特許 7481965 複数ログ分析支援装置、複数ログ分析支援方法及び記憶媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-05-01

(45)【発行日】2024-05-13

(54)【発明の名称】複数ログ分析支援装置、複数ログ分析支援方法及び記憶媒体

(51)【国際特許分類】

   G06F 11/34 20060101AFI20240502BHJP

   G06F 21/55 20130101ALI20240502BHJP

【ＦＩ】

G06F11/34 176

G06F21/55 320

【請求項の数】 11

(21)【出願番号】P 2020148881

(22)【出願日】2020-09-04

(65)【公開番号】P2022043553

(43)【公開日】2022-03-16

【審査請求日】2023-02-02

(73)【特許権者】

【識別番号】000233295

【氏名又は名称】株式会社日立情報通信エンジニアリング

(74)【代理人】

【識別番号】110001678

【氏名又は名称】藤央弁理士法人

(72)【発明者】

【氏名】山岸 伶

(72)【発明者】

【氏名】重本 倫宏

(72)【発明者】

【氏名】川口 信隆

(72)【発明者】

【氏名】片山 貴大

(72)【発明者】

【氏名】野澤 篤史

(72)【発明者】

【氏名】山口 環

【審査官】大塚 俊範

(56)【参考文献】

【文献】特開２０１７－１１１６０１（ＪＰ，Ａ）

【文献】国際公開第２０１７／２２１７１１（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １１／３４

Ｇ０６Ｆ ２１／５５

(57)【特許請求の範囲】

【請求項1】

プロセッサとメモリを有して、複数の装置から収集された複数種類のログの分析を支援する複数ログ分析支援装置であって、
前記複数種類のログを読み込んで、前記ログのエントリ間の関連性を示す値を算出して、前記関連性を示す値に基づいて前記ログの各エントリを可視化する際の優先度を算出する優先度算出部と、
前記優先度に応じて前記エントリ間の関連性を表示する可視化部と、を有し、
前記優先度算出部は、
前記ログのエントリ間の関連性を示す値として分析の有効度を算出する分析履歴解析部を有し、
前記分析履歴解析部は、
前記ログのエントリの状態が過去の分析履歴に応じた有効度を算出することを特徴とする複数ログ分析支援装置。

【請求項2】

請求項１に記載の複数ログ分析支援装置であって、
前記優先度算出部は、
前記ログのエントリ間の関連性を示す値として脅威度を算出する脅威度算出部を有し、
前記脅威度算出部は、
前記ログのエントリに現れる脅威の特徴に応じた脅威度を算出することを特徴とする複数ログ分析支援装置。

【請求項3】

請求項１に記載の複数ログ分析支援装置であって、
前記優先度算出部は、
前記ログのエントリ間の関連性を示す値として共通度を算出する共通度算出部を有し、
前記共通度算出部は、
前記ログのエントリの共通性に応じた共通度を算出することを特徴とする複数ログ分析支援装置。

【請求項4】

請求項１に記載の複数ログ分析支援装置であって、
前記優先度算出部は、
前記ログのエントリ間の関連性を示す値として異常度を算出する異常度算出部を有し、
前記異常度算出部は、
前記ログのエントリの状態が予め設定された状態から乖離した異常性に応じた異常度を算出することを特徴とする複数ログ分析支援装置。

【請求項5】

請求項１に記載の複数ログ分析支援装置であって、
前記ログの各エントリに対して実施された分析結果を収集して分析履歴情報を生成する分析履歴作成部をさらに有することを特徴とする複数ログ分析支援装置。

【請求項6】

プロセッサとメモリを有する計算機が、複数の装置から収集した複数種類のログの分析を支援する複数ログ分析支援方法であって、
前記計算機が、前記複数種類のログを読み込んで、前記ログのエントリ間の関連性を示す値を算出して、前記関連性を示す値に基づいて前記ログの各エントリを可視化する際の優先度を算出する優先度算出ステップと、
前記計算機が、前記優先度に応じて前記エントリ間の関連性を表示する可視化ステップと、を含み、
前記優先度算出ステップは、
前記ログのエントリ間の関連性を示す値として分析の有効度を算出する分析履歴解析ステップを含み、
前記分析履歴解析ステップは、
前記ログのエントリの状態が過去の分析履歴に応じた有効度を算出することを特徴とする複数ログ分析支援方法。

【請求項7】

請求項６に記載の複数ログ分析支援方法であって、
前記優先度算出ステップは、
前記ログのエントリ間の関連性を示す値として脅威度を算出する脅威度算出ステップを含み、
前記脅威度算出ステップは、
前記ログのエントリに現れる脅威の特徴に応じた脅威度を算出することを特徴とする複数ログ分析支援方法。

【請求項8】

請求項６に記載の複数ログ分析支援方法であって、
前記優先度算出ステップは、
前記ログのエントリ間の関連性を示す値として共通度を算出する共通度算出ステップを含み、
前記共通度算出ステップは、
前記ログのエントリの共通性に応じた共通度を算出することを特徴とする複数ログ分析支援方法。

【請求項9】

請求項６に記載の複数ログ分析支援方法であって、
前記優先度算出ステップは、
前記ログのエントリ間の関連性を示す値として異常度を算出する異常度算出ステップを含み、
前記異常度算出ステップは、
前記ログのエントリの状態が予め設定された状態から乖離した異常性に応じた異常度を算出することを特徴とする複数ログ分析支援方法。

【請求項10】

請求項６に記載の複数ログ分析支援方法であって、
前記計算機が、前記ログの各エントリに対して実施された分析結果を収集して分析履歴情報を生成する分析履歴作成ステップを、さらに含むことを特徴とする複数ログ分析支援方法。

【請求項11】

プロセッサとメモリを有する計算機で、複数の装置から収集した複数種類のログの分析を支援するプログラムを格納した記憶媒体であって、
前記複数種類のログを読み込んで、前記ログのエントリ間の関連性を示す値を算出して、前記関連性を示す値に基づいて前記ログの各エントリを可視化する際の優先度を算出する優先度算出ステップと、
前記優先度に応じて前記エントリ間の関連性を表示する可視化ステップと、を含み、
前記優先度算出ステップは、
前記ログのエントリ間の関連性を示す値として分析の有効度を算出する分析履歴解析ステップを含み、
前記分析履歴解析ステップは、
前記ログのエントリの状態が過去の分析履歴に応じた有効度を算出する、ことを前記計算機に実行させるためのプログラムを格納した非一時的な計算機読み取り可能な記憶媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、人間による大量かつ複数種類ログの分析を支援する装置に関する。

【背景技術】

【0002】

近年、組織を対象としたサイバー攻撃の高度化が進み、組織にとって大きな脅威となっている。本高度化にともない、既存のセキュリティ機器だけでの脅威検知が困難になってきている。このような背景から、セキュリティ機器に依存しない脅威ハンティングが注目されている。

【0003】

脅威ハンティングは、あるきっかけをもとに、ログの分析でセキュリティ機器が検知できなかった脅威を発見し、発見した脅威を共有するといった一連のプロセスを指す。ここでいうきっかけとは、新規脅威情報の入手や、異常状態の発見や、定期的な検証のいずれかを指す。

【0004】

また、ログの分析では、複数種類のログにある各エントリを関連付け、脅威の証拠を集めることで、全体像を把握して脅威を発見することが求められる。しかし、このログの分析はセキュリティ分野に関する専門的な知見が必要で、容易ではないといった問題が存在する。

【0005】

本問題に対し、特許文献１に記載の技術が知られている。特許文献１には、「分析者は、エンドポイントで収集される膨大なイベント情報に対して、このような探索を効率的に行うことが求められる脅威ハンティングにおける探索を効率的に行う。分析装置１００は、モデル生成部１６０、及び、表示部１３０を含む。モデル生成部１６０は、表示された要素に対して行われた操作と、当該要素が表示されるまでの要素の表示履歴と、を含む学習データに基づいて、要素に対して行うべき操作に関する情報を出力するモデルを生成する。表示部１３０は、要素と、モデルにより得られる当該要素に対して行うべき操作に関する情報と、を表示する。」と記載されている。

【先行技術文献】

【特許文献】

【0006】

【文献】国際公開第２０１９／１７６０６２号

【発明の概要】

【発明が解決しようとする課題】

【0007】

先述した通り、分析では複数種類のログに含まれる各エントリを関連付けて、脅威の証拠を集めることが重要である。特許文献１に記載の技術では、エンドポイントで収集される膨大なイベントに対し、操作と表示履歴を含む学習データに基づき、操作に関する情報を出力することで分析を効率化する。一方で、特許文献１にはエンドポイントに限定されずに複数種類のログを関連付けて、脅威の証拠を集めるといった記載がない。

【0008】

そこで本発明では、ログの分析において複数種類のログにあるエントリを関連付けて、脅威の証拠を集めることを支援する技術の提供を目的とする。

【課題を解決するための手段】

【0009】

本発明は、プロセッサとメモリを有して、複数の装置から収集された複数種類のログの分析を支援する複数ログ分析支援装置であって、前記複数種類のログを読み込んで、前記ログのエントリ間の関連性を示す値を算出して、前記関連性を示す値に基づいて前記ログの各エントリを可視化する際の優先度を算出する優先度算出部と、前記優先度に応じて前記エントリ間の関連性を表示する可視化部と、を有する。

【発明の効果】

【0010】

したがって、本発明は、ログの分析において複数種類のログに含まれる各エントリを関連付けて表示することで、脅威の証拠を集めることを支援することが可能となる。

【0011】

本明細書において開示される主題の、少なくとも一つの実施の詳細は、添付されている図面と以下の記述の中で述べられる。開示される主題のその他の特徴、態様、効果は、以下の開示、図面、請求項により明らかにされる。

【図面の簡単な説明】

【0012】

【図1】本発明の実施例１の計算機システムの構成の一例を示すブロック図である。

【図2】本発明の実施例１の観点情報データのデータ構造の一例を示す図である。

【図3】本発明の実施例１の優先度データのデータ構造の一例を示す図である。

【図4】本発明の実施例１の共通情報データのデータ構造の一例を示す図である。

【図5】本発明の実施例１の脅威特徴データのデータ構造の一例を示す図である。

【図6】本発明の実施例１の異常情報データのデータ構造の一例を示す図である。

【図7】本発明の実施例１の分析履歴データのデータ構造の一例を示す図である。

【図8】本発明の実施例１の可視化手法データのデータ構造の一例を示す図である。

【図9】本発明の実施例１の可視化画面を示す図である。

【図10】本発明の実施例１の複数ログ分析支援装置が実行する処理の概要の一例を説明するフローチャートである。

【図11】本発明の実施例１の複数ログ分析支援装置が実行する優先度算出部の一例を説明するフローチャートである。

【図12】本発明の実施例１の複数ログ分析支援装置が実行する共通度算出部の一例を説明するフローチャートである。

【図13】本発明の実施例１の複数ログ分析支援装置が実行する脅威度算出部の一例を説明するフローチャートである。

【図14】本発明の実施例１の複数ログ分析支援装置が実行する異常度算出部の一例を説明するフローチャートである。

【図15】本発明の実施例１の複数ログ分析支援装置が実行する分析履歴解析部の一例を説明するフローチャートである。

【図16】本発明の実施例１の複数ログ分析支援装置が実行する可視化部の一例を説明するフローチャートである。

【図17】本発明の実施例２の複数ログ分析支援装置が実行する分析履歴作成部の一例を説明するフローチャートである。

【発明を実施するための形態】

【0013】

以下において、実施形態について、図面を参照して説明する。

【実施例1】

【0014】

図１は計算機システムの構成の一例を示すブロック図である。計算機システムは複数ログ分析支援装置１００と、ログ管理端末１０１と、分析対象環境１０２、及び分析者端末１０３で構成される。なお、本発明は、分析対象環境１０２、及び分析者端末１０３の数に限定されない。

【0015】

複数ログ分析支援装置１００は、ログ管理端末１０１と、分析者端末１０３、及びネットワーク１０４－１を介してインターネット２－１に接続する。

【0016】

分析者端末１０３－１～１０３－ｋは、分析者が操作する端末であり、複数ログ分析支援装置１００によって提供された後述する図９の可視化画面９００を表示装置（図示省略）へ表示する。なお、分析者端末を個々に特定しない場合には「－」を省略した符号「１０３」を用いる。他の構成要素の符号についても同様である。
分析者端末１０３は、例えば、パーソナルコンピュータや、スマートフォンである。なお、本発明は、分析者端末１０３の種別に限定されない。分析者端末１０３は図示しないが、メインメモリと、記憶装置と、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、表示装置と、ネットワークインタフェース及び、通信路を有する。

【0017】

ネットワーク１０４－１、１０４－２は、複数ログ分析支援装置１００とインターネット２－１、２－２と、後述する分析対象環境１０２とログ管理端末１０１を接続する。また、ネットワーク１０４－１、１０４－２は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）である。なお、本発明は、ネットワークの種別に限定されない。

【0018】

インターネット２は、計算機システムの外部の情報提供装置を含み、複数ログ分析支援装置１００の情報更新に貢献する。インターネット２の情報は、例えば、ＤＮＳ情報や最新の脅威情報である。

【0019】

ログ管理端末１０１は、ネットワーク１０４－２を介して、分析対象環境１０２と接続する。なお、本発明は、ログ管理端末１０１と分析対象環境１０２の接続形態に限定されない。

【0020】

ここから、複数ログ分析支援装置１００と、ログ管理端末１０１と、分析対象環境１０２の詳細について述べる。

【0021】

複数ログ分析支援装置１００は、大量かつ複数種類のログの関連付け及び分析者端末１０３に提供する画面の描画を目的とした装置である。複数ログ分析支援装置１００は、メインメモリ１０５と、記憶装置１０６と、ＣＰＵ１０７と、ネットワークインタフェース１０８及び、通信路１０９を有する。また、入出力装置１１０を有してもよい。入出力装置１１０は、例えば、キーボードやマウスあるいはタッチパネル等の入力装置と、ディスプレイ等の出力装置で構成することができる。

【0022】

メインメモリ１０５は、ＣＰＵ１０７で実行される機能や必要なデータを一時的に格納する。例えば、メインメモリ１０５はＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）であるが、本発明はその種別に限定されない。実施例１において、メインメモリ１０５は、共通度算出部１１１、脅威度算出部１１２、異常度算出部１１３、分析履歴解析部１１４、優先度算出部１１５、及び可視化部１１６をプログラムとして格納する。なお、分析履歴作成部１１７については、実施例２で説明する。

【0023】

記憶装置１０６は、ＣＰＵ１０７で実行される機能や利用される大容量データを格納する。例えば、記憶装置１０６は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）及びＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）であるが、本発明はその種別に限定されない。実施例1で記憶装置１０６は、観点情報データ１２０と、優先度データ１２１と、共通情報データ１２２と、脅威特徴データ１２３と、異常情報データ１２４と、分析履歴データ１２５、及び可視化手法データ１２６を格納する。

【0024】

ＣＰＵ１０７は、メインメモリ１０５に格納された各機能部のプログラムに従って処理を実行することによって、所定の機能を提供する機能部として稼働する。例えば、ＣＰＵ１０７は、共通度算出プログラムに従って処理を実行することで共通度算出部１１１として機能する。他のプログラムについても同様である。さらに、ＣＰＵ１０７は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。

【0025】

ネットワークインタフェース（ＮＷ ＩＦ）１０８は、外部装置と通信するためのインタフェースである。

【0026】

通信路１０９は、メインメモリ１０５と、記憶装置１０６と、ＣＰＵ１０７と、ネットワークインタフェース１０８を接続する。例えば、通信路１０９は、バスやケーブルなどの情報伝達媒体であるが、本発明はその種別に限定されない。

【0027】

ここから、メインメモリ１０５及び記憶装置１０６に格納されたプログラムの機能やデータの詳細ついて述べる。

【0028】

共通度算出部１１１は、共通性の観点からログの関連性を可視化することを目的とし、ログの各行の共通度を算出する機能を有する。共通性は一見異なる値に見えるが同一あるいは類似している情報の関連性を指す。例えば、共通性は、動的に変更したＩＰアドレスや、ＤＮＳ、同一セグメントのＩＰアドレスである。共通度算出部１１１の処理については、図１２を用いて説明する。

【0029】

脅威度算出部１１２は、脅威の特徴が有する脅威背景の観点からログの関連性を可視化することを目的とし、ログの各行の脅威度を算出する機能を有する。脅威度が必要な理由は、ログに残る脅威の特徴の確度が低くとも、脅威の背景に一貫性があれば、脅威発見の根拠となるためである。例えば、脅威背景は、攻撃の進行度や攻撃者情報である。脅威度算出部１１２の処理については、図１３を用いて説明する。

【0030】

異常度算出部１１３は、環境の通常状態から乖離した異常性の観点からログの関連性を可視化することを目的とし、ログの各行の異常度を算出する機能を有する。異常度が必要な理由は、同一の異常性を有する痕跡がある場合、脅威発見の根拠となるためである。

【0031】

例えば、環境の通常状態から乖離した異常性は、業務時間外のアクセスや通常業務ではアクセスしないサイトへのアクセスである。異常度算出部１１３の処理については、図１４を用いて説明する。

【0032】

分析履歴解析部１１４は、分析履歴の観点からログの関連性を可視化することを目的とし、ログの各行の分析の有効度を算出する機能を有する。分析履歴解析部１１４の処理については、図１５を用いて説明する。

【0033】

優先度算出部１１５は、共通度、脅威度、異常度、有効度の観点から算出したログの関連性を用いて、ログの各行に対し閲覧すべき優先度を算出する機能を有する。優先度算出部１１５の処理については、図１６を用いて説明する。

【0034】

可視化部１１６は、ログを描画した画面を出力し、このログの関連性を可視化する機能を有する。可視化する関連性は、共通度、脅威度、異常度、有効度単体、及びこれらを統合して算出した優先度を含む。分析者端末１０３に出力する可視化画面９００の例については、図９を用いて説明する。

【0035】

観点情報データ１２０は、ログの各行における、共通性、脅威特徴、異常性、分析履歴の観点を有する特徴を列挙した情報データである。ログと各観点での特徴を紐づけることで、前述の優先度算出部１１５に活用する。観点情報データ１２０のデータ構造については図２で説明する。

【0036】

優先度データ１２１は、ログの行間の共通度、脅威度、異常度、有効度、優先度を含む情報データである。観点情報データ１２０で管理した特徴をもとに、優先度データ１２１は算出される。優先度データ１２１のデータ構造については図３で説明する。

【0037】

共通情報データ１２２は、観点情報データ１２０におけるログの各行のテキストを共通性の観点で特徴づけるために、共通性の特徴を定義して管理する情報データである。共通情報データ１２２のデータ構造については図４で説明する。

【0038】

脅威特徴データ１２３は、観点情報データ１２０におけるログの各行のテキストを脅威の観点で特徴づけるために、脅威の特徴を定義して管理する情報データである。脅威特徴データ１２３のデータ構造については図５で説明する。

【0039】

異常情報データ１２４は、観点情報データ１２０におけるログの各行のテキストを異常性の観点で特徴づけるために、異常の特徴を定義して管理する情報データである。異常情報データ１２４のデータ構造については図６で説明する。

【0040】

分析履歴データ１２５は、観点情報データ１２０におけるログの各行のテキストを分析履歴の観点で特徴づけるために、分析履歴を管理する情報データである。分析履歴データ１２５のデータ構造については図７で説明する。

【0041】

可視化手法データ１２６は、関連性を提供するために、可視化手法を定義して管理する情報データである。可視化手法データ１２６のデータ構造については図８で説明する。

【0042】

ログ管理端末１０１は、分析対象環境１０２から受信した未加工のログを抽出してログとして保管し、呼び出しに応じて複数ログ分析支援装置１００へログを提供することを目的とした端末である。ログ管理端末１０１は、メインメモリ１２９、記憶装置１３０、ＣＰＵ１３１、ネットワークインタフェース１３２及び、通信路１３３を有する。

【0043】

メインメモリ１２９は、実施例１においてはログ情報抽出部１３４をプログラムとして格納する。ログ情報抽出部１３４は、分析対象環境１０２から受信した未加工のログから情報を抽出して、記憶装置１３０に格納しやすいログに整形する。

【0044】

未加工のログは端末や機器ごとに形式が異なり記憶装置１３０に保管しただけでは、そのまま利用するのは難しい。したがって、ログ情報抽出部１３４では、未加工のログから所定の情報を抽出し、記憶装置１３０の対応した領域に保管する。例えば、未加工のログに含まれるＩＰアドレスを抽出し、記憶装置１３０のＩＰアドレスの領域に格納する。

【0045】

記憶装置１３０は、実施例１においてログ１３５を格納する。ログ１３５は、ログ情報抽出部１３４で情報を抽出した加工済みのログ（例えば、ＩＰアドレスやタイムスタンプ）である。

【0046】

分析対象環境１０２は、端末１３８－１～１３８－ｎと、ネットワーク機器１３７－１～１３７－ｍと、セキュリティ機器１３６－１～１３６－ｌと、を有し、これらで収集された端末１３８や各機器の未加工のログがログ管理端末１０１で収集されて脅威ハンティングの対象となる。なお、本発明は、端末１３８や、ネットワーク機器１３７や、セキュリティ機器１３６の数に限定されない。実施例１における分析対象環境１０２は、例えば、会社や学校といった組織のネットワーク環境である。また、分析対象環境１０２で生成された未加工のログは、ログ管理端末１０１に送信される。

【0047】

端末１３８は、分析対象環境１０２に配置され、分析対象となる未加工のログを出力する端末である。例えば、端末１３８は、パーソナルコンピュータや、スマートフォンである。なお、本発明は、端末１３８の種別に限定されない。端末１３８の詳細は図示しないが、メインメモリと、記憶装置と、ＣＰＵと、入出力装置と、ネットワークインタフェース及び、通信路を有する。

【0048】

ネットワーク機器１３７は、分析対象環境１０２内で端末１３８間を接続するネットワーク機器１３７であり、分析対象となるログを出力する。ネットワーク機器１３７は、例えば、ルータやスイッチなどである。

【0049】

セキュリティ機器１３６は、分析対象環境１０２内に設置されたセキュリティ機器１３６であり、分析対象となるログを出力する。セキュリティ機器１３６は、例えば、ＥＤＲ（Ｅｎｄｐｏｉｎｔ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒｅｓｐｏｎｓｅ）、プロキシ、認証サーバ、及びファイアウォールである。

【0050】

図２は、実施例１の観点情報データ１２０のデータ構造の一例を示す図である。

【0051】

観点情報データ１２０は、ログＩＤ２０１と、ログ種類２０２と、行番号２０３と、テキスト２０４と、観点種別２０５と、観点ＩＤ２０６、及び値２０７をフィールドとして１つのレコードに格納する。なお、データ構造は一例であって、図示の例に限定されない。前述のフィールドのうちいずれかのフィールドを含まなくてもよいし、他のフィールドを含んでもよい。

【0052】

ログＩＤ２０１は、ログを一意に識別するために割り当てた識別子を格納するフィールドである。実施例１のログＩＤ２０１は、例として数字が割り当てられている。

【0053】

ログ種類２０２は、ログの収集元の機器の種別をログの種類として格納するフィールドである。ログの種類は後述する共通情報データ１２２と、脅威特徴データ１２３と、異常情報データ１２４、及び分析履歴データ１２５上でも管理するため、これら４つのデータ（テーブル）と表記を統一することが望ましい。例えば、ログ種類は、ファイアウォール、プロキシ、メール等がある。実施例１のログＩＤ「１」のログ種類は「ＥＤＲ」である。

【0054】

行番号２０３は、同一のログＩＤ２０１が付与されたログ中のエントリ（行）を一意に識別するために、各テキストに割り当てた識別子を格納するフィールドである。実施例１の行番号２０３は、例として数字が割り当てられている。行番号２０３は、例えば、時系列の順序でユニークな値が付与される。

【0055】

テキスト２０４は、ログ中のテキストを行ごとに格納するフィールドである。本実施例での行はログにおける各イベントやエントリの１つの単位を表している。

【0056】

観点種別２０５は、行番号２０３ごとに識別することを目的として、関連性を表す観点の種別を格納するフィールドである。

【0057】

観点種別２０５は優先度、共通性、脅威特徴、異常性、分析履歴のいずれかが設定される。各テキスト２０４は、観点に該当しない場合もあるため、観点種別２０５がブランク又はＮＵＬＬに設定されてもよい。また、各テキスト２０４は、複数の観点を有する場合もあるため、観点種別２０５は１つ以上で構成される。

【0058】

観点ＩＤ２０６は、行番号２０３ごとに識別することを目的として、各観点のデータで定義されたＩＤを格納するフィールドである。観点ＩＤ２０６は共通情報データ１２２や、脅威特徴データ１２３や、異常情報データ１２４、又は分析履歴データ１２５のいずれかのＩＤフィールドを参照する。

【0059】

実施例１では、関連性を表す観点の種別を格納する観点種別２０５と、各観点の共通性と、脅威特徴と、異常性と、分析履歴パラメータを識別する観点ＩＤ２０６を組み合わせることで参照元が一意に定まる。したがって、各テキスト２０４において、観点ＩＤ２０６のエントリ数は観点種別２０５と同一である。

【0060】

値２０７は、共通度と、脅威度と、異常度と、有効度のいずれかの値を格納するフィールドである。当該行の観点種別２０５を参照することで、値の種別は一意に定まる。例えば、図２の２行目の値２０７に関して、「脅威特徴」を参照することで、脅威度が「０．４」であることがわかる。

【0061】

図３は、実施例１の優先度データ１２１のデータ構造の一例を示す図である。

【0062】

優先度データ１２１は、ログＩＤ３０１と、行番号３０２と、ログＩＤ３０３と、行番号３０４と、共通度３０５と、脅威度３０６と、異常度３０７と、有効度３０８、及び優先度３０９をフィールドとして１つのレコードに格納する。

【0063】

優先度データ１２１は、２つのログにおける各行の関連性をそれぞれの観点で定量化した共通度と、脅威度と、異常度と、有効度と、関係性の優先度を格納することを目的とするため、同一テーブルにログＩＤと行番号の組が２つ存在している。また、観点種別２０５がない場合も存在するため、共通度３０５、脅威度３０６、異常度３０７、有効度３０８は空欄になることもある。なお、データ構造は一例であって、図示の例に限定されない。前述のフィールドのうちいずれかのフィールドを含まなくてもよいし、他のフィールドを含んでもよい。

【0064】

ログＩＤ３０１は、ログを一意に識別するために割り当てた識別子を格納するフィールドである。実施例１において、ログＩＤ３０１は、観点情報データ１２０のログＩＤ２０１を参照しており、ログＩＤ３０１の特定の行を参照する行番号３０２と組み合わせることで一意の行を指定する。また、行番号３０２とは対応関係にあれば、関連するログのもう一方を参照するログＩＤ３０３とは順不同である。

【0065】

行番号３０２は、ログＩＤ３０１中のテキストを一意に識別するために割り当てた識別子を格納するフィールドである。実施例１において、行番号３０２は、観点情報データ１２０の行番号２０３を参照しており、行番号３０２を含むログの識別子であるログＩＤ３０１と組み合わせることで一意の行を指定する。また、ログＩＤ３０１とは対応関係にあれば、関連するログのもう一方を参照する行番号３０４とは順不同である。

【0066】

ログＩＤ３０３は、ログを一意に識別するために割り当てた識別子を格納するフィールドである。実施例１において、ログＩＤ３０３は、観点情報データ１２０のログＩＤ２０１を参照しており、ログＩＤ３０３の特定の行を参照する行番号３０４と組み合わせることで一意の行を指定する。また、行番号３０４とは対応関係にあれば、関連するログのもう一方を参照するログＩＤ３０１とは順不同である。

【0067】

行番号３０４は、ログＩＤ３０３中のテキストを一意に識別するために割り当てた識別子を格納するフィールドである。実施例１で、行番号３０４は、観点情報データ１２０の行番号２０３を参照しており、行番号３０４を含むログの識別子であるログＩＤ３０３と組み合わせることで一意の行を指定する。また、ログＩＤ３０３とは対応関係にあれば、関連するログのもう一方を参照する行番号３０２とは順不同である。

【0068】

共通度３０５は、共通性をもとに算出された、各行におけるログＩＤ３０１の行番号３０２とログＩＤ３０３と行番号３０４の共通度を格納するフィールドである。例えば、図３の４行目では、ログＩＤ「１」の行番号「２」とログＩＤ「４」の行番号「１０２」の共通度は「０．９」である。

【0069】

脅威度３０６は、脅威の特徴をもとに算出された、各行におけるログＩＤ３０１の行番号３０２とログＩＤ３０３と行番号３０４の脅威度を格納するフィールドである。例えば、図３の４行目では、ログＩＤ「１」の行番号「２」と、ログＩＤ「４」の行番号「１０２」の脅威度は「０．２」である。

【0070】

異常度３０７は、異常性をもとに算出された、各行におけるログＩＤ３０１の行番号３０２とログＩＤ３０３と行番号３０４の異常度を格納するフィールドである。例えば、図３の４行目では、ログＩＤ「１」の行番号「２」とログＩＤ「４」の行番号「１０２」の異常度は「０．７」である。

【0071】

有効度３０８は、分析履歴をもとに算出された、各行におけるログＩＤ３０１の行番号３０２とログＩＤ３０３と行番号３０４の分析に関する有効度を格納するフィールドである。例えば、図３の４行目では、ログＩＤ「１」の行番号「２」とログＩＤ「４」の行番号「１０２」の有効度３０８は「０．３」である。

【0072】

優先度３０９は、共通度３０５と、脅威度３０６と、異常度３０７と、有効度３０８をもとに算出された、各行におけるログＩＤ３０１の行番号３０２とログＩＤ３０３と行番号３０４の可視化に関する優先度を格納するフィールドである。優先度３０９が高い行の関係ほど、優先して分析（出力）するべきことを表している。例えば、図３の４行目では、ログＩＤ「１」の行番号「２」とログＩＤ「４」の行番号「１０２」の優先度は「０．５１」である。

【0073】

換言すれば、ログＩＤ３０１と行番号３０２は、第１のログ内の第１のエントリを示し、ログＩＤ３０３と行番号３０４は、第１のログ内の第１のエントリと関連性を有する第２のログ内の第２のエントリを示す。そして、優先度３０９は、第１のエントリと第２のエントリのペアを可視化（表示）する際の優先度を示す。

【0074】

図４は、実施例１の共通情報データ１２２のデータ構造の一例を示す図である。

【0075】

共通情報データ１２２は、ＩＤ４０１と、対象ログ種類４０２と、共通性種別４０３と、共通性４０４と、条件４０５と、共通度計算式４０６をフィールドとして１つのレコードに格納する。なお、データ構造は一例であって、図示の例に限定されない。前述のフィールドのうちいずれかのフィールドを含まなくてもよいし、他のフィールドを含んでもよい。

【0076】

ＩＤ４０１は、共通性の種類を一意に識別するために割り当てた識別子を格納するフィールドである。実施例１のＩＤ４０１は、例として数字が割り当てられている。

【0077】

対象ログ種類４０２は、ログの収集元の機器の種別をログの種類として格納するフィールドである。

【0078】

共通性種別４０３は、後述する共通性４０４の分類を目的として、共通性４０４の種別を格納するフィールドである。例えば、共通性種別４０３は、グループ、対応関係、置換関係、同値、変更関係などが含まれる。

【0079】

共通性４０４は、２つ以上のデータの共通性を定義して格納するフィールドである。例えば、共通性４０４は、同一セグメントＩＰやＤＮＳ、時間の類似性がある。

【0080】

条件４０５は、共通性が定義された対象を格納するフィールドである。例えば、図４の２行目では、「１９２．１６８．０．１、１９２．１６８．０．５、１９２．１６８．０．１２２、１９２．１６８．０．１２を含む」ことが同一セグメントに割り当てられたＩＰアドレスの条件であることを表している。

【0081】

共通度計算式４０６は、共通度を算出するための計算方法を格納するフィールドである。共通度計算式４０６は、定数や計算式を格納することができ、共通性４０４をはじめとする各行の登録時に登録者が定義する必要がある。

【0082】

図５は、実施例１の脅威特徴データ１２３のデータ構造の一例を示す図である。

【0083】

脅威特徴データ１２３は、ＩＤ５０１と、対象ログ種類５０２と、特徴種別５０３と、特徴５０４と、条件５０５、及び脅威度計算式５０６をフィールドとして１つのレコードに格納する。なお、データ構造は一例であって、図示の例に限定されない。前述のフィールドのうちいずれかのフィールドを含まなくてもよいし、他のフィールドを含んでもよい。

【0084】

ＩＤ５０１は、脅威特徴の種類を一意に識別するために割り当てた識別子を格納するフィールドである。実施例１のＩＤ５０１は、例として数字が割り当てられている。

【0085】

対象ログ種類５０２は、ログの収集元の機器の種別をログの種類として格納するフィールドである。

【0086】

特徴種別５０３は、脅威の分類を目的として、後述する特徴５０４の種別を格納するフィールドである。例えば、特徴種別５０３は、攻撃進行度や、攻撃者情報である。

【0087】

特徴５０４は、脅威の特徴を定義して格納するフィールドである。例えば、特徴種別５０３が「攻撃進行度」では、サイバーキルチェーンやＡＴＴ＆ＣＫ（登録商標）とのフェーズが特徴５０４となり、攻撃者情報ではＡＰＴ（Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ）グループ名が特徴５０４となる。

【0088】

条件５０５は、特徴５０４をテキストで表現した条件を格納するフィールドである。言い換えると、特徴５０４がログ中にどういった痕跡を残すかが定義される。例えば、図５の２行目では、「メール」ログにおける「進行度１」の条件が「ファイル名が‘＊．＊．ｅｘｅ’に一致」である。これは当該条件が示す二重拡張子は誤クリックによる感染を誘導する攻撃者のテクニックであり、感染前の「進行度１」のテクニックである。

【0089】

脅威度計算式５０６は、脅威度を算出するための計算方法や値を格納するフィールドである。脅威度計算式５０６は、定数や計算式で設定され、特徴５０４をはじめとする各行の登録時に登録者が定義する必要がある。

【0090】

図６は、実施例１の異常情報データ１２４のデータ構造の一例を示す図である。

【0091】

異常情報データ１２４は、ＩＤ６０１と、対象ログ種類６０２と、異常種別６０３と、異常性６０４と、条件６０５、及び異常度計算式６０６をフィールドとして１つのレコードに格納する。なお、データ構造は一例であって、これに限定されない。前述のフィールドのうちいずれかのフィールドを含まなくてもよいし、他のフィールドを含んでもよい。

【0092】

ＩＤ６０１は、脅威特徴の種類を一意に識別するために割り当てた識別子を格納するフィールドである。実施例１のＩＤ６０１は、例として数字が割り当てられている。

【0093】

対象ログ種類６０２は、ログの収集元の機器の種別をログの種類として格納するフィールドである。

【0094】

異常種別６０３は、異常の分類を目的として、後述する異常性６０４の種別（発生要因）を格納するフィールドである。例えば、異常種別６０３は、異常通信や異常ログインである。

【0095】

異常性６０４は異常性を定義して格納するフィールドである。例えば、異常通信では、業務時間外の通信が異常性６０４となる。

【0096】

条件６０５は、異常性６０４を有するログ中のテキストに含まれる条件を格納するフィールドである。例えば、図６の２行目では、「業務時間外通信」の異常を「２３：００－５：００」のデータ量の和が前日の２倍であることを定義している。

【0097】

異常度計算式６０６は、異常度を算出するための計算方法や値を格納するフィールドである。異常度計算式６０６は、定数や計算式で設定され、異常性６０４をはじめとする各行の登録時に登録者が定義する必要がある。

【0098】

図７は、実施例１の分析履歴データ１２５のデータ構造の一例を示す図である。

【0099】

分析履歴データ１２５は、ＩＤ７０１と、脅威種別７０２と、表示ログ種類７０３と、操作種別７０４と、ルール７０５、及び有効度７０６をフィールドとして１つのレコードに格納する。なお、データ構造は一例であって、これに限定されない。前述のフィールドのうちいずれかのフィールドを含まなくてもよいし、他のフィールドを含んでもよい。

【0100】

ＩＤ７０１は、分析履歴の種類を一意に識別するために割り当てた識別子を格納するフィールドである。実施例１のＩＤ７０１は、例として数字が割り当てられている。

【0101】

脅威種別７０２は、分析の結果発見した脅威の種別を格納するフィールドである。例えば、脅威種別７０２は、情報漏洩や攻撃者サーバとの通信が含まれる。

【0102】

表示ログ種類７０３は、分析時に表示したログの種類を格納するフィールドである。例えば、図７の２行目では、「ＥＤＲ」ログと「Ｐｒｏｘｙ」ログを分析して「情報漏洩」を発見したことがわかる。

【0103】

操作種別７０４は、分析時に実施した操作の種別を格納するフィールドである。例えば、図７の２行目では、条件式を用いた「フィルタリング」や、詳細閲覧のためにログ中のある情報を「クリック」したことがわかる。

【0104】

ルール７０５は、分析時に実施された操作の対象をルールとして格納するフィールドである。例えば、図７の２行目では、「ＵＲＬがｍａｌ．ｃｏｍ」をルールとしてフィルタリングしたことが格納される。

【0105】

有効度７０６は、脅威発見における操作の有効度を格納するフィールドである。有効度７０６は、定数や計算式で設定され、ルール７０５をはじめとする各行の登録時に登録者が定義する必要がある。

【0106】

図８は、実施例１の可視化手法データ１２６のデータ構造の一例を示す図である。

【0107】

可視化手法データ１２６は、ＩＤ８０１と、観点種別８０２と、観点ＩＤ８０３と、処理方法８０４をフィールドとして１つのレコードに格納する。可視化手法データ１２６は、各テキストにどのような可視化処理を施すかを管理することを目的とし、各特徴を観点種別２０５、観点ＩＤ２０６として管理する観点情報データ１２０を参照することで、各テキストと可視化手法を紐づける。

【0108】

したがって、観点情報データ１２０の観点種別２０５と、観点ＩＤ２０６と観点種別８０２、観点ＩＤ８０３は対応関係にある。なお、データ構造は一例であって、図示の例に限定されない。前述のフィールドのうちいずれかのフィールドを含まなくてもよいし、他のフィールドを含んでもよい。

【0109】

ＩＤ８０１は、可視化手法の種類を一意に識別するために割り当てた識別子を格納するフィールドである。実施例１のＩＤ８０１は、例として数字が割り当てられている。

【0110】

観点種別８０２は、関連性を表す観点の種別を格納するフィールドである。観点種別８０２は優先度、共通性、脅威特徴、異常性、分析履歴のいずれかである。

【0111】

観点ＩＤ８０３は、関連性の識別を目的として、各観点のデータで定義されたＩＤを格納するフィールドである。観点ＩＤ８０３は共通情報データ１２２、脅威特徴データ１２３、異常情報データ１２４、又は分析履歴データ１２５のいずれかを参照する。なお、実施例１においては、観点種別８０２が「優先度」の場合は、参照元が存在しないため、空欄となる。

【0112】

処理方法８０４は、可視化する際の処理方法を格納するフィールドである。例えば、図８のＩＤ「２」は、「脅威特徴」の観点ＩＤ「２」が脅威特徴データ１２３の特徴５０４の「進行度７」を表すため、「情報部に進行度７アイコンを付与」を可視化する。

【0113】

図９は、実施例１の複数ログ分析支援装置１００が分析者端末１０３へ提供する可視化画面９００の一例を示す図である。

【0114】

可視化画面９００は、概要部９０１と、情報部９０２と、詳細部９０３、及び関連性表示部９０４を有する。なお、複数ログ分析支援装置１００の可視化部１１６が表示するログの数に応じて概要部９０１、情報部９０２、詳細部９０３、及び関連性表示部９０４の数は変化するが、本発明は、概要部９０１、情報部９０２、詳細部９０３、及び関連性表示部９０４の数に限定されない。

【0115】

実施例１の図９では、ログの数を２（概要部９０１－１及び９０１－２）とし、概要部９０１－１、９０１－２、情報部９０２－１、９０２－２、及び詳細部９０３－１、９０３－２で説明する。また、図９の可視化画面９００は一例であって、図示の例に限定されない。

【0116】

概要部９０１は、ログの概要について理解することを目的として、可視化処理を施したログを表示する部分である。後述する詳細部９０３と同一の情報を有すが、概要理解を目的しているため、縮小したログ（又はアイコン等）が提示される。可視化処理は例えば、文字色の変更、背景色の変更、文字の濃度の変更を指す。

【0117】

なお、可視化処理は後述する複数ログ分析支援装置１００の可視化部１１６の可視化処理により実行される。本可視化処理によって、ログが有する共通性、脅威特徴、異常性、分析履歴の観点で各テキストの特徴が提示され、分析者端末１０３で関連性を理解することを支援する。

【0118】

情報部９０２は、ログの各テキストに情報を補足するための可視化処理を表示する部分である。例えば、情報を補足するための可視化処理は、アイコンの付与である。本可視化処理によって、分析者端末１０３でログが有する共通性、脅威特徴、異常性、分析履歴の観点で各テキストの特徴が提示され、関連性を理解することを支援する。

【0119】

図９の情報部９０２－２では矢印で進行度を表すアイコンが表示され、上部のアイコン９０２１は進行度３、下部のアイコン９０２２は進行度７である。分析者端末１０３を利用する分析者は、脅威特徴の観点から、進行度アイコンのあるログの各テキストが関連しており、その関連性が攻撃の進行を示唆していることがわかる。なお、アイコンの種類や形状は一例であって、これに限定されない。

【0120】

詳細部９０３は、可読状態で可視化処理が施されたログを表示する部分である。可視化処理は例えば、文字色の変更、背景色の変更、文字の濃度の変更を指す。なお、可視化処理は後述する複数ログ分析支援装置１００の可視化処理により実行される。本可視化処理によって、ログが有する共通性、脅威特徴、異常性、分析履歴の観点で各行の特徴が提示され、関連性の理解を支援する。

【0121】

関連性表示部９０４は、優先度算出部１１５で算出した優先度付きでログの行の関連性を表示する部分である。優先度は、可視化処理が施されて表示される。例えば、図９の関連性表示部９０４では、各行の関連性を線で、優先度をその線の太さで表す。また、共通度、脅威度、異常度、有効度、優先度をそれぞれ別の色で表現することもあるが、一例であって、これに限定されない。

【0122】

次に、複数ログ分析支援装置１００が実行する処理について説明する。

【0123】

図１０は、実施例１の複数ログ分析支援装置１００が優先度算出部１１５及び可視化部１１６を実行する処理の一例を説明するフローチャートである。

【0124】

実施例１では、分析を実施する分析者が分析対象環境１０２の異常状態をすでに把握しており、分析の起点となるログや関連するログを把握しているものとする。なお、複数ログ分析支援装置１００は、分析の起点となるログに応じて、関連するログを提案する機能を有していてもよい。

【0125】

複数ログ分析支援装置１００は、分析を実施する際、分析者によって分析者端末１０３あるいは入出力装置１１０から対象となるログの指定が１つ以上行われたか否かを判定する（ステップＳ１００１）。

【0126】

ログの指定が行われなかった場合、複数ログ分析支援装置１００は、ステップＳ１００１に戻り、待機を続ける。ログの指定が行われた場合、複数ログ分析支援装置１００は、ステップＳ１００２に進む。

【0127】

ログの指定が行われた場合、複数ログ分析支援装置１００は、ログ管理端末１０１から当該ログを取得する（ステップＳ１００２）。

【0128】

具体的には、複数ログ分析支援装置１００は、ログ管理端末１０１に指定されたログに関するリクエストを送信する。リクエストを受けて、ログ管理端末１０１は、当該ログデータを複数ログ分析支援装置１００に送信する。

【0129】

次に、複数ログ分析支援装置１００は、指定したログ１３５を用いて観点情報データ１２０を更新する（ステップＳ１００３）。

【0130】

具体的には、複数ログ分析支援装置１００は、受け取ったログ１３５の各行のテキストを観点情報データ１２０のテキスト２０４に登録する。また、複数ログ分析支援装置１００は、ログＩＤ２０１、行番号２０３に識別子を振り当てる。また、複数ログ分析支援装置１００は、ログ種類２０２に当該ログの種別を登録する。

【0131】

次に、複数ログ分析支援装置１００は、指定されたログ１３５を用いて優先度算出処理を実行する（ステップＳ１００４）。

【0132】

具体的には、複数ログ分析支援装置１００は、優先度算出部１１５により、指定されたログ１３５同士の関連性を算出し、その関連性の優先度を算出する。優先度算出処理の実行によって、関連性を分析する際の順番の決定を支援する。優先度算出処理の詳細は、図１１を用いて説明する。

【0133】

次に、複数ログ分析支援装置１００は、可視化部１１６により指定されたログ１３５を用いて可視化処理を実行する（ステップＳ１００５）。

【0134】

具体的には、複数ログ分析支援装置１００は、ログ１３５を描画した画面を分析者端末１０３へ出力し、ステップＳ１００４で算出したログの関連性とその優先度も可視化して画面内に描画する。可視化処理の詳細は、図１６を用いて説明する。

【0135】

図１１は、ログの関連性及びその優先度を理由付きで定量化することを目的とし、実施例１の複数ログ分析支援装置１００が優先度算出部１１５を実行する処理の一例を説明するフローチャートである。

【0136】

優先度算出部１１５は、図１０のステップＳ１００４で実行され、ステップＳ１１０１～ステップＳ１１０４の４種類の処理を並列的に実行し、次にステップＳ１１０５を実行する。なお、本発明は、最低１種類以上の処理が必要であり、４種類すべての処理を並列的に実行することに限定されない。

【0137】

優先度算出部１１５は、観点情報データ１２０を入力として共通度算出部１１１を実行する（ステップＳ１１０１）。

【0138】

具体的には、優先度算出部１１５は、観点情報データ１２０のテキスト２０４に対し、共通情報データ１２２の条件４０５と照合し、パターンマッチングにより共通性を特徴づけて値を算出する。共通度算出部１１１は、特徴づけた観点と値を用いて、各テキスト２０４の共通度を算出して、優先度データ１２１の共通度３０５に出力する。共通度算出処理の詳細は、図１２を用いて説明する。

【0139】

優先度算出部１１５は、観点情報データ１２０を入力として脅威度算出部１１２を実行する（ステップＳ１１０２）。

【0140】

具体的には、脅威度算出部１１２は、観点情報データ１２０のテキスト２０４に対し、脅威特徴データ１２３の条件５０５と照合し、パターンマッチングにより脅威の観点を特徴づけて値を算出する。特徴づけた観点と値を用いて、各テキスト２０４の脅威度を算出して、優先度データ１２１の脅威度３０６に出力する。脅威度算出処理の詳細は、図１３を用いて説明する。

【0141】

優先度算出部１１５は、観点情報データ１２０を入力として異常度算出部１１３を実行する（ステップＳ１１０３）。

【0142】

具体的には、優先度算出部１１５は、観点情報データ１２０のテキスト２０４に対し、異常情報データ１２４の条件６０５と照合し、パターンマッチングにより異常性を特徴づけて値を算出する。特徴づけた観点と値を用いて、各テキスト２０４の異常度を算出して、優先度データ１２１の異常度３０７に出力する。異常度算出処理の詳細は、図１４を用いて説明する。

【0143】

優先度算出部１１５は、観点情報データ１２０を入力として分析履歴解析部１１４を実行する（ステップＳ１１０４）。

【0144】

具体的には、複数ログ分析支援装置１００は、観点情報データ１２０のテキスト２０４に対し、分析履歴データ１２５のルール７０５と照合し、パターンマッチングにより分析履歴を特徴づけて値を算出する。特徴づけた観点と値を用いて、各テキスト２０４の有効度を算出して、優先度データ１２１の有効度３０８に出力する。分析履歴解析処理の詳細は、図１５を用いて説明する。

【0145】

次に、優先度算出部１１５は、優先度データ１２１の未処理のエントリ１つを選択する（ステップＳ１１０５）。

【0146】

次に、優先度算出部１１５は、選択した優先度データ１２１の未処理のエントリの共通度３０５、脅威度３０６、異常度３０７、有効度３０８を用いて、優先度３０９を算出する（ステップＳ１１０６）。

【0147】

具体的には、優先度算出部１１５は、共通度３０５、脅威度３０６、異常度３０７、有効度３０８を入力として、優先度を算出して出力する。優先度の一例として、共通度３０５と、脅威度３０６と、異常度３０７と、有効度３０８の平均値を算出し、優先度３０９として出力する例を示すが、本発明はこの算出方法に限定されない。また、共通度３０５、脅威度３０６、異常度３０７、有効度３０８はすべてがそろっている必要もない。

【0148】

次に、優先度算出部１１５は、優先度データ１２１の全エントリの処理が完了したか否かを判定する（ステップＳ１１０７）。

【0149】

全エントリの処理が完了した場合、優先度算出部１１５は処理を完了する。一方、全エントリの処理が完了していなかった場合、優先度算出部１１５は、ステップＳ１１０５に戻り、未処理のエントリを選択して上記処理を繰り返す。

【0150】

図１２は、共通性の観点からログの関連性を理由付きで定量化すること目的とし、実施例１の複数ログ分析支援装置１００が実行する共通度算出部１１１の一例を説明するフローチャートである。

【0151】

共通度算出部１１１は、優先度算出部１１５によって実行され、観点情報データ１２０の未処理のエントリを１つ選択する（ステップＳ１２０１）。

【0152】

次に、共通度算出部１１１は、選択したエントリのテキスト２０４は共通情報データ１２２の条件４０５に該当する否かを判定する（ステップＳ１２０２）。

【0153】

条件４０５に該当する場合、共通度算出部１１１は、ステップＳ１２０３に進む。条件４０５に該当しない場合、共通度算出部１１１は、ステップＳ１２０４に進む。

【0154】

条件４０５に該当する場合、共通度算出部１１１は、観点情報データ１２０で選択したエントリの値２０７と、観点種別２０５と、観点ＩＤ２０６に、条件４０５が一致した共通情報データ１２２の共通度計算式４０６で算出した値と、「共通性」と、条件４０５が一致した共通情報データ１２２のＩＤ４０１を格納する（ステップＳ１２０３）。

【0155】

なお、共通度計算式４０６が定数あるいは式によって定義されるため、式によって定義される場合、共通度算出部１１１は式に基づいて算出を行う。上記ステップＳ１２０３では、共通度算出部１１１が、観点情報データ１２０の観点種別２０５に「共通性」のエントリが追加された行番号２０３のエントリの状態は、予め設定された共通性を有すると判定する。

【0156】

次に、共通度算出部１１１は、選択したエントリとすべての共通情報データ１２２の照合が完了したか否かを判定する（ステップＳ１２０４）。

【0157】

全データの照合が完了した場合、共通度算出部１１１は、ステップＳ１２０５に進む。全データの照合が完了していない場合、共通度算出部１１１は、ステップＳ１２０２に戻り、照合を続ける。

【0158】

次に、共通度算出部１１１は、全エントリの処理が完了したか否かを判定する（ステップＳ１２０５）。

【0159】

完了した場合、共通度算出部１１１は、ステップＳ１２０６に進み、共通性の算出をする。完了しなかった場合、複数ログ分析支援装置１００は、ステップＳ１２０１に戻り、エントリの選択を行う。

【0160】

共通度算出部１１１は、観点情報データ１２０の中の観点種別２０５が「共通性」の未処理のエントリを選択する（ステップＳ１２０６）。

【0161】

次に、共通度算出部１１１は、ステップＳ１２０６で選択していない未処理のエントリを参照し、観点種別２０５が「共通性」かつ、ステップＳ１２０６で選択したエントリの観点ＩＤ２０６が一致するか否かを判定する（ステップＳ１２０７）。

【0162】

観点ＩＤ２０６が一致した場合、共通度算出部１１１は、ステップＳ１２０８に進み、共通度の算出をする。観点ＩＤ２０６が一致しなかった場合、共通度算出部１１１は、ステップＳ１２０９に進む。

【0163】

一致した場合、共通度算出部１１１は、優先度データ１２１の更新を行う（ステップＳ１２０８）。

【0164】

具体的には、共通度算出部１１１は、一致したエントリの観点情報データ１２０のログＩＤ２０１と行番号２０３をそれぞれ、優先度データ１２１のログＩＤ３０１と行番号３０２、及びログＩＤ３０３と行番号に代入する。

【0165】

また、共通度算出部１１１は、観点情報データ１２０の値２０７を入力として、優先度データ１２１の共通度３０５を算出する。例として、観点情報データ１２０の値２０７を共通度３０５とするが、本発明はこの算出方法に限定されない。

【0166】

次に、共通度算出部１１１は、選択したエントリと観点情報データ１２０の観点種別が「共通性」である未処理エントリをすべて参照したか否かを判定する（ステップＳ１２０９）。

【0167】

すべての未処理エントリを参照した場合、共通度算出部１１１は、ステップＳ１２１０に進む。すべての未処理エントリを参照していない場合、共通度算出部１１１は、ステップＳ１２０７に戻り、参照を続ける。

【0168】

次に、共通度算出部１１１は、全エントリの処理が完了したか否かを判定する（ステップＳ１２１０）。

【0169】

完了した場合、共通度算出部１１１は、処理を完了する。完了しなかった場合、共通度算出部１１１は、ステップＳ１２０６に戻り、エントリの選択を行う。

【0170】

上記処理によって、共通情報データ１２２の条件４０５に一致するテキスト２０４を含む観点情報データ１２０のエントリ（行番号２０３）の観点種別２０５に「共通性」が追加され、共通情報データ１２２のＩＤ４０１が観点情報データ１２０の観点ＩＤ２０６に追加される。

【0171】

そして、共通度算出部１１１は、観点種別２０５が「共通性」の観点情報データ１２０のエントリ（行番号２０３）で観点ＩＤ２０６が一致する他のエントリを、優先度データ１２１に追加して、当該エントリの共通度を算出して優先度データ１２１の共通度３０５に設定する。

【0172】

以上のように、共通性に関する所定の条件４０５と一致するログのエントリは、観点情報データ１２０の観点種別２０５に「共通性」が追加され、さらに、観点ＩＤ２０６（共通性の種別）が一致する他のエントリが存在する場合には、優先度データ１２１にログＩＤと行番号のペアが追加され、共通性で関連性を有するエントリの組が追加される。

【0173】

図１３は、脅威の特徴が有する脅威背景の観点からログの関連性を定量化することを目的とし、実施例１の複数ログ分析支援装置１００が実行する脅威度算出部１１２の一例を説明するフローチャートである。

【0174】

脅威度算出部１１２は、優先度算出部１１５によって実行され、観点情報データ１２０の未処理のエントリを選択する（ステップＳ１３０１）。

【0175】

次に、脅威度算出部１１２は、選択したエントリのテキスト２０４は脅威特徴データ１２３の条件５０５に該当するか否かを判定する（ステップＳ１３０２）。

【0176】

条件５０５に該当した場合、脅威度算出部１１２は、ステップＳ１３０３に進む。条件５０５に該当しなかった場合、脅威度算出部１１２は、ステップＳ１３０４に進む。

【0177】

条件５０５に該当した場合、脅威度算出部１１２は、観点情報データ１２０で選択したエントリの値２０７と、観点種別２０５と、観点ＩＤ２０６に、条件５０５が一致した脅威特徴データ１２３の脅威度計算式５０６で算出した値と、「脅威特徴」と、条件５０５が一致した脅威特徴データ１２３のＩＤ５０１を格納する（ステップＳ１３０３）。

【0178】

上記ステップＳ１３０３では、脅威度算出部１１２が、観点情報データ１２０の観点種別２０５に「脅威特徴」のエントリが追加された行番号２０３のエントリの状態は、予め設定された脅威の特徴を有すると判定する。

【0179】

次に、脅威度算出部１１２は、選択したエントリとすべての脅威特徴データ１２３の照合が完了したか否かを判定する（ステップＳ１３０４）。

【0180】

全データの照合が完了した場合、脅威度算出部１１２は、ステップＳ１３０５に進む。全データの照合が完了していない場合、脅威度算出部１１２は、ステップＳ１３０２に戻り、照合を続ける。

【0181】

次に、脅威度算出部１１２は、全エントリの処理が完了したか否かを判定する（ステップＳ１３０５）。

【0182】

全エントリの処理が完了した場合、脅威度算出部１１２は、ステップＳ１３０６に進み、脅威度の算出をする。全エントリの処理が完了しなかった場合、脅威度算出部１１２は、ステップＳ１３０１に戻り、エントリの選択を行う。

【0183】

脅威度算出部１１２は、観点情報データ１２０の中の観点種別が「脅威特徴」の未処理のエントリを選択する（ステップＳ１３０６）。

【0184】

次に、脅威度算出部１１２は、ステップＳ１３０６で選択していない未処理のエントリを参照し、観点種別２０５が「脅威特徴」かつ、ステップＳ１３０６で選択したエントリの観点ＩＤ２０６が一致するか否かを判定する（ステップＳ１３０７）。

【0185】

観点ＩＤ２０６が一致した場合、脅威度算出部１１２は、ステップＳ１３０８に進み、脅威度の算出をする。観点ＩＤ２０６が一致しなかった場合、脅威度算出部１１２は、ステップＳ１３０９に進む。

【0186】

観点ＩＤ２０６が一致した場合、脅威度算出部１１２は、優先度データ１２１の更新を行う（ステップＳ１３０８）。

【0187】

具体的には、脅威度算出部１１２は、一致したエントリの観点情報データ１２０のログＩＤ２０１と行番号２０３をそれぞれ、優先度データ１２１のログＩＤ３０１と行番号３０２、及びログＩＤ３０３と行番号３０４に代入する。また、脅威度算出部１１２は観点情報データ１２０の値２０７を入力として、優先度データ１２１の脅威度３０６を算出する。例として、観点情報データ１２０の値２０７を脅威度３０６とするが、本発明はこの算出方法に限定されない。

【0188】

次に、脅威度算出部１１２は、選択したエントリと観点情報データ１２０の観点種別２０５が「脅威特徴」で未処理のエントリをすべて参照したか否かを判定する（ステップＳ１３０９）。

【0189】

未処理のエントリをすべて参照した場合、脅威度算出部１１２は、ステップＳ１３１０に進む。未処理のエントリをすべて参照していない場合、脅威度算出部１１２は、ステップＳ１３０７に戻り、参照を続ける。

【0190】

次に、脅威度算出部１１２は、全エントリの処理が完了したか否かを判定する（ステップＳ１３１０）。

【0191】

全エントリの処理が完了した場合、脅威度算出部１１２は、処理を完了する。全エントリの処理が完了しなかった場合、脅威度算出部１１２は、ステップＳ１３０６に戻り、エントリの選択を行う。

【0192】

上記処理によって、脅威特徴データ１２３の条件５０５に一致するテキスト２０４を含む観点情報データ１２０のエントリ（行番号２０３）の観点種別２０５に「脅威特徴」が追加され、脅威特徴データ１２３のＩＤ５０１が観点情報データ１２０の観点ＩＤ２０６に追加される。

【0193】

そして、脅威度算出部１１２は、観点種別２０５が「脅威特徴」の観点情報データ１２０のエントリ（行番号２０３）で観点ＩＤ２０６が一致する他のエントリを、優先度データ１２１に追加して、当該エントリの脅威度を算出して優先度データ１２１の脅威度３０６に設定する。

【0194】

以上のように、脅威に関する所定の条件５０５と一致するログのエントリは、観点情報データ１２０の観点種別２０５に「脅威特徴」が追加され、さらに、観点ＩＤ２０６（脅威の特徴）が一致する他のエントリが存在する場合には、優先度データ１２１にログＩＤと行番号のペアが追加され、脅威について関連性を有するエントリの組が追加される。

【0195】

図１４は、環境の通常状態から乖離した異常性の観点からログの関連性を理由付きで定量化することを目的とし、実施例１の複数ログ分析支援装置１００が実行する異常度算出部１１３の一例を説明するフローチャートである。

【0196】

異常度算出部１１３は、優先度算出部１１５によって実行され、観点情報データ１２０の未処理のエントリを選択する（ステップＳ１４０１）。

【0197】

次に、異常度算出部１１３は、選択したエントリのテキスト２０４は異常情報データ１２４の条件６０５に該当するか否かを判定する（ステップＳ１４０２）。

【0198】

条件６０５に該当した場合、異常度算出部１１３は、ステップＳ１４０３に進む。条件６０５に該当しなかった場合、異常度算出部１１３は、ステップＳ１４０４に進む。

【0199】

条件６０５に該当した場合、異常度算出部１１３は、観点情報データ１２０で選択したエントリの値２０７と、観点種別２０５と、観点ＩＤ２０６に、条件６０５が一致した異常情報データ１２４の異常度計算式６０６で算出した値と、「異常性」と、条件６０５が一致した異常情報データ１２４のＩＤ６０１を格納する（ステップＳ１４０３）。

【0200】

上記ステップＳ１４０３では、異常度算出部１１３が、観点情報データ１２０の観点種別２０５に「異常性」のエントリが追加された行番号２０３のエントリの状態は、予め設定された状態から乖離した異常性を有すると判定する。

【0201】

次に、異常度算出部１１３は、選択したエントリと異常情報データ１２４を照合したか否かを判定する（ステップＳ１４０４）。

【0202】

全データを照合した場合、異常度算出部１１３は、ステップＳ１４０５に進む。全データの照合が完了していない場合、異常度算出部１１３は、ステップＳ１４０２に戻り、照合を続ける。

【0203】

次に、異常度算出部１１３は、全エントリの処理が完了したか否かを判定する（ステップＳ１４０５）。

【0204】

全エントリの処理が完了した場合、異常度算出部１１３は、ステップＳ１４０６に進み、異常度の算出をする。全エントリの処理が完了しなかった場合、異常度算出部１１３は、ステップＳ１４０１に戻り、エントリの選択を行う。

【0205】

異常度算出部１１３は、観点情報データ１２０の中の観点種別２０５が「異常性」の未処理のエントリを選択する（ステップＳ１４０６）。

【0206】

次に、異常度算出部１１３は、ステップＳ１４０６で選択していない未処理のエントリを参照し、観点種別２０５が「異常性」かつ、ステップＳ１４０６で選択したエントリの観点ＩＤ２０６が一致するか否かを判定する（ステップＳ１４０７）。

【0207】

観点ＩＤ２０６が一致した場合、異常度算出部１１３は、ステップＳ１４０８に進み、異常度の算出をする。観点ＩＤ２０６が一致しなかった場合、異常度算出部１１３は、ステップＳ１４０９に進む。

【0208】

観点ＩＤ２０６が一致した場合、異常度算出部１１３は、優先度データ１２１の更新を行う（ステップＳ１４０８）。

【0209】

具体的には、異常度算出部１１３は、一致したエントリの観点情報データ１２０のログＩＤ２０１と行番号２０３をそれぞれ、優先度データ１２１のログＩＤ３０１と行番号３０２、及びログＩＤ３０３と行番号３０４に代入する。

【0210】

また、異常度算出部１１３は、観点情報データ１２０の値２０７を入力として、優先度データ１２１の異常度３０７を算出する。例として、観点情報データ１２０の値２０７を異常度３０７とするが、本発明はこの算出方法に限定されない。

【0211】

次に、異常度算出部１１３は、選択したエントリと観点情報データ１２０の観点種別２０５が「異常性」で未処理のエントリとすべて参照したか否かを判定する（ステップＳ１４０９）。

【0212】

すべて参照した場合、異常度算出部１１３は、ステップＳ１４１０に進む。すべて参照していない場合、異常度算出部１１３は、ステップＳ１４０７に戻り、参照を続ける。

【0213】

次に、異常度算出部１１３は、全エントリの処理が完了したか否かを判定する（ステップＳ１４１０）。

【0214】

全エントリの処理が完了した場合、異常度算出部１１３は、処理を完了する。全エントリの処理が完了しなかった場合、異常度算出部１１３は、ステップＳ１４０６に戻り、未処理のエントリの選択を行う。

【0215】

上記処理によって、異常情報データ１２４の条件６０５に一致するテキスト２０４を含む観点情報データ１２０のエントリ（行番号２０３）の観点種別２０５に「異常性」が追加され、異常情報データ１２４のＩＤ６０１が観点情報データ１２０の観点ＩＤ２０６に追加される。

【0216】

そして、異常度算出部１１３は、観点種別２０５が「異常性」の観点情報データ１２０のエントリ（行番号２０３）で観点ＩＤ２０６が一致する他のエントリを、優先度データ１２１に追加して、当該エントリの異常度を算出して優先度データ１２１の異常度３０７に設定する。

【0217】

以上のように、異常性に関する所定の条件６０５と一致するログのエントリは、観点情報データ１２０の観点種別２０５に「異常性」が追加され、さらに、観点ＩＤ２０６（以上の種別）が一致する他のエントリが存在する場合には、優先度データ１２１にログＩＤと行番号のペアが追加され、異常性で関連性を有するエントリの組が追加される。

【0218】

図１５は、分析履歴の観点からログの関連性を理由付きで定量化することを目的とし、実施例１の複数ログ分析支援装置１００が実行する分析履歴解析部１１４の一例を説明するフローチャートである。

【0219】

分析履歴解析部１１４は、観点情報データ１２０の未処理のエントリを選択する（ステップＳ１５０１）。

【0220】

次に、分析履歴解析部１１４は、選択したエントリのテキスト２０４は分析履歴データ１２５の中のルール７０５に該当するか否かを判定する（ステップＳ１５０２）。

【0221】

ルール７０５に該当した場合、分析履歴解析部１１４は、ステップＳ１５０３に進む。ルール７０５に該当しなかった場合、分析履歴解析部１１４は、ステップＳ１５０４に進む。

【0222】

ルール７０５に該当した場合、分析履歴解析部１１４は、観点情報データ１２０で選択したエントリの値２０７と、観点種別２０５と、観点ＩＤ２０６に、ルール７０５に一致した分析履歴データ１２５の有効度７０６と、「分析履歴」と、ルール７０５に一致した分析履歴データ１２５のＩＤ７０１を格納する（ステップＳ１５０３）。

【0223】

上記ステップＳ１５０３では、分析履歴解析部１１４が、観点情報データ１２０の観点種別２０５に「分析履歴」のエントリが追加された行番号２０３のエントリの状態は、予め設定された有効度の特徴を有すると判定する。

【0224】

次に、分析履歴解析部１１４は、選択したエントリとすべての分析履歴データ１２５の照合が完了したか否かを判定する（ステップＳ１５０４）。

【0225】

全データの照合が完了した場合、分析履歴解析部１１４は、ステップＳ１５０５に進む。全データの照合が完了していない場合、分析履歴解析部１１４は、ステップＳ１５０２に戻り、照合を続ける。

【0226】

次に、分析履歴解析部１１４は、全エントリの処理が完了したか否かを判定する（ステップＳ１５０５）。

【0227】

全エントリの処理が完了した場合、分析履歴解析部１１４は、ステップＳ１５０６に進む。全エントリの処理が完了していない場合、分析履歴解析部１１４は、ステップＳ１５０１に戻り、エントリの選択を行う。

【0228】

分析履歴解析部１１４は、分析履歴データ１２５の未処理のエントリと次に位置する未処理のエントリを選択する（ステップＳ１５０６）。

【0229】

次に、分析履歴解析部１１４は、観点情報データ１２０の中に観点種別２０５が「分析履歴」であり、かつ、観点ＩＤ２０６で選択した２エントリを参照するレコードがともに存在するか否かを照合する（ステップＳ１５０７）。

【0230】

２エントリとも存在した場合、分析履歴解析部１１４は、ステップＳ１５０８に進む。２エントリが存在しなかった場合、分析履歴解析部１１４は、ステップＳ１５０９に進む。

【0231】

２エントリが存在した場合、分析履歴解析部１１４は、照合し一致した観点情報データ１２０の行番号２０３と有効度２０６を用いて、優先度データ１２１を更新する（ステップＳ１５０８）。

【0232】

具体的には、分析履歴解析部１１４は、一致したエントリの観点情報データ１２０のログＩＤ２０１と行番号２０３をそれぞれ、優先度データ１２１のログＩＤ３０１と行番号３０２、及びログＩＤ３０３と行番号３０４に代入する。

【0233】

また、分析履歴解析部１１４は、優先度データ１２１の有効度３０８に関して、一致した２エントリの値２０７を入力として、有効度３０８を算出して更新する。例として、２エントリの値２０７の平均値を有効度３０８とするが、本発明はこの算出方法に限定されない。

【0234】

次に、分析履歴解析部１１４は、分析履歴データ１２５の次に位置する未処理のエントリと次の次に位置する未処理のエントリを選択する（ステップＳ１５０９）。

【0235】

次に、分析履歴解析部１１４は、全エントリの処理が完了したか否かを判定する（ステップＳ１５１０）。

【0236】

全エントリの処理が完了した場合、分析履歴解析部１１４は、処理を完了する。全エントリの処理が完了していない場合、分析履歴解析部１１４は、ステップＳ１５０７に戻り、参照を行う。

【0237】

上記処理によって、分析履歴データ１２５のルール７０５に一致するテキスト２０４を含む観点情報データ１２０のエントリ（行番号２０３）の観点種別２０５に「分析履歴」が追加され、分析履歴データ１２５のＩＤ７０１が観点情報データ１２０の観点ＩＤ２０６に追加される。

【0238】

そして、分析履歴解析部１１４は、観点種別２０５が「分析履歴」の観点情報データ１２０のエントリ（行番号２０３）で観点ＩＤ２０６が一致する他のエントリを、優先度データ１２１に追加して、当該エントリの有効度を算出して優先度データ１２１の有効度３０８に設定する。

【0239】

以上のように、分析履歴の有効性に関する所定のルール７０５と一致するログのエントリは、観点情報データ１２０の観点種別２０５に「分析履歴」が追加され、さらに、観点ＩＤ２０６（以上の種別）が一致する他のエントリが存在する場合には、優先度データ１２１にログＩＤと行番号のペアが追加され、有効性で関連性を有するエントリの組が追加される。

【0240】

図１６は、実施例１の複数ログ分析支援装置１００が実行する可視化部１１６の一例を説明するフローチャートである。

【0241】

可視化部１１６は、図１０のステップＳ１００５で実行され、観点情報データ１２０のテキスト２０４を描画した画面を出力する（ステップＳ１６０１）。

【0242】

具体的には、可視化部１１６は、観点情報データ１２０のテキスト２０４をすべて可視化画面９００の詳細部９０３に描画する。

【0243】

次に、可視化部１１６は、優先度データ１２１の未処理のエントリを選択する（ステップＳ１６０２）。

【0244】

次に、可視化部１１６は、選択したエントリのログＩＤ３０１と行番号３０２、及びログＩＤ３０３と行番号３０４が参照する観点情報データ１２０のテキスト２０４に対し、可視化処理を施す（ステップＳ１６０３）。

【0245】

具体的には、可視化部１１６は、選択したエントリのログＩＤ３０１と行番号３０２、及びログＩＤ３０３と行番号３０４が参照する観点情報データ１２０のテキスト２０４に対し、当該テキストが描画された可視化画面９００の関連性表示部９０４に可視化処理をする。可視化処理に関しては、可視化手法データ１２６の観点種別８０２が「優先度」のエントリの処理方法８０４を参照し決定する。

【0246】

次に、可視化部１１６は、優先度データ１２１の全エントリの処理が完了したか否かを判定する（ステップＳ１６０４）。

【0247】

全エントリの処理が完了した場合、可視化部１１６は、ステップＳ１６０５に進む。全エントリの処理が完了しなかった場合、可視化部１１６は、ステップＳ１６０２に戻り、エントリの選択を行う。

【0248】

次に、可視化部１１６は、観点情報データ１２０の中の未処理のエントリを選択する（ステップＳ１６０５）。

【0249】

次に、可視化部１１６は、選択したエントリに含まれる観点種別２０５と観点ＩＤ２０６の組で未処理のレコードが存在しているかを判定する（ステップＳ１６０６）。

【0250】

未処理のレコードが存在した場合、可視化部１１６は、ステップＳ１６０７に進む。未処理のレコード存在しなかった場合、可視化部１１６は、ステップＳ１６０８に進む。

【0251】

未処理のレコード存在した場合、可視化部１１６は、当該レコードの観点種別２０５が示す各観点での可視化処理を行う（ステップＳ１６０７）。

【0252】

具体的には、可視化部１１６は、選択したレコードの観点種別２０５と観点ＩＤ２０６に対応する可視化処理を可視化画面９００の概要部９０１、情報部９０２、詳細部９０３に施し、描画する。可視化処理に関しては、選択したレコードの観点種別２０５と観点ＩＤ２０６に対応する可視化手法データ１２６の観点種別８０２と観点ＩＤ８０３を参照する。

【0253】

次に、可視化部１１６は、選択したエントリの全レコードを処理したか否かを判定する（ステップＳ１６０８）。

【0254】

すべて処理した場合、可視化部１１６は、ステップＳ１６０９に進む。すべての処理が完了していない場合、可視化部１１６は、ステップＳ１６０６に戻り、可視化処理を続ける。

【0255】

次に、可視化部１１６は、全エントリの処理が完了したか否かを判定する（ステップＳ１６０９）。

【0256】

全エントリの処理が完了した場合、可視化部１１６は、可視化処理を終了する。全エントリの処理が完了していない場合、可視化部１１６は、ステップＳ１６０５に戻り、エントリの選択を行う。

【0257】

上記処理によって、観点情報データ１２０と優先度データ１２１に基づいて可視化画面９００が描画されて分析者端末１０３へ送信される。分析者端末１０３の利用者は、ログの分析において複数種類のログにあるエントリを関連付けて、脅威の証拠を可視化画面９００で参照することが可能となる。

【0258】

本実施例の複数ログ分析支援装置１００は、エンドポイントに限らない複数種類のログを共通度や、脅威度や、異常度や、有効度を関連付けて、脅威の証拠に優先度を付与することで、脅威の証拠を可視化して提供することが可能となる。これにより、脅威の発生に限らず、脅威の予兆などの発見を支援することが可能となる。

【実施例2】

【0259】

実施例２の複数ログ分析支援装置１００は、分析者端末１０３を利用する分析者の操作を抽出し、分析履歴データ１２５を作成する例を示す。以下、実施例１との差異を中心に実施例２について説明する。

【0260】

複数ログ分析支援装置１００は、図１の実施例１の構成を含み、メインメモリ１０５上に分析履歴作成部１１７を有する。

【0261】

分析履歴作成部１１７は、実施例１の処理後に、分析者端末１０３あるいは入出力装置１１０上の可視化画面９００において、分析者の操作を抽出して分析履歴データ１２５の更新を実施する。分析履歴作成部１１７の処理については、図１７を用いて説明する。

【0262】

以下、実施例１と異なる処理のフローチャートについて述べる。

【0263】

図１７は、分析履歴データ１２５の作成を目的とし、実施例２の複数ログ分析支援装置１００が実行する分析履歴作成部１１７の一例を説明するフローチャートである。

【0264】

分析履歴作成部１１７は、分析者端末１０３あるいは入出力装置１１０上の可視化画面９００上で、分析者による操作が発生したか否かを判定する（ステップＳ１７０１）。

【0265】

操作が発生しなかった場合、分析履歴作成部１１７は、ステップＳ１７０１に戻り、待機を続ける。操作が発生した場合、分析履歴作成部１１７は、ステップＳ１７０２に進む。

【0266】

操作が発生した場合、分析履歴作成部１１７は、分析者の操作を抽出する（ステップＳ１７０２）。

【0267】

具体的には、可視化画面９００を参照した分析者の操作を取得し、分析履歴作成部１１７に送信する。なお、例えば、分析者の操作は、フィルタリング、メモ、クリック、及びドラッグである。

【0268】

次に、分析履歴作成部１１７は、受信した分析者の操作を分析履歴データ１２５に格納する（ステップＳ１７０３）。

【0269】

具体的には、分析履歴作成部１１７は、分析者が可視化画面９００で分析中のログに対応する分析履歴データ１２５のＩＤ７０１に対し、分析者が実施した操作を操作種別７０４として、操作対象をルール７０５として、初期値を有効度７０６として更新する。有効度７０６の初期値は、例えば、０．５などの定数値であるが、本発明はこの算出方法に限らない。また、操作が初めての場合には新たに分析履歴データ１２５のＩＤ７０１を生成する。

【0270】

次に、分析履歴作成部１１７は、分析者の分析がすべて完了したか否かを判定する（ステップＳ１７０４）。

【0271】

分析が完了した場合、分析履歴作成部１１７は、分析履歴作成処理を完了する。一方、分析が完了していない場合、ステップＳ１７０１に戻り、分析者の操作を待機する。

【0272】

以上のように実施例２によれば、分析履歴作成部１１７は、分析者の操作を抽出し、分析履歴データ１２５を作成する。これによって、分析履歴を更新する負担を軽減することができる。

【0273】

なお、複数ログ分析支援装置１００は、作成された分析履歴データ１２５に基づき、分析の報告書や共有用フォーマットへの自動変換を行ってもよい。

【実施例3】

【0274】

実施例３の複数ログ分析支援装置１００は、分析を行う分析者が分析の起点となるログを把握していない場合である。以下、実施例１との差異を中心に実施例３について説明する。

【0275】

複数ログ分析支援装置１００は、図１の実施例１の構成を含む。実施例１では、分析を実施する分析者が分析の起点となるログや関連するログを知っていたが、実施例３では、分析者は分析の起点を知らない。

【0276】

したがって、前記実施例１の図１０に示したステップＳ１００１において、分析者は分析対象となる、分析目的を持たずにログを指定する。なお、複数ログ分析支援装置１００は、分析の起点を知らない分析者が指定すべきログを推薦する機能を有してもよい。

【0277】

分析の起点を知らない場合、分析者は、可視化部１１６が可視化を施したログを用いて、新たな分析の起点を発見することができる。具体的には、可視化画面９００の概要部９０１や情報部９０２に提示された可視化情報を用いる。

【0278】

例えば、概要部９０１はログ全体の傾向を提供するため、同一セグメントのＩＰアドレスが色分けされた可視化処理を施していた場合、分析者は概要部９０１上で、同一セグメントの端末からの類似した通信発生を発見することができる。同一セグメントの端末からの類似した通信は、マルウェア感染の横展開を示唆しており、分析の起点となる。

【0279】

例えば、情報部９０２はログの各行の特徴を情報として提供するため、特定の攻撃者だと疑われる特徴を有するログに当該攻撃者の固有アイコンを付与する可視化処理を施していた場合、分析者は情報部９０２上で、ある攻撃者からの攻撃だと疑われる特徴が多数発生していることを発見できる。各特徴のひとつひとつは当該攻撃者からの攻撃と確信づけるには説得力が薄いが、分析者は特徴が多数あることに気づくことで、新たな分析の起点を発見することができる。

【0280】

以上のように、本実施例の複数ログ分析支援装置１００は、分析者が分析の起点となるログを把握していない場合であっても、複数種類のログにあるエントリを関連付けた可視化画面９００を提示することで、脅威の証拠を収集する作業を支援することが可能となる。

【0281】

＜結び＞
以上のように、上記各実施例の複数ログ分析支援装置１００は、以下のような構成とすることができる。

【0282】

（１）プロセッサ（ＣＰＵ１０７）とメモリ（メインメモリ１０５）を有して、複数の装置（分析対象環境１０２）から収集された複数種類のログ（１３５）の分析を支援する複数ログ分析支援装置（１００）であって、前記複数種類のログ（１３５）を読み込んで、前記ログ（１３５）のエントリ（行番号２０３）間の関連性を示す値を算出して、前記関連性を示す値に基づいて前記ログ（１３５）の各エントリ（２０３）を可視化する際の優先度（３０９）を算出する優先度算出部（１１５）と、前記優先度（３０９）に応じて前記エントリ（２０３）間の関連性を表示する可視化部（１１６）と、を有することを特徴とする複数ログ分析支援装置。

【0283】

上記構成により、観点情報データ１２０と優先度データ１２１に基づいて可視化画面９００が描画されて分析者端末１０３へ送信される。分析者端末１０３の利用者は、ログの分析において複数種類のログにあるエントリを関連付けて、脅威の証拠を可視化画面９００で参照することが可能となる。本実施例の複数ログ分析支援装置１００は、エンドポイントに限定されない複数種類のログを共通度や、脅威度や、異常度や、有効度を関連付けて、脅威の証拠に優先度を付与することで、脅威の証拠を可視化して提供することが可能となる。これにより、脅威の発生に限らず、脅威の予兆などの発見を支援することが可能となる。

【0284】

（２）上記（１）に記載の複数ログ分析支援装置（１００）であって、前記優先度算出部（１１５）は、前記ログ（１３５）のエントリ（２０３）間の関連性を示す値として脅威度（３０６）を算出する脅威度算出部（１１２）を有し、前記脅威度算出部（１１２）は、前記ログ（１３５）のエントリ（２０３）に現れる脅威の特徴に応じた脅威度（３０６）を算出することを特徴とする複数ログ分析支援装置。

【0285】

上記構成により、脅威に関する所定の条件５０５と一致するログのエントリは、観点情報データ１２０の観点種別２０５に「脅威特徴」が追加され、さらに、観点ＩＤ２０６（脅威の特徴）が一致する他のエントリが存在する場合には、優先度データ１２１にログＩＤと行番号のペアが追加され、脅威について関連性を有するエントリの組が追加される。これにより、脅威特徴で関連性を有するログのエントリの組を抽出することができる。

【0286】

（３）上記（１）に記載の複数ログ分析支援装置（１００）であって、前記優先度算出部（１１５）は、前記ログのエントリ（２０３）間の関連性を示す値として共通度（３０５）を算出する共通度算出部（１１１）を有し、前記共通度算出部（１１１）は、前記ログ（１３５）のエントリ（２０３）の共通性に応じた共通度（３０５）を算出することを特徴とする複数ログ分析支援装置。

【0287】

上記構成により、共通性に関する所定の条件４０５と一致するログのエントリは、観点情報データ１２０の観点種別２０５に「共通性」が追加され、さらに、観点ＩＤ２０６（共通性の種別）が一致する他のエントリが存在する場合には、優先度データ１２１にログＩＤと行番号のペアが追加され、共通性で関連性を有するエントリの組が追加される。これにより、共通性で関連性を有するログのエントリの組を抽出することができる。

【0288】

（４）上記（１）に記載の複数ログ分析支援装置（１００）であって、前記優先度算出部（１１５）は、前記ログ（１３５）のエントリ（２０３）間の関連性を示す値として異常度（３０７）を算出する異常度算出部（１１３）を有し、前記異常度算出部（１１３）は、前記ログ（１３５）のエントリ（２０３）の状態が予め設定された状態から乖離した異常性に応じた異常度（３０７）を算出することを特徴とする複数ログ分析支援装置。

【0289】

上記構成により、異常性に関する所定の条件６０５と一致するログのエントリは、観点情報データ１２０の観点種別２０５に「異常性」が追加され、さらに、観点ＩＤ２０６（以上の種別）が一致する他のエントリが存在する場合には、優先度データ１２１にログＩＤと行番号のペアが追加され、異常性で関連性を有するエントリの組が追加される。これにより、異常性で関連性を有するログのエントリの組を抽出することができる。

【0290】

（５）上記（１）に記載の複数ログ分析支援装置（１００）であって、前記優先度算出部（１１５）は、前記ログ（１３５）のエントリ（２０３）間の関連性を示す値として分析の有効度（３０８）を算出する分析履歴解析部（１１４）を有し、前記分析履歴解析部（１１４）は、前記ログ（１３５）のエントリ（２０３）の状態が過去の分析履歴に応じた有効度（３０８）を算出することを特徴とする複数ログ分析支援装置。

【0291】

上記構成により、分析履歴の有効性に関する所定のルール７０５と一致するログのエントリは、観点情報データ１２０の観点種別２０５に「分析履歴」が追加され、さらに、観点ＩＤ２０６（以上の種別）が一致する他のエントリが存在する場合には、優先度データ１２１にログＩＤと行番号のペアが追加され、有効性で関連性を有するエントリの組が追加される。これにより、分析の有効性で関連性を有するログのエントリの組を抽出することができる。

【0292】

（６）上記（５）に記載の複数ログ分析支援装置（１００）であって、前記ログ（１３５）の各エントリ（２０３）に対して実施された分析結果を収集して分析履歴情報（分析履歴データ１２５）を生成する分析履歴作成部（１１７）をさらに有することを特徴とする複数ログ分析支援装置。

【0293】

上記構成により、分析履歴作成部１１７は、分析者の分析操作を抽出し、分析履歴データ１２５を作成する。これによって、分析履歴を更新する負担を軽減することができる。

【0294】

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明をわかりやすく説明するために詳細に記載したものであり、必ずしも説明したすべての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組み合わせても適用可能である。

【0295】

また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

【0296】

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしもすべての制御線や情報線を示しているとは限らない。実際には殆どすべての構成が相互に接続されていると考えてもよい。

【符号の説明】

【0297】

１００ 複数ログ分析支援装置
１１１ 共通性算出部
１１２ 脅威度算出部
１１３ 異常度算出部
１１４ 分析履歴解析部
１１５ 優先度算出部
１１６ 可視化部
１１７ 分析履歴作成部
９００ 可視化画面

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】