JP2005094361A - ネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラム - Google Patents

Abstract

【課題】ＤｏＳ攻撃等のネットワーク異常の有無を簡易に判定すること。
【解決手段】ネットワーク異常検出装置１は、パケット数測定部２と、所定の演算を行う制御部３と、実測値、予測値および許容誤差範囲とを記憶する記憶部４と、判定結果を出力する出力部５とを有する。制御部３は、異常検出時と異なる時刻における実測値に基づいて予測値を導出する予測値導出部３ａと、予測値と異常検出時における実測値との間の誤差を導出する誤差導出部３ｂと、誤差が許容誤差範囲内か否かに基づいてネットワークの異常を判定する異常判定部３ｃと、異常判定部３ｃが判定基準として用いる許容誤差範囲を導出する許容誤差範囲導出部３ｄとを備える。そして、ネットワーク異常検出装置１は、予測値と実測値との間の誤差が許容誤差範囲に属するか否かに基づいてネットワークの異常の有無を検出する。
【選択図】 図１

Description

本発明は、ネットワークの異常を検出する技術に関するものであって、特にＤｏＳ攻撃等のネットワーク異常の有無を簡易に判定することが可能なネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラムに関するものである。

従来、パーソナルコンピュータ等の端末装置の普及に伴って、これら端末装置間を接続するネットワークが発展している。ネットワークの例としては、同一組織内の端末装置間を接続したイントラネットや、組織外との情報交換の利便性を求めて世界中に張り巡らされたインターネット等が知られている。かかるネットワークを用いて自己の端末装置から他の端末装置にアクセスすることが可能となり、自己の端末装置を用いて他の端末装置から必要な情報等を取り出せる等の利便性を有する。

一方で、インターネット等のネットワークの発達は、他者から自己の端末に対するアクセスが可能なことを意味する。このため、悪意を有する他者から不正なアクセスがなされた場合、自己の端末装置の破壊や、端末装置に記憶された情報が不当に引き出されること、さらには自己の端末のネットワークに対する接続の断絶等の弊害が生じることとなる。従って、かかる不正アクセスを防御する技術が必要となると共に、不正アクセス防御の前提として、ネットワークの異常を検出する技術の開発が要請されている。

図５は、従来のネットワーク異常検出装置の内部構成を示すブロック図である。従来のネットワーク異常検出装置において、パケットモニタ部８０７は、ネットワーク７０３上を流れるパケットを常にモニタし、パケットに含まれるデータを攻撃判定部８０６に転送する。攻撃判定部８０６は、転送されたデータと、攻撃パターンデータベース８０８に含まれる攻撃パターンとを照合し、そのパケットが攻撃を意図して送られたものかどうかを判断する。そして、対象パケットが攻撃を意図して送られたと判断された場合には、不正アクセスがなされたものとして、ネットワーク管理者への通知等、必要な処置を講ずることで不正アクセスに対する防御を行うことが可能である（例えば、特許文献１参照。）。

特開２００３−０６７２６９号公報（第３頁、第１４図）

しかしながら、従来のネットワーク異常検出装置を用いたネットワークの異常検出では様々な問題が存在する。例えば、攻撃パターンデータベース８０８に記憶されていない新種のパターンに従った攻撃がなされた場合には、攻撃判定部８０６でネットワークに異常が生じた旨の判定を行うことはできない。

かかる問題に対処するため、従来のネットワーク異常検出装置では、攻撃パターンデータベース８０８に記憶する情報を定期的にアップデートする等の対策が取られている。しかしながら、かかる場合でも、未知のパターンに対して対処することは困難であると共に、新種の攻撃がなされた場合にはアップデートする情報を新たに作成する必要が生じるなどの問題を有する。

また、パケットに含まれるデータを用いて不正アクセスの検出を行うためには、当然のことながらネットワーク中を通過するパケットに対して内部データを逐一調査する必要があることから、検出処理に時間を要すると共に、検出装置の負荷も増大する。従って、近年のネットワークの高速化を鑑みると、データ転送速度に対して処理が追いつかなくなる可能性もあり、妥当ではない。

さらに、不正アクセスの態様としては、ＤｏＳ攻撃のように短時間に大量のデータを送付することによってサーバをダウンさせるものも存在する。かかる攻撃の場合、送付される個々のパケットは通常のＳＹＮパケット等であることから、攻撃判定部８０６では個々のパケットについて攻撃を意図したものと判定することはできない。

この発明は、上記従来技術の問題点に鑑みてなされたものであって、ＤｏＳ攻撃等のネットワーク異常の有無を簡易に判定することが可能なネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラムを提供することを目的とする。

上記目的を達成するため、請求項１にかかるネットワーク異常検出装置は、測定対象ネットワークにおける所望時刻のパケット数の実測値を測定するパケット数測定手段と、測定対象ネットワークにおける異なる複数の時間に実測されたパケット数に基づいて、前記所望時刻におけるパケット数の予測値を導出するパケット予測値導出手段と、前記予測値と前記実測値との間の誤差を導出する誤差導出手段と、前記誤差と所定の許容誤差範囲とを比較して前記所望時刻におけるネットワーク異常の有無を判定する異常判定手段とを備えたことを特徴とする。

この請求項１の発明によれば、測定対象と同一のネットワークにおける他の時刻におけるパケット数の実測値に基づいて予測値を導出し、予測値と測定時における実測値との間の誤差の大きさからネットワーク異常の有無を検出することとしたため、測定対象の特性に適合した予測値を用いることが可能となり、測定対象の特性を加味した異常判定を行うことができる。

また、請求項２にかかるネットワーク異常検出装置は、上記の発明において、前記許容誤差範囲は、前記所望時刻と異なる時刻における実測値と、前記異なる時刻における予測値との間の誤差の分布に基づいて決定されることを特徴とする。

この請求項２の発明によれば、測定対象が異常か否かの判定に用いる許容誤差範囲は、測定対象と同一のネットワークにおける誤差分布に基づいて決定することとしたため、異常検出測定時において通常の誤差と大きく異なる誤差が導出された場合にネットワークが異常状態にあると判定することが可能である。

また、請求項３にかかるネットワーク異常検出装置は、上記の発明において、前記許容誤差範囲は、前記所望時刻と異なる複数の時刻における実測値と予測値との間の誤差分布から導出された平均値と、前記誤差分布から導出された標準偏差に２を乗算した値との差分値よりも大きく、前記平均値と前記標準偏差に２を乗算した値との和よりも小さくなる範囲であって、前記異常判定手段は、前記誤差が前記許容誤差範囲を逸脱した場合にネットワーク異常を有すると判定することを特徴とする。

また、請求項４にかかるネットワーク異常検出装置は、上記の発明において、前記予測値は、異なる複数の時間に実測されたパケット数の線形結合によって形成され、該線形結合における各項の係数は、最小自乗法によって導出されることを特徴とする。

また、請求項５にかかるネットワーク異常検出方法は、測定対象ネットワークにおける異なる複数の時刻に実測されたパケット数に基づいて、所望時刻のパケット数の予測値を導出するパケット予測値導出工程と、測定対象ネットワークにおける前記所望時刻のパケット数の実測値を測定するパケット数測定工程と、前記予測値と前記実測値との間の誤差を導出する誤差導出工程と、前記誤差と許容誤差範囲とを比較して前記所望時刻におけるネットワーク異常の有無を判定する異常判定工程とを含むことを特徴とする。

また、請求項６にかかるネットワーク異常検出方法は、上記の発明において、前記許容誤差範囲は、前記所望時刻と異なる複数の時刻における実測値と予測値との間の誤差分布から導出された平均値と、前記誤差分布から導出された標準偏差との差分値よりも大きく、前記平均値と前記標準偏差との和未満となる数値範囲であって、前記異常判定工程において、前記誤差が前記許容誤差範囲を逸脱した場合にネットワーク異常を有すると判定することを特徴とする。

また、請求項７にかかるネットワーク異常検出方法は、上記の発明において、前記予測値は、異なる複数の時間に実測されたパケット数の線形結合によって形成され、該線形結合における各項の係数は、最小自乗法によって導出されることを特徴とする。

また、請求項８にかかるネットワーク異常検出プログラムは、請求項５〜７のいずれか一つに記載の方法を計算機に実行させることを特徴とする。

本発明にかかるネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラムによれば、測定対象と同一のネットワークにおける他の時刻におけるパケット数の実測値に基づいて予測値を導出し、予測値と測定時における実測値との間の誤差の大きさからネットワーク異常の有無を検出する構成としたため、測定対象の特性に適合した予測値を用いることが可能となり、測定対象の特性を加味した異常判定を行うことができるという効果を奏する。

また、本発明にかかるネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラムによれば、測定対象が異常か否かの判定に用いる許容誤差範囲は、測定対象と同一のネットワークにおける誤差分布に基づいて決定する構成としたため、異常検出測定時において通常の誤差と大きく異なる誤差が導出された場合にネットワークが異常状態にあると判定できるという効果を奏する。

以下、図面を参照して、この発明の実施の形態であるネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラムについて説明する。なお、図面は模式的なものであり、現実のものとは異なることに留意する必要がある。

まず、この発明の実施の形態にかかるネットワーク異常検出装置について説明する。実施の形態にかかるネットワーク異常検出装置は、パケット数の実測値を不正アクセス検出の指標として用いており、過去のパケット数から導出される予測値と、測定時刻におけるパケット数の実測値との誤差に基づいて不正アクセスの有無を判定する構造を有する。

図１は、実施の形態にかかるネットワーク異常検出装置の構成を示すブロック図である。図１に示すように、実施の形態にかかるネットワーク異常検出装置１は、ネットワークＮ₁、Ｎ₂間に配置され、ネットワークＮ₁、Ｎ₂間の通信状態の異常の有無を判定する構成を有する。なお、ネットワークＮ₁、Ｎ₂の具体的態様はいかなるものであっても本実施の形態にかかるネットワーク異常検出装置１を適用可能であるが、好ましくはネットワークＮ₁が大規模なネットワークであって、ネットワークＮ₂は小規模なネットワーク、より好ましくは個々の端末であるとする。また、本実施の形態にかかるネットワーク異常検出装置は、任意の方向に通過するパケットに関して適用することが可能だが、以下では大規模なネットワークＮ₁から小規模なネットワークＮ₂に対して移動するパケット数に基づいてネットワークの異常を検出する構造とする。

具体的には、本実施の形態にかかるネットワーク異常検出装置１は、パケット数測定部２と、所定の演算を行う制御部３と、後述する実測値、予測値および許容誤差範囲とを記憶する記憶部４と、判定結果を出力する出力部５とを有する。制御部３は、異常検出時と異なる時刻における実測値に基づいて予測値を導出する予測値導出部３ａと、予測値と異常検出時における実測値との間の誤差を導出する誤差導出部３ｂと、誤差が許容誤差範囲内か否かに基づいてネットワークの異常を判定する異常判定部３ｃと、異常判定部３ｃが判定基準として用いる許容誤差範囲を導出する許容誤差範囲導出部３ｄとを備える。

パケット数測定部２は、異常検出対象であるネットワーク中を所定期間内に通過するパケット数を測定するためのものである。パケット数測定部は、単純にパケット数のみをカウントするものであって、シグネチャ等のパケット内のデータを読みとることはしない構造を有する。パケット数測定部２で測定されたパケット数は、記憶部４に出力されて将来の異常検出の際に予測値の導出に用いられると共に、誤差導出部３ｂに出力されて予測値との誤差の検出に使用される。

予測値導出部３ａは、異なる複数の時刻においてネットワークを通過したパケット数のデータに基づいて、検出時刻におけるパケット数の予測値を導出するためのものである。具体的には、最小自乗法等を用いて過去の複数の時刻における測定値を線形結合した値を予測値として導出し、誤差導出部３ｂに出力する構造を有する。

誤差導出部３ｂは、パケット数測定部２で測定されたパケットの実測値と、予測値導出部３ａで導出された予測値とを比較し、実測値と予測値との間の誤差を導出するためのものである。具体的には、実測値と予測値との間で差分演算を行う構造を有し、導出した誤差を異常判定部３ｃおよび記憶部４に出力し、出力された誤差は異常検出に用いられると共に将来の異常検出の際における許容誤差範囲の導出に用いられる。

異常判定部３ｃは、誤差導出部３ｂから出力された誤差に基づいて、検出時刻におけるネットワーク異常の有無を判定する。具体的には、あらかじめ定められた許容誤差範囲内に誤差導出部３ｂから出力された誤差が含まれるか否かを判定し、許容誤差範囲内に含まれる場合には正常、含まれない場合には異常と判定する。

出力部５は、異常判定部３ｃで判定された測定対象ネットワークの異常の有無を表示するためのものである。具体的には、出力部５はＣＲＴディスプレイまたは液晶ディスプレイ等のように判定結果を直接表示するものや、プリンタ等のように異なる媒体上に判定結果を表示する構造を有する。

次に、実施の形態にかかるネットワーク異常検出装置の動作について説明する。図２は、実施の形態にかかるネットワーク異常検出装置の動作について示すフローチャートであり、以下ではフローチャートに従って動作を概説した後、個々のステップについて詳細に説明を行う。

まず、記憶部４に記憶された、同一測定対象上を通過した過去のパケット数の実測値に基づいて、検出時刻にネットワークを通過すると推測されるパケット数の予測値を導出する（ステップＳ１０１）。

そして、パケット数測定部２によって、検出時刻に実際にネットワークを通過したパケット数を測定する（ステップＳ１０２）。本ステップにおいてはパケットの種類に関わらずネットワークを通過するパケット数を測定することとし、測定したパケット数の実測値に関するデータは、誤差導出部３ｂと、記憶部４とに送られる。

その後、誤差導出部３ｂにおいて、実際に測定されたパケット数（実測値）と予測値との間に生じる誤差を導出する（ステップＳ１０３）。具体的には、予測値と実測値との間で差分計算を行い、導出された差分値を異常判定部３ｃに出力する。

そして、異常判定部３ｃにおいて、ステップＳ１０３で導出された誤差が許容誤差範囲内か否かの判定を行う（ステップＳ１０４）。本ステップで許容誤差範囲内と判定された場合には、ネットワーク状態は正常であると判定され（ステップＳ１０５）、許容誤差範囲外と判定された場合には、ネットワーク状態は異常と判定される（ステップＳ１０６）。以上で、本実施の形態にかかる異常検出装置の動作は終了する。

以下、本実施の形態にかかるネットワーク異常検出装置の動作について、各ステップについて詳細に説明する。まず、ステップＳ１０１における予測値の導出について説明する。

本実施の形態では、測定時にネットワーク中を通過するパケット数は、ネットワークが正常状態を維持している限り過去の通過パケット数からの逸脱の程度は少ないものと推定している。一方で、同一ネットワークであっても通過するパケット数は時間変化に応じて徐々に変動するものであり、過去のパケット数をそのまま予測値として用いることは好ましくなく、あまりに時刻の離れた過去のパケット数を用いることも好ましくないという考えに基づいて予測値を導出することとしている。

従って、ステップＳ１０１では、記憶部４の中に多数記憶されたパケット数のデータの中から、測定時刻に近接した所定数のデータを抽出し、抽出したパケット数を線形結合させることによって予測値を導出している。具体的には以下の通りである。

まず、時刻ｔ_nにおけるパケット数の実測値をｘ_tnとし、時刻ｔ_nにおけるパケット数の予測値をｘ_tn’とすると、予測値ｘ_tn’は、

ｘ_tn’＝ａ_n-1ｘ_tn-1＋ａ_n-2ｘ_tn-2＋・・・＋ａ_n-kｘ_tn-k・・・（１）

と表されるものとする。ここで、ｘ_tn-k〜ｘ_tn-1はいずれも過去の実測値であることから記憶部４から出力することが可能であるが、係数ａ_n-1〜ａ_n-kの値をどのように導出するかが問題となる。本実施の形態では、例えば最小自乗法を用いることによって（１）式における係数の値を決定している。

すなわち、本実施の形態では、まず、異なる時刻ｔ_n-1〜ｔ_n-mにおいて（１）式に従って予測値ｘ_tn-1’〜ｘ_tn-m’を導出する。その後、ｘ_tn-1’〜ｘ_tn-m’と、実測値ｘ_tn-1〜ｘ_tn-mとの間で差分演算を行い、誤差ｅ_tn-1〜ｅ_tn-mを導出する。最後に、導出した誤差ｅ_tn-1〜ｅ_tn-mの自乗和が最も小さくなるよう係数ａ_n-1〜ａ_n-kが決定される。

次に、ステップＳ１０２について説明する。ステップＳ１０２では、測定時刻に検出対象たるネットワーク中を一定時間内に通過するパケット数を測定しており、具体的には、測定時間を例えば１０秒間とする。ステップＳ１０２で測定されたパケット数の実測値は、ステップＳ１０３における誤差導出に用いられるのみならず、次のネットワーク異常検出の際における予測値の導出に用いられる。従って、パケット数測定部２で測定された実測値は、誤差導出部３ｂと記憶部４に対して出力され、記憶部４では、測定時刻に対応づけられた形式で記憶される。

次に、ステップＳ１０３について説明する。ステップＳ１０３では、予測値と実測値との間で差分演算を行うことによって誤差を導出している。（１）式で示すように、ステップＳ１０１で導出した予測値は、同一ネットワークにおける過去の実測値の線形結合からなり、かつ実測値の係数は誤差の自乗和が最も小さくなるよう設定されていることから、検出対象たるネットワークが正常状態を維持している場合、実測値と予測値とは精度よく一致し、逸脱の程度は少ないものと予想される。換言すれば、実測値と予測値とが大きく異なる場合には何らかの異常がネットワークに発生していると推定されるため、本ステップでは、異常の有無の判定の前提として、実測値と予測値と間の誤差を導出することとしている。

次に、ステップＳ１０４について説明する。ステップＳ１０４では、ステップＳ１０３で導出された誤差が所定の許容誤差範囲内か否かを判定している。ステップＳ１０４の判断基準となる許容誤差範囲は、以下の通りに定められる。

予測値の導出の際に説明したように、（１）式を構成する係数は実測値と予測値との差分値たる誤差の自乗和が最も小さくなるよう定められている。このことは、過去に実測値が測定された時刻において、（１）式を用いて導出された予測値と、実際に測定された実測値とは必ずしも完全には一致していないことを意味する。従って、過去の時刻においてネットワークが正常状態であったとしても測定値と実測値との間にはある程度の誤差が生じており、かかる誤差は所定の規則性に従って分布しているものと考えられる。

図３は、ネットワークが通常状態を維持している間における、予測値と実測値の異同の一例について示すグラフである。図３において、破線は実測値の推移を示し、実線は（１）式に基づいて導出された予測値の推移を示している。図３に示すように、予測値と実測値とは完全には一致しないものの、時間変化についてほぼ同様の傾向を示しており、誤差の絶対値は低く抑えられている。

図４は、図３とは別の時間において実測値の測定と予測値の導出を複数の異なる時刻で行い、実測値と予測値との間の誤差の分布を示すグラフである。図４に示すように、誤差の分布は平均値である０の近傍に多くの値が存在し、平均値から離れるに従って分布数は急激に低下している。

そこで、ステップＳ１０４では、かかる分布状態を考慮して許容誤差範囲を定めている。すなわち、あらかじめ過去の実測値および予測値を導出して記憶部４に記憶しておき、かかる値に基づいて許容誤差範囲導出部３ｄによって誤差分布曲線を導出する。そして、許容誤差範囲導出部３ｄは、得られた誤差分布曲線から平均値および標準偏差を導出し、これらの値を用いて許容誤差範囲を導出している。具体的には、本実施の形態では、平均値と、標準偏差に２を乗算した値との差分値を下限とし、平均値と、標準偏差に２を乗算した値との和を上限とした許容誤差範囲を設定することとしている。そして、測定時における実測値と予測値との差分値がかかる許容誤差範囲内となる場合には、ネットワークは正常状態と判定され、許容誤差範囲から逸脱している場合には、ネットワークは異常状態であると判定される。

次に、本実施の形態にかかるネットワーク異常検出装置の利点について説明する。まず、実施の形態にかかるネットワーク異常検出装置では、ネットワーク中を通過するパケットに含まれる情報を分析することなくネットワーク異常の有無を判定している。従って、従来のネットワーク異常検出装置と比較して、異常判定に要する時間を短縮化することが可能となり、大容量の高速ネットワークのように正常状態で大量のパケットが通過するものに対しても異常検出が可能である。また、パケットに含まれる情報を分析することなしに異常検出を行っていることから、未知の攻撃パターンであっても対処することが可能である。

また、本実施の形態にかかるネットワーク異常検出装置は、許容誤差範囲を平均値と標準偏差に２を乗算した値との差分値以上、平均値と標準偏差に２を乗算した値との和以下としている。図４の例では、過去の時刻に関して得られた誤差の９８．０５％が許容誤差範囲内に収まり、正常状態として判定される。従って、本実施の形態にかかるネットワーク異常検出装置では、正常状態を異常状態として誤検出する可能性が低いという利点も有する。

さらに、本実施の形態にかかるネットワーク異常検出装置は、測定対象となるネットワークの特性に適合した異常検出が可能であるという利点を有する。すなわち、ネットワーク中を通過するパケット数はネットワークごとに相違するのが通常であり、同一ネットワークであっても時間の経過に応じて正常状態における通過パケット数は異なる値となる。本実施の形態にかかるネットワーク異常検出装置では、測定対象となるネットワークの過去のパケット数、しかもネットワーク異常検出を行う時刻に近接した時刻におけるパケット数に基づいて予測値を導出することから、検出対象となるネットワークの特性に応じた異常検出が可能である。

（変形例）
次に、本実施の形態にかかるネットワーク異常検出装置の変形例について説明する。変形例にかかるネットワーク異常検出装置は、実施の形態で説明したネットワーク状態の異常検出技術を応用して、異常状態の発生と異常状態の終了とを検知するものである。

本変形例では、定常的にパケット数の計測を行い、ステップＳ１０４、Ｓ１０５と同様にパケット数の実測値と予測値の差分値を導出し、導出した差分値の閾値との対比を繰り返すこととしている。そして、本変形例にかかるネットワーク異常検出装置は、実測値と予測値との差分値と、あらかじめ設定してある閾値との間の大小関係が変化した時刻を、異常状態の発生もしくは異常状態の終了の時刻として検出する。

すなわち、差分値が閾値よりも大きい値となった時点において、本変形例では何らかのネットワーク異常が生じたものと推測し、例えば、ＤｏＳ攻撃が開始されたものと判断する。そして、いったんネットワーク異常が生じたと判定された後、再び差分値が閾値よりも大きな値となった時点を検出し、検出された時刻をもってネットワークの異常が終了したものと判定している。

例えば、予測値導出部３ａが、ネットワーク異常に起因して急激に変化したパケット数についても過去のパケット数のデータとして取り込んで予測値を導出する構成の場合には、実際には異常状態が継続しているにもかかわらず、一度差分値が閾値よりも高い値になった後、予測値と実測値との差が再び閾値以下となる。

一方、かかる場合における予測値は、異常状態のパケット数を含んで形成されることから、ネットワークが正常状態に戻った時点における実測値とは著しく異なる値となる。すなわち、すでに生じている異常状態に基づいた予測値の導出がなされていることから、ネットワークが再び正常状態に戻った時点では、異常状態に基づいた予測値と、正常状態に戻った時点における実測値との差分値は再び閾値を超えることとなる。従って、本変形例では、差分値が一旦閾値を上回った時点をネットワーク異常発生の時刻とし、再度閾値を上回った時点をネットワーク異常終了の時刻として検出することとしている。

特に、ネットワーク異常によって検出対象を通過するパケット数が通常よりも急激に増加する場合には、ネットワーク異常が生じた時点は、予測値に比べて実測値が大きな値となる一方、ネットワーク異常が終了した時点では、異常状態を反映した予測値に対して、実測値は小さな値をとることとなる。従って、かかる場合には、実測値と予測値との差分値が閾値を上回り、かつ実測値が予測値よりも大きな値となっている時刻をネットワーク異常が発生した時刻と検出することが可能である。また、かかる場合には、差分値が閾値を上回り、かつ実測値が予測値よりも小さな値となっている時刻をネットワーク異常が終了した時刻として検出することが可能である。

ネットワークの異常状態の発生時刻および終了時刻の検出を行うことによって、例えば、ネットワークの異常状態がＤｏＳ攻撃によって生じた場合には、ＤｏＳ攻撃の開始時刻および終了時刻を検出することが可能である。なお、かかる検出を行うためには、図１に示す値とワーク異常検出装置１内に新たに時刻検出部を備えることとしても良いし、異常判定部３ｃに時刻検出機能を持たせることとしても良い。

なお、本変形例におけるネットワーク異常の検出方式は、実施の形態におけるものと若干異なるものである。かかる差違は、予測値導出部３ａが導出に用いる過去のパケット数の実測値の選択手法の相違に基づくものである。すなわち、実施の形態にかかるネットワーク異常検出装置は、予測値導出に用いる過去のパケット数の実測値として、検出時刻近傍で生じたネットワーク異常に関係した実測値を使用していない。従って、実施の形態にかかるネットワーク異常検出装置では、予測値はあくまでネットワークが正常状態を維持した場合に予想されるパケット数であると推定されることとなり、かかる予測値との差分値が閾値を超えた場合には、ネットワークは異常状態であると一律に判断することとしている。

一方で、変形例にかかるネットワーク異常検出装置は、異常状態における実測値も用いて予測値の導出を行うことから、一度異常が生じた後は、異常状態を反映した予測値と、異常状態において観測される実測値との差分値は閾値以下の値となることが考えられる。従って、変形例の場合には、差分値と閾値の大小関係、さらには、かかる大小関係が変化した時点における実測値と予測値との大小関係によってネットワーク異常の発生時刻および終了時刻を正確に検出することとしているのである。

以上、実施の形態によって本発明の説明を行ったが、本発明は上記の実施の形態に限定されることはなく、当業者であれば様々な実施例、変形例等に想到することが可能である。例えば、実施の形態では異常検出動作の際に必ず予測値を導出することとしたが、正常状態の場合の通過パケット数がある程度の範囲内に抑制されることが経験則上明らかなネットワークの場合には、一度導出した予測値を複数回の検出動作に使用しても良い。また、検出動作ごとに予測値を導出する場合であっても、係数については固定することとしても良い。かかる構成とした場合、実施の形態と比較して検出誤差が若干低下する可能性はあるものの、検出動作の際に必要となる計算量を低減できることからネットワーク異常検出装置の動作負担を低減し、迅速な異常検出動作が可能となる利点を有する。また、実施の形態では、許容誤差範囲として標準偏差に２を乗算した値を用いることとしているが、他の値を用いることも可能であり、観測対象のネットワークの特性等に応じて適宜変更することとしても良い。

また、実施の形態では、予測値の導出の際に用いる過去の実測値として、異常検出動作を行う時刻に近接する順に過去の実測値を選択することとしたが、かかる態様に限定されず、選択にあたって所定の条件を付すこととしても良い。例えば、検出対象のネットワークが、正常状態における通過パケット数が１日単位、１週間単位で大きく変動するといった特性を有する場合には、例えば検出時刻と同じ時刻、同じ曜日の実測値のみを用いて予測値を導出することとしても良い。また、予測値について（１）式の係数を導出する際に、最小自乗法以外の手法を用いることも可能であって、例えば、最尤法等を用いて係数を導出することとしても良い。

また、予測値を導出する際に用いる過去の実測値は、過去の異常検出動作において正常であると判断された時刻のもののみを用いることも有効である。ネットワークが異常状態の際における実測値を予測値の導出に用いると、予測値が好ましい値から変位する可能性が生じるためである。

さらに、実施の形態ではネットワーク異常検出装置をネットワーク途上に独立して配置した構成としたが、配置場所について限定して解釈する必要はない。例えば、エッジ・ルータ（Edge Router）や、コア・ルータ（Core Router）等のルータ内部に内蔵した構成としても良い。なお、ネットワーク異常検出装置は上記のように任意の場所に配置することが可能だが、エッジ・ルータ内またはエッジ・ルータと同様ネットワークの入り口近傍に配置することが好ましい。これは、ネットワークの中枢でネットワーク異常の検出を行う構成とすると、ＤｏＳ攻撃による通過パケット数の増加が、他の通常のパケット数の変動の中に埋もれてしまって異常検出が困難になることを防ぐためである。また、近年ネットワーク上の複数の端末を乗っ取って攻撃を行ういわゆる分散型ＤｏＳ攻撃が知られており、かかる攻撃の検出も要請されている。一方、分散型ＤｏＳ攻撃は複数の端末を用いることから、攻撃に使用されるパケットは、異なる経路を通過した後、最終的に攻撃対象の端末に到達するのが通常である。従って、パケット数の増減からネットワーク異常の検出を行う本発明においては、パケットが集中する攻撃対象の端末の近傍に配置することが好ましい。同様の観点から、実施の形態にかかるネットワーク異常検出装置を、各端末に備えた構造とすることも好ましい。

また、ネットワーク異常検出装置は、実施の形態で説明した機能を実現可能なハードウェア的な構造としても良いが、必要な機能をパーソナルコンピュータ等の計算機上で実行可能なプログラムによって実現する構成としても良い。一般的なパーソナルコンピュータはＣＰＵ等の演算機構を備え、ハードディスク等の記憶部を備えることから、必要な処理を記述したプログラムを用いることによってネットワーク異常検出装置を実現することが可能である。

実施の形態にかかるネットワーク異常検出装置の構造を示すブロック図である。 実施の形態にかかるネットワーク異常検出装置の動作を示すフローチャートである。 予測値と実測値の異同の一例を示すグラフである。 予測値と実測値との間の誤差の分布について示すグラフである。 従来技術にかかるネットワーク異常検出装置の構造を示すブロック図である。

符号の説明

１ ネットワーク異常検出装置
２ パケット数測定部
３ 制御部
３ａ 予測値導出部
３ｂ 誤差導出部
３ｃ 異常判定部
３ｄ 許容誤差範囲導出部
４ 記憶部
５ 出力部
７０３ ネットワーク
８０６ 攻撃判定部
８０７ パケットモニタ部
８０８ 攻撃パターンデータベース

Claims (8)

1. 測定対象ネットワークにおける所望時刻のパケット数の実測値を測定するパケット数測定手段と、
   測定対象ネットワークにおける異なる複数の時間に実測されたパケット数に基づいて、前記所望時刻におけるパケット数の予測値を導出するパケット予測値導出手段と、
   前記予測値と前記実測値との間の誤差を導出する誤差導出手段と、
   前記誤差と所定の許容誤差範囲とを比較して前記所望時刻におけるネットワーク異常の有無を判定する異常判定手段と、
   を備えたことを特徴とするネットワーク異常検出装置。
2. 前記許容誤差範囲は、前記所望時刻と異なる時刻における実測値と、前記異なる時刻における予測値との間の誤差の分布に基づいて決定されることを特徴とする請求項１に記載のネットワーク異常検出装置。
3. 前記許容誤差範囲は、前記所望時刻と異なる複数の時刻における実測値と予測値との間の誤差分布から導出された平均値と、前記誤差分布から導出された標準偏差に２を乗算した値との差分値よりも大きく、前記平均値と前記標準偏差に２を乗算した値との和よりも小さくなる範囲であって、前記異常判定手段は、前記誤差が前記許容誤差範囲を逸脱した場合にネットワーク異常を有すると判定することを特徴とする請求項１または２に記載のネットワーク異常検出装置。
4. 前記予測値は、異なる複数の時間に実測されたパケット数の線形結合によって形成され、該線形結合における各項の係数は、最小自乗法によって導出されることを特徴とする請求項１〜３のいずれか一つに記載のネットワーク異常検出装置。
5. 測定対象ネットワークにおける異なる複数の時刻に実測されたパケット数に基づいて、所望時刻のパケット数の予測値を導出するパケット予測値導出工程と、
   測定対象ネットワークにおける前記所望時刻のパケット数の実測値を測定するパケット数測定工程と、
   前記予測値と前記実測値との間の誤差を導出する誤差導出工程と、
   前記誤差と許容誤差範囲とを比較して前記所望時刻におけるネットワーク異常の有無を判定する異常判定工程と、
   を含むことを特徴とするネットワーク異常検出方法。
6. 前記許容誤差範囲は、前記所望時刻と異なる複数の時刻における実測値と予測値との間の誤差分布から導出された平均値と、前記誤差分布から導出された標準偏差との差分値よりも大きく、前記平均値と前記標準偏差との和未満となる数値範囲であって、前記異常判定工程において、前記誤差が前記許容誤差範囲を逸脱した場合にネットワーク異常を有すると判定することを特徴とする請求項５に記載のネットワーク異常検出方法。
7. 前記予測値は、異なる複数の時間に実測されたパケット数の線形結合によって形成され、該線形結合における各項の係数は、最小自乗法によって導出されることを特徴とする請求項５または６に記載のネットワーク異常検出方法。
8. 請求項５〜７のいずれか一つに記載の方法を計算機に実行させることを特徴とするネットワーク異常検出プログラム。

Images