WO2016092836A1 - 通信監視システム、提示装置及びその提示方法、解析装置、並びにコンピュータ・プログラムが格納された記録媒体 - Google Patents

Abstract

　ネットワークの異常を表すアラートをより効率的に判断することが可能な態様によってオペレータに提示することが可能な提示装置等を提供する。　提示装置１は、監視対象である通信ネットワーク５１において異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれる第１の情報と、一乃至複数の第２のアラートに関する通信情報に含まれる第２の情報とに基づき求められた類似性を表す類似情報を提示する提示部２を備える。

Description

通信監視システム、提示装置及びその提示方法、解析装置、並びにコンピュータ・プログラムが格納された記録媒体

　本発明は、監視対象であるネットワークを監視する技術分野に関する。

　企業ネットワークでは、例えば、外部の通信ネットワークからの攻撃や悪意ある第三者からの不正侵入を防ぐことを目的として、ファイアウォールや侵入検知システムなどにより通信の遮断や監視などを行っている。尚、本願において、以下の説明では、「通信ネットワーク」を、単に「ネットワーク」と記載する場合もある。また、以下の説明では、侵入検知システムを、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）と記載する場合もある。

　特に、近年では、企業の知的財産に関する情報や機密情報などの窃取を目的とする標的型攻撃による事例は増加傾向にある。それに伴い、サイバーセキュリティに対する需要は高まっている。

　サイバーセキュリティ対策としては、セキュリティーオペレーションセンターを導入することによって、監視対象であるネットワークの監視およびインシデントに対処することが一般的になっている。尚、以下の説明では、セキュリティーオペレーションセンターを、ＳＯＣ（Ｓｅｃｕｒｉｔｙ　Ｏｐｅｒａｔｉｏｎ　Ｃｅｎｔｅｒ）と記載する場合もある。例えば、企業では、このＳＯＣを企業内に設置する、或いはＳＯＣの運営を外部企業に委託することにより実現する。

　より具体的に、ネットワークを監視する業務では、ファイアウォールやＩＤＳなどの監視機器から通知されたアラートを、所定の危険度に基づいて分類する作業を行う。例えば、アラートには、外部からの攻撃であるが危険性のないアラートも含まれる。即ち、当該監視機器から通知された全てのアラートは、必ずしもインシデントとして報告する必要があるわけではない。そのため、監視業務を行うオペレータは、当該アラートに含まれる情報を確認する、または外部情報を参照する。これによって、オペレータは、当該アラートに対して適切な危険度を設定する。そして、オペレータは、必要に応じて、当該アラートをインシデントとして報告することができる。この分類作業の際に参照するアラート情報には、次に示す情報が挙げられる。即ち、アラート情報は、監視対象の異常を検知する際に用いられた検知ルール、送受信を行ったホストのＩＰアドレスおよびポート番号、セキュリティベンダーによって割り当てられた検知ルールに対する重要度などを表す情報を含む。尚、ＩＰは、Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌの略称である。

　ここで、本願出願に先立って存在する関連技術としては、例えば、特許文献１がある。特許文献１は、監視対象であるネットワークに設置されたＩＤＳセンサから通知されたイベントデータ（アラート情報）を解析する。これによって、特許文献１は、アラートを発行するイベント解析及び警告システムに関する技術を開示する。

　このイベント解析及び警告システムは、イベントデータと、過去に不正アクセスであると判定したアラートとに基づいて、当該イベントデータにより示される通信イベントが不正アクセスか否かを機械的に判定する。より具体的に、イベント解析及び警告システムは、イベントデータに含まれるシグネチャ（検知ルール）、ＩＰアドレスおよびポート番号の一部または全部の項目と、過去に不正アクセスと判定したアラートとを比較する。その結果、イベント解析及び警告システムは、当該各項目と、不正アクセスと判定したアラートとの一致点または類似点を以って不正アクセスか否かを判定する。

特許第４６１９２５４号公報

　上述したように通信監視システムは、アラートに含まれる定型的な項目を解析することによって、オペレータの分類作業を支援することができる。しかしながら、通信監視システムでは、アラートの原因となったパケットに含まれるペイロードのように不定型な構造を持つ要素に関しては、オペレータの目視により当該アラートの危険度を判断する必要がある。

　また、特許文献１には、イベントデータと、過去に不正アクセスであると判定したアラートとに基づいて、通信イベントが不正アクセスか否かを判定することが記載されている。しかしながら、アラートを分類する際の判断基準としては、イベントデータと、当該アラートとの一致点または類似点だけでは不十分な場合がある。

　一例として、以下の説明では、過去に分類されたアラートは、誤検知により分類されたアラートとする。また、当該過去に分類されたアラートは、検知ルールと通信イベントの送信元および送信先を示す情報とに基づいて分類されたこととする。その場合に、特許文献１に開示された技術では、当該過去に分類されたアラートに関する項目と、新たに通知されたアラートに関する項目とが一致したからといって、その新たに通知されたアラートを同じく誤検知として分類できるわけではない。即ち、当該判断基準としては、検知ルールと通信イベントの送信元および送信先を示す情報とだけでは不十分である。

　以下の説明では、説明の便宜上、ＩＤＳを含む通信監視システムを例に説明する。例えば、アラートの分類作業において、異常と検知された通信パケットに含まれるペイロードを確認するまでは、オペレータは、アラートの危険度を、最終的に判断をすることができない可能性がある。より具体的に、通信監視システムは、アラートに含まれる定型的な項目を解析することによって、オペレータによる分類作業を支援することができる。しかしながら、通信監視システムでは、当該ペイロードのように不定型な構造を持つ要素に関しては、オペレータの目視によりアラートの危険度を判断する必要がある

　本発明は、ネットワークの異常を表すアラートを、より効率的に判断することが可能な態様によってオペレータに提示することが可能な提示装置等を提供することを主たる目的とする。

　上記の課題を達成すべく、本発明の一態様に係る提示装置は、
　監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれる第１の情報と、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報に含まれる第２の情報とに基づき求められた前記第１及び第２のアラート間の類似性を表す類似情報を提示する提示手段を備える。

　また、同目的を達成すべく、本発明の一態様に係る解析装置は、
　監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれる第１の情報と、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報に含まれる第２の情報とに基づいて、それら情報と異なり、且つ前記第１の情報と前記第２の情報との間の類似性が要約された形態で含まれている要約情報を求める解析手段を備える。

　或いは、同目的は、上記に示す提示装置を含む通信監視システムによっても達成される。

　また、同目的を達成すべく、本発明の一態様に係る提示方法は、
　監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれる第１の情報と、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報に含まれる第２の情報とに基づき求められた前記第１及び第２のアラート間の類似性を表す類似情報を提示する。

　尚、同目的は、上記の各構成を有する提示装置及びその方法を、コンピュータによって実現するコンピュータ・プログラム、及びそのコンピュータ・プログラムが格納されている、コンピュータ読み取り可能な記録媒体によっても達成される。

　本発明によれば、ネットワークの異常を表すアラートを、より効率的に判断することが可能な態様によってオペレータに提示することが可能な提示装置等を提供することができる。

図１は、本発明の第１の実施形態における通信監視システムの構成を示すブロック図である。 図２は、本発明の第１の実施形態における提示装置の構成を示すブロック図である。 図３は、本発明の第２の実施形態における通信監視システムの構成を示すブロック図である。 図４は、本発明の第２の実施形態における提示装置の構成を示すブロック図である。 図５は、本発明の第２の実施形態における提示装置によってアラートに関連する情報が提示された態様を具体的に例示する図である。 図６は、本発明の第２の実施形態における解析装置の構成を示すブロック図である。 図７は、本発明の第３の実施形態における通信監視システムの構成を示すブロック図である。 図８は、本発明の第３の実施形態における提示装置の構成を示すブロック図である。 図９は、本発明の第３の実施形態における解析装置の構成を示すブロック図である。 図１０は、本発明の第３の実施形態における通信監視装置の構成を示すブロック図である。 図１１は、本発明の第３の実施形態における通信監視システムが行うアラートに関連する情報を提示する動作を示すシーケンス図（フローチャート）である。 図１２は、本発明の第３の実施形態における通信監視システムが行う特定のアラートと類似するアラートに関連する情報を提示する動作を示すシーケンス図（フローチャート）である。 図１３は、本発明の第３の実施形態における提示部によってアラートに関連する情報が提示された態様を具体的に例示する図である。 図１４は、本発明に係る各実施形態を実現可能な情報処理装置のハードウェア構成を例示的に説明するブロック図である。

　以下、本発明の実施形態について図面を参照して詳細に説明する。

　＜第１の実施形態＞
　図１は、本発明の第１の実施形態における通信監視システム１０の構成を示すブロック図である。また、図２は、本発明の第１の実施形態における提示装置１の構成を示すブロック図である。

　図１において、通信監視システム１０は、大別して、提示装置１、監視の対象である監視対象ネットワーク５１及び監視対象ネットワーク５１を監視する通信監視装置５２を有する。また、図２において、提示装置１は、提示部２を備える。

　より具体的に、提示部２は、監視対象である監視対象ネットワーク５１において異常が検知されるのに応じてアラート（第１のアラート）が通知された際に、次に示す処理を実行する。

　提示部２は、第１のアラートと、その第１のアラートが通知されるより過去に通知された一乃至複数のアラート（第２のアラート）間の類似性を表す類似情報を提示する機能を備える。即ち、提示部２は、第１のアラートの原因となった通信情報に含まれる第１の情報と、第２のアラートに関する通信情報に含まれる第２の情報とに基づき求められた当該類似情報を提示する機能を備える。

　上記のアラートは、例えば、検知時刻と、異常を検知する際に用いられた検知ルールを識別可能な識別子と、異常の原因である通信情報の送信元のＩＰアドレスおよびポート番号と、当該通信情報の送信先ホストのＩＰアドレスおよびポート番号とを含む。検知時刻とは、通信監視装置５２が異常を検知した時刻を表す情報である。または、検知時刻は、通信監視装置５２が異常を検知した時刻を含む日時を表す情報でもよい。但し、以下の説明では、説明の便宜上、係る時刻を含む日時を表す情報であっても検知時刻と記すこととする。

　また、類似情報は、第１のアラートと、その第１のアラートと類似する第２のアラートとの間の類似性を表す情報である。

　より具体的に、類似情報は、第１の情報と第２の情報とは異なり、且つ第１の情報と第２の情報との間の類似性が要約された形態で含まれている要約情報（要約値）を含む。即ち、類似情報は、少なくとも、第１の情報と第２の情報とに基づき求められた当該類似性が要約された形態で保存されている要約情報を含む。本実施形態において、第１の情報は、第１のアラートの原因となった通信情報に含まれる情報である。また、第２の情報は、第２のアラートに関する通信情報に含まれる情報である。類似情報の具体例については、第２の実施形態において詳細に後述する。

　本実施形態では、説明の便宜上、一例として、提示部２は、第１のアラートと第２のアラートとの類似性を表す類似情報を提示する構成を例に説明する。しかしながら本発明に係る実施形態は、係る構成に限定されない。提示部２は、さらに、第１のアラートに関する情報（アラート情報）の一部または全部を提示する構成を採用してもよい。その場合に、提示部２は、第１のアラートに関連する情報として、アラート情報の一部または全部と、当該類似情報とを提示してもよい。即ち、提示部２は、少なくとも、アラート情報の一部または全部と、当該類似情報とをオペレータが識別可能な態様によって提示してもよい。

　上記のアラート情報とは、アラートに含まれる情報とアラートを識別可能な識別子とに基づき生成された情報である。

　より具体的に、一例として、アラート情報は、アラート毎に、少なくとも、次に示す情報を含むこととする。

　・アラート識別子、
　・検知時刻、
　・検知ルールを識別可能な識別子、
　・異常の原因である通信情報の送信元のＩＰアドレスおよびポート番号及び
　・当該通信情報の送信先ホストのＩＰアドレスおよびポート番号。即ち、アラート情報は、アラート識別子をキーとして、検知時刻と、検知ルールの識別子と、送信元のＩＰアドレスおよびポート番号と、送信先ホストのＩＰアドレスおよびポート番号とが関連付けられた情報である。

　以下の説明では、説明の便宜上、「監視対象ネットワーク５１」を、単に、「ネットワーク５１」と記載する場合もある。また、以下の説明では、「第１のアラート」と「第２のアラート」とを、総称して「アラート」と記載する場合もある（以下、各実施形態においても同様）。

　通信監視装置５２は、ネットワーク５１に流れる通信情報を監視する機能を備える。また、通信監視装置５２は、検知ルールに基づいて、例えば、ネットワーク５１に対する外部からの攻撃を検知する。通信監視装置５２は、新たに異常を検知したことをアラートとして解析装置（不図示、例えば、図３に示す解析装置２２）に対して通知する。そして、通信監視装置５２は、アラートに関するアラート情報を記憶する機能を備える。

　通信監視装置５２が検知ルールに基づきネットワーク５１の異常を検知する技術自体は、現在では一般的な技術を採用することができる。そのため、本実施形態における詳細な説明は省略する（以下、各実施形態においても同様）。

　このように本実施の形態に係る提示装置１によれば、ネットワークの異常を表すアラートをより効率的に判断することが可能な態様によってオペレータに提示することができる。その理由は、以下に述べる通りである。

　即ち、提示装置１は、通信情報に含まれる第１及び第２の情報に基づき求められた類似性を表す類似情報を提示する提示部２を備えるからである。これにより、オペレータは、その類似情報に基づいて、アラートの危険度を容易に判断することができる。従って、検知ルールやホストのＩＰアドレスなどの情報だけでは当該危険度を判断できない場合であっても、提示装置１は、分類指標として類似情報をオペレータに提示することができる。そのため、オペレータは、アラートの分類作業において、当該危険度を効率的に判断することができる。

　＜第２の実施形態＞
　次に、上述した本発明の第１の実施形態に係る提示装置１を基本とする第２の実施形態について説明する。以下の説明においては、本実施形態に係る特徴的な部分を中心に説明する。その際、上述した各実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明は省略する。

　本発明の第２の実施形態における通信監視システム２０について、図３乃至図６を参照して説明する。

　図３は、本発明の第２の実施形態における通信監視システム２０の構成を示すブロック図である。また、図４は、本発明の第２の実施形態における提示装置２１の構成を示すブロック図である。

　図３において、通信監視システム２０は、大別して、提示装置２１、解析装置２２、監視対象ネットワーク５１及び通信監視装置５２を有する。また、図４において、提示装置２１は、提示部２３及び可視化部２４を備える。

　より具体的に、可視化部２４は、後述する解析装置２２によって求められた要約情報を基に視認性の高い彩色情報に変換する機能を備える。即ち、可視化部２４は、解析装置２２によって求められた要約情報に基づいて、彩色情報を生成する。

　提示部２３は、類似情報として、第１のアラートに対応する提示領域を、可視化部２４によって生成された彩色情報に基づき彩色する機能を備える。即ち、提示部２３は、類似情報を、オペレータが識別可能な、彩色した態様によって提示する機能を備える。

　図５は、本発明の第２の実施形態における提示部２３によってアラートに関連する情報が提示された態様を具体的に例示する図である。即ち、図５は、提示部２３が提示する検知アラートリスト２６である。

　より具体的に、図５に示すように、提示部２３は、アラート毎に、少なくとも、アラート情報に含まれる一部の項目と、類似情報とを提示する。例えば、図５に示すように、提示部２３は、アラート毎に、アラート情報に含まれる一部の項目と、類似情報とを、少なくとも不図示のディスプレイなどのユーザインタフェースに表示してもよい。

　図５に示す類似情報は、第１のアラートと、その第１のアラートと類似する第２のアラートとの類似性を表す情報である。より具体的に、類似情報は、類似性を保つハッシュ値と、その類似性を保つ彩色情報とを含む。

　類似性を保つハッシュ値とは、例えば、第１のアラートの原因となった通信パケットに含まれるペイロードと、第２のアラートに関する通信パケットに含まれるペイロードとに基づき求められた、それらペイロード間の類似性を保つハッシュ値である。

　図５において、１列目は、検知時刻を表す。２列目は、通信情報の送信元ホストのＩＰアドレスを表す。３列目は、通信情報の送信先ホストのＩＰアドレスを表す。４列目は、検知ルールを識別可能な検知ルールの名称（検知ルール名）を表す。５列目は、類似情報として係るハッシュ値を表す。即ち、５列目は、後述する解析装置２２の算出部２５によって求められたハッシュ値である。６列目は、類似情報として彩色情報を表す。即ち、６列目は、類似性に応じて、アラートに対応する提示領域が、彩色情報に基づき彩色された態様を表す。

　より具体的に、図５に示すハッシュ値は、４バイトの値が１６進数表記によって表されている。可視化部２４は、ハッシュ値を１バイト毎に分割する。可視化部２４は、分割したハッシュ値を輝度情報とすることによってモノクロの彩色情報を生成する。提示部２３は、生成された彩色情報に基づいて、６列目に示す「彩色情報」の提示領域に表示する。

　図５に示す「彩色情報」は、例えば、分割されたハッシュ値に応じて、４つの提示領域に分割されている。そのため、分割されたハッシュ値が同じ値を示す場合に、提示領域は、同色に彩色される。

　これにより、オペレータは、「彩色情報」を確認することによって、視覚的にアラート間の類似性を認識することができる。

　本実施形態では、説明の便宜上、一例として、可視化部２４は、ハッシュ値に基づきモノクロの彩色情報を生成する構成を例に説明する。しかしながら本発明に係る実施形態は、係る構成に限定されない。可視化部２４は、例えば、ハッシュ値を３バイト単位のＲＧＢ（Ｒｅｄ，Ｇｒｅｅｎ，Ｂｌｕｅ）２４形式として解釈することによって彩色情報を生成する構成を採用してもよい。或いは、可視化部２４は、ハッシュ値を２バイト単位のＲＧＢ５６５形式として解釈することによって彩色情報を生成する構成を採用してもよい。また、可視化部２４は、ＲＧＢだけでなく、例えば、ＨＳＶ（Ｈｕｅ　Ｓａｔｕｒａｔｉｏｎ　Ｖａｌｕｅ　ｃｏｌｏｒ　ｍｏｄｅｌ）等で示される値を用いて彩色情報を生成する構成を採用してもよい。即ち、彩色情報は、ハッシュ値が示す類似性が彩色情報に反映されていればよい（以下、各実施形態においても同様）。

　上述した本実施形態では、説明の便宜上、一例として、提示部２３は、アラート情報に含まれる一部の情報と類似情報とを、図５に示す検知アラートリスト２６に提示する構成を例に説明する。しかしながら本発明に係る実施形態は、係る構成に限定されない。提示部２３は、オペレータの要求に応じて、例えば、送信元ホストのポート番号など様々な情報を提示する構成を採用してもよい。

　次に、以下の説明では、解析装置２２について、図６を参照して説明する。

　図６は、本発明の第２の実施形態における解析装置２２の構成を示すブロック図である。図６において、解析装置２２は、算出部２５を備える。

　算出部２５は、通信情報に含まれる情報（第１の情報、第２の情報）に基づいて、第２の情報と異なり、且つ第１の情報と第２の情報との間の類似性が要約された形態で含まれている要約情報を求める機能を備える。また、算出部２５は、求めた要約情報と、アラートを識別可能なアラート識別子とを関連付けてハッシュ値情報１０１として記憶する機能を備える。

　ハッシュ値情報１０１は、例えば、不図示の記憶装置に記憶されている。また、ハッシュ値情報１０１には、算出部２５によって求められた要約情報と、アラート識別子とが関連付けられた状態で記憶される。

　より具体的に、算出部２５は、通信情報（例えば、通信パケット）に含まれる情報（例えば、通信情報のペイロード）に基づいて、ハッシュ値を算出する。

　ハッシュ値の算出に用いるハッシュ関数（要約関数）は、ＭＤ５のような一般的に用いられるハッシュ関数ではなく、２つのペイロードが類似している場合に、それらのハッシュ関数も類似する性質を持つハッシュ関数を用いることとする。このようなハッシュ関数としては、局所性鋭敏型ハッシュやファジーハッシュなどが知られている。そのため、算出部２５は、ハッシュ関数として、局所性鋭敏型ハッシュやファジーハッシュを用いてハッシュ値を求めることとする。ここで、ＭＤ５とは、Ｍｅｓｓａｇｅ　Ｄｉｇｅｓｔ　Ａｌｇｏｒｉｔｈｍ　５の略称である。

　より具体的に、局所性鋭敏型ハッシュは、ペイロードのような不定形のバイト列に適用可能である。この局所性鋭敏型ハッシュとしては、例えば、スパムメールの検出に用いられるＮｉｌｓｉｍｓａ　Ｈａｓｈを採用してもよい。また、ファジーハッシュとしては、例えば、マルウェアの類似性判定に利用されるｓｓｄｅｅｐなどを採用してもよい。

　算出部２５がハッシュ関数を用いてハッシュ値を算出する技術自体は、現在では一般的な技術を採用することができる。そのため、本実施形態における詳細な説明は省略する（以下、各実施形態においても同様）。

　上述した本実施形態では、説明の便宜上、一例として、算出部２５は、ＩＰパケットに含まれるペイロートに基づいて、ハッシュ値を算出する構成を例に説明した。しかしながら本発明に係る実施形態は、係る構成に限定されない。算出部２５は、任意のバイナリ列に基づいて、ハッシュ値を算出する構成を採用してもよい。その場合に、算出部２５は、パケットヘッダを含むパケット全体をハッシュ値の算出対象としてもよい。

　また、通信監視装置５２としてＷｅｂアプリケーションファイアウォールなどを利用する場合には、算出部２５は、次に示す情報に基づいて、ハッシュ値を算出する構成を採用してもよい。即ち、算出部２５は、ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ　Ｔｒａｎｓｐｏｒｔ　Ｐｒｏｔｏｃｏｌ）要求メッセージまたはＨＴＴＰ応答メッセージの全体、ＨＴＴＰヘッダ部またはボディ部分に基づいて、ハッシュ値を算出してもよい。但し、その場合には、ＨＴＴＰ要求メッセージやＨＴＴＰ応答メッセージが取得可能な環境であることが条件となる（以下、各実施形態においても同様）。

　上述した本実施形態では、説明の便宜上、一例として、提示装置２１と解析装置２２とは、それぞれ別体に構成された例を説明した。しかしながら本発明に係る実施形態は、係る構成に限定されない。提示装置２１と解析装置２２とは、同一の装置において構成されてもよい。その場合に、例えば、提示装置２１は、解析装置２２を含む構成を採用してもよい。

　このように本実施の形態に係る提示装置２１および解析装置２２によれば、第１の実施形態において説明した効果を享受できると共に、さらに、アラートをより視認性の高い態様によってオペレータに提示することができる。

　即ち、解析装置２２は、ペイロード間の類似性を保つハッシュ値を求める算出部２５を備えるからである。また、提示装置２１は、算出部２５が求めたハッシュ値を彩色情報に変換する可視化部２４を備えるからである。提示部２３は、彩色情報に基づいて、視認性の高いアラートに関連する情報をオペレータに提示することができる。これにより、オペレータは、アラート間の類似性を視覚的に判断することができる。即ち、オペレータは、アラートに紐づくペイロード間の類似性を視覚的に判断することができる。その結果、オペレータは、アラートの分類作業において、その作業の効率化を実現することができる。

　＜第３の実施形態＞
　次に、上述した本発明の第２の実施形態に係る提示装置２１を基本とする第３の実施形態について説明する。以下の説明においては、本実施形態に係る特徴的な部分を中心に説明する。その際、上述した各実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明は省略する。

　本発明の第３の実施形態における通信監視システム３０について、図７乃至図１３を参照して説明する。

　図７は、本発明の第３の実施形態における通信監視システム３０の構成を示すブロック図である。また、図８は、本発明の第３の実施形態における提示装置３１の構成を示すブロック図である。

　図７において、通信監視システム３０は、大別して、提示装置３１、解析装置３２、監視対象ネットワーク５１及び通信監視装置５２を有する。また、図８において、提示装置３１は、提示部３３、類似アラート取得部３４、アラート情報取得部３５、ハッシュ値取得部３６及び可視化部２４を備える。

　本実施形態において説明する提示装置３１は、特定のアラートと類似するアラートの抽出を解析装置３２に対して要求する類似アラート取得部３４を備えるという構成において提示装置２１と異なる。加えて、提示部３３は、要求に応じて抽出された類似するアラートに関連する情報を提示する機能を備えるという構成において提示部２３と異なる。

　類似アラート取得部３４は、例えば、オペレータから特定のアラートを指定する指示を受け付けるのに応じて、その特定のアラートと類似するアラートの抽出を抽出部３７に対して要求する機能を備える。また、類似アラート取得部３４は、要求に応じた抽出部３７から類似するアラートのアラート識別子を含む情報（リスト）を取得する機能を備える。

　提示部３３は、各実施形態において説明したアラート情報と類似情報とを提示するだけでなく、特定のアラートと、その特定のアラートと類似するアラートに関連する情報を提示する機能を備える。

　アラート情報取得部３５は、後述するアラート情報１０２に保持されるアラート情報の中から検索条件と一致するアラート情報を抽出する機能を備える。

　ハッシュ値取得部３６は、アラート情報取得部３５により抽出されたアラート情報に含まれるアラート識別子と合致するハッシュ値をハッシュ値情報１０１の中から抽出する機能を備える。

　本実施形態では、説明の便宜上、一例として、アラート情報取得部３５およびハッシュ値取得部３６は、情報を抽出する構成を例に説明する。しかしながら本発明に係る実施形態は、係る構成に限定されない。アラート情報取得部３５およびハッシュ値取得部３６は、要求に応じて当該情報が与えられる構成を採用してもよい。

　以下の説明では、解析装置３２について、図９を参照して説明する。図９は、本発明の第３の実施形態における解析装置３２の構成を示すブロック図である。

　図９において、解析装置３２は、算出部２５、抽出部３７及び取得部３８を備える。

　本実施形態において説明する解析装置３２は、特定のアラートと類似するアラートを抽出すると共に、抽出したアラートに関する情報を生成する抽出部３７を備えるという構成において解析装置２２と異なる。

　抽出部３７は、特定のアラートと類似するアラートを抽出する。抽出部３７は、抽出したアラートに関する情報（リスト）を生成する機能を備える。尚、抽出部３７がリストを生成する処理については、本実施形態において詳細に後述する。

　取得部３８は、検知時刻順に、通信監視装置５２から後述するアラート情報１０２とペイロード情報１０３とに保持されるアラート情報及びペイロード情報を取得する機能を備える。即ち、取得部３８は、検知時刻順に、通信監視装置５２からアラート情報１０２に保持されるアラート情報を取得する。取得部３８は、検知時刻順に、通信監視装置５２からペイロード情報１０３に保持されるペイロード情報を取得する。

　以下の説明では、通信監視装置５２について、図１０を参照して説明する。図１０は、本発明の第３の実施形態における通信監視装置５２の構成を示すブロック図である。

　図１０において、通信監視装置５２は、検知部５３及び通知部５４を有する。また、アラート情報１０２およびペイロード情報１０３は、例えば、不図示の記憶装置に記憶されている。

　以下の説明では、説明の便宜上、通信監視装置５２としてＩＤＳを想定した構成を例に説明する。しかしながら本発明に係る実施形態は、係る構成に限定されない。通信監視装置５２は、ネットワーク５１内の異常やネットワーク５１に対する攻撃を検知し、検知した当該攻撃をアラートとして通知する。そして、通信監視装置５２は、アラートを、検知した攻撃を表す識別情報（ＩＤ）と紐付けた情報と共に証拠として記憶することが可能な通信監視機器に適用する構成を採用してもよい。

　検知部５３は、ネットワーク５１に流れる通信パケットを監視する機能を備える。より具体的に、検知部５３は、検知ルールに基づいて、例えば、ネットワーク５１に対する外部からの攻撃などの異常を検知する。そして、検知部５３は、その攻撃を検知するのに応じて、アラート情報１０２にアラート情報を記憶する。また、検知部５３は、通信パケットに含まれるペイロードとアラート識別子とをペイロード情報１０３として記憶する。

　ここで、アラート情報１０２は、アラート毎に、アラート識別子をキーとして、検知時刻と、検知ルールの識別子と、送信元のＩＰアドレスおよびポート番号と、送信先ホストのＩＰアドレスおよびポート番号とが関連付けられた情報を含む。

　また、ペイロード情報１０３は、アラート毎に、アラート識別子とペイロードとが関連付けられた情報を含む。即ち、ペイロード情報１０３には、ペイロードとアラート情報１０２に保持されているアラート情報との対応関係と共に関連付けされた状態で記憶されている。

　通知部５４は、検知部５３が当該攻撃を検知した際に、その検知したことを示すアラートを解析装置３２に対して通知する。

　以下の説明において、より具体的に、本実施形態における通信監視システム３０の動作について説明する。

　図１１は、本発明の第３の実施形態における通信監視システム３０が行うアラートに関連する情報を提示する動作を示すシーケンス図（フローチャート）である。係るフローチャートに沿って通信監視システム３０の動作手順を説明する。

　以下の説明では、説明の便宜上、一例として、解析装置３２は、通信情報（例えば、通信パケット）を構成する情報（例えば、通信パケットのペイロード）に基づいて、ハッシュ値を算出することとする。

　尚、説明の便宜上、通信監視システム３０は、上述した構成を例に説明するが、本実施形態を例に説明する本発明は、前述した構成には限定されない。

　通信監視装置５２の検知部５３は、検知ルールに基づいて、ネットワーク５１に対する攻撃を検知する（ステップＳ１０１）。検知部５３は、攻撃を検知するのに応じて、アラート情報をアラート情報１０２に記憶する。また、検知部５３は、第１のアラートの原因となった通信パケットに含まれるペイロードを、ペイロード情報１０３として記憶する（ステップＳ１０２）。

　より具体的に、検知部５３は、少なくとも、次に示す情報を関連付けてアラート情報１０２として記憶する。

　・アラート識別子、
　・検知時刻、
　・検知ルールを識別可能な識別子、
　・異常の原因である通信情報の送信元のＩＰアドレスおよびポート番号及び
　・当該通信情報の送信先ホストのＩＰアドレスおよびポート番号。

　通信監視装置５２の通知部５４は、検知部５３が当該攻撃を検知した際に、解析装置３２に対して、新たに異常が検知されたことを第１のアラートとして通知する（ステップＳ１０３）。

　解析装置３２は、通知部５４から通知された第１のアラートを受信する。解析装置３２の取得部３８は、アラート情報１０２の中からアラート情報と、ペイロード情報１０３の中からペイロードとを抽出する。

　その場合に、抽出するアラート情報の指定は、指定した時刻以降のアラート情報を全て抽出するよう構成してもよい。また、抽出するアラート情報の指定は、次に示す処理によってアラート情報を抽出するよう構成してもよい。即ち、通知部５４は、新たに通知する第１のアラートのアラート識別子を、取得部３８に対して通知する。取得部３８は、アラート情報を抽出するに際して、通知部５４から通知されたアラート識別子を指定することによってアラート情報を抽出してもよい。或いは、通知部５４は、ステップＳ１０３において解析装置３２に対して通知する際に、その通知にアラート情報とペイロードとを含めて通知してもよい。これにより、取得部３８は、通知に含まれるアラート情報とペイロード情報とを抽出してもよい。

　より具体的に、一例として、取得部３８は、第１のアラートのアラート識別子を通信監視装置５２に対して通知する（ステップＳ１０４）。通信監視装置５２は、通知されたアラート識別子に基づき求めたアラート情報とペイロードとを応答に含めて取得部３８に対して送信する（ステップＳ１０５）。取得部３８は、通信監視装置５２からアラート情報とペイロードとを取得する。また、取得部３８は、取得したアラート情報とペイロードとを、解析装置３２の算出部２５に対して入力として与える（ステップＳ１０６）。

　算出部２５は、アラート情報とペイロードとを入力として受け取ると、ハッシュ値を算出する。また、算出部２５は、算出したハッシュ値と、当該アラート情報に含まれるアラート識別子とを関連付けた状態でハッシュ値情報１０１として記憶する（ステップＳ１０７）。

　これにより、算出されたハッシュ値は、提示装置３１によって参照可能となる。

　提示装置３１では、オペレータの操作をトリガーとして処理を開始する。即ち、提示装置３１のアラート情報取得部３５は、アラート情報１０２の中からアラート情報を抽出する。さらに、提示装置３１のハッシュ値取得部３６は、抽出したアラート情報に含まれるアラート識別子に基づいて、ハッシュ値情報１０１の中からアラート識別子に関連づけられたハッシュ値を抽出する。

　より具体的に、一例として、アラート情報取得部３５は、通知された第１のアラートのアラート識別子を、通信監視装置５２に対して通知する（ステップＳ１０８）。通信監視装置５２は、通知されたアラート識別子に基づき求めたアラート情報を、応答に含めてアラート情報取得部３５に対して送信する（ステップＳ１０９）。アラート情報取得部３５は、通信監視装置５２からアラート情報を取得する（ステップＳ１１０）。

　ハッシュ値取得部３６は、取得したアラート情報に含まれるアラート識別子を、解析装置３２に対して通知する（ステップＳ１１１）。解析装置３２は、通知されたアラート識別子に基づき求めたハッシュ値を応答に含めてハッシュ値取得部３６に対して送信する（ステップＳ１１２）。ハッシュ値取得部３６は、解析装置３２からハッシュ値を取得する（ステップＳ１１３）。

　可視化部２４は、取得したハッシュ値から彩色情報を生成する（ステップＳ１１４）。提示部３３は、取得したアラート情報、ペイロードのハッシュ値及び彩色情報をオペレータが識別可能な態様によって提示する。即ち、提示部３３は、例えば、図５に示す検知アラートリスト２６を表示する（ステップＳ１１５）。

　これによって、提示部３３は、第１のアラートに関連する情報としてアラート情報と類似情報とを、オペレータが識別可能な態様によって提示することができる。

　以下の説明では、一例として、図１１に示すステップＳ１１５において提示された検知アラートリスト２６に含まれるアラートのうち、特定の第１のアラートが指定された場合の動作について説明する。

　図１２は、本発明の第３の実施形態における通信監視システム３０が行う特定のアラートと類似するアラートに関連する情報を提示する動作を示すシーケンス図（フローチャート）である。係るフローチャートに沿って通信監視システム３０の動作手順を説明する。

　以下の説明では、例えば、検知アラートリスト２６に含まれる複数のアラートのうち、特定の第１のアラートがオペレータによって指定されたこととする。

　説明の便宜上、通信監視システム３０は、上述した構成を例に説明するが、本実施形態を例に説明する本発明は、前述した構成には限定されない。

　提示装置３１の類似アラート取得部３４は、例えば、オペレータによって特定の第１のアラートが指定されるのに応じて、その指定された第１のアラートと類似する第２のアラートの抽出を、解析装置３２の抽出部３７に対して要求する。即ち、類似アラート取得部３４は、指定された第１のアラートのアラート識別子を含む抽出要求（抽出依頼）を、抽出部３７に対して送信する（ステップＳ１２１）。

　指定とは、例えば、オペレータが、入力装置（不図示）を操作することによって、ユーザインタフェースに表示された検知アラートリスト２６に含まれる複数のアラートのうち、所望する特定の第１のアラートを選定することを表すこととする。

　抽出部３７は、類似アラート取得部３４から抽出依頼を受け付ける。抽出部３７は、指定された第１のアラートのアラート識別子に基づいて、ハッシュ値情報１０１を参照する。抽出部３７は、ハッシュ値情報１０１の中から当該アラート識別子に関連付けられたハッシュ値と類似するハッシュ値と、その類似するハッシュ値に関連付けられた第２のアラートのアラート識別子とを抽出する。

　このとき、抽出部３７は、指定された第１のアラートにおけるハッシュ値と、抽出した第２のアラートにおけるハッシュ値とに基づいて、それらハッシュ値の距離を求める。即ち、抽出部３７は、第１のアラートに対するペイロードと、抽出した第２のアラートに対するペイロードとの間の類似性を表す距離を求める。換言すると、抽出部３７は、特定の第１のアラートと抽出した第２のアラートとの間の類似性を表す距離を求める。

　また、抽出部３７は、抽出要求に対する応答として、抽出した第２のアラートの識別子と、求めた距離とを含むリストを、類似アラート取得部３４に対して送信する（ステップＳ１２２）。

　このとき、抽出部３７は、求めた距離が短い順となるように、求めた距離と、求めた距離が所定の条件を満たす第２のアラートの識別子とを、リストに含め抽出要求に対する応答として送信する。換言すると、抽出部３７は、求めた距離の短い順（つまり、類似度の高い順）にソートし、求めた距離の値が予め設定した閾値より大きいアラートを除外する。

　本実施形態において、説明の便宜上、一例として、上述した説明では、抽出部３７は、ペイロード間の類似性をハッシュ値間の距離を利用して判断する構成を例に説明した。しかしながら本発明に係る実施形態は、係る構成に限定されない。抽出部３７は、ペイロード間の距離を編集距離などにより直接求めてもよい。但し、その場合には、距離計算にかかるコストは大きくなる可能性がある。そこで、抽出部３７は、ハッシュ値間の距離が閾値以下のアラートを距離計算の対象としてもよい。或いは、抽出部３７は、ハッシュ値間の距離が近く、且つ上位に位置するアラートを距離計算の対象としてもよい。これにより、抽出部３７は、距離計算の対象となるアラート数を抑制することができる。

　提示装置３１の類似アラート取得部３４は、抽出部３７から抽出要求に対する応答としてリストを取得する（ステップＳ１２３）。提示装置３１のアラート情報取得部３５は、類似アラート取得部３４が抽出部３７から応答を受けるのに応じて、当該リストに含まれるアラート識別子を通信監視装置５２に対して通知する（ステップＳ１２４）。通信監視装置５２は、通知されたアラート識別子に基づき求めたアラート情報を応答に含めアラート情報取得部３５に対して送信する（ステップＳ１２５）。また、アラート情報取得部３５は、通信監視装置５２から応答を受けると共に、当該アラート識別子に関連付けられたアラート情報を取得する（ステップＳ１２６）。

　さらに、提示装置３１のハッシュ値取得部３６は、アラート情報取得部３５が取得したアラート情報に含まれるアラート識別子を、解析装置３２に対して通知する（ステップＳ１２７）。解析装置３２は、通知されたアラート識別子に基づき求めたハッシュ値を応答に含めてハッシュ値取得部３６に対して送信する（ステップＳ１２８）。ハッシュ値取得部３６は、解析装置３２から当該アラート識別子に関連付けられたハッシュ値を取得する（ステップＳ１２９）。

　提示部３３は、以下に示す情報をオペレータが識別可能な態様によって提示する。
・特定の第１のアラートに関連する情報としてアラート情報、ハッシュ値及び距離と、
・その第１のアラートと類似する第２のアラートに関連する情報としてアラート情報、ハッシュ値及び距離。
即ち、提示部３３は、上述した情報を、図１３に例示する検知アラートリスト３９として提示する（ステップＳ１３０）。

　図１３は、本発明の第３の実施形態における提示部３３によってアラートに関連する情報が提示された態様を具体的に例示する図であり、提示部３３が提示する検知アラートリスト３９である。より具体的に、図１３に示すように、提示部３３は、アラート毎に、少なくとも、アラート情報に含まれる一部の項目と、類似情報とを提示する。

　図１３に示す類似情報は、第１のアラートとその第１のアラートと類似する第２のアラートとのハッシュ値および第１のアラートのハッシュ値と第２のアラートのハッシュ値との距離を表す情報である。

　図１３に表（テーブル）形式で示す検知アラートリスト３９において、１列目は、検知時刻を表す。２列目は、通信情報の送信元ホストのＩＰアドレスを表す。３列目は、通信情報の送信先ホストのＩＰアドレスを表す。４列目は、検知ルールを識別可能な検知ルールの名称（検知ルール名）を表す。５列目は、類似情報としてハッシュ値を表す。６列目は、類似情報として抽出部３７によって求められた距離を表す。

　より具体的に、図１３に示すハッシュ値は、図５と同様に、４バイトの値が１６進数表記によって表されている。一例として、６列目は、ハッシュ値を長さ３２のビット列とみなしたときのハミング距離を用いた結果を示している。但し、ハッシュ値の距離計算において利用する距離関数はハミング距離に限定されない。距離関数としては、ハッシュ値をバイト列とみなし、バイト列間の編集距離をハッシュ値の距離として用いてもよい。

　図１３に表形式で示す検知アラートリスト３９において、１行目には、オペレータによって指定されたアラートを表す。２行目以降は、指定されたアラートと類似するアラートが表示されている。即ち、２行目以降は、指定されたアラートとの距離が小さい順にアラートが表示される。

　説明の便宜上、図１３に示す検知アラートリスト３９では、彩色情報の提示を省略した。しかしながら本発明に係る実施形態は、係る構成に限定されない。提示部３３は、検知アラートリスト３９に彩色情報を含めて提示してもよい。

　上述した本実施形態では、説明の便宜上、一例として、抽出部３７は、ペイロードのハッシュ値間の距離だけを用いて類似するアラートを抽出する構成を例に説明した。しかしながら本発明に係る実施形態は、係る構成に限定されない。抽出部３７は、求めた距離だけでなく、アラート情報に含まれる項目も距離計算に用いてもよい。その場合に、抽出部３７は、例えば、アラート情報に含まれるＩＰアドレス、ポート番号、検出ルールの一致および類似に基づき距離を算出する。そして、抽出部３７は、ハッシュ値に基づき求めた距離と、アラート情報に含まれる情報に基づき求めた距離との加重和によって求めた距離を用いることもできる。

　これにより、抽出部３７は、ＩＰアドレスやポート番号の一致や類似に基づく判断も加味したアラートの抽出が行える。そのため、提示装置３１は、どちらか一方の手法にて求めた距離を提示するのに比べ、より実用的な判断基準を提示することができる。

　このように本実施の形態に係る提示装置３１および解析装置３２によれば、各実施形態において説明した効果を享受できると共に、アラートをより効率的に判断することが可能な態様によってオペレータに提示することができる。その理由は、以下に述べる通りである。

　即ち、提示装置３１は、オペレータによって指定されたアラートのペイロードと類似するアラートを、指定されたアラートとの距離とともに提示する提示部３３を備えるからである。また、解析装置３２は、指定されたアラートと類似するアラートを抽出する抽出部３７を備えるからである。これにより、オペレータは、過去に発生したアラートの中からペイロードが類似するアラートを効率的に発見することができる。さらに、提示装置３１は、過去に発生した類似するアラートの分類結果を参照できるよう構成する。その結果、オペレータは、類似するアラートの分類傾向を把握することができるようになる。即ち、提示装置３１は、オペレータによるアラートの分類作業において、効率的にアラートの分類判定を支援することができる。

　（ハードウェア構成例）
　上述した実施形態において図面に示した各部は、ソフトウェアプログラムの機能単位（処理単位、ソフトウェアモジュール）と捉えることができる。これらの各ソフトウェアモジュールは、専用のハードウェアによって実現してもよい。但し、これらの図面に示した各部の区分けは、説明の便宜上の構成であり、実装に際しては、様々な構成が想定され得る。この場合のハードウェア環境の一例を、図１４を参照して説明する。但し、図１４中の矢印の向きは、一例を示すものであり、ブロック間の信号の向きを限定するものではない。

　図１４は、本発明の模範的な実施形態に係る提示装置及び解析装置を実行可能な情報処理装置（コンピュータ）３００の構成を例示的に説明する図である。即ち、図１４は、サーバ等のコンピュータ（情報処理装置）の構成であって、上述した実施形態における各機能を実現可能なハードウェア環境を表す。このコンピュータは、提示装置１（図１、図２）、提示装置２１（図３、図４）、提示装置３１（図７、図８）、解析装置２２（図３、図６）、或いは、解析装置３２（図７、図９）、のうち、全体または一部の機能を実現可能である。

　図１４に示した情報処理装置３００は、以下の構成がバス（通信線）３０６を介して接続された一般的なコンピュータである。

　・ＣＰＵ（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ）３０１、
　・ＲＯＭ（Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）３０２、
　・ＲＡＭ（Ｒａｎｄｏｍ＿Ａｃｃｅｓｓ＿Ｍｅｍｏｒｙ）３０３、
　・ハードディスク３０４（記憶装置）、
　・外部装置との通信インタフェース（図１４において通信「Ｉ／Ｆ」（Ｉｎｔｅｒｆａｃｅ）と示す）３０５、
　・ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ＿Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）等の記録媒体３０７に格納されたデータを読み書き可能なリーダライタ３０８。

　例えば、上述した情報処理装置３００の各構成は、提示装置（提示装置１、提示装置２１及び提示装置３１）が提示すべき各種情報を、不図示のディスプレイなどのユーザインタフェースに、少なくとも表示する機能を実現可能である。

　そして、上述した実施形態を例に説明した本発明は、以下の手順によって達成される。即ち、図１４に示した情報処理装置３００に対して、係る実施形態において参照したブロック構成図（図１乃至図４、図６乃至図９）或いはフローチャート（図１１、図１２）の機能を実現可能なコンピュータ・プログラムが供給される。その後、そのコンピュータ・プログラムは、当該ハードウェアのＣＰＵ３０１に読み出されて実行されることによって達成される。また、当該装置内に供給されたコンピュータ・プログラムは、読み書き可能な一時記憶メモリ（ＲＡＭ３０３）またはハードディスク３０４等の不揮発性の記憶デバイスに格納すれば良い。

　また、前記の場合において、当該ハードウェア内へのコンピュータ・プログラムの供給方法は、現在では一般的な手順を採用することができる。例えば、供給方法は、ＣＤ－ＲＯＭ等の各種記録媒体３０７を介して当該装置内にインストールする方法や、インターネット等の通信回線を介して外部よりダウンロードする方法等である。そして、このような場合において、本発明は、係るコンピュータ・プログラムを構成するコード、或いはそのコードが格納された記録媒体によって構成されると捉えることができる。

　以上、実施形態を参照して本発明を説明してきたが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。

　この出願は、２０１４年１２月１０日に出願された日本出願特願２０１４－２４９５６７を基礎とする優先権を主張し、その開示の全てをここに取り込む。

　１　　提示装置
　２　　提示部
　１０　　通信監視システム
　２０　　通信監視システム
　２１　　提示装置
　２２　　解析装置
　２３　　提示部
　２４　　可視化部
　２５　　算出部
　２６　　検知アラートリスト
　３０　　通信監視システム
　３１　　提示装置
　３２　　解析装置
　３３　　提示部
　３４　　類似アラート取得部
　３５　　アラート情報取得部
　３６　　ハッシュ値取得部
　３７　　抽出部
　３８　　取得部
　３９　　検知アラートリスト
　５１　　監視対象ネットワーク
　５２　　通信監視装置
　５３　　検知部
　５４　　通知部
　１０１　　ハッシュ値情報
　１０２　　アラート情報
　１０３　　ペイロード情報
　３００　　情報処理装置
　３０１　　ＣＰＵ
　３０２　　ＲＯＭ
　３０３　　ＲＡＭ
　３０４　　ハードディスク
　３０５　　通信インタフェース
　３０６　　バス
　３０７　　記録媒体
　３０８　　リーダライタ

Claims (10)

1. 　監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれる第１の情報と、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報に含まれる第２の情報とに基づき求められた前記第１及び第２のアラート間の類似性を表す類似情報を提示する提示手段を備える
   提示装置。
2. 　前記提示手段は、前記類似情報として、
   前記第１の情報と前記第２の情報とに基づき求められた、それら情報と異なり、且つ前記第１の情報と前記第２の情報との間の類似性が要約された形態で含まれている要約情報を提示する
   請求項１に記載の提示装置。
3. 　前記提示手段は、前記類似情報として、
   求められた前記要約情報に基づいて彩色情報を生成し、前記第１のアラートに対応する提示領域を、その彩色情報に基づき彩色することによって、オペレータが識別可能な態様によって提示する
   請求項１または請求項２に記載の提示装置。
4. 　前記第１の情報と前記第２の情報とに基づいて、前記要約情報を求める解析手段を、さらに備える
   請求項１乃至請求項３の何れか１項に記載の提示装置。
5. 　前記解析手段は、
   　特定の前記第１のアラートにおける要約情報と、前記第２のアラートにおける要約情報とに基づいて、特定の前記第１のアラートと類似する前記第２のアラートを抽出し、特定の前記第１のアラートと抽出した前記第２のアラートとの間の前記類似情報を求め、
   　前記提示手段は、
   前記解析手段によって求められた前記類似情報を提示する
   請求項４に記載の提示装置。
6. 　前記解析手段は、前記類似情報として、
   特定の前記第１のアラートにおける要約情報と前記第２のアラートにおける要約情報との間の類似性を表す距離を求め、その求めた距離が短い順となるように、前記求めた距離とその求めた距離が所定の条件を満たす第２のアラートの識別子とを含む情報を生成し、
   　前記提示手段は、
   前記解析手段によって生成された該情報に基づいて、前記求めた距離が短い順となるように、特定の前記第１のアラートと該第２のアラートとの前記類似情報を提示する
   請求項５に記載の提示装置。
7. 　監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれる第１の情報と、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報に含まれる第２の情報とに基づき求められた前記第１及び第２のアラート間の類似性を表す類似情報を提示する
   通信監視システム。
8. 　監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれる第１の情報と、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報に含まれる第２の情報とに基づいて、それら情報と異なり、且つ前記第１の情報と前記第２の情報との間の類似性が要約された形態で含まれている要約情報を求める解析手段を備える
   解析装置。
9. 　監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれる第１の情報と、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報に含まれる第２の情報とに基づき求められた前記第１及び第２のアラート間の類似性を表す類似情報を提示する
   提示方法。
10. 　監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれる第１の情報と、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報に含まれる第２の情報とに基づき求められた前記第１及び第２のアラート間の類似性を表す類似情報を提示する機能をコンピュータに
    実現させるコンピュータ・プログラムが格納された記録媒体。

Images