JP5981036B2

JP5981036B2 - 自動的なスキャン行為の判断方法及び装置

Info

Publication number: JP5981036B2
Application number: JP2015528862A
Authority: JP
Inventors: 俊勇熊
Original assignee: NSFOCUS Information Technology Co Ltd; Nsfocus Technologies Inc
Current assignee: NSFOCUS Information Technology Co Ltd; Nsfocus Technologies Inc
Priority date: 2012-08-29
Filing date: 2013-08-29
Publication date: 2016-08-31
Anticipated expiration: 2033-08-29
Also published as: CN102868685B; US10057155B2; US20150249589A1; CN102868685A; WO2014032600A1; JP2015532048A

Description

本発明はネットワークセキュリティ技術分野に関し、特に、自動的なスキャン行為の判断方法及び装置に関する。

本出願は、２０１２年０８月２９日に中国特許局に提出し、出願番号が２０１２１０３１３４５８.３であり、発明名称が「自動的なスキャン行為の判断方法及び装置」との中国特許出願を基礎とする優先権を主張し、その開示の総てをここに取り込む。

インターネット技術の発展と伴い、ウェブサイトにおける情報量は爆発的に増えつつ、サーチ・エンジン、ダウンロードツール、スキャナーなど、ウェブサイトに対する自動的なスキャン行為を起こすツールも増えつつある。これらのツールの自動的なスキャン行為は、ユーザーにより生成されたものではなく、ツール自身がウェブサイト情報を分析するために自動的に生成されたものである。これらのツールの自動的なスキャン行為により多くのネットワークリソースが占有され、ユーザーからの正常なアクセスに影響を及ぼすようになる。よって、これらの自動的なスキャン行為を判断して、遮断することは必要となる。

従来の自動的なスキャン行為の判断方法は以下２種類があった。
第１種
自動的なスキャン行為を起こすツールの特徴情報に基づいて、自動的なスキャン行為を判断する特徴情報データベースを確立し、アクセスリクエストを受信後、アクセスリクエストにおける特徴情報と、特徴情報データベースにおける特徴情報とをマッチすることにより、自動的なスキャン行為の有無を判断する。当該方法の適用性が悪く、既知の特徴情報のツールの自動的なスキャン行為のみを判断でき、未知の特徴情報に対して何の役も立てない。
第２種
ネットワークセキュリティ装置のアラーム頻度により判断し、あるアラーム頻度を超えると、自動的なスキャン行為として判断する。当該方法は、簡単過ぎ、正確性が低い。

よって、従来の自動的なスキャン行為の判断方法は、適用性と正確性が低い。

本発明に係る実施例は、自動的なスキャン行為の判断方法及び装置を提供し、従来の自動的なスキャン行為の判断方法の適用性及び正確性が低い問題点を解決できる。

本発明に係る自動的なスキャン行為の判断方法は、既定周期において、選定した送信端から選定したウェブサイトサーバへ送信したアクセスリクエストメッセージと、前記選定したウェブサイトサーバから前記選定した送信端へフィードバックしたアクセス応答メッセージとを採集するステップと、前記既定周期などを少なくとも２つの既定サブ周期に分け、各既定サブ周期内のアクセスリクエストメッセージ数を順次に統計し、統計した各既定サブ周期内のアクセスリクエストメッセージ数に基づいて、前記選定した送信端のリクエスト信頼値を確定するステップと、採集したアクセス応答メッセージのうちの成功した応答メッセージ数と失敗した応答メッセージ数とを統計し、統計した成功した応答メッセージ数と失敗した応答メッセージ数とに基づいて、前記選定した送信端の応答信頼値を確定するステップと、前記リクエスト信頼値に対応する第１重み係数と、前記応答信頼値に対応する第２重み係数とを取得し、確定したリクエスト信頼値と、応答信頼値と、第１重み係数と、第２重み係数とに基づいて、前記既定周期内の前記選定した送信端の総合評価値を計算するステップと、前記総合評価値と第１既定閾値とを比較して、前記選定した送信端において自動的なスキャン行為の発生有無を判断するステップとを備える。

自動的なスキャン行為の判断装置は、既定周期において、選定した送信端から選定したウェブサイトサーバへ送信したアクセスリクエストメッセージと、前記選定したウェブサイトサーバから前記選定した送信端へフィードバックしたアクセス応答メッセージとを採集するメッセージ採集手段と、前記既定周期などを少なくとも２つの既定サブ周期に分け、各既定サブ周期内のアクセスリクエストメッセージ数を順次に統計し、統計した各既定サブ周期内のアクセスリクエストメッセージ数に基づいて、前記選定した送信端のリクエスト信頼値を確定し、採集したアクセス応答メッセージのうちの成功した応答メッセージ数と失敗した応答メッセージ数とを統計し、統計した成功した応答メッセージ数と失敗した応答メッセージ数とに基づいて、前記選定した送信端の応答信頼値を確定する信頼値確定手段と、前記リクエスト信頼値に対応する第１重み係数と、前記応答信頼値に対応する第２重み係数とを取得し、確定したリクエスト信頼値と、応答信頼値と、第１重み係数と、第２重み係数とに基づいて、前記既定周期内の前記選定した送信端の総合評価値を計算する評価値確定手段と、前記総合評価値と第１既定閾値とを比較して、前記選定した送信端において自動的なスキャン行為の発生有無を判断する判断手段とを備える。

本発明の効果は以下のようである。
本発明に係る実施例の自動的なスキャン行為の判断方法及び装置は、既定周期において、選定した送信端から選定したウェブサイトサーバへ送信したアクセスリクエストメッセージと、前記選定したウェブサイトサーバから前記選定した送信端へフィードバックしたアクセス応答メッセージとを採集し、前記既定周期などを少なくとも２つの既定サブ周期に分け、各既定サブ周期内のアクセスリクエストメッセージ数を順次に統計し、統計した各既定サブ周期内のアクセスリクエストメッセージ数に基づいて、前記選定した送信端のリクエスト信頼値を確定し、採集したアクセス応答メッセージのうちの成功した応答メッセージ数と失敗した応答メッセージ数とを統計し、統計した成功した応答メッセージ数と失敗した応答メッセージ数とに基づいて、前記選定した送信端の応答信頼値を確定する前記リクエスト信頼値に対応する第１重み係数と、前記応答信頼値に対応する第２重み係数とを取得し、確定したリクエスト信頼値と、応答信頼値と、第１重み係数と、第２重み係数とに基づいて、前記既定周期内の前記選定した送信端の総合評価値を計算し、前記総合評価値と第１既定閾値とを比較して、前記選定した送信端において自動的なスキャン行為の発生有無を判断する。当該技術案は、採集した選定した送信端により送信したアクセスリクエストメッセージと、ウェブサイトサーバからフィードバックしたアクセス応答メッセージとにより、選定した送信端の総合評価値を最終的に確定し、そして、総合評価値と第１既定閾値の比較結果により、選定した送信端に自動的なスキャン行為の発生有無を判断する。当該技術案は、各選定した送信端に対しても、アクセスリクエストメッセージとアクセス応答メッセージを採集して判断することができるため、従来の既知データベース情報のマッチ結果により判断することより、適応性が高い。当該技術案は、採集したアクセスリクエストメッセージに基づいて選定した送信端のリクエスト信頼値を確定し、また、採集した応答メッセージにより、選定した送信端の応答信頼値を確定する。その後、リクエスト信頼値と、応答信頼値とにより、選定した送信端の総合評価値を確定する。本発明は、選定した送信端のリクエスト信頼値と応答信頼値とを総合的に考慮したため、従来のネットワークセキュリティ装置のアラーム頻度のみに基づいて判断することより、正確性がさらに高くなる。

図１は本発明に係る実施例の自動的なスキャン行為の判断方法のフローチャートである。図２は本発明に係る実施例における選定した送信端のリクエスト信頼値の確定方法のフローチャートである。図３は本発明に係る実施例における自動的なスキャン行為の判断装置の構造図である。

従来の自動的なスキャン行為の判断方法の適用性及び正確性が弱い問題点を解決するため、本発明に係る実施例は、自動的なスキャン行為の判断方法を提供する。当該方法のフローチャートは図１に示すように、以下のステップを備える。

S１０：既定周期において、選定した送信端から選定したウェブサイトサーバへ送信したアクセスリクエストメッセージと、選定したウェブサイトサーバから選定した送信端へフィードバックしたアクセス応答メッセージとを採集する。

実のニーズに応じて、一定の時間を既定周期として選定し、現在多数のウェブサイトサーバが存在し、１つまたは複数のウェブサイトサーバを、選定したウェブサイトサーバとして選定し、ある選定したウェブサイトサーバに、複数の送信端によりアクセスされるが、全部または一部の送信端を選定した送信端として選定する。

ある選定した送信端の場合、既定周期において、当該送信端から選定したウェブサイトサーバへ送信したアクセスリクエストメッセージと、選定したウェブサイトからフィードバックしたアクセス応答メッセージとを採集する。即ち、選定サーバが受信した、選定した送信端のインターネットプロトコル（Internet Protocol，IP）アドレスを、ソースIPアドレスのアクセスリクエストメッセージとして採集し、選定サーバが送信した、選定した送信端のIPアドレスを、目的IPアドレスのアクセス応答メッセージとして採集する。

S１１：既定周期などを少なくとも２つの既定サブ周期に分け、各既定サブ周期内のアクセスリクエストメッセージ数を順次に統計し、統計した各既定サブ周期内のアクセスリクエストメッセージ数に基づいて、選定した送信端のリクエスト信頼値を確定する。

既定周期などを少なくとも２つの既定サブ周期に分け、もし既定周期をTとし、既定サブ周期をtとすれば、Tは、nとtの積と等しく、ここで、nは既定サブ周期数である。もし統計した第１既定サブ周期t_１内の採集したアクセスリクエストメッセージ数がy_１であり、第２个既定サブ周期t_２内の、採集したアクセスリクエストメッセージ数がy_２であり、......、第nの固定子周期t_n内の、採集したアクセスリクエストメッセージ数がy_nであれば、y_１、y_２、......、y_nにより選定した送信端のリクエスト信頼値を確定する。

S１２：採集したアクセス応答メッセージのうちの成功した応答メッセージ数と失敗した応答メッセージ数とを統計し、統計した成功した応答メッセージ数と失敗した応答メッセージ数とに基づいて、選定した送信端の応答信頼値を確定する。

選定したウェブサイトサーバの、選定した送信端的アクセスリクエストメッセージに対するアクセス応答メッセージは、成功した応答メッセージと、失敗した応答メッセージとの２種類がある。統計した成功した応答メッセージ数と失敗した応答メッセージ数とに基づいて、選定した送信端の応答信頼値を確定することができる。

S１２とS１１は前後順ではなく、S１１を執行してからS１２を執行してもよいし、S１２を執行してからS１１を執行してもよい。もちろん、S１１とS１２とを同時に執行してもよい。

S１３：リクエスト信頼値に対応する第１重み係数と、応答信頼値に対応する第２重み係数とを取得し、確定したリクエスト信頼値と、応答信頼値と、第１重み係数と、第２重み係数とに基づいて、既定周期内の、選定した送信端の総合評価値を計算する。

第１重み係数と第２重み係数は、実のニースに応じて設定することができる。

S１４：総合評価値と第１既定閾値を比較し、選定した送信端に自動的なスキャン行為の発生有無を判断する。

採集した選定した送信端により送信したアクセスリクエストメッセージと、ウェブサイトサーバからフィードバックしたアクセス応答メッセージとにより、選定した送信端の総合評価値を最終的に確定し、そして、総合評価値と第１既定閾値の比較結果により、選定した送信端に自動的なスキャン行為の発生有無を判断する。当該技術案は、各選定した送信端に対しても、アクセスリクエストメッセージとアクセス応答メッセージを採集して判断することができるため、従来の既知データベース情報のマッチ結果により判断することより、適応性が高い。当該技術案は、採集したアクセスリクエストメッセージに基づいて選定した送信端のリクエスト信頼値を確定し、また、採集した応答メッセージにより、選定した送信端の応答信頼値を確定する。その後、リクエスト信頼値と、応答信頼値とにより、選定した送信端の総合評価値を確定する。本発明は、選定した送信端のリクエスト信頼値と応答信頼値とを総合的に考慮したため、従来のネットワークセキュリティ装置のアラーム頻度のみに基づいて判断することより、正確性がさらに高くなる。

具体的に、上述S１１における統計した各既定サブ周期内のアクセスリクエストメッセージ数に基づいて、選定した送信端のリクエスト信頼値を確定することは、図２に示すように、下記のステップを備える。

S１１１：統計した各既定サブ周期内のアクセスリクエストメッセージ数を記録し、統計データシークエンスを取得する。

統計した各既定サブ周期内的アクセスリクエストメッセージ数を記録し、統計データシークエンスは、式（１）である。

nは、既定サブ周期数を示し、即ち、統計データシークエンスY_i中のエレメント数を示す。

S１１２：統計データシークエンスのうちの最大値を取得し、取得した最大値が第２既定閾値より小さいか否かを判断する。取得した最大値が第２既定閾値より小さければ、S１１３を執行し、取得した最大値が第２既定閾値より小さくなければ、S１１４を執行する。

S１１３：取得した最大値と第２既定閾値の比をリクエスト信頼値とする。

第２既定閾値をY_maxと仮説し、y_maxは、Y_iのうちの最大値であり、y_maxがY_maxより大きければ、y_maxとY_maxの比を、リクエスト信頼値Qとする。

S１１４：統計データシークエンスの誤差比を計算し、誤差比が第３既定閾値より小さいか否かを判断する。誤差比が第３既定閾値より小さければ、S１１５を執行し、誤差比が第３既定閾値より小さくなければ、S１１6を執行する。

y_maxがY_maxより小さくなければ、統計データシークエンスY_iの誤差比Kを引き続き計算する必要がある。ここで、Kが大きいほど、統計データシークエンス中のデータが分散していることを示し、これは人より開始したアクセスリクエストメッセージの場合と一致する。一方、Kが小さいほど、統計データシークエンス中のデータが集中することを示し、これは選定した送信端に自動的なスキャン行為が存在する場合と一致する。

S１１５：誤差比をリクエスト信頼値とする。

誤差比Kが第３既定閾値より小さければ、誤差比Kは、リクエスト信頼値Qである。

S１１6：統計データシークエンスにおける、前部からの第１既定個数のエレメントの第１傾斜度と、後部からの第２既定個数のエレメントの第２傾斜度とをそれぞれ計算し、第１傾斜度の絶対値と第２傾斜度の絶対値の平均値をリクエスト信頼値とする。

誤差比Kは第３既定閾値より小さくなければ、即ち、統計データシークエンス中のデータが、非常に分散するため、リクエスト信頼値Qを確定することができない。そうすれば、統計データシークエンスにおける、前部からの第１既定個数のエレメントの第１傾斜度と、後部からの第２既定個数のエレメントの第２傾斜度とを選定する。統計データシークエンスYi中の前部からの５つのエレメントと、後部からの５つのエレメントを選定すると仮説し、前部からの５つのエレメント的傾斜度k_１と、後部からの５つのエレメント的傾斜度k_２を算出することができる。
k_１とk_２の絶対値の平均値をリクエスト信頼値Qとする。

具体的に、上述S１１４における統計データシークエンスの誤差比を計算することは、統計データシークエンスの標準偏差と平均値とを計算し、統計データシークエンスの標準偏差と平均値の比を、統計データシークエンスの誤差比とすることを指す。

具体的に、上述統計データシークエンスの標準偏差と平均値とを計算することは、式（３）により統計データシークエンスＹ_iの標準偏差σを計算し、式（４）により統計データシークエンスＹ_iの平均値
を計算する。

ここで、y_iは統計データシークエンスＹ_i中の第i個のエレメントを示し、i=０，１,…n-１であり、nは、統計データシークエンスＹ_i中のエレメントの総数を示す。

具体的に、上述S１１6における統計データシークエンスにおける、前部からの第１既定個数のエレメントの第１傾斜度と、後部からの第２既定個数のエレメントの第２傾斜度とを計算することは、具体的には、式（５）により統計データシークエンスＹ_iの前部の第１既定個数のエレメントの第１傾斜度ｋ_１を計算し、式（６）により統計データシークエンスＹ_i後部の第２既定個数のエレメントの第２傾斜度ｋ_２を計算する。

ここで、y_iは、統計データシークエンスＹ_iにおける、第i個のエレメントを示し、i=０，１,…n_１，…，n-n_２，…n-1であり、n_１は第１既定個数であり、n_２は第２既定個数であり、nは統計データシークエンスＹ_i中のエレメントの総数である。

具体的に、上述S１１における統計した成功した応答メッセージ数と失敗した応答メッセージ数とに基づいて、選定した送信端の応答信頼値を確定することは、成功した応答メッセージ数を採集したアクセス応答メッセージ数で割って第１比を得、第１比を応答信頼値とするか、または、失敗した応答メッセージ数を採集したアクセス応答メッセージ総数で割って第２比を得、第１比と第２比の差を応答信頼値とする。

もし既定周期における、成功した応答メッセージ数s_１と、失敗した応答メッセージ数s_２とを統計すれば、式（７）を応答信頼値Aとしてもよいし、式（８）を応答信頼値Aとしてもよい。

具体的に、上述S１２における確定したリクエスト信頼値と、応答信頼値と、第１重み係数と、第２重み係数とに基づいて、既定周期内の、選定した送信端の総合評価値を計算することは、第１重み係数とリクエスト信頼値の乗算で第１積を得、第２重み係数と応答信頼値の乗算で第２積を得て、第１積と第２積の和を総合評価値とする。

第１重み係数と第２重み係数は、実のニーズに応じて設定することができる。第１重み係数をとし、第２重み係数をα_２とすれば、総合評価値は式（９）である。

具体的に、上述S１３における総合評価値と第１既定閾値を比較し、選定した送信端に自動的なスキャン行為の発生有無を判断することは、総合評価値が第１既定閾値により大きければ、選定した送信端に自動的なスキャン行為が発生したと判断し、総合評価値が第１既定閾値より大きくなければ、選定した送信端未に自動的なスキャン行為が発生しなかったと判断する。

総合評価値式（９）と第１既定閾値の大小に基づいて選定端末に自動的なスキャン行為が発生したか否かを判断することができる。

総合評価値式（９）に対し、まだ２つの特殊の場合がある。
場合１：第１重み係数α１が０である場合、応答信頼値を総合評価値とし、即ち、応答信頼値のみに基づいて、選定した送信端に自動的なスキャン行為の発生を判断する。
場合２：第２重み係数α_２が０である場合、リクエスト信頼値を総合評価値とする。即ち、リクエスト信頼値のみに基づいて、選定した送信端に自動的なスキャン行為の発生を判断する。

同一の発明思想に基づいて、本発明に係る実施例は、自動的なスキャン行為の判断装置をさらに提供する。当該装置の構造は図３に示すように、メッセージ採集手段３０と、信頼値確定手段３１と、評価値確定手段３２と、判断手段３３とを備える。

メッセージ採集手段３０は、既定周期において、選定した送信端から選定したウェブサイトサーバへ送信したアクセスリクエストメッセージと、選定したウェブサイトサーバから選定した送信端へフィードバックしたアクセス応答メッセージと採集する。

信頼値確定手段３１は、既定周期などを少なくとも２つの既定サブ周期に分け、各既定サブ周期内のアクセスリクエストメッセージ数を順次に統計し、統計した各既定サブ周期内のアクセスリクエストメッセージ数に基づいて、選定した送信端のリクエスト信頼値を確定し、採集したアクセス応答メッセージのうちの成功した応答メッセージ数と失敗した応答メッセージ数とを統計し、統計した成功した応答メッセージ数と失敗した応答メッセージ数とに基づいて、選定した送信端の応答信頼値を確定する。

評価値確定手段３２は、リクエスト信頼値に対応する第１重み係数と、応答信頼値に対応する第２重み係数とを取得し、確定したリクエスト信頼値と、応答信頼値と、第１重み係数と、第２重み係数とに基づいて、既定周期内の、選定した送信端の総合評価値を計算する。

判断手段３３は、総合評価値と第１既定閾値を比較し、選定した送信端に自動的なスキャン行為の発生有無を判断する。

具体的に、上述信頼値確定手段３１は、統計した各既定サブ周期内のアクセスリクエストメッセージ数を記録し、統計データシークエンスを取得する。統計データシークエンスのうちの最大値を取得し、取得した最大値と第２既定閾値とを比較する。取得した最大値が第２既定閾値より小さくなければ、取得した最大値と第２既定閾値の比をリクエスト信頼値とする。取得した最大値が第２既定閾値より小さければ、統計データシークエンスの誤差比を計算し、誤差比が第３既定閾値より小さい場合、誤差比をリクエスト信頼値とする。

具体的に、上述信頼値確定手段３１は、統計データシークエンスの標準偏差と平均値とを計算し、統計データシークエンスの標準偏差と平均値の比を、統計データシークエンスの誤差比とする。

具体的に、上述信頼値確定手段３１は、式（３）により統計データシークエンスＹ_iの標準偏差σを計算し、式（４）により統計データシークエンスＹ_iの平均値
を計算する。

具体的に、誤差比が第３既定閾値より小さくなければ、上述信頼値確定手段３１は、さらに、統計データシークエンスにおける、前部からの第１既定個数のエレメントの第１傾斜度と、後部からの第２既定個数のエレメントの第２傾斜度とをそれぞれ計算し、第１傾斜度の絶対値と第２傾斜度の絶対値の平均値をリクエスト信頼値とする。

具体的に、上述信頼値確定手段３１は、式（５）により統計データシークエンスＹ_iの前部の第１既定個数のエレメントの第１傾斜度ｋ_１を計算し、式（６）により統計データシークエンスＹ_i後部の第２既定個数のエレメントの第２傾斜度ｋ_２を計算する。

具体的に、上述信頼値確定手段３１は、成功した応答メッセージ数を採集したアクセス応答メッセージ総数で割って第１比を得、第１比を応答信頼値とする。または、失敗した応答メッセージ数を採集したアクセス応答メッセージ総数で割って第２比を得、第１比と第２比の差を得て、応答信頼値とする。

具体的に、上述評価値確定手段３２は、第１重み係数とリクエスト信頼値の乗算で第１積を得、第２重み係数と応答信頼値の乗算で第２積を得、第１積と第２積の和を総合評価値とする。

具体的に、上述判断手段３３は、総合評価値が第１既定閾値より大きければ、選定した送信端に自動的なスキャン行為が発生すると判断し、総合評価値が第１既定閾値より大きくなければ、選定した送信端に自動的なスキャン行為が発生しなかったと判断する。

無論、当業者によって、上述した実施形態に記述された技術的な解決手段を改造し、或いはその中の一部の技術要素を置換することもできる。そのような、改造と置換は本発明の各実施形態の技術の範囲から逸脱するとは見なされない。そのような改造と置換は、すべて本発明の請求の範囲に属する。

Claims

自動的なスキャン行為の判断方法であって、
前記方法は、
既定周期において、選定した送信端から選定したウェブサイトサーバへ送信したアクセスリクエストメッセージと、前記選定したウェブサイトサーバから前記選定した送信端へフィードバックしたアクセス応答メッセージとを採集するステップと、
前記既定周期などを少なくとも２つの既定サブ周期に分け、各既定サブ周期内のアクセスリクエストメッセージ数を順次に統計し、統計した各既定サブ周期内のアクセスリクエストメッセージ数に基づいて、前記選定した送信端のリクエスト信頼値を確定するステップと、
採集したアクセス応答メッセージのうちの成功した応答メッセージ数と失敗した応答メッセージ数とを統計し、統計した成功した応答メッセージ数と失敗した応答メッセージ数とに基づいて、前記選定した送信端の応答信頼値を確定するステップと、
前記リクエスト信頼値に対応する第１重み係数と、前記応答信頼値に対応する第２重み係数とを取得し、確定したリクエスト信頼値と、応答信頼値と、第１重み係数と、第２重み係数とに基づいて、前記既定周期内の前記選定した送信端の総合評価値を計算するステップと、
前記総合評価値と第１既定閾値とを比較して、判断前記選定した送信端において自動的なスキャン行為の発生有無を判断するステップとを備えることを特徴とする自動的なスキャン行為の判断方法。
統計した各既定サブ周期内のアクセスリクエストメッセージ数に基づいて、前記選定した送信端のリクエスト信頼値を確定することは、
統計した各既定サブ周期内のアクセスリクエストメッセージ数を記録し、統計データシークエンスを取得し、
前記統計データシークエンスのうちの最大値を取得し、取得した最大値と第２既定閾値とを比較し、
取得した最大値が前記第２既定閾値より小さくなければ、取得した最大値と前記第２既定閾値の比を前記リクエスト信頼値とし、
取得した最大値が前記第２既定閾値より小さければ、前記統計データシークエンスの誤差比を計算し、前記誤差比が第３既定閾値より小さければ、前記誤差比を前記リクエスト信頼値とし、
前記統計データシークエンスの誤差比を計算することは、
前記統計データシークエンスの標準偏差と平均値とを計算し、
前記統計データシークエンスの標準偏差と平均値の比を前記統計データシークエンスの誤差比とすることであり、
前記統計データシークエンスの標準偏差と平均値とを計算することは、
式（３）により前記統計データシークエンスY _i の標準偏差σを計算し、
式（４）により前記統計データシークエンスY _i の平均値
を計算し、
ここで、y _i は統計データシークエンスY _i 中の第i個エレメントを示し、i=０，１,…n-１、nは統計データシークエンスY _i 中のエレメントの総数を示す
ことを特徴とする請求項１に記載の自動的なスキャン行為の判断方法。
前記誤差比が第３既定閾値より小さくなければ、
前記統計データシークエンスにおける、前部からの第１既定個数のエレメントの第１傾斜度と、後部からの第２既定個数のエレメントの第２傾斜度とをそれぞれ計算し、
前記第１傾斜度の絶対値と前記第２傾斜度の絶対値の平均値を前記リクエスト信頼値とし、
前記統計データシークエンスにおける、前部からの第１既定個数のエレメントの第１傾斜度と、後部からの第２既定個数のエレメントの第２傾斜度とを計算することは、
式（５）により前記統計データシークエンスY _i 前第１既定個数のエレメントの第１傾斜度ｋ _１を計算し、
式（６）により前記統計データシークエンスY _i 後部からの第２既定個数のエレメントの第２傾斜度ｋ _２を計算し、
ここで、y _i は、統計データシークエンスY _i 中の第i個エレメントを示し、i=０，１,…n _１，…，n-n _２，…n-1、n _１は第１既定個数であり、n _２は第２既定個数であり、nは統計データシークエンスY _i 中エレメントの総数であることを特徴とする請求項２に記載の自動的なスキャン行為の判断方法。
統計した成功した応答メッセージ数と失敗した応答メッセージ数とに基づいて、前記選定した送信端の応答信頼値を確定することは、
成功した応答メッセージ数を採集したアクセス応答メッセージ総数で割って第１比を得、前記第１比を前記応答信頼値とし、
または、
失敗した応答メッセージ数を採集したアクセス応答メッセージ総数で割って第２比を得、前記第１比と前記第２比を得て、前記応答信頼値とすることを特徴とする請求項１に記載の自動的なスキャン行為の判断方法。
確定したリクエスト信頼値と、応答信頼値と、第１重み係数と、第２重み係数とに基づいて、前記既定周期内の前記選定した送信端の総合評価値を計算することは、
前記第１重み係数と前記リクエスト信頼値を乗算して第１積を得、前記第２重み係数と前記応答信頼値を乗算して第２積を得、
前記第１積と前記第２積の和を前記総合評価値とすることを特徴とする請求項１に記載の自動的なスキャン行為の判断方法。
前記総合評価値と第１既定閾値とを比較して、前記選定した送信端において自動的なスキャン行為の発生有無を判断することは、
前記総合評価値が前記第１既定閾値より大きければ、前記選定した送信端に自動的なスキャン行為が発生すると判断し、
前記総合評価値が前記第１既定閾値より大きくなければ、前記選定した送信端に自動的なスキャン行為が発生しなかったと判断することを特徴とする請求項１に記載の自動的なスキャン行為の判断方法。
自動的なスキャン行為の判断装置であって、
前記装置は、
既定周期において、選定した送信端から選定したウェブサイトサーバへ送信したアクセスリクエストメッセージと、前記選定したウェブサイトサーバから前記選定した送信端へフィードバックしたアクセス応答メッセージとを採集するメッセージ採集手段と、
前記既定周期などを少なくとも２つの既定サブ周期に分け、各既定サブ周期内のアクセスリクエストメッセージ数を順次に統計し、統計した各既定サブ周期内のアクセスリクエストメッセージ数に基づいて、前記選定した送信端のリクエスト信頼値を確定し、採集したアクセス応答メッセージのうちの成功した応答メッセージ数と失敗した応答メッセージ数とを統計し、統計した成功した応答メッセージ数と失敗した応答メッセージ数とに基づいて、前記選定した送信端の応答信頼値を確定する信頼値確定手段と、
前記リクエスト信頼値に対応する第１重み係数と、前記応答信頼値に対応する第２重み係数とを取得し、確定したリクエスト信頼値と、応答信頼値と、第１重み係数と、第２重み係数とに基づいて、前記既定周期内の前記選定した送信端の総合評価値を計算する評価値確定手段と、
前記総合評価値と第１既定閾値とを比較して、判断前記選定した送信端において自動的なスキャン行為の発生有無を判断する判断手段とを備えることを特徴とする自動的なスキャン行為の判断装置。
前記信頼値確定手段は、
統計した各既定サブ周期内のアクセスリクエストメッセージ数を記録し、統計データシークエンスを取得し、
前記統計データシークエンスのうちの最大値を取得し、取得した最大値と第２既定閾値とを比較し、
取得した最大値が前記第２既定閾値より小さくなければ、取得した最大値と前記第２既定閾値の比を前記リクエスト信頼値とし、
取得した最大値が前記第２既定閾値より小さければ、前記統計データシークエンスの誤差比を計算し、前記誤差比が第３既定閾値より小さければ、前記誤差比を前記リクエスト信頼値とし、
前記信頼値確定手段は、
前記統計データシークエンスの標準偏差と平均値とを計算し、
前記統計データシークエンスの標準偏差と平均値の比を前記統計データシークエンスの誤差比とし、
式（３）により前記統計データシークエンスY _i の標準偏差σを計算し、
式（４）により前記統計データシークエンスY _i の平均値
を計算し、
ここで、y _i は統計データシークエンスY _i 中の第i個エレメントを示し、i=０，１,…n-１、nは統計データシークエンスY _i 中のエレメントの総数を示すことを特徴とする請求項７に記載の自動的なスキャン行為の判断装置。
前記誤差比が第３既定閾値より小さくなければ、前記信頼値確定手段は、
前記統計データシークエンスにおける、前部からの第１既定個数のエレメントの第１傾斜度と、後部からの第２既定個数のエレメントの第２傾斜度とをそれぞれ計算し、
前記第１傾斜度の絶対値と前記第２傾斜度の絶対値の平均値を前記リクエスト信頼値とし、
式（５）により前記統計データシークエンスY _i の前部からの第１既定個数のエレメントの第１傾斜度ｋ _１を計算し、
式（６）により前記統計データシークエンスY _i 後部からの第２既定個数のエレメントの第２傾斜度ｋ _２を計算し、
ここで、y _i は統計データシークエンスY _i 中の第i個のエレメントを示し、i=０，１,…n _１，…，n-n _２，…nであり、n _１は第１既定個数であり、n _２は第２既定個数であり、nは、統計データシークエンスY _i 中のエレメントの総数であることを特徴とする請求項８に記載の自動的なスキャン行為の判断装置。
前記信頼値確定手段は、
成功した応答メッセージ数を採集したアクセス応答メッセージ総数で割って第１比を得、前記第１比を前記応答信頼値とし、
または、
失敗した応答メッセージ数を採集したアクセス応答メッセージ総数で割って第２比を得、前記第１比と前記第２比を得て、前記応答信頼値とすることを特徴とする請求項７に記載の自動的なスキャン行為の判断装置。
前記評価値確定手段は、
前記第１重み係数と前記リクエスト信頼値を乗算して第１積を得、前記第２重み係数と前記応答信頼値を乗算して第２積を得、
前記第１積と前記第２積の和を前記総合評価値とすることを特徴とする請求項７に記載の自動的なスキャン行為の判断装置。
前記判断手段は、前記総合評価値が前記第１既定閾値より大きければ、前記選定した送信端に自動的なスキャン行為が発生すると判断し、
前記総合評価値が前記第１既定閾値より大きくなければ、前記選定した送信端に自動的なスキャン行為が発生しなかったと判断することを特徴とする請求項７に記載の自動的なスキャン行為の判断装置。