JP7509318B2 - 抽出装置、抽出方法、および、抽出プログラム - Google Patents

Description

本発明は、攻撃の痕跡を示すログを抽出するための、抽出装置、抽出方法、および、抽出プログラムに関する。

近年、コンピュータフォレンジック調査において、攻撃の特徴を示すシグネチャを用いて、PC（Personal Computer）のログから攻撃の痕跡を示すログを抽出することが行われている（非特許文献１参照）。

Sigma-Generic Signatures for SIEM Systems、［2021年4月22日検索］、インターネット＜URL：https://www.slideshare.net/secret/gvgxeXoKblXRcA＞

しかし、従来のシグネチャを用いて攻撃の痕跡を示すログを抽出する方法は、攻撃以外の通常の操作で出力されるようなログが抽出されることもある。そこで、本発明は、前記した問題を解決し、攻撃の痕跡を精度よく抽出することを課題とする。

前記した課題を解決するため、本発明は、調査対象のコンピュータのログを収集するログ収集部と、コンピュータへの攻撃を示す複数のシグネチャを攻撃に特徴的な順序に並べたルールを参照して、前記収集したログから、前記ルールに示されるいずれかのシグネチャにマッチするログ群を抽出する第１の抽出部と、前記抽出されたログ群の各ログがマッチするシグネチャの時系列での並びと、前記ルールに示される複数のシグネチャの並びとの最長共通部分列が最長となるログ群を抽出する第２の抽出部と、前記最長共通部分列が最長となるログ群それぞれについて、前記ログ群において時系列で隣接する各ログ間の時刻差の分散値を算出する算出部と、前記算出した分散値が最小となるログ群における前記最長共通部分列を攻撃の候補として出力する出力処理部とを備えることを特徴とする。

本発明によれば、攻撃の痕跡を精度よく抽出することができる。

図１は、抽出装置の概要を説明するための図である。 図２は、抽出装置の概要を説明するための図である。 図３は、抽出装置の構成例を示す図である。 図４は、図３のルールに用いられるシグネチャの例を示す図である。 図５は、図３のルールの例を示す図である。 図６は、抽出装置の処理手順の例を示すフローチャートである。 図７は、抽出プログラムを実行するコンピュータの例を示す図である。

以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。本発明は以下に説明する実施形態に限定されない。

［概要］
まず、図１および図２を用いて、本実施形態の抽出装置の概要を説明する。まず、抽出装置は、事前にコンピュータへの攻撃を示す複数のシグネチャを、攻撃に特徴的な順序に並べたルール（図１の符号１０１参照）を用意しておく。

次に、抽出装置は、調査対象のコンピュータのログ群を時系列に並べ、ルールに示される各シグネチャにマッチするログ群（符号１０２参照）を抽出する。次に、抽出装置は、抽出したログ群のログがマッチするシグネチャの並びと、ルールに示されるシグネチャの並びとの最長共通部分列が最長となるログ群を抽出する（符号１０３～符号１０５参照）。

ここで、図１の符号１０３～符号１０５に示すように、ルールに示されるシグネチャの並びとの最長共通部分列が最長となるログ群が複数である場合、抽出装置は、ログ群それぞれについて、当該ログ群において時系列で隣接する各ログ間の時刻差の分散値を算出する。

例えば、抽出装置は、ルールに示されるシグネチャの並びとの最長共通部分列が最長となるログ群が、図２の符号１０３に示すログ群である場合、当該ログ群において時系列で隣接する各ログ間の時刻差は「2：00、1：00、3：00」である（符号２０１参照）。よって、抽出装置は、「2：00、1：00、3：00」の分散値を算出する。例えば、抽出装置は、「2：00、1：00、3：00」を秒に変換し、秒に変換した値（「120、60、180」）の分散値を算出する。

抽出装置は、上記の分散値の算出を、ルールに示されるシグネチャの並びとの最長共通部分列が最長となる他のログ群についても実行し、分散値が最小のログ群における最長共通部分列を攻撃の候補として出力する。例えば、図１の符号１０３～１０５に示すログ群のうち、符号１０３に示すログ群の分散値が最小である場合、抽出装置は、当該ログ群における最長共通部分列（シグネチャＡにマッチ→シグネチャＢにマッチ→シグネチャＣにマッチ→シグネチャＤにマッチ）を攻撃の痕跡の候補として出力する。

このような抽出装置によれば、調査対象のコンピュータのログから、ルールに示される一連のシグネチャとの最長共通部分列が最長となる一連の攻撃を、攻撃の候補として抽出することができる。これにより、抽出装置は、調査対象のコンピュータのログから、攻撃の痕跡の候補を精度よく抽出することができる。

［構成例］
次に、図３を用いて抽出装置１０の構成例を説明する。抽出装置１０は、入出力部１１と、記憶部１２と、制御部１３とを備える。

入出力部１１は、各種データの入出力を司るインタフェースである。例えば、入出力部１１は、調査対象となるコンピュータのログの入力を受け付けたり、攻撃の痕跡の候補を出力したりする。

記憶部１２は、ルールを記憶する。このルールは、コンピュータへの攻撃を示す複数のシグネチャを、攻撃に特徴的な順序に並べたものである（図１の符号１０１参照）。

シグネチャは、コンピュータが攻撃を受けた際に、当該コンピュータにより記録されるログの特徴を示したものである。例えば、シグネチャは、コンピュータにおけるマルウェアの動作を示したものである（図４参照）。

ルールは、例えば、図５に示すように、各シグネチャに対し、攻撃に特徴的な順序を示す値を付与することにより記述される。ここで各シグネチャに付与される順序を示す値は、同じ値のものがあってもよい。また、シグネチャの中に順序を示す値が付与されていないシグネチャがあってもよい。

図３の説明に戻る。また、記憶部１２はＤＢを備える。このＤＢには、ＤＢ登録部１３３により登録されたログ（調査対象のコンピュータのログを時系列で並べたもの）が記憶される。

制御部１３は、抽出装置１０全体の制御を司る。この制御部１３は、ログ収集部１３１と、時系列化部１３２と、ＤＢ登録部１３３と、ルール変換部１３４と、ＤＢ検索部（第１の抽出部）１３５と、抽出部（第２の抽出部）１３６と、判定部１３７と、算出部１３８と、絞り込み部（出力処理部）１３９とを備える。

ログ収集部１３１は、調査対象のコンピュータからログを収集する。例えば、ログ収集部１３１は、調査対象のコンピュータからイベントログ、レジストリ、ファイル操作履歴等を収集する。例えば、ログ収集部１３１は、CDIR-C（Cyber Defense Institute Incident Response Collector）等により、上記のログを収集する。

時系列化部１３２は、ログ収集部１３１により収集されたログを時系列に並べ替える。ＤＢ登録部１３３は、時系列化部１３２により時系列に並べ替えられたログをＤＢに登録する。

ルール変換部１３４は、ルールに記載されたシグネチャを、当該シグネチャにマッチするログを検索するための検索クエリに変換する。ＤＢ検索部１３５は、ルール変換部１３４により変換された検索クエリを用いて、ＤＢ内のログを検索する。つまり、ＤＢ検索部１３５は、ルールに示されるシグネチャにマッチするログ群をＤＢから抽出する。例えば、ＤＢ検索部１３５は、図１の符号１０１に示す各シグネチャにマッチするログ群を、ＤＢから抽出する（図１の符号１０２参照）。

図３の説明に戻る。抽出部１３６は、ＤＢ検索部１３５により検索されたログ群から、当該ログ群における各ログがマッチするシグネチャの時系列での並びに基づき、ルールに示されるシグネチャの並びとの最長共通部分列が最長となるログ群を抽出する。例えば、抽出部１３６は、図１の符号１０２に示すログ群から、図１の符号１０１に示すシグネチャの並びとの最長部分文字列が最長となるログ群を抽出する（図１の符号１０３～符号１０５参照）。

図３の説明に戻る。判定部１３７は、抽出部１３６により抽出された、最長共通部分列が最長となるログ群が複数あるか否かを判定する。判定部１３７により、最長共通部分列が最長となるログ群が複数あると判定された場合、算出部１３８は、最長共通部分列が最長となるログ群それぞれについて、当該ログ群において時系列で隣接する各ログ間の時刻差の分散値を算出する。

例えば、算出部１３８は、図１の符号１０３に示す、最長共通部分列が最長となるログ群について、当該ログ群において時系列で隣接する各ログ間の時刻差の分散値を算出する（図２の符号２０１参照）。また、算出部１３８は、図１の符号１０４，１０５に示すログ群についても同様に、当該ログ群において時系列で隣接する各ログ間の時刻差の分散値を算出する。

図３の説明に戻る。絞り込み部１３９は、攻撃の痕跡の候補の絞り込みを行う。例えば、絞り込み部１３９は、抽出部１３６により抽出された、最長共通部分列が最長となるログ群のうち、算出部１３８により算出された分散値が最も小さいログ群における最長共通部分列を、攻撃の痕跡の候補（攻撃の候補）として出力する。

なお、抽出部１３６により抽出された最長共通部分列が最長となるログ群が１つのみである場合、絞り込み部１３９は、抽出部１３６により抽出されたログ群における最長共通部分列を攻撃の候補として出力する。以上説明した抽出装置１０によれば、攻撃の候補を精度よく抽出することができる。

［処理手順の例］
次に、図６を用いて、抽出装置１０の処理手順の例を説明する。まず、ログ収集部１３１は、入出力部１１経由で、調査対象のコンピュータから処理対象のログを収集する（Ｓ１０１）。次に、時系列化部１３２は、Ｓ１０１で収集されたログを時系列に並べる（Ｓ１０２）。そして、ＤＢ登録部１３３は、Ｓ１０２で並べ替えられたログをＤＢに登録する（Ｓ１０３）。

また、ルール変換部１３４は、記憶部１２のルールを読み出し、当該ルールをＤＢのクエリに変換する（Ｓ１０４）。そして、ＤＢ検索部１３５は、Ｓ１０４で変換されたクエリでＤＢからログ群を抽出する（Ｓ１０５）。つまり、ＤＢ検索部１３５は、ルールに示されるシグネチャにマッチするログ群をＤＢから抽出する。

Ｓ１０５の後、抽出部１３６は、Ｓ１０５で抽出されたログ群から、当該ログ群を構成するログに対応するシグネチャの並びと、ルールに示されるシグネチャの並びとの最長共通部分列が最長となるログ群を抽出する（Ｓ１０６）。

Ｓ１０６の後、判定部１３７は、Ｓ１０６で抽出された最長共通部分列が最長となるログ群が複数あるか否かを判定し（Ｓ１０７）、複数ない場合（Ｓ１０７でＮｏ）、Ｓ１０６で抽出されたログ群における最長共通部分列を攻撃の候補として出力する（Ｓ１０８）。

一方、Ｓ１０７で、判定部１３７が、Ｓ１０６で抽出された最長共通部分列が最長となるログ群が複数あると判定した場合（Ｓ１０７でＹｅｓ）、算出部１３８は、Ｓ１０６で抽出されたログ群ごとに、当該ログ群の各ログ間の時刻差の分散値を算出する（Ｓ１０９）。そして、絞り込み部１３９は、Ｓ１０６で抽出されたログ群のうち、Ｓ１０９で算出した分散値が最小のログ群における最長共通部分列を、攻撃の候補として出力する（Ｓ１１０）。このようにすることで抽出装置１０は、攻撃の候補を精度よく抽出することができる。

[その他の実施形態]
なお、絞り込み部１３９は、ルールに示されるシグネチャの並びとの最長共通部分列が最長となるログ群における最長共通部分列を攻撃の候補として出力することとしたが、これに限定されない。例えば、絞り込み部１３９は、攻撃の候補として、上記の最長共通部分列のみならず、最長共通部分列が最長となるログ群（各ログの時刻情報を含む）も出力してもよい。このようにすることで、抽出装置１０のユーザは、攻撃の候補の内容を、より詳細に分析することができる。

また、前記した実施形態において、抽出装置１０は、コンピュータから取得したログを時系列に並べてから、ルールに示されるシグネチャの並びとの最長共通部分列が最長となるログ群を抽出することとしたがこれに限定されない。

例えば、抽出装置１０は、コンピュータから取得したログのうち、ルールに示されるいずれかのシグネチャにマッチするログ群を抽出した後、時系列に並べ替える。そして、抽出装置１０は、時系列に並べ替えたログがマッチするシグネチャの並びと、ルールに示されるシグネチャの並びとの最長共通部分列が最長となるログ群を抽出してもよい。

［システム構成等］
また、図示した各部の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、前記した実施形態において説明した処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
前記した抽出装置１０は、パッケージソフトウェアやオンラインソフトウェアとしてプログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記のプログラムを情報処理装置に実行させることにより、情報処理装置を抽出装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やPHS（Personal Handyphone System）等の移動体通信端末、さらには、PDA（Personal Digital Assistant）等の端末等がその範疇に含まれる。

また、抽出装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の処理に関するサービスを提供するサーバ装置として実装することもできる。この場合、サーバ装置は、Webサーバとして実装することとしてもよいし、アウトソーシングによって上記の処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。

図７は、抽出プログラムを実行するコンピュータの例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ROM（Read Only Memory）１０１１及びRAM（Random Access Memory）１０１２を含む。ROM１０１１は、例えば、BIOS（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、OS１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の抽出装置１０が実行する各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、抽出装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、SSD（Solid State Drive）により代替されてもよい。

また、上述した実施形態の処理で用いられるデータは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてRAM１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（LAN（Local Area Network）、WAN（Wide Area Network）等）を介して接続される他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０ 抽出装置
１１ 入出力部
１２ 記憶部
１３ 制御部
１３１ ログ収集部
１３２ 時系列化部
１３３ ＤＢ登録部
１３４ ルール変換部
１３５ ＤＢ検索部
１３６ 抽出部
１３７ 判定部
１３８ 算出部
１３９ 絞り込み部

Claims (7)

1. 調査対象のコンピュータのログを収集するログ収集部と、
   コンピュータへの攻撃を示す複数のシグネチャを攻撃に特徴的な順序に並べたルールを参照して、前記収集したログから、前記ルールに示されるいずれかのシグネチャにマッチするログ群を抽出する第１の抽出部と、
   前記抽出されたログ群の各ログがマッチするシグネチャの時系列での並びと、前記ルールに示される複数のシグネチャの並びとの最長共通部分列が最長となるログ群を抽出する第２の抽出部と、
   前記最長共通部分列が最長となるログ群それぞれについて、前記ログ群において時系列で隣接する各ログ間の時刻差の分散値を算出する算出部と、
   前記算出した分散値が最小となるログ群における前記最長共通部分列を攻撃の痕跡の候補として出力する出力処理部と
   を備えることを特徴とする抽出装置。
2. 前記最長共通部分列の長さは、
   前記ルールに示されるいずれかのシグネチャにマッチするログ群を時系列に並び替えたときのシグネチャの並びと、前記ルールに示される複数のシグネチャの並びとの最長共通部分列の長さ
   であることを特徴とする請求項１に記載の抽出装置。
3. 前記最長共通部分列が最長となるログ群が複数あるか否かを判定する判定部をさらに備え、
   前記判定部により、前記最長共通部分列が最長となるログ群が複数あると判定された場合、前記算出部は、前記最長共通部分列が最長となるログ群それぞれについて、前記ログ群において時系列で隣接する各ログ間の時刻差の分散値を算出する
   ことを特徴とする請求項１に記載の抽出装置。
4. 前記判定部により、前記最長共通部分列が最長となるログ群が複数ないと判定された場合、
   前記出力処理部は、前記最長共通部分列が最長となるログ群における前記最長共通部分列を攻撃の痕跡の候補として出力する
   ことを特徴とする請求項３に記載の抽出装置。
5. 前記出力処理部は、さらに、
   前記算出した分散値が最小となるログ群を出力する
   ことを特徴とする請求項１に記載の抽出装置。
6. 抽出装置により実行される抽出方法であって、
   調査対象のコンピュータのログを収集する工程と、
   コンピュータへの攻撃を示す複数のシグネチャを攻撃に特徴的な順序に並べたルールを参照して、前記収集したログから、前記ルールに示されるいずれかのシグネチャにマッチするログ群を抽出する工程と、
   前記抽出されたログ群の各ログがマッチするシグネチャの時系列での並びと、前記ルールに示される複数のシグネチャの並びとの最長共通部分列が最長となるログ群を抽出する工程と、
   前記最長共通部分列が最長となるログ群それぞれについて、前記ログ群において時系列で隣接する各ログ間の時刻差の分散値を算出する工程と、
   前記算出した分散値が最小となるログ群における前記最長共通部分列を攻撃の痕跡の候補として出力する工程と
   を含むことを特徴とする抽出方法。
7. 調査対象のコンピュータのログを収集する工程と、
   コンピュータへの攻撃を示す複数のシグネチャを攻撃に特徴的な順序に並べたルールを参照して、前記収集したログから、前記ルールに示されるいずれかのシグネチャにマッチするログ群を抽出する工程と、
   前記抽出されたログ群の各ログがマッチするシグネチャの時系列での並びと、前記ルールに示される複数のシグネチャの並びとの最長共通部分列が最長となるログ群を抽出する工程と、
   前記最長共通部分列が最長となるログ群それぞれについて、前記ログ群において時系列で隣接する各ログ間の時刻差の分散値を算出する工程と、
   前記算出した分散値が最小となるログ群における前記最長共通部分列を攻撃の痕跡の候補として出力する工程と
   をコンピュータに実行させるための抽出プログラム。

Images