WO2014119669A1 - ログ分析装置、情報処理方法及びプログラム - Google Patents

ログ分析装置、情報処理方法及びプログラム Download PDF

Info

Publication number
WO2014119669A1
WO2014119669A1 PCT/JP2014/052134 JP2014052134W WO2014119669A1 WO 2014119669 A1 WO2014119669 A1 WO 2014119669A1 JP 2014052134 W JP2014052134 W JP 2014052134W WO 2014119669 A1 WO2014119669 A1 WO 2014119669A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
log
log information
traffic information
event
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2014/052134
Other languages
English (en)
French (fr)
Inventor
弘 倉上
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to CN201480005638.2A priority Critical patent/CN104937886B/zh
Priority to EP14746780.7A priority patent/EP2953298B1/en
Priority to US14/758,627 priority patent/US9860278B2/en
Priority to JP2014559743A priority patent/JP6001689B2/ja
Publication of WO2014119669A1 publication Critical patent/WO2014119669A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the present invention relates to a log analysis device, an information processing method, and a program, and more particularly to a technique for detecting an attack related to network security.
  • Patent Document 1 discloses that a large number of logs output by an intrusion detection device that logs abnormal access on a network are based on a simultaneous correlation between events in consideration of differences in event types and addresses as event attributes. A method for facilitating monitoring and analysis by grouping a plurality of events is disclosed.
  • An object of the present invention is to provide a log analysis device, an information processing method, and a program for causing a computer to execute a computer that can comprehensively determine the presence or absence of unauthorized access based on log information and traffic information from a plurality of communication devices. It is to be.
  • a log analysis apparatus of the present invention is a log analysis apparatus that performs network security management, A log information collection unit that collects log information and traffic information output from a plurality of communication devices included in the network; A normalization processing unit that normalizes log information and traffic information collected by the log information collection unit; A log information analysis processing unit that extracts related log information and traffic information from normalized log information and traffic information, analyzes them according to a predetermined rule, and determines whether there is unauthorized access; An event information notification unit that outputs event information including information indicating importance based on a result determined by the log information analysis processing unit; It is the structure which has.
  • the information processing method of the present invention is an information processing method by a log analysis device that performs network security management, Collecting log information and traffic information output from a plurality of communication devices included in the network; Normalize the collected log information and traffic information, Extract relevant log information and traffic information from normalized log information and traffic information and analyze them according to predetermined rules to determine whether there is unauthorized access, Event information including information indicating importance based on the result of the determination is output.
  • the program of the present invention is provided on a computer that performs network security management.
  • the computer is caused to execute a procedure for outputting event information including information indicating importance based on the result of the determination.
  • the present invention it is possible to comprehensively determine the importance of a problem caused by a communication connection due to an unauthorized access attack based on log information and traffic information output from a plurality of communication devices in the network.
  • FIG. 1 is a block diagram illustrating a configuration example of a network in which the log analysis apparatus according to the present embodiment performs security management.
  • FIG. 2 is a block diagram illustrating a configuration example of the log analysis apparatus according to the present embodiment.
  • FIG. 3 is a diagram illustrating an example of a log format.
  • FIG. 4 is a flowchart showing an operation procedure of the log analysis apparatus according to the present embodiment.
  • FIG. 1 is a block diagram illustrating a configuration example of a network in which the log analysis apparatus according to the present embodiment performs security management.
  • a user IP network 30 includes a user terminal 11, a proxy server 12, a DNS (Domain Name System) server 13, a mail server 14, a file server 15, a Web server 16, an IPS (Intrusion Prevention System) 17, A firewall 18, a switch 19, and a router 20 are included.
  • DNS Domain Name System
  • IPS Internet Prevention System
  • a firewall 18, a switch 19, and a router 20 are included.
  • the case of a single user terminal 11 is described for the sake of simplicity, but a plurality of user terminals may be provided in the user IP network 30.
  • a proxy server 12, a DNS (Domain Name System) server 13, a mail server 14, a file server 15, a web server 16, and a user terminal 11 are connected to the switch 19.
  • the switch 19 is connected to the Internet via the IPS 17, the firewall 18 and the router 20.
  • the IPS 17 and the firewall 18 prevent unauthorized access from the Internet side and attacks by viruses.
  • a log analyzer 10 that performs security management of the user IP network 30 is connected to the router 20.
  • an unauthorized person attacks the security weakness of the user terminal 11 to use the user terminal 11 illegally or alters the data in the user terminal 11. For example, it may be possible to disable the user terminal 11.
  • the Internet connected to the router 20 is an example of an external network, and the external network is not limited to the Internet.
  • the user IP network 30 is an example of a network that is a security management target, and may be any network that can transmit data according to the IP, such as a LAN (Local Area Network).
  • the information communication device included in the user IP network 30 is not limited to the configuration shown in FIG.
  • FIG. 2 is a block diagram illustrating a configuration example of the log analysis apparatus according to the present embodiment.
  • the log analysis apparatus 10 includes a control unit 51 and a storage unit 52.
  • the control unit 51 includes a log information collection unit 100, a normalization processing unit 101, a log information analysis processing unit 103, an event information notification unit 104, and an external information collection unit 102.
  • the control unit 51 is provided with a CPU (Central Processing Unit) (not shown) for executing processing according to a program and a memory (not shown) for storing the program.
  • the log information collection unit 100, the normalization processing unit 101, the log information analysis processing unit 103, the event information notification unit 104, and the external information collection unit 102 shown in FIG. 10 is virtually configured.
  • the log information collection unit 100 When the log information collection unit 100 receives log information from the router 20, the switch 19, the firewall 18, the IPS 17, the Web server 16, the file server 15, the mail server 14, the DNS server 13, and the proxy server 12, the log information collection unit 100 acquires the log information. Log information is stored in the storage unit 52 for each piece of device identification information. When the log information collection unit 100 receives the log information from the user terminal 11, the log information collection unit 100 stores the log information in the storage unit 52 corresponding to the user ID (identifier) and the device identification information acquired from the log information.
  • the user ID is an identifier that is different for each user of the user terminal.
  • the log information collection unit 100 when the log information collection unit 100 receives the traffic information from the router 20, the switch 19 or the like, the log information collection unit 100 stores the traffic information in the storage unit 52 for each piece of device identification information acquired from the traffic information.
  • the device identification information is information for identifying a communication device that is a transmission source of log information or traffic information, and is different information for each communication device.
  • the normalization processing unit 101 performs normalization on the log information and traffic information collected in the storage unit 52 so as to uniformly organize the information into a data format that the log information analysis processing unit 103 can easily search and analyze. Do.
  • the format of the traffic information output from the router 20 may be different from the format of the traffic information output from the switch 19.
  • the normalization processing unit 101 performs items (for example, transmission source IP address, destination IP address, transmission source port information, destination port) included in log information and traffic information in accordance with a predetermined common category rule.
  • the log information and the traffic information are updated so that the information, protocol information, device identification information, user ID, etc.) match the format common to all devices.
  • the normalization processing unit 101 assigns a connection identifier, which is a different identifier for each connection, to the log information or traffic information of the same IP connection, and stores the connection identifier in the storage unit 52.
  • log information or traffic information is a user ID, a source IP address, a destination IP address, a source port information, a destination port information, If the protocol information is the same, it is determined that the connection is the same even if the device identification information is different.
  • connection identification information a hash value can be calculated and used. An example of the log format is shown in FIG.
  • the external information collection unit 102 uses a Uniform Resource Locator (URL) as a network address indicating a malicious site for the log information analysis processing unit 103 to use for determination of communication direction (packet transmission direction) and analysis of attacks.
  • External information including a black list in which IP addresses are listed and a user IP address is acquired from the outside and stored in the storage unit 52.
  • the black list may be stored in a server (not shown) connected to the Internet, or may be stored in a server in the user IP network 30.
  • the user IP address can be acquired from the user terminal 11.
  • the log information analysis processing unit 103 analyzes the normalized log information and traffic information based on a predetermined analysis rule, and obtains a plurality of scores that serve as an index of the degree of importance as to whether it is a threat to the user. The total of a plurality of scores is compared with a predetermined reference value, and it is determined whether there is unauthorized access based on the comparison result. When the total score is larger than the reference value, the log information analysis processing unit 103 determines that there is an unauthorized access that is a threat.
  • a score calculation method based on two types of analysis rules will be described.
  • the first analysis rule is to give a score by comprehensively judging from time-series log information and traffic information for a certain time.
  • the log information analysis processing unit 103 extracts and refers to time-series log information and traffic information for a predetermined time from the time stamp information, and the user IP address is any of the items of the source IP address and the destination IP address.
  • the direction of communication is determined depending on whether it is described in the item.
  • the log information and the traffic information may include communication direction information. In this case, the log information analysis processing unit 103 may use the information.
  • the log information analysis processing unit 103 analyzes the extracted log information and traffic information based on the analysis rule whether there is a specified event that is an event having a specified characteristic. As a result of the analysis, when the log information analysis processing unit 103 detects the specified event, the log information analysis processing unit 103 assigns a score corresponding to the number of occurrences (occurrence frequency) of the specified event within the specified time, and calculates the score based on the occurrence interval of the specified event.
  • scoring is stipulated for detecting phenomena caused by various unauthorized accesses without omission, but scoring is not limited to the above five phenomena.
  • the score increases as the occurrence frequency of the designated event increases, and the score increases as the occurrence interval of the designated event decreases. Further, the closer the occurrence order of a plurality of designated events and the occurrence interval for each designated event are to the predetermined occurrence order and occurrence interval, the higher the score. The shorter the time during which the specified event does not occur within the specified time, the greater the score.
  • the second analysis rule specifies a plurality of communication processes of the same connection, and comprehensively determines based on the specified plurality of communication processes and gives a score.
  • the log information analysis processing unit 103 extracts log information and traffic information for a predetermined time with reference to time stamp information, and refers to the connection identification information given to the extracted log information and traffic information. Then, the log information analysis processing unit 103 recognizes that the log information and the traffic information that match the referred connection identification information are due to an event based on the same connection, and analyzes the recognized log information and the traffic information based on the analysis rule. Thus, a score corresponding to the presence / absence of detection of the designated event is assigned to each communication device, and the total score of the plurality of communication devices is obtained.
  • the log information analysis processing unit 103 refers to the device identification information included in the log information and the traffic information recognized as the same connection, analyzes the log information or the traffic information for each device identification information, As a result, when a designated event is detected, a score is given to the communication device corresponding to the device identification information, and when a designated event is not detected, no score is given.
  • Correlation between log information and traffic information to be analyzed is performed by a time series of a fixed time in the first analysis rule, and by the same connection identification information in the second analysis rule.
  • the log information analysis processing unit 103 determines whether the log information and the traffic information include the URL or IP address of the black list. When the URL or IP address is included in the log information or traffic information, a predetermined value is added to the score.
  • the event information notification unit 104 Based on the determination result of the log information analysis processing unit 103, the event information notification unit 104 outputs event information including total score information as information indicating the degree of importance regarding unauthorized access. In addition, when the log information analysis processing unit 103 determines that unauthorized access has been detected, the event information notification unit 104 notifies the security administrator that there is a risk that is greater than or equal to a predetermined threat level regarding unauthorized access.
  • the log information and traffic information of a plurality of communication devices determined to be events based on the same connection are associated with the event information and output as related information.
  • the event information notification unit 104 displays the event information on a display device (not shown) connected to the log analysis device 10 in order to warn the security administrator.
  • the security administrator can determine whether or not there is a possibility of unauthorized access based on the total score included in the event information by referring to the event information output to the display device. Further, when the related information is attached to the event information, the security administrator can recognize that the unauthorized access as a threat has been detected and analyze the related information in detail.
  • an information terminal (not shown) that can be operated by the security administrator is connected to the Internet, and the information terminal can communicate with the log analysis device 10. It only has to be.
  • the event information notification unit 104 may transmit the event information to the information terminal via the router 20 and the Internet.
  • the log information collection unit 100 when the CPU executes the program, the log information collection unit 100, the normalization processing unit 101, the log information analysis processing unit 103, the event information notification unit 104, and the external information collection unit 102 are virtually Although described in the case of the configuration, a part or all of these configurations may be configured by a dedicated circuit corresponding to each function.
  • FIG. 4 is a flowchart showing an operation procedure of the log analysis apparatus of this embodiment.
  • a display device (not shown) is connected to the log analysis device 10 and that the security administrator can operate the log analysis device 10.
  • the firewall 18 and the IPS 17 monitor passing IP packets and transmit log information acquired from the IP packets to the log analyzer 10 via the router 20.
  • the router 20 and the switch 19 transmit the information of the IP packet to be transferred to the log analysis device 10 as Netflow, sFlow (registered trademark) or traffic information of the IP packet.
  • the proxy server 12, the DNS server 13, the mail server 14, the file server 15, the web server 16, and the user terminal 11 transmit access-related log information to the log analysis device 10.
  • the log information collection unit 100 of the log analysis apparatus 10 collects log information and traffic information from communication devices in the user IP network 30, the information is stored in the storage unit 52 (step 201).
  • the user terminal 11 is attacked by an attacker's information terminal via the Internet, is infected with a virus, and is in a “Bot” state operated by the attacker. It is assumed that an IP connection including an instruction from an attacker is transferred from the Internet side in the order of the user terminal 11 via the router 20, the firewall 18, the IPS 17, the switch 19, and the proxy server 12. At this time, regarding this IP connection, traffic information is transmitted from the router 20 and the switch 19 to the log analysis device 10, and log information is transmitted from the firewall 18, IPS 17, Proxy server 12, and user terminal 11 to the log analysis device 10.
  • IP connection including an instruction from an attacker is transferred from the Internet side in the order of the user terminal 11 via the router 20, the firewall 18, the IPS 17, the switch 19, and the proxy server 12.
  • traffic information is transmitted from the router 20 and the switch 19 to the log analysis device 10
  • log information is transmitted from the firewall 18, IPS 17, Proxy server 12, and user terminal 11 to the log analysis device 10.
  • the normalization processing unit 101 adds the user ID of the user terminal 11 and the connection identification information of this IP connection to the traffic information and log information related to the IP connection including the instruction from the attacker (step 202). Subsequently, the log information analysis processing unit 103 extracts the log information of the firewall 18 and the proxy server 12 with respect to the IP connection that matches the characteristic of the possibility of a specific attack in IPS 17, and based on the analysis rule. Then, it is analyzed whether it corresponds to the IP connection having the characteristics of the designated event. If the log information analysis processing unit 103 determines that the IP connection is applicable, the log information analysis processing unit 103 assigns a score.
  • the log information analysis processing unit 103 performs the user-agent based on the analysis rule on the traffic information output from the router 20 and the switch 19 with respect to the IP connection suitable for the characteristic with the possibility of a specific attack. Analyzes abnormalities such as HTTP (HyperText Transfer Protocol) header abnormalities, and performs scoring when it is determined as abnormal.
  • HTTP HyperText Transfer Protocol
  • the log information analysis processing unit 103 performs the score based on the log information of the IPS 17, the score based on the log information of the firewall 18, the score based on the log information of the proxy server 12, and the traffic output from the router 20 and the switch 19. Find the total score for the information.
  • the total score increases as the number of communication devices determined that the IP connection has a higher possibility of a specific attack.
  • the possibility of unauthorized access is comprehensively determined by combining the score determined from the log information and traffic information output from multiple communication devices with regard to the threat level related to a connection that may be attacked. Is done.
  • step 203 the case of another analysis rule in step 203 will be described.
  • the log information analysis processing unit 103 analyzes the time-series log information and traffic information in a fixed time such as 24 hours or one week, thereby scoring corresponding to the number of times that the specified event has occurred within the specified time, the specified event Scoring based on the occurrence interval, scoring based on the order in which multiple specified events occurred and the occurrence interval for each specified event, scoring based on the time that the specified event does not occur within the specified time, for each of the specified items The scoring is performed based on the result of comparing the sum of the specified time. Subsequently, the log information analysis processing unit 103 obtains the sum of these scores.
  • the log information analysis processing unit 103 may obtain a score based on each of these two types of analysis rules, and the larger one may be the processing result of step 203. .
  • the log information analysis processing unit 103 determines whether the log information and traffic information include a blacklist URL or IP address (step 204). When the URL or IP address of the black list is included in the log information or traffic information, the log information analysis processing unit 103 adds a predetermined value to the score (step 205), and the URL and IP address of the black list are logged. If not included in the information and traffic information, the process proceeds to step 206.
  • the log information analysis processing unit 103 compares the total score with a predetermined reference value, and determines whether the total score is larger than the reference value. (Step 206). If the total score is less than or equal to the reference value, the log information analysis processing unit 103 ends the process without doing anything. As a result of the determination in step 206, if the total score value is less than or equal to the reference value, the event information notification unit 104 outputs the event information to a display device (not shown) (step 207). As a result of the determination in step 206, when the total score value is larger than the reference value, the event information notification unit 104 outputs the related information together with the event information to the display device (not shown) (step 208).
  • the log analyzer 10 repeats the procedure shown in FIG.
  • the log information analysis processing unit 103 when analyzing time-series log information and traffic information in a fixed time in the process of step 203, the log information analysis processing unit 103 includes a transmission source IP address and a destination IP included in the log information and traffic information for one week. Scoring is performed corresponding to the difference in the amount of transmission / reception between addresses, and information leakage attack connection candidates are extracted. This is because if the transmission amount is extremely large compared to the reception amount when the transmission source IP address is the user IP address, it is considered that information leakage has occurred from the user terminal 11 to the outside. In this case, the score value increases.
  • By analyzing log information and traffic information of a plurality of communication devices for the same fixed time for the extracted attack connection candidates in the same manner it is possible to output a determination result indicating a threat level.
  • related log information and traffic information are extracted from log information and traffic information output from a plurality of communication devices in the network, and a plurality of log information and traffic information are extracted according to a predetermined analysis rule.
  • a program describing a procedure for executing the information processing method of the present invention may be installed in a computer, and the computer may execute the information processing method of the present invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

　ネットワークに含まれる複数の通信機器から出力されるログ情報及びトラフィック情報を収集するログ情報収集部と、ログ情報収集部が収集したログ情報及びトラフィック情報を正規化する正規化処理部と、正規化されたログ情報及びトラフィック情報から関連するログ情報及びトラフィック情報を抽出して予め決められたルールにしたがって分析し、不正アクセスがあるか否かを判定するログ情報分析処理部と、ログ情報分析処理部が判定した結果に基づく、重要度を示す情報を含むイベント情報を出力するイベント情報通知部と、を有する。

Description

ログ分析装置、情報処理方法及びプログラム
　本発明は、ログ分析装置、情報処理方法及びプログラム、特に、ネットワークセキュリティに関する攻撃を検出する技術に関する。
　ＩＰ（Internet　Protocol）ネットワークにおいて、不正侵入を検出するため、ログ情報を用いた解析が行われている。特許文献１には、ネットワーク上の異常なアクセスをロギングする侵入検知装置が出力する大量のログに対して、イベントの属性であるイベント種別やアドレスなどの違いを考慮したイベント間の同時相関に基づいて複数のイベントをグループ化することで、監視や分析を容易にする方法が開示されている。
特開２００５－０３８１１６号公報
　しかしながら、侵入方法に基づいた複数のログ情報の関連付けや分析を行わないと、パケットに対する複数のログ情報のグループ化だけでは、不正侵入の検出は困難と考えられる。
　本発明の目的は、複数の通信機器からのログ情報及びトラフィック情報に基づいて不正アクセスの有無を総合的に判定可能にしたログ分析装置、情報処理方法、及びコンピュータに実行させるためのプログラムを提供することである。
　本発明の上記及びその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
　上記目的を達成するための本発明のログ分析装置は、ネットワークのセキュリティ管理を行うログ分析装置であって、
　前記ネットワークに含まれる複数の通信機器から出力されるログ情報及びトラフィック情報を収集するログ情報収集部と、
　前記ログ情報収集部が収集したログ情報及びトラフィック情報を正規化する正規化処理部と、
　正規化されたログ情報及びトラフィック情報から関連するログ情報及びトラフィック情報を抽出して予め決められたルールにしたがって分析し、不正アクセスがあるか否かを判定するログ情報分析処理部と、
　前記ログ情報分析処理部が判定した結果に基づく、重要度を示す情報を含むイベント情報を出力するイベント情報通知部と、
を有する構成である。
　また、本発明の情報処理方法は、ネットワークのセキュリティ管理を行うログ分析装置による情報処理方法であって、
　前記ネットワークに含まれる複数の通信機器から出力されるログ情報及びトラフィック情報を収集し、
　収集されたログ情報及びトラフィック情報を正規化し、
　正規化されたログ情報及びトラフィック情報から関連するログ情報及びトラフィック情報を抽出して予め決められたルールにしたがって分析し、不正アクセスがあるか否かを判定し、
　前記判定の結果に基づく、重要度を示す情報を含むイベント情報を出力するものである。
　さらに、本発明のプログラムは、ネットワークのセキュリティ管理を行うコンピュータに、
　前記ネットワークに含まれる複数の通信機器から出力されるログ情報及びトラフィック情報を収集する手順と、
　収集されたログ情報及びトラフィック情報を正規化する手順と、
　正規化されたログ情報及びトラフィック情報から関連するログ情報及びトラフィック情報を抽出して予め決められたルールにしたがって分析し、不正アクセスがあるか否かを判定する手順と、
　前記判定の結果に基づく、重要度を示す情報を含むイベント情報を出力する手順を前記コンピュータに実行させるものである。
　本発明により、ネットワーク内の複数の通信機器から出力されるログ情報及びトラフィック情報に基づいて、不正アクセスの攻撃による通信コネクションが引き起こす問題の重要度を総合的に判定することができる。
図１は、本実施形態のログ分析装置がセキュリティ管理を行うネットワークの一構成例を示すブロック図である。 図２は、本実施形態のログ分析装置の一構成例を示すブロック図である。 図３は、ログフォーマットの一例を示す図である。 図４は、本実施形態のログ分析装置の動作手順を示すフローチャートである。
　本発明の実施形態について、図面を用いて説明する。なお、以下に説明する実施形態は、本発明の特許請求の範囲の解釈を限定するものではない。
　図１は本実施形態のログ分析装置がセキュリティ管理を行うネットワークの一構成例を示すブロック図である。
　図１に示すように、ユーザＩＰネットワーク３０は、ユーザ端末１１、Ｐｒｏｘｙサーバ１２、ＤＮＳ（Domain　Name　System）サーバ１３、メールサーバ１４、ファイルサーバ１５、Ｗｅｂサーバ１６、ＩＰＳ（Intrusion　Prevention　System）１７、ファイアーウォール１８、スイッチ１９及びルータ２０を有する。本実施形態では、説明を簡単にするためにユーザ端末１１が１台の場合で説明するが、複数のユーザ端末がユーザＩＰネットワーク３０内に設けられていてもよい。
　Ｐｒｏｘｙサーバ１２、ＤＮＳ（Domain　Name　System）サーバ１３、メールサーバ１４、ファイルサーバ１５、Ｗｅｂサーバ１６及びユーザ端末１１がスイッチ１９と接続されている。スイッチ１９は、ＩＰＳ　１７、ファイアーウォール１８及びルータ２０を介してインターネットと接続されている。ＩＰＳ　１７及びファイアーウォール１８は、インターネット側からの不正アクセスやウイルスによる攻撃を防ぐ。ルータ２０に、ユーザＩＰネットワーク３０のセキュリティ管理を行うログ分析装置１０が接続されている。
　不正アクセスとして、例えば、ユーザ端末１１の場合、使用権限のない者がユーザ端末１１のセキュリティ上の弱点を攻撃してユーザ端末１１を不正に使用したり、ユーザ端末１１内のデータを改ざんしたり、ユーザ端末１１を使用不能にしたりすること等が考えられる。
　なお、ルータ２０に接続されるインターネットは外部ネットワークの一例であり、外部ネットワークはインターネットに限らない。また、ユーザＩＰネットワーク３０は、セキュリティの管理対象となるネットワークの一例であり、ＩＰにしたがってデータを伝送可能なネットワークであればよく、例えば、ＬＡＮ（Local　Area　Network）である。ユーザＩＰネットワーク３０に含まれる情報通信機器は図１に示す構成に限らない。
　次に、本実施形態のログ分析装置の構成を説明する。図２は本実施形態のログ分析装置の一構成例を示すブロック図である。
　ログ分析装置１０は制御部５１及び記憶部５２を有する構成である。制御部５１は、ログ情報収集部１００と、正規化処理部１０１と、ログ情報分析処理部１０３と、イベント情報通知部１０４と、外部情報収集部１０２とを有する。
　制御部５１には、プログラムにしたがって処理を実行するＣＰＵ（Central　Processing　Unit）（不図示）と、プログラムを記憶するメモリ（不図示）とが設けられている。ＣＰＵがプログラムにしたがって処理を実行することで、図２に示すログ情報収集部１００、正規化処理部１０１、ログ情報分析処理部１０３、イベント情報通知部１０４及び外部情報収集部１０２がログ分析装置１０に仮想的に構成される。
　ログ情報収集部１００は、ルータ２０、スイッチ１９、ファイアーウォール１８、ＩＰＳ　１７、Ｗｅｂサーバ１６、ファイルサーバ１５、メールサーバ１４、ＤＮＳサーバ１３及びＰｒｏｘｙサーバ１２からログ情報を受信すると、ログ情報から取得した機器識別情報毎にログ情報を記憶部５２に保存する。ログ情報収集部１００は、ユーザ端末１１からログ情報を受信すると、ログ情報から取得したユーザＩＤ（Identifier：識別子）及び機器識別情報に対応してログ情報を記憶部５２に保存する。ユーザＩＤはユーザ端末のユーザ毎に異なる識別子である。
　また、ログ情報収集部１００は、ルータ２０及びスイッチ１９等からトラフィック情報を受信すると、トラフィック情報から取得した機器識別情報毎にトラフィック情報を記憶部５２に保存する。機器識別情報は、ログ情報又はトラフィック情報の送信元となる通信機器を識別するための情報であり、通信機器毎に異なる情報である。
　正規化処理部１０１は、記憶部５２に収集されたログ情報及びトラフィック情報に対して、これらの情報をログ情報分析処理部１０３が検索及び分析しやすいデータ形式に統一的に整理する正規化を行う。例えば、ルータ２０が出力するトラフィック情報のフォーマットと、スイッチ１９が出力するトラフィック情報のフォーマットが異なることがある。　　　
　具体的には、正規化処理部１０１は、予め決められた共通カテゴリールールにしたがって、ログ情報及びトラフィック情報に含まれる項目（例えば、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート情報、宛先ポート情報、プロトコル情報、機器識別情報及びユーザＩＤ等）が全機器共通のフォーマットに合うようにログ情報及びトラフィック情報を更新する。
　また、正規化処理部１０１は、同一のＩＰコネクションのログ情報又はトラフィック情報に、コネクション毎に異なる識別子であるコネクション識別子を付与して記憶部５２に保存する。ＩＰコネクションが同一か否かの判定方法として、例えば、ログ情報又はトラフィック情報が、一定時間内のタイムスタンプで、ユーザＩＤ、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート情報、宛先ポート情報及びプロトコル情報が同一であれば、機器識別情報が異なっていても同一コネクションと判定する。コネクション識別情報の一例として、ハッシュ値を算出して用いることが可能である。ログフォーマットの一例を図３に示す。
　外部情報収集部１０２は、ログ情報分析処理部１０３が通信の向き（パケットの送信方向）の判定や攻撃の分析に利用するために、悪質なサイトを示すネットワークアドレスとしてＵＲＬ（Uniform　Resource　Locator）及びＩＰアドレスが列挙されたブラックリストと、ユーザＩＰアドレスとを含む外部情報を外部から取得して記憶部５２に保存する。ブラックリストは、インターネットに接続されたサーバ（不図示）に格納されていてもよく、ユーザＩＰネットワーク３０内のサーバに格納されていてもよい。ユーザＩＰアドレスは、ユーザ端末１１から取得することが可能である。
　ログ情報分析処理部１０３は、予め決められた分析ルールに基づいて、正規化されたログ情報及びトラフィック情報を分析して、ユーザにとって脅威となるか否か重要度の指標となるスコアを複数求め、複数のスコアの合計と予め決められた基準値とを比較し、比較結果に基づいて不正アクセスがあるか否かを判定する。スコアの合計が基準値よりも大きい場合、ログ情報分析処理部１０３は、脅威となる不正アクセスがあると判定する。本実施形態では、２種類の分析ルールによるスコアの算出方法を説明する。
　１つ目の分析ルールは、一定時間の時系列のログ情報及びトラフィック情報から総合的に判定してスコアを付与するものである。
　ログ情報分析処理部１０３は、タイムスタンプの情報から一定時間の時系列のログ情報及びトラフィック情報を抽出して参照し、ユーザＩＰアドレスが送信元ＩＰアドレス及び宛先ＩＰアドレスの項目のうち、いずれの項目に記述されているかにより、通信の向きを判別する。なお、ログ情報及びトラフィック情報に通信の向きの情報が含まれていてもよく、この場合、ログ情報分析処理部１０３は、その情報を利用してもよい。
　続いて、ログ情報分析処理部１０３は、抽出したログ情報及びトラフィック情報に対して分析ルールに基づいて、指定された特徴を持つイベントである指定イベントがあるか分析する。分析の結果、ログ情報分析処理部１０３は、指定イベントを検出すると、指定イベントが指定時間内に発生した回数（発生頻度）に対応してスコアを付け、指定イベントの発生間隔に基づいてスコアを付け、複数の指定イベントが発生した順序及び指定イベント毎の発生間隔に基づいてスコアを付け、指定イベントが指定時間内に発生しない時間に基づいてスコアを付け、複数の指定された項目毎に指定時間で足し合わせた量を比較した結果に基づいてスコアを付ける。そして、ログ情報分析処理部１０３は、これらのスコアの合計を求める。
　上記のスコア付けは、種々の不正アクセスによって生じる現象を漏れなく検出するために規定されたものであるが、スコア付けは上記の５つの現象に限らない。
　上記のスコア付けでは、指定イベントの発生頻度が大きいほどスコアが大きくなり、指定イベントの発生間隔が小さいほどスコアが大きくなる。また、複数の指定イベントの発生順序及び指定イベント毎の発生間隔が予め決められた発生順序と発生間隔に近いほど、スコアが大きくなる。指定時間内で指定イベントの発生しない時間が短いほど、スコアが大きくなる。
　複数の指定された項目毎に指定時間で足し合わせた量を比較した結果に基づくスコアの一例を、図３を参照して説明する。ここでは、図３に示すログ情報がユーザ端末１１から出力されたものとする。複数の指定された項目を送信バイト数及び受信バイト数とすると、指定時間内の送信バイト数を足し合わせた量である送信バイト量と指定時間内の受信バイト数を足し合わせた量である受信バイト量とを比較する。送信バイト量が受信バイト量よりも極端に大きい場合、ユーザ端末１１から個人情報が大量に送出される現象が起きていると考えられ、スコアを大きくすることで、このような不正アクセスを検出可能となる。
　２つ目の分析ルールは、同一コネクションの複数の通信処理を特定し、特定した複数の通信処理に基づいて総合的に判定してスコアを付与するものである。
　ログ情報分析処理部１０３は、タイムスタンプの情報を参照して一定時間のログ情報及びトラフィック情報を抽出し、抽出したログ情報及びトラフィック情報に付与されたコネクション識別情報を参照する。そして、ログ情報分析処理部１０３は、参照したコネクション識別情報が一致するログ情報及びトラフィック情報を同一コネクションに基づくイベントによるものと認識し、認識したログ情報及びトラフィック情報を分析ルールに基づいて分析することで、通信機器毎に指定イベントの検出の有無に応じたスコアを付与し、複数の通信機器のスコアの合計を求める。
　具体的には、ログ情報分析処理部１０３は、同一コネクションと認識したログ情報及びトラフィック情報に含まれる機器識別情報を参照して、機器識別情報毎にログ情報又はトラフィック情報を分析し、分析の結果、指定イベントを検出すると、その機器識別情報に対応する通信機器にスコアを付与し、指定イベントを検出しないと、スコアを付与しない。
　分析対象となるログ情報及びトラフィック情報の関連づけは、１つ目の分析ルールでは一定時間の時系列によって行われ、２つ目の分析ルールでは同一のコネクション識別情報によって行われる。
　また、上記２種類の分析ルールによるスコア付けの他に、ログ情報分析処理部１０３は、ログ情報及びトラフィック情報にブラックリストのＵＲＬ又はＩＰアドレスが含まれているか否かを判定し、ブラックリストのＵＲＬ又はＩＰアドレスがログ情報又はトラフィック情報に含まれている場合、スコアに所定の値を加算する。
　イベント情報通知部１０４は、ログ情報分析処理部１０３の判定結果に基づいて、不正アクセスに関する重要度を示す情報としてスコアの合計の情報を含むイベント情報を出力する。また、ログ情報分析処理部１０３が不正アクセスを検出したと判定すると、イベント情報通知部１０４は、不正アクセスに関して予め設定された脅威度以上の危険性があることをセキュリティ管理者に通知するために、同一コネクションに基づくイベントと判定された、複数の通信機器のログ情報及びトラフィック情報を関連情報としてイベント情報に紐付けして出力する。
　セキュリティ管理者がログ分析装置１０を操作している場合、イベント情報通知部１０４は、セキュリティ管理者に警告するために、ログ分析装置１０に接続された表示装置（不図示）にイベント情報を表示させる。
　セキュリティ管理者は、表示装置に出力されるイベント情報を参照することで、イベント情報に含まれるスコア合計に基づいて不正アクセスの可能性がある否か、その重要性を判定することが可能となる。また、関連情報がイベント情報に添付されている場合、セキュリティ管理者は、脅威となる不正アクセスが検出されたことを認識するとともに、関連情報を詳細に分析することが可能となる。
　セキュリティ管理者が直接にログ分析装置１０を操作していなくても、例えば、セキュリティ管理者が操作可能な情報端末（不図示）がインターネットに接続され、その情報端末がログ分析装置１０と通信可能になっていればよい。この場合、イベント情報通知部１０４は、イベント情報をルータ２０及びインターネットを介してその情報端末に送信すればよい。
　なお、本実施形態では、ＣＰＵがプログラムを実行することで、ログ情報収集部１００、正規化処理部１０１、ログ情報分析処理部１０３、イベント情報通知部１０４及び外部情報収集部１０２が仮想的に構成される場合で説明したが、これらの構成の一部又は全部が各機能に対応した専用回路で構成されてもよい。
　次に、本実施形態のログ分析装置の動作を、図１、図２及び図４を参照して説明する。図４は本実施形態のログ分析装置の動作手順を示すフローチャートである。
　ここでは、ログ分析装置１０に表示装置（不図示）が接続され、セキュリティ管理者がログ分析装置１０を操作可能な状態にあるとする。
　図１に示したブロック図において、ファイアーウォール１８及びＩＰＳ　１７は、通過するＩＰパケットを監視し、ＩＰパケットから取得したログ情報をログ分析装置１０にルータ２０を介して送信する。ルータ２０及びスイッチ１９は、転送するＩＰパケットの情報を、Ｎｅｔｆｌｏｗ、ｓＦｌｏｗ（登録商標）又はＩＰパケットのトラフィック情報としてログ分析装置１０に送信する。Ｐｒｏｘｙサーバ１２、ＤＮＳサーバ１３、メールサーバ１４、ファイルサーバ１５、Ｗｅｂサーバ１６及びユーザ端末１１は、アクセスに関するログ情報をログ分析装置１０に送信する。ログ分析装置１０のログ情報収集部１００は、ユーザＩＰネットワーク３０内の通信機器からログ情報及びトラフィック情報を収集すると、これらの情報を記憶部５２に格納する（ステップ２０１）。
　今、ユーザ端末１１は、インターネットを介して、攻撃者の情報端末から攻撃を受けてウイルスに感染し、攻撃者に操られる「Ｂｏｔ」の状態になっているとする。攻撃者からの指示を含むＩＰコネクションは、インターネット側からルータ２０、ファイアーウォール１８、ＩＰＳ　１７、スイッチ１９及びＰｒｏｘｙサーバ１２を経由して、ユーザ端末１１の順に転送されるものとする。このとき、このＩＰコネクションに関して、ルータ２０及びスイッチ１９からトラフィック情報がログ分析装置１０に送信され、ファイアーウォール１８、ＩＰＳ　１７、Ｐｒｏｘｙサーバ１２及びユーザ端末１１からログ情報がログ分析装置１０に送信される。
　本実施形態では、攻撃者からの指示を含むＩＰコネクションに関するトラフィック情報及びログ情報に、ユーザ端末１１のユーザＩＤと、このＩＰコネクションのコネクション識別情報とが正規化処理部１０１よって付加される（ステップ２０２）。続いて、ログ情報分析処理部１０３は、ＩＰＳ　１７で特定の攻撃の可能性がある特徴に適合するＩＰコネクションに対して、ファイアーウォール１８及びＰｒｏｘｙサーバ１２のログ情報を抽出し、分析ルールに基づいて、指定イベントの特徴を持つＩＰコネクションに該当するか否かを分析する。そのＩＰコネクションに該当すると判定すると、ログ情報分析処理部１０３は、スコアを付け、そのＩＰコネクションに該当しないと判定すると、スコアを付けない。
　また、ログ情報分析処理部１０３は、特定の攻撃の可能性がある特徴に適合するＩＰコネクションに関して、ルータ２０及びスイッチ１９から出力されたトラフィック情報に対して、分析ルールに基づいて、Ｕｓｅｒ－Ａｇｅｎｔ等ＨＴＴＰ（HyperText　Transfer　Protocol）ヘッダ異常などの異常を分析し、異常と判定すると、スコア付けを行う。
　そして、ログ情報分析処理部１０３は、ＩＰＳ　１７のログ情報に基づくスコア、ファイアーウォール１８のログ情報に基づくスコア、Ｐｒｏｘｙサーバ１２のログ情報に基づくスコア、並びにルータ２０及びスイッチ１９から出力されたトラフィック情報に対するスコアの合計を求める。スコアの合計は、ＩＰコネクションが特定の攻撃の可能性が高いと判定される通信機器の数が多いほど、大きくなる。
　このようにして、攻撃の可能性があるコネクションに関する脅威度について、複数の通信機器から出力されるログ情報及びトラフィック情報から判定されたスコアを組み合わせることにより、不正アクセスの可能性が総合的に判断される。
　ここで、ステップ２０３において、別の分析ルールの場合を説明する。
　ログ情報分析処理部１０３は、２４時間や一週間等の一定時間における時系列のログ情報及びトラフィック情報を分析することで、指定イベントが指定時間内に発生した回数に対応するスコア付け、指定イベントの発生間隔に基づくスコア付け、複数の指定イベントが発生した順序及び指定イベント毎の発生間隔に基づくスコア付け、指定イベントが指定時間内に発生しない時間に基づくスコア付け、複数の指定された項目毎の指定時間で足し合わせた量を比較した結果に基づくスコア付けを行う。続いて、ログ情報分析処理部１０３は、これらのスコアの合計を求める。
　単独のログ情報から不正アクセスを検出することは困難だが、このようにして、複数の攻撃コネクションの情報を一定時間内の時系列のログ情報及びトラフィック情報から抽出することで、不正アクセスを検出することが可能となる。
　なお、上記２種類の分析ルールによる方法を別々に説明したが、ログ情報分析処理部１０３がこれら２種類の分析ルールのそれぞれに基づいてスコアを求め、大きい方をステップ２０３の処理結果としてもよい。
　ステップ２０３の処理の後、ログ情報分析処理部１０３は、ログ情報及びトラフィック情報にブラックリストのＵＲＬ又はＩＰアドレスが含まれているか否かを判定する（ステップ２０４）。ブラックリストのＵＲＬ又はＩＰアドレスがログ情報又はトラフィック情報に含まれている場合、ログ情報分析処理部１０３は、スコアに所定の値を加算し（ステップ２０５）、ブラックリストのＵＲＬ及びＩＰアドレスがログ情報及びトラフィック情報に含まれていない場合、ステップ２０６に進む。
　ログ情報分析処理部１０３は、スコアに基づいて重要度を判定するために、スコアの合計と予め決められた基準値とを比較し、スコアの合計が基準値もより大きいか否かを判定する（ステップ２０６）。スコアの合計が基準値以下の場合、ログ情報分析処理部１０３は何もせずに処理を終了する。ステップ２０６の判定の結果、スコアの合計値が基準値以下の場合、イベント情報通知部１０４は、表示装置（不図示）にイベント情報を出力する（ステップ２０７）。ステップ２０６の判定の結果、スコアの合計値が基準値よりも大きい場合、イベント情報通知部１０４は、表示装置（不図示）にイベント情報と共に関連情報を出力する（ステップ２０８）。ログ分析装置１０は図４に示す手順を繰り返す。
　例えば、ステップ２０３の処理で一定時間における時系列のログ情報及びトラフィック情報を分析する場合、ログ情報分析処理部１０３は、一週間のログ情報及びトラフィック情報に含まれる、送信元ＩＰアドレスと宛先ＩＰアドレス間の送受信量の差分に対応するスコア付けを行い、情報漏えいの攻撃コネクション候補を抽出する。送信元ＩＰアドレスがユーザＩＰアドレスのときに送信量が受信量に比べて極端に大きいと、ユーザ端末１１から外部に情報漏えいが起きていると考えられるからである。この場合、スコアの値が大きくなる。抽出された攻撃コネクション候補に対して、同じ一定時間の複数の通信機器のログ情報及びトラフィック情報を同様に分析することにより、脅威度を示す判定結果を出力することが可能となる。
　本実施形態によれば、ネットワーク内の複数の通信機器から出力されるログ情報及びトラフィック情報から関連するログ情報及びトラフィック情報を抽出し、予め決められた分析ルールにしたがって複数のログ情報及びトラフィック情報を分析することで、不正アクセスの攻撃による通信コネクションが引き起こす問題の重要度を、セキュリティ管理者の判断に頼らず、総合的に自動で判定することが可能になる。
　なお、本発明の情報処理方法を実行するための手順を記述したプログラムをコンピュータにインストールし、コンピュータに本発明の情報処理方法を実行させてもよい。
　１０　　ログ分析装置
　１１　　ユーザ端末
　１２　　Ｐｒｏｘｙサーバ
　１３　　ＤＮＳサーバ
　１４　　メールサーバ
　１５　　ファイルサーバ
　１６　　Ｗｅｂサーバ
　１７　　ＩＰＳ
　１８　　ファイアーウォール
　１９　　スイッチ
　２０　　ルータ
　１００　　ログ情報収集部
　１０１　　正規化処理部
　１０２　　外部情報収集部
　１０３　　ログ情報分析処理部
　１０４　　イベント情報通知部

Claims (8)

  1. 　ネットワークのセキュリティ管理を行うログ分析装置であって、
    　前記ネットワークに含まれる複数の通信機器から出力されるログ情報及びトラフィック情報を収集するログ情報収集部と、
    　前記ログ情報収集部が収集したログ情報及びトラフィック情報を正規化する正規化処理部と、
    　正規化されたログ情報及びトラフィック情報から関連するログ情報及びトラフィック情報を抽出して予め決められたルールにしたがって分析し、不正アクセスがあるか否かを判定するログ情報分析処理部と、
    　前記ログ情報分析処理部が判定した結果に基づく、重要度を示す情報を含むイベント情報を出力するイベント情報通知部と、
    を有するログ分析装置。
  2. 　請求項１に記載のログ分析装置において、
    　前記正規化処理部は、
    　収集された前記ログ情報及びトラフィック情報を予め決められた共通カテゴリールールに従って正規化し、正規化したログ情報及びトラフィック情報に含まれる複数の項目のうち、所定の項目が共通するログ情報及びトラフィック情報を同一のコネクションと特定し、コネクション毎に異なる識別子であるコネクション識別情報を該ログ情報及びトラフィック情報に付与する、ログ分析装置。
  3. 　請求項２に記載のログ分析装置において、
    　前記ログ情報分析処理部は、
    　前記正規化されたログ情報及びトラフィック情報から一定時間内に収集されたログ情報及びトラフィック情報を抽出し、抽出したログ情報及びトラフィック情報に付与された前記コネクション識別情報を参照し、該コネクション識別情報が一致するログ情報及びトラフィック情報を同一コネクションに基づくイベントによるものと認識し、認識したログ情報及びトラフィック情報を前記ルールに基づいて分析することで、指定された特徴を持つイベントである指定イベントの検出の有無に応じたスコアを前記通信機器毎に付与し、付与したスコアの合計を求める、ログ分析装置。
  4. 　請求項１に記載のログ分析装置において、
    　前記ログ情報分析処理部は、
    　前記正規化されたログ情報及びトラフィック情報から一定時間の時系列のログ情報及びトラフィック情報を抽出し、抽出したログ情報及びトラフィック情報を前記ルールに基づいて分析し、指定された特徴を持つイベントである指定イベントを検出すると、少なくとも、該指定イベントが指定時間内に発生した回数に対応するスコア、該指定イベントの発生間隔に基づくスコア、複数の該指定イベントが発生した順序及び指定イベント毎の発生間隔に基づくスコア、該指定イベントが指定時間内に発生しない時間に基づくスコア、及び複数の指定された項目毎に指定時間で足し合わせた量を比較した結果に基づくスコアの合計を求める、ログ分析装置。
  5. 　請求項３又は４に記載のログ分析装置において、
    　悪質なサイトを示すネットワークアドレスが列挙されたブラックリストを外部から取得する外部情報収集部をさらに有し、
    　前記ログ情報分析処理部は、
    　前記ログ情報又はトラフィック情報に含まれるネットワークアドレスが前記ブラックリストに含まれていると、前記スコアの合計に所定の値を加算して前記スコアの合計を更新する、ログ分析装置。
  6. 　請求項４に記載のログ分析装置において、
    　前記ログ情報分析処理部は、
    　前記スコアの合計と予め決められた基準値とを比較し、該スコアの合計が該基準値よりも大きいと不正アクセスがあると判定し、
    　前記イベント情報通知部は、
    　前記重要度を示す情報として前記スコアの合計の情報を含む前記イベント情報を出力し、前記ログ情報分析処理部により不正アクセスがあると判定された場合、同一のイベントに基づくログ情報及びトラフィック情報を関連情報として前記イベント情報と共に出力する、ログ分析装置。
  7. 　ネットワークのセキュリティ管理を行うログ分析装置による情報処理方法であって、
    　前記ネットワークに含まれる複数の通信機器から出力されるログ情報及びトラフィック情報を収集し、
    　収集されたログ情報及びトラフィック情報を正規化し、
    　正規化されたログ情報及びトラフィック情報から関連するログ情報及びトラフィック情報を抽出して予め決められたルールにしたがって分析し、不正アクセスがあるか否かを判定し、
    　前記判定の結果に基づく、重要度を示す情報を含むイベント情報を出力する、情報処理方法。
  8. 　ネットワークのセキュリティ管理を行うコンピュータに、
    　前記ネットワークに含まれる複数の通信機器から出力されるログ情報及びトラフィック情報を収集する手順と、
    　収集されたログ情報及びトラフィック情報を正規化する手順と、
    　正規化されたログ情報及びトラフィック情報から関連するログ情報及びトラフィック情報を抽出して予め決められたルールにしたがって分析し、不正アクセスがあるか否かを判定する手順と、
    　前記判定の結果に基づく、重要度を示す情報を含むイベント情報を出力する手順を前記コンピュータに実行させるためのプログラム。
PCT/JP2014/052134 2013-01-30 2014-01-30 ログ分析装置、情報処理方法及びプログラム Ceased WO2014119669A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201480005638.2A CN104937886B (zh) 2013-01-30 2014-01-30 日志分析装置、信息处理方法
EP14746780.7A EP2953298B1 (en) 2013-01-30 2014-01-30 Log analysis device, information processing method and program
US14/758,627 US9860278B2 (en) 2013-01-30 2014-01-30 Log analyzing device, information processing method, and program
JP2014559743A JP6001689B2 (ja) 2013-01-30 2014-01-30 ログ分析装置、情報処理方法及びプログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2013-015288 2013-01-30
JP2013015288 2013-01-30

Publications (1)

Publication Number Publication Date
WO2014119669A1 true WO2014119669A1 (ja) 2014-08-07

Family

ID=51262378

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/052134 Ceased WO2014119669A1 (ja) 2013-01-30 2014-01-30 ログ分析装置、情報処理方法及びプログラム

Country Status (5)

Country Link
US (1) US9860278B2 (ja)
EP (1) EP2953298B1 (ja)
JP (1) JP6001689B2 (ja)
CN (1) CN104937886B (ja)
WO (1) WO2014119669A1 (ja)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105791236A (zh) * 2014-12-23 2016-07-20 北京网御星云信息技术有限公司 一种木马通信通道检测方法及系统
JP2017035177A (ja) * 2015-08-07 2017-02-16 株式会社三共 遊技用システム及び管理サーバ
US11956256B2 (en) 2019-02-05 2024-04-09 Nec Corporation Priority determination apparatus, priority determination method, and computer readable medium
JP2024090178A (ja) * 2022-12-22 2024-07-04 株式会社日立製作所 異常通信判別装置、異常通信判別方法および異常通信対処システム
JP2024128995A (ja) * 2023-02-17 2024-09-26 セレリウム インコーポレイテッド ネットワーク危殆化アクティビティ監視システム
US20250310182A1 (en) * 2022-12-13 2025-10-02 Rakuten Symphony, Inc. Agentless Topology Analysis
US12621205B2 (en) * 2022-12-13 2026-05-05 Rakuten Symphony, Inc. Agentless topology analysis

Families Citing this family (89)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12563103B2 (en) 2012-10-22 2026-02-24 Centripetal Networks, Llc Methods and systems for protecting a secured network
US9137205B2 (en) 2012-10-22 2015-09-15 Centripetal Networks, Inc. Methods and systems for protecting a secured network
US9565213B2 (en) 2012-10-22 2017-02-07 Centripetal Networks, Inc. Methods and systems for protecting a secured network
US9203806B2 (en) 2013-01-11 2015-12-01 Centripetal Networks, Inc. Rule swapping in a packet network
WO2014111863A1 (en) 2013-01-16 2014-07-24 Light Cyber Ltd. Automated forensics of computer systems using behavioral intelligence
US9124552B2 (en) 2013-03-12 2015-09-01 Centripetal Networks, Inc. Filtering network data transfers
US9094445B2 (en) 2013-03-15 2015-07-28 Centripetal Networks, Inc. Protecting networks from cyber attacks and overloading
JP5640166B1 (ja) * 2014-03-31 2014-12-10 株式会社ラック ログ分析システム
US9699209B2 (en) 2014-12-29 2017-07-04 Cyence Inc. Cyber vulnerability scan analyses with actionable feedback
WO2017078986A1 (en) 2014-12-29 2017-05-11 Cyence Inc. Diversity analysis with actionable feedback methodologies
US10050990B2 (en) 2014-12-29 2018-08-14 Guidewire Software, Inc. Disaster scenario based inferential analysis using feedback for extracting and combining cyber risk information
US10050989B2 (en) * 2014-12-29 2018-08-14 Guidewire Software, Inc. Inferential analysis using feedback for extracting and combining cyber risk information including proxy connection analyses
US11855768B2 (en) 2014-12-29 2023-12-26 Guidewire Software, Inc. Disaster scenario based inferential analysis using feedback for extracting and combining cyber risk information
US11863590B2 (en) 2014-12-29 2024-01-02 Guidewire Software, Inc. Inferential analysis using feedback for extracting and combining cyber risk information
US10341376B2 (en) 2014-12-29 2019-07-02 Guidewire Software, Inc. Diversity analysis with actionable feedback methodologies
US9264370B1 (en) 2015-02-10 2016-02-16 Centripetal Networks, Inc. Correlating packets in communications networks
US10404748B2 (en) 2015-03-31 2019-09-03 Guidewire Software, Inc. Cyber risk analysis and remediation using network monitored sensors and methods of use
US9866576B2 (en) 2015-04-17 2018-01-09 Centripetal Networks, Inc. Rule-based network-threat detection
JP6524789B2 (ja) * 2015-05-13 2019-06-05 富士通株式会社 ネットワーク監視方法、ネットワーク監視プログラム及びネットワーク監視装置
US10018977B2 (en) * 2015-10-05 2018-07-10 Savant Systems, Llc History-based key phrase suggestions for voice control of a home automation system
JP5933797B1 (ja) 2015-10-07 2016-06-15 株式会社ソリトンシステムズ ログ情報生成装置及びプログラム並びにログ情報抽出装置及びプログラム
US10291648B2 (en) * 2015-12-22 2019-05-14 At&T Intellectual Property I, L.P. System for distributing virtual entity behavior profiling in cloud deployments
US9917856B2 (en) 2015-12-23 2018-03-13 Centripetal Networks, Inc. Rule-based network-threat detection for encrypted communications
US11729144B2 (en) 2016-01-04 2023-08-15 Centripetal Networks, Llc Efficient packet capture for cyber threat analysis
WO2017130912A1 (ja) * 2016-01-29 2017-08-03 セイコーエプソン株式会社 ウェアラブル機器、制御対象機器、近距離無線通信網、通信システム、制御システム、及び遠隔制御方法
CN107491457A (zh) * 2016-06-13 2017-12-19 阿里巴巴集团控股有限公司 一种用于业务数据标准化的方法与设备
CN106095575B (zh) * 2016-06-14 2019-02-15 上海浪潮云计算服务有限公司 一种日志审计的装置、系统和方法
US10536476B2 (en) 2016-07-21 2020-01-14 Sap Se Realtime triggering framework
US10482241B2 (en) 2016-08-24 2019-11-19 Sap Se Visualization of data distributed in multiple dimensions
US10616279B2 (en) 2016-08-30 2020-04-07 Nicira, Inc. Adaptable network event monitoring configuration in datacenters
US10542016B2 (en) * 2016-08-31 2020-01-21 Sap Se Location enrichment in enterprise threat detection
US10673879B2 (en) 2016-09-23 2020-06-02 Sap Se Snapshot of a forensic investigation for enterprise threat detection
US10630705B2 (en) 2016-09-23 2020-04-21 Sap Se Real-time push API for log events in enterprise threat detection
US10534908B2 (en) 2016-12-06 2020-01-14 Sap Se Alerts based on entities in security information and event management products
CN113595888A (zh) * 2016-12-06 2021-11-02 松下电器（美国）知识产权公司 信息处理装置以及信息处理方法
US10291750B1 (en) * 2016-12-13 2019-05-14 Juniper Networks, Inc. Aggregating data sessions between autonomous systems
US10530792B2 (en) 2016-12-15 2020-01-07 Sap Se Using frequency analysis in enterprise threat detection to detect intrusions in a computer system
US10534907B2 (en) 2016-12-15 2020-01-14 Sap Se Providing semantic connectivity between a java application server and enterprise threat detection system using a J2EE data
US11470094B2 (en) 2016-12-16 2022-10-11 Sap Se Bi-directional content replication logic for enterprise threat detection
US10552605B2 (en) 2016-12-16 2020-02-04 Sap Se Anomaly detection in enterprise threat detection
US10764306B2 (en) 2016-12-19 2020-09-01 Sap Se Distributing cloud-computing platform content to enterprise threat detection systems
CN106844495A (zh) * 2016-12-26 2017-06-13 北京五八信息技术有限公司 一种网站操作日志的获取方法及装置
EP3564842B1 (en) * 2017-01-20 2021-02-24 Mitsubishi Electric Corporation Data determination device, data determination method, and data determination program
JP6972565B2 (ja) * 2017-01-31 2021-11-24 オムロン株式会社 情報処理装置、情報処理装置の制御方法、および、制御プログラム
US10530794B2 (en) 2017-06-30 2020-01-07 Sap Se Pattern creation in enterprise threat detection
US10503899B2 (en) 2017-07-10 2019-12-10 Centripetal Networks, Inc. Cyberanalysis workflow acceleration
US11233777B2 (en) 2017-07-24 2022-01-25 Centripetal Networks, Inc. Efficient SSL/TLS proxy
US10284526B2 (en) 2017-07-24 2019-05-07 Centripetal Networks, Inc. Efficient SSL/TLS proxy
US12387270B2 (en) 2017-07-26 2025-08-12 Guidewire Software, Inc. Synthetic diversity analysis with actionable feedback methodologies
RU2666644C1 (ru) * 2017-08-10 2018-09-11 Акционерное общество "Лаборатория Касперского" Система и способ выявления потенциально опасных устройств при взаимодействии пользователя с банковскими сервисами
EP3691217B1 (en) * 2017-09-28 2023-08-23 Qubit Security Inc. Web traffic logging system and method for detecting web hacking in real time
CN107729225B (zh) * 2017-10-27 2020-12-22 何雄英 一种终端设备心率采集方法及系统
US11184369B2 (en) * 2017-11-13 2021-11-23 Vectra Networks, Inc. Malicious relay and jump-system detection using behavioral indicators of actors
US20190166502A1 (en) * 2017-11-29 2019-05-30 Mojo Networks, LLC. Security monitoring for wireless sensor nodes
US10681064B2 (en) 2017-12-19 2020-06-09 Sap Se Analysis of complex relationships among information technology security-relevant entities using a network graph
US10986111B2 (en) 2017-12-19 2021-04-20 Sap Se Displaying a series of events along a time axis in enterprise threat detection
JP6719492B2 (ja) * 2018-02-26 2020-07-08 三菱電機株式会社 ルール生成装置およびルール生成プログラム
US10999304B2 (en) * 2018-04-11 2021-05-04 Palo Alto Networks (Israel Analytics) Ltd. Bind shell attack detection
US11108795B2 (en) 2018-05-25 2021-08-31 At&T Intellectual Property I, L.P. Intrusion detection using robust singular value decomposition
US10333898B1 (en) 2018-07-09 2019-06-25 Centripetal Networks, Inc. Methods and systems for efficient network protection
US10826926B2 (en) * 2018-07-17 2020-11-03 Sap Se Pattern creation based on an attack path
JP7156869B2 (ja) * 2018-09-03 2022-10-19 パナソニックホールディングス株式会社 ログ出力装置、ログ出力方法およびログ出力システム
CN109299921A (zh) * 2018-09-30 2019-02-01 深圳市英威腾电动汽车驱动技术有限公司 一种技术评审数据处理方法及相关装置
CN112654969B (zh) * 2018-10-11 2024-10-08 日本电信电话株式会社 信息处理装置、数据分析方法及存储介质
CN111290928B (zh) * 2018-12-06 2023-08-01 中国移动通信集团陕西有限公司 一种原子业务重要性确定方法、装置、介质和设备
JP7229783B2 (ja) * 2019-01-10 2023-02-28 エヌ・ティ・ティ・コミュニケーションズ株式会社 車載型情報処理装置、車両情報通信システム、情報処理方法およびプログラム
US11184378B2 (en) 2019-01-30 2021-11-23 Palo Alto Networks (Israel Analytics) Ltd. Scanner probe detection
US11184376B2 (en) 2019-01-30 2021-11-23 Palo Alto Networks (Israel Analytics) Ltd. Port scan detection using destination profiles
US11184377B2 (en) 2019-01-30 2021-11-23 Palo Alto Networks (Israel Analytics) Ltd. Malicious port scan detection using source profiles
US11316872B2 (en) 2019-01-30 2022-04-26 Palo Alto Networks (Israel Analytics) Ltd. Malicious port scan detection using port profiles
US11070569B2 (en) 2019-01-30 2021-07-20 Palo Alto Networks (Israel Analytics) Ltd. Detecting outlier pairs of scanned ports
CN110297746A (zh) * 2019-07-05 2019-10-01 北京慧眼智行科技有限公司 一种数据处理方法及系统
WO2021021737A1 (en) * 2019-07-26 2021-02-04 Reliaquest Holdings, Llc Threat mitigation system and method
US11509680B2 (en) 2020-09-30 2022-11-22 Palo Alto Networks (Israel Analytics) Ltd. Classification of cyber-alerts into security incidents
US11362996B2 (en) 2020-10-27 2022-06-14 Centripetal Networks, Inc. Methods and systems for efficient adaptive logging of cyber threat incidents
CN113098852B (zh) * 2021-03-25 2022-11-22 绿盟科技集团股份有限公司 一种日志处理方法及装置
US11159546B1 (en) 2021-04-20 2021-10-26 Centripetal Networks, Inc. Methods and systems for efficient threat context-aware packet filtering for network protection
US12039017B2 (en) 2021-10-20 2024-07-16 Palo Alto Networks (Israel Analytics) Ltd. User entity normalization and association
US11829338B2 (en) 2021-12-07 2023-11-28 International Business Machines Corporation Unlabeled log anomaly continuous learning
US11799880B2 (en) 2022-01-10 2023-10-24 Palo Alto Networks (Israel Analytics) Ltd. Network adaptive alert prioritization system
US12603896B2 (en) 2022-02-21 2026-04-14 Palo Alto Networks, Inc. Agent prevention augmentation based on organizational learning
CN114553731B (zh) * 2022-02-25 2024-10-22 深圳市普渡科技有限公司 数据日志采集系统、方法、设备及介质
US12135782B2 (en) * 2022-05-27 2024-11-05 The Boeing Company System, method, and program for analyzing vehicle system logs
US12267360B2 (en) * 2022-06-02 2025-04-01 Omnissa, Llc URL pattern-based risk scoring and anomaly detection
CN115118582B (zh) * 2022-06-15 2024-04-16 合肥移瑞通信技术有限公司 日志分析的方法和装置
CN116800628A (zh) * 2022-08-26 2023-09-22 中移(苏州)软件技术有限公司 日志处理方法、装置、电子设备及计算机可读存储介质
US12615282B2 (en) 2023-07-23 2026-04-28 Palo Alto Networks, Inc. Security incident ranking and ranking explanation
CN117118824B (zh) * 2023-10-20 2024-02-27 成都卓拙科技有限公司 一种日志数据收集方法及设备
US12563089B1 (en) * 2025-07-02 2026-02-24 Wiz, Inc. Techniques for cybersecurity incident investigation utilizing timeline generation based on entity queries

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002318734A (ja) * 2001-04-18 2002-10-31 Teamgia:Kk 通信ログ処理方法及びシステム
JP2004030286A (ja) * 2002-06-26 2004-01-29 Ntt Data Corp 侵入検知システムおよび侵入検知プログラム
JP2005038116A (ja) 2003-07-18 2005-02-10 Hitachi Ltd 不正侵入分析装置
JP2005128609A (ja) * 2003-10-21 2005-05-19 Yaskawa Information Systems Co Ltd サーバ計算機、計算機および通信ログの処理方法
JP2006246010A (ja) * 2005-03-03 2006-09-14 Ntt Docomo Inc トラヒック制御システム、及び、トラヒック制御処理実行方法

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7752665B1 (en) * 2002-07-12 2010-07-06 TCS Commercial, Inc. Detecting probes and scans over high-bandwidth, long-term, incomplete network traffic information using limited memory
US20080162202A1 (en) * 2006-12-29 2008-07-03 Richendra Khanna Detecting inappropriate activity by analysis of user interactions
US20090077663A1 (en) * 2007-09-17 2009-03-19 Alcatel Lucent Score-based intrusion prevention system
US9866426B2 (en) * 2009-11-17 2018-01-09 Hawk Network Defense, Inc. Methods and apparatus for analyzing system events
US20110191394A1 (en) * 2010-01-29 2011-08-04 Winteregg Joel Method of processing log files in an information system, and log file processing system
CN102385549A (zh) * 2010-09-02 2012-03-21 北京无限立通通讯技术有限责任公司 日志处理系统、日志处理方法和日志存储子系统
US8516595B2 (en) * 2010-12-28 2013-08-20 Caixa d'Estalvis I Pensions de Barcelona “La Caixa” Method and system for estimating the reliability of blacklists of botnet-infected computers
US20120246303A1 (en) * 2011-03-23 2012-09-27 LogRhythm Inc. Log collection, structuring and processing
CN102722553B (zh) * 2012-05-24 2014-04-02 浙江大学 基于用户日志分析的分布式倒排索引组织方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002318734A (ja) * 2001-04-18 2002-10-31 Teamgia:Kk 通信ログ処理方法及びシステム
JP2004030286A (ja) * 2002-06-26 2004-01-29 Ntt Data Corp 侵入検知システムおよび侵入検知プログラム
JP2005038116A (ja) 2003-07-18 2005-02-10 Hitachi Ltd 不正侵入分析装置
JP2005128609A (ja) * 2003-10-21 2005-05-19 Yaskawa Information Systems Co Ltd サーバ計算機、計算機および通信ログの処理方法
JP2006246010A (ja) * 2005-03-03 2006-09-14 Ntt Docomo Inc トラヒック制御システム、及び、トラヒック制御処理実行方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
MASARU SEKIHARA: "Kizon System no Sotenken to Ippo Susunda Tsukaikata Firewall Saiteki Katsuyo no Point Dai 3 Bu Firewall Ippo Susunda Katsuyo-ho [Log Kanri", JOCHO KOSEI, UN'YO KANSHI SERVICE] PART 1 LOG O SEKKYOKUTEKI NI KANRI SURU, N+I NETWORK, vol. 3, no. 8, 1 September 2003 (2003-09-01), pages 063 - 067, XP008180061 *
See also references of EP2953298A4

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105791236A (zh) * 2014-12-23 2016-07-20 北京网御星云信息技术有限公司 一种木马通信通道检测方法及系统
CN105791236B (zh) * 2014-12-23 2019-03-12 北京网御星云信息技术有限公司 一种木马通信通道检测方法及系统
JP2017035177A (ja) * 2015-08-07 2017-02-16 株式会社三共 遊技用システム及び管理サーバ
US11956256B2 (en) 2019-02-05 2024-04-09 Nec Corporation Priority determination apparatus, priority determination method, and computer readable medium
US20250310182A1 (en) * 2022-12-13 2025-10-02 Rakuten Symphony, Inc. Agentless Topology Analysis
US12621205B2 (en) * 2022-12-13 2026-05-05 Rakuten Symphony, Inc. Agentless topology analysis
JP2024090178A (ja) * 2022-12-22 2024-07-04 株式会社日立製作所 異常通信判別装置、異常通信判別方法および異常通信対処システム
JP7756066B2 (ja) 2022-12-22 2025-10-17 株式会社日立製作所 異常通信判別装置、異常通信判別方法および異常通信対処システム
JP2024128995A (ja) * 2023-02-17 2024-09-26 セレリウム インコーポレイテッド ネットワーク危殆化アクティビティ監視システム

Also Published As

Publication number Publication date
US20150341389A1 (en) 2015-11-26
EP2953298A4 (en) 2016-11-16
EP2953298A1 (en) 2015-12-09
US9860278B2 (en) 2018-01-02
EP2953298B1 (en) 2018-03-21
CN104937886A (zh) 2015-09-23
CN104937886B (zh) 2017-10-24
JP6001689B2 (ja) 2016-10-05
JPWO2014119669A1 (ja) 2017-01-26

Similar Documents

Publication Publication Date Title
JP6001689B2 (ja) ログ分析装置、情報処理方法及びプログラム
US9661008B2 (en) Network monitoring apparatus, network monitoring method, and network monitoring program
CN110719291B (zh) 一种基于威胁情报的网络威胁识别方法及识别系统
US11316878B2 (en) System and method for malware detection
Rahal et al. A distributed architecture for DDoS prediction and bot detection
US10721244B2 (en) Traffic feature information extraction method, traffic feature information extraction device, and traffic feature information extraction program
KR100942456B1 (ko) 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버
JP6097849B2 (ja) 情報処理装置、不正活動判定方法および不正活動判定用プログラム、並びに、情報処理装置、活動判定方法および活動判定用プログラム
US8042182B2 (en) Method and system for network intrusion detection, related network and computer program product
US10257213B2 (en) Extraction criterion determination method, communication monitoring system, extraction criterion determination apparatus and extraction criterion determination program
CN107209834B (zh) 恶意通信模式提取装置及其系统和方法、记录介质
KR101045330B1 (ko) 네트워크 기반의 ｈｔｔｐ 봇넷 탐지 방법
JP6470201B2 (ja) 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
JP6592196B2 (ja) 悪性イベント検出装置、悪性イベント検出方法および悪性イベント検出プログラム
Kijewski Automated extraction of threat signatures from network flows

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14746780

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2014559743

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 2014746780

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 14758627

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE