JP6162021B2 - 解析装置、悪性通信先登録方法及び悪性通信先登録プログラム - Google Patents

Description

本発明は、解析装置、悪性通信先登録方法及び悪性通信先登録プログラムに関する。

従来、情報漏洩や不正アクセス等の脅威をもたらす不正プログラム（以下、「マルウェア」と呼ぶ）による被害が増えている。例えば、ユーザ端末が悪性なサイトへのアクセスなどによりマルウェアに感染すると、該端末がＣ＆Ｃ（Command and Control）サーバや、情報漏洩先のサーバ等の悪性な通信先と通信を行ってしまう。

そこで、このような悪性な通信先との通信を防止するために、予め悪性な通信先を登録したブラックリストを構築し、ブラックリストに含まれる悪性な通信先への通信を遮断することが行われている。

このようなブラックリストを拡張する技術として、ＤＮＳドメインの共起関係を用いたものが存在する。例えば、ＤＮＳクエリに基づいて端末の通信先ドメインを分析し、該端末の通信先ドメインｘとブラックリストに登録されている悪性なドメインとの両方にアクセスしている端末が多数である場合には、通信先ドメインｘをブラックリストに追加する技術が知られている（例えば、非特許文献１参照）。

上記の技術では、通信を行ったホストの数を見て不正通信と通信先の関連度である共起度を評価している。例えば、一度不正通信を行ったホストは感染ホストであるとし、そのホストが行った通信を「感染ホストの通信」としてひとまとめにする。そして、ある通信先ａ（ドメイン）と不正通信ｘ（ブラックリストの悪性ドメイン）の関連度（共起度）について、ドメインａとドメインｘに両方に通信したホスト数を、ドメインａとドメインｘのいずれかに通信したホスト数で除算することで算出する。

Kazumichi SATO"Extending Black Domain Name List by Using Co-occurrence Relation between DNS Queries"、IEICE TRANS.COMMUN.,VOL.E95-B,NO.3 MARCH 2012

しかしながら、従来の技術では、悪性な通信先を高精度に検出できず、ブラックリストに悪性な通信先を適切に登録することができない場合があるという課題があった。例えば、従来の技術では、一度不正通信を行ったホストは感染ホストであるとし、そのホストが行った通信を「感染ホストの通信」としてひとまとめにしており、不正通信の発生時刻を考慮していないため、悪性な通信先を高精度に検出できず、ブラックリストに悪性な通信先を適切に登録することができない場合があった。

また、例えば、所定のドメインが悪性か否かを判断するにあたり、全悪性ドメインとの関連度の合計という、絶対的な尺度で評価するため、悪性な通信先を高精度に検出できす、ブラックリストに悪性な通信先を適切に登録することができない場合があった。

つまり、従来の技術では、所定のドメインが悪性か否かを判断するにあたり、すべての悪性ドメインについて足しあわせた値の高低で判断する。すなわち、全悪性ドメインとの関連度の合計という、絶対的な尺度で評価する。この評価には、例えば、ドメインａとドメインｘとの関連度はドメインｂとドメインｘとの関連度よりもどれだけ高いかといった、相対的な評価は含まれないため、２つのドメインの関連度を評価するにあたり、ドメイン同士の関連度よりも、各ドメインの出現割合が大きく影響してしまい、悪性な通信先を高精度に検出できず、ブラックリストに悪性な通信先を適切に追加することができなくなる。

このため、２つのドメインの関連度を評価するにあたり、ドメイン同士の関連度よりも、各ドメインの出現割合が大きく影響してしまう。例えば、ドメインａ、ドメインｘの因果関係が全くない場合、すなわち、両ドメインのアクセスが完全に独立であった場合に、ａ、ｘの出現割合（全端末のうち当該ドメインにアクセスした端末の割合）がともに６０％であるとすると、ａとｘの関連度の期待値は「0.6*0.6/(0.6+(1-0.6)*0.6)≒0.42」である。

同じ条件で、ａ、ｘの出現割合がともに５％であるとすると、ａとｘの関連度の期待値は「0.05*0.05/(0.05+(1-0.05)*0.05)≒0.026」である。すなわち、関連度が同じでも、評価式に１６倍以上の差がついてしまう。このことは、通信先の悪性判断の正確性を損なう原因となり、悪性な通信先を高精度に検出できす、ブラックリストに悪性な通信先を適切に追加することができなくなる。

そこで、この発明は、悪性な通信先を高精度に検出し、ブラックリストに悪性な通信先を適切に登録することを目的とする。

上述した課題を解決し、目的を達成するため、開示の解析装置は、既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得部と、前記取得部によって取得された各通信先の情報が、前記不正通信および他の不正通信において出現する頻度に基づいて、各通信先の情報のなかから不正通信と関連する通信先の情報を検出する検出部と、前記検出部によって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録部と、を備えることを特徴とする。

また、開示の悪性通信先登録方法は、既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得工程と、前記取得工程によって取得された各通信先の情報が、前記不正通信および他の不正通信において出現する頻度に基づいて、各通信先の情報のなかから不正通信と関連する通信先の情報を検出する検出工程と、前記検出工程によって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録工程と、を含んだことを特徴とする。

また、開示の悪性通信先登録プログラムは、既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得ステップと、前記取得ステップによって取得された各通信先の情報が、前記不正通信および他の不正通信において出現する頻度に基づいて、各通信先の情報のなかから不正通信と関連する通信先の情報を検出する検出ステップと、前記検出ステップによって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録ステップと、をコンピュータに実行させることを特徴とする。

本願に開示する解析装置、悪性通信先登録方法及び悪性通信先登録プログラムによると、悪性な通信先を高精度に検出し、ブラックリストに悪性な通信先を適切に登録することが可能となる。

図１は、第一の実施形態に係る通信システムの構成の一例を示す図である。 図２は、ログ収集機器が解析装置に送信する、不正通信前後のアクセス先ログの例を説明する図である。 図３は、第一の実施形態に係る解析装置の構成を示すブロック図である。 図４は、第一の実施形態に係る不正通信先情報記憶部に記憶される情報の一例を示す図である。 図５は、第一の実施形態に係る不正通信内容記憶部に記憶される情報の一例を示す図である。 図６は、第一の実施形態に係るブラックリスト記憶部に記憶されるブラックリストの一例を示す図である。 図７は、第一の実施形態に係るホワイトリスト記憶部に記憶されるホワイトリストの一例を示す図である。 図８は、解析装置が取得した通信ログについて説明する図である。 図９は、第一の実施形態に係る解析装置におけるブラックリスト登録処理の流れを説明するためのフローチャートである。 図１０は、第一の実施形態に係る解析装置における解析処理の流れを説明するためのフローチャートである。 図１１は、マルウェアに感染した端末が内部感染拡大のためのアクションを指示する例を説明する図である。 図１２は、ブラックリストを用いて、悪性な通信先との通信を遮断する例を説明する図である。 図１３は、第二の実施形態に係る解析装置における解析処理の流れを説明するためのフローチャートである。 図１４は、第三の実施形態に係る解析装置における解析処理の流れを説明するためのフローチャートである。 図１５は、関連度の大きさに関して全てのＵＲＬを順位付けする処理を説明する図である。 図１６は、同一端末かつ同一不正通信の不正通信が短期間に連続して発生したことを示す図である。 図１７は、悪性通信先登録プログラムを実行するコンピュータを示す図である。

以下に図面を参照して、この発明に係る解析装置、悪性通信先登録方法及び悪性通信先登録プログラムの実施形態を詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。

［第一の実施形態］
以下の実施形態では、第一の実施形態に係る通信システムの構成、解析装置の構成及び解析装置による処理の流れを順に説明し、最後に第一の実施形態による効果を説明する。

［システムの構成］
まず、第一の実施形態に係る通信システムの構成の一例を説明する。図１は、第一の実施形態に係る通信システムの構成の一例を示す図である。図１に示すように、通信システムは、解析装置１０、複数のログ収集機器２０Ａ〜２０Ｃ、複数の端末３０Ａ〜３０Ｉを有する。なお、ログ収集機器２０Ａ〜２０Ｃ、端末３０Ａ〜３０Ｉについて、特に区別することなく説明する場合には、「ログ収集機器２０」、「端末３０」と記載する場合がある。また、図１に例示したログ収集機器２０および端末３０の設置数は、あくまで一例であり、これに限定されるものではない。

図１に示すように、ログ収集機器２０Ａと複数の端末３０Ａ〜３０Ｃは、同一のＬＡＮ内に設置されている。また、ログ収集機器２０Ｂと複数の端末３０Ｄ〜３０Ｆは、同一のＬＡＮ内に設置され、ログ収集機器２０Ｃと複数の端末３０Ｇ〜３０Ｉは、同一のＬＡＮ内に設置されている。

各ログ収集機器２０は、同一ＬＡＮ内のアクセスＵＲＬログを収集し、端末３０ごとにログを記録する。例えば、ログ収集機器２０は、ＬＡＮ内の端末３０の通信発生時にアクセス時刻およびアクセスＵＲＬをログとして記録する。

また、ログ収集機器２０は、同一ＬＡＮ内の端末３０で既知の不正通信を検出すると、不正通信の発生時刻から所定範囲の時間帯に端末３０が行った通信先の情報を解析装置１０に送信する。例えば、ログ収集器機２０は、図２に例示するように、「端末ｘ」で不正通信を検出した場合に、不正通信時刻「yy/MM/dd/hh/mm/ss」のアクセス先「http://xxx.co.jp」を解析装置１０に送信するとともに、該不正通信の発生時刻「yy/MM/dd/hh/mm/ss」から所定範囲の時間帯のアクセス先ＵＲＬも解析装置１０に送信する。ログ収集機器２０は、不正通信を検出するために、不正通信の内容が規定された不正通信管理テーブル（図５参照）を有しており、不正通信管理テーブルを用いて、不正通信を検出する。

ここで、ログ収集機器２０は、上記の「所定範囲の時間帯」が予め設定されており、例えば、不正通信の発生時刻から前後「５分」の間に行った通信のアクセス先を解析装置１０に送信する。また、不正通信の内容に応じて、「所定範囲の時間帯」を設定してもよい。つまり、不正通信によって感染したと考えられるマルウェアの種類等に応じて、不正通信と因果関係の高いアクセスが発生する時間帯が異なる。このため、不正通信の内容に応じて、「所定範囲の時間帯」を長く設定したり、また、短く設定したりしてもよい。

解析装置１０は、端末３０が不正通信を行った場合に、不正通信の発生時刻から所定範囲の時間帯に端末３０が行った通信先の情報を通信ログ情報として、ログ収集機器２０から取得する。そして、解析装置１０は、統計解析により、不正通信と因果関係の高い通信先をブラックリストに追加する。なお、本実施形態では、悪性なＵＲＬをブラックリストに追加する例を用いて説明を行うが、ＵＲＬに限定されるものではなく、ＩＰアドレスやドメインネーム等であってもよい。

［解析装置の構成］
次に、図３を用いて、図１に示した解析装置１０の構成を説明する。図３は、第一の実施形態に係る解析装置の構成を示すブロック図である。図３に示すように、解析装置１０は、通信処理部１１、制御部１２および記憶部１３を有する。

通信処理部１１は、接続されるログ収集機器２０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、不正通信の発生時刻から所定範囲の時間帯に端末３０が行った通信先の情報を通信ログ情報として、ログ収集機器２０から受信する。

記憶部１３は、図３に示すように、不正通信先情報記憶部１３ａ、不正通信内容記憶部１３ｂ、ブラックリスト記憶部１３ｃおよびホワイトリスト記憶部１３ｄを有する。記憶部１３は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

不正通信先情報記憶部１３ａは、不正通信の発生時刻から所定範囲の時間帯に端末３０が行った通信先の情報である通信ログ情報を記憶する。具体的には、不正通信先情報記憶部１３ａは、不正通信を行った端末３０を識別する情報と、不正通信を行った時刻と、不正通信の内容を識別する情報と、不正通信の発生時刻から所定範囲の時間帯に端末３０が行った通信先の情報とを対応付けて記憶する。

ここで、図４を用いて、不正通信先情報記憶部１３ａに記憶される情報の例について説明する。図４は、第一の実施形態に係る不正通信先情報記憶部に記憶される情報の一例を示す図である。図４に例示するように、不正通信先情報記憶部１３ａは、不正通信を行った端末３０のユーザを示す情報である「端末」と、不正通信を行った時刻を示す「不正通信時刻」と、不正通信の内容を識別するＩＤである「不正通信ＩＤ」と、不正通信の発生時刻から所定範囲の時間帯に端末３０がアクセスしたアクセス先ＵＲＬのリストである「アクセスＵＲＬリスト」とを対応付けて記憶する。

例えば、図４の例を挙げて説明すると、不正通信先情報記憶部１３ａは、端末「satou」、不正通信時刻「2013/9/2 19:08:32」、不正通信ＩＤ「２３」、アクセスＵＲＬリスト「http://xxx.co.jp・・・」を対応付けて記憶する。これは、ユーザ「satou」さんの端末が「2013/9/2 19:08」の時刻において不正通信ＩＤ「２３」に対応する不正通信を行い、不正通信の発生時刻から所定範囲の時間帯に端末３０がアクセスしたアクセス先ＵＲＬが「http://xxx.co.jp・・・」であることを意味する。ここで、不正通信ＩＤに対応する不正通信の内容は、後述する不正通信内容記憶部１３ｂに規定されているものとする。なお、図４では、アクセスＵＲＬリストとして、「http://xxx.co.jp・・・」と省略して記載しているが、実際には、複数のアクセスＵＲＬが記憶されている。

不正通信内容記憶部１３ｂは、既知の不正通信の内容が規定された不正通信管理テーブルを記憶する。具体的には、不正通信内容記憶部１３ｂは、図５に示すように、不正通信の種別を識別する「不正通信ＩＤ」と、不正通信の内容を示す「不正通信内容」とが対応付けて記憶されている。図５は、第一の実施形態に係る不正通信内容記憶部に記憶される情報の一例を示す図である。

例えば、不正通信内容記憶部１３ｂは、図５の例を挙げて具体的に説明すると、不正通信ＩＤ「１」と、不正通信内容「ブラックリストのhttp://xxx.co.jpにアクセス」とを対応付けて記憶する。なお、不正通信内容記憶部１３ｂは、ブラックリストに悪性ＵＲＬが追加されるなどにより、新たな不正通信が増えた場合には、テーブルに新たな不正通信が追加される。また、不正通信内容記憶部１３ｂに記憶される不正通信管理テーブルと同様のテーブルを各ログ収集機器２０が有しているものとする。

ブラックリスト記憶部１３ｃは、悪性な通信先を記憶する。具体的には、ブラックリスト記憶部１３は、図６に示すように、悪性な通信先を一意に識別する「ブラックリストＩＤ」と、悪性な通信先である「悪性ＵＲＬ」とが対応付けて記憶されている。図６は、第一の実施形態に係るブラックリスト記憶部に記憶されるブラックリストの一例を示す図である。図６の例を挙げて具体的に説明すると、例えば、ブラックリスト記憶部１３ｃは、ブラックリストＩＤ「１」と、悪性ＵＲＬ「http://xxx.co.jp」とを対応付けて記憶する。

ホワイトリスト記憶部１３ｄは、あらかじめ悪性でないことが判明している通信先の情報を記憶する。具体的には、ホワイトリスト記憶部１３ｄは、図７に示すように、悪性でないことが判明している通信先を一意に識別する「ホワイトリストＩＤ」と、良性な通信先である「良性ＵＲＬ」とが対応付けて記憶されている。図７は、第一の実施形態に係るホワイトリスト記憶部に記憶されるホワイトリストの一例を示す図である。図７の例を挙げて具体的に説明すると、例えば、ホワイトリスト記憶部１３ｄは、ホワイトリストＩＤ「１」と、良性ＵＲＬ「http://aaa.co.jp」とを対応付けて記憶する。

図３に戻って、制御部１２は、取得部１２ａ、検出部１２ｂおよび登録部１２ｃを有する。ここで、制御部１２は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。

取得部１２ａは、既知の不正通信のうちいずれかの不正通信を端末３０が不正通信を行った場合に、該不正通信の発生時刻から所定範囲の時間帯において端末３０が通信に使用した通信先の情報を取得する。例えば、取得部１２ａは、端末３０が既知の不正通信として、ブラックリストのhttp://xxx.co.jpに対してアクセスを行った場合に、該不正通信の発生時刻から前後５分の範囲で端末が通信に使用したアクセスＵＲＬを取得する。

検出部１２ｂは、取得部１２ａによって取得された各通信先の情報が、不正通信および他の不正通信において出現する頻度に基づいて、各通信先の情報のなかから不正通信と関連する通信先の情報を検出する。具体的には、検出部１２ｂは、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である出現比率「ρ１」と、所定の不正通信以外の不正通信が行われた際に所定の通信先が出現する比率である出現比率「ρ２」とを計算し、出現比率「ρ１」と出現比率「ρ２」との比率が所定の閾値以上に大きい場合には、所定の通信先の情報を不正通信と関連する通信先の情報として検出する。

ここで、不正通信と因果関係の高いアクセスＵＲＬを検出する処理例について詳しく説明する。まず、不正通信と因果関係の高いアクセスＵＲＬを検出する処理例を説明する前に、各表記の定義について説明する。図８に示すように、解析装置１０で収集した全ログの集合をＬとする。すなわち、これまで解析装置１０が取得したアクセスＵＲＬログの集合「Ｌ＝｛ｌ_１、ｌ_２、・・・ｌ_ｎ｝」である。

「Ｌ（ｉｄ＝ｘ）」は、Ｌのうち、不正通信ＩＤがｘであるログの集合を意味する。また、「Ｌ（ｉｄ≠ｘ）」は、Ｌのうち、不正通信ＩＤがｘでないログの集合を意味する。また、下記（１）式は、Ｌのうち、アクセスＵＲＬリストにＵＲＬａを含むログの集合を意味する。また、下記（２）式は、Ｌのうち、アクセスＵＲＬリストにＵＲＬａを含まないログの集合を意味する。また、「Ｕ_ａｌｌ」は、Ｌ中のいずれかのログのＵＲＬリストに出現するＵＲＬの集合を意味する。

例えば、検出部１２ｂは、不正通信と因果関係の高いアクセスＵＲＬを検出する処理として、「不正通信ＩＤ＝ｘ」時のＵＲＬａの出現比率である「ρ１」を、下記（３）式を用いて計算する。また、検出部１２ｂは、「不正通信ＩＤ≠ｘ」時のＵＲＬａの出現比率である「ρ２」を、下記（４）式を用いて計算する。両者の比率（ρ１／ρ２）が所定の閾値（例えば、「１０」）より高い場合には、ＵＲＬａが不正通信ｘと有意な因果関係があるＵＲＬとして検出する。

具体的な処理の流れを説明すると、まず、検出部１２ｂは、不正通信ＩＤ全体のなかから一つの不正通信ＩＤを取得し、上記（３）式および（４）式における「ｘ」に代入する。また、検出部１２ｂは、収集した不正通信前後のアクセス先情報におけるＵＲＬリストに出現するＵＲＬを一つ取得し、上記（３）式および（４）式における「ａ」に代入する。

そして、検出部１２ｂは、上記（３）式を用いて計算された「不正通信ＩＤ＝ｘ」時のＵＲＬａの出現比率「ρ１」と、上記（４）式を用いて計算された「不正通信ＩＤ≠ｘ」時のＵＲＬａの出現比率「ρ２」とを比較する。そして、検出部１２ｂは、両者の比率「ρ１／ρ２」が所定の閾値である「１０」よりも高いかを判定する。検出部１２ｂは、両者の比率「ρ１／ρ２」が所定の閾値である「１０」よりも高い場合には、ＵＲＬａが不正通信ｘと有意な因果関係があるＵＲＬとして検出する。

その後、検出部１２ｂは、未だ解析処理を行っていないＵＲＬがアクセスＵＲＬリストにある場合には、アクセスＵＲＬリストからＵＲＬを一つ取得し「ａ」に代入して、上記の処理を繰り返す。また、検出部１２ｂは、未だ解析処理を行っていない不正通信ＩＤがある場合には、不正通信ＩＤを一つ取得し「ｘ」に代入して、上記の処理を繰り返す。

登録部１２ｃは、検出部１２ｂによって検出された通信先の情報を、悪性な通信先としてブラックリストに登録する。例えば、登録部１２ｃは、検出部１２ｂによってＵＲＬが検出されると、ａに代入したＵＲＬがホワイトリストに登録されているかを判定し、登録されていると判定した場合には、ブラックリストへの登録を中止する。

また、登録部１２ｃは、ａに代入したＵＲＬがホワイトリストに登録されていないと判定した場合には、検出部１２ｂによって検出されたＵＲＬを不正通信ｘと有意な因果関係があるＵＲＬとしてブラックリストに登録する。

［解析装置による処理］
次に、図９を用いて、第一の実施形態に係る解析装置１０による処理を説明する。図９は、第一の実施形態に係る解析装置におけるブラックリスト登録処理の流れを説明するためのフローチャートである。

図９に示すように、解析装置１０の取得部１２ａは、ログ収集機器２０が端末３０の不正通信を検出すると（ステップＳ１０１肯定）、ログ収集機器２０から不正通信前後のアクセス先情報を取得する（ステップＳ１０２）。例えば、取得部１２ａは、端末３０が既知の不正通信として、ブラックリストのhttp://xxx.co.jpに対してアクセスを行った場合に、該不正通信の発生時刻から５分前後の範囲で端末が通信に使用したアクセスＵＲＬを取得する。

そして、解析装置１０の検出部１２ｂは、不正通信前後のアクセスＵＲＬを解析する（ステップＳ１０３）。具体的には、検出部１２ｂは、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である出現比率「ρ１」と、所定の不正通信以外の不正通信が行われた際に所定の通信先が出現する比率である出現比率「ρ２」とを計算し、出現比率「ρ１」と出現比率「ρ２」との比率が所定の閾値以上に大きい場合には、所定の通信先の情報を不正通信と関連する通信先の情報として検出する。

そして、解析装置１０の登録部１２ｃは、検出部１２ｂによって検出された各種不正通信と因果関係の高いアクセス先情報をブラックリストに追加する（ステップＳ１０４）。例えば、登録部１２ｃは、検出部１２ｂによってＵＲＬが検出された場合でも、ホワイトリストに登録されている場合には、登録を中止する。また、検出部１２ｂは、ホワイトリストに登録されていない場合には、不正通信ｘと有意な因果関係があるＵＲＬをブラックリストに登録する。

次に、上記の図９において説明したステップＳ１０３およびステップＳ１０４の処理について、より詳細な処理の流れを示した図１０を用いて説明する。図１０は、第一の実施形態に係る解析装置における解析処理の流れを説明するためのフローチャートである。図１０に示すように、検出部１２ｂは、不正通信ＩＤ全体のなかから一つの不正通信ＩＤを取得し、上記（３）式および（４）式における「ｘ」に代入する（ステップＳ２０１）。

次に、検出部１２ｂは、収集した不正通信前後のアクセス先情報におけるアクセスＵＲＬリストに出現するＵＲＬを一つ取得し、上記（３）式および（４）式における「ａ」に代入する（ステップＳ２０２）。

そして、検出部１２ｂは、上記（３）式を用いて計算された「不正通信ＩＤ＝ｘ」時のＵＲＬａの出現比率「ρ１」と、上記（４）式を用いて計算された「不正通信ＩＤ≠ｘ」時のＵＲＬａの出現比率「ρ２」とを比較する（ステップＳ２０３）。

そして、検出部１２ｂは、両者の比率「ρ１／ρ２」が所定の閾値である「１０」よりも高いかを判定する（ステップＳ２０４）。この結果、検出部１２ｂは、両者の比率「ρ１／ρ２」が所定の閾値「１０」以下である場合には（ステップＳ２０４否定）、ステップＳ２０７の処理に進む。

また、検出部１２ｂが両者の比率「ρ１／ρ２」が所定の閾値「１０」よりも高いと判定した場合には（ステップＳ２０４肯定）、登録部１２ｃは、ａに代入したＵＲＬがホワイトリストに登録されているかを判定する（ステップＳ２０５）。この結果、登録部１２ｃは、ホワイトリストに登録されている場合には（ステップＳ２０５肯定）、ブラックリストへの登録を中止し、ステップＳ２０７の処理に進む。

また、登録部１２ｃは、ａに代入したＵＲＬがホワイトリストに登録されていない場合には（ステップＳ２０５否定）、不正通信ｘと有意な因果関係があるＵＲＬとして検出されたＵＲＬをブラックリストに登録し（ステップＳ２０６）、ステップＳ２０７の処理に進む。

ステップＳ２０７では、検出部１２ｂは、未だ解析処理を行っていないＵＲＬがアクセスＵＲＬリストにあるか否かを判定する（ステップＳ２０７）。この結果、検出部１２ｂは、未だ解析処理を行っていないＵＲＬがアクセスＵＲＬリストにある場合には（ステップＳ２０７肯定）、ステップＳ２０２に戻って、上記の処理を繰り返す。

また、検出部１２ｂは、未だ解析処理を行っていないＵＲＬがアクセスＵＲＬリストにない場合には（ステップＳ２０７否定）、未だ解析処理を行っていない不正通信ＩＤがあるかを判定する（ステップＳ２０８）。この結果、検出部１２ｂは、未だ解析処理を行っていない不正通信ＩＤがある場合には（ステップＳ２０８肯定）、ステップＳ２０１に戻って、不正通信ＩＤを一つ取得し「ｘ」に代入して、上記の処理を繰り返す。

また、検出部１２ｂは、未だ解析処理を行っていない不正通信ＩＤがない場合には（ステップＳ２０８否定）、不正通信ＩＤとＵＲＬとの組み合わせについて全て解析処理を行ったものとして、処理を終了する。

[第一の実施形態の効果]
上述してきたように、第一の実施形態にかかる解析装置１０では、既知の不正通信のうちいずれかの不正通信を端末３０が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において端末３０が通信に使用した通信先のアクセスＵＲＬを取得する。そして、解析装置１０は、取得された各通信先のアクセスＵＲＬが、不正通信および他の不正通信において出現する頻度に基づいて、各通信先のアクセスＵＲＬのなかから不正通信と関連する通信先のアクセスＵＲＬを検出する。そして、検出された通信先のアクセスＵＲＬを、悪性な通信先としてブラックリストに登録する。

これにより、悪性な通信先を高精度に検出し、ブラックリストに悪性な通信先を適切に登録することが可能となる。そして、ブラックリストに悪性な通信先を適切に登録することで、ブラックリストに登録された通信先との通信を遮断し、悪性サイトへのアクセスを防止できるとともに、マルウェアの感染を防止することが可能となる。

つまり、図１１に例示するように、端末が悪性サイトへのアクセスなどにより、情報漏洩や不正アクセス等の脅威をもたらす不正プログラムであるマルウェアに感染した場合には、攻撃者はひとつないし複数のＣ＆Ｃ（Command and Control）サーバを経由して感染端末へ指示を送り、機密情報の取得や、さらなる内部感染拡大のためのアクションを指示する。

このようなサイバー攻撃に対して、マルウェアが感染した際にユーザ端末が接続するＣ＆Ｃ（Command and Control）サーバや、情報漏洩先のサーバ等の悪性な通信先の情報を予めブラックリストとして取得しておくことでマルウェアの被害を防ぐ。図１２に例示するように、ブラックリストに含まれる悪性な通信先への通信を検知し、検知した通信先への通信を遮断する。これにより、悪性サイトへのアクセスができなくなるので、マルウェアに感染しない。また、感染した端末もＣ＆Ｃサーバにアクセスできないので、攻撃者からの指示を受信したり、機密情報の送信が行えない。なお、悪性な通信先の情報には、例えば、ＵＲＬ（Uniform Resource Locator）、ＩＰ（Internet Protocol）アドレス、ドメイン等が含まれる。

また、第一の実施形態にかかる解析装置１０では、検出された通信先の情報が、あらかじめ悪性でないことが判明している通信先の情報を記憶するホワイトリストに記憶されている場合には、該通信先をブラックリストに登録することを中止する。これにより、悪性ではないと考えられる通信先をホワイトリストに登録しておくことで、悪性でないことが判明している通信先がブラックリストに追加されることを防ぐことが可能となる。

例えば、マルウェアは悪性な通信を行う前に、インターネットとの疎通確認を行うために関係のない著名なＷｅｂサイトにアクセスすることがある。この場合、本マルウェアが引き起こす不正通信と当該ＷｅｂサイトのＵＲＬの因果関係が高く計算され、当該ＵＲＬがブラックリストに追加される恐れがある。このため、悪性ではないと考えられる通信先をホワイトリストに登録しておくことで、著名なＷｅｂサイトなどの通信先がブラックリストに追加されることを防ぐことが可能となる。

［第二の実施形態］
上記した第一の実施形態では、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である出現比率「ρ１」と、所定の不正通信以外の不正通信が行われた際に所定の通信先が出現する比率である出現比率「ρ２」とを計算し、出現比率「ρ１」と出現比率「ρ２」との比率が所定の閾値以上に大きい場合には、所定の通信先の情報を不正通信と関連する通信先の情報として検出し、ブラックリストに追加する場合を説明した。

しかし、本実施形態は、これに限定されるものではなく、例えば、両者の有意差を統計的に検定し、有意差があると判断されたときに、所定の通信先の情報を不正通信と関連する通信先の情報として検出し、ブラックリストに追加するようにしてもよい。例えば、「ρ」、「ｎ１」、「ｎ２」がそれぞれ下記（５）式に示すように定義されているものとし、下記（６）式を用いて計算されるＺを統計量として、ρ１とρ２の両者の優位差を統計的に検定するＺ検定を行う。具体的には、Ｚの値から有意確率（ｐ値）を（７）式で算出し、ｐ値が所定の閾値を下回る場合に有意差があると判断する。そして、有意差があると判断された場合には、ブラックリストに追加する。なお、（７）式における「Ｎ」は、標準正規分布に従う確率変数である。

ここで、図１３を用いて、第二の実施形態に係る解析装置における解析処理の流れを説明する。図１３は、第二の実施形態に係る解析装置における解析処理の流れを説明するためのフローチャートである。図１３に示すように、検出部１２ｂは、第一の実施形態と同様に、不正通信ＩＤ全体のなかから一つの不正通信ＩＤを取得して「ｘ」に代入し（ステップＳ３０１）、不正通信前後のアクセス先情報におけるアクセスＵＲＬリストに出現するＵＲＬを一つ取得して「ａ」に代入する（ステップＳ３０２）。

検出部１２ｂは、上記（３）式を用いて計算された「不正通信ＩＤ＝ｘ」時のＵＲＬａの出現比率「ρ１」と、上記（４）式を用いて計算された「不正通信ＩＤ≠ｘ」時のＵＲＬａの出現比率「ρ２」よりも有意に大きいか否かを仮説検定する（ステップＳ３０３）。そして、検出部１２ｂは、検定結果であるｐ値、つまり、上記（７）式から得られるｐ値が閾値以下であるか否かを判定する（ステップＳ３０４）。この結果、検出部１２ｂは、検定結果であるｐ値が閾値を超えていると判定した場合には（ステップＳ３０４否定）、ステップＳ３０７の処理に進む。

また、検出部１２ｂは、検定結果であるｐ値が閾値以下であると判定した場合には（ステップＳ３０４肯定）、ステップＳ３０５の処理に進む。ここで、検定結果ｐ値が閾値以下のとき、ρ１がρ２よりも統計的に有意に大きいといえる。

ステップＳ３０５では、登録部１２ｃは、ａに代入したＵＲＬがホワイトリストに登録されているかを判定する（ステップＳ３０５）。この結果、登録部１２ｃは、ホワイトリストに登録されている場合には（ステップＳ３０５肯定）、ブラックリストへの登録を中止し、ステップＳ３０７の処理に進む。

また、登録部１２ｃは、ａに代入したＵＲＬがホワイトリストに登録されていない場合には、不正通信ｘと有意な因果関係があるＵＲＬとして検出されたＵＲＬをブラックリストに登録し（ステップＳ３０６）、ステップＳ３０７の処理に進む。

ステップＳ３０７では、検出部１２ｂは、未だ解析処理を行っていないＵＲＬがアクセスＵＲＬリストにあるか否かを判定する（ステップＳ３０７）。この結果、検出部１２ｂは、未だ解析処理を行っていないＵＲＬがアクセスＵＲＬリストにある場合には（ステップＳ３０７肯定）、ステップＳ３０２に戻って、上記の処理を繰り返す。

また、検出部１２ｂは、未だ解析処理を行っていないＵＲＬがアクセスＵＲＬリストにない場合には（ステップＳ３０７否定）、未だ解析処理を行っていない不正通信ＩＤがあるかを判定する（ステップＳ３０８）。この結果、検出部１２ｂは、未だ解析処理を行っていない不正通信ＩＤがある場合には（ステップＳ３０８肯定）、ステップＳ３０１に戻って、不正通信ＩＤを一つ取得し「ｘ」に代入して、上記の処理を繰り返す。

また、検出部１２ｂは、未だ解析処理を行っていない不正通信ＩＤがない場合には（ステップＳ３０８否定）、不正通信ＩＤとＵＲＬとの組み合わせについて全て解析処理を行ったものとして、処理を終了する。

このように、第二の実施形態に係る解析装置両者の有意差を統計的に検定し、有意差があると判断されたときに、所定の通信先の情報を不正通信と関連する通信先の情報として検出し、ブラックリストに追加することで、悪性な通信先を高精度に検出し、ブラックリストに追加することが可能となる。

［第三の実施形態］
ところで、不正通信と関連する通信先の情報を検出する方法として、各通信先の情報について、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である出現比率をそれぞれ計算し、各通信先情報の出現比率を比較し、全ての通信先の情報のなかから出現比率が高い通信先の情報を不正通信と関連する通信先の情報として検出するようにしてもよい。

具体的には、第三の実施形態にかかる解析装置の検出部１２ｂは、Ｕ_ａｌｌ中の各ＵＲＬについて、不正通信ｘとの関連度を計算する。そして、他のＵＲＬと比較して所定のＵＲＬａの関連度が大きい場合に、ａとｘとの因果関係が高いと判断する。

ここで、検出部１２ｂは、例えば、下記（８）式を用いて、Ｕ_ａｌｌ中における「ＵＲＬｕ」と不正通信ｘとの関連度を計算する。その後、他のＵＲＬと比べてＵＲＬａの関連度が著しく大きい場合には、ｘとａの因果関係が高いと判断する。

ここで、図１４を用いて、第三の実施形態に係る解析装置における解析処理の流れを説明する。図１４は、第三の実施形態に係る解析装置における解析処理の流れを説明するためのフローチャートである。図１４に示すように、検出部１２ｂは、不正通信ＩＤ全体のなかから一つの不正通信ＩＤを取得して「ｘ」に代入する（ステップＳ４０１）。

そして、検出部１２ｂは、収集した不正通信前後のアクセス先情報における各ＵＲＬと不正通信ｘとの関連度を、上記（８）式を用いて計算する（ステップＳ４０２）。そして、検出部１２ｂは、各ＵＲＬを不正通信ｘとの関連度大きさに応じて順位付けし、各ＵＲＬを関連度が大きい順に整列させる（ステップＳ４０３）。

そして、検出部１２ｂは、不正通信ｘとの関連度が所定の閾値の所定倍以上のＵＲＬがあるかを判定する（ステップＳ４０４）。ここで、所定の閾値は、例えば、関連度の高さが上位５％に位置するＵＲＬの不正通信ｘとの関連度が用いられる。例えば、図１５に例示するように、各ＵＲＬが関連度の大きい順に整列させており、各ＵＲＬのうち「ＵＲＬｂ」が関連度の高さが全体の上位５％に位置するものとする。この場合に、「ＵＲＬｂ」の関連度Ｒ（ｂ、ｘ）と「ＵＲＬａ」の関連度Ｒ（ａ、ｘ）を比較する。そして、関連度Ｒ（ａ、ｘ）が関連度Ｒ（ｂ、ｘ）の所定倍（例えば、５倍）以上のＵＲＬがあるかを判定する。

この結果、検出部１２ｂは、不正通信ｘとの関連度が所定の閾値の所定倍以上のＵＲＬがないと判定した場合には（ステップＳ４０４否定）、ステップＳ４０６の処理に進む。また、登録部１２ｃは、不正通信ｘとの関連度が所定の閾値の所定倍以上のＵＲＬがあると判定した場合には（ステップＳ４０４肯定）、不正通信ｘとの関連度が所定の閾値の所定倍以上のＵＲＬをブラックリストに登録する（ステップＳ４０５）。なお、図１４では、省略したが、第一の実施形態と同様に、ホワイトリストに登録されているＵＲＬの場合には、ブラックリストへの登録を中止するようにしてもよい。

その後、ステップＳ４０６において、検出部１２ｂは、未だ解析処理を行っていない不正通信ＩＤがあるかを判定する（ステップＳ４０６）。この結果、検出部１２ｂは、未だ解析処理を行っていない不正通信ＩＤがある場合には（ステップＳ４０６肯定）、ステップＳ４０１に戻って、不正通信ＩＤを一つ取得し「ｘ」に代入して、上記の処理を繰り返す。また、検出部１２ｂは、未だ解析処理を行っていない不正通信ＩＤがない場合には（ステップＳ４０６否定）、解析処理を終了する。

このように、第三の実施形態にかかる解析装置は、各通信先の情報について、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である出現比率をそれぞれ計算し、各通信先情報の出現比率を比較し、全ての通信先の情報のなかから出現比率が高い通信先の情報を不正通信と関連する通信先の情報として検出する。これにより、悪性な通信先をより高精度に検出し、ブラックリストに悪性な通信先を適切に登録することが可能となる。

［第四の実施形態］
ところで、上記した第一の実施形態では、既知の不正通信のうちいずれかの不正通信を端末が不正通信を行った場合に、該不正通信の発生時刻から所定範囲の時間帯において端末が通信に使用した通信先の情報を取得することを説明した。ここで、同一の端末において同一種類の不正通信が短期間に連続して発生し、複数のアクセスＵＲＬのログが解析装置に送信されると、いくつかの通信が複数ログに重複してカウントとされて、解析装置の解析処理に誤差が生じる虞がある。

例えば、図１６に例示するように、端末３０が不正通信Ｘを行った場合に、該不正通信の発生時刻から前後所定範囲の時間帯において端末３０が通信に使用した通信先ＵＲＬの情報を取得する。続いて、不正通信Ｙが発生し、不正通信Ｙと同一種類の不正通信Ｚが、不正通信Ｙが発生してから所定期間内に発生したものとする。この期間のアクセスＵＲＬリストは、不正通信Ｙの後のものと、不正通信Ｚの前のものとで、解析装置１０上でダブルカウントされてしまう場合がある。

そこで、第四の実施形態に係る解析装置の検出部１２ｂでは、取得された通信先のアクセスＵＲＬのうち、同一端末かつ同一の不正通信に関する情報であって、不正通信発生時刻が所定の閾値よりも近い情報が複数の通信先のアクセスＵＲＬがある場合には、複数の通信先のアクセスＵＲＬからいずれか一つの通信先のアクセスＵＲＬのみを抽出し、抽出した通信先のアクセスＵＲＬを解析し、該通信先のアクセスＵＲＬのうち、不正通信と関連度の高い通信先の情報を検出する。

このように、第四の実施形態に係る解析装置では、同一端末かつ同一の不正通信に関する情報であって、不正通信発生時刻が所定の閾値よりも近い情報が複数の通信先の情報がある場合には、複数の通信先の情報からいずれか一つの通信先の情報のみを抽出し、抽出した通信先の情報を解析する。このため、解析装置１０上でアクセスＵＲＬリストが、ダブルカウントされてしまうことを防止し、不正通信とアクセスＵＲＬとの因果関係の高さを正しく評価することが可能となる。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、検出部１２ｂと登録部１２ｃとを統合してもよい。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
また、上記実施形態において説明した解析装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第一の実施形態に係る解析装置１０が実行する処理をコンピュータが実行可能な言語で記述した悪性通信先登録プログラムを作成することもできる。この場合、コンピュータが悪性通信先登録プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる悪性通信先登録プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録され悪性通信先登録プログラムをコンピュータに読み込ませて実行することにより上記第一の実施形態と同様の処理を実現してもよい。以下に、図３に示した解析装置１０と同様の機能を実現する悪性通信先登録プログラムを実行するコンピュータの一例を説明する。

図１７は、悪性通信先登録プログラムを実行するコンピュータ１０００を示す図である。図１７に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図１７に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１７に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図１７に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、図１７に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図１７に例示するように、例えばディスプレイ１０６１に接続される。

ここで、図１７に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の悪性通信先登録プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

なお、悪性通信先登録プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、悪性通信先登録プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０ 解析装置
１１ 通信処理部
１２ 制御部
１２ａ 取得部
１２ｂ 検出部
１２ｃ 登録部
１３ 記憶部
１３ａ 不正通信先情報記憶部
１３ｂ 不正通信内容記憶部
１３ｃ ブラックリスト記憶部
１３ｄ ホワイトリスト記憶部
２０Ａ〜２０Ｃ ログ収集機器
３０Ａ〜３０Ｉ 端末

Claims (11)

1. 既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得部と、
   前記取得部によって取得された各通信先の情報を用いて、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である第一の出現比率と、所定の不正通信以外の不正通信が行われた際に所定の通信先が出現する比率である第二の出現比率とを計算し、前記第一の出現比率と前記第二の出現比率との両者の比率が所定の閾値以上に大きい場合には、前記所定の通信先の情報を不正通信と関連する通信先の情報として検出する検出部と、
   前記検出部によって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録部と、
   を備えることを特徴とする解析装置。
2. 既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得部と、
   前記取得部によって取得された各通信先の情報を用いて、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である第一の出現比率と、所定の不正通信以外の不正通信が行われた際に所定の通信先が出現する比率である第二の出現比率とを計算し、前記第一の出現比率が前記第二の出現比率よりも統計上有意に大きい場合には、前記所定の通信先の情報を不正通信と関連する通信先の情報として検出する検出部と、
   前記検出部によって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録部と、
   を備えることを特徴とする解析装置。
3. 既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得部と、
   前記取得部によって取得された各通信先の情報と所定の不正通信との関連度を当該通信先に対する通信のうち所定の不正通信の発生前後で行われた通信の割合として計算し、該関連度が大きい順に各通信先情報を順位付けし、上位から所定の順位にある通信先の関連度の所定倍以上の関連度を有する通信先の情報を不正通信と関連する通信先の情報として検出する検出部と、
   前記検出部によって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録部と、
   を備えることを特徴とする解析装置。
4. 前記登録部は、前記検出部によって検出された通信先の情報が、あらかじめ悪性でないことが判明している通信先の情報を記憶する良性通信先記憶部に記憶されている場合には、該通信先をブラックリスト記憶部に登録することを中止することを特徴とする請求項１乃至３のいずれか一つに記載の解析装置。
5. 前記検出部は、前記取得部によって取得された通信先の情報のうち、同一端末かつ同一の不正通信に関する情報であって、不正通信発生時刻が所定の閾値よりも近い情報が複数の通信先の情報がある場合には、複数の通信先の情報からいずれか一つの通信先の情報のみを抽出し、抽出した通信先の情報を解析し、該通信先の情報のうち、前記不正通信を含む既知の不正通信と関連度の高い通信先の情報を検出することを特徴とする請求項１乃至４のいずれか一つに記載の解析装置。
6. 既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得工程と、
   前記取得工程によって取得された各通信先の情報を用いて、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である第一の出現比率と、所定の不正通信以外の不正通信が行われた際に所定の通信先が出現する比率である第二の出現比率とを計算し、前記第一の出現比率と前記第二の出現比率との両者の比率が所定の閾値以上に大きい場合には、前記所定の通信先の情報を不正通信と関連する通信先の情報として検出する検出工程と、
   前記検出工程によって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録工程と、
   を含んだことを特徴とする悪性通信先登録方法。
7. 既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得工程と、
   前記取得工程によって取得された各通信先の情報を用いて、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である第一の出現比率と、所定の不正通信以外の不正通信が行われた際に所定の通信先が出現する比率である第二の出現比率とを計算し、前記第一の出現比率が前記第二の出現比率よりも統計上有意に大きい場合には、前記所定の通信先の情報を不正通信と関連する通信先の情報として検出する検出工程と、
   前記検出工程によって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録工程と、
   を含んだことを特徴とする悪性通信先登録方法。
8. 既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得工程と、
   前記取得工程によって取得された各通信先の情報と所定の不正通信との関連度を当該通信先に対する通信のうち所定の不正通信の発生前後で行われた通信の割合として計算し、該関連度が大きい順に各通信先情報を順位付けし、上位から所定の順位にある通信先の関連度の所定倍以上の関連度を有する通信先の情報を不正通信と関連する通信先の情報として検出する検出工程と、
   前記検出工程によって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録工程と、
   を含んだことを特徴とする悪性通信先登録方法。
9. 既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得ステップと、
   前記取得ステップによって取得された各通信先の情報を用いて、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である第一の出現比率と、所定の不正通信以外の不正通信が行われた際に所定の通信先が出現する比率である第二の出現比率とを計算し、前記第一の出現比率と前記第二の出現比率との両者の比率が所定の閾値以上に大きい場合には、前記所定の通信先の情報を不正通信と関連する通信先の情報として検出する検出ステップと、
   前記検出ステップによって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録ステップと、
   をコンピュータに実行させるための悪性通信先登録プログラム。
10. 既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得ステップと、
    前記取得ステップによって取得された各通信先の情報を用いて、所定の不正通信が行われた際に所定の通信先の情報が出現する比率である第一の出現比率と、所定の不正通信以外の不正通信が行われた際に所定の通信先が出現する比率である第二の出現比率とを計算し、前記第一の出現比率が前記第二の出現比率よりも統計上有意に大きい場合には、前記所定の通信先の情報を不正通信と関連する通信先の情報として検出する検出ステップと、
    前記検出ステップによって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録ステップと、
    をコンピュータに実行させるための悪性通信先登録プログラム。
11. 既知の不正通信のうちいずれかの不正通信を端末が行った場合に、該不正通信の発生時刻から所定範囲の時間帯において前記端末が通信に使用した通信先の情報を取得する取得ステップと、
    前記取得ステップによって取得された各通信先の情報と所定の不正通信との関連度を当該通信先に対する通信のうち所定の不正通信の発生前後で行われた通信の割合として計算し、該関連度が大きい順に各通信先情報を順位付けし、上位から所定の順位にある通信先の関連度の所定倍以上の関連度を有する通信先の情報を不正通信と関連する通信先の情報として検出する検出ステップと、
    前記検出ステップによって検出された通信先の情報を、悪性な通信先としてブラックリスト記憶部に登録する登録ステップと、
    をコンピュータに実行させるための悪性通信先登録プログラム。

Images