WO2019230739A1 - 異常検出装置、異常検出方法および異常検出プログラム - Google Patents

Abstract

異常検出装置（３０）は、各通信機器（１０）の通信特徴量を取得し、通信特徴量に含まれる送信元ＭＡＣアドレスごとに、当該通信機器（１０）と接続するレイヤ２スイッチ（５０）単位の発着パケット数の合計値またはバイト数の合計値を算出し、各送信元ＭＡＣアドレスについて、発着パケット数の合計値またはバイト数の合計値が最も多いレイヤ２スイッチ（５０）に、送信元ＭＡＣアドレスに対応する通信機器（１０）が接続されたものとして判定する。さらに、異常検出装置（３０）は、発着パケット数の合計値またはバイト数の合計値を用いて、接続断になったか、交換されたかを判定する。

Description

異常検出装置、異常検出方法および異常検出プログラム

　本発明は、異常検出装置、異常検出方法および異常検出プログラムに関する。

　近年、ＩｏＴ機器等の通信機器が接続されるネットワークにおいて、ネットワークを流れるトラフィックを監視し、不正アクセスやウイルス感染等のセキュリティ異常の検出が重要となっている。従来、ネットワークを流れるトラフィックを監視する装置が様々提案されており、例えば、ネットワークを流れる通信パケットを取得して、取得したパケットに対して、統計処理や解析を行う技術が知られている。また、解析対象のパケットが通過する機器において、パケットをミラーリングして取得し、通信特徴量を生成して、異常を検出する技術が知られている。

　また、従来より、サーバとネットワークがどのようにつながっているかを管理する構成管理は、外部に監視装置を配置し、監視対象の状態に関わらず、監視装置から定周期で監視対象へポーリングし、監視対象内に配置されたエージェントが定期的にその状態を要求した上位システムへ伝達する技術が知られている。

特開平０８－２３７２４９号公報

　しかしながら、従来の技術では、通信機器の接続状況を適切かつ容易に把握することが難しいという課題があった。例えば、ＩｏＴ機器等の通信機器は、ネットワークの接続箇所を変更したり、故障等により別の機器に交換したりするケースが想定され、台数が多い場合は構成を適切かつ容易に把握することが困難であった。このため、通信機器がどこにつながったか、移動したか、廃棄されたか、機器が交換されたか、を自動的に識別することが難しかった。

　なお、エージェントを導入して、通信機器の構成情報を管理する手法も考えられるが、ＩｏＴ機器のような通信機器は、リソースが少なく、エージェントを導入することが難しかった。

　上述した課題を解決し、目的を達成するために、本発明の異常検出装置は、各通信機器の通信特徴量を取得する取得部と、前記取得部によって取得された通信特徴量に含まれる送信元ＭＡＣアドレスごとに、当該通信機器と接続するレイヤ２スイッチ単位の発着パケット数の合計値またはバイト数の合計値を算出する算出部と、各送信元ＭＡＣアドレスについて、前記算出部によって算出された発着パケット数の合計値またはバイト数の合計値が最も多いレイヤ２スイッチに、前記送信元ＭＡＣアドレスに対応する通信機器が接続されたものとして判定する判定部とを備えることを特徴とする。

　また、本発明の異常検出方法は、異常検出装置によって実行される異常検出方法であって、各通信機器の通信特徴量を取得する取得工程と、前記取得工程によって取得された通信特徴量に含まれる送信元ＭＡＣアドレスごとに、当該通信機器と接続するレイヤ２スイッチ単位の発着パケット数の合計値またはバイト数の合計値を算出する算出工程と、各送信元ＭＡＣアドレスについて、前記算出工程によって算出された発着パケット数の合計値またはバイト数の合計値が最も多いレイヤ２スイッチに、前記送信元ＭＡＣアドレスに対応する通信機器が接続されたものとして判定する判定工程とを含んだことを特徴とする。

　また、本発明の異常検出プログラムは、各通信機器の通信特徴量を取得する取得ステップと、前記取得ステップによって取得された通信特徴量に含まれる送信元ＭＡＣアドレスごとに、当該通信機器と接続するレイヤ２スイッチ単位の発着パケット数の合計値またはバイト数の合計値を算出する算出ステップと、各送信元ＭＡＣアドレスについて、前記算出ステップによって算出された発着パケット数の合計値またはバイト数の合計値が最も多いレイヤ２スイッチに、前記送信元ＭＡＣアドレスに対応する通信機器が接続されたものとして判定する判定ステップとをコンピュータに実行させることを特徴とする。

　通信機器の接続状況を適切かつ容易に把握することができるという効果を奏する。

図１は、第一の実施の形態に係る異常検出システムの構成の一例を示す図である。 図２は、ミラー監視における通信パターンを説明する図である。 図３は、第一の実施の形態に係る異常検出装置の構成例を示すブロック図である。 図４は、通信特徴量の一例を示す図である。 図５は、接続判定用リストの一例を示す図である。 図６は、処理用リストの一例を示す図である。 図７は、未通信ＭＡＣアドレスリストの一例を示す図である。 図８は、第一の実施の形態に係る異常検出装置による接続処理を説明するフローチャートである。 図９は、第一の実施の形態に係る異常検出装置による接続処理を説明するフローチャートである。 図１０は、第一の実施の形態に係る異常検出装置による切断交換判定処理を説明するフローチャートである。 図１１は、異常検出プログラムを実行するコンピュータを示す図である。

　以下に、本願に係る異常検出装置、異常検出方法および異常検出プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る異常検出装置、異常検出方法および異常検出プログラムが限定されるものではない。

［第一の実施の形態］
　以下の実施の形態では、第一の実施の形態に係る異常検出システムの構成、異常検出装置の構成、異常検出装置における処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。

［異常検出システムの構成］
　まず、図１を用いて、第一の実施の形態に係る異常検出システム１００について説明する。図１は、第一の実施の形態に係る異常検出システムの構成の一例を示す図である。第一の実施の形態に係る異常検出システム１００は、例えば、図１に示すように、複数の通信機器１０Ａ～１０Ｉと、複数のゲートウェイ装置２０Ａ、２０Ｂと、異常検出装置３０と、サーバ４０と、複数のレイヤ２スイッチ５０Ａ～５０Ｅと、複数のルータ６０Ａ、６０Ｂとを備える。

　また、サーバ４０と複数のルータ６０Ａ、６０Ｂは、インターネット等のネットワークにより接続される。また、異常検出装置３０と複数のゲートウェイ装置２０Ａ、２０Ｂは、監視ネットワークにより接続される。なお、通信機器１０Ａ～１０Ｉ、ゲートウェイ装置２０Ａ、２０Ｂと、レイヤ２スイッチ５０Ａ～５０Ｅと、ルータ６０Ａ、６０Ｂについて、特に区別なく説明する場合には、通信機器１０、ゲートウェイ装置２０、レイヤ２スイッチ５０、ルータ６０とそれぞれ記載する。

　通信機器１０は、異常検出システムにおける異常の検出対象となる通信装置である。例えば、通信機器１０は、工場、プラント、ビル、データセンタ等の様々な環境におけるＩｏＴ機器であり、設備や機械に設置されたセンサのセンサ情報をサーバ４０に通知することで、社会インフラシステムの効率化やファクトリーオートメーションを実現している。

　ゲートウェイ装置２０は、レイヤ２スイッチ５０のミラーポートに接続し、各通信機器１０のパケットデータを収集して通信特徴量や動作ログを生成して、監視ネットワークを経由して異常検出装置３０に送信する装置である。ルータ６０は、通信機器１０をインターネット等のネットワーク経由で外部装置（例えば、サーバ４０）に接続したり、異なるＬＡＮの他の通信機器１０に接続したりする装置である。

　異常検出装置３０は、レイヤ２スイッチ５０、通信機器１０の正常動作時の通信特徴量や動作ログから正常動作の振る舞いを学習し、学習結果を保存し、通信特徴量から通信機器の不正アクセスやウイルス感染などの異常の検出を行なうととともに、通信特徴量を用いて通信機器１０の接続状況を分析したり監視したりする。

　例えば、異常検出装置３０は、分析対象の通信機器１０の通信特徴量や動作ログに対して、異常の度合いを示すアノマリスコアを算出し、あらかじめ設定済みの判定閾値と比較して、アノマリスコアが判定閾値より小さい場合は正常、大きい場合は異常と判定する。

　また、異常検出装置３０は、通信特徴量の統計処理により、異常通信の監視対象になっている通信機器１０が、どのゲートウェイ装置２０のどのポートに接続されているか（どのレイヤ２スイッチ５０に接続されているか）を自動的に識別し、切断されたこと、再接続されたこと、別のゲートウェイ装置に接続されたことを自動的に検出し、構成を管理する。なお、ミラーポートはネットワーク上に存在する全てのレイヤ２スイッチ５０に設定する構成とする。

　サーバ４０は、ネットワークに接続される装置であり、例えば、通信機器１０の通信相手となる装置である。例えば、サーバ４０は、センサ情報を通信機器１０から受信する。レイヤ２スイッチ５０は、通信機器１０とルータ６０と接続され、レイヤ２におけるパケット転送を行うとともに、通信機器１０のパケットキャプチャを行い、ミラーポートによりゲートウェイ装置２０に通信データを出力する。

　例えば、図２に例示するように、レイヤ２スイッチ５０Ｃ～５０Ｅは、パケットキャプチャデータをゲートウェイ装置２０Ｂに出力する。また、図２に例示するように、通信機器１０Ｆと通信機器Ｇとが通信を行う場合には、レイヤ２スイッチ５０Ｄを介して通信データの送受信が行われる。この場合には、レイヤ２スイッチ５０Ｄは、パケットキャプチャを行い、ミラーポートによりゲートウェイ装置２０Ｂに通信データを出力する。

　また、図２に例示するように、通信機器１０Ｇがサーバ４０と通信を行う場合には、レイヤ２スイッチ５０Ｃ、レイヤ２スイッチ５０Ｄおよびルータ６０Ｂを介して通信データの送受信が行われる。この場合には、レイヤ２スイッチ５０Ｃおよびレイヤ２スイッチ５０Ｄは、パケットキャプチャをそれぞれ行い、ミラーポートによりゲートウェイ装置２０Ｂに通信データをそれぞれ出力する。

［異常検出装置の構成］
　次に、図３を用いて、図１に示した異常検出装置３０の構成を説明する。図３は、第一の実施の形態に係る異常検出装置の構成例を示すブロック図である。図３に示すように、この異常検出装置３０は、学習部３１１、異常検出部３１２、取得部３１３、算出部３１４、判定部３１５、計数部３１６、入力部３１７、表示部３１８、保存データ検索部３１９、通信部３２０、ＯＳ３２１、学習データ保存部３２２、通信特徴量保存部３２３、リスト保存部３２４および構成情報保存部３２５を備える。以下に異常検出装置３０が有する各部の処理を説明する。

　学習部３１１は、機械学習により、通信機器１０の正常動作時における通信特徴量を学習する。例えば、学習部３１１は、通信特徴量保存部３２３に保存された通信機器１０の通信特徴量を用いた機械学習により、通信機器１０の正常動作時における通信特徴量を学習し、学習の結果として、正常動作時における通信特徴量を学習データ保存部３２２に格納する。

　異常検出部３１２は、各通信機器１０の正常動作時における通信特徴量に基づき、通信機器１０の異常を検出する。例えば、異常検出部３１２は、通信特徴量保存部３２３から、分析対象の各通信機器１０の通信特徴量を取得する。そして、異常検出部３１２は、取得した通信特徴量に対し、学習部３１１による学習結果を用いて、各通信機器１０の通信特徴量に対するアノマリスコアを算出する。その後、異常検出部３１２は、算出したアノマリスコア値が、予め設定された判定閾値以上の場合、通信機器１０に異常が発生していると判定し、予め設定された判定閾値未満の場合、通信機器１０は正常に動作していると判定する。

　取得部３１３は、各通信機器１０の通信特徴量を取得する。具体的には、取得部３１３は、各通信機器の通信特徴量をゲートウェイ装置２０から所定の時間間隔で取得し、前回の取得時から追加された通信特徴量を取得し、通信特徴量保存部３２３に格納するとともに、送信元ＭＡＣアドレスのリストを作成する。なお、各通信機器１０の通信特徴量（例えば、図４に示す各特徴量項目の値）は、ゲートウェイ装置２０から通信機器１０に対する発着信の通信特徴量を直接取得して、通信特徴量保存部３２３に保存する構成でもよいし、ゲートウェイ装置２０からは通信機器１０に対する所定時間あたりの発着信の通信統計データを取得して、異常検出装置３０において通信特徴量に変換して、通信特徴量保存部３２３に保存する構成でもよい。

　ここで、通信特徴量の例を図４に示す。図４は、通信特徴量の一例を示す図である。図４に例示するように、通信特徴量の項目には、送信元ＭＡＣアドレス、送信先ＭＡＣアドレス、５タプル情報（送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号、プロトコル）、上り平均パケットサイズ、上り最大パケットサイズ、上り最少パケットサイズ、上り平均フローレート、下り平均パケットサイズ、下り最大パケットサイズ、下り最少パケットサイズ、下り平均フローレートが含まれる。

　算出部３１４は、取得部３１３によって取得された通信特徴量に含まれる送信元ＭＡＣアドレスごとに、当該通信機器１０と接続するレイヤ２スイッチ５０単位の発着パケット数の合計値またはバイト数の合計値を算出する。なお、以下の説明では、算出部３１４は、発着パケット数の合計値およびバイト数の合計値の両方を算出するものとして説明する。

　判定部３１５は、各送信元ＭＡＣアドレスについて、算出部３１４によって算出された発着パケット数の合計値またはバイト数の合計値が最も多いレイヤ２スイッチ５０に、送信元ＭＡＣアドレスに対応する通信機器１０が接続されたものとして判定する。

　例えば、図２の例を用いて説明すると、算出部３１４は、通信機器１０Ｇの送信元ＭＡＣアドレスについて、レイヤ２スイッチ５０Ｃの発着パケット数の合計値およびバイト数の合計値と、レイヤ２スイッチ５０Ｄの発着パケット数の合計値およびバイト数の合計値とを算出する。図２の例の場合、通信機器１０Ｇの通信について、レイヤ２スイッチ５０Ｄは、通信機器１０Ｆおよびサーバ４０との通信データを転送するが、レイヤ２スイッチ５０Ｃは、通信機器１０Ｇの通信について、サーバ４０との通信データのみを転送するため、レイヤ２スイッチ５０Ｄの発着パケット数の合計値およびバイト数の合計値の方が、レイヤ２スイッチ５０Ｃの発着パケット数の合計値およびバイト数の合計値よりも大きくなる。つまり、図２の例では、判定部３１５は、レイヤ２スイッチ５０Ｄに、通信機器１０Ｇが直接接続されたものとして判定することとなる。

　このように、異常検出装置３０は、通信機器１０Ｇが直接接続されたレイヤ２スイッチ５０Ｄと判定することで、通信機器１０Ｇの観測点を識別することが可能である。つまり、異常検出装置３０では、レイヤ２スイッチ５０Ｃとレイヤ２スイッチ５０Ｄの両方から通信機器１０Ｇの通信データを一部重複して受け取ることになるが、通信機器１０Ｇが直接接続されたレイヤ２スイッチ５０Ｄと判定することで、レイヤ２スイッチ５０Ｄからの通信機器１０Ｇの通信データを観測すれば、通信機器１０Ｇの通信データを漏れなく、かつ、重複せずに監視することが判明する。

　また、判定部３１５は、後述する計数部３１６によって計数された未通信時間が所定時間を経過した場合には、未通信時間が所定時間を経過した送信元ＭＡＣアドレスの通信機器１０は通信の接続断があったと判定する。そして、判定部３１５は、通信が発生していないと判定した通信機器１０に接続されていたレイヤ２スイッチ５０において、計数部３１６によって計数された未通信時間が所定時間を経過する前に、新規に接続された通信機器があり、通信が発生していないと判定した通信機器の数と新規に接続された通信機器の数とが一致する場合には、通信機器が交換されたと判定する。

　また、判定部３１５は、判定結果に応じて、通信機器１０の接続状態に関する情報を含む構成情報を更新する。具体的には、判定部３１５は、構成情報保存部３２５に記憶されている構成情報を、判定結果に応じて更新する。

　計数部３１６は、取得部３１３によって取得された通信特徴量に存在しないが、通信機器１０の接続状態に関する情報を含む構成情報に存在する送信元ＭＡＣアドレスがある場合には、当該送信元ＭＡＣアドレスについて、未通信時間を計数する。

　入力部３１７は、各保存部３２２～３２５に記憶される各種データの入力や、各保存部３２２～３２５に記憶されるデータの検索要求等を受け付ける。例えば、入力部３１７は、異常検出結果や構成情報等の検索要求を受け付ける。

　表示部３１８は、各保存部３２２～３２５に記憶された各種データを表示装置（図示省略）に表示する。例えば、表示部３１８は、保存データ検索部３１９により検索された異常検出結果や構成情報を表示装置（図示省略）に表示する。また、表示部３１８は、異常検出部３１２によって通信機器１０の異常を検出した場合には、当該通信機器１０が接続するレイヤ２スイッチ５０に対応するネットワークを、異常を検出した通信機器１０が属するネットワークとして表示する。このため、ネットワークに接続された通信機器１０の異常を検出することができ、通信機器１０が接続されているネットワークを識別することができる。

　保存データ検索部３１９は、各保存部３２２～３２５に記憶されたデータを検索する。例えば、保存データ検索部３１９は、入力部３１７により構成情報の検索要求を受け付けると、検索要求にマッチする構成情報を構成情報保存部３２５から検索する。

　通信部３２０は、外部装置との通信インタフェースを司る。例えば、通信部３２０は、ゲートウェイ装置２０経由で取得された各通信機器１０の通信特徴量や通信統計データやパケットデータの入力を受け付ける。

　ＯＳ３２１は、学習部３１１、異常検出部３１２、取得部３１３、算出部３１４、判定部３１５、計数部３１６、入力部３１７、表示部３１８、保存データ検索部３１９、通信部３２０、ＯＳ３２１、学習データ保存部３２２、通信特徴量保存部３２３、リスト保存部３２４および構成情報保存部３２５の管理、制御を行う。

　学習データ保存部３２２は、学習部３１１により学習された通信機器１０の通信特徴量を正常動作時における通信特徴量として保存する。通信特徴量保存部３２３は、各通信機器１０の通信特徴量を保存する。この通信特徴量は、学習部３１１による学習や、異常検出部３１２による異常検出に用いられる。

　リスト保存部３２４は、接続判定処理（図８、９参照）における判定対象として、新たにレイヤ２スイッチ５０に接続された送信元ＭＡＣアドレスを示す接続判定用リストを記憶する。例えば、接続判定用リストでは、図５に例示するように、「送信元ＭＡＣアドレス」とレイヤ２スイッチ５０のＩＤである「スイッチＩＤ」とに対応付けて、発着の「パケット数」および「バイト数」を記憶する。図５は、接続判定用リストの一例を示す図である。

　また、リスト保存部３２４は、切断交換判定処理（図１０参照）における判定対象として、取得した通信特徴量に含まれる送信元ＭＡＣアドレスを示す処理用リストを記憶する。例えば、処理用リストでは、図６に例示するように、レイヤ２スイッチ５０のＩＤである「スイッチＩＤ」と、「送信元ＭＡＣアドレス」とが対応付けられて記憶されている。図６は、処理用リストの一例を示す図である。

　また、リスト保存部３２４は、通信が発生していない通信機器１０のＭＡＣアドレスである未通信ＭＡＣアドレスを示す未通信ＭＡＣアドレスリストを記憶する。例えば、未通信ＭＡＣアドレスリストでは、送信元ＭＡＣアドレスに対応付けて未通信時間を記憶する。図７は、未通信ＭＡＣアドレスリストの一例を示す図である。

　構成情報保存部３２５は、通信機器１０の接続状態に関する情報を少なくとも含む構成情報を記憶する。この構成情報は、例えば、各通信機器１０が直接接続するレイヤ２スイッチ５０や、レイヤ２スイッチ５０が属するネットワーク名等のネットワーク構成に関する種々の情報を含むものとする。

［異常検出装置の処理の流れ］
　次に、図８～図１０を用いて、第一の実施の形態に係る異常検出装置３０の処理の流れを説明する。図８および図９は、第一の実施の形態に係る異常検出装置による接続処理を説明するフローチャートである。図１０は、第一の実施の形態に係る異常検出装置による切断交換判定処理を説明するフローチャートである。

　まず、図８および図９を用いて、異常検出装置３０による接続処理を説明する。なお、異常検出装置３０による接続処理は、所定時間（例えば、１分）間隔で定期的に実行される処理である。図８および図９に示すように、異常検出装置３０の取得部３１３は、前回の取得時から追加された通信特徴量を取得し（ステップＳ１０１）、送信元ＭＡＣアドレスのリストを作成する（ステップＳ１０２）。

　そして、取得部３１３は、レイヤ２スイッチ単位ではじめて登場する送信元ＭＡＣアドレスがあるか判定し（ステップＳ１０３）、はじめて登場する送信元ＭＡＣアドレスが無い場合には（ステップＳ１０３否定）、処理を終了する。また、取得部３１３は、はじめて登場する送信元ＭＡＣアドレスがある場合には（ステップＳ１０３肯定）、送信元ＭＡＣアドレスのリストをはじめて登場した送信元ＭＡＣアドレスだけのリストに更新する（ステップＳ１０４）。

　続いて、取得部３１３は、新たに接続された送信元ＭＡＣアドレスとして、送信ＭＡＣアドレスの接続用判定リストを作成する（ステップＳ１０５）。そして、算出部３１４は、送信元ＭＡＣアドレス単位に、かつ、レイヤ２スイッチ５０単位に、発着のパケット数、バイト数の合計値を算出し（ステップＳ１０６）、送信元ＭＡＣアドレスをキーとして、レイヤ２スイッチ５０単位に発着のパケット数、バイト数の合計値を接続判定用リストとして保存する（ステップＳ１０７）。

　そして、判定部３１５は、接続判定用リストにおいて未処理の送信元ＭＡＣアドレスがあるか判定し（ステップＳ１０８）、未処理の送信元ＭＡＣアドレスがなければ（ステップＳ１０８否定）、そのまま処理を終了する。また、判定部３１５は、未処理の送信元ＭＡＣアドレスがある場合には（ステップＳ１０８肯定）、接続判定用リストから、未処理の送信元ＭＡＣアドレスを１つ取得する（ステップＳ１０９）。

　続いて、判定部３１５は、処理対象の送信元ＭＡＣアドレスにおいて、レイヤ２スイッチ５０別に発着のパケット数、バイト数の合計値を接続判定用リストから取得する（ステップＳ１１０）。そして、判定部３１５は、パケット数、バイト数の両方が最も多い値となっているレイヤ２スイッチ５０を接続しているレイヤ２スイッチ５０と判定し、一時保存する（ステップＳ１１１）。なお、判定部３１５は、パケット数が最も多い値となっているレイヤ２スイッチ５０と、バイト数の最も多い値となっているレイヤ２スイッチ５０とが異なる場合には、例えば、どちらを接続しているレイヤ２スイッチ５０と判定するか所定の条件で自動で決定してもよいし、ユーザに判断させるようにしてもよい。

　続いて、判定部３１５は、処理対象の送信元ＭＡＣアドレスは、過去に別のレイヤ２スイッチ５０に接続していたか判定する（ステップＳ１１２）。この結果、判定部３１５は、過去に別のレイヤ２スイッチ５０に接続していなかった場合には（ステップＳ１１２否定）、判定したレイヤ２スイッチ５０に、今回の処理対象の送信元ＭＡＣアドレスを有する通信機器１０が、新たに接続されたとして、構成情報を更新し（ステップＳ１１３）、ステップＳ１０８の処理に戻る。

　また、判定部３１５は、過去に別のレイヤ２スイッチ５０に接続していた場合には（ステップＳ１１２肯定）、過去に接続していたレイヤ２スイッチ５０の構成情報に対して、今回の処理対象の送信元ＭＡＣアドレスを有する通信機器が、移動して切断されたとして、構成情報を更新する（ステップＳ１１４）。そして、判定部３１５は、判定したレイヤ２スイッチ５０に、今回の処理対象の送信元ＭＡＣアドレスを有する通信機器１０が、移動して接続されたとして、構成情報を更新し（ステップＳ１１５）、ステップＳ１０８の処理に戻る。

　続いて、図１０を用いて、異常検出装置３０による切断交換判定処理を説明する。なお、異常検出装置３０による切断交換処理は、所定時間（例えば、１分）間隔で定期的に実行される処理である。図１０に示すように、異常検出装置３０の取得部３１３は、前回の取得時から追加された通信特徴量を取得し（ステップＳ２０１）、送信元ＭＡＣアドレスのリストを処理用リストとして作成する（ステップＳ２０２）。

　そして、計数部３１６は、構成情報にレイヤ２スイッチ単位で処理用リストに存在しない送信元ＭＡＣアドレスがあるか判定する（ステップＳ２０３）。この結果、計数部３１６は、構成情報にレイヤ２スイッチ単位で処理用リストに存在しない送信元ＭＡＣアドレスがないと判定した場合には（ステップＳ２０３否定）、処理を終了する。

　また、計数部３１６は、構成情報にレイヤ２スイッチ単位で処理用リストに存在しない送信元ＭＡＣアドレスがあると判定した場合には（ステップＳ２０３肯定）、リストに存在しない送信元ＭＡＣアドレスに対して、通信が発生していない通信機器１０として、前回の通信特徴量取得時からの経過時間を未通信時間として加算し、未通信ＭＡＣアドレスリストとして保存する（ステップＳ２０４）。

　そして、判定部３１５は、未通信ＭＡＣアドレスリストにおいて、処理用リストに存在する送信元ＭＡＣアドレスがあるか判定し（ステップＳ２０５）、処理用リストに存在する送信元ＭＡＣアドレスがない場合は（ステップＳ２０５否定）、ステップＳ２０７の処理に進む。また、判定部３１５は、処理用リストに存在する送信元ＭＡＣアドレスがある場合は（ステップＳ２０５肯定）、処理対象の送信元ＭＡＣアドレスを有する通信機器１０に通信が発生したとして、未通信ＭＡＣアドレスリストから削除する（ステップＳ２０６）。

　そして、判定部３１５は、未通信ＭＡＣアドレスリストにある通信機器の中で、一定時間経過したものがあるか判定し（ステップＳ２０７）、一定時間経過したものが無い場合には（ステップＳ２０７否定）、処理を終了する。また、判定部３１５は、未通信ＭＡＣアドレスリストにある通信機器の中で、一定時間経過したものがある場合には（ステップＳ２０７肯定）、該当する送信元ＭＡＣアドレスを有する通信機器１０については、通信が発生していない通信機器１０であるとして、構成情報から削除する（ステップＳ２０８）。

　そして、判定部３１５は、該当する送信元ＭＡＣアドレスが接続されていたレイヤ２スイッチ５０において、一定時間経過する前に、新規に接続された通信機器１０があり、数が一致するか判定する（ステップＳ２０９）。この結果、判定部３１５は、一定時間経過する前に、新規に接続された通信機器１０があり、数が一致すると判定した場合には（ステップＳ２０９肯定）、通信機器１０が交換されたとして、運用者に情報を提示し、運用者の交換有無判断により、構成情報を更新し（ステップＳ２１０）、処理を終了する。また、判定部３１５は、一定時間経過する前に、新規に接続された通信機器１０がない、もしくは、数が一致しないと判定した場合には（ステップＳ２０９否定）、そのまま処理を終了する。

　なお、通信機器１０が交換されたことを判定する方法として、前述した数が一致すること以外に、あらかじめ通信機器１０の正常通信のパターンを識別しておき、接続されていると判定したレイヤ２スイッチ５０において、送信元ＭＡＣアドレスが異なるが、発着のＩＰアドレス、ポート番号、プロトコル、流量パターンに変更がない場合に、交換されたと判定する方法がある。さらに、レイヤ２スイッチ５０に接続しているポート位置を識別しておき、既に接続していたポート位置に、新たに機器が接続された場合に、交換されたと判定する方法がある。さらにこれらの判定方法を組合せて用いる方法がある。

［第一の実施の形態の効果］
　このように、第一の実施の形態に係る異常検出装置３０は、各通信機器１０の通信特徴量を取得し、通信特徴量に含まれる送信元ＭＡＣアドレスごとに、当該通信機器１０と接続するレイヤ２スイッチ５０単位の発着パケット数の合計値またはバイト数の合計値を算出し、各送信元ＭＡＣアドレスについて、発着パケット数の合計値またはバイト数の合計値が最も多いレイヤ２スイッチ５０に、送信元ＭＡＣアドレスに対応する通信機器１０が接続されたものとして判定する。このため、通信機器１０の接続状況を適切かつ容易に把握することが可能である。

　つまり、異常検出装置３０は、送信元ＭＡＣアドレス単位かつレイヤ２スイッチ５０単位の発着のパケット数、バイト数の合計値を算出し、レイヤ２スイッチ別に合計値を比較し、最も多い値を示したレイヤ２スイッチを、該当の通信機器１０の接続しているレイヤ２スイッチと判定するので、これにより通信機器１０の接続状態を判定可能とする。また、異常検出装置３０では、通信機器１０が接続されたか、他のネットワークに移動されたか、切断されたか、交換されたかを識別することができる。

［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

　また、本実施の形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
　また、上記の実施形態で述べた異常検出装置３０の機能を実現するプログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実装できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記のプログラムを情報処理装置に実行させることにより、情報処理装置を異常検出装置３０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータ、ラック搭載型のサーバコンピュータ等が含まれる。また、その他にも、情報処理装置にはゲートウェイ装置、スマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistants）等がその範疇に含まれる。また、異常検出装置３０を、クラウドサーバに実装してもよい。

　図１１を用いて、上記のプログラム（異常検出プログラム）を実行するコンピュータの一例を説明する。図１１に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ（Random　Access　Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。

　ここで、図１１に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。前記した実施形態で説明した各種データや情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。

　そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

　なお、上記の異常検出プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、上記のプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide　Area　Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

　１０、１０Ａ～１０Ｉ　通信機器
　２０Ａ、２０Ｂ　ゲートウェイ装置
　３０　異常検出装置
　４０　サーバ
　５０Ａ～５０Ｃ　レイヤ２スイッチ
　６０Ａ、６０Ｂ　ルータ
　１００　異常検出システム
　３１１　学習部
　３１２　異常検出部
　３１３　取得部
　３１４　算出部
　３１５　判定部
　３１６　計数部
　３１７　入力部
　３１８　表示部
　３１９　保存データ検索部
　３２０　通信部
　３２１　ＯＳ
　３２２　学習データ保存部
　３２３　通信特徴量保存部
　３２４　リスト保存部
　３２５　構成情報保存部

Claims (7)

1. 　各通信機器の通信特徴量を取得する取得部と、
   　前記取得部によって取得された通信特徴量に含まれる送信元ＭＡＣアドレスごとに、当該通信機器と接続するレイヤ２スイッチ単位の発着パケット数の合計値またはバイト数の合計値を算出する算出部と、
   　各送信元ＭＡＣアドレスについて、前記算出部によって算出された発着パケット数の合計値またはバイト数の合計値が最も多いレイヤ２スイッチに、前記送信元ＭＡＣアドレスに対応する通信機器が接続されたものとして判定する判定部と
   　を備えることを特徴とする異常検出装置。
2. 　前記取得部によって取得された通信特徴量に存在しないが、前記通信機器の接続状態に関する情報を含む構成情報に存在する送信元ＭＡＣアドレスがある場合には、当該送信元ＭＡＣアドレスについて、未通信時間を計数する計数部をさらに備え、
   　前記判定部は、前記計数部によって計数された未通信時間が所定時間を経過した場合には、前記通信機器は通信の接続断があったと判定することを特徴とする請求項１に記載の異常検出装置。
3. 　前記判定部は、通信が発生していないと判定した通信機器に接続されていたレイヤ２スイッチにおいて、前記計数部によって計数された未通信時間が所定時間を経過する前に、新規に接続された通信機器があり、通信が発生していないと判定した通信機器の数と新規に接続された通信機器の数とが一致する場合には、通信機器が交換されたと判定することを特徴とする請求項２に記載の異常検出装置。
4. 　前記判定部は、判定結果に応じて、前記通信機器の接続状態に関する情報を含む構成情報を更新することを特徴とする請求項１から３のいずれか一つに記載の異常検出装置。
5. 　前記各通信機器の正常動作時における通信特徴量に基づき、前記通信機器の異常を検出する異常検出部と、
   　前記異常検出部によって前記通信機器の異常を検出した場合には、当該通信機器が接続するレイヤ２スイッチに対応するネットワークを、前記異常を検出した通信機器が属するネットワークとして表示する表示部とをさらに備えることを特徴とする請求項１から４のいずれか一つに記載の異常検出装置。
6. 　異常検出装置によって実行される異常検出方法であって、
   　各通信機器の通信特徴量を取得する取得工程と、
   　前記取得工程によって取得された通信特徴量に含まれる送信元ＭＡＣアドレスごとに、当該通信機器と接続するレイヤ２スイッチ単位の発着パケット数の合計値またはバイト数の合計値を算出する算出工程と、
   　各送信元ＭＡＣアドレスについて、前記算出工程によって算出された発着パケット数の合計値またはバイト数の合計値が最も多いレイヤ２スイッチに、前記送信元ＭＡＣアドレスに対応する通信機器が接続されたものとして判定する判定工程と
   　を含んだことを特徴とする異常検出方法。
7. 　各通信機器の通信特徴量を取得する取得ステップと、
   　前記取得ステップによって取得された通信特徴量に含まれる送信元ＭＡＣアドレスごとに、当該通信機器と接続するレイヤ２スイッチ単位の発着パケット数の合計値またはバイト数の合計値を算出する算出ステップと、
   　各送信元ＭＡＣアドレスについて、前記算出ステップによって算出された発着パケット数の合計値またはバイト数の合計値が最も多いレイヤ２スイッチに、前記送信元ＭＡＣアドレスに対応する通信機器が接続されたものとして判定する判定ステップと
   　をコンピュータに実行させることを特徴とする異常検出プログラム。

Images