WO2019235090A1 - デバイス識別装置およびデバイス識別方法 - Google Patents

デバイス識別装置およびデバイス識別方法 Download PDF

Info

Publication number
WO2019235090A1
WO2019235090A1 PCT/JP2019/017140 JP2019017140W WO2019235090A1 WO 2019235090 A1 WO2019235090 A1 WO 2019235090A1 JP 2019017140 W JP2019017140 W JP 2019017140W WO 2019235090 A1 WO2019235090 A1 WO 2019235090A1
Authority
WO
WIPO (PCT)
Prior art keywords
unknown
change pattern
type
similarity
model
Prior art date
Application number
PCT/JP2019/017140
Other languages
English (en)
French (fr)
Inventor
博史 野口
山登　庸次
操 片岡
達也 出水
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US16/973,137 priority Critical patent/US11288158B2/en
Priority to JP2020523562A priority patent/JP6930663B2/ja
Priority to CN201980038995.1A priority patent/CN112292671B/zh
Publication of WO2019235090A1 publication Critical patent/WO2019235090A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/085—Retrieval of network configuration; Tracking network configuration history
    • H04L41/0853—Retrieval of network configuration; Tracking network configuration history by actively collecting configuration information or by backing up configuration information
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3051—Monitoring arrangements for monitoring the configuration of the computing system or of the computing system component, e.g. monitoring the presence of processing resources, peripherals, I/O links, software programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G06F17/15—Correlation function computation including computation of convolution operations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0866—Checking the configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0866—Checking the configuration
    • H04L41/0869—Validating the configuration within one network element
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring

Definitions

  • the present invention relates to a device identification apparatus and a device identification method.
  • IoT Internet of Things
  • devices IoT devices
  • the manager of the device in each environment is required to accurately grasp and manage the nature and state of each device so that such a wide variety of devices can be used appropriately and safely.
  • the number of managed devices installed in the environment, their installation location (location), network connection status, and installed software version change dynamically. For example, considering the position, in the home environment, the installation location of the mounted sensor is changed as the appliance moves. In a factory, when a production line is refurbished, the installation location is changed because the sensor is moved to another production line and reused. In addition, the location of laptops and web cameras changes as the user moves. At this time, if a change in the installation location such as a room or an area cannot be detected, it is impossible to grasp where the device is now.
  • a device having a plurality of access interfaces such as a smartphone changes the network from a WiFi (registered trademark) to a mobile line such as LTE (Long Term Evolution).
  • WiFi registered trademark
  • LTE Long Term Evolution
  • firmware and OS updates occur. At this time, as in the case of the network, if the same device cannot be recognized before and after the software update, the location of the device is lost.
  • IMEI International Mobile Equipment Identity
  • IMEI International Mobile Equipment Identity
  • the method of using a device unique identifier including IMEI is based on the premise that dedicated hardware in which the identifier is embedded is used, and corresponding devices are limited.
  • Non-patent Document 1 Extensible Authentication Protocol Protocol Transport Layer Security
  • EAP-TLS Extensible Authentication Protocol Protocol Transport Layer Security
  • an individual can be identified by issuing a computer certificate for each device and installing it on the device.
  • the device can handle the EAP-TLS protocol, and it can be applied to devices with abundant computing power, such as personal computers, but it is applicable to devices with limited computing power expected for IoT devices. Can not. In other words, as with IMEI, supported devices are limited.
  • an object of the present invention is to suppress an increase in processing load for identifying a device connected to a network.
  • the invention according to claim 1 is a device identification device for identifying an unknown device connected to a network, and a device feature amount of the unknown device from a signal received from the unknown device
  • a device feature amount extraction unit that periodically extracts a model identification unit that identifies a model of the unknown device from a signal received from the unknown device, and a change pattern generation unit that generates a change pattern of the extracted device feature amount
  • a device similarity calculation unit that identifies the unknown device as a known device indicating the maximum value when the maximum value of the issued device similarity is equal to or greater than a first threshold value.
  • the invention according to claim 3 is a device identification method in a device identification device for identifying an unknown device connected to a network, wherein the device identification device receives the unknown device from a signal received from the unknown device. Periodically extracting the device feature value, identifying the model of the unknown device from a signal received from the unknown device, generating a change pattern of the extracted device feature value, and the generated Corresponding to the unknown device and the specified model by comparing the change pattern with the known device change pattern corresponding to the specified model among a plurality of types of known devices stored in the storage unit of the device identification device To calculate the device similarity between each known device And when the maximum value of the calculated device similarity is equal to or greater than a first threshold, the step of identifying the unknown device as a known device indicating the maximum value is performed. And
  • the unknown device model by specifying the unknown device model in advance, it is possible to narrow down the known devices that match the unknown device and the change pattern, and to limit the calculation range of the device similarity. . Therefore, it is possible to suppress an increase in the processing load for identifying devices connected to the network.
  • the invention according to claim 2 is the device identification device according to claim 1, wherein the unknown device changes when the model specifying unit cannot specify the model of the unknown device.
  • the type similarity is calculated for each type of device, and when the maximum value of the calculated type similarity is equal to or greater than a second threshold, the type of the unknown device indicates the maximum value.
  • a type similarity calculation unit that determines the type.
  • the invention according to claim 4 is the device identification method according to claim 1, wherein the device identification apparatus cannot be identified in the step of identifying the model of the unknown device. Calculating the type similarity for each type of device with respect to the unknown device change pattern, and if the maximum value of the calculated type similarity is equal to or greater than a second threshold, the type of the unknown device And a step of determining as a type indicating the maximum value.
  • the unknown device change pattern can be stored in the database by determining at least the type of the unknown device. it can. Therefore, the database of change patterns can be expanded, and the device type determination accuracy in the subsequent device identification can be improved.
  • an increase in the processing load for identifying devices connected to the network can be suppressed.
  • surface which shows the example of the device feature-value extracted regularly. It is an example of the data structure of change pattern DB. It is an example of the data structure of device DB. It is a flowchart which shows a device identification process.
  • the present invention is characterized in that a device feature amount is extracted from a signal transmitted by a device such as a sensor, and an individual is identified from the extracted change pattern of the device feature amount.
  • a device feature amount is extracted from a signal transmitted by a device such as a sensor, and an individual is identified from the extracted change pattern of the device feature amount.
  • characteristics for each device type such as transmission data size and uniqueness unique to the use environment such as communication delay appear. Therefore, the change pattern can be used as information for identifying a device individual.
  • the present invention classifies devices by type and model and hierarchically manages the accumulated data, thereby narrowing the accumulated data necessary for identifying individual devices and suppressing an increase in processing load.
  • the device identification apparatus is an apparatus that identifies a device connected to a network.
  • the device identification apparatus 100 includes device feature amount extraction units 1-1 and 1-2, a change pattern generation unit 2, a device similarity calculation unit 3, a change pattern DB4, , Device DB 5, model specifying unit 6, and type similarity calculating unit 7.
  • Reference numerals 10-1 to 10-3 in FIG. 1 are devices (IoT devices) connected to the network, which are unknown devices to be identified by the device identification apparatus 100.
  • the change pattern DB 4 and the device DB 5 are databases stored in the storage unit of the device identification apparatus 100.
  • the device feature quantity extraction units 1-1 and 1-2 receive signals from the devices 10-1 to 10-3.
  • the signals transmitted by the devices 10-1 to 10-3 are, for example, responses to requests such as sensor values, alive monitoring signals, and port scans by the device identification apparatus 100.
  • the device feature amount extraction units 1-1 and 1-2 periodically extract device feature amounts of the devices 10-1 to 10-3 from the signals received from the devices 10-1 to 10-3.
  • Device feature amounts can be mainly classified into information indicating the states of the devices 10-1 to 10-3 and traffic characteristics.
  • the information indicating the status of the devices 10-1 to 10-3 is, for example, the position (installation location) of the devices 10-1 to 10-3 and the software version executed by the devices 10-1 to 10-3. is there.
  • the traffic characteristics are, for example, an average traffic amount within a predetermined time and a communication interval.
  • the device feature values are extracted by the device feature value extraction units 1-1 and 1-2 from the devices 10-1 to 10-3.
  • FIG. 2 exemplifies the values of the reception times for the device feature values Param1, 2, and 3 that take various values.
  • Periodic extraction of device feature amounts by the device feature amount extraction units 1-1 and 1-2 means that a plurality of device feature amounts are acquired at arbitrary reception times over a predetermined period.
  • the device feature extraction units 1-1 and 1-2 are preferably prepared for each protocol.
  • the communication protocol handled by the device feature quantity extraction unit 1-1 is the communication protocol used in the devices 10-1 and 10-2.
  • the communication protocol handled by the device feature amount extraction unit 1-2 is a communication protocol used in the device 10-3.
  • the number of device feature quantity extraction units 1-1 and 1-2 is not limited to two, but may be three or more, or one. In the present embodiment, the number of devices 10-1 to 10-3 is not limited to 3, and may be 4 or more, or 2 or less.
  • the device feature quantity extraction units 1-1 and 1-2 can be implemented as gateways in the local network environment. With such an implementation, the device feature amount extraction units 1-1 and 1-2 can also acquire low layer information such as a MAC frame and extract it as a device feature amount.
  • the change pattern generation unit 2 generates a change pattern for each device with respect to the device feature amounts periodically extracted by the device feature amount extraction units 1-1 and 1-2. These change patterns are prepared for each type of device feature quantity that changes with time.
  • the change pattern generation unit 2 incorporates change pattern calculation logic.
  • As the calculation logic various logics can be used according to the characteristics for each device feature amount, and in the present embodiment, the calculation logic is not limited to a specific logic.
  • an approximate expression of time change expressed by a linear function of slope a and intercept b can be used as the change pattern calculation logic.
  • the change pattern generation unit 2 outputs the change pattern generated for each device feature amount to the device similarity calculation unit 3 as a change pattern of an unspecified individual device.
  • the device similarity calculation unit 3 collates the change pattern of the unknown device with the change pattern stored in the change pattern DB 4 to identify the individual.
  • the change pattern DB 4 is a database that stores change patterns collected in the past from known devices in the network environment. For example, as illustrated in FIG. 3, the change pattern DB 4 includes a device ID of a known device, a device type of an existing device, a device model of an existing device, a device name of an existing device, a device feature amount of a known device, A change pattern generated from the device feature value is stored in association with each other.
  • the device type is a classification unit that determines the type of device, for example, a unit that performs a large classification corresponding to functions such as a camera, a speaker, a printer, a smartphone, and a personal computer.
  • the device type may be simply referred to as “type”.
  • the device model is a classification unit that determines a device standard, and is a unit that distinguishes the same type of device group according to the standard.
  • the device model makes it possible to perform a small classification of devices.
  • the device model may be simply referred to as “model”.
  • the camera model can be expressed as “model number xx made by company A” to classify the camera.
  • the device name is a product name given to the device.
  • the product name is attached to each model. Therefore, the device name classification granularity is the same as the device model classification granularity.
  • the product name is handled as an expression of the model.
  • the value stored in the change pattern DB4 is unknown, leave it blank. For example, as shown in FIG. 3, when the device type or device model is unknown, a value “unknown” symbolizing a blank is stored.
  • the device similarity calculation unit 3 calculates the pattern similarity between the unknown device change pattern and the existing device change pattern for each device feature amount of the unknown device.
  • Various calculation formulas can be used as specific calculation formulas for the pattern similarity according to the characteristics for each device feature amount.
  • the calculation formulas are not limited to specific calculation formulas.
  • the pattern similarity si for each device feature amount can be obtained using the following Expression 1. it can.
  • si 0.5 ⁇ ⁇ a + 0.5 ⁇ ⁇ b ... (Formula 1)
  • si is the pattern similarity for the i-th device feature.
  • i is a natural number from 1 to n.
  • n is the number of types of device feature values extracted from unknown devices.
  • ⁇ a is a value obtained by normalizing the absolute value of the difference between the slope obtained from the change pattern of the unknown device and the slope obtained from the change pattern of the known device with respect to the i-th device feature amount so that it falls within 0 to 1. It is.
  • ⁇ b is a value obtained by normalizing the absolute value of the difference between the intercept obtained from the change pattern of the unknown device and the intercept obtained from the change pattern of the known device with respect to the i-th device feature amount so as to be within 0 to 1. It is.
  • si takes a value between 0 and 1.
  • the device similarity calculation unit 3 uses Equation 1 to calculate the pattern similarity for each type of device feature amount extracted from the unknown device and for each known device. If the device feature quantity of the same type as the device feature quantity related to the unknown device change pattern is not extracted from the known device and there is no corresponding change pattern, the pattern for the device feature quantity is used for convenience. The similarity may be regarded as 0.
  • the device similarity calculation unit 3 can calculate the device similarity between the unknown device and the known device using the calculated pattern similarity. When calculating the device similarity, the device similarity calculation unit 3 can calculate a weight to be given to each of the pattern similarities as described below.
  • the change in the device feature value used for device individual identification is better as it is unique and does not overlap among a plurality of individuals.
  • the change pattern of the device position due to the movement of the device is a change pattern that overlaps with a plurality of devices, and is a parameter that is not helpful for identifying the individual (the movement of the device is It is random for each device, and the device-specific position change is very unlikely).
  • the change pattern of communication characteristics related to download is a change pattern that is not helpful in identifying an individual.
  • the variance of changes in the device feature values is evaluated with respect to the change patterns held in the change pattern DB4.
  • the device feature amount is designed to be given a higher weight as the variance of the device feature amount is larger. With such a design, the device feature value can be adjusted so as to greatly contribute to the calculation of the device similarity as the device feature value change is unique.
  • the weight ki given to each of the pattern similarities can be obtained using the following Expression 2.
  • ki vi / ( ⁇ vi) ...
  • vi is a value obtained by normalizing the variance value for the i-th device feature value so that it falls within 0 to 1.
  • i is a natural number from 1 to n.
  • n is the number of types of device feature values extracted from unknown devices.
  • the device similarity calculation unit 3 obtains the pattern similarity for all the change patterns stored in the change pattern DB 4 for each device feature amount. In addition, the device similarity calculation unit 3 assigns a weight based on the size of the variance value to the obtained pattern similarity using Equation 2.
  • the device similarity calculation unit 3 calculates the pattern similarity for each device feature amount, and calculates the device similarity between the unknown device and each known device by multiplying the pattern similarity by a weight. To do.
  • the device similarity calculation unit 3 selects the maximum value among the device similarities calculated by Expression 3, and when the maximum value is equal to or greater than a predetermined threshold (first threshold), the device to be identified, that is, the unknown device Is identified as a known device exhibiting its maximum value. If there is no device similarity that is equal to or greater than a predetermined threshold, the unknown device is determined as a new device connected to the network.
  • a predetermined threshold can be set in advance by the system user, for example.
  • the device similarity calculation unit 3 reflects the identification result for the unknown device in the device DB 5 and the change pattern DB 4 and updates the device DB 5 and the change pattern DB 4.
  • the device DB 5 is a database that manages the state of known devices that have been identified by the device identification apparatus 100.
  • FIG. 4 illustrates a correspondence between a device ID of a known device and a value indicating a state in the device DB 5.
  • the state of the known device there are an access point for network connection, installed software, and an online state.
  • there is a place where the known device is installed for example, displayed in latitude and longitude).
  • the device similarity calculation unit 3 records the latest state of the unknown device in the device DB 5 as the unknown device identification result.
  • the device similarity calculation unit 3 adds device information indicating the state of the unknown device to the device DB 5 as an unknown device identification result.
  • the state of the unknown device recorded in the device DB 5 by the device identification apparatus 100 may be information obtained in the identification process described above by the change pattern generation unit 2 and the device similarity calculation unit 3, or after identification. The information acquired by accessing the identification target device (original unknown device) may also be used.
  • the device similarity calculation unit 3 registers the change pattern generated by the change pattern generation unit 2 in the unknown device identification process in the change pattern DB 4 as the unknown device identification result.
  • the device similarity calculation unit 3 replaces the change pattern of the corresponding known device in the change pattern DB 4 with the change pattern generated by the change pattern generation unit 2 and updates the change pattern DB 4 To do.
  • the device similarity calculation unit 3 adds the change pattern of the new device to the change pattern DB 4 and updates the change pattern DB 4.
  • the model identification unit 6 identifies the model of the unknown device from the signal received from the unknown device. Some devices can specify a model from communication information (corresponding to a signal). For example, by identifying the NIC (Network Interface Card) vendor from the first 24 bits of the MAC address, identifying the OS and application from the User-Agent header information of the HTTP request, etc. The product name may be specified.
  • the model specifying unit 6 specifies a device model by cooperating with a database (for example, dictionary data or commercial database) in which the correspondence between the header and the product name is described.
  • a database for example, dictionary data or commercial database
  • the model specifying unit 6 can analyze the header information from the signal received from the unknown device and specify the model of the unknown device.
  • the model identifying unit 6 can identify the model
  • the device similarity calculating unit 3 calculates the device similarity by limiting the target to only the data corresponding to the identified model among the data in the change pattern DB 4.
  • the model specifying unit 6 outputs model information indicating the specified model to the device similarity calculating unit 3.
  • the device similarity calculation unit 3 refers to the change pattern DB 4 using the model information as a key, extracts only the change pattern of the record corresponding to the model indicated by the model information, and limits the device similarity calculation range.
  • the device similarity calculation unit 3 calculates the device similarity using the change pattern generated by the change pattern generation unit 2 and the extracted change pattern.
  • the device similarity calculating unit 3 targets all of the data in the change pattern DB 4. Calculate device similarity. Specifically, the model of the unknown device is unknown, and the model specifying unit 6 outputs model information indicating the unknown model to the device similarity calculation unit 3. Next, the device similarity calculation unit 3 extracts all the change patterns stored in the change pattern DB 4 and does not limit the device similarity calculation range, and the change pattern generated by the change pattern generation unit 2 The device similarity is calculated.
  • the device similarity calculation unit 3 calculates the device similarity and reflects the identification result for the unknown device in the device DB 5 and the change pattern DB 4 in the same manner as the processing described above for the unknown device whose identification has been completed.
  • DB5 and change pattern DB4 are updated.
  • the model specifying unit 6 has specified the model
  • the specified model is stored in the device model column of the change pattern DB 4. If the model identification unit 6 has not identified the model, unknown is stored in the device model column of the change pattern DB 4.
  • the type similarity calculation unit 7 calculates a type similarity that is a dedicated device similarity for determining the type of an unknown device. For example, for each device feature amount of an unknown device, the type similarity is a pattern similarity calculated between an unknown device change pattern and a type determination device change pattern that is unique and virtually provided for each type. Calculated using degrees.
  • the pattern similarity calculation method and the device similarity calculation method as the type similarity follow the calculation methods already described.
  • the change pattern of the type determination device for each type can be stored in the change pattern DB 4.
  • the type similarity is calculated between, for example, the change pattern of the unknown device and the change patterns of all known devices managed as the same type by the change pattern DB 4 for each device feature amount of the unknown device. It may be calculated for each type using the pattern similarity. In this case, a plurality of type similarities are calculated for the same type. For example, an optimal one of the calculated plurality of type similarities may be selected and used as the type similarity of the type. The average value of the calculated plurality of type similarities may be used as the type similarity of the type.
  • the type similarity calculation unit 7 calculates the type similarity for each type for the unknown device change pattern generated by the change pattern generation unit 2.
  • the type similarity calculation unit 7 selects the maximum value of the calculated type similarities for each type, and if the maximum value is equal to or greater than a predetermined threshold (type threshold: second threshold), the type of the unknown device Is identified as the type of the type determination device indicating the maximum value.
  • a predetermined threshold type threshold: second threshold
  • the type threshold can be preset by the system user, for example.
  • the type similarity calculation unit 7 reflects the identification result including the type of the unknown device in the device DB 5 and the change pattern DB 4 and updates the device DB 5 and the change pattern DB 4.
  • the type similarity calculation unit 7 determines that the type cannot be specified, and determines the type of the unknown device as an unknown type. If the type cannot be specified, unknown is stored in the device type column of the change pattern DB 4.
  • the change pattern DB 4 When determining the type of the unknown device, the change pattern DB 4 needs to store at least one change pattern for each device type.
  • the method of initial construction of the change pattern DB 4 is not particularly limited. For example, a special data input process is performed by incorporating a mechanism in which an administrator manually names when an unknown device is discovered. Without determination, it is possible to realize the subsequent determination of the type of the unknown device. As the number of devices to be identified increases, the data in the change pattern DB 4 increases, which contributes to improvement in device type determination accuracy.
  • the identification of the unknown device type can be performed in parallel with the individual device identification process described above.
  • the type and model are means for classifying the device, but in this embodiment, the type is treated as a concept higher than the model. Therefore, when the model specifying unit 6 can specify the model of a certain unknown device, the type of the unknown device can be automatically specified.
  • the change pattern DB 4 stores the model and type in association with the change pattern.
  • the model specifying unit 6 cannot specify the model (and therefore the type cannot be specified), but the type can be specified by the determination by the type similarity calculation unit 7, and the change pattern In the DB 4, the type is stored in association with the change pattern, and the model is stored as unknown.
  • the device identification apparatus 100 periodically extracts the device feature amount of the unknown device from the signal received from the unknown device by the device feature amount extraction unit 1-1 (step S1).
  • the device identification apparatus 100 uses the change pattern generation unit 2 to generate a device feature amount change pattern extracted from the unknown device (step S2).
  • the device identification apparatus 100 analyzes the signal received from the unknown device by the model specifying unit 6 and determines whether or not the model of the unknown device has been specified (step S10).
  • the device identification apparatus 100 uses the device similarity calculation unit 3 to change the unknown device change pattern and the known device stored in the change pattern DB4.
  • the pattern similarity with each change pattern is calculated (step S3).
  • the calculation of the pattern similarity is executed for all known devices stored in the change pattern DB 4.
  • the device identification apparatus 100 uses the device similarity calculation unit 3 to calculate the device similarity between each of the unknown device and the known device using the calculated pattern similarity (step S4).
  • the calculation of the device similarity is executed for all known devices stored in the change pattern DB 4.
  • the calculated maximum values of the plurality of device similarities and the known device having the maximum device similarity are specified.
  • the device identification apparatus 100 determines whether or not the calculated maximum value of the device similarity is greater than or equal to a predetermined threshold by the device similarity calculation unit 3 (step S5).
  • the threshold is equal to or greater than the threshold (step S5 / Yes)
  • the device identification apparatus 100 identifies the unknown device as a known device having a maximum device similarity by the device similarity calculation unit 3 (step S6).
  • the device identification apparatus 100 determines the unknown device as a new device connected to the network by the device similarity calculation unit 3 (step S7).
  • the device identification apparatus 100 receives the identification result of the identification target device (original unknown device) determined by the device similarity calculation unit 3 as the known device having the maximum device similarity or the new device, as the device DB 5. And the device DB 5 is updated (step S8). Next, the device identification apparatus 100 uses the device similarity calculation unit 3 to register the change pattern of the identification target device in the change pattern DB 4 and update the change pattern DB 4 (step S9). After the update, the device identification process ends.
  • the device identification apparatus 100 uses the device similarity calculation unit 3 to change the unknown device change pattern and the known device stored in the change pattern DB4.
  • the pattern similarity with each of the change patterns is calculated (step S11).
  • the calculation of the pattern similarity is executed for known devices of the same model as the identified model among the known devices stored in the change pattern DB 4.
  • the device identification apparatus 100 uses the device similarity calculation unit 3 to calculate the device similarity between each of the unknown device and the known device, using the calculated pattern similarity (step S12).
  • the calculation of the device similarity is executed for known devices of the same model as the identified model among the known devices stored in the change pattern DB 4.
  • the maximum value of the calculated plurality of device similarities and the known device of the same model whose device similarity indicates the maximum value are specified.
  • the device identification apparatus 100 uses the identified known device to perform the processes of steps S5 to S9 described above for the unknown device, and the device identification process ends.
  • Step S10 When the device type of the unknown device cannot be identified (Step S10 / No), the device identification apparatus 100 performs the change of the unknown device by the type similarity calculation unit 7 in parallel with the process of Step S3.
  • the type similarity is calculated for each type (step S13).
  • step S13 the maximum value of the type similarity calculated for each type is specified.
  • the device identification apparatus 100 determines whether the maximum value of the calculated type similarity is greater than or equal to a predetermined type threshold by the type similarity calculating unit 7 (step S14). If it is equal to or higher than the type threshold (step S14 / Yes), the device identification apparatus 100 determines the type of the unknown device as the type whose type similarity is the maximum value by the type similarity calculation unit 7 (step S15). On the other hand, if it is not equal to or greater than the type threshold (step S14 / No), the device identification apparatus 100 determines the type of the unknown device as an unknown type by the type similarity calculation unit 7 (step S16).
  • the device identification apparatus 100 updates the device DB 5 (step S8) and updates the change pattern DB 4 (step S9) that have already been described for the unknown device whose type has been determined or has been determined to be the unknown type. And the device identification process ends.
  • a device is identified by using a device feature amount change pattern that appears uniquely in each device. That is, since the device feature quantity itself is not used to identify the device, the device identification process can be executed regardless of the characteristics of each device for each device feature quantity. Although there are many types of device feature amounts, in this embodiment, attention is paid to the change pattern of the device feature amount, so that the device identification process is executed regardless of the type of device feature amount. be able to. Thus, any device connected to the network can be identified.
  • this embodiment does not require dedicated hardware such as IMEI compatibility as in the prior art, and can be realized only with software functions as described above.
  • the device since the device is not required to handle a special protocol such as the conventional EAP-TLS protocol, the device to which the present embodiment is applicable is not particularly limited.
  • the change pattern of the corresponding known device in the change pattern DB 4 is updated using the change pattern generated by the change pattern generation unit 2, the change pattern of the corresponding known device can be always updated. . As a result, the latest change pattern can be used for subsequent unknown device identification, and device identification errors caused by using the old change pattern can be avoided.
  • the model of the unknown device by specifying the model of the unknown device in advance, it is possible to narrow down the known devices that collate the unknown device with the change pattern and limit the device similarity calculation range. Therefore, it is possible to suppress an increase in the processing load for identifying devices connected to the network.
  • the unknown device change pattern can be stored in the database by determining at least the type of the unknown device. Therefore, the database of change patterns can be expanded, and the device type determination accuracy in the subsequent device identification can be improved.
  • each of the above-described configurations, functions, processing units, processing means, and the like may be realized by hardware by designing a part or all of them with, for example, an integrated circuit.
  • each of the above-described configurations, functions, and the like may be realized by software for interpreting and executing a program that realizes each function by the processor.
  • Information such as programs, tables, and files that realize each function is stored in a memory, hard disk, SSD (Solid State Drive), or other recording device, IC (Integrated Circuit) card, SD (Secure Digital) card, optical disk, etc. It can be held on a recording medium.
  • the processing steps describing time-series processing are not limited to processing performed in time series according to the described order, but are not necessarily processed in time series, either in parallel or individually. The processing (for example, parallel processing or object processing) is also included.
  • a technique obtained by appropriately combining various techniques described in the present embodiment can also be realized.
  • the software described in this embodiment can be realized as hardware, and the hardware can also be realized as software.
  • hardware, software, flowcharts, and the like can be changed as appropriate without departing from the spirit of the present invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Mathematical Analysis (AREA)
  • Data Mining & Analysis (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Computational Mathematics (AREA)
  • Software Systems (AREA)
  • Quality & Reliability (AREA)
  • Databases & Information Systems (AREA)
  • Algebra (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Stored Programmes (AREA)

Abstract

デバイス識別装置（１００）は、不明デバイスのデバイス特徴量を定期的に抽出するデバイス特徴量抽出部（１－１，１－２）と、不明デバイスの機種を特定する機種特定部（６）と、抽出したデバイス特徴量の変化パターンを生成する変化パターン生成部（２）と、生成した変化パターンを、既知デバイスの各々の変化パターンと照合することで、デバイス類似度をそれぞれ算出し、算出したデバイス類似度のうちの最大値が第１の閾値以上である場合、不明デバイスを、最大値を示す既知デバイスと識別するデバイス類似度算出部（３）と、を備える。

Description

デバイス識別装置およびデバイス識別方法
　本発明は、デバイス識別装置およびデバイス識別方法に関する。
　今日、Internet of Things（IoT）が急速に拡大を続けており、多種多様かつ膨大な数のデバイス（IoTデバイス）がネットワークに接続されつつある。2020年には500億台のデバイスがインターネットに接続されるという予測があり、今後、家庭や工場、街頭など様々な環境にますます多くのデバイスが設置されることが予想される。そして、ネットワークに接続されるデバイスには、カメラや温度計といったセンサや、スマートフォンなどの小型コンピュータ、スピーカーやディスプレイといったアクチュエータなど様々な種類がある。このため、各デバイスの計算処理能力や、各デバイスに使用されるプロトコルは多種多様である。各環境のデバイスの管理者には、このような多種多様かつ膨大なデバイスを適切かつ安全に使用できるように、各デバイスの性質や状態を正確に把握して管理することが求められている。
　IoTの運用を考えると、環境内に設置される管理対象のデバイスの数や、それらの設置場所（位置）、ネットワークへの接続状態、搭載されるソフトウェアのバージョンは、ダイナミックに変化する。例えば、位置について考えると、家庭環境では、電化製品の移動に伴って搭載されているセンサの設置場所が変更される。工場では、製造ラインを改修した際に、別の製造ラインへセンサを移動して再利用するために設置場所の変更が発生する。また、ラップトップやWebカメラなどは使用者の移動に応じて当然のように設置場所が変化する。このとき、部屋やエリアといった設置場所の変更を検出できなければ、デバイスが今どこにあるのかを把握できなくなってしまう。
　また、ネットワークについて考えると、スマートフォンなど複数のアクセスインタフェースを有するデバイスでは、WiFi（登録商標）からLTE（Long Term Evolution）等モバイル回線へのネットワークの変更が発生する。このとき、IPアドレス等のデバイスのネットワーク情報が変更されたとしても、同一デバイスとして認識できなければ、やはり、それがネットワーク上のどこにあるのか不明になってしまう。従来は、ネットワークに接続されているデバイスをユニークに識別するには、MACアドレスを見ればよかったが、昨今のOSではセキュリティへの配慮から、ネットワーク接続のたびにMACアドレスをランダム生成する仕様になっている。このため、MACアドレスはもはや一貫したキーとして使用できなくなってきている。
　また、IoTデバイス上で動作するソフトウェアについて考えると、ファームウェアやOSのアップデートが発生する。このときもネットワークの場合と同様に、ソフトウェアの更新前後で、同一のデバイスであることを認識できなれば、デバイスの所在を見失ってしまう。
　このように、IoTの運用では、デバイスの同一性を保証することが困難である。そのため、デバイスの設置場所やネットワークやソフトウェアが変化した場合、どの個体がどのような変化をしたのかを追跡して把握できなければ、過去に設置したデバイス資産が物理空間とネットワークのどこに存在しているのかを管理できなくなるおそれがある。
　また、セキュリティ観点でも、動的に状態が変化するデバイスの個体を一貫して把握できることが求められる。例えば、位置やソフトウェアの変更に関らず、デバイスに障害を検出した場合、検出時の過去の挙動や影響範囲を特定するなどの障害対応が必要である。しかし、デバイスの同一性を保証することが困難となるIoTでは、あるデバイスについて位置やソフトウェアの変更があった場合、例えば、そのデバイスの過去から現在に至るまでの状態ログを追跡できないと、障害対応ができなくなるおそれがある。
　また、デバイス認証の観点でも、一度認証したデバイスが認証ポリシーに反しない範囲で状態変化した場合に、再認証なしに安全を判定するには、変化前後の同一性を認識できる必要がある。しかし、デバイスの同一性を保証することが困難となるIoTでは、状態変化に伴い再認証を余儀なくされるおそれがある。
　このように、膨大な数に及ぶIoTデバイスの管理には、性質やプロトコルが異なる多種多様なデバイスの状態を把握し、デバイスの状態が変化したとしても、他のデバイスや新規設置されるデバイスと混同せずに個体を識別して管理できることが求められる。このような膨大な数のIoTデバイスの管理を人手で行うのは現実的ではなく、自動的に行える技術が求められる。
　デバイスの個体を識別する従来技術の例として、携帯電話や一部の衛星電話に付与されるInternational Mobile Equipment Identity（IMEI）がある。IMEIを用いることで、ネットワークに接続されるデバイスを一意に特定することが可能である。しかしながら、IMEIを含む、デバイス固有識別子を利用する手法は、識別子を埋め込んだ専用のハードウェアを用いることが前提であり、対応デバイスが限定される。
　また、デバイスの個体を識別する従来技術の例としては、他にも、EAP-TLS（Extensible Authentication Protocol - Transport Layer Security）によりコンピュータ証明書を発行する手法がある（非特許文献１）。この手法によれば、デバイスごとのコンピュータ証明書を発行して、デバイスにインストールすることで個体を識別することができる。しかし、デバイスがEAP-TLSプロトコルを扱えることを前提としており、パソコンなどの潤沢な計算能力を備えたデバイスには適用できるものの、IoTデバイスに多く想定される計算能力が限定されるデバイスには適用できない。つまり、IMEIの場合と同様、対応デバイスが限定される。
D. Simon, et.al, "The EAP-TLS Authentication Protocol", RFC5216, 2008.3,[online],[平成30年5月31日検索], インターネット<ＵＲＬ：https://www.rfc-editor.org/rfc/rfc5216.txt >
　上記事情に対し、IoTの拡大に伴い、IoTデバイスの管理の運用を継続すれば、管理データのデータ量が必然的に増大する。このため、IoTデバイスの識別の処理負荷が増大するというさらなる課題がある。
　このような背景に鑑みて、本発明は、ネットワークに接続されているデバイスの識別の処理負荷の増大を抑制することを課題とする。
　前記した課題を解決するため、請求項１に記載の発明は、ネットワークに接続されている不明デバイスを識別するデバイス識別装置であって、前記不明デバイスから受信する信号から前記不明デバイスのデバイス特徴量を定期的に抽出するデバイス特徴量抽出部と、前記不明デバイスから受信する信号から前記不明デバイスの機種を特定する機種特定部と、前記抽出したデバイス特徴量の変化パターンを生成する変化パターン生成部と、前記生成した変化パターンを、前記デバイス識別装置の記憶部が記憶する、複数種類の既知デバイスのうち前記特定した機種に該当する既知デバイスの変化パターンと照合することで、前記不明デバイスと前記特定した機種に該当する既知デバイスの各々との間のデバイス類似度をそれぞれ算出し、前記算出したデバイス類似度のうちの最大値が第１の閾値以上である場合、前記不明デバイスを、前記最大値を示す既知デバイスと識別するデバイス類似度算出部と、を備える、ことを特徴とする。
　また、請求項３に記載の発明は、ネットワークに接続されている不明デバイスを識別するデバイス識別装置におけるデバイス識別方法であって、前記デバイス識別装置が、前記不明デバイスから受信する信号から前記不明デバイスのデバイス特徴量を定期的に抽出するステップと、前記不明デバイスから受信する信号から前記不明デバイスの機種を特定するステップと、前記抽出したデバイス特徴量の変化パターンを生成するステップと、前記生成した変化パターンを、前記デバイス識別装置の記憶部が記憶する、複数種類の既知デバイスのうち前記特定した機種に該当する既知デバイスの変化パターンと照合することで、前記不明デバイスと前記特定した機種に該当する既知デバイスの各々との間のデバイス類似度をそれぞれ算出するステップと、前記算出したデバイス類似度のうちの最大値が第１の閾値以上である場合、前記不明デバイスを、前記最大値を示す既知デバイスと識別するステップと、を実行する、ことを特徴とする。
　請求項１，３に記載の発明によれば、不明デバイスの機種を事前に特定することで、不明デバイスと変化パターンを照合する既知デバイスを絞り込み、デバイス類似度の算出範囲を限定することができる。
　したがって、ネットワークに接続されているデバイスの識別の処理負荷の増大を抑制することができる。
　また、請求項２に記載の発明は、請求項１に記載のデバイス識別装置であって、前記機種特定部が前記不明デバイスの機種を特定することができなかった場合に、前記不明デバイスの変化パターンに対して、デバイスの種別ごとに種別類似度を算出し、前記算出した種別類似度のうちの最大値が第２の閾値以上である場合、前記不明デバイスの種別を、前記最大値を示す種別と判定する種別類似度算出部、を備える、ことを特徴とする。
　また、請求項４に記載の発明は、請求項１に記載のデバイス識別方法であって、前記デバイス識別装置は、前記不明デバイスの機種を特定するステップで特定することができなかった場合に、前記不明デバイスの変化パターンに対して、デバイスの種別ごとに種別類似度を算出するステップと、前記算出した種別類似度のうちの最大値が第２の閾値以上である場合、前記不明デバイスの種別を、前記最大値を示す種別と判定するステップと、を実行する、ことを特徴とする。
　請求項２，４に記載の発明によれば、不明デバイスの機種は特定することができなくても、少なくとも不明デバイスの種別は判定することで、不明デバイスの変化パターンをデータベースに格納させることができる。よって、変化パターンのデータベースを拡張させることができ、以降のデバイスの識別における、デバイス種別の判定精度を向上させることができる。
　本発明によれば、ネットワークに接続されているデバイスの識別の処理負荷の増大を抑制することができる。
本実施形態のデバイス識別装置の機能構成図である。 定期的に抽出されるデバイス特徴量の例を示す表である。 変化パターンＤＢのデータ構造の例である。 デバイスＤＢのデータ構造の例である。 デバイス識別処理を示すフローチャートである。
　以下、図面を参照して本発明を実施するための形態（以下、「本実施形態」という）について説明する。
（概要）
　本発明は、センサ等のデバイスが送信する信号からデバイス特徴量を抽出し、抽出したデバイス特徴量の変化パターンから個体を識別することを特徴とする。デバイス特徴量の変化パターンには、送信データサイズといったデバイスの種類ごとの特性や、通信遅延といった使用環境ならではの固有性が現れる。このため、変化パターンを、デバイス個体を識別するための情報として利用することができる。
　また、本来は、デバイス個体の識別には、過去から現在までにネットワークに存在したすべてのデバイスの変化パターンのデータを用いる必要がある。しかし、大量のデバイスが存在する環境や、長時間蓄積を続けた環境においては、蓄積データ量が膨大になり、デバイス個体の識別の処理負荷が膨大になってしまう。そこで、本発明は、デバイスを、種別および機種で分類し、蓄積データを階層的に管理することで、デバイス個体を識別に必要となる蓄積データを絞り込み、処理負荷の増大を抑える。
≪構成≫
　本実施形態のデバイス識別装置は、ネットワークに接続されているデバイスを識別する装置である。図１に示すように、本実施形態のデバイス識別装置１００は、デバイス特徴量抽出部１－１，１－２と、変化パターン生成部２と、デバイス類似度算出部３と、変化パターンＤＢ４と、デバイスＤＢ５と、機種特定部６と、種別類似度算出部７と、を備える。図１中の符号１０－１～１０－３は、ネットワークに接続されているデバイス（IoTデバイス）であり、デバイス識別装置１００の識別対象となる不明デバイスである。変化パターンＤＢ４およびデバイスＤＢ５は、デバイス識別装置１００の記憶部が記憶するデータベースである。
　デバイス特徴量抽出部１－１，１－２は、デバイス１０－１～１０－３から信号を受信する。デバイス１０－１～１０－３が送信する信号は、例えば、センサ値、死活監視信号、デバイス識別装置１００によるポートスキャンなどの要求に対する応答である。
　デバイス特徴量抽出部１－１，１－２は、デバイス１０－１～１０－３から受信した信号から、デバイス１０－１～１０－３の各々のデバイス特徴量を定期的に抽出する。デバイス特徴量は、主に、デバイス１０－１～１０－３の状態を示す情報と、トラフィック特性とに分類することができる。デバイス１０－１～１０－３の状態を示す情報は、例えば、デバイス１０－１～１０－３の位置（設置場所）や、デバイス１０－１～１０－３が実行しているソフトウェアのバージョンである。また、トラフィック特性は、例えば、所定時間内の平均トラヒック量や、通信間隔である。
　上記のように、デバイス特徴量として様々な種類を用意することができるが、デバイス特徴量は、デバイス特徴量抽出部１－１，１－２が、デバイス１０－１～１０－３から信号を受信した時点の量となる。図２には、様々な値をとるデバイス特徴量Param1,2,3についての各受信時刻の値が例示されている。デバイス特徴量抽出部１－１，１－２によるデバイス特徴量の定期的な抽出とは、所定期間に亘って、任意の受信時刻ごとの複数のデバイス特徴量を取得することを意味する。
　IoTデバイスの種類に応じて、扱う通信プロトコルやデータ取得方法、デバイス特徴量の抽出方法は異なるため、デバイス特徴量抽出部１－１，１－２は、各種プロトコルごとに用意することが好ましい。図１の例では、デバイス特徴量抽出部１－１が扱う通信プロトコルは、デバイス１０－１，１０－２で用いられている通信プロトコルである。また、デバイス特徴量抽出部１－２が扱う通信プロトコルは、デバイス１０－３で用いられている通信プロトコルである。デバイス特徴量抽出部１－１，１－２の数は２に限らず、３以上でもよいし、１でもよい。なお、本実施形態において、デバイス１０－１～１０－３の数は３に限らず、４以上でもよいし、２以下でもよい。
　デバイス特徴量抽出部１－１，１－２は、ローカルネットワーク環境内にゲートウェイとして実装することができる。このような実装により、デバイス特徴量抽出部１－１，１－２は、ＭＡＣフレーム等の低レイヤ情報も取得し、デバイス特徴量として抽出することができる。
　変化パターン生成部２は、デバイス特徴量抽出部１－１，１－２が定期的に抽出したデバイス特徴量に対して、デバイスごとの変化パターンを生成する。これらの変化パターンは、時刻ごとに変化するデバイス特徴量の種類ごとに用意される。変化パターン生成部２には、変化パターンの算出ロジックが組み込まれている。算出ロジックについては、デバイス特徴量ごとの特性に応じて様々なロジックが利用可能であり、本実施形態では、特定のロジックに限定しない。一例として、時刻ごとに異なる値をとり得るデバイス特徴量に対しては、変化パターンの算出ロジックとして、傾きａ、切片ｂの一次関数で表現する時間変化の近似式を用いることができる。
　変化パターン生成部２は、デバイス特徴量ごとに生成した変化パターンを、個体未特定の不明デバイスの変化パターンとしてデバイス類似度算出部３に出力する。
　デバイス類似度算出部３は、不明デバイスの変化パターンを、変化パターンＤＢ４に格納されている変化パターンと照合し、個体を特定する。変化パターンＤＢ４は、ネットワーク環境内の既知デバイスから過去に収集した変化パターンを格納するデータベースである。例えば、図３に示すように、変化パターンＤＢ４は、既知デバイスのデバイスＩＤと、既存デバイスのデバイス種別と、既存デバイスのデバイス機種と、既存デバイスのデバイス名と、既知デバイスのデバイス特徴量と、当該デバイス特徴量から生成される変化パターンとを対応付けて格納している。
　デバイス種別とは、デバイスの種類を決定する分類手段であり、例えば、カメラ、スピーカー、プリンタ、スマートフォン、パソコンといった機能に対応する大分類を行う手段である。デバイス種別を、単に、「種別」と呼ぶ場合がある。
　デバイス機種とは、デバイスの規格を決定する分類手段であり、同じ種類のデバイス群を規格別に区別する手段である。デバイス機種は、デバイスの小分類を行うことを可能にする。デバイス機種を、単に、「機種」と呼ぶ場合がある。例えば、カメラの機種を、「Ａ社製の型番ｘｘ」と表現し、カメラを分類することができる。
　デバイス名とは、デバイスに付された製品名である。製品名は、機種ごとに付される。よって、デバイス名の分類の粒度は、デバイス機種の分類の粒度と同じである。本実施形態では、製品名を機種の一表現として扱う。
　変化パターンＤＢ４に格納する値が不明である場合、ブランクにする。例えば、図３に示すように、デバイス種別やデバイス機種が不明である場合、ブランクを象徴する「未知」という値が格納される。
　図１に戻り、デバイス類似度算出部３は、不明デバイスのデバイス特徴量ごとに、不明デバイスの変化パターンと既存デバイスの変化パターンとのパターン類似度を算出する。パターン類似度の具体的な算出式は、デバイス特徴量ごとの特性に応じて様々な算出式が利用可能であり、本実施形態では、特定の算出式に限定しない。一例として、先述した、傾きａ、切片ｂの一次関数で表現する時間変化の近似式を求めた場合には、デバイス特徴量ごとのパターン類似度ｓｉは、以下の式１を用いて求めることができる。
　ｓｉ　＝　0.5×Δａ　＋　0.5×Δｂ
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　・・・（式１）
　ここで、ｓｉは、ｉ番目のデバイス特徴量についてのパターン類似度である。ｉは、１からｎまでの自然数である。ｎは、不明デバイスから抽出したデバイス特徴量の種類の数である。
　Δａは、ｉ番目のデバイス特徴量について、不明デバイスの変化パターンから得られる傾きと、既知デバイスの変化パターンから得られる傾きとの差分の絶対値を、０～１に収まるように正規化した値である。
　Δｂは、ｉ番目のデバイス特徴量について、不明デバイスの変化パターンから得られる切片と、既知デバイスの変化パターンから得られる切片との差分の絶対値を、０～１に収まるように正規化した値である。
　式１によれば、ｓｉは、０～１の値をとる。デバイス類似度算出部３は、式１を用いて、不明デバイスから抽出したデバイス特徴量の種類ごと、かつ、既知デバイスごとにパターン類似度を算出する。なお、不明デバイスの変化パターンに係るデバイス特徴量と同じ種類のデバイス特徴量が、既知デバイスから抽出されておらず、対応する変化パターンが存在しない場合には、便宜上、そのデバイス特徴量についてのパターン類似度は０とみなしてもよい。
　デバイス類似度算出部３は、算出したパターン類似度を用いて、不明デバイスと既知デバイスとの間のデバイス類似度を算出することができる。デバイス類似度の算出の際、デバイス類似度算出部３は、以下に示すように、パターン類似度の各々に付与する重みを算出することができる。
　デバイスの個体識別に用いるデバイス特徴量の変化は、複数の個体間で重複しないユニークなものであるほどよい。例えば、モバイル端末が多い環境では、デバイスの移動によるデバイス位置の変化パターンは、複数のデバイスに重複して発生する変化パターンであり、個体を識別するにあたり参考にならないパラメータである（デバイスの移動は、デバイスごとにランダムであって、デバイス固有の位置変化が極めて生じにくい）。
　また同様に、同一機種の多数デバイスに対するソフトウェアアップデートが一定周期で同時に実行される環境においては、ダウンロードに関する通信特性の変化パターンは、個体を識別するにあたり参考にならない変化パターンである。
　仮に、デバイスから取得可能なデバイス特徴量の種類の数が少なかった場合、すべてのデバイス特徴量変化を均一に扱うと、デバイス類似度が大きな既知デバイスが多数検出されてしまい、識別精度の低下を招く可能性がある。そこで、本実施形態では、変化パターンＤＢ４が保持する変化パターンに対して、各デバイス特徴量の変化の分散を評価する。そして、デバイス特徴量の分散が大きいほど、そのデバイス特徴量に大きな重みを付与するように設計する。このような設計により、デバイス特徴量変化がユニークであるほど、そのデバイス特徴量が、デバイス類似度の算出に大きく寄与するように調整することができる。
　例えば、パターン類似度の各々に付与する重みｋｉは、以下の式２を用いて求めることができる。
　ｋｉ　＝　ｖｉ／（Σｖｉ）
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　・・・（式２）
　ここで、ｖｉは、ｉ番目のデバイス特徴量についての分散値を、０～１に収まるように正規化した値である。ｉは、１からｎまでの自然数である。ｎは、不明デバイスから抽出したデバイス特徴量の種類の数である。Σｖｉは、ｎ個のｖｉの総和である。
　ｋｉは、ｉ番目のデバイス特徴量についての重みである。式２によれば、ｎ種類すべてのデバイス特徴量に対する重みの和は１（Σｋｉ＝１）となる。
　デバイス類似度算出部３は、デバイス特徴量ごとに、変化パターンＤＢ４に格納されているすべての変化パターンに対して、パターン類似度を求める。また、デバイス類似度算出部３は、式２を用いて、求めたパターン類似度に、分散値の大きさを元にした重みを割り振る。
　デバイス類似度算出部３は、例えば、デバイス特徴量ごとのパターン類似度を求め、そのパターン類似度に重みを乗じて総合することで、不明デバイスと、各既知デバイスとのデバイス類似度をそれぞれ算出する。デバイス類似度Ｓの算出式は、例えば、以下の式３のようになる。
　Ｓ＝Σ（ｋｉ＊ｓｉ）
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　・・・（式３）
　式１～式３によれば、デバイス類似度Ｓは０～１の値をとる。
　デバイス類似度算出部３は、式３によって算出したデバイス類似度のうちの最大値を選び出し、その最大値が所定の閾値（第１の閾値）以上である場合、識別対象デバイス、つまり、不明デバイスを、その最大値を示す既知デバイスと識別する。所定の閾値以上となるデバイス類似度が存在しない場合には、不明デバイスを、ネットワークに接続された新規デバイスと判定する。所定の閾値は、例えば、システム利用者が予め設定することができる。
　デバイス類似度算出部３は、不明デバイスに対する識別結果を、デバイスＤＢ５および変化パターンＤＢ４に反映し、デバイスＤＢ５および変化パターンＤＢ４を更新する。デバイスＤＢ５は、デバイス識別装置１００が識別済みの既知デバイスの状態を管理するデータベースである。図４には、デバイスＤＢ５において、既知デバイスのデバイスＩＤと、状態を示す値との対応付けが図示されている。図４に示すように、既知デバイスの状態の具体例として、ネットワーク接続用のアクセスポイント、インストールされているソフトウェア、オンライン状態がある。既知デバイスの状態の他の具体例として、既知デバイスの設置場所（例えば、緯度、経度で表示）がある。
　不明デバイスが既知デバイスである場合、デバイス類似度算出部３は、不明デバイスの識別結果として、当該不明デバイスの最新状態をデバイスＤＢ５に記録する。不明デバイスが新規デバイスである場合、デバイス類似度算出部３は、不明デバイスの識別結果として、当該不明デバイスの状態を示すデバイス情報をデバイスＤＢ５に追加する。ここで、デバイス識別装置１００がデバイスＤＢ５に記録する不明デバイスの状態は、変化パターン生成部２およびデバイス類似度算出部３による上記した識別過程で得られた情報であってもよいし、識別後に識別対象デバイス（元不明デバイス）にアクセスして取得した情報であってもよい。
　また、デバイス類似度算出部３は、不明デバイスの識別結果として、不明デバイスの識別過程において変化パターン生成部２が生成した変化パターンを変化パターンＤＢ４に登録する。不明デバイスが既知デバイスである場合、デバイス類似度算出部３は、変化パターンＤＢ４中の該当の既知デバイスの変化パターンを、変化パターン生成部２が生成した変化パターンに置き換えて、変化パターンＤＢ４を更新する。不明デバイスが新規デバイスである場合、デバイス類似度算出部３は、変化パターンＤＢ４に新規デバイスの変化パターンを追加して、変化パターンＤＢ４を更新する。
　機種特定部６は、不明デバイスから受信した信号から、不明デバイスの機種を特定する。デバイスによっては、通信情報（信号に相当）から機種を特定できるものがある。例えば、MACアドレスの前半24ビットからNIC（Network Interface Card）ベンダを特定し、HTTPリクエストのUser-Agentヘッダの情報からOSやアプリケーションを特定していくなどをし、特定した各種情報を組み合わせることで、製品名を特定できることがある。機種特定部６は、ヘッダと製品名の対応を記述したデータベース（例えば、辞書データや市中データベース）と連携することで、デバイス機種を特定する。ヘッダから製品名を特定する技術やデータベースは、既知技術であり、詳細な説明は省略する。
　例えば、デバイス類似度算出部３がデバイス類似度を算出する前に、機種特定部６が不明デバイスから受信した信号からヘッダ情報を分析して不明デバイスの機種を特定することができる。機種特定部６が機種を特定できた場合、デバイス類似度算出部３は、変化パターンＤＢ４中のデータのうち、特定した機種に該当するデータのみに対象を限定してデバイス類似度を算出する。
　具体的には、機種特定部６は、特定した機種を示す機種情報をデバイス類似度算出部３に出力する。次に、デバイス類似度算出部３は、機種情報をキーにして変化パターンＤＢ４を参照し、機種情報が示す機種に該当するレコードの変化パターンのみを抽出し、デバイス類似度算出範囲を限定する。最後に、デバイス類似度算出部３は、変化パターン生成部２が生成した変化パターンと、抽出した変化パターンとを用いてデバイス類似度を算出する。
　一方、ヘッダ情報の分析等ができず、機種特定部６が不明デバイスの機種を特定することができなかった場合、デバイス類似度算出部３は、変化パターンＤＢ４中のデータのすべてを対象にしてデバイス類似度を算出する。具体的には、不明デバイスの機種を未知とし、機種特定部６は、未知機種を示す機種情報をデバイス類似度算出部３に出力する。次に、デバイス類似度算出部３は、変化パターンＤＢ４に格納されているすべての変化パターンを抽出し、デバイス類似度算出範囲を限定することはなく、変化パターン生成部２が生成した変化パターンとの間でデバイス類似度を算出する。
　デバイス類似度算出部３は、デバイス類似度を算出し、識別が終了した不明デバイスについて、既に説明した処理と同様にして、不明デバイスに対する識別結果を、デバイスＤＢ５および変化パターンＤＢ４に反映し、デバイスＤＢ５および変化パターンＤＢ４を更新する。機種特定部６が機種を特定できていた場合、変化パターンＤＢ４のデバイス機種の欄に当該特定した機種が格納される。機種特定部６が機種を特定できていなかった場合、変化パターンＤＢ４のデバイス機種の欄に未知が格納される。
　種別類似度算出部７は、不明デバイスの種別を判定するための専用のデバイス類似度となる種別類似度を算出する。種別類似度は、例えば、不明デバイスのデバイス特徴量ごとに、不明デバイスの変化パターンと、種別単位で固有であり仮想的に設けた種別判定用デバイスの変化パターンとの間で算出されたパターン類似度を用いて算出される。パターン類似度の算出方法や、種別類似度としてのデバイス類似度の算出方法は、既に説明した算出方法に従う。例えば、種別単位の種別判定用デバイスの変化パターンは、変化パターンＤＢ４に格納することができる。
　また、種別類似度は、例えば、不明デバイスのデバイス特徴量ごとに、不明デバイスの変化パターンと、変化パターンＤＢ４が同じ種別として管理しているすべての既知デバイスの変化パターンとの間で算出されたパターン類似度を用いて、種別ごとに算出される、としてもよい。この場合、同じ種別に対して複数個の種別類似度が算出されるが、例えば、算出された複数個の種別類似度のうち最適な１つを選び、当該種別の種別類似度としてもよいし、算出された複数個の種別類似度の平均値を、当該種別の種別類似度としてもよい。
　種別類似度算出部７は、変化パターン生成部２が生成した、不明デバイスの変化パターンに対して、種別ごとに種別類似度を算出する。種別類似度算出部７は、算出した、種別ごとの種別類似度のうちの最大値を選び出し、その最大値が所定の閾値（種別閾値：第２の閾値）以上である場合、不明デバイスの種別を、その最大値を示す種別判定用デバイスの種別と識別する。種別閾値は、例えば、システム利用者が予め設定することができる。
　種別類似度算出部７は、不明デバイスの種別を含む識別結果を、デバイスＤＢ５および変化パターンＤＢ４に反映し、デバイスＤＢ５および変化パターンＤＢ４を更新する。なお、所定の閾値以上となる種別類似度が存在しない場合には、種別類似度算出部７は、種別が特定できないとし、不明デバイスの種別を未知種別と判定する。種別が特定できなかった場合、変化パターンＤＢ４のデバイス種別の欄に未知が格納される。
　不明デバイスの種別を判定する際、変化パターンＤＢ４には、デバイス種別ごとに最低１つ以上の変化パターンが格納されている必要がある。本実施形態は、変化パターンＤＢ４の初期構築の方法については特に限定しないが、例えば、不明デバイスが発見された際に管理者が手動で命名を行う仕組みを取り入れることで、特別なデータ投入処理を行うことなく、以降の不明デバイスの種別の判定を実現することができる。識別対象デバイス数が増加していくにつれ、変化パターンＤＢ４のデータが増加し、デバイス種別の判定精度の向上に資する。
　なお、不明デバイスの種別の識別は、既に説明した、不明デバイスの個体識別の処理と並行して行うことができる。
　種別も機種も、デバイスを分類する手段であるが、本実施形態では、種別は、機種の上位の概念として扱う。よって、機種特定部６が、ある不明デバイスの機種を特定できた場合、その不明デバイスの種別も自動的に特定することができる。当該不明デバイスが新規デバイスであった場合、変化パターンＤＢ４には、変化パターンとともに、機種も種別も関連付けて格納される。
　また、不明デバイスについて、機種特定部６が機種を特定することができなかった（したがって、種別も特定できなかった）ものの、種別類似度算出部７による判定で種別は特定できた場合、変化パターンＤＢ４には、変化パターンとともに、種別は関連付けて格納され、機種は未知として格納される。
≪処理≫
　次に、デバイス識別装置１００が実行するデバイス識別処理について説明する。ここでは、デバイス特徴量抽出部１－１が不明デバイスから信号を取得する場合について説明する。
　ます、デバイス識別装置１００は、デバイス特徴量抽出部１－１によって、不明デバイスから受信した信号から、不明デバイスのデバイス特徴量を定期的に抽出する（ステップＳ１）。
　次に、デバイス識別装置１００は、変化パターン生成部２によって、不明デバイスから抽出したデバイス特徴量の変化パターンを生成する（ステップＳ２）。
　次に、デバイス識別装置１００は、機種特定部６によって、不明デバイスから受信した信号を解析して、不明デバイスの機種を特定できたか否かを判定する（ステップＳ１０）。
　不明デバイスの機種を特定できなかった場合（ステップＳ１０／Ｎｏ）、デバイス識別装置１００は、デバイス類似度算出部３によって、不明デバイスの変化パターンと、変化パターンＤＢ４に格納されている、既知デバイスの変化パターンの各々とのパターン類似度を算出する（ステップＳ３）。このパターン類似度の算出は、変化パターンＤＢ４に格納されているすべての既知デバイスを対象にして実行される。
　次に、デバイス識別装置１００は、デバイス類似度算出部３によって、算出したパターン類似度を用いて、不明デバイスと既知デバイスの各々との間のデバイス類似度をそれぞれ算出する（ステップＳ４）。このデバイス類似度の算出は、変化パターンＤＢ４に格納されているすべての既知デバイスを対象にして実行される。ステップＳ４によって、算出された複数のデバイス類似度の最大値、および、デバイス類似度が最大値を示す既知デバイスが特定される。
　次に、デバイス識別装置１００は、デバイス類似度算出部３によって、算出されたデバイス類似度の最大値が、所定の閾値以上であるか否かを判定する（ステップＳ５）。閾値以上である場合（ステップＳ５／Ｙｅｓ）、デバイス識別装置１００は、デバイス類似度算出部３によって、不明デバイスを、デバイス類似度が最大値を示す既知デバイスと識別する（ステップＳ６）。一方、閾値以上でない場合（ステップＳ５／Ｎｏ）、デバイス識別装置１００は、デバイス類似度算出部３によって、不明デバイスを、ネットワークに接続された新規デバイスと判定する（ステップＳ７）。
　次に、デバイス識別装置１００は、デバイス類似度算出部３によって、デバイス類似度が最大値を示す既知デバイス、または、新規デバイスと判定された識別対象デバイス（元不明デバイス）の識別結果をデバイスＤＢ５に登録して、デバイスＤＢ５を更新する（ステップＳ８）。
　次に、デバイス識別装置１００は、デバイス類似度算出部３によって、識別対象デバイスの変化パターンを変化パターンＤＢ４に登録して、変化パターンＤＢ４を更新する（ステップＳ９）。更新後、デバイス識別処理が終了する。
　一方、不明デバイスの機種を特定できた場合（ステップＳ１０／Ｙｅｓ）、デバイス識別装置１００は、デバイス類似度算出部３によって、不明デバイスの変化パターンと、変化パターンＤＢ４に格納されている、既知デバイスの変化パターンの各々とのパターン類似度を算出する（ステップＳ１１）。このパターン類似度の算出は、変化パターンＤＢ４に格納されている既知デバイスのうち、特定された機種と同一機種の既知デバイスを対象にして実行される。
　次に、デバイス識別装置１００は、デバイス類似度算出部３によって、算出したパターン類似度を用いて、不明デバイスと既知デバイスの各々との間のデバイス類似度をそれぞれ算出する（ステップＳ１２）。このデバイス類似度の算出は、変化パターンＤＢ４に格納されている既知デバイスのうち、特定された機種と同一機種の既知デバイスを対象にして実行される。ステップＳ１２によって、算出された複数のデバイス類似度の最大値、および、デバイス類似度が最大値を示す同一機種の既知デバイスが特定される。
　その後、デバイス識別装置１００は、特定された既知デバイスを用いて、不明デバイスに対して、既に説明した、ステップＳ５～Ｓ９の処理が行われ、デバイス識別処理が終了する。
　また、不明デバイスの機種を特定できなかった場合（ステップＳ１０／Ｎｏ）、デバイス識別装置１００は、ステップＳ３の処理と並行して、種別類似度算出部７によって、不明デバイスの変化パターンに対して、種別ごとに種別類似度を算出する（ステップＳ１３）。ステップＳ１３によって、種別ごとに算出された種別類似度の最大値が特定される。
　次に、デバイス識別装置１００は、種別類似度算出部７によって、算出された種別類似度の最大値が、所定の種別閾値以上であるか否かを判定する（ステップＳ１４）。種別閾値以上である場合（ステップＳ１４／Ｙｅｓ）、デバイス識別装置１００は、種別類似度算出部７によって、不明デバイスの種別を、種別類似度が最大値を示す種別と判定する（ステップＳ１５）。一方、種別閾値以上でない場合（ステップＳ１４／Ｎｏ）、デバイス識別装置１００は、種別類似度算出部７によって、不明デバイスの種別を、未知種別と判定する（ステップＳ１６）。
　その後、デバイス識別装置１００は、種別が判定された、または、未知種別と判定された不明デバイスについて、既に説明した、デバイスＤＢ５の更新（ステップＳ８）、および、変化パターンＤＢ４の更新（ステップＳ９）が行われ、デバイス識別処理が終了する。
　本実施形態によれば、各デバイスに固有に現れるデバイス特徴量の変化パターンを用いてデバイスを識別する。つまり、デバイス特徴量そのものを用いてデバイスを識別するわけではないので、各デバイスのデバイス特徴量ごとの特性がどのようなものであってもデバイス識別処理を実行することができる。また、デバイス特徴量の種類は多種多数存在するが、本実施形態では、デバイス特徴量の変化パターンに注目するので、デバイス特徴量の種類がどのようなものであってもデバイス識別処理を実行することができる。
　したがって、ネットワークに接続されているあらゆるデバイスを識別することができる。
　なお、本実施形態は、従来技術のように、IMEI対応などの専用のハードウェアを不要とし、これまでに説明したように、ソフトウェアの機能だけで実現可能である。また、デバイスに対して、従来技術のEAP-TLSプロトコルなどの特殊なプロトコルを扱えることを要求することもないため、本実施形態を適用可能なデバイスは特に制限されない。
　また、デバイス特徴量ごとにパターン類似度を重み付けすることで、デバイス特徴量変化がユニークであるほどデバイス類似度の算出に大きく寄与するように調整することができる。これにより、デバイスの識別の精度を向上させることができる。
　また、変化パターン生成部２が生成した変化パターンを用いて、変化パターンＤＢ４中の、該当の既知デバイスの変化パターンを更新するため、該当の既知デバイスの変化パターンを常に最新状態にすることができる。これにより、以降の不明デバイスの識別に対して、最新状態の変化パターンを利用することができ、古い変化パターンを用いたことに起因するデバイスの識別の誤りを回避することができる。
　また、本実施形態によれば、不明デバイスの機種を事前に特定することで、不明デバイスと変化パターンを照合する既知デバイスを絞り込み、デバイス類似度の算出範囲を限定することができる。
　したがって、ネットワークに接続されているデバイスの識別の処理負荷の増大を抑制することができる。
　また、不明デバイスの機種は特定することができなくても、少なくとも不明デバイスの種別は判定することで、不明デバイスの変化パターンをデータベースに格納させることができる。よって、変化パターンのデータベースを拡張させることができ、以降のデバイスの識別における、デバイス種別の判定精度を向上させることができる。
≪その他≫
　以上、本発明の実施形態について説明したが、本発明は上記実施形態に限定されず、本発明の要旨を逸脱しない範囲で適宜変更可能である。
（ａ）例えば、不明デバイスから抽出したデバイス特徴量ごとのパターン類似度ｓｉの算出において、式１のように、時間変化の近似式を一次関数で表現する代わりに、例えば、ｎ次関数（ｎは２以上の自然数）で表現してもよい。
（ｂ）また、例えば、デバイス類似度Ｓの算出において、式３のように、重みが割り振られたパターン類似度の総和を求める代わりに、例えば、重みが割り振られたパターン類似度の総乗を求めてもよい。
　また、上記各実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上述文書中や図面中に示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
　また、上記の各構成、機能、処理部、処理手段等は、それらの一部または全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行するためのソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、または、ＩＣ（Integrated Circuit）カード、ＳＤ（Secure Digital）カード、光ディスク等の記録媒体に保持することができる。また、本明細書において、時系列的な処理を記述する処理ステップは、記載された順序に沿って時系列的に行われる処理はもちろん、必ずしも時系列的に処理されなくとも、並列的あるいは個別に実行される処理（例えば、並列処理あるいはオブジェクトによる処理）をも含むものである。
　本実施形態で説明した種々の技術を適宜組み合わせた技術を実現することもできる。
　本実施形態で説明したソフトウェアをハードウェアとして実現することもでき、ハードウェアをソフトウェアとして実現することもできる。
　その他、ハードウェア、ソフトウェア、フローチャートなどについて、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。
　１００　デバイス識別装置
　１－１，１－２　デバイス特徴量抽出部
　２　　　変化パターン生成部
　３　　　デバイス類似度算出部
　４　　　変化パターンＤＢ
　５　　　デバイスＤＢ
　６　　　機種特定部
　７　　　種別類似度算出部
　１０－１～１０－３　デバイス

Claims (4)

  1. 　ネットワークに接続されている不明デバイスを識別するデバイス識別装置であって、
    　前記不明デバイスから受信する信号から前記不明デバイスのデバイス特徴量を定期的に抽出するデバイス特徴量抽出部と、
    　前記不明デバイスから受信する信号から前記不明デバイスの機種を特定する機種特定部と、
    　前記抽出したデバイス特徴量の変化パターンを生成する変化パターン生成部と、
    　前記生成した変化パターンを、前記デバイス識別装置の記憶部が記憶する、複数種類の既知デバイスのうち前記特定した機種に該当する既知デバイスの変化パターンと照合することで、前記不明デバイスと前記特定した機種に該当する既知デバイスの各々との間のデバイス類似度をそれぞれ算出し、
    　前記算出したデバイス類似度のうちの最大値が第１の閾値以上である場合、前記不明デバイスを、前記最大値を示す既知デバイスと識別するデバイス類似度算出部と、を備える、
    　ことを特徴とするデバイス識別装置。
  2. 　前記機種特定部が前記不明デバイスの機種を特定することができなかった場合に、
    　前記不明デバイスの変化パターンに対して、デバイスの種別ごとに種別類似度を算出し、
    　前記算出した種別類似度のうちの最大値が第２の閾値以上である場合、前記不明デバイスの種別を、前記最大値を示す種別と判定する種別類似度算出部、を備える、
    　ことを特徴とする請求項１に記載のデバイス識別装置。
  3. 　ネットワークに接続されている不明デバイスを識別するデバイス識別装置におけるデバイス識別方法であって、
    　前記デバイス識別装置が、
    　前記不明デバイスから受信する信号から前記不明デバイスのデバイス特徴量を定期的に抽出するステップと、
    　前記不明デバイスから受信する信号から前記不明デバイスの機種を特定するステップと、
    　前記抽出したデバイス特徴量の変化パターンを生成するステップと、
    　前記生成した変化パターンを、前記デバイス識別装置の記憶部が記憶する、複数種類の既知デバイスのうち前記特定した機種に該当する既知デバイスの変化パターンと照合することで、前記不明デバイスと前記特定した機種に該当する既知デバイスの各々との間のデバイス類似度をそれぞれ算出するステップと、
    　前記算出したデバイス類似度のうちの最大値が第１の閾値以上である場合、前記不明デバイスを、前記最大値を示す既知デバイスと識別するステップと、を実行する、
    　ことを特徴とするデバイス識別方法。
  4. 　前記デバイス識別装置は、
    　前記不明デバイスの機種を特定するステップで特定することができなかった場合に、
    　前記不明デバイスの変化パターンに対して、デバイスの種別ごとに種別類似度を算出するステップと、
    　前記算出した種別類似度のうちの最大値が第２の閾値以上である場合、前記不明デバイスの種別を、前記最大値を示す種別と判定するステップと、を実行する、
    　ことを特徴とする請求項３に記載のデバイス識別方法。
PCT/JP2019/017140 2018-06-08 2019-04-23 デバイス識別装置およびデバイス識別方法 WO2019235090A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US16/973,137 US11288158B2 (en) 2018-06-08 2019-04-23 Device identification device and device identification method
JP2020523562A JP6930663B2 (ja) 2018-06-08 2019-04-23 デバイス識別装置およびデバイス識別方法
CN201980038995.1A CN112292671B (zh) 2018-06-08 2019-04-23 器件识别装置及器件识别方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018110116 2018-06-08
JP2018-110116 2018-06-08

Publications (1)

Publication Number Publication Date
WO2019235090A1 true WO2019235090A1 (ja) 2019-12-12

Family

ID=68770003

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/017140 WO2019235090A1 (ja) 2018-06-08 2019-04-23 デバイス識別装置およびデバイス識別方法

Country Status (4)

Country Link
US (1) US11288158B2 (ja)
JP (1) JP6930663B2 (ja)
CN (1) CN112292671B (ja)
WO (1) WO2019235090A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019062248A (ja) * 2017-09-22 2019-04-18 東芝テック株式会社 制御装置及び制御方法

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114615020B (zh) * 2022-02-15 2023-05-26 中国人民解放军战略支援部队信息工程大学 基于特征约减和动态加权的网络设备快速识别方法及系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011059873A (ja) * 2009-09-08 2011-03-24 Mitsubishi Electric Corp 監視装置、監視方法および監視プログラム
JP2018505477A (ja) * 2015-01-06 2018-02-22 サムスン エレクトロニクス カンパニー リミテッド センサー情報の処理方法及び装置

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5274769B2 (ja) * 2006-12-25 2013-08-28 株式会社東芝 機器使用状況管理システム
US20130281062A1 (en) * 2011-10-21 2013-10-24 Point Inside, Inc. Identify a radio frequency device by mac address system and method
US8955075B2 (en) * 2012-12-23 2015-02-10 Mcafee Inc Hardware-based device authentication
US8850543B2 (en) * 2012-12-23 2014-09-30 Mcafee, Inc. Hardware-based device authentication
AU2013100355B4 (en) * 2013-02-28 2013-10-31 Netauthority, Inc Device-specific content delivery
CN104252428B (zh) * 2013-06-28 2017-12-29 华为终端（东莞）有限公司 设备识别方法及设备
JP6332937B2 (ja) * 2013-10-23 2018-05-30 キヤノン株式会社 画像処理装置、画像処理方法及びプログラム
US9721212B2 (en) * 2014-06-04 2017-08-01 Qualcomm Incorporated Efficient on-device binary analysis for auto-generated behavioral models
US10440016B2 (en) * 2014-12-09 2019-10-08 Duo Security, Inc. System and method for applying digital fingerprints in multi-factor authentication
US20160182657A1 (en) * 2014-12-17 2016-06-23 Sharethis, Inc. Apparatus and method of user identification across multiple devices
US9558053B1 (en) * 2015-06-26 2017-01-31 Amazon Technologies, Inc. Computer systems monitoring using beat frequency analysis
GB2578930B (en) * 2015-08-14 2020-08-19 Ack Ventures Holdings Llc System and method for improved identification of a mobile device
US11575725B2 (en) * 2015-12-29 2023-02-07 Verizon Patent And Licensing Inc. Content delivery network streaming optimization
US10069834B2 (en) * 2016-04-18 2018-09-04 Verizon Patent And Licensing Inc. Using mobile devices as gateways for internet of things devices
WO2018013439A1 (en) * 2016-07-09 2018-01-18 Grabango Co. Remote state following devices
US9699529B1 (en) * 2017-02-22 2017-07-04 Sense Labs, Inc. Identifying device state changes using power data and network data
US10862885B2 (en) * 2017-03-20 2020-12-08 Forescout Technologies, Inc. Device identification
US11146414B2 (en) * 2017-05-15 2021-10-12 The Nielsen Company (Us), Llc Methods and apparatus to locate unknown media devices
US10375667B2 (en) * 2017-12-07 2019-08-06 Cisco Technology, Inc. Enhancing indoor positioning using RF multilateration and optical sensing
US20190288852A1 (en) * 2018-03-15 2019-09-19 Ca, Inc. Probabilistic device identification

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011059873A (ja) * 2009-09-08 2011-03-24 Mitsubishi Electric Corp 監視装置、監視方法および監視プログラム
JP2018505477A (ja) * 2015-01-06 2018-02-22 サムスン エレクトロニクス カンパニー リミテッド センサー情報の処理方法及び装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
OHASHI , TAKAHIRO: "Context information Sharing Method in Wireless Sensor network", PROCEEDINGS OFTHE 72ND NATIONAL CONVENTION, 1 March 2010 (2010-03-01), pages 477 - 478 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019062248A (ja) * 2017-09-22 2019-04-18 東芝テック株式会社 制御装置及び制御方法
JP7130361B2 (ja) 2017-09-22 2022-09-05 東芝テック株式会社 制御装置及び制御方法

Also Published As

Publication number Publication date
JP6930663B2 (ja) 2021-09-01
US11288158B2 (en) 2022-03-29
CN112292671B (zh) 2023-08-25
US20210255943A1 (en) 2021-08-19
JPWO2019235090A1 (ja) 2021-01-07
CN112292671A (zh) 2021-01-29

Similar Documents

Publication Publication Date Title
US11316851B2 (en) Security for network environment using trust scoring based on power consumption of devices within network
US10855715B2 (en) Method for predicting security risks of assets on a computer network
EP3841730B1 (en) Identifying device types based on behavior attributes
Noguchi et al. Device identification based on communication analysis for the internet of things
US20140165198A1 (en) System and method for malware detection using multidimensional feature clustering
US20220329591A1 (en) Method, apparatus and device for generating device fingerprint and storage medium
EP3945739A1 (en) Non-intrusive / agentless network device identification
JP6770454B2 (ja) 異常検知システム及び異常検知方法
US11522916B2 (en) System and method for clustering networked electronic devices to counter cyberattacks
WO2019235090A1 (ja) デバイス識別装置およびデバイス識別方法
US20220092087A1 (en) Classification including correlation
CN115039379A (zh) 使用分类器层级确定设备属性的系统和方法
US11777807B2 (en) Fingerprint determination for network mapping
JP6730969B2 (ja) デバイス識別装置およびデバイス識別方法
Malik et al. Using network traffic to verify mobile device forensic artifacts
US11570187B1 (en) Detection of cyberattacks and operational issues of internet of things devices
US20170265053A1 (en) Method and Apparatus for Discovering Network Devices
US20230106935A1 (en) Network probe placement optimization
JP2019029798A (ja) 異常検知システム及び異常検知方法
CN113381891A (zh) 物联网配置信息处理方法
WO2020075662A1 (ja) データ分類装置、データ分類方法、および、データ分類プログラム
Zhang et al. BLS-identification: a device fingerprint classification mechanism based on broad learning for internet of things
Dalai et al. A Device Fingerprinting Technique to Authenticate End-user Devices in Wireless Networks
CN116506149A (zh) 威胁行为谱表示方法及装置
US11223623B1 (en) Method, apparatus and non-transitory processor-readable storage medium for providing security in a computer network

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19815541

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020523562

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19815541

Country of ref document: EP

Kind code of ref document: A1