インシデント監視装置，方法，プログラム
【課題】 監視対象への被害を最小限にするために，検出したインシデントの分析時間を短縮できる分析用情報を出力できる装置を実現する。
【解決手段】 インシデント監視装置１は，センサ３が検出したインシデントのログ情報をイベント・ログ記憶部１０から取得して，検出件数等をもとに重要度を判定する。また，一定の時間範囲内のインシデントの検出数と所定の組み合わせ条件の該当件数が閾値以上であるかを判定する。重要度が高いインシデント名，件数が閾値を超えるインシデント名の情報を編集し管理者端末６に出力する。また，編集した情報をもとに，検出したインシデント名ごとの分析用情報を生成する。生成中に，インシデント・ログ内のグローバルＩＰの割り当て先の組織情報をインターネットレジストリの管理サーバ５へ問い合わせ，組織情報を含む分析用情報を生成して出力する。
【解決手段】 インシデント監視装置１は，センサ３が検出したインシデントのログ情報をイベント・ログ記憶部１０から取得して，検出件数等をもとに重要度を判定する。また，一定の時間範囲内のインシデントの検出数と所定の組み合わせ条件の該当件数が閾値以上であるかを判定する。重要度が高いインシデント名，件数が閾値を超えるインシデント名の情報を編集し管理者端末６に出力する。また，編集した情報をもとに，検出したインシデント名ごとの分析用情報を生成する。生成中に，インシデント・ログ内のグローバルＩＰの割り当て先の組織情報をインターネットレジストリの管理サーバ５へ問い合わせ，組織情報を含む分析用情報を生成して出力する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，コンピュータシステムへの不正アクセスを検出するために，ネットワークに接続するコンピュータシステムでのインシデントの発生を監視して，インシデント検出の通知と，インシデントの分析用情報の出力とを行うインシデント監視装置，方法，プログラムに関する。
【背景技術】
【０００２】
コンピュータ間のデータ通信，コンピュータでのイベントを監視してセキュリティ上問題となる事象（セキュリティ・インシデント）を検出する不正侵入検知装置（ＩＤＳ），不正侵入防御装置（ＩＰＳ）等が知られている。
【０００３】
また，監視対象システムとネットワークとの間に設けたファイアウォールで通信ログを収集し，収集した通信ログを解析してセキュリティ・インシデントを検出し，検出したセキュリティ・インシデントに関するアドバイス情報を所定の宛先に通知して，閲覧可能な状態にする監視装置が知られている（例えば，特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−２９５２３２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記のＩＤＳ，ＩＰＳ等の検出装置（以下，センサ）で検出される，通常と異なる事象（以下，インシデントという）は，多種多様であるうえ，監視対象のコンピュータシステムに対する脅威の度合いも異なっている。したがって，検出されたインシデントがシステムへ与える影響を分析して，脅威が大きいインシデントに対する対処を優先的に行えるようにする必要がある。
【０００６】
また，上記のＩＤＳ，ＩＰＳ等によって監視対象のシステムへの不正アクセスを発見し，システムへの影響を最小限に抑制するための対処を行うには，検出されたインシデントを迅速に分析する必要がある。
【０００７】
しかし，センサからは，随時，システムへの影響の無いインシデントを含めて，多種多量かつシステムへの脅威の程度が異なるインシデントが検出され続ける。このような状況下において，システムへの影響が大きいと考えられるインシデントを優先しながら，全てのインシデントに対して分析処理を行うことは困難である。
【０００８】
また，多くのインシデントは，通知されたインシデント名だけではシステムへの影響の度合いが判別できず，より詳細な分析処理として，例えば，攻撃の方向，単位時間あたりのインシデント検出件数，トリガと攻撃対象の脆弱性との関連性等の確認を行う作業が必要である。しかし，センサが出力する多種多量のインシデントが混在するインシデントのログ情報（インシデント・ログ）から，プライオリティに応じた優先順位でインシデントを分析することは，多くの時間と労力が必要となる。
【０００９】
従来のインシデント分析の際に，以下のような問題が生じている。
【００１０】
（１）インシデントには，単位時間あたりの検出件数によって，システムへの影響の程度が異なってくるものがある。インシデントの単位時間あたりの検出件数等によって，サービス拒否攻撃という不正アクセスに繋がるものがある。インシデントが，例えば，ＤＯＳ攻撃，ＤＤＯＳ攻撃等の不正アクセスであると判断するための閾値は，システムの処理能力に応じて異なってくる。この場合に，同一の送信先に対しての時間あたりのインシデントの検出件数を把握する必要があり，集計には多くの時間と労力が必要となる。
【００１１】
（２）インシデント・ログには，多くの情報が付加されていて，例えば，発生日時，インシデント名，検出件数，プライオリティ，送信元ＩＰアドレス，送信元ポート番号，送信先ＩＰアドレス，送信先ポート番号，トリガ等の多くの情報が含まれている。したがって，分析に必要な情報を選択して参照する必要があるが，この多数の情報が含まれるインシデント・ログから必要な情報を抽出することは，多くの時間と労力が必要となる。
【００１２】
（３）インシデント分析に必要な情報は，インシデントの種類毎に異なるうえ，異なるタイプのセンサが出力するインシデント・ログのフィールド中の同じフィールドに格納されているものではない。インシデント名と，通知や分析用情報の出力のトリガとなる情報が格納されるフィールド名との紐付け等の情報がないため，情報収集に時間を費やしてしまう。
【００１３】
（４）インシデントのシステムへの影響度の分析，対策の検討等を行うためには，送信元および送信先の組織情報（例えば，組織名や機器名等）が必要である。しかし，インシデント・ログは，送信元または送信先の組織情報を含まない。そのため，別途，送信元または送信先がどのような組織であるかを調査する必要があり，この調査作業に多くの時間と労力が必要となる。
【００１４】
特に，送信元／送信先が監視対象となる自システムの外部である場合に，送信元／送信先の組織情報は，何らかの情報検索サービスを利用して収集しなければならない。
【００１５】
さらに，攻撃の対象（送信先）が監視対象となる自システムである場合には，ＩＰアドレスのみによってシステムへの影響の度合いを判別することは困難である。
【００１６】
（５）インシデント・ログから，不正アクセスの予兆や未知の攻撃等をいち早く発見するためには，インシデントの検出状況を監視する必要があり，検出状況から不正であるかを判断しなければならない。また，不正アクセス等の手口は決まっておらず，インシデント毎の情報だけでは判断に限界があり，以下のような，複数のインシデントとの関連づけを行い，現状を把握することが必要となる。
【００１７】
多種多量のインシデントが混在するインシデント・ログ中から，通常とは異なるインシデントの検出状況を識別して，未知の攻撃等を発見することは，多くの時間と労力が必要となる。
【００１８】
（６）インシデント・ログを表示するコンソール画面上では，次々に新しいインシデントが表示されデータが蓄積されていくため，表示されたインシデント・ログを見ながら分析作業を行うことは大変に困難な作業となる。具体的には，表示内容が随時更新されていくコンソール画面上で，インシデント同士の関連づけや優先順位づけを行いながら，全てのインシデントについて漏れなく分析を行うことできない。
【００１９】
さらに，３６５日２４時間継続してインシデントの分析を，コンソール画面を見ながら行うことは実際には不可能である。
【００２０】
本願発明の目的は，システムへの被害を最小限にとどめるために，システムへの不正アクセスおよび不正アクセスの予兆を発見するため，インシデントの検出と検出状況とを監視し，インシデント・ログの分析処理の処理時間を短縮できる分析用情報を出力するインシデント監視装置，方法，プログラムを実現することである。
【課題を解決するための手段】
【００２１】
本発明にかかるインシデント監視装置は，ネットワークに接続するコンピュータシステムで生じるインシデントを監視する装置であって，以下の記憶部および処理部を有する。すなわち，インシデント監視装置は，監視対象のコンピュータシステムの内部で使用される内部ＩＰアドレスと内部ＩＰアドレスの割り当て先とを登録した内部ＩＰアドレス情報を記憶する内部ＩＰアドレス情報記憶部と，コンピュータシステムを監視するセンサが検出したインシデントに関する情報であって，インシデント名と，検出日時と，送信元ＩＰアドレスと，送信先ＩＰアドレスと，センサが付加したインシデントの脅威の程度を示すプライオリティとを含むインシデント・ログ情報を記憶するインシデント・ログ記憶部と，インシデント分析用情報を作成するための作成用情報を記憶する分析用情報記憶部とを備える。
【００２２】
さらに，上記のインシデント監視装置は，インシデント・ログ記憶部から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，抽出したインシデント・ログ情報をもとに，インシデント名ごとに，時間範囲内でのインシデントの検出件数とプライオリティとをもとに重要度を判定する処理と，インシデント名ごとにインシデントの情報を編集して，インシデント名に対する重要度と編集した情報とを，第１の作成用情報として分析用情報記憶部に格納する処理とを行うイベント監視部を備える。
【００２３】
さらに，上記のインシデント監視装置は，インシデント・ログ記憶部から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，抽出したインシデント・ログ情報をもとに，インシデント名ごとのインシデントの検出件数と所定の組み合わせ条件における検出件数である該当件数とを計算して，検出件数と該当件数とを所定の閾値と比較する処理と，検出件数または該当件数が閾値以上であるインシデント名について，インシデント名ごとにインシデントの情報を編集し，編集した情報を第２の作成用情報として分析用情報記憶部に格納する処理とを行うイベント検出状況監視部を備える。
【００２４】
さらに，上記のインシデント監視装置は，分析用情報記憶部の第１の作成用情報と第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，グローバルＩＰアドレスの割り当て先を特定する情報を，ＩＰアドレスの割り振りを管轄するインターネットレジストリの管理サーバから取得する割り当て先情報検索部と，第１の作成用情報と第２の作成用情報と割り当て先情報検索部が取得したグローバルＩＰアドレス割り当て先の情報とを用いて，検出したインシデントに関するインシデント分析用情報を生成して出力する分析用情報生成部とを備える。
【００２５】
上記のインシデント監視装置は，イベント監視部によって，センサが検出したイベント・ログのうち，一定の時間範囲内で検出されたインシデントのインシデント・ログ情報から，インシデント名ごとに，インシデントの検出件数とプライオリティとをもとに重要度を判定する。さらに，イベント監視部によって，インシデント名ごとにインシデントの情報を編集して，インシデント名に対する重要度と編集した情報とを，第１の作成用情報として分析用情報記憶部に格納する。
【００２６】
さらに，インシデント監視装置は，イベント検出状況監視部によって，一定の時間範囲内で検出されたインシデントのインシデント・ログ情報から，インシデント・ログ情報をもとに，インシデント名ごとのインシデントの検出件数と所定の組み合わせ条件における検出件数である該当件数とを計算して，検出件数と該当件数とを所定の閾値と比較する。そして，検出件数または該当件数が閾値以上であるインシデント名について，インシデント名ごとにインシデントの情報を編集し，編集した情報を第２の作成用情報として分析用情報記憶部に格納する。
【００２７】
そして，インシデント監視装置は，インシデント分析用情報の生成中に，割り当て先情報検索部によって，分析用情報記憶部の第１の作成用情報と第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，グローバルＩＰアドレスの割り当て先を特定する情報を，グローバルＩＰアドレスの割り振りを管轄するインターネットレジストリの管理サーバから取得する。
【００２８】
そして，分析用情報生成部によって，第１の作成用情報と第２の作成用情報と，割り当て先情報検索部が取得したグローバルＩＰアドレス割り当て先の情報とを用いて，検出したインシデントに関するインシデント分析用情報を生成して出力する。
【００２９】
上記のインシデント監視装置は，一定の時間内で検出したインシデントを，その重要度とともに通知することができる。これによって，検出したインシデントの緊急性を管理者に通知することができる。
【００３０】
また，インシデント監視装置は，インシデントの検出状況を監視して，検出状況を示す，インシデントの検出件数や該当件数が，一定の閾値を超えた場合に，この検出状況を通知することができる。これによって，一定時間内のインシデントの検出傾向を把握して，インシデントの発生または発生予兆を通知することができる。
【００３１】
また，インシデント監視装置は，インシデント・ログ情報に含まれる，送信先または送信元のＩＰアドレスの割り当て先に関する組織情報（例えば，組織名，団体名等）を取得し，インシデント名単位に纏めたインシデントに関する情報とともに組織情報を格納した分析用情報を生成することができる。
【００３２】
これによって，分析用情報から，インシデントが検出されたデータ通信の相手方を特定することができ，インシデントの分析が容易になる。
【発明の効果】
【００３３】
上記説明したインシデント監視装置によれば，検出したインシデントの分析処理の処理時間を短縮できるため，監視対象のコンピュータシステムへの被害を最小限にとどめることが可能となる。
【図面の簡単な説明】
【００３４】
【図１】本発明の一実施例における，インシデント監視装置が実施されるシステムの構成例を示す図である。
【図２】本発明の一実施例におけるインシデント監視装置の構成例を示す図である。
【図３】インシデント・ログ記憶部に保存されるインシデント・ログの例を示す図である。
【図４】トリガ関連付けテーブルの例を示す図である。
【図５】イベント監視部のワークテーブルの例を示す図である。
【図６】インシデント分析用シートの作成用データの例を示す図である。
【図７】内部ＩＰアドレスリストの例を示す図である。
【図８】検出インシデント一覧のデータ構成例を示す図である。
【図９】検出インシデント一覧表示画面の表示例を示す図である。
【図１０】検出インシデント一覧表示画面の検出インシデントの一覧の表示例を示す図である。
【図１１】詳細情報のデータ構成例を示す図である。
【図１２】検出インシデント詳細情報表示画面の例を示す図である。
【図１３】グローバルＩＰアドレスリストの例を示す図である。
【図１４】割り当て先情報の抽出データの例を示す図である。
【図１５】内部割り当てテーブルの例を示す図である。
【図１６】ＩＰアドレス割り当てテーブルの例を示す図である。
【図１７】インシデント分析用シート（左半分）の例を示す図である。
【図１８】インシデント分析用シート（右半分）の例を示す図である。
【図１９】割り当て先情報検索の応答メッセージの例を示す図である。
【図２０】インシデント監視装置の概要処理の処理フロー図である。
【発明を実施するための形態】
【００３５】
図１は，本願発明の一実施形態において，インシデント監視装置１が実施されるシステムの構成例を示す図である。
【００３６】
インシデント監視装置１は，インシデント・ログ記憶部１０にアクセスして，所定の時間範囲内のインシデント・ログを取得し，取得したインシデント・ログを分析して，インシデントの発生または発生の予兆を管理者端末６への所定の画面表示等によって通知し，インシデント分析用情報としてインシデント分析用シート２０を出力する。
【００３７】
また，インシデント監視装置１は，インターネット４を通じて，グローバルＩＰアドレスを管理するインターネットレジストリの管理サーバ５へアクセスして，ＩＰアドレスの割り当て先に関する情報（組織情報）を取得する。
【００３８】
ここで，インシデントとは，特に不正アクセスに限定するものではなく，単に，通常とは異なる事象（異常事象）をいう。
【００３９】
インシデント・ログは，監視対象システムまたは監視対象ネットワーク（以下，単に監視対象という）２に設けられた，ＩＤＳ，ＩＰＳ等のセンサ３が検出したインシデントに関する情報である。
【００４０】
センサ３は，ネットワークを流れるパケットを監視するＮＩＤＳ（Ｎｅｔｗｏｒｋ ＩＤＳ），ホストサーバのログやイベントを監視するＨＩＤＳ（Ｈｏｓｔ ＩＤＳ）である。
【００４１】
インターネットレジストリとは，インターネットリソース（ＩＰｖ４，ＩＰｖ６の両アドレスとＡＳ（自律システム）番号）の割り振りと登録とを管理する組織である。ＩＰアドレス管理の各管轄（国／地域別）のインターネットレジストリの管理サーバ５で「Ｗｈｏｉｓ情報検索」を行うことによって，グローバルＩＰアドレスの割り当て先に関する情報（組織情報）を取得することができる。
【００４２】
まず，インシデント監視装置１が実行する処理およびその効果について概説する。
【００４３】
１．インシデント監視装置１は，定期的(一定の時間間隔ごと)に，一定の時間範囲（現在から過去に遡った所定の時間範囲)内のインシデント・ログを自動的に検索し，分析が必要な全インシデントの情報を編集して出力する。インシデントの分析用情報は，例えば，１つのインシデント分析用シートとして出力する。
【００４４】
これにより，時系列で優先順の高い順に漏れのないインシデントの分析処理が実施できる。
【００４５】
２．インシデント監視装置１は，一定の時間範囲内でのインシデントを検索する。これにより，システムへの影響度を考慮した，単位時間あたりの件数の閾値を持つ判断処理を行うことができる。例えば，同一インシデント名であって，同一の送信先または送信元のＩＰアドレスに対するインシデントの検出件数を集計する。
【００４６】
インシデント監視装置１は，インシデントの件数が閾値（ある一定件数）を超えた場合に，例えば管理者端末６へインシデント検出を通知し，そのインシデントの分析情報を編集してインシデント分析用シート２０に出力する。
【００４７】
インシデント監視装置１は，インシデントの検出件数に応じて，重要度を「正常，警告，異常または要確認」にランクづけを行う。例えば，プライオリティ＝Ｈｉｇｈのインシデントを区別し，重要度＝異常として扱い，通知および分析情報に含める。
【００４８】
プライオリティは，監視対象２にインシデントが与える脅威の度合いである。プライオリティは，インシデントを検出するセンサ３が，所定のセキュリティ・ポリシーに基づいて判断する。例えば，インシデント名毎に，Ｌｏｗ，Ｍｅｄｉｕｍ，Ｈｉｇｈの値が割り当てられる。Ｌｏｗ，Ｍｅｄｉｕｍ，Ｈｉｇｈは，それぞれ，脅威の度合いが低程度，中程度，高程度である。
【００４９】
より具体的には，インシデント監視装置１は，プライオリティと重要度との関係から，インシデントを以下のように扱う。
【００５０】
（１）インシデントがプライオリティ＝Ｌｏｗの場合に，重要度＝正常として，分析不要と判断する。
【００５１】
（２）インシデントがプライオリティ＝Ｍｅｄｉｕｍの場合に，その重要度を，インシデント名および送信先ＩＰアドレスに対する検出件数等で判断する。検出件数が警告件数未満であれば，重要度＝正常として，分析不要と判断する。また，検出件数が警告件数以上かつ異常件数未満であれば，重要度＝警告と判断する。また，検出件数が異常件数以上であれば，重要度＝異常と判断する。
【００５２】
（３）インシデントがプライオリティ＝Ｈｉｇｈの場合に，重要度＝異常と判断する。
【００５３】
（４）インシデントがプライオリティ＝Ｈｉｇｈであって，かつ明らかに問題ある場合に，重要度＝要確認と判断する。
【００５４】
３．インシデント監視装置１は，インシデントの分析用情報の一形態であるインシデント分析用シート２０に，１次分析に必要な最低限の情報のみを抽出して出力する。また，インシデントを，重要度の高い順，インシデント名，送信先ＩＰアドレス，送信元ＩＰアドレス，検出時間等でソートしてインシデント分析用シートに出力する。これにより，関連するインシデントが纏められるため，分析が容易になる。
【００５５】
４．検出したインシデントを，インシデント情報として通知する，または，その分析用情報を作成するかを判定する情報として使用するインシデント・ログ内の情報をトリガ情報という。このトリガ情報は，使用されるインシデント・ログのフィールド（データ項目）がインシデント名毎に異なるうえ，各センサ３が出力するインシデント・ログのフィールド名が異なる。
【００５６】
インシデント監視装置１は，インシデント名と，トリガ情報のフィールド名との関連付け情報を持ち，この関連付け情報をもとに，インシデント名ごとに該当するトリガ情報を抽出する。
【００５７】
また，インシデント監視装置１は，関連付け情報がないインシデント名について，デフォルト設定として，インシデント・ログの先頭フィールド名のトリガ情報を抽出する。また，対象となるフィールド名が排他的に複数存在するような場合は，関連付け情報として複数のフィールド名を持つようにし，該当するフィールド名を順番に検索して，先に見つかったフィールド名のトリガ情報を抽出する。
【００５８】
５．インシデント監視装置１は，インシデント分析用シート２０に，監視対象２が加害者か被害者であるかを示すアクセス方向を付加して出力する。
【００５９】
インシデント監視装置１は，アクセス方向を，インシデント・ログの送信先ＩＰアドレスおよび送信元ＩＰアドレスに基づいて判定する。
【００６０】
アクセス方向は，パケットの送信方向であり，外部から監視対象２への送信（外→内）監視対象２から外部へ送信（内→外），監視対象２内の通信（内→内）のいずれかが格納される。
【００６１】
６．インシデント監視装置１は，インシデント分析用シート２０に，送信元および送信先のＩＰアドレスの割り当て先の組織情報を付加して出力する。
【００６２】
インシデント監視装置１は，監視対象２に存在するＩＰアドレスと割り当て先の情報が登録された内部ＩＰアドレス情報を予め保持しておく。また，インシデント監視装置１は，インシデント分析用シート２０の編集時に，インシデント・ログ内のグローバルＩＰアドレスの割り当て先の組織情報を，インターネットレジストリの管理サーバ５での「Ｗｈｏｉｓ情報検索」を利用して取得する。
【００６３】
７．インシデント監視装置１は，定期的に，一定の時間範囲内の全インシデント（プライオリティに関係なく）を対象として，インシデントの検出件数または所定の条件に該当する検出件数（該当件数）が閾値を超えた場合に，不正アクセスの予兆や未知の攻撃等の発生の可能性ありとして，管理者端末６へ通知し，そのインシデントの情報をインシデント分析用シート２０に出力する。
【００６４】
ここで，検出件数と該当件数それぞれに対する閾値を設け，以下の条件で集計した値と比較する。
【００６５】
閾値は，センサ３によるインシデントの全プライオリティのインシデント名に対する判断条件であり，攻撃を示すようなインシデント，ネットワーク上での異常を示すインシデント等を検出するために，件数が一定の閾値を超えた場合に通知と分析用情報として編集するためのものである。閾値は，全インシデント名を対象とするものと，個別のインシデント名を対象とするものが用意される。
【００６６】
（１）同一インシデント名，かつ同一送信先ＩＰアドレス，かつ同一送信元ＩＰアドレスであるインシデントの検出件数，
（２）同一インシデント名，かつ同一送信先ＩＰアドレスであるインシデントの検出件数，
（３）同一インシデント名の検出件数，
（４）同一インシデント名，かつ同一送信先ＩＰアドレス，かつ同一送信元ＩＰアドレスの組み合わせ数，
（５）同一インシデント名，かつ同一送信先ＩＰアドレスの組み合わせ数，
（６）インシデント名の組み合わせ数。
【００６７】
８．インシデント監視装置１は，インシデントの分析の要否が判断されるインシデントの検出を，以下の方法で管理者端末６へ通知する。
【００６８】
（１）画面表示による通知
インシデント監視装置１は，管理者端末６のコンソール画面に，画面表示による通知として，重要度に対応した色と，文字によるインシデント情報の表示を行う。例えば，重要度＝異常であれば，インシデント名と「不正アクセスの可能性あり」の旨の表示を「赤色」で，重要度＝警告であれば，インシデント名と「不正アクセスの予兆の可能性あり」の旨の表示を「黄色」で，重要度＝正常であれば，「問題なし」の旨の表示を「緑色」で，重要度＝要確認であれば，インシデント名と「許可されたものであれば問題なし（通常は明らかに問題のあるインシデント）を示す」の旨の表示を「朱色」で，それぞれ行う。
【００６９】
また，インシデント監視装置１は，複数種類の重要度のインシデントが同時に発生した場合には，「異常＜警告＜正常＜要確認」の順で，最も重要度の高いものから表示する。
【００７０】
また，インシデント情報のより詳細な内容として，例えば，以下の表示を行う。
【００７１】
(a) サマリー表示として，分析が必要なインシデントの一覧を，分析を行う順（例えば重要度の高い順）に，インシデント名および送信先ＩＰアドレスで検出件数を纏めて検出インシデント一覧として表示する。
【００７２】
(b) 検出インシデント一覧から，参照したいインシデントが選択されることによって，選択されたインシデント毎の全情報を一覧で表示する。
【００７３】
また，１次分析に必要な情報に対して，番号を付けて表示する。
【００７４】
また，攻撃の方向としてみなしうる，アクセス方向を表示する。
【００７５】
（２）サウンドによる通知
インシデント監視装置１は，インシデント分析が必要な場合（例えば，重要度が正常以外のインシデントがある場合）に，管理者端末６または他の音声出力装置を介して所定のサウンドを出力する。
【００７６】
（３）電子メール（Ｅ−ｍａｉｌ）による通知
インシデント監視装置１は，インシデント分析が必要な場合に，インシデント分析用シート２０またはサマリー（例えば，検出インシデント一覧）を電子メールとして管理者端末６または所定の宛先へ送信する。
【００７７】
（４）アプリケーションプログラムへのイベント・ログ出力による通知
インシデント監視装置１は，インシデント分析が必要な場合に，例えば，オペレーティングシステムＷｉｎｄｏｗｓのアプリケーションプログラム・ログにインシデントのサマリーを出力する。例えば，インシデント監視装置１は，ＷｉｎｄｏｗｓＯＳのＳＮＭＰ通信管理機能によるＳＮＭＰトラップを送信し，管理者端末６へインシデント・ログを通知する。
【００７８】
（５）アプリケーション起動による通知
インシデント監視装置１は，インシデント分析が必要な場合に，管理者端末６または所定の装置のアプリケーションプログラムを起動する。例えば，警告灯の起動等のアプリケーションを実行する。
【００７９】
図２は，本発明の一実施例におけるインシデント監視装置１の構成例を示す図である。
【００８０】
インシデント監視装置１は，トリガ関連付け情報記憶部１０１，内部ＩＰアドレス一覧記憶部１０２，ローカルＩＰアドレス情報記憶部１０３，問い合わせ先記憶部１０５，分析用情報記憶部１０６，ＩＰアドレス一覧記憶部１０８，グローバルＩＰアドレス情報記憶部１０９，イベント監視部１１，イベント検出状況監視部１２，分析用情報生成部１３，および割り当て先情報検索部１４を備える。
【００８１】
トリガ関連付け情報記憶部１０１は，インシデント名を管理者端末６への通知と，インシデント分析用シート２０の生成のトリガ情報と，インシデント・ログのフィールドとの対応付けを示すトリガ関連付け情報（関連付けテーブル）を記憶する記憶部である。
【００８２】
内部ＩＰアドレス一覧記憶部１０２は，監視対象２に存在するＩＰアドレスの範囲を記録した一覧（内部ＩＰアドレスリスト）を記憶する記憶部である。
【００８３】
ローカルＩＰアドレス情報記憶部１０３は，監視対象２に存在するローカルＩＰアドレスと監視対象２で内部ＩＰアドレスとして扱うグローバルＩＰアドレスとの各々について，割り当て先の装置等を示す情報（内部割り当てテーブル）を記憶する記憶部である。
【００８４】
問い合わせ先記憶部１０５は，インターネットレジストリの管理サーバ５のアドレス情報を記憶する記憶部である。
【００８５】
分析用情報記憶部１０６は，イベント監視部１１およびイベント検出状況監視部１２が出力したインシデント分析用シート２０を作成するための作成用情報を記憶する記憶部である。
【００８６】
ＩＰアドレス一覧記憶部１０８は，インターネットレジストリの管理サーバ５での検索対象となるグローバルＩＰアドレスの一覧（グローバルＩＰアドレスリスト）を記憶する記憶部である。
【００８７】
グローバルＩＰアドレス情報記憶部１０９は，インターネットレジストリの管理サーバ５での検索結果から抽出した，グローバルＩＰアドレスとその割り当て先の情報との対応情報（ＩＰアドレス割り当てテーブル）を記憶する記憶部である。
【００８８】
イベント監視部１１は，インシデント・ログ記憶部１０から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，抽出したインシデント・ログ情報をもとに，インシデント名ごとに，時間範囲内でのインシデントの検出件数とプライオリティとをもとにインシデント・ログを分析して重要度を判定する処理とを行う。
【００８９】
また，イベント監視部１１は，重要度が高いインシデント名ごとにインシデントの情報を編集し，インシデント名に対する重要度と編集した情報の一部または全部とを管理者端末６の所定の画面に表示する処理と，重要度と編集した情報とを，インシデント分析用シート２０の作成用情報として分析用情報記憶部１０６に格納する処理とを行う。
【００９０】
イベント検出状況監視部１２は，インシデント・ログ記憶部１０から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，抽出したインシデント・ログ情報をもとに，インシデント名ごとに，インシデントの検出件数と，所定の組み合わせに該当するインシデントの検出数である該当件数とを計算して，検出件数と該当件数とを所定の閾値と比較する。
【００９１】
イベント検出状況監視部１２は，計算した検出件数または該当件数が閾値以上であるインシデント名について，インシデント名ごとにインシデントの情報を編集して，この編集した情報の一部または全部を管理者端末６の所定の画面に表示する処理と，この編集した情報を第２の作成用情報として分析用情報記憶部１０６に格納する処理とを行う。
【００９２】
分析用情報生成部１３は，分析用情報記憶部１０６に格納された第１の作成用情報と第２の作成用情報と，割り当て先情報検索部１４が取得したグローバルＩＰアドレスの割り当て先の情報（グローバルＩＰアドレス情報記憶部１０９に記憶された情報）とローカルＩＰアドレス情報記憶部１０３に記憶された情報を用いて，分析用情報でありインシデント分析用シート２０を作成して出力する。
【００９３】
割り当て先情報検索部１４は，分析用情報記憶部１０６に格納された第１の作成用情報と第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，内部ＩＰアドレス一覧記憶部１０２に登録されていないグローバルＩＰアドレスについての「Ｗｈｏｉｓ情報検索」の要求をインターネットレジストリの管理サーバ５へ送信する処理と，管理サーバ５から，検索要求の結果を取得して，グローバルＩＰアドレスの割り当て先の情報を取得し，グローバルＩＰアドレスとその割り当て先の情報とをグローバルＩＰアドレス情報記憶部１０９へ格納する。
【００９４】
以下に，インシデント監視装置１の処理動作を，より詳細に説明する。
【００９５】
〔イベント監視処理〕
（１）インシデント・ログの取得
イベント監視部１１は，インシデント監視装置１が有するスケジューラ（図２に図示しない）により，検索時間範囲の時間間隔で，インシデント・ログ記憶部１０を検索する。
【００９６】
図３は，インシデント・ログ記憶部１０に保存されるインシデント・ログの例を示す図である。図３（Ａ）は，インシデント・ログの親テーブル２００のデータ構成例，図３（Ｂ）は，インシデント・ログの子テーブル２０１のデータ構成例を示す図である。
【００９７】
インシデント・ログは，センサ３が検出した情報をインシデント名ごとに蓄積する親テーブル２００と，各レコードに対応付けられた，トリガ情報となるテーブルのフィールド名とその格納情報とを蓄積する子テーブル２０１とを含む。
【００９８】
図３（Ａ）のインシデント・ログの親テーブル２００は，レコードの識別情報が設定される「レコードＩＤ」，インシデントの名称を示す「インシデント名」，インシデントを検出した日時が格納される「検出日時」，検出したセンサ３の名称を示す「センサ名」，センサ３が判定したインシデントのプライオリティが格納される「プライオリティ」，センサ３のＩＰアドレスが格納される「センサＩＰアドレス」，インシデントとされたデータ通信の送信元および送信先の情報が格納される「送信元ＩＰアドレス，送信元ポート番号，送信先ＩＰアドレス，および送信先ポート番号」，検出されたインシデントの件数が格納される「件数」，インシデントへの処置動作を示す「レスポンス」等を含む。
【００９９】
図３（Ｂ）のインシデント・ログの子テーブル２０１は，「レコードＩＤ」，トリガ情報のフィールド名が格納される「属性」，そのフィールドの格納情報である「トリガ情報」等を含む。
【０１００】
インシデント・ログの親テーブル２００と子テーブル２０１は，レコードＩＤによって関連付けられ，親テーブル２００と子テーブル２０１の関係は１対複数（ｎ）でもよい。また，子テーブル２０１の件数および出力順序は可変である。
【０１０１】
イベント監視部１１は，インシデント・ログ記憶部１０から抽出した，検索時間範囲のイベント・ログを，作業用メモリ内のワークテーブルに格納する。イベント監視部１１は，インシデント・ログのトリガ情報が格納されるフィールド名がセンサ３によって異なっている場合に，子テーブル２０１のトリガ関連付け情報記憶部１０１に記憶されたトリガ関連付けテーブル２０２を参照して，該当するフィールド名とトリガ情報とを取得してワークテーブルに格納する。
【０１０２】
図４は，トリガ関連付けテーブル２０２の例を示す図である。
【０１０３】
図４のトリガ関連付けテーブル２０２には，各インシデント名でのトリガ情報が格納される子テーブルの属性（親テーブルのフィールド名）であって，インシデント分析用シート２０の詳細情報として出力される情報の対応関係が設定される。
【０１０４】
トリガ関連付けテーブル２０２は，「インシデント名」，インシデント分析用シート２０に詳細情報１として出力される子テーブル２０１の属性を示す「Ｄｅｔｉｌ１，Ｄｅｔｉｌ１Ｗ」，同様に詳細情報２として出力される子テーブル２０１の属性を示す「Ｄｅｔｉｌ２，Ｄｅｔｉｌ２Ｗ」を有する。
【０１０５】
「Ｄｅｔｉｌ１，Ｄｅｔｉｌ１Ｗ」の順に，子テーブル２０１が検索され，最初に検索した子レコード２０１のトリガ情報が，インシデント分析用シート２０の詳細情報１へ出力される。また，「Ｄｅｔｉｌ２，Ｄｅｔｉｌ２Ｗ」も同様に処理される。
【０１０６】
なお，トリガ関連付けテーブル２０２に登録されていないインシデント名については，子テーブル２０１の１番目の項目のトリガ情報がインシデント分析用シート２０の詳細情報１に出力され，２番目の項目のトリガ情報が詳細情報２に出力されるように処理される。
【０１０７】
図５は，イベント監視部１１のワークテーブルのデータ構成例を示す図である。
【０１０８】
図５（Ａ）は，インシデント・ログの親レコード２００を保持するワークテーブル２０３の例，図５（Ｂ）は，インシデント・ログの子レコード２０１を保持するワークテーブル２０４の例を示す。
【０１０９】
ワークテーブル２０３は，レコードの識別情報の「レコードＩＤ」，インシデントが検出された日時情報の「検出日時」，インシデントの名称である「インシデント名」，センサ３によるプライオリティを示す「プライオリティ」，「送信元ＩＰアドレス」，「送信元ポート」，「送信先ＩＰアドレス」，「送信先ポート」，インシデント・ログを格納したセンサ３を示す「センサＩＰアドレス」，センサ３の種別（ＮＩＤＳ，ＨＩＤＳ）を示す「センサ種別」，インシデントの検出件数が格納される「件数」，重要度を“警告”と判定する閾値（検出件数）が設定される「警告件数（閾値）」，重要度を“異常”と判定する閾値（検出件数）が設定される「異常件数（閾値）」を有する。
【０１１０】
ワークテーブル２０４は，レコードの識別情報の「レコードＩＤ」，子テーブル２０１の属性が格納される「属性」，子テーブル２０１の対応する属性のトリガ情報が格納される「トリガ情報」，出力される詳細情報の指定（詳細情報１，詳細情報２）を示す「種別」を有する。
【０１１１】
インシデント監視装置１は，現在から遡った所定時間範囲内に検出したインシデント・ログを処理することによって，２４時間，３６５日にわたって，分析が必要なインシデントの情報を漏れなく編集，出力することができる。
【０１１２】
（２）インシデントの重要度の決定
イベント監視部１１は，抽出したインシデント・ログのインシデント名ごとの重要度を判別するため，以下の処理の順で，インシデントを評価して，最初に一致した条件の重要度を決定する。
【０１１３】
これにより，インシデント監視装置１は，検索対象の時間範囲におけるインシデント分析の緊急性を区別して出力することができる。
【０１１４】
処理ＳＴ１：インシデントのプライオリティがＨｉｇｈ，かつＨＩＤＳのインシデントがあれば，重要度を”要確認”とする。
【０１１５】
処理ＳＴ２：プライオリティがＨｉｇｈのインシデントがあれば，重要度を”異常”とする。
【０１１６】
処理ＳＴ３：プライオリティがＭｅｄｉｕｍで，インシデント名および送信先ＩＰアドレスのインシデントが，個別で指定した異常件数（異常件数＝０を除く）以上であれば，重要度を”異常”とする。
【０１１７】
処理ＳＴ４：プライオリティがＭｅｄｉｕｍで，インシデント名および送信先ＩＰアドレスのインシデントが，個別では指定されておらず，全体の異常件数（異常件数＝０を除く）以上であれば，重要度を”異常”とする。
【０１１８】
処理ＳＴ５：プライオリティがＭｅｄｉｕｍで，インシデント名および送信先ＩＰアドレスのインシデントが，個別で指定した警告件数（警告件数＝０を除く）以上であれば，重要度を”警告”とする。
【０１１９】
処理ＳＴ６：プライオリティがＭｅｄｉｕｍで，インシデント名および送信先ＩＰアドレスのインシデントが，個別では指定されておらず，全体の警告件数（警告件数＝０を除く）以上であれば，重要度を”警告”とする。
【０１２０】
処理ＳＴ７：重要度を”正常”とする。
【０１２１】
（３）重要度および検索範囲の時間帯を画面表示
イベント監視部１１は，重要度と検索範囲の時間とを，管理者端末６の画面に表示する。また，決定した重要度に基づいて画面に表示するインシデント名の表示色を変えたり，所定のメッセージを表示したりする。
【０１２２】
これにより，インシデント監視装置１は，管理者に，検索範囲時間帯のインシデント分析の緊急性と，インシデントの発生時間帯が１目で分かる情報とを提供することができる。
【０１２３】
イベント監視部１１は，決定した重要度に応じて，以下のようにインシデント名の表示色を変え，メッセージを表示する。
【０１２４】
・重要度が“異常”のインシデント名を「赤色」で表示し，「不正アクセスの可能性あり」を表示する。
【０１２５】
・重要度が“警告”のインシデント名を「黄色」で表示し，「不正アクセスの予兆」のメッセージを表示する。
【０１２６】
・重要度が“正常”の場合には，“正常”と「緑色」で表示し，「問題なし」のメッセージを表示する。
【０１２７】
・重要度が“要確認”のインシデント名を「朱色」で表示し，「許可されたものであれば問題なし（通常は明らかに問題のあるインシデント）」のメッセージを表示する。
【０１２８】
（４）インシデント分析用情報の出力
イベント監視部１１は，重要度が”警告”，”異常”または”要確認”であるインシデントがある場合に，ワークテーブル２０３のデータをもとに，インシデント分析用シート２０を作成するためのデータ（作成用データ）を編集出力し，分析用情報記憶部１０６に格納する。イベント監視部１１が作成する作成用データは，第１の作成用情報に相当する。
【０１２９】
図６は，作成用データ２０６のデータ構成例を示す図である。
【０１３０】
作成用データ２０６は，「重要度，検出日時，インシデント名，件数，送信元ＩＰアドレス，送信元ポート番号，送信先ＩＰアドレス，送信先ポート番号，プライオリティ，アクセス方向，トリガ情報１，トリガ情報２，レスポンス，センサＩＰアドレス」等を有する。
【０１３１】
アクセス方向は，送信先ＩＰアドレス，送信元ＩＰアドレスが，内部ＩＰアドレス（ローカルＩＰアドレスまたは内部ＩＰアドレスとして登録されたグローバルＩＰアドレス）であれば"内"と特定され，"内"として特定されたＩＰアドレス以外のＩＰアドレスを"外"と特定されて，"外→内"，"内→外"，"内→内"または"外→外"のパケット方向が格納される。
【０１３２】
作成用データ２０６のレコードの出力順は，重要度の高い順，かつインシデント名，送信先ＩＰアドレス，送信元ＩＰアドレスおよび検出時間の昇順とする。
【０１３３】
このようにソートすることによって，関連するインシデントを寄せることができ，優先順位の高い順に分析ができるインシデント分析用シート２０を作成することができる。
【０１３４】
より詳しくは，イベント監視部１１が，以下の処理を行う。
【０１３５】
処理ＳＴ１０：重要度”警告”，”異常”および”要確認”の全インシデントのレコードを編集する。
【０１３６】
処理ＳＴ１１：重要度，インシデント名，送信先ＩＰアドレス，送信元ＩＰアドレス，または検出日時（時間）で，インシデントのレコードをソートする。
【０１３７】
処理ＳＴ１２：インシデントの親レコード２０２から，プライオリティ，検出時間，インシデント名，件数，送信元ＩＰアドレス，送信元ポート番号，送信先ＩＰアドレス，送信先ポート番号，レコードＩＤ等を抽出する。
【０１３８】
処理ＳＴ１３：以下の判断条件をもとに「アクセス方向」を決定する。
【０１３９】
・送信元ＩＰアドレスまたは送信先ＩＰアドレスが，ローカルＩＰアドレスまたは内部ＩＰアドレスリスト２０７に登録してあるＩＰアドレスであれば，そのＩＰアドレス側を”内”と特定する。
【０１４０】
・送信元ＩＰアドレスまたは送信先ＩＰアドレスが内部ＩＰアドレスリスト２０７に登録されていない場合に，そのＩＰアドレス側を”外”と特定する。
【０１４１】
図７は，内部ＩＰアドレス一覧記憶部１０２に記憶されている内部ＩＰアドレスリスト２０７の例を示す図である。
【０１４２】
図７の内部ＩＰアドレスリスト２０７は，内部ＩＰアドレスの範囲の開始アドレス値を示す「開始ＩＰアドレス」，内部ＩＰアドレスの範囲の終了アドレス値を示す「終了ＩＰアドレス」，範囲の説明である「メモ」を有する。
【０１４３】
処理ＳＴ１４：ワークテーブル２０３のレコードＩＤと一致するワークテーブル２０４の全ての子レコードを検索する。
【０１４４】
レコードが，ＮＩＤＳタイプのセンサ３からのものである場合には，ワークテーブル２０４の１番目の子レコードにあるトリガ情報を退避する。そして，２番目以降の子レコードのフィールド名と登録されているフィールド名とが一致した場合に，トリガ情報を退避し直し，作成用データ２０６の編集出力を行い，次のインシデントを処理する。
【０１４５】
ワークテーブル２０３に，ワークテーブル２０４の子レコードと一致するフィールド名が無い場合に，ワークテーブル２０４の１番目の子レコードのトリガ情報で作成用データ２０６の編集出力を行い，次のインシデントを処理する。
【０１４６】
レコードがＨＩＤＳタイプのセンサ３からのものである場合に，トリガ関連付けテーブル２０２を参照して，インシデント名と一致するフィールド名（２つ）を取得する。そして，登録されているフィールド名（１つ目）で，ワークテーブル２０４の子レコードを検索し，レコードがあればトリガ情報を退避し，作成用データ２０６の編集出力を行い，次のインシデントを処理する。
【０１４７】
さらに，登録されているフィールド名（２つ目）で，ワークテーブル２０４の子レコードを検索し，レコードがあればトリガ情報を退避し，作成用データ２０６の編集出力を行い，次のインシデントを処理する。ワークテーブル２０３のインシデント名と一致するレコードがトリガ関連付けテーブル２０２に無い場合に，ワークテーブル２０４の１番目の子レコードにあるトリガ情報を退避し，作成用データ２０６の編集出力を行い，次のインシデントを処理する。
【０１４８】
処理ＳＴ１５：重要度が”警告”，”異常”または”要確認”である場合に，検出インシデント一覧２０８および各インシデントの詳細情報を，管理者端末６に表示する。
【０１４９】
インシデント監視装置１は，検出インシデント一覧のようなサマリー情報を自動的に表示することによって，管理者が監視対象２での全体のインシデントの発生状況が確認できる情報を提供することができる。
【０１５０】
イベント監視部１１は，ワークテーブル２０３をもとに，重要度，インシデント名，または送信先ＩＰアドレスごとに検出件数を合計して，図８に示すような「重要度，インシデント名，件数，送信先ＩＰアドレス」等の情報を含む検出インシデント一覧２０８を生成する。そして，管理者端末６に，図９に示すような検出インシデント一覧表示画面３００を表示して，検出インシデント一覧２０８を，重要度の高い順，かつインシデント名および送信先ＩＰアドレスの昇順で表示する。
【０１５１】
イベント監視部１１は，図１０に示すように，検出インシデント一覧２０８から生成した，検出インシデント一覧表示部３０１を含む検出インシデント一覧表示画面３００を表示する（図９参照）。
【０１５２】
また，イベント監視部１１は，検出インシデント一覧２０８の全インシデントの各々について，図１１に示すようなデータを含む詳細情報２０９を生成する。詳細情報２０９は，検出日時の新しい順に並べられる。
【０１５３】
イベント監視部１１は，図１２に示すように，詳細情報２０９を含む検出インシデント詳細情報表示画面３１０を生成する。
【０１５４】
図９の検出インシデント一覧表示画面３００の検出インシデント一覧表示部３０１に表示されたインシデントが選択され，「イベント詳細」ボタン３０２がクリックされることによって，選択されたインシデントの詳細情報２０９を表示する検出インシデント詳細情報表示画面３１０が表示される。
【０１５５】
検出インシデント詳細情報表示画面３１０では，インシデント・ログ情報に相当する詳細情報２０９のうち，１次分析用の情報に番号を付けて表示する。また，攻撃の方向を示唆する「アクセス方向」を表示する。
【０１５６】
検出インシデント詳細情報表示画面３１０の，インシデントを選択する選択ボタン群（前方選択ボタン（「＜」，「＜＜」），ジャンプ選択ボタン（ＧＯ ＴＯ）および後方選択ボタン（「＞」，「＞＞」））３１１がクリックされることによって，選択されたインシデントの詳細情報２０９が表示される。
【０１５７】
これにより，インシデント監視装置１は，管理者が，検出されたインシデントの詳細を分析できる情報を提供することができる。
【０１５８】
（５）インシデント検出の通知
イベント監視部１１は，重要度が”警告”，”異常”または”要確認”である場合に，さらに，所定の通知態様に応じて，検出インシデントを通知する。
【０１５９】
通知態様がサウンド通知である場合に，管理者端末６または他の音声出力装置で，指定されたＷＡＶＥファイルを再生する。
【０１６０】
また，通知態様が電子メール通知である場合に，件名（Ｓｕｂｊｅｃｔ）に，「監視端末ＩＤ＋重要度＋検索範囲時間」を設定し，本文に，インシデント分析用シート２０の作成用データ２０６または検出インシデント一覧２０８と同様な内容を設定したメールメッセージを生成して通知する。
【０１６１】
また，通知態様がＷｉｎｄｏｗｓによるイベント・ログ通知である場合に，検出インシデント一覧２０８と同様な内容を出力する。
【０１６２】
また，通知態様がアプリケーション起動である場合に，パトロールランプ等のアプリケーションを起動する。
【０１６３】
〔イベント検出状況監視処理〕
（１）インシデント・ログの取得
イベント検出状況監視部１２は，インシデント監視装置１が有するスケジューラにより，検索時間範囲の時間間隔で，現在から検索時間範囲の時間を過去に遡った時間範囲のインシデント・ログ情報を，インシデント・ログ記憶部１０から検索，抽出する。
【０１６４】
処理の詳細は，イベント監視部１１の「インシデント・ログの取得」と同様であるので説明を省略する。
【０１６５】
（２）インシデント検出状況の判定
イベント検出状況監視部１２は，各インシデント名について，インシデントの発生件数および所定の組み合わせの条件に該当する検出件数（該当件数）とそれぞれに対する所定の閾値とを比較する。
【０１６６】
これにより，インシデント監視装置１は，管理者が，インシデントの検出傾向が通常と異なっているかを確認できる情報を，インシデント名単位の件数とインシデント組み合わせ数で，提供することができる。
【０１６７】
イベント検出状況監視部１２は，以下の場合に，インシデント分析用シート２０の作成用データ２１０を編集して，分析用情報記憶部１０６に出力する。作成用データ２１０は，図６に示す作成用データ２０６と同様のデータを含むものとする。また，作成用データ２１０は，イベント検出状況監視部１２が編集出力する第２の作成用情報に相当する。
【０１６８】
・同一インシデント名かつ同一送信先ＩＰアドレスかつ同一送信元ＩＰアドレスであるインシデントの発生件数が，閾値を超えている場合，
・同一インシデント名かつ同一送信先ＩＰアドレスの件数で閾値を超えている場合，
・同一インシデント名の件数で閾値を超えている場合，
・同一インシデント名かつ同一送信先ＩＰアドレスかつ同一送信元ＩＰアドレスの組み合わせ数が閾値を超えている場合，
・同一インシデント名かつ同一送信先ＩＰアドレスの組み合わせ数が閾値を超えている場合，
・インシデント名の組み合わせ数が閾値を超えている場合。
【０１６９】
（３）インシデント検出状況の通知
イベント検出状況監視部１２は，インシデントの検出状況（検出件数または該当件数）が閾値を超えている場合に，所定の通知態様に応じて，インシデント検出状況を通知する。
【０１７０】
通知態様が表示通知である場合に，管理者端末６の画面に，閾値を超えたインシデントの情報を示すポップアップウィンドウを表示して通知する。
【０１７１】
また，通知態様がサウンド通知の場合に，管理者端末６または他の音声出力装置で，指定されたＷＡＶＥファイルを再生する。
【０１７２】
また，通知態様が電子メール通知である場合に，件名（Ｓｕｂｊｅｃｔ）に，「イベント警告＋監視端末ＩＤ＋検索範囲時間」を設定し，本文に，インシデント分析用シート２０の作成用データ２１０と同様な内容を設定したメールメッセージを生成して通知する。
【０１７３】
また，通知態様が，Ｗｉｎｄｏｗｓによるイベント・ログ通知である場合に，インシデント分析用シート２０の作成用データ２１０と同様な内容を出力する。
【０１７４】
また，通知態様がアプリケーション起動である場合に，パトロールランプ等のアプリケーションを起動する。
【０１７５】
〔インシデントの分析用情報の生成処理〕
（１）インシデント分析用シート２０の作成用データの取得
分析用情報生成部１３は，分析用情報記憶部１０６から，インシデント分析用シート２０の作成用データ２０６，２１０を取得する。
【０１７６】
（２）グローバルＩＰアドレスの割り当て先の取得
分析用情報生成部１３は，インシデント分析用シート２０の作成用データ２０６，２１０が含む送信元ＩＰアドレスおよび送信先ＩＰアドレスから，グローバルＩＰアドレスを抽出して，図１３に示すようなグローバルＩＰアドレスリスト２１１を作成して，ＩＰアドレス一覧記憶部１０８に格納する。
【０１７７】
さらに，分析用情報生成部１３は，ＩＰアドレス一覧記憶部１０８を介して，グローバルＩＰアドレスリスト２１１を割り当て先情報検索部１４に渡して，割り当て先情報検索部１４の検索処理の完了を待ち合わせ，図１４に示すような，各グローバルＩＰアドレスの割り当て先の情報（組織名等）を含む検索結果の抽出データ２１２を取得する。
【０１７８】
検索結果の抽出データ２１２は，検索対象のグローバルＩＰアドレスを示す「ＩＰアドレス」，検索結果から得た割り当て先を示す「組織名」，検索対象のグローバルＩＰアドレスが割り振られている国または地域を示す「国名コード」，検索先のインターネットレジストリを示す「インターネットレジストリ」，割り振られたＩＰアドレスの範囲を示す「ＩＰアドレス範囲」等を含む。
【０１７９】
なお，割り当て先情報検索部１４の処理は，後述する。
【０１８０】
これにより，インシデント監視装置１は，グローバルＩＰアドレスに対する最新の組織名を付加したインシデント分析用シート２０を管理者へ提供することができる。
【０１８１】
（３）インシデント分析用情報の生成
分析用情報生成部１３は，分析用情報記憶部１０６の作成用データ２０６，２１０を編集して，各インシデントのインシデント分析用シート用データを生成する。インシデント分析用シート用データは，図１７および図１８に示すインシデント分析用シート２０の中間データである。
【０１８２】
分析用情報生成部１３は，作成用データ２０６，２１０の送信元ＩＰアドレスおよび送信先ＩＰアドレスの各々について，ＩＰアドレスの割り当て先の情報（組織名，装置名等）を得て，インシデント分析シート用データの該当するフィールドに格納する。
【０１８３】
インシデント分析用シート２０に，ＩＰアドレスに対する情報を付加することによって，インシデント分析が行いやすくなる情報を提供することができる。
【０１８４】
より詳しくは，分析用情報生成部１３は，送信元ＩＰアドレスおよび送信先ＩＰアドレスに対して，以下の処理を行う。
【０１８５】
処理ＳＴ３０：内部割り当てテーブル２１３を検索して，送信元ＩＰアドレス／送信先ＩＰアドレスに該当するＩＰアドレスが，内部割り当てテーブル２１３に存在する場合には，該当したＩＰアドレスのユーザ名（機器名等）をインシデント分析用シート用データの「送信元名」または「送信先名」に格納する。
【０１８６】
図１５は，内部割り当てテーブル２１３の例を示す図である。内部割り当てテーブル２１３は，監視対象２の内部に存在するＩＰアドレスを示す「ＳｏｕｒｃｅＡｄｄｒｅｓｓＮａｍｅ」，ＩＰアドレスが割り当てられた装置を示す「ユーザ名」を含む。
【０１８７】
処理ＳＴ３１：送信元ＩＰアドレス／送信先ＩＰアドレスに該当するＩＰアドレスが，内部割り当てテーブル２１３に存在しない場合には，ＩＰアドレス割り当てテーブル２１４を検索する。送信元ＩＰアドレス／送信先ＩＰアドレスに該当するＩＰアドレスが，ＩＰアドレス割り当てテーブル２１４に存在する場合には，該当したＩＰアドレスのユーザ名（組織名）をインシデント分析用シート用データの「送信元名」または「送信先名」に格納する。
【０１８８】
図１６は，ＩＰアドレス割り当てテーブル２１４の例を示す図である。
【０１８９】
ＩＰアドレス割り当てテーブル２１４は，グローバルＩＰアドレスを示す「ＳｏｕｒｃｅＡｄｄｒｅｓｓＮａｍｅ」，グローバルＩＰアドレスが割り当てられた組織等を示す「ユーザ名」を含む。
【０１９０】
処理ＳＴ３２：送信元ＩＰアドレス／送信先ＩＰアドレスに該当するＩＰアドレスが，ＩＰアドレス割り当てテーブル２１４に存在しない場合には，インシデント分析用シート用データの「送信元名」または「送信先名」を空欄にする。
【０１９１】
さらに，分析用情報生成部１３は，インシデント分析用シート２０の重要度のうち，重要度が”異常”かつプライオリティが”Ｈｉｇｈ”である場合に，その重要度の両脇に”《》”を付けて，”《異常》”とする。重要度が“異常”かつプライオリティが”Ｍｅｄｉｕｍ”であるインシデントと区別するためである。
【０１９２】
さらに，分析用情報生成部１３は，全インシデントのインシデント分析用シート用データをインシデント分析用シート２０の出力形式に編集して，ファイル名を「監視端末ＩＤ＋”イベント報告”／”イベント警告”＋検索範囲時間」として作成する。
【０１９３】
図１７および図１８は，インシデント分析用シート２０の例を示す図である。図１７は，１枚のシートとして出力されるインシデント分析用シート２０の左半分の部分であり，図１８は，同じく右半分の部分であって，図１７のインシデント分析用シート２０の右端は，図１８のインシデント分析用シート２０の左端と連結した状態で出力される。
【０１９４】
インシデント分析用シート２０は，レコード番号を示す「項番」，重要度を示す「アラート」，検出日時を示す「日付」，「インシデント名」，検出件数を示す「件数」と，「送信元ＩＰ，送信元名，送信元ポート，送信先ＩＰ，送信先名，送信先ポート，アクセス方向，詳細情報１」のインシデントの内容に関する情報と，検出したセンサ３を特定する「センサＩＰ／アダプタ」，インシデントが解決済みとなったことを記入する「解決済」欄等を含む。
【０１９５】
（４）インシデント分析情報の出力
分析用情報生成部１３は，インシデント分析用シート２０のファイル出力を行う。また，分析用情報生成部１３は，インシデント分析用シート２０の印刷が要求されている場合には，インシデント分析用シート２０のプリンタ出力を行う。
【０１９６】
また，インシデント分析用シート２０の電子メールによる送信が要求されている場合には，インシデント分析用シート２０のデータファイルを添付したメールメッセージを生成し，件名（Ｓｕｂｊｅｃｔ）に「”インシデント・シート”／”イベント警告”＋”の送付”＋検索範囲時間」を設定し，本文には「監視端末ＩＤ＋”における”＋検索範囲時間＋”インシデント・シート”／”イベント警告”＋”の送付”」を設定したメールメッセージを生成して送信する。
【０１９７】
また，インシデント分析用シート２０の印刷出力またはメール送信が要求されていない場合には，管理者端末６のコンソール画面にインシデント分析用シート２０の作成完了を通知するポップアップ画面を表示する。
【０１９８】
〔割り当て先情報検索処理〕
割り当て先情報検索部１４は，分析用情報生成部１３によって格納されたグローバルＩＰアドレスリスト２１１を，ＩＰアドレス一覧記憶部１０８から取り出して，グローバルＩＰアドレスリスト２１１から，ローカルＩＰアドレス，正当ではないＩＰアドレス，重複するＩＰアドレスを削除する。
【０１９９】
割り当て先情報検索部１４は，検索対象のＩＰアドレスを１件ずつ読み込み，問い合わせ先記憶部１０５を参照して，ＩＰアドレスの値をもとに「Ｗｈｏｉｓ情報検索」を行うインターネットレジストリの管理サーバ５の問い合わせ先（ＩＰアドレス）を特定する。そして，取得した問い合わせ先に，読み込んだＩＰアドレスのＷｈｏｉｓ情報検索を行う。問い合わせ内容は，対象のＩＰアドレスに対する全情報（親，子，孫など複数ブロックの応答）とする。
【０２００】
割り当て先情報検索部１４は，インターネットレジストリの管理サーバ５から，図１９に示すような応答メッセージを受け取ると，応答メッセージから，「ＩＰアドレス，組織名および国名コード（ＩＳＯ ３１６６−１の２文字）」を抽出して編集し，図１４に示す抽出データ（中間ファイル）２１２に出力する。
【０２０１】
なお，応答メッセージの情報の範囲（ブロックの長さ）を得るために，フォーマットを特定する。特定の方法は，インターネットレジストリの管理サーバ５をもとにフォーマットを絞り込み，さらに複数パターンからマッチするフォーマットを見つけて，ブロック長を得る。さらに，応答メッセージ中の特定の文字列（複数パターンあり）をキーワード検索して，ＩＰアドレス，組織名，国名コード等の位置を特定し，抽出する。
【０２０２】
割り当て先情報検索部１４は，グローバルＩＰアドレスリスト２１１の全ＩＰアドレスの問い合わせが完了した後，応答メッセージから抽出した抽出データ２１２の内容で，グローバルＩＰアドレス情報記憶部１０９のＩＰアドレス割り当てテーブル２１４を更新する。
【０２０３】
図２０は，インシデント監視装置１の概要処理の処理フロー図である。
【０２０４】
インシデント監視装置１の各処理部が所定のパラメータを取得して初期化処理を行うと（ステップＳ１００），イベント監視部１１およびイベント検出状況監視部１２は，インシデント・ログ記憶部１０から，定期的に，一定時間範囲のインシデント・ログを収集する（ステップＳ１０１）。
【０２０５】
イベント監視部１１は，収集したインシデント・ログの各インシデント名について，発生件数とインシデントのプライオリティから重要度を決定する（ステップＳ１０２）。そして，イベント監視部１１は，インシデント・ログの検索時間範囲と，決定した重要度に応じた表示色によって，インシデント名とメッセージとを表示する（ステップＳ１０３）。
【０２０６】
さらに，イベント監視部１１は，決定した重要度に“正常”以外の重要度があるかを判定して（ステップＳ１０４），“正常”以外の重要度があれば（ステップＳ１０４のＹ），重要度が“正常”以外のインシデントについてインシデント情報を編集し（ステップＳ１０５），編集したインシデント情報を管理者端末６に表示して，所定の通知を行う（ステップＳ１０６）。
【０２０７】
イベント検出状況監視部１２は，収集したインシデント・ログの各インシデントの検出件数と，所定の組み合わせによる検出である該当件数とを計算し，計算した検出件数または該当件数が所定の閾値を超える検出状況があるかを判定する（ステップＳ１０７）。発生件数または該当件数が閾値を超える検出状況があれば（ステップＳ１０７のＹ），閾値を超過したインシデントについてインシデント情報を編集し（ステップＳ１０８），編集したインシデント情報を管理者端末６に表示して，所定の通知を行う（ステップＳ１０９）。
【０２０８】
さらに，分析用情報生成部１３は，重要度が“正常”ではないインシデントと，閾値を超える検出状況に関連するインシデントとについて編集されたインシデント情報をもとに，分析用情報を編集する（ステップＳ１１０）。ステップＳ１１０の編集処理の間，割り当て先情報検索部１４が，インシデント情報に含まれるグローバルＩＰアドレスの割り当て先の情報について，インターネットレジストリの管理サーバ５で検索を行い，その応答結果を取得して，グローバルＩＰアドレス情報を更新する（ステップＳ１１１）。
【０２０９】
分析用情報生成部１３は，編集した分析用情報（インシデント分析用シート２０）を出力する（ステップＳ１１２）。
【０２１０】
そして，割り込みが終了でなければ（ステップＳ１１３のＮ），ステップＳ１０１の処理へ戻り，割り込みが終了であれば（ステップＳ１１３のＹ），処理を終了する。
【０２１１】
以上のとおり，本実施例に示されるように，インシデント監視装置１によって得られる効果を簡単に説明すれば，以下のとおりである。
【０２１２】
・ 多種多量に検出され続けるインシデントに対して，インシデントを優先順位の高い順に漏れなく自動的に編集出力でき，プライオリティの高いインシデントの見逃しを防ぐことができる。
【０２１３】
・ 常時，インシデントの発生の確認をする必要がなく，定期的に一定時間範囲を対象に分析対象のインシデントのみを纏めて自動通知を行える。
【０２１４】
・ 最上位の重要度を通知することで，発生したインシデントに対する緊急性が分かりやすくなる。
【０２１５】
・ インシデント毎に重要度を，例えば，「正常，警告，異常および要確認」の４段階で通知することによって，分析対象の優先順位が分かりやすい。
【０２１６】
・ インシデントの種類毎に，単位時間あたりの検出件数をもとに，正常，警告，異常の３段階で通知することによって，分析対象の優先順位が分かりやすい。
【０２１７】
・ インシデントの種類毎に異なる，１次分析処理に必要な情報のみを抽出して出力することができ，分析が容易になる。
【０２１８】
・ 一定の時間範囲内に発生したインシデントについて，インシデント名／送信先／送信元／検出時間でソート出力することができ，関連するインシデントが纏められ，分析が容易になる。
【０２１９】
・ 送信元／送信先のＩＰアドレスについての最新の組織情報（組織名等），攻撃の方向等を自動的に付与することができ，分析が容易になる。
【０２２０】
・ インターネットレジストリの問い合わせ先を意識することなく，単にデータベースを検索すれば最新の組織名等を取得することができ，レポート作成処理の処理時間を短縮することができる。
【０２２１】
・ 同一送信先に対するインシデント発生状況を，定期的に一定の時間範囲において分析し，平時と異なる場合にその状況を通知することができるため，不正アクセスの予兆等を早期に見つけることができる。
【０２２２】
また，本発明にかかるインシデント監視装置１は，プログラムがコンピュータにより読み取られ実行され，インシデント監視装置１が有する各処理部が実現されることによって構築することができる。このプログラムは，コンピュータが読み取り可能な，可搬媒体メモリ，半導体メモリ，ハードディスクなどの適当な記録媒体に格納することができ，これらの記録媒体に記録して提供される。または，このプログラムは，通信インタフェースを介して種々の通信網を利用した送受信により提供される。
【符号の説明】
【０２２３】
１ インシデント監視装置
１０ インシデント・ログ記憶部
１１ イベント監視部
１２ イベント検出状況監視部
１３ 分析用情報生成部
１４ 割り当て先情報検索部
１０１ トリガ関連付け情報記憶部
１０２ 内部ＩＰアドレス一覧記憶部
１０３ ローカルＩＰアドレス情報記憶部
１０５ 問い合わせ先記憶部
１０６ 分析用情報記憶部
１０８ ＩＰアドレス一覧記憶部
１０９ グローバルＩＰアドレス情報記憶部
２０ インシデント分析用シート
２ 監視対象
３ センサ
４ インターネット
５ インターネットレジストリの管理サーバ
６ 管理者端末
【技術分野】
【０００１】
本発明は，コンピュータシステムへの不正アクセスを検出するために，ネットワークに接続するコンピュータシステムでのインシデントの発生を監視して，インシデント検出の通知と，インシデントの分析用情報の出力とを行うインシデント監視装置，方法，プログラムに関する。
【背景技術】
【０００２】
コンピュータ間のデータ通信，コンピュータでのイベントを監視してセキュリティ上問題となる事象（セキュリティ・インシデント）を検出する不正侵入検知装置（ＩＤＳ），不正侵入防御装置（ＩＰＳ）等が知られている。
【０００３】
また，監視対象システムとネットワークとの間に設けたファイアウォールで通信ログを収集し，収集した通信ログを解析してセキュリティ・インシデントを検出し，検出したセキュリティ・インシデントに関するアドバイス情報を所定の宛先に通知して，閲覧可能な状態にする監視装置が知られている（例えば，特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−２９５２３２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記のＩＤＳ，ＩＰＳ等の検出装置（以下，センサ）で検出される，通常と異なる事象（以下，インシデントという）は，多種多様であるうえ，監視対象のコンピュータシステムに対する脅威の度合いも異なっている。したがって，検出されたインシデントがシステムへ与える影響を分析して，脅威が大きいインシデントに対する対処を優先的に行えるようにする必要がある。
【０００６】
また，上記のＩＤＳ，ＩＰＳ等によって監視対象のシステムへの不正アクセスを発見し，システムへの影響を最小限に抑制するための対処を行うには，検出されたインシデントを迅速に分析する必要がある。
【０００７】
しかし，センサからは，随時，システムへの影響の無いインシデントを含めて，多種多量かつシステムへの脅威の程度が異なるインシデントが検出され続ける。このような状況下において，システムへの影響が大きいと考えられるインシデントを優先しながら，全てのインシデントに対して分析処理を行うことは困難である。
【０００８】
また，多くのインシデントは，通知されたインシデント名だけではシステムへの影響の度合いが判別できず，より詳細な分析処理として，例えば，攻撃の方向，単位時間あたりのインシデント検出件数，トリガと攻撃対象の脆弱性との関連性等の確認を行う作業が必要である。しかし，センサが出力する多種多量のインシデントが混在するインシデントのログ情報（インシデント・ログ）から，プライオリティに応じた優先順位でインシデントを分析することは，多くの時間と労力が必要となる。
【０００９】
従来のインシデント分析の際に，以下のような問題が生じている。
【００１０】
（１）インシデントには，単位時間あたりの検出件数によって，システムへの影響の程度が異なってくるものがある。インシデントの単位時間あたりの検出件数等によって，サービス拒否攻撃という不正アクセスに繋がるものがある。インシデントが，例えば，ＤＯＳ攻撃，ＤＤＯＳ攻撃等の不正アクセスであると判断するための閾値は，システムの処理能力に応じて異なってくる。この場合に，同一の送信先に対しての時間あたりのインシデントの検出件数を把握する必要があり，集計には多くの時間と労力が必要となる。
【００１１】
（２）インシデント・ログには，多くの情報が付加されていて，例えば，発生日時，インシデント名，検出件数，プライオリティ，送信元ＩＰアドレス，送信元ポート番号，送信先ＩＰアドレス，送信先ポート番号，トリガ等の多くの情報が含まれている。したがって，分析に必要な情報を選択して参照する必要があるが，この多数の情報が含まれるインシデント・ログから必要な情報を抽出することは，多くの時間と労力が必要となる。
【００１２】
（３）インシデント分析に必要な情報は，インシデントの種類毎に異なるうえ，異なるタイプのセンサが出力するインシデント・ログのフィールド中の同じフィールドに格納されているものではない。インシデント名と，通知や分析用情報の出力のトリガとなる情報が格納されるフィールド名との紐付け等の情報がないため，情報収集に時間を費やしてしまう。
【００１３】
（４）インシデントのシステムへの影響度の分析，対策の検討等を行うためには，送信元および送信先の組織情報（例えば，組織名や機器名等）が必要である。しかし，インシデント・ログは，送信元または送信先の組織情報を含まない。そのため，別途，送信元または送信先がどのような組織であるかを調査する必要があり，この調査作業に多くの時間と労力が必要となる。
【００１４】
特に，送信元／送信先が監視対象となる自システムの外部である場合に，送信元／送信先の組織情報は，何らかの情報検索サービスを利用して収集しなければならない。
【００１５】
さらに，攻撃の対象（送信先）が監視対象となる自システムである場合には，ＩＰアドレスのみによってシステムへの影響の度合いを判別することは困難である。
【００１６】
（５）インシデント・ログから，不正アクセスの予兆や未知の攻撃等をいち早く発見するためには，インシデントの検出状況を監視する必要があり，検出状況から不正であるかを判断しなければならない。また，不正アクセス等の手口は決まっておらず，インシデント毎の情報だけでは判断に限界があり，以下のような，複数のインシデントとの関連づけを行い，現状を把握することが必要となる。
【００１７】
多種多量のインシデントが混在するインシデント・ログ中から，通常とは異なるインシデントの検出状況を識別して，未知の攻撃等を発見することは，多くの時間と労力が必要となる。
【００１８】
（６）インシデント・ログを表示するコンソール画面上では，次々に新しいインシデントが表示されデータが蓄積されていくため，表示されたインシデント・ログを見ながら分析作業を行うことは大変に困難な作業となる。具体的には，表示内容が随時更新されていくコンソール画面上で，インシデント同士の関連づけや優先順位づけを行いながら，全てのインシデントについて漏れなく分析を行うことできない。
【００１９】
さらに，３６５日２４時間継続してインシデントの分析を，コンソール画面を見ながら行うことは実際には不可能である。
【００２０】
本願発明の目的は，システムへの被害を最小限にとどめるために，システムへの不正アクセスおよび不正アクセスの予兆を発見するため，インシデントの検出と検出状況とを監視し，インシデント・ログの分析処理の処理時間を短縮できる分析用情報を出力するインシデント監視装置，方法，プログラムを実現することである。
【課題を解決するための手段】
【００２１】
本発明にかかるインシデント監視装置は，ネットワークに接続するコンピュータシステムで生じるインシデントを監視する装置であって，以下の記憶部および処理部を有する。すなわち，インシデント監視装置は，監視対象のコンピュータシステムの内部で使用される内部ＩＰアドレスと内部ＩＰアドレスの割り当て先とを登録した内部ＩＰアドレス情報を記憶する内部ＩＰアドレス情報記憶部と，コンピュータシステムを監視するセンサが検出したインシデントに関する情報であって，インシデント名と，検出日時と，送信元ＩＰアドレスと，送信先ＩＰアドレスと，センサが付加したインシデントの脅威の程度を示すプライオリティとを含むインシデント・ログ情報を記憶するインシデント・ログ記憶部と，インシデント分析用情報を作成するための作成用情報を記憶する分析用情報記憶部とを備える。
【００２２】
さらに，上記のインシデント監視装置は，インシデント・ログ記憶部から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，抽出したインシデント・ログ情報をもとに，インシデント名ごとに，時間範囲内でのインシデントの検出件数とプライオリティとをもとに重要度を判定する処理と，インシデント名ごとにインシデントの情報を編集して，インシデント名に対する重要度と編集した情報とを，第１の作成用情報として分析用情報記憶部に格納する処理とを行うイベント監視部を備える。
【００２３】
さらに，上記のインシデント監視装置は，インシデント・ログ記憶部から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，抽出したインシデント・ログ情報をもとに，インシデント名ごとのインシデントの検出件数と所定の組み合わせ条件における検出件数である該当件数とを計算して，検出件数と該当件数とを所定の閾値と比較する処理と，検出件数または該当件数が閾値以上であるインシデント名について，インシデント名ごとにインシデントの情報を編集し，編集した情報を第２の作成用情報として分析用情報記憶部に格納する処理とを行うイベント検出状況監視部を備える。
【００２４】
さらに，上記のインシデント監視装置は，分析用情報記憶部の第１の作成用情報と第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，グローバルＩＰアドレスの割り当て先を特定する情報を，ＩＰアドレスの割り振りを管轄するインターネットレジストリの管理サーバから取得する割り当て先情報検索部と，第１の作成用情報と第２の作成用情報と割り当て先情報検索部が取得したグローバルＩＰアドレス割り当て先の情報とを用いて，検出したインシデントに関するインシデント分析用情報を生成して出力する分析用情報生成部とを備える。
【００２５】
上記のインシデント監視装置は，イベント監視部によって，センサが検出したイベント・ログのうち，一定の時間範囲内で検出されたインシデントのインシデント・ログ情報から，インシデント名ごとに，インシデントの検出件数とプライオリティとをもとに重要度を判定する。さらに，イベント監視部によって，インシデント名ごとにインシデントの情報を編集して，インシデント名に対する重要度と編集した情報とを，第１の作成用情報として分析用情報記憶部に格納する。
【００２６】
さらに，インシデント監視装置は，イベント検出状況監視部によって，一定の時間範囲内で検出されたインシデントのインシデント・ログ情報から，インシデント・ログ情報をもとに，インシデント名ごとのインシデントの検出件数と所定の組み合わせ条件における検出件数である該当件数とを計算して，検出件数と該当件数とを所定の閾値と比較する。そして，検出件数または該当件数が閾値以上であるインシデント名について，インシデント名ごとにインシデントの情報を編集し，編集した情報を第２の作成用情報として分析用情報記憶部に格納する。
【００２７】
そして，インシデント監視装置は，インシデント分析用情報の生成中に，割り当て先情報検索部によって，分析用情報記憶部の第１の作成用情報と第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，グローバルＩＰアドレスの割り当て先を特定する情報を，グローバルＩＰアドレスの割り振りを管轄するインターネットレジストリの管理サーバから取得する。
【００２８】
そして，分析用情報生成部によって，第１の作成用情報と第２の作成用情報と，割り当て先情報検索部が取得したグローバルＩＰアドレス割り当て先の情報とを用いて，検出したインシデントに関するインシデント分析用情報を生成して出力する。
【００２９】
上記のインシデント監視装置は，一定の時間内で検出したインシデントを，その重要度とともに通知することができる。これによって，検出したインシデントの緊急性を管理者に通知することができる。
【００３０】
また，インシデント監視装置は，インシデントの検出状況を監視して，検出状況を示す，インシデントの検出件数や該当件数が，一定の閾値を超えた場合に，この検出状況を通知することができる。これによって，一定時間内のインシデントの検出傾向を把握して，インシデントの発生または発生予兆を通知することができる。
【００３１】
また，インシデント監視装置は，インシデント・ログ情報に含まれる，送信先または送信元のＩＰアドレスの割り当て先に関する組織情報（例えば，組織名，団体名等）を取得し，インシデント名単位に纏めたインシデントに関する情報とともに組織情報を格納した分析用情報を生成することができる。
【００３２】
これによって，分析用情報から，インシデントが検出されたデータ通信の相手方を特定することができ，インシデントの分析が容易になる。
【発明の効果】
【００３３】
上記説明したインシデント監視装置によれば，検出したインシデントの分析処理の処理時間を短縮できるため，監視対象のコンピュータシステムへの被害を最小限にとどめることが可能となる。
【図面の簡単な説明】
【００３４】
【図１】本発明の一実施例における，インシデント監視装置が実施されるシステムの構成例を示す図である。
【図２】本発明の一実施例におけるインシデント監視装置の構成例を示す図である。
【図３】インシデント・ログ記憶部に保存されるインシデント・ログの例を示す図である。
【図４】トリガ関連付けテーブルの例を示す図である。
【図５】イベント監視部のワークテーブルの例を示す図である。
【図６】インシデント分析用シートの作成用データの例を示す図である。
【図７】内部ＩＰアドレスリストの例を示す図である。
【図８】検出インシデント一覧のデータ構成例を示す図である。
【図９】検出インシデント一覧表示画面の表示例を示す図である。
【図１０】検出インシデント一覧表示画面の検出インシデントの一覧の表示例を示す図である。
【図１１】詳細情報のデータ構成例を示す図である。
【図１２】検出インシデント詳細情報表示画面の例を示す図である。
【図１３】グローバルＩＰアドレスリストの例を示す図である。
【図１４】割り当て先情報の抽出データの例を示す図である。
【図１５】内部割り当てテーブルの例を示す図である。
【図１６】ＩＰアドレス割り当てテーブルの例を示す図である。
【図１７】インシデント分析用シート（左半分）の例を示す図である。
【図１８】インシデント分析用シート（右半分）の例を示す図である。
【図１９】割り当て先情報検索の応答メッセージの例を示す図である。
【図２０】インシデント監視装置の概要処理の処理フロー図である。
【発明を実施するための形態】
【００３５】
図１は，本願発明の一実施形態において，インシデント監視装置１が実施されるシステムの構成例を示す図である。
【００３６】
インシデント監視装置１は，インシデント・ログ記憶部１０にアクセスして，所定の時間範囲内のインシデント・ログを取得し，取得したインシデント・ログを分析して，インシデントの発生または発生の予兆を管理者端末６への所定の画面表示等によって通知し，インシデント分析用情報としてインシデント分析用シート２０を出力する。
【００３７】
また，インシデント監視装置１は，インターネット４を通じて，グローバルＩＰアドレスを管理するインターネットレジストリの管理サーバ５へアクセスして，ＩＰアドレスの割り当て先に関する情報（組織情報）を取得する。
【００３８】
ここで，インシデントとは，特に不正アクセスに限定するものではなく，単に，通常とは異なる事象（異常事象）をいう。
【００３９】
インシデント・ログは，監視対象システムまたは監視対象ネットワーク（以下，単に監視対象という）２に設けられた，ＩＤＳ，ＩＰＳ等のセンサ３が検出したインシデントに関する情報である。
【００４０】
センサ３は，ネットワークを流れるパケットを監視するＮＩＤＳ（Ｎｅｔｗｏｒｋ ＩＤＳ），ホストサーバのログやイベントを監視するＨＩＤＳ（Ｈｏｓｔ ＩＤＳ）である。
【００４１】
インターネットレジストリとは，インターネットリソース（ＩＰｖ４，ＩＰｖ６の両アドレスとＡＳ（自律システム）番号）の割り振りと登録とを管理する組織である。ＩＰアドレス管理の各管轄（国／地域別）のインターネットレジストリの管理サーバ５で「Ｗｈｏｉｓ情報検索」を行うことによって，グローバルＩＰアドレスの割り当て先に関する情報（組織情報）を取得することができる。
【００４２】
まず，インシデント監視装置１が実行する処理およびその効果について概説する。
【００４３】
１．インシデント監視装置１は，定期的(一定の時間間隔ごと)に，一定の時間範囲（現在から過去に遡った所定の時間範囲)内のインシデント・ログを自動的に検索し，分析が必要な全インシデントの情報を編集して出力する。インシデントの分析用情報は，例えば，１つのインシデント分析用シートとして出力する。
【００４４】
これにより，時系列で優先順の高い順に漏れのないインシデントの分析処理が実施できる。
【００４５】
２．インシデント監視装置１は，一定の時間範囲内でのインシデントを検索する。これにより，システムへの影響度を考慮した，単位時間あたりの件数の閾値を持つ判断処理を行うことができる。例えば，同一インシデント名であって，同一の送信先または送信元のＩＰアドレスに対するインシデントの検出件数を集計する。
【００４６】
インシデント監視装置１は，インシデントの件数が閾値（ある一定件数）を超えた場合に，例えば管理者端末６へインシデント検出を通知し，そのインシデントの分析情報を編集してインシデント分析用シート２０に出力する。
【００４７】
インシデント監視装置１は，インシデントの検出件数に応じて，重要度を「正常，警告，異常または要確認」にランクづけを行う。例えば，プライオリティ＝Ｈｉｇｈのインシデントを区別し，重要度＝異常として扱い，通知および分析情報に含める。
【００４８】
プライオリティは，監視対象２にインシデントが与える脅威の度合いである。プライオリティは，インシデントを検出するセンサ３が，所定のセキュリティ・ポリシーに基づいて判断する。例えば，インシデント名毎に，Ｌｏｗ，Ｍｅｄｉｕｍ，Ｈｉｇｈの値が割り当てられる。Ｌｏｗ，Ｍｅｄｉｕｍ，Ｈｉｇｈは，それぞれ，脅威の度合いが低程度，中程度，高程度である。
【００４９】
より具体的には，インシデント監視装置１は，プライオリティと重要度との関係から，インシデントを以下のように扱う。
【００５０】
（１）インシデントがプライオリティ＝Ｌｏｗの場合に，重要度＝正常として，分析不要と判断する。
【００５１】
（２）インシデントがプライオリティ＝Ｍｅｄｉｕｍの場合に，その重要度を，インシデント名および送信先ＩＰアドレスに対する検出件数等で判断する。検出件数が警告件数未満であれば，重要度＝正常として，分析不要と判断する。また，検出件数が警告件数以上かつ異常件数未満であれば，重要度＝警告と判断する。また，検出件数が異常件数以上であれば，重要度＝異常と判断する。
【００５２】
（３）インシデントがプライオリティ＝Ｈｉｇｈの場合に，重要度＝異常と判断する。
【００５３】
（４）インシデントがプライオリティ＝Ｈｉｇｈであって，かつ明らかに問題ある場合に，重要度＝要確認と判断する。
【００５４】
３．インシデント監視装置１は，インシデントの分析用情報の一形態であるインシデント分析用シート２０に，１次分析に必要な最低限の情報のみを抽出して出力する。また，インシデントを，重要度の高い順，インシデント名，送信先ＩＰアドレス，送信元ＩＰアドレス，検出時間等でソートしてインシデント分析用シートに出力する。これにより，関連するインシデントが纏められるため，分析が容易になる。
【００５５】
４．検出したインシデントを，インシデント情報として通知する，または，その分析用情報を作成するかを判定する情報として使用するインシデント・ログ内の情報をトリガ情報という。このトリガ情報は，使用されるインシデント・ログのフィールド（データ項目）がインシデント名毎に異なるうえ，各センサ３が出力するインシデント・ログのフィールド名が異なる。
【００５６】
インシデント監視装置１は，インシデント名と，トリガ情報のフィールド名との関連付け情報を持ち，この関連付け情報をもとに，インシデント名ごとに該当するトリガ情報を抽出する。
【００５７】
また，インシデント監視装置１は，関連付け情報がないインシデント名について，デフォルト設定として，インシデント・ログの先頭フィールド名のトリガ情報を抽出する。また，対象となるフィールド名が排他的に複数存在するような場合は，関連付け情報として複数のフィールド名を持つようにし，該当するフィールド名を順番に検索して，先に見つかったフィールド名のトリガ情報を抽出する。
【００５８】
５．インシデント監視装置１は，インシデント分析用シート２０に，監視対象２が加害者か被害者であるかを示すアクセス方向を付加して出力する。
【００５９】
インシデント監視装置１は，アクセス方向を，インシデント・ログの送信先ＩＰアドレスおよび送信元ＩＰアドレスに基づいて判定する。
【００６０】
アクセス方向は，パケットの送信方向であり，外部から監視対象２への送信（外→内）監視対象２から外部へ送信（内→外），監視対象２内の通信（内→内）のいずれかが格納される。
【００６１】
６．インシデント監視装置１は，インシデント分析用シート２０に，送信元および送信先のＩＰアドレスの割り当て先の組織情報を付加して出力する。
【００６２】
インシデント監視装置１は，監視対象２に存在するＩＰアドレスと割り当て先の情報が登録された内部ＩＰアドレス情報を予め保持しておく。また，インシデント監視装置１は，インシデント分析用シート２０の編集時に，インシデント・ログ内のグローバルＩＰアドレスの割り当て先の組織情報を，インターネットレジストリの管理サーバ５での「Ｗｈｏｉｓ情報検索」を利用して取得する。
【００６３】
７．インシデント監視装置１は，定期的に，一定の時間範囲内の全インシデント（プライオリティに関係なく）を対象として，インシデントの検出件数または所定の条件に該当する検出件数（該当件数）が閾値を超えた場合に，不正アクセスの予兆や未知の攻撃等の発生の可能性ありとして，管理者端末６へ通知し，そのインシデントの情報をインシデント分析用シート２０に出力する。
【００６４】
ここで，検出件数と該当件数それぞれに対する閾値を設け，以下の条件で集計した値と比較する。
【００６５】
閾値は，センサ３によるインシデントの全プライオリティのインシデント名に対する判断条件であり，攻撃を示すようなインシデント，ネットワーク上での異常を示すインシデント等を検出するために，件数が一定の閾値を超えた場合に通知と分析用情報として編集するためのものである。閾値は，全インシデント名を対象とするものと，個別のインシデント名を対象とするものが用意される。
【００６６】
（１）同一インシデント名，かつ同一送信先ＩＰアドレス，かつ同一送信元ＩＰアドレスであるインシデントの検出件数，
（２）同一インシデント名，かつ同一送信先ＩＰアドレスであるインシデントの検出件数，
（３）同一インシデント名の検出件数，
（４）同一インシデント名，かつ同一送信先ＩＰアドレス，かつ同一送信元ＩＰアドレスの組み合わせ数，
（５）同一インシデント名，かつ同一送信先ＩＰアドレスの組み合わせ数，
（６）インシデント名の組み合わせ数。
【００６７】
８．インシデント監視装置１は，インシデントの分析の要否が判断されるインシデントの検出を，以下の方法で管理者端末６へ通知する。
【００６８】
（１）画面表示による通知
インシデント監視装置１は，管理者端末６のコンソール画面に，画面表示による通知として，重要度に対応した色と，文字によるインシデント情報の表示を行う。例えば，重要度＝異常であれば，インシデント名と「不正アクセスの可能性あり」の旨の表示を「赤色」で，重要度＝警告であれば，インシデント名と「不正アクセスの予兆の可能性あり」の旨の表示を「黄色」で，重要度＝正常であれば，「問題なし」の旨の表示を「緑色」で，重要度＝要確認であれば，インシデント名と「許可されたものであれば問題なし（通常は明らかに問題のあるインシデント）を示す」の旨の表示を「朱色」で，それぞれ行う。
【００６９】
また，インシデント監視装置１は，複数種類の重要度のインシデントが同時に発生した場合には，「異常＜警告＜正常＜要確認」の順で，最も重要度の高いものから表示する。
【００７０】
また，インシデント情報のより詳細な内容として，例えば，以下の表示を行う。
【００７１】
(a) サマリー表示として，分析が必要なインシデントの一覧を，分析を行う順（例えば重要度の高い順）に，インシデント名および送信先ＩＰアドレスで検出件数を纏めて検出インシデント一覧として表示する。
【００７２】
(b) 検出インシデント一覧から，参照したいインシデントが選択されることによって，選択されたインシデント毎の全情報を一覧で表示する。
【００７３】
また，１次分析に必要な情報に対して，番号を付けて表示する。
【００７４】
また，攻撃の方向としてみなしうる，アクセス方向を表示する。
【００７５】
（２）サウンドによる通知
インシデント監視装置１は，インシデント分析が必要な場合（例えば，重要度が正常以外のインシデントがある場合）に，管理者端末６または他の音声出力装置を介して所定のサウンドを出力する。
【００７６】
（３）電子メール（Ｅ−ｍａｉｌ）による通知
インシデント監視装置１は，インシデント分析が必要な場合に，インシデント分析用シート２０またはサマリー（例えば，検出インシデント一覧）を電子メールとして管理者端末６または所定の宛先へ送信する。
【００７７】
（４）アプリケーションプログラムへのイベント・ログ出力による通知
インシデント監視装置１は，インシデント分析が必要な場合に，例えば，オペレーティングシステムＷｉｎｄｏｗｓのアプリケーションプログラム・ログにインシデントのサマリーを出力する。例えば，インシデント監視装置１は，ＷｉｎｄｏｗｓＯＳのＳＮＭＰ通信管理機能によるＳＮＭＰトラップを送信し，管理者端末６へインシデント・ログを通知する。
【００７８】
（５）アプリケーション起動による通知
インシデント監視装置１は，インシデント分析が必要な場合に，管理者端末６または所定の装置のアプリケーションプログラムを起動する。例えば，警告灯の起動等のアプリケーションを実行する。
【００７９】
図２は，本発明の一実施例におけるインシデント監視装置１の構成例を示す図である。
【００８０】
インシデント監視装置１は，トリガ関連付け情報記憶部１０１，内部ＩＰアドレス一覧記憶部１０２，ローカルＩＰアドレス情報記憶部１０３，問い合わせ先記憶部１０５，分析用情報記憶部１０６，ＩＰアドレス一覧記憶部１０８，グローバルＩＰアドレス情報記憶部１０９，イベント監視部１１，イベント検出状況監視部１２，分析用情報生成部１３，および割り当て先情報検索部１４を備える。
【００８１】
トリガ関連付け情報記憶部１０１は，インシデント名を管理者端末６への通知と，インシデント分析用シート２０の生成のトリガ情報と，インシデント・ログのフィールドとの対応付けを示すトリガ関連付け情報（関連付けテーブル）を記憶する記憶部である。
【００８２】
内部ＩＰアドレス一覧記憶部１０２は，監視対象２に存在するＩＰアドレスの範囲を記録した一覧（内部ＩＰアドレスリスト）を記憶する記憶部である。
【００８３】
ローカルＩＰアドレス情報記憶部１０３は，監視対象２に存在するローカルＩＰアドレスと監視対象２で内部ＩＰアドレスとして扱うグローバルＩＰアドレスとの各々について，割り当て先の装置等を示す情報（内部割り当てテーブル）を記憶する記憶部である。
【００８４】
問い合わせ先記憶部１０５は，インターネットレジストリの管理サーバ５のアドレス情報を記憶する記憶部である。
【００８５】
分析用情報記憶部１０６は，イベント監視部１１およびイベント検出状況監視部１２が出力したインシデント分析用シート２０を作成するための作成用情報を記憶する記憶部である。
【００８６】
ＩＰアドレス一覧記憶部１０８は，インターネットレジストリの管理サーバ５での検索対象となるグローバルＩＰアドレスの一覧（グローバルＩＰアドレスリスト）を記憶する記憶部である。
【００８７】
グローバルＩＰアドレス情報記憶部１０９は，インターネットレジストリの管理サーバ５での検索結果から抽出した，グローバルＩＰアドレスとその割り当て先の情報との対応情報（ＩＰアドレス割り当てテーブル）を記憶する記憶部である。
【００８８】
イベント監視部１１は，インシデント・ログ記憶部１０から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，抽出したインシデント・ログ情報をもとに，インシデント名ごとに，時間範囲内でのインシデントの検出件数とプライオリティとをもとにインシデント・ログを分析して重要度を判定する処理とを行う。
【００８９】
また，イベント監視部１１は，重要度が高いインシデント名ごとにインシデントの情報を編集し，インシデント名に対する重要度と編集した情報の一部または全部とを管理者端末６の所定の画面に表示する処理と，重要度と編集した情報とを，インシデント分析用シート２０の作成用情報として分析用情報記憶部１０６に格納する処理とを行う。
【００９０】
イベント検出状況監視部１２は，インシデント・ログ記憶部１０から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，抽出したインシデント・ログ情報をもとに，インシデント名ごとに，インシデントの検出件数と，所定の組み合わせに該当するインシデントの検出数である該当件数とを計算して，検出件数と該当件数とを所定の閾値と比較する。
【００９１】
イベント検出状況監視部１２は，計算した検出件数または該当件数が閾値以上であるインシデント名について，インシデント名ごとにインシデントの情報を編集して，この編集した情報の一部または全部を管理者端末６の所定の画面に表示する処理と，この編集した情報を第２の作成用情報として分析用情報記憶部１０６に格納する処理とを行う。
【００９２】
分析用情報生成部１３は，分析用情報記憶部１０６に格納された第１の作成用情報と第２の作成用情報と，割り当て先情報検索部１４が取得したグローバルＩＰアドレスの割り当て先の情報（グローバルＩＰアドレス情報記憶部１０９に記憶された情報）とローカルＩＰアドレス情報記憶部１０３に記憶された情報を用いて，分析用情報でありインシデント分析用シート２０を作成して出力する。
【００９３】
割り当て先情報検索部１４は，分析用情報記憶部１０６に格納された第１の作成用情報と第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，内部ＩＰアドレス一覧記憶部１０２に登録されていないグローバルＩＰアドレスについての「Ｗｈｏｉｓ情報検索」の要求をインターネットレジストリの管理サーバ５へ送信する処理と，管理サーバ５から，検索要求の結果を取得して，グローバルＩＰアドレスの割り当て先の情報を取得し，グローバルＩＰアドレスとその割り当て先の情報とをグローバルＩＰアドレス情報記憶部１０９へ格納する。
【００９４】
以下に，インシデント監視装置１の処理動作を，より詳細に説明する。
【００９５】
〔イベント監視処理〕
（１）インシデント・ログの取得
イベント監視部１１は，インシデント監視装置１が有するスケジューラ（図２に図示しない）により，検索時間範囲の時間間隔で，インシデント・ログ記憶部１０を検索する。
【００９６】
図３は，インシデント・ログ記憶部１０に保存されるインシデント・ログの例を示す図である。図３（Ａ）は，インシデント・ログの親テーブル２００のデータ構成例，図３（Ｂ）は，インシデント・ログの子テーブル２０１のデータ構成例を示す図である。
【００９７】
インシデント・ログは，センサ３が検出した情報をインシデント名ごとに蓄積する親テーブル２００と，各レコードに対応付けられた，トリガ情報となるテーブルのフィールド名とその格納情報とを蓄積する子テーブル２０１とを含む。
【００９８】
図３（Ａ）のインシデント・ログの親テーブル２００は，レコードの識別情報が設定される「レコードＩＤ」，インシデントの名称を示す「インシデント名」，インシデントを検出した日時が格納される「検出日時」，検出したセンサ３の名称を示す「センサ名」，センサ３が判定したインシデントのプライオリティが格納される「プライオリティ」，センサ３のＩＰアドレスが格納される「センサＩＰアドレス」，インシデントとされたデータ通信の送信元および送信先の情報が格納される「送信元ＩＰアドレス，送信元ポート番号，送信先ＩＰアドレス，および送信先ポート番号」，検出されたインシデントの件数が格納される「件数」，インシデントへの処置動作を示す「レスポンス」等を含む。
【００９９】
図３（Ｂ）のインシデント・ログの子テーブル２０１は，「レコードＩＤ」，トリガ情報のフィールド名が格納される「属性」，そのフィールドの格納情報である「トリガ情報」等を含む。
【０１００】
インシデント・ログの親テーブル２００と子テーブル２０１は，レコードＩＤによって関連付けられ，親テーブル２００と子テーブル２０１の関係は１対複数（ｎ）でもよい。また，子テーブル２０１の件数および出力順序は可変である。
【０１０１】
イベント監視部１１は，インシデント・ログ記憶部１０から抽出した，検索時間範囲のイベント・ログを，作業用メモリ内のワークテーブルに格納する。イベント監視部１１は，インシデント・ログのトリガ情報が格納されるフィールド名がセンサ３によって異なっている場合に，子テーブル２０１のトリガ関連付け情報記憶部１０１に記憶されたトリガ関連付けテーブル２０２を参照して，該当するフィールド名とトリガ情報とを取得してワークテーブルに格納する。
【０１０２】
図４は，トリガ関連付けテーブル２０２の例を示す図である。
【０１０３】
図４のトリガ関連付けテーブル２０２には，各インシデント名でのトリガ情報が格納される子テーブルの属性（親テーブルのフィールド名）であって，インシデント分析用シート２０の詳細情報として出力される情報の対応関係が設定される。
【０１０４】
トリガ関連付けテーブル２０２は，「インシデント名」，インシデント分析用シート２０に詳細情報１として出力される子テーブル２０１の属性を示す「Ｄｅｔｉｌ１，Ｄｅｔｉｌ１Ｗ」，同様に詳細情報２として出力される子テーブル２０１の属性を示す「Ｄｅｔｉｌ２，Ｄｅｔｉｌ２Ｗ」を有する。
【０１０５】
「Ｄｅｔｉｌ１，Ｄｅｔｉｌ１Ｗ」の順に，子テーブル２０１が検索され，最初に検索した子レコード２０１のトリガ情報が，インシデント分析用シート２０の詳細情報１へ出力される。また，「Ｄｅｔｉｌ２，Ｄｅｔｉｌ２Ｗ」も同様に処理される。
【０１０６】
なお，トリガ関連付けテーブル２０２に登録されていないインシデント名については，子テーブル２０１の１番目の項目のトリガ情報がインシデント分析用シート２０の詳細情報１に出力され，２番目の項目のトリガ情報が詳細情報２に出力されるように処理される。
【０１０７】
図５は，イベント監視部１１のワークテーブルのデータ構成例を示す図である。
【０１０８】
図５（Ａ）は，インシデント・ログの親レコード２００を保持するワークテーブル２０３の例，図５（Ｂ）は，インシデント・ログの子レコード２０１を保持するワークテーブル２０４の例を示す。
【０１０９】
ワークテーブル２０３は，レコードの識別情報の「レコードＩＤ」，インシデントが検出された日時情報の「検出日時」，インシデントの名称である「インシデント名」，センサ３によるプライオリティを示す「プライオリティ」，「送信元ＩＰアドレス」，「送信元ポート」，「送信先ＩＰアドレス」，「送信先ポート」，インシデント・ログを格納したセンサ３を示す「センサＩＰアドレス」，センサ３の種別（ＮＩＤＳ，ＨＩＤＳ）を示す「センサ種別」，インシデントの検出件数が格納される「件数」，重要度を“警告”と判定する閾値（検出件数）が設定される「警告件数（閾値）」，重要度を“異常”と判定する閾値（検出件数）が設定される「異常件数（閾値）」を有する。
【０１１０】
ワークテーブル２０４は，レコードの識別情報の「レコードＩＤ」，子テーブル２０１の属性が格納される「属性」，子テーブル２０１の対応する属性のトリガ情報が格納される「トリガ情報」，出力される詳細情報の指定（詳細情報１，詳細情報２）を示す「種別」を有する。
【０１１１】
インシデント監視装置１は，現在から遡った所定時間範囲内に検出したインシデント・ログを処理することによって，２４時間，３６５日にわたって，分析が必要なインシデントの情報を漏れなく編集，出力することができる。
【０１１２】
（２）インシデントの重要度の決定
イベント監視部１１は，抽出したインシデント・ログのインシデント名ごとの重要度を判別するため，以下の処理の順で，インシデントを評価して，最初に一致した条件の重要度を決定する。
【０１１３】
これにより，インシデント監視装置１は，検索対象の時間範囲におけるインシデント分析の緊急性を区別して出力することができる。
【０１１４】
処理ＳＴ１：インシデントのプライオリティがＨｉｇｈ，かつＨＩＤＳのインシデントがあれば，重要度を”要確認”とする。
【０１１５】
処理ＳＴ２：プライオリティがＨｉｇｈのインシデントがあれば，重要度を”異常”とする。
【０１１６】
処理ＳＴ３：プライオリティがＭｅｄｉｕｍで，インシデント名および送信先ＩＰアドレスのインシデントが，個別で指定した異常件数（異常件数＝０を除く）以上であれば，重要度を”異常”とする。
【０１１７】
処理ＳＴ４：プライオリティがＭｅｄｉｕｍで，インシデント名および送信先ＩＰアドレスのインシデントが，個別では指定されておらず，全体の異常件数（異常件数＝０を除く）以上であれば，重要度を”異常”とする。
【０１１８】
処理ＳＴ５：プライオリティがＭｅｄｉｕｍで，インシデント名および送信先ＩＰアドレスのインシデントが，個別で指定した警告件数（警告件数＝０を除く）以上であれば，重要度を”警告”とする。
【０１１９】
処理ＳＴ６：プライオリティがＭｅｄｉｕｍで，インシデント名および送信先ＩＰアドレスのインシデントが，個別では指定されておらず，全体の警告件数（警告件数＝０を除く）以上であれば，重要度を”警告”とする。
【０１２０】
処理ＳＴ７：重要度を”正常”とする。
【０１２１】
（３）重要度および検索範囲の時間帯を画面表示
イベント監視部１１は，重要度と検索範囲の時間とを，管理者端末６の画面に表示する。また，決定した重要度に基づいて画面に表示するインシデント名の表示色を変えたり，所定のメッセージを表示したりする。
【０１２２】
これにより，インシデント監視装置１は，管理者に，検索範囲時間帯のインシデント分析の緊急性と，インシデントの発生時間帯が１目で分かる情報とを提供することができる。
【０１２３】
イベント監視部１１は，決定した重要度に応じて，以下のようにインシデント名の表示色を変え，メッセージを表示する。
【０１２４】
・重要度が“異常”のインシデント名を「赤色」で表示し，「不正アクセスの可能性あり」を表示する。
【０１２５】
・重要度が“警告”のインシデント名を「黄色」で表示し，「不正アクセスの予兆」のメッセージを表示する。
【０１２６】
・重要度が“正常”の場合には，“正常”と「緑色」で表示し，「問題なし」のメッセージを表示する。
【０１２７】
・重要度が“要確認”のインシデント名を「朱色」で表示し，「許可されたものであれば問題なし（通常は明らかに問題のあるインシデント）」のメッセージを表示する。
【０１２８】
（４）インシデント分析用情報の出力
イベント監視部１１は，重要度が”警告”，”異常”または”要確認”であるインシデントがある場合に，ワークテーブル２０３のデータをもとに，インシデント分析用シート２０を作成するためのデータ（作成用データ）を編集出力し，分析用情報記憶部１０６に格納する。イベント監視部１１が作成する作成用データは，第１の作成用情報に相当する。
【０１２９】
図６は，作成用データ２０６のデータ構成例を示す図である。
【０１３０】
作成用データ２０６は，「重要度，検出日時，インシデント名，件数，送信元ＩＰアドレス，送信元ポート番号，送信先ＩＰアドレス，送信先ポート番号，プライオリティ，アクセス方向，トリガ情報１，トリガ情報２，レスポンス，センサＩＰアドレス」等を有する。
【０１３１】
アクセス方向は，送信先ＩＰアドレス，送信元ＩＰアドレスが，内部ＩＰアドレス（ローカルＩＰアドレスまたは内部ＩＰアドレスとして登録されたグローバルＩＰアドレス）であれば"内"と特定され，"内"として特定されたＩＰアドレス以外のＩＰアドレスを"外"と特定されて，"外→内"，"内→外"，"内→内"または"外→外"のパケット方向が格納される。
【０１３２】
作成用データ２０６のレコードの出力順は，重要度の高い順，かつインシデント名，送信先ＩＰアドレス，送信元ＩＰアドレスおよび検出時間の昇順とする。
【０１３３】
このようにソートすることによって，関連するインシデントを寄せることができ，優先順位の高い順に分析ができるインシデント分析用シート２０を作成することができる。
【０１３４】
より詳しくは，イベント監視部１１が，以下の処理を行う。
【０１３５】
処理ＳＴ１０：重要度”警告”，”異常”および”要確認”の全インシデントのレコードを編集する。
【０１３６】
処理ＳＴ１１：重要度，インシデント名，送信先ＩＰアドレス，送信元ＩＰアドレス，または検出日時（時間）で，インシデントのレコードをソートする。
【０１３７】
処理ＳＴ１２：インシデントの親レコード２０２から，プライオリティ，検出時間，インシデント名，件数，送信元ＩＰアドレス，送信元ポート番号，送信先ＩＰアドレス，送信先ポート番号，レコードＩＤ等を抽出する。
【０１３８】
処理ＳＴ１３：以下の判断条件をもとに「アクセス方向」を決定する。
【０１３９】
・送信元ＩＰアドレスまたは送信先ＩＰアドレスが，ローカルＩＰアドレスまたは内部ＩＰアドレスリスト２０７に登録してあるＩＰアドレスであれば，そのＩＰアドレス側を”内”と特定する。
【０１４０】
・送信元ＩＰアドレスまたは送信先ＩＰアドレスが内部ＩＰアドレスリスト２０７に登録されていない場合に，そのＩＰアドレス側を”外”と特定する。
【０１４１】
図７は，内部ＩＰアドレス一覧記憶部１０２に記憶されている内部ＩＰアドレスリスト２０７の例を示す図である。
【０１４２】
図７の内部ＩＰアドレスリスト２０７は，内部ＩＰアドレスの範囲の開始アドレス値を示す「開始ＩＰアドレス」，内部ＩＰアドレスの範囲の終了アドレス値を示す「終了ＩＰアドレス」，範囲の説明である「メモ」を有する。
【０１４３】
処理ＳＴ１４：ワークテーブル２０３のレコードＩＤと一致するワークテーブル２０４の全ての子レコードを検索する。
【０１４４】
レコードが，ＮＩＤＳタイプのセンサ３からのものである場合には，ワークテーブル２０４の１番目の子レコードにあるトリガ情報を退避する。そして，２番目以降の子レコードのフィールド名と登録されているフィールド名とが一致した場合に，トリガ情報を退避し直し，作成用データ２０６の編集出力を行い，次のインシデントを処理する。
【０１４５】
ワークテーブル２０３に，ワークテーブル２０４の子レコードと一致するフィールド名が無い場合に，ワークテーブル２０４の１番目の子レコードのトリガ情報で作成用データ２０６の編集出力を行い，次のインシデントを処理する。
【０１４６】
レコードがＨＩＤＳタイプのセンサ３からのものである場合に，トリガ関連付けテーブル２０２を参照して，インシデント名と一致するフィールド名（２つ）を取得する。そして，登録されているフィールド名（１つ目）で，ワークテーブル２０４の子レコードを検索し，レコードがあればトリガ情報を退避し，作成用データ２０６の編集出力を行い，次のインシデントを処理する。
【０１４７】
さらに，登録されているフィールド名（２つ目）で，ワークテーブル２０４の子レコードを検索し，レコードがあればトリガ情報を退避し，作成用データ２０６の編集出力を行い，次のインシデントを処理する。ワークテーブル２０３のインシデント名と一致するレコードがトリガ関連付けテーブル２０２に無い場合に，ワークテーブル２０４の１番目の子レコードにあるトリガ情報を退避し，作成用データ２０６の編集出力を行い，次のインシデントを処理する。
【０１４８】
処理ＳＴ１５：重要度が”警告”，”異常”または”要確認”である場合に，検出インシデント一覧２０８および各インシデントの詳細情報を，管理者端末６に表示する。
【０１４９】
インシデント監視装置１は，検出インシデント一覧のようなサマリー情報を自動的に表示することによって，管理者が監視対象２での全体のインシデントの発生状況が確認できる情報を提供することができる。
【０１５０】
イベント監視部１１は，ワークテーブル２０３をもとに，重要度，インシデント名，または送信先ＩＰアドレスごとに検出件数を合計して，図８に示すような「重要度，インシデント名，件数，送信先ＩＰアドレス」等の情報を含む検出インシデント一覧２０８を生成する。そして，管理者端末６に，図９に示すような検出インシデント一覧表示画面３００を表示して，検出インシデント一覧２０８を，重要度の高い順，かつインシデント名および送信先ＩＰアドレスの昇順で表示する。
【０１５１】
イベント監視部１１は，図１０に示すように，検出インシデント一覧２０８から生成した，検出インシデント一覧表示部３０１を含む検出インシデント一覧表示画面３００を表示する（図９参照）。
【０１５２】
また，イベント監視部１１は，検出インシデント一覧２０８の全インシデントの各々について，図１１に示すようなデータを含む詳細情報２０９を生成する。詳細情報２０９は，検出日時の新しい順に並べられる。
【０１５３】
イベント監視部１１は，図１２に示すように，詳細情報２０９を含む検出インシデント詳細情報表示画面３１０を生成する。
【０１５４】
図９の検出インシデント一覧表示画面３００の検出インシデント一覧表示部３０１に表示されたインシデントが選択され，「イベント詳細」ボタン３０２がクリックされることによって，選択されたインシデントの詳細情報２０９を表示する検出インシデント詳細情報表示画面３１０が表示される。
【０１５５】
検出インシデント詳細情報表示画面３１０では，インシデント・ログ情報に相当する詳細情報２０９のうち，１次分析用の情報に番号を付けて表示する。また，攻撃の方向を示唆する「アクセス方向」を表示する。
【０１５６】
検出インシデント詳細情報表示画面３１０の，インシデントを選択する選択ボタン群（前方選択ボタン（「＜」，「＜＜」），ジャンプ選択ボタン（ＧＯ ＴＯ）および後方選択ボタン（「＞」，「＞＞」））３１１がクリックされることによって，選択されたインシデントの詳細情報２０９が表示される。
【０１５７】
これにより，インシデント監視装置１は，管理者が，検出されたインシデントの詳細を分析できる情報を提供することができる。
【０１５８】
（５）インシデント検出の通知
イベント監視部１１は，重要度が”警告”，”異常”または”要確認”である場合に，さらに，所定の通知態様に応じて，検出インシデントを通知する。
【０１５９】
通知態様がサウンド通知である場合に，管理者端末６または他の音声出力装置で，指定されたＷＡＶＥファイルを再生する。
【０１６０】
また，通知態様が電子メール通知である場合に，件名（Ｓｕｂｊｅｃｔ）に，「監視端末ＩＤ＋重要度＋検索範囲時間」を設定し，本文に，インシデント分析用シート２０の作成用データ２０６または検出インシデント一覧２０８と同様な内容を設定したメールメッセージを生成して通知する。
【０１６１】
また，通知態様がＷｉｎｄｏｗｓによるイベント・ログ通知である場合に，検出インシデント一覧２０８と同様な内容を出力する。
【０１６２】
また，通知態様がアプリケーション起動である場合に，パトロールランプ等のアプリケーションを起動する。
【０１６３】
〔イベント検出状況監視処理〕
（１）インシデント・ログの取得
イベント検出状況監視部１２は，インシデント監視装置１が有するスケジューラにより，検索時間範囲の時間間隔で，現在から検索時間範囲の時間を過去に遡った時間範囲のインシデント・ログ情報を，インシデント・ログ記憶部１０から検索，抽出する。
【０１６４】
処理の詳細は，イベント監視部１１の「インシデント・ログの取得」と同様であるので説明を省略する。
【０１６５】
（２）インシデント検出状況の判定
イベント検出状況監視部１２は，各インシデント名について，インシデントの発生件数および所定の組み合わせの条件に該当する検出件数（該当件数）とそれぞれに対する所定の閾値とを比較する。
【０１６６】
これにより，インシデント監視装置１は，管理者が，インシデントの検出傾向が通常と異なっているかを確認できる情報を，インシデント名単位の件数とインシデント組み合わせ数で，提供することができる。
【０１６７】
イベント検出状況監視部１２は，以下の場合に，インシデント分析用シート２０の作成用データ２１０を編集して，分析用情報記憶部１０６に出力する。作成用データ２１０は，図６に示す作成用データ２０６と同様のデータを含むものとする。また，作成用データ２１０は，イベント検出状況監視部１２が編集出力する第２の作成用情報に相当する。
【０１６８】
・同一インシデント名かつ同一送信先ＩＰアドレスかつ同一送信元ＩＰアドレスであるインシデントの発生件数が，閾値を超えている場合，
・同一インシデント名かつ同一送信先ＩＰアドレスの件数で閾値を超えている場合，
・同一インシデント名の件数で閾値を超えている場合，
・同一インシデント名かつ同一送信先ＩＰアドレスかつ同一送信元ＩＰアドレスの組み合わせ数が閾値を超えている場合，
・同一インシデント名かつ同一送信先ＩＰアドレスの組み合わせ数が閾値を超えている場合，
・インシデント名の組み合わせ数が閾値を超えている場合。
【０１６９】
（３）インシデント検出状況の通知
イベント検出状況監視部１２は，インシデントの検出状況（検出件数または該当件数）が閾値を超えている場合に，所定の通知態様に応じて，インシデント検出状況を通知する。
【０１７０】
通知態様が表示通知である場合に，管理者端末６の画面に，閾値を超えたインシデントの情報を示すポップアップウィンドウを表示して通知する。
【０１７１】
また，通知態様がサウンド通知の場合に，管理者端末６または他の音声出力装置で，指定されたＷＡＶＥファイルを再生する。
【０１７２】
また，通知態様が電子メール通知である場合に，件名（Ｓｕｂｊｅｃｔ）に，「イベント警告＋監視端末ＩＤ＋検索範囲時間」を設定し，本文に，インシデント分析用シート２０の作成用データ２１０と同様な内容を設定したメールメッセージを生成して通知する。
【０１７３】
また，通知態様が，Ｗｉｎｄｏｗｓによるイベント・ログ通知である場合に，インシデント分析用シート２０の作成用データ２１０と同様な内容を出力する。
【０１７４】
また，通知態様がアプリケーション起動である場合に，パトロールランプ等のアプリケーションを起動する。
【０１７５】
〔インシデントの分析用情報の生成処理〕
（１）インシデント分析用シート２０の作成用データの取得
分析用情報生成部１３は，分析用情報記憶部１０６から，インシデント分析用シート２０の作成用データ２０６，２１０を取得する。
【０１７６】
（２）グローバルＩＰアドレスの割り当て先の取得
分析用情報生成部１３は，インシデント分析用シート２０の作成用データ２０６，２１０が含む送信元ＩＰアドレスおよび送信先ＩＰアドレスから，グローバルＩＰアドレスを抽出して，図１３に示すようなグローバルＩＰアドレスリスト２１１を作成して，ＩＰアドレス一覧記憶部１０８に格納する。
【０１７７】
さらに，分析用情報生成部１３は，ＩＰアドレス一覧記憶部１０８を介して，グローバルＩＰアドレスリスト２１１を割り当て先情報検索部１４に渡して，割り当て先情報検索部１４の検索処理の完了を待ち合わせ，図１４に示すような，各グローバルＩＰアドレスの割り当て先の情報（組織名等）を含む検索結果の抽出データ２１２を取得する。
【０１７８】
検索結果の抽出データ２１２は，検索対象のグローバルＩＰアドレスを示す「ＩＰアドレス」，検索結果から得た割り当て先を示す「組織名」，検索対象のグローバルＩＰアドレスが割り振られている国または地域を示す「国名コード」，検索先のインターネットレジストリを示す「インターネットレジストリ」，割り振られたＩＰアドレスの範囲を示す「ＩＰアドレス範囲」等を含む。
【０１７９】
なお，割り当て先情報検索部１４の処理は，後述する。
【０１８０】
これにより，インシデント監視装置１は，グローバルＩＰアドレスに対する最新の組織名を付加したインシデント分析用シート２０を管理者へ提供することができる。
【０１８１】
（３）インシデント分析用情報の生成
分析用情報生成部１３は，分析用情報記憶部１０６の作成用データ２０６，２１０を編集して，各インシデントのインシデント分析用シート用データを生成する。インシデント分析用シート用データは，図１７および図１８に示すインシデント分析用シート２０の中間データである。
【０１８２】
分析用情報生成部１３は，作成用データ２０６，２１０の送信元ＩＰアドレスおよび送信先ＩＰアドレスの各々について，ＩＰアドレスの割り当て先の情報（組織名，装置名等）を得て，インシデント分析シート用データの該当するフィールドに格納する。
【０１８３】
インシデント分析用シート２０に，ＩＰアドレスに対する情報を付加することによって，インシデント分析が行いやすくなる情報を提供することができる。
【０１８４】
より詳しくは，分析用情報生成部１３は，送信元ＩＰアドレスおよび送信先ＩＰアドレスに対して，以下の処理を行う。
【０１８５】
処理ＳＴ３０：内部割り当てテーブル２１３を検索して，送信元ＩＰアドレス／送信先ＩＰアドレスに該当するＩＰアドレスが，内部割り当てテーブル２１３に存在する場合には，該当したＩＰアドレスのユーザ名（機器名等）をインシデント分析用シート用データの「送信元名」または「送信先名」に格納する。
【０１８６】
図１５は，内部割り当てテーブル２１３の例を示す図である。内部割り当てテーブル２１３は，監視対象２の内部に存在するＩＰアドレスを示す「ＳｏｕｒｃｅＡｄｄｒｅｓｓＮａｍｅ」，ＩＰアドレスが割り当てられた装置を示す「ユーザ名」を含む。
【０１８７】
処理ＳＴ３１：送信元ＩＰアドレス／送信先ＩＰアドレスに該当するＩＰアドレスが，内部割り当てテーブル２１３に存在しない場合には，ＩＰアドレス割り当てテーブル２１４を検索する。送信元ＩＰアドレス／送信先ＩＰアドレスに該当するＩＰアドレスが，ＩＰアドレス割り当てテーブル２１４に存在する場合には，該当したＩＰアドレスのユーザ名（組織名）をインシデント分析用シート用データの「送信元名」または「送信先名」に格納する。
【０１８８】
図１６は，ＩＰアドレス割り当てテーブル２１４の例を示す図である。
【０１８９】
ＩＰアドレス割り当てテーブル２１４は，グローバルＩＰアドレスを示す「ＳｏｕｒｃｅＡｄｄｒｅｓｓＮａｍｅ」，グローバルＩＰアドレスが割り当てられた組織等を示す「ユーザ名」を含む。
【０１９０】
処理ＳＴ３２：送信元ＩＰアドレス／送信先ＩＰアドレスに該当するＩＰアドレスが，ＩＰアドレス割り当てテーブル２１４に存在しない場合には，インシデント分析用シート用データの「送信元名」または「送信先名」を空欄にする。
【０１９１】
さらに，分析用情報生成部１３は，インシデント分析用シート２０の重要度のうち，重要度が”異常”かつプライオリティが”Ｈｉｇｈ”である場合に，その重要度の両脇に”《》”を付けて，”《異常》”とする。重要度が“異常”かつプライオリティが”Ｍｅｄｉｕｍ”であるインシデントと区別するためである。
【０１９２】
さらに，分析用情報生成部１３は，全インシデントのインシデント分析用シート用データをインシデント分析用シート２０の出力形式に編集して，ファイル名を「監視端末ＩＤ＋”イベント報告”／”イベント警告”＋検索範囲時間」として作成する。
【０１９３】
図１７および図１８は，インシデント分析用シート２０の例を示す図である。図１７は，１枚のシートとして出力されるインシデント分析用シート２０の左半分の部分であり，図１８は，同じく右半分の部分であって，図１７のインシデント分析用シート２０の右端は，図１８のインシデント分析用シート２０の左端と連結した状態で出力される。
【０１９４】
インシデント分析用シート２０は，レコード番号を示す「項番」，重要度を示す「アラート」，検出日時を示す「日付」，「インシデント名」，検出件数を示す「件数」と，「送信元ＩＰ，送信元名，送信元ポート，送信先ＩＰ，送信先名，送信先ポート，アクセス方向，詳細情報１」のインシデントの内容に関する情報と，検出したセンサ３を特定する「センサＩＰ／アダプタ」，インシデントが解決済みとなったことを記入する「解決済」欄等を含む。
【０１９５】
（４）インシデント分析情報の出力
分析用情報生成部１３は，インシデント分析用シート２０のファイル出力を行う。また，分析用情報生成部１３は，インシデント分析用シート２０の印刷が要求されている場合には，インシデント分析用シート２０のプリンタ出力を行う。
【０１９６】
また，インシデント分析用シート２０の電子メールによる送信が要求されている場合には，インシデント分析用シート２０のデータファイルを添付したメールメッセージを生成し，件名（Ｓｕｂｊｅｃｔ）に「”インシデント・シート”／”イベント警告”＋”の送付”＋検索範囲時間」を設定し，本文には「監視端末ＩＤ＋”における”＋検索範囲時間＋”インシデント・シート”／”イベント警告”＋”の送付”」を設定したメールメッセージを生成して送信する。
【０１９７】
また，インシデント分析用シート２０の印刷出力またはメール送信が要求されていない場合には，管理者端末６のコンソール画面にインシデント分析用シート２０の作成完了を通知するポップアップ画面を表示する。
【０１９８】
〔割り当て先情報検索処理〕
割り当て先情報検索部１４は，分析用情報生成部１３によって格納されたグローバルＩＰアドレスリスト２１１を，ＩＰアドレス一覧記憶部１０８から取り出して，グローバルＩＰアドレスリスト２１１から，ローカルＩＰアドレス，正当ではないＩＰアドレス，重複するＩＰアドレスを削除する。
【０１９９】
割り当て先情報検索部１４は，検索対象のＩＰアドレスを１件ずつ読み込み，問い合わせ先記憶部１０５を参照して，ＩＰアドレスの値をもとに「Ｗｈｏｉｓ情報検索」を行うインターネットレジストリの管理サーバ５の問い合わせ先（ＩＰアドレス）を特定する。そして，取得した問い合わせ先に，読み込んだＩＰアドレスのＷｈｏｉｓ情報検索を行う。問い合わせ内容は，対象のＩＰアドレスに対する全情報（親，子，孫など複数ブロックの応答）とする。
【０２００】
割り当て先情報検索部１４は，インターネットレジストリの管理サーバ５から，図１９に示すような応答メッセージを受け取ると，応答メッセージから，「ＩＰアドレス，組織名および国名コード（ＩＳＯ ３１６６−１の２文字）」を抽出して編集し，図１４に示す抽出データ（中間ファイル）２１２に出力する。
【０２０１】
なお，応答メッセージの情報の範囲（ブロックの長さ）を得るために，フォーマットを特定する。特定の方法は，インターネットレジストリの管理サーバ５をもとにフォーマットを絞り込み，さらに複数パターンからマッチするフォーマットを見つけて，ブロック長を得る。さらに，応答メッセージ中の特定の文字列（複数パターンあり）をキーワード検索して，ＩＰアドレス，組織名，国名コード等の位置を特定し，抽出する。
【０２０２】
割り当て先情報検索部１４は，グローバルＩＰアドレスリスト２１１の全ＩＰアドレスの問い合わせが完了した後，応答メッセージから抽出した抽出データ２１２の内容で，グローバルＩＰアドレス情報記憶部１０９のＩＰアドレス割り当てテーブル２１４を更新する。
【０２０３】
図２０は，インシデント監視装置１の概要処理の処理フロー図である。
【０２０４】
インシデント監視装置１の各処理部が所定のパラメータを取得して初期化処理を行うと（ステップＳ１００），イベント監視部１１およびイベント検出状況監視部１２は，インシデント・ログ記憶部１０から，定期的に，一定時間範囲のインシデント・ログを収集する（ステップＳ１０１）。
【０２０５】
イベント監視部１１は，収集したインシデント・ログの各インシデント名について，発生件数とインシデントのプライオリティから重要度を決定する（ステップＳ１０２）。そして，イベント監視部１１は，インシデント・ログの検索時間範囲と，決定した重要度に応じた表示色によって，インシデント名とメッセージとを表示する（ステップＳ１０３）。
【０２０６】
さらに，イベント監視部１１は，決定した重要度に“正常”以外の重要度があるかを判定して（ステップＳ１０４），“正常”以外の重要度があれば（ステップＳ１０４のＹ），重要度が“正常”以外のインシデントについてインシデント情報を編集し（ステップＳ１０５），編集したインシデント情報を管理者端末６に表示して，所定の通知を行う（ステップＳ１０６）。
【０２０７】
イベント検出状況監視部１２は，収集したインシデント・ログの各インシデントの検出件数と，所定の組み合わせによる検出である該当件数とを計算し，計算した検出件数または該当件数が所定の閾値を超える検出状況があるかを判定する（ステップＳ１０７）。発生件数または該当件数が閾値を超える検出状況があれば（ステップＳ１０７のＹ），閾値を超過したインシデントについてインシデント情報を編集し（ステップＳ１０８），編集したインシデント情報を管理者端末６に表示して，所定の通知を行う（ステップＳ１０９）。
【０２０８】
さらに，分析用情報生成部１３は，重要度が“正常”ではないインシデントと，閾値を超える検出状況に関連するインシデントとについて編集されたインシデント情報をもとに，分析用情報を編集する（ステップＳ１１０）。ステップＳ１１０の編集処理の間，割り当て先情報検索部１４が，インシデント情報に含まれるグローバルＩＰアドレスの割り当て先の情報について，インターネットレジストリの管理サーバ５で検索を行い，その応答結果を取得して，グローバルＩＰアドレス情報を更新する（ステップＳ１１１）。
【０２０９】
分析用情報生成部１３は，編集した分析用情報（インシデント分析用シート２０）を出力する（ステップＳ１１２）。
【０２１０】
そして，割り込みが終了でなければ（ステップＳ１１３のＮ），ステップＳ１０１の処理へ戻り，割り込みが終了であれば（ステップＳ１１３のＹ），処理を終了する。
【０２１１】
以上のとおり，本実施例に示されるように，インシデント監視装置１によって得られる効果を簡単に説明すれば，以下のとおりである。
【０２１２】
・ 多種多量に検出され続けるインシデントに対して，インシデントを優先順位の高い順に漏れなく自動的に編集出力でき，プライオリティの高いインシデントの見逃しを防ぐことができる。
【０２１３】
・ 常時，インシデントの発生の確認をする必要がなく，定期的に一定時間範囲を対象に分析対象のインシデントのみを纏めて自動通知を行える。
【０２１４】
・ 最上位の重要度を通知することで，発生したインシデントに対する緊急性が分かりやすくなる。
【０２１５】
・ インシデント毎に重要度を，例えば，「正常，警告，異常および要確認」の４段階で通知することによって，分析対象の優先順位が分かりやすい。
【０２１６】
・ インシデントの種類毎に，単位時間あたりの検出件数をもとに，正常，警告，異常の３段階で通知することによって，分析対象の優先順位が分かりやすい。
【０２１７】
・ インシデントの種類毎に異なる，１次分析処理に必要な情報のみを抽出して出力することができ，分析が容易になる。
【０２１８】
・ 一定の時間範囲内に発生したインシデントについて，インシデント名／送信先／送信元／検出時間でソート出力することができ，関連するインシデントが纏められ，分析が容易になる。
【０２１９】
・ 送信元／送信先のＩＰアドレスについての最新の組織情報（組織名等），攻撃の方向等を自動的に付与することができ，分析が容易になる。
【０２２０】
・ インターネットレジストリの問い合わせ先を意識することなく，単にデータベースを検索すれば最新の組織名等を取得することができ，レポート作成処理の処理時間を短縮することができる。
【０２２１】
・ 同一送信先に対するインシデント発生状況を，定期的に一定の時間範囲において分析し，平時と異なる場合にその状況を通知することができるため，不正アクセスの予兆等を早期に見つけることができる。
【０２２２】
また，本発明にかかるインシデント監視装置１は，プログラムがコンピュータにより読み取られ実行され，インシデント監視装置１が有する各処理部が実現されることによって構築することができる。このプログラムは，コンピュータが読み取り可能な，可搬媒体メモリ，半導体メモリ，ハードディスクなどの適当な記録媒体に格納することができ，これらの記録媒体に記録して提供される。または，このプログラムは，通信インタフェースを介して種々の通信網を利用した送受信により提供される。
【符号の説明】
【０２２３】
１ インシデント監視装置
１０ インシデント・ログ記憶部
１１ イベント監視部
１２ イベント検出状況監視部
１３ 分析用情報生成部
１４ 割り当て先情報検索部
１０１ トリガ関連付け情報記憶部
１０２ 内部ＩＰアドレス一覧記憶部
１０３ ローカルＩＰアドレス情報記憶部
１０５ 問い合わせ先記憶部
１０６ 分析用情報記憶部
１０８ ＩＰアドレス一覧記憶部
１０９ グローバルＩＰアドレス情報記憶部
２０ インシデント分析用シート
２ 監視対象
３ センサ
４ インターネット
５ インターネットレジストリの管理サーバ
６ 管理者端末
【特許請求の範囲】
【請求項１】
ネットワークに接続するコンピュータシステムで生じるインシデントを監視する装置であって，
コンピュータシステムを監視するセンサが検出したインシデントに関する情報であって，インシデント名と，検出日時と，送信元ＩＰアドレスと，送信先ＩＰアドレスと，センサが付加したインシデントの脅威の程度を示すプライオリティとを含むインシデント・ログ情報を記憶するインシデント・ログ記憶部と，
監視対象のコンピュータシステムの内部で使用される内部ＩＰアドレスと前記内部ＩＰアドレスの割り当て先とを登録した内部ＩＰアドレス情報を記憶する内部ＩＰアドレス情報記憶部と，
インシデント分析用情報を作成するための作成用情報を記憶する分析用情報記憶部と，
前記インシデント・ログ記憶部から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，前記抽出したインシデント・ログ情報をもとに，インシデント名ごとに，時間範囲内でのインシデントの検出件数とプライオリティとをもとに重要度を判定する処理と，前記インシデント名ごとにインシデントの情報を編集して，インシデント名に対する重要度と編集した情報とを，第１の作成用情報として前記分析用情報記憶部に格納する処理とを行うイベント監視部と，
前記インシデント・ログ記憶部から，前記インシデント・ログ情報を抽出する処理と，
前記抽出したインシデント・ログ情報をもとに，インシデント名ごとのインシデントの検出件数と所定の組み合わせ条件における検出件数である該当件数とを計算して，前記検出件数と前記該当件数とを所定の閾値と比較する処理と，前記検出件数または前記該当件数が前記閾値以上であるインシデント名について，前記インシデント名ごとにインシデントの情報を編集し，編集した情報を第２の作成用情報として前記分析用情報記憶部に格納する処理とを行うイベント検出状況監視部と，
前記第１の作成用情報と前記第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，グローバルＩＰアドレスの割り当て先を特定する情報を，前記グローバルＩＰアドレスの割り振りを管轄するインターネットレジストリの管理サーバから取得する割り当て先情報検索部と，
前記第１の作成用情報と前記第２の作成用情報と前記割り当て先情報検索部が取得したグローバルＩＰアドレス割り当て先の情報とを用いて，検出したインシデントに関するインシデント分析用情報を生成して出力する分析用情報生成部とを備える
ことを特徴とするインシデント監視装置。
【請求項２】
前記イベント監視部は，前記インシデント名の重要度に応じて，前記インシデント名によるインシデントが発生したインシデント名を，所定の態様で通知する
ことを特徴とする請求項１に記載のインシデント監視装置。
【請求項３】
前記イベント監視部は，前記インシデント・ログ情報に含まれる送信先または送信元のＩＰアドレスが前記監視対象の内部に存在するＩＰアドレスであるかを特定して，インシデントとされたデータ通信のアクセス方向を特定して，前記特定したアクセス方向を含む前記第１の作成用情報を生成する
ことを特徴とする請求項１または請求項２に記載のインシデント監視装置。
【請求項４】
前記イベント検出状況監視部は，前記検出件数または前記該当件数が所定の通知閾値以上である前記インシデント名について，インシデントの閾値を超えた状況の発生を所定の態様で通知する
ことを特徴とする請求項１または請求項３のいずれか一項に記載のインシデント監視装置。
【請求項５】
ネットワークに接続するコンピュータシステムで生じるインシデントを監視するインシデント監視システムが実行する処理方法であって，
監視対象のコンピュータシステムでのインシデントの発生を監視するセンサと，
コンピュータシステムを監視するセンサが検出したインシデントに関する情報であって，インシデント名と，検出日時と，送信元ＩＰアドレスと，送信先ＩＰアドレスと，センサが付加したインシデントの脅威の程度を示すプライオリティとを含むインシデント・ログ情報を記憶するインシデント・ログ記憶部と，
監視対象のコンピュータシステムの内部で使用される内部ＩＰアドレスと前記内部ＩＰアドレスの割り当て先とを登録した内部ＩＰアドレス情報を記憶する内部ＩＰアドレス情報記憶部と，
インシデント分析用情報を作成するための作成用情報を記憶する分析用情報記憶部とを備える前記インシデント監視システムが，
前記インシデント・ログ記憶部から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理過程と，
前記抽出したインシデント・ログ情報をもとに，インシデント名ごとに，時間範囲内でのインシデントの検出件数とプライオリティとをもとに重要度を判定する処理過程と，
前記インシデント名ごとにインシデントの情報を編集して，インシデント名に対する重要度と編集した情報とを，第１の作成用情報として前記分析用情報記憶部に格納する処理過程と，
前記抽出したインシデント・ログ情報をもとに，インシデント名ごとのインシデントの検出件数と所定の組み合わせ条件における検出件数である該当件数とを計算して，前記検出件数と前記該当件数とを所定の閾値と比較する処理過程と，
前記検出件数または前記該当件数が前記閾値以上であるインシデント名について，前記インシデント名ごとにインシデントの情報を編集し，編集した情報を第２の作成用情報として前記分析用情報記憶部に格納する処理過程と，
前記第１の作成用情報と前記第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，グローバルＩＰアドレスの割り当て先を特定する情報を，前記グローバルＩＰアドレスの割り振りを管轄するインターネットレジストリの管理サーバから取得する処理過程と，
前記第１の作成用情報と前記第２の作成用情報と前記割り当て先情報検索部が取得したグローバルＩＰアドレス割り当て先の情報とを用いて，検出したインシデントに関するインシデント分析用情報を生成して出力する処理過程とを備える
ことを特徴とするインシデント監視方法。
【請求項６】
コンピュータを，ネットワークに接続するコンピュータシステムで生じるインシデントを監視するインシデント監視装置として機能させるプログラムであって，
前記コンピュータを，
コンピュータシステムを監視するセンサが検出したインシデントに関する情報であって，インシデント名と，検出日時と，送信元ＩＰアドレスと，送信先ＩＰアドレスと，センサが付加したインシデントの脅威の程度を示すプライオリティとを含むインシデント・ログ情報を記憶するインシデント・ログ記憶部と，
監視対象のコンピュータシステムの内部で使用される内部ＩＰアドレスと前記内部ＩＰアドレスの割り当て先とを登録した内部ＩＰアドレス情報を記憶する内部ＩＰアドレス情報記憶部と，
インシデント分析用情報を作成するための作成用情報を記憶する分析用情報記憶部と，
前記インシデント・ログ記憶部から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，前記抽出したインシデント・ログ情報をもとに，インシデント名ごとに，時間範囲内でのインシデントの検出件数とプライオリティとをもとに重要度を判定する処理と，前記インシデント名ごとにインシデントの情報を編集して，インシデント名に対する重要度と編集した情報とを，第１の作成用情報として前記分析用情報記憶部に格納する処理とを行うイベント監視部と，
前記インシデント・ログ記憶部から，前記インシデント・ログ情報を抽出する処理と，
前記抽出したインシデント・ログ情報をもとに，インシデント名ごとのインシデントの検出件数と所定の組み合わせ条件における検出件数である該当件数とを計算して，前記検出件数と前記該当件数とを所定の閾値と比較する処理と，前記検出件数または前記該当件数が前記閾値以上であるインシデント名について，前記インシデント名ごとにインシデントの情報を編集し，編集した情報を第２の作成用情報として前記分析用情報記憶部に格納する処理とを行うイベント検出状況監視部と，
前記第１の作成用情報と前記第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，グローバルＩＰアドレスの割り当て先を特定する情報を，前記グローバルＩＰアドレスの割り振りを管轄するインターネットレジストリの管理サーバから取得する割り当て先情報検索部と，
前記第１の作成用情報と前記第２の作成用情報と前記割り当て先情報検索部が取得したグローバルＩＰアドレス割り当て先の情報とを用いて，検出したインシデントに関するインシデント分析用情報を生成して出力する分析用情報生成部として機能させる
ことを特徴とするインシデント監視プログラム。
【請求項１】
ネットワークに接続するコンピュータシステムで生じるインシデントを監視する装置であって，
コンピュータシステムを監視するセンサが検出したインシデントに関する情報であって，インシデント名と，検出日時と，送信元ＩＰアドレスと，送信先ＩＰアドレスと，センサが付加したインシデントの脅威の程度を示すプライオリティとを含むインシデント・ログ情報を記憶するインシデント・ログ記憶部と，
監視対象のコンピュータシステムの内部で使用される内部ＩＰアドレスと前記内部ＩＰアドレスの割り当て先とを登録した内部ＩＰアドレス情報を記憶する内部ＩＰアドレス情報記憶部と，
インシデント分析用情報を作成するための作成用情報を記憶する分析用情報記憶部と，
前記インシデント・ログ記憶部から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，前記抽出したインシデント・ログ情報をもとに，インシデント名ごとに，時間範囲内でのインシデントの検出件数とプライオリティとをもとに重要度を判定する処理と，前記インシデント名ごとにインシデントの情報を編集して，インシデント名に対する重要度と編集した情報とを，第１の作成用情報として前記分析用情報記憶部に格納する処理とを行うイベント監視部と，
前記インシデント・ログ記憶部から，前記インシデント・ログ情報を抽出する処理と，
前記抽出したインシデント・ログ情報をもとに，インシデント名ごとのインシデントの検出件数と所定の組み合わせ条件における検出件数である該当件数とを計算して，前記検出件数と前記該当件数とを所定の閾値と比較する処理と，前記検出件数または前記該当件数が前記閾値以上であるインシデント名について，前記インシデント名ごとにインシデントの情報を編集し，編集した情報を第２の作成用情報として前記分析用情報記憶部に格納する処理とを行うイベント検出状況監視部と，
前記第１の作成用情報と前記第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，グローバルＩＰアドレスの割り当て先を特定する情報を，前記グローバルＩＰアドレスの割り振りを管轄するインターネットレジストリの管理サーバから取得する割り当て先情報検索部と，
前記第１の作成用情報と前記第２の作成用情報と前記割り当て先情報検索部が取得したグローバルＩＰアドレス割り当て先の情報とを用いて，検出したインシデントに関するインシデント分析用情報を生成して出力する分析用情報生成部とを備える
ことを特徴とするインシデント監視装置。
【請求項２】
前記イベント監視部は，前記インシデント名の重要度に応じて，前記インシデント名によるインシデントが発生したインシデント名を，所定の態様で通知する
ことを特徴とする請求項１に記載のインシデント監視装置。
【請求項３】
前記イベント監視部は，前記インシデント・ログ情報に含まれる送信先または送信元のＩＰアドレスが前記監視対象の内部に存在するＩＰアドレスであるかを特定して，インシデントとされたデータ通信のアクセス方向を特定して，前記特定したアクセス方向を含む前記第１の作成用情報を生成する
ことを特徴とする請求項１または請求項２に記載のインシデント監視装置。
【請求項４】
前記イベント検出状況監視部は，前記検出件数または前記該当件数が所定の通知閾値以上である前記インシデント名について，インシデントの閾値を超えた状況の発生を所定の態様で通知する
ことを特徴とする請求項１または請求項３のいずれか一項に記載のインシデント監視装置。
【請求項５】
ネットワークに接続するコンピュータシステムで生じるインシデントを監視するインシデント監視システムが実行する処理方法であって，
監視対象のコンピュータシステムでのインシデントの発生を監視するセンサと，
コンピュータシステムを監視するセンサが検出したインシデントに関する情報であって，インシデント名と，検出日時と，送信元ＩＰアドレスと，送信先ＩＰアドレスと，センサが付加したインシデントの脅威の程度を示すプライオリティとを含むインシデント・ログ情報を記憶するインシデント・ログ記憶部と，
監視対象のコンピュータシステムの内部で使用される内部ＩＰアドレスと前記内部ＩＰアドレスの割り当て先とを登録した内部ＩＰアドレス情報を記憶する内部ＩＰアドレス情報記憶部と，
インシデント分析用情報を作成するための作成用情報を記憶する分析用情報記憶部とを備える前記インシデント監視システムが，
前記インシデント・ログ記憶部から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理過程と，
前記抽出したインシデント・ログ情報をもとに，インシデント名ごとに，時間範囲内でのインシデントの検出件数とプライオリティとをもとに重要度を判定する処理過程と，
前記インシデント名ごとにインシデントの情報を編集して，インシデント名に対する重要度と編集した情報とを，第１の作成用情報として前記分析用情報記憶部に格納する処理過程と，
前記抽出したインシデント・ログ情報をもとに，インシデント名ごとのインシデントの検出件数と所定の組み合わせ条件における検出件数である該当件数とを計算して，前記検出件数と前記該当件数とを所定の閾値と比較する処理過程と，
前記検出件数または前記該当件数が前記閾値以上であるインシデント名について，前記インシデント名ごとにインシデントの情報を編集し，編集した情報を第２の作成用情報として前記分析用情報記憶部に格納する処理過程と，
前記第１の作成用情報と前記第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，グローバルＩＰアドレスの割り当て先を特定する情報を，前記グローバルＩＰアドレスの割り振りを管轄するインターネットレジストリの管理サーバから取得する処理過程と，
前記第１の作成用情報と前記第２の作成用情報と前記割り当て先情報検索部が取得したグローバルＩＰアドレス割り当て先の情報とを用いて，検出したインシデントに関するインシデント分析用情報を生成して出力する処理過程とを備える
ことを特徴とするインシデント監視方法。
【請求項６】
コンピュータを，ネットワークに接続するコンピュータシステムで生じるインシデントを監視するインシデント監視装置として機能させるプログラムであって，
前記コンピュータを，
コンピュータシステムを監視するセンサが検出したインシデントに関する情報であって，インシデント名と，検出日時と，送信元ＩＰアドレスと，送信先ＩＰアドレスと，センサが付加したインシデントの脅威の程度を示すプライオリティとを含むインシデント・ログ情報を記憶するインシデント・ログ記憶部と，
監視対象のコンピュータシステムの内部で使用される内部ＩＰアドレスと前記内部ＩＰアドレスの割り当て先とを登録した内部ＩＰアドレス情報を記憶する内部ＩＰアドレス情報記憶部と，
インシデント分析用情報を作成するための作成用情報を記憶する分析用情報記憶部と，
前記インシデント・ログ記憶部から，所定の時間間隔ごとに，現在から所定の時間遡った時点までの時間範囲内で検出されたインシデントのインシデント・ログ情報を抽出する処理と，前記抽出したインシデント・ログ情報をもとに，インシデント名ごとに，時間範囲内でのインシデントの検出件数とプライオリティとをもとに重要度を判定する処理と，前記インシデント名ごとにインシデントの情報を編集して，インシデント名に対する重要度と編集した情報とを，第１の作成用情報として前記分析用情報記憶部に格納する処理とを行うイベント監視部と，
前記インシデント・ログ記憶部から，前記インシデント・ログ情報を抽出する処理と，
前記抽出したインシデント・ログ情報をもとに，インシデント名ごとのインシデントの検出件数と所定の組み合わせ条件における検出件数である該当件数とを計算して，前記検出件数と前記該当件数とを所定の閾値と比較する処理と，前記検出件数または前記該当件数が前記閾値以上であるインシデント名について，前記インシデント名ごとにインシデントの情報を編集し，編集した情報を第２の作成用情報として前記分析用情報記憶部に格納する処理とを行うイベント検出状況監視部と，
前記第１の作成用情報と前記第２の作成用情報に含まれる送信元または送信先のＩＰアドレスのうち，グローバルＩＰアドレスの割り当て先を特定する情報を，前記グローバルＩＰアドレスの割り振りを管轄するインターネットレジストリの管理サーバから取得する割り当て先情報検索部と，
前記第１の作成用情報と前記第２の作成用情報と前記割り当て先情報検索部が取得したグローバルＩＰアドレス割り当て先の情報とを用いて，検出したインシデントに関するインシデント分析用情報を生成して出力する分析用情報生成部として機能させる
ことを特徴とするインシデント監視プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【公開番号】特開２０１０−２３７９７５（Ｐ２０１０−２３７９７５Ａ）
【公開日】平成２２年１０月２１日（２０１０．１０．２１）
【国際特許分類】
【出願番号】特願２００９−８５５８０（Ｐ２００９−８５５８０）
【出願日】平成２１年３月３１日（２００９．３．３１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＷＩＮＤＯＷＳ
【出願人】（５９１１２８７６３）株式会社富士通ソーシアルサイエンスラボラトリ (57)
【Ｆターム（参考）】
【公開日】平成２２年１０月２１日（２０１０．１０．２１）
【国際特許分類】
【出願日】平成２１年３月３１日（２００９．３．３１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＷＩＮＤＯＷＳ
【出願人】（５９１１２８７６３）株式会社富士通ソーシアルサイエンスラボラトリ (57)
【Ｆターム（参考）】
[ Back to top ]