WO2015097889A1 - 情報処理装置及び情報処理方法及びプログラム - Google Patents

情報処理装置及び情報処理方法及びプログラム Download PDF

Info

Publication number
WO2015097889A1
WO2015097889A1 PCT/JP2013/085193 JP2013085193W WO2015097889A1 WO 2015097889 A1 WO2015097889 A1 WO 2015097889A1 JP 2013085193 W JP2013085193 W JP 2013085193W WO 2015097889 A1 WO2015097889 A1 WO 2015097889A1
Authority
WO
WIPO (PCT)
Prior art keywords
log information
attack
communication
terminal
information
Prior art date
Application number
PCT/JP2013/085193
Other languages
English (en)
French (fr)
Inventor
松本　光弘
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2013/085193 priority Critical patent/WO2015097889A1/ja
Priority to JP2015554467A priority patent/JPWO2015097889A1/ja
Priority to US15/106,177 priority patent/US20170054742A1/en
Priority to CN201380081864.4A priority patent/CN105849741A/zh
Priority to GB1610816.9A priority patent/GB2536384A/en
Publication of WO2015097889A1 publication Critical patent/WO2015097889A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/951—Indexing; Web crawling techniques
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the present invention relates to information security technology.
  • Patent Document 1 discloses an infection range identification device that identifies an infection range infected with malware.
  • the infection range identification device of Patent Literature 1 identifies an infection range by identifying a file infected with malware using an anti-virus software and identifying a terminal that has accessed the identified file (Patent Literature). 1).
  • Patent Document 2 discloses an infection route identification device that identifies malware using a packet signature and identifies an infection route from a packet source / destination.
  • Patent Document 3 discloses a malware detection device that detects latent-type malware.
  • the malware detection device of Patent Literature 3 identifies a server device or an infected terminal that issues a command to an infected terminal by capturing the characteristics of malware communication.
  • Patent Document 4 discloses a file access monitoring device that monitors registry and program rewriting operations, which are characteristic operations of malware, and detects malware infection (Patent Document 4).
  • Patent Documents 1 to 4 have a problem that they cannot cope with a targeted attack.
  • a targeted attack an attacker enters a terminal in the data processing system, and the attacker downloads malware to the intruded terminal. Then, the attacker expands the range of malware infection within the data processing system using the terminal on which the malware has been downloaded.
  • the attacker In order to identify the range of malware infection by such a targeted attack, it is necessary to analyze the log information of the terminal and track the behavior after the attacker has entered the terminal.
  • the attacker may alter the log information of the terminal. If the attacker has altered the log information of the terminal, the behavior of the attacker cannot be tracked even if the log information after the alteration is analyzed. However, if the terminal log can be identified as being altered, it can be identified that the terminal is infected. As described above, it is very important to determine whether the log information has been tampered with in identifying the range of malware infection.
  • the present invention has been made in view of such circumstances, and a main object thereof is to obtain a configuration for determining whether log information has been tampered with.
  • An information processing apparatus includes: A receiving unit for receiving log information of data communication generated in the data processing system as communication log information; Log information search unit for searching for process log information of data processing related to data communication based on the communication log information from a plurality of process log information which is log information of data processing performed in the data processing system When, A tampering determination unit that determines that at least a part of the plurality of processing log information has been tampered with when the corresponding processing log information is not retrieved by the log information retrieval unit. And
  • FIG. 3 is a diagram illustrating an example of a system configuration according to the first embodiment.
  • FIG. 5 is a flowchart showing an operation example of the infection range identification device according to the first embodiment.
  • FIG. 3 is a diagram showing a network configuration example according to the first embodiment.
  • FIG. 5 shows an example of attack scenario detection information according to the first embodiment.
  • FIG. 3 is a diagram showing an example of terminal log information (process log information) according to the first embodiment. The figure which shows the example of the attack terminal log information (process log information) which concerns on Embodiment 1.
  • FIG. FIG. 3 is a diagram showing an example of terminal log information (access log information) according to the first embodiment. The figure which shows the example of the attack terminal log information (access log information) which concerns on Embodiment 1.
  • FIG. 4 is a diagram showing an example of communication log information according to the first embodiment.
  • FIG. 4 is a diagram illustrating an example of attack communication log information according to the first embodiment.
  • FIG. 4 shows an example of a request according to the first embodiment.
  • FIG. 4 shows an example of a request according to the first embodiment.
  • FIG. The figure which shows the example of the data flow of the infection range identification apparatus which concerns on Embodiment 1.
  • FIG. shows the example of the data flow of the infection range identification apparatus which concerns on Embodiment 1.
  • FIG. The figure which shows the example of the infection activity terminal log information (process log information) which concerns on Embodiment 1.
  • FIG. 3 is a diagram showing an example of a port number list according to the first embodiment.
  • FIG. 4 shows an example of a request according to the first embodiment.
  • FIG. 4 shows an example of a request according to the first embodiment.
  • FIG. 4 shows an example of a request according to the first embodiment.
  • FIG. 5 is a diagram showing a hardware configuration example of an infection range identifying device according to Embodiments 1 to 4.
  • FIG. 1 shows a system configuration example including an infection range identification apparatus 101 according to the present embodiment.
  • the infection range identification apparatus 101 investigates whether the log information recorded by the data processing system 106 has been tampered with. Further, the infection range identification device 101 identifies the infection range of malware.
  • the infection range identification device 101 is an example of an information processing device.
  • the security device 103 records communication log information in the communication log recording device 104.
  • the communication log recording device 104 records the communication log information in the format shown in FIG. 9, for example.
  • communication attribute values representing data communication attributes such as date, time, state, service, access source host, access destination host, protocol, access source port, and access destination port are described.
  • Examples of the security device 103 include FW (firewall), IDS / IPS (Intrusion Detection System / Intrusion Prevention System), and a proxy server.
  • the attack detection device 102 analyzes communication log information recorded in the communication log recording device 104 and detects an attack. Further, the attack detection apparatus 102 transmits communication log information of data communication related to the detected attack (hereinafter referred to as attack data communication) to the infection range identification apparatus 101 as attack communication log information. For example, the attack detection device 102 transmits the attack communication log information illustrated in FIG. 10 to the infection range identification device 101. Further, as a result of analyzing the communication log information, the attack detection device 102 records the degree of progress of the attack for each client terminal 121 and each server terminal 122, for example, in the attack scenario detection information shown in FIG. In FIG. 4, “1.
  • Attack preparation refers to the organization's target organization's Web page, the creation of targeted emails from booklets published by the organization, and malware suitable for the organization. This is the stage to create.
  • Initial infiltration is a stage in which an attacker contacts a target organization and sends malware by means of targeted mail or the like.
  • Attack infrastructure construction is the stage where malware is activated and the attack infrastructure necessary for information collection is constructed. The malware or URL attached to the targeted attack is clicked on one terminal, and the malware is organized. Including the stage of infection.
  • System investigation stage is a stage in which an attacker conducts investigation of an in-house system from a terminal infected with malware, and is a stage in which other terminals are infected one after another in order to obtain more important information.
  • Final purpose execution stage is a stage where information leakage or system destruction occurs.
  • “with attack” indicates that an attack has been detected from the communication log information
  • “no attack” indicates that no attack has been detected from the communication log information
  • “with indication”. Indicates that an attack sign has been detected from the communication log information.
  • an attack sign of attack steps 1 to 3 is detected against the client terminal 121a and an attack of attack step 4 is detected, but an attack of attack step 5 is not detected. It has been shown.
  • the monitoring device 107 displays the malware infection range obtained by the infection range specifying device 101.
  • the network security administrator can confirm the damage range identification result from the monitoring device 107.
  • the data processing system 106 includes a plurality of client terminals 121 and a plurality of server terminals 122. When it is not necessary to distinguish between the client terminal 121 and the server terminal 122, both are collectively referred to as a terminal.
  • a client terminal log recording device 131 is provided for each client terminal 121
  • a server terminal log recording device 132 is provided for each server terminal 122.
  • the client terminal 121 stores terminal log information, which is log information of data processing performed at the client terminal 121, in the client terminal log recording device 131.
  • the server terminal 122 stores terminal log information, which is log information of data processing performed at the server terminal 122, in the server terminal log recording device 132.
  • the client terminal log recording device 131 and the server terminal log recording device 132 correspond to examples of a processing log information database.
  • the terminal log information includes process log information shown in FIG. 5 and access log information shown in FIG.
  • process attribute values representing data processing attributes at the client terminal 121 or the server terminal 122 are described, respectively. That is, in the process log information, as shown in FIG. 5, processing attribute values such as date, time, host name, user (account), and process (executable file) are described.
  • processing attribute values such as date, time, access source host, access destination host, access source user, access destination user, access file, and event are described.
  • terminal log information process log information
  • access log information access log information
  • terminal log information access log information
  • terminal log information access log information
  • the switch 108 connects the client terminal 121 and server terminal 122 in the data processing system 106, the infection range identification device 101, the attack detection device 102, and the security device 103.
  • the security device 103 is connected to the Internet 109 and relays data communication between the client terminal 121 and the server terminal 122 in the data processing system 106 and the Internet 109.
  • the security device 103 stores communication log information in the communication log recording device 104 for data communication between the client terminal 121 and the server terminal 122 and the Internet 109.
  • the receiving unit 111 receives attack communication log information from the attack detection device 102.
  • the transmission unit 112 transmits terminal infection information indicating the malware infection range to the monitoring device 107.
  • the terminal infection information is, for example, information illustrated in FIG. In the terminal infection information, for each client terminal 121 and each server terminal 122, the date and time when malware infection or log falsification was detected, whether or not malware infection, log falsification, attacking user, detected malware, attack Steps (attack steps in FIG. 4) are shown.
  • the attack terminal log information specifying unit 113 is based on the attack communication log information received by the reception unit 111, and includes terminal log information (process log information) and terminal log information (access log) of the client terminal log recording device 131 and the server terminal log recording device 132.
  • terminal log information related to attack data communication terminal log information (process log information) searched by the attack terminal log information specifying unit 113 is referred to as attack terminal log information (process log information).
  • attack terminal log information (access log information) searched by the attack terminal log information specifying unit 113 is referred to as attack terminal log information (access log information).
  • the attacking terminal log information specifying unit 113 searches the attacking terminal log information (process log information) shown in FIG. 6 and searches the attacking terminal log information (access log information) shown in FIG. When there is no need to distinguish between attack terminal log information (process log information) and attack terminal log information (access log information), both are collectively referred to as attack terminal log information.
  • the attack terminal log information identification unit 113 corresponds to an example of a log information search unit.
  • the terminal log information falsification detection unit 114 determines that the terminal log information has been falsified when the attack terminal log information identification unit 113 does not retrieve the attack terminal log information. More specifically, the terminal log information alteration detection unit 114 determines that the terminal log information of the client terminal 121 or the server terminal 122 notified by the attack communication log information has been altered.
  • the terminal log information alteration detection unit 114 determines that the terminal log information of the client terminal 121 or the server terminal 122 notified by the attack communication log information has been altered.
  • the terminal log information alteration detection unit 114 determines that the terminal log information has been tampered with when the attack terminal log information identification unit 113 does not retrieve the attack terminal log information. Further, when the attack terminal log information is not searched by the attack terminal log information specifying unit 113, the terminal log information alteration detection unit 114 infects the client terminal 121 or the server terminal 122 notified by the attack communication log information with malware. It is determined that For example, when the receiving unit 111 receives the attack communication log information of FIG. 10, even if the attack terminal log information specifying unit 113 searches the terminal log information based on the attack communication log information of FIG.
  • the terminal log information alteration detection unit 114 determines that the terminal log information of the client terminal 121a notified by the attack communication log information has been altered, and the client terminal 121a is infected with malware. Is determined.
  • the terminal log information alteration detection unit 114 corresponds to an example of an alteration determination unit.
  • the attack user identification unit 115 identifies the user (attack user) involved in all attack phases, and the attack user describes The attack user information to be transmitted is transmitted to the infection activity identification unit 116.
  • the attack terminal log information D221 in FIG. 6 and the attack terminal log information D321 in FIG. 8 the user 121a1 who is the user of the client terminal 121a is involved in all attack steps 2, 3, and 4 (attack step). 1 is not included in the log because it does not remain in the log), and is a user involved in a series of targeted attacks. For this reason, the attack user specifying unit 115 regards the user 121a1 as an attack user.
  • the infection activity identification unit 116 receives the attack user information from the attack user identification unit 115 and identifies the range in which the attack user has performed the infection activity. Specifically, the infection activity identification unit 116 performs infection activity terminal log information (process log information) D241 (ftp.exe is a process used for file transfer) in FIG. 16 and infection activity terminal log information (access) in FIG. Log information) As in D341, a file transfer to the other terminal of the attacking user is detected. Further, the infection activity specifying unit 116 executes the case where the transferred file is executed at the transfer destination as in the record D216 of the terminal log information (process log information) in FIG. 5 or the infection activity terminal log information (access) in FIG. When the file transferred as in the record D352 of (log information) is accessed as a terminal file at the transfer destination, it can be determined that the file is infected.
  • the infection activity specifying unit 116 corresponds to an example of a device specifying unit.
  • FIG. 2 is a flowchart showing an operation example of the infection range identification apparatus 101.
  • 14 and 15 show a data flow in the infection range identifying apparatus 101.
  • FIG. 2 is a flowchart showing an operation example of the infection range identification apparatus 101.
  • 14 and 15 show a data flow in the infection range identifying apparatus 101.
  • FIG. 2 is a flowchart showing an operation example of the infection range identification apparatus 101.
  • 14 and 15 show a data flow in the infection range identifying apparatus 101.
  • the attack detection device 102 detects an attack from the communication log information.
  • the attack detection device 102 extracts communication log information D401 necessary for analysis from the communication log recording device 104 managed by the security device 103, and analyzes the extracted communication log information D401.
  • the attack detection device 102 specifies the attack communication log information D421, and transmits the attack communication log information D421 to the infection range specifying device 101 (F101). Note that any attack detection method of the attack detection device 102 may be used.
  • the reception unit 111 of the infection range identification apparatus 101 receives the attack communication log information D421 transmitted from the attack detection apparatus 102 (F101). In addition, the receiving unit 111 transmits the attack communication log information D421 to the attack terminal log information specifying unit 113 (F102).
  • the receiving unit 111 has received the attack communication log records D431 to 433 in FIG. 10 as attack communication log information D421.
  • the attack communication log record D431 describes the attack step: 2 and describes the access destination host: the client terminal 121a.
  • the attack detection device 102 indicates “There is a sign” from the record D111 of the attack scenario detection information D101. It is the determined record.
  • the attack communication log record D432 describes the attack step: 3 and describes the access source host: the client terminal 121a.
  • the attack detection device 102 indicates “indication” from the record D111 of the attack scenario detection information D101. It is a record determined to be.
  • the attack communication log record D433 describes the attack step: 4 and describes the access source host: the client terminal 121a.
  • the attack detection device 102 “attacked” from the record D111 of the attack scenario detection information D101. It is a record determined to be.
  • the attack terminal log information specifying unit 113 searches for attack terminal log information corresponding to the attack communication log information D421.
  • the attack terminal log information specifying unit 113 receives the attack communication log information D421 from the receiving unit 111 (F102).
  • the attack terminal log information specifying unit 113 sends an attack terminal log (process log) specifying request R101 (hereinafter simply referred to as a request) to the receiving unit 111 in order to acquire attack terminal log information related to the attack communication log information D421.
  • R101) and an attack terminal log (access log) specifying request R111 (hereinafter also simply referred to as request R111) are transmitted (F103).
  • the attacking terminal log information specifying unit 113 generates, for example, a request R101 illustrated in FIG.
  • the communication port is connected to the terminal log information (process log information) D201 (hereinafter also referred to as terminal log D201) in FIG. 5 and the terminal log information (access log information) D301 (hereinafter also simply referred to as terminal log D301) in FIG.
  • the attack terminal log information specifying unit 113 may generate the request R101 and the request R111 corresponding to the port number.
  • the attack terminal log information specifying unit 113 uses the request R101 and the request by the application corresponding to the port number. R111 is created.
  • the attack terminal log information specifying unit 113 may generate a request corresponding to the service described in the attack communication log D421 (FIG. 10).
  • Requests R101 and R111 are search commands in which search conditions for searching attack terminal log information related to attack communication log information D421 are described. Details of the requests R101 and R111 will be described later.
  • the receiving unit 111 receives the requests R101 and R111 from the attack terminal log information specifying unit 113 (F103), and the receiving unit 111 transmits the requests R101 and R111 to the data processing system 106 (F104).
  • the data processing system 106 receives the requests R101 and R111 from the receiving unit 111 (F104), and the terminal log conforming to the requests R101 and R111 from the terminal log information (process log information) D201 and the terminal log information (access log information) D301. Search for information.
  • the data processing system 106 can search the terminal log information conforming to the requests R101 and R111, the data processing system 106 transmits the attack terminal log information D221 and D321 (FIGS. 6 and 8) as search results to the receiving unit 111 (F105). ).
  • the reception unit 111 transmits the attack terminal log information D221 and D321 to the attack terminal log information specifying unit 113 (F106).
  • the attack terminal log information specifying unit 113 Upon receiving the attack terminal log information D221 and D321 from the reception unit 111, the attack terminal log information specifying unit 113 transmits the attack communication log information D421 and the attack terminal log information D221 and D321 to the terminal log information alteration detection unit 114 (F107). ). If terminal log information conforming to the requests R101 and R111 is not searched in the data processing system 106, a message “search miss hit” is transmitted from the data processing system 106 to the receiving unit 111, and the receiving unit 111 sends an attacking terminal. It is transferred to the log information specifying unit 113.
  • the request R101 includes search conditions for date, time, host name, process name (port number), etc., as shown in FIG.
  • the attack terminal log information specifying unit 113 determines the date and time search conditions so as to absorb such an allowable error (10 seconds in the example of FIG. 11). For example, since the time of the attack terminal log record D213 in FIG. 6 is within the allowable error range, the attack terminal log record D213 is extracted as attack terminal log information (process log information) D221. Similarly, since the time of the attack terminal log record D313 in FIG. 7 is also within the allowable error range, the attack terminal log record D313 is extracted as attack terminal log information (access log information) D321.
  • the request R111 will be described.
  • the request R111 includes search conditions for date, time, access source host name, access destination host name, etc., as shown in FIG. The date and time are the same as in the request R101.
  • the attack terminal log information specifying unit 113 sets “client terminal 121a”, which is the ID of the access source host in the communication log record D433 (FIG. 10), and for the access destination host, the communication log record D433 (FIG. “Server 122a” which is the ID of the access destination host in 10) is included in the request R101 as a search condition.
  • the terminal log information falsification detection unit 114 determines whether the terminal log information has been falsified. That is, the terminal log information alteration detection unit 114 receives a message of attack communication log information D421 and attack terminal log information D221, D321 or “search miss hit” from the attack terminal log information identification unit 113 (F107). When the attack terminal log information D221 and D321 are received, the terminal log information alteration detection unit 114 determines that the terminal log information has not been altered. On the other hand, when the message “search miss hit” is received, the terminal log information alteration detection unit 114 determines that the terminal log information has been altered.
  • the terminal log information alteration detection unit 114 determines that the terminal log information of the terminal described in the attack communication log information D421 (the client terminal 121a in the example of FIG. 10) has been altered, Also, it is determined that this terminal is infected with malware.
  • the client terminal 121a since the attack terminal log corresponding to the attack communication log is detected, it is assumed that the client terminal 121a has not been tampered with.
  • the terminal log information falsification detection unit 114 notifies the attack user identification unit 115 that the terminal log has not been falsified (F108).
  • the terminal log information falsification detection unit 114 informs the infection activity identification unit 116 that falsification has occurred (F117).
  • the attack user specifying unit 115 specifies the attack user in S104.
  • the attack user specifying unit 115 receives a message notifying that the terminal log information has not been tampered with and the attack terminal log information D221 and D321 from the terminal log information tamper detection unit 114 (F108), and the attack terminal log information D221.
  • the attacking user is specified from D321.
  • specification part 115 extracts the attack user who participated in all the attack steps, and specifies the attack user who performed the attack detected by the attack detection apparatus 102.
  • the attack user specifying unit 115 transmits the attack user information indicating the specified attack user to the infection activity specifying unit 116 (F109).
  • the attacking user cannot be identified, so that the attacking user is not identified (S104) and the infection activity is identified (S105).
  • the infection activity identifying unit 116 detects access from the terminal whose falsification has been made to another terminal in the communication log information D401 (FIG. 9) after the attack step 3, and the accessed terminal is malware-infected.
  • the infection activity identifying unit 116 transmits the request R221 of FIG. 22 from the receiving unit 111 to the communication log recording device 104, and acquires the necessary communication log 401 from the communication log recording device 104, thereby transmitting to another terminal. Infectious activity can be identified.
  • the infection activity identification unit 116 identifies the infection activity for other terminals. If there is no log falsification, the infection activity identification unit 116 first receives the attack user information from the attack user identification unit 115 (F109). The infection activity identification unit 116 transmits requests R201 and R211 (FIGS. 20 and 21) to the reception unit 111 in order to acquire infection activity terminal log information (malware transfer) regarding the infection activity of the attacking user (F110). The receiving unit 111 receives the requests R201 and R211 from the infection activity specifying unit 116 (F110), and transmits the requests R201 and R211 to the data processing system 106 (F111).
  • the data processing system 106 receives the requests R201 and R211 (F111), and transmits infection activity terminal log information corresponding to the requests R201 and R211 from the terminal log information to the receiving unit 111 (F112).
  • the receiving unit 111 receives attack terminal log information from the data processing system 106 (F112), and transmits the received attack terminal log information to the infection activity specifying unit 116 (F113).
  • the request R201 and the request R211 will be described.
  • the request R201 and the request R211 are requests for specifying the infection activity from the infected terminal to another terminal from the terminal log information.
  • the request R201 is a request for specifying execution of attack step 4 by the attacking user from the terminal log information (process log information) D201 (FIG. 5).
  • the infection activity identifying unit 116 identifies the infection activity by identifying whether the attacking user is performing the attack step 4.
  • the request R201 identifies the terminal log information (process log information) record D214 (FIG. 5).
  • the identified terminal log information (process log information) record D214 is registered in the infection activity terminal log information (process log information) D241 (FIG. 16).
  • the request R211 is a request that specifies from the terminal log information (access log information) D301 (FIG. 7) that the infected terminal has accessed another terminal after the attack step 3.
  • D321 In the attack terminal log (access log information)
  • the infection activity specifying unit 116 is infected after “2013/01/05 12:00:00”.
  • a search is made for a terminal in the data processing system 106 in which a file has been transmitted from the user 122a1 who is an attacking user of the client terminal 121a which is a terminal.
  • terminal log information access log information
  • D313 and D314 (FIG. 7) are specified.
  • the infection activity specifying unit 116 specifies that the user 122a1 who is the attacking user of the client terminal 121a has transmitted malware to the server terminal 122a.
  • the server terminal 122a is likely to be infected with malware.
  • the identified terminal log information (access log information) records D313 and D314 are registered in the infection activity terminal log information (access log information) D341 (FIG. 17).
  • the infection activity specifying unit 116 uses the communication log information (FIG. 9) to specify the infection range.
  • the infection activity identification unit 116 receives falsified information from the terminal log information falsification detection unit 114 (F117).
  • the infection activity identification unit 116 transmits a request R221 to the reception unit 111 to acquire infection activity communication log information (malware transfer) (F110).
  • the receiving unit 111 receives the request R221 from the infection activity identifying unit 116 (F110), and transmits the request R221 to the attack detection apparatus 102 (F118).
  • the attack detection device 102 receives the request R221 (F118), searches the communication log recording device 104 for infection activity communication log information D441 (FIG. 18) corresponding to the request R221 from the communication log information, and searches for the infection activity communication log information searched.
  • D441 (FIG. 18) is transmitted to the receiver 111 (F119).
  • the reception unit 111 receives the infection activity communication log information D441 (FIG. 18) from the attack detection apparatus 102 (F119), and transmits the received infection activity communication log information D441 (FIG.
  • the request R221 is a request for specifying the infection activity from the infected terminal to another terminal from the communication log information (FIG. 9).
  • the request R221 is a request that specifies that the infected terminal has accessed another terminal after the attack step 3.
  • the infection activity specifying unit 116 is the client terminal that is the infected terminal after “2013/01/05 12:00:00”.
  • the terminal in the data processing system 106 accessed from 121a is searched.
  • the request R221 specifies the record D414 of the communication log information (FIG. 9).
  • the infection activity identifying unit 116 identifies that there is a possibility that malware has been transmitted from the client terminal 121a to the server terminal 122a.
  • the server terminal 122a is likely to be infected with malware.
  • the identified communication log information record D414 is registered in the infection activity log information D441 (FIG. 18).
  • the infection activity identifying unit 116 detects an infection activity for another terminal (YES in S106)
  • the infection activity identifying unit 116 when the log is not falsified, the infection activity terminal log information D241 and D341 received in S105. If the log is falsified, the infection activity communication log information D441 received in S105 is transmitted to the attacking terminal log information specifying unit 113 (F114). Then, when receiving the infection activity terminal log information D241, D341 or the infection activity communication log information D441 from the infection activity identification unit 116 (F114), the attack terminal log information identification unit 113 receives the infection activity destination terminal (infection activity terminal log).
  • the processing from S102 onward is repeated for the terminal log information related to the server terminal 122a). That is, the search of the terminal log information by the attack terminal log information specifying unit 113 and the specification of the terminal that may be infected by the malware by the infection activity specifying unit 16 are repeated.
  • the attack terminal log information specifying unit 113 specifies the attack terminal log information D221 and D321 from the attack communication log information D421.
  • the infection activity terminal log information D241 and D341 and the infection activity communication log information D441 specified in S106 are For the terminal of the infection activity destination, it is an attack at the initial infiltration (sending malware) stage.
  • the attack terminal log information specifying unit 113 adds the label of attack step 2 to the attack terminal log information D221 and D321 and the attack communication log information D421, and the attack terminal log information D221 and D321 and the attack communication log information D421. Records of infection activity terminal log information D241 and D341 and attack communication log information D441 to which the label is added are added.
  • the infection activity identifying unit 116 does not detect an infection activity for another terminal (NO in S106)
  • a record relating to the infected terminal discovered so far is registered in the terminal infection information D501 (FIG. 13).
  • the infection activity identification unit 116 registers terminal infection records D511 to D516 in the terminal infection information D501.
  • the infection activity identification unit 116 transmits the terminal infection information D501 to the transmission unit 112 (F115).
  • the transmission unit 112 transmits the terminal infection information D501 to the monitoring device 107.
  • the monitoring device 107 displays the terminal infection information D501 on the display. Thereby, the network security administrator can confirm that the client terminals 121a, 122b, 121d and the server terminal 122a are infected with malware.
  • the terminal log information alteration detection unit 114 detects an attacker's attack concealment activity in order to determine whether the terminal log information has been tampered with using the attack communication log information. can do. By detecting falsification of the terminal log information, it becomes possible to identify the malware infection range at an early stage by a method other than the analysis of the log information.
  • the behavior after the attacker has entered the terminal is tracked from the log, which is useful, for example, for specifying the malware infection range called RAT (Remote Administration Tool).
  • RAT Remote Administration Tool
  • terminal log information can be held for each terminal, there is no need to periodically upload log information from the terminal to the log server, and traffic in the data processing system is suppressed. Can do. Further, since the user is not constantly monitored for the operation in the terminal, the user does not feel mental stress. Furthermore, by identifying the attacking user, it is possible to grasp a series of attack contents of the attacking user. Further, if the user is not an attacking user, even if a log similar to an attack such as execution file transfer is specified, it is irrelevant to the attack.
  • the attacking terminal log information specifying unit 113 adds terminal log information (process log information) and information on the file that has accessed the terminal log information (access log information), so that terminal log information (process log information) and terminal log information ( (Access log information) may be associated. Further, the attacking terminal log information specifying unit 113 adds a process ID to the terminal log information (process log information) and the terminal log information (access log information), so that the terminal log information (process log information) and the terminal log information (access Log information) may be associated with each other. Further, even when information cannot be added to the terminal log information (process log information) and the terminal log information (access log information), the attack terminal log information specifying unit 113 performs the process of the terminal log information (process log information) and the terminal log information.
  • Corresponding terminal log information (process log information) and terminal log information (access log information) may be estimated from the access file and event of (access log information).
  • By associating the terminal log information (process log information) with the terminal log information (access log information) described above only the request related to the terminal log information (process log information) or the request related to the terminal log information (access log information) Attack terminal log information and infected terminal log information can be acquired.
  • the access source host and the access destination host described in the attack communication log information and the terminal log information may be defined by an access source IP (Internet Protocol) address and an access destination IP address, respectively. Even if the communication log information records the host name and the terminal log information records the IP address, the attack terminal log information specifying unit 113 uses the host name and IP address correspondence table to perform attack communication. Log information and terminal log information can be linked. Further, the attack terminal log information specifying unit 113 can link the attack communication log information and the terminal log information by using a correspondence table recorded in a DNS (Domain Name System) server, an authentication server, or the like. .
  • DNS Domain Name System
  • the attack terminal log information specifying unit 113 adds an MAC (Media Access Control) address to the communication log information and the terminal log information, thereby making an attack communication log.
  • Information and terminal log information can be linked.
  • the attack user specifying unit 115 may specify an attack user involved in a main attack step instead of all attack steps.
  • the attacking user identification unit 115 identifies account switching to another user (such as logging in with another account using the su command during login, etc.), and selects an attacking user group considering the usage account relationship between users. It may be specified.
  • the attack user specifying unit 115 monitors other user account acquisition behavior such as password exploitation by brute force and password hash acquisition in the attack step 3 and the attack step 4 to specify the attack user group. Good.
  • the attacking user specifying unit 115 specifies the attacking user by specifying a user who performs an activity different from that of the general user such as downloading a plurality of files and frequent access to other terminals in the attacking step 3 and the attacking step 4. You may make it do.
  • infection activity identification unit 116 performs infection activities on other terminals such as file execution on other terminals of the attacking user identified by the attack user identification unit 115, remote access to other terminals and file download on other terminals. It may be specified.
  • the client terminal 121 and the server terminal 122 have the client terminal log recording device 131 and the server terminal log recording device 132, respectively.
  • a log server processing log information server device
  • each client terminal 121 and each server terminal 122 uploads each terminal log information to the log server.
  • the client terminal log recording device 131 and the server terminal log recording device 132 held by the client terminal 121 and the server terminal 122, respectively may be collected in a log server.
  • terminal log information can be centrally managed, and maintenance and operation of terminal log information become easy.
  • the infection range specifying device 101 does not need to acquire terminal log information from the client terminal log recording device 131 or the server terminal log recording device 132 of each terminal, and it is only necessary to acquire terminal log information from only the log server.
  • Embodiment 3 In the above-described second embodiment, the configuration in which the client terminal log recording device 131 and the server terminal log recording device 132 held by the client terminal 121 and the server terminal 122 are collected in the log server is shown.
  • the infection range identification device 101 may have the client terminal log recording device 131 and the server terminal log recording device 132. That is, the infection range specifying apparatus 101 may be provided with a storage area (processing log information storage unit) for storing terminal log information of the client terminal 121 and the server terminal 122. Thereby, the infection range identification device 101 can easily acquire the terminal log information.
  • the infection range identification device 101 is a computer, and each element of the infection range identification device 101 can be realized by a program.
  • an arithmetic device 901, an external storage device 902, a main storage device 903, a communication device 904, and an input / output device 905 are connected to a bus.
  • the arithmetic device 901 is a CPU (Central Processing Unit) that executes a program.
  • the external storage device 902 is, for example, a ROM (Read Only Memory), a flash memory, or a hard disk device.
  • the main storage device 903 is a RAM (Random Access Memory).
  • the communication device 904 corresponds to the physical layer of the reception unit 111 and the transmission unit 112.
  • the input / output device 905 is, for example, a mouse, a keyboard, a display device, or the like.
  • the program is normally stored in the external storage device 902, and is loaded into the main storage device 903 and sequentially read into the arithmetic device 901 and executed.
  • the program is a program that realizes the function described as “unit” shown in FIG.
  • an operating system (OS) is also stored in the external storage device 902. At least a part of the OS is loaded into the main storage device 903, and the arithmetic device 901 executes “OS” shown in FIG. ”Is executed.
  • FIG. 23 is merely an example of the hardware configuration of the infection range identification device 101, and the hardware configuration of the infection range identification device 101 is not limited to the configuration illustrated in FIG. There may be.
  • the attack detection device 102, the security device 103, the client terminal 121, and the server terminal 122 described in the first to fourth embodiments may have the hardware configuration shown in FIG. 23, or other hardware configurations. May be.
  • the information processing method according to the present invention can be realized by the procedure shown in the first to fourth embodiments.
  • 101 infection range identification device 101 infection range identification device, 102 attack detection device, 103 security device, 104 communication log recording device, 106 data processing system, 107 monitoring device, 108 switch, 109 internet, 111 reception unit, 112 transmission unit, 113 attack terminal log information identification Unit, 114 terminal log information alteration detection unit, 115 attack user identification unit, 116 infection activity identification unit, 121 client terminal, 122 server terminal, 131 client terminal log recording device, 132 server terminal log recording device.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Databases & Information Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Data Mining & Analysis (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

　受信部（１１１）は、データ処理システム（１０６）で発生したデータ通信のログ情報を通信ログ情報として受信する。攻撃端末ログ情報特定部（１１３）は、データ処理システム（１０６）で行われたデータ処理のログ情報である複数の処理ログ情報の中から、通信ログ情報に基づき、前記データ通信に関係するデータ処理の処理ログ情報を検索する。端末ログ情報改ざん検出部（１１４）は、攻撃端末ログ情報特定部（１１３）により該当する処理ログ情報が検索されない場合に、複数の処理ログ情報のうちの少なくとも一部の処理ログ情報が改ざんされていると判定する。

Description

情報処理装置及び情報処理方法及びプログラム
　本発明は、情報セキュリティ技術に関する。
　特許文献１は、マルウェアに感染した感染範囲を特定する感染範囲特定装置を開示している。
　特許文献１の感染範囲特定装置は、アンチウイルスソフトを用いて、マルウェアに感染したファイルを特定し、特定したファイルにアクセスした端末を特定することによって、感染範囲の特定を行っている（特許文献１）。
　また、特許文献２では、パケットのシグネチャを用いて、マルウェアを特定するとともに、パケットの送り元／送り先から、感染経路を特定する感染経路特定装置が開示されている。
　また、特許文献３では、潜伏タイプのマルウェアを検出するマルウェア検出装置が開示されている。
　特許文献３のマルウェア検出装置は、マルウェアの通信の特徴を捉えることによって、感染端末に指令を出すサーバ装置や感染端末を特定する。
　また、特許文献４では、マルウェアの特徴的な動作であるレジストリやプログラムの書きかえ動作を監視し、マルウェアの感染を検知するファイルアクセス監視装置が開示されている（特許文献４）。
特許第４７０５９６１号 特開２０１１－１０１１７２号公報 特開２００９－１１０２７０号公報 特開２００５－１４８８１４号公報
　しかしながら、特許文献１～４は、標的型攻撃に対処できないという課題がある。
　標的型攻撃では、攻撃者がデータ処理システム内の端末に侵入し、侵入した端末に攻撃者がマルウェアをダウンロードする。
　そして、攻撃者は、マルウェアがダウンロードされた端末を用いてデータ処理システム内でマルウェアの感染範囲を拡大させていく。
　このような標的型攻撃によるマルウェアの感染範囲を特定するためには、端末のログ情報を解析して攻撃者が端末に侵入した後の行動を追跡することが必要である。
　しかしながら、攻撃者の行動を隠ぺいするために攻撃者が端末のログ情報を改ざんする場合がある。
　攻撃者が端末のログ情報を改ざんしている場合には、改ざん後のログ情報を解析しても攻撃者の行動は追跡することはできない。
　しかし、端末ログが改ざんされていることを特定することができれば、端末が感染していることを特定することができる。
　このように、マルウェアの感染範囲を特定するにあたり、ログ情報が改ざんされているかどうかを見極めることは非常に重要である。
　本発明は、このような事情に鑑みたものであり、ログ情報が改ざんされているかどうかを判定する構成を得ることを主な目的とする。
　本発明に係る情報処理装置は、
　データ処理システムで発生したデータ通信のログ情報を通信ログ情報として受信する受信部と、
　前記データ処理システムで行われたデータ処理のログ情報である複数の処理ログ情報の中から、前記通信ログ情報に基づき、前記データ通信に関係するデータ処理の処理ログ情報を検索するログ情報検索部と、
　前記ログ情報検索部により該当する処理ログ情報が検索されない場合に、前記複数の処理ログ情報のうちの少なくとも一部の処理ログ情報が改ざんされていると判定する改ざん判定部とを有することを特徴とする。
　本発明によれば、複数の処理ログ情報のうちの少なくとも一部の処理ログ情報が改ざんされていることを判定することができる。
実施の形態１に係るシステム構成例を示す図。 実施の形態１に係る感染範囲特定装置の動作例を示すフローチャート図。 実施の形態１に係るネットワーク構成例を示す図。 実施の形態１に係る攻撃シナリオ検知情報の例を示す図。 実施の形態１に係る端末ログ情報（プロセスログ情報）の例を示す図。 実施の形態１に係る攻撃端末ログ情報（プロセスログ情報）の例を示す図。 実施の形態１に係る端末ログ情報（アクセスログ情報）の例を示す図。 実施の形態１に係る攻撃端末ログ情報（アクセスログ情報）の例を示す図。 実施の形態１に係る通信ログ情報の例を示す図。 実施の形態１に係る攻撃通信ログ情報の例を示す図。 実施の形態１に係るリクエストの例を示す図。 実施の形態１に係るリクエストの例を示す図。 実施の形態１に係る端末感染情報の例を示す図。 実施の形態１に係る感染範囲特定装置のデータフローの例を示す図。 実施の形態１に係る感染範囲特定装置のデータフローの例を示す図。 実施の形態１に係る感染活動端末ログ情報（プロセスログ情報）の例を示す図。 実施の形態１に係る感染活動端末ログ情報（アクセスログ情報）の例を示す図。 実施の形態１に係る感染活動通信ログ情報の例を示す図。 実施の形態１に係るポート番号一覧の例を示す図。 実施の形態１に係るリクエストの例を示す図。 実施の形態１に係るリクエストの例を示す図。 実施の形態１に係るリクエストの例を示す図。 実施の形態１～４に係る感染範囲特定装置のハードウェア構成例を示す図。
　実施の形態１．
　図１は、本実施の形態に係る感染範囲特定装置１０１を含むシステム構成例を示す。
　感染範囲特定装置１０１は、データ処理システム１０６で記録されているログ情報に改ざんがあるかどうかを調査する。
　また、感染範囲特定装置１０１は、マルウェアの感染範囲を特定する。
　感染範囲特定装置１０１は、情報処理装置の例である。
　セキュリティ機器１０３は、通信ログ情報を通信ログ記録装置１０４に記録する。
　通信ログ記録装置１０４は、例えば、図９に示す形式で、通信ログ情報を記録する。
　通信ログ情報には、日付、時刻、状態、サービス、アクセス元ホスト、アクセス先ホスト、プロトコル、アクセス元ポート、アクセス先ポートといった、データ通信の属性を表す通信属性値が記述されている。
　セキュリティ機器１０３は、例えば、ＦＷ（ファイアウォール）やＩＤＳ／ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ／Ｉｎｔｒｕｓｉｏｎ　Ｐｒｅｖｅｎｔｉｏｎ　Ｓｙｓｔｅｍ）、プロキシサーバが考えられる。
　攻撃検知装置１０２は、通信ログ記録装置１０４に記録された通信ログ情報を分析し、攻撃を検知する。
　また、攻撃検知装置１０２は、検知した攻撃に関係するデータ通信（以下、攻撃データ通信という）の通信ログ情報を、攻撃通信ログ情報として感染範囲特定装置１０１に送信する。
　例えば、攻撃検知装置１０２は、図１０に示す攻撃通信ログ情報を感染範囲特定装置１０１に送信する。
　また、攻撃検知装置１０２は、通信ログ情報を分析した結果、例えば、図４に示す攻撃シナリオ検知情報に、クライアント端末１２１ごと、サーバ端末１２２ごとに攻撃の進展度合いを記録する。
　図４において、「１．攻撃準備」は、攻撃者が標的とする組織のＷｅｂページを閲覧したり、組織が刊行している冊子等から標的型メールを作成したり、組織に適したマルウェアを作成する段階である。
　「２．初期潜入」は、攻撃者が標的型メール等によって、標的となる組織に接触しマルウェアを送り込む段階である。
　「３．攻撃基盤構築」は、マルウェアが起動し、情報収集に必要な攻撃基盤を構築する段階であり、一つの端末において標的型攻撃に添付されたマルウェアやＵＲＬ等がクリックされ、マルウェアが組織に感染する段階を含んでいる。
　「４．システム調査段階」は、攻撃者が、マルウェアに感染した端末から社内システムの調査を行う段階であり、より重要な情報を取得するために、次々と他端末を感染させる段階である。
　「５．最終目的遂行段階」は、情報の漏洩や、システム破壊が発生する段階である。
　図４において、「攻撃あり」とは、通信ログ情報から攻撃が検出されたことを示し、「攻撃なし」とは、通信ログ情報から攻撃が検出されなかったことを示し、「兆候あり」とは、通信ログ情報から攻撃の兆候が検出されたことを示す。
　図４では、例えば、通信ログ情報から、クライアント端末１２１ａに対して攻撃ステップ１～３の攻撃の兆候が検出され、攻撃ステップ４の攻撃が検出されたが、攻撃ステップ５の攻撃は検出されなかったことが示されている。
　監視装置１０７は、感染範囲特定装置１０１で得られたマルウェアの感染範囲を表示する。
　攻撃検知装置１０２により攻撃が検知された際に、ネットワークセキュリティ管理者は被害範囲の特定結果を監視装置１０７から確認することができる。
　データ処理システム１０６は、複数のクライアント端末１２１と複数のサーバ端末１２２で構成される。
　クライアント端末１２１とサーバ端末１２２を区別する必要がないときは、両者をまとめて端末という。
　データ処理システム１０６では、クライアント端末１２１ごとにクライアント端末ログ記録装置１３１が設けられ、また、サーバ端末１２２ごとにサーバ端末ログ記録装置１３２が設けられている。
　クライアント端末１２１は、クライアント端末１２１で行われたデータ処理のログ情報である端末ログ情報をクライアント端末ログ記録装置１３１に格納する。
　また、サーバ端末１２２は、サーバ端末１２２で行われたデータ処理のログ情報である端末ログ情報をサーバ端末ログ記録装置１３２に格納する。
　クライアント端末ログ記録装置１３１及びサーバ端末ログ記録装置１３２は、処理ログ情報データベースの例に相当する。
　端末ログ情報は、図５に示すプロセスログ情報と図７に示すアクセスログ情報がある。
　プロセスログ情報及びアクセスログ情報には、それぞれ、クライアント端末１２１又はサーバ端末１２２でのデータ処理の属性を表す処理属性値が記述されている。
　つまり、プロセスログ情報では、図５に示すように、日付、時刻、ホスト名、ユーザ（アカウント）、プロセス（実行ファイル）という処理属性値が記述されている。
　また、アクセスログ情報では、図７に示すように、日付、時刻、アクセス元ホスト、アクセス先ホスト、アクセス元ユーザ、アクセス先ユーザ、アクセスファイル、イベントという処理属性値が記述されている。
　以下では、プロセスログ情報は、端末ログ情報（プロセスログ情報）とも表記し、アクセスログ情報は、端末ログ情報（アクセスログ情報）とも表記する。
　また、端末ログ情報（プロセスログ情報）と端末ログ情報（アクセスログ情報）を区別する必要がないときは、両者をまとめて端末ログ情報という。
　端末ログ情報（プロセスログ情報）及び端末ログ情報（アクセスログ情報）は、処理ログ情報の例に相当する。
　図１に示す各要素は、例えば、図３に示すように接続されている。
　図３において、スイッチ１０８は、データ処理システム１０６内のクライアント端末１２１及びサーバ端末１２２と、感染範囲特定装置１０１と、攻撃検知装置１０２と、セキュリティ機器１０３を接続する。
　セキュリティ機器１０３は、インターネット１０９と接続されており、データ処理システム１０６内のクライアント端末１２１及びサーバ端末１２２とインターネット１０９との間のデータ通信を中継する。
　そして、セキュリティ機器１０３は、クライアント端末１２１及びサーバ端末１２２とインターネット１０９との間のデータ通信について通信ログ情報を通信ログ記録装置１０４に格納する。
　次に、図１に示す感染範囲特定装置１０１の内部構成を説明する。
　受信部１１１は、攻撃検知装置１０２から攻撃通信ログ情報を受信する。
　送信部１１２は、マルウェアの感染範囲を示す端末感染情報を監視装置１０７に送信する。
　端末感染情報は、例えば、図１３に示す情報である。
　端末感染情報では、クライアント端末１２１ごと、サーバ端末１２２ごとに、マルウェアの感染又はログの改ざんが検知された日、時刻、マルウェアの感染有無、ログの改ざん有無、攻撃ユーザ、検知されたマルウェア、攻撃ステップ（図４の攻撃ステップ）が示される。
　攻撃端末ログ情報特定部１１３は、受信部１１１が受信した攻撃通信ログ情報に基づき、クライアント端末ログ記録装置１３１及びサーバ端末ログ記録装置１３２の端末ログ情報（プロセスログ情報）及び端末ログ情報（アクセスログ情報）の中から、攻撃データ通信に関係するデータ処理の端末ログ情報を検索する。
　攻撃データ通信に関係する端末ログ情報として、攻撃端末ログ情報特定部１１３が検索した端末ログ情報（プロセスログ情報）を攻撃端末ログ情報（プロセスログ情報）という。
　また、攻撃データ通信に関係する端末ログ情報として、攻撃端末ログ情報特定部１１３が検索した端末ログ情報（アクセスログ情報）を攻撃端末ログ情報（アクセスログ情報）という。
　例えば、攻撃端末ログ情報特定部１１３は、図６に示す攻撃端末ログ情報（プロセスログ情報）を検索し、また、図８に示す攻撃端末ログ情報（アクセスログ情報）を検索する。
　なお、攻撃端末ログ情報（プロセスログ情報）と攻撃端末ログ情報（アクセスログ情報）を区別する必要がないときは、両者をまとめて攻撃端末ログ情報という。
　攻撃端末ログ情報特定部１１３は、ログ情報検索部の例に相当する。
　端末ログ情報改ざん検出部１１４は、攻撃端末ログ情報特定部１１３により攻撃端末ログ情報が検索されない場合に、端末ログ情報が改ざんされていると判定する。
　より具体的には、端末ログ情報改ざん検出部１１４は、攻撃通信ログ情報で通知されているクライアント端末１２１又はサーバ端末１２２の端末ログ情報が改ざんされていると判定する。
　攻撃データ通信によって攻撃者が端末に侵入した場合は、マルウェアのダウンロード等のデータ処理が端末で行われるので、通常であれば、このようなデータ処理の履歴が端末ログ情報に残っている。
　従って、端末ログ情報の改ざんがなければ、攻撃データ通信から生じたデータ処理が記述された端末ログ情報が攻撃端末ログ情報として検索されるはずである。
　攻撃端末ログ情報が検索されない場合は、攻撃者が行動を隠ぺいするために端末ログ情報を改ざんしたと推測できる。
　このため、端末ログ情報改ざん検出部１１４は、攻撃端末ログ情報特定部１１３により攻撃端末ログ情報が検索されない場合は、端末ログ情報が改ざんされたと判定する。
　また、端末ログ情報改ざん検出部１１４は、攻撃端末ログ情報特定部１１３により攻撃端末ログ情報が検索されない場合は、攻撃通信ログ情報で通知されているクライアント端末１２１又はサーバ端末１２２がマルウェアに感染していると判定する。
　例えば、受信部１１１が図１０の攻撃通信ログ情報を受信した場合に、攻撃端末ログ情報特定部１１３が図１０の攻撃通信ログ情報に基づいて端末ログ情報を検索しても、該当する攻撃ログ情報を検索できなかった場合を想定する。
　この場合は、端末ログ情報改ざん検出部１１４は、攻撃通信ログ情報で通知されているクライアント端末１２１ａの端末ログ情報が改ざんされていると判定し、また、クライアント端末１２１ａがマルウェアに感染されていると判定する。
　なお、端末ログ情報改ざん検出部１１４は、改ざん判定部の例に相当する。
　攻撃ユーザ特定部１１５は、端末ログ情報改ざん検出部１１４により端末ログ情報が改ざんされていないと判定された場合に、全ての攻撃フェーズに関与したユーザ（攻撃ユーザ）を特定し、攻撃ユーザが記述される攻撃ユーザ情報を感染活動特定部１１６に送信する。
　例えば、図６の攻撃端末ログ情報Ｄ２２１及び図８の攻撃端末ログ情報Ｄ３２１において、クライアント端末１２１ａのユーザであるｕｓｅｒ１２１ａ１は攻撃ステップ２、３、４の全ての攻撃ステップに関与しており（攻撃ステップ１はログに残らないため左記に含まない）、一連の標的型攻撃に関与したユーザである。
　このため、攻撃ユーザ特定部１１５は、ｕｓｅｒ１２１ａ１を攻撃ユーザと見なす。
　感染活動特定部１１６は、攻撃ユーザ特定部１１５から攻撃ユーザ情報を受信し、攻撃ユーザが感染活動を行った範囲を特定する。
　具体的には、感染活動特定部１１６は、図１６の感染活動端末ログ情報（プロセスログ情報）Ｄ２４１（ｆｔｐ．ｅｘｅはファイル転送に利用されるプロセス）や図１７の感染活動端末ログ情報（アクセスログ情報）Ｄ３４１のように、攻撃ユーザの他端末へのファイル転送を検出する。
　さらに、感染活動特定部１１６は、図５の端末ログ情報（プロセスログ情報）のレコードＤ２１６のように転送されたファイルが転送先で実行された場合や、図１７の感染活動端末ログ情報（アクセスログ情報）のレコードＤ３５２のように転送されたファイルが転送先で端末ファイルアクセスされた場合は、感染したと判断することができる。
　感染活動特定部１１６は、機器特定部の例に相当する。
　次に、本実施の形態に係る感染範囲特定装置１０１の動作例を図２、図１４及び図１５を参照して説明する。
　なお、図２は、感染範囲特定装置１０１の動作例を示すフローチャート図である。
　また、図１４及び図１５は、感染範囲特定装置１０１におけるデータフローを示す。
　まず、感染範囲を特定する前に、攻撃検知装置１０２が、通信ログ情報から攻撃検知を行う。
　攻撃検知装置１０２は、セキュリティ機器１０３が管理する通信ログ記録装置１０４から解析に必要な通信ログ情報Ｄ４０１を抽出し、抽出した通信ログ情報Ｄ４０１の解析を行う。
　解析の結果、攻撃検知装置１０２は攻撃通信ログ情報Ｄ４２１を特定し、攻撃通信ログ情報Ｄ４２１を感染範囲特定装置１０１に送信する（Ｆ１０１）。
　なお、攻撃検知装置１０２の攻撃検知の手法はどのようなものでもよい。
　Ｓ１０１では、感染範囲特定装置１０１の受信部１１１が、攻撃検知装置１０２から送信された攻撃通信ログ情報Ｄ４２１を受信する（Ｆ１０１）。
　また、受信部１１１は、攻撃端末ログ情報特定部１１３に攻撃通信ログ情報Ｄ４２１を送信する（Ｆ１０２）。
　以下では、受信部１１１が、図１０の攻撃通信ログレコードＤ４３１～４３３を攻撃通信ログ情報Ｄ４２１として受信したと仮定して説明を進める。
　ここで、攻撃通信ログレコードＤ４３１は、攻撃ステップ：２が記載され、アクセス先ホスト：クライアント端末１２１ａが記載されており、攻撃シナリオ検知情報Ｄ１０１のレコードＤ１１１から攻撃検知装置１０２により「兆候あり」と判定されたレコードである。
　また、攻撃通信ログレコードＤ４３２は、攻撃ステップ：３が記載され、アクセス元ホスト：クライアント端末１２１ａが記載されており、同様に攻撃シナリオ検知情報Ｄ１０１のレコードＤ１１１から攻撃検知装置１０２により「兆候あり」と判定されたレコードである。
　また、攻撃通信ログレコードＤ４３３は、攻撃ステップ：４が記載され、アクセス元ホスト：クライアント端末１２１ａが記載されており、同様に攻撃シナリオ検知情報Ｄ１０１のレコードＤ１１１から攻撃検知装置１０２により「攻撃あり」と判定されたレコードである。
　Ｓ１０２では、攻撃端末ログ情報特定部１１３が、攻撃通信ログ情報Ｄ４２１に対応する攻撃端末ログ情報を検索する。
　まず、攻撃端末ログ情報特定部１１３は受信部１１１から攻撃通信ログ情報Ｄ４２１を受信する（Ｆ１０２）。
　そして、攻撃端末ログ情報特定部１１３は、攻撃通信ログ情報Ｄ４２１に関係のある攻撃端末ログ情報を取得するために、受信部１１１に攻撃端末ログ（プロセスログ）特定用リクエストＲ１０１（以下、単にリクエストＲ１０１ともいう）と攻撃端末ログ（アクセスログ）特定用リクエストＲ１１１（以下、単にリクエストＲ１１１ともいう）を送信する（Ｆ１０３）。
　攻撃端末ログ情報特定部１１３は、攻撃通信ログ情報Ｄ４２１から、例えば、図１１に示すリクエストＲ１０１と図１２に示すリクエストＲ１１１を生成する。
　ここで、図５の端末ログ情報（プロセスログ情報）Ｄ２０１（以下、端末ログＤ２０１ともいう）、図７の端末ログ情報（アクセスログ情報）Ｄ３０１（以下、単に端末ログＤ３０１ともいう）に通信ポート情報が記載されている場合には、攻撃端末ログ情報特定部１１３は、ポート番号に対応したリクエストＲ１０１及びリクエストＲ１１１を生成すればよい。
　しかしながら、端末ログ情報（プロセスログ情報）Ｄ２０１及び端末ログ情報（アクセスログ情報）Ｄ３０１からポート番号を取得できない場合は、攻撃端末ログ情報特定部１１３は、ポート番号に対応したアプリケーションによってリクエストＲ１０１及びリクエストＲ１１１を作成する。
　ポート番号とアプリケーションは、例えば図１９のポート番号一覧Ｌ１０１に対応付けられている。
　攻撃通信ログレコードＤ４３３（図１０）のアクセス先ポートは２０であり、２０番を用いてアクセスするプロセスはポート番号一覧Ｌ１０１（図１９）より「プロセス＝ｆｔｐ．ｅｘｅ」であるので、攻撃通信ログレコードＤ４３３に対応した攻撃端末ログ（プロセスログ）レコードはＤ２３３（図６）である。
　また、通信ポートが利用されているということは、ファイルの移動があったと考えられるため、「イベント＝ｍｏｖｅ」より、攻撃通信ログレコードＤ４３３に対応した攻撃端末ログ（アクセスログ）レコードはＤ３３３（図８）である。
　また、端末ログＤ２０１、Ｄ３０１にサービスが記載されている場合には、攻撃端末ログ情報特定部１１３は、攻撃通信ログＤ４２１（図１０）に記載のサービスに対応したリクエストを生成すればよい。
　リクエストＲ１０１、Ｒ１１１は、攻撃通信ログ情報Ｄ４２１に関係のある攻撃端末ログ情報を検索するための検索条件が記述された検索コマンドである。
　なお、リクエストＲ１０１、Ｒ１１１の詳細は、後述する。
　受信部１１１は攻撃端末ログ情報特定部１１３からリクエストＲ１０１、Ｒ１１１を受信し（Ｆ１０３）、受信部１１１はデータ処理システム１０６にリクエストＲ１０１、Ｒ１１１を送信する（Ｆ１０４）。
　データ処理システム１０６は、受信部１１１からリクエストＲ１０１、Ｒ１１１を受信し（Ｆ１０４）、端末ログ情報（プロセスログ情報）Ｄ２０１、端末ログ情報（アクセスログ情報）Ｄ３０１からリクエストＲ１０１、Ｒ１１１に適合した端末ログ情報を検索する。
　データ処理システム１０６は、リクエストＲ１０１、Ｒ１１１に適合した端末ログ情報を検索できた場合は、検索結果である攻撃端末ログ情報Ｄ２２１、Ｄ３２１（図６、図８）を受信部１１１に送信する（Ｆ１０５）。
　受信部１１１はデータ処理システム１０６から攻撃端末ログ情報Ｄ２２１、Ｄ３２１を受信すると、攻撃端末ログ情報特定部１１３に攻撃端末ログ情報Ｄ２２１、Ｄ３２１を送信する（Ｆ１０６）。
　攻撃端末ログ情報特定部１１３は、受信部１１１から攻撃端末ログ情報Ｄ２２１、Ｄ３２１を受信すると、攻撃通信ログ情報Ｄ４２１と攻撃端末ログ情報Ｄ２２１、Ｄ３２１を端末ログ情報改ざん検出部１１４に送信する（Ｆ１０７）。
　なお、データ処理システム１０６においてリクエストＲ１０１、Ｒ１１１に適合した端末ログ情報が検索されない場合は、「検索ミスヒット」とのメッセージがデータ処理システム１０６から受信部１１１に送信され、受信部１１１から攻撃端末ログ情報特定部１１３に転送される。
　ここで、リクエストＲ１０１を説明する。
　リクエストＲ１０１には、図１１に示すように、日付、時刻、ホスト名、プロセス名（ポート番号）等についての検索条件を含ませる。
　攻撃端末ログ情報特定部１１３は、攻撃通信ログレコードＤ４３３の日付、時刻である「２０１３／０７／３１　２０：３０：０２」から、「日付＝２０１３／０７／３１」と「時刻ｂｅｔｗｅｅｎ　２０：２９：５２　ａｎｄ　２０：３０：１２」との検索条件をリクエストＲ１０１に含ませる。
　通信ログ情報を取得する機器と端末ログ情報を取得する機器が異なるため、通信ログ情報の取得時刻と端末ログ情報の取得時刻の間に時間的なずれが生じる可能性がある。
　そこで、攻撃端末ログ情報特定部１１３は、このような許容誤差（図１１の例では、１０秒）を吸収できるようにして日付および時刻の検索条件を決定する。
　例えば、図６の攻撃端末ログレコードＤ２１３の時刻は許容誤差範囲内なので、攻撃端末ログレコードＤ２１３は攻撃端末ログ情報（プロセスログ情報）Ｄ２２１として抽出される。
　同様に、図７の攻撃端末ログレコードＤ３１３の時刻も許容誤差範囲内なので、攻撃端末ログレコードＤ３１３は攻撃端末ログ情報（アクセスログ情報）Ｄ３２１として抽出される。
　また、攻撃端末ログ情報特定部１１３は、攻撃通信ログレコードＤ４３３のアクセス元ホストのＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）である「クライアント端末１２１ａ」が特定される「ホスト名＝クライアント端末１２１ａ」と、ポート番号「２０」と、「プロセス＝ｆｔｐ．ｅｘｅ」とを検索条件としてリクエストＲ１０１に含ませる。
　「プロセス＝ｆｔｐ．ｅｘｅ」は、ポート番号一覧Ｌ１０１（図１９）に従い、ポート番号２０に対応するプロセスである「ＦＴＰ」から得られる。
　また、リクエストＲ１１１を説明する。
　リクエストＲ１１１には、図１２に示すように、日付、時刻、アクセス元ホスト名、アクセス先ホスト名等についての検索条件を含ませる。
　日付、時刻についてはリクエストＲ１０１と同様である。
　アクセス元ホストについては、攻撃端末ログ情報特定部１１３は、通信ログレコードＤ４３３（図１０）のアクセス元ホストのＩＤである「クライアント端末１２１ａ」を、アクセス先ホストについては、通信ログレコードＤ４３３（図１０）のアクセス先ホストのＩＤである「サーバ１２２ａ」を、検索条件としてリクエストＲ１０１に含ませる。
　次に、Ｓ１０３では、端末ログ情報改ざん検出部１１４が、端末ログ情報が改ざんされているか否かを判定する。
　つまり、端末ログ情報改ざん検出部１１４は、攻撃端末ログ情報特定部１１３から攻撃通信ログ情報Ｄ４２１と攻撃端末ログ情報Ｄ２２１、Ｄ３２１又は「検索ミスヒット」とのメッセージを受信する（Ｆ１０７）。
　攻撃端末ログ情報Ｄ２２１、Ｄ３２１を受信した場合は、端末ログ情報改ざん検出部１１４は端末ログ情報に改ざんがないと判定する。
　一方、「検索ミスヒット」とのメッセージを受信した場合は、端末ログ情報改ざん検出部１１４は端末ログ情報が改ざんされていると判定する。
　より具体的には、端末ログ情報改ざん検出部１１４は、攻撃通信ログ情報Ｄ４２１に記述されている端末（図１０の例では、クライアント端末１２１ａ）の端末ログ情報が改ざんされていると判定し、また、この端末がマルウェアに感染していると判定する。
　ここでは、クライアント端末１２１ａは攻撃通信ログに対応した攻撃端末ログが検出されているため、改ざんされてはいないとみなす。
　端末ログ情報が改ざんされていなければ、端末ログ情報改ざん検出部１１４は、攻撃ユーザ特定部１１５に端末ログに改ざんがないことを伝える（Ｆ１０８）。
　一方、端末ログ情報が改ざんされていれば、端末ログ情報改ざん検出部１１４は、感染活動特定部１１６に改ざんがあったことを伝える（Ｆ１１７）。
　端末ログ情報の改ざんがなければ（Ｓ１０３でＮＯ）、Ｓ１０４において、攻撃ユーザ特定部１１５が、攻撃ユーザを特定する。
　まず、攻撃ユーザ特定部１１５は、端末ログ情報改ざん検出部１１４から端末ログ情報が改ざんされていないことを通知するメッセージと攻撃端末ログ情報Ｄ２２１、Ｄ３２１を受信し（Ｆ１０８）、攻撃端末ログ情報Ｄ２２１、Ｄ３２１から攻撃ユーザを特定する。
　そして、攻撃ユーザ特定部１１５は、全ての攻撃ステップに関与した攻撃ユーザを抽出して、攻撃検知装置１０２で検知された攻撃を行った攻撃ユーザを特定する。
　また、攻撃ユーザ特定部１１５は、特定した攻撃ユーザが示される攻撃ユーザ情報を感染活動特定部１１６に送信する（Ｆ１０９）。
　一方、端末ログ情報に改ざんがあれば（Ｓ１０３でＹＥＳ）、攻撃ユーザは特定できないため、攻撃ユーザの特定（Ｓ１０４）は行われず、感染活動の特定が行われる（Ｓ１０５）。
　攻撃通信ログレコードＤ４３３に関する攻撃端末ログレコードＤ２３３、Ｄ３３３が存在しない場合は、ログが改ざんされているため、攻撃ユーザを特定することができない。
　そこで、感染活動特定部１１６は、攻撃ステップ３以降の通信ログ情報Ｄ４０１（図９）の中で、端末ログが改ざんされた端末から他端末へアクセスを検出し、アクセスされた端末はマルウェア感染の可能性のある端末とする。
　この例では、感染活動特定部１１６は、図２２のリクエストＲ２２１を受信部１１１から通信ログ記録装置１０４へ送信し、通信ログ記録装置１０４から必要な通信ログ４０１を取得することによって、他端末への感染活動を特定することができる。
　ログ改ざんがない場合でも、Ｓ１０５において、感染活動特定部１１６が、他の端末に対する感染活動を特定する。
　ログ改ざんがない場合は、まず感染活動特定部１１６が、攻撃ユーザ特定部１１５から攻撃ユーザ情報を受信する（Ｆ１０９）。
　感染活動特定部１１６は、攻撃ユーザの感染活動に関する感染活動端末ログ情報（マルウェア転送）を取得するため、受信部１１１にリクエストＲ２０１、Ｒ２１１（図２０、図２１）を送信する（Ｆ１１０）。
　受信部１１１は、感染活動特定部１１６からリクエストＲ２０１、Ｒ２１１を受信し（Ｆ１１０）、データ処理システム１０６へリクエストＲ２０１、Ｒ２１１を送信する（Ｆ１１１）。
　データ処理システム１０６はリクエストＲ２０１、Ｒ２１１を受信し（Ｆ１１１）、端末ログ情報からリクエストＲ２０１、Ｒ２１１に応じた感染活動端末ログ情報を受信部１１１に送信する（Ｆ１１２）。
　受信部１１１はデータ処理システム１０６から攻撃端末ログ情報を受信し（Ｆ１１２）、受信した攻撃端末ログ情報を感染活動特定部１１６に送信する（Ｆ１１３）。
　ここで、リクエストＲ２０１とリクエストＲ２１１を説明する。
　リクエストＲ２０１とリクエストＲ２１１は感染端末から他端末への感染活動を端末ログ情報の中から特定するリクエストである。
　リクエストＲ２０１は攻撃ユーザによる攻撃ステップ４の実行を端末ログ情報（プロセスログ情報）Ｄ２０１（図５）の中から特定するリクエストである。
　攻撃ステップ４は、他端末への感染活動に関する攻撃ステップであるため、感染活動特定部１１６は、攻撃ユーザが攻撃ステップ４を行っているかを特定することによって感染活動を特定する。
　リクエストＲ２０１により、端末ログ情報（プロセスログ情報）レコードＤ２１４（図５）が特定される。
　特定された端末ログ情報（プロセスログ情報）レコードＤ２１４は感染活動端末ログ情報（プロセスログ情報）Ｄ２４１（図１６）に登録される。
　また、リクエストＲ２１１は攻撃ステップ３以降に感染端末が他端末へアクセスしたことを端末ログ情報（アクセスログ情報）Ｄ３０１（図７）の中から特定するリクエストである。
　攻撃端末ログ（アクセスログ情報）Ｄ３２１（図８）において、攻撃ステップ３のログはレコードＤ３３２であるため、感染活動特定部１１６は、「２０１３／０５／０５　１２：００：００」以降で、感染端末であるクライアント端末１２１ａの攻撃ユーザであるｕｓｅｒ１２２ａ１からファイル送信（ｍｏｖｅ）されたデータ処理システム１０６内の端末を探索する。
　リクエストＲ２１１により、端末ログ情報（アクセスログ情報）レコードＤ３１３、Ｄ３１４（図７）が特定される。
　これにより、感染活動特定部１１６は、クライアント端末１２１ａの攻撃ユーザであるｕｓｅｒ１２２ａ１がサーバ端末１２２ａへマルウェアを送信したことを特定する。
　サーバ端末１２２ａはマルウェアに感染している可能性が高い。
　特定された端末ログ情報（アクセスログ情報）レコードＤ３１３、Ｄ３１４は感染活動端末ログ情報（アクセスログ情報）Ｄ３４１（図１７）に登録される。
　一方、ログが改ざんされた場合は、端末ログ情報を利用することができないため、感染活動特定部１１６は、通信ログ情報（図９）を利用して、感染範囲を特定する。
　まず、感染活動特定部１１６が、端末ログ情報改ざん検出部１１４から改ざんありの情報を受信する（Ｆ１１７）。
　感染活動特定部１１６は、感染活動通信ログ情報（マルウェア転送）を取得するため、受信部１１１にリクエストＲ２２１を送信する（Ｆ１１０）。
　受信部１１１は、感染活動特定部１１６からリクエストＲ２２１を受信し（Ｆ１１０）、攻撃検知装置１０２へリクエストＲ２２１を送信する（Ｆ１１８）。
　攻撃検知装置１０２はリクエストＲ２２１を受信し（Ｆ１１８）、通信ログ情報からリクエストＲ２２１に応じた感染活動通信ログ情報Ｄ４４１（図１８）を通信ログ記録装置１０４から検索し、検索した感染活動通信ログ情報Ｄ４４１（図１８）を受信部１１１に送信する（Ｆ１１９）。
　受信部１１１は攻撃検知装置１０２から感染活動通信ログ情報Ｄ４４１（図１８）を受信し（Ｆ１１９）、受信した感染活動通信ログ情報Ｄ４４１（図１８）を感染活動特定部１１６に送信する（Ｆ１１３）。
　ここで、リクエストＲ２２１を説明する。
　リクエストＲ２２１は感染端末から他端末への感染活動を通信ログ情報（図９）の中から特定するリクエストである。
　リクエストＲ２２１は、攻撃ステップ３以降に感染端末が他端末へアクセスしたことを特定するリクエストである。
　攻撃通信ログ情報（図１０）において、攻撃ステップ３のログはレコードＤ４３２であるため、感染活動特定部１１６は、「２０１３／０５／０５　１２：００：００」以降で、感染端末であるクライアント端末１２１ａからアクセスされたデータ処理システム１０６内の端末を探索する。
　リクエストＲ２２１により、通信ログ情報（図９）のレコードＤ４１４が特定される。
　これにより、感染活動特定部１１６は、クライアント端末１２１ａからサーバ端末１２２ａへマルウェアを送信された可能性があることを特定する。
　サーバ端末１２２ａはマルウェアに感染している可能性が高い。
　特定された通信ログ情報のレコードＤ４１４は感染活動ログ情報Ｄ４４１（図１８）に登録される。
　感染活動特定部１１６が他の端末に対する感染活動を検知した場合（Ｓ１０６でＹＥＳ）、感染活動特定部１１６は、ログが改ざんされなかった場合は、Ｓ１０５で受信した感染活動端末ログ情報Ｄ２４１、Ｄ３４１を、ログが改ざんされた場合は、Ｓ１０５で受信した感染活動通信ログ情報Ｄ４４１を攻撃端末ログ情報特定部１１３に送信する（Ｆ１１４）。
　そして、攻撃端末ログ情報特定部１１３は、感染活動特定部１１６から感染活動端末ログ情報Ｄ２４１、Ｄ３４１または、感染活動通信ログ情報Ｄ４４１を受信すると（Ｆ１１４）、感染活動先の端末（感染活動端末ログ情報（アクセスログ情報）Ｄ３５１であれば、サーバ端末１２２ａ）に関する端末ログ情報に対して、Ｓ１０２以降の処理を繰り返す。
　つまり、攻撃端末ログ情報特定部１１３による端末ログ情報の検索と、感染活動特定部１６によるマルウェアに感染している可能性のある端末の特定とが繰り返される。
　Ｓ１０２では、攻撃端末ログ情報特定部１１３が攻撃通信ログ情報Ｄ４２１から攻撃端末ログ情報Ｄ２２１、Ｄ３２１を特定するが、Ｓ１０６で特定された感染活動端末ログ情報Ｄ２４１、Ｄ３４１や感染活動通信ログ情報Ｄ４４１は、感染活動先の端末にとっては、初期潜入（マルウェアを送信された）段階の攻撃にあたる。
　このため、攻撃端末ログ情報特定部１１３は、攻撃端末ログ情報Ｄ２２１、Ｄ３２１や攻撃通信ログ情報Ｄ４２１に攻撃ステップ２のラベルを付加し、攻撃端末ログ情報Ｄ２２１、Ｄ３２１や攻撃通信ログ情報Ｄ４２１に、上記ラベルを付加された感染活動端末ログ情報Ｄ２４１、Ｄ３４１や攻撃通信ログ情報Ｄ４４１のレコードを追加する。
　一方、感染活動特定部１１６が他端末に対する感染活動を検知しない場合（Ｓ１０６でＮＯ）は、これまでに発見された感染端末に関するレコードを、端末感染情報Ｄ５０１（図１３）に登録する。
　例えば、感染活動特定部１１６は、端末感染情報Ｄ５０１に端末感染レコードＤ５１１～Ｄ５１６等を登録する。
　そして、感染活動特定部１１６は、端末感染情報Ｄ５０１を送信部１１２に送信する（Ｆ１１５）。
　送信部１１２は、感染活動特定部１１６から端末感染情報Ｄ５０１を受信すると（Ｆ１１５）、監視装置１０７に端末感染情報Ｄ５０１を送信する。
　監視装置１０７は、送信部１１２から端末感染情報Ｄ５０１を受信すると、端末感染情報Ｄ５０１をディスプレイに表示する。
　これにより、ネットワークセキュリティ管理者はクライアント端末１２１ａ、１２２ｂ、１２１ｄ、サーバ端末１２２ａがマルウェアに感染していることを確認することができる。
　以上のように、本実施の形態では、端末ログ情報改ざん検出部１１４が、攻撃通信ログ情報を用いて端末ログ情報が不正に改ざんされたかどうかを判定するため、攻撃者の攻撃隠ぺい活動を検出することができる。
　そして、端末ログ情報の改ざんを検出することで、ログ情報の解析以外の方法で早期にマルウェアの感染範囲を特定することが可能となる。
　また、本実施の形態では、攻撃者が端末に侵入した後の行動をログから追跡しており、例えば、ＲＡＴ（Ｒｅｍｏｔｅ　Ａｄｍｉｎｉｓｔｒａｔｉｏｎ　Ｔｏｏｌ）と呼ばれるマルウェアの感染範囲の特定に有用である。
　また、本実施の形態では、端末ログ情報は、端末ごとに保持することができるため、端末からログ情報を定期的にログサーバにアップロードする必要がなく、データ処理システム内のトラフィックを抑制することができる。
　また、ユーザにとっても端末内の操作を常時監視されることはないので、精神的なストレスを感じることがない。
　さらに、攻撃ユーザを特定することで、攻撃ユーザの一連の攻撃内容を把握することができる。
　また、攻撃ユーザでなければ、実行ファイル転送のような攻撃に似たログを特定したとしても、攻撃に無関係であるため、誤報を減らすことができる。
　攻撃端末ログ情報特定部１１３は、端末ログ情報（プロセスログ情報）と端末ログ情報（アクセスログ情報）にアクセスしたファイルの情報を追加して、端末ログ情報（プロセスログ情報）と端末ログ情報（アクセスログ情報）を対応付けるようにしてもよい。
　また、攻撃端末ログ情報特定部１１３は、端末ログ情報（プロセスログ情報）と端末ログ情報（アクセスログ情報）にプロセスＩＤを追加して、端末ログ情報（プロセスログ情報）と端末ログ情報（アクセスログ情報）を対応付けるようにしてもよい。
　また、端末ログ情報（プロセスログ情報）及び端末ログ情報（アクセスログ情報）に情報を追加できない場合でも、攻撃端末ログ情報特定部１１３は、端末ログ情報（プロセスログ情報）のプロセスと端末ログ情報（アクセスログ情報）のアクセスファイルとイベントから対応する端末ログ情報（プロセスログ情報）と端末ログ情報（アクセスログ情報）を推測するようにしてもよい。
　上記、端末ログ情報（プロセスログ情報）と端末ログ情報（アクセスログ情報）の対応付けによって、端末ログ情報（プロセスログ情報）に関するリクエスト、または、端末ログ情報（アクセスログ情報）に関するリクエストのみで、攻撃端末ログ情報や感染端末ログ情報を取得することが可能になる。
　また、攻撃通信ログ情報と端末ログ情報に記載されるアクセス元ホストとアクセス先ホストはそれぞれアクセス元ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレスとアクセス先ＩＰアドレスで定義されていてもよい。
　通信ログ情報がホスト名を記録しており、端末ログ情報がＩＰアドレスを記録していても、攻撃端末ログ情報特定部１１３は、ホスト名とＩＰアドレスの対応表を利用することで、攻撃通信ログ情報と端末ログ情報を紐付けすることができる。
　また、攻撃端末ログ情報特定部１１３は、ＤＮＳ（Ｄｏｍａｉｎ　Ｎａｍｅ　Ｓｙｓｔｅｍ）サーバや認証サーバ等に記録されている対応表を利用することで、攻撃通信ログ情報と端末ログ情報を紐付けすることができる。
　また、ＤＨＣＰ（Ｄｙｎａｍｉｃ　Ｈｏｓｔ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｐｒｏｔｏｃｏｌ）を利用しているネットワークでは、攻撃端末ログ情報特定部１１３は、ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスを通信ログ情報と端末ログ情報に追加することで、攻撃通信ログ情報と端末ログ情報を紐付けすることができる。
　また、攻撃ユーザ特定部１１５は、全ての攻撃ステップではなく、主要となる攻撃ステップに関与した攻撃ユーザを特定するとしてもよい。
　例えば、攻撃ステップに重みをつけて、ある閾値以上の攻撃に関与した場合は攻撃ユーザと見なすという方法が考えられる。
　例えば、攻撃ステップ２の重み＝１、攻撃ステップ３の重み＝３、攻撃ステップ４の重み＝５とし、閾値を６以上とした場合、あるユーザが攻撃ステップ２と攻撃ステップ４に関与した場合は、重み６となり、当該ユーザは攻撃ユーザと判定される。
　また、攻撃ユーザ特定部１１５は、ユーザの他ユーザへのアカウント切り替え（ログイン中にｓｕコマンド等で別のアカウントでログインする等）を特定し、ユーザ間の利用アカウント関係を考慮した攻撃ユーザ群を特定するようにしてもよい。
　また、攻撃ユーザ特定部１１５は、攻撃ステップ３および攻撃ステップ４にて、ブルートフォースによるパスワード搾取やパスワードハッシュの取得といった他のユーザアカウント取得行動を監視し、攻撃ユーザ群を特定するようにしてもよい。
　また、攻撃ユーザ特定部１１５は、攻撃ステップ３および攻撃ステップ４にて、複数ファイルのダウンロードや他端末への頻繁なアクセスといった一般ユーザとは異なる活動を行うユーザを特定することで攻撃ユーザを特定するようにしてもよい。
　また、感染活動特定部１１６は、攻撃ユーザ特定部１１５により特定された攻撃ユーザの他端末でのファイル実行、他端末へのリモートアクセスと他端末でのファイルダウンロード等の他端末への感染活動を特定するようにしてもよい。
　実施の形態２．
　以上の実施の形態１では、クライアント端末１２１とサーバ端末１２２でそれぞれクライアント端末ログ記録装置１３１とサーバ端末ログ記録装置１３２を保有していた。
　これに代えて、データ処理システム１０６内でログサーバ（処理ログ情報サーバ装置）を用意し、各クライアント端末１２１と各サーバ端末１２２が、それぞれの端末ログ情報をログサーバにアップロードするようにしてもよい。
　つまり、クライアント端末１２１とサーバ端末１２２がそれぞれ保有するクライアント端末ログ記録装置１３１とサーバ端末ログ記録装置１３２を、ログサーバに集約するようにしてもよい。
　ログサーバを用意することで、端末ログ情報を一元管理することができ、端末ログ情報の保守・運用が容易になる。
　また、感染範囲特定装置１０１は各端末のクライアント端末ログ記録装置１３１又はサーバ端末ログ記録装置１３２から端末ログ情報を取得する必要がなく、ログサーバのみから端末ログ情報を取得するだけでよい。
　実施の形態３．
　以上の実施の形態２では、クライアント端末１２１とサーバ端末１２２がそれぞれ保有するクライアント端末ログ記録装置１３１とサーバ端末ログ記録装置１３２を、ログサーバに集約する構成を示した。
　これに代えて、クライアント端末ログ記録装置１３１とサーバ端末ログ記録装置１３２を感染範囲特定装置１０１が保有してもよい。
　つまり、感染範囲特定装置１０１に、クライアント端末１２１とサーバ端末１２２の端末ログ情報を記憶する記憶領域（処理ログ情報記憶部）を設けるようにしてもよい。
　これにより、感染範囲特定装置１０１は、端末ログ情報の取得が容易になる。
　実施の形態４．
　また、図１では、感染範囲特定装置１０１と攻撃検知装置１０２と監視装置１０７を別々の装置に分けている。
　これに代えて、攻撃検知装置１０２と監視装置１０７を感染範囲特定装置１０１に含めてよい。
　つまり、感染範囲特定装置１０１に、攻撃検知装置１０２と同じ機能の攻撃検知部を設け、監視装置１０７と同じ機能の監視部を含めるようにしてもよい。
　感染範囲特定装置１０１の機能と攻撃検知装置１０２の機能と監視装置１０７の機能を一つにすることで、データの受け渡しを簡単にすることができる。
　最後に、実施の形態１～４に示した感染範囲特定装置１０１のハードウェア構成例を図２３を参照して説明する。
　感染範囲特定装置１０１はコンピュータであり、感染範囲特定装置１０１の各要素をプログラムで実現することができる。
　感染範囲特定装置１０１のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。
　演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置である。
　主記憶装置９０３は、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。
　通信装置９０４は、受信部１１１及び送信部１１２の物理層に対応する。
　入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。
　プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
　プログラムは、図１に示す「～部」として説明している機能を実現するプログラムである。
　更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、図１に示す「～部」の機能を実現するプログラムを実行する。
　また、実施の形態１～４の説明において、「～の判断」、「～の判定」、「～の抽出」、「～の検知」、「～の検知」、「～の設定」、「～の登録」、「～の選択」、「～の検索」、「～の生成」、「～の受信」、「～の送信」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
　なお、図２３の構成は、あくまでも感染範囲特定装置１０１のハードウェア構成の一例を示すものであり、感染範囲特定装置１０１のハードウェア構成は図２３に記載の構成に限らず、他の構成であってもよい。
　また、実施の形態１～４に示した攻撃検知装置１０２、セキュリティ機器１０３、クライアント端末１２１、サーバ端末１２２も、図２３のハードウェア構成をしていてもよいし、他のハードウェア構成であってもよい。
　また、実施の形態１～４に示す手順により、本発明に係る情報処理方法を実現可能である。
　１０１　感染範囲特定装置、１０２　攻撃検知装置、１０３　セキュリティ機器、１０４　通信ログ記録装置、１０６　データ処理システム、１０７　監視装置、１０８　スイッチ、１０９　インターネット、１１１　受信部、１１２　送信部、１１３　攻撃端末ログ情報特定部、１１４　端末ログ情報改ざん検出部、１１５　攻撃ユーザ特定部、１１６　感染活動特定部、１２１　クライアント端末、１２２　サーバ端末、１３１　クライアント端末ログ記録装置、１３２　サーバ端末ログ記録装置。

Claims (14)

  1. 　データ処理システムで発生したデータ通信のログ情報を通信ログ情報として受信する受信部と、
    　前記データ処理システムで行われたデータ処理のログ情報である複数の処理ログ情報の中から、前記通信ログ情報に基づき、前記データ通信に関係するデータ処理の処理ログ情報を検索するログ情報検索部と、
    　前記ログ情報検索部により該当する処理ログ情報が検索されない場合に、前記複数の処理ログ情報のうちの少なくとも一部の処理ログ情報が改ざんされていると判定する改ざん判定部とを有することを特徴とする情報処理装置。
  2. 　前記受信部は、
    　前記データ処理システムに対する攻撃に関係するデータ通信のログ情報を、前記通信ログ情報として受信することを特徴とする請求項１に記載の情報処理装置。
  3. 　前記受信部は、
    　前記データ通信の属性を表す通信属性値が記述されている通信ログ情報を受信し、
    　前記ログ情報検索部は、
    　前記データ処理システムで行われたデータ処理の属性を表す処理属性値が記述されている複数の処理ログ情報の中から、前記通信ログ情報の通信属性値に関係する処理属性値が記述されている処理ログ情報を検索することを特徴とする請求項１に記載の情報処理装置。
  4. 　前記受信部は、
    　前記通信属性値として、前記データ通信が発生した時刻と前記データ通信を行った前記データ処理システム内の機器の機器ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）とが記述されている通信ログ情報を受信し、
    　前記ログ情報検索部は、
    　前記処理属性値として、データ処理時刻とデータ処理を行った前記データ処理システム内の機器の機器ＩＤとが記述される複数の処理ログ情報の中から、前記通信ログ情報に記述されている時刻から許容誤差範囲内のデータ処理時刻が記述され、前記通信ログ情報に記述されている機器ＩＤが記述されている処理ログ情報を検索し、
    　前記改ざん判定部は、
    　前記ログ情報検索部により該当する処理ログ情報が検索されない場合に、前記通信ログ情報に記述されている機器ＩＤに対応する機器が行ったデータ処理の処理ログ情報が改ざんされていると判定することを特徴とする請求項３に記載の情報処理装置。
  5. 　前記改ざん判定部は、
    　前記ログ情報検索部により該当する処理ログ情報が検索されない場合に、前記通信ログ情報に記述されている機器ＩＤに対応する機器が行ったデータ処理の処理ログ情報が改ざんされていると判定するとともに、前記通信ログ情報に記述されている機器ＩＤに対応する機器がマルウェアに感染していると判定することを特徴とする請求項４に記載の情報処理装置。
  6. 　前記情報処理装置は、更に、
    　前記改ざん判定部によりマルウェアに感染していると判定された機器であるマルウェア感染機器から前記データ処理システム内の他の機器へのデータ通信のログ情報を、感染活動通信ログ情報として、前記受信部を介して、前記データ処理システムで発生したデータ通信のログ情報を記録している通信ログ記録装置から受信し、
    　受信した前記感染活動通信ログ情報を解析して、前記マルウェア感染機器からマルウェアに感染した可能性のある機器である感染可能性機器を特定する機器特定部を有することを特徴とする請求項５に記載の情報処理装置。
  7. 　前記ログ情報検索部は、
    　前記機器特定部により特定された前記感染可能性機器の機器ＩＤが記述されている処理ログ情報を検索し、
    　前記機器特定部は、
    　前記ログ情報検索部により検索された処理ログ情報を解析して、前記感染可能性機器からマルウェアに感染した可能性のある新たな感染可能性機器を特定し、
    　以降、前記ログ情報検索部による処理ログ情報の検索と、前記機器特定部による新たな感染可能性機器の特定とが繰り返されることを特徴とする請求項６に記載の情報処理装置。
  8. 　前記受信部は、
    　前記データ処理システムに対する攻撃に関係するデータ通信のログ情報を前記通信ログ情報として受信し、
    　前記情報処理装置は、更に、
    　前記ログ情報検索部により該当する処理ログ情報が検索された場合に、検索された処理ログ情報を解析して、前記攻撃に関係する前記データ処理システム内の機器である攻撃関係機器を特定する機器特定部を有し、
    　前記ログ情報検索部は、
    　前記機器特定部により特定された前記攻撃関係機器が行ったデータ処理の処理ログ情報を検索し、
    　前記機器特定部は、
    　前記ログ情報検索部により検索された処理ログ情報を解析して、前記攻撃関係機器のデータ処理によって前記攻撃に関係することになった新たな攻撃関係機器を特定し、
    　以降、前記ログ情報検索部による処理ログ情報の検索と、前記機器特定部による新たな攻撃関係機器の特定とが繰り返されることを特徴とする請求項１に記載の情報処理装置。
  9. 　前記ログ情報検索部は、
    　前記データ処理システムに含まれる機器ごとに設けられた複数の処理ログ情報データベースで記憶されている複数の処理ログ情報の中から、前記データ通信に関係するデータ処理の処理ログ情報を検索することを特徴とする請求項１に記載の情報処理装置。
  10. 　前記ログ情報検索部は、
    　前記データ処理システムに設けられた処理ログ情報サーバ装置で記憶されている前記複数の処理ログ情報の中から、前記データ通信に関係するデータ処理の処理ログ情報を検索することを特徴とする請求項１に記載の情報処理装置。
  11. 　前記情報処理装置は、更に、
    　複数の処理ログ情報を記憶する処理ログ情報記憶部を有し、
    　前記ログ情報検索部は、
    　前記処理ログ情報記憶部で記憶されている前記複数の処理ログ情報の中から、前記データ通信に関係するデータ処理の処理ログ情報を検索することを特徴とする請求項１に記載の情報処理装置。
  12. 　前記情報処理装置は、更に、
    　前記データ処理システムに対する攻撃を検知し、検知した攻撃に関係するデータ通信のログ情報を送信する攻撃検知部を有し、
    　前記受信部は、
    　前記攻撃検知部から送信されたログ情報を、前記通信ログ情報として受信することを特徴とする請求項１に記載の情報処理装置。
  13. 　コンピュータが、データ処理システムで発生したデータ通信のログ情報を通信ログ情報として受信し、
    　前記コンピュータが、前記データ処理システムで行われたデータ処理のログ情報である複数の処理ログ情報の中から、前記通信ログ情報に基づき、前記データ通信に関係するデータ処理の処理ログ情報を検索し、
    　該当する処理ログ情報が検索されない場合に、前記コンピュータが、前記複数の処理ログ情報のうちの少なくとも一部の処理ログ情報が改ざんされていると判定することを特徴とする情報処理方法。
  14. 　データ処理システムで発生したデータ通信のログ情報を通信ログ情報として受信する受信処理と、
    　前記データ処理システムで行われたデータ処理のログ情報である複数の処理ログ情報の中から、前記通信ログ情報に基づき、前記データ通信に関係するデータ処理の処理ログ情報を検索するログ情報検索処理と、
    　前記ログ情報検索処理により該当する処理ログ情報が検索されない場合に、前記複数の処理ログ情報のうちの少なくとも一処理の処理ログ情報が改ざんされていると判定する改ざん判定処理とをコンピュータに実行させることを特徴とするプログラム。
PCT/JP2013/085193 2013-12-27 2013-12-27 情報処理装置及び情報処理方法及びプログラム WO2015097889A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
PCT/JP2013/085193 WO2015097889A1 (ja) 2013-12-27 2013-12-27 情報処理装置及び情報処理方法及びプログラム
JP2015554467A JPWO2015097889A1 (ja) 2013-12-27 2013-12-27 情報処理装置及び情報処理方法及びプログラム
US15/106,177 US20170054742A1 (en) 2013-12-27 2013-12-27 Information processing apparatus, information processing method, and computer readable medium
CN201380081864.4A CN105849741A (zh) 2013-12-27 2013-12-27 信息处理装置、信息处理方法及程序
GB1610816.9A GB2536384A (en) 2013-12-27 2013-12-27 Information processing device, information processing method, and program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2013/085193 WO2015097889A1 (ja) 2013-12-27 2013-12-27 情報処理装置及び情報処理方法及びプログラム

Publications (1)

Publication Number Publication Date
WO2015097889A1 true WO2015097889A1 (ja) 2015-07-02

Family

ID=53477818

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/085193 WO2015097889A1 (ja) 2013-12-27 2013-12-27 情報処理装置及び情報処理方法及びプログラム

Country Status (5)

Country Link
US (1) US20170054742A1 (ja)
JP (1) JPWO2015097889A1 (ja)
CN (1) CN105849741A (ja)
GB (1) GB2536384A (ja)
WO (1) WO2015097889A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018079439A1 (ja) * 2016-10-27 2018-05-03 日本電気株式会社 インシデント影響範囲推定装置、インシデント影響範囲推定方法、記録媒体及びシステム

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20170096780A (ko) * 2016-02-17 2017-08-25 한국전자통신연구원 침해사고 정보 연동 시스템 및 방법
CN111683078A (zh) * 2019-12-03 2020-09-18 丁奇娜 区块链通信节点验证方法及装置
CN115023701A (zh) * 2020-01-28 2022-09-06 三菱电机株式会社 认证符管理装置、认证符管理程序和认证符管理方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002344439A (ja) * 2001-05-14 2002-11-29 Nippon Telegr & Teleph Corp <Ntt> デジタルコンテンツ流通における利用履歴不正改竄検知システム
JP2004206564A (ja) * 2002-12-26 2004-07-22 Hitachi Information & Control Systems Inc 不正アクセス検証装置及び方法
JP2008135984A (ja) * 2006-11-28 2008-06-12 Toshiba Corp ウィルス感染監視装置およびプログラム
JP2010039878A (ja) * 2008-08-07 2010-02-18 Hitachi Ltd ログ管理システムおよびログ表示システム

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7152242B2 (en) * 2002-09-11 2006-12-19 Enterasys Networks, Inc. Modular system for detecting, filtering and providing notice about attack events associated with network security
US7653188B2 (en) * 2005-07-20 2010-01-26 Avaya Inc. Telephony extension attack detection, recording, and intelligent prevention
US20080037791A1 (en) * 2006-08-09 2008-02-14 Jakobsson Bjorn M Method and apparatus for evaluating actions performed on a client device
JP2010257150A (ja) * 2009-04-23 2010-11-11 Ntt Docomo Inc 不正処理検知装置、不正処理検知方法及びプログラム
JP2011053893A (ja) * 2009-09-01 2011-03-17 Hitachi Ltd 不正プロセス検知方法および不正プロセス検知システム
CN102473220B (zh) * 2010-05-07 2015-06-17 松下电器产业株式会社 信息处理装置、信息处理方法以及程序分发系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002344439A (ja) * 2001-05-14 2002-11-29 Nippon Telegr & Teleph Corp <Ntt> デジタルコンテンツ流通における利用履歴不正改竄検知システム
JP2004206564A (ja) * 2002-12-26 2004-07-22 Hitachi Information & Control Systems Inc 不正アクセス検証装置及び方法
JP2008135984A (ja) * 2006-11-28 2008-06-12 Toshiba Corp ウィルス感染監視装置およびプログラム
JP2010039878A (ja) * 2008-08-07 2010-02-18 Hitachi Ltd ログ管理システムおよびログ表示システム

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018079439A1 (ja) * 2016-10-27 2018-05-03 日本電気株式会社 インシデント影響範囲推定装置、インシデント影響範囲推定方法、記録媒体及びシステム
JPWO2018079439A1 (ja) * 2016-10-27 2019-09-19 日本電気株式会社 インシデント影響範囲推定装置、インシデント影響範囲推定方法、プログラム及びシステム
US11500987B2 (en) 2016-10-27 2022-11-15 Nec Corporation Incident effect range estimation device, incident effect range estimation method, storage medium, and system

Also Published As

Publication number Publication date
GB2536384A (en) 2016-09-14
US20170054742A1 (en) 2017-02-23
JPWO2015097889A1 (ja) 2017-03-23
CN105849741A (zh) 2016-08-10
GB201610816D0 (en) 2016-08-03

Similar Documents

Publication Publication Date Title
JP6894003B2 (ja) Ａｐｔ攻撃に対する防御
US10237283B2 (en) Malware domain detection using passive DNS
US11044270B2 (en) Using private threat intelligence in public cloud
EP2961111B1 (en) Network monitoring device, network monitoring method, and network monitoring program
US9270690B2 (en) Network protection system and method
JP6315640B2 (ja) 通信先対応関係収集装置、通信先対応関係収集方法及び通信先対応関係収集プログラム
EP3297248B1 (en) System and method for generating rules for attack detection feedback system
US10033761B2 (en) System and method for monitoring falsification of content after detection of unauthorized access
US20090144826A2 (en) Systems and Methods for Identifying Malware Distribution
JP6408395B2 (ja) ブラックリストの管理方法
CN114145004A (zh) 用于使用dns消息以选择性地收集计算机取证数据的系统及方法
CN110210213B (zh) 过滤恶意样本的方法及装置、存储介质、电子装置
WO2014103115A1 (ja) 不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体
WO2015097889A1 (ja) 情報処理装置及び情報処理方法及びプログラム
Ganame et al. Network behavioral analysis for zero-day malware detection–a case study
KR101487476B1 (ko) 악성도메인을 검출하기 위한 방법 및 장치
JPWO2019123757A1 (ja) 分類装置、分類方法、および、分類プログラム
KR101398740B1 (ko) 악성 도메인 탐지 시스템, 방법 및 컴퓨터 판독 가능한 기록 매체
EP3828745A1 (en) Information processing device, information processing method, and information processing program
US11582226B2 (en) Malicious website discovery using legitimate third party identifiers
JP5743822B2 (ja) 情報漏洩防止装置及び制限情報生成装置
JP6007308B1 (ja) 情報処理装置、情報処理方法及びプログラム
KR20120135707A (ko) Ｐ2Ｐ 및 웹하드 사이트 모니터링을 통한 악성코드 배포방지 장치 및 ＤＤｏＳ 예방 방법
US20240039939A1 (en) Computer-readable recording medium storing attack situation output program, attack situation output device, and attack situation output system
JP6105792B1 (ja) 情報処理装置、情報処理方法及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13900293

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015554467

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 15106177

Country of ref document: US

ENP Entry into the national phase

Ref document number: 201610816

Country of ref document: GB

Kind code of ref document: A

Free format text: PCT FILING DATE = 20131227

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13900293

Country of ref document: EP

Kind code of ref document: A1

ENPC Correction to former announcement of entry into national phase, pct application did not enter into the national phase

Ref country code: GB