特開 2025-1146 情報処理装置、情報処理システム、プログラムおよび情報処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2025001146

(43)【公開日】2025-01-08

(54)【発明の名称】情報処理装置、情報処理システム、プログラムおよび情報処理方法

(51)【国際特許分類】

   G06F 11/30 20060101AFI20241225BHJP

   G06F 11/34 20060101ALI20241225BHJP

【ＦＩ】

G06F11/30 175

G06F11/34 176

【審査請求】未請求

【請求項の数】12

【出願形態】ＯＬ

(21)【出願番号】P 2023100578

(22)【出願日】2023-06-20

(71)【出願人】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】前田 智紀

(72)【発明者】

【氏名】中西 福友

(72)【発明者】

【氏名】大矢 章晴

【テーマコード（参考）】

5B042

【Ｆターム（参考）】

5B042MA08

5B042MA11

5B042MA16

5B042MC15

5B042MC40

(57)【要約】

【課題】解析に有効な一部のログを効率良く記憶させる。
【解決手段】情報処理装置は、先頭プロセス特定部と、ログ列取得部と、部分列検出部と、解析対象書込部とを備える。先頭プロセス特定部は、複数のログのうち正常リストに違反する違反ログを取得し、違反ログにより履歴が記述されている事象を発生させたプロセスを、先頭プロセスとして特定する。ログ列取得部は、先頭プロセスのログおよび先頭プロセスの生成元を過去に順次に遡った複数世代のプロセスのそれぞれのログを含むログ列を取得する。部分列検出部は、正常グラフに基づき、ログ列における正常である親子関係が予め定められた第１世代数連続する最も新しい部分列を、正常部分列として検出する。解析対象書込部は、ログ列における少なくとも違反ログから正常部分列までを解析対象記憶装置に記憶させる。
【選択図】図１０

【特許請求の範囲】

【請求項1】

それぞれに対象装置において発生した事象の履歴が記述された複数のログのうちの、一部のログを解析対象記憶装置に記憶させる情報処理装置であって、
前記複数のログのうち、正常なログであることの条件が記述された正常リストに違反する違反ログを取得し、前記違反ログにより履歴が記述されている前記事象を発生させたプロセスを、先頭プロセスとして特定する先頭プロセス特定部と、
前記先頭プロセスのログおよび前記先頭プロセスの生成元を過去に順次に遡った複数世代のプロセスのそれぞれのログを含むログ列を取得するログ列取得部と、
任意のログにより履歴が記述されるプロセスを子プロセスとし、前記子プロセスの生成元となるプロセスを親プロセスとした場合、前記子プロセスの履歴が記述されるログと前記親プロセスの履歴が記述されるログとの親子関係が正常であることの条件が記述された正常グラフに基づき、前記ログ列における正常である前記親子関係が予め定められた第１世代数連続する最も新しい部分列を、正常部分列として検出する部分列検出部と、
前記ログ列における少なくとも前記違反ログから前記正常部分列までを前記解析対象記憶装置に記憶させる解析対象書込部と、
を有する情報処理装置。

【請求項2】

前記正常リストは、正常なログであることの条件が記述された１または複数のルールを含む
請求項１に記載の情報処理装置。

【請求項3】

前記正常グラフは、前記１または複数のルールのそれぞれについて、対象のルールを前記子プロセスの履歴を記述したログが満たす場合における、前記親プロセスの履歴を記述したログが満たすべきルールを含み、
前記親子関係が正常か否かの判断において、前記部分列検出部は、前記子プロセスの履歴が記述されたログが満たすルールと、前記親プロセスの履歴が記述されたログが満たすルールとが、前記正常グラフに一致する場合、前記親子関係が正常であると判断する
請求項２に記載の情報処理装置。

【請求項4】

前記対象装置において発生した前記事象は、前記対象装置において発生したイベントまたは前記対象装置において実行されたプロセスである
請求項１に記載の情報処理装置。

【請求項5】

前記ログ列取得部は、前記ログ列をｎ（ｎは、前記第１世代数より大きい整数）世代毎に分割した分割ログ列を、前記正常部分列が検出されるまで繰り返して取得し、
前記部分列検出部は、前記分割ログ列を取得する毎に、前記正常部分列を検出し、
前記解析対象書込部は、前記分割ログ列を取得する毎に、取得した前記分割ログ列を前記解析対象記憶装置に記憶させる
請求項１に記載の情報処理装置。

【請求項6】

前記ログ列取得部は、前記先頭プロセスの履歴を記述されたログが前記解析対象記憶装置に記憶されている場合、次の前記分割ログ列の取得をせずに処理を終了する
請求項５に記載の情報処理装置。

【請求項7】

前記対象装置からログを受信し、前記正常リストに基づき、受信したログが前記違反ログであるか否かを判断する正常リスト比較部をさらに有する
請求項１に記載の情報処理装置。

【請求項8】

請求項１から６の何れか１項に記載の情報処理装置と、
前記対象装置と、
前記対象装置を監視する監視装置と、
を備え、
前記対象装置は、前記事象が発生する毎に、前記事象の履歴が記述されたログを生成し、生成したログを前記情報処理装置および前記監視装置に送信するログ生成部を有し
前記監視装置は、
ログ記憶部と、
前記対象装置からログを受信し、取得したログを前記ログ記憶部に書き込むログ書込部と、
前記情報処理装置から取得要求に応じて前記ログ記憶部から前記ログ列を読み出して前記情報処理装置に送信するログ読出部と、
を有し、
前記情報処理装置は、前記対象装置からログを受信し、受信したログと前記正常リストとを比較して、受信したログが前記違反ログであるか否かを判断する正常リスト比較部をさらに有する
情報処理システム。

【請求項9】

請求項１から６の何れか１項に記載の情報処理装置と、
前記対象装置と、
前記対象装置を監視する監視装置と、
を備え、
前記対象装置は、前記事象が発生する毎に、前記事象の履歴が記述されたログを生成し、生成したログを前記監視装置に送信するログ生成部を有し
前記監視装置は、
ログ記憶部と、
前記対象装置からログを受信し、取得したログを前記ログ記憶部に書き込むログ書込部と、
前記情報処理装置から取得要求に応じて前記ログ記憶部から前記ログ列を読み出して前記情報処理装置に送信するログ読出部と、
を有し、
前記監視装置は、前記対象装置からログを受信し、受信したログと前記正常リストとを比較して、受信したログが前記違反ログであるか否かを判断する正常リスト比較部をさらに有し、
前記正常リスト比較部は、前記ログ列を前記情報処理装置に送信する
情報処理システム。

【請求項10】

請求項１から６の何れか１項に記載の情報処理装置と、
前記対象装置と、
前記対象装置を監視する監視装置と、
を備え、
前記対象装置は、前記事象が発生する毎に、前記事象の履歴が記述されたログを生成し、生成したログを前記監視装置に送信するログ生成部を有し
前記監視装置は、
ログ記憶部と、
前記対象装置からログを受信し、取得したログを前記ログ記憶部に書き込むログ書込部と、
前記ログ記憶部から前記ログ列を読み出して前記情報処理装置に送信するログ読出部と、
を有し、
前記監視装置は、前記対象装置からログを受信し、受信したログと前記正常リストとを比較して、受信したログが前記違反ログであるか否かを判断する正常リスト比較部をさらに有し、
前記ログ読出部は、前記違反ログが検出された場合、前記ログ列を前記情報処理装置に送信する
情報処理システム。

【請求項11】

コンピュータを、それぞれに対象装置において発生した事象の履歴が記述された複数のログのうちの、一部のログを解析対象記憶装置に記憶させる情報処理装置として機能させるためのプログラムであって、
前記コンピュータを、
前記複数のログのうち、正常なログであることの条件が記述された正常リストに違反する違反ログを取得し、前記違反ログにより履歴が記述されている前記事象を発生させたプロセスを、先頭プロセスとして特定する先頭プロセス特定部と、
前記先頭プロセスのログおよび前記先頭プロセスの生成元を過去に順次に遡った複数世代のプロセスのそれぞれのログを含むログ列を取得するログ列取得部と、
任意のログにより履歴が記述されるプロセスを子プロセスとし、前記子プロセスの生成元となるプロセスを親プロセスとした場合、前記子プロセスの履歴が記述されるログと前記親プロセスの履歴が記述されるログとの親子関係が正常であることの条件が記述された正常グラフに基づき、前記ログ列における正常である前記親子関係が予め定められた第１世代数連続する最も新しい部分列を、正常部分列として検出する部分列検出部と、
前記ログ列における少なくとも前記違反ログから前記正常部分列までを前記解析対象記憶装置に記憶させる解析対象書込部と、
して機能させるプログラム。

【請求項12】

それぞれに対象装置において発生した事象の履歴が記述された複数のログのうちの、一部のログを解析対象記憶装置に記憶させる情報処理装置により実行される情報処理方法であって、
前記情報処理装置が、
前記複数のログのうち、正常なログであることの条件が記述された正常リストに違反する違反ログを取得し、前記違反ログにより履歴が記述されている前記事象を発生させたプロセスを、先頭プロセスとして特定し、
前記先頭プロセスのログおよび前記先頭プロセスの生成元を過去に順次に遡った複数世代のプロセスのそれぞれのログを含むログ列を取得し、
任意のログにより履歴が記述されるプロセスを子プロセスとし、前記子プロセスの生成元となるプロセスを親プロセスとした場合、前記子プロセスの履歴が記述されるログと前記親プロセスの履歴が記述されるログとの親子関係が正常であることの条件が記述された正常グラフに基づき、前記ログ列における正常である前記親子関係が予め定められた第１世代数連続する最も新しい部分列を、正常部分列として検出し、
前記ログ列における少なくとも前記違反ログから前記正常部分列までを前記解析対象記憶装置に記憶させる
情報処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、情報処理装置、情報処理システム、プログラムおよび情報処理方法に関する。

【背景技術】

【0002】

ＳＩＥＭ（Security Information and Event Management）と呼ばれる管理システムが知られている。ＳＩＥＭは、ネットワーク内の全ての機器からログを収集し、一つのサーバで全ての機器のログを監視する。ＳＩＥＭは、ネットワーク内の全ての機器のログを１つのログサーバにより監視することができるので、攻撃の検知およびフォレンジック等を容易に実行することができる。

【0003】

しかし、このような管理システムは、大規模ネットワークに適用された場合、サーバが収集するログの量が膨大となる。従って、管理システムは、ログを記憶するキャパシティおよびログを解析する解析量の観点から、サーバに全てのログを記憶して全てのログを解析することは非常に困難となる。

【0004】

このため、管理システムは、大量のログが発生する場合、収集するログを選定して少なくしたり、正常リストを用いて収集するログの数を制限したりしている。正常リストを用いて収集するログを制限した場合、管理システムは、正常リストに存在しないログのみを記憶する。しかし、正常リストに存在しないログは、どのプロセスによって生成されたかが不明である。このため、管理システムは、正常リストに存在しないログを記憶したとしても、記憶したログが攻撃により発生したログであるのか、正常なログであるかを判断することが難しい。

【0005】

このような問題を解決する技術として、例えば、ログの時系列特徴を表す１つ以上のノードおよびエッジを有するグラフィカルモデルを生成して、異常なイベントを特定する技術が知られている。この技術では、複数のログの関係性に基づき危険度の高いログのみを抽出することができる。しかし、この技術は、大量に存在するログの全てに対して前後のログを一時的に記憶し、さらに、グラフィカルモデルを生成しなければならない。従って、この技術は、ログを一時的に記憶するための記憶装置のキャパシティが大きくなり、さらに、グラフィカルモデルの生成のための演算量が膨大となってしまう。

【0006】

また、通信パターンのグラフ特徴量に基づき、通信の異常性および通信の異常性の原因を分析する技術が知られている。この技術も、複数のログの関係性に基づき危険度の高いログのみを抽出することができる。しかし、この技術は、大量に存在するログの全てに対して前後のログを一時的に記憶して、グラフ特徴量を算出しなければならない。従って、この技術も、ログを一時的に記憶するための記憶装置のキャパシティが大きくなり、さらに、グラフ特徴量の算出のための演算量が膨大となってしまう。

【0007】

また、各ログの親プロセスを遡り、正常と定義されているログに辿り着くかどうかを確認することで、ログが正常であるかどうかを確認する技術が知られている。この技術も、複数のログの関係性に基づき危険度の高いログのみを抽出することができる。しかし、この技術は、正常なプロセスを間に挟んで攻撃を実行する悪意のあるプログラムを、正常なプログラムと認識してしまう可能性がある。例えば、Ｗｉｎｄｏｗｓ（登録商標）のようなオペレーティングシステムでマルウェアをダウンロードした後に、ｅｘｐｌｏｒｅｒ．ｅｘｅからマルウェアを実行した場合、マルウェアを生成する親プロセスがｅｘｐｌｏｒｅｒ．ｅｘｅとなる。このような場合、この技術では、ｅｘｐｌｏｒｅｒ．ｅｘｅを正常なプログラムとして定義していると、実行されたマルウェアが正常なプロセスとして認識してしまう可能性がある。

【先行技術文献】

【特許文献】

【0008】

【特許文献1】特許第６５９９９４６号公報

【特許文献2】国際公開第２０１９／２２５７１０号

【特許文献3】特表２０１９－５３１５１９号公報

【発明の概要】

【発明が解決しようとする課題】

【0009】

本発明が解決しようとする課題は、対象装置において生成される複数のログのうち解析に有効な一部のログを、解析対象記憶装置に効率良く記憶させることにある。

【課題を解決するための手段】

【0010】

実施形態に係る情報処理装置は、それぞれに対象装置において発生した事象の履歴が記述された複数のログのうちの、一部のログを解析対象記憶装置に記憶させる。前記情報処理装置は、先頭プロセス特定部と、ログ列取得部と、部分列検出部と、解析対象書込部とを備える。前記先頭プロセス特定部は、前記複数のログのうち、正常なログであることの条件が記述された正常リストに違反する違反ログを取得し、前記違反ログにより履歴が記述されている前記事象を発生させたプロセスを、先頭プロセスとして特定する。前記ログ列取得部は、前記先頭プロセスのログおよび前記先頭プロセスの生成元を過去に順次に遡った複数世代のプロセスのそれぞれのログを含むログ列を取得する。前記部分列検出部は、任意のログにより履歴が記述されるプロセスを子プロセスとし、前記子プロセスの生成元となるプロセスを親プロセスとした場合、前記子プロセスの履歴が記述されるログと前記親プロセスの履歴が記述されるログとの親子関係が正常であることの条件が記述された正常グラフに基づき、前記ログ列における正常である前記親子関係が予め定められた第１世代数連続する最も新しい部分列を、正常部分列として検出する。前記解析対象書込部は、前記ログ列における少なくとも前記違反ログから前記正常部分列までを前記解析対象記憶装置に記憶させる。

【図面の簡単な説明】

【0011】

【図1】情報処理システムを示す図。

【図2】ログの第１例を示す図。

【図3】ログの第２例を示す図。

【図4】ログの第３例を示す図。

【図5】ログの第４例を示す図。

【図6】正常リストの一例を示す図。

【図7】正常グラフの一例を示す図。

【図8】親子関係を、正常グラフを用いて比較した場合の第１例を示す図。

【図9】親子関係を、正常グラフを用いて比較した場合の第２例を示す図。

【図10】第１実施形態に係る情報処理システムの機能構成図。

【図11】第１実施形態に係る情報処理システムの処理の流れを示すフローチャート。

【図12】Ｓ１０１３の比較ログ列の生成処理についての説明図。

【図13】Ｓ１０１１の処理の流れを示すフローチャート。

【図14】第２実施形態に係る情報処理システムの機能構成図。

【図15】第２実施形態に係る情報処理システムの処理の流れを示すフローチャート。

【図16】第３実施形態に係る情報処理システムの機能構成図。

【図17】第３実施形態に係る情報処理システムの処理の流れを示すフローチャート。

【図18】実施形態に係る情報処理装置のハードウェア構成図。

【発明を実施するための形態】

【0012】

以下、図面を参照しながら実施形態について説明する。

【0013】

（第１実施形態）
図１は、情報処理システム１０を示す図である。

【0014】

情報処理システム１０は、１または複数の対象装置１２と、１または複数の監視装置１４と、情報処理装置２０と、解析対象記憶装置２４と、解析装置２６とを備える。

【0015】

１または複数の対象装置１２のそれぞれは、プロセッサおよびメモリを有し、プロセッサおよびメモリがプログラムを実行することにより情報処理を実行する装置である。１または複数の対象装置１２のそれぞれは、コンピュータであってもよいし、ロボットであってもよいし、工場またはプラント等のインフラストラクチャの施設に設置される情報処理機能を有する装置であってもよい。

【0016】

１または複数の対象装置１２のそれぞれは、事象が発生する毎に、発生した事象の履歴が記述されたログを生成する。１または複数の対象装置１２のそれぞれは、１または複数の監視装置１４の何れか１つの監視装置１４に対応付けられている。そして、１または複数の対象装置１２のそれぞれは、対応付けられている監視装置１４へ、生成したログを出力する。また、１または複数の対象装置１２のそれぞれは、情報処理装置２０へも、生成したログを出力する。なお、ログについては、詳細を図２、図３、図４および図５を参照して後述する。

【0017】

１または複数の対象装置１２のそれぞれにおいて発生する事象は、例えば、対象装置１２において発生するイベントまたは対象装置１２において実行されたプロセスである。イベントは、一例として、対象装置１２において検知された動作、対象装置１２に対する入力操作および外部装置からの通知等である。プロセスは、対象装置１２が実行したプログラムの処理である。

【0018】

１または複数の監視装置１４のそれぞれは、プロセッサおよびメモリを有し、プロセッサがメモリ上においてプログラムを実行することにより情報処理を実行する装置である。１または複数の監視装置１４は、１または複数の対象装置１２と一対一で対応していてもよい。また、１または複数の対象装置１２のそれぞれが何れか１個の監視装置１４に対応していれば、１または複数の監視装置１４の何れかは、２個以上の対象装置１２と対応していてもよい。また、１または複数の監視装置１４の何れかは、対応する対象装置１２と一体となっていてもよい。また、１または複数の監視装置１４の何れかは、情報処理装置２０と一体となっていてもよい。

【0019】

１または複数の監視装置１４のそれぞれは、１または複数の対象装置１２のうちの対応付けられている対象装置１２からログを受信する。そして、１または複数の監視装置１４のそれぞれは、受信したログを記憶する。

【0020】

また、１または複数の監視装置１４のそれぞれは、情報処理装置２０から、先頭プロセスを特定する情報を含む取得要求を受け取る。１または複数の監視装置１４のそれぞれは、記憶している多数のログのうち、取得要求に示された先頭プロセスの履歴を記述したログ、および、先頭プロセスの生成元を過去に遡った複数世代のプロセスのそれぞれのログを含むログ列を選択する。そして、１または複数の監視装置１４のそれぞれは、選択したログ列を情報処理装置２０に出力する。

【0021】

情報処理装置２０は、プロセッサおよびメモリを有し、プロセッサがメモリ上においてプログラムを実行することにより情報処理を実行する装置である。情報処理装置２０は、サーバ装置であってもよいし、１または複数のサーバ装置が連携して動作するクラウド等であってもよい。情報処理装置２０は、１または複数の対象装置１２において発生する事象の履歴が記述された複数のログのうちの解析対象となる一部のログを解析対象記憶装置２４に記憶させる。

【0022】

情報処理装置２０は、予め定められた正常リスト、および、予め定められた正常グラフを記憶する。

【0023】

正常リストは、正常なログであることの条件が記述された情報である。例えば、正常リストは、正常なログであることの条件が記述された１または複数のルールを含む。なお、正常リストについては、詳細を図６を参照して後述する。

【0024】

正常グラフは、親子関係が正常であることの条件が記述された情報である。親子関係は、任意のログにより履歴が記述されるプロセスを子プロセスとし、その子プロセスの生成元となるプロセスを親プロセスとした場合、子プロセスの履歴が記述されるログと親プロセスの履歴が記述されるログとの関係である。例えば、正常グラフは、１または複数のルールのそれぞれについて、対象のルールを子プロセスの履歴を記述したログが満たす場合における、親プロセスの履歴を記述したログが満たすべきルールを含む。なお、正常グラフについては、詳細を図７、図８および図９を参照して後述する。

【0025】

情報処理装置２０は、１または複数の対象装置１２のそれぞれからログを取得する。情報処理装置２０は、ログを取得する毎に、取得したログが正常リストに違反する違反ログであるか否かを判断する。そして、情報処理装置２０は、取得したログが違反ログである場合、違反ログにより履歴が記述されている事象を発生させたプロセスを、先頭プロセスとして特定する。

【0026】

続いて、情報処理装置２０は、取得したログを記憶する監視装置１４に対して、先頭プロセスを特定する情報を含む取得要求を与える。そして、情報処理装置２０は、対応する監視装置１４から、先頭プロセスのログおよび先頭プロセスの生成元を過去に順次に遡った複数世代のプロセスのそれぞれのログを含むログ列を取得する。

【0027】

続いて、情報処理装置２０は、ログ列における正常である親子関係が予め定められた第１世代数連続する最も新しい部分列を、正常部分列として検出する。具体的には、情報処理装置２０は、取得したログ列を先頭プロセスのログから過去に順次に遡って、正常グラフに基づき正常部分列を検出する。なお、第１世代数は、ｍで表され、２以上の予め定められた整数である。

【0028】

そして、情報処理装置２０は、取得したログ列における、少なくとも違反ログから正常部分列までを、解析対象となる解析対象ログ列として解析対象記憶装置２４に記憶させる。なお、解析対象ログ列は、違反ログから正常部分列までを少なくとも含んでいれば、正常部分列より過去のログを含んでもよい。

【0029】

解析対象記憶装置２４は、情報処理装置２０により生成された解析対象ログ列を記憶する。解析対象記憶装置２４は、情報処理装置２０と一体的に設けられた装置であってもよい。解析対象記憶装置２４は、ネットワーク上に設けられて、ネットワークを介して端末装置等にアクセスされるストレージ装置であってもよい。

【0030】

解析装置２６は、解析対象記憶装置２４に記憶された解析対象ログ列を取得する。解析装置２６は、取得した解析対象ログ列に含まれる複数のログを解析して、１または複数の対象装置１２への攻撃の有無および種類等、並びに攻撃の可能性等を解析する。そして、解析装置２６は、例えば解析結果を表示装置等に表示することによりユーザに出力する。

【0031】

図２は、ログの第１例を示す図である。図３は、ログの第２例を示す図である。図４は、ログの第３例を示す図である。図５は、ログの第４例を示す図である。

【0032】

ログは、対象装置１２において発生するイベントおよび対象装置１２において実行されるプロセス等の事象についての履歴が、プロセッサにより解釈が可能な予め定められたフォーマットにより記述される情報である。ログは、予め定められたフォーマットにより記述されていれば、どのようなフォーマットで記述されてもよい。

【0033】

一例として、ログは、複数の項目１１１と、複数のエントリ１１２とを含む。複数の項目１１１と複数のエントリ１１２とは、一対一で対応する。複数の項目１１１のそれぞれは、対応するエントリ１１２に記述される情報の見出しを表す。複数のエントリ１１２のそれぞれは、イベントまたはプロセス等の事象における、対応する項目１１１についての履歴が記述される。

【0034】

ログは、項目として、“概要”、“プロセスＩＤ”、“親プロセス名”、“親プロセスＩＤ”、“ファイル名”、“ファイルパス”、“子プロセス名”および“子プロセスＩＤ”等を含む。

【0035】

“概要”は、イベントまたはプロセス等の対象の事象の内容を表す情報が、対応するエントリ１１２に記述される。“プロセスＩＤ”は、対象のプロセスを識別する識別情報が、対応するエントリ１１２に記述される。“親プロセス名”は、対象のプロセスの生成元となる親プロセスの名称が、対応するエントリ１１２に記述される。“親プロセスＩＤ”は、対象のプロセスの生成元となる親プロセスを識別する識別情報が、対応するエントリ１１２に記述される。“ファイル名”は、対象のプロセスにより生成されたファイルの名称が、対応するエントリ１１２に記述される。“ファイルパス”は、対象のプロセスにより生成されたファイルの格納位置を示すパスが、対応するエントリ１１２に記述される。“子プロセス名”は、対象のプロセスが親プロセスとなって生成した子プロセスの名称が、対応するエントリ１１２に記述される。“子プロセスＩＤ”は、対象のプロセスが親プロセスとなって生成した子プロセスを識別する識別情報が、対応するエントリ１１２に記述される。

【0036】

ログに記述される情報は、図３～図５に示した情報に限らない。また、ログに記述される項目は、フォーマットにより定められる複数の項目のうち、イベントまたはプロセス等の対象の事象の履歴を記述するために必要となる一部の項目のみが含まれてよい。

【0037】

なお、本実施形態に係る情報処理システム１０は、親プロセスを特定するための情報を含むことができるフォーマットのログを用いる。例えば、Ｗｉｎｄｏｗｓ（登録商標）のＳｙｍｏｎ等のログは、親プロセスを特定するための情報を含むことができる。

【0038】

図６は、正常リストの一例を示す図である。正常リストは、正常なログであることの条件が、プロセッサにより解釈が可能な予め定められたフォーマットにより記述される情報である。

【0039】

本実施形態において、正常リストは、正常なログであることの条件を記述した１または複数のルールを含む。

【0040】

例えば、図６に示す正常リストは、“概要”が“ファイル作成”である場合、“ファイル名”が“ａｂ”で始まる、という第１ルール（ｒｕｌｅ＿１）を含む。従って、情報処理装置２０は、取得したログの“概要”に“ファイル作成”が記述されている場合、“ファイル名”に“ａｂ”から始まる文字が記述されていれば、取得したログが正常であると判断する。また、情報処理装置２０は、取得したログの“概要”に“ファイル作成”が記述されている場合、ファイル名に“ａｂ”から始まる文字が記述されていなければ、取得したログが正常リストに違反していると判断する。

【0041】

例えば、図６に示す正常リストは、 “概要”が“子プロセス生成”且つ“子プロセス名”が“ＹＹＹ．ｅｘｅ”である場合、“親プロセス名”が“ＸＸＸ．ｅｘｅ”ではない、という第２ルール（ｒｕｌｅ＿２）を含む。従って、情報処理装置２０は、取得したログの“概要”に“ファイル作成”が記述され且つ“子プロセス名”に“ＹＹＹ．ｅｘｅ”が記述されている場合、“親プロセス名”に“ＸＸＸ．ｅｘｅ”以外が記述されていれば、取得したログが正常であると判断する。また、情報処理装置２０は、取得したログの“概要”に“ファイル作成”が記述され且つ“子プロセス名”に“ＹＹＹ．ｅｘｅ”が記述されている場合、親プロセス名”に“ＸＸＸ．ｅｘｅ”が記述されていれば、取得したログが違反であると判断する。

【0042】

例えば、図２に示したログは、図６に示す正常リストの第１ルール（ｒｕｌｅ＿１）を満たす。従って、この場合、情報処理装置２０は、図２に示したログを正常であると判断する。また、例えば、図３に示したログは、図６に示す正常リストの第１ルール（ｒｕｌｅ＿１）を満たさない。従って、この場合、情報処理装置２０は、図３に示したログを違反ログであると判断する。

【0043】

例えば、図４に示したログは、図６に示す正常リストの第２ルール（ｒｕｌｅ＿２）を満たさない。従って、この場合、情報処理装置２０は、図４に示したログを違反ログと判断する。また、例えば、図５に示したログは、図６に示す正常リストの第２ルール（ｒｕｌｅ＿２）を満たす。従って、この場合、情報処理装置２０は、図５に示したログを正常であると判断する。

【0044】

なお、図６の例においては、正常リストは、各ルールが文章により記述されている。しかし、正常リストは、記述方式は、プロセッサにより解釈が可能であれば、文章に限らず、どのような方法および記述言語であってもよい。

【0045】

図７は、正常グラフの一例を示す図である。正常グラフは、親子関係が正常であることの条件が、プロセッサにより解釈が可能な予め定められたフォーマットにより記述される情報である。

【0046】

本実施形態において、正常グラフは、１または複数のルールのそれぞれについて、対象のルールを子プロセスの履歴を記述したログが満たす場合における、親プロセスの履歴を記述したログが満たすべきルールを含む。例えば、図７に示す正常グラフは、第１ルール（ｒｕｌｕ＿１）から第１８ルール（ｒｕｌｕ＿１８）のそれぞれについて、対象のルールを子プロセスの履歴を記述したログが満たす場合における、親プロセスの履歴を記述したログが満たすべきルールを含む。

【0047】

例えば、図７に示す正常グラフは、第１ルール（ｒｕｌｕ＿１）を子プロセスのログが満たす場合、親プロセスのログが満たすべきルールが、第５ルール（ｒｕｌｕ＿５）、第８ルール（ｒｕｌｅ＿８）または第１２ルール（ｒｕｌｕ＿１２）であることが記述されている。

【0048】

また、図７に示す正常グラフは、第５ルール（ｒｕｌｕ＿５）を子プロセスのログが満たす場合、親プロセスのログが満たすべきルールが、第９ルール（ｒｕｌｕ＿９）、第１１ルール（ｒｕｌｕ＿１１）または第１２ルール（ｒｕｌｕ＿１２）であることが記述されている。

【0049】

また、図７に示す正常グラフは、第８ルール（ｒｕｌｅ＿８）を子プロセスのログが満たす場合、親プロセスのログが満たすべきルールが、第８ルール（ｒｕｌｅ＿８）、第１３ルール（ｒｕｌｕ＿１３）または第１８ルール（ｒｕｌｕ＿１８）であることが記述される。

【0050】

また、図７に示す正常グラフは、第１２ルール（ｒｕｌｕ＿１２）を子プロセスのログが満たす場合、親プロセスのログが満たすべきルールが、第１ルール（ｒｕｌｕ＿１）、第１５ルール（ｒｕｌｕ＿１５）または第１８ルール（ｒｕｌｕ＿１８）であることが記述されている。

【0051】

また、図７に示した正常グラフは、第１８ルール（ｒｕｌｕ＿１８）を子プロセスのログが満たす場合、親プロセスのログが満たすべきルールは、第３ルール（ｒｕｌｕ＿３）、第４ルール（ｒｕｌｕ＿４）または第１７ルール（ｒｕｌｕ＿１７）であることが記述されている。

【0052】

図８は、親子関係を、正常グラフを用いて比較した場合の第１例を示す図である。

【0053】

例えば、ログの一例である、図８に示す第１ログ１２２は、子プロセスの履歴が記述されている。第１ログ１２２は、“概要”が“ファイル作成”、“プロセスＩＤ”が“０００００２”、“親プロセス名”が“ＸＸＸ．ｅｘｅ”、“親プロセスＩＤ”が“０００００１”、“ファイル名”が“ａｂｃ”および“ファイルパス”が“Ｃ：￥Ｕｓｅｒｓ￥ｓｏｍｅｏｎｅ￥Ｄｏｃｕｍｅｎｔｓ￥ａｂｃである。

【0054】

また、ログの一例である、図８に示す第２ログ１２４は、第１ログ１２２により履歴が表される子プロセスの生成元となる親プロセスの履歴が記述されている。第２ログ１２４は、“概要”が“プロセス生成”、“親プロセス名”が“ＡＡＡ．ｅｘｅ”、“親プロセスＩＤ”が“０００００１”、“子プロセス名”が“ＸＸＸ．ｅｘｅ”、“子プロセスＩＤ”が“０００００２”である。

【0055】

第１ログ１２２は、第１ルール（ｒｕｌｕ＿１）を満たす。正常グラフは、第１ルール（ｒｕｌｕ＿１）について、親プロセスが第５ルール（ｒｕｌｕ＿５）、第８ルール（ｒｕｌｅ＿８）または第１２ルール（ｒｕｌｕ＿１２）を満たすべきことが記述される。従って、この場合、情報処理装置２０は、第２ログ１２４が、第５ルール（ｒｕｌｕ＿５）、第８ルール（ｒｕｌｅ＿８）または第１２ルール（ｒｕｌｕ＿１２）の何れかを満たせば、第１ログ１２２と第２ログ１２４との親子関係が正常であると判断することができる。図８の例においては、第２ログ１２４は、第１２ルール（ｒｕｌｕ＿１２）を満たす。従って、この場合、情報処理装置２０は、第１ログ１２２と第２ログ１２４とが、正常グラフを満たす正常な親子関係であると判断する。

【0056】

図９は、親子関係を、正常グラフを用いて比較した場合の第２例を示す図である。

【0057】

例えば、ログの一例である、図９に示す第３ログ１２６は、子プロセスの履歴が記述される。第３ログ１２６は、“概要”が“ファイル作成”、“プロセスＩＤ”が“０００００２”、“親プロセス名”が“ＸＸＸ．ｅｘｅ”、“親プロセスＩＤ”が“０００００１”、“ファイル名”が“ａｂｄ”および“ファイルパス”が“Ｃ：￥Ｕｓｅｒｓ￥ｓｏｍｅｏｎｅ￥Ｄｏｃｕｍｅｎｔｓ￥ａｂｄである。

【0058】

例えば、ログの一例である、図９に示す第４ログ１２８は、第３ログ１２６により履歴が表される子プロセスの生成元となる親プロセスの履歴が記述される。第４ログ１２８は、“概要”が“プロセス生成”、“親プロセス名”が“ＢＢＢ．ｅｘｅ”、“親プロセスＩＤ”が“０００００１”、“子プロセス名”が“ＸＣＣ．ｅｘｅ”、“子プロセスＩＤ”が“０００００２”である。

【0059】

第３ログ１２６は、第１ルール（ｒｕｌｕ＿１）を満たす。正常グラフは、第１ルール（ｒｕｌｕ＿１）について、親プロセスが第５ルール（ｒｕｌｕ＿５）、第８ルール（ｒｕｌｅ＿８）または第１２ルール（ｒｕｌｕ＿１２）を満たすべきことが記述される。従って、情報処理装置２０は、第４ログ１２８が、第５ルール（ｒｕｌｕ＿５）、第８ルール（ｒｕｌｕ＿８）または第１２ルール（ｒｕｌｕ＿１２）の何れかを満たせば、第３ログ１２６と第４ログ１２８との親子関係が正常であると判断することができる。図９の例においては、第４ログ１２８は、第５ルール（ｒｕｌｕ＿５）、第８ルール（ｒｕｌｕ＿８）および第１２ルール（ｒｕｌｕ＿１２）の何れも満たさない。従って、この場合、情報処理装置２０は、第３ログ１２６と第４ログ１２８とが、正常グラフを満たす正常な親子関係ではないと、判断する。

【0060】

図１０は、第１実施形態に係る情報処理システム１０における対象装置１２、監視装置１４および情報処理装置２０の機能構成を示す図である。

【0061】

対象装置１２は、ログ生成部３２を有する。ログ生成部３２は、対象装置１２において事象が発生する毎に、発生した事象の履歴が記述されたログを生成する。ログ生成部３２は、対象装置１２において例えばイベントが発生した場合、または、プロセスが実行された場合、ログを生成する。ログ生成部３２は、生成したログを、情報処理装置２０、および、対象装置１２に対応付けられた監視装置１４に送信する。

【0062】

監視装置１４は、ログ記憶部４２と、ログ書込部４４と、ログ読出部４６とを有する。ログ記憶部４２は、対応する対象装置１２により生成された複数のログを記憶する。ログ書込部４４は、対応する対象装置１２から送信されたログを受信し、受信したログをログ記憶部４２に書き込む。

【0063】

ログ読出部４６は、情報処理装置２０から、先頭プロセスを識別する情報を含む取得要求を受け取る。ログ読出部４６は、取得要求を受け取った場合、ログ記憶部４２から、先頭プロセスのログ、および、先頭プロセスの生成元を過去に遡った複数世代のプロセスのそれぞれのログを含むログ列を読み出す。そして、ログ読出部４６は、読み出したログ列を情報処理装置２０に出力する。

【0064】

なお、本実施形態においては、ログ読出部４６は、取得要求を受け取る毎に、ログ記憶部４２から、ｎ世代分のログを含む分割ログ列を読み出す。ｎは、第１世代数（ｍ）より大きい予め定められた整数である。すなわち、本実施形態においては、ログ読出部４６は、取得要求を受け取る毎に、ログ記憶部４２から、先頭プロセスのログおよび先頭プロセスの生成元を過去に（ｎ－１）世代遡った（ｎ－１）世代のプロセスのそれぞれのログを含む分割ログ列を読み出す。そして、本実施形態においては、ログ読出部４６は、取得要求を受け取る毎に、読み出した分割ログ列を情報処理装置２０に出力する。

【0065】

情報処理装置２０は、一時記憶部５２と、正常リスト比較部５４と、先頭プロセス特定部５６と、ログ列取得部５８と、部分列検出部６０と、解析対象書込部６２とを有する。

【0066】

一時記憶部５２は、複数のログを一時的に記憶する。

【0067】

正常リスト比較部５４は、正常リストが予め設定される。正常リスト比較部５４は、対象装置１２から送信されたログを受信する。正常リスト比較部５４は、ログを受信する毎に、受信したログと正常リストとを比較して、受信したログが正常リストに違反する違反ログであるか否かを判断する。正常リスト比較部５４は、受信したログが違反ログである場合、違反ログを解析対象記憶装置２４に書き込む。また、正常リスト比較部５４は、受信したログが違反ログである場合、違反ログを一時記憶部５２に書き込む。さらに、正常リスト比較部５４は、受信したログが違反ログである場合、違反ログを先頭プロセス特定部５６に与える。

【0068】

先頭プロセス特定部５６は、違反ログを取得する。先頭プロセス特定部５６は、違反ログを取得した場合、違反ログにより履歴が記述されている事象を発生させたプロセスを、先頭プロセスとして特定する。すなわち、先頭プロセス特定部５６は、違反ログにより履歴が記述されている事象の親プロセスを、先頭プロセスとして特定する。先頭プロセス特定部５６は、特定した先頭プロセスを識別する情報をログ列取得部５８に与える。

【0069】

ログ列取得部５８は、先頭プロセスを識別する情報を先頭プロセス特定部５６から取得した場合、先頭プロセスを実行した対象装置１２に対応する監視装置１４に対して、先頭プロセスを識別する情報を含む取得要求を与える。そして、ログ列取得部５８は、取得要求を与えた監視装置１４から、先頭プロセスのログおよび先頭プロセスの生成元を過去に順次に遡った複数世代のプロセスのそれぞれのログを含むログ列を取得する。ログ列取得部５８は、取得したログ列を一時記憶部５２に書き込む。また、ログ列取得部５８は、取得したログ列を解析対象書込部６２に与える。

【0070】

部分列検出部６０は、正常グラフが予め設定される。部分列検出部６０は、正常グラフに基づき、一時記憶部５２に記憶されたログ列における正常である親子関係が予め定められた第１世代数（ｍ世代数）連続する最も新しい部分列を、正常部分列として検出する。なお、親子関係が正常か否かの判断において、部分列検出部６０は、子プロセスの履歴を記述したログが満たすルールと、親プロセスの履歴を記述したログが満たすルールとが、正常グラフに一致する場合、正常な親子関係であると判断する。

【0071】

解析対象書込部６２は、ログ列のうちの、少なくとも違反ログから、部分列検出部６０により検出された正常部分列までを、解析対象となる解析対象ログ列として解析対象記憶装置２４に記憶させる。

【0072】

なお、本実施形態においては、ログ列取得部５８は、ログ列をｎ世代毎に分割した分割ログ列を、部分列検出部６０により正常部分列が検出されるまで繰り返して監視装置１４から取得する。この場合、部分列検出部６０は、ログ列取得部５８が分割ログ列を取得する毎に、違反ログから最後に取得した分割ログ列までの間に、正常部分列が含まれる否かを検出する。

【0073】

また、本実施形態においては、ログ列取得部５８が分割ログ列を取得する毎に、違反ログから最後に取得した分割ログ列までの間に正常部分列が含まれていない場合、先頭プロセス特定部５６は、最後に取得した分割ログ列の最も古いログの生成元となるプロセス、すなわち、最後に取得した分割ログ列の最も古いログを生成したプロセスの親プロセスを、先頭プロセスとして特定する。そして、部分列検出部６０は、２回目以降の分割ログ列を取得する場合、最後に取得した分割ログ列の最も古いログに基づき特定された先頭プロセスを識別する情報を含む取得要求を、監視装置１４に与える。

【0074】

また、本実施形態においては、解析対象書込部６２は、ログ列取得部５８が分割ログ列を取得する毎に、取得した分割ログ列を解析対象記憶装置２４に記憶させる。また、本実施形態においては、部分列検出部６０は、違反ログから最後に取得した分割ログ列までの間に、正常部分列が含まれている場合、次の分割ログ列の取得をせずに処理を終了する。また、本実施形態においては、ログ列取得部５８は、先頭プロセスまたは分割ログ列の最も過去のログの生成元となるプロセスのログが、解析対象記憶装置２４に記憶されている場合、次の分割ログ列の取得をせずに処理を終了する。

【0075】

図１１は、第１実施形態に係る情報処理システム１０の処理の流れを示すフローチャートである。第１実施形態に係る情報処理システム１０は、図１１の流れで処理を実行する。

【0076】

まず、Ｓ１００１において、情報処理システム１０は、第１世代数であるｍおよび分割ログ列に含めるログ数であるｎを設定する。例えば、情報処理システム１０は、ユーザにより入力されたｍおよびｎを設定してもよい。なお、ｎは、ｍより大きい。

【0077】

続いて、Ｓ１００２において、対象装置１２は、ログを生成する。情報処理システム１０は、対象装置１２においてログが生成される毎に、Ｓ１００２以下の処理を実行する。

【0078】

続いて、Ｓ１００３において、対象装置１２は、生成したログを情報処理装置２０に送信する。

【0079】

続いて、Ｓ１００４において、対象装置１２は、生成したログを対応する監視装置１４に送信し、対応する監視装置１４のログ記憶部４２に記憶させる。なお、情報処理システム１０は、Ｓ１００４の処理を、Ｓ１００３以降であればいつ実行してもよい。

【0080】

Ｓ１００３に続いて、Ｓ１００５において、情報処理装置２０は、受信したログが予め設定された正常リストに違反するか否かを判断する。受信したログが正常リストに違反しない場合（Ｓ１００５のＮｏ）、情報処理装置２０は、Ｓ１００２で生成されたログについての本フローの処理を終了する。受信したログが正常リストに違反する場合（Ｓ１００５のＹｅｓ）、情報処理装置２０は、受信したログを違反ログとして、Ｓ１００６、Ｓ１００７およびＳ１００８の処理を実行する。

【0081】

Ｓ１００６において、情報処理装置２０は、違反ログにより履歴が記述されているイベントまたはプロセスを発生させた親プロセスを先頭プロセスとして特定する。Ｓ１００７において、情報処理装置２０は、違反ログを解析対象記憶装置２４に記憶させる。Ｓ１００８において、情報処理装置２０は、違反ログを一時記憶部５２に記憶させる。なお、情報処理装置２０は、Ｓ１００６、Ｓ１００７およびＳ１００８の処理をどのような順序で実行してもよい。ただし、情報処理装置２０は、Ｓ１００８の処理を、Ｓ１０１３の前に実行しなければならない。

【0082】

Ｓ１００６に続いて、Ｓ１００９において、情報処理装置２０は、先頭プロセスのログが、解析対象記憶装置２４に既に記憶されているか否かを判断する。先頭プロセスのログが解析対象記憶装置２４に既に記憶されている場合（Ｓ１００９のＹｅｓ）、情報処理装置２０は、Ｓ１００２で生成されたログについての本フローの処理を終了する。先頭プロセスのログが解析対象記憶装置２４に既に記憶されている場合、先頭プロセスの生成元を過去に順次に遡った複数世代のプロセスのそれぞれのログを含むログ列も、既に解析対象記憶装置２４に記憶されている。従って、情報処理装置２０は、先頭プロセスのログが既に解析対象記憶装置２４に記憶されている場合に本フローの処理を終了することにより、重複したログを解析対象記憶装置２４に記憶させないようにすることができる。先頭プロセスのログが解析対象記憶装置２４に記憶されていない場合（Ｓ１００９のＮｏ）、情報処理装置２０は、処理をＳ１０１０に進める。

【0083】

Ｓ１０１０において、情報処理装置２０は、先頭プロセスを特定する情報を含む取得要求を、Ｓ１００２でログを生成した対象装置１２に対応する監視装置１４に送信する。そして、監視装置１４は、情報処理装置２０から取得要求を受信する。

【0084】

続いて、Ｓ１０１１において、情報処理装置２０から取得要求を受信した監視装置１４は、取得要求に含まれる情報により特定される先頭プロセスのログ、および、先頭プロセスの生成元を過去に順次に遡ったｎ世代分のプロセスのそれぞれのログをログ記憶部４２から読み出す。そして、監視装置１４は、先頭プロセスからｎ世代分遡ったｎ世代数分のプロセスのそれぞれのログを含む分割ログ列を生成する。なお、監視装置１４における分割ログ列の生成処理については、さらなる詳細を図１３を参照して後述する。

【0085】

続いて、Ｓ１０１２において、監視装置１４は、生成した分割ログ列を情報処理装置２０に送信する。そして、情報処理装置２０は、監視装置１４から、分割ログ列を取得する。Ｓ１０１２に続いて、情報処理装置２０は、取得した分割処理列について、Ｓ１０１３、Ｓ１０１４およびＳ１０１５の処理を実行する。

【0086】

Ｓ１０１３において、情報処理装置２０は、取得した分割ログ列よりも新しいログを一時記憶部５２から読み出し、一時記憶部５２から読み出したログと取得した分割ログ列と合成した比較ログ列を生成する。なお、情報処理装置２０は、一時記憶部５２に（ｍ＋１）世代よりも多い世代数のログが記憶されている場合には、取得した分割ログ列の直近の（ｍ＋１）世代分のログを取得すればよい。なお、情報処理装置２０は、一時記憶部５２に（ｍ＋１）世代よりも多い世代数のログが記憶されている場合には、古い方から（ｍ＋１）世代分のログを一時記憶部５２に残し、残りのログを任意のタイミングにおいて削除してもよい。

【0087】

Ｓ１０１４において、情報処理装置２０は、取得した分割ログ列を解析対象記憶装置２４に記憶させる。Ｓ１０１５において、情報処理装置２０は、取得した分割ログ列を一時記憶部５２に記憶させる。なお、情報処理装置２０は、Ｓ１０１３、Ｓ１０１４およびＳ１０１５の処理をどのような順序で実行してもよい。ただし、情報処理装置２０は、Ｓ１０１５の処理を、次のループ処理におけるＳ１０１３の前に実行しなければならない。

【0088】

Ｓ１０１３に続いて、Ｓ１０１６において、情報処理装置２０は、比較ログ列を最も新しいログから過去に順次に遡って、比較ログ列に正常なプロセスの親子関係が予め定められた第１世代数（ｍ個）連続する正常部分列が含まれるか否かを判断する。なお、親子関係が正常か否かの判断においては、情報処理装置２０は、子プロセスの履歴を記述したログが満たすルールと、親プロセスの履歴を記述したログが満たすルールとが、正常グラフに一致する場合、正常な親子関係であると判断する。

【0089】

比較ログ列に正常部分列が含まれる場合（Ｓ１０１６のＹｅｓ）、情報処理装置２０は、Ｓ１００２で生成されたログについての本フローの処理を終了する。比較ログ列に正常部分列が含まれない場合（Ｓ１０１６のＮｏ）、情報処理装置２０は、処理をＳ１０１７に進める。

【0090】

Ｓ１０１７において、情報処理装置２０は、取得した分割ログ列のうち最も古いログを改めて違反ログとし、処理をＳ１００６に戻す。これにより、情報処理装置２０は、次のループのＳ１００６において、直近に取得した分割ログ列に含まれる最も古いログに履歴が記述されるプロセスの親プロセスを、新たな先頭プロセスとして特定することができる。従って、情報処理装置２０は、次のループにおいて、次の分割ログ列に対する処理を実行することができる。そして、情報処理装置２０は、Ｓ１００６、Ｓ１００９～Ｓ１０１７の処理を繰り返す。

【0091】

図１２は、Ｓ１０１３の比較ログ列の生成処理について説明するための図である。

【0092】

情報処理装置２０は、Ｓ１０１２において、監視装置１４から、ｎ世代数のログを含む分割ログ列を取得する。また、情報処理装置２０の一時記憶部５２は、分割ログ列より新しい１または複数のログを記憶している。情報処理装置２０は、監視装置１４から分割ログ列を取得した場合、分割ログ列より新しいログを一時記憶部５２から読み出し、分割ログ列と、分割ログ列より新しいログとを合成した比較ログ列を生成する。そして、情報処理装置２０は、比較ログ列に、正常な親子関係が第１世代数（ｍ個）連続する正常部分列が含まれるか否かを判断する。

【0093】

なお、情報処理装置２０は、一時記憶部５２に（ｍ－１）世代以上のログが記憶されている場合、分割ログ列より新しい（ｍ－１）世代分のログを一時記憶部５２から読み出して分割ログ列と合成すればよい。これにより、情報処理装置２０は、取得した分割ログ列を一部分に含む正常部分列を検出することができる。

【0094】

図１３は、Ｓ１０１１の監視装置１４による分割ログ列の生成処理の流れを示すフローチャートである。監視装置１４は、Ｓ１０１１において、図１３に示す流れで処理を実行する。

【0095】

まず、Ｓ１１２１において、監視装置１４は、情報処理装置２０から送信された取得要求から、先頭プロセスを識別する情報を取得する。

【0096】

続いて、Ｓ１１２２において、監視装置１４は、先頭プロセスを識別する情報に基づき、先頭プロセスの履歴を表すログをログ記憶部４２から読み出す。続いて、Ｓ１１２３において、監視装置１４は、ｎ個のログを読み出したか否かを判断する。ｎ個のログを読み出した場合（Ｓ１１２３のＹｅｓ）、監視装置１４は、本フローを終了する。ｎ個のログを読み出していない場合（Ｓ１１２３のＮｏ）、監視装置１４は、処理をＳ１１２４に進める。

【0097】

Ｓ１１２４において、監視装置１４は、直近に読み出したログにより履歴が表されるプロセスを発生した親プロセスを特定する。続いて、Ｓ１１２５において、監視装置１４は、Ｓ１１２３で特定した親プロセスのログを、ログ記憶部４２から読み出す。そして、Ｓ１１２５の処理を終えると、監視装置１４は、処理をＳ１１２３に戻し、ｎ個のログを読み出すまで、Ｓ１１２３からＳ１１２５の処理を繰り返す。

【0098】

以上のような情報処理システム１０は、対象装置１２により生成されたログが正常リストに違反する違反ログである場合、違反ログの生成元となるプロセスを順次に遡った複数世代のプロセスのそれぞれのログを含むログ列を取得する。情報処理システム１０は、取得したログ列における親子関係が正常であるか否かを正常グラフを用いて判断し、ログ列における正常である親子関係が第１世代数連続する最も新しい部分列である正常部分列を検出する。そして、情報処理システム１０は、ログ列における、少なくとも違反ログから正常部分列までを、解析装置２６による解析対象として解析対象記憶装置２４に記憶させる。

【0099】

これにより、情報処理システム１０は、例えば、正常なプロセスを間に挟んで攻撃を実行する悪意のあるプロセスが発生したような場合であっても、このような悪意のあるプロセスの検出および解析をすることが可能となる。また、情報処理システム１０は、ログ列における正常である親子関係が第１世代数連続する最も新しい正常部分列よりも古いログを解析対象記憶装置２４に記憶させないので、解析対象記憶装置２４のキャパシティおよび解析装置２６の解析量を少なくすることができる。

【0100】

このように情報処理システム１０によれば、対象装置１２において生成される複数のログのうち解析に有効な一部のログを、解析対象記憶装置２４に効率良く記憶させるとともに、解析装置２６による正常でない事象の履歴の解析を容易にすることができる。

【0101】

（第２実施形態）
つぎに、第２実施形態に係る情報処理システム１０について説明する。第２実施形態に係る情報処理システム１０は、全体構成は第１実施形態と同様であり、各構成要素の機能および構成も、第１実施形態とほぼ同一である。従って、第２実施形態に係る情報処理システム１０の説明において、第１実施形態と略同一の機能および構成の要素については同一の符号を付けて、相違点を除き詳細な説明を省略する。

【0102】

図１４は、第２実施形態に係る情報処理システム１０における対象装置１２、監視装置１４および情報処理装置２０の機能構成を示す図である。

【0103】

第２実施形態に係る対象装置１２のログ生成部３２は、生成したログを、情報処理装置２０には送信せずに、対象装置１２に対応付けられた監視装置１４のみに送信する。

【0104】

第２実施形態に係る監視装置１４は、正常リスト比較部５４をさらに有する。１または複数の監視装置１４のそれぞれの正常リスト比較部５４は、正常リストが予め設定される。正常リスト比較部５４は、対応する対象装置１２から送信されたログを受信し、受信したログが正常リストに違反する違反ログであるか否かを判断する。正常リスト比較部５４は、受信したログが違反ログである場合、情報処理装置２０に違反ログを送信する。

【0105】

第２実施形態に係る情報処理装置２０は、正常リスト比較部５４を有さない。第２実施形態に係る情報処理装置２０は、違反ログ取得部７２をさらに有する。違反ログ取得部７２は、１または複数の監視装置１４のそれぞれから違反ログを受信する。違反ログ取得部７２は、違反ログを受信した場合、違反ログを解析対象記憶装置２４に書き込む。また、違反ログ取得部７２は、違反ログを受信した場合、違反ログを一時記憶部５２に書き込む。さらに、違反ログ取得部７２は、違反ログを受信した場合、違反ログを先頭プロセス特定部５６に与える。

【0106】

図１５は、第２実施形態に係る情報処理システム１０の処理の流れを示すフローチャートである。第２実施形態に係る情報処理システム１０は、図１５の流れで処理を実行する。

【0107】

第２実施形態に係る情報処理システム１０は、Ｓ１００１およびＳ１００２の処理を、第１実施形態と同様に実行する。

【0108】

第２実施形態に係る情報処理システム１０は、Ｓ１００３の処理に代えて、Ｓ１２０１の処理を実行する。Ｓ１２０１において、対象装置１２は、生成したログを、対応する監視装置１４に送信する。

【0109】

また、第２実施形態に係る情報処理システム１０は、Ｓ１００５の処理に代えて、Ｓ１２０２およびＳ１２０３の処理を実行する。第２実施形態に係る情報処理システム１０は、Ｓ１２０１の処理に続いてＳ１２０２の処理を実行する。

【0110】

Ｓ１２０２において、監視装置１４は、受信したログが予め設定された正常リストに違反するか否かを判断する。受信したログが正常リストに違反しない場合（Ｓ１２０２のＮｏ）、監視装置１４は、Ｓ１００２で生成されたログについての本フローの処理を終了する。受信したログが正常リストに違反する場合（Ｓ１２０２のＹｅｓ）、監視装置１４は、受信したログを違反ログとして、Ｓ１２０３の処理を実行する。

【0111】

Ｓ１２０３において、監視装置１４は、違反ログを情報処理装置２０に送信する。そして、情報処理装置２０は、監視装置１４から違反ログを受信する。

【0112】

そして、第２実施形態に係る情報処理システム１０は、Ｓ１２０３に続いて、Ｓ１００６、Ｓ１００７およびＳ１００８の処理を実行する。第２実施形態に係る情報処理システム１０は、Ｓ１００６、Ｓ１００７およびＳ１００８以降、第１実施形態と同様の処理を実行する。

【0113】

このような第２実施形態に係る情報処理システム１０は、第１実施形態と同様に、例えば正常なプロセスを間に挟んで攻撃を実行する悪意のあるプロセスが発生したような場合であっても、このような悪意のあるプロセスの検出および解析をすることが可能となる。また、第２実施形態に係る情報処理システム１０は、ログ列における正常である親子関係が第１世代数連続する最も新しい正常部分列よりも古いログを解析対象記憶装置２４に記憶させないので、解析対象記憶装置２４のキャパシティおよび解析装置２６の解析量を少なくすることができる。

【0114】

さらに、第２実施形態に係る情報処理システム１０は、対象装置１２において生成されたログが違反ログであるか否かを監視装置１４が判断するので、対象装置１２が情報処理装置２０へとログを送信しなくてよく、違反ログが検出された場合にのみ監視装置１４が情報処理装置２０へ違反ログを送信すればよい。従って、第２実施形態に係る情報処理システム１０は、情報処理装置２０が受信するログの量を少なくすることができ、通信負担を軽減することができる。

【0115】

（第３実施形態）
つぎに、第３実施形態に係る情報処理システム１０について説明する。第３実施形態に係る情報処理システム１０は、全体構成は第２実施形態と同様であり、各構成要素の機能および構成も、第２実施形態とほぼ同一である。従って、第３実施形態に係る情報処理システム１０の説明において、第２実施形態と略同一の機能および構成の要素については同一の符号を付けて、相違点を除き詳細な説明を省略する。

【0116】

図１６は、第３実施形態に係る情報処理システム１０における対象装置１２、監視装置１４および情報処理装置２０の機能構成を示す図である。

【0117】

第３実施形態に係る監視装置１４は、第１先頭プロセス特定部８２をさらに有する。

【0118】

第３実施形態に係る正常リスト比較部５４は、受信したログが違反ログである場合、情報処理装置２０に違反ログを送信することに代えて、第１先頭プロセス特定部８２に違反ログを与える。

【0119】

第１先頭プロセス特定部８２は、正常リスト比較部５４から違反ログを取得する。第１先頭プロセス特定部８２は、正常リスト比較部５４から違反ログを取得した場合、違反ログにより履歴が記述されている事象を発生させたプロセスを、先頭プロセスとして特定する。第１先頭プロセス特定部８２は、特定した先頭プロセスを識別する情報をログ読出部４６に与える。

【0120】

第３実施形態に係るログ読出部４６は、第１先頭プロセス特定部８２から先頭プロセスを識別する情報を受け取る。第３実施形態に係るログ読出部４６は、第１先頭プロセス特定部８２から先頭プロセスを識別する情報を受け取った場合、ログ記憶部４２から、ｎ世代分のログを含む分割ログ列を読み出す。すなわち、第３実施形態に係るログ読出部４６は、先頭プロセスのログおよび先頭プロセスの生成元を過去に（ｎ－１）世代遡った（ｎ－１）世代のプロセスのそれぞれのログを含む分割ログ列を読み出す。そして、本実施形態においては、ログ読出部４６は、取得要求を受け取る毎に、読み出した分割ログ列を情報処理装置２０に出力する。

【0121】

なお、第３実施形態に係るログ読出部４６は、第２実施形態と同様に、情報処理装置２０から取得要求を受け取る場合もある。この場合、第３実施形態に係るログ読出部４６は、第２実施形態と同様に処理を実行して、分割ログ列を情報処理装置２０に出力する。

【0122】

第３実施形態に係る情報処理装置２０は、一時記憶部５２と、先頭プロセス特定部５６と、ログ列取得部５８と、部分列検出部６０と、解析対象書込部６２とを有する。すなわち、第３実施形態に係る情報処理装置２０は、第２実施形態と比較して、正常リスト比較部５４を有さない構成である。従って、第３実施形態に係る一時記憶部５２および先頭プロセス特定部５６は、正常リスト比較部５４から違反ログを取得しない。

【0123】

第３実施形態に係るログ列取得部５８は、取得要求を監視装置１４へと送信しない場合であっても、分割ログ列を監視装置１４から受信する場合がある。この場合、第３実施形態に係るログ列取得部５８は、取得した分割ログ列を一時記憶部５２に書き込み、取得した分割ログ列を解析対象書込部６２に与える。第３実施形態に係るログ列取得部５８は、部分列検出部６０により正常部分列が検出されなかった場合には、第２実施形態と同様に処理を実行する。

【0124】

図１７は、第３実施形態に係る情報処理システム１０の処理の流れを示すフローチャートである。第３実施形態に係る情報処理システム１０は、図１７の流れで処理を実行する。

【0125】

第３実施形態に係る情報処理システム１０は、Ｓ１００１、Ｓ１００２、Ｓ１２０１およびＳ１２０２の処理を、第２実施形態と同様に実行する。なお、第３実施形態に係る情報処理システム１０は、Ｓ１００４およびＳ１２０３の処理を実行しない。

【0126】

Ｓ１２０２に続いて、第３実施形態に係る情報処理システム１０は、Ｓ１３０１の処理を実行する。Ｓ１３０１において、監視装置１４は、違反ログにより履歴が記述されているイベントまたはプロセスを発生させたプロセスを先頭プロセスとして特定する。

【0127】

第３実施形態に係る情報処理システム１０は、Ｓ１３０１に続いて、処理をＳ１０１１に進める。そして、第３実施形態に係る情報処理システム１０は、以後、Ｓ１０１１から処理を実行し、Ｓ１００６からＳ１０１７までの処理を、Ｓ１００９またはＳ１０１６において本フローの処理を終了するまで繰り返す。

【0128】

このような第３実施形態に係る情報処理システム１０は、第２実施形態と同様に、例えば正常なプロセスを間に挟んで攻撃を実行する悪意のあるプロセスが発生したような場合であっても、このような悪意のあるプロセスの検出および解析をすることが可能となる。また、第３実施形態に係る情報処理システム１０は、ログ列における正常である親子関係が第１世代数連続する最も新しい正常部分列よりも古いログを解析対象記憶装置２４に記憶させないので、解析対象記憶装置２４のキャパシティおよび解析装置２６の解析量を少なくすることができる。

【0129】

さらに、第３実施形態に係る情報処理システム１０は、対象装置１２において生成されたログが違反ログであるか否かを監視装置１４が判断するので、対象装置１２が情報処理装置２０へとログを送信しなくてよい。さらに、第３実施形態に係る情報処理システム１０は、違反ログが検出された場合に、情報処理装置２０からの取得要求を受け取らずに、監視装置１４が情報処理装置２０へ分割ログ列を送信する。従って、第３実施形態に係る情報処理システム１０は、情報処理装置２０が受信するログの量を少なくするとともに、情報処理装置２０での処理量を少なくすることができる。

【0130】

（ハードウェア構成）
図１８は、実施形態に係る情報処理装置２０のハードウェア構成の一例を示す図である。情報処理装置２０は、例えば図１８に示すようなハードウェア構成のコンピュータにより実現される。情報処理装置２０は、ＣＰＵ（Central Processing Unit）３０１と、ＲＡＭ（Random Access Memory）３０２と、ＲＯＭ（Read Only Memory）３０３と、操作入力装置３０４と、表示装置３０５と、記憶装置３０６と、通信装置３０７とを備える。そして、これらの各部は、バスにより接続される。

【0131】

ＣＰＵ３０１は、プログラムに従って演算処理および制御処理等を実行するプロセッサである。ＣＰＵ３０１は、ＲＡＭ３０２の所定領域を作業領域として、ＲＯＭ３０３および記憶装置３０６等に記憶されたプログラムとの協働により各種処理を実行する。

【0132】

ＲＡＭ３０２は、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）等のメモリである。ＲＡＭ３０２は、ＣＰＵ３０１の作業領域として機能する。ＲＯＭ３０３は、プログラムおよび各種情報を書き換え不可能に記憶するメモリである。

【0133】

操作入力装置３０４は、マウスおよびキーボード等の入力デバイスである。操作入力装置３０４は、ユーザから操作入力された情報を指示信号として受け付け、指示信号をＣＰＵ３０１に出力する。

【0134】

表示装置３０５は、ＬＣＤ（Liquid Crystal Display）等の表示デバイスである。表示装置３０５は、ＣＰＵ３０１からの表示信号に基づいて、各種情報を表示する。

【0135】

記憶装置３０６は、フラッシュメモリ等の半導体による記憶媒体、または、磁気的若しくは光学的に記録可能な記憶媒体等にデータを書き込みおよび読み出しをする装置である。記憶装置３０６は、ＣＰＵ３０１からの制御に応じて、記憶媒体にデータの書き込みおよび読み出しをする。通信装置３０７は、ＣＰＵ３０１からの制御に応じて外部の機器とネットワークを介して通信する。

【0136】

コンピュータで実行されるプログラムは、正常リスト比較モジュールと、先頭プロセス特定モジュールと、ログ列取得モジュールと、部分列検出モジュールと、解析対象書込モジュールとを含むモジュール構成となっている。このプログラムは、ＣＰＵ３０１（プロセッサ）によりＲＡＭ３０２上に展開して実行されることにより、ＣＰＵ３０１（プロセッサ）を正常リスト比較部５４、先頭プロセス特定部５６、ログ列取得部５８、部分列検出部６０および解析対象書込部６２として機能させる。また、ＲＡＭ３０２および記憶装置３０６は、一時記憶部５２として機能する。なお、コンピュータで実行されるプログラムは、第２実施形態および第３実施形態のように正常リスト比較モジュールを含まない構成であってもよい。

【0137】

また、コンピュータで実行されるプログラムは、コンピュータにインストール可能な形式または実行可能な形式のファイルで、ＣＤ－ＲＯＭ、フレキシブルディスク、ＣＤ－Ｒ、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録されて提供される。

【0138】

また、このプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、このプログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。また、情報処理装置２０で実行されるプログラムを、ＲＯＭ３０３等に予め組み込んで提供するように構成してもよい。

【0139】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0140】

１０ 情報処理システム
１２ 対象装置
１４ 監視装置
２０ 情報処理装置
２４ 解析対象記憶装置
２６ 解析装置
３２ ログ生成部
４２ ログ記憶部
４４ ログ書込部
４６ ログ読出部
５２ 一時記憶部
５４ 正常リスト比較部
５６ 先頭プロセス特定部
５８ ログ列取得部
６０ 部分列検出部
６２ 解析対象書込部
７２ 違反ログ取得部
８２ 監視装置内先頭プロセス特定部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】