JP2021015421A - 情報処理プログラム、情報処理方法および情報処理装置 - Google Patents

Abstract

【課題】順序関係を考慮した攻撃判定を行うことが可能な情報処理プログラム、情報処理方法および情報処理装置を提供する。【解決手段】情報処理装置において、制御部の収集部は、第１の装置から第２の装置に対する特定の操作ログおよび特定の操作ログの前後の第１の装置から第２の装置に対する操作ログを含む複数の操作ログと、第１の装置から前記第２の装置に対する攻撃の有無を示す正解情報とが関連付けられた訓練データを取得する。第２学習部は、複数の操作ログそれぞれに対応した複数のグラフ構造データを成分に含み、特定の操作ログおよび特定の操作ログの前後の操作ログの順序関係を成分に含む順序行列データを生成し、順序行列データをニューラルネットワークに入力することで、訓練データに基づく学習モデルの学習を実行する。【選択図】図６

Description

本発明は、情報処理プログラム、情報処理方法および情報処理装置に関する。

サイバーセキュリティ分野などでは、ある時間帯に行われた各ＩＰ（Internet Protocol）アドレス間の操作ログを個別に分析して、攻撃か否かを判定することが行われている。一般的に、操作ログには、疎通確認など頻繁に行われる操作も含まれることから、全操作ログから操作ログの間引きなどが実行される。

近年では、機械学習などを用いた攻撃検知なども行われている。例えば、攻撃が行われたある時間帯の操作ログ、攻撃が行われていないある時間帯の操作ログなどを収集し、収集された操作ログを説明変数、攻撃の有無を目的変数とする訓練データを用いて、操作ログから攻撃の有無を判定する学習モデルを学習する。

また、特定の操作ログに限らず、操作ログの順序関係から攻撃の有無を判定する学習モデルも知られている。例えば、前後の操作を判定対象とするために、ある時間帯の操作ログとその時間帯の前後の時間帯の操作ログを収集し、これらの操作ログを統合させた統合ログを説明変数、攻撃の有無を目的変数とする訓練データを用いて、学習モデルを学習する。

特開２０１８−０５５５８０号公報 特表２０１８−５２４７３５号公報 国際公開第２０１８／６６２２１号 国際公開第２０１８／１６３３４２号

しかしながら、上記技術では、統合ログも複数の操作ログの内容が混在する１つの操作ログとして学習されるので、このように学習された学習モデルを用いても、順序関係を考慮した攻撃判定を実行することができない。

また、操作時に使用される通信プロトコルによっては、コマンドごとにセッションがばらばらになってしまい、操作ログが非常に少ないセッションができることがある。これにより、正常操作、攻撃操作が同じログになってしまい、判定が難しいだけでなく、全てのセッションが判定できない事象が発生する場合もある。なお、操作ログの間引きを行わずに、全操作ログを学習対象することも考えられるが、膨大な量になるので、学習時間も長時間化し、現実的ではない。

また、ある時間帯の前後の時間帯の操作ログを統合し、統合した操作ログから生成されるテンソルデータと、ある時間帯の操作ログから生成されるテンソルデータのそれぞれを入力した機械学習も考えられる。しかし、複数の操作ログを１つの操作ログとしてテンソルデータが生成されるので、他の操作ログと同様に、１つの操作ログの特徴を学習することになり、順序関係を考慮した攻撃判定を実行することができない。

一つの側面では、順序関係を考慮した攻撃判定を実行することができる情報処理プログラム、情報処理方法および情報処理装置を提供することを目的とする。

第１の案では、情報処理プログラムは、コンピュータに、第１の装置から第２の装置に対する特定の操作ログ、および前記特定の操作ログの前後の前記第１の装置から前記第２の装置に対する操作ログを含む複数の操作ログと、前記第１の装置から前記第２の装置に対する攻撃の有無を示す正解情報とが関連付けられた訓練データを取得する処理を実行させる。情報処理プログラムは、コンピュータに、前記複数の操作ログそれぞれに対応した複数のグラフ構造データを成分に含み、前記特定の操作ログおよび前記特定の操作ログの前後の操作ログの順序関係を成分に含む順序行列データを生成する処理を実行させる。情報処理プログラムは、コンピュータに、前記順序行列データをニューラルネットワークに入力することで、前記訓練データに基づく学習モデルの学習を実行する処理を実行させる。

一実施形態によれば、順序関係を考慮した攻撃判定を実行することができる。

図１は、実施例１にかかるシステムの全体構成例を説明する図である。 図２は、実施例１にかかる情報処理装置を説明する図である。 図３は、一般的な統合ログによる学習を説明する図である。 図４は、一般技術では判定が困難な例を説明する図である。 図５は、実施例１にかかる情報処理装置による学習例を説明する図である。 図６は、実施例１にかかる情報処理装置の機能構成を示す機能ブロック図である。 図７は、操作ログＤＢに記憶される操作ログの一例を示す図である。 図８は、第１訓練データＤＢに記憶される訓練データの一例を示す図である。 図９は、第２訓練データＤＢに記憶される訓練データの一例を示す図である。 図１０は、第１学習部による学習を説明する図である。 図１１は、第２学習部による学習を説明する図である。 図１２は、行列変換を説明する図である。 図１３は、ベクトル抽出を説明する図である。 図１４は、学習処理の流れを示すフローチャートである。 図１５は、判定処理の流れを示すフローチャートである。 図１６は、ハードウェア構成例を説明する図である。

以下に、本願の開示する情報処理プログラム、情報処理方法および情報処理装置の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。また、各実施例は、矛盾しない範囲で適宜組みあわせてもよい。

［全体構成］
図１は、実施例１にかかるシステムの全体構成例を説明する図である。図１に示すように、このシステムは、操作ログを解析してサーバへの不正なアクセスなどの各種攻撃を検知するシステムであり、ユーザ端末１と複数のサーバ２と情報処理装置１０とを有し、各装置がネットワークＮを介して接続される。また、各装置には、ＩＰアドレスが割当てられている。なお、ネットワークＮは、有線や無線を問わず、インターネットや専用線などの各種通信網を採用することができる。また、ユーザ端末１やサーバ２は、１台に限らず、複数台を有していてもよい。

ユーザ端末１は、各サーバ２へアクセスする端末装置の一例であり、例えば正規にサーバ２にアクセスする正当ユーザの端末装置や悪意を持ってサーバ２に不正アクセスを行う不正ユーザの端末装置などである。なお、端末装置の一例としては、パーソナルコンピュータ、携帯電話、スマートフォンなどを採用することができる。

各サーバ２は、ユーザ端末１等に各種サービスを提供するサーバ装置であり、Ｗｅｂサーバ、データベースサーバ、ファイルサーバなどである。また、各サーバ２は、ユーザ端末１からのアクセス履歴、スクリプトやコマンドの実行内容、サーバ上で実行される処理内容、他端末との間のデータ送受信の状況などを含む履歴情報を保持する。

情報処理装置１０は、学習モデルの学習や学習済みの学習モデルを用いた判定などを実行するコンピュータ装置である。具体的には、情報処理装置１０は、各サーバ２に記憶される履歴情報から、ユーザ端末１と各サーバ２との間で実行された操作に関する操作ログを取得し、各操作ログを用いて攻撃か否かを判定する学習モデルを学習する。そして、情報処理装置１０は、学習済みの学習モデルを用いて攻撃判定を実行する。

例えば、情報処理装置１０は、通信セッションごとに、各ＩＰアドレス間の操作ログを抽出し、ある時間帯の操作ログの前後の操作ログを含む順序を考慮した学習モデルを学習する。なお、通信セッションとは、ネットワーク接続中の情報が交換されている時間の単位であり、ある端末からある端末への一連の操作情報を表している。

図２は、実施例１にかかる情報処理装置を説明する図である。図２に示すように、情報処理装置１０は、学習フェーズと判定フェーズとを有する。

学習フェーズでは、情報処理装置１０は、ユーザ端末１とサーバ２との間で接続されたセッション１、セッション２、セッション３の順に、各セッションで発生した操作ログ１、操作ログ２、操作ログ３を取得する。そして、情報処理装置１０は、操作ログ１、操作ログ２、操作ログ３から、順序を考慮した（順序の次元を追加した）特徴量を生成する。そして、情報処理装置１０は、この特徴量を説明変数、既知の攻撃有無を目的変数（教師ラベル）とする訓練データを用いて、ニューラルネットワークなどを用いた学習モデルを学習する。このようにして、情報処理装置１０は、攻撃有無が既知である一連の操作ログの流れから、攻撃有無を判定する学習モデルを学習する。

判定フェーズでは、情報処理装置１０は、判定対象のセッションとその前後のセッションとから、操作ログＡ、操作ログＢ、操作ログＣを取得する。そして、情報処理装置１０は、操作ログＡ、操作ログＢ、操作ログＣから、学習フェーズと同様の手法により、順序を考慮した特徴量を生成して、学習済みの学習モデルに入力する。その後、情報処理装置１０は、学習済みの学習モデルからの出力結果に基づき、操作ログＡ、操作ログＢ、操作ログＣがサーバ２への攻撃を含む不正な操作か正常な操作のいずれかを判定する。このようにして、情報処理装置１０は、一連の操作ログの流れから、攻撃有無を判定する。

［一般技術の説明］
ところで、一般的には、複数の操作ログを統合した統合ログをテンソル化したテンソルデータを用いた学習が知られている。図３は、一般的な統合ログによる学習を説明する図である。図３に示すように、端末Ｓ１とサーバｄ１との間で、ある時間帯においてセッション１が接続され、次の時間帯においてセッション２が接続され、その次の時間帯においてセッション３が接続されたとする。

この場合、セッション１で発生した操作ログ１とセッション２で発生した操作ログ２とセッション３で発生した操作ログ３とを統合した統合ログを生成する。そして、この統合ログから生成されるテンソルデータを説明変数、既知の攻撃有無を目的変数とする訓練データを用いて、学習モデルの学習が実行される。つまり、判定対象のＩＰアドレス間の操作に加えて、その前後のセッションでどのような操作があったかを学習対象とする。

ところが、テンソルデータを用いたニューラルネットワークは、入力データから先の学習では順序関係が保持できない。具体的には、全ての入力データが最終的には学習前にベクトル化され、ベクトル化された後のデータは大小関係があるが、全て同じ扱いになるので、機械学習において一般的にベクトル化された後は順序関係が保持されない。したがって、操作ログの発生順は関係なく、操作ログ１＋２＋３が攻撃か否かを判定する学習が行われてしまうので、操作ログの発生順に基づいて攻撃か否かを判定することができない。

また、操作時に使用される通信プロトコルによっては、コマンドごとにセッションがばらばらになってしまい、ログが非常に少ないセッションができてしまう事がある。これにより、正常操作、攻撃操作が類似するログになってしまい、１セッションでは判定が難しい場合がある。図４を用いて具体的に説明する。図４は、一般技術では判定が困難な例を説明する図である。

図４の（ａ）は、攻撃時の一連の操作を示しており、図４の（ｂ）は、正常時の一連の操作を示している。一般的に、ユーザ端末側で操作コマンドが実行されたとしても、すべての操作ログを正確に収集するにはメモリ容量の拡大や解析時間の長時間化等の制限により、全て収集されるわけではない。そのため、操作コマンドは実行されたが、ファイル名の変更なのかもしくはその他の活動なのかを識別できないことがあり、操作ログ上では攻撃か正常な操作か識別が難しい。この性質を使い、攻撃者は攻撃と分かりやすい操作を避けるために、偽装した拡張子やファイル名などで感染拡大用の操作ファイル等を送り込む事も多く、そういった行動自体はただのファイル送信なので見分けにくい。

図４の（ａ）は、端末ｓ１から端末ｄ０への攻撃操作を示している。具体的には、端末ｓ１は、正常な操作としてよく使用される拡張子などを用いた偽装ファイルを読み書きする。続いて、端末ｓ１は、コマンドを実行し、ファイル名の変更やファイルの読み書きを実行する。この場合、操作ログとして見ると、時刻００：００に端末ｄ０に対して、実行コマンド（Ｃｏｐｙ）が実行されて、Ｒｅａｄ／Ｗｒｉｔｅの操作が実行される。続いて、時刻００：１５に端末ｄ０に対して、実行コマンド（ＰＳＥＸＥＣ）が実行されて、認証操作が実行される。その後、時刻００：１６や００：１７に端末ｄ０に対して、実行コマンド（ＥＸＥＣ）が実行されて、ファイルへのＲｅａｄ／Ｗｒｉｔｅの操作が実行される。

一方、図４の（ｂ）は、端末ｓ１から端末ｄ０への正常操作を示している。具体的には、端末ｓ１は、既存のファイルに対してファイル名変更などの操作コマンドを実行する。続いて、端末ｓ１は、別のログファイルのコピー、ファイルの実行、ファイルの読み書きなどを実行する。この場合、操作ログとして見ると、時刻００：００に端末ｄ０に対して、実行コマンド（ＰＳＥＸＥＣ）が実行されて、認証操作が実行される。その後、時刻００：１５、００：１６、００：１７の各時刻に端末ｄ０に対して、実行コマンド（ＥＸＥＣ）が実行されて、ファイルへのＲｅａｄ／Ｗｒｉｔｅの操作が実行される。

このように、攻撃操作である図４の（ａ）の操作ログと、正常操作である図４の（ｂ）の操作ログとを比較すると、攻撃操作では、認証の前にコマンドが実行されているものの、認証の後では同じようにコマンド実行がされている。また、認証前のコマンド実行も、操作ログ上では攻撃操作と判断することが難しい。これらのことから、両者が異なる一連の流れと判断することが難しく、同じ正常な操作の流れと判断されることがある。

そこで、実施例１では、テンソルデータを用いた学習を実行する際に、操作ログの発生順序の関係を考慮するために、順序関係を示すベクトルをグラフ構造データの一例であるコアテンソルとして抽出して、ニューラルネットワークに導入する。このようにすることで、入力データを順序行列化（順序行列データ）して学習する。この結果、順序関係を含む入力データによる学習を実現することができるので、順序関係を考慮した攻撃判定を実行することができる。

なお、実施例１では、２段階の学習を一例として説明する。図５は、実施例１にかかる情報処理装置１０による学習例を説明する図である。図５に示すように、情報処理装置１０は、１段階として、通常通り、１つの操作ログから攻撃操作か正常操作かを判別する第１の学習モデルを学習する。そして、情報処理装置１０は、２段階目として、１段階目では正常操作と判定される操作ログを抽出し、順序関係を考慮した第２の学習モデルを学習する。

例えば、１段階目として、攻撃操作である操作ログ１を用いて第１の学習モデルを学習し、攻撃操作である操作ログ２を用いて第１の学習モデルを学習し、正常操作である操作ログ３を用いて第１の学習モデルを学習する。その後、第１の学習モデルでは正常操作と判定される操作ログ３とその前後の操作ログ２および操作ログ４とを抽出し、これらの操作ログの順序関係を考慮した特徴量（順序行列）を生成し、生成された特徴量を用いて、第２の学習モデルを学習する。

実施例１では、このような学習を行うことにより、第２の学習モデルの対象を絞り込むことができるので、学習時間の短縮化を図ることができる。なお、１段階目の学習を省略して、すべての操作ログを用いて、第２の学習モデルの学習のみを実行することもできる。

［機能構成］
図６は、実施例１にかかる情報処理装置１０の機能構成を示す機能ブロック図である。図６に示すように、情報処理装置１０は、通信部１１、記憶部１２、制御部２０を有する。

通信部１１は、他の装置の間の通信を制御する処理部であり、例えば通信インタフェースなどである。例えば、通信部１１は、各サーバ２から操作ログを取得し、学習結果や予測結果などを管理者が使用する端末に送信する。

記憶部１２は、データや制御部２０が実行するプログラムなどを記憶する記憶装置の一例であり、例えばメモリやハードディスクなどである。この記憶部１２は、操作ログＤ１３、第１訓練データＤＢ１４、第２訓練データＤＢ１５、学習結果ＤＢ１６を記憶する。

操作ログＤＢ１３は、各サーバ２で実行された操作ログを記憶するデータベースである。具体的には、操作ログＤＢ１３は、ネットワーク接続中の情報が交換されている時間の単位であり、ある端末からある端末への一連の操作情報を表しているセッション単位で操作ログを記憶する。

図７は、操作ログＤＢ１３に記憶される操作ログの一例を示す図である。図７に示すように、操作ログＤＢ１３は、「セッションＩＤ、送信元、宛先、操作ログ」を対応付けて記憶する。「セッションＩＤ」は、セッションを識別する識別子である。「送信元」は、操作ログの実行元を示し、「宛先」は、操作ログの実行先を示す。つまり、送信元は、セッションの接続元であり、宛先は、セッションの接続先である。「操作ログ」は、発生した操作に関するログを示す。また、操作ログに含まれる各項目（セッションＩＤ、送信元、宛先、操作ログ）が、操作ログをグラフ構造で表現したときのノードとなる。

図７の例では、送信元（ＳＤ１）から宛先（Ｄ１）へ接続されたセッション（ＳＤ１）において操作ログＡが収集されたことを示す。この操作ログＡは、「時刻、操作、実行コマンド」が対応付けられた情報である。「時刻」は、コマンドが実行された時刻を示し、「操作」は、コマンドにより操作された内容を示し、「実行コマンド」は、実行されたコマンドを示す。

図７の操作コマンドＡは、セッション（ＳＤ１）において、時刻「００：００」に、Ｒｅａｄ／Ｗｒｉｔｅを行うＣｏｐｙが実行され、時刻「００：０５」に、Ｒｅａｄ／Ｗｒｉｔｅを行うＲｅａｄが実行され、時刻「００：１０」に、Ｒｅａｄ／Ｗｒｉｔｅを行うＷｒｉｔｅが実行されたことを示している。なお、操作コマンドは、高速フォレンジック技術など、公知の手法により収集することができる。

第１訓練データＤＢ１４は、１つの操作ログを用いて、攻撃か否かを判定する第１の学習モデルの学習に利用される訓練データを記憶するデータベースである。図８は、第１訓練データＤＢ１４に記憶される訓練データの一例を示す図である。図８に示すように、第１訓練データＤＢ１４は、「目的変数（ラベル）、説明変数」として「攻撃、操作ログＡ」や「正常、操作ログＣ」などを記憶する。

第２訓練データＤＢ１５は、複数の操作ログの順序関係を用いて、攻撃か否かを判定する第２の学習モデルの学習に利用される訓練データを記憶するデータベースである。図９は、第２訓練データＤＢ１５に記憶される訓練データの一例を示す図である。図９に示すように、第２訓練データＤＢ１５は、「目的変数（ラベル）、説明変数」として「攻撃、操作ログＥ，操作ログＦ，操作ログＧ」や「正常、操作ログＦ，操作ログＧ，操作ログＨ」などを記憶する。

ここで説明変数に記憶され操作ログは、その操作ログのみでは正常と判定される操作ログを含む一連の操作ログである。具体的には、この一連の操作ログは、第１の学習モデルでは、「正常」と判定されるある時間帯の操作ログとその前後の操作ログから構成される。例えば、時刻Ｔの操作ログＦが第１の学習モデルでは、「正常」と判定された操作ログである場合、その直前の時刻Ｔ−１のセッションに発生した操作ログＥと、その直後の時刻Ｔ＋１のセッションで発生した操作ログＦを含む「操作ログＥ、操作ログＦ、操作ログＧ」を訓練データとする。

学習結果ＤＢ１６は、後述する第１学習部２２の学習結果と第２学習部２３の学習結果を記憶するデータベースである。例えば、学習結果ＤＢ１６は、第１学習部２２や第２学習部２３による学習データの判別結果（分類結果）、機械学習やディープラーニングによって学習された、ＮＮの各種パラメータやディープテンソルの各種パラメータなどを記憶する。

制御部２０は、情報処理装置１０全体を司る処理部であり、例えばプロセッサなどである。この制御部２０は、収集部２１、第１学習部２２、第２学習部２３、判定部２７を有する。なお、収集部２１、第１学習部２２、第２学習部２３、判定部２７は、プロセッサが有する電子回路の一例やプロセッサが実行するプロセスの一例である。

収集部２１は、各サーバ２から操作ログを収集する処理部である。具体的には、収集部２１は、各サーバ２で記憶される履歴情報（ログ一覧）などから、セッション単位で操作ログを収集して、操作ログＤＢ１３に格納する。例えば、収集部２１は、高速フォレンジック技術などを用いて、セッションの抽出、操作コマンドの抽出、送信元や宛先の抽出などを実行する。

第１学習部２２は、１つの操作ログを用いて、攻撃か否かを判定する第１の学習モデルを学習する処理部である。具体的には、第１学習部２２は、第１訓練データＤＢ１４に記憶される各訓練データを用いて、テンソルデータを適用する第１の学習モデルを学習し、学習結果を学習結果ＤＢ１６に格納する。

ここで、テンソルデータを用いた学習について具体的に説明する。図１０は、第１学習部２２による学習を説明する図である。図１０に示すように、第１学習部２２は、攻撃ではない正常操作の教師ラベル（正常）が付された操作ログＡから入力テンソルを生成する。そして、第１学習部２２は、入力テンソルにテンソル分解を行って、初回にランダムに生成されたターゲットコアテンソルに類似するようにコアテンソルを生成する。そして、第１学習部２２は、コアテンソルをニューラルネットワーク（ＮＮ：Neural Network）に入力して分類結果（正常：７０％、攻撃：３０％）を得る。その後、第１学習部２２は、分類結果（正常：７０％、攻撃：３０％）と教師ラベル（正常：１００％、攻撃：０％）との分類誤差を算出する。

ここで、第１学習部２２は、誤差逆伝搬法を拡張した拡張誤差伝搬法を用いて学習モデルの学習およびテンソル分解の方法の学習を実行する。すなわち、第１学習部２２は、ＮＮが有する入力層、中間層、出力層に対して、分類誤差を下層に伝搬させる形で、分類誤差を小さくするようにＮＮの各種パラメータを修正する。さらに、第１学習部２２は、分類誤差をターゲットコアテンソルまで伝搬させ、予測に寄与するグラフの部分構造、すなわち正常操作の特徴を示す特徴パターンもしくは攻撃操作の特徴を示す特徴パターンに近づくように、ターゲットコアテンソルを修正する。

なお、学習後の判定時（予測時）には、テンソル分解により、ターゲットコアテンソルに類似するように、入力テンソルをコアテンソル（入力テンソルの部分パターン）に変換し、コアテンソルをニューラルネットに入力することで、判定結果を得ることができる。

第２学習部２３は、行列変換部２４、ベクトル抽出部２５、学習部２６を有し、複数の操作ログの順序関係を用いて、攻撃か否かを判定する第２の学習モデルを学習する処理部である。具体的には、第２学習部２３は、第２訓練データＤＢ１５に記憶される各訓練データを用いて、テンソルデータを適用する第２の学習モデルを学習し、学習結果を学習結果ＤＢ１６に格納する。

図１１は、第２学習部２３による学習を説明する図である。図１１に示すように、第２学習部２３は、目的変数（正常）が設定された説明変数内の操作ログＥ、操作ログＦ、操作ログＧそれぞれから入力テンソル（テンソルデータ）を生成する。そして、第２学習部２３は、各操作ログの各入力テンソルについて、ターゲットコアテンソルｖと類似するようにコアテンソルを生成することで、操作ログＥに対応するコアテンソル（Ｘ（ｔ−２））、操作ログＦに対応するコアテンソル（Ｘ（ｔ−１））、操作ログＧに対応するコアテンソル（Ｘ（ｔ））を生成する。

その後、第２学習部２３は、操作ログＥ、操作ログＦ、操作ログＧの順序関係を考慮するために、各操作ログから生成された各コアテンソルを行列化した順序行列を生成する。ここで、順序行列内の０はゼロ行列を示し、Ｅは単位行列を示す。そして、第２学習部２３は、順序行列に対して、回転不変の固有値を使用した変換処理を行って入力ベクトルを生成する。

そして、第２学習部２３は、入力ベクトルをＮＮに入力し、ＮＮからの出力結果と目的変数との分類誤差を用いた拡張誤差伝搬法を用いて学習モデルの学習およびテンソル分解の方法の学習を実行する。ここで、第２学習部２３は、各操作ログからコアテンソルを抽出する際に使用される各ターゲットコアテンソルまで分類誤差を伝搬させ、各ターゲットコアテンソルｖを修正する。このようにして、第２学習部２３は、各訓練データを用いて、ＮＮのパラメータ更新およびターゲットコアテンソルの最適化を実行して、第２の学習モデルを学習する。

行列変換部２４は、入力データをテンソル表現に変換する処理部である。具体的には、行列変換部２４は、第２訓練データＤＢ５から訓練データの各操作ログを取得し、各操作ログに対して、行列変換、テンソル分解、テンソルのマージの各処理を実行し、操作ログの順序を特徴量として含んだ順序行列を生成して、ベクトル抽出部２５に出力する。

図１２は、行列変換を説明する図である。図１２に示すように、行列変換部２４は、各操作ログＥ、Ｆ、Ｇの「操作、実行コマンド」を行列に変換することで、入力データのテンソル表現を実現する。例えば、行列変換部２４は、「Ｒｅａｄ／Ｗｒｉｔｅ」操作であれば「０」、「認証」操作であれば「１」と予め定めた法則にしたがって変換し、同様に、実行コマンド「Ｃｏｐｙ」操作であれば「０」、実行コマンド「Ｒｅａｄ」操作であれば「１」など変換する。このようにして、行列変換部２４は、各操作ログを２行３列の行列に変換する。

その後、行列変換部２４は、各行列から、ターゲットコアテンソルに類似するように、コアテンソルである行列を抽出する。例えば、行列変換部２４は、一般的なテンソル分解を実行して、各行列からコアテンソルを生成する。ここでは、行列変換部２４は、各操作ログから生成された各２行３列の行列を、２行２列の行列に変換する。

そして、行列変換部２４は、各２行２列の行列をマージして、３行１２列の順序行列を生成する。ここでは、行列変換部２４は、３行１２列の順序行列において、１列目の１行目から４行目に操作ログＥから生成された行列を設定し、２列目の５行目から８行目に操作ログＦから生成された行列を設定し、３列目の９行目から１２行目に操作ログＧから生成された行列を設定し、その他に０を設定する。このようにして、行列変換部２４は、各操作ログの特徴量および操作ログの順序関係の特徴を含んだ、順序行列を生成する。

ベクトル抽出部２５は、行列変換部２４により生成された順序行列から、ニューラルネットワークに入力するベクトルを抽出する処理部である。図１３は、ベクトル抽出を説明する図である。図１３に示すように、ベクトル抽出部２５は、３行１２列の順序行列を行列変換部２４から取得し、３行１２列の順序行列に特異値分解を行って、固有値ベクトルを抽出する。そして、ベクトル抽出部２５は、抽出した固有値ベクトルを学習部２６に出力する。

学習部２６は、ベクトル抽出部２５により抽出された固有値ベクトルを用いた教師有学習により、複数の操作ログの順序関係を用いて、攻撃か否かを判定する第２の学習モデルを学習する。そして、学習部２６は、学習が完了すると、学習結果を学習結果ＤＢ１６に格納する。

例えば、学習部２６は、固有値ベクトルの生成元となった訓練データの目的変数（ラベル）を第２訓練データＤＢ１５から取得する。そして、学習部２６は、第２の学習モデルに用いられるニューラルネットワークの第一層に、固有値ベクトルを入力し、ニューラルネットワークからの出力結果と目的変数との分類誤差に基づき、誤差逆伝搬によりニューラルネットワークを学習する。

また、学習部２６は、ニューラルネットワークの第一層の誤差関数のスコアと、特異値分解における左特異行列（左特異ベクトル）および右特異行列（右特異ベクトル）とを用いて、逆変換を実行する。そして、学習部２６は、逆変換後の行列のインデックスを元に、各操作ログから生成される各入力テンソルへ逆変換を行い、逆変換後の各入力テンソルと各ターゲットコアテンソルが類似するように、各ターゲットコアテンソルを更新する。

判定部２７は、学習結果を用いて、攻撃か否かを判定する処理部である。例えば、判定部２７は、学習結果ＤＢ１６に記憶される第１の学習モデルの学習結果と第２の学習モデルの学習結果とを読み出し、第１の学習モデルと第２の学習モデルとを構築する。

そして、判定部２７は、判定対象の操作ログを取得し、第１の学習モデルのターゲットコアテンソルと類似するように、操作ログからコアテンソルを生成して、第１の学習モデル（ＮＮ）に入力する。その後、判定部２７は、第１の学習モデル（ＮＮ）の出力結果が「攻撃」の場合には、当該操作ログを攻撃操作と判定して、管理者の端末に送信したり、ディスプレイ等に表示したりする。

一方、判定部２７は、第１の学習モデルの出力結果が「正常」の場合には、第２の学習モデルによる判定を行う。具体的には、判定部２７は、当該操作ログの前後の操作ログを取得し、学習時と同様の手法により、固有値ベクトルを生成する。例えば、判定部２７は、各操作ログから入力テンソルを生成し、各入力テンソルからコアテンソルを生成し、各コアテンソルをマージした順序行列を生成する。そして、判定部２７は、順序行列に特異値分解を行って、固有値ベクトルを生成し、固有値ベクトルを第２の学習モデル（ＮＮ）に入力する。

その後、判定部２７は、第２の学習モデル（ＮＮ）の出力結果が「攻撃」の場合には、当該操作ログを攻撃操作と判定して、第２の学習モデル（ＮＮ）の出力結果が「正常」の場合には、当該操作ログを攻撃操作と判定して、判定結果を、管理者の端末に送信したり、ディスプレイ等に表示したりする。

［学習処理の流れ］
図１４は、学習処理の流れを示すフローチャートである。なお、ここでは、第１の学習モデルの学習後に第２の学習モデルを学習する例を説明するが、これに限定されるものではなく、別々のタイミングで実行することもできる。

図１４に示すように、第１学習部２２は、管理者等により第１学習処理の開始が指示されると（Ｓ１０１：Ｙｅｓ）、第１訓練データＤＢ１４から訓練データを読み出し（Ｓ１０２）、テンソル分解を実行して入力テンソルを生成する（Ｓ１０３）。

続いて、第１学習部２２は、入力テンソルからコアテンソルを生成して（Ｓ１０４）、第１の学習モデルのＮＮの学習を実行する（Ｓ１０５）。そして、第１学習部２２は、学習を継続する場合（Ｓ１０６：Ｎｏ）、Ｓ１０２以降を繰り返す。一方、学習を終了する場合（Ｓ１０６：Ｙｅｓ）、Ｓ１０７以降が実行される。

具体的には、第２学習部２３は、第２訓練データＤＢ１５から訓練データを読み込み（Ｓ１０７）、訓練データ内の各操作ログをテンソル分解して入力テンソル（行列）を生成する（Ｓ１０８）。

続いて、第２学習部２３は、各入力テンソルからコアテンソルを生成し、各コアテンソルをマージして順序行列を生成する（Ｓ１０９）。そして、第２学習部２３は、順序行列に特異値分解を実行し（Ｓ１１０）、特異値分解後の固有値ベクトルをＮＮの第一層に入力（割当）して（Ｓ１１１）、誤差逆伝搬によりＮＮの学習を実行する（Ｓ１１２）。

その後、第２学習部２３は、第一層の誤差関数のスコアと、左特異行列および右特異行列とを用いて逆変換を実行し（Ｓ１１３）、逆変換後の行列を用いてターゲットコアテンソルを更新する（Ｓ１１４）。

そして、第２学習部２３は、学習を継続する場合（Ｓ１１５：Ｎｏ）、Ｓ１０７以降を繰り返し、学習を終了する場合（Ｓ１１５：Ｙｅｓ）、処理を終了する。

［判定処理の流れ］
図１５は、判定処理の流れを示すフローチャートである。図１５に示すように、判定部２７は、判定処理が開始されると（Ｓ２０１：Ｙｅｓ）、判定対象の操作ログを取得する
（Ｓ２０２）。

続いて、判定部２７は、テンソル分解を実行して、操作ログから入力テンソルを生成し（Ｓ２０３）、入力テンソルからコアテンソルを生成する（Ｓ２０４）。そして、判定部２７は、コアテンソルを学習済みの第１の学習モデルに入力し（Ｓ２０５）、出力結果が攻撃である場合（Ｓ２０６：Ｙｅｓ）、当該操作ログを攻撃操作と判定する（Ｓ２０７）。

一方、判定部２７は、第１の学習モデルの出力結果が正常である場合（Ｓ２０６：Ｎｏ）、判定対象の操作ログの前後の操作ログを取得し（Ｓ２０８）、テンソル分解を実行して各操作ログから各入力テンソルを生成する（Ｓ２０９）。

そして、判定部２７は、各入力テンソルからコアテンソルを生成し（Ｓ２１０）、各コアテンソルを用いて順序行列を生成し（Ｓ２１１）、順序行列に特異値分解を行って、固有値ベクトルを生成する（Ｓ２１２）。

その後、判定部２７は、固有値ベクトルを学習済みの第２の学習モデルに入力する（Ｓ２１３）。そして、判定部２７は、第２の学習モデルの出力結果が攻撃である場合（Ｓ２１４：Ｙｅｓ）、攻撃操作と判定し（Ｓ２１５）、第２の学習モデルの出力結果が正常である場合（Ｓ２１４：Ｎｏ）、正常操作と判定する（Ｓ２１６）。

［効果］
上述したように、情報処理装置１０は、順序関係を考慮した固有値ベクトル（入力ベクトル）により第２の学習モデルを学習することができるので、順序関係を考慮した攻撃判定を実行することができ、判別対象の操作ログの前後関係を元に攻撃か否かを判定することができる。

また、情報処理装置１０は、学習時に、１つの操作ログから攻撃と判定されない操作ログのみを第２の学習モデルの訓練データに使用するので、全操作ログを訓練対象とする場合に比べて、学習精度の低下を抑制しつつ、学習時間を短縮することができる。また、情報処理装置１０は、判定時に、第１の学習モデルと第２の学習モデルとを用いて段階的な判定を実行することができるので、迅速な攻撃検知と漏れのない攻撃検知とを両立することができる。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。

［データや数値等］
上記実施例で用いたデータ例、数値例、表示例、行列例、行列の次元等は、あくまで一例であり、任意に変更することができる。また、第１学習部２２と第２学習部２３と判定部２７とを別々の装置で実現することもできる。なお、上記実施例では、３つの操作ログを一連の操作ログとして訓練データに用いる例を説明したが、２つ以上であれば任意に変更することができる。

［関連付け］
実施例１では、一連の操作ログの操作先（攻撃対象）が同一のコンピュータの場合を一例として説明したが、これに限定されるものではなく、攻撃先が異なる場合でも、それらを関連付けられる場合は、実施例１と同様の手法により処理することができる。例えば、端末ｓ１からサーバｄ１へ接続されたセッションで操作が実行された後から、１０分などの所定時間内に同じ端末ｓ１からサーバｄ２へ接続されたセッション内の操作を一連の操作と判定することもできる。

［学習モデル］
上記実施例では、学習モデルとして、ニューラルネットワークを用いた例を説明したが、これに限定されるものではなく、ＲＮＮ（Recurrent Neural Network）など他の機械学習を採用することもできる。

［システム］
上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散や統合の具体的形態は図示のものに限られない。つまり、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

［ハードウェア］
図１６は、ハードウェア構成例を説明する図である。図１６に示すように、情報処理装置１０は、通信装置１０ａ、ＨＤＤ（Hard Disk Drive）１０ｂ、メモリ１０ｃ、プロセッサ１０ｄを有する。また、図１６に示した各部は、バス等で相互に接続される。

通信装置１０ａは、ネットワークインタフェースカードなどであり、他の装置との通信を行う。ＨＤＤ１０ｂは、図６に示した機能を動作させるプログラムやＤＢを記憶する。

プロセッサ１０ｄは、図２に示した各処理部と同様の処理を実行するプログラムをＨＤＤ１０ｂ等から読み出してメモリ１０ｃに展開することで、図２等で説明した各機能を実行するプロセスを動作させる。例えば、このプロセスは、情報処理装置１０が有する各処理部と同様の機能を実行する。具体的には、プロセッサ１０ｄは、収集部２１、第１学習部２２、第２学習部２３、判定部２７等と同様の機能を有するプログラムをＨＤＤ１０ｂ等から読み出す。そして、プロセッサ１０ｄは、収集部２１、第１学習部２２、第２学習部２３、判定部２７等と同様の処理を実行するプロセスを実行する。

このように、情報処理装置１０は、プログラムを読み出して実行することで学習方法を実行する情報処理装置として動作する。また、情報処理装置１０は、媒体読取装置によって記録媒体から上記プログラムを読み出し、読み出された上記プログラムを実行することで上記した実施例と同様の機能を実現することもできる。なお、この他の実施例でいうプログラムは、情報処理装置１０によって実行されることに限定されるものではない。例えば、他のコンピュータまたはサーバがプログラムを実行する場合や、これらが協働してプログラムを実行するような場合にも、本発明を同様に適用することができる。

１０ 情報処理装置
１１ 通信部
１２ 記憶部
１３ 操作ログＤＢ
１４ 第１訓練データＤＢ
１５ 第２訓練データＤＢ
１６ 学習結果ＤＢ
２０ 制御部
２１ 収集部
２２ 第１学習部
２３ 第２学習部
２４ 行列変換部
２５ ベクトル抽出部
２６ 学習部
２７ 判定部

Claims (8)

1. コンピュータに、
   第１の装置から第２の装置に対する特定の操作ログ、および前記特定の操作ログの前後の前記第１の装置から前記第２の装置に対する操作ログを含む複数の操作ログと、前記第１の装置から前記第２の装置に対する攻撃の有無を示す正解情報とが関連付けられた訓練データを取得し、
   前記複数の操作ログそれぞれに対応した複数のグラフ構造データを成分に含み、前記特定の操作ログおよび前記特定の操作ログの前後の操作ログの順序関係を成分に含む順序行列データを生成し、
   前記順序行列データをニューラルネットワークに入力することで、前記訓練データに基づく学習モデルの学習を実行する、
   処理を実行させることを特徴とする情報処理プログラム。
2. 前記実行する処理は、前記順序行列データに特異値分解を実行して得られる固有値ベクトルを前記ニューラルネットワークに入力し、前記ニューラルネットワークからの出力結果と前記正解情報との差分に基づいて、前記学習モデルを学習することを特徴とする請求項１に記載の情報処理プログラム。
3. 前記第１の装置から前記第２の装置への通信セッションごとに、前記操作ログを収集する処理を、前記コンピュータに実行させ、
   前記取得する処理は、前記特定の操作ログが収集された第１のセッションの前に接続された第２のセッションで発生した操作ログおよび前記第１のセッションの後に接続された第３のセッションで発生した操作ログを、前記特定の操作ログの前後の操作ログとして取得することを特徴とする請求項１または２に記載の情報処理プログラム。
4. 前記生成する処理は、前記特定の操作ログの前の操作ログから生成される第１のグラフ構造データ、前記特定の操作ログから生成される第２のグラフ構造データ、前記特定の操作ログの後の操作ログから生成される第３のグラフ構造データのそれぞれを各要素として対角線に配置し、他の要素にゼロ行列または単位行列を配置した前記順序行列データを生成することを特徴とする請求項１から３のいずれか一つに記載の情報処理プログラム。
5. 判定対象の操作ログと、前記判定対象の操作ログの前後のセッションで発生した前後の操作ログとを含む複数の判定対象ログを取得し、
   前記複数の判定対象ログそれぞれに対応した複数のグラフ構造データを用いて、前記順序行列データを生成し、
   学習済みの学習モデルに前記順序行列データを入力して得られる出力結果に基づいて、前記複数の判定対象ログが攻撃か否かを判定する、処理をコンピュータに実行させることを特徴とする請求項１から４のいずれか一つに記載の情報処理プログラム。
6. 前記第１の装置から前記第２の装置に対する各操作ログと、各操作ログが攻撃に該当するか否かを示す正解情報とが関連付けられた訓練データを用いて、操作ログから攻撃の有無を判定する第２の学習モデルを学習し、
   前記判定対象の操作ログを前記第２の学習モデルに入力して得られる出力結果により前記攻撃か否かを判定する、処理をコンピュータに実行させ、
   前記判定する処理は、前記第２の学習モデルの出力結果に基づき前記攻撃ではないと判定された場合に、前記複数の操作ログを用いて学習された第１の学習モデルに、前記判定対象の操作ログを含む前記複数の判定対象ログを用いて生成された前記順序行列データを入力し、前記第１の学習モデルからの出力結果に基づいて、前記攻撃か否かを判定することを特徴とする請求項５に記載の情報処理プログラム。
7. コンピュータが、
   第１の装置から第２の装置に対する特定の操作ログ、および前記特定の操作ログの前後の前記第１の装置から前記第２の装置に対する操作ログを含む複数の操作ログと、前記第１の装置から前記第２の装置に対する攻撃の有無を示す正解情報とが関連付けられた訓練データを取得し、
   前記複数の操作ログそれぞれに対応した複数のグラフ構造データを成分に含み、前記特定の操作ログおよび前記特定の操作ログの前後の操作ログの順序関係を成分に含む順序行列データを生成し、
   前記順序行列データをニューラルネットワークに入力することで、前記訓練データに基づく学習モデルの学習を実行する、
   処理を実行することを特徴とする情報処理方法。
8. 第１の装置から第２の装置に対する特定の操作ログ、および前記特定の操作ログの前後の前記第１の装置から前記第２の装置に対する操作ログを含む複数の操作ログと、前記第１の装置から前記第２の装置に対する攻撃の有無を示す正解情報とが関連付けられた訓練データを取得する取得部と、
   前記複数の操作ログそれぞれに対応した複数のグラフ構造データを成分に含み、前記特定の操作ログおよび前記特定の操作ログの前後の操作ログの順序関係を成分に含む順序行列データを生成する生成部と、
   前記順序行列データをニューラルネットワークに入力することで、前記訓練データに基づく学習モデルの学習を実行する実行部と、
   を有することを特徴とする情報処理装置。