警告イベントの傾向に基づくIDSのログ分析手法に関する考察

摘要

コンピュータネットワークの普及により，ネットワーク上で重要な情報のやり取りや管理が行われるようになった．しかし，システムの脆弱性を利用したコンピュータへの不正アクセスやワームなどによる被害は急増しており，セキュリティの確保が重要視されている．侵入検知システム（IDS）とは，ネットワークを流れるパケットやコンピュータの状態を検査することにより，侵入やその前兆を判定するシステムである．IDSは警告イベントを検知すると，警告を出したりログを出力したりする．しかし，警告イベントが検知されるたびに警告を出すと，管理者は大量の警告をすべて確認しなければならず，大きな負担となる．本論文では，警告イベントごとの過去の傾向から異常な検知数かどうかを判断できるような，IDSのログ分析手法を提案する．提案手法では，検知数の大小によらない尺度として変動係数を導入し，その増減率によって警告を出すかどうかを動的に決定する．提案手法は，管理者の主観的な評価に頼って各種パラメータを設定する必要がないので，管理者の負担を減らすことに寄与できる．%With the spread of computer network, important information have been exchanged and managed on a network. However, worm damage and unauthorized access using the system vulnerabilities has been increased. Intrusion detection system (IDS) is a system to inspect the invasion or the precursor by checking the status of a computer and a network. IDS warns a network manager to detect alert events and outputs the log. However, if the manager checked all detected events, it becomes a heavy workload. In this paper, we propose a log analysis method based on tendency of IDS alert events. We introduce a variation criteria that is independent from number of alert events, and determine the alert threshold automatically from the criteria.