JP5952220B2 - ファイル監視周期算出装置、ファイル監視周期算出システム、ファイル監視周期算出方法及びファイル監視周期算出プログラム - Google Patents

Description

本発明は、ファイル監視周期算出装置、ファイル監視周期算出システム、ファイル監視周期算出方法及びファイル監視周期算出プログラムに関する。

近年、インターネットの普及に伴い、個人情報の管理やアプリケーションの配信を実施するサーバに対するサイバー攻撃が急増している。サイバー攻撃の代表例としては、攻撃者が正規ユーザのサーバや端末に不正にアクセスするために用いる攻撃ツールプログラムであるマルウェアを利用したＤＤｏＳ（Distributed Denial of Services）攻撃やスパム送信、情報盗難などが挙げられる。これらの攻撃の多くは、既存のパーソナルコンピュータやサーバを乗っ取り、踏み台として利用し、他のパーソナルコンピュータやサーバを攻撃する形で実行される。

従来、これらの脅威に対処するために、ファイアウォール機能と転送データ監視機能をルータ等のパケット転送装置に実装することが行われている。かかる機能の実装により、パケット転送装置にサーバ監視機能を構築し、サーバの前段に配置する。そして、パケット転送装置を利用して、送受信されるデータの内容やパケットヘッダ内容に応じて通信を制御するアクセス制御を実現する。

上記アクセス制御技術においては、サーバ監視機能を開発するセキュリティベンダは、既知のソフトウェアの脆弱性やマルウェアを解析する。そして、セキュリティベンダは、攻撃者が攻撃のためにサーバ等に対して送信する可能性がある送信メッセージのパターンをシグネチャ化する。そして、セキュリティベンダは、シグネチャに合致する送信メッセージをフィルタするようサーバ監視機能を構築する。これによって、攻撃者の不正アクセスからサーバ等を防御することができる。

また、脆弱性があるソフトウェアを故意に搭載したおとりサーバをサーバ監視機能の配下に配置し、サーバ監視機能によっておとりサーバへのアクセスを監視することが提案されている。これによってサーバ監視機能は、たとえば攻撃者がアプリケーション提供サーバ等に不正アクセスする際に利用するマルウェア等のプログラムをおとりサーバがダウンロードする際の挙動を検出する。そして、サーバ監視機能は、おとりサーバがダウンロードを要求した要求先を、マルウェアダウンロード用のサイトとして特定する。かかるサーバ監視機能によってマルウェアダウンロード用のサイトと特定されたサイト等のリストを、ブラックリストとする。そして、顧客サーバまたは顧客サーバとネットワークとの境界に配置されたファイアウォール機能やセキュリティアプライアンス等に、ブラックリストを入力しておく。これによって、顧客サーバのマルウェアへの感染を防止することができる。

八木毅、谷本直人、針生剛男、伊藤光恭、「Ｗｅｂサイト向けマルウェアダウンロードサイトの生存期間監視方式」、信学技報、vol. 110, no. 78, IA2010-14, pp. 75-80, 2010年6月

しかしながら、マルウェアダウンロード用のサイトは、攻撃に使用される期間が限られている。また、一般のＷｅｂサイトがマルウェアダウンロード用のサイトとして悪用されることが多いため、悪用されていたＷｅｂサイトの管理者がマルウェアを発見して駆除することもある。さらに、攻撃者がブラックリストによる攻撃防御を回避するために、マルウェアダウンロード用のサイトを頻繁に変えることも考えられる。このように、マルウェアの配置場所が変更され、マルウェアが配置されなくなったサイトがある場合、他のサービスを提供する観点からかかるサイトをブラックリストから外す必要がある。

しかし、攻撃者が積極的にマルウェアの配置場所を他のサイトに変更した場合、防御側は、新たなマルウェアダウンロード用のサイトを発見するまで、当該マルウェアを使用した攻撃を検知することができない。しかし、頻繁にファイルを再取得してマルウェアか否かを確認すると、防御側は攻撃自体の検知を行うことができず検知漏れが生じる。他方、防御側が、マルウェアが配置され続けているか否かを頻繁に確認しなければ、マルウェアの配置場所の変更を確認できず、マルウェアダウンロード用のサイトではなくなったサイトまでもブラックリストに載せてしまうことになる。その結果、防御側は、攻撃ではないアクセスも攻撃として誤検出してしまう。

開示の実施の形態は、上記に鑑みてなされたものであって、アクセス元に監視を検知される可能性を抑制しつつ、不正なファイルの移動や変化を早期に検知することを目的とする。

上述した課題を解決し、目的を達成するために、開示の実施形態に係るファイル監視周期算出装置は、不正なファイルが配置される統一資源位置指定子を検出し、当該統一資源位置指定子に配置されるファイルを監視する監視部と、統一資源位置指定子を用いたアクセスの数を取得し、前記統一資源位置指定子を用いたアクセスが出現する確率である出現確率を算出する第１の算出部と、統一資源位置指定子のファイルが変動する確率である変動確率を算出する第２の算出部と、不正なファイルが配置される統一資源位置指定子に対する監視を検出する確率である発見確率を算出する第３の算出部と、出現確率、変動確率および発見確率に基づき、監視部がファイルの監視を実行する周期を決定する決定部と、を備えることを特徴とする。

また、開示の実施形態に係るファイル監視周期算出システムは、ネットワークを介して所定の統一資源位置指定子に配置されるファイルを取得するサーバと、サーバに対する不正なアクセスを監視する監視装置と、を備える。監視装置は、不正なファイルが配置される統一資源位置指定子を検出し、当該統一資源位置指定子に配置されるファイルを監視する監視部と、統一資源位置指定子を用いたアクセスの数を取得し、前記統一資源位置指定子を用いたアクセスが出現する確率である出現確率を算出する第１の算出部と、統一資源位置指定子のファイルが変動する確率である変動確率を算出する第２の算出部と、不正なファイルが配置される統一資源位置指定子に対する監視を検出する確率である発見確率を算出する第３の算出部と、出現確率、変動確率および発見確率に基づき、監視部がファイルの監視を実行する周期を決定する決定部と、を備えることを特徴とする。

また、開示の実施形態に係るファイル監視周期算出方法は、ネットワークを介して所定の統一資源位置指定子に配置されるファイルを取得するサーバと、サーバに対する不正なアクセスを監視する監視装置と、を備えるファイル監視周期算出システムで実行される。監視装置は、不正なファイルが配置される統一資源位置指定子を検出し、当該統一資源位置指定子に配置されるファイルを監視する監視工程と、監視装置は、統一資源位置指定子を用いたアクセスの数を取得し、前記統一資源位置指定子を用いたアクセスが出現する確率である出現確率を算出する第１の算出工程と、監視装置は、統一資源位置指定子のファイルが変動する確率である変動確率を算出する第２の算出工程と、監視装置は、不正なファイルが配置される統一資源位置指定子に対する監視を検出する確率である発見確率を算出する第３の算出工程と、監視装置は、出現確率、変動確率および発見確率に基づき、監視工程においてファイルの監視を実行する周期を決定する決定工程と、を含んだことを特徴とする。

また、開示の実施形態に係るファイル監視周期算出プログラムは、不正なファイルが配置される統一資源位置指定子を検出し、当該統一資源位置指定子に配置されるファイルを監視する監視ステップと、統一資源位置指定子を用いたアクセスの数を取得し、前記統一資源位置指定子を用いたアクセスが出現する確率である出現確率を算出する第１の算出ステップと、統一資源位置指定子のファイルが変動する確率である変動確率を算出する第２の算出ステップと、不正なファイルが配置される統一資源位置指定子に対する監視を検出する確率である発見確率を算出する第３の算出ステップと、出現確率、変動確率および発見確率に基づき、統一資源位置指定子に配置されるファイルの監視を実行する周期を決定する決定ステップと、をコンピュータに実行させることを特徴とする。

開示するファイル監視周期算出装置、ファイル監視周期算出システム、ファイル監視周期算出方法及びファイル監視周期算出プログラムは、アクセス元に監視を検知される可能性を抑制しつつ、不正なファイルの移動や変化を早期に検知するという効果を奏する。

図１は、実施形態に係るファイル監視周期算出システムを適用するネットワークモデルの一例を示す図である。 図２は、実施形態に係るファイル監視周期算出装置の構成の一例を示す図である。 図３は、実施形態に係るブラックリストに記憶される情報の一例を示す図である。 図４は、実施形態における状態遷移モデルの一例を示す図である。 図５は、図４における状態遷移モデルの一例において各ボットで発生している事象を説明するための図である。 図６は、実施形態における状態遷移モデルの一例におけるβの推定モデルを説明するための図である。 図７は、実施形態におけるファイル監視周期算出装置の動作の一例を説明するための図である。 図８は、実施形態におけるファイル監視周期算出処理の流れの一例を示すフローチャートである。 図９は、ファイル監視周期算出システムによる一連の処理を実行するプログラムであるファイル監視周期算出プログラムによる情報処理が、コンピュータを用いて具体的に実現されることを示す図である。

以下に、本発明に係るファイル監視周期算出装置、ファイル監視周期算出システム、ファイル監視周期算出方法及びファイル監視周期算出プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。

［ネットワークモデルの一例］
図１は、実施形態に係るファイル監視周期算出システムを適用するネットワークモデルの一例を示す図である。図１のネットワークモデルにおいては、攻撃者Ａ（端末装置１）が、ボットＢ_１〜Ｂ_ｉ（１≦ｉ≦Ｎ、Ｎは１より大きい自然数）を利用して被攻撃者Ｖ（サーバ２）を攻撃する。

以下の説明において、「ボット」とは、マルウェアダウンロードサイトとして悪用するために攻撃者が準備した踏み台サイトなどのコンピュータリソースを指す。なお、実際の攻撃においては、攻撃者はマルウェアダウンロードサイトとしてコンピュータリソースを利用するのみならず、攻撃自体の送信にも任意のコンピュータリソースを利用する。しかし、以下の説明においては、マルウェアダウンロードサイトとして利用されるコンピュータリソースのみを「ボット」と呼ぶ。

また、以下の説明において、「ブラックリスト」とは、ネットワークを介した攻撃を受ける被攻撃者がそれまでに特定した攻撃元をリスト化したものである。ブラックリストはたとえば、攻撃のためのマルウェアダウンロードサイトとして利用されるサイトの統一資源位置指定子（URL: Uniform Resource Locator）等の情報を含む。以下の説明においては、被攻撃者Ｖのブラックリストをｌ＝（ｌ_ｉ）（１≦ｉ≦Ｎ、Ｎは１より大きい自然数）と表す。

本ネットワークモデルでは、攻撃者Ａによる攻撃および被攻撃者Ｖの防御は以下のように実現されるものとする。
１．攻撃者Ａは、一定の攻撃レートαで、被攻撃者Ｖに対する攻撃を実行する。
２．攻撃者Ａは、一定の停止レートηで、攻撃に使用するボットＢ_ｉの使用を停止する。
３．攻撃者Ａは、一定の開始レートζで、攻撃に使用していないボットＢ_ｉを用いた攻撃を開始する。
４．被攻撃者Ｖは、一定の検知レートβで、ブラックリストに登録されていないボットＢ_ｉを利用した攻撃を検知する。
５．被攻撃者Ｖは、一定の送信レートγで、ブラックリストに登録されたボットＢ_ｉにプローブを送信する。

以下の説明において、検知レートβは、攻撃に使用されるボットが出現する確率を表すものとして出現確率とも呼ぶ。さらに、停止レートηおよび開始レートζは、マルウェアの存在する場所や有無の変動を表すものとして変動確率とも呼ぶ。

６．攻撃者ＡがボットＢ_ｉを攻撃に使用しているときは、Ｂ_ｉ＝１と表し、攻撃者ＡがボットＢ_ｉを攻撃に使用していないときは、Ｂ_ｉ＝０と表す。
７．ボットＢ_ｉがブラックリストｌ_ｉに登録されているときは、ｌ_ｉ＝１と表し、ボットＢ_ｉがブラックリストｌ_ｉに登録されていないときは、ｌ_ｉ＝０と表す。

上記の条件下で、攻撃者Ａは、攻撃に使用しているボットＢ_ｉが受信するパケットを監視し、被攻撃者Ｖから送信されるプローブを検出すると、当該ボットＢ_ｉの使用を停止する。ボットＢ_ｉは、攻撃実行時のパケットとプローブとを受信する。このため、攻撃に使用するパケットが多い場合、攻撃者Ａがプローブを検出する確率は低下する。したがって、攻撃者Ａがプローブを検出する確率を示すプローブ検出レートをｆ（α，γ）と表す。なお、以下の説明においてプローブ検出レートを発見確率とも呼ぶ。

上記の条件下で、被攻撃者Ｖは、ボットＢ_ｉに対して送信レートγでプローブを送信し、Ｂ_ｉが攻撃に使用されていない場合には、攻撃の停止を検出する。被攻撃者Ｖが攻撃を停止したボットを検出する攻撃停止ボット検出レートをｇ（γ）と表す。

［ファイル監視周期算出装置の構成の一例］
図２は、実施形態に係るファイル監視周期算出装置１０の構成の一例を示す図である。図２を参照して、ファイル監視周期算出装置１０の構成の一例について説明する。ファイル監視周期算出装置１０は、図１のサーバ２に相当する。

ファイル監視周期算出装置１０は、監視部１０１と、監視連携部１０２と、マルウェアダウンロードサイト監視部１０３と、出現確率算出部１０４と、変動確率算出部１０５と、発見確率算出部１０６と、監視周期算出部１０７と、ブラックリスト１０８と、を備える。監視部１０１、マルウェアダウンロードサイト監視部１０３は、図１の「監視部」、「マルウェアダウンロードサイト監視部」にそれぞれ相当する。なお、サーバ２とは別の装置としてファイル監視周期算出装置１０を配置してもよい。

監視部１０１は、攻撃者Ａからの攻撃を検出し収集する。たとえば、攻撃者Ａが、マルウェアダウンロードサイトへのアクセスを誘導する不正な命令を被攻撃者Ｖのサーバ２に送信する。監視部１０１は、命令を受信すると、アンチウィルスソフト等を利用して当該命令が攻撃であるか否かを判定する。監視部１０１は、検出した攻撃の情報を、マルウェアダウンロードサイト監視部１０３、出現確率算出部１０４および発見確率算出部１０６に送信する。

監視部１０１はたとえば、ハニーポットと呼ばれるおとりシステムである。ハニーポットは意図的に脆弱なソフトウェアを搭載し、攻撃を受けやすく構成したシステムである。また、Ｗｅｂサイトに対するアクセスから攻撃を検出して攻撃をログに記録するよう監視部１０１を構成してもよい。また、サーバ２にアンチウィルスソフトを搭載して攻撃を検出し攻撃を記録するように構成している場合は、当該アンチウィルスソフトが監視部１０１の機能を実現する。

なお、監視部１０１は、かならずしもファイル監視周期算出装置１０自体に搭載する必要はなく、独立した別の装置として実現してもよい。たとえば、ハニーポットとしておとりサーバ２０を設置して、おとりサーバ２０からファイル監視周期算出装置１０に、収集した攻撃の情報を送信するように構成してもよい。また、ファイル監視周期算出装置１０に監視部１０１を設けるとともに、外部のおとりサーバ２０が収集した攻撃の情報もファイル監視周期算出装置１０に送信させて利用するように構成してもよい。

監視連携部１０２は、外部のおとりサーバ２０等から送信される攻撃の情報を受信する。監視連携部１０２は、たとえば、所定の期間ごとに外部のおとりサーバ２０にアクセスして攻撃の情報を収集する。収集した攻撃の情報は、マルウェアダウンロードサイト監視部１０３、出現確率算出部１０４、発見確率算出部１０６に送られる。なお、外部のおとりサーバ２０等から攻撃の情報を収集しない場合は、監視連携部１０２は設けなくともよい。

監視部１０１および監視連携部１０２が検出した攻撃の情報は、ブラックリスト１０８として記憶される。ブラックリスト１０８については後述する。

マルウェアダウンロードサイト監視部１０３は、マルウェアダウンロードサイトに対する監視処理を実行する。マルウェアダウンロードサイトとは、監視部１０１および監視連携部１０２により検出された攻撃によりアクセスを誘導される、マルウェアが配置されるサイトである。マルウェアダウンロードサイトとして監視対象となるサイトは、監視部１０１および監視連携部１０２により、ブラックリスト１０８に登録される。

マルウェアダウンロードサイト監視部１０３は、所定の監視周期ごとにマルウェアダウンロードサイトにアクセスしてマルウェアの有無および変化を検出する。マルウェアダウンロードサイト監視部１０３の監視周期は、監視周期算出部１０７（後述）が算出して通知する。

具体的には、マルウェアダウンロードサイト監視部１０３は、ブラックリスト１０８に登録された統一資源位置指定子により特定される各マルウェアダウンロードサイトに、該当する監視周期ごとにアクセスする。そしてマルウェアダウンロードサイト監視部１０３は、当該サイトに以前取得したファイルが存在するか否かを検出する。具体的には、マルウェアダウンロードサイト監視部１０３は、マルウェアダウンロードサイトからファイルを取得できた場合は、当該ファイルと以前取得したファイルとの一致性を判定する。ファイルが一致すると判定した場合、マルウェアダウンロードサイト監視部１０３は、当該マルウェアダウンロードサイトが継続して攻撃に利用されていると判定する。

また、ファイルが一致しないと判定した場合、マルウェアダウンロードサイト監視部１０３は、新しく取得したファイルがマルウェアであるか否かを判定する。マルウェアであると判定した場合、マルウェアダウンロードサイト監視部１０３は、当該サイトが継続して前と同じ攻撃に利用されていると判定する。または、マルウェアダウンロードサイト監視部１０３は、当該サイトが新たな攻撃に利用されていると判定するよう構成してもよい。

なお、ファイルの一致性の判定およびマルウェアか否かの判定の手法は特に限定されない。ファイルの一致性の判定はたとえば、ファイルのハッシュ値を比較して実行すればよい。また、マルウェアか否かの判定はたとえば、アンチウィルスソフトを利用して行えばよい。また、ファイルを試験的に実行して挙動を確認することでマルウェアか否かを判定してもよい。

マルウェアダウンロードサイト監視部１０３は、判定の結果に基づき、ブラックリスト１０８を更新する。具体的には、当該サイトに以前取得したファイルが存在しないと判定した場合、マルウェアダウンロードサイト監視部１０３は、ブラックリスト１０８から該当するマルウェアダウンロードサイトの情報を削除する。また、マルウェアダウンロードサイト監視部１０３は、当該サイトが継続して同じ攻撃に利用されていると判定した場合、ブラックリスト１０８を現状で維持する。また、マルウェアダウンロードサイト監視部１０３は、当該サイトが新たな攻撃に利用されていると判定した場合、ブラックリスト１０８に記憶されている当該サイトの情報を削除し、新たな攻撃の情報を登録する。

なお、監視部１０１、監視連携部１０２およびマルウェアダウンロードサイト監視部１０３の機能を統合して一つの機能部が実行してもよい。以下、監視部１０１、監視連携部１０２およびマルウェアダウンロードサイト監視部１０３をまとめて監視部とも呼ぶ。

出現確率算出部１０４は、監視部１０１および監視連携部１０２が取得した攻撃の情報に基づき、マルウェアダウンロードサイトを利用した攻撃が実行される確率、すなわち攻撃レートαを算出する。たとえば、出現確率算出部１０４は、監視部１０１および監視連携部１０２が単位時間あたりに検出した攻撃数を算出する。図１のネットワークモデル中、「攻撃レートα」が出現確率に相当する。出現確率算出部１０４は、算出した出現確率を、監視周期算出部１０７に通知する。

また、出現確率算出部１０４は、監視部１０１および監視連携部１０２が取得した攻撃の情報に基づき、新たなマルウェアダウンロードサイトが出現する確率を算出する。つまり、出現確率とは、被攻撃者が統一資源位置指定子を用いた攻撃を発見する確率といえる。図１のネットワークモデル中、「検知レートβ」が出現確率に相当する。出現確率の具体的な算出手法については後述する。なお、複数のハニーポットをネットワーク上に配置して攻撃を検出する場合、複数のハニーポット全体で検出した攻撃に対する一部のハニーポットで検出した攻撃の割合を用いて出現確率を算出してもよい。

変動確率算出部１０５は、マルウェアダウンロード監視部１０３が収集した情報に基づき、マルウェアダウンロードサイトに配置されたマルウェアの削除および変更の確率である変動確率を算出する。図１のネットワークモデル中、変動確率は停止レートηおよび開始レートζによって表される。変動確率の具体的な算出法については後述する。なお、マルウェアダウンロードサイト上にマルウェアが存在する平均時間を算出し、算出した平均時間に基づき変動確率を算出してもよい。

発見確率算出部１０６は、攻撃者が被攻撃者によるファイル確認を検知する確率である発見確率を算出する。発見確率とは、攻撃者Ａが被攻撃者Ｖによるプローブ送信、すなわち監視を発見する確率である。つまり、発見確率とは、上述したプローブ検出レートである。発見確率は、ｆ（α，γ）と表してもよい。

監視周期算出部１０７は、出現確率算出部１０４、変動確率算出部１０５および発見確率算出部１０６が算出した各値に基づき、各マルウェアダウンロードサイトの監視周期を算出する。図１のネットワークモデル中、「送信レートγ」が監視周期に相当する。すなわち、監視周期算出部１０７は、攻撃レートα、出現確率（検知レートβ）および変動確率（停止レートη及び開始レートζ）に基づき、発見確率（プローブ検出レート、ｆ（α，γ））を最小とする監視周期（送信レートγ）を算出する。監視周期の具体的な算出手法については後述する。

ブラックリスト１０８は、監視部１０１および監視連携部１０２が検出した攻撃の情報を記憶する。ブラックリスト１０８はたとえば、攻撃に利用されるボットの位置を特定する統一資源位置指定子と、当該統一資源位置指定子から取得したファイルの情報と、該当する監視周期と、を記憶する。マルウェアダウンロードサイト監視部１０３、出現確率算出部１０４および発見確率算出部１０６は、監視部１０１および監視連携部１０２から攻撃の情報を受け取るのではなく、ブラックリスト１０８から取得するように構成してもよい。

図３は、実施形態に係るブラックリスト１０８に記憶される情報の一例を示す図である。図３に示すように、たとえば、ブラックリスト１０８は、監視部１０１および監視連携部１０２により検出されたマルウェアダウンロードサイトの統一資源位置指定子と、当該サイトへのアクセスを誘導するアクセスの数と、を記憶する。また、ブラックリスト１０８は、当該サイトから直前に取得したファイルの情報と、当該サイトの監視周期と、を記憶する。たとえば、図３の例では、統一資源位置指定子として「http://host#1/d-A/d-B/d-C/file-a」、当該統一資源位置指定子に対応するアクセス数として「２７」が記憶されている。また、対応する取得ファイルの情報として記憶部内の取得ファイル位置を示す情報「Ｍ０１」が記憶されている。また、当該統一資源位置指定子に適用される監視周期として「８００」が記憶されている。

［状態遷移モデルの一例］
次に、図４を参照して、実施形態に係るネットワークモデル上でのボットＢ_１とＢ_２の状態遷移について説明する。図４は、実施形態における状態遷移モデルの一例を示す図である。図４は、ボットＢ_１が攻撃に使用される場合にボットＢ_１とＢ_２の状態に注目した状態遷移図の一部である。

図４の状態遷移図では、マルウェアダウンロードサイトとして攻撃者Ａに利用されている踏み台サイト等のボットを、マルウェアダウンロードサイトとして攻撃に使用されているかという点およびブラックリスト１０８に登録されているかという点から状態定義する。また、状態間の遷移を、攻撃者Ａの行動およびサービスプロバイダである被攻撃者Ｖの行動から定義する。

また、評価指標を、ＴＰ、ＴＮ、ＦＰ、ＦＮという事象から定義する。ここで、ＴＰ（True Positive）は、マルウェアダウンロードサイトをブラックリスト１０８に登録できているという事象を表す。また、ＴＮ（True Negative）は、マルウェアダウンロードサイトではないサイトをブラックリスト１０８に登録していないという事象を表す。また、ＦＰ（False Positive）は、マルウェアダウンロードサイトではないサイトをブラックリスト１０８に登録しているという事象を表す。また、ＦＮ（False Negative）は、マルウェアダウンロードサイトをブラックリスト１０８に登録していないという事象を表す。これらの事象に基づいて評価指標を定義することで、プローブの送信周期を変化させた際の最適なプローブ送信周期、すなわち監視周期を決定する。

ここで、各システムすなわちボットの状態を、（b,l）で表す。「ｂ」はボットを表し、「ｌ」はブラックリストへの登録状態を表す。そしてある状態（b,l）から他の状態（b’,l’）への状態遷移レートを、λ_{（b,l）(b’,l’)}で表す。なお、各状態遷移の発生はポアソン過程に従うと仮定する。

まず、状態（b,l）から状態（b’,l）への状態遷移レートを考える。ただし、ｂ≠ｂ’とする。この状態遷移レートはすなわち、攻撃者Ａが攻撃に使用するボットを追加する場合および削除する場合の状態遷移レートである。上述した条件から、本実施形態では、攻撃者Ａは開始レートζで攻撃に使用するボットを追加するため、次式（１）が成り立つ。

また、攻撃者Ａは停止レートηで攻撃に使用しているボットを停止するため、次式（２）が成り立つ。

ただし、攻撃に使用しているボットがブラックリスト１０８に掲載されている時、すなわち、「B_i=l_i=1」のときのみ、攻撃者Ａは、停止レートηに加え、プローブを感知した場合にボットの使用を停止する。したがって、次式（３）が成り立つ。

次に、状態（b,l）から（b,l’）への状態遷移レートを考える。ただし、ｌ≠ｌ’とする。この状態遷移レートはすなわち、被攻撃者Ｖがブラックリスト１０８を更新する場合の状態遷移レートである。なお、上述した条件においては、単位時間あたりブラックリスト１０８の変更が生じるのは単一のボットＢ_ｉのみである。

まず、被攻撃者ＶがボットＢ_ｉをブラックリスト１０８から削除する場合を考える。ここで全てのボットは等価であり、被攻撃者ＶがボットＢ_ｉからの攻撃停止を検知する攻撃停止ボット検出レートはｇ（γ）である。したがって、次式（４）が成り立つ。

また、被攻撃者ＶがボットＢ_ｉをブラックリスト１０８に登録する場合を考える。この場合も全てのボットは等価であり、また、被攻撃者ＶがボットＢ_ｉからの攻撃を検知する検知レートはβである。したがって、次式（５）が成り立つ。

上記の遷移が発生しない場合は、ボットは同一の状態にとどまる。したがって、次式（６）が成り立つ。

上記以外の状態遷移レートは全て０となる。

ここで、Ｂ_１＝０のとき、すなわち、ボットＢ_１が攻撃に使用されていない場合は、式（１）に示すように開始レートζでＢ_１の使用が開始される（Ｂ_１＝１）。

また、Ｂ_１＝１かつｌ_１＝０のとき、すなわち、Ｂ_１が攻撃に使用されているがブラックリスト１０８に登録されていない場合、式（５）に従って、検知レートβで被攻撃者ＶがＢ_１を使用した攻撃を検出する。そして、被攻撃者ＶはＢ_１をブラックリスト１０８に登録する（ｌ_１＝１）。また、式（２）に示すように、停止レートηでＢ_１の使用が停止される（Ｂ_１＝０）。ただし、Ｂ_１の使用が停止されるという状態遷移は、Ｂ_１＝１かつｌ_１＝１のとき、すなわちＢ_１が攻撃に使用されかつブラックリスト１０８に登録されているときは、式（３）に示すようにレートη＋ｆ（α，γ）で発生する。

また、Ｂ_１＝０かつｌ_１＝１のとき、すなわち、Ｂ_１が攻撃に使用されていないがブラックリスト１０８に登録されているとき、式（４）に示すように攻撃停止ボット検出レートｇ（γ）でＢ_１がブラックリスト１０８から削除される（ｌ_１＝０）。

なお、式（６）の状態遷移はいずれの状態でも発生する。

図５は、図４における状態遷移モデルの一例において各ボットで発生している事象を説明するための図である。図５に示すように、ｂ＝１のとき、全ボットで発生している事象はＴＰまたはＴＮとなり、最適な状態となる。

次に、本状態遷移モデルのマルコフ連鎖を用いて各状態の定常分布確率を算出することで、γに対するＴＰ、ＴＮ、ＦＰおよびＦＮを算出する。

まず、実体調査の結果に基づき、αとγ以外のパラメータを設定する。攻撃に使用されるボット数は実際には一定数となるので、攻撃に使用するボット数を１とする。このとき、攻撃に使用されているボットＢ_ｉの停止と新たに選択されたボットＢ_ｊ（ｉ≠ｊ）を用いた攻撃の開始は同時に発生するため、次式（７）を用いることができる。

また、前述の通り、プローブ検出レートｆ（α，γ）は、攻撃数の増加に対して低下するため、次式（８）とすることができる。

また、攻撃停止ボット検出レートｇ（γ）は、被攻撃者Ｖがプローブの応答を確認するため、次式（９）とすることができる。

本解析では、ボット間で遷移レートに差異が発生しない。このため、ボットＢ_１がブラックリスト１０８に登録されているときにＢ_１がマルウェアダウンロードサイトである確率を示すＰＰＶ（Positive Predictive Value）を次式（１０）で定義できる。

また、ボットＢ_１がマルウェアダウンロードサイトではない場合にブラックリスト１０８に登録されていない確率を示すＮＰＶ（Negative Predictive Value）を次式（１１）で定義できる。

式（１０）および（１１）で定義したＰＰＶおよびＮＰＶは評価値として利用することができる。なお、式（１０）および（１１）中、Ｓは全状態の集合を表し、P（b，l）は状態（ｂ，ｌ）の定常分布確率を表す。

さらに、全ボットで発生している事象がＴＰまたはＴＮとなる状態の定常分布確率の総和Ｏｐも評価値とすることができる。Ｏｐは次式（１２）で表すことができる。

ここで、ＰＰＶ、ＮＰＶおよびＯｐを最大化するγを算出するためには、全ボット数Ｎや、同一のマルウェアダウンロードサイトが使用された攻撃レートαの監視に加え、停止レートηおよび検知レートβを推定する必要がある。

［変動確率の算出手法］
停止レートη、すなわち変動確率はたとえば、マルウェアダウンロードサイト監視部１０３が監視する統一資源位置指定子に配置されたファイルに変化がない時間の平均値を求めることで算出する。

具体的には、マルウェアダウンロードサイトの平均活動期間を観測して算出する。この際、マルウェアダウンロードサイトの活動期間は指数分布に従う傾向があることも考慮する。たとえば、平均活動期間が１５日である場合、分単位でマルウェアダウンロードサイト上のマルウェアが別のサイトに再配置されるレートを次式（１３）で算出することができる。

［出現確率の算出手法］
また、検知レートβ、すなわち、出現確率はたとえば、サーバ２に対するアクセス中に同じアクセス元と統一資源位置指定子が出現する出現頻度の周期性に基づいて算出することができる。

次に図６を参照して、βの推定モデルについて説明する。図６は、実施形態における状態遷移モデルの一例におけるβの推定モデルを説明するための図である。図６の例では、同一のマルウェアダウンロードサイトを用いた複数の攻撃が監視部１０１で観測されたと仮定する。

たとえば、図６の例では、監視部１０１が攻撃（３）と攻撃（９）とを検出する。監視部１０１における攻撃検出状態は、攻撃者Ａが攻撃対象に対して定期的に所定の順序で攻撃を繰り返しているためと推定できる。すなわち、攻撃者Ａが、Ｗｅｂサイト１、Ｗｅｂサイト２、監視部１０１、おとりサーバ２０、Ｗｅｂサイト３、Ｗｅｂサイト４の順に攻撃をしかけていると推定できる。

ここで、たとえば、監視部１０１において同一のマルウェアダウンロードサイトを用いた攻撃を平均２２日周期で受信したとする。攻撃の到着周期がポアソン過程に従うと仮定する。また、サービスプロバイダ（被攻撃者Ｖ）が配置した監視機能を有する装置（監視部１０１、おとりサーバ２０等）の台数をｘとする。また、監視機能を有する各装置の攻撃検知レートをｙとする。この場合βは次式（１４）で表すことができる。

［ファイル監視周期算出装置１０の動作］
次に、図７を参照して、ファイル監視周期算出装置１０の動作の流れの一例について説明する。図７は、実施形態におけるファイル監視周期算出装置１０の動作の一例を説明するための図である。

図７に示すように、ファイル監視周期算出装置１０の監視部１０１は、攻撃者Ａからのアクセスを受けるとともにマルウェアダウンロードサイト（ボット）へアクセスしてファイルを取得する。監視部１０１は、アクセスおよびファイルを解析して攻撃およびマルウェアダウンロードサイトの情報を収集する。監視部１０１は収集した攻撃およびマルウェアダウンロードサイトの情報を、出現確率算出部１０４および発見確率算出部１０６に送る。なお、監視部１０１は、アクセスおよびファイルの情報をログに記録し、出現確率算出部１０４および発見確率算出部１０６は、監視部１０１からログの情報を取得するよう構成してもよい。

出現確率算出部１０４は、監視部１０１から取得した情報に基づき、上述した手法で攻撃レートαを算出する。さらに出現確率算出部１０４は、監視部１０１から取得した情報に基づき、上述した手法で検知レートβ、すなわち出現確率を算出する。出現確率算出部１０４はたとえば、マルウェアダウンロードサイトの使用周期からβを算出する。

他方、マルウェアダウンロードサイト監視部１０３は、任意のマルウェアダウンロードサイトの監視を行う。その際に、当該マルウェアダウンロードサイト上にマルウェアが存在していた場合、マルウェアダウンロードサイト監視部１０３は、マルウェアが存在するという情報と、当該サイトの活動期間の統計情報とを、変動確率算出部１０５に通知する。マルウェアダウンロードサイト監視部１０３が取得した情報は、別の記憶部等に格納し、変動確率算出部１０５が記憶部から読み出すように構成してもよい。

変動確率算出部１０５は、上述した手法で開始レートζおよび停止レートη、すなわち変動確率を算出する。

出現確率算出部１０４が算出した検知レートαおよび出現確率β、変動確率算出部１０５が算出した変動確率ζおよびη、ならびに発見確率算出部１０６が算出した発見確率は、監視周期算出部１０７へ送られる。なお、監視周期算出部１０７が適宜、出現確率算出部１０４、変動確率算出部１０５および発見確率算出部１０６にアクセスして情報を取得するようにしてもよい。

発見確率算出部１０６は、プローブ検出レートすなわち発見確率ｆ（α，γ）を算出する。発見確率算出部１０６は、監視部１０１からαを取得してもよいし、監視周期算出部１０７からαおよびγを取得してもよい。監視周期算出部１０７は、発見確率算出部１０６が算出する発見確率ｆ（α，γ）が最低となるよう、監視周期、すなわちプローブ送信周期γを算出する。

監視周期算出部１０７は、上述した手法により、αと存在情報と依存関係にあるマルウェアダウンロードサイトのプローブ送信周期、すなわち監視周期γを算出する。監視周期算出部１０７は算出した監視周期γを、マルウェアダウンロードサイト監視部１０３に送って設定する。監視周期算出部１０７は通知のみをおこない、マルウェアダウンロードサイト監視部１０３が監視周期を設定してもよい。または、マルウェアダウンロードサイト監視部１０３が適宜監視周期算出部１０７から監視周期を取得して設定してもよい。また、上述したようにブラックリスト１０８に監視周期算出部１０７が監視周期を登録し、マルウェアダウンロードサイト監視部１０３はブラックリスト１０８を参照して監視をおこなってもよい。

図８は、図７を参照して説明したファイル監視周期算出装置１０の動作により実行される、実施形態におけるファイル監視周期算出処理の流れの一例を示すフローチャートである。

図８を参照して、ファイル監視周期算出処理の流れを説明する。まず、監視部１０１が攻撃の情報を収集する（ステップＳ８０１）。監視部１０１が収集した情報に基づき、出現確率算出部１０４は攻撃レートαを算出する（ステップＳ８０２）。また、出現確率算出部１０４は出現確率（検知レートβ）を算出する（ステップＳ８０３）。また、マルウェアダウンロードサイト監視部１０３は、監視対象にアクセスしてマルウェアの存在情報と活動期間の統計情報を取得する（ステップＳ８０４）。マルウェアダウンロードサイト監視部１０３が取得した情報にもとづき、変動確率算出部１０５は、変動確率（停止レートηおよび開始レートζ）を算出する（ステップＳ８０５）。発見確率算出部１０６は、プローブ検出レートｆ（α，γ）すなわち発見確率を算出する（ステップＳ８０６）。監視周期算出部１０７は、算出された攻撃レートα、出現確率βおよび変動確率η，ζに基づき、発見確率ｆ（α，γ）を最小値とする監視周期γを算出する（ステップＳ８０７）。算出した監視周期γにもとづき、マルウェアダウンロードサイト監視部１０３が監視を実行する。これによって、ファイル監視周期算出処理が終了する。

［実施形態に係るファイル監視周期算出装置の効果］
上述のように、実施形態に係るファイル監視周期算出装置およびファイル監視周期算出システムは、不正なファイルが配置される統一資源位置指定子を検出し、当該統一資源位置指定子に配置されるファイルを監視する監視部と、統一資源位置指定子を用いたアクセスの数を取得し、統一資源位置指定子を用いたアクセスが出現する確率である出現確率を算出する第１の算出部と、統一資源位置指定子のファイルが変動する確率である変動確率を算出する第２の算出部と、不正なファイルが配置される統一資源位置指定子に対する監視を検出する確率である発見確率を算出する第３の算出部と、出現確率、変動確率および発見確率に基づき、監視部がファイルの監視を実行する周期を決定する決定部と、を備える。このため、アクセス元の攻撃状況に応じた監視周期を設定して、アクセス元に監視を検知される可能性を抑制しつつ、不正なファイルの移動や変化を早期に検知することができる。

また、実施形態に係るファイル監視周期算出装置およびファイル監視周期算出システムにおいて、第１の算出部は、サーバへのアクセスにおいて、所定のアクセス元と所定の統一資源位置指定子の出現頻度の周期性に基づいて、出現確率を算出する。このため、アクセス元の攻撃状況に対応づけて出現確率を算出することができる。

また、実施形態に係るファイル監視周期算出装置およびファイル監視周期算出システムにおいて、監視装置は、所定の統一資源位置指定子を、サーバまたはネットワーク上で検出する検出部をさらに備え、第１の算出部は、検出部の検出結果に基づき、所定の統一資源位置指定子が出現する頻度を算出する。このため、アクセス元の攻撃状況により正確に対応付けた出現確率を算出することができる。

また、実施形態に係るファイル監視周期算出装置およびファイル監視周期算出システムにおいて、監視部は、統一資源位置指定子に配置されるファイルの変化の有無を監視し、第２の算出部は、監視部がファイルに変化がないことを検出した時間の平均値に基づき、変動確率を算出する。このため、配置されるファイルの状況に正確に対応付けて変動確率を算出することができる。

また、実施形態に係るファイル監視周期算出装置およびファイル監視周期算出システムにおいて、監視装置はさらに、不正なファイルが配置される可能性がある１以上の統一資源位置指定子を特定する特定部と、１以上の統一資源位置指定子にファイルが配置されているか否か、および、１以上の統一資源位置指定子が監視部の監視対象であるか否かに基づき、１以上の統一資源位置指定子のファイルの状態を規定する規定部と、を備え、決定部は、出現確率、変動確率、発見確率および監視部によるファイルの監視周期にもとづいて、状態間の遷移確率を算出し、監視周期を変化させた場合の状態各々の定常分布確率を算出し、所定の状態および状態群のうち少なくとも一方について定常分布確率が最大となる監視周期を、周期として決定する。このため、ファイル配置の状態遷移モデルに基づいて最適な監視周期を決定することができる。

このように、実施形態に係るファイル監視周期算出システム、ファイル監視周期算出装置、ファイル監視周期算出方法においては、実測値から監視周期の数値解析に必要なデータを算出または推定し、数値解析を実施して算出した最適な監視周期をもちいてマルウェアダウンロードサイトの監視を実行する。このため、アクセス元からのアクセスに応じて不要な監視を最小限に抑制し、アクセス元に監視を検知される確率を低下させることができる。また、特にアクセス元が攻撃者である場合、攻撃者に監視を検知されてマルウェアを別のサイトに再配置される事態を回避することができる。その結果、新たなサイトに配置されたマルウェアを用いた攻撃を検知できなくなる可能性を排除でき、ブラックリストを用いた防御における検知漏れを抑制することができる。

なお、上記実施形態では、本発明に係るファイル監視周期算出システム、ファイル監視周期算出装置、ファイル監視周期算出方法及びファイル監視周期算出プログラムの、マルウェアダウンロードサイトの監視への適用例を説明した。しかし、これに限定されず、本発明は他のファイル監視システムに適用することもできる。

これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、その他の実施形態にて実施されてもよい。以下に、その他の実施形態を説明する。

［システム構成］
本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。例えば、攻撃元の情報は監視部１０１が検出し、ブラックリスト１０８に登録するものとしたが、サーバ２０のログ等からオペレータが検出して手入力するものとしてもよい。この他、上述文書中や図面中に示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示したファイル監視周期算出システムおよびファイル監視周期算出装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。例えば、図２に示す例では、監視部１０１、監視連携部１０２、マルウェアダウンロードサイト監視部１０３、出現確率算出部１０４、変動確率算出部１０５、発見確率算出部１０６、監視周期算出部１０７を一つの装置の構成要素として記載した。しかし、たとえば、出現確率算出部１０４、変動確率算出部１０５、発見確率算出部１０６および監視周期算出部１０７を独立した装置に実装してもよい。その場合、監視周期の設定と、監視処理の実行とは別の独立した装置で実行し、適宜相互に情報を送受信するものとしてもよい。また、ブラックリスト１０８は、ファイル監視周期算出装置１０に格納するものとしたが、ブラックリスト１０８を格納する記憶装置を別個に設けて、複数のおとりサーバ２０からの情報を統合的に格納させてもよい。

［プログラム］
図９は、ファイル監視周期算出システムによる一連の処理を実行するプログラムであるファイル監視周期算出プログラムによる情報処理が、コンピュータを用いて具体的に実現されることを示す図である。図９に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブ１０８０と、ネットワークインタフェース１０７０とを有する。コンピュータ１０００の各部はバス１１００によって接続される。

メモリ１０１０は、図９に例示するように、ＲＯＭ１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。

ここで、図９に例示するように、ハードディスクドライブ１０８０は、例えば、ＯＳ１０８１、アプリケーションプログラム１０８２、プログラムモジュール１０８３、プログラムデータ１０８４を記憶する。すなわち、開示の実施の形態に係るファイル監視周期算出プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０８３として、例えばハードディスクドライブ１０８０に記憶される。例えば、出現確率算出部１０４、変動確率算出部１０５および発見確率算出部１０６の各部と同様の情報処理を実行する手順各々が記述されたプログラムモジュール１０８３が、ハードディスクドライブ１０８０に記憶される。

また、ブラックリスト１０８に記憶されるデータのように、ファイル監視周期算出プログラムによる情報処理に用いられるデータは、プログラムデータ１０８４として、例えばハードディスクドライブ１０８０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０８０に記憶されたプログラムモジュール１０８３やプログラムデータ１０８４を必要に応じてＲＡＭ１０１２に読み出し、各種の手順を実行する。

なお、ファイル監視周期算出プログラムに係るプログラムモジュール１０８３やプログラムデータ１０８４は、ハードディスクドライブ１０８０に記憶される場合に限られない。例えば、プログラムモジュール１０８３やプログラムデータ１０８４は、着脱可能な記憶媒体に記憶されてもよい。この場合、ＣＰＵ１０２０は、ディスクドライブなどの着脱可能な記憶媒体を介してデータを読み出す。また、同様に、ファイル監視周期算出プログラムに係るプログラムモジュール１０８３やプログラムデータ１０８４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。この場合、ＣＰＵ１０２０は、ネットワークインタフェース１０７０を介して他のコンピュータにアクセスすることで各種データを読み出す。

［その他］
なお、本実施形態で説明したファイル監視周期算出プログラムは、インターネット等のネットワークを介して配布することができる。また、ファイル監視周期算出プログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読取可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

１ 端末装置
２ サーバ
１０ ファイル監視周期算出装置
２０ おとりサーバ
１０１ 監視部
１０２ 監視連携部
１０３ マルウェアダウンロードサイト監視部
１０４ 出現確率算出部
１０５ 変動確率算出部
１０６ 発見確率算出部
１０７ 監視周期算出部
１０８ ブラックリスト
１０００ コンピュータ
１０１０ メモリ
１０１１ ＲＯＭ
１０１２ ＲＡＭ
１０２０ ＣＰＵ
１０７０ ネットワークインタフェース
１０８０ ハードディスクドライブ
１０８１ ＯＳ
１０８２ アプリケーションプログラム
１０８３ プログラムモジュール
１０８４ プログラムデータ
１１００ バス

Claims (9)

1. 不正なファイルが配置される統一資源位置指定子を検出し、当該統一資源位置指定子に配置されるファイルを監視する監視部と、
   前記統一資源位置指定子を用いたアクセスの数を取得し、前記統一資源位置指定子を用いたアクセスが出現する確率である出現確率を算出する第１の算出部と、
   前記統一資源位置指定子のファイルが変動する確率である変動確率を算出する第２の算出部と、
   不正なファイルが配置される統一資源位置指定子に対する監視を検出する確率である発見確率を算出する第３の算出部と、
   前記出現確率、前記変動確率および前記発見確率に基づき、前記監視部がファイルの監視を実行する周期を決定する決定部と、
   を備えるファイル監視周期算出装置。
2. ネットワークを介して所定の統一資源位置指定子に配置されるファイルを取得するサーバと、
   前記サーバに対する不正なアクセスを監視する監視装置と、
   を備えるファイル監視周期算出システムであって、
   前記監視装置は、
   不正なファイルが配置される統一資源位置指定子を検出し、当該統一資源位置指定子に配置されるファイルを監視する監視部と、
   前記統一資源位置指定子を用いたアクセスの数を取得し、前記統一資源位置指定子を用いたアクセスが出現する確率である出現確率を算出する第１の算出部と、
   前記統一資源位置指定子のファイルが変動する確率である変動確率を算出する第２の算出部と、
   不正なファイルが配置される統一資源位置指定子に対する監視を検出する確率である発見確率を算出する第３の算出部と、
   前記出現確率、前記変動確率および前記発見確率に基づき、前記監視部がファイルの監視を実行する周期を決定する決定部と、
   を備えるファイル監視周期算出システム。
3. 前記第１の算出部は、前記サーバへのアクセスにおいて、所定のアクセス元と所定の統一資源位置指定子の出現頻度の周期性に基づいて、前記出現確率を算出することを特徴とする請求項２に記載のファイル監視周期算出システム。
4. 前記監視装置は、前記所定の統一資源位置指定子を、前記サーバまたは前記ネットワーク上で検出する検出部をさらに備え、
   前記第１の算出部は、前記検出部の検出結果に基づき、前記所定の統一資源位置指定子の出現頻度を算出することを特徴とする請求項３に記載のファイル監視周期算出システム。
5. 前記監視部は、前記統一資源位置指定子に配置されるファイルの変化の有無を監視し、
   前記第２の算出部は、前記監視部が前記ファイルに変化がないことを検出した時間の平均値に基づき、前記変動確率を算出することを特徴とする請求項２に記載のファイル監視周期算出システム。
6. 前記監視装置はさらに、
   不正なファイルが配置される可能性がある１以上の統一資源位置指定子を特定する特定部と、
   前記１以上の統一資源位置指定子にファイルが配置されているか否か、および、前記１以上の統一資源位置指定子が前記監視部の監視対象であるか否かに基づき、前記１以上の統一資源位置指定子のファイルの状態を規定する規定部と、
   を備え、
   前記決定部は、前記出現確率、前記変動確率、前記発見確率および前記監視部によるファイルの監視周期にもとづいて、前記状態間の遷移確率を算出し、前記監視周期を変化させた場合の前記状態各々の定常分布確率を算出し、所定の状態および状態群のうち少なくとも一方について前記定常分布確率が最大となる監視周期を、前記周期として決定することを特徴とする請求項２に記載のファイル監視周期算出システム。
7. ネットワークを介して所定の統一資源位置指定子に配置されるファイルを取得するサーバと、
   前記サーバに対する不正なアクセスを監視する監視装置と、
   を備えるファイル監視周期算出システムで実行されるファイル監視周期算出方法であって、
   前記監視装置は、不正なファイルが配置される統一資源位置指定子を検出し、当該統一資源位置指定子に配置されるファイルを監視する監視工程と、
   前記監視装置は、前記統一資源位置指定子を用いたアクセスの数を取得し、前記統一資源位置指定子を用いたアクセスが出現する確率である出現確率を算出する第１の算出工程と、
   前記監視装置は、前記統一資源位置指定子のファイルが変動する確率である変動確率を算出する第２の算出工程と、
   前記監視装置は、不正なファイルが配置される統一資源位置指定子に対する監視を検出する確率である発見確率を算出する第３の算出工程と、
   前記監視装置は、前記出現確率、前記変動確率および前記発見確率に基づき、前記監視工程においてファイルの監視を実行する周期を決定する決定工程と、
   を含んだことを特徴とするファイル監視周期算出方法。
8. 不正なファイルが配置される統一資源位置指定子を検出し、当該統一資源位置指定子に配置されるファイルを監視する監視ステップと、
   前記統一資源位置指定子を用いたアクセスの数を取得し、前記統一資源位置指定子を用いたアクセスが出現する確率である出現確率を算出する第１の算出ステップと、
   前記統一資源位置指定子のファイルが変動する確率である変動確率を算出する第２の算出ステップと、
   不正なファイルが配置される統一資源位置指定子に対する監視を検出する確率である発見確率を算出する第３の算出ステップと、
   前記出現確率、前記変動確率および前記発見確率に基づき、前記統一資源位置指定子に配置されるファイルの監視を実行する周期を決定する決定ステップと、
   をコンピュータに実行させるためのファイル監視周期算出プログラム。
9. コンピュータを請求項１に記載のファイル監視周期算出装置として機能させるためのファイル監視周期算出プログラム。

Images