JP2005203992A - ネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラム - Google Patents

Abstract

【課題】ネットワークの異常検出を簡易な手段で、定量的に行うこと。
【解決手段】ネットワークの回線状態の異常を検出するネットワーク異常検出装置であって、特徴量抽出手段１３は、ネットワークに流れるパケット情報から所定の特徴量を抽出し、通常状態定義手段１４は、抽出された特徴量に基づいてネットワークの異常検出の基準となるネットワーク通常状態を定義し、逸脱度判定手段１５は、ネットワーク通常状態からの逸脱度を判定する。特に、通常状態定義手段１４に備えられた多項分布生成部１４₁〜１４_pは、所定の特徴量のヒストグラムを多項分布として構築する。
【選択図】 図１

Description

この発明は、ネットワーク回線の異常検出に関するものであり、特に簡易な構成で未知の異常をも検出可能なネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラムに関するものである。

今や世界的規模にまで拡大したインターネットは、人類の社会的、経済的な基盤となり、その重要性は増すばかりである。重要性の増加に伴って、益々頻発する被害拡大が見られるのが、以前からも問題となっているネットワークに対する不正アクセスである。

ネットワーク管理者は、管理下のネットワークを常に安全かつ正常な状態に保つことが要求される。そこで広く用いられているのがファイアウォール（Ｆｉｒｅ Ｗａｌｌ）や侵入検知装置（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ ＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）である。

ファイアウォールは、あらかじめ設定されたルールに基づいてネットワークの入口において、異常なパケットを遮断することによって安全を確保するための手段である。このファイアウォールによって行われる処理は、不必要なトラヒックを侵入させないという概念であるため、ルールによっては、ある程度の安全を確保できるという確立された方式である。しかし、それだけでは完全な安全確保を期待することができないため、ＩＤＳを併用することになる。ＩＤＳには既知の不正トラヒックの特徴（シグネチャ）を利用した不正アクセスの検出機能があり、この検出機能を用いることによって、既知の不正アクセスに対しては、ほぼ完全な検出が可能である（例えば、非特許文献１を参照）。

武田圭史、磯崎宏「ネットワーク侵入検知」、ソフトバンクパブリッシング株式会社、２０００

しかしながら、近時、ＤｏＳ攻撃などに代表される未知の不正アクセス、ネットワークに対する妨害、あるいは突発的に起こるネットワーク障害などを検出するネットワークの異常検出が問題となっている。これらのネットワーク異常検出の分野においても多数の研究がなされているが、必ずといっていいほど問題になる点は、「通常状態をいかに定義するか」という点にある。そもそも、ネットワーク状態を通常状態と異常状態の２者択一に定義することはきわめて困難である。また、通常状態の定義が複雑な場合には、通常状態そのものを定義するのに多大な時間を要し、ネットワークの異常検出を迅速に行うことができないという問題点も存在する。

この発明は、上述した従来の欠点に鑑みてなされたものであり、簡易な手段にて定量的に定義されたネットワークの通常状態に基づいてネットワークの異常検出を行うネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラムを提供することを目的とする。

上記目的を達成するため、請求項１にかかるネットワーク異常検出装置は、ネットワークの回線状態の異常を検出するネットワーク異常検出装置であって、ネットワークに流れるパケット情報から所定の特徴量を抽出する特徴量抽出手段と、抽出された特徴量に基づいてネットワークの異常検出の基準となるネットワーク通常状態を定義する通常状態定義手段と、ネットワーク通常状態からの逸脱度を判定する逸脱度判定手段と、を備え、前記通常状態定義手段は、前記所定の特徴量のヒストグラムを多項分布として構築する多項分布生成部を備えたことを特徴とする。

この請求項１の発明によれば、特徴量抽出手段は、ネットワークに流れるパケット情報から所定の特徴量を抽出し、通常状態定義手段の多項分布生成部は、ネットワーク通常状態を表すものとして、抽出された所定の特徴量に基づいて、ネットワークの異常検出の基準となる、特徴量ヒストグラムを構築するようにしている。

また、請求項２にかかるネットワーク異常検出装置は、上記の発明において、前記逸脱度判定手段は、前記多項分布生成部で定義され、前記特徴量抽出手段から伝達された特徴量に基づいて更新される予定の多項分布が、通常状態と比較してどの程度逸脱した状態にあるのかを判定する適合度検定部を備えたことを特徴とする。

また、請求項３にかかるネットワーク異常検出装置は、上記の発明において、前記適合度検定部は、所定の時間内におけるネットワークの状態の逸脱度を示す指標として検定統計量を用いることを特徴とする。

また、請求項４にかかるネットワーク異常検出装置は、上記の発明において、前記特徴量抽出手段によって抽出されたｋ番目のフローでのＴＣＰストリーム値をＳ_kとし、（ｋ−１）番目のフローまでのＴＣＰストリーム値によって生成される多項分布Ｐ_k-1とし、所定の重み付け係数ｒとするとき、ｋ番目のフローが終了した時点において更新される予定の多項分布の度数を表す度数ベクトルＸ_kを、
Ｘ_k＝ｒ＊Ｐ_k-1＋Ｓ_k
によって算出し、該算出された度数ベクトルＸ_kに基づいて算出される前記検定統計量Ｔ_kを、

によって算出することを特徴とする。

また、請求項５にかかるネットワーク異常検出装置は、上記の発明において、前記所定の重み付け係数ｒとして、所定のＴＣＰストリーム数を半減期とすることによって決定される係数を用いることを特徴とする。

また、請求項６にかかるネットワーク異常検出装置は、上記の発明において、前記逸脱度判定手段は、前記検定統計量と、所定の第１のしきい値と、の比較結果に基づいてアラート情報の報知処理を行うことを特徴とする。

また、請求項７にかかるネットワーク異常検出装置は、上記の発明において、前記通常状態定義手段は、前記検定統計量と、所定の第２のしきい値と、の比較結果に基づいて前記多項分布を更新することを特徴とする。

また、請求項８にかかるネットワーク異常検出装置は、上記の発明において、前記逸脱度判定手段は、前記検定統計量と、所定の第１のしきい値と、の比較結果に基づいてアラート情報の報知処理を行い、前記通常状態定義手段は、前記検定統計量と、所定の第２のしきい値と、の比較結果基づいて前記多項分布を更新することを特徴とする。

また、請求項９にかかるネットワーク異常検出装置は、上記の発明において、前記通常状態定義手段は、前記検定統計量と、所定の第２のしきい値とを比較し、前記検定統計量が前記所定の第２のしきい値よりも小さい場合に、前記度数ベクトルＸ_kをｋ番目のフローでの多項分布Ｐ_kとし、前記検定統計量が前記所定の第２のしきい値よりも大きい場合に、前記（ｋ−１）番目のフローでの多項分布Ｐ_k−1をｋ番目のフローでの多項分布Ｐ_kとして用いることを特徴とする。

また、請求項１０にかかるネットワーク異常検出装置は、ネットワークの回線状態の異常を検出するネットワーク異常検出装置であって、ネットワークに流れるパケット情報から所定の特徴量を抽出する特徴量抽出手段と、抽出された特徴量に基づいてネットワークの異常検出の基準となるネットワーク通常状態を定義する通常状態定義手段と、ネットワーク通常状態からの逸脱度を判定する逸脱度判定手段と、を備え、前記通常状態定義手段は、前記所定の特徴量の分布を確率分布として生成する確率分布生成部を備えたことを特徴とする。

また、請求項１１にかかるネットワーク異常検出装置は、上記の発明において、前記逸脱度判定手段は、観測時点で得られた特徴量の存在確率を用いて該特徴量ごとの個々の異常度を算出する異常度算出部と、前記異常度算出部からそれぞれ出力された前記個々の異常度に基づいてネットワークの異常度を判定する異常度判定部と、を備えたことを特徴とする。

また、請求項１２にかかるネットワーク異常検出装置は、上記の発明において、前記確率分布生成部が生成する確率分布が、正規分布であることを特徴とする。

また、請求項１３にかかるネットワーク異常検出装置は、上記の発明において、前記確率分布生成部が生成する確率分布が、標準正規分布であることを特徴とする。

また、請求項１４にかかるネットワーク異常検出装置は、上記の発明において、前記異常度算出部によって算出される異常度として、シャノンの情報量を用いることを特徴とする。

また、請求項１５にかかるネットワーク異常検出装置は、上記の発明において、前記異常度判定部は、前記異常度算出部からそれぞれ出力された前記個々の異常度の合成出力と、所定のしきい値と、の比較結果に基づいてアラート情報の報知処理を行うことを特徴とする。

また、請求項１６にかかるネットワーク異常検出方法は、ネットワークの回線状態の異常を検出するネットワーク異常検出方法であって、ネットワークに流れるパケット情報から抽出された特徴量に基づいてネットワークの異常検出の基準となる特徴量ヒストグラムを生成する特徴量ヒストグラム生成処理ステップと、前記特徴量ごとにそれぞれの検定統計量を生成する検定統計量生成ステップと、前記検定統計量と、所定の第１のしきい値との比較処理に基づいてアラート情報の報知処理を行うアラート報知処理ステップと、を含むことを特徴とする。

また、請求項１７にかかるネットワーク異常検出方法は、上記の発明において、前記検定統計量と、前記所定の第１のしきい値と、の比較処理結果に基づいて前記特徴量ヒストグラムの更新処理を行う特徴量ヒストグラム更新処理ステップさらに含むことを特徴とする。

また、請求項１８にかかるネットワーク異常検出方法は、ネットワークの回線状態の異常を検出するネットワーク異常検出方法であって、ネットワークに流れるパケット情報から抽出された特徴量に基づいてネットワークの異常検出の基準となる確率分布を生成する確率分布生成処理ステップと、前記特徴量ごとに個々の異常度を算出する異常度算出処理ステップと、前記個々の異常度の合成出力と、所定のしきい値と、の比較処理に基づいてアラート情報の報知処理を行うアラート報知処理ステップと、を含むことを特徴とする。

また、請求項１９にかかるネットワーク異常検出方法は、上記の発明において、前記個々の異常度の合成出力と、前記所定のしきい値と、の比較処理結果に基づいて前記確率分布の更新処理を行うことを特徴とする。

また、請求項２０にかかるネットワーク異常検出プログラムは、請求項１６〜１９のいずれか一つに記載の方法を電子計算機に実行させることを特徴とする。

この発明にかかるネットワーク異常検出装置によれば、ネットワークに流れるパケット情報から所定の特徴量を抽出し、抽出された所定の特徴量に基づいてネットワークの異常検出の基準となる多項分布を構築するようにしているので、ネットワーク回線の評価を定量的に行うことができ、また、未知のネットワーク異常をも検出することができる。

また、この発明にかかるネットワーク異常検出装置によれば、ネットワークに流れるパケット情報から所定の特徴量を抽出し、抽出された所定の特徴量に基づいてネットワークの異常検出の基準となる確率分布を生成するようにしているので、ネットワーク回線の評価を定量的に行うことができ、また、未知のネットワーク異常をも検出することができる。

以下、図面を参照して、この発明の実施の形態であるネットワーク異常検出装置について説明する。なお、この実施の形態によりこの発明が限定されるものではない。

［実施の形態１］
（実施の形態１の装置の構成）
図１は、実施の形態１にかかるネットワーク異常検出装置の構成を示すブロック図である。同図に示すように、実施の形態１にかかるネットワーク異常検出装置１０は、タッピング装置１１によって収集された監視対象ネットワークに流れるパケットを記憶（保持）する記憶部１２と、収集されたパケット情報から所定の特徴量を抽出する特徴量抽出手段１３と、抽出された特徴量に基づいてネットワークの異常検出の基準となる状態、すなわち、ネットワーク通常状態を定義する通常状態定義手段１４と、ネットワーク通常状態からの逸脱度、すなわちネットワーク通常状態からどの程度懸け離れた状態にあるか否かを判定する逸脱度判定手段１５と、逸脱していると判定された場合にアラート（警報）を出力するアラート出力部１６とを備えている。

特徴量抽出手段１３は、例えば、ＴＣＰストリーム（特定のクライアント・サーバ間における一対の通信ポートによる単位）のような特定の通信単位において、この通信を特徴づけるために定義された所定の特徴量を抽出する特徴量抽出部１３₁〜１３_pを備えている。特徴量の詳細については後述するが、この実施の形態では７つの特徴量を扱うようにしているので、図１においてｐ＝７の場合に相当する。なお、扱う特徴量の数は７つに限られるものではなく、１以上の任意の数とすることができる。

通常状態定義手段１４は、所定の特徴量ヒストグラムを多項分布として構築する多項分布生成部１４₁〜１４_pを備えている。これらの多項分布生成部１４₁〜１４_pの添字ｐは、特徴量抽出部１３₁〜１３_pの添字にそれぞれ対応する。すなわち、多項分布生成部１４₁〜１４_pでは、特徴量抽出部１３₁〜１３_pから抽出された特徴量ごとに、この特徴量に対応した多項分布が生成される。

一方、逸脱度判定手段１５は、通常状態を定義するものとして多項分布生成部１４₁〜１４_pで定義された多項分布に基づいて、任意の時間帯に特徴量抽出部１３₁〜１３_pからそれぞれ伝達された特徴量に基づいて、更新される予定の多項分布が通常状態と比較してどの程度逸脱した状態にあるのかを判定する適合度検定部１５₁〜１５_pを備えている。

なお、図１において、逸脱度判定手段１５から通常状態定義手段１４に対して情報の流れを示す矢印の向きが示されている。この矢印は、異常状態を検出したときの特徴量データを通常状態を定義するデータとして用いるかどうかの判断を行うためのしきい値情報の伝達を示すものである。

（ネットワークの通常状態の定義）
ここで、ネットワークの通常状態の定義について説明する。上述したように、ネットワークの異常状態を検出するためには、初めに、ネットワークの通常状態を定義しなければならない。ネットワークには様々な特徴を持ったトラヒックが混在しているため、全体を捉えようとすると通常状態を定義付けることができる情報のみを抽出することができない。つまり、トラヒックの観測単位が重要となる。トラヒックをどのような基準で観測し、そこからどのような情報を抽出するかには様々な手法がある。本願においては、フロー単位の観測を用いることにした。

ここでいうところのフローとは、ＲＴＦＭ（Ｒｅａｌｔｉｍｅ Ｔｒａｆｆｉｃ Ｆｌｏｗ Ｍｅａｓｕｒｅｍｅｎｔ）で定義されたものであり、一般的なトラヒックモデルとして定義されたものである。また、このＲＴＦＭは、ネットワークを流れるパケットを通信の両端末によって集約したものであり、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号の５要素の同一組によって一つのフローが特定される。ＩＰトラヒックの場合、ＩＣＭＰトラヒックではポート番号の情報がないため、他の３要素による集約になるが、その際はタイムアウトを設けることでフローの終了を決定することができる。

フロー単位の観測を用いる理由は２つある。１つ目の理由は、タイムスロットによる集約方法等のように観測時間帯に依存することなく、２点間通信の独立した情報を抽出することができることにある。２つ目の理由は、状態を判別した際に原因となるホストの情報を迅速に得ることができることにある。特に、フロー単位で観測することで必然的に通信サービスの区別が明確になることは重要な点である。また、個々のサービスを独立させることで、そのサービスごとの特徴が際だち、適切なモデルを構築することができる。本願で提案するネットワーク異常検出装置、異常検出方法は、後述するようなサービスごとに独立した通常状態モデルを構築することで高精度の状態判別を可能としている。

つぎに実行しなければならないのが、トラヒック中のフローからネットワークの通常状態を定義する情報を抽出することにある。異常状態とは統計的に稀な状態にあることを意味する。つまり、ネットワークから抽出されたあるパラメータがトラヒックを構成する他のフローのパラメータと比べて稀な値をとる場合にそのパラメータの値を異常とすることができる。したがって、トラヒックの大部分を占める通常状態のモデルを構築するためには各フローから通常状態を定義付ける特徴量（統計量）を抽出する必要がある。

上述した事項に鑑み、この実施の形態では、ＩＰトラヒックの中でも特に重要なＴＣＰトラフィックに着目し、クライアント・サーバ間における一対の通信ポートによる通信単位であるＴＣＰストリームから所定の特徴量を抽出するようにした。なお、図２は、ＴＣＰ通信を行うために必要なＴＣＰコネクションのフローを示す図である。ここでは、同図を用いて、「ＴＣＰコネクションの確立」および「ＴＣＰコネクションの開放」のフローの概要について説明する。

（ＴＣＰコネクションの確立）
図２において、クライアントは、サーバに対するコネクション確立要求として、「ＳＹＮ」フラグを「ＯＮ」に設定したＴＣＰパケットをサーバに送信する（ステップＳＢ１００）。サーバでは、あらかじめサービスごとに定められているポート（通信ポート）の使用可否の判定を行う（ＳＢ１０１）。クライアントからのコネクション確立要求を受諾したサーバは、「ＡＣＫ」および「ＳＹＮ」フラグを「ＯＮ」に設定したＴＣＰパケットをクライアントに送信する（ステップＳＢ１０２）。クライアントでは、コネクション確立の確認応答を表す「ＡＣＫ」フラグを「ＯＮ」に設定したＴＣＰパケットをサーバに送信する（ステップＳＢ１０３）。以上のコネクションにて、ＴＣＰのコネクションが確立される（ステップＳＢ１０４）。このように、コネクションが確立された状態においては、クライアントとサーバとの間で、任意の通信が行われる。

（ＴＣＰコネクションの開放）
つぎに、ＴＣＰコネクションの開放について説明する。図２に示すようにコネクションが確立された状態において、クライアントは、サーバに対するコネクション開放要求として、「ＦＩＮ」フラグを「ＯＮ」に設定したＴＣＰパケットをサーバに送信する（ステップＳＢ１０５）。サーバは、クライアントからのコネクション開放要求を受諾した旨を意味する「ＡＣＫ」フラグを「ＯＮ」に設定したＴＣＰパケットをクライアントに送信し（ステップＳＢ１０６）、さらに、コネクション開放要求を意味する「ＦＩＮ」フラグを「ＯＮ」に設定したＴＣＰパケットをクライアントに送信する（ステップＳＢ１０７）。クライアントでは、コネクション開放要求を受諾した旨を意味する「ＡＣＫ」フラグを「ＯＮ」に設定したＴＣＰパケットをクライアントに送信する（ステップＳＢ１０８）。以上のコネクションにて、ＴＣＰのコネクションが開放される。

（実施の形態１で扱う特徴量の一例）
図３は、実施の形態１で取り扱う特徴量の一例を示す図表である。上記において、この実施の形態では、７つの特徴量を扱うことについて若干触れているが、具体的には、同図に示すような、フロー継続時間、受信パケット数、送信パケット数、受信バイト数、送信バイト数、パケットあたりの受信バイト数、およびパケットあたりの送信バイト数、の７つの特徴量を代表的な特徴量として取り扱うようにしている。

（実施の形態１の装置の動作）
つぎに、実施の形態１にかかるネットワーク異常検出装置の動作について説明する。図４は、実施の形態１にかかるネットワーク異常検出装置の全体動作を示すフローチャートであり、図５〜図７は、実施の形態１にかかるネットワーク異常検出装置の一部の処理の細部動作を示すフローチャートである。より詳細には、図５は、特徴量ヒストグラムの生成処理を示すフローチャートであり、図６は、検定統計量（Ｔ_k）の生成処理を示すフローチャートであり、図７は、特徴量ヒストグラムの更新処理を示すフローチャートである。ここでは、まず、図１に示すネットワーク異常検出装置１０の各処理部が行う処理の概要について図４に示すフローチャートを用いて説明し、つぎに、特徴量ヒストグラムの生成処理、検定統計量（Ｔ_k）の生成処理および特徴量ヒストグラムの更新処理の各ステップの処理の詳細について、図５〜図７のそれぞれのフローチャートを用いて説明する。

図４において、図１に示す通常状態定義手段１４の多項分布生成部１４₁〜１４_pによって特徴量ヒストグラムの生成処理が行われる（ステップＳ１０１）。つぎに、逸脱度判定手段１５の適合度検定部１５₁〜１５_pによって検定統計量（Ｔ_k）の生成処理が行われる（ステップＳ１０２）。この検定統計量（Ｔ_k）は、所定の時間内におけるネットワークの状態が、通常状態からどの程度懸け離れた状態にあるか否かの逸脱度を判定するのに必要な指標であり、特徴量ごとにそれぞれの検定統計量（Ｔ_k）が生成される。

さらに、適合度検定部１５₁〜１５_pでは検定統計量（Ｔ_k）と、所定のしきい値（Ｑ₁：第１のしきい値）との間の比較処理が行われ（ステップＳ１０３）、検定統計量（Ｔ_k）が第１のしきい値（Ｑ₁）よりも大きい場合には（ステップＳ１０３、Ｙｅｓ）、逸脱度判定手段１５からアラート出力部１６へアラート情報が通報され、アラート出力部１６ではアラート報知処理が行われ（ステップＳ１０４）、通常状態定義手段１４において特徴量ヒストグラムの更新処理が行われる（ステップＳ１０６）。一方、検定統計量（Ｔ_k）が第１のしきい値（Ｑ₁）以下の場合には（ステップＳ１０３、Ｎｏ）、アラート報知処理が行われず、特徴量ヒストグラムの更新処理だけが行われる（ステップＳ１０６）。

なお、ステップＳ１０４のアラート報知処理では、つぎの２つの処理が行われる。まず、アラート出力部１６には、逸脱度が高いと判定された特徴量に関するアラート情報が逸脱度判定手段１５から送信される。アラート出力部１６では、送信されたアラート情報に基づいて、例えば、アラート情報の出力処理などが行われる。一方、通常状態定義手段１４には、逸脱度が高いと判定された特徴量に関するアラート情報と、特徴量ごとの検定統計量（Ｔ_k）とが逸脱度判定手段１５から送信される。通常状態定義手段１４では、特徴量ごとの検定統計量（Ｔ_k）などに基づいて多項分布である特徴量ヒストグラムの更新処理を行うか否かが判断される。

ステップＳ１０６の特徴量ヒストグラムの更新処理が行われた後は、ステップＳ１０２の検定統計量（Ｔ_k）の生成処理に移行し、以後、同様な処理が繰り返される。なお、ネットワークに接続される機器（サーバ装置、クライアント装置など）の構成が大きく変化しない場合では、ステップＳ１０１の特徴量ヒストグラムの生成処理は初期段階において一度行っておけばよい。一方、ネットワークに接続される機器の構成が大きく変化した場合や、ネットワークの状態が大きく変化したような場合には、新たに特徴量ヒストグラムの生成処理を行うようにした方がよい。

つぎに、通常状態定義手段１４によって行われる特徴量ヒストグラムの生成処理（ステップＳ１０１）について、図５を用いて説明する。同図において、特徴量ヒストグラムの生成処理を行う際に用いられるＴＣＰストリーム数をＮとし、ヒストグラムのクラス数をｎとするとき、スタージェスの公式（ｎ≒１＋ｌｏｇ₂Ｎ）を用いてクラス数ｎが求められ（ステップＳ２０１）、このｎを用いてクラス数ｎの特徴量ヒストグラムが生成され（ステップＳ２０２）、図４に示すステップＳ１０２の処理に移行する。

ここで、ステップＳ２０２の処理の一例を示すとすれば、つぎのような処理の流れになる。例えば、ヒストグラムの各クラス幅は、特徴量ごとの最大値と最小値との差をクラス数ｎで割った値に設定される。さらに最大値と最小値との間に含まれないクラスが両側に設定され、度数０のクラスとともに度数を１に補正される。最大値と最小値の外側にもクラスを設定するのは、特徴量ヒストグラムの更新時に最大値よりも大きな特徴量を持つデータ、あるいは、最小値よりも小さな特徴量を持つデータが入力された際に、これらのデータを格納するクラスを確保しておくためである。なお、このような処理によって生成された特徴ごとの特徴量ヒストグラムを通常状態の多項分布として定義すればよい。

つぎに、逸脱度判定手段１５によって行われる検定統計量（Ｔ_k）の生成処理（ステップＳ１０２）について説明する。図６において、特徴量抽出手段１３によって抽出されたｋ番目のフローでのＴＣＰストリームの値（Ｓ_k）が、逸脱度判定手段１５によって受信される（ステップＳ３０１）。逸脱度判定手段１５の適合度検定部１５₁〜１５_pは、度数ベクトルＸ_kを次式にて生成する（ステップＳ３０２）。

Ｘ_k＝ｒ＊Ｐ_k-1＋Ｓ_k ・・・・・（１）

ここで、度数ベクトルＸ_kは、ｋ番目のフローが終了した時点において、抽出されたＳ_kを考慮した場合に更新されるであろう（更新される可能性のある）ヒストグラムを表すクラスごとの度数ベクトルである。「更新される可能性のある」という意味は、後述の比較判定処理において、このＸ_kを用いてヒストグラムが更新される場合と、更新されない場合とがあるからである。なお、この度数ベクトルＸ_kは、特徴量ごとのヒストグラムにおけるｉ番目（ｉ＝１〜ｎ）のクラスの度数（ｘ_i）を用いて、次式のように表すことができる。

Ｘ_k＝（ｘ₁,ｘ₂,・・・・・,ｘ_n） ・・・・・（２）

また、Ｐ_k-1は（ｋ−１）番目のフローまでのＴＣＰストリームの値によって生成され、あるいは更新されたヒストグラムの各クラスでの度数である。また、ｒは重み付け係数であり、過去のヒストグラム度数を、これから生成するヒストグラム度数にどれだけ反映させるのかを決定する係数である。なお、重み付け係数の一例として、半減期の考え方を適用した係数を用いることができる。例えば、半減期を１０（ストリーム）とすれば、重み付け係数ｒは、ｒ＝（１／２）^(1/10)≒０．９３３が採用される。

さらに、図６において、逸脱度判定手段１５の適合度検定部１５₁〜１５_pによって、特徴量ごとの検定統計量（Ｔ_k）が生成され（ステップＳ３０３）、この処理の後、図４に示すステップＳ１０３の処理に移行する。なお、この検定統計量（Ｔ_k）は、式（２）の度数ベクトルＸ_kを用いて、次式にて表すことができる。

式（３）において、ｍ_iはｉ番目のクラスにおいて期待される期待度数であり、ｘ_iは生成された特徴量ごとのヒストグラムにおいて、ｉ番目のクラスでの度数である。なお、期待度数ｍ_iは、ＴＣＰストリーム数（Ｎ）と、多項分布のｉ番目の分布確率（ｐ_i）との積、すなわち、ｍ_i＝Ｎｐ_iで表すことができる。

さらに、特徴量ヒストグラムの更新処理（ステップＳ１０６）について説明する。図７において、逸脱度判定手段１５によって検定統計量（Ｔ_k）と所定のしきい値（Ｑ₂：第２のしきい値）との比較処理が行われる（ステップＳ４０２）。このとき、検定統計量（Ｔ_k）が第２のしきい値（Ｑ₂）以下の場合には（ステップＳ４０２、Ｎｏ）、式（１）にて生成された度数ベクトルＸ_kが新たなヒストグラムとして更新される（ステップＳ４０３）。一方、検定統計量（Ｔ_k）が第２のしきい値（Ｑ₂）よりも大きい場合には（ステップＳ４０２、Ｙｅｓ）、（ｋ−１）フローまでのＴＣＰストリームによって生成されているヒストグラムＰ_k-1がそのまま用いられる（ステップＳ４０４）。これらのステップＳ４０２〜Ｓ４０４までの処理は、異常なＴＣＰストリームが現れた場合に、以降の多項分布への影響を回避するために行われる。これらの処理が行われた後、ｋの値がインクリメントされ（ステップＳ４０５）、図４に示すステップＳ１０２の処理に戻り、以後の処理が繰り返される。

以上説明したように、この実施の形態のネットワーク異常検出装置によれば、特徴量抽出手段は、ネットワークに流れるパケット情報から所定の特徴量を抽出し、通常状態定義手段の多項分布生成部は、抽出された所定の特徴量に基づいてネットワーク通常状態を表し、ネットワークの異常検出の基準となる特徴量ヒストグラムを構築するようにしているので、ネットワークの回線状態の異常の有無を判断することができ、また、未知のネットワーク異常をも検出することができる。さらに、ネットワークの異常検出の基準として特徴量ヒストグラム用いることで、定量的な評価を簡易に行うことができる。

［実施の形態１の装置の評価］
この実施の形態のネットワーク異常検出装置の評価として、以下に示すデータセットを用いた実験を行った。
「１９９９ ＤＡＲＰＡ ｏｆｆ−ｌｉｎｅ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｅｖａｌｕａｔｉｏｎ ｔｅｓｔ ｓｅｔ，ｈｔｔｐ：／／ｗｗｗ．ｌｌ．ｍｉｔ．ｅｄｕ／ＩＳＴ／ｉｄｅｖａｌ／ｉｎｄｅｘ．ｈｔｍｌ」

通常状態のモデル化には、学習用トラヒックデータ（ｔｃｐｄｕｍｐ）のｗｅｅｋ１，ｗｅｅｋ３を用い、異常検出精度の評価には、テスト用のトラヒックデータｗｅｅｋ４，ｗｅｅｋ５を用いた。ネットワークの判別基準は、検定統計量（Ｔ_k）が“７００”より大きい場合を「ｄａｎｇｅｒ」、“５００”より大きい場合を「ｓｕｓｐｉｃｉｏｕｓ」とし、「ｄａｎｇｅｒ」が１回、または「ｓｕｓｐｉｃｉｏｕｓ」が５回観測された場合にアラートを発生するようにした。すなわち、この実施例では、実施の形態１における第１のしきい値として、２つのしきい値を併用していることになる。なお、ここで示したしきい値は、一例を示したものであり、これらの値に限定されるものではなく、ネットワークの特性、検出精度などを勘案して、任意の値に設定することができる。

一方、この実施例では、実施の形態１における第２のしきい値の値として、“５００”を用いた。すなわち、検定統計量（Ｔ_k）が“５００”より大きい場合に、直前に用いた多項分布（ヒストグラム）Ｐ_k-1を次回の多項分布として用い、検定統計量（Ｔ_k）が“５００”より小さい場合に、式（１）にて生成された度数ベクトルＸ_kを次回の多項分布として用いた。

その他、同一クライアントによる所定時間（例えば、フロー２０個分）の複数の「ｄａｎｇｅｒ」を同一事象として集約を行った。

検出精度の性能評価は、以下に示す文献に記載された評価結果を参照した。
「Ｄｅｔｅｃｔｉｎｇ Ｎｏｖｅｌ Ａｔｔａｃｋｓ ｂｙ Ｉｄｅｎｔｙｆｙｉｎｇ Ａｎｏｒｍａｌｏｕｓ Ｎｅｔｗｏｒｋ Ｐａｃｋｅｔ Ｈｅａｄｅｒｓ，Ｖ．Ｍａｈｏｎｅｙ ａｎｄ Ｐｈｉｌｉｐ Ｋ．Ｃｈａｎ，Ｆｌｏｒｉｄａ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ Ｔｅｃｈｎｉｃａｌ Ｒｅｐｏｒｔ ＣＳ−２００１−２」

上記文献では、代表的なＩＤＳである「ＰＨＡＤ」の検出精度について、種々のＩＤＳ、例えば、「Ｅｘｐｅｒｔ−１」、「Ｅｘｐｅｒｔ−２」、「ＤＭｉｎｅ」、「Ｆｏｒｅｎｓｉｃｓ」の検出精度との比較が行われ、「ＰＨＡＤ」の優位性を示すデータが紹介されている。

そこで、この実施の形態のネットワーク異常検出装置と上記文献に示されたＰＨＡＤとの比較を行った。比較に際し、上記文献で用いられた同一データセットを用い、また、１日に１０個の誤検出を許容するという条件も同一とした。また、検出対象とする攻撃の種類として、シグネチャ方式による検出を無力化することができ、豊富な攻撃のバリエーションが可能なＰｒｏｂｅ攻撃、ＤｏＳ攻撃を選定した。

図８は、実施の形態１の装置と代表的なＩＤＳとの検出精度の比較結果を示す図表である。同図に示すように、この実施の形態のネットワーク異常検出装置では、Ｐｒｏｂｅ攻撃に対しては、ＰＨＡＤに対して若干劣った性能値を示しているが、ＤｏＳ攻撃、あるいはｐｒｏｂｅ攻撃とＤｏＳ攻撃との複合攻撃に対しては、ＰＨＡＤに対して優位な性能値を示している。また、図９に示した評価結果では、ＰＨＡＤの誤検出数が１００個であるのに対して、この実施の形態のネットワーク異常検出装置での評価では、誤検出数が４７個しかなかった。したがって、誤検出数がほぼ同一になるように、しきい値（第１、第２のしきい値）を下げることによって、本願のネットワーク異常検出装置の検出精度を向上させることができ、この場合、Ｐｒｏｂｅ攻撃に対しても、ＰＨＡＤと同等、あるいはそれ以上の検出精度が得られる可能性がある。

［実施の形態２］
（実施の形態２の装置の特徴）
実施の形態２の構成を説明する前に、実施の形態２の特徴を、実施の形態１の特徴との比較において説明する。まず、実施の形態１では、通常状態を定義する手段として特徴量の多項分布を用いているが、実施の形態２では、特徴量の確率分布を用いるようにしている。つぎに、実施の形態１では、逸脱度を判定する手段として適合度検定を用いているが、実施の形態２では、情報処理の分野では一般的な指標である、シャノンによって定義された「情報量」という単位を異常度を表現する指標として用いている。

（実施の形態２の装置の構成）
図９は、実施の形態２にかかるネットワーク異常検出装置の構成を示すブロック図である。同図に示すネットワーク異常検出装置２０は、実施の形態１にかかるネットワーク異常検出装置１０の主要部の構成と同一である。すなわち、タッピング装置１１によって収集された監視対象ネットワークに流れるパケットを記憶（保持）する記憶部１２と、収集されたパケット情報から所定の特徴量を抽出する特徴量抽出手段１３と、抽出された特徴量に基づいてネットワークの通常状態を定義する通常状態定義手段１４と、ネットワークの通常状態からの逸脱度、すなわちネットワーク通常状態からどの程度懸け離れた状態にあるか否かを判定する逸脱度判定手段１５と、逸脱していると判定された場合にアラート（警報）を出力するアラート出力部１６とを備えている。

特徴量抽出手段１３は、実施の形態１と同様に、ＴＣＰストリームから所定の特徴量を抽出する特徴量抽出部１３₁〜１３_pを備えている。通常状態定義手段１４は、所定の特徴量を確率分布として構築する確率分布生成部２１₁〜２１_pを備えている。これらの確率分布生成部２１₁〜２１_pの添字は、実施の形態１と同様に、特徴量抽出部１３₁〜１３_pの添字にそれぞれ対応している。

逸脱度判定手段１５は、通常状態を定義するものとして確率分布生成部２１₁〜２１_pで定義された確率分布に基づいて、任意の時間帯に特徴量抽出部１３₁〜１３_pからそれぞれ伝達された特徴量が、通常状態と比較してどの程度逸脱した状態にあるのかを示す異常度を算出する異常度算出部２２₁〜２２_pと、異常度算出部２２₁〜２２_pにおいて算出された異常度の値を合成する合成手段２３と、合成手段２３の出力値に基づいて異常度を判定する異常度判定部２４と、を備えている。

なお、実施の形態と同様に、図９において、逸脱度判定手段１５から通常状態定義手段１４に対して情報の流れを示す矢印の向きが示されている。この矢印は、確率分布をダイナミックに更新する場合に、異常状態を検出したときの特徴量データを通常状態を定義するデータとして用いるかどうかの判断を行うためのしきい値情報の伝達を示すものである。

（実施の形態２で扱う特徴量の一例）
図１０は、実施の形態２で取り扱う特徴量の一例を示す図表である。同図に示すように、この実施の形態では、１３の特徴量を扱うようにしている。すなわち、具体的には、フロー継続時間、パケット時間間隔平均、パケット時間間隔標準偏差、パケット時間間隔変動係数、総パケット数、受信パケット数、送信パケット数、総バイト数、受信バイト数、送信バイト数、パケットあたりの総バイト数、パケットあたりの受信バイト数、およびパケットあたりの送信バイト数、の１３の特徴量である。なお、ここに示す特徴量は代表的な特徴量を示したものであり、この１３の特徴量に限定されるものではない。また、特徴量の数に関しても、この実施の形態の１３という数は、一例を示したものであり、算出時間や検出精度などとの関係を考慮して、１以上の任意の数とすることができる。

（実施の形態２の装置の動作）
つぎに、実施の形態２にかかるネットワーク異常検出装置の動作について説明する。図１１は、実施の形態２にかかるネットワーク異常検出装置の動作を示すフローチャートである。図１１において、図９に示す通常状態定義手段１４の確率分布生成部２１₁〜２１_pによって確率分布の生成処理が行われる（ステップＳ５０１）。ここでいう確率分布とは、例えば、各特徴量の値を確率変数とする正規分布などが用いられる。なお、後述する動作説明では、確率変数の変換処理によって正規分布を標準正規分布に変換する処理を行っているが、異常度を求めるという本質的な点において両者の差異はない。

ステップＳ５０１の処理の後、逸脱度判定手段１５の異常度算出部２２₁〜２２_pによって個々（特徴量ごと）の異常度が算出される。（ステップＳ５０２）。この個々の異常度は、観測時点で得られた特徴量（確率変数）の存在確率を用いて算出される。なお、異常度の算出処理の詳細については後述する。

ステップＳ５０２の処理で算出された各異常度は、合成手段２３で合成された後、異常度判定部２４に出力されてネットワークの異常度を判定する判定処理が行われる（ステップＳ５０３）。このネットワークの異常度全体の異常度（Ｃ）がしきい値（Ｑ₃）よりも大きい場合には（ステップＳ５０３、Ｙｅｓ）、逸脱度判定手段１５からアラート出力部１６へアラート情報が通報され、アラート出力部１６では、アラート報知処理が行われ（ステップＳ１０４）、ステップＳ５０２の処理に戻る。一方、異常度（Ｃ）がしきい値（Ｑ₃）以下の場合には（ステップＳ５０３、Ｎｏ）、アラート報知処理が行われることなくステップＳ５０２の処理に戻る。以後、上記の各処理が繰り返される。

なお、上記の処理では、確率分布の生成処理は最初に１度だけ行う処理としているが、実施の形態１のように異常度の判定の都度、確率分布の更新処理を行うようにしてもよい。また、実施の形態１と同様に、異常度の判定処理に用いた特徴量を、確率分布の更新処理に用いか否かを判定するような処理を含ませることもできる。

つぎに、通常状態定義手段１４によって行われる確率分布の生成処理（ステップＳ５０１）について説明する。なお、この実施の形態では、取り扱う確率分布として正規分布を例にとり説明する。

特徴量抽出手段１３によって抽出される特徴量は、フローを構成するパケット群のパケットヘッダから抽出される情報、あるいは、その一部から算出される情報である。これらの各特徴量をｃ_iで（ｉ＝１,２,・・・,１３）で表すとき、ｃ_iの値ｘは０付近に集まる傾向がある。そのため、次式で示される補正式によって自然対数に変換された値を用いた確率分布を定義する。

ｘ'＝ｌｎ（ｘ＋０．００００１） ・・・（４）

つぎに、ｘ’の平均をμ、分散をσ²としたときの確率分布を正規分布によって近似する。各特徴量間の偏りをなくすために、次式で示される標準変換を行う。

このとき、特徴量ｃ_iに関する確率密度関数ｇ_i(ｚ)は、次式で表される。

どの特徴量においても、このｚの絶対値が平均値（標準正規分布の場合には“０”）から離れる度合いによって異常度を表現することができる。いま、特徴量ｃ_iに関する確率密度関数ｇ_i(ｚ)が定義されているとき、観測フローの特徴量ｃ_iの変換後の値がｚ’であることの希少性を次式にて示される確率Ｐ_iで表現する。

また、異常度の算出に際しては、シャノンによって定義された情報量（−ｌｏｇＰ_i）を個々の異常度として定義し、また、次式にて示される各特徴量の情報量（異常度）の合計値（Ｃ）をネットワークの異常度として定義する。

逸脱度判定手段１５の異常度判定部２４は、この式（８）にて算出された（Ｃ）を用いて、監視対象のネットワークが正常状態にあるか、異常状態にあるかの判定を行うことができる。

なお、図９に示す構成では、異常度算出部２２₁〜２２_pの出力を合成手段２３にてそのまま加算しているが、特徴量の種類に応じた重み付け処理を施した後に加算してもよい。

以上説明したように、この実施の形態のネットワーク異常検出装置によれば、特徴量抽出手段は、ネットワークに流れるパケット情報から所定の特徴量を抽出し、通常状態定義手段の確率分布生成部は、抽出された所定の特徴量に基づいてネットワーク通常状態を表し、ネットワークの異常検出の基準となる正規分布を構築するようにしているので、ネットワークの回線状態の異常の有無を判断することができ、また、未知のネットワーク異常をも検出することができる。さらに、ネットワークの異常検出の基準として正規分布を用いているので、定量的な評価を簡易に行うことができる。

［実施の形態２の装置の評価］
図１２は、ある攻撃が行われた場合の異常度の分布の一例を示すグラフである。より詳細には、一般的なＨＴＴＰ通信の際に発生するフローと、所定のポート（８０番ポート）に対する攻撃の際に発生するフローについて、それぞれ図１０に示す１３種の特徴量から算出した異常度を示している。同図において、Ｋ１は「ＰＯＲＴＳＷＥＥＰ」と呼ばれる１回目の攻撃（フロー番号：１６９）に関する異常度の分布であり、Ｋ２は「ＰＯＲＴＳＷＥＥＰ」による２回目の攻撃（フロー番号：８７２）に対する異常度の分布である。同様に、Ｋ３は、「ＡＰＡＣＨＥ２」と呼ばれる１回目の攻撃（フロー番号：１４０９〜１４８２，１４８４〜１５２２，１５２４〜１８５２，１８５４〜２０８５，２０８７〜２４００）に対する異常度の分布であり、Ｋ４は、「ＡＰＡＣＨＥ２」による２回目の攻撃（フロー番号：４１０９〜４４６０）に対する異常度の分布である。また、それ以外の分布は、ＨＴＴＰ通信に対する分布を示している。同図にも示しているように、しきい値Ｑ₃の値を７．５程度に設定すれば、これらの時間帯において行われた上記４つの攻撃のすべてを検出できることがわかる。

なお、実施の形態１および実施の形態２は、いずれも専用の装置を用いた構造について説明したが、本発明の適用対象は、必ずしも実施の形態に限定して解釈する必要はない。また、具体的構造についても、図１および図９のブロック図に示されるものに限定して解釈する必要はなく、上記の手法を用いてネットワークの異常を検出するのであればよい。さらには、上記の手法をアルゴリズムとして記載したプログラムを用いてコンピュータ等の電子計算機に実行させる構造としてもよい。

以上のように、この発明にかかるネットワーク異常検出装置は、ネットワーク回線の異常検出に有用であり、特に、未知のネットワーク異常の検出に適している。

実施の形態１にかかるネットワーク異常検出装置の構成を示すブロック図である。 ＴＣＰ通信を行うために必要なＴＣＰコネクションのフローを示す図である。 実施の形態１で取り扱う特徴量の一例を示す図表である。 実施の形態１にかかるネットワーク異常検出装置の全体動作を示すフローチャートである。 特徴量ヒストグラムの生成処理を示すフローチャートである。 検定統計量（Ｔ_k）の生成処理を示すフローチャートである。 特徴量ヒストグラムの更新処理を示すフローチャートである。 実施の形態１の装置と代表的なＩＤＳとの検出精度の比較結果を示す図表である。 実施の形態２にかかるネットワーク異常検出装置の構成を示すブロック図である。 実施の形態２で取り扱う特徴量の一例を示す図表である。 実施の形態２にかかるネットワーク異常検出装置の動作を示すフローチャートである。 攻撃が行われた場合の異常度の分布の一例を示すグラフである。

符号の説明

１０，２０ ネットワーク異常検出装置
１１ タッピング装置
１２ 記憶部
１３ 特徴量抽出手段
１３₁〜１３_p 特徴量抽出部
１４ 通常状態定義手段
１４₁〜１４_p 多項分布生成部
１５ 逸脱度判定手段
１５₁〜１５_p 適合度検定部
１６ アラート出力部
２０ ネットワーク異常検出装置
２１₁〜２１_p 確率分布生成部
２２₁〜２２_p 異常度算出部
２３ 合成手段
２４ 異常度判定部

Claims (20)

1. ネットワークの回線状態の異常を検出するネットワーク異常検出装置であって、
   ネットワークに流れるパケット情報から所定の特徴量を抽出する特徴量抽出手段と、
   抽出された特徴量に基づいてネットワークの異常検出の基準となるネットワーク通常状態を定義する通常状態定義手段と、
   ネットワーク通常状態からの逸脱度を判定する逸脱度判定手段と、
   を備え、
   前記通常状態定義手段は、前記所定の特徴量のヒストグラムを多項分布として構築する多項分布生成部を備えたことを特徴とするネットワーク異常検出装置。
2. 前記逸脱度判定手段は、前記多項分布生成部で定義され、前記特徴量抽出手段から伝達された特徴量に基づいて更新される予定の多項分布が、通常状態と比較してどの程度逸脱した状態にあるのかを判定する適合度検定部を備えたことを特徴とする請求項１に記載のネットワーク異常検出装置。
3. 前記適合度検定部は、所定の時間内におけるネットワークの状態の逸脱度を示す指標として検定統計量を用いることを特徴とする請求項２に記載のネットワーク異常検出装置。
4. 前記特徴量抽出手段によって抽出されたｋ番目のフローでのＴＣＰストリーム値をＳ_kとし、
   （ｋ−１）番目のフローまでのＴＣＰストリーム値によって生成される多項分布Ｐ_k-1とし、
   所定の重み付け係数ｒとするとき、
   ｋ番目のフローが終了した時点において更新される予定の多項分布の度数を表す度数ベクトルＸ_kを、
   Ｘ_k＝ｒ＊Ｐ_k-1＋Ｓ_k
   によって算出し、
   該算出された度数ベクトルＸ_kに基づいて算出される前記検定統計量Ｔ_kを、
   

   

   によって算出することを特徴とする請求項３に記載のネットワーク異常検出装置。
5. 前記所定の重み付け係数ｒとして、所定のＴＣＰストリーム数を半減期とすることによって決定される係数を用いることを特徴とする請求項４に記載のネットワーク異常検出装置。
6. 前記逸脱度判定手段は、前記検定統計量と、所定の第１のしきい値と、の比較結果に基づいてアラート情報の報知処理を行うことを特徴とする請求項３〜５のいずれか一つに記載のネットワーク異常検出装置。
7. 前記通常状態定義手段は、前記検定統計量と、所定の第２のしきい値と、の比較結果に基づいて前記多項分布を更新することを特徴とする請求項３〜５のいずれか一つに記載のネットワーク異常検出装置。
8. 前記逸脱度判定手段は、前記検定統計量と、所定の第１のしきい値と、の比較結果に基づいてアラート情報の報知処理を行い、
   前記通常状態定義手段は、前記検定統計量と、所定の第２のしきい値と、の比較結果に基づいて前記多項分布を更新することを特徴とする請求項３〜５のいずれか一つに記載のネットワーク異常検出装置。
9. 前記通常状態定義手段は、前記検定統計量と、所定の第２のしきい値とを比較し、
   前記検定統計量が前記所定の第２のしきい値よりも小さい場合に、前記度数ベクトルＸ_kをｋ番目のフローでの多項分布Ｐ_kとし、
   前記検定統計量が前記所定の第２のしきい値よりも大きい場合に、前記（ｋ−１）番目のフローでの多項分布Ｐ_k−1をｋ番目のフローでの多項分布Ｐ_kとして用いることを特徴とする請求項４〜８のいずれか一つに記載のネットワーク異常検出装置。
10. ネットワークの回線状態の異常を検出するネットワーク異常検出装置であって、
    ネットワークに流れるパケット情報から所定の特徴量を抽出する特徴量抽出手段と、
    抽出された特徴量に基づいてネットワークの異常検出の基準となるネットワーク通常状態を定義する通常状態定義手段と、
    ネットワーク通常状態からの逸脱度を判定する逸脱度判定手段と、
    を備え、
    前記通常状態定義手段は、前記所定の特徴量の分布を確率分布として生成する確率分布生成部を備えたことを特徴とするネットワーク異常検出装置。
11. 前記逸脱度判定手段は、
    観測時点で得られた特徴量の存在確率を用いて該特徴量ごとの個々の異常度を算出する異常度算出部と、
    前記異常度算出部からそれぞれ出力された前記個々の異常度に基づいてネットワークの異常度を判定する異常度判定部と、
    を備えたことを特徴とする請求項１０に記載のネットワーク異常検出装置。
12. 前記確率分布生成部が生成する確率分布が、正規分布であることを特徴とする請求項１０または１１に記載のネットワーク異常検出装置。
13. 前記確率分布生成部が生成する確率分布が、標準正規分布であることを特徴とする請求項１０または１１に記載のネットワーク異常検出装置。
14. 前記異常度算出部によって算出される異常度として、シャノンの情報量を用いることを特徴とする請求項１１〜１３のいずれか一つに記載のネットワーク異常検出装置。
15. 前記異常度判定部は、前記異常度算出部からそれぞれ出力された前記個々の異常度の合成出力と、所定のしきい値と、の比較結果に基づいてアラート情報の報知処理を行うことを特徴とする請求項１１〜１４のいずれか一つに記載のネットワーク異常検出装置。
16. ネットワークの回線状態の異常を検出するネットワーク異常検出方法であって、
    ネットワークに流れるパケット情報から抽出された特徴量に基づいてネットワークの異常検出の基準となる特徴量ヒストグラムを生成する特徴量ヒストグラム生成処理ステップと、
    前記特徴量ごとにそれぞれの検定統計量を生成する検定統計量生成ステップと、
    前記検定統計量と、所定の第１のしきい値との比較処理に基づいてアラート情報の報知処理を行うアラート報知処理ステップと、
    を含むことを特徴とするネットワーク異常検出方法。
17. 前記検定統計量と、前記所定の第１のしきい値と、の比較処理結果に基づいて前記特徴量ヒストグラムの更新処理を行う特徴量ヒストグラム更新処理ステップさらに含むことを特徴とする請求項１６に記載のネットワーク異常検出方法。
18. ネットワークの回線状態の異常を検出するネットワーク異常検出方法であって、
    ネットワークに流れるパケット情報から抽出された特徴量に基づいてネットワークの異常検出の基準となる確率分布を生成する確率分布生成処理ステップと、
    前記特徴量ごとに個々の異常度を算出する異常度算出処理ステップと、
    前記個々の異常度の合成出力と、所定のしきい値と、の比較処理に基づいてアラート情報の報知処理を行うアラート報知処理ステップと、
    を含むことを特徴とするネットワーク異常検出方法。
19. 前記個々の異常度の合成出力と、前記所定のしきい値と、の比較処理結果に基づいて前記確率分布の更新処理を行うことを特徴とする請求項１８に記載のネットワーク異常検出方法。
20. 請求項１６〜１９のいずれか一つに記載の方法を電子計算機に実行させることを特徴とするネットワーク異常検出プログラム。

Images