JP2005038116A - 不正侵入分析装置 - Google Patents

Abstract

【課題】侵入検知装置からの大量のログ出力を集約し監視や分析を容易にするシステムを提供する。
【解決手段】侵入検知装置１０６の出力を、イベントグループ化手段１１１により、イベントログを構成する各項目の値に基づいて分離し、イベント頻度計算手段１１２により、それらの頻度の時系列データを求める。イベント相関計算手段１１３では複数の時系列の線形和の２次以上のモーメントが最大になるような係数と線形和の時系列を求め、これを脅威分析支援手段１１５や、アクション分析手段１１６により集約イベント表示手段１１７に表示する。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
本発明は情報ネットワークシステムへの不正な侵入を検知する不正侵入検知装置に関する。
【０００２】
【従来の技術】
情報システムへの不正アクセスを監視する技術には、たとえば特許文献１に記載の不正アクセス監視システムがある。ここでは、不正侵入の確認や対応の決定業務に、大きな作業負担や高度なスキルが必要になることを緩和するため、侵入検知装置による検知情報やファイアウォールのアクセス履歴を分析する。
【０００３】
侵入検知装置やファイアウォールは、そのイベントの検知に用いた通信パケットのＩＰアドレスや、ポート番号といった項目からなるデータを出力する。特許文献１では、これらの項目に着目し、複数のイベントの項目の値（例えば、ＩＰアドレス１９２．１６０．１．１といった値）の一致に基づく類似度により、それらが同一の攻撃者によるものかを判定し、イベントの集約を行う。また、このように集約された同一攻撃者（と思われる）からのイベントの時系列的な特徴をパターンに照合し、攻撃であるか否かを判定する。これにより、侵入検知装置やファイアウォールの出力を攻撃者の観点からグルーピングして集約し、その集約結果が攻撃であるか否かを判定する。
【０００４】
【特許文献１】
特開２００２−３３４０６１公報（段落００１９−００２７、図２）
【０００５】
【発明が解決しようとする課題】
侵入検知装置やファイアウォールの出力の精度が高ければ、その出力を更に総合的に判断して集約する必要は無いが、実際には誤報が多く（誤報の多い理由は後述する）、真の攻撃と誤報を注意深く弁別する必要がある。また侵入検知装置によっては出力が膨大になる場合があり、出力をある程度集約して表示する機能が無ければ弁別さえも不可能になり、不具合が起きて後の事後分析にならざるを得ない。
【０００６】
特許文献１はこのような問題を緩和することを目的としているが、予め集約条件を定めたり、集約結果が攻撃か否かを判定するロジックを設定する方式としているため、監視者の負担が大きい。特に、出力ログの項目の類似度に関する判定ルール、攻撃を判定するルールなどを、ユーザが設定しなくてはならないので、依然として高度なスキルを要求される課題がある。
【０００７】
本発明の目的は、上記従来技術の問題点を克服し、多数のイベントログの監視や分析を容易に行うのに適した不正侵入分析装置を提供することにある。
【０００８】
【課題を解決するための手段】
上記目的を達成する本発明は、ネットワーク上の異常なアクセスをロギングした侵入検知装置の出力するイベントログを分析する不正侵入分析装置において、前記イベントログを構成する複数の項目に対し、その項目の値の組合せにより前記イベントログをグループ化して区別するイベントグループ化手段を設けることを特徴とする。項目の値は組毎にユニークである。
【０００９】
前記イベントグループ化手段は、前記イベントログを構成する項目の内、予め定められた特定の項目の組合せでイベントをグループ化する。
【００１０】
また、他の態様では、ネットワーク型侵入検知装置の出力ログを入力し、その項目の値の組合せでイベントログをグループ化するネットワーク侵入検知イベントグループ化手段と、ホスト型侵入検知装置の出力ログを入力し、その項目の値の組合せでイベントログをグループ化するホスト型侵入検知イベントグループ化手段と、ファイアウォールログを構成する項目の値の組合せでイベントログをグループ化するファイアウォールイベントグループ化手段を含むイベントグループ化手段を設けることを特徴とする。
【００１１】
この場合、前記イベントグループ化手段は、前記イベントログを構成する項目の内、予め定められた特定の項目の組合せでイベントをグループ化すると共に、他のグループに有って自己のグループに無い項目をデフォルト値で設定する。
【００１２】
さらに、本発明の不正侵入分析装置は、前記イベントグループ化手段が出力する前記項目の値の組毎にグループ化されたイベントリストから、イベントの発生頻度の時間変化を計算し、前記発生頻度の時間毎の組を基に複数の項目の値の組の相関関係を求めるイベント集約手段を設けることを特徴とする。
【００１３】
前記イベント集約手段は項目の値の組の相関に基づいて、前記イベントを集約した集約イベントを出力することを特徴とする。
【００１４】
また、前記集約イベントと、その寄与の割合を示す集約イベントファクターを表示することを特徴とする。あるいは前記集約イベントの時間変化を表示することを特徴とする。
【００１５】
本発明の構成の詳細と作用を説明する。本発明の不正侵入分析装置は侵入検知装置の出力を入力とする。侵入検知装置の出力（以下、イベントログと呼ぶ）は複数のイベントに関する情報からなっており、イベントには、時刻、場所（ＦｒｏｍとＴｏ）、イベントの種別などの項目が含まれている。イベントログはこれらの項目を軸とする多次元空間上の点として表すことができる。本発明では、時間を除く残りの項目で張られる空間（図４参照）をイベント空間と呼ぶことにする。
【００１６】
本発明の構成要素の一つであり、イベントログを入力してグループ化するイベントグループ化手段は、時間を除く空間上の点にイベントを割り付けるように、イベントログを構成する全イベントをグループ化して分割し、分割後のイベントログを出力する。なお、時間を除くとイベントの各項目は離散的で有限個の値を採る。
【００１７】
本発明の構成要素であるイベント集約手段は、たとえばイベント頻度計算手段とイベント相関計算手段からなる。イベント頻度計算手段は、イベントグループ化手段の出力を入力とし、グループ化されたイベントの発生頻度の時間変化を計算して出力する。
【００１８】
イベント相関計算手段は、イベント頻度計算手段の出力を入力として、入力の線形和と個々の入力の相関が最大となるように線形和の係数を求め、これを出力する。例えば入力の線形和の分散が最大になるように２次モーメントを最大化する場合は、線形和は主成分となり、全てのイベントによるばらつきを最も良く表現するという意味で相関を最大にする。本発明では、相関は広義に解釈し、３次以上のモーメントの最大化や、時間方向にデータを更に分割し、区間毎に求めた２次以上のモーメントの全区間に関する和を最大化するような方法も含めるものとする。
【００１９】
このように得られた係数は２次モーメントを用いた場合、因子負荷となり、線形和は主成分得点となる。２次以上のモーメントなどを用いた場合を一般化して、集約イベントファクターと集約イベント頻度と呼ぶことにする。
【００２０】
イベントログは一般にテキスト形式である。各イベントは１つの行に対応し、各項目は行中にカンマやスペースなどの特定の文字で区切って羅列される。場合によっては「項目名＝項目の内容」と言った形式のこともある。このようなイベントログを構成する個々のイベント間に、発生タイミングの面で関連があるか否かを目視で判断するのは非常に難しい。
【００２１】
前記イベント相関計算手段によれば、このようなイベントの間の相関を解析しグループ化を行った結果を出力するので、後述する脅威分析支援手段やアクション分析手段では、攻撃のパターンや範囲、あるいはそれが持つ危険性といった内容に限定でき、監視者の負担を大幅に軽減できる。また、このような内容を常時判断することにより、監視者の監視スキルが向上する。
【００２２】
脅威分析支援手段は、抽出された個々の集約イベントに対して、集約イベントファクターを監視者（分析者）へ判り易く提示する。脅威分析手段から提示されるのは、各集約イベントに対するイベント空間の点（各項目の値の組で決まる）の効果となる。イベント空間の点は、イベントログを構成する場所やイベント種別などの情報を持っているので、注目する集約イベントがどのような場所やイベント種別と強く関係するかを示している。たとえば、重要業務のサーバアドレスと関連の強い集約イベントであれば、それが危険な攻撃であると把握できる。また、スキャン系のイベント種別が強く関連するか、バッファオーバーフロー系のイベントが強く関係するかによっても、危険性の認識は違ってくる。
【００２３】
前記脅威分析支援手段は、このような分析者の判断を入力できるように構成することもできる。この場合、入力者の判断は計算機で扱えるよう定量的なものである必要がある。
【００２４】
アクション分析手段は、イベント相関計算手段の出力である集約イベント頻度データを監視者に判り易く提示するものである。監視者へは各集約イベントの発生頻度の時間変化が提示されるため、注目する集約イベントの発生タイミングに関する特徴を把握することができる。発生のパターンとその集約イベントが強く関係するイベント空間上の点（場所やイベント種別）から、その集約イベントの危険性の把握が可能になる。脅威分析支援手段と同様、監視者の判断を入力できるような構成とすることもできる。
【００２５】
本発明によるリアルタイムな表示は集約イベント表示手段によって行われる。集約イベント表示手段は、ある程度長期間のイベントログに対して、予め求めておいた集約イベントファクターと、オンラインで求めたイベント頻度計算手段の出力を元に、予め求めておいた集約イベントに関する現時点での頻度を計算し、ユーザに提示する。前記脅威分析手段や前記アクション分析手段に危険性の判断結果を入力する機能がある構成では、各集約イベントの危険度に基づき、それが高い値を示す集約イベントに関してのみ頻度を表示したり、高い値を示す集約イベントから優先的に表示する。
【００２６】
これにより、監視者は集約イベントの頻度変化のレベルでイベントログを監視することができる。すなわち、システムに対する不正侵入の動向（程度と変化）を文字ベースではなく、トレンドグラフで見ることであり、通常時の監視者の負担を大幅に軽減しながら、傾向の予測など人間が得意とする機能を有効に引き出すことが可能となる。
【００２７】
【発明の実施の形態】
以下、本発明の実施の形態を図面を用いて説明する。図１は一実施例による不正侵入分析装置を含む情報ネットワークシステムの構成を示し、監視対象のネットワーク、侵入検知装置１０６、及び本発明による不正侵入分析装置１１０を含む。
【００２８】
情報ネットワークシステムは、基幹ネットワークを構成するルータ１０８、サブネットワーク１０１，１０７、および監視対象の計算機などからなる。サブネットワーク１０１，１０７はそのバックボーンとなるルータ１２０，１０９、ならびに監視対象の端末、サーバなどからなる。基幹ネットワークから外部ネットークへ接続する場合、ファイアウォールを経由するのが通常の構成である。図１でも、ファイアウォール１０２を経由して外部ネットワーク１２３と繋がる構成としている。また、サブネットワークから外部ネットワークに接続する形態もある。図１の構成では、サブネットワーク１０１において、モデム１２１経由で外部ネットワーク（公衆網）１２２へ接続している。
【００２９】
侵入検知装置１０６は、基幹ネットワークへの不正なアクセス、サブネットワークへの不正なアクセスを監視できるように、各ネットワークにセンサを設置する。すなわち、基幹ネットワーク１０８、サブネトワーク１２０，１０９に、それぞれ、センサ１０３，１０５，１０４を設置している。不正侵入分析装置１１０は、侵入検知装置１０６の出力を入力としてデータ処理を行うため、基幹ネットワーク１０８に接続されている。
【００３０】
外部ネットワーク１２２，１２３とのアクセスは、それぞれセンサ１０５，１０３で分析され、異常と判断されるものは侵入検知装置１０６にその結果が送られる。
【００３１】
侵入検知装置１０６は、センサ１０３等の検知結果をロギングしたり、監視者へ提示したりする。場合によっては、複数のセンサで検知した異常で、明らかに同じパケットに基づくものを、同じ異常事象としてまとめたりする場合もある。例えば、外部ネットワーク１２３からサブネット１０１のサーバあるいは端末へのパケットは、センサ１０３およびセンサ１０５で検知される。このようなパケットに関する異常は纏めておくことが望ましい。
【００３２】
しかしながら、ファイアウォール１０２からルータ１０８、ルータ１０８からルータ１２０、ルータ１２０からサブネット１０１の端末あるいはサーバへのパケットは、各リンク上を伝送されるコピーである。すなわち、それぞれのネットワークを通過するタイミング、データリンク層レベルで見た時のヘッダなどに差があり、一つの実態を持つ物ではない。各センサはそのようなコピーをチェックしているに過ぎないため、同一性の確認は必ずしも簡単ではない。特に、不正侵入に使われるパケットは、データリンク層以上のネットワーク層に当たるＩＰヘッダや、更に上位のトランスミッション層であるＴＣＰヘッダやＵＤＰヘッダのレベル、更にはその上位のレベルで人為的に細工が施されている。このため、ＩＰヘッダやＴＣＰヘッダなど、同一性を判定する手がかりとなる情報を用いても、パケットの同一性を判断することが難しくなる。
【００３３】
また、センサ自体も大量に送受信されるパケットをワイヤスピードで処理するため、あまり複雑なロジックでの判定は困難である。このため、一般にはセンサ出力にはフェールスポジティブ（異常で無いものを異常とするという意味での間違い、フェールスネガティブは、異常を異常と検知しないこと）、いわゆる誤報が多い。
【００３４】
このように誤報が多いところで、それらを纏める機能には限界があるため、従来の異常検知装置は出力が膨大（元となるパケットの数から比べれば、圧倒的に少なくなっている）で、オペレータによる監視は必ずしも容易ではない。
【００３５】
本実施例による不正侵入分析装置１１０は、侵入検知装置１０６からの出力を入力としてデータの分析を行い、検知した異常（と思われる）事象をグループ化する。以下、その詳細を説明する。
【００３６】
侵入検知装置１０６の出力であるイベントログは大量のイベントに関する情報からなっている。図４にイベントログの時系列データとその写像関係のイメージの例を示す。各イベントには、ログ１２０１に示すようにそのイベントの検知時刻、そのイベントに関わるパケットの送受信アドレス（ＭＡＣアドレスおよび、ＩＰアドレス）、ポート番号、プロトコルタイプ、データ長などが含まれる。このように、データリンク層以上の各レイヤのプロトコルヘッダから取得できる様々な情報の他、該当した検知ロジックに対応するイベントの種別、イベントの重要度などの項目が含まれる。
【００３７】
このようなイベントログを構成する各イベントをポートに関する軸で見ると、２５（ＳＭＴＰ）、２１（ＦＴＰ）、９（Ｅｃｈｏ）などと言った離散的な点にマップ（写像）できる。プロトコルに関しても、ＴＣＰ、ＵＤＰ、ＩＣＭＰなどがあり、イベントの項目を軸とする多次元空間１２０２上の点にマップ（写像）することができる。イベントを構成する情報はイベントの発生時刻を除くと離散的な空間となっている。
【００３８】
なお、写像関係は図４に限らず、送信端末のＩＰアドレスや、受信端末のＩＰアドレス、送信側のＭＡＣアドレスや受信側のＭＡＣアドレスなどを用いても、同様にイベントをマップすることができる。
【００３９】
イベントグループ化手段１１１は、このようなイベントの項目情報に基づいて、各イベントを機械的に多次元空間上にマップし、イベントをグループ化する。イベントのグループ化に当たっては、予め侵入検知装置１０６の出力フォーマットから、空間の軸とする項目を選択し、その定義ファイルを予め作成しておく。イベントグループ化手段１１１は、この定義ファイルとイベントログを入力し、次のようなアルゴリズムによってイベントをグループ化する。
【００４０】
図２は、グループ化のアルゴリズムを示すフローチャートである。以下、このフローに従って説明する。ステップ２０１では、イベント空間において軸とする項目の定義ファイルを読み込む。
【００４１】
図５は定義ファイルの構成の一例を示している。項目名の区切り文字（この例ではスペース）が定まっていれば、定義ファイルは項目名のリスト９０１のようなもので良い。
【００４２】
ステップ２０２では、イベントログ８０１を読み込む。図６はイベントログの構成の一般的な形を示す。この例では、項目名を「Ｅ項目」や「Ｆ項目」などとしているが、実際には例えばＴＣＰフラッグやセンサＩＤなどの内容である。イベントログは項目名８０２と各イベントの値で構成される表形式となっている場合が多いが、必ずしも表である必要は無い。
【００４３】
ステップ２０３では、ステップ２０２で読み込んだイベントログに含まれる全てのイベントに関して、ステップ２０１で読み込んだ定義ファイルで定義された項目をチェックし、それらの項目がどのような値を採っているかを記録する。図６の例では、一点鎖線四角のＩＰａｄｄｒ８０３，Ｐｏｒｔ８０４，種別８０５の内容をチェックする。ステップ２０３に関しては後述する図３のように実施できる。
【００４４】
なお、図６のイベントログ８０１の中身の一部は「ｅｅ０００１」のような記載になっているが、例えばその項目名がポート番号であれば、実際には２１や８０、２０、８などの値となる。また、項目名がＩＰアドレスであれば、１９２．１６８．１．１と言った値になる。
【００４５】
ステップ２０４では、ステップ２０３で得られた各項目の採り得る値から、ユニークな組を作る。例えば、項目がＸとＹの２つであり、ＸがＸ１，Ｘ２，Ｘ３の値を、ＹがＹ１、Ｙ２の値を採ることが判ったとする。この場合、（Ｘ１，Ｙ１）、（Ｘ１，Ｙ２）、（Ｘ２，Ｙ１）、（Ｘ２，Ｙ２）、（Ｘ３，Ｙ１）、（Ｘ３，Ｙ２）の６つの組を作る。これらに関して、リストを一つずつ作成し、それぞれ（Ｘ１，Ｙ１）の値の組で検索できるハッシュテーブルに登録する。
【００４６】
図６の例では、項目ＩＰａｄｄｒ、Ｐｏｒｔおよび種別の値について以下の組が作られる。（１．２．３．４，２１，○○攻撃），（１．２．３．４，２１，××攻撃），（１．２．３．４，２１，△スキャン），（１．２．３．４，２３，○○攻撃），（１．２．３．４，２３，××攻撃），（１．２．３．４，２３，△スキャン），（５．６．７．８，２１，○○攻撃），（５．６．７．８，２１，××攻撃），（５．６．７．８，２１，△スキャン），（５．６．７．８，２３，○○攻撃），（５．６．７．８，２３，××攻撃），（５．６．７．８，２３，△スキャン）の１２組である。
【００４７】
ステップ２０５では、ステップ２０２で読み込んだイベントログを構成する全イベントに関して、ステップ２０１で読み込んだ定義項目を再度チェックし、そのイベントがどのような値の組合せを持つかを求める。先述の例で、例えば（Ｘ３，Ｙ２）であったとすると、この値を使ってステップ２０４で作成したハッシュテーブルを検索し、該当するリストに当該イベントの全情報を追加する。登録するのは、そのアドレス情報など、イベントに関する情報が全て参照できる方式であればどのような方式でもよい。
【００４８】
最後にステップ２０６では、ステップ２０４で作成したハッシュテーブルを先頭からチェックし、イベントが格納されたリンクに関して「項目の値の組」とそれに該当するイベントのリストを出力する。
【００４９】
図７にイベントリストの出力イメージを示す。元のイベントログ１３０１を、イベント空間の軸とする項目の定義ファイル１３０２に従って、イベントグループ化手段１１１でグループ化した様子を示している。「項目の値の組」１３０３に対して、定義ファイル１３０２で指定された項目が一致するログだけが選択され、１つのログ１３０４として纏められる。
【００５０】
この例では、定義ファイル１３０２の項目Ａ、Ｄ、Ｈに対し、それらの項目の値が、ａａ０００１、ｄｄ０００１、ｈｈ０００１となる組と、ａａ０００２，ｄｄ０００２，ｈｈ０００２となる組と、ａａ０００１，ｄｄ０００１，ｈｈ０００２となる組と、ａａ０００１，ｄｄ０００２，ｈｈ０００１となる組の４組がある。ここでは、ａａ０００１，ｄｄ０００２，ｈｈ０００１となる組と、ａａ０００１、ｄｄ０００１、ｈｈ０００１となる組の２組についてイベントログ情報１３０４を示している。
【００５１】
本実施例ではイベントのリストとして、イベントログに含められていた全ての情報を出力している。しかし、最低限必要な情報は「項目の値の組」１３０３と時刻だけある。時刻以外の情報を除いたログ（つまり時刻リスト）としても良い。時刻リストの場合は、ステップ２０４のハッシュテーブルへの格納の段階で、時刻のみを登録する方式とすることも出来る。
【００５２】
図３は、ステップ２０３の処理方法の一例を示している。ステップ３０１では、ステップ２０１で読み込んだ定義項目に関してハッシュテーブルを作成する。次に、イベントログからイベントを一つ取り出す（ステップ３０２）。そのイベントの各項目の値に関して、それぞれの項目に対応するハッシュテーブルから、その値が既に登録されているかをチェックする（ステップ３０３）。既に登録されていれば、その項目に関しては何もしない。値が未登録の項目があった場合は、その項目に新しい値を登録する（ステップ３０４）。次に、まだチェックが済んでいないイベントがあるかをチェックする（ステップ３０５）。イベントが有ればステップ３０２以降の処理を繰り返す。無ければ処理を終了する。
【００５３】
ここでは、イベントログが空であることを想定していないので、ｄｏ−ｗｈｉｌｅ型の論理にしているが、ステップ３０５をステップ３０１の次に持ってくるｗｈｉｌｅ−ｄｏ型の論理でも良い。
【００５４】
図２および図３の説明ではハッシュテーブルを使用しているが、機能面だけを考えれば、必ずしもハッシュテーブルである必要は無く、より簡単なリンクリストや予め十分な領域を確保した通常のテーブルでも良い。また動的にテーブルの数を変更できるのであれば、データベースマネージメントシステムを利用してもよい。
【００５５】
イベント空間を張る軸の数、すなわちステップ２０１で読み込む項目数が多くなったり、各軸の取り得る値が多くなったりすると、その組合せに対して作成するステップ２０４のリストの数が膨大になる。また各リストに登録されるイベントの数は少なくなってしまう。このため、例えばＩＰアドレスはネットワークアドレスレベルでチェックするといった方法をとっても良い。特定のサーバなど重要なマシンは端末アドレスレベルまで使用するといった組合せも考えられる。
【００５６】
イベント頻度計算手段１１２では、イベントグループ化手段１１１の出力を読み込み、「項目の値の組」毎にグループ化されたイベントのリストから、その発生頻度の時間変化を計算して出力する。
【００５７】
発生頻度は、イベントのリストに含まれるイベントの発生時刻をチェックし、一定期間（以下、サンプリング期間）に含まれるイベントの数を集計するだけでよい。サンプリングの周期は監視者が指定する。
【００５８】
図８に集計した頻度データを示す。「項目の値の組」１４０１毎に、時刻１４０２と頻度１４０３のデータで構成される。データの出力形式としては、「項目の値の組」毎に頻度データベクトルと時刻データベクトルを出力する。「項目の値の組」毎に頻度の時系列データだけとし、時刻は初期時刻とサンプリング間隔だけでも良い。なお、図８の例ではサンプリング間隔を１５単位時間とした。
【００５９】
ここまでの処理では、イベント空間の軸とする項目の定義ファイル１３０２によって、イベントログを構成する項目のどれに着目するかを指定するだけで、イベントのグループ化には、ＩＦ−ＴＨＥＮ型のルールを必要としない。
【００６０】
イベント相関計算手段１１３は、イベント頻度計算手段１１２の出力である頻度データを入力として、それらの相関関係を求める。相関の分析は、「項目の値の組」毎の頻度データ１５０１を基に、実施する。例えば、「項目の値の組」が先ほどの例同様、（Ｘ１，Ｙ１）〜（Ｘ３，Ｙ２）までの６通り有り、各頻度データが、１０００サンプルのデータからなっているとする。
【００６１】
図９に頻度データから「項目の値の組」の頻度で張られる空間への写像関係を示す。同時刻のデータ１５０２を、「項目の値の組」を一つの次元とする６次元空間上の点に写像すると、このような点が１０００個作成できる。これらの６次元ベクトルは各サンプル時刻における「頻度の組」を表している。ここでは、このようにして得られた「頻度の組」データを基に、「項目の値の組」の相関関係を求める。
【００６２】
２次のモーメントを用いて相関関係を求める場合は、「頻度の組」データを用いて主成分分析を行う。全体の変動を最もよく表す成分が第一主成分、その成分に直交（無相関）し、二番目に良く全体の変動を表す成分が第二主成分となる。主成分分析については、多変量解析の教科書に詳しく記載されているが、例えば、有馬哲、石村貞夫共著の「他変量解析のはなし」東京図書などに簡単に解説されている。
【００６３】
２次のモーメントで分析した集約イベントは、全体を一纏めで見るような効果がある。このため、２次のモーメントの特に第一主成分に基づく集約イベント頻度が大きな値を示している場合は、ネットワーク全体の負荷が大きい場合や、システム全体の再起動や構成変更などが予想される。このような成分と、他の次数のモーメントを用いた集約イベント頻度を比較することにより、全体的な動きに対する各集約イベントの動きを監視することができ、特異な動きをするものを見つけ易くできる効果もある。正常業務の時間帯とそれに使用するサーバなどの対応がわかっていれば、その時間帯以外に比較的大きな頻度のある集約イベントが、当該サーバと関わっているかという観点で分析する。これにより、異常が不正であるか誤報であるかを判断する材料とできる。
【００６４】
相関分析の結果得られる主成分の方向ベクトルと、「頻度の組」データが張る空間（異なる「項目の値の組」の頻度が軸となる）の関係を説明する。
【００６５】
図１０は集約イベント及び集約イベントファクターと項目の値の組の関係を示す説明図である。簡単のため、「項目の値の組」が２種類しかない場合を例示している。軸の余弦は、「項目の値の組」が各主成分にどれくらい影響を持っているか（図１０では寄与度と説明）を表している。この全ての「項目の値の組」と主成分の方向ベクトルとの余弦を集約イベントファクターとして出力し、集約イベントファクターデータベース１１４へ格納する。従って、集約イベントデータベース１１４には、「項目の値の組」が集約イベント（すなわち２次のモーメントを用いた場合には主成分）に対して、どれくらい影響を持つかを表す数値が格納される。
【００６６】
このような相関分析により、集約イベントの情報を抽出することができる。図１１は集約イベントのデータ構成を示している。集約イベントファクターは図の“ファクタ”で示した列、例えば０．８７などの数値である。集約イベントの詳細は、脅威分析手段１１５の説明で詳しく述べる。
【００６７】
なお、図１０に示すように、集約イベントファクターと相関の取得方法とは直接関係しない。すなわち、２次のモーメント以外の場合でも、集約イベントと「項目の値の組」との関係を表す事は変わらない。
【００６８】
ある時刻の「頻度の組」データから各主成分の軸に下ろした垂線の足の値が、そのデータの主成分得点である。全ての時刻についてこの主成分得点を求め、これを時系列順に並べた結果を集約イベント頻度データ１１８としてアクション分析手段１１６に出力する。
【００６９】
なお、抽出する成分の数は予め監視者が設定するものとする。例えば、「項目の値の組」のイベント頻度が多い方から順にイベントの頻度が全体の９割となるまで「項目の値の組」を抽出し、これらの数と同じ数だけ、主成分を求めるといった方法がある。
【００７０】
４次のモーメントを用いる場合は独立成分解析を行う。独立成分解析は、例えば計測自動制御学会の学会誌である「計測と制御」ｖｏｌ３８Ｎｏ７「独立成分解析の信号処理への応用」に解説されているように、音源分離などに用いられる手法である。音源分離では、複数のセンサでサンプリングした複数の音源からの音を、同時に強くなったり弱くなったりする成分が少なくなるように、すなわち互いが無関係になるように信号を処理する。
【００７１】
本実施例では、音源分離のセンサに相当するものを「項目の値の組」と考える。そして、異なる２つ以上の「項目の値の組」が同時に発生する確率が高い場合、それらは一つの攻撃を構成するパケットが別々の異常として検知されている可能性が高いと判断する。このような同時に発生する確率の高い複数の「項目の値の組」を纏めるために、独立成分解析を用いる。
【００７２】
なお、一般にｎ次のモーメントで相関を求める場合、初めに２次のモーメントである主成分分析を行い、所定の数の主成分を求める。次に必要に応じて、各主成分の分散を用いて、各主成分を正規化する（分散が１となるように調整する）。この主成分の方向ベクトルを多次元空間上に微小に回転させ、「頻度の組」データから回転後の軸に下ろした垂線の足の値を求め、このデータのｎ次のモーメントを求め、これが最大となるように主成分の方向ベクトルを回転させる。このように初期位置から微小回転して最大値を求める方法は、大域的な最適値を求められる保証はなく、局大値となる場合もある。
【００７３】
４次のモーメントを用いる場合は、データの尖がり具合を評価関数とする。なお、時系列データは多峰的な形であるのが普通である。このようなｎ次のモーメントはデータが正規分布（単峰的）から、どれだけ左右アンバランスに歪むか（３次モーメント）、どれだけ尖がるか（４次モーメント）を評価する尺度である。そのため、データを複数の区間に分割し、個々にモーメントを求め、その合計を最大化するように主成分の方向ベクトルを回転する必要がある。また、頻度をその分散で正規化してから４次のモーメントを評価しても良い。このようにすると、個々のイベントの頻度の絶対値に影響され難くなり、尖り具合という波形の特徴に基づく評価が正確になる。
【００７４】
４次のモーメントに基づく相関を用いる独立成分解析によって、音源分離の場合と同様に、同時に発生する確率の高い複数の「項目の値の組み」を抽出することができる。従って、２次のモーメントに基づく相関と４次のモーメントに基づく相関を併用することで、全体の動き（頻度）と、同時性の強いイベント（攻撃種別やアドレスなどの組合せレベルでの）の動き（頻度）の関係から、特異な挙動とそれに関わる攻撃種別などを容易に知ることができる。
【００７５】
別の実施形態として、４次のモーメントではなく、「項目の値の組」の頻度データの相関係数を求め、相関係数が有意に高いものを組にして、その組に含まれる「項目の値の組」の集約イベントファクターの値を出力する方法もある。すなわち、１（正の相関）、−１（負の高い相関）、それ以外を０として出力し、集約イベント頻度は、「項目の値の組」のイベント頻度とその集約イベントファクターの積の平均値を用いる。この場合も、頻度データを予めその分散で正規化しても良い。このような方法で、「項目の値の組」の相関関係を求めると、同時に発生する確率が高い「項目の値の組」を纏めることができる。
【００７６】
本実施例のイベント相関計算手段１１３によれば、イベントの間の相関を解析してグループ化を行い、グループとしての頻度が、集約イベント頻度１１８として出力される。また、２次のモーメントを用いた場合で説明したように、その様な集約イベントを構成する各項目の値がどのような物で、それらがどの位の割合で寄与しているかは、集約イベントファクター１１４として出力される。
【００７７】
ある値を持つイベントと別の値を持つイベントが、ほぼ同じように発生しているかといった判断は、テキストで書かれたデータの羅列を大量に読み、その値の組を大量に記憶し、時刻が同じかを判断するなど、人間にとっては退屈かつ不向きで、困難な作業である。本実施例のイベントグループ化手段１１１、イベント頻度計算手段１１２及びイベント相関計算手段１１３は、これらの作業をコンピュータ処理してくれるため、イベントログの監視作業における非人間的な作業要素を排除でき、監視者の負担を軽減できる効果がある。
【００７８】
続いて、本発明の脅威分析支援手段１１５、アクション分析手段１１６、集約イベント表示手段１１７について述べる。脅威分析手段１１５とアクション分析手段１１６は、オフラインでのログの分析に用いる機能であり、集約イベント表示手段１１７は、オンラインでのシステム監視に使用する機能である。
【００７９】
脅威分析支援手段１１５とアクション分析手段１１６は、イベント集約手段（イベント頻度計算手段１１２とイベント相関計算手段１１３）の出力をユーザに表示し、ユーザの分析作業を支援する。集約イベント表示手段は、予め計算された集約イベントファクターとイベント頻度計算手段１１２の出力を元に、集約イベントの頻度変化をリアルタイムで表示し、ユーザの監視作業を支援する。
【００８０】
脅威分析手段１１５は、イベント相関計算手段１１３が求めた集約イベントファクターを判り易く、あるいは扱い易く監視者に提示するＩ／Ｆ機能を担う。アクション分析手段１１６も、イベント相関計算手段１１３が求めた集約イベント頻度を判り易く提示するＩ／Ｆ機能を担っている。たとえば、脅威分析手段１１５やアクション分析手段１１６は監視すべき集約イベントに優先順位を与える方式とし、分析の過程で必要な項目の値の確認を容易に実施できるように監視者を支援する。集約イベント表示手段はこの優先順位に基づいて、優先順位の高い集約イベントに限定して表示することで、ユーザの負担を軽減することも可能となる。
【００８１】
図１１は脅威分析支援手段の出力（集約イベント）のデータ構成図である。たとえば、集約イベント（１）の情報４０１は、それを構成する「項目の組」４０２の値とファクタの値で表される（第二組目の項目の値の組は破線四角４０３）。何番目の「項目の値の組」であるかを横軸に、ファクタを縦軸にした棒グラフなどで表示する。棒グラフの詳細として、各バーの項目の値を表示するような構成でも良い。
【００８２】
図１１の例では、「項目の値の組」をスクロールできるようにしている。この場合、全ての組について表示しても良いし、ファクタに閾値を設け、所定の値以上となる項目についてのみ表示しても良い。
【００８３】
集約イベントファクターで大きな値（ファクタ）を持つ「項目の値の組」は、その集約イベントに対して強い影響を持っている。このような強い影響を持つ「項目の値」を見ることで、その集約イベントがどのような物であるか判断できる。図１１の例では、集約イベント１の攻撃種別はＳＹＮＦｌｏｏｄタイプであるが、複数のポート（８０，２１，．．）を狙っていることが判る。また、集約イベント（２）はポート２１番を選択的に攻撃していることがわかる。
【００８４】
図示はしていないが、どのアドレスとどのアドレスで集中的に異常が起きているかという情報からは、攻撃者の興味のあるネットワークあるいは機器が判る可能性が高い。検知できたイベントの攻撃種別からは、スキャンか、その先の制御権を獲得しようとしているのか、サービスを停止させようとしているか等、攻撃の狙いや段階が判る。ＭＡＣアドレスからは、どこのネットワークを経由して侵入しているか、内部からの攻撃かと言ったことが判る。また、複数の外部接続経路がある場合は、ＭＡＣアドレスからどのファイアウォールに近いリンクでイベントが検知されているかが判る。このため、それらの情報から、攻撃（異常）が分散型の攻撃か否かなどを判断できる。イベント種別の組合せや手順からも攻撃の狙いやスキルが判断できる。
【００８５】
アクション分析手段１１６は、イベント相関計算手段１１３の出力である集約イベント頻度１１８を監視者に表示する。図１２に、アクション分析手段の出力である表示形態を示す。横軸５０１が時刻軸、縦軸５０２が頻度軸である。ボタン５０３はイベントファクターを確認するためのもので、アクション分析から集約イベントファクターを確認するために、イベント相関計算手段１１３との間に結線１１８が設けられている。また、表示している内容がどの集約イベントであるかを表す表示部５０４もある。
【００８６】
アクション分析手段１１６はこのような表示をするので、監視者（分析者）は、全体の傾向、たとえば急激な集約イベント頻度の増大、集約イベント頻度の変化のパターンなどを、一目で把握することができる。
【００８７】
また、周期的あるいは毎正時や一日の決まった時間帯に発生するイベントであるか、否かが判る。特に周期的なイベントは何らかのシステムの設定異常によるものである可能性が高く、イベントファクターの確認により内容を確認し、監視の要否を判断できる。このように集約イベント頻度は集約イベントの分析の優先付けの判断に使用することができる。
【００８８】
脅威分析支援手段１１５やアクション分析手段１１６を用いた監視者（分析者）の判断結果を取り込む機能を設ける実施例では、ユーザに対して監視の重要性を選択させることができる。例えば数値で０〜５段階の値を選択させ、この値と集約イベントの番号を対応付けたデータを、集約イベント表示手段１１７へ出力する処理を行うことができる。
【００８９】
集約イベント表示手段１１７は、予め（オフラインにより）計算しておいた集約イベントファクターと、リアルタイムで求めたイベント頻度計算手段１１２からの出力から、その時点での集約イベントの頻度を計算し、図１２と同様な画面に表示する。脅威分析支援手段１１５やアクション分析手段１１６で、集約イベントに重要度を設定した場合は、重要度の高いものだけ表示する方法を採っても良い。
【００９０】
これにより、監視者は集約イベントの頻度変化のレベルでイベントログを監視することができる。すなわち、システムに対する不正侵入の動向（程度と変化）を文字ベースではなく、トレンドグラフベースで見ることにより、通常時の監視者の負担を大幅に軽減しながら、傾向の予測など人間が得意とする機能を有効に引き出すことが可能となる。
【００９１】
オンラインでのシステム監視ではなく、定期的なシステム監査など、事後的な用途に使用する場合は、集約イベント表示手段１１７を有さない構成としても良い。
【００９２】
また、集約イベントは通常のアナログ信号と同じ時刻とアナログ値という形態であることから、複数の集約イベントから異常の有無を判定する方法として、ニューラルネットワークやウェーブレット変換などを用いて、異常検知を自動化したり、より判り易くするといったことも可能である。
【００９３】
以上の実施例によれば、不正侵入分析装置は侵入検知装置の出力するイベントログに記載されたイベントに付随するアドレスやイベント種別などの値の組が、他のどの値の組と発生タイミングが一致するかと言う点で相関を求めることができる。それと共に、相関の高いイベントを一纏めにした集約イベントの発生頻度の時間変化を表示することができる。
【００９４】
また、イベントが集約され、その頻度変化が表示されるので、監視の負担が少ないばかりでなく、傾向の予測ができるようになる。また監視時の緊張度の制御が可能となる。
【００９５】
本発明の第２の実施例を説明する。図１３は第２の実施例による不正侵入分析装置を含む情報システムを示している。本実施例では、通信パケットから異常を検知するネットワーク型の侵入検知装置１０６に加えて、ホスト型の侵入検知装置６０４，６０５を含むシステムとしている。
【００９６】
不正侵入分析装置６００は、ネットワーク型侵入検知装置の出力をグルーピングするネットワーク型侵入検知イベントグループ化手段６０１と、ホスト型侵入検知装置の出力をグループ化するホスト型侵入検知イベントグループ化手段６０２を設けている。さらに、ファイアウォールの出力をグループ化するファイアウォールイベントグループ化手段６０３を設け、各々のイベントログに含まれる項目の値毎にイベントログを分割し、イベント頻度計算手段１１２へ出力する構成としている。それ以外の構成は図１の実施例と同じである。
【００９７】
この他にも、サーバなどの計算機のシステムログについて、それをグループ化する侵入検知イベントグループ化手段６０１等と同様なシステムロググループ化手段を設ければ、システムログも処理することが可能である。
【００９８】
なお、システムログは監視対象の計算機のハードディスクに記録されるのが一般的である。従って、システムログをシステムロググループ化手段へ送信する処理が監視対象計算機内で実行されることも必要となる。これについては、別の形態として、システムロググループ化手段がＦｔｐサービスなどを利用して、監視対象計算機からシステムログを取得するという方式でもよい。
【００９９】
図１の説明で述べたように、イベント相関計算手段１１３は「項目の値の組」毎の分割されたイベントログのイベント頻度の相関を元に、「項目の値の組」をグループ化する。このため、特許文献１のように、グループ化できるための必要条件として、「項目の値」が類似しているという制約がない。従って、ネットワーク型侵入検知装置、ホスト型侵入検知装置、ファイアウォール、システムログ等、異なる情報やロジックを元に異常を検知する装置から出力されるイベントログもグループ化することができ、攻撃や異常がシステムに及ぼす影響を多面的に捉えることが容易になる。
【０１００】
このような異なる形式のイベントログの相関をとるために必要なことは、ネットワーク型侵入検知装置、ホスト型侵入検知装置、ファイアウォール、システムログと言ったイベントソースの出力形式を同一フォーマットにする機能である。
【０１０１】
即ち、他のイベントソースからのイベントログに有って、特定のイベントソースからのイベントログに無い項目が有る場合に、特定のイベントソースからの出力に不足する項目を追加し、各イベントの当該項目の値を、例えば「該当なし」の値に設定することである。
【０１０２】
このため、それぞれのイベントソースから空間の軸とする項目の値をチェックし、その値に基づいてイベントをグループ化するイベントグループ化手段６０１−６０３に対して、それぞれのイベントソース出力のどの項目を、空間の軸となる項目に対応させるかを定義しておく。また、空間の軸となる項目に対応する項目が無い場合には、その項目の値のデフォルト値を決めておく。以下、このような不足項目の有無のチェックとデフォルト値設定の例を説明する。
【０１０３】
図１４は本実施例によるグループ化のアルゴリズムを示すフローチャートである。また、図１５はイベントソースのイベントログの出力の一例を、図１６は図１４のステップ７０１で使用する「イベント空間の軸とイベントソース出力の対応の定義ファイル」の構成を示している。
【０１０４】
図１４は基本的に図２と同様な処理である。図５に示したイベント空間の定義ファイルを読み込んだ後（ステップ２０１）、図１６に示すイベント空間の軸１１０２とイベントソース出力の対応表（定義ファイル）１１０１を読み込む（ステップ７０１）。イベント空間の軸１１０２に対応する項目が、イベントソースの出力に無い場合は、デフォルト値の設定を行う。たとえば、図１６の一点鎖線四角１１０４で示す“項目なし”のように項目名の替わりにダブルコーテーションで括るなど、それがイベントソース出力の項目名では無く、デフォルト値であることを示す特定の記号とセットで記載する。
【０１０５】
次に、図１５に示す所定期間分のイベントログを読み込み（ステップ２０２）、イベントログの項目名をステップ７０１で読み込んだ定義に基づいて変更する（ステップ７０２）。すなわち、イベントの項目名とイベント出力の対応から、イベントソース出力１００１の項目名１００２を図１６の対応表１１０１に基づいて修正する。不足する項目がある場合には、対応表１１０１に従い、不足する項目を追加し、その値を全てデフォルト値とする。
【０１０６】
以下は、図２と同じ処理で、ステップ２０１で読み込んだ各軸に関して、ステップ７０２で加工したイベントログの各イベントの値を重複無く記録し（ステップ７０３）、各軸の値の組合せリストごとにハッシュテーブルに登録する（ステップ７０４）。リストの先頭は、その軸の値の組合せで参照できるように登録する。さらに、ステップ７０２で加工したイベントログの各イベントについて、項目の値から登録すべきリストをハッシュテーブルから検索し、そのリストにイベントの内容あるいはそのアドレス情報を登録する。最後に、ステップ２０６で、イベントが登録されているリストの全情報を出力する。
【０１０７】
本実施例によれば、複数の異なる情報、ロジックを元に検知されたイベントを関連付ける。脅威分析支援手段に表示される内容も、単なるネットワーク型侵入検知装置のログの値だけでなく、ほぼ同時に発生するホスト型侵入検知装置のログの値や、ファイアウォールのログの値、システムログの値などが含まれる。
【０１０８】
このため、単に異常のあるパケットがあったという情報だけでなく、それがシステムにどのような影響を与えているかを把握できる。また、ファイアウォールでブロックされ、システムに侵入できなかったどのようなパケットと関連しているかを把握できる。前者のように、システムへの影響が分かれば、対処の緊急性の把握や、異常パケットの効果を把握しやすくなる。後者のように、システムに影響を及ぼさなかった関連攻撃が多いまたは少ないで、相手のスキルや、自システムの情報がどれくらい把握されているかを把握しやすくなる。このように複数のシステムのログを用いることにより、発生している現象の理解を深めやすくなる効果がある。
【０１０９】
【発明の効果】
本発明の不正侵入分析装置によれば、イベントの属性であるイベント種別やアドレスなどの違いを考慮したイベント間の同時相関に基づいて複数のイベントが機械的にグループ化されるため、監視の負担が低減できる効果がある。たとえば、監視者は相関があるイベントのアドレスやイベント種別、並びに、その発生頻度の時間変化などから、それが本当に不正であるのか、単なる設定ミスなのかといった判断を容易にできる。
【０１１０】
本発明の不正侵入分析装置によれば、侵入検知装置の出力するイベントログに記載されたイベントに付随するアドレスやイベント種別などの値の組が、他のどのような値の組と発生タイミングが一致するかと言う相関を求めることができる。それと共に、相関の高いイベントを一纏めにした集約イベントの発生頻度の時間変化を表示することができるので、監視者の負担を軽減しながら傾向の予測などを可能にする。
【図面の簡単な説明】
【図１】本発明の一実施例による不正侵入分析装置を含む情報システムの構成を示すブロック図。
【図２】イベントグループ化手段のグループ化アルゴリズムを示すフローチャート。
【図３】イベントを構成する項目の値の組を重複無く抽出する手順のフローチャート。
【図４】イベントログデータと、イベントの項目で張られる空間への写像の説明図。
【図５】イベント空間の軸の定義ファイルの一例を示す説明図。
【図６】イベントログ（ソース）の一例を示す説明図。
【図７】イベントログを「項目の値の組」毎に分離する様子を示す説明図。
【図８】頻度データのイメージ図。
【図９】頻度データから「項目の値の組」の頻度で張られる空間への写像の説明図。
【図１０】集約イベント及び集約イベントファクタと項目の値の組の関係の説明図。
【図１１】脅威分析支援手段の表示の一例を示す説明図。
【図１２】アクション分析手段の表示の一例を示す説明図。
【図１３】本発明の第２の実施例による不正侵入分析装置を含む情報システムの構成を示すブロック図。
【図１４】イベントソースのグループ化アルゴリズムを示すフローチャート。
【図１５】イベントソースの別の出力の一例を示す説明図。
【図１６】イベント空間の軸とイベントソースの対応表（定義表）の一例を示す説明図。
【符号の説明】
１０１，１０７…監視対象サブネット、１０２…ファイアウォール、１０３−１０５…センサ、１０６…侵入検知装置、１０８，１０９，１２０…ルータ、１１０，６００…不正侵入分析装置、１１１…イベントグループ化手段、１１２…イベント頻度計算手段、１１３…イベント相関計算手段、１１４…集約イベントファクターデータベース、１１５…脅威分析支援手段、１１６…アクション分析手段、１１７…集約イベント表示手段、１２２，１２３…外部ネットワーク、６０１…ネットワーク侵入検知イベントグループ化手段、６０２…ホスト型侵入検知イベントグループ化手段、６０３…ファイアウォールイベントグループ化手段、６０４，６０５…ホスト型侵入検知装置。

Claims (10)

1. ネットワーク上の異常なアクセスをロギングした侵入検知装置の出力するイベントログを分析する不正侵入分析装置において、
   前記イベントログを構成する複数の項目に対し、前記項目の値の組合せにより前記イベントログをグループ化して区別するイベントグループ化手段を設けることを特徴とする不正侵入分析装置。
2. 請求項１において、
   前記イベントグループ化手段は、前記イベントログを構成する項目の内、予め定められた特定の項目の組合せでイベントをグループ化することを特徴とする不正侵入分析装置。
3. ネットワーク上の異常なアクセスをロギングした侵入検知装置の出力するイベントログを分析する不正侵入分析装置において、
   ネットワーク型侵入検知装置の出力であるイベントログを入力し、その項目の値の組合せでイベントログをグループ化するネットワーク侵入検知イベントグループ化手段と、ホスト型侵入検知装置の出力ログであるイベントログを入力し、その項目の値の組合せでイベントログをグループ化するホスト型侵入検知イベントグループ化手段と、ファイアウォールのイベントログを構成する項目の値の組合せでイベントログをグループ化するファイアウォールイベントグループ化手段を含むイベントグループ化手段を設けることを特徴とする不正侵入分析装置。
4. 請求項３において、
   サーバなどの計算機のシステムログを構成する項目の値の組合せでシステムログをグループ化するシステムロググループ化手段を設けることを特徴とする不正侵入分析装置。
5. 請求項３または４において、
   前記イベントグループ化手段は、前記イベントログを構成する項目の内、予め定められた特定の項目の組合せでイベントをグループ化すると共に、他のグループに有って自己のグループに無い項目をデフォルト値で設定することを特徴とする不正侵入分析装置。
6. 請求項１−５のいずれかにおいて、
   前記イベントグループ化手段から出力される前記項目の値の組毎にグループ化されたイベントリストから、イベントの発生頻度の時間変化を計算し、前記発生頻度の時間毎の組を基に複数の項目の値の組の相関関係を求めるイベント集約手段を設けることを特徴とする不正侵入分析装置。
7. 請求項６において、
   前記イベント集約手段は項目の値の組の相関に基づいて、前記イベントを集約した集約イベントを出力することを特徴とする不正侵入分析装置。
8. 請求項７において、
   前記集約イベントと、その寄与の割合を示す集約イベントファクターを表示することを特徴とする不正侵入分析装置。
9. 請求項７または８において、
   前記集約イベントの時間変化を表示することを特徴とする不正侵入分析装置。
10. ネットワーク上の異常なアクセスをロギングする侵入検知装置を備える情報ネットワークシステムにおいて、
    前記侵入検知装置の出力ログを分析する請求項１から請求項９の何れかに記載の不正侵入分析装置を設けることを特徴とする情報ネットワークシステム。

Images