JP7319872B2 - ネットワークセキュリティ装置及び学習優先度決定方法 - Google Patents

Description

本発明は、ネットワークセキュリティ装置及び学習優先度決定方法に関する。

通常業務の通信に紛れるような、高度な標的型サイバー攻撃が増加してきている。変更が困難な顧客システムでは、既設システムに影響を与えずに導入可能な異常検知の装置が求められている。このような要求に対応するセキュリティ対策として、当該システムのネットワーク上を流れる正常状態の通信情報を学習し、アノマリ検知する学習型ネットワークセキュリティ装置がある。

このような、学習型ネットワークセキュリティ装置における学習期間を短縮するための背景技術として、特開２００７－０９６７３５号公報（特許文献１）がある。この公報には、「外部ネットワーク１６およびＬＡＮ１２と、情報処理装置１５との間に介在し、情報処理装置１５を不正な侵入から保護する学習型のネットワークセキュリティ装置１０００において、情報処理装置１５とＬＡＮ１２との間で授受される現行パケットＰ１を取り込むネットワークサービスポートＰＳの他に、学習ポートＰＬを設けた。現行パケットＰ１の監視処理および学習と並行して、過去にＬＡＮ１２から捕捉されてパケット蓄積装置２０００に蓄積された蓄積パケットＰ２を学習ポートＰＬを介してネットワークセキュリティ装置１０００に取り込んで学習することで、サービス開始までの学習期間を短縮する。」と記載されている（要約参照）。

特開２００７－０９６７３５号公報

しかし、特許文献１に記載の技術では、過去の通信情報の学習結果が得てからでないと、学習期間を短縮ができない。そこで本発明の一態様は、過去の通信情報の学習結果が得られていないときであっても、学習に要する期間を短縮することを目的とする。

上記課題を解決するため本発明の一態様は、以下の構成を有する。監視対象システム内の通信の異常を検知するためのモデルの生成時における通信の学習優先度を決定する、ネットワークセキュリティ装置であって、プロセッサとメモリとを有し、前記メモリは、前記監視対象システム内の通信の組み合わせの統計値を示す統計情報と、前記監視対象システム内の通信の組み合わせの統計値に対応する優先度を示す優先度情報と、を保持し、前記プロセッサは、前記統計情報が示す統計値に対応する、前記優先度情報が示す第１優先度を取得し、前記第１優先度に基づいて、前記学習優先度を決定する、ネットワークセキュリティ装置。

本発明の一態様によれば、過去の通信情報の学習結果が得られていないときであっても、学習に要する期間を短縮することができる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

実施例１におけるネットワークセキュリティシステムの構成例を示すブロック図である。 実施例１におけるネットワークセキュリティ装置１０１のハードウェ構成例を示すブロック図である。 実施例１における通信統計解析情報テーブルの一例である。 実施例１における通信組合せ相関情報テーブルの一例である。 実施例１における機器情報テーブルの一例である。 実施例１における通信区分情報テーブルの一例である。 実施例１における業務通信関連情報テーブルの一例である。 実施例１における参照情報優先度ポリシーテーブルの一例である。 実施例１における通信頻度優先度ポリシーテーブルの一例である。 実施例１における通信組合せ相関優先度ポリシーテーブルの一例である。 実施例１におけるネットワークセキュリティ装置による全体の処理の一例を示すフローチャートである。

以下、本発明の実施形態を図面に基づいて詳細に説明する。本実施形態において、同一の構成には原則として同一の符号を付け、繰り返しの説明は省略する。なお、本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。

図１は、本実施例のネットワークセキュリティシステムの構成例を示すブロック図である。ネットワークセキュリティシステムは、ネットワークセキュリティ装置１０１、学習装置１０７、検知装置１０８、及び複数の監視対象端末１０９を含む。当該複数の監視対象端末１０９をまとめて監視対象システムとも呼ぶ。

ネットワークセキュリティ装置１０１は、複数の監視対象端末１０９に接続され、監視対象端末１０９間の異常通信を検知するための学習モデルを生成するための情報を生成する。ネットワークセキュリティ装置１０１は、例えば、学習対象優先度付け機能１０２、及び通信情報統計解析機能１０３を有する。

学習対象優先度付け機能１０２は、監視対象端末１０９間の異常通信を検知するための学習モデルを生成する際の通信の組合せの優先度を計算する。通信情報統計解析機能１０３は、監視対象端末１０９間の通信情報（例えばパケットヘッダ）を取得して、統計解析する。

また、ネットワークセキュリティ装置１０１は、例えば、統計解析情報ＤＢ１０４、システム特性情報ＤＢ１０５、及び優先度付けポリシーＤＢ１０６を有する。

統計解析情報ＤＢ１０４は、監視対象端末１０９間の通信を統計解析した結果に関する情報を保持する。システム特性情報ＤＢ１０５は、監視対象システムを構成する機器、通信区分、業務通信関連情報などの学習の優先度に関する情報を保持する。

優先度付けポリシーＤＢ１０６は、ネットワークセキュリティ装置１０１が学習対象の優先度を計算する際に基準とする各種ポリシーに関する情報を保持する。なお学習装置１０７が有する学習機能及び検知装置１０８が有する検知機能を、ネットワークセキュリティ装置１０１が有していれば、ネットワークセキュリティシステムは、学習装置１０７及び検知装置１０８を含まなくてもよい。

図２は、ネットワークセキュリティ装置１０１のハードウェ構成例を示すブロック図である。具体的には、ネットワークセキュリティ装置１０１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０１、メモリ２０２、補助記憶装置２０３、入力装置２０４、出力装置２０５、及び通信制御装置２０６、並びにこれらを相互に接続するバス２０７を有する計算機によって構成される。

ＣＰＵ２０１は、プロセッサを含み、メモリ２０２にロードされた各種プログラムを実行し、ネットワークセキュリティ装置１０１の各種機能を実現する。メモリ２０２は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、ＣＰＵ２０１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

補助記憶装置２０３は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置であり、ＣＰＵ２０１が実行するプログラム及びプログラムの実行時に使用されるデータを格納する。

すなわち、プログラムは、補助記憶装置２０３から読み出されて、メモリ２０２にロードされて、ＣＰＵ２０１によって実行される。なお、メモリ２０２に格納されているデータの一部又は全部が補助記憶装置２０３に格納されていてもよいし、補助記憶装置２０３に格納されているデータの一部又は全部がメモリ２０２に格納されていてもよい。

入力装置２０４は、ユーザからの入力を受ける装置であり、例えば、キーボード、マウス等である。出力装置２０５、プログラムの実行結果をユーザが視認可能な形式で出力する装置であり、例えば、ディスプレイ等である。なお、入力装置２０４及び出力装置２０５は、ネットワークセキュリティ装置１０１を構成する計算機に含まれずに、ネットワークセキュリティ装置１０１に接続されていてもよい。通信制御装置２０６は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインターフェース装置である。

なお、ＣＰＵ２０１は、メモリ２０２にロードされた学習対象優先度付けプログラムに従って動作することで、学習対象優先度付け機能１０２として機能し、メモリ２０２にロードされた通信情報統計解析プログラムに従って動作することで、通信情報統計解析機能１０３として機能する。ネットワークセキュリティ装置１０１が有する他の機能についても、プログラムと機能の関係は同様である。

なお、ネットワークセキュリティ装置１０１が有する機能の一部又は全部が、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のハードウェアによって実現されてもよい。

なお、本実施形態において、ネットワークセキュリティ装置１０１が使用する情報は、データ構造に依存せずどのようなデータ構造で表現されていてもよい。本実施形態ではテーブル形式で情報が表現されている例を説明するが、例えば、リスト、データベース又はキューから適切に選択したデータ構造体が、情報を格納することができる。

なお、ネットワークセキュリティ装置１０１は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。

なお、なお、優先度付けポリシーＤＢ１０６は、後述する図６の処理が開始する前に予めインプット情報として補助記憶装置２０３に格納されている。またシステム特性情報ＤＢ１０５は、監視対象システムに関する特性情報が取得可能な場合には、後述する図６の処理が開始する前に予めインプット情報として補助記憶装置２０３に格納されている。

図３Ａは、通信統計解析情報テーブルの一例であり、図３Ｂは、通信組合せ相関情報テーブルの一例である。通信統計解析情報テーブル及び通信組合せ相関情報テーブルは、いずれも統計解析情報ＤＢ１０４に格納されている。

まず、通信統計解析情報テーブル３１１について説明する。通信統計解析情報テーブル３１１は、機器間の通信に関する統計解析の結果を示す情報を保持する。具体的には、通信統計解析情報テーブル３１１は、例えば、通信ＩＤ欄３１２、通信プロトコル欄３１３、通信元欄３１４、通信先欄３１５、データサイズ欄３１６、通信頻度欄３１７、通信時間帯欄３１８、及び通信時間欄３１９を含む。

通信ＩＤ欄３１２は、通信を識別するＩＤを示す情報を保持する。通信プロトコル欄３１３は、通信において利用されたプロトコルを示す情報を保持する。通信元欄３１４は、通信の通信元を示す情報を保持する。通信先欄３１５は、通信の通信先を示す情報を保持する。

データサイズ欄３１６は、通信におけるデータサイズを示す情報を保持する。通信頻度欄３１７は、通信が行われる頻度を示す情報を保持する。通信時間帯欄３１８は、通信が行われた時間帯を示す情報を保持する。通信時間欄３１９は、通信が行われた時間の長さを示す情報を保持する。

図３Ａの通信統計解析情報テーブル３１１の１行目によれば、通信ＩＤが「Ｔ１」である通信情報について、以下のことがわかる。通信ＩＤが「Ｔ１」である通信情報について、当該通信の通信プロトコルは「ＴＣＰ」で、通信元のＩＰアドレスが「１０．０．０．１」、通信元のポートが「１５００５」、通信先のＩＰアドレスが「１０．０．０．３」、通信先のポートが「３００００」である。

通信ＩＤが「Ｔ１」である通信情報について、単位時間あたりの合計のデータサイズは「１ＭＢ」であり、平均のデータサイズは「１５ＫＢ」である。ここで、単位時間については任意の時間（例えば１秒）で設定可能であるものとする。

また、通信ＩＤが「Ｔ１」である通信情報における、通信頻度については、単位時間内あたりの通信の回数の平均値が「６００回／秒」である。また、通信ＩＤが「Ｔ１」である通信情報における、通信時間帯欄３１８については、通信情報の観測が開始できた時刻である「９：００」から、２４時間以内の単位において通信情報の観測が終了した最長の時刻である「１５：００」まで、が最長の通信時間帯である。

また、通信ＩＤが「Ｔ１」である通信情報における、通信時間については、２４時間以内の単位において当該通信情報について観測した通信のセッション時間の平均値である「３秒」である。

通信組合せ相関情報テーブル３２１について説明する。通信組合せ相関情報テーブル３２１は、複数通信からなる組合せの相関の度合いに関する情報を保持する。具体的には、通信組合せ相関情報テーブル３２１は、例えば、通信組合せ欄３２２、相関度合い欄３２３、及び通信頻度欄３２４を含む。

通信組合せ欄３２２は、通信組合せを構成する通信の通信ＩＤを示す情報を保持する。相関度合い欄３２３は、通信組み合わせを構成する相関の度合い（強さ）を示す情報を保持する。通信組合せ相関情報テーブル３２１における通信頻度欄３２４は、通信組合せを構成するＸ通信とＹ通信のうち、同じタイムスロット内で発生した通信のみの通信頻度を示す情報を保持する。

図３Ｂの通信組合せ相関情報テーブル３２１の１行目によれば、通信組合せが「Ｔ１－Ｔ２」である通信組合せ情報について、以下のことがわかる。通信組合せ「Ｔ１－Ｔ２」は通信ＩＤの値が「Ｔ１」と「Ｔ２」である各通信情報の組合せである。また、通信組合せ「Ｔ１－Ｔ２」を構成する「Ｔ１」と「Ｔ２」の通信が単位時間内に同時に発生する等のように、所定の関係基準による相関の度合いの値が「０．８５」である。また、通信組合せ「Ｔ１－Ｔ２」の単位時間あたりの通信頻度の平均値は４５０回／秒である。

図４Ａは、機器情報テーブルの一例である。図４Ｂは、通信区分情報テーブルの一例である。図４Ｃは、業務通信関連情報テーブルの一例である。機器情報テーブル、通信区分情報テーブル、及び業務通信関連情報テーブルは、いずれものシステム特性情報ＤＢ１０５に格納されている。

まず、機器情報テーブル４１１について説明する。機器情報テーブル４１１は、監視対象システムの各機器を特定する情報や、当該機器の学習の優先度に関する情報を保持する。具体的には、例えば、機器情報テーブル４１１は、機器ＩＤ欄４１２、ＩＰアドレス欄４１３、及び優先度欄４１４を含む。

機器ＩＤ欄４１２は、監視対象システムに含まれる各機器を識別するＩＤを示す情報を保持する。ＩＰアドレス欄４１３は、機器のＩＰアドレスを示す情報を保持する。優先度欄４１４は、機器の学習の優先度を示す値を保持する。

図４Ａの機器情報テーブル４１１の１行目によれば、機器ＩＤの値が「Ｍ１」である機器について、当該機器のＩＰアドレスは「１０．０．０．３」であり、当該機器に関する学習の優先度は「２」であることがわかる。

このように機器情報テーブル４１１は機器ごとに優先度を定義しているため、重要な通信を行う機器の優先度を高く設定することができる。つまり重要な通信を行う機器についてより精緻な学習を行うための優先度付けをすることができる。

次に、通信区分情報テーブル４２１について説明する。通信区分情報テーブル４２１は、監視対象システムの各通信区分を特定する情報、各通信区分に属する機器、及び当該通信区分の学習の優先度情報を保持する。具体的には、例えば、通信区分情報テーブル４２１は、通信区分ＩＤ欄４２２、優先度欄４２３、通信区分内機器欄４２４を含む。

通信区分ＩＤ欄４２２は、通信の区分を識別するＩＤを示す情報を保持する。優先度欄４３３は、当該通信区分に含まれる学習の優先度を示す値を保持する。通信区分内機器欄４２４は、当該通信区分に含まれる通信を行う機器を示す情報を保持する。

図４Ｂの通信区分情報テーブル４２１の１行目によれば、通信区分ＩＤの値が「Ｓ１」である通信区分について、当該通信区分に関する学習の優先度は「２」であり、当該通信区分に属する機器、機器ＩＤが「Ｍ１，Ｍ２，…，Ｍ５」の機器である。

このように通信区分情報テーブル４２１は通信区分ごとに優先度を定義しているため、重要な通信を行う機器のセグメントの優先度を高く設定することができる。つまり重要な通信を行うセグメントについてより精緻な学習を行うための優先度付けをすることができる。

次に、業務通信関連情報テーブル４３１について説明する。業務通信関連情報テーブル４３１は、監視対象システムの各業務を特定する情報、当該業務に関する各種情報、及び当該業務の学習の優先度に関する情報を保持する。具体的には、例えば、業務通信関連情報テーブル４３１は業務ＩＤ欄４３２、優先度欄４３３、データサイズ欄４３４、頻度欄４３５、通信時間帯欄４３６、通信時間欄４３７、及び関連機器欄４３８を含む。

業務ＩＤ欄４３２は、監視対象システムに含まれる機器が実行する業務を識別するＩＤを示す情報を保持する。優先度欄４３３は、業務の学習の優先度を示す値を保持する。データサイズ欄４３４は、業務の通信におけるデータサイズを示す情報を保持する。頻度欄４３５は、業務の通信の発生頻度を示す情報を保持する。

通信時間帯欄４３６は、業務の通信が行われる時間帯を示す情報を保持する。通信時間欄４３７は、業務の通信が行われた時間の長さを示す情報を保持する。関連機器欄４３８は、業務の通信に関連する機器を示す情報を保持する。

図４Ｃの業務通信関連情報テーブル４３１の１行目によれば、業務ＩＤの値が「Ｇ１」である業務について、以下のことがわかる。業務ＩＤの値が「Ｇ１」である業務について、当該業務の学習優先度は「４」であり、当該業務においてやり取りされる単位時間あたりの通信のデータサイズの合計は最小で「１ＫＢ」、最大で「２ＫＢ」である。また、業務ＩＤの値が「Ｇ１」である業務について、当該業務に関する単位時間あたりの通信頻度は「１０回／秒」であることが分かる。

また、業務ＩＤの値が「Ｇ１」である業務の通信時間帯は、当該業務に関する通信の観測が開始できた時刻である「９：００」から、２４時間以内の単位において観測が終了した最長の時刻である「１１：００」までが最長の通信時間帯である。

また、業務ＩＤの値が「Ｇ１」である業務の通信時間は、２４時間以内の単位において当該業務に関する通信を観測した通信のセッション時間の平均値が「３分」である。また、業務ＩＤの値が「Ｇ１」である業務の関連機器は、機器ＩＤが「Ｍ１，Ｍ３，…，Ｍ７」の機器である。

このように業務通信関連情報テーブル４３１は業務ごとに優先度を定義しているため、重要な通信を行う業務のセグメントの優先度を高く設定することができる。つまり重要な通信を行う業務についてより精緻な学習を行うための優先度付けをすることができる。

図５Ａは、参照情報優先度ポリシーテーブルの一例である。図５Ｂは、通信頻度優先度ポリシーテーブルの一例である。図５Ｃは、通信組合せ相関優先度ポリシーテーブルの一例である。参照情報優先度ポリシーテーブル５１１、通信頻度優先度ポリシーテーブル５２１、及び通信組合せ相関優先度ポリシーテーブル５３１は、いずれも優先度付けポリシーＤＢ１０６に格納されている。

まず、参照情報優先度ポリシーテーブル５１１について説明する。参照情報優先度ポリシーテーブル５１１は、監視対象システムの通信情報を学習する際にどの参照情報を優先するかに関する情報を保持する。

具体的には、例えば、参照情報優先度ポリシーテーブル５１１は、優先度フラグ欄５１２、及び参照情報欄５１３を含む。例えば「システム特性情報」と「統計解析情報」の優先度フラグが同じ値であれば、学習対象優先度付け機能１０２は、両者の情報、即ち「統計解析情報」である統計解析情報ＤＢ１０４が保持する優先度情報、及び「システム特性情報」であるシステム特性情報ＤＢ１０５が保持する優先度情報を参照して優先度を計算する。

また、優先度フラグの値が異なる場合、学習対象優先度付け機能１０２は、優先度フラグが大きい値の情報のみを参照して、優先度を計算してもよいし、優先度フラグの値を重みとして重みづけして優先度を算出してもよい。

このように、参照情報優先度ポリシーテーブル５１１において、システム特性情報と統計解析情報それぞれについて優先度フラグを設定可能である。これにより、学習モデルの生成において、監視対象システムの所定のシステム情報を重視するか、監視対象システム内の通信の情報のどちらかを重視するかを、ユーザが自由に決定することができる。

次に、通信頻度優先度ポリシーテーブル５２１について説明する。通信頻度優先度ポリシーテーブル５２１は、監視対象システムの通信情報を学習する際にどの程度の通信頻度の通信情報を優先するかに関する情報を保持する。具体的には、例えば、通信頻度優先度ポリシーテーブル５２１は通信頻度欄５２２、及び優先度欄５２３を含む。
図５Ｂの通信頻度優先度ポリシーテーブル５２１の１行目によれば、通信頻度が「５００回／秒 以上」である通信の優先度は「８」である。

通信頻度優先度ポリシーテーブル５２１が、通信頻度の区分ごとに優先度を定義していることにより、例えば、通信頻度が高い通信を重要通信として、優先度を高く設定することができる。

次に、通信組合せ相関優先度ポリシーテーブル５３１について説明する。通信組合せ相関優先度ポリシーテーブル５３１は、監視対象システムの通信情報を学習する際にどの程度の相関を持つ通信組合せを優先するかに関する情報を保持する。具体的には、例えば、通信組合せ相関優先度ポリシーテーブル５３１は、相関度合い欄５３２、及び優先度欄５３３を有する。

例えば、図３Ｂの通信組合せ相関情報テーブル３２１の１行目によれば、通信組合せ「Ｔ１－Ｔ２」の相関度合いの値が「０．８５」であることから、図５Ｃの通信組合せ相関優先度ポリシーテーブル５３１によれば、相関度合い値が「０．８５以上」である通信組合せに関する通信の学習優先度が「７」であることが分かる。

通信組合せ相関優先度ポリシーテーブル５３１が、通信間の相関度合いの区分ごとに優先度を定義していることにより、例えば、相関度合いが高い通信を重要通信として、優先度を高く設定することができる。

図６は、本実施例のネットワークセキュリティ装置１０１による全体の処理の一例を示すフローチャートである。まず、通信情報統計解析機能１０３は、監視対象システムのネットワークを流れる通信情報（例えばパケットのヘッダ）を取得して統計解析し、統計解析した結果を統計解析情報ＤＢ１０４へ書き込む（Ｓ６０１）。

具体的には、通信情報統計解析機能１０３は、所定期間、監視対象システムの通信情報を統計解析し、通信統計解析情報テーブル３１１及び通信組合せ相関情報テーブル３２１の各セルに書き込む。

つまり、通信情報統計解析機能１０３は、通信情報が示す通信に通信ＩＤを付与する。また、通信情報統計解析機能１０３は、通信情報から通信プロトコル、通信元、通信先、データサイズ、及び通信時間帯を取得して、通信統計解析情報テーブル３１１に書き込む。また、通信情報統計解析機能１０３は、監視対象システムにおける各通信の通信頻度と通信時間を算出して通信組合せ相関情報テーブル３２１に書き込む。

また、通信情報統計解析機能１０３は、監視対象システムにおける通信の組み合わせ全てについて、相関度合いと組合せの通信頻度とを算出して、通信組合せ相関情報テーブル３２１に書き込む。通信組合せを構成するＸ通信とＹ通信の双方が発生したタイムスロットにおけるＸ通信の通信数の合計と、Ｙ通信の双方が発生したタイムスロットにおけるＸ通信の通信数の合計と、の相関係数は、相関度合いの一例である。

なお、通信情報統計解析機能１０３は、上述のように全ての通信組み合わせの相関度合い及び組合せの通信頻度を通信組合せ相関情報テーブル３２１に格納してもよいし、相関度合いが所定値以上である通信組み合わせについてのみ相関度合い及び組合せの通信頻度を通信組合せ相関情報テーブル３２１に格納してもよいし、ユーザ等によって予め選択された通信組み合わせについてのみ相関度合い及び組合せの通信頻度を通信組合せ相関情報テーブル３２１に格納してもよい。

次に、学習対象優先度付け機能１０２は、システム特性情報ＤＢ１０５を参照して、システム特性情報の有無を確認する（Ｓ６０２）。学習対象優先度付け機能１０２は、システム特性情報があると判定した場合（Ｓ６０２：Ｙｅｓ）、優先度ポリシーと通信統計解析情報とシステム特性情報を基に学習対象の優先度付け処理を行う（Ｓ６０３）。

具体的には、例えば、図５Ａの参照情報優先度ポリシーテーブル５１１の例では、参照情報が「システム特性情報」であっても、「統計解析情報」であっても、優先度フラグとして値「１」が設定されているため、学習対象優先度付け機能１０２「システム特性情報」及び「統計解析情報」の双方に基づいて優先度付け処理を行う。以下では、ある単位時間あたりの各通信組合せについて、一例として通信組合せ「Ｔ１－Ｔ２」が、どのように優先度付けされるかについて説明する。

まず、学習対象優先度付け機能１０２は、通信組合せ「Ｔ１－Ｔ２」を、通信ＩＤ「Ｔ１」と「Ｔ２」に分解する。学習対象優先度付け機能１０２は、統計解析情報ＤＢ１０４の通信統計解析情報テーブル３１１を参照して「統計解析情報」を取得する。

通信統計解析情報テーブル３１１によれば、通信ＩＤ「Ｔ１」の通信は、通信プロトコルが「ＴＣＰ」、通信元のＩＰとポートがそれぞれ「１０．０．０．１」と「１５００５」、通信先のＩＰとポートがそれぞれ「１０．０．０．３」と「３００００」である。

さらに、通信ＩＤ「Ｔ１」の通信は、データサイズの合計と平均がそれぞれ「１ＭＢ」と「１５ＫＢ」、通信頻度が「６００回／秒」、通信時間帯の開始と終了がそれぞれ「９：００」から「１５：００」で、通信時間の平均時間は「３秒」である。

学習対象優先度付け機能１０２は、これらの参照した情報をもとに、通信ＩＤ「Ｔ１」について、システム特性情報ＤＢ１０５の機器情報テーブル４１１を参照して、「システム特性情報」を取得する。図４Ａの機器情報テーブル４１１によれば、通信元ＩＰ、通信先ＩＰがそれぞれ「１０．０．０．１」、「１０．０．０．３」であるため、機器は「Ｍ１」と「Ｍ２」であり、それぞれ優先度が「２」と「３」であり、優先度の合計は「５」である。

次に、学習対象優先度付け機能１０２は、通信区分情報テーブル４２１を参照して、通信区分内機器欄４２４から、特定した通信ＩＤ「Ｔ１」に関連する機器ＩＤ「Ｍ１」及び「Ｍ２」（機器ＩＤ「Ｍ１」及び「Ｍ２」の少なくとも一方、としてもよい）が通信区分内機器に含まれる通信区分を検索する。図４Ｂの例では、通信区分ＩＤが「Ｓ１」に機器ＩＤ「Ｍ１」及び「Ｍ２」が含まれ、「Ｓ１」の優先度が「２」であることがわかる。

なお、複数の通信区分が検索結果として出現した場合には、学習対象優先度付け機能１０２は、例えば、当該複数の通信区分の優先度の合計を算出する。また、検索結果として該当する通信区分がない場合には、例えば、通信区分の優先度としてデフォルトの優先度（例えば「０」）を用いる。

次に、学習対象優先度付け機能１０２は、業務通信関連情報テーブル４３１を参照して、関連機器欄４３８から、特定した通信ＩＤ「Ｔ１」に関連する機器ＩＤ「Ｍ１」及び「Ｍ２」の少なくとも一方（機器ＩＤ「Ｍ１」及び「Ｍ２」の両方とも、としてもよい）が含まれる関連機器を検索する。図４Ｃの例では、業務ＩＤが「Ｇ１」の関連機器に機器ＩＤ「Ｍ１」が含まれ、業務ＩＤが「Ｇ２」の関連機器に機器ＩＤ「Ｍ２」が含まれる。これらの業務ＩＤに対応する優先度はそれぞれ「４」と「２」であり、優先度の合計は「６」である。

なお、例えば、業務ＩＤを一意に特定できる情報がある場合には、当該業務ＩＤに対応する優先度が一意に定まるが、上述した例では複数の業務ＩＤが特定されたため、当該複数の優先度の合計値が算出されている。

以上から、システム特性情報ＤＢ１０５を用いて通信ＩＤ「Ｔ１」の優先度付けしたときの優先度の値は、機器情報テーブル４１１から算出された「５」と、通信区分情報テーブル４２１から算出された「２」と、業務通信関連情報テーブル４３１から算出された「６」と、の合計値「１３」である。学習対象優先度付け機能１０２は、通信ＩＤ「Ｔ２」についても同様の方法で優先度を計算し、その優先度の値は「１０」である。

続いて、学習対象優先度付け機能１０２は、通信組合せ「Ｔ１－Ｔ２」について、統計解析情報ＤＢ１０４の通信統計解析情報テーブル３１１と通信組合せ相関情報テーブル３２１を参照して、優先度の値を計算する。

まず、学習対象優先度付け機能１０２は、通信ＩＤ「Ｔ１」及び「Ｔ２」それぞれについて、通信統計解析情報テーブル３１１の通信頻度欄３１７の値を参照する。通信ＩＤ「Ｔ１」及び「Ｔ２」の通信頻度は、それぞれ「６００回／秒」と「５００回／秒」である。

また、学習対象優先度付け機能１０２は、通信組合せ相関情報テーブル３２１を参照して、通信組合せ「Ｔ１－Ｔ２」の相関度合いが「０．８５」、通信頻度が「４５０回／秒」であることがわかる。

学習対象優先度付け機能１０２は、これらの値を優先度付けポリシーＤＢ１０６の通信頻度優先度ポリシーテーブル５２１と突き合せ、通信頻度が「６００回／秒」である通信ＩＤ「Ｔ１」の優先度が「８」であり、通信頻度が「５００回／秒」である通信ＩＤ「Ｔ２」の優先度「５」であり、通信頻度が「４５０／秒である」通信組合せＩＤ「Ｔ１－Ｔ２」の優先度が「５」あることがわかる。従って、学習対象優先度付け機能１０２は、通信組合せ「Ｔ１－Ｔ２」の優先度として、これらの合計値である「１８」を算出する。

次に、通信組合せ「Ｔ１－Ｔ２」の相関度合いは０．８５であるため、学習対象優先度付け機能１０２は、通信組合せ相関優先度ポリシーテーブル５３１を参照すると、通信組合せ「Ｔ１－Ｔ２」の優先度の値が「７」であることがわかる。

以上により、通信組合せ「Ｔ１－Ｔ２」について、システム特性情報から算出された通信ＩＤ「Ｔ１」の優先度が「１３」であり、システム特性情報から算出された通信ＩＤ「Ｔ２」の優先度が「１０」であり、通信組合せ「Ｔ１－Ｔ２」の通信頻度から算出された優先度が「１８」であり、通信組合せ「Ｔ１－Ｔ２」の相関度合いから算出された優先度が「７」である。学習対象優先度付け機能１０２は、通信組合せ「Ｔ１－Ｔ２」の最終的な優先度を、その合計値である「４８」として算出する。

学習対象優先度付け機能１０２は、他の通信組合せについても同様の方法で最終的な優先度を計算し、優先度の値が高い順に学習対象の通信組合せに決定する。なおこのとき、優先度の値の上位いくつまでを学習対象とするかについては、当該学習システムのマシンスペックや、学習に要する希望期間に応じて自動的に調整可能であってもよいし、ユーザによって調整可能であってもよい。

また、ステップＳ６０２において、学習対象優先度付け機能１０２は、システム特性情報がないと判定した場合（Ｓ６０２：Ｎｏ）、優先度ポリシーと通信統計解析情報を基に学習対象の優先度付け処理を行う（Ｓ６０４）。

つまり、ステップＳ６０４の処理は、通信組合せの通信頻度に基づく優先度と、通信組合せの相関度合いに基づく優先度と、から優先度付け処理を行う。通信組合せの通信頻度に基づく優先度と、通信組合せの相関度合いに基づく優先度の算出方法は、ステップＳＳ６０３で説明された算出方法と同様である。なお、ステップＳ６０４で優先度の合計値を算出している処理があるが、合計値の代わりに平均値等の別の統計量を算出してもよい。

ステップＳ６０４の処理によって、ネットワークセキュリティ装置１０１は、監視対象システムの機器情報が不明であっても、学習対象の優先度を算出することができる。

次に、学習装置１０７は、統計解析情報ＤＢ１０４の情報と、ステップＳ６０３又はステップＳ６０４のいずれかで生成された優先度付け情報と、に基づいて、監視対象システムの通常時のネットワーク通信を学習して学習情報を生成する（ステップ６０５）。

具体的には、例えば、学習装置１０７は、ステップＳ６０４で算出された最終的な優先度が所定値以上の通信についてのみ学習を行ってもよいし、当該優先度が高い順に所定数の通信についてのみ学習を行ってもよい。また、学習に要する処理負荷が通信ごとに予め定められていてもよく、優先度が高い順に学習対象の通信を、学習に要する処理負荷が所定の閾値を超えるまで選択して、当該選択した学習対象の通信についてのみ学習を行ってもよい。

最後に、検知装置１０８は、ステップＳ６０５で生成された学習情報に基づいて、監視対象システムにおける通信の異常検知のための監視を実行する（ステップ６０６）。

なお、上記ステップＳ６０１～ステップＳ６０４により、監視対象システムのネットワーク通信の学習の優先度を計算し、通信情報の学習対象を優先度付けすることで、学習に要する期間を短縮することができる。

なお、上記した例ではシステム特性情報と統計解析情報を用いて優先度が算出されたが、例えば、学習に要する時間（学習に要する処理負荷の一例）をさらに用いて優先度が算出されてもよい。具体的には、例えば、監視対象システム内の通信の組合せごとに予め定められた学習時間に対して、学習時間が長いほど優先度が低くなるように定められているポリシー情報を補助記憶装置２０３が保持し、当該ポリシー情報の優先度が、さらに加算対象とされてもよい。

また、上記した例では、統計解析情報を必ず用いて優先度が算出されたが、ネットワークセキュリティ装置１０１がシステム特性情報のみを有している場合に、統計解析情報を用いることなくシステム特性情報から優先度を算出してもよい。

なお、本実施形態において、ネットワークセキュリティ装置１０１は、２つの通信からなる通信組合せを用いて優先度を算出していたが、３つ以上の通信からなる通信グループを用いて、優先度を算出してもよい。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることも可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１０１ ネットワークセキュリティ装置、１０２ 学習対象優先度付け機能、１０３ 通信情報統計解析機能、１０４ 統計解析情報ＤＢ、１０５ システム特性情報ＤＢ、１０６ 優先度付けポリシーＤＢ、２０１ ＣＰＵ、２０２ メモリ、２０３ 補助記憶装置、３１１ 通信統計解析情報テーブル、３２１ 通信組合せ相関情報テーブル、４１１ 機器情報テーブル、４２１ 通信区分情報テーブル、４３１ 業務通信関連情報テーブル、５１１ 参照情報優先度ポリシーテーブル、５２１ 通信頻度優先度ポリシーテーブル、５３１ 通信組合せ相関優先度ポリシーテーブル

Claims (9)

1. 監視対象システム内の通信の異常を検知するためのモデルの生成時における通信の学習優先度を決定する、ネットワークセキュリティ装置であって、
   プロセッサとメモリとを有し、
   前記メモリは、
   前記監視対象システム内の通信の組み合わせの統計値を示す統計情報と、
   前記監視対象システム内の通信の組み合わせの統計値に対応する優先度を示す優先度情報と、を保持し、
   前記プロセッサは、
   前記統計情報が示す統計値に対応する、前記優先度情報が示す第１優先度を取得し、
   前記第１優先度に基づいて、前記学習優先度を決定し、
   前記統計情報は、前記監視対象システム内の通信の組み合わせに含まれる全ての通信が同じ時間帯に発生した通信頻度を示し、
   前記優先度情報において、前記通信頻度が高いほど対応する優先度が高い、ネットワークセキュリティ装置。
2. 請求項１に記載のネットワークセキュリティ装置であって、
   前記統計情報は、前記監視対象システム内の通信の組み合わせに含まれる全ての通信の発生の相関度合いを、さらに示し、
   前記優先度情報において、前記相関度合いが高いほど対応する優先度が高い、ネットワークセキュリティ装置。
3. 請求項１に記載のネットワークセキュリティ装置であって、
   前記プロセッサは、
   前記学習優先度に基づいて、前記監視対象システム内の通信から学習対象の通信を決定し、
   前記決定した学習対象の通信を学習して、前記モデルを生成する、ネットワークセキュリティ装置。
4. 監視対象システム内の通信の異常を検知するためのモデルの生成時における通信の学習優先度を決定する、ネットワークセキュリティ装置であって、
   プロセッサとメモリとを有し、
   前記メモリは、
   前記監視対象システム内の通信の組み合わせの統計値を示す統計情報と、
   前記監視対象システム内の通信の組み合わせの統計値に対応する優先度を示す優先度情報と、を保持し、
   前記プロセッサは、
   前記統計情報が示す統計値に対応する、前記優先度情報が示す第１優先度を取得し、
   前記第１優先度に基づいて、前記学習優先度を決定し、
   前記メモリは、前記監視対象システムのシステム特性と、前記システム特性の値に対応する優先度と、を示すシステム特性情報を保持し、
   前記プロセッサは、
   前記システム特性情報が示すシステム特性の値に対応する第２優先度を取得し、
   前記第１優先度及び前記第２優先度に基づいて、前記学習優先度を決定する、ネットワークセキュリティ装置。
5. 請求項４に記載のネットワークセキュリティ装置であって、
   前記システム特性情報が示すシステム特性は、前記監視対象システムを構成する機器の識別子を含む、ネットワークセキュリティ装置。
6. 請求項４に記載のネットワークセキュリティ装置であって、
   前記システム特性情報が示すシステム特性は、前記監視対象システム内の通信のうち同一の通信区分に含まれる通信を行う機器を含む、ネットワークセキュリティ装置。
7. 請求項４に記載のネットワークセキュリティ装置であって、
   前記システム特性情報が示すシステム特性は、前記監視対象システム内の通信のうち、業務通信に該当する通信を行う機器を含む、ネットワークセキュリティ装置。
8. 監視対象システム内の通信の異常を検知するためのモデルの生成時における通信の学習優先度を決定する、ネットワークセキュリティ装置であって、
   プロセッサとメモリとを有し、
   前記メモリは、
   前記監視対象システム内の通信の組み合わせの統計値を示す統計情報と、
   前記監視対象システム内の通信の組み合わせの統計値に対応する優先度を示す優先度情報と、を保持し、
   前記プロセッサは、
   前記統計情報が示す統計値に対応する、前記優先度情報が示す第１優先度を取得し、
   前記第１優先度に基づいて、前記学習優先度を決定し、
   前記学習優先度に基づいて、前記監視対象システム内の通信から学習対象の通信を決定し、
   前記決定した学習対象の通信を学習して、前記モデルを生成し、
   前記メモリは、前記監視対象システム内の通信ごとの学習に要する処理負荷を示す処理負荷情報を保持し、
   前記優先度情報において、前記処理負荷が高いほど対応する優先度が低い、ネットワークセキュリティ装置。
9. ネットワークセキュリティ装置が、監視対象システム内の通信の異常を検知するためのモデルの生成時における通信の学習優先度を決定する、方法であって、
   前記ネットワークセキュリティ装置は、プロセッサとメモリとを有し、
   前記メモリは、
   前記監視対象システム内の通信の組み合わせの統計値を示す統計情報と、
   前記監視対象システム内の通信の組み合わせの統計値に対応する優先度を示す優先度情報と、を保持し、
   前記方法は、
   前記プロセッサが、前記統計情報が示す統計値に対応する、前記優先度情報が示す第１優先度を取得し、
   前記プロセッサが前記第１優先度に基づいて、前記学習優先度を決定し、
   前記統計情報は、前記監視対象システム内の通信の組み合わせに含まれる全ての通信が同じ時間帯に発生した通信頻度を示し、
   前記優先度情報において、前記通信頻度が高いほど対応する優先度が高い、方法。

Images