２０１ 情報選択装置
２０３ 対象情報特定部
２０４ 算出部
２１３ テンプレート情報記憶部
３０１ 情報選択装置
３０３ 対象情報特定部
３０４ 算出部
３０６ 表示情報作成部
４０１ 情報選択装置
４０２ 対象情報特定部
４０３ 算出部
４０４ 選択部
２０ 計算処理装置
２１ ＣＰＵ
２２ メモリ
２３ ディスク
２４ 不揮発性記録媒体
２５ 入力装置
２６ 出力装置
２７ 通信ＩＦ

Claims (7)

1. 対象システムにおける処理対象に対して処理が実施されたことを表すログ情報のうち、該対象システムにて実施された異常処理に対して影響を与えた可能性がある、前記処理対象を含む対象ログ情報を特定する対象情報特定手段と、
   前記処理及び前記処理対象の組み合わせごとに前記対象ログ情報の頻度を算出し、算出した前記頻度に基づき該対象ログ情報が異常である程度を表す異常度を算出する算出手段と、
   前記対象ログ情報のうち、前記異常度が、異常なログ情報を判定する基準を満たしている関連ログ情報を選択する選択手段と、
   前記関連ログ情報を、前記処理対象に応じて異なる態様にて表示する際に用いる表示情報を作成する表示情報作成手段と、
   エッジに所定の異常度が関連付けされているグラフを表すテンプレート情報が格納されているテンプレート情報記憶手段と
   を備え、
   前記対象情報特定手段は、前記対象ログ情報における前記処理対象、及び、前記対象ログ情報における前記処理が節点として設定され、前記対象ログ情報が、該処理を表す前記節点と、前記処理対象を表す前記節点とが関連付けされたエッジとして設定されたグラフを表すグラフ情報を作成し、
   前記表示情報作成手段は、前記対象情報特定手段が作成した前記グラフ情報のうち、前記関連ログ情報を表す部分を、前記表示情報とし、
   前記算出手段は、前記グラフ情報のうち前記テンプレート情報に一致している部分に対して、前記所定の異常度を算出する
   情報選択装置。
2. 前記処理対象は、前記処理と異なる処理、前記処理が実施されたソケット、及び、前記処理が実施されたファイルのうち、少なくともいずれかである
   請求項１に記載の情報選択装置。
3. 前記算出手段は、前記頻度が少ないほど前記程度が高く、前記頻度が多いほど前記程度が低い前記異常度を算出する
   請求項１または請求項２に記載の情報選択装置。
4. 前記表示情報作成手段は、前記関連ログ情報における前記処理対象、及び、前記関連ログ情報における前記処理が前記節点として設定され、前記関連ログ情報が、該処理を表す前記節点と、前記処理対象を表す前記節点とが関連付けされたエッジとして設定されたグラフを表す前記表示情報を作成し、作成した前記表示情報に応じた画面を表示装置に表示する
   請求項１乃至請求項３のいずれかに記載の情報選択装置。
5. 前記対象システムから受け取った前記ログ情報に関して、所定の異常判定条件を満たしている異常処理を含む異常ログ情報であるか否かを判定する異常判定手段
   をさらに備え、
   前記対象情報特定手段は、前記ログ情報が前記異常ログ情報であると前記異常判定手段が判定するのに応じて、前記対象ログ情報を特定する
   請求項１乃至請求項４のいずれかに記載の情報選択装置。
6. 情報処理装置によって、対象システムにおける処理対象に対して処理が実施されたことを表すログ情報のうち、該対象システムにて実施された異常処理に対して影響を与えた可能性がある、前記処理対象を含む対象ログ情報を特定し、前記処理及び前記処理対象の組み合わせごとに前記対象ログ情報の頻度を算出し、算出した前記頻度に基づき該対象ログ情報が異常である程度を表す異常度を算出し、前記対象ログ情報のうち、前記異常度が、異常なログ情報を判定する基準を満たしている関連ログ情報を選択し、前記関連ログ情報を、前記処理対象に応じて異なる態様にて表示する際に用いる表示情報を作成し、前記対象ログ情報における前記処理対象、及び、前記対象ログ情報における前記処理が節点として設定され、前記対象ログ情報が、該処理を表す前記節点と、前記処理対象を表す前記節点とが関連付けされたエッジとして設定されたグラフを表すグラフ情報を作成し、作成した前記グラフ情報のうち、前記関連ログ情報を表す部分を、前記表示情報とし、前記グラフ情報のうち、エッジに所定の異常度が関連付けされているグラフを表すテンプレート情報に一致している部分に対して、前記所定の異常度を算出する情報選択方法。
7. 対象システムにおける処理対象に対して処理が実施されたことを表すログ情報のうち、該対象システムにて実施された異常処理に対して影響を与えた可能性がある、前記処理対象を含む対象ログ情報を特定する対象情報特定機能と、
   前記処理及び前記処理対象の組み合わせごとに前記対象ログ情報の頻度を算出し、算出した前記頻度に基づき該対象ログ情報が異常である程度を表す異常度を算出する算出機能と、
   前記対象ログ情報のうち、前記異常度が、異常なログ情報を判定する基準を満たしている関連ログ情報を選択する選択機能と、
   前記関連ログ情報を、前記処理対象に応じて異なる態様にて表示する際に用いる表示情報を作成する表示情報作成機能と、
   エッジに所定の異常度が関連付けされているグラフを表すテンプレート情報が格納されているテンプレート情報記憶手機能と
   をコンピュータに実現させ、
   前記対象情報特定機能は、前記対象ログ情報における前記処理対象、及び、前記対象ログ情報における前記処理が節点として設定され、前記対象ログ情報が、該処理を表す前記節点と、前記処理対象を表す前記節点とが関連付けされたエッジとして設定されたグラフを表すグラフ情報を作成し、
   前記表示情報作成機能は、前記対象情報特定機能が作成した前記グラフ情報のうち、前記関連ログ情報を表す部分を、前記表示情報とし、
   前記算出機能は、前記グラフ情報のうち前記テンプレート情報に一致している部分に対して、前記所定の異常度を算出する
   情報選択プログラム。

Images