知財求人 - 知財ポータルサイト「IP Force」
▶ 三菱電機株式会社の特許一覧 ▶ 三菱電機インフォメーションネットワーク株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-12-28
(45)【発行日】2024-01-12
(54)【発明の名称】情報処理装置、情報処理方法及び情報処理プログラム
(51)【国際特許分類】
G06F 21/55 20130101AFI20240104BHJP
H04L 43/00 20220101ALI20240104BHJP
【ＦＩ】
G06F21/55
H04L43/00
【請求項の数】
9
(21)【出願番号】P 2019233384
(22)【出願日】2019-12-24
(65)【公開番号】P2021103359
(43)【公開日】2021-07-15
【審査請求日】2022-09-29
(73)【特許権者】
【識別番号】000006013
【氏名又は名称】三菱電機株式会社
(73)【特許権者】
【識別番号】501158538
【氏名又は名称】三菱電機インフォメーションネットワーク株式会社
(74)【代理人】
【識別番号】110002491
【氏名又は名称】弁理士法人クロスボーダー特許事務所
(72)【発明者】
【氏名】岩崎 亜衣子
(72)【発明者】
【氏名】河内 清人
(72)【発明者】
【氏名】加藤 淳
(72)【発明者】
【氏名】平岡 俊哉
(72)【発明者】
【氏名】居城 秀明
(72)【発明者】
【氏名】黒瀧 大
【審査官】土谷 慎吾
(56)【参考文献】
【文献】特開２０１６－０１２２４０（ＪＰ，Ａ）
【文献】米国特許出願公開第２０１８／０２１９８７６（ＵＳ，Ａ１）
【文献】KHALILI, Mina et al.，Monitoring and Improving Managed Security Services inside a Security Operation Center，EAI Endorsed Transactions on Security and Safety，EAI，2019年01月25日，Volume 5, Issue 18，pp. 1-20，[検索日 2023.10.26], インターネット<URL: https://eudl.eu/doi/10.4108/eai.8-4-2019.157413>
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５５
Ｈ０４Ｌ ４３／００
(57)【特許請求の範囲】
【請求項1】
新たに検知されたアノマリである新規アノマリの複数の属性の各々の過去のアノマリ分析での分析状況に基づき、前記複数の属性の中から、前記新規アノマリでの異常度が高く、過去のアノマリ分析により異常度が高い場合にはサイバー攻撃に関係する可能性が高いと推測されている属性を、前記新規アノマリの分析で重視することを推奨する推奨属性として選択する属性選択部と、前記属性選択部により選択された前記推奨属性を提示する属性提示部とを有する情報処理装置。
【請求項2】
前記属性選択部は、前記新規アノマリに類似する、過去に検知されたアノマリが存在するか否かを判定し、
前記新規アノマリに類似する、過去に検知されたアノマリが存在しない場合に、前記推奨属性を選択する請求項１に記載の情報処理装置。
【請求項3】
前記属性選択部は、前記新規アノマリの前記複数の属性を通知するアラート情報が発行された場合に、前記アラート情報で通知された前記複数の属性の中から前記推奨属性を選択する請求項１に記載の情報処理装置。
【請求項4】
前記属性選択部は、過去のアノマリ分析において重視された回数が多い属性を前記推奨属性として選択する請求項１に記載の情報処理装置。
【請求項5】
前記属性提示部は、過去のアノマリ分析で行われた属性ごとの分析方法を提示する請求項１に記載の情報処理装置。
【請求項6】
前記属性選択部は、特定の期間に行われたアノマリ分析での分析状況に基づき、前記推奨属性を選択する請求項１に記載の情報処理装置。
【請求項7】
前記属性選択部は、特定のイベントが発生する特定の期間に行われたアノマリ分析での分析状況に基づき、前記推奨属性を選択する請求項６に記載の情報処理装置。
【請求項8】
コンピュータが、新たに検知されたアノマリである新規アノマリの複数の属性の各々の過去のアノマリ分析での分析状況に基づき、前記複数の属性の中から、前記新規アノマリでの異常度が高く、過去のアノマリ分析により異常度が高い場合にはサイバー攻撃に関係する可能性が高いと推測されている属性を、前記新規アノマリの分析で重視することを推奨する推奨属性として選択し、前記コンピュータが、選択された前記推奨属性を提示する情報処理方法。
【請求項9】
新たに検知されたアノマリである新規アノマリの複数の属性の各々の過去のアノマリ分析での分析状況に基づき、前記複数の属性の中から、前記新規アノマリでの異常度が高く、過去のアノマリ分析により異常度が高い場合にはサイバー攻撃に関係する可能性が高いと推測されている属性を、前記新規アノマリの分析で重視することを推奨する推奨属性として選択する属性選択処理と、前記属性選択処理により選択された前記推奨属性を提示する属性提示処理とをコンピュータに実行させる情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、アノマリ分析に関する。
【背景技術】
【0002】
近年、正常な通信ログ又は端末ログを学習し、学習結果を用いてサイバー攻撃を検知するアノマリ検知技術（異常検知技術）が多く開発されている。アノマリ検知においては、アノマリ検知後の対応を素早く行う必要がある。このため、アノマリ検知を通知するアラートとともに、追加の情報を付加してその後の対応を補助する機能が求められている。
これに対し、例えば、特許文献１では、第１のアラートと、第１のアラートに先立って通知された第２のアラートとの間の類似度を求め、当該類似度を示す類似度情報を提示する技術が開示されている。
これに対し、例えば、特許文献１では、第１のアラートと、第１のアラートに先立って通知された第２のアラートとの間の類似度を求め、当該類似度を示す類似度情報を提示する技術が開示されている。
【先行技術文献】
【特許文献】
【0003】
【文献】国際公開ＷＯ２０１６／０９２８３６号
【発明の概要】
【発明が解決しようとする課題】
【0004】
特許文献１の技術では、第１のアラートに類似する第２のアラートが存在していれば、アノマリ検知後の対応を補助する情報として、例えば、第２のアラートでの対応履歴を提示することが可能である。しかし、第１のアラートに類似するアラートが存在しない場合は、第１のアラートに類似するアラートが存在していないことを提示できるのみである。
つまり、特許文献１の技術では、新たに検知されたアノマリが過去に検知されたアノマリに類似していない場合は、アノマリ検知後の対応を補助する情報を提示することができないという課題がある。
つまり、特許文献１の技術では、新たに検知されたアノマリが過去に検知されたアノマリに類似していない場合は、アノマリ検知後の対応を補助する情報を提示することができないという課題がある。
【0005】
本発明は、このような課題を解決することを主な目的とする。より具体的には、本発明は、新たに検知されたアノマリが過去に検知されたアノマリに類似していない場合でも、アノマリ検知後の対応を補助する情報を提示できる構成を得ることを主な目的とする。
【課題を解決するための手段】
【0006】
本発明に係る情報処理装置は、
新たに検知されたアノマリである新規アノマリの複数の属性の各々の過去のアノマリ分析での分析状況に基づき、前記複数の属性の中から、前記新規アノマリの分析で重視することを推奨する属性を推奨属性として選択する属性選択部と、
前記属性選択部により選択された前記推奨属性を提示する属性提示部とを有する。
新たに検知されたアノマリである新規アノマリの複数の属性の各々の過去のアノマリ分析での分析状況に基づき、前記複数の属性の中から、前記新規アノマリの分析で重視することを推奨する属性を推奨属性として選択する属性選択部と、
前記属性選択部により選択された前記推奨属性を提示する属性提示部とを有する。
【発明の効果】
【0007】
本発明によれば、新規アノマリが過去に検知されたアノマリに類似していない場合でも、アノマリ検知後の対応を補助する情報として、推奨属性を提示することができる。
【図面の簡単な説明】
【0008】
【図1】実施の形態１に係るシステム構成例を示す図。
【図2】実施の形態１に係る分析補助装置のハードウェア構成例を示す図。
【図3】実施の形態１に係る分析補助装置の機能構成例を示す図。
【図4】実施の形態１に係る分析補助装置の動作例を示すフローチャート。
【図5】実施の形態１に係る分析補助装置の動作例を示すフローチャート。
【図6】実施の形態１に係る分析結果入力画面の例を示す図。
【図7】実施の形態１に係るアラート情報の例を示す図。
【図8】実施の形態１に係る分析結果情報の例を示す図。
【図9】実施の形態１に係るベース値情報の例を示す図。
【図10】実施の形態１に係るアラート提示情報の生成過程を示す図。
【図11】実施の形態１に係るアラート提示情報の生成過程を示す図。
【図12】実施の形態２に係る分析補助装置の動作例を示すフローチャート。
【図13】実施の形態１に係る分析補助装置の動作例を示すフローチャート。
【図14】実施の形態２に係る相関値情報の例を示す図。
【図15】実施の形態２に係る分析結果入力画面の例を示す図。
【図16】実施の形態２に係るアラート提示情報の例を示す図。
【発明を実施するための形態】
【0009】
以下、本発明の実施の形態について、図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分又は相当する部分を示す。
【0010】
実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係るシステム構成例を示す。
図１に示すように、本実施の形態に係るシステムは、監視対象システム３０１、アノマリ検知装置３０３及び分析補助装置１００で構成される。
分析補助装置１００は、情報処理装置に相当する。また、分析補助装置１００の動作手順は、情報処理方法に相当する。また、分析補助装置１００の動作を実現するプログラムは、情報処理プログラムに相当する。
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係るシステム構成例を示す。
図１に示すように、本実施の形態に係るシステムは、監視対象システム３０１、アノマリ検知装置３０３及び分析補助装置１００で構成される。
分析補助装置１００は、情報処理装置に相当する。また、分析補助装置１００の動作手順は、情報処理方法に相当する。また、分析補助装置１００の動作を実現するプログラムは、情報処理プログラムに相当する。
【0011】
監視対象システム３０１は、ログ採取装置３０２を含む。
ログ採取装置３０２は、監視対象システム３０１内で発生した端末ログ、通信ログなどの対象システムログ１０６を採取する。また、ログ採取装置３０２は、採取した対象システムログ１０６をアノマリ検知装置３０３に送信する。
ログ採取装置３０２は、監視対象システム３０１内で発生した端末ログ、通信ログなどの対象システムログ１０６を採取する。また、ログ採取装置３０２は、採取した対象システムログ１０６をアノマリ検知装置３０３に送信する。
【0012】
アノマリ検知装置３０３は、類似度判定部３０４を含む。
類似度判定部３０４は、ログ採取装置３０２から送信された対象システムログ１０６を、ルール、機械学習等のアノマリ（異常）の判定ロジックを用いて、過去に収集された対象システムログと比較して分析する。そして、類似度判定部３０４は、分析結果を示すアラート情報１０７を生成し、アラート情報１０７を分析補助装置１００に送信する。
また、類似度判定部３０４は、対象システムログ１０６から取得される複数の属性の各々に対して個別の異常度を算出する機能を備える。また、類似度判定部３０４は、新たなアラート情報１０７に類似する過去のアラート情報を抽出する機能を備える。
類似度判定部３０４は、ログ採取装置３０２から送信された対象システムログ１０６を、ルール、機械学習等のアノマリ（異常）の判定ロジックを用いて、過去に収集された対象システムログと比較して分析する。そして、類似度判定部３０４は、分析結果を示すアラート情報１０７を生成し、アラート情報１０７を分析補助装置１００に送信する。
また、類似度判定部３０４は、対象システムログ１０６から取得される複数の属性の各々に対して個別の異常度を算出する機能を備える。また、類似度判定部３０４は、新たなアラート情報１０７に類似する過去のアラート情報を抽出する機能を備える。
【0013】
図７は、アラート情報１０７の例を示す。アラート情報１０７は、類似度判定部３０４で検知されたアノマリを通知する情報である。
アラート情報１０７には、アラートＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）、異常度（全体）、類似アラートＩＤ、識別子、属性、属性値、異常度が含まれる。
アラートＩＤには、アラート情報１０７を一意に識別可能な識別子が示される。
属性には、対象システムログ１０６に示された属性が示される。属性はアノマリの特徴である。
識別子には、属性を一意に識別可能な識別子が示される。
属性値には、属性の具体的な値が示される。
異常度には、属性ごとの異常度が示される。
異常度（全体）には、属性ごとの異常度を統合した異常度が示される。
類似アラートＩＤには、アラート情報１０７に類似する過去のアラート情報のアラートＩＤが記述される。アラート情報１０７に類似するアラート情報がない場合は、類似アラートＩＤの欄は空欄である。
アラート情報１０７には、アラートＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）、異常度（全体）、類似アラートＩＤ、識別子、属性、属性値、異常度が含まれる。
アラートＩＤには、アラート情報１０７を一意に識別可能な識別子が示される。
属性には、対象システムログ１０６に示された属性が示される。属性はアノマリの特徴である。
識別子には、属性を一意に識別可能な識別子が示される。
属性値には、属性の具体的な値が示される。
異常度には、属性ごとの異常度が示される。
異常度（全体）には、属性ごとの異常度を統合した異常度が示される。
類似アラートＩＤには、アラート情報１０７に類似する過去のアラート情報のアラートＩＤが記述される。アラート情報１０７に類似するアラート情報がない場合は、類似アラートＩＤの欄は空欄である。
【0014】
図２は、本実施の形態に係る分析補助装置１００のハードウェア構成例を示す。
【0015】
分析補助装置１００は、コンピュータである。
分析補助装置１００は、ハードウェアとして、プロセッサ２０１、メモリ２０２、通信インタフェース２０３、補助記憶装置２０４及び入出力インタフェース２０５を備える。
補助記憶装置２０４には、後述する属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の機能を実現するプログラムが記憶されている。
これらプログラムは、補助記憶装置２０４からメモリ２０２にロードされる。そして、プロセッサ２０１がこれらプログラムを実行して、後述する属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の動作を行う。
図２では、プロセッサ２０１が属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の機能を実現するプログラムを実行している状態を模式的に表している。
通信インタフェース２０３は、アノマリ検知装置３０３からアラート情報１０７を受信する。
入出力インタフェース２０５は、分析補助装置１００を利用するアナリストに、後述する分析結果入力画面７００を提示する。また、入出力インタフェース２０５は、アナリストによる分析結果入力画面７００への入力内容を取得する。また、入出力インタフェース２０５は、後述するアラート提示情報１０００又はアラート提示情報１００１をアナリストに提示する。
分析補助装置１００は、ハードウェアとして、プロセッサ２０１、メモリ２０２、通信インタフェース２０３、補助記憶装置２０４及び入出力インタフェース２０５を備える。
補助記憶装置２０４には、後述する属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の機能を実現するプログラムが記憶されている。
これらプログラムは、補助記憶装置２０４からメモリ２０２にロードされる。そして、プロセッサ２０１がこれらプログラムを実行して、後述する属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の動作を行う。
図２では、プロセッサ２０１が属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の機能を実現するプログラムを実行している状態を模式的に表している。
通信インタフェース２０３は、アノマリ検知装置３０３からアラート情報１０７を受信する。
入出力インタフェース２０５は、分析補助装置１００を利用するアナリストに、後述する分析結果入力画面７００を提示する。また、入出力インタフェース２０５は、アナリストによる分析結果入力画面７００への入力内容を取得する。また、入出力インタフェース２０５は、後述するアラート提示情報１０００又はアラート提示情報１００１をアナリストに提示する。
【0016】
図３は、本実施の形態に係る分析補助装置１００の機能構成例を示す。
図３に示すように、分析補助装置１００は、属性選択部１０１、分析結果記憶部１０２、属性提示部１０３及び分析結果取得部１０４で構成される。
図３に示すように、分析補助装置１００は、属性選択部１０１、分析結果記憶部１０２、属性提示部１０３及び分析結果取得部１０４で構成される。
【0017】
分析結果記憶部１０２には、分析結果情報１０８とベース値情報１０９が記憶されている。
【0018】
図８は、分析結果情報１０８の例を示す。
分析結果情報１０８は、アラートＩＤ、判定結果及び識別子／異常度で構成される。
アラートＩＤには、アノマリ検知装置３０３から送信された過去のアラート情報１０７のアラートＩＤが示される。
判定結果には、過去のアラート情報１０７に対してアナリストが下した判定結果が示される。アナリストがアラート情報１０７を分析した結果、サイバー攻撃が発生していると判定した場合は、判定結果の欄に「攻撃」が記述される。一方、アナリストがアラート情報１０７を分析した結果、誤検知であると判定した場合は、判定結果の欄に「誤検知」が記述される。
識別子／異常度には、アナリストが判定を下す際に重視（着目）した属性の識別子と、当該識別子についてアラート情報１０７に記述されていた異常度が示される。
分析結果情報１０８は、アラートＩＤ、判定結果及び識別子／異常度で構成される。
アラートＩＤには、アノマリ検知装置３０３から送信された過去のアラート情報１０７のアラートＩＤが示される。
判定結果には、過去のアラート情報１０７に対してアナリストが下した判定結果が示される。アナリストがアラート情報１０７を分析した結果、サイバー攻撃が発生していると判定した場合は、判定結果の欄に「攻撃」が記述される。一方、アナリストがアラート情報１０７を分析した結果、誤検知であると判定した場合は、判定結果の欄に「誤検知」が記述される。
識別子／異常度には、アナリストが判定を下す際に重視（着目）した属性の識別子と、当該識別子についてアラート情報１０７に記述されていた異常度が示される。
【0019】
図９は、ベース値情報１０９の例を示す。
ベース値情報１０９には、属性の識別子ごとにベース値が記述されている。
識別子には、過去に受信された全てのアラート情報１０７から抽出された属性の識別子が示される。
ベース値は、アナリストがアノマリ分析において属性を重視した度合を示す。つまり、過去のアノマリ分析においてアナリストに重視された回数が多い属性ほどベース値が高くなる。アノマリ分析とは、アナリストがアラート情報１０７に示されるアノマリの属性を分析して、アラート情報１０７で示されるアノマリが誤検知に基づくものなのか、サイバー攻撃によるものなのかを判定する手順である。
ベース値情報１０９には、属性の識別子ごとにベース値が記述されている。
識別子には、過去に受信された全てのアラート情報１０７から抽出された属性の識別子が示される。
ベース値は、アナリストがアノマリ分析において属性を重視した度合を示す。つまり、過去のアノマリ分析においてアナリストに重視された回数が多い属性ほどベース値が高くなる。アノマリ分析とは、アナリストがアラート情報１０７に示されるアノマリの属性を分析して、アラート情報１０７で示されるアノマリが誤検知に基づくものなのか、サイバー攻撃によるものなのかを判定する手順である。
【0020】
属性選択部１０１は、新たに検知されたアノマリである新規アノマリをアナリストが分析する際に、新規アノマリの複数の属性の各々の過去のアノマリ分析での分析状況に基づき、複数の属性の中から、新規アノマリの分析で重視することを推奨する属性を推奨属性として選択する。新規アノマリとは、新たなアラート情報１０７で通知されるアノマリである。
つまり、属性選択部１０１は、アノマリ検知装置３０３から新たなアラート情報１０７を取得する。そして、属性選択部１０１は、取得した新たなアラート情報１０７の類似アラートＩＤの欄に過去の類似するアラート情報のアラートＩＤが記載されているか否かを判定する。つまり、属性選択部１０１は、新規アノマリに類似する、過去に検知されたアノマリが存在するか否かを判定する。
そして、新たなアラート情報１０７の類似アラートＩＤの欄にアラートＩＤが示されている場合、つまり、新規アノマリに類似する、過去に検知されたアノマリが存在する場合は、属性選択部１０１は、当該アラートＩＤに対応する分析結果情報１０８を分析結果記憶部１０２から取得する。更に、属性選択部１０１は、取得した分析結果情報１０８に記載されている属性の識別子とアラート情報１０７を属性提示部１０３に出力する。
一方、新たなアラート情報１０７の類似アラートＩＤの欄にアラートＩＤが示されていない場合、つまり、新規アノマリに類似する、過去に検知されたアノマリが存在しない場合は、属性選択部１０１は、アラート情報１０７で通知された複数の属性の中から推奨属性を選択する。具体的には、属性選択部１０１は、アラート情報１０７で通知された複数の属性のうち、ベース値情報１０９においてベース値が高い属性を推奨属性として選択する。そして、属性選択部１０１は、選択した推奨属性の識別子とアラート情報１０７を属性提示部１０３に出力する。
なお、属性選択部１０１により行われる処理は、属性選択処理に相当する。
つまり、属性選択部１０１は、アノマリ検知装置３０３から新たなアラート情報１０７を取得する。そして、属性選択部１０１は、取得した新たなアラート情報１０７の類似アラートＩＤの欄に過去の類似するアラート情報のアラートＩＤが記載されているか否かを判定する。つまり、属性選択部１０１は、新規アノマリに類似する、過去に検知されたアノマリが存在するか否かを判定する。
そして、新たなアラート情報１０７の類似アラートＩＤの欄にアラートＩＤが示されている場合、つまり、新規アノマリに類似する、過去に検知されたアノマリが存在する場合は、属性選択部１０１は、当該アラートＩＤに対応する分析結果情報１０８を分析結果記憶部１０２から取得する。更に、属性選択部１０１は、取得した分析結果情報１０８に記載されている属性の識別子とアラート情報１０７を属性提示部１０３に出力する。
一方、新たなアラート情報１０７の類似アラートＩＤの欄にアラートＩＤが示されていない場合、つまり、新規アノマリに類似する、過去に検知されたアノマリが存在しない場合は、属性選択部１０１は、アラート情報１０７で通知された複数の属性の中から推奨属性を選択する。具体的には、属性選択部１０１は、アラート情報１０７で通知された複数の属性のうち、ベース値情報１０９においてベース値が高い属性を推奨属性として選択する。そして、属性選択部１０１は、選択した推奨属性の識別子とアラート情報１０７を属性提示部１０３に出力する。
なお、属性選択部１０１により行われる処理は、属性選択処理に相当する。
【0021】
属性提示部１０３は、属性選択部１０１から出力された属性の識別子とアラート情報１０７から後述するアラート提示情報１０００又はアラート提示情報１００１を生成する。そして、属性提示部１０３は、アラート提示情報１０００又はアラート提示情報１００１を、入出力インタフェース２０５を介してアナリストに提示する。
属性提示部１０３により行われる処理は、属性提示処理に相当する。
属性提示部１０３により行われる処理は、属性提示処理に相当する。
【0022】
分析結果取得部１０４は、アナリストからアラート情報１０７に対するアノマリ分析の結果を取得し、分析結果情報１０８及びベース値情報１０９を生成する。
より具体的には、分析結果取得部１０４は、図６に示す分析結果入力画面７００を入出力インタフェース２０５を介してアナリストに提示する。そして、分析結果取得部１０４は、分析結果入力画面７００へのアナリストの入力内容に基づいて、分析結果情報１０８及びベース値情報１０９を生成する。
なお、図６の詳細は、後述する。
より具体的には、分析結果取得部１０４は、図６に示す分析結果入力画面７００を入出力インタフェース２０５を介してアナリストに提示する。そして、分析結果取得部１０４は、分析結果入力画面７００へのアナリストの入力内容に基づいて、分析結果情報１０８及びベース値情報１０９を生成する。
なお、図６の詳細は、後述する。
【0023】
＊＊＊動作の説明＊＊＊
次に、図４及び図５を参照して、本実施の形態に係る分析補助装置１００の動作例を説明する。
図４は、新たなアラート情報１０７を取得した際の分析補助装置１００の動作例を示す。
図５は、アナリストがアノマリ分析を完了した際の分析補助装置１００の動作例を示す。
次に、図４及び図５を参照して、本実施の形態に係る分析補助装置１００の動作例を説明する。
図４は、新たなアラート情報１０７を取得した際の分析補助装置１００の動作例を示す。
図５は、アナリストがアノマリ分析を完了した際の分析補助装置１００の動作例を示す。
【0024】
先ずは、図４を参照して、新たなアラート情報１０７を取得した際の分析補助装置１００の動作例を説明する。
【0025】
ステップＳ１０１では、属性選択部１０１がアノマリ検知装置３０３から新たなアラート情報１０７を取得する。
【0026】
次に、属性選択部１０１は、ステップＳ１０２において、アラート情報１０７に類似するアラート情報の分析結果情報１０８が存在するか否かを判定する。
具体的には、属性選択部１０１は、取得したアラート情報１０７の類似アラートＩＤの欄に過去の類似するアラート情報のアラートＩＤが示されているか否かを判定する。
取得したアラート情報１０７の類似アラートＩＤの欄にアラートＩＤが示されている場合（ステップＳ１０２でＹＥＳ）は、処理がステップＳ１０３に移行する。一方、取得したアラート情報１０７の類似アラートＩＤの欄にアラートＩＤが示されていない場合（ステップＳ１０２でＮＯ）は、処理がステップＳ１０４に移行する。
具体的には、属性選択部１０１は、取得したアラート情報１０７の類似アラートＩＤの欄に過去の類似するアラート情報のアラートＩＤが示されているか否かを判定する。
取得したアラート情報１０７の類似アラートＩＤの欄にアラートＩＤが示されている場合（ステップＳ１０２でＹＥＳ）は、処理がステップＳ１０３に移行する。一方、取得したアラート情報１０７の類似アラートＩＤの欄にアラートＩＤが示されていない場合（ステップＳ１０２でＮＯ）は、処理がステップＳ１０４に移行する。
【0027】
ステップＳ１０３では、属性選択部１０１は、アラート情報１０７に類似するアラート情報の分析で重視された属性を取得する。
より具体的には、属性選択部１０１は、アラート情報１０７に類似するアラート情報の分析結果情報１０８を分析結果記憶部１０２から取得する。そして、属性選択部１０１は、取得した分析結果情報１０８に記載されている属性を取得する。
属性選択部１０１は、取得した属性とアラート情報１０７を属性提示部１０３に出力する。
より具体的には、属性選択部１０１は、アラート情報１０７に類似するアラート情報の分析結果情報１０８を分析結果記憶部１０２から取得する。そして、属性選択部１０１は、取得した分析結果情報１０８に記載されている属性を取得する。
属性選択部１０１は、取得した属性とアラート情報１０７を属性提示部１０３に出力する。
【0028】
ステップＳ１０４では、属性選択部１０１は、推奨属性を選択する。
より具体的には、属性選択部１０１は、分析結果記憶部１０２からベース値情報１０９を取得する。そして、属性選択部１０１は、アラート情報１０７に含まれる属性のうちベース値の高い属性を推奨属性として選択する。
属性選択部１０１は、例えば、アラート情報１０７に含まれる属性のうちベース値が閾値（例えば、「０．５」）よりも高い属性を推奨属性として選択する。また、属性選択部１０１は、ベース値が高い順にｎ個（ｎは２以上の任意の整数）を推奨属性として選択してもよい。
属性選択部１０１は、選択した推奨属性とアラート情報１０７を属性提示部１０３に出力する。
より具体的には、属性選択部１０１は、分析結果記憶部１０２からベース値情報１０９を取得する。そして、属性選択部１０１は、アラート情報１０７に含まれる属性のうちベース値の高い属性を推奨属性として選択する。
属性選択部１０１は、例えば、アラート情報１０７に含まれる属性のうちベース値が閾値（例えば、「０．５」）よりも高い属性を推奨属性として選択する。また、属性選択部１０１は、ベース値が高い順にｎ個（ｎは２以上の任意の整数）を推奨属性として選択してもよい。
属性選択部１０１は、選択した推奨属性とアラート情報１０７を属性提示部１０３に出力する。
【0029】
ステップＳ１０５において、属性提示部１０３は、アラート提示情報を生成し、生成したアラート提示情報を入出力インタフェース２０５を介してアナリストに提示する。
属性選択部１０１により分析結果情報１０８に含まれる属性とアラート情報１０７が出力された場合は、属性提示部１０３は、分析結果情報１０８に含まれる属性とアラート情報１０７が示されるアラート提示情報を生成する。
一方、属性選択部１０１により推奨属性とアラート情報１０７が出力された場合は、属性提示部１０３は、推奨属性とアラート情報１０７が示されるアラート提示情報を生成する。
属性選択部１０１により分析結果情報１０８に含まれる属性とアラート情報１０７が出力された場合は、属性提示部１０３は、分析結果情報１０８に含まれる属性とアラート情報１０７が示されるアラート提示情報を生成する。
一方、属性選択部１０１により推奨属性とアラート情報１０７が出力された場合は、属性提示部１０３は、推奨属性とアラート情報１０７が示されるアラート提示情報を生成する。
【0030】
【0031】
属性選択部１０１は、アラート情報１０７の「類似アラートＩＤ：１００１」をキーに分析結果記憶部１０２の分析結果情報１０８を検索し、「アラートＩＤ：１００１」が記載されている分析結果情報１０８を抽出する。
そして、属性選択部１０１は、抽出した分析結果情報１０８に記載されている識別子の中から、アラート情報１０７に含まれている識別子を抽出する。ここでは、属性選択部１０１は、Ｒ１、Ｒ７、Ｒ１０、Ｒ１１及びＲ１２を抽出する。
属性選択部１０１は、アラート情報１０７と、分析結果情報１０８から抽出した識別子を属性提示部１０３に出力する。
属性提示部１０３は、アラート情報１０７と、分析結果情報１０８から抽出された識別子を用いて、アラート提示情報１０００を生成する。
アラート提示情報１０００には、アラート情報１０７の「アラートＩＤ：１００３」と「異常度（全体）：９５％」とが示される。また、アラート提示情報１０００には、分析結果情報１０８から抽出された識別子（Ｒ１、Ｒ７、Ｒ１０、Ｒ１１、Ｒ１２）とこれら識別子に対応する属性と属性値とが示される。更に、アラート提示情報１０００には、アラート情報１０７に示された各識別子に対応する異常度も示される。
そして、属性選択部１０１は、抽出した分析結果情報１０８に記載されている識別子の中から、アラート情報１０７に含まれている識別子を抽出する。ここでは、属性選択部１０１は、Ｒ１、Ｒ７、Ｒ１０、Ｒ１１及びＲ１２を抽出する。
属性選択部１０１は、アラート情報１０７と、分析結果情報１０８から抽出した識別子を属性提示部１０３に出力する。
属性提示部１０３は、アラート情報１０７と、分析結果情報１０８から抽出された識別子を用いて、アラート提示情報１０００を生成する。
アラート提示情報１０００には、アラート情報１０７の「アラートＩＤ：１００３」と「異常度（全体）：９５％」とが示される。また、アラート提示情報１０００には、分析結果情報１０８から抽出された識別子（Ｒ１、Ｒ７、Ｒ１０、Ｒ１１、Ｒ１２）とこれら識別子に対応する属性と属性値とが示される。更に、アラート提示情報１０００には、アラート情報１０７に示された各識別子に対応する異常度も示される。
【0032】
図１１は、図４のステップＳ１０２の判定が「ＮＯ」であった場合のアラート提示情報の生成過程を説明する。
属性選択部１０１は、アラート情報１０７の「類似アラートＩＤ：なし」により、分析結果記憶部１０２からベース値情報１０９を取得する。
そして、属性選択部１０１は、ベース値情報１０９から、アラート情報１０７に含まれている識別子のうちベース値が０．５以上の識別子を抽出する。ここでは、属性選択部１０１は、Ｒ１、Ｒ５及びＲ１０を抽出する。なお、これらＲ１、Ｒ５及びＲ１０に対応する属性が推奨属性に該当する。
属性選択部１０１は、アラート情報１０７と、ベース値情報１０９から抽出した識別子とベース値を属性提示部１０３に出力する。
属性提示部１０３は、アラート情報１０７と、ベース値情報１０９から抽出された識別子とベース値を用いて、アラート提示情報１００１を生成する。
アラート提示情報１００１には、アラート情報１０７の「アラートＩＤ：１００５」と「異常度（全体）：９５％」とが示される。また、アラート提示情報１００１には、ベース値情報１０９から抽出された識別子（Ｒ１、Ｒ５及びＲ１０）とこれら識別子に対応する属性と属性値とが示される。更に、アラート提示情報１００１には、アラート情報１０７に示された各識別子に対応する異常度と、ベース値情報１０９から抽出した各識別子に対応するベース値も示される。
属性選択部１０１は、アラート情報１０７の「類似アラートＩＤ：なし」により、分析結果記憶部１０２からベース値情報１０９を取得する。
そして、属性選択部１０１は、ベース値情報１０９から、アラート情報１０７に含まれている識別子のうちベース値が０．５以上の識別子を抽出する。ここでは、属性選択部１０１は、Ｒ１、Ｒ５及びＲ１０を抽出する。なお、これらＲ１、Ｒ５及びＲ１０に対応する属性が推奨属性に該当する。
属性選択部１０１は、アラート情報１０７と、ベース値情報１０９から抽出した識別子とベース値を属性提示部１０３に出力する。
属性提示部１０３は、アラート情報１０７と、ベース値情報１０９から抽出された識別子とベース値を用いて、アラート提示情報１００１を生成する。
アラート提示情報１００１には、アラート情報１０７の「アラートＩＤ：１００５」と「異常度（全体）：９５％」とが示される。また、アラート提示情報１００１には、ベース値情報１０９から抽出された識別子（Ｒ１、Ｒ５及びＲ１０）とこれら識別子に対応する属性と属性値とが示される。更に、アラート提示情報１００１には、アラート情報１０７に示された各識別子に対応する異常度と、ベース値情報１０９から抽出した各識別子に対応するベース値も示される。
【0033】
次に、図５を参照して、アナリストがアノマリ分析を完了した際の分析補助装置１００の動作例を説明する。
【0034】
ステップＳ１０６では、分析結果取得部１０４は、アナリストからアノマリ分析の分析結果を取得する。
より具体的には、分析結果取得部１０４は、分析結果入力画面７００を入出力インタフェース２０５を介してアナリストに提示し、アナリストに分析結果入力画面７００の必要項目に分析結果を入力させる。
また、分析結果取得部１０４は、対応するアラート情報１０７を属性提示部１０３から取得する。
より具体的には、分析結果取得部１０４は、分析結果入力画面７００を入出力インタフェース２０５を介してアナリストに提示し、アナリストに分析結果入力画面７００の必要項目に分析結果を入力させる。
また、分析結果取得部１０４は、対応するアラート情報１０７を属性提示部１０３から取得する。
【0035】
図６は、図７に示すアラート情報１０７（アラートＩＤ：１００１）に対する分析結果入力画面７００の例を示す。
分析結果入力画面７００では、アラート情報１０７の「アラートＩＤ：１００１」が示される。また、アラート情報１０７に含まれる「異常度（全体）：９５％」が示される。更に、アラート情報１０７に示される識別子（Ｒ１、Ｒ２、Ｒ３等）と属性（Ｍｅｔｈｏｄ、Ｓｃｈｅｍｅ、Ｈｏｓｔ等）と属性値（ＧＥＴ、ｈｔｔｐ、ｗｗｗ等）が示される。
更に、識別子ごとにチェックボックス７０１が設けられている。アナリストは、アノマリ分析において重視（着目）した属性の識別子のチェックボックス７０１にチェックをつける。アナリストは、複数のチェックボックスを選択可能である。
また、アナリストは、サイバー攻撃有無の判定結果をプルダウンリスト７０２を操作して指定する。図６では、「誤検知」が示されているが、アナリストはプルダウンにより「誤検知」と「攻撃」とを選択することができる。
アナリストは、入力内容が確定したら、確定ボタン７０３を押す。
なお、図６では、一例として、プルダウン形式及びチェックボックス形式が用いられているが、分析結果入力画面７００における入力形式は問わない。
分析結果入力画面７００では、アラート情報１０７の「アラートＩＤ：１００１」が示される。また、アラート情報１０７に含まれる「異常度（全体）：９５％」が示される。更に、アラート情報１０７に示される識別子（Ｒ１、Ｒ２、Ｒ３等）と属性（Ｍｅｔｈｏｄ、Ｓｃｈｅｍｅ、Ｈｏｓｔ等）と属性値（ＧＥＴ、ｈｔｔｐ、ｗｗｗ等）が示される。
更に、識別子ごとにチェックボックス７０１が設けられている。アナリストは、アノマリ分析において重視（着目）した属性の識別子のチェックボックス７０１にチェックをつける。アナリストは、複数のチェックボックスを選択可能である。
また、アナリストは、サイバー攻撃有無の判定結果をプルダウンリスト７０２を操作して指定する。図６では、「誤検知」が示されているが、アナリストはプルダウンにより「誤検知」と「攻撃」とを選択することができる。
アナリストは、入力内容が確定したら、確定ボタン７０３を押す。
なお、図６では、一例として、プルダウン形式及びチェックボックス形式が用いられているが、分析結果入力画面７００における入力形式は問わない。
【0036】
次に、ステップＳ１０７において、分析結果取得部１０４は、分析結果情報１０８を生成する。
より具体的には、分析結果取得部１０４は、分析結果入力画面７００においてアナリストにより選択された（チェックボックス７０１にチェックがつけられた）識別子とその異常度と、プルダウンリスト７０２により指定されたサイバー攻撃有無の判定結果と、アラートＩＤとを用いて、図８に示す分析結果情報１０８を生成する。
つまり、分析結果取得部１０４は、分析結果入力画面７００に示されるアラートＩＤを分析結果情報１０８に記述する。また、分析結果取得部１０４は、分析結果入力画面７００のプルダウンリスト７０２で指定された判定結果を分析結果情報１０８に記述する。また、分析結果取得部１０４は、分析結果入力画面７００においてチェックボックスにチェックがつけられた識別子を分析結果情報１０８に記述する。また、分析結果取得部１０４は、アラート情報１０７に示される異常度を分析結果情報１０８に記述する。
そして、分析結果取得部１０４は、生成した分析結果情報１０８とアラート情報１０７を分析結果記憶部１０２に格納する。
より具体的には、分析結果取得部１０４は、分析結果入力画面７００においてアナリストにより選択された（チェックボックス７０１にチェックがつけられた）識別子とその異常度と、プルダウンリスト７０２により指定されたサイバー攻撃有無の判定結果と、アラートＩＤとを用いて、図８に示す分析結果情報１０８を生成する。
つまり、分析結果取得部１０４は、分析結果入力画面７００に示されるアラートＩＤを分析結果情報１０８に記述する。また、分析結果取得部１０４は、分析結果入力画面７００のプルダウンリスト７０２で指定された判定結果を分析結果情報１０８に記述する。また、分析結果取得部１０４は、分析結果入力画面７００においてチェックボックスにチェックがつけられた識別子を分析結果情報１０８に記述する。また、分析結果取得部１０４は、アラート情報１０７に示される異常度を分析結果情報１０８に記述する。
そして、分析結果取得部１０４は、生成した分析結果情報１０８とアラート情報１０７を分析結果記憶部１０２に格納する。
【0037】
次に、ステップＳ１０８において、分析結果取得部１０４は、ベース値情報１０９を更新する。
より具体的には、分析結果取得部１０４は、分析結果入力画面７００でチェックボックスにチェックがつけられた識別子についてベース値を計算し、ベース値情報１０９を更新する。
分析結果取得部１０４は、識別子ごとに、以下の（式１）に従ってベース値を算出する。
識別子が重視（着目）された総回数÷アラート情報の総発行数 （式１）
（式１）において、「識別子が重視（着目）された総回数」は、これまで分析結果入力画面７００においてチェックボックスにチェックがつけられた総回数である。分析結果記憶部１０２は、ステップＳ１０８の実施前の「識別子が重視（着目）された総回数」を記憶している。分析結果取得部１０４は、分析結果記憶部１０２から、ステップＳ１０８の実施前の「識別子が重視（着目）された総回数」を取得し、取得した「識別子が重視（着目）された総回数」に１を追加して、最新の「識別子が重視（着目）された総回数」を得る。
また、（式１）において、「アラート情報の総発行数」は、これまでにアノマリ検知装置３０３から発行されたアラート情報の総数である。属性選択部１０１はアラート情報１０７を受信する度に「アラート情報の総発行数」をカウントアップする。そして、分析結果記憶部１０２は、属性選択部１０１により計数された「アラート情報の総発行数」を記憶している。分析結果取得部１０４は、分析結果記憶部１０２から「アラート情報の総発行数」を取得し、（式１）に従って、属性ごとにベース値を算出する。
その後、分析結果取得部１０４は、更新後のベース値が示されるベース値情報１０９を分析結果記憶部１０２に格納する。
より具体的には、分析結果取得部１０４は、分析結果入力画面７００でチェックボックスにチェックがつけられた識別子についてベース値を計算し、ベース値情報１０９を更新する。
分析結果取得部１０４は、識別子ごとに、以下の（式１）に従ってベース値を算出する。
識別子が重視（着目）された総回数÷アラート情報の総発行数 （式１）
（式１）において、「識別子が重視（着目）された総回数」は、これまで分析結果入力画面７００においてチェックボックスにチェックがつけられた総回数である。分析結果記憶部１０２は、ステップＳ１０８の実施前の「識別子が重視（着目）された総回数」を記憶している。分析結果取得部１０４は、分析結果記憶部１０２から、ステップＳ１０８の実施前の「識別子が重視（着目）された総回数」を取得し、取得した「識別子が重視（着目）された総回数」に１を追加して、最新の「識別子が重視（着目）された総回数」を得る。
また、（式１）において、「アラート情報の総発行数」は、これまでにアノマリ検知装置３０３から発行されたアラート情報の総数である。属性選択部１０１はアラート情報１０７を受信する度に「アラート情報の総発行数」をカウントアップする。そして、分析結果記憶部１０２は、属性選択部１０１により計数された「アラート情報の総発行数」を記憶している。分析結果取得部１０４は、分析結果記憶部１０２から「アラート情報の総発行数」を取得し、（式１）に従って、属性ごとにベース値を算出する。
その後、分析結果取得部１０４は、更新後のベース値が示されるベース値情報１０９を分析結果記憶部１０２に格納する。
【0038】
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態によれば、アラート情報１０７に類似する過去のアラート情報がない場合でも、アナリストによるアノマリ分析を補助する情報として、推奨属性を提示することができる。
本実施の形態によれば、アラート情報１０７に類似する過去のアラート情報がない場合でも、アナリストによるアノマリ分析を補助する情報として、推奨属性を提示することができる。
【0039】
本実施の形態では、特に、経験の浅いアナリストがアラート情報１０７の分析を行う場合に有用である。
例えば、アノマリ検知装置３０３におけるアノマリ検知ロジックが未熟であった場合を考える。この場合に、当該ロジックを見直すまでの間、アノマリの検知に強く寄与した属性として、攻撃の成否の判定にアナリストがあまり用いない属性をアノマリ検知装置３０３が提示してしまう可能性がある。また、ログの分析においては、アノマリの検知に寄与した属性と、攻撃の成否の分析に用いられる特徴は異なることがある。
例えば、アノマリ検知装置３０３におけるアノマリ検知ロジックが未熟であった場合を考える。この場合に、当該ロジックを見直すまでの間、アノマリの検知に強く寄与した属性として、攻撃の成否の判定にアナリストがあまり用いない属性をアノマリ検知装置３０３が提示してしまう可能性がある。また、ログの分析においては、アノマリの検知に寄与した属性と、攻撃の成否の分析に用いられる特徴は異なることがある。
【0040】
例えば、アノマリ検知装置３０３が「普段アクセスしないようなサイトへのアクセスが増加した」というアノマリを検知した場合、当該アノマリの検知に強く寄与した属性は、「アクセス先」と「アクセス回数」になると考えられる。このアノマリが攻撃（マルウェア）によるものか誤検知かをアナリストがログ分析する場合、アクセス先が不審なためにアクセスが増加したのか、ユーザ操作によりアクセスが増加したのかを確認する必要がある。この確認のために、アナリストは「アクセス先」、「リファラー」等をまず確認する。このため、アノマリ検知装置３０３がアノマリの検知に強く寄与した属性として認識した「アクセス回数」は攻撃の成否の分析には用いられない。一方で、アノマリ検知装置３０３がアノマリの検知に強く寄与した属性として認識していない「リファラー」は、攻撃の成否の分析において着目される。このように、アノマリの検知に寄与した属性と攻撃の成否の分析に用いられる属性とは必ずしも一致しない。
他の例では、アノマリ検知装置３０３が「普段アクセスしないような時間にサイトへアクセスした」というアノマリを検知した場合は、当該アノマリの検知に強く寄与した属性は「時間」になると考えられる。しかし、前述のように、アナリストは「アクセス先」、「リファラー」等をまず確認する。このため、この例でも、アノマリの検知に寄与した属性と攻撃の成否の分析に用いられる属性とが一致しない。
他の例では、アノマリ検知装置３０３が「普段アクセスしないような時間にサイトへアクセスした」というアノマリを検知した場合は、当該アノマリの検知に強く寄与した属性は「時間」になると考えられる。しかし、前述のように、アナリストは「アクセス先」、「リファラー」等をまず確認する。このため、この例でも、アノマリの検知に寄与した属性と攻撃の成否の分析に用いられる属性とが一致しない。
【0041】
従って、攻撃の成否の判定にはアノマリの検知に強く寄与した属性以外の属性も提示する必要がある。仮に全ての属性を提示した場合は、経験の浅いアナリストは順番に全ての属性を分析していくことになるため、効率が悪い。
本実施の形態では、過去の攻撃の成否の分析（アノマリ分析）において経験豊富なアナリストが重視（着目）した属性を推奨属性として提示するため、経験の浅いアナリストであっても、推奨属性に絞って効率的に攻撃の成否の分析を行うことができる。
本実施の形態では、過去の攻撃の成否の分析（アノマリ分析）において経験豊富なアナリストが重視（着目）した属性を推奨属性として提示するため、経験の浅いアナリストであっても、推奨属性に絞って効率的に攻撃の成否の分析を行うことができる。
【0042】
実施の形態２．
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。
【0043】
実施の形態２では、新たなアラート情報１０７に類似する過去のアラート情報がない場合に、ベース値が高い属性に加え、ベース値は高くないが、異常度が高く、攻撃が発生しているとの判定結果に強い相関がある属性を推奨属性として選択する例を説明する。
【0044】
＊＊＊構成の説明＊＊＊
本実施の形態においても、システム構成例は、図１に示す通りである。
また、分析補助装置１００のハードウェア構成例は図２に示す通りであり、分析補助装置１００の機能構成例は図３に示す通りである。
但し、本実施の形態では、分析結果記憶部１０２は図１４に例示する相関値情報１１０を記憶している。相関値情報１１０では、属性の識別子ごとに相関値が示される。相関値は、異常度の高さと攻撃が発生しているとの判定結果との相関を表す。つまり、アラート情報１０７に異常度が高い属性が記載されており、当該属性の相関値が高いときには、サイバー攻撃が発生している可能性が高いと考えられる。
属性選択部１０１は、ベース値が高い属性に加えて、アナリストによる過去のアノマリ分析により異常度が高い場合にはサイバー攻撃に関係する可能性が高いと推測されている属性を推奨属性として選択する。より具体的には、属性選択部１０１は、ベース値は高くないが、異常度が高く、異常度と攻撃が発生しているとの判定結果との間に強い相関がある属性を推奨属性として選択する。属性選択部１０１は、分析結果記憶部１０２で記憶されている相関値情報１１０を参照して、攻撃が発生しているとの判定結果に強い相関がある属性を抽出する。
本実施の形態においても、システム構成例は、図１に示す通りである。
また、分析補助装置１００のハードウェア構成例は図２に示す通りであり、分析補助装置１００の機能構成例は図３に示す通りである。
但し、本実施の形態では、分析結果記憶部１０２は図１４に例示する相関値情報１１０を記憶している。相関値情報１１０では、属性の識別子ごとに相関値が示される。相関値は、異常度の高さと攻撃が発生しているとの判定結果との相関を表す。つまり、アラート情報１０７に異常度が高い属性が記載されており、当該属性の相関値が高いときには、サイバー攻撃が発生している可能性が高いと考えられる。
属性選択部１０１は、ベース値が高い属性に加えて、アナリストによる過去のアノマリ分析により異常度が高い場合にはサイバー攻撃に関係する可能性が高いと推測されている属性を推奨属性として選択する。より具体的には、属性選択部１０１は、ベース値は高くないが、異常度が高く、異常度と攻撃が発生しているとの判定結果との間に強い相関がある属性を推奨属性として選択する。属性選択部１０１は、分析結果記憶部１０２で記憶されている相関値情報１１０を参照して、攻撃が発生しているとの判定結果に強い相関がある属性を抽出する。
【0045】
＊＊＊動作の説明＊＊＊
図１２は、本実施の形態に係る、新たなアラート情報１０７を取得した際の分析補助装置１００の動作例を示す。
図１２は、本実施の形態に係る、新たなアラート情報１０７を取得した際の分析補助装置１００の動作例を示す。
【0046】
【0047】
ステップＳ１０５では、属性選択部１０１は、ステップＳ１０４で選択されていない属性のうち、アラート情報１０７に示される異常度が高く、相関値情報１１０に示される相関値も高い属性を推奨属性として選択する。
具体的には、属性選択部１０１は、ステップＳ１０４で選択されていない属性のうち、新たなアラート情報１０７で閾値よりも高い異常度が示されている属性を抽出する。そして、属性選択部１０１は、抽出した属性の相関値が閾値よりも高い場合は、当該属性を推奨属性として選択する。
具体的には、属性選択部１０１は、ステップＳ１０４で選択されていない属性のうち、新たなアラート情報１０７で閾値よりも高い異常度が示されている属性を抽出する。そして、属性選択部１０１は、抽出した属性の相関値が閾値よりも高い場合は、当該属性を推奨属性として選択する。
【0048】
ステップＳ１０５では、属性提示部１０３はアラート提示情報１００１を出力する場合は、ステップＳ１０４で選択された推奨属性とステップＳ１０５で選択された推奨属性をアラート提示情報１００１に反映させる。
【0049】
【0050】
ステップＳ１１０において、分析結果取得部１０４は、アナリストの分析結果が「攻撃」であるか否かを判定する。
具体的には、分析結果取得部１０４は、図６に示す分析結果入力画面７００のプルダウンリスト７０２で指定されている分析結果が「攻撃」であるか「誤検知」であるかを確認する。分析結果が「攻撃」である場合（ステップＳ１１０でＹＥＳ）は、処理がステップＳ１１１に進む。一方、分析結果が「誤検知」である場合（ステップＳ１１０でＮＯ）は、処理が終了する。
具体的には、分析結果取得部１０４は、図６に示す分析結果入力画面７００のプルダウンリスト７０２で指定されている分析結果が「攻撃」であるか「誤検知」であるかを確認する。分析結果が「攻撃」である場合（ステップＳ１１０でＹＥＳ）は、処理がステップＳ１１１に進む。一方、分析結果が「誤検知」である場合（ステップＳ１１０でＮＯ）は、処理が終了する。
【0051】
ステップＳ１１１では、分析結果取得部１０４は、相関値情報１１０を更新する。
より具体的には、分析結果取得部１０４は、アナリストに「攻撃」と判定されたアラート情報１０７の異常度に基づき、相関値を更新し、更新後の相関値が示される相関値情報１１０を生成する。
例えば、分析結果取得部１０４は、属性ごとに、以下の（式２）に従って相関値を算出する。
属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数÷当該属性が含まれるアラート情報の総数 （式２）
（式２）において、「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」は、計算対象の属性（例えば、Ｒ１の属性）が含まれており、当該属性（Ｒ１の属性）の異常度が０．５以上であり、アナリストにより分析結果入力画面７００において「攻撃」と判定されたアラート情報の総数である。
分析結果記憶部１０２は、ステップＳ１１１の実施前の「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」を記憶している。分析結果取得部１０４は、分析結果記憶部１０２から、ステップＳ１１１の実施前の「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」を取得する。そして、分析結果取得部１０４は、取得した「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」に１を追加して、最新の「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」を得る。
また、（式２）において、「当該属性が含まれるアラート情報の総数」は、計算対象の属性（例えば、Ｒ１の属性）が含まれるアラート情報１０７の総数である。「当該属性が含まれるアラート情報の総数」は、当該属性（例えば、Ｒ１の属性）が記述される全てのアラート情報１０７が対象になる（異常度が０．５未満のアラート情報１０７、アナリストにより「誤検知」と判定されたアラート情報１０７も対象）。
分析結果記憶部１０２は、ステップＳ１１１の実施前の「当該属性が含まれるアラート情報の総数」を記憶している。分析結果取得部１０４は、分析結果記憶部１０２から、ステップＳ１１１の実施前の「当該属性が含まれるアラート情報の総数」を取得する。そして、分析結果取得部１０４は、取得した「当該属性が含まれるアラート情報の総数」に１を追加して、最新の「当該属性が含まれるアラート情報の総数」を得る。
そして、分析結果取得部１０４は、（式２）に従って、属性ごとに相関値を算出する。
その後、分析結果取得部１０４は、更新後の相関値が示される相関値情報１１０を分析結果記憶部１０２に格納する。また、分析結果取得部１０４は、最新の「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」と最新の「当該属性が含まれるアラート情報の総数」を分析結果記憶部１０２に格納する。
より具体的には、分析結果取得部１０４は、アナリストに「攻撃」と判定されたアラート情報１０７の異常度に基づき、相関値を更新し、更新後の相関値が示される相関値情報１１０を生成する。
例えば、分析結果取得部１０４は、属性ごとに、以下の（式２）に従って相関値を算出する。
属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数÷当該属性が含まれるアラート情報の総数 （式２）
（式２）において、「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」は、計算対象の属性（例えば、Ｒ１の属性）が含まれており、当該属性（Ｒ１の属性）の異常度が０．５以上であり、アナリストにより分析結果入力画面７００において「攻撃」と判定されたアラート情報の総数である。
分析結果記憶部１０２は、ステップＳ１１１の実施前の「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」を記憶している。分析結果取得部１０４は、分析結果記憶部１０２から、ステップＳ１１１の実施前の「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」を取得する。そして、分析結果取得部１０４は、取得した「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」に１を追加して、最新の「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」を得る。
また、（式２）において、「当該属性が含まれるアラート情報の総数」は、計算対象の属性（例えば、Ｒ１の属性）が含まれるアラート情報１０７の総数である。「当該属性が含まれるアラート情報の総数」は、当該属性（例えば、Ｒ１の属性）が記述される全てのアラート情報１０７が対象になる（異常度が０．５未満のアラート情報１０７、アナリストにより「誤検知」と判定されたアラート情報１０７も対象）。
分析結果記憶部１０２は、ステップＳ１１１の実施前の「当該属性が含まれるアラート情報の総数」を記憶している。分析結果取得部１０４は、分析結果記憶部１０２から、ステップＳ１１１の実施前の「当該属性が含まれるアラート情報の総数」を取得する。そして、分析結果取得部１０４は、取得した「当該属性が含まれるアラート情報の総数」に１を追加して、最新の「当該属性が含まれるアラート情報の総数」を得る。
そして、分析結果取得部１０４は、（式２）に従って、属性ごとに相関値を算出する。
その後、分析結果取得部１０４は、更新後の相関値が示される相関値情報１１０を分析結果記憶部１０２に格納する。また、分析結果取得部１０４は、最新の「属性の異常度が０．５以上で「攻撃」と判定されたアラート情報の総数」と最新の「当該属性が含まれるアラート情報の総数」を分析結果記憶部１０２に格納する。
【0052】
＊＊＊実施の形態の効果の説明＊＊＊
以上のように、本実施の形態では、過去のアノマリ分析により異常度が高い場合には攻撃と強い相関があると判明している属性が高い異常度とともにアラート情報１０７に出現した場合は、当該属性も推奨属性としてアナリストに提示することができる。
このため、本実施の形態によれば、普段はアノマリ分析において着目されない属性が攻撃に関係している可能性が高い場合には、当該属性もアノマリ分析の対象とすることができる。
以上のように、本実施の形態では、過去のアノマリ分析により異常度が高い場合には攻撃と強い相関があると判明している属性が高い異常度とともにアラート情報１０７に出現した場合は、当該属性も推奨属性としてアナリストに提示することができる。
このため、本実施の形態によれば、普段はアノマリ分析において着目されない属性が攻撃に関係している可能性が高い場合には、当該属性もアノマリ分析の対象とすることができる。
【0053】
例えば、「アクセス先」及び「リファラー」に着目してアノマリ分析を行うことが多い場合は、「アクセス先」及び「リファラー」のベース値が高くなる。このため、実施の形態１によれば、「アクセス先」及び「リファラー」のみが推奨属性として選択される。
アノマリ検知装置３０３におけるアノマリ検知ロジックが未熟な場合、誤検知が多く出ることが想定される。このため、アナリストが「アクセス先」及び「リファラー」を確認して正常だった場合は、「誤検知」と判定する。
アノマリ検知ロジックが未熟な場合でも、例えば「アクセス回数」に関しては、異常度の大きさと真に攻撃であるとの判定に相関があるとする。ここで、「一般サイトへのアクセスの増加」とのアノマリが検知された場合を想定する。この場合は、アノマリ検知に寄与した属性は「アクセス回数」だと考えられる。本実施の形態では、「アクセス先」及び「リファラー」に加えて、「アクセス回数」が推奨属性として提示されるため、「アクセス先」及び「リファラー」が正常でも、アナリストは、「アクセス回数」に着目した分析を行うことができる。例えば、アナリストは、一般サイトを隠れ蓑にした攻撃通信の可能性を想定した分析を行うことができる。
アノマリ検知装置３０３におけるアノマリ検知ロジックが未熟な場合、誤検知が多く出ることが想定される。このため、アナリストが「アクセス先」及び「リファラー」を確認して正常だった場合は、「誤検知」と判定する。
アノマリ検知ロジックが未熟な場合でも、例えば「アクセス回数」に関しては、異常度の大きさと真に攻撃であるとの判定に相関があるとする。ここで、「一般サイトへのアクセスの増加」とのアノマリが検知された場合を想定する。この場合は、アノマリ検知に寄与した属性は「アクセス回数」だと考えられる。本実施の形態では、「アクセス先」及び「リファラー」に加えて、「アクセス回数」が推奨属性として提示されるため、「アクセス先」及び「リファラー」が正常でも、アナリストは、「アクセス回数」に着目した分析を行うことができる。例えば、アナリストは、一般サイトを隠れ蓑にした攻撃通信の可能性を想定した分析を行うことができる。
【0054】
実施の形態３．
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。
【0055】
本実施の形態では、過去のアノマリ分析で行われた属性ごとの分析方法をアナリストに提示する例を説明する。
【0056】
【0057】
本実施の形態では、図５のステップＳ１０６において、分析結果取得部１０４は、属性ごとの分析方法を記入するための項目が含まれる分析結果入力画面を提示する。
アナリストは、実施の形態１で説明した項目への記入に加え、属性ごとの分析方法を記入する。
図１５は、本実施の形態に係る分析結果入力画面７５０の例を示す。図１５の分析結果入力画面７５０は、アナリストによる入力が完了した状態を示す。
図１５に示す分析結果入力画面７５０では、図６に示す分析結果入力画面７００と比較して、属性ごとに、分析方法７５１が記入されている。
そして、分析結果取得部１０４は、図１５の分析結果入力画面７５０を分析結果記憶部１０２に格納する。
アナリストは、実施の形態１で説明した項目への記入に加え、属性ごとの分析方法を記入する。
図１５は、本実施の形態に係る分析結果入力画面７５０の例を示す。図１５の分析結果入力画面７５０は、アナリストによる入力が完了した状態を示す。
図１５に示す分析結果入力画面７５０では、図６に示す分析結果入力画面７００と比較して、属性ごとに、分析方法７５１が記入されている。
そして、分析結果取得部１０４は、図１５の分析結果入力画面７５０を分析結果記憶部１０２に格納する。
【0058】
また、本実施の形態では、図４のステップＳ１０５において、属性提示部１０３が、図１６に示すアラート提示情報１０５０をアナリストに提示する。
図１６のアラート提示情報１０５０は、図１１のアラート提示情報１００１と比較して、分析方法１０５１の行が追加されている。そして、分析方法１０５１の行では、属性ごとに、過去のアノマリ分析での分析方法が示される。
属性提示部１０３は、図１５の分析結果入力画面７５０により得られた過去のアノマリ分析での分析方法７５１の記述をアラート提示情報１０５０に反映させる。
なお、図１６のアラート提示情報１０５０は、図１１のアラート提示情報１００１に分析方法１０５１の行が追加されているが、図１０のアラート提示情報１０００に分析方法１０５１の行を追加してもよい。
図１６のアラート提示情報１０５０は、図１１のアラート提示情報１００１と比較して、分析方法１０５１の行が追加されている。そして、分析方法１０５１の行では、属性ごとに、過去のアノマリ分析での分析方法が示される。
属性提示部１０３は、図１５の分析結果入力画面７５０により得られた過去のアノマリ分析での分析方法７５１の記述をアラート提示情報１０５０に反映させる。
なお、図１６のアラート提示情報１０５０は、図１１のアラート提示情報１００１に分析方法１０５１の行が追加されているが、図１０のアラート提示情報１０００に分析方法１０５１の行を追加してもよい。
【0059】
本実施の形態によれば、属性ごとに分析方法が提示されるので、アナリストは効率的にアノマリ分析を行うことができる。
【0060】
実施の形態４．
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。
【0061】
本実施の形態では、特定の期間に行われたアノマリ分析での分析状況に基づき、推奨属性を選択する例を説明する。
【0062】
例えば、企業では、特定の期間に特定のイベントが発生する。例えば、４月又は１０月には、人事異動、新入社員の入社などのイベントが発生する。また、例えば、６月には株主総会といったイベントが発生する。
このような特定のイベントが発生する期間では、毎年、同様なアラート情報が発生することが想定される。
そこで、本実施の形態では、分析結果取得部１０４は、ベース値の算出のための期間を設定する。そして、分析結果取得部１０４は、期間ごとに、期間内に取得したアラート情報に基づいてベース値を算出する。例えば、分析結果取得部１０４は、月単位でベース値を算出する。そして、分析結果取得部１０４は、期間ごとのベース値が示されるベース値情報１０９を生成し、生成したベース値情報１０９を分析結果記憶部１０２に格納する。
本実施の形態では、属性選択部１０１は、新たなアラート情報１０７に類似する過去のアラート情報が存在しない場合は、現在に対応する期間のベース値を用いて推奨属性を選択する。例えば、現在が４月であれば、属性選択部１０１は、同様のイベントが発生していたと考えられる昨年の４月のベース値を用いて、推奨属性を選択する。
このような特定のイベントが発生する期間では、毎年、同様なアラート情報が発生することが想定される。
そこで、本実施の形態では、分析結果取得部１０４は、ベース値の算出のための期間を設定する。そして、分析結果取得部１０４は、期間ごとに、期間内に取得したアラート情報に基づいてベース値を算出する。例えば、分析結果取得部１０４は、月単位でベース値を算出する。そして、分析結果取得部１０４は、期間ごとのベース値が示されるベース値情報１０９を生成し、生成したベース値情報１０９を分析結果記憶部１０２に格納する。
本実施の形態では、属性選択部１０１は、新たなアラート情報１０７に類似する過去のアラート情報が存在しない場合は、現在に対応する期間のベース値を用いて推奨属性を選択する。例えば、現在が４月であれば、属性選択部１０１は、同様のイベントが発生していたと考えられる昨年の４月のベース値を用いて、推奨属性を選択する。
【0063】
本実施の形態によれば、同様なイベントが発生していたと考えられる期間に収集されたアラート情報に基づくベース値を用いて推奨属性を選択することで、実情に合わせて推奨属性を選択することができる。この結果、アナリストは効率的にアノマリ分析を行うことができる。
【0064】
以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
例えば、アラート情報１０７に類似する過去のアラート情報が存在し、類似する過去のアラート情報について「攻撃」と判定されている場合は、アラート提示情報１０００に攻撃の進行度を表すフェーズ情報を記載してもよい。また、アラート提示情報１０００に攻撃名を記載してもよい。また、過去のアラート情報に含まれる属性と新たなアラート情報１０７に含まれる属性との間の類似度をアラート提示情報１０００に記載してもよい。更に、属性間の類似度を数値で表してもよいし、棒グラフ等で可視化してもよい。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
例えば、アラート情報１０７に類似する過去のアラート情報が存在し、類似する過去のアラート情報について「攻撃」と判定されている場合は、アラート提示情報１０００に攻撃の進行度を表すフェーズ情報を記載してもよい。また、アラート提示情報１０００に攻撃名を記載してもよい。また、過去のアラート情報に含まれる属性と新たなアラート情報１０７に含まれる属性との間の類似度をアラート提示情報１０００に記載してもよい。更に、属性間の類似度を数値で表してもよいし、棒グラフ等で可視化してもよい。
【0065】
＊＊＊ハードウェア構成の補足説明＊＊＊
最後に、分析補助装置１００のハードウェア構成の補足説明を行う。
図２に示すプロセッサ２０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。
プロセッサ２０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。
図２に示すメモリ２０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
図２に示す補助記憶装置２０４は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。
図２に示す通信インタフェース２０３は、データの通信処理を実行する電子回路である。
通信インタフェース２０３は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
図２に示す入出力インタフェース２０５は、例えば、ディスプレイ装置、マウス、キーボード、タッチパネル等である。
最後に、分析補助装置１００のハードウェア構成の補足説明を行う。
図２に示すプロセッサ２０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。
プロセッサ２０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。
図２に示すメモリ２０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
図２に示す補助記憶装置２０４は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。
図２に示す通信インタフェース２０３は、データの通信処理を実行する電子回路である。
通信インタフェース２０３は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
図２に示す入出力インタフェース２０５は、例えば、ディスプレイ装置、マウス、キーボード、タッチパネル等である。
【0066】
補助記憶装置２０４には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がプロセッサ２０１により実行される。
プロセッサ２０１はＯＳの少なくとも一部を実行しながら、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の機能を実現するプログラムを実行する。
プロセッサ２０１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
また、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、メモリ２０２、補助記憶装置２０４、プロセッサ２０１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記録媒体に格納されていてもよい。そして、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の機能を実現するプログラムが格納された可搬記録媒体を流通させてもよい。
そして、ＯＳの少なくとも一部がプロセッサ２０１により実行される。
プロセッサ２０１はＯＳの少なくとも一部を実行しながら、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の機能を実現するプログラムを実行する。
プロセッサ２０１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
また、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、メモリ２０２、補助記憶装置２０４、プロセッサ２０１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記録媒体に格納されていてもよい。そして、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の機能を実現するプログラムが格納された可搬記録媒体を流通させてもよい。
【0067】
また、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
また、分析補助装置１００は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）である。
この場合は、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４は、それぞれ処理回路の一部として実現される。
なお、本明細書では、プロセッサと処理回路との上位概念を、「プロセッシングサーキットリー」という。
つまり、プロセッサと処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。
また、分析補助装置１００は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）である。
この場合は、属性選択部１０１、属性提示部１０３及び分析結果取得部１０４は、それぞれ処理回路の一部として実現される。
なお、本明細書では、プロセッサと処理回路との上位概念を、「プロセッシングサーキットリー」という。
つまり、プロセッサと処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。
【符号の説明】
【0068】
１００ 分析補助装置、１０１ 属性選択部、１０２ 分析結果記憶部、１０３ 属性提示部、１０４ 分析結果取得部、１０６ 対象システムログ、１０７ アラート情報、１０８ 分析結果情報、１０９ ベース値情報、１１０ 相関値情報、２０１ プロセッサ、２０２ メモリ、２０３ 通信インタフェース、２０４ 補助記憶装置、２０５ 入出力インタフェース、３０１ 監視対象システム、３０２ ログ採取装置、３０３ アノマリ検知装置、３０４ 類似度判定部、７００ 分析結果入力画面、７５０ 分析結果入力画面、１０００ アラート提示情報、１００１ アラート提示情報、１０５０ アラート提示情報。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】