JP2004220373A - 不正アクセス検知ログ情報分析支援装置、不正アクセス検知ログ情報分析支援方法及びコンピュータプログラム - Google Patents
不正アクセス検知ログ情報分析支援装置、不正アクセス検知ログ情報分析支援方法及びコンピュータプログラム Download PDFInfo
- Publication number
- JP2004220373A JP2004220373A JP2003007551A JP2003007551A JP2004220373A JP 2004220373 A JP2004220373 A JP 2004220373A JP 2003007551 A JP2003007551 A JP 2003007551A JP 2003007551 A JP2003007551 A JP 2003007551A JP 2004220373 A JP2004220373 A JP 2004220373A
- Authority
- JP
- Japan
- Prior art keywords
- detection
- log information
- intrusion
- pattern
- detection log
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Computer And Data Communications (AREA)
Abstract
【課題】運用者のノウハウを蓄積することができる不正アクセス検知ログ情報分析支援装置を提供することを目的とする。
【解決手段】侵入検知装置からの検知ログ情報を収集し、フォーマット変換を行うＩＤＳマネージャ部１２と、検知ログ情報を蓄積する検知ログ情報ＤＢ（３１）と、検知ログ情報ＤＢ（３１）から侵入行為パターンを生成し、侵入行為パターンＤＢ（３３）に蓄積する侵入行為パターン作成部２３と、パターン評価用パラメータを格納するパターン評価用パラメータＤＢ（３４）と、検知ログ情報の侵入行為評価パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価部２５と、侵入行為パターン評価部による評価結果を蓄積する侵入行為パターン評価結果ＤＢ（３５）とを備える。
【選択図】 図２
【解決手段】侵入検知装置からの検知ログ情報を収集し、フォーマット変換を行うＩＤＳマネージャ部１２と、検知ログ情報を蓄積する検知ログ情報ＤＢ（３１）と、検知ログ情報ＤＢ（３１）から侵入行為パターンを生成し、侵入行為パターンＤＢ（３３）に蓄積する侵入行為パターン作成部２３と、パターン評価用パラメータを格納するパターン評価用パラメータＤＢ（３４）と、検知ログ情報の侵入行為評価パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価部２５と、侵入行為パターン評価部による評価結果を蓄積する侵入行為パターン評価結果ＤＢ（３５）とを備える。
【選択図】 図２
Description
【０００１】
【発明の属する技術分野】
本発明は、不正アクセス検知ログ情報分析支援装置、不正アクセス検知ログ情報分析支援方法及びコンピュータプログラムに係り、更に詳しくは、コンピュータネットワーク上で不正侵入者を検知する侵入検知装置から出力される検知ログを収集し、分析する分析支援装置に関する。
【０００２】
【従来の技術】
パソコン等の情報端末に対し不正侵入を試みるハッカー等と呼ばれる不正侵入者の脅威から、情報端末を守る手段の一つとして、不正アクセスを検知する侵入検知装置が従来から広く普及しており、この種の装置はＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）と呼ばれている。
【０００３】
例えば、特許文献１に開示された侵入検知装置は、パケット取得・選択手段が、特定のコンピュータネットワークを流れる所定のパケットの取得し選択し、ユーザデータ作成手段が、当該パケットから得られる情報に基づき、当該パケットを送信したユーザの個人的特徴を数値化した特徴データをユーザデータとして作成している。
【０００４】
また、前記特定のコンピュータネットワークにおける正規ユーザの個人的特徴を数値化した特徴データが、当該正規ユーザが過去に送信したパケットから得られた情報に基づいて作成され、監査データとして監査データ記憶部に記録され、ユーザ判定手段が、ユーザデータを監査データ記憶部に記録された監査データと比較し、当該ユーザデータに対応するユーザが、前記特定のコンピュータネットワークにおける正規ユーザであるか否かを判定している。
【０００５】
つまり、上記侵入検知装置は、パケット送信者の個人的特徴を数値化したユーザデータと、正規ユーザの個人的特徴を数値化した監査データとを用いて、不正侵入者による不正アクセスを検知するものである。この場合、ユーザの個人的特徴をどのように数値化し、ユーザデータと監査データをどのように比較するのかは、運用者が独自に判断する必要がある。
【０００６】
【特許文献１】
特開２００１−２０２３３３号公報
【０００７】
【発明が解決しようとする課題】
一般に、侵入検知装置において、過剰な情報を抽出すれば誤検知が含まれることになる一方（Ｆａｌｓｅ Ｐｏｓｉｔｉｖｅ）、過小な情報を抽出すれば検出漏れを生じることになる（Ｆａｌｓｅ Ｎｅｇａｔｉｖｅ）。このため、何を検知情報として抽出するのかは運用者の独自判断に依存し、運用者によって誤検知や検知漏れが多くなるという運用上の問題があった。
【０００８】
例えば、不正侵入行為と定義した文字列パターンを用いて、ネットワークパケット又はシステムログ等に対するマッチング処理を行って、不正アクセスを検知して警報を出力する場合、１回又は複数の侵入行為に対して多量の検知ログが得られることから、状況分析が必要となる。しかしながら、当該分析処理は、運用者の経験に頼る部分に大きいため、運用者によっては本質的な状況把握が困難なために、誤検知による誤警報が出力されやすいといった問題があった。
【０００９】
しかも、個々の運用者が侵入検知装置の出力する検知ログを独自分析しているため、その分析手法は継承され難く、ますます各運用者の経験及び能力に依存することになり、そのノウハウを蓄積し難いという問題点があった。その結果、運用者によって状況分析も異なり、誤検知が生じ易いという問題があった。
【００１０】
例えば、侵入者は自分の端末からダイレクトに攻撃するだけでなく、いくつかの踏み台端末を経由して行われることが少なくない。また、攻撃ツール等での侵入行為が自動化されている場合もあるが、検知事象間の関係は明示化されることはなかった。このため、踏み台とされている端末はどこからどこまでなのか、その侵入及び攻撃がどの段階まで進行しているのかを判断するのは、高度な分析能力を要するが、この判断は運用者の経験にのみ依存し、そのノウハウは蓄積し難いという問題点があった。
【００１１】
本発明は、上記の事情に鑑みてなされたものであり、運用者のノウハウを蓄積することができる不正アクセス検知ログ情報分析支援装置を提供することを目的とする。また、この様な分析支援装置に適用可能な不正アクセス検知ログ情報分析支援方法及びコンピュータプログラムを提供することを目的とする。
【００１２】
【課題を解決するための手段】本発明による不正アクセス検知ログ情報分析支援装置は、侵入検知装置から出力される複数の不正アクセス検知情報からなる検知ログ情報を収集し、収集された検知ログ情報のフォーマット変換を行うＩＤＳマネージャ部と、フォーマット変換された検知ログ情報を蓄積する検知ログ情報データベースと、不正アクセス検知情報に特徴的な検知事象を検知ログ情報データベースに蓄積された検知ログ情報から抽出し、侵入行為パターンを生成する侵入行為パターン作成部と、侵入行為パターン作成部により生成された侵入行為パターンを蓄積する侵入行為パターンデータベースと、侵入行為パターンを評価するためのパターン評価用パラメータを格納するパターン評価用パラメータデータベースと、検知ログ情報データベースに蓄積された検知ログ情報の侵入行為評価パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価部と、侵入行為パターン評価部による評価結果を蓄積する侵入行為パターン評価結果データベースとを備えて構成される。
【００１３】
また、本発明による不正アクセス検知ログ情報分析支援方法は、侵入検知装置から出力される複数の不正アクセス検知情報からなる検知ログ情報を収集し、収集された検知ログ情報のフォーマット変換を行うステップと、フォーマット変換された検知ログ情報を検知ログ情報データベースに蓄積するステップと、不正アクセス検知情報に特徴的な検知事象を検知ログ情報データベースに蓄積された検知ログ情報から抽出して侵入行為パターンを生成し、侵入行為パターンデータベースに蓄積する侵入行為パターン作成ステップと、検知ログ情報データベースに蓄積された検知ログ情報の侵入行為評価パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価ステップと、侵入行為パターン評価部による評価結果を侵入行為パターン評価結果データベースに蓄積するステップとを備える。
【００１４】
また、本発明によるコンピュータプログラムは、侵入検知装置から出力される複数の不正アクセス検知情報からなる検知ログ情報を収集し、収集された検知ログ情報のフォーマット変換を行うステップと、フォーマット変換された検知ログ情報を検知ログ情報データベースに蓄積するステップと、不正アクセス検知情報に特徴的な検知事象を検知ログ情報データベースに蓄積された検知ログ情報から抽出して侵入行為パターンを生成し、侵入行為パターンデータベースに蓄積する侵入行為パターン作成ステップと、検知ログ情報データベースに蓄積された検知ログ情報の侵入行為評価パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価ステップと、侵入行為パターン評価部による評価結果を侵入行為パターン評価結果データベースに蓄積するステップとを実行するように構成される。
【００１５】
この様な構成により、収集した検知ログ情報から侵入行為パターンを抽出して蓄積するとともに、侵入行為パターンを評価し、その評価結果を蓄積することができる。
【００１６】
【発明の実施の形態】
実施の形態１．
図１は、本発明の実施の形態１による不正アクセス検知ログ情報分析支援装置が適用されるコンピュータネットワークの一構成例を示したブロック図である。このコンピュータネットワークは、インターネットなどの外部ネットワーク６に接続されたＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）５により構成される。
【００１７】
ＬＡＮ５は、不正アクセス検知ログ情報分析支援サーバ１と、複数の端末装置２及び３と、ハブ（ＨＵＢ）４とにより構成される２系統のネットワーク５ａ，５ｂからなる。端末装置２（図中の端末Ａ）は、ホスト型のＩＤＳエージェントが搭載されたサーバ等の端末装置であり、端末装置３（図中の端末Ｂ）は、ネットワーク型のＩＤＳエージェント及びＩＤＳマネージャが搭載されたサーバ等の端末装置である。
【００１８】
ホスト型のＩＤＳエージェントとは、端末装置のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）及びアプリケーション・ソフトウエアが出力するシステムログ等のイベントデータに基づいて侵入検知を行うソフトウエアである。また、ネットワーク型のＩＤＳエージェントとは、ネットワーク上のパケットデータに基づいて侵入検知を行うソフトウエアである。
【００１９】
つまり、ＩＤＳエージェントが搭載された端末装置２，３は、不正アクセスを検知して検知ログを出力する侵入検知装置（ＩＤＳセンサー）である。また、ＩＤＳマネージャは、各ＩＤＳエージェントから出力される検知ログを収集するソフトウエアであり、ＩＤＳエージェントとは、別の端末に搭載されていてもよい。
【００２０】
ハブ４は、端末装置２，３を接続するための集線装置であり、複数のハブ４がカスケード接続され、各ハブ４に対し端末装置２，３を接続することができる。
各端末装置２及び３は、ハブ４を介してＬＡＮ５ａ（実線で示されたネットワーク）に接続され、ＬＡＮ５ａを介して更に外部ネットワーク６に接続される。
【００２１】
また、各端末装置２及び３は、ＬＡＮ５ａから独立し、外部ネットワーク６に接続されていないＬＡＮ５ｂ（破線で示されたネットワーク）にも接続されている。このＬＡＮ５ｂは、不正アクセス検知ログ情報分析支援サーバ１が接続されたＩＤＳ専用ラインである。不正アクセス検知ログ情報分析支援サーバ１は、各ＩＤＳエージェントで生成され、ＩＤＳマネージャが収集した検知ログについて、分析及び評価を行って、情報を蓄積している。
【００２２】
ここでは、インターネット６に接続された不正アクセス端末装置７から端末装置２，３を攻撃する場合の例について説明するが、本発明は、不正アクセス端末装置７がＬＡＮ５ａに接続されている場合にも適用することができる。
【００２３】
図２は、図１のコンピュータネットワークの要部について詳細な構成例を示したブロック図である。ＩＤＳエージェント部１０は、端末装置２に搭載されたホスト型のＩＤＳエージェントである。各ＩＤＳエージェント部１０は、イベントデータに対し、シグニチャー（Ｓｉｇｎａｔｕｒｅ）と呼ばれるデータベースを用いてパターンマッチングを行って、不正アクセスを検知し、検知ログデータを生成している。
【００２４】
ＩＤＳエージェント部１１は、端末装置３に搭載されたネットワーク型のＩＤＳエージェントである。各ＩＤＳエージェント部１１は、ネットワーク上のパケットデータに対し、ＩＤＳエージェント部１０と同様のパターンマッチングを行って、不正アクセスを検知し、検知ログデータを生成している。
【００２５】
ＩＤＳマネージャ部１２は、端末装置３に搭載され、検知ログの収集を行っている。ＩＤＳマネージャ部１２は、検知ログ格納部２０と、検知ログ情報変換部２１により構成される。複数の端末装置２，３内のＩＤＳエージェント１０，１１においてパターンマッチングで得られた検知ログは、ＩＤＳ専用ライン５ｂを介して、ＩＤＳマネージャ部１２に送られる。
【００２６】
ＩＤＳエージェント部１０，１１で生成される検知ログは、検知時刻、検知イベント（事象）名、検知イベント（事象）番号、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号、検知センサ名称等からなる。
【００２７】
これらの検知ログは、検知ログ格納部２０に一旦格納され、検知ログ情報変換部２１によりフォーマット変換が行われる。市販のＩＤＳエージェントが出力する検知ログのフォーマットは、製品ごとに異なる。例えば、検知イベント名で管理された検知ログが出力され、あるいは、検知イベント番号で管理された検知ログが出力される。検知ログ情報変換部２１は、これら種々のフォーマットからなる検知ログを不正アクセス検知ログ情報分析支援サーバ１において分析処理可能な統一フォーマットに変換している。
【００２８】
不正アクセス検知ログ情報分析支援サーバ１は、検知ログ情報分析支援データベース３０、検知ログ情報分析支援統制管理部２２、侵入行為パターン分析・作成部２３、侵入行為パターン表示・編集部２４、侵入行為パターン評価部２５、及び、侵入行為パターン評価結果表示部２６により構成される。
【００２９】
検知ログ情報分析支援データベース３０以外の各ブロック２２〜２６は、不正アクセス検知ログ情報分析支援サーバ１において実行可能なコンピュータプログラムとして実現され、これらのプログラムは、ＣＤ−ＲＯＭなどの光記憶媒体、磁気テープなどの磁気記憶媒体、半導体メモリ、その他のコンピュータ読取可能な記憶媒体に格納して提供することができる。
【００３０】
検知ログ情報分析支援データベース３０は、検知ログ情報ＤＢ（データベース）３１、ネットワーク構成情報ＤＢ（３２）、侵入行為パターンＤＢ（３３）、パターン評価用パラメータＤＢ（３４）、及び、侵入行為パターン評価結果ＤＢ（３５）により構成される。
【００３１】
検知ログ情報ＤＢ（３１）は、各ＩＤＳエージェント部１０，１１により生成され、ＩＤＳマネージャ部１２においてフォーマット変換された検知ログを蓄積するデータベースである。
【００３２】
ネットワーク構成情報ＤＢ（３２）は、予め与えられたネットワークの構成に関する種々の情報、例えば、ホスト名称、ＩＰアドレスなどをネットワーク構成情報として記憶保持するデータベースである。これらのネットワーク構成情報は、抽出された侵入行為パターンを評価する際、不正アクセスのあった場所等を特定するために使用される。
【００３３】
侵入行為パターンＤＢ（３３）は、検知ログ情報ＤＢ（３１）の検知ログに基づいて、侵入行為パターン分析・作成部２３により抽出された侵入行為パターンを蓄積するデータベースである。
【００３４】
パターン評価用パラメータＤＢ（３４）は、評価用パラメータを記憶保持しているデータベースである。これらの評価用パラメータは、侵入行為パターン評価部２５が侵入行為パターンを評価する際に必要となる評価処理のためのパラメータである。侵入行為パターン評価結果ＤＢ（３５）は、侵入行為パターン評価部２５による侵入行為パターンの評価結果が格納されるデータベースである。
【００３５】
検知ログ情報分析支援統制管理部２２は、侵入行為パターン分析・作成部２３、侵入行為パターン表示・編集部２４、侵入行為パターン評価部２５、及び、侵入行為パターン評価結果表示部２６と、ＩＤＳマネージャ部１２の検知ログ情報変換部２１の制御を行っている。
【００３６】
侵入行為パターン分析・作成部２３は、検知ログ情報を分析し、当該侵入行為に対する特徴的な検知事象を抽出するとともに、抽出された検知事象群について侵入行為パターンを生成し、侵入行為パターンＤＢ（３３）に蓄積している。この侵入行為パターンは、ＩＤＳエージェントにより収集された検知事象の種類、順序及び相対的な検知時刻により構成される。
【００３７】
侵入行為パターンが生成される検知ログ情報は、ホスト型のＩＤＳエージェント部１０により生成された検知ログ情報であってもよいし、ネットワーク型のＩＤＳエージェント部１１により生成された検知ログ情報であってもよい。また、ホスト型及びネットワーク型のＩＤＳエージェント部１０及び１１により生成された検知ログ情報を組み合わせて使用することもできる。
【００３８】
検知時刻については、誤差を考慮して、統計的な情報処理が行われ、平均、標準偏差（分散）などの統計的情報を含めた侵入行為パターンが生成される。すなわち、検知ログ情報を分類し、時系列的に整理して、統計分析を実施した結果、不正アクセスの特徴と思われる検知事象群が抽出され、侵入行為パターンが生成される。上記の統計的処理は、市販ツールにより実現可能である。
【００３９】
一般に、不正アクセスは、単発で行われることは少なく、繰り返しパラメータを変えて行われ、あるいは複合的に行われる場合が多い。このため、不正アクセスは複数回行われることが多く、この様な場合、ＩＤＳエージェントは複数のイベント情報を検知することになる。ところが、ＩＤＳエージェントの検知情報には、誤検知された不正アクセス以外のイベント情報も含まれるため、不正アクセスがあった場合に、どの様なイベントがどの様な順序で発生するのかを調べることによって、不正アクセスを認識することが可能となる。
【００４０】
図３は、侵入行為パターンについての説明図である。図中（ａ）は検知ログ情報の一例を示した図である。ＩＤＳエージェント部１０，１１において検知事象としてイベントｅ１〜ｅ５が検知され、それぞれの検知時刻（例えば不正侵入パケットの到来時刻）がｔ０〜ｔ４であったとする。図中の（ｂ）は、このとき侵入行為パターン分析・作成部２３により生成される侵入行為パターンの一例を示した図である。
【００４１】
侵入行為パターンは、相対的な検知時刻△ｔ１〜△ｔ４及びイベントｅ１〜ｅ５の種類及び順序からなる。相対的な検知時刻△ｔ１〜△ｔ４は、一連の検知事象ｅ１〜ｅ５の時間間隔であり、１つ前の検知事象の検知時刻に対する相対的な検知時刻として与えられる。すなわち、各検知事象ｅ２〜ｅ５の検知時刻を△ｔ１〜△ｔ４としており、△ｔｎ＝ｔｎ−ｔ（ｎ−１）（ｎ＝１〜４）と表される。
【００４２】
なお、到来時刻が同一のイベントを侵入行為パターンとして抽出（選択）することも可能であるものとする。また、侵入行為パターンを抽出する単位をユニットと定義し、同一順列の侵入行為パターンは複数ユニットを蓄積可能とし、統計的な情報処理（例えば平均）を行うものとする。
【００４３】
侵入行為パターン表示・編集部２４は、侵入行為パターンＤＢ（３３）の侵入行為パターンを図示しない表示装置に表示する。 例えば、検知情報を時系列で表示し、また、任意の区間、ＩＰアドレス、ポート番号、種類で検索可能とする。更に、ＩＰアドレスごとに種類別頻度表示、検知情報ごとの頻度表示、侵入行為パターン比較を可能とする時系列表示などを行う。
【００４４】
また、侵入行為パターンＤＢ（３３）の侵入行為パターンの編集、例えば侵入行為パターンの修正やマージ（結合）などを行って、再び侵入行為パターンＤＢ（３３）へ書き込む。このため、運用者（オペレータ）は、侵入行為パターンＤＢ（３３）内に蓄積された侵入行為パターンを参照し、編集することができる。
【００４５】
侵入行為パターン評価部２５は、検知ログ情報ＤＢ（３１）に蓄積された検知事象（イベント）について、侵入行為パターンＤＢ（３３）内の侵入行為パターンとのマッチング処理を行って、各侵入行為パターンに対する評価を行っている。この侵入行為パターン評価は、パターン評価用パラメータＤＢ（３４）内の評価用パラメータを用いて、マッチング処理で求められた両者の相関度を評価することによって行われる。評価結果は侵入行為パターン評価結果ＤＢ（３５）に蓄積される。
【００４６】
図４及び図５は、侵入行為パターン評価部２５における評価処理についてその概念を示した説明図である。図４の（ａ）には、検知ログ情報の一例が示され、図４の（ｂ）には、侵入行為パターンの一例が示されている。検知ログ情報と、侵入行為パターンとのマッチング処理は、検知事象の順列及び相対的な検知時刻の２要素に関して行われる。すなわち、検知事象ごとの順列及び相対時刻について相互相関をとり、得られた各相関度に基づいて侵入行為パターンとの相関度が求められる。
【００４７】
ＩＤＳエージェント部１０，１１により検知され、検知ログ情報ＤＢ（３１）に蓄積された検知事象ｅ１〜ｅ５の相対的な検知時刻を△ｔ１’〜△ｔ４’とする。これらの検知時刻△ｔ１’〜△ｔ４’について、侵入行為パターンにおける相対的な検知時刻△ｔ１〜△ｔ４の平均値との相互相関をとる。
【００４８】
図５は、相互相関を求める方法の一例が示された図である。侵入行為パターン及び検知ログにおいて対応する検知事象の相関度は、両者の相対的な検知時刻の差分を所定の分布関数における確率に変換した数値として求められる。図５には、中央値△ｔｎ、標準偏差σの正規分布における分布確率Ｐｎ（ｘ）の例が示されている。当該分布の中央値△ｔｎ（ｎ＝１〜４）及び標準偏差σは、侵入行為パターンとして与えられる。
【００４９】
対応する検知事象について、侵入行為パターンにおける検知時刻（平均値）を△ｔｎ、検知ログにおける検知時刻を△ｔｎ’とすれば、検知時刻のずれ△ｔｎ−△ｔｎ’に基づく確率がＰｎ（△ｔｎ’）として得られる。
【００５０】
一連の各検知事象ｅ１〜ｅ５について相互相関を求め、これらの相関値に基づいて侵入行為パターンとの相関度が求められる。例えば、次式に示すようにＮ個の各検知事象ごとの相関度Ｐｉ（△ｔｉ）の平均値として侵入行為パターンとの相関度が求められる。
【数１】
【００５１】
図６は、評価用パラメータの一例の概要を示した図である。評価用パラメータを用いて、侵入行為パラメータとの相関度が求められ、その相関度が評価される。この評価結果は、侵入行為パターン評価結果として、侵入行為パターン評価結果ＤＢ（３５）に格納される。
【００５２】
評価用パラメータは、評価対象範囲、ＩＰ同一モード及び評価基準値からなる。評価対象範囲は、検知事象ごとの各平均時刻（相対的な検知時刻の平均値）から相関処理対象を判断する基準範囲であり、標準偏差を単位とする。この値を下回った場合は、侵入行為パターンと断定できるほどの相関がないと判断する。すなわち、ＩＤＳエージェント部１０，１１により検知され、検知ログ情報ＤＢ（３１）に蓄積された検知事象ｅ１〜ｅ５の相対的な検知時刻△ｔ０’〜△ｔ４’の最大値を示している。
【００５３】
ＩＰ同一モードは、評価処理の実施対象を同一ターゲットＩＰのみとするモードである。ＩＰ同一モードを指定した場合、相関処理対象のイベントでも、異なるターゲットＩＰの場合は、相関処理を実施しない。すなわち、検知ログ情報の送信元（ターゲット）ＩＰが、Ｐ１〜Ｐｎまで同一であることの条件を追加している。
【００５４】
評価基準値は、評価処理における有意判定の基準値である。この値を下回った場合は、侵入行為パターンと断定できるほどの評価がないと判断する。すなわち、上式（１）により求められた相関度（マッチング率、最終確率値）の侵入行為パターンに対する有意判定の基準値が示されている。
【００５５】
侵入行為パターン評価結果表示部２６は、侵入行為パターン評価結果ＤＢ（３５）の侵入行為パターン評価結果を図示しない表示装置に表示する。このため、運用者（オペレータ）は、侵入行為パターン評価結果ＤＢ（３５）内に蓄積された侵入行為パターン評価結果を参照して、各侵入行為パターンの検証を行うことができる。この場合、必要に応じて、ネットワーク構成情報ＤＢ（３２）を参照し、侵入行為パターン評価結果とともに、当該侵入行為が検知された場所等を表示してもよい。
【００５６】
この様にして、侵入行為パターンを侵入行為パターンＤＢ（３３）に蓄積するとともに、侵入行為パターン評価結果を侵入行為パターン評価結果ＤＢ（３５）に蓄積することにより、侵入行為パターン評価結果に基づいて侵入行為パターンを検証し、必要に応じて侵入行為パターンを編集することができる。
【００５７】
このため、侵入行為パターンを向上させることができ、運用者のノウハウを蓄積することができる。すなわち、多数の検知情報からなる検知ログに対する統計的な情報処理は、市販ツールによっても可能であるが、ここでは、その結果を侵入行為パターンとして評価し管理しているため、ノウハウとして蓄積することができる。
【００５８】
また、踏み台とされている端末装置２，３についても、当該踏み台を含めた一連の不正アクセスについて侵入行為パターンを作成すれば、検知することができる。
【００５９】
なお、本実施の形態による不正アクセス検知ログ情報分析支援サーバは、各ＩＤＳエージェントの出力する検知ログに基づいて侵入行為パターンを生成し、評価している。このため、オンライン、オフラインにかかわらず動作させることができる。すなわち、オフライン・モードでは、事前に収集した検知ログ情報に対して、侵入行為パターンを評価し、オンライン・モードでは、収集中の検知ログ情報に対して、侵入行為パターンを評価する。
【００６０】
実施の形態２． 実施の形態１では、侵入行為パターンの各検知事象の検知時刻として、直前の検知事象に対する相対的な検知時刻を用いる場合の例について説明した。これに対し、実施の形態２では、侵入行為パターンを構成する最初の検知事象の検知時刻に対する相対的な検知時刻を用いる場合について説明する。
【００６１】
図７は、本発明の実施の形態２における侵入行為パターンについての説明図である。図中の（ａ）は検知ログ情報の一例を示した図である。ＩＤＳエージェント部１０，１１において検知事象としてイベントｅ１〜ｅ５が検知され、それぞれの検知時刻（例えば不正侵入パケットの到来時刻）がｔ０〜ｔ４であったとする。図中の（ｂ）は、このとき侵入行為パターン分析・作成部２３により生成される侵入行為パターンの一例を示した図である。
【００６２】
相対的な検知時刻△ｔ１〜△ｔ４は、一連の検知事象ｅ１〜ｅ５の時間間隔であり、本実施の形態では、最初の検知事象ｅ１の検知時刻に対する各検知事象ｅ２〜ｅ５の相対的な検知時刻を△ｔ１〜△ｔ４としており、△ｔｎ＝ｔｎ−ｔ０（ｎ＝１〜４）と表される。
【００６３】
図８は、侵入行為パターン評価部２５における評価処理についてその概念を示した説明図である。図８の（ａ）には、検知ログ情報の一例が示され、図８の（ｂ）には、侵入行為パターンの一例が示されている。検知ログ情報と、侵入行為パターンとのマッチング処理は、実施の形態１と全く同様にして、検知事象の順列及び相対的な検知時刻の２要素に関して行われる。
【００６４】
実施の形態３． 実施の形態１では、侵入行為パターンとの相関度を求める際、正規分布における分布確率を用いる場合の例について説明したが、本発明は、この様な場合に限定されない。例えば、正規分布に代えて、指数分布、γ分布、χ（カイ）２乗分布、β分布、Ｆ分布、ｔ分布などを用いて侵入行為パターンとの相関度を求めることもできる。
【００６５】
実施の形態４． 本実施の形態では、本発明の他の適用例について説明する。図９は、本発明の実施の形態４による不正アクセス検知ログ情報分析支援装置が適用されるコンピュータネットワークの一構成例を示したブロック図である。このネットワークは、遠隔地に設置された３つのＬＡＮ４０〜４２をインターネット４３又は専用線４４により接続して構成される。ここでは、ＬＡＮ４０が本社、ＬＡＮ４１が支社Ａ、ＬＡＮ４２が支社Ｂにそれぞれ設置されたネットワークであるものとする。
【００６６】
各ＬＡＮ４０〜４２は、それぞれがルータ５０、ファイアウォール装置５１、侵入検知装置（ＩＤＳ）５２及び複数の端末装置５３により構成される。また、ＬＡＮ４０は、更にネットワーク統括管理装置５４を備えている。各ＬＡＮ４０〜４２は、ルータ５０を介してインターネット４３又は専用線４４に接続されている。また、ルータ５０及び各端末装置５３の間にファイアウォール装置５１を設置して、外部から各端末装置５３への不正侵入を抑制している。
【００６７】
侵入検知装置５２は、図１におけるＩＤＳエージェントが搭載された端末装置２，３に相当する装置である。侵入検知装置５２は、各ＬＡＮ４０〜４２内のファイアウォール装置５１の外側の通信経路５１Ａにおいて、外部から内部への侵入を検知するとともに、ファイアウォール装置５１の内側の通信経路５１Ｂにおいて、内部から外部への出力を検知し、検知ログを生成している。この様にして各ＬＡＮ４０〜４２の侵入検知装置５２により生成された検知ログは、本社のＬＡＮ４０内のネットワーク統括管理装置５４へ送信される。
【００６８】
また、ネットワーク統括管理装置５４は、図１の不正アクセス検知ログ情報分析支援サーバ１に相当する装置である。ネットワーク統括管理装置５４は、各侵入検知装置５２から受信した検知ログ情報に基づいて、侵入行為パターンを生成するとともに、侵入行為パターンの評価を行っている。
【００６９】
この場合、本社及び各支社ごとに１つの侵入検知装置５２を設け、ファイアウォール装置５１の前後で不正アクセスを検知するとともに、これらの検知ログを分析するネットワーク統括管理装置５４が本社にのみ設けられている。このため、少ない侵入検知装置５２及び不正アクセス検知ログ情報分析支援サーバを用いて効率的に侵入検知と、検知ログ情報の分析支援を行うことができる。
【００７０】
図１０は、ネットワーク統括管理装置５４における表示の一例を示した図である。侵入検知の通知を行った侵入検知装置５２の所在地が、ネットワーク統括管理装置５４の画面上に表示される。ここでは、ＬＡＮ４１（支社Ａ）において侵入検知された場合の例が示されている。この様な位置情報は、図２のネットワーク構成情報ＤＢ（３２）に格納されている。
【００７１】
【発明の効果】本発明によれば、収集した検知ログ情報から侵入行為パターンを抽出して蓄積するとともに、侵入行為パターンを評価し、その評価結果を蓄積することができるため、運用者のノウハウを蓄積することができる。
【図面の簡単な説明】
【図１】本発明の実施の形態１による不正アクセス検知ログ情報分析支援装置が適用されるコンピュータネットワークの一構成例を示したブロック図である。
【図２】図１のコンピュータネットワークの要部について詳細な構成例を示したブロック図である。
【図３】侵入行為パターンについての説明図である。
【図４】侵入行為パターン評価部２５における評価処理についてその概念を示した説明図である。
【図５】相互相関を求める方法の一例が示された図である。
【図６】評価用パラメータの一例の概要を示した図である。
【図７】本発明の実施の形態２における侵入行為パターンについての説明図である。
【図８】侵入行為パターン評価部２５における評価処理についてその概念を示した説明図である。
【図９】本発明の実施の形態４による不正アクセス検知ログ情報分析支援装置が適用されるコンピュータネットワークの一構成例を示したブロック図である。
【図１０】ネットワーク統括管理装置における表示の一例を示した図である。
【符号の説明】
１ 不正アクセス検知ログ情報分析支援サーバ、
１０ 侵入検知部（ホスト型）、１１ 侵入検知部（ネットワーク型）、
１２ ＩＤＳマネージャ部、２１ 検知ログ情報変換部、
２２ 検知ログ情報分析支援統制管理部、
２３ 侵入行為パターン分析・作成部、
２４ 侵入行為パターン表示・編集部、２５ 侵入行為パターン評価部、
２６ 侵入行為パターン評価結果表示部、
３０ 検知ログ情報分析支援データベース部、３１ 検知ログ情報ＤＢ、
３２ ネットワーク構成情報ＤＢ、３３ 侵入行為パターンＤＢ、
３４ パターン評価用パラメータＤＢ、
３５ 侵入行為パターン評価結果ＤＢ
【発明の属する技術分野】
本発明は、不正アクセス検知ログ情報分析支援装置、不正アクセス検知ログ情報分析支援方法及びコンピュータプログラムに係り、更に詳しくは、コンピュータネットワーク上で不正侵入者を検知する侵入検知装置から出力される検知ログを収集し、分析する分析支援装置に関する。
【０００２】
【従来の技術】
パソコン等の情報端末に対し不正侵入を試みるハッカー等と呼ばれる不正侵入者の脅威から、情報端末を守る手段の一つとして、不正アクセスを検知する侵入検知装置が従来から広く普及しており、この種の装置はＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）と呼ばれている。
【０００３】
例えば、特許文献１に開示された侵入検知装置は、パケット取得・選択手段が、特定のコンピュータネットワークを流れる所定のパケットの取得し選択し、ユーザデータ作成手段が、当該パケットから得られる情報に基づき、当該パケットを送信したユーザの個人的特徴を数値化した特徴データをユーザデータとして作成している。
【０００４】
また、前記特定のコンピュータネットワークにおける正規ユーザの個人的特徴を数値化した特徴データが、当該正規ユーザが過去に送信したパケットから得られた情報に基づいて作成され、監査データとして監査データ記憶部に記録され、ユーザ判定手段が、ユーザデータを監査データ記憶部に記録された監査データと比較し、当該ユーザデータに対応するユーザが、前記特定のコンピュータネットワークにおける正規ユーザであるか否かを判定している。
【０００５】
つまり、上記侵入検知装置は、パケット送信者の個人的特徴を数値化したユーザデータと、正規ユーザの個人的特徴を数値化した監査データとを用いて、不正侵入者による不正アクセスを検知するものである。この場合、ユーザの個人的特徴をどのように数値化し、ユーザデータと監査データをどのように比較するのかは、運用者が独自に判断する必要がある。
【０００６】
【特許文献１】
特開２００１−２０２３３３号公報
【０００７】
【発明が解決しようとする課題】
一般に、侵入検知装置において、過剰な情報を抽出すれば誤検知が含まれることになる一方（Ｆａｌｓｅ Ｐｏｓｉｔｉｖｅ）、過小な情報を抽出すれば検出漏れを生じることになる（Ｆａｌｓｅ Ｎｅｇａｔｉｖｅ）。このため、何を検知情報として抽出するのかは運用者の独自判断に依存し、運用者によって誤検知や検知漏れが多くなるという運用上の問題があった。
【０００８】
例えば、不正侵入行為と定義した文字列パターンを用いて、ネットワークパケット又はシステムログ等に対するマッチング処理を行って、不正アクセスを検知して警報を出力する場合、１回又は複数の侵入行為に対して多量の検知ログが得られることから、状況分析が必要となる。しかしながら、当該分析処理は、運用者の経験に頼る部分に大きいため、運用者によっては本質的な状況把握が困難なために、誤検知による誤警報が出力されやすいといった問題があった。
【０００９】
しかも、個々の運用者が侵入検知装置の出力する検知ログを独自分析しているため、その分析手法は継承され難く、ますます各運用者の経験及び能力に依存することになり、そのノウハウを蓄積し難いという問題点があった。その結果、運用者によって状況分析も異なり、誤検知が生じ易いという問題があった。
【００１０】
例えば、侵入者は自分の端末からダイレクトに攻撃するだけでなく、いくつかの踏み台端末を経由して行われることが少なくない。また、攻撃ツール等での侵入行為が自動化されている場合もあるが、検知事象間の関係は明示化されることはなかった。このため、踏み台とされている端末はどこからどこまでなのか、その侵入及び攻撃がどの段階まで進行しているのかを判断するのは、高度な分析能力を要するが、この判断は運用者の経験にのみ依存し、そのノウハウは蓄積し難いという問題点があった。
【００１１】
本発明は、上記の事情に鑑みてなされたものであり、運用者のノウハウを蓄積することができる不正アクセス検知ログ情報分析支援装置を提供することを目的とする。また、この様な分析支援装置に適用可能な不正アクセス検知ログ情報分析支援方法及びコンピュータプログラムを提供することを目的とする。
【００１２】
【課題を解決するための手段】本発明による不正アクセス検知ログ情報分析支援装置は、侵入検知装置から出力される複数の不正アクセス検知情報からなる検知ログ情報を収集し、収集された検知ログ情報のフォーマット変換を行うＩＤＳマネージャ部と、フォーマット変換された検知ログ情報を蓄積する検知ログ情報データベースと、不正アクセス検知情報に特徴的な検知事象を検知ログ情報データベースに蓄積された検知ログ情報から抽出し、侵入行為パターンを生成する侵入行為パターン作成部と、侵入行為パターン作成部により生成された侵入行為パターンを蓄積する侵入行為パターンデータベースと、侵入行為パターンを評価するためのパターン評価用パラメータを格納するパターン評価用パラメータデータベースと、検知ログ情報データベースに蓄積された検知ログ情報の侵入行為評価パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価部と、侵入行為パターン評価部による評価結果を蓄積する侵入行為パターン評価結果データベースとを備えて構成される。
【００１３】
また、本発明による不正アクセス検知ログ情報分析支援方法は、侵入検知装置から出力される複数の不正アクセス検知情報からなる検知ログ情報を収集し、収集された検知ログ情報のフォーマット変換を行うステップと、フォーマット変換された検知ログ情報を検知ログ情報データベースに蓄積するステップと、不正アクセス検知情報に特徴的な検知事象を検知ログ情報データベースに蓄積された検知ログ情報から抽出して侵入行為パターンを生成し、侵入行為パターンデータベースに蓄積する侵入行為パターン作成ステップと、検知ログ情報データベースに蓄積された検知ログ情報の侵入行為評価パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価ステップと、侵入行為パターン評価部による評価結果を侵入行為パターン評価結果データベースに蓄積するステップとを備える。
【００１４】
また、本発明によるコンピュータプログラムは、侵入検知装置から出力される複数の不正アクセス検知情報からなる検知ログ情報を収集し、収集された検知ログ情報のフォーマット変換を行うステップと、フォーマット変換された検知ログ情報を検知ログ情報データベースに蓄積するステップと、不正アクセス検知情報に特徴的な検知事象を検知ログ情報データベースに蓄積された検知ログ情報から抽出して侵入行為パターンを生成し、侵入行為パターンデータベースに蓄積する侵入行為パターン作成ステップと、検知ログ情報データベースに蓄積された検知ログ情報の侵入行為評価パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価ステップと、侵入行為パターン評価部による評価結果を侵入行為パターン評価結果データベースに蓄積するステップとを実行するように構成される。
【００１５】
この様な構成により、収集した検知ログ情報から侵入行為パターンを抽出して蓄積するとともに、侵入行為パターンを評価し、その評価結果を蓄積することができる。
【００１６】
【発明の実施の形態】
実施の形態１．
図１は、本発明の実施の形態１による不正アクセス検知ログ情報分析支援装置が適用されるコンピュータネットワークの一構成例を示したブロック図である。このコンピュータネットワークは、インターネットなどの外部ネットワーク６に接続されたＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）５により構成される。
【００１７】
ＬＡＮ５は、不正アクセス検知ログ情報分析支援サーバ１と、複数の端末装置２及び３と、ハブ（ＨＵＢ）４とにより構成される２系統のネットワーク５ａ，５ｂからなる。端末装置２（図中の端末Ａ）は、ホスト型のＩＤＳエージェントが搭載されたサーバ等の端末装置であり、端末装置３（図中の端末Ｂ）は、ネットワーク型のＩＤＳエージェント及びＩＤＳマネージャが搭載されたサーバ等の端末装置である。
【００１８】
ホスト型のＩＤＳエージェントとは、端末装置のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）及びアプリケーション・ソフトウエアが出力するシステムログ等のイベントデータに基づいて侵入検知を行うソフトウエアである。また、ネットワーク型のＩＤＳエージェントとは、ネットワーク上のパケットデータに基づいて侵入検知を行うソフトウエアである。
【００１９】
つまり、ＩＤＳエージェントが搭載された端末装置２，３は、不正アクセスを検知して検知ログを出力する侵入検知装置（ＩＤＳセンサー）である。また、ＩＤＳマネージャは、各ＩＤＳエージェントから出力される検知ログを収集するソフトウエアであり、ＩＤＳエージェントとは、別の端末に搭載されていてもよい。
【００２０】
ハブ４は、端末装置２，３を接続するための集線装置であり、複数のハブ４がカスケード接続され、各ハブ４に対し端末装置２，３を接続することができる。
各端末装置２及び３は、ハブ４を介してＬＡＮ５ａ（実線で示されたネットワーク）に接続され、ＬＡＮ５ａを介して更に外部ネットワーク６に接続される。
【００２１】
また、各端末装置２及び３は、ＬＡＮ５ａから独立し、外部ネットワーク６に接続されていないＬＡＮ５ｂ（破線で示されたネットワーク）にも接続されている。このＬＡＮ５ｂは、不正アクセス検知ログ情報分析支援サーバ１が接続されたＩＤＳ専用ラインである。不正アクセス検知ログ情報分析支援サーバ１は、各ＩＤＳエージェントで生成され、ＩＤＳマネージャが収集した検知ログについて、分析及び評価を行って、情報を蓄積している。
【００２２】
ここでは、インターネット６に接続された不正アクセス端末装置７から端末装置２，３を攻撃する場合の例について説明するが、本発明は、不正アクセス端末装置７がＬＡＮ５ａに接続されている場合にも適用することができる。
【００２３】
図２は、図１のコンピュータネットワークの要部について詳細な構成例を示したブロック図である。ＩＤＳエージェント部１０は、端末装置２に搭載されたホスト型のＩＤＳエージェントである。各ＩＤＳエージェント部１０は、イベントデータに対し、シグニチャー（Ｓｉｇｎａｔｕｒｅ）と呼ばれるデータベースを用いてパターンマッチングを行って、不正アクセスを検知し、検知ログデータを生成している。
【００２４】
ＩＤＳエージェント部１１は、端末装置３に搭載されたネットワーク型のＩＤＳエージェントである。各ＩＤＳエージェント部１１は、ネットワーク上のパケットデータに対し、ＩＤＳエージェント部１０と同様のパターンマッチングを行って、不正アクセスを検知し、検知ログデータを生成している。
【００２５】
ＩＤＳマネージャ部１２は、端末装置３に搭載され、検知ログの収集を行っている。ＩＤＳマネージャ部１２は、検知ログ格納部２０と、検知ログ情報変換部２１により構成される。複数の端末装置２，３内のＩＤＳエージェント１０，１１においてパターンマッチングで得られた検知ログは、ＩＤＳ専用ライン５ｂを介して、ＩＤＳマネージャ部１２に送られる。
【００２６】
ＩＤＳエージェント部１０，１１で生成される検知ログは、検知時刻、検知イベント（事象）名、検知イベント（事象）番号、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号、検知センサ名称等からなる。
【００２７】
これらの検知ログは、検知ログ格納部２０に一旦格納され、検知ログ情報変換部２１によりフォーマット変換が行われる。市販のＩＤＳエージェントが出力する検知ログのフォーマットは、製品ごとに異なる。例えば、検知イベント名で管理された検知ログが出力され、あるいは、検知イベント番号で管理された検知ログが出力される。検知ログ情報変換部２１は、これら種々のフォーマットからなる検知ログを不正アクセス検知ログ情報分析支援サーバ１において分析処理可能な統一フォーマットに変換している。
【００２８】
不正アクセス検知ログ情報分析支援サーバ１は、検知ログ情報分析支援データベース３０、検知ログ情報分析支援統制管理部２２、侵入行為パターン分析・作成部２３、侵入行為パターン表示・編集部２４、侵入行為パターン評価部２５、及び、侵入行為パターン評価結果表示部２６により構成される。
【００２９】
検知ログ情報分析支援データベース３０以外の各ブロック２２〜２６は、不正アクセス検知ログ情報分析支援サーバ１において実行可能なコンピュータプログラムとして実現され、これらのプログラムは、ＣＤ−ＲＯＭなどの光記憶媒体、磁気テープなどの磁気記憶媒体、半導体メモリ、その他のコンピュータ読取可能な記憶媒体に格納して提供することができる。
【００３０】
検知ログ情報分析支援データベース３０は、検知ログ情報ＤＢ（データベース）３１、ネットワーク構成情報ＤＢ（３２）、侵入行為パターンＤＢ（３３）、パターン評価用パラメータＤＢ（３４）、及び、侵入行為パターン評価結果ＤＢ（３５）により構成される。
【００３１】
検知ログ情報ＤＢ（３１）は、各ＩＤＳエージェント部１０，１１により生成され、ＩＤＳマネージャ部１２においてフォーマット変換された検知ログを蓄積するデータベースである。
【００３２】
ネットワーク構成情報ＤＢ（３２）は、予め与えられたネットワークの構成に関する種々の情報、例えば、ホスト名称、ＩＰアドレスなどをネットワーク構成情報として記憶保持するデータベースである。これらのネットワーク構成情報は、抽出された侵入行為パターンを評価する際、不正アクセスのあった場所等を特定するために使用される。
【００３３】
侵入行為パターンＤＢ（３３）は、検知ログ情報ＤＢ（３１）の検知ログに基づいて、侵入行為パターン分析・作成部２３により抽出された侵入行為パターンを蓄積するデータベースである。
【００３４】
パターン評価用パラメータＤＢ（３４）は、評価用パラメータを記憶保持しているデータベースである。これらの評価用パラメータは、侵入行為パターン評価部２５が侵入行為パターンを評価する際に必要となる評価処理のためのパラメータである。侵入行為パターン評価結果ＤＢ（３５）は、侵入行為パターン評価部２５による侵入行為パターンの評価結果が格納されるデータベースである。
【００３５】
検知ログ情報分析支援統制管理部２２は、侵入行為パターン分析・作成部２３、侵入行為パターン表示・編集部２４、侵入行為パターン評価部２５、及び、侵入行為パターン評価結果表示部２６と、ＩＤＳマネージャ部１２の検知ログ情報変換部２１の制御を行っている。
【００３６】
侵入行為パターン分析・作成部２３は、検知ログ情報を分析し、当該侵入行為に対する特徴的な検知事象を抽出するとともに、抽出された検知事象群について侵入行為パターンを生成し、侵入行為パターンＤＢ（３３）に蓄積している。この侵入行為パターンは、ＩＤＳエージェントにより収集された検知事象の種類、順序及び相対的な検知時刻により構成される。
【００３７】
侵入行為パターンが生成される検知ログ情報は、ホスト型のＩＤＳエージェント部１０により生成された検知ログ情報であってもよいし、ネットワーク型のＩＤＳエージェント部１１により生成された検知ログ情報であってもよい。また、ホスト型及びネットワーク型のＩＤＳエージェント部１０及び１１により生成された検知ログ情報を組み合わせて使用することもできる。
【００３８】
検知時刻については、誤差を考慮して、統計的な情報処理が行われ、平均、標準偏差（分散）などの統計的情報を含めた侵入行為パターンが生成される。すなわち、検知ログ情報を分類し、時系列的に整理して、統計分析を実施した結果、不正アクセスの特徴と思われる検知事象群が抽出され、侵入行為パターンが生成される。上記の統計的処理は、市販ツールにより実現可能である。
【００３９】
一般に、不正アクセスは、単発で行われることは少なく、繰り返しパラメータを変えて行われ、あるいは複合的に行われる場合が多い。このため、不正アクセスは複数回行われることが多く、この様な場合、ＩＤＳエージェントは複数のイベント情報を検知することになる。ところが、ＩＤＳエージェントの検知情報には、誤検知された不正アクセス以外のイベント情報も含まれるため、不正アクセスがあった場合に、どの様なイベントがどの様な順序で発生するのかを調べることによって、不正アクセスを認識することが可能となる。
【００４０】
図３は、侵入行為パターンについての説明図である。図中（ａ）は検知ログ情報の一例を示した図である。ＩＤＳエージェント部１０，１１において検知事象としてイベントｅ１〜ｅ５が検知され、それぞれの検知時刻（例えば不正侵入パケットの到来時刻）がｔ０〜ｔ４であったとする。図中の（ｂ）は、このとき侵入行為パターン分析・作成部２３により生成される侵入行為パターンの一例を示した図である。
【００４１】
侵入行為パターンは、相対的な検知時刻△ｔ１〜△ｔ４及びイベントｅ１〜ｅ５の種類及び順序からなる。相対的な検知時刻△ｔ１〜△ｔ４は、一連の検知事象ｅ１〜ｅ５の時間間隔であり、１つ前の検知事象の検知時刻に対する相対的な検知時刻として与えられる。すなわち、各検知事象ｅ２〜ｅ５の検知時刻を△ｔ１〜△ｔ４としており、△ｔｎ＝ｔｎ−ｔ（ｎ−１）（ｎ＝１〜４）と表される。
【００４２】
なお、到来時刻が同一のイベントを侵入行為パターンとして抽出（選択）することも可能であるものとする。また、侵入行為パターンを抽出する単位をユニットと定義し、同一順列の侵入行為パターンは複数ユニットを蓄積可能とし、統計的な情報処理（例えば平均）を行うものとする。
【００４３】
侵入行為パターン表示・編集部２４は、侵入行為パターンＤＢ（３３）の侵入行為パターンを図示しない表示装置に表示する。 例えば、検知情報を時系列で表示し、また、任意の区間、ＩＰアドレス、ポート番号、種類で検索可能とする。更に、ＩＰアドレスごとに種類別頻度表示、検知情報ごとの頻度表示、侵入行為パターン比較を可能とする時系列表示などを行う。
【００４４】
また、侵入行為パターンＤＢ（３３）の侵入行為パターンの編集、例えば侵入行為パターンの修正やマージ（結合）などを行って、再び侵入行為パターンＤＢ（３３）へ書き込む。このため、運用者（オペレータ）は、侵入行為パターンＤＢ（３３）内に蓄積された侵入行為パターンを参照し、編集することができる。
【００４５】
侵入行為パターン評価部２５は、検知ログ情報ＤＢ（３１）に蓄積された検知事象（イベント）について、侵入行為パターンＤＢ（３３）内の侵入行為パターンとのマッチング処理を行って、各侵入行為パターンに対する評価を行っている。この侵入行為パターン評価は、パターン評価用パラメータＤＢ（３４）内の評価用パラメータを用いて、マッチング処理で求められた両者の相関度を評価することによって行われる。評価結果は侵入行為パターン評価結果ＤＢ（３５）に蓄積される。
【００４６】
図４及び図５は、侵入行為パターン評価部２５における評価処理についてその概念を示した説明図である。図４の（ａ）には、検知ログ情報の一例が示され、図４の（ｂ）には、侵入行為パターンの一例が示されている。検知ログ情報と、侵入行為パターンとのマッチング処理は、検知事象の順列及び相対的な検知時刻の２要素に関して行われる。すなわち、検知事象ごとの順列及び相対時刻について相互相関をとり、得られた各相関度に基づいて侵入行為パターンとの相関度が求められる。
【００４７】
ＩＤＳエージェント部１０，１１により検知され、検知ログ情報ＤＢ（３１）に蓄積された検知事象ｅ１〜ｅ５の相対的な検知時刻を△ｔ１’〜△ｔ４’とする。これらの検知時刻△ｔ１’〜△ｔ４’について、侵入行為パターンにおける相対的な検知時刻△ｔ１〜△ｔ４の平均値との相互相関をとる。
【００４８】
図５は、相互相関を求める方法の一例が示された図である。侵入行為パターン及び検知ログにおいて対応する検知事象の相関度は、両者の相対的な検知時刻の差分を所定の分布関数における確率に変換した数値として求められる。図５には、中央値△ｔｎ、標準偏差σの正規分布における分布確率Ｐｎ（ｘ）の例が示されている。当該分布の中央値△ｔｎ（ｎ＝１〜４）及び標準偏差σは、侵入行為パターンとして与えられる。
【００４９】
対応する検知事象について、侵入行為パターンにおける検知時刻（平均値）を△ｔｎ、検知ログにおける検知時刻を△ｔｎ’とすれば、検知時刻のずれ△ｔｎ−△ｔｎ’に基づく確率がＰｎ（△ｔｎ’）として得られる。
【００５０】
一連の各検知事象ｅ１〜ｅ５について相互相関を求め、これらの相関値に基づいて侵入行為パターンとの相関度が求められる。例えば、次式に示すようにＮ個の各検知事象ごとの相関度Ｐｉ（△ｔｉ）の平均値として侵入行為パターンとの相関度が求められる。
【数１】
図６は、評価用パラメータの一例の概要を示した図である。評価用パラメータを用いて、侵入行為パラメータとの相関度が求められ、その相関度が評価される。この評価結果は、侵入行為パターン評価結果として、侵入行為パターン評価結果ＤＢ（３５）に格納される。
【００５２】
評価用パラメータは、評価対象範囲、ＩＰ同一モード及び評価基準値からなる。評価対象範囲は、検知事象ごとの各平均時刻（相対的な検知時刻の平均値）から相関処理対象を判断する基準範囲であり、標準偏差を単位とする。この値を下回った場合は、侵入行為パターンと断定できるほどの相関がないと判断する。すなわち、ＩＤＳエージェント部１０，１１により検知され、検知ログ情報ＤＢ（３１）に蓄積された検知事象ｅ１〜ｅ５の相対的な検知時刻△ｔ０’〜△ｔ４’の最大値を示している。
【００５３】
ＩＰ同一モードは、評価処理の実施対象を同一ターゲットＩＰのみとするモードである。ＩＰ同一モードを指定した場合、相関処理対象のイベントでも、異なるターゲットＩＰの場合は、相関処理を実施しない。すなわち、検知ログ情報の送信元（ターゲット）ＩＰが、Ｐ１〜Ｐｎまで同一であることの条件を追加している。
【００５４】
評価基準値は、評価処理における有意判定の基準値である。この値を下回った場合は、侵入行為パターンと断定できるほどの評価がないと判断する。すなわち、上式（１）により求められた相関度（マッチング率、最終確率値）の侵入行為パターンに対する有意判定の基準値が示されている。
【００５５】
侵入行為パターン評価結果表示部２６は、侵入行為パターン評価結果ＤＢ（３５）の侵入行為パターン評価結果を図示しない表示装置に表示する。このため、運用者（オペレータ）は、侵入行為パターン評価結果ＤＢ（３５）内に蓄積された侵入行為パターン評価結果を参照して、各侵入行為パターンの検証を行うことができる。この場合、必要に応じて、ネットワーク構成情報ＤＢ（３２）を参照し、侵入行為パターン評価結果とともに、当該侵入行為が検知された場所等を表示してもよい。
【００５６】
この様にして、侵入行為パターンを侵入行為パターンＤＢ（３３）に蓄積するとともに、侵入行為パターン評価結果を侵入行為パターン評価結果ＤＢ（３５）に蓄積することにより、侵入行為パターン評価結果に基づいて侵入行為パターンを検証し、必要に応じて侵入行為パターンを編集することができる。
【００５７】
このため、侵入行為パターンを向上させることができ、運用者のノウハウを蓄積することができる。すなわち、多数の検知情報からなる検知ログに対する統計的な情報処理は、市販ツールによっても可能であるが、ここでは、その結果を侵入行為パターンとして評価し管理しているため、ノウハウとして蓄積することができる。
【００５８】
また、踏み台とされている端末装置２，３についても、当該踏み台を含めた一連の不正アクセスについて侵入行為パターンを作成すれば、検知することができる。
【００５９】
なお、本実施の形態による不正アクセス検知ログ情報分析支援サーバは、各ＩＤＳエージェントの出力する検知ログに基づいて侵入行為パターンを生成し、評価している。このため、オンライン、オフラインにかかわらず動作させることができる。すなわち、オフライン・モードでは、事前に収集した検知ログ情報に対して、侵入行為パターンを評価し、オンライン・モードでは、収集中の検知ログ情報に対して、侵入行為パターンを評価する。
【００６０】
実施の形態２． 実施の形態１では、侵入行為パターンの各検知事象の検知時刻として、直前の検知事象に対する相対的な検知時刻を用いる場合の例について説明した。これに対し、実施の形態２では、侵入行為パターンを構成する最初の検知事象の検知時刻に対する相対的な検知時刻を用いる場合について説明する。
【００６１】
図７は、本発明の実施の形態２における侵入行為パターンについての説明図である。図中の（ａ）は検知ログ情報の一例を示した図である。ＩＤＳエージェント部１０，１１において検知事象としてイベントｅ１〜ｅ５が検知され、それぞれの検知時刻（例えば不正侵入パケットの到来時刻）がｔ０〜ｔ４であったとする。図中の（ｂ）は、このとき侵入行為パターン分析・作成部２３により生成される侵入行為パターンの一例を示した図である。
【００６２】
相対的な検知時刻△ｔ１〜△ｔ４は、一連の検知事象ｅ１〜ｅ５の時間間隔であり、本実施の形態では、最初の検知事象ｅ１の検知時刻に対する各検知事象ｅ２〜ｅ５の相対的な検知時刻を△ｔ１〜△ｔ４としており、△ｔｎ＝ｔｎ−ｔ０（ｎ＝１〜４）と表される。
【００６３】
図８は、侵入行為パターン評価部２５における評価処理についてその概念を示した説明図である。図８の（ａ）には、検知ログ情報の一例が示され、図８の（ｂ）には、侵入行為パターンの一例が示されている。検知ログ情報と、侵入行為パターンとのマッチング処理は、実施の形態１と全く同様にして、検知事象の順列及び相対的な検知時刻の２要素に関して行われる。
【００６４】
実施の形態３． 実施の形態１では、侵入行為パターンとの相関度を求める際、正規分布における分布確率を用いる場合の例について説明したが、本発明は、この様な場合に限定されない。例えば、正規分布に代えて、指数分布、γ分布、χ（カイ）２乗分布、β分布、Ｆ分布、ｔ分布などを用いて侵入行為パターンとの相関度を求めることもできる。
【００６５】
実施の形態４． 本実施の形態では、本発明の他の適用例について説明する。図９は、本発明の実施の形態４による不正アクセス検知ログ情報分析支援装置が適用されるコンピュータネットワークの一構成例を示したブロック図である。このネットワークは、遠隔地に設置された３つのＬＡＮ４０〜４２をインターネット４３又は専用線４４により接続して構成される。ここでは、ＬＡＮ４０が本社、ＬＡＮ４１が支社Ａ、ＬＡＮ４２が支社Ｂにそれぞれ設置されたネットワークであるものとする。
【００６６】
各ＬＡＮ４０〜４２は、それぞれがルータ５０、ファイアウォール装置５１、侵入検知装置（ＩＤＳ）５２及び複数の端末装置５３により構成される。また、ＬＡＮ４０は、更にネットワーク統括管理装置５４を備えている。各ＬＡＮ４０〜４２は、ルータ５０を介してインターネット４３又は専用線４４に接続されている。また、ルータ５０及び各端末装置５３の間にファイアウォール装置５１を設置して、外部から各端末装置５３への不正侵入を抑制している。
【００６７】
侵入検知装置５２は、図１におけるＩＤＳエージェントが搭載された端末装置２，３に相当する装置である。侵入検知装置５２は、各ＬＡＮ４０〜４２内のファイアウォール装置５１の外側の通信経路５１Ａにおいて、外部から内部への侵入を検知するとともに、ファイアウォール装置５１の内側の通信経路５１Ｂにおいて、内部から外部への出力を検知し、検知ログを生成している。この様にして各ＬＡＮ４０〜４２の侵入検知装置５２により生成された検知ログは、本社のＬＡＮ４０内のネットワーク統括管理装置５４へ送信される。
【００６８】
また、ネットワーク統括管理装置５４は、図１の不正アクセス検知ログ情報分析支援サーバ１に相当する装置である。ネットワーク統括管理装置５４は、各侵入検知装置５２から受信した検知ログ情報に基づいて、侵入行為パターンを生成するとともに、侵入行為パターンの評価を行っている。
【００６９】
この場合、本社及び各支社ごとに１つの侵入検知装置５２を設け、ファイアウォール装置５１の前後で不正アクセスを検知するとともに、これらの検知ログを分析するネットワーク統括管理装置５４が本社にのみ設けられている。このため、少ない侵入検知装置５２及び不正アクセス検知ログ情報分析支援サーバを用いて効率的に侵入検知と、検知ログ情報の分析支援を行うことができる。
【００７０】
図１０は、ネットワーク統括管理装置５４における表示の一例を示した図である。侵入検知の通知を行った侵入検知装置５２の所在地が、ネットワーク統括管理装置５４の画面上に表示される。ここでは、ＬＡＮ４１（支社Ａ）において侵入検知された場合の例が示されている。この様な位置情報は、図２のネットワーク構成情報ＤＢ（３２）に格納されている。
【００７１】
【発明の効果】本発明によれば、収集した検知ログ情報から侵入行為パターンを抽出して蓄積するとともに、侵入行為パターンを評価し、その評価結果を蓄積することができるため、運用者のノウハウを蓄積することができる。
【図面の簡単な説明】
【図１】本発明の実施の形態１による不正アクセス検知ログ情報分析支援装置が適用されるコンピュータネットワークの一構成例を示したブロック図である。
【図２】図１のコンピュータネットワークの要部について詳細な構成例を示したブロック図である。
【図３】侵入行為パターンについての説明図である。
【図４】侵入行為パターン評価部２５における評価処理についてその概念を示した説明図である。
【図５】相互相関を求める方法の一例が示された図である。
【図６】評価用パラメータの一例の概要を示した図である。
【図７】本発明の実施の形態２における侵入行為パターンについての説明図である。
【図８】侵入行為パターン評価部２５における評価処理についてその概念を示した説明図である。
【図９】本発明の実施の形態４による不正アクセス検知ログ情報分析支援装置が適用されるコンピュータネットワークの一構成例を示したブロック図である。
【図１０】ネットワーク統括管理装置における表示の一例を示した図である。
【符号の説明】
１ 不正アクセス検知ログ情報分析支援サーバ、
１０ 侵入検知部（ホスト型）、１１ 侵入検知部（ネットワーク型）、
１２ ＩＤＳマネージャ部、２１ 検知ログ情報変換部、
２２ 検知ログ情報分析支援統制管理部、
２３ 侵入行為パターン分析・作成部、
２４ 侵入行為パターン表示・編集部、２５ 侵入行為パターン評価部、
２６ 侵入行為パターン評価結果表示部、
３０ 検知ログ情報分析支援データベース部、３１ 検知ログ情報ＤＢ、
３２ ネットワーク構成情報ＤＢ、３３ 侵入行為パターンＤＢ、
３４ パターン評価用パラメータＤＢ、
３５ 侵入行為パターン評価結果ＤＢ
Claims (9)
- 侵入検知装置から出力される複数の不正アクセス検知情報からなる検知ログ情報を収集し、収集された検知ログ情報のフォーマット変換を行うＩＤＳマネージャ部と、
フォーマット変換された検知ログ情報を蓄積する検知ログ情報データベースと、
不正アクセス検知情報に特徴的な検知事象を検知ログ情報データベースに蓄積された検知ログ情報から抽出し、侵入行為パターンを生成する侵入行為パターン作成部と、
侵入行為パターン作成部により生成された侵入行為パターンを蓄積する侵入行為パターンデータベースと、
侵入行為パターンを評価するためのパターン評価用パラメータを格納するパターン評価用パラメータデータベースと、
検知ログ情報データベースに蓄積された検知ログ情報の侵入行為パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価部と、
侵入行為パターン評価部による評価結果を蓄積する侵入行為パターン評価結果データベースとを備えたことを特徴とする不正アクセス検知ログ情報分析支援装置。 - 上記侵入行為パターンが、複数の不正アクセス検知情報の順序及び相対的検知時刻からなることを特徴とする請求項１に記載の不正アクセス検知ログ情報分析支援装置。
- 上記相対的検知時刻は、侵入行為パターンを構成する各検知事象の検知時刻について、直前に検知された検知事象の検知時刻に対する時間間隔として求められることを特徴とする請求項２に記載の不正アクセス検知ログ情報分析支援装置。
- 上記相対的検知時刻は、侵入行為パターンを構成する各検知事象の検知時刻について、最初の検知事象の検知時刻に対する時間間隔として求められることを特徴とする請求項２に記載の不正アクセス検知ログ情報分析支援装置。
- 上記侵入行為パターン評価部は、検知ログ情報及び侵入行為評価パターンにおける相対的検知時刻のずれを所定の分布関数における分布確率に変換した相関度を求めることを特徴とする請求項４に記載の不正アクセス検知ログ情報分析支援装置。
- 上記ＩＤＳマネージャ部が、２以上の侵入検知装置から出力される検知ログ情報を収集することを特徴とする請求項１に記載の不正アクセス検知ログ情報分析支援装置。
- 上記ＩＤＳマネージャ部が、ホスト型侵入検知装置及びネットワーク型侵入検知装置から出力される検知ログ情報を収集することを特徴とする請求項６に記載の不正アクセス検知ログ情報分析支援装置。
- 侵入検知装置から出力される複数の不正アクセス検知情報からなる検知ログ情報を収集し、収集された検知ログ情報のフォーマット変換を行うステップと、
フォーマット変換された検知ログ情報を検知ログ情報データベースに蓄積するステップと、
不正アクセス検知情報に特徴的な検知事象を検知ログ情報データベースに蓄積された検知ログ情報から抽出して侵入行為パターンを生成し、侵入行為パターンデータベースに蓄積する侵入行為パターン作成ステップと、
検知ログ情報データベースに蓄積された検知ログ情報の侵入行為評価パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価ステップと、
侵入行為パターン評価部による評価結果を侵入行為パターン評価結果データベースに蓄積するステップとを備えたことを特徴とする不正アクセス検知ログ情報分析支援方法。 - 侵入検知装置から出力される複数の不正アクセス検知情報からなる検知ログ情報を収集し、収集された検知ログ情報のフォーマット変換を行うステップと、
フォーマット変換された検知ログ情報を検知ログ情報データベースに蓄積するステップと、
不正アクセス検知情報に特徴的な検知事象を検知ログ情報データベースに蓄積された検知ログ情報から抽出して侵入行為パターンを生成し、侵入行為パターンデータベースに蓄積する侵入行為パターン作成ステップと、
検知ログ情報データベースに蓄積された検知ログ情報の侵入行為評価パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基づいて、侵入行為パターンを評価する侵入行為パターン評価ステップと、
侵入行為パターン評価部による評価結果を侵入行為パターン評価結果データベースに蓄積するステップとを実行することを特徴とするコンピュータプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003007551A JP2004220373A (ja) | 2003-01-15 | 2003-01-15 | 不正アクセス検知ログ情報分析支援装置、不正アクセス検知ログ情報分析支援方法及びコンピュータプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003007551A JP2004220373A (ja) | 2003-01-15 | 2003-01-15 | 不正アクセス検知ログ情報分析支援装置、不正アクセス検知ログ情報分析支援方法及びコンピュータプログラム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004220373A true JP2004220373A (ja) | 2004-08-05 |
Family
ID=32897616
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003007551A Pending JP2004220373A (ja) | 2003-01-15 | 2003-01-15 | 不正アクセス検知ログ情報分析支援装置、不正アクセス検知ログ情報分析支援方法及びコンピュータプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2004220373A (ja) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005236862A (ja) * | 2004-02-23 | 2005-09-02 | Kddi Corp | ログ分析装置、ログ分析プログラムおよび記録媒体 |
| EP2950228A1 (en) | 2014-05-28 | 2015-12-02 | Fujitsu Limited | Authentication information theft detection method, authentication information theft detection device, and program for the same |
| KR101767454B1 (ko) * | 2015-11-12 | 2017-08-14 | 주식회사 엔젠소프트 | 다양한 웹 서비스 환경에서 사용자의 행위 패턴 분석을 통한 이상행위 탐지 방법과 그를 위한 장치 |
| US9819691B2 (en) | 2014-12-26 | 2017-11-14 | Fujitsu Limited | Network monitoring system and method |
-
2003
- 2003-01-15 JP JP2003007551A patent/JP2004220373A/ja active Pending
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005236862A (ja) * | 2004-02-23 | 2005-09-02 | Kddi Corp | ログ分析装置、ログ分析プログラムおよび記録媒体 |
| EP2950228A1 (en) | 2014-05-28 | 2015-12-02 | Fujitsu Limited | Authentication information theft detection method, authentication information theft detection device, and program for the same |
| US9819691B2 (en) | 2014-12-26 | 2017-11-14 | Fujitsu Limited | Network monitoring system and method |
| KR101767454B1 (ko) * | 2015-11-12 | 2017-08-14 | 주식회사 엔젠소프트 | 다양한 웹 서비스 환경에서 사용자의 행위 패턴 분석을 통한 이상행위 탐지 방법과 그를 위한 장치 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6703613B2 (ja) | データストリームにおける異常検出 | |
| CN111935172B (zh) | 基于网络拓扑的网络异常行为检测方法、计算机装置及计算机可读存储介质 | |
| KR101007899B1 (ko) | 네트워크 보안 시스템에서의 패턴 발견 | |
| KR101538709B1 (ko) | 산업제어 네트워크를 위한 비정상 행위 탐지 시스템 및 방법 | |
| JP6201614B2 (ja) | ログ分析装置、方法およびプログラム | |
| EP2517437B1 (en) | Intrusion detection in communication networks | |
| US20080148398A1 (en) | System and Method for Definition and Automated Analysis of Computer Security Threat Models | |
| JP2018533897A5 (ja) | ||
| US20060259968A1 (en) | Log analysis system, method and apparatus | |
| US20080141332A1 (en) | System, method and program product for identifying network-attack profiles and blocking network intrusions | |
| WO2003100619A1 (fr) | Dispositif, programme et procede de detection d'acces non autorise | |
| CN112184091A (zh) | 工控***安全威胁评估方法、装置和*** | |
| CN112671767A (zh) | 一种基于告警数据分析的安全事件预警方法及装置 | |
| CN117375985A (zh) | 安全风险指数的确定方法及装置、存储介质、电子装置 | |
| JP2019036865A (ja) | 通信解析装置、通信解析プログラム、及び通信解析方法 | |
| JP2004186878A (ja) | 侵入検知装置及び侵入検知プログラム | |
| CN118018229A (zh) | 基于大数据的网络威胁检测方法 | |
| CN113645215A (zh) | 异常网络流量数据的检测方法、装置、设备及存储介质 | |
| JP2004220373A (ja) | 不正アクセス検知ログ情報分析支援装置、不正アクセス検知ログ情報分析支援方法及びコンピュータプログラム | |
| EP2911362B1 (en) | Method and system for detecting intrusion in networks and systems based on business-process specification | |
| CN114006719B (zh) | 基于态势感知的ai验证方法、装置及*** | |
| CN115801307A (zh) | 一种利用服务器日志进行端口扫描检测的方法和*** | |
| CN111767571B (zh) | 一种医疗数据泄露的检测方法 | |
| JP4487291B2 (ja) | 監視結果記録システム、共通ログ生成装置、及びプログラム | |
| CN112511545A (zh) | 一种工业审计***中安全事件上报的方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050107 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070123 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20070522 |