ログ分析装置、ログ分析プログラム、および記録媒体
【課題】ログに記録されたイベントを所定の単位時間毎にまとめた統計データを効率的に生成する。
【解決手段】ログ保存部１０２は、ネットワーク機器から出力されたログに記録された特定のパラメータに係るイベントの第１の単位時間当たりの頻度を示す第１の統計データを生成し、記憶部１０３に保存する。ログ分析部１０４は記憶部１０３から第１の統計データを読み出し、第１の単位時間よりも長い第２の単位時間内に検出されたイベントに係る複数の第１の統計データをまとめて、特定のパラメータに係るイベントの第２の単位時間当たりの頻度を示す第２の統計データを生成する。ログ分析部１０４は、複数の第１の統計データおよび複数の第２の統計データの各々で構成される各時間軸上の分布を周波数軸上の分布へ変換し、各周波数軸上の分布を用いて、ネットワークの異常度に関する値を算出する。
【解決手段】ログ保存部１０２は、ネットワーク機器から出力されたログに記録された特定のパラメータに係るイベントの第１の単位時間当たりの頻度を示す第１の統計データを生成し、記憶部１０３に保存する。ログ分析部１０４は記憶部１０３から第１の統計データを読み出し、第１の単位時間よりも長い第２の単位時間内に検出されたイベントに係る複数の第１の統計データをまとめて、特定のパラメータに係るイベントの第２の単位時間当たりの頻度を示す第２の統計データを生成する。ログ分析部１０４は、複数の第１の統計データおよび複数の第２の統計データの各々で構成される各時間軸上の分布を周波数軸上の分布へ変換し、各周波数軸上の分布を用いて、ネットワークの異常度に関する値を算出する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、IDS（Intrusion Detection System：侵入検知システム）、Router、Firewall、およびトラヒックモニタ等のネットワーク機器から出力されるログの分析を行うログ分析装置に関する。また、本発明は、ログの分析に係る処理をコンピュータに実行させるためのログ分析プログラムや、そのログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体にも関する。
【背景技術】
【０００２】
近年、サイバーテロ攻撃に対する脅威が高まっており、各種のネットワーク機器から出力されるログを解析することによって、ネットワークで発生する異常を検知する各種の手法が提案されている。ネットワーク上のトラヒックの増減は、ユーザがＰＣ（Personal Computer）を利用する時間帯や曜日帯に依存しており、攻撃の傾向もおおよそＰＣの利用頻度と類似している。しかし、近年の攻撃の多くが、潜伏期間や発症・伝播期間を有するウィルスやワームによるものであり、ＰＣの利用頻度以外の周期性で発現するものもある。これらの攻撃の周期性を考慮して、分析対象への攻撃傾向や新たな攻撃の兆候を検出する手法が提案されている（例えば、特許文献１および非特許文献１参照）。
【０００３】
特許文献１には、ログに記録されたイベントの頻度に関する統計量の周期性に注目して異常を検知する周波数解析の手法が記載されている。周期性の分析の際には、フーリエ変換を用いて時間軸上での統計量を周波数軸上での成分量（パワー）に変換することによって生成した周波数分布（周波数スペクトル）が使用される。異常の検知には、例えば以下のような手法が用いられている。
・特定の期間のデータ（あるいは、注目ネットワークに関するデータ）から得られた周波数分布内の成分量と、過去の所定期間のデータ（あるいは、他のネットワークに関するデータ）から得られた周波数分布内の成分量との比率を用いて異常度を評価する手法。
・ログの曖昧度を示す情報エントロピーを用いて異常度を評価する手法。
【０００４】
非特許文献１にも、特許文献１に記載された手法と同様の手法が記載されている。
【特許文献１】特開２００５−１５１２８９号公報
【非特許文献１】仲小路博史、寺田真敏，“周波数分析に基づくインシデント傾向検知手法に関する検討”，情報処理学会，研究報告， 2005-CSEC-30，2005年7月，pp.83-88
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来のログの周波数解析では、ログに記録されたイベントを所定の単位時間（例えば、1分や30分、0.5日等）毎にまとめた統計データ（単位時間内のイベントの頻度を示すデータ）を用いてフーリエ変換が行われていた。統計データを複数生成する場合には、ログに記録されたイベントを、指定された単位時間でまとめるという処理を複数回行う必要があった。生成する統計データの数や種類が多くなればなるほど、統計データの生成に係る処理負荷は大きくなる。例えば、単位時間が1分、30分、0.5日の統計データをそれぞれ生成する場合には、ログに記録されたイベントを1分単位でまとめ、同一のイベントを30分単位でまとめ、さらに同一のイベントを0.5日単位でまとめるという処理を順次行う必要があり、非効率的な処理を繰り返す必要があった。本発明は、この点に鑑み、ログに記録されたイベントを所定の単位時間毎にまとめた統計データを効率的に生成することを目的とする。
【０００６】
また、周波数分布内の成分量に注目した従来のログの周波数解析では、ネットワークの伸縮工事に伴う全体的な攻撃頻度の変化によって、攻撃の誤検知を生じ易い傾向があるという問題があった。さらに、情報エントロピーに注目した従来の周波数解析の手法では、異常の発生を検知することはできるものの、異常の発生した周波数帯を特定することができないという問題があった。本発明は、この点に鑑み、従来の周波数解析で用いられていた手法以外の手法を提供することも目的とする。
【０００７】
また、イベントには雑音成分が多く、未知の攻撃による痕跡がログ中のどのパラメータに記録されるのかが不明であるため、従来のログの周波数解析では全てのパラメータのイベントを対象として処理を行わなければならなかった。例えば、パケットの送信先の機器のIPアドレスを示すDestination Portを解析対象のパラメータとして周波数解析を行う場合、TCP（Transmission Control Protocol）とUDP（User Datagram Protocol）のDestination Portを合わせた12万種類以上のイベントの解析を実行しなければならなかった。したがって、処理の負荷を低減するため、処理対象とするイベントを絞って周波数解析を行うことが望ましい。本発明は、この点に鑑み、注目すべきイベントを選定する手法を提供することも目的とする。
【課題を解決するための手段】
【０００８】
本発明は、上記の課題を解決するためになされたもので、ネットワーク機器から出力されたログに記録された特定のパラメータに係るイベントの第１の単位時間当たりの頻度を示す第１の統計データを生成する第１の統計データ生成手段と、前記第１の単位時間よりも長い第２の単位時間内に検出されたイベントに係る複数の前記第１の統計データをまとめて、前記特定のパラメータに係るイベントの前記第２の単位時間当たりの頻度を示す第２の統計データを生成する第２の統計データ生成手段と、複数の前記第１の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第１の周波数分布を生成する第１の周波数分布生成手段と、複数の前記第２の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第２の周波数分布を生成する第２の周波数分布生成手段と、前記第１の周波数分布および前記第２の周波数分布に基づいて、ネットワークの異常度に関する値を算出する算出手段とを備えたことを特徴とするログ分析装置である。
【０００９】
また、本発明のログ分析装置において、前記第２の統計データ生成手段は、前記第２の単位時間を前記第１の単位時間で除した値が整数である場合に、複数の前記第１の統計データをまとめて前記第２の統計データを生成することを特徴とする。
【００１０】
また、本発明のログ分析装置において、前記算出手段は、前記第１の周波数分布における特定の周波数帯内のスペクトル値が全周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする。
【００１１】
また、本発明のログ分析装置において、前記算出手段は、特定のネットワークに係る前記第１の周波数分布における特定の周波数帯内のスペクトル値が、前記特定のネットワークを含む複数のネットワークに係る前記第１の周波数分布における前記特定の周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする。
【００１２】
また、本発明のログ分析装置は、前記ログに記録された特定のパラメータに係るイベントの中から、特定の地域に係るイベントを抽出するイベント抽出手段をさらに備え、前記第１の統計データ生成手段は、前記イベント抽出手段によって抽出された、前記特定の地域に係る前記イベントを対象とした前記第１の統計データを複数生成することを特徴とする。
【００１３】
また、本発明のログ分析装置において、前記算出手段によって算出された前記ネットワークの異常度に関する値がネットワークの異常を示している場合に、前記第１の統計データ生成手段はさらに、イベントの頻度を基準にして選択したパラメータに係るイベントを対象とした前記第１の統計データを複数生成し、前記第２の統計データ生成手段はさらに、新たに生成された複数の前記第１の統計データをまとめて前記第２の統計データを複数生成し、前記第１の周波数分布生成手段はさらに、新たに生成された複数の前記第１の統計データから前記第１の周波数分布を生成し、前記第２の周波数分布生成手段はさらに、新たに生成された複数の前記第２の統計データから前記第２の周波数分布を生成し、前記算出手段は、新たに生成された前記第１の周波数分布および前記第２の周波数分布に基づいて、前記ネットワークの異常度に関する値を算出することを特徴とする。
【００１４】
また、本発明は、ネットワーク機器から出力されたログに記録された特定のパラメータに係るイベントの第１の単位時間当たりの頻度を示す第１の統計データを生成する第１のステップと、前記第１の単位時間よりも長い第２の単位時間内に検出されたイベントに係る複数の前記第１の統計データをまとめて、前記特定のパラメータに係るイベントの前記第２の単位時間当たりの頻度を示す第２の統計データを生成する第２のステップと、複数の前記第１の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第１の周波数分布を生成する第３のステップと、複数の前記第２の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第２の周波数分布を生成する第４のステップと、前記第１の周波数分布および前記第２の周波数分布に基づいて、ネットワークの異常度に関する値を算出する第５のステップとをコンピュータに実行させることを特徴とするログ分析プログラムである。
【００１５】
また、本発明のログ分析プログラムにおいて、前記第２のステップでは、前記第２の単位時間を前記第１の単位時間で除した値が整数である場合に、複数の前記第１の統計データをまとめて前記第２の統計データを生成することを特徴とする。
【００１６】
また、本発明のログ分析プログラムにおいて、前記第５のステップでは、前記第１の周波数分布における特定の周波数帯内のスペクトル値が全周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする。
【００１７】
また、本発明のログ分析プログラムにおいて、前記第５のステップでは、特定のネットワークに係る前記第１の周波数分布における特定の周波数帯内のスペクトル値が、前記特定のネットワークを含む複数のネットワークに係る前記第１の周波数分布における前記特定の周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする。
【００１８】
また、本発明のログ分析プログラムは、前記ログに記録された特定のパラメータに係るイベントの中から、特定の地域に係るイベントを抽出する第６のステップをさらに備え、前記第１のステップでは、前記第６のステップで抽出された、前記特定の地域に係る前記イベントを対象とした前記第１の統計データを複数生成することを特徴とする。
【００１９】
また、本発明のログ分析プログラムにおいて、前記第５のステップで算出された前記ネットワークの異常度に関する値がネットワークの異常を示している場合に、イベントの頻度を基準にして選択したパラメータに係るイベントを対象とした前記第１の統計データを複数生成する第７のステップと、新たに生成された複数の前記第１の統計データをまとめて前記第２の統計データを複数生成する第８のステップと、新たに生成された複数の前記第１の統計データから前記第１の周波数分布を生成する第９のステップと、新たに生成された複数の前記第２の統計データから前記第２の周波数分布を生成する第１０のステップと、新たに生成された前記第１の周波数分布および前記第２の周波数分布に基づいて、前記ネットワークの異常度に関する値を算出する第１１のステップとをさらに有することを特徴とする。
【００２０】
また、本発明は、上記のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体である。
【発明の効果】
【００２１】
本発明によれば、第１の統計データをまとめて第２の統計データを生成するので、統計データの生成に係る処理負荷を低減し、統計データを効率的に生成することができるという効果が得られる。
【００２２】
また、本発明は、特定の周波数帯内のスペクトル値の相対的な割合に基づいてログの分析を行う手法を提供している。これによって、ネットワークの全体的な攻撃頻度の変化による攻撃の誤検知を低減することができる。さらに、周波数分布における特定の周波数帯内のスペクトル値が全周波数帯内のスペクトル値の総和に占める割合に基づいてログの分析を行うことによって、異常の発生した周波数帯を特定することができる。さらに、特定のネットワークに係る周波数分布における特定の周波数帯内のスペクトル値が、特定のネットワークを含む複数のネットワークに係る周波数分布における特定の周波数帯内のスペクトル値の総和に占める割合に基づいてログの分析を行うことによって、異常の発生したネットワークを特定することができる。
【００２３】
また、本発明は、注目すべきイベントを選定する手法を提供している。これによって、周波数解析に係る処理の負荷を低減することができる。
【発明を実施するための最良の形態】
【００２４】
以下、図面を参照し、本発明の実施形態を説明する。図１は、本発明の一実施形態によるログ分析装置を備えたシステムの構成を示している。図において、ログ分析装置１０は、分析対象のネットワーク２０〜２２から出力されるログを収集し、その分析を行う。ネットワーク２０〜２２はRouter、Firewall、およびIDS等のネットワーク機器を備えており、各ネットワーク機器が生成したログを、syslogd等の通信方式により、ログ分析装置１０へ出力する。セキュリティオペレーションセンター３０には、ログ分析装置１０と通信回線で接続された操作端末３０１が設けられている。
【００２５】
本実施形態によるログ分析装置１０は、分析対象のネットワーク２０〜２２から出力されるログを収集・分析し、分析結果を操作端末３０１へ出力する。運用者は、操作端末３０１の表示部に表示される分析結果に基づいて、ネットワーク２０〜２２の異常度を判断することができる。
【００２６】
本発明の実施形態は、図１に示される形態に限定されるものではなく、これ以外の形態に本発明を適用しても構わない。例えば、ログ分析装置１０が、表示部を有する他の機器へ分析結果を出力してもよいし、ログ分析装置１０に表示部が備えられている場合には、ログ分析装置１０が分析結果を表示してもよい。また、ログ分析装置１０は、セキュリティオペレーションセンター３０と異なる場所に設置された装置であってもよいし、操作端末３０１を具備するセキュリティオペレーションセンター３０内の機器がログ分析装置１０の機能を有していてもよい。
【００２７】
ログ分析装置１０において、ログ収集部１０１は、ネットワーク２０〜２２のネットワーク機器から出力されたログを定期的に収集し、ログ保存部１０２へ出力する。ログ保存部１０２は、ログに記録された各パラメータに係るイベントの単位時間当たりの頻度を示す統計データ（詳細は後述する）を生成し、記憶部１０３に保存する。ログ保存部１０２がログをそのまま記憶部１０３に保存してもよい。記憶部１０３はＳＲＡＭ（Static Random Access Memory）、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）、フラッシュメモリ、ＨＤＤ（Hard Disk Drive）等の記録媒体を備えており、ログや、統計データ、ログの分析結果等を記憶する。ログ分析部１０４は、記憶部１０３から統計データを読み出し、その分析を行う。インタフェース部１０５は、ログ分析装置１０と操作端末３０１の間で行われる通信を制御する。
【００２８】
次に、本実施形態で分析対象となる主なパラメータについて説明する。以下のパラメータが、分析対象となるパラメータである。
（ａ）パケット数
（ｂ）トラヒック量
（ｃ）プロトコル量
（ｄ）Port量
（ｅ）Attack Signature
（ｆ）Source／Destination Port
（ｇ）Source／Destination IP
（ｈ）パケットサイズ
（ｉ）フラグ
（ｊ）Source／Destination Country
【００２９】
パケット数またはトラヒック量を分析することにより、ネットワークに対する攻撃が発生しているのかどうかを検出することができる。プロトコル量は、TCP／UDP／ICMP（Internet Control Message Protocol）等のプロトコルに係るパケット数（あるいはトラヒック量）を示している。プロトコル量を分析することにより、色々な攻撃を検出することができる。例えば、ICMPに係るPingやTraceroute等のパケットは攻撃前の下調べなので、これらを検出することにより、本格的な攻撃に対して事前に注意を払うことができる。Port量は、TCP／UDP等のプロトコルに係るパケットの送信元／送信先の機器のポート番号別のパケット数（あるいはトラヒック量）を示している。Port量を分析することにより、特定のPortへのアクセスや侵入等を検出することができる。
【００３０】
Attack Signatureは攻撃パターンを示している。シグネチャマッチング型のIDSは、ネットワーク上を流れるパケットと、予め用意されたAttack Signatureとを単純に比較して、両者がマッチングした場合にログにイベントを記録する。Attack Signatureには、HTTP port probe、DNS port probe等のイベントがある。このAttack Signatureを分析することにより、分析対象のネットワークに対して行われている攻撃の種類を特定することができる。
【００３１】
Source／Destination Portは送信元／送信先の機器のポート番号を示しており、Source／Destination IPは送信元／送信先の機器のＩＰアドレスを示している。Source／Destination Portを分析することにより、攻撃元／攻撃対象のポート番号を特定することができる。また、Source／Destination IPを分析することにより、攻撃元／攻撃対象のIPアドレスを特定することができる。
【００３２】
パケットサイズは、例えば64，128，256，512，768，1024（Byte）で区切られたサイズ毎にログに記録されている。パケットサイズを分析することにより、パケットサイズに特徴のある攻撃を検出することができる。また、パケットに記録されるフラグには、TCP-SYNやICMP-Unreachable等があり、このようなフラグを分析することにより、ウィルス等による攻撃を検出することができる。Source／Destination Countryは送信元／送信先の機器の属する国を示している。Source／Destination Countryを分析することにより、攻撃元／攻撃先の国を特定することができる。
【００３３】
次に、本実施形態によるログ分析装置１０の動作を説明する。図２はログ分析装置１０の動作の手順を示している。ログ収集部１０１は、ネットワーク２０〜２２の各機器から出力されるログを収集し、ログ保存部１０２へ出力する（ステップＳ１００）。ログ保存部１０２は、ログ収集部１０１から出力されたログの内容に基づいて統計データを生成し、ログの情報として統計データを記憶部１０３に保存する（ステップＳ１１０）。運用者が操作端末３０１を操作し、ログの分析指示を入力すると、操作端末３０１から指示情報が出力される。この指示情報は、インタフェース部１０５を介してログ分析部１０４へ入力される。ログ分析部１０４は、この指示情報に基づいて、ログの情報がまとめられた統計データを記憶部１０３から読み出す（ステップＳ１２０）。
【００３４】
ログ分析部１０４は、読み出した統計データを用いて、後述する分析処理を行い、分析結果を記憶部１０３に保存する（ステップＳ１３０）。続いて、ログ分析部１０４は、インタフェース部１０５を介して、分析結果を操作端末３０１へ出力する（ステップＳ１４０）。分析結果は操作端末３０１の表示部に表示される。運用者は、この分析結果に基づいて、ネットワーク２０〜２２に対して攻撃が行われているか否か（異常が発生しているか否か）を判断することができる。
【００３５】
次に、上記のステップＳ１３０でログ分析部１０４が行う分析処理の詳細な内容を説明する。図３に示されるように、送信元／送信先の機器のIP やPort等が関連付けられたヘッダログの形式のログが各種のネットワーク機器から出力される。ログを構成するデータ（図３の行単位のデータ）がイベントである。バックボーン回線を監視するIDSの場合、一日に数百万〜数千万件のログが出力されることもある。このような大規模なログの量的問題を解決するため、各ログに含まれるイベントの情報は、統計データとして圧縮されて保存される。
【００３６】
図４は、ヘッダ部分を除いた統計データの内容を示している。図４に示されるように、パラメータの種類と、パラメータに係るイベントの頻度（検出数）とが関連付けられている。この統計データは、単位時間（図４では1秒間）内に検出された全イベントの情報をまとめたものである。例えば、図４中の「Packet,37260」は、単位時間内に37260個のパケットが検出されたことを示している。ログ保存部１０２は、各ネットワーク機器から出力されたログから統計データを生成し、記憶部１０３に格納する。ネットワーク機器の中には、統計データを出力するものがあり、ログ保存部１０２は、ログ収集部１０１から統計データが出力された場合には、その統計データをそのまま記憶部１０３に格納する。
【００３７】
ログ分析部１０４は、保存された統計データを用いて分析処理を行う。ログ分析部１０４はまず、記憶部１０３から統計データを読み出し、特定のパラメータに関するデータをその統計データから抽出し、新たな統計データ（本発明の第１の統計データに対応）とする。全パラメータを対象として分析処理を行う場合には、各パラメータについて新たな統計データが生成される。また、ユーザが解析対象のパラメータを指定した場合には、指定されたパラメータについて新たな統計データが生成される。また、後述するように、全パラメータの中から、解析に適したパラメータをログ分析部１０４が選択し、そのパラメータについて新たな統計データを生成する場合もある。
【００３８】
図５は、ログ分析部１０４による以降の処理の流れを示している。ログ分析部１０４は、連続した複数の単位時間の各々に対応した統計データの情報をまとめて時間軸上の分布（時間分布）を生成する（図５のステップＳ２００）。図６は時間軸上の分布の一例である。図において、横軸は時間（時刻）を示し、縦軸は、各時間（時刻）における、分析対象のパラメータに係るイベントの頻度（イベント量）を示している。この時間軸上の分布の横軸方向の幅は、統計データの単位時間×統計データの個数であり、この幅を観測窓幅と定義する。
【００３９】
続いて、ログ分析部１０４は、離散フーリエ変換により、時間軸上の分布を周波数軸上の分布（周波数分布、周波数スペクトル）に変換する（図５のステップＳ２１０）。時間軸上でｎ番目の観測点におけるイベント量をｅ（ｎ）、周波数軸上でｋ番目の周波数成分量をＥ（ｋ）とすると（ただし、ｎ，ｋは自然数）、Ｎ個（Ｎは自然数）の離散時間信号｛ｅ（ｎ）｝，ｎ＝０，１，・・・，Ｎ−１が与えられたとき、その離散フーリエ変換は以下の［数１］のように表される。なお、離散フーリエ変換を高速で行うFFT（Fast Fourier Transform）を行ってもよい。図７は、図６に示される時間軸上の分布を周波数軸上の分布へ変換した例である。横軸は、各周波数に対応した時間を示しており、縦軸はパワー（スペクトル量）を示している。
【００４０】
【数１】
【００４１】
抽出したい周波数の分解能をfとすると、統計データを生成する際のサンプリング周波数fsとfの関係はfs＝2fで表される。サンプリング周波数fsの逆数であるサンプリング周期は統計データの単位時間に相当する。長周期（低周波）の異常が発生する場合、図７では、グラフの左側の領域でスペクトルが現れるが、この領域の周波数の分解能が低いため、異常の詳細な情報を得ることができない。そこで、長周期の異常も検出できるように、図８に示されるように、統計データの単位時間を複数用意する。このように複数の単位時間を設け、各単位時間の統計データを用いて周波数解析を行うことによって、運用者が主観的に気づきにくい、攻撃間隔の長い攻撃、いわゆる低周波数の攻撃をより精度良く検出することができる。
【００４２】
図８において、「統計の単位時間」は統計データの時間分解能を示しており、上述した統計データの単位時間と一致する。例えば、単位時間が1分である場合、1分間に検出されたイベントで１つの統計データが構成される。離散フーリエ変換の数学的な特性上、2の乗数個の統計データを用いると、最も効率的なフーリエ変換処理を実施することができる。そのため、図８では、32個の統計データを用いて離散フーリエ変換を行うこととしている。
【００４３】
また、図８において、「周波数」は、周波数軸上の分布における最大周波数と最小周波数を示している。例えば単位時間が1分である場合、周波数軸上の分布におけるスペクトルの最大周波数は0.00833Hzであり、最小周波数は0Hzである。これらの周波数の間に32個のスペクトルが存在することになる。図８に示されるように複数の単位時間を設けることによって、各単位時間に対応した周期の攻撃を検出するのに適した周波数軸上の分布を得ることができる。例えば、単位時間が1分である場合、生成された周波数軸上の分布は、数分周期の攻撃を検出するのに適している。ログ分析部１０４は、各単位時間に対応した統計データから、各単位時間に対応した周波数軸上の分布を生成する。
【００４４】
上記のような複数の単位時間を設け、各単位時間に対応した周波数軸上の分布を生成する場合、周波数軸上の分布の元となる時間軸上の分布を構成するための、各単位時間の統計データを生成する必要がある。従来の手法では、ログに記録されたイベントを1分単位でまとめ、同様にして同一のログに記録されたイベントを0.5時間単位でまとめ、同様にして同一のログに記録されたイベントを0.5日単位でまとめ、同様にして同一のログに記録されたイベントを0.5ヶ月単位でまとめるという処理を行うことになる（図１７参照）。しかし、この手法には、段階的に設定する単位時間の数が多くなればなるほど、処理負荷が高く、効率が悪いという問題がある。
【００４５】
そこで、本実施形態では、以下のようにして、各単位時間に対応した統計データを生成する（図９参照）。ログ保存部１０２は、ログ収集部１０１から出力されたログ（ログ９０１）の内容に基づいて、パラメータ毎に1分を単位時間としてイベントをまとめ、統計データ（１）（統計データ９０２）を複数生成し、記憶部１０３に格納する（ステップＳ３００）。ログ分析部１０４は、分析対象とするパラメータについての統計データ（１）を記憶部１０３から読み出す。1分間に検出されたイベントをまとめた統計データ（１）を１個の統計データとして数えることにすると、ログ分析部１０４は、連続する単位時間に対応した３０個の統計データ（１）（３０分のデータに相当）をまとめて、0.5時間を単位時間とする統計データ（２）（統計データ９０３）を複数生成する（ステップＳ３１０）。
【００４６】
ログ分析部１０４は同様にして、連続する単位時間に対応した２４個の統計データ（２）（１２時間、言い換えると0.5日のデータに相当）をまとめて、0.5日を単位時間とする統計データ（３）（統計データ９０４）を複数生成する（ステップＳ３２０）。さらに、ログ分析部１０４は同様にして、連続する単位時間に対応した３０個の統計データ（３）（１５日、言い換えると0.5ヶ月のデータに相当）をまとめて、0.5ヶ月を単位時間とする統計データ（４）（統計データ９０５）を複数生成する（ステップＳ３３０）。
【００４７】
上記の統計データ（１）〜（４）と、本発明における第１〜第２の統計データの関係を説明すると、本実施形態の統計データ（１）と統計データ（２）の関係、統計データ（２）と統計データ（３）の関係、および統計データ（３）と統計データ（４）の関係のそれぞれが本発明の第１の統計データと第２の統計データの関係に対応している。また、例えば統計データ（１）から統計データ（３）を生成してもよく、その場合には、統計データ（１）と統計データ（３）の関係が本発明の第１の統計データと第２の統計データの関係に対応している。
【００４８】
上述した統計データの生成手法では、第１の統計データをまとめて第２の統計データを生成するので、ログのデータから第２の統計データを生成する手法と比較して、統計データの生成に係る処理負荷を低減し、統計データを効率的に生成することができる。特に、段階的に設定する単位時間の数が多くなればなるほど、統計データの生成に係る処理負荷を低減する効果がより大きくなる。上記の手法の変形例として、記憶部１０３にログが格納されている場合に、ログ分析部１０４が統計データ（１）を生成するようにしてもよい。
【００４９】
統計データ（１）とは単位時間の異なる統計データ（例えば単位時間が1時間の統計データ）が記憶部１０３に格納されている場合（ログではなく、その統計データを出力するネットワーク機器があった場合等）、ログ分析部１０４は以下のようにして統計データをまとめる（図１０参照）。ログ分析部１０４は、統計データ（１）とは単位時間の異なる統計データ（第１の統計データとする）が、所定の条件を満たす統計データであった場合に、統計データ（１）と第１の統計データをまとめ、統計データ（２）（第２の統計データとする）を生成する。
【００５０】
まず、ログ分析部１０４は、第２の統計データの単位時間を第１の統計データの単位時間で割り、その商を求める（ステップＳ４００）。この際、２つの単位時間の単位（分、時間、日等）を揃えた上で割り算が行われる。続いて、ログ分析部１０４は、ステップＳ４００で求めた商が整数（１を超える整数）であるか否かを判定する（ステップＳ４１０）。商が整数であった場合には、ログ分析部１０４は、第２の統計データを生成する際に第１の統計データを用いると決定する（ステップＳ４２０）。一方、商が整数でなかった場合には、ログ分析部１０４は、他の単位時間の統計データを生成する際に第１の統計データを用いると決定する（ステップＳ４３０）。ステップＳ４３０の決定が行われた場合、第２の統計データの単位時間を変更して、上記と同じ処理が行われる。
【００５１】
図１１は、上述した処理によって生成される統計データの様子を示している。図１１では、ネットワーク機器Ａから、単位時間が1分である統計データ（統計データ１１０１）が出力され、ネットワーク機器Ｂから、単位時間が1時間である統計データ（統計データ１１０２）が出力され、ネットワーク機器Ｃから、単位時間が0.5日である統計データ（統計データ１１０３）が出力されたものとしている。
【００５２】
統計データ１１０１（単位時間：1分）と統計データ１１０４（単位時間0.5時間）の単位時間について、30分（＝0.5時間）÷1分＝30が成り立つため、上記に従うと、統計データ１１０１をまとめて統計データ１１０４を生成することができる。一方、統計データ１１０２（単位時間：1時間）と統計データ１１０４（単位時間：0.5時間）の単位時間について、0.5時間÷1時間＝0.5が成り立つため、上記に従うと、統計データ１１０４を生成する際に、統計データ１１０２を用いることはできない。
【００５３】
しかし、統計データ１１０５（単位時間：0.5日）と統計データ１１０２（単位時間：1時間）の単位時間について、12時間（＝0.5日）÷1時間＝12が成り立つため、上記に従うと、統計データ１１０２をまとめて統計データ１１０５を生成することができる。また、統計データ１１０５（単位時間：0.5日）と統計データ１１０４（単位時間：0.5時間）の単位時間について、12時間（＝0.5日）÷0.5時間＝24が成り立つため、上記に従うと、統計データ１１０４をまとめて統計データ１１０５を生成することができる。
【００５４】
したがって、互いに単位時間の長さの異なる統計データ１１０２と１１０４をまとめて統計データ１１０５を生成することができる。同様に、統計データ１１０３（単位時間：1.0日）を、統計データ１１０４や１１０５を生成する際に用いることはできないが、統計データ１１０５（単位時間：0.5日）と共に、統計データ１１０６（単位時間：0.5月）を生成する際に用いることはできる。上記のようにして生成された統計データ１１０１，１１０４，１１０５，１１０６の各々から時間軸上の分布が生成され、各時間軸上の分布が周波数軸上の分布に変換される。
【００５５】
上述した統計データの生成手法によれば、互いに単位時間の長さの異なる統計データをまとめて、それらの単位時間よりも単位時間の長い統計データを生成することができる。特に、ネットワーク機器からログではなく統計データが出力された場合でも、その統計データを、ログから生成された統計データとまとめて新たな統計データを生成することができる。
【００５６】
再び図５を参照し、周波数軸上の分布が生成された後に、ログ分析部１０４が行う処理の詳細な内容を説明する。単位時間の長さの等しい統計データから生成された周波数軸上の分布を同一種類の分布と定義すると、図８のように統計データの単位時間を４種類用意した場合には、４種類の分布が生成されることになる。以下の処理は、同一種類の分布を用いた処理であり、ある種類の分布についての処理と同様の処理が、別の種類の分布についても行われる。
【００５７】
周波数軸上の分布を生成した後、ログ分析部１０４は、周波数軸上の分布における特定の周波数帯内のパワーが全周波数帯内のパワーの総和に占める割合（全周波数帯のパワーに対する特定の周波数帯のパワーの含有率）を算出する（図５のステップＳ２２０）。異なる時間内に検出されたイベントに基づいた複数の周波数軸上の分布の各々について、同一の周波数帯に関するパワーの含有率が算出される。図１２は、各周波数帯のパワーの含有率の時間変化の例を示している。図１２に示されるように、全周波数帯に占める周波数帯Ａのパワーの割合が時刻t1で急上昇している。このように、ある周波数帯のパワーの含有率が急激に変化したことをネットワークの異常として検出することができるように、ログ分析部１０４は以下の処理を行う。
【００５８】
ログ分析部１０４は、複数の周波数軸上の分布の各々から算出した特定の周波数帯のパワーの含有率から確率分布を生成し（図５のステップＳ２３０）、続いてネットワークの異常度に関する値を算出する。図１３は確率分布の例を示している。μは、ステップＳ２３０で算出された特定の周波数帯のパワーの含有率の平均であり、σは標準偏差である。横軸は、平均値μからの距離を、標準偏差σを単位として表しており、縦軸は特定の周波数帯のパワーの含有率の出現確率（確率密度）を示している。Ｅ１、Ｅ２、・・・Ｅｋを、ｋ個の周波数軸上の分布から得られた特定の周波数帯のパワーの含有率とすると、標準偏差σは以下の［数２］で算出される。
【００５９】
【数２】
【００６０】
ログ分析部１０４は、以下の［数３］に従って、ネットワークの異常の有無を判定するための判定値Ｒを算出する。Ｅｋ＋１は、ネットワークの異常の有無の判定対象となる期間の特定の周波数帯のパワーの含有率である。［数３］において、ｆ（Ｅ）は正規分布の密度関数であり、以下の［数４］で表される。上記の例においては、特定の周波数帯のパワーの含有率の分布を正規分布と仮定しているが、ｆ（Ｅ）として指数分布やガンマ分布等の関数を適宜選択してもよい。
【００６１】
【数３】
【００６２】
【数４】
【００６３】
判定値Ｒは、図１３における領域１３０１の面積に相当する。ログ分析部１０４は、判定値Ｒが所定値未満（例えば5％）であった場合に、特定の周期性を有する攻撃がネットワーク上に出回り、ネットワークに異常が発生していると判定する。
【００６４】
上述したように、パワーの含有率に注目して分析処理を行うことによって、ネットワークの全体的な攻撃頻度の変化による攻撃の誤検知を低減することができる。また、特定の周波数帯のパワーの含有率に基づいて分析処理を行うことによって、異常の発生した周波数帯を特定することができる。
【００６５】
特定のネットワークのみのネットワーク機器から出力されたログまたは統計データを用いて上記の分析処理を行った場合には、周期性を有する攻撃がそのネットワークで発生しているか否かを検出することができる。しかし、複数のネットワーク機器から出力されたログまたは統計データを混合して用いて上記の分析処理を行った場合には、特定の周期性を有する攻撃が発生していることを検出することはできるものの、どのネットワークでそのような攻撃が発生しているのかを検出することはできない。そこで、以下のようにして、周期性を有する攻撃の発生しているネットワークを特定できるようにしてもよい。
【００６６】
単位時間の長さの等しい統計データから生成された周波数軸上の分布を同一種類の分布と定義すると、図８のように統計データの単位時間を４種類用意した場合には、４種類の分布が生成されることになる。以下の処理は、同一種類の分布を用いた処理であり、ある種類の分布についての処理と同様の処理が、別の種類の分布についても行われる。
【００６７】
ログ分析部１０４は、前述した方法と同様にして、周波数軸上の分布を生成する。ただし、各分布はネットワーク毎に生成される。図１４では、ネットワークＡに属するネットワーク機器のみから出力されたログまたは統計データから、ネットワークＡに係る周波数軸上の分布が生成される。ネットワークＢ，Ｃについても同様に、各ネットワークに属するネットワーク機器のみから出力されたログまたは統計データから、各ネットワークに係る周波数軸上の分布が生成される。
【００６８】
ログ分析部１０４は、特定のネットワークに係る周波数軸上の分布における特定の周波数帯（周波数帯Ｆとする）内のパワーが、そのネットワークを含む複数のネットワークに係る周波数軸上の分布における特定の周波数帯（上記と同じ周波数帯Ｆ）内のパワーの総和に占める割合（特定の周波数帯に関する、全ネットワークのパワーに対する特定のネットワークのパワーの含有率）を算出する（図１４のステップＳ５００）。例えば、ネットワークＡに関する周波数軸上の分布における特定の周波数帯内のパワーをＰＡ、ネットワークＢに関する周波数軸上の分布における特定の周波数帯内のパワーをＰＢ、ネットワークＣに関する周波数軸上の分布における特定の周波数帯内のパワーをＰＣとすると、ネットワークＡのパワーの含有率Ｅは以下のように算出される。
Ｅ＝ＰＡ／（ＰＡ＋ＰＢ＋ＰＣ）
【００６９】
また、ネットワークＡ，Ｂ，Ｃの全体に関する周波数軸上の分布における特定の周波数帯内のパワーをＰＡＢＣとすると、ネットワークＡのパワーの含有率Ｅを以下のように算出してもよい。
Ｅ＝ＰＡ／ＰＡＢＣ
【００７０】
上記と同様にして、異なる時間内に検出されたイベントに基づいた複数の周波数軸上の分布の各々について、同一の周波数帯に関する特定のネットワークのパワーの含有率が算出される。図１５は、各ネットワークのパワーの含有率の時間変化の例を示している。図１５に示されるように、全ネットワークに占めるネットワークＡのパワーの割合が時刻t2で急上昇している。このように、あるネットワークのパワーの含有率が急激に変化したことをネットワークの異常として検出することができるように、ログ分析部１０４は以下の処理を行う。
【００７１】
ログ分析部１０４は、算出した特定のネットワークのパワーの含有率から確率分布（図１３と同様）を生成し（図１４のステップＳ５１０）、続いてネットワークの異常度に関する値を算出する。この際にログ分析部１０４は、前述した［数３］に従って、ネットワークの異常の有無を判定するための判定値Ｒを算出する。ログ分析部１０４は、判定値Ｒが所定値未満（例えば5％）であった場合に、特定の周期性を有する攻撃が特定のネットワーク上に出回り、そのネットワークに異常が発生していると判定する。上述したように、特定のネットワークのパワーの含有率に基づいて分析処理を行うことによって、異常の発生しているネットワークを特定することができる。
【００７２】
次に、注目すべきイベントを選定する手法を説明する。時刻帯の異なる世界各国から取得したログまたは統計データを用いて周波数解析を行うと、雑音成分が大きくなるため、周期性のあるイベントを検出することができない。そこで、処理対象のパラメータに係るイベントの中から、特定の地域に関するイベントを抽出し、そのイベントに係る統計データを用いて分析処理を行えばよい。
【００７３】
以下、具体的な処理の例を説明する。記憶部１０３には、各ネットワーク機器から出力されたログが格納されているものとする。ログ分析部１０４は記憶部１０３からログを読み出し、特定のパラメータに関するデータを抽出する。この際にログ分析部１０４は、Source CountryまたはSource IPに基づいて、ログに記録されたイベントの中から、特定の地域（１ヶ国単位あるいは数ヶ国単位等）に係るイベントを抽出し、そのイベントを対象とした新たな統計データ（本発明の第１の統計データに対応）を生成する。ログ分析部１０４は、生成した統計データを用いて、前述した処理と同様の処理を行う。
【００７４】
また、全てのパラメータを対象として、処理負荷の大きい離散フーリエ変換を含む周波数解析を行うと効率が悪いため、処理対象とするパラメータを絞ることによって、注目すべきイベントの数を減らしてもよい。以下、図１６を参照し、具体的な処理の例を説明する。まず、ログ分析部１０４は、特定のパラメータ（パケット数等）に関する統計データを用いて、前述した処理と同様にして周波数解析を行う（ステップＳ６００）。このとき、そのパラメータに係るイベントのうち、特定の地域に係るイベントを対象として周波数解析を行ってもよい。
【００７５】
続いて、ログ分析部１０４は、ステップＳ６００での周波数解析によって、特定の周波数帯でネットワークの異常が検出されたか否かを判定する（ステップＳ６１０）。いずれの周波数帯においてもネットワークの異常が検出されなかった場合には、処理が終了する。また、特定の周波数帯でネットワークの異常が検出された場合には、ログ分析部１０４は、ステップＳ６００で用いた統計データに記録されているパラメータのうち、頻度の大きなＮ種類のパラメータを選択する（ステップＳ６２０）。続いて、ログ分析部１０４は、選択した各々のパラメータについて順番に、前述した方法と同じ方法で周波数解析を行う（ステップＳ６３０）。
【００７６】
上述したように、注目すべきイベントを選定することによって、周波数解析に係る処理の負荷を低減することができる。
【００７７】
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態によるログ分析装置の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。
【００７８】
ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００７９】
また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【図面の簡単な説明】
【００８０】
【図１】本発明の一実施形態によるログ分析装置を備えたシステムの構成を示すブロック図である。
【図２】本発明の一実施形態におけるログの分析処理の手順を示すフローチャートである。
【図３】本発明の一実施形態におけるログの内容を示す参考図である。
【図４】本発明の一実施形態における統計データの内容を示す参考図である。
【図５】本発明の一実施形態におけるログの分析処理を説明するための参考図である。
【図６】本発明の一実施形態における時間軸上の分布を示す参考図である。
【図７】本発明の一実施形態における周波数軸上の分布を示す参考図である。
【図８】本発明の一実施形態における統計データの生成方法を説明するための参考図である。
【図９】本発明の一実施形態における統計データの生成方法を説明するための参考図である。
【図１０】本発明の一実施形態における統計データの生成手順を示すフローチャートである。
【図１１】本発明の一実施形態における統計データの生成方法を説明するための参考図である。
【図１２】本発明の一実施形態におけるログの分析処理を説明するための参考図である。
【図１３】本発明の一実施形態における確率分布を示す参考図である。
【図１４】本発明の一実施形態におけるログの分析処理を説明するための参考図である。
【図１５】本発明の一実施形態におけるログの分析処理を説明するための参考図である。
【図１６】本発明の一実施形態におけるログの分析処理の手順を示すフローチャートである。
【図１７】従来の統計データの生成方法を説明するための参考図である。
【符号の説明】
【００８１】
１０・・・ログ分析装置、２０，２１，２２・・・ネットワーク、３０・・・セキュリティオペレーションセンター、１０１・・・ログ収集部、１０２・・・ログ保存部、１０３・・・記憶部、１０４・・・ログ分析部、１０５・・・インタフェース部、３０１・・・操作端末
【技術分野】
【０００１】
本発明は、IDS（Intrusion Detection System：侵入検知システム）、Router、Firewall、およびトラヒックモニタ等のネットワーク機器から出力されるログの分析を行うログ分析装置に関する。また、本発明は、ログの分析に係る処理をコンピュータに実行させるためのログ分析プログラムや、そのログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体にも関する。
【背景技術】
【０００２】
近年、サイバーテロ攻撃に対する脅威が高まっており、各種のネットワーク機器から出力されるログを解析することによって、ネットワークで発生する異常を検知する各種の手法が提案されている。ネットワーク上のトラヒックの増減は、ユーザがＰＣ（Personal Computer）を利用する時間帯や曜日帯に依存しており、攻撃の傾向もおおよそＰＣの利用頻度と類似している。しかし、近年の攻撃の多くが、潜伏期間や発症・伝播期間を有するウィルスやワームによるものであり、ＰＣの利用頻度以外の周期性で発現するものもある。これらの攻撃の周期性を考慮して、分析対象への攻撃傾向や新たな攻撃の兆候を検出する手法が提案されている（例えば、特許文献１および非特許文献１参照）。
【０００３】
特許文献１には、ログに記録されたイベントの頻度に関する統計量の周期性に注目して異常を検知する周波数解析の手法が記載されている。周期性の分析の際には、フーリエ変換を用いて時間軸上での統計量を周波数軸上での成分量（パワー）に変換することによって生成した周波数分布（周波数スペクトル）が使用される。異常の検知には、例えば以下のような手法が用いられている。
・特定の期間のデータ（あるいは、注目ネットワークに関するデータ）から得られた周波数分布内の成分量と、過去の所定期間のデータ（あるいは、他のネットワークに関するデータ）から得られた周波数分布内の成分量との比率を用いて異常度を評価する手法。
・ログの曖昧度を示す情報エントロピーを用いて異常度を評価する手法。
【０００４】
非特許文献１にも、特許文献１に記載された手法と同様の手法が記載されている。
【特許文献１】特開２００５−１５１２８９号公報
【非特許文献１】仲小路博史、寺田真敏，“周波数分析に基づくインシデント傾向検知手法に関する検討”，情報処理学会，研究報告， 2005-CSEC-30，2005年7月，pp.83-88
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来のログの周波数解析では、ログに記録されたイベントを所定の単位時間（例えば、1分や30分、0.5日等）毎にまとめた統計データ（単位時間内のイベントの頻度を示すデータ）を用いてフーリエ変換が行われていた。統計データを複数生成する場合には、ログに記録されたイベントを、指定された単位時間でまとめるという処理を複数回行う必要があった。生成する統計データの数や種類が多くなればなるほど、統計データの生成に係る処理負荷は大きくなる。例えば、単位時間が1分、30分、0.5日の統計データをそれぞれ生成する場合には、ログに記録されたイベントを1分単位でまとめ、同一のイベントを30分単位でまとめ、さらに同一のイベントを0.5日単位でまとめるという処理を順次行う必要があり、非効率的な処理を繰り返す必要があった。本発明は、この点に鑑み、ログに記録されたイベントを所定の単位時間毎にまとめた統計データを効率的に生成することを目的とする。
【０００６】
また、周波数分布内の成分量に注目した従来のログの周波数解析では、ネットワークの伸縮工事に伴う全体的な攻撃頻度の変化によって、攻撃の誤検知を生じ易い傾向があるという問題があった。さらに、情報エントロピーに注目した従来の周波数解析の手法では、異常の発生を検知することはできるものの、異常の発生した周波数帯を特定することができないという問題があった。本発明は、この点に鑑み、従来の周波数解析で用いられていた手法以外の手法を提供することも目的とする。
【０００７】
また、イベントには雑音成分が多く、未知の攻撃による痕跡がログ中のどのパラメータに記録されるのかが不明であるため、従来のログの周波数解析では全てのパラメータのイベントを対象として処理を行わなければならなかった。例えば、パケットの送信先の機器のIPアドレスを示すDestination Portを解析対象のパラメータとして周波数解析を行う場合、TCP（Transmission Control Protocol）とUDP（User Datagram Protocol）のDestination Portを合わせた12万種類以上のイベントの解析を実行しなければならなかった。したがって、処理の負荷を低減するため、処理対象とするイベントを絞って周波数解析を行うことが望ましい。本発明は、この点に鑑み、注目すべきイベントを選定する手法を提供することも目的とする。
【課題を解決するための手段】
【０００８】
本発明は、上記の課題を解決するためになされたもので、ネットワーク機器から出力されたログに記録された特定のパラメータに係るイベントの第１の単位時間当たりの頻度を示す第１の統計データを生成する第１の統計データ生成手段と、前記第１の単位時間よりも長い第２の単位時間内に検出されたイベントに係る複数の前記第１の統計データをまとめて、前記特定のパラメータに係るイベントの前記第２の単位時間当たりの頻度を示す第２の統計データを生成する第２の統計データ生成手段と、複数の前記第１の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第１の周波数分布を生成する第１の周波数分布生成手段と、複数の前記第２の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第２の周波数分布を生成する第２の周波数分布生成手段と、前記第１の周波数分布および前記第２の周波数分布に基づいて、ネットワークの異常度に関する値を算出する算出手段とを備えたことを特徴とするログ分析装置である。
【０００９】
また、本発明のログ分析装置において、前記第２の統計データ生成手段は、前記第２の単位時間を前記第１の単位時間で除した値が整数である場合に、複数の前記第１の統計データをまとめて前記第２の統計データを生成することを特徴とする。
【００１０】
また、本発明のログ分析装置において、前記算出手段は、前記第１の周波数分布における特定の周波数帯内のスペクトル値が全周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする。
【００１１】
また、本発明のログ分析装置において、前記算出手段は、特定のネットワークに係る前記第１の周波数分布における特定の周波数帯内のスペクトル値が、前記特定のネットワークを含む複数のネットワークに係る前記第１の周波数分布における前記特定の周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする。
【００１２】
また、本発明のログ分析装置は、前記ログに記録された特定のパラメータに係るイベントの中から、特定の地域に係るイベントを抽出するイベント抽出手段をさらに備え、前記第１の統計データ生成手段は、前記イベント抽出手段によって抽出された、前記特定の地域に係る前記イベントを対象とした前記第１の統計データを複数生成することを特徴とする。
【００１３】
また、本発明のログ分析装置において、前記算出手段によって算出された前記ネットワークの異常度に関する値がネットワークの異常を示している場合に、前記第１の統計データ生成手段はさらに、イベントの頻度を基準にして選択したパラメータに係るイベントを対象とした前記第１の統計データを複数生成し、前記第２の統計データ生成手段はさらに、新たに生成された複数の前記第１の統計データをまとめて前記第２の統計データを複数生成し、前記第１の周波数分布生成手段はさらに、新たに生成された複数の前記第１の統計データから前記第１の周波数分布を生成し、前記第２の周波数分布生成手段はさらに、新たに生成された複数の前記第２の統計データから前記第２の周波数分布を生成し、前記算出手段は、新たに生成された前記第１の周波数分布および前記第２の周波数分布に基づいて、前記ネットワークの異常度に関する値を算出することを特徴とする。
【００１４】
また、本発明は、ネットワーク機器から出力されたログに記録された特定のパラメータに係るイベントの第１の単位時間当たりの頻度を示す第１の統計データを生成する第１のステップと、前記第１の単位時間よりも長い第２の単位時間内に検出されたイベントに係る複数の前記第１の統計データをまとめて、前記特定のパラメータに係るイベントの前記第２の単位時間当たりの頻度を示す第２の統計データを生成する第２のステップと、複数の前記第１の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第１の周波数分布を生成する第３のステップと、複数の前記第２の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第２の周波数分布を生成する第４のステップと、前記第１の周波数分布および前記第２の周波数分布に基づいて、ネットワークの異常度に関する値を算出する第５のステップとをコンピュータに実行させることを特徴とするログ分析プログラムである。
【００１５】
また、本発明のログ分析プログラムにおいて、前記第２のステップでは、前記第２の単位時間を前記第１の単位時間で除した値が整数である場合に、複数の前記第１の統計データをまとめて前記第２の統計データを生成することを特徴とする。
【００１６】
また、本発明のログ分析プログラムにおいて、前記第５のステップでは、前記第１の周波数分布における特定の周波数帯内のスペクトル値が全周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする。
【００１７】
また、本発明のログ分析プログラムにおいて、前記第５のステップでは、特定のネットワークに係る前記第１の周波数分布における特定の周波数帯内のスペクトル値が、前記特定のネットワークを含む複数のネットワークに係る前記第１の周波数分布における前記特定の周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする。
【００１８】
また、本発明のログ分析プログラムは、前記ログに記録された特定のパラメータに係るイベントの中から、特定の地域に係るイベントを抽出する第６のステップをさらに備え、前記第１のステップでは、前記第６のステップで抽出された、前記特定の地域に係る前記イベントを対象とした前記第１の統計データを複数生成することを特徴とする。
【００１９】
また、本発明のログ分析プログラムにおいて、前記第５のステップで算出された前記ネットワークの異常度に関する値がネットワークの異常を示している場合に、イベントの頻度を基準にして選択したパラメータに係るイベントを対象とした前記第１の統計データを複数生成する第７のステップと、新たに生成された複数の前記第１の統計データをまとめて前記第２の統計データを複数生成する第８のステップと、新たに生成された複数の前記第１の統計データから前記第１の周波数分布を生成する第９のステップと、新たに生成された複数の前記第２の統計データから前記第２の周波数分布を生成する第１０のステップと、新たに生成された前記第１の周波数分布および前記第２の周波数分布に基づいて、前記ネットワークの異常度に関する値を算出する第１１のステップとをさらに有することを特徴とする。
【００２０】
また、本発明は、上記のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体である。
【発明の効果】
【００２１】
本発明によれば、第１の統計データをまとめて第２の統計データを生成するので、統計データの生成に係る処理負荷を低減し、統計データを効率的に生成することができるという効果が得られる。
【００２２】
また、本発明は、特定の周波数帯内のスペクトル値の相対的な割合に基づいてログの分析を行う手法を提供している。これによって、ネットワークの全体的な攻撃頻度の変化による攻撃の誤検知を低減することができる。さらに、周波数分布における特定の周波数帯内のスペクトル値が全周波数帯内のスペクトル値の総和に占める割合に基づいてログの分析を行うことによって、異常の発生した周波数帯を特定することができる。さらに、特定のネットワークに係る周波数分布における特定の周波数帯内のスペクトル値が、特定のネットワークを含む複数のネットワークに係る周波数分布における特定の周波数帯内のスペクトル値の総和に占める割合に基づいてログの分析を行うことによって、異常の発生したネットワークを特定することができる。
【００２３】
また、本発明は、注目すべきイベントを選定する手法を提供している。これによって、周波数解析に係る処理の負荷を低減することができる。
【発明を実施するための最良の形態】
【００２４】
以下、図面を参照し、本発明の実施形態を説明する。図１は、本発明の一実施形態によるログ分析装置を備えたシステムの構成を示している。図において、ログ分析装置１０は、分析対象のネットワーク２０〜２２から出力されるログを収集し、その分析を行う。ネットワーク２０〜２２はRouter、Firewall、およびIDS等のネットワーク機器を備えており、各ネットワーク機器が生成したログを、syslogd等の通信方式により、ログ分析装置１０へ出力する。セキュリティオペレーションセンター３０には、ログ分析装置１０と通信回線で接続された操作端末３０１が設けられている。
【００２５】
本実施形態によるログ分析装置１０は、分析対象のネットワーク２０〜２２から出力されるログを収集・分析し、分析結果を操作端末３０１へ出力する。運用者は、操作端末３０１の表示部に表示される分析結果に基づいて、ネットワーク２０〜２２の異常度を判断することができる。
【００２６】
本発明の実施形態は、図１に示される形態に限定されるものではなく、これ以外の形態に本発明を適用しても構わない。例えば、ログ分析装置１０が、表示部を有する他の機器へ分析結果を出力してもよいし、ログ分析装置１０に表示部が備えられている場合には、ログ分析装置１０が分析結果を表示してもよい。また、ログ分析装置１０は、セキュリティオペレーションセンター３０と異なる場所に設置された装置であってもよいし、操作端末３０１を具備するセキュリティオペレーションセンター３０内の機器がログ分析装置１０の機能を有していてもよい。
【００２７】
ログ分析装置１０において、ログ収集部１０１は、ネットワーク２０〜２２のネットワーク機器から出力されたログを定期的に収集し、ログ保存部１０２へ出力する。ログ保存部１０２は、ログに記録された各パラメータに係るイベントの単位時間当たりの頻度を示す統計データ（詳細は後述する）を生成し、記憶部１０３に保存する。ログ保存部１０２がログをそのまま記憶部１０３に保存してもよい。記憶部１０３はＳＲＡＭ（Static Random Access Memory）、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）、フラッシュメモリ、ＨＤＤ（Hard Disk Drive）等の記録媒体を備えており、ログや、統計データ、ログの分析結果等を記憶する。ログ分析部１０４は、記憶部１０３から統計データを読み出し、その分析を行う。インタフェース部１０５は、ログ分析装置１０と操作端末３０１の間で行われる通信を制御する。
【００２８】
次に、本実施形態で分析対象となる主なパラメータについて説明する。以下のパラメータが、分析対象となるパラメータである。
（ａ）パケット数
（ｂ）トラヒック量
（ｃ）プロトコル量
（ｄ）Port量
（ｅ）Attack Signature
（ｆ）Source／Destination Port
（ｇ）Source／Destination IP
（ｈ）パケットサイズ
（ｉ）フラグ
（ｊ）Source／Destination Country
【００２９】
パケット数またはトラヒック量を分析することにより、ネットワークに対する攻撃が発生しているのかどうかを検出することができる。プロトコル量は、TCP／UDP／ICMP（Internet Control Message Protocol）等のプロトコルに係るパケット数（あるいはトラヒック量）を示している。プロトコル量を分析することにより、色々な攻撃を検出することができる。例えば、ICMPに係るPingやTraceroute等のパケットは攻撃前の下調べなので、これらを検出することにより、本格的な攻撃に対して事前に注意を払うことができる。Port量は、TCP／UDP等のプロトコルに係るパケットの送信元／送信先の機器のポート番号別のパケット数（あるいはトラヒック量）を示している。Port量を分析することにより、特定のPortへのアクセスや侵入等を検出することができる。
【００３０】
Attack Signatureは攻撃パターンを示している。シグネチャマッチング型のIDSは、ネットワーク上を流れるパケットと、予め用意されたAttack Signatureとを単純に比較して、両者がマッチングした場合にログにイベントを記録する。Attack Signatureには、HTTP port probe、DNS port probe等のイベントがある。このAttack Signatureを分析することにより、分析対象のネットワークに対して行われている攻撃の種類を特定することができる。
【００３１】
Source／Destination Portは送信元／送信先の機器のポート番号を示しており、Source／Destination IPは送信元／送信先の機器のＩＰアドレスを示している。Source／Destination Portを分析することにより、攻撃元／攻撃対象のポート番号を特定することができる。また、Source／Destination IPを分析することにより、攻撃元／攻撃対象のIPアドレスを特定することができる。
【００３２】
パケットサイズは、例えば64，128，256，512，768，1024（Byte）で区切られたサイズ毎にログに記録されている。パケットサイズを分析することにより、パケットサイズに特徴のある攻撃を検出することができる。また、パケットに記録されるフラグには、TCP-SYNやICMP-Unreachable等があり、このようなフラグを分析することにより、ウィルス等による攻撃を検出することができる。Source／Destination Countryは送信元／送信先の機器の属する国を示している。Source／Destination Countryを分析することにより、攻撃元／攻撃先の国を特定することができる。
【００３３】
次に、本実施形態によるログ分析装置１０の動作を説明する。図２はログ分析装置１０の動作の手順を示している。ログ収集部１０１は、ネットワーク２０〜２２の各機器から出力されるログを収集し、ログ保存部１０２へ出力する（ステップＳ１００）。ログ保存部１０２は、ログ収集部１０１から出力されたログの内容に基づいて統計データを生成し、ログの情報として統計データを記憶部１０３に保存する（ステップＳ１１０）。運用者が操作端末３０１を操作し、ログの分析指示を入力すると、操作端末３０１から指示情報が出力される。この指示情報は、インタフェース部１０５を介してログ分析部１０４へ入力される。ログ分析部１０４は、この指示情報に基づいて、ログの情報がまとめられた統計データを記憶部１０３から読み出す（ステップＳ１２０）。
【００３４】
ログ分析部１０４は、読み出した統計データを用いて、後述する分析処理を行い、分析結果を記憶部１０３に保存する（ステップＳ１３０）。続いて、ログ分析部１０４は、インタフェース部１０５を介して、分析結果を操作端末３０１へ出力する（ステップＳ１４０）。分析結果は操作端末３０１の表示部に表示される。運用者は、この分析結果に基づいて、ネットワーク２０〜２２に対して攻撃が行われているか否か（異常が発生しているか否か）を判断することができる。
【００３５】
次に、上記のステップＳ１３０でログ分析部１０４が行う分析処理の詳細な内容を説明する。図３に示されるように、送信元／送信先の機器のIP やPort等が関連付けられたヘッダログの形式のログが各種のネットワーク機器から出力される。ログを構成するデータ（図３の行単位のデータ）がイベントである。バックボーン回線を監視するIDSの場合、一日に数百万〜数千万件のログが出力されることもある。このような大規模なログの量的問題を解決するため、各ログに含まれるイベントの情報は、統計データとして圧縮されて保存される。
【００３６】
図４は、ヘッダ部分を除いた統計データの内容を示している。図４に示されるように、パラメータの種類と、パラメータに係るイベントの頻度（検出数）とが関連付けられている。この統計データは、単位時間（図４では1秒間）内に検出された全イベントの情報をまとめたものである。例えば、図４中の「Packet,37260」は、単位時間内に37260個のパケットが検出されたことを示している。ログ保存部１０２は、各ネットワーク機器から出力されたログから統計データを生成し、記憶部１０３に格納する。ネットワーク機器の中には、統計データを出力するものがあり、ログ保存部１０２は、ログ収集部１０１から統計データが出力された場合には、その統計データをそのまま記憶部１０３に格納する。
【００３７】
ログ分析部１０４は、保存された統計データを用いて分析処理を行う。ログ分析部１０４はまず、記憶部１０３から統計データを読み出し、特定のパラメータに関するデータをその統計データから抽出し、新たな統計データ（本発明の第１の統計データに対応）とする。全パラメータを対象として分析処理を行う場合には、各パラメータについて新たな統計データが生成される。また、ユーザが解析対象のパラメータを指定した場合には、指定されたパラメータについて新たな統計データが生成される。また、後述するように、全パラメータの中から、解析に適したパラメータをログ分析部１０４が選択し、そのパラメータについて新たな統計データを生成する場合もある。
【００３８】
図５は、ログ分析部１０４による以降の処理の流れを示している。ログ分析部１０４は、連続した複数の単位時間の各々に対応した統計データの情報をまとめて時間軸上の分布（時間分布）を生成する（図５のステップＳ２００）。図６は時間軸上の分布の一例である。図において、横軸は時間（時刻）を示し、縦軸は、各時間（時刻）における、分析対象のパラメータに係るイベントの頻度（イベント量）を示している。この時間軸上の分布の横軸方向の幅は、統計データの単位時間×統計データの個数であり、この幅を観測窓幅と定義する。
【００３９】
続いて、ログ分析部１０４は、離散フーリエ変換により、時間軸上の分布を周波数軸上の分布（周波数分布、周波数スペクトル）に変換する（図５のステップＳ２１０）。時間軸上でｎ番目の観測点におけるイベント量をｅ（ｎ）、周波数軸上でｋ番目の周波数成分量をＥ（ｋ）とすると（ただし、ｎ，ｋは自然数）、Ｎ個（Ｎは自然数）の離散時間信号｛ｅ（ｎ）｝，ｎ＝０，１，・・・，Ｎ−１が与えられたとき、その離散フーリエ変換は以下の［数１］のように表される。なお、離散フーリエ変換を高速で行うFFT（Fast Fourier Transform）を行ってもよい。図７は、図６に示される時間軸上の分布を周波数軸上の分布へ変換した例である。横軸は、各周波数に対応した時間を示しており、縦軸はパワー（スペクトル量）を示している。
【００４０】
【数１】
【００４１】
抽出したい周波数の分解能をfとすると、統計データを生成する際のサンプリング周波数fsとfの関係はfs＝2fで表される。サンプリング周波数fsの逆数であるサンプリング周期は統計データの単位時間に相当する。長周期（低周波）の異常が発生する場合、図７では、グラフの左側の領域でスペクトルが現れるが、この領域の周波数の分解能が低いため、異常の詳細な情報を得ることができない。そこで、長周期の異常も検出できるように、図８に示されるように、統計データの単位時間を複数用意する。このように複数の単位時間を設け、各単位時間の統計データを用いて周波数解析を行うことによって、運用者が主観的に気づきにくい、攻撃間隔の長い攻撃、いわゆる低周波数の攻撃をより精度良く検出することができる。
【００４２】
図８において、「統計の単位時間」は統計データの時間分解能を示しており、上述した統計データの単位時間と一致する。例えば、単位時間が1分である場合、1分間に検出されたイベントで１つの統計データが構成される。離散フーリエ変換の数学的な特性上、2の乗数個の統計データを用いると、最も効率的なフーリエ変換処理を実施することができる。そのため、図８では、32個の統計データを用いて離散フーリエ変換を行うこととしている。
【００４３】
また、図８において、「周波数」は、周波数軸上の分布における最大周波数と最小周波数を示している。例えば単位時間が1分である場合、周波数軸上の分布におけるスペクトルの最大周波数は0.00833Hzであり、最小周波数は0Hzである。これらの周波数の間に32個のスペクトルが存在することになる。図８に示されるように複数の単位時間を設けることによって、各単位時間に対応した周期の攻撃を検出するのに適した周波数軸上の分布を得ることができる。例えば、単位時間が1分である場合、生成された周波数軸上の分布は、数分周期の攻撃を検出するのに適している。ログ分析部１０４は、各単位時間に対応した統計データから、各単位時間に対応した周波数軸上の分布を生成する。
【００４４】
上記のような複数の単位時間を設け、各単位時間に対応した周波数軸上の分布を生成する場合、周波数軸上の分布の元となる時間軸上の分布を構成するための、各単位時間の統計データを生成する必要がある。従来の手法では、ログに記録されたイベントを1分単位でまとめ、同様にして同一のログに記録されたイベントを0.5時間単位でまとめ、同様にして同一のログに記録されたイベントを0.5日単位でまとめ、同様にして同一のログに記録されたイベントを0.5ヶ月単位でまとめるという処理を行うことになる（図１７参照）。しかし、この手法には、段階的に設定する単位時間の数が多くなればなるほど、処理負荷が高く、効率が悪いという問題がある。
【００４５】
そこで、本実施形態では、以下のようにして、各単位時間に対応した統計データを生成する（図９参照）。ログ保存部１０２は、ログ収集部１０１から出力されたログ（ログ９０１）の内容に基づいて、パラメータ毎に1分を単位時間としてイベントをまとめ、統計データ（１）（統計データ９０２）を複数生成し、記憶部１０３に格納する（ステップＳ３００）。ログ分析部１０４は、分析対象とするパラメータについての統計データ（１）を記憶部１０３から読み出す。1分間に検出されたイベントをまとめた統計データ（１）を１個の統計データとして数えることにすると、ログ分析部１０４は、連続する単位時間に対応した３０個の統計データ（１）（３０分のデータに相当）をまとめて、0.5時間を単位時間とする統計データ（２）（統計データ９０３）を複数生成する（ステップＳ３１０）。
【００４６】
ログ分析部１０４は同様にして、連続する単位時間に対応した２４個の統計データ（２）（１２時間、言い換えると0.5日のデータに相当）をまとめて、0.5日を単位時間とする統計データ（３）（統計データ９０４）を複数生成する（ステップＳ３２０）。さらに、ログ分析部１０４は同様にして、連続する単位時間に対応した３０個の統計データ（３）（１５日、言い換えると0.5ヶ月のデータに相当）をまとめて、0.5ヶ月を単位時間とする統計データ（４）（統計データ９０５）を複数生成する（ステップＳ３３０）。
【００４７】
上記の統計データ（１）〜（４）と、本発明における第１〜第２の統計データの関係を説明すると、本実施形態の統計データ（１）と統計データ（２）の関係、統計データ（２）と統計データ（３）の関係、および統計データ（３）と統計データ（４）の関係のそれぞれが本発明の第１の統計データと第２の統計データの関係に対応している。また、例えば統計データ（１）から統計データ（３）を生成してもよく、その場合には、統計データ（１）と統計データ（３）の関係が本発明の第１の統計データと第２の統計データの関係に対応している。
【００４８】
上述した統計データの生成手法では、第１の統計データをまとめて第２の統計データを生成するので、ログのデータから第２の統計データを生成する手法と比較して、統計データの生成に係る処理負荷を低減し、統計データを効率的に生成することができる。特に、段階的に設定する単位時間の数が多くなればなるほど、統計データの生成に係る処理負荷を低減する効果がより大きくなる。上記の手法の変形例として、記憶部１０３にログが格納されている場合に、ログ分析部１０４が統計データ（１）を生成するようにしてもよい。
【００４９】
統計データ（１）とは単位時間の異なる統計データ（例えば単位時間が1時間の統計データ）が記憶部１０３に格納されている場合（ログではなく、その統計データを出力するネットワーク機器があった場合等）、ログ分析部１０４は以下のようにして統計データをまとめる（図１０参照）。ログ分析部１０４は、統計データ（１）とは単位時間の異なる統計データ（第１の統計データとする）が、所定の条件を満たす統計データであった場合に、統計データ（１）と第１の統計データをまとめ、統計データ（２）（第２の統計データとする）を生成する。
【００５０】
まず、ログ分析部１０４は、第２の統計データの単位時間を第１の統計データの単位時間で割り、その商を求める（ステップＳ４００）。この際、２つの単位時間の単位（分、時間、日等）を揃えた上で割り算が行われる。続いて、ログ分析部１０４は、ステップＳ４００で求めた商が整数（１を超える整数）であるか否かを判定する（ステップＳ４１０）。商が整数であった場合には、ログ分析部１０４は、第２の統計データを生成する際に第１の統計データを用いると決定する（ステップＳ４２０）。一方、商が整数でなかった場合には、ログ分析部１０４は、他の単位時間の統計データを生成する際に第１の統計データを用いると決定する（ステップＳ４３０）。ステップＳ４３０の決定が行われた場合、第２の統計データの単位時間を変更して、上記と同じ処理が行われる。
【００５１】
図１１は、上述した処理によって生成される統計データの様子を示している。図１１では、ネットワーク機器Ａから、単位時間が1分である統計データ（統計データ１１０１）が出力され、ネットワーク機器Ｂから、単位時間が1時間である統計データ（統計データ１１０２）が出力され、ネットワーク機器Ｃから、単位時間が0.5日である統計データ（統計データ１１０３）が出力されたものとしている。
【００５２】
統計データ１１０１（単位時間：1分）と統計データ１１０４（単位時間0.5時間）の単位時間について、30分（＝0.5時間）÷1分＝30が成り立つため、上記に従うと、統計データ１１０１をまとめて統計データ１１０４を生成することができる。一方、統計データ１１０２（単位時間：1時間）と統計データ１１０４（単位時間：0.5時間）の単位時間について、0.5時間÷1時間＝0.5が成り立つため、上記に従うと、統計データ１１０４を生成する際に、統計データ１１０２を用いることはできない。
【００５３】
しかし、統計データ１１０５（単位時間：0.5日）と統計データ１１０２（単位時間：1時間）の単位時間について、12時間（＝0.5日）÷1時間＝12が成り立つため、上記に従うと、統計データ１１０２をまとめて統計データ１１０５を生成することができる。また、統計データ１１０５（単位時間：0.5日）と統計データ１１０４（単位時間：0.5時間）の単位時間について、12時間（＝0.5日）÷0.5時間＝24が成り立つため、上記に従うと、統計データ１１０４をまとめて統計データ１１０５を生成することができる。
【００５４】
したがって、互いに単位時間の長さの異なる統計データ１１０２と１１０４をまとめて統計データ１１０５を生成することができる。同様に、統計データ１１０３（単位時間：1.0日）を、統計データ１１０４や１１０５を生成する際に用いることはできないが、統計データ１１０５（単位時間：0.5日）と共に、統計データ１１０６（単位時間：0.5月）を生成する際に用いることはできる。上記のようにして生成された統計データ１１０１，１１０４，１１０５，１１０６の各々から時間軸上の分布が生成され、各時間軸上の分布が周波数軸上の分布に変換される。
【００５５】
上述した統計データの生成手法によれば、互いに単位時間の長さの異なる統計データをまとめて、それらの単位時間よりも単位時間の長い統計データを生成することができる。特に、ネットワーク機器からログではなく統計データが出力された場合でも、その統計データを、ログから生成された統計データとまとめて新たな統計データを生成することができる。
【００５６】
再び図５を参照し、周波数軸上の分布が生成された後に、ログ分析部１０４が行う処理の詳細な内容を説明する。単位時間の長さの等しい統計データから生成された周波数軸上の分布を同一種類の分布と定義すると、図８のように統計データの単位時間を４種類用意した場合には、４種類の分布が生成されることになる。以下の処理は、同一種類の分布を用いた処理であり、ある種類の分布についての処理と同様の処理が、別の種類の分布についても行われる。
【００５７】
周波数軸上の分布を生成した後、ログ分析部１０４は、周波数軸上の分布における特定の周波数帯内のパワーが全周波数帯内のパワーの総和に占める割合（全周波数帯のパワーに対する特定の周波数帯のパワーの含有率）を算出する（図５のステップＳ２２０）。異なる時間内に検出されたイベントに基づいた複数の周波数軸上の分布の各々について、同一の周波数帯に関するパワーの含有率が算出される。図１２は、各周波数帯のパワーの含有率の時間変化の例を示している。図１２に示されるように、全周波数帯に占める周波数帯Ａのパワーの割合が時刻t1で急上昇している。このように、ある周波数帯のパワーの含有率が急激に変化したことをネットワークの異常として検出することができるように、ログ分析部１０４は以下の処理を行う。
【００５８】
ログ分析部１０４は、複数の周波数軸上の分布の各々から算出した特定の周波数帯のパワーの含有率から確率分布を生成し（図５のステップＳ２３０）、続いてネットワークの異常度に関する値を算出する。図１３は確率分布の例を示している。μは、ステップＳ２３０で算出された特定の周波数帯のパワーの含有率の平均であり、σは標準偏差である。横軸は、平均値μからの距離を、標準偏差σを単位として表しており、縦軸は特定の周波数帯のパワーの含有率の出現確率（確率密度）を示している。Ｅ１、Ｅ２、・・・Ｅｋを、ｋ個の周波数軸上の分布から得られた特定の周波数帯のパワーの含有率とすると、標準偏差σは以下の［数２］で算出される。
【００５９】
【数２】
【００６０】
ログ分析部１０４は、以下の［数３］に従って、ネットワークの異常の有無を判定するための判定値Ｒを算出する。Ｅｋ＋１は、ネットワークの異常の有無の判定対象となる期間の特定の周波数帯のパワーの含有率である。［数３］において、ｆ（Ｅ）は正規分布の密度関数であり、以下の［数４］で表される。上記の例においては、特定の周波数帯のパワーの含有率の分布を正規分布と仮定しているが、ｆ（Ｅ）として指数分布やガンマ分布等の関数を適宜選択してもよい。
【００６１】
【数３】
【００６２】
【数４】
【００６３】
判定値Ｒは、図１３における領域１３０１の面積に相当する。ログ分析部１０４は、判定値Ｒが所定値未満（例えば5％）であった場合に、特定の周期性を有する攻撃がネットワーク上に出回り、ネットワークに異常が発生していると判定する。
【００６４】
上述したように、パワーの含有率に注目して分析処理を行うことによって、ネットワークの全体的な攻撃頻度の変化による攻撃の誤検知を低減することができる。また、特定の周波数帯のパワーの含有率に基づいて分析処理を行うことによって、異常の発生した周波数帯を特定することができる。
【００６５】
特定のネットワークのみのネットワーク機器から出力されたログまたは統計データを用いて上記の分析処理を行った場合には、周期性を有する攻撃がそのネットワークで発生しているか否かを検出することができる。しかし、複数のネットワーク機器から出力されたログまたは統計データを混合して用いて上記の分析処理を行った場合には、特定の周期性を有する攻撃が発生していることを検出することはできるものの、どのネットワークでそのような攻撃が発生しているのかを検出することはできない。そこで、以下のようにして、周期性を有する攻撃の発生しているネットワークを特定できるようにしてもよい。
【００６６】
単位時間の長さの等しい統計データから生成された周波数軸上の分布を同一種類の分布と定義すると、図８のように統計データの単位時間を４種類用意した場合には、４種類の分布が生成されることになる。以下の処理は、同一種類の分布を用いた処理であり、ある種類の分布についての処理と同様の処理が、別の種類の分布についても行われる。
【００６７】
ログ分析部１０４は、前述した方法と同様にして、周波数軸上の分布を生成する。ただし、各分布はネットワーク毎に生成される。図１４では、ネットワークＡに属するネットワーク機器のみから出力されたログまたは統計データから、ネットワークＡに係る周波数軸上の分布が生成される。ネットワークＢ，Ｃについても同様に、各ネットワークに属するネットワーク機器のみから出力されたログまたは統計データから、各ネットワークに係る周波数軸上の分布が生成される。
【００６８】
ログ分析部１０４は、特定のネットワークに係る周波数軸上の分布における特定の周波数帯（周波数帯Ｆとする）内のパワーが、そのネットワークを含む複数のネットワークに係る周波数軸上の分布における特定の周波数帯（上記と同じ周波数帯Ｆ）内のパワーの総和に占める割合（特定の周波数帯に関する、全ネットワークのパワーに対する特定のネットワークのパワーの含有率）を算出する（図１４のステップＳ５００）。例えば、ネットワークＡに関する周波数軸上の分布における特定の周波数帯内のパワーをＰＡ、ネットワークＢに関する周波数軸上の分布における特定の周波数帯内のパワーをＰＢ、ネットワークＣに関する周波数軸上の分布における特定の周波数帯内のパワーをＰＣとすると、ネットワークＡのパワーの含有率Ｅは以下のように算出される。
Ｅ＝ＰＡ／（ＰＡ＋ＰＢ＋ＰＣ）
【００６９】
また、ネットワークＡ，Ｂ，Ｃの全体に関する周波数軸上の分布における特定の周波数帯内のパワーをＰＡＢＣとすると、ネットワークＡのパワーの含有率Ｅを以下のように算出してもよい。
Ｅ＝ＰＡ／ＰＡＢＣ
【００７０】
上記と同様にして、異なる時間内に検出されたイベントに基づいた複数の周波数軸上の分布の各々について、同一の周波数帯に関する特定のネットワークのパワーの含有率が算出される。図１５は、各ネットワークのパワーの含有率の時間変化の例を示している。図１５に示されるように、全ネットワークに占めるネットワークＡのパワーの割合が時刻t2で急上昇している。このように、あるネットワークのパワーの含有率が急激に変化したことをネットワークの異常として検出することができるように、ログ分析部１０４は以下の処理を行う。
【００７１】
ログ分析部１０４は、算出した特定のネットワークのパワーの含有率から確率分布（図１３と同様）を生成し（図１４のステップＳ５１０）、続いてネットワークの異常度に関する値を算出する。この際にログ分析部１０４は、前述した［数３］に従って、ネットワークの異常の有無を判定するための判定値Ｒを算出する。ログ分析部１０４は、判定値Ｒが所定値未満（例えば5％）であった場合に、特定の周期性を有する攻撃が特定のネットワーク上に出回り、そのネットワークに異常が発生していると判定する。上述したように、特定のネットワークのパワーの含有率に基づいて分析処理を行うことによって、異常の発生しているネットワークを特定することができる。
【００７２】
次に、注目すべきイベントを選定する手法を説明する。時刻帯の異なる世界各国から取得したログまたは統計データを用いて周波数解析を行うと、雑音成分が大きくなるため、周期性のあるイベントを検出することができない。そこで、処理対象のパラメータに係るイベントの中から、特定の地域に関するイベントを抽出し、そのイベントに係る統計データを用いて分析処理を行えばよい。
【００７３】
以下、具体的な処理の例を説明する。記憶部１０３には、各ネットワーク機器から出力されたログが格納されているものとする。ログ分析部１０４は記憶部１０３からログを読み出し、特定のパラメータに関するデータを抽出する。この際にログ分析部１０４は、Source CountryまたはSource IPに基づいて、ログに記録されたイベントの中から、特定の地域（１ヶ国単位あるいは数ヶ国単位等）に係るイベントを抽出し、そのイベントを対象とした新たな統計データ（本発明の第１の統計データに対応）を生成する。ログ分析部１０４は、生成した統計データを用いて、前述した処理と同様の処理を行う。
【００７４】
また、全てのパラメータを対象として、処理負荷の大きい離散フーリエ変換を含む周波数解析を行うと効率が悪いため、処理対象とするパラメータを絞ることによって、注目すべきイベントの数を減らしてもよい。以下、図１６を参照し、具体的な処理の例を説明する。まず、ログ分析部１０４は、特定のパラメータ（パケット数等）に関する統計データを用いて、前述した処理と同様にして周波数解析を行う（ステップＳ６００）。このとき、そのパラメータに係るイベントのうち、特定の地域に係るイベントを対象として周波数解析を行ってもよい。
【００７５】
続いて、ログ分析部１０４は、ステップＳ６００での周波数解析によって、特定の周波数帯でネットワークの異常が検出されたか否かを判定する（ステップＳ６１０）。いずれの周波数帯においてもネットワークの異常が検出されなかった場合には、処理が終了する。また、特定の周波数帯でネットワークの異常が検出された場合には、ログ分析部１０４は、ステップＳ６００で用いた統計データに記録されているパラメータのうち、頻度の大きなＮ種類のパラメータを選択する（ステップＳ６２０）。続いて、ログ分析部１０４は、選択した各々のパラメータについて順番に、前述した方法と同じ方法で周波数解析を行う（ステップＳ６３０）。
【００７６】
上述したように、注目すべきイベントを選定することによって、周波数解析に係る処理の負荷を低減することができる。
【００７７】
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態によるログ分析装置の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。
【００７８】
ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００７９】
また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【図面の簡単な説明】
【００８０】
【図１】本発明の一実施形態によるログ分析装置を備えたシステムの構成を示すブロック図である。
【図２】本発明の一実施形態におけるログの分析処理の手順を示すフローチャートである。
【図３】本発明の一実施形態におけるログの内容を示す参考図である。
【図４】本発明の一実施形態における統計データの内容を示す参考図である。
【図５】本発明の一実施形態におけるログの分析処理を説明するための参考図である。
【図６】本発明の一実施形態における時間軸上の分布を示す参考図である。
【図７】本発明の一実施形態における周波数軸上の分布を示す参考図である。
【図８】本発明の一実施形態における統計データの生成方法を説明するための参考図である。
【図９】本発明の一実施形態における統計データの生成方法を説明するための参考図である。
【図１０】本発明の一実施形態における統計データの生成手順を示すフローチャートである。
【図１１】本発明の一実施形態における統計データの生成方法を説明するための参考図である。
【図１２】本発明の一実施形態におけるログの分析処理を説明するための参考図である。
【図１３】本発明の一実施形態における確率分布を示す参考図である。
【図１４】本発明の一実施形態におけるログの分析処理を説明するための参考図である。
【図１５】本発明の一実施形態におけるログの分析処理を説明するための参考図である。
【図１６】本発明の一実施形態におけるログの分析処理の手順を示すフローチャートである。
【図１７】従来の統計データの生成方法を説明するための参考図である。
【符号の説明】
【００８１】
１０・・・ログ分析装置、２０，２１，２２・・・ネットワーク、３０・・・セキュリティオペレーションセンター、１０１・・・ログ収集部、１０２・・・ログ保存部、１０３・・・記憶部、１０４・・・ログ分析部、１０５・・・インタフェース部、３０１・・・操作端末
【特許請求の範囲】
【請求項１】
ネットワーク機器から出力されたログに記録された特定のパラメータに係るイベントの第１の単位時間当たりの頻度を示す第１の統計データを生成する第１の統計データ生成手段と、
前記第１の単位時間よりも長い第２の単位時間内に検出されたイベントに係る複数の前記第１の統計データをまとめて、前記特定のパラメータに係るイベントの前記第２の単位時間当たりの頻度を示す第２の統計データを生成する第２の統計データ生成手段と、
複数の前記第１の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第１の周波数分布を生成する第１の周波数分布生成手段と、
複数の前記第２の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第２の周波数分布を生成する第２の周波数分布生成手段と、
前記第１の周波数分布および前記第２の周波数分布に基づいて、ネットワークの異常度に関する値を算出する算出手段と、
を備えたことを特徴とするログ分析装置。
【請求項２】
前記第２の統計データ生成手段は、前記第２の単位時間を前記第１の単位時間で除した値が整数である場合に、複数の前記第１の統計データをまとめて前記第２の統計データを生成することを特徴とする請求項１に記載のログ分析装置。
【請求項３】
前記算出手段は、前記第１の周波数分布における特定の周波数帯内のスペクトル値が全周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする請求項１または請求項２に記載のログ分析装置。
【請求項４】
前記算出手段は、特定のネットワークに係る前記第１の周波数分布における特定の周波数帯内のスペクトル値が、前記特定のネットワークを含む複数のネットワークに係る前記第１の周波数分布における前記特定の周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする請求項１または請求項２に記載のログ分析装置。
【請求項５】
前記ログに記録された特定のパラメータに係るイベントの中から、特定の地域に係るイベントを抽出するイベント抽出手段をさらに備え、
前記第１の統計データ生成手段は、前記イベント抽出手段によって抽出された、前記特定の地域に係る前記イベントを対象とした前記第１の統計データを複数生成する
ことを特徴とする請求項１〜請求項４のいずれかに記載のログ分析装置。
【請求項６】
前記算出手段によって算出された前記ネットワークの異常度に関する値がネットワークの異常を示している場合に、
前記第１の統計データ生成手段はさらに、イベントの頻度を基準にして選択したパラメータに係るイベントを対象とした前記第１の統計データを複数生成し、
前記第２の統計データ生成手段はさらに、新たに生成された複数の前記第１の統計データをまとめて前記第２の統計データを複数生成し、
前記第１の周波数分布生成手段はさらに、新たに生成された複数の前記第１の統計データから前記第１の周波数分布を生成し、
前記第２の周波数分布生成手段はさらに、新たに生成された複数の前記第２の統計データから前記第２の周波数分布を生成し、
前記算出手段は、新たに生成された前記第１の周波数分布および前記第２の周波数分布に基づいて、前記ネットワークの異常度に関する値を算出する
ことを特徴とする請求項１〜請求項５のいずれかに記載のログ分析装置。
【請求項７】
ネットワーク機器から出力されたログに記録された特定のパラメータに係るイベントの第１の単位時間当たりの頻度を示す第１の統計データを生成する第１のステップと、
前記第１の単位時間よりも長い第２の単位時間内に検出されたイベントに係る複数の前記第１の統計データをまとめて、前記特定のパラメータに係るイベントの前記第２の単位時間当たりの頻度を示す第２の統計データを生成する第２のステップと、
複数の前記第１の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第１の周波数分布を生成する第３のステップと、
複数の前記第２の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第２の周波数分布を生成する第４のステップと、
前記第１の周波数分布および前記第２の周波数分布に基づいて、ネットワークの異常度に関する値を算出する第５のステップと、
をコンピュータに実行させることを特徴とするログ分析プログラム。
【請求項８】
前記第２のステップでは、前記第２の単位時間を前記第１の単位時間で除した値が整数である場合に、複数の前記第１の統計データをまとめて前記第２の統計データを生成することを特徴とする請求項７に記載のログ分析プログラム。
【請求項９】
前記第５のステップでは、前記第１の周波数分布における特定の周波数帯内のスペクトル値が全周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする請求項７または請求項８に記載のログ分析プログラム。
【請求項１０】
前記第５のステップでは、特定のネットワークに係る前記第１の周波数分布における特定の周波数帯内のスペクトル値が、前記特定のネットワークを含む複数のネットワークに係る前記第１の周波数分布における前記特定の周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする請求項７または請求項８に記載のログ分析プログラム。
【請求項１１】
前記ログに記録された特定のパラメータに係るイベントの中から、特定の地域に係るイベントを抽出する第６のステップをさらに備え、
前記第１のステップでは、前記第６のステップで抽出された、前記特定の地域に係る前記イベントを対象とした前記第１の統計データを複数生成する
ことを特徴とする請求項７〜請求項１０のいずれかに記載のログ分析プログラム。
【請求項１２】
前記第５のステップで算出された前記ネットワークの異常度に関する値がネットワークの異常を示している場合に、
イベントの頻度を基準にして選択したパラメータに係るイベントを対象とした前記第１の統計データを複数生成する第７のステップと、
新たに生成された複数の前記第１の統計データをまとめて前記第２の統計データを複数生成する第８のステップと、
新たに生成された複数の前記第１の統計データから前記第１の周波数分布を生成する第９のステップと、
新たに生成された複数の前記第２の統計データから前記第２の周波数分布を生成する第１０のステップと、
新たに生成された前記第１の周波数分布および前記第２の周波数分布に基づいて、前記ネットワークの異常度に関する値を算出する第１１のステップと、
をさらに有することを特徴とする請求項７〜請求項１１のいずれかに記載のログ分析プログラム。
【請求項１３】
請求項７〜請求項１２のいずれかに記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体。
【請求項１】
ネットワーク機器から出力されたログに記録された特定のパラメータに係るイベントの第１の単位時間当たりの頻度を示す第１の統計データを生成する第１の統計データ生成手段と、
前記第１の単位時間よりも長い第２の単位時間内に検出されたイベントに係る複数の前記第１の統計データをまとめて、前記特定のパラメータに係るイベントの前記第２の単位時間当たりの頻度を示す第２の統計データを生成する第２の統計データ生成手段と、
複数の前記第１の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第１の周波数分布を生成する第１の周波数分布生成手段と、
複数の前記第２の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第２の周波数分布を生成する第２の周波数分布生成手段と、
前記第１の周波数分布および前記第２の周波数分布に基づいて、ネットワークの異常度に関する値を算出する算出手段と、
を備えたことを特徴とするログ分析装置。
【請求項２】
前記第２の統計データ生成手段は、前記第２の単位時間を前記第１の単位時間で除した値が整数である場合に、複数の前記第１の統計データをまとめて前記第２の統計データを生成することを特徴とする請求項１に記載のログ分析装置。
【請求項３】
前記算出手段は、前記第１の周波数分布における特定の周波数帯内のスペクトル値が全周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする請求項１または請求項２に記載のログ分析装置。
【請求項４】
前記算出手段は、特定のネットワークに係る前記第１の周波数分布における特定の周波数帯内のスペクトル値が、前記特定のネットワークを含む複数のネットワークに係る前記第１の周波数分布における前記特定の周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする請求項１または請求項２に記載のログ分析装置。
【請求項５】
前記ログに記録された特定のパラメータに係るイベントの中から、特定の地域に係るイベントを抽出するイベント抽出手段をさらに備え、
前記第１の統計データ生成手段は、前記イベント抽出手段によって抽出された、前記特定の地域に係る前記イベントを対象とした前記第１の統計データを複数生成する
ことを特徴とする請求項１〜請求項４のいずれかに記載のログ分析装置。
【請求項６】
前記算出手段によって算出された前記ネットワークの異常度に関する値がネットワークの異常を示している場合に、
前記第１の統計データ生成手段はさらに、イベントの頻度を基準にして選択したパラメータに係るイベントを対象とした前記第１の統計データを複数生成し、
前記第２の統計データ生成手段はさらに、新たに生成された複数の前記第１の統計データをまとめて前記第２の統計データを複数生成し、
前記第１の周波数分布生成手段はさらに、新たに生成された複数の前記第１の統計データから前記第１の周波数分布を生成し、
前記第２の周波数分布生成手段はさらに、新たに生成された複数の前記第２の統計データから前記第２の周波数分布を生成し、
前記算出手段は、新たに生成された前記第１の周波数分布および前記第２の周波数分布に基づいて、前記ネットワークの異常度に関する値を算出する
ことを特徴とする請求項１〜請求項５のいずれかに記載のログ分析装置。
【請求項７】
ネットワーク機器から出力されたログに記録された特定のパラメータに係るイベントの第１の単位時間当たりの頻度を示す第１の統計データを生成する第１のステップと、
前記第１の単位時間よりも長い第２の単位時間内に検出されたイベントに係る複数の前記第１の統計データをまとめて、前記特定のパラメータに係るイベントの前記第２の単位時間当たりの頻度を示す第２の統計データを生成する第２のステップと、
複数の前記第１の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第１の周波数分布を生成する第３のステップと、
複数の前記第２の統計データで構成される時間軸上の分布を周波数軸上の分布へ変換し、第２の周波数分布を生成する第４のステップと、
前記第１の周波数分布および前記第２の周波数分布に基づいて、ネットワークの異常度に関する値を算出する第５のステップと、
をコンピュータに実行させることを特徴とするログ分析プログラム。
【請求項８】
前記第２のステップでは、前記第２の単位時間を前記第１の単位時間で除した値が整数である場合に、複数の前記第１の統計データをまとめて前記第２の統計データを生成することを特徴とする請求項７に記載のログ分析プログラム。
【請求項９】
前記第５のステップでは、前記第１の周波数分布における特定の周波数帯内のスペクトル値が全周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする請求項７または請求項８に記載のログ分析プログラム。
【請求項１０】
前記第５のステップでは、特定のネットワークに係る前記第１の周波数分布における特定の周波数帯内のスペクトル値が、前記特定のネットワークを含む複数のネットワークに係る前記第１の周波数分布における前記特定の周波数帯内のスペクトル値の総和に占める割合を複数の前記第１の周波数分布の各々について算出し、算出した複数の割合の値から得た確率分布を用いて、前記ネットワークの異常度に関する値を算出すると共に、前記第２の周波数分布についても同様にして、前記ネットワークの異常度に関する値を算出することを特徴とする請求項７または請求項８に記載のログ分析プログラム。
【請求項１１】
前記ログに記録された特定のパラメータに係るイベントの中から、特定の地域に係るイベントを抽出する第６のステップをさらに備え、
前記第１のステップでは、前記第６のステップで抽出された、前記特定の地域に係る前記イベントを対象とした前記第１の統計データを複数生成する
ことを特徴とする請求項７〜請求項１０のいずれかに記載のログ分析プログラム。
【請求項１２】
前記第５のステップで算出された前記ネットワークの異常度に関する値がネットワークの異常を示している場合に、
イベントの頻度を基準にして選択したパラメータに係るイベントを対象とした前記第１の統計データを複数生成する第７のステップと、
新たに生成された複数の前記第１の統計データをまとめて前記第２の統計データを複数生成する第８のステップと、
新たに生成された複数の前記第１の統計データから前記第１の周波数分布を生成する第９のステップと、
新たに生成された複数の前記第２の統計データから前記第２の周波数分布を生成する第１０のステップと、
新たに生成された前記第１の周波数分布および前記第２の周波数分布に基づいて、前記ネットワークの異常度に関する値を算出する第１１のステップと、
をさらに有することを特徴とする請求項７〜請求項１１のいずれかに記載のログ分析プログラム。
【請求項１３】
請求項７〜請求項１２のいずれかに記載のログ分析プログラムを記録したコンピュータ読み取り可能な記録媒体。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２００７−２４３３３８（Ｐ２００７−２４３３３８Ａ）
【公開日】平成１９年９月２０日（２００７．９．２０）
【国際特許分類】
【出願番号】特願２００６−５９９８９（Ｐ２００６−５９９８９）
【出願日】平成１８年３月６日（２００６．３．６）
【出願人】（５９９１０８２６４）株式会社ＫＤＤＩ研究所 (233)
【Ｆターム（参考）】
【公開日】平成１９年９月２０日（２００７．９．２０）
【国際特許分類】
【出願日】平成１８年３月６日（２００６．３．６）
【出願人】（５９９１０８２６４）株式会社ＫＤＤＩ研究所 (233)
【Ｆターム（参考）】
[ Back to top ]