JP7006704B2 - 情報処理装置、情報処理システム、情報処理方法、及び、プログラム - Google Patents

Description

本発明は、情報の処理に関し、特に、送信元の検知に関連する情報を処理する情報処理装置などに関する。

インターネットなどのネットワークの普及に伴い、ネットワークを経由した不正なアクセスが、増加している。

企業などにおいて、ネットワーク及びネットワークに接続したシステムのセキュリティを実現するための組織が設置されている。これらの装置の一例として、ＩＤＳ（Ｉｎｓｔｒｕｃｔｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）及びＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）などがある。

さらに、ＩＤＳなどで用いられるネットワークにおけるセキュリティなどを実現するための技術が提案されている（例えば、特許文献１ないし４を参照）。

特許文献１に記載の技術は、予め保持する「トラフィックルール」を用いて異常を検出する。

特許文献２に記載の技術は、予め保持する「シグネシャ」を用いて異常を検出する。

特許文献３に記載の技術は、予め保持する「異常パケット情報」を用いて、設定された秒／分間隔で収集したパケットのヘッダーを判定する。

特許文献４に記載の技術は、モニタ対象のパケットを用いた統計処理を実行する。

特開２００８－０８５８１９号公報 特開２００９－１７１４３１号公報 特開２００９－２３１８７６号公報 特開２００５－０５１８０９号公報

システム及びネットワークを安全に運用するためには、不正な侵害は、１回たりとも発生させないことが望ましい。

しかし、特許文献１ないし３に記載した技術は、過去に発生した侵入などの異常に関する情報（例えば、トラフィックルール、シグネシャ、又は、異常パケット情報）を用いて、異常を検出する。つまり、特許文献１ないし３に記載の技術は、少なくとも一度は不正に侵入されるなど異常状態が必要である。

なお、特許文献４に記載の技術は、異常の検出を開示していない。

このように、特許文献１ないし４に記載の技術は、不正な侵入の前には、不審者などからの通信を特定できないという問題点があった。

本発明の目的は、上記問題点を解決し、不正な侵入を必要とせずに、不審な通信を検知するための情報を提供する情報処理装置などを提供することにある。

本発明の一形態における情報処理装置は、送信元に関連する第１の頻度の集計に用いる第１の処理データを通信データから抽出するための方針である第１のデータ抽出方針に基づいて通信データから第１の処理データを抽出するデータ抽出手段と、第１の処理データにおける送信元に関する第１の頻度を集計するための方針である第１の集計方針に基づいて第１の処理データにおける送信元に関連する第１の頻度を集計する集計手段と、送信元を抽出するための方針である第１の送信元抽出方針と第１の頻度とに基づいて送信元を抽出する送信元抽出手段とを含む。

本発明の一形態における情報処理システムは、上記の情報処理装置と、第１のデータ抽出方針、第１の集計方針、及び第１の送信元抽出方針の少なくとの一つを情報処理装置に指示する指示装置と、情報処理装置が抽出した送信元を受信して表示する表示装置と、情報処理装置から受信した送信元に関する通信を阻止するファイアウォールとを含む。

本発明の一形態における情報処理方法は、送信元に関連する第１の頻度の集計に用いる第１の処理データを通信データから抽出するための方針である第１のデータ抽出方針に基づいて通信データから第１の処理データを抽出し、第１の処理データにおける送信元に関する第１の頻度を集計するための方針である第１の集計方針に基づいて第１の処理データにおける送信元に関連する第１の頻度を集計し、送信元を抽出するための方針である第１の送信元抽出方針と第１の頻度とに基づいて送信元を抽出する。

本発明の一形態におけるプログラムは、送信元に関連する第１の頻度の集計に用いる第１の処理データを通信データから抽出するための方針である第１のデータ抽出方針に基づいて通信データから第１の処理データを抽出処理と、第１の処理データにおける送信元に関する第１の頻度を集計するための方針である第１の集計方針に基づいて第１の処理データにおける送信元に関連する第１の頻度を集計する処理と、送信元を抽出するための方針である第１の送信元抽出方針と第１の頻度とに基づいて送信元を抽出する処理とをコンピュータに実行させる。

本発明に基づけば、不正な侵入を必要とせずに、不審な通信を検知するとの効果を奏することができる。

図１は、本発明における第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。 図２は、第１の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 図３は、第１の実施形態に係る情報処理装置の動作の説明に用いる通信データを示す図である。 図４は、第１の実施形態に係るデータ抽出部における抽出動作を説明するための図である。 図５は、第１の実施形態に係る集計部における動作を説明するための図である。 図６は、第１の実施形態に係る送信元抽出部における動作を説明するための図である。 図７は、第２の実施形態に係る情報処理装置の構成の一例を示すブロック図である。 図８は、第２の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 図９は、第２の実施形態に係る情報処理装置の第２の処理データの一例を示す図である。 図１０は、実施形態の概要の構成である情報処理装置の構成の一例を示すブロック図である。 図１１は、情報処理装置のハードウェア構成の一例を示すブロック図である。 図１２は、情報処理装置を含む情報処理システムの構成の一例を示すブロック図である。 図１３は、ある通信データにおいて、送信元ごとに観測期間と観測回数とを集計した結果を示した図である。

以下、図面を参照して、本発明における実施形態について説明する。

なお、各図面は、本発明における実施形態を説明するためのものである。ただし、各実施形態は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ番号を付し、その繰り返しの説明を、省略する場合がある。また、以下の説明に用いる図面において、実施形態の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。

＜発明に関連する技術＞
まず、本発明に関連する技術を説明する。

一般的なＩＤＳなど不正を検知する装置又は組織（以下、単に「ＩＤＳ」と呼ぶ）は、不正な侵入そのものを遮断することを目的としている。具体的には、ＩＤＳは、受信した通信データを、直接的に判定して、不正な通信データの遮断を実現する。

そのため、ＩＤＳにおける通信に対する継続的な監視時間としては、比較的短い期間（一般的に、数分から数時間、長くても１日程度）のデータを用いる。

しかし、不正な侵入を企てる侵害者は、不正な侵入を実現するために、侵入の前に対象となるシステムにおける侵入可能となっている侵入口を探索する。そして、侵入口が見つかると、侵害者は、見つけた侵入口からシステムに不正に侵入する。

この探索には、侵入先に悟られないため、通常の通信と区別がつかない通信（不正と判断されない通信）が用いられる。

また、この探索は、ある程度の回数を必要とする。ただし、同じ宛先への短期間における連続的な探索は、不正と判断される可能性が高くなる。そこで、この探索は、一般的に、人手ではなく、コンピュータなどを利用して、ある程度の長い間隔（例えば、数日、１か月、又は数か月）に渡って繰り返される。なお、探索に用いられる間隔は、検出されにくくするため、ある程度の変動を含む場合がある。

図１３は、ある通信データにおいて、送信元ごとに観測期間と観測回数とを集計した結果を示した図である。

ここで、観測期間とは、最初の通信があった時間（初回時間）から最後の通信までの時間（最終時間）である。

図１３において楕円で囲まれた範囲のデータは、他のデータとは明らかに異なる分布（つまり、動作）となっている。この範囲のデータは、２５００万から３０００万秒（約９．６か月から１１．６か月）の期間において、数十回の通信が発生している。つまり、平均すると、月に１回から数回の通信が発生している。このような通信は、一般的な通信では想定しにくい通信であり、また、不正侵入の探索としては想定される通信の一つである。つまり、このような通信の送信元は、不正に侵入するための探索の通信を実行している可能性がある。

このように、長い期間における通信データを用いた解析は、不正な送信元の特定に有効である。

このような探索の可能性がある不審な通信を検知するためには、上記のような比較的長い期間（例えば、上記の場合、数か月間から１年間）における通信のデータを用いた解析が必要となる。つまり、長期間における通信のデータを用いての解析は、侵入前の探索と想定されるような不審な通信を実行する送信元を見つけることができる可能性がある。

しかし、一般的なネットワークにおいて通信されるデータ（通信データ）は、非常に多い。例えば、単一の組織（例えば、数名から数十名からなる部門）において、一日当たりの通信量は、数ＧＢ（Ｇｉｇａ－Ｂｙｔｅ）から数十ＧＢとなる。一月当たりの通信量は、数十ＧＢから、数百ＧＢとなる。そして、通信量は、これからも、さらに増加すると考えられている。なお、通信データは、平均的に数Ｋバイトの長さである。

そのため、数か月から１年のような長期間にわたるネットワークにおいて通信されている通信データをそのまま処理しようとすると、非常に大きなデータ量の処理が必要となる。

例えば、数か月間における通信データを処理しようとすると、数百ＧＢのデータを用いた処理（例えば、統計処理）が必要となる。このような処理は、ＩＤＳなどの装置では、実効的な時間内で実行することが難しかった。

そのため、ＩＤＳのような一般的な監視装置は、不審な通信の送信元を検知するような、数か月から数年のような長期間における通信データの解析を扱うことができなかった。

しかし、不正な侵害を防ぐためには、不正な侵害が発生する前、言い換えると不正な侵害を必要としないで侵害者などの探索に用いられる不審な通信を検知するための情報の提供が望まれている。このような検知には、数か月から数年の通信データを処理することが必要である。

本発明における実施形態は、以下で説明する構成及び動作を用いて、長期間におけるデータを用いた不審な通信を検知するための情報を提供できる。つまり、本発明における実施形態は、不正な侵害を必要とせずに、長期間におけるデータを用いた不審な通信を検知するための情報の提供を実現することができる。

＜第１の実施形態＞
以下、図面を参照して、本発明における第１の実施形態に係る情報処理装置１０について説明する。

なお、第１の実施形態に係る情報処理装置１０における処理の対象となるデータは、限定されない。情報処理装置１０は、ネットワークにおいて通信されたデータ（通信データ）を処理してもよい。あるいは、情報処理装置１０は、記憶装置（例えば、ＲＡＩＤ（Ｒｅｄｕｎｄａｎｔ Ａｒｒａｙｓ ｏｆ Ｉｎｅｘｐｅｎｓｉｖｅ（Ｉｎｄｅｐｅｎｄｅｎｔ） Ｄｉｓｋｓ））におけるアクセスデータを処理してもよい。以下の説明では、一例として、処理対象のデータとして「通信データ」を用いる。ただし、これは、処理対象のデータを通信データに限定するものではない。

本発明における第１の実施形態に係る情報処理装置１０は、通信データから少量（例えば、数バイトから数十バイト）のデータ（以下、「処理データ」と呼ぶ）を抽出する。

そして、情報処理装置１０は、抽出した処理データを用いて、長期間（例えば、数日から数年）の通信データにおける不審な通信を検知するための情報（例えば、不正と思われる通信の送信元）を抽出する。より詳細には、情報処理装置１０は、処理データにおける送信元に関連する頻度を集計する。そして、情報処理装置１０は、頻度を用いて処理データから所定の送信元を抽出する。あるいは、情報処理装置１０は、頻度を用いて通信データから所定の送信元を抽出してもよい。

なお、情報処理装置１０は、自装置が受信した通信データを処理してもよい。あるいは、情報処理装置１０は、他の装置又は組織が送信及び受信した通信データを処理してもよい。

例えば、情報処理装置１０は、通信データにおける不審な送信元を検知するための処理データとして、通信データにおける「送信元、宛先、及び通信時間」を抽出する。

一般的な通信データは、ヘッダーとペイロードとを含む。そして、一般的に、ヘッダーが、送信元及び宛先を含む。そのため、情報処理装置１０は、ヘッダーから送信元と宛先を抽出すればよい。

また、通信時間は、送信元が通信データを送信した時間でもよく、宛先が通信データを受信した時間でもよい。以下の説明では一例として、通信時間は、送信元が通信データを送信した時間とする。送信元が送信した時間は、一般的に、ヘッダーに含まれる。そのため、情報処理装置１０は、ヘッダーから通信時間を抽出すればよい。

ただし、これは、本実施形態に係る情報処理装置１０における処理データとして抽出するデータを制限するものではない。例えば、情報処理装置１０は、通信データのヘッダーに限らず、ペイロードに含まれる所定のデータを抽出してもよい。

さらに、情報処理装置１０は、通信データ以外のデータを用いる場合、処理データとして他の部分のデータを用いてもよい。例えば、情報処理装置１０は、所定の記憶装置に対するアクセスに用いられるデータを用いる場合、そのデータにおけるアクセス元、アクセス先、及びアクセス時間を用いてもよい。

［構成の説明］
まず、図面を参照して、第１の実施形態に係る情報処理装置１０の構成について、説明する。

図１は、本発明における第１の実施形態に係る情報処理装置１０の構成の一例を示すブロック図である。

情報処理装置１０は、データ抽出部１１０と、集計部１２０と、送信元抽出部１３０とを含む。なお、情報処理装置１０は、各構成部の結果を保存する記憶部１４０を含んでもよい。この場合、各構成部は、結果を記憶部１４０に保存し、必要な情報（データ）を記憶部１４０から取得する。ただし、各構成部は、必要な情報（データ）を他の構成部から取得してもよい。そこで、以下の説明は、記憶部１４０についての説明を省略する。そのため、図１は、破線を用いて記憶部１４０を示している。

データ抽出部１１０は、データ抽出方針に基づいて、処理データとして、通信データに含まれる所定のデータを抽出する。

データ抽出方針とは、データ抽出部１１０が、集計部１２０が送信元に関連する頻度を集計するために用いる処理データを、通信データから抽出するための方針である。データ抽出方針は、限定されない。例えば、集計部１２０が集計に送信元と宛先と通信時間とを用いる場合、データ抽出部１１０は、「送信元と、宛先と、通信時間とを抽出する」とのデータ抽出方針を用いればよい。なお、データ抽出方針は、抽出の期間など、期間に関する方針を含んでもよい。

なお、情報処理装置１０が処理する通信データは、限定されない。例えば、情報処理装置１０は、所定の装置、又は、所定の組織に対する通信データを処理してもよい。この場合、通信データにおいて、宛先は、同じである。そのため、データ抽出部１１０は、処理データとして、「送信元及び通信時間」を抽出してもよい。この場合、データ抽出方針は、「送信元及び通信時間」を含む。

データ抽出方針は、対象となる通信データ及び抽出したい送信元などを基に決定されればよい。例えば、上記のデータ抽出方針は、少なくとも通信データにおける送信元及び通信時間を含む。

データ抽出部１１０は、予め、データ抽出方針を保存してもよい。あるいは、データ抽出部１１０は、処理データを抽出する際に、ユーザなどから指示として、データ抽出方針を受信してもよい。

以下の説明では、一例として、データ抽出部１１０は、「通信データから、送信元と宛先と通信時間とを抽出する」とのデータ抽出方針を用いる。

データ抽出部１１０は、抽出した処理データを、集計部１２０に送信する。

集計部１２０は、集計方針に基づいて、処理データに関連する頻度を集計する。

集計方針とは、処理データに含まれる送信元に関する頻度を集計するための方針である。集計方針は、限定されない。例えば、集計部１２０は、集計対象として「送信元」の出現頻度を集計してもよい。あるいは、集計部１２０は、集計対象として「送信元と宛先との組合せ」の出現頻度を集計してもよい。

あるいは、集計方針は、集計に関連する期間（例えば、集計を開始する時間と終了する時間）を含んでもよい。さらに、集計方針は、複数の期間を含んでもよい。例えば、集計部１２０は、１日を増加単位とする複数の期間（１日、２日、３日、・・・、１か月、・・・、１年）における頻度を集計してもよい。

以下の説明では、一例として、集計部１２０は、「送信元と宛先との組合せに関連する頻度を集計する」との集計方針を用いる。

さらに、集計部１２０は、頻度に、その他のデータを含めてもよい。例えば、集計部１２０は、「送信元と宛先との組合せ」の出現頻度に、「送信元と宛先との組合せ」の通信における「初回時間」と「最終時間」とを含めてもよい。

また、集計部１２０の集計のタイミングは、限定されない。例えば、集計部１２０は、データ抽出部１１０が抽出した処理データを受信して、受信ごとに頻度を集計してもよい。あるいは、集計部１２０は、所定の記憶部（例えば、記憶部１４０）に保存された処理データを用いて頻度を集計してもよい。

なお、集計部１２０は、予め、集計方針を保存してもよい。あるいは、集計部１２０は、頻度を集計する際には、ユーザなどから指示として、集計方針を受信してもよい。

集計部１２０は、集計した頻度を、送信元抽出部１３０に送信する。

送信元抽出部１３０は、送信元抽出方針と受信した頻度とに基づいて、送信元を抽出する。

送信元抽出方針とは、頻度を用いて送信元を抽出するための方針である。送信元抽出方針は、限定されない。例えば、送信元抽出方針は、抽出対象となる送信元に関する頻度の閾値又は頻度範囲を含む方針である。例えば、送信元抽出部１３０は、所定の閾値より頻度が多い送信元を抽出してもよい。さらに、頻度及び／又は送信元抽出方針が他のデータを含む場合、送信元抽出部１３０は、他のデータを用いて送信元を抽出してもよい。例えば、送信元抽出方針が期間と閾値とを含む場合、送信元抽出部１３０は、その期間における頻度が所定の閾値を越えた送信元を抽出してもよい。閾値は、複数でもよい。例えば、送信元抽出方針は、２つの閾値に挟まれた範囲を含んでもよい。この場合、送信元抽出部１３０は、所定の範囲（２つの閾値の範囲）に含まれる頻度を用いてもよい。

ここで、情報処理装置１０が方針として不審な通信を検知するための方針を用いる場合、情報処理装置１０が抽出した送信元は、不審な通信を検知するための情報である。例えば、情報処理装置１０の利用者は、不審な通信の候補として、抽出された送信元に関する通信データを分析対象とする。

情報処理装置１０は、データ抽出部１１０が抽出した処理データ（通信データに対してデータ量が少ないデータ）を用いる。そのため、情報処理装置１０は、長期間（例えば、数日から数年）における処理データを用いて送信元を抽出できる。言い換えると、情報処理装置１０は、所定の方針に基づいて、長期間の通信における送信元を検知できる。このような長期間の通信データを用いた検知は、不正な侵入前における不審な通信を検知できる。情報処理装置１０は、方針（データ抽出方針、集計方針、送信元抽出方針）に基づいて、長期間の通信データにおける不審な通信を検知するための情報（例えば、送信元）を抽出する。

情報処理装置１０の利用者は、情報処理装置１０から、長期間における通信データにおいける所定の方針（データ抽出方針、集計方針、送信元抽出方針）に基づいて抽出された送信元を取得できる。

ただし、送信元は、不審な通信を検知するための情報の一例である。例えば、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスは、ある程度、地域に沿って割り振られている。そこで、情報処理装置１０が方針として不審な通信の送信地域（例えば、ＩＰアドレスの範囲）を用いる場合、情報処理装置１０は、不審な通信を検知するための情報として、送信地域（例えば、ＩＰアドレスの範囲）を抽出する。

なお、送信元抽出部１３０は、送信元の抽出において、頻度及び送信元抽出方針に加え、処理データを用いてもよい。

そして、送信元抽出部１３０は、抽出した送信元を所定の装置又は構成に送信する。あるいは、送信元抽出部１３０が図示しない表示部を含む場合、送信元抽出部１３０は、抽出した送信元を表示してもよい。

なお、送信元抽出部１３０は、通信データから、抽出した送信元に関連する通信データを抽出してもよい。例えば、送信元抽出部１３０は、通信データから、送信元又は宛先として、抽出した送信元を含む通信データを抽出してもよい。そして、送信元抽出部１３０は、抽出した送信元に合わせて、抽出した通信データを出力してもよい。この場合、情報処理装置１０の利用者は、所定の方針（データ抽出方針、集計方針、送信元抽出方針）に基づいて抽出された送信元に関連する通信データを取得できる。

図１は、破線を用いて、この動作を示している。

［動作の説明］
次に、第１の実施形態に係る情報処理装置１０の動作について、図面を参照して説明する。

図２は、第１の実施形態に係る情報処理装置１０の動作の一例を示すフローチャートである。

まず、データ抽出部１１０は、データ抽出方針を基に、通信データから処理データを抽出する（ステップＳ２１０）。今の場合、情報処理装置１０は、不審な通信を検知するための情報として、送信元を抽出する。そのため、データ抽出方針は、少なくとも送信元と通信時間とを含む。データ抽出方針は、他のデータ（例えば、宛先）を含んでもよい。

図３は、第１の実施形態に係る情報処理装置１０の動作の説明に用いる通信データを示す図である。

図３は、通信データの一例として、一般的なＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）に用いられるデータの一部を示している。なお、図３などの以下の説明におけるデータは、図示の関係で、数日の通信データを示しているが、これは、本実施形態を限定するものではない。第１の実施形態に係る情報処理装置１０は、図３に示されている通信データより多くの通信データを処理できる。例えば、図１３は、本実施形態に係る情報処理装置１０が集計した頻度を基に分布を表示したものである。

図４は、第１の実施形態に係るデータ抽出部１１０における抽出動作を説明するための図である。図４に示される例では、データ抽出部１１０は、「送信元と宛先と通信時間とを抽出する」とのデータ抽出方針に基づいて、図３に示されている通信データから、送信元と宛先と通信時間とを含む処理データを抽出している。なお、図４において、図示の関係から、通信データの内容の表示を省略した。

図２を参照した説明に戻る。

集計部１２０は、集計方針を基に処理データに関連する頻度を集計する（ステップＳ２２０）。詳細には、集計部１２０は、処理データにおける送信元に関する頻度を集計する。集計部１２０は、送信元と他のデータ（例えば、宛先、プロトコル、及び／又はポート）との組合せに関する頻度を集計してもよい。

図５は、第１の実施形態に係る集計部１２０における動作を説明するための図である。図５に示されている例では、集計部１２０は、「送信元及び宛先の組合せごとに、頻度と、初回時間と、終了期間とを集計する」との集計方針に基づいた頻度（図５の頻度データ）を集計している。

図２を参照した説明に戻る。

送信元抽出部１３０は、送信元抽出方針と頻度とを基に、送信元を抽出する（ステップＳ２３０）。言い換えると、送信元抽出部１３０は、集計された頻度（例えば、図５の頻度データ）において送信元抽出方針を満たす送信元を抽出する。

図６は、第１の実施形態に係る送信元抽出部１３０における動作を説明するための図である。図６に示されている例では、送信元抽出部１３０は、「７日以上複数の宛先に通信した送信元を抽出する」との送信元抽出方針に基づいて、頻度データから送信元「Ａ」を抽出している。

さらに、送信元抽出部１３０は、抽出した送信元を用いた動作を実行してもよい。例えば、送信元抽出部１３０は、送信元又は宛先が抽出した送信元（ここでは送信元「Ａ」）となっている通信データを抽出してもよい。

［効果の説明］
このように、第１の実施形態に係る情報処理装置１０は、不正な侵入を必要とせずに、不審な通信を検知するための情報（例えば、通信の送信元）を得るとの効果を奏することができる。

その理由は、次のとおりである。

情報処理装置１０は、データ抽出部１１０と、集計部１２０と、送信元抽出部１３０とを含む。データ抽出部１１０は、送信元に関連する頻度の集計に用いる処理データを通信データから抽出するための方針であるデータ抽出方針に基づいて、通信データから処理データを抽出する。集計部１２０は、処理データにおける送信元に関する頻度を集計するための方針である集計方針に基づいて、処理データにおける送信元に関連する頻度を集計する。送信元抽出部１３０は、送信元を抽出するための方針である送信元抽出方針と頻度とに基づいて、送信元を抽出する。

一般的に、１つの通信データの単位（例えば、パケット）は、ヘッダーとペイロードとを合わせると平均的に数千バイトとなる。さらに、一般的な単一の組織における一月当たりの通信量は、数十ＧＢから、数百ＧＢとなる。通信データをそのまま用いる場合、その処理は、多くのデータを処理する必要がある。

しかし、データ抽出部１１０は、処理データとして、多くのデータを含む通信データから、データ抽出方針に基づいて一部のデータ（例えば、通信時間と送信元と宛先）を抽出する。各処理データは、数バイトから十数バイトのデータである。

そのため、集計部１２０は、集計方針を基に、長期間（例えば、数日から数か月）に渡る処理データにおける送信元に関連する頻度を集計できる。

さらに、その結果として、送信元抽出部１３０は、送信元抽出方針に基づいて、長期間における送信元の所定の通信状態(例えば、所定の期間における所定の閾値以上の通信頻度)を基に、送信元を抽出できる。

情報処理装置１０は、上記の動作を基に、不審な通信を検知するための方針を用いて、長期間での通信データから送信元を抽出する。ただし、データ抽出部１１０が扱う通信データは、実際の不正な侵入などを含む必要がない。つまり、第１の実施形態に係る情報処理装置１０は、不正な侵入を必要とせずに、不審な通信を検知するための情報（例えば、通信の送信元）を得るとの効果を奏することができる。

＜第２の実施形態＞
情報処理装置１０が抽出した送信元を用いて通信データを選択すると、選択後の通信データは、所定の方針に基づいて抽出された送信元に関連する通信データである。

さらに、選択後の通信データの数は、全体の通信データの数より削減される。

情報処理装置１０が送信元を用いた選択後の通信データを用いる場合、データ抽出部１１０がより多くのデータを処理データに含めても、集計部１２０の処理対象となる処理データの量は、全ての通信データを用いた場合に比べ削減できる。さらに、この場合、集計部１２０は、特定の送信元に関連する通信データにおいて、より多くのデータに関連した頻度を集計できる。また、送信元抽出部１３０は、より多くのデータを用いて抽出された頻度を用いて送信元を抽出できる。つまり、集計部１２０及び送信元抽出部１３０は、送信元に関してより多くのデータを用いることができる。

そこで、第２の実施形態として、第１の実施形態において抽出された送信元を用いた処理を含む情報処理装置１１について説明する。

第２の実施形態に係る情報処理装置１１は、まず、第１の実施形態に係る情報処理装置１０と同様の動作を実行する。以下、第１の実施形態と同様の動作を、「１回目の動作」とも呼ぶ。さらに、１回目の動作に用いる方針（データ抽出方針、集計方針、送信元抽出方針）をそれぞれ第１の方針（第１のデータ抽出方針、第１の集計方針、第１の送信元抽出方針）と呼ぶ。

そして、第２の実施形態に係る情報処理装置１１は、１回目の方針に基づいて抽出した送信元を用いて、方針（データ抽出方針、集計方針、送信元抽出方針）の少なくとも一部を変更した動作を実行する。以下、抽出した送信元を用いた動作を「２回目の動作」とも呼ぶ。さらに、２回目の動作に用いる方針（データ抽出方針、集計方針、送信元抽出方針）をそれぞれ第２の方針（第２のデータ抽出方針、第２の集計方針、第２の送信元抽出方針）と呼ぶ。なお、第２の方針の少なくとも一部は、第１の方針と同じでもよく、第１の方針に含まれていなくてもよい。

［構成の説明］
まず、第２の実施形態に係る情報処理装置１１の構成について、図面を参照して説明する。

図７は、第２の実施形態に係る情報処理装置１１の構成の一例を示すブロック図である。

情報処理装置１１は、データ抽出部１１１と、集計部１２１と、送信元抽出部１３１とを含む。情報処理装置１１は、記憶部１４０を含んでもよく、含まなくてもよい。

まず、情報処理装置１１の構成は、情報処理装置１０の構成と同様に動作する。

すなわち、データ抽出部１１１は、第１の実施形態に係るデータ抽出部１１０と同様に、第１のデータ抽出方針に基づいて、通信データから処理データ（以下、「第１の処理データ」と呼ぶ）を抽出する。

そして、集計部１２１は、第１の実施形態に係る集計部１２１と同様に、第１の集計方針に基づいて、第１の処理データにおける送信元に関連する頻度（以下、「第１の頻度」と呼ぶ）を集計する。

そして、送信元抽出部１３１は、第１の実施形態に係る送信元抽出部１３０と同様に、第１の頻度と第１の送信元抽出方針とを基に、送信元を抽出する。

ここまでの動作（１回目の動作）は、第１の実施形態と同様である。

送信元抽出部１３１は、抽出した送信元をデータ抽出部１１１に送信する。

データ抽出部１１１は、受信した送信元に関連する通信データを処理対象として、第２のデータ抽出方針を基に処理データ（以下、「第２の処理データ」と呼ぶ）を抽出する。詳細には、データ抽出部１１１は、受信した送信元を用いて通信データを選択し、選択した通信データにおいて第２のデータ抽出方針に基づく第２の処理データを抽出する。

第２のデータ抽出方針は、限定されない。ただし、第２のデータ抽出方針は、通信データに含まれるデータの中で第１の処理データに含まれないデータを少なくとも一つ含む方針である。つまり、第２の処理データは、第１の処理データに含まれないデータを少なくとも一つ含むデータである。

第１の処理データに含まれないデータの一例は、「第１の処理データに含まれなかった各通信データに含まれるデータ」である。

例えば、通信データが「送信元、通信時間、宛先、及びプロトコル」を含み、第１の処理データが「送信元及び通信時間」を含む場合、「第１の処理データに含まれなかった通信データに含まれるデータ」は、「宛先」及び／又は「プロトコル」である。例えば、データ抽出部１１１は、第２のデータ抽出方針として、「通信時間と、送信元と、宛先と、プロトコルと、宛先ポート」を用いてもよい。

ただし、第２のデータ抽出方針は、第１のデータ抽出方針に対して、「第１の処理データに含まれなかった各通信データに含まれるデータ」を追加する方針に限られない。

例えば、第１の処理データに含まれないデータは、「第１の処理データの抽出に用いられなかった通信データ」でもよい。

例えば、第２のデータ抽出方針は、第１のデータ抽出方針に対して、抽出期間などを変更した方針でもよい。例えば、第１の処理データが所定の期間から抽出された場合、「第１の処理データの抽出に用いられなかった通信データ」は、別の期間の通信データでもよい。詳細には、例えば、データ抽出部１１１は、通信データを抽出する期間を変更し、変更した抽出期間に含まれる通信データにおいて送信元を用いて対象となる通信データを選択する。なお、抽出期間の変更は、期間の移動、期間の縮小、又は、期間の拡大などである。

さらに、データ抽出部１１１は、受信した送信元に関連する通信データ、つまり抽出の対象となる通信データを、限定されない。例えば、データ抽出部１１１は、送信元として、受信した送信元を含む通信データを抽出対象としてもよい。あるいは、データ抽出部１１１は、送信元又は宛先として、受信した送信元を含む通信データを抽出対象としてもよい。

集計部１２１は、第２の集計方針に基づいて、第２の処理データに関連する送信元に関連する頻度(以下、「第２の頻度」と呼ぶ)を集計する。

第２の集計方針は、第２の処理データにおける送信元に関連する第２の頻度を集計するための方針である。第２の集計方針は、限定されない。第２の集計方針は、次に抽出する送信元などに沿って決定されればよい。第２の集計方針は、第１の集計方針と同じでもよい。

なお、集計部１２１は、２回目の動作において、第２の頻度を集計しなくてもよい。つまり、情報処理装置１１は、第２の集計方針を用いなくてもよい。

送信元抽出部１３１は、第２の送信元抽出方針に基づいて、第２の頻度を用いて送信元を抽出する。

第２の送信元抽出方針は、限定されない。例えは、第２の送信元抽出方針は、送信元に加え、宛先等に関する方針を含んでもよい。

集計部１２１が第２の頻度を集計しない場合、送信元抽出部１３１は、第２の頻度を用いずに、第２の処理データと第２の送信元抽出方針とを用いて送信元を抽出すればよい。この場合、第２の送信元抽出方針は、第２の処理データから送信元を抽出するための方針である。

なお、集計部１２１が頻度を集計する場合でも、送信元抽出部１３１は、送信元の抽出において、第２の頻度と第２の送信元抽出方針とに加え、第２の処理データを用いてもよい。

さらに、情報処理装置１１は、上記の「２回目の動作」を繰り返してもよい。例えば、情報処理装置１１は、方針（データ抽出方針、集計方針、送信元抽出方針）を３つ用意し、２回目と同様に３回目の動作を実行してもよい。あるいは、情報処理装置１１は、３つを超える方針を用いて、送信元の抽出を繰り返してもよい。

なお、３回目以降の動作において、データ抽出部１１１が通信データの選択に用いる送信元の範囲は、限定されない。

例えば、データ抽出部１１１は、抽出対象とする通信データの選択に、直前に抽出された送信元を用いてもよい。この場合、送信元を用いて選択される通信データの数は、直前に抽出された送信元に従って変化する。つまり、３回目以降の抽出対象となる通信データの数は、前回より多くなる場合もあり、少なくなる場合もある。

あるいは、３回目以降の動作において、データ抽出部１１１は、抽出対象とする通信データの選択に、それまでに抽出した全ての送信元を用いてもよい。この場合、送信元を用いて選択された通信データの数は、単調減少となる。

そこで、例えば、情報処理装置１１は、データ抽出方針に、処理対象となる通信データの選択に用いる送信元に関する情報を含んでもよい。

［動作の説明］
次に、図面を参照して、第２の実施形態に係る情報処理装置１１の動作について説明する。

図８は、第２の実施形態に係る情報処理装置１１の動作の一例を示すフローチャートである。図８において、図２と同様の動作には、同じ符号を付してある。同様の動作の詳細な説明については、適宜省略する。

（１回目の動作）
まず、データ抽出部１１１は、通信データ全体を、抽出対象とする（ステップＳ２４０）。

そして、データ抽出部１１１は、第１のデータ抽出方針に基づいて、第１の処理データを抽出する（ステップＳ２１０）。

集計部１２１は、第１の集計方針に基づいて、第１の処理データに関連する第１の頻度を集計する（ステップＳ２２０）。例えば、集計部１２１は、第１の処理データの出現頻度を集計する。

送信元抽出部１３１は、第１の頻度と第１の送信元抽出方針とに基づいて、送信元を抽出する（ステップＳ２３０）。

情報処理装置１０は、終了か否かを判定する（ステップＳ２９０）。

終了の場合（ステップＳ２９０でＹｅｓ）、情報処理装置１１は、処理を終了する。

終了でない場合（ステップＳ２９０でＮｏ）、送信元抽出部１３１は、抽出した送信元をデータ抽出部１１１に送信し、ステップＳ２５０に進む。

（２回目の動作）
データ抽出部１１１は、送信元（例えば、送信元「Ａ」）を用いて通信データから抽出対象の通信データを選択する（ステップＳ２５０）。なお、送信元抽出部１３１が、抽出した送信元を用いて通信データを選択している場合、データ抽出部１１１は、そのデータを用いてもよい。

そして、データ抽出部１１１は、第２のデータ抽出方針に基づいて、選択した通信データから第２の処理データを抽出する（ステップＳ２１０）。

集計部１２１は、第２の集計方針を基に、第２の処理データに関連する第２の頻度を集計する（ステップＳ２２０）。例えば、集計部１２１は、第２の処理データの出現頻度を集計する。

送信元抽出部１３１は、第２の頻度と第２の送信元抽出方針とを基に、送信元を抽出する（ステップＳ２３０）。

なお、情報処理装置１１は、２回目のステップＳ２２０の動作を省略してもよい。図８は、破線を用いてこの場合を示している。この場合、送信元抽出部１３１は、第２の処理データと第２の送信元抽出方針とを基に、送信元を抽出する。

具体的なデータを用いて情報処理装置１１の動作を説明する。

まず、情報処理装置１１は、１回目の処理として、「送信元Ａ」を抽出しているとする。さらに、データ抽出部１１１は、抽出された送信元（Ａ）を、送信元又は宛先として含む通信データを選択するとする。さらに、データ抽出部１１１は、第２のデータ抽出方針として「通信時間と、送信元と、宛先と、プロトコルと、宛先ポートとを抽出する」を用いるとする。

この場合、データ抽出部１１１は、抽出された送信元（Ａ）を、送信元又は宛先として含む通信データを選択する。そして、データ抽出部１１１は、第２のデータ抽出方針を基に、第２の処理データを抽出する。

具体的には、データ抽出部１１１は、図３に示されている通信データから、送信元Ａと第２のデータ抽出方針とを用いて第２の処理データを抽出する。

図９は、第２の実施形態に係る情報処理装置１１における第２の処理データ（２回目の処理データ）の一例を示す図である。

図９に示されている第２の処理データは、図４などに示されている処理データ（第１の処理データ）に加え、プロトコルと宛先ポートとを含む。プロトコル及び宛先ポートは、数バイトのデータである。ただし、第２の処理データは、送信元又は宛先に「送信元のアドレスＡ」を含むデータであり、第１の処理データに含まれる「Ｇ→Ｂ」などに関連するデータを含まない。

図９を参照すると、宛先Ｃが応答すると、送信元Ａは、宛先Ｃに対して連続的に通信を実行している。そこで、情報処理装置１１は、第２の送信元抽出方針として「送信元に応答した宛先に対して所定の送信を実行した送信元を抽出する」を採用すると、このように動作する送信元を抽出できる。より詳細には、第２の送信元抽出方針は、例えば、「応答した宛先に対して複数の送信を実行する送信元を抽出する」となる。なお、上記の第２の送信元抽出方針は、一例である。例えば、「複数の送信」は、送信元に関する送信の一例である。第２の送信元抽出方針は、送信元に関する送信として、「複数の送信」のような回数に限らず、例えば、「所定のプロトコルの送信」又は「所定のポートへの送信」のような通信の種類を含んでもよい。

なお、この場合の送信元の抽出は、集計部１２０における頻度の集計を必要としない。そのため、この場合、情報処理装置１１は、第２の集計方針を用いなくてもよい。ただし、情報処理装置１１の動作は、これに限定されない。

［効果の説明］
このように、第２の実施形態に係る情報処理装置１１は、第１の実施形態の効果に加え、さらに送信元を限定するとの効果を得ることができる。

その理由は、次のとおりである。

情報処理装置１１は、データ抽出部１１１と、集計部１２１と、送信元抽出部１３１とを含む。情報処理装置１１の構成は、情報処理装置１０の構成と同様に動作する。さらに、送信元抽出部１３１は、抽出した送信元をデータ抽出部１１１に送信する。データ抽出部１１１は、受信した送信元を用いて対象となる通信データを選択し、選択した通信データから第２の処理データを抽出する。そして、集計部１２１及び送信元抽出部１３１が、送信元を用いて限定された第２の処理データを用いて頻度の集計及び送信元の抽出を実行する。そのため、情報処理装置１１は、さらに送信元を限定できる。

＜実施形態の概要＞
次に、図面を参照して、情報処理装置１０及び情報処理装置１１の概要を説明する。

図１０は、実施形態の概要の構成である情報処理装置１２の構成の一例を示すブロック図である。

情報処理装置１２は、データ抽出部１１０と、集計部１２０と、送信元抽出部１３０とを含む。データ抽出部１１０は、送信元に関連する第１の頻度の集計に用いる第１の処理データを通信データから抽出するための方針である第１のデータ抽出方針に基づいて、通信データから第１の処理データを抽出する。集計部１２０は、第１の処理データにおける送信元に関する第１の頻度を集計するための方針である第１の集計方針に基づいて、第１の処理データにおける送信元に関連する第１の頻度を集計する。送信元抽出部１３０は、送信元を抽出するための方針である第１の送信元抽出方針と第１の頻度とに基づいて、送信元を抽出する。

このように構成された情報処理装置１２は、情報処理装置１０と同様の効果を奏する。

その理由は、情報処理装置１２に含まれる構成が、情報処理装置１０に含まれる構成と同様の動作するためである。

なお、情報処理装置１２は、本発明における実施形態の最小構成である。

＜ハードウェア構成＞
情報処理装置１０、１１、及び１２にハードウェア構成について、情報処理装置１０を用いて説明する。

情報処理装置１０は、次のように構成される。

例えば、情報処理装置１０の各構成部は、ハードウェア回路で構成されてもよい。

あるいは、情報処理装置１０において、各構成部は、ネットワークを介して接続した複数の装置を用いて、構成されてもよい。

あるいは、情報処理装置１０において、複数の構成部は、１つのハードウェアで構成されてもよい。

あるいは、情報処理装置１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）とを含むコンピュータ装置として実現されてもよい。情報処理装置１０は、上記構成に加え、さらに、入出力接続回路（ＩＯＣ：Ｉｎｐｕｔ ａｎｄ Ｏｕｔｐｕｔ Ｃｉｒｃｕｉｔ）を含むコンピュータ装置として実現されてもよい。情報処理装置１０は、上記構成に加え、さらに、ネットワークインターフェース回路（ＮＩＣ：Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃｉｒｃｕｉｔ）を含むコンピュータ装置として実現されてもよい。

図１１は、情報処理装置１０のハードウェア構成の一例である情報処理装置６０の構成の一例を示すブロック図である。

情報処理装置６０は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータ装置を構成している。

ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０を含むコンピュータは、これらの構成を制御し、図１に示されている、データ抽出部１１０と、集計部１２０と、送信元抽出部１３０としての各機能を実現する。

ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０又は内部記憶装置６４０を、プログラムの一時記憶媒体として使用してもよい。

また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いてＲＡＭ６３０又は内部記憶装置６４０に読み込んでもよい。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取り、ＲＡＭ６３０又は内部記憶装置６４０に保存してもよい。そして、ＣＰＵ６１０は、読み込んだ又は保存したプログラムを基に動作してもよい。

ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ－ＲＯＭ（Ｐｒoｇｒａｍｍａｂｌｅ－ＲＯＭ）又はフラッシュＲＯＭである。

ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラム及びデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ－ＲＡＭ（Ｄｙｎａｍｉｃ－ＲＡＭ）である。

内部記憶装置６４０は、情報処理装置６０が長期的に保存するデータ及びプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作してもよい。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）又はディスクアレイ装置である。内部記憶装置６４０は、記憶部１４０として動作してもよい。

ここで、ＲＯＭ６２０と内部記憶装置６４０は、不揮発性（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ）の記憶媒体である。一方、ＲＡＭ６３０は、揮発性（ｔｒａｎｓｉｔｏｒｙ）の記憶媒体である。そして、ＣＰＵ６１０は、ＲＯＭ６２０、内部記憶装置６４０、又は、ＲＡＭ６３０に記憶されているプログラムを基に動作可能である。つまり、ＣＰＵ６１０は、不揮発性記憶媒体又は揮発性記憶媒体を用いて動作可能である。

ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカード又はＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）カードである。さらに、ＩＯＣ６５０は、ＵＳＢのような有線に限らず、無線を用いてもよい。

入力機器６６０は、情報処理装置６０の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。情報処理装置６０は、入力機器６６０から、一部又は全ての方針を受信してもよい。

表示機器６７０は、情報処理装置６０の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。情報処理装置６０は、抽出した送信元を表示機器６７０に表示してもよい。

ＮＩＣ６８０は、ネットワークを介した図示しない外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）カードである。さらに、ＮＩＣ６８０は、有線に限らず、無線を用いてもよい。情報処理装置６０は、ＮＩＣ６８０を介して、一部又は全ての方針を受信してもよい。あるいは、情報処理装置６０は、ＮＩＣ６８０を介して、抽出した送信元を出力してもよい。

このように構成された情報処理装置６０は、情報処理装置１０と同様の効果を得ることができる。

その理由は、情報処理装置６０のＣＰＵ６１０が、プログラムに基づいて情報処理装置１０と同様の機能を実現できるためである。

＜情報処理システム＞
次に、図面を参照して、情報処理装置１０を含む情報処理システム５０について説明する。

図１２は、情報処理装置１０を含む情報処理システム５０の構成の一例を示すブロック図である。

情報処理システム５０は、情報処理装置１０と、指示装置２０と、表示装置３０と、ファイアウォール４０とを含む。情報処理システム５０は、さらに、外部記憶装置７０を含んでもよい。

なお、情報処理システム５０は、情報処理装置１０に替えて、情報処理装置１１又は１２を含んでもよい。

外部記憶装置７０は、通信データを保存している。例えば、ファイアウォール４０が、受信した通信データを外部記憶装置７０に保存してもよい。あるいは、情報処理装置１０又は指示装置２０が、図示しない装置から通信データを受信して保存してもよい。

指示装置２０は、情報処理装置１０に方針（データ抽出方針、集計方針、及び送信元抽出方針）の少なくとも一部を指示（送信）する。例えば、情報処理システム５０のユーザは、指示装置２０を操作して、情報処理装置１０に全ての方針を設定してもよい。ただし、情報処理装置１０は、一部の方針を保持し、残りの方針を受信してもよい。あるいは、ユーザは、指示装置２０を用いて、方針を変更してもよい。

情報処理装置１０は、指示装置２０から受信した方針及び／又は保持している方針に基づいて、通信データから送信元を抽出する。外部記憶装置７０が通信データを保存している場合、情報処理装置１０は、外部記憶装置７０に保存されている通信データを用いてもよい。あるいは、情報処理装置１０は、指示装置２０から指示された通信データを処理してもよい。

そして、情報処理装置１０は、抽出した送信元を表示装置３０及びファイアウォール４０に送信する。情報処理装置１０は、送信元に加え、送信元の通信に関連する情報（例えば、通信データ、処理データ、及び／又は、頻度）を表示装置３０及び／又はファイアウォール４０に送信してもよい。

表示装置３０は、受信した送信元を表示する。通信データ及び／又は頻度などを受信する場合、表示装置３０は、送信元に合わせて、通信データ及び／又は頻度などを表示してもよい。

情報処理システム５０の利用者は、表示装置３０に表示された送信元などを基に、指示装置２０を操作して、情報処理装置１０に対して方針などを変更した処理を依頼してもよい。例えば、利用者は、指示装置２０を操作して、不正な通信を実行している恐れのある送信元を探してもよい。

ファイアウォール４０は、外部ネットワーク９０と情報処理システム５０内の図示しない装置との通信を中継し、情報処理システム５０の安全性を確保するために、所定の通信を阻止する。詳細には、ファイアウォール４０は、少なくとも、情報処理装置１０から受信した送信元に関する通信を阻止する。例えば、ファイアウォール４０は、受信した送信元からの全ての通信を阻止する。あるいは、ファイアウォール４０は、受信した送信元と、送信元に関連するプロトコルとを受信し、送信元からの受信したプロトコルに関連する通信データを阻止してもよい。このような動作を基に、ファイアウォール４０は、情報処理装置１０が抽出した送信元に関する通信を阻止し、情報処理システム５０の安全性を確保できる。

なお、情報処理装置１０は、情報処理システム５０の内部の装置でもよく、外部の装置でもよい。

情報処理システム５０の構成は、図１２の構成に限定されない。情報処理装置１０は、指示装置２０、表示装置３０、ファイアウォール４０、及び／又は、外部記憶装置７０を含んでもよい。

また、各装置の接続は、限定されない。各装置は、図１２に示されているように直接的に接続されてもよく、図示しないネットワーク（例えば、イントラネットワーク）などを介して接続されてもよい。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成及び詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１７年１２月１３日に出願された日本出願特願２０１７－２３８５１６を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１０ 情報処理装置
１１ 情報処理装置
１２ 情報処理装置
２０ 指示装置
３０ 表示装置
４０ ファイアウォール
５０ 情報処理システム
６０ 情報処理装置
７０ 外部記憶装置
９０ 外部ネットワーク
１１０ データ抽出部
１１１ データ抽出部
１２０ 集計部
１２１ 集計部
１３０ 送信元抽出部
１３１ 送信元抽出部
１４０ 記憶部
６１０ ＣＰＵ
６２０ ＲＯＭ
６３０ ＲＡＭ
６４０ 内部記憶装置
６５０ ＩＯＣ
６６０ 入力機器
６７０ 表示機器
６８０ ＮＩＣ
７００ 記憶媒体

Claims (8)

1. 送信元に関する第１の頻度の集計に用いる第１の処理データを通信データから抽出するための方針である第１のデータ抽出方針に基づいて、前記通信データから前記第１の処理データを抽出するデータ抽出手段と、
   前記第１の処理データにおける前記送信元に関する前記第１の頻度を集計するための方針である第１の集計方針に基づいて、前記第１の処理データにおける前記送信元に関する前記第１の頻度を集計する集計手段と、
   前記送信元を抽出するための方針である第１の送信元抽出方針と前記第１の頻度とに基づいて、前記送信元を抽出する送信元抽出手段と
   を含み、
   前記通信データが、通常の通信と区別がつかず不正と判断されないデータであり、
   前記第１のデータ抽出方針が、前記通信データにおけるヘッダーのデータであり、前記ヘッダーに含まれる前記送信元と通信時間とを含む数バイトから数十バイトのデータである前記第１の処理データを抽出する方針であり、
   前記第１の集計方針が、少なくとも前記第１の処理データにおける前記送信元に関する前記第１の頻度と、初回時間と、最終時間とを含む方針であり、
   前記第１の送信元抽出方針が、二日以上の期間と、前記第１の頻度の閾値とを含む方針である
   情報処理装置。
2. 前記データ抽出手段が、
   前記通信データにおける前記ヘッダーのデータであり、プロトコル及びポートの少なくとも一方と前記送信元と前記通信時間とを含む数バイトから数十バイトのデータであり、前記送信元に関する第２の頻度を集計するための第２の処理データを抽出するための方針である第２のデータ方針に基づいて、前記送信元抽出手段が抽出した前記送信元を含む前記通信データにおける前記ヘッダーから前記第２の処理データを抽出し、
   前記集計手段が、
   前記第２の処理データにおける前記送信元に関する前記第２の頻度を集計するための方針である第２の集計方針に基づいて、前記第２の処理データにおける前記送信元に関する前記第２の頻度を集計し、
   前記送信元抽出手段が、
   前記送信元を抽出するための方針である第２の送信元抽出方針と前記第２の頻度とに基づいて前記送信元を抽出する
   請求項１に記載の情報処理装置。
3. 前記データ抽出手段が、
   前記通信データにおける前記ヘッダーのデータであり、プロトコル及びポートの少なくとも一方と前記送信元と前記通信時間とを含む数バイトから数十バイトのデータであり、前記送信元に関する第２の頻度を集計するための第２の処理データを抽出するための方針である第２のデータ方針に基づいて、前記送信元抽出手段が抽出した前記送信元を含む前記通信データにおける前記ヘッダーから前記第２の処理データを抽出し、
   前記送信元抽出手段が、
   前記第２の処理データから前記送信元を抽出するための方針である第２の送信元抽出方針と前記第２の処理データとに基づいて、前記送信元を抽出する
   請求項１に記載の情報処理装置。
4. 前記第１のデータ抽出方針が、さらに、前記通信データにおける宛先を含み、
   前記第１の集計方針が、前記第１の頻度として、前記送信元と前記宛先との組合せに関する頻度を含む
   請求項１ないし３のいずれか１項に記載の情報処理装置。
5. 前記第１のデータ抽出方針が、さらに、前記通信データにおける宛先を含み、
   前記第２の送信元抽出方針が、
   前記送信元に応答した前記宛先に対して複数の送信を実行する前記送信元を抽出する方針を含む
   請求項２又は３に記載の情報処理装置。
6. 請求項１ないし５のいずれか１項に記載の情報処理装置と、
   前記第１のデータ抽出方針、前記第１の集計方針、及び前記第１の送信元抽出方針の少なくとも一つを前記情報処理装置に指示する指示装置と、
   前記情報処理装置が抽出した前記送信元を受信して表示する表示装置と、
   前記情報処理装置から受信した前記送信元に関する通信を阻止するファイアウォールと
   を含む情報処理システム。
7. 送信元に関する第１の頻度の集計に用いる第１の処理データを通信データから抽出するための方針である第１のデータ抽出方針に基づいて、前記通信データから前記第１の処理データを抽出し、
   前記第１の処理データにおける前記送信元に関する前記第１の頻度を集計するための方針である第１の集計方針に基づいて、前記第１の処理データにおける前記送信元に関する前記第１の頻度を集計し、
   前記送信元を抽出するための方針である第１の送信元抽出方針と前記第１の頻度とに基づいて、前記送信元を抽出し、
   前記通信データが、通常の通信と区別がつかず不正と判断されないデータであり、
   前記第１のデータ抽出方針が、前記通信データにおけるヘッダーのデータであり、前記ヘッダーに含まれる前記送信元と通信時間とを含む数バイトから数十バイトのデータである前記第１の処理データを抽出する方針であり、
   前記第１の集計方針が、少なくとも前記第１の処理データにおける前記送信元に関する前記第１の頻度と、初回時間と、最終時間とを含む方針であり、
   前記第１の送信元抽出方針が、二日以上の期間と、前記第１の頻度の閾値とを含む方針である
   情報処理方法。
8. 送信元に関する第１の頻度の集計に用いる第１の処理データを通信データから抽出するための方針である第１のデータ抽出方針に基づいて、前記通信データから前記第１の処理データを抽出処理と、
   前記第１の処理データにおける前記送信元に関する前記第１の頻度を集計するための方針である第１の集計方針に基づいて、前記第１の処理データにおける前記送信元に関する前記第１の頻度を集計する処理と、
   前記送信元を抽出するための方針である第１の送信元抽出方針と前記第１の頻度とに基づいて、前記送信元を抽出する処理と
   をコンピュータに実行させ、
   前記通信データが、通常の通信と区別がつかず不正と判断されないデータであり、
   前記第１のデータ抽出方針が、前記通信データにおけるヘッダーのデータであり、前記ヘッダーに含まれる前記送信元と通信時間とを含む数バイトから数十バイトのデータである前記第１の処理データを抽出する方針であり、
   前記第１の集計方針が、少なくとも前記第１の処理データにおける前記送信元に関する前記第１の頻度と、初回時間と、最終時間とを含む方針であり、
   前記第１の送信元抽出方針が、二日以上の期間と、前記第１の頻度の閾値とを含む方針である
   プログラム。

Images