特許 7614914 攻撃検知装置、攻撃検知支援システム、攻撃検知支援方法および攻撃検知支援プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-01-07

(45)【発行日】2025-01-16

(54)【発明の名称】攻撃検知装置、攻撃検知支援システム、攻撃検知支援方法および攻撃検知支援プログラム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20250108BHJP

   G06F 11/34 20060101ALI20250108BHJP

   G06F 16/38 20190101ALI20250108BHJP

【ＦＩ】

G06F21/55 320

G06F11/34 176

G06F16/38

【請求項の数】 9

(21)【出願番号】P 2021065328

(22)【出願日】2021-04-07

(65)【公開番号】P2022160859

(43)【公開日】2022-10-20

【審査請求日】2024-04-01

(73)【特許権者】

【識別番号】000006013

【氏名又は名称】三菱電機株式会社

(74)【代理人】

【識別番号】100118762

【弁理士】

【氏名又は名称】高村 順

(72)【発明者】

【氏名】矢野 博將

【審査官】中里 裕正

(56)【参考文献】

【文献】特開２０２０－１４０２５０（ＪＰ，Ａ）

【文献】特開２０１７－０８３９４７（ＪＰ，Ａ）

【文献】特開２００８－１２９６６２（ＪＰ，Ａ）

【文献】特開２００５－３２２１４０（ＪＰ，Ａ）

【文献】特開平２－２９７１９５（ＪＰ，Ａ）

【文献】国際公開第２０１７／２２１６６７（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５５

Ｇ０６Ｆ １１／３４

Ｇ０６Ｆ １６／３８

(57)【特許請求の範囲】

【請求項1】

監視対象装置から取得された監視対象のログである監視対象ログとの照合に用いられる無害リストを記憶するリスト記憶部と、
前記監視対象装置から取得された正常なログを単語に分割し、前記正常なログにおける前記単語の記載順に、前記単語を上位層から順に階層に割当て、前記単語と、当該単語より前記正常なログにおいて上位の階層のそれぞれに対応する前記単語を識別する情報である上位層情報とを対応づけて前記無害リストとして前記リスト記憶部に格納する登録処理を行う解析部と、
前記監視対象ログを単語に分割し、前記監視対象ログにおける前記単語である監視対象単語の記載順に、前記監視対象単語を上位層から順に階層に割当て、前記階層ごとに前記監視対象単語を前記無害リストと照合し、前記監視対象単語が前記無害リストに合致しない場合に攻撃の可能性があると判定する判定部と、
を備えることを特徴とする攻撃検知装置。

【請求項2】

前記判定部により攻撃の可能性があると判定された場合に、攻撃の可能性があることを示す情報と、攻撃の可能性があると判定された前記監視対象ログである要確認ログとを含む通知情報を生成する通知情報生成部と、
前記通知情報を表示装置に送信する通信部と、
を備えることを特徴とする請求項１に記載の攻撃検知装置。

【請求項3】

前記通信部は、前記表示装置へ前記通知情報を送信した後に、前記要確認ログが正常なログであることを示す情報を受信すると、受信した情報を前記解析部へ通知し、
前記解析部は、前記要確認ログを前記正常なログとして前記登録処理を行うことを特徴とする請求項２に記載の攻撃検知装置。

【請求項4】

前記無害リストに含まれる前記単語の少なくとも一部は正規表現により表されることを特徴とする請求項１から３のいずれか１つに記載の攻撃検知装置。

【請求項5】

監視対象装置から取得された監視対象のログである監視対象ログを用いて攻撃の可能性があるか否かを判定する攻撃検知装置と、
表示装置と、
を備え、
前記攻撃検知装置は、
前記監視対象ログとの照合に用いられる無害リストを記憶するリスト記憶部と、
前記監視対象装置から取得された正常なログを単語に分割し、前記正常なログにおける前記単語の記載順に、前記単語を上位層から順に階層に割当て、前記単語と、当該単語より前記正常なログにおいて上位の階層のそれぞれに対応する前記単語を識別する情報である上位層情報とを対応づけて前記無害リストとして前記リスト記憶部に格納する登録処理を行う解析部と、
前記監視対象ログを単語に分割し、前記監視対象ログにおける前記単語である監視対象単語の記載順に、前記監視対象単語を上位層から順に階層に割当て、前記階層ごとに前記監視対象単語を前記無害リストと照合し、前記監視対象単語が前記無害リストに合致しない場合に攻撃の可能性があると判定する判定部と、
前記判定部により攻撃の可能性があると判定された場合に、攻撃の可能性があることを示す情報と、攻撃の可能性があると判定された前記監視対象ログである要確認ログとを含む通知情報を生成する通知情報生成部と、
前記通知情報を前記表示装置に送信する通信部と、
を備え、
前記表示装置は、前記通知情報を表示することを特徴とする攻撃検知支援システム。

【請求項6】

前記監視対象装置から前記監視対象ログおよび前記正常なログを取得し、取得した前記監視対象ログおよび前記正常なログに、定められた処理を施して前記攻撃検知装置へ送信する中継装置を備えることを特徴とする請求項５に記載の攻撃検知支援システム。

【請求項7】

前記攻撃検知装置を２台備え、
２台の前記攻撃検知装置のうちの一方は、前記解析部による処理を行い前記判定部による処理を行わず、２台の前記攻撃検知装置のうちの他方は、前記判定部による処理を行い前記解析部による処理を行わないことを特徴とする請求項５または６に記載の攻撃検知支援システム。

【請求項8】

監視対象装置から取得された監視対象のログである監視対象ログを用いて攻撃の可能性があるか否かを判定する攻撃検知装置における攻撃検知支援方法であって、
前記監視対象装置から取得された正常なログを単語に分割し、前記正常なログにおける前記単語の記載順に、前記単語を上位層から順に階層に割当て、前記単語と、当該単語より前記正常なログにおいて上位の階層のそれぞれに対応する前記単語を識別する情報である上位層情報とを対応づけて無害リストとして記憶するステップと、
前記監視対象装置から取得されたログである監視対象ログを単語に分割し、前記監視対象ログにおける前記単語である監視対象単語の記載順に、前記監視対象単語を上位層から順に階層に割当て、前記階層ごとに前記監視対象単語を前記無害リストと照合し、前記監視対象単語が前記無害リストに合致しない場合に攻撃の可能性があると判定するステップと、
を含むことを特徴とする攻撃検知支援方法。

【請求項9】

監視対象装置から取得された監視対象のログである監視対象ログを用いて攻撃の可能性があるか否かを判定するコンピュータシステムに、
前記監視対象装置から取得された正常なログを単語に分割し、前記正常なログにおける前記単語の記載順に、前記単語を上位層から順に階層に割当て、前記単語と、当該単語より前記正常なログにおいて上位の階層のそれぞれに対応する前記単語を識別する情報である上位層情報とを対応づけて無害リストとして記憶するステップと、
前記監視対象装置から取得されたログである監視対象ログを単語に分割し、前記監視対象ログにおける前記単語である監視対象単語の記載順に、前記監視対象単語を上位層から順に階層に割当て、前記階層ごとに前記監視対象単語を前記無害リストと照合し、前記監視対象単語が前記無害リストに合致しない場合に攻撃の可能性があると判定するステップと、
を実行させることを特徴とする攻撃検知支援プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、攻撃検知装置、攻撃検知支援システム、攻撃検知支援方法および攻撃検知支援プログラムに関する。

【背景技術】

【0002】

各種プラント、設備などを制御する制御システム、または情報処理を行う情報処理システムなどにおいて、システム外部からの攻撃の有無を判断する方法として、当該システム内の機器上に保管されたログを収集して分析する方法がある。例えば、特許文献１には、正常なログから、正規表現としてあらかじめ定められた抽出条件に合致する部分を抽出し、抽出した部分を正規表現に変換することでホワイトリストを作成し、監視対象のログがホワイトリストと合致しないログを異常なログと判定する技術が開示されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１７－８３９４７号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、特許文献１に記載の技術では、あらかじめログのフォーマットが明確で正規表現にして複数のログをまとめても問題ないとわかっている部分以外は、正規表現で表現することを避けている。このため、ログの監視対象のシステムにおいて機器の交換が行われる、またはソフトウェアのアップデートが行われるなどによってフォーマットが変更される可能性がある場合には、フォーマットが明確でないため正規表現を適用できず、ログの全文をそのまま記録することになる。誤検出を避けるには、様々な正常なログをホワイトリストとして蓄積することが望ましく、ホワイトリストを記憶するためのメモリの使用量が多くなる。

【0005】

本開示は、上記に鑑みてなされたものであって、メモリの使用量を抑制しつつ攻撃の誤検出を低減することができる攻撃検知装置を得ることを目的とする。

【課題を解決するための手段】

【0006】

上述した課題を解決し、目的を達成するために、本開示にかかる攻撃検知装置は、監視対象装置から取得された監視対象のログである監視対象ログとの照合に用いられる無害リストを記憶するリスト記憶部と、監視対象装置から取得された正常なログを単語に分割し、正常なログにおける単語の記載順に、単語を上位層から順に階層に割当て、単語と、当該単語より正常なログにおいて上位の階層のそれぞれに対応する単語を識別する情報である上位層情報とを対応づけて無害リストとしてリスト記憶部に格納する登録処理を行う解析部、を備える。攻撃検知装置は、さらに、監視対象ログを単語に分割し、監視対象ログにおける単語である監視対象単語の記載順に、監視対象単語を上位層から順に階層に割当て、階層ごとに監視対象単語を無害リストと照合し、監視対象単語が無害リストに合致しない場合に攻撃の可能性があると判定する判定部と、を備える。

【発明の効果】

【0007】

本開示によれば、メモリの使用量を抑制しつつ攻撃の誤検出を低減することができるという効果を奏する。

【図面の簡単な説明】

【0008】

【図1】実施の形態１にかかる攻撃検知支援システムの構成例を示す図

【図2】実施の形態１の無害リストの生成手順の一例を示すフローチャート

【図3】実施の形態１の無害リストをツリー状に表現した図

【図4】実施の形態１のリスト記憶部に格納される無害リストの一例を示す図

【図5】実施の形態１の攻撃検知処理手順の一例を示すフローチャート

【図6】実施の形態１の表示装置に表示される画面の一例を示す図

【図7】新たに単語が登録された後の実施の形態１の無害リストをツリー状に表現した図

【図8】実施の形態１の攻撃検知装置を実現するコンピュータシステムの構成例を示す図

【図9】実施の形態２にかかる攻撃検知支援システムの構成例を示す図

【図10】実施の形態３にかかる攻撃検知支援システムの構成例を示す図

【発明を実施するための形態】

【0009】

以下に、実施の形態にかかる攻撃検知装置、攻撃検知支援システム、攻撃検知支援方法および攻撃検知支援プログラムを図面に基づいて詳細に説明する。

【0010】

実施の形態１．
図１は、実施の形態１にかかる攻撃検知支援システムの構成例を示す図である。本実施の形態の攻撃検知支援システム１は、攻撃の監視対象の装置である監視対象装置２から、監視対象装置２における動作、処理などの各種の履歴が記憶されたログを取得し、取得したログを用いて監視対象装置２への外部からの攻撃を検知する。なお、図１では監視対象装置２を１台図示しているが、監視対象装置２は複数であってもよい。

【0011】

監視対象装置２は、例えば一般的なコンピュータであってもよいし、ＦＡＰＣ(Factory Automation Personal Computer)であってもよいし、アクセススイッチなどの周辺機器であってもよいし、これらの混在であってもよく、ログを記録している装置であればよい。なお、ログはテキストとして記録されているとする。

【0012】

攻撃検知支援システム１は、監視対象装置２から取得したログを用いて攻撃の可能性の有無を検知する攻撃検知装置３と、攻撃検知装置による検知結果を表示する表示装置４とを備える。なお、攻撃検知装置３が表示部を備えることで、表示装置４と攻撃検知装置３とを一体化させてもよい。本実施の形態では、後述するように、攻撃検知装置３は、正常なログを単語に分割し、単語を階層化してツリー状の無害リストとして保持する。無害リストは、監視対象装置２から取得されたログである監視対象ログとの照合に用いられる。

【0013】

ログを用いて攻撃を検知する方法として、あらかじめ攻撃検知のルールを定めておく方法も考えられるが、この場合、ログの監視対象のシステムにおいて機器の交換が行われたり、ソフトウェアのアップデートが行われたりといった事象があると、その都度ルールの更新作業を行う必要があり運用の負荷が生じる。また、あらかじめルールを定めるには、事前にログのフォーマットなどの情報を把握しておく必要があり、事前に情報の収集が困難なシステムには適用できない場合がある。事前に情報を把握せずにログを用いて攻撃を検知する方法としては、収集したログを用いて機械学習することで攻撃を検知する方法もあるが、機械学習による推論では、正常なログであるのに正常でないと判定したり、正常でないログを正常と判定したりといった誤判定の可能性がある。このため、攻撃の検知の精度を高める方法としては、監視対象のログを、正常であることがわかっているログと照合することで正常であるか否かを判定する方法がある。しかしながら、正常なログの全文を多数無害リストとして保持するとメモリの使用量が増大する。本実施の形態では、単語を階層化してツリー状の無害リストとして保持し、管理対象のログをツリー状の無害リストと照合することで、正常なログを全文無害リストとして保持する場合に比べメモリの使用量を抑制しつつ誤検出を抑制することができる。

【0014】

監視対象装置２は、処理部２１、通信部２２およびログ記憶部２３を備える。処理部２１は、あらかじめ定められた処理、オペレータからの指示に応じた処理などを実施し、各種の履歴を日時とともにログとしてログ記憶部２３に格納する。通信部２２は、ログ記憶部２３に格納されているログを攻撃検知装置３へ送信する。通信部２２は、攻撃検知装置３からログの送信の要求があったときにログを送信してもよいし、あらかじめ定められた周期で定期的にログを送信してもよい。ログ記憶部２３は、ログを記憶する。

【0015】

攻撃検知装置３は、通信部３１、ログ記憶部３２、解析部３３、リスト記憶部３４、判定部３５および通知情報生成部３６を備える。通信部３１は、監視対象装置２および表示装置４とそれぞれ通信を行う。通信部３１は、例えば、監視対象装置２から、監視対象のログを受信し、受信したログをログ記憶部３２に格納し、正常なログとして受信したログを解析部３３へ渡す。正常なログについては後述する。

【0016】

解析部３３は、監視対象装置２から取得された正常なログを単語（ワード）に分割し、正常なログにおける単語の記載順に、単語を上位層から順に階層に割当て、単語と、当該単語より正常なログにおいて上位の階層のそれぞれに対応する単語を識別する情報である上位層情報とを対応づけて無害リストとしてリスト記憶部３４に格納する登録処理を行う。詳細には、解析部３３は、通信部３１から受け取った正常なログを単語に分割し、単語をログの記載順に階層化し、階層化した単語を上位の階層とのリンクを示す上位層情報とともに無害リストとしてリスト記憶部３４に格納する。本実施の形態では、無害リストは、正常なログ内の単語が階層化されてツリー状に関連付けられたものとなる。本実施の形態の無害リストの詳細は後述する。正常なログは、例えば、正常であることが判明している期間に取得されたログであり、例えばユーザーによりこの期間が指定されることで、通信部３１がこの期間のログを監視対象装置２から受信すると、解析部３３へ正常なログとして出力する。また、後述するように、表示装置４では、攻撃検知装置３によって攻撃の可能性のあるログを検知したことを示す情報を表示すると、ユーザーから当該ログが正常であるか否かの入力を受け付ける。通信部３１は、表示装置４から、正常であるとユーザーによって判断されたログを受信すると、当該ログも正常なログとして解析部３３へ出力する。

【0017】

判定部３５は、監視対象のログを単語に分割し、監視対象のログにおける単語である監視対象単語の記載順に、監視対象単語を上位層から順に階層に割当て、階層ごとに監視対象単語を無害リストと照合し、監視対象単語が無害リストに合致しない場合に攻撃の可能性があると判定する。詳細には、判定部３５は、ログ記憶部３２に記憶されている監視対象のログを読み出し、読み出したログを無害リストと照合することで、監視対象のログが無害であるか否かを判断し、監視対象のログが無害でないと判断した場合には攻撃の可能性があると判定して、攻撃の可能性があると判定されたログの内容とともに判定結果を通知情報生成部３６へ通知する。

【0018】

通知情報生成部３６は、判定部３５により攻撃の可能性があると判定された場合に、攻撃の可能性があることを示す情報と、攻撃の可能性があると判定された監視対象のログである要確認ログとを含む通知情報を生成する。詳細には、通知情報生成部３６は、判定部３５から攻撃の可能性があると判定された判定結果を受け取ると、攻撃の可能性があることを示す通知情報を生成する。通知情報生成部３６は、通知情報に、攻撃の可能性があると判定されたログの内容を含める。通知情報生成部３６は、通信部３１を介して通知情報を表示装置４へ送信する。

【0019】

ログ記憶部３２は、監視対象のログを記憶する。リスト記憶部３４は、無害リストを記憶する。

【0020】

表示装置４は、攻撃検知装置３から受信した通知情報を表示する。表示装置４は、制御部４１、通信部４２および表示部４３を備える。通信部４２は、攻撃検知装置３から通知情報を受信すると、制御部４１へ渡す。制御部４１は、通信部４２から受信した通知情報を用いて、表示部４３に表示するための表示情報を生成して表示部４３へ出力する。表示情報は、攻撃検知装置３から受信した通知情報の内容、すなわち、攻撃の可能性を検知した旨を示す情報と対応するログの内容とを含む。表示部４３は、表示情報を表示する。また、制御部４１は、図示を省略した入力手段、または表示部４３と一体化された入力手段が、ユーザーから、表示部４３に表示されたログが正常である旨の入力を受け付けると、表示部４３に表示されたログ、すなわち攻撃検知装置３から受信した通知情報に含まれるログを、正常なログと判定する。そして、制御部４１は、正常なログであることを示す情報とともに当該ログを、攻撃検知装置３へ送信する。表示部４３は、制御部４１から受け取った表示情報を表示する。

【0021】

表示装置４は、パーソナルコンピュータであってもよいし、タブレット、スマートフォンなどであってもよい。例えば、攻撃検知装置３がＷｅｂサーバとしての機能を有し、通知情報生成部３６が、ｈｔｍｌファイルなどのようにブラウザで閲覧可能な形式で通知情報を生成してもよい。

【0022】

次に、本実施の形態の動作について説明する。図２は、本実施の形態の無害リストの生成手順の一例を示すフローチャートである。図２に示すように、攻撃検知装置３は、無害リストの登録対象のログを受信する（ステップＳ１）。詳細には、通信部３１が、上述した正常なログを、無害リストの登録対象のログとして受信し、解析部３３へ渡す。

【0023】

次に、攻撃検知装置３は、無害リストの登録対象のログを、単語に分割する（ステップＳ２）。詳細には、解析部３３が、通信部３１から正常なログを、スペースなど定められた区切りを単位として単語に分割する。なお、単語の区切りはスペースに限定されず、カンマなどであってもよく、例えば、ユーザーによって設定される。

【0024】

次に、攻撃検知装置３は、上位階層と関連付けて単語を記録し（ステップＳ３）、処理を終了する。詳細には、解析部３３が、単語を、ログにおける記載順の順に階層に対応づける。例えば、最初に記載されている単語は第１階層であり、次に記載されている単語は第２階層といったように、単語の記載順に単語を階層に対応づける。そして、各階層の単語を上位の階層の単語と関連づけ、上位階層と関連づけた単語を無害リストとしてリスト記憶部３４に格納する。

【0025】

例えば、正常なログに“I amn’t hacker.”と記載されていたとする。このログは、“I”、“amn’t”、“hacker.”の３つの単語に分割され、“I”は第１階層の単語であり、“amn’t”は第２階層の単語であり、“hacker.”は第３階層の単語となる。そして、第２階層の“amn’t”は、上位の第１階層の“I”につながりがあり、第３階層の“hacker.”は、第１階層の“I”と第２階層の“amn’t”につながりがある。この場合、第２階層の“amn’t”は上位の第１階層の“I”と関連付けられ、第３階層の“hacker.”は、第１階層の“I”と第２階層の“amn’t”に関連付けられる。

【0026】

なお、すでに上位層の関連付けまで含めて同一の単語がすでに無害リストに含まれている場合には、解析部３３は、当該単語は無害リストに追加せず、上位層の関連付けまで含めて同一の単語が無害リストに無い場合に、無害リストに新たに単語を追加する。上位層の関連付けまで含めて同一の単語とは、例えば、第２階層の単語を例に挙げると、単に第２階層単独でみた場合に同一の単語であるというだけでなく当該第２階層に関連付けられている第１階層の単語も同じ単語である。すなわち、解析部３３は、上記の“I amn’t hacker.”を正常なログとして処理して無害リストに単語を登録した後に、“I amn’t attacker.”という正常なログを取得した場合、第１階層の“I”は既に登録されているため、無害リストに登録せず、第２階層の“amn’t”についても、上位層の“I”も同一の第２階層の“amn’t”が既に登録されているため、登録しない。

【0027】

図３は、本実施の形態の無害リストをツリー状に表現した図である。上述したように、ログ内の各単語を上位の階層と関連づけることで、解析部３３は、図３に示すようなツリー状の関係を求めることができる。図３に示した例では、第１階層の単語として“I”が示されており、この単語を、上位の階層との関連とともに識別する情報として、“I”の上部にワード１と記載されている。第１階層は上位の階層はないことから、“I”については第１階層内における識別番号である１だけが付与されている。

【0028】

第２階層の単語として、図３では、“amn’t”と“didn’t”の２つが示されており、これら２つの単語はいずれも上位の第１階層の“I”と関連付けられている。ここでは、第２階層における“amn’t”、“didn’t”の識別番号をそれぞれ１，２としており、“amn’t”の上部にはワード１－１と記載され、“didn’t”のの上部にはワード１－２と記載される。ワード１－１は、最後の数値１が第２階層における単語の識別番号を示し、ハイフンの前の１は、関連づけられている単語の第１階層における識別番号を示している。

【0029】

また、第３階層の単語として、図３では、“hacker＼.”、“attacker＼.”、“attack＼.”の３つが示されている。これらのうち“hacker＼.”、“attacker＼.”はいずれも、第１階層の“I”および第２階層の“amn’t”に関連付けられており、“attack＼.”は、第１階層の“I”および第２階層の“didn’t”に関連付けられている。なお、ピリオドが正規表現で任意の１文字の意味で用いられることから、ピリオドの前に“＼”をつけて、任意の１文字の意味ではなくピリオドの文字自体であることを表現している。図３に示した例では、第３階層における“hacker＼.”の識別番号を１としており、“hacker＼.”の上部には、上位階層との関連も含む情報としてワード１－１－１が記載されている。“attacker＼.”、“attack＼.”についても同様に、上位階層との関連も含む情報として、それぞれワード１－１－２、１－２－１が記載されている。

【0030】

図３に示すように、正常なログに“I amn’t hacker.”と “I amn’t attacker.”の２つが含まれる場合、本実施の形態では、共通する“I amn’t”の部分は、１回ずつ単語として登録されればよい。なお、図３に示した例では、簡易なモデルを示しているため、単語数が少ないが、一般的には階層数はより多数であり、また登録されるログの数も多いため、全文を正常なログとして保持するには多くのメモリを使用する。本実施の形態では、階層化してツリー状に無害リストを保持するため、正常なログを全文保持する場合に比べてメモリの使用量を抑制することができる。

【0031】

なお、図３では、関連性を示すために無害リストをツリー状に表示しているが、実際には、無害リストとして、上位階層との関連付けを示す情報とともに単語がリスト記憶部３４に格納される。図４は、本実施の形態のリスト記憶部３４に格納される無害リストの一例を示す図である。図４に示した例では、無害リストとして、階層ごとに、単語の識別番号と単語と上位階層リンクとが格納される。上位階層リンクは、関連づけられる上位階層の単語を識別する上位層情報である。図４に示した例では、上位階層が１層の場合には、当該上位階層における関連付けられている単語の識別番号が上位階層リンクの欄に格納される。また、上位階層が２層以上の場合には、ｊを３以上の整数とするとき、第ｊ階層の上位階層リンクは、第１階層、第２階層、・・・、第（ｊ－１）階層のそれぞれに関連づけられている単語の識別番号が、この順で、ハイフンで区切られて示される。なお、図４に示すように、関連付けられている上位層のリンクごとに、すなわち上位階層リンクが１－１の場合と１－２の場合とで分けてそれぞれ識別番号が付与される。なお、図４に示した無害リストは一例であり、同等の内容を記録することができればよく、具体的な識別番号の付与方法、形式などは図４に示した例に限定されない。

【0032】

また、図３および図４に示した例では、正常なログに含まれる単語自体を用いているが、無害リストに含まれる単語のうちの少なくとも一部は正規表現により表されてもよい。例えば、正常なログとして第１階層に、一文字の大文字のアルファベットの全てが登録された場合、これらのＡ－Ｚのそれぞれの単語の代わりに、１つの正規表現“[A-Z]”を用いてもよい。このように正規表現を用いることでさらに無害リストのサイズを低減することができる。なお、本実施の形態では、このように正規表現で表されたひとまとまりの部分も単語と呼ぶ。なお、１つの単語のうちの一部が正規表現で表されてもよい。

【0033】

次に、本実施の形態の監視対象のログを用いた攻撃検知について説明する。図５は、本実施の形態の攻撃検知処理手順の一例を示すフローチャートである。図５に示すように、攻撃検知装置３は、監視対象のログを取得する（ステップＳ１１）。詳細には、通信部３１が監視対象装置２から監視対象のログを受信し、受信したログをログ記憶部３２に格納する。

【0034】

次に、攻撃検知装置３は、監視対象のログを単語に分割する（ステップＳ１２）。詳細には、判定部３５が、ログ記憶部３２に格納されている監視対象のログを単語に分割する。単語に分割する方法は、ステップＳ２で述べた方法と同様である。

【0035】

次に、攻撃検知装置３は、処理対象の階層を示す変数であるｉを１に設定する（ステップＳ１３）。次に、攻撃検知装置３は、ログの第ｉ階層の単語が、無害リストの第ｉ階層の単語とリンク先も含めて一致するか否かを判定する（ステップＳ１４）。詳細には、まず、判定部３５が、ステップＳ１２で分割した単語を記載順に並べ、記載順に第１階層から順に階層を対応づける。そして、判定部３５は、ステップＳ１２で分割した単語のうち第１階層の単語が、リスト記憶部３４に記憶されている無害リストの第１階層の単語とリンク先も含めて一致するか否かを判定する。第１階層の場合には、上位階層がないため、リスト記憶部３４に記憶されている無害リストの第１階層の単語のうち、ステップＳ１２で分割した単語のうち第１階層の単語と一致するものがあるか否かを判定する。ｉが２以上の場合には、判定部３５は、リスト記憶部３４に記憶されている無害リストの第ｉ階層の単語のうち、監視対象のログの第ｉ階層の単語と一致し、かつ、監視対象のログにおける第ｉ階層より上位の階層の単語が上位階層リンクと合致しているものがあるか否かを判定する。

【0036】

例えば、図４に示した無害リストがリスト記憶部３４に格納されている場合に、監視対象のログとして“I amn’t attacker.”というログを取得した場合、判定部３５は、ｉ＝１の場合には、監視対象のログの第１階層の“I”が無害リストの第１階層の単語に含まれているため、ステップＳ１４でＹｅｓと判定する。また、ｉ＝２の場合には、監視対象のログの第２階層の“amn’t”が無害リストの第２階層の単語に含まれており、また、第２階層の“amn’t”の上位階層リンクに示されている１は第１階層の“I”に対応する識別番号でありリンク先も含めて一致するため、ステップＳ１４でＹｅｓと判定する。同様に、ｉ＝３の場合にも、“attacker.”は無害リストの第３階層の単語とリンク先も含めて一致するため、判定部３５は、ステップＳ１４でＹｅｓと判定する。

【0037】

一方、例えば、図４に示した無害リストがリスト記憶部３４に格納されている場合に、監視対象のログとして“I amn’t traitor.”というログを取得した場合、判定部３５は、ｉ＝１の場合と、ｉ＝２の場合とでは、ステップＳ１４でＹｅｓと判定するが、ｉ＝３の場合は、“traitor.”が無害リストの第３階層にないためステップＳ１４でＮｏと判定する。

【0038】

また、例えば、図４に示した無害リストがリスト記憶部３４に格納されている場合に、監視対象のログとして“I attacker amn’t.”というログを取得した場合、判定部３５は、ｉ＝１の場合では、ステップＳ１４でＹｅｓと判定するが、ｉ＝２の場合は、“attacker”が無害リストの第２階層にないためステップＳ１４でＮｏと判定する。このように、単語単体では、無害リストに含まれていても、階層が異なる場合にはステップＳ１４でＮｏと判定される。

【0039】

図５の説明に戻る。ステップＳ１４でＹｅｓと判定されると、攻撃検知装置３の判定部３５は、ｉがｉｍａｘに等しいか否かを判断する（ステップＳ１６）。ｉｍａｘは、ステップＳ１２において単語に分割した際に決定される監視対象のログの単語数である。ｉがｉｍａｘに等しい場合（ステップＳ１６ Ｙｅｓ）、攻撃検知装置３は処理を終了する。なお、ステップＳ１６でＹｅｓと判断される場合には、ログが全階層で無害リストに合致すると判定された場合であるため、攻撃検知装置３の判定部３５は監視対象のログが正常であると判定する。ここでは、攻撃検知装置３は監視対象のログが正常であると判定した場合にはなにも処理を行わない例を示しているが、監視対象のログが正常であると判定した場合にも判定結果を通知情報生成部３６へ通知してもよい。この場合、通知情報生成部３６は、監視対象のログが正常であることを示す通知情報を、通信部３１を介して表示装置４へ送信する。

【0040】

ｉがｉｍａｘに等しくない場合（ステップＳ１６ Ｎｏ）、攻撃検知装置３の判定部３５は、ｉ＝ｉ＋１とし（ステップＳ１７）、ステップＳ１４の処理を再度実施する。また、ステップＳ１４でＮｏと判定された場合（ステップＳ１４ Ｎｏ）、攻撃検知装置３は、攻撃の可能性があることを通知し（ステップＳ１５）、処理を終了する。詳細には、ステップＳ１５では、判定部３５は、攻撃の可能性があることを、対応するログとともに通知情報生成部３６へ通知し、通知情報生成部３６は、攻撃の可能性があること示す通知情報を生成して、通信部３１を介して表示装置４へ送信する。上述したように通知情報には、攻撃の可能性があると判定されたログの内容を含む。なお、通知情報生成部３６がｈｔｍｌファイルとして通知情報を生成する場合には、表示装置４から対応するＵＲＬ（Uniform Resource Locator）が指定された場合に、表示装置４へ通知情報を送信する。

【0041】

以上の処理により、攻撃検知装置３は、監視対象のログをツリー状の無害リストと照合することで、攻撃の可能性の有無を判定することができる。表示装置４は、通知情報を受信すると、表示部４３に表示する。これによりユーザーは攻撃の可能性のログがあったことを認識することができる。

【0042】

図６は、本実施の形態の表示装置４に表示される画面の一例を示す図である。表示装置４は、通知情報を受信すると、例えば、図６に示すように、攻撃の可能性のあるログを検出したことを示すメッセージと、対応するログと、対処方法の選択を促す情報とを表示する。図６に示した例では、攻撃の可能性のあるログを検出したことを示すメッセージとして「攻撃の可能性のあるログが検出されました」というメッセージが表示され、その下に対応するログの内容が表示されている。図６では、“Ｉ amn’t traitor.”というログが無害リストと合致しないと判定された例を示している。また、図６では、対処方法の選択肢として、「対処しない」、「無害リストに登録」、「警報」の３つの選択肢が示されており、これらは入力を受け付けるボタンとなっている。ユーザーは、これらの３つのボタンのうちのいずれかをクリックまたはタッチすることで、対処方法を選択することができる。なお、具体的に表示するメッセージなどの内容、配置、対処方法の入力の受付方法などは図６の例に限定されず、同等の内容が表示されればどのような形式で表示が行われてもよい。

【0043】

「対処しない」が選択された場合には、特に対処はされない。「警報」が選択された場合には、攻撃が検知された場合の処置を担当する担当者などに攻撃が検知されたことを示すメッセージが送信されるなどにより、警報が発せられる。「無害リストに登録」が選択された場合には、表示装置４の制御部４１は、対応するログを、当該ログが正常であることを示す情報とともに、通信部４２を介して攻撃検知装置３へ送信する。これにより、攻撃検知装置３は、図２に示した無害リストの登録処理を実施し、“Ｉ amn’t traitor.”に対応する無害リストを登録する。すなわち、攻撃検知装置３の通信部３１は、表示装置４へ要確認ログを含む通知情報を送信した後に、要確認ログが正常なログであることを示す情報を表示装置４から受信すると、受信した情報を解析部３３へ通知し、解析部３３は、要確認ログを正常なログとして登録処理を行う。

【0044】

図７は、新たに単語が登録された後の本実施の形態の無害リストをツリー状に表現した図である。図７は、無害リストが図３に示した状態であるときに、“Ｉ amn’t traitor.”のログが攻撃検知処理により攻撃の可能性があると判定され、表示装置４によってその旨が表示され、ユーザーが“Ｉ amn’t traitor.”を正常であると判断して、図６に例示した「無害リストに登録」を選択した例に相当する。その後、攻撃検知装置３が図２に示した処理を実施することで、図７の破線で示したように、第３階層に“traitor＼.”が追加される。

【0045】

なお、以上では、分割した単語の全てを照合する例を説明したが、例えば、日時などのように頻繁に変化する単語などのように照合の対象から除外したいものがあれば、除外する部分を設けてもよい。例えば、ログの先頭が日時である場合には、ログの記載順の先頭の単語は照合の対象から除外することとし、記載順が２番目の単語を第１階層として、上述した無害リストの登録処置と攻撃検知処理とを実施してもよい。また、何番目の単語を照合の除外とするかをユーザーが設定できるようにしてもよい。

【0046】

次に、各装置のハードウェア構成について説明する。本実施の形態の攻撃検知装置３は、コンピュータシステム上で、攻撃検知装置３における処理が記述されたプログラムが実行されることにより、コンピュータシステムが攻撃検知装置３として機能する。図８は、本実施の形態の攻撃検知装置３を実現するコンピュータシステムの構成例を示す図である。図８に示すように、このコンピュータシステムは、制御部１０１と入力部１０２と記憶部１０３と表示部１０４と通信部１０５と出力部１０６とを備え、これらはシステムバス１０７を介して接続されている。

【0047】

図８において、制御部１０１は、例えば、ＣＰＵ（Central Processing Unit）等のプロセッサであり、本実施の形態の攻撃検知装置３における処理が記述されたプログラムを実行する。入力部１０２は、たとえばキーボード、マウスなどで構成され、コンピュータシステムの使用者が、各種情報の入力を行うために使用する。記憶部１０３は、ＲＡＭ（Random Access Memory），ＲＯＭ（Read Only Memory）などの各種メモリおよびハードディスクなどのストレージデバイスを含み、上記制御部１０１が実行すべきプログラム、処理の過程で得られた必要なデータ、などを記憶する。また、記憶部１０３は、プログラムの一時的な記憶領域としても使用される。表示部１０４は、ディスプレイ、ＬＣＤ（液晶表示パネル）などで構成され、コンピュータシステムの使用者に対して各種画面を表示する。通信部１０５は、通信処理を実施する受信機および送信機である。出力部１０６は、プリンタなどである。なお、図８は、一例であり、コンピュータシステムの構成は図８の例に限定されない。

【0048】

ここで、本実施の形態のプログラムが実行可能な状態になるまでのコンピュータシステムの動作例について説明する。上述した構成をとるコンピュータシステムには、たとえば、図示しないＣＤ（Compact Disc）－ＲＯＭドライブまたはＤＶＤ（Digital Versatile Disc）－ＲＯＭドライブにセットされたＣＤ－ＲＯＭまたはＤＶＤ－ＲＯＭから、プログラムが記憶部１０３にインストールされる。そして、プログラムの実行時に、記憶部１０３から読み出されたプログラムが記憶部１０３の主記憶領域に格納される。この状態で、制御部１０１は、記憶部１０３の主記憶領域に格納されたプログラムに従って、本実施の形態の攻撃検知装置３としての処理を実行する。

【0049】

なお、上記の説明においては、ＣＤ－ＲＯＭまたはＤＶＤ－ＲＯＭを記録媒体として、攻撃検知装置３における処理を記述したプログラムを提供しているが、これに限らず、コンピュータシステムの構成、提供するプログラムの容量などに応じて、たとえば、通信部１０５を経由してインターネットなどの伝送媒体により提供されたプログラムを用いることとしてもよい。

【0050】

図１に示した攻撃検知装置３のうち、解析部３３、判定部３５および通知情報生成部３６は、図８に示した記憶部１０３に記憶されたプログラムが図８に示した制御部１０１により実行されることにより実現される。図１に示したログ記憶部３２およびリスト記憶部３４は、図８に示した記憶部１０３の一部である。図１に示した通信部３１は、図８に示した通信部１０５により実現される。なお、攻撃検知装置３は複数のコンピュータシステムにより実現されてもよい。また、攻撃検知装置３は、クラウドシステムにより実現されてもよい。

【0051】

攻撃検知装置３における処理が記述された攻撃検知支援プログラムは、例えば、コンピュータシステムに、監視対象装置２から取得された正常なログを単語に分割し、正常なログにおける単語の記載順に、単語を上位層から順に階層に割当て、単語と、当該単語より正常なログにおいて上位の階層のそれぞれに対応する単語を識別する情報である上位層情報とを対応づけて無害リストとして記憶するステップ、を実行させる。さらに、攻撃検知支援プログラムは、監視対象装置２から取得されたログである監視対象ログを単語に分割し、監視対象ログにおける単語である監視対象単語の記載順に、監視対象単語を上位層から順に階層に割当て、階層ごとに監視対象単語を無害リストと照合し、監視対象単語が無害リストに合致しない場合に攻撃の可能性があると判定するステップ、を実行させる。

【0052】

また、表示装置４についても、同様に、図８に例示したコンピュータシステムにより実現することができる。例えば、制御部４１は、図８に示した記憶部１０３に記憶されたプログラムが図８に示した制御部１０１により実行されることにより実現される。図１に示した表示部４３は、図８に示した表示部１０４により実現される。図１に示した通信部４２は、図８に示した通信部１０５により実現される。なお、上述したように、表示装置４は、タブレット、スマートフォンなどであってもよく、この場合もハードウェア構成は図８に示した例と同様である。

【0053】

以上のように、本実施の形態では、正常なログを単語に分割し、単語をログの記載順に階層化し、階層化した単語を上位の階層とのリンクを示す情報とともに無害リストとして保持し、監視対象のログを単語に分割して、無害リストと照合することにした。このため、メモリの使用量を抑制しつつ攻撃の誤検出を低減することができる。

【0054】

実施の形態２．
図９は、実施の形態２にかかる攻撃検知支援システムの構成例を示す図である。本実施の形態の攻撃検知支援システム１ａは、実施の形態１の攻撃検知支援システム１に中継装置５が追加されている。実施の形態１と同様の機能を有する構成要素は実施の形態１と同一の符号を付して重複する説明を省略する。以下、実施の形態１と異なる点を主に説明する。

【0055】

本実施の形態では、中継装置５が、監視対象装置２からログを受信し、受信したログに定められた処理を施し、処理後のログを攻撃検知装置３へ送信する。中継装置５が行う定められた処理は、例えば、監視対象装置２の時刻情報などに誤りがある場合に当該誤りを補正する処理、ログ内におけるホスト名などを別の名称に変更して監視対象装置２へ入力したい場合にホスト名などを変更する処理などである。これらの補正、変更などの処理を攻撃検知装置３が行うこともできるが、攻撃検知装置３はログの監視のために負荷が高くなっている。これらの補正、変更などの処理を中継装置５が行うことで、攻撃検知装置３の負荷を上げることなく、攻撃検知装置３へ入力するログを分析に適した形式に変換することができる。

【0056】

なお、上述したように監視対象装置２は複数であってもよく、複数の監視対象装置２が中継装置５へログを送信し、中継装置５がこれらの監視対象装置２から受信したログに処理を施して攻撃検知装置３へ送信してもよい。また、中継装置５を複数設け、各々の中継装置５が複数の監視対象装置２から受信したログに処理を施して攻撃検知装置３へ送信してもよい。

【0057】

図９に示すように、中継装置５は、通信部５１および変換部５２を備える。通信部５１は、監視対象装置２からログを受信し、受信したログを変換部５２へ出力する。変換部５２は、通信部５１から受け取ったログに時刻の補正、ホスト名など定められた項目の修正などの処理を行い処理後のログを、通信部５１を介して攻撃検知装置３へ送信する。以上述べた以外の本実施の形態の構成および動作は実施の形態１と同様である。

【0058】

本実施の形態の中継装置５も実施の形態１の攻撃検知装置３と同様にコンピュータシステムにより実現される。

【0059】

以上のように、本実施の形態では、中継装置５が、監視対象装置２からログを受信し、受信したログに処理を施し、処理後のログを攻撃検知装置３へ送信するようにした。これにより、攻撃検知装置３の負荷を上げることなく、攻撃検知装置３へ入力するログを分析に適した状態とすることができる。

【0060】

実施の形態３．
図１０は、実施の形態３にかかる攻撃検知支援システムの構成例を示す図である。実施の形態１の攻撃検知支援システム１は、攻撃検知装置３を１台備えたが、本実施の形態の攻撃検知支援システム１ｂは、攻撃検知装置３を２台備える。図１０に示した攻撃検知装置３－１，３－２は、それぞれが実施の形態１の攻撃検知装置３である。実施の形態１と同様の機能を有する構成要素は実施の形態１と同一の符号を付して重複する説明を省略する。以下、実施の形態１と異なる点を主に説明する。

【0061】

本実施の形態では、攻撃検知装置３を２台備えることで攻撃検知装置３を冗長化している。冗長化のために攻撃検知装置３が２台設けられる場合、通常は、いずれか一方が運用に用いられ、他方は例えばスリープ状態などで待機し、運用中の攻撃検知装置３になんらかの異常などが生じた場合に、自動的に他方の攻撃検知装置３が処理を実行するように切り替わる。図１０に示した例では、攻撃検知装置３－１，３－２はログおよび無害リストを同期している。例えば、攻撃検知装置３－１，３－２は、それぞれの通信部３１を介して通信を行うことで、一方の装置においてデータが更新された場合には他方の装置でもデータが更新される。

【0062】

本実施の形態では、上記のように冗長化のために、攻撃検知装置３が２台設けられている場合に、２台のうち一方は、解析部３３による処理を行い判定部３５による処理を行わず、他方は、判定部３５による処理を行い解析部３３による処理を行わない。例えば、運用中の攻撃検知装置３は、ログの収集、登録処理などを行い、他方の攻撃検知装置３は、判定部３５によるログの攻撃検知処理を実施する。このように、待機中の攻撃検知装置３も一部の処理を分担することで、攻撃検知装置３の処理負荷を軽減することができ、処理の遅延などを抑制することができる。なお、２台の攻撃検知装置３のそれぞれが担う処理は上述した分担に限定されず、２台で処理が分担されればよい。

【0063】

なお、攻撃検知装置３を３台以上備え、３台以上の攻撃検知装置３で処理を分担するようにしてもよい。また、本実施の形態においても、実施の形態２で述べた中継装置５が用いられてもよい。例えば、中継装置５も冗長化されていてもよい。

【0064】

以上の実施の形態に示した構成は、一例を示すものであり、別の公知の技術と組み合わせることも可能であるし、実施の形態同士を組み合わせることも可能であるし、要旨を逸脱しない範囲で、構成の一部を省略、変更することも可能である。

【符号の説明】

【0065】

１，１ａ，１ｂ 攻撃検知支援システム、２ 監視対象装置、３，３－１，３－２ 攻撃検知装置、４ 表示装置、５ 中継装置、２１ 処理部、２２，３１，４２，５１ 通信部、２３，３２ ログ記憶部、３３ 解析部、３４ リスト記憶部、３５ 判定部、３６ 通知情報生成部、４１ 制御部、４３ 表示部、５２ 変換部。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】