WO2017217247A1 - 悪性イベント検出装置、悪性イベント検出方法および悪性イベント検出プログラム - Google Patents

Abstract

再生装置１０は、悪性または良性のトラヒックが発生した際のトラヒックのダンプファイルであるトラヒックファイルを読み込み、トラヒックに応じたイベントを発生させるセキュリティ機器２０を有するネットワーク上に、トラヒックファイルに基づくトラヒックを発生させる。また、判定装置３０は、発生したトラヒックに対してセキュリティ機器２０が発生させたイベントを収集し、収集したイベントから抽出した特徴を基に、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する。

Description

悪性イベント検出装置、悪性イベント検出方法および悪性イベント検出プログラム

　本発明は、悪性イベント検出装置、悪性イベント検出方法および悪性イベント検出プログラムに関する。

　インターネットの普及に伴い、ＤＤｏＳ攻撃、スパムメール送信等のサイバー攻撃が日常化している。これらの攻撃のほとんどは、マルウェアと呼ばれる悪意あるソフトウェアに起因している。攻撃者は一般ユーザの端末やサーバをマルウェアに感染させ、マルウェアを操作することで端末やサーバを不正に制御し、攻撃を実施している。これらの攻撃は近年社会問題化している。このため、マルウェア感染を中心としたサイバー攻撃への対策が急務となっている。

　サイバー攻撃対策のうち、感染を防ぐための入口対策として、アンチウイルスソフト等を用いて対策する手法があるが、完全に感染を防ぐことは難しい。そこで、マルウェア感染後の被害拡大を防ぐ出口対策の重要性が高まっている。出口対策としては、攻撃の痕跡を見つけ、マルウェア感染端末を発見することが重要である。出口対策によって感染端末を発見することで、感染端末のネットワークからの切り離しやフィルタリング等の対応を行うことができる。

　マルウェア感染端末を発見する手段として、ネットワークに存在する装置のログを分析する手法が有力な手段となっている（例えば特許文献１および非特許文献１を参照）。中でもＩＤＳ（Intrusion　Detection　System）、次世代ファイアウォール、サンドボックス等のセキュリティ機器によるイベントの検知ログは、セキュリティを専門とする業者のノウハウに基づくものであるため、マルウェア感染端末を発見する際の重要な情報源となっている。

特開２０１０－１５５１３号公報

SANS　Eighth　Annual　2012　Log　and　Event　Management　Survey　Results:　Sorting　Through　the　Noise

　しかしながら、セキュリティ機器によって検知されるイベントは多種多量であり、マルウェアによる通信に関係しないものも含まれる。そのため、従来の手法には、セキュリティ機器によって検知されるイベントを効率的に解析することが困難であるという問題があった。

　例えば、多種多量のイベントがそのままオペレータに提示される場合、オペレータによる手動解析が必要となるため、マルウェア感染端末特定までに要する時間およびオペレーションのコストが増大する。このような場合、セキュリティ機器によって検知されるイベントを効率的に解析することは困難である。

　また、例えば、影響のないイベントをホワイトリストに登録し、ホワイトリスト以外のイベントを抽出することで解析対象のイベントを減らす手法は、新規脅威が次々に現れイベントの種類が増大していく場合にスケールしない。このため、ホワイトリストを用いた手法では、セキュリティ機器によって検知されるイベントを効率的に解析することは困難である。

　また、イベントに付与される緊急度が所定以上のイベントのみを抽出し解析する手法では、マルウェアの感染を特徴づけるイベントのうち、付与される緊急度が所定以上でないイベントの見逃しが発生してしまう場合がある。このため、緊急度が所定以上のイベントのみを抽出し解析する手法では、セキュリティ機器によって検知されるイベントを効率的に解析することは困難である。

　本発明の悪性イベント検出装置は、悪性または良性のトラヒックが発生した際のトラヒックのダンプファイルであるトラヒックファイルを読み込む読込部と、トラヒックに応じたイベントを発生させるセキュリティ機器を有するネットワーク上に、前記トラヒックファイルに基づくトラヒックを発生させる発生部と、発生したトラヒックに対して前記セキュリティ機器が発生させたイベントを収集する収集部と、前記収集部によって収集された前記イベントから特徴を抽出する抽出部と、前記抽出部によって抽出された特徴を基に、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する判定部と、を有することを特徴とする。

　また、本発明の悪性イベント検出方法は、悪性イベント検出システムで実行される悪性イベント検出方法であって、悪性または良性のトラヒックが発生した際のトラヒックのダンプファイルであるトラヒックファイルを読み込む読込工程と、トラヒックに応じたイベントを発生させるセキュリティ機器を有するネットワーク上に、前記トラヒックファイルに基づくトラヒックを発生させる発生工程と、発生したトラヒックに対して前記セキュリティ機器が発生させたイベントを収集する収集工程と、前記収集工程によって収集された前記イベントから特徴を抽出する抽出工程と、前記抽出工程によって抽出された特徴を基に、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する判定工程と、を含んだことを特徴とする。

　また、本発明の悪性イベント検出プログラムは、コンピュータに、悪性または良性のトラヒックが発生した際のトラヒックのダンプファイルであるトラヒックファイルを読み込む読込ステップと、トラヒックに応じたイベントを発生させるセキュリティ機器を有するネットワーク上に、前記トラヒックファイルに基づくトラヒックを発生させる発生ステップと、発生したトラヒックに対して前記セキュリティ機器が発生させたイベントを収集する収集ステップと、前記収集ステップによって収集された前記イベントから特徴を抽出する抽出ステップと、前記抽出ステップによって抽出された特徴を基に、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する判定ステップと、を実行させることを特徴とする。

　本発明によれば、セキュリティ機器によって検知されるイベントを効率的に解析することができる。

図１は、第１の実施形態に係る悪性イベント検出システムの構成の一例を示す図である。 図２は、第１の実施形態に係る再生装置の構成の一例を示す図である。 図３は、悪性トラヒックファイルの一例を示す図である。 図４は、再生用トラヒックの一例を示す図である。 図５は、再生装置とセキュリティ機器の接続方法の一例を示す図である。 図６は、再生装置とセキュリティ機器の接続方法の一例を示す図である。 図７は、再生用トラヒックの再生方法について説明するための図である。 図８は、再生用トラヒックの再生方法について説明するための図である。 図９は、セキュリティ機器のイベントの項目の一例を示す図である。 図１０は、悪性トラヒックに対するセキュリティ機器のイベントの一例を示す図である。 図１１は、良性トラヒックに対するセキュリティ機器のイベントの一例を示す図である。 図１２は、第１の実施形態に係る判定装置の構成の一例を示す図である。 図１３は、悪性イベントから抽出された特徴の一例を示す図である。 図１４は、悪性スコアの一例を示す図である。 図１５は、悪性イベントシグネチャの一例を示す図である。 図１６は、第１の実施形態に係る再生装置の読込部の処理の流れを示すフローチャートである。 図１７は、第１の実施形態に係る再生装置の再生部の処理の流れを示すフローチャートである。 図１８は、第１の実施形態に係る判定装置の収集部の処理の流れを示すフローチャートである。 図１９は、第１の実施形態に係る判定装置の抽出部の処理の流れを示すフローチャートである。 図２０は、第１の実施形態に係る判定装置の判定部の処理の流れを示すフローチャートである。 図２１は、悪性イベント検出装置の構成の一例を示す図である。 図２２は、プログラムが実行されることにより悪性イベント検出装置が実現されるコンピュータの一例を示す図である。

　以下に、本願に係る悪性イベント検出装置、悪性イベント検出方法および悪性イベント検出プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本発明が限定されるものではない。

［第１の実施形態の構成］
　まず、図１を用いて、第１の実施形態に係る悪性イベント検出システムの構成について説明する。図１は、第１の実施形態に係る悪性イベント検出システムの構成の一例を示す図である。図１に示すように、悪性イベント検出システム１は、再生装置１０、セキュリティ機器２０および判定装置３０を有する。

　また、再生装置１０、セキュリティ機器２０および判定装置３０は、例えば、有線または無線のＬＡＮ（Local　Area　Network）やＶＰＮ（Virtual　Private　Network）等の任意の種類の通信網によって接続されている。なお、悪性イベント検出システム１に含まれるセキュリティ機器２０は、複数かつそれぞれの構成が異なるものであってもよい。

　再生装置１０は、悪性トラヒックファイル、良性トラヒックファイルおよび実網トラヒックファイル等の入力を受け付ける。なお、悪性トラヒックファイルは、悪性のトラヒックが発生した際のトラヒックのダンプファイルである。また、良性トラヒックファイルは、良性のトラヒックが発生した際のトラヒックのダンプファイルである。また、実網トラヒックファイルは、悪性であるか良性であるかが未知のトラヒックが発生した際のトラヒックのダンプファイルである。

　悪性トラヒックファイルは、例えば、マルウェアを疑似環境で動作させ、動的解析を行うことによって取得される。また、良性トラヒックファイルは、例えば、マルウェアに感染していないことが明らかな端末のトラヒック情報から取得される。実網トラヒックファイルは、実際に利用されているネットワークのトラヒック情報から取得され、悪性であるか良性であるかの判定の対象となる。

　また、再生装置１０は、悪性トラヒックファイル、良性トラヒックファイルおよび実網トラヒックファイル等を基に、トラヒックを発生させる。なお、以降の説明では、トラヒックファイルに基づいてトラヒックを発生させることを、トラヒックを再生するという場合がある。

　セキュリティ機器２０は、発生したトラヒックに応じたイベントを発生させる。セキュリティ機器２０は、例えば、悪性トラヒックに応じたイベントとして悪性イベントを発生させ、良性トラヒックに応じたイベントとして良性イベントを発生させ、実網トラヒックに応じたイベントとして実網イベントを発生させる。なお、セキュリティ機器２０は、再生装置１０の発生させたトラヒックからではなく、ネットワークの実網トラヒックから実網イベントを発生させてもよい。

　判定装置３０は、例えば、悪性イベントおよび良性イベントを基に作成した悪性イベントシグネチャや悪性イベント識別器を用いて、実網イベントが悪性であるか良性であるかを判定し、判定結果を感染端末判定結果として出力する。

　図２を用いて、再生装置１０の構成について説明する。図２は、第１の実施形態に係る再生装置の構成の一例を示す図である。図２に示すように、再生装置１０は、入出力部１１、制御部１２および記憶部１３を有する。

　入出力部１１は、データの入出力を行う。入出力部１１は、例えば、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、入出力部１１はＮＩＣ（Network　Interface　Card）である。

　制御部１２は、再生装置１０全体を制御する。制御部１２は、例えば、ＣＰＵ（Central　Processing　Unit）、ＭＰＵ（Micro　Processing　Unit）等の電子回路や、ＡＳＩＣ（Application　Specific　Integrated　Circuit）、ＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路である。また、制御部１２は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１２は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１２は、読込部１２１および再生部１２２を有する。なお、再生部１２２は、発生部の一例である。

　また、記憶部１３は、ＨＤＤ（Hard　Disk　Drive）、ＳＳＤ（Solid　State　Drive）、光ディスク等の記憶装置である。なお、記憶部１３は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non　Volatile　Static　Random　Access　Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１３は、再生装置１０で実行されるＯＳ（Operating　System）や各種プログラムを記憶する。さらに、記憶部１３は、プログラムの実行で用いられる各種情報を記憶する。

　ここで、制御部１２の読込部１２１および再生部１２２における処理について説明する。読込部１２１は、悪性トラヒックファイルおよび良性トラヒックファイルを読み込む。また、読込部１２１は、読み込んだトラヒックファイルに、トラヒックの方向や順序等に関する情報を付与し、再生用トラヒックを作成する。なお、読込部１２１によって読み込まれるファイルは、例えばｐｃａｐ形式のファイルである。また、本実施形態におけるトラヒックとは、パケットの送受信であることとする。

　図３を用いて、読込部１２１によって読み込まれる悪性トラヒックファイルについて説明する。図３は、悪性トラヒックファイルの一例を示す図である。図３に示すように、悪性トラヒックファイルの項目には、送信元ＩＰアドレス（送信元マルウェア識別子）、プロトコル、送信元ポート番号、宛先ＩＰアドレス（宛先マルウェア識別子）、宛先ポート番号、および、送信バイト数がある。なお、図３に示す悪性トラヒックファイルの項目は一例である。

　項目「送信元ＩＰアドレス（送信元マルウェア識別子）」および項目「宛先ＩＰアドレス（宛先マルウェア識別子）」は、トラヒックの送信元もしくは宛先のマルウェアを一意に識別する識別子、または、トラヒックの送信元もしくは宛先のＩＰアドレスを記憶する領域である。なお、各マルウェア識別子は、マルウェアを疑似環境で動作させ、セキュリティ機器でダンプ（動的解析）した場合に付与される。

　送信元マルウェア識別子および宛先マルウェア識別子は、マルウェア検体のＳｈａ１Ｈａｓｈ値であってもよい。また、送信元マルウェア識別子および宛先マルウェア識別子は、マルウェア検体を有する端末のＩＰアドレスであってもよい。

　例えば、図３の１行目は、送信元マルウェア識別子が「Ｍ１」、プロトコルが「ＵＤＰ」、送信元ポート番号が「５３」、宛先ＩＰアドレスが「１９２．０．２．８」、宛先ポート番号が「１０３７」、送信バイト数が「２０」である悪性トラヒックを示している。

　また、例えば、図３の２行目は、送信元ＩＰアドレスが「１９２．０．２．８」、プロトコルが「ＵＤＰ」、送信元ポート番号が「５３」、宛先マルウェア識別子が「Ｍ１」、宛先ポート番号が「１０３８」、送信バイト数が「２５」である悪性トラヒックを示している。

　なお、良性トラヒックファイルおよび実網トラヒックファイルも、悪性トラヒックファイルと同様の項目を有する。ただし、良性トラヒックファイルおよび実網トラヒックファイルにおける、項目「送信元ＩＰアドレス（送信元マルウェア識別子）」および項目「宛先ＩＰアドレス（宛先マルウェア識別子）」に対応する項目は、トラヒックの送信元または宛先のＩＰアドレスが記憶される項目である。

　また、双方向通信の場合、上記の通信に対して宛先と送信元を入れ替えた戻りの通信が行われるため、マルウェア識別子、良性トラヒックおよび実網トラヒックの送信元および宛先ＩＰアドレスは、送信元および宛先の両方になり得る。

　図４を用いて、読込部１２１によって作成される再生用トラヒックについて説明する。図４は、再生用トラヒックの一例を示す図である。読込部１２１は、悪性トラヒックファイル、良性トラヒックファイルおよび実網トラヒックファイルを、再生部１２２で再生可能な形式に拡張する。なお、図４に示す再生用トラヒックの項目は一例である。

　読込部１２１は、悪性トラヒックファイルに基づくトラヒックのそれぞれに、項目「パケット識別子」を付与する。項目「パケット識別子」には、パケットである各トラヒックを識別するための識別子が記憶される。

　また、読込部１２１は、悪性トラヒックファイルに基づくトラヒックの、項目「送信元ＩＰアドレス（送信元マルウェア識別子）」および項目「宛先ＩＰアドレス（宛先マルウェア識別子）」を、それぞれ、項目「マルウェア識別ＩＰアドレス／送信元ＩＰアドレス」および項目「マルウェア識別ＩＰアドレス／宛先ＩＰアドレス」に変換する。このとき、読込部１２１は、悪性トラヒックファイルの送信元マルウェア識別子および宛先マルウェア識別子を、マルウェア識別ＩＰアドレスに変換する。

　また、読込部１２１は、悪性トラヒックファイルに基づくトラヒックのそれぞれに、項目「送信ＮＩＣ」を付与する。そして、読込部１２１は、トラヒックの向きを判定した結果を、項目「送信ＮＩＣ」に記憶させる。図４の例では、読込部１２１は、マルウェアが送信元であるトラヒックの場合、送信ＮＩＣを「ＮＩＣ１」とし、マルウェアが宛先であるトラヒックの場合、送信ＮＩＣを「ＮＩＣ２」としている。

　また、読込部１２１は、悪性トラヒックファイルに基づくトラヒックのそれぞれに、項目「トリガパケット識別子」を付与し、発生順序が１つ前であるトラヒックをトリガとして、項目「トリガパケット識別子」に設定する。このとき、再生部１２２は、読込部１２１によってトリガとして設定されたトラヒックの発生が完了した後、当該発生したトラヒックがトリガとして設定されたトラヒックを発生させる。

　なお、図４の例では、悪性トラヒックファイルにおけるトラヒックの並び順が、トラヒックの発生順序に対応していることとする。また、悪性トラヒックファイルには、トラヒックの発生順序に対応した連番が付与されていてもよいし、発生順序を特定可能な発生時刻が付与されていてもよい。また、再生部１２２がトラヒックを発生順序に従って発生させる方法は、トリガを設定する方法に限られず、例えば再生用トラヒックにあらかじめ連番を付与しておく方法であってもよい。

　また、読込部１２１は、悪性トラヒックファイルに基づくトラヒックのそれぞれに、項目「開始パケット識別子」を付与し、項目「開始パケット識別子」には、当該パケットが送信される基となった開始パケットのパケット識別子を記憶させる。つまり、同一セッションのパケットに対しては、セッションの最初のパケットのパケット識別子が開始パケット識別子として記憶される。

　例えば、ＵＤＰでＤＮＳの名前解決を行う際、同一のセッションである問い合わせと応答のパケットに対しては、問い合わせのパケットのパケット識別子が開始パケット識別子として記憶される。例えば、図４のパケット識別子が「Ｐ１」であるパケットは、問い合わせのパケットであることが考えられる。この場合、パケット識別子が「Ｐ２」であるパケットは応答のパケットであることが考えられる。また、例えば、ＴＣＰでコネクションを設定する際には、同一のセッションであるＳＹＮ、ＳＹＮ＋ＡＣＫ、ＡＣＫのパケットに対して、ＳＹＮパケットのパケット識別子が開始パケット識別子として記憶される。

　なお、セキュリティ機器２０でパケットが遮断された場合、または、トリガパケットを所定の時間受信せずタイムアウトした場合は、当該受信できなかったパケットと同じ開始パケット識別子を持つパケットは送信されず、次の開始パケット識別子のパケットから送信される。

　図４の１行目は、パケット識別子が「Ｐ１」、マルウェア識別ＩＰアドレスまたは送信元ＩＰアドレスが「１９２．１６８．１．１」、プロトコルが「ＵＤＰ」、送信元ポート番号が「５３」、マルウェア識別ＩＰアドレスまたは宛先ＩＰアドレスが「１９２．０．２．８」、宛先ポート番号が「１０３７」、送信バイト数が「２０」、送信ＮＩＣが「ＮＩＣ１」、トリガパケット識別子が「Ｎｏｎｅ」、開始パケット識別子が「Ｐ１」である再生用トラヒックを示している。なお、図４の１行目は図３の１行目に対応しているため、図４の１行目のトラヒックは、マルウェアを送信元とするトラヒックである。また、パケット識別子Ｐ１より前のトラヒックは存在しないため、トリガパケット識別子は「Ｎｏｎｅ」である。

　図４の２行目は、パケット識別子が「Ｐ２」、マルウェア識別ＩＰアドレスまたは送信元ＩＰアドレスが「１９２．０．２．８」、プロトコルが「ＵＤＰ」、送信元ポート番号が「５３」、マルウェア識別ＩＰアドレスまたは宛先ＩＰアドレスが「１９２．１６８．１．１」、宛先ポート番号が「１０３８」、送信バイト数が「２５」、送信ＮＩＣが「ＮＩＣ２」、トリガパケット識別子が「Ｐ１」、開始パケット識別子が「Ｐ１」である再生用トラヒックを示している。

　再生部１２２は、セキュリティ機器２０を有するネットワーク上に、トラヒックファイルに基づくトラヒックを発生させる。なお、セキュリティ機器２０は、トラヒックに応じたイベントを発生させる。また、再生部１２２は、読込部１２１によって作成された再生トラヒックに従ってトラヒックを発生させる。

　再生部１２２は、例えば、図５または６に示すような接続方法で、セキュリティ機器２０と接続される。図５および６は、再生装置とセキュリティ機器の接続方法の一例を示す図である。

　図５に示すように、再生部１２２は、２つのＮＩＣ、およびスイッチやタップを経由してセキュリティ機器２０と接続されてもよい。この場合、例えば、ＮＩＣ１が送信側、ＮＩＣ２が受信側として用いられる。また、図６に示すように、再生部１２２は、１つのセキュリティ機器２０に対し、２つのＮＩＣを用いて、各セキュリティ機器２０をインラインに挟み込むように接続してもよい。再生部１２２は、１つのトラヒックに対し、２つのＮＩＣを用いることになる。また、ＮＩＣ、スイッチ、タップ等は、物理的な装置であってもよいし、仮想的な装置であってもよい。

　図７および８を用いて、再生用トラヒックの再生方法について説明する。図７および８は、再生用トラヒックの再生方法について説明するための図である。再生部１２２は、クライアント側の端末が送信元であるトラヒックを一方のＮＩＣから送信し、サーバ側の端末が送信元であるトラヒックを他方のＮＩＣから送信する。ここでは、例として、再生部１２２は、クライアント側の端末が送信元であるトラヒックをＮＩＣ１から送信し、サーバ側の端末が送信元であるトラヒックをＮＩＣ２から送信することとする。このとき、図７に示すように、再生部１２２は、クライアント側およびサーバ側の両方から再生用トラヒックのデータを参照する。

　例えば、図７に示す再生用トラヒックのデータのうち、｛Ｐ１，Ｎｏｎｅ｝は、パケット識別子が「Ｐ１」、トリガパケット識別子が「Ｎｏｎｅ」であるトラヒックを示している。また、例えば、｛Ｐ２，Ｐ１｝は、パケット識別子が「Ｐ２」、トリガパケット識別子が「Ｐ１」であるトラヒックを示している。

　なお、図７の各再生用トラヒックは、図４の再生用トラヒックと対応しているものとする。また、図４のＩＰアドレス「１９２．１６８．１．１」はクライアント側の端末のＩＰアドレスであり、ＩＰアドレス「１９２．０．２．８」および「１９８．５１．１００．７０」はサーバ側の端末のＩＰアドレスであることとする。また、以降の説明では、パケット識別子が「Ｐ１」である再生用トラヒックのことを、再生用トラヒック「Ｐ１」と呼ぶ場合がある。

　図８に示すように、再生部１２２は、まず、再生用トラヒック「Ｐ１」を参照する。このとき、再生用トラヒック「Ｐ１」の送信元ＩＰアドレスは「１９２．１６８．１．１」、すなわちクライアント側の端末のＩＰアドレスである。そのため、再生部１２２は、再生用トラヒック「Ｐ１」をＮＩＣ１から送信する。一方、再生部１２２は、再生用トラヒック「Ｐ１」をサーバ側では無視する。

　次に、再生用トラヒック「Ｐ１」が送信されたため、再生部１２２は、再生用トラヒック「Ｐ１」をトリガとする再生用トラヒック「Ｐ２」を参照する。このとき、再生用トラヒック「Ｐ２」の送信元ＩＰアドレスは「１９２．０．２．８」、すなわちサーバ側の端末のＩＰアドレスである。そのため、再生部１２２は、再生用トラヒック「Ｐ２」をＮＩＣ２から送信する。一方、再生部１２２は、再生用トラヒック「Ｐ２」をクライアント側では無視する。

　次に、再生用トラヒック「Ｐ２」が送信されたため、再生部１２２は、再生用トラヒック「Ｐ２」をトリガとする再生用トラヒック「Ｐ３」を参照する。このとき、再生用トラヒック「Ｐ３」の送信元ＩＰアドレスは「１９２．１６８．１．１」、すなわちクライアント側の端末のＩＰアドレスである。そのため、再生部１２２は、再生用トラヒック「Ｐ３」をＮＩＣ１から送信する。一方、再生部１２２は、再生用トラヒック「Ｐ３」をサーバ側では無視する。

　次に、再生用トラヒック「Ｐ３」が送信されたため、再生部１２２は、再生用トラヒック「Ｐ３」をトリガとする再生用トラヒック「Ｐ４」を参照する。このとき、再生用トラヒック「Ｐ４」の送信元ＩＰアドレスは「１９２．１６８．１．１」、すなわちクライアント側の端末のＩＰアドレスである。そのため、再生部１２２は、再生用トラヒック「Ｐ４」をＮＩＣ１から送信する。一方、再生部１２２は、再生用トラヒック「Ｐ４」をサーバ側では無視する。

　また、再生部１２２は、発生させたトラヒックが停止したことを検知した場合、発生済みのトラヒックおよび未発生のトラヒックに設定されたトリガを基に、発生させるトラヒックを特定し、当該特定したトラヒックを発生させる。

　ここで、ＮＩＣ１から送信されたパケットが停止した場合、すなわちドロップした場合について説明する。図８に示すように、再生用トラヒック「Ｐ５」は、送信元ＩＰアドレスがサーバ側の端末のＩＰアドレスであるため、再生部１２２は、再生用トラヒック「Ｐ５」をクライアント側では無視する。一方、再生部１２２は、再生用トラヒック「Ｐ５」を送信するためのトリガである再生用トラヒック「Ｐ４」の受信を待機している。

　ここで、タイムアウトとして設定された所定の時間が経過した場合、再生部１２２は、クライアント側およびサーバ側の再生用トラヒックの残数を参照し、残数が多い方の再生用トラヒックを送信する。この場合、サーバ側の残数が２であり、クライアント側の残数１より多いため、再生部１２２は、再生用トラヒック「Ｐ５」をＮＩＣ２から送信する。

　ここで、図９を用いて、セキュリティ機器２０のイベントについて説明する。図９は、セキュリティ機器のイベントの項目の一例を示す図である。図９に示すように、セキュリティ機器２０のイベントの項目には、「検知時刻」、「セキュリティ機器名」、「脅威のカテゴリ（カテゴリＩＤ）」、「緊急度」、「検知イベント名（イベントＩＤ）」、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「アプリケーション」、「アクション」等がある。判定装置３０は、セキュリティ機器２０からイベントを収集する際に、図９のような定形フォーマットでないイベントを、適宜パースして整形するようにしてもよい。

　図１０および１１を用いて、セキュリティ機器２０のイベントについて説明する。図１０は、悪性トラヒックに対するセキュリティ機器のイベントの一例を示す図である。図１１は、良性トラヒックに対するセキュリティ機器のイベントの一例を示す図である。

　セキュリティ機器２０は、パケットを受信すると、機器独自の検知および防御ロジックを用いて、不正通信に対して検知や防御等の処理を行うとともに、イベントを生成する。セキュリティ機器２０は、セキュリティに特化した専用の装置であってもよいし、フィルタ機能を有するネットワーク装置等であってもよい。セキュリティ機器２０は、例えば、ファイアウォール、次世代ファイアウォール、ＩＤＳ、ＩＰＳ（Intrusion　Prevention　System）、ＵＴＭ（Unified　Threat　Management）、サンドボックス、パケットフィルタ機能を有するルータおよびスイッチ等である。

　図１０に示すように、悪性イベント、すなわち悪性トラヒックに対するセキュリティ機器２０のイベントの項目には、「検知時刻」、「セキュリティ機器名」、「カテゴリ」、「緊急度」、「イベント名」、「送信元／宛先ＩＰアドレス／マルウェア識別子」、「送信元ポート番号」、「宛先ポート番号」、「アプリケーション」、「アクション」等がある。なお、図１０に示す悪性イベントの項目は一例である。

　例えば、図１０の５行目は、検知時刻が「０３／１１　０１：００：０１」、セキュリティ機器名が「Ａ社製品」、カテゴリが「不明サイト」、緊急度が「Ｉｎｆｏ」、イベント名が「http://unknown.com/」、マルウェア識別子が「Ｍ１」、宛先ＩＰアドレスが「１０．０．０．４」、送信元ポート番号が「１０２７」、宛先ポート番号が「８０」、アプリケーションが「Web-browsing」、アクションが「ａｌｅｒｔ」であるイベントを示している。

　また、判定装置３０は、関連する悪性イベントから特徴を抽出するようにしてもよい。例えば、図１０の太枠で示されたイベントは、検知時刻が近く、宛先ＩＰアドレスが同一であるイベントを関連イベントとしたものである。

　図１１に示すように、良性イベント、すなわち良性トラヒックに対するセキュリティ機器２０のイベントの項目には、「検知時刻」、「セキュリティ機器名」、「カテゴリ」、「緊急度」、「イベント名」、「送信元／宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「アプリケーション」、「アクション」等がある。なお、図１１に示す良性イベントの項目は一例である。

　例えば、図１１の４行目は、検知時刻が「０３／１１　０１：００：０１」、セキュリティ機器名が「Ａ社製品」、カテゴリが「脆弱性」、緊急度が「Ｉｎｆｏ」、イベント名が「HTTP　OPTIONS　Method」、送信元ＩＰアドレスが「１９２．１６８．１．１」、宛先ＩＰアドレスが「１０．０．０．４」、送信元ポート番号が「１０２７」、宛先ポート番号が「８０」、アプリケーションが「Web-browsing」、アクションが「ａｌｅｒｔ」であるイベントを示している。

　また、判定装置３０は、関連する良性イベントから特徴を抽出するようにしてもよい。例えば、図１１の太枠で示されたイベントは、検知時刻が近く、宛先ＩＰアドレスが同一であるイベントを関連イベントとしたものである。また、実網イベント、すなわち実網トラヒックに対するセキュリティ機器２０のイベントの項目は、例えば良性イベントの項目と同様である。

　ここで、図１２を用いて、判定装置３０の構成について説明する。図１２は、第１の実施形態に係る判定装置の構成の一例を示す図である。図１２に示すように、判定装置３０は、入出力部３１、制御部３２および記憶部３３を有する。入出力部３１、制御部３２および記憶部３３は、それぞれ、再生装置１０の入出力部１１、制御部１２および記憶部１３と同様の装置によって実現される。

　制御部３２は、収集部３２１、抽出部３２２および判定部３２３を有する。収集部３２１は、発生したトラヒックに対してセキュリティ機器２０が発生させたイベントを収集する。また、抽出部３２２は、収集部３２１によって収集されたイベントから特徴を抽出する。また、判定部３２３は、抽出部３２２によって抽出された特徴を基に、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する。なお、判定対象のイベントは実網イベントである。

　図１３を用いて、抽出部３２２によって抽出された悪性イベントの特徴について説明する。図１３は、悪性イベントから抽出された特徴の一例を示す図である。抽出部３２２は、図１０に示すような悪性イベントから、図１３に示すような特徴を抽出する。例えば、抽出部３２２は、セキュリティ機器２０ごとの悪性イベントの任意のフィールドに対して、発生マルウェア数／端末数を計算し、計算した結果を発生率として抽出する。

　図１３の例では、抽出部３２２は、セキュリティ機器名とイベント名を特徴とし、それぞれの発生マルウェア数および発生率を抽出している。例えば、図１３の１行目は、セキュリティ機器名が「Ａ社製品」、イベント名が「イベントＥａ１」である悪性イベントの発生マルウェア数が「８０」、発生率が「０．８」であったことを示している。

　抽出部３２２は、判定対象のイベントが悪性イベントとして発生した頻度と、判定対象のイベントが良性イベントとして発生した頻度と、を基に、判定対象のイベントの悪性の度合いまたは良性の度合いを表すスコアを算出する。また、抽出部３２２は、判定対象のイベントおよび判定対象のイベントとの類似度が所定値以上であるイベントが悪性イベントとして発生した頻度と、判定対象のイベントおよび判定対象のイベントとの類似度が所定値以上であるイベントが良性イベントとして発生した頻度と、を基に、判定対象のイベントの悪性の度合いまたは良性の度合いを表すスコアを算出してもよい。

　図１４を用いて、抽出部３２２によって算出される、各特徴の悪性度を表す悪性スコアについて説明する。図１４は、悪性スコアの一例を示す図である。図１４に示すように、悪性スコアは、当該特徴の悪性イベントにおける発生率を、当該特徴の良性イベントにおける発生率で割った発生比であってもよい。また、悪性スコアは、当該特徴の悪性イベントにおける発生率のΧ二乗値であってもよい。

　抽出部３２２は、悪性イベントとして関連イベントを用いる場合は、当該関連イベントに含まれるセキュリティ機器２０の特性に応じて、悪性スコアに重みを加える。例えば、抽出部３２２は、関連イベントに含まれるイベントが、同一のセキュリティ機器２０のイベントのみである場合、悪性スコアを１．５倍し、異なるセキュリティ機器２０のイベントが含まれている場合、悪性スコアを２．０倍してもよい。

　例えば、抽出部３２２は、各特徴の悪性スコアを以下のように計算する。このとき、Ａ社製品のイベントＥａ３およびＡ社製品のイベントＥａ４は、同一セキュリティ機器２０のイベントを有する関連イベントである。また、Ａ社製品のイベントＥａ５とＢ社製品のイベントＥｂ５は、異なるセキュリティ機器２０のイベントを有する関連イベントである。また、この場合、抽出部３２２は、発生率比を悪性スコアとすることとする。
　「Ｂ社製品＿イベントＥｂ１」の悪性スコア
　　０．８／０．０１＝８０
　「Ａ社製品＿イベントＥａ３」および「Ａ社製品＿イベントＥａ４」の悪性スコア
　　０．６／０．０１＊１．５＝９０
　「Ａ社製品＿イベントＥａ５」および「Ｂ社製品＿イベントＥｂ５」の悪性スコア
　　０．６／０．０１＊２．０＝１２０

　さらに、図１５に示すように、抽出部３２２は、悪性スコアを基に悪性イベントシグネチャを作成する。図１５は、悪性イベントシグネチャの一例を示す図である。この場合、抽出部３２２は、悪性スコアが５以上である特徴を悪性イベントシグネチャとして抽出する。

　判定部３２３は、スコアに基づいて、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する。例えば、判定部３２３は、図１５の悪性イベントシグネチャを参照し、Ｂ社製品のイベントＥｂ１の悪性スコアが８０以上であったトラヒックを悪性と判定する。さらに、抽出部３２２は、「悪性イベント」を正例、「良性イベント」を負例として各種機械学習アルゴリズムを適用することで、悪性イベント識別器を生成してもよい。この場合、判定部３２３は、悪性イベント識別器による判定を行うことができる。

［第１の実施形態の処理］
　ここで、図１６を用いて、再生装置１０の読込部１２１の処理について説明する。図１６は、第１の実施形態に係る再生装置の読込部の処理の流れを示すフローチャートである。図１６に示すように、まず、読込部１２１は、悪性トラヒックファイルおよび良性トラヒックファイルを読み込む（ステップＳ１０１）。次に、読込部１２１は、各トラヒックファイルにマルウェア識別子が含まれる場合は、当該マルウェア識別子をマルウェア識別ＩＰアドレスに変換する（ステップＳ１０２）。

　次に、各トラヒックファイルに含まれる各パケットの送信元がクライアント側であるかサーバ側であるかによって、送信元とするＮＩＣを特定する（ステップＳ１０３）。そして、読込部１２１は、各パケットにトリガパケット識別子および開始パケット識別子を付与する（ステップＳ１０４、Ｓ１０５）。

　ここで、トラヒックファイルがない場合（ステップＳ１０６、Ｎｏ）、読込部１２１は、作成した再生トラヒックを出力する（ステップＳ１０７）。また、トラヒックファイルがある場合（ステップＳ１０６、Ｙｅｓ）、読込部１２１は、ステップＳ１０１に処理を戻す。

　次に、図１７を用いて、再生部１２２の処理について説明する。図１７は、第１の実施形態に係る再生装置の再生部の処理の流れを示すフローチャートである。図１７に示すように、まず、再生部１２２は、再生用トラヒックの入力を受け付ける（ステップＳ２０１）。そして、再生部１２２は、再生用トラヒックから、クライアント側もしくはサーバ側のいずれかのＮＩＣから送信する送信パケットであって、遮断済みでない送信パケットを検索する（ステップＳ２０２）。

　なお、遮断済みの送信パケットとは、後述のトラヒック遮断イベントにおいて遮断された送信パケット、および、当該送信パケットの開始パケット識別子と同じ開始パケット識別子が設定された送信パケットである。例えば、図４の例において、パケット識別子が「Ｐ１」であるパケットが遮断されている場合、パケット識別子が「Ｐ１」であるパケットおよびパケット識別子が「Ｐ２」であるパケットの両方が遮断済みの送信パケットとなる。これは、パケット識別子が「Ｐ２」であるパケットが、パケット識別子が「Ｐ１」であるパケットと同じ開始パケット識別子を持つためである。

　また、前述の通り、トリガパケットを所定の時間受信せずタイムアウトした場合も同様に、当該受信できなかったパケットと同じ開始パケット識別子を持つパケットは送信パケットとして検索されない。

　送信パケットが検索された場合（ステップＳ２０３、Ｙｅｓ）、再生部１２２は、検索された送信パケットのトリガパケットがＮｏｎｅであるか、または検索された送信パケットのトリガパケットが送受信済みである場合（ステップＳ２０４、Ｙｅｓ）、当該送信パケットを送信する（ステップＳ２０５）。また、検索された送信パケットのトリガパケットが未送受信である場合（ステップＳ２０４、Ｎｏ）、再生部１２２は、タイムアウトしたか否かを判定する（ステップＳ２０６）。タイムアウトしていない場合（ステップＳ２０６、Ｎｏ）、再生部１２２は、ステップＳ２０４に処理を戻す。一方、タイムアウトした場合（ステップＳ２０６、Ｙｅｓ）、再生部１２２は、当該送信パケットを送信せず、他の送信パケットを検索する（ステップＳ２０２）。

　また、送信パケットが検索されなかった場合（ステップＳ２０３、Ｎｏ）、未入力の再生用トラヒックがあれば（ステップＳ２０７、Ｙｅｓ）、再生部１２２はさらに再生用トラヒックの入力を受け付ける（ステップＳ２０１）。また、未入力の再生用トラヒックがない場合（ステップＳ２０７、Ｎｏ）、再生部１２２は処理を終了する。

　次に、図１８を用いて、収集部３２１の処理について説明する。図１８は、第１の実施形態に係る判定装置の収集部の処理の流れを示すフローチャートである。図１８に示すように、まず、収集部３２１は、セキュリティ機器２０から出力されたイベントの入力を受け付ける（ステップＳ３０１）。次に、収集部３２１は、イベントのパースや整形といった前処理を行う（ステップＳ３０２）。

　ここで、トラヒックが遮断されたことを検知したイベントであるトラヒック遮断イベントがある場合（ステップＳ３０３、Ｙｅｓ）、収集部３２１は、イベントに含まれるＩＰアドレス、ポート番号等を基に遮断されているパケットを特定し、再生部１２２にトラヒックが遮断されている旨および特定したパケットに関する情報を通知する（ステップＳ３０４）。

　トラヒック遮断イベントがない場合（ステップＳ３０３、Ｎｏ）、収集部３２１は、関連イベントを検索する（ステップＳ３０５）。そして、収集部３２１は、関連イベントに関する情報を抽出部３２２と共有する（ステップＳ３０６）。そして、未入力のイベントがある場合（ステップＳ３０７、Ｙｅｓ）、収集部３２１は、さらにイベントの入力を受け付ける（ステップＳ３０１）。また、未入力のイベントがない場合（ステップＳ３０７、Ｎｏ）、収集部３２１は処理を終了する。

　次に、図１９を用いて、抽出部３２２の処理について説明する。図１９は、第１の実施形態に係る判定装置の抽出部の処理の流れを示すフローチャートである。図１９に示すように、まず、抽出部３２２は、収集部３２１によって収集されたイベントの入力を受け付ける（ステップＳ４０１）。次に、抽出部３２２は、イベントから特徴を抽出する（ステップＳ４０２）。そして、抽出部３２２は、イベントごとの悪性スコアを計算し（ステップＳ４０３）、悪性イベントシグネチャおよび悪性イベント識別器を生成する（ステップＳ４０４、Ｓ４０５）。

　次に、図２０を用いて、判定部３２３の処理について説明する。図２０は、第１の実施形態に係る判定装置の判定部の処理の流れを示すフローチャートである。図２０に示すように、まず、判定部３２３は、実網イベントの入力を受け付ける（ステップＳ５０１）。次に、判定部３２３は、悪性イベントシグネチャとのマッチングによる判定（ステップＳ５０２）、悪性イベント識別器による判定（ステップＳ５０３）、および関連イベントによる判定（ステップＳ５０４）を行う。そして、判定部３２３は、判定結果を生成する（ステップＳ５０５）。

［第１の実施形態の効果］
　読込部１２１は、悪性または良性のトラヒックが発生した際のトラヒックのダンプファイルであるトラヒックファイルを読み込む。また、再生部１２２は、トラヒックに応じたイベントを発生させるセキュリティ機器２０を有するネットワーク上に、トラヒックファイルに基づくトラヒックを発生させる。また、収集部３２１は、発生したトラヒックに対してセキュリティ機器２０が発生させたイベントを収集する。また、抽出部３２２は、収集部３２１によって収集されたイベントから特徴を抽出する。また、判定部３２３は、抽出部３２２によって抽出された特徴を基に、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する。

　これにより、セキュリティ機器によって検知されるイベントが多種多量であり、マルウェアによる通信に関係しないものが含まれる場合であっても、悪性または良性についての判定が自動的に行われるため、効率的な解析が可能となる。

　読込部１２１は、トラヒックの発生順序を示す情報を含んだトラヒックファイルを読み込み、トラヒックファイルに基づくトラヒックのそれぞれに、発生順序が１つ前であるトラヒックをトリガとして設定してもよい。このとき、再生部１２２は、読込部１２１によってトリガとして設定されたトラヒックの発生が完了した後、当該発生したトラヒックがトリガとして設定されたトラヒックを発生させる。

　これにより、実際に発生した順序通りにトラヒックを再現することが可能となる。また、トリガに関する条件が満たされ次第、次のトラヒックを発生させることが可能となるため、実際に発生した間隔よりも短い間隔でトラヒックを発生させ、短時間で判定等を行うことが可能となる。

　また、再生部１２２は、発生させたトラヒックが停止したことを検知した場合、発生済みのトラヒックおよび未発生のトラヒックに設定されたトリガを基に、発生させるトラヒックを特定し、当該特定したトラヒックを発生させる。これにより、何らかの原因でトラヒックが停止した場合であっても、自動的に復旧し、処理を続けることが可能となる。

　読込部１２１は、悪性トラヒックが発生した際のトラヒックのダンプファイルである悪性トラヒックファイルと、良性トラヒックが発生した際のトラヒックのダンプファイルである良性トラヒックファイルと、を読み込む。また、再生部１２２は、悪性トラヒックファイルに基づくトラヒックである悪性トラヒックと、良性トラヒックファイルに基づくトラヒックである良性トラヒックと、を発生させる。また、収集部３２１は、悪性トラヒックに対するイベントである悪性イベントと、良性トラヒックに対するイベントである良性イベントと、を収集する。また、抽出部３２２は、悪性イベントの特徴と、良性イベントの特徴と、を抽出する。このように、悪性トラヒックファイルと良性トラヒックファイルの両方に基づいた特徴抽出を行うことで、より精度の高い判定を行うことが可能となる。

　抽出部３２２は、判定対象のイベントが悪性イベントとして発生した頻度と、判定対象のイベントが良性イベントとして発生した頻度と、を基に、判定対象のイベントの悪性の度合いまたは良性の度合いを表すスコアを算出してもよい。この場合、判定部３２３は、スコアに基づいて、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する。

　これにより、イベントの悪性イベントにおける発生頻度と、良性イベントにおける発生頻度の両方をスコアに反映させることができるため、検出率を大きくし、誤検出率を小さくすることが可能となる。

　抽出部３２２は、判定対象のイベントおよび判定対象のイベントとの類似度が所定値以上であるイベントが悪性イベントとして発生した頻度と、判定対象のイベントおよび判定対象のイベントとの類似度が所定値以上であるイベントが良性イベントとして発生した頻度と、を基に、判定対象のイベントの悪性の度合いまたは良性の度合いを表すスコアを算出してもよい。この場合、判定部３２３は、スコアに基づいて、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定してもよい。

　複数の悪性イベントが、関連イベントの関係にある場合、当該複数の悪性イベントは、関連イベントを持たない悪性イベントよりも悪性の度合いがより大きい場合が考えられるため、関連イベントを考慮したスコアを算出することで、より検出精度を向上させることが可能となる。

［その他の実施形態］
　悪性イベント検出システム１の再生装置１０および判定装置３０の各処理部は、図２１に示すように、１つの装置によって実現されてもよい。図２１は、悪性イベント検出装置の構成の一例を示す図である。図２１に示すように、悪性イベント検出装置５０は、入出力部５１、制御部５２および記憶部５３を有する。入出力部５１、制御部５２および記憶部５３は、それぞれ、再生装置１０の入出力部１１、制御部１２および記憶部１３と同様の装置によって実現される。また、制御部５２は、読込部５２１、再生部５２２、収集部５２３、抽出部５２４および判定部５２５を有する。読込部５２１、再生部５２２、収集部５２３、抽出部５２４および判定部５２５は、それぞれ、読込部１２１、再生部１２２、収集部３２１、抽出部３２２および判定部３２３と同様の処理を行う。

［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
　一実施形態として、悪性イベント検出装置５０は、パッケージソフトウェアやオンラインソフトウェアとして上記の悪性イベント検出を実行する悪性イベント検出プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の悪性イベント検出プログラムを情報処理装置に実行させることにより、情報処理装置を悪性イベント検出装置５０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。

　また、悪性イベント検出装置５０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の悪性イベント検出に関するサービスを提供する悪性イベント検出サーバ装置として実装することもできる。例えば、悪性イベント検出サーバ装置は、実網トラヒックファイルを入力とし、判定結果を出力とする悪性イベント検出サービスを提供するサーバ装置として実装される。この場合、悪性イベント検出サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の悪性イベント検出に関するサービスを提供するクラウドとして実装することとしてもかまわない。

　図２２は、プログラムが実行されることにより悪性イベント検出装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

　ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、悪性イベント検出装置５０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、悪性イベント検出装置５０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。

　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３およびプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３およびプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

　１　悪性イベント検出システム
　１０　再生装置
　１１、３１、５１　入出力部
　１２、３２、５２　制御部
　１３、３３、５３　記憶部
　２０　セキュリティ機器
　３０　判定装置
　５０　悪性イベント検出装置
　１２１、５２１　読込部
　１２２、５２２　再生部
　３２１、５２３　収集部
　３２２、５２４　抽出部
　３２３、５２５　判定部

Claims (8)

1. 　悪性または良性のトラヒックが発生した際のトラヒックのダンプファイルであるトラヒックファイルを読み込む読込部と、
   　トラヒックに応じたイベントを発生させるセキュリティ機器を有するネットワーク上に、前記トラヒックファイルに基づくトラヒックを発生させる発生部と、
   　発生したトラヒックに対して前記セキュリティ機器が発生させたイベントを収集する収集部と、
   　前記収集部によって収集された前記イベントから特徴を抽出する抽出部と、
   　前記抽出部によって抽出された特徴を基に、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する判定部と、
   　を有することを特徴とする悪性イベント検出装置。
2. 　前記読込部は、トラヒックの発生順序を示す情報を含んだトラヒックファイルを読み込み、前記トラヒックファイルに基づくトラヒックのそれぞれに、発生順序が１つ前であるトラヒックをトリガとして設定し、
   　前記発生部は、前記読込部によってトリガとして設定されたトラヒックの発生が完了した後、当該発生したトラヒックがトリガとして設定されたトラヒックを発生させることを特徴とする請求項１に記載の悪性イベント検出装置。
3. 　前記発生部は、発生させたトラヒックが停止したことを検知した場合、発生済みのトラヒックおよび未発生のトラヒックに設定されたトリガを基に、発生させるトラヒックを特定し、当該特定したトラヒックを発生させることを特徴とする請求項２に記載の悪性イベント検出装置。
4. 　前記読込部は、悪性トラヒックが発生した際のトラヒックのダンプファイルである悪性トラヒックファイルと、良性トラヒックが発生した際のトラヒックのダンプファイルである良性トラヒックファイルと、を読み込み、
   　前記発生部は、前記悪性トラヒックファイルに基づくトラヒックである悪性トラヒックと、前記良性トラヒックファイルに基づくトラヒックである良性トラヒックと、を発生させ、
   　前記収集部は、前記悪性トラヒックに対するイベントである悪性イベントと、前記良性トラヒックに対するイベントである良性イベントと、を収集し、
   　前記抽出部は、前記悪性イベントの特徴と、前記良性イベントの特徴と、を抽出することを特徴とする請求項１に記載の悪性イベント検出装置。
5. 　前記抽出部は、前記判定対象のイベントが前記悪性イベントとして発生した頻度と、前記判定対象のイベントが前記良性イベントとして発生した頻度と、を基に、前記判定対象のイベントの悪性の度合いまたは良性の度合いを表すスコアを算出し、
   　前記判定部は、前記スコアに基づいて、前記判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定することを特徴とする請求項４に記載の悪性イベント検出装置。
6. 　前記抽出部は、前記判定対象のイベントおよび前記判定対象のイベントとの類似度が所定値以上であるイベントが前記悪性イベントとして発生した頻度と、前記判定対象のイベントおよび前記判定対象のイベントとの類似度が所定値以上であるイベントが前記良性イベントとして発生した頻度と、を基に、前記判定対象のイベントの悪性の度合いまたは良性の度合いを表すスコアを算出し、
   　前記判定部は、前記スコアに基づいて、前記判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定することを特徴とする請求項４に記載の悪性イベント検出装置。
7. 　悪性イベント検出システムで実行される悪性イベント検出方法であって、
   　悪性または良性のトラヒックが発生した際のトラヒックのダンプファイルであるトラヒックファイルを読み込む読込工程と、
   　トラヒックに応じたイベントを発生させるセキュリティ機器を有するネットワーク上に、前記トラヒックファイルに基づくトラヒックを発生させる発生工程と、
   　発生したトラヒックに対して前記セキュリティ機器が発生させたイベントを収集する収集工程と、
   　前記収集工程によって収集された前記イベントから特徴を抽出する抽出工程と、
   　前記抽出工程によって抽出された特徴を基に、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する判定工程と、
   　を含んだことを特徴とする悪性イベント検出方法。
8. 　コンピュータに、
   　悪性または良性のトラヒックが発生した際のトラヒックのダンプファイルであるトラヒックファイルを読み込む読込ステップと、
   　トラヒックに応じたイベントを発生させるセキュリティ機器を有するネットワーク上に、前記トラヒックファイルに基づくトラヒックを発生させる発生ステップと、
   　発生したトラヒックに対して前記セキュリティ機器が発生させたイベントを収集する収集ステップと、
   　前記収集ステップによって収集された前記イベントから特徴を抽出する抽出ステップと、
   　前記抽出ステップによって抽出された特徴を基に、判定対象のイベントが悪性のトラヒックに対するものであるか、または良性のトラヒックに対するものであるかを判定する判定ステップと、
   　を実行させることを特徴とする悪性イベント検出プログラム。

Images