JP7221170B2 - 属性情報生成装置、属性識別装置、属性情報生成方法及び属性識別方法 - Google Patents

Description

本開示は、属性情報生成装置、属性識別装置、属性情報生成方法及び属性識別方法に関する。

悪意を持った攻撃者によって行われる通信（以下では「悪性通信」呼ぶことがある）を検出するための種々の技術が存在する。例えば、パケットのデータサイズやパケット数等の統計量、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）のヘッダ情報、または、アプリケーションプロトコルに固有の情報等を使用して悪性通信を検出する技術が提案されている。

ここで、暗号化された通信（以下では「暗号化通信」と呼ぶことがある）における悪性通信の検出は、パケット中の暗号化されない領域（以下では「非暗号化領域」と呼ぶことがある）を用いて行われるものと、パケット中の暗号化される領域（以下では「暗号化領域」と呼ぶことがある）を用いて行われるものとに大別される。

非暗号化領域を用いて行われる検出方法の一つに、ＳＳＬ／ＴＬＳ（Secure Socket Layer/Transport Layer Security）フィンガープリンティングを用いたものがある。ＳＳＬ／ＴＬＳフィンガープリンティングを用いた検出では、ＳＳＬ／ＴＬＳのハンドシェイク時に通信端末間で交換されるパラメータ情報から予め生成されたフィンガープリント情報と、通信端末間で通信中のパケットの非暗号化領域から生成される情報とが照合されることにより、パケットの送信側の通信端末（以下では「送信側端末」と呼ぶことがある）で用いられているＯＳ（Operating System）やアプリケーションが識別される。

一方で、暗号化領域を用いて行われる検出方法の一つに、暗号化領域におけるエントロピーを用いて暗号化の有無を判定するものがある。

特表２００４－５３３６７７号公報 特開２０１６－１３６７３５号公報 特開２０１２－１６９７５６号公報

非暗号化領域のパラメータの変更は容易であるため、ＳＳＬ／ＴＬＳフィンガープリンティングを用いた検出では、攻撃者は、非暗号化領域のパラメータを偽装することにより、悪性通信の検出を回避することが可能である。

一方で、暗号化領域におけるエントロピーを用いた検出では、偽装に対する耐性はあるものの、送信側端末で用いられているＯＳやアプリケーションを識別することは困難である。

そこで、本開示は、偽装への耐性を持ちつつパケットの送信元の属性を識別可能な技術を提案する。

本開示における属性情報生成装置は、算出部と、生成部とを有する。前記算出部は、ヘッダと暗号化されたペイロードとを含むパケットの中の前記ペイロードを用いてデータの乱数性に関する特徴量を算出する。前記生成部は、算出された前記特徴量と、前記パケットの送信元の属性との対応付けを示す情報を生成する。

また、本開示における属性識別装置は、算出部と、識別部とを有する。前記算出部は、ヘッダと暗号化されたペイロードとを含むパケットの中の前記ペイロードを用いてデータの乱数性に関する特徴量を算出する。前記識別部は、算出された前記特徴量に基づいて、前記パケットの送信元の属性を識別する。

開示の技術によれば、偽装への耐性を持ちつつパケットの送信元の属性を識別することができる。

図１は、本開示の通信システムの構成例を示す図である。 図２は、本開示の通信監視装置の構成例を示す図である。 図３は、本開示の通信監視装置の動作例の説明に供する図である。 図４は、本開示の通信監視装置の動作例の説明に供する図である。 図５は、本開示の通信監視装置の動作例の説明に供する図である。 図６は、本開示の通信監視装置の動作例の説明に供する図である。 図７は、本開示の属性情報生成装置における処理手順の一例を示すフローチャートである。 図８は、本開示の属性識別装置における処理手順の一例を示すフローチャートである。

以下、本開示の実施例を図面に基づいて説明する。以下の実施例において同一の構成には同一の符号を付す。

＜通信システムの構成＞
図１は、本開示の通信システムの構成例を示す図である。図１において、通信システム１は、通信端末２，３と、通信監視システム４とを有する。通信監視システム４は、通信端末２と通信端末３との間の通信経路上に設置され、パケット収集装置５と、通信監視装置６とを有する。例えば、通信端末２はパケットの送信側の通信端末であり、通信端末３は、通信端末２から送信されたパケットの受信側の通信端末である。つまり、通信端末２は、通信端末３が受信するパケットの送信元である。また、通信端末２と通信端末３とは暗号化通信を行う。

パケット収集装置５は、通信端末２と通信端末３との間の通信経路上に設置され、通信端末２から通信端末３へ送信されるパケットを収集し、収集したパケットを通信監視装置６へ送信する。

なお、通信監視システム４を通信端末２と通信端末３との間の通信経路上に設置することに代えて、トラフィックの複製（つまり「ミラーリング」）が可能な装置（以下では「ミラーリング装置」と呼ぶことがある）を通信端末２と通信端末３との間の通信経路上に設置し、ミラーリング装置によって複製されたパケットをパケット収集装置５が収集しても良い。これにより、通信端末２と通信端末３との間の通信経路上に通信監視システム４が存在しなくなるため、通信監視システム４が故障した場合でも、通信端末２と通信端末３との間の通信を正常に継続することができる。

＜通信監視装置の構成＞
図２は、本開示の通信監視装置の構成例を示す図である。図２において、通信監視装置６は、属性情報生成装置１０と、属性識別装置２０とを有する。属性情報生成装置１０は、ペイロード抽出部１１と、特徴量算出部１２と、属性情報生成部１３とを有する。特徴量算出部１２は、特徴量Ａ算出部１２－１と、特徴量Ｂ算出部１２－２と、特徴量Ｃ算出部１２－３とを有する。一方で、属性識別装置２０は、ペイロード抽出部２１と、特徴量算出部２２と、属性識別部２３と、記憶部２４とを有する。特徴量算出部２２は、特徴量Ａ算出部２２－１と、特徴量Ｂ算出部２２－２と、特徴量Ｃ算出部２２－３とを有する。

ペイロード抽出部１１，２１、特徴量算出部１２，２２、属性情報生成部１３及び属性識別部２３は、ハードウェアとして、例えばプロセッサにより実現される。プロセッサの一例として、ＣＰＵ（Central Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＦＰＧＡ（Field Programmable Gate Array）等が挙げられる。また、記憶部２４は、ハードウェアとして、例えば、メモリまたはディスクドライブにより実現される。メモリの一例として、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）等のＲＡＭ（Random Access Memory）、フラッシュメモリ等が挙げられる。ディスクドライブの一例として、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等が挙げられる。

属性情報生成装置１０において、ペイロード抽出部１１には、パケット収集装置５によって収集されたパケットが入力される。

ペイロード抽出部１１は、入力されたパケットの中から暗号化されたペイロード（以下では「暗号化ペイロード」と呼ぶことがある）を抽出し、抽出した暗号化ペイロードを特徴量算出部１２へ出力する。

また、暗号化された１つのデータが複数の暗号化ペイロードに分割されて複数のパケットに格納されている場合には、ペイロード抽出部１１は、それらの複数のパケットの各々から複数の暗号化ペイロードを抽出し、抽出した複数の暗号化ペイロードを結合し、結合後の暗号化ペイロードを特徴量算出部１２へ出力する。

特徴量算出部１２は、暗号化ペイロードを用いて、データの乱数性に関する特徴量（以下では「乱数的特徴量」と呼ぶことがある）を算出する。

特徴量算出部１２は、例えば、NIST SP800-22にて定義されている乱数検定手法等、データの乱数性を検定する手法を用いて乱数的特徴量を算出する。例えば、NIST SP800-22の検定手法の一つであるMonobit testでは、データのビット列における０，１の偏りからデータの乱数性が判定される。真の乱数では０の数と１の数とがほぼ同数になるという性質があるため、Monobit testでは、データのビット列における０の個数と１の個数との差分値（以下では「個数差分値」と呼ぶことがある）が真の乱数を仮定したときの分布の範囲に含まれる確率（つまり「有意確率」）を求め、有意確率が予め定めた閾値（つまり「有意水準」）以上であるか否かに従ってデータが乱数であるか否かを判定する。

そこで、特徴量算出部１２は、Monobit testの有意確率、個数差分値、有意確率をビット列のビット数で正規化した値、または、個数差分値をビット列のビット数で正規化した値等を乱数的特徴量として算出する。特徴量算出部１２において、特徴量Ａ算出部１２－１と、特徴量Ｂ算出部１２－２と、特徴量Ｃ算出部１２－３とは、互いに異なる種類の乱数的特徴量Ａ，Ｂ，Ｃをそれぞれ算出する。なお、特徴量算出部１２が乱数的特徴量の算出に用いる検定手法はMonobit testに限定されない。例えば、特徴量算出部１２は、NIST SP800-22にて定義されているその他の検定手法や、CRYPTRECが定める擬似乱数検定のためのミニマムセットにて定義される検定手法等を用いて乱数的特徴量を算出しても良い。

特徴量Ａ算出部１２－１によって算出された乱数的特徴量Ａ、特徴量Ｂ算出部１２－２によって算出された乱数的特徴量Ｂ、及び、特徴量Ｃ算出部１２－３によって算出された乱数的特徴量Ｃは、属性情報生成部１３へ入力される。

属性情報生成部１３は、特徴量算出部１２によって算出された乱数的特徴量と、パケットの送信元である通信端末２の属性（以下では「送信元属性」と呼ぶことがある）との対応付けを示す情報（以下では「特徴量対属性情報」と呼ぶことがある）を生成し、生成した特徴量対属性情報を記憶部２４に記憶させる。

一方で、属性識別装置２０において、ペイロード抽出部２１で行われる処理はペイロード抽出部１１で行われる上記の処理と同一であり、特徴量算出部２２で行われる処理は特徴量算出部１２で行われる上記の処理と同一である。よって、ペイロード抽出部２１及び特徴量算出部２２についての説明は省略する。特徴量Ａ算出部２２－１によって算出された乱数的特徴量Ａ、特徴量Ｂ算出部２２－２によって算出された乱数的特徴量Ｂ、及び、特徴量Ｃ算出部２２－３によって算出された乱数的特徴量Ｃは、属性識別部２３へ入力される。

属性識別部２３は、特徴量算出部２２によって算出された乱数的特徴量に基づいて、記憶部２４に記憶されている特徴量対属性情報を参照することにより送信元属性を識別し、識別結果を出力する。

＜通信監視装置の動作＞
図３～図６は、本開示の通信監視装置の動作例の説明に供する図である。以下、属性情報生成装置１０の動作例と、属性識別装置２０の動作例とに分けて説明する。

＜属性情報生成装置の動作＞
ペイロード抽出部１１には、図３に示すような構成を採るパケットが入力される。図３に示すパケットは、ヘッダとアプリケーションデータとを含む。ヘッダは、ＩＰヘッダとＴＣＰヘッダとを含む。アプリケーションデータは、暗号化ペイロードを含む。ＩＰヘッダ及びＴＣＰヘッダは非暗号化領域に該当し、暗号化ペイロードは暗号化領域に該当する。また、アプリケーションデータにおいて、暗号化ペイロード以外の部分は非暗号化領域に該当する。

ペイロード抽出部１１は、図３に示すパケットから暗号化ペイロードを抽出し、抽出した暗号化ペイロードを特徴量Ａ算出部１２－１、特徴量Ｂ算出部１２－２及び特徴量Ｃ算出部１２－３へ出力する。ペイロード抽出部１１は、通信端末２と通信端末３との間の複数のセッションの各々においてパケットから暗号化ペイロードを抽出する。以下では、通信端末２と通信端末３との間に、セッションα，β，γの３つのセッションが存在する場合を一例に挙げて説明する。

特徴量算出部１２は、同一の暗号化ペイロードから複数種類の乱数的特徴量Ａ，Ｂ，Ｃを算出する。すなわち、特徴量Ａ算出部１２－１は、乱数的特徴量Ａとして、例えば、Monobit testの有意確率を算出する。特徴量Ｂ算出部１２－２は、乱数的特徴量Ｂとして、例えば、暗号化ペイロードを形成する全ビットにおける０の個数を、暗号化ペイロードのビット長の平方根で除した値、つまり、０の個数をビット長で正規化した値を算出する。特徴量Ｃ算出部１２－３は、乱数的特徴量Ｃとして、例えば、暗号化ペイロードを形成する全ビットにおける０の個数と１の個数との差分値を、暗号化ペイロードのビット長の平方根で除した値、つまり、個数差分値をビット長で正規化した値を算出する。このように、暗号化ペイロードのビット長によって正規化された乱数的特徴量が算出されることにより、暗号化ペイロードのデータサーズによる影響を排除することができる。

なお、データサイズが大きくなると、特徴量算出部１２での計算量が増大するため、ペイロード抽出部１１が抽出する暗号化ペイロードのデータサイズに上限値を設け、ペイロード抽出部１１は上限値以下のデータサイズを有する暗号化ペイロードのみを抽出しても良い。

記憶部２４には、図４に示すように、通信端末２と通信端末３との間のセッションと、複数種類の送信元属性との対応付けを示す情報（以下では「セッション対属性情報」と呼ぶことがある）が予め記憶されている。セッション対属性情報は、通信監視装置６のオペレータによって予め設定される。複数種類の送信元属性の一例として、図４に示すように、通信端末２が使用可能なＯＳ、通信端末２がデータを暗号化する際に使用可能な暗号化アプリケーション、及び、通信端末２がデータを暗号化する際に使用可能な暗号化アルゴリズムが挙げられる。

図４におけるセッション対属性情報では、セッションαで使用されるＯＳがLinux 3.10（Linux：登録商標）、セッションαで使用される暗号化アプリケーションがOpenSSL 1.1.1b、セッションαで使用される暗号化アルゴリズムがAES256であることが示されている。また、セッションβで使用されるＯＳがWindows10（Windows：登録商標）、セッションβで使用される暗号化アプリケーションがOpenSSL 1.1.1a、セッションβで使用される暗号化アルゴリズムがCHACHA20-POLY1305であることが示されている。また、セッションγで使用されるＯＳがLinux 3.14（Linux：登録商標）、セッションγで使用される暗号化アプリケーションがOpenSSL 1.1.1a、セッションγで使用される暗号化アルゴリズムがAES256であることが示されている。つまり、図４におけるセッション対属性情報では、セッションαに対して、Linux 3.10（Linux：登録商標）、OpenSSL 1.1.1b及びAES256の複数種類の送信元属性の組合せＣ１が対応付けられ、セッションβに対して、Windows10（Windows：登録商標）、OpenSSL 1.1.1a及びCHACHA20-POLY1305の複数種類の送信元属性の組合せＣ２が対応付けられ、セッションγに対して、Linux 3.14（Linux：登録商標）、OpenSSL 1.1.1a及びAES256の複数種類の送信元属性の組合せＣ３が対応付けられている。

特徴量Ａ算出部１２－１では、セッションα，β，γの各セッション毎に、互いに異なる複数のパケットの複数の暗号化ペイロードを用いて複数の乱数的特徴量Ａが算出される。また、特徴量Ｂ算出部１２－２では、セッションα，β，γの各セッション毎に、互いに異なる複数のパケットの複数の暗号化ペイロードを用いて複数の乱数的特徴量Ｂが算出される。また、特徴量Ｃ算出部１２－３では、セッションα，β，γの各セッション毎に、互いに異なる複数のパケットの複数の暗号化ペイロードを用いて複数の乱数的特徴量Ｃが算出される。

ここで、一例として、セッションαにおいて所定時間に算出された複数の乱数的特徴量Ａの最小値が0.45で最大値が0.53であり、セッションβにおいて所定時間に算出された複数の乱数的特徴量Ａの最小値が0.0で最大値が0.1であり、セッションγにおいて所定時間に算出された複数の乱数的特徴量Ａの最小値が0.48で最大値が0.60であったものとする。また一例として、セッションαにおいて所定時間に算出された複数の乱数的特徴量Ｂの最小値が32.2で最大値が46.9であり、セッションβにおいて所定時間に算出された複数の乱数的特徴量Ｂの最小値が49.1で最大値が50.2であり、セッションγにおいて所定時間に算出された複数の乱数的特徴量Ｂの最小値が44.3で最大値が48.2であったものとする。また一例として、セッションαにおいて所定時間に算出された複数の乱数的特徴量Ｃの最小値が23.4で最大値が30.0であり、セッションβにおいて所定時間に算出された複数の乱数的特徴量Ｃの最小値が0.00で最大値が0.05であり、セッションγにおいて所定時間に算出された複数の乱数的特徴量Ｃの最小値が22.9で最大値が29.0であったものとする。

そこで、属性情報生成部１３は、図５に示すように、乱数的特徴量Ａが0.45以上0.53以下である範囲と、乱数的特徴量Ｂが32.2以上46.9以下である範囲と、乱数的特徴量Ｃが23.4以上30.0以下である範囲との組合せＣＸを生成する。また、属性情報生成部１３は、乱数的特徴量Ａが0.0以上0.1以下である範囲と、乱数的特徴量Ｂが49.1以上50.2以下である範囲と、乱数的特徴量Ｃが0.00以上0.05以下である範囲との組合せＣＹを生成する。また、属性情報生成部１３は、乱数的特徴量Ａが0.48以上0.60以下である範囲と、乱数的特徴量Ｂが44.3以上48.2以下である範囲と、乱数的特徴量Ｃが22.9以上29.0以下である範囲との組合せＣＺを生成する。

そして、属性情報生成部１３は、記憶部２４に記憶されているセッション対属性情報（図４）を参照し、組合せＣＸに組合せＣ１を対応付け、組合せＣＹに組合せＣ２を対応付け、かつ、組合せＣＺに組合せＣ３を対応付けることにより、図５に示すような特徴量対属性情報を生成する。つまり、特徴量対属性情報では、特徴量算出部１２によって算出された複数種類の乱数的特徴量Ａ，Ｂ，Ｃの組合せと、複数種類の送信元属性の組合せとの対応付けが示されている。生成された特徴量対属性情報は記憶部２４に記憶される。

＜属性識別装置の動作＞
ペイロード抽出部２１には、図３に示すような構成を採るパケットが入力される。ペイロード抽出部２１は、図３に示すパケットから暗号化ペイロードを抽出し、抽出した暗号化ペイロードを特徴量Ａ算出部２２－１、特徴量Ｂ算出部２２－２及び特徴量Ｃ算出部２２－３へ出力する。ペイロード抽出部２１は、ペイロード抽出部１１と同様に、通信端末２と通信端末３との間の複数のセッションα，β，γの各々においてパケットから暗号化ペイロードを抽出する。

特徴量算出部２２は、特徴量算出部１２と同様に、同一の暗号化ペイロードから複数種類の乱数的特徴量Ａ，Ｂ，Ｃを算出する。すなわち、特徴量Ａ算出部２２－１は、特徴量Ａ算出部１２－１と同様に、乱数的特徴量Ａを算出する。特徴量Ｂ算出部２２－２は、特徴量Ｂ算出部１２－２と同様に、乱数的特徴量Ｂを算出する。特徴量Ｃ算出部２２－３は、特徴量Ｃ算出部１２－３と同様に、乱数的特徴量Ｃを算出する。同一の暗号化ペイロードからそれぞれ算出された複数種類の乱数的特徴量Ａ，Ｂ，Ｃの組合せ（以下では「特徴量セット」と呼ぶことがある）が特徴量算出部２２から属性識別部２３へ入力される。

属性識別部２３は、入力された特徴量セットに基づいて、記憶部２４に記憶されている特徴量対属性情報（図５）を参照することにより、送信元属性を識別する。例えば、属性識別部２３に入力される特徴量セットにおいて、乱数的特徴量Ａが0.49であり、乱数的特徴量Ｂが45.2であり、乱数的特徴量Ｃが25.0である場合、乱数的特徴量Ａの0.49は、0.45以上0.53以下の範囲にあるとともに0.48以上0.60以下の範囲にあり、乱数的特徴量Ｂの45.2は、32.2以上46.9以下の範囲にあるとともに44.3以上48.2以下の範囲にあり、乱数的特徴量Ｃの25.0は、23.4以上30.0以下の範囲にあるとともに22.9以上29.0以下の範囲にある。よって、乱数的特徴量Ａが0.49であり、乱数的特徴量Ｂが45.2であり、かつ、乱数的特徴量Ｃが25.0である特徴量セットは、図５に示す特徴量対属性情報おいて、組合せＣＸと組合せＣＺとの２つの組合せに該当する。そこで、属性識別部２３は、図６に示すように、図５において組合せＣＸに対応する組合せＣ１を送信元属性の第一候補として識別するとともに、図５において組合せＣＺに対応する組合せＣ３を送信元属性の第二候補として識別する。そして、属性識別部２３は、識別結果の第一候補及び第二候補（つまり、組合せＣ１及び組合せＣ３）を出力する。

なお、属性情報生成部１３は、特徴量算出部１２によって算出される乱数的特徴量Ａ，Ｂ，Ｃを教師データとする機械学習によって、図５に示すような組合せＣＸ，ＣＹ，ＣＺと組合せＣ１，Ｃ２，Ｃ３との対応関係を学習した学習済みモデルを生成しても良い。そして、属性識別部２３は、特徴量算出部２２によって算出される乱数的特徴量Ａ，Ｂ，Ｃを属性情報生成部１３によって生成された学習済みモデルに入力することにより、学習済みモデルの出力を送信元属性の識別結果として取得しても良い。

＜通信監視装置における処理＞
以下、属性情報生成装置１０における処理と、属性識別装置２０における処理とに分けて説明する。

＜属性情報生成装置における処理＞
図７は、本開示の属性情報生成装置における処理手順の一例を示すフローチャートである。

図７において、ステップＳＴ１０１では、ペイロード抽出部１１が、パケットの中から暗号化ペイロードを抽出する。

次いで、ステップＳＴ１０３では、特徴量算出部１２が、ペイロード抽出部１１によって抽出された暗号化ペイロードを用いて、乱数的特徴量を算出する。

次いで、ステップＳＴ１０５では、属性情報生成部１３が、特徴量算出部１２によって算出された乱数的特徴量と、記憶部２４に記憶されているセッション対属性情報とを用いて、特徴量対属性情報を生成する。生成された特徴量対属性情報は、記憶部２４に記憶される。

＜属性識別装置における処理＞
図８は、本開示の属性識別装置における処理手順の一例を示すフローチャートである。

図８において、ステップＳＴ２０１では、ペイロード抽出部２１が、パケットの中から暗号化ペイロードを抽出する。

次いで、ステップＳＴ２０３では、特徴量算出部２２が、ペイロード抽出部２１によって抽出された暗号化ペイロードを用いて、乱数的特徴量を算出する。

次いで、ステップＳＴ２０５では、属性識別部２３が、特徴量算出部２２によって算出された乱数的特徴量に基づいて特徴量対属性情報を参照することにより、送信元属性を識別する。

以上のように、属性情報生成装置１０は、特徴量算出部１２と、属性情報生成部１３とを有する。特徴量算出部１２は、ヘッダと暗号化ペイロードとを含むパケットの中の暗号化ペイロードを用いて乱数的特徴量を算出する。属性情報生成部１３は、特徴量算出部１２によって算出された乱数的特徴量と送信元属性との対応付けを示す情報を生成する。

これに対し、属性識別装置２０は、特徴量算出部２２と、属性識別部２３とを有する。特徴量算出部２２は、特徴量算出部１２と同様に、ヘッダと暗号化ペイロードとを含むパケットの中の暗号化ペイロードを用いて乱数的特徴量を算出する。属性識別部２３は、特徴量算出部２２によって算出された乱数的特徴量に基づいて送信元属性を識別する。

暗号化領域である暗号化ペイロードのビット列を操作することは困難であるため、こうすることで、偽装への耐性を持ちつつ送信元属性を識別することができる。

また、特徴量算出部１２は、同一の暗号化ペイロードから複数種類の乱数的特徴量Ａ，Ｂ，Ｃを算出する。属性情報生成部１３は、特徴量算出部１２によって算出された複数種類の乱数的特徴量Ａ，Ｂ，Ｃの組合せと、複数種類の送信元属性の組合せとの対応付けを示す情報を生成する。

これに対し、特徴量算出部２２は、特徴量算出部１２と同様に、同一の暗号化ペイロードから複数種類の乱数的特徴量Ａ，Ｂ，Ｃを算出する。属性識別部２３は、特徴量算出部２２によって算出された複数種類の乱数的特徴量Ａ，Ｂ，Ｃの組合せに基づいて、複数種類の送信元属性の組合せを識別する。

こうすることで、偽装への耐性を持ちつつ詳細な送信元属性を識別することができる。

また、属性情報生成装置１０は、ペイロード抽出部１１を有する。ペイロード抽出部１１は、パケットから暗号化ペイロードを抽出する。特徴量算出部１２は、ペイロード抽出部１１によって抽出された暗号化ペイロードを用いて乱数的特徴量を算出する。

また、属性識別装置２０は、ペイロード抽出部２１を有する。ペイロード抽出部２１は、ペイロード抽出部１１と同様に、パケットから暗号化ペイロードを抽出する。特徴量算出部２２は、ペイロード抽出部２１によって抽出された暗号化ペイロードを用いて乱数的特徴量を算出する。

パケット中の非暗号化領域は乱数性が低いため、このようにして乱数的特徴量の算出対象から非暗号化領域を除外することで、特徴量算出部１２，２２によって算出される乱数的特徴量の精度の低下を防止することができる。

なお、ペイロード抽出部１１で行われる処理とペイロード抽出部２１で行われる処理とは同一であるため、通信監視装置６は、ペイロード抽出部１１，２１の何れか一方のみを有しても良い。また、特徴量算出部１２で行われる処理と特徴量算出部２２で行われる処理とは同一であるため、通信監視装置６は、特徴量算出部１２，２２の何れか一方のみを有しても良い。つまり、属性情報生成装置１０と属性識別装置２０とが、ペイロード抽出部１１またはペイロード抽出部２１の何れか一方を共用しても良く、また、特徴量算出部１２または特徴量算出部２２の何れか一方を共用しても良い。

また、通信監視装置６での上記説明における各処理の全部または一部は、各処理に対応するプログラムをプロセッサに実行させることによって実現しても良い。例えば、上記説明における各処理に対応するプログラムが記憶部２４に記憶され、プログラムがプロセッサによって記憶部２４から読み出されて実行されても良い。また、プログラムは、任意のネットワークを介して通信監視装置６に接続されたプログラムサーバに記憶され、そのプログラムサーバから通信監視装置６にダウンロードされて実行されたり、通信監視装置６が読み取り可能な記録媒体に記憶され、その記録媒体から読み出されて実行されても良い。通信監視装置６が読み取り可能な記録媒体の一例として、メモリカード、ＵＳＢメモリ、ＳＤカード、フレキシブルディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＤＶＤ、及び、Ｂｌｕ－ｒａｙ（登録商標）ディスク等の可搬の記憶媒体が挙げられる。

６ 通信監視装置
１０ 属性情報生成装置
２０ 属性識別装置
１１，２１ ペイロード抽出部
１２，２２ 特徴量算出部
１３ 属性情報生成部
２３ 属性識別部
２４ 記憶部

Claims (6)

1. ヘッダと暗号化されたペイロードとを含むパケットの中の前記ペイロードを用いてデータの乱数性に関する特徴量を算出する際に、複数のセッションの各セッション毎に、互いに異なる複数のパケットの複数の前記ペイロードを用いて複数種類の前記特徴量を算出する算出部と、
   算出された複数種類の前記特徴量の各特徴量毎の最大値及び最小値と、前記パケットの送信元の属性との対応付けを示す情報を生成する生成部と、
   を具備する属性情報生成装置。
2. 前記パケットから前記ペイロードを抽出する抽出部、をさらに具備し、
   前記算出部は、抽出された前記ペイロードを用いて前記特徴量を算出する、
   請求項１に記載の属性情報生成装置。
3. ヘッダと暗号化されたペイロードとを含むパケットの中の前記ペイロードを用いてデータの乱数性に関する特徴量を算出する際に、複数のセッションの各セッション毎に、互いに異なる複数のパケットの複数の前記ペイロードを用いて複数種類の前記特徴量を算出する算出部と、
   算出された複数種類の前記特徴量と、各特徴量毎の最大値及び最小値との比較結果に基づいて、前記パケットの送信元の属性を識別する識別部と、
   を具備する属性識別装置。
4. 前記パケットから前記ペイロードを抽出する抽出部、をさらに具備し、
   前記算出部は、抽出された前記ペイロードを用いて前記特徴量を算出する、
   請求項３に記載の属性識別装置。
5. プロセッサが、ヘッダと暗号化されたペイロードとを含むパケットの中の前記ペイロードを用いてデータの乱数性に関する特徴量を算出する際に、複数のセッションの各セッション毎に、互いに異なる複数のパケットの複数の前記ペイロードを用いて複数種類の前記特徴量を算出し、
   前記プロセッサが、算出した複数種類の前記特徴量の各特徴量毎の最大値及び最小値と、前記パケットの送信元の属性との対応付けを示す情報を生成する、
   属性情報生成方法。
6. プロセッサが、ヘッダと暗号化されたペイロードとを含むパケットの中の前記ペイロードを用いてデータの乱数性に関する特徴量を算出する際に、複数のセッションの各セッション毎に、互いに異なる複数のパケットの複数の前記ペイロードを用いて複数種類の前記特徴量を算出し、
   前記プロセッサが、算出した複数種類の前記特徴量と、各特徴量毎の最大値及び最小値との比較結果に基づいて、前記パケットの送信元の属性を識別する、
   属性識別方法。

Images