JP5757579B2 - 非通常通信検知装置および非通常通信検知方法 - Google Patents

Description

本発明の実施形態は、非通常通信検知装置および非通常通信検知方法に関する。

近年、ネットワークリソースの浪費やセキュリティ上の問題を引き起す異常なトラヒックを検知する技術が必要とされている。ネットワーク管理者にとって、効率的にネットワークを運用するためには、異常なトラヒックを早期に検知し、その対策を行うことが重要である。

これまで、トラヒックパターンの時系列変化を用いて、異常なトラヒックを検知する技術が提案されている。この技術は、トラヒックパターンが過去のパターンと比べて大きく変化した場合、異常なトラヒックとして検知する。例えば、この技術は、ウェーブレット変換を用いて、転送バイト量が大きく変化したトラヒックを特定し、非通常トラヒックとして検知する。

Paul Barford 他 "A Signal Analysis of Network Traffic Anomalies"， Proceedings of the 2nd ACM SIGCOMM Workshop on Internet Measurement 2002年 11月 Clauset 他"Finding Community Structure in Very Large Networks", Physical Review E. Vol.70, No.6, 2004年 12月 Liben-Nowell 他"The Link-Prediction Problem for Social Networks"， Journal of the American society for information science and technology, Vol.58, No.7, 2007年 5月 Freeman 他"Centrality in Social Networks Conceptual Clarification"，Social Networks, Vol.1, No.3, 1979年

しかしながら、上述した従来の技術では、過去に通信したことのないノード間を検知対象にすることができないという課題があった。

異常なトラヒックを検知する従来の技術は、２ノード間の通信履歴を用い、転送バイト量が大きく変化したトラヒックを特定する。すなわち、従来の技術は、２ノード間に過去の通信履歴がない場合には、転送バイト量の変化を特定することができない。

このため、従来の技術は、過去の通信履歴がない２ノード間の異常なトラヒックを検知する場合、所定の期間、２ノード間のトラヒックを観測してから、異常なトラヒックであるか否かを判定することになる。

開示の技術は、上記に鑑みてなされたものであって、過去に通信したことのないノードを検知対象にすることができる非通常通信検知装置および非通常通信検知方法を提供することを目的とする。

本願の開示する非通常通信検知装置は、一つの態様において、生成部と、判定部とを備える。生成部は、通信装置の利用者と該通信装置の利用者が属するコミュニティとを対応付けたコミュニティ情報を生成する。判定部は、コミュニティ情報を参照し、通信元の通信装置の利用者と通信先の通信装置の利用者とが同一のコミュニティに属さない場合であって、通信元および通信先の通信装置の利用者間の通信量が所定の閾値を超える場合に、該利用者間の通信が非通常通信であると判定する。

本願の開示する非通常通信検知装置および非通常通信検知方法の一つの態様によれば、過去に通信したことのないノードを検知対象にすることができるという効果を奏する。

図１は、第１の実施の形態に係る通信システムの構成の一例を示す図である。 図２は、第１の実施の形態に係る非通常通信検知装置の機能構成を示す機能ブロック図である。 図３Ａは、通信履歴のデータ構造の一例を示す図である。 図３Ｂは、通信マトリクスのデータ構造の一例を示す図である。 図３Ｃは、コミュニティ情報のデータ構造の一例を示す図である。 図４Ａは、通信マトリクスの一例を示す図である。 図４Ｂは、非通常通信推定部による非通常通信を判定する動作の一例を示す図である。 図５は、第１の実施の形態に係る非通常通信検知装置による処理の処理手順を示すフローチャートである。 図６Ａは、第２の実施の形態に係る非通常通信検知装置において、コミュニティ間通信の量に基づいて、閾値を設定する一例を示す図である。 図６Ｂは、第２の実施の形態に係る非通常通信検知装置において、コミュニティ間通信の量に基づいて、閾値を設定する一例を示す図である。 図７Ａは、第２の実施の形態に係る非通常通信検知装置において、コミュニティ間の通信量を表現したネットワークにおけるリンクの生成されやすさに基づき閾値を設定する一例を示す図である。 図７Ｂは、第２の実施の形態に係る非通常通信検知装置において、コミュニティ間の通信量を表現したネットワークにおけるリンクの生成されやすさに基づき閾値を設定する一例を示す図である。 図８Ａは、第２の実施の形態に係る非通常通信検知装置において、利用者のコミュニティ間通信のしやすさを推定するスコアに基づき、利用者ごとに閾値を設定する一例を示す図である。 図８Ｂは、第２の実施の形態に係る非通常通信検知装置において、利用者のコミュニティ間通信のしやすさを推定するスコアに基づき、利用者ごとに閾値を設定する一例を示す図である。 図９は、第２の実施の形態に係る非通常通信検知装置による処理の処理手順を示すフローチャートである。 図１０は、開示の技術に係る非通常通信検知プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。

以下に、本願の開示する非通常通信検知装置および非通常通信検知方法の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。

[第１の実施の形態]
[第１の実施の形態に係る通信システムの構成]
図１を用いて、第１の実施の形態に係る通信システム１の構成を説明する。図１は、第１の実施の形態に係る通信システム１の構成の一例を示す図である。本実施形態に係る通信システム１は、ネットワーク２と通信履歴保持サーバ１０と非通常通信検知装置１００とを有する。なお、通信システム１が有するネットワーク２の数は、図１に示す数に限定されるものではない。

ネットワーク２は、通信装置３と、ルータ４とを有する。各通信装置３は、利用者により操作され、他の通信装置３と通信を行う。ここでいう、「通信」とは、例えば、通信データ量（バイト）、メール数、ＳＮＳ（Social Networking Service）などにおけるメッセージ数、ブログにおけるトラックバック数、ｔｗｉｔｔｅｒ（登録商標）などマイクロブログにおける返信数、などの累積またはレートを意味する。なお、ネットワーク２が有する通信装置３の数、ルータ４の数は、図１に示す数に限定されるものではない。

なお、通信装置３には、携帯電話機、通信機能を有する携帯端末、ＰＣ（Personal computer）などの情報処理装置が含まれる。ルータ４は、ネットワーク２間の通信経路を制御する。

通信履歴保持サーバ１０は、例えば、アプリケーションサーバであり、各通信装置３による通信の履歴を収集し、通信元の通信装置３の利用者と、通信先の通信装置３の利用者とを対応付けた情報を保持するサーバである。また、通信履歴保持サーバ１０は、通信元の通信装置３の利用者と、通信先の通信装置３の利用者との間の通信量を保持する。

非通常通信検知装置１００は、通信装置３の利用者間の通信を監視し、非通常通信であるか否かを判定する。なお、ここでいう「非通常通信」には、ＤＤｏＳ（Distributed Denial of Service attack）攻撃などの異常トラヒックを含む。さらに、ここでいう「非通常通信」には、過去に通信が行われていなかった利用者間で新たに生じた通信や、過去に通信が行われていなかったコミュニティ間で新たに生じた通信などを含む。このため、非通常通信検知装置１００は、通信の種類によらず同様の方法によって、非通常通信であるか否かを検知できる。

[第１の実施の形態に係る非通常通信検知装置の構成]
図２は、第１の実施の形態に係る非通常通信検知装置１００の機能構成を示す機能ブロック図である。図２に示すように、非通常通信検知装置１００は、記憶部１１０と、制御部１２０とを有する。

記憶部１１０は、例えば、ＲＡＭ（Random Access Memory）などの半導体メモリ素子、またはハードディスクなどの記憶装置であり、通信履歴１１１と通信マトリクス１１２とコミュニティ情報１１３とを有する。

通信履歴１１１は、過去に通信が行われた通信元の通信装置３の利用者と、通信先の通信装置３の利用者とを対応付けた情報を記憶する。なお、この通信履歴１１１は、通信履歴保持サーバ１０から取得される。なお、通信履歴１１１が記憶するデータ構造については、図３Ａを用いて後述する。

通信マトリクス１１２は、通信履歴１１１に基づいて、通信元および通信先の通信装置３の利用者間の通信量をグラフ化し、通信装置３の利用者をコミュニティに分類する情報を示す。言い換えると、通信マトリクス１１２は、通信履歴１１１に基づいて分類されるコミュニティと、コミュニティ内における通信装置３の利用者間による通信履歴を示す。なお、通信マトリクス１１２が記憶するデータ構造については、図３Ｂを用いて後述する。

コミュニティ情報１１３は、通信装置３の利用者と該通信装置３の利用者が属するコミュニティとを対応付けた情報を記憶する。なお、コミュニティ情報１１３が記憶するデータ構造については、図３Ｃを用いて後述する。

制御部１２０は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路であり、通信マトリクス情報生成部１２１と、コミュニティ情報生成部１２２と、非通常通信推定部１２３とを有する。

通信マトリクス情報生成部１２１は、外部に存在する通信履歴保持サーバ１０から送信元および送信先の通信装置３の利用者間の通信履歴である通信履歴１１１を取得する。そして、通信マトリクス情報生成部１２１は、取得した通信履歴１１１を用いて、ネットワークが密に接続された部分を特定し、利用者のコミュニティを推定して、通信マトリクス１１２を生成する。

例えば、通信マトリクス情報生成部１２１は、非特許文献２の手法を用いて、ネットワークが密に接続された部分を特定し、利用者のコミュニティを推定する。なお、通信マトリクス情報生成部１２１による利用者のコミュニティを推定する方法は、非特許文献２の手法に限定されるものではなく、任意の手法が利用可能である。

なお、通信マトリクス情報生成部１２１は、コミュニティ情報生成部１２２および非通常通信推定部１２３に通信マトリクス１１２を受け渡す。

コミュニティ情報生成部１２２は、コミュニティ情報１１３を生成する。例えば、コミュニティ情報生成部１２２は、通信マトリクス情報生成部１２１から受け取った通信マトリクス１１２において、通信装置３と該通信装置３が属するコミュニティとを対応付けた情報を生成する。なお、コミュニティ情報生成部１２２は、生成したコミュニティ情報１１３を非通常通信推定部１２３に受け渡す。

非通常通信推定部１２３は、コミュニティ情報生成部１２２からコミュニティ情報１１３を受け取る。また、非通常通信推定部１２３は、通信マトリクス情報生成部１２１から通信マトリクス１１２を受け取る。また、非通常通信推定部１２３は、検知対象の通信量を通信履歴保持サーバ１０から受け取る。そして、非通常通信推定部１２３は、コミュニティ情報１１３と、通信マトリクス１１２と、検知対象の通信量とに基づいて、検知対象の通信が非通常通信か否かを判定する。

例えば、非通常通信推定部１２３は、コミュニティ情報１１３を参照し、通信元の通信装置３の利用者と通信先の通信装置３の利用者とが同一のコミュニティに属すか否かを判定する。そして、非通常通信推定部１２３は、通信元の通信装置３の利用者と通信先の通信装置３の利用者とが同一のコミュニティに属さない場合であって、通信元および通信先の通信装置３の利用者間の通信量が所定の閾値を超える場合に、該利用者間の通信が非通常通信であると判定する。また、非通常通信推定部１２３は、非通常通信であると判定した場合に、ネットワーク２の管理者に対してアラートを発生させる。なお、第１の実施の形態において、所定の閾値は、各コミュニティ間に共通の値が予め設定されるものとする。

なお、この例は非通常通信検知装置１００上に全機能が置かれている場合を示すが、本発明の機能を利用者が操作する各通信装置３に備えるようにしてもよい。

このように、第１の実施の形態に係る非通常通信検知装置１００は、利用者のコミュニティ情報を用いることで、過去に通信したことのないノード間の通信が通常通信であるか否かを推定することができる。

［記憶部１１０が有する情報のデータ構造］
次に、図３Ａ〜３Ｃを用いて、記憶部１１０が記憶する情報のデータ構造を説明する。ここでは、図３Ａを用いて、通信履歴１１１のデータ構造を説明し、図３Ｂを用いて、通信マトリクス１１２のデータ構造を説明し、図３Ｃを用いて、コミュニティ情報１１３のデータ構造を説明する。

図３Ａは、通信履歴１１１のデータ構造の一例を示す図である。図３Ａに示すように、通信履歴１１１は、「通信元」と「通信先」とを対応付けた情報を記憶する。

ここで、通信履歴１１１が記憶する「通信元」は、通信元の通信装置３の利用者を識別する情報を示す。例えば、「通信元」には、「１」、「２」、「４」などが格納される。また、通信履歴１１１が記憶する「通信先」は、通信先の通信装置３の利用者を識別する情報を示す。例えば、「通信先」には、「２」、「４」、「３」などが格納される。

一例をあげると、図３Ａに示す通信履歴１１１は、利用者「１」を通信元として、利用者「２」を通信先とする通信を示す。また、通信履歴１１１は、利用者「１」を通信元として、利用者「４」を通信先とする通信を示す。

図３Ｂは、通信マトリクス１１２のデータ構造の一例を示す図である。図３Ｂに示す通信マトリクス１１２は、利用者「１」は、利用者「２」および利用者「４」と通信することを示す。また、図３Ｂに示す通信マトリクス１１２は、利用者「２」は、利用者「１」、利用者「３」および利用者「４」と通信することを示す。また、図３Ｂに示す通信マトリクス１１２は、利用者「３」は、利用者「２」および利用者「４」と通信することを示す。また、図３Ｂに示す通信マトリクス１１２は、利用者「４」は、利用者「１」、利用者「２」、利用者「３」および利用者「５」と通信することを示す。また、図３Ｂに示す通信マトリクス１１２は、利用者「１」、利用者「２」、利用者「３」および利用者「４」が同一のコミュニティに属することを示す。

図３Ｂに示す通信マトリクス１１２は、利用者「５」は、利用者「４」、利用者「６」および利用者「７」と通信することを示す。また、図３Ｂに示す通信マトリクス１１２は、利用者「６」は、利用者「５」および利用者「７」と通信することを示す。また、図３Ｂに示す通信マトリクス１１２は、利用者「７」は、利用者「５」および利用者「６」と通信することを示す。また、図３Ｂに示す通信マトリクス１１２は、利用者「５」、利用者「６」および利用者「７」が同一のコミュニティに属することを示す。

なお、図３Ｂに示す例では、通信の有無をネットワークとして表現しているが、通信量をリンク重みとした重みつきネットワークからコミュニティを推定するようにしてもよい。

図３Ｃは、コミュニティ情報１１３のデータ構造の一例を示す図である。図３Ｃに示すように、コミュニティ情報１１３は、「コミュニティ」と「利用者」とを対応付けた情報を記憶する。

ここで、コミュニティ情報１１３が記憶する「コミュニティ」は、コミュニティを識別する情報を示す。例えば、「コミュニティ」には、「Ａ」、「Ｂ」などが格納される。また、コミュニティ情報１１３が記憶する「利用者」は、利用者を識別する情報を示す。例えば、「利用者」には、「１」、「２」などが格納される。

一例をあげると、図３Ｃに示すコミュニティ情報１１３は、「Ａ」で識別される「コミュニティ」には、「１」、「２」、「３」、「４」で識別される利用者が属することを示す。「Ｂ」で識別される「コミュニティ」には、「５」、「６」、「７」で識別される利用者が属することを示す。

［第１の実施の形態に係る非通常通信検知装置による処理動作］
次に、図４Ａおよび図４Ｂを用いて、非通常通信検知装置１００による処理動作を説明する。図４Ａは、通信マトリクスの一例を示す図であり、図４Ｂは、非通常通信推定部１２３による非通常通信を判定する動作の一例を示す図である。

図４Ａに示す通信マトリクス１１２では、利用者「１」、利用者「２」、利用者「３」、利用者「４」がコミュニティＡに所属し、利用者「５」、利用者「６」、利用者「７」、利用者「８」がコミュニティＢに所属し、利用者「９」、利用者「１０」、利用者「１１」がコミュニティＣに所属し、利用者「１２」、利用者「１３」、利用者「１４」がコミュニティＤに所属する。なお、図４Ａ中の実線は、過去に利用者間に通信が存在したことを示す。

続いて、図４Ｂを用いて、非通常通信推定部１２３による非通常通信を判定する動作の一例を説明する。ここでは、図４Ａに示す通信マトリクス１１２が生成された場合の非通常通信推定部１２３の動作を説明する。なお、図４Ｂは、異なるコミュニティ間において、非通常通信であると判定する閾値が「５０」に設定されている場合を示す。例えば、コミュニティＡとコミュニティＢとの間の閾値も、コミュニティＡとコミュニティＣとの間の閾値も同じ値「５０」である。

非通常通信推定部１２３は、利用者「２」と利用者「３」との間に「１００（単位：バイト、以下省略）」の通信が流れた場合、利用者「２」と利用者「３」とは過去に通信したことはないが、利用者「２」と利用者「３」とは同一コミュニティであると判定する。そして、非通常通信推定部１２３は、利用者「２」と利用者「３」とが同一コミュニティであるので、この通信を通常通信であると判定する。

また、非通常通信推定部１２３は、利用者「２」と利用者「５」との間に「１００」の通信が流れた場合、利用者「２」と利用者「５」とは異なるコミュニティに所属していると判定する。そして、非通常通信推定部１２３は、利用者「２」と利用者「５」とが異なるコミュニティに所属しており、通信量が閾値「５０」を超えているので、非通常通信であると判定する。

また、非通常通信推定部１２３は、利用者「２」と利用者「５」との間に「１０」の通信が流れた場合、利用者「２」と利用者「５」とは異なるコミュニティに所属していると判定する。そして、非通常通信推定部１２３は、利用者「２」と利用者「５」とが異なるコミュニティに所属しているが、通信量が閾値「５０」を下回っているので、通常通信であると判定する。

また、非通常通信推定部１２３は、利用者「２」と利用者「１１」との間に「３０」の通信が流れた場合、利用者「２」と利用者「１１」とは異なるコミュニティに所属していると判定する。そして、非通常通信推定部１２３は、利用者「２」と利用者「１１」とが異なるコミュニティに所属しているが、通信量が閾値「５０」を下回っているので、通常通信であると判定する。

[第１の実施の形態に係る非通常通信検知装置による処理の処理手順]
次に図５を用いて、第１の実施の形態に係る非通常通信検知装置１００による処理の処理手順を説明する。図５は、第１の実施の形態に係る非通常通信検知装置１００による処理の処理手順を示すフローチャートである。

図５に示すように、通信マトリクス情報生成部１２１は、通信履歴１１１を通信履歴保持サーバ１０から取得し、通信マトリクス１１２を生成する（ステップＳ１０１）。そして、コミュニティ情報生成部１２２は、コミュニティ情報１１３を生成する（ステップＳ１０２）。また、非通常通信推定部１２３は、検知対象の通信装置３の利用者間の通信量を取得する（ステップＳ１０３）。

非通常通信推定部１２３は、所定の閾値を取得し（ステップＳ１０４）、検知対象が同一のコミュニティに属するか否かを判定する（ステップＳ１０５）。ここで、非通常通信推定部１２３は、検知対象が同一のコミュニティに属すると判定する場合（ステップＳ１０５、Ｙｅｓ）、通常の通信であると判定する（ステップＳ１０６）。

一方、非通常通信推定部１２３は、検知対象が同一のコミュニティに属さないと判定する場合（ステップＳ１０５、Ｎｏ）、検知対象間の通信量が閾値を超えるか否かを判定する（ステップＳ１０７）。ここで、非通常通信推定部１２３は、検知対象間の通信量が閾値を超えないと判定する場合（ステップＳ１０７、Ｎｏ）、通常の通信であると判定する（ステップＳ１０６）。

一方、非通常通信推定部１２３は、検知対象間の通信量が閾値を超えると判定する場合（ステップＳ１０７、Ｙｅｓ）、非通常の通信であると判定する（ステップＳ１０８）。なお、非通常通信検知装置１００は、ステップＳ１０６またはステップＳ１０８の終了後、処理を終了する。

[第１の実施の形態に係る非通常通信検知装置１００による効果]
上述してきたように、第１の実施の形態に係る非通常通信検知装置１００は、利用者のコミュニティ情報を用いることで、過去に通信したことのないノード間の通信が通常通信であるか否かを推定することが可能となる。

また、非通常通信検知装置１００は、任意のコミュニティ情報を元に非通常通信を検知することが可能となる。また、非通常通信検知装置１００は、利用者間の過去の通信履歴１１１を用いて利用者のコミュニティを推定することにより、利用者のコミュニティ情報が明示的に与えられない場合においても、非通常通信の検知が可能である。

また、ネットワークを効率的に運用するうえで、過去に通信したことのないノード間の通信が非通常通信であるかどうかを早期に検知する技術が望まれる。第１の実施の形態に係る非通常通信検知装置１００は、ネットワークにおいて問題を引き起すような異常通信や、通信装置間の新たな通信需要を、早期に検知することが可能となる。

なお、非通常通信検知装置１００は、通信履歴保持サーバ１０などの外部の装置から、通信装置が属するコミュニティの情報を取得できる場合、外部の装置から取得したコミュニティの情報を用いて、コミュニティ情報１１３を生成するようにしてもよい。

[第２の実施の形態]
第１の実施の形態では、非通常通信検知装置において、非通常通信推定部１２３が、予め設定される閾値を用いて通信元および通信先の通信装置３の利用者間の通信が非通常通信であるか否かを判定する例を説明した。また、この所定の閾値は、各コミュニティ間で一定であるものとして説明した。ところで、非通常通信検知装置１００において、所定の閾値は、コミュニティ間における通信量などに基づいて設定されてもよいものである。そこで、第２の実施の形態では、非通常通信検知装置において、非通常通信推定部１２３が、通信マトリクス１１２を参照して、所定の閾値を設定する例を示す。

［第２の実施の形態に係る非通常通信検知装置の構成]
また、第２の実施の形態に係る非通常通信検知装置２００の構成は、非通常通信推定部が有する一部の機能が異なる点を除いて、図２に示した第１の実施の形態に係る非通常通信検知装置１００の構成と同様である。このため、図２に示した、非通常通信推定部１２３を非通常通信推定部２２３に置き換えて、第２の実施の形態に係る非通常通信検知装置２００の構成を説明する。

非通常通信推定部２２３は、通信マトリクス１１２を参照して、所定の閾値を設定する。例えば、非通常通信推定部２２３は、通信元の通信装置３の利用者が属するコミュニティと、通信先の通信装置３の利用者が属するコミュニティとの間を流れる通信量の総量を算出し、算出した通信量の総量に基づいて、所定の閾値を設定する。

また、非通常通信推定部２２３は、コミュニティ間のリンクの生成されやすさを推定し、推定したコミュニティ間のリンクの生成されやすさに応じて、閾値を設定する。ここで、非通常通信推定部２２３は、例えば、非特許文献３に記載の手法を用いて、コミュニティ間のリンクの生成されやすさを推定する。

すなわち、非通常通信推定部２２３は、通信元の通信装置３の利用者が属するコミュニティと、通信先の通信装置３の利用者が属するコミュニティとに共通して隣接するコミュニティの属性に基づいて、所定の閾値を設定する。このような属性として、一例をあげると、上記隣接するコミュニティの数等があげられる。すなわち、非通常通信推定部２２３は、通信元の通信装置３の利用者が属するコミュニティと、通信先の通信装置３の利用者が属するコミュニティとに共通して隣接するコミュニティの数に基づいて、所定の閾値を設定する。なお、コミュニティ間のリンクの生成されやすさを推定する方法は、隣接するコミュニティの数等の属性を用いるような、非特許文献３に記載の手法に限定されるものではなく、任意の手法を利用可能である。

また、非通常通信推定部２２３は、通信元の通信装置３の利用者が属するコミュニティと、通信先の通信装置３の利用者が属するコミュニティとの間の通信のしやすさを推定するスコアを通信元の通信装置３の利用者の媒介中心性に基づいて算出する。そして、非通常通信推定部２２３は、算出したスコアに基づいて、通信装置３の利用者ごとに所定の閾値を設定する。なお。非通常通信推定部２２３は、非特許文献４に記載の手法を用いて、媒介中心性を算出する。また、媒介中心性を算出する方法は、非特許文献４に記載の手法に限定されるものではなく、任意の手法を利用可能である。また、非通常通信推定部２２３は、各種の閾値の設定手法を任意に組み合わせて閾値を設定するようにしてもよい。

［閾値設定処理］
次に、図６Ａ〜図８Ｂを用いて、第２の実施の形態に係る非通常通信検知装置２００による閾値設定処理の動作を説明する。ここでは、図６Ａおよび図６Ｂを用いて、コミュニティ間を流れる通信量の総量に基づいて所定の閾値を設定する動作を説明し、図７Ａおよび図７Ｂを用いて、隣接するコミュニティの数に基づいて、所定の閾値を設定する動作を説明する。また、図８Ａおよび図８Ｂを用いて、通信元の通信装置３の利用者の媒介中心性に基づいて、所定の閾値を設定する動作を説明する。

（コミュニティ間を流れる通信量の総量に基づく閾値の設定）
図６Ａおよび図６Ｂは、第２の実施の形態に係る非通常通信検知装置２００において、コミュニティ間通信の量に基づいて、閾値を設定する一例を示す図である。図６Ａに示す例では、通信量をリンクの重みとしたグラフの形で通信マトリクス１１２を示す。また、図６Ａ中の点線は、コミュニティを示す。図６Ａは、コミュニティＡとコミュニティＢとの間の通信量は５０、コミュニティＢとコミュニティＣとの間の通信量は１００、コミュニティＣとコミュニティＤとの間の通信量は３０である場合を示す。

非通常通信検知装置２００において、非通常通信推定部２２３は、このコミュニティ間の通信量に基づき、閾値を設定する。図６Ａに示す例では、非通常通信検知装置２００は、コミュニティ間の通信量を閾値として設定する。一例をあげると、非通常通信推定部２２３は、コミュニティＡとコミュニティＢとの間の閾値を「５０」、コミュニティＢとコミュニティＣとの間の閾値を「１００」、コミュニティＣとコミュニティＤとの間の閾値を「３０」に設定する。なお、非通常通信推定部２２３は、コミュニティＡとコミュニティＣとの間の閾値を「０」、コミュニティＡとコミュニティＤとの間の閾値を「０」に設定する。

ここで、第１の実施の形態に係る非通常通信検知装置１００では、図４Ｂに示したように、コミュニティＡとコミュニティＢとの間の閾値も、コミュニティＡとコミュニティＣとの間の閾値も同じ値「５０」に設定した。一方、非通常通信検知装置２００において、非通常通信推定部２２３は、図６Ａに示す例では、コミュニティＡとコミュニティＢとの間の閾値と、コミュニティＢとコミュニティＣとの間の閾値の間に２倍の差が存在するように設定する。

続いて、図６Ｂを用いて、図６Ａのように閾値を設定した場合、非通常通信推定部２２３による非通常通信であるか否かを判定する動作について説明する。図６Ｂに示す例では、非通常通信推定部２２３は、利用者「２」と利用者「５」との間に「４０」の通信が流れた場合、利用者「２」と利用者「５」とが異なるコミュニティ「Ａ」とコミュニティ「Ｂ」とに所属していると判定する。そして、非通常通信推定部２２３は、利用者「２」と利用者「５」とが異なるコミュニティに所属しており、通信量が閾値「５０」を下回っているので、通常通信であると判定する。

また、非通常通信推定部２２３は、利用者「５」と利用者「１１」との間に「４０」の通信が流れた場合、利用者「５」と利用者「１１」とが異なるコミュニティ「Ｂ」とコミュニティ「Ｃ」とに所属していると判定する。そして、非通常通信推定部２２３は、利用者「５」と利用者「１１」とが異なるコミュニティに所属しているが、通信量が閾値「１００」を下回っているので、通常通信であると判定する。

また、非通常通信推定部２２３は、利用者「１１」と利用者「１３」との間に「４０」の通信が流れた場合、利用者「１１」と利用者「１３」とが異なるコミュニティ「Ｃ」とコミュニティ「Ｄ」とに所属していると判定する。そして、非通常通信推定部２２３は、利用者「１１」と利用者「１３」とが異なるコミュニティに所属しており、通信量が閾値「３０」を超えているので、非通常通信であると判定する。

また、非通常通信推定部２２３は、利用者「２」と利用者「１１」との間に「３０」の通信が流れた場合、利用者「２」と利用者「１１」とが異なるコミュニティ「Ａ」とコミュニティ「Ｃ」とに所属していると判定する。そして、非通常通信推定部２２３は、利用者「２」と利用者「１１」とが異なるコミュニティに所属しており、通信量が閾値「０」を超えているので、非通常通信であると判定する。

また、非通常通信推定部２２３は、利用者「２」と利用者「１３」との間に「１０」の通信が流れた場合、利用者「２」と利用者「１３」とが異なるコミュニティ「Ａ」とコミュニティ「Ｄ」とに所属していると判定する。そして、非通常通信推定部２２３は、利用者「２」と利用者「１３」とが異なるコミュニティに所属しており、通信量が閾値「０」を超えているので、非通常通信であると判定する。

なお、図６Ａに示す例において、コミュニティＢとコミュニティＤとの間に「２０」の通信量が流れる場合、非通常通信検知装置２００は、コミュニティＢとコミュニティＤとの間の閾値を「２０」に設定する。

（隣接するコミュニティの数に基づく閾値の設定）
図７Ａおよび図７Ｂは、第２の実施の形態に係る非通常通信検知装置２００において、コミュニティ間の通信量を表現したネットワークにおけるリンクの生成されやすさに基づき閾値を設定する一例を示す図である。

図７Ａに示す例では、非通常通信推定部２２３は、共通の隣接コミュニティ数を用いてリンクの生成されやすさを推定する。コミュニティＡに着目すると、コミュニティＡとコミュニティＢ、コミュニティＡとコミュニティＤとの間に共通の隣接コミュニティは存在しない。一方、コミュニティＡとコミュニティＣとはどちらもコミュニティＢと隣接する。非通常通信推定部２２３は、コミュニティＡのコミュニティ間通信量は５０であるため、これを基準とし、隣接コミュニティ数に応じて傾斜をかけて、閾値を設定する。

例えば、非通常通信推定部２２３は、コミュニティＡとコミュニティＣとの共通の隣接コミュニティ数は１であるため、コミュニティＡとコミュニティＣとの間の閾値を５０（＝５０×１）に設定する。また、非通常通信推定部２２３は、コミュニティＡとコミュニティＤとの共通の隣接コミュニティ数は０であるため、コミュニティＡとコミュニティＤとの間の閾値を０（＝５０×０）に設定する。

また、コミュニティＡとコミュニティＢとの共通の隣接コミュニティ数は０である。なお、ここでは、非通常通信推定部２２３は、コミュニティＡとコミュニティＢとの間に「５０」の通信量が過去に流れ、この過去の通信量をコミュニティＡとコミュニティＢとの間の閾値「５０」に設定する場合を示す。また、コミュニティＢとコミュニティＣとの共通の隣接コミュニティ数は０であり、コミュニティＣとコミュニティＤとの共通の隣接コミュニティ数は０である。同様に、非通常通信推定部２２３は、過去の通信量に基づいて、コミュニティＢとコミュニティＣとの間の閾値「１００」、コミュニティＣとコミュニティＤとの間の閾値「３０」に設定する。

ここで、非通常通信推定部２２３は、コミュニティ間を流れる通信量の総量に基づく閾値の設定では、図６Ｂに示したように、コミュニティＡとコミュニティＣとは直接隣接していないため、閾値を０に設定する。一方、非通常通信推定部２２３は、隣接するコミュニティの数に基づく閾値の設定では、コミュニティＡとコミュニティＣとに共通の隣接コミュニティが存在するため、閾値を「５０」に設定する。

続いて、図７Ｂを用いて、図７Ａのように閾値を設定した場合、非通常通信推定部２２３による非通常通信であるか否かを判定する動作について説明する。図７Ｂに示す例では、非通常通信推定部２２３は、利用者「２」と利用者「５」との間に「４０」の通信が流れた場合、利用者「２」と利用者「５」とが異なるコミュニティ「Ａ」とコミュニティ「Ｂ」とに所属していると判定する。そして、非通常通信推定部２２３は、利用者「２」と利用者「５」とが異なるコミュニティに所属しており、通信量が閾値「５０」を下回っているので、通常通信であると判定する。

また、非通常通信推定部２２３は、利用者「２」と利用者「１１」との間に「４０」の通信が流れた場合、利用者「２」と利用者「１１」とが異なるコミュニティ「Ａ」とコミュニティ「Ｃ」とに所属していると判定する。そして、非通常通信推定部２２３は、利用者「２」と利用者「１１」とが異なるコミュニティに所属しており、通信量が閾値「５０」を下回っているので、通常通信であると判定する。

また、非通常通信推定部２２３は、利用者「２」と利用者「１３」との間に「４０」の通信が流れた場合、利用者「２」と利用者「１３」とが異なるコミュニティ「Ａ」とコミュニティ「Ｄ」とに所属していると判定する。そして、非通常通信推定部２２３は、利用者「２」と利用者「１３」とが異なるコミュニティに所属しており、通信量が閾値「０」を超えているので、非通常通信であると判定する。

（通信元の通信装置３の利用者の媒介中心性に基づく閾値の設定）
図８Ａおよび図８Ｂは、第２の実施の形態に係る非通常通信検知装置２００において、利用者のコミュニティ間通信のしやすさを推定するスコアに基づき、利用者ごとに閾値を設定する一例を示す図である。

図８Ａは、非通常通信推定部２２３が、コミュニティＡとコミュニティＢとの間の閾値を５０に設定する場合を示す。また、非通常通信推定部２２３は、コミュニティＡに属する利用者の媒介中心性の高さに応じて、利用者ごとに閾値を設定する。図８Ａでは、非通常通信推定部２２３は、コミュニティＡに属する利用者「１」、利用者「２」、利用者「３」、利用者「４」の媒介中心性はそれぞれ、「２３」、「０」、「０」、「３０」に設定する。この場合、媒介中心性の平均は１３．２５（＝（２３＋０＋０＋３０）／４）である。非通常通信推定部２２３は、この平均との比で傾斜をかけて、利用者ごとにコミュニティ間通信の閾値を設定する。

例えば、非通常通信推定部２２３は、利用者「１」の媒介中心性が「２３」であるので、閾値を「８６．８（＝２３／１３．２５×５０）」に設定する。また、非通常通信推定部２２３は、利用者「４」の媒介中心性が「３０」であるので、閾値を「１１３．２（＝３０／１３．２５×５０）」に設定する。なお、非通常通信推定部２２３は、利用者「２」および利用者「３」の閾値を「０」に設定する。

ここで、非通常通信推定部２２３は、コミュニティ間を流れる通信量の総量に基づく閾値の設定では、図６Ｂに示したように、コミュニティＡに属する利用者と、コミュニティＢに属する利用者が通信した場合の閾値は全て同じ閾値を０に設定する。一方、非通常通信推定部２２３は、通信元の通信装置３の利用者の媒介中心性に基づく閾値の設定では、利用者の媒介中心性の高さに応じて異なる閾値を設定する。

続いて、図８Ｂを用いて、図８Ａのように閾値を設定した場合、非通常通信推定部２２３による非通常通信であるか否かを判定する動作について説明する。図８Ｂに示す例では、非通常通信推定部２２３は、利用者「１」と利用者「５」との間に「５０」の通信が流れた場合、利用者「１」と利用者「５」とが異なるコミュニティ「Ａ」とコミュニティ「Ｂ」とに所属していると判定する。そして、非通常通信推定部２２３は、利用者「１」と利用者「５」とが異なるコミュニティに所属しており、通信量が閾値「８６．８」を下回っているので、通常通信であると判定する。

同様に、非通常通信推定部２２３は、利用者「４」と利用者「５」との間に「５０」の通信が流れた場合、利用者「４」と利用者「５」とが異なるコミュニティ「Ａ」とコミュニティ「Ｂ」とに所属していると判定する。そして、非通常通信推定部２２３は、利用者「４」と利用者「５」とが異なるコミュニティに所属しており、通信量が閾値「１１３．２」を下回っているので、通常通信であると判定する。

なお、非通常通信推定部２２３は、利用者「２」と利用者「５」との間に「５０」の通信が流れた場合、および利用者「３」と利用者「５」との間に「５０」の通信が流れた場合、通信量が閾値「０」を超えているので、非通常通信であると判定する。

[第２の実施の形態に係る非通常通信検知装置による処理の処理手順]
次に図９を用いて、本実施形態に係る非通常通信検知装置２００による処理の処理手順を説明する。図９は、本実施形態に係る非通常通信検知装置２００による処理の処理手順を示すフローチャートである。なお、図９に示すフローチャートと、図５に示すフローチャートとは、ステップＳ２０４の処理が相違する点を除いて同様である。このため、図９では、図５に示したフローチャートと同様の処理については、同一の符号を付与し、説明を省略する。

図９に示すように、ステップＳ２０３（ステップＳ１０３）の処理の終了後、非通常通信推定部２２３は、所定の閾値を設定する（ステップＳ２０４）。例えば、非通常通信推定部２２３は、コミュニティ間を流れる通信量の総量に基づいて、隣接するコミュニティの数に基づいて、あるいは通信元の通信装置３の利用者の媒介中心性に基づいて、所定の閾値を設定する。なお、非通常通信推定部２２３は、これらの閾値設定手法を組み合わせて用いても良い。ステップＳ２０４の終了後、非通常通信推定部２２３は、ステップＳ２０５（ステップＳ１０５）の処理を実行する。

［第２の実施の形態に係る非通常通信検知装置による効果］
第２の実施の形態に係る非通常通信検知装置２００は、コミュニティ間の過去の通信量を用いることで、目的に応じて、精度の高い非通常通信の検知を可能とする。

また、第２の実施の形態に係る非通常通信検知装置２００は、コミュニティ間の通信関係を表現したネットワークから推定したコミュニティ間のリンクの生成されやすさを用いることで、精度の高い非通常通信の検知を可能とする。

また、第２の実施の形態に係る非通常通信検知装置２００は、利用者間の通信交流の関係を表現したネットワークから推定した利用者の媒介中心性を用いることで、精度の高い非通常通信の検知を可能とする。

さらに、第２の実施の形態に係る非通常通信検知装置２００は、これら各種の閾値設定手法を組合せることで、精度の高い非通常通信の検知を可能とする。

[第３の実施の形態]
ところで、本願の開示する非通常通信検知装置１００は、上述した実施の形態以外にも、種々の異なる形態にて実施されてよい。そこで、第３の実施の形態に係る非通常通信検知装置として、本願の開示する非通常通信検知装置１００の他の実施の形態について説明する。

［システム構成等］
本実施例において説明した各処理のうち自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともできる。あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文章中や図面中で示した処理手順、制御手順、具体的名称については、特記する場合を除いて任意に変更することができる。また、図示した記憶部が格納する情報は一例に過ぎず、必ずしも図示のごとく情報が格納される必要はない。

また、以上の説明では簡単のため、１人の利用者が１つのコミュニティに属していることを仮定して説明を行ったが、複数のコミュニティに属している場合でも、本発明により、非通常通信を検知することが可能である。例えば、利用者「１」と利用者「２」とがそれぞれ複数のコミュニティに属している場合には、利用者「１」の属するコミュニティと利用者「２」の属するコミュニティの全ての組み合わせについて、閾値を算出し、その平均や中央値、最大値などを利用者「１」と利用者「２」との間の通信が非通常通信であるか否かを判定する閾値として用いることで、非通常通信を検知することが可能である。

また、非通常通信検知装置１００（２００）は、通信履歴保持サーバ１０から通信装置の利用者間の通信量を取得するものとして説明したが、これに限定されるものではない。例えば、非通常通信検知装置１００（２００）は、ルータ４から通信装置の利用者間の通信量を取得するようにしてもよい。

また、図示した各構成部は、機能概念的なものであり、必ずしも物理的に図示のごとく構成されていることを要しない。例えば、非通常通信検知装置１００では、通信マトリクス情報生成部１２１とコミュニティ情報生成部１２２とが統合されてもよい。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

［プログラム］
図１０は、開示の技術に係る非通常通信検知プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。図１０に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図１０に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１０に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図１０に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェース１０５０は、図１０に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図１０に例示するように、例えばディスプレイ１０６１に接続される。

ここで、図１０に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、開示の技術に係る非通常通信検知プログラムは、コンピュータによって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。具体的には、上記実施例で説明した通信マトリクス情報生成部１２１と同様の情報処理を実行する通信マトリクス情報生成手順と、コミュニティ情報生成部１２２と同様の情報処理を実行するコミュニティ情報生成手順と、非通常通信推定部１２３と同様の情報処理を実行する非通常通信推定手順とが記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。また、上記実施例で説明した記憶部１１０に記憶されるデータのように、非通常通信検知プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えばハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、通信マトリクス情報生成手順、コミュニティ情報生成手順、非通常通信推定手順を実行する。

なお、非通常通信検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、非通常通信検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１ 通信システム
２ ネットワーク
３ 通信装置
４ ルータ
１０ 通信履歴保持サーバ
１００、２００ 非通常通信検知装置
１１０ 記憶部
１１１ 通信履歴
１１２ 通信マトリクス
１１３ コミュニティ情報
１２０、２２０ 制御部
１２１ 通信マトリクス情報生成部
１２２ コミュニティ情報生成部
１２３、２２３ 非通常通信推定部

Claims (7)

1. 通信装置の利用者と該通信装置の利用者が属するコミュニティとを対応付けたコミュニティ情報を生成する生成部と、
   前記コミュニティ情報を参照し、通信元の通信装置の利用者と通信先の通信装置の利用者とが同一のコミュニティに属さない場合であって、通信元および通信先の通信装置の利用者間の通信量が所定の閾値を超える場合に、該利用者間の通信が非通常通信であると判定する判定部と、
   を有することを特徴とする非通常通信検知装置。
2. 前記生成部は、
   通信元の通信装置の利用者と通信先の通信装置の利用者との間の通信量をグラフ化した情報であって、通信装置の利用者をコミュニティに分類するための通信マトリクスを、通信元の通信装置の利用者と、通信先の通信装置の利用者とを対応付けた通信情報に基づいて生成する通信マトリクス情報生成部と、
   前記通信マトリクスに基づいて、前記コミュニティ情報を生成するコミュニティ情報生成部と、
   を有することを特徴とする請求項１に記載の非通常通信検知装置。
3. 前記判定部は、更に、前記通信マトリクスを参照して、前記所定の閾値を設定することを特徴とする請求項２に記載の非通常通信検知装置。
4. 前記判定部は、通信元の通信装置の利用者が属するコミュニティと、通信先の通信装置の利用者が属するコミュニティとの間を流れる通信量の総量を算出し、算出した通信量の総量に基づいて、前記所定の閾値を設定することを特徴とする請求項３に記載の非通常通信検知装置。
5. 前記判定部は、通信元の通信装置の利用者が属するコミュニティと、通信先の通信装置の利用者が属するコミュニティとに共通して隣接するコミュニティに関する属性情報に基づいて、前記所定の閾値を設定することを特徴とする請求項３または４に記載の非通常通信検知装置。
6. 前記判定部は、通信元の通信装置の利用者が属するコミュニティと、通信先の通信装置の利用者が属するコミュニティとの間の通信のしやすさを推定するスコアを、予め設定された通信元の通信装置の利用者の媒介中心性に基づいて算出し、算出したスコアに基づいて、通信装置の利用者ごとに前記所定の閾値を設定することを特徴とする請求項３〜５のいずれか一つに記載の非通常通信検知装置。
7. 非通常通信検知装置で実行される非通常通信検知方法であって、
   通信装置の利用者と該通信装置の利用者が属するコミュニティとを対応付けたコミュニティ情報を生成する生成工程と、
   前記コミュニティ情報を参照し、通信元の通信装置の利用者と通信先の通信装置の利用者とが同一のコミュニティに属さない場合であって、通信元および通信先の通信装置の利用者間の通信量が所定の閾値を超える場合に、該利用者間の通信が非通常通信であると判定する判定工程と、
   を含んだことを特徴とする非通常通信検知方法。

Images