JP7269822B2 - 通信監視装置及び通信監視方法 - Google Patents

Description

本発明は、通信監視装置及び通信監視方法に関する。

インダストリアルネットワークにおけるサイバー攻撃の潜在的な感染を検知するための背景技術として、特開２０１７－４１８８６号公報（特許文献１）がある。この公報には、「システムは、ネットワークステートのリストおよび遷移確率を含むサイトアクセプタブルなネットワーク挙動のベースラインを設定するためのハードウェアとソフトウェアの要素を含む。遷移確率は、正常なネットワーク稼働中に、第一のネットワークステートが第二のネットワークステートに一時的に追従される推定確率を示すものである。さらに、確率を表す閾値を設定する。その閾値を下回ると、ネットワークステートのシーケンスが変則的であることおよびサイトアクセプタブルなネットワーク挙動のベースラインに基づいて、特定の一連のパケットから得たネットワークステートのシーケンスが発生する確率を特定し、特定された確率が設定された閾値を下回るか否かにより防御措置を実行する。」と記載されている（要約参照）。

特開２０１７－４１８８６公報

しかしながら、特許文献１に記載の技術は、定常時に発生した通信のシーケンスの発生確率から、定常時に発生する確率の低いシーケンスの発生を検知するものの、定常時に発生する確率が低くないシーケンスを利用したサイバー攻撃（以下、正規通信の悪用とも呼ぶ）を検知することはできなかった。そこで、本発明の一態様は、正規通信の異常を検知することを目的とする。

上記課題を解決するために、本発明の一態様は以下の構成を採用する。監視対象システムの通信を監視する通信監視装置は、プロセッサとメモリとを備え、前記メモリは、前記監視対象システム内の通信ペアを構成する通信数の関係を示し、かつ前記通信ペアを構成する通信が同じ時間帯に発生した通信数に基づいて生成された、通信ペアモデルを保持し、前記プロセッサは、前記通信ペアモデルと、検知期間における前記通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記検知期間における前記通信ペアを構成する通信の異常を検知する。

本発明の一態様によれば、正規通信の異常を検知することができる。

上記した以外の課題、構成、及び効果は、以下の実施形態の説明により明らかにされる。

実施例１における通信システムの構成例を示すブロック図である。 実施例１における通信監視装置による検知対象の正規通信の一例を示す説明図である。 実施例１における通信監視装置のハードウェア構成例を示すブロック図である。 実施例１における通信監視装置の機能構成例を示すブロック図である。 実施例１における業務通信識別子テーブルの一例である。 実施例１における業務通信ペア推定テーブルの一例である。 実施例１における業務通信ペア特徴量テーブルの一例である。 実施例１における業務通信ペアモデルテーブルの一例である。 実施例１における業務通信テーブルの一例である。 実施例１における監視対象システムの定常状態を学習する学習処理の一例を示すフローチャートである。 実施例１における収集パケット前処理の一例を示すフローチャートである。 実施例１における監視対象システムの通信群から業務通信ペアを推定する業務通信ペア推定処理の一例を示すフローチャートである。 実施例１における業務通信ペアの定常通信の特徴量からモデルを生成する業務通信ペアモデル生成処理の一例を示すフローチャートである。 実施例１における通信監視処理の一例を示すフローチャートである。 実施例１における正規通信の悪用を検知する悪用通信検知処理の一例を示すフローチャートである。 実施例２における通信監視装置の機能構成の一例を示すブロック図である。 実施例２における業務通信ペアの定常通信の特徴量からモデルを生成する業務通信ペアモデル生成処理の一例を示すフローチャートである。 実施例２における業務通信ペア２段モデルテーブルの一例である。 実施例２における正規通信の悪用を検知する悪用通信検知処理の一例を示すフローチャートである。

本実施形態は、ＮＥＤＯが推進する総合科学技術・イノベーション会議の戦略的イノベーション創造プログラム（ＳＩＰ）「重要インフラ等におけるサイバーセキュリティの確保」に関する。

以下、添付図面を参照して本発明の実施形態を説明する。本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。各図において共通の構成については同一の参照符号が付されている。

本実施例では、監視対象システムの通信群から同じ業務に関わる業務通信の組合せ（業務通信ペアとも呼ぶ）を推定し、業務通信ペアの定常通信の特徴量からモデルを生成し、生成したモデルと監視時の通信との差分から正規通信の悪用（異常）を検知する、方法について説明する。

図１は、本実施例の通信システムの構成例を示すブロック図である。通信システムは、例えば、監視対象システム１及び通信監視装置２０を含む。通信監視装置２０は、監視対象システム１の通信データを収集して（本実施形態では通信データの一例としてパケットを収集する）、定常時の監視対象システム１の通信の特徴量を抽出する。また、通信監視装置２０は、抽出した特徴量から定常状態をモデル化する。また、通信監視装置２０は、モデルと監視時の通信との差分から正規通信の悪用を検知する。

監視対象システム１は、例えば、複数のネットワーク（図１の例ではネットワーク１１０及びネットワーク１２０）を備える。各ネットワークには、各種役割を備えた複数の機器（図１の例では、機器１０ａ～１０ｍ、機器１２ａ～１２ｎ、及び機器１３ａ～１３ｋ）が接続される。

例えば、監視対象システム１が産業制御システム（ＩＣＳ）である場合、ネットワーク１１０は情報・制御ネットワークであり、ネットワーク１２０はコントロールネットワークである。情報・制御ネットワーク（ネットワーク１１０）に接続された機器１０ａ～１０ｍは、例えば、システム全体の動作を監視するシステム監視サーバ、システムの運行計画を管理するサーバ、又は保守用サーバなどである。

情報・制御ネットワーク（ネットワーク１１０）とコントロールネットワーク（ネットワーク１２０）に接続された機器１２ａ～１２ｎは、例えば、システム監視サーバからの命令に従って、コントロールネットワーク（ネットワーク１２０）に接続された機器に制御命令を送信したり、ログ情報を収集したりする制御サーバ等である。

コントロールネットワーク（ネットワーク１２０）に接続された機器１３ａ～１３ｋは、例えば、制御サーバの命令にしたがってモータの回転数を設定したり、設定情報を収集したりする、プログラマブルコントローラ（ＰＬＣ）等である。

監視対象システム１は、通信監視装置２０に接続された複数のミラーポート（図１の例ではミラーポート１１１及びミラーポート１１２）を有する各ミラーポートは、監視対象システム１の各ネットワークに流れる通信のコピーを通信監視装置２０に送信する。

図２は、通信監視装置２０による検知対象の正規通信の一例を示す説明図である。機器１０ａから機器１２ａへの通信Ｋ１、機器１２ａから機器１２ｂへの通信Ｋ２、機器１２ａから機器１０ｂへの通信Ｋ３、及び機器１０ｂから機器１０ａへの通信Ｋ４は、いずれも監視対象システム１が正常に動作しているときに発生する正規通信を示す。通信Ｋ１と通信Ｋ２からなるＫＰ１、及び通信Ｋ３と通信Ｋ４からなるＫＰ２は業務的に関係の強い正規通信のペア（以下、業務通信ペアと呼ぶ）を示している。業務的に関係が強いとは、例えば、正規通信Ｋ１によって正規通信Ｋ２が発生する等の関係がみられる通信のペアのことである。

例えば、（１）２つの機器間で相互に通信を行うタイプの業務の生存確認又は業務実行要求の通信と応答の通信等、（２）１つの機器からの通信を受け他の機器に通信を行う業務の上位機器からの業務実行要求の受信を契機に実行される、配下の機器への命令やデータやログの送信等、（３）１つの機器から複数の機器へ通信を行う業務の上位機器から複数の下位機器へ同じタイミング行われるデータ配信、又は堅牢化のため冗長構成をとる２つの機器へのデータ送信等、（４）１つの機器へ複数の機器から通信を行う業務の下位機器から上位機器への命令実行結果の通知等は、いずれも業務通信ペアを構成する可能性がある。

図３は、通信監視装置２０のハードウェア構成例を示すブロック図である。通信監視装置２０は、例えば、互いにバス２１６等の内部通信線で接続された、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２１１、メモリ２１２、補助記憶装置２１３、及び複数のＩＦ（インタフェース）２１４、入出力装置２１５、及びバス２１６を有する計算機によって構成される。

ＣＰＵ２１１は、プロセッサを含み、メモリ２１２にロードされた各種プログラムを実行し、通信監視装置２０の各種機能を実現する。メモリ２１２は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、ＣＰＵ２１１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

補助記憶装置２１３は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置であり、ＣＰＵ２１１が実行するプログラム２１３ａ及びプログラム２１３ａの実行時に使用されるデータ（例えばテーブル２１３ｂ）を格納する。

すなわち、プログラム２１３ａは、補助記憶装置２１３から読み出されて、メモリ２１２にロードされて、ＣＰＵ２１１によって実行される。なお、メモリ２１２に格納されているデータの一部又は全部が補助記憶装置２１３に格納されていてもよいし、補助記憶装置２１３に格納されているデータの一部又は全部がメモリ２１２に格納されていてもよい。

ＩＦ２１４は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインターフェース装置であり、通信監視装置２０を監視対象システム１のネットワークに接続するために用いられる。複数のＩＦ２１４によって、複数のネットワークで構成される監視対象システム１の通信パケットが収集される。

入出力装置２１５は、ユーザからの入力を受け、プログラム２１３ａの実行結果をユーザが視認可能な形式で出力する装置であり、例えば、キーボード、マウス、及び／又はディスプレイなどである。なお、入出力装置２１５は、通信監視装置２０を構成する計算機に含まれずに接続されていてもよい。

図４は、通信監視装置２０の機能構成例を示すブロック図である。通信監視装置２０は、監視対象システム１のネットワークに流れる通信パケットを収集、分析、及び学習することで、正規通信を使った悪用を検知する。

通信監視装置２０は、パケット収集処理部２１、業務通信ペア推定処理部２２、業務通信ペア特徴量算出処理部２３、業務通信ペアモデル生成処理部２４、及び悪用通信検知処理部２５、を有し、これらの処理部の機能を実現するためのプログラムがプログラム２１３ａとして補助記憶装置２１３に格納されている。

例えば、ＣＰＵ２１１は、メモリ２１２にロードされたパケット収集処理プログラムに従って動作することで、パケット収集処理部２１として機能し、メモリ２１２にロードされた業務通信ペア推定処理プログラムに従って動作することで、業務通信ペア推定処理部２２として機能する。通信監視装置２０が有する他の処理部についても、プログラムと処理部の関係は同様である。

なお、通信監視装置２０が有する処理部による機能の一部又は全部が、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のハードウェアによって実現されてもよい。

また、通信監視装置２０は、業務通信識別子テーブル２０１、業務通信ペア推定テーブル２０２、業務通信ペア特徴量テーブル２０３、業務通信ペアモデルテーブル２０４、及び業務通信テーブル２０５を保持する。これらのテーブルはテーブル２１３ｂとして補助記憶装置２１３に格納され、処理に利用される際にはメモリ２１２に展開される。

なお、本実施形態において、通信監視装置２０が使用する情報は、データ構造に依存せずどのようなデータ構造で表現されていてもよい。本実施形態ではテーブル形式で情報が表現されている例を説明するが、例えば、リスト、データベース又はキューから適切に選択したデータ構造体が、情報を格納することができる。

パケット収集処理部２１はＩＦ２１４を介して、監視対象システム１のネットワークに流れる通信パケットを収集する。パケット収集処理部２１は収集した通信パケットのメタ情報に紐付く識別子を通信パケットに割り当て、その紐付を管理する業務通信識別子テーブル２０１を生成する。なお、メタ情報とは、例えば、通信元機器及び通信先機器のＩＰアドレス、通信プロトコル、及びポート番号等を含む。

業務通信識別子テーブル２０１に登録された通信が、監視対象システム１の正規の業務を行う通信（正規通信）とみなされる。また、パケット収集処理部２１は、識別子毎に単位時間当たりの通信パケット数などが格納される業務通信テーブル２０５を生成する。

業務通信ペア推定処理部２２は、業務通信テーブル２０５の情報を用いて、業務通信識別子テーブル２０１に登録された全ての正規通信の組合せについて業務的な関係の強さを業務関連度として算出し、算出した業務関連度を業務通信ペア推定テーブル２０２に登録する。

業務通信ペア特徴量算出処理部２３は、業務通信ペア推定テーブル２０２が示す業務的な関係の強い業務通信ペアについて、業務通信テーブル２０５の情報を用いて、業務通信ペアの関係を示す特徴量を算出し、算出した特徴量を業務通信ペア特徴量テーブル２０３に登録する。業務通信ペアモデル生成処理部２４は、業務通信ペア特徴量テーブル２０３を参照して、業務通信ペアの定常状態を表すモデルを算出し、算出したモデルを業務通信ペアモデルテーブル２０４に登録する。

悪用通信検知処理部２５は、新規に入力された業務通信テーブル２０５のデータが業務通信ペアである場合、当該業務通信ペアのモデルから算出した推定値から外れ度を算出し、算出した外れ度が所定の基準を超えていた場合に正規通信の悪用（異常）であると判定する。

なお通信監視装置２０は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。また、例えば、通信監視装置２０は、業務通信ペアモデルを生成する装置と、業務通信ペアモデルを用いて通信を監視する装置と、に分離可能であってもよい。

図５は業務通信識別子テーブル２０１の一例である。業務通信識別子テーブル２０１には、定常時の監視対象システム１で観測された通信パケットが正規通信として登録される。業務通信識別子テーブル２０１は、例えば、メタ情報に紐付く識別子を示す業務通信識別子（ＩＤ－１）を示す業務通信識別子列５０１、通信の送信元機器を示す送信元機器列５０２、通信の宛先機器を示す宛先機器列５０３、及び通信ポートを示す通信ポート列５０４を含む。

図６は、業務通信ペア推定テーブル２０２の一例である。業務通信ペア推定テーブル２０２は、業務通信識別子テーブル２０１に登録された正規通信の全組合せについて、業務の関係の強さ即ち業務関連度を格納するテーブルである。

業務通信ペア推定テーブル２０２は、例えば、２つの正規通信ＸとＹの組（業務通信ペア）を一意に特定する業務通信ペア識別子（ＩＤ－２）を示す業務通信ペア識別子列６０１、正規通信Ｘの業務通信識別子列６０２、正規通信Ｙの業務通信識別子列６０３、及び業務通信ペアの関係の強さを示す業務関連度列６０４を含む。

図７は業務通信ペア特徴量テーブル２０３の一例である。業務通信ペア特徴量テーブル２０３には、業務関連度の算出及びモデル生成において使用される、特徴情報が格納されている。

業務通信ペア特徴量テーブル２０３は、例えば、業務通信ペア毎に、業務通信ペア識別子（ＩＤ－２）列７０１、業務通信ペアを構成する正規通信Ｘの識別子列７０２と正規通信Ｙの識別子列７０３、並びに業務通信ペアの通信の特徴量を示す、通信発生数の総和列７０４、Ｘ通信数の総和列７０５、Ｙ通信数の総和列７０６、Ｘ通信数の二乗の総和列７０７、Ｙ通信数の二乗の総和列７０８、及びＸ通信数とＹ通信数の積の総和列７０９を含む。これらの定義及び算出方法の詳細については後述する。

詳細は後述するが、学習処理における学習期間は、例えば３０日程度と長い期間であるが、業務通信ペア特徴量テーブル２０３は、短い期間（以下、学習期間を短い期間に分割した期間を分割期間とも呼ぶ）ごと、例えば１日ごとに、業務通信テーブル２０５の情報から生成される。つまり、学習期間が３０日であれば、３０個の業務通信ペア特徴量テーブル２０３が生成される。そして３０個の業務通信ペア特徴量テーブル２０３から業務通信ペアモデルが生成される。なお、分割期間は学習期間と同じであってもよい。

図８は業務通信ペアモデルテーブル２０４の一例である。業務通信ペアモデルテーブル２０４は、例えば、業務通信ペア識別子（ＩＤ－２）を示す業務通信ペア識別子列８０１、業務通信ペアを構成する正規通信Ｘの業務通信識別子列８０２と正規通信Ｙの業務通信識別子列８０３列、業務通信ペアの通信の特徴量から算出したモデルのパラメータである傾き列８０４と切片列８０５、及び異常検知の判定基準となる閾値基準を示す閾値基準列８０６を含む。

なお、傾き列８０４が示す傾きと切片列８０５が示す切片は、それぞれ、直線回帰モデルの回帰式Ｙ＝ａＸ＋ｂの傾きと切片である。なお、本実施形態では最小二乗法を用いた直線回帰モデルが生成される例を説明するが、モデルはこれに限らず回帰曲線モデル等の他の任意のモデルであってもよい。

図９は業務通信テーブル２０５の一例である。業務通信テーブル２０５は、業務通信識別子が付与された正規通信について、所定の時間単位で、正規通信の通信数を集計したデータを格納する。業務通信テーブル２０５は、例えば、通信パケットの発生時刻を所定時間単位のタイムスロットで示す時刻列９０１、及び各業務識別子のタイムスロット内で発生した正規通信の通信数を示す通信数列９０２を含む。

図１０は、監視対象システム１の定常状態を学習する学習処理の一例を示すフローチャートである。学習処理では、監視対象システム１が正常稼働しているときの通信パケットが収集され、業務通信ペアの定常時の通信数の関係をモデル化した直線回帰モデルが生成される。なお、学習処理は安全なネットワーク環境で実施されることが望ましい。

収集パケット前処理（Ｓ１００１）では、パケット収集処理部２１が監視対象システム１のネットワークに流れる通信パケットを収集しメタ情報に紐付く識別子を通信パケットに割り当て、業務通信識別子テーブル２０１に登録する。ステップＳ１００１の詳細については図１１を用いて後述する。

業務通信ペア推定処理（Ｓ１００２）では、業務通信ペア推定処理部２２が、ステップＳ１００１で登録された業務通信テーブル２０５を参照して、業務通信識別子テーブル２０１に登録された正規通信のペアを生成し、生成したペアについて業務関連度を算出して、業務通信ペア推定テーブル２０２に登録する。ステップＳ１００２の詳細は図１２を用いて後述する。

業務通信ペアモデル生成処理（Ｓ１００３）では、業務通信ペアモデル生成処理部２４が、業務通信ペア特徴量テーブル２０３を参照して、業務通信ペアの定常状態を表すモデルを算出し、業務通信ペアモデルテーブル２０４へ登録する。ステップＳ１００３の詳細は図１３を用いて後述する。

図１１は、ステップＳ１００１における収集パケット前処理の一例を示すフローチャートである。収集パケット前処理は、通信監視装置２０がパケットを受信する度に実行される。まず、パケット収集処理部２１はＩＦ２１４を介して、監視対象システム１のネットワークに流れる通信パケットを収集する（Ｓ１１０１）。

次に、パケット収集処理部２１は、収集した通信パケットからメタ情報を抽出する（Ｓ１１０２）。例えば、通信パケットの時刻情報（ＹＹＹＹ／ＭＭ／ＤＤ ｈｈ：ｍｍ：ｓｓ）、送信元機器のＩＰアドレス、宛先機器のＩＰアドレス、通信プロトコル、及びポート番号等が、抽出対象のメタ情報である。メタ情報のうち通信パケットの送信時刻情報以外の情報は、業務通信の識別に用いられるため、以下、この情報を業務通信メタ情報とも呼ぶ。なお、通信パケットを送信した機器が当該通信パケットに付加した時刻や、通信パケットを受信したミラーポート１１１又はミラーポート１１２が当該通信パケットに付加した時刻は、いずれも上述の時刻情報が示す時刻の一例である。

次に、パケット収集処理部２１は、業務通信識別子テーブル２０１を参照して（Ｓ１１０３）、抽出した業務通信メタ情報を有する業務通信、即ち送信機器、宛先機器、及びポートが等しい業務通信（正規通信）、が業務通信識別子テーブル２０１に登録されているかを確認する（Ｓ１１０４）。

パケット収集処理部２１は、抽出した業務通信メタ情報を有する業務通信が、業務通信識別子テーブル２０１に登録されていないと判定した場合（Ｓ１１０４：ＮＯ）、当該業務通信メタ情報が抽出された通信に対して新しい正規通信としての新規の業務通信識別子を生成する（Ｓ１１０５）。そして、パケット収集処理部２１は、生成した業務通信識別子と抽出した業務通信メタ情報とを紐付けて、業務通信識別子テーブル２０１に登録する（Ｓ１１０６）。

次に、パケット収集処理部２１は、ステップＳ１１０５で付与された業務通信識別子を業務通信テーブル２０５に登録する（Ｓ１１０７）。具体的には、パケット収集処理部２１は、当該通信パケットの時刻情報に該当する時刻（タイムスロット）の行の、当該通信パケットの業務通信識別子の通信数を１増やす。パケット収集処理部２１は、時刻の行が無い場合は当該時刻が属するタイムスロットの行を追加して、当該通信パケットの業務通信識別子の通信数を１とする。なお、タイムスロットの時刻間隔は予め設定されている（例えば１０秒）。

パケット収集処理部２１は、抽出した業務通信メタ情報を有する業務通信が、業務通信識別子テーブル２０１登録済みであると判定した場合（Ｓ１１０４：ＹＥＳ）、当該通信パケットの時刻情報を元に、該当する時刻セル行の業務通信識別子の通信数データを１増やす（Ｓ１１０８）。該当する時刻セルが無い場合の処理はＳ１１０７の同様処理と同じである。

図１２は、ステップＳ１００２における、監視対象システム１の通信群から業務通信ペアを推定する業務通信ペア推定処理の一例を示すフローチャートである。業務通信ペア推定処理は、予め定めた学習期間（例えば３０日程度）分の業務通信データが業務通信テーブル２０５に格納されたのちに実施される。

まず、業務通信ペア推定処理部２２は、業務通信テーブル２０５に登録された正規通信を参照し、関連の強さの算出対象となる業務通信ペアのリストを生成する（Ｓ１２０１）。

業務通信ペアリストは、例えば、業務通信テーブル２０５に登録された正規通信の全組合せを網羅するリストである。このとき、例えば、６種類の業務通信Ｋ１～Ｋ６が業務通信テーブル２０５に格納されているとすれば、業務通信ペアリストは[（Ｋ１，Ｋ２）,（Ｋ１，Ｋ３），（Ｋ１，Ｋ４），（Ｋ２，Ｋ３），（Ｋ２，Ｋ４），（Ｋ３，Ｋ４）]である。

業務通信ペア推定処理部２２は、業務通信ペアリストに含まれる各業務通信ペアを一意に識別する業務通信ペア識別子を付与する。業務通信ペア推定処理部２２は、図６の例のように、業務通信ペア識別子と、業務通信ペアを構成する正規通信（業務通信）の業務通信識別子の組と、を紐付けて業務通信ペア推定テーブル２０２に格納する。

なお、業務通信ペアリストの要素の一部又は全部は予め手動で作成されてもよい。具体的には、例えば、業務通信ペアリストに含まれない業務通信ペアが予め定められていてもよい。

次に、業務通信ペア推定処理部２２は、業務通信ペアリストの業務通信ペアの業務通信データを業務通信テーブル２０５から読み出す（Ｓ１２０２）。そして、業務通信ペア特徴量算出処理部２３は、業務通信データを用いて、学習期間を分割した分割期間ごとに、業務通信ペアリストの業務通信ペアそれぞれに対して特徴量（Ｘ通信数、Ｙ通信数、及び通信発生数）を計算し、得られた特徴量情報を業務通信ペア特徴量テーブル２０３に格納する（Ｓ１２０３）。つまり、分割期間ごとに業務通信ペア特徴量テーブル２０３が生成される。

Ｘ通信数とは、学習期間中にＸ通信とＹ通信の双方が発生したタイムスロットにおけるＸ通信の通信数の合計である。Ｙ通信数とは、学習期間中にＸ通信とＹ通信の双方が発生したタイムスロットにおけるＹ通信の通信数の合計である。通信発生数は、学習期間中にＸ通信とＹ通信の双方が発生したタイムスロットの数である。Ｘ通信数の総和とは、学習期間においてＸ通信数を加算したものである。Ｙ通信数の総和とは、学習期間においてＹ通信数を加算したものである。通信発生数の総和とは、学習期間において通信発生数を加算したものである。Ｘ通信数の二乗の総和とは、学習期間においてＸ通信数の二乗を加算したものである。Ｙ通信数の二乗の総和とは、学習期間においてＹ通信数の二乗を加算したものである。Ｘ通信数とＹ通信数の積の総和和とは、学習期間においてＸ通信数とＹ通信数の積を加算したものである。

次に、業務通信ペア特徴量算出処理部２３は、ステップＳ１２０３で算出した特徴量情報を用いて業務通信ペアそれぞれの業務関連度を計算して、業務通信ペアの識別子と、業務ペア通信ペアを構成するＸ通信とＹ通信の通信識別子と、業務関連度と、を業務通信ペア推定テーブル２０２に格納する（Ｓ１２０４）。

業務通信ペア特徴量算出処理部２３は、業務関連度として、例えば、Ｘ通信数とＹ通信数の相関係数の絶対値（相関係数そのものでもよい）を算出する。業務通信ペア推定処理部２２は、相関係数を計算するために、業務通信ペアそれぞれに対して、学習期間における通信発生数の総和、Ｘ通信数の和、Ｙ通信数の和、Ｘ通信数の二乗和、Ｙ通信数の二乗和、及びＸ通信数とＹ通信数の積の総和を算出する。

なお、業務通信ペアにおける業務関連度が相関係数の絶対値である場合、絶対値が１に近いほど業務通信ペアを構成する通信の関連が強く０に近いほど、業務通信ペアを構成する通信の関連が弱い。

なお、学習処理における学習期間は、例えば３０日程度と長い期間であり、３０日分の業務通信の通信数が業務通信テーブル２０５に記録されると、データ量が大きくなってしまう。従って、業務通信テーブル２０５は、分割期間の業務通信の情報のみを保持して、分割期間ごとに更新されてもよい。この場合、分割期間ごとにステップＳ１２０２及びステップＳ１２０３の処理が実行されて特徴量が生成され、学習期間が終了した後にステップＳ１２０４の処理が実行される。

また、業務通信ペア特徴量テーブル２０３が、このように分割期間ごとの特徴量の情報を保持していることにより、ユーザが学習期間を任意に設定することができる。さらに、一度学習が終了してモデルが生成された後に、当該モデルが生成された後の分割期間における特徴量の情報と、当該モデルと、を用いて再学習をすることにより、当該モデルを修正することもできる。

図１３は、ステップＳ１００３における、業務通信ペアの定常通信の特徴量からモデルを生成する業務通信ペアモデル生成処理の一例を示すフローチャートである。業務通信ペアモデル生成処理部２４は、業務通信ペア推定テーブル２０２から業務関連度の値が予め定められた関連度閾値（例えば０．８）より業務通信ペアを抽出し、関連の強い業務通信ペアのリスト（関連業務通信ペアリスト）を生成する（Ｓ１３０１）。

次に、業務通信ペアモデル生成処理部２４は、関連業務通信ペアリストの特徴量情報を業務通信ペア特徴量テーブル２０３から読み出し（Ｓ１３０２）。業務通信ペアモデル生成処理部２４は、業務通信ペアの定常状態を表すモデルを計算し、業務通信ペアモデルテーブル２０４へ格納する（Ｓ１３０３）。

業務通信ペアの定常状態を表すモデルが直線回帰モデルの場合、回帰式Ｙ＝ａ（傾き）Ｘ＋ｂ（切片）のパラメータである傾きと切片、及び閾値基準を算出する。閾値基準とは、回帰直線におけるｙ通信の残差の標準偏差である。なお、図８の例では、関連業務通信ペアリストに含まれない業務通信ペアについては、傾き列８０４、切片列８０５、及び閾値基準列８０６の値として０が格納されている。

通信監視装置２０は、上記した処理によって、業務通信において通信内容に依存しない特徴量を用いた同じ業務に関わる業務通信のペア（業務通信ペア）を推定及び抽出することができる。つまり、通信監視装置２０は、具体的な業務通信の内容を知らなくても、関連する業務通信のペアを生成することができる。さらに、通信監視装置２０は、上記した処理によって業務通信ペアの通信数の関係の特徴量を算出して、通信が正常である時の関係を定義するモデルを生成することができる。

図１４は、通信監視処理の一例を示すフローチャートである。通信監視処理は、業務通信ペアモデルが生成された後に、例えば、ユーザの通信監視処理開始指示に従って、実行される。通信監視処理では、入力された通信に該当する業務通信ペアのモデルから定常時の通信数を算出し、算出した通信数と、入力された通信数と、を比較して正規通信の悪用か否かを判定する。

まず、パケット収集処理部２１は、監視対象の通信パケットについて収集パケット前処理（Ｓ１４０１）を行う。ステップＳ１４０１におけるパケット前処理は、ステップＳ１００１におけるパケット前処理と同様であるため説明を省略する。なお、パケット前処理における、通信監視対象期間（悪用通信検知対象期間）として少なくとも１タイムスロットが必要である。

続いて、悪用通信検知処理部２５は、入力された通信と該当する業務通信ペアのモデルを比較して、正規通信の悪用か否かを判定する悪用通信検知処理を実行する（Ｓ１４０２）。悪用通信検知処理の詳細については、は図１５を用いて後述する。

図１５は、ステップＳ１４０２における、入力された通信数と業務通信ペアモデルとの比較によって正規通信の悪用を検知する悪用通信検知処理の一例を示すフローチャートである。

まず、悪用通信検知処理部２５は、悪用通信検知対象期間であるタイムスロット（例えば現在時刻が属するタイムスロット）で発生した通信について、業務通信のペアリストを生成する（Ｓ１５０１）。

次に、悪用通信検知処理部２５は、業務通信ペアモデルテーブル２０４を参照し（Ｓ１５０２）、ステップＳ１５０１で生成したペアリストに含まれる業務通信ペアのモデル情報が格納されているか判定するする（Ｓ１５０３）。悪用通信検知処理部２５は、ペアリストに含まれる全ての業務通信ペアについて、モデル情報が業務通信ペアモデルテーブル２０４に格納されていないと判定した場合（Ｓ１５０３：ＮＯ）、処理を終了する。

悪用通信検知処理部２５は、ペアリストに含まれるいずれかの業務通信ペアのモデル情報が業務通信ペアモデルテーブル２０４に格納されていると判定した場合（Ｓ１５０３）、当該業務通信ペアそれぞれに対して、モデルから定常時の通信数を算出し、算出したモデルの定常時の通信数と入力された通信数との差分から外れ度を算出する（Ｓ１５０４）。具体的には、例えば、悪用通信検知処理部２５は、モデルが示す定常時の通信数と入力された通信数との差分の絶対値を閾値基準で割った値を、外れ度として算出する。

次に、悪用通信検知処理部２５は、当該業務通信ペアそれぞれに対して、算出した外れ度を、予め定められた外れ閾値（例えば閾値基準の４倍）と比較する（Ｓ１５０５）。悪用通信検知処理部２５は、算出した外れ度が外れ閾値より大きい業務津通信ペアがあると判定した場合（Ｓ１５０５：ＹＥＳ）、当該業務通信ペアに異常があると判断し、当該業務通信ペアについてアラートを入出力装置２１５に出力する等の対処処理を行い（Ｓ１５０６）、処理を終了する。悪用通信検知処理部２５は、算出した外れ度が外れ閾値より大きい業務通信ペアがないと判定した場合（Ｓ１５０５：ＮＯ）、処理を終了する。

以上、説明した様に本実施例に係る通信監視装置２０は、業務通信ペアの関係を示す特徴量から業務通信が規定通りに実行されているかどうかを判断することができ、正規通信の悪用（異常）を検知することができる。特に、通信監視装置２０は、単体の業務通信数は正常な範囲であったとしても、業務通信ペアの関係から正規通信の悪用を検知することができる。

本実施例は、１つの通信が複数の業務に使われている場合においても、正規通信の悪用を検知する方法について説明する。実施例１との相違点について説明する。

図１６は、本実施例の通信監視装置２０の機能構成の一例を示すブロック図である。本実施例の通信監視装置２０は、実施例１の通信監視装置２０と機能部については同様であるが、業務通信ペアモデルテーブル２０４に代えて、業務通信ペア２段目上側特徴量テーブル２０６、業務通信ペア２段目下側特徴量テーブル２０７、及び業務通信ペア２段モデルテーブル２０８を保持する。

業務通信ペア２段目上側特徴量テーブル２０６と業務通信ペア２段目下側特徴量テーブル２０７のデータ構成は、業務通信ペア特徴量テーブル２０３のデータ構成と同じであるため、図示を省略するが、特徴量を算出する対象データが異なる。

業務通信ペア２段目上側特徴量テーブル２０６と業務通信ペア２段目下側特徴量テーブル２０７は、実施例１の外れ閾値を超えた業務通信について再度算出された特徴量の情報を保持する。入力値からモデル推定値を引いた値が正の値であれば２段目上側特徴量テーブル２０６に格納される特徴量となり、負の値であれば２段目下側特徴量テーブル２０７に格納される特徴量となる。

業務通信ペア２段モデルテーブル２０８は２段目上側特徴量と２段目下側特徴量からそれぞれ生成した２段目上側モデルと２段目下側モデルを格納するテーブルである。

図１７は、業務通信ペアの定常通信の特徴量からモデルを生成する業務通信ペアモデル生成処理の一例を示すフローチャートである。本処理は、図１０に示す学習処理が実行された後、即ち業務通信ペアモデルが生成された後、に実行されるものとする。

ステップＳ１５０１～ステップＳ１５０６の処理が実施される。なお、ステップＳ１５０３でモデル情報が業務通信ペアモデルテーブル２０４に格納されていないと判定された場合（Ｓ１５０３：ＮＯ）、処理を終了する。また、ステップＳ１５０５において、外れ度が外れ閾値より大きい業務通信ペアがないと判定された場合（Ｓ１５０５：ＮＯ）、処理を終了する。

ステップＳ１５０６に続いて、悪用通信検知処理部２５は振分け処理を実行する（Ｓ１７０１）。具体的には、例えば、悪用通信検知処理部２５は、ステップＳ１５０５において外れ閾値を超えた業務通信ペアがモデルの回帰直線のグラフの上側（正のｙ軸方向）又は下側（負のｙ軸方向）のどちらに外れているか判定する。悪用通信検知処理部２５は、入力値―モデル推定値が正の値なら上側と判定してステップＳ１７０２に遷移し、負の値なら下側と判定してステップＳ１７０４に遷移する。

ステップＳ１７０２における上側特徴量テーブル更新処理と、ステップＳ１７０３における業務通信ペア２段目上側モデル生成処理は、使用されるデータが異なるものの（ステップＳ１７０２及びステップＳ１７０３では外れ閾値を超える外れ度を有する業務通信ペアにおける通信数からモデルが算出される）、それぞれステップＳ１２０３の処理、及びステップＳ１２０４との処理と同様であるため説明を省略する。

同様にステップＳ１７０４における下側特徴量テーブル更新処理と、ステップＳ１７０５における業務通信ペア２段目下側モデル生成処理は、使用されるデータが異なるものの、それぞれステップＳ１２０３の処理、及びステップＳ１２０４との処理と同様であるため説明を省略する。

ステップＳ１７０３又はステップＳ１７０５の処理に続いて、悪用通信検知処理部２５は、生成したモデルを業務通信ペア２段モデルテーブル２０８に格納して（Ｓ１７０６）、処理を終了する。

図１８は、業務通信ペア２段モデルテーブル２０８の一例である。業務通信ペア２段モデルテーブル２０８は２段目上側特徴量から生成された２段目上側モデルと２段目下側特徴量から生成された２段目下側モデルとを格納する。

図１８の例では、実施例１で生成されたモデルと併せて、２段目上側モデルと２段目上側モデルとが、業務通信ペア２段モデルテーブル２０８に格納されている。

業務通信ペア２段モデルテーブル２０８は、業務通信ペアモデルテーブル２０４と同様に、例えば、業務通信ペア識別子（ＩＤ－２）を示す業務通信ペア識別子列１８０１、業務通信ペアを構成する正規通信Ｘの業務通信識別子列１８０２と正規通信Ｙの業務通信識別子列１８０３列、業務通信ペアの通信の特徴量から算出したモデルのパラメータである傾き列１８０４と切片列１８０５、及び異常検知の判定基準となる閾値基準を示す閾値基準列１８０６を含む。

業務通信ペア２段モデルテーブル２０８は、さらに、業務通信ペア２段目上側モデルのパラメータである２段目上側傾き列１８０８と２段目上側切片列１８０８、異常検知の判定基準となる２段目上側閾値基準列１８０９、業務通信ペア２段目下側モデルのパラメータである２段目下側傾き列１８１０と２段目下側切片列１８１１、及び異常検知の判定基準となる２段目下側閾値基準列１８１２、を含む。

このように、２段階でモデルが生成されることで、通信傾向の異なる２つの通信が１つの業務通信に混在している場合においても、適切にモデルを生成することができる。

図１９は、ステップＳ１４０２における業務通信ペアモデルとの差分から正規通信の悪用を検知する悪用通信検知処理の一例を示すフローチャートである。図１９の悪用通信検知処理は、ステップＳ１５０１～ステップＳ１５０５については、図１５の悪用通信検知処理と同様である。

悪用通信検知処理部２５は、ステップＳ１５０４において算出された外れ度が外れ閾値より大きい業務津通信ペアがあると判定した場合（Ｓ１５０５：ＹＥＳ）、業務通信ペア２段モデルテーブル２０８を参照して、外れていた側（上側または下側）の当該業務通信ペアの２段目モデルがあるか判定する（Ｓ１９０１）。

悪用通信検知処理部２５は、外れていた側の２段目モデルがある業務通信ペアに対しては（Ｓ１９０１：ＹＥＳ）、当該２段目モデル定常時の通信数を算出し、モデルと入力された通信の差分から外れ度を算出する（Ｓ１９０２）。具体的には、例えば、悪用通信検知処理部２５は、２段目モデルが示す定常時の通信数と入力された通信数との差分の絶対値を外れていた側の（上側又は下側）閾値基準（上側または下側）で割った値を外れ度として算出する。

次に、悪用通信検知処理部２５は、ステップＳ１９０２で算出した外れ度を、予め定められた外れ閾値（例えば閾値基準の３倍）と比較する（Ｓ１９０３）。悪用通信検知処理部２５は、ステップＳ１９０２で算出した外れ度が外れ閾値より大きい業務津通信ペアがあると判定した場合（Ｓ１９０３：ＹＥＳ）、ステップＳ１５０６へ遷移する。悪用通信検知処理部２５は、ステップＳ１９０２で算出した外れ度が外れ閾値より大きい業務津通信ペアがないと判定した場合（Ｓ１９０３：ＮＯ）、ステップＳ１５０１へ戻る。

悪用通信検知処理部２５は、外れていた側の２段目モデルがない業務通信ペアに対しては（Ｓ１９０１：ＮＯ）、そのまま外れ値としてステップＳ１５０６に遷移する。 以上、説明した様に本実施例に係る通信監視装置２０は、１つの正規通信が複数の業務に使われている場合においても、業務通信ペアの関係を示す特徴量から業務通信が規定通りに実行されているかを判断することができる。つまり、本実施例に係る通信監視装置２０は、悪用通信の誤検知を抑制することができ、ひいては正規通信の悪用をより正確に検知することができる。

なお、本実施形態において、通信監視装置２０は、２つの通信からなる業務通信ペアを特定していたが、上記した方法と同様の方法で、２つ以上の通信からなる業務通信グループを特定し、業務通信グループの関連を示すモデルを生成し、検知時の通信と当該モデルとの差分に基づいて、悪用通信を検知してもよい。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることも可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１ 監視対象システム、２０ 通信監視装置、２１ パケット収集処理部、２２ 業務通信ペア推定処理部、２３ 業務通信ペア特徴量算出処理部、２４ 業務通信ペアモデル生成処理部、２５ 悪用通信検知処理部、２０１ 業務通信識別子テーブル、２０２ 業務通信ペア推定テーブル、２０３ 業務通信ペア特徴量テーブル、２０４ 業務通信ペアモデルテーブル、２０５ 業務通信テーブル、２０６ 業務通信ペア２段目上側特徴量テーブル、２０７ 業務通信ペア２段目下側特徴量テーブル、２０８ 業務通信ペア２段モデルテーブル、２１１ ＣＰＵ、２１２ メモリ、２１３ 記憶装置、２１４ ＩＦ（インタフェース）、２１５ 入出力装置

Claims (14)

1. 監視対象システムの通信を監視する通信監視装置であって、
   プロセッサとメモリとを備え、
   前記メモリは、前記監視対象システム内の通信ペアを構成する通信数の関係を示し、かつ前記通信ペアを構成する通信が同じ時間帯に発生した通信数に基づいて生成された、通信ペアモデルを保持し、
   前記プロセッサは、前記通信ペアモデルと、検知期間における前記通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記検知期間における前記通信ペアを構成する通信の異常を検知する、通信監視装置。
2. 請求項１に記載の通信監視装置であって、
   前記プロセッサは、
   学習期間において前記監視対象システムから観測された通信から、同じ時間帯において発生した通信数に基づいて、前記通信ペアを推定し、
   前記通信ペアの前記学習期間における同じ時間帯に発生した通信数から算出される特徴量に基づいて、前記通信ペアモデルを生成し、
   前記生成した通信ペアモデルを前記メモリに格納する、通信監視装置。
3. 請求項２に記載の通信監視装置であって、
   前記プロセッサは、前記学習期間において前記監視対象システムから観測された通信のうち、前記同じ時間帯における通信数の相関係数が所定値以上である通信を、前記通信ペアとして推定する、通信監視装置。
4. 請求項２に記載の通信監視装置であって、
   前記プロセッサは、前記特徴量に基づいて、前記通信ペアを構成する通信の通信数の関係を示す回帰直線を、前記通信ペアモデルとして生成する、通信監視装置。
5. 請求項１に記載の通信監視装置であって、
   前記プロセッサは、前記差分の絶対値を前記残差の標準偏差である閾値基準で割った商である外れ度が、前記閾値を超えた場合に、前記異常を検知する、通信監視装置。
6. 請求項１に記載の通信監視装置であって、
   前記メモリは、上側通信ペアモデルと、下側通信ペアモデルと、を保持し、
   前記上側通信ペアモデルは、学習期間において前記監視対象システムから観測された前記通信ペアに含まれる上側通信ペアの通信数の関係を示し、
   前記通信ペアモデルと、前記学習期間における前記上側通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記閾値と比較した比較結果は、前記異常と判定される比較結果であり、
   前記上側通信ペアが示す通信数は、前記通信ペアモデルが示す関数のグラフの上側に位置し、
   前記下側通信ペアモデルは、前記学習期間において前記監視対象システムから観測された前記通信ペアに含まれる下側通信ペアの通信数の関係を示し、
   前記通信ペアモデルと、前記学習期間における前記下側通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記閾値と比較した比較結果は、前記異常と判定される比較結果であり、
   前記下側通信ペアが示す通信数は、前記通信ペアモデルが示す関数のグラフの下側に位置し、
   前記プロセッサは、
   前記通信ペアモデルと、検知期間における前記通信ペアに含まれる通信の通信数と、の差分に基づく値が、前記通信ペアモデルの残差に基づく閾値を超えたと判定した場合、
   前記検知期間における通信ペアが前記上側通信ペアであれば、前記上側通信ペアモデルと、前記検知期間における前記上側通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記上側通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記検知期間における前記上側通信ペアを構成する通信の異常を検知し、
   前記検知期間における通信ペアが前記下側通信ペアであれば、前記下側通信ペアモデルと、前記検知期間における前記下側通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記下側通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記検知期間における前記下側通信ペアを構成する通信の異常を検知する、通信監視装置。
7. 請求項６の通信監視装置であって、
   前記プロセッサは、
   前記学習期間において前記監視対象システムから観測された通信から、同じ時間帯において発生した通信数に基づいて、前記通信ペアを推定し、
   前記通信ペアの前記学習期間における同じ時間帯に発生した通信数から算出される特徴量に基づいて、前記通信ペアモデルを生成し、
   前記生成した通信ペアモデルを前記メモリに格納し、
   前記通信ペアモデルと、前記学習期間における前記通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記上側通信ペアと前記下側通信ペアを推定し、
   前記上側通信ペアの前記学習期間における同じ時間帯に発生した通信数から算出される特徴量に基づいて、前記上側通信ペアモデルを生成し、
   前記下側通信ペアの前記学習期間における同じ時間帯に発生した通信数から算出される特徴量に基づいて、前記下側通信ペアモデルを生成し、
   前記生成した上側通信ペアモデル及び前記生成した下側通信ペアモデルを前記メモリに格納する、通信監視装置。
8. 通信監視装置が監視対象システムの通信を監視する通信監視方法であって、
   前記通信監視装置は、プロセッサとメモリとを備え、
   前記メモリは、前記監視対象システム内の通信ペアを構成する通信数の関係を示し、かつ前記通信ペアを構成する通信が同じ時間帯に発生した通信数に基づいて生成された、通信ペアモデルを保持し、
   前記通信監視方法は、
   前記プロセッサが、前記通信ペアモデルと、検知期間における前記通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記検知期間における前記通信ペアを構成する通信の異常を検知する、通信監視方法。
9. 請求項８に記載の通信監視方法であって、
   前記プロセッサが、学習期間において前記監視対象システムから観測された通信から、同じ時間帯において発生した通信数に基づいて、前記通信ペアを推定し、
   前記プロセッサが、前記通信ペアの前記学習期間における同じ時間帯に発生した通信数から算出される特徴量に基づいて、前記通信ペアモデルを生成し、
   前記プロセッサが、前記生成した通信ペアモデルを前記メモリに格納する、通信監視方法。
10. 請求項９に記載の通信監視方法であって、
    前記プロセッサが、前記学習期間において前記監視対象システムから観測された通信のうち、前記同じ時間帯における通信数の相関係数が所定値以上である通信を、前記通信ペアとして推定する、通信監視方法。
11. 請求項９に記載の通信監視方法であって、
    前記プロセッサが、前記特徴量に基づいて、前記通信ペアを構成する通信の通信数の関係を示す回帰直線を、前記通信ペアモデルとして生成する、通信監視方法。
12. 請求項８に記載の通信監視方法であって、
    前記プロセッサが、前記差分の絶対値を前記残差の標準偏差である閾値基準で割った商である外れ度が、前記閾値を超えた場合に、前記異常を検知する、通信監視方法。
13. 請求項８に記載の通信監視方法であって、
    前記メモリは、上側通信ペアモデルと、下側通信ペアモデルと、を保持し、
    前記上側通信ペアモデルは、学習期間において前記監視対象システムから観測された前記通信ペアに含まれる上側通信ペアの通信数の関係を示し、
    前記通信ペアモデルと、前記学習期間における前記上側通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記閾値と比較した比較結果は、前記異常と判定される比較結果であり、
    前記上側通信ペアが示す通信数は、前記通信ペアモデルが示す関数のグラフの上側に位置し、
    前記下側通信ペアモデルは、前記学習期間において前記監視対象システムから観測された前記通信ペアに含まれる下側通信ペアの通信数の関係を示し、
    前記通信ペアモデルと、前記学習期間における前記下側通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記閾値と比較した比較結果は、前記異常と判定される比較結果であり、
    前記下側通信ペアが示す通信数は、前記通信ペアモデルが示す関数のグラフの下側に位置し、
    前記通信監視方法は、
    前記プロセッサが、前記通信ペアモデルと、検知期間における前記通信ペアに含まれる通信の通信数と、の差分に基づく値が、前記通信ペアモデルの残差に基づく閾値を超えたと判定した場合、
    前記プロセッサが、前記検知期間における通信ペアが前記上側通信ペアであれば、前記上側通信ペアモデルと、前記検知期間における前記上側通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記上側通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記検知期間における前記上側通信ペアを構成する通信の異常を検知し、
    前記プロセッサが、前記検知期間における通信ペアが前記下側通信ペアであれば、前記下側通信ペアモデルと、前記検知期間における前記下側通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記下側通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記検知期間における前記下側通信ペアを構成する通信の異常を検知する、通信監視方法。
14. 請求項１３の通信監視方法であって、
    前記プロセッサが、前記学習期間において前記監視対象システムから観測された通信から、同じ時間帯において発生した通信数に基づいて、前記通信ペアを推定し、
    前記プロセッサが、前記通信ペアの前記学習期間における同じ時間帯に発生した通信数から算出される特徴量に基づいて、前記通信ペアモデルを生成し、
    前記プロセッサが、前記生成した通信ペアモデルを前記メモリに格納し、
    前記プロセッサが、前記通信ペアモデルと、前記学習期間における前記通信ペアに含まれる通信の通信数と、の差分に基づく値を、前記通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記上側通信ペアと前記下側通信ペアを推定し、
    前記プロセッサが、前記上側通信ペアの前記学習期間における同じ時間帯に発生した通信数から算出される特徴量に基づいて、前記上側通信ペアモデルを生成し、
    前記プロセッサが、前記下側通信ペアの前記学習期間における同じ時間帯に発生した通信数から算出される特徴量に基づいて、前記下側通信ペアモデルを生成し、
    前記プロセッサが、前記生成した上側通信ペアモデル及び前記生成した下側通信ペアモデルを前記メモリに格納する、通信監視方法。

Images