ログ解析装置およびログ解析方法
【課題】専門知識を持たないオペレータ等であっても、通信装置が生成する大量の通信ログから通信装置が行う通信の挙動を容易に理解することを可能とする。
【解決手段】入力された通信ログから、通信ログに含まれる通信毎に、Ｍ種類（Ｍは４以上の整数）の特徴量からなる特徴量群を抽出し、この複数の特徴量群について、所定のフォーマットに基づく汎用ログを生成する。そして、抽出された特徴量群に含まれるＭ種類の特徴量のうちの特定の特徴量に基づいて複数の汎用ログを分類し、この分類された汎用ログに基づいて、汎用ログを分類した特定の特徴量ごとに、通信ログから抽出した複数の特徴量群についてＮ次元表示（Ｎは３≦Ｎ＜Ｍである整数）を行う。
【解決手段】入力された通信ログから、通信ログに含まれる通信毎に、Ｍ種類（Ｍは４以上の整数）の特徴量からなる特徴量群を抽出し、この複数の特徴量群について、所定のフォーマットに基づく汎用ログを生成する。そして、抽出された特徴量群に含まれるＭ種類の特徴量のうちの特定の特徴量に基づいて複数の汎用ログを分類し、この分類された汎用ログに基づいて、汎用ログを分類した特定の特徴量ごとに、通信ログから抽出した複数の特徴量群についてＮ次元表示（Ｎは３≦Ｎ＜Ｍである整数）を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ログを解析するためのログ解析装置、ログ解析方法およびログ解析プログラムに関する。
【背景技術】
【０００２】
従来、通信装置の管理、運用には、通信装置が出力する通信履歴（以下、「通信ログ」と称する）が用いられる。この通信ログには、通信装置と他の機器との間で取り交わされる通信の履歴が記載されており、各通信における、通信元、通信先、通信サービス名、通信開始時間、通信量を含む、各通信の内容を特徴づける情報が記載されている。
通信装置管理者は、このような通信ログを定期的に解析することにより、通信装置の状態を把握する。また、通信装置管理者はこのような通信ログを基に、通信装置の設定変更を計画、実施し、通信装置での効果的な通信を実現する。さらに、通信装置に障害が発生した場合には、通信装置管理者は通信ログを解析し、障害の原因の特定を行う。
【０００３】
しかし、通信装置の種類が増大すると、出力される通信ログの種類が増大する（ログ種増大の問題）。
また、通信装置の数の増大、あるいは通信装置が持つ機能の増大により、通信装置から出力される通信ログの量が増大する（ログサイズ増大の問題）。
図１１は、通信ログの一例を示す図である。図１１に示す通信ログは、コンピュータ・ネットワーク間でのデータ通信の制御を行い、不要なデータ通信の抑制を目的とするファイヤウォール（ｆｉｒｅｗａｌｌ）の通信ログである。このファイヤウォールの通信ログは、テキスト形式で出力される。例えば、図１１に示す通信ログ９００では、一つの行が一つの通信の内容を表しており、各通信の内容を特徴づける情報が記載されている。より具体的には、通信ログ９００の一つの行には、通信元、通信先、通信サービス名、通信開始時間、および通信量が含まれている。通信装置管理者は、図１１に示すような通信ログをエディタで開き、通信の状態が正常かどうかを解析する。
【０００４】
しかし、１日に取り交わされる通信件数は数十万件から数百万件以上になり得る。そして、それに伴い、通信ログに出力される行数も数十万行から数百万行になり得る。そのため、人手で通信ログを解析するのは、はなはだ困難であるという問題がある。さらに、通信ログは、通常、テキスト形式で出力されるため、通信装置管理者が解析を行う場合、通信ログの視認性が低く、解析がはなはだ困難であるという問題があった（解析困難の問題）。
【０００５】
上述したログ種増大の問題に対しては、出力される通信ログを、あらかじめ用意した所定のフォーマットに変換する方法が提案されている。例えば、特許文献１に記載のログ情報解析方法は、入力されたログ情報から時刻と他の所望のデータを抽出し、あらかじめ用意してある汎用ログフォーマットに従って入力されたログ情報を成形することで汎用ログを作成し、統一されたログ情報の解析処理の実行を可能としている。
【０００６】
また、上述した解析困難の問題に対しても、特許文献１では、テキスト形式のログ情報を図形式で表し、２次元表示にて、時系列に俯瞰表示する方法が提案されている。
また、特許文献１では、ログ情報から作成された汎用ログから時刻情報を抽出し、時刻情報を基にログ情報の件数のヒストグラムを時系列に俯瞰表示している。件数のヒストグラムの表示を確認することにより曜日毎、時間毎のログ情報の周期的な動きの把握が容易に行えることを可能としている。
【０００７】
また、特許文献１では、ログ情報の文字列の長さに対応した図を用いたアウトライン表示方法を提案している。具体的には、特許文献１では、選択したログ情報の一部について、ログ情報の文字列の長さに対応する抽象化された図形を用いてログ情報のアウトライン表示を行うとともに、ユーザが指定した単語およびタグ情報を出現頻度に応じた色分けでハイライト表示することで、可読性の向上を実現している。
また、特許文献１では、出現頻度の低いログメッセージは不正侵入等を示す可能性が高いとし、テキストマイニング技術を用いてログ情報から、単語の出現頻度を計測し、不正侵入等を判定する方法が提案されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００１−３５６９３９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
特許文献１では、テキスト形式の通信ログを図形式で表し、時系列に俯瞰表示する方法が提案され、上述した解析困難の問題の解決が試みられている。しかし、通信ログの文字列の長さは通信ログの内容を直接表示するものではない。通信ログの文字列の長さの図示から通信全体の動向は把握できるが、通信の内容を反映した挙動を理解することは出来ない。
【００１０】
また、特許文献１では、通信ログを２次元で表示しているため、多面的な観点から解析を行うのが困難である。
また、特許文献１では、通信ログ件数のヒストグラム表示方法が提案されているが、ヒストグラム表示方法により件数の推移を理解することは可能だが、通信ログの解析に重要な通信の内容を十分に反映するものではない。効果的な通信ログの解析には、通信ログに記載されている通信の内容を反映する属性を時系列に表示することが有効だが、特許文献1ではこの点については言及がなされていない。
【００１１】
また、通信装置管理者にとっては、通信ログに記載の通信が、本来許可されるべき通信なのか、それとも許可されるべき通信ではないのかという、通信内容に応じた通信の許可／不許可の解析およびその結果の表示が重要であるが、特許文献1ではそのような言及はなされていない。
また、特許文献１では、ユーザが指定した単語およびタグ情報を出現頻度に応じた色分け表示を行ってはいるが、出現頻度が少ないということは、その通信が他の通信に比べ特徴的であるという示唆にはなるが、不正侵入を示す可能性が高いというわけではない。不正侵入の頻度が高ければ正常動作の頻度が相対的に低くなり、期待した動作とは逆の動作をする場合もある。また、特徴的な通信を抽出するのならば、出現頻度が高くなっている通信も特定する必要がある。
【００１２】
そこで本発明は、上記従来の未解決の問題に着目してなされたものであり、専門知識を持たないオペレータ等であっても、通信装置が生成する大量の通信ログから通信装置が行う通信の挙動を容易に理解することを可能とする、ログ解析装置、ログ解析方法およびログ解析プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記問題を解決するために、本発明は、複数の通信を含む通信ログの入力を受け付ける通信ログ入力手段と、前記通信ログの前記通信毎に、Ｍ種類（Ｍは４以上の整数）の特徴量からなる特徴量群を抽出する特徴量抽出手段と、前記複数の特徴量群について、Ｎ次元表示（Ｎは３≦Ｎ＜Ｍである整数）を行う通信状況表示手段と、を有し、前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、前記通信状況表示手段は、前記Ｎ次元の少なくとも１次元を時間に関するものとしたことを特徴とするログ解析装置を提案する。
【００１４】
この構成によれば、通信の内容を具体的に表す特徴量を基に通信状況を表示するので、通信の内容を反映した挙動を一見して、容易に理解することが可能となる。また、通信の内容をＮ次元表示することで、多面的な観点から通信の状況を把握することが可能となる。
また、ログ解析装置は、前記複数の特徴量群について、所定のフォーマットに基づく汎用ログを生成する汎用ログ生成手段と、前記特徴量群に含まれるＭ種類の特徴量のうちの特定の特徴量に基づいて前記複数の汎用ログを分類する汎用ログ分類手段と、をさらに有し、前記通信状況表示手段は、前記分類された汎用ログに基づいて、前記特定の特徴量ごとに前記Ｎ次元表示を行うようになっていてもよい。
【００１５】
また、ログ解析装置は、通信が許可されるべきものであるか判定するための判定モデルを保持する判定モデル保持手段と、前記判定モデルに基づいて、前記通信ログに含まれる通信が許可されるべきものであるか判定する判定手段と、をさらに有し、前記通信状況表示手段は、前記判定手段における判定結果に基づいて前記Ｎ次元表示を行うようになっていてもよい。
この構成によれば、通信ログの中に記載されている通信について、通信が本来許可されるべき通信か、許可されるべき通信ではないのかを一見して、容易に理解することが可能になり、効果的な通信ログの解析を行うことができる。
【００１６】
また、ログ解析装置は、通信が許可されるべきものであるか判定するための判定モデルを保持する判定モデル保持手段と、前記判定モデルに基づいて、前記通信ログに含まれる通信が許可されるべきものであるか判定する判定手段と、前記汎用ログ分類手段にて分類された前記汎用ログを、前記Ｍ種類の特徴量のうちの前記特定の特徴量とは異なる特徴量に基づいて分類した後、さらに所定の時間単位で分類する汎用ログ時系列分類手段と、をさらに有し、前記判定手段は、前記汎用ログ時系列分類手段において所定の時間単位で分類された汎用ログ毎に前記判定を行い、前記通信状況表示手段は、その判定結果に基づいて前記Ｎ次元表示を行うようになっていてもよい。
この構成によれば、所定の時間単位で、通信が本来許可されるべき通信か、許可されるべき通信ではないのかがＮ次元表示される。これにより、通信が本来許可されるべき通信か、許可されるべき通信ではないのかについての全体的な傾向を一見して把握することができる。
【００１７】
また、前記通信状況表示手段は、さらに、前記通信ログに含まれる各通信の所定の時間単位における通信量にも基づいて前記Ｎ次元表示を行うようになっていてもよい。
であってもよい。
この構成によれば、さらに通信件数の推移をも容易に理解することが可能になり、通信全体の中で通信件数の大小が目立つ特徴的な通信が行われている箇所を時間とともに把握することが容易となる。
また、前記特徴量群に含まれる特徴量は、通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間であり、前記通信状況表示手段は、通信元ＩＰアドレス毎に、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間について３次元表示を行うようになっていてもよい。
【００１８】
また、本発明は、複数の通信を含む通信ログの入力を受け付ける通信ログ入力ステップ（例えば、図２のステップＳ１０２）と、前記通信ログの前記通信毎に、Ｍ種類の特徴量からなる特徴量群を抽出する特徴量抽出ステップ（例えば、図２のステップＳ１０４）と、前記複数の特徴量群について、Ｎ次元表示を行う通信状況表示ステップ（例えば、図２のステップＳ１１０）と、を有し、前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、前記通信状況表示ステップは、前記Ｎ次元の少なくとも１次元を時間に関するものとしたことを特徴とするログ解析方法を提案する。
この構成によれば、通信の内容を具体的に表す特徴量を基に通信状況を表示するので、通信の内容を反映した挙動を一見して、容易に理解することが可能となる。また、通信の内容をＮ次元表示することで、多面的な観点から通信の状況を把握することが可能となる。
【００１９】
また、本発明は、コンピュータに、複数の通信を含む通信ログの入力を受け付ける通信ログ入力ステップ（例えば、図２のステップＳ１０２）と、前記通信ログの前記通信毎に、Ｍ種類の特徴量からなる特徴量群を抽出する特徴量抽出ステップ（例えば、図２のステップＳ１０４）と、前記複数の特徴量群について、Ｎ次元表示を行う通信状況表示ステップ（例えば、図２のステップＳ１１０）と、を実行させるためのログ解析プログラムであって、前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、前記通信状況表示ステップは、前記Ｎ次元の少なくとも１次元を時間に関するものとしたことを特徴とするログ解析プログラムを提案する。
この構成によれば、通信の内容を具体的に表す特徴量を基に通信状況を表示するので、通信の内容を反映した挙動を一見して、容易に理解することが可能となる。また、通信の内容をＮ次元表示することで、多面的な観点から通信の状況を把握することが可能となる。
【発明の効果】
【００２０】
本発明によれば、一見して通信の挙動が把握可能であり、専門知識を持たないオペレータ等であっても、通信装置が生成する大量の通信ログから通信装置が行っている通信の挙動を容易に理解することが可能となる。
【図面の簡単な説明】
【００２１】
【図１】実施形態１にかかるログ解析装置の構成例を示す図である。
【図２】実施形態１にかかるログ解析装置の処理の流れを示すフロー図である。
【図３】実施形態１の通信状況表示部１１０における表示の具体例を示す図である。
【図４】実施形態２にかかるログ解析装置の構成例を示す図である。
【図５】実施形態２の通信状況表示部１１０における表示の具体例を示す図である。
【図６】実施形態３にかかるログ解析装置の構成例を示す図である。
【図７】実施形態３にかかるログ解析装置の処理の流れを示すフロー図である。
【図８】実施形態３の通信状況表示部１１０における表示の具体例を示す図である。
【図９】通信許可不許可判定モデル１３０を生成する装置の構成例を示す図である。
【図１０】通信許可不許可判定部１２２で出力される通信許可不許可フラッグの性能を表す図である。
【図１１】通信ログの一例を示す図である。
【発明を実施するための形態】
【００２２】
以下、本発明の実施の形態について、図面を参照しながら説明する。なお、以下の説明において参照する各図では、他の図と同等部分は同一符号によって示す。
（実施形態１）
（ログ解析装置の構成）
図１は、本実施形態にかかるログ解析装置の構成例を示す図である。同図に示すように、ログ解析装置１は、通信ログ入力部１０２、特徴量抽出部１０４、汎用ログ生成部１０６、汎用ログ分類部１０８、および通信状況表示部１１０、を備えている。
また、以下に説明する各構成の機能は、ログ解析装置１が備える図示せぬＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）が、ハードディスクやＲＯＭ（Ｒｅａd Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記憶装置に記憶されたプログラムを実行することにより実現される機能である。（以下、明細書を通じて同様である。）
【００２３】
通信ログ入力部１０２は、複数の通信を含む通信ログの入力を受け付ける。通信ログが入力される方法としては、外部の装置からネットワークを介して通信ログが受信されるようになっていてもよいし、記録媒体を介して入力される等となっていてもよい。なお、本実施形態においては、通信ログ入力部１０２において入力を受け付ける通信ログは、ログメッセージ転送のプロトコルであるＳｙｓｌｏｇの通信ログである。通信ログ入力部１０２は、具体的には、例えば、図示しないネットワークインタフェース等を介して受信した通信ログをデータベース等の形式でハードディスク等の記憶装置に記憶する。
【００２４】
特徴量抽出部１０４は、通信ログ入力部１０２で入力を受け付けた通信ログに含まれる通信毎に、Ｍ種類の特徴量からなる特徴量群を抽出する。また、特徴量の少なくとも一つは時間に関するものである。特徴量の具体例としては、例えば各通信の通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、通信開始時間、等が挙げられる。特徴量抽出部１０４は、具体的には、例えば、記憶装置にデータベース等の形式にて記憶されている通信ログから、通信毎にＭ種類の特徴量を抽出するための処理を実行し、この抽出結果をハードディスク等の記憶装置に記憶する。
【００２５】
汎用ログ生成部１０６は、特徴量抽出部１０４において抽出された複数の特徴量群について、所定のフォーマットに基づく汎用ログを生成する。「汎用ログ」とは、具体的には、例えば抽出した複数の特徴量を羅列して記載したものである。汎用ログ生成部１０６は、具体的には、例えば、記憶装置に記憶されている特徴量抽出部１０４での抽出結果から汎用ログを生成し、生成した汎用ログをハードディスク等の記憶装置に記憶する。
【００２６】
汎用ログ分類部１０８は、特徴量群に含まれるＭ種類の特徴量のうちの特定の特徴量に基づいて、汎用ログ生成部１０６で生成された複数の汎用ログを分類する。汎用ログ分類部１０８は、具体的には、例えば、記憶装置に記憶されている汎用ログを読み出し、特定の特徴量ごとに汎用ログを分類するための処理を実行し、この分類結果をハードディスク等の記憶装置に記憶する。
【００２７】
通信状況表示部１１０は、特徴量抽出部１０４において抽出した複数の特徴量群について、Ｎ次元表示を行う。また、通信状況表示部１１０は、Ｎ次元の少なくとも１次元を時間に関するものとする。また、通信状況表示部１１０は、汎用ログ分類部１０８において分類された汎用ログに基づいて、汎用ログ分類部１０８で汎用ログを分類した特徴量ごとのＮ次元表示を行う。通信状況表示部１１０は、具体的には、例えば、汎用ログ分類部１０８での分類結果を記憶装置から読み出し、この分類結果の内容に応じて、Ｎ次元表示出力するための表示用画像データの生成等の処理を実行した後、ディスプレイ等の表示装置に表示出力する。
【００２８】
なお、実施形態１〜３においては、Ｍ＝４、Ｎ＝３の場合について説明する。
（ログ解析装置の動作）
本実施形態にかかるログ解析装置１の動作について、図２を用いて説明する。図２は、本実施形態にかかるログ解析装置の処理の流れを示すフロー図である。
ファイヤウォール等の通信装置から出力される通信ログであるＳｙｓｌｏｇ１００は、通信ログ入力部１０２を介してログ解析装置１に入力される（ステップＳ１０２）。通信ログ入力部１０２にて受け付けられたＳｙｓｌｏｇ１００は、特徴量抽出部１０４において、各通信における特徴量群として、一通信毎に、通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間の組み合わせが抽出される（ステップＳ１０４）。
【００２９】
汎用ログ生成部１０６では、特徴量抽出部１０４で抽出された複数の特徴量群を用いて所定のフォーマットに従って、一通信毎に一つの汎用ログが生成される（ステップＳ１０６）。すなわち、ここでは通信ログに含まれている複数の通信に対応した複数の汎用ログが生成される。生成された複数の汎用ログは、汎用ログ分類部１０８において通信元ＩＰアドレス毎に分類され、通信元ＩＰアドレス別の汎用ログの集合が生成される（ステップＳ１０８）。
【００３０】
最後に、通信状況表示部１１０において、汎用ログ分類部１０８で出力された通信元ＩＰアドレス別の汎用ログの内容に基づき、通信開始時間、通信先ＩＰアドレス、および通信先ポート番号を用いて、通信元ＩＰアドレス別に３次元で表示出力される（ステップＳ１１０）。
図３は、通信状況表示部１１０における表示の具体例を示す図である。図３に示す３次元グラフ２００は、Ｘ軸方向が通信開始時間を、Ｙ軸方向が通信先ＩＰアドレスを、Ｚ軸方向が通信先ポート番号を示す。そして、通信元ＩＰアドレス別の汎用ログに含まれる通信開始時間、通信先ＩＰアドレス、通信先ポート番号の組み合わせ毎に、該当する通信開始時間、通信先ＩＰアドレス、および通信先ポート番号のグラフ２００上における交点が一つの点で表示されている。また、図３のグラフ２００は、特定の通信元ＩＰアドレスから、ＩＰアドレスＡおよびＩＰアドレスＢの二つの通信先ＩＰアドレスへの通信を表している。
【００３１】
図３に示すグラフは一つのみであるが、実際には、通信元ＩＰアドレス毎に図３に示すようなグラフが表示される。この場合、通信元ＩＰアドレス毎の複数のグラフは、一括して一つの画面に表示されてもよいし、例えば切替ボタンによってボタンを押下する毎に、画面に順次、表示されるようになっていてもよい。
図３に示すグラフ２００によれば、通信開始時間の推移とともに、同一の通信先ＩＰアドレスに対し、通信ポート番号が逐次変化している通信の挙動が容易に理解可能となる。つまり、通信開始時間、通信先ポート番号、および通信先ＩＰアドレスを３次元に表示することで、例えばファイヤウォール等やネットワーク通信に関する専門知識を持たないオペレータでも、通信の挙動に何らかの規則性が含まれていることを容易に理解することが可能となる。
【００３２】
図３に示されるような様々な通信先ポート番号にアクセスし走査する行為はポートスキャンと呼ばれ、例えばコンピュータウィルスの被害にあったコンピュータに感染したコンピュータウィルスが、自身を他のコンピュータに転送させることで自己拡散させる目的で、他のコンピュータの脆弱性を探索するために用いる手法の一つである。つまり、通信ログに含まれる特徴量である通信元ＩＰアドレスで汎用ログを分類して表示することにより、ログ解析装置１のオペレータは、このようなコンピュータウィルスに感染したコンピュータの独特の動作を素早く把握することができる。
【００３３】
（実施形態２）
実施形態２にかかるログ解析装置は、所定の時間単位における通信量を反映した表示を行う点が特徴である。
（ログ解析装置の構成）
図４は、本実施形態にかかるログ解析装置１の構成例を示す図である。本実施形態にかかるログ解析装置１は、実施形態１のログ解析装置と比較して、重みつき通信状況表示部１１０’を有する点が異なり、それ以外の構成については実施形態１のログ解析装置と同様である。
【００３４】
重みつき通信状況表示部１１０’は、実施形態１の通信状況表示部１００の機能に加えて、さらに通信ログに記載されている各通信の所定の時間単位における通信量にも基づいてＮ次元表示を行う。重みつき通信状況表示部１１０’は、具体的には、例えば通信開始時間、通信先ＩＰアドレス、および通信先ポート番号で特定されるグラフ上の箇所を、所定の時間単位における通信件数又は通信サイズ等に比例した大きさの点で表示する。これにより、通信の挙動の理解を容易にするだけではなく、通信件数や通信サイズ等の推移の理解が容易になる。
【００３５】
図５は、重みつき通信状況表示部１１０’における表示の具体例を示す図である。図５に示す３次元グラフ３００は、図３と同様に、Ｘ軸方向が通信開始時間を、Ｙ軸方向が通信先ＩＰアドレスを、Ｚ軸方向が通信先ポート番号を示す。図５に示すグラフ３００が図３に示すグラフ２００と異なる点は、グラフ３００上に表示する各点の大きさを、通信開始時間における所定の時間単位内における通信量に比例する大きさとしている点である。
【００３６】
図５に示すグラフ３００によれば、通信開始時間の推移とともに、通信の挙動だけではなく、例えば、グラフ３００上の範囲Ａで指し示される部分においては、多量の通信が行われていることを容易に把握することができる。その後、例えばログ解析装置１のオペレータは大量の通信が行われている箇所に対応する通信ログを優先的に解析することで、速やかで効果的な解析が可能になる。
【００３７】
（実施形態３）
実施形態３にかかるログ解析装置は、通信ログに含まれる各通信が、許可されるべきものであるか否かを判定し、その判定結果を反映した表示を行う点が特徴である。
（ログ解析装置の構成）
図６は、本実施形態にかかるログ解析装置１の構成例を示す図である。本実施形態にかかるログ解析装置１は、実施形態１のログ解析装置と比較して、汎用ログ時系列分類部１２０、通信許可不許可判定部１２２、および通信許可不許可判定モデル保持部１２４、を有する点が異なり、それ以外の構成については実施形態１のログ解析装置と同様である。
【００３８】
通信許可不許可判定モデル保持部１２４は、通信が許可されるべきものであるか判定するための通信許可不許可判定モデル１３０を、ハードディスク等の記憶装置に保持する。
汎用ログ時系列分類部１２０は、汎用ログ分類部１０８にて分類された汎用ログを、Ｍ種類の特徴量のうちの、汎用ログ分類部１０８で汎用ログを分類した特徴量とは異なる別の特徴量に基づいて分類した後、さらに所定の時間単位で分類する。汎用ログ時系列分類部１２０は、具体的には、例えば、汎用ログ分類部１０８での分類結果を記憶装置から読み出し、この分類結果を、汎用ログ分類部１０８で汎用ログを分類した特徴量とは異なる別の特徴量ごとに分類するための処理を実行し、さらにこの処理結果に対して所定の時間単位で分類する処理を実行する。そして、この処理結果をハードディスク等の記憶装置に記憶する。
【００３９】
通信許可不許可判定部１２２は、通信許可不許可判定モデル保持部１２４に保持されている通信許可不許可判定モデル１３０に基づいて、通信ログ入力部１０２にて受け付けられた通信ログに含まれる通信が許可されるべきものであるか判定する。また、通信許可不許可判定部１２２は、汎用ログ時系列分類部１２０において所定の時間単位で分類された汎用ログ毎にこの判定を行う。通信許可不許可判定部１２２は、具体的には、例えば、ハードディスク等の記憶装置から、通信許可不許可判定モデル１３０と、汎用ログ時系列分類部１２０での処理結果とを読み出し、各汎用ログの通信が許可されるべきものか否かを判定する処理を実行し、この判定結果をハードディスク等の記憶装置に記憶する。
また、通信状況表示部１１０は、通信許可不許可判定部１２２における判定結果に基づいてＮ次元表示を行う。
【００４０】
（ログ解析装置の動作）
本実施形態にかかるログ解析装置１の動作について、図７を用いて説明する。図７は、本実施形態にかかるログ解析装置の処理の流れを示すフロー図である。
ファイヤウォール等の通信装置から出力される通信ログであるＳｙｓｌｏｇ１００は、通信ログ入力部１０２を介してログ解析装置１に入力される（ステップＳ２０２）。通信ログ入力部１０２にて受け付けられたＳｙｓｌｏｇ１００は、特徴量抽出部１０４において、各通信における特徴量群として、一通信毎に、通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間の組み合わせが抽出される（ステップＳ２０４）。
【００４１】
汎用ログ生成部１０６では、特徴量抽出部１０４で抽出された特徴量群を用いて所定のフォーマットに従って、一通信毎に一つの汎用ログが生成される（ステップＳ２０６）。すなわち、ここでは通信ログに含まれている複数の通信に対応した複数の汎用ログが生成される。生成された複数の汎用ログは、汎用ログ分類部１０８において通信元ＩＰアドレス毎に分類され、通信元ＩＰアドレス別の汎用ログの集合が生成される（ステップＳ２０８）。
【００４２】
汎用ログ分類部１０８で出力された通信元ＩＰアドレス別の汎用ログは、汎用ログ時系列分類部１２０に入力される。汎用ログ時系列分類部１２０において、入力された通信元ＩＰアドレス別の汎用ログは通信先ＩＰアドレス別に分類されることで、通信元ＩＰアドレスおよび通信先ＩＰアドレス別の汎用ログの集合が生成される（ステップＳ２１０）。さらに、集合ごとに、各集合に含まれる複数の汎用ログは通信開始時間順でソートされ、先頭から１５分間隔で分類されて、最終的には、通信元ＩＰアドレスおよび通信先ＩＰアドレス毎に、１５分単位でまとめられた時系列別の汎用ログの集合が生成される（ステップＳ２１２）。
【００４３】
このようにして生成された汎用ログの時系列別の集合は、通信許可不許可判定部１２２に入力され、時系列別の汎用ログの集合ごとに、その集合に含まれる複数の通信全体が、本来許可されるべきものか、許可されるべきではないものかの判定がなされる（ステップＳ２１４）。具体的には、あらかじめ用意した通信許可不許可判定モデル１３０を用いて、機械学習手法の一つであるＳＶＭ（サポートベクターマシン）により、各通信の許可、不許可のいずれかを表す通信許可不許可フラッグが出力される。ここでは、各集合に含まれる複数の通信について、ポート番号がどのように変化しているか等のポート番号の動き等を判定要素として、時系列別の汎用ログの集合に対して一つの判定がなされる。
【００４４】
ここで、本実施形態では、通信許可不許可判定部１２２において機械学習手法の一つであるＳＶＭを用いて許可・不許可の判定処理を行っているが、ＳＶＭに限ることはなく、判別が可能な手法であればどのような手法であっても構わない。
例えば、ＳＶＭを用いなくとも、あらかじめ用意してある通信許可不許可ルールを用いて許可・不許可の判定処理を行っても構わない。具体的には、通信許可不許可ルールには許可もしくは不許可とすべきポート番号の推移の仕方についての記述がなされており、この条件と、時系列別の汎用ログの集合に含まれている通信のポート番号の推移の仕方とを比較することで、許可・不許可の判定処理を行ってもよい。この場合、通信許可不許可モデル１３０は、すなわち通信許可不許可ルールである。
【００４５】
図７に戻り、通信状況表示部１１０において、汎用ログ分類部１０８で出力された通信元ＩＰアドレス別の汎用ログの内容に基づき、通信開始時間、通信先ＩＰアドレス、および通信先ポート番号を用いて、通信元ＩＰアドレス別に３次元で表示出力される（ステップＳ２１６）。また、通信状況表示部１１０にて表示を行う際に、ステップＳ２１４において通信許可不許可判定部１２２で出力された通信許可不許可フラッグを基に、時系列別の汎用ログの集合に含まれる各通信に該当するグラフ上の点に対し、許可、不許可を異なる色、濃淡などで表現することで、許可、不許可を明確に判別できるように表示する。
【００４６】
なお、通信状況表示部１１０においては、汎用ログ分類部１０８で生成される通信元ＩＰアドレス別の汎用ログの内容ではなく、汎用ログ時系列分類部１２０で生成される通信元ＩＰアドレスおよび通信先ＩＰアドレス別の汎用ログの内容に基づいて、通信開始時間、通信先ＩＰアドレス、および通信先ポート番号を用いて、通信元ＩＰアドレスおよび通信先ＩＰアドレス毎に３次元で表示出力されてもよい。
【００４７】
図８は、通信状況表示部１１０における表示の具体例を示す図である。図８に示す３次元グラフ４００は、汎用ログ時系列分類部１２０で生成される通信元ＩＰアドレスおよび通信先ＩＰアドレス別の汎用ログの内容に基づいて３次元表示を行った３次元グラフである。３次元グラフ４００は、図３と同様に、Ｘ軸方向が通信開始時間を、Ｙ軸方向が通信先ＩＰアドレスを、Ｚ軸方向が通信先ポート番号を示す。そして、通信元ＩＰアドレスおよび通信先ＩＰアドレス別の汎用ログに含まれる通信開始時間と通信先ポート番号の組み合わせ毎に、該当する通信先ＩＰアドレス、通信開始時間、および通信先ポート番号のグラフ４００上における交点が一つの点で表示されている。なお、図８に示すグラフは一つのみであるが、実際には、通信元ＩＰアドレスおよび通信先ＩＰアドレス毎に、図８に示すようなグラフが表示される。
【００４８】
また、図８のグラフ４００上の範囲Ｙで指し示される部分は、許可されるべき通信を表している箇所であり、それ以外の部分は、許可されるべきではない通信を表した箇所である。このように、通信の許可、不許可を色などで識別可能とすることで、ファイヤウォール等やネットワーク通信に関する専門知識を持たないオペレータであっても、通信装置が行っている通信の挙動を容易に理解することが可能となり、ファイヤウォール等の設定の調整を効果的に実施することが可能になる。
【００４９】
（通信許可不許可判定モデル１３０の生成方法）
なお、通信許可不許可判定モデル１３０は、以下、説明する方法で作成することができる。図９は、通信許可不許可判定モデル１３０を生成する装置の構成例を示す図である。
図９に示すように、通信許可不許可判定モデル生成装置は、ログ入力部５０２、Ａｃｔｉｏｎつき特徴量抽出部５０４、Ａｃｔｉｏｎつき汎用ログ生成部５０６、Ａｃｔｉｏｎつき汎用ログ分類部５０８、Ａｃｔｉｏｎつき汎用ログ時系列分類部５１０、および通信許可不許可判定モデル生成部５１２、を備えている。
まず、ログ入力部５０２を介して、通信ログ５００が通信許可不許可判定モデル生成装置に入力される。この通信ログ５００は、例えばＳｙｓｌｏｇの通信ログである。通信ログ５００は、Ａｃｔｉｏｎつき特徴量抽出部５０４において、Ａｃｔｉｏｎつき特徴量として、一つの通信毎に、通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、通信開始時間、およびＡｃｔｉｏｎが抽出される。
【００５０】
ここで、「Ａｃｔｉｏｎ」とは、通信ログ５００を出力したファイヤウォール等の通信装置が、自装置を通過しようとする通信に対し、通過を許可したか否かを示すフラッグであり、通信の通過を許可した場合には“Ｐｅｒｍｉｔ”が、また通信の通過を許可しなかった場合には“Ｄｅｎｙ”が設定されている。
抽出されたＡｃｔｉｏｎつき特徴量は、Ａｃｔｉｏｎつき汎用ログ生成部５０６に入力される。Ａｃｔｉｏｎつき汎用ログ生成部５０６において、Ａｃｔｉｏｎつき特徴量を用いて、所定のフォーマットに従って、一通信毎に一つのＡｃｔｉｏｎつき汎用ログが生成される。すなわち、ここでは通信ログに含まれている複数の通信に対応した複数のＡｃｔｉｏｎつき汎用ログが生成される。
【００５１】
生成された複数のＡｃｔｉｏｎつき汎用ログは、Ａｃｔｉｏｎつき汎用ログ分類部５０８において通信元ＩＰアドレス毎に分類され、通信元ＩＰアドレス別のＡｃｔｉｏｎつき汎用ログの集合が生成される。
Ａｃｔｉｏｎつき汎用ログ分類部５０８で出力された通信元ＩＰアドレス別のＡｃｔｉｏｎつき汎用ログは、Ａｃｔｉｏｎつき汎用ログ時系列分類部５１０において、さらに通信先ＩＰアドレス毎に分類され、通信元ＩＰアドレスおよび通信先ＩＰアドレス別のＡｃｔｉｏｎつき汎用ログの集合が生成される。さらに、集合ごとに、各集合に含まれる複数のＡｃｔｉｏｎつき汎用ログは通信開始時間順にソートされた後、先頭から１５分間隔で分類され、最終的には、通信元ＩＰアドレスおよび通信先ＩＰアドレス別に、１５分単位でまとめられた時系列別のＡｃｔｉｏｎつき汎用ログの集合が生成される。
【００５２】
このようにして生成されたＡｃｔｉｏｎつき汎用ログの時系列別の集合は、通信許可不許可判定モデル生成部５１２に入力され、Ａｃｔｉｏｎつき汎用ログの時系列別の集合に含まれる複数の通信に記載のＡｃｔｉｏｎ情報を正解データとして、機械学習手法の一つであるＳＶＭで機械学習され、通信許可不許可判定モデル１３０が生成される。
図１０は、通信許可不許可判定部１２２で出力される通信許可不許可フラッグの性能を表す図である。図１０に示す表６００は、あらかじめ本来許可されるべき通信か否かが判明している二つの異なる通信ログ（Ｓｙｓｌｏｇ１０、Ｓｙｓｌｏｇ２０）に対し、二つの異なるモデルを用いて、通信許可不許可判定部１２２での判定処理を行った場合の正答率を比較する表である。
【００５３】
この二つの異なるモデルは、通信許可不許可判定モデル生成部５１２においてＳＶＭでの学習に用いられる特徴量の通信先ポート番号における値が異なる。一方は、通信先ポート番号の値として通信ポート番号自体（絶対値）を用いて通信許可不許可判定モデル１３０を生成したものであり、他方は、通信先ポート番号の値として通信ポート番号の変動値（相対値）を用いて通信許可不許可判定モデル１３０を生成したものである。
【００５４】
通信ポート番号の変動値は、Ａｃｔｉｏｎつき汎用ログ時系列分類部５１０において生成されるＡｃｔｉｏｎつき汎用ログの時系列別の集合の先頭に記載されている通信の通信ポート番号を０として、細分化Ａｃｔｉｏｎつき汎用ログの中に記載されている後続の通信の通信ポート番号を、先頭に記載されている通信の通信ポート番号との差分を示す値で置き換えたものである。
通信ポート番号の変動値（相対値）を用いて生成される通信許可不許可判定モデル１３０は、通信ポート番号自体（絶対値）を用いて作成される通信許可不許可判定モデル１３０よりも汎用性が高いモデルである。
【００５５】
また、通信ポート番号の変動値（相対値）は、通信ポート番号自体（絶対値）に比べて通信ポート番号自体の情報が欠落している。よって、通信ポート番号の変動値（相対値）を用いて生成された通信許可不許可判定モデル１３０に基づいて通信許可不許可判定部１２２での判定処理を行った場合、通信ポート番号自体（絶対値）を用いて生成された通信許可不許可判定モデル１３０に基づいて通信許可不許可判定部１２２での判定処理を行う場合に比べて正答率が低くなっている。しかしながら、いずれの通信許可不許可判定モデル１３０を用いて判定処理を行った場合でも、Ｓｙｓｌｏｇ１およびＳｙｓｌｏｇ２の双方に対し、９７％以上の高い正答率を示していることがわかる。
本実施形態にかかるログ解析装置によれば、通信の許可・不許可が色分けされて表示されるため、ファイヤウォール等やネットワーク通信に関する専門知識を持たないオペレータでも、ファイヤウォール等の設定の調整を効果的に実施することが可能になる。
【符号の説明】
【００５６】
１ ログ解析装置
１００ 通信状況表示部
１０２ 通信ログ入力部
１０４ 特徴量抽出部
１０６ 汎用ログ生成部
１０８ 汎用ログ分類部
１１０ 通信状況表示部
１１０’ 重みつき通信状況表示部
１２０ 汎用ログ時系列分類部
１２２ 通信許可不許可判定部
１２４ 通信許可不許可判定モデル保持部
１３０ 通信許可不許可モデル
２００、３００、４００ ３次元グラフ
５００ 通信ログ
５０２ ログ入力部
５０４ Ａｃｔｉｏｎつき特徴量抽出部
５０６ Ａｃｔｉｏｎつき汎用ログ生成部
５０８ Ａｃｔｉｏｎつき汎用ログ分類部
５１０ Ａｃｔｉｏｎつき汎用ログ時系列分類部
５１２ 通信許可不許可判定モデル生成部
【技術分野】
【０００１】
本発明は、通信ログを解析するためのログ解析装置、ログ解析方法およびログ解析プログラムに関する。
【背景技術】
【０００２】
従来、通信装置の管理、運用には、通信装置が出力する通信履歴（以下、「通信ログ」と称する）が用いられる。この通信ログには、通信装置と他の機器との間で取り交わされる通信の履歴が記載されており、各通信における、通信元、通信先、通信サービス名、通信開始時間、通信量を含む、各通信の内容を特徴づける情報が記載されている。
通信装置管理者は、このような通信ログを定期的に解析することにより、通信装置の状態を把握する。また、通信装置管理者はこのような通信ログを基に、通信装置の設定変更を計画、実施し、通信装置での効果的な通信を実現する。さらに、通信装置に障害が発生した場合には、通信装置管理者は通信ログを解析し、障害の原因の特定を行う。
【０００３】
しかし、通信装置の種類が増大すると、出力される通信ログの種類が増大する（ログ種増大の問題）。
また、通信装置の数の増大、あるいは通信装置が持つ機能の増大により、通信装置から出力される通信ログの量が増大する（ログサイズ増大の問題）。
図１１は、通信ログの一例を示す図である。図１１に示す通信ログは、コンピュータ・ネットワーク間でのデータ通信の制御を行い、不要なデータ通信の抑制を目的とするファイヤウォール（ｆｉｒｅｗａｌｌ）の通信ログである。このファイヤウォールの通信ログは、テキスト形式で出力される。例えば、図１１に示す通信ログ９００では、一つの行が一つの通信の内容を表しており、各通信の内容を特徴づける情報が記載されている。より具体的には、通信ログ９００の一つの行には、通信元、通信先、通信サービス名、通信開始時間、および通信量が含まれている。通信装置管理者は、図１１に示すような通信ログをエディタで開き、通信の状態が正常かどうかを解析する。
【０００４】
しかし、１日に取り交わされる通信件数は数十万件から数百万件以上になり得る。そして、それに伴い、通信ログに出力される行数も数十万行から数百万行になり得る。そのため、人手で通信ログを解析するのは、はなはだ困難であるという問題がある。さらに、通信ログは、通常、テキスト形式で出力されるため、通信装置管理者が解析を行う場合、通信ログの視認性が低く、解析がはなはだ困難であるという問題があった（解析困難の問題）。
【０００５】
上述したログ種増大の問題に対しては、出力される通信ログを、あらかじめ用意した所定のフォーマットに変換する方法が提案されている。例えば、特許文献１に記載のログ情報解析方法は、入力されたログ情報から時刻と他の所望のデータを抽出し、あらかじめ用意してある汎用ログフォーマットに従って入力されたログ情報を成形することで汎用ログを作成し、統一されたログ情報の解析処理の実行を可能としている。
【０００６】
また、上述した解析困難の問題に対しても、特許文献１では、テキスト形式のログ情報を図形式で表し、２次元表示にて、時系列に俯瞰表示する方法が提案されている。
また、特許文献１では、ログ情報から作成された汎用ログから時刻情報を抽出し、時刻情報を基にログ情報の件数のヒストグラムを時系列に俯瞰表示している。件数のヒストグラムの表示を確認することにより曜日毎、時間毎のログ情報の周期的な動きの把握が容易に行えることを可能としている。
【０００７】
また、特許文献１では、ログ情報の文字列の長さに対応した図を用いたアウトライン表示方法を提案している。具体的には、特許文献１では、選択したログ情報の一部について、ログ情報の文字列の長さに対応する抽象化された図形を用いてログ情報のアウトライン表示を行うとともに、ユーザが指定した単語およびタグ情報を出現頻度に応じた色分けでハイライト表示することで、可読性の向上を実現している。
また、特許文献１では、出現頻度の低いログメッセージは不正侵入等を示す可能性が高いとし、テキストマイニング技術を用いてログ情報から、単語の出現頻度を計測し、不正侵入等を判定する方法が提案されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００１−３５６９３９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
特許文献１では、テキスト形式の通信ログを図形式で表し、時系列に俯瞰表示する方法が提案され、上述した解析困難の問題の解決が試みられている。しかし、通信ログの文字列の長さは通信ログの内容を直接表示するものではない。通信ログの文字列の長さの図示から通信全体の動向は把握できるが、通信の内容を反映した挙動を理解することは出来ない。
【００１０】
また、特許文献１では、通信ログを２次元で表示しているため、多面的な観点から解析を行うのが困難である。
また、特許文献１では、通信ログ件数のヒストグラム表示方法が提案されているが、ヒストグラム表示方法により件数の推移を理解することは可能だが、通信ログの解析に重要な通信の内容を十分に反映するものではない。効果的な通信ログの解析には、通信ログに記載されている通信の内容を反映する属性を時系列に表示することが有効だが、特許文献1ではこの点については言及がなされていない。
【００１１】
また、通信装置管理者にとっては、通信ログに記載の通信が、本来許可されるべき通信なのか、それとも許可されるべき通信ではないのかという、通信内容に応じた通信の許可／不許可の解析およびその結果の表示が重要であるが、特許文献1ではそのような言及はなされていない。
また、特許文献１では、ユーザが指定した単語およびタグ情報を出現頻度に応じた色分け表示を行ってはいるが、出現頻度が少ないということは、その通信が他の通信に比べ特徴的であるという示唆にはなるが、不正侵入を示す可能性が高いというわけではない。不正侵入の頻度が高ければ正常動作の頻度が相対的に低くなり、期待した動作とは逆の動作をする場合もある。また、特徴的な通信を抽出するのならば、出現頻度が高くなっている通信も特定する必要がある。
【００１２】
そこで本発明は、上記従来の未解決の問題に着目してなされたものであり、専門知識を持たないオペレータ等であっても、通信装置が生成する大量の通信ログから通信装置が行う通信の挙動を容易に理解することを可能とする、ログ解析装置、ログ解析方法およびログ解析プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記問題を解決するために、本発明は、複数の通信を含む通信ログの入力を受け付ける通信ログ入力手段と、前記通信ログの前記通信毎に、Ｍ種類（Ｍは４以上の整数）の特徴量からなる特徴量群を抽出する特徴量抽出手段と、前記複数の特徴量群について、Ｎ次元表示（Ｎは３≦Ｎ＜Ｍである整数）を行う通信状況表示手段と、を有し、前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、前記通信状況表示手段は、前記Ｎ次元の少なくとも１次元を時間に関するものとしたことを特徴とするログ解析装置を提案する。
【００１４】
この構成によれば、通信の内容を具体的に表す特徴量を基に通信状況を表示するので、通信の内容を反映した挙動を一見して、容易に理解することが可能となる。また、通信の内容をＮ次元表示することで、多面的な観点から通信の状況を把握することが可能となる。
また、ログ解析装置は、前記複数の特徴量群について、所定のフォーマットに基づく汎用ログを生成する汎用ログ生成手段と、前記特徴量群に含まれるＭ種類の特徴量のうちの特定の特徴量に基づいて前記複数の汎用ログを分類する汎用ログ分類手段と、をさらに有し、前記通信状況表示手段は、前記分類された汎用ログに基づいて、前記特定の特徴量ごとに前記Ｎ次元表示を行うようになっていてもよい。
【００１５】
また、ログ解析装置は、通信が許可されるべきものであるか判定するための判定モデルを保持する判定モデル保持手段と、前記判定モデルに基づいて、前記通信ログに含まれる通信が許可されるべきものであるか判定する判定手段と、をさらに有し、前記通信状況表示手段は、前記判定手段における判定結果に基づいて前記Ｎ次元表示を行うようになっていてもよい。
この構成によれば、通信ログの中に記載されている通信について、通信が本来許可されるべき通信か、許可されるべき通信ではないのかを一見して、容易に理解することが可能になり、効果的な通信ログの解析を行うことができる。
【００１６】
また、ログ解析装置は、通信が許可されるべきものであるか判定するための判定モデルを保持する判定モデル保持手段と、前記判定モデルに基づいて、前記通信ログに含まれる通信が許可されるべきものであるか判定する判定手段と、前記汎用ログ分類手段にて分類された前記汎用ログを、前記Ｍ種類の特徴量のうちの前記特定の特徴量とは異なる特徴量に基づいて分類した後、さらに所定の時間単位で分類する汎用ログ時系列分類手段と、をさらに有し、前記判定手段は、前記汎用ログ時系列分類手段において所定の時間単位で分類された汎用ログ毎に前記判定を行い、前記通信状況表示手段は、その判定結果に基づいて前記Ｎ次元表示を行うようになっていてもよい。
この構成によれば、所定の時間単位で、通信が本来許可されるべき通信か、許可されるべき通信ではないのかがＮ次元表示される。これにより、通信が本来許可されるべき通信か、許可されるべき通信ではないのかについての全体的な傾向を一見して把握することができる。
【００１７】
また、前記通信状況表示手段は、さらに、前記通信ログに含まれる各通信の所定の時間単位における通信量にも基づいて前記Ｎ次元表示を行うようになっていてもよい。
であってもよい。
この構成によれば、さらに通信件数の推移をも容易に理解することが可能になり、通信全体の中で通信件数の大小が目立つ特徴的な通信が行われている箇所を時間とともに把握することが容易となる。
また、前記特徴量群に含まれる特徴量は、通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間であり、前記通信状況表示手段は、通信元ＩＰアドレス毎に、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間について３次元表示を行うようになっていてもよい。
【００１８】
また、本発明は、複数の通信を含む通信ログの入力を受け付ける通信ログ入力ステップ（例えば、図２のステップＳ１０２）と、前記通信ログの前記通信毎に、Ｍ種類の特徴量からなる特徴量群を抽出する特徴量抽出ステップ（例えば、図２のステップＳ１０４）と、前記複数の特徴量群について、Ｎ次元表示を行う通信状況表示ステップ（例えば、図２のステップＳ１１０）と、を有し、前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、前記通信状況表示ステップは、前記Ｎ次元の少なくとも１次元を時間に関するものとしたことを特徴とするログ解析方法を提案する。
この構成によれば、通信の内容を具体的に表す特徴量を基に通信状況を表示するので、通信の内容を反映した挙動を一見して、容易に理解することが可能となる。また、通信の内容をＮ次元表示することで、多面的な観点から通信の状況を把握することが可能となる。
【００１９】
また、本発明は、コンピュータに、複数の通信を含む通信ログの入力を受け付ける通信ログ入力ステップ（例えば、図２のステップＳ１０２）と、前記通信ログの前記通信毎に、Ｍ種類の特徴量からなる特徴量群を抽出する特徴量抽出ステップ（例えば、図２のステップＳ１０４）と、前記複数の特徴量群について、Ｎ次元表示を行う通信状況表示ステップ（例えば、図２のステップＳ１１０）と、を実行させるためのログ解析プログラムであって、前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、前記通信状況表示ステップは、前記Ｎ次元の少なくとも１次元を時間に関するものとしたことを特徴とするログ解析プログラムを提案する。
この構成によれば、通信の内容を具体的に表す特徴量を基に通信状況を表示するので、通信の内容を反映した挙動を一見して、容易に理解することが可能となる。また、通信の内容をＮ次元表示することで、多面的な観点から通信の状況を把握することが可能となる。
【発明の効果】
【００２０】
本発明によれば、一見して通信の挙動が把握可能であり、専門知識を持たないオペレータ等であっても、通信装置が生成する大量の通信ログから通信装置が行っている通信の挙動を容易に理解することが可能となる。
【図面の簡単な説明】
【００２１】
【図１】実施形態１にかかるログ解析装置の構成例を示す図である。
【図２】実施形態１にかかるログ解析装置の処理の流れを示すフロー図である。
【図３】実施形態１の通信状況表示部１１０における表示の具体例を示す図である。
【図４】実施形態２にかかるログ解析装置の構成例を示す図である。
【図５】実施形態２の通信状況表示部１１０における表示の具体例を示す図である。
【図６】実施形態３にかかるログ解析装置の構成例を示す図である。
【図７】実施形態３にかかるログ解析装置の処理の流れを示すフロー図である。
【図８】実施形態３の通信状況表示部１１０における表示の具体例を示す図である。
【図９】通信許可不許可判定モデル１３０を生成する装置の構成例を示す図である。
【図１０】通信許可不許可判定部１２２で出力される通信許可不許可フラッグの性能を表す図である。
【図１１】通信ログの一例を示す図である。
【発明を実施するための形態】
【００２２】
以下、本発明の実施の形態について、図面を参照しながら説明する。なお、以下の説明において参照する各図では、他の図と同等部分は同一符号によって示す。
（実施形態１）
（ログ解析装置の構成）
図１は、本実施形態にかかるログ解析装置の構成例を示す図である。同図に示すように、ログ解析装置１は、通信ログ入力部１０２、特徴量抽出部１０４、汎用ログ生成部１０６、汎用ログ分類部１０８、および通信状況表示部１１０、を備えている。
また、以下に説明する各構成の機能は、ログ解析装置１が備える図示せぬＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）が、ハードディスクやＲＯＭ（Ｒｅａd Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記憶装置に記憶されたプログラムを実行することにより実現される機能である。（以下、明細書を通じて同様である。）
【００２３】
通信ログ入力部１０２は、複数の通信を含む通信ログの入力を受け付ける。通信ログが入力される方法としては、外部の装置からネットワークを介して通信ログが受信されるようになっていてもよいし、記録媒体を介して入力される等となっていてもよい。なお、本実施形態においては、通信ログ入力部１０２において入力を受け付ける通信ログは、ログメッセージ転送のプロトコルであるＳｙｓｌｏｇの通信ログである。通信ログ入力部１０２は、具体的には、例えば、図示しないネットワークインタフェース等を介して受信した通信ログをデータベース等の形式でハードディスク等の記憶装置に記憶する。
【００２４】
特徴量抽出部１０４は、通信ログ入力部１０２で入力を受け付けた通信ログに含まれる通信毎に、Ｍ種類の特徴量からなる特徴量群を抽出する。また、特徴量の少なくとも一つは時間に関するものである。特徴量の具体例としては、例えば各通信の通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、通信開始時間、等が挙げられる。特徴量抽出部１０４は、具体的には、例えば、記憶装置にデータベース等の形式にて記憶されている通信ログから、通信毎にＭ種類の特徴量を抽出するための処理を実行し、この抽出結果をハードディスク等の記憶装置に記憶する。
【００２５】
汎用ログ生成部１０６は、特徴量抽出部１０４において抽出された複数の特徴量群について、所定のフォーマットに基づく汎用ログを生成する。「汎用ログ」とは、具体的には、例えば抽出した複数の特徴量を羅列して記載したものである。汎用ログ生成部１０６は、具体的には、例えば、記憶装置に記憶されている特徴量抽出部１０４での抽出結果から汎用ログを生成し、生成した汎用ログをハードディスク等の記憶装置に記憶する。
【００２６】
汎用ログ分類部１０８は、特徴量群に含まれるＭ種類の特徴量のうちの特定の特徴量に基づいて、汎用ログ生成部１０６で生成された複数の汎用ログを分類する。汎用ログ分類部１０８は、具体的には、例えば、記憶装置に記憶されている汎用ログを読み出し、特定の特徴量ごとに汎用ログを分類するための処理を実行し、この分類結果をハードディスク等の記憶装置に記憶する。
【００２７】
通信状況表示部１１０は、特徴量抽出部１０４において抽出した複数の特徴量群について、Ｎ次元表示を行う。また、通信状況表示部１１０は、Ｎ次元の少なくとも１次元を時間に関するものとする。また、通信状況表示部１１０は、汎用ログ分類部１０８において分類された汎用ログに基づいて、汎用ログ分類部１０８で汎用ログを分類した特徴量ごとのＮ次元表示を行う。通信状況表示部１１０は、具体的には、例えば、汎用ログ分類部１０８での分類結果を記憶装置から読み出し、この分類結果の内容に応じて、Ｎ次元表示出力するための表示用画像データの生成等の処理を実行した後、ディスプレイ等の表示装置に表示出力する。
【００２８】
なお、実施形態１〜３においては、Ｍ＝４、Ｎ＝３の場合について説明する。
（ログ解析装置の動作）
本実施形態にかかるログ解析装置１の動作について、図２を用いて説明する。図２は、本実施形態にかかるログ解析装置の処理の流れを示すフロー図である。
ファイヤウォール等の通信装置から出力される通信ログであるＳｙｓｌｏｇ１００は、通信ログ入力部１０２を介してログ解析装置１に入力される（ステップＳ１０２）。通信ログ入力部１０２にて受け付けられたＳｙｓｌｏｇ１００は、特徴量抽出部１０４において、各通信における特徴量群として、一通信毎に、通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間の組み合わせが抽出される（ステップＳ１０４）。
【００２９】
汎用ログ生成部１０６では、特徴量抽出部１０４で抽出された複数の特徴量群を用いて所定のフォーマットに従って、一通信毎に一つの汎用ログが生成される（ステップＳ１０６）。すなわち、ここでは通信ログに含まれている複数の通信に対応した複数の汎用ログが生成される。生成された複数の汎用ログは、汎用ログ分類部１０８において通信元ＩＰアドレス毎に分類され、通信元ＩＰアドレス別の汎用ログの集合が生成される（ステップＳ１０８）。
【００３０】
最後に、通信状況表示部１１０において、汎用ログ分類部１０８で出力された通信元ＩＰアドレス別の汎用ログの内容に基づき、通信開始時間、通信先ＩＰアドレス、および通信先ポート番号を用いて、通信元ＩＰアドレス別に３次元で表示出力される（ステップＳ１１０）。
図３は、通信状況表示部１１０における表示の具体例を示す図である。図３に示す３次元グラフ２００は、Ｘ軸方向が通信開始時間を、Ｙ軸方向が通信先ＩＰアドレスを、Ｚ軸方向が通信先ポート番号を示す。そして、通信元ＩＰアドレス別の汎用ログに含まれる通信開始時間、通信先ＩＰアドレス、通信先ポート番号の組み合わせ毎に、該当する通信開始時間、通信先ＩＰアドレス、および通信先ポート番号のグラフ２００上における交点が一つの点で表示されている。また、図３のグラフ２００は、特定の通信元ＩＰアドレスから、ＩＰアドレスＡおよびＩＰアドレスＢの二つの通信先ＩＰアドレスへの通信を表している。
【００３１】
図３に示すグラフは一つのみであるが、実際には、通信元ＩＰアドレス毎に図３に示すようなグラフが表示される。この場合、通信元ＩＰアドレス毎の複数のグラフは、一括して一つの画面に表示されてもよいし、例えば切替ボタンによってボタンを押下する毎に、画面に順次、表示されるようになっていてもよい。
図３に示すグラフ２００によれば、通信開始時間の推移とともに、同一の通信先ＩＰアドレスに対し、通信ポート番号が逐次変化している通信の挙動が容易に理解可能となる。つまり、通信開始時間、通信先ポート番号、および通信先ＩＰアドレスを３次元に表示することで、例えばファイヤウォール等やネットワーク通信に関する専門知識を持たないオペレータでも、通信の挙動に何らかの規則性が含まれていることを容易に理解することが可能となる。
【００３２】
図３に示されるような様々な通信先ポート番号にアクセスし走査する行為はポートスキャンと呼ばれ、例えばコンピュータウィルスの被害にあったコンピュータに感染したコンピュータウィルスが、自身を他のコンピュータに転送させることで自己拡散させる目的で、他のコンピュータの脆弱性を探索するために用いる手法の一つである。つまり、通信ログに含まれる特徴量である通信元ＩＰアドレスで汎用ログを分類して表示することにより、ログ解析装置１のオペレータは、このようなコンピュータウィルスに感染したコンピュータの独特の動作を素早く把握することができる。
【００３３】
（実施形態２）
実施形態２にかかるログ解析装置は、所定の時間単位における通信量を反映した表示を行う点が特徴である。
（ログ解析装置の構成）
図４は、本実施形態にかかるログ解析装置１の構成例を示す図である。本実施形態にかかるログ解析装置１は、実施形態１のログ解析装置と比較して、重みつき通信状況表示部１１０’を有する点が異なり、それ以外の構成については実施形態１のログ解析装置と同様である。
【００３４】
重みつき通信状況表示部１１０’は、実施形態１の通信状況表示部１００の機能に加えて、さらに通信ログに記載されている各通信の所定の時間単位における通信量にも基づいてＮ次元表示を行う。重みつき通信状況表示部１１０’は、具体的には、例えば通信開始時間、通信先ＩＰアドレス、および通信先ポート番号で特定されるグラフ上の箇所を、所定の時間単位における通信件数又は通信サイズ等に比例した大きさの点で表示する。これにより、通信の挙動の理解を容易にするだけではなく、通信件数や通信サイズ等の推移の理解が容易になる。
【００３５】
図５は、重みつき通信状況表示部１１０’における表示の具体例を示す図である。図５に示す３次元グラフ３００は、図３と同様に、Ｘ軸方向が通信開始時間を、Ｙ軸方向が通信先ＩＰアドレスを、Ｚ軸方向が通信先ポート番号を示す。図５に示すグラフ３００が図３に示すグラフ２００と異なる点は、グラフ３００上に表示する各点の大きさを、通信開始時間における所定の時間単位内における通信量に比例する大きさとしている点である。
【００３６】
図５に示すグラフ３００によれば、通信開始時間の推移とともに、通信の挙動だけではなく、例えば、グラフ３００上の範囲Ａで指し示される部分においては、多量の通信が行われていることを容易に把握することができる。その後、例えばログ解析装置１のオペレータは大量の通信が行われている箇所に対応する通信ログを優先的に解析することで、速やかで効果的な解析が可能になる。
【００３７】
（実施形態３）
実施形態３にかかるログ解析装置は、通信ログに含まれる各通信が、許可されるべきものであるか否かを判定し、その判定結果を反映した表示を行う点が特徴である。
（ログ解析装置の構成）
図６は、本実施形態にかかるログ解析装置１の構成例を示す図である。本実施形態にかかるログ解析装置１は、実施形態１のログ解析装置と比較して、汎用ログ時系列分類部１２０、通信許可不許可判定部１２２、および通信許可不許可判定モデル保持部１２４、を有する点が異なり、それ以外の構成については実施形態１のログ解析装置と同様である。
【００３８】
通信許可不許可判定モデル保持部１２４は、通信が許可されるべきものであるか判定するための通信許可不許可判定モデル１３０を、ハードディスク等の記憶装置に保持する。
汎用ログ時系列分類部１２０は、汎用ログ分類部１０８にて分類された汎用ログを、Ｍ種類の特徴量のうちの、汎用ログ分類部１０８で汎用ログを分類した特徴量とは異なる別の特徴量に基づいて分類した後、さらに所定の時間単位で分類する。汎用ログ時系列分類部１２０は、具体的には、例えば、汎用ログ分類部１０８での分類結果を記憶装置から読み出し、この分類結果を、汎用ログ分類部１０８で汎用ログを分類した特徴量とは異なる別の特徴量ごとに分類するための処理を実行し、さらにこの処理結果に対して所定の時間単位で分類する処理を実行する。そして、この処理結果をハードディスク等の記憶装置に記憶する。
【００３９】
通信許可不許可判定部１２２は、通信許可不許可判定モデル保持部１２４に保持されている通信許可不許可判定モデル１３０に基づいて、通信ログ入力部１０２にて受け付けられた通信ログに含まれる通信が許可されるべきものであるか判定する。また、通信許可不許可判定部１２２は、汎用ログ時系列分類部１２０において所定の時間単位で分類された汎用ログ毎にこの判定を行う。通信許可不許可判定部１２２は、具体的には、例えば、ハードディスク等の記憶装置から、通信許可不許可判定モデル１３０と、汎用ログ時系列分類部１２０での処理結果とを読み出し、各汎用ログの通信が許可されるべきものか否かを判定する処理を実行し、この判定結果をハードディスク等の記憶装置に記憶する。
また、通信状況表示部１１０は、通信許可不許可判定部１２２における判定結果に基づいてＮ次元表示を行う。
【００４０】
（ログ解析装置の動作）
本実施形態にかかるログ解析装置１の動作について、図７を用いて説明する。図７は、本実施形態にかかるログ解析装置の処理の流れを示すフロー図である。
ファイヤウォール等の通信装置から出力される通信ログであるＳｙｓｌｏｇ１００は、通信ログ入力部１０２を介してログ解析装置１に入力される（ステップＳ２０２）。通信ログ入力部１０２にて受け付けられたＳｙｓｌｏｇ１００は、特徴量抽出部１０４において、各通信における特徴量群として、一通信毎に、通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間の組み合わせが抽出される（ステップＳ２０４）。
【００４１】
汎用ログ生成部１０６では、特徴量抽出部１０４で抽出された特徴量群を用いて所定のフォーマットに従って、一通信毎に一つの汎用ログが生成される（ステップＳ２０６）。すなわち、ここでは通信ログに含まれている複数の通信に対応した複数の汎用ログが生成される。生成された複数の汎用ログは、汎用ログ分類部１０８において通信元ＩＰアドレス毎に分類され、通信元ＩＰアドレス別の汎用ログの集合が生成される（ステップＳ２０８）。
【００４２】
汎用ログ分類部１０８で出力された通信元ＩＰアドレス別の汎用ログは、汎用ログ時系列分類部１２０に入力される。汎用ログ時系列分類部１２０において、入力された通信元ＩＰアドレス別の汎用ログは通信先ＩＰアドレス別に分類されることで、通信元ＩＰアドレスおよび通信先ＩＰアドレス別の汎用ログの集合が生成される（ステップＳ２１０）。さらに、集合ごとに、各集合に含まれる複数の汎用ログは通信開始時間順でソートされ、先頭から１５分間隔で分類されて、最終的には、通信元ＩＰアドレスおよび通信先ＩＰアドレス毎に、１５分単位でまとめられた時系列別の汎用ログの集合が生成される（ステップＳ２１２）。
【００４３】
このようにして生成された汎用ログの時系列別の集合は、通信許可不許可判定部１２２に入力され、時系列別の汎用ログの集合ごとに、その集合に含まれる複数の通信全体が、本来許可されるべきものか、許可されるべきではないものかの判定がなされる（ステップＳ２１４）。具体的には、あらかじめ用意した通信許可不許可判定モデル１３０を用いて、機械学習手法の一つであるＳＶＭ（サポートベクターマシン）により、各通信の許可、不許可のいずれかを表す通信許可不許可フラッグが出力される。ここでは、各集合に含まれる複数の通信について、ポート番号がどのように変化しているか等のポート番号の動き等を判定要素として、時系列別の汎用ログの集合に対して一つの判定がなされる。
【００４４】
ここで、本実施形態では、通信許可不許可判定部１２２において機械学習手法の一つであるＳＶＭを用いて許可・不許可の判定処理を行っているが、ＳＶＭに限ることはなく、判別が可能な手法であればどのような手法であっても構わない。
例えば、ＳＶＭを用いなくとも、あらかじめ用意してある通信許可不許可ルールを用いて許可・不許可の判定処理を行っても構わない。具体的には、通信許可不許可ルールには許可もしくは不許可とすべきポート番号の推移の仕方についての記述がなされており、この条件と、時系列別の汎用ログの集合に含まれている通信のポート番号の推移の仕方とを比較することで、許可・不許可の判定処理を行ってもよい。この場合、通信許可不許可モデル１３０は、すなわち通信許可不許可ルールである。
【００４５】
図７に戻り、通信状況表示部１１０において、汎用ログ分類部１０８で出力された通信元ＩＰアドレス別の汎用ログの内容に基づき、通信開始時間、通信先ＩＰアドレス、および通信先ポート番号を用いて、通信元ＩＰアドレス別に３次元で表示出力される（ステップＳ２１６）。また、通信状況表示部１１０にて表示を行う際に、ステップＳ２１４において通信許可不許可判定部１２２で出力された通信許可不許可フラッグを基に、時系列別の汎用ログの集合に含まれる各通信に該当するグラフ上の点に対し、許可、不許可を異なる色、濃淡などで表現することで、許可、不許可を明確に判別できるように表示する。
【００４６】
なお、通信状況表示部１１０においては、汎用ログ分類部１０８で生成される通信元ＩＰアドレス別の汎用ログの内容ではなく、汎用ログ時系列分類部１２０で生成される通信元ＩＰアドレスおよび通信先ＩＰアドレス別の汎用ログの内容に基づいて、通信開始時間、通信先ＩＰアドレス、および通信先ポート番号を用いて、通信元ＩＰアドレスおよび通信先ＩＰアドレス毎に３次元で表示出力されてもよい。
【００４７】
図８は、通信状況表示部１１０における表示の具体例を示す図である。図８に示す３次元グラフ４００は、汎用ログ時系列分類部１２０で生成される通信元ＩＰアドレスおよび通信先ＩＰアドレス別の汎用ログの内容に基づいて３次元表示を行った３次元グラフである。３次元グラフ４００は、図３と同様に、Ｘ軸方向が通信開始時間を、Ｙ軸方向が通信先ＩＰアドレスを、Ｚ軸方向が通信先ポート番号を示す。そして、通信元ＩＰアドレスおよび通信先ＩＰアドレス別の汎用ログに含まれる通信開始時間と通信先ポート番号の組み合わせ毎に、該当する通信先ＩＰアドレス、通信開始時間、および通信先ポート番号のグラフ４００上における交点が一つの点で表示されている。なお、図８に示すグラフは一つのみであるが、実際には、通信元ＩＰアドレスおよび通信先ＩＰアドレス毎に、図８に示すようなグラフが表示される。
【００４８】
また、図８のグラフ４００上の範囲Ｙで指し示される部分は、許可されるべき通信を表している箇所であり、それ以外の部分は、許可されるべきではない通信を表した箇所である。このように、通信の許可、不許可を色などで識別可能とすることで、ファイヤウォール等やネットワーク通信に関する専門知識を持たないオペレータであっても、通信装置が行っている通信の挙動を容易に理解することが可能となり、ファイヤウォール等の設定の調整を効果的に実施することが可能になる。
【００４９】
（通信許可不許可判定モデル１３０の生成方法）
なお、通信許可不許可判定モデル１３０は、以下、説明する方法で作成することができる。図９は、通信許可不許可判定モデル１３０を生成する装置の構成例を示す図である。
図９に示すように、通信許可不許可判定モデル生成装置は、ログ入力部５０２、Ａｃｔｉｏｎつき特徴量抽出部５０４、Ａｃｔｉｏｎつき汎用ログ生成部５０６、Ａｃｔｉｏｎつき汎用ログ分類部５０８、Ａｃｔｉｏｎつき汎用ログ時系列分類部５１０、および通信許可不許可判定モデル生成部５１２、を備えている。
まず、ログ入力部５０２を介して、通信ログ５００が通信許可不許可判定モデル生成装置に入力される。この通信ログ５００は、例えばＳｙｓｌｏｇの通信ログである。通信ログ５００は、Ａｃｔｉｏｎつき特徴量抽出部５０４において、Ａｃｔｉｏｎつき特徴量として、一つの通信毎に、通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、通信開始時間、およびＡｃｔｉｏｎが抽出される。
【００５０】
ここで、「Ａｃｔｉｏｎ」とは、通信ログ５００を出力したファイヤウォール等の通信装置が、自装置を通過しようとする通信に対し、通過を許可したか否かを示すフラッグであり、通信の通過を許可した場合には“Ｐｅｒｍｉｔ”が、また通信の通過を許可しなかった場合には“Ｄｅｎｙ”が設定されている。
抽出されたＡｃｔｉｏｎつき特徴量は、Ａｃｔｉｏｎつき汎用ログ生成部５０６に入力される。Ａｃｔｉｏｎつき汎用ログ生成部５０６において、Ａｃｔｉｏｎつき特徴量を用いて、所定のフォーマットに従って、一通信毎に一つのＡｃｔｉｏｎつき汎用ログが生成される。すなわち、ここでは通信ログに含まれている複数の通信に対応した複数のＡｃｔｉｏｎつき汎用ログが生成される。
【００５１】
生成された複数のＡｃｔｉｏｎつき汎用ログは、Ａｃｔｉｏｎつき汎用ログ分類部５０８において通信元ＩＰアドレス毎に分類され、通信元ＩＰアドレス別のＡｃｔｉｏｎつき汎用ログの集合が生成される。
Ａｃｔｉｏｎつき汎用ログ分類部５０８で出力された通信元ＩＰアドレス別のＡｃｔｉｏｎつき汎用ログは、Ａｃｔｉｏｎつき汎用ログ時系列分類部５１０において、さらに通信先ＩＰアドレス毎に分類され、通信元ＩＰアドレスおよび通信先ＩＰアドレス別のＡｃｔｉｏｎつき汎用ログの集合が生成される。さらに、集合ごとに、各集合に含まれる複数のＡｃｔｉｏｎつき汎用ログは通信開始時間順にソートされた後、先頭から１５分間隔で分類され、最終的には、通信元ＩＰアドレスおよび通信先ＩＰアドレス別に、１５分単位でまとめられた時系列別のＡｃｔｉｏｎつき汎用ログの集合が生成される。
【００５２】
このようにして生成されたＡｃｔｉｏｎつき汎用ログの時系列別の集合は、通信許可不許可判定モデル生成部５１２に入力され、Ａｃｔｉｏｎつき汎用ログの時系列別の集合に含まれる複数の通信に記載のＡｃｔｉｏｎ情報を正解データとして、機械学習手法の一つであるＳＶＭで機械学習され、通信許可不許可判定モデル１３０が生成される。
図１０は、通信許可不許可判定部１２２で出力される通信許可不許可フラッグの性能を表す図である。図１０に示す表６００は、あらかじめ本来許可されるべき通信か否かが判明している二つの異なる通信ログ（Ｓｙｓｌｏｇ１０、Ｓｙｓｌｏｇ２０）に対し、二つの異なるモデルを用いて、通信許可不許可判定部１２２での判定処理を行った場合の正答率を比較する表である。
【００５３】
この二つの異なるモデルは、通信許可不許可判定モデル生成部５１２においてＳＶＭでの学習に用いられる特徴量の通信先ポート番号における値が異なる。一方は、通信先ポート番号の値として通信ポート番号自体（絶対値）を用いて通信許可不許可判定モデル１３０を生成したものであり、他方は、通信先ポート番号の値として通信ポート番号の変動値（相対値）を用いて通信許可不許可判定モデル１３０を生成したものである。
【００５４】
通信ポート番号の変動値は、Ａｃｔｉｏｎつき汎用ログ時系列分類部５１０において生成されるＡｃｔｉｏｎつき汎用ログの時系列別の集合の先頭に記載されている通信の通信ポート番号を０として、細分化Ａｃｔｉｏｎつき汎用ログの中に記載されている後続の通信の通信ポート番号を、先頭に記載されている通信の通信ポート番号との差分を示す値で置き換えたものである。
通信ポート番号の変動値（相対値）を用いて生成される通信許可不許可判定モデル１３０は、通信ポート番号自体（絶対値）を用いて作成される通信許可不許可判定モデル１３０よりも汎用性が高いモデルである。
【００５５】
また、通信ポート番号の変動値（相対値）は、通信ポート番号自体（絶対値）に比べて通信ポート番号自体の情報が欠落している。よって、通信ポート番号の変動値（相対値）を用いて生成された通信許可不許可判定モデル１３０に基づいて通信許可不許可判定部１２２での判定処理を行った場合、通信ポート番号自体（絶対値）を用いて生成された通信許可不許可判定モデル１３０に基づいて通信許可不許可判定部１２２での判定処理を行う場合に比べて正答率が低くなっている。しかしながら、いずれの通信許可不許可判定モデル１３０を用いて判定処理を行った場合でも、Ｓｙｓｌｏｇ１およびＳｙｓｌｏｇ２の双方に対し、９７％以上の高い正答率を示していることがわかる。
本実施形態にかかるログ解析装置によれば、通信の許可・不許可が色分けされて表示されるため、ファイヤウォール等やネットワーク通信に関する専門知識を持たないオペレータでも、ファイヤウォール等の設定の調整を効果的に実施することが可能になる。
【符号の説明】
【００５６】
１ ログ解析装置
１００ 通信状況表示部
１０２ 通信ログ入力部
１０４ 特徴量抽出部
１０６ 汎用ログ生成部
１０８ 汎用ログ分類部
１１０ 通信状況表示部
１１０’ 重みつき通信状況表示部
１２０ 汎用ログ時系列分類部
１２２ 通信許可不許可判定部
１２４ 通信許可不許可判定モデル保持部
１３０ 通信許可不許可モデル
２００、３００、４００ ３次元グラフ
５００ 通信ログ
５０２ ログ入力部
５０４ Ａｃｔｉｏｎつき特徴量抽出部
５０６ Ａｃｔｉｏｎつき汎用ログ生成部
５０８ Ａｃｔｉｏｎつき汎用ログ分類部
５１０ Ａｃｔｉｏｎつき汎用ログ時系列分類部
５１２ 通信許可不許可判定モデル生成部
【特許請求の範囲】
【請求項１】
複数の通信を含む通信ログの入力を受け付ける通信ログ入力手段と、
前記通信ログの前記通信毎に、Ｍ種類（Ｍは４以上の整数）の特徴量からなる特徴量群を抽出する特徴量抽出手段と、
前記複数の特徴量群について、Ｎ次元表示（Ｎは３≦Ｎ＜Ｍである整数）を行う通信状況表示手段と、
を有し、
前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、
前記通信状況表示手段は、前記Ｎ次元の少なくとも１次元を時間に関するものとした
ことを特徴とするログ解析装置。
【請求項２】
前記複数の特徴量群について、所定のフォーマットに基づく汎用ログを生成する汎用ログ生成手段と、
前記特徴量群に含まれるＭ種類の特徴量のうちの特定の特徴量に基づいて前記複数の汎用ログを分類する汎用ログ分類手段と、
をさらに有し、
前記通信状況表示手段は、前記分類された汎用ログに基づいて、前記特定の特徴量ごとに前記Ｎ次元表示を行うことを特徴とする請求項１に記載のログ解析装置。
【請求項３】
通信が許可されるべきものであるか判定するための判定モデルを保持する判定モデル保持手段と、
前記判定モデルに基づいて、前記通信ログに含まれる通信が許可されるべきものであるか判定する判定手段と、
をさらに有し、
前記通信状況表示手段は、前記判定手段における判定結果に基づいて前記Ｎ次元表示を行うことを特徴とする請求項１又は２に記載のログ解析装置。
【請求項４】
通信が許可されるべきものであるか判定するための判定モデルを保持する判定モデル保持手段と、
前記判定モデルに基づいて、前記通信ログに含まれる通信が許可されるべきものであるか判定する判定手段と、
前記汎用ログ分類手段にて分類された前記汎用ログを、前記Ｍ種類の特徴量のうちの前記特定の特徴量とは異なる特徴量に基づいて分類した後、さらに所定の時間単位で分類する汎用ログ時系列分類手段と、
をさらに有し、
前記判定手段は、前記汎用ログ時系列分類手段において所定の時間単位で分類された汎用ログ毎に前記判定を行い、
前記通信状況表示手段は、その判定結果に基づいて前記Ｎ次元表示を行う
ことを特徴とする請求項２に記載のログ解析装置。
【請求項５】
前記通信状況表示手段は、さらに、前記通信ログに含まれる各通信の所定の時間単位における通信量にも基づいて前記Ｎ次元表示を行うことを特徴とする請求項１から４のいずれか一項に記載のログ解析装置。
【請求項６】
前記特徴量群に含まれる特徴量は、通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間であり、
前記通信状況表示手段は、通信元ＩＰアドレス毎に、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間について３次元表示を行うことを特徴とする請求項１から５のいずれか一項に記載のログ解析装置。
【請求項７】
複数の通信を含む通信ログの入力を受け付ける通信ログ入力ステップと、
前記通信ログの前記通信毎に、Ｍ種類（Ｍは４以上の整数）の特徴量からなる特徴量群を抽出する特徴量抽出ステップと、
前記複数の特徴量群について、Ｎ次元表示（Ｎは３≦Ｎ＜Ｍである整数）を行う通信状況表示ステップと、
を有し、
前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、
前記通信状況表示ステップは、前記Ｎ次元の少なくとも１次元を時間に関するものとしたことを特徴とするログ解析方法。
【請求項８】
コンピュータに、
複数の通信を含む通信ログの入力を受け付ける通信ログ入力ステップと、
前記通信ログの前記通信毎に、Ｍ種類（Ｍは４以上の整数）の特徴量からなる特徴量群を抽出する特徴量抽出ステップと、
前記複数の特徴量群について、Ｎ次元表示（Ｎは３≦Ｎ＜Ｍである整数）を行う通信状況表示ステップと、
を実行させるためのログ解析プログラムであって、
前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、
前記通信状況表示ステップは、前記Ｎ次元の少なくとも１次元を時間に関するものとしたことを特徴とするログ解析プログラム。
【請求項１】
複数の通信を含む通信ログの入力を受け付ける通信ログ入力手段と、
前記通信ログの前記通信毎に、Ｍ種類（Ｍは４以上の整数）の特徴量からなる特徴量群を抽出する特徴量抽出手段と、
前記複数の特徴量群について、Ｎ次元表示（Ｎは３≦Ｎ＜Ｍである整数）を行う通信状況表示手段と、
を有し、
前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、
前記通信状況表示手段は、前記Ｎ次元の少なくとも１次元を時間に関するものとした
ことを特徴とするログ解析装置。
【請求項２】
前記複数の特徴量群について、所定のフォーマットに基づく汎用ログを生成する汎用ログ生成手段と、
前記特徴量群に含まれるＭ種類の特徴量のうちの特定の特徴量に基づいて前記複数の汎用ログを分類する汎用ログ分類手段と、
をさらに有し、
前記通信状況表示手段は、前記分類された汎用ログに基づいて、前記特定の特徴量ごとに前記Ｎ次元表示を行うことを特徴とする請求項１に記載のログ解析装置。
【請求項３】
通信が許可されるべきものであるか判定するための判定モデルを保持する判定モデル保持手段と、
前記判定モデルに基づいて、前記通信ログに含まれる通信が許可されるべきものであるか判定する判定手段と、
をさらに有し、
前記通信状況表示手段は、前記判定手段における判定結果に基づいて前記Ｎ次元表示を行うことを特徴とする請求項１又は２に記載のログ解析装置。
【請求項４】
通信が許可されるべきものであるか判定するための判定モデルを保持する判定モデル保持手段と、
前記判定モデルに基づいて、前記通信ログに含まれる通信が許可されるべきものであるか判定する判定手段と、
前記汎用ログ分類手段にて分類された前記汎用ログを、前記Ｍ種類の特徴量のうちの前記特定の特徴量とは異なる特徴量に基づいて分類した後、さらに所定の時間単位で分類する汎用ログ時系列分類手段と、
をさらに有し、
前記判定手段は、前記汎用ログ時系列分類手段において所定の時間単位で分類された汎用ログ毎に前記判定を行い、
前記通信状況表示手段は、その判定結果に基づいて前記Ｎ次元表示を行う
ことを特徴とする請求項２に記載のログ解析装置。
【請求項５】
前記通信状況表示手段は、さらに、前記通信ログに含まれる各通信の所定の時間単位における通信量にも基づいて前記Ｎ次元表示を行うことを特徴とする請求項１から４のいずれか一項に記載のログ解析装置。
【請求項６】
前記特徴量群に含まれる特徴量は、通信元ＩＰアドレス、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間であり、
前記通信状況表示手段は、通信元ＩＰアドレス毎に、通信先ＩＰアドレス、通信先ポート番号、および通信開始時間について３次元表示を行うことを特徴とする請求項１から５のいずれか一項に記載のログ解析装置。
【請求項７】
複数の通信を含む通信ログの入力を受け付ける通信ログ入力ステップと、
前記通信ログの前記通信毎に、Ｍ種類（Ｍは４以上の整数）の特徴量からなる特徴量群を抽出する特徴量抽出ステップと、
前記複数の特徴量群について、Ｎ次元表示（Ｎは３≦Ｎ＜Ｍである整数）を行う通信状況表示ステップと、
を有し、
前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、
前記通信状況表示ステップは、前記Ｎ次元の少なくとも１次元を時間に関するものとしたことを特徴とするログ解析方法。
【請求項８】
コンピュータに、
複数の通信を含む通信ログの入力を受け付ける通信ログ入力ステップと、
前記通信ログの前記通信毎に、Ｍ種類（Ｍは４以上の整数）の特徴量からなる特徴量群を抽出する特徴量抽出ステップと、
前記複数の特徴量群について、Ｎ次元表示（Ｎは３≦Ｎ＜Ｍである整数）を行う通信状況表示ステップと、
を実行させるためのログ解析プログラムであって、
前記特徴量群に含まれる特徴量の少なくとも一つは時間に関するものであり、
前記通信状況表示ステップは、前記Ｎ次元の少なくとも１次元を時間に関するものとしたことを特徴とするログ解析プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２０１１−１６６４７６（Ｐ２０１１−１６６４７６Ａ）
【公開日】平成２３年８月２５日（２０１１．８．２５）
【国際特許分類】
【出願番号】特願２０１０−２７３５６（Ｐ２０１０−２７３５６）
【出願日】平成２２年２月１０日（２０１０．２．１０）
【出願人】（０００００００３３）旭化成株式会社 (901)
【Ｆターム（参考）】
【公開日】平成２３年８月２５日（２０１１．８．２５）
【国際特許分類】
【出願日】平成２２年２月１０日（２０１０．２．１０）
【出願人】（０００００００３３）旭化成株式会社 (901)
【Ｆターム（参考）】
[ Back to top ]