JP4509904B2 - ネットワークセキュリティ装置 - Google Patents

Description

本発明は、ネットワークセキュリティ技術に関し、特に、統計的な手法を用いてネットワークへの不正侵入の検知や防御等を実現する技術に適用して有効な技術に関する。

情報ネットワークを基盤とする情報化社会の進展に伴い、ネットワークセキュリティの確保は、情報漏洩防止、サービスの中断回避のため、ますます重要になっている。ネットワークセキュリティにおける脅威の内容の複雑化が進み、既知の悪意手順と照合し検出するパターンマッチ／シグネチャ分析手法とともに、長時間の通信情報の統計的な傾向を押えた上で、通常と異なる事象を検出するアノマリ（anomaly）分析手法を併せ用いることが一般的になりつつある（たとえば特許文献１）。

アノマリ分析手法は、その性質上、適用箇所における通信情報の流れ、傾向を長時間に渡って学習する必要がある。このため、本分析手法をサポートしたネットワークセキュリティ装置をユーザが導入しても、直ぐには、サービス／運用を開始はできず、導入設置してから１〜２週間の傾向学習期間を必要とする。

また、運用開始後も、ネットワークセキュリティ技術の進展により、新たなアノマリ分析項目が追加される場合もある。この場合、サービス継続中の学習が必要となるが、追加の分析項目に関しては、その分析項目の観点からの学習期間がやはり必要となる。そして、この学習期間内は、ネットワークセキュリティ装置が折角、存在するにも関わらず、ネットワークセキュリティが脅威にさらされている状況となる。

近年のように、ネットワークへの脅威の内容（すなわち悪意手法）が高度化し、かつ変化の速さが増すなかで、ネットワークセキュリティを堅牢にするためには、学習期間の短縮は、重要な技術的課題である。

この学習期間の短縮を実現する方法としては、リプレイモードを持ったパケットキャプチャ装置の利用が考えられる。
パケットキャプチャ装置は、ネットワークの特定箇所を流れるパケットを全て捕捉して記録し、ネットワークにおけるセキュリティ問題の発生時における証拠保全や、セキュリティ問題の解明を支援するための装置である。また、セキュリティ問題の解明のため、さらには、解明結果を、その後のネットワークの脅威の検出に活かすため、記録情報から、通信状況、パケット流やセッションを再現するリプレイモードをサポートしているパケットキャプチャ装置もある。

リプレイ結果をトラヒックとして、ＩＤＳ（Intrusion Detection System:侵入監視システム）等のセキュリティ装置に入力し、学習させることも行われる。このように、パケットキャプチャ装置の利用は有用であり、当該装置の蓄積情報を用いて、ネットワークセキュリティ装置のエミュレーション環境、あるいは、導入予定のセキュリティ装置よりも高い性能の同じシリーズの製品装置で学習させた結果を導入予定のセキュリティ装置に移植することで、学習期間の短縮が図れる可能性がある。

しかしながら、多くの場合、パケットキャプチャ装置のリプレイ機能を利用した学習処理の実行環境は、ネットワークセキュリティ装置の開発／サポート元にあり、導入顧客のサイトに設置されていたパケットキャプチャ装置の情報を外部に持ち出すことになる。この結果、導入顧客側のセキュリティリスクが高まるため、上述のようなパケットキャプチャ装置の情報を利用した学習期間の短縮対策が敬遠されることが懸念される。すなわち、パケットキャプチャデータには、玉石混交、重要性の異なる、ありとあらゆるデータが含まれており、重要度によるデータの分別は実際上困難であり、重要でないデータのみの持ち出しを許可する等のセキュリティリスク対策は採りえないからである。

また、パケットキャプチャ装置に格納されたデータは、そもそも、過去の通信データであり、最新の通信状況を必ずしも反映していない。できるだけ最新の通信情報に基づいて、学習期間の短縮をはかることが望ましい。さらに、ネットワークセキュリティ装置の導入にあわせ、適用セキュリティポリシを変更する場合、過去の異なるセキュリティポリシの下で収集されたキャプチャデータは、そのままでは、学習のために十分な情報にならない可能性がある。

上述のように、アノマリ分析適用のため、ユーザがネットワークセキュリティ装置を導入し設置してから、所定の傾向学習期間が必要である。ユーザがパケットキャプチャ装置などで蓄積した学習素材となるデータを既に保持していた場合、学習期間の短縮が可能となる。すなわち、ネットワークセキュリティ装置の開発／サポート元に過去の蓄積情報を持ち出せば、ネットワークセキュリティ装置のエミュレーション環境、あるいは、導入予定装置よりも高い性能の同一シリーズ製品で学習させた結果を導入装置に移植することで、学習期間の短縮が可能となる。

しかし、情報保全に万全を期した持ち出しや情報管理などの運用は、ユーザ、ならびに、サポート側の双方にとって大きな負担であり、運用手順や手間の削減が課題となる。
なお、上述の特許文献１は、ネットワーク上を流れるトラヒックデータからの学習を想定しており、過去に蓄積されたトラヒックデータの利用については言及がない。

また、他の特許文献２では、主系および従系からなる冗長構成の防御対象にパケットを振り分けるパケット転送装置において、アノマリ型判定を行い、攻撃可能性を有するパケットは、従系に転送することで、侵入の致命的な被害から防御対象を保護しようとする技術が開示されている。しかし、アノマリ型判定における学習時間の短縮等の技術的課題は認識されていない。

さらに、他の特許文献３では、ネットワークの異常を判定する統計的な手法として、パケットをｋ個の分類毎に正規化し、パケット数を要素としたｋ次元ベクトルを用いて異常判定を実現する技術が開示されている。しかし、同様に、アノマリ型判定における学習時間の短縮等の技術的課題は認識されていない。
特開２００４−３１２０８３号公報 特開２００４−２２９０９１号公報 特開２００４−３１２０６４号公報

本発明の目的は、ユーザが保持する過去の通信情報をセキュリティリスクに曝すことなく、当該通信情報を利用して学習期間の短縮を実現することが可能なアノマリ型のネットワークセキュリティ技術を提供することにある。

本発明の他の目的は、特別なハードウェアやソフトウェア等を別途必要とすることなく、ユーザが保持する過去の通信情報を利用して学習期間の短縮を実現することが可能なアノマリ型のネットワークセキュリティ技術を提供することにある。

本発明の他の目的は、学習型のネットワークセキュリティ装置において、特別なハードウェアやソフトウェア等を別途必要とすることなく、導入からセキュリティサービスの運用開始までの所要期間を大幅に短縮することにある。

本発明の第１の観点は、ネットワークを流れる通信情報を監視し、前記ネットワークへの不正侵入の検知および／または防御を行うネットワークセキュリティ装置であって、
統計的な手法を用いて、判定基準情報に基づき前記通信情報の異常の有無を判断する異常判定手段と、
前記通信情報から前記判定基準情報を生成する学習手段と、
現在の前記ネットワークから第１通信情報を取り込む第１ポートと、
通信情報蓄積装置に蓄積された過去の第２通信情報を取り込む第２ポートと、
前記第１および第２ポートの各々から取り込まれた前記第１および第２通信情報を前記異常判定手段および前記学習手段に振り分ける通信情報分配手段と、
を含み、
前記学習手段は、前記第１通信情報および／または前記第２通信情報を学習して前記判定基準情報を生成するネットワークセキュリティ装置を提供する。

本発明の第２の観点は、ネットワークを流れる通信情報を監視し、前記ネットワークへの不正侵入を検知し防御するネットワークセキュリティ装置の制御方法であって、
過去に前記ネットワークに流れた第２通信情報を蓄積する第１工程と、
現在の前記ネットワークに流れる第１通信情報と、前記第２通信情報とを並行して前記ネットワークセキュリティ装置に入力する第２工程と、
統計的な手法を用いて前記第１通信情報の異常の有無を判断する異常判定に用いられる判定基準情報を、前記第１および／または第２通信情報から学習する第３工程と、
を含むネットワークセキュリティ装置の制御方法を提供する。

本発明の第３の観点は、監視対象のネットワークに接続され、現在の前記ネットワークを流れる第１通信情報を取り込む第１ポートと、通信情報蓄積装置に蓄積された過去の前記ネットワークの第２通信情報を取り込む第２ポートと、統計的な手法を用いて前記通信情報の異常の有無を判断する異常判定に用いられる判定基準情報を、前記第１および／または第２通信情報から学習する学習手段とを具備したネットワークセキュリティ装置と、
前記ネットワークセキュリティ装置と前記通信情報蓄積装置との間に介在し、前記通信情報蓄積装置から前記ネットワークセキュリティ装置への前記第２通信情報の入力速度を制御する入力速度制御装置と、
を含むネットワークセキュリティシステムを提供する。

上記した本発明によれば、ネットワークセキュリティ装置に学習ポート（第２ポート）を持たせ、通常のサービスを提供する第１ポートによりリアルタイムで送受している第１通信情報（カレント情報）とともに、学習ポート経由でログサーバ／パケットキャプチャ装置等の通信情報蓄積装置から過去の第２通信情報を取り込んで学習する機能を設けることで、異常判定手段におけるアノマリ判定等に用いられる判定基準情報の構築のための学習時間を短縮し、かつ、最新の第１通信情報の学習結果も判定基準情報に反映させることができる。

顧客サイトに設置されるネットワークセキュリティ装置自体に備わっている学習機能を利用して、同じく顧客サイトに存在するログサーバ／パケットキャプチャ装置等の通信情報蓄積装置から過去の第２通信情報を取り込んで学習するので、学習時間を短縮するための特別なハードウェアやソフトウェアを必要としない。しかも、顧客サイトの通信情報蓄積装置から過去の第２通信情報を外部に持ち出す必要もない。

学習ポートは、通常サービス用ポート（ＷＡＮ／ＬＡＮポート）と同様に個別に物理的に設けてもよいし、ネットワークセキュリティ装置のマネジメント用ポートに、ＶＬＡＮ（Virtual LAN）等の技術を用いて論理的に多重してもよい。これにより、学習ポートを特別に設ける必要や、サービスポートを潰して学習ポートに割り当てる必要がなくなり、ネットワークセキュリティ装置におけるポート数が削減できる。換言すれば、ポート数が少ないネットワークセキュリティ装置でも、学習ポートを利用した学習期間の短縮を実現することが可能になる。

ログサーバ／パケットキャプチャ装置等の通信情報蓄積装置は、ネットワークセキュリティ装置の導入／設置位置とは異なる位置にあるのが普通なので、その場合、ネットワークセキュリティ装置を流れる通信情報を抽出する。

ここで、異常判定手段におけるアノマリ分析の変数を、時間を意識するものとしないものに分類し、時間を意識し、かつ、学習ポートから取り込んだ情報は、後述する過去の通信情報の再生レートにあわせる処理を行った上で、カレント通信情報の変数情報と合流させる。

すなわち、アノマリ判定等における分析変数は、大きく、時間を意識しない項目（時間性独立項目）と、時間に依存する項目（時間依存項目）に分けられる。
時間を意識しない項目（時間性独立項目）とは、特定フィールドの取り得る値の確率、各種状態遷移の確率、また、セッション当たりのパケットサイズ分布やデータ量等、時間経過を含まない統計的な相関分析を行う項目である。この場合は、パケット／セッションのサンプル数を増やしたい場合には、過去の通信情報もカレント通信情報と同等に、単純に多重した扱いができる。

時間に依存する項目（時間依存項目）とは、単位時間当たりのパケット数、セッション数等や、各種頻度（宛先／送信元毎アクセス頻度、サービス毎利用頻度、利用時間帯、アクセス頻度過多過少）等、時間の意識が必要な項目や、時系列的な分析が必要な時間相関関係の項目である。過去の通信情報は、採取時刻が現在時刻でなく、再生速度がリアルタイムの処理速度とは異なるので、まず、現実時刻を基に取り扱うカレント情報との分離が必要である。

この時間依存項目については、学習手段内の統計解析部に対して、過去時刻情報の入力や、リアルタイム処理速度への変換を行った上で渡す必要がある。
ネットワークセキュリティ装置が上記のように時間を意識した項目を処理できるようにするため、ログサーバ／パケットキャプチャ装置等の通信情報蓄積装置の側では、蓄積している過去の第２通信情報に関する時刻情報および再生レート（現実の時間の進みに対する過去の第２通信情報の処理での時間の進み比）を当該ネットワークセキュリティ装置に通知する機能を備える。

また、ネットワークセキュリティ装置は、カレントの第１通信情報の処理負荷に応じ、過去の第２通信情報の処理に割り当るリソースを変更し、変更内容を、ログサーバ／パケットキャプチャ装置に通知する機能を有する。一方、ログサーバ／パケットキャプチャ装置は、その通知を受けて、過去の第２通信情報の再生レートを変更する機能を有する。

このように、カレントの第１通信情報の少ないときに、過去の第２通信情報の学習にリソースを割り当てる制御を行うことで、通常のサービスに影響を与えることなく、過去の第２通信情報の学習による学習時間の短縮を実現できる。

ネットワークセキュリティ装置の導入にあわせて、セキュリティポリシの変更を行う場合、変更後のフィルタリングルールを学習ポートに適用することにより、過去の第２通信情報に対して最新セキュリティポリシを適用してから取り込む。これにより、過去の第２通信情報による学習によって、現在のセキュリティポリシにて処理されるカレントの第１通信情報に有効なアノマリ判定が可能な判定基準情報を構築することができる。

本発明によれば、ユーザが保持する過去の通信情報をセキュリティリスクに曝すことなく、当該通信情報を利用して学習期間の短縮を実現することが可能となる。
また、特別なハードウェアやソフトウェア等を別途必要とすることなく、ユーザが保持する過去の通信情報を利用して学習期間の短縮を実現することが可能となる。

また、学習型のネットワークセキュリティ装置において、特別なハードウェアやソフトウェア等を別途必要とすることなく、導入からセキュリティサービスの運用開始までの所要期間を大幅に短縮することが可能となる。

以下、図面を参照しながら、本発明の実施の形態について詳細に説明する。
図１は、本発明の一実施の形態であるネットワークセキュリティシステムの構成の一例を示す概念図である。

本実施の形態のネットワークセキュリティシステム１０は、ルータ１１、ＬＡＮ（Local Area Network）１２、マネジメント機構１３、スイッチ１４、情報処理装置１５、およびネットワークセキュリティ装置１０００、パケット蓄積装置２０００を含んでいる。

ルータ１１は、ＬＡＮ１２を広域通信網（ＷＡＮ：Wide Area Network）等の外部ネットワーク１６に接続する経路制御装置である。ＬＡＮ１２には、スイッチ１４を介して複数の情報処理装置１５が接続されている。

本実施の形態の場合、情報処理装置１５（スイッチ１４）とＬＡＮ１２との接続境界には、後述のネットワークセキュリティ装置１０００が介設されている。ネットワークセキュリティ装置１０００は、ＬＡＮ１２や外部ネットワーク１６から到来し、ネットワークサービスポートＰＳに入出力される現行パケットＰ１を監視し、当該現行パケットＰ１が不正なパケットか否かを判別して、情報処理装置１５に対する不正アクセスを検出し、遮断する。

本実施の形態の場合、後述のように、ネットワークセキュリティ装置１０００は、稼働状態で入出力される現行パケットＰ１を学習して統計的な手法により不正なアクセスを検出するアノマリ型の不正検出と、パターンマッチングによるシグネチャ型の不正検出の両方の機能を備えている。

ＬＡＮ１２には、ルータ１１に接続されたパケット蓄積装置２０００が設けられており、外部ネットワーク１６から到来する全ての現行パケットＰ１がパケット蓄積装置２０００に捕捉されて蓄積される。

パケット蓄積装置２０００に蓄積された現行パケットＰ１は、将来、必要に応じて、蓄積パケットＰ２として外部に出力される。
後述のように、本実施の形態のネットワークセキュリティ装置１０００は、現在のＬＡＮ１２を流れる現行パケットＰ１が入出力されるネットワークサービスポートＰＳの他に、学習ポートＰＬが設けられている。

この学習ポートＰＬには、パケット蓄積装置２０００が接続されており、パケット蓄積装置２０００が過去に捕捉して蓄積している蓄積パケットＰ２が必要に応じて入力される。

すなわち、本実施の形態の場合、ネットワークセキュリティ装置１０００を、ＬＡＮ１２に新規に導入した場合や、ネットワークセキュリティ装置１０００におけるセキュリティポリシ等の動作仕様に変更があった場合、ネットワークセキュリティ装置１０００は、ＬＡＮ１２を流れる現行パケットＰ１を用いた学習と並行して、学習ポートＰＬを介してパケット蓄積装置２０００から入力される過去の蓄積パケットＰ２を用いた学習を行うことが可能なっている。

マネジメント機構１３は、ＬＡＮ１２に設置されたネットワークセキュリティ装置１０００およびパケット蓄積装置２０００の管理を行う。
図２は、本実施の形態のネットワークセキュリティ装置１０００の構成の一例を示すブロック図である。

本実施の形態のネットワークセキュリティ装置１０００は、ネットワークインタフェース１００１、パケット解析部１００２、シグネチャ型侵入検出部１００３、変数抽出部１００４、変数加工部１００５、統計加工テーブル１００６、配信多重部１００７、統計解析部１００８、統計解析テーブル１００９、アノマリ判定部１０１０、アノマリ評価テーブル１０１１、送信ネットワークインタフェース１０１２、統計解析部１０１３、統計解析テーブル１０１４、学習部１０１５および学習データテーブル１０１６を含んでいる。

ネットワークインタフェース１００１および送信ネットワークインタフェース１０１２は、ネットワークサービスポートＰＳを介して、現在のＬＡＮ１２を流れている現行パケットＰ１の入出力を行う。

本実施の形態の場合、このネットワークサービスポートＰＳの他に学習ポートＰＬが設けられている。この学習ポートＰＬは、ネットワークインタフェース１１０１に収容され、パケット蓄積装置２０００からの蓄積パケットＰ２の取り込みを行う。

パケット解析部１００２、シグネチャ型侵入検出部１００３、変数抽出部１００４は、現行パケットＰ１および蓄積パケットＰ２に共通に用いられる。
また、この学習ポートＰＬから入力される蓄積パケットＰ２を、現行パケットＰ１と並行処理するために、上述の、変数加工部１００５、統計解析部１００８、アノマリ判定部１０１０に対応した、変数加工部１１０５、統計解析部１１０８、アノマリ判定部１１１０を備えている。

学習処理を実行する統計解析部１０１３、統計解析テーブル１０１４、学習部１０１５、および学習データテーブル１０１６は、現行パケットＰ１および蓄積パケットＰ２に共通に用いられる。

パケット解析部１００２は、現行パケットＰ１、蓄積パケットＰ２の認識のパケットとしての認識、パケットからの必要な情報の抽出、セッションの組み立て、上位プロトコルデータの認識、等の処理を行う。

シグネチャ型侵入検出部１００３は、ＦＷ（ファイアウォール）およびシグネチャ型ＩＤＳ（Intrusion Detection System）で構成されている。そして、通過しようとするパケットの特定の情報と、登録済みの不正アクセスパターン情報との一致／不一致にて、侵入の有無を判定する。

変数抽出部１００４は、現行パケットＰ１、蓄積パケットＰ２からの、後述のアノマリ判定部１０１０、アノマリ判定部１１１０でのアノマリ判定に必要な変数の抽出を行う。
変数加工部１００５（変数加工部１１０５）は、現行パケットＰ１（蓄積パケットＰ２）に関する前段の変数抽出部１００４からの情報をもとに、頻度／単位時間当たりのフィールド値出現数／パケット受信数／セッション起動数／セッション状態発生数、さらに、それらの変化率などの変数を求める処理を行う。このため、変数加工部１００５（変数加工部１１０５）は、計時機能としてタイマ１００５ａ（タイマ１１０５ａ）を備えている。

配信多重部１００７は、分岐部１００７ａ、分岐部１００７ｂ、多重化部１００７ｃを備えている。
分岐部１００７ａは、前段の変数加工部１００５から渡される現行パケットＰ１の変数を識別し、既知の評価指標パラメータ（評価指標値／閾値Ｖａ）に基づいてアノマリ判定を行うルート（統計解析部１００８→アノマリ判定部１０１０→送信ネットワークインタフェース１０１２）と、学習処理によって評価指標パラメータの値を求めるルート（統計解析部１０１３→学習部１０１５）に変数を振り分ける処理、あるいは当該変数をコピーして同じものを各ルートに配る処理を行う。

分岐部１００７ｂは、前段の変数加工部１１０５から渡される蓄積パケットＰ２の変数を識別し、既知の評価指標パラメータ（評価指標値／閾値Ｖａ）に基づいてアノマリ判定を行うルート（統計解析部１１０８→アノマリ判定部１１１０）と、学習処理によって評価指標パラメータの値を求めるルート（統計解析部１０１３→学習部１０１５）に変数を振り分ける処理、あるいは、当該変数をコピーして同じものを各ルートに配る処理を行う。

多重化部１００７ｃは、変数加工部１００５から到来する現行パケットＰ１の変数と、変数加工部１１０５から到来する蓄積パケットＰ２の変数を多重化して、学習処理によって評価指標パラメータの値を求めるルート（統計解析部１０１３→学習部１０１５）に供給する処理を行う。

この多重化部１００７ｃでは、現行パケットＰ１および蓄積パケットＰ２の時間独立性項目の変数に関しては、単純な合流を行う。また、多重化部１００７ｃでは、現行パケットＰ１および蓄積パケットＰ２の時間依存性項目の変数に関しては、前段の変数抽出部１００４および変数加工部１００５、変数加工部１１０５と共同して、時間情報（時刻、再生レート）抽出と、当該抽出情報に基づく時刻情報の入力、リアルタイム処理速度への変換処理を行う。

この多重化部１００７ｃの学習ルートにおける役割を、図３および図４を参照してより詳細に説明する。
本実施の形態では、アノマリ分析の項目を、分析する相関関係で分類／識別する。このため、多重化部１００７ｃは、本分類に基づき、カレント情報(現行パケットＰ１)と過去情報(蓄積パケットＰ２)との合流／結合方法を切り替える機能を持つ。

分析相関関係の項目は、大きく、時間を意識しない項目（時間性独立項目）と、時間に依存する項目（時間依存項目）に分けられる。
時間を意識しない項目（時間性独立項目）としては、特定フィールドの取り得る値の確率、各種状態遷移の確率、また、セッション当たりのパケットサイズ分布やデータ量等、時間経過を含まない統計的な相関分析を行う項目がある。この時間性独立項目の処理では、パケット／セッションのサンプル数を増やしたい場合、過去情報もカレント情報と同等に、単純に多重した取り扱いができる。

このため、図３に例示されるように、多重化部１００７ｃには、時間性独立項目の単純な多重化を行うためにトラヒックデータ多重部１００７ｃ−１が設けられている。
一方、時間に依存する項目（時間依存項目）としては、単位時間当たりのパケット数、セッション数等や、各種頻度（宛先／送信元毎アクセス頻度、サービス毎利用頻度、利用時間帯、アクセス頻度過多過少）等、時間の意識が必要な項目や、時系列的な分析が必要な時間相関関係の項目がある。蓄積パケットＰ２等の過去情報は、採取時刻が現在時刻でなく、再生速度がリアルタイムの現行パケットＰ１の処理速度とは異なるので、まず、現実時刻を基に取り扱うカレント情報（現行パケットＰ１）との分離が必要である。

このため、図３に例示されるように、多重化部１００７ｃにおいて、蓄積パケットＰ２の処理を行う経路には、統計解析部１０１３に対して、過去時刻情報（過去時刻／曜日）の入力や、トラヒックデータをリアルタイム処理速度への変換を行った上で渡す処理を行うために、時間情報抽出分離部１００７ｃ−２が設けられている。

この図３の例では、統計解析部１０１３の内部では、現行パケットＰ１に由来する時間依存項目と、蓄積パケットＰ２に由来する時間依存項目は等価に取り扱われる。
一方、リアルタイム取得情報（現行パケットＰ１）を過去情報（蓄積パケットＰ２）よりも重要度の高い情報として取り込むポリシを適用する場合における配信多重部１００７の作用を図４に例示する。

この場合、統計解析部１０１３では、ネットワークセキュリティ装置１０００内の規格化されたパラメータ値算出まで処理した上で、この現行パケットＰ１および蓄積パケットＰ２の各々に由来する２種の時間依存項目の情報を重み付けして多重する。このため、統計解析部１０１３には、現行パケットＰ１および蓄積パケットＰ２の各々に由来する２種の時間依存項目の情報を重み付けして多重する動作を行う現在系−過去系情報多重化部１０１３ａが設けられている。

そして、現在系−過去系情報多重化部１０１３ａでは、時間情報抽出分離部１００７ｃ−２から渡された蓄積パケットＰ２の時間情報（過去時刻／曜日）に基づいて、現行パケットＰ１に由来する現在系の時間依存項目と、蓄積パケットＰ２に由来する過去系の時間依存項目とを、たとえば重み付け畳み込み等の方法で多重化する。

統計解析部１００８（統計解析部１１０８）は、現行パケットＰ１（蓄積パケットＰ２）に関する、後段のアノマリ判定部１０１０（アノマリ判定部１１１０）で必要な指標の統計的な解析を行う。

統計解析テーブル１００９（統計解析テーブル１０１４）は、統計解析部１００８（統計解析部１０１３）における統計処理に際して、複数の変数の各々に関する平均値、分散、アノマリ評価関数値域等の統計値が記録されるテーブルである。

同様に、学習ルートの統計解析部１０１３は、後段の学習部１０１５で必要な指標の統計的な解析を行う。
アノマリ判定部１０１０は、統計解析部１００８で算出された現行パケットＰ１に関する値が正常か異常かを、アノマリ評価テーブル１０１１に保持した評価指標値／閾値Ｖａで判定する。

アノマリ判定部１１１０は、統計解析部１１０８で算出された蓄積パケットＰ２に関する値が正常か異常かを、アノマリ評価テーブル１０１１に保持した評価指標値／閾値Ｖａで判定する。

学習部１０１５は、統計解析部１０１３から得られた統計解析データを用いて、回帰分析等の手法を用い、アノマリ方式でパケットが正常か異常かを判定するための評価指標値／閾値Ｖａを求め、学習データテーブル１０１６に格納する。

この学習データテーブル１０１６に学習結果として記録された評価指標値／閾値Ｖａは、随時、アノマリ評価テーブル１０１１の評価指標値／閾値Ｖａに反映され、アノマリ判定部１０１０による現行パケットＰ１の監視に用いられる。

図５は、本実施の形態のパケット蓄積装置２０００の構成の一例を示すブロック図である。パケット蓄積装置２０００は、ネットワークインタフェース２００２、保存加工部２００１、パケットデータ蓄積部２００３、再生部２２０２、受信ネットワークインタフェース２１００、パケット解析部２１０１、および送信ネットワークインタフェース２２００を含んでいる。

そして、ＬＡＮ１２等のネットワークの特定箇所（この場合、図１の右境界のルータ１１）でスヌープ／ミラーされた現行パケットＰ１等の通信データを、ネットワークインタフェース２００２を経由して捕捉し、保存加工部２００１でタイムスタンプの付加や圧縮等の処理を行った後、所定の記憶媒体からなるパケットデータ蓄積部２００３へ書き込み、蓄積する。

また、外部から到来する制御パケットを、受信ネットワークインタフェース２１００を介して受信し、パケット解析部２１０１で解析する。そして、再生指示の場合には、既定の再生速度での再生を再生部２２０２に指示し、再生された蓄積パケットＰ２は、送信ネットワークインタフェース２２００を経由してネットワークセキュリティ装置１０００の学習ポートＰＬに送出される。

以下、本実施の形態のネットワークセキュリティ装置１０００の作用の一例について説明する。
まず、現行パケットＰ１を処理する場合の動作の概要を示す。

不正侵入監視、防御を実施するポートであるネットワークサービスポートＰＳに到来する現行パケットＰ１を、ネットワークインタフェース１００１を介して受信する。
受信した現行パケットＰ１を、パケット解析部１００２にて、パケットとして認識し、必要な情報を抽出し、セッションの組み立て、更に上位プロトコルデータの認識を行う。

この上位プロトコルデータ等のパケット情報をもとに、シグネチャ型侵入検出部１００３にて、パケットのフィルタリング、セッションの遮断を行う。
このシグネチャ型侵入検出部１００３を通過したパケットについて、アノマリ判定に必要な変数の抽出を、変数抽出部１００４において行う。ここでの変数は、上述のパケット解析部１００２で抽出する情報と重複し、各レイヤ／プロトコルデータにおける各種フィールドの値／文字列や、パケット受信、セッション起動確立イベント発生／状態などである。

続く変数加工部１００５では、変数抽出部１００４からの情報をもとに、頻度／単位時間当たりのフィールド値出現数／パケット受信数／セッション起動数／セッション状態発生数や、さらに、それらの変化率などの変数を求め、前段の変数抽出部１００４から受信した変数とともに、配信多重部１００７へ渡す。変数加工部１００５に接続される統計加工テーブル１００６は、上述の変化率を求めるためのカウンタ類を保持する。

配信多重部１００７は、既知の評価指標パラメータに基づいてアノマリ判定を行うルート（統計解析部１００８→アノマリ判定部１０１０→送信ネットワークインタフェース１０１２）と、学習し、評価指標パラメータの値を求めるルート（統計解析部１０１３→学習部１０１５）に変数を渡す。

この配信多重部１００７において、各ルートで必要な変数を識別し、変数情報を各ルートに振り分け、あるいは、変数情報をコピーして同じものを各ルートに配る。
［アノマリ判定を行うルートでの処理］
統計解析部１００８は、後段のアノマリ判定部１０１０で必要な指標の統計的な解析を行う。配信多重部１００７から受信した個々の変数のみならず、複数の変数の相関性を計算する。

アノマリ判定部１０１０は、統計解析部１００８で算出された値が正常か異常かをアノマリ評価テーブル１０１１に保持した評価指標値／閾値Ｖａで判定する。このアノマリ判定の結果が正常ならば、受信パケットを送信ネットワークインタフェース１０１２へ送信する。異常と判定された場合は、該パケットを廃棄し、かつ、該パケットに属するセッションの遮断を行うために、該セッションの情報を不正アクセスパターン情報Ｖｓとしてシグネチャ型侵入検出部１００３にフィードバックして登録する。

［学習を行うルートでの処理］
統計解析部１０１３は、統計解析部１００８と同様に後段の学習部１０１５で必要な指標の統計的な解析を行う。

学習部１０１５では、統計解析のデータを用いて、回帰分析等の手法を用い、正常異常判定する評価指標値／閾値Ｖａを求め、学習データテーブル１０１６に格納する。
［学習ポートＰＬから入力される蓄積パケットＰ２の処理］
パケット蓄積装置２０００に接続される学習ポートＰＬを収容するネットワークインタフェース１１０１から入力される蓄積パケットＰ２の処理は以下のように行われる。

なお、学習ポートＰＬを収容するネットワークインタフェース１１０１は、学習ポートＰＬのために専用に設ける構成としてもよいが、複数インタフェースをサポートする装置の場合は、ネットワークサービスポートＰＳ用の空いているインタフェースの一つを用いる構成としてもよい。

学習ポートＰＬで受信した蓄積パケットＰ２に対し、ネットワークサービスポートＰＳの受信パケットと同様に、パケット解析部１００２でのパケット解析、シグネチャ型侵入検出部１００３でのＦＷ／シグネチャ型ＩＤＳによる侵入チェック処理、を適用した後、変数抽出部１００４で変数を抽出し、配信多重部１００７で現行パケットＰ１の変数と多重化して、統計解析部１０１３および学習部１０１５のルートに入力することで学習を行う。

また、ネットワークサービスポートＰＳの現行パケットＰ１の処理ルートと並行して、統計解析部１１０８およびアノマリ判定部１１１０においてアノマリ判定を実行し、判定結果に基づく不正アクセスパターン情報Ｖｓのフィードバックにより、蓄積パケットＰ２に関するパケット／セッション遮断をシグネチャ型侵入検出部１００３で行わせる。学習用に入力される蓄積パケットＰ２に対して、現行パケットＰ１と同様のＦＷ／シグネチャ型ＩＤＳをシグネチャ型侵入検出部１００３において適用することで、セキュリティポリシの変更に対応した学習を行うことが可能となる。

本実施の形態の場合、蓄積パケットＰ２に入力による学習に際しては、予めパケット蓄積装置２０００の再生レートを決めておく場合を想定し、頻度／変化率など時間の経過を意識した処理が必要な変数を、変数加工部１１０５にて識別し、既定の再生レートにあわせて、変数加工部１１０５のタイマ１１０５ａのクロックを変更することで、所用の統計変数が求められるようにする。

上述のネットワークセキュリティ装置１０００の動作を、図６のフローチャートに示す。
すなわち、ネットワークサービスポートＰＳ（学習ポートＰＬ）より現行パケットＰ１（蓄積パケットＰ２）を受信すると（ステップＳ１０００）、パケット解析部１００２にて当該パケットを解析し（ステップＳ１００１）、シグネチャ型侵入検出部１００３で、侵入検出を行い（ステップＳ１００４）、変数抽出部１００４で変数抽出を行い（ステップＳ１００５）、さらに、変数加工部１００５（変数加工部１１０５）において変数の種別に応じた変数加工を行う（ステップＳ１００６）。

そして、統計解析部１００８（統計解析部１１０８）でアノマリ判定用の統計解析を実行し（ステップＳ１００９）、アノマリ判定部１０１０（アノマリ評価テーブル１０１１）でアノマリ判定を行う（ステップＳ１０１０）。

そして、アノマリ判定の結果が異常か否かを判別し（ステップＳ１０１１）、異常と判定された場合には、シグネチャ型侵入検出部１００３へ、不正アクセスパターン情報Ｖｓを送信するとともに、当該パケットの廃棄を指示し（ステップＳ１０１２）、現行パケットＰ１（蓄積パケットＰ２）を廃棄する（ステップＳ１０１３）。

ステップＳ１０１１で、正常と判定された場合には、さらに、当該パケットが現行パケットＰ１か学習用に学習ポートＰＬから入力された蓄積パケットＰ２かを判別し（ステップＳ１０１４）、蓄積パケットＰ２であると判定された場合には、当該蓄積パケットＰ２を廃棄する（ステップＳ１０１３）。

ステップＳ１０１４で、現行パケットＰ１であると判定された場合には、送信ネットワークインタフェース１０１２を経由して、当該現行パケットＰ１を送出する（ステップＳ１０１５）。

上述のステップＳ１００９〜ステップＳ１０１５の処理と並行して、統計解析部１０１３、学習部１０１５のルートでは、現行パケットＰ１、蓄積パケットＰ２の情報の学習用の統計解析（ステップＳ１０１６）、および学習（ステップＳ１０１７）を実行し、学習済みの情報は廃棄する（ステップＳ１０１８）。

このように、現行パケットＰ１とともに、学習ポートＰＬを経由してパケット蓄積装置２０００から過去の蓄積パケットＰ２の情報を入力して学習することで、学習時間を短縮し、かつ、ＬＡＮ１２や外部ネットワーク１６における現行パケットＰ１の最新の傾向も踏まえたセキュリティサービスを実現することができる。

すなわち、現行パケットＰ１や蓄積パケットＰ２の解析および学習と、学習結果の装置パラメータへの反映まで含めて、ネットワークセキュリティ装置１０００がそれ自身で備えている機能を利用できる。この結果、別途、追加の解析や、学習結果をネットワークセキュリティ装置１０００に実装するためのソフトウェア／ツールが不要となり、低コストにて、ネットワークセキュリティ装置１０００の導入、運営管理を実現することができる。

すなわち、ネットワークセキュリティ装置１０００の制御性は、依然として、ベンダ依存の部分が大きい。従来は、ログサーバ／パケットキャプチャ装置の記録情報を、ベンダの開発サイトに持ち込んで再生、解析し、さらに、専用のソフトウェア、あるいは、エキスパートシステムを用いて、導入予定のネットワークセキュリティ装置１０００に応じた制御パラメータに変換したり、対応付けを行わせる必要があった。

ネットワークの解析までは、汎用製品で対応できるが、個々のネットワークセキュリティ装置１０００の仕様に応じた部分は、ベンダ依存部分で、提供されるとしても、まだまだ、ベンダからの個別提供となり、別途、購入品となる場合が多いことが予想される。

これに対して、本実施の形態の場合には、ネットワークセキュリティシステム１０に導入されたネットワークセキュリティ装置１０００が備えた解析機能や学習機能等を、そのまま当該ネットワークセキュリティシステム１０内に存在するパケット蓄積装置２０００から入力される蓄積パケットＰ２に適用することが可能であるため、余分なソフトウェアやツールは全く不要であり、さらに、パケット蓄積装置２０００に蓄積された貴重なデータを外部に持ち出す必要もない。

すなわち、学習型のネットワークセキュリティ装置１０００において、特別なハードウェアやソフトウェア等を別途必要とすることなく、ネットワークセキュリティシステム１０への導入からセキュリティサービスの運用開始までの所要期間を大幅に短縮することが可能となる。

次に、本実施の形態の変形例について説明する。以下に説明する変形例では、パケット蓄積装置２０００Ａにおける蓄積パケットＰ２の再生レートを、ネットワークセキュリティ装置１０００Ａから制御する場合について説明する。

すなわち、ネットワークセキュリティ装置１０００Ａにおいて、現行パケットＰ１および学習ポートＰＬから入力される蓄積パケットＰ２の統計解析／アノマリ判定／学習の処理負荷を計測し、処理負荷に応じてパケット蓄積装置２０００Ａにおける蓄積パケットＰ２の再生レートを制御する。

図７は、この変形例におけるネットワークセキュリティ装置１０００Ａの構成例を示すブロック図である。
再生情報抽出部１１１２、性能管理部１１１３、および送信ネットワークインタフェース１１０２が設けられているところが、上述の図２の場合異なっており、他は同じである。

送信ネットワークインタフェース１１０２は、ネットワークインタフェース１１０１とともに学習ポートＰＬを共用している。図７では、説明の便宜上、パケット蓄積装置２０００Ａが二重に図示されているが、実際は一つである。

性能管理部１１１３は、ネットワークセキュリティ装置１０００Ａにおける現行パケットＰ１、蓄積パケットＰ２の統計解析／アノマリ判定／学習の処理負荷を計測し、再生レート指示情報１１１３ａを含む制御パケットＰ４を送信ネットワークインタフェース１１０２（学習ポートＰＬ）を介してパケット蓄積装置２０００Ａに出力する。

処理負荷が大きい場合には、再生レート指示情報１１１３ａは、再生停止または、低い再生レートをパケット蓄積装置２０００Ａに指示して、現行パケットＰ１の処理性能を向上させる。

逆に、処理負荷が小さい場合には、高い再生レートをパケット蓄積装置２０００Ａに指示し、ネットワークセキュリティ装置１０００Ａのリソースを蓄積パケットＰ２の学習に有効に活用する。

パケット蓄積装置２０００Ａから入力される蓄積パケットＰ２の再生レートが変化すると、変化する再生レートに合わせて変数加工部１１０５における上述のタイマ１１０５ａにおける計時速度を調整する必要がある。

このため、再生情報抽出部１１１２は、蓄積パケットＰ２に混在してパケット蓄積装置２０００Ａから到来する再生レート予告パケットＰ３を検出し、この再生レート予告パケットＰ３に設定されている再生レート情報１１１２ａを読み出して、変数加工部１１０５のタイマ１１０５ａのクロック（計時速度）を調整する動作を行う。

図８は、本変形例におけるパケット蓄積装置２０００Ａの構成例を示すブロック図である。
再生指示情報抽出部２１０２および再生情報挿入部２２０１が追加されている点が、上述の図５の場合と異なっている。

すなわち、再生指示情報抽出部２１０２は、ネットワークセキュリティ装置１０００Ａの性能管理部１１１３から到来する上述の制御パケットＰ４に含まれる再生レート指示情報１１１３ａに応じて、再生部２２０２における蓄積パケットＰ２の再生レートを調整する。さらに、当該調整開始に先立って、調整後の再生レートの情報を、再生レート予告パケットＰ３に乗せて、蓄積パケットＰ２に混在させてネットワークセキュリティ装置１０００Ａに入力することで再生レートの変化を予告する。

これにより、ネットワークセキュリティ装置１０００Ａの性能管理部１１１３からの指示でパケット蓄積装置２０００Ａが蓄積パケットＰ２の再生レートを変化させても、再生情報抽出部１１１２は、再生レート予告パケットＰ３の検出によって事前に再生レートの変化を予知して、再生レート予告パケットＰ３に設定されている再生レート情報１１１２ａを変数加工部１１０５に入力することで、変数加工部１１０５のタイマ１１０５ａの動作を変化した蓄積パケットＰ２の再生レートに同期させることができる。

図９は、ネットワークセキュリティ装置１０００Ａにおける性能管理部１１１３の動作を示すフローチャートである。
図示しないタイマ等により、性能監視トリガが発生すると（ステップＳ１１０１）、ネットワークセキュリティ装置１０００Ａにおける現行パケットＰ１、蓄積パケットＰ２の処理負荷を計測し（ステップＳ１１０２）、計測された負荷に基づいてパケット蓄積装置２０００Ａにおける蓄積パケットＰ２の再生レートを算出し（ステップＳ１１０３）、この算出結果を、再生レート指示情報１１１３ａとして制御パケットＰ４に乗せて、学習ポートＰＬを経由してパケット蓄積装置２０００Ａに通知する（ステップＳ１１０４）。

図１０は、この通知を受けた本変形例のパケット蓄積装置２０００Ａにおける再生レートの変更処理の一例を示すフローチャートである。
ネットワークセキュリティ装置１０００Ａからパケットを受信すると（ステップＳ２００１）、パケット解析部２１０１において当該パケットを解析し（ステップＳ２００２）、制御パケットＰ４か否かを判別し（ステップＳ２００３）、制御パケットＰ４の場合には、再生レート指示情報１１１３ａを抽出する（ステップＳ２００４）。

そして、再生レート指示情報１１１３ａの内容から再生レートの変更の要否を判別し（ステップＳ２００５）、変更要の場合には、まず、再生情報挿入部２２０１において、再生レート予告パケットＰ３を生成して、再生レートの変更をネットワークセキュリティ装置１０００Ａに通知した後（ステップＳ２００６）、再生部２２０２に対して、指示された再生レートに変更するように指令する（ステップＳ２００７）。

図１１は、本変形例のネットワークセキュリティ装置１０００Ａの全体の作用の一例を示すフローチャートである。
ステップＳ１００２、ステップＳ１００３、およびステップＳ１００７、ステップＳ１００８が追加されている点が、上述の図６と異なり、他は同様である。

すなわち、ネットワークセキュリティ装置１０００Ａは、再生情報抽出部１１１２で再生レート予告パケットＰ３を識別して抽出し（ステップＳ１００２，ステップＳ１００３）、新再生レートに移行することを認識し、新再生レートにあわせて、再生レート情報１１１２ａを変数加工部１１０５に入力することで、変数加工部１１０５の持つタイマ１１０５ａのクロックを変更する（ステップＳ１００７，ステップＳ１００８）。

このように、本変形例の場合には、ネットワークセキュリティ装置１０００Ａにおける処理負荷の変動に応じて、たとえば、現行パケットＰ１の情報処理の負荷が小さいときに、蓄積パケットＰ２を利用した学習に処理能力を振り向けることが可能となり、より学習速度の向上が期待できる。換言すれば、情報処理装置としてのネットワークセキュリティ装置１０００Ａの可用性が向上する。

ネットワーク利用率を平均的に見れば、業務時間であっても５０％には満たず、夜中や朝方は、せいぜい１０％である。たとえば、パケットキャプチャ装置のあるベンダは、土曜日、日曜日については、ネットワーク利用率が５％であることを前提に、パケットキャプチャ用ディスク装置の容量を決めている。

通常の学習型のネットワークセキュリティ装置をＬＡＮ１２に設置しても、処理負荷は、大体、ネットワーク利用率に比例し、処理リソースの大部分は遊んでいる。
この点に着目すると、本変形例の場合には、ネットワークセキュリティ装置１０００Ａの空きリソースを、パケット蓄積装置２０００Ａから入力される蓄積パケットＰ２の学習に当てることで、学習効率を上げ、学習時間をさらに短縮することが可能になる。

上述の変形例の説明では、外部からの再生レートの変更指示を認識する再生指示情報抽出部２１０２、再生情報挿入部２２０１、等の機構を備えた図８のパケット蓄積装置２０００Ａを用いる場合を例示したが、一般のパケット蓄積装置２０００Ｂをそのまま用いる例を以下の図１２に例示する。

この場合、図１２に例示されるような再生入力変換装置３０００を、既存のパケット蓄積装置２０００Ｂとネットワークセキュリティ装置１０００Ａとの間に介在させることで、一般のパケット蓄積装置２０００Ｂに対しても、蓄積パケットＰ２の再生処理における再生レートを外部から制御することを可能にする。

すなわち、再生入力変換装置３０００は、ネットワークインタフェース３１００、パケット解析部３１０１、再生指示情報抽出部３１０２、ネットワークインタフェース３２００、再生情報挿入部３２０１、再生部３２０２、ネットワークインタフェース３３００、キュー３３０１、ネットワークインタフェース３４００、バックプレッシャ起動部３４０１、を含んでいる。

ネットワークインタフェース３１００およびネットワークインタフェース３２００は、ネットワークセキュリティ装置１０００Ａの学習ポートＰＬに接続される。
ネットワークインタフェース３３００およびネットワークインタフェース３４００は、パケット蓄積装置２０００Ｂにイーサネット（登録商標）等の接続インタフェースで接続される。

パケット蓄積装置２０００Ｂからネットワークインタフェース３３００を介して読み出された蓄積パケットＰ２は、一旦、キュー３３０１に保持される。
キュー３３０１に保持された蓄積パケットＰ２は、先入れ／先出し方式で、逐次、再生部３２０２に読み出され、当該再生部３２０２で蓄積パケットＰ２に所定の再生処理を施した後、ネットワークインタフェース３２００から、ネットワークセキュリティ装置１０００Ａの学習ポートＰＬに入力される。

キュー３３０１は、蓄積パケットＰ２が満杯になると、バックプレッシャ起動信号３３０１ａにて、バックプレッシャ起動部３４０１を起動し、これを受けたバックプレッシャ起動部３４０１は、ネットワークインタフェース３４００を介して、パケット蓄積装置２０００Ｂに対して、バックプレッシャ信号３４０１ａを送出し、パケット蓄積装置２０００Ｂからキュー３３０１への蓄積パケットＰ２の送出を抑制する。

このバックプレッシャ起動部３４０１から出力されるバックプレッシャ信号３４０１ａは、イーサネット（登録商標）の規格上で標準にサポートされている機能を用いる。このため、パケット蓄積装置２０００Ｂの側に、蓄積パケットＰ２の送出速度を制御するための特別な機構は不要である。

従って、キュー３３０１から再生部３２０２へ蓄積パケットＰ２の読み出し速度に応じて、パケット蓄積装置２０００Ｂからキュー３３０１への蓄積パケットＰ２の読み出し速度も自動的に制御されることになる。

ネットワークセキュリティ装置１０００Ａから到来するパケットは、パケット解析部３１０１にて解析され、再生レートを制御するための制御パケットＰ４である場合には、当該制御パケットＰ４は、再生指示情報抽出部３１０２に渡される。

再生指示情報抽出部３１０２は、制御パケットＰ４に設定されている再生レート指示情報１１１３ａに基づいて、再生部３２０２に対して、蓄積パケットＰ２の再生レートを指示するとともに、この指示に先立って、再生情報挿入部３２０１に対して、蓄積パケットＰ２の再生レートの変化をネットワークセキュリティ装置１０００Ａに予告するための再生レート予告パケットＰ３の送信を指示する。

この図１２のように構成されるネットワークセキュリティシステムによれば、既存のパケット蓄積装置２０００Ｂになんら改造を加えることなく、そのまま、再生入力変換装置３０００を介してネットワークセキュリティ装置１０００Ａに接続するだけで、ネットワークセキュリティ装置１０００Ａにおける学習ポートＰＬへの蓄積パケットＰ２の入力速度（再生レート）を制御できる。

すなわち、既存のパケット蓄積装置２０００Ｂをそのまま利用することで、低コストにて、新規に導入されたネットワークセキュリティ装置１０００Ａの学習期間の短縮や、可用性の向上を実現することができる。
なお、本発明は、上述の実施の形態に例示した構成に限らず、その趣旨を逸脱しない範囲で種々変更可能であることは言うまでもない。

（付記１）
ネットワークを流れる通信情報を監視し、前記ネットワークへの不正侵入の検知および／または防御を行うネットワークセキュリティ装置であって、
統計的な手法を用いて、判定基準情報に基づき前記通信情報の異常の有無を判断する異常判定手段と、
前記通信情報から前記判定基準情報を生成する学習手段と、
現在の前記ネットワークから第１通信情報を取り込む第１ポートと、
通信情報蓄積装置に蓄積された過去の第２通信情報を取り込む第２ポートと、
前記第１および第２ポートの各々から取り込まれた前記第１および第２通信情報を前記異常判定手段および前記学習手段に振り分ける通信情報分配手段と、
を含み、
前記学習手段は、前記第１通信情報および／または前記第２通信情報を学習して前記判定基準情報を生成することを特徴とするネットワークセキュリティ装置。
（付記２）
付記１記載のネットワークセキュリティ装置において、
前記ネットワークセキュリティ装置の処理負荷の大小に応じて、前記第２ポートを介した前記通信情報蓄積装置からの前記第２通信情報の入力の有無および／または前記通信情報蓄積装置における前記第２通信情報の再生レートを制御する性能管理手段をさらに含むことを特徴とするネットワークセキュリティ装置。
（付記３）
付記１記載のネットワークセキュリティ装置において、
前記通信情報分配手段は、前記第１および第２通信情報を、時間独立性項目と時間依存性項目に分類し、前記第１および第２通信情報に含まれる前記時間独立性項目については単純に多重化し、前記第２通信情報の前記時間依存性項目については、前記第２通信情報の採取時の時間情報に基づいて、前記第１通信情報の前記時間依存性項目の処理速度に整合させることを特徴とするネットワークセキュリティ装置。
（付記４）
付記１記載のネットワークセキュリティ装置において、
前記第２ポートを介して前記通信情報蓄積装置から到来する前記第２通信情報に混在し、前記通信情報蓄積装置における当該第２通信情報の再生レートを示す情報を含む第３通信情報を認識する認識手段をさらに含むことを特徴とするネットワークセキュリティ装置。
（付記５）
付記１記載のネットワークセキュリティ装置において、
前記第２ポートは、当該ネットワークセキュリティ装置を外部から管理するための装置管理ポートと論理的に多重化されていることを特徴とするネットワークセキュリティ装置。
（付記６）
付記１記載のネットワークセキュリティ装置において、
前記通信情報蓄積装置と前記ネットワークセキュリティ装置との間に介在し、前記ネットワークセキュリティ装置から指示された再生レートにて前記第２通信情報を前記第２ポートに入力するとともに、前記通信情報蓄積装置における前記第２通信情報の前記再生レートを示す第３通信情報を前記第２通信情報に混在させる再生レート変換手段をさらに含むことを特徴とするネットワークセキュリティ装置。
（付記７）
付記１記載のネットワークセキュリティ装置において、
さらに、前記通信情報分配手段の前段に設けられ、前記第２通信情報に対して、前記第１通信情報と同じセキュリティポリシに基づく選別処理を実行する通信情報選別手段を含むことを特徴とするネットワークセキュリティ装置。
（付記８）
ネットワークを流れる通信情報を監視し、前記ネットワークへの不正侵入を検知し防御するネットワークセキュリティ装置の制御方法であって、
過去に前記ネットワークに流れた第２通信情報を蓄積する第１工程と、
現在の前記ネットワークに流れる第１通信情報と、前記第２通信情報とを並行して前記ネットワークセキュリティ装置に入力する第２工程と、
統計的な手法を用いて前記第１通信情報の異常の有無を判断する異常判定に用いられる判定基準情報を、前記第１および／または第２通信情報から学習する第３工程と、
を含むことを特徴とするネットワークセキュリティ装置の制御方法。
（付記９）
付記８記載のネットワークセキュリティ装置の制御方法において、
前記第２工程では、前記第２通信情報に対して、前記第１通信情報と同じセキュリティポリシに基づく選別処理を実行することを特徴とするネットワークセキュリティ装置の制御方法。
（付記１０）
付記９記載のネットワークセキュリティ装置の制御方法において、
前記第３工程では、前記第１および第２通信情報を、時間独立性項目と時間依存性項目に分類し、前記第１および第２通信情報に含まれる前記時間独立性項目については単純に多重化し、前記第２通信情報の前記時間依存性項目については、前記第２通信情報の採取時の時間情報に基づいて、前記第１通信情報の前記時間依存性項目の処理速度に整合させることを特徴とするネットワークセキュリティ装置の制御方法。
（付記１１）
監視対象のネットワークに接続され、現在の前記ネットワークを流れる第１通信情報を取り込む第１ポートと、通信情報蓄積装置に蓄積された過去の前記ネットワークの第２通信情報を取り込む第２ポートと、統計的な手法を用いて前記通信情報の異常の有無を判断する異常判定に用いられる判定基準情報を、前記第１および／または第２通信情報から学習する学習手段とを具備したネットワークセキュリティ装置と、
前記ネットワークセキュリティ装置と前記通信情報蓄積装置との間に介在し、前記通信情報蓄積装置から前記ネットワークセキュリティ装置への前記第２通信情報の再生レートを制御する再生レート制御装置と、
を含むことを特徴とするネットワークセキュリティシステム。

本発明の一実施の形態であるネットワークセキュリティシステムの構成の一例を示す概念図である。 本発明の一実施の形態であるネットワークセキュリティ装置の構成の一例を示すブロック図である。 本発明の一実施の形態であるネットワークセキュリティ装置の学習機能の作用の一例を示す概念図である。 本発明の一実施の形態であるネットワークセキュリティ装置の学習機能の作用の変形例を示す概念図である。 本発明の一実施の形態であるパケット蓄積装置の構成の一例を示すブロック図である。 本発明の一実施の形態であるネットワークセキュリティ装置の作用の一例を示すフローチャートである。 本発明の一実施の形態であるネットワークセキュリティ装置の変形例を示すブロック図である。 本発明の一実施の形態であるパケット蓄積装置の変形例を示すブロック図である。 本発明の一実施の形態であるネットワークセキュリティ装置の変形例の作用を示すフローチャートである。 本発明の一実施の形態であるパケット蓄積装置の変形例の作用を示すフローチャートである。 本発明の一実施の形態であるネットワークセキュリティ装置の変形例の作用を示すフローチャートである。 本発明の一実施の形態である再生入力変換装置の構成の一例を示すブロック図である。

符号の説明

１０ ネットワークセキュリティシステム
１１ ルータ
１２ ＬＡＮ
１３ マネジメント機構
１４ スイッチ
１５ 情報処理装置
１６ 外部ネットワーク
１０００ ネットワークセキュリティ装置
１０００Ａ ネットワークセキュリティ装置
１００１ ネットワークインタフェース
１００２ パケット解析部
１００３ シグネチャ型侵入検出部
１００４ 変数抽出部
１００５ 変数加工部
１００５ａ タイマ
１００６ 統計加工テーブル
１００７ 配信多重部
１００７ａ 分岐部
１００７ｂ 分岐部
１００７ｃ 多重化部
１００７ｃ−１ トラヒックデータ多重部
１００７ｃ−２ 時間情報抽出分離部
１００８ 統計解析部
１００９ 統計解析テーブル
１０１０ アノマリ判定部（異常判定手段）
１０１１ アノマリ評価テーブル
１０１２ 送信ネットワークインタフェース
１０１３ 統計解析部
１０１４ 統計解析テーブル
１０１５ 学習部（学習手段）
１０１６ 学習データテーブル
１１０１ ネットワークインタフェース
１１０２ 送信ネットワークインタフェース
１１０５ 変数加工部
１１０５ａ タイマ
１１０８ 統計解析部
１１１０ アノマリ判定部
１１１２ 再生情報抽出部（認識手段）
１１１２ａ 再生レート情報
１１１３ 性能管理部（性能管理手段）
１１１３ａ 再生レート指示情報
２０００ パケット蓄積装置
２０００Ａ パケット蓄積装置
２０００Ｂ パケット蓄積装置
２００１ 保存加工部
２００２ ネットワークインタフェース
２００３ パケットデータ蓄積部
２１００ 受信ネットワークインタフェース
２１０１ パケット解析部
２１０２ 再生指示情報抽出部
２２００ 送信ネットワークインタフェース
２２０１ 再生情報挿入部
２２０２ 再生部
３０００ 再生入力変換装置（再生レート変換手段）
３１００ ネットワークインタフェース
３１０１ パケット解析部
３１０２ 再生指示情報抽出部
３２００ ネットワークインタフェース
３２０１ 再生情報挿入部
３２０２ 再生部
３３００ ネットワークインタフェース
３３０１ キュー
３３０１ａ バックプレッシャ起動信号
３４００ ネットワークインタフェース
３４０１ バックプレッシャ起動部
３４０１ａ バックプレッシャ信号
Ｐ１ 現行パケット（第１通信情報）
Ｐ２ 蓄積パケット（第２通信情報）
Ｐ３ 再生レート予告パケット（第３通信情報）
Ｐ４ 制御パケット
ＰＬ 学習ポート（第２ポート）
ＰＳ ネットワークサービスポート（第１ポート）
Ｖａ 評価指標値／閾値（判定基準情報）
Ｖｓ 不正アクセスパターン情報

Claims (6)

1. ネットワークを流れる通信情報を監視し、前記ネットワークへの不正侵入の検知および／または防御を行うネットワークセキュリティ装置であって、
   前記ネットワークを現在流れている第１通信情報を取り込む第１ポートと、
   通信情報蓄積装置に蓄積された過去の第２通信情報を取り込む第２ポートと、
   統計的な手法を用いて、判定基準情報に基づき前記第１および第２通信情報の異常の有無を判定する異常判定手段と、
   前記第１および第２通信情報から前記異常判定手段の判定で用いられる変数と同じ種類の変数を学習することにより前記判定基準情報を生成し、更新する学習手段と、
   前記第２ポートを介した前記通信情報蓄積装置からの前記第２通信情報の入力の有無および／または前記通信情報蓄積装置における前記第２通信情報の再生レートを制御する性能管理手段
   を備えることを特徴とするネットワークセキュリティ装置。
2. 請求項１記載のネットワークセキュリティ装置において、
   前記異常判定手段により異常と判断された通信情報を特定する不正アクセスパターン情報が通知されると、前記第１および第２通信情報から前記不正アクセスパターン情報が検出された情報を遮断する侵入検出手段をさらに備え、
   前記学習手段は、前記侵入検出手段で遮断されていない情報から前記異常判定手段の判定で用いられる変数と同じ種類の変数を学習することにより前記判定基準情報を生成する
   ことを特徴とするネットワークセキュリティ装置。
3. 請求項１もしくは２に記載のネットワークセキュリティ装置において、
   前記第１および第２ポートの各々から取り込まれた前記第１および第２通信情報を前記異常判定手段および前記学習手段に供給する通信情報分配手段をさらに含み、
   前記通信情報分配手段は、前記第１および第２通信情報を、時間独立性項目と時間依存性項目に分類し、前記第１および第２通信情報に含まれる前記時間独立性項目については単純に多重化し、前記第２通信情報の前記時間依存性項目については、前記第２通信情報の採取時の時間情報に基づいて、前記第１通信情報の前記時間依存性項目の処理速度に整合させることを特徴とするネットワークセキュリティ装置。
4. 請求項１もしくは２に記載のネットワークセキュリティ装置において、
   前記第２ポートを介して前記通信情報蓄積装置から到来する前記第２通信情報に混在し、前記通信情報蓄積装置における当該第２通信情報の再生レートを示す情報を含む第３通信情報を認識する認識手段をさらに含むことを特徴とするネットワークセキュリティ装置。
5. 請求項１もしくは２に記載のネットワークセキュリティ装置において、
   前記第２ポートは、当該ネットワークセキュリティ装置を外部から管理するための装置管理ポートと論理的に多重化されていることを特徴とするネットワークセキュリティ装置。
6. 請求項１もしくは２に記載のネットワークセキュリティ装置において、
   前記通信情報蓄積装置と前記ネットワークセキュリティ装置との間に介在し、前記ネットワークセキュリティ装置から指示された再生レートにて前記第２通信情報を前記第２ポートに入力するとともに、前記通信情報蓄積装置における前記第２通信情報の前記再生レートを示す第３通信情報を前記第２通信情報に混在させる再生レート変換手段をさらに含むことを特徴とするネットワークセキュリティ装置。

Images