JP7341380B2 - ログ処理装置、ログ処理方法及びログ処理プログラム - Google Patents

Description

本開示は、サイバー攻撃があった場合に発生する挙動が示されるログを取得する技術に関する。

本開示に関連する技術として、特許文献１に開示の技術がある。
特許文献１の技術では、標的型攻撃シナリオに沿って攻撃指令サーバが仮想の標的型攻撃を実行した際のログが収集される。

国際公開ＷＯ２０２０／２５５３５９号

特許文献１の技術では、攻撃時の攻撃指令サーバの挙動が示される攻撃側のログを得ることができる。一方で、サイバー攻撃に有効に対処可能な攻撃検知システムを構築するためには、攻撃を受ける被攻撃システムの挙動が示される被攻撃側のログの解析も必要である。しかしながら、特許文献１の技術は、被攻撃側のログを取得するものではない。

被攻撃側のログを取得するために、顧客システム等の実在するシステム環境（以下、「実在環境」という）に対して攻撃を行うことも考えられる。しかしながら、攻撃が実在環境へ悪影響を及ぼす可能性があるため、実際に実在環境に攻撃を行うことは、安全性の観点から難しい。このため、実在環境に悪影響を及ぼすことなく、実在環境が攻撃を受けたときの実在環境の挙動が示されるログを得ることができないという課題がある。

本開示は、上記のような課題を解決することを主な目的の一つとしている。より具体的には、本開示は、実在環境に悪影響を及ぼすことなく、実在環境が攻撃を受けたときの実在環境の挙動が示されるログを得ることを主な目的とする。

本開示に係るログ処理装置は、
実在するシステム環境である実在環境を模擬するが前記実在環境との間に差異が存在するシステム環境である模擬環境への攻撃が行われた場合に前記模擬環境で発生すると推定される挙動が示されるログである模擬環境ログを取得するログ取得部と、
前記模擬環境と前記実在環境との間の差異を反映させて、前記模擬環境ログを、前記模擬環境への攻撃に対応する攻撃が前記実在環境に行われた場合に前記実在環境で発生すると推定される挙動が示されるログである実在環境ログに変換するログ変換部とを有する。

本開示によれば、実在環境に悪影響を及ぼすことなく、実在環境が攻撃を受けたときの実在環境の挙動が示されるログを得ることができる。

実施の形態１に係るログ処理装置の動作の概要を示す図。 実施の形態１に係るログ処理装置の動作の概要を示す図。 実施の形態１に係るログ処理装置の機能構成例を示す図。 実施の形態１に係るログ処理装置のハードウェア構成例を示す図。 実施の形態１に係る模擬環境ログ生成部の内部構成例を示す図。 実施の形態１に係る模擬環境ログの例を示す図。 実施の形態１に係るステップ‐ログ対応表の例を示す図。 実施の形態１に係る顧客環境ログ生成部の内部構成例を示す図。 実施の形態１に係る模擬環境ログ生成処理（ステップＳ１１０）の詳細を示すフローチャート。 実施の形態１に係るステップＳ１１３の詳細を示すフローチャート。 実施の形態１に係るステップＳ１１４の詳細を示すフローチャート。 実施の形態１に係る顧客環境ログ生成処理（ステップＳ１３０）の詳細を示すフローチャート。 実施の形態１に係るステップＳ１３２の詳細を示すフローチャート。 実施の形態１に係る模擬環境攻撃シナリオと模擬環境ログの例を示す図。 実施の形態１に係る顧客環境攻撃シナリオと模擬環境ログと顧客環境ログの例を示す図。 実施の形態１に係る顧客環境攻撃シナリオと模擬環境ログと顧客環境ログの例を示す図。 実施の形態２に係るログ処理装置の機能構成例を示す図。 実施の形態２に係るパラメータ判定部の内部構成例を示す図。 実施の形態２に係る設定変更部の内部構成例を示す図。 実施の形態２に係る模擬環境ログ生成部の内部構成例を示す図。 実施の形態２に係る顧客環境ログ生成部の内部構成例を示す図。 実施の形態２に係るログ処理装置の動作例を示すフローチャート。 実施の形態３に係るログ処理装置の機能構成例を示す図。 実施の形態３に係るログ統合部の内部構成例を示す図。 実施の形態３に係るログ処理装置の動作例を示すフローチャート。 実施の形態３に係るステップＳ１６３の詳細を示すフローチャート。 実施の形態３に係る破壊情報の例を示す図。 実施の形態２に係るログの例を示す図。 実施の形態４に係るログ処理装置の機能構成例を示す図。

以下、実施の形態を図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分又は相当する部分を示す。

実施の形態１．
＊＊＊概要＊＊＊
本実施の形態では、ログ処理装置１００を説明する。
図１は、本実施の形態に係るログ処理装置１００の動作の概要を示す。
最初に、図１を参照して、ログ処理装置１００の動作の概要を説明する。
なお、ログ処理装置１００の動作手順は、ログ処理方法に相当する。また、ログ処理装置１００の動作を実現するプログラムは、ログ処理プログラムに相当する。

ログ処理装置１００は、模擬環境ログ４１０を変換して顧客環境ログ４３０を得る。
模擬環境ログ４１０は、模擬環境２００への攻撃があった場合に模擬環境２００で発生すると推定される挙動が示されるログである。
顧客環境ログ４３０は、顧客環境３００への攻撃があった場合に顧客環境３００で発生すると推定される挙動が示されるログである。顧客環境ログ４３０は、実在環境ログに相当する。

顧客環境３００は、顧客にて稼動しているシステム環境である。顧客は、企業、公官庁、学校、研究所等の事業体である。顧客環境３００は、例えば、顧客の業務システムである。顧客環境３００は、実際に存在するシステム環境であるため、実在環境の例に相当する。顧客環境３００には、システム構成要素として、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、プロキシサーバ装置、ＡＤ（Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ）サーバ装置、ファイルサーバ装置、内部ネットワーク等が存在するものとする。また、顧客環境３００には、システム構成要素として、ファイル、ユーザ等も存在する。

模擬環境２００は、顧客環境３００を模擬するシステム環境である。模擬環境２００には、顧客環境３００と同様に、ＰＣ、プロキシサーバ装置、ＡＤ（Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ）サーバ装置、ファイルサーバ装置、内部ネットワーク等が存在するものとする。また、模擬環境２００には、システム構成要素として、ファイル、ユーザ等も存在する。
模擬環境２００は、顧客環境３００を模擬するものの、顧客環境３００との間にはパラメータ値において差異が存在する。パラメータ値とは、通信アドレス、設定情報、コンピュータの識別子、ユーザの識別子、ファイルの識別子、パスワード等の情報システムを機能させるための設定値である。
模擬環境２００で用いられるパラメータ値を模擬環境パラメータ値といい、顧客環境３００で用いられるパラメータ値を顧客環境パラメータ値という。顧客環境パラメータ値は、実在環境パラメータ値に相当する。

ログ処理装置１００は、模擬環境２００と顧客環境３００との間の差異を反映させて、模擬環境ログ４１０を顧客環境ログ４３０に変換する。具体的には、ログ処理装置１００は、模擬環境２００と顧客環境３００との間のパラメータ値における差異を反映させて、模擬環境ログ４１０を顧客環境ログ４３０に変換する。このため、顧客環境ログ４３０では、模擬環境２００と顧客環境３００との間のパラメータ値における差異は吸収されている。

次に、ログ処理装置１００における動作手順を説明する。

ログ処理装置１００は、模擬環境ログ生成処理（ステップＳ１１０）において、模擬環境２００への仮想的な攻撃を行って、模擬環境ログ４１０を生成する。

次に、ログ処理装置１００は、攻撃シナリオ生成処理（ステップＳ１２０）において、顧客環境３００への攻撃手順が示される顧客環境攻撃シナリオ４２０を生成する。顧客環境攻撃シナリオ４２０には、模擬環境２００への攻撃と同様の攻撃の攻撃手順が示される。

次に、ログ処理装置１００は、顧客環境ログ生成処理（ステップＳ１３０）において、模擬環境２００と顧客環境３００との間の差異を反映させて、顧客環境攻撃シナリオ４２０を用いて、模擬環境ログ４１０を変換して顧客環境ログ４３０を生成する。
なお、顧客環境ログ生成処理は、ログ取得処理及びログ変換処理に相当する。

なお、図１では、ログ処理装置１００が模擬環境ログ生成処理（ステップＳ１１０）と攻撃シナリオ生成処理（ステップＳ１２０）を行うことにしているが、図２に示すように、模擬環境ログ生成処理（ステップＳ１１０）と攻撃シナリオ生成処理（ステップＳ１２０）は、ログ処理装置１００の外部で行われてもよい。
図２の場合は、ログ処理装置１００は、模擬環境ログ生成処理（ステップＳ１１０）で得られた模擬環境ログ４１０と、攻撃シナリオ生成処理（ステップＳ１２０）で得られた顧客環境攻撃シナリオ４２０を外部から取得する。そして、ログ処理装置１００は、取得した顧客環境攻撃シナリオ４２０を用いて、取得した模擬環境ログ４１０を顧客環境ログ４３０に変換する。
なお、以下では、図１の構成を前提として説明を進めるが、以下の説明は、図２の構成にも適用される。

＊＊＊構成の説明＊＊＊
図３は、本実施の形態に係るログ処理装置１００の機能構成例を示す。
また、図４は、本実施の形態に係るログ処理装置１００のハードウェア構成例を示す。
先ず、図４を参照してログ処理装置１００のハードウェア構成例を説明する。

本実施の形態に係るログ処理装置１００は、コンピュータである。
ログ処理装置１００は、ハードウェアとして、プロセッサ９０１、主記憶装置９０２、補助記憶装置９０３及び通信装置９０４を備える。
図３に示すように、ログ処理装置１００は、機能構成として、模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０及び顧客環境ログ生成部１３０を備える。模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０及び顧客環境ログ生成部１３０の機能は、例えば、プログラムにより実現される。
補助記憶装置９０３には、模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０及び顧客環境ログ生成部１３０の機能を実現するプログラムが記憶されている。
これらプログラムは、補助記憶装置９０３から主記憶装置９０２にロードされる。そして、プロセッサ９０１がこれらプログラムを実行して、後述する模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０及び顧客環境ログ生成部１３０の動作を行う。
図４では、プロセッサ９０１が模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０及び顧客環境ログ生成部１３０の機能を実現するプログラムを実行している状態を模式的に表している。
また、図３に示す模擬環境ＤＢ２１０、模擬環境攻撃シナリオＤＢ５１０、攻撃ツールＤＢ５２０及び顧客環境ＤＢ３１０は、主記憶装置９０２又は補助記憶装置９０３により実現される。

次に、図３を参照して、ログ処理装置１００の機能構成例を説明する。

模擬環境ログ生成部１１０は、図１に示す模擬環境ログ生成処理（ステップＳ１１０）を実行する。
具体的には、模擬環境ログ生成部１１０は、模擬環境ＤＢ２１０と模擬環境攻撃シナリオＤＢ５１０とログ構成情報５３０とを用いて模擬環境ログ４１０とステップ－ログ対応表４４０を生成する。
つまり、模擬環境ログ生成部１１０は、模擬環境ＤＢ２１０と模擬環境攻撃シナリオＤＢ５１０とを用いて、サイバーキルチェーンの一連の攻撃活動を構成する複数の攻撃ステップの各々を模擬環境２００に対して仮想的に実行する。換言すると、模擬環境ログ生成部１１０は、複数の攻撃ステップの各々が行われた場合の模擬環境２００の状態をシミュレートする。そして、模擬環境ログ生成部１１０は、攻撃ステップごとに模擬環境ログ４１０を生成する。なお、より詳細には、模擬環境ログ生成部１１０は、後述する差分抽出ログ１１８に含まれる模擬環境パラメータ値をログ構成情報５３０を用いて抽象表現に置換して、模擬環境ログ４１０を生成する。以下では、攻撃ステップごとに生成される個々の模擬環境ログ及び複数の模擬環境ログの集合の両者を模擬環境ログ４１０と表記する。
また、模擬環境ログ生成部１１０は、攻撃ステップと模擬環境ログ４１０とを対応付けるステップ－ログ対応表４４０も生成する。
模擬環境ログ生成部１１０は、模擬環境パラメータ値を抽象表現に置換した後の模擬環境ログ４１０とステップ－ログ対応表４４０を顧客環境ログ生成部１３０に出力する。
なお、模擬環境ログ生成部１１０による模擬環境ログ４１０とステップ－ログ対応表４４０の生成方法は問わない。
例えば、模擬環境ログ生成部１１０は、模擬環境２００上で攻撃シナリオの各攻撃ステップに対応する攻撃ツールを実行し、攻撃ツールの実行のタイミングを記録する。そして、模擬環境ログ生成部１１０は、記録したタイミングから一定期間のログを切り出して（正常ログを取り除いて）、攻撃ステップに対応するログを模擬環境ログ４１０として保存する。また、模擬環境ログ生成部１１０は、この作業の中で、攻撃ステップと対応するログの対応をステップ－ログ対応表４４０として生成する。

模擬環境ＤＢ２１０は、模擬環境情報を蓄積する。模擬環境情報には、模擬環境２００のシステム構成、ネットワーク構成等が示される。

模擬環境攻撃シナリオＤＢ５１０は、模擬環境攻撃シナリオを蓄積する。模擬環境攻撃シナリオには、模擬環境２００を対象とするサイバーキルチェーンを構成する複数の攻撃ステップが実行順序とともに示される。

模擬環境ログ４１０は、前述したように、模擬環境２００への攻撃があった場合に模擬環境２００で発生すると推定される挙動が示されるログである。攻撃ステップごとに１つ以上の模擬環境ログ４１０が生成される。

ステップ－ログ対応表４４０は、攻撃ステップと模擬環境ログ４１０とを対応付ける対応表である。詳細は後述するが、図７はステップ－ログ対応表４４０の一例を示す。

ログ構成情報５３０は、模擬環境パラメータ値から抽象表現への置換規則が示される。
つまり、ログ構成情報５３０には、抽象表現への置換の対象となる模擬環境パラメータ値と、当該模擬環境パラメータ値の置換先の抽象表現とが予め定義されている。抽象表現への置換対象となる模擬環境パラメータ値は、例えば、ドメイン名、マシン名、ユーザ名、サーバ名、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス等である。
ログ構成情報５３０には、例えば、後述する差分抽出ログ１１８内の発信元ＩＰアドレスの具体的記述（模擬環境パラメータ値）を「＃Ｓｒｃ＿ＩＰ＃」という抽象表現（シンボル表記）に置換するとの置換規則が示される。また、ログ構成情報５３０には、差分抽出ログ１１８内の宛先ドメインの具体的記述（模擬環境パラメータ値）を「＃Ｄｅｓｔ＿ｄｏｍａｉｎ＃」という抽象表現（シンボル表記）に置換するとの置換規則が示される。

なお、本実施の形態では、ステップＳ１１０の実行時に既に模擬環境攻撃シナリオＤＢ５１０に模擬環境攻撃シナリオが蓄積されている例を説明する。しかしながら、模擬環境ログ生成部１１０は、模擬環境ログ生成処理（ステップＳ１１０）の開始時に後述する攻撃シナリオ生成部１２０に模擬環境ＤＢ２１０と攻撃ツールＤＢ５２０とを用いて模擬環境攻撃シナリオを生成させてもよい。この場合は、模擬環境ログ生成部１１０は、攻撃シナリオ生成部１２０が生成した模擬環境攻撃シナリオを利用する。

攻撃シナリオ生成部１２０は、図１に示す攻撃シナリオ生成処理（ステップＳ１２０）を実行する。
具体的には、攻撃シナリオ生成部１２０は顧客環境ＤＢ３１０と攻撃ツールＤＢ５２０とを用いて顧客環境攻撃シナリオ４２０を生成する。攻撃シナリオ生成部１２０は、サイバーキルチェーンの攻撃ステップごとに顧客環境攻撃シナリオ４２０を生成する。つまり、攻撃シナリオ生成部１２０は、模擬環境攻撃シナリオの攻撃ステップと同じ攻撃ステップに対して顧客環境攻撃シナリオ４２０を生成する。
そして、攻撃シナリオ生成部１２０は、生成した顧客環境攻撃シナリオ４２０を顧客環境ログ生成部１３０に出力する。

顧客環境攻撃シナリオ４２０には、顧客環境３００で起こりうる攻撃の具体的手順が記述される。顧客環境攻撃シナリオ４２０の攻撃手順の記述には、顧客環境３００で用いられている顧客環境パラメータ値が用いられる。

顧客環境ＤＢ３１０は、顧客環境情報を蓄積する。顧客環境情報には、顧客環境３００のシステム構成、ネットワーク構成等が示される。

攻撃ツールＤＢ５２０は、複数の攻撃ツール（スクリプト）を蓄積するデータベースである。攻撃ツールＤＢ５２０に蓄積される各攻撃ツールは、サイバーキルチェーンの一連の攻撃活動に含まれる各攻撃ステップに対応する。

つまり、攻撃シナリオ生成部１２０は、顧客環境情報で特定される顧客環境３００に攻撃ツールで特定される攻撃ステップが実行される場合の具体的な攻撃手順が示される顧客環境攻撃シナリオ４２０を生成する。
なお、攻撃シナリオ生成部１２０による顧客環境攻撃シナリオ４２０の生成方法は問わない。攻撃シナリオ生成部１２０は、例えば、アタックツリー自動生成技術を用いて顧客環境攻撃シナリオ４２０を生成することができる。

顧客環境ログ生成部１３０は、図１に示す顧客環境ログ生成処理（ステップＳ１３０）を実行する。
つまり、顧客環境ログ生成部１３０は、顧客環境攻撃シナリオ４２０とステップ－ログ対応表４４０とログ構成情報５３０と指定パラメータ値５４０を用いて、模擬環境ログ４１０を変換して顧客環境ログ４３０を得る。

ログ構成情報５３０には、模擬環境パラメータ値を置換する抽象表現が示されている。顧客環境ログ生成部１３０は、ログ構成情報５３０を参照することで、模擬環境ログ４１０に含まれる抽象表現を識別することができる。そして、顧客環境ログ生成部１３０は、抽象表現を、顧客環境攻撃シナリオ４２０に含まれる顧客環境パラメータ値に置換することができる。

指定パラメータ値５４０は、模擬環境ログ４１０には含まれていないが、顧客環境ログ４３０に含ませるべきパラメータ値である。
顧客環境ログ生成部１３０は、模擬環境ログ４１０の抽象表現を顧客環境パラメータ値に置換するとともに、模擬環境ログ４１０に指定パラメータ値５４０を追加する。

模擬環境ログ４１０に含まれる抽象表現の顧客環境パラメータ値への置換と、指定パラメータ値５４０の模擬環境ログ４１０への追加とにより、顧客環境ログ生成部１３０は模擬環境ログ４１０から顧客環境ログ４３０への変換を行う。

このように顧客環境ログ４３０では顧客環境パラメータ値が記述されるため、顧客環境３００への攻撃があった場合に顧客環境３００で発生すると推定される挙動が正確に記述される。

顧客環境ログ生成部１３０は、ログ取得部及びログ変換部に相当する。また、顧客環境ログ生成部１３０により行われる処理は、ログ取得処理及びログ変換処理に相当する。

次に、模擬環境ログ生成部１１０の内部構成例を説明する。
図５は、模擬環境ログ生成部１１０の内部構成例を示す。

攻撃ログ生成部１１１は、攻撃ログ１１５を生成する。攻撃ログ１１５は、模擬環境攻撃シナリオＤＢ５１０の模擬環境攻撃シナリオに沿った攻撃を模擬環境２００に実行した場合に模擬環境２００で生成されると想定されるログである。
つまり、攻撃ログ生成部１１１は、模擬環境攻撃シナリオＤＢ５１０及び模擬環境ＤＢ２１０を用いて、模擬環境攻撃シナリオに沿った攻撃を模擬環境２００に仮想的に実行する。そして、攻撃を受けた場合に模擬環境２００で発生すると推定される挙動（被攻撃挙動）が示される攻撃ログ１１５を生成する。
そして、攻撃ログ生成部１１１は、攻撃ログ１１５を差分抽出部１１３に出力する。

本実施の形態では、攻撃ログ生成部１１１は、攻撃ログ１１５として、プロキシログ、ファイルサーバログ及びＡＤログを生成するものとする。プロキシログ、ファイルサーバログ及びＡＤログの各々の間の時刻は同期しているものとする。なお、攻撃ログ生成部１１１は、これら以外のログを攻撃ログ１１５として生成することができる。

なお、攻撃ログ１１５には、後述する正常ログ１１７に含まれる挙動（正常挙動）が含まれる場合がある。つまり、攻撃ログ１１５に含まれる複数のレコードには、正常挙動が示されるレコードが含まれ得る。

また、攻撃ログ生成部１１１は、対応情報１１６を生成する。対応情報１１６は、攻撃ログ１１５と攻撃ステップとの対応関係を示す。
攻撃ログ生成部１１１は、顧客環境攻撃シナリオに含まれる攻撃ステップごとに攻撃ログ１１５を生成する。対応情報１１６は、複数の攻撃ログ１１５の各々が複数の攻撃ステップのいずれの攻撃ステップに対応するかを示す。
攻撃ログ生成部１１１は、対応情報１１６も差分抽出部１１３に出力する。

正常ログ生成部１１２は、正常ログ１１７を生成する。正常ログ１１７は、模擬環境２００が正常に動作している場合に模擬環境２００で生成されると想定されるログである。
つまり、正常ログ生成部１１２は、模擬環境２００への攻撃が行われてない場合に模擬環境２００で発生すると推定される挙動（正常挙動）が示される正常ログ１１７を生成する。正常ログ１１７に含まれる複数のレコードの各々には正常挙動が示される。
本実施の形態では、正常ログ生成部１１２は、正常ログ１１７として、プロキシログ、ファイルサーバログ及びＡＤログを生成するものとする。プロキシログ、ファイルサーバログ及びＡＤログの各々の間の時刻は同期しているものとする。
正常ログ生成部１１２は、生成した正常ログ１１７を差分抽出部１１３に出力する。

差分抽出部１１３は、攻撃ログ１１５と正常ログ１１７とを比較し、タイムスタンプ、プロセスＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）のような、処理の実行の度に変化する値を除いて、攻撃ログ１１５と正常ログ１１７との差分を抽出する。具体的には、差分抽出部１１３は、攻撃ログ１１５の複数のレコードのうち正常ログ１１７のレコードと異なるレコードを抽出する。
そして、差分抽出部１１３は、抽出したレコードの集合を差分抽出ログ１１８としてログ構成部１１４に出力する。

また、差分抽出部１１３は、対応情報１１６を修正して対応情報１１９を生成し、対応情報１１９を差分抽出部１１３に出力する。
対応情報１１６は、攻撃ステップと攻撃ログ１１５との対応関係を示す。差分抽出部１１３は、対応情報１１６を修正して、攻撃ステップと差分抽出ログ１１８との対応関係を示す対応情報１１９を生成する。

なお、差分抽出部１１３は、模擬環境２００上で学習された攻撃検知システム又は顧客環境ログ４３０を用いて評価される攻撃検知システムを利用して、攻撃ログ１１５と正常ログ１１７との差分を抽出してもよい。

ログ構成部１１４は、差分抽出ログ１１８から模擬環境ログ４１０を生成する。具体的には、ログ構成部１１４は、ログ構成情報５３０を参照して、差分抽出ログ１１８に含まれる顧客環境パラメータ値を抽象表現に置換する。顧客環境パラメータ値を抽象表現に置換した後の差分抽出ログ１１８が模擬環境ログ４１０に相当する。
また、ログ構成部１１４は、対応情報１１９を修正してステップ－ログ対応表４４０を生成する。
対応情報１１９は、攻撃ステップと差分抽出ログ１１８との対応関係を示す。ログ構成部１１４は、対応情報１１９を修正して、攻撃ステップと模擬環境ログ４１０との対応関係を示すステップ－ログ対応表４４０を生成する。

図６は、模擬環境ログ４１０の例を示す。模擬環境ログ４１０には、攻撃ステップごとに生成されたプロキシログ、ファイルサーバログ及びＡＤログが含まれる。なお、これら以外のログを模擬環境ログ４１０に含ませることができる。
「ａｄ＿ｌｏｇ」はＡＤログを意味し、「ｐｒｏｘｙ＿ｌｏｇ」はプロキシログを意味し、「ｆｉｌｅ＿ｌｏｇ」はファイルサーバログを意味する。

図７は、ステップ－ログ対応表４４０の例を示す。ステップ－ログ対応表４４０は、攻撃ステップと模擬環境ログ４１０との対応関係を示す。
ステップ－ログ対応表４４０には、攻撃ステップＩＤ、模擬環境ログＩＤ、ログ種別、模擬環境ログパス及び備考が含まれる。
攻撃ステップＩＤは、模擬環境攻撃シナリオの攻撃ステップを一意に識別可能な識別子である。
模擬環境ログＩＤは、模擬環境ログ４１０を一意に識別可能な識別子である。
ログ種別は、模擬環境ログ４１０の種別を表す。本実施の形態では、ログ種別としてＡＤログ、プロキシログ及びファイルサーバログが存在する。
模擬環境ログパスは、模擬環境ログ４１０へのファイルパスを示す。
備考には、模擬環境ログ４１０の参考情報が示される。

図７の例において、「攻撃ステップＩＤ：ａｔｔａｃｋ＿２＿ａ」の攻撃ステップでは、「ａｄ＿ｌｏｇ＿２＿ａ」と「ｐｒｏｘｙ＿ｌｏｇ＿２＿ａ」という２つの模擬環境ログ４１０が生成されている。このように、１つの攻撃ステップに対し２以上の模擬環境ログ４１０が生成される場合がある。

次に、顧客環境ログ生成部１３０の内部構成例を説明する。
図８は、顧客環境ログ生成部１３０の内部構成例を示す。

ログ組合せ部１３１は、模擬環境ログ４１０とステップ－ログ対応表４４０を取得する。
そして、ログ組合せ部１３１は、ステップ－ログ対応表４４０に従い、攻撃ステップごとに模擬環境ログ４１０を組み合わせる。つまり、ログ組合せ部１３１は、同じ攻撃ステップに対して２以上の模擬環境ログ４１０が生成されていれば、同じ攻撃ステップに対して生成された２以上の模擬環境ログ４１０を相互に関連付ける。図７の例では、「攻撃ステップＩＤ：ａｔｔａｃｋ＿２＿ａ」の攻撃ステップに対して、「ａｄ＿ｌｏｇ＿２＿ａ」と「ｐｒｏｘｙ＿ｌｏｇ＿２＿ａ」という２つの模擬環境ログ４１０が生成されている。このため、ログ組合せ部１３１は、これら２つの模擬環境ログ４１０を相互に関連付ける。
そして、ログ組合せ部１３１は組み合わせ後の模擬環境ログ４１０を組合せログ４５０としてパラメータ反映部１３２に出力する。なお、以下では、個々の組み合わせログ及び複数の組み合わせログの集合も組合せログ４５０と表記する。
ログ組合せ部１３１は、ログ取得部に相当する。また、ログ組合せ部１３１により行われる処理は、ログ取得処理に相当する。

パラメータ反映部１３２は、顧客環境攻撃シナリオ４２０、組合せログ４５０、ログ構成情報５３０及び指定パラメータ値５４０を取得する。
そして、パラメータ反映部１３２は、ログ構成情報５３０を参照して、各組合せログ４５０に含まれる抽象表現を顧客環境攻撃シナリオ４２０に含まれる顧客環境パラメータ値に置換する。パラメータ反映部１３２は、例えば、発信元ＩＰアドレスの抽象表現である「＃Ｓｒｃ＿ＩＰ＃」を、顧客環境パラメータ値である具体的なＩＰアドレス「ｘ．ｘ．ｘ．ｘ」に置換する。また、パラメータ反映部１３２は、例えば、宛先ドメインの抽象表現である「＃Ｄｅｓｔ＿ｄｏｍａｉｎ＃」を顧客環境パラメータ値である具体的なドメイン名「ｙｙｙ．ｚｚｚ．ｊｐ」に置換する。
組合せログ４５０内の抽象表現以外の記述と、顧客環境攻撃シナリオ４２０の顧客環境パラメータ値以外の記述は共通している。このため、パラメータ反映部１３２は、組合せログ４５０と顧客環境攻撃シナリオ４２０とを走査することで、組合せログ４５０内の抽象表現に対応する顧客環境パラメータ値を顧客環境攻撃シナリオ４２０から抽出することができる。
また、パラメータ反映部１３２は、組合せログ４５０に指定パラメータ値５４０を追加する。指定パラメータ値５４０は、例えば、攻撃ステップ間隔の値、ファイル名等である。
そして、パラメータ反映部１３２は、組合せログ４５０に含まれる抽象表現の顧客環境パラメータ値への置換と、指定パラメータ値５４０の模擬環境ログ４１０への追加とが行われた後の組合せログ４５０を顧客環境ログ４３０として出力する。

＊＊＊動作の説明＊＊＊
次に、図９を参照して、模擬環境ログ生成処理（ステップＳ１１０）の詳細を説明する。

先ず、ステップＳ１１１において、攻撃ログ生成部１１１が模擬環境攻撃シナリオＤＢ５１０と模擬環境ＤＢ２１０を参照し、模擬環境攻撃シナリオに従って模擬環境２００に仮想的に攻撃を実行し、攻撃ログ１１５を生成する。
なお、攻撃ログ生成部１１１は、模擬環境攻撃シナリオに記載の発信元ＩＰアドレス、ユーザ名等の情報をもとに攻撃の主体からのイベントに絞った攻撃ログ１１５を生成してもよい。
また、攻撃ログ生成部１１１は、対応情報１１６も生成する。
そして、攻撃ログ生成部１１１は、生成した攻撃ログ１１５と対応情報１１６を差分抽出部１１３に出力する。

次に、ステップＳ１１２において、正常ログ生成部１１２が模擬環境ＤＢ２１０を参照して、正常ログ１１７を生成する。正常ログ生成部１１２は、攻撃ログ生成部１１１による攻撃の実施前のクリーンな状態に模擬環境２００を戻した後に正常ログ１１７を生成する。
そして、正常ログ生成部１１２は正常ログ１１７を差分抽出部１１３に出力する。

なお、図９では、ステップＳ１１１の後にステップＳ１１２が行われることになっているが、ステップＳ１１２がステップＳ１１１の先に行われてもよい。
また、ステップＳ１１１とステップＳ１１２とが並行して行われてもよい。

次に、ステップＳ１１３において、差分抽出部１１３が差分抽出ログ１１８を生成する。
具体的には、差分抽出部１１３は、攻撃ログ１１５と正常ログ１１７とを比較し、タイムスタンプ、プロセスＩＤのような、処理の実行の度に変化する値を除いて、攻撃ログ１１５と正常ログ１１７との差分を抽出する。つまり、差分抽出部１１３は、攻撃ログ１１５の複数のレコードのうち正常ログ１１７のレコードと異なるレコードを抽出する。
そして、差分抽出部１１３は、抽出したレコードの集合を差分抽出ログ１１８としてログ構成部１１４に出力する。
また、差分抽出部１１３は、対応情報１１６から対応情報１１９を生成する。

次に、ステップＳ１１４において、ログ構成部１１４が、差分抽出ログ１１８から模擬環境ログ４１０を生成する。具体的には、ログ構成部１１４は、ログ構成情報５３０を参照して、差分抽出ログ１１８に含まれる顧客環境パラメータ値を抽象表現に置換する。
ログ構成部１１４は、例えば、発信元ＩＰアドレスの具体的記述（模擬環境パラメータ値）を「＃Ｓｒｃ＿ＩＰ＃」という抽象表現に変換する。また、ログ構成部１１４は、例えば、ＡＤサーバ名の具体的記述（模擬環境パラメータ値）を「＃ＡＤ＿Ｓｅｒｖｅｒ＃」という抽象表現に置換する。
また、差分抽出ログ１１８において同じ模擬環境パラメータ値が繰り返し出現する場合は、ログ構成部１１４は、それぞれの模擬環境パラメータ値を同じ抽象表現に置換する。例えば、差分抽出ログ１１８において発信元ＩＰアドレス「ｒ．ｒ．ｒ．ｒ」が繰り返し出現する場合は、それぞれを同じ抽象表現「＃Ｓｒｃ＿ＩＰ＃」に変換する。
また、差分抽出ログ１１８において同種のパラメータについて複数の異なる値が出現する場合は、同種のパラメータの出現順に変数に番号を付与する。例えば、差分抽出ログ１１８において発信元ＩＰアドレスとして「ｒ．ｒ．ｒ．ｒ」、「ｓ．ｓ．ｓ．ｓ」及び「ｔ．ｔ．ｔ．ｔ」が出現する場合を想定する。この場合は、ログ構成部１１４は、「ｒ．ｒ．ｒ．ｒ」、「ｓ．ｓ．ｓ．ｓ」及び「ｔ．ｔ．ｔ．ｔ」の各々を「＃Ｓｒｃ＿ＩＰ＿１＃」、「＃Ｓｒｃ＿ＩＰ＿２＃」及び「＃Ｓｒｃ＿ＩＰ＿３＃」と置換する。

また、ステップＳ１１５において、ログ構成部１１４は、対応情報１１９からステップ－ログ対応表４４０を生成する。
つまり、ログ構成部１１４は、対応情報１１９を修正して、攻撃ステップと模擬環境ログ４１０との対応関係を示すステップ－ログ対応表４４０を生成する。

その後、ログ構成部１１４は、模擬環境ログ４１０とステップ－ログ対応表４４０とを顧客環境ログ生成部１３０に出力する。

次に、図１０を参照して、ステップＳ１１３の詳細を説明する。

先ず、ステップＳ１１３１において、差分抽出部１１３は、正常ログ１１７のレコードごとに特徴を抽出する。差分抽出は、攻撃ログの中に正常ログのレコードが残っていないかを確認するための処理である。このため、差分抽出部１１３は、レコードごとに特徴を抽出する。差分抽出部１１３は、レコードごとに列（フィールド）を参照して特徴を抽出する。
抽出すべき特徴は正常ログ１１７の種類ごとに予め定義されているものとする。差分抽出部１１３は、正常ログ１１７の種類ごとに、予め定義されている特徴を抽出する。
正常ログ１１７がプロキシログであれば、差分抽出部１１３は、例えば、リクエストＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）、ステータスコード、受信サイズ及びユーザエージェントの特徴を正常ログ１１７（プロキシログ）から抽出する。

次に、ステップＳ１１３２において、差分抽出部１１３は、攻撃ログ１１５のレコードごとに特徴を抽出する。
差分抽出部１１３は、攻撃ログ１１５から、同種の正常ログ１１７と同じ特徴を抽出する。例えば、攻撃ログ１１５がプロキシログであれば、差分抽出部１１３は、正常ログ１１７と同様に、例えば、リクエストＵＲＬ、ステータスコード、受信サイズ及びユーザエージェントの特徴を攻撃ログ１１５（プロキシログ）から抽出する。

なお、図１０では、ステップＳ１１３１の後にステップＳ１１３２が行われることになっているが、ステップＳ１１３２がステップＳ１１３１の先に行われてもよい。
また、ステップＳ１１３１とステップＳ１１３２とが並行して行われてもよい。

次に、ステップＳ１１３３において、差分抽出部１１３は、攻撃ログ１１５のレコードごとに、差分抽出部１１３の各レコードとの間での特徴における類似度を計算する。
ステップＳ１１３３は、同種の正常ログ１１７と攻撃ログ１１５との間で行われる。つまり、プロキシログの攻撃ログ１１５のレコードごとに、プロキシログの正常ログ１１７の各レコードとの間の類似度が計算される。
具体的には、差分抽出部１１３は、コサイン距離、ユークリッド距離等の手法により類似度を計算する。ドメインなどの文字列の場合は、差分抽出部１１３は、ＢｏＷ（Ｂａｇ ｏｆ Ｗｏｒｄｓ）などの手法で文字列を数値表現に変換した上で、類似度を計算する。

次に、ステップＳ１１３４において、差分抽出部１１３は、正常ログ１１７のいずれかのレコードとの類似度が閾値以上である攻撃ログ１１５のレコードを当該攻撃ログ１１５から除外する。
差分抽出部１１３は、ステップＳ１１３４を、攻撃ログ１１５の各レコードに対して行う。

ステップＳ１１３４において閾値以上の類似度のレコードが除外された後の攻撃ログ１１５、すなわち、正常ログ１１７のレコードと類似していないレコードで構成されるログが差分抽出ログ１１８に相当する。

次に、図１１を参照して、ステップＳ１１４の詳細を説明する。

先ず、ステップＳ１１４１において、ログ構成部１１４は、ログ構成情報５３０に定義されている模擬環境パラメータ値（定義パラメータ値）を差分抽出ログ１１８から抽出する。
つまり、ログ構成部１１４は、ログ構成情報５３０において抽象表現に置換することが定義されている模擬環境パラメータ値を定義パラメータ値として差分抽出ログ１１８から抽出する。

次に、ステップＳ１１４２において、ログ構成部１１４は、定義パラメータ値を抽象表現に置換する。
前述したように、差分抽出ログ１１８において同じ定義パラメータ値が繰り返し出現する場合は、ログ構成部１１４は、それぞれの定義パラメータ値を同じ抽象表現に変換する。また、差分抽出ログ１１８において同種のパラメータについて複数の異なる値が出現する場合は、同種のパラメータの出現順に変数に番号を付与する。

次に、ステップＳ１１４３において、ログ構成部１１４は、ログ構成情報５３０に定義されていない模擬環境パラメータ値であって顧客環境ログ４３０に含まれているパラメータ値（非定義パラメータ値）を差分抽出ログ１１８から抽出する。
つまり、ログ構成部１１４は、ログ構成情報５３０に定義されていないが抽象表現に置換すべき模擬環境パラメータ値を非定義パラメータ値として差分抽出ログ１１８から抽出する。

次に、ステップＳ１１４４において、ログ構成部１１４は、非定義パラメータ値を抽象表現に置換する。非定義パラメータ値の置換先の抽象表現はデフォルト値である。ログ構成部１１４は、非定義パラメータ値の出現順に、非定義パラメータ値の各々を、例えば、デフォルトの抽象表現「＃ｕｎｄｅｆｉｎｅｄ＿１＃」、「＃ｕｎｄｅｆｉｎｅｄ＿２＃」、「＃ｕｎｄｅｆｉｎｅｄ＿３＃」…のように置換する。

次に、ステップＳ１１４５において、ログ構成部１１４は、非定義パラメータ値と対応する抽象表現とをログ構成情報５３０に追加する。

次に、図１２を参照して、顧客環境ログ生成処理（ステップＳ１３０）の詳細を説明する。
なお、攻撃シナリオ生成処理（ステップＳ１２０）は、例えば、既存のアタックツリー自動生成技術を用いて実現可能であるため、詳細な説明は省略する。

先ず、ステップＳ１３１において、ログ組合せ部１３１が模擬環境ログ４１０を組み合わせて組合せログ４５０を生成する。
具体的には、ログ組合せ部１３１は、ステップ－ログ対応表４４０に従い、攻撃ステップごとに模擬環境ログ４１０を組み合わせる。つまり、ログ組合せ部１３１は、同じ攻撃ステップに対して生成された２以上の模擬環境ログ４１０を相互に関連付ける。

次に、ステップＳ１３２において、パラメータ反映部１３２が、組合せログ４５０を変換して顧客環境ログ４３０を生成する。
具体的には、パラメータ反映部１３２は、ログ構成情報５３０を参照して、組合せログ４５０に含まれる抽象表現を顧客環境攻撃シナリオ４２０に含まれる顧客環境パラメータ値に置換する。

次に、図１３を参照して、ステップＳ１３２の詳細を説明する。

先ず、ステップＳ１３２１において、パラメータ反映部１３２が組合せログ４５０の抽象表現を顧客環境パラメータ値に置換する。
つまり、パラメータ反映部１３２は、ログ構成情報５３０を参照して組合せログ４５０の抽象表現を識別する。そして、パラメータ反映部１３２は、識別した抽象表現に対応する位置にある顧客環境攻撃シナリオ４２０の顧客環境パラメータ値を特定する。更に、パラメータ反映部１３２は、特定した顧客環境パラメータ値で組合せログ４５０の抽象表現を置換する。
パラメータ反映部１３２は、これら動作を全ての組合せログ４５０の全ての抽象表現に対して行う。

次に、ステップＳ１３２２において、パラメータ反映部１３２は、指定パラメータ値５４０で指定されている攻撃ステップ間隔に合わせて組合せログ４５０のタイムスタンプの相対値を調整する。
つまり、指定パラメータ値５４０によって攻撃ステップの間隔（攻撃ステップ間隔）が指定されている場合に、パラメータ反映部１３２は、タイムスタンプ（相対値）を調整し、組合せログ４５０を調整後のタイムスタンプで再構成する。
指定パラメータ値５４０では、攻撃ステップごとに、攻撃ステップ間隔としてランダム値（平均値及び標準偏差が指定）又は固定値が指定されている場合がある。パラメータ反映部１３２は、指定パラメータ値５４０に攻撃ステップ間隔としてランダム値が指定されている場合は、該当する攻撃ステップに対応するレコード間の時間間隔を、指定されている平均値及び標準偏差に基づく乱数によって調整する。また、パラメータ反映部１３２は、指定パラメータ値５４０に攻撃ステップ間隔として固定値が指定されている場合は、該当する攻撃ステップに対応するレコード間の時間間隔を、指定されている固定値に従って調整する。

次に、ステップＳ１３２３において、パラメータ反映部１３２は、指定パラメータ値５４０で指定されている宛先ドメイン、送信ファイル名等を組合せログ４５０に反映させる。
指定パラメータ値５４０では、攻撃ステップごとの、宛先ドメイン、送信ファイル名、プロキシサーバ等が指定されている場合がある。これらが指定パラメータ値５４０で指定されている場合は、パラメータ反映部１３２は、組合せログ４５０の該当する項目を修正する。例えば、パラメータ反映部１３２は、攻撃ステップごとに、「＃Ｄｅｓｔ＿Ｄｏｍａｉｎ＃＝ｍａｌｉｃｉｏｕｓ．ｃｏｍ」、「＃Ｕｐｌｏａｄ＿ｆｉｌｅ＃＝ｃｏｎｆｉｄｅｎｔｉａｌ．ｄｏｃ」のように指定パラメータ値５４０で指定されている値を組合せログ４５０に反映させる。

次に、本実施の形態に係るログ処理装置１００の動作例を具体例を用いて説明する。

図１４は、模擬環境攻撃シナリオＤＢ５１０に蓄積されている模擬環境攻撃シナリオの例と、模擬環境攻撃シナリオに応じて模擬環境ログ生成部１１０で生成される模擬環境ログ４１０の例を示す。

図１４の模擬環境攻撃シナリオでは、模擬環境２００への攻撃ステップとして「初期侵入」、「内部調査」、「横展開」及び「機密送信」が定義されている。
模擬環境攻撃シナリオには、「初期侵入」、「内部調査」、「横展開」及び「機密送信」の各々での攻撃手順が記載されている。
模擬環境ログ４１０において、「Ｔ１」～「Ｔ１３」はそれぞれタイムスタンプを示す。図１５及び図１６においても、「Ｔ１」～「Ｔ１３」はそれぞれタイムスタンプを示す。模擬環境ログ４１０の「Ｔ１」～「Ｔ１３」に対応する各行が、模擬環境ログ４１０のレコードである。
模擬環境ログ４１０では、模擬環境攻撃シナリオの攻撃ステップに対して模擬環境２００で発生する挙動が各レコードに記載される。
また、図１４では、模擬環境攻撃シナリオの各攻撃ステップに対応する模擬環境ログ４１０が各攻撃ステップの下方に示される。図１４の例では、「初期侵入」に対して、模擬環境ログ生成部１１０はプロキシログを生成する。また、「内部調査」に対して、模擬環境ログ生成部１１０はＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）ログを生成する。また、「横展開」に対して、模擬環境ログ生成部１１０はＡＤログを生成する。また、「機密送信」に対して、模擬環境ログ生成部１１０はＡＤログ、ファイルサーバログ及びプロキシログを生成する。
図１４では、模擬環境ログ４１０において模擬環境パラメータ値は抽象表現に置換されている。図１４では、具体的には、「ＳＲＣ」、「ＤＳＴ１」、「ＤＳＴ２」等の下線を付している項目が抽象表現である。なお、図１４では、一部の項目において、説明の簡明化のために「同ネットワーク帯のマシンＭ（ＩＰアドレス）」、「ポートＰ」、「ファイルサーバＦＩＬＥ＿ＳＲＶ」、「ユーザＵｓｅｒ１」のように説明のための文言を追加している。実際の運用では、これらも「Ｍ」、「Ｐ」、「ＦＩＬＥ＿ＳＲＶ」、「ユーザＵｓｅｒ１」のような説明のための文言がない抽象表現で記述される。

図１５及び図１６は、顧客環境攻撃シナリオ４２０と模擬環境ログ４１０と顧客環境ログ４３０の例を示す。
図１５は、「初期侵入」、「内部調査」及び「横展開」についての顧客環境攻撃シナリオ４２０と模擬環境ログ４１０と顧客環境ログ４３０の例を示す。図１６は、「機密送信」についての顧客環境攻撃シナリオ４２０と模擬環境ログ４１０と顧客環境ログ４３０の例を示す。
図１５及び図１６の模擬環境ログ４１０は、図１４に示す模擬環境ログ４１０と同じである。

図１５及び図１６に示すように、パラメータ反映部１３２は、模擬環境ログ４１０の抽象表現（下線部分）を、顧客環境攻撃シナリオ４２０の顧客環境パラメータ値（下線部分）に置換している。
例えば、図１５において、模擬環境ログ４１０の「ＳＲＣ」は、顧客環境攻撃シナリオ４２０の「マシンＳＲＣ（１０．７４．５．２）」の「ＳＲＣ」に対応する。このため、パラメータ反映部１３２は、模擬環境ログ４１０の「ＳＲＣ」を顧客環境攻撃シナリオ４２０の「１０．７４．５．２」に置換している。同様に、模擬環境ログ４１０の「ＤＳＴ１」は顧客環境攻撃シナリオ４２０の「外部マシンＤＳＴ１（ｇｇｇ．ｃｏｍ）」に対応する。このため、パラメータ反映部１３２は、模擬環境ログ４１０の「ＤＳＴ１」を顧客環境攻撃シナリオ４２０の「ｇｇｇ．ｃｏｍ」に置換している。
この結果、模擬環境ログ４１０の「Ｔ１」の「ＳＲＣからＤＳＴ１へのＨｔｔｐＲｅｑ」は、顧客環境ログ４３０では、「１０．７４．５．２からｇｇｇ．ｃｏｍへのＨｔｔｐＲｅｑ」に置換されている。パラメータ反映部１３２は、模擬環境ログ４１０の他の抽象表現についても、顧客環境攻撃シナリオ４２０の対応する記述に示される顧客環境パラメータ値に置換している。
なお、図１５及び図１６では、指定パラメータ値５４０の顧客環境ログ４３０への反映は省略されている。

＊＊＊実施の形態の効果の説明＊＊＊
以上のように、本実施の形態によれば、顧客環境に悪影響を及ぼすことなく、顧客環境が攻撃を受けたときの顧客環境の挙動が示される顧客環境ログ４３０を得ることができる。
このため、本実施の形態によれば、顧客環境ログ４３０を解析することで、顧客環境３００をサイバー攻撃から防御するための攻撃検知システムを構築することができる。

なお、本実施の形態では、ログ構成部１１４が、模擬環境ログ４１０内の模擬環境パラメータ値を抽象表現に置換する例を説明した。ログ構成部１１４は、模擬環境ログ４１０内の模擬環境パラメータ値を抽象表現に置換しなくてもよい。つまり、ログ構成部１１４は、模擬環境パラメータ値が記述されている模擬環境ログ４１０を顧客環境ログ生成部１３０に出力してもよい。この場合は、ログ構成情報５３０には、抽象表現ではなく、模擬環境パラメータ値が記述されている。そして、パラメータ反映部１３２は、ログ構成情報５３０に従い、模擬環境ログ４１０内の模擬環境パラメータ値を対応する顧客環境パラメータ値に置換する。

実施の形態２．
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。

＊＊＊構成の説明＊＊＊
図１７は、本実施の形態に係るログ処理装置１００の機能構成例を示す。
図１７では、図３と比較して、パラメータ判定部１４０、設定変更部１５０、模擬環境サンプルログ６１０、顧客環境サンプルログ６２０、差分パラメータ値情報６３０、顧客環境ログ統計情報６４０、設定情報６５０及び差分デフォルト情報６６０が追加されている。
以下では、主にパラメータ判定部１４０、設定変更部１５０、模擬環境サンプルログ６１０、顧客環境サンプルログ６２０、差分パラメータ値情報６３０、顧客環境ログ統計情報６４０、設定情報６５０及び差分デフォルト情報６６０について説明する。
なお、本実施の形態に係るログ処理装置１００のハードウェア構成例は図４に示すとおりである。
パラメータ判定部１４０及び設定変更部１５０は、顧客環境ログ生成部１３０等と同様にプログラムで実現される。プロセッサ９０１がパラメータ判定部１４０及び設定変更部１５０の機能を実現するプログラムを実行して、以下に示すパラメータ判定部１４０及び設定変更部１５０の動作を行う。

パラメータ判定部１４０は、顧客環境ログ４３０に記述されていることが要求される顧客環境パラメータ値（以下、要求顧客環境パラメータ値という）に対応する抽象表現が模擬環境ログ４１０に記述されているか否かを判定する。要求顧客環境パラメータ値に対応する抽象表現とは、図１３に示すステップＳ１３２１における置換により要求顧客環境パラメータ値を顧客環境ログ４３０に含ませることができる抽象表現である。
なお、要求顧客環境パラメータ値は、要求実在環境パラメータ値に対応する。
より具体的には、パラメータ判定部１４０は、模擬環境サンプルログ６１０と顧客環境サンプルログ６２０とを取得する。そして、パラメータ判定部１４０は、模擬環境サンプルログ６１０には含まれないが顧客環境サンプルログ６２０に含まれるパラメータ値が存在するか否かを判定する。模擬環境サンプルログ６１０には含まれないが顧客環境サンプルログ６２０に含まれるパラメータ値が存在する場合は、パラメータ判定部１４０は、要求顧客環境パラメータ値に対応する抽象表現が模擬環境ログ４１０に記述されていないと判定する。そして、パラメータ判定部１４０は、模擬環境サンプルログ６１０には含まれないが顧客環境サンプルログ６２０に含まれるパラメータ値が、要求顧客環境パラメータ値として示される差分パラメータ値情報６３０を設定変更部１５０に出力する。

また、パラメータ判定部１４０は、顧客環境サンプルログ６２０に含まれるパラメータ値の統計値を算出し、算出した統計値が示される顧客環境ログ統計情報６４０を生成する。そして、パラメータ判定部１４０は、生成した顧客環境ログ統計情報６４０を設定変更部１５０に出力する。

模擬環境サンプルログ６１０は、模擬環境２００で得られるサンプルログである。模擬環境サンプルログ６１０は、例えば、過去に得られた正常ログ１１７である。
顧客環境サンプルログ６２０は、顧客環境３００で得られるサンプルログである。顧客環境サンプルログ６２０は、例えば、正常ログ１１７に対応する、顧客環境３００で過去に得られたログである。つまり、顧客環境サンプルログ６２０は、顧客環境３００が正常に動作している場合に顧客環境３００で生成されたログである。

差分パラメータ値情報６３０には、前述したように、模擬環境サンプルログ６１０には含まれないが顧客環境サンプルログ６２０に含まれるパラメータ値が要求顧客環境パラメータ値として示される。

顧客環境ログ統計情報６４０には、前述したように、顧客環境サンプルログ６２０に含まれるパラメータ値の統計値が示される。
パラメータ値がカテゴリデータである場合は、顧客環境ログ統計情報６４０には、統計値として、パラメータ値に含まれるユニークな文字列の出現頻度が示される。一方、パラメータ値が数値データである場合は、顧客環境ログ統計情報６４０には、統計値として、数値の平均値、分散等が示される。

設定変更部１５０は、パラメータ判定部１４０により要求顧客環境パラメータ値に対応する抽象表現が模擬環境ログ４１０に記述されていないと判定された場合に、要求顧客環境パラメータ値に対応する抽象表現が模擬環境ログ４１０に記述されるように模擬環境ログ４１０の設定を変更する。
つまり、設定変更部１５０は、差分パラメータ値情報６３０が出力された場合に、模擬環境ログ４１０の設定を変更する。より具体的には、設定変更部１５０は、顧客環境ログ統計情報６４０を参照して、模擬環境ログ４１０の設定を変更するための設定情報６５０を生成する。そして、設定変更部１５０は、生成した設定情報６５０を模擬環境ログ生成部１１０に出力する。設定情報６５０は、要求顧客環境パラメータ値に対応する抽象表現を模擬環境ログ４１０に記述するように模擬環境ログ生成部１１０に指示するコマンドである。

また、設定情報６５０では要求顧客環境パラメータ値に対応する抽象表現が模擬環境ログ４１０に記述されない場合には、設定変更部１５０は、顧客環境ログ生成部１３０に要求顧客環境パラメータ値の代替値を模擬環境ログ４１０（より正確には組合せログ４５０、以下も同様）に記述させる。具体的には、設定変更部１５０は、差分デフォルト情報６６０を顧客環境ログ生成部１３０に出力して、顧客環境ログ生成部１３０に要求顧客環境パラメータ値の代替値を模擬環境ログ４１０に記述させる。
差分デフォルト情報６６０は、要求顧客環境パラメータ値の代替値を模擬環境ログ４１０に記述するよう顧客環境ログ生成部１３０に指示するコマンドである。差分デフォルト情報６６０には、顧客環境ログ統計情報６４０に示される統計値に基づいて算出された代替値が示される。

本実施の形態では、模擬環境ログ生成部１１０は、設定情報６５０に従って、要求顧客環境パラメータ値に対応する抽象表現を模擬環境ログ４１０に記述する。

また、本実施の形態では、顧客環境ログ生成部１３０は、差分デフォルト情報６６０に従って、要求顧客環境パラメータ値の代替値を模擬環境ログ４１０に記述する。

図１８は、パラメータ判定部１４０の内部構成例を示す。

パラメータ値推定部１４１は、模擬環境サンプルログ６１０を解析し、模擬環境ログ４１０に含まれる模擬環境パラメータ値を推定する。そして、パラメータ値推定部１４１は、推定により得られた模擬環境パラメータ値を推定模擬環境パラメータ値６７０として差分抽出部１４２に出力する。
また、パラメータ値推定部１４１は、顧客環境サンプルログ６２０を解析し、顧客環境ログ４３０に含まれる顧客環境パラメータ値を推定する。そして、パラメータ値推定部１４１は、推定により得られた顧客環境パラメータ値を推定顧客環境パラメータ値６８０として差分抽出部１４２に出力する。
また、パラメータ値推定部１４１は、推定顧客環境パラメータ値６８０の統計値を算出し、算出した推定顧客環境パラメータ値６８０の統計値が示される顧客環境ログ統計情報６４０を生成する。そして、パラメータ値推定部１４１は、生成した顧客環境ログ統計情報６４０を設定変更部１５０に出力する。
パラメータ値推定部１４１は、前述したように、推定顧客環境パラメータ値６８０がカテゴリデータである場合は、統計値として、推定顧客環境パラメータ値６８０に含まれるユニークな文字列の出現頻度を算出する。一方、推定顧客環境パラメータ値６８０が数値データである場合は、パラメータ値推定部１４１は、統計値として、数値の平均値、分散等を算出する。

差分抽出部１４２は、推定模擬環境パラメータ値６７０と推定顧客環境パラメータ値６８０とを比較する。そして、パラメータ判定部１４０は、推定模擬環境パラメータ値６７０と異なる推定顧客環境パラメータ値６８０が存在する場合に、当該推定顧客環境パラメータ値６８０を要求顧客環境パラメータ値として抽出する。そして、パラメータ判定部１４０は、抽出した要求顧客環境パラメータ値が示される差分パラメータ値情報６３０を設定変更部１５０に出力する。

図１９は、設定変更部１５０の内部構成例を示す。

ログ調整部１５１は、差分パラメータ値情報６３０を取得する。そして、ログ調整部１５１は、差分パラメータ値情報６３０に示される全ての要求顧客環境パラメータ値に対応する抽象表現が模擬環境ログ生成部１１０により模擬環境ログ４１０に記述できるか否かを判定する。
そして、いずれかの要求顧客環境パラメータ値に対応する抽象表現が模擬環境ログ生成部１１０では模擬環境ログ４１０に記述できない場合は、ログ調整部１５１は、設定不可情報６９０をデフォルト値算出部１５２に出力する。設定不可情報６９０には、不可パラメータ値が示される。不可パラメータ値は、模擬環境ログ生成部１１０では模擬環境ログ４１０に抽象表現を記述することができない要求顧客環境パラメータ値である。そして、ログ調整部１５１は、模擬環境ログ生成部１１０で模擬環境ログ４１０に抽象表現を記述することができる要求顧客環境パラメータ値について設定情報６５０を生成する。そして、ログ調整部１５１は、生成した設定情報６５０を模擬環境ログ生成部１１０に出力する。
一方、全ての要求顧客環境パラメータ値に対応する抽象表現を模擬環境ログ生成部１１０で模擬環境ログ４１０に記述することができる場合は、ログ調整部１５１は、全ての要求顧客環境パラメータ値について設定情報６５０を生成する。そして、ログ調整部１５１は、生成した設定情報６５０を模擬環境ログ生成部１１０に出力する。
なお、ログ調整部１５１は、設定情報６５０においてどのような形式で模擬環境ログ生成部１１０に指示を行ってもよい。

デフォルト値算出部１５２は、顧客環境ログ統計情報６４０を取得する。また、デフォルト値算出部１５２は、ログ調整部１５１から設定不可情報６９０を取得した場合に、顧客環境ログ統計情報６４０に示される統計値に基づき不可パラメータ値の代替値（デフォルト値）を算出する。そして、デフォルト値算出部１５２は、算出した代替値が示される差分デフォルト情報６６０を生成する。
より具体的には、不可パラメータ値がカテゴリデータである場合は、デフォルト値算出部１５２は、顧客環境ログ統計情報６４０に示される、不可パラメータ値に含まれるユニークな文字列の出現頻度を用いて、不可パラメータ値の代替値を算出する。例えば、デフォルト値算出部１５２は、出現頻度の平均値と標準偏差から、「平均値±３×標準偏差」の頻度をランダムに選択する。そして、デフォルト値算出部１５２は、選択した頻度に対応するユニークな文字列を不可パラメータ値の代替値として設定する。例えば、デフォルト値算出部１５２は、図２８に例示するログのフィールド単位（符号２８３で示す範囲）でカテゴリデータ（例えば、ドメイン）のユニークな文字列の出現頻度（ｑｑｑｑｑｑ．ｃｏ．ｊｐ、ｇｇｇｇｇｇ．ｃｏ．ｊｐ等の出現頻度）を算出する。そして、デフォルト値算出部１５２は、出現頻度順にカテゴリデータをソートし、中央値から前後Ｘ件までの範囲にあるカテゴリデータをランダムに選択する。なお、Ｘの値はあらかじめ決めておく。
また、不可パラメータ値が数値データである場合は、デフォルト値算出部１５２は、例えば、顧客環境ログ統計情報６４０に示される、不可パラメータ値の平均値と標準偏差から、「平均値±３×標準偏差」の数値をランダムに選択する。例えば、デフォルト値算出部１５２は、図２８に例示するログのフィールド単位（符号２８１で示す範囲）で数値データの平均と標準偏差を算出し、その統計情報をもとに一様ランダムに代替値を生成する。
そして、デフォルト値算出部１５２は、選択した数値を不可パラメータ値の代替値として設定する。また、デフォルト値算出部１５２は、不可パラメータ値の代替値として、例えば固定値を設定してもよい。
デフォルト値算出部１５２は、差分デフォルト情報６６０を顧客環境ログ生成部１３０に出力する。
なお、デフォルト値算出部１５２は、差分デフォルト情報６６０においてどのような形式で顧客環境ログ生成部１３０に指示を行ってもよい。

図２０は、本実施の形態に係る模擬環境ログ生成部１１０を示す。
図２０では、図５と比較して、設定情報６５０が追加されている。設定情報６５０以外の要素は、図５に示したものと同じである。
本実施の形態では、ログ構成部１１４は、設定情報６５０で指示されている要求顧客環境パラメータ値に対応する抽象表現を差分抽出ログ１１８に追加する。この結果、模擬環境ログ４１０には、設定情報６５０で指示されている要求顧客環境パラメータ値に対応する抽象表現が記述される

図２１は、本実施の形態に係る顧客環境ログ生成部１３０を示す。
図２１では、図８と比較して、差分デフォルト情報６６０が追加されている。差分デフォルト情報６６０以外の要素は、図８に示したものと同じである。
本実施の形態では、パラメータ反映部１３２は、差分デフォルト情報６６０で指示されている不可パラメータ値の代替値を組合せログ４５０に追加する。この結果、顧客環境ログ４３０には、差分デフォルト情報６６０で指示されている不可パラメータ値の代替値が記述される。

＊＊＊動作の説明＊＊＊
図２２は、本実施の形態に係るログ処理装置１００の動作例を示す。
図２２では、ステップＳ１１０～ステップＳ１３０の前に、ステップＳ１４１～ステップＳ１５２が行われる。

ステップＳ１４１では、パラメータ値推定部１４１が、模擬環境パラメータ値と顧客環境パラメータ値を推定する。
より具体的には、パラメータ値推定部１４１は、模擬環境サンプルログ６１０を解析し、模擬環境ログ４１０に含まれる模擬環境パラメータ値を推定する。そして、パラメータ値推定部１４１は、推定により得られた模擬環境パラメータ値を推定模擬環境パラメータ値６７０として差分抽出部１４２に出力する。
また、パラメータ値推定部１４１は、顧客環境サンプルログ６２０を解析し、顧客環境ログ４３０に含まれる顧客環境パラメータ値を推定する。そして、パラメータ値推定部１４１は、推定により得られた顧客環境パラメータ値を推定顧客環境パラメータ値６８０として差分抽出部１４２に出力する。
また、パラメータ値推定部１４１は、推定顧客環境パラメータ値６８０の統計値を算出し、算出した推定顧客環境パラメータ値６８０の統計値が示される顧客環境ログ統計情報６４０を生成する。そして、パラメータ値推定部１４１は、生成した顧客環境ログ統計情報６４０を設定変更部１５０に出力する。

次に、ステップＳ１４２では、差分抽出部１４２が、模擬環境パラメータ値と顧客環境パラメータ値との差分を抽出する。
より具体的には、差分抽出部１４２は、推定模擬環境パラメータ値６７０と推定顧客環境パラメータ値６８０を比較する。そして、パラメータ判定部１４０は、推定模擬環境パラメータ値６７０と異なる推定顧客環境パラメータ値６８０（例えば、リファラー、ステータスコード等）が存在する場合に、当該推定顧客環境パラメータ値６８０を要求顧客環境パラメータ値として抽出する。そして、パラメータ判定部１４０は、抽出した要求顧客環境パラメータ値が示される差分パラメータ値情報６３０を設定変更部１５０に出力する。

ステップＳ１５１では、ログ調整部１５１が、模擬環境ログ生成部１１０の設定を変更する。
より具体的には、ログ調整部１５１は、差分パラメータ値情報６３０に示される全ての要求顧客環境パラメータ値に対応する抽象表現が模擬環境ログ生成部１１０により模擬環境ログ４１０に記述できるか否かを判定する。
そして、いずれかの要求顧客環境パラメータ値に対応する抽象表現が模擬環境ログ生成部１１０では模擬環境ログ４１０に記述できない場合は、ログ調整部１５１は、設定不可情報６９０をデフォルト値算出部１５２に出力する。そして、ログ調整部１５１は、模擬環境ログ生成部１１０で模擬環境ログ４１０に抽象表現を記述することができる要求顧客環境パラメータ値について設定情報６５０を生成する。そして、ログ調整部１５１は、生成した設定情報６５０を模擬環境ログ生成部１１０に出力する。
一方、全ての要求顧客環境パラメータ値に対応する抽象表現を模擬環境ログ生成部１１０で模擬環境ログ４１０に記述することができる場合は、ログ調整部１５１は、全ての要求顧客環境パラメータ値について設定情報６５０を生成する。そして、ログ調整部１５１は、生成した設定情報６５０を模擬環境ログ生成部１１０に出力する。

ステップＳ１５２では、デフォルト値算出部１５２が、不可パラメータ値の代替値（デフォルト値）を算出する。
より具体的には、デフォルト値算出部１５２は、顧客環境ログ統計情報６４０を取得する。また、デフォルト値算出部１５２は、ログ調整部１５１から設定不可情報６９０を取得する。そして、デフォルト値算出部１５２は、顧客環境ログ統計情報６４０に示される統計値に基づき不可パラメータ値の代替値を算出する。そして、デフォルト値算出部１５２は、算出した代替値が示される差分デフォルト情報６６０を生成する。
そして、デフォルト値算出部１５２は、差分デフォルト情報６６０を顧客環境ログ生成部１３０に出力する。

ステップＳ１１０では、模擬環境ログ生成部１１０が模擬環境ログ４１０を生成する。
ログ調整部１５１から設定情報６５０が出力されている場合は、模擬環境ログ生成部１１０は、設定情報６５０で示される要求顧客環境パラメータ値に対応する抽象表現が含まれるようにして模擬環境ログ４１０を生成する。
その他の模擬環境ログ生成部１１０の動作は、実施の形態１に示した通りである。

ステップＳ１２０は、実施の形態１に示した通りである。

ステップＳ１３０では、顧客環境ログ生成部１３０が顧客環境ログ４３０を生成する。
デフォルト値算出部１５２から差分デフォルト情報６６０が出力されている場合は、顧客環境ログ生成部１３０は、差分デフォルト情報６６０で示される不可パラメータ値の代替値が含まれるようにして顧客環境ログ４３０を生成する。
その他の顧客環境ログ生成部１３０の動作は、実施の形態１に示した通りである。

ここで、ステップＳ１４１の詳細を説明する。
なお、以下では、パラメータ判定部１４０が、模擬環境サンプルログ６１０において模擬環境パラメータ値を推定する例を説明する。しかしながら、以下の説明で模擬環境サンプルログ６１０を顧客環境サンプルログ６２０に、模擬環境パラメータ値を顧客環境パラメータ値に読み替えることで、パラメータ判定部１４０は、同様の手順にて、顧客環境サンプルログ６２０において顧客環境パラメータ値を推定することができる。
以下では、顧客環境パラメータ値の推定方法を説明する。

パラメータ判定部１４０は、模擬環境サンプルログ６１０のレコードごと特徴を抽出する。パラメータ判定部１４０は、ドメイン等のカテゴリデータが記載されているレコードの場合は、ＢｏＷなど適切な表現に変換して特徴を抽出する。
より具体的には、パラメータ判定部１４０は、以下により、検索及び推定を行う。

１．１レコード（行）は特定のセパレータ（例えば、スペースやカンマ）区切りの複数のフィールドから構成される。
２．パラメータ判定部１４０は、セパレータを目印にフィールドを抽出する。
３．パラメータ判定部１４０は、ログの全てのレコードから同じ列（フィールド）を抽出する。例えば、図２８に例示するログにおいて、符号２３１の範囲、符号２８２の範囲及び符号２８３の範囲の各々を、同じ列として抽出する。
４．同じ列が数字のみから構成される場合は、パラメータ判定部１４０は、該当する列のデータを数値データとして扱う。それ以外の場合は、パラメータ判定部１４０は、該当する列のデータをカテゴリデータとして扱う。
５．パラメータ判定部１４０は、カテゴリデータの場合、単語の頻度を抽出し、ＢｏＷなどの手法で文字列を数値表現に変換する。例えば、パラメータ判定部１４０は、「ｈｔｔｐ：／／ｙｙｙｙｙｙ．ｃｏ．ｊｐ」を、｛ｈｔｔｐ：１，ｙｙｙｙｙｙ：１，ｃｏ：１，ｊｐ：１｝により、（１１１１００００）に変換する。
６．次に、パラメータ判定部１４０は、変換により得られた数値表現（カテゴリデータの場合）及び数値データを同じ列単位（符号２８３の範囲）でマージして機械学習に入力し、列（フィールド）の種類を推定する。
なお、あらかじめ、フィールド（パラメータ値）が既知のログの列ごとのデータを使って、列の種類を分類する分類器を学習しておく。
受信サイズ等の数値データが記載されているレコードの場合は、パラメータ判定部１４０は、適宜データの標準化を行って特徴を抽出する。

次に、パラメータ判定部１４０は、抽出した特徴がどのようなパラメータ値であるかを、機械学習により生成された分類器を使って推定する。この分類器は、あらかじめ様々なログに含まれるパラメータ値を用いた教師有学習により得られた分類器である。教師有学習に用いられる分類アルゴリズムは、例えばランダムフォレストやニューラルネットワーク等である。

＊＊＊実施の形態の効果の説明＊＊＊
以上のように、本実施の形態によれば、模擬環境ログ４１０には含まれないが、顧客環境ログ４３０に含ませることが要求されるパラメータ値（要求顧客環境パラメータ値）を顧客環境ログ４３０に追加することができる。
このため、本実施の形態によれば、より実態に近い顧客環境のログを得ることができ、実施の形態１に比べてより有効な攻撃検知システムを構築することができる。

なお、以上では、パラメータ判定部１４０は、要求顧客環境パラメータ値に対応する抽象表現が模擬環境ログ４１０に記述されているか否かを判定する例を説明した。
しかし、実施の形態１で説明したように、抽象表現ではなく模擬環境パラメータ値が模擬環境ログ４１０に記述されている場合は、パラメータ判定部１４０は、要求顧客環境パラメータ値に対応する模擬環境パラメータ値が模擬環境ログ４１０に記述されているか否かを判定する。
この場合は、模擬環境ログ生成部１１０は、抽象表現ではなく、要求顧客環境パラメータ値に対応する模擬環境パラメータ値を模擬環境ログ４１０に追加する。

また、以上では、顧客環境ログ生成部１３０は、不可パラメータ値の代替値を組合せログ４５０に追加する例を説明した。
しかし、顧客環境ログ生成部１３０は、代替値ではなく、不可パラメータ値を組合せログ４５０に追加してもよい。

実施の形態３．
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。

＊＊＊構成の説明＊＊＊
図２３は、本実施の形態に係るログ処理装置１００の機能構成例を示す。
図２３では、図３と比較して、ログ統合部１６０、顧客環境正常ログ７１０、統合規則情報７２０及び顧客環境最終ログ７５０が追加されている。
以下では、主にログ統合部１６０、顧客環境正常ログ７１０、統合規則情報７２０及び顧客環境統合ログ７３０について説明する。
なお、本実施の形態に係るログ処理装置１００のハードウェア構成例は図４に示すとおりである。
ログ統合部１６０は、顧客環境ログ生成部１３０等と同様にプログラムで実現される。プロセッサ９０１がログ統合部１６０の機能を実現するプログラムを実行して、以下に示すログ統合部１６０の動作を行う。

ログ統合部１６０は、統合規則情報７２０を参照して、顧客環境ログ４３０と顧客環境正常ログ７１０とを統合する。
顧客環境正常ログ７１０は、顧客環境３００への攻撃が行われていない場合に顧客環境３００で発生すると推定される挙動が示される。顧客環境正常ログ７１０は、実在環境正常ログに相当する。
統合規則情報７２０には、ログ統合部１６０が顧客環境ログ４３０と顧客環境正常ログ７１０とを統合するための規則が示される。
統合規則情報７２０には、例えば、顧客環境正常ログ７１０のフォーマットに合わせて顧客環境ログ４３０のフォーマットを変換するとの規則が示される。

また、ログ統合部１６０は、統合後のログのレコードを破壊事象に基づいて修正する。以下では、ログ統合部１６０による統合後のログを顧客環境統合ログ７３０という。顧客環境統合ログ７３０は、実在環境統合ログに相当する。

前述したように、顧客環境３００には、ＰＣ、プロキシサーバ装置、ＡＤサーバ装置、ファイルサーバ装置、内部ネットワーク、ファイル、ユーザ等の複数のシステム構成要素が含まれる。以下では、システム構成要素をオブジェクトという。
顧客環境統合ログ７３０には、顧客環境３００が攻撃を受けた場合のログである顧客環境ログ４３０が含まれている。このため、顧客環境統合ログ７３０には、いずれかのオブジェクトが破壊される事象である破壊事象が記述されている。一方で、顧客環境統合ログ７３０には、顧客環境３００が攻撃を受けていない場合のログである顧客環境正常ログ７１０も含まれている。このため、破壊事象の発生後の顧客環境統合ログ７３０の記述のうち、顧客環境正常ログ７１０の部分では、破壊事象の対象のオブジェクト（以下、破壊オブジェクトという）が破壊されていないことを前提とする記述になっている。つまり、顧客環境統合ログ７３０には、破壊事象が発生して破壊オブジェクトが破壊された後でも破壊オブジェクトが破壊されていない旨の記述が含まれている。
ログ統合部１６０は、破壊事象の発生後の顧客環境統合ログ７３０の記述を破壊オブジェクトが破壊されていることを前提とする記述に変更する。
なお、破壊オブジェクトは破壊システム構成要素に対応する。

ログ統合部１６０は、破壊事象の発生後の記述を変更した後の顧客環境統合ログ７３０を顧客環境最終ログ７５０として出力する。
顧客環境最終ログ７５０は、例えば、攻撃検知システムを構築する際の機械学習において学習データとして用いられる。

図２４は、ログ統合部１６０の内部構成例を示す。

統合処理部１６１は、統合規則情報７２０に従って、顧客環境ログ４３０と顧客環境正常ログ７１０を統合する。
統合処理部１６１は、例えば、顧客環境正常ログ７１０のフォーマットに合わせて顧客環境ログ４３０のフォーマットを変換した後、顧客環境正常ログ７１０と顧客環境ログ４３０を統合する。
統合処理部１６１は、時系列に沿って顧客環境ログ４３０と顧客環境正常ログ７１０を統合する。
そして、統合処理部１６１は、統合により得られた顧客環境統合ログ７３０を破壊情報生成部１６２とレコード修正部１６３に出力する。

破壊情報生成部１６２は、顧客環境統合ログ７３０を解析し、顧客環境統合ログ７３０から破壊事象を抽出する。そして、破壊情報生成部１６２は、抽出した破壊事象の詳細が示される破壊情報７４０を生成する。そして、破壊情報生成部１６２は、生成した破壊情報７４０をレコード修正部１６３に出力する。
図２７は、破壊情報７４０の例を示す。図２７の詳細は後述する。

レコード修正部１６３は、破壊情報７４０に従って、破壊事象の発生後の顧客環境統合ログ７３０のレコードを破壊オブジェクトが破壊されていることを前提とするレコードに修正する。
そして、レコード修正部１６３は、レコード修正後の顧客環境統合ログ７３０を顧客環境最終ログ７５０として出力する。

＊＊＊動作の説明＊＊＊
図２４は、本実施の形態に係るログ処理装置１００の動作例を示す。
具体的には、図２４は、ログ統合部１６０の動作例を示す。

先ず、ステップＳ１６１において、統合処理部１６１が、統合規則情報７２０に従って、顧客環境ログ４３０と顧客環境正常ログ７１０を統合する。そして、統合処理部１６１は、顧客環境統合ログ７３０を破壊情報生成部１６２とレコード修正部１６３に出力する。

次に、ステップＳ１６２おいて、破壊情報生成部１６２が、破壊情報７４０を生成する。
先ず、破壊情報生成部１６２は、顧客環境統合ログ７３０を解析し、顧客環境統合ログ７３０から破壊事象を抽出する。
具体的には、破壊情報生成部１６２は、複数の顧客環境統合ログ７３０のうち、破壊が行われる攻撃ステップに対応する顧客環境統合ログ７３０を選択し、選択した顧客環境統合ログ７３０を解析する。破壊が行われる攻撃ステップは、例えば、マシンクラッシュ、ファイル削除、パスワード変更、ファイル暗号化等の攻撃ステップである。
そして、破壊情報生成部１６２は、選択した顧客環境統合ログ７３０内で顧客環境３００のいずれかのオブジェクトを破壊する破壊行為を破壊事象として抽出する。
破壊事象として抽出する破壊行為は事前に例えばログ処理装置１００の管理者が定義しておく。
そして、破壊情報生成部１６２は、例えば、図２７に示す破壊情報７４０を生成する。

図２７において、「破壊時刻」は、破壊事象が発生した時刻を示す。また、「破壊オブジェクトの種類」には、破壊オブジェクトの種類が示される。また、「破壊オブジェクトの識別情報」は、破壊オブジェクトを一意に識別可能な識別情報を示す。また、「破壊タイプ」は、破壊行為の種類を示す。また、「復旧時間」は、破壊オブジェクトの復旧に要する時間を示す。
「破壊タイプ」がファイル削除の場合は、「破壊オブジェクトの識別情報」には、削除されたファイルのファイルパスが示される。「破壊タイプ」がマシンクラッシュの場合は、「破壊オブジェクトの識別情報」には、クラッシュしたマシンのＩＰアドレスが示される。また、「破壊タイプ」がパスワード変更の場合は、「破壊オブジェクトの識別情報」には、パスワードが変更されたユーザのＩＤが示される。

最後に、ステップＳ１６３において、レコード修正部１６３が、破壊情報７４０に示される破壊時刻ごとに、顧客環境統合ログ７３０内の破壊時刻の後のレコードを修正する。
ステップＳ１６３の詳細は後述する。

以上により、レコード修正部１６３は、破壊事象の発生後の顧客環境統合ログ７３０のレコードを破壊オブジェクトが破壊されていることを前提とするレコードに修正する。そして、レコード修正部１６３は、レコード修正後の顧客環境統合ログ７３０を顧客環境最終ログ７５０として出力する。

次に、図２６を参照して、ステップＳ１６３の詳細を説明する。
レコード修正部１６３は、図２６の処理を、図２７の破壊情報２４０のレコードごとに行う。

先ず、ステップＳ１６３１において、レコード修正部１６３は、顧客環境統合ログ７３０の破壊時刻の後の時刻のレコードであって、復旧時刻より前の時刻のレコードを選択する。
復旧時刻は、破壊情報７４０の「破壊時刻」に示される時刻に「復旧時間」に示される時間を加算して得られる時刻である。
なお、「復旧時間」が空欄になっている場合は、レコード修正部１６３は、破壊時刻の後の時刻の全てのレコードを選択する。

次に、ステップＳ１６３２において、レコード修正部１６３は、ステップＳ１６３１で選択したレコードのうち、主体が破壊オブジェクトであるレコードを削除する。
つまり、レコード修正部１６３は、ステップＳ１６３１で選択したレコードのうち、破壊情報７４０の「破壊オブジェクトの識別情報」で特定される破壊オブジェクトが挙動の主体であるレコードを顧客環境統合ログ７３０から削除する。破壊時刻から復旧時刻の間は、破壊オブジェクトが主体の挙動は発生し得ないため、レコード修正部１６３は、該当するレコードを削除する。

次に、ステップＳ１６３３において、レコード修正部１６３は、ステップＳ１６３１で選択したレコードのうち、客体が破壊オブジェクトであるレコードをエラー事象のレコードに修正する。
つまり、レコード修正部１６３は、ステップＳ１６３１で選択したレコードのうち、破壊情報７４０の「破壊オブジェクトの識別情報」で特定される破壊オブジェクトが挙動の客体であるレコードをエラー事象のレコードに修正する。破壊時刻から復旧時刻の間は、破壊オブジェクトが客体の挙動はエラー終了となるため、レコード修正部１６３は、該当するレコードをエラー事象のレコードに修正する。
レコード修正部１６３は、具体的には、該当するレコードを、破壊オブジェクトへのアクセス、破壊オブジェクトを対象とする認証処理等がエラー終了したことを示すレコードに修正する。

例えば、図２７の１行目について、レコード修正部１６３は、「破壊時刻：Ｔ１」より後の時刻のレコードであって「復旧時刻：Ｔ１＋ΔＴ１０」よりも前の時刻のレコードのうち、「破壊オブジェクトの識別情報：１９２．１６８．３．５」で特定される破壊オブジェクト（ＰＣ）が挙動の主体であるレコードを削除する。
例えば、レコード修正部１６３は、当該ＰＣが開始した通信が示されるレコードを削除する。

また、例えば、図２７の３行目では「復旧時間」が空欄である。このため、レコード修正部１６３は、「破壊時刻：Ｔ３」より後の時刻のレコードであって、「破壊オブジェクトの識別情報：Ｆｓ：／ｐｒｏｊｅｃｔ１／ｓｐｅｃ／ｓｅｃｒｅｔ＿ｓｐｅｃ．ｓｈｅｅｔ」で特定される破壊オブジェクト（ファイル）が挙動の客体である全てのレコードをエラー事象のレコードに変更する。
例えば、レコード修正部１６３は、当該ファイルへのアクセスが成功したことが示されるレコードを、アクセスエラーが発生したことを示すレコードに変更する。

＊＊＊実施の形態の効果の説明＊＊＊
以上のように、本実施の形態によれば、破壊事象の発生の後の顧客環境統合ログ７３０の記述を修正することができる。
このため、本実施の形態によれば、より実態に近い顧客環境のログを得ることができ、実施の形態１に比べてより有効な攻撃検知システムを構築することができる。

実施の形態４．
本実施の形態では、主に実施の形態１及び実施の形態２との差異を説明する。
なお、以下で説明していない事項は、実施の形態１及び実施の形態２と同様である。

＊＊＊構成の説明＊＊＊
図２９は、本実施の形態に係るログ処理装置１００の機能構成例を示す。
図２９では、図３と比較して、パラメータ判定部１４０、記述指示部１７０、模擬環境サンプルログ６１０、顧客環境サンプルログ６２０、差分パラメータ値情報６３０、顧客環境ログ統計情報６４０及び差分デフォルト情報８００が追加されている。
図２９において、パラメータ判定部１４０、模擬環境サンプルログ６１０、顧客環境サンプルログ６２０、差分パラメータ値情報６３０及び顧客環境ログ統計情報６４０は、実施の形態２で説明したものと同様である。
なお、本実施の形態では、パラメータ判定部１４０は、差分パラメータ値情報６３０及び顧客環境ログ統計情報６４０を記述指示部１７０に出力する。
また、本実施の形態では、模擬環境ログ生成部１１０は、差分デフォルト情報８００に従って、要求顧客環境パラメータ値の代替値を模擬環境ログ４１０に記述する。
本実施の形態に係るログ処理装置１００のハードウェア構成例は図４に示すとおりである。
記述指示部１７０は、顧客環境ログ生成部１３０等と同様にプログラムで実現される。プロセッサ９０１が記述指示部１７０の機能を実現するプログラムを実行して、以下に示す記述指示部１７０の動作を行う。

記述指示部１７０は、パラメータ判定部１４０により要求顧客環境パラメータ値に対応する抽象表現が模擬環境ログ４１０に記述されていないと判定された場合に、要求顧客環境パラメータ値の代替値を模擬環境ログ４１０に記述するように模擬環境ログ４１０の生成元である模擬環境ログ生成部１１０に指示する。
記述指示部１７０は、差分デフォルト情報８００を模擬環境ログ生成部１１０に出力することにより、要求顧客環境パラメータ値の代替値を模擬環境ログ４１０に記述するように模擬環境ログ生成部１１０に指示する。
記述指示部１７０は、差分パラメータ値情報６３０と顧客環境ログ統計情報６４０から差分デフォルト情報８００を生成する。

差分デフォルト情報８００は、要求顧客環境パラメータ値の代替値を模擬環境ログ４１０に記述するよう顧客環境ログ生成部１３０に指示するコマンドである。差分デフォルト情報８００には、顧客環境ログ統計情報６４０に示される統計値に基づいて算出された代替値が示される。

＊＊＊動作の説明＊＊＊
記述指示部１７０は、パラメータ判定部１４０から、差分パラメータ値情報６３０と顧客環境ログ統計情報６４０を取得する。実施の形態２で説明したように、差分パラメータ値情報６３０には、模擬環境サンプルログ６１０には含まれないが顧客環境サンプルログ６２０に含まれるパラメータ値が要求顧客環境パラメータ値として示される。また、顧客環境ログ統計情報６４０には、実施の形態２で説明したように、顧客環境サンプルログ６２０に含まれるパラメータ値の統計値が示される。

記述指示部１７０は、顧客環境ログ統計情報６４０に示される統計値に基づき要求顧客環境パラメータ値の代替値（デフォルト値）を算出する。そして、記述指示部１７０は、算出した代替値が示される差分デフォルト情報８００を生成する。
より具体的には、要求顧客環境パラメータ値がカテゴリデータである場合は、記述指示部１７０は、顧客環境ログ統計情報６４０に示される、要求顧客環境パラメータ値に含まれるユニークな文字列の出現頻度を用いて、代替値を算出する。例えば、記述指示部１７０は、出現頻度の平均値と標準偏差から、「平均値±３×標準偏差」の頻度をランダムに選択する。
そして、記述指示部１７０は、選択した頻度に対応するユニークな文字列を代替値として設定する。
より具体的には、記述指示部１７０は、実施の形態２において図２８を参照して説明した、不可パラメータ値がカテゴリデータである場合の代替値の設定手順と同様の手順で、要求顧客環境パラメータ値の代替値を設定する。
また、要求顧客環境パラメータ値が数値データである場合は、記述指示部１７０は、例えば、顧客環境ログ統計情報６４０に示される、要求顧客環境パラメータ値の平均値と標準偏差から、「平均値±３×標準偏差」の数値をランダムに選択する。
そして、記述指示部１７０は、選択した数値を要求顧客環境パラメータ値の代替値として設定する。また、記述指示部１７０は、要求顧客環境パラメータ値の代替値として、例えば固定値を設定してもよい。
より具体的には、記述指示部１７０は、実施の形態２において図２８を参照して説明した、不可パラメータ値が数値データである場合の代替値の設定手順と同様の手順で、要求顧客環境パラメータ値の代替値を設定する。
記述指示部１７０は、差分デフォルト情報８００を模擬環境ログ生成部１１０に出力する。
なお、記述指示部１７０は、差分デフォルト情報８００においてどのような形式で模擬環境ログ生成部１１０に指示を行ってもよい。

本実施の形態に係る模擬環境ログ生成部１１０は、差分デフォルト情報８００で指示されている要求顧客環境パラメータ値の代替値を差分抽出ログ１１８に追加する。この結果、模擬環境ログ４１０には、差分デフォルト情報８００で指示されている要求顧客環境パラメータ値の代替値が追加される。

＊＊＊実施の形態の効果の説明＊＊＊
以上のように、本実施の形態によれば、模擬環境ログ４１０には含まれないが、顧客環境ログ４３０に含ませることが要求されるパラメータ値（要求顧客環境パラメータ値）の代替値を模擬環境ログ４１０に追加することができる。
このため、本実施の形態によれば、より実態に近い顧客環境のログを得ることができ、実施の形態１に比べてより有効な攻撃検知システムを構築することができる。

以上、実施の形態１～４を説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
また、これらの実施の形態に記載された構成及び手順を必要に応じて変更してもよい。

＊＊＊ハードウェア構成の補足説明＊＊＊
最後に、ログ処理装置１００のハードウェア構成の補足説明を行う。
図４に示すプロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。
プロセッサ９０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。
図４に示す主記憶装置９０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
図４に示す補助記憶装置９０３は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。
図４に示す通信装置９０４は、データの通信処理を実行する電子回路である。
通信装置９０４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

また、補助記憶装置９０３には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がプロセッサ９０１により実行される。
プロセッサ９０１はＯＳの少なくとも一部を実行しながら、模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０、顧客環境ログ生成部１３０、パラメータ判定部１４０、設定変更部１５０、ログ統合部１６０及び記述指示部１７０の機能を実現するプログラムを実行する。
プロセッサ９０１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
また、模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０、顧客環境ログ生成部１３０、パラメータ判定部１４０、設定変更部１５０、ログ統合部１６０及び記述指示部１７０の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、主記憶装置９０２、補助記憶装置９０３、プロセッサ９０１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０、顧客環境ログ生成部１３０、パラメータ判定部１４０、設定変更部１５０、ログ統合部１６０及び記述指示部１７０の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記録媒体に格納されていてもよい。そして、模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０、顧客環境ログ生成部１３０、パラメータ判定部１４０、設定変更部１５０、ログ統合部１６０及び記述指示部１７０の機能を実現するプログラムが格納された可搬記録媒体を流通させてもよい。

また、模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０、顧客環境ログ生成部１３０、パラメータ判定部１４０、設定変更部１５０、ログ統合部１６０及び記述指示部１７０の「部」を、「回路」又は「工程」又は「手順」又は「処理」又は「サーキットリー」に読み替えてもよい。
また、ログ処理装置１００は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）である。
この場合は、模擬環境ログ生成部１１０、攻撃シナリオ生成部１２０、顧客環境ログ生成部１３０、パラメータ判定部１４０、設定変更部１５０、ログ統合部１６０及び記述指示部１７０は、それぞれ処理回路の一部として実現される。
なお、本明細書では、プロセッサと処理回路との上位概念を、「プロセッシングサーキットリー」という。
つまり、プロセッサと処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。

１００ ログ処理装置、１１０ 模擬環境ログ生成部、１１１ 攻撃ログ生成部、１１２ 正常ログ生成部、１１３ 差分抽出部、１１４ ログ構成部、１１５ 攻撃ログ、１１６ 対応情報、１１７ 正常ログ、１１８ 差分抽出ログ、１１９ 対応情報、１２０ 攻撃シナリオ生成部、１３０ 顧客環境ログ生成部、１３１ ログ組合せ部、１３２ パラメータ反映部、１４０ パラメータ判定部、１４１ パラメータ値推定部、１４２ 差分抽出部、１５０ 設定変更部、１５１ ログ調整部、１５２ デフォルト値算出部、１６０ ログ統合部、１６１ 統合処理部、１６２ 破壊情報生成部、１６３ レコード修正部、１７０ 記述指示部、２００ 模擬環境、２１０ 模擬環境ＤＢ、３００ 顧客環境、３１０ 顧客環境ＤＢ、４１０ 模擬環境ログ、４２０ 顧客環境攻撃シナリオ、４３０ 顧客環境ログ、４４０ ステップ－ログ対応表、４５０ 組合せログ、５１０ 模擬環境攻撃シナリオＤＢ、５２０ 攻撃ツールＤＢ、５３０ ログ構成情報、５４０ 指定パラメータ値、６１０ 模擬環境サンプルログ、６２０ 顧客環境サンプルログ、６３０ 差分パラメータ値情報、６４０ 顧客環境ログ統計情報、６５０ 設定情報、６６０ 差分デフォルト情報、６７０ 推定模擬環境パラメータ値、６８０ 推定顧客環境パラメータ値、６９０ 設定不可情報、７１０ 顧客環境正常ログ、７２０ 統合規則情報、７３０ 顧客環境統合ログ、７４０ 破壊情報、７５０ 顧客環境最終ログ、８００ 差分デフォルト情報、９０１ プロセッサ、９０２ 主記憶装置、９０３ 補助記憶装置、９０４ 通信装置。

Claims (15)

1. 実在するシステム環境である実在環境を模擬するが前記実在環境との間に差異が存在するシステム環境である模擬環境への攻撃が行われた場合に前記模擬環境で発生すると推定される挙動が示されるログである模擬環境ログを取得するログ取得部と、
   前記模擬環境と前記実在環境との間の差異を反映させて、前記模擬環境ログを、前記模擬環境への攻撃に対応する攻撃が前記実在環境に行われた場合に前記実在環境で発生すると推定される挙動が示されるログである実在環境ログに変換するログ変換部とを有するログ処理装置。
2. 前記ログ変換部は、
   前記模擬環境で用いられるパラメータ値である模擬環境パラメータ値と前記実在環境で用いられるパラメータ値である実在環境パラメータ値との間の差異を反映させて、前記模擬環境ログを前記実在環境ログに変換する請求項１に記載のログ処理装置。
3. 前記ログ取得部は、
   前記模擬環境パラメータ値及び前記模擬環境パラメータ値の抽象表現のいずれかが記述されている前記模擬環境ログを取得し、
   前記ログ変換部は、
   前記模擬環境ログに記述されている前記模擬環境パラメータ値及び前記抽象表現のいずれかを前記実在環境パラメータ値に置換して前記模擬環境ログを前記実在環境ログに変換する請求項２に記載のログ処理装置。
4. 前記ログ取得部は、
   前記模擬環境への攻撃に含まれる複数の攻撃ステップに対して生成された複数のログを複数の模擬環境ログとして取得し、
   前記ログ変換部は、
   前記複数の模擬環境ログを複数の実在環境ログに変換する請求項１に記載のログ処理装置。
5. 前記ログ取得部は、
   前記模擬環境で用いられるパラメータ値である模擬環境パラメータ値及び前記模擬環境パラメータ値の抽象表現のいずれかが各々に記述されている複数の模擬環境ログを取得し、
   前記ログ変換部は、
   各模擬環境ログに記述されている前記模擬環境パラメータ値及び前記抽象表現のいずれかを前記実在環境で用いられるパラメータ値である実在環境パラメータ値に置換して、前記複数の模擬環境ログを前記複数の実在環境ログに変換する請求項４に記載のログ処理装置。
6. 前記ログ取得部は、
   前記模擬環境への攻撃が行われた場合に前記模擬環境で発生すると推定される挙動である被攻撃挙動に前記模擬環境への攻撃が行われていない場合に前記模擬環境で発生すると推定される挙動である正常挙動が含まれる場合に、前記被攻撃挙動から前記正常挙動が除外された後の挙動が示されるログを前記模擬環境ログとして取得する請求項１に記載のログ処理装置。
7. 前記ログ処理装置は、更に、
   前記模擬環境への攻撃が行われた場合に前記模擬環境で発生すると推定される挙動である被攻撃挙動に前記模擬環境への攻撃が行われていない場合に前記模擬環境で発生すると推定される挙動である正常挙動が含まれる場合に、前記被攻撃挙動から前記正常挙動を除外し、前記被攻撃挙動から前記正常挙動が除外された後の挙動が示されるログを前記模擬環境ログとして生成する模擬環境ログ生成部を有し、
   前記ログ取得部は、
   前記模擬環境ログ生成部により生成された前記模擬環境ログを取得する請求項１に記載のログ処理装置。
8. 前記ログ変換部は、
   前記実在環境パラメータ値以外のパラメータ値が指定パラメータ値として指定された場合に、前記指定パラメータ値を前記模擬環境ログに反映させる請求項２に記載のログ処理装置。
9. 前記ログ処理装置は、更に、
   前記実在環境ログに記述されていることが要求される前記実在環境パラメータ値である要求実在環境パラメータ値に対応する前記模擬環境パラメータ値及び前記抽象表現のいずれかが前記模擬環境ログに記述されているか否かを判定するパラメータ判定部と、
   前記パラメータ判定部により前記要求実在環境パラメータ値に対応する前記模擬環境パラメータ値及び前記抽象表現のいずれかが前記模擬環境ログに記述されていないと判定された場合に、前記要求実在環境パラメータ値に対応する前記模擬環境パラメータ値及び前記抽象表現のいずれかが前記模擬環境ログに記述されるように前記模擬環境ログの設定を変更する設定変更部とを有する請求項３に記載のログ処理装置。
10. 前記ログ変換部は、
    前記設定変更部による前記模擬環境ログの設定変更では前記要求実在環境パラメータ値に対応する前記模擬環境パラメータ値及び前記抽象表現のいずれかが前記模擬環境ログに記述されない場合に、前記模擬環境ログに前記要求実在環境パラメータ値及び前記要求実在環境パラメータ値の代替値のいずれかを追加する請求項９に記載のログ処理装置。
11. 前記ログ処理装置は、更に、
    前記実在環境ログと、前記実在環境への攻撃が行われていない場合に前記実在環境で発生すると推定される挙動が示される実在環境正常ログとを統合するログ統合部を有する請求項１に記載のログ処理装置。
12. 前記実在環境には、複数のシステム構成要素が含まれており、
    前記ログ統合部は、
    前記複数のシステム構成要素のうちのいずれかのシステム構成要素が破壊される事象である破壊事象が前記実在環境ログと前記実在環境正常ログとの統合により得られた実在環境統合ログに記述され、前記破壊事象の発生の後の前記実在環境統合ログの記述が前記破壊事象の対象のシステム構成要素である破壊システム構成要素が破壊されていないことを前提とする記述である場合に、前記破壊事象の発生後の前記実在環境統合ログの記述を前記破壊システム構成要素が破壊されていることを前提とする記述に変更する請求項１１に記載のログ処理装置。
13. 前記ログ処理装置は、更に、
    前記実在環境ログに記述されていることが要求される前記実在環境パラメータ値である要求実在環境パラメータ値に対応する前記模擬環境パラメータ値及び前記抽象表現のいずれかが前記模擬環境ログに記述されているか否かを判定するパラメータ判定部と、
    前記パラメータ判定部により前記要求実在環境パラメータ値に対応する前記模擬環境パラメータ値及び前記抽象表現のいずれかが前記模擬環境ログに記述されていないと判定された場合に、前記要求実在環境パラメータ値の代替値を前記模擬環境ログに記述するように前記模擬環境ログの生成元に指示する記述指示部とを有する請求項３に記載のログ処理装置。
14. コンピュータが、実在するシステム環境である実在環境を模擬するが前記実在環境との間に差異が存在するシステム環境である模擬環境への攻撃が行われた場合に前記模擬環境で発生すると推定される挙動が示されるログである模擬環境ログを取得し、
    前記コンピュータが、前記模擬環境と前記実在環境との間の差異を反映させて、前記模擬環境ログを、前記模擬環境への攻撃に対応する攻撃が前記実在環境に行われた場合に前記実在環境で発生すると推定される挙動が示されるログである実在環境ログに変換するログ処理方法。
15. 実在するシステム環境である実在環境を模擬するが前記実在環境との間に差異が存在するシステム環境である模擬環境への攻撃が行われた場合に前記模擬環境で発生すると推定される挙動が示されるログである模擬環境ログを取得するログ取得処理と、
    前記模擬環境と前記実在環境との間の差異を反映させて、前記模擬環境ログを、前記模擬環境への攻撃に対応する攻撃が前記実在環境に行われた場合に前記実在環境で発生すると推定される挙動が示されるログである実在環境ログに変換するログ変換処理とをコンピュータに実行させるログ処理プログラム。

Images