WO2021171383A1 - ログ生成装置、ログ生成方法、及びコンピュータ読み取り可能な記録媒体 - Google Patents

ログ生成装置、ログ生成方法、及びコンピュータ読み取り可能な記録媒体 Download PDF

Info

Publication number
WO2021171383A1
WO2021171383A1 PCT/JP2020/007534 JP2020007534W WO2021171383A1 WO 2021171383 A1 WO2021171383 A1 WO 2021171383A1 JP 2020007534 W JP2020007534 W JP 2020007534W WO 2021171383 A1 WO2021171383 A1 WO 2021171383A1
Authority
WO
WIPO (PCT)
Prior art keywords
log
event
statistical model
logs
group
Prior art date
Application number
PCT/JP2020/007534
Other languages
English (en)
French (fr)
Inventor
太地 羽角
島　成佳
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US17/798,384 priority Critical patent/US20230032143A1/en
Priority to PCT/JP2020/007534 priority patent/WO2021171383A1/ja
Priority to JP2022502625A priority patent/JP7351399B2/ja
Publication of WO2021171383A1 publication Critical patent/WO2021171383A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to a log generation device and a log generation method for generating logs required for cyber security exercises, and further relates to a computer-readable recording medium for realizing these.
  • attack logs are being conducted to allow students to find logs that are traces of incidents (hereinafter referred to as "attack logs").
  • attack logs are manually created in advance in order to provide them to students.
  • Patent Document 1 discloses a technique for generating a log in a computer system, but unlike general log generation, the generation of an attack log contains information on the features of an attack tool and an execution method. is necessary. Therefore, Non-Patent Document 1 proposes a method for easily and efficiently acquiring an attack log.
  • attack logs showing traces of incidents are found from the logs of normal operations that are not related to incidents (hereinafter referred to as "normal logs"). Therefore, in cyber security exercises, not only attack logs but also normal logs are required in advance.
  • the normal log cannot be created by the method disclosed in Non-Patent Document 1. Therefore, in the cyber security exercise, the normal log is acquired by recording the log of the normal operation on the terminal for a long period of time under the environment assumed in advance, or by manually creating the log.
  • An example of an object of the present invention is a log generation device and log generation that can solve the above problems and generate a normal log required for cyber security exercises without the need for log output from a terminal operating in a set environment and manual operation.
  • the method is to provide a computer-readable recording medium.
  • the log generator in one aspect of the present invention is A log classification unit that classifies log data composed of log groups into groups based on the type of log, For each group, the logs classified into the group are converted into an event composed of two or more logs, and the appearance probability is calculated from the occurrence time and the number of each event obtained by the conversion. Then, the statistical model generator, which generates the statistical model, A specific event is selected according to the probability of occurrence for each event in the statistical model, and a new log or the above is used using text data corresponding to the selected event and created in advance.
  • a log information generator that generates log information for generating a new log, It is characterized by having.
  • the log generation method in one aspect of the present invention is: A log classification step that classifies log data composed of log groups into groups based on the type of log, and For each group, the logs classified into the group are converted into an event composed of two or more logs, and the appearance probability is calculated from the occurrence time and the number of each event obtained by the conversion. Then generate the statistical model, the statistical model generation step, and A specific event is selected according to the probability of occurrence for each event in the statistical model, and a new log or the above is used using text data corresponding to the selected event and created in advance.
  • the computer-readable recording medium in one aspect of the present invention is used.
  • a log classification step that classifies log data composed of log groups into groups based on the type of log, and For each group, the logs classified into the group are converted into an event composed of two or more logs, and the appearance probability is calculated from the occurrence time and the number of each event obtained by the conversion.
  • generate the statistical model, the statistical model generation step, and A specific event is selected according to the probability of occurrence for each event in the statistical model, and a new log or the above is used using text data corresponding to the selected event and created in advance.
  • FIG. 1 is a block diagram showing a schematic configuration of a log generation device according to the first embodiment.
  • FIG. 2 is a block diagram specifically showing the configuration of the log generation device according to the first embodiment.
  • FIG. 3 is a diagram showing an example of a log classification rule used in the first embodiment.
  • FIG. 4 is a diagram showing an example of the template used in the first embodiment.
  • FIG. 5 is a diagram conceptually showing an example of the statistical model generated in the first embodiment.
  • FIG. 6 is a diagram showing an example of the log generated in the first embodiment.
  • FIG. 7 is a flow chart showing the operation of the log generator according to the first embodiment.
  • FIG. 8 is a block diagram specifically showing the configuration of the log generation device according to the second embodiment.
  • FIG. 1 is a block diagram showing a schematic configuration of a log generation device according to the first embodiment.
  • FIG. 2 is a block diagram specifically showing the configuration of the log generation device according to the first embodiment.
  • FIG. 3 is a diagram showing an example of
  • FIG. 9 is a diagram showing an example of an actual operation template used in the second embodiment.
  • FIG. 10 is a flow chart showing the operation of the log generator according to the second embodiment.
  • FIG. 11 is a block diagram showing an example of a computer that realizes the log generation device according to the first and second embodiments.
  • FIG. 1 is a block diagram showing a schematic configuration of a log generation device according to the first embodiment.
  • the log generation device 10 in the first embodiment shown in FIG. 1 is a device that generates logs required for cyber security exercises. As shown in FIG. 1, the log generation device 10 includes a log classification unit 11, a statistical model generation unit 12, and a log information generation unit 13.
  • the log classification unit 11 classifies the log data composed of the log group into groups based on the type of log.
  • the statistical model generation unit 12 converts the logs classified into each group for each group into an event composed of two or more logs. Further, the statistical model generation unit 12 generates a statistical model by calculating the appearance probability from the occurrence time and the number of each event obtained by the conversion.
  • the log information generation unit 13 selects a specific event according to the probability of occurrence for each event in the statistical model, and newly uses the text data corresponding to the selected event and created in advance. Generate log information to generate a new log or a new log.
  • a statistical model is generated from the log group classified into the groups, and by using the generated statistical model, a new log or log information for generating the new log is generated.
  • NS log information for generating the new log
  • FIG. 2 is a block diagram specifically showing the configuration of the log generation device according to the first embodiment.
  • the log generation device 10 includes the log data acquisition unit 14 and parameters in addition to the log classification unit 11, the statistical model generation unit 12, and the log information generation unit 13 described above. It includes an acquisition unit 15, a classification rule storage unit 16, a model generation rule storage unit 17, and a log information storage unit 18.
  • the log data acquisition unit 14 acquires log data from a computer connected to the log generation device 10 via a network. Specifically, a log collection tool is installed on the computer from which log data is acquired, and this log collection tool collects logs generated by the computer and collects a set of collected logs as log data. , Output to the log generation device 10. The log data acquisition unit 14 acquires the log data output by the log collection tool.
  • Examples of the log collection tool include CDIR-Collector.
  • CDIR-Collector also collects logs in a binary format peculiar to Windows (registered trademark), when CDIR-Collector is used, the logs are converted into JSON files by placeo on the collection destination computer. In this case, the log data acquisition unit acquires the log data of the log converted into the JSON file.
  • the log classification unit 11 classifies the log data composed of the log groups into groups according to the log classification rules.
  • the log classification rule is a rule for classifying logs according to the type of log.
  • FIG. 3 is a diagram showing an example of a log classification rule used in the first embodiment. Further, the log classification rule is created in advance based on the domain knowledge and stored in the classification rule storage unit 16.
  • the log classification rule defines the corresponding classification ID for each log type. Therefore, the log classification unit 11 refers to the log classification rule for each log constituting the log data acquired by the log data acquisition unit 14, and identifies the corresponding classification ID.
  • the classification ID is an ID for identifying a group, and each log is classified into a group by specifying the classification ID.
  • the statistical model generation unit 12 converts the logs classified into each group for each group into an event composed of two or more logs by using the template. Then, the statistical model generation unit 12 converts each event into an appearance probability for each time and generates a statistical model.
  • the template is data in which the log text included in the corresponding log is registered for each event.
  • FIG. 4 is a diagram showing an example of the template used in the first embodiment.
  • each template is stored in the model generation rule storage unit 17 together with the corresponding table as a model generation rule.
  • the correspondence table associates each template with the corresponding event (event ID), classification ID, and delay time list.
  • the corresponding table a plurality of templates corresponding to the same event ID are grouped together as a template list.
  • the delay time list shows the difference in execution time between templates based on the first template included in the template list.
  • the statistical model generation unit 12 first selects one of the classified groups, and sets each log classified into the selected group as the target log. Next, the statistical model generation unit 12 identifies the event ID corresponding to the classification ID of the selected group from the model generation rule storage unit 17.
  • the statistical model generation unit 12 acquires the first template ID from the template list of each of the specified event IDs, reads the corresponding log text of each acquired first template ID, and triggers each read log text as an event trigger. Make it a candidate.
  • the statistical model generation unit 12 deletes the eigenvalues included in each target log.
  • the eigenvalues to be deleted are the values corresponding to the variables enclosed in "$" in the log text shown in FIG.
  • the statistical model generation unit 12 calculates the distance to each target log for each event trigger candidate, and if there is an event trigger candidate whose distance is equal to or less than the threshold value, determines this event trigger candidate as an event trigger. do. Examples of the distance calculated at this time include the Levenshtein distance. Further, since the eigenvalue is removed from the target log, a small value such as "8" is used as the threshold value.
  • the statistical model generation unit 12 specifies the second and subsequent template IDs from the template list corresponding to the event ID of the event trigger. Subsequently, in the statistical model generation unit 12, the log text of the second and subsequent template IDs specified is the target log after the target log in which the distance from the event trigger is equal to or less than the threshold value (hereinafter, simply "subsequent target log"). (Indicated as), it is determined whether or not they appear in order. That is, the statistical model generation unit 12 calculates the distance from the log text of the second and subsequent template IDs in order for the subsequent target logs.
  • the statistical model generation unit 12 assigns a time stamp (also referred to as “event time”) of the target log whose distance is initially equal to or less than the threshold value to the event ID of the event trigger, and adds the time stamp to the event. Hold the ID. The event time at this time corresponds to the event occurrence time.
  • the statistical model generation unit 12 performs the same processing for this group and holds the event ID of the event trigger.
  • the set of event IDs held in this way is referred to as an "event sequence”.
  • the statistical model generation unit 12 divides 24 hours a day into an arbitrary time width, sets a time window, and holds an event ID for each time window based on the event time. Subsequently, the statistical model generation unit 12 adds up the number of event IDs held in each time window for, for example, one day's worth of logs.
  • the statistical model generation unit 12 divides the number of event IDs held there for each time window by the total value.
  • the division value obtained by this division becomes the appearance probability for each event. Further, when the received log period is set to one day in this way, the statistical model generation unit 12 can also specify the daily average number of events for each time window.
  • the statistical model generation unit 12 generates, for example, the statistical model shown in FIG. 5 by using the appearance probability for each event.
  • FIG. 5 is a diagram conceptually showing an example of the statistical model generated in the first embodiment.
  • the statistical model 50 holds the probability of occurrence of events and the average number of events in each time window 51 for each day. Further, in FIG. 5, each statistical model 50 corresponds to a different classification ID.
  • the parameter acquisition unit 15 acquires the parameters used in the processing by the log information generation unit 13. Parameters include computer name, user name, IP address, log generation start time, and log generation end time. Further, the parameters are created by, for example, the administrator of the log generation device 10, and then input via the administrator's terminal or the like.
  • the log information generation unit 13 selects a specific event according to the appearance probability of each event in the statistical model, and collates the selected event with the template. Further, the log information generation unit 13 acquires the log text corresponding to the selected event from the collation result, and uses the acquired log text as text data to generate a new log.
  • the log information generation unit 13 first receives the parameters acquired from the parameter acquisition unit 15. Next, the log information generation unit 13 sets the generation start time of the acquired parameters to the target time of log generation, and specifies the time window to which the target time corresponds in the statistical model generated by the statistical model generation unit 12. ..
  • the log information generation unit 13 selects any one event ID from the event ID group included in the specified time window according to the appearance probability in the statistical model. Further, the log information generation unit 13 repeats the selection of the event ID until the average number of events per day in the specified time window is reached.
  • the log information generation unit 13 executes the following processes (a) to (d) for each of the selected event IDs.
  • A) The log text group associated with each template is acquired from each template list of the selected event ID group.
  • B) The replacement target character string in the log text group (the part surrounded by "$" in the log text shown in FIG. 4) is replaced with the parameter received from the parameter acquisition unit 15.
  • C) Randomly set the time in the specified time window, and set the set time as the log appearance time. However, for the logs in the template after the second in the template list, the numerical values in the same rank in the delay time list of the corresponding event ID are added to the first set appearance time, and this is added to the log of the log. Set to the appearance time.
  • D) The log information storage unit 18 stores the replaced log text (similar log) by the parameter and the log appearance time.
  • the log information generation unit 13 executes the above-mentioned processes (a) to (d) for each event ID, the log generation target time is set to "current log generation target time + time window time width". Update to. After that, the log information generation unit 13 selects the above-mentioned event ID group and processes the above-mentioned (a) to (d) for each event ID until the target time for log generation reaches the end time of log generation in the parameter. Is repeated.
  • FIG. 6 is a diagram showing an example of the log generated in the first embodiment.
  • the log information generation unit 13 stores the newly generated similar log (replaced log text) and the log appearance time in association with each other. After that, the similar log and the log appearance time stored in the log information generation unit 13 are sent to the terminal device or the like used in the cyber security exercise.
  • FIG. 7 is a flow chart showing the operation of the log generator according to the first embodiment.
  • FIGS. 1 to 6 will be referred to as appropriate.
  • the log generation method is implemented by operating the log generation device 10. Therefore, the description of the log generation method in the first embodiment is replaced with the following description of the operation of the log generation device 10.
  • the log data acquisition unit 14 acquires log data from a computer connected to the log generation device 10 via a network (step A1).
  • the log classification unit 11 classifies the log data composed of the log groups into groups according to, for example, the log classification rule shown in FIG. 3 (step A2).
  • the statistical model generation unit 12 selects one of the groups classified in step A2 (step A3).
  • the statistical model generation unit 12 converts the logs of the selected group into an event composed of two or more logs by using, for example, the template shown in FIG. 4 (step A4).
  • each log classified into the selected group is set as the target log, and the event ID corresponding to the classification ID of the selected group is specified. Further, the statistical model generation unit 12 reads the log text of the first template ID in the template list for each of the specified event IDs, and sets each read log text as an event trigger candidate.
  • step A4 the statistical model generation unit 12 deletes the eigenvalues of each target log, calculates the distance to each target log for each event trigger candidate, and events the event trigger candidate whose distance is equal to or less than the threshold value. Use as a trigger.
  • the statistical model generation unit 12 identifies the second and subsequent template IDs from the template list corresponding to the event ID of the event trigger, and also for the subsequent target logs, in order, the log text of the second and subsequent template IDs. Calculate the distance to.
  • step A4 the statistical model generation unit 12 gives the event ID of the event trigger a time stamp (event time) of the target log whose distance is first equal to or less than the threshold value, and gives the time stamp the event ID. To hold.
  • step A5 determines whether or not there is a group that has not been selected after the execution of step A4 (step A5). As a result of the determination in step A5, if there is a group that has not been selected, the statistical model generation unit 12 executes steps A3 and A4 again.
  • step A5 the statistical model generation unit 12 generates a statistical model from the event sequence obtained in step A4 (step A6).
  • step A6 the statistical model generation unit 12 divides 24 hours a day into an arbitrary time width, sets a time window, and holds an event ID for each time window based on the event time. do. Subsequently, the statistical model generation unit 12 adds up the number of event IDs held in each time window for, for example, one day's log, and calculates the number of event IDs held there for each time window. Divide by the total value. The statistical model generation unit 12 generates, for example, the statistical model shown in FIG. 5 by using the division value obtained by this division as the appearance probability for each event.
  • the parameter acquisition unit 15 acquires the parameters used in the processing by the log information generation unit 13 in step A9 (step A7).
  • the log information generation unit 13 selects a specific event according to the appearance probability for each event in the statistical model (step A8).
  • step A8 the log information generation unit 13 sets the generation start time of the parameter acquired in step A7 to the target time of log generation, and specifies the time window to which the target time corresponds in the statistical model. do. Subsequently, the log information generation unit 13 selects any one event ID from the event ID group included in the specified time window according to the appearance probability in the statistical model. The selection of the event ID is repeated until the average number of events per day is reached.
  • the log information generation unit 13 collates the selected event with the template, acquires the log text corresponding to the selected event from the collation result, uses the acquired log text as text data, and creates a similar log. Generate (step A9).
  • step A9 the log information generation unit 13 executes the processes (a) to (d) described above for each of the selected event IDs. Further, when the log information generation unit 13 executes the above-mentioned processes (a) to (d) for each event ID, the log generation target time is set to "current log generation target time + time window time width". Update to.
  • the log information generation unit 13 determines whether or not the target time for log generation has reached the log generation end time in the parameter (step A10). As a result of the determination in step A10, if the target time for log generation has not reached the log generation end time, the log information generation unit 13 executes steps A8 and A9 again at the updated target time.
  • step A10 when the target time for log generation has reached the log generation end time, the log information generation unit 13 transfers the similar log generated in step A9 to the log information generation unit 13. Store (step A11).
  • the corresponding event is specified from the log group classified into the group, and the statistical model is generated based on the appearance probability of this event. Then, by using this statistical model, a similar log can be obtained. Therefore, according to the first embodiment, it is possible to generate the normal log required for the cyber security exercise without outputting the log from the terminal operating under the set environment and manually.
  • the program according to the first embodiment may be any program that causes a computer to execute steps A1 to A11 shown in FIG. 7. By installing this program on a computer and executing it, the log generation device 10 and the log generation method according to the first embodiment can be realized.
  • the computer processor functions as a log classification unit 11, a statistical model generation unit 12, a log information generation unit 13, a log data acquisition unit 14, and a parameter acquisition unit 15 to perform processing.
  • the classification rule storage unit 16, the model generation rule storage unit 17, and the log information storage unit 18 store the data files constituting them in a storage device such as a hard disk provided in the computer. It can be realized by. Further, the classification rule storage unit 16, the model generation rule storage unit 17, and the log information storage unit 18 can be realized by a computer other than the computer that executes the program in the first embodiment.
  • each computer may function as any of the log classification unit 11, the statistical model generation unit 12, the log information generation unit 13, the log data acquisition unit 14, and the parameter acquisition unit 15, respectively.
  • FIG. 8 is a block diagram specifically showing the configuration of the log generation device according to the second embodiment.
  • the log generation device 20 according to the second embodiment shown in FIG. 8 is also a device that generates logs required for cyber security exercises, like the log generation device 10 according to the first embodiment.
  • the log generation device 20 includes an actual operation rule storage unit 21 and a log information communication unit 22, and a function of the log information generation unit 13. This is different from the log generation device 10 in the first embodiment. Hereinafter, the differences from the first embodiment will be mainly described.
  • the log information generation unit 13 specifies the command sequence corresponding to the selected event by using the actual operation template, and generates the log information by using the specified command sequence as text data.
  • the actual operation template registers a command sequence for generating a corresponding log for each event (event ID).
  • FIG. 9 is a diagram showing an example of an actual operation template used in the second embodiment. Each specified command is referred to as an "actual operation command”.
  • the log information generation unit 13 first receives the parameters acquired from the parameter acquisition unit 15. Next, the log information generation unit 13 sets the generation start time of the acquired parameters to the target time of log generation, and specifies the time window to which the target time corresponds in the statistical model generated by the statistical model generation unit 12. ..
  • the log information generation unit 13 selects one of the event IDs from the event ID group included in the specified time window according to the appearance probability in the statistical model. Further, the log information generation unit 13 repeats the selection of the event ID until the average number of events per day in the specified time window is reached.
  • the log information generation unit 13 acquires the actual operation command associated with the event ID for each of the selected event IDs based on the actual operation template. This acquired actual operation command becomes log information for generating a new log.
  • the log information generation unit 13 uses the statistical model generated by the statistical model generation unit 12 and uses the actual operation command that becomes the log information based on the actual operation template stored in the actual operation rule storage unit 21. Get the column.
  • the log information generation unit 13 passes the actual operation command for each selected event ID to the log information communication unit 22.
  • the log information communication unit 22 transmits the actual operation command to the terminal device 30.
  • the terminal device 30 When the terminal device 30 receives the transmitted actual operation command, the terminal device 30 executes the received actual operation command. Further, after executing the actual operation command, the terminal device 30 collects the log generated at the time of execution, and transmits the collected log to the log generation device 10.
  • the log information communication unit 22 stores the transmitted log as a new log (similar log) in the log information storage unit 18.
  • FIG. 10 is a flow chart showing the operation of the log generator according to the second embodiment.
  • FIGS. 8 and 9 will be referred to as appropriate.
  • the log generation method is implemented by operating the log generation device 20. Therefore, the description of the log generation method in the second embodiment is replaced with the following description of the operation of the log generation device 20.
  • the log data acquisition unit 14 acquires log data from a computer connected to the log generation device 20 via a network (step B1).
  • the log classification unit 11 classifies the log data composed of the log group into groups according to, for example, the log classification rule shown in FIG. 3 (step B2).
  • the statistical model generation unit 12 selects one of the groups classified in step B2 (step B3).
  • the statistical model generation unit 12 converts the logs of the selected group into an event composed of two or more logs by using, for example, the template shown in FIG. 4 (step B4).
  • step B5 determines whether or not there is a group that has not been selected after the execution of step B4 (step B5). As a result of the determination in step B5, if there is a group that has not been selected, the statistical model generation unit 12 executes steps B3 and B4 again.
  • step B5 the statistical model generation unit 12 generates a statistical model from the event sequence obtained in step B4 (step B6).
  • the parameter acquisition unit 15 acquires the parameters used in the processing by the log information generation unit 13 in step B9 (step B7).
  • the log information generation unit 13 selects a specific event according to the appearance probability for each event in the statistical model (step B8).
  • the steps B1 to B8 described above are the same steps as the steps A1 to A8 shown in FIG. 7, respectively.
  • the log information generation unit 13 acquires the actual operation command associated with the selected event ID for each of the selected event IDs based on the actual operation template shown in FIG. 9 (step B9). This acquired actual operation command becomes log information for generating a new log.
  • the log information generation unit 13 passes the actual operation command for each selected event ID to the log information communication unit 22.
  • the log information communication unit 22 transmits the actual operation command to the terminal device 30 (step B10).
  • step B10 the terminal device 30 receives the transmitted actual operation command and executes the received actual operation command. Then, after executing the actual operation command, the terminal device 30 collects the log generated at the time of execution, and transmits the collected log to the log generation device 10.
  • the log information communication unit 22 receives the transmitted log, and the received log is used as a new log (similar log) in the log information storage unit 18. Store (step B11).
  • the corresponding event is specified from the log group classified into the group, and the statistical model is generated based on the appearance probability of this event. Then, by using this statistical model, log information for generating a similar log can be obtained. Also in the second embodiment, as in the first embodiment, it is possible to generate a normal log required for the cyber security exercise without outputting a log from a terminal operating under the set environment and manually.
  • the terminal device 30 if the terminal device 30 is set to the honeypot, the log will be output frequently from the honeypot. Therefore, the attacker attacks the terminal device 30 without noticing that it is a honeypot.
  • Honeypots are decoy terminal devices that are targeted by attackers to improve security.
  • the program according to the second embodiment may be any program that causes a computer to execute steps B1 to B11 shown in FIG. By installing this program on a computer and executing it, the log generation device 20 and the log generation method according to the second embodiment can be realized.
  • the computer processor functions as a log classification unit 11, a statistical model generation unit 12, a log information generation unit 13, a log data acquisition unit 14, a parameter acquisition unit 15, and a log information communication unit 22 to perform processing.
  • the classification rule storage unit 16, the model generation rule storage unit 17, the log information storage unit 18, and the actual operation rule storage unit 21 store these in a storage device such as a hard disk provided in the computer. This can be achieved by storing the constituent data files. Further, the classification rule storage unit 16, the model generation rule storage unit 17, the log information storage unit 18, and the actual operation rule storage unit 21 can be realized by a computer other than the computer that executes the program in the second embodiment.
  • each computer is designated as one of the log classification unit 11, the statistical model generation unit 12, the log information generation unit 13, the log data acquisition unit 14, the parameter acquisition unit 15, and the log information communication unit 22, respectively. It may work.
  • FIG. 11 is a block diagram showing an example of a computer that realizes the log generation device according to the first and second embodiments.
  • the computer 110 includes a CPU (Central Processing Unit) 111, a main memory 112, a storage device 113, an input interface 114, a display controller 115, a data reader / writer 116, and a communication interface 117. And. Each of these parts is connected to each other via a bus 121 so as to be capable of data communication.
  • CPU Central Processing Unit
  • the computer 110 may include a GPU (Graphics Processing Unit) or an FPGA (Field-Programmable Gate Array) in addition to the CPU 111 or in place of the CPU 111.
  • GPU Graphics Processing Unit
  • FPGA Field-Programmable Gate Array
  • the CPU 111 expands the programs (codes) of the present embodiment stored in the storage device 113 into the main memory 112 and executes them in a predetermined order to perform various operations.
  • the main memory 112 is typically a volatile storage device such as a DRAM (Dynamic Random Access Memory).
  • the program in the embodiment is provided in a state of being stored in a computer-readable recording medium 120.
  • the program in the embodiment may be distributed on the Internet connected via the communication interface 117.
  • the storage device 113 include a semiconductor storage device such as a flash memory in addition to a hard disk drive.
  • the input interface 114 mediates data transmission between the CPU 111 and an input device 118 such as a keyboard and mouse.
  • the display controller 115 is connected to the display device 119 and controls the display on the display device 119.
  • the data reader / writer 116 mediates the data transmission between the CPU 111 and the recording medium 120, reads the program from the recording medium 120, and writes the processing result in the computer 110 to the recording medium 120.
  • the communication interface 117 mediates data transmission between the CPU 111 and another computer.
  • the recording medium 120 include a general-purpose semiconductor storage device such as CF (Compact Flash (registered trademark)) and SD (Secure Digital), a magnetic recording medium such as a flexible disk, or a CD-.
  • CF Compact Flash
  • SD Secure Digital
  • a magnetic recording medium such as a flexible disk
  • CD- Compact Disk Read Only Memory
  • optical recording media such as ROM (Compact Disk Read Only Memory).
  • the log generation device in the first and second embodiments can be realized by using hardware corresponding to each part instead of the computer on which the program is installed. Further, the log generation device may be partially realized by a program and the rest may be realized by hardware.
  • a log classification unit that classifies log data composed of log groups into groups based on the type of log, For each group, the logs classified into the group are converted into an event composed of two or more logs, and the appearance probability is calculated from the occurrence time and the number of each event obtained by the conversion. Then, the statistical model generator, which generates the statistical model, A specific event is selected according to the probability of occurrence for each event in the statistical model, and a new log or the above is used using text data corresponding to the selected event and created in advance.
  • a log information generator that generates log information for generating a new log, A log generator characterized by being equipped with.
  • Appendix 2 The log generator according to Appendix 1. Using a template in which the statistical model generation unit registers the log text included in the corresponding log for each event, the logs classified into the group for each group are divided into two or more logs. Convert to a configured event, A log generator characterized by this.
  • Appendix 3 The log generator described in Appendix 2 The log information generation unit collates the selected event with the template, acquires the log text corresponding to the selected event, and uses the acquired log text as the text data to generate the new log. do, A log generator characterized by this.
  • the log generator described in Appendix 2 specifies a command sequence corresponding to the selected event by using a template in which a command sequence for generating a corresponding log is registered for each event, and the specified command sequence is specified. Is used as the text data to generate the log information. A log generator characterized by this.
  • a log classification step that classifies log data composed of log groups into groups based on the type of log, and For each group, the logs classified into the group are converted into an event composed of two or more logs, and the appearance probability is calculated from the occurrence time and the number of each event obtained by the conversion. Then generate the statistical model, the statistical model generation step, and A specific event is selected according to the probability of occurrence for each event in the statistical model, and a new log or the above is used using text data corresponding to the selected event and created in advance.
  • Appendix 7 The log generation method described in Appendix 6 In the log information generation step, the selected event is collated with the template, the log text corresponding to the selected event is acquired, and the acquired log text is used as the text data to generate the new log. do, A log generation method characterized by that.
  • a log classification step that classifies log data composed of log groups into groups based on the type of log, and For each group, the logs classified into the group are converted into an event composed of two or more logs, and the appearance probability is calculated from the occurrence time and the number of each event obtained by the conversion. Then generate the statistical model, the statistical model generation step, and A specific event is selected according to the probability of occurrence for each event in the statistical model, and a new log or the above is used using text data corresponding to the selected event and created in advance.
  • the log information generation step and the log information generation step to generate the log information to generate a new log A computer-readable recording medium, characterized in that it records a program, including instructions to execute.
  • Appendix 10 The computer-readable recording medium according to Appendix 9, which is a computer-readable recording medium.
  • the statistical model generation step using a template in which the log text included in the corresponding log is registered for each event, the logs classified into the group for each group are divided into two or more logs. Convert to a configured event, A computer-readable recording medium characterized by that.
  • Appendix 11 The computer-readable recording medium according to Appendix 10, which is a computer-readable recording medium.
  • the selected event is collated with the template, the log text corresponding to the selected event is acquired, and the acquired log text is used as the text data to generate the new log.
  • the acquired log text is used as the text data to generate the new log.
  • Appendix 12 The computer-readable recording medium according to Appendix 10, which is a computer-readable recording medium.
  • the command sequence corresponding to the selected event is specified by using a template in which the command sequence for generating the corresponding log is registered for each event, and the specified command sequence is specified. Is used as the text data to generate the log information.
  • the present invention it is possible to generate a normal log required for cyber security exercises without outputting a log from a terminal operating under the set environment and manually.
  • the present invention is useful for systems that perform cybersecurity exercises.
  • Log generator (Embodiment 1) 11 Log classification unit 12 Statistical model generation unit 13 Log information generation unit 14 Log data acquisition unit 15 Parameter acquisition unit 16 Classification rule storage unit 17 Model generation rule storage unit 18 Log information storage unit 20 Log generation device (Embodiment 2) 21 Actual operation rule storage unit 22 Log information communication unit 110 Computer 111 CPU 112 Main memory 113 Storage device 114 Input interface 115 Display controller 116 Data reader / writer 117 Communication interface 118 Input device 119 Display device 120 Recording medium 121 Bus

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Debugging And Monitoring (AREA)

Abstract

ログ生成装置１０は、ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類する、ログ分類部１１と、グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換し、更に、変換によって得られたイベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成する、統計モデル生成部１２と、統計モデルにおけるイベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は新たなログを生成するためのログ情報を生成する、ログ情報生成部１３と、を備えている。

Description

ログ生成装置、ログ生成方法、及びコンピュータ読み取り可能な記録媒体
　本発明は、サイバーセキュリティ演習で必要となるログを生成するための、ログ生成装置及びログ生成方法に関し、更には、これらを実現するためのコンピュータ読み取り可能な記録媒体に関する。
　近年、組織を標的としたサイバー攻撃により、情報漏洩、事業停止といった被害が増加しており、サイバー攻撃に対する対策の強化が求められている。そして、サイバー攻撃に対する対策を強化するためには、システムのセキュリティ担当者の調査スキルの向上が不可欠となる。このため、インシデントの痕跡となるログ（以下「攻撃ログ」と表記する）を受講者に見つけ出させるサイバーセキュリティ演習（又はサイバー演習）が行われている。サイバーセキュリティ演習では、受講者に提供するために、予め、人手によって攻撃ログが作成される。
　但し、人手による攻撃ログの作成には、多くの時間が必要となる。また、特許文献１は、コンピュータシステムにおけるログを生成する技術を開示しているが、攻撃ログの生成には、一般的なログの生成とは異なり、攻撃ツールの特徴及び実行方法についての情報が必要である。このため、非特許文献１によって、攻撃ログを容易かつ効率的に取得する手法が提案されている。
国際公開第２０１８／１８６３１４号
高橋佑典、他4名、"擬似的な標的型攻撃の実行に向けた攻撃シナリオ生成方式のアプローチ"、電子情報通信学会、信学技報 vol. 119, no. 140, ISEC2019-13, pp. 7-14、2019年7月
　ところで、サイバーセキュリティ演習では、インシデントには関係のない通常業務のログ（以下「正常ログ」と表記する）の中から、インシデントの痕跡を示す攻撃ログを見つけ出すことが行われる。このため、サイバーセキュリティ演習においては、攻撃ログだけでなく、正常ログも予め必要となる。
　但し、非特許文献１に開示された手法では、正常ログは作成できない。このため、サイバーセキュリティ演習においては、正常ログは、予め想定された環境下で端末における通常操作のログを長期間記録することによって、又は人手で作成することによって、取得されている。
　しかしながら、サイバーセキュリティ演習を行うためには、膨大な数の正常ログが必要となる。これは、調査スキルの向上を図るためには、受講者は、サイバーセキュリティ演習を複数回受講する必要があるが、同じ正常ログを使い回したのでは調査スキルは向上しないため、正常ログを演習の度に新たに用意する必要があるからである。このため、上述の手法では、必要なだけの正常ログを取得することは極めて困難である。
　本発明の目的の一例は、上記問題を解消し、設定環境下で動作する端末からのログ出力及び人手によることなく、サイバーセキュリティ演習で必要な正常ログを生成し得る、ログ生成装置、ログ生成方法、及びコンピュータ読み取り可能な記録媒体を提供することにある。
　上記目的を達成するため、本発明の一側面におけるログ生成装置は、
　ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類する、ログ分類部と、
　グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換し、更に、変換によって得られた前記イベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成する、統計モデル生成部と、
　前記統計モデルにおける前記イベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は前記新たなログを生成するためのログ情報を生成する、ログ情報生成部と、
を備えている、ことを特徴とする。
　また、上記目的を達成するため、本発明の一側面におけるログ生成方法は、
　ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類する、ログ分類ステップと、
　グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換し、更に、変換によって得られた前記イベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成する、統計モデル生成ステップと、
　前記統計モデルにおける前記イベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は前記新たなログを生成するためのログ情報を生成する、ログ情報生成ステップと、
を有する、ことを特徴とする。
　更に、上記目的を達成するため、本発明の一側面におけるコンピュータ読み取り可能な記録媒体は、
コンピュータに、
　ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類する、ログ分類ステップと、
　グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換し、更に、変換によって得られた前記イベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成する、統計モデル生成ステップと、
　前記統計モデルにおける前記イベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は前記新たなログを生成するためのログ情報を生成する、ログ情報生成ステップと、
を実行させる命令を含む、プログラムを記録している、ことを特徴とする。
　以上のように、本発明によれば、設定環境下で動作する端末からのログ出力及び人手によることなく、サイバーセキュリティ演習で必要な正常ログを生成することができる。
図１は、実施の形態１におけるログ生成装置の概略構成を示すブロック図である。 図２は、実施の形態１におけるログ生成装置の構成を具体的に示すブロック図である。 図３は、実施の形態１で用いられるログ分類ルールの一例を示す図である。 図４は、実施の形態１で用いられるテンプレートの一例を示す図である。 図５は、実施の形態１で生成される統計モデルの一例を概念的に示す図である。 図６は、実施の形態１において生成されたログの一例を示す図である。 図７は、実施の形態１におけるログ生成装置の動作を示すフロー図である。 図８は、実施の形態２におけるログ生成装置の構成を具体的に示すブロック図である。 図９は、実施の形態２で用いられる実操作テンプレートの一例を示す図である。 図１０は、実施の形態２におけるログ生成装置の動作を示すフロー図である。 図１１は、実施の形態１及び２におけるログ生成装置を実現するコンピュータの一例を示すブロック図である。
（実施の形態１）
　以下、実施の形態１における、ログ生成装置、ログ生成方法、及びプログラムについて、図１～図７を参照しながら説明する。
［装置構成］
　最初に、図１を用いて、実施の形態１におけるログ生成装置の概略構成について説明する。図１は、実施の形態１におけるログ生成装置の概略構成を示すブロック図である。
　図１に示す実施の形態１におけるログ生成装置１０は、サイバーセキュリティ演習で必要となるログを生成する装置である。図１に示すように、ログ生成装置１０は、ログ分類部１１と、統計モデル生成部１２と、ログ情報生成部１３とを備えている。
　このような構成において、ログ分類部１１は、ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類する。
　統計モデル生成部１２は、グループ毎に、各グループに分類されたログを、２以上のログで構成されるイベントに変換する。また、統計モデル生成部１２は、変換によって得られたイベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成する。
　ログ情報生成部１３は、統計モデルにおけるイベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は新たなログを生成するためのログ情報を生成する。
　このように、実施の形態１では、グループに分類されたログ群から統計モデルが生成され、生成された統計モデルを用いることで、新たなログ、又はそれを生成するためのログ情報が生成される。実施の形態１によれば、設定環境下で動作する端末からのログ出力及び人手によることなく、サイバーセキュリティ演習で必要な正常ログを生成することができる。
　続いて、図１に加えて、図２～図６を用いて、実施の形態１におけるログ生成装置１０の構成をより具体的に説明する。図２は、実施の形態１におけるログ生成装置の構成を具体的に示すブロック図である。
　図２に示すように、実施の形態１では、ログ生成装置１０は、上述したログ分類部１１、統計モデル生成部１２、及びログ情報生成部１３に加えて、ログデータ取得部１４と、パラメータ取得部１５と、分類ルール格納部１６と、モデル生成ルール格納部１７と、ログ情報格納部１８とを備えている。
　ログデータ取得部１４は、実施の形態では、ログ生成装置１０にネットワークを介して接続されたコンピュータから、ログデータを取得する。具体的には、ログデータの取得先となるコンピュータには、ログ収集ツールがインストールされており、このログ収集ツールが、コンピュータで生成されたログを収集し、収集したログの集合をログデータとして、ログ生成装置１０に出力する。ログデータ取得部１４は、ログ収集ツールが出力したログデータを取得する。
　ログ収集ツールとしては、例えば、ＣＤＩＲ－Ｃｏｌｌｅｃｔｏｒが挙げられる。また、ＣＤＩＲ－Ｃｏｌｌｅｃｔｏｒは、Ｗｉｎｄｏｗｓ（登録商標）固有のバイナリ形式のログも収集することから、ＣＤＩＲ－Ｃｏｌｌｅｃｔｏｒが用いられる場合は、収集先のコンピュータでは、ｐｌａｓｏによってログはＪＳＯＮファイルに変換される。この場合は、ログデータ取得部は、ＪＳＯＮファイルに変換されたログのログデータを取得する。
　ログ分類部１１は、実施の形態１では、ログ群で構成されたログデータを、ログ分類ルールに沿って、グループに分類する。ログ分類ルールは、ログの種類に応じてログを分類するルールである。図３は、実施の形態１で用いられるログ分類ルールの一例を示す図である。また、ログ分類ルールは、予め、ドメイン知識に基づいて作成され、分類ルール格納部１６に格納されている。
　具体的には、図３に示すように、ログ分類ルールは、ログタイプ毎に、対応する分類ＩＤを規定している。従って、ログ分類部１１は、ログデータ取得部１４によって取得されたログデータを構成するログ毎に、ログ分類ルールを参照して、対応する分類ＩＤを特定する。分類ＩＤは、グループを特定するためのＩＤであり、分類ＩＤの特定により、各ログはグループに分類される。
　統計モデル生成部１２は、実施の形態１では、テンプレートを用いて、グループ毎に、各グループに分類されたログを、２以上のログで構成されるイベントに変換する。そして、統計モデル生成部１２は、各イベントを時間毎の出現確率に変換して、統計モデルを生成する。テンプレートは、イベント毎に、対応するログに含まれるログテキストを登録したデータである。
　図４は、実施の形態１で用いられるテンプレートの一例を示す図である。図４の例では、各テンプレートは、モデル生成ルールとして、対応テーブルと共にモデル生成ルール格納部１７に格納されている。また、対応テーブルは、各テンプレートと、それに対応するイベント（イベントＩＤ）、分類ＩＤ、及び遅延時間リストとを、紐付けている。また、対応テーブルにおいて、同じイベントＩＤに対応する複数のテンプレートは、テンプレートリストとして一括りとされている。また、遅延時間リストは、テンプレートリストに含まれる最初のテンプレートを基準とした、テンプレート間の実行時間の差を示している。
　具体的には、統計モデル生成部１２は、まず、分類されたグループのうち１つを選択し、選択したグループに分類されたログそれぞれを対象ログとする。次いで、統計モデル生成部１２は、モデル生成ルール格納部１７から、選択したグループの分類ＩＤに対応するイベントＩＤを特定する。
　更に、統計モデル生成部１２は、特定したイベントＩＤそれぞれのテンプレートリストから最初のテンプレートＩＤを取得し、取得した各最初のテンプレートＩＤの対応するログテキストを読み込み、読み込んだ各ログテキストを、イベントトリガー候補とする。
　続いて統計モデル生成部１２は、各対象ログにおいて、それに含まれる固有値を削除する。削除される固有値は、図４に示すログテキスト中の「＄」で囲まれた変数に対応する値である。
　次に、統計モデル生成部１２は、イベントトリガー候補毎に、対象ログそれぞれとの距離を算出し、距離が閾値以下となるイベントトリガー候補が存在する場合は、このイベントトリガー候補をイベントトリガーと判定する。このとき算出される距離としては、例えば、レーベンシュタイン距離が挙げられる。また、対象ログから固有値が取り除かれているため、閾値としては、「８」といった小さな値が用いられる。
　次に、統計モデル生成部１２は、イベントトリガーのイベントＩＤに対応するテンプレートリストから、二番目以降のテンプレートＩＤを特定する。続いて、統計モデル生成部１２は、特定した二番目以降のテンプレートＩＤのログテキストが、イベントトリガーとの距離が閾値以下となった対象ログ以降の対象ログ（以下、単に「以降の対象ログ」と表記する）において、順に出現しているかどうかを判定する。即ち、統計モデル生成部１２は、以降の対象ログについて、順に、二番目以降のテンプレートＩＤのログテキストとの距離を算出する。
　そして、判定の結果、イベントトリガーのテンプレートリストに含まれるテンプレートＩＤ全てにおいて、対象ログとログテキストとの距離が閾値以下であると、即ち、イベントトリガーに対応するイベントが全て発生しているとする。この場合、統計モデル生成部１２は、イベントトリガーのイベントＩＤに、最初に距離が閾値以下となった対象ログのタイムスタンプ（「イベント時間」とも表記する）を付与し、タイムスタンプを付与したイベントＩＤを保持する。なお、このときのイベント時間が、イベントの発生時刻に該当する。
　また、統計モデル生成部１２は、選択されていないグループが存在する場合は、このグループに対しても同様の処理を行って、イベントトリガーのイベントＩＤを保持する。以下このようにして保持されたイベントＩＤの集合を「イベント列」と表記する。
　更に、統計モデル生成部１２は、１日２４時間を任意の時間幅で分割して、タイムウィンドウを設定し、イベント時間を元に、タイムウィンドウ毎にイベントＩＤを保持する。続いて、統計モデル生成部１２は、例えば、１日分のログについて、各タイムウィンドウにおいて保持されているイベントＩＤの個数を合算する。
　そして、統計モデル生成部１２は、タイムウィンドウ毎に、そこで保持されているイベントＩＤの個数を合算値で除算する。この除算により得られた除算値が、イベント毎の出現確率となる。また、このように、受信したログの期間が１日に設定されている場合は、統計モデル生成部１２は、タイムウィンドウ毎の一日平均イベント数を特定することも可能である。
　統計モデル生成部１２は、イベント毎の出現確率を用いて、例えば、図５に示す統計モデルを生成する。図５は、実施の形態１で生成される統計モデルの一例を概念的に示す図である。図５の例では、統計モデル５０は、日毎に、各タイムウィンドウ５１におけるイベントの出現確率と平均イベント数とを保持している。また、図５において、各統計モデル５０は、それぞれ異なる分類ＩＤに対応している。
　パラメータ取得部１５は、ログ情報生成部１３による処理で用いるパラメータを取得する。パラメータとしては、コンピュータ名、ユーザ名、ＩＰアドレス、ログの生成開始時刻、ログの生成終了時刻が挙げられる。また、パラメータは、例えば、ログ生成装置１０の管理者によって作成され、その後、管理者の端末等を介して入力される。
　ログ情報生成部１３は、実施の形態１では、統計モデルにおけるイベント毎の出現確率に沿って、特定のイベントを選択すると、選択したイベントをテンプレートに照合する。また、ログ情報生成部１３は、照合結果から、選択したイベントに対応するログテキストを取得し、取得したログテキストを、テキストデータとして用いて、新たなログを生成する。
　具体的には、ログ情報生成部１３は、最初に、パラメータ取得部１５から取得されたパラメータを受け取る。次に、ログ情報生成部１３は、取得したパラメータにおける生成開始時刻を、ログ生成の対象時刻に設定し、統計モデル生成部１２が生成した統計モデルにおいて、対象時刻が該当するタイムウィンドウを特定する。
　続いて、ログ情報生成部１３は、特定したタイムウィンドウに含まれるイベントＩＤ群より、統計モデルにおける出現確率に沿って、いずれか１つのイベントＩＤを選択する。また、ログ情報生成部１３は、特定したタイムウィンドウにおける一日平均イベント数となるまで、イベントＩＤの選択を繰り返す。
　次に、ログ情報生成部１３は、選択したイベントＩＤそれぞれについて、以下の（ａ）～（ｄ）の処理を実行する。
（ａ）選択したイベントＩＤ群の、各テンプレートリストより、各テンプレートに紐づいたログテキスト群を取得する。
（ｂ）ログテキスト群内の置換対象文字列（図４に示すログテキスト中の「＄」で囲まれた部分）を、パラメータ取得部１５から受け取ったパラメータで置換する。
（ｃ）特定したタイムウィンドウ内でランダムに時刻を設定し、設定した時刻をログの出現時刻とする。但し、テンプレートリストの二番目以降にあるテンプレート内のログについては、該当するイベントＩＤの遅延時間リストの、同じ順位にある数値を、最初に設定した出現時刻に加算し、これを当該ログのログ出現時刻に設定する。
（ｄ）ログ情報格納部１８に、パラメータによる置換済みログテキスト（類似ログ）とログ出現時刻とを格納する。
　続いて、ログ情報生成部１３は、イベントＩＤ毎に上述の（ａ）～（ｄ）の処理を実行すると、ログ生成の対象時刻を、「現在のログ生成の対象時刻＋タイムウィンドウの時間幅」に更新する。その後、ログ情報生成部１３は、ログ生成の対象時刻がパラメータ中のログの生成終了時刻に達するまで、上述のイベントＩＤ群の選択、イベントＩＤ毎の上述の（ａ）～（ｄ）の処理を繰り返し実行する。
　その後、図６に示すように、ログ情報生成部１３は、生成した類似ログを、ログ情報生成部１３に格納する。図６は、実施の形態１において生成されたログの一例を示す図である。図６に示すように、ログ情報生成部１３は、新たに生成した類似ログ（置換済みログテキスト）とログ出現時刻とを、互いに紐付けて格納している。その後、ログ情報生成部１３に格納されている類似ログ及びログ出現時刻は、サイバーセキュリティ演習で使用される端末装置等に送られる。
［装置動作］
　次に、実施の形態１におけるログ生成装置１０の動作について図７を用いて説明する。図７は、実施の形態１におけるログ生成装置の動作を示すフロー図である。以下の説明においては、適宜図１～図６を参照する。また、実施の形態１では、ログ生成装置１０を動作させることによって、ログ生成方法が実施される。よって、実施の形態１におけるログ生成方法の説明は、以下のログ生成装置１０の動作説明に代える。
　図７に示すように、最初に、ログデータ取得部１４が、ログ生成装置１０にネットワークを介して接続されたコンピュータから、ログデータを取得する（ステップＡ１）。
　次に、ログ分類部１１は、ログ群で構成されたログデータを、例えば図３に示したログ分類ルールに沿って、グループに分類する（ステップＡ２）。
　次に、統計モデル生成部１２は、ステップＡ２で分類されたグループの１つを選択する（ステップＡ３）。次に、統計モデル生成部１２は、例えば図４に示したテンプレートを用いて、選択したグループのログを、２以上のログで構成されるイベントに変換する（ステップＡ４）。
　具体的には、ステップＡ４では、選択したグループに分類されたログそれぞれを対象ログとし、選択したグループの分類ＩＤに対応するイベントＩＤを特定する。更に、統計モデル生成部１２は、特定したイベントＩＤそれぞれについて、テンプレートリストの最初のテンプレートＩＤのログテキストを読み込み、読み込んだ各ログテキストを、イベントトリガー候補とする。
　続いて、ステップＡ４では、統計モデル生成部１２は、各対象ログの固有値を削除し、イベントトリガー候補毎に、対象ログそれぞれとの距離を算出し、距離が閾値以下となるイベントトリガー候補をイベントトリガーとする。次に、統計モデル生成部１２は、イベントトリガーのイベントＩＤに対応するテンプレートリストから、二番目以降のテンプレートＩＤを特定し、以降の対象ログについても、順に、二番目以降のテンプレートＩＤのログテキストとの距離を算出する。
　そして、イベントトリガーのテンプレートリストに含まれるテンプレートＩＤ全てにおいて、対象ログとログテキストとの距離が閾値以下であるとする。この場合、ステップＡ４では、統計モデル生成部１２は、イベントトリガーのイベントＩＤに、最初に距離が閾値以下となった対象ログのタイムスタンプ（イベント時間）を付与し、タイムスタンプを付与したイベントＩＤを保持する。
　次に、統計モデル生成部１２は、ステップＡ４の実行後、選択されていないグループが存在するかどうかを判定する（ステップＡ５）。ステップＡ５の判定の結果、選択されていないグループが存在する場合は、統計モデル生成部１２は、再度ステップＡ３及びＡ４を実行する。
　一方、ステップＡ５の判定の結果、選択されていないグループが存在しない場合は、統計モデル生成部１２は、ステップＡ４で得られたイベント列から統計モデルを生成する（ステップＡ６）。
　具体的には、ステップＡ６では、統計モデル生成部１２は、１日２４時間を任意の時間幅で分割して、タイムウィンドウを設定し、イベント時間を元に、タイムウィンドウ毎にイベントＩＤを保持する。続いて、統計モデル生成部１２は、例えば、１日分のログについて、各タイムウィンドウにおいて保持されているイベントＩＤの個数を合算し、タイムウィンドウ毎に、そこで保持されているイベントＩＤの個数を合算値で除算する。統計モデル生成部１２は、この除算により得られた除算値をイベント毎の出現確率として、例えば、図５に示す統計モデルを生成する。
　次に、パラメータ取得部１５は、ステップＡ９におけるログ情報生成部１３による処理で用いるパラメータを取得する（ステップＡ７）。
　次に、ログ情報生成部１３は、統計モデルにおけるイベント毎の出現確率に沿って、特定のイベントを選択する（ステップＡ８）。
　具体的には、ステップＡ８では、ログ情報生成部１３は、ステップＡ７で取得したパラメータにおける生成開始時刻を、ログ生成の対象時刻に設定し、統計モデルにおいて、対象時刻が該当するタイムウィンドウを特定する。続いて、ログ情報生成部１３は、特定したタイムウィンドウに含まれるイベントＩＤ群より、統計モデルにおける出現確率に沿って、いずれか１つのイベントＩＤを選択する。なお、イベントＩＤの選択は、一日平均イベント数となるまで繰り返し行われる。
　次に、ログ情報生成部１３は、選択したイベントをテンプレートに照合し、照合結果から、選択したイベントに対応するログテキストを取得し、取得したログテキストを、テキストデータとして用いて、類似ログを生成する（ステップＡ９）。
　具体的には、ステップＡ９では、ログ情報生成部１３は、選択したイベントＩＤそれぞれについて、上述した（ａ）～（ｄ）の処理を実行する。また、ログ情報生成部１３は、イベントＩＤ毎に上述の（ａ）～（ｄ）の処理を実行すると、ログ生成の対象時刻を、「現在のログ生成の対象時刻＋タイムウィンドウの時間幅」に更新する。
　その後、ログ情報生成部１３は、ログ生成の対象時刻がパラメータ中のログの生成終了時刻に到達しているかどうかを判定する（ステップＡ１０）。ステップＡ１０の判定の結果、ログ生成の対象時刻がログの生成終了時刻に到達していない場合は、ログ情報生成部１３は、更新後の対象時刻において、再度ステップＡ８及びＡ９を実行する。
　一方、ステップＡ１０の判定の結果、ログ生成の対象時刻がログの生成終了時刻に到達している場合は、ログ情報生成部１３は、ステップＡ９で生成した類似ログを、ログ情報生成部１３に格納する（ステップＡ１１）。
　このように、本実施の形態１によれば、実施の形態１では、グループに分類されたログ群から対応するイベントが特定され、このイベントの出現確率に基づいて統計モデルが生成される。そして、この統計モデルを用いることで、類似ログを得ることができる。従って、実施の形態１によれば、設定環境下で動作する端末からのログ出力及び人手によることなく、サイバーセキュリティ演習で必要な正常ログを生成することができる。
［プログラム］
　実施の形態１におけるプログラムは、コンピュータに、図７に示すステップＡ１～Ａ１１を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、実施の形態１におけるログ生成装置１０とログ生成方法とを実現することができる。この場合、コンピュータのプロセッサは、ログ分類部１１、統計モデル生成部１２、ログ情報生成部１３、ログデータ取得部１４、及びパラメータ取得部１５として機能し、処理を行なう。
　また、実施の形態１では、分類ルール格納部１６、モデル生成ルール格納部１７、及びログ情報格納部１８は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現できる。また、分類ルール格納部１６、モデル生成ルール格納部１７、及びログ情報格納部１８は、実施の形態１におけるプログラムを実行するコンピュータとは別のコンピュータによっても実現できる。
　また、実施の形態１におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、ログ分類部１１、統計モデル生成部１２、ログ情報生成部１３、ログデータ取得部１４、及びパラメータ取得部１５のいずれかとして機能しても良い。
（実施の形態２）
　次に、実施の形態２における、ログ生成装置、ログ生成方法、及びプログラムについて、図８～図１０を参照しながら説明する。
［装置構成］
　最初に、図８を用いて、実施の形態２におけるログ生成装置の概略構成について説明する。図８は、実施の形態２におけるログ生成装置の構成を具体的に示すブロック図である。
　図８に示す実施の形態２におけるログ生成装置２０も、実施の形態１におけるログ生成装置１０と同様に、サイバーセキュリティ演習で必要となるログを生成する装置である。
　図８に示すように、ログ生成装置２０は、図２に示された構成に加えて、実操作ルール格納部２１及びログ情報通信部２２を備えている点と、ログ情報生成部１３の機能の点とで、実施の形態１におけるログ生成装置１０と異なっている。以下、実施の形態１との相違点を中心に説明する。
　実施の形態２では、ログ情報生成部１３は、実操作テンプレートを用いて、選択したイベントに対応するコマンド列を特定し、特定したコマンド列を、テキストデータとして用いて、ログ情報を生成する。
　実操作テンプレートは、図９に示すように、イベント（イベントＩＤ）毎に、対応するログを生成するためのコマンド列を登録している。図９は、実施の形態２で用いられる実操作テンプレートの一例を示す図である。なお、特定された各コマンドは、「実操作コマンド」と表記する。
　具体的には、ログ情報生成部１３は、最初に、パラメータ取得部１５から取得されたパラメータを受け取る。次に、ログ情報生成部１３は、取得したパラメータにおける生成開始時刻を、ログ生成の対象時刻に設定し、統計モデル生成部１２が生成した統計モデルにおいて、対象時刻が該当するタイムウィンドウを特定する。
　次に、ログ情報生成部１３は、特定したタイムウィンドウに含まれるイベントＩＤ群より、統計モデルにおける出現確率に沿って、いずれかのイベントＩＤを選択する。また、ログ情報生成部１３は、特定したタイムウィンドウにおける一日平均イベント数となるまで、イベントＩＤの選択を繰り返す。
　次に、ログ情報生成部１３は、実操作テンプレートに基づいて、選択したイベントＩＤそれぞれについて、当該イベントＩＤに紐付けられた実操作コマンドを取得する。この取得された実操作コマンドが、新たなログを生成するためのログ情報となる。
　このように、ログ情報生成部１３は、統計モデル生成部１２で生成された統計モデルを利用し、実操作ルール格納部２１に格納された実操作テンプレートに基づいて、ログ情報となる実操作コマンド列を得る。
　その後、ログ情報生成部１３は、選択したイベントＩＤ毎の実操作コマンドを、ログ情報通信部２２に渡す。これにより、ログ情報通信部２２は、実操作コマンドを、端末装置３０に送信する。
　端末装置３０は、送信されてきた実操作コマンドを受け取ると、受け取った実操作コマンドを実行する。また、端末装置３０は、実操作コマンドの実行後、実行に際して生成されたログを収集し、収集したログを、ログ生成装置１０に送信する。
　ログ生成装置２０において、ログ情報通信部２２は、送信されてきたログを、新たなログ（類似ログ）として、ログ情報格納部１８に格納する。
［装置動作］
　次に、実施の形態２におけるログ生成装置２０の動作について図１０を用いて説明する。図１０は、実施の形態２におけるログ生成装置の動作を示すフロー図である。以下の説明においては、適宜図８及び９を参照する。また、実施の形態２では、ログ生成装置２０を動作させることによって、ログ生成方法が実施される。よって、実施の形態２におけるログ生成方法の説明は、以下のログ生成装置２０の動作説明に代える。
　図１０に示すように、最初に、ログデータ取得部１４が、ログ生成装置２０にネットワークを介して接続されたコンピュータから、ログデータを取得する（ステップＢ１）。
　次に、ログ分類部１１は、ログ群で構成されたログデータを、例えば図３に示したログ分類ルールに沿って、グループに分類する（ステップＢ２）。
　次に、統計モデル生成部１２は、ステップＢ２で分類されたグループの１つを選択する（ステップＢ３）。次に、統計モデル生成部１２は、例えば図４に示したテンプレートを用いて、選択したグループのログを、２以上のログで構成されるイベントに変換する（ステップＢ４）。
　次に、統計モデル生成部１２は、ステップＢ４の実行後、選択されていないグループが存在するかどうかを判定する（ステップＢ５）。ステップＢ５の判定の結果、選択されていないグループが存在する場合は、統計モデル生成部１２は、再度ステップＢ３及びＢ４を実行する。
　一方、ステップＢ５の判定の結果、選択されていないグループが存在しない場合は、統計モデル生成部１２は、ステップＢ４で得られたイベント列から統計モデルを生成する（ステップＢ６）。
　次に、パラメータ取得部１５は、ステップＢ９におけるログ情報生成部１３による処理で用いるパラメータを取得する（ステップＢ７）。
　次に、ログ情報生成部１３は、統計モデルにおけるイベント毎の出現確率に沿って、特定のイベントを選択する（ステップＢ８）。なお、上述したステップＢ１～Ｂ８は、それぞれ、図７に示したステップＡ１～Ａ８と同様のステップである。
　次に、ログ情報生成部１３は、図９に示した実操作テンプレートに基づいて、選択したイベントＩＤそれぞれについて、当該イベントＩＤに紐付けられた実操作コマンドを取得する（ステップＢ９）。この取得された実操作コマンドが、新たなログを生成するためのログ情報となる。
　次に、ログ情報生成部１３は、選択したイベントＩＤ毎の実操作コマンドを、ログ情報通信部２２に渡す。これにより、ログ情報通信部２２は、実操作コマンドを、端末装置３０に送信する（ステップＢ１０）。
　ステップＢ１０が実行されると、端末装置３０は、送信されてきた実操作コマンドを受け取り、受け取った実操作コマンドを実行する。そして、端末装置３０は、実操作コマンドの実行後、実行に際して生成されたログを収集し、収集したログを、ログ生成装置１０に送信する。
　次に、端末装置からログが送信されてくると、ログ情報通信部２２は、送信されてきたログを受信し、受信したログを、新たなログ（類似ログ）として、ログ情報格納部１８に格納する（ステップＢ１１）。
　このように、本実施の形態２でも、実施の形態１と同様に、グループに分類されたログ群から対応するイベントが特定され、このイベントの出現確率に基づいて統計モデルが生成される。そして、この統計モデルを用いることで、類似ログを生成するためのログ情報を得ることができる。実施の形態２においても、実施の形態１と同様に、設定環境下で動作する端末からのログ出力及び人手によることなく、サイバーセキュリティ演習で必要な正常ログを生成することができる。
　また、実施の形態２において、端末装置３０がハニーポットに設定されているとすると、ハニーポットから、頻繁にログが出力されることになる。このため、攻撃者はハニーポットであると気づかずに、この端末装置３０に攻撃をかけることになる。ハニーポットは、セキュリティの向上のために、攻撃者の標的となるように仕向けられた、おとりとなる端末装置である。
［プログラム］
　実施の形態２におけるプログラムは、コンピュータに、図１０に示すステップＢ１～Ｂ１１を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、実施の形態２におけるログ生成装置２０とログ生成方法とを実現することができる。この場合、コンピュータのプロセッサは、ログ分類部１１、統計モデル生成部１２、ログ情報生成部１３、ログデータ取得部１４、パラメータ取得部１５、及びログ情報通信部２２として機能し、処理を行なう。
　また、実施の形態２では、分類ルール格納部１６、モデル生成ルール格納部１７、ログ情報格納部１８、及び実操作ルール格納部２１は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現できる。また、分類ルール格納部１６、モデル生成ルール格納部１７、ログ情報格納部１８、及び実操作ルール格納部２１は、実施の形態２におけるプログラムを実行するコンピュータとは別のコンピュータによっても実現できる。
　また、実施の形態２におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、ログ分類部１１、統計モデル生成部１２、ログ情報生成部１３、ログデータ取得部１４、パラメータ取得部１５、及びログ情報通信部２２のいずれかとして機能しても良い。
（物理構成）
　ここで、実施の形態１及び２におけるプログラムを実行することによって、ログ生成装置を実現するコンピュータについて図１１を用いて説明する。図１１は、実施の形態１及び２におけるログ生成装置を実現するコンピュータの一例を示すブロック図である。
　図１１に示すように、コンピュータ１１０は、ＣＰＵ（Central Processing Unit）１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。
　また、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていても良い。
　ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
　また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
　データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
　また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体が挙げられる。
　なお、実施の形態１及び２におけるログ生成装置は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、ログ生成装置は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
　上述した実施の形態の一部又は全部は、以下に記載する（付記１）～（付記１２）によって表現することができるが、以下の記載に限定されるものではない。
（付記１）
　ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類する、ログ分類部と、
　グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換し、更に、変換によって得られた前記イベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成する、統計モデル生成部と、
　前記統計モデルにおける前記イベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は前記新たなログを生成するためのログ情報を生成する、ログ情報生成部と、
を備えている、ことを特徴とするログ生成装置。
（付記２）
付記１に記載のログ生成装置であって、
　前記統計モデル生成部が、前記イベント毎に、対応するログに含まれるログテキストを登録している、テンプレートを用いて、前記グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換する、
ことを特徴とするログ生成装置。
（付記３）
付記２に記載のログ生成装置であって、
　前記ログ情報生成部が、選択したイベントを前記テンプレートに照合して、選択した前記イベントに対応するログテキストを取得し、取得したログテキストを、前記テキストデータとして用いて、前記新たなログを生成する、
ことを特徴とするログ生成装置。
（付記４）
付記２に記載のログ生成装置であって、
　前記ログ情報生成部が、前記イベント毎に、対応するログを生成するためのコマンド列を登録している、テンプレートを用いて、選択したイベントに対応するコマンド列を特定し、特定した前記コマンド列を、前記テキストデータとして用いて、前記ログ情報を生成する、
ことを特徴とするログ生成装置。
（付記５）
　ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類する、ログ分類ステップと、
　グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換し、更に、変換によって得られた前記イベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成する、統計モデル生成ステップと、
　前記統計モデルにおける前記イベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は前記新たなログを生成するためのログ情報を生成する、ログ情報生成ステップと、
を有する、ことを特徴とするログ生成方法。
（付記６）
付記５に記載のログ生成方法であって、
　前記統計モデル生成ステップにおいて、前記イベント毎に、対応するログに含まれるログテキストを登録している、テンプレートを用いて、前記グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換する、
ことを特徴とするログ生成方法。
（付記７）
付記６に記載のログ生成方法であって、
　前記ログ情報生成ステップにおいて、選択したイベントを前記テンプレートに照合して、選択した前記イベントに対応するログテキストを取得し、取得したログテキストを、前記テキストデータとして用いて、前記新たなログを生成する、
ことを特徴とするログ生成方法。
（付記８）
付記６に記載のログ生成方法であって、
　前記ログ情報生成ステップにおいて、前記イベント毎に、対応するログを生成するためのコマンド列を登録している、テンプレートを用いて、選択したイベントに対応するコマンド列を特定し、特定した前記コマンド列を、前記テキストデータとして用いて、前記ログ情報を生成する、
ことを特徴とするログ生成方法。
（付記９）
コンピュータに、
　ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類する、ログ分類ステップと、
　グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換し、更に、変換によって得られた前記イベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成する、統計モデル生成ステップと、
　前記統計モデルにおける前記イベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は前記新たなログを生成するためのログ情報を生成する、ログ情報生成ステップと、
を実行させる命令を含む、プログラムを記録している、ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１０）
付記９に記載のコンピュータ読み取り可能な記録媒体であって、
　前記統計モデル生成ステップにおいて、前記イベント毎に、対応するログに含まれるログテキストを登録している、テンプレートを用いて、前記グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１１）
付記１０に記載のコンピュータ読み取り可能な記録媒体であって、
　前記ログ情報生成ステップにおいて、選択したイベントを前記テンプレートに照合して、選択した前記イベントに対応するログテキストを取得し、取得したログテキストを、前記テキストデータとして用いて、前記新たなログを生成する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１２）
付記１０に記載のコンピュータ読み取り可能な記録媒体であって、
　前記ログ情報生成ステップにおいて、前記イベント毎に、対応するログを生成するためのコマンド列を登録している、テンプレートを用いて、選択したイベントに対応するコマンド列を特定し、特定した前記コマンド列を、前記テキストデータとして用いて、前記ログ情報を生成する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　以上のように、本発明によれば、設定環境下で動作する端末からのログ出力及び人手によることなく、サイバーセキュリティ演習で必要な正常ログを生成することができる。本発明は、サイバーセキュリティ演習を行うシステムに有用である。
　１０　ログ生成装置（実施の形態１）
　１１　ログ分類部
　１２　統計モデル生成部
　１３　ログ情報生成部
　１４　ログデータ取得部
　１５　パラメータ取得部
　１６　分類ルール格納部
　１７　モデル生成ルール格納部
　１８　ログ情報格納部
　２０　ログ生成装置（実施の形態２）
　２１　実操作ルール格納部
　２２　ログ情報通信部
　１１０　コンピュータ
　１１１　ＣＰＵ
　１１２　メインメモリ
　１１３　記憶装置
　１１４　入力インターフェイス
　１１５　表示コントローラ
　１１６　データリーダ／ライタ
　１１７　通信インターフェイス
　１１８　入力機器
　１１９　ディスプレイ装置
　１２０　記録媒体
　１２１　バス

Claims (12)

  1. 　ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類する、ログ分類手段と、
    　グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換し、更に、変換によって得られた前記イベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成する、統計モデル生成手段と、
    　前記統計モデルにおける前記イベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は前記新たなログを生成するためのログ情報を生成する、ログ情報生成手段と、
    を備えている、ことを特徴とするログ生成装置。
  2. 請求項１に記載のログ生成装置であって、
    　前記統計モデル生成手段が、前記イベント毎に、対応するログに含まれるログテキストを登録している、テンプレートを用いて、前記グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換する、
    ことを特徴とするログ生成装置。
  3. 請求項２に記載のログ生成装置であって、
    　前記ログ情報生成手段が、選択したイベントを前記テンプレートに照合して、選択した前記イベントに対応するログテキストを取得し、取得したログテキストを、前記テキストデータとして用いて、前記新たなログを生成する、
    ことを特徴とするログ生成装置。
  4. 請求項２に記載のログ生成装置であって、
    　前記ログ情報生成手段が、前記イベント毎に、対応するログを生成するためのコマンド列を登録している、テンプレートを用いて、選択したイベントに対応するコマンド列を特定し、特定した前記コマンド列を、前記テキストデータとして用いて、前記ログ情報を生成する、
    ことを特徴とするログ生成装置。
  5. 　ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類し、
    　グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換し、更に、変換によって得られた前記イベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成し、
    　前記統計モデルにおける前記イベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は前記新たなログを生成するためのログ情報を生成する、
    ことを特徴とするログ生成方法。
  6. 請求項５に記載のログ生成方法であって、
    　前記統計モデルの生成において、前記イベント毎に、対応するログに含まれるログテキストを登録している、テンプレートを用いて、前記グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換する、
    ことを特徴とするログ生成方法。
  7. 請求項６に記載のログ生成方法であって、
    　前記ログ情報の生成において、選択したイベントを前記テンプレートに照合して、選択した前記イベントに対応するログテキストを取得し、取得したログテキストを、前記テキストデータとして用いて、前記新たなログを生成する、
    ことを特徴とするログ生成方法。
  8. 請求項６に記載のログ生成方法であって、
    　前記ログ情報の生成において、前記イベント毎に、対応するログを生成するためのコマンド列を登録している、テンプレートを用いて、選択したイベントに対応するコマンド列を特定し、特定した前記コマンド列を、前記テキストデータとして用いて、前記ログ情報を生成する、
    ことを特徴とするログ生成方法。
  9. コンピュータに、
    　ログ群で構成されたログデータを、ログの種類に基づいて、グループに分類させ、
    　グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換し、更に、変換によって得られた前記イベント毎に、その発生時刻及び個数から、その出現確率を算出して、統計モデルを生成させ、
    　前記統計モデルにおける前記イベント毎の出現確率に沿って、特定のイベントを選択し、そして、選択したイベントに対応し、且つ、予め作成されている、テキストデータを用いて、新たなログ、又は前記新たなログを生成するためのログ情報を生成させる、
    命令を含む、プログラムを記録している、ことを特徴とするコンピュータ読み取り可能な記録媒体。
  10. 請求項９に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記統計モデルの生成において、前記イベント毎に、対応するログに含まれるログテキストを登録している、テンプレートを用いて、前記グループ毎に、当該グループに分類されたログを、２以上のログで構成されるイベントに変換する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  11. 請求項１０に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記ログ情報の生成において、選択したイベントを前記テンプレートに照合して、選択した前記イベントに対応するログテキストを取得し、取得したログテキストを、前記テキストデータとして用いて、前記新たなログを生成する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  12. 請求項１０に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記ログ情報の生成において、前記イベント毎に、対応するログを生成するためのコマンド列を登録している、テンプレートを用いて、選択したイベントに対応するコマンド列を特定し、特定した前記コマンド列を、前記テキストデータとして用いて、前記ログ情報を生成する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
PCT/JP2020/007534 2020-02-25 2020-02-25 ログ生成装置、ログ生成方法、及びコンピュータ読み取り可能な記録媒体 WO2021171383A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/798,384 US20230032143A1 (en) 2020-02-25 2020-02-25 Log generation apparatus, log generation method, and computer readable recording medium
PCT/JP2020/007534 WO2021171383A1 (ja) 2020-02-25 2020-02-25 ログ生成装置、ログ生成方法、及びコンピュータ読み取り可能な記録媒体
JP2022502625A JP7351399B2 (ja) 2020-02-25 2020-02-25 ログ生成装置、ログ生成方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/007534 WO2021171383A1 (ja) 2020-02-25 2020-02-25 ログ生成装置、ログ生成方法、及びコンピュータ読み取り可能な記録媒体

Publications (1)

Publication Number Publication Date
WO2021171383A1 true WO2021171383A1 (ja) 2021-09-02

Family

ID=77490778

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/007534 WO2021171383A1 (ja) 2020-02-25 2020-02-25 ログ生成装置、ログ生成方法、及びコンピュータ読み取り可能な記録媒体

Country Status (3)

Country Link
US (1) US20230032143A1 (ja)
JP (1) JP7351399B2 (ja)
WO (1) WO2021171383A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN118113232A (zh) * 2024-04-30 2024-05-31 浙江大华技术股份有限公司 资源加载方法、系统、电子设备以及存储介质

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018186314A1 (ja) * 2017-04-03 2018-10-11 日本電信電話株式会社 分析装置、分析方法及び分析プログラム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003203001A (ja) * 2001-12-28 2003-07-18 Toshiba Corp ログ解析方法、ログ解析プログラム
WO2019073557A1 (ja) * 2017-10-11 2019-04-18 三菱電機株式会社 サンプルデータ生成装置、サンプルデータ生成方法およびサンプルデータ生成プログラム

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018186314A1 (ja) * 2017-04-03 2018-10-11 日本電信電話株式会社 分析装置、分析方法及び分析プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
NICT, ITMEDIA, 9 March 2018 (2018-03-09), Retrieved from the Internet <URL:https://www.itmedia.co.jp/enterprise/articles/1803/09/newsl29.html> [retrieved on 20200522] *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN118113232A (zh) * 2024-04-30 2024-05-31 浙江大华技术股份有限公司 资源加载方法、系统、电子设备以及存储介质

Also Published As

Publication number Publication date
JP7351399B2 (ja) 2023-09-27
JPWO2021171383A1 (ja) 2021-09-02
US20230032143A1 (en) 2023-02-02

Similar Documents

Publication Publication Date Title
US11909753B2 (en) Virtual private cloud flow log event fingerprinting and aggregation
JP5972401B2 (ja) 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム
JP6410547B2 (ja) ネットワーク動作アーチファクトの順序によるマルウェアの分類
US11108795B2 (en) Intrusion detection using robust singular value decomposition
JP6488009B2 (ja) 特徴的なサブトレースマイニングを使用する、経時的グラフにおける挙動クエリ構築のための方法及びシステム
CN106997367B (zh) 程序文件的分类方法、分类装置和分类系统
CN108292414A (zh) 数据中心中的部署的自动推荐
EP3876122A1 (en) System, method and computer readable medium for identifying missing organizational security detection system rules
WO2021171383A1 (ja) ログ生成装置、ログ生成方法、及びコンピュータ読み取り可能な記録媒体
US11563760B2 (en) Network embeddings model for personal identifiable information protection
CN111183620A (zh) 入侵调查
US10965693B2 (en) Method and system for detecting movement of malware and other potential threats
US20220237302A1 (en) Rule generation apparatus, rule generation method, and computer-readable recording medium
WO2023166614A1 (ja) 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体
KR101863569B1 (ko) 머신 러닝 기반의 취약점 정보를 분류하는 방법 및 장치
JPWO2020065737A1 (ja) 影響範囲推定装置、影響範囲推定方法、及びプログラム
JP7188461B2 (ja) セキュリティ情報分析装置、システム、方法およびプログラム
Cucu et al. Current technologies and trends in cybersecurity and the impact of artificial intelligence
JP7251649B2 (ja) グラフ関連付けシステムおよびグラフ関連付け方法
JP7104377B2 (ja) セキュリティ分析支援装置、セキュリティ分析支援方法、及びプログラム
US20210279614A1 (en) Abductive inference apparatus, abductive inference method, and computer readable recording medium
JPWO2021171383A5 (ja) ログ生成装置、ログ生成方法、及びプログラム
KR20180062998A (ko) 머신 러닝 기반의 취약점 정보를 분류하는 방법 및 장치
WO2022003868A1 (ja) ログ生成システム、ログ生成方法およびコンピュータ可読媒体
US20240220604A1 (en) Log processing device, log processing method and computer readable medium

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20922424

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022502625

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20922424

Country of ref document: EP

Kind code of ref document: A1