[发明专利]日志分析装置、攻击检测装置、攻击检测方法以及程序

摘要

具有：存储部(12)，其用于保存简档，其中该简档是是否为对信息处理装置的攻击的判定基准；参数提取部(31)，其从访问请求中提取各参数；字符串类转换部(32)，其针对各参数将参数值的每个部分与预先定义的字符串类进行比较，且将该部分置换成一致的长度最长的字符串类，从而转换成按照置换的顺序排列的类序列；简档保存部(43)，其将针对作为学习数据而正常的数据的访问请求的上述类序列的集合中的出现频度是规定值以上的类序列作为简档保存于存储部(12)中；以及异常检测部(53)，其针对分析对象的访问请求按照上述类序列与简档之间的相似度判定是否有攻击。

主权项

1.一种日志分析装置，其从与网络连接的信息处理装置收集访问日志而进行分析，该日志分析装置具有：存储部，其用于保存简档，其中该简档是用于判定分析对象数据是否表示对所述信息处理装置的攻击的基准；参数提取部，其从所述访问日志的请求中提取各参数；类转换部，其针对由所述参数提取部提取的各参数，将参数值从开头字符起按照每个部分与预先定义的字符串类进行比较，且将该部分置换成与该字符串类一致的长度最长的字符串类，从而转换成依次排列有所置换的字符串类的类序列；简档保存部，其在针对作为学习数据的正常的数据的所述访问日志由所述参数提取部和所述类转换部求出的所述类序列的集合中，将出现频度是规定值以上的类序列作为所述简档保存于所述存储部中；以及异常检测部，其计算针对所述分析对象数据的所述访问日志由所述参数提取部和所述类转换部求出的所述类序列与所述简档之间的相似度，且按照该相似度判定是否发生了对所述信息处理装置的攻击。