JP2021189721A - 情報処理装置及び情報処理プログラム - Google Patents

情報処理装置及び情報処理プログラム Download PDF

Info

Publication number
JP2021189721A
JP2021189721A JP2020094038A JP2020094038A JP2021189721A JP 2021189721 A JP2021189721 A JP 2021189721A JP 2020094038 A JP2020094038 A JP 2020094038A JP 2020094038 A JP2020094038 A JP 2020094038A JP 2021189721 A JP2021189721 A JP 2021189721A
Authority
JP
Japan
Prior art keywords
source terminal
target
address
destination host
connection source
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2020094038A
Other languages
English (en)
Inventor
叶 孫
Ye Sun
竜生 鈴木
Tatsuo Suzuki
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujifilm Business Innovation Corp
Original Assignee
Fujifilm Business Innovation Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujifilm Business Innovation Corp filed Critical Fujifilm Business Innovation Corp
Priority to JP2020094038A priority Critical patent/JP2021189721A/ja
Priority to US17/106,165 priority patent/US11729135B2/en
Publication of JP2021189721A publication Critical patent/JP2021189721A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/21—Design or setup of recognition systems or techniques; Extraction of features in feature space; Blind source separation
    • G06F18/214—Generating training patterns; Bootstrap methods, e.g. bagging or boosting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/088—Non-supervised learning, e.g. competitive learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/69—Types of network addresses using geographic information, e.g. room number
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Biophysics (AREA)
  • Computational Linguistics (AREA)
  • General Health & Medical Sciences (AREA)
  • Molecular Biology (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Evolutionary Biology (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

【課題】接続元端末からの不正通信を検出するための情報処理装置及び情報処理プログラムを提供する。【解決手段】接続先ホスト、ネットワーク装置及びセキュリティサーバが、通信回線により互いに通信可能に接続されているネットワークシステムにおいて、セキュリティサーバは、接続元端末と接続先ホストとの間で通信が行われる度に、接続元端末及び接続先ホストのＩＰアドレスを含む通信ログが蓄積記憶される。学習処理部３８は、通信ログに基づいて、接続元端末及び接続先ホストのＩＰアドレスを含む学習データを用いて、入力された当該学習データを復元して出力するように自己符号化器３４を学習させる。異常検出部４０は、対象接続元端末及び対象接続先ホストのＩＰアドレスを含む対象入力データを学習済みの自己符号化器３４に入力し、対象入力データと自己符号化器３４の出力である対象出力データを比較することで、接続元端末からの不正通信を検出する。【選択図】図３

Description

本発明は、情報処理装置及び情報処理プログラムに関する。
従来、悪意のあるソフトウェアであるマルウェアが知られている。マルウェアに感染した接続元端末は、当該接続元端末の利用者の意に反して種々の接続先ホストとの間で通信（本明細書ではこのような通信を「不正通信」と呼ぶ）を行う場合がある。
従来、接続元端末がマルウェアに感染しているか否かを検出する技術が提案されている。例えば、特許文献１には、接続元端末であるＩｏＴ端末と接続先ホストとの間の通信に関する通信発生の頻度、あるいは接続先ホストの種類数などの特徴量に基づいて、当該ＩｏＴ端末がマルウェアに感染しているか否かを検出する異常検知システムが開示されている。また、特許文献２には、ネットワークを流れるセキュリティ攻撃パケット（悪意のあるパケット）のヘッダ情報から、セキュリティ攻撃通信の通信パターンを学習器に学習させることで、セキュリティ攻撃パケットを検出するセキュリティ脅威システムが開示されている。
特開２０１８−１３３００４号公報 特許第６０７８１７９号公報
ところで、マルウェアに感染した接続元端末は、多種多様の接続先ホストに多種多様の通信態様にて接続し得る。したがって、マルウェアに感染した接続元端末の接続先ホストや通信態様を予め定義してくことが困難であり、あるいは、学習器を用いたとしてもそのような通信態様を学習させることが困難であり、マルウェアによる通信態様に基づいて不正通信を検出することが困難となる場合があった。具体的には、接続元端末からの通信が有った場合に、それがマルウェアによる通信、すなわち不正通信であるか否かを判定することが困難となる場合があった。
本発明の目的は、接続元端末からの不正通信を検出することにある。
請求項１に係る発明は、プロセッサを備え、前記プロセッサは、接続元端末のＩＰアドレス、及び、前記接続元端末が接続した接続先ホストのＩＰアドレスを学習データとして学習された自己符号化器に、対象接続元端末のＩＰアドレス、及び、前記対象接続元端末の接続先である対象接続先ホストのＩＰアドレスを含む対象入力データを入力することで、前記対象接続元端末からの不正通信を検出する、ことを特徴とする情報処理装置である。
請求項２に係る発明は、前記自己符号化器は、前記接続元端末が前記接続先ホストに接続した時間帯を示す情報を含む前記学習データに基づいて学習され、前記プロセッサは、前記対象接続元端末が前記対象接続先ホストに接続する時間帯を示す情報をさらに前記自己符号化器に入力する、ことを特徴とする請求項１に記載の情報処理装置である。
請求項３に係る発明は、前記自己符号化器は、前記接続先ホストのＩＰアドレスの保有国を示す情報を含む前記学習データに基づいて学習され、前記プロセッサは、前記対象接続先ホストのＩＰアドレスの保有国を示す情報をさらに前記自己符号化器に入力する、ことを特徴とする請求項１又は２に記載の情報処理装置である。
請求項４に係る発明は、前記プロセッサは、前記対象入力データと、前記対象入力データに対する前記自己符号化器の出力である対象出力データとの差異から算出される誤差スコアに基づいて前記対象接続元端末からの不正通信を検出し、前記自己符号化器の入力である前記対象接続元端末のＩＰアドレスと、前記自己符号化器の出力である前記対象接続元端末のＩＰアドレスとの間、又は、前記自己符号化器の入力である前記対象接続先ホストのＩＰアドレスと、前記自己符号化器の出力である前記対象接続先ホストのＩＰアドレスとの間において、上位セグメントに差異があった場合、前記上位セグメントの下位にある下位セグメントに同じ差異があった場合に比して、前記対象入力データと前記対象出力データとの間の差異が大きくなるように前記誤差スコアを算出する、ことを特徴とする請求項１から３のいずれか１項に記載の情報処理装置である。
請求項５に係る発明は、コンピュータに、接続元端末のＩＰアドレス、及び、前記接続元端末が接続した接続先ホストのＩＰアドレスを学習データとして学習された自己符号化器に、対象接続元端末のＩＰアドレス、及び、前記対象接続元端末の接続先である対象接続先ホストのＩＰアドレスを含む対象入力データを入力させることで、前記対象接続元端末からの不正通信を検出される、ことを特徴とする情報処理プログラムである。
請求項１又は５に係る発明によれば、接続元端末からの不正通信を検出することができる。
請求項２に係る発明によれば、接続元端末のＩＰアドレス及び接続先ホストのＩＰアドレスに加え、接続元端末が接続先ホストへ接続した時間帯をさらに考慮して学習された自己符号化器を用いて、接続元端末からの不正通信を検出することができる。
請求項３に係る発明によれば、接続元端末のＩＰアドレス及び接続先ホストのＩＰアドレスに加え、接続先ホストのＩＰアドレスの保有国をさらに考慮して学習された自己符号化器を用いて、接続元端末からの不正通信を検出することができる。
請求項４に係る発明によれば、自己符号化器への入力と自己符号化器の出力との間において、差異が有ったＩＰアドレスのセグメントをさらに考慮して、前記対象接続元端末からの不正通信を検出することができる。
本実施形態に係るネットワークシステムの構成概略図である。 通信ログの例を示す図である。 本実施形態に係るセキュリティサーバの構成概略図である。 自己符号化器の構造を示す図である。 対象入力データと対象出力データとの比較に基づく誤差スコアの例を示す図である。 評価スコアのグラフの例を示す図である。
図１は、本実施形態に係るネットワークシステム１０の構成概略図である。ネットワークシステム１０は、１又は複数の接続元端末１２、１又は複数の接続先ホスト１４、ネットワーク装置１６、及び、本発明に係る情報処理装置としてのセキュリティサーバ１８を含んで構成されている。接続元端末１２とネットワーク装置１６は、ＬＡＮ（Local Area Network）などのイントラネットにより通信可能に接続されている。また、接続先ホスト１４、ネットワーク装置１６、及びセキュリティサーバ１８は、インターネット及びＬＡＮなどを含む通信回線２０により互いに通信可能に接続されている。
接続元端末１２は、利用者（ユーザ）が使用する端末であり、例えばパーソナルコンピュータである。また、接続元端末１２としては、タブレット端末などの携帯端末、あるいはＩｏＴ端末などであってもよい。接続元端末１２は、ネットワーク装置１６と通信するため、あるいは、ネットワーク装置１６を介して接続先ホスト１４と通信するための通信インターフェースと、ハードディスク、ＲＯＭ（Read Only Memory）、あるいはＲＡＭ（Random Access Memory）などから構成されるメモリと、液晶表示器などから構成されるディスプレイと、マウスやキーボードあるいはタッチパネルなどから構成される入力インターフェースと、ＣＰＵ（Central Processing Unit）やマイクロコンピュータなどから構成されるプロセッサと、を含む。
接続元端末１２は、マルウェアに感染するおそれがある。マルウェアとは、不正且つ有害に接続元端末１２を動作させる意図で作成された悪意のあるソフトウェアや悪質なコードの総称である。マルウェアは様々な感染経路で接続元端末１２内に侵入し得る。例えば、脅威の有る接続先ホスト１４からマルウェアが接続元端末１２に送り付けられることで接続元端末１２がマルウェアに感染する。あるいは、マルウェアに感染した外部記憶媒体（例えばＵＳＢメモリなど）が接続元端末１２に接続されることで、接続元端末１２がマルウェアに感染する。
接続先ホスト１４は、例えば、１つのサーバ（例えばウェブサーバ）であってよく、通信回線２０を介してアクセスしてきた装置に対して各種データ（例えばウェブページデータなど）を提供するものである。また、バーチャルホストと呼ばれる技術により、１つのサーバにおいて、仮想的に複数の接続先ホスト１４が定義される場合もある。
ネットワーク装置１６は、通信経路において接続元端末１２と接続先ホスト１４との間に介在する装置である。ネットワーク装置１６は、接続元端末１２が接続先ホスト１４と通信する際に種々の処理を実行する。例えば、ネットワーク装置１６は、接続元端末１２においてユーザが接続先ホスト１４のＵＲＬ（Uniform Resource Locator）を指定した場合（つまり、接続元端末１２から接続先ホスト１４への通信を試みる場合）、当該ＵＲＬに含まれる、接続先ホスト１４を示すドメイン名としてのＦＱＤＮ（Fully Qualified Domain Name；例えば「www.fujixerox.co.jp」など）の名前解決をすべく、当該ＦＱＤＮをＤＮＳサーバ（不図示）に送信する。
ＤＮＳサーバは、ネットワーク装置１６からＦＱＤＮを受信すると、当該ＦＱＤＮについて名前解決処理を行い、当該ＦＱＤＮが示す接続先ホスト１４のＩＰアドレスを特定する。ＤＮＳサーバは、いわゆるフルサービスリゾルバであり、１又は複数の権威サーバであるネームサーバ（不図示）との協働により名前解決処理を実行してもよいし、ＤＮＳサーバ単体で名前解決処理が可能であってもよい。ＤＮＳサーバは、特定したＩＰアドレス（すなわち接続先ホスト１４のＩＰアドレス）をネットワーク装置１６に送信する。これにより、ネットワーク装置１６は、当該ＩＰアドレスに基づいて接続先ホスト１４にアクセス可能となる。
なお、接続元端末１２のユーザは、接続元端末１２において、接続先ホスト１４のＵＲＬに代えて、接続先ホスト１４のＩＰアドレスを直接入力することもできる。その場合、上述の名前解決処理は必要なく、ネットワーク装置１６は接続元端末１２から受信したＩＰアドレスに基づいて、接続先ホスト１４にアクセスする。
なお、ネットワーク装置１６は、接続元端末１２が通信回線２０を介して接続先ホスト１４と通信する際におけるセキュリティの担保に関する処理も実行する。例えば、ネットワーク装置１６は、接続先ホスト１４から送られてくるデータ（例えばパケット）を検証し、当該データが不正データ（接続元端末１２に不当な悪影響を生じさせる、あるいはその可能性があるデータ）であると判断した際に、接続元端末１２と接続先ホスト１４との間の通信を遮断するファイアウォールあるいはＩＤＳ（Intrusion Prevention System；侵入検知システム）を備えている。
接続元端末１２と接続先ホスト１４とが通信する度に、当該通信の履歴を示す通信ログ１６ａがネットワーク装置１６に蓄積記憶される。本実施形態では、１セッションの通信毎に、通信ログ１６ａとして、ＩＣＭＰ（Internet Control Message Protocol）セッション情報を含む情報が記憶される。ＩＣＭＰセッション情報とは、イーサネットフレームのペイロード内のＩＰヘッダ及びＩＣＭＰメッセージに含まれる情報である。
図２に、１回のセッションに対応する通信ログ１６ａの例が示されている。通信ログ１６ａには、通信日時、時間帯、接続元端末１２のＩＰアドレス、接続先ホスト１４のＩＰアドレス、及び、接続先ホスト１４のＩＰアドレスの保有国を示す情報が含まれる。通信日時は、接続元端末１２が接続先ホスト１４に接続した時刻、換言すれば、接続元端末１２と接続先ホスト１４との間の通信が開始された時刻である。時間帯は、接続元端末１２が接続先ホスト１４に接続した時間帯を示す情報であり、本実施形態では、０〜２３までの値を取り得る。例えば、時間帯が「１」である場合、当該通信ログ１６ａが示す通信は、午前１：００〜午前２：００までの間に行われたことを示す。なお、時間帯としては、「朝夜時間帯」、「勤務時間帯」なども定義可能である。また、接続先ホスト１４のＩＰアドレスの保有国を示す情報は、例えば、ネットワーク装置１６が、各ＩＰアドレスの所有者に関する情報を保有しているサービスであるＷｈｏｉｓに問い合わせることなどで取得することができる。
本実施形態では、ネットワーク装置１６は、複数の接続元端末１２に接続され、各接続元端末１２と接続先ホスト１４との間における通信に関する通信ログ１６ａの取得、及び、各接続元端末１２と接続先ホスト１４との間の通信におけるセキュリティの担保に関する処理を実行する。
セキュリティサーバ１８は、サーバコンピュータなどから構成される。セキュリティサーバ１８は、接続元端末１２からの不正通信を検出する。すなわち、セキュリティサーバ１８は、マルウェアに感染した接続元端末１２からの、当該接続元端末１２の利用者の意に反する接続先ホスト１４への通信を検出する。セキュリティサーバ１８が不正通信を検出した場合、当該不正通信を行おうとした接続元端末１２はマルウェアに感染しているということができる。したがって、セキュリティサーバ１８は、接続元端末１２がマルウェアに感染しているか否かを検出するということもできる。
図３は、セキュリティサーバ１８の構成概略図である。以下、図３を参照しながら、セキュリティサーバ１８の各部について説明する。
通信インターフェース３０は、例えばネットワークアダプタなどを含んで構成される。通信インターフェース３０は、通信回線２０を介して他の装置（例えばネットワーク装置１６など）と通信する機能を発揮する。
メモリ３２は、例えばハードディスク、ＳＳＤ（Solid State Drive）、ＲＯＭ、あるいはＲＡＭなどを含んで構成されている。メモリ３２は、後述のプロセッサ３６とは別に設けられてもよいし、少なくとも一部がプロセッサ３６の内部に設けられていてもよい。メモリ３２には、セキュリティサーバ１８の各部を動作させるための情報処理プログラムが記憶される。また、図３に示す通り、メモリ３２には自己符号化器３４が記憶される。
自己符号化器３４は、オートエンコーダとも呼ばれる学習器である。図４に、自己符号化器３４のモデルが示されている。自己符号化器３４は、それぞれが複数のニューロン３４ａを含む複数の層３４ｂから構成される。自己符号化器３４は、入力データの次元数を縮小して（すなわち入力データの特徴を圧縮して）、入力データの特徴を表す圧縮された特徴ベクトル３４ｃを抽出するエンコーダ３４ｄと、圧縮された特徴ベクトル３４ｃから次元数を拡大して、元の入力データに戻して出力するデコーダ３４ｅとを含んで構成される。エンコーダ３４ｄ及びデコーダ３４ｅは、それぞれ複数の層３４ｂを含んで構成される。エンコーダ３４ｄにおいては、入力側から深い層３４ｂ側に向かうにつれ、層３４ｂが有するニューロン３４ａの数（すなわちデータの次元数）が徐々に減っていく。デコーダ３４ｅにおいては、出力側に向かうにつれ、層３４ｂが有するニューロン３４ａの数が徐々に増えていく。エンコーダ３４ｄ及びデコーダ３４ｅにおいて、ある層３４ｂに含まれる複数のニューロン３４ａと、当該層３４ｂに隣接する層３４ｂに含まれる複数のニューロン３４ａは全結合されている。なお、自己符号化器３４の実体は、自己符号化器３４の構造を定義するプログラム、自己符号化器３４に関する各種パラメータ、及び、入力データに対して処理を行うための処理実行プログラムなどである。したがって、メモリ３２に自己符号化器３４が記憶されるとは、上記プログラムや各種パラメータがメモリ３２に記憶されることを意味する。自己符号化器３４の学習処理の詳細については、後述の学習処理部３８の処理と共に後述する。
プロセッサ３６は、広義的な処理装置を指し、汎用的な処理装置（例えばＣＰＵなど）、及び、専用の処理装置（例えばＧＰＵ（Graphics Processing Unit）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）、あるいは、プログラマブル論理デバイスなど）の少なくとも１つを含んで構成される。プロセッサ３６としては、１つの処理装置によるものではなく、物理的に離れた位置に存在する複数の処理装置の協働により構成されるものであってもよい。図３に示す通り、プロセッサ３６は、メモリ３２に記憶された情報処理プログラムにより、学習処理部３８、異常検出部４０、及び異常対応処理部４２としての機能を発揮する。
学習処理部３８は、ネットワーク装置１６から受信した通信ログ１６ａに基づくデータを学習データとして用いて、自己符号化器３４を学習させる学習処理を行う。
まず、学習処理部３８は、通信ログ１６ａに含まれる情報を自己符号化器３４の学習データとして適した形式に変更する。具体的には、学習処理部３８は、通信ログ１６ａに含まれる、接続元端末１２のＩＰアドレスが有する各セグメント（ＩＰｖ４ではオクテットとも呼ばれる）の数値、及び、接続先ホスト１４のＩＰアドレスが有する各セグメントの数値を連結したものを学習データとする。例えば、通信ログ１６ａの内容が図２に示す内容であるとすると、学習データは、接続元端末１２のＩＰアドレスと接続先ホスト１４のＩＰアドレスを並べて「１９２，１６８，１８３，１９０，１９２，１６８，１８０，２２」となる。すなわち、学習データには、接続元端末１２のＩＰアドレス、及び、接続先ホストのＩＰアドレスが含まれる。
望ましくは、学習データには、通信ログ１６ａに含まれる、時間帯を示す情報及び接続先ホスト１４のＩＰアドレスの保有国を示す情報の少なくとも一方が含まれていてもよい。この場合、これらの情報がさらに連結されたものが学習データとなる。本実施形態では、学習データは、時間帯を示す情報、接続元端末１２のＩＰアドレス、接続先ホストのＩＰアドレス、及び、接続先ホスト１４のＩＰアドレスの保有国を示す情報を含む。例えば、通信ログ１６ａの内容が図２に示す内容であるとすると、学習データは、「１，１９２，１６８，１８３，１９０，１９２，１６８，１８０，２２，ｊｐ」となる。
上述の処理にて、ネットワーク装置１６に蓄積記憶された通信ログ１６ａの数と同じサンプル数の学習データが得られる。学習処理部３８は、得られた学習データを用いて自己符号化器３４を学習させる。
学習処理部３８は、学習データを自己符号化器３４に入力するに先立って、学習データを辞書化する辞書化処理を行う。予め、学習データに含まれ得る値に対応する数値を辞書としてメモリ３２に記憶させておき、学習処理部３８は、当該辞書に基づいて学習データを辞書化する。例えば、時間帯「１」を数値「１」に、時間帯「２」を数値の「２」に、接続先ホスト１４のＩＰアドレスの保有国「ｊｐ」を数値「７０１」に変換する。また、ＩＰアドレスの各セグメントについては、接続元端末１２のＩＰアドレスと、接続先ホスト１４のＩＰアドレスとを区別するため、同一の数値であっても、接続元端末１２のＩＰアドレスと、接続先ホスト１４のＩＰアドレスとでは異なる数値に変換する。例えば、接続元端末１２のＩＰアドレスに含まれる数値「１９２」を数値「２１５」に、接続先ホスト１４のＩＰアドレスに含まれる数値「１９２」を数値「４７１」に変換する。なお、本明細書においては、理解を容易にするため、自己符号化器３４に、直接、時間帯を示す情報、ＩＰアドレス、及び保有国を示す情報が入力されるように記載するが、実際には辞書化された数値が自己符号化器３４に入力される。
学習処理部３８が学習データを入力データとして自己符号化器３４に入力すると、自己符号化器３４のエンコーダ３４ｄが当該入力データの特徴から圧縮された特徴ベクトル３４ｃを抽出し、自己符号化器３４のデコーダ３４ｅが特徴ベクトル３４ｃから入力データを復元して出力しようとする（図４参照）。学習処理部３８は、自己符号化器３４の出力データと入力データとの差分に基づいて、自己符号化器３４を学習させる。
学習処理部３８が上述の学習処理を繰り返すことで、学習済みの自己符号化器３４は、入力データの特徴を学習し、入力データが学習済みの特徴を有しているならば、当該入力データから抽出された、圧縮された特徴ベクトル３４ｃに基づいて、当該入力データを復元して出力データとして出力できるようになる。つまり、自己符号化器３４は、入力データが学習済みの特徴を有しているならば、当該入力データをそのまま出力データとして出力できるようになる。換言すれば、自己符号化器３４は、入力データがこれまでに学習していない特徴を有しているならば、当該入力データを復元して出力データとして出力することができない。その場合、入力データと出力データとが異なることとなる。
正常時、つまり、接続元端末１２がマルウェアに感染していない場合においては、接続元端末１２は、特定の複数の接続先ホスト１４にアクセスする場合が多い。これは、接続元端末１２を使用するユーザが特定の行動パターンで行動している場合が多いことなどに起因するものである。したがって、接続元端末１２のＩＰアドレスと、接続先ホスト１４のＩＰアドレスとの組み合わせが、接続元端末１２からの通信の特徴を表すものとなり得る。さらに好適には、接続元端末１２のＩＰアドレスと、接続先ホスト１４のＩＰアドレスとに時間帯や接続先ホスト１４のＩＰアドレスの保有国を含めたものが、接続元端末１２からの通信の特徴を表すものとなり得る。したがって、上述の学習データを用いて学習される自己符号化器３４は、接続元端末１２からよく行われる通信の特徴を学習すると言える。
接続元端末１２及び接続先ホスト１４を識別するための識別情報としては種々の情報があることから、接続元端末１２及び接続先ホスト１４のＩＰアドレスに代えて、その他の識別情報を学習データに含めることが考えられる。しかしながら、自己符号化器３４においては、学習データの学習要素の数が少なすぎると学習効率が低下し、学習要素の数が多すぎると学習処理の負担が大きくなる場合がある。ここで、ＩＰアドレスは、４又は８のセグメントから構成されるため、１つのＩＰアドレスは４又は８個の学習要素で表現されるから、学習データの学習要素数としては適度な数であり、ＩＰアドレスが自己符号化器３４の学習データとしては適しているということができる。
また、ＩＰアドレスは、接続元端末１２又は接続先ホスト１４の類似性を表す情報として捉えることもできる。例えば、ＩＰｖ４形式のＩＰアドレスを考えると、第１〜第３セグメントが同一であり、第４セグメントのみがわずかに異なるＩＰアドレスを有する複数の端末は、互いに類似する特徴を有している場合がある。具体的には、脅威のある接続先ホスト１４（マルウェアに感染した接続元端末１２が通信する接続先ホスト１４）のＩＰアドレスと、第１〜第３セグメントが同一であり第４セグメントのみがわずかに異なるＩＰアドレスを有する他の接続先ホスト１４は、同様に脅威がある接続先ホスト１４である可能性が高いと言える。また、第１〜第３セグメントが同一であり第４セグメントのみがわずかに異なるＩＰアドレスを有する複数の接続元端末１２は、互いに類似する通信の特徴を有している場合も多いと考えられる。したがって、学習データにＩＰアドレスを用いることで、ＩＰアドレスに基づく接続元端末１２又は接続先ホスト１４の類似性を考慮しながら、自己符号化器３４は学習を行うことができる。
上述のように、自己符号化器３４においては、入力データと出力データとの差分に基づいて学習が行われる。しかしながら、自己符号化器３４の学習データとしての入力データには、それが不正通信によるものであるのか否かのラベルが付されていない。したがって、自己符号化器３４は教師無し学習により学習されていると言える。
異常検出部４０は、不正通信の検出処理の対象である接続元端末１２（本明細書では「対象接続元端末１２ａ」と呼ぶ）についての通信ログ１６ａに基づいて、学習処理部３８と同様の処理により、対象接続元端末１２ａのＩＰアドレスが有する各セグメントの数値、及び、対象接続元端末１２ａが接続した接続先ホスト（本明細書では「対象接続先ホスト１４ａ」と呼ぶ）のＩＰアドレスが有する各セグメントの数値を連結した対象入力データを取得する。自己符号化器３４が、時間帯を示す情報を含んだ学習データで学習されている場合、異常検出部４０は、通信ログ１６ａに基づいて、時間帯を示す情報、対象接続元端末１２ａのＩＰアドレスが有する各セグメントの数値、及び、対象接続先ホスト１４ａのＩＰアドレスが有する各セグメントの数値を連結した対象入力データを含む対象入力データを取得する。また、自己符号化器３４が、対象接続先ホスト１４ａのＩＰアドレスの保有国を示す情報を含んだ学習データで学習されている場合、異常検出部４０は、通信ログ１６ａに基づいて、対象接続元端末１２ａのＩＰアドレスが有する各セグメントの数値、対象接続先ホスト１４ａのＩＰアドレスが有する各セグメントの数値を一列に並べた対象入力データ、及び、対象接続先ホスト１４ａのＩＰアドレスの保有国を示す情報を連結した対象入力データを取得する。本実施形態では、異常検出部４０は、時間帯を示す情報、対象接続元端末１２ａのＩＰアドレスが有する各セグメントの数値、対象接続先ホスト１４ａのＩＰアドレスが有する各セグメントの数値、及び、対象接続先ホスト１４ａのＩＰアドレスの保有国を示す情報を含む対象入力データを取得する。
異常検出部４０は、取得した対象入力データを学習済みの自己符号化器３４に入力し、当該対象入力データと、当該対象入力データに対する自己符号化器３４の出力データ（本明細書では「対象出力データ」と呼ぶ）との比較に基づいて、対象接続元端末１２ａからの不正通信を検出する。
上述の通り、自己符号化器３４は、接続元端末１２からよく行われる通信の特徴を学習しているので、対象入力データを自己符号化器３４に入力した場合、対象入力データが学習済みの特徴を有しているならば、対象出力データは対象入力データと同等となる。つまり、自己符号化器３４は、対象入力データが示す接続元端末１２からの通信の特徴が、学習済みの接続元端末１２からの通信の特徴、いわば、「いつもの」接続元端末１２からの通信の特徴と同じであれば、対象入力データと同じ対象出力データを出力することができる。一方、対象入力データが学習済みの特徴とは異なる特徴を有しているならば、対象出力データは対象入力データと同等とならない。
上述のように、本実施形態では、自己符号化器３４は、接続元端末１２及び接続先ホスト１４のＩＰアドレスを含む学習データを用いて学習しており、且つ、対象入力データにも対象接続元端末１２ａ及び対象接続先ホスト１４ａのＩＰアドレスが含まれているから、自己符号化器３４は、ＩＰアドレスに基づく接続元端末１２又は接続先ホスト１４の類似性も考慮しつつ、対象入力データが示す接続元端末１２からの通信の特徴が、学習済みの接続元端末１２からの通信の特徴と同じと判定される場合に、対象入力データと同等の対象出力データを出力することができる。
異常検出部４０は、対象入力データと対象出力データとの比較に基づいて、対象入力データが示す通信の特徴が、対象接続元端末１２ａからの「いつもの」通信の特徴であるか否かを判定し、対象入力データが示す対象接続元端末１２ａの通信の特徴が、学習済みの対象接続元端末１２ａからの通信の特徴（いわば「いつもの」通信の特徴）と異なる場合に、対象接続元端末１２ａからの通信が不正通信であると擬制する。異常検出部４０がこのような方法で対象接続元端末１２ａからの不正通信を検出することで、予め不正通信の通信態様を定義したり、不正通信の通信態様を学習したりする必要なく、対象接続元端末１２ａからの不正通信を検出することができる。
以下、異常検出部４０による処理の詳細を説明する。なお、異常検出部４０も、学習処理部３８同様、対象入力データを自己符号化器３４に入力するに先立って、対象入力データを辞書化する辞書化処理を行う。
図５には、学習済みの自己符号化器３４に入力された対象入力データと、当該対象入力データに対する自己符号化器３４の対象出力データとの例が示されている。異常検出部４０は、対象入力データと対象出力データとを比較して、両者の差異を表す誤差スコアを算出する。
具体的には、異常検出部４０は、対象入力データが有する各情報（すなわち時間帯を示す情報、接続元端末１２のＩＰアドレスの各セグメント、接続先ホスト１４のＩＰアドレスの各セグメント、接続先ホスト１４のＩＰアドレスの保有国を示す情報）と、対象出力データが有する対応する情報とを比較して、各情報毎に個別誤差スコアを算出する。例えば、図５に示すように、対象入力データにおける時間帯「１」と、対象出力データにおける時間帯「１」とを比較し、両者の差異を表す個別誤差スコア「０．０００１」を算出する。また、例えば、対象入力データにおける対象接続先ホスト１４ａのＩＰアドレスの第１セグメント「１９２」と、対象出力データにおける対象接続先ホスト１４ａのＩＰアドレスの第１セグメント「１９４」とを比較し、両者の差異を表す個別誤差スコア「０．１」を算出する。
個別誤差スコアの算出方法は種々の方法が考えられるため、任意の方法を採用することができる。本実施形態では、対象入力データと対象出力データとの差異が大きい程、個別誤差スコアが大きくなるように算出され、対象入力データと対象出力データとの差異が小さい程、個別誤差スコアが小さくなるように算出される。
個別誤差スコアの算出にあたり、異常検出部４０は、対象入力データに含まれる対象接続元端末１２ａのＩＰアドレスと、対象出力データに含まれる対象接続元端末１２ａのＩＰアドレスとの間において、セグメントに応じて、異なる算出方法で各セグメントに対応する個別誤差スコアを算出するようにしてもよい。具体的には、対象入力データと対象出力データにおける対象接続元端末１２ａの両ＩＰアドレスの間において、上位セグメント（例えば第１セグメント）の数値においてある差異（例えば「１」）があった場合と、上位セグメントよりも下位にある下位セグメント（例えば第４セグメント）の数値に同じ差異（例えば「１」）があった場合とでは、上位セグメントの数値に当該差異がある方が、対象入力データと対象出力データにおける対象接続元端末１２ａの両ＩＰアドレスの類似性がより低いということができる。例えば、ＩＰアドレス「１９２．１６８．１８３．１９０」と、ＩＰアドレス「１９４．１６８．１８３．１９０」との類似性は、ＩＰアドレス「１９２．１６８．１８３．１９０」と、ＩＰアドレス「１９２．１６８．１８３．１９２」との類似性よりも低いと言える。換言すれば、上位セグメントの数値に当該差異がある方が、対象入力データと対象出力データとの間の差異はより大きいと言える。
したがって、異常検出部４０は、上位セグメントの数値に差異がある場合、下位セグメントの数値に同じ差異があった場合に比して、個別誤差スコアがより大きくなるように算出する。例えば、下位セグメントにおける「１」の差異に対する個別誤差スコアが「０．１」である場合、上位セグメントにおいて同じ「１」の差異がある場合、当該上位セグメントの差異に対する個別誤差スコアを「０．１」よりも大きい「０．３」などとなるように、セグメントに応じて補正をかけた上で、あるいは、セグメントに応じて異なる算出方法で個別誤差スコアを算出する。
同様に、異常検出部４０は、対象入力データに含まれる対象接続先ホスト１４ａのＩＰアドレスと、対象出力データに含まれる対象接続先ホスト１４ａのＩＰアドレスとの間において、上位セグメントの数値に差異がある場合、下位セグメントの数値に同じ差異があった場合に比して、個別誤差スコアがより大きくなるように算出するようにしてもよい。
対象入力データ及び対象出力データが有する情報毎に算出された、複数の個別誤差スコアに基づいて、対象入力データ全体と、対象出力データ全体との差異を表す誤差スコアが算出される。本実施形態では、対象入力データと対象出力データとの間で算出された複数の個別誤差スコアのうちの最大値を、対象入力データと対象出力データとの間の誤差スコアとする。図５の例では、対象入力データにおける対象接続先ホスト１４ａのＩＰアドレスの第２セグメント「１６８」と、対象出力データにおける対象接続先ホスト１４ａのＩＰアドレスの第２セグメント「１９０」との間の個別誤差スコア「０．５」が最大値であるため、対象入力データと対象出力データとの間の誤差スコアが「０．５」となる。なお、誤差スコアは、対象入力データと対象出力データとの差異が大きい程、誤差スコアが大きくなるように算出される限りにおいて、その他の方法（例えば複数の個別誤差スコアの平均値など）によって算出されてもよい。
上述のようにして、異常検出部４０は、対象接続元端末１２ａに関する複数の対象入力データを学習済みの自己符号化器３４に入力し、各対象入力データと各対象出力データとの間の複数の誤差スコアを算出する。そして、異常検出部４０は、算出した複数の誤差スコアに基づいて、接続元端末１２からの通信が不正通信であるか否か、換言すれば、当該接続元端末１２がマルウェアに感染しているか否かを判定する。
複数の誤差スコアに基づく接続元端末１２からの不正通信の検出方法としては、種々の方法が考えられるが、本実施形態では、異常検出部４０は、以下の処理によって接続元端末１２からの不正通信を検出する。
まず、異常検出部４０は、対象入力データと対象出力データの複数の組のうち、予め定められた閾値（例えば０．２）以上の誤差スコアが算出された組を抽出する。そして、通信ログ１６ａを参照し、抽出された組の対象入力データに対応する、通信日時、時間帯、対象接続元端末１２ａのＩＰアドレス、対象接続先ホスト１４ａのＩＰアドレス、対象接続先ホスト１４ａのＩＰアドレスの保有国、及び、当該対象入力データについて算出された誤差スコアを含む異常ログを生成する。
次いで、異常検出部４０は、一定時間（例えば１０分間）の枠である時間ウィンドウ毎に、生成した異常ログに含まれる誤差スコアに基づく評価スコアを算出する。本実施形態では、異常検出部４０は、パープレキシティ（Perplexity）という尺度に基づいて評価スコアを算出する。具体的には、異常検出部４０は、時間ウィンドウをある期間に設定し、設定された時間ウィンドウ内に含まれる各異常ログ（異常ログに含まれる通信日時が当該時間ウィンドウ内であるもの）に含まれる各誤差スコアＰの−ｌｏｇ２Ｐを計算し、当該時間ウィンドウ内における各誤差スコアＰの−ｌｏｇ２Ｐの平均値を算出する。当該平均値が当該時間ウィンドウの評価スコアとなる。評価スコアが大きい程、対象入力データがより異常である（すなわち当該接続元端末１２のいつもの通信の特徴とはより異なる）ことを示す。
異常検出部４０は、時間ウィンドウの設定期間を少しずつ（例えば１分ずつ）ずらしながら、各時間ウィンドウについて上述の評価スコアを算出していく。そして、各時間ウィンドウの評価スコアに基づいて、接続元端末１２からの不正通信を検出する。例えば、ある閾値以上の評価スコアを有する時間ウィンドウが所定回数連続して現れた場合に、接続元端末１２からの通信が不正通信であると判断する。
図６に示すように、異常検出部４０は、各時間ウィンドウ毎に算出された評価スコアをグラフにして出力するようにしてもよい。図６のグラフにおいて、横軸は各時間ウィンドウの開始時刻又は終了時刻を表し、縦軸が評価スコアを表す。当該グラフは、例えばネットワーク装置１６の管理者、あるいは、複数の接続元端末１２の管理者などによって閲覧される。これにより、管理者は、接続元端末１２からの通信が不正通信であること、換言すれば、接続元端末１２がマルウェアに感染していることを把握することができる。
図３に戻り、異常対応処理部４２は、接続元端末１２からの通信が不正通信であることを異常検出部４０が検出したことに応じて、種々の処理を実行する。例えば、異常対応処理部４２は、ネットワーク装置１６を制御して、当該接続元端末１２からの通信を遮断する。また、当該接続元端末１２に警告を出力させるべく、警告出力指示を当該接続元端末１２に送信する。また、ネットワーク装置１６の管理者、あるいは、複数の接続元端末１２の管理者が使用する管理者端末に対して通知を出力するようにしてもよい。
以上、本発明に係る実施形態を説明したが、本発明は上記実施形態に限られるものではなく、本発明の趣旨を逸脱しない限りにおいて種々の変更が可能である。
例えば、本実施形態では、自己符号化器３４はセキュリティサーバ１８の学習処理部３８により学習されていたが、自己符号化器３４は別の装置において学習され、学習済みの自己符号化器３４がメモリ３２に記憶されてもよい。また、本実施形態では、学習処理部３８、異常検出部４０、及び異常対応処理部４２の機能はセキュリティサーバ１８が有していたが、これらの機能をネットワーク装置１６が有するようにしてもよい。
１０ ネットワークシステム、１２ 接続元端末、１２ａ 対象接続元端末、１４ 接続先ホスト、１４ａ 対象接続先ホスト、１６ ネットワーク装置、１６ａ 通信ログ、１８ セキュリティサーバ、２０ 通信回線、３０ 通信インターフェース、３２ メモリ、３４ 自己符号化器、３６ プロセッサ、３８ 学習処理部、４０ 異常検出部、４２ 異常対応処理部。

Claims (5)

  1. プロセッサを備え、
    前記プロセッサは、
    接続元端末のＩＰアドレス、及び、前記接続元端末が接続した接続先ホストのＩＰアドレスを学習データとして学習された自己符号化器に、対象接続元端末のＩＰアドレス、及び、前記対象接続元端末の接続先である対象接続先ホストのＩＰアドレスを含む対象入力データを入力することで、前記対象接続元端末からの不正通信を検出する、
    ことを特徴とする情報処理装置。
  2. 前記自己符号化器は、前記接続元端末が前記接続先ホストに接続した時間帯を示す情報を含む前記学習データに基づいて学習され、
    前記プロセッサは、前記対象接続元端末が前記対象接続先ホストに接続する時間帯を示す情報をさらに前記自己符号化器に入力する、
    ことを特徴とする請求項１に記載の情報処理装置。
  3. 前記自己符号化器は、前記接続先ホストのＩＰアドレスの保有国を示す情報を含む前記学習データに基づいて学習され、
    前記プロセッサは、前記対象接続先ホストのＩＰアドレスの保有国を示す情報をさらに前記自己符号化器に入力する、
    ことを特徴とする請求項１又は２に記載の情報処理装置。
  4. 前記プロセッサは、
    前記対象入力データと、前記対象入力データに対する前記自己符号化器の出力である対象出力データとの差異から算出される誤差スコアに基づいて前記対象接続元端末からの不正通信を検出し、
    前記自己符号化器の入力である前記対象接続元端末のＩＰアドレスと、前記自己符号化器の出力である前記対象接続元端末のＩＰアドレスとの間、又は、前記自己符号化器の入力である前記対象接続先ホストのＩＰアドレスと、前記自己符号化器の出力である前記対象接続先ホストのＩＰアドレスとの間において、上位セグメントに差異があった場合、前記上位セグメントの下位にある下位セグメントに同じ差異があった場合に比して、前記対象入力データと前記対象出力データとの間の差異が大きくなるように前記誤差スコアを算出する、
    ことを特徴とする請求項１から３のいずれか１項に記載の情報処理装置。
  5. コンピュータに、
    接続元端末のＩＰアドレス、及び、前記接続元端末が接続した接続先ホストのＩＰアドレスを学習データとして学習された自己符号化器に、対象接続元端末のＩＰアドレス、及び、前記対象接続元端末の接続先である対象接続先ホストのＩＰアドレスを含む対象入力データを入力させることで、前記対象接続元端末からの不正通信を検出される、
    ことを特徴とする情報処理プログラム。
JP2020094038A 2020-05-29 2020-05-29 情報処理装置及び情報処理プログラム Pending JP2021189721A (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2020094038A JP2021189721A (ja) 2020-05-29 2020-05-29 情報処理装置及び情報処理プログラム
US17/106,165 US11729135B2 (en) 2020-05-29 2020-11-29 Information processing apparatus and non-transitory computer readable medium for detecting unauthorized access

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2020094038A JP2021189721A (ja) 2020-05-29 2020-05-29 情報処理装置及び情報処理プログラム

Publications (1)

Publication Number Publication Date
JP2021189721A true JP2021189721A (ja) 2021-12-13

Family

ID=78707058

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2020094038A Pending JP2021189721A (ja) 2020-05-29 2020-05-29 情報処理装置及び情報処理プログラム

Country Status (2)

Country Link
US (1) US11729135B2 (ja)
JP (1) JP2021189721A (ja)

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015197749A (ja) * 2014-03-31 2015-11-09 株式会社ラック ログ分析システム
WO2016140038A1 (ja) * 2015-03-05 2016-09-09 日本電信電話株式会社 通信先悪性度算出装置、通信先悪性度算出方法及び通信先悪性度算出プログラム
JP2016532381A (ja) * 2013-08-14 2016-10-13 ダニエル チエン 疑わしいネットワーク通信の評価
WO2018235252A1 (ja) * 2017-06-23 2018-12-27 日本電気株式会社 分析装置、ログの分析方法及び記録媒体
JP2019047335A (ja) * 2017-09-01 2019-03-22 日本電信電話株式会社 検知装置、検知方法、および、検知プログラム
JP2019153875A (ja) * 2018-03-01 2019-09-12 株式会社日立製作所 不正通信検知装置および不正通信検知プログラム
US20190327252A1 (en) * 2018-04-19 2019-10-24 Raytheon Bbn Technologies Corp. Network security system and methods for encoding network connectivity for activity classification
JP2020005234A (ja) * 2018-07-02 2020-01-09 日本電信電話株式会社 生成装置、生成方法及び生成プログラム

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007106902A2 (en) * 2006-03-15 2007-09-20 Daniel Chien Identifying unauthorized access to a network resource
JP6078179B1 (ja) 2016-01-20 2017-02-08 西日本電信電話株式会社 セキュリティ脅威検出システム、セキュリティ脅威検出方法、及びセキュリティ脅威検出プログラム
JP6770454B2 (ja) 2017-02-16 2020-10-14 日本電信電話株式会社 異常検知システム及び異常検知方法
KR101880907B1 (ko) 2017-09-22 2018-08-16 펜타시큐리티시스템 주식회사 비정상 세션 감지 방법
US11716338B2 (en) * 2019-11-26 2023-08-01 Tweenznet Ltd. System and method for determining a file-access pattern and detecting ransomware attacks in at least one computer network

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016532381A (ja) * 2013-08-14 2016-10-13 ダニエル チエン 疑わしいネットワーク通信の評価
JP2015197749A (ja) * 2014-03-31 2015-11-09 株式会社ラック ログ分析システム
WO2016140038A1 (ja) * 2015-03-05 2016-09-09 日本電信電話株式会社 通信先悪性度算出装置、通信先悪性度算出方法及び通信先悪性度算出プログラム
WO2018235252A1 (ja) * 2017-06-23 2018-12-27 日本電気株式会社 分析装置、ログの分析方法及び記録媒体
JP2019047335A (ja) * 2017-09-01 2019-03-22 日本電信電話株式会社 検知装置、検知方法、および、検知プログラム
JP2019153875A (ja) * 2018-03-01 2019-09-12 株式会社日立製作所 不正通信検知装置および不正通信検知プログラム
US20190327252A1 (en) * 2018-04-19 2019-10-24 Raytheon Bbn Technologies Corp. Network security system and methods for encoding network connectivity for activity classification
JP2020005234A (ja) * 2018-07-02 2020-01-09 日本電信電話株式会社 生成装置、生成方法及び生成プログラム

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
中原 正隆: "Isolation Forestを用いたＩｏＴデバイス向けマルウェア感染検知", ２０２０年 暗号と情報セキュリティシンポジウム予稿集, JPN6023047339, 21 January 2020 (2020-01-21), JP, pages 1 - 8, ISSN: 0005200543 *
山西 宏平: "畳み込みニューラルネットワークを用いたＵＲＬ系列に基づくドライブバイダウンロード攻撃検知", ＣＳＳ２０１６ コンピュータセキュリティシンポジウム２０１６ 論文集 合同開催 マルウェア対策研究人, vol. 第2016巻,第2号, JPN6023047341, 4 October 2016 (2016-10-04), JP, pages 811 - 818, ISSN: 0005200541 *
石田 時大: "機械学習を利用した通信異常検知システムの提案", 第７７回（平成２７年）全国大会講演論文集（３） ネットワーク セキュリティ, JPN6023047340, 17 March 2015 (2015-03-17), JP, pages 3 - 485, ISSN: 0005200542 *
金澤 しほり: "未知の不正Ｗｅｂサイト判別のためのＩＰアドレスクラスの特徴分析", ＣＳＳ２０１６ コンピュータセキュリティシンポジウム２０１６ 論文集 合同開催 マルウェア対策研究人, vol. 第2016巻第2号, JPN6023047338, 4 October 2016 (2016-10-04), JP, pages 777 - 783, ISSN: 0005200544 *

Also Published As

Publication number Publication date
US11729135B2 (en) 2023-08-15
US20210377218A1 (en) 2021-12-02

Similar Documents

Publication Publication Date Title
JP4083747B2 (ja) ＤｏＳ攻撃の検出及び追跡を行うシステム及び方法
CN109474575B (zh) 一种dns隧道的检测方法及装置
CN102656587B (zh) 在信誉系统中使用客户端装置的置信量度
EP3297248B1 (en) System and method for generating rules for attack detection feedback system
US11606385B2 (en) Behavioral DNS tunneling identification
US20050091533A1 (en) Device and method for worm detection, and computer product
JP2019021294A (ja) ＤＤｏＳ攻撃判定システムおよび方法
JP2017510894A (ja) エンドポイントからのネットワークリクエストに言語分析を適用するマルウェアに感染しているマシンを識別するためのシステム
JP2006262019A (ja) ネットワーク検疫プログラム、該プログラムを記録した記録媒体、ネットワーク検疫方法、およびネットワーク検疫装置
US11108794B2 (en) Indicating malware generated domain names using n-grams
TWI677209B (zh) 網名過濾方法
US7469418B1 (en) Deterring network incursion
US20190238573A1 (en) Indicating malware generated domain names using digits
JP2021189658A (ja) 情報処理装置及び情報処理プログラム
CN112437062A (zh) 一种icmp隧道的检测方法、装置、存储介质和电子设备
JP5568344B2 (ja) 攻撃検出装置、攻撃検出方法、及びプログラム
CN112583763B (zh) 入侵侦测装置以及入侵侦测方法
JP2021189721A (ja) 情報処理装置及び情報処理プログラム
CN113678419B (zh) 端口扫描检测
JP7413924B2 (ja) 情報処理装置及び情報処理プログラム
CN113328976B (zh) 一种安全威胁事件识别方法、装置及设备
CN111371917B (zh) 一种域名检测方法及系统
CN101548269B (zh) 用于网络侦查流识别的方法、计算机程序产品和设备
JP4777366B2 (ja) ワーム対策プログラム、ワーム対策装置、ワーム対策方法
JP2009081736A (ja) パケット転送装置及びパケット転送プログラム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20230228

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20231115

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20231121

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20240521