JP6714143B2 - 学習装置、再学習要否判定方法及び再学習要否判定プログラム - Google Patents

学習装置、再学習要否判定方法及び再学習要否判定プログラム Download PDF

Info

Publication number
JP6714143B2
JP6714143B2 JP2019502897A JP2019502897A JP6714143B2 JP 6714143 B2 JP6714143 B2 JP 6714143B2 JP 2019502897 A JP2019502897 A JP 2019502897A JP 2019502897 A JP2019502897 A JP 2019502897A JP 6714143 B2 JP6714143 B2 JP 6714143B2
Authority
JP
Japan
Prior art keywords
learning
request
profile
specific request
determination unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019502897A
Other languages
English (en)
Other versions
JPWO2018159380A1 (ja
Inventor
悠太 岩城
悠太 岩城
慎吾 折原
慎吾 折原
揚 鐘
揚 鐘
佐藤　徹
徹 佐藤
陽介 嶋田
陽介 嶋田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Publication of JPWO2018159380A1 publication Critical patent/JPWO2018159380A1/ja
Application granted granted Critical
Publication of JP6714143B2 publication Critical patent/JP6714143B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Description

本発明は、学習装置、再学習要否判定方法及び再学習要否判定プログラムに関する。
インターネットの普及に伴い、Ｗｅｂサーバに対する攻撃が急増している。攻撃の対策としてＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention System）、ＷＡＦ（Web Application Firewall）等が知られている。これらの技術では、ブラックリストやシグネチャファイルを用いたパターンで検出を行い、既知の攻撃の検知及び防御を行う。
また、未知の攻撃の検出技術として、正常なＷｅｂサーバへのアクセス要求からパラメータ値の特徴等をプロファイルとして学習し、識別対象のアクセス要求の特徴と当該プロファイルとを比較することにより、当該アクセス要求が攻撃（正常なアクセスではない）であるか否かを判定する技術が知られている（例えば、特許文献１を参照）。
国際公開第２０１５／１８６６６２号
しかしながら、アクセスが攻撃であるか否かをプロファイルに基づいて判定する従来の技術には、運用稼働を抑えつつ、攻撃の検知精度を高精度に維持することが困難であるという問題があった。
例えば、Ｗｅｂサイトが変更されると、当該Ｗｅｂサイトへの正常なアクセスのＨＴＴＰリクエストに、それまで含まれていなかったパスやパラメータが含まれ始める。このような場合、Ｗｅｂサイトの変更前に学習されたプロファイルでは、アクセスが攻撃であるか否かを判定できなくなり、攻撃を見逃してしまう場合がある。また、パラメータのバリューの仕様が変更され、文字列構造が変化した場合、正常なアクセスを攻撃と判定する誤検知が発生すること場合がある。
このような場合、攻撃の検知精度を高精度に維持するためには、Ｗｅｂサイトの変更にあわせてプロファイルの再学習を行う必要があるが、従来の技術では、Ｗｅｂサイトの変更を検出することができず、プロファイルの再学習を行う契機を判断することは困難であった。
一方で、Ｗｅｂサイトの変更が行われたか否かにかかわらず、高頻度でプロファイルの再学習を行うことで、攻撃の検知精度を高精度に維持することが考えられるが、この場合、運用稼働が増大してしまうため現実的ではない。
本発明の学習装置は、サーバへのリクエストとの類似度に基づき、当該リクエストが攻撃であるか否かを判定するためのプロファイルとマッチしないリクエストのうち、特定のリクエストを抽出する抽出部と、前記抽出部によって抽出された前記特定のリクエストが、一定数以上の送信元から継続して送信されていることを示す所定の条件を満たすか否かを判定する判定部と、前記特定のリクエストが、前記判定部によって所定の条件を満たすと判定された場合、前記プロファイルの再学習を行う学習部と、を有することを特徴とする。
本発明の再学習要否判定方法は、学習装置で実行される再学習要否判定方法であって、サーバへのリクエストとの類似度に基づき、当該リクエストが攻撃であるか否かを判定するためのプロファイルとマッチしないリクエストのうち、特定のリクエストを抽出する抽出工程と、前記抽出工程によって抽出された前記特定のリクエストが、一定数以上の送信元から継続して送信されていることを示す所定の条件を満たす場合、前記プロファイルの再学習が必要であると判定する判定工程と、を含んだことを特徴とする。
本発明の再学習要否判定プログラムは、コンピュータに、サーバへのリクエストとの類似度に基づき、当該リクエストが攻撃であるか否かを判定するためのプロファイルとマッチしないリクエストのうち、特定のリクエストを抽出する抽出ステップと、前記抽出ステップによって抽出された前記特定のリクエストが、一定数以上の送信元から継続して送信されていることを示す所定の条件を満たす場合、前記プロファイルの再学習が必要であると判定する判定ステップと、を実行させることを特徴とする。
本発明によれば、運用稼働を抑えつつ、攻撃の検知精度を高精度に維持することができる。
図１は、第１の実施形態に係る学習装置の構成の一例を示す図である。 図２は、第１の実施形態に係る制御部の処理について説明するための図である。 図３は、第１の実施形態に係るNew Parameterの抽出について説明するための図である。 図４は、第１の実施形態に係るUnmached Valueの抽出について説明するための図である。 図５は、第１の実施形態に係る抽出部の処理結果の出力について説明するための図である。 図６は、第１の実施形態に係る抽出部の処理の変形例について説明するための図である。 図７は、第１の実施形態に係る継続性があるパターンの一例について説明するための図である。 図８は、第１の実施形態に係る継続性があるパターンの一例について説明するための図である。 図９は、第１の実施形態に係る継続性があるパターンの一例について説明するための図である。 図１０は、第１の実施形態に係るタイムスロットの分割について説明するための図である。 図１１は、第１の実施形態に係るタイムスロットの特定について説明するための図である。 図１２は、第１の実施形態に係る判定部の処理結果の出力について説明するための図である。 図１３は、第１の実施形態に係る判定部の他の処理について説明するための図である。 図１４は、第１の実施形態に係る判定部の再学習対象判定用情報作成処理について説明するための図である。 図１５は、第１の実施形態に係る判定部の再学習対象判定用情報検索処理について説明するための図である。 図１６は、第１の実施形態に係る判定部の送信元のＩＰアドレスに関する再学習対象判定用情報比較処理について説明するための図である。 図１７は、第１の実施形態に係る判定部の送信日時に関する再学習対象判定用情報比較処理について説明するための図である。 図１８は、第１の実施形態に係る判定部の再学習対象判定処理について説明するための図である。 図１９は、第１の実施形態に係る判定部の再学習対象判定用情報追加処理について説明するための図である。 図２０は、第１の実施形態に係る判定部の再学習対象判定用情報更新処理について説明するための図である。 図２１は、第１の実施形態に係る判定部の処理の変形例について説明するための図である。 図２２は、第１の実施形態に係る抽出部の処理の流れを示すフローチャートである。 図２３は、第１の実施形態に係る判定部のタイムスロットを用いた処理の流れを示すフローチャートである。 図２４は、第１の実施形態に係る判定部の再学習対象判定用情報を用いた処理の流れを示すフローチャートである。 図２５は、プログラムが実行されることにより学習装置が実現されるコンピュータの一例を示す図である。
以下に、本願に係る学習装置、再学習要否判定方法及び再学習要否判定プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
［第１の実施形態の構成］
まず、図１を用いて、第１の実施形態に係る学習装置の構成について説明する。図１は、第１の実施形態に係る学習装置の構成の一例を示す図である。図１に示すように、学習装置１０は、入力部１１、制御部１２及び再学習要否判定部１５を有する。また、学習装置１０は、サーバへのリクエストとの類似度に基づき、当該リクエストが攻撃であるか否かを判定するためのプロファイル１３の学習を行うための装置である。また、学習装置１０は、プロファイル１３を用いて攻撃であるリクエストの検知を行うこともできる。
また、学習装置１０は、入力されたデータに基づき、プロファイル１３の再学習を行う必要があるかを自動的に判断することができる。また、学習装置１０は、プロファイル１３の再学習を行う必要があると判断した際に、自動的に再学習を開始することができる。
入力部１１は、学習装置１０における学習又は分析のためのデータの入力を受け付ける。入力部１１は、分析対象データ入力部１１１及び学習データ入力部１１２を有する。分析対象データ入力部１１１は、分析データＨＴＴＰリクエスト２０の入力を受け付ける。また、学習データ入力部１１２は、学習データＨＴＴＰリクエスト３０の入力を受け付ける。分析データＨＴＴＰリクエスト２０及び学習データＨＴＴＰリクエスト３０は、例えば、Ｗｅｂサイトへのアクセスの際に生成されるＨＴＴＰリクエストである。また、学習データＨＴＴＰリクエスト３０は、攻撃であるか否かがあらかじめ判明しているＨＴＴＰリクエストであってもよい。
制御部１２は、パラメータ抽出部１２１、文字クラス列変換部１２２、異常検知部１２３及びプロファイル保存部１２４を有する。制御部１２は、プロファイル１３の学習及び攻撃であるリクエストの検知に関する処理を行う。
パラメータ抽出部１２１は、入力部１１に入力された分析データＨＴＴＰリクエスト２０及び学習データＨＴＴＰリクエスト３０からパラメータを抽出する。パラメータ抽出部１２１は、各ＨＴＴＰリクエストから、パス、パラメータキー及びパラメータキーに対応するバリューを抽出する。
例えば、学習データＨＴＴＰリクエスト３０に「http://example.com/index.php?id=03&file=Top001.png」というＵＲＬが含まれている場合、パラメータ抽出部１２１は、パスとして「index.php」を抽出し、パラメータキーとして「id」及び「file」を抽出し、パラメータキーに対応するバリューとして、「03」及び「Top001.png」を抽出する。
また、文字クラス列変換部１２２は、パラメータ抽出部１２１によって抽出されたバリューを文字クラス列に変換する。例えば、文字クラス列変換部１２２は、パラメータ抽出部１２１によって抽出されたバリューである「03」及び「Top001.png」を文字クラス列に変換する。
文字クラス列変換部１２２は、例えば、バリューの数字で構成される部分を「numeric」、アルファベットで構成される部分を「alpha」、記号で構成される部分を「symbol」に置き換えることで文字クラス列への変換を行う。文字クラス列変換部１２２は、例えば、バリュー「03」を文字クラス列「(numeric)」に変換する。また、文字クラス列変換部１２２は、例えば、バリュー「Top001.png」を文字クラス列「(alpha, numeric, symbol, alpha)」に変換する。
異常検知部１２３は、文字クラス列変換部１２２等から受け取ったパス、パラメータキー及び文字クラス列と、プロファイル１３との類似度を計算し、計算した類似度を閾値と比較すること等により攻撃の検知を行う。例えば、異常検知部１２３は、ある分析データＨＴＴＰリクエスト２０のパス、パラメータキー及び文字クラス列と、プロファイル１３との類似度が閾値以下である場合、当該分析データＨＴＴＰリクエスト２０を攻撃として検知する。また、異常検知部１２３は、検知結果１４を出力する。
プロファイル保存部１２４は、文字クラス列変換部１２２から受け取ったパス、パラメータキー及び文字クラス列をプロファイル１３として保存する。この時、パス及びパラメータキーに対応する文字クラス列が複数ある場合、例えば当該複数の文字クラス列のうち最も頻出する文字クラス列をプロファイル１３として保存する。プロファイル保存部１２４の処理により、制御部１２は、学習部として機能する。
図２を用いて、制御部１２の処理について説明する。図２は、第１の実施形態に係る制御部の処理について説明するための図である。まず、学習データＨＴＴＰリクエスト３０には、ＵＲＬ「http://example.com/index.php?file=Img.jpg」、「http://example.com/index.php?file=Test.png」及び「http://example.com/index.php?file=Top001.png」が含まれているとする。また、分析データＨＴＴＰリクエスト２０には、ＵＲＬ「http://example.com/index.php?file=Test011.jpg」及び「http://example.com/index.php?file=Test_011.jpg' or '1'='1」が含まれているとする。
このとき、パラメータ抽出部１２１は、学習データＨＴＴＰリクエスト３０から、バリュー「Img.jpg」、「Test.png」及び「Top001.png」を抽出する。また、パラメータ抽出部１２１は、分析データＨＴＴＰリクエスト２０から、バリュー「Test011.jpg」及び「Test_011.jpg' or '1'='1」を抽出する。
次に、図２に示すように、文字クラス列変換部１２２は、バリュー「Img.jpg」、「Test.png」及び「Top001.png」をそれぞれ、文字クラス列「(alpha, symbol, alpha)」、「(alpha, symbol, alpha)」及び「(alpha, numeric, symbol, alpha)」に変換する。また、文字クラス列変換部１２２は、バリュー「Test011.jpg」及び「Test_011.jpg' or '1'='1」を、それぞれ文字クラス列「(alpha, numeric, symbol, alpha)」及び「(alpha, symbol, numeric, symbol, alpha, symbol, space, alpha, space, symbol, numeric, symbol, numeric)」に変換する。なお、バリュー「スペース(空白)」は文字クラス列「space」に変換する。
次に、異常検知部１２３は、分析データＨＴＴＰリクエスト２０からの文字クラス列「(alpha, numeric, symbol, alpha)」及び「(alpha, symbol, numeric, symbol, alpha, symbol, space, alpha, space, symbol, numeric, symbol, numeric)」に対応するパスとパラメータキーを組み合わせたデータとプロファイル１３との類似度を計算し、攻撃の検知を行う。
また、プロファイル保存部１２４は、学習データＨＴＴＰリクエスト３０に含まれるＵＲＬのパス「index.php」及びパラメータキー「file」に対応する文字クラス列のうち、例えば「(alpha, symbol, alpha)」を最も頻出する文字クラス列としてプロファイル１３に保存する。
再学習要否判定部１５は、抽出部１５１及び判定部１５２を有する。抽出部１５１は、サーバへのリクエストとの類似度に基づき、当該リクエストが攻撃であるか否かを判定するためのプロファイル１３とマッチしないリクエストのうち、特定のリクエストを抽出する。また、判定部１５２は、抽出部１５１によって抽出された特定のリクエストが、一定数以上の送信元から継続して送信されていることを示す所定の条件を満たすか否かを判定する。また、制御部１２は、特定のリクエストが、判定部１５２によって所定の条件を満たすと判定された場合、プロファイル１３の再学習を行う。
なお、制御部１２は、判定部１５２による判定が行われた後、判定結果である再学習対象データＨＴＴＰリクエスト１６を学習データ入力部１１２に入力し、自動的に再学習を開始してもよい。また、再学習対象データＨＴＴＰリクエスト１６は、例えばユーザが認識可能なデータ形式で、装置外部に出力されてもよい。
本実施形態において、抽出部１５１は、New Parameter及びUnmatched Valueの抽出、New Parameter又はUnmatched Valueを含んだＨＴＴＰリクエストの抽出を行う。New Parameterとは、学習したプロファイル１３に存在しないパス及びパラメータキーである。また、Unmatched Valueとは、学習したプロファイル１３と、傾向が異なるバリューである。バリューの傾向の異同は、例えば文字クラス列を用いて判断される。
また、本実施形態では、判定部１５２は、New Parameter又はUnmatched Valueを含んだＨＴＴＰリクエストが、一定数以上の発信元から継続して発信されているものである場合、プロファイル１３の再学習が必要であると判定する。これは、プロファイル１３が正常通信の特徴を学習した正常プロファイルであるとしたときに、New Parameter又はUnmatched Valueを含んだＨＴＴＰリクエストが一定数以上の発信元から継続して発信されている場合、Ｗｅｂサイトに変更があったことが考えられるためである。
なお、プロファイル１３は、悪性通信の特徴を学習した悪性プロファイルであってもよい。この場合、判定部１５２は、New Parameter又はUnmatched Valueを含んだＨＴＴＰリクエストが、一定数以上の発信元から継続して発信されているものである場合以外の場合に、プロファイル１３の再学習が必要であると判定する。
ここで、New Parameter又はUnmatched Valueを含んだＨＴＴＰリクエストは、攻撃であることも考えられる。しかし、正規利用者数が攻撃者数より非常に多いため、多数のＩＰアドレスから送信されているＨＴＴＰリクエストは、攻撃よりもＷｅｂサイトの正常な利用によるものである可能性が高い。また、攻撃者が攻撃を行う期間は短いことから、送信の継続期間が長いＨＴＴＰリクエストは、攻撃よりもＷｅｂサイトの正常な利用によるものである可能性が高い。このため、判定部１５２によってＨＴＴＰリクエストが一定数以上の発信元から継続して発信されていると判定されたＨＴＴＰリクエストは、攻撃よりもＷｅｂサイトの正常な利用によるものである可能性が高いことがいえる。
抽出部１５１は、パス及びパラメータキーの組み合わせがプロファイル１３に含まれないＨＴＴＰリクエスト、すなわち、New Parameterを有するＨＴＴＰリクエストを特定のリクエストとして抽出することができる。また、抽出部１５１は、パス及びパラメータキーの組み合わせがプロファイル１３に含まれ、かつ、パス、パラメータキー及びバリューの傾向の組み合わせがプロファイル１３に含まれないＨＴＴＰリクエスト、すなわち、Unmached Valueを有するＨＴＴＰリクエストを特定のリクエストとして抽出することができる。
（New Parameterの抽出）
ここで、図３を用いて、抽出部１５１によるNew Parameterの抽出処理について説明する。図３は、第１の実施形態に係るNew Parameterの抽出について説明するための図である。抽出部１５１は、分析対象のＨＴＴＰリクエストのパス及びパラメータキーの組み合わせが、プロファイル１３に含まれない場合、当該ＨＴＴＰリクエストに関する情報をNew Parameterとして抽出する。
例えば、図３に示すように、ＨＴＴＰリクエスト「12/1 0：01：30 192.168.0.1 GET /index.php?key=user001」に含まれるパス「index.php」及びパラメータキー「key」の組み合わせは、プロファイル１３に含まれるため、抽出部１５１は、ＨＴＴＰリクエスト「12/1 0：01：30 192.168.0.1 GET /index.php?key=user001」に関する情報をNew Parameterとして抽出しない。
一方、ＨＴＴＰリクエスト「12/1 0：01：34 192.168.0.1 GET /index.php?key=user001&new_key1=new_value001」に含まれるパス「index.php」及びパラメータキー「new_key1」の組み合わせは、プロファイル１３に含まれないため、抽出部１５１は、ＨＴＴＰリクエスト「12/1 0：01：34 192.168.0.1 GET /index.php?key=user001&new_key1=new_value001」に関する情報をNew Parameterとして抽出する。
（Unmached Valueの抽出）
次に、図４を用いて、抽出部１５１によるUnmached Valueの抽出処理について説明する。図４は、第１の実施形態に係るUnmached Valueの抽出について説明するための図である。抽出部１５１は、分析対象のＨＴＴＰリクエストのパス及びパラメータキーの組み合わせがプロファイル１３に含まれ、かつ、パス、パラメータキー及びバリューの傾向の組み合わせがプロファイル１３に含まれない場合、当該ＨＴＴＰリクエストに関する情報をUnmached Valueとして抽出する。
例えば、図４に示すように、ＨＴＴＰリクエスト「12/1 0：03：45 192.168.0.1 GET /index.php?key=user001」に含まれるパス「index.php」及びパラメータキー「key」の組み合わせはプロファイル１３に含まれ、パス「index.php」、パラメータキー「key」及びバリュー「user001」から変換された文字クラス列「{AL, NU}」の組み合わせもプロファイル１３に含まれる。このため、抽出部１５１は、ＨＴＴＰリクエスト「12/1 0：03：45 192.168.0.1 GET /index.php?key=user001」に関する情報をUnmached Valueとして抽出しない。なお、図４の文字クラス列の表記方法は図２のものと異なるが、文字クラス列の表記方法は、学習装置１０内で認識可能なものであれば任意の方法とすることができる。
一方、ＨＴＴＰリクエスト「12/1 3：00：18 192.168.0.1 GET /index.php?key=user001-01」に含まれるパス「index.php」及びパラメータキー「key」の組み合わせは、プロファイル１３に含まれるが、パス「index.php」、パラメータキー「key」及びバリュー「user001-01」から変換された文字クラス列「{AL, NU, SY, NU}」の組み合わせはプロファイル１３に含まれない。このため、抽出部１５１は、ＨＴＴＰリクエスト「12/1 3：00：18 192.168.0.1 GET /index.php?key=user001-01」に関する情報をUnmached Valueとして抽出する。
次に、図５を用いて、抽出部１５１の出力について説明する。図５は、第１の実施形態に係る抽出部の処理結果の出力について説明するための図である。前述の通り、抽出部１５１は、New Parameter又はUnmached Valueとして、ＨＴＴＰリクエストに関する情報を取得する。ＨＴＴＰリクエストに関する情報には、例えば、送信日時、ＩＰアドレス、パス、パラメータキー及びバリュー等が含まれる。さらに、抽出部１５１は、再学習対象候補ＨＴＴＰリクエストを抽出する。
再学習対象候補ＨＴＴＰリクエストには、New Parameter又はUnmached Valueの抽出対象のＨＴＴＰリクエストに加え、当該ＨＴＴＰリクエストとパス及びパラメータキーが一致するＨＴＴＰリクエストが含まれる。例えば、図４の例では、抽出部１５１は、ＨＴＴＰリクエスト「12/1 0：03：45 192.168.0.1 GET /index.php?key=user001」に関する情報をUnmached Valueとして抽出しないが、当該ＨＴＴＰリクエストは、Unmached Valueとして抽出するＨＴＴＰリクエスト「12/1 3：00：18 192.168.0.1 GET /index.php?key=user001-01」とパス及びパラメータが一致しているため、再学習対象候補ＨＴＴＰリクエストとして抽出する。
また、図５に示すように、抽出部１５１は、バリューが文字クラス列に変換されたＨＴＴＰリクエストではなく、元となったＨＴＴＰリクエストを再学習候補ＨＴＴＰリクエストとして抽出する。
（変形例）
さらに、図６に示すように、抽出部１５１は、ＨＴＴＰリクエストのうち、ステータスコードが所定値であるものだけを抽出するようにしてもよい。図６は、第１の実施形態に係る抽出部の処理の変形例について説明するための図である。例えば、ステータスコード「２００〜３９９」は、正常を意味しているため、抽出部１５１は、ステータスコード「２００〜３９９」であるＨＴＴＰリクエストを抽出する。
図６の例では、ＨＴＴＰリクエスト「192.168.0.2 GET /index.php?new_key2=../../etc/passwd」は、前述のNew Parameterとして抽出される条件を満たしているが、ステータスコードが「４０４」であるため、本変形例においては、抽出部１５１は、ＨＴＴＰリクエスト「192.168.0.2 GET /index.php?new_key2=../../etc/passwd」に関する情報をNew Parameterとして抽出しない。なお、ここではNew Parameterの場合の例を説明したが、抽出部１５１がUnmached Valueを抽出する場合においても本変形例を適用することができる。
（継続性の判定）
ここで、判定部１５２による、継続性の判定、すなわち、リクエストが、一定数以上の送信元から継続して送信されているか否かを判定する処理について説明する。図７〜９を用いて、継続性があるパターンについて説明する。図７〜９は、第１の実施形態に係る継続性があるパターンの一例について説明するための図である。
まず、図７に示すように、ＨＴＴＰリクエストの送信時間を含んだ期間を複数のタイムスロットに分割した場合に、条件を満たすタイムブロックが高頻度で出現するパターンを、判定部１５２は継続性があるパターンと判定することができる。
例えば、条件を満たすタイムブロックの出現率の閾値を５／１０に設定した場合、図７に示すように、条件を満たすタイムブロックの出現率が１／１０である場合は非継続的であると判定され、条件を満たすタイムブロックの出現率が８／１０である場合は継続的であると判定される。
また、図８に示すように、ＨＴＴＰリクエストの送信時間を含んだ期間を複数のタイムスロットに分割した場合に、条件を満たすタイムブロックの連続して出現するパターンを、判定部１５２は継続性があるパターンと判定することができる。
例えば、条件を満たすタイムブロックが連続する回数の閾値を５回とした場合、図８に示すように、条件を満たすタイムブロックが６回連続で出現した場合は継続的であると判定され、条件を満たすタイムブロックが３回までしか連続して出現しなかった場合は非継続的であると判定される。
また、図９に示すように、所定のＨＴＴＰリクエストが送信されてから、当該ＨＴＴＰリクエストから一部が変化したＨＴＴＰリクエストが送信されるまでの時間が所定の条件を満たすパターンを、判定部１５２は継続性があるパターンと判定することができる。例えば、図９のパターンには、あるパス及びパラメータキーを有するＨＴＴＰリクエストが送信された後、同じパス及びパラメータキーを有し、異なる送信元ＩＰアドレスを有するＨＴＴＰリクエストが送信されるまでの時間が所定値以上であるパターンが該当する。
（タイムスロットを用いた判定）
図１０を用いて、判定部１５２による、図７のパターンを判定する処理について説明する。まず、図１０に示すように、判定部１５２は、特定のリクエストの送信日時を含んだ期間を複数のタイムスロットに分割する。図１０は、第１の実施形態に係るタイムスロットの分割について説明するための図である。図１０に示すように、判定部１５２は、特定の期間を、４時間ごとのタイムスロットに分割する。例えば、タイムスロット（１）は、０：００〜４：００である。また、タイムスロット（２）は、４：００〜８：００である。このとき、さらに、判定部１５２は、各タイムスロットに、ＨＴＴＰリクエストの送信元ＩＰアドレスを時系列で並べて割り当てる。
次に、図１１に示すように、判定部１５２は、タイムスロットごとに特定のリクエストの送信元アドレスの種類の数をカウントする。図１１は、第１の実施形態に係るタイムスロットの特定について説明するための図である。例えば、「path1:new_key1」のタイムスロット（１）（０：００〜４：００）には、３種類の送信元ＩＰアドレスが含まれるので、判定部１５２は当該タイムスロットの送信元アドレスの種類を３とカウントする。一方、「path1:new_key2」のタイムスロット（１）（０：００〜４：００）には、１種類の送信元ＩＰアドレスが含まれるので、判定部１５２は当該タイムスロットの送信元アドレスの種類を１とカウントする。
次に、判定部１５２は、送信元アドレスの種類の数が閾値以上であるタイムスロットの数が複数のタイムスロットの総数に占める割合が所定値以上である場合、特定のリクエストが所定の条件を満たすと判定する。ここで、送信元アドレスの種類の数に関する閾値が２であるとする。このとき、図１１に示すように、「path1:new_key1」のタイムスロットには、送信元アドレスの種類が複数見られるのに対し、「path1:new_key2」のタイムスロットには、送信元アドレスの種類があまり見られない。
ここで、例えば、送信元アドレスの種類の数が閾値以上であるタイムスロットの数が複数のタイムスロットの総数に占める割合が０．８を超えた場合に、判定部１５２は所定の条件を満たすとすることができる。そして、図１２に示すように、「path1:new_key1」が当該条件を満たすと判定された場合、抽出部１５１によって抽出された再学習対象候補ＨＴＴＰリクエストのうち、パスが「path1」、パラメータキーが「new_key1」であるＨＴＴＰリクエストは、再学習対象データＨＴＴＰリクエスト１６として出力される。図１２は、第１の実施形態に係る判定部の処理結果の出力について説明するための図である。なお、「path1」は、パス「index.php」を示す符号である。
図１３を用いて、判定部１５２による、図８のパターンを判定する処理について説明する。図１３は、第１の実施形態に係る判定部の他の処理について説明するための図である。図１３に示すように、判定部１５２は、特定のリクエストの送信日時を含んだ期間を複数のタイムスロットに分割し、タイムスロットごとに特定のリクエストの送信元アドレスの種類の数をカウントし、送信元アドレスの種類の数が閾値以上であるタイムスロットが所定の数以上連続している場合、特定のリクエストが所定の条件を満たすと判定することができる。タイムスロットの分割及び送信元アドレスの種類の数のカウントについては、図１０及び１１の場合と同様であるため説明を省略する。
ここで、図１３に示すように、「path1:new_key1」の方では、送信元アドレスの種類が閾値を越えるタイムスロットが連続している傾向があるのに、「path1:new_key2」の方では、送信元アドレスの種類が閾値を越えるタイムスロットが連続しない傾向がある。判定部１５２は、例えば送信元アドレスの種類が閾値を越えるタイムスロットが５回以上連続した場合に、判定部１５２は所定の条件を満たすとすることができる。
（再学習対象判定用情報を用いた判定）
図１４〜２０を用いて、判定部１５２による、図９のパターンを判定する処理について説明する。図１４〜２０は、第１の実施形態に係る判定部の図９のパターンを判定する処理について説明するための図である。
まず、図１４のように、判定部１５２は、再学習対象判定用情報を作成する。図１４は、第１の実施形態に係る判定部の再学習対象判定用情報作成処理について説明するための図である。このとき、再学習対象判定用情報にはデータが存在せず、項目のみが設定されている。
次に、図１５に示すように、判定部１５２は、抽出部１５１で抽出されたNew Parameter及びUnmatched Valueのパス及びパラメータキーの組み合わせのそれぞれで、再学習対象判定用情報を順次検索する。図１５は、第１の実施形態に係る判定部の再学習対象判定用情報検索処理について説明するための図である。再学習対象判定用情報を検索した結果、検索結果が存在した場合、判定部１５２は、送信元のＩＰアドレスに関する再学習対象判定用情報比較を行う。
図１６を用いて、送信元のＩＰアドレスに関する再学習対象判定用情報比較について説明する。図１６は、第１の実施形態に係る判定部の送信元のＩＰアドレスに関する再学習対象判定用情報比較処理について説明するための図である。検索結果の再学習対象判定用情報に含まれるＩＰアドレスと、検索に用いたNew Parameter又はUnmatched Valueに含まれるＩＰアドレスとが同じである場合（図１６の比較（２））、判定部１５２は次の検索へ進む。
一方、検索結果の再学習対象判定用情報に含まれるＩＰアドレスと、検索に用いたNew Parameter又はUnmatched Valueに含まれるＩＰアドレスとが異なる場合（図１６の比較（１））、判定部１５２は送信日時に関する再学習対象判定用情報比較を行う。
ここで、図１７を用いて、送信日時に関する再学習対象判定用情報比較について説明する。図１７は、第１の実施形態に係る判定部の送信日時に関する再学習対象判定用情報比較処理について説明するための図である。検索に用いたNew Parameter又はUnmatched Valueに含まれる送信日時が、検索結果の再学習対象判定用情報に含まれる前回時刻から一定時間（例えば、６０分）以内である場合（図１７の比較（１））、判定部１５２は再学習対象判定処理を行う。
一方、検索に用いたNew Parameter又はUnmatched Valueに含まれる送信日時が、検索結果の再学習対象判定用情報に含まれる前回時刻から一定時間（例えば、６０分）以内でない場合（図１７の比較（２））、判定部１５２は再学習対象判定用情報更新処理を行った後、次の検索へ進む。
ここで、図１８を用いて、再学習対象判定処理について説明する。図１８は、第１の実施形態に係る判定部の再学習対象判定処理について説明するための図である。検索に用いたNew Parameter又はUnmatched Valueに含まれる送信日時が、検索結果の再学習対象判定用情報に含まれる初回時刻から一定時間（例えば、１２０分）以上経過している場合（図１８の比較（１））、判定部１５２は、抽出部１５１によって抽出された再学習対象候補ＨＴＴＰリクエストのうち、当該New Parameter又はUnmatched Valueを有するものを、再学習対象データＨＴＴＰリクエスト１６とする。
一方、検索に用いたNew Parameter又はUnmatched Valueに含まれる送信日時が、検索結果の再学習対象判定用情報に含まれる初回時刻から一定時間（例えば、１２０分）以上経過していない場合（図１８の比較（２））、判定部１５２は再学習対象判定用情報の前回時刻及びＩＰアドレスを、それぞれNew Parameter又はUnmatched Valueに含まれる送信日時及び送信元のＩＰアドレスで更新し、次の検索へ進む。
また、再学習対象判定用情報を検索した結果、検索結果が存在しなかった場合、判定部１５２は、再学習対象判定用情報追加処理を行う。なお、初回は検索対象の再学習対象判定用情報が作成されていないため、判定部１５２は、再学習対象判定用情報追加処理を行うことになる。
図１９を用いて、再学習対象判定用情報追加処理について説明する。図１９は、第１の実施形態に係る判定部の再学習対象判定用情報追加処理について説明するための図である。図１９に示すように、再学習対象判定用情報追加処理において、判定部１５２は、New Parameter又はUnmatched Valueに含まれる各情報を再学習対象判定用情報に追加する。なお、この場合、判定部１５２は、初回時刻及び前回時刻の両方に、New Parameter又はUnmatched Valueに含まれる送信日時を追加する。
図２０を用いて、再学習対象判定用情報更新処理について説明する。図２０は、第１の実施形態に係る判定部の再学習対象判定用情報更新処理について説明するための図である。図２０に示すように、再学習対象判定用情報更新処理において、判定部１５２は、再学習対象判定用情報を、New Parameter又はUnmatched Valueに含まれる各情報で更新する。なお、この場合、判定部１５２は、前回時刻をNew Parameter又はUnmatched Valueに含まれる送信日時で更新し、初回時刻は更新しない。
この場合、判定部１５２で用いられる所定の条件は、特定のリクエストの送信日時の間隔が短く、特定のリクエストの送信元アドレスの種類が多いほど満たされやすいものである。
つまり、再学習対象データＨＴＴＰリクエスト１６として判定部１５２によって判定されるためには、図１８に示す再学習対象判定処理に進む必要がある。ここで、再学習対象判定処理に進むためには、送信日時に関する再学習対象判定用情報比較処理において、New Parameter又はUnmatched Valueに含まれる送信日時が、検索結果の再学習対象判定用情報に含まれる前回時刻から一定時間以内でなければならない。これより、リクエストの送信日時の間隔短いほど再学習対象判定処理に進みやすいといえる。
また、送信日時に関する再学習対象判定用情報比較処理に進むためには、送信元のＩＰアドレスに関する再学習対象判定用情報比較処理において、New Parameter又はUnmatched Valueに含まれる送信元のＩＰアドレスが、検索結果の再学習対象判定用情報に含まれるＩＰアドレスと異なっていなければならない。これより、送信元アドレスの種類が多いほど再学習対象判定処理に進みやすいといえる。
（変形例）
図２１に示すように、判定部１５２はＩＰアドレスのブラックリストを保持しておき、ＨＴＴＰリクエストの送信元のＩＰアドレスがブラックリストに記載されている場合、ＨＴＴＰリクエストを判定対象から除外してもよい。図２１は、第１の実施形態に係る判定部の処理の変形例について説明するための図である。図２１の例では、ＩＰアドレス「192.168.0.2」はブラックリストに含まれているため、例えばタイムブロックごとのアドレスの種類の数をカウントする際に除外される。
［第１の実施形態の処理］
まず、図２２を用いて、抽出部１５１の処理の流れについて説明する。図２２は、第１の実施形態に係る抽出部の処理の流れを示すフローチャートである。図２２に示すように、抽出部１５１は、入力データとして分析対象のＨＴＴＰリクエストを取得する（ステップＳ１０１）。次に、抽出部１５１は、New Parameterの抽出を行う（ステップＳ１０２）。また、抽出部１５１は、Unmatched Valueの抽出を行う（ステップＳ１０３）。そして、抽出部１５１は、処理結果データを出力する（ステップＳ１０４）。
なお、抽出部１５１は、New Parameterの抽出（ステップＳ１０２）、及びUnmatched Valueの抽出（ステップＳ１０３）の順序を逆にしてもよいし、New Parameterの抽出（ステップＳ１０２）、及びUnmatched Valueの抽出（ステップＳ１０３）のいずれか一方のみを行うこととしてもよい。
次に、図２３を用いて、判定部１５２のタイムスロットを用いた判定処理について説明する。図２３は、第１の実施形態に係る判定部のタイムスロットを用いた処理の流れを示すフローチャートである。図２３に示すように、判定部１５２は、まず、入力データとして、抽出部１５１の処理結果データを取得する（ステップＳ２０１）。
次に、判定部１５２は、抽出部１５１の処理結果データに含まれるＨＴＴＰリクエストの送信日時を含んだ期間を複数のタイムスロットに分割する（ステップＳ２０２）。次に、判定部１５２は、タイムスロットごとに送信元ＩＰアドレスの種類をカウントすること等により、判定の対象となるタイムスロットを特定する（ステップＳ２０３）。そして、特定したタイムスロットの出現状況に基づいて再学習対象のＨＴＴＰリクエストを判定する（ステップＳ２０４）。出現状況としては、条件を満たすタイムスロットの全体に占める割合や、条件を満たすタイムスロットの連続性等がある。そして、判定部１５２は、処理結果データを出力する（ステップＳ２０５）。
次に、図２４を用いて、再学習対象判定情報を用いた判定処理について説明する。図２４は、第１の実施形態に係る判定部の再学習対象判定用情報を用いた処理の流れを示すフローチャートである。図２４に示すように、判定部１５２は、入力データとして、抽出部１５１の処理結果データを取得する（ステップＳ３０１）。
ここで、判定部１５２は、再学習対象判定用情報を作成する（ステップＳ３０２）。次に、判定部１５２は、入力データとして取得したＨＴＴＰリクエストに関する情報で、再学習対象判定用情報を検索し、検索結果が存在しなかった場合（ステップＳ３０３、Ｎｏ）、再学習対象判定用情報追加処理を行い（ステップＳ３０４）、次の検索へ進む。検索結果が存在した場合（ステップＳ３０３、Ｙｅｓ）、判定部１５２は、送信元のＩＰアドレスに関する再学習対象判定用情報比較処理を実行する（ステップＳ３０５）。
送信元のＩＰアドレスに関する再学習対象判定用情報比較処理の結果、ＩＰアドレスが異なっていた場合（ステップＳ３０５、Ｙｅｓ）、判定部１５２は、送信日時に関する再学習対象判定用情報比較処理を実行する（ステップＳ３０６）。また、送信元のＩＰアドレスに関する再学習対象判定用情報比較処理の結果、ＩＰアドレスが異なっていなかった場合（ステップＳ３０５、Ｎｏ）、判定部１５２は、次の検索へ進む。
送信日時に関する再学習対象判定用情報比較処理の結果、送信日時が前回時刻から一定時間以内であった場合（ステップＳ３０６、Ｙｅｓ）、判定部１５２は、再学習対象判定処理を実行する（ステップＳ３０８）。また、送信日時に関する再学習対象判定用情報比較処理の結果、送信日時が前回時刻から一定時間以内でなかった場合（ステップＳ３０６、Ｎｏ）、判定部１５２は、再学習対象判定用情報更新処理を実行し（ステップＳ３０７）、次の検索へ進む。
また、再学習対象判定処理の結果、送信日時が初回時刻から一定時間以上経過している場合（ステップＳ３０８、Ｙｅｓ）、当該ＨＴＴＰリクエストを再学習対象として、処理結果データを出力する（ステップＳ３０９）。また、再学習対象判定処理の結果、送信日時が初回時刻から一定時間以上経過していなかった場合（ステップＳ３０８、Ｎｏ）、判定部１５２は、再学習対象判定用情報のＩＰアドレスと前回時刻を更新し、次の検索へ進む。
［第１の実施形態の効果］
抽出部１５１は、サーバへのリクエストとの類似度に基づき、当該リクエストが攻撃であるか否かを判定するためのプロファイル１３とマッチしないリクエストのうち、特定のリクエストを抽出する。また、判定部１５２は、抽出部１５１によって抽出された特定のリクエストが、一定数以上の送信元から継続して送信されていることを示す所定の条件を満たすか否かを判定する。また、制御部１２は、特定のリクエストが、判定部１５２によって所定の条件を満たすと判定された場合、プロファイル１３の再学習を行う。これにより、必要に応じてプロファイルの再学習を行うことができるようになるため、運用稼働を抑えつつ、攻撃の検知精度を高精度に維持することができるようになる。
抽出部１５１は、パス及びパラメータキーの組み合わせがプロファイル１３に含まれないＨＴＴＰリクエストを特定のリクエストとして抽出することができる。これにより、新たに出現したパスやパラメータにプロファイルを対応させることが可能となり、攻撃の見逃しを防止できるようになる。
抽出部１５１は、パス及びパラメータキーの組み合わせがプロファイル１３に含まれ、かつ、パス、パラメータキー及びバリューの傾向の組み合わせがプロファイル１３に含まれないＨＴＴＰリクエストを特定のリクエストとして抽出することができる。これにより、既存パラメータキーのバリューの仕様（文字列構造）が変化した場合であっても、プロファイルを対応させることが可能となり、攻撃の誤検知を防止できるようになる。
判定部１５２は、特定のリクエストの送信日時を含んだ期間を複数のタイムスロットに分割し、タイムスロットごとに特定のリクエストの送信元アドレスの種類の数をカウントし、送信元アドレスの種類の数が閾値以上であるタイムスロットの数が複数のタイムスロットの総数に占める割合が所定値以上である場合、特定のリクエストが所定の条件を満たすと判定することができる。これにより、タイムスロットの出現頻度に基づき、一定数以上の発信元から継続的に送信されているリクエストを判定することが可能となる。
判定部１５２は、特定のリクエストの送信日時を含んだ期間を複数のタイムスロットに分割し、タイムスロットごとに特定のリクエストの送信元アドレスの種類の数をカウントし、送信元アドレスの種類の数が閾値以上であるタイムスロットが所定の数以上連続している場合、特定のリクエストが所定の条件を満たすと判定することができる。これにより、タイムスロットの出現の連続性に基づき、一定数以上の発信元から継続的に送信されているリクエストを判定することが可能となる。
判定部１５２で用いられる所定の条件は、特定のリクエストの送信日時の間隔短く、特定のリクエストの送信元アドレスの種類が多いほど満たされやすいものであってもよい。これにより、Ｗｅｂサイトの変更時に現れやすい傾向を基に条件を設定し、一定数以上の発信元から継続的に送信されているリクエストを判定することが可能となる。
［プログラム］
一実施形態として、学習装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の再学習要否判定を実行する再学習要否判定プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の再学習要否判定プログラムを情報処理装置に実行させることにより、情報処理装置を学習装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistant）等のスレート端末等がその範疇に含まれる。
また、学習装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の再学習要否判定に関するサービスを提供する学習サーバ装置として実装することもできる。例えば、学習サーバ装置は、分析対象のＨＴＴＰリクエストを入力とし、再学習の要否、及び再学習対象のＨＴＴＰリクエストを出力とする学習サービスを提供するサーバ装置として実装される。この場合、学習サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の再学習要否判定に関するサービスを提供するクラウドとして実装することとしてもかまわない。
図２５は、プログラムが実行されることにより学習装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、学習装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、学習装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
１０ 学習装置
１１ 入力部
１２ 制御部
１３ プロファイル
１４ 検知結果
１５ 再学習要否判定部
１６ 再学習対象データＨＴＴＰリクエスト
２０ 分析データＨＴＴＰリクエスト
３０ 学習データＨＴＴＰリクエスト
１１１ 分析対象データ入力部
１１２ 学習データ入力部
１２１ パラメータ抽出部
１２２ 文字クラス列変換部
１２３ 異常検知部
１２４ プロファイル保存部
１５１ 抽出部
１５２ 判定部

Claims (8)

  1. サーバへのリクエストとの類似度に基づき、当該リクエストが攻撃であるか否かを判定するためのプロファイルとマッチしないリクエストのうち、特定のリクエストを抽出する抽出部と、
    前記抽出部によって抽出された前記特定のリクエストが、一定数以上の送信元から継続して送信されていることを示す所定の条件を満たすか否かを判定する判定部と、
    前記特定のリクエストが、前記判定部によって所定の条件を満たすと判定された場合、前記プロファイルの再学習を行う学習部と、
    を有することを特徴とする学習装置。
  2. 前記抽出部は、パス及びパラメータキーの組み合わせが前記プロファイルに含まれないＨＴＴＰリクエストを前記特定のリクエストとして抽出することを特徴とする請求項１に記載の学習装置。
  3. 前記抽出部は、パス及びパラメータキーの組み合わせが前記プロファイルに含まれ、かつ、前記パス、前記パラメータキー及びバリューの傾向の組み合わせが前記プロファイルに含まれないＨＴＴＰリクエストを前記特定のリクエストとして抽出することを特徴とする請求項１に記載の学習装置。
  4. 前記判定部は、前記特定のリクエストの送信日時を含んだ期間を複数のタイムスロットに分割し、前記タイムスロットごとに前記特定のリクエストの送信元アドレスの種類の数をカウントし、送信元アドレスの種類の数が閾値以上であるタイムスロットの数が前記複数のタイムスロットの総数に占める割合が所定値以上である場合、前記特定のリクエストが前記所定の条件を満たすと判定することを特徴とする請求項１から３のいずれか１項に記載の学習装置。
  5. 前記判定部は、前記特定のリクエストの送信日時を含んだ期間を複数のタイムスロットに分割し、前記タイムスロットごとに前記特定のリクエストの送信元アドレスの種類の数をカウントし、送信元アドレスの種類の数が閾値以上であるタイムスロットが所定の数以上連続している場合、前記特定のリクエストが前記所定の条件を満たすと判定することを特徴とする請求項１から３のいずれか１項に記載の学習装置。
  6. 前記判定部で用いられる前記所定の条件は、前記特定のリクエストの送信日時の間隔が短く、前記特定のリクエストの送信元アドレスの種類が多いほど満たされやすいことを特徴とする請求項１から３のいずれか１項に記載の学習装置。
  7. 学習装置で実行される再学習要否判定方法であって、
    サーバへのリクエストとの類似度に基づき、当該リクエストが攻撃であるか否かを判定するためのプロファイルとマッチしないリクエストのうち、特定のリクエストを抽出する抽出工程と、
    前記抽出工程によって抽出された前記特定のリクエストが、一定数以上の送信元から継続して送信されていることを示す所定の条件を満たす場合、前記プロファイルの再学習が必要であると判定する判定工程と、
    を含んだことを特徴とする再学習要否判定方法。
  8. コンピュータに、
    サーバへのリクエストとの類似度に基づき、当該リクエストが攻撃であるか否かを判定するためのプロファイルとマッチしないリクエストのうち、特定のリクエストを抽出する抽出ステップと、
    前記抽出ステップによって抽出された前記特定のリクエストが、一定数以上の送信元から継続して送信されていることを示す所定の条件を満たす場合、前記プロファイルの再学習が必要であると判定する判定ステップと、
    を実行させることを特徴とする再学習要否判定プログラム。
JP2019502897A 2017-03-03 2018-02-20 学習装置、再学習要否判定方法及び再学習要否判定プログラム Active JP6714143B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2017041123 2017-03-03
JP2017041123 2017-03-03
PCT/JP2018/005962 WO2018159380A1 (ja) 2017-03-03 2018-02-20 学習装置、再学習要否判定方法及び再学習要否判定プログラム

Publications (2)

Publication Number Publication Date
JPWO2018159380A1 JPWO2018159380A1 (ja) 2019-06-27
JP6714143B2 true JP6714143B2 (ja) 2020-06-24

Family

ID=63370971

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019502897A Active JP6714143B2 (ja) 2017-03-03 2018-02-20 学習装置、再学習要否判定方法及び再学習要否判定プログラム

Country Status (3)

Country Link
US (1) US11233809B2 (ja)
JP (1) JP6714143B2 (ja)
WO (1) WO2018159380A1 (ja)

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003198443A (ja) * 2001-12-26 2003-07-11 Matsushita Electric Ind Co Ltd 基地局装置、通信端末装置及び無線通信方法
KR100468232B1 (ko) * 2002-02-19 2005-01-26 한국전자통신연구원 분산된 침입탐지 에이전트와 관리자 시스템을 이용한네트워크 기반 침입자 역추적 시스템 및 그 방법
US7752662B2 (en) * 2004-02-20 2010-07-06 Imperva, Inc. Method and apparatus for high-speed detection and blocking of zero day worm attacks
US7831586B2 (en) * 2006-06-09 2010-11-09 Ebay Inc. System and method for application programming interfaces for keyword extraction and contextual advertisement generation
JP4664257B2 (ja) * 2006-09-06 2011-04-06 富士通株式会社 攻撃検出システム及び攻撃検出方法
KR100922582B1 (ko) * 2007-07-20 2009-10-21 한국전자통신연구원 중심점 분할 기법을 이용한 로그 기반의 역추적 시스템 및방법
US8650648B2 (en) * 2008-03-26 2014-02-11 Sophos Limited Method and system for detecting restricted content associated with retrieved content
US9668156B2 (en) * 2012-07-23 2017-05-30 Lg Electronics Inc. Method for reporting combined measurement results in wireless communication system and apparatus for supporting same
US10243982B2 (en) 2014-06-06 2019-03-26 Nippon Telegraph And Telephone Corporation Log analyzing device, attack detecting device, attack detection method, and program
WO2017018377A1 (ja) * 2015-07-30 2017-02-02 日本電信電話株式会社 分析方法、分析装置、および分析プログラム
KR20180074316A (ko) * 2016-12-23 2018-07-03 삼성전자주식회사 장소 정보를 제공하기 위한 시스템 및 이를 지원하는 방법 및 전자 장치

Also Published As

Publication number Publication date
US20200252419A1 (en) 2020-08-06
US11233809B2 (en) 2022-01-25
WO2018159380A1 (ja) 2018-09-07
JPWO2018159380A1 (ja) 2019-06-27

Similar Documents

Publication Publication Date Title
CN111935192B (zh) 网络攻击事件溯源处理方法、装置、设备和存储介质
AU2018212470B2 (en) Continuous learning for intrusion detection
JP6697123B2 (ja) プロファイル生成装置、攻撃検知装置、プロファイル生成方法、および、プロファイル生成プログラム
CN111382434B (zh) 用于检测恶意文件的系统和方法
WO2019128529A1 (zh) Url攻击检测方法、装置以及电子设备
US9565209B1 (en) Detecting electronic messaging threats by using metric trees and similarity hashes
US20160072833A1 (en) Apparatus and method for searching for similar malicious code based on malicious code feature information
CN103180863A (zh) 计算机系统分析方法和装置
CN110414236B (zh) 一种恶意进程的检测方法及装置
CN111651591A (zh) 一种网络安全分析方法和装置
JP6200101B2 (ja) 分析装置、分析システム、分析方法、および、分析プログラム
Naik et al. Fuzzy-import hashing: A static analysis technique for malware detection
US20200403964A1 (en) Systems and methods for determining character entry dynamics for text segmentation
JP6505533B2 (ja) 悪質なコードの検出
CN110392032B (zh) 检测异常url的方法、装置及存储介质
RU2747464C2 (ru) Способ обнаружения вредоносных файлов на основании фрагментов файлов
JP6714143B2 (ja) 学習装置、再学習要否判定方法及び再学習要否判定プログラム
KR20180097824A (ko) 악성코드 검출을 위한 자동 규칙 생성방법, 장치, 시스템 및 이를 기록한 컴퓨터로 판독가능한 기록매체
US20210168121A1 (en) Generation method, generation device, and recording medium
JP2012003463A (ja) シグネチャの生成を支援する支援装置、方法及びプログラム
WO2019225251A1 (ja) 学習方法、学習装置及び学習プログラム
KR102289408B1 (ko) 해시 코드 기반의 검색 장치 및 검색 방법
CN110197066B (zh) 一种云计算环境下的虚拟机监控方法及监控系统
JP7001180B2 (ja) フィッシングサイト検知装置、フィッシングサイト検知方法、および、フィッシングサイト検知プログラム
JP6930667B2 (ja) 検知装置および検知プログラム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190218

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200421

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200522

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200602

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200604

R150 Certificate of patent or registration of utility model

Ref document number: 6714143

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150