セキュリティイベント監視装置、方法およびプログラム
【課題】操作者を特定不可能な操作が含まれていても、セキュリティイベントを適切に検出して操作者を推定することを可能とすることを可能とするセキュリティイベント監視装置等を提供する。
【解決手段】セキュリティイベント監視装置１０は、相関ルールを予め記憶する記憶手段１２と、各監視対象装置から各ログを受信するログ収集部１０１と、各々のログを関連づけたシナリオ候補を生成する相関分析部１０３と、各シナリオ候補に対して重要度を算出するシナリオ候補評価部１０４と、重要度の高いシナリオ候補を表示出力する結果表示部１０５とを有すると共に、シナリオ候補評価部が、ユーザ関連度を算出するユーザ関連度評価機能１０４ａと、操作関連度を算出する操作関連度評価機能１０４ｂと、ユーザ関連度および操作関連度によってユーザごとに各シナリオ候補の重要度を再算出するシナリオ候補重要度再評価機能１０４ｃとを備える。
【解決手段】セキュリティイベント監視装置１０は、相関ルールを予め記憶する記憶手段１２と、各監視対象装置から各ログを受信するログ収集部１０１と、各々のログを関連づけたシナリオ候補を生成する相関分析部１０３と、各シナリオ候補に対して重要度を算出するシナリオ候補評価部１０４と、重要度の高いシナリオ候補を表示出力する結果表示部１０５とを有すると共に、シナリオ候補評価部が、ユーザ関連度を算出するユーザ関連度評価機能１０４ａと、操作関連度を算出する操作関連度評価機能１０４ｂと、ユーザ関連度および操作関連度によってユーザごとに各シナリオ候補の重要度を再算出するシナリオ候補重要度再評価機能１０４ｃとを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はセキュリティイベント監視装置、方法およびプログラムに関し、特に問題を引き起こす操作をしているユーザを高精度に特定することを可能とするセキュリティイベント監視装置等に関する。
【背景技術】
【０００２】
コンピュータネットワークが事業者の基幹業務で根幹をなす存在となった現代では、その業務に関連して大量の個人情報や機密情報が当該事業者のローカルネットワーク上で扱われている。当然、これらの情報が組織外に漏洩することがないよう、その取り扱いには慎重を期す必要がある。
【０００３】
コンピュータネットワーク上で行われる、当該ネットワークの安全性（セキュリティ）に関わる行為のことを、ここではセキュリティイベントという。たとえば、機密情報や個人情報などを含む特定のファイル（以後、重要ファイルという）を勝手に組織外に持ち出すことなどが、このセキュリティイベントに該当する。
【０００４】
セキュリティイベント監視装置は、当該ネットワークを監視し、特定のセキュリティイベントが行われた場合にこれをいち早く検出し、その行為を行った人物を特定する装置である。当該ネットワークを構成する各装置は、当該装置に対して行われた操作などを操作ログ（以後、単にログという）に記録して、そのログをセキュリティイベント監視装置に対して送信する機能を備えている。セキュリティイベント監視装置は、複数の監視対象装置から受信したログを相関分析することによって、そのセキュリティイベントを検出する。
【０００５】
このことに関連する技術として、以下の各々がある。その中でも特許文献１には、対象操作に対して不審値を算出するという不正操作監視システムで、この不審値が高い操作が繰り返された場合により高い不審値を設定するという技術が記載されている。特許文献２には、ユーザの行った操作の系列から、そのユーザの操作意図を検出して適切な操作ガイドを提示するという操作支援装置が記載されている。
【０００６】
特許文献３には、異なる系列のログデータで共通の固有表現がある場合にそれらを対応づけるという相関分析装置が記載されている。特許文献４には、特定の操作をシナリオとして予め記憶し、その操作が実行された場合の操作コストを算出するという評価装置が記載されている。特許文献５には、特許文献４と同様に、予め記憶されたシナリオに登録された各操作を実行した場合の所要時間を計測するというウェブアプリケーションシステムが記載されている。
【０００７】
非特許文献１には、たとえば「ユーザがカラムを読み書きする必然性」や「ユーザの敵意の度合い」などのような曖昧にしか表現できない事柄を、ファジー論理の言語学的変数で表現し、これをパラメータとしたアクセス制御方法が記載されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００７−１８３９１１号公報
【特許文献２】特開２００９−０８０６５０号公報
【特許文献３】特開２００９−２１７６５７号公報
【特許文献４】特開２００９−２５９０６４号公報
【特許文献５】特開２０１１−００８５５８号公報
【非特許文献】
【０００９】
【非特許文献１】U.H.G.R.D Nawarathna and S.R. Kodithuwakku: “A Fuzzy Role Based Access Control Model for Database Security”, Procedings of the International Conference on Information and Automation, December 15-18, 2005
【発明の概要】
【発明が解決しようとする課題】
【００１０】
監視対象装置に対して行われてログに記録された操作で、その操作を行った人物が全ての場合で特定されているとは限らない。より具体的には、たとえば、共用ＩＤでサーバに複数のユーザが同時にログインして作業しているという状況、あるいはユーザがプロキシサーバなどのような中継装置を経由して（中継装置によって置換されたユーザＩＤで）サーバにアクセスするという状況などでは、実際にそのＩＤによってその操作を行った者の特定が困難である。
【００１１】
従って、操作者を特定することが不可能な操作がログに含まれている場合、セキュリティイベント監視装置でセキュリティイベントを検出することが著しく困難なものとなる。そのため、ネットワーク上のセキュリティに対して深刻な問題を引き起こす行為を繰り返している者がいたとしても、そのような行為を検出することができない。
【００１２】
このような問題を解決しうる技術は、前述の特許文献１〜５および非特許文献１には記載されていない。特許文献１に記載の技術は、全ての操作で、その操作を行ったユーザが特定されていることを前提としているので、操作者を特定することが不可能な状況については全く考慮されていない。
【００１３】
特許文献２〜５に記載の技術は、そもそも不正な操作を行ったユーザを検出することを目的とはしておらず、またその目的に転用できる内容も記載されていない。非特許文献１に記載の技術は、検出された操作が与えられたポリシーに違反しているか否かを判断しているが、一連の操作を同一ユーザが行ったか否かをその判断に反映する計算は行われていない。従って、特許文献１〜５および非特許文献１に記載の技術を全て組み合わせたとしても、前述の問題を解決しうる技術を得ることはできない。
【００１４】
本発明の目的は、収集されたログに操作者を特定することが不可能な操作が含まれている場合にも、セキュリティイベントを適切に検出し、さらにその操作を行った者を推定することを可能とすることを可能とするセキュリティイベント監視装置、方法およびプログラムを提供することにある。
【課題を解決するための手段】
【００１５】
上記目的を達成するため、本発明に係るセキュリティイベント監視装置は、同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置であって、各ログに対する相関分析を行う際に適用される相関ルールを予め記憶する記憶手段と、各監視対象装置から各ログを受信するログ収集部と、各ログに相関ルールを適用し、これによって各々の当該ログを関連づけたシナリオ候補を生成して、相関ルールによって与えられた当該シナリオ候補の重要度と共に記憶手段に記憶させる相関分析部と、各シナリオ候補に対する重要度を再算出するシナリオ候補評価部と、再算出された重要度の高いシナリオ候補を表示出力する結果表示部とを有すると共に、シナリオ候補評価部が、各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙し、各操作に対する各ユーザの関連性であるユーザ関連度を算出するユーザ関連度評価機能と、各シナリオ候補の各操作の相互間の関連性である操作関連度を算出する操作関連度評価機能と、ユーザ関連度および操作関連度によってユーザごとに各シナリオ候補の重要度を再算出するシナリオ候補重要度再評価機能とを備えることを特徴とする。
【００１６】
上記目的を達成するため、本発明に係るセキュリティイベント監視方法は、同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、各監視対象装置からログ収集部が各ログを受信し、各ログに相関分析部が予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成し、各シナリオ候補を、相関ルールによって与えられた当該シナリオ候補の重要度と共に相関分析部が記憶手段に記憶させ、各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザをシナリオ候補評価部のユーザ関連度評価機能が列挙し、各操作に対する各ユーザの関連性であるユーザ関連度をユーザ関連度評価機能が算出し、各シナリオ候補の各操作の相互間の関連性である操作関連度をシナリオ候補評価部の操作関連度評価機能が算出し、ユーザ関連度および操作関連度によってシナリオ候補評価部のシナリオ候補重要度再評価機能がユーザごとに各シナリオ候補の重要度を再算出し、重要度の高いシナリオ候補を結果表示部が表示出力することを特徴とする。
【００１７】
上記目的を達成するため、本発明に係るセキュリティイベント監視プログラムは、同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、セキュリティイベント監視装置が備えるコンピュータに、各監視対象装置から各ログを受信する手順、各ログに予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成する手順、各シナリオ候補を、相関ルールによって与えられた当該シナリオ候補の重要度と共に記憶する手順、各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙する手順、各操作に対する各ユーザの関連性であるユーザ関連度を算出する手順、各シナリオ候補の各操作の相互間の関連性である操作関連度を算出する手順、ユーザ関連度および操作関連度によってユーザごとに各シナリオ候補の重要度を再算出する手順、および重要度の高いシナリオ候補を表示出力するする手順を実行させることを特徴とする。
【発明の効果】
【００１８】
本発明は、上記したように、相関分析によって生成されたシナリオ候補に対して、各々の操作を行った可能性のある各ユーザの関連性であるユーザ関連度と、各操作の相互間の関連性である操作関連度とを算出し、それらによってユーザごとに各シナリオ候補の重要度を算出するように構成したので、操作者が特定されていない場合にもその可能性の高いユーザが誰であるかを推定できる。
【００１９】
これによって、収集されたログに操作者を特定することが不可能な操作が含まれている場合にも、セキュリティイベントを適切に検出し、さらにその操作を行った者を推定することを可能とすることが可能であるという優れた特徴を持つセキュリティイベント監視装置、方法およびプログラムを提供することができる。
【図面の簡単な説明】
【００２０】
【図１】図２に示したセキュリティイベント監視装置のより詳しい構成について示す説明図である。
【図２】本発明の第１の実施形態に係るセキュリティイベント監視装置を含むコンピュータネットワークの構成について示す説明図である。
【図３】図１で示した相関分析部、シナリオ候補評価部、および結果表示部の動作を表すフローチャートである。
【図４】図１で示した相関ルール記憶部の記憶内容の一例について示す説明図である。
【図５】図１で示したログ収集部および相関分析部の動作内容（図３のステップＳ２０１〜２０２）について示す説明図である。
【図６】図１で示したユーザ関連度評価機能（図３のステップＳ２０３）の動作を表すフローチャートである。
【図７】図１で示したシナリオ候補評価部のユーザ関連度評価機能および操作関連度評価機能の動作内容（図３のステップＳ２０３〜２０４）について示す説明図である。
【図８】図７で示した操作関連度評価機能による操作関連度の評価の動作例について、より詳しく示した説明図である。
【図９】図１で示したシナリオ候補重要度再評価機能によるシナリオ重要度スコア再計算の動作内容（図３のステップＳ２０５）について、より詳しく示した説明図である。
【図１０】図１に示した結果表示部が表示手段上に画面表示させる（図３のステップＳ２０６）重要度の高いシナリオ候補の一覧の例について示す説明図である。
【発明を実施するための形態】
【００２１】
（実施形態）
以下、本発明の実施形態の構成について添付図１〜２に基づいて説明する。
最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
本実施形態に係るセキュリティイベント監視装置１０は、同一のローカルネットワーク２５上で相互に接続されている複数の監視対象装置２１〜２３に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置である。このセキュリティイベント監視装置１０は、各ログに対する相関分析を行う際に適用される相関ルールを予め記憶する記憶手段１２（相関ルール記憶部１１１）と、各監視対象装置から各ログを受信するログ収集部１０１と、各ログに相関ルールを適用して、これによって各々の当該ログを関連づけたシナリオ候補を生成して相関ルールによって与えられた当該シナリオ候補の重要度と共に記憶手段（シナリオ候補記憶部１１３）に記憶させる相関分析部１０３と、各シナリオ候補に対して重要度を再算出するシナリオ候補評価部１０４と、重要度の高いシナリオ候補を表示出力する結果表示部１０５とを有する。そして、シナリオ候補評価部１０４が、各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙し、各操作に対する各ユーザの関連性であるユーザ関連度を算出するユーザ関連度評価機能１０４ａと、各シナリオ候補の各操作の相互間の関連性である操作関連度を算出する操作関連度評価機能１０４ｂと、ユーザ関連度および操作関連度によってユーザごとに各シナリオ候補の重要度を再算出するシナリオ候補重要度再評価機能１０４ｃとを備える。
【００２２】
ここで、ユーザ関連度評価機能１０４ａは、各シナリオ候補に含まれる操作が行われた時間に当該監視対象装置に対して当該操作が可能なユーザを列挙し、また各シナリオ候補に含まれる操作を行う権限を持つユーザを、外部に接続されたディレクトリサービス装置（ディレクトリサーバ２４）に照会して列挙する。
【００２３】
そして操作関連度評価機能１０４ｂは、予め与えられた評価基準に基づいて、各操作の対象となるファイルの類似性から操作関連度を算出する。ここでいうファイルの類似性の評価基準として、各操作の対象となるファイルの名称、サイズ、パス名、ハッシュ値、電子署名のうち少なくとも１つ以上を使用している。
【００２４】
さらに、シナリオ候補重要度再評価機能１０４ｃは、シナリオ候補に該当する各ユーザのユーザ関連度と各シナリオ候補に含まれる各操作の重要度の積の合計値と、各シナリオ候補に含まれる各操作間の操作関連度と当該操作の重要度と各シナリオ候補の重要度の積の合計値と、を積算して各ユーザの各シナリオ候補の重要度を再算出している。そして、結果表示部１０５は、重要度の高いシナリオ候補と共に、当該シナリオ候補に対してユーザ関連度の高いユーザを表示する。
【００２５】
以上の構成を備えることにより、本実施形態のセキュリティイベント監視装置１０は、収集されたログに操作者を特定することが不可能な操作が含まれている場合にも、セキュリティイベントを適切に検出し、さらにその操作を行った者を推定することが可能なものとなる。
以下、これをより詳細に説明する。
【００２６】
図２は、本発明の第１の実施形態に係るセキュリティイベント監視装置１０を含むコンピュータネットワーク１の構成について示す説明図である。コンピュータネットワーク１は、インターネット３０にも接続可能であるＬＡＮ（Local Area Network）もしくはＷＡＮ（Wide Area Network）などのようなコンピュータネットワークであり、複数のセキュリティ装置２１（ファイアウォールなど）、ネットワーク装置２２（ルータおよびスイッチングハブなど）、およびコンピュータ装置２３（サーバおよびパーソナルコンピュータなど）が、ローカルネットワーク２５を介して相互に接続されている。
【００２７】
セキュリティイベント監視装置１０は、ローカルネットワーク２５に接続され、それらのセキュリティ装置２１、ネットワーク装置２２、およびコンピュータ装置２３を監視対象として動作する（以後、セキュリティ装置２１、ネットワーク装置２２、およびコンピュータ装置２３を総称して監視対象装置という）。さらに、セキュリティイベント監視装置１０は、やはりローカルネットワーク２５に接続された別の装置であるディレクトリサーバ２４と協働して動作するが、その詳細は後述する。
【００２８】
図１は、図２に示したセキュリティイベント監視装置１０のより詳しい構成について示す説明図である。セキュリティイベント監視装置１０は、コンピュータ装置としての基本的な構成を備えている。即ち、セキュリティイベント監視装置１０は、コンピュータプログラムを実行する主体である主演算制御手段（ＣＰＵ: Central Processing Unit）１１と、データを記憶する記憶手段１２と、ローカルネットワーク２５を介して他の装置とのデータ送信を行う通信手段１３と、処理結果をユーザに提示する表示手段１４とを備える。
【００２９】
主演算制御手段１１は、コンピュータプログラムが実行されることにより、後述のログ収集部１０１、ファイル属性収集部１０２、相関分析部１０３、シナリオ候補評価部１０４、および結果表示部１０５として機能する。シナリオ候補評価部１０４は、ユーザ関連度評価機能１０４ａ、操作関連度評価機能１０４ｂ、およびシナリオ候補重要度再評価機能１０４ｃを含む。これらの各部は、各々別々のコンピュータ装置で実行されるように構成することもできる。
【００３０】
一方、記憶手段１２には、相関ルール記憶部１１１、ログ記憶部１１２、シナリオ候補記憶部１１３、シナリオ候補重要度記憶部１１４といった各々の記憶領域が設けられ、あらかじめ各々のデータが記憶されている。以上これらの詳細についても後述する。
【００３１】
（動作の概要）
以下、図１〜２で説明したセキュリティイベント監視装置１０の各部の動作の概要について説明する。セキュリティ装置２１、ネットワーク装置２２、およびコンピュータ装置２３は各々、システム上で発生したさまざまな事象をログとして記録してセキュリティイベント監視装置１０に送信する。セキュリティイベント監視装置１０では、ログ収集部１０１がそれらのログを受信して収集し、正規化やフィルタリング等の処理を行った後、これをイベントデータとして相関分析部１０３に渡して、さらにログ記憶部１１２に記憶させる。
【００３２】
相関分析部１０３は、ログ収集部１０１から受け取ったイベントデータに対して、相関ルール記憶部１１１上にあらかじめ定義されたルールに基いて、その条件部にマッチするイベントのパターンを見つける。複合する一連の操作を検出するタイプのルールのことを、特にシナリオと呼び、シナリオに対してイベントデータをマッチさせた状態のものをシナリオ候補と呼ぶものとする。
【００３３】
相関分析部１０３は、個々のシナリオ候補に対し、構成する個々のイベントの重要度、イベントの発生回数や頻度、検知された脅威の重要度、関連する情報資産の重要度、攻撃対象の脆弱性度合い等を考慮して、その重要度をスコアとして評価し、これらを合わせてシナリオ候補記憶部１１３に記憶する。
【００３４】
シナリオ候補評価部１０４は、ユーザ関連度評価機能１０４ａによって、シナリオ候補記憶部１１３に記録されたシナリオ候補を参照して、シナリオ候補を構成する各操作を行った可能性のあるユーザを、以下の複数の条件のうちのいずれかに該当する場合に列挙する。
【００３５】
（ａ）相関分析によりログオンのログや通信のログ等の複数のログをつき合わせることにより操作を行ったユーザを一意に特定できる場合
（ｂ）相関分析により複数の候補にユーザを特定できる場合
（ｃ）相関分析により操作を行ったユーザ（の候補）を特定できなくとも、該当時間帯に当該操作を潜在的に行えると推定できるようなログが残っている場合
（ｄ）上記のいずれの記録も無いが、当該操作を実行する権限を有するユーザを列挙できる場合
【００３６】
このうち、上記の（ｃ）については、ログ収集部１０１が収集した各種ログの中で、端末へのローカルなログイン、ＶＰＮ接続の認証、出社や入退室、該当操作に関連した作業を行なうための事前の作業申請などの記録と当該操作の時刻を突き合わせることで、候補となるユーザを列挙する。また、上記の（ｄ）については、ディレクトリサーバ２４に対して問い合わせることで該当操作を行う権限を持つユーザを列挙する。
【００３７】
さらに、ユーザ関連度評価機能１０４ａは、列挙されたユーザによってシナリオ候補を展開する。そして、「１００％÷候補者の人数」を「ユーザの絞込みの確度（ユーザ関連度）」として算出して、これをシナリオ候補記憶部１１３に追加記録する。
【００３８】
操作関連度評価機能１０４ｂは、シナリオ候補記憶部１１３に記録された各シナリオ候補を構成する一連の操作について、操作対象のファイルの類似性を比較評価し、類似度の深さを不正利用の確度（＝操作関連度）としてシナリオ候補記憶部１１３に追加記録する。
【００３９】
ここで、操作対象のファイルの類似性の評価は、ファイルのパス名、ファイルに付与された署名、ファイルのハッシュ値、ファイルサイズ、ファイル名の比較等によって操作関連度評価機能１０４ｂが行う。これらのファイルの属性は、ログ収集部１０１でログを収集する段階、あるいは相関分析部１０３で関連するログを突き合わせる段階でファイル属性収集部１０２によって収集されるものである。
【００４０】
シナリオ候補重要度再評価機能１０４ｃは、ユーザ関連度、操作関連度によって、各シナリオ候補の重要度スコアを再評価し、シナリオ候補重要度記憶部１１４にその再評価で算出された重要度スコアを記憶する。具体的にはルールの条件部の数の多さ、条件部へのマッチの度合いの高さ、ユーザ関連度の高さ、操作関連度の高さ、操作の重要度スコアで重み付けしたユーザの関連度の高さ、操作の重要度スコアで重み付けした操作関連度の高さを考慮した後述の数１に示される式によって、シナリオ候補の重要度を補正する。
【００４１】
結果表示部１０５は、シナリオ候補記憶部１１３に記憶されたシナリオ候補の中で、シナリオ候補重要度記憶部１１４に記憶されたシナリオ候補重要度が一定の閾値より高いものを、表示手段１４上に画面表示させる。その際、重要度の高い順に並び替えて一覧表示し、特に重要度の高いものを色を変えるなどのようにして強調して画面表示させる。
【００４２】
図３は、図１で示した相関分析部１０３、シナリオ候補評価部１０４、および結果表示部１０５の動作を表すフローチャートである。まず相関分析部１０３が、ログ収集部１０１が受信してログ記憶部１１２に記憶したログを、相関ルール記憶部１１１に記憶されたユーザ特定用ルール１１１ａおよび複合操作検出用ルール１１１ｂと照合して、各ログ同士の関連づけを行い、これを「シナリオ候補」としてシナリオ候補記憶部１１３に記憶する（ステップＳ２０１）。
【００４３】
そして、相関分析部１０３は、シナリオ候補として記憶された各々の操作およびシナリオ候補に対して仮の重要度を算出し、これもシナリオ候補記憶部１１３に記憶する（ステップＳ２０２）。重要度の算出についての具体的な動作については後述する。
【００４４】
そして、シナリオ候補評価部１０４のユーザ関連度評価機能１０４ａが、相関分析部１０３によってシナリオ候補記憶部１１３に記憶されたシナリオ候補を参照して各操作を行った可能性のあるユーザを列挙して、各操作についてのユーザ関連度を算出し、可能性のある各ユーザについてシナリオ候補を展開して、その結果をシナリオ候補記憶部１１３に追加記憶する（ステップＳ２０３、後述の図６）。
【００４５】
シナリオ候補評価部１０４の操作関連度評価機能１０４ｂはこれを受けて、各操作の相互間の関連の深さを示す操作関連度を、予め与えられた評価基準に基づいて算出し、その結果をシナリオ候補記憶部１１３にさらに追加記憶する（ステップＳ２０４）。
【００４６】
そしてシナリオ候補評価部１０４のシナリオ候補重要度再評価機能１０４ｃは、ここまでで算出されたユーザ関連度、操作関連度を利用して、後述の式によって各シナリオ候補の重要度スコアを再評価し、シナリオ候補重要度記憶部１１４に算出された重要度スコアを記憶する（ステップＳ２０５）。
【００４７】
最後に、結果表示部１０５は、シナリオ候補記憶部１１３に記憶されたシナリオ候補を、シナリオ候補重要度記憶部１１４に記憶されたシナリオ候補重要度に応じて表示手段１４上に画面表示させる（ステップＳ２０６）。以上ステップＳ２０３〜２０５の動作についても、より具体的な動作内容について後述する。
【００４８】
（より具体的な動作例）
以下、図１〜３で説明したセキュリティイベント監視装置１０のより具体的な動作例を示す。図４は、図１で示した相関ルール記憶部１１１の記憶内容の一例について示す説明図である。相関ルール記憶部１１１には、ユーザ特定用ルール１１１ａと、複合操作検出用ルール１１１ｂとが記憶されている。
【００４９】
なお、本明細書では、本発明の概念を平易に示すために、ごく単純化されたログおよびルールを例として示している。実際のセキュリティイベント監視では、多数の監視対象装置から受信した膨大なログを突き合わせて、それらに対して複雑なルールを適用して特定の操作を行ったユーザを検出するものである。
【００５０】
このうち、ユーザ特定用ルール１１１ａは、ルールＰ１〜Ｐ３の３つのルールが図４の例では示されている。ルールＰ１には、１行目がそのルール名「Ｐ１」、２〜３行目がもし「特定のユーザｕが、特定のファイル（重要ファイル）ｘを参照した」ことを示すログを検出された場合にこれをｐ１（ｕ，ｘ）とするという内容が記述されている。
【００５１】
同様に、ルールＰ２には、「特定のユーザｕが、特定のファイル（重要ファイル）ｘをＵＳＢメモリに格納した」ことを示すログを検出された場合にこれをｐ２（ｕ，ｘ）とするという内容が記述されている。ルールＰ３には、「特定のユーザｕが、特定のファイル（重要ファイル）ｘをファイルｙにコピーした」ことを示すログを検出された場合にこれをｐ３（ｕ，ｘ，ｙ）とするという内容が記述されている。
【００５２】
複合操作検出用ルール１１１ｂは、ルールＣ１〜Ｃ２の２つのルールが図４の例では示されている。これらのルールＣ１およびＣ２を、ここではシナリオともいう。
【００５３】
ルールＣ１には、１行目がそのルール名「Ｃ１」、２〜３行目が「ユーザｕ１が特定のファイルｘを参照し（ユーザ特定用ルール１１１ａのＰ１）、ユーザｕ２が特定のファイルｙをＵＳＢメモリに格納した（ユーザ特定用ルール１１１ａのＰ２）」場合を示し、４〜５行目が「ユーザｕ１とｕ２が同一であり、ファイルｘとｙが類似している」場合を示し、２〜５行目の全てに該当する場合にこれをｃ１（ｕ１，ｘ）とするという内容が記述されている。
【００５４】
同様に、ルールＣ２には、１行目がそのルール名「Ｃ２」、２〜４行目が「ユーザｕ１が特定のファイルｘを参照し（ユーザ特定用ルール１１１ａのＰ１）、ユーザｕ２が特定のファイルｙをＵＳＢメモリに格納し（ユーザ特定用ルール１１１ａのＰ２）、ユーザｕ３が特定のファイルａをファイルｂにコピーした（ユーザ特定用ルール１１１ａのＰ３）」場合を示し、５〜８行目が「ユーザｕ１，ｕ２，ｕ３が全て同一であり、ファイルｘ，ｙ，ａ，ｂが全て類似している」場合を示し、２〜８行目の全てに該当する場合にこれをｃ２（ｕ１，ｘ）とするという内容が記述されている。
【００５５】
複合操作検出用ルール１１１ｂには、ルールＣ１に対して「重要ファイルの持ち出し」、ルールＣ２に対して「重要ファイルのコピーと持ち出し」などのように、各々の複合操作を特徴付けるシナリオ名があらかじめ付けられている。
【００５６】
ここで「類似している（similar）」ことの検出は、各操作が対象とするファイルのパス名、ファイルサイズ、ファイル名、電子署名、ハッシュ値などといった情報を比較して、これらの情報の中で一致するものがあれば「類似している」、そうでなければ「類似していない」と判定する。
【００５７】
図５は、図１で示したログ収集部１０１および相関分析部１０３の動作内容（図３のステップＳ２０１〜２０２）について示す説明図である。図５は、図４に示したユーザ特定用ルール１１１ａおよび複合操作検出用ルール１１１ｂが相関ルール記憶部１１１に予め記憶されている場合の動作例について示している。
【００５８】
ログ収集部１０１は、各々の監視対象装置からログＬ１〜Ｌ４を受信して、相関分析部１０３に渡してログ記憶部１１２に記憶させる。現実の状況では、１つの事象を検出するためには複数の監視対象装置から受信した膨大なログを突き合わせて相関分析を行う必要があるが、ここでも本発明の概念を平易に示すために、相関分析まで終えた単純化されたログを例として示している。
【００５９】
ログＬ１は「不特定のユーザがファイルＸをダウンロード」したことを示す。ここで、「？」とは「相関分析などによっても、その操作を行ったユーザを特定できなかった」ことを示している。同様に、ログＬ２は「不特定のユーザがファイルＹをＵＳＢメモリに格納した」したことを示す。ログＬ３は「特定のユーザＢがファイルＺをＵＳＢメモリに格納した」ことを示し、ログＬ４は「特定のユーザＢがファイルＸをファイルＺにコピーした」ことを示す。
【００６０】
相関分析部１０３は、相関ルール記憶部１１１に記憶されたユーザ特定用ルール１１１ａおよび複合操作検出用ルール１１１ｂとログＬ１〜Ｌ４とを照合して、各ログ同士の関連づけを行い、これを「シナリオ候補」としてシナリオ候補記憶部１１３に記憶する（図３のステップＳ２０１）。
【００６１】
図４〜５に記載された例でいえば、相関分析部１０３はルールＰ１によってログＬ１を検知し、これを操作ｏ１とする。そしてルールＰ２によってログＬ２を検知し、これを操作ｏ２とする。さらにルールＣ１によって操作ｏ１と操作ｏ２の組み合わせを一連の操作として検知し、これをシナリオ候補Ｔ１としてシナリオ候補記憶部１１３に記憶する。ここで、操作ｏ１を行ったユーザをログから特定できていないので、ルールＰ１の変数ｕは確定していない状態である。この場合は、特定できていないユーザを「？」として、以後の動作を継続する。
【００６２】
相関分析部１０３はこれと同様に、ルールＰ２によってログＬ３を検知し、これを操作ｏ３とする。そしてルールＰ３によってログＬ４を検知し、これを操作ｏ４とする。さらにさらにルールＣ１によって操作ｏ１と操作ｏ３の組み合わせを一連の操作として検知し、これをシナリオ候補Ｔ２としてシナリオ候補記憶部１１３に記憶する。そしてルールＣ２によって操作ｏ２，ｏ３，ｏ４の組み合わせを一連の操作として検知し、これをシナリオ候補Ｔ３としてシナリオ候補記憶部１１３に記憶する。
【００６３】
相関分析部１０３はさらに、操作ｏｉの重要度スコアｍｉ、シナリオ候補Ｔｊの重要度スコアＭＴｊを評価し、シナリオ候補記憶部１１３に記憶する（図３のステップＳ２０２）。操作ｏｉの重要度スコアｍｉは、各相関ルールや、相関ルールにマッチしたイベントに関連する脅威の重要度、情報資産の重要度、攻撃対象の脆弱性度合いに基づいて計算するようなルールが、あらかじめユーザによって相関ルール記憶部１１１上に定義され、それによって算出される。シナリオ候補Ｔｊの重要度スコアＭＴｊは、相関分析部１０３の処理によって算出され、後述の処理によって再評価される。
【００６４】
図５に示された例では、操作ｏ１〜４の各々の重要度スコアｍ１〜４が各々０．６，０．６，０．６，０．３と、あらかじめユーザによって相関ルール記憶部１１１上に定義されている。シナリオ候補Ｔ１〜３の重要度スコアＭＴ１〜３は、ここでは各々１．０，１．０，１．０として説明する。以上で説明した相関分析部１０３による処理は、前述の特許文献１にも記載された公知技術であり、本発明の前提となる技術である。
【００６５】
図６は、図１で示したユーザ関連度評価機能１０４ａ（図３のステップＳ２０３）の動作を表すフローチャートである。ユーザ関連度評価機能１０４ａは、相関分析部１０３によってシナリオ候補記憶部１１３に記憶されたシナリオ候補を参照して、各操作を行った可能性のあるユーザを複数の方式によって列挙する。
【００６６】
動作を開始したユーザ関連度評価機能１０４ａは、変数ｉの初期値を１として（ステップＳ３０１）、操作ｏｉについてまず相関分析部１０３によってその操作を行ったユーザを１人に特定できているかをユーザ関連度評価機能１０４ａは判断する（ステップＳ３０２）。特定できていれば（ステップＳ３０２がイエス）、操作ｏｉのユーザ関連度＝１００％として（ステップＳ３０８）ステップＳ３０９の処理に進む。
【００６７】
相関分析部１０３によって操作ｏｉを行ったユーザを１人に特定できていなければ（ステップＳ３０２がノー）、その相関分析によってその可能性のあるユーザを複数名にまで特定できているかをユーザ関連度評価機能１０４ａは判断する（ステップＳ３０３）。特定できていれば（ステップＳ３０３がイエス）、その可能性のあるユーザの人数をｎ人とした場合に、操作ｏｉのユーザ関連度＝（１００／ｎ）％として（ステップＳ３０７）ステップＳ３０９の処理に進む。
【００６８】
相関分析部１０３によって操作ｏｉを行ったユーザを全く特定できていなければ（ステップＳ３０３がノー）、ユーザ関連度評価機能１０４ａはログ収集部１０１によって収集された端末ログイン記録のログを参照して、その操作ｏｉが行われた時刻にその操作を行うことが可能な端末にログインしていたユーザが特定できているかを判断する（ステップＳ３０４）。特定できていれば（ステップＳ３０３がイエス）、その可能性のあるユーザの人数をｎ人とした場合に、操作ｏｉのユーザ関連度＝（１００／ｎ）％として（ステップＳ３０７）ステップＳ３０９の処理に進む。
【００６９】
端末ログイン記録のログを参照しても操作ｏｉを行ったユーザを全く特定できていなければ（ステップＳ３０４がノー）、ユーザ関連度評価機能１０４ａはディレクトリサーバ２４に操作ｏｉを行う権限を持つユーザが誰であるかを照会する（ステップＳ３０５）。
【００７０】
この照会によってその権限を持つユーザを特定できれば（ステップＳ３０５がイエス）、その可能性のあるユーザの人数をｎ人とした場合に、操作ｏｉのユーザ関連度＝（１００／ｎ）％として（ステップＳ３０７）ステップＳ３０９の処理に進む。特定できなければ（ステップＳ３０５がノー）関連するユーザ無しとして（ステップＳ３０６）ステップＳ３０９の処理に進む。
【００７１】
ここで、ステップＳ３０３〜３０５に示した処理は、ディレクトリサーバ２４に照会して得られた各ユーザの持つ実行権限や、端末ログイン記録などから得られるアリバイ情報（当該時刻にログインしていなかったユーザについての情報）などを加味して、その操作を行った可能性のあるユーザを総合的に判断して抽出するようにしてもよい。
【００７２】
そしてユーザ関連度評価機能１０４ａは、ｉがシナリオ候補記憶部１１３に記憶された操作ｏｉの総数Ｎに到達したか否かを判断し（ステップＳ３０９）、到達していれば処理を終了して操作関連度評価機能１０４ｂによる処理に進む。到達していなければｉの値を１つ増加して（ステップＳ３１０）ステップＳ３０２から処理を繰り返す。
【００７３】
図７は、図１で示したシナリオ候補評価部１０４のユーザ関連度評価機能１０４ａおよび操作関連度評価機能１０４ｂの動作内容（図３のステップＳ２０３〜２０４）について示す説明図である。図７は、図６のフローチャートで説明した動作を、図４に示したシナリオ候補記憶部１１３に記憶されたシナリオ候補Ｔ１〜３に対して行った結果を示している。
【００７４】
この例では、相関分析部１０３によって操作ｏｉを行ったユーザを１人にも複数人にも特定できていない（図６・ステップＳ３０２〜３０３がいずれもノー）が、操作ｏ１が行われた時刻帯にユーザＡ〜Ｃの３名が操作ｏ１を行うことが可能な端末にログインしていることが判明した（図６・ステップＳ３０４がイエス）。従って、ユーザＡ〜Ｃが操作ｏ１を行った確率であるユーザＡ〜Ｃの各々のユーザ関連度ｒ１１、ｒ１１、ｒ１１は各々、１００％をその可能性のあるユーザの人数３で割って、１００÷３＝３３％であるとの結果を得ることができる（図６・ステップＳ３０７）。
【００７５】
ユーザ関連度評価機能１０４ａは、以上の動作で複数列挙された各ユーザＡ〜Ｃをシナリオ候補Ｔ１〜３に対して適用して展開する（図３のステップＳ２０３）。たとえば操作ｏ１は、ユーザＡ〜Ｃの３名が候補として列挙されたので、ｐ１（Ａ，Ｘ）、ｐ１（Ｂ，Ｘ）、ｐ１（Ｃ，Ｘ）の３通りに展開され、その各々のユーザ関連度ｒ１１、ｒ１１、ｒ１１は各々３３％となる。
【００７６】
同様に、操作ｏ２は、ユーザＡおよびＢの２名が候補として列挙されたので、ｐ２（Ａ，Ｙ）、ｐ２（Ｂ，Ｙ）の２通りに展開され、その各々のユーザ関連度ｒ２２、ｒ２２は各々５０％となる。操作ｏ３およびｏ４は、前述のように操作者がユーザＢに特定されているので、各々ｐ２（Ｂ，Ｚ）とｐ３（Ｂ，Ｘ，Ｚ）となり、その各々のユーザ関連度ｒ２３およびｒ２４はいずれも１００％である。
【００７７】
シナリオ候補Ｔ１は、前述のように操作ｏ１とｏ２の組み合わせによって構成されるが、この操作ｏ１とｏ２のいずれの操作も可能なのはユーザＡおよびＢである（ユーザＣは操作ｏ１を行った可能性はあるが、操作ｏ２を行っていない）。従って、ユーザＡとＢの各々について、ｃ１（Ａ，Ｘ）とｃ１（Ｂ，Ｘ）の２通りに展開される。
【００７８】
これと同様に、シナリオ候補Ｔ２は、操作ｏ１とｏ３の組み合わせによって構成される。そしてシナリオ候補Ｔ３は、操作ｏ１，ｏ３，ｏ４の組み合わせによって構成される。操作ｏ３およびｏ４は操作者がユーザＢに特定されているので、シナリオ候補Ｔ２およびＴ３はいずれもユーザＢひとりだけに展開され、各々ｃ１（Ｂ，Ｘ）、ｃ２（Ｂ，Ｘ，Ｚ）の１通りに展開される。ユーザ関連度評価機能１０４ａは、以上の処理結果をシナリオ候補記憶部１１３に記憶する。
【００７９】
そして操作関連度評価機能１０４ｂは、以上で記憶された各シナリオ候補を構成する一連の操作について、各操作ｐと操作ｑの関連の深さである操作関連度ｌｐｑを算出する（図３のステップＳ２０４）。まず、ファイル属性収集部１０２が、各操作が対象とするファイルのパス名、ファイルサイズ、ファイル名、電子署名、ハッシュ値などといった情報を、ログ収集部１０１によってログが収集される時点もしくは相関分析部１０３によって前述のｓｉｍｉｌａｒ（）関数によるパターンマッチを行う時点よりも事前に、計算あるいは収集する。
【００８０】
操作関連度評価機能１０４ｂは、ファイル属性収集部１０２によって収集されたこれらの情報を用いて、予め与えられた評価基準に基づいて各々の操作関連度を算出する。ここでいう評価基準とは、たとえば、同じ署名や同じマシン上の同じパス名のファイルに対する操作であれば操作関連度＝１００％、同じハッシュ値を持つファイルに対する操作であれば操作関連度＝９０％、同じファイルサイズのファイルに対する操作ならば操作関連度６０％、同じファイル名のファイルに対する操作であれば操作関連度５５％、などのように予め与えられたものである。
【００８１】
図８は、図７で示した操作関連度評価機能１０４ｂによる操作関連度の評価の動作例について、より詳しく示した説明図である。図８は、図４および図７に示したシナリオ候補Ｔ３を構成する操作ｏ１，ｏ３，ｏ４の各々の間について、操作関連度を算出するという例を示している。
【００８２】
シナリオ候補Ｔ３において、操作ｏ１のファイルＸと操作ｏ３のファイルＺは類似している（ｓｉｍｉｌａｒ（Ｘ，Ｚ））が、それはそのファイルサイズが同じであったためであるとすると、操作ｏ１と操作ｏ３の間の操作関連度ｌ１３＝６０％となる。同様に、操作ｏ３のファイルＺと操作ｏ４のファイルＺはパス名が一致するので、操作ｏ３と操作ｏ４の間の操作関連度ｌ３４＝１００％となる。そして、操作ｏ１のファイルＸと操作ｏ４のファイルＸとの間ではファイル名が一致するので、操作ｏ１と操作ｏ４の間の操作関連度ｌ１４＝５５％となる。
【００８３】
さらに同様に、シナリオ候補Ｔ１では、ユーザＡのｃ１（Ａ，Ｘ）について操作ｏ１のファイルＸと操作ｏ２のファイルＹは同一のハッシュ値を持つので、ユーザＡの操作ｏ１と操作ｏ２の間の操作関連度ｌ１２＝９０％となる。ユーザＢのｃ１（Ｂ，Ｘ）についても同様に、ユーザＢの操作ｏ１と操作ｏ２の間の操作関連度ｌ１２＝９０％となる。
【００８４】
そしてシナリオ候補Ｔ２では、操作ｏ１のファイルＸと操作ｏ３のファイルＺはファイルサイズが同じであるので、操作ｏ１と操作ｏ３の間の操作関連度ｌ１３＝６０％となる。操作関連度評価機能１０４ｂは、以上の算出結果を、図７に示したようにシナリオ候補記憶部１１３に記憶する。
【００８５】
図９は、図１で示したシナリオ候補重要度再評価機能１０４ｃによるシナリオ重要度スコア再計算の動作内容（図３のステップＳ２０５）について、より詳しく示した説明図である。シナリオ候補重要度再評価機能１０４ｃは、シナリオ候補記憶部１１３に記憶されたｎ個の操作からなるユーザｕｉによるシナリオ候補Ｔｘ＝｛ｕｉ，ｏｋ１，ｏｋ２，…ｏｋｎ｝について、シナリオ重要度スコアＭＴｉを以下の数１に示す計算式で再計算し、これをＲＴｘｉとする。シナリオ候補重要度再評価機能１０４ｃは、この計算をシナリオ候補Ｔｘとこれに該当する全てのユーザｕｉに対して行う。ユーザｕ１，ｕ２，ｕ３は、各々ユーザＡ，Ｂ，Ｃに対応する。
【００８６】
ここで、ｎは各シナリオ候補Ｔｘに含まれる操作の総数、ｕｉ∈Ｕ（Ｕはユーザ全体の集合）、ｏｋ１，ｏｋ２，…ｏｋｎ∈Ｏ（Ｏは操作全体の集合）、ｍｊは図５に示した相関分析部１０３による処理で算出された操作ｏｊの重要度スコアで１≧ｍｊ≧０、ｒｉｊは図７に示したユーザ関連度評価機能１０４ａによる処理で算出されたユーザｕｉと操作ｏｊの関連度で１≧ｒｉｊ≧０、図７に示した操作関連度評価機能１０４ｂによる処理で算出されたｌｐｑは操作ｏｐとｏｑの関連度で１≧ｌｐｑ≧０である。
【００８７】
【数１】
【００８８】
この計算式により、ルールの条件部の数（√ｎＣ２の部分）、条件部のマッチの度合い（Σｌｐｑ／ｎＣ２の部分）、ユーザ関連度の総合的な高さ（１／ｎΣｒｉｋｊの部分）、ユーザが実際に行っている操作（即ちユーザ関連度が高い操作）の重要度スコア（ｒｉｋｊｍｋｊの部分）に応じて、各シナリオ候補の重要度が再評価される。また、重要度スコア（ｌｐｑｍｐｍｑの部分）に応じて操作関連度の重みが再評価される。シナリオ候補重要度再評価機能１０４ｃは、以上の計算式で算出された再評価後のシナリオ重要度スコアＲＴｉを、シナリオ候補重要度記憶部１１４に記憶する。
【００８９】
図４，７，８に示された例についてこの計算式を適用した場合、ユーザＡにおけるシナリオ候補Ｔ１の再評価後のシナリオ重要度スコアＲＴ１１は、ｎ＝２、ｋ１＝１、ｋ２＝２であるので、以下の数２のように、ＲＴ１１＝約８．１％と算出できる。ユーザＢについても同様に、以下の数３のように、シナリオ候補Ｔ１の再評価後のシナリオ重要度スコアＲＴ１２＝約８．１％となる。ユーザＣについては、このシナリオ候補Ｔ１に該当しないので、再評価後のシナリオ重要度スコアの算出は行わない。
【００９０】
【数２】
【００９１】
【数３】
【００９２】
また、ユーザＢにおけるシナリオ候補Ｔ２の再評価後のシナリオ重要度スコアＲＴ２は、ｎ＝２、ｋ１＝１、ｋ２＝３であるので、以下の数４のように、ＲＴ２２＝約８．６％と算出できる。ユーザＡおよびＣについては、このシナリオ候補Ｔ２に該当しないので、再評価後のシナリオ重要度スコアの算出は行わない。
【００９３】
【数４】
【００９４】
さらに、ユーザＢにおけるシナリオ候補Ｔ３の再評価後のシナリオ重要度スコアＲＴ３は、ｎ＝３、ｋ１＝１、ｋ２＝３、ｋ３＝４であるので、以下の数５のように、ＲＴ３２＝約１８．０％と算出できる。ユーザＡおよびＣについては、このシナリオ候補Ｔ３に該当しないので、再評価後のシナリオ重要度スコアの算出は行わない。
【００９５】
【数５】
【００９６】
以上で説明したように、図５で示された例では各シナリオ候補Ｔ１〜３の重要度スコアＭＴ１〜３に各々１．０，１．０，１．０という値が仮定されていたが、このシナリオ候補重要度再評価機能１０４ｃによる処理によって算出された再評価後のシナリオ重要度スコアＲＴ１〜３は、各ユーザの実際の動作が反映されたものとなる。特に、その操作を行ったユーザが誰であるかがログから特定できない状況に対しても、一連の操作が同一ユーザによって行われた可能性が高い場合に、算出されるシナリオ重要度スコアは高くなる。
【００９７】
図１０は、図１に示した結果表示部１０５が表示手段１４上に画面表示させる（図３のステップＳ２０６）重要度の高いシナリオ候補の一覧の例について示す説明図である。結果表示部１０５は、シナリオ候補記憶部１１３に記憶されたシナリオ候補の中で、シナリオ候補重要度記憶部１１４に記憶されたシナリオ候補重要度が一定の閾値より高いものを、表示手段１４上に画面表示させる（図３のステップＳ２０６）。
【００９８】
その際、結果表示部１０５は、各シナリオ候補に該当するシナリオ名（たとえば「重要ファイルの持ち出し」などのように、複合操作検出用ルール１１１ｂの各々に与えられた名称）を重要度の高い順に並び替えた一覧として表示手段１４上に表示させ、特に重要度の高いものを色を変えるなどのようにして強調して表示させる。また、当該シナリオ候補に示された操作を実際に行ったユーザ、もしくはそれに該当する可能性の高いユーザを、そのシナリオ候補に付随して表示させる。
【００９９】
図１０に示した例では、閾値「１０％」があらかじめ設定されており、ユーザＢにおけるシナリオ候補Ｔ３の再評価後のシナリオ重要度スコアＲＴ２３だけがその閾値を超える１８．０％の値が出たので、このシナリオ候補Ｔ３の元となったシナリオＣ２に与えられていたシナリオ名「重要ファイルのコピーと持ち出し」が発生したと推定される旨と、その発生時刻、監視対象機器名、対象ファイル名、そしてこれを実行したと推定されるユーザ名（ユーザＢ）、などといった情報が表示手段１４上に表示されている。
【０１００】
（実施形態の全体的な動作）
次に、上記の実施形態の全体的な動作について説明する。
本実施形態に係るセキュリティイベント監視方法は、同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、各監視対象装置からログ収集部が各ログを受信し、各ログに相関分析部が予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成し、各シナリオ候補を、相関ルールによって与えられた当該シナリオ候補の重要度と共に相関分析部が記憶手段に記憶させ、（図３・ステップＳ２０１〜２０２）、各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザをシナリオ候補評価部のユーザ関連度評価機能が列挙し、各操作に対する各ユーザの関連性であるユーザ関連度をユーザ関連度評価機能が算出し（図３・ステップＳ２０３）、各シナリオ候補の各操作の相互間の関連性である操作関連度をシナリオ候補評価部の操作関連度評価機能が算出し（図３・ステップＳ２０４）、ユーザ関連度および操作関連度によってシナリオ候補評価部のシナリオ候補重要度再評価機能がユーザごとに各シナリオ候補の重要度を再算出し（図３・ステップＳ２０５）、重要度の高いシナリオ候補を結果表示部が表示出力する（図３・ステップＳ２０６）。
【０１０１】
ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行するセキュリティイベント監視装置１０に実行させるようにしてもよい。本プログラムは、非一時的な記録媒体、例えば、ＤＶＤ、ＣＤ、フラッシュメモリ等に記録されてもよい。その場合、本プログラムは、記録媒体からコンピュータによって読み出され、実行される。
この動作により、本実施形態は以下のような効果を奏する。
【０１０２】
本実施形態では、ユーザ関連度、即ちユーザ候補からの絞込みの確度と、操作関連度、即ち不正に操作された情報資産の不正利用の確度とに基づいて、一連の操作が同一ユーザによって行われた可能性を評価して、これによって各ユーザごとに各シナリオ候補の重要度を算出している。従って、特定のユーザが重要ファイルに対してセキュリティ上の問題を引き起こす可能性の高い操作を繰り返している場合にも、その操作を的確に検出し、さらにそのユーザが誰であるかを高い確度で推定することができる。
【０１０３】
これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。
【０１０４】
上述した実施形態について、その新規な技術内容の要点をまとめると、以下のようになる。なお、上記実施形態の一部または全部は、新規な技術として以下のようにまとめられるが、本発明は必ずしもこれに限定されるものではない。
【０１０５】
（付記１） 同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置であって、
前記各ログに対する相関分析を行う際に適用される相関ルールを予め記憶する記憶手段と、
前記各監視対象装置から各ログを受信するログ収集部と、
前記各ログに前記相関ルールを適用し、これによって各々の当該ログを関連づけたシナリオ候補を生成して、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に前記記憶手段に記憶させる相関分析部と、
前記各シナリオ候補に対する重要度を再算出するシナリオ候補評価部と、
再算出された前記重要度の高い前記シナリオ候補を表示出力する結果表示部とを有すると共に、
前記シナリオ候補評価部が、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙し、前記各操作に対する前記各ユーザの関連性であるユーザ関連度を算出するユーザ関連度評価機能と、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を算出する操作関連度評価機能と、
前記ユーザ関連度および前記操作関連度によって前記ユーザごとに前記各シナリオ候補の重要度を再算出するシナリオ候補重要度再評価機能と
を備えることを特徴とするセキュリティイベント監視装置。
【０１０６】
（付記２） 前記ユーザ関連度評価機能が、前記各シナリオ候補に含まれる操作が行われた時間に当該監視対象装置に対して当該操作が可能なユーザを列挙することを特徴とする、付記１に記載のセキュリティイベント監視装置。
【０１０７】
（付記３） 前記ユーザ関連度評価機能が、前記各シナリオ候補に含まれる操作を行う権限を持つユーザを、外部に接続されたディレクトリサービス装置に照会して列挙することを特徴とする、付記１に記載のセキュリティイベント監視装置。
【０１０８】
（付記４） 前記操作関連度評価機能が、予め与えられた評価基準に基づいて、前記各操作の対象となるファイルの類似性から前記操作関連度を算出することを特徴とする、付記１に記載のセキュリティイベント監視装置。
【０１０９】
（付記５） 前記操作関連度評価機能が、前記ファイルの類似性の評価基準として、前記各操作の対象となるファイルの名称、サイズ、パス名、ハッシュ値、電子署名のうち少なくとも１つ以上を使用することを特徴とする、付記４に記載のセキュリティイベント監視装置。
【０１１０】
（付記６）前記シナリオ候補重要度再評価機能が、前記シナリオ候補に該当する各ユーザの前記ユーザ関連度と前記各シナリオ候補に含まれる各操作の重要度の積の合計値と、前記各シナリオ候補に含まれる各操作間の操作関連度と当該操作の重要度と前記各シナリオ候補の重要度の積の合計値と、を積算して前記各ユーザの前記各シナリオ候補の重要度を再算出することを特徴とする、付記１に記載のセキュリティイベント監視装置。
【０１１１】
（付記７） 前記結果表示部が、前記重要度の高い前記シナリオ候補と共に、当該シナリオ候補に対して前記ユーザ関連度の高いユーザを表示することを特徴とする、付記１に記載のセキュリティイベント監視装置。
【０１１２】
（付記８） 同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、
前記各監視対象装置からログ収集部が各ログを受信し、
前記各ログに相関分析部が予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成し、
前記各シナリオ候補を、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に前記相関分析部が前記記憶手段に記憶させ、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザをシナリオ候補評価部のユーザ関連度評価機能が列挙し、
前記各操作に対する前記各ユーザの関連性であるユーザ関連度を前記ユーザ関連度評価機能が算出し、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を前記シナリオ候補評価部の操作関連度評価機能が算出し、
前記ユーザ関連度および前記操作関連度によって前記シナリオ候補評価部のシナリオ候補重要度再評価機能が前記ユーザごとに前記各シナリオ候補の重要度を再算出し、
前記重要度の高い前記シナリオ候補を結果表示部が表示出力する
ことを特徴とするセキュリティイベント監視方法。
【０１１３】
（付記９） 同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、
前記セキュリティイベント監視装置が備えるコンピュータに、
前記各監視対象装置から各ログを受信する手順、
前記各ログに予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成する手順、
前記各シナリオ候補を、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に記憶する手順、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙する手順、
前記各操作に対する前記各ユーザの関連性であるユーザ関連度を算出する手順、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を算出する手順、
前記ユーザ関連度および前記操作関連度によって前記ユーザごとに前記各シナリオ候補の重要度を再算出する手順、
および前記重要度の高い前記シナリオ候補を表示出力する手順
を実行させることを特徴とするセキュリティイベント監視プログラム。
【産業上の利用可能性】
【０１１４】
本発明は、コンピュータネットワークに対して適用することができる。特に、機密情報や個人情報を多く取り扱っているネットワークにおいて、それらの情報が漏洩するリスクを低減させるという用途に適する。
【符号の説明】
【０１１５】
１ コンピュータネットワーク
１０ セキュリティイベント監視装置
１１ 主演算制御手段
１２ 記憶手段
１３ 通信手段
１４ 表示手段
２１ セキュリティ装置
２２ ネットワーク装置
２３ コンピュータ装置
２４ ディレクトリサーバ
２５ ローカルネットワーク
３０ インターネット
１０１ ログ収集部
１０２ ファイル属性収集部
１０３ 相関分析部
１０４ シナリオ候補評価部
１０４ａ ユーザ関連度評価機能
１０４ｂ 操作関連度評価機能
１０４ｃ シナリオ候補重要度再評価機能
１０５ 結果表示部
１１１ 相関ルール記憶部
１１１ａ ユーザ特定用ルール
１１１ｂ 複合操作検出用ルール
１１２ ログ記憶部
１１３ シナリオ候補記憶部
１１４ シナリオ候補重要度記憶部
【技術分野】
【０００１】
本発明はセキュリティイベント監視装置、方法およびプログラムに関し、特に問題を引き起こす操作をしているユーザを高精度に特定することを可能とするセキュリティイベント監視装置等に関する。
【背景技術】
【０００２】
コンピュータネットワークが事業者の基幹業務で根幹をなす存在となった現代では、その業務に関連して大量の個人情報や機密情報が当該事業者のローカルネットワーク上で扱われている。当然、これらの情報が組織外に漏洩することがないよう、その取り扱いには慎重を期す必要がある。
【０００３】
コンピュータネットワーク上で行われる、当該ネットワークの安全性（セキュリティ）に関わる行為のことを、ここではセキュリティイベントという。たとえば、機密情報や個人情報などを含む特定のファイル（以後、重要ファイルという）を勝手に組織外に持ち出すことなどが、このセキュリティイベントに該当する。
【０００４】
セキュリティイベント監視装置は、当該ネットワークを監視し、特定のセキュリティイベントが行われた場合にこれをいち早く検出し、その行為を行った人物を特定する装置である。当該ネットワークを構成する各装置は、当該装置に対して行われた操作などを操作ログ（以後、単にログという）に記録して、そのログをセキュリティイベント監視装置に対して送信する機能を備えている。セキュリティイベント監視装置は、複数の監視対象装置から受信したログを相関分析することによって、そのセキュリティイベントを検出する。
【０００５】
このことに関連する技術として、以下の各々がある。その中でも特許文献１には、対象操作に対して不審値を算出するという不正操作監視システムで、この不審値が高い操作が繰り返された場合により高い不審値を設定するという技術が記載されている。特許文献２には、ユーザの行った操作の系列から、そのユーザの操作意図を検出して適切な操作ガイドを提示するという操作支援装置が記載されている。
【０００６】
特許文献３には、異なる系列のログデータで共通の固有表現がある場合にそれらを対応づけるという相関分析装置が記載されている。特許文献４には、特定の操作をシナリオとして予め記憶し、その操作が実行された場合の操作コストを算出するという評価装置が記載されている。特許文献５には、特許文献４と同様に、予め記憶されたシナリオに登録された各操作を実行した場合の所要時間を計測するというウェブアプリケーションシステムが記載されている。
【０００７】
非特許文献１には、たとえば「ユーザがカラムを読み書きする必然性」や「ユーザの敵意の度合い」などのような曖昧にしか表現できない事柄を、ファジー論理の言語学的変数で表現し、これをパラメータとしたアクセス制御方法が記載されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００７−１８３９１１号公報
【特許文献２】特開２００９−０８０６５０号公報
【特許文献３】特開２００９−２１７６５７号公報
【特許文献４】特開２００９−２５９０６４号公報
【特許文献５】特開２０１１−００８５５８号公報
【非特許文献】
【０００９】
【非特許文献１】U.H.G.R.D Nawarathna and S.R. Kodithuwakku: “A Fuzzy Role Based Access Control Model for Database Security”, Procedings of the International Conference on Information and Automation, December 15-18, 2005
【発明の概要】
【発明が解決しようとする課題】
【００１０】
監視対象装置に対して行われてログに記録された操作で、その操作を行った人物が全ての場合で特定されているとは限らない。より具体的には、たとえば、共用ＩＤでサーバに複数のユーザが同時にログインして作業しているという状況、あるいはユーザがプロキシサーバなどのような中継装置を経由して（中継装置によって置換されたユーザＩＤで）サーバにアクセスするという状況などでは、実際にそのＩＤによってその操作を行った者の特定が困難である。
【００１１】
従って、操作者を特定することが不可能な操作がログに含まれている場合、セキュリティイベント監視装置でセキュリティイベントを検出することが著しく困難なものとなる。そのため、ネットワーク上のセキュリティに対して深刻な問題を引き起こす行為を繰り返している者がいたとしても、そのような行為を検出することができない。
【００１２】
このような問題を解決しうる技術は、前述の特許文献１〜５および非特許文献１には記載されていない。特許文献１に記載の技術は、全ての操作で、その操作を行ったユーザが特定されていることを前提としているので、操作者を特定することが不可能な状況については全く考慮されていない。
【００１３】
特許文献２〜５に記載の技術は、そもそも不正な操作を行ったユーザを検出することを目的とはしておらず、またその目的に転用できる内容も記載されていない。非特許文献１に記載の技術は、検出された操作が与えられたポリシーに違反しているか否かを判断しているが、一連の操作を同一ユーザが行ったか否かをその判断に反映する計算は行われていない。従って、特許文献１〜５および非特許文献１に記載の技術を全て組み合わせたとしても、前述の問題を解決しうる技術を得ることはできない。
【００１４】
本発明の目的は、収集されたログに操作者を特定することが不可能な操作が含まれている場合にも、セキュリティイベントを適切に検出し、さらにその操作を行った者を推定することを可能とすることを可能とするセキュリティイベント監視装置、方法およびプログラムを提供することにある。
【課題を解決するための手段】
【００１５】
上記目的を達成するため、本発明に係るセキュリティイベント監視装置は、同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置であって、各ログに対する相関分析を行う際に適用される相関ルールを予め記憶する記憶手段と、各監視対象装置から各ログを受信するログ収集部と、各ログに相関ルールを適用し、これによって各々の当該ログを関連づけたシナリオ候補を生成して、相関ルールによって与えられた当該シナリオ候補の重要度と共に記憶手段に記憶させる相関分析部と、各シナリオ候補に対する重要度を再算出するシナリオ候補評価部と、再算出された重要度の高いシナリオ候補を表示出力する結果表示部とを有すると共に、シナリオ候補評価部が、各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙し、各操作に対する各ユーザの関連性であるユーザ関連度を算出するユーザ関連度評価機能と、各シナリオ候補の各操作の相互間の関連性である操作関連度を算出する操作関連度評価機能と、ユーザ関連度および操作関連度によってユーザごとに各シナリオ候補の重要度を再算出するシナリオ候補重要度再評価機能とを備えることを特徴とする。
【００１６】
上記目的を達成するため、本発明に係るセキュリティイベント監視方法は、同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、各監視対象装置からログ収集部が各ログを受信し、各ログに相関分析部が予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成し、各シナリオ候補を、相関ルールによって与えられた当該シナリオ候補の重要度と共に相関分析部が記憶手段に記憶させ、各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザをシナリオ候補評価部のユーザ関連度評価機能が列挙し、各操作に対する各ユーザの関連性であるユーザ関連度をユーザ関連度評価機能が算出し、各シナリオ候補の各操作の相互間の関連性である操作関連度をシナリオ候補評価部の操作関連度評価機能が算出し、ユーザ関連度および操作関連度によってシナリオ候補評価部のシナリオ候補重要度再評価機能がユーザごとに各シナリオ候補の重要度を再算出し、重要度の高いシナリオ候補を結果表示部が表示出力することを特徴とする。
【００１７】
上記目的を達成するため、本発明に係るセキュリティイベント監視プログラムは、同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、セキュリティイベント監視装置が備えるコンピュータに、各監視対象装置から各ログを受信する手順、各ログに予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成する手順、各シナリオ候補を、相関ルールによって与えられた当該シナリオ候補の重要度と共に記憶する手順、各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙する手順、各操作に対する各ユーザの関連性であるユーザ関連度を算出する手順、各シナリオ候補の各操作の相互間の関連性である操作関連度を算出する手順、ユーザ関連度および操作関連度によってユーザごとに各シナリオ候補の重要度を再算出する手順、および重要度の高いシナリオ候補を表示出力するする手順を実行させることを特徴とする。
【発明の効果】
【００１８】
本発明は、上記したように、相関分析によって生成されたシナリオ候補に対して、各々の操作を行った可能性のある各ユーザの関連性であるユーザ関連度と、各操作の相互間の関連性である操作関連度とを算出し、それらによってユーザごとに各シナリオ候補の重要度を算出するように構成したので、操作者が特定されていない場合にもその可能性の高いユーザが誰であるかを推定できる。
【００１９】
これによって、収集されたログに操作者を特定することが不可能な操作が含まれている場合にも、セキュリティイベントを適切に検出し、さらにその操作を行った者を推定することを可能とすることが可能であるという優れた特徴を持つセキュリティイベント監視装置、方法およびプログラムを提供することができる。
【図面の簡単な説明】
【００２０】
【図１】図２に示したセキュリティイベント監視装置のより詳しい構成について示す説明図である。
【図２】本発明の第１の実施形態に係るセキュリティイベント監視装置を含むコンピュータネットワークの構成について示す説明図である。
【図３】図１で示した相関分析部、シナリオ候補評価部、および結果表示部の動作を表すフローチャートである。
【図４】図１で示した相関ルール記憶部の記憶内容の一例について示す説明図である。
【図５】図１で示したログ収集部および相関分析部の動作内容（図３のステップＳ２０１〜２０２）について示す説明図である。
【図６】図１で示したユーザ関連度評価機能（図３のステップＳ２０３）の動作を表すフローチャートである。
【図７】図１で示したシナリオ候補評価部のユーザ関連度評価機能および操作関連度評価機能の動作内容（図３のステップＳ２０３〜２０４）について示す説明図である。
【図８】図７で示した操作関連度評価機能による操作関連度の評価の動作例について、より詳しく示した説明図である。
【図９】図１で示したシナリオ候補重要度再評価機能によるシナリオ重要度スコア再計算の動作内容（図３のステップＳ２０５）について、より詳しく示した説明図である。
【図１０】図１に示した結果表示部が表示手段上に画面表示させる（図３のステップＳ２０６）重要度の高いシナリオ候補の一覧の例について示す説明図である。
【発明を実施するための形態】
【００２１】
（実施形態）
以下、本発明の実施形態の構成について添付図１〜２に基づいて説明する。
最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
本実施形態に係るセキュリティイベント監視装置１０は、同一のローカルネットワーク２５上で相互に接続されている複数の監視対象装置２１〜２３に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置である。このセキュリティイベント監視装置１０は、各ログに対する相関分析を行う際に適用される相関ルールを予め記憶する記憶手段１２（相関ルール記憶部１１１）と、各監視対象装置から各ログを受信するログ収集部１０１と、各ログに相関ルールを適用して、これによって各々の当該ログを関連づけたシナリオ候補を生成して相関ルールによって与えられた当該シナリオ候補の重要度と共に記憶手段（シナリオ候補記憶部１１３）に記憶させる相関分析部１０３と、各シナリオ候補に対して重要度を再算出するシナリオ候補評価部１０４と、重要度の高いシナリオ候補を表示出力する結果表示部１０５とを有する。そして、シナリオ候補評価部１０４が、各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙し、各操作に対する各ユーザの関連性であるユーザ関連度を算出するユーザ関連度評価機能１０４ａと、各シナリオ候補の各操作の相互間の関連性である操作関連度を算出する操作関連度評価機能１０４ｂと、ユーザ関連度および操作関連度によってユーザごとに各シナリオ候補の重要度を再算出するシナリオ候補重要度再評価機能１０４ｃとを備える。
【００２２】
ここで、ユーザ関連度評価機能１０４ａは、各シナリオ候補に含まれる操作が行われた時間に当該監視対象装置に対して当該操作が可能なユーザを列挙し、また各シナリオ候補に含まれる操作を行う権限を持つユーザを、外部に接続されたディレクトリサービス装置（ディレクトリサーバ２４）に照会して列挙する。
【００２３】
そして操作関連度評価機能１０４ｂは、予め与えられた評価基準に基づいて、各操作の対象となるファイルの類似性から操作関連度を算出する。ここでいうファイルの類似性の評価基準として、各操作の対象となるファイルの名称、サイズ、パス名、ハッシュ値、電子署名のうち少なくとも１つ以上を使用している。
【００２４】
さらに、シナリオ候補重要度再評価機能１０４ｃは、シナリオ候補に該当する各ユーザのユーザ関連度と各シナリオ候補に含まれる各操作の重要度の積の合計値と、各シナリオ候補に含まれる各操作間の操作関連度と当該操作の重要度と各シナリオ候補の重要度の積の合計値と、を積算して各ユーザの各シナリオ候補の重要度を再算出している。そして、結果表示部１０５は、重要度の高いシナリオ候補と共に、当該シナリオ候補に対してユーザ関連度の高いユーザを表示する。
【００２５】
以上の構成を備えることにより、本実施形態のセキュリティイベント監視装置１０は、収集されたログに操作者を特定することが不可能な操作が含まれている場合にも、セキュリティイベントを適切に検出し、さらにその操作を行った者を推定することが可能なものとなる。
以下、これをより詳細に説明する。
【００２６】
図２は、本発明の第１の実施形態に係るセキュリティイベント監視装置１０を含むコンピュータネットワーク１の構成について示す説明図である。コンピュータネットワーク１は、インターネット３０にも接続可能であるＬＡＮ（Local Area Network）もしくはＷＡＮ（Wide Area Network）などのようなコンピュータネットワークであり、複数のセキュリティ装置２１（ファイアウォールなど）、ネットワーク装置２２（ルータおよびスイッチングハブなど）、およびコンピュータ装置２３（サーバおよびパーソナルコンピュータなど）が、ローカルネットワーク２５を介して相互に接続されている。
【００２７】
セキュリティイベント監視装置１０は、ローカルネットワーク２５に接続され、それらのセキュリティ装置２１、ネットワーク装置２２、およびコンピュータ装置２３を監視対象として動作する（以後、セキュリティ装置２１、ネットワーク装置２２、およびコンピュータ装置２３を総称して監視対象装置という）。さらに、セキュリティイベント監視装置１０は、やはりローカルネットワーク２５に接続された別の装置であるディレクトリサーバ２４と協働して動作するが、その詳細は後述する。
【００２８】
図１は、図２に示したセキュリティイベント監視装置１０のより詳しい構成について示す説明図である。セキュリティイベント監視装置１０は、コンピュータ装置としての基本的な構成を備えている。即ち、セキュリティイベント監視装置１０は、コンピュータプログラムを実行する主体である主演算制御手段（ＣＰＵ: Central Processing Unit）１１と、データを記憶する記憶手段１２と、ローカルネットワーク２５を介して他の装置とのデータ送信を行う通信手段１３と、処理結果をユーザに提示する表示手段１４とを備える。
【００２９】
主演算制御手段１１は、コンピュータプログラムが実行されることにより、後述のログ収集部１０１、ファイル属性収集部１０２、相関分析部１０３、シナリオ候補評価部１０４、および結果表示部１０５として機能する。シナリオ候補評価部１０４は、ユーザ関連度評価機能１０４ａ、操作関連度評価機能１０４ｂ、およびシナリオ候補重要度再評価機能１０４ｃを含む。これらの各部は、各々別々のコンピュータ装置で実行されるように構成することもできる。
【００３０】
一方、記憶手段１２には、相関ルール記憶部１１１、ログ記憶部１１２、シナリオ候補記憶部１１３、シナリオ候補重要度記憶部１１４といった各々の記憶領域が設けられ、あらかじめ各々のデータが記憶されている。以上これらの詳細についても後述する。
【００３１】
（動作の概要）
以下、図１〜２で説明したセキュリティイベント監視装置１０の各部の動作の概要について説明する。セキュリティ装置２１、ネットワーク装置２２、およびコンピュータ装置２３は各々、システム上で発生したさまざまな事象をログとして記録してセキュリティイベント監視装置１０に送信する。セキュリティイベント監視装置１０では、ログ収集部１０１がそれらのログを受信して収集し、正規化やフィルタリング等の処理を行った後、これをイベントデータとして相関分析部１０３に渡して、さらにログ記憶部１１２に記憶させる。
【００３２】
相関分析部１０３は、ログ収集部１０１から受け取ったイベントデータに対して、相関ルール記憶部１１１上にあらかじめ定義されたルールに基いて、その条件部にマッチするイベントのパターンを見つける。複合する一連の操作を検出するタイプのルールのことを、特にシナリオと呼び、シナリオに対してイベントデータをマッチさせた状態のものをシナリオ候補と呼ぶものとする。
【００３３】
相関分析部１０３は、個々のシナリオ候補に対し、構成する個々のイベントの重要度、イベントの発生回数や頻度、検知された脅威の重要度、関連する情報資産の重要度、攻撃対象の脆弱性度合い等を考慮して、その重要度をスコアとして評価し、これらを合わせてシナリオ候補記憶部１１３に記憶する。
【００３４】
シナリオ候補評価部１０４は、ユーザ関連度評価機能１０４ａによって、シナリオ候補記憶部１１３に記録されたシナリオ候補を参照して、シナリオ候補を構成する各操作を行った可能性のあるユーザを、以下の複数の条件のうちのいずれかに該当する場合に列挙する。
【００３５】
（ａ）相関分析によりログオンのログや通信のログ等の複数のログをつき合わせることにより操作を行ったユーザを一意に特定できる場合
（ｂ）相関分析により複数の候補にユーザを特定できる場合
（ｃ）相関分析により操作を行ったユーザ（の候補）を特定できなくとも、該当時間帯に当該操作を潜在的に行えると推定できるようなログが残っている場合
（ｄ）上記のいずれの記録も無いが、当該操作を実行する権限を有するユーザを列挙できる場合
【００３６】
このうち、上記の（ｃ）については、ログ収集部１０１が収集した各種ログの中で、端末へのローカルなログイン、ＶＰＮ接続の認証、出社や入退室、該当操作に関連した作業を行なうための事前の作業申請などの記録と当該操作の時刻を突き合わせることで、候補となるユーザを列挙する。また、上記の（ｄ）については、ディレクトリサーバ２４に対して問い合わせることで該当操作を行う権限を持つユーザを列挙する。
【００３７】
さらに、ユーザ関連度評価機能１０４ａは、列挙されたユーザによってシナリオ候補を展開する。そして、「１００％÷候補者の人数」を「ユーザの絞込みの確度（ユーザ関連度）」として算出して、これをシナリオ候補記憶部１１３に追加記録する。
【００３８】
操作関連度評価機能１０４ｂは、シナリオ候補記憶部１１３に記録された各シナリオ候補を構成する一連の操作について、操作対象のファイルの類似性を比較評価し、類似度の深さを不正利用の確度（＝操作関連度）としてシナリオ候補記憶部１１３に追加記録する。
【００３９】
ここで、操作対象のファイルの類似性の評価は、ファイルのパス名、ファイルに付与された署名、ファイルのハッシュ値、ファイルサイズ、ファイル名の比較等によって操作関連度評価機能１０４ｂが行う。これらのファイルの属性は、ログ収集部１０１でログを収集する段階、あるいは相関分析部１０３で関連するログを突き合わせる段階でファイル属性収集部１０２によって収集されるものである。
【００４０】
シナリオ候補重要度再評価機能１０４ｃは、ユーザ関連度、操作関連度によって、各シナリオ候補の重要度スコアを再評価し、シナリオ候補重要度記憶部１１４にその再評価で算出された重要度スコアを記憶する。具体的にはルールの条件部の数の多さ、条件部へのマッチの度合いの高さ、ユーザ関連度の高さ、操作関連度の高さ、操作の重要度スコアで重み付けしたユーザの関連度の高さ、操作の重要度スコアで重み付けした操作関連度の高さを考慮した後述の数１に示される式によって、シナリオ候補の重要度を補正する。
【００４１】
結果表示部１０５は、シナリオ候補記憶部１１３に記憶されたシナリオ候補の中で、シナリオ候補重要度記憶部１１４に記憶されたシナリオ候補重要度が一定の閾値より高いものを、表示手段１４上に画面表示させる。その際、重要度の高い順に並び替えて一覧表示し、特に重要度の高いものを色を変えるなどのようにして強調して画面表示させる。
【００４２】
図３は、図１で示した相関分析部１０３、シナリオ候補評価部１０４、および結果表示部１０５の動作を表すフローチャートである。まず相関分析部１０３が、ログ収集部１０１が受信してログ記憶部１１２に記憶したログを、相関ルール記憶部１１１に記憶されたユーザ特定用ルール１１１ａおよび複合操作検出用ルール１１１ｂと照合して、各ログ同士の関連づけを行い、これを「シナリオ候補」としてシナリオ候補記憶部１１３に記憶する（ステップＳ２０１）。
【００４３】
そして、相関分析部１０３は、シナリオ候補として記憶された各々の操作およびシナリオ候補に対して仮の重要度を算出し、これもシナリオ候補記憶部１１３に記憶する（ステップＳ２０２）。重要度の算出についての具体的な動作については後述する。
【００４４】
そして、シナリオ候補評価部１０４のユーザ関連度評価機能１０４ａが、相関分析部１０３によってシナリオ候補記憶部１１３に記憶されたシナリオ候補を参照して各操作を行った可能性のあるユーザを列挙して、各操作についてのユーザ関連度を算出し、可能性のある各ユーザについてシナリオ候補を展開して、その結果をシナリオ候補記憶部１１３に追加記憶する（ステップＳ２０３、後述の図６）。
【００４５】
シナリオ候補評価部１０４の操作関連度評価機能１０４ｂはこれを受けて、各操作の相互間の関連の深さを示す操作関連度を、予め与えられた評価基準に基づいて算出し、その結果をシナリオ候補記憶部１１３にさらに追加記憶する（ステップＳ２０４）。
【００４６】
そしてシナリオ候補評価部１０４のシナリオ候補重要度再評価機能１０４ｃは、ここまでで算出されたユーザ関連度、操作関連度を利用して、後述の式によって各シナリオ候補の重要度スコアを再評価し、シナリオ候補重要度記憶部１１４に算出された重要度スコアを記憶する（ステップＳ２０５）。
【００４７】
最後に、結果表示部１０５は、シナリオ候補記憶部１１３に記憶されたシナリオ候補を、シナリオ候補重要度記憶部１１４に記憶されたシナリオ候補重要度に応じて表示手段１４上に画面表示させる（ステップＳ２０６）。以上ステップＳ２０３〜２０５の動作についても、より具体的な動作内容について後述する。
【００４８】
（より具体的な動作例）
以下、図１〜３で説明したセキュリティイベント監視装置１０のより具体的な動作例を示す。図４は、図１で示した相関ルール記憶部１１１の記憶内容の一例について示す説明図である。相関ルール記憶部１１１には、ユーザ特定用ルール１１１ａと、複合操作検出用ルール１１１ｂとが記憶されている。
【００４９】
なお、本明細書では、本発明の概念を平易に示すために、ごく単純化されたログおよびルールを例として示している。実際のセキュリティイベント監視では、多数の監視対象装置から受信した膨大なログを突き合わせて、それらに対して複雑なルールを適用して特定の操作を行ったユーザを検出するものである。
【００５０】
このうち、ユーザ特定用ルール１１１ａは、ルールＰ１〜Ｐ３の３つのルールが図４の例では示されている。ルールＰ１には、１行目がそのルール名「Ｐ１」、２〜３行目がもし「特定のユーザｕが、特定のファイル（重要ファイル）ｘを参照した」ことを示すログを検出された場合にこれをｐ１（ｕ，ｘ）とするという内容が記述されている。
【００５１】
同様に、ルールＰ２には、「特定のユーザｕが、特定のファイル（重要ファイル）ｘをＵＳＢメモリに格納した」ことを示すログを検出された場合にこれをｐ２（ｕ，ｘ）とするという内容が記述されている。ルールＰ３には、「特定のユーザｕが、特定のファイル（重要ファイル）ｘをファイルｙにコピーした」ことを示すログを検出された場合にこれをｐ３（ｕ，ｘ，ｙ）とするという内容が記述されている。
【００５２】
複合操作検出用ルール１１１ｂは、ルールＣ１〜Ｃ２の２つのルールが図４の例では示されている。これらのルールＣ１およびＣ２を、ここではシナリオともいう。
【００５３】
ルールＣ１には、１行目がそのルール名「Ｃ１」、２〜３行目が「ユーザｕ１が特定のファイルｘを参照し（ユーザ特定用ルール１１１ａのＰ１）、ユーザｕ２が特定のファイルｙをＵＳＢメモリに格納した（ユーザ特定用ルール１１１ａのＰ２）」場合を示し、４〜５行目が「ユーザｕ１とｕ２が同一であり、ファイルｘとｙが類似している」場合を示し、２〜５行目の全てに該当する場合にこれをｃ１（ｕ１，ｘ）とするという内容が記述されている。
【００５４】
同様に、ルールＣ２には、１行目がそのルール名「Ｃ２」、２〜４行目が「ユーザｕ１が特定のファイルｘを参照し（ユーザ特定用ルール１１１ａのＰ１）、ユーザｕ２が特定のファイルｙをＵＳＢメモリに格納し（ユーザ特定用ルール１１１ａのＰ２）、ユーザｕ３が特定のファイルａをファイルｂにコピーした（ユーザ特定用ルール１１１ａのＰ３）」場合を示し、５〜８行目が「ユーザｕ１，ｕ２，ｕ３が全て同一であり、ファイルｘ，ｙ，ａ，ｂが全て類似している」場合を示し、２〜８行目の全てに該当する場合にこれをｃ２（ｕ１，ｘ）とするという内容が記述されている。
【００５５】
複合操作検出用ルール１１１ｂには、ルールＣ１に対して「重要ファイルの持ち出し」、ルールＣ２に対して「重要ファイルのコピーと持ち出し」などのように、各々の複合操作を特徴付けるシナリオ名があらかじめ付けられている。
【００５６】
ここで「類似している（similar）」ことの検出は、各操作が対象とするファイルのパス名、ファイルサイズ、ファイル名、電子署名、ハッシュ値などといった情報を比較して、これらの情報の中で一致するものがあれば「類似している」、そうでなければ「類似していない」と判定する。
【００５７】
図５は、図１で示したログ収集部１０１および相関分析部１０３の動作内容（図３のステップＳ２０１〜２０２）について示す説明図である。図５は、図４に示したユーザ特定用ルール１１１ａおよび複合操作検出用ルール１１１ｂが相関ルール記憶部１１１に予め記憶されている場合の動作例について示している。
【００５８】
ログ収集部１０１は、各々の監視対象装置からログＬ１〜Ｌ４を受信して、相関分析部１０３に渡してログ記憶部１１２に記憶させる。現実の状況では、１つの事象を検出するためには複数の監視対象装置から受信した膨大なログを突き合わせて相関分析を行う必要があるが、ここでも本発明の概念を平易に示すために、相関分析まで終えた単純化されたログを例として示している。
【００５９】
ログＬ１は「不特定のユーザがファイルＸをダウンロード」したことを示す。ここで、「？」とは「相関分析などによっても、その操作を行ったユーザを特定できなかった」ことを示している。同様に、ログＬ２は「不特定のユーザがファイルＹをＵＳＢメモリに格納した」したことを示す。ログＬ３は「特定のユーザＢがファイルＺをＵＳＢメモリに格納した」ことを示し、ログＬ４は「特定のユーザＢがファイルＸをファイルＺにコピーした」ことを示す。
【００６０】
相関分析部１０３は、相関ルール記憶部１１１に記憶されたユーザ特定用ルール１１１ａおよび複合操作検出用ルール１１１ｂとログＬ１〜Ｌ４とを照合して、各ログ同士の関連づけを行い、これを「シナリオ候補」としてシナリオ候補記憶部１１３に記憶する（図３のステップＳ２０１）。
【００６１】
図４〜５に記載された例でいえば、相関分析部１０３はルールＰ１によってログＬ１を検知し、これを操作ｏ１とする。そしてルールＰ２によってログＬ２を検知し、これを操作ｏ２とする。さらにルールＣ１によって操作ｏ１と操作ｏ２の組み合わせを一連の操作として検知し、これをシナリオ候補Ｔ１としてシナリオ候補記憶部１１３に記憶する。ここで、操作ｏ１を行ったユーザをログから特定できていないので、ルールＰ１の変数ｕは確定していない状態である。この場合は、特定できていないユーザを「？」として、以後の動作を継続する。
【００６２】
相関分析部１０３はこれと同様に、ルールＰ２によってログＬ３を検知し、これを操作ｏ３とする。そしてルールＰ３によってログＬ４を検知し、これを操作ｏ４とする。さらにさらにルールＣ１によって操作ｏ１と操作ｏ３の組み合わせを一連の操作として検知し、これをシナリオ候補Ｔ２としてシナリオ候補記憶部１１３に記憶する。そしてルールＣ２によって操作ｏ２，ｏ３，ｏ４の組み合わせを一連の操作として検知し、これをシナリオ候補Ｔ３としてシナリオ候補記憶部１１３に記憶する。
【００６３】
相関分析部１０３はさらに、操作ｏｉの重要度スコアｍｉ、シナリオ候補Ｔｊの重要度スコアＭＴｊを評価し、シナリオ候補記憶部１１３に記憶する（図３のステップＳ２０２）。操作ｏｉの重要度スコアｍｉは、各相関ルールや、相関ルールにマッチしたイベントに関連する脅威の重要度、情報資産の重要度、攻撃対象の脆弱性度合いに基づいて計算するようなルールが、あらかじめユーザによって相関ルール記憶部１１１上に定義され、それによって算出される。シナリオ候補Ｔｊの重要度スコアＭＴｊは、相関分析部１０３の処理によって算出され、後述の処理によって再評価される。
【００６４】
図５に示された例では、操作ｏ１〜４の各々の重要度スコアｍ１〜４が各々０．６，０．６，０．６，０．３と、あらかじめユーザによって相関ルール記憶部１１１上に定義されている。シナリオ候補Ｔ１〜３の重要度スコアＭＴ１〜３は、ここでは各々１．０，１．０，１．０として説明する。以上で説明した相関分析部１０３による処理は、前述の特許文献１にも記載された公知技術であり、本発明の前提となる技術である。
【００６５】
図６は、図１で示したユーザ関連度評価機能１０４ａ（図３のステップＳ２０３）の動作を表すフローチャートである。ユーザ関連度評価機能１０４ａは、相関分析部１０３によってシナリオ候補記憶部１１３に記憶されたシナリオ候補を参照して、各操作を行った可能性のあるユーザを複数の方式によって列挙する。
【００６６】
動作を開始したユーザ関連度評価機能１０４ａは、変数ｉの初期値を１として（ステップＳ３０１）、操作ｏｉについてまず相関分析部１０３によってその操作を行ったユーザを１人に特定できているかをユーザ関連度評価機能１０４ａは判断する（ステップＳ３０２）。特定できていれば（ステップＳ３０２がイエス）、操作ｏｉのユーザ関連度＝１００％として（ステップＳ３０８）ステップＳ３０９の処理に進む。
【００６７】
相関分析部１０３によって操作ｏｉを行ったユーザを１人に特定できていなければ（ステップＳ３０２がノー）、その相関分析によってその可能性のあるユーザを複数名にまで特定できているかをユーザ関連度評価機能１０４ａは判断する（ステップＳ３０３）。特定できていれば（ステップＳ３０３がイエス）、その可能性のあるユーザの人数をｎ人とした場合に、操作ｏｉのユーザ関連度＝（１００／ｎ）％として（ステップＳ３０７）ステップＳ３０９の処理に進む。
【００６８】
相関分析部１０３によって操作ｏｉを行ったユーザを全く特定できていなければ（ステップＳ３０３がノー）、ユーザ関連度評価機能１０４ａはログ収集部１０１によって収集された端末ログイン記録のログを参照して、その操作ｏｉが行われた時刻にその操作を行うことが可能な端末にログインしていたユーザが特定できているかを判断する（ステップＳ３０４）。特定できていれば（ステップＳ３０３がイエス）、その可能性のあるユーザの人数をｎ人とした場合に、操作ｏｉのユーザ関連度＝（１００／ｎ）％として（ステップＳ３０７）ステップＳ３０９の処理に進む。
【００６９】
端末ログイン記録のログを参照しても操作ｏｉを行ったユーザを全く特定できていなければ（ステップＳ３０４がノー）、ユーザ関連度評価機能１０４ａはディレクトリサーバ２４に操作ｏｉを行う権限を持つユーザが誰であるかを照会する（ステップＳ３０５）。
【００７０】
この照会によってその権限を持つユーザを特定できれば（ステップＳ３０５がイエス）、その可能性のあるユーザの人数をｎ人とした場合に、操作ｏｉのユーザ関連度＝（１００／ｎ）％として（ステップＳ３０７）ステップＳ３０９の処理に進む。特定できなければ（ステップＳ３０５がノー）関連するユーザ無しとして（ステップＳ３０６）ステップＳ３０９の処理に進む。
【００７１】
ここで、ステップＳ３０３〜３０５に示した処理は、ディレクトリサーバ２４に照会して得られた各ユーザの持つ実行権限や、端末ログイン記録などから得られるアリバイ情報（当該時刻にログインしていなかったユーザについての情報）などを加味して、その操作を行った可能性のあるユーザを総合的に判断して抽出するようにしてもよい。
【００７２】
そしてユーザ関連度評価機能１０４ａは、ｉがシナリオ候補記憶部１１３に記憶された操作ｏｉの総数Ｎに到達したか否かを判断し（ステップＳ３０９）、到達していれば処理を終了して操作関連度評価機能１０４ｂによる処理に進む。到達していなければｉの値を１つ増加して（ステップＳ３１０）ステップＳ３０２から処理を繰り返す。
【００７３】
図７は、図１で示したシナリオ候補評価部１０４のユーザ関連度評価機能１０４ａおよび操作関連度評価機能１０４ｂの動作内容（図３のステップＳ２０３〜２０４）について示す説明図である。図７は、図６のフローチャートで説明した動作を、図４に示したシナリオ候補記憶部１１３に記憶されたシナリオ候補Ｔ１〜３に対して行った結果を示している。
【００７４】
この例では、相関分析部１０３によって操作ｏｉを行ったユーザを１人にも複数人にも特定できていない（図６・ステップＳ３０２〜３０３がいずれもノー）が、操作ｏ１が行われた時刻帯にユーザＡ〜Ｃの３名が操作ｏ１を行うことが可能な端末にログインしていることが判明した（図６・ステップＳ３０４がイエス）。従って、ユーザＡ〜Ｃが操作ｏ１を行った確率であるユーザＡ〜Ｃの各々のユーザ関連度ｒ１１、ｒ１１、ｒ１１は各々、１００％をその可能性のあるユーザの人数３で割って、１００÷３＝３３％であるとの結果を得ることができる（図６・ステップＳ３０７）。
【００７５】
ユーザ関連度評価機能１０４ａは、以上の動作で複数列挙された各ユーザＡ〜Ｃをシナリオ候補Ｔ１〜３に対して適用して展開する（図３のステップＳ２０３）。たとえば操作ｏ１は、ユーザＡ〜Ｃの３名が候補として列挙されたので、ｐ１（Ａ，Ｘ）、ｐ１（Ｂ，Ｘ）、ｐ１（Ｃ，Ｘ）の３通りに展開され、その各々のユーザ関連度ｒ１１、ｒ１１、ｒ１１は各々３３％となる。
【００７６】
同様に、操作ｏ２は、ユーザＡおよびＢの２名が候補として列挙されたので、ｐ２（Ａ，Ｙ）、ｐ２（Ｂ，Ｙ）の２通りに展開され、その各々のユーザ関連度ｒ２２、ｒ２２は各々５０％となる。操作ｏ３およびｏ４は、前述のように操作者がユーザＢに特定されているので、各々ｐ２（Ｂ，Ｚ）とｐ３（Ｂ，Ｘ，Ｚ）となり、その各々のユーザ関連度ｒ２３およびｒ２４はいずれも１００％である。
【００７７】
シナリオ候補Ｔ１は、前述のように操作ｏ１とｏ２の組み合わせによって構成されるが、この操作ｏ１とｏ２のいずれの操作も可能なのはユーザＡおよびＢである（ユーザＣは操作ｏ１を行った可能性はあるが、操作ｏ２を行っていない）。従って、ユーザＡとＢの各々について、ｃ１（Ａ，Ｘ）とｃ１（Ｂ，Ｘ）の２通りに展開される。
【００７８】
これと同様に、シナリオ候補Ｔ２は、操作ｏ１とｏ３の組み合わせによって構成される。そしてシナリオ候補Ｔ３は、操作ｏ１，ｏ３，ｏ４の組み合わせによって構成される。操作ｏ３およびｏ４は操作者がユーザＢに特定されているので、シナリオ候補Ｔ２およびＴ３はいずれもユーザＢひとりだけに展開され、各々ｃ１（Ｂ，Ｘ）、ｃ２（Ｂ，Ｘ，Ｚ）の１通りに展開される。ユーザ関連度評価機能１０４ａは、以上の処理結果をシナリオ候補記憶部１１３に記憶する。
【００７９】
そして操作関連度評価機能１０４ｂは、以上で記憶された各シナリオ候補を構成する一連の操作について、各操作ｐと操作ｑの関連の深さである操作関連度ｌｐｑを算出する（図３のステップＳ２０４）。まず、ファイル属性収集部１０２が、各操作が対象とするファイルのパス名、ファイルサイズ、ファイル名、電子署名、ハッシュ値などといった情報を、ログ収集部１０１によってログが収集される時点もしくは相関分析部１０３によって前述のｓｉｍｉｌａｒ（）関数によるパターンマッチを行う時点よりも事前に、計算あるいは収集する。
【００８０】
操作関連度評価機能１０４ｂは、ファイル属性収集部１０２によって収集されたこれらの情報を用いて、予め与えられた評価基準に基づいて各々の操作関連度を算出する。ここでいう評価基準とは、たとえば、同じ署名や同じマシン上の同じパス名のファイルに対する操作であれば操作関連度＝１００％、同じハッシュ値を持つファイルに対する操作であれば操作関連度＝９０％、同じファイルサイズのファイルに対する操作ならば操作関連度６０％、同じファイル名のファイルに対する操作であれば操作関連度５５％、などのように予め与えられたものである。
【００８１】
図８は、図７で示した操作関連度評価機能１０４ｂによる操作関連度の評価の動作例について、より詳しく示した説明図である。図８は、図４および図７に示したシナリオ候補Ｔ３を構成する操作ｏ１，ｏ３，ｏ４の各々の間について、操作関連度を算出するという例を示している。
【００８２】
シナリオ候補Ｔ３において、操作ｏ１のファイルＸと操作ｏ３のファイルＺは類似している（ｓｉｍｉｌａｒ（Ｘ，Ｚ））が、それはそのファイルサイズが同じであったためであるとすると、操作ｏ１と操作ｏ３の間の操作関連度ｌ１３＝６０％となる。同様に、操作ｏ３のファイルＺと操作ｏ４のファイルＺはパス名が一致するので、操作ｏ３と操作ｏ４の間の操作関連度ｌ３４＝１００％となる。そして、操作ｏ１のファイルＸと操作ｏ４のファイルＸとの間ではファイル名が一致するので、操作ｏ１と操作ｏ４の間の操作関連度ｌ１４＝５５％となる。
【００８３】
さらに同様に、シナリオ候補Ｔ１では、ユーザＡのｃ１（Ａ，Ｘ）について操作ｏ１のファイルＸと操作ｏ２のファイルＹは同一のハッシュ値を持つので、ユーザＡの操作ｏ１と操作ｏ２の間の操作関連度ｌ１２＝９０％となる。ユーザＢのｃ１（Ｂ，Ｘ）についても同様に、ユーザＢの操作ｏ１と操作ｏ２の間の操作関連度ｌ１２＝９０％となる。
【００８４】
そしてシナリオ候補Ｔ２では、操作ｏ１のファイルＸと操作ｏ３のファイルＺはファイルサイズが同じであるので、操作ｏ１と操作ｏ３の間の操作関連度ｌ１３＝６０％となる。操作関連度評価機能１０４ｂは、以上の算出結果を、図７に示したようにシナリオ候補記憶部１１３に記憶する。
【００８５】
図９は、図１で示したシナリオ候補重要度再評価機能１０４ｃによるシナリオ重要度スコア再計算の動作内容（図３のステップＳ２０５）について、より詳しく示した説明図である。シナリオ候補重要度再評価機能１０４ｃは、シナリオ候補記憶部１１３に記憶されたｎ個の操作からなるユーザｕｉによるシナリオ候補Ｔｘ＝｛ｕｉ，ｏｋ１，ｏｋ２，…ｏｋｎ｝について、シナリオ重要度スコアＭＴｉを以下の数１に示す計算式で再計算し、これをＲＴｘｉとする。シナリオ候補重要度再評価機能１０４ｃは、この計算をシナリオ候補Ｔｘとこれに該当する全てのユーザｕｉに対して行う。ユーザｕ１，ｕ２，ｕ３は、各々ユーザＡ，Ｂ，Ｃに対応する。
【００８６】
ここで、ｎは各シナリオ候補Ｔｘに含まれる操作の総数、ｕｉ∈Ｕ（Ｕはユーザ全体の集合）、ｏｋ１，ｏｋ２，…ｏｋｎ∈Ｏ（Ｏは操作全体の集合）、ｍｊは図５に示した相関分析部１０３による処理で算出された操作ｏｊの重要度スコアで１≧ｍｊ≧０、ｒｉｊは図７に示したユーザ関連度評価機能１０４ａによる処理で算出されたユーザｕｉと操作ｏｊの関連度で１≧ｒｉｊ≧０、図７に示した操作関連度評価機能１０４ｂによる処理で算出されたｌｐｑは操作ｏｐとｏｑの関連度で１≧ｌｐｑ≧０である。
【００８７】
【数１】
【００８８】
この計算式により、ルールの条件部の数（√ｎＣ２の部分）、条件部のマッチの度合い（Σｌｐｑ／ｎＣ２の部分）、ユーザ関連度の総合的な高さ（１／ｎΣｒｉｋｊの部分）、ユーザが実際に行っている操作（即ちユーザ関連度が高い操作）の重要度スコア（ｒｉｋｊｍｋｊの部分）に応じて、各シナリオ候補の重要度が再評価される。また、重要度スコア（ｌｐｑｍｐｍｑの部分）に応じて操作関連度の重みが再評価される。シナリオ候補重要度再評価機能１０４ｃは、以上の計算式で算出された再評価後のシナリオ重要度スコアＲＴｉを、シナリオ候補重要度記憶部１１４に記憶する。
【００８９】
図４，７，８に示された例についてこの計算式を適用した場合、ユーザＡにおけるシナリオ候補Ｔ１の再評価後のシナリオ重要度スコアＲＴ１１は、ｎ＝２、ｋ１＝１、ｋ２＝２であるので、以下の数２のように、ＲＴ１１＝約８．１％と算出できる。ユーザＢについても同様に、以下の数３のように、シナリオ候補Ｔ１の再評価後のシナリオ重要度スコアＲＴ１２＝約８．１％となる。ユーザＣについては、このシナリオ候補Ｔ１に該当しないので、再評価後のシナリオ重要度スコアの算出は行わない。
【００９０】
【数２】
【００９１】
【数３】
【００９２】
また、ユーザＢにおけるシナリオ候補Ｔ２の再評価後のシナリオ重要度スコアＲＴ２は、ｎ＝２、ｋ１＝１、ｋ２＝３であるので、以下の数４のように、ＲＴ２２＝約８．６％と算出できる。ユーザＡおよびＣについては、このシナリオ候補Ｔ２に該当しないので、再評価後のシナリオ重要度スコアの算出は行わない。
【００９３】
【数４】
【００９４】
さらに、ユーザＢにおけるシナリオ候補Ｔ３の再評価後のシナリオ重要度スコアＲＴ３は、ｎ＝３、ｋ１＝１、ｋ２＝３、ｋ３＝４であるので、以下の数５のように、ＲＴ３２＝約１８．０％と算出できる。ユーザＡおよびＣについては、このシナリオ候補Ｔ３に該当しないので、再評価後のシナリオ重要度スコアの算出は行わない。
【００９５】
【数５】
【００９６】
以上で説明したように、図５で示された例では各シナリオ候補Ｔ１〜３の重要度スコアＭＴ１〜３に各々１．０，１．０，１．０という値が仮定されていたが、このシナリオ候補重要度再評価機能１０４ｃによる処理によって算出された再評価後のシナリオ重要度スコアＲＴ１〜３は、各ユーザの実際の動作が反映されたものとなる。特に、その操作を行ったユーザが誰であるかがログから特定できない状況に対しても、一連の操作が同一ユーザによって行われた可能性が高い場合に、算出されるシナリオ重要度スコアは高くなる。
【００９７】
図１０は、図１に示した結果表示部１０５が表示手段１４上に画面表示させる（図３のステップＳ２０６）重要度の高いシナリオ候補の一覧の例について示す説明図である。結果表示部１０５は、シナリオ候補記憶部１１３に記憶されたシナリオ候補の中で、シナリオ候補重要度記憶部１１４に記憶されたシナリオ候補重要度が一定の閾値より高いものを、表示手段１４上に画面表示させる（図３のステップＳ２０６）。
【００９８】
その際、結果表示部１０５は、各シナリオ候補に該当するシナリオ名（たとえば「重要ファイルの持ち出し」などのように、複合操作検出用ルール１１１ｂの各々に与えられた名称）を重要度の高い順に並び替えた一覧として表示手段１４上に表示させ、特に重要度の高いものを色を変えるなどのようにして強調して表示させる。また、当該シナリオ候補に示された操作を実際に行ったユーザ、もしくはそれに該当する可能性の高いユーザを、そのシナリオ候補に付随して表示させる。
【００９９】
図１０に示した例では、閾値「１０％」があらかじめ設定されており、ユーザＢにおけるシナリオ候補Ｔ３の再評価後のシナリオ重要度スコアＲＴ２３だけがその閾値を超える１８．０％の値が出たので、このシナリオ候補Ｔ３の元となったシナリオＣ２に与えられていたシナリオ名「重要ファイルのコピーと持ち出し」が発生したと推定される旨と、その発生時刻、監視対象機器名、対象ファイル名、そしてこれを実行したと推定されるユーザ名（ユーザＢ）、などといった情報が表示手段１４上に表示されている。
【０１００】
（実施形態の全体的な動作）
次に、上記の実施形態の全体的な動作について説明する。
本実施形態に係るセキュリティイベント監視方法は、同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、各監視対象装置からログ収集部が各ログを受信し、各ログに相関分析部が予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成し、各シナリオ候補を、相関ルールによって与えられた当該シナリオ候補の重要度と共に相関分析部が記憶手段に記憶させ、（図３・ステップＳ２０１〜２０２）、各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザをシナリオ候補評価部のユーザ関連度評価機能が列挙し、各操作に対する各ユーザの関連性であるユーザ関連度をユーザ関連度評価機能が算出し（図３・ステップＳ２０３）、各シナリオ候補の各操作の相互間の関連性である操作関連度をシナリオ候補評価部の操作関連度評価機能が算出し（図３・ステップＳ２０４）、ユーザ関連度および操作関連度によってシナリオ候補評価部のシナリオ候補重要度再評価機能がユーザごとに各シナリオ候補の重要度を再算出し（図３・ステップＳ２０５）、重要度の高いシナリオ候補を結果表示部が表示出力する（図３・ステップＳ２０６）。
【０１０１】
ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行するセキュリティイベント監視装置１０に実行させるようにしてもよい。本プログラムは、非一時的な記録媒体、例えば、ＤＶＤ、ＣＤ、フラッシュメモリ等に記録されてもよい。その場合、本プログラムは、記録媒体からコンピュータによって読み出され、実行される。
この動作により、本実施形態は以下のような効果を奏する。
【０１０２】
本実施形態では、ユーザ関連度、即ちユーザ候補からの絞込みの確度と、操作関連度、即ち不正に操作された情報資産の不正利用の確度とに基づいて、一連の操作が同一ユーザによって行われた可能性を評価して、これによって各ユーザごとに各シナリオ候補の重要度を算出している。従って、特定のユーザが重要ファイルに対してセキュリティ上の問題を引き起こす可能性の高い操作を繰り返している場合にも、その操作を的確に検出し、さらにそのユーザが誰であるかを高い確度で推定することができる。
【０１０３】
これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。
【０１０４】
上述した実施形態について、その新規な技術内容の要点をまとめると、以下のようになる。なお、上記実施形態の一部または全部は、新規な技術として以下のようにまとめられるが、本発明は必ずしもこれに限定されるものではない。
【０１０５】
（付記１） 同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置であって、
前記各ログに対する相関分析を行う際に適用される相関ルールを予め記憶する記憶手段と、
前記各監視対象装置から各ログを受信するログ収集部と、
前記各ログに前記相関ルールを適用し、これによって各々の当該ログを関連づけたシナリオ候補を生成して、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に前記記憶手段に記憶させる相関分析部と、
前記各シナリオ候補に対する重要度を再算出するシナリオ候補評価部と、
再算出された前記重要度の高い前記シナリオ候補を表示出力する結果表示部とを有すると共に、
前記シナリオ候補評価部が、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙し、前記各操作に対する前記各ユーザの関連性であるユーザ関連度を算出するユーザ関連度評価機能と、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を算出する操作関連度評価機能と、
前記ユーザ関連度および前記操作関連度によって前記ユーザごとに前記各シナリオ候補の重要度を再算出するシナリオ候補重要度再評価機能と
を備えることを特徴とするセキュリティイベント監視装置。
【０１０６】
（付記２） 前記ユーザ関連度評価機能が、前記各シナリオ候補に含まれる操作が行われた時間に当該監視対象装置に対して当該操作が可能なユーザを列挙することを特徴とする、付記１に記載のセキュリティイベント監視装置。
【０１０７】
（付記３） 前記ユーザ関連度評価機能が、前記各シナリオ候補に含まれる操作を行う権限を持つユーザを、外部に接続されたディレクトリサービス装置に照会して列挙することを特徴とする、付記１に記載のセキュリティイベント監視装置。
【０１０８】
（付記４） 前記操作関連度評価機能が、予め与えられた評価基準に基づいて、前記各操作の対象となるファイルの類似性から前記操作関連度を算出することを特徴とする、付記１に記載のセキュリティイベント監視装置。
【０１０９】
（付記５） 前記操作関連度評価機能が、前記ファイルの類似性の評価基準として、前記各操作の対象となるファイルの名称、サイズ、パス名、ハッシュ値、電子署名のうち少なくとも１つ以上を使用することを特徴とする、付記４に記載のセキュリティイベント監視装置。
【０１１０】
（付記６）前記シナリオ候補重要度再評価機能が、前記シナリオ候補に該当する各ユーザの前記ユーザ関連度と前記各シナリオ候補に含まれる各操作の重要度の積の合計値と、前記各シナリオ候補に含まれる各操作間の操作関連度と当該操作の重要度と前記各シナリオ候補の重要度の積の合計値と、を積算して前記各ユーザの前記各シナリオ候補の重要度を再算出することを特徴とする、付記１に記載のセキュリティイベント監視装置。
【０１１１】
（付記７） 前記結果表示部が、前記重要度の高い前記シナリオ候補と共に、当該シナリオ候補に対して前記ユーザ関連度の高いユーザを表示することを特徴とする、付記１に記載のセキュリティイベント監視装置。
【０１１２】
（付記８） 同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、
前記各監視対象装置からログ収集部が各ログを受信し、
前記各ログに相関分析部が予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成し、
前記各シナリオ候補を、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に前記相関分析部が前記記憶手段に記憶させ、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザをシナリオ候補評価部のユーザ関連度評価機能が列挙し、
前記各操作に対する前記各ユーザの関連性であるユーザ関連度を前記ユーザ関連度評価機能が算出し、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を前記シナリオ候補評価部の操作関連度評価機能が算出し、
前記ユーザ関連度および前記操作関連度によって前記シナリオ候補評価部のシナリオ候補重要度再評価機能が前記ユーザごとに前記各シナリオ候補の重要度を再算出し、
前記重要度の高い前記シナリオ候補を結果表示部が表示出力する
ことを特徴とするセキュリティイベント監視方法。
【０１１３】
（付記９） 同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、
前記セキュリティイベント監視装置が備えるコンピュータに、
前記各監視対象装置から各ログを受信する手順、
前記各ログに予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成する手順、
前記各シナリオ候補を、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に記憶する手順、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙する手順、
前記各操作に対する前記各ユーザの関連性であるユーザ関連度を算出する手順、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を算出する手順、
前記ユーザ関連度および前記操作関連度によって前記ユーザごとに前記各シナリオ候補の重要度を再算出する手順、
および前記重要度の高い前記シナリオ候補を表示出力する手順
を実行させることを特徴とするセキュリティイベント監視プログラム。
【産業上の利用可能性】
【０１１４】
本発明は、コンピュータネットワークに対して適用することができる。特に、機密情報や個人情報を多く取り扱っているネットワークにおいて、それらの情報が漏洩するリスクを低減させるという用途に適する。
【符号の説明】
【０１１５】
１ コンピュータネットワーク
１０ セキュリティイベント監視装置
１１ 主演算制御手段
１２ 記憶手段
１３ 通信手段
１４ 表示手段
２１ セキュリティ装置
２２ ネットワーク装置
２３ コンピュータ装置
２４ ディレクトリサーバ
２５ ローカルネットワーク
３０ インターネット
１０１ ログ収集部
１０２ ファイル属性収集部
１０３ 相関分析部
１０４ シナリオ候補評価部
１０４ａ ユーザ関連度評価機能
１０４ｂ 操作関連度評価機能
１０４ｃ シナリオ候補重要度再評価機能
１０５ 結果表示部
１１１ 相関ルール記憶部
１１１ａ ユーザ特定用ルール
１１１ｂ 複合操作検出用ルール
１１２ ログ記憶部
１１３ シナリオ候補記憶部
１１４ シナリオ候補重要度記憶部
【特許請求の範囲】
【請求項１】
同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置であって、
前記各ログに対する相関分析を行う際に適用される相関ルールを予め記憶する記憶手段と、
前記各監視対象装置から各ログを受信するログ収集部と、
前記各ログに前記相関ルールを適用し、これによって各々の当該ログを関連づけたシナリオ候補を生成して、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に前記記憶手段に記憶させる相関分析部と、
前記各シナリオ候補に対する重要度を再算出するシナリオ候補評価部と、
再算出された前記重要度の高い前記シナリオ候補を表示出力する結果表示部とを有すると共に、
前記シナリオ候補評価部が、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙し、前記各操作に対する前記各ユーザの関連性であるユーザ関連度を算出するユーザ関連度評価機能と、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を算出する操作関連度評価機能と、
前記ユーザ関連度および前記操作関連度によって前記ユーザごとに前記各シナリオ候補の重要度を再算出するシナリオ候補重要度再評価機能と
を備えることを特徴とするセキュリティイベント監視装置。
【請求項２】
前記ユーザ関連度評価機能が、前記各シナリオ候補に含まれる操作が行われた時間に当該監視対象装置に対して当該操作が可能なユーザを列挙することを特徴とする、請求項１に記載のセキュリティイベント監視装置。
【請求項３】
前記ユーザ関連度評価機能が、前記各シナリオ候補に含まれる操作を行う権限を持つユーザを、外部に接続されたディレクトリサービス装置に照会して列挙することを特徴とする、請求項１に記載のセキュリティイベント監視装置。
【請求項４】
前記操作関連度評価機能が、予め与えられた評価基準に基づいて、前記各操作の対象となるファイルの類似性から前記操作関連度を算出することを特徴とする、請求項１に記載のセキュリティイベント監視装置。
【請求項５】
前記操作関連度評価機能が、前記ファイルの類似性の評価基準として、前記各操作の対象となるファイルの名称、サイズ、パス名、ハッシュ値、電子署名のうち少なくとも１つ以上を使用することを特徴とする、請求項４に記載のセキュリティイベント監視装置。
【請求項６】
前記シナリオ候補重要度再評価機能が、前記シナリオ候補に該当する各ユーザの前記ユーザ関連度と前記各シナリオ候補に含まれる各操作の重要度の積の合計値と、前記各シナリオ候補に含まれる各操作間の操作関連度と当該操作の重要度と前記各シナリオ候補の重要度の積の合計値と、を積算して前記各ユーザの前記各シナリオ候補の重要度を再算出することを特徴とする、請求項１に記載のセキュリティイベント監視装置。
【請求項７】
前記結果表示部が、前記重要度の高い前記シナリオ候補と共に、当該シナリオ候補に対して前記ユーザ関連度の高いユーザを表示することを特徴とする、請求項１に記載のセキュリティイベント監視装置。
【請求項８】
同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、
前記各監視対象装置からログ収集部が各ログを受信し、
前記各ログに相関分析部が予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成し、
前記各シナリオ候補を、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に前記相関分析部が前記記憶手段に記憶させ、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザをシナリオ候補評価部のユーザ関連度評価機能が列挙し、
前記各操作に対する前記各ユーザの関連性であるユーザ関連度を前記ユーザ関連度評価機能が算出し、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を前記シナリオ候補評価部の操作関連度評価機能が算出し、
前記ユーザ関連度および前記操作関連度によって前記シナリオ候補評価部のシナリオ候補重要度再評価機能が前記ユーザごとに前記各シナリオ候補の重要度を再算出し、
前記重要度の高い前記シナリオ候補を結果表示部が表示出力する
ことを特徴とするセキュリティイベント監視方法。
【請求項９】
同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、
前記セキュリティイベント監視装置が備えるコンピュータに、
前記各監視対象装置から各ログを受信する手順、
前記各ログに予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成する手順、
前記各シナリオ候補を、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に記憶する手順、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙する手順、
前記各操作に対する前記各ユーザの関連性であるユーザ関連度を算出する手順、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を算出する手順、
前記ユーザ関連度および前記操作関連度によって前記ユーザごとに前記各シナリオ候補の重要度を再算出する手順、
および前記重要度の高い前記シナリオ候補を表示出力する手順
を実行させることを特徴とするセキュリティイベント監視プログラム。
【請求項１】
同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置であって、
前記各ログに対する相関分析を行う際に適用される相関ルールを予め記憶する記憶手段と、
前記各監視対象装置から各ログを受信するログ収集部と、
前記各ログに前記相関ルールを適用し、これによって各々の当該ログを関連づけたシナリオ候補を生成して、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に前記記憶手段に記憶させる相関分析部と、
前記各シナリオ候補に対する重要度を再算出するシナリオ候補評価部と、
再算出された前記重要度の高い前記シナリオ候補を表示出力する結果表示部とを有すると共に、
前記シナリオ候補評価部が、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙し、前記各操作に対する前記各ユーザの関連性であるユーザ関連度を算出するユーザ関連度評価機能と、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を算出する操作関連度評価機能と、
前記ユーザ関連度および前記操作関連度によって前記ユーザごとに前記各シナリオ候補の重要度を再算出するシナリオ候補重要度再評価機能と
を備えることを特徴とするセキュリティイベント監視装置。
【請求項２】
前記ユーザ関連度評価機能が、前記各シナリオ候補に含まれる操作が行われた時間に当該監視対象装置に対して当該操作が可能なユーザを列挙することを特徴とする、請求項１に記載のセキュリティイベント監視装置。
【請求項３】
前記ユーザ関連度評価機能が、前記各シナリオ候補に含まれる操作を行う権限を持つユーザを、外部に接続されたディレクトリサービス装置に照会して列挙することを特徴とする、請求項１に記載のセキュリティイベント監視装置。
【請求項４】
前記操作関連度評価機能が、予め与えられた評価基準に基づいて、前記各操作の対象となるファイルの類似性から前記操作関連度を算出することを特徴とする、請求項１に記載のセキュリティイベント監視装置。
【請求項５】
前記操作関連度評価機能が、前記ファイルの類似性の評価基準として、前記各操作の対象となるファイルの名称、サイズ、パス名、ハッシュ値、電子署名のうち少なくとも１つ以上を使用することを特徴とする、請求項４に記載のセキュリティイベント監視装置。
【請求項６】
前記シナリオ候補重要度再評価機能が、前記シナリオ候補に該当する各ユーザの前記ユーザ関連度と前記各シナリオ候補に含まれる各操作の重要度の積の合計値と、前記各シナリオ候補に含まれる各操作間の操作関連度と当該操作の重要度と前記各シナリオ候補の重要度の積の合計値と、を積算して前記各ユーザの前記各シナリオ候補の重要度を再算出することを特徴とする、請求項１に記載のセキュリティイベント監視装置。
【請求項７】
前記結果表示部が、前記重要度の高い前記シナリオ候補と共に、当該シナリオ候補に対して前記ユーザ関連度の高いユーザを表示することを特徴とする、請求項１に記載のセキュリティイベント監視装置。
【請求項８】
同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、
前記各監視対象装置からログ収集部が各ログを受信し、
前記各ログに相関分析部が予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成し、
前記各シナリオ候補を、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に前記相関分析部が前記記憶手段に記憶させ、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザをシナリオ候補評価部のユーザ関連度評価機能が列挙し、
前記各操作に対する前記各ユーザの関連性であるユーザ関連度を前記ユーザ関連度評価機能が算出し、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を前記シナリオ候補評価部の操作関連度評価機能が算出し、
前記ユーザ関連度および前記操作関連度によって前記シナリオ候補評価部のシナリオ候補重要度再評価機能が前記ユーザごとに前記各シナリオ候補の重要度を再算出し、
前記重要度の高い前記シナリオ候補を結果表示部が表示出力する
ことを特徴とするセキュリティイベント監視方法。
【請求項９】
同一のローカルネットワーク上で相互に接続されている複数の監視対象装置に対して行われた操作の記録であるログから特定の操作を検出するセキュリティイベント監視装置にあって、
前記セキュリティイベント監視装置が備えるコンピュータに、
前記各監視対象装置から各ログを受信する手順、
前記各ログに予め与えられた相関ルールを適用して各々の当該ログを関連づけたシナリオ候補を生成する手順、
前記各シナリオ候補を、前記相関ルールによって与えられた当該シナリオ候補の重要度と共に記憶する手順、
前記各シナリオ候補に含まれる各々の操作を行った可能性のあるユーザを列挙する手順、
前記各操作に対する前記各ユーザの関連性であるユーザ関連度を算出する手順、
前記各シナリオ候補の前記各操作の相互間の関連性である操作関連度を算出する手順、
前記ユーザ関連度および前記操作関連度によって前記ユーザごとに前記各シナリオ候補の重要度を再算出する手順、
および前記重要度の高い前記シナリオ候補を表示出力する手順
を実行させることを特徴とするセキュリティイベント監視プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１３−６１７９４（Ｐ２０１３−６１７９４Ａ）
【公開日】平成２５年４月４日（２０１３．４．４）
【国際特許分類】
【出願番号】特願２０１１−１９９７７６（Ｐ２０１１−１９９７７６）
【出願日】平成２３年９月１３日（２０１１．９．１３）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２５年４月４日（２０１３．４．４）
【国際特許分類】
【出願日】平成２３年９月１３日（２０１１．９．１３）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]