WO2020004489A1 - 通信システム及び通信方法 - Google Patents

通信システム及び通信方法 Download PDF

Info

Publication number
WO2020004489A1
WO2020004489A1 PCT/JP2019/025447 JP2019025447W WO2020004489A1 WO 2020004489 A1 WO2020004489 A1 WO 2020004489A1 JP 2019025447 W JP2019025447 W JP 2019025447W WO 2020004489 A1 WO2020004489 A1 WO 2020004489A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
model
learning
host
test
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2019/025447
Other languages
English (en)
French (fr)
Inventor
南　拓也
友康 佐藤
直人 藤木
中津留　毅
雅巳 泉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to US17/252,740 priority Critical patent/US11805142B2/en
Publication of WO2020004489A1 publication Critical patent/WO2020004489A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • the present invention relates to a communication system and a communication method.
  • an ICT environment for example, in an environment where all objects represented by the IoT (Internet of Things) are connected to a network, many devices targeted for cyber attacks are attacked via the network. For this reason, monitoring communication flowing through the network is effective as a security measure, and applying an anomaly detection method to network communication monitoring is a more effective method.
  • IoT Internet of Things
  • the current trend is to learn the definition of the normal state, and when applying the anomaly detection method to network communication monitoring, the normal state of the communication group flowing through the network is learned. Use the defining method.
  • a learning phase the period during which communication flowing in a network defined as a normal state is learned as communication in a normal state
  • the communication flowing through the network after learning is completed are the same as those in the learned state.
  • Two phases are provided: a period in which it is detected that there is an abnormality when there is no identification (hereinafter, a detection phase).
  • a detection phase a period in which it is detected that there is an abnormality when there is no identification
  • the data expressing the normal state generated in the learning phase is represented by a value or a character string such as a communication destination or a protocol in the case of communication flow information.
  • data representing a normal state is represented by a mathematical model (a collection of mathematical expressions and parameters) as long as communication characteristics are input to machine learning.
  • a model a collection of mathematical expressions and parameters
  • a network switch product having a whitelist function including a learning / detection function.
  • This network switch product learns (defined as a whitelist) each of the communication flows (communication destinations, protocols, etc.) of the traffic flowing through the network in the learning phase, and communicates differently from the normal ones in the detection phase. Anomaly detection of the flow is performed (see Non-Patent Document 1).
  • anomaly detection is performed by modeling a normal communication pattern of a device by machine learning mainly for IoT devices, defining this as a normal state, and identifying communication of a pattern that does not apply to the model. (See Non-Patent Document 2).
  • a learning phase is indispensable for realizing the above anomaly detection method.
  • the anomaly detection method if abnormal communication is mixed during the learning phase, the communication is learned as a part of a normal state, and the abnormal communication mixed in the subsequent detection phase cannot be detected. is there.
  • the anomaly detection method using learning means has a weak point that the learning phase is a fragile period.
  • the network is initially constructed based on the trusted devices, the learning phase is performed on that environment, and then the detection phase is shifted. Special arrangements for security are required.
  • Non-Patent Document 1 when the technique described in Non-Patent Document 1 is used, it is difficult to ensure that no abnormality is mixed during the learning phase when performing the re-learning, that is, it is difficult to ensure the soundness of the learning phase of the re-learning. There are issues.
  • Non-Patent Literature 2 In order to solve such a problem, a mechanism for monitoring individual devices as in the technology described in Non-Patent Literature 2 and performing a process of creating a normal state for each connected device can be performed during the learning phase by switching the phase of each device. The vulnerable period can be minimized for each device.
  • the technology described in Non-Patent Document 2 is not different from the technology described in Non-Patent Document 1 in that there is a problem that it is difficult to ensure soundness of a learning phase in re-learning.
  • Non-Patent Document 1 Even if an abnormality can be detected during the learning phase, whether the detection is due to a real abnormality or a normal is erroneously detected. If the learning phase is not analyzed unless it is determined whether or not the learning state is taken into a normal state, the learning phase cannot be advanced.
  • the present invention has been made in view of the above, and an object of the present invention is to provide a communication system and a communication method that more securely execute a learning phase when detecting abnormal communication.
  • a communication system is a communication system having a first network and a second network, wherein the first network is a first network.
  • a communication device a test device that transmits a test communication in a normal state to the first communication device and performs a communication test for receiving communication by the first communication device, and learns the test communication and the communication by the first communication device.
  • a first server device for generating an initial model for detecting abnormal communication of the first communication device and transmitting the initial model to the second network. While monitoring the communication of the second communication device using the second communication device of the same type as the device and the initial model received from the first server device, while learning the communication of the second communication device, Communication error of communication device A second server for generating a first model knowledge, and having.
  • the learning phase for detecting abnormal communication is executed more securely.
  • FIG. 1 is a diagram illustrating an example of a configuration of a communication system according to the first embodiment.
  • FIG. 2 is a block diagram showing an example of a configuration of the learning / detection server shown in FIG.
  • FIG. 3 is a diagram for explaining the flow of processing in the communication system shown in FIG.
  • FIG. 4 is a diagram schematically showing a state of communication and learning with the host in the staging network shown in FIG.
  • FIG. 5 is a diagram schematically showing a state of communication and monitoring with respect to the host in the operation network shown in FIG.
  • FIG. 6 is a sequence diagram illustrating a processing procedure of the communication processing according to the first embodiment.
  • FIG. 7 is a diagram schematically showing a state of communication and monitoring with respect to a host in a learning / detection server according to the related art.
  • FIG. 8 is a diagram illustrating a flow of a communication process according to the second embodiment.
  • FIG. 9 is a diagram illustrating a relationship between communication learned by the model and communication of the host.
  • FIG. 10 is a diagram schematically illustrating states of communication, learning, and monitoring with respect to a host in the staging network according to the second embodiment.
  • FIG. 11 is a diagram showing a relationship between communication learned by the model and communication of the host.
  • FIG. 12 is a diagram schematically illustrating states of communication, learning, and monitoring with respect to the host in the staging network according to the second embodiment.
  • FIG. 13 is a sequence diagram illustrating a processing procedure of communication processing according to the second embodiment.
  • FIG. 14 is a diagram illustrating a relationship between communication learned by the model and communication of the host.
  • FIG. 15 is a diagram illustrating a relationship between communication learned by the model and communication of the host.
  • FIG. 16 is a diagram schematically illustrating states of communication, learning, and monitoring with respect to the host in the operation network according to the third embodiment.
  • FIG. 17 is a sequence diagram illustrating a processing procedure of the communication processing according to the third embodiment.
  • FIG. 18 is a diagram illustrating communication monitoring and learning of over-detection communication in the related art.
  • FIG. 19 is a diagram illustrating communication monitoring and learning of over-detection communication according to the third embodiment.
  • FIG. 20 is a diagram illustrating an example of a computer that implements a learning / detection server by executing a program.
  • FIG. 1 is a diagram illustrating an example of a configuration of a communication system according to the first embodiment.
  • the communication system 100 has a staging network 1 (first network) and an operation network 2 (second network).
  • the operation network 2 is a system environment in which IoT devices and the like are actually operated.
  • the operation network 2 has hosts 5a, 5b, 5c (second communication devices) and a learning / detection server 8 (second server device).
  • the hosts 5a, 5b, 5c are communication devices such as IoT devices. Note that when the plurality of hosts 5a, 5b, 5c are collectively referred to without distinction, they are simply referred to as hosts 5.
  • the operation network 2 illustrated in FIG. 1 has three hosts 5a, 5b, and 5c, but the number of hosts 5 may be one or more.
  • the learning / detection server 9 detects an abnormality in communication between the hosts 5a, 5b, and 5c using a model that has learned normal communication.
  • the learning / detection server 9 learns normal communication and generates a model.
  • the learning / detection server 9 has the same function as the learning / detection server 8 (described later), and can exchange models.
  • the learning / detection server 9 monitors the communication of the hosts 5a, 5b, 5c using the initial model received from the learning / detection server 8, and learns the communication of 5a, 5b, 5c to monitor the communication of 5a, 5b, 5c.
  • a first model for detecting abnormal communication is generated for each of 5a, 5b, and 5c.
  • the staging network 1 is a system environment similar to the operation network 2, and is used for verification (for testing).
  • the staging network 1 has a host 4t (first communication device) of the same type as the host 5, a test execution server 3 (test device), and a learning / detection server 8 (first server device).
  • the test execution server 3 transmits a test communication in a normal state to the host 4t, which is a test device, and performs a communication test for receiving communication by the host 4t.
  • the learning / detection server 8 learns the test communication by the test execution server 3 and the communication generated from the host 4t, and generates an initial model for detecting the abnormal communication of the host 4t.
  • the learning / detection server 8 transmits the initial model to the learning / detection server 9.
  • the learning / detection server 8 of the staging network 1 and the model exchange between the learning / detection server 9 exchange the model of the staging network 1 with the learning / detection server 8 of the operation network 2.
  • the transfer to the detection server 9 is defined as import, and the reverse direction is defined as export.
  • an initial model is generated in advance using the host 4t of the same type as the host 5.
  • the pre-generated initial model is imported from the staging network 1 to the operation network 2.
  • FIG. 2 is a block diagram showing an example of a configuration of the learning / detection servers 8 and 9 shown in FIG.
  • the learning / detection servers 8 and 9 include a communication unit 11, a storage unit 12, and a control unit 13.
  • the communication unit 11 is a communication interface for transmitting and receiving various information to and from other devices connected via a network or the like.
  • the communication unit 11 is realized by an NIC (Network Interface Card) or the like, and performs communication between another device and a control unit 13 (described later) via a telecommunication line such as a LAN (Local Area Network) or the Internet.
  • the storage unit 12 is realized by, for example, a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory (Flash Memory), or a storage device such as a hard disk or an optical disk, and operates the learning / detection servers 8 and 9. A program, data used during execution of the processing program, and the like are stored.
  • the storage unit 12 has a model 121.
  • the model 121 is used to learn communication between the hosts 4t and 5 and detect abnormal communication between the hosts 4t and 5.
  • the model 121 includes arithmetic expressions and parameters used for detecting abnormal communication.
  • the control unit 13 controls the entire learning / detection servers 8 and 9.
  • the control unit 13 has an internal memory for storing a program that defines various processing procedures and the like and required data, and executes various processes by using these.
  • the control unit 13 is an electronic circuit such as a CPU (Central Processing Unit) or an MPU (Micro Processing Unit).
  • the control unit 13 also functions as various processing units when various programs operate.
  • the control unit 13 includes a learning unit 131, a monitoring / detecting unit 132, and a model transmitting / receiving unit 133.
  • the learning unit 131 captures communication between the hosts 4t and 5 and learns communication between the hosts 4t and 5 to generate a model or update the model.
  • the learning unit 131 stores the model parameters of the generated model or the model parameters of the updated model in the storage unit 12.
  • the learning unit 131 learns the test communication by the test execution server 3 and the communication generated from the host 4t and performs the abnormal communication of the host 4t when the communication test is performed by the test execution server 3. Generate an initial model to detect.
  • the learning unit 131 generates a first model that learns communication of the host 5 and detects abnormal communication of the host 5 for each host 5.
  • the monitoring / detecting unit 132 monitors communication between the hosts 4t and 5 using the model 121, and detects abnormal communication.
  • the model transmission / reception unit 133 transmits the model generated by the learning unit 131 to the other learning / detection servers 8 and 9. Further, the model transmission / reception unit 133 receives the model generated by the other learning / detection servers 8 and 9.
  • FIG. 3 is a diagram for explaining the flow of processing in the communication system 100 shown in FIG.
  • the learning / detection server 8 learns the test communication by the test execution server 3 and the communication generated from the host 4t by the communication test to the host 4t by the test execution server 3. Specifically, the learning / detection server 8 uses the test scenario by the test execution server 3 and the host 4t to generate the latest initial model t0 for the operation network 2 (see (1) in FIG. 3). Subsequently, the learning / detection server 8 imports the latest initial model into the learning / detection server 9 of the operation network 2 (see (2) in FIG. 3).
  • the learning / detection server 9 monitors the communication of the host 5a using the latest initial model t0 when the new host (host 5a in the figure) is connected, and uses the model a1 for the host 4a. (First model) is generated (see (3) in FIG. 3). Then, the learning / detection server 9 monitors the communication of the host 5a using the generated model a1, and detects abnormal communication.
  • FIG. 4 is a diagram schematically showing a state of communication and learning with the host 4t in the staging network 1 shown in FIG.
  • FIG. 4 are diagrams with the time axis on the vertical axis, and schematically show the communication / monitoring state in the host described in the upper part. Similar diagrams after FIG. 4 show, along the time axis, the status of the test for the host among the statuses for the host, the lane labeled “test status” (hereinafter, “test status lane”), and the status for communication.
  • the lane labeled “Communication Status” hereinafter “Communication Status Lane”
  • the monitoring status is labeled “Monitoring Status” (hereinafter “Monitoring Status Lane”)
  • the detection status is “Detection Status”.
  • detection state lanes The states of communication, learning, monitoring / detection will be described separately for lanes with labels (hereinafter, “detection state lanes”).
  • detection state lanes the communication taken into the model is represented by an arrow starting from a black circle (for example, an arrow extending to the left from the communication section P3-1).
  • test status lane a test scenario T0 relating to test communication to the test host 4t is shown, and the test execution server 3 sets a period during which the test scenario T0 is performed as a test period P2- As 1, a comprehensive test communication for comprehensively checking all functions is performed.
  • the communication generated by the host 4t is shown in the communication section P3-1 of the “communication status lane”.
  • the learning / detection server 8 captures the communication in the communication section P3-1 to generate the initial model t0 as shown in the “learning situation lane” (see (1) in FIG. 4).
  • This initial model t0 corresponds to a template of the model of the operation network 2.
  • FIG. 5 is a diagram schematically showing a state of communication and monitoring with respect to the host 5a in the operation network 2 shown in FIG.
  • the learning / detection server 9 monitors the communication of the host 5a during the communication section P2-2 of the “monitoring status lane” using the initial model t0 generated in FIG. (See (1) in FIG. 5).
  • the delivery of the initial model t0 is realized by being imported from the staging network 1 to the operation network 2 by communication between the learning / detection server 8 of the staging network 1 and the learning / detection server 9 of the operation network 2. Is done.
  • the learning / detection server 9 actually monitors the communication of the host 5a in the communication section P2-2 using the initial model t0, and actually communicates between the own device and the host 5a in the operation network 2.
  • a model a1 is generated by taking in communication between them (see (2) in FIG. 5).
  • the learning / detection server 9 monitors the communication of the host 5a using the generated model a1 (see (3) in FIG. 5).
  • FIG. 6 illustrates a processing flow in the communication system 100.
  • FIG. 6 is a sequence diagram illustrating a processing procedure of the communication processing according to the first embodiment.
  • the learning / detection server 8 captures the communication (step S2) between the host 4t and the test execution server 3 generated by the test communication (step S1) by the test execution server 3 (step S2). S3), learn the communication of the host 4t and generate an initial model (step S4).
  • the learning / detection server 9 checks the host status (Step S5), and determines whether a new host has been added or a host that has not been monitored has been found (Step S6). If the learning / detection server 9 determines that a new host has not been added and no unmonitored host has been found (step S6: No), the process returns to step S5 and continues to check the host status.
  • the learning / detection server 9 determines that a new host has been added or a host not monitored has been found (step S6: Yes).
  • the learning / detection server 9 receives the import of the initial model from the staging network 1 (step S7), and uses this initial model to create a new host 5 and another device (for example, a first communication destination).
  • a model of the host 5 is generated (step S9) while capturing and monitoring communication (step S8-1) with the device (step S8-1).
  • the learning / detection server 9 captures the communication (step S10-1) between the host 5 and the first communication destination device using the generated model of the host 5 (step S10-1).
  • step S10-2 the communication of the host 5 is monitored (step S11), and abnormal communication is detected.
  • FIG. 7 is a diagram schematically illustrating a state of communication and monitoring with respect to the host x in the learning / detection server according to the related art.
  • the conventional learning / detection server captures the communication of the host x in the communication section P2-3 with respect to the host x which has newly started the connection / communication, as shown in the “learning status lane”.
  • x1 is generated (see (1) in FIG. 7).
  • the conventional learning / detection server monitors the communication in the communication section P5-3 of the “communication status lane” using the model x1, as shown in the “monitoring status lane” ((2 in FIG. 7). )), To detect the presence or absence of abnormal communication. Therefore, in the related art, communication is not monitored when learning is performed, and communication is monitored after learning is completed. Therefore, there is a problem that a fragile period occurs during the learning phase. .
  • an initial model for the host 4t is generated by learning test communication with the host 4t of the same type as the host 5 of the operation network 2 in the staging network 1 in advance.
  • the initial model is imported into the operation network 2, and the learning / detection server 9 learns the communication of the host 5a while monitoring the communication of the host 5a using the initial model t0.
  • a model a1 corresponding to 5a is generated. Therefore, since the learning / detection server 9 also performs monitoring during the learning phase, it is possible to suppress the occurrence of a vulnerable period during the learning phase, and to more securely execute the learning phase when detecting abnormal communication. .
  • FIG. 8 is a diagram illustrating a flow of a communication process according to the second embodiment.
  • FIG. 8 illustrates a process after the learning / detection server 9 monitors communication between the hosts 5a, 5b, and 5c using the generated model a1. That is, in the learning / detection server 9, the models of the hosts 5a, 5b, and 5c are completed (see (1) in FIG. 8). In this state, the learning / detection server 9 exports the models (a1, b1, c1) of the hosts 5a, 5b, 5c to the learning / detection server 8 of the staging network 1 (see (2) in FIG. 8). .
  • the learning / detection server 8 generates a more accurate initial model by using the test scenario by the test execution server 3 and the models (a1, b1, c1) of the hosts 5a, 5b, 5c ((3 in FIG. 8). )reference).
  • the learning / detection server 8 generates an initial model (t1) for the operation network 2 using the test scenario by the test execution server 3 and the host 4t, and updates the initial model (see FIG. 8). (4)).
  • the learning / detection server 8 imports the generated latest initial model t1 into the learning / detection server 9 (see (5) in FIG. 8).
  • the learning / detection server 9 generates a model for the host 5n while monitoring the communication of the host 5n with the latest initial model t1 when a new host (host 5n in FIG. 8) is connected ((FIG. 8) 6)). That is, the learning / detection server 9 learns the newly connected host 5n while monitoring using the new initial model (see (7) in FIG. 8).
  • the staging network 1 updates the initial model by using the model of each host 5 exported from the operation network 2 and imports the latest initial model into the operation network 2. .
  • the device is the same type as the host 4t of the staging network 1, when the host 5 of the operation network 2 is introduced, the initial model t0 generated by the staging network 1 is operated. By importing the data into the network 2, the communication can be monitored using the initial model t0 even during the learning phase.
  • FIG. 9 is a diagram illustrating a relationship between communication learned by the model and communication of the host.
  • the test group by the test communication by the test execution server 3 and the communication group Gt generated by the host 4t during the test shown in FIG. 9 are the input information of the initial model t0.
  • the communication Ct is a communication included in the communication group Ga that is actually generated by the host 5a during operation, and is a communication that really needs to be monitored during the test traffic.
  • the communication Cj is a communication that is not included in the communication group Ga, and is an unused function that is not used during operation, and therefore does not need to be included in a normal state.
  • This communication Cj is a communication identified as normal when monitored using the initial model. However, if a cyber attack is performed via the same communication as this communication Cj, the communication Cj is overlooked. It becomes a risk. In other words, since the communication Cj is an unused function in the operation network 2, even when the model of the staging network 1 is generated, the communication should not be included in the normal state.
  • FIG. 10 is a diagram schematically illustrating states of communication, learning, and monitoring with respect to the host 4t in the staging network 1 according to the second embodiment.
  • the process until the learning / detection server 8 generates a new initial model t1 using the model a1 of the host 5a generated in the operation network 2 is shown.
  • the model a1 is a model that has been exported from the operation network 2 to the staging network 1, and is used for monitoring communication of the staging network 1.
  • the learning / detection server 8 causes the communication extracted using the model a1, out of the communication of the host 4t during the test section P3-4, that is, the model a1 is different from normal.
  • the communication Cj4 identified as the communication is detected.
  • the learning / detection server 8 determines which communication Cj4 is in the test communication, such as “detection in test n” or “detection in test n + 1” in the test communication. Whether or not a test has occurred can be identified by cooperation with the test execution server 3 (see (1) in FIG. 10).
  • the learning / detection server 8 can extract the communication Cj4 detected as abnormal communication in the model a1 by monitoring the communication of the host 4t with the model a1.
  • the test execution server 3 creates a test scenario T1 excluding the test that generates the communication Cj4 from the test scenario T0 (see (2) in FIG. 10).
  • the learning / detection server 8 generates the initial model t1 from the communication of the host 4t during the test section P6-4 by executing the test scenario T1 ((FIG. 10 ( 4)). No model a1 is detected for the communication of the host 4t during the communication section P2-2 corresponding to the test section P6-4 (see (3) in FIG. 10). Therefore, the learning / detection server 8 can generate an initial model t1 with higher accuracy than the initial model t0, in which unnecessary communication Cj4 is not taken into the learning.
  • FIG. 11 is a diagram showing a relationship between communication learned by the model and communication of the host.
  • the initial model t1 is a model generated from the communication in the area At in FIG. That is, the initial model t1 is generated by using, as an input, a communication in an area At that excludes unnecessary communication Cj and includes only communication Ct that really needs to be monitored, among the communication group Gt generated by the host 4t.
  • the learning / detection server 8 imports the latest initial model t1 into the operation network 2 and uses it as a model of the host 5n newly connected in the operation network 2 to more appropriately monitor in the operation network 2. A model can be generated safely while performing.
  • FIG. 10 shows an example in which the initial model is updated using the model a1 of the host 5a, but the present invention is not limited to this.
  • FIG. 12 is a diagram schematically illustrating a state of communication, learning, and monitoring with respect to the host 4t in the staging network 1 according to the second embodiment.
  • the staging network 1 when the models a1, b1, and c1 generated by the three hosts 5a, 5b, and 5c are exported as shown in FIG. , C1 and performing the same processing as in FIG. 10, it is possible to generate an initial model t1 that further extracts the features of the host group.
  • the learning / detection server 8 changes the communication Cj4a, Cj4b, Cj4c detected using the models a1, b1, c1 among the communication of the host 4t during the test section P3-4. Detect.
  • the learning / detection server 8 detects the communication CJ4a in the test m
  • the model b1 detects the communication Cj4b in the test m + 1
  • the model c1 It is possible to identify that the communication Cj4c has been detected in the test m + 2 (see (1-a), (1-b), and (1-c) in FIG. 12).
  • the test execution server 3 creates a test scenario T1 excluding the test that generates the communication Cj4a to Cj4c from the test scenario T0 (see (2) in FIG. 12). Then, as shown in the "test status lane", the learning / detection server 8 generates the initial model t1 from the communication of the host 4t during the test section P6-4 by executing the test scenario T1. Thereby, the learning / detection server 8 can generate an initial model t1 in which unnecessary communication Cj4a, Cj4b, and Cj4c are not taken into the learning, and which is more accurate than the initial model t0 ((FIG. 12) 4)). There is no detection of the models a1, b1, and c1 for the communication of the host 4t during this test section P6-4 (see (3-a, 3-b, 3-c) in FIG. 12).
  • FIG. 13 is a sequence diagram illustrating a processing procedure of communication processing according to the second embodiment.
  • Steps S21 to S31 shown in FIG. 13 have the same processing contents as steps S1 to S11 shown in FIG. Then, the learning / detection server 9 exports the generated model to the learning / detection server 8 (Step S32).
  • the learning / detection server 8 communicates between the host 4t and the test execution server 3 generated by the test communication by the test execution server 3 to the host 4t (step S33) (step S34). Is captured (step S35), and the communication of the host 4t is monitored using the model generated by the learning / detection server 9 (step S36).
  • the learning / detection server 8 determines whether or not there is a communication detected by the model generated by the learning / detection server 9 (Step S37).
  • the learning / detection server 8 determines whether or not there is a communication detected by the model generated by the learning / detection server 9 (Step S37).
  • the learning / detection server 8 notifies the test execution server 3 of the detected communication (step S38).
  • the test execution server 3 excludes the communication detected by the model generated by the learning / detection server 9 from the test communication (Step S39), and performs the test communication (Step S40).
  • the learning / detection server 8 captures the communication between the host 4t and the test execution server 3 (Step S41) (Step S42).
  • the learning / detection server 8 learns the communication of the host 4t and generates the latest initial model while monitoring the communication of the host 4t with the model generated by the learning / detection server 9 (step S43).
  • the learning / detection server 9 checks the host status (step S44), and determines whether a new host has been added or a host that has not been monitored has been found (step S46). If the learning / detection server 9 determines that a new host has not been added and no unmonitored host has been found, the process returns to step S44, and the host status check is continued.
  • the learning / detection server 9 determines that a new host has been added or a host not monitored has been discovered by the new connection of the host 5n (step S45).
  • the learning / detection server 9 receives the latest initial model from the staging network 1 (step S47), and uses this initial model to connect the new host 5n to another device (for example, the second communication).
  • a model of the host 5n is generated (step S49) while capturing and monitoring the communication (step S48-1) with the previous device (step S48-1).
  • the learning / detection server 9 captures the communication (step S50-1) between the host 5n and, for example, the second communication destination device using the generated model of the host 5n (step S50). -2), the communication of the host 5n is monitored (step S51), and abnormal communication is detected.
  • the learning / detection server 9 of the operation network 2 exports the model (first model) of the host 5 generated by its own device to the learning / detection server of the staging network 1. .
  • the test execution server 3 performs a first communication test.
  • the learning / detection server 8 detects abnormal communication from the test communication and the communication by the host 4t in the first communication test using the first model.
  • the test execution server 3 performs the second communication test excluding the test communication detected by the learning / detection server 8 as abnormal communication.
  • the learning / detection server 8 learns the test communication and the communication by the host 4t in the second communication test, generates a new initial model, and imports the new initial model into the learning / detection server 9.
  • the second embodiment it is possible to improve the accuracy of the initial model by excluding, from the learning target of the initial model, communications that are unused functions that are not used during operation and that need not be included in the normal state. it can.
  • the communication of the host 5 of the operation network 2 of the host 5 is based on a subset of the communication generated from the host 4t by a comprehensive test that comprehensively checks all functions of the host 4t.
  • a comprehensive test that comprehensively checks all functions of the host 4t.
  • An example was shown.
  • communication unique to the operation network 2 may occur. For example, when a monitoring system already exists in the operation network 2, and unusual communication occurs due to use of an unusual function such as health check communication or maintenance to the newly connected host 5. It is.
  • FIG. 14 is a diagram illustrating the relationship between the communication learned by the model and the communication of the host 4d.
  • FIG. 15 is a diagram illustrating a relationship between the communication learned by the model and the communication of the host 4e.
  • FIGS. 14 and 15 assume a case where the learning / detection server 9 monitors using the initial model t1 imported from the staging network 1.
  • the areas Ad and Ae are sets of communication learned by the latest initial model t1 imported from the staging network 1, and are communication information input to the initial model t1.
  • communication unique to the operation network 2 may occur.
  • the communications Cd and Ce in the communication groups Gd and Ge in which the hosts 5d and 5e actually occur during operation are communications that occur when the host 4d and the host 4e are used in a specific manner during operation. .
  • these communications Cd and Ce are not included in the input information of the initial model t1.
  • the learning / detection server 9 performs monitoring / detection using the initial model t1
  • the communication Cd and Ce are detected as communication that is not abnormal but is determined to be abnormal.
  • the communications Cd and Ce are communications that should not normally be detected as abnormal.
  • overdetection communications such communications Cd and Ce are referred to as overdetection communications.
  • over-detection communication is communication that should be learned as a normal state.
  • the learning / detection server 9 captures the over-detected communication at the host 5d into the model of the host 5d, and learns the over-detected communication at the host 5e by capturing it in the model of the host 5e. Over-detection communication can be suppressed.
  • the learning / detection server 9 learns the over-detection communication by taking it into the model of each host 5, a certain time lag occurs until the learning / detection server 9 takes in the model. This is because, in a predetermined analyzer, the detected communication is analyzed to determine whether the communication is abnormal or overdetected, and after it is determined that the communication is overdetected, the communication is taken into learning. That's why. The occurrence of this time lag leads to a longer learning phase.
  • the time lag until the completion of the learning phase is referred to as a “delay problem”.
  • This delay problem has the effect of delaying model completion, that is, delaying the start of monitoring with a newer model. Therefore, the third embodiment proposes a method for suppressing the over-detection communication without causing the delay problem.
  • FIG. 16 is a diagram schematically illustrating states of communication, learning, and monitoring with respect to the hosts 5d and 5e in the operation network 2 according to the third embodiment.
  • the left diagram shows the learning status and monitoring status of the learning / detection server 9 for the entire operation network
  • the central diagram shows the learning status and monitoring status of the learning / detection server 9 for the host 5d.
  • the right diagram shows the learning status and monitoring status of the learning / detection server 9 for the host 5e.
  • the learning / detection server 9 performs the communication between the hosts 5d and 5e during the communication sections P1-5 and P2-5 with the latest communication generated in the staging network 1. While monitoring using the initial model t1, the communication between the hosts 5d and 5e is taken in to generate models d'1 and e'1. At this time, in the communication sections P1-5, P2-5, it is detected by the initial model t1 that the communication Cd1, Cd2, Ce1, Ce2 is abnormal. In the example of FIG.
  • the learning / detection server 9 determines that the communication Cd1 and Ce1 are “detected by the traffic r1” by the initial model t1, and that the communication Cd2 is the initial model t1 as shown in the “detection state lane”. Can be identified as “detected by traffic s1” and that the communication Ce2 has been “detected by traffic s6” by the initial model t1 ((1-d1) and (1-d2) in FIG. 16). , (1-e1), (1-e2)).
  • the learning / detection server 9 does not include the communication Cd1, Cd2, Ce1, Ce2 detected by the initial model t1 in the learning of 5d and 5e (see FIG. 16). (See (2-d) and (2-e)), and generate models for the respective hosts 5d and 5e (see (3-d) and (3-e) in FIG. 16). That is, the learning / detection server 9 learns the communication excluding the communication detected as the abnormal communication using the initial model t1 from the communication of 5d and 5e, and obtains the model d′ 1 for the host 5d (first communication). Model) and a model e′1 (first model) for the host 5e. The learning / detection server 9 monitors the hosts 5d and 5e using the generated model d'1 and the model e'1 for the host 5e.
  • the learning / detection server 9 performs the overdetection communication as shown in the left diagram.
  • a model u1 (second model) for detecting abnormal communication other than overdetected communication is generated (see (4) and (5) in FIG. 16).
  • the learning / detection server 9 monitors the communication of the entire operation network 2 using the model u1 for the entire operation network 2 (see (6) in FIG. 16). Therefore, in the example shown in FIG. 16, finally, the learning / detection server 9 monitors the entire operation network 2 using the model u1 (see the communication section P7-5), and the model d ′ for the host 5d. 1 (see communication section P3-5), and the host 5e is monitored by model e'1 (see communication section P9-5).
  • the learning / detection server 9 monitors the communication between the hosts 5d and 5e using the model u1 that has learned the over-detection communication (see arrows Yd and Ye in FIG. 16). Monitoring is performed using the models d′ 1 and e′1 generated in each of 5d and 5e.
  • the learning / detection server 9 determines whether or not the detected event is overdetection communication, that is, whether or not it can be determined as normal, based on the difference in the detection status between these models. (See (7) in FIG. 16).
  • the learning / detection server 9 regards communication detected as abnormal communication using the model d′ 1 or model e′1 and not detected as abnormal communication using the model u1 as overdetected communication. Identify. On the other hand, the learning / detection server 9 regards communication detected as abnormal communication using the model d′ 1 or model e′1 and communication detected as abnormal communication using the model u1 as communication to be analyzed. Output. Thereafter, the learning / detection server 9 learns communication excluding communication detected as abnormal communication using the model d′ 1 or model e′1 from the communication between the hosts 5d and 5e, and performs model d′ 1 or model e′1 is updated. At the same time, the learning / detection server 9 learns the over-detection communication among the communication detected as abnormal communication by the model d'1 or the model e'1, and updates the model u1.
  • FIG. 17 is a sequence diagram illustrating a processing procedure of the communication processing according to the third embodiment.
  • Steps S61 to S66 shown in FIG. 17 have the same processing contents as steps S1 to S6 shown in FIG. Then, the learning / detection server 9 performs learning for generating a model of the host 5 while monitoring communication between the new host 5 and another device using the initial model (step S67). At this time, the learning / detection server 9 determines whether there is communication detected in the model for the host 5 (initial model) (Step S68).
  • step S68 determines that there is a communication detected in the model for the host 5
  • step S69 the learning / detection server 9 removes the detected communication from the communication of the host 5
  • step S69 the learning / detection server 9 determines that there is no communication detected in the model for the host 5
  • step S70 the learning / detection server 9 learns the communication of the host 5 as it is and generates a model of the host 5.
  • step S68 If the learning / detection server 9 determines that there is communication detected in the model for the host 5 (step S68: Yes), and if the detected communication is overdetection communication, the learning / detection server 9 learns the detected overdetection communication. (Step S71) to generate a model for the entire operation network 2 (step S72).
  • the learning / detection server 9 captures the communication (step S73-1) between the host 5 and another device (for example, the first communication device) (step S73-2) and converts the model generated in step S70.
  • the monitoring of the host 5 is performed using the model (step S74), and the monitoring of the entire operation network 2 is performed using the model for the entire operation network 2 generated in step S72 (step S75).
  • the learning / detection server 9 determines whether there is communication detected by the model for the host 5 (Step S76). If the learning / detection server 9 determines that there is no communication detected by the model for the host 5 (step S76: No), the learning / detection server 9 learns using communication not detected by the model for the host 5, and performs learning for the host 5. The model is updated (step S77).
  • step S76 determines whether this communication is also detected by the entire model. ).
  • step S78 determines whether this communication is not detected in the overall model.
  • step S79 the learning / detection server 9 identifies this communication as overdetected communication, that is, normal (step S79). Return to monitoring / detection of communication.
  • step S78 determines that this communication is also detected in the overall model
  • step S78 determines that this communication is also detected in the overall model
  • step S80 the learning / detection server 9 outputs the communication to an external analysis device or the like as an analysis target (step S80).
  • step S81 abnormal
  • step S82 the learning / detection server 9 outputs a notification requesting a response to the communication to an external response device or the like
  • step S83 receives an instruction to include this communication in the learning as an overdetection communication.
  • the communication is included in the learning as overdetection (step S71), and the overall model is updated (step S72).
  • FIG. 18 is a diagram illustrating communication monitoring and learning of over-detection communication in the related art.
  • FIG. 19 is a diagram illustrating communication monitoring and learning of over-detection communication according to the third embodiment.
  • the learning / detection server 9 detects an abnormality in the communication cd1, ce1 while generating a model by capturing the communication of the hosts 5d, 5e. If the communication is detected, the communication cd1 and ce1 are excluded from learning targets, and the models of the hosts 5d and 5e are completed. Then, if the communication cd1 and ce1 are overdetection communications, the learning / detection server 9 learns the overdetection communication and generates a model of the entire operation network 2.
  • the model of the host 5 (first model) and the model for the entire operation network 2 (second model) are separated, and the model of the entire operation network 2 is used.
  • the learning / detection server 9 does not need the time periods Td ′ and Te ′ from the time when the communication abnormality is detected until the time when the detected communication is analyzed as over-detected communication and taken into learning.
  • the time required to generate the models of the hosts 5d and 5e can be reduced to td ( ⁇ td ') and te ( ⁇ te').
  • the learning / detection server 9 when abnormal communication occurs, the learning / detection server 9 performs detection using a model for each host 5 and also performs detection using a model for the entire operation network 2. Then, the learning / detection server 9 can distinguish between abnormal communication and over-detection communication by comparing the detection result of the model for each host 5 with the detection result of the overall model.
  • the third embodiment a separate learning method in which over-detection communication is not included in learning of the model (first model) of the host 5 but is included in learning of a model (second model) of the entire operation network 2 is described. take.
  • generation and over-detection of a model of each host are performed without being affected by communication (over-detection) due to the use of the operation network 2 that is unique to the host 5 and without causing a delay problem. It is possible to learn communication, and it is possible to suppress a prolonged fragile period during the learning phase.
  • each component of each device illustrated is a functional concept and does not necessarily need to be physically configured as illustrated.
  • the specific form of distribution / integration of each device is not limited to the illustrated one, and all or a part thereof may be functionally or physically distributed / arbitrarily divided into arbitrary units in accordance with various loads and usage conditions. Can be integrated and configured.
  • all or any part of each processing function performed by each device can be realized by a CPU and a program analyzed and executed by the CPU, or can be realized as hardware by wired logic.
  • the estimation devices 10 and 210 according to the present embodiment can be realized by a computer and a program, and the program can be recorded on a recording medium or provided through a network.
  • FIG. 20 is a diagram illustrating an example of a computer in which the learning and detection servers 8 and 9 are realized by executing a program.
  • the computer 1000 has, for example, a memory 1010 and a CPU 1020. Further, the computer 1000 has a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores, for example, a boot program such as a BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090.
  • the disk drive interface 1040 is connected to the disk drive 1100.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100.
  • the serial port interface 1050 is connected to, for example, a mouse 1110 and a keyboard 1120.
  • the video adapter 1060 is connected to the display 1130, for example.
  • the hard disk drive 1090 stores, for example, the OS 1091, the application program 1092, the program module 1093, and the program data 1094. That is, the program that defines each process of the learning / detection servers 8 and 9 is implemented as a program module 1093 in which codes executable by the computer 1000 are described.
  • the program module 1093 is stored in, for example, the hard disk drive 1090.
  • a program module 1093 for executing the same processing as the functional configuration in the learning / detection servers 8 and 9 is stored in the hard disk drive 1090.
  • the hard disk drive 1090 may be replaced by an SSD (Solid State Drive).
  • the setting data used in the processing of the above-described embodiment is stored as the program data 1094 in the memory 1010 or the hard disk drive 1090, for example. Then, the CPU 1020 reads out the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1090 to the RAM 1012 as needed, and executes them.
  • the program module 1093 and the program data 1094 are not limited to being stored in the hard disk drive 1090, but may be stored in, for example, a removable storage medium and read by the CPU 1020 via the disk drive 1100 or the like. Alternatively, the program module 1093 and the program data 1094 may be stored in another computer connected via a network (LAN, Wide Area Network (WAN), or the like). The program module 1093 and the program data 1094 may be read from another computer by the CPU 1020 via the network interface 1070.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • Medical Informatics (AREA)
  • Artificial Intelligence (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Debugging And Monitoring (AREA)

Abstract

通信システム（１００）は、ホスト（５）と学習・検知サーバ（９）とを有する運用ネットワーク（２）と、ホスト（５）と同型のホスト（４ｔ）とテスト実行サーバ（３）と学習・検知サーバ（８）とを有するステージング用ネットワーク（１）とを有する第２のネットワークとを有する通信システムであって、テスト実行サーバ（３）は、ホスト（４ｔ）に正常状態のテスト通信を送信し、ホスト（４ｔ）による通信を受信する通信テストを行い、学習・検知サーバ（８）が、ホスト（４ｔ）の通信を学習してホスト（４ｔ）の異常通信を検知する初期モデルを生成し、初期モデルを学習・検知サーバ（９）に送信し、学習・検知サーバ（９）は、学習・検知サーバ（８）から受信した初期モデルを用いてホスト（５）の通信を監視しながら、ホスト（５）の通信を学習してホスト（５）の異常通信を検知するモデルを生成する。

Description

通信システム及び通信方法
　本発明は、通信システム及び通信方法に関する。
　近年の経済活動や生活環境のＩＣＴ（Information　and　Communication　Technology）化は、便利さが供給される反面、セキュリティインシデント発生時の影響度が大きくなっており、セキュリティ対策の重要性は、日々高まっている。
　刻々と変化するサイバー分野での脅威に対し、セキュリティベンダや研究機関によりセキュリティ対策技術の研究開発が進められている。しかしながら、現在、ゼロデイ攻撃といった既存の検知ルールでは検知できない未知の攻撃は、大きな脅威となっている。このような未知の攻撃への対抗策として、正常状態を定義し、正常状態と識別できない状態を異常状態と識別するアノマリ検出手法の採用が始まっている。
　ＩＣＴ環境、例えば、ＩｏＴ（Internet　of　Things）に代表される全てのモノがネットワークに繋がる環境下において、サイバー攻撃の標的とされる機器の多くがネットワーク経由で攻撃を受ける。このため、ネットワークに流れる通信を監視することは、セキュリティ対策として効果的であり、ネットワークの通信監視にアノマリ検出手法を適用することは、さらに効果的な手法であるといえる。
　アノマリ検出手法では、正常状態の定義を、学習することが現在のトレンドとなっており、アノマリ検出手法をネットワーク通信監視に適用する場合には、ネットワークに流れる通信群に対し、学習により正常状態を定義する方法を用いる。
　ネットワーク通信監視におけるアノマリ検出手法は、正常状態と定義したネットワークに流れる通信を正常状態の通信として学習する期間（以降、学習フェーズ）と、学習完了後にネットワークに流れる通信が、学習した状態と同じであることが識別できない場合に異常であると検知する期間（以降、検知フェーズ）との２つのフェーズを設けている。実際にアノマリ検出手法が使用される際は、学習フェーズを行い、その後、検知フェーズを行う。
　ここで、学習フェーズにおいて生成される正常状態を表現するデータは、例えば、通信フロー情報の場合であれば、通信先やプロトコルなど値や文字列で表される。また、正常状態を表現するデータは、通信の特徴を機械学習の入力とするものであれば、数理モデル（数式やパラメータの集まり）で表される。アノマリ検出手法の実装の仕方によって、正常状態を表現するデータは様々である。以降、この正常状態を表現するデータをモデルと呼ぶこととする。
　アノマリ検出手法の一例として、学習・検知機能からなるホワイトリスト機能を有するネットワークスイッチ製品がある。このネットワークスイッチ製品は、学習フェーズではネットワークに流れたトラフィックの通信フロー（通信先やプロトコルなど）のそれぞれを正常なものとして学習（ホワイトリストとして定義）し、検知フェーズでは正常なものとは異なる通信フローをアノマリ検出する（非特許文献１参照）。
　また、他の例として、主にＩｏＴ機器を対象に、機器の通信の正常パターンを機械学習によりモデル化し、これを正常状態と定義し、モデルに当てはまらないパターンの通信を識別することでアノマリ検出を行うという技術がある（非特許文献２参照）。
アラクサラネットワークス　ネットワーク・セキュリティホワイトリスト機能、［online］、［平成３０年６月１４日検索］、インターネット＜ＵＲＬ：https://www.alaxala.com/jp/solution/security/wl/＞ Zingbox　Enabling　the　Internet　of　Trusted　Things、［online］、［平成３０年６月１４日検索］、インターネット＜ＵＲＬ：https://www.zingbox.com/＞
　上記のアノマリ検出手法を実現するにあたり学習フェーズが不可欠である。ここで、アノマリ検出手法においては、学習フェーズ中に異常通信が混入した場合、その通信が正常状態の一部として学習され、その後の検知フェーズにおいて混入した異常通信を検出することができないという問題がある。
　すなわち、学習という手段を使うアノマリ検出手法には、学習フェーズ中が脆弱な期間になるという弱点がある。
　このため、学習フェーズを行う際は、信頼された機器群を基にネットワークを初期構築し、その環境上で学習フェーズを行い、その後検知フェーズに移行するという、学習フェーズ時のネットワークの健全性を担保するための特別な段取りが必要となる。
　しかしながら、ネットワークの運用上、初期構築から始められない場合がある。例えばネットワーク運用中の接続機器のソフトウェア改変がある場合や、運用ポリシーの変更の場面によって通信の正常状態が刻々と変化していく場合である。非特許文献１に記載の技術の場合、運用中のネットワークの正常状態に変化があると、再度学習フェーズに切り替え、正常状態の定義のアップデートが必要となる。
　ここで、非特許文献１記載の技術を用いる場合には、再学習を行う際に学習フェーズ時に異常が混入していないことの担保、つまり、再学習の学習フェーズの健全性の担保が難しいという課題がある。
　このような課題に対し、非特許文献２記載の技術のように、個々の機器を監視する仕組みとし、接続機器ごとに正常状態を作る処理を行えば、機器ごとのフェーズ切り替えにより、学習フェーズ中の脆弱な期間を機器毎に極小化はできる。しかしながら、非特許文献２記載の技術でも、再学習において学習フェーズの健全性の担保が難しいという課題がある点は、非特許文献１に記載の技術とは何ら変わりない。
　また、非特許文献１記載の技術と非特許文献２記載の技術において、仮に学習フェーズ中に異常の検知ができたとしても、この検知が本当の異常によるものか、誤って正常を検知してしまったものかを分析し、正常状態に取り込むか否かを判断しなければ、学習フェーズが進められないため、学習期間が長期化するという課題も潜在している。
　本発明は、上記に鑑みてなされたものであって、異常通信を検知する際の学習フェーズをよりセキュアに実行する通信システム及び通信方法を提供することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明に係る通信システムは、第１のネットワークと、第２のネットワークとを有する通信システムであって、第１のネットワークは、第１の通信装置と、第１の通信装置に正常状態のテスト通信を送信し、第１の通信装置による通信を受信する通信テストを行うテスト装置と、テスト通信と第１の通信装置による通信とを学習して第１の通信装置の異常通信を検知する初期モデルを生成し、初期モデルを第２のネットワークに送信する第１のサーバ装置と、を有し、第２のネットワークは、第１の通信装置と同型の第２の通信装置と、第１のサーバ装置から受信した初期モデルを用いて第２の通信装置の通信を監視しながら、第２の通信装置の通信を学習して第２の通信装置の異常通信を検知する第１のモデルを生成する第２のサーバ装置と、有することを特徴とする。
　本発明によれば、異常通信を検知する際の学習フェーズをよりセキュアに実行する。
図１は、実施の形態１における通信システムの構成の一例を示す図である。 図２は、図１に示す学習・検知サーバの構成の一例を示すブロック図である。 図３は、図１に示す通信システムにおける処理の流れについて説明する図である。 図４は、図１に示すステージング用ネットワークにおけるホストに対する通信及び学習の状態を模式的に示した図である。 図５は、図１に示す運用ネットワークにおけるホストに対する通信及び監視の状態を模式的に示した図である。 図６は、実施の形態１に係る通信処理の処理手順を示すシーケンス図である。 図７は、従来技術による学習・検知サーバにおけるホストに対する通信及び監視の状態を模式的に示した図である。 図８は、実施の形態２における通信処理の流れについて説明する図である。 図９は、モデルが学習した通信とホストの通信との関係を示す図である。 図１０は、実施の形態２におけるステージング用ネットワークにおけるホストに対する通信、学習及び監視の状態を模式的に示した図である。 図１１は、モデルが学習した通信とホストの通信との関係を示す図である。 図１２は、実施の形態２におけるステージング用ネットワークにおけるホストに対する通信、学習及び監視の状態を模式的に示した図である。 図１３は、実施の形態２に係る通信処理の処理手順を示すシーケンス図である。 図１４は、モデルが学習した通信とホストの通信との関係を示す図である。 図１５は、モデルが学習した通信とホストの通信との関係を示す図である。 図１６は、実施の形態３における運用ネットワークにおけるホストに対する通信、学習及び監視の状態を模式的に示した図である。 図１７は、実施の形態３に係る通信処理の処理手順を示すシーケンス図である。 図１８は、従来技術における通信の監視及び過検知通信の学習について説明する図である。 図１９は、実施の形態３における通信の監視及び過検知通信の学習について説明する図である。 図２０は、プログラムが実行されることにより、学習・検知サーバが実現されるコンピュータの一例を示す図である。
　以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
［実施の形態１］
　まず、本発明の実施の形態１について説明する。図１は、実施の形態１における通信システムの構成の一例を示す図である。
　図１に示すように、実施の形態１に係る通信システム１００は、ステージング用ネットワーク１（第１のネットワーク）と、運用ネットワーク２（第２のネットワーク）とを有する。
　運用ネットワーク２は、実際にＩｏＴ機器等が運用されるシステム環境である。運用ネットワーク２は、ホスト５ａ，５ｂ，５ｃ（第２の通信装置）と、学習・検知サーバ８（第２のサーバ装置）とを有する。
　ホスト５ａ，５ｂ，５ｃは、ＩｏＴ機器等の通信装置である。なお、複数のホスト５ａ，５ｂ，５ｃのそれぞれを区別することなく総称する場合に単にホスト５と記載する。また、図１に例示された運用ネットワーク２は、３台のホスト５ａ，５ｂ，５ｃを有するが、ホスト５の台数は、一以上であればよい。
　学習・検知サーバ９は、正常通信を学習したモデルを用いて、ホスト５ａ，５ｂ，５ｃの通信の異常を検知する。学習・検知サーバ９は、正常通信を学習してモデルを生成する。学習・検知サーバ９は、学習・検知サーバ８（後述）と同じ機能を有し、モデルを相互に交換できる。学習・検知サーバ９は、学習・検知サーバ８から受信した初期モデルを用いてホスト５ａ，５ｂ，５ｃの通信を監視しながら、５ａ，５ｂ，５ｃの通信を学習して５ａ，５ｂ，５ｃの異常通信を検知する第１のモデルを、５ａ，５ｂ，５ｃごとに生成する。
　ステージング用ネットワーク１は、運用ネットワーク２と類似するシステム環境であり、検証用（テスト用）に使用される。ステージング用ネットワーク１は、ホスト５と同型のホスト４ｔ（第１の通信装置）と、テスト実行サーバ３（テスト装置）と、学習・検知サーバ８（第１のサーバ装置）とを有する。
　テスト実行サーバ３は、テスト機器であるホスト４ｔに、正常状態のテスト通信を送信し、ホスト４ｔによる通信を受信する通信テストを行う。
　学習・検知サーバ８は、テスト実行サーバ３によるテスト通信及びホスト４ｔから発生した通信を学習してホスト４ｔの異常通信を検知する初期モデルを生成する。学習・検知サーバ８は、初期モデルを学習・検知サーバ９に送信する。
　なお、本実施の形態１において、ステージング用ネットワーク１における学習・検知サーバ８と学習・検知サーバ９とにおけるモデルの交換のうち、ステージング用ネットワーク１の学習・検知サーバ８から運用ネットワーク２の学習・検知サーバ９への受け渡しをインポートとし、その逆方向をエクスポートとする。
　実施の形態１に係る通信システム１００では、ステージング用ネットワーク１において、ホスト５と同型のホスト４ｔを用いて初期モデルを事前に生成しておく。通信システム１００では、監視対象機器であるホスト５が運用ネットワーク２で実際に使用される際に、事前生成した初期モデルを、ステージング用ネットワーク１から運用ネットワーク２へインポートする。
　そして、運用ネットワーク２では、この初期モデルを、各通信装置の通信の監視に使用しながら、ホスト５の通信を学習して、ホスト５ごとに第１のモデルを生成する。これによって、通信システム１００では、検知フェーズと学習フェーズとの同時実行を可能とし、学習フェーズ中の脆弱な期間の発生を抑止してリスクを低減している。
［学習・検知サーバの構成］
　次に、学習・検知サーバ８，９の構成について説明する。図２は、図１に示す学習・検知サーバ８，９の構成の一例を示すブロック図である。図２に示すように、学習・検知サーバ８，９は、通信部１１、記憶部１２及び制御部１３を有する。
　通信部１１は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースである。通信部１１は、ＮＩＣ（Network　Interface　Card）等で実現され、ＬＡＮ（Local　Area　Network）やインターネットなどの電気通信回線を介した他の装置と制御部１３（後述）との間の通信を行う。
　記憶部１２は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、学習・検知サーバ８，９を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部１２は、モデル１２１を有する。モデル１２１は、ホスト４ｔ，５の通信を学習して、ホスト４ｔ，５の異常通信を検知するために使用される。モデル１２１は、異常通信検知のために使用される演算式やパラメータを含む。
　制御部１３は、学習・検知サーバ８，９全体を制御する。制御部１３は、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。例えば、制御部１３は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路である。また、制御部１３は、各種のプログラムが動作することにより各種の処理部として機能する。制御部１３は、学習部１３１、監視・検知部１３２及びモデル送受信部１３３を有する。
　学習部１３１は、ホスト４ｔ，５の通信をキャプチャして、ホスト４ｔ，５の通信を学習し、モデルの生成、或いは、モデルの更新を行う。学習部１３１は、生成したモデルのモデルパラメータ、或いは、更新したモデルのモデルパラメータを記憶部１２に格納する。
　ここで、学習・検知サーバ８の場合、学習部１３１は、テスト実行サーバ３による通信テスト実行時に、テスト実行サーバ３によるテスト通信及びホスト４ｔから発生した通信を学習してホスト４ｔの異常通信を検知する初期モデルを生成する。また、学習・検知サーバ９の場合、学習部１３１は、ホスト５の通信を学習してホスト５の異常通信を検知する第１のモデルをホスト５ごとに生成する。
　監視・検知部１３２は、モデル１２１を用いて、ホスト４ｔ，５の通信を監視し、異常通信を検知する。
　モデル送受信部１３３は、学習部１３１が生成したモデルを、他方の学習・検知サーバ８，９に送信する。また、モデル送受信部１３３は、他方の学習・検知サーバ８，９が生成したモデルを受信する。
［全体の処理の流れ］
　次に、通信システム１００における処理の流れについて説明する。図３は、図１に示す通信システム１００における処理の流れについて説明する図である。
　まず、ステージング用ネットワーク１では、学習・検知サーバ８は、テスト実行サーバ３によるテスト通信、及び、テスト実行サーバ３によるホスト４ｔへの通信テストによってホスト４ｔから発生した通信を学習する。具体的には、学習・検知サーバ８は、テスト実行サーバ３によるテストシナリオとホスト４ｔとを用いて、運用ネットワーク２用の最新の初期モデルｔ０を生成する（図３の（１）参照）。続いて、学習・検知サーバ８は、最新の初期モデルを、運用ネットワーク２の学習・検知サーバ９にインポートする（図３の（２）参照）。
　そして、運用ネットワーク２では、学習・検知サーバ９が、新ホスト（図ではホスト５ａ）の接続時に、ホスト５ａの通信を、最新の初期モデルｔ０を使って監視しながら、ホスト４ａ用のモデルａ１（第１のモデル）を生成する（図３の（３）参照）。そして、学習・検知サーバ９は、生成したモデルａ１を用いて、ホスト５ａの通信を監視し、異常通信の検知を行う。
［ステージング用ネットワークの処理の流れ］
　次に、ステージング用ネットワーク１における初期モデルの生成処理の流れについて説明する。図４は、図１に示すステージング用ネットワーク１におけるホスト４ｔに対する通信及び学習の状態を模式的に示した図である。
　図４以降の同様の図は、縦軸に時間軸を取った図で、上段に記載しているホストにおける通信・監視状態を模式的に表している。図４以降の同様の図は、時間軸に沿って、ホストに対する状況のうち、ホストに対する試験の状況を「試験状況」ラベルを振ったレーン（以降、「試験状況レーン」）、通信に関する状況を「通信状況」ラベルを振ったレーン（以降、「通信状況レーン」）、監視に関する状況を「監視状況」ラベルを振ったレーン（以降、「監視状況レーン」）、検知に関する状況を「検知状況」ラベルを振ったレーン（以降、「検知状況レーン」）に分けて、通信、学習、監視・検知の状況を説明する。図４以降の図において、モデルに取り込んだ通信は黒丸を始点とする矢印（例えば、通信区間Ｐ３－１から左に伸びる矢印）で表現している。
　図４に示すように、ステージング用ネットワーク１では、運用ネットワーク２での動作確認をするため、一般に、運用ネットワーク２のホスト５と同型機であるホスト４ｔを用いた全機能を網羅的にチェックする総合的なテストが行われる。
　まず、図４の「試験状況レーン」では、テスト用のホスト４ｔへのテスト通信に関する試験シナリオＴ０が示され、テスト実行サーバ３は、この試験シナリオＴ０が行われた期間を、試験期間Ｐ２－１として、全機能を網羅的にチェックする総合的なテスト通信を行う。この際に、ホスト４ｔが発生する通信は「通信状況レーン」の通信区間Ｐ３－１に示す。
　そして、学習・検知サーバ８は、通信区間Ｐ３－１の通信を取り込むことによって、「学習状況レーン」に示すように、初期モデルｔ０を生成する（図４の（１）参照）。この初期モデルｔ０は、運用ネットワーク２のモデルのテンプレートにあたるものとなる。
［運用ネットワークの処理の流れ］
　次に、運用ネットワーク２における監視及びモデル生成の処理の流れについて説明する。図５は、図１に示す運用ネットワーク２におけるホスト５ａに対する通信及び監視の状態を模式的に示した図である。
　図５に示すように、学習・検知サーバ９は、「監視状況レーン」の通信区間Ｐ２－２の間のホスト５ａの通信を、図４で生成した初期モデルｔ０を使用して監視している（図５の（１）参照）。この初期モデルｔ０の受け渡しは、ステージング用ネットワーク１の学習・検知サーバ８と運用ネットワーク２の学習・検知サーバ９との間の通信により、ステージング用ネットワーク１から運用ネットワーク２にインポートされることで実現される。
　これにより、図５では、学習・検知サーバ９は、初期モデルｔ０を使用して通信区間Ｐ２－２におけるホスト５ａの通信を監視しながら、運用ネットワーク２で実際に、自装置とホスト５ａとの間の通信を取り込んでモデルａ１を生成する（図５の（２）参照）。その後の通信期間Ｐ３－２以降、学習・検知サーバ９は、生成したモデルａ１を使用して、ホスト５ａの通信を監視する（図５の（３）参照）。
［通信処理の処理手順］
　図６は、通信システム１００における処理の流れについて説明する。図６は、実施の形態１に係る通信処理の処理手順を示すシーケンス図である。
　まず、ステージング用ネットワーク１では、学習・検知サーバ８は、テスト実行サーバ３によるテスト通信（ステップＳ１）によって発生したホスト４ｔとテスト実行サーバ３との間の通信（ステップＳ２）をキャプチャし（ステップＳ３）、ホスト４ｔの通信を学習して初期モデルを生成する（ステップＳ４）。
　運用ネットワーク２では、学習・検知サーバ９は、ホスト状況を確認し（ステップＳ５）、新規ホスト追加または監視外のホストを発見したかを判定する（ステップＳ６）。学習・検知サーバ９は、新規ホスト追加及び監視外のホストを発見していないと判定した場合（ステップＳ６：Ｎｏ）、ステップＳ５に戻り、ホスト状況の確認を継続する。
　これに対し、学習・検知サーバ９が、新規ホスト追加または監視外のホストを発見したと判定した場合（ステップＳ６：Ｙｅｓ）について説明する。この場合、学習・検知サーバ９は、ステージング用ネットワーク１から初期モデルのインポートを受け（ステップＳ７）、この初期モデルを用いて、新たなホスト５と他の装置（例えば、第１の通信先の装置）との間の通信（ステップＳ８－１）をキャプチャして（ステップＳ８－２）監視しながら、ホスト５のモデルを生成する（ステップＳ９）。
　学習・検知サーバ９は、ホスト５のモデル生成後、生成したホスト５のモデルを用いて、ホスト５と第１の通信先の装置との間の通信（ステップＳ１０－１）をキャプチャして（ステップＳ１０－２）、ホスト５の通信を監視し（ステップＳ１１）、異常通信の検知を行う。
［実施の形態１の効果］
　ここで、従来技術について説明する。図７は、従来技術による学習・検知サーバにおけるホストｘに対する通信及び監視の状態を模式的に示した図である。図７に示すように、従来の学習・検知サーバは、新規接続・通信を開始したホストｘに対し、「学習状況レーン」に示すように通信区間Ｐ２－３でホストｘの通信を取り込んでモデルｘ１を生成する（図７の（１）参照）。その後、従来の学習・検知サーバは、「監視状況レーン」に示すように、モデルｘ１を用いて、「通信状況レーン」の通信区間Ｐ５－３の通信を監視することによって（図７の（２）参照）、異常通信の有無を検知する。したがって、従来技術では、学習を行っている際に通信の監視は行っておらず、学習終了後から、通信の監視を実行するため、学習フェーズ中に脆弱な期間が発生するという問題があった。
　これに対し、本実施の形態１では、予め、ステージング用ネットワーク１において、運用ネットワーク２のホスト５と同型のホスト４ｔに対するテスト通信を学習してホスト４ｔ用の初期モデルを生成している。本実施の形態１では、この初期モデルが運用ネットワーク２にインポートされ、学習・検知サーバ９は、この初期モデルｔ０を用いてホスト５ａの通信も監視しながら、ホスト５ａの通信を学習してホスト５ａに対応するモデルａ１を生成する。したがって、学習・検知サーバ９は、学習フェーズ中も監視を実行するため、学習フェーズ中の脆弱な期間の発生を抑止でき、異常通信を検知する際の学習フェーズをよりセキュアに実行することができる。
［実施の形態２］
　次に、実施の形態２について説明する。実施の形態２では、実施の形態１で説明した初期モデルをさらに高精度化する方法について説明する。実施の形態２に係る通信システムは、実施の形態１に係る通信システム１００と同じ構成を有する。
［全体の処理の流れ］
　次に、実施の形態２における通信処理の流れについて説明する。図８は、実施の形態２における通信処理の流れについて説明する図である。図８では、学習・検知サーバ９が、生成したモデルａ１を用いて、ホスト５ａ，５ｂ，５ｃの通信を監視した後の処理について説明する。すなわち、学習・検知サーバ９では、ホスト５ａ，５ｂ，５ｃのモデルが完成している状態である（図８の（１）参照）。この状態において、学習・検知サーバ９は、ホスト５ａ，５ｂ，５ｃのモデル（ａ１，ｂ１，ｃ１）を、ステージング用ネットワーク１の学習・検知サーバ８にエクスポートする（図８の（２）参照）。
　学習・検知サーバ８は、テスト実行サーバ３によるテストシナリオと、ホスト５ａ，５ｂ，５ｃのモデル（ａ１，ｂ１，ｃ１）を使って、より精度の高い初期モデルを生成する（図８の（３）参照）。言い換えると、学習・検知サーバ８は、テスト実行サーバ３によるテストシナリオと、ホスト４ｔを使って、運用ネットワーク２用の初期モデル（ｔ１）を生成して、初期モデルを最新化する（図８の（４）参照）。そして、学習・検知サーバ８は、生成した最新の初期モデルｔ１を学習・検知サーバ９にインポートする（図８の（５）参照）。
　続いて、学習・検知サーバ９は、新ホスト（図８ではホスト５ｎ）接続時に、最新の初期モデルｔ１でホスト５ｎの通信を監視しながら、ホスト５ｎ用のモデルを生成する（図８の（６）参照）。すなわち、学習・検知サーバ９は、新たに接続するホスト５ｎについては、新しい初期モデルを使って、監視しながら、学習をする（図８の（７）参照）。
　このように、本実施の形態２では、ステージング用ネットワーク１は、運用ネットワーク２からエクスポートされた各ホスト５のモデルを用いて、初期モデルを最新化し、最新の初期モデルを運用ネットワーク２にインポートする。
　ここで、実施の形態１においても説明したように、ステージング用ネットワーク１のホスト４ｔと同型の機器であれば、運用ネットワーク２のホスト５導入時に、ステージング用ネットワーク１で生成した初期モデルｔ０を運用ネットワーク２にインポートしてくることで、学習フェーズ中も、この初期モデルｔ０を用いて、通信を監視することができる。
　ただし、実施の形態１では、初期モデルは、ホスト４ｔの全機能の網羅的なテスト通信に応じた全通信を用いて生成しているため、運用ネットワーク２では実際には使われない通信も学習として取り込まれている。図９は、モデルが学習した通信とホストの通信との関係を示す図である。
　具体的には、図９に示すテスト中にテスト実行サーバ３によるテスト通信及びホスト４ｔが発生する通信群Ｇｔが、初期モデルｔ０の入力情報となる。この通信群Ｇｔの通信のうち、通信Ｃｔは、運用中に、実際にホスト５ａが発生する通信群Ｇａに含まれる通信であり、テストトラフィック中、真に監視が必要な通信である。
　これに対し、通信Ｃｊは、通信群Ｇａに含まれない通信であり、運用中には使用されない未使用機能であるため、正常状態に含めないでよい通信である。この通信Ｃｊは、初期モデルを使って監視した場合には、正常なものと識別される通信であるものの、仮に、この通信Ｃｊと同様の通信を介してサイバー攻撃が行われた場合、見逃しのリスクとなってしまう。言い換えると、通信Ｃｊは、運用ネットワーク２では未使用機能であるため、ステージング用ネットワーク１のモデル生成時においても、正常状態に含めるべきではない通信となる。
　このため、本実施の形態２では、ステージング用ネットワーク１において２回目以降に初期モデルを生成する場合、この通信Ｃｊを、初期モデルｔ１の学習対象から排除することによって、初期モデルの精度を上げている。具体的に、図１０を参照して、ステージング用ネットワーク１における初期モデルｔ１生成について説明する。図１０は、実施の形態２におけるステージング用ネットワーク１におけるホスト４ｔに対する通信、学習及び監視の状態を模式的に示した図である。
　図１０に示すように、学習・検知サーバ８が、運用ネットワーク２で生成したホスト５ａのモデルａ１を使用し、新しい初期モデルｔ１を生成するまでの処理を示す。まず、図１０の「監視状況レーン」に示すように、モデルａ１は、運用ネットワーク２からステージング用ネットワーク１にエクスポートしてきたモデルであり、ステージング用ネットワーク１の通信の監視に使用される。
　そして、試験シナリオＴ０の実施によって、学習・検知サーバ８は、試験区間Ｐ３－４の間のホスト４ｔの通信のうち、モデルａ１を使って抽出される通信、つまり、モデルａ１で正常とは異なるものと識別される通信Ｃｊ４を検知する。図１０の例では、学習・検知サーバ８は、「検知状況レーン」にあるように、テスト通信のうち「テストｎでの検知」や「テストｎ＋１での検知」というように、通信Ｃｊ４がどのテストにより発生させられたかを、テスト実行サーバ３との連携により識別できる（図１０の（１）参照）。
　したがって、学習・検知サーバ８は、モデルａ１でホスト４ｔの通信を監視することによって、モデルａ１において異常通信と検知される通信Ｃｊ４を抽出できる。
　続いて、テスト実行サーバ３は、試験シナリオＴ０から、通信Ｃｊ４を発生するテストを除外した（図１０の（２）参照）試験シナリオＴ１を作成する。そして、学習・検知サーバ８は、「試験状況レーン」に示すように、試験シナリオＴ１の実施によって、試験区間Ｐ６－４の間のホスト４ｔの通信から初期モデルｔ１を生成する（図１０の（４）参照）。この試験区間Ｐ６－４に対応する通信区間Ｐ２－２の間のホスト４ｔの通信に対し、モデルａ１の検知はない（図１０の（３）参照）。したがって、学習・検知サーバ８は、不要な通信Ｃｊ４が学習に取り込まれていない、初期モデルｔ０より高精度の初期モデルｔ１を生成できる。
　図１１は、モデルが学習した通信とホストの通信との関係を示す図である。図１１に示すように、初期モデルｔ１は、図１１の領域Ａｔの通信から生成されたモデルとなる。すなわち、初期モデルｔ１は、ホスト４ｔが発生する通信群Ｇｔのうち、不要な通信Ｃｊを除外した、真に監視が必要な通信Ｃｔのみが含まれる領域Ａｔの通信を入力として生成される。
　学習・検知サーバ８は、この最新の初期モデルｔ１を運用ネットワーク２にインポートし、運用ネットワーク２において新たに接続されるホスト５ｎのモデルとして使用することによって、運用ネットワーク２において、より適切に監視を行いながら安全にモデルを生成することができる。
　なお、図１０では、ホスト５ａのモデルａ１を用いて初期モデルを最新化する場合を例として示したが、もちろんこれに限らない。図１２は、実施の形態２におけるステージング用ネットワーク１におけるホスト４ｔに対する通信、学習及び監視の状態を模式的に示した図である。
　ステージング用ネットワーク１では、学習・検知サーバ８は、図１２のように３つのホスト５ａ，５ｂ，５ｃのそれぞれが生成したモデルａ１，ｂ１，ｃ１がエクスポートされた場合、この３つのモデルａ１，ｂ１，ｃ１を使用し、図１０と同様の処理を行うことで、ホスト群の特徴をより抜き出した初期モデルｔ１を生成することが可能となる。
　例えば、試験シナリオＴ０の実施によって、学習・検知サーバ８は、試験区間Ｐ３－４の間のホスト４ｔの通信のうち、モデルａ１，ｂ１，ｃ１を使って検知される通信Ｃｊ４ａ，Ｃｊ４ｂ，Ｃｊ４ｃを検知する。図１２の例では、学習・検知サーバ８は、「検知状況レーン」にあるように、モデルａ１はテストｍで通信ＣＪ４ａを検知し、モデルｂ１はテストｍ＋１で通信Ｃｊ４ｂを検知し、モデルｃ１はテストｍ＋２で通信Ｃｊ４ｃを検知したことを識別できる（図１２の（１－ａ），（１－ｂ），（１－ｃ）参照）。
　続いて、テスト実行サーバ３は、試験シナリオＴ０から、通信Ｃｊ４ａ～Ｃｊ４ｃを発生するテストを除外した（図１２の（２）参照）試験シナリオＴ１を作成する。そして、学習・検知サーバ８は、「試験状況レーン」に示すように、試験シナリオＴ１の実施によって、試験区間Ｐ６－４の間のホスト４ｔの通信から初期モデルｔ１を生成する。これによって、学習・検知サーバ８は、不要な通信Ｃｊ４ａ，Ｃｊ４ｂ，Ｃｊ４ｃが学習に取り込まれていない初期モデルｔ１であって、初期モデルｔ０より精度の高い初期モデルｔ１を生成できる（図１２の（４）参照）。この試験区間Ｐ６－４の間のホスト４ｔの通信に対し、モデルａ１，ｂ１，ｃ１の検知はない（図１２の（３－ａ，３－ｂ，３－ｃ）参照）。
［通信処理の処理手順］
　次に、実施の形態２における通信処理の流れについて説明する。図１３は、実施の形態２に係る通信処理の処理手順を示すシーケンス図である。
　図１３に示すステップＳ２１～ステップＳ３１は、図６に示すステップＳ１～ステップＳ１１と同じ処理内容である。そして、学習・検知サーバ９は、生成したモデルを学習・検知サーバ８にエクスポートする（ステップＳ３２）。
　続いて、ステージング用ネットワーク１では、学習・検知サーバ８は、テスト実行サーバ３によるホスト４ｔへのテスト通信（ステップＳ３３）によって発生したホスト４ｔとテスト実行サーバ３との間の通信（ステップＳ３４）をキャプチャし（ステップＳ３５）、ホスト４ｔの通信を、学習・検知サーバ９が生成したモデルを用いて監視する（ステップＳ３６）。
　そして、学習・検知サーバ８は、学習・検知サーバ９が生成したモデルが検知した通信があるか否かを判定する（ステップＳ３７）。学習・検知サーバ８は、学習・検知サーバ９が生成したモデルが検知した通信があると判定した場合（ステップＳ３７：Ｙｅｓ）、検知した通信をテスト実行サーバ３に通知する（ステップＳ３８）。
　テスト実行サーバ３は、学習・検知サーバ９が生成したモデルが検知した通信をテスト通信から除外し（ステップＳ３９）、テスト通信を行う（ステップＳ４０）。これに応じて、学習・検知サーバ８は、ホスト４ｔとテスト実行サーバ３との間の通信（ステップＳ４１）とをキャプチャする（ステップＳ４２）。学習・検知サーバ８は、学習・検知サーバ９が生成したモデルでホスト４ｔの通信を監視しながら、ホスト４ｔの通信を学習して最新の初期モデルを生成する（ステップＳ４３）。
　運用ネットワーク２では、学習・検知サーバ９は、ホスト状況を確認し（ステップＳ４４）、新規ホスト追加または監視外のホストを発見したかを判定する（ステップＳ４６）。学習・検知サーバ９は、新規ホスト追加及び監視外のホストを発見していないと判定した場合、ステップＳ４４に戻り、ホスト状況の確認を継続する。
　これに対し、学習・検知サーバ９は、ホスト５ｎの新規接続（ステップＳ４５）によって、新規ホスト追加または監視外のホストを発見したと判定した場合について説明する。この場合、学習・検知サーバ９は、ステージング用ネットワーク１から最新の初期モデルのインポートを受け（ステップＳ４７）、この初期モデルを用いて、新たなホスト５ｎと他の装置（例えば、第２の通信先の装置）と間の通信（ステップＳ４８－１）をキャプチャして（ステップＳ４８－２）監視しながら、ホスト５ｎのモデルを生成する（ステップＳ４９）。続いて、学習・検知サーバ９は、生成したホスト５ｎのモデルを用いて、ホスト５ｎと例えば、第２の通信先の装置との間の通信（ステップＳ５０－１）をキャプチャして（ステップＳ５０－２）、ホスト５ｎの通信を監視し（ステップＳ５１）、異常通信の検知を行う。
［実施の形態２の効果］
　このように、実施の形態２では、運用ネットワーク２の学習・検知サーバ９は、自装置が生成したホスト５のモデル（第１のモデル）を、ステージング用ネットワーク１の学習・検知サーバにエクスポートする。そして、テスト実行サーバ３は、第１の通信テストを行う。この際、学習・検知サーバ８は、第１のモデルを用いて、第１の通信テストにおいてテスト通信とホスト４ｔによる通信とから異常通信を検知する。そして、テスト実行サーバ３は、学習・検知サーバ８が異常通信として検知したテスト通信を除外して第２の通信テストを行う。そして、学習・検知サーバ８は、第２の通信テストにおいてテスト通信とホスト４ｔによる通信とを学習して新たな初期モデルを生成して、新たな初期モデルを学習・検知サーバ９にインポートする。
　したがって、実施の形態２では、運用中には使用されない未使用機能であるため正常状態に含めないでよい通信を、初期モデルの学習対象から排除することによって、初期モデルの精度を向上することができる。
［実施の形態３］
　次に、実施の形態３について説明する。実施の形態３では、運用ネットワーク２において、監視・検知処理の過程において異常と検知された正常な過検知通信が発生した場合であっても、学習・検知サーバ９における学習フェーズ完了の長期化を防止しながら過検知通信を学習・検知する方法について説明する。実施の形態３に係る通信システムは、実施の形態１に係る通信システム１００と同じ構成を有する。実施の形態３では、運用ネットワーク２におけるホストとしてホスト５ｄ，５ｅが接続された場合を例に説明する。
　実施の形態１，２では、ホスト５の運用ネットワーク２のホスト５の通信として、ホスト４ｔの全機能を網羅的にチェックする総合的なテストによりホスト４ｔから発生する通信のサブセットを基にする場合の例を示した。しかしながら、運用ネットワーク２によっては、その運用ネットワーク２特有の通信が発生することが考えられる。例えば、既に運用ネットワーク２に監視システムが存在しており、新規に接続したホスト５に対し、ヘルスチェックの通信や、メンテナンスなどの普段とは違う機能の使い方による普段とは異なる通信が発生する場合である。
　この状況を、運用ネットワーク２に新たにホスト４ｄとホスト４ｅが接続した場合を例に説明する。図１４は、モデルが学習した通信とホスト４ｄの通信との関係を示す図である。図１５は、モデルが学習した通信とホスト４ｅの通信との関係を示す図である。
　図１４及び図１５は、学習・検知サーバ９が、ステージング用ネットワーク１からインポートしてきた初期モデルｔ１を使用して監視をしている場合を想定する。領域Ａｄ，Ａｅは、ステージング用ネットワーク１からインポートされた最新の初期モデルｔ１が学習した通信の集合であり、初期モデルｔ１に入力された通信情報である。前述のように、運用ネットワーク２によっては、その運用ネットワーク２特有の通信が発生することが考えられる。例えば、運用中に実際にホスト５ｄ，５ｅが発生する通信群Ｇｄ，Ｇｅ内の通信Ｃｄ，Ｃｅは、運用中にホスト４ｄおよびホスト４ｅに対して特有の使い方をした場合に発生する通信である。しかしながら、これらの通信Ｃｄ，Ｃｅは、初期モデルｔ１の入力情報には含まれない。
　この結果、学習・検知サーバ９が、初期モデルｔ１を用いて監視・検知を行った場合、通信Ｃｄ，Ｃｅは、異常ではないのに異常と判断される通信として検知されてしまうことになる。この通信Ｃｄ，Ｃｅは、本来なら異常として検知されるべきではない通信である。以降、このような通信Ｃｄ，Ｃｅを、過検知通信とする。
　ここで、過検知通信は、正常状態として学習すべき通信である。具体的には、学習・検知サーバ９は、ホスト５ｄでの過検知通信を、ホスト５ｄのモデルに取り込み、ホスト５ｅでの過検知通信は、ホスト５ｅのモデルに取り込んで学習することによって、その後の過検知通信を抑制することができる。
　しかしながら、学習・検知サーバ９が、過検知通信を各ホスト５のモデルに取り込んで学習する場合、モデルへ取り込みまでに一定のタイムラグが発生する。これは、所定の分析装置において、検知された通信を分析し、異常であるか過検知通信であるかを識別してから、過検知通信であることが判明した後に、この通信を学習に取り込むためである。このタイムラグの発生が、学習フェーズの長期化を招くことになる。以降、この学習フェーズ完了までのタイムラグを「遅延問題」と呼ぶこととする。この遅延問題は、モデルの完成が遅れる、つまり、より新しいモデルでの監視の開始が遅れるという影響を及ぼす。そこで、本実施の形態３では、この遅延問題を発生させず過検知通信の抑止も行う方法を提案する。
［運用ネットワークにおける処理の流れ］
　図１６は、実施の形態３における運用ネットワーク２におけるホスト５ｄ，５ｅに対する通信、学習及び監視の状態を模式的に示した図である。図１６の模式図のうち、左図は、学習・検知サーバ９における運用ネットワーク全体に対する学習状況及び監視状況を示し、中央図は、学習・検知サーバ９におけるホスト５ｄに対する学習状況及び監視状況を示し、右図は、学習・検知サーバ９におけるホスト５ｅに対する学習状況及び監視状況を示す。
　図１６の中央図及び右図に示すように、学習・検知サーバ９は、通信区間Ｐ１－５，Ｐ２－５の間のホスト５ｄ，５ｅの通信を、ステージング用ネットワーク１において生成された最新の初期モデルｔ１を使用して監視しながら、ホスト５ｄ，５ｅの通信を取り込んでモデルｄ´１，ｅ´１を生成する。この際、通信区間Ｐ１－５，Ｐ２－５において、初期モデルｔ１によって、通信Ｃｄ１，Ｃｄ２，Ｃｅ１，Ｃｅ２が異常であると検知される。なお、図１６の例では、学習・検知サーバ９は、「検知状況レーン」にあるように、通信Ｃｄ１，Ｃｅ１が初期モデルｔ１によって「トラフィックｒ１で検知」されたこと、通信Ｃｄ２が初期モデルｔ１によって「トラフィックｓ１で検知」されたこと、及び、通信Ｃｅ２が初期モデルｔ１によって「トラフィックｓ６で検知」されたことを識別できるものとする（図１６の（１－ｄ１），（１－ｄ２），（１－ｅ１），（１－ｅ２）参照）。
　学習・検知サーバ９は、中央図及び右図に示すように、５ｄ，５ｅの通信のうち、初期モデルｔ１によって検知された通信Ｃｄ１，Ｃｄ２，Ｃｅ１，Ｃｅ２は学習に含めずに（図１６の（２－ｄ），（２－ｅ）参照）、各ホスト５ｄ，５ｅに対するモデルを生成する（図１６の（３－ｄ），（３－ｅ）参照）。すなわち、学習・検知サーバ９は、５ｄ，５ｅの通信から、初期モデルｔ１を用いて異常通信と検知された通信を除外した通信を学習して、ホスト５ｄ用のモデルｄ´１（第１のモデル）及びホスト５ｅ用のモデルｅ´１（第１のモデル）を生成する。そして、学習・検知サーバ９は、それぞれ生成したモデルｄ´１及びホスト５ｅ用のモデルｅ´１を用いて、ホスト５ｄ，５ｅを監視する。
　さらに、学習・検知サーバ９は、左図に示すように、運用ネットワーク２全体について、初期モデルｔ１によって異常通信であると検知された通信が過検知通信の場合に、この過検知通信である通信Ｃｄ，Ｃｅを学習して、過検知通信以外の異常通信を検知するモデルｕ１（第２のモデル）を生成する（図１６の（４），（５）参照）。
　そして、学習・検知サーバ９は、運用ネットワーク２全体については、モデルｕ１を用いて、運用ネットワーク２全体の通信を監視する（図１６の（６）参照）。したがって、図１６に示す例では、最終的に、学習・検知サーバ９は、運用ネットワーク２全体については、モデルｕ１による監視を行い（通信区間Ｐ７－５参照）、ホスト５ｄについては、モデルｄ’１による監視を行い（通信区間Ｐ３－５参照）、ホスト５ｅについては、モデルｅ’１による監視を行う（通信区間Ｐ９－５参照）。
　具体的な監視の処理は、学習・検知サーバ９は、ホスト５ｄ，５ｅの通信を、過検知通信を学習したモデルｕ１を用いて監視を行うとともに（図１６の矢印Ｙｄ，Ｙｅ参照）、ホスト５ｄ，５ｅそれぞれで生成したモデルｄ’１とモデルｅ’１とを用いた監視を行う。
　そして、ホスト５ｄ，５ｅの通信において、仮に過検知通信があった場合、モデルｄ’１またはモデルｅ’１では検知されるが、モデルｕ１では検知されない。このため、学習・検知サーバ９は、これらのモデル間の検知状況の違いから、検知された事象が過検知通信であるか否か、つまり正常として判断してよいか否か、を識別することができる（図１６の（７）参照）。
　すなわち、学習・検知サーバ９は、モデルｄ’１またはモデルｅ’１を用いて異常通信と検知された通信であって、モデルｕ１を用いて異常通信と検知されなかった通信を過検知通信として識別する。一方、学習・検知サーバ９は、モデルｄ’１またはモデルｅ’１を用いて異常通信と検知された通信であって、モデルｕ１を用いて異常通信と検知された通信を分析対象の通信として出力する。以降、学習・検知サーバ９は、ホスト５ｄ，５ｅの通信から、モデルｄ’１またはモデルｅ’１を用いて異常通信と検知された通信を除外した通信を学習してモデルｄ’１またはモデルｅ’１を更新する。これとともに、学習・検知サーバ９は、モデルｄ’１またはモデルｅ’１によって異常通信と検知された通信のうち過検知通信を学習しモデルｕ１を更新する。
［通信処理の処理手順］
　次に、実施の形態３における通信処理の流れについて説明する。図１７は、実施の形態３に係る通信処理の処理手順を示すシーケンス図である。
　図１７に示すステップＳ６１～ステップＳ６６は、図６に示すステップＳ１～ステップＳ６と同じ処理内容である。そして、学習・検知サーバ９は、初期モデルを用いて、新たなホスト５と他の装置との通信を監視しながら、ホスト５のモデル生成のために学習を行う（ステップＳ６７）。この際、学習・検知サーバ９は、ホスト５用のモデル（初期モデル）において検知した通信があるか否かを判定する（ステップＳ６８）。
　学習・検知サーバ９は、ホスト５用のモデルにおいて検知した通信があると判定した場合（ステップＳ６８：Ｙｅｓ）、ホスト５の通信から検知した通信を除去して（ステップＳ６９）、ホスト５の通信を学習し、ホスト５のモデルを生成する（ステップＳ７０）。これに対し、学習・検知サーバ９は、ホスト５用のモデルにおいて検知した通信がないと判定した場合には（ステップＳ６８：Ｎｏ）、そのままホスト５の通信を学習し、ホスト５のモデルを生成する（ステップＳ７０）。
　そして、学習・検知サーバ９は、ホスト５用のモデルにおいて検知した通信があると判定した場合（ステップＳ６８：Ｙｅｓ）、この検知した通信が過検知通信の場合、この検知した過検知通信を学習に含めて（ステップＳ７１）、運用ネットワーク２全体用のモデルを生成する（ステップＳ７２）。
　学習・検知サーバ９は、ホスト５と他の装置（例えば、第１の通信装置）との間の通信（ステップＳ７３－１）をキャプチャし（ステップＳ７３－２）、ステップＳ７０において生成したモデルを用いてホスト５の監視を行う（ステップＳ７４）とともに、ステップＳ７２において生成した運用ネットワーク２全体用のモデルを用いて、運用ネットワーク２全体の監視を行う（ステップＳ７５）。
　そして、学習・検知サーバ９は、ホスト５用のモデルで検知した通信があるか否かを判定する（ステップＳ７６）。学習・検知サーバ９は、ホスト５用のモデルで検知した通信がないと判定した場合（ステップＳ７６：Ｎｏ）、ホスト５用のモデルで検知されていない通信を用いて学習を行いホスト５用のモデルを更新する（ステップＳ７７）。
　これに対し、学習・検知サーバ９は、ホスト５用のモデルで検知した通信があると判定した場合（ステップＳ７６：Ｙｅｓ）、この通信が全体モデルでも検知されたか否かを判定する（ステップＳ７８）。学習・検知サーバ９は、この通信が全体モデルでは検知されないと判定した場合（ステップＳ７８：Ｎｏ）、この通信は、過検知通信である、すなわち、正常であると識別し（ステップＳ７９）、次の通信に対する監視・検知に戻る。
　一方、学習・検知サーバ９は、この通信が全体モデルでも検知されたと判定した場合（ステップＳ７８：Ｙｅｓ）、分析対象として外部の分析装置等に出力する（ステップＳ８０）。学習・検知サーバ９は、この通信に対する分析結果が異常である場合には（ステップＳ８１：異常）、本通信に対する対処の依頼通知を外部の対処装置等に出力する（ステップＳ８２）。また、学習・検知サーバ９は、この通信に対する分析結果が正常である場合には（ステップＳ８１：正常）、本通信が過検知通信であるとして学習に含める指示を受け付けると（ステップＳ８３）、この通信を過検知として学習に含め（ステップＳ７１）、全体用モデルを更新する（ステップＳ７２）。
［従来技術との比較］
　従来技術と本実施の形態３とにおける通信処理の流れについて説明する。図１８は、従来技術における通信の監視及び過検知通信の学習について説明する図である。図１９は、実施の形態３における通信の監視及び過検知通信の学習について説明する図である。
　図１８に示すように、従来では、ホスト５ｄ，５ｅの通信を取り込んでモデルを生成している最中に、異常を検知した通信（例えば、通信ｃｄ１，ｃｅ１）を取り込むか否かは、他の分析装置或いは解析担当者の分析結果を待つ必要があった。したがって、従来では、通信の異常を検知した時から、この検知した通信が過検知通信であると分析され学習に取り込むまでの期間Ｔｄ´，Ｔｅ´が長く、ホスト５ｄ，５ｅのモデルを生成するまで時間がかかっていた（例えば、時間ｔｄ´，ｔｅ´）。
　これに対し、本実施の形態３では、図１９に示すように、学習・検知サーバ９は、ホスト５ｄ，５ｅの通信を取り込んでモデルを生成している最中に通信ｃｄ１，ｃｅ１の異常を検知した場合、この通信ｃｄ１，ｃｅ１を学習対象から除外して、ホスト５ｄ，５ｅそれぞれのモデルを完成させる。そして、学習・検知サーバ９は、通信ｃｄ１，ｃｅ１が過検知通信である場合には、この過検知通信を学習して、運用ネットワーク２全体のモデルを生成する。
　このように、本実施の形態３では、ホスト５のモデル（第１のモデル）と、運用ネットワーク２全体用のモデル（第２のモデル）とを分離して、運用ネットワーク２全体のモデルに過検知通信を学習させる手法を取る。この結果、学習・検知サーバ９は、通信の異常を検知した時から、この検知した通信が過検知通信であると分析され学習に取り込むまでの期間Ｔｄ´，Ｔｅ´を必要としないため、従来と比して、ホスト５ｄ，５ｅのモデルを生成するまでの時間がｔｄ（＜ｔｄ´），ｔｅ（＜ｔｅ´）に短縮することができる。
　以上より、実施の形態３においては、学習・検知サーバ９は、異常通信が発生した場合に、ホスト５ごとのモデルで検知するほか、運用ネットワーク２全体用のモデルでも検知を行う。そして、学習・検知サーバ９は、ホスト５ごとのモデルと、全体用のモデルとにおける検知結果を比較することによって、異常通信と過検知通信との識別が可能となる。
　すなわち、実施の形態３では、過検知通信をホスト５のモデル（第１のモデル）の学習に含めず、運用ネットワーク２全体のモデル（第２のモデル）の学習に含めるという分離した学習手法を取る。この結果、実施の形態３では、運用ネットワーク２のホスト５特有の使用による通信（過検知）に影響を受けない形で、かつ、遅延問題を発生させずに各ホストのモデルの生成と過検知通信の学習とが可能となり、学習フェーズ中の脆弱な期間の長期化を抑止することができる。
［システム構成等］
　図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。本実施の形態に係る推定装置１０，２１０は、コンピュータとプログラムによっても実現でき、プログラムを記録媒体に記録することも、ネットワークを通して提供することも可能である。
　また、本実施の形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的におこなうこともでき、あるいは、手動的に行なわれるものとして説明した処理の全部又は一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　図２０は、プログラムが実行されることにより、学習・検知サーバ８，９が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、学習・検知サーバ８，９の各処理を規定するプログラムは、コンピュータ１０００により実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、学習・検知サーバ８，９における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid　State　Drive）により代替されてもよい。
　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例及び運用技術等は全て本発明の範疇に含まれる。
　１　ステージング用ネットワーク
　２　運用ネットワーク
　３　テスト実行サーバ
　４ｔ，５，５ａ～５ｅ，５ｎ　ホスト
　８，９　学習・検知サーバ
　１１　通信部
　１２　記憶部
　１３　制御部
　１２１　モデル
　１３１　学習部
　１３２　監視・検知部
　１３３　モデル送受信部

Claims (5)

  1. 　第１のネットワークと、第２のネットワークとを有する通信システムであって、
    　前記第１のネットワークは、
    　第１の通信装置と、
    　前記第１の通信装置に正常状態のテスト通信を送信し、前記第１の通信装置による通信を受信する通信テストを行うテスト装置と、
    　前記テスト通信と前記第１の通信装置による通信とを学習して前記第１の通信装置の異常通信を検知する初期モデルを生成し、前記初期モデルを前記第２のネットワークに送信する第１のサーバ装置と、
    　を有し、
    　前記第２のネットワークは、
    　前記第１の通信装置と同型の第２の通信装置と、
    　前記第１のサーバ装置から受信した前記初期モデルを用いて前記第２の通信装置の通信を監視しながら、前記第２の通信装置の通信を学習して前記第２の通信装置の異常通信を検知する第１のモデルを生成する第２のサーバ装置と、
    　有することを特徴とする通信システム。
  2. 　前記第２のサーバ装置は、前記第１のモデルを前記第１のサーバ装置に送信し、
    　前記テスト装置は、第１の前記通信テストを行い、
    　前記第１のサーバ装置は、前記第１のモデルを用いて、前記第１の通信テストにおいて前記テスト通信と前記第１の通信装置による通信とから異常通信を検知し、
    　前記テスト装置は、前記第１のサーバ装置が異常通信として検知した前記テスト通信を除外して第２の前記通信テストを行い、
    　前記第１のサーバ装置は、前記第２の通信テストにおいて前記テスト通信と前記第１の通信装置による通信とを学習して新たな前記初期モデルを生成し、前記新たな初期モデルを前記第２のサーバ装置に送信することを特徴とする請求項１に記載の通信システム。
  3. 　前記第２のサーバ装置は、前記第２の通信装置の通信から、前記初期モデルまたは前記第１のモデルを用いて異常通信と検知された通信を除外した通信を学習して、前記第１のモデルを生成或いは更新するとともに、前記異常通信と検知された通信のうち正常である過検知通信を学習して前記過検知通信以外の異常通信を検知する第２のモデルを生成することを特徴とする請求項１または２に記載の通信システム。
  4. 　前記第２のサーバ装置は、前記第１のモデルを用いて異常通信と検知された通信であって前記第２のモデルを用いて異常通信と検知されなかった通信を前記過検知通信として識別し、前記第１のモデルを用いて異常通信と検知された通信であって前記第２のモデルを用いて異常通信と検知された通信を分析対象の通信として出力することを特徴とする請求項３に記載の通信システム。
  5. 　第１の通信装置とテスト装置と第１のサーバ装置とを有する第１のネットワークと、前記第１の通信装置と同型の第２の通信装置と第２のサーバ装置とを有する第２のネットワークと、を有する通信システムが実行する通信方法であって、
    　前記テスト装置が、前記第１の通信装置に正常状態のテスト通信を送信し、前記第１の通信装置による通信を受信する通信テストを行う工程と、
    　前記第１のサーバ装置が、前記テスト通信と前記第１の通信装置による通信とを学習して前記第１の通信装置の異常通信を検知する初期モデルを生成する工程と、
    　前記第１のサーバ装置が、前記初期モデルを前記第２のサーバ装置に送信する工程と、
    　前記第２のサーバ装置が、前記第１のサーバ装置から受信した前記初期モデルを用いて前記第２の通信装置の通信を監視しながら、前記第２の通信装置の通信を学習して前記第２の通信装置の異常通信を検知する第１のモデルを生成する工程と、
    　を含んだことを特徴とする通信方法。
PCT/JP2019/025447 2018-06-29 2019-06-26 通信システム及び通信方法 Ceased WO2020004489A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/252,740 US11805142B2 (en) 2018-06-29 2019-06-26 Communication system and communication method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-124884 2018-06-29
JP2018124884A JP7047636B2 (ja) 2018-06-29 2018-06-29 通信システム及び通信方法

Publications (1)

Publication Number Publication Date
WO2020004489A1 true WO2020004489A1 (ja) 2020-01-02

Family

ID=68984894

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/025447 Ceased WO2020004489A1 (ja) 2018-06-29 2019-06-26 通信システム及び通信方法

Country Status (3)

Country Link
US (1) US11805142B2 (ja)
JP (1) JP7047636B2 (ja)
WO (1) WO2020004489A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2022097250A (ja) * 2020-12-18 2022-06-30 トヨタ自動車株式会社 情報収集装置、情報収集システム、情報収集方法及びプログラム
CN117397218A (zh) 2021-06-10 2024-01-12 日本电信电话株式会社 分析装置、分析方法以及分析程序
JP7407152B2 (ja) * 2021-08-20 2023-12-28 Ｌｉｎｅヤフー株式会社 情報処理装置、情報処理方法及び情報処理プログラム

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001044993A (ja) * 1999-07-26 2001-02-16 Fujitsu Ltd ネットワークのシミュレーションモデル生成装置、その方法、及びその方法を実現するプログラムを記録した記録媒体
JP2004312083A (ja) * 2003-04-02 2004-11-04 Kddi Corp 学習データ作成装置、侵入検知システムおよびプログラム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007053708A2 (en) * 2005-10-31 2007-05-10 The Trustees Of Columbia University In The City Of New York Methods, media, and systems for securing communications between a first node and a second node
CN106603324A (zh) * 2015-10-20 2017-04-26 富士通株式会社 训练集的获取装置以及方法
US11977958B2 (en) * 2017-11-22 2024-05-07 Amazon Technologies, Inc. Network-accessible machine learning model training and hosting system
US10614214B2 (en) * 2018-01-02 2020-04-07 Honeywell International Inc. Using machine learning to detect communication channel abnormalities in an ICS/IIoT application

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001044993A (ja) * 1999-07-26 2001-02-16 Fujitsu Ltd ネットワークのシミュレーションモデル生成装置、その方法、及びその方法を実現するプログラムを記録した記録媒体
JP2004312083A (ja) * 2003-04-02 2004-11-04 Kddi Corp 学習データ作成装置、侵入検知システムおよびプログラム

Also Published As

Publication number Publication date
JP7047636B2 (ja) 2022-04-05
US11805142B2 (en) 2023-10-31
JP2020005184A (ja) 2020-01-09
US20210160270A1 (en) 2021-05-27

Similar Documents

Publication Publication Date Title
Maeda et al. Automating post-exploitation with deep reinforcement learning
US12335275B2 (en) System for monitoring and managing datacenters
Fotovvat et al. Comparative performance analysis of lightweight cryptography algorithms for IoT sensor nodes
US12375521B2 (en) Training method for detection model, system, device, and storage medium
Huda et al. Securing the operations in SCADA-IoT platform based industrial control system using ensemble of deep belief networks
Hu et al. GANFuzz: A GAN-based industrial network protocol fuzzing framework
Bures et al. Software engineering for smart cyber-physical systems: Challenges and promising solutions
US20190089725A1 (en) Deep Architecture for Learning Threat Characterization
US12081580B2 (en) System and method for emulating a multi-stage attack on a node within a target network
US20180097843A1 (en) Networked peer device round-robin security controller
Wang et al. Digital twin for wireless networks: Security attacks and solutions
US11438359B2 (en) Increasing edge data confidence via trusted ethical hacking
Rasouli et al. A supervisory control approach to dynamic cyber-security
WO2020004489A1 (ja) 通信システム及び通信方法
US10678721B1 (en) Communication link testing
Letteri et al. Security in the internet of things: botnet detection in software-defined networks by deep learning techniques
JP7069399B2 (ja) コンピュータセキュリティインシデントを報告するためのシステムおよび方法
Ari et al. Ensuring security continuum from edge to cloud: Adaptive security for iot-based critical infrastructures using fl at the edge
Jabr et al. Penetration testing and attack automation simulation: Deep reinforcement learning approach
Nam et al. Virtual machine failure prediction using log analysis
CN110572296B (zh) 一种物联网终端设备通信协议一致性安全检测方法
US20240202326A1 (en) Anomaly Detection on MIL-STD-1553 Dataset Using Machine Learning
Wetzig et al. Unsupervised anomaly alerting for iot-gateway monitoring using adaptive thresholds and half-space trees
CN107251519B (zh) 用于检测通信网络上的假信息的攻击的系统、方法和介质
US20240098102A1 (en) Social graph enabled lateral movement detection

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19825392

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19825392

Country of ref document: EP

Kind code of ref document: A1