特開 2016-171449 ホワイトリスト作成装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】特開2016-171449(P2016-171449A)

(43)【公開日】2016年9月23日

(54)【発明の名称】ホワイトリスト作成装置

(51)【国際特許分類】

   H04L 12/66 20060101AFI20160826BHJP

   H04L 12/70 20130101ALI20160826BHJP

【ＦＩ】

   H04L12/66 B

   H04L12/70 100Z

【審査請求】未請求

【請求項の数】5

【出願形態】ＯＬ

【全頁数】15

(21)【出願番号】特願2015-49775(P2015-49775)

(22)【出願日】2015年3月12日

(71)【出願人】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(71)【出願人】

【識別番号】301063496

【氏名又は名称】東芝ソリューション株式会社

(74)【代理人】

【識別番号】110001634

【氏名又は名称】特許業務法人 志賀国際特許事務所

(72)【発明者】

【氏名】池上 美千代

(72)【発明者】

【氏名】小島 健司

(72)【発明者】

【氏名】森尻 智昭

(72)【発明者】

【氏名】オソトクラパヌン パキン

(72)【発明者】

【氏名】大矢 章晴

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030GA14

5K030GA15

5K030HD01

5K030JA10

5K030KA07

5K030LC15

5K030MC07

(57)【要約】

【課題】監視装置の性能と使用環境に応じたホワイトリストを作成することができるホワイトリスト作成装置を提供することである。
【解決手段】実施形態のホワイトリスト作成装置は、取得部と、決定部とを持つ。取得部は、監視対象システムからログを取得する。決定部は、前記取得部により取得されたログの内容および数と、データが許可されたものか否かを検知するための検知ルールを定めたホワイトリストを使用して前記監視対象システムの監視を行う監視装置の性能とに基づいて、前記ホワイトリストの内容を決定する。
【選択図】図１１

【特許請求の範囲】

【請求項1】

監視対象システムからログデータを取得する取得部と、
前記取得部により取得されたログデータの内容および数と、データが許可されたものか否かを検知するための検知ルールを定めたホワイトリストを使用して前記監視対象システムの監視を行う監視装置の性能とに基づいて、前記ホワイトリストの内容を決定する決定部と、
を備えるホワイトリスト作成装置。

【請求項2】

前記決定部は、前記取得部により取得されたログデータにおける監視対象項目の全てを監視するホワイトリスト案を作成し、前記ホワイトリスト案を用いて前記監視装置が監視を行った場合の処理性能を示す指標値が、前記取得部により取得されたログデータのピークに基づいて算出される下限値を上回るまで、前記ホワイトリスト案から監視対象項目を徐々に削減することで、前記ホワイトリストの内容を決定する、
請求項１記載のホワイトリスト作成装置。

【請求項3】

前記決定部は、予め設定された前記監視対象システムを構成する機器に関する優先順位に従って、前記ホワイトリスト案から監視対象項目を徐々に削減する、
請求項２記載のホワイトリスト作成装置。

【請求項4】

前記決定部は、予め設定された監視対象項目に関する優先順位に従って、前記ホワイトリスト案から監視対象項目を徐々に削減する、
請求項２または３記載のホワイトリスト作成装置。

【請求項5】

前記監視対象項目の数が異なる性能評価用検知ルール群と、サンプルデータを前記監視装置に送信して疑似的に監視を行わせることで、前記監視装置の性能を評価する性能評価部を更に備え、
前記決定部は、前記性能評価部により評価された前記監視装置の性能に基づいて、前記ホワイトリストの内容を決定する、
請求項２から４のうちいずれか１項記載のホワイトリスト作成装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、ホワイトリスト作成装置に関する。

【背景技術】

【0002】

従来、監視対象箇所を通過するデータを監視し、予め定められたルール（いわゆるブラックリスト）に該当するデータを遮断ないし除外することが行われている。また、このルールを適宜変更する技術が知られている。しかしながら、従来の技術では、データを遮断ないし除外するためのルールではなく、データを許可するためのルール（いわゆるホワイトリスト）を好適に作成することができない場合があった。

【0003】

セキュリティ監視機能を実行するセキュリティ監視用装置は１台あたりの性能があらかじめ想定されており、また、監視対象セグメント一つに対して１つ設置、あるいはルータやサーバに対して１ずつ設置、のように装置の配置場所や台数の制限がある場合が多い。

【0004】

セキュリティ監視機能に求められる要件には、検査対象データの検査処理を全て完了することがある。例えば、１秒当たり１０件のデータが検査対象として生じる場合は、１件のデータ処理時間は１／１０秒以下であることが求められる。検査対象のデータが処理性能を超えて発生している場合、全てのデータを時間内に検査することができない。そのような場合の対応方法としては、定期的あるいは処理能力を超えた時点で、一部のデータを検査対象から外す、すなわち検査をせずに廃棄することが一般的である。この場合、検査対象から漏れたデータに正しくないデータが含まれていても、検査できないため、監視機能の利用者は、不正なデータに気づくことができない。

【0005】

また、セキュリティ監視機能の性能は、監視機能が実行される監視用装置の性能と、検査ルールの内容と数に依存している。監視用装置の性能を事前に十分なものにして対応することも可能だが、監視対象データ量が想定より多い場合や急な増加などに対応することはできない。検査ルールの内容と数は、現在経験則に基づいて単純化したり減らしたりして対応しているが、この場合、不必要に減らしすぎてしまう問題や、監視強度に偏りが起きてしまう問題がある。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】特開２００８−２２１７７号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

本発明が解決しようとする課題は、監視装置の性能と使用環境に応じたホワイトリストを作成することができるホワイトリスト作成装置を提供することである。

【課題を解決するための手段】

【0008】

実施形態のホワイトリスト作成装置は、取得部と、決定部とを持つ。取得部は、監視対象システムからログを取得する。決定部は、前記取得部により取得されたログの内容および数と、データが許可されたものか否かを検知するための検知ルールを定めたホワイトリストを使用して前記監視対象システムの監視を行う監視装置の性能とに基づいて、前記ホワイトリストの内容を決定する。

【図面の簡単な説明】

【0009】

【図1】実施形態のホワイトリスト作成装置１が使用される環境の一例を示す図。

【図2】ホワイトリストＷＬの内容の一例を示す図。

【図3】セキュリティ監視装置１００により実行される処理の流れを示すフローチャート。

【図4】ホワイトリスト作成装置１のハードウェア構成例を示す図。

【図5】ホワイトリスト作成装置１の性能評価段階における機能構成例を示す図。

【図6】セキュリティ監視装置性能評価部２０により実行される処理の流れを示すフローチャート。

【図7】パラメータの種類が７種類である場合に適用可能な検知ルールのパターンの一例を示す図。

【図8】図６のステップＳ３００において処理対象となる取得ログデータ５１の一例を示す図。

【図9】図８に示す取得ログデータ５１から作成される全てのパターンの検知ルールを示す図。

【図10】セキュリティ監視装置性能データ５２として記憶部５０に記憶される情報の一例を示す図。

【図11】ホワイトリスト作成装置１のホワイトリスト作成段階における機能構成例を示す図。

【図12】ログデータ最大値算出部２２による処理を説明するための図。

【図13】ホワイトリスト作成段階における処理の流れを示すフローチャート。

【図14】ルール再設計処理（図１３のステップＳ４２の処理）の流れを示すフローチャート。

【発明を実施するための形態】

【0010】

以下、実施形態のホワイトリスト作成装置を、図面を参照して説明する。

【0011】

図１は、実施形態のホワイトリスト作成装置１が使用される環境の一例を示す図である。ホワイトリスト作成装置１は、セキュリティ監視装置１００が使用するホワイトリストＷＬを作成する装置である。セキュリティ監視装置１００は、ホワイトリストＷＬを使用して、監視対象システムＴＳを監視する。監視対象システムＴＳは、例えば、複数の通信ノードＮＤ（１）、ＮＤ（２）、ＮＤ（３）、ＮＤ（４）と、ネットワークＮＷと各通信ノードとを接続するルータＲＴとを含む。セキュリティ監視装置１００は、監視対象システムＴＳ上の通信パケットや通信データ、システムログなどの検査対象データを随時取得し、ホワイトリストＷＬを使用して、これらの検査対象データが正当なものかどうか（許可されたものかどうか）をチェックする。これによって、セキュリティ監視装置１００は、サイバー攻撃や、悪意のある振る舞いを検知する。

【0012】

ホワイトリストＷＬとは、検査対象データが許可されたデータかどうかを検知するための検知ルールを列挙したデータである。この検知ルールは、許可されたアプリケーション起動記録や通信パケット、通信データ等のデータの特徴を示すものであり、複数の構成要素（パラメータ）の値で構成される。以下、検知ルールの形態（いずれのパラメータを要求するものであるか）を、「パターン」と称する。

【0013】

図２は、ホワイトリストＷＬの内容の一例を示す図である。図２の例では、検知ルール１、２共に、３種類のパラメータ（送信元ＩＰ（Internet Protocol）アドレス、受信先ＩＰアドレス、およびプロトコル）が一致することを要求するパターンを備えている。

【0014】

アプリケーション起動記録を検知する場合、検知ルールのパターンは、「実行マシン識別子」と「アプリケーション名」の組や、「実行マシン識別子」と「サービス名や関数名」の組のような、アプリケーションの起動に関係するパラメータを含むように構成される。また、通信パケットや通信データを検知する場合、検知ルールのパターンは、「送信元の識別情報」、「受信先の識別情報」、「受信先のポート番号」、「通信プロトコル」、「データに含まれるキーワード」等のパラメータの組み合わせを含むように構成される。これらのパラメータは、個別の情報でも、グループでも、“any”のような全てを表すものでもよい。例えば、「実行マシン識別子=”A”、アプリケーション名=”B”」のような、特定のマシンと特定のアプリケーションの組み合わせで規定されてもよいし、「実行マシン識別子=”any”、アプリケーション名=”B”」のような、実行するマシンに関係なく、アプリケーションBの実行が正しいというように規定することも可能である。図２における項目が空欄となっているパラメータは、上記”any”に相当する。検知パターンには、事象の発生時刻や発生頻度などのパラメータを追加することも可能である。

【0015】

ここで、検知ルールは、監視対象システムＴＳの構成に応じてカスタマイズされるものであるため、監視対象システムＴＳ毎に、検知ルール数、パターン、パラメータ数共に異なるものとなる場合がある。この点は、ホワイトリストＷＬではなく、データを遮断ないし除外するためのルールを定めたブラックリストを使用する場合と相違する。ブラックリストを使用する場合、セキュリティレベルの設定によってルールの適用程度が調整されるものの、監視対象システムＴＳの構成に応じてルール自体が根本から再構成されるようなことは少ないからである。

【0016】

図３は、セキュリティ監視装置１００により実行される処理の流れを示すフローチャートである。まず、セキュリティ監視装置１００は、ホワイトリストＷＬから検知ルールを読み込む（ステップＳ２００）。

【0017】

次に、セキュリティ監視装置１００は、ルータＲＴ等から検査対象データを取得し（ステップＳ２０２）、検知ルールと検査対象データの内容を、パラメータ毎に照合する（ステップＳ２０４）。そして、セキュリティ監視装置１００は、検査対象データがいずれか一つの検知ルールと、全てのパラメータで一致したか否かを判定する（ステップＳ２０６）。検査対象データがいずれの検知ルールとも、全てのパラメータで一致しなかった場合、セキュリティ監視装置１００は、警告通知等、一致しないときの処理を実行する（ステップＳ２０８）。セキュリティ監視装置１００は、ステップＳ２０２からステップＳ２０８の処理を繰り返し実行する。

【0018】

図１に示すホワイトリスト作成装置１は、取得ログデータの内容や、セキュリティ監視装置１００の性能等に基づいて、ホワイトリストＷＬの内容を決定する。ホワイトリスト作成装置１は、例えば、ＷＡＮ（Wide Area Network）やＬＡＮ（Local Area Network）等のネットワークＮＷを介してルータＲＴやセキュリティ監視装置１００と通信する。また、ホワイトリスト作成装置１は、セキュリティ監視装置１００に直接、通信ケーブル等を介して接続されてもよい（図１における「１＊」）。また、ホワイトリスト作成装置１は、監視対象システムＴＳを構成するＬＡＮに接続されてもよい。

【0019】

図４は、ホワイトリスト作成装置１のハードウェア構成例を示す図である。図示するように、ホワイトリスト作成装置１は、ＣＰＵ（Central Processing Unit）等のプロセッサ１０と、記憶装置１１と、ドライブ装置１２と、メモリ装置１４と、表示装置１５と、入力装置１６と、インターフェース装置１７とを備える。

【0020】

プロセッサ１０は、記憶装置１１に記憶されたプログラムを実行する。記憶装置１１は、例えば、ＲＯＭやＨＤＤ（Hard Disk Drive）、フラッシュメモリ等である。記憶装置１１には、後述する各機能部を実現するための性能評価プログラム、およびホワイトリスト作成プログラム等が記憶されている。ドライブ装置１２には、各種可搬型の記憶媒体１３が装着され、記憶媒体１３からプログラムやデータを読み込む。メモリ装置１４は、例えばＲＡＭ（Random Access Memory）であり、プロセッサ１０が使用するワーキングメモリとして機能する。表示装置１５は、ＬＣＤ（Liquid Crystal Display）や有機ＥＬ（Electroluminescence）表示装置等である。入力装置１６は、キーボードやマウス、タッチパネル等の入力デバイスを含む。インターフェース装置１７は、ネットワークＮＷに接続するためのネットワークカード等を含む。

【0021】

プロセッサ１０が実行するプログラムは、ホワイトリスト作成装置１の出荷時に予め記憶装置１１に記憶されていてもよいし、記憶媒体１３に記憶されたものがドライブ装置１２によって読み込まれ、記憶装置１１にインストールされてもよい。また、プロセッサ１０が実行するプログラムは、インターフェース装置１７によってネットワークＮＷを介して他のコンピュータ装置からダウンロードされてもよい。

【0022】

＜性能評価段階＞
以下、性能評価段階の処理について説明する。図５は、ホワイトリスト作成装置１の性能評価段階における機能構成例を示す図である。ホワイトリスト作成装置１は、性能評価段階における機能構成として、例えば、セキュリティ監視装置性能評価部２０を備える。セキュリティ監視装置性能評価部２０は、例えば、記憶装置１１に記憶されたプログラムをプロセッサ１０が実行することにより機能するソフトウェア機能部である。また、セキュリティ監視装置性能評価部２０は、ＬＳＩ（Large Scale Integration）やＡＳＩＣ（Application Specific Integrated Circuit）等のハードウェア機能部であってもよい。なお、以降では、記憶装置１１とメモリ装置１４とを総称して記憶部５０と表記することがある。なお、記憶部５０の一部または全部は、ホワイトリスト作成装置１とネットワークＮＷ等を介して接続される外部装置により実現されてもよい。

【0023】

性能評価段階において、記憶部５０には、取得ログデータ５１と、セキュリティ監視装置性能データ５２とが記憶される。取得ログデータ５１は、監視対象システムＴＳから一定期間、インターフェース装置１７を介して取得されたログデータである。このログデータは、例えば、ルータＲＴにおいてミラーポート機能によって収集されたものである。

【0024】

セキュリティ監視装置性能評価部２０は、取得ログデータ５１に対して適用可能な全種類の検知ルールを作成する。そして、セキュリティ監視装置性能評価部２０は、作成した全種類の検知ルールのパターン毎に、ログ１件を単位時間（例えば１［ｓｅｃ］）で処理可能なルール数を算出し、セキュリティ監視装置性能データ５２として記憶部５０に記憶させる。

【0025】

図６は、セキュリティ監視装置性能評価部２０により実行される処理の流れを示すフローチャートである。まず、セキュリティ監視装置性能評価部２０は、取得ログデータ５１から、適用可能な検知ルールのパターンを全て作成する（ステップＳ３００）。例えば、取得ログデータ５１を構成する項目のうち、監視対象項目が７つである場合、適用可能なパターンは、２の７乗マイナス１で１２７通りとなる。図７は、パラメータの種類が７種類である場合に適用可能な検知ルールのパターンの一例を示す図である。

【0026】

次に、セキュリティ監視装置性能評価部２０は、ステップＳ３００において生成された各パターンに対して値を設定し、性能評価用検知ルールを作成する（ステップＳ３０２）。図８は、ステップＳ３００において処理対象となる取得ログデータ５１の一例を示す図であり、図９は、図８に示す取得ログデータ５１から作成される全てのパターンの検知ルールを示す図である。

【0027】

また、セキュリティ監視装置性能評価部２０は、取得ログデータ５１から適切な数のデータを抽出し、性能評価用のサンプルログデータを作成する（ステップＳ３０４）。次に、セキュリティ監視装置性能評価部２０は、サンプルログデータをセキュリティ監視装置１００に送信する（ステップＳ３０６）。

【0028】

次に、セキュリティ監視装置性能評価部２０は、ステップＳ３００で生成した検知ルールのパターンから一つのパターンを選択し（ステップＳ３０８）、選択したパターンに対してステップＳ３０２で値が設定された検知ルールをセキュリティ監視装置１００に送信する（ステップＳ３１０）。次に、セキュリティ監視装置性能評価部２０は、セキュリティ監視装置１００に処理を指示し、開始時刻を記憶部５０に記録する（ステップＳ３１２）。そして、セキュリティ監視装置性能評価部２０は、セキュリティ監視装置１００から完了通知を受信するまで待機し（ステップＳ３１４）、完了通知を受信すると終了時刻を記憶部５０に記録する（ステップＳ３１６）。

【0029】

そして、セキュリティ監視装置性能評価部２０は、サンプルログデータのログ数を、開始時刻から終了時刻までの間の時間で除算して得られる、検知ルールのパターンに対応付けた「ログ１件を単位時間で処理可能なルール数」という内容の情報を、セキュリティ監視装置性能データ５２に追加する（ステップＳ３１８）。セキュリティ監視装置性能評価部２０は、全てのパターンを選択し終えるまで、ステップＳ３０８からステップＳ３１８の処理を繰り返し実行する（ステップＳ３２０）。図１０は、セキュリティ監視装置性能データ５２として記憶部５０に記憶される情報の一例を示す図である。図１０におけるＲｎｋ（ｋ＝１〜Ｎ）は、パターンｋについてのログ１件を単位時間で処理可能なルール数を示している。

【0030】

＜ホワイトリスト作成段階＞
以下、ホワイトリスト作成段階の処理について説明する。ホワイトリストＷＬは、（１）登録された検知ルールの数が多い、（２）検知ルールを構成するパラメータの数が多い、（３）検知ルールを構成するパラメータの数が同じ場合は、詳細に値が決まっている程、誤検知の少ない処理が可能となるが、反面、処理時間が長くなるという傾向を有している。従って、必要なパラメータ数を確保しつつ、処理が期待される時間内に完了する程度に簡略化された検知ルールで構成されたホワイトリストが望ましいということになる。ホワイトリスト作成装置１は、このような観点からホワイトリストＷＬを作成する。

【0031】

図１１は、ホワイトリスト作成装置１のホワイトリスト作成段階における機能構成例を示す図である。ホワイトリスト作成装置１は、ホワイトリスト作成段階における機能構成として、ログデータ最大値算出部２２と、ログパターンルール化部２３と、ホワイトリスト毎処理可能ログ数算出部２４と、ログ数比較・ルール有効性検証部２５と、ルール再設計部２６と、使用ルール決定部２７とを備える。これらの機能部は、例えば、記憶装置１１に記憶されたプログラムをプロセッサ１０が実行することにより機能するソフトウェア機能部である。また、これらの機能部のうち一部または全部は、ＬＳＩやＡＳＩＣ等のハードウェア機能部であってもよい。記憶部５０には、取得ログデータ５１およびセキュリティ監視装置性能データ５２の他、監視対象システム情報５３、ホワイトリスト案５４、ホワイトリストと処理可能ログ数のリスト５５等が記憶される。監視対象システム情報５３は、後述するようにルール再設計部２６によって使用される、監視対象システムＴＳに含まれる機器の重要度の情報を含む。

【0032】

ホワイトリスト案５４は、ログパターンルール化部２３により作成され、ルール再設計部２６によって修正されるホワイトリスト案である。ホワイトリスト案５４は、複数のホワイトリスト案を含む場合がある。これは、ホワイトリスト作成装置１が複数の監視対象システムＴＳに対するホワイトリストＷＬを並行して作成する場合に生じ得る。

【0033】

ホワイトリストと処理可能ログ数のリスト５５は、ホワイトリスト毎処理可能ログ数算出部２４により算出された、ホワイトリスト毎の一定時間あたりの処理可能ログ数のリストである。

【0034】

ログデータ最大値算出部２２は、単位時間あたりのログデータ数の最大値Ｌｎを算出する。図１２は、ログデータ最大値算出部２２による処理を説明するための図である。ログデータ最大値算出部２２は、例えば、取得ログデータ５１を参照し、取得ログデータ５１の収集期間を一定時間ｔｍ毎に分割してサンプリング期間を設定し、期間内のログデータ数の積算値が最も多いサンプリング期間を抽出する。そして、抽出した期間内のログデータ数の積算値を一定時間ｔｍで除算した後を、単位時間あたりのログデータ数の最大値Ｌｎとして算出する。以下、この単位時間は１［ｓｅｃ］であるものとする。

【0035】

ログパターンルール化部２３は、取得ログデータ５１を参照し、ホワイトリスト案５４を作成する。ログパターンルール化部２３は、例えば、最も詳細な検知ルール、すなわち、使用するパラメータが最も多くなるように定めた検知ルールの集合を、ホワイトリスト案５４として記憶部５０に記憶させる。この当初作成されるホワイトリスト案５４は、取得ログデータ５１における監視対象項目の全てを監視するものである。なお、ログパターンルール化部２３による処理は、一部または全部において、入力装置１６に対してなされた入力操作に従って行われてもよい。

【0036】

ホワイトリスト毎処理可能ログ数算出部２４は、ホワイトリスト案５４と、セキュリティ監視装置性能データ５２とを参照し、対象となるセキュリティ監視装置１００が、ホワイトリスト案５４を使用した場合に、単位時間あたりに処理可能なログ数を算出する。

【0037】

ログ数比較・ルール有効性検証部２５は、ホワイトリスト毎処理可能ログ数算出部２４により算出された単位時間あたりに処理可能なログデータ数と、ログデータ最大値算出部２２により算出された単位時間あたりのログデータ数の最大値Ｌｎとを比較し、その時点におけるホワイトリスト案５４を使用した場合に、対象となるセキュリティ監視装置１００が十分に監視を行うことが可能か否かを判定する。

【0038】

ルール再設計部２６は、ログ数比較・ルール有効性検証部２５により、対象となるセキュリティ監視装置１００が十分に監視を行うことができないと判定された場合に、ホワイトリスト案５４を修正する。使用ルール決定部２７は、ログ数比較・ルール有効性検証部２５により、対象となるセキュリティ監視装置１００が十分に監視を行うことができると判定された場合に、その時点におけるホワイトリスト案５４をホワイトリストＷＬとして確定する。

【0039】

以下、ホワイトリスト作成段階の処理の流れについて説明する。図１３は、ホワイトリスト作成段階における処理の流れを示すフローチャートである。まず、インターフェース装置１７がルータＲＴ等からログを取得し、取得ログ５１として記憶部５０に記憶させる（ステップＳ４００）。

【0040】

次に、ログパターンルール化部２３が、他のログと同じ内容のログ（重複ログ）を削除する（ステップＳ４０２）。次に、ログパターンルール化部２３が、ログデータ１件ずつを、最も詳細なルール、すなわち、構成要素が最も多いパターンでルール化し、その集合をリストとしたものを、検知ルールの初期バージョンとして作成する（ステップＳ４０４）。このとき、設計書などの監視対象セグメントの情報からデータを取得して、適宜可能なルールを追加してもよい。

【0041】

次に、ログパターンルール化部２３が、初期バージョンの全ての検知ルールについて、ＭＡＣアドレス情報を使用しないプロトコルの場合は、ＭＡＣアドレスパラメータ値を削除（“any”に置き換え）し（ステップＳ４０６）、同様に、ＩＰアドレス情報を使用しないプロトコルの場合は、ＩＰアドレスパラメータ値を削除（“any”に置き換え）する（ステップＳ４０８）。ステップＳ４０８の処理が行われたものが、ホワイトリスト案５４に相当する。

【0042】

次に、ホワイトリスト毎処理可能ログ数算出部２４が、その時点で設定されている検知ルール（ホワイトリストＷＬ）を用いた場合に、単位時間あたりに処理可能なログ数を算出する（ステップＳ４１０）。パターンｋ（ｋ＝１〜Ｎ）に対して実装するルール数がＩＲｋであるとすると、各パターンを用いた場合にログデータ１件を処理するのに要する時間は、ＩＲｋ／Ｒｋである。従って、パターンがＮ個存在する場合、ログ１件を処理するのに要する時間の合計Ｔｔｏｔａｌは、式（１）で表される。

【数1】

【0043】

次に、ホワイトリスト毎処理可能ログ数算出部２４が、Ｔｔｏｔａｌの逆数を求めることにより、単位時間に処理可能なログ数１／Ｔｔｏｔａｌ（処理性能を示す指標値の一例）を求め、ホワイトリストと処理可能ログ数のリスト５５として記憶部５０に記憶させる（ステップＳ４１２）。

【0044】

次に、ログ数比較・ルール有効性検証部２５が、単位時間に処理可能なログ数１／Ｔｔｏｔａｌと、ログデータ最大値算出部２２により算出された単位時間あたりのログデータ数の最大値Ｌｎとを比較し（ステップＳ４１４）、単位時間に処理可能なログ数１／Ｔｔｏｔａｌが、単位時間あたりのログデータ数の最大値Ｌｎ以上であるか否かを判定する（ステップＳ４１６）。

【0045】

単位時間に処理可能なログ数１／Ｔｔｏｔａｌが、単位時間あたりのログデータ数の最大値Ｌｎ以上である場合、使用ルール決定部２７が、その時点でホワイトリスト案として設定されているホワイトリストＷＬを、使用されるホワイトリストＷＬとして決定する（ステップＳ４１８）。一方、単位時間に処理可能なログ数１／Ｔｔｏｔａｌが、単位時間あたりのログデータ数の最大値Ｌｎ未満である場合、ルール再設計部２６によるルール再設計が行われる（ステップＳ４２０）。

【0046】

ルール再設計では、重要度の低い機器、アプリケーション、サービスに関係するルールを順に対象とする。それらのルールを構成するパラメータの数を減らすことによって、処理速度を上げ処理可能なログ量を増やすという手順を取る。また、ルール再設計においては、ルールを必要以上に緩いものにしないため、ルール再設計対象機器をあらかじめ限定しておき、その機器に関するルールのみを再設計対象としてもよい。すなわち、項目の削除が許可されない機器が存在してもよい。

【0047】

図１４は、ルール再設計処理（図１３のステップＳ４２０の処理）の流れを示すフローチャートである。なお、このフローチャートにおいて使用される変数ｐ、ｑは、図１３に示すフローチャートの処理が開始されるときに初期化され、共に１に設定されているものとする。

【0048】

まず、ルール再設計部２６は、変数ｐを参照し、重要度が低い方からｐ番目の機器が存在するか否かを判定する（ステップＳ５００）。重要度が低い方からｐ番目の機器が存在する場合、ルール再設計部２６は、重要度が低い方からｐ番目の機器を受信先とするルールを抽出する（ステップＳ５０２）。

【0049】

次に、ルール再設計部２６は、ステップＳ５０２で抽出したルールについて、既に「データ内容」の項目のパラメータ値が削除済であるか否かを判定する（ステップＳ５０４）。ルール再設計部２６は、既に「データ内容」の項目のパラメータ値が削除済でない場合、ステップＳ５０２で抽出したルールから「データ内容」の項目のパラメータ値を削除して（“any”に置き換え）ホワイトリスト案５４を書き換える（ステップＳ５０６）。そして、再設計処理が終了し、図１３のステップＳ４１０以下の処理が実行される。

【0050】

ルール再設計部２６は、ステップＳ５０２で抽出したルールについて、既に「データ内容」の項目のパラメータ値が削除済である場合、ステップＳ５０２で抽出したルールについて、既に「ポート番号」の項目のパラメータ値が削除済であるか否かを判定する（ステップＳ５０８）。ルール再設計部２６は、既に「ポート番号」の項目のパラメータ値が削除済でない場合、ステップＳ５０２で抽出したルールから「ポート番号」の項目のパラメータ値を削除して（“any”に置き換え）ホワイトリスト案５４を書き換える（ステップＳ５１０）。そして、再設計処理が終了し、図１３のステップＳ４１０以下の処理が実行される。

【0051】

ルール再設計部２６は、ステップＳ５０２で抽出したルールについて、既に「ポート番号」の項目が削除済である場合、ステップＳ５０２で抽出したルールについて、既に送信元情報を修正済であるか否かを判定する（ステップＳ５１２）。ルール再設計部２６は、既に送信元情報を修正済でない場合、送信元情報を修正する（ステップＳ５１４）。ルール再設計部２６は、既に送信元情報を修正済でない場合、すなわち、送信元に関する情報である「送信元ＭＡＣアドレス」と「送信元ＩＰアドレス」とのうち一方または双方が削除されず、その結果“any”となっていなければ、ルール再設計部２６は、これらのうち一方または双方を削除して双方が“any”となるようにし、ホワイトリスト案５４を書き換える。そして、再設計処理が終了し、図１３のステップＳ４１０以下の処理が実行される。

【0052】

ステップＳ５０２で抽出したルールについて、既に送信元情報を修正済である場合、ルール再設計部２６は、変数ｐを１インクリメントし（ステップＳ５１６）、再設計処理を終了する。そして、図１３のステップＳ４１０以下の処理が実行される。

【0053】

ステップＳ５００において、重要度が低い方からｐ番目の機器が存在しないと判定された場合、ルール再設計部２６は、変数ｑを参照し、重要度が低い方からｑ番目の機器が存在するか否かを判定する（ステップＳ５２０）。ここで、「重要度が低い方からｐ番目の機器が存在しない」場合とは、監視対象システムＴＳにおける機器がｐ個である場合の他、監視対象システムＴＳにおけるｐ個の機器には重要度が設定され、ｐ＋１番目以降の機器には重要度が設定されていない場合も含む。後者の場合、ｐ＋１番目以降の機器は、検知ルールの妥協が許可されない、セキュリティ上の重要度の高い機器である。

【0054】

重要度が低い方からｑ番目の機器が存在する場合、ルール再設計部２６は、重要度が低い方からｑ番目の機器を受信先とするルールを抽出する（ステップＳ５２２）。次に、ルール再設計部２６は、ステップＳ５２２で抽出したルールについて、「プロトコル」の項目のパラメータ値を削除して（“any”に置き換え）ホワイトリスト案５４を書き換える（ステップＳ５２４）。そして、ルール再設計部２６は、変数ｐを１インクリメントし（ステップＳ５２６）、再設計処理を終了する。そして、図１３のステップＳ４１０以下の処理が実行される。

【0055】

ステップＳ５２０において重要度が低い方からｑ番目の機器が存在しないと判定された場合、再設計は不可能と判断し、エラー終了する（ステップＳ５２８）。

【0056】

以上説明した少なくともひとつの実施形態によれば、監視対象システムからログデータを取得し、取得されたログデータの内容および数と、データが許可されたものか否かを検知するための検知ルールを定めたホワイトリストを使用して監視対象システムの監視を行うセキュリティ監視装置の性能とに基づいて、ホワイトリストの内容を決定することにより、セキュリティ監視装置の性能と使用環境に応じたホワイトリストを作成することができる。

【0057】

また、実施形態によれば、ログデータにおける監視対象項目の全てを監視するホワイトリスト案を作成し、ホワイトリスト案を用いてセキュリティ監視装置が監視を行った場合の処理性能を示す指標値が、取得部により取得されたログデータのピークに基づいて算出される下限値を上回るまで、ホワイトリスト案から監視対象項目を徐々に削減することで、ホワイトリストの内容を決定するため、セキュリティ監視装置の性能を十分に発揮可能な範囲内で最適なホワイトリストを作成することができる。

【0058】

また、実施形態によれば、予め設定された監視対象システムを構成する機器に関する優先順位や監視対象項目に関する優先順位に従って、ホワイトリスト案から監視対象項目を徐々に削減するため、セキュリティの低下を抑制しつつ、セキュリティ監視装置の性能を十分に発揮可能な範囲内でホワイトリストを作成することができる。

【0059】

また、実施形態によれば、監視対象項目の数が異なる性能評価用検知ルール群と、サンプルデータをセキュリティ監視装置に送信して疑似的に監視を行わせることで、セキュリティ監視装置の性能を評価し、評価されたセキュリティ監視装置の性能に基づいてホワイトリストの内容を決定するため、種々の性能を有するセキュリティ監視装置に対応したホワイトリストを作成することができる。

【0060】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

【符号の説明】

【0061】

１…ホワイトリスト作成装置、２０…セキュリティ監視装置性能評価部、２２…ログデータ最大値算出部、２３…ログパターンルール化部、２４…ホワイトリスト毎処理可能ログ数算出部、２５…ログ数比較・ルール有効性検証部、２６…ルール再設計部、２７…使用ルール決定部、５０…記憶部、１００…セキュリティ監視装置、ＷＬ…ホワイトリスト、ＴＳ…監視対象システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】