特開 2015-173406 分析システム、分析装置、及び分析プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】特開2015-173406(P2015-173406A)

(43)【公開日】2015年10月1日

(54)【発明の名称】分析システム、分析装置、及び分析プログラム

(51)【国際特許分類】

   H04L 12/70 20130101AFI20150904BHJP

   G06F 21/55 20130101ALI20150904BHJP

【ＦＩ】

   H04L12/70 100Z

   G06F21/00 155B

【審査請求】未請求

【請求項の数】6

【出願形態】ＯＬ

【全頁数】12

(21)【出願番号】特願2014-48938(P2014-48938)

(22)【出願日】2014年3月12日

(71)【出願人】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(71)【出願人】

【識別番号】301063496

【氏名又は名称】東芝ソリューション株式会社

(74)【代理人】

【識別番号】100108855

【弁理士】

【氏名又は名称】蔵田 昌俊

(74)【代理人】

【識別番号】100109830

【弁理士】

【氏名又は名称】福原 淑弘

(74)【代理人】

【識別番号】100103034

【弁理士】

【氏名又は名称】野河 信久

(74)【代理人】

【識別番号】100075672

【弁理士】

【氏名又は名称】峰 隆司

(74)【代理人】

【識別番号】100153051

【弁理士】

【氏名又は名称】河野 直樹

(74)【代理人】

【識別番号】100140176

【弁理士】

【氏名又は名称】砂川 克

(74)【代理人】

【識別番号】100158805

【弁理士】

【氏名又は名称】井関 守三

(74)【代理人】

【識別番号】100179062

【弁理士】

【氏名又は名称】井上 正

(74)【代理人】

【識別番号】100124394

【弁理士】

【氏名又は名称】佐藤 立志

(74)【代理人】

【識別番号】100112807

【弁理士】

【氏名又は名称】岡田 貴志

(74)【代理人】

【識別番号】100111073

【弁理士】

【氏名又は名称】堀内 美保子

(72)【発明者】

【氏名】小島 健司

(72)【発明者】

【氏名】池上 美千代

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030GA13

5K030GA15

5K030JA10

5K030MA04

5K030MB09

5K030MC07

5K030MC08

(57)【要約】

【課題】 採取装置から分析装置への通信データの送信量を適正に制御しながら、効果的なセキュリティ監視をすることを可能にする。
【解決手段】 本実施形態の分析システムは、監視対象システム３内のネットワークに配置された採取装置２と、採取装置２により採取された通信データをもとにセキュリティインシデント発生可能性を分析する分析装置１とを含む。採取装置２は、監視対象システム３内のネットワークの通信データのうちデータ採取のルールに応じた採取データを分析装置１に送信する。採取装置２は、ルールを分析装置１からの指示に応じて設定することができる。分析装置１は、採取装置２から送信された採取データを分析した結果、セキュリティインシデント発生の可能性があると判断される場合に、分析結果に応じて採取装置２に対してルールの変更を指示する。
【選択図】図１

【特許請求の範囲】

【請求項1】

監視対象システム内のネットワークに配置された採取装置と、前記採取装置により採取された通信データをもとにセキュリティインシデント発生可能性を分析する分析装置とを含む分析システムであって、
前記採取装置は、
前記ネットワークの通信データのうちデータ採取のルールに応じた採取データを前記分析装置に送信する送信手段と、
前記ルールを前記分析装置からの指示に応じて設定する採取ルール設定手段とを有し、
前記分析装置は、
前記送信手段により送信された前記採取データを分析した結果、セキュリティインシデント発生の可能性があると判断される場合に、分析結果に応じて前記採取装置に対して前記ルールの変更を指示する採取ルール管理手段を有した分析システム。

【請求項2】

前記採取ルール管理手段は、前記採取データとする前記通信データの範囲を示すルールを変更する請求項１記載の分析システム。

【請求項3】

前記採取ルール管理手段は、前記採取データを前記送信手段により送信するタイミングを示すルールを変更する請求項１記載の分析システム。

【請求項4】

監視対象システム内に前記採取装置を複数配置し、
前記採取ルール管理手段は、分析結果に応じて複数の前記採取装置に対して前記ルールの変更を指示する請求項１記載の分析システム。

【請求項5】

監視対象システム内のネットワークに配置された採取装置から受信された通信データをもとにセキュリティインシデント発生可能性を分析する分析手段と、
前記分析手段により前記通信データを分析した結果、セキュリティインシデント発生の可能性があると判断される場合に、分析結果に応じて前記採取装置に対して前記通信データを送信するルールの変更を指示する採取ルール管理手段とを有する分析装置。

【請求項6】

コンピュータを、
監視対象システム内のネットワークに配置された採取装置から受信された通信データをもとにセキュリティインシデント発生可能性を分析する分析手段と、
前記分析手段により前記通信データを分析した結果、セキュリティインシデント発生の可能性があると判断される場合に、分析結果に応じて前記採取装置に対して前記通信データを送信するルールの変更を指示する採取ルール管理手段として機能させるための分析プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、監視対象システムからシステムの動作に関わるログデータや通信データを収集し、その情報を利用して外部からの攻撃などのセキュリティインシデントの検出を行う、セキュリティ監視のための分析をする分析システム、分析装置、及び分析プログラムに関する。

【背景技術】

【0002】

外部からの攻撃などのセキュリティインシデント検出を目的としたシステム監視として、監視対象システム上の通信データやログデータなどを1か所に集め、そのデータの分析によりインシデントの検出を行う分析システムがある。このようなシステムでは、監視対象となるシステムに通信データやログデータを収集するための採取装置を複数設置し、この採取装置からクラウド上などに設置される分析装置にデータを集め、分析装置ではあらかじめ設定されているセキュリティインシデント分析用のルールによりセキュリティインシデントの兆候や発生を検出する。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００５−２０２６６４号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

通信データの分析により、セキュリティインシデントを効率的に検出するためには、通信データの採取装置を監視対象システム内の多数の箇所に置き、そこからの情報を分析装置に集め、多数の箇所から取得したデータを関連付けて分析を行うことが望ましい。しかし、その場合、多数の箇所からデータが分析装置に集約されるため、分析装置へのトラフィック、分析装置における処理量が膨大になるという課題があった。

【0005】

逆に、採取装置の設置個所を減らした場合、収集するデータ量が減るためトラフィックや処理量は問題とはならないが、分析に使用するデータ量が減少するため効率的にインシデントを検出することが難しくなる。

【0006】

本発明が解決しようとする課題は、採取装置から分析装置への通信データの送信量を適正に制御しながら、効果的なセキュリティ監視をすることが可能な分析システム、分析装置、及び分析プログラムを提供することである。

【課題を解決するための手段】

【0007】

実施形態によれば、分析システムは、監視対象システム内のネットワークに配置された採取装置と、前記採取装置により採取された通信データをもとにセキュリティインシデント発生可能性を分析する分析装置とを含む。前記採取装置は、前記ネットワークの通信データのうちデータ採取のルールに応じた採取データを前記分析装置に送信する送信手段と、前記ルールを前記分析装置からの指示に応じて設定する採取ルール設定手段とを有する。前記分析装置は、前記送信手段により送信された前記採取データを分析した結果、セキュリティインシデント発生の可能性があると判断される場合に、分析結果に応じて前記採取装置に対して前記ルールの変更を指示する採取ルール管理手段を有する。

【図面の簡単な説明】

【0008】

【図1】実施形態の通信データ分析システムの機能構成を示す機能ブロック図。

【図2】実施形態における通信データ分析システムの分析装置と採取装置の詳細な機能構成を示すブロック図。

【図3】実施形態における採取装置の配置例を示す図。

【図4】実施形態における採取装置の配置例を示す図。

【図5】実施形態における実施形態における分析装置の動作を示すフローチャート。

【図6】第１の実施形態における採取装置に設定された採取ルールの具体例を示す図。

【図7】第１の実施形態における採取装置に設定された採取ルールの具体例を示す図。

【図8】第２の実施形態における採取装置に設定された採取ルールの具体例を示す図。

【図9】第２の実施形態における採取装置に設定された採取ルールの具体例を示す図。

【発明を実施するための形態】

【0009】

以下、各実施形態について図面を参照して説明する。

【0010】

（第１の実施形態）
図１は、各実施形態に共通する通信データ分析システムの機能構成を示す機能ブロック図である。通信データ分析システムは、図１に示すように、分析装置１と、監視対象システム３内のネットワークに配置された複数の採取装置２（図１では３台の採取装置２−１，２−２，２−３を示す）とを含む。

【0011】

分析装置１は、監視対象システム３内において採取装置により採取された通信データ（採取データ）を受信して、この採取データを用いてセキュリティインシデントの可能性を分析する分析部１２と、分析部１２により採取データを分析した結果、セキュリティインシデント発生の可能性があると判断される場合に、分析結果に応じて採取装置２に対して、通信データを取得して分析装置１へ送信する採取ルールの変更を指示する採取ルール管理部１１とを有している。

【0012】

監視対象システム３は、例えばサーバ、データベース、端末装置（パーソナルコンピュータ）などを含む複数の情報機器３１（３１−１，３１−２，３１−３，３１−４，３１−５，…，３１−ｎ）がネットワークを介して接続された構成を有している。監視対象システム３は、例えばインターネットなどを含む外部ネットワーク４と接続されており、ファイアーウォール（ＦＷ）３２を通じて外部ネットワーク４とデータを送受信する。また、監視対象システム３には、ネットワークに複数のネットワークスイッチ３３（図１では、２つのネットワークスイッチ３３−１，３３−２を示す）が設けられている。複数のネットワークスイッチ３３−１，３３−２には、それぞれ複数の情報機器３１が接続される。

【0013】

採取装置２−１は、ネットワークの通信ケーブルに対して直列に接続され、通信ケーブルに流れる通信データを採取することができる。採取装置２−１は、外部ネットワーク４を通じた外部からの攻撃などのセキュリティインシデントを検出するためにファイアーウォール３２と接続されている。また、採取装置２−２，２−３は、ネットワークスイッチ３３に接続され、ネットワークスイッチ３３を流れる通信データを採取することができる。採取装置２−１，２−２，２−３よる通信データの採取の詳細については後述する（図３、図４参照）。

【0014】

なお、図１では３台の採取装置２−１，２−２，２−３が設けられる構成としているが、監視対象システム３の構成などに応じて、任意の台数をネットワークの各所に配置することができる。また、採取装置２は、ファイアーウォール３２との間の通信ケーブルと直列に接続したり、ネットワークスイッチ３３−１，３３−２に接続したりする他にも、監視対象システム３においてネットワークを流れる通信データを採取可能であれば、他の場所に配置することが可能である。

【0015】

図２は、実施形態における通信データ分析システムの分析装置１と採取装置２−１の詳細な機能構成を示すブロック図である。
図２に示すように、分析装置１の分析部１２は、複数の採取装置２−１，２−２，２−３から送信された通信データ（採取データ）を収集する収集部１２ａ、収集部１２ａによって収集された採取データを分析装置１に設けられた記憶媒体に蓄積する蓄積部１２ｂ、蓄積部１２ｂにより蓄積された採取データに対してセキュリティインシデント発生の可能性があるかを分析するデータ分析部１２ｃ、データ分析部１２ｃによる分析結果に応じた処理を実行する対応部１２ｄを有する。データ分析部１２ｃは、複数の採取装置２−１，２−２，２−３から採取された通信データ（採取データ）について、採取装置２−１，２−２，２−３毎にセキュリティインシデント発生の可能性があるかを判断することができる。対応部１２ｄは、データ分析部１２ｃによって採取データにセキュリティインシデント発生の可能性があることが検出された場合、警告等を出力する他、採取ルール管理部１１に対して分析結果に応じて採取装置２の採取ルールを変更させる。

【0016】

分析装置１の採取ルール管理部１１は、分析部１２による分析結果に応じて、採取装置２に対して採取ルール変更を指示する。採取ルール管理部１１は、分析部１２による分析結果に応じて、採取装置２に対して指示すべき採取ルールなどが定義されたデータなどを、例えば採取ルール記憶部１１ａに記憶しているものとする。採取ルール管理部１１は、複数の採取装置２−１，２−２，２−３に対して、例えば１つの採取装置２から収集された採取データについてセキュリティインシデント発生の可能性があると判断された場合、該当する採取装置２に対してのみ採取ルール変更指示を出力しても良いし、複数の採取装置２に対して採取ルール変更指示を出力しても良い。

【0017】

一方、採取装置２−１のデータ処理部２３は、採取ルール設定部２１によって設定される採取ルールに従って、通信データから採取したデータを採取データとして分析装置１に対して送信する。データ処理部２３は、採取ルールに応じて、例えばデータの送信項目、データのサンプリング率、データの送信・非送信を決定し、必要な通信データ（採取データ）のみを分析装置１へ送信する。

【0018】

採取ルール設定部２１は、データ処理部２３に対して採取ルールを設定するもので、分析装置１の採取ルール管理部１１から採取ルール変更指示を受信した場合には、この指示に応じた採取ルールを変更して、データ処理部２３により採取され、分析装置１に送信される採取データの情報量を変更することができる。

【0019】

なお、採取装置２−２，２−３は、採取装置２−１と同様の機能を有するものとして詳細な説明を省略する。
次に、採取装置２−１，２−２，２−３による通信データの採取について説明する。
図３は、図１に示す採取装置２−１の配置例を示している。図３に示すように、採取装置２−１は、通信ケーブル３１ａに対して直列に接続される。採取装置２−１は、通信ケーブルを流れる通信データのうち、採取ルールに応じて分析装置１に送信するデータを決定し、採取データとして分析装置１に送信する。

【0020】

図４は、図１に示す採取装置２−２の配置例を示している。監視対象システム３では、ネットワークスイッチ３３−１のポート３３−１ａに接続されたネットワークに複数の情報機器３１が接続されている。情報機器３１は、ネットワークスイッチ３３−１を介して通信データを送受信する。図４に示すように、採取装置２−２は、ネットワークスイッチ３３−１のミラーポート３３−１ｂに接続される。ミラーポート３３−１ｂとは、ネットワークスイッチ３３−１において、他のポート３３−１ａが送受信する通信データを、同時に送出する機能を持ったポートのことである。採取装置２−２は、ミラーポート３３−１ｂより通信データを取り込み、この通信データから採取ルールに応じて採取データを決定して分析装置１に送信する。なお、採取装置２−３は、採取装置２−２と同様にして、ネットワークスイッチ３３−２と接続され、ミラーポートから通信データを取り込んで、採取ルールに応じた通信データを採取する。

【0021】

図３及び図４に示す採取装置２−１，２−２，２−３は、監視対象システム３内で使用される通信データのうち、採取ルールに該当する必要な通信データのみを採取データとして分析装置１に送信する。採取ルールは、例えば、通信データのフィールドごとに定められた条件により、採取装置２−１，２−２，２−３が採取する通信データの分析装置１への送信もしくは破棄を決定する条件を示す。採取ルールにより設定されるルールの属性は、例えば「送信元ＩＰアドレス」「宛先ＩＰアドレス」「送信元ポート番号」「プロトコル」「宛先ポート番号」などがあり、各属性の一致、不一致、範囲指定が可能である（採取ルールの具体例については後述する（図６、図７））。

【0022】

次に、本実施形態における通信データ分析システムの動作について説明する。図５は、本実施形態における分析装置１の動作を示すフローチャートである。
監視対象システム３内に配置された採取装置２−１，２−２，２−３は、それぞれ採取ルールに従って、通信データから必要なデータのみを採取データとして分析装置１に送信する。図６は、採取装置２−１，２−２，２−３に設定された採取ルールの具体例を示している。なお、複数の採取装置２−１，２−２，２−３に対して、同じ採取ルールを設定しても良いし、採取装置２−１，２−２，２−３が配置された場所に応じてそれぞれ異なる採取データを設定しても良い。

【0023】

図６に示すように、採取ルールは、複数の属性ごとの条件である値と、それに応じたアクションから構成される。図６の例では、「送信元ＩＰアドレス」が１９２．１６８．５．２〜１９２．１６８．５．２５４に一致せず、「宛先ＩＰアドレス」が１９２．１６８．５．１に一致し、「宛先ポート番号」が８０もしくは４４３、「プロトコル」がＴＣＰである通信データの場合に、分析装置１に通信データのヘッダ情報のみを採取データとして送信するという「アクション」を取ることを示している。このように、採取装置２−１，２−２，２−３から分析装置１へ送信するデータを絞り込む理由は、採取装置２で取得したすべての通信データを採取装置２から分析装置１へ送信した場合、分析装置１への通信量が膨大になり、それに伴い分析装置１での処理量が大きくなるためである。

【0024】

分析装置１は、分析部１２の収集部１２ａによって各採取装置２−１，２−２，２−３から送信される採取データを受信する（ステップＡ１）。蓄積部１２ｂは、収集部１２ａにより受信された採取データを蓄積する（ステップＡ２）。

【0025】

データ分析部１２ｃは、採取装置２−１，２−２，２−３から受信された採取データについて、あらかじめ設定されたルールを用いてセキュリティインシデントの検出を行う。具体的には、監視対象システム３の正常な利用では想定されない異常な通信データが発生していた場合に、攻撃発生等の疑いがあるものとして、セキュリティインシデントの可能性があると判断する。

【0026】

データ分析部１２ｃによる分析の結果、セキュリティインシデントの可能性がないと判断される場合（ステップＡ４、Ｎｏ）、分析装置１は、前述と同様にして、採取装置２−１，２−２，２−３から採取データを受信して、この採取データについての分析を継続する（ステップＡ１〜Ａ３）。

【0027】

一方、データ分析部１２ｃによる分析の結果、セキュリティインシデントの可能性があると判断される場合（ステップＡ４、Ｙｅｓ）、分析部１２の対応部１２ｄは、セキュリティインシデントの可能性があるとの警告を出力すると共に、採取ルール管理部１１に対して採取装置２に設定された採取ルールの変更を指示する。

【0028】

採取ルール管理部１１は、データ分析部１２ｃにおける分析結果をもとに、セキュリティインシデントの可能性が有ると判断された採取データの採取元である採取装置２について、通信データの取得を強化するため、当該採取装置２における採取ルールを決定し（ステップＡ５）、当該採取装置２の採取ルール設定部２１に対して、再設定する採取ルールへの変更指示を出す（ステップＡ６）。

【0029】

図７は、図６に示す採取ルールに対して変更された採取ルールの一例を示している。図７に示す採取ルールは、「宛先ポート番号」に対する条件を緩和して、すべてのポート番号の通信データを分析装置１への送信対象にしている。また、「アクション」について、通信データのヘッダ情報のみを採取していたところ、通信データのペイロード情報までを含むすべてのフィールドを分析装置１に送信するように変更している。

【0030】

このように、採取ルール２２を分析装置１からの指示により動的に変更することで、セキュリティインシデント発生の可能性の高い箇所から取得する採取データの情報量を増やすことができ、セキュリティインシデントの発生の可能性をより厳密に把握することが可能となるという効果が得られる。

【0031】

分析装置１は、採取ルールが変更されることにより情報量が増大された採取データを当該採取装置２から受信して、前述と同様にして、採取データに対して分析を継続する（ステップＡ７）。

【0032】

分析装置１の採取ルール管理部１１は、採取装置２の採取ルールを変更してから一定時間が経過した後に、分析部１２による分析によってセキュリティインシデントの可能性なしと判断された場合（ステップＡ８、Ｙｅｓ）、当該採取装置２に対して、再度、採取ルール変更指示を発行して、通常時に設定されている元の採取ルールに戻すように指示する（ステップＡ９）。すなわち、図７に示す採取ルールを、図６に示す採取ルールに変更する。

【0033】

このようにして、第１の実施形態における通信データ分析システムでは、採取装置２から分析装置１へ通信データを送信する際に、採取装置２に設定された採取ルールに応じて、分析装置１における分析に必要な通信データのみを分析装置１へ送信することができる。すなわち、セキュリティインシデントの可能性があると判断された場合にのみ、この判断がされた採取データを送信した採取装置２に対して採取データの情報量を増大させるように採取ルールを動的に決定することができる。従って、採取装置２から分析装置１への通信データの送信量を適正に制御しながら、効果的なセキュリティ監視をすることが可能となる。

【0034】

（第２の実施形態）
次に、第２の実施形態について説明する。第２の実施形態における通信データ分析システムの構成は、第１の実施形態で示した図１に示す構成と同じで有るものとして詳細な説明を省略する。
採取装置２から分析装置１に採取データを送信する場合に、採取装置２が採取したデータを即時に分析装置１に転送することは現実的ではなく、一定量もしくは一定時間、採取装置２にバッファリングした後、まとまった量の通信データを分析装置１に送信する実装が考えられる。ただし、この場合には採取したデータが採取装置２に一定時間留まるため、分析装置１では分析のリアルタイム性に欠けるという課題が考えられる。第２の実施形態では、この課題を解決するために、採取装置２から分析装置１への採取データ送信タイミングを動的に変更する。

【0035】

第２の実施形態における分析装置１および採取装置２の基本的な動作は第１の実施形態と同様である。第１の実施形態と異なる点は、採取装置２のデータ処理部２３に設定される採取ルールの内容と、採取ルール管理部１１から採取ルール設定部２１への採取ルール変更指示内容である。具体的には、採取装置２に設定される採取ルールは、図８に示すように、第１の実施形態と同じ「送信元ＩＰアドレス」「宛先ＩＰアドレス」「送信元ポート番号」「プロトコル」「宛先ポート番号」などの属性ごとの条件である値と、それに応じた「アクション」に加え、分析装置１への「送信タイミング」から構成される。

【0036】

図８に示す採取ルールの例では、「送信元ＩＰアドレス」が１９２．１６８．５．２〜１９２．１６８．５．２５４に一致せず、「宛先ＩＰアドレス」が１９２．１６８．５．１に一致し、「宛先ポート番号」が８０もしくは４４３、「プロトコル」がＴＣＰである通信データの場合に、分析装置１に通信データのヘッダ情報を採取データとして送信するという「アクション」を取ることを示しており、その「送信タイミング」は５分ごともしくは採取装置２でバッファリングしているデータ量が１００ＭＢｙｔｅに達した際に送信することを示している。

【0037】

採取装置２は、採取ルールに応じて通信データを採取してバッファリングし、採取ルールの「送信タイミング」に従ったタイミングでバッファリングしたデータについて、採取データとして分析装置１に送信する。

【0038】

このようにして、採取ルールに設定された「送信タイミング」により採取装置２から送信された通信データを分析装置１が収集し、あらかじめ設定されたルールを用いて分析部１２によりセキュリティインシデントの検出を行う。

【0039】

分析装置１の分析部１２においてセキュリティインシデントの可能性があると判断された場合、採取ルール管理部１１は、この分析の対象となった採取データの送信元である採取装置２からの通信データ取得を強化するため、当該採取装置２の採取ルール設定部２１に対して採取ルール変更指示を出す。

【0040】

具体的には、図８に示す採取ルールを図９に示すように「送信タイミング」を変更した採取ルールに変更する。図９に示す採取ルールでは、採取データの送信頻度は１分ごともしくは採取装置２でバッファリングしているデータ量が１０ＭＢｙｔｅに達した際に送信することを示している。すなわち、採取データの送信頻度が増加するように採取ルールを変更している。

【0041】

このように、採取装置２に設定される採取ルールを分析装置１からの指示により動的に変更することで、セキュリティインシデント発生の可能性の高い箇所から取得する情報の取得遅延を短くすることができ、よりリアルタイムに近い形でセキュリティインシデントを検出できるという効果がある。

【0042】

分析装置１の採取ルール管理部１１は、採取装置２の採取ルールを変更してから一定時間が経過した後に、当該採取装置２からの採取データについてセキュリティインシデントの可能性なしと判断した場合、再度、採取ルール変更指示を発行し、図９に示す採取ルールを通常時の図８に示す採取ルールに戻す。

【0043】

なお、前述した第２の実施形態では、送信タイミングとして、時間間隔とデータ量の２つの条件を用いた例を示したが、いずれか一方の条件を用いても良い。

【0044】

また、第１及び第２の実施形態では、セキュリティインシデント発生の可能性があると判断された採取データを送信した採取装置２に対して採取ルールを変更しているが、複数の採取装置２に対して採取ルールを変更するようにしても良い。例えば、採取装置２−１から受信された採取データに対する分析によって、セキュリティインシデント発生の可能性があると判断された場合には、前述したように、採取装置２−１の採取ルールを変更して、採取装置２−１から分析装置１に対して送信する通信データの情報量を増大させる。一方、その他の採取装置２−２，２−３に対して、分析装置１に送信する通信データの情報量を減らすように採取ルールを変更する。これにより、採取装置２−１，２−２，２−３から分析装置１に対して送信する全体の情報量が大きく増大しないようにできるため、分析装置１における処理負荷も大きく増大しないようにできる。

【0045】

また、セキュリティインシデント発生の可能性が検出された場合には、一時的に採取装置２−１，２−２，２−３から分析装置１へ送信する情報量の増大を許容可能であれば、採取装置２−１だけでなく、採取装置２−２，２−３に対しても分析装置１に送信する通信データの情報量が増大するように採取ルールを変更するようにしても良い。これにより、セキュリティインシデント発生の可能性に対して、適切に対処することが可能となる。

【0046】

なお、前述した説明では、第１の実施形態と第２の実施形態とを個別に説明しているが、各実施形態を組み合わせて実施することも可能である。例えば、複数の採取装置２のうち第１の実施形態に従い採取データを分析装置１に送信する採取装置２と、第２の実施形態に従い採取データを分析装置１に送信する採取装置２とが混在していても良い。

【0047】

また、前述した説明では、監視対象システム３のネットワークを流れる通信データを採取するとしているが、監視対象システム３において採取可能な他の通信データを採取データとして分析装置１に送信するようしても良い。例えば、ファイアーウォール３２（あるいはＩＰＳ（Intrusion Prevention System）：侵入防御システム等）などによって記録されるログデータや、ネットワークの利用状況を監視するトラフィック監視ツール等などによって記録されるフロー情報を、分析装置１における分析対象とする採取データとして分析装置１に送信することも可能である。この場合、分析装置１は、採取装置２から送信されるログデータやフロー情報などに対して分析可能な機能を有し、この分析結果に応じて、前述と同様にして、採取装置２における採取ルールを変更することができるものとする。また、ログデータや通信フローを採取する採取装置２は、監視対象システム３に含まれるファイアーウォール３２や情報機器３１に組み込まれた装置、あるいはファイアーウォール３２や情報機器３１において通信データ分析プログラムを実行することにより実現される機能として提供することができる。

【0048】

このようにして、本実施形態における分析システムでは、採取装置２から分析装置１へ通信データを送信する際に、採取装置２に設定された採取ルールに応じて、データの送信・非送信、データの送信項目、データの送信頻度を決定し、必要なデータのみを分析装置１へ送信することができる。この採取ルールは、分析装置１からの指示により動的に決定することができる。分析装置１は、採取装置２から取得した通信データ（採取データ）から、監視対象システム３におけるセキュリティインシデント発生可能性を分析し、インシデント発生可能性が高い箇所の通信データを集中して収集できるように採取ルールの設定を動的に変更する。

【0049】

このように動的に採取ルールの設定を変更することで、分析装置１へ送信するデータ量を抑えつつ、セキュリティインシデントの発生可能性が高いと判断した箇所について集中的にデータを収集することが可能となるため、効率的なセキュリティインシデントの分析が可能となる。

【0050】

なお、上記の各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フレキシブルディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

【0051】

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

【0052】

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

【0053】

さらに、各実施形態における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

【0054】

また、記憶媒体は１つに限らず、複数の媒体から上記の各実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

【0055】

なお、各実施形態におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記の各実施形態における各処理を実行するものであって、パーソナルコンピュータ等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

【0056】

また、各実施形態におけるコンピュータとは、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

【0057】

なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0058】

１…分析装置、２（２−１，２−２，２−３）…採取装置、３…監視対象システム、１１…採取ルール管理部、１２…分析部、２１…採取ルール設定部、２３…データ処理部。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】