JP6497268B2 - 管理プログラム、管理装置及び管理方法 - Google Patents

Description

本発明は、管理プログラム、管理装置及び管理方法に関する。

コンピュータセキュリティに関する脅威の増大に対し、セキュリティインシデントの検知から対処までを自動化する取り組みがある。例えば、セキュリティインシデントを検知するセキュリティ検知製品と、運用管理操作を自動で行う運用管理フローとを組み合わせる手法がある。このような自動化手法では、セキュリティ検知製品によって検知されるアラート情報を事前に想定し、想定したアラートが通知された場合に行う対処処理を自動化フローとして定義しておく。これによって、セキュリティ検知製品がセキュリティインシデントを検知してアラートを通知したとき、対処処理が自動的に開始され、迅速なセキュリティインシデント対応が可能となる。

ところで、セキュリティ検知製品は、疑わしいと判断した全ての情報を通知するため、アラート情報には対処が不要な誤検知されたアラートが含まれる場合がある。そこで、発生したアラートの重要度、このアラートを示すオブジェクトの相対的な重要性などを処理基準としたフィルタを設け、アラート情報から誤検知されたアラートを除外する技術がある。

特開２０１４−１０６６７号公報 特表２００４−５３５６２４号公報

従来の自動化手法では、アラート情報が誤検知であるか否かの判定基準は、管理者が管理対象のコンピュータに発生するアラートの内容を想定して事前に定義していた。しかしながら、事前に管理対象のコンピュータにおいて実行される処理を調査し、検知され得るアラートを想定して判定基準を定義するのは容易ではない。また、管理対象のコンピュータに実行させる処理に変更が生じた場合、判定基準の再定義が必要となる。このように判定基準の定義には煩雑な作業を要し、精度の維持には随時の更新を行わなければならないため、判定基準の精度の向上は容易ではない。

一側面では、本発明は、アラート情報の誤検知判定精度を向上させることを目的とする。

一態様では、コンピュータに、処理の実行指示を受信した情報処理装置が該処理を実行する際に生成した第１のプロセスまたは実行した第１のコマンドに関する実行情報を取得し、情報処理装置において所定の事象が発生したときに情報処理装置で生成されていた第２のプロセスに関する情報、または、所定の事象が発生したときに情報処理装置で実行されていた第２のコマンドに関する情報、を含むアラート情報の受信に応じ、実行情報とアラート情報とに基づいて、第２のプロセスまたは第２のコマンドが処理の実行指示に応じて生成または実行されたものか否かを判定し、該判定結果と情報処理装置への処理の実行指示のスケジュールとに基づいて、アラート情報をフィルタリングする、処理を実行させる管理プログラム、が提供される。

一態様によれば、アラート情報の誤検知判定精度を向上させることができる。

第１の実施の形態に係る管理装置の一例を示す図である。 第２の実施の形態のシステム構成例を示す図である。 本実施の形態に用いる管理サーバのハードウェアの一構成例を示す図である。 管理サーバの機能を示すブロック図である。 実行予定処理リスト生成処理における情報の流れを示す図である。 運用管理履歴情報の一例を示す図である。 プロセス情報の一例を示す図である。 スケジュール情報の一例を示す図である。 実行予定処理リストの一例を示す図である。 管理処理の手順を示す図である。 実行予定処理リスト生成処理の手順を示す図である。 コマンド判定情報生成処理の手順を示す図である。 フィルタリング処理における情報の流れを示す図である。 フィルタリング処理の手順を示す図である。 運用管理処理によってセキュリティアラートが発生するケースの一例を示す図である。 マルウェアによってセキュリティアラートが発生するケースの一例を示す図である。

以下、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
図１は、第１の実施の形態に係る管理装置の一例を示す図である。管理装置１は、管理部１ａと、記憶部１ｂと、フィルタリング部１ｃと、を有し、情報処理装置２の運用管理を行う。情報処理装置２は、所定のアプリケーション処理を実行する。管理装置１及び情報処理装置２は、例えば、コンピュータである。セキュリティ検知プログラム３は、情報処理装置２を監視し、不正なアクセス、不正な通信先へのファイル転送、不正なアプリケーションの起動などのセキュリティインシデントの発生を検知する。そして、セキュリティインシデントを検知したときは、その事象を示すアラート情報１３ａを管理装置１に送信する。アラート情報１３ａには、例えば情報処理装置２において所定の事象が発生したときに情報処理装置２で生成されていたプロセスに関する情報、または所定の事象が発生したときに情報処理装置２で実行されていたコマンドに関する情報が含まれる。セキュリティ検知プログラム３は、管理装置１または情報処理装置２に実装されてもよいし、他の装置に実装されるとしてもよい。管理装置１の各部について説明する。

管理部１ａには、予め実行する運用管理の処理手順が定義されている。運用管理処理には、例えば、情報処理装置２のプロセスの状態確認、保持するファイル内容の確認やバックアップがある。管理部１ａは、スケジュール１２に設定される工程に従って決められた運用管理処理を起動し、情報処理装置２にコマンドを出力して処理を実行させる。また、情報処理装置２がこの処理を実行したときのプロセスやコマンドなど、処理実行時に採取される実行情報１１を情報処理装置２から取得する。管理部１ａは、取得した実行情報１１を記憶部１ｂに格納する。記憶部１ｂは、実行情報１１と、スケジュール１２を記憶する。

フィルタリング部１ｃは、セキュリティ検知プログラム３からアラート情報１３ａを受信し、実行情報１１とスケジュール１２とに基づくフィルタリング処理を行う。例えばフィルタリング部１ｃは、アラート情報１３ａを受信すると、実行情報１１とアラート情報１３とに基づいて、アラート情報１３ａに示されるプロセスまたはコマンドが、処理の実行指示に応じて生成または実行されたものか否かを判定する。そしてフィルタリング部１ｃは、その判定結果と情報処理装置２への処理の実行指示のスケジュール１２とに基づいて、アラート情報１３ａをフィルタリングする。セキュリティ検知プログラム３は、疑わしいと判断した全ての事象をアラート情報１３ａとして通知する。しかしながら、例えば、ファイル転送処理が外部装置やマルウェアの指示によって行われたのであれば、セキュリティインシデントであるが、管理装置１からの指示によって行われたものであれば、セキュリティインシデントではない。セキュリティ検知プログラム３では、管理装置１からの指示による処理であるかどうかを判断できないため、いずれの場合もアラート情報１３ａとして通知する。フィルタリング部１ｃでは、アラート情報１３ａが管理装置１からの指示による処理について検知されたものであるかどうかを判定し、フィルタリング処理を行う。管理装置１からの指示による処理について検知されたと判定した場合は、アラート情報１３ａは誤検知であると見なして破棄する。一方、管理装置１からの指示による処理について検知されたものでないと判定した場合は、誤検知ではないと確定し、確定アラート情報１３ｂを出力する。

具体的には、フィルタリング部１ｃは、記憶部１ｂに記憶される実行情報１１とスケジュール１２を読み出し（Ｓ０１）、実行情報１１とスケジュール１２に基づいて実行予定のコマンドまたはプロセスを抽出しておく（Ｓ０２）。抽出した実行予定のコマンドまたはプロセスは、フィルタリング処理の判定基準に用いる。ここまでの処理は、事前に行っておくとしてもよい。フィルタリング部１ｃは、アラート情報１３ａに含まれるセキュリティインシデントを検知した情報処理装置２のコマンドまたはプロセスを判定基準と照合し、誤検知ではないと確定した確定アラート情報１３ｂを出力するフィルタリング処理を行う（Ｓ０３）。

このように、管理装置１は、情報処理装置２において実行された処理に関する実行情報１１と、スケジュール１２とに基づく判定基準を設定する。そして、情報処理装置２のアラート情報１３ａを受信したときは、アラート情報１３ａが誤検知であるか否かを判定し、誤検知ではないと確定した確定アラート情報１３ｂを出力する。対象の情報処理装置２で実際に生成されたプロセスやコマンドに基づいてアラート情報１３ａの誤検知判定を行うので、アラート情報１３ａの誤検知判定精度を向上させることができる。

［第２の実施の形態］
次に第２の実施の形態について説明する。第２の実施の形態は、各種業務を行う業務サーバを管理する管理サーバを有するものである。

図２は、第２の実施の形態のシステム構成例を示す図である。ネットワーク４０ａには、管理サーバ１０と、業務サーバ２０ａ，２０ｂと、業務サーバ２０ａ，２０ｂのセキュリティ状態を監視するセキュリティ検知装置３０と、が接続されている。また、業務サーバ２０ａ，２０ｂは、ネットワーク４０ｂを介してユーザ端末５０ａ，５０ｂと接続する。

管理サーバ１０は、ネットワーク４０ａを介して業務サーバ２０ａ，２０ｂと、セキュリティ検知装置３０と、に接続する。管理サーバ１０は、業務サーバ２０ａ，２０ｂの運用管理を行うサーバであり、予め決められた手順によって業務サーバ２０ａ，２０ｂに運用管理処理の実行を指示する。管理サーバ１０は、管理装置１の一実施形態である。

業務サーバ２０ａ，２０ｂは、所定の業務を行うサーバであり、例えば、ユーザ端末５０ａ，５０ｂとの間で通信を行って業務を遂行する。業務サーバ２０ａ，２０ｂは、情報処理装置２の一実施形態である。

セキュリティ検知装置３０は、業務サーバ２０ａ，２０ｂを監視し、業務サーバ２０ａ，２０ｂにセキュリティインシデントを検知したときは、アラート情報を管理サーバ１０に送信する。セキュリティ検知装置３０は、例えば、セキュリティ検知プログラム３を実装するコンピュータである。セキュリティ検知装置３０は、業務サーバ２０ａ，２０ｂと、ユーザ端末５０ａ，５０ｂや他の業務サーバなど外部機器との間の通信を監視する。そして、業務サーバ２０ａ，２０ｂへの不正なアクセスや業務サーバ２０ａ，２０ｂからの不正なデータ送出など、不正利用の疑いがある通信をセキュリティインシデントと見なし、管理サーバ１０にアラート情報を送信する。

ユーザ端末５０ａ，５０ｂは、利用者が所望する情報を業務サーバ２０ａ，２０ｂから取得して表示を行うなど、業務サーバ２０ａ，２０ｂと協働して所定の処理を行う。
なお、図２では、セキュリティ検知装置３０を介してネットワーク４０ａとネットワーク４０ｂとが接続する構成を示しているが、上記の機器がすべて同一のネットワークに接続する構成であってもよい。また、独立したセキュリティ検知装置３０を設けなくてもよく、例えば、管理サーバ１０または業務サーバ２０ａ，２０ｂにおいてセキュリティ検知処理を行うとしてもよい。

図３は、本実施の形態に用いる管理サーバのハードウェアの一構成例を示す図である。管理サーバ１０は、プロセッサ１０１によって装置全体が制御されている。プロセッサ１０１には、バス１０９を介してメモリ１０２と複数の周辺機器が接続されている。プロセッサ１０１は、マルチプロセッサであってもよい。プロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、またはＤＳＰ（Digital Signal Processor）である。プロセッサ１０１がプログラムを実行することで実現する機能の少なくとも一部を、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）などの電子回路で実現してもよい。

メモリ１０２は、管理サーバ１０の主記憶装置として使用される。メモリ１０２には、プロセッサ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、メモリ１０２には、プロセッサ１０１による処理に利用する各種データが格納される。メモリ１０２としては、例えばＲＡＭ（Random Access Memory）などの揮発性の半導体記憶装置が使用される。

バス１０９に接続されている周辺機器としては、ＨＤＤ（Hard Disk Drive）１０３、グラフィック処理装置１０４、入力インタフェース１０５、光学ドライブ装置１０６、機器接続インタフェース１０７及びネットワークインタフェース１０８がある。

ＨＤＤ１０３は、内蔵したディスクに対して、磁気的にデータの書き込み及び読み出しを行う。ＨＤＤ１０３は、管理サーバ１０の補助記憶装置として使用される。ＨＤＤ１０３には、ＯＳのプログラム、アプリケーションプログラム、及び各種データが格納される。なお、補助記憶装置としては、フラッシュメモリなどの不揮発性の半導体記憶装置（ＳＳＤ：Solid State Drive）を使用することもできる。

グラフィック処理装置１０４には、モニタ６１が接続されている。グラフィック処理装置１０４は、プロセッサ１０１からの命令に従って、画像をモニタ６１の画面に表示させる。モニタ６１としては、ＣＲＴ（Cathode Ray Tube）を用いた表示装置や液晶表示装置などがある。

入力インタフェース１０５には、キーボード６２とマウス６３とが接続されている。入力インタフェース１０５は、キーボード６２やマウス６３から送られてくる信号をプロセッサ１０１に送信する。なお、マウス６３は、ポインティングデバイスの一例であり、他のポインティングデバイスを使用することもできる。他のポインティングデバイスとしては、タッチパネル、タブレット、タッチパッド、トラックボールなどがある。

光学ドライブ装置１０６は、レーザ光などを利用して、光ディスク６４に記録されたデータの読み取りを行う。光ディスク６４は、光の反射によって読み取り可能なようにデータが記録された可搬型の記録媒体である。光ディスク６４には、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などがある。

機器接続インタフェース１０７は、管理サーバ１０に周辺機器を接続するための通信インタフェースである。例えば機器接続インタフェース１０７には、メモリ装置６５やメモリリーダライタ６６を接続することができる。メモリ装置６５は、機器接続インタフェース１０７との通信機能を搭載した記録媒体である。メモリリーダライタ６６は、メモリカード６７へのデータの書き込み、またはメモリカード６７からのデータの読み出しを行う装置である。メモリカード６７は、カード型の記録媒体である。

ネットワークインタフェース１０８は、ネットワーク４０に接続されている。ネットワークインタフェース１０８は、ネットワーク４０を介して、他のコンピュータまたは通信機器との間でデータの送受信を行う。

以上のようなハードウェア構成によって、第２の実施の形態の処理機能を実現することができる。なお、業務サーバ２０ａ，２０ｂ、セキュリティ検知装置３０及びユーザ端末５０ａ，５０ｂも図３に示した管理サーバ１０と同様のハードウェアにより実現することができる。また、第１の実施の形態に示した管理装置１も、図３に示した管理サーバ１０と同様のハードウェアにより実現することができる。

管理サーバ１０は、例えばコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより、第２の実施の形態の処理機能を実現する。管理サーバ１０に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。例えば、管理サーバ１０に実行させるプログラムをＨＤＤ１０３に格納しておくことができる。プロセッサ１０１は、ＨＤＤ１０３内のプログラムの少なくとも一部をメモリ１０２にロードし、プログラムを実行する。また管理サーバ１０に実行させるプログラムを、光ディスク６４、メモリ装置６５、メモリカード６７などの可搬型記録媒体に記録しておくこともできる。可搬型記録媒体に格納されたプログラムは、例えばプロセッサ１０１からの制御により、ＨＤＤ１０３にインストールされた後、実行可能となる。またプロセッサ１０１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。

図４は、管理サーバの機能を示すブロック図である。管理サーバ１０は、フロー管理部１１０と、記憶部１２０と、フィルタリング部１３０と、を有する。なお、管理サーバ１０は、複数の業務サーバ２０ａ，２０ｂを管理するが、運用管理処理はサーバ単位に行うので、以下では代表して１台の業務サーバ２０に関する処理について説明する。

フロー管理部１１０は、フロー制御部１１１と、予め管理者が定義した対処フロー６００と、管理フロー７００と、を有する。対処フロー６００及び管理フロー７００は、業務サーバ２０に実行を指示する処理を定義したものであり、フロー管理部１１０の記憶領域に格納されている。なお、対処フロー６００及び管理フロー７００は、記憶部１２０に記憶されていてもよい。対処フロー６００は、確定アラート情報８０１が入力したときに、業務サーバ２０に実行させる対処処理を定義するものである。対処フロー６００は、処理が定義される対処処理部品の組み合わせで記述される。対処フロー６００には、例えば、ネットワークからの離脱やアプリケーションの停止などの処理が定義される。管理フロー７００は、運用管理のために業務サーバ２００において実行する作業を定義したフローである。管理フロー７００は運用操作部品の組み合わせで記述される。管理フロー７００には、例えば、業務サーバ２０におけるファイルの転送、プロセス状態確認、メールの送信、ディレクトリ／ファイルの検索などの作業が定義される。

フロー制御部１１１は、スケジュール情報５４０に基づいて管理フロー７００を起動する。また、フロー制御部１１１は、管理フロー７００の実行時に業務サーバ２０に実行させた作業履歴を運用管理履歴情報５２０として蓄積し、記憶部１２０に格納する。また、履歴を採取した作業において業務サーバ２０が実行したプロセスやコマンドに関する実行情報５００を業務サーバ２０から採取する。そして、採取した実行情報５００を対応する運用管理履歴情報５２０の履歴に紐付け、プロセス情報５３０として記憶部１２０に蓄積する。なお、実行情報５００のうち、履歴情報として蓄積する情報は、例えば、運用管理履歴情報５２０に追加する。また、フロー制御部１１１は、フィルタリング部１３０によって誤検知ではないと確定された確定アラート情報８０１を取得したときは、確定アラート情報８０１に対応する対処フロー６００を起動する。フロー管理部１１０は、第１の実施の形態の管理部１ａの一実施形態である。

記憶部１２０は、運用管理履歴情報５２０、プロセス情報５３０、スケジュール情報５４０及び実行予定処理リスト５５０を記憶する。記憶部１２０としては、例えば、メモリ１０２またはＨＤＤ１０３の記憶領域の一部が使用される。

フィルタリング部１３０は、実行予定処理リスト生成部１３１と、フィルタリング処理部１３２とを有する。実行予定処理リスト生成部１３１は、フロー管理部１１０が運用管理処理において採取した運用管理履歴情報５２０と、プロセス情報５３０と、スケジュール情報５４０と、管理フロー７００と、に基づき、実行予定処理リスト５５０を作成する。実行予定処理リスト生成部１３１は、スケジュール情報５４０に基づいて、所定の期間に実行予定の管理フロー７００を特定する。そして、この管理フロー７００の実行時に蓄積した運用管理履歴情報５２０と、運用管理履歴情報５２０に紐付けされるプロセス情報５３０とに基づいて、実行予定のコマンドまたはプロセスに関するリストを生成する。実行予定処理リスト５５０には、実行予定のコマンドまたはプロセスに関し、運用管理履歴情報５２０またはプロセス情報５３０からの抽出情報、あるいは、抽出情報に基づいて生成した情報が登録される。フィルタリング処理部１３２は、実行予定処理リスト５５０に基づいて、セキュリティ検知装置３０から取得したアラート情報８００のフィルタリング処理を行う。フィルタリング部１３０は、第１の実施の形態のフィルタリング部１ｃの一実施形態である。

業務サーバ２０は、所定の業務を行うサーバである。また、管理サーバ１０のフロー制御部１１１から受け取ったコマンドに従って処理を行う。
このように、管理サーバ１０では、フロー管理部１１０は、スケジュール情報５４０に従って管理フロー７００を起動する。第２の実施の形態では、管理フロー７００に定義される業務サーバ２０に実行させる処理は、業務サーバ２０の運用管理作業に関するものであり、定期的に実行される。例えば、決められた日の決められた時刻に同じ管理フロー７００が起動される。これにより、過去に行った処理の履歴情報に基づいて、次に同じ管理フロー７００を実行する際に、業務サーバ２０で起動されるコマンドやプロセス、各処理に要する時間などを予測することができる。フロー管理部１１０は、業務サーバ２００に処理を実行させるごとに実行情報５００を採取し、運用管理履歴情報５２０及びプロセス情報５３０として蓄積する。フィルタリング部１３０では、蓄積された運用管理履歴情報５２０及びプロセス情報５３０と、スケジュール情報５４０と、に基づいて実行予定処理リスト５５０を生成する。

セキュリティ検知装置３０は、業務サーバ２０のセキュリティインシデントを検知し、アラート情報８００を管理サーバ１０に送信する。フィルタリング部１３０は、実行予定処理リスト５５０に基づいてアラート情報８００のセキュリティインシデントがフロー管理部１１０による処理によるものであるか否かを判定する。フィルタリング部１３０は、アラート情報８００がフロー管理部１１０によるものであれば誤検知と判定し、フロー管理部１００によるものでなければ誤検知ではないと判定する。フィルタリング部１３０は、誤検知ではないと判定した確定アラート情報８０１をフロー管理部１１０に出力する。フロー管理部１１０では、確定アラート情報８０１を受け付け、対応する対処フロー６００を起動する。

このように、アラート情報８００の誤検知の判定を過去に運用管理処理を行ったときに採取した情報を用いて行うので、アラート情報８００の誤検知の判定精度を向上することができる。さらに、誤検知されたアラート情報８００によって誤った対処処理が実行されることを防止することができる。

以下、具体例を挙げて管理サーバ１０の処理を説明する。最初に、実行予定処理リスト５５０を生成する処理について説明し、次に、実行予定処理リスト５５０を用いたフィルタリング処理について説明する。
（１）実行予定処理リスト生成処理
図５は、実行予定処理リスト生成処理における情報の流れを示す図である。図５では、図４に示す管理サーバ１０の構成のうち、実行予定処理リスト生成処理に関連する構成を抜き出して示す。

管理フロー７００は、運用管理処理を定義した複数の管理フロー０１（７１０）、・・・、管理フローｎ（７２０）を有する。図５の例では、管理フロー０１（７１０）として、業務サーバ２０にファイル転送を指示する部品Ａ（７１０ａ）と、部品Ｂ（７１０ｂ）が定義されている。フロー制御部１１１は、スケジュール情報５４０に基づいて、管理フロー０１（７１０）の起動時刻に管理フロー０１（７１０）に基づく処理を起動する。管理フロー０１（７１０）に基づいて、部品Ａ（７１０ａ）、部品Ｂ（７１０ｂ）に定義される業務サーバ２０に対する運用管理処理を実行する。処理の実行は、例えば、リモートログインして業務サーバ２０を操作し、ファイルの転送やプロセス状態の確認などの運用管理作業を行う。または、業務サーバ２０に配置したエージェントに指示して同様の作業を行う。図５に示す例では、部品Ａ（７１０ａ）には「ファイル転送」が定義されており、ｓｓｈ（Secure Shell）を利用して業務サーバ２０上のコマンドを実行する。このとき、フロー制御部１１１は、ｓｓｈの接続先とセッションＩＤ及び運用操作部品の履歴ＩＤとを記録しておく。履歴ＩＤは、図５の例では部品Ａ（７１０ａ）の履歴情報であることを示す識別情報である。

業務サーバ２０では、ｓｓｈ２１を介してファイル転送の実行コマンド２２が起動される。実行コマンド２２ではＯＳプロセスのサブコマンド２３を起動し、指示されたファイル転送処理を実行する。管理サーバ１０側は、ファイル転送を指示する指令を出力するが、業務サーバ２０のＯＳプロセスにおいてどのようなコマンドを用いて処理を行うかは、業務サーバ２０において決定される。このように、業務サーバ２０において実行するコマンドまたはプロセスは、業務サーバ２０が決定するため、管理サーバ１０側が有する情報から把握することができない。そこで、管理フロー７００による処理を行う場合に、業務サーバ２０側でもＯＳプロセスとプロセスツリー情報より、接続セッションＩＤを特定し、接続セッションＩＤとプロセスツリー情報を関連付けて記憶しておく。また、業務サーバ２０では、プロセスツリー情報の採取に加え、実際に実行されたＯＳコマンド及びコマンドに渡したパラメータ、コマンドによって実行したモジュールのハッシュ値（以下、実行コマンドハッシュ値とする）などを採取する。また、各コマンドまたはプロセスの処理を実行するごとに、処理の開始時刻と終了時刻とを採取しておく。これらの情報は、コマンドまたはプロセスの特定に用いることができる。また、通信を行ったときは通信アドレスなど通信先の情報をファイアウォールログなどから取得する。こうして業務サーバ２０側で採取したプロセスツリー情報、実行コマンド、コマンドパラメータ、実行コマンドハッシュ値、通信先情報及び処理の開始時刻と終了時刻は、実行情報５０１として接続セッションＩＤに関連付けて記憶しておく。

業務サーバ２０側で部品Ａ（７１０ａ）に対応する処理が終了したときは、フロー管理部１１０は、業務サーバ２０が保持する実行情報５０１を採取する。採取は、フロー制御部１１１が行うとしてもよいし、予め部品Ａ（７１０ａ）内に送信処理を定義しておくとしてもよい。フロー管理部１１０は、処理に対応付けて保持していた接続セッションＩＤ及び履歴ＩＤと、業務サーバ２０から採取した実行情報５０１に対応付けられている接続セッションＩＤとによって、今回の管理フロー処理に対応する運用管理履歴とプロセス情報とを紐付け、運用管理履歴情報５２０と、プロセス情報５３０とに追加登録する。

こうして、記憶部１２０には、管理フロー７００による処理を実行するごとに、運用管理履歴情報５２０とプロセス情報５３０とが蓄積される。しかし、運用管理履歴情報５２０とプロセス情報５３０とを単に蓄積していくとすると、管理サーバ１０のリソースが枯渇するなどの問題が生じる。そこで、フロー管理部１１０は、取得したプロセス情報を解析し、所定の蓄積条件を満たす情報のみを蓄積する。例えば、業務サーバ２０のプロセス定義に変更があった場合の初回の管理フロー７００実行時のプロセス情報は蓄積する。また、取得した実行コマンドハッシュ値を前回の処理において取得した同じコマンドの実行コマンドハッシュ値と照合し、異なっているときに今回のプロセス情報を蓄積する。実行コマンドハッシュ値が同じであれば、そのプロセス情報は蓄積しない。このように、フロー制御部１１１は、蓄積するプロセス情報を取捨選択することにより、管理サーバ１０のリソースの枯渇を抑制することができる。

実行予定処理リスト生成部１３１は、記憶部１２０に蓄積された運用管理履歴情報５２０及びプロセス情報５３０と、スケジュール情報５４０とに基づいて、実行予定処理リスト５５０を生成する。実行予定処理リスト生成部１３１は、予め指定された時刻に処理を開始し、運用管理履歴情報５２０と、プロセス情報５３０から参照用の情報を抽出する。例えば、単位期間を１カ月とし、１カ月の間に蓄積された運用管理履歴情報５２０のうち、１カ月の間に蓄積された履歴を抽出する。また、１カ月の間に蓄積された履歴の数が多いときは、個数を制限するとしてもよい。プロセス情報５３０は、抽出した運用管理履歴情報に紐づけられたプロセス情報を抽出する。実行予定処理リスト生成部１３１は、抽出した情報に基づいて実行コマンドリストを作成する。実行コマンドリストは、運用操作部品ごとに、この部品で実行される実行コマンド、実行コマンドハッシュ値、コマンドパラメータなどのコマンドに関する情報を含む。次に、実行予定処理リスト生成部１３１は、スケジュール情報５４０に基づいて、所定の期間に起動する管理フロー７００を特定し、特定した管理フロー７００に対応する運用操作部品の情報を実行コマンドリストより抽出する。また、実行予定処理リスト生成部１３１は、運用管理履歴情報５２０の対応する履歴情報を抽出し、処理の終了までにかかる時間の平均値や所要時間の最大・最小値などを算出する。スケジュール情報５４０に定義される開始時刻及び終了時刻は、予定時刻であり、実際に処理を行う時間との間にずれが生じる。そこで、履歴情報に基づいて実際に処理を行う際の時刻と、予定時刻とのずれの最大値を算出し、検知されたアラートがこの処理によるものであるか否かの判定基準に時間幅を持たせる。

上記の処理によって記憶部１２０に格納される運用管理履歴情報５２０、プロセス情報５３０、スケジュール情報５４０及び実行予定処理リスト５５０について説明する。
図６は、運用管理履歴情報の一例を示す図である。運用管理履歴情報５２０ａは、管理フロー７００の実行時に、管理サーバ１０側で採取した作業情報と、業務サーバ２０で採取した実行情報５００より抽出した情報と、を含む。作業情報には、管理フロー７００の運用操作部品ＩＤ、管理フロー名、運用操作部品名、作業開始日時、作業終了日時、作業開始メッセージ、作業終了メッセージ、作業結果内容、作業進捗メッセージ及び作業結果コードがある。実行情報５００より抽出した情報には、実行されたコマンドごとに採取した実行コマンド、処理開始日時及び処理終了日時を含む。図６に示す運用管理履歴情報５２０ａは、１つの運用操作部品についての履歴情報であり、フロー管理部１１０では、同様の履歴情報を管理フロー７００に定義される全ての運用操作部品について生成する。また、各運用操作部品の履歴は当該運用操作部品の処理を実行するごとに蓄積される。

運用操作部品ＩＤには、運用操作部品を識別する運用操作部品ＩＤが設定される。運用操作部品ＩＤは、運用操作部品に付された識別情報であり、運用操作部品ごとに個別に付与される。管理フロー名には、フロー制御部１１１が起動した管理フロー７００に付されている名称が設定される。各管理フローは、管理フロー名によって識別される。運用操作部品名には、管理フロー７００に定義されている運用操作部品に付されている名称が設定される。名称は、運用操作部品における作業の内容を示すものである。作業開始日時には、管理フロー７００が起動して運用操作部品に定義されている作業を開始した日時、作業終了日時には作業を終了した日時が設定される。作業開始メッセージには、運用操作部品に定義されている作業を開始したときに、必要に応じて提示するメッセージが設定される。作業終了メッセージには、運用操作部品に定義されている作業を終了したときのメッセージが設定される。作業結果内容には、作業の結果が設定される。作業進捗メッセージには、運用操作部品に定義されている作業の進捗状態のメッセージが設定される。作業結果コードには、作業結果を示す結果コードが設定される。作業結果コードに基づいて、管理フロー７００が次に遷移する遷移先を判断することができる。プロセス情報には、この運用管理履歴情報と紐付けたプロセス情報５３０ａのプロセス情報のＩＤが設定される。以上が、管理サーバ１０側で採取できる管理フロー７００の作業情報である。

実行コマンドには、業務サーバ２０が実行したコマンドが設定される。処理開始日時には、この実行コマンドの処理を開始した処理開始日時が設定される。処理終了日時には、この実行コマンドの処理を終了した処理終了日時が設定される。項番１１から項番１３の項目は、実行された実行コマンドの数分登録される。

図７は、プロセス情報の一例を示す図である。プロセス情報５３０ａは、管理フロー名、運用操作部品名、作業開始日時、作業終了日時、実行されるプロセスツリー、実行コマンド、実行コマンドハッシュ値、コマンドパラメータ及び通信先情報の項目を有する。図７に示すプロセス情報５３０ａは、図６に示す運用管理履歴情報５２０ａと紐づけられている。

管理フロー名、運用操作部品名、作業開始日時及び作業終了日時には、紐付けがされた運用管理履歴情報５２０ａと同じ情報が設定される。
実行されるプロセスツリーには、運用操作部品によって指示された作業により業務サーバ２０が生成するプロセスツリーが設定される。業務サーバ２０は、このプロセスツリーに従って処理を行う。実行コマンドは、運用管理作業で実行されるコマンドであり、プロセスツリーによって判断できる。実行コマンドハッシュ値には、実行コマンドによって実行されるモジュールのハッシュ値が設定される。実行モジュールが同じであれば、同じハッシュ値が得られる。コマンドパラメータには、コマンド実行時に引き渡されるパラメータが設定される。通信先情報には、ファイアウォールログより取得した通信先アドレスが設定される。項番７の実行コマンドから項番１０の通信先情報までの情報は、実行されるコマンドが複数ある場合には、それぞれのコマンドに対して設定される。

このように、プロセス情報５３０ａは、業務サーバ２０が管理サーバ１０からの指示によって行った処理の際に業務サーバ２０自身が採取する実行情報５００である。
なお、管理サーバ１０では、業務サーバ２０から取得した実行情報５００のうち、コマンドまたはプロセスの処理開始日時及び処理終了日時は、コマンドまたはプロセスごとに運用管理履歴情報５２０ａに登録している。これは、処理開始日時及び処理終了日時は、処理ごとに数値にばらつきが生じるため、実行予定処理リスト５５０の生成には、統計処理が必要となることによる。一方、プロセス情報５３０ａに設定される情報は、管理フロー７００の変更、業務サーバ２０側の構成変更などがなければ、変化しない情報である。そこで、これらの情報は、プロセス情報５３０ａとして、運用管理履歴情報５２０ａとは別に管理する。さらに、これらの情報は上記のような変更がなければ変化しないので、毎回記憶部１２０に蓄積すると、管理サーバ１０のリソースが不足する恐れがある。そこで、フロー制御部１１１は、実行情報５００をチェックし、前回取得時から変化がないときは、プロセス情報５３０ａとして蓄積しない。前回取得時から変化があったとき、または初回起動時には実行情報５００から該当する箇所を抽出し、実行情報５００に基づいて同時に更新処理を行った運用管理履歴情報５２０ａに紐付けて、記憶部１２０に蓄積する。

図８は、スケジュール情報の一例を示す図である。スケジュール情報５４０ａは、ＩＤ、起動対象管理フロー、起動予定時刻、終了予定時刻、作業対象業務サーバ及び実行パラメータの項目を有する。図８に示すスケジュール情報５４０ａには、図６及び図７に示す管理フローを起動するスケジュールが登録されている。

ＩＤは、このスケジュールを識別する情報である。起動対象管理フローには、起動する対象の管理フロー名が設定される。起動予定時刻には、この起動対象管理フローを起動する予定時刻が、終了予定時刻は、この起動対象管理フローが処理を終了する予定時刻が設定される。作業対象業務サーバには、起動対象管理フローの処理を実行させる業務サーバが設定される。実行パラメータには、起動対象管理フローを実行する際に引き渡すパラメータを格納するファイルが設定される。

図９は、実行予定処理リストの一例を示す図である。実行予定処理リスト５５０ａは、コマンド名／ＯＳプロセス名、管理フロー名、運用操作部品ＩＤ、親プロセス名、実行コマンドパス、通信先情報、実行コマンドハッシュ値、コマンドパラメータ、運用操作部品名、実行開始予定時刻、実行終了予定時刻、開始遅延時間、平均終了時間、最小終了時間、最大終了時間の項目を有する。各項目の値は、実行予定処理リスト生成部１３１が、スケジュール情報５４０ａ、運用管理履歴情報５２０ａ、プロセス情報５３０ａ及び管理フロー７００の定義に基づいて設定する。図９では、当日に実行予定のコマンドについて実行予定処理リストを生成する場合について説明する。また、図９では、１つのコマンドに関する情報を示すが、実行予定処理リスト生成部１３１は、当日に実行予定の管理フローによって実行される全コマンドまたは全ＯＳプロセスについて同様の情報を設定してリストを生成する。

コマンド名／ＯＳプロセス名には、実行予定のコマンド名またはＯＳプロセス名が設定される。管理フロー名には、実行予定の管理フローの名称が設定される。運用操作部品ＩＤ及び運用操作部品名は、実行予定の管理フローに定義される運用操作部品ＩＤ及び運用操作部品名が設定される。管理フロー名は、実行予定処理リスト生成部１３１が、スケジュール情報５４０ａに基づいて当日実行する管理フロー名を抽出して設定する。同様に、運用操作部品ＩＤ及び運用操作部品名も設定される。コマンド名／ＯＳプロセス名は、抽出した運用操作部品に関する運用管理履歴を運用管理履歴情報５２０ａから抽出し、抽出した運用管理履歴に登録される実行コマンドの項の値を抽出して設定する。例えば、図６の運用管理履歴情報５２０ａの管理フロー名「Ｆｌｏｗ００１」の運用操作部品名「Ｐａｒｔｓ０００１」に対応する実行コマンド「ｓｆｔｐ」を抽出し、実行予定処理リスト５５０ａに設定する。

通信先情報には、登録されるコマンドの処理を実行したときの通信先が設定される。実行コマンドハッシュ値には、実行予定のコマンドのハッシュ値が設定される。コマンドパラメータには、実行予定のコマンドを起動する際に引き渡すパラメータが設定される。実行予定処理リスト生成部１３１は、運用管理履歴情報５２０ａに紐付けられている図７に示すプロセス情報５３０ａを抽出し、実行予定処理リスト５５０ａのコマンド名／ＯＳプロセス名に対応する実行コマンドハッシュ値、コマンドパラメータ及び通信先情報を設定する。なお、親プロセス名、実行コマンドパスは、プロセス情報５３０ａの実行されるプロセスツリーの情報に基づいて設定する。

実行開始予定時刻には、処理の起動予定時刻が設定される。実行終了予定時刻には、処理の終了予定時刻が設定される。開始遅延時間は、処理の予定時刻から実際に処理を開始した時刻との差であり、処理の開始が遅延する可能性がある時間を示す。平均終了時間は、過去に実際に処理を行った際に、処理の開始から終了までにかかった時間の平均値である。最小終了時間は、過去において処理にかかった最も短い時間である。最大終了時間は、過去において処理にかかった最も長い時間である。これらの情報は、抽出した運用管理履歴情報５２０ａの該当コマンドの情報に基づいて設定する。これらの情報は、スケジュール情報５４０ａの起動予定時刻と、運用管理履歴情報５２０ａの処理開始日時と処理終了日時に基づいて算出する。なお、第２の実施の形態では、管理フロー７００の処理は、毎日同じ起動時間に起動されるとしている。運用管理履歴情報５２０ａは、該当の実行コマンドを実行したときの履歴が複数回分蓄積されている。まず、複数回分の処理開始日時と処理終了日時とを統計処理することにより、開始遅延時間、平均終了時間、最小終了時間、最大終了時間を算出する。実行開始予定時刻は、スケジュール情報５４０ａのフローの起動予定時刻を管理フロー７００における最初の開始時刻として、管理フロー７００とプロセス情報５３０ａの実行されるプロセスツリーとに基づいて算出する。例えば、プロセスツリーより把握される該当するコマンドの実行順と、各コマンドの平均終了時間とを用いて算出することができる。実行終了予定時刻は、実行開始予定時刻に平均終了時間を加算して算出することができる。開始遅延時間は、算出した実行開始予定時刻と、運用管理履歴情報５２０ａの処理開始日時との差に基づいて、算出することができる。

なお、上記に示す実行予定処理リスト５５０ａの項目と値の算出方法は、一例であり、この中の一部を省略してもよい。また、コマンドまたはプロセスを特定する情報であれば、他の項目を追加するとしてもよい。

以下、フローチャートを用いて管理サーバ１０の処理手順を説明する。
図１０は、管理処理の手順を示す図である。管理処理は、フロー管理部１１０が管理フロー７００を起動して行う運用管理作業に伴う処理である。フロー制御部１１１は、記憶部１２０に格納されるスケジュール情報５４０を読み出して「起動予定時刻」をチェックし、起動予定時刻が過ぎた管理フロー７００を起動する。以下の処理は、管理フロー７００に定義される運用操作部品ごとに実行する。

［ステップＳ１１］フロー制御部１１１は、読み出したスケジュール情報５４０の「作業対象業務サーバ」の設定に基づいて、設定される業務サーバへ接続し、ｓｓｈセッションを確立する。このとき付与したセッションＩＤは、管理サーバ側ｓｓｈセッションＩＤとして記録しておく。

［ステップＳ１２］フロー制御部１１１は、起動した運用操作部品の処理がｓｓｈセッションＩＤで紐付けされる業務サーバへコマンドを出力して実行する運用管理作業を監視する。また、フロー制御部１１１は、運用管理作業の履歴を運用管理履歴情報５２０に記録する。業務サーバ２０側では、管理サーバ１０が出力したコマンドに応じて実行するＯＳプロセスツリーの構成、コマンドパラメータなどの実行情報５００を採取し、実行コマンドに対応付けて記録する。実行情報５００の採取は、管理フロー７００に処理が定義されているとしてもよい。

［ステップＳ１３］フロー制御部１１１は、運用操作部品の処理が終了したとき、紐付けされている業務サーバ２０が採取した実行情報５００を取得する。実行情報５００には、業務サーバ２０において実行されたコマンドまたはプロセスごとに、処理開始日時と処理終了日時と、ＯＳプロセスツリーと、実行コマンドハッシュ値、コマンドパラメータ、通信先情報などが含まれる。以下では、ＯＳプロセスツリー、実行コマンドハッシュ値、コマンドパラメータ及び通信先情報をプロセス情報５３０とする。フロー制御部１１１は、実行コマンドと、この実行コマンドの処理開始日時と処理終了日時とを、紐付けされている運用管理履歴情報５２０に登録する。

［ステップＳ１４］フロー制御部１１１は、記憶部１２０の運用管理履歴情報５２０を検索し、同じ管理フロー７００について過去に採取した履歴情報の有無をチェックする。フロー制御部１１１は、過去に採取した履歴情報を検出したときは、処理をステップＳ１５に進め、検出しなかったときは処理をステップＳ１６に進める。

［ステップＳ１５］フロー制御部１１１は、検出した履歴情報に紐づけられたプロセス情報を記憶部１２０のプロセス情報５３０から抽出し、今回取得したプロセス情報と照合する。フロー制御部１１１は、それぞれのプロセスツリー構成、通信先情報、実行コマンドハッシュ値などを比較し、全て同一であるか否かを判定する。フロー制御部１１１は、プロセスツリー構成、通信先情報及び実行コマンドハッシュ値が同一であるときは、処理を終了し、同一でないときは、処理をステップＳ１６に進める。

［ステップＳ１６］フロー制御部１１１は、今回取得したプロセス情報と同じものがプロセス情報５３０に存在しないので、プロセス情報５３０に蓄積する。また、今回取得したプロセス情報のＩＤを今回記録した運用管理履歴情報の「プロセス情報」に設定し、プロセス情報と運用管理履歴情報とを紐付けて蓄積する。

以上の処理手順が実行されることにより、管理フロー７００の運用操作部品の処理が実行されるごとに、記憶部１２０の運用管理履歴情報５２０とプロセス情報５３０にその履歴が蓄積される。

図１１は、実行予定処理リスト生成処理の手順を示す図である。実行予定処理リスト生成部１３１は、所定の期間に実行予定のあるコマンドに関する実行予定処理リストを生成する。以下では、当日に実行が予定されるコマンドのリストを生成する処理を説明する。

［ステップＳ２１］実行予定処理リスト生成部１３１は、リスト生成処理を開始する指定時刻となったか否かをチェックする。指定時刻を過ぎていれば処理をステップＳ２２に進め、指定時刻になっていなければ待ち状態を継続する。

［ステップＳ２２］実行予定処理リスト生成部１３１は、記憶部１２０からスケジュール情報５４０を読み出し、管理フロー７００の実行スケジュールを取得する。
［ステップＳ２３］実行予定処理リスト生成部１３１は、管理フロー７００のうち、当日実行予定の管理フローを抽出する。例えば、実行予定処理リスト生成部１３１は、スケジュール情報５４０ａの「起動予定時刻」が当日の管理フローを抽出する。

［ステップＳ２４］実行予定処理リスト生成部１３１は、抽出した管理フローによって定義されている運用操作部品のうち、実行予定処理リストを作成していない未処理の運用操作部品を１つ選択する。

［ステップＳ２５］実行予定処理リスト生成部１３１は、選択した運用操作部品の１カ月分の履歴を運用管理履歴情報５２０より抽出する。実行予定処理リスト生成部１３１は、運用管理履歴情報５２０ａの「運用操作部品ＩＤ」と「作業開始日時」に基づいて、所望の運用管理履歴情報を検索する。なお、１カ月の履歴の数が所定の数に満たないときは、さらに以前の履歴を抽出する。一方、数が多いときは、作業を行った日時が近いものを選択する。

［ステップＳ２６］実行予定処理リスト生成部１３１は、運用管理履歴情報と紐付けられているプロセス情報を抽出する。
［ステップＳ２７］実行予定処理リスト生成部１３１は、抽出した運用管理履歴情報及びプロセス情報に基づいて、アラート情報８００が誤検知であるか否かの判定基準となるコマンド判定情報生成処理を行う。コマンド判定情報生成処理は、図１２を用いて説明する。

［ステップＳ２８］実行予定処理リスト生成部１３１は、コマンド判定情報が設定されていない未処理の運用操作部品がないかどうか判定する。未処理の運用操作部品があるときは、処理をステップＳ２４に進め、未処理の運用操作部品の処理を行う。未処理の運用操作部品がないときは、処理を終了する。

図１２は、コマンド判定情報生成処理の手順を示す図である。
［ステップＳ２７１］実行予定処理リスト生成部１３１は、運用管理履歴情報に設定されている実行コマンドを１つ選択し、選択した実行コマンドの処理開始日時と処理終了日時を抽出する。

［ステップＳ２７２］実行予定処理リスト生成部１３１は、抽出されたプロセス情報から、ステップＳ２７１で選択した実行コマンドに対応する「実行されるプロセスツリー」、「実行コマンドハッシュ値」、「コマンドパラメータ」及び「通信先情報」の値を取得する。

［ステップＳ２７３］実行予定処理リスト生成部１３１は、スケジュール情報から該当する管理フローの起動予定時刻と、抽出した運用管理履歴情報の「作業開始日時」及び「作業終了日時」とに基づいて、実行開始予定時刻と実行終了予定時刻とを算出する。運用管理履歴情報の「作業開始日時」及び「作業終了日時」は、運用操作部品の作業開始日時と作業終了日時であり、例えば、毎日同じ時間に作業が開始される。

［ステップＳ２７４］実行予定処理リスト生成部１３１は、算出した実行予定時刻と、運用管理履歴情報の「作業開始日時」との差を算出し、開始時刻が遅延する開始遅延時間とする。運用管理履歴情報は、複数回分の情報を有しているので、例えば、それぞれについて算出した開始遅延時間の平均値を開始遅延時間とする。

［ステップＳ２７５］実行予定処理リスト生成部１３１は、運用管理履歴情報の「作業開始日時」と「作業終了日時」とに基づいて、コマンドの実行にかかる平均終了時間、最小終了時間、最大終了時間を算出する。

［ステップＳ２７６］実行予定処理リスト生成部１３１は、抽出または算出した上記の値を実行予定処理リスト５５０に登録する。
［ステップＳ２７７］実行予定処理リスト生成部１３１は、実行予定処理リスト５５０に登録していない未処理のコマンドの有無をチェックする。未処理のコマンドがあるときは、処理をステップＳ２７１に進め、未処理のコマンドがないときは処理を終了する。なお、同じ運用操作部品のコマンドであれば、ステップＳ２７３からステップＳ２７５の処理は省略し、先に算出した値を用いるとしてもよい。

以上の処理手順が実行されることにより、アラート情報８００が誤検知であるか否かを判定する判定基準に用いる実行予定処理リスト５５０が生成される。このように、実行予定処理リスト５５０は、実際に管理フロー７００を実行したときに検出する情報に基づいて自動的に設定される。これにより、アラート情報８００の誤検知を検出する判定精度を向上させることができる。また、管理者は事前にフィルタリング処理を定義しなくてもよく、管理者の負担を大幅に低減することができる。
（２）フィルタリング処理
次に、実行予定処理リスト５５０を用いたフィルタリング処理について説明する。

図１３は、フィルタリング処理における情報の流れを示す図である。図１３では、図４に示す管理サーバ１０の構成のうち、フィルタリング処理に関連する構成を抜き出して示す。

対処フロー６００は、セキュリティインシデントに対する対処処理を対処処理部品６００ａ，６００ｂを組み合わせて定義したフローである。想定されるセキュリティインシデントに応じて異なる対処処理を定義した複数の対処フロー６００が用意される。

フロー制御部１１１は、フィルタリング処理部１３２から確定アラート情報８１１を取得し、確定アラート情報８１１に基づいて、検知されたセキュリティインシデントに対する対処フロー６００を起動する。起動した対処フロー６００に基づいて、対処処理６００ａ、対処処理６００ｂの順に定義された処理を行う。対処処理では、例えば、ネットワークからの遮断や、アプリケーションの停止と影響範囲の調査などの処理を業務サーバ２０に実行させるコマンドを出力する。

アラート情報８１０は、セキュリティ検知装置３０が業務サーバ２０のセキュリティインシデントを検知したときに管理サーバ１０に送信するアラート情報の一例である。図１３に示すアラート情報８１０は、セキュリティレベル、インシデント種別、感染元端末、マルウェア情報、マルウェア動作情報及び検知日時の情報を含む。セキュリティレベルは、セキュリティ検知装置３０がセキュリティインシデントに対し設定するセキュリティレベルであり、例えば、Ｈｉｇｈ、Ｍｉｄ、Ｌｏｗなどの段階で表す。インシデント種別は、検知した内容による種別であり、例えば、不正なＵＲＬ／ＩＰアドレスへの通信、不正な通信先へのファイル転送またはダウンロード、不正なアプリケーションの起動または動作などがある。感染元端末は、検知した端末のＩＰアドレスである。マルウェア情報は、検知したマルウェアに関する情報であり、マルウェアを示す情報、コマンド・プロセスの情報やプロセスツリー情報などがある。マルウェア動作情報は、マルウェアが行った操作・動作を示す情報である。検知日時は、アラートを検知した日時である。

フィルタリング処理部１３２は、アラート情報８１０を受信し、アラート情報８１０が誤検知されたアラートであるか否かを判定する。また、誤検知の判定を行う前に、アラート情報８１０に含まれるセキュリティレベルによって、対処処理を行うかどうかを判定するとしてもよい。例えば、アラート情報８１０のセキュリティレベルをチェックし、Ｌｏｗであればアラートを記録し対処処理を行わないとする。こうして、フィルタリング処理部１３２は、セキュリティレベルが所定の基準を超えるものについて、アラート情報８１０が誤検知であるか否かを判定する。フィルタリング処理部１３２は、アラート情報８１０のインシデント種別、感染元端末、マルウェア情報、マルウェア動作情報及び検知日時によって特定されるセキュリティインシデントと、実行予定処理リスト５５０を照合し、一致するか否かを判定する。判定処理の詳細は図１４を用いて後で説明する。フィルタリング処理部１３２は、実行予定処理リスト５５０に一致するときは、アラート情報８１０は誤検知と判定する。一致しないときは、アラート情報８１０は誤検知ではないと判定する。フィルタリング処理部１３２は、誤検知でないと判定したアラート情報８１０を確定アラート情報８１１としてフロー制御部１１１へ出力する。

このように、管理サーバ１０では、セキュリティ検知装置３０からアラート情報８１０を取得したときは、フィルタリング処理部１３２が実行予定処理リスト５５０に基づいてアラート情報８１０が誤検知されたものであるか否かを判定する。そして、管理サーバ１０では、誤検知ではないと判定した確定アラート情報８１１によって対処フロー６００を起動し、自動的に対処処理を行う。これにより、誤検知による対処処理の起動を低減し、迅速な対処処理が可能となる。

図１４は、フィルタリング処理の手順を示す図である。図１４は、アラート情報８１０のセキュリティレベルチェックが終了した後の、アラートが検知されたコマンドが実行予定コマンドであるかどうかを判定する処理手順を示すものである。

［ステップＳ４１］フィルタリング処理部１３２は、アラート情報８１０からマルウェア情報を抽出する。
［ステップＳ４２］フィルタリング処理部１３２は、マルウェア情報に基づき、セキュリティ検知装置３０によってマルウェアによるものと判定されたコマンドに該当するものが、実行予定処理リスト５５０に登録されているか否かを判定する。該当するものがあるときは、処理をステップＳ４３に進め、該当するものがないときは、処理をステップＳ４９に進める。

［ステップＳ４３］フィルタリング処理部１３２は、アラート情報８１０からアラートの検知日時を取得する。
［ステップＳ４４］フィルタリング処理部１３２は、実行予定処理リスト５５０の該当コマンドの実行開始予定時刻、実行終了予定時刻、開始遅延時間、平均終了時間、最小終了時間及び最大終了時間に基づき、実行予定時間帯を算出する。実行予定時間帯は、該当コマンドが実行されると予測される時間範囲であり、例えば、実行開始予定時刻から最も遅く処理が終了した場合の終了時刻との間の時間範囲である。フィルタリング処理部１３２は、アラート情報８１０のアラートの検知日時が実行予定時間帯内であるか否かを判定する。アラートの検知日時が実行予定時間帯内であれば処理をステップＳ４５に進め、実行予定時間帯内でなければ処理をステップＳ４９に進める。

［ステップＳ４５］フィルタリング処理部１３２は、アラート情報８１０のマルウェア動作情報に含まれるコマンドパラメータ、通信先情報、プロセスツリーと、実行予定処理リスト５５０の該当コマンドの情報とが一致するか否かを判定する。一致するときは、処理をステップＳ４６に進め、一致しないときは処理をステップＳ４９に進める。

［ステップＳ４６］フィルタリング処理部１３２は、アラート情報８１０に基づき、業務サーバ２００からアラートが検知された実行コマンドハッシュ値を採取する。
［ステップＳ４７］フィルタリング処理部１３２は、業務サーバ２００から採取した実行コマンドハッシュ値と、実行予定処理リスト５５０に登録される該当コマンドの実行コマンドハッシュ値とを照合する。ハッシュ値が一致する場合は処理をステップＳ４８に進め、一致していないときは処理をステップＳ４９に進める。

［ステップＳ４８］フィルタリング処理部１３２は、アラート情報８１０が実行予定処理リスト５５０の該当コマンドについて登録される全ての情報と一致するので、運用管理作業による誤検知されたアラートであると判定し、処理を終了する。

［ステップＳ４９］フィルタリング処理部１３２は、アラート情報８１０が運用管理作業によって誤検知されたアラートではないと判定し、処理を終了する。
このように、管理サーバ１０は、予め運用管理業務を実行する業務サーバ２０から採取した実行情報に基づき、運用管理業務によって実行予定のコマンドであるかどうかを判定するための実行予定処理リスト５５０を記憶しておく。そして、管理サーバ１０は、実行予定処理リスト５５０に基づいて、アラート情報８１０が運用管理作業によって誤検知されたものであるかどうかを判定する。このように、実際に採取した実行情報に基づいて判定を行うため、アラート情報８１０の誤検知の判定精度を向上させることができる。特に、コマンドパラメータ、通信先情報、プロセスツリーなど、アラート情報８１０に含まれる複数の検知項目によって判定を行うことができるので、判定の確度を上げることができる。また、アラート情報８１０が検知されたときの対処処理は、例えば、ネットワークの遮断やアプリケーション停止など、業務サーバ２０が提供している業務への影響が大きい。特に、アラート情報８１０が誤検知であった場合、本来正常に動作していた業務サーバ２０を停止させることとなり、業務上、多大な損失となる。一方、アラート情報８１０が誤検知でない場合には、迅速に対応しなければ、被害が大きくなってしまう。本発明に係る管理サーバ１０によれば、アラート情報８１０の誤検知の精度が向上することにより、誤検知によって対処処理が起動するリスクを低減し、かつ、誤検知でない場合の対処処理を迅速に行うことができる。

次に、運用管理作業によって誤検知のアラート情報を受信した場合と、セキュリティインシデントによるアラート情報を受信した場合の管理サーバ１０の動作について例を挙げて説明する。

図１５は、運用管理処理によってセキュリティアラートが発生するケースの一例を示す図である。図１５では、図４に示す管理サーバ１０の構成のうち、図１５に示すアラート処理に関連する構成を抜き出して示す。

管理サーバ１０のフロー管理部１１０は、管理フロー７２０に基づいて業務サーバＡ（２０ａ）の運用管理作業を行う。フロー管理部１１０は、管理フロー７２０に定義される運用操作部品７２０ａ、運用操作部品７２０ｂを順次実行する。このうち、運用操作部品７２０ａには、「ｓａｍｐｌｅ．ｓｈの実行指示」が定義されている。フロー制御部１１１は、スケジュール情報５４０に定義される起動時刻で管理フロー７２０を起動する。管理フロー７２０の運用操作部品７２０ａによって「ｓａｍｐｌｅ．ｓｈ」の実行が業務サーバＡ（２０ａ）に指示され、業務サーバＡ（２０ａ）はｓａｍｐｌｅ．ｓｈ（２１ａ）を起動する。業務サーバＡ（２０ａ）は、ｓａｍｐｌｅ．ｓｈ（２１ａ）の処理時、プロセスのツリー構造に応じてｆｔｐコマンド２２ａを起動する。処理の終了後、業務サーバＡ（２０ａ）は、この「ｓａｍｐｌｅ．ｓｈ」を行った際の実行情報５０２をフロー管理部１１０に送信する。実行情報５０２には、ｆｔｐコマンド２２ａを実行した際の処理開始日時、処理終了日時、プロセスツリー、コマンドパラメータ、実行コマンドハッシュ値、通信先情報などが含まれる。管理フロー７２０の処理終了時、フロー管理部１１０は、運用管理履歴情報５２１に対し、管理フローに関し、「ｓａｍｐｌｅ．ｂａｔを実行」と、「ｓａｍｐｌｅ．ｂａｔを実行完了」との操作履歴を蓄積する。また、フロー管理部１１０は、実行情報５０２の内容をプロセス情報５３０に蓄積する。実行予定処理リスト生成部１３１は、運用管理履歴情報５２１と、プロセス情報５３０と、スケジュール情報５４０とに基づき、実行予定処理リスト５５１を生成する。図１５の例では、実行予定処理リスト５５１には、実行予定のコマンドのコマンド名「ｆｔｐ」と、管理フロー名「ｓａｍｐｌｅ」と、実行予定時刻「２０１５．０３．１２ １０：００」が登録されているとする。

このような状態で、管理フロー７２０の起動時刻になり、管理フロー７２０が「ｓａｍｐｌｅ．ｓｈ」の開始を業務サーバＡ（２０ａ）に指示する。業務サーバＡ（２０ａ）では、ｓａｍｐｌｅ．ｓｈ（２１ａ）を開始し、ｆｔｐコマンド２２ａによる業務サーバＢ（２０ｂ）へのファイル転送処理を実行する。このｆｔｐコマンド２２ａの実行が外部機器へのファイル転送と見なされ、セキュリティ検知装置３０がアラート情報８２０として管理サーバ１０に通知する。アラート情報８２０には、「コマンド：ｆｔｐ」によるセキュリティインシデントが、「検知日時：２０１５．０３．１２ １０：０３」に検知されたという情報が含まれる。フィルタリング処理部１３２は、アラート情報８２０を取得し、実行予定処理リスト５５１にこのコマンドに対応する情報が有るか否かを判定する。ここでは、「実行予定時刻：２０１５．０３．１２ １０：００」から「コマンド名：ｆｔｐ」の実行が予定されているので、アラート情報８２０はこのコマンドによるものであると判定する。よって、アラート情報８２０は誤検知と判定し、フロー管理部１１０に対して確定アラート情報を出力しない。これにより、誤検知によるアラート情報８２０によって対処フロー６１０が起動されることがない。

なお、比較のために、実行予定処理リスト５５１が作成されない従来の場合について説明する。フィルタリング処理部１３２は、アラート情報８２０を受け取るが、実行予定処理リスト５５１がないため、アラート情報８２０が誤検知であるか否かは運用管理履歴情報５２１に基づいて判定するしかない。運用管理履歴情報５２１には、単に、管理フローを起動した旨の履歴しかなく、どのようなコマンドが実行されたかについてはわからない。コマンドに関する情報が設定されていないため、アラート情報８２０は誤検知ではないと判定される。これにより、フロー管理部１１０にアラート情報８２０が通知され、対処フロー６１０が実行される。このように、実行予定処理リスト５５１が生成されない構成では、アラート情報８２０が誤検知の判定を正しく行えない場合がある。この場合では、本来実施不要であった対処処理が実行され、業務の停止が発生してしまう。このように、対処処理の実施が不要な状態で対処処理が行われることを防止するため、実施するか否かの判定が運用管理者に委ねられることも多かった。

次に、セキュリティインシデントが発生している場合の動作について説明する。図１６は、マルウェアによってセキュリティアラートが発生するケースの一例を示す図である。図１６では、図４に示す管理サーバ１０の構成のうち、図１６に示すアラート処理に関連する構成を抜き出して示す。

管理サーバ１０のフロー管理部１１０は、管理フロー７３０に基づいて運用管理業務を行う。フロー管理部１１０は、管理フロー７３０に定義される運用操作部品７３０ａ、運用操作部品７３０ｂを順次実行する。このうち、運用操作部品７３０ａには、「ファイル転送 ｆｔｐ＊＊＊」の実行指示が定義されている。スケジュール情報５４０に定義される起動時刻でフロー管理部１１０は、管理フロー７３０を起動する。管理フロー７３０の運用操作部品７３０ａによって「ファイル転送 ｆｔｐ＊＊＊」の実行が業務サーバＣ（２０ｃ）に指示され、業務サーバＣ（２０ｃ）はファイル転送処理を実行する。このような処理に関連し、図１６の例では、運用管理履歴情報５２３に、「ｆｔｐによるファイルの転送実行」が登録されるとする。また、実行予定処理リスト５５３には、実行予定のコマンドのコマンド名「ｆｔｐ」と、管理フロー名「ｓａｍｐｌｅ」と、実行予定時刻「２０１５．０３．１２ １０：００」が登録されるとする。

このような状態で、業務サーバＣ（２０ｃ）に侵入したマルウェア９０がｆｔｐコマンド９１を起動させ、他装置へのファイル転送を実行したとする。このｆｔｐコマンド９１が外部機器へのファイル転送と見なされ、セキュリティ検知装置３０がアラート情報８３０として管理サーバ１０に通知する。アラート情報８３０には、「コマンド：ｆｔｐ」によるセキュリティインシデントが、「検知日時：２０１５．０３．１２ １３：０４」に検知されたという情報が含まれる。フィルタリング処理部１３２は、アラート情報８３０を取得し、実行予定処理リスト５５３にこのコマンドに対応する情報が有るか否かを判定する。ここでは、コマンド名は一致するが、検知日時が実行予定時刻と異なるため、この実行予定コマンドによって生じたアラートではないと判定する。よって、アラート情報８３０は誤検知ではないと判定し、フロー管理部１１０に対して確定アラート情報８３１を出力する。これにより、対処フロー６１０が起動される。

なお、比較のために、実行予定処理リスト５５３が作成されない従来の場合について説明する。フィルタリング処理部１３２は、アラート情報８３０を受け取るが、実行予定処理リスト５５３がないため、アラート情報８３０が誤検知であるか否かは運用管理履歴情報５２３に基づいて判定するしかない。図１６の例では、運用管理履歴情報５２３には、コマンドに関する情報が設定されているが、コマンドの実行予定時間はわからない。例えば、管理フロー７３０の開始時刻と終了時刻と比較しようとすると、時間帯の幅が広くなるため、管理サーバ１０が指示したコマンドと誤る場合がある。すると、アラート情報８３０は誤検知であると判定する。これにより、対処フロー６１０は実行されない。このように、実行予定処理リスト５５３が生成されない構成では、アラート情報８３０が誤検知の判定を正しく行えない場合がある。この場合では、本来必要であった対処処理が実行されず、マルウェア９０が残ってしまう。

このように第２の実施の形態によれば、運用管理業務の実際の動作履歴に基づいてアラート情報が運用管理業務をアラートと判定した誤検知であるか否かの判定を行うので、誤検知の判定精度を向上することができる。また、判定精度が向上することにより、誤検知によって対処フローが起動する可能性を低減することができるため、管理者による対処実施の判断が不要となり、処理の迅速化を実現することができる。

なお、上記の処理機能は、コンピュータによって実現することができる。その場合、管理装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記憶装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記憶装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ／ＲＷなどがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。

プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、ネットワークを介して接続されたサーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。

また、上記の処理機能の少なくとも一部を、ＤＳＰ、ＡＳＩＣ、ＰＬＤなどの電子回路で実現することもできる。
なお、本発明は上述した実施形態そのままに限定されるものではなく、実施段階でのその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施形態に示される全構成要素を適宜組み合わせてもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。このような、発明の趣旨を逸脱しない範囲内において種々の変形や応用が可能である。

１ 管理装置
１ａ 管理部
１ｂ 記憶部
１ｃ フィルタリング部
２ 情報処理装置
３ セキュリティ検知プログラム
１０ 管理サーバ
１１ 実行情報
１２ スケジュール
１３ａ アラート情報
１３ｂ 確定アラート情報
２０，２０ａ，２０ｂ 業務サーバ
３０ セキュリティ検知装置
４０，４０ａ，４０ｂ ネットワーク
１１０ フロー管理部
１１１ フロー制御部
１２０ 記憶部
１３０ フィルタリング部
１３１ 実行予定処理リスト生成部
１３２ フィルタリング処理部
５００ 実行情報
５２０ 運用管理履歴情報
５３０ プロセス情報
５４０ スケジュール情報
５５０ 実行予定処理リスト
６００ 対処フロー
７００ 管理フロー
８００ アラート情報
８０１ 確定アラート情報

Claims (8)

1. コンピュータに、
   処理の実行指示を受信した情報処理装置が該処理を実行する際に生成した第１のプロセスまたは実行した第１のコマンドに関する実行情報を取得し、
   前記情報処理装置において所定の事象が発生したときに前記情報処理装置で生成されていた第２のプロセスに関する情報、または、前記所定の事象が発生したときに前記情報処理装置で実行されていた第２のコマンドに関する情報、を含むアラート情報の受信に応じ、前記実行情報と前記アラート情報とに基づいて、前記第２のプロセスまたは前記第２のコマンドが前記処理の実行指示に応じて生成または実行されたものか否かを判定し、
   該判定結果と前記情報処理装置への前記処理の実行指示のスケジュールとに基づいて、前記アラート情報をフィルタリングする、
   処理を実行させる管理プログラム。
2. 前記コンピュータは、
   前記実行情報と前記スケジュールとに基づいて、所定の期間に、前記実行指示によって前記情報処理装置において実行が予定される前記第１のプロセスまたは前記第１のコマンドに関する実行予定処理リストを生成し、前記実行予定処理リストを用いて前記アラート情報をフィルタリングする、
   請求項１に記載の管理プログラム。
3. 前記コンピュータは、
   前記情報処理装置が前記実行指示によって実行した前記第１のプロセスまたは前記第１のコマンドのプロセスツリーを採取したプロセスツリー情報を含む前記実行情報を取得し、
   前記アラート情報が示す前記第２のプロセスまたは前記第２のコマンドのプロセスツリーを含むマルウェア情報と、前記実行予定処理リストに登録される実行予定の前記第１のプロセスまたは前記第１のコマンドの前記プロセスツリー情報とを照合して、前記第２のプロセスまたは前記第２のコマンドが前記処理の実行指示に応じて生成または実行されたものか否かを判定する、
   請求項２に記載の管理プログラム。
4. 前記コンピュータは、
   前記情報処理装置が前記実行指示によって実行した前記第１のプロセスまたは前記第１のコマンドによる処理の開始時刻と終了時刻とを含む前記実行情報を取得し、前記第１のコマンドまたは前記第１のプロセスごとに前記開始時刻と前記終了時刻を履歴情報として蓄積し、
   前記実行予定処理リストと前記スケジュールと前記履歴情報とに基づいて、実行予定の前記第１のプロセスまたは前記第１のコマンドによる処理が実行される実行予定時間帯を算出し、前記アラート情報が示す前記第２のプロセスまたは前記第２のコマンドの検知日時と前記実行予定時間帯とを照合して前記アラート情報をフィルタリングする、
   請求項２に記載の管理プログラム。
5. 前記コンピュータは、
   前記情報処理装置が前記実行指示によって実行した前記第１のプロセスまたは前記第１のコマンドによって起動される第１のモジュールのハッシュ値を含む前記実行情報を取得し、
   前記情報処理装置から、前記アラート情報が示すマルウェア情報に基づいて特定した前記第２のプロセスまたは前記第２のコマンドによって起動される第２のモジュールのハッシュ値を採取し、前記第２のモジュールのハッシュ値と、前記実行予定処理リストに登録される実行予定の前記第１のモジュールのハッシュ値とを照合して、前記第２のプロセスまたは前記第２のコマンドが前記処理の実行指示に応じて生成または実行されたものか否かを判定する、
   請求項２に記載の管理プログラム。
6. 前記コンピュータは、
   前記情報処理装置が前記実行指示によって実行した前記第１のプロセスまたは前記第１のコマンドによる通信処理の通信先情報を含む前記実行情報を取得し、
   前記アラート情報が示す前記第２のプロセスまたは前記第２のコマンドによる通信処理の通信先情報と、前記実行予定処理リストに登録される実行予定の前記第１のプロセスまたは前記第１のコマンドの前記通信先情報とを照合して、前記第２のプロセスまたは前記第２のコマンドが前記処理の実行指示に応じて生成または実行されたものか否かを判定する、
   請求項２に記載の管理プログラム。
7. 処理の実行指示を受信した情報処理装置が該処理を実行する際に生成した第１のプロセスまたは実行した第１のコマンドに関する実行情報を取得する管理部と、
   前記情報処理装置において所定の事象が発生したときに前記情報処理装置で生成されていた第２のプロセスに関する情報、または、前記所定の事象が発生したときに前記情報処理装置で実行されていた第２のコマンドに関する情報、を含むアラート情報の受信に応じ、前記実行情報と前記アラート情報とに基づいて、前記第２のプロセスまたは前記第２のコマンドが前記処理の実行指示に応じて生成または実行されたものか否かを判定し、該判定結果と前記情報処理装置への前記処理の実行指示のスケジュールとに基づいて、前記アラート情報をフィルタリングするフィルタリング部と、
   を有する管理装置。
8. コンピュータが、
   処理の実行指示を受信した情報処理装置が該処理を実行する際に生成した第１のプロセスまたは実行した第１のコマンドに関する実行情報を取得し、
   前記情報処理装置において所定の事象が発生したときに前記情報処理装置で生成されていた第２のプロセスに関する情報、または、前記所定の事象が発生したときに前記情報処理装置で実行されていた第２のコマンドに関する情報、を含むアラート情報の受信に応じ、前記実行情報と前記アラート情報とに基づいて、前記第２のプロセスまたは前記第２のコマンドが前記処理の実行指示に応じて生成または実行されたものか否かを判定し、
   該判定結果と前記情報処理装置への前記処理の実行指示のスケジュールとに基づいて、前記アラート情報をフィルタリングする、
   管理方法。

Images