WO2018159361A1 - 攻撃パターン抽出装置、攻撃パターン抽出方法および攻撃パターン抽出プログラム - Google Patents

攻撃パターン抽出装置、攻撃パターン抽出方法および攻撃パターン抽出プログラム Download PDF

Info

Publication number
WO2018159361A1
WO2018159361A1 PCT/JP2018/005772 JP2018005772W WO2018159361A1 WO 2018159361 A1 WO2018159361 A1 WO 2018159361A1 JP 2018005772 W JP2018005772 W JP 2018005772W WO 2018159361 A1 WO2018159361 A1 WO 2018159361A1
Authority
WO
WIPO (PCT)
Prior art keywords
character string
attack pattern
extraction
attack
common
Prior art date
Application number
PCT/JP2018/005772
Other languages
English (en)
French (fr)
Inventor
慎吾 折原
佐藤　徹
陽介 嶋田
悠太 岩城
揚 鐘
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US16/489,355 priority Critical patent/US11244048B2/en
Priority to JP2019502889A priority patent/JP6714142B2/ja
Publication of WO2018159361A1 publication Critical patent/WO2018159361A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the present invention relates to an attack pattern extraction device, an attack pattern extraction method, and an attack pattern extraction program.
  • the above-described conventional technique has a problem that an appropriate attack pattern may not be generated.
  • the conventional technique since it is based on the characteristics of a known attack code, morphological analysis is not appropriately performed for an unknown attack, and an appropriate attack pattern may not be generated.
  • the character string length of the common part is not taken into account when calculating the LCS, there is a problem that a short character string that coincides with the user may be generated as a significant attack pattern.
  • the attack pattern extraction device of the present invention includes an extraction unit that extracts a common character string between parameters in an access log of communication determined to be an attack, and the extraction unit And an attack pattern generation unit that generates an attack pattern based on a character string having a character string length equal to or longer than a predetermined character string length among the continuous character strings extracted by the above.
  • the attack pattern extraction method of the present invention is an attack pattern extraction method executed by an attack pattern extraction device, an extraction step for extracting a common character string between parameters in a communication access log determined to be an attack, and And an attack pattern generating step of generating an attack pattern based on a character string having a character string length equal to or longer than a predetermined character string length among the continuous character strings extracted by the extracting step.
  • the attack pattern extraction program includes an extraction step of extracting a common character string between parameters in a communication access log determined to be an attack, and a character from among consecutive character strings extracted by the extraction step.
  • An attack pattern generation step of generating an attack pattern based on a character string having a string length equal to or longer than a predetermined character string length is executed by a computer.
  • FIG. 1 is a configuration diagram showing an outline of an attack pattern extraction apparatus according to the first embodiment.
  • FIG. 2 is a diagram illustrating the table initialization process.
  • FIG. 3 is a diagram illustrating the table update process.
  • FIG. 4 is a diagram for explaining the result character string update process.
  • FIG. 5 is a diagram for explaining a case where a normal LCS is used.
  • FIG. 6 is a diagram illustrating a case where LCS with a delimiter is used.
  • FIG. 7 is a flowchart showing the flow of clustering processing in the attack pattern extraction apparatus according to the first embodiment.
  • FIG. 8 is a flowchart showing the flow of LCS calculation processing in the attack pattern extraction apparatus according to the first embodiment.
  • FIG. 9 is a diagram illustrating a computer that executes an attack pattern extraction program.
  • FIG. 1 is a configuration diagram showing an outline of an attack pattern extraction apparatus according to the first embodiment.
  • the attack pattern extraction device 10 includes an input unit 11, an output unit 12, a control unit 13, and a storage unit 14.
  • the input unit 11 is a device that accepts various information input operations, and for example, accepts an input of an access log to a Web server determined to be an attack.
  • the output unit 12 is a device that outputs various types of information, and outputs, for example, an attack pattern.
  • the storage unit 14 stores data and programs necessary for various processes performed by the control unit 13, and has a log storage unit 14a particularly closely related to the present invention.
  • the storage unit 14 is a semiconductor memory device such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • the log storage unit 14a stores an access log to the Web server determined to be an attack.
  • the access log includes, for example, “source IP”, “date / time”, and “request” as data items. Alternatively, only the parameters included in the request may be extracted from the access log as data items.
  • the control unit 13 has an internal memory for storing a program that defines various processing procedures and necessary data, and performs various processes by using these programs. Particularly, as closely related to the present invention, It has an extraction unit 13a and an attack pattern generation unit 13b.
  • the control unit 13 is an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit), or an integrated circuit such as ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • the extraction unit 13a extracts a common character string between parameters in an access log of communication determined to be an attack.
  • the extraction unit 13a calculates a longest common partial sequence that is a character string common to the parameters and includes a delimiter that separates non-consecutive character strings, and uses the longest common partial sequence to obtain a common Extract a string.
  • the extraction unit 13a performs the following clustering process in order to extract a common character string between parameters in an access log of communication determined to be an attack.
  • the clustering process will be described in detail below.
  • the length of the character string X is expressed as “len (X)”
  • the i-th character (counting from 1) of the character string X is expressed as “X [ i] ".
  • a plurality of parameters are expressed as p 1 , p 2 ,..., Pn .
  • the extraction unit 13a clusters a plurality of parameters p 1 , p 2 ,..., Pn .
  • the extraction unit 13a initializes the cluster set C.
  • the extracting unit 13a also initializes the result list R with an empty array.
  • the extraction unit 13a performs processing target cluster extraction processing. Specifically, the extracting unit 13a, the process target cluster from the cluster set C (e.g. last element) extracted one, and C t. Update cluster set C with C ⁇ ⁇ C t ⁇ .
  • “ ⁇ ” represents a difference set. That is, updates the C in minus the elements C t from the cluster set C.
  • the extraction unit 13a performs LCS calculation of the processing target cluster and other clusters. Specifically, the extraction unit 13a sequentially calculates the LCS (longest common subsequence) of the lcs element of each element C i (1 ⁇ i ⁇
  • the calculation of LCS is performed according to the procedure described later, and a result obtained by separating non-consecutive portions by a delimiter (eg, “
  • extraction unit 13a as a calculation result of the LCS and lcs element "xyCzDFG" of lcs elements "ABCDEFGH” and C t elements C i, "C
  • the score s (C i , C t ) is the longest length of the character strings obtained by calculating LCS with delimiters between the lcs elements of the clusters C i , C t and dividing them by delimiters. It is.
  • cluster C i “C i ⁇ lcs:“ AB
  • CD ”, strings: [“ AB12CD ”,“ ABCD ”] ⁇ ” and cluster C t “C t ⁇ lcs:“ AB
  • the extraction unit 13a performs a maximum score confirmation process. Specifically, the extraction unit 13a, the score s of C k and C t (C k, C t ) (max score) to confirm whether or minimum character string length threshold. If the result of the confirmation is that it is less than the threshold, the extraction unit 13a adds the processing target cluster C t to the result list R, returns to the processing target cluster extraction processing, extracts a new processing target cluster, and performs the above processing. repeat. On the other hand, if the result of confirmation indicates that the value is equal to or greater than the threshold, the extraction unit 13a merges C k and C t as follows to create C N.
  • C N lcs LCs with C k lcs and C t lcs separators
  • C N strings C k strings and C t strings are connected as an array.
  • the extraction unit 13a updates C with (C ⁇ ⁇ C k ⁇ ) ⁇ ⁇ C N ⁇ , returns to the processing target cluster extraction processing, extracts a new processing cluster, and repeats the above processing.
  • the extraction unit 13a repeats the processing target cluster extraction process, the LCS calculation process, and the maximum score confirmation process described above until the size of the cluster set C becomes 1. Thereafter, when the size of the cluster set becomes 1, the extraction unit 13a adds the last cluster to the result list R. Then, the extraction unit 13a notifies the attack list generation unit 13b of the result list R.
  • the extraction unit 13a calculates the longest common partial sequence (LCS) when two character strings x and y are given in the LCS calculation process.
  • the extraction unit 13a separates non-continuous portions with a delimiter (for example, “
  • the delimiter may be any character that does not appear in x and y.
  • the extraction unit 13a receives two character strings x and y as LCS calculation targets as inputs. Then, the extraction unit 13a performs a table initialization process. For example, as illustrated in FIG. 2, the extraction unit 13a prepares an array t of (len (y) +1) ⁇ (len (x) +1), and sets all elements in the 0th row and the 0th column to 0. Initialize with.
  • FIG. 2 is a diagram illustrating the table initialization process.
  • FIG. 3 is a diagram illustrating the table update process.
  • the character “C” in the third column (x [3]) is the same as the character “C” in the third row (y [3]).
  • the extraction unit 13a performs the third row and third column.
  • the maximum “2” is set to the element t [3 in the third row and the fourth column. 3, 4].
  • the extraction unit 13a initializes the result character string with an empty character string “”. Subsequently, the extraction unit 13a repeats the following (1) and (2) while i> 0 and j> 0, and updates the result character string.
  • FIG. 4 is a diagram for explaining the result character string update process.
  • the extraction unit 13a differs between the character “d” in the fourth column (x [4]) and the character “C” in the third row (y [3]).
  • j is decreased by 1. Since the end of the result character string is not a delimiter, the result character string is updated from “” to “
  • the extraction unit 13a determines the result character string. Is updated from “
  • the extraction unit 13a performs the first row and second column.
  • the extraction unit 13a calculates the result character string. “
  • the extraction unit 13a inverts the result character string. For example, when the result character string is “
  • the attack pattern generation unit 13b generates an attack pattern based on a character string having a character string length equal to or longer than a predetermined character string length among consecutive character strings extracted by the extraction unit 13a. . Further, when there are a plurality of character strings having a character string length equal to or longer than a predetermined character string length, the attack pattern generation unit 13b generates an attack pattern based on the plurality of character strings and the appearance order of each character string. Further, the attack pattern generation unit 13b does nothing if the continuous character string extracted by the extraction unit 13a is included in the already generated attack pattern.
  • the lcs element of the extracted element is a common part to be extracted.
  • the attack pattern generation unit 13b divides the common part with a delimiter character, and a regular expression obtained by concatenating character strings having a length equal to or greater than the minimum character string length threshold with “*” is the attack pattern to be finally obtained.
  • a new threshold different from the minimum character string length threshold may be adopted as the threshold.
  • the attack pattern generation unit 13b divides lcs: “a
  • the attack pattern extraction apparatus 10 calculates the LCS while putting a delimiter character at a portion where characters are not continuous, and extracts an object having a length longer than the threshold value. It is not extracted as a pattern.
  • attack pattern extraction apparatus 10 calculates the LCS with the delimiter characters inserted when merging clusters, it can be shared from three or more parameters without losing the information that “the common part is continuous”. Parts can be extracted efficiently.
  • FIG. 5 is a diagram for explaining a case where a normal LCS is used.
  • FIG. 6 is a diagram illustrating a case where LCS with a delimiter is used. 5 and 6 exemplify a case where the longest common subsequence is extracted from AB12CD, ABCD, ABxCE, and AByCdE.
  • FIG. 7 is a flowchart showing the flow of clustering processing in the attack pattern extraction apparatus according to the first embodiment.
  • FIG. 8 is a flowchart showing the flow of LCS calculation processing in the attack pattern extraction apparatus according to the first embodiment.
  • the extraction unit 13a of the attack pattern extraction device 10 initializes the cluster set C (step S101). Then, the extraction unit 13a determines whether or not the size of the cluster set C is 2 or more (step S102).
  • the extraction unit 13a performs a processing target cluster extraction process (Step S103). Specifically, the extracting unit 13a, the process target cluster from the cluster set C (e.g. last element) extracted one, and C t. Update cluster set C with C ⁇ ⁇ C t ⁇ .
  • “ ⁇ ” represents a difference set. That is, updates the C in minus the elements C t from the cluster set C.
  • the extraction unit 13a performs LCS calculation of the processing target cluster and other clusters (step S104). Specifically, the extraction unit 13a sequentially calculates the LCS (longest common subsequence) of the lcs element of each element C i (1 ⁇ i ⁇
  • C k be the C i that has the longest LCS matching partial character string length with C t .
  • the extraction unit 13a determines whether the longest matching partial character string length is equal to or greater than the minimum character string length threshold value (step S105). As a result, when it is determined that the longest matching partial character string length is equal to or greater than the minimum character string length threshold (Yes at Step S105), the extraction unit 13a performs cluster merging (Step S106), and performs the process of Step S102. Return to. Specifically, the extraction unit 13a merges C k and C t as follows to create C N. C N lcs: LCs with C k lcs and C t lcs separators, C N strings: C k strings and C t strings are connected as an array.
  • the extraction unit 13a determines that the longest matching partial character string length is less than the minimum character string length threshold (No at Step S105)
  • the extraction unit 13a adds the processing target cluster Ct to the result list R (Step S107). The process returns to step S102.
  • the extraction unit 13a receives two character strings x and y that are LCS calculation targets as inputs (step S201). Then, the extraction unit 13a performs table initialization processing (step S202). For example, the extraction unit 13a prepares a table (array) t of (len (y) +1) ⁇ (len (x) +1), and initializes all elements in the 0th row and the 0th column to 0.
  • the extraction unit 13a inverts the result character string (step S220). For example, when the result character string is “
  • the attack pattern extraction apparatus 10 extracts a character string that is common to parameters in an access log of communication determined to be an attack. Then, the attack pattern extraction apparatus 10 generates an attack pattern based on a character string having a character string length equal to or longer than a predetermined character string length among the extracted continuous character strings. For this reason, the attack pattern extraction device 10 according to the first embodiment can generate an appropriate attack pattern.
  • the attack pattern extraction apparatus 10 calculates the LCS while putting a delimiter character at a place where characters are not continuous, and extracts an object having a length longer than the threshold value. It is possible to generate an appropriate attack pattern without extraction.
  • attack pattern extraction apparatus 10 calculates the LCS with the delimiter characters inserted when merging clusters, it can be shared from three or more parameters without losing the information that “the common part is continuous”. Parts can be extracted efficiently.
  • the extraction unit 13a of the attack pattern extraction device suppresses the extraction of the common character string from the character string when the length of the common character string falls below a predetermined ratio. To do. Specifically, the extraction unit 13a, the maximum score confirmation process, the score s of C k and C t (C k, C t) If (maximum score) is above minimum character string length threshold, before merging, When the number of elements of strings of C t is equal to or greater than the minimum cluster size threshold and the score decrease rate after merging is equal to or greater than the score decrease rate threshold, merging is not performed, and C t is added to the result list R to be processed Return to the cluster extraction process.
  • the score reduction rate is calculated by comparing the longest character string length L of the character string obtained by dividing the lcs element of C t with a delimiter and the score s (C k , C t ). For example, 1-s (C k , C t ) / L is set as the score reduction rate.
  • a cluster of ⁇ lcs: “PATTERN”, strings: [“PATTERN1”, “PATTERN2”, “PATTERN3”] ⁇ is obtained, a parameter “TERN” is included.
  • Clusters are also merged, and a cluster of ⁇ lcs: “TERN”, strings: [“PATTERN1”, “PATTERN2”, “PATTERN3”, “TERN”] ⁇ is generated.
  • the minimum character string length threshold is “4”.
  • each component of each illustrated apparatus is functionally conceptual, and does not necessarily need to be physically configured as illustrated.
  • the specific form of distribution / integration of each device is not limited to that shown in the figure, and all or a part thereof may be functionally or physically distributed or arbitrarily distributed in arbitrary units according to various loads or usage conditions. Can be integrated and configured.
  • all or any part of each processing function performed in each device may be realized by a CPU and a program analyzed and executed by the CPU, or may be realized as hardware by wired logic.
  • the extraction unit 13a and the attack pattern generation unit 13b may be integrated.
  • FIG. 9 is a diagram illustrating a computer 1000 that executes an attack pattern extraction program.
  • the computer 1000 includes, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012 as illustrated in FIG.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090 as illustrated in FIG.
  • the disk drive interface 1040 is connected to the disk drive 1100 as illustrated in FIG.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100.
  • the serial port interface 1050 is connected to a mouse 1110 and a keyboard 1120, for example, as illustrated in FIG.
  • the video adapter 1060 is connected to a display 1130, for example, as illustrated in FIG.
  • the hard disk drive 1090 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. That is, the attack pattern extraction program is stored in, for example, the hard disk drive 1090 as a program module in which a command executed by the computer 1000 is described.
  • various data described in the above embodiment is stored as program data in, for example, the memory 1010 or the hard disk drive 1090.
  • the CPU 1020 reads the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1090 to the RAM 1012 as necessary, and executes various processing procedures.
  • program module 1093 and the program data 1094 related to the attack pattern extraction program are not limited to being stored in the hard disk drive 1090, but are stored in, for example, a removable storage medium and read out by the CPU 1020 via the disk drive or the like. May be.
  • the program module 1093 and the program data 1094 related to the attack pattern extraction program are stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020 via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020 via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020 via LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020

Abstract

攻撃パターン抽出装置（１０）は、抽出部（１３ａ）および攻撃パターン生成部（１３ｂ）を有する。抽出部（１３ａ）は、攻撃と判定された通信のアクセスログにおけるパラメータ同士の共通した文字列を抽出する。そして、攻撃パターン生成部（１３ｂ）は、抽出された連続する文字列のうち、文字列長が所定の文字列長以上の文字列を基に攻撃パターンを生成する。

Description

攻撃パターン抽出装置、攻撃パターン抽出方法および攻撃パターン抽出プログラム
　本発明は、攻撃パターン抽出装置、攻撃パターン抽出方法および攻撃パターン抽出プログラムに関する。
　近年、インターネットの普及に伴い、Ｗｅｂサーバに対する攻撃が急増している。このような攻撃の対策としてＩＤＳ(Intrusion　Detection　System)、ＩＰＳ(Intrusion　Prevention　System)、ＷＡＦ(Web　Application　Firewall)等によるネットワークへの不正侵入検知・防御システムが知られている。これらは主に、攻撃パターンをシグネチャとして覚えておき、シグネチャとマッチした通信を検知するものである。従って、新たな攻撃に対応するには、攻撃パターンに合わせてシグネチャを作成する必要がある。
　従来、シグネチャ等の攻撃パターンの生成においては、攻撃コードに共通した特徴を元にパラメータの形態素解析を行い、その結果の最長共通部分列（ＬＣＳ：Longest　Common　Subsequence）を算出して生成する手法が知られている。
越智　勇貴、安部　剛、"Exploitに対するWAFシグネチャ自動生成の研究"、Computer　Security　Symposium　2016、pp.958-963.
　しかしながら、上記した従来の技術では、適切な攻撃パターンを生成することができない場合があるという課題があった。つまり、従来の技術では、既知の攻撃コードの特徴を元にしているため、未知の攻撃には形態素解析が適切に行われず、適切な攻撃パターンを生成できない場合があった。また、ＬＣＳ算出の際に、共通部分の文字列長を考慮していないため、偶然一致した短い文字列を有意な攻撃パターンとして生成してしまう可能性があるという課題があった。
　上述した課題を解決し、目的を達成するために、本発明の攻撃パターン抽出装置は、攻撃と判定された通信のアクセスログにおけるパラメータ同士の共通した文字列を抽出する抽出部と、前記抽出部によって抽出された連続する文字列のうち、文字列長が所定の文字列長以上の文字列を基に攻撃パターンを生成する攻撃パターン生成部とを備えたことを特徴とする。
　また、本発明の攻撃パターン抽出方法は、攻撃パターン抽出装置で実行される攻撃パターン抽出方法であって、攻撃と判定された通信のアクセスログにおけるパラメータ同士の共通した文字列を抽出する抽出工程と、前記抽出工程によって抽出された連続する文字列のうち、文字列長が所定の文字列長以上の文字列を基に攻撃パターンを生成する攻撃パターン生成工程とを含んだことを特徴とする。
　また、本発明の攻撃パターン抽出プログラムは、攻撃と判定された通信のアクセスログにおけるパラメータ同士の共通した文字列を抽出する抽出ステップと、前記抽出ステップによって抽出された連続する文字列のうち、文字列長が所定の文字列長以上の文字列を基に攻撃パターンを生成する攻撃パターン生成ステップとをコンピュータに実行させることを特徴とする。
　本発明によれば、適切な攻撃パターンを生成することができるという効果を奏する。
図１は、第一の実施の形態に係る攻撃パターン抽出装置の概要を示す構成図である。 図２は、テーブル初期化処理について説明する図である。 図３は、テーブル更新処理について説明する図である。 図４は、結果文字列更新処理について説明する図である。 図５は、通常のＬＣＳを用いた場合について説明する図である。 図６は、区切り文字入りＬＣＳを用いた場合について説明する図である。 図７は、第一の実施の形態に係る攻撃パターン抽出装置におけるクラスタリング処理の流れを示すフローチャートである。 図８は、第一の実施の形態に係る攻撃パターン抽出装置におけるＬＣＳ算出処理の流れを示すフローチャートである。 図９は、攻撃パターン抽出プログラムを実行するコンピュータを示す図である。
　以下に、本願に係る攻撃パターン抽出装置、攻撃パターン抽出方法および攻撃パターン抽出プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る攻撃パターン抽出装置、攻撃パターン抽出方法および攻撃パターン抽出プログラムが限定されるものではない。
［第一の実施の形態］
　以下の実施の形態では、第一の実施の形態に係る攻撃パターン抽出装置１０の構成、攻撃パターン抽出装置１０の処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。
［攻撃パターン抽出装置の構成］
　まず、図１を用いて、攻撃パターン抽出装置１０の構成を説明する。図１は、第一の実施の形態に係る攻撃パターン抽出装置の概要を示す構成図である。図１に示すように、この攻撃パターン抽出装置１０は、入力部１１、出力部１２、制御部１３および記憶部１４を有する。
　入力部１１は、各種情報の入力操作を受け付けるデバイスであり、例えば、攻撃と判定されたＷｅｂサーバへのアクセスログの入力を受け付ける。出力部１２は、各種情報を出力するデバイスであり、例えば、攻撃パターンを出力する。
　また、記憶部１４は、制御部１３による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、ログ記憶部１４ａを有する。例えば、記憶部１４は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
　ログ記憶部１４ａは、攻撃と判定されたＷｅｂサーバへのアクセスログを記憶する。アクセスログは、例えば、データ項目として、「発ＩＰ」、「日時」、「リクエスト」を含むものとする。あるいはアクセスログから、リクエストに含まれるパラメータのみを抽出してデータ項目としても良い。
　制御部１３は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、抽出部１３ａおよび攻撃パターン生成部１３ｂを有する。ここで、制御部１３は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路である。
　抽出部１３ａは、攻撃と判定された通信のアクセスログにおけるパラメータ同士の共通した文字列を抽出する。抽出部１３ａは、パラメータ同士で共通する文字列であって、且つ、連続しない文字列間を区切る区切り文字を入れたまま最長共通部分列を算出し、該最長共通部分列を用いて、共通した文字列を抽出する。
　抽出部１３ａは、攻撃と判定された通信のアクセスログにおけるパラメータ同士の共通した文字列を抽出するために、以下のクラスタリング処理を行う。以下に、クラスタリング処理について詳しく説明するが、以降の説明では、文字列Ｘの長さを「ｌｅｎ（Ｘ）」と表記し、文字列Ｘのｉ番目の文字（１から数える）を「Ｘ［ｉ］」と表記する。また、複数のパラメータをｐ１,ｐ２，・・・，ｐｎと表記する。最初に、抽出部１３ａは、複数のパラメータｐ１，ｐ２，・・・，ｐｎをクラスタリングする。
　まず、抽出部１３ａは、クラスタ集合Ｃを初期化する。クラスタ集合Ｃ（Ｃ＝｛Ｃ１，Ｃ２，．．．，Ｃｎ｝）に含まれるクラスタＣｉ（１≦ｉ≦ｎ）を、｛ｌｃｓ:パラメータｐｉ自身、ｓｔｒｉｎｇｓ：ｐｉのみからなる配列｝からなる連想配列（Ｃｉ＝｛ｌｃｓ：ｐｉ，ｓｔｒｉｎｇｓ：［ｐｉ］｝（１≦ｉ≦ｎ））とする。また、抽出部１３ａは、結果リストＲも空の配列で初期化する。
　続いて、抽出部１３ａは、処理対象クラスタ抽出処理を行う。具体的には、抽出部１３ａは、クラスタ集合Ｃから処理対象クラスタ（例えば最後の要素）を１つ抽出し、Ｃｔとする。クラスタ集合ＣをＣ＼｛Ｃｔ｝で更新する。ここで“＼”は差集合を表す。すなわち、クラスタ集合Ｃから要素Ｃｔを取り除いたものでＣを更新する。
　そして、抽出部１３ａは、処理対象クラスタと他クラスタのＬＣＳ算出を行う。具体的には、抽出部１３ａは、クラスタ集合Ｃの各要素Ｃｉ（１≦ｉ≦｜Ｃ｜）のｌｃｓ要素と、Ｃｔのｌｃｓ要素とのＬＣＳ（最長共通部分列）を順次算出する。ＬＣＳの算出は、後述の手順で行い、連続しない部分は区切り文字（例：“|”）で区切られた結果が得られる。具体的を挙げて説明すると、抽出部１３ａは、要素Ｃｉのｌｃｓ要素“ａｂＣＤｅＦＧｈ”とＣｔのｌｃｓ要素“ｘｙＣｚＤＦＧ”とのＬＣＳの算出結果として、“Ｃ｜Ｄ｜ＦＧ”が得られる。
　そして、抽出部１３ａは、処理対象クラスタとクラスタ集合Ｃの各クラスタとのＬＣＳ算出を行うと、ＬＣＳを区切り文字で分割した文字列の長さのうち、最長のものをＣｉとＣｔのスコアｓ（Ｃｉ,Ｃｔ）とする。
　つまり、スコアｓ（Ｃｉ,Ｃｔ）は、クラスタＣｉ,Ｃｔのｌｃｓ要素同士の区切り文字入りＬＣＳを算出し、それを区切り文字で分割した文字列の長さのうち、最長のものである。例えば、クラスタＣｉ「Ｃｉ＝｛ｌｃｓ：“ＡＢ｜ＣＤ”,ｓｔｒｉｎｇｓ：［“ＡＢ１２ＣＤ”,“ＡＢＣＤ”］｝」とクラスタＣｔ「Ｃｔ＝｛ｌｃｓ：“ＡＢ｜Ｃ｜Ｅ”,ｓｔｒｉｎｇｓ：［“ＡＢｘＣＥ”,“ＡＢｙＣｄＥ”］｝」とでは、“ＡＢ｜ＣＤ”と“ＡＢ｜Ｃ｜Ｅ”の区切り文字入りＬＣＳとして、“ＡＢ｜Ｃ”が得られる。そして、“ＡＢ｜Ｃ”を区切り文字で分割し、“ＡＢ”,“Ｃ”の文字列長（２、１）のうち最長の“２”がスコアｓ（Ｃｉ,Ｃｔ）となる。スコアｓ（Ｃｉ,Ｃｔ）が最大となるＣｉ（１≦ｉ≦｜Ｃ｜）をＣｋとする。なお、スコアｓ（Ｃｉ,Ｃｔ）が最大となるＣｉが複数ある場合には、スコアｓ（Ｃｉ,Ｃｔ）が最大となる複数のＣｉのうち任意の一つをＣｋとする。
　続いて、抽出部１３ａは、最大スコア確認処理を行う。具体的には、抽出部１３ａは、ＣｋとＣｔのスコアｓ（Ｃｋ,Ｃｔ）（最大スコア）が最小文字列長閾値以上かを確認する。抽出部１３ａは、確認の結果、閾値未満の場合には、処理対象クラスタＣｔを結果リストＲに追加し、処理対象クラスタ抽出処理に戻って、新しい処理対象クラスタを抽出して上記の処理を繰り返す。一方、抽出部１３ａは、確認の結果、閾値以上の場合には、ＣｋとＣｔを以下の通りマージしてＣＮを作成する。ＣＮのｌｃｓ：ＣｋのｌｃｓとＣｔのｌｃｓの区切り文字入りＬＣＳ、ＣＮのｓｔｒｉｎｇｓ：ＣｋのｓｔｒｉｎｇｓとＣｔのｓｔｒｉｎｇｓを配列として連結する。その後、抽出部１３ａは、Ｃを（Ｃ＼｛Ｃｋ｝）∪｛ＣＮ｝で更新し、処理対象クラスタ抽出処理に戻って、新しい処理クラスタを抽出して上記の処理を繰り返す。
　そして、抽出部１３ａは、クラスタ集合Ｃのサイズが１になるまで、前述した処理対象クラスタ抽出処理、ＬＣＳ算出処理および最大スコア確認処理を繰り返す。その後、抽出部１３ａは、クラスタ集合のサイズが１になった場合には、最後のクラスタを結果リストＲに追加する。そして、抽出部１３ａは、結果リストＲを攻撃パターン生成部１３ｂに通知する。
　ここで、上述したＬＣＳ算出処理について詳しく説明する。抽出部１３ａは、ＬＣＳ算出処理において、２つの文字列ｘ，ｙが与えられた時、これらの最長共通部分列（ＬＣＳ）を算出する。抽出部１３ａは、算出の際、連続しない部分は区切り文字（例えば、“|”）で区切る。なお、区切り文字はｘ，ｙに現れない文字であれば何でもよい。以降の説明では、ｘ＝“ａＢＣｄ”，ｙ＝“ＢｅＣ”を例として説明する。
　まず、抽出部１３ａは、ＬＣＳ算出対象の２つの文字列ｘ，ｙを入力として受け取る。そして、抽出部１３ａは、テーブル初期化処理を行う。例えば、抽出部１３ａは、図２に例示するように、（ｌｅｎ（ｙ）＋１）×（ｌｅｎ（ｘ）＋１）の配列ｔを用意し、０行目、０列目の全ての要素を０で初期化する。図２は、テーブル初期化処理について説明する図である。
　そして、抽出部１３ａは、テーブル更新処理を行う。具体的には、抽出部１３ａは、ｉ＝１，２，・・・，ｌｅｎ（ｙ）、ｊ＝１，２，・・・，ｌｅｎ（ｘ）とし、以下の（１）、（２）の規則に従って、テーブルを更新する。（１）ｘ［ｊ］＝ｙ［ｉ］の場合には、ｔ［ｉ］［ｊ］＝ｔ［ｉ－１］［ｊ－１］＋１と更新し、（２）ｘ［ｊ］＝ｙ［ｉ］以外の場合には、ｔ［ｉ］［ｊ］＝ｍａｘ（ｔ［ｉ－１］［ｊ］,　ｔ［ｉ］［ｊ－１］）と更新する。
　ここで、図３の例を用いて、テーブル更新処理を説明する。図３は、テーブル更新処理について説明する図である。図３の例を挙げて説明すると、例えば、抽出部１３ａは、３列目（ｘ［３］）の文字「Ｃ」と、３行目（ｙ［３］）の文字「Ｃ」とが同じである場合には、２行２列目の要素「ｔ［２，２］＝１」に１を加算した値「２」を、３行目３列目の要素ｔ［３，３］として更新する。また、抽出部１３ａは、４列目（ｘ［４］）の文字「ｄ」と、３行目（ｙ［３］）の文字「Ｃ」とが異なる場合には、３行３列目の要素「ｔ［３，３］＝２」と、２行４列目の要素「ｔ［２，４］＝１」とのうち、最大の「２」を、３行４列目の要素ｔ［３，４］として更新する。
　そして、抽出部１３ａは、結果文字列を空文字列“”で初期化する。続いて、抽出部１３ａは、ｉ＞０かつｊ＞０の間、以下の（１）、（２）を繰り返し、結果文字列を更新する。（１）ｘ［ｊ］＝ｙ［ｉ］の場合には、結果文字列にｘ［ｊ］を追記し、ｉ,ｊをともに１減ずる。（２）ｘ［ｊ］＝ｙ［ｉ］以外の場合には、ｔ［ｉ－１］［ｊ］＞ｔ［ｉ］［ｊ－１］ならばｉを１減じ、そうでないならばｊを１減ずる。結果文字列の末尾が区切り文字でなければ区切り文字を追記、末尾が区切り文字ならば何もしない。
　ここで、図４の例を用いて、結果文字列更新処理について説明する。図４は、結果文字列更新処理について説明する図である。図４の例を挙げて説明すると、例えば、抽出部１３ａは、４列目（ｘ［４］）の文字「ｄ」と、３行目（ｙ［３］）の文字「Ｃ」とが異なる場合には、２行４列目の要素「ｔ［２，４］＝１」と３行３列目の要素「ｔ［３，３］＝２」とを比較し、３行３列目の要素「ｔ［３，３］＝２」が大きい場合には、ｊを１減ずる。なお、結果文字列の末尾が区切り文字ではないので、結果文字列を“”から“｜”に更新する。
　続いて、抽出部１３ａは、３列目（ｘ［３］）の文字「Ｃ」と、３行目（ｙ［３］）の文字「Ｃ」とが同じである場合には、結果文字列を“｜”から“｜Ｃ”に更新し、ｉ，ｊをともに１減ずる。そして、抽出部１３ａは、２列目（ｘ［２］）の文字「Ｂ」と、２行目（ｙ［２］）の文字「ｅ」とが異なる場合には、１行２列目の要素「ｔ［１，２］＝１」と２行１列目の要素「ｔ［２，１］＝０」とを比較し、１行２列目の要素「ｔ［１，２］＝１」が大きい場合には、ｉを１減ずる。また、結果文字列の末尾が区切り文字ではないので、結果文字列を“｜Ｃ”から“｜Ｃ｜”に更新する。
　そして、抽出部１３ａは、２列目（ｘ［２］）の文字「Ｂ」と、１行目（ｙ［１］）の文字「Ｂ」とが同じである場合には、結果文字列を“｜Ｃ｜”から“｜Ｃ｜Ｂ”に更新し、ｉ，ｊをともに１減ずる。
　その後、抽出部１３ａは、結果文字列を反転する。例えば、抽出部１３ａは、結果文字列が“｜Ｃ｜Ｂ”である場合には、結果文字列を“Ｂ｜Ｃ｜”に反転させる。
　図１の説明に戻って、攻撃パターン生成部１３ｂは、抽出部１３ａによって抽出された連続する文字列のうち、文字列長が所定の文字列長以上の文字列を基に攻撃パターンを生成する。また、攻撃パターン生成部１３ｂは、文字列長が所定の文字列長以上の文字列が複数ある場合には、複数の文字列と各文字列の出現順序とを基に攻撃パターンを生成する。また、攻撃パターン生成部１３ｂは、抽出部１３ａによって抽出された連続する文字列が既に生成された攻撃パターンに含まれる場合には、何もしない。
　具体的には、攻撃パターン生成部１３ｂは、結果リストＲ＝［Ｃ’１,Ｃ’２，・・・，Ｃ’ｍ］の各要素について、ｓｔｒｉｎｇｓ要素の個数が最小クラスタサイズ閾値以上であるものを抽出する。抽出した要素のｌｃｓ要素が、抽出したい共通部分である。攻撃パターン生成部１３ｂは、共通部分を区切り文字で分割し、最小文字列長閾値以上の長さの文字列を“＊”で連結した正規表現が、最終的に求める攻撃パターンとなる。なお、閾値として最小文字列長閾値とは別の新しい閾値を採用してもよい。
　具体例を挙げて説明すると、攻撃パターン生成部１３ｂは、例えば、ｌｃｓ：“ａ｜ＢＣＤ｜ｅｆ｜ｇ｜ＨＩＪＫ”を区切り文字で分割して、“ａ”，“ＢＣＤ”，“ｅｆ”，“ｇ”,“ＨＩＪＫ”とし、閾値（例えば、「３」）以上の長さの文字列を出現順に“＊”で連結して攻撃パターンとして“ＢＣＤ＊ＨＩＪＫ”を生成する。また、“ＢＣＤ＊ＨＩＪＫ”が攻撃パターンとして既に生成されている場合には、何もしない。
　このように、攻撃パターン抽出装置１０は、ＬＣＳを算出する際、文字が連続しない箇所に区切り文字を入れながら算出し、閾値以上の長さのものを抽出するため、極端に短い共通部分を攻撃パターンとして抽出することがない。
　また、攻撃パターン抽出装置１０は、クラスタをマージする際、区切り文字を入れたままでＬＣＳを算出するため、「共通部が連続している」という情報を失うことなく、３つ以上のパラメータから共通部を効率よく抽出することができる。
　ここで、図５および図６の例を用いて、区切り文字列のない通常のＬＣＳを用いた場合と比較することで、区切り文字列入りＬＣＳを用いた場合の効果について説明する。図５は、通常のＬＣＳを用いた場合について説明する図である。図６は、区切り文字入りＬＣＳを用いた場合について説明する図である。図５および図６では、ＡＢ１２ＣＤ，ＡＢＣＤ，ＡＢｘＣＥ，ＡＢｙＣｄＥから、連続する最長の共通部分列を抽出する場合を例示している。
　図５に示すように、区切り文字列のない通常のＬＣＳを用いた場合には、４つの文字列のＬＣＳを算出後、元の文字列全てと比較し直さないと、連続する最長の共通部分列“ＡＢ”が分からない。これに対して、図６に示すように、区切り文字入りＬＣＳを用いた場合には、４つの文字列のＬＣＳを算出した時点で、もとの文字列でどこが連続していたかが分かるため、すぐに連続する最長の共通部分列“ＡＢ”が得られる。このため、区切り文字入りＬＣＳを用いた場合には、共通部分列を効率よく抽出することができる。
［攻撃パターン抽出装置の処理の一例］
　次に、図７および図８を用いて、攻撃パターン抽出装置１０における処理の流れを説明する。図７は、第一の実施の形態に係る攻撃パターン抽出装置におけるクラスタリング処理の流れを示すフローチャートである。図８は、第一の実施の形態に係る攻撃パターン抽出装置におけるＬＣＳ算出処理の流れを示すフローチャートである。
　まず、図７を用いて、攻撃パターン抽出装置１０におけるクラスタリング処理の流れを説明する。図７に示すように、攻撃パターン抽出装置１０の抽出部１３ａは、クラスタ集合Ｃを初期化する（ステップＳ１０１）。そして、抽出部１３ａは、クラスタ集合Ｃのサイズが２以上であるか否かを判定する（ステップＳ１０２）。
　この結果、抽出部１３ａは、クラスタ集合のサイズが２以上であると判定した場合には（ステップＳ１０２肯定）、処理対象クラスタ抽出処理を行う（ステップＳ１０３）。具体的には、抽出部１３ａは、クラスタ集合Ｃから処理対象クラスタ（例えば最後の要素）を１つ抽出し、Ｃｔとする。クラスタ集合ＣをＣ＼｛Ｃｔ｝で更新する。ここで“＼”は差集合を表す。すなわち、クラスタ集合Ｃから要素Ｃｔを取り除いたものでＣを更新する。
　そして、抽出部１３ａは、処理対象クラスタと他クラスタのＬＣＳ算出を行う（ステップＳ１０４）。具体的には、抽出部１３ａは、クラスタ集合Ｃの各要素Ｃｉ（１≦ｉ≦｜Ｃ｜）のｌｃｓ要素と、Ｃｔのｌｃｓ要素とのＬＣＳ（最長共通部分列）を順次算出する。ＣｔとのＬＣＳの一致部分文字列長が最長となるＣｉをＣｋとする。
　そして、抽出部１３ａは、最長一致部分文字列長が最小文字列長閾値以上かを判定する（ステップＳ１０５）。この結果、抽出部１３ａは、最長一致部分文字列長が最小文字列長閾値以上であると判定した場合には（ステップＳ１０５肯定）、クラスタのマージを行って（ステップＳ１０６）、ステップＳ１０２の処理に戻る。具体的には、抽出部１３ａは、ＣｋとＣｔを以下の通りマージしてＣＮを作成する。ＣＮのｌｃｓ：ＣｋのｌｃｓとＣｔのｌｃｓの区切り文字入りＬＣＳ、ＣＮのｓｔｒｉｎｇｓ：ＣｋのｓｔｒｉｎｇｓとＣｔのｓｔｒｉｎｇｓを配列として連結する。
　また、抽出部１３ａは、最長一致部分文字列長が最小文字列長閾値未満であると判定した場合には（ステップＳ１０５否定）、処理対象クラスタＣｔを結果リストＲに追加し（ステップＳ１０７）、ステップＳ１０２の処理に戻る。
　また、ステップＳ１０２において、抽出部１３ａは、クラスタ集合のサイズが１であると判定した場合には（ステップＳ１０２否定）、最後のクラスタを結果リストに追加する（ステップＳ１０８）。そして、攻撃パターン生成部１３ｂは、クラスタサイズが閾値以上のものを抽出する（ステップＳ１０９）。具体的には、攻撃パターン生成部１３ｂは、結果リストＲ＝［Ｃ’１，Ｃ’２，・・・，Ｃ’ｍ］の各要素について、ｓｔｒｉｎｇｓ要素の個数が最小クラスタサイズ閾値以上であるものを抽出する。抽出した要素のｌｃｓ要素が、抽出したい共通部分である。攻撃パターン生成部１３ｂは、共通部分を区切り文字で分割し、最小文字列長閾値以上の長さの文字列を“＊”で連結した正規表現が、最終的に求める攻撃パターンとなる。
　次に、図８を用いて、攻撃パターン抽出装置１０におけるＬＣＳ算出処理の流れを説明する。図８に例示するように、抽出部１３ａは、ＬＣＳ算出対象の２つの文字列ｘ，ｙを入力として受け取る（ステップＳ２０１）。そして、抽出部１３ａは、テーブル初期化処理を行う（ステップＳ２０２）。例えば、抽出部１３ａは、（ｌｅｎ（ｙ）＋１）×（ｌｅｎ（ｘ）＋１）のテーブル（配列）ｔを用意し、０行目、０列目の全ての要素を０で初期化する。
　そして、抽出部１３ａは、ｉ＝１，２，・・・，ｌｅｎ（ｙ）、ｊ＝１，２，・・・，ｌｅｎ（ｘ）として、ステップＳ２０３～ステップＳ２０９のテーブルを更新する処理を繰り返す。ステップＳ２０５において、抽出部１３ａは、ｘ［ｊ］＝ｙ［ｉ］であるか判定し（ステップＳ２０５）、ｘ［ｊ］＝ｙ［ｉ］の場合には（ステップＳ２０５肯定）、ｔ［ｉ］［ｊ］＝ｔ［ｉ－１］［ｊ－１］＋１と更新し（ステップＳ２０７）、ｘ［ｊ］＝ｙ［ｉ］以外の場合には（ステップＳ２０５否定）、ｔ［ｉ］［ｊ］＝ｍａｘ（ｔ［ｉ－１］［ｊ］,ｔ［ｉ］［ｊ－１］）と更新する（ステップＳ２０６）。
　続いて、抽出部１３ａは、結果文字列を空文字列“”で初期化する（ステップＳ２１０）。そして、抽出部１３ａは、ｉ＞０かつｊ＞０の間、ステップＳ２１１～Ｓ２１９の処理を繰り返す。ステップＳ２１２において、抽出部１３ａは、ｘ［ｊ］＝ｙ［ｉ］であるか否かを判定する（ステップＳ２１２）。この結果、抽出部１３ａは、ｘ［ｊ］＝ｙ［ｉ］の場合には（ステップＳ２１２肯定）、結果文字列にｘ［ｊ］を追記し（ステップＳ２１７）、ｉ，ｊをともに１減ずる（ステップＳ２１８）。
　また、抽出部１３ａは、ｘ［ｊ］＝ｙ［ｉ］以外の場合には（ステップＳ２１２否定）、ｔ［ｉ－１］［ｊ］＞ｔ［ｉ］［ｊ－１］であるか判定する（ステップＳ２１３）。この結果、抽出部１３ａは、ｔ［ｉ－１］［ｊ］＞ｔ［ｉ］［ｊ－１］である場合には（ステップＳ２１３肯定）、ｉを１減じ（ステップＳ２１４）ｔ［ｉ－１］［ｊ］＞ｔ［ｉ］［ｊ－１］でない場合には（ステップＳ２１３否定）、ｊを１減ずる（ステップＳ２１５）。そして、抽出部１３ａは、結果文字列の末尾が区切り文字でなければ区切り文字を追記する（ステップＳ２１６）。
　その後、抽出部１３ａは、結果文字列を反転する（ステップＳ２２０）。例えば、抽出部１３ａは、結果文字列が“｜Ｃ｜Ｂ”である場合には、結果文字列を“Ｂ｜Ｃ｜”に反転させる。
［第一の実施の形態の効果］
　このように、第一の実施の形態に係る攻撃パターン抽出装置１０は、攻撃と判定された通信のアクセスログにおけるパラメータ同士の共通した文字列を抽出する。そして、攻撃パターン抽出装置１０は、抽出された連続する文字列のうち、文字列長が所定の文字列長以上の文字列を基に攻撃パターンを生成する。このため、第一の実施の形態に係る攻撃パターン抽出装置１０は、適切な攻撃パターンを生成することが可能である。
　また、攻撃パターン抽出装置１０は、ＬＣＳを算出する際、文字が連続しない箇所に区切り文字を入れながら算出し、閾値以上の長さのものを抽出するため、極端に短い共通部分を攻撃パターンとして抽出せずに、適切な攻撃パターンを生成することが可能である。
　また、攻撃パターン抽出装置１０は、クラスタをマージする際、区切り文字を入れたままでＬＣＳを算出するため、「共通部が連続している」という情報を失うことなく、３つ以上のパラメータから共通部を効率よく抽出することが可能である。
［第二の実施の形態］
　上述した第一の実施の形態では、ＣｋとＣｔのスコアｓ（Ｃｋ,Ｃｔ）（最大スコア）が最小文字列長閾値以上である場合に、クラスタをマージすることを説明したが、クラスタをマージする際、共通部の長さが極端に短くなる（スコアが大きく下がる）場合は、マージを抑制することで、攻撃パターンとして残すべき文字列長の長い共通部分が失われることを防ぐようにしてもよい。
　そこで、以下の第二の実施の形態では、クラスタをマージする際、共通部の長さが極端に短くなる（スコアが大きく下がる）場合は、マージを抑制する場合について説明する。なお、第一の実施の形態と同様の構成や処理については説明を省略する。
　第二の実施の形態に係る攻撃パターン抽出装置の抽出部１３ａは、共通した文字列の長さが、所定の比率以下に低下する場合は、当該文字列からの共通した文字列の抽出を抑制する。具体的には、抽出部１３ａは、最大スコア確認処理において、ＣｋとＣｔのスコアｓ（Ｃｋ,Ｃｔ）（最大スコア）が最小文字列長閾値以上の場合、マージする前に、Ｃｔのｓｔｒｉｎｇｓの要素数が最小クラスタサイズ閾値以上であり、かつマージ後のスコア低下率がスコア低下率閾値以上となる場合、マージは行わず、Ｃｔを結果リストＲに追加し、処理対象クラスタ抽出処理に戻る。ここで、スコア低下率はＣｔのｌｃｓ要素を区切り文字で分割した文字列の最長文字列長Ｌとスコアｓ（Ｃｋ,Ｃｔ）を比較して算出する。例えば、１－ｓ（Ｃｋ,Ｃｔ）／Ｌをスコア低下率とする。
　このため、第二の実施の形態では、既に十分な量のパラメータから十分に長い共通部が得られている場合に、さらにマージを行うことで得られる共通部が短くなってしまうことを防ぐことができる。
　例えば、第一の実施の形態では、｛ｌｃｓ：“ＰＡＴＴＥＲＮ”,ｓｔｒｉｎｇｓ：［“ＰＡＴＴＥＲＮ１”,“ＰＡＴＴＥＲＮ２”,“ＰＡＴＴＥＲＮ３”］｝というクラスタが得られている場合に、“ＴＥＲＮ”というパラメータからなるクラスタもマージされて、｛ｌｃｓ：“ＴＥＲＮ”，ｓｔｒｉｎｇｓ：［“ＰＡＴＴＥＲＮ１”，“ＰＡＴＴＥＲＮ２”，“ＰＡＴＴＥＲＮ３”，“ＴＥＲＮ”］｝というクラスタが生成されてしまう。ここで、最小文字列長閾値は「４」とする。
　攻撃パターンとしては、できるだけ長い共通部分を抽出したいので、この場合はマージせずに“ＰＡＴＴＥＲＮ”という共通部が得られた時点で、マージを終了してクラスタを確定させたほうが良い。これに対して、第二の実施の形態では、“ＰＡＴＴＥＲＮ”が“ＴＥＲＮ”になるとスコアが大きく低下するので、マージを抑制して、所望の共通部を得ることができる。
［第二の実施の形態の効果］
　このように、第二の実施の形態では、クラスタをマージする際、共通部の長さが極端に短くなる場合は、マージを抑制することで、攻撃パターンとして残すべき文字列長の長い共通部分が失われることを防ぐことが可能である。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。例えば、抽出部１３ａと攻撃パターン生成部１３ｂとを統合してもよい。
　また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　また、上記実施形態において説明した攻撃パターン抽出装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る攻撃パターン抽出装置１０が実行する処理をコンピュータが実行可能な言語で記述した攻撃パターン抽出プログラムを作成することもできる。この場合、コンピュータが攻撃パターン抽出プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる攻撃パターン抽出プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された攻撃パターン抽出プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。
　図９は、攻撃パターン抽出プログラムを実行するコンピュータ１０００を示す図である。図９に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
　メモリ１０１０は、図９に例示するように、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図９に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図９に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図９に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図９に例示するように、例えばディスプレイ１１３０に接続される。
　ここで、図９に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の攻撃パターン抽出プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。
　また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
　なお、攻撃パターン抽出プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、攻撃パターン抽出プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１０　攻撃パターン抽出装置
　１１　入力部
　１２　出力部
　１３　制御部
　１３ａ　抽出部
　１３ｂ　攻撃パターン生成部
　１４　記憶部
　１４ａ　ログ記憶部

Claims (7)

  1. 　攻撃と判定された通信のアクセスログにおけるパラメータ同士の共通した文字列を抽出する抽出部と、
    　前記抽出部によって抽出された連続する文字列のうち、文字列長が所定の文字列長以上の文字列を基に攻撃パターンを生成する攻撃パターン生成部と
    　を備えたことを特徴とする攻撃パターン抽出装置。
  2. 　前記攻撃パターン生成部は、文字列長が所定の文字列長以上の文字列が複数ある場合には、複数の文字列と各文字列の出現順序とを基に攻撃パターンを生成することを特徴とする請求項１に記載の攻撃パターン抽出装置。
  3. 　前記抽出部は、パラメータ同士で共通する文字列であって、且つ、連続しない文字列間を区切る区切り文字を入れたまま最長共通部分列を算出し、該最長共通部分列を用いて、共通した文字列を抽出することを特徴とする請求項１に記載の攻撃パターン抽出装置。
  4. 　前記攻撃パターン生成部は、前記抽出部によって抽出された連続する文字列が既に生成された攻撃パターンに含まれる場合には、抽出された連続する文字列を攻撃パターンから削除することを特徴とする請求項１に記載の攻撃パターン抽出装置。
  5. 　前記抽出部は、共通した文字列の長さが、所定の比率以下に低下する場合は、当該文字列からの共通した文字列の抽出を抑制することを特徴とする請求項１に記載の攻撃パターン抽出装置。
  6. 　攻撃パターン抽出装置で実行される攻撃パターン抽出方法であって、
    　攻撃と判定された通信のアクセスログにおけるパラメータ同士の共通した文字列を抽出する抽出工程と、
    　前記抽出工程によって抽出された連続する文字列のうち、文字列長が所定の文字列長以上の文字列を基に攻撃パターンを生成する攻撃パターン生成工程と
    　を含んだことを特徴とする攻撃パターン抽出方法。
  7. 　攻撃と判定された通信のアクセスログにおけるパラメータ同士の共通した文字列を抽出する抽出ステップと、
    　前記抽出ステップによって抽出された連続する文字列のうち、文字列長が所定の文字列長以上の文字列を基に攻撃パターンを生成する攻撃パターン生成ステップと
    　をコンピュータに実行させるための攻撃パターン抽出プログラム。
PCT/JP2018/005772 2017-03-03 2018-02-19 攻撃パターン抽出装置、攻撃パターン抽出方法および攻撃パターン抽出プログラム WO2018159361A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US16/489,355 US11244048B2 (en) 2017-03-03 2018-02-19 Attack pattern extraction device, attack pattern extraction method, and attack pattern extraction program
JP2019502889A JP6714142B2 (ja) 2017-03-03 2018-02-19 攻撃パターン抽出装置、攻撃パターン抽出方法および攻撃パターン抽出プログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-041122 2017-03-03
JP2017041122 2017-03-03

Publications (1)

Publication Number Publication Date
WO2018159361A1 true WO2018159361A1 (ja) 2018-09-07

Family

ID=63370017

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/005772 WO2018159361A1 (ja) 2017-03-03 2018-02-19 攻撃パターン抽出装置、攻撃パターン抽出方法および攻撃パターン抽出プログラム

Country Status (3)

Country Link
US (1) US11244048B2 (ja)
JP (1) JP6714142B2 (ja)
WO (1) WO2018159361A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2020054818A1 (ja) * 2018-09-14 2021-04-30 株式会社東芝 通信制御装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005234661A (ja) * 2004-02-17 2005-09-02 Nec Corp アクセスポリシ生成システム、アクセスポリシ生成方法およびアクセスポリシ生成用プログラム
JP2007515867A (ja) * 2003-11-12 2007-06-14 ザ トラスティーズ オブ コロンビア ユニヴァーシティ イン ザ シティ オブ ニューヨーク 正常データのｎグラム分布を用いてペイロード異常を検出するための装置、方法、及び媒体
JP2007242002A (ja) * 2006-02-10 2007-09-20 Mitsubishi Electric Corp ネットワーク管理装置及びネットワーク管理方法及びプログラム
US20090235357A1 (en) * 2008-03-14 2009-09-17 Computer Associates Think, Inc. Method and System for Generating a Malware Sequence File

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3672242B2 (ja) * 2001-01-11 2005-07-20 インターナショナル・ビジネス・マシーンズ・コーポレーション パターン検索方法、パターン検索装置、コンピュータプログラム及び記憶媒体
JP2004192279A (ja) * 2002-12-10 2004-07-08 Matsushita Electric Ind Co Ltd Ｕｒｌ管理装置及びｕｒｌ管理方法並びにｕｒｌ管理プログラム
KR100809416B1 (ko) * 2006-07-28 2008-03-05 한국전자통신연구원 보안 시스템을 위한 최적 시그니처 자동 생성 장치 및 방법
US20100071063A1 (en) * 2006-11-29 2010-03-18 Wisconsin Alumni Research Foundation System for automatic detection of spyware
US8001136B1 (en) * 2007-07-10 2011-08-16 Google Inc. Longest-common-subsequence detection for common synonyms
US8494985B1 (en) 2011-05-17 2013-07-23 Narus, Inc. System and method for using network application signatures based on modified term transition state machine
US20140380471A1 (en) * 2013-06-21 2014-12-25 Barracuda Networks, Inc. Binary Document Content Leak Prevention Apparatus, System, and Method of Operation
US9858413B1 (en) * 2013-07-03 2018-01-02 Trend Micro Inc. Reduction of false positives in malware detection using file property analysis
US10616038B2 (en) * 2014-06-24 2020-04-07 Vmware, Inc. Method and system for clustering event messages and managing event-message clusters
US10530790B2 (en) * 2014-09-25 2020-01-07 Oracle International Corporation Privileged session analytics
KR102390355B1 (ko) * 2015-11-16 2022-04-26 한국전자통신연구원 시그니처 기반 네트워크 공격 탐지 및 공격 시그니처 생성 방법 및 장치
US10547627B2 (en) * 2016-03-08 2020-01-28 Palo Alto Networks, Inc. Malicious HTTP cookies detection and clustering
JP6643211B2 (ja) * 2016-09-14 2020-02-12 株式会社日立製作所 異常検知システム及び異常検知方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007515867A (ja) * 2003-11-12 2007-06-14 ザ トラスティーズ オブ コロンビア ユニヴァーシティ イン ザ シティ オブ ニューヨーク 正常データのｎグラム分布を用いてペイロード異常を検出するための装置、方法、及び媒体
JP2005234661A (ja) * 2004-02-17 2005-09-02 Nec Corp アクセスポリシ生成システム、アクセスポリシ生成方法およびアクセスポリシ生成用プログラム
JP2007242002A (ja) * 2006-02-10 2007-09-20 Mitsubishi Electric Corp ネットワーク管理装置及びネットワーク管理方法及びプログラム
US20090235357A1 (en) * 2008-03-14 2009-09-17 Computer Associates Think, Inc. Method and System for Generating a Malware Sequence File

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2020054818A1 (ja) * 2018-09-14 2021-04-30 株式会社東芝 通信制御装置
JP7068482B2 (ja) 2018-09-14 2022-05-16 株式会社東芝 通信制御システム

Also Published As

Publication number Publication date
US11244048B2 (en) 2022-02-08
US20190384910A1 (en) 2019-12-19
JP6714142B2 (ja) 2020-06-24
JPWO2018159361A1 (ja) 2019-06-27

Similar Documents

Publication Publication Date Title
US10178107B2 (en) Detection of malicious domains using recurring patterns in domain names
US8522199B2 (en) System, method, and computer program product for applying a regular expression to content based on required strings of the regular expression
US10044750B2 (en) Code labeling based on tokenized code samples
CN107408181B (zh) 恶意软件感染终端的检测装置、恶意软件感染终端的检测系统、恶意软件感染终端的检测方法以及记录介质
CN111971931B (zh) 在区块链网络中验证交易的方法以及构成该网络的节点
WO2020157479A1 (en) Methods and apparatus for using machine learning to detect potentially malicious obfuscated scripts
JP2012524338A (ja) 可変ストライド型ストリームのセグメント化、およびマルチパターンマッチング
US20160219068A1 (en) Method and apparatus for automatically identifying signature of malicious traffic using latent dirichlet allocation
JPWO2018159362A1 (ja) ログ分析装置、ログ分析方法およびログ分析プログラム
EP3077922B1 (en) Method and apparatus for generating a plurality of indexed data fields
JP6714142B2 (ja) 攻撃パターン抽出装置、攻撃パターン抽出方法および攻撃パターン抽出プログラム
JP7019533B2 (ja) 攻撃検知装置、攻撃検知システム、攻撃検知方法および攻撃検知プログラム
US10853572B2 (en) System and method for detecting the occureances of irrelevant and/or low-score strings in community based or user generated content
KR101772522B1 (ko) DLP(Data Loss Prevention) 시스템에서의 보다 정밀한 유출 탐지를 위한 다중 컬럼 키워드 패턴 매칭 장치 및 방법
Kang et al. Fast malware family detection method using control flow graphs
JP6954466B2 (ja) 生成方法、生成装置および生成プログラム
KR102204290B1 (ko) 통계적 분석 기반 비공개 프로토콜의 구분자 및 정적필드 추출방법
US9235639B2 (en) Filter regular expression
KR102100393B1 (ko) 악성 도메인을 판단하는 방법, 이를 이용하는 컴퓨팅 장치, 및 프로그램
JP6847326B2 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
CN112995218A (zh) 域名的异常检测方法、装置及设备
KR102233217B1 (ko) 분할순위패턴매칭 알고리즘
US20190207958A1 (en) Multi-pattern policy detection system and method
WO2024053100A1 (ja) データ生成装置、学習装置、データ生成方法、及びプログラム
WO2023238240A1 (ja) 検証装置、検証方法及び検証プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18760663

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019502889

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18760663

Country of ref document: EP

Kind code of ref document: A1