JPWO2015141630A1 - 分析ルール調整装置、分析ルール調整システム、分析ルール調整方法および分析ルール調整プログラム - Google Patents

Abstract

ネットワークを介した不正な通信を検出するための通信ログの分析に用いる分析ルールを調整する分析ルール調整装置である。分析ルール調整装置は、ログ取得部と、ログ分析部と、第１の解析部と、を備える。ログ取得部は、防御対象ネットワークを介した通信ログと、マルウェアが発生させる通信ログとを取得する。ログ分析部は、ログ取得部が取得した通信ログを、所定の分析ルールとチューニング条件とに基づき分析する。第１の解析部は、ログ分析部による分析結果を解析して、所定の分析ルールの調整に用いる、チューニング条件を満たすチューニング推奨値を算出する。

Description

本発明は、分析ルール調整装置、分析ルール調整システム、分析ルール調整方法および分析ルール調整プログラムに関する。

通信ネットワークが普及するとともに、通信ネットワークを介した各種サービスやインフラストラクチャへのサイバー攻撃の手法は多様化している。

従来、かかるサイバー攻撃の脅威に対処するために設けられ、通信データの入り口で通信を制御するＩＤＳ（Intrusion Detection System）やＩＰＳ（Intrusion Prevention System）やファイアウォール（Fire Wall: FW）等のセキュリティアプライアンスが知られている。ファイアウォールやＩＤＳ／ＩＰＳはたとえば、図２０に示すように外部ネットワークから内部ネットワークに入来する情報を監視して不正な通信を防御している。

さらに、近年では、同じく図２０に示すように、ネットワークアプライアンスやセキュリティアプライアンスのログを収集して、分析ルールを用いて不正な通信の状態（振る舞い）を検出するルールベースの分析技術が知られている。かかる技術では、たとえば、不正なネットワークトラフィックを特定、分析して、不正な通信や挙動を検出するための分析ルールを作成する。そして、作成した分析ルールを用いて通信の振る舞いを監視し、不正な通信等を検出する。

分析ルールを用いた技術では、当該分析ルールに用いるパラメータや閾値によって検出結果が左右される。このため、誤検出を抑制する適正なパラメータや閾値を設定することが重要である。

中田 健介「ネットワークログ分析による不正通信検出手法」、電子情報通信学会、２０１３年総合大会

しかしながら、従来の分析ルールを用いた不正通信の検出技術では、分析ルールの妥当性の検証や分析ルールに用いるパラメータに設定する閾値の調整（パラメータチューニング）は、実際のネットワーク環境に基づいて実行されている。すなわち、実際のネットワーク環境に分析ルールを適用し、取得される結果を分析して、分析ルールの妥当性の検証やパラメータに設定する閾値の微調整を実行する。

かかる調整手法では、実際に不正な通信に当該分析ルールを適用した場合に生じうる見逃しや誤検出の程度が判断できない。このため、分析ルールのパラメータに最適な閾値を設定できない場合がある。

また、上記の手法では、オペレータが実際のネットワーク環境に分析ルールを適用した結果得られるデータを逐次確認しつつ分析ルールのパラメータに設定する閾値を調整する。このため、調整に時間や人手がかかる。

開示の技術は、上記に鑑みてなされたものであって、自動的かつ効率的に分析ルールの妥当性を検証し分析ルールを適正化することができる分析ルール調整装置、分析ルール調整システム、分析ルール調整方法および分析ルール調整プログラムを提供することを目的とする。

開示する分析ルール調整装置、分析ルール調整システム、分析ルール調整方法および分析ルール調整プログラムは、ネットワークを介した不正な通信を検出するための通信ログの分析に用いる分析ルールを調整するものであって、防御対象ネットワークを介した通信ログと、マルウェアが発生させる通信ログとを取得し、取得した通信ログを、所定の分析ルールとチューニング条件とに基づき分析し、当該分析結果を解析して、所定の分析ルールの調整に用いる、チューニング条件を満たすチューニング推奨値を算出することを特徴とする。

開示する分析ルール調整装置、分析ルール調整システム、分析ルール調整方法および分析ルール調整プログラムは、自動的かつ効率的に分析ルールの妥当性を検証し分析ルールを適正化することができるという効果を奏する。

図１は、第１の実施形態に係る分析ルール調整システムの概要を示す図である。 図２は、第１の実施形態に係る分析ルール調整システムが処理するログに含まれる情報を説明するための図である。 図３は、第１の実施形態に係る分析ルール調整システムが処理する良性ログの一例を示す図である。 図４は、第１の実施形態に係る分析ルール調整システムが処理する悪性ログの一例を示す図である。 図５は、第１の実施形態に係るログ収集蓄積装置により正規化されたログの一例を示す図である。 図６は、第１の実施形態に係る分析ルールの一例を説明するための図である。 図７は、第１の実施形態に係るチューニング設定情報の一例を説明するための図である。 図８は、第１の実施形態に係るログ分析の結果として得られる分析結果の一例を説明するための図である。 図９は、第１の実施形態に係るログ収集蓄積処理の流れの一例を示すフローチャートである。 図１０は、第１の実施形態に係る分析ルール調整処理の流れの一例を示すフローチャートである。 図１１は、第２の実施形態に係る分析ルール調整システムの概要を示す図である。 図１２は、第２の実施形態に係るログ分析の結果として得られる分析結果の一例を説明するための図である。 図１３は、第２の実施形態にかかるチューニングレポートの一例を説明するための図である。 図１４は、第２の実施形態にかかる分析ルール記憶部に記憶される分析ルールセットの一例を説明するための図である。 図１５は、第２の実施形態に係る分析ルール調整処理の流れの一例を示すフローチャートである。 図１６は、第２の実施形態に係る推奨ルールセット作成処理について説明するための図である。 図１７は、第３の実施形態に係る分析ルール調整システムの概要を示す図である。 図１８は、第３の実施形態に係る分析ルール調整処理の流れの一例を示すフローチャートである。 図１９は、分析ルール調整プログラムを実行するコンピュータを示す図である。 図２０は、従来技術に係る不正通信防御手法の一例を説明するための図である。

以下に、開示する装置および方法の実施形態を図面に基づいて詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。また、各実施形態は適宜組み合わせることができる。

（第１の実施形態）
第１の実施形態にかかる分析ルール調整システム１（図１参照）は、悪性ログおよび良性ログの２種類の通信ログを収集し、双方に対して所定の分析ルールを適用することで、当該分析ルールを用いた場合の不正通信の検出精度を算出する。そして、分析ルール調整システム１は、算出される検出精度が、予め定めた許容検出精度を満足する値となるまで、分析ルールのパラメータ閾値を推移させる。このとき、分析ルール調整システム１は、予め定められた閾値の範囲内でパラメータ閾値を推移させてもよい。分析ルール調整システム１は、検出精度が予め定めた条件、たとえば許容検出精度を満足する値となったときの分析ルールのパラメータの閾値をチューニング推奨値とする。そして、分析ルール調整システム１は、分析ルールをチューニング推奨値に基づいて更新する。なお、分析ルールとチューニング条件の設定によっては、分析ルール調整システム１による調整で条件を満たす分析ルールを得られないことも考えられる。この場合は、さらにオペレータが手動で再調整を行ってもよい。また、当該分析ルールは使用しないように設定してもよい。

［良性ログと悪性ログ］
分析ルールの調整に用いる悪性ログおよび良性ログについて説明する。まず、一般的なログの概要について説明する。

ログにはたとえば、図２に示すような情報が含まれる。図２は、第１の実施形態に係る分析ルール調整システム１が処理するログに含まれる情報を説明するための図である。図２に示すように、ログには、「タイムスタンプ」、「LogSource」、「送信元ＩＰアドレス」、「送信元ポート番号」、「宛先ＩＰアドレス」、「宛先ポート番号」等の情報が含まれる。また、ログには、「通信プロトコル名」、「判定結果」、「送信バイト数」、「受信バイト数」、「ＵＲＬ」、「メソッド名」、「UserAgent」、「ステータスコード」、「継続時間」、「通信方向」等の情報が含まれる。

図２に示すように、「タイムスタンプ」とは、当該ログが取得された時刻を示す情報である。また、「LogSource」とは、当該ログを記録したデバイスごとのユニークな識別子（ＩＤ：Identifier）である。「送信元ＩＰアドレス」とは、当該通信の送信元ＩＰアドレスを示す情報である。「送信元ポート番号」とは、当該通信の送信元ポート番号を示す情報である。「宛先ＩＰアドレス」とは、当該通信の宛先ＩＰアドレスを示す情報である。「宛先ポート番号」とは、当該通信の宛先ポート番号を示す情報である。「通信プロトコル名」とは、当該通信の通信プロトコル名を示す情報である。「判定結果」とは、当該通信のデバイスにおける判定結果を示す情報である。「送信バイト数」とは、当該通信の送信バイト数を示す情報である。「受信バイト数」とは、当該通信の受信バイト数を示す情報である。「ＵＲＬ」とは、当該通信がＨＴＴＰ通信だった場合の宛先ＵＲＬを示す情報である。「メソッド名」とは、当該通信がＨＴＴＰ通信だった場合のＨＴＴＰメソッド名を示す情報である。「UserAgent」とは、当該通信がＨＴＴＰ通信だった場合のＨＴＴＰユーザエージェント名である。「ステータスコード」とは、当該通信がＨＴＴＰ通信だった場合のＨＴＴＰステータスコードを示す情報である。「継続時間」とは、当該通信におけるセッション継続時間を示す情報である。「通信方向」とは、当該通信における通信の方向を示す情報である。

悪性ログおよび良性ログのいずれも、これらの情報の少なくとも一部を含む。ただし、図２に示す情報はログに含まれる情報の一例にすぎず、悪性ログおよび良性ログのいずれも、これらの情報のいくつかを含まなくてもよいし、図２に示す以外の情報を含んでもよい。

良性ログとは、実際に分析ルールを適用する防御対象ネットワークの通信ログである。具体的には、防御対象ネットワークのWeb Proxyに代表されるネットワークアプライアンスやＦＷ、ＩＤＳ、ＩＰＳに代表されるセキュリティアプライアンスから取得される通信ログおよび検査結果ログを指す。

図３は、第１の実施形態に係る分析ルール調整システム１が処理する良性ログの一例を示す図である。図３に示すように、良性ログはたとえば、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「ＵＲＬ」等の情報を含む。

悪性ログとは、別途マルウェアを準備しておき、当該マルウェアを動作させて外部ネットワークたとえばインターネット上のWebサーバ等との通信を発生させて得られる通信ログを指す。悪性ログも、良性ログと同様に、Web ProxyやＦＷ等の装置を通過させて収集する。

図４は、第１の実施形態に係る分析ルール調整システム１が処理する悪性ログの一例を示す図である。図４に示すように、悪性ログはたとえば、「マルウェア識別子」、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「ＵＲＬ」等の情報を含む。「マルウェア識別子」は、そのログに係るトラヒックを発生させている検体の種類を示す情報である。

従来技術においては、分析ルールを調整（チューニング）する際には、当該分析ルールを実際に制御対象とするネットワークの通信ログに適用して微調整を行っていた。しかし、このような手法を採用すると、検出精度の変化を正確に把握することができず、調整の精度を判定することが困難である。そこで、第１の実施形態にかかる分析ルール調整システム１では、実際に制御対象とするネットワークの通信ログである良性ログに分析ルールを適用して分析するだけでなく、悪性ログにも分析ルールを適用して分析を実行し、検出精度の正確な判定を実現する。

［分析ルールおよびパラメータ］
次に分析ルールおよびパラメータについて説明する。上述のように、分析ルールは、マルウェアの行う通信ログの分析に基づいて、不正な通信や挙動を検出するために作成され、通信の振る舞いの監視および不正な通信の検出に利用される。

たとえば、分析ルールとして、ＦＷのログに基づいて、5-tupleを中心としたレイヤ４までの情報を基に分析するＩＰルールを作成することができる。また、Web Proxyのログからは、ＨＴＴＰ通信に含まれるＵＲＬやＵＡ（UserAgent）の情報を基に分析を行うＨＴＴＰ系ルールを作成することができる。

具体的にはたとえば、マルウェアが攻撃者のサーバとの疎通確認のため定期的に同一条件の通信を複数行う点に着目して、一つの送信元ＩＰアドレスから一定数以上、同一条件の通信を行っている端末を検出する回数カウント型ルールがある。また、マルウェアが侵入先ネットワーク内の内部探索や、攻撃者のサーバとの間で疎通確認を行う際に通信条件の中で特定の項目のみを変化させて類似した通信を行う点に着目し、一つの送信元ＩＰアドレスから、特定項目におけるバリエーション数が一定数以上の通信を行っている端末を検出する種類カウント型ルールがある。さらに、一定の時間内でマルウェアが行う通信に頻出する特定項目の組み合わせや順序に着目し、そのパターンに類似した通信を行っている端末を検出するパターン型ルールがある。なお、このような分析ルールの種類は一例にすぎない。この他にも、マルウェアの行う通信から抽出した特徴に基づいて種々の分析ルールを作成することができる。

ここで、分析ルールにおいては、任意の送信元ＩＰアドレスにおいて所定の送信元ポート番号を用いた通信回数や、一定時間内の同一通信先へのコネクション回数等をパラメータとし、当該送信元ＩＰアドレスを持つ端末がマルウェアに感染していると判定するか否かを決めるための閾値を設定する。たとえば、任意の送信元ＩＰアドレスが行う通信の宛先ＩＰアドレスの中に悪性ログで頻出する宛先ＩＰアドレスの出現回数をパラメータとし、１時間に１０回を閾値として、当該宛先ＩＰアドレスが１時間に１０回以上現れた場合に不正通信として検出する、等の分析ルールの設定が考えられる。

［パラメータチューニングおよびチューニング条件］
このように設定した分析ルールを防御対象ネットワークに適用する際、パラメータチューニングを行う。パラメータチューニングとは、分析ルールのパラメータの閾値を適正に設定するための調整をいう。また、本実施の形態では、パラメータチューニングにおいて予めチューニング条件を定めておく。チューニング条件とはたとえば、「誤検出率の許容値を０．５％以下とする」、「閾値の調整は０．５間隔で行う」「閾値は１〜１００の範囲内とする」等である。分析ルール調整システム１は、チューニング条件に基づいてログの分析ルールをチューニングし分析ルールのパラメータの閾値を適正化する。

以下、上に説明した概念を前提として、実施形態について説明する。

［第１の実施形態に係る分析ルール調整システムの構成の一例］
図１は、第１の実施形態に係る分析ルール調整システム１の概要を示す図である。第１の実施形態に係る分析ルール調整システム１は、ログ収集蓄積装置１０と、分析ルール調整装置２０と、を備える。

分析ルール調整システム１は、たとえば、図２０に示すログ収集・分析装置と同様に、内部ネットワークに接続されて、通信の情報を収集、分析し、不正な通信を防御する。また、たとえば、分析ルール調整システム１は、ＩＰパケットやイーサネット（登録商標）フレームを伝送する外部ネットワークに接続され、通信のフィルタリングのためにWeb ProxyやＦＷを備えるものとする。ただし、分析ルール調整システム１自体は外部ネットワークに接続せず、外部ネットワークに接続される他の装置から悪性ログおよび良性ログのデータを取得するものとしてもよい。また、分析ルール調整システム１は、フロー計測技術を用いてネットワークの品質を管理する管理装置として実現してもよい。たとえば、分析ルール調整システム１は、レイヤ２ブリッジネットワークと、パケットを送受信する転送装置から構成されるレイヤ３ネットワークを監視し、品質の劣化を検出する管理装置等に組み入れて実現してもよい。

［ログ収集蓄積装置１０の構成］
ログ収集蓄積装置１０は、Web ProxyやＦＷ等の装置から悪性ログおよび良性ログを取り込み収集する。また、ログ収集蓄積装置１０は、収集した悪性ログおよび良性ログをそれぞれ正規化して格納する。

ログ収集蓄積装置１０は、ログ収集部１１０と、ログ正規化部１２０と、ログ記憶部１３０と、を有する。ログ収集部１１０は、Web ProxyやＦＷから悪性ログおよび良性ログを収集する。このとき、ログ収集部１１０は、予めログ取得部２１０（後述）やログ分析部２２０（後述）等からのコマンドを受けて、収集するログの形式や内容を選択するように設定されてもよい。また、ログ収集部１１０は予め定められた条件を満たすログのみを取得するように構成してもよい。たとえば、ログ収集部１１０は、所定期間内のタイムスタンプを有するログのみを取得するように構成してもよい。悪性ログおよび良性ログの２種類のログを取得できるように構成されれば、ログ収集部１１０の具体的態様は特に限定されない。

ログ正規化部１２０は、ログ収集部１１０が収集したログを整形して、後続処理に適した形式に整理する。たとえば、ログ正規化部１２０は、図２に示した項目ごとに情報を抽出し、図５に示すような形式にログを整理する。図５は、第１の実施形態に係るログ収集蓄積装置１０により正規化されたログの一例を示す図である。

ログ記憶部１３０は、ログ正規化部１２０が正規化したログを記憶する。たとえば、ログ記憶部１３０は、ＦＷ又はWeb Proxyを通過したパケットの5-tupleの情報（宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート、送信ポート及びプロトコル）や通信の接続時間、接続結果、パケットの送受信サイズ、アクセス先のＵＲＬの情報、タイムスタンプを含む情報が正規化されたログの情報を記憶する。

［分析ルール調整装置２０の構成］
分析ルール調整装置２０は、ログ収集蓄積装置１０が収集し蓄積したログに基づき、分析ルールを調整する。具体的には、分析ルール調整装置２０は、分析ルールのパラメータに設定する閾値を調整するパラメータチューニングを実行する。

分析ルール調整装置２０は、ログ取得部２１０と、ログ分析部２２０と、分析結果解析部２３０と、フィードバック部２４０と、を有する。また、分析ルール調整装置２０は、分析ルール記憶部２５１と、チューニング設定情報記憶部２５２と、分析結果記憶部２５３と、を有する。

ログ取得部２１０は、ログ収集蓄積装置１０のログ記憶部１３０に対して、ログデータ要求を送信する。そして、ログ取得部２１０は、ログ記憶部１３０からログを取得する。ログ取得部２１０がログデータ要求を送信するタイミングは特に限定されない。たとえば、ログ取得部２１０は、予め定めた時間が経過するごとにログデータ要求を送信するように設定してもよい。また、分析ルール調整システム１が外部からオペレータの指示入力を受けたときに、ログ取得部２１０がログデータ要求を送信するように構成してもよい。

ログ分析部２２０は、ログ取得部２１０が取得したログに対して所定の分析ルールおよびチューニング条件を適用して分析を行う。分析ルールは、分析ルール記憶部２５１、チューニング条件はチューニング設定情報記憶部２５２に記憶される（後述、図６、７参照）。

たとえば、ログ分析部２２０は、分析ルールとして、マルウェアに感染していると推定される端末の送信元ＩＰアドレスを検出する、というルールを適用する。たとえば、ログ分析部２２０は、５分間に同一の宛先ＩＰアドレスに対しての通信回数が「Ｘ」回を超える送信元ＩＰアドレスを持つ端末をマルウェアに感染している端末として検出する、という分析ルールを適用する。この分析ルールにおいては、ある送信元ＩＰアドレスにおける特定の宛先ＩＰアドレスに対する通信回数がパラメータであり、「Ｘ」が閾値である。

このとき、ログ分析部２２０が適用するチューニング条件が、「閾値は１０〜５０の範囲内とする」、「閾値の調整は２間隔で行う」、「誤検出率の許容値を０．５％とする」というものであったとする。この場合、ログ分析部２２０は、まず、閾値すなわち「Ｘ」を「１０」として分析ルールを適用してログを分析する。そして、ログ分析部２２０は、分析結果に基づき、良性ログについては誤検出率、悪性ログについては検出率を算出する。

ここで、誤検出率は、ログ分析部２２０が良性ログを分析して得た、分析ルールによって検出された送信元ＩＰアドレスの数を分子とし、当該良性ログに含まれる全送信元ＩＰアドレスの数を分母として得られる値である。また、検出率は、ログ分析部２２０が悪性ログを分析して得た、分析ルールによって検出された送信元ＩＰアドレスの数を分子とし、当該悪性ログに含まれる全送信元ＩＰアドレスの数を分母として得られる値である。なお、悪性ログに含まれる送信元ＩＰアドレスはすべて、マルウェアに感染した端末の持つ送信元ＩＰアドレスである。

ログ分析部２２０は、「Ｘ＝１０」の場合の誤検出率および検出率を算出すると、次に、上記チューニング条件に従い「Ｘ＝１２」の場合の誤検出率および検出率を算出する。そして、ログ分析部２２０は、「Ｘ」の値を２ずつずらしながら、予め定められた閾値の範囲すなわち「１０〜５０」の「Ｘ」について誤検出率と検出率とを算出する。ログ分析部２２０は、こうして得た分析結果を分析結果解析部２３０に出力する。また、分析結果は分析結果記憶部２５３に記憶される（後述、図８参照）。

分析結果解析部２３０は、ログ分析部２２０が出力した分析結果を解析して、チューニング条件をもっとも満足させる閾値を選択してチューニング推奨値として出力する。たとえば、図６乃至図８に示す例の場合、分析結果解析部２３０は、誤検出率が０．５％以下となる閾値のうち、検出率が最も高くなる閾値を選択する。分析結果解析部２３０によるチューニング推奨値の選択態様は特に限定されない。

フィードバック部２４０は、分析結果解析部２３０が選択したチューニング推奨値に基づき、分析ルール記憶部２５１に記憶された分析ルールの設定を更新する。たとえば、分析結果解析部２３０が「ルール番号、００１」の分析ルールについて、チューニング推奨値として「３０」を選択したとする。この場合、フィードバック部２４０は、分析結果解析部２３０からチューニング推奨値「３０」を受信する。そして、フィードバック部２４０は、受信したチューニング推奨値「３０」に基づいて分析ルール記憶部２５１中のデータを更新する。

なお、図示しないが、分析ルール調整システム１によって調整された分析ルールは、分析ルール調整システム１に接続された他の通信監視装置等によって、通信の振る舞いを分析するために利用される。また、分析ルールを利用してネットワークを監視する装置等を分析ルール調整システム１と一体的に構成してもよい。

［各種記憶部に記憶される情報］
分析ルール記憶部２５１と、チューニング設定情報記憶部２５２と、分析結果記憶部２５３と、はそれぞれ図６乃至図８に示すような情報を記憶する。

図６は、第１の実施形態に係る分析ルールの一例を説明するための図である。図６に示すような分析ルールの情報は、分析ルール記憶部２５１に記憶される。図６の例では、「ルール番号、００１」の分析ルールの内容が、「一つの宛先に対して一定期間で多数の通信を行っている送信元ＩＰアドレスを検出」することであることが示されている。また、「ルール番号、００１」の分析ルールは、「５分間の出現回数」をパラメータとして用いることが示されている。また、この時点でパラメータに対して適用されている「適用閾値」が「４０」であることが示されている。

図７は、第１の実施形態に係るチューニング設定情報の一例を説明するための図である。図７に示すようなチューニング条件（チューニング設定情報）の情報は、チューニング設定情報記憶部２５２に記憶される。図７の例では、「条件番号、００１」のチューニング設定情報として、「閾値は１０〜５０の範囲内とする」、「閾値の調整は２間隔で行う」、「誤検出率の許容値を０．５％以下とする」ことが記憶されている。また、この「条件番号、００１」のチューニング条件は、ルール番号「００１」の分析ルールに適用されることが示されている。

図８は、第１の実施形態に係るログ分析の結果として得られる分析結果の一例を説明するための図である。図８に示すような分析結果は、分析結果記憶部２５３に記憶される。図８の例では、「適用ルール番号、００１」かつ、「チューニング設定条件、００１」の場合の分析結果が示されている。すなわち、「ルール番号、００１」の分析ルールを用いて、チューニング条件のうち「条件番号、００１」のチューニング条件を適用した場合の分析結果が示されている。具体的には、分析ルールのパラメータである「５分間の出現回数」を「１０」、「１２」、「１４」等とした場合に算出される「誤検出率」および「検出率」が示されている。

なお、図６乃至図８には特定の分析ルール、チューニング条件および分析結果に合わせた形式で情報を示すが、他の形式で分析ルール、チューニング条件および分析結果を記憶してもよい。

また、図１に示す各種記憶部は、例えば、ハードディスク、光ディスクなどの記憶装置、または、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）などの半導体メモリ素子であり、分析ルール調整システム１において処理される各種データおよびプログラムなどを記憶する。なお、図１では、各記憶部はそれぞれ別の構成要素として図示するが、他の記憶部と統合してもよい。

［第１の実施形態におけるログ収集蓄積処理の流れの一例］
図９は、第１の実施形態に係るログ収集蓄積処理の流れの一例を示すフローチャートである。図９を参照して、第１の実施形態に係るログ収集蓄積処理の流れの一例について説明する。

まず、ログ収集蓄積装置１０のログ収集部１１０は、Web ProxyやＦＷから良性ログおよび悪性ログを取得する（ステップＳ９０１）。ログ収集部１１０は、収集したログを順次ログ正規化部１２０に渡す。ログ正規化部１２０は、収集されたログを後続処理に適した形式に整形する正規化を実行する（ステップＳ９０２）。正規化されたログはログ記憶部１３０に格納される（ステップＳ９０３）。これでログ収集蓄積処理は終了する。なお、ログ収集蓄積処理は継続的に実行され、逐次ログが蓄積されていくものとする。ただし、悪性ログを発生させるマルウェアの設定等に応じて、ログ分析部２２０や他の機能部から指示を受けることによってログ収集蓄積処理が開始し、指示によって特定された時刻に処理を終了するように構成してもよい。

［第１の実施形態における分析ルール調整処理の流れの一例］
図１０は、第１の実施形態に係る分析ルール調整処理の流れの一例を示すフローチャートである。図１０を参照し、第１の実施形態に係る分析ルール調整処理の流れの一例について説明する。

まず、分析ルール調整処理が開始すると、ログ取得部２１０がログ記憶部１３０に対してログデータ要求を送信する。ログ記憶部１３０は、ログデータ要求に応じてログをログ取得部２１０に送信する（ステップＳ１００１）。

ログ取得部２１０は受信したログをログ分析部２２０に渡す。ログ分析部２２０は、所定の分析ルールとチューニング条件に基づき、ログを分析する（ステップＳ１００２）。具体的には、ログ分析部２２０は、チューニング条件によって設定された閾値の範囲内でパラメータを推移させつつ、分析ルールによって不正な通信を検出する。ログ分析部２２０は、分析ルールによる不正な通信の検出を、良性ログおよび悪性ログのそれぞれについて実行する。次に、ログ分析部２２０は、すべての閾値についてログの分析が完了したか否かを判定する（ステップＳ１００３）。まだすべての閾値についてログの分析が完了していないと判定した場合（ステップＳ１００３、否定）、ログ分析部２２０は未分析の閾値を選択してさらにログ分析を続ける。すべての閾値についてログの分析が完了したと判定した場合（ステップＳ１００３、肯定）、ログ分析部２２０は、取得した分析結果を出力する（ステップＳ１００４）。

出力された分析結果は、分析結果解析部２３０に渡される。分析結果解析部２３０は、チューニング条件を参照しつつ、分析結果を解析し、チューニング推奨値を選択する（ステップＳ１００５）。たとえば、チューニング条件で「誤検出率０．５％以下」と指定されていれば、誤検出率が０．５％以下となる閾値のうち、検出率が最も高くなる閾値を選択する等である。

分析結果解析部２３０は選択したチューニング推奨値をフィードバック部２４０に送信する。フィードバック部２４０は、チューニング推奨値に基づき、分析ルール記憶部２５１に記憶された分析ルールの適用閾値を更新する（ステップＳ１００６）。これによって分析ルール調整処理が終了する。

［第１の実施形態の効果］
上記のように、第１の実施形態に係る分析ルール調整システム１は、ネットワークを介した不正な通信を検出するための通信ログの分析に用いる分析ルールを調整する。また、分析ルール調整システム１は、防御対象ネットワークを介した通信ログと、マルウェアが発生させる通信ログとを取得し正規化して格納するログ格納装置と、ログ格納装置に格納される通信ログを分析して分析ルールを調整する分析ルール調整装置と、を備える。分析ルール調整装置は、ログ格納装置から通信ログを取得するログ取得部と、ログ取得部が取得した通信ログを、所定の分析ルールとチューニング条件に基づき分析するログ分析部と、ログ分析部による分析結果を解析して、所定の分析ルールの調整に用いる、チューニング条件を満たすチューニング推奨値を算出する第１の解析部（分析結果解析部）と、を備える。このため、分析ルール調整システム１は、自動的かつ効率的に分析ルールの妥当性を検証し分析ルールを適正化することができる。

また、分析ルール調整システム１は、悪性ログおよび良性ログの双方に基づいて分析ルールを調整するため、より正確な誤検出率および検出率に基づいた調整を実現することができ、分析ルールを適正化することができる。また、分析ルール調整システム１は、検出率と誤検出率との相関関係を把握しながらパラメータチューニングを実行することができる。また、分析ルール調整システム１は、悪性ログを利用するため、分析ルールの妥当性の検証を精度高く実施することができる。

また、分析ルール調整システム１は、チューニング条件において定められた閾値範囲を分析対象として誤検出率および検出率を算出する。このため、不要な閾値範囲等については分析を行う必要がなく、処理を効率化することができる。また、分析する閾値の間隔についても、チューニング条件において設定することができるため、分析ルール調整システム１はさらに不要な処理の手間を省き、処理を効率化することができる。

また、分析ルール調整システム１は、分析結果解析部が算出するチューニング推奨値に基づき、所定の分析ルールを更新するフィードバック部をさらに備える。このため、分析ルール調整システム１は、良性ログおよび悪性ログの双方の分析結果にもとづいて算出したチューニング推奨値に基づき分析ルールを、対象ネットワークに適した内容とすることができる。このため、分析ルール調整システム１は、各ネットワークに適したより精度の高い分析ルールを作成することができる。

［第１の実施形態の変形例］
なお、上記第１の実施形態において、同時に複数の分析ルールのパラメータに設定する閾値を調整するようにしてもよい。また、たとえば、複数の分析ルールによる分析を並行して実行し、各々について誤検出率および検出率を算出して、最適な閾値を算出するようにしてもよい。この場合、分析ルール調整システム１は、並行して複数のチューニング推奨値を算出することになる。

本変形例のように、分析ルール調整システムは並行して複数の分析ルールのパラメータチューニングを実行することにより、さらに処理の効率を向上させることができる。

（第２の実施形態）
第１の実施形態にかかる分析ルール調整システム１は、所定の分析ルールおよびチューニング条件に基づいてログを分析し、分析結果を解析してチューニング推奨値を選択し、チューニング推奨値に基づいて分析ルールを更新した。これに対して、第２の実施形態にかかる分析ルール調整システム２は、複数の分析ルールおよびチューニング条件に基づいてログを分析した分析結果を取得し、複数の分析ルール間で調整を行う。すなわち、第２の実施形態にかかる分析ルール調整システム２は、分析ルールの組に含まれる各分析ルールに対するチューニング推奨値と、当該チューニング推奨値を適用した場合に検知される検体を識別する検体識別情報とを取得する。そして、第２の実施形態にかかる分析ルール調整システム２は、チューニング推奨値および検体識別情報に基づき、分析ルールセットに含まれる分析ルールを削減する調整を行い、分析ルールセットを更新する。なお、分析ルールセットとは、分析に使用する複数の分析ルールの組み合わせを指す。

第２の実施形態にかかる分析ルール調整システム２では、分析結果として、所定の分析ルールセットに含まれる各分析ルールおよびチューニング条件に基づいてログを分析して検知された検知検体を識別する情報である検体識別情報も出力する。検知検体とは、ログを分析した結果として検知されたマルウェアに感染した端末を指す。検体識別情報とはたとえば、ログを分析した結果として検知されたマルウェアに感染した端末の送信元ＩＰアドレスである。そして、分析ルール調整システム２は、所定の分析ルールセットに含まれる各分析ルールの検体識別情報を所定の条件に基づいて分析し、分析ルールセットに含まれる分析ルールの数を削減する。

たとえば、各分析ルールによって検知された検知検体を相互に比較し、他の分析ルールによって検知された検知検体と同じ検知検体しか検知していない分析ルールがあれば、分析ルール調整システム２は、当該分析ルールを分析ルールセットから除外する。またたとえば、分析ルール調整システム２は、分析ルールセット全体によって検知される検知検体中、検知している検体の割合が閾値より少ない分析ルールを分析ルールセットから除外する。

［第２の実施形態にかかる分析ルール調整システム２の構成の一例］
図１１は、第２の実施形態に係る分析ルール調整システム２の概要を示す図である。分析ルール調整システム２の構成は概ね、第１の実施形態に係る分析ルール調整システム１と同様である。以下の説明において、第１の実施形態と同様の構成および機能については説明を省略する。

分析ルール調整システム２は、ログ収集蓄積装置１０と分析ルール調整装置２０Ａとを備える。ログ収集蓄積装置１０の構成および機能は、第１の実施形態と同様である。

分析ルール調整装置２０Ａは、ログ取得部２１０と、ログ分析部２２０Ａと、分析結果解析部２３０Ａと、フィードバック部２４０Ａと、を有する。分析ルール調整装置２０Ａはさらに、レポート解析部２６０Ａを備える。また、分析ルール調整装置２０Ａは、分析ルール記憶部２５１Ａと、チューニング設定情報記憶部２５２Ａと、分析結果記憶部２５３Ａと、を有する。

ログ取得部２１０の構成および機能は、第１の実施形態のログ取得部２１０と同様である。

ログ分析部２２０Ａの構成および機能も、第１の実施形態のログ分析部２２０と同様である。ただし、ログ分析部２２０Ａはさらに、分析ルール記憶部２５１Ａから分析ルールセットの入力を受けて、分析ルールセットに含まれる複数の分析ルールに基づく通信ログの分析を行う。また、ログ分析部２２０Ａは、チューニング設定情報記憶部２５２Ａから複数の分析ルールに対するチューニング設定情報すなわちチューニング条件を読み出して分析に使用する。

さらに、ログ分析部２２０Ａは、複数の分析ルールをそれぞれ適用した分析結果をまとめて出力する。また、ログ分析部２２０Ａは、各分析ルールおよびチューニング条件に基づいて分析した結果、検知される検体の情報を出力する。すなわち、ログ分析部２２０Ａは、所定の分析ルールおよびチューニング条件によって検知される、マルウェアに感染した端末を一意に識別するための検体識別情報を、当該所定の分析ルールおよびチューニング条件に対応付けて出力することができる。

図１２は、第２の実施形態に係るログ分析の結果として得られる分析結果の一例を説明するための図である。図１２の例では、「００１」で識別される分析ルールと「００１」で識別されるチューニング条件に対応付けて、「適用閾値、１０」、「誤検出率、５０％」、「検出率、２０％」が記憶されている。さらに、「検出検体、５１２３４、５００３２、３４５６７」、「マルウェア識別子、Ｍ１００」が記憶されている。これは、分析ルール「００１」とチューニング条件「００１」を使用してログを分析した場合に検出された検体は、「５１２３４、５００３２、３４５６７」の検体識別情報によって識別される検体すなわち端末であることを示す。また、検出された検体は、「Ｍ１００」で識別される種類の検体であることを示す。マルウェア識別子はたとえば、図４に示す悪性ログの例に示すように、ログに含まれる情報から取得される。

このように、第２の実施形態においては、ログ分析部２２０Ａはログ分析の結果に、マルウェアに感染した端末として検知された検体の検体識別情報およびマルウェアの情報を含めて出力する。出力された分析結果は、分析結果記憶部２５３Ａに記憶される。

分析結果記憶部２５３Ａの構成および機能も、分析結果記憶部２５３と同様である。ただし、分析結果記憶部２５３Ａは、上記のとおり、ログ分析部２２０Ａが出力する検体識別情報およびマルウェア識別子も併せて分析結果として記憶する。

分析結果解析部２３０Ａは、第１の実施形態の分析結果解析部２３０と同様の構成および機能を有する。すなわち、分析結果解析部２３０Ａは、分析結果記憶部２５３Ａに記憶される、所定の分析ルールセットに基づく分析結果を解析し、各分析ルールに対するチューニング推奨値を算出する。そして、分析結果解析部２３０Ａは、チューニングレポートとして、算出したチューニング推奨値と当該チューニング推奨値を適用した場合に検知される検体識別情報とを出力する。

分析結果解析部２３０Ａが出力するチューニングレポートの一例を図１３に示す。図１３は、第２の実施形態にかかるチューニングレポートの一例を説明するための図である。図１３に示すように、第２の実施形態にかかるチューニングレポートは、チューニング推奨値と、検体識別情報と、マルウェア識別子と、を含む。たとえば、適用した分析ルールの番号「０１３」とチューニング設定条件「０１５」に対応付けて、当該分析ルールについて算出されたチューニング推奨値「３０」が出力される。また、チューニング推奨値「３０」を適用した場合の誤検出率「０．１％」、検出率「７０％」が出力される。さらに、チューニング推奨値「３０」を適用したときに検知された検体の検出検体（検体識別情報）「５１２３４，５００３２，３４５６７」とマルウェア識別子「Ｍ１１０」が出力される。このように、第２の実施形態の分析結果解析部２３０Ａは、各分析ルールについて単にチューニング推奨値を算出するだけでなく、当該チューニング推奨値を適用した場合に検知される検体の情報も出力する。

レポート解析部２６０Ａは、分析結果解析部２３０Ａが出力したチューニングレポートの入力を受け、チューニングレポートを解析することで分析ルールセットに含まれる分析ルールの数を削減した推奨ルールセットを出力する。レポート解析部２６０Ａの処理の詳細は後述する。

フィードバック部２４０Ａの構成および機能は、第１の実施形態のフィードバック部２４０と同様である。ただし、フィードバック部２４０Ａは、分析ルール記憶部２５１Ａに記憶される分析ルール個々の更新を行うのではなく、分析ルールセットの更新を行う。すなわち、フィードバック部２４０Ａは、推奨ルールセットに基づき、分析ルール記憶部２５１Ａに記憶される分析ルールセットを更新する。

分析ルール記憶部２５１Ａは、第１の実施形態にかかる分析ルール記憶部２５１が記憶する情報（図６参照）に加えて、分析ルールセットの情報を記憶する。たとえば、分析ルール記憶部２５１Ａは、所定のネットワーク環境において適用する分析ルールセットを、当該分析ルールセットを識別する識別子とともに記憶する。また、当該分析ルールセットについて適用する閾値を記憶する。

図１４は、第２の実施形態にかかる分析ルール記憶部２５１Ａに記憶される分析ルールセットの一例を説明するための図である。図１４に示すように、分析ルール記憶部２５１Ａには、「セット番号」、「ルールセット」、「閾値」、「適用環境」が記憶される。「セット番号」は分析ルールセットを一意に識別するための識別子である。「ルールセット」は、分析ルールセットに含まれる分析ルールを特定する情報である。「閾値」は、分析ルールセットに含まれる各分析ルールについて適用する閾値の値である。「適用環境」は、当該分析ルールセットを使用するネットワーク環境等の環境を示す。

たとえば、図１４の例では、「セット番号、００１」に対応付けて、「ルールセット、００１，００５，１１０」、「閾値、１０，５，１０００」、「適用環境、ＮＷ００５」が記憶される。これは、「００１，００５，１１０」で識別される３つの分析ルールを含む分析ルールセット「００１」について、各分析ルールの閾値が「１０，５，１０００」と設定されていることを示す。また、分析ルールセット「００１」は「ＮＷ００５」で識別されるネットワークに適用されることを示す。

チューニング設定情報記憶部２５２Ａに記憶される情報は、第１の実施形態のチューニング設定情報記憶部２５２に記憶される情報と同様である。

分析結果記憶部２５３Ａに記憶される分析結果は上述の通り、第１の実施形態の分析結果に加えて、検体識別情報とマルウェア識別子を含む。その他の点では、第１の実施形態と同様である。

［第２の実施形態における分析ルール調整処理の流れの一例］
図１５は、第２の実施形態に係る分析ルール調整処理の流れの一例を示すフローチャートである。図１５を参照して、第２の実施形態に係る分析ルール調整処理の流れの一例を説明する。

まず、ログ取得部２１０がログを取得する（ステップＳ１５０１）。そして、ログ分析部２２０Ａが所定の分析ルールセットおよびチューニング条件に基づきログを分析する（ステップＳ１５０２）。ログ分析部２２０Ａは、分析ルール各々について分析を行うのではなく分析ルールセットに含まれる複数の分析ルールについてまとめて分析を実行する点が、第１の実施形態と異なる。

そして、ログ分析部２２０Ａは、所定の分析ルールセットおよびチューニング条件に基づきすべての閾値およびすべての分析ルールについて分析が完了したか否かを判定する（ステップＳ１５０３）。すべての閾値および分析ルールについて分析が完了していなければ（ステップＳ１５０３、否定）、ステップＳ１５０２に戻る。すべての閾値および分析ルールについて分析が完了したと判定すれば（ステップＳ１５０３、肯定）、ログ分析部２２０Ａは、分析結果を出力する（ステップＳ１５０４）。そして、分析結果解析部２３０Ａが分析結果に基づき、各分析ルールについてのチューニング推奨値と検体識別情報とを含むチューニングレポートを作成して出力する（ステップＳ１５０５）。

レポート解析部２６０Ａは、チューニングレポートを解析して、分析ルールセットに含まれる分析ルールを削減した推奨ルールセットを作成して出力する（ステップＳ１５０６）。フィードバック部２４０Ａは、推奨ルールセットに基づき、分析ルール記憶部２５１Ａに記憶される分析ルールセットを更新する（ステップＳ１５０７）。これで第２の実施形態に係る分析ルール調整処理が終了する。

［推奨ルールセットの作成処理の流れの例］
次に、図１５のステップＳ１５０６における推奨ルールセットの作成処理についてさらに説明する。図１６は、第２の実施形態に係る推奨ルールセット作成処理について説明するための図である。推奨ルールセット作成処理は、レポート解析部２６０Ａが実行する。

図１６を参照して、分析ルールＡ，Ｂ，Ｃを含む分析ルールセットについて推奨ルールセットを作成する例を説明する。図１６の例では、分析ルールＡを適用した結果、検知された検体はａである。また、分析ルールＢを適用した結果、検知された検体はａ，ｂ，ｃ，ｆである。他方、分析ルールＣを適用した結果、検知された検体はｄ，ｅである。

図１６の（１）に示すように、分析ルールＡで検知される検体はすべて、分析ルールＢによっても検知されている。かかる場合には分析ルールＡを削除しても分析ルールセット全体として検知できる検体には影響しない。すなわち、分析ルールＡによる分析ルールセット全体の検体検知に対する寄与率は低いといえる。

この場合に、分析ルールセットに含まれる分析ルール数を削減することを考える。図１６の（２）に示すように分析ルールＡを削除しても検知される検体は変化しない。他方分析ルールＢを削除すると検知される検体数は半分に減少する。

そこで、第２の実施形態にかかるレポート解析部２６０Ａは、分析ルールセットに含まれる各分析ルールの分析ルールセット全体の検体検知に対する寄与率を考慮して、寄与率が所定閾値よりも低い分析ルールを削除した推奨ルールセットを作成する。たとえば、分析ルールセット全体で検知できる検体に対して分析ルールＡによってしか検知できない検体の割合が１割以下の場合に分析ルールＡを削除する。寄与率の算出手法は特に限定されない。

なお、第２の実施形態では、ログ分析部２２０Ａは、所定の分析ルールセットに基づく分析を行い分析結果を出力するものとした。しかし、これに限定されず、たとえば、ログ分析部２２０Ａによる分析は適宜実行して分析結果を分析結果記憶部２５３Ａに記憶しておく。そして、ユーザの指示入力等があれば、分析結果解析部２３０Ａが分析ルールセットの指定を受け付けて、当該分析ルールセットに含まれる分析ルールに基づく分析結果を分析結果記憶部２５３Ａから読み出す。そして、分析結果解析部２３０Ａ，レポート解析部２６０Ａが処理を実行して、推奨ルールセットを作成してもよい。また、推奨ルールセットを外部に出力できるようにしてもよい。

［第２の実施形態の効果］
このように、第２の実施形態に係る分析ルール調整装置は、ネットワークを介した不正な通信を検出するための通信ログの分析に用いる分析ルールを調整する分析ルール調整装置であって、防御対象ネットワークを介した通信ログと、マルウェアが発生させる通信ログとを取得するログ取得部と、ログ取得部が取得した通信ログを、所定の分析ルールとチューニング条件とに基づき分析するログ分析部と、ログ分析部による分析結果を解析して、所定の分析ルールの調整に用いる、チューニング条件を満たすチューニング推奨値を算出する第１の解析部（分析結果解析部）と、を備える。このため、自動的かつ効率的に分析ルールの妥当性を検証し分析ルールを適正化することができる。

さらに、第２の実施形態に係る分析ルール調整装置において、ログ分析部は、所定の分析ルールの組に含まれる各分析ルールに基づいて分析を行い、第１の解析部は、所定の分析ルールの組に含まれる各分析ルールによる分析結果を並行して解析し、所定の分析ルールの組に含まれる各分析ルールに対応するチューニング推奨値を算出する。このため、複数の分析ルールをひとまとまりにして解析して、それぞれについてチューニングを実行することができる。

さらに、第２の実施形態に係る分析ルール調整装置において、第１の解析部は、チューニング推奨値とともに、当該チューニング推奨値を適用した場合に検知される検体を一意に識別するための検体識別情報を出力する。このため、どの分析ルールにどのような値を用いればどの検体を検知することができるか、まとめて分析することができる。このため、自動的かつ効率的に分析ルールの妥当性を検証し分析ルールを適正化することができる。また、第２の実施形態に係る分析ルール調整装置は、具体的にどの分析ルールによってどの検体が検知されるのかも考慮して分析ルールを調整することができ、適用環境に合わせた精密な調整を実現することができる。

さらに、第２の実施形態に係る分析ルール調整装置は、第１の解析部が出力するチューニング推奨値および検体識別情報を解析する第２の解析部（レポート解析部）をさらに備え、第１の解析部は、所定の分析ルールの組に含まれる各分析ルールについてチューニング推奨値と検体識別情報とを出力し、第２の解析部は、検体識別情報にもとづいて、所定の分析ルールの組に含まれる分析ルールの数を減じた推奨ルールセットを出力する。このため、検体識別情報に基づいて、検体の検知に対する寄与の低い分析ルールを除外して分析ルールセットを更新することができ、分析時間の短縮や分析処理に必要なリソース削減に寄与することができる。

さらに、第２の実施形態に係る分析ルール調整装置は、ログ分析部による分析結果を記憶する記憶部をさらに備え、第１の解析部は、記憶部に記憶された分析結果にもとづき、異なる分析ルールの組について解析を行う。つまり、分析結果記憶部２５３Ａに、ログ分析の結果を逐次蓄積しておき、異なる分析ルールセットについて同一の分析結果を用いたチューニングを実行することができる。このため、ログの取得やログ分析に係る処理時間を短縮することができ、効率よくチューニングを実行することができる。

また、第２の実施形態に係る分析ルール調整装置において、ログ分析部は、チューニング条件として所定範囲のパラメータの指定を受け付け、指定された前記所定範囲についてログを分析する。このため、分析ルールのチューニング時間を短縮して効率的な調整を実現することができる。

また、第２の実施形態に係る分析ルール調整装置は、第１の解析部が算出するチューニング推奨値に基づき、所定の分析ルールを更新するフィードバック部をさらに備える。このため、分析ルール調整装置内に記憶される分析ルールを自動的に更新して、効率的なチューニングを実現することができる。

（第３の実施形態）
さて、第２の実施形態では、分析ルールセットに含まれる各分析ルールに対して一つのチューニング推奨値を算出し、当該チューニング推奨値に対応する検体識別情報を出力するように構成した。これに対し、第３の実施形態では、分析ルールセットに含まれる各分析ルールに対して複数のチューニング推奨値を算出する。

複数の分析ルールをセットにして利用する場合、分析ルールを単独で分析した場合に最適と判断される閾値が必ずしも最適とは限らない。そこで、第３の実施形態では、各分析ルールについて所定の幅の範囲内の閾値をチューニング推奨値として出力し、複数の分析ルール間で調整する。

第３の実施形態に係る分析ルール調整装置の構成は、図１１に示した第２の実施形態に係る分析ルール調整装置と同様である。ただし、分析結果解析部が出力するチューニングレポートの構成およびレポート解析部による処理が異なる。また、第３の実施形態にかかる分析ルール調整装置は、セット選択部を備える点で第１および第２の実施形態と異なる。

［第３の実施形態に係る分析ルール調整システム３の構成の一例］
図１７は、第３の実施形態に係る分析ルール調整システム３の概要を示す図である。分析ルール調整システム３の構成は概ね、第２の実施形態に係る分析ルール調整システム２と同様である。以下の説明において、第２の実施形態と同様の構成および機能については説明を省略する。

分析ルール調整システム３は、ログ収集蓄積装置１０と分析ルール調整装置２０Ｂとを備える。ログ収集蓄積装置１０の構成および機能は、第１および第２の実施形態と同様である。

分析ルール調整装置２０Ｂは、ログ取得部２１０と、ログ分析部２２０Ｂと、分析結果解析部２３０Ｂと、フィードバック部２４０Ｂと、を有する。分析ルール調整装置２０Ｂはさらに、レポート解析部２６０Ｂと、セット選択部２７０と、を備える。また、分析ルール調整装置２０Ｂは、分析ルール記憶部２５１Ｂと、チューニング設定情報記憶部２５２Ｂと、分析結果記憶部２５３Ｂと、を有する。また、分析ルール調整装置２０Ｂはさらに、ルールセット選択条件記憶部２５４を備える。

ログ取得部２１０の構成および機能は、第１および第２の実施形態のログ取得部２１０と同様である。ログ分析部２２０Ｂの構成および機能は、第２の実施形態のログ分析部２２０Ａと同様である。分析結果記憶部２５３Ｂの構成および機能も、第２の実施形態の分析結果記憶部２５３Ａと同様である。

第３の実施形態においては、分析結果解析部２３０Ｂは、所定の分析ルールセットに基づく分析結果を解析して、各分析ルールに対する複数のチューニング推奨値を算出する。すなわち、分析結果解析部２３０Ｂは、各分析ルールのパラメータに対応する適用閾値として、複数の値を選択する。

たとえば、図７の例に「誤検出率の許容値を０．５％以下とする。」というチューニング条件がある。このチューニング条件を適用した場合に、適用閾値「１６」の場合は誤検出率が「０．１％」、適用閾値「２０」の場合に誤検出率が「０．３％」であったとする。この場合に、分析結果解析部２３０Ｂは、より誤検出率が低い「０．１％」の適用閾値「１６」をチューニング推奨値とするのではなく、適用閾値「１６」および「２０」の双方をチューニング推奨値としてチューニングレポートで出力する。

また、適用閾値「１８」の場合に誤検出率が「０．６％」、適用閾値「１２」の場合に誤検出率が「０．４％」だったとする。この場合も分析結果解析部２３０Ｂは、適用閾値「１２」および「１８」の双方をチューニング推奨値としてチューニングレポートで出力する。

すなわち、第３の実施形態にかかる分析結果解析部２３０Ｂは、チューニング条件を満足する適用閾値が複数存在する場合、予め定めた数の複数の適用閾値を選択してチューニングレポートで出力する。また、分析結果解析部２３０Ｂは、チューニング条件を満足する適用閾値だけでは、予め定めた数に達しない場合、チューニング条件を満足しない適用閾値を加えて予め定めた数の適用閾値を選択してチューニングレポートで出力する。

たとえば、分析結果解析部２３０Ｂは、チューニング条件で定められた許容値を満足しないが、当該許容値により近い適用閾値を順番に選択する。または分析結果解析部２３０Ｂは、チューニング条件で定められた許容値を満足する適用閾値のうち、所定条件を満たす適用閾値を順番に選択する。たとえば、「誤検出率の許容値を０．５％以下とする。」というチューニング条件であれば、分析結果解析部２３０Ｂは、「０．５％よりも小さい方から順に所定数」の適用閾値を選択する。また、「検出率の許容値を８０％以上とする。」というチューニング条件であれば、分析結果解析部２３０Ｂは、「８０％よりも大きい方から順に所定数」の適用閾値を選択する。すなわち、分析結果解析部２３０Ｂは、チューニング条件が下限値を定める条件であれば、下限値より大きい方から所定数の閾値をチューニング推奨値とする。また、分析結果解析部２３０Ｂは、チューニング条件が上限値を定める条件であれば、上限値より小さい方から所定数の閾値をチューニング推奨値とする。

このように分析結果解析部２３０Ｂは、各分析ルールに対応して複数のチューニング推奨値を含むチューニングレポートを作成して出力する。分析結果解析部２３０Ｂが作成して出力するチューニングレポートは分析ルールに対応する適用閾値が複数となるため、概ね図１２に示す分析結果と同様となる。

レポート解析部２６０Ｂは、分析結果解析部２３０Ｂが出力したチューニングレポートの入力を受け、チューニングレポートを解析することで分析ルールセットに含まれる分析ルールの数を削減した推奨ルールセットを出力する。この点、レポート解析部２６０Ｂは第２の実施形態のレポート解析部２６０Ａと同様である。

しかし、レポート解析部２６０Ｂが解析対象とするチューニングレポートは、各分析ルールについて複数の候補閾値を含む。このため、レポート解析部２６０Ｂは、複数の分析ルールの組み合わせについて推奨ルールセットを作成することになる。

たとえば、分析ルールＡ，Ｂ，Ｃの３つの分析ルールを含む分析ルールセットについてチューニングを実行するとする。この場合に、各分析ルールについて３つのチューニング推奨値を選択する、という条件づけをする。すると、分析ルールＡについて候補となる閾値Ａ１，Ａ２，Ａ３と、分析ルールＢについて候補となる閾値Ｂ１，Ｂ２，Ｂ３と、分析ルールＣについて候補となる閾値Ｃ１，Ｃ２，Ｃ３がチューニングレポートとして出力される。レポート解析部２６０Ｂは、閾値Ａ１，Ａ２，Ａ３と、閾値Ｂ１，Ｂ２，Ｂ３と、閾値Ｃ１，Ｃ２，Ｃ３と、をそれぞれ組み合わせた場合に削減対象となる分析ルールを選択して、推奨ルールセットを作成する。推奨ルールセットの作成にあたっては、レポート解析部２６０Ｂは、第２の実施形態と同様に、検体識別情報をもとにして判定をする。

セット選択部２７０は、レポート解析部２６０Ｂにより作成される複数の推奨ルールセットから所定条件を満たす分析ルールセットを選択する。たとえば、セット選択部２７０は、当該ルールセットを適用するネットワークにおけるセキュリティオペレーションの運用ポリシーに設定されている条件にもとづき分析ルールセットを選択する。また、セット選択部２７０はたとえば、推奨ルールセットのうち最も検知検体数が多い分析ルールセットを選択する。セット選択部２７０が分析ルールセットを選択するための条件は、ルールセット選択条件記憶部２５４に記憶される。

セット選択部２７０が選択した分析ルールセットは、フィードバック部２４０Ｂに入力される。フィードバック部２４０Ｂは、選択されたルールセットに基づき、分析ルール記憶部２５１Ｂに記憶される分析ルールセットを更新する。

［第３の実施形態における分析ルール調整処理の流れの一例］
図１８は、第３の実施形態に係る分析ルール調整処理の流れの一例を示すフローチャートである。図１８を参照して、第３の実施形態に係る分析ルール調整処理の流れの一例を説明する。

ステップＳ１８０１からステップＳ１８０４までの処理は、図１５に示す第２の実施形態における分析ルール調整処理の流れと同様である。すなわち、まず、ログ取得部２１０がログを取得する（ステップＳ１８０１）。そして、ログ分析部２２０Ｂが所定の分析ルールセットおよびチューニング条件に基づきログを分析する（ステップＳ１８０２）。そして、ログ分析部２２０Ｂは、所定の分析ルールセットおよびチューニング条件に基づきすべての閾値およびすべての分析ルールについて分析が完了したか否かを判定する（ステップＳ１８０３）。すべての閾値または分析ルールについて分析が完了していなければ（ステップＳ１８０３、否定）、ステップＳ１８０２に戻る。すべての閾値および分析ルールについて分析済と判定すれば（ステップＳ１８０３、肯定）、ログ分析部２２０Ｂは、分析結果を出力する（ステップＳ１８０４）。

次に、分析結果を受けて、分析結果解析部２３０Ｂは、各分析ルールについての複数のチューニング推奨値と検体識別情報とを含むチューニングレポートを作成して出力する（ステップＳ１８０５）。レポート解析部２６０Ｂは、チューニングレポートを解析して複数の推奨ルールセットを作成して出力する（ステップＳ１８０６）。セット選択部２７０は、ルールセット選択条件記憶部２５４に記憶される選択条件に基づき、ルールセットを選択する（ステップＳ１８０７）。フィードバック部２４０Ｂは、選択されたルールセットに基づき、分析ルールセットを更新する（ステップＳ１８０８）。これで、第３の実施形態における分析ルール調整処理が終了する。

［第３の実施形態の効果］
上記のような構成を有する第３の実施形態にかかる分析ルール調整装置は、第２の実施形態にかかる分析ルール調整装置が奏する効果に加えて以下の効果を奏する。

第３の実施形態にかかる分析ルール調整装置においては、分析結果解析部２３０Ｂは、各分析ルールについて一つのチューニング推奨値を出力するのではなく複数のチューニング推奨値を選択してチューニングレポートとして出力する。このため、複数分析ルール間で調整を行う際の選択肢が広がり、より柔軟な分析ルールセットの調整を実現することができる。

（その他の実施形態）
これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、その他の実施形態にて実施されてもよい。以下に、その他の実施形態を説明する。

［検知率表の作成と再利用］
第２の実施形態において、ログ分析部２２０Ａの分析結果は分析結果記憶部２５３Ａに記憶される。分析結果は、異なる分析ルールセットに含まれる分析ルールを調整するため、再利用してもよいことは上述した。また、ログ分析部２２０Ａが作成する分析結果のうち、悪性ログの分析結果から所定の形式の検知率表を作成して記憶しておき、再利用できるように構成してもよい。

［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、ログ分析部２２０と分析結果解析部２３０とを統合してもよく、分析ルールを他の装置から取得し、チューニング推奨値を当該他の装置に供給するような構成としてもよい。

さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
また、上記実施の形態において説明した分析ルール調整システム１，２，３または分析ルール調整装置２０，２０Ａ，２０Ｂが実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第１の実施形態に係る分析ルール調整システム１または分析ルール調整装置２０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータが読み取り可能な記録媒体に記録して、この記録媒体に記録されプログラムをコンピュータに読み込ませて実行することにより上記第１の実施形態と同様の処理を実現してもよい。以下に、分析ルール調整システム１，２，３または分析ルール調整装置２０，２０Ａ，２０Ｂと同様の機能を実現するプログラムを実行するコンピュータの一例を説明する。

図１９は、分析ルール調整プログラムを実行するコンピュータ１０００を示す図である。図１９に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図１９に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１９に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１９に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、図１９に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１９に例示するように、例えばディスプレイ１１３０に接続される。

ここで、図１９に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１，２，３ 分析ルール調整システム
１０ ログ収集蓄積装置
２０，２０Ａ，２０Ｂ 分析ルール調整装置
１１０ ログ収集部
１２０ ログ正規化部
１３０ ログ記憶部
２１０ ログ取得部
２２０，２２０Ａ，２２０Ｂ ログ分析部
２３０，２３０Ａ，２３０Ｂ 分析結果解析部
２４０，２４０Ａ，２４０Ｂ フィードバック部
２５１，２５１Ａ，２５１Ｂ 分析ルール記憶部
２５２，２５２Ａ，２５２Ｂ チューニング設定情報記憶部
２５３，２５３Ａ，２５３Ｂ 分析結果記憶部
２６０Ａ、２６０Ｂ レポート解析部
２７０ セット選択部

Claims (10)

1. ネットワークを介した不正な通信を検出するための通信ログの分析に用いる分析ルールを調整する分析ルール調整装置であって、
   防御対象ネットワークを介した通信ログと、マルウェアが発生させる通信ログとを取得するログ取得部と、
   前記ログ取得部が取得した通信ログを、所定の分析ルールとチューニング条件とに基づき分析するログ分析部と、
   前記ログ分析部による分析結果を解析して、前記所定の分析ルールの調整に用いる、前記チューニング条件を満たすチューニング推奨値を算出する第１の解析部と、
   を備えることを特徴とする分析ルール調整装置。
2. 前記ログ分析部は、所定の分析ルールの組に含まれる各分析ルールに基づいて分析を行い、
   前記第１の解析部は、前記所定の分析ルールの組に含まれる各分析ルールによる分析結果を並行して解析し、前記所定の分析ルールの組に含まれる各分析ルールに対応するチューニング推奨値を算出することを特徴とする請求項１に記載の分析ルール調整装置。
3. 前記第１の解析部は、前記チューニング推奨値とともに、当該チューニング推奨値を適用した場合に検知される検体を一意に識別するための検体識別情報を出力することを特徴とする請求項２に記載の分析ルール調整装置。
4. 前記第１の解析部が出力するチューニング推奨値および検体識別情報を解析する第２の解析部をさらに備え、
   前記第１の解析部は、前記所定の分析ルールの組に含まれる各分析ルールについてチューニング推奨値と検体識別情報とを出力し、
   前記第２の解析部は、前記検体識別情報にもとづいて、前記所定の分析ルールの組に含まれる分析ルールの数を減じた推奨ルールセットを出力することを特徴とする請求項３に記載の分析ルール調整装置。
5. 前記ログ分析部による分析結果を記憶する記憶部をさらに備え、
   前記第１の解析部は、前記記憶部に記憶された分析結果にもとづき、異なる分析ルールの組について解析を行うことを特徴とする請求項３に記載の分析ルール調整装置。
6. 前記ログ分析部は、前記チューニング条件として所定範囲のパラメータの指定を受け付け、指定された前記所定範囲について前記通信ログを分析することを特徴とする請求項１に記載の分析ルール調整装置。
7. 前記第１の解析部が算出するチューニング推奨値に基づき、前記所定の分析ルールおよび前記所定の分析ルールの組のいずれか一方を更新するフィードバック部をさらに備えることを特徴とする請求項１乃至６の何れか１項に記載の分析ルール調整装置。
8. ネットワークを介した不正な通信を検出するための通信ログの分析に用いる分析ルールを調整する分析ルール調整システムであって、
   防御対象ネットワークを介した通信ログと、マルウェアが発生させる通信ログとを取得し正規化して格納するログ格納装置と、
   前記ログ格納装置に格納される通信ログを分析して前記分析ルールを調整する分析ルール調整装置と、
   を備え、前記分析ルール調整装置は、
   前記ログ格納装置から通信ログを取得するログ取得部と、
   前記ログ取得部が取得した通信ログを、所定の分析ルールとチューニング条件とに基づき分析するログ分析部と、
   前記ログ分析部による分析結果を解析して、前記所定の分析ルールの調整に用いる、前記チューニング条件を満たすチューニング推奨値を算出する第１の解析部と、
   を備えることを特徴とする分析ルール調整システム。
9. ネットワークを介した不正な通信を検出するための通信ログの分析に用いる分析ルールを調整する分析ルール調整方法であって、
   防御対象ネットワークを介した通信ログと、マルウェアが発生させる通信ログとを取得しログ格納部に格納するログ格納工程と、
   前記ログ格納工程において前記ログ格納部に格納した通信ログを取得するログ取得工程と、
   前記ログ取得工程において取得した通信ログを、所定の分析ルールとチューニング条件とに基づき分析するログ分析工程と、
   前記ログ分析工程による分析結果を解析して、前記所定の分析ルールの調整に用いる、前記チューニング条件を満たすチューニング推奨値を算出する第１の解析工程と、
   を含むことを特徴とする分析ルール調整方法。
10. ネットワークを介した不正な通信を検出するための通信ログの分析に用いる分析ルールを調整する分析ルール調整装置によって実行される分析ルール調整プログラムであって、
    防御対象ネットワークを介した通信ログと、マルウェアが発生させる通信ログとを取得するログ取得手順と、
    前記ログ取得手順において取得した通信ログを、所定の分析ルールとチューニング条件とに基づき分析するログ分析手順と、
    前記ログ分析手順における分析結果を解析して、前記所定の分析ルールの調整に用いる、前記チューニング条件を満たすチューニング推奨値を算出する第１の解析手順と、
    を含むことを特徴とする分析ルール調整プログラム。

Images