公開特許公報

【発明を実施するための形態】

【0015】

（Ａ）主たる実施形態
以下、本発明に係るフィルタ制御装置、フィルタ制御プログラム及びフィルタ制御方法の主たる実施形態を、図面を参照しながら詳述する。

【0016】

（Ａ−１）実施形態の構成
図１は、実施形態に係るフィルタ制御装置の機能的構成を示すブロック図である。また、図２は、実施形態に係るフィルタリングシステムの構成を示すブロック図である。図２で示すフィルタリングシステム１は、図１で示すフィルタ制御装置が１又は複数備わることにより形成される。フィルタリングシステム１は、種々様々な装置に搭載することができるが、例えば、社内ネットワークと社外ネットワークの境界に設置される装置（ファイアウォール）、プロキシサーバ等に搭載しても良いし、また社内ネットワーク上のログを一元管理する装置に搭載しても良い。

【0017】

図１において、フィルタ制御装置１０は、フィルタ管理制御部１１及び複数のフィルタ処理部１２（１２−１〜１２−ｎ）を有する。実施施形態に係るフィルタ制御装置は、図１に示す各構成部を搭載した専用のＩＣチップ等のハードウェアとして構成しても良いし、又は、ＣＰＵと、ＣＰＵが実行するプログラムを中心としてソフトウェア的に構成して良いが、機能的には、図１で表すことができる。

【0018】

フィルタ処理部１２は、フィルタ管理制御部１１から与えられたログ情報を規定のルールに従ってフィルタ処理（フィルタリング）し、フィルタ処理した結果（フィルタリング後のログ情報）を、フィルタ管理制御部１１に出力するものである。フィルタ処理部１２は、種々様々なフィルタ処理を適用することができるが、例えば、悪性でないとみなせるドメインへのアクセスログをフィルタする処理であったり、社外との通信ログで通信が成立していないものをフィルタする処理であったり、前日と比べてアクセス数が同等のドメインをフィルタリングする処理であったり等のフィルタ処理を適用しても良い。図１では、特徴の異なるフィルタ処理の数に応じて、フィルタ処理部１２（１２−１〜１２−ｎ）が形成される例が示されている。

【0019】

フィルタ管理制御部１１は、入力されたログ（ログ情報）に適用し得る１以上のフィルタを管理するものであり、取得したログの傾向を加味して、フィルタの適用の有無、及び適用順を制御するものである。

【0020】

ログの傾向とは、ログの「取得場所」や「取得時間」に依存して得られる傾向である。例えば、社内から社外へのアクセスログ（例えば、社内のプロキシサーバで取得）に関して、グローバルＩＰアドレスや名前解決可能なドメイン名が宛先となるログが多数で、それ以外（例えば、社内ローカルアドレス宛や名前解決不可能なドメイン名）は存在しても検出対象ではない可能性が高いという傾向である。また例えば、企業のドメインアクセス傾向であり、当該企業で取得されるログに関して、平日の通常業務時間中は情報調査のために検索サイトへのアクセスが多く、通常業務時間外はニュースサイトへのアクセスが多いという傾向である。また例えば、ある部署（送信元ＩＰアドレスで識別可能とする）では、休日明けにアップデート関係のアクセスが多数発生するという傾向である。これらログの傾向は、例えば、有限個のパラメータで定義できる。例えば、各パラメータは、社外ログか社内ログかのフラグや、勤務時間内か勤務時間外かのフラグ等である。

【0021】

ログの傾向の取得方法としては、事前に設定されても良いし、外部から適時与えられても良い。また、実際に任意数のログを教師データとして傾向をフィルタ管理制御部１１が作成しても良い。

【0022】

フィルタ管理制御部１１は、当該フィルタ管理制御部１１で管理する１以上のフィルタ（フィルタ処理部１２）に対して、ログの傾向（有限個のパラメータ）が定義された場合に、適用の有無や、適用順のパターンを予め定義しておく。この定義は、例えば、フィルタ管理制御部１１が管理するフィルタ（フィルタ処理部１２）を追加するときに、事前に実施される。

【0023】

フィルタ管理制御部１１は、ログの傾向を加味して、フィルタ処理部１２の適用やその適用順を制御する。例えば、社内から社外へのアクセスログにおいて、社内ローカルアドレス宛や名前解決不可能なドメイン名を取り除くフィルタは、削減効果が低いと考えられるため、フィルタ適用順としては後に設定する。また例えば、悪性でないとみなせるドメインへのアクセスログを取り除くフィルタは、平日の通常業務時間中のログに関しては、ニュースサイトのフィルタよりも検察サイトのフィルタを前に設定し、通常業務時間外のログに関しては、その逆に設定する。また例えば、前日と比べてアクセス数が同等のサイトを取り除くフィルタは、休日明けのログに適用してもフィルタ効果が期待できないため、休日明けのログには適用しないといった制御を行う。

【0024】

図３は、実施形態に係るフィルタ適用管理テーブルの一例を示す図である。

【0025】

図３では、フィルタとしてＡ、Ｂ、Ｃの３種類が存在し、各フィルタが、業務時間内／業務時間外／深夜早朝の時間帯において、社内ログ、／社外ログ、又は事務職系職場ログ／技術職系職場ログに対してどれくらいの削減効果が存在するかを段階毎に示している。削減効果は、例えば、「０」〜「５」の６段階で示し、数値が大きいほど削減効果が高いことを示し、数値が小さいほど削減効果が低いことを示す。また、数値の「０」は、フィルグ適用効果が低く、フィルタを適用する必要がないことを示している。ここで、Ａ〜Ｃの種類のフィルタは、例えば、フィルタ処理部１２−１〜１２−３のフィルタが該当する。

【0026】

フィルタ管理制御部１１は、入力されたログに対して、図３に示すようなフィルタ適用管理テーブル３０を参照し、各フィルタの適用有無や適用順を決定する。例えば、フィルタ管理制御部１１は、業務時間内における社内向けのログに対しては、Ａ〜Ｃの全てのフィルタを適用し、最も数値が高い値（５）であるＡのフィルタ、次に数値が高い値(３)であるＢのフィルタ、数値が最も低い値（１）であるＣのフィルタの順に適用するフィルタの順番を決定する。また例えば、フィルタ管理制御部１１は、深夜早朝の時間帯における技術職系職場ログに対しては、Ｂ、Ｃの２種類のフィルタを適用し、数値の値に従い、Ｃのフィルタ、Ｂのフィルタの順に適用するフィルタの順番を決定する。

【0027】

また、フィルタ管理制御部１１は、他のフィルタ制御装置１０に対してログおよび当該ログの傾向を与え、他のフィルタ制御装置１０より、フィルタ後のログを取得するようにしても良い。フィルタ制御装置１０が他のフィルタ制御装置１０と連係してログをフィルタリングする例については、動作の項で詳述する。

【0028】

（Ａ−２）実施形態の動作
次に、以上のような構成を有する実施形態に係るフィルタリングシステム１の動作を、図面を参照しながら説明する。

【0029】

図４は、実施形態に係るフィルタリングシステムの構成例（その２）を示すブロック図である。図４において、フィルタリングシステム１は、２つのフィルタ制御装置１０−１及びフィルタ制御装置１０−２を備える。以下では、２つのフィルタ制御装置１０−１及びフィルタ制御装置１０−１が連係して外部から与えられたログ情報（ログ）をフィルタリングする動作例を示す。

【0030】

図４において、フィルタリングシステム１の処理は、大別すると、ログ情報を取得し、ログの傾向を把握するステップＳ１０１の処理と、フィルタの適用有無及び適用順を制御するステップＳ１０２の処理と、適用するフィルタにおいて、フィルタリングを行うステップＳ１０３〜Ｓ１０５の処理と、フィルタリングしたログを出力するＳステップ１０６の処理に大別できる。以下では各処理の詳細について述べる。

【0031】

［Ｓ１０１］ログ情報の取得とログの傾向把握
フィルタ制御装置１０−１のフィルタ管理制御部１１−１は、任意期間のログ情報を取得する。例えば、フィルタ管理制御部１１は、取得した通信ログからランダムサンプリングし、一般的な統計手法により、休日明けの平日の通常勤務時間に取得された社外への通信ログであるというログの傾向を得る。なお、このログの傾向の把握は、外部の装置が行い、フィルタ管理制御部１１−１は、その結果を受け取る構成でも良い。

【0032】

［Ｓ１０２］フィルタの適用有無と適用順の制御
フィルタ管理制御部１１−１は、例えば、休日明けの平日の通常勤務時間（業務時間）に取得された社外への通信ログであるという傾向を有するログに対して、フィルタ適用管理テーブル３０−１を参照して、フィルタの適用有無及び適用順を制御する。なお、図４の例では、フィルタ管理制御部１１−１が管理するフィルタは、フィルタ制御装置１０−１のフィルタ処理部１２（１２−１〜１２−３）に搭載されるフィルタＡ〜Ｃと、フィルタ制御装置１０−２のフィルタ処理部１２（１２−４、１２−５）に搭載されるフィルタＤ（Ｄ１、Ｄ２）である。

【0033】

フィルタＡは、ニュース系サイトのドメインへのアクセスログをフィルタリングするものである。また、フィルタＢは、検索系サイトのドメインへのアクセスログをフィルタリングするものである。さらに、フィルタＣは、前日と比べてアクセス数が同等のドメインをフィルタリングするものである。そして、フィルタＤは、社外とのアクセスログ以外をフィルタリングするものである。

【0034】

「休日明けの平日の通常勤務時間に取得された社外への通信ログである」というログの傾向は、図５のフィルタ適用管理テーブル３０−１では、業務時間内（休日明け）及び社外向けの項目が交差するセルが対応するものである。つまり、対応するフィルタＡのセルは「３」であり、フィルタＢのセルは「４」であり、フィルタＣのセルは「０」であり、フィルタＤのセルは「１」である。

【0035】

従って、フィルタ管理制御部１１−１は、取得したログに対して、Ａ、Ｂ、Ｄのフィルタを、Ｂ→Ａ→Ｄの順に適用することを決定する。なお、フィルタＣに関しては、休日明けのログでは、その性質上フィルタ効果を期待できないため、フィルタの適用自体を行わない。

【0036】

［Ｓ１０３］フィルタ処理部（フィルタＢ）の適用
フィルタ管理制御部１１−１は、ログをフィルタ処理部１２−２（フィルタＢ）に与える。フィルタ処理部１２−２（フィルタＢ）は、与えられたログに対して、フィルタリングを行い、フィルタリングしたログをフィルタ管理制御部１１−１に返信する。

【0037】

［Ｓ１０４］フィルタ処理部（フィルタＡ）の適用
フィルタ管理制御部１１−１は、ステップＳ１０３でフィルタリングしたログを、フィルタ処理部１２−１（フィルタＡ）に与える。フィルタ処理部１２−１（フィルタＡ）は、与えられたログに対して、フィルタリングを行い、フィルタリングしたログをフィルタ管理制御部１１−１に返信する。

【0038】

［Ｓ１０５］フィルタ処理部（フィルタＤ）の適用
フィルタ管理制御部１１−１は、ステップＳ１０４でフィルタリングしたログ及びログの傾向（休日明けの平日の通常勤務時間に取得された社外への通信ログであるという傾向）を、フィルタ制御装置１０−２のフィルタ管理制御部１１−２に与える。

【0039】

フィルタ管理制御部１１−２では、フィルタ処理部１２−４（フィルタＤ１）及びフィルタ処理部１２−５（フィルタＤ２）を管理している。フィルタＤ１は、宛先が社内ローカルアドレスをフィルタリングするものである。また、フィルタＢは、名前解決不可能なドメインをフィルタリングするものである。

【0040】

フィルタ管理制御部１１−２は、例えば、ログの傾向から自身が保持するフィルタ適用管理テーブル３０−２（図６）を参照しても、各セルの値が全て同じ値（１）のため、フィルタの適用順が処理効率にあまり影響しないと判断する。この場合、フィルタ管理制御部１１−２は、順にフィルタの適用を実施する。

【0041】

つまり、フィルタ管理制御部１１−１は、フィルタ処理部１２−４（フィルタＤ１）、フィルタ処理部１２−５（フィルタＤ１）の順に、与えられたログに対してフィルタリングを行わせる。

【0042】

そして、フィルタ管理制御部１１−２は、フィルタリングしたログをフィルタ制御装置１０−１のフィルタ管理制御部１１−１に返信する。

【0043】

［Ｓ１０６］フィルタリング結果の出力
フィルタ管理制御部１１−１は、種々のフィルタでフィルタリングした結果（ログ）を要求元に出力する。

【0044】

（Ａ−２）実施形態の効果
上記実施形態によれば、フィルタ制御装置１０（フィルタ管理制御部１１）は、ログの取得場所や取得時間を加味してフィルタ適用順やフィルタの適用有無を制御する。例えば、複数のフィルタ（フィルタ処理部１２）を順番に適用する多段構成のフィルタリングシステムにおいて、ログの取得場所や取得時間に応じてフィルタの適用順を制御できるため、削減効果が低いフィルタが含まれる場合でも、フィルタリング処理効率を向上させることができる（削減効果が低いフィルタは後回しにできる）。

【0045】

また、ログの取得場所や取得時間に応じてフィルタの効果が期待できない場合には、フィルタ管理制御部１１は、フィルタの適用自体を無効に制御することで、無駄なフィルタ処理を省くことができ、フィルタリング処理効率を向上させることができる。

【0046】

（Ｂ）他の実施形態
本発明は、上記実施形態に限定されるものではなく、以下に例示するような変形実施形態も挙げることができる。

【0047】

（Ｂ−１）上記実施形態では、フィルタ制御装置１０がフィルタ処理部１２とフィルタ管理制御部１１とで構成される例を示したが、この構成に限定されるものではない。フィルタ制御装置１０はフィルタ管理制御部１１だけを備え、フィルタ処理部１２は他の装置が備える構成としても良い。

【0048】

（Ｂ−２）上記実施形態の図４の動作例では、フィルタ制御装置１０−１が取得したログに対するフィルタリング結果を応答する例を示したが、この動作に限定されるものではない。例えば、図７に示すフィルタリングシステム１のように、フィルタ制御装置１０−３がログの傾向のみをフィルタ制御装置１０−４と、フィルタ制御装置１０−５にそれぞれ与え、フィルタ制御装置１０−４及びフィルタ制御装置１０−５がそれぞれ並列にログ情報のフィルタリング結果を返信する構成としても良い。