JP6943313B2 - ログ解析システム、解析装置、方法、および解析用プログラム - Google Patents

Description

本発明は、通信のログを解析するログ解析システム、解析装置、解析方法、および解析用プログラムが記憶された記憶媒体に関する。

企業等の組織内の通信ネットワークにおいて、当該通信ネットワークに接続された機器がコンピュータウィルスに感染したり、機器から情報が漏洩したりするセキュリティインシデントが発生する場合がある。そのような場合には、当該機器に記録されたログなどの証跡を解析して、インシデントの原因究明や影響範囲の把握などを行う必要がある。

特に、当該通信ネットワークの外部から不正アクセスされたり、外部へ情報が漏洩したりしたようなインシデントでは、当該通信ネットワークに接続されたクライアント端末と通信ネットワーク外部の通信ネットワークに接続された機器（以下、単に外部ネットワークともいう）との間で通信が行われる。したがって、通信ネットワークに接続された機器と外部ネットワークとの間の通信のログはインシデントの調査において非常に重要である。

当該通信ネットワークに接続された機器と外部との通信のログには、例えば、プロキシサーバのアクセスログがある。ファイアウォールなどによって外部への通信を制限されている企業等における通信ネットワークでは、プロキシサーバを介したＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）通信は、外部との数少ない通信経路の１つである。

特許文献１には、通信端末が記録したアクセスログと、当該通信端末のユーザによる操作内容を示す端末操作ログと、プロキシサーバが記録したプロキシログとに基づいて、不正アクセスを検知する方法が記載されている。

特開２０１３−１９１１３３号公報

しかし、プロキシサーバのアクセスログから得られる情報は限定的である。プロキシサーバを介して外部とのＨＴＴＰ通信が可能なことから、マルウェアの中には、マルウェアに対して攻撃命令を出すＣ＆Ｃ（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）サーバとの通信に、専用のプロトコルを用いずにＨＴＴＰプロトコルを用いるものも多い。

そのような通信では、プロキシサーバにおいて、アクセス時刻や、クライアント端末のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、接続先サーバ名などがアクセスログとして記録される。しかし、これらの情報だけからでは、アクセスログに記録されたアクセスがウェブブラウザなどの安全なプログラムによる適切なアクセスなのか、またはマルウェアによる不正アクセスなのかを判定することは困難である。

一般に、プロキシサーバにおけるアクセスログは、その大半がウェブブラウザによるものである。そうすると、特許文献１に記載されている方法のように、アクセスログに含まれた、量は多いものの限られた種類の情報に基づいて、ウェブブラウザによる適切な通信と、ウェブブラウザ以外のマルウェア等のソフトウェアによる不正アクセスの通信とを識別することは困難である。よって、不正アクセスを検知することは困難である。

そこで、本発明は、不正アクセスを検知することができるログ解析システム、解析装置、解析方法、および解析用プログラムが記憶された記憶媒体を提供することを目的とする。

本発明によるログ解析システムは、外部の通信機器と通信を行うクライアント端末と、クライアント端末の要求に応じて、外部の通信機器とクライアント端末との通信を中継する中継機器と、クライアント端末による通信内容を解析する解析装置とを備え、クライアント端末は、外部の通信機器との通信を司ったプログラムを示すプログラム情報を記録し、中継機器は、クライアント端末によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログを記録し、解析装置は、プログラム情報と中継ログとを照合することを特徴とする。

本発明による解析装置は、外部の通信機器と通信を行うクライアント端末が記録した、外部の通信機器との通信を司ったプログラムを示すプログラム情報と、クライアント端末の要求に応じて、外部の通信機器とクライアント端末との通信を中継する中継機器が記録した、クライアント端末によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合する照合手段を備えたことを特徴とする。

本発明による解析方法は、外部の通信機器と通信を行うクライアント端末が記録した、外部の通信機器との通信を司ったプログラムを示すプログラム情報と、クライアント端末の要求に応じて、外部の通信機器とクライアント端末との通信を中継する中継機器が記録した、クライアント端末によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合することを特徴とする。

本発明による解析用プログラムが記憶された記憶媒体は、コンピュータに、外部の通信機器と通信を行うクライアント端末が記録した、外部の通信機器との通信を司ったプログラムを示すプログラム情報と、クライアント端末の要求に応じて、外部の通信機器とクライアント端末との通信を中継する中継機器が記録した、クライアント端末によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合させることを特徴とする解析用プログラムが記憶されている。

本発明によれば、不正アクセスを検知することができる。

本発明の第１の実施形態の通信システムの構成例を示すブロック図である。 本発明の第１の実施形態における中継サーバの構成例を示すブロック図である。 中継ログ記憶部に記録される中継ログの例を示す説明図である。 本発明の第１の実施形態におけるクライアント端末の構成例を示すブロック図である。 端末ログ記憶部に記録される端末ログの例を示す説明図である。 本発明の第１の実施形態における解析装置の構成例を示すブロック図である。 照合結果記録部に記録された照合結果を示す照合結果情報の例を示す説明図である。 本発明の第１の実施形態の通信システムにおいて、中継サーバとクライアント端末とがログを記録するログ記録処理を示すシーケンス図である。 本発明の第１の実施形態の通信システムにおいて、解析装置が、記録されたログを取得して照合を行う照合処理を示すシーケンス図である。 本発明の第２の実施形態の通信システムの構成例を示すブロック図である。 本発明の第２の実施形態におけるクライアント端末の構成例を示すブロック図である。 ホワイトリスト記憶部に記録されているホワイトリストの例を示す説明図である。 更新処理が行われた場合の端末ログの例を示す説明図である。 図１３に示す端末ログと、図３に示す中継ログとの照合結果を示す説明図である。 本発明の第３の実施形態のログ解析システムの構成例を示すブロック図である。 本発明の第４の実施形態の解析装置の構成例を示すブロック図である。

実施形態１．
本発明の第１の実施形態の通信システムについて、図面を参照して説明する。図１は、本発明の第１の実施形態の通信システムの構成例を示すブロック図である。図１に示すように、本発明の第１の実施形態の通信システムは、中継サーバ１０、クライアント端末２０、および解析装置３０を含む。そして、中継サーバ１０、クライアント端末２０、および解析装置３０は、通信回線や、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の通信ネットワークを介して互いに接続されている。また、中継サーバ１０は、インターネット等の通信ネットワークである外部ネットワーク４０に接続されている。

クライアント端末２０は、外部ネットワーク４０に接続された通信端末（図示せず）と、中継サーバ１０を介して通信を行う。

中継サーバ１０は、クライアント端末２０の要求に応じて、クライアント端末２０と外部ネットワーク４０に接続された通信端末（図示せず）との間の通信を中継する。

図２は、本発明の第１の実施形態における中継サーバ１０の構成例を示すブロック図である。図２に示すように、本発明の第１の実施形態における中継サーバ１０は、中継ログ記録部１０１と、中継ログ記憶部１０２とを含む。なお、中継サーバ１０は、例えば、ＨＴＴＰ通信を中継するプロキシサーバであり、通信の中継機能を有する。

中継ログ記録部１０１は、クライアント端末２０からの通信の中継の要求（中継要求）毎に、中継ログを生成し、生成した中継ログを中継ログ記憶部１０２に記録する。中継ログとは、クライアント端末２０による通信の履歴を示す情報であり、少なくとも要求時刻情報、接続先サーバ情報、通信の中継に利用したクライアント端末２０と中継サーバ１０との接続を示す接続識別子を記録する。なお、要求時刻情報は、例えば、クライアント端末２０から通信の中継（以下、単に中継ともいう）を要求された時刻を示す情報である。接続先サーバ情報は、例えば、クライアント端末２０による通信の相手先を示す情報である。接続識別子は、例えば、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）コネクションにおけるクライアント端末２０のＩＰアドレスとポート番号との組である。また、複数の中継サーバ１０が配置されている場合には、ＴＣＰコネクションにおける中継サーバ１０のＩＰアドレスおよびポート番号も中継ログとして中継ログ記憶部１０２に記録してもよい。

中継ログ記憶部１０２には、中継ログ記録部１０１によって、中継要求毎に生成された中継ログが記録される。より具体的には、中継ログ記憶部１０２に記録されている中継ログは、中継ログ記録部１０１によって、中継要求毎に更新される。図３は、中継ログ記憶部１０２に記録される中継ログの例を示す説明図である。

図３に示すように、中継ログによって、中継を要求された時刻である要求時刻、クライアント端末２０のＩＰアドレスとポート番号とからなる接続識別子、および接続先サーバが示される。具体的には、図３に示すように、中継ログによって、要求時刻「０９：００：１２」に、ＩＰアドレスが「１０．１．０．１」であるクライアント端末２０が、「２００１０」番ポートを利用して中継サーバ１０に接続し、ＦＱＤＮ（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ）が「ｍａｌｉｃｉｏｕｓ．ｅｘａｍｐｌｅ．ｃｏｍ」で識別されるサーバの「８０」番ポートとの通信を要求して、当該要求に応じた通信が行われたことが示されている。

次に、クライアント端末２０について説明する。図４は、本発明の第１の実施形態におけるクライアント端末２０の構成例を示すブロック図である。図４に示すように、本発明の第１の実施形態におけるクライアント端末２０は、通信検知部２０１、プログラム特定部２０２、および端末ログ記憶部２０３を含む。なお、クライアント端末２０は、前述したように、中継サーバ１０に中継要求を行い、中継サーバ１０を介して、外部ネットワーク４０に接続されたサーバ端末と通信する機能を有する。

通信検知部２０１は、クライアント端末２０と中継サーバ１０との接続を検知する。具体的には、通信検知部２０１は、例えば、通信の開始および終了のいずれか、または両方を検知する。

プログラム特定部２０２は、通信検知部２０１が検知した接続について、その接続を司ったプログラムを特定する。さらに、プログラム特定部２０２は、クライアント端末２０と中継サーバ１０との接続毎に生成される接続に関する情報である端末ログを端末ログ記憶部２０３に記録する。端末ログ記憶部２０３には、端末ログが記録される。より具体的には、端末ログ記憶部２０３に記録されている端末ログは、プログラム特定部２０２によって、中継サーバ１０との接続毎に更新される。

端末ログには、少なくとも接続時刻情報と、接続識別子と、接続を司るプログラムを示すプログラム情報とが含まれる。接続時刻情報は、中継サーバ１０とクライアント端末２０との間の接続（通信）の開始時刻、終了時刻、および開始時刻と終了時刻との組のいずれかを示す情報である。プログラム情報は、接続を司るプログラムの実行ファイルの名前、パスを示す情報、およびハッシュ値、またはそれらの組み合わせなど示す情報である。

図５は、端末ログ記憶部２０３に記録される端末ログの例を示す説明図である。図５に示すように、端末ログによって、接続時刻情報として接続開始時刻、クライアント端末２０のＩＰアドレスとポート番号とからなる接続識別子、およびプログラム情報として実行ファイルのパスの情報が示される。具体的には、図５に示すように、端末ログによって、時刻「０９：００：１２」に、クライアント端末２０においてパスが「／Ｔｅｍｐ／ｍａｌｗａｒｅ．ｅｘｅ」で特定されるプログラムが、ＩＰアドレス「１０．１．０．１」を利用し「２００１０」番ポートで、中継サーバ１０との接続を開始したことを示される。

なお、端末ログと中継ログとを単にログと総称することがある。

次に、解析装置３０について説明する。図６は、本発明の第１の実施形態における解析装置３０の構成例を示すブロック図である。図６に示すように、本発明の第１の実施形態における解析装置３０は、ログ取得部３０１、ログ照合部３０２、および照合結果記憶部３０３を含む。なお、解析装置３０は、中継サーバ１０の中継ログ記憶部１０２に記録されている中継ログと、クライアント端末２０の端末ログ記憶部２０３に記録されている端末ログとを照合する。そして、解析装置３０は、照合結果に基づいて、中継サーバ１０が中継した通信において通信（接続）を司ったプログラムを推定する。

ログ取得部３０１は、中継サーバ１０の中継ログ記憶部１０２に記録されている中継ログと、クライアント端末２０の端末ログ記憶部２０３に記録されている端末ログとを取得する。

ログ照合部３０２は、ログ取得部３０１が取得した中継ログと端末ログとを照合する。具体的には、ログ照合部３０２は、中継ログに含まれている要求時刻情報および接続識別子と、端末ログに含まれている接続時刻情報および接続識別子とを照合する照合処理を行って、一連の通信による情報を互いに対応付ける。そして、ログ照合部３０２は、照合結果を示す照合結果情報を照合結果記憶部３０３に記録する。照合結果情報によって、少なくとも、時刻情報、接続識別子、プログラム情報、および接続先が示される。

照合結果記憶部３０３には、ログ照合部３０２における照合結果を示す照合結果情報が記録される。照合結果情報は、少なくとも、時刻情報、クライアント識別子、プログラム情報、および接続先を示す情報を含む。

図７は、照合結果記憶部３０３に記録された照合結果情報の例を示す説明図である。図７に示す例では、照合結果記憶部３０３に、時刻「０９：００：１２」に、クライアント端末２０においてパスが「／Ｔｅｍｐ／ｍａｌｗａｒｅ．ｅｘｅ」で特定されるプログラムが、ＩＰアドレス「１０．１．０．１」を利用し「２００１０」番ポートで、中継サーバ１０を介して「ｍａｌｉｃｉｏｕｓ．ｅｘａｍｐｌｅ．ｃｏｍ」で識別されるサーバの「８０」番ポートと通信したことを示す照合結果情報が記録されることが示されている。

次に、本発明の第１の実施形態の通信システムの動作について説明する。本発明の第１の実施形態の通信システムの動作で実行される処理は、中継サーバ１０とクライアント端末２０とがログを記録するログ記録処理と、解析装置３０が、記録されたログを取得して照合を行う照合処理とを含む。

図８は、本発明の第１の実施形態の通信システムにおいて、中継サーバ１０とクライアント端末２０とがログを記録するログ記録処理を示すシーケンス図である。

図８に示すように、中継サーバ１０は、クライアント端末２０が外部ネットワーク４０に接続された通信端末と通信を行う場合に、中継を行う（ステップＳ１０１）。そして、中継サーバ１０の中継ログ記録部１０１は、クライアント端末２０が外部ネットワーク４０に接続された通信端末と行った通信に応じた中継ログを生成して、中継ログ記憶部１０２に記録する（ステップＳ１０２）。ステップＳ１０２の処理で、中継ログとして、少なくとも要求時刻情報および接続識別子が中継ログ記憶部１０２に記録される。

クライアント端末２０において、通信検知部２０１が中継サーバ１０との接続を検知すると（ステップＳ１０３）、プログラム特定部２０２が、通信を司ったプログラムを特定する（ステップＳ１０４）。そして、プログラム特定部２０２は、ステップＳ１０３の処理で通信検知部２０１が検知した接続の接続時刻情報、接続識別子、およびプログラム情報を含む端末ログを端末ログ記憶部２０３に記録する（ステップＳ１０５）。

クライアント端末２０には、クライアント端末２０にインストールされているＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）が備えるクライアント型ファイアウォール機能を実装するためのＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）を利用して、通信検知部２０１の通信検知機能を実装できる。その理由は、クライアント型ファイアウォールは、通信毎にその可否を判断するため通信の開始を検知する必要があるためである。また、クライアント型ファイアウォール向けのＡＰＩは、プログラム毎にルールを設定できるようにするために、検知した接続がどのプログラムによるものかを参照できるように構成されている。そのようなＡＰＩを活用することで、クライアント端末２０に、プログラム特定部２０２のプログラム特定機能を実装可能である。

図９は、本発明の第１の実施形態の通信システムにおいて、解析装置３０が、記録されたログを取得して照合を行う照合処理を示すシーケンス図である。

まず、解析装置３０のログ取得部３０１が、中継ログ記憶部１０２から中継ログを取得し（ステップＳ２０１）、端末ログ記憶部２０３から端末ログを取得する（ステップＳ２０２）。ログ取得部３０１は、ステップＳ２０１，２０２の処理で、全部のログを取得してもよいし、時刻の範囲などの条件を指定し、指定された条件に合致するログのみを取得してもよい。そして、ログ照合部３０２が、ログ取得部３０１がステップＳ２０１の処理で取得した中継ログとステップＳ２０２の処理で取得した端末ログとの照合処理を行う（ステップＳ２０３）。ログ照合部３０２は、ステップＳ２０３の処理における照合結果を照合結果記憶部３０３に記録する（ステップＳ２０４）。

ログ照合部３０２がステップＳ２０３の処理で行う中継ログと端末ログとの照合処理について説明する。まず、ログ照合部３０２は、中継ログにおける接続識別子と合致する接続識別子の端末ログの行を検索して抽出する。したがって、中継ログおよび端末ログについて、一連の通信に対応する行がそれぞれ１つずつ抽出されるはずである。しかし、中継ログにおける１つの行に対して端末ログの複数の行が抽出される可能性がある。例えば、クライアント端末２０において、ポートが再利用された場合にそのような事象が生じる。そのような事象の発生を抑止するために、ログ照合部３０２は、抽出された１つ以上の端末ログの行について、時刻情報に基づいたフィルタリングを行う。

具体的には、ログ照合部３０２は、要求時刻情報と接続時刻情報とに基づいて、双方のログが一連の通信によるものである可能性が高いもののみを抽出する。なお、中継サーバ１０に設定されている時刻とクライアント端末２０に設定されている時刻との間に、差異がある可能性がある。そこで、ログ照合部３０２は、要求時刻情報によって示されている時刻と接続時刻情報によって示されている時刻とが一致するもののみを抽出するのではなく、要求時刻情報によって示されている時刻と接続時刻情報によって示されている時刻との差異が所定の閾値未満の行を抽出する。なお、ログ照合部３０２は、当該差異が最も小さい行を抽出するように構成されていてもよい。

一般に、一のポートが他のプログラムによって再利用されるまでには、ある程度の時間がかかる。よって、このように時刻情報に基づいてフィルタリングすることで、前述したような事象の発生を抑止することができる。すると、ログ照合部３０２は、１つの中継ログの行に対して、一連の通信によるものと推定される端末ログの行を１つ抽出することができる。

したがって、ログ照合部３０２は、中継ログから抽出した行と端末ログから抽出した行とを対応付けることができる。そうすると、中継ログから抽出した行における接続先と、端末ログから抽出した行におけるプログラムとが対応付けられ、マルウェアによる通信であるか否かと、当該通信による接続先とを特定することができる。そして、特定結果に基づいて、不正アクセスが行われたか否かを検知することができる。

本実施形態によれば、中継サーバ１０が、要求時刻情報、接続識別子、および接続先サーバを含む中継ログを取得し、クライアント端末２０が、接続時刻情報、接続プログラム情報を含む端末ログを取得する。そして、解析装置が、中継ログと端末ログとを照合することにより、接続先サーバと当該接続先サーバとの通信を司ったプログラムとの対応関係を把握することができる。

したがって、本実施形態によれば、クライアント端末２０がＨＴＴＰヘッダを解析して接続先サーバを特定することなく、ウェブブラウザ以外のプログラムによるアクセスを検知することができる。よって、本実施形態によれば、マルウェア等による不正アクセスを検知することができる。

なお、ＨＴＴＰ通信では、１つのＴＣＰ接続を用いて、複数のＨＴＴＰ要求を行うパーシステントコネクションが行われ得る。パーシステントコネクションが行われた場合に、中継ログ記憶部１０２に記録されている中継ログは中継要求毎に更新されるのに対して、端末ログ記憶部２０３に記録されている端末ログは、ＴＣＰ接続毎に１回更新される。より具体的には、パーシステントコネクションが行われた場合に、中継ログ記憶部１０２に記録されている中継ログは中継要求毎に１行追加されるのに対して、端末ログ記憶部２０３に記録されている端末ログは、ＴＣＰ接続毎に１行追加される。そうすると、中継ログにおける行と、端末ログにおける行とが１対１では対応しなくなってしまう。

また、パーシステントコネクションでは、接続時間が単一の要求（パーシステントコネクションでない接続）の処理時間よりも長くなる可能性がある。そして、ＴＣＰ接続の開始時刻（例えば、接続時間情報が示す時刻）と、パーシステントコネクション内の最後の要求時刻（例えば、要求時刻情報が示す時刻）との間に大きな差異が生じる可能性がある。すると、本実施形態における処理のように開始時刻の時刻差のみに基づいてフィルタリングをした場合に、ログ照合部３０２による照合処理が適切に行われない可能性がある。

そのような事態を避けるためには、端末ログにおける接続時刻情報が、接続開始時刻と接続終了時刻との両方を示すように構成されればよい。つまり、中継ログにおける要求時刻情報が示す時刻が、接続時刻情報が示す接続開始時刻と接続終了時刻との間である場合に、ログ照合部３０２は、中継ログにおいて当該要求時刻情報を含む行と、端末ログにおいて当該接続時刻情報を含む行とを対応付ける照合処理を行う。ただし、前述したように中継サーバ１０に設定されている時刻とクライアント端末２０に設定されている時刻との差異は考慮されるとする。

そのような構成によれば、パーシステントコネクションが長時間維持される場合にも、ログ照合部３０２は、適切に照合処理を行うことができる。

実施形態２．
次に本発明の第２の実施形態の通信システムについて、図面を参照して説明する。図１０は、本発明の第２の実施形態の通信システムの構成例を示すブロック図である。図１０に示すように、本発明の第２の実施形態の通信システムは、クライアント端末２０に代えてクライアント端末２１を含む点で、第１の実施形態における構成と異なる。その他の構成は、図１に示す第１の実施形態における構成と同様なため、対応する各要素には図１と同じ符号を付して説明を省略する。

図１１は、本発明の第２の実施形態におけるクライアント端末２１の構成例を示すブロック図である。図１１に示すように、本発明の第２の実施形態におけるクライアント端末２１は、図４に示す本発明の第１の実施形態におけるクライアント端末２０の構成に加えて、ホワイトリスト記憶部２１４を含む。また、図１１に示すように、本発明の第２の実施形態におけるクライアント端末２１は、図４に示す本発明の第１の実施形態におけるクライアント端末２０におけるプログラム特定部２０２に代えて、プログラム特定部２１２を含む。本発明の第２の実施形態におけるクライアント端末２１のその他の構成要素は、図４に示す本発明の第１の実施形態におけるクライアント端末２０の構成と同様なため、対応する各要素には図４と同じ符号を付して説明を省略する。

ホワイトリスト記憶部２１４には、個々の端末ログを保持するか否かを決定するためのホワイトリストが記録されている。ホワイトリストとは、端末ログを端末ログ記憶部２０３に記録する必要がないプログラム情報のリストである。

図１２は、ホワイトリスト記憶部２１４に記録されているホワイトリストの例を示す説明図である。図１２に示す例では、「／Ｐｒｏｇｒａｍｓ／ｂｒｏｗｓｅｒ．ｅｘｅ」がホワイトリストに登録されている。そして、プログラム特定部２１２は、例えば、特定した、通信検知部２０１が検知した接続を司ったプログラムが、「／Ｐｒｏｇｒａｍｓ／ｂｒｏｗｓｅｒ．ｅｘｅ」と合致する場合に、当該プログラムの動作に応じた情報を端末ログに追加する更新処理を行わない。

なお、ホワイトリストには、例えば、ウェブブラウザや、安全性が高いと判断されたプログラムが登録されている。

プログラム特定部２１２において、端末ログを端末ログ記憶部２０３に記録する際の動作が、第１の実施形態におけるプログラム特定部２０２の動作と異なる。具体的には、プログラム特定部２１２は、端末ログを端末ログ記憶部２０３に記録するか否かを、ホワイトリスト記憶部２１４に記録されているホワイトリストを参照して決定する。より具体的には、プログラム特定部２１２は、端末ログ記憶部２０３に記録されている端末ログに、通信検知部２０１が検知した接続を司ったプログラムの動作に応じた情報を追加する更新処理を行うか否かを、ホワイトリスト記憶部２１４に記録されているホワイトリストに基づいて決定する。

すなわち、通信検知部２０１が検知した接続を司ったプログラムが、ホワイトリストに登録されているプログラムのいずれか１つと合致した場合に、そのプログラムによる動作に応じた情報を端末ログ記憶部２０３に記録されている端末ログに追加する更新処理を行わない。換言すれば、通信検知部２０１が検知した接続を司ったプログラムが、ホワイトリストに登録されているプログラムのいずれもと合致しなかった場合に、そのプログラムによる動作に応じた情報を端末ログ記憶部２０３に記録されている端末ログに追加する更新処理を行う。

図１３は、そのような更新処理が行われた場合の端末ログの例を示す説明図である。図１３に例示した端末ログでは、図５に示す端末ログにおける行のうち、プログラム情報が「／Ｐｒｏｇｒａｍｓ／ｂｒｏｗｓｅｒ．ｅｘｅ」である行が除外されている。

したがって、通信検知部２０１が検知した接続を司ったプログラムの動作に応じた情報の一部がホワイトリストによって端末ログに記録されていない。すると、解析装置３０における照合結果において、中継ログの行のうち、端末ログのどの行とも対応しない行が生じる。

図１４は、図１３に示す端末ログと、図３に示す中継ログとの照合結果を示す説明図である。図１４に示す例では、端末ログにおいて、中継ログの３行目に対応する行と４行目に対応する行とが記録されていない。よって、解析装置３０において、当該行に応じた接続を司ったプログラムを示すプログラム情報が取得されない。

そして、ログ照合部３０２は、照合処理で取得しなかったプログラム情報を空とした照合結果を示す照合結果情報を照合結果記憶部３０３に記録する。照合結果情報において、プログラム情報が空である行については、中継ログに更新登録の契機になったプログラムが特定されない。しかし、ホワイトリストに含まれるプログラムのうちいずれか１つであることは明らかである。そして、ホワイトリストに登録されているプログラムの安全性が高いのであれば、中継ログおよび照合結果情報における当該行に関する動作について、さらなる解析を行う必要性は低いと考えられる。また、ウェブブラウザによる通信に応じた情報は、クライアント端末２１のウェブブラウザによって記憶手段（図示せず）に記録されている。よって、当該情報によって、ウェブブラウザによる通信であることを確認することが可能である。

本実施形態によれば、ホワイトリストに登録されている、ウェブブラウザや安全性の高いプログラムによる通信に応じた端末ログは記録されない。そのような構成により、ウェブブラウザを利用した通信が外部ネットワークへの通信の多くを占める環境であれば、端末ログ記憶部２０３に記録される端末ログのデータ量を大幅に削減することができる。同時に、解析装置３０が取得する端末ログのデータ量も大幅に削減することができる。

本実施形態では、ホワイトリストは、端末ログに情報を更新登録するか否かを判断するために用いられているが、端末ログに登録された情報を解析装置３０に送信するか否かを判断するために用いられるように構成されていてもよい。

そのように構成された場合には、クライアント端末２１は、ホワイトリストに登録されている内容に関わらず、端末ログ記憶部２０３に記録されている端末ログに情報を更新登録する。そして、解析装置３０のログ取得部３０１が、端末ログ記憶部２０３から端末ログを取得する際に、端末ログにおいて、ホワイトリストに登録されているプログラムの情報と合致しないプログラムについての行のみを取得するのか、または、端末ログの全てを取得するのかを、例えば、ユーザの操作によって選択できるように構成する。

そして、解析装置３０のログ取得部３０１は、ホワイトリストに登録されているプログラムの情報と合致しないプログラムについての行のみを取得することが選択された場合に、端末ログ記憶部２０３に記録されている端末ログにおいて、ホワイトリストに登録されているプログラムの情報と合致しないプログラムについての行のみを取得する。

このように構成された場合には、クライアント端末２１から解析装置３０に送信される端末ログのデータ量を削減することができる。さらに、解析装置３０は端末ログの全てを取得することもできるので、ホワイトリストに登録されているいずれかのプログラムによる通信を把握したい状況にも対応することが可能になる。

実施形態３．
次に、本発明の第３の実施形態のログ解析システムについて、図面を参照して説明する。図１５は、本発明の第３の実施形態のログ解析システムの構成例を示すブロック図である。図１５に示すように、本発明の第３の実施形態のログ解析システムは、クライアント端末２００、中継機器１００、および解析装置３００を含む。

なお、クライアント端末２００は、例えば、図１に示す本発明の第１の実施形態におけるクライアント端末２０や、第２の実施形態におけるクライアント端末２１に相当する。また、中継機器１００は、例えば、図１に示す本発明の第１の実施形態における中継サーバ１０に相当する。解析装置３００は、例えば、図１に示す本発明の第１の実施形態における解析装置３０に相当する。

クライアント端末２００は、外部の通信機器と通信を行う。中継機器１００は、クライアント端末２００の要求に応じて、外部の通信機器とクライアント端末２００との通信を中継する。解析装置３００は、クライアント端末２００による通信内容を解析する。

そして、クライアント端末２００は、外部の通信機器との通信を司ったプログラムを示すプログラム情報を記録する。

中継機器１００は、クライアント端末２００によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログを記録する。

また、解析装置３００は、プログラム情報と中継ログとを照合する。

そのような構成によれば、不正アクセスを検知することができる。

実施形態４．
次に、本発明の第４の実施形態の解析装置について、図面を参照して説明する。図１６は、本発明の第４の実施形態の解析装置３１０の構成例を示すブロック図である。

図１６に示すように、本発明の第４の実施形態の解析装置３１０は、外部の通信機器と通信を行うクライアント端末が記録した、外部の通信機器との通信を司ったプログラムを示すプログラム情報と、クライアント端末の要求に応じて、外部の通信機器とクライアント端末との通信を中継する中継機器が記録した、クライアント端末によってなされた、外部の通信機器との通信の要求をそれぞれ示す中継ログとを照合する照合部３１を含む。

なお、照合部３１は、例えば、図１に示す本発明の第１の実施形態におけるログ照合部３０２に相当する。

そのような構成によれば、不正アクセスを検知することができる。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１５年３月３日に出願された日本出願特願２０１５−０４１４５４を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１０ 中継サーバ
２０、２１、２００ クライアント端末
３０、３００、３１０ 解析装置
３１ 照合部
４０ 外部ネットワーク
１００ 中継機器
１０１ 中継ログ記録部
１０２ 中継ログ記憶部
２０１ 通信検知部
２０２、２１２ プログラム特定部
２０３ 端末ログ記憶部
２１４ ホワイトリスト記憶部
３０１ ログ取得部
３０２ ログ照合部
３０３ 照合結果記憶部

Claims (9)

1. 解析装置が、
   通信装置と通信を行う端末が記録した、前記通信を要求したプログラムを示すプログラム情報と、前記端末で前記通信を行った第１の時刻と、前記端末で前記通信を終了した第３の時刻とを含む端末ログと、前記端末と前記通信装置との間で前記通信を中継する中継装置が記録した、前記中継装置で前記通信を中継した第２の時刻を含む中継ログとを取得し、
   前記端末ログと前記中継ログの照合を前記第１の時刻と前記第２の時刻と前記第３の時刻とを用いて行い、前記中継装置で中継した前記通信を要求した前記プログラム情報を特定する方法。
2. 前記中継ログは、前記通信装置のうち接続先であるサーバを示す情報を含み、
   前記解析装置が、
   前記プログラム情報と、前記サーバを示す情報とを対応付ける
   ことを特徴とする、請求項１に記載の方法。
3. 前記端末ログは前記端末で前記通信を行った第１のＩＰアドレスおよび第１のポート番号のうち少なくとも１つを含み、
   前記中継ログは前記中継装置に対して前記通信を要求してきた第２のＩＰアドレスおよび第２のポート番号のうち少なくとも１つを含み、
   前記解析装置が、
   前記第１のＩＰアドレスと前記第２のＩＰアドレス、および、前記第１のポート番号と前記第２のポート番号のうち少なくとも１つを用いて前記照合を行う
   ことを特徴とする請求項１または請求項２に記載の方法。
4. 通信装置と通信を行う端末が記録した、前記通信を要求したプログラムを示すプログラム情報と、前記端末で前記通信を行った第１の時刻と、前記端末で前記通信を終了した第３の時刻とを含む端末ログと、前記端末と前記通信装置との間で前記通信を中継する中継装置が記録した、前記中継装置で前記通信を中継した第２の時刻を含む中継ログとを取得する取得手段と、
   前記端末ログと前記中継ログの照合を前記第１の時刻と前記第２の時刻と前記第３の時刻とを用いて行い、前記中継装置で中継した前記通信を要求した前記プログラム情報を特定する照合手段と
   を備える解析装置。
5. 前記中継ログは、前記通信装置のうち接続先であるサーバを示す情報を含み、
   前記照合手段は、前記プログラム情報と、前記サーバを示す情報とを対応付ける
   ことを特徴とする、請求項４に記載の解析装置。
6. 前記端末ログは前記端末で前記通信を行った第１のＩＰアドレスおよび第１のポート番号のうち少なくとも１つを含み、
   前記中継ログは前記中継装置に対して前記通信を要求してきた第２のＩＰアドレスおよび第２のポート番号のうち少なくとも１つを含み、
   前記照合手段は、前記第１のＩＰアドレスと前記第２のＩＰアドレス、および、前記第１のポート番号と前記第２のポート番号のうち少なくとも１つを用いて前記照合を行う
   ことを特徴とする請求項４または請求項５に記載の解析装置。
7. 端末は、
   通信装置と通信を行い、
   前記通信を要求したプログラムを示すプログラム情報と、前記端末で前記通信を行った第１の時刻と、前記端末で前記通信を終了した第３の時刻とを含む端末ログを記録し、
   中継装置は、
   前記端末と前記通信装置との間で前記通信を中継し、
   前記中継装置で前記通信を中継した第２の時刻を含む中継ログを記録し、
   解析装置は、
   前記端末ログと、前記中継ログとを取得し、
   前記端末ログと前記中継ログの照合を前記第１の時刻と前記第２の時刻と前記第３の時刻とを用いて行い、前記中継装置で中継した前記通信を要求した前記プログラム情報を特定する方法。
8. 通信装置と通信を行う端末と、
   前記端末と前記通信装置との間で前記通信を中継する中継装置と、
   請求項４から請求項６のいずれか１項に記載の解析装置とを備え、
   前記端末は、前記通信を要求したプログラムを示すプログラム情報と、前記端末で前記通信を行った第１の時刻と、前記端末で前記通信を終了した第３の時刻とを含む端末ログを記録し、
   前記中継装置は、前記中継装置で前記通信を中継した第２の時刻を含む中継ログを記録し、
   前記解析装置の前記取得手段は、前記端末ログと、前記中継ログとを取得し、
   前記解析装置の前記照合手段は、前記端末ログと前記中継ログの照合を前記第１の時刻と前記第２の時刻と前記第３の時刻とを用いて行い、前記中継装置で中継した前記通信を要求した前記プログラム情報を特定する
   ログ解析システム。
9. コンピュータに、
   通信装置と通信を行う端末が記録した、前記通信を要求したプログラムを示すプログラム情報と、前記端末で前記通信を行った第１の時刻と、前記端末で前記通信を終了した第３の時刻とを含む端末ログと、前記端末と前記通信装置との間で前記通信を中継する中継装置が記録した、前記中継装置で前記通信を中継した第２の時刻を含む中継ログとを取得させ、
   前記端末ログと前記中継ログの照合を前記第１の時刻と前記第２の時刻と前記第３の時刻とを用いて行わせ、前記中継装置で中継した前記通信を要求した前記プログラム情報を特定させる
   ための解析用プログラム。

Images