WO2020161808A1 - 優先度判定装置、優先度判定方法、及びコンピュータ可読媒体 - Google Patents

優先度判定装置、優先度判定方法、及びコンピュータ可読媒体 Download PDF

Info

Publication number
WO2020161808A1
WO2020161808A1 PCT/JP2019/004117 JP2019004117W WO2020161808A1 WO 2020161808 A1 WO2020161808 A1 WO 2020161808A1 JP 2019004117 W JP2019004117 W JP 2019004117W WO 2020161808 A1 WO2020161808 A1 WO 2020161808A1
Authority
WO
WIPO (PCT)
Prior art keywords
priority
alert
dissimilarity
traffic flow
priority determination
Prior art date
Application number
PCT/JP2019/004117
Other languages
English (en)
French (fr)
Inventor
将平 蛭田
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2020570249A priority Critical patent/JP7081695B2/ja
Priority to PCT/JP2019/004117 priority patent/WO2020161808A1/ja
Priority to US17/428,114 priority patent/US11956256B2/en
Publication of WO2020161808A1 publication Critical patent/WO2020161808A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present disclosure relates to a priority determination device, a priority determination method, and a computer-readable medium.
  • SOC Security Operation Center
  • SOC Security Operation Center
  • the SOC is an organization that analyzes logs generated by information security devices and servers to detect and notify cyber attacks.
  • a network-type intrusion detection device is one of the information security devices used in SOC.
  • the network-type intrusion detection device is a device that detects an attack on a device existing on the network and notifies the SOC analyzer of a security alert.
  • the SOC analyst takes measures such as disconnecting the attacked device from the network based on the security alert.
  • Patent Document 1 a device that determines the importance (priority) of unauthorized access has been proposed (for example, Patent Document 1).
  • the device disclosed in Patent Document 1 defines a plurality of events in advance, performs scoring according to the number of events included in the log information and traffic information, and when the score exceeds a certain threshold, it is illegal. The access is determined, and the importance of unauthorized access is determined according to the score.
  • Patent Document 1 is inconvenient because it is necessary to define an event in advance, and the accuracy of determining the importance (priority) of unauthorized access may deteriorate unless the event is defined in advance. There is a nature.
  • An object of the present disclosure is to provide a priority determination device, a priority determination method, and a computer-readable medium that can improve the determination accuracy of the priority of a security alert.
  • a priority determination apparatus is a transmission record of a first traffic flow related to a first security alert notified from a network type intrusion detection apparatus that detects an attack on a device in a network, and the network type.
  • a dissimilarity index calculation unit that calculates a dissimilarity index with the transmission record of the second traffic flow related to the second security alert notified in the past from the intrusion detection device; and based on the calculated dissimilarity index, And a priority determination unit that determines the priority of the first security alert.
  • a priority determination method is a transmission record of a first traffic flow related to a first security alert notified from a network-type intrusion detection device that detects an attack on a device in a network, and the network-type. Calculating a dissimilarity index with the transmission record of the second traffic flow related to the second security alert notified in the past from the intrusion detection device, and prioritizing the first security alert based on the calculated dissimilarity index. Judge the degree.
  • a computer-readable medium is a transmission record of a first traffic flow related to a first security alert notified from a network-type intrusion detection device that detects an attack on a device in a network, and the network-type intrusion. Calculating a dissimilarity index with the transmission performance characteristic of the second traffic flow related to the second security alert notified in the past from the detection device, and prioritizing the first security alert based on the calculated dissimilarity index.
  • a control program that causes the priority determination device to execute the process of determining the degree is recorded.
  • a priority determination device it is possible to provide a priority determination device, a priority determination method, and a recording medium that can improve the priority determination accuracy of a security alert.
  • FIG. 1 is a block diagram showing an example of a priority determination device according to the first embodiment.
  • the priority determination device 10 includes a dissimilarity index calculation unit 11 and a priority determination unit 12.
  • the dissimilarity index calculation unit 11 acquires the “transmission record” of the traffic flow related to the security alert notified at the first timing from the network-type intrusion detection device (not shown).
  • the “transmission record” includes, for example, a transmission record and a reception record.
  • the “transmission record” includes, for example, the number of transmission packets or the amount of transmission data.
  • the “reception record” includes, for example, the number of received packets or the amount of received data.
  • the security alert notified at the first timing may be referred to as a “determination target alert” or a “first security alert”.
  • the traffic flow related to the security alert notified at the first timing may be referred to as a “first traffic flow”.
  • the dissimilarity index calculation unit 11 acquires the “transmission record” of the traffic flow related to the security alert notified from the network type intrusion detection device (not shown) before the first timing (that is, in the past).
  • the security alerts notified prior to the first timing may be referred to as “past alerts” and “second security alerts”.
  • the traffic flow related to the security alert notified prior to the first timing may be referred to as a “second traffic flow”.
  • the dissimilarity index calculation unit 11 calculates an “dissimilarity index” between the transmission record of the first traffic flow and the transmission record of the second traffic flow.
  • the priority determination unit 12 determines the priority of the first security alert based on the dissimilarity index calculated by the dissimilarity index calculation unit 11. Then, the priority determination unit 12 determines that the dissimilarity level indicated by the dissimilarity index calculated by the dissimilarity index calculation unit 11 is higher than the predetermined level than when the dissimilarity level indicated by the dissimilarity index is equal to or lower than the predetermined level. In that case, a higher priority is assigned to the first security alert.
  • the dissimilarity level indicated by the dissimilarity index is higher than a predetermined level
  • the cyber attack corresponding to the first security alert is different from the past tendency of the cyber attack and the priority (importance level). Means high. That is, the above “dissimilar index” can be used as a determination index for the priority of the security alert.
  • the dissimilarity index calculation unit 11 in the priority determination device 10 determines whether the transmission record of the first traffic flow and the transmission record of the second traffic flow are “non-matching”. "Similarity index" is calculated.
  • the priority determination unit 12 determines the priority of the first security alert based on the dissimilarity index calculated by the dissimilarity index calculation unit 11.
  • the priority determination device 10 it is possible to determine the priority of the security alert using the transmission record of the traffic flow related to the security alert without defining the event in advance. As a result, it is possible to improve the convenience and the accuracy of determining the priority of the security alert.
  • the second embodiment relates to an embodiment in which the distribution dissimilarity (that is, “distribution dissimilarity”) regarding the traffic flow transmission record is used as the “dissimilarity index”.
  • FIG. 2 is a diagram showing an example of the system of the second embodiment.
  • the system 1 includes a network-type intrusion detection device 20, a traffic monitoring device 30, and a priority determination device 40.
  • the network-type intrusion detection device 20 monitors the traffic flow flowing through the boundary between the Internet and the intranet, and detects an attack on a device within the intranet. Then, when the attack is detected, the network-type intrusion detection device 20 sends a security alert including the “alert type information” and the “flow identification information” of the alert target flow to the priority determination device 40.
  • the “alert type information” is, for example, a “threat name” corresponding to the detected attack.
  • the “flow identification information” is, for example, “source information”, “destination information”, and “time” of the alert target flow.
  • the alert type information and the flow identification information included in the security alert may be collectively referred to as “alert information”.
  • the traffic monitoring device 30 monitors the traffic flow flowing through the boundary between the Internet and the intranet, and stores “flow information” of each traffic flow.
  • the “flow information” includes, for example, “flow identification information” and “transmission record”.
  • the traffic monitoring device 30 may store the flow information in the form of a “flow information management table” that holds the flow information of the traffic flow in each entry.
  • FIG. 3 is a diagram showing an example of the flow information management table.
  • the flow information management table shown in FIG. 3 holds flow information in each entry.
  • Each piece of flow information includes flow identification information and transmission records (that is, transmission record information and reception record information).
  • FIG. 4 is a block diagram showing an example of the priority determination device according to the second embodiment.
  • the priority determination device 40 includes an extraction unit 41, an acquisition unit 42, a dissimilarity index calculation unit 43, a priority determination unit 44, and a storage unit (storage device) 45.
  • the storage unit 45 is described here as being included in the priority determination device 40, the storage unit 45 is not limited to this, and the storage unit 45 is connected to the priority determination device 40 and prioritized. It may be a device separate from the degree determination device 40.
  • the extraction unit 41 extracts “alert information” from the security alert sent from the network-type intrusion detection device 20.
  • “alert information” includes alert type information and flow identification information.
  • the acquisition unit 42 acquires flow information including the same flow identification information as the flow identification information of the alert information extracted by the extraction unit 41 from the flow information management table of the traffic monitoring device 30.
  • the alert type information of the alert information extracted by the extraction unit 41 and the flow information acquired from the flow information management table may be collectively referred to as “threat flow information”.
  • the acquisition unit 42 includes all the flow information including the time within a predetermined period based on the time of the threat flow information and including the same source information and destination information as the source information and the destination information of the threat flow information. get. Even if the source port number of the first source information and the source port number of the second source information are different, if the information other than the source port number is the same, the first source The information and the second transmission source information may be treated as the same. All the flow information acquired here may be collectively referred to as “threat flow set information” below. Further, the “predetermined period based on the time of the threat flow information” may be, for example, a period of one hour after the time, or may be 30 minutes before and 30 minutes after the time. ..
  • the “threat flow set information” is flow information of a traffic flow group related to the traffic flow corresponding to the determination target alert. Therefore, the threat flow information and the threat flow set information are likely to correspond to a series of attacks on the devices in the intranet.
  • the acquisition unit 42 stores “past threat flow set information” having the same alert type information (that is, threat name) of the alert information extracted by the extraction unit 41 as “threat” in the storage unit 45.
  • Flowset information management table is a table holding “threat flow set information” acquired in the past by the acquisition unit 42.
  • FIG. 5 is a diagram showing an example of the threat flow set information management table.
  • the threat flow set information management table shown in FIG. 5 holds past threat flow set information. Further, in the threat flow set information management table, a plurality of past threat flow set information having the same threat name is divided into groups based on the dissimilarity index. That is, in the threat flow set information management table of FIG. 5, the past threat flow set information of the transmission source information: A and the transmission destination information X and the past threat flow set information of the transmission source information: A, the transmission destination information Y are similar. It has been determined in the past that they are doing so. On the other hand, in the threat flow set information management table of FIG.
  • the past threat flow set information of the transmission source information: A and the transmission destination information Z is the transmission source information: A, the past threat flow set information of the transmission destination information X and the transmission. It is determined in the past that the source information: A and the destination threat information Y are not similar to the past threat flow set information.
  • the dissimilarity index calculation unit 43 calculates a distribution of transmission results of threat flow set information (hereinafter, may be referred to as “first distribution”). In addition, the dissimilarity index calculation unit 43 calculates the distribution of the past threat flow set information transmission results for each group. The distribution calculated for each group may be referred to as a “second distribution” below. Then, the dissimilarity index calculation unit 43 calculates the distribution dissimilarity between the first distribution and the second distribution of each group (that is, the distribution dissimilarity index) as a “dissimilarity index”.
  • the kernel density estimation method uses Equation (1) to represent the distribution with a probability density.
  • the Kullback-Leibler information amount can be used as the distribution difference degree.
  • the Kullback-Leibler information amount is a scale for measuring the difference between two probability distributions given two probability distributions as inputs. The larger the Kullback-Leibler information amount, the larger the difference between the two distributions.
  • the Kullback-Leibler information amount can be calculated using the equation (2).
  • p and q of the equation (2) are the probability density of the transmission record of the threat flow set information (that is, the first probability density) obtained by the equation (1) and the past threat flow set information of the group unit. It is the probability density of the actual transmission (that is, the second probability density).
  • FIG. 6 is a diagram showing an example of a scatter diagram of transmission results of threat flow set information.
  • FIG. 7 is a diagram showing a kernel density estimator calculated from the transmission record of the threat flow set information of FIG.
  • the dissimilarity index calculation unit 43 calculates the kernel density estimation amount by inputting the two-dimensional data including the transmission record information and the reception record information of the threat flow set information of FIG. 6 as the data X into the formula (1).
  • the input data to the formula (1) may be three-dimensional or more data.
  • the input data to the formula (1) may be three-dimensional data of the transmission record information, the reception record information, and the communication time of the threat flow set information.
  • the kernel function K(x) in Expression (1) may be, for example, a Gaussian function or a cosine function.
  • the bandwidth h may be obtained by, for example, an experiment or a simulation.
  • FIG. 8 to 11 are diagrams showing the probability density used to explain the distribution difference index.
  • 0.215 was obtained as the value of the distribution difference index.
  • the probability density shown in FIG. 10 and the probability density shown in FIG. 11 and the equation (2) are used, the distribution difference index value of 6.652 was obtained. That is, it can be seen that the distribution difference index for two dissimilar distributions is larger than the distribution difference index for two similar distributions.
  • the priority determination unit 44 determines whether the determination target alert (that is, the first security) based on the magnitude of the distribution difference calculated by the dissimilarity index calculation unit 43 and the “first threshold”. Alert) priority is determined.
  • the priority determination unit 44 identifies the minimum value of the distribution dissimilarity and the number of the group (hereinafter, sometimes referred to as “minimum value group”) corresponding to the minimum value. Then, the priority determination unit 44 compares the identified minimum value with the “first threshold”, and when the minimum value is larger than the first threshold, determines that the determination target alert has a high priority. This is because the distribution of the transmission record of threat flow set information related to the alert to be judged is not similar to the distribution of the transmission record of past threat flow set information. This is because it is presumed that it is different from the cyber attack tendency of. Then, the priority determination unit 44 assigns “first priority (that is, high priority)” to the determination target alert.
  • the priority determination unit 44 adds the threat flow set information acquired by the acquisition unit 42 and the new group number obtained by adding 1 to the maximum group number of the groups belonging to the threat name of the determination target alert in the threat flow set information management table. And are stored in the threat flow set information management table in the storage unit 45 in association with each other.
  • the priority determination unit 44 determines that the determination target alert has low priority. This is because the distribution of the transmission record of the threat flow set information related to the judgment target alert is similar to the distribution of the transmission record of the past threat flow set information, so the cyber attack corresponding to the judgment target alert is a past cyber attack. This is because it is presumed to be the same as the tendency of. Then, the priority determination unit 44 assigns “third priority (that is, low priority)” to the determination target alert.
  • the priority determination unit 44 associates the threat flow set information acquired by the acquisition unit 42 with the number of the specified minimum value group and stores them in the threat flow set information management table of the storage unit 45. ..
  • the storage unit (storage device) 45 stores the above flow information management table and threat flow set information management table.
  • FIG. 12 are flowcharts showing an example of the processing operation of the priority determination device in the second embodiment.
  • the process flow of FIG. 12 starts when the priority determination device 40 receives a security alert (a determination target alert, a first security alert).
  • the extraction unit 41 extracts alert information from the determination target alert (step S101).
  • the acquisition unit 42 acquires threat flow information (step S102). For example, the acquisition unit 42 acquires the flow information including the same flow identification information as the flow identification information of the alert information extracted by the extraction unit 41 from the flow information management table of the traffic monitoring device 30. Then, the acquisition unit 42 acquires the alert type information of the alert information extracted by the extraction unit 41, and acquires the threat flow information by combining the alert type information and the acquired flow identification information.
  • the acquisition unit 42 acquires threat flow set information (step S103).
  • the acquisition unit 42 includes all the flow information including the time within a predetermined period based on the time of the threat flow information and including the same source information and destination information as the source information and the destination information of the threat flow information. get.
  • the acquisition unit 42 acquires past threat flow set information (step S104). For example, the acquisition unit 42 stores the past threat flow set information having the same alert type information (that is, the threat name) of the alert information extracted by the extraction unit 41 as the threat flow set information of the storage unit 45. Get from management table.
  • the acquisition unit 42 stores the past threat flow set information having the same alert type information (that is, the threat name) of the alert information extracted by the extraction unit 41 as the threat flow set information of the storage unit 45. Get from management table.
  • the dissimilarity index calculation unit 43 calculates a dissimilarity index using the threat flow set information and the past threat flow set information (step S105). For example, the first distribution of the transmission record of the threat flow set information is calculated. Further, the dissimilarity index calculation unit 43 calculates the second distribution of the transmission record of the past threat flow set information. As described above, the second distribution is the distribution of the past record of the past threat flow set information calculated for each group. Then, the dissimilarity index calculation unit 43 calculates the degree of distribution difference (that is, the distribution difference index) between the first distribution and the second distribution of each group as the dissimilarity index.
  • the degree of distribution difference that is, the distribution difference index
  • the priority determination unit 44 determines the priority of the determination target alert (step S106).
  • FIG. 13 is a flowchart showing an example of the priority determination processing.
  • the priority determination unit 44 identifies the minimum value of the distribution dissimilarities calculated in step S105 and determines whether the minimum value is larger than the first threshold value (step S201).
  • the priority determination unit 44 determines that the determination target alert has a high priority, and the determination target alert has the first priority (that is, high). (Priority) is assigned (step S202).
  • the priority determination unit 44 determines that the determination target alert has low priority, and determines the third priority (that is, low) for the determination target alert. Allocate priority (step S203).
  • the dissimilarity index calculation unit 43 in the priority determination device 40 uses the first distribution of the transmission result of the threat flow set information and the second distribution of the transmission result of the past threat flow set information. The distribution is calculated, and the degree of distribution difference between the first distribution and the second distribution is calculated as a dissimilarity index.
  • the priority determination device 40 it is possible to calculate the distribution dissimilarity of the distribution of the transmission results, in which the similarity of the tendency of the cyber attack appears and the dissimilarity index. Since the priority of the determination target alert can be determined based on this dissimilarity index, the determination accuracy can be improved.
  • the third embodiment relates to an embodiment in which, as compared with the second embodiment, the priority of the determination target alert is further determined based on the presence/absence of “outlier”. Since the basic configuration of the system in the third embodiment is the same as that of the system 1 in the second embodiment, it will be described with reference to FIG. That is, the system 1 of the third embodiment includes the priority determination device 50 of the third embodiment instead of the priority determination device 40 of FIG.
  • FIG. 14 is a block diagram showing an example of the priority determination device according to the third embodiment.
  • the priority determination device 50 has a priority determination unit 51 in addition to the extraction unit 41, the acquisition unit 42, the dissimilarity index calculation unit 43, and the storage unit 45.
  • the priority determination unit 51 has a determination processing unit 51A and an outlier detection unit 51B.
  • the determination processing unit 51A determines the priority of the determination target alert based on the distribution dissimilarity calculated by the dissimilarity index calculation unit 43.
  • the determination processing unit 51A determines the priority of the determination target alert based on whether or not the outlier is detected by the outlier detection unit 51B. For example, when the outlier detection unit 51B detects an outlier, the determination processing unit 51A determines that the determination target alert has a higher priority and assigns the “second priority” to the determination target alert. .. When the outlier is not detected by the outlier detecting unit 51B, the determination processing unit 51A determines that the priority of the determination target alert is low, and assigns the third priority to the determination target alert.
  • the “second priority” has a lower priority than the “first priority” described in the second embodiment and a higher priority than the “third priority”, for example.
  • the outlier detection unit 51B executes the outlier detection process when the minimum value specified by the determination processing unit 51A as described in the second embodiment is equal to or less than the first threshold value. For example, the outlier detection unit 51B stores the past threat flow set information (including the threat flow set information related to the determination target alert) associated with the above-mentioned minimum value group number in the threat flow set information management table. Cluster to form clusters. Then, the outlier detection unit 51B executes a process of detecting an outlier that does not belong to any cluster in the transmission record of the threat flow set information related to the determination target alert.
  • the clustering method is not particularly limited, and may be DBSCAN or x-means, for example.
  • FIG. 15 is a flowchart showing an example of the processing operation of the priority determination device in the third embodiment.
  • FIG. 15 particularly shows the priority determination processing operation corresponding to step S106 of FIG.
  • Steps S301 and S302 in FIG. 15 are the same as steps S201 and S202 in FIG.
  • the outlier detection unit 51B When the minimum value of the identified distribution dissimilarity is equal to or less than the first threshold value (NO in step S301), the outlier detection unit 51B causes the past threat associated with the minimum value group number in the threat flow set information management table. Clustering is performed on the flow set information (step S303). Then, the outlier detection unit 51B executes a process of detecting an outlier that does not belong to any cluster in the transmission record of the threat flow set information related to the determination target alert.
  • the determination processing unit 51A determines whether or not an outlier is detected by the outlier detection unit 51B (step S304).
  • the determination processing unit 51A determines that the determination target alert has a high priority, and assigns the second priority to the determination target alert ( Step S305).
  • the “second priority” has a lower priority than the “first priority” and a higher priority than the “third priority”.
  • the determination processing unit 51A determines that the priority of the determination target alert is low, and assigns the third priority to the determination target alert (step S304). S306).
  • the priority determination unit 51 of the priority determination device 50 determines the past threat flow set information associated with the number of the minimum value group in the threat flow set information management table. Perform clustering on. Then, the priority determination unit 51 executes a process of detecting an outlier that does not belong to any cluster in the transmission record of the threat flow set information related to the determination target alert. Then, the priority determination unit 51 determines the priority of the determination target alert based on whether or not the outlier is detected.
  • the priority of the determination target alert can be determined based on the presence or absence of an outlier in addition to the distribution difference, so that the priority can be determined more precisely.
  • the fourth embodiment relates to an embodiment in which the distance of the traffic flow transmission record is used as the “dissimilar index”. Since the basic configuration of the system in the fourth embodiment is the same as that of the system 1 in the second embodiment, it will be described with reference to FIG. That is, the system 1 of the fourth embodiment includes the priority determination device 60 of the fourth embodiment instead of the priority determination device 40 of FIG.
  • FIG. 16 is a block diagram showing an example of the priority determination device according to the fourth embodiment.
  • the priority determination device 60 includes an acquisition unit 61, a dissimilarity index calculation unit 62, a priority determination unit 63, and a storage unit 64.
  • the acquisition unit 61 acquires “threat flow information” as in the acquisition unit 42 of the second embodiment.
  • the acquisition unit 61 also stores “past threat flow information” having the same alert type information (that is, threat name) of the alert information extracted by the extraction unit 41 as “threat flow” in the storage unit 64.
  • Information management table is a table holding “threat flow information” acquired in the past by the acquisition unit 61.
  • FIG. 17 is a diagram showing an example of the threat flow information management table.
  • the threat flow information management table shown in FIG. 17 holds past threat flow information. Further, in the threat flow information management table, a plurality of past threat flow information having the same threat name are classified into classes based on the dissimilarity index. That is, the past threat flow information belonging to the class of class number 1 with the item “Threat name” of FIG. 17 of “Threat A” has been determined in the past to be similar to other past threat flow information of the same class. It will be. On the other hand, it is determined in the past that the past threat flow information that belongs to the class of class number 2 with the item “Threat name” of FIG. 17 being “Threat A” is not similar to the past threat flow information that belongs to the class of class number 1 Has been done.
  • the dissimilarity index calculation unit 62 calculates a dissimilarity index using the threat flow information and the past threat flow information. For example, the dissimilarity index calculation unit 62 calculates the distance between the transmission record of the threat flow information and the transmission record of each past threat flow information having the same threat name as the threat name of the threat flow information. For example, since the transmission record includes the transmission record and the reception record, the transmission record can be plotted on the coordinate plane of the transmission record and the reception record. Then, the dissimilarity index calculation unit 62 calculates the distance between the coordinate corresponding to the transmission record of the threat flow information and the coordinate corresponding to the transmission record of the past threat flow information.
  • the priority determination unit 63 determines the priority of the determination target alert based on the magnitude of the distance calculated by the dissimilarity index calculation unit 62 and the “second threshold value”.
  • the priority determination unit 63 specifies the minimum value of the distance and the number of the class (hereinafter, sometimes referred to as “minimum value class”) corresponding to the minimum value. Then, the priority determination unit 63 compares the identified minimum value with the “second threshold”, and when the minimum value is larger than the second threshold, determines that the determination target alert has a high priority. This is because the transmission record of threat flow information related to the judgment target alert is not similar to the transmission record of any past threat flow information, so the cyber attack corresponding to the judgment target alert has a tendency of past cyber attacks. This is because they are supposed to be different. Then, the priority determination unit 63 assigns “fourth priority (that is, high priority)” to the determination target alert.
  • the priority determination unit 63 sets the threat flow information acquired by the acquisition unit 61 and the new class number obtained by adding 1 to the maximum class number of the class belonging to the threat name of the determination target alert in the threat flow information management table.
  • the threat flow information management table of the storage unit 64 is stored in association with each other.
  • the priority determination unit 63 determines that the determination target alert has low priority. This is because the transmission history of the threat flow information related to the judgment target alert is similar to the transmission history of the past threat flow information, so the cyber attack corresponding to the judgment target alert is the same as the past cyber attack tendency. It is supposed to be. Then, the priority determination unit 63 assigns “third priority (that is, low priority)” to the determination target alert.
  • the priority determination unit 63 associates the threat flow information acquired by the acquisition unit 61 with the number of the specified minimum value class, and stores them in the threat flow information management table of the storage unit 64.
  • the storage unit 64 stores the above threat flow information management table.
  • FIG. 18 are flowcharts showing an example of the processing operation of the priority determination device in the fourth exemplary embodiment.
  • the process flow of FIG. 18 starts when the priority determination device 60 receives a security alert (a determination target alert, a first security alert).
  • steps S401 and S402 of FIG. 18 is the same as the processing of steps S101 and S102 of FIG.
  • the acquisition unit 61 acquires past threat flow information (step S403).
  • the acquisition unit 61 acquires past threat flow information having the same alert type information as the alert type information of the alert information extracted by the extraction unit 41 from the threat flow information management table of the storage unit 64.
  • the dissimilarity index calculation unit 62 calculates a dissimilarity index using the threat flow information and the past threat flow information (step S404). For example, the dissimilarity index calculation unit 62 calculates the distance between the transmission record of the threat flow information and the transmission record of each past threat flow information having the same threat name as the threat name of the threat flow information.
  • the priority determination unit 63 determines the priority of the alert subject to determination (step S405).
  • FIG. 19 is a flowchart showing an example of the priority determination processing.
  • the priority determination unit 63 identifies the minimum value of the distance calculated in step S404 and determines whether the minimum value is larger than the second threshold value (step S501).
  • the priority determination unit 63 determines that the determination target alert has a high priority, and the determination target alert has the fourth priority (that is, high). Allocate priority (step S502).
  • the priority determination unit 63 determines that the determination target alert has low priority, and the determination target alert has the third priority (that is, low). Allocate priority (step S503).
  • the dissimilarity index calculation unit 62 in the priority determination device 60 uses the distance between the transmission record of the threat flow information and the transmission record of the past threat flow information as the dissimilarity index. calculate.
  • the priority determination device 60 it is possible to calculate, as a dissimilarity index, the distance of the transmission record in which the similarity of the cyber attack tendency appears. Since the priority of the determination target alert can be determined based on this dissimilarity index, the determination accuracy can be improved.
  • the fifth embodiment relates to an embodiment in which “distance”, “distribution dissimilarity”, and “presence/absence of outlier” are used for the priority determination of the determination target alert. That is, the fifth embodiment corresponds to a combination of the third embodiment and the fourth embodiment. Since the basic configuration of the system in the fifth embodiment is the same as that of the system 1 in the second embodiment, it will be described with reference to FIG. That is, the system 1 of the fifth embodiment includes the priority determination device 70 of the fifth embodiment instead of the priority determination device 40 of FIG.
  • FIG. 20 is a block diagram showing an example of the priority determination device according to the fifth embodiment.
  • the priority determination device 70 includes an acquisition unit 71, a dissimilarity index calculation unit 72, a priority determination unit 73, and a storage unit 74.
  • the priority determination unit 73 has a determination processing unit 73A and an outlier detection unit 73B.
  • the acquisition unit 71 acquires threat flow information, similarly to the acquisition unit 42 of the second embodiment.
  • the acquisition unit 71 acquires the past threat flow information, similarly to the acquisition unit 61 of the fourth embodiment.
  • the acquisition unit 71 acquires threat flow set information, as in the acquisition unit 42 of the second embodiment.
  • the acquisition unit 71 acquires the past threat flow set information from the threat flow set information management table, similarly to the acquisition unit 42 of the second embodiment.
  • the threat flow set information management table of the fifth embodiment as shown in FIG. 21, a plurality of past threat flow set information having the same threat name is divided into classes and groups based on the dissimilarity index. ing.
  • FIG. 21 is a diagram showing an example of the threat flow set information management table of the fifth embodiment.
  • the dissimilarity index calculation unit 72 calculates the distance as a dissimilarity index using the threat flow information and the past threat flow information.
  • the dissimilarity index calculation unit 72 calculates the distribution dissimilarity as a dissimilarity index using the threat flow set information and the past threat flow set information, similarly to the dissimilarity index calculation unit 43 of the second embodiment. ..
  • the determination processing unit 73A identifies the minimum distance value and the minimum value class number. Then, the priority determination unit 63 compares the identified minimum value of the distance with the “second threshold value”, and when the minimum value is larger than the second threshold value, determines that the determination target alert has a high priority. Then, the determination processing unit 73A assigns “fourth priority (that is, high priority)” to the determination target alert.
  • the determination processing unit 73A associates the threat flow information acquired by the acquisition unit 71 with the new class number obtained by adding 1 to the maximum class number of the class belonging to the threat name of the determination target alert in the threat flow information management table. In addition, it is stored in the threat flow information management table of the storage unit 74.
  • the determination processing unit 73A determines the minimum value and the minimum value of the distribution difference calculated for each group in the minimum value class as in the second embodiment. Identify groups and.
  • the determination processing unit 73A associates the threat flow information acquired by the acquisition unit 71 with the above minimum value class, and stores the same in the storage unit 74. It is stored in the threat flow information management table. Then, the determination processing unit 73A compares the identified minimum value of the distribution dissimilarity with the "first threshold value", and when the minimum value is larger than the first threshold value, determines that the determination target alert has a high priority. .. Then, the determination processing unit 73A assigns “first priority (that is, high priority)” to the determination target alert.
  • the determination processing unit 73A sets the threat flow set information acquired by the acquisition unit 71, and a new group number obtained by adding 1 to the maximum group number of the group belonging to the threat name of the determination target alert in the threat flow set information management table. , And the above-mentioned minimum value class are stored in the threat flow set information management table of the storage unit 74 in association with each other.
  • the determination processing unit 73A determines the priority of the determination target alert based on whether or not the outlier is detected by the outlier detection unit 73B. To judge. For example, when the outlier detection unit 73B detects an outlier, the determination processing unit 73A determines that the determination target alert has a high priority and assigns the “second priority” to the determination target alert. .. If the outlier detection unit 73B does not detect an outlier, the determination processing unit 73A determines that the determination target alert has a low priority, and assigns a third priority to the determination target alert.
  • the determination processing unit 73A determines that the threat flow set information acquired by the acquisition unit 71, the minimum value class, and the minimum value group. And are stored in the threat flow set information management table of the storage unit 74 in association with each other.
  • various priorities of the first priority, the second priority, and the fourth priority can be set, and for example, may be lowered in this order.
  • each of the first priority, the second priority, and the fourth priority has a higher priority than the third priority (low priority).
  • the outlier detection unit 73B executes the outlier detection processing similarly to the outlier detection unit 51B of the third embodiment.
  • the storage unit 74 stores a flow information management table, a threat flow set information management table, and a threat flow information management table.
  • FIG. 22 are flowcharts showing an example of the processing operation of the priority determination device in the fifth embodiment.
  • the processing flow of FIG. 22 starts when the priority determination device 70 receives a security alert (a determination target alert, a first security alert).
  • step S601 of FIG. 22 is the same as the process of step S101 of FIG.
  • the acquisition unit 71 acquires threat flow information (step S602), acquires past threat flow information (step S603), acquires threat flow set information (step S604), and acquires past threat flow set information (step). S605).
  • the dissimilarity index calculation unit 72 calculates the distance as the dissimilarity index using the threat flow information and the past threat flow information, and the distribution as the dissimilarity index using the threat flow set information and the past threat flow set information. The degree of difference is calculated (step S606).
  • the determination processing unit 73A determines the priority of the determination target alert (step S607).
  • FIG. 23 is a flowchart showing an example of the priority determination processing.
  • the determination processing unit 73A identifies the minimum value of the distance calculated in step S606 and determines whether the minimum value is larger than the second threshold value (step S701).
  • the determination processing unit 73A determines that the determination target alert has a high priority, and the determination target alert has the fourth priority (that is, High priority) is assigned (step S702). Then, the determination processing unit 73A associates the threat flow information acquired by the acquisition unit 71 with the new class number obtained by adding 1 to the maximum class number of the class belonging to the threat name of the determination target alert, and stores the storage unit 74. It is stored in the threat flow information management table.
  • the determination processing unit 73A identifies the minimum value and the minimum value group of the distribution dissimilarity calculated for each group in the minimum value class.
  • the identified minimum value of the distribution dissimilarity is compared with the "first threshold value" (step S703).
  • the determination processing unit 73A associates the threat flow information acquired by the acquisition unit 71 with the above-described minimum value class, and stores it in the storage unit 74. It is stored in the threat flow information management table.
  • the determination processing unit 73A determines that the determination target alert has a high priority, and the determination target alert is “first priority level”. (That is, high priority)” is assigned (step S704). Then, the determination processing unit 73A determines the threat flow set information acquired by the acquisition unit 71, a new group number obtained by adding 1 to the maximum group number of the groups belonging to the threat name of the determination target alert, and the minimum value class. Are stored in the threat flow set information management table of the storage unit 74 in association with each other.
  • the outlier detection unit 73B determines the past threat associated with the minimum value group number in the threat flow set information management table. Clustering is performed on the flow set information (step S705). Then, the outlier detection unit 73B executes a process of detecting an outlier that does not belong to any cluster in the transmission result of the threat flow set information related to the determination target alert. In addition, when the minimum value of the identified distribution dissimilarity is less than or equal to the first threshold value, the determination processing unit 73A determines that the threat flow set information acquired by the acquisition unit 71, the minimum value class, and the minimum value group. And are stored in the threat flow set information management table of the storage unit 74 in association with each other.
  • the determination processing unit 73A determines whether or not an outlier is detected by the outlier detection unit 73B (step S706).
  • the determination processing unit 73A determines that the determination target alert has a high priority, and assigns the second priority to the determination target alert ( Step S707).
  • the determination processing unit 73A determines that the priority of the determination target alert is low, and assigns the third priority to the determination target alert (step S706). S708).
  • the acquisition unit 71 acquires the threat flow set information and the past threat flow set information before the determination processing unit 73A performs the distance-based priority determination, and the dissimilarity index calculation unit 72 causes the threat flow set information to be acquired.
  • the description has been made assuming that the distribution dissimilarity is calculated using the information and the past threat flow set information, but the present invention is not limited to this.
  • the acquisition unit 71 acquires the threat flow set information and the past threat flow set information after the determination processing unit 73A determines that the minimum distance value is equal to or less than the second threshold value, and calculates the dissimilarity index.
  • the unit 72 may calculate the distribution dissimilarity using the threat flow set information and the past threat flow set information. In this case, the acquisition unit 71 may acquire the past threat flow set information in the minimum value class, and the dissimilarity index calculation unit 72 may calculate the distribution difference degree regarding the acquired past threat flow set information in the minimum value class. Should be calculated.
  • the priority determination device 70 can determine the priority of the determination target alert based on the distance, the distribution dissimilarity, and the presence/absence of an outlier. It can be determined more precisely.
  • the sixth embodiment relates to display control according to priority.
  • FIG. 24 is a block diagram showing an example of the priority determination device of the sixth exemplary embodiment.
  • the priority determination device 80 includes an extraction unit 81, an acquisition unit 82, a dissimilarity index calculation unit 83, a priority determination unit 84, a storage unit 85, and a display control unit 86. ..
  • the priority determination device 80 is connected to the display device 90.
  • the extraction unit 81, the acquisition unit 82, the dissimilarity index calculation unit 83, the priority determination unit 84, and the storage unit 85 of the priority determination device 80 have the priority levels according to any one of the second to fifth embodiments. It may have the same function as the corresponding functional unit in the determination device.
  • the priority determination device 80 corresponds to the priority determination device 40 of the second embodiment.
  • the display control unit 86 controls the display device 90 to display security alerts according to priority.
  • the display control unit 86 causes the display device 90 to display the alert information of each security alert. At this time, the display controller 86 preferentially or emphasizes and displays the high-priority security alert.
  • the display control unit 86 may display a plurality of security alerts on the display screen of the display device 90 in order from the security alert with the highest priority, regardless of the order of occurrence.
  • the security alerts 4 and 9 have high priority, and the other security alerts have low priority.
  • the display control unit 86 for example, by setting the thickness of the frame surrounding the alert information of the high-priority security alert to be thicker than the thickness of the frame surrounding the alert information of the low-priority security alert, High security alerts may be highlighted.
  • the display control unit 86 may change the characters of the alert information or the color of the display area according to the priority of the security alert, for example. Also, these display methods may be combined.
  • the display control unit 86 responds to the alert information displayed in the display area.
  • the display control may be performed so that the scatter diagram of the transmission record information of the threat flow set information and the scatter diagram of the transmission record information of the past threat flow set information are pop-up displayed.
  • the display control unit 86 may display a pop-up of the reason for determining the priority of the security alert. As the reason for determining the priority, for example, "threat flow set information is completely different from past threat flow set information" may be displayed.
  • the display control unit 86 can perform display control in the same manner as the display control described above.
  • the display control unit 86 may perform the following display control.
  • the display controller 86 may display the security alert by distinguishing between the first priority and the second priority.
  • the display control unit 86 controls the display so that, for example, the alert information corresponding to the first priority, the alert information corresponding to the second priority, and the alert information corresponding to the third priority are displayed in this order. You may go.
  • the display control unit 86 may, for example, set the color of the alert information corresponding to the first priority to "red", the color of the alert information corresponding to the second priority to "yellow", and the alert corresponding to the third priority. Display control may be performed so that the color of information is “blue”.
  • the display control unit 86 sets the thickness of the frame surrounding the alert information to the thickest frame corresponding to the first priority, the second thickest frame corresponding to the second priority, and the third priority.
  • the display control may be performed so that the frame to be displayed becomes the thinnest. Further, these display methods may be combined.
  • the display control unit 86 may display the security alert without distinguishing between the first priority and the second priority. In this case, the color corresponding to the first priority and the color corresponding to the second priority are the same.
  • the thickness of the frame corresponding to the first priority and the thickness of the frame corresponding to the second priority are the same.
  • the display control unit 86 may perform the following display control.
  • the display control unit 86 may display the security alert by distinguishing between the first priority, the second priority, and the fourth priority.
  • the display control unit 86 for example, alert information corresponding to the first priority, alert information corresponding to the second priority, alert information corresponding to the fourth priority, alert information corresponding to the third priority. You may perform display control so that it may be displayed in order.
  • the display control unit 86 for example, the alert information color corresponding to the first priority is "red", the alert information color corresponding to the second priority is "yellow", and the alert information corresponding to the fourth priority.
  • the display control may be performed so that the color of the information is “yellow green” and the color of the alert information corresponding to the third priority is “blue”.
  • the display control unit 86 sets the thickness of the frame surrounding the alert information to the thickest frame corresponding to the first priority, the second thickest frame corresponding to the second priority, and the fourth priority.
  • the display control may be performed such that the frame to be used is next thicker and the frame corresponding to the third priority is the thinnest. Further, these display methods may be combined.
  • the display control unit 86 may display the security alert without distinguishing the first priority, the second priority, and the fourth priority. In this case, the color corresponding to the first priority, the color corresponding to the second priority, and the color corresponding to the fourth priority are the same.
  • the thickness of the frame corresponding to the first priority, the thickness of the frame corresponding to the second priority, and the thickness of the frame corresponding to the fourth priority are the same.
  • the display control unit 86 executes the control to display the security alert according to the priority.
  • the priority determination device 80 With this configuration of the priority determination device 80, it becomes possible to display a security alert having a high priority with priority or emphasis. For this reason, since the security alert having a high priority can be recognized at a glance, the SOC analyst can preferentially take measures against the situation corresponding to the security alert having a high priority. As a result, the security level of the corresponding network can be improved. It is also possible to improve the work efficiency of the SOC analyst.
  • FIG. 28 is a diagram illustrating a hardware configuration example of the priority determination device. 28, the priority determination device 100 has a processor 101 and a memory 102.
  • the processor 101 may be, for example, a microprocessor, MPU (Micro Processing Unit), or CPU (Central Processing Unit).
  • the processor 101 may include a plurality of processors.
  • the memory 102 is composed of a combination of a volatile memory and a non-volatile memory.
  • the memory 102 may include storage located remotely from the processor 101. In this case, the processor 101 may access the memory 102 via an I/O interface (not shown).
  • Each of the priority determination devices 10, 40, 50, 60, 70, 80 of the first to sixth embodiments can have the hardware configuration shown in FIG. 28.
  • non-transitory computer readable media examples include magnetic recording media (eg, flexible disks, magnetic tapes, hard disk drives), magneto-optical recording media (eg, magneto-optical disks). Further, examples of the non-transitory computer-readable medium include CD-ROM (Read Only Memory), CD-R, and CD-R/W. Further, examples of non-transitory computer readable media include semiconductor memory. The semiconductor memory includes, for example, a mask ROM, a PROM (Programmable ROM), an EPROM (Erasable PROM), a flash ROM, and a RAM (Random Access Memory). In addition, the program may be supplied to the priority determination devices 10, 40, 50, 60, 70, 80 by various types of transitory computer readable media.
  • Examples of transitory computer-readable media include electrical signals, optical signals, and electromagnetic waves.
  • the temporary computer-readable medium can supply the program to the priority determination devices 10, 40, 50, 60, 70, 80 via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.
  • the priority determination unit when the dissimilarity level indicated by the calculated dissimilarity index is higher than a predetermined level than when the dissimilarity level indicated by the calculated dissimilarity index is equal to or lower than a predetermined level, Assigning a higher priority to the first security alert, The priority determination device according to attachment 1.
  • the dissimilarity index calculation unit calculates a first distribution regarding a transmission record of the first traffic flow and a second distribution regarding a transmission record of the second traffic flow, and calculates a distribution between the first distribution and the second distribution.
  • the distribution dissimilarity is calculated as the dissimilarity index, The priority determination device according to attachment 1 or 2.
  • the dissimilarity index calculation unit calculates, as the dissimilarity index, a distance between the transmission record of the first traffic flow and the transmission record of the second traffic flow. 4.
  • the priority determination device according to any one of appendices 1 to 3.
  • the priority determination unit further determines the priority of the first security alert based on whether or not an outlier exists in the transmission record of the first traffic flow and the transmission record of the second traffic flow. , 5.
  • the priority determination device according to any one of appendices 1 to 4.
  • Each of the first security alert and the second security alert includes alert type information and flow identification information of an alert target flow
  • the dissimilarity index calculation unit divides the transmission results of the second traffic flow related to each second security alert previously notified from the network-type intrusion detection device into groups based on alert identification information and distribution dissimilarity.
  • the distribution dissimilarity of the transmission record of each group corresponding to the same alert identification information as that of the first security alert and the transmission record of the first traffic flow related to the first security alert among a plurality of groups is calculated. calculate, The priority determination device according to attachment 3.
  • the priority determination unit determines the priority of the first security alert based on the magnitude of the distribution difference calculated in units of the group and the first threshold, The priority determination device according to attachment 6.
  • Each of the first security alert and the second security alert includes alert type information and flow identification information of an alert target flow
  • the dissimilarity index calculation unit transmits the second traffic flow related to each second security alert, which has been notified from the network intrusion detection device in the past and includes the same alert identification information as the first security alert, and Calculating the distance for the transmission record of the first traffic flow related to the first security alert, The priority determination device according to attachment 4.
  • the priority determination unit determines the priority of the first security alert based on the magnitude of the calculated distance and a second threshold, The priority determination device according to attachment 8.
  • the priority determination unit If the distribution dissimilarity is greater than a first threshold, a first priority is assigned to the first security alert, When the distribution dissimilarity is less than or equal to the first threshold and there is an outlier in the transmission record of the first traffic flow and the transmission record of the second traffic flow, the first priority is lower than the first priority. Assign two priorities, When the distribution dissimilarity is equal to or less than the first threshold and there is no outlier in the transmission record of the first traffic flow and the transmission record of the second traffic flow, the second priority is lower than the second priority. Assign 3 priorities, The priority determination device according to attachment 3.
  • the dissimilarity index calculation unit calculates, as the dissimilarity index, a distance between the transmission record of the first traffic flow and the transmission record of the second traffic flow.
  • the priority determination unit Assigning a fourth priority to the first security alert if the distance is greater than a second threshold; When the distance is less than or equal to the second threshold and the distribution dissimilarity is greater than a first threshold, a first priority having a higher priority than the fourth priority is assigned to the first security alert, When the distance is less than or equal to the second threshold value, the distribution difference is less than or equal to the first threshold value, and there is an outlier in the transmission record of the first traffic flow and the transmission record of the second traffic flow, A second priority having a lower priority than the first priority and a higher priority than the fourth priority is assigned, When the distance is less than or equal to the second threshold and the distribution difference is less than or equal to the first threshold and there is no outlier in the transmission record of the first traffic flow and the transmission record of the second traffic flow, Assigning a third priority
  • Appendix 12 A display control unit for controlling display according to the priority, The priority determination device according to any one of appendices 1 to 11.
  • Priority determination unit DESCRIPTION OF SYMBOLS 1 System 10 Priority determination device 11 Dissimilarity index calculation unit 12 Priority determination unit 20 Network type intrusion detection device 30 Traffic monitoring device 40 Priority determination device 41 Extraction unit 42 Acquisition unit 43 Dissimilarity index calculation unit 44 Priority determination unit 45 storage unit (storage device) 50 priority determination device 51 priority determination unit 51A determination processing unit 51B outlier detection unit 60 priority determination device 61 acquisition unit 62 dissimilarity index calculation unit 63 priority determination unit 64 storage unit 70 priority determination device 71 acquisition unit 72 Dissimilarity index calculation unit 73 Priority determination unit 73A Determination processing unit 73B Outlier value detection unit 74 Storage unit 80 Priority determination device 81 Extraction unit 82 Acquisition unit 83 Dissimilarity index calculation unit 84 Priority determination unit 85 Storage unit 86 Display control Part 90 Display device

Abstract

優先度判定装置（１０）において非類似指標算出部（１１）は、ネットワーク内の機器への攻撃を検知するネットワーク型侵入検知装置から通知された第１セキュリティアラートに関連する第１トラヒックフローの伝送実績と、ネットワーク型侵入検知装置から過去に通知された第２セキュリティアラートに関連する第２トラヒックフローの伝送実績との非類似指標を算出する。優先度判定部（１２）は、非類似指標算出部（１１）によって算出された非類似指標に基づいて、第１セキュリティアラートの優先度を判定する。

Description

優先度判定装置、優先度判定方法、及びコンピュータ可読媒体
　本開示は、優先度判定装置、優先度判定方法、及びコンピュータ可読媒体に関する。
　企業等を含む多く組織は、サイバー攻撃から組織の重要情報を守るために、ＳＯＣ（Security Operation Center)を組織し、又は、外部のＳＯＣサービスを利用している。ＳＯＣとは、情報セキュリティ機器及びサーバなどが生成するログを分析し、サイバー攻撃の検出及び通知を行う組織である。
　ＳＯＣで使用されている情報セキュリティ機器の一つに、ネットワーク型侵入検知装置がある。ネットワーク型侵入検知装置は、ネットワーク上に存在する機器への攻撃を検知し、ＳＯＣ分析官にセキュリティアラートを通知する装置である。ＳＯＣ分析官は、セキュリティアラートに基づいて、攻撃を受けた機器をネットワークから切断するといった対策を講じている。
　一方で、近年のネットワークには、多種多様な機器が接続されている。このため、サイバー攻撃も多種多様化しており、ネットワーク型侵入検知装置が通知するセキュリティアラートの種類及び数が増加している。このため、優先度が高いセキュリティアラートを優先して通知する仕組みが求められている。
　関連する技術として、不正アクセスの重要性（優先度）を判定する装置が提案されている（例えば、特許文献１）。特許文献１に開示されている装置は、予め複数のイベントが定義されており、ログ情報及びトラフィック情報に含まれるイベントの数に応じてスコアリングを行い、スコアがある閾値を超えた場合、不正アクセスであると判定し、スコアに応じて、不正アクセスの重要性を判定する。
国際公開第２０１４／１１９６６９号
　しかしながら、特許文献１に開示された技術では、予めイベントを定義する必要があるため利便性に欠け、予めイベントを定義できていないと不正アクセスの重要度（優先度）の判定精度が劣化する可能性がある。
　本開示の目的は、セキュリティアラートの優先度の判定精度を向上させることができる、優先度判定装置、優先度判定方法、及びコンピュータ可読媒体を提供することにある。
　第１の態様にかかる優先度判定装置は、ネットワーク内の機器への攻撃を検知するネットワーク型侵入検知装置から通知された第１セキュリティアラートに関連する第１トラヒックフローの伝送実績と、前記ネットワーク型侵入検知装置から過去に通知された第２セキュリティアラートに関連する第２トラヒックフローの伝送実績との非類似指標を算出する非類似指標算出部と、前記算出された非類似指標に基づいて、前記第１セキュリティアラートの優先度を判定する優先度判定部と、を具備する。
　第２の態様にかかる優先度判定方法は、ネットワーク内の機器への攻撃を検知するネットワーク型侵入検知装置から通知された第１セキュリティアラートに関連する第１トラヒックフローの伝送実績と、前記ネットワーク型侵入検知装置から過去に通知された第２セキュリティアラートに関連する第２トラヒックフローの伝送実績との非類似指標を算出し、前記算出された非類似指標に基づいて、前記第１セキュリティアラートの優先度を判定する。
　第３の態様にかかるコンピュータ可読媒体は、ネットワーク内の機器への攻撃を検知するネットワーク型侵入検知装置から通知された第１セキュリティアラートに関連する第１トラヒックフローの伝送実績と、前記ネットワーク型侵入検知装置から過去に通知された第２セキュリティアラートに関連する第２トラヒックフローの伝送実績特性との非類似指標を算出し、前記算出された非類似指標に基づいて、前記第１セキュリティアラートの優先度を判定する、処理を、優先度判定装置に実行させる制御プログラムを記録する。
　本開示により、セキュリティアラートの優先度の判定精度を向上させることができる、優先度判定装置、優先度判定方法、及び記録媒体を提供することができる。
第１実施形態における優先度判定装置の一例を示すブロック図である。 第２実施形態のシステムの一例を示す図である。 フロー情報管理テーブルの一例を示す図である。 第２実施形態における優先度判定装置の一例を示すブロック図である。 脅威フローセット情報管理テーブルの一例を示す図である。 脅威フローセット情報の伝送実績の散布図の一例を示す図である。 図６の脅威フローセット情報の伝送実績から求めたカーネル密度推定量を示す図である。 分布相違指標の説明に供する、確率密度を示す図である。 分布相違指標の説明に供する、確率密度を示す図である。 分布相違指標の説明に供する、確率密度を示す図である。 分布相違指標の説明に供する、確率密度を示す図である。 第２実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。 第２実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。 第３実施形態における優先度判定装置の一例を示すブロック図である。 第３実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。 第４実施形態における優先度判定装置の一例を示すブロック図である。 脅威フロー情報管理テーブルの一例を示す図である。 第４実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。 第４実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。 第５実施形態における優先度判定装置の一例を示すブロック図である。 脅威フローセット情報管理テーブルの一例を示す図である。 第５実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。 第５実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。 第６実施形態の優先度判定装置の一例を示すブロック図である。 第６実施形態の表示制御の説明に供する図である。 第６実施形態の表示制御の説明に供する図である。 第６実施形態の表示制御の説明に供する図である。 優先度判定装置のハードウェア構成例を示す図である。
　以下、図面を参照しつつ、実施形態について説明する。なお、実施形態において、同一又は同等の要素には、同一の符号を付し、重複する説明は省略される。
＜第１実施形態＞
　図１は、第１実施形態における優先度判定装置の一例を示すブロック図である。図１において優先度判定装置１０は、非類似指標算出部１１と、優先度判定部１２とを有している。
　非類似指標算出部１１は、ネットワーク型進入検知装置（不図示）から第１タイミングで通知されたセキュリティアラートに関連するトラヒックフローの「伝送実績」を取得する。「伝送実績」は、例えば、送信実績及び受信実績を含む。「送信実績」は、例えば、送信パケット数又は送信データ量を含む。「受信実績」は、例えば、受信パケット数又受信データ量を含む。以下では、第１タイミングで通知されたセキュリティアラートを、「判定対象アラート」、「第１セキュリティアラート」と呼ぶことがある。また、以下では、第１タイミングで通知されたセキュリティアラートに関連するトラヒックフローを、「第１トラヒックフロー」と呼ぶことがある。
　また、非類似指標算出部１１は、ネットワーク型侵入検知装置（不図示）から第１タイミングより前（つまり、過去）に通知されたセキュリティアラートに関連するトラヒックフローの「伝送実績」を取得する。以下では、第１タイミングより前（つまり、過去）に通知されたセキュリティアラートを、「過去アラート」、「第２セキュリティアラート」と呼ぶことがある。また、第１タイミングより前（つまり、過去）に通知されたセキュリティアラートに関連するトラヒックフローを、「第２トラヒックフロー」と呼ぶことがある。
　そして、非類似指標算出部１１は、上記の第１トラヒックフローの伝送実績と、上記の第２トラヒックフローの伝送実績との「非類似指標」を算出する。
　優先度判定部１２は、非類似指標算出部１１によって算出された非類似指標に基づいて、第１セキュリティアラートの優先度を判定する。そして、優先度判定部１２は、非類似指標算出部１１にて算出された非類似指標が示す非類似レベルが所定レベル以下である場合よりも該非類似指標が示す非類似レベルが所定レベルより高い場合に、第１セキュリティアラートに対してより高い優先度を割り当てる。
　ここで、「上記の非類似指標が示す非類似レベルが所定レベルより高い」ことは、例えば第１セキュリティアラートに対応するサイバー攻撃が過去のサイバー攻撃の傾向と異なっており優先度（重要度）が高いことを意味している。すなわち、上記の「非類似指標」は、セキュリティアラートの優先度についての判定指標として用いることができる。
　以上のように第１実施形態によれば、優先度判定装置１０において非類似指標算出部１１は、上記の第１トラヒックフローの伝送実績と、上記の第２トラヒックフローの伝送実績との「非類似指標」を算出する。優先度判定部１２は、非類似指標算出部１１によって算出された非類似指標に基づいて、上記の第１セキュリティアラートの優先度を判定する。
　この優先度判定装置１０の構成により、事前にイベントを定義することなく、セキュリティアラートに関連するトラヒックフローの伝送実績を用いてセキュリティアラートの優先度を判定することができる。これにより、利便性、及び、セキュリティアラートの優先度の判定精度を向上させることができる。
＜第２実施形態＞
　第２実施形態は、「非類似指標」として、トラヒックフローの伝送実績についての分布の相違度（つまり、「分布相違度」）を用いる実施形態に関する。
　＜システムの概要＞
　図２は、第２実施形態のシステムの一例を示す図である。図２においてシステム１は、ネットワーク型進入検知装置２０と、トラヒック監視装置３０と、優先度判定装置４０とを有している。
　ネットワーク型進入検知装置２０は、インターネットとイントラネットとの境界を流れるトラヒックフローを監視して、イントラネット内の機器への攻撃を検知する。そして、該攻撃が検知された場合、ネットワーク型進入検知装置２０は、「アラート種別情報」及びアラート対象フローの「フロー特定情報」を含むセキュリティアラートを優先度判定装置４０へ送出する。「アラート種別情報」は、例えば、検知された攻撃に対応する「脅威名」である。また、「フロー特定情報」は、例えば、アラート対象フローの「送信元情報」、「送信先情報」、及び「時刻」である。なお、以下では、セキュリティアラートに含まれるアラート種別情報及びフロー特定情報をまとめて「アラート情報」と呼ぶことがある。
　トラヒック監視装置３０は、インターネットとイントラネットとの境界を流れるトラヒックフローを監視して、各トラヒックフローの「フロー情報」を記憶する。「フロー情報」は、例えば、「フロー特定情報」及び「伝送実績」を含む。トラヒック監視装置３０は、各エントリにトラヒックフローのフロー情報を保持する「フロー情報管理テーブル」の形式で、フロー情報を記憶してもよい。
　図３は、フロー情報管理テーブルの一例を示す図である。図３に示すフロー情報管理テーブルは、各エントリにフロー情報を保持している。各フロー情報は、フロー特定情報及び伝送実績（つまり、送信実績情報及び受信実績情報）を含んでいる。
　＜優先度判定装置の構成例＞
　図４は、第２実施形態における優先度判定装置の一例を示すブロック図である。図４において優先度判定装置４０は、抽出部４１と、取得部４２と、非類似指標算出部４３と、優先度判定部４４と、記憶部（記憶装置）４５とを有している。なお、ここでは、記憶部４５が優先度判定装置４０に含まれているものとして説明を行うが、これに限定されるものではなく、記憶部４５は、優先度判定装置４０と接続され且つ優先度判定装置４０とは別体の装置であってもよい。
　抽出部４１は、ネットワーク型進入検知装置２０から送出されたセキュリティアラートから「アラート情報」を抽出する。上記の通り、「アラート情報」は、アラート種別情報及びフロー特定情報を含む。
　取得部４２は、抽出部４１にて抽出されたアラート情報のフロー特定情報と同じフロー特定情報を含むフロー情報を、トラヒック監視装置３０のフロー情報管理テーブルから取得する。なお、以下では、抽出部４１にて抽出されたアラート情報のアラート種別情報とフロー情報管理テーブルから取得されたフロー情報とを合わせて、「脅威フロー情報」と呼ぶことがある。
　また、取得部４２は、脅威フロー情報の時刻を基準とする所定期間内の時刻を含み且つ脅威フロー情報の送信元情報及び送信先情報と同じ送信元情報及び送信先情報を含むフロー情報をすべて取得する。なお、第１の送信元情報の送信元ポート番号と第２の送信元情報の送信元ポート番号とが異なる場合でも送信元ポート番号以外の情報が同じである場合には、第１の送信元情報と第２の送信元情報とは同じであると扱ってもよい。ここで取得されたすべてのフロー情報をまとめて、以下では「脅威フローセット情報」と呼ことがある。また、「脅威フロー情報の時刻を基準とする所定期間」は、例えば、該時刻から１時間後までの期間であってもよいし、該時刻の３０分前から３０分後であってもよい。すなわち、「脅威フローセット情報」は、判定対象アラートに対応するトラヒックフローに関連するトラヒックフロー群のフロー情報である。このため、脅威フロー情報及び脅威フローセット情報は、イントラネット内の機器への一連の攻撃に対応する可能性が高い。
　また、取得部４２は、抽出部４１にて抽出されたアラート情報のアラート種別情報（つまり、脅威名）とアラート種別情報が同じである「過去脅威フローセット情報」を、記憶部４５の「脅威フローセット情報管理テーブル」から取得する。「脅威フローセット情報管理テーブル」は、取得部４２によって過去に取得された「脅威フローセット情報」を保持するテーブルである。
　図５は、脅威フローセット情報管理テーブルの一例を示す図である。図５に示す脅威フローセット情報管理テーブルは、過去脅威フローセット情報を保持している。また、脅威フローセット情報管理テーブルでは、脅威名が同じである複数の過去脅威フローセット情報を、非類似指標に基づいてグループ分けしている。すなわち、図５の脅威フローセット情報管理テーブルにおける、送信元情報：Ａ、送信先情報Ｘの過去脅威フローセット情報と送信元情報：Ａ、送信先情報Ｙの過去脅威フローセット情報とは、類似していると過去に判定されていることになる。一方で、図５の脅威フローセット情報管理テーブルにおける、送信元情報：Ａ、送信先情報Ｚの過去脅威フローセット情報は、送信元情報：Ａ、送信先情報Ｘの過去脅威フローセット情報及び送信元情報：Ａ、送信先情報Ｙの過去脅威フローセット情報のいずれとも類似していないと過去に判定されていることになる。
　非類似指標算出部４３は、脅威フローセット情報の伝送実績の分布（以下では、「第１分布」と呼ぶことがある）を算出する。また、非類似指標算出部４３は、過去脅威フローセット情報の伝送実績の分布を上記グループ単位で算出する。このグループ単位で算出された分布を、以下では「第２分布」と呼ぶことがある。そして、非類似指標算出部４３は、第１分布と各グループの第２分布との分布相違度（つまり、分布相違指標）を、「非類似指標」として算出する。
　例えば、分布を表現する手法には、例えば、カーネル密度推定手法がある。カーネル密度推定手法は、式（１）を用いて、分布を確率密度で表現する。
Figure JPOXMLDOC01-appb-M000001
　また、例えば、分布相違度としては、カルバック・ライブラー情報量を用いることができる。カルバック・ライブラー情報量は、２つの確率分布を入力として与え、２つの確率分布の差異を計る尺度である。カルバック・ライブラー情報量が大きい値であるほど、２つの分布の差異は大きい。例えば、式（２）を用いて、カルバック・ライブラー情報量を算出することができる。
Figure JPOXMLDOC01-appb-M000002
　すなわち、式（２）のｐ及びｑは、式（１）で求めた、脅威フローセット情報の伝送実績の確率密度（つまり、第１確率密度）、及び、グループ単位の過去脅威フローセット情報の伝送実績の確率密度（つまり、第２確率密度）である。
　図６は、脅威フローセット情報の伝送実績の散布図の一例を示す図である。図７は、図６の脅威フローセット情報の伝送実績から求めたカーネル密度推定量を示す図である。非類似指標算出部４３は、図６の脅威フローセット情報の送信実績情報及び受信実績情報からなる２次元データをデータＸとして式（１）に入力することにより、カーネル密度推定量を算出する。なお、式（１）への入力データは、３次元以上のデータであってもよい。例えば、式（１）への入力データは、脅威フローセット情報の送信実績情報、受信実績情報、及び通信時間の３次元データであってもよい。また、式（１）におけるカーネル関数Ｋ（ｘ）は、例えば、ガウス関数又はコサイン関数であってもよい。また、バンド幅ｈは、例えば、実験又はシミュレーションによって求められてもよい。
　図８乃至図１１は、分布相違指標の説明に供する、確率密度を示す図である。図８に示す確率密度及び図９に示す確率密度と式（２）とを用いた場合、分布相違指標の値として、０．２１５が得られた。また、図１０に示す確率密度及び図１１に示す確率密度と式（２）とを用いた場合、分布相違指標の値として、６．６５２が得られた。すなわち、類似していない２つの分布についての分布相違指標は、類似している２つの分布についての分布相違指標よりも大きくなることがわかる。
　図４の説明に戻り、優先度判定部４４は、非類似指標算出部４３にて算出された分布相違度と「第１閾値」との大小に基づいて、判定対象アラート（つまり、第１セキュリティアラート）の優先度を判定する。
　例えば、優先度判定部４４は、分布相違度の最小値と、該最小値に対応する上記グループ（以下では、「最小値グループ」と呼ぶことがある）の番号とを特定する。そして、優先度判定部４４は、特定した最小値と「第１閾値」とを比較し、該最小値が第１閾値よりも大きい場合、判定対象アラートの優先度が高いと判定する。これは、判定対象アラートに関連する脅威フローセット情報の伝送実績の分布が、いずれの過去脅威フローセット情報の伝送実績の分布にも類似していないため、判定対象アラートに対応するサイバー攻撃が過去のサイバー攻撃の傾向と異なっていると推測されるためである。そして、優先度判定部４４は、判定対象アラートに対して「第１優先度（つまり、高優先度）」を割り当てる。
　そして、優先度判定部４４は、取得部４２で取得された脅威フローセット情報と、脅威フローセット情報管理テーブルにおいて判定対象アラートの脅威名に属するグループの最大グループ番号に１を加えた新グループ番号とを対応づけて、記憶部４５の脅威フローセット情報管理テーブルに記憶させる。
　一方、特定した最小値が第１閾値以下である場合、優先度判定部４４は、判定対象アラートの優先度が低いと判定する。これは、判定対象アラートに関連する脅威フローセット情報の伝送実績の分布が、過去脅威フローセット情報の伝送実績の分布に類似しているため、判定対象アラートに対応するサイバー攻撃が過去のサイバー攻撃の傾向と同じであると推測されるためである。そして、優先度判定部４４は、判定対象アラートに対して「第３優先度（つまり、低優先度）」を割り当てる。
　そして、優先度判定部４４は、取得部４２で取得された脅威フローセット情報と、上記特定された最小値グループの番号とを対応づけて、記憶部４５の脅威フローセット情報管理テーブルに記憶させる。
　記憶部（記憶装置）４５は、上記のフロー情報管理テーブル及び脅威フローセット情報管理テーブルを記憶する。
　＜優先度判定装置の動作例＞
　以上の構成を有する優先度判定装置４０の処理動作の一例について説明する。図１２及び図１３は、第２実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。図１２の処理フローは、優先度判定装置４０がセキュリティアラート（判定対象アラート、第１セキュリティアラート）を受け取ったときにスタートする。
　抽出部４１は、判定対象アラートから、アラート情報を抽出する（ステップＳ１０１）。
　取得部４２は、脅威フロー情報を取得する（ステップＳ１０２）。例えば、取得部４２は、抽出部４１にて抽出されたアラート情報のフロー特定情報と同じフロー特定情報を含むフロー情報を、トラヒック監視装置３０のフロー情報管理テーブルから取得する。そして、取得部４２は、抽出部４１にて抽出されたアラート情報のアラート種別情報を取得し、該アラート種別情報と上記取得したフロー特定情報と合わせて、脅威フロー情報を取得する。
　取得部４２は、脅威フローセット情報を取得する（ステップＳ１０３）。例えば、取得部４２は、脅威フロー情報の時刻を基準とする所定期間内の時刻を含み且つ脅威フロー情報の送信元情報及び送信先情報と同じ送信元情報及び送信先情報を含むフロー情報をすべて取得する。
　取得部４２は、過去脅威フローセット情報を取得する（ステップＳ１０４）。例えば、取得部４２は、抽出部４１にて抽出されたアラート情報のアラート種別情報（つまり、脅威名）とアラート種別情報が同じである過去脅威フローセット情報を、記憶部４５の脅威フローセット情報管理テーブルから取得する。
　非類似指標算出部４３は、脅威フローセット情報及び過去脅威フローセット情報を用いて、非類似指標を算出する（ステップＳ１０５）。例えば、脅威フローセット情報の伝送実績の第１分布を算出する。また、非類似指標算出部４３は、過去脅威フローセット情報の伝送実績の第２分布を算出する。上記の通り、第２分布は、上記のグループ単位で算出された、過去脅威フローセット情報の伝送実績の分布である。そして、非類似指標算出部４３は、第１分布と各グループの第２分布との分布相違度（つまり、分布相違指標）を、非類似指標として算出する。
　優先度判定部４４は、判定対象アラートの優先度を判定する（ステップＳ１０６）。図１３は、優先度判定処理の一例を示すフローチャートである。
　優先度判定部４４は、ステップＳ１０５にて算出された分布相違度の最小値を特定し、該最小値が第１閾値よりも大きいか否かを判定する（ステップＳ２０１）。
　上記の最小値が第１閾値よりも大きい場合（ステップＳ２０１ＹＥＳ）、優先度判定部４４は、判定対象アラートの優先度が高いと判定し、判定対象アラートに対して第１優先度（つまり、高優先度）を割り当てる（ステップＳ２０２）。
　上記の最小値が第１閾値以下である場合（ステップＳ２０１ＮＯ）、優先度判定部４４は、判定対象アラートの優先度が低いと判定し、判定対象アラートに対して第３優先度（つまり、低優先度）を割り当てる（ステップＳ２０３）。
　以上のように第２実施形態によれば、優先度判定装置４０にて非類似指標算出部４３は、脅威フローセット情報の伝送実績の第１分布及び過去脅威フローセット情報の伝送実績の第２分布を算出し、該第１分布と該第２分布との分布相違度を、非類似指標として算出する。
　この優先度判定装置４０の構成により、サイバー攻撃の傾向の類似非類似が現れる、伝送実績の分布の分布相違度を、非類似指標として算出することができる。そして、この非類似指標に基づいて判定対象アラートの優先度を判定できるので、判定精度を向上させることができる。
＜第３実施形態＞
　第３実施形態は、第２実施形態と比べて、さらに「外れ値」の有無に基づいて判定対象アラートの優先度を判定する実施形態に関する。なお、第３実施形態におけるシステムの基本構成は、第２実施形態のシステム１と同じなので、図２を参照して説明する。すなわち、第３実施形態のシステム１は、図２の優先度判定装置４０の代わりに、第３実施形態の優先度判定装置５０を含んでいる。
　＜優先度判定装置の構成例＞
　図１４は、第３実施形態における優先度判定装置の一例を示すブロック図である。図１４において優先度判定装置５０は、抽出部４１、取得部４２、非類似指標算出部４３、及び記憶部４５の他に、優先度判定部５１を有している。優先度判定部５１は、判定処理部５１Ａと、外れ値検出部５１Ｂとを有している。
　判定処理部５１Ａは、第２実施形態の優先度判定部４４と同様に、非類似指標算出部４３にて算出された分布相違度に基づいて、判定対象アラートの優先度を判定する。
　さらに、判定処理部５１Ａは、外れ値検出部５１Ｂにて外れ値が検出されたか否かに基づいて、判定対象アラートの優先度を判定する。例えば、判定処理部５１Ａは、外れ値検出部５１Ｂにて外れ値が検出された場合、判定対象アラートの優先度が高いと判定して、判定対象アラートに対して「第２優先度」を割り当てる。外れ値検出部５１Ｂにて外れ値が検出されない場合、判定処理部５１Ａは、判定対象アラートの優先度が低いと判定し、判定対象アラートに対して第３優先度を割り当てる。ここで、「第２優先度」は、例えば、第２実施形態で説明した「第１優先度」よりも優先度が低く、「第３優先度」よりも優先度が高い。
　外れ値検出部５１Ｂは、判定処理部５１Ａにて第２実施形態で説明したように特定した最小値が第１閾値以下である場合に、外れ値の検出処理を実行する。例えば、外れ値検出部５１Ｂは、脅威フローセット情報管理テーブルにて上記の最小値グループの番号と対応づけられている過去脅威フローセット情報（判定対象アラートに関連する脅威フローセット情報を含む）をクラスタリングして、クラスタを形成する。そして、外れ値検出部５１Ｂは、判定対象アラートに関連する脅威フローセット情報の伝送実績のうちでどのクラスタにも属さない外れ値を検出する処理を実行する。なお、クラスタリングの手法は、特に限定されるものではなく、例えば、ＤＢＳＣＡＮ、又は、ｘ－ｍｅａｎｓであってもよい。
　＜優先度判定装置の動作例＞
　以上の構成を有する第３実施形態における優先度判定装置の処理動作の一例について説明する。第３実施形態における優先度判定装置５０の基本動作は、図１２に示した優先度判定装置４０と同じである。ただし、第３実施形態と第２実施形態とでは、図１２のステップＳ１０６における優先度判定処理動作が異なっている。
　図１５は、第３実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。図１５は、特に、図１２のステップＳ１０６に対応する優先度判定処理動作が示されている。
　図１５におけるステップＳ３０１及びステップＳ３０２は、図１３におけるステップＳ２０１及びステップＳ２０２と同じである。
　特定された分布相違度の最小値が第１閾値以下である場合（ステップＳ３０１ＮＯ）、外れ値検出部５１Ｂは、脅威フローセット情報管理テーブルにて最小値グループの番号と対応づけられている過去脅威フローセット情報に対してクラスタリングを実行する（ステップＳ３０３）。そして、外れ値検出部５１Ｂは、判定対象アラートに関連する脅威フローセット情報の伝送実績のうちでどのクラスタにも属さない外れ値を検出する処理を実行する。
　判定処理部５１Ａは、外れ値検出部５１Ｂにて外れ値が検出されたか否かを判定する（ステップＳ３０４）。
　外れ値検出部５１Ｂにて外れ値が検出された場合（ステップＳ３０４ＹＥＳ）、判定処理部５１Ａは、判定対象アラートの優先度が高いと判定し、判定対象アラートに対して第２優先度を割り当てる（ステップＳ３０５）。上記の通り、例えば、「第２優先度」は、「第１優先度」よりも優先度が低く、「第３優先度」よりも優先度が高い。
　外れ値検出部５１Ｂにて外れ値が検出されない場合（ステップＳ３０４ＮＯ）、判定処理部５１Ａは、判定対象アラートの優先度が低いと判定し、判定対象アラートに対して第３優先度を割り当てる（ステップＳ３０６）。
　以上のように第３実施形態によれば、優先度判定装置５０にて優先度判定部５１は、脅威フローセット情報管理テーブルにて最小値グループの番号と対応づけられている過去脅威フローセット情報に対してクラスタリングを実行する。そして、優先度判定部５１は、判定対象アラートに関連する脅威フローセット情報の伝送実績のうちでどのクラスタにも属さない外れ値を検出する処理を実行する。そして、優先度判定部５１は、外れ値が検出されたか否かに基づいて、判定対象アラートの優先度を判定する。
　この優先度判定装置５０の構成により、分布相違度に加えて、外れ値の有無に基づいて判定対象アラートの優先度を判定することができるので、優先度をより精緻に判定することができる。
＜第４実施形態＞
　第４実施形態は、「非類似指標」として、トラヒックフローの伝送実績の距離を用いる実施形態に関する。なお、第４実施形態におけるシステムの基本構成は、第２実施形態のシステム１と同じなので、図２を参照して説明する。すなわち、第４実施形態のシステム１は、図２の優先度判定装置４０の代わりに、第４実施形態の優先度判定装置６０を含んでいる。
　＜優先度判定装置の構成例＞
　図１６は、第４実施形態における優先度判定装置の一例を示すブロック図である。図１６において優先度判定装置６０は、取得部６１と、非類似指標算出部６２と、優先度判定部６３と、記憶部６４とを有する。
　取得部６１は、第２実施形態の取得部４２と同様に、「脅威フロー情報」を取得する。
　また、取得部６１は、抽出部４１にて抽出されたアラート情報のアラート種別情報（つまり、脅威名）とアラート種別情報が同じである「過去脅威フロー情報」を、記憶部６４の「脅威フロー情報管理テーブル」から取得する。「脅威フロー情報管理テーブル」は、取得部６１によって過去に取得された「脅威フロー情報」を保持するテーブルである。
　図１７は、脅威フロー情報管理テーブルの一例を示す図である。図１７に示す脅威フロー情報管理テーブルは、過去脅威フロー情報を保持している。また、脅威フロー情報管理テーブルでは、脅威名が同じである複数の過去脅威フロー情報を、非類似指標に基づいてクラス分けしている。すなわち、図１７の項目「脅威名」が「Ｔｈｒｅａｔ　Ａ」のクラス番号１のクラスに属する過去脅威フロー情報は、同クラスの他の過去脅威フロー情報と類似していると過去に判定されていることになる。一方で、図１７の項目「脅威名」が「Ｔｈｒｅａｔ　Ａ」のクラス番号２のクラスに属する過去脅威フロー情報は、クラス番号１のクラスに属する過去脅威フロー情報と類似していないと過去に判定されていることになる。
　非類似指標算出部６２は、脅威フロー情報及び過去脅威フロー情報を用いて、非類似指標を算出する。例えば、非類似指標算出部６２は、脅威フロー情報の伝送実績と、脅威フロー情報の脅威名と同じ脅威名の各過去脅威フロー情報の伝送実績との距離を算出する。例えば、伝送実績は、送信実績及び受信実績を含むので、伝送実績を送信実績及び受信実績の座標平面にプロットできる。そして、非類似指標算出部６２は、脅威フロー情報の伝送実績に対応する座標と過去脅威フロー情報の伝送実績に対応する座標との距離を算出する。
　優先度判定部６３は、非類似指標算出部６２にて算出された距離と「第２閾値」との大小に基づいて、判定対象アラートの優先度を判定する。
　例えば、優先度判定部６３は、距離の最小値と、該最小値に対応する上記クラス（以下では、「最小値クラス」と呼ぶことがある）の番号とを特定する。そして、優先度判定部６３は、特定した最小値と「第２閾値」とを比較し、該最小値が第２閾値よりも大きい場合、判定対象アラートの優先度が高いと判定する。これは、判定対象アラートに関連する脅威フロー情報の伝送実績が、いずれの過去脅威フロー情報の伝送実績にも類似していないため、判定対象アラートに対応するサイバー攻撃が過去のサイバー攻撃の傾向と異なっていると推測されるためである。そして、優先度判定部６３は、判定対象アラートに対して「第４優先度（つまり、高優先度）」を割り当てる。
　そして、優先度判定部６３は、取得部６１で取得された脅威フロー情報と、脅威フロー情報管理テーブルにおいて判定対象アラートの脅威名に属するクラスの最大クラス番号に１を加えた新クラス番号とを対応づけて、記憶部６４の脅威フロー情報管理テーブルに記憶させる。
　一方、特定した最小値が第２閾値以下である場合、優先度判定部６３は、判定対象アラートの優先度が低いと判定する。これは、判定対象アラートに関連する脅威フロー情報の伝送実績が、過去脅威フロー情報の伝送実績に類似しているため、判定対象アラートに対応するサイバー攻撃が過去のサイバー攻撃の傾向と同じであると推測されるためである。そして、優先度判定部６３は、判定対象アラートに対して「第３優先度（つまり、低優先度）」を割り当てる。
　そして、優先度判定部６３は、取得部６１で取得された脅威フロー情報と、上記特定された最小値クラスの番号とを対応づけて、記憶部６４の脅威フロー情報管理テーブルに記憶させる。
　記憶部６４は、上記の脅威フロー情報管理テーブルを記憶する。
　＜優先度判定装置の動作例＞
　以上の構成を有する優先度判定装置６０の処理動作の一例について説明する。図１８及び図１９は、第４実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。図１８の処理フローは、優先度判定装置６０がセキュリティアラート（判定対象アラート、第１セキュリティアラート）を受け取ったときにスタートする。
　図１８のステップＳ４０１及びステップＳ４０２の処理は、図１２のステップＳ１０１及びステップＳ１０２の処理と同じである。
　取得部６１は、過去脅威フロー情報を取得する（ステップＳ４０３）。例えば、取得部６１は、抽出部４１にて抽出されたアラート情報のアラート種別情報とアラート種別情報が同じである過去脅威フロー情報を、記憶部６４の脅威フロー情報管理テーブルから取得する。
　非類似指標算出部６２は、脅威フロー情報及び過去脅威フロー情報を用いて、非類似指標を算出する（ステップＳ４０４）。例えば、非類似指標算出部６２は、脅威フロー情報の伝送実績と、脅威フロー情報の脅威名と同じ脅威名の各過去脅威フロー情報の伝送実績との距離を算出する。
　優先度判定部６３は、判定対象アラートの優先度を判定する（ステップＳ４０５）。図１９は、優先度判定処理の一例を示すフローチャートである。
　優先度判定部６３は、ステップＳ４０４にて算出された距離の最小値を特定し、該最小値が第２閾値よりも大きいか否かを判定する（ステップＳ５０１）。
　上記の最小値が第２閾値よりも大きい場合（ステップＳ５０１ＹＥＳ）、優先度判定部６３は、判定対象アラートの優先度が高いと判定し、判定対象アラートに対して第４優先度（つまり、高優先度）を割り当てる（ステップＳ５０２）。
　上記の最小値が第２閾値以下である場合（ステップＳ５０１ＮＯ）、優先度判定部６３は、判定対象アラートの優先度が低いと判定し、判定対象アラートに対して第３優先度（つまり、低優先度）を割り当てる（ステップＳ５０３）。
　以上のように第４実施形態によれば、優先度判定装置６０にて非類似指標算出部６２は、脅威フロー情報の伝送実績と過去脅威フロー情報の伝送実績との距離を、非類似指標として算出する。
　この優先度判定装置６０の構成により、サイバー攻撃の傾向の類似非類似が現れる、伝送実績の距離を、非類似指標として算出することができる。そして、この非類似指標に基づいて判定対象アラートの優先度を判定できるので、判定精度を向上させることができる。
＜第５実施形態＞
　第５実施形態は、判定対象アラートの優先度判定に、「距離」、「分布相違度」、及び「外れ値の有無」を用いる実施形態に関する。すなわち、第５実施形態は、第３実施形態と第４実施形態とを組み合わせたものに相当する。なお、第５実施形態におけるシステムの基本構成は、第２実施形態のシステム１と同じなので、図２を参照して説明する。すなわち、第５実施形態のシステム１は、図２の優先度判定装置４０の代わりに、第５実施形態の優先度判定装置７０を含んでいる。
　＜優先度判定装置の構成例＞
　図２０は、第５実施形態における優先度判定装置の一例を示すブロック図である。図２０において優先度判定装置７０は、取得部７１と、非類似指標算出部７２と、優先度判定部７３と、記憶部７４とを有している。優先度判定部７３は、判定処理部７３Ａと、外れ値検出部７３Ｂとを有している。
　取得部７１は、第２実施形態の取得部４２と同様に、脅威フロー情報を取得する。
　また、取得部７１は、第４実施形態の取得部６１と同様に、過去脅威フロー情報を取得する。
　また、取得部７１は、第２実施形態の取得部４２と同様に、脅威フローセット情報を取得する。
　また、取得部７１は、第２実施形態の取得部４２と同様に、脅威フローセット情報管理テーブルから、過去脅威フローセット情報を取得する。ただし、第５実施形態の脅威フローセット情報管理テーブルでは、図２１に示すように、脅威名が同じである複数の過去脅威フローセット情報が、非類似指標に基づいて、クラス及びグループに分けられている。図２１は、第５実施形態の脅威フローセット情報管理テーブルの一例を示す図である。
　非類似指標算出部７２は、第４実施形態の非類似指標算出部６２と同様に、脅威フロー情報及び過去脅威フロー情報を用いて、非類似指標としての距離を算出する。
　また、非類似指標算出部７２は、第２実施形態の非類似指標算出部４３と同様に、脅威フローセット情報及び過去脅威フローセット情報を用いて、非類似指標としての分布相違度を算出する。
　判定処理部７３Ａは、第４実施形態の優先度判定部６３と同様に、距離の最小値と最小値クラスの番号とを特定する。そして、優先度判定部６３は、特定した距離の最小値と「第２閾値」とを比較し、該最小値が第２閾値よりも大きい場合、判定対象アラートの優先度が高いと判定する。そして、判定処理部７３Ａは、判定対象アラートに対して「第４優先度（つまり、高優先度）」を割り当てる。
　そして、判定処理部７３Ａは、取得部７１で取得された脅威フロー情報と、脅威フロー情報管理テーブルにおいて判定対象アラートの脅威名に属するクラスの最大クラス番号に１を加えた新クラス番号とを対応づけて、記憶部７４の脅威フロー情報管理テーブルに記憶させる。
　一方、特定した距離の最小値が第２閾値以下である場合、判定処理部７３Ａは、最小値クラス内の各グループについて第２実施形態と同様に算出された分布相違度の最小値と最小値グループとを特定する。また、特定した距離の最小値が第２閾値以下である場合、判定処理部７３Ａは、取得部７１で取得された脅威フロー情報と、上記の最小値クラスとを対応づけて、記憶部７４の脅威フロー情報管理テーブルに記憶させる。そして、判定処理部７３Ａは、特定した分布相違度の最小値と「第１閾値」とを比較し、該最小値が第１閾値よりも大きい場合、判定対象アラートの優先度が高いと判定する。そして、判定処理部７３Ａは、判定対象アラートに対して「第１優先度（つまり、高優先度）」を割り当てる。
　そして、判定処理部７３Ａは、取得部７１で取得された脅威フローセット情報と、脅威フローセット情報管理テーブルにおいて判定対象アラートの脅威名に属するグループの最大グループ番号に１を加えた新グループ番号と、上記の最小値クラスとを対応づけて、記憶部７４の脅威フローセット情報管理テーブルに記憶させる。
　一方、特定した分布相違度の最小値が第１閾値以下である場合、判定処理部７３Ａは、外れ値検出部７３Ｂにて外れ値が検出されたか否かに基づいて、判定対象アラートの優先度を判定する。例えば、判定処理部７３Ａは、外れ値検出部７３Ｂにて外れ値が検出された場合、判定対象アラートの優先度が高いと判定して、判定対象アラートに対して「第２優先度」を割り当てる。外れ値検出部７３Ｂにて外れ値が検出されない場合、判定処理部７３Ａは、判定対象アラートの優先度が低いと判定し、判定対象アラートに対して第３優先度を割り当てる。また、特定した分布相違度の最小値が第１閾値以下である場合、判定処理部７３Ａは、取得部７１で取得された脅威フローセット情報と、上記の最小値クラスと、上記の最小値グループとを対応づけて、記憶部７４の脅威フローセット情報管理テーブルに記憶させる。ここで、第１優先度、第２優先度、及び、第４優先度の優先順位は、種々の設定が可能であり、例えば、この順番で低くなっていてもよい。ただし、第１優先度、第２優先度、及び、第４優先度のいずれも、第３優先度（低優先度）よりも優先度が高くなっている。
　外れ値検出部７３Ｂは、第３実施形態の外れ値検出部５１Ｂと同様に、外れ値の検出処理を実行する。
　記憶部７４は、フロー情報管理テーブル、脅威フローセット情報管理テーブル、及び、脅威フロー情報管理テーブルを記憶している。
　＜優先度判定装置の動作例＞
　以上の構成を有する優先度判定装置７０の処理動作の一例について説明する。図２２及び図２３は、第５実施形態における優先度判定装置の処理動作の一例を示すフローチャートである。図２２の処理フローは、優先度判定装置７０がセキュリティアラート（判定対象アラート、第１セキュリティアラート）を受け取ったときにスタートする。
　図２２のステップＳ６０１の処理は、図１２のステップＳ１０１の処理と同じである。
　取得部７１は、脅威フロー情報を取得し（ステップＳ６０２）、過去脅威フロー情報を取得し（ステップＳ６０３）、脅威フローセット情報を取得し（ステップＳ６０４）、過去脅威フローセット情報を取得する（ステップＳ６０５）。
　非類似指標算出部７２は、脅威フロー情報及び過去脅威フロー情報を用いて、非類似指標としての距離を算出し、脅威フローセット情報及び過去脅威フローセット情報を用いて、非類似指標としての分布相違度を算出する（ステップＳ６０６）。
　判定処理部７３Ａは、判定対象アラートの優先度を判定する（ステップＳ６０７）。図２３は、優先度判定処理の一例を示すフローチャートである。
　判定処理部７３Ａは、ステップＳ６０６にて算出された距離の最小値を特定し、該最小値が第２閾値よりも大きいか否かを判定する（ステップＳ７０１）。
　上記の距離の最小値が第２閾値よりも大きい場合（ステップＳ７０１ＹＥＳ）、判定処理部７３Ａは、判定対象アラートの優先度が高いと判定し、判定対象アラートに対して第４優先度（つまり、高優先度）を割り当てる（ステップＳ７０２）。そして、判定処理部７３Ａは、取得部７１で取得された脅威フロー情報と、判定対象アラートの脅威名に属するクラスの最大クラス番号に１を加えた新クラス番号とを対応づけて、記憶部７４の脅威フロー情報管理テーブルに記憶させる。
　特定した距離の最小値が第２閾値以下である場合（ステップＳ７０１ＮＯ）、判定処理部７３Ａは、最小値クラス内の各グループについて算出された分布相違度の最小値と最小値グループとを特定し、特定した分布相違度の最小値と「第１閾値」とを比較する（ステップＳ７０３）。なお、特定した距離の最小値が第２閾値以下である場合、判定処理部７３Ａは、取得部７１で取得された脅威フロー情報と、上記の最小値クラスとを対応づけて、記憶部７４の脅威フロー情報管理テーブルに記憶させる。
　特定した分布相違度の最小値が第１閾値よりも大きい場合（ステップＳ７０３ＹＥＳ）、判定処理部７３Ａは、判定対象アラートの優先度が高いと判定し、判定対象アラートに対して「第１優先度（つまり、高優先度）」を割り当てる（ステップＳ７０４）。そして、判定処理部７３Ａは、取得部７１で取得された脅威フローセット情報と、判定対象アラートの脅威名に属するグループの最大グループ番号に１を加えた新グループ番号と、上記の最小値クラスとを対応づけて、記憶部７４の脅威フローセット情報管理テーブルに記憶させる。
　特定された分布相違度の最小値が第１閾値以下である場合（ステップＳ７０３ＮＯ）、外れ値検出部７３Ｂは、脅威フローセット情報管理テーブルにて最小値グループの番号と対応づけられている過去脅威フローセット情報に対してクラスタリングを実行する（ステップＳ７０５）。そして、外れ値検出部７３Ｂは、判定対象アラートに関連する脅威フローセット情報の伝送実績のうちでどのクラスタにも属さない外れ値を検出する処理を実行する。なお、特定した分布相違度の最小値が第１閾値以下である場合、判定処理部７３Ａは、取得部７１で取得された脅威フローセット情報と、上記の最小値クラスと、上記の最小値グループとを対応づけて、記憶部７４の脅威フローセット情報管理テーブルに記憶させる。
　判定処理部７３Ａは、外れ値検出部７３Ｂにて外れ値が検出されたか否かを判定する（ステップＳ７０６）。
　外れ値検出部７３Ｂにて外れ値が検出された場合（ステップＳ７０６ＹＥＳ）、判定処理部７３Ａは、判定対象アラートの優先度が高いと判定し、判定対象アラートに対して第２優先度を割り当てる（ステップＳ７０７）。
　外れ値検出部７３Ｂにて外れ値が検出されない場合（ステップＳ７０６ＮＯ）、判定処理部７３Ａは、判定対象アラートの優先度が低いと判定し、判定対象アラートに対して第３優先度を割り当てる（ステップＳ７０８）。
　なお、以上では、判定処理部７３Ａによって距離に基づく優先度判定が行われる前に、取得部７１が脅威フローセット情報及び過去脅威フローセット情報を取得し、非類似指標算出部７２が脅威フローセット情報及び過去脅威フローセット情報を用いて分布相違度を算出するものとして説明を行ったが、これに限定されない。例えば、判定処理部７３Ａにて特定された距離の最小値が第２閾値以下であると判断された後に、取得部７１が脅威フローセット情報及び過去脅威フローセット情報を取得し、非類似指標算出部７２が脅威フローセット情報及び過去脅威フローセット情報を用いて分布相違度を算出してもよい。この場合、取得部７１は、最小値クラス内の過去脅威フローセット情報を取得すればよく、非類似指標算出部７２は、取得された最小値クラス内の過去脅威フローセット情報についての分布相違度を算出すればよい。
　以上のように第５実施形態によれば、優先度判定装置７０が距離、分布相違度、及び、外れ値の有無に基づいて判定対象アラートの優先度を判定することができるので、優先度をさらに精緻に判定することができる。
＜第６実施形態＞
　第６実施形態は、優先度に応じた表示制御に関する。
　＜優先度判定装置の構成例＞
　図２４は、第６実施形態の優先度判定装置の一例を示すブロック図である。図２４において優先度判定装置８０は、抽出部８１と、取得部８２と、非類似指標算出部８３と、優先度判定部８４と、記憶部８５と、表示制御部８６とを有している。優先度判定装置８０は、表示装置９０と接続されている。なお、優先度判定装置８０の抽出部８１、取得部８２、非類似指標算出部８３、優先度判定部８４、及び記憶部８５は、第２実施形態から第５実施形態のいずれかの優先度判定装置における対応する機能部と同じ機能を有していてもよい。ここでは、一例として、優先度判定装置８０が第２実施形態の優先度判定装置４０に対応するものとして説明する。
　表示制御部８６は、表示装置９０に対して、セキュリティアラートを優先度に応じて表示させる制御を実行する。
　表示制御部８６は、各セキュリティアラートのアラート情報を表示装置９０に表示させる。このとき、表示制御部８６は、優先度の高いセキュリティアラートを優先的に又は強調して表示させる。
　例えば、表示制御部８６は、図２５に示すように、複数のセキュリティアラートを、発生した順番に関わらず、優先度の高いセキュリティアラートから順番に表示装置９０の表示画面に表示させてもよい。図２５の例では、セキュリティアラート４，９が高優先度であり、その他のセキュリティアラートが低優先度である。また、表示制御部８６は、例えば、高優先度のセキュリティアラートのアラート情報を囲む枠の太さを低優先度のセキュリティアラートのアラート情報を囲む枠の太さよりも太くすることによって、優先度の高いセキュリティアラートを強調表示してもよい。また、表示制御部８６は、例えば、セキュリティアラートの優先度に応じて、アラート情報の文字又は表示領域の色を変えてもよい。また、これらの表示方法は、組み合わされてもよい。
　また、表示制御部８６は、図２６に示すように、表示装置９０の表示画面においてアラート情報の表示領域がマウスカーソル等によって選択されると、該表示領域に表示されているアラート情報に対応する、脅威フローセット情報の伝送実績情報の散布図、及び、過去脅威フローセット情報の伝送実績情報の散布図が、ポップアップ表示されるように、表示制御してもよい。さらに、表示制御部８６は、図２７に示すように、セキュリティアラートの優先度の判定理由をポップアップ表示してもよい。優先度の判定理由として、例えば、「脅威フローセット情報が、過去脅威フローセット情報とまったく異なる」等が表示されてもよい。
　なお、優先度判定装置８０が第４実施形態の優先度判定装置６０に対応する場合も、表示制御部８６は、以上で説明した表示制御と同じように、表示制御を行うことができる。
　また、優先度判定装置８０が第３実施形態の優先度判定装置５０に対応する場合、表示制御部８６は、次のような表示制御を行ってもよい。例えば、表示制御部８６は、第１優先度と第２優先度とを区別して、セキュリティアラートを表示させてもよい。この場合、表示制御部８６は、例えば、第１優先度に対応するアラート情報、第２優先度に対応するアラート情報、第３優先度に対応するアラート情報の順に表示されるように、表示制御を行ってもよい。また、表示制御部８６は、例えば、第１優先度に対応するアラート情報の色を「赤」、第２優先度に対応するアラート情報の色を「黄」、第３優先度に対応するアラート情報の色を「青」にするように、表示制御を行ってもよい。また、表示制御部８６は、アラート情報を囲む枠の太さを、第１優先度に対応する枠が一番太く、第２優先度に対応する枠が次に太く、第３優先度に対応する枠が一番細くなるように、表示制御を行ってもよい。また、これらの表示方法が組み合わされてもよい。又は、表示制御部８６は、第１優先度と第２優先度とを区別せずに、セキュリティアラートを表示させてもよい。この場合、第１優先度に対応する色と第２優先度に対応する色とは、同じとなる。また、第１優先度に対応する枠の太さと第２優先度に対応する枠の太さとは同じとなる。
　また、優先度判定装置８０が第５実施形態の優先度判定装置７０に対応する場合、表示制御部８６は、次のような表示制御を行ってもよい。例えば、表示制御部８６は、第１優先度と第２優先度と第４優先度とを区別して、セキュリティアラートを表示させてもよい。この場合、表示制御部８６は、例えば、第１優先度に対応するアラート情報、第２優先度に対応するアラート情報、第４優先度に対応するアラート情報、第３優先度に対応するアラート情報の順に表示されるように、表示制御を行ってもよい。また、表示制御部８６は、例えば、第１優先度に対応するアラート情報の色を「赤」、第２優先度に対応するアラート情報の色を「黄」、第４優先度に対応するアラート情報の色を「黄緑」、第３優先度に対応するアラート情報の色を「青」にするように、表示制御を行ってもよい。また、表示制御部８６は、アラート情報を囲む枠の太さを、第１優先度に対応する枠が一番太く、第２優先度に対応する枠が次に太く、第４優先度に対応する枠が次に太く、第３優先度に対応する枠が一番細くなるように、表示制御を行ってもよい。また、これらの表示方法が組み合わされてもよい。又は、表示制御部８６は、第１優先度と第２優先度と第４優先度とを区別せずに、セキュリティアラートを表示させてもよい。この場合、第１優先度に対応する色と第２優先度に対応する色と第４優先度に対応する色は、同じとなる。また、第１優先度に対応する枠の太さと第２優先度に対応する枠の太さと第４優先度に対応する枠の太さは同じとなる。
　以上のように第６実施形態によれば、優先度判定装置８０において、表示制御部８６は、セキュリティアラートを優先度に応じて表示する制御を実行する。
　この優先度判定装置８０の構成により、優先度の高いセキュリティアラートを優先的に又は強調して表示することが可能となる。このため、優先度が高いセキュリティアラートを一見して認識することができるので、ＳＯＣ分析官は、優先度の高いセキュリティアラートに対応する事態に対する対策を優先的に講じることができる。この結果として、対応ネットワークのセキュリティレベルを向上させることができる。また、ＳＯＣ分析官の業務効率を向上させることもできる。
　＜他の実施形態＞
　図２８は、優先度判定装置のハードウェア構成例を示す図である。図２８において優先度判定装置１００は、プロセッサ１０１と、メモリ１０２とを有している。プロセッサ１０１は、例えば、マイクロプロセッサ、MPU（Micro Processing Unit）、又はCPU（Central Processing Unit）であってもよい。プロセッサ１０１は、複数のプロセッサを含んでもよい。メモリ１０２は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１０２は、プロセッサ１０１から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１０１は、図示されていないI/Oインタフェースを介してメモリ１０２にアクセスしてもよい。
　第１実施形態から第６実施形態の優先度判定装置１０，４０，５０，６０、７０，８０は、それぞれ、図２８に示したハードウェア構成を有することができる。第１実施形態から第６実施形態の優先度判定装置１０，４０，５０，６０、７０，８０の抽出部４１，８１と、取得部４２，６１，７１，８２と、非類似指標算出部１１，４３，６２，７２，８３と、優先度判定部１２，４４，５１，６３，７３，８４と、表示制御部８６とは、プロセッサ１０１がメモリ１０２に記憶されたプログラムを読み込んで実行することにより実現されてもよい。プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、優先度判定装置１０，４０，５０，６０、７０，８０に供給することができる。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）を含む。さらに、非一時的なコンピュータ可読媒体の例は、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗを含む。さらに、非一時的なコンピュータ可読媒体の例は、半導体メモリを含む。半導体メモリは、例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory）を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によって優先度判定装置１０，４０，５０，６０、７０，８０に供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムを優先度判定装置１０，４０，５０，６０、７０，８０に供給できる。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
　ネットワーク内の機器への攻撃を検知するネットワーク型侵入検知装置から通知された第１セキュリティアラートに関連する第１トラヒックフローの伝送実績と、前記ネットワーク型侵入検知装置から過去に通知された第２セキュリティアラートに関連する第２トラヒックフローの伝送実績との非類似指標を算出する非類似指標算出部と、
　前記算出された非類似指標に基づいて、前記第１セキュリティアラートの優先度を判定する優先度判定部と、
　を具備する優先度判定装置。
（付記２）
　前記優先度判定部は、前記算出された非類似指標が示す非類似レベルが所定レベル以下である場合よりも、前記算出された非類似指標が示す非類似レベルが所定レベルより高い場合に、前記第１セキュリティアラートに対して、より高い優先度を割り当てる、
　付記１記載の優先度判定装置。
（付記３）
　前記非類似指標算出部は、前記第１トラヒックフローの伝送実績についての第１分布及び前記第２トラヒックフローの伝送実績についての第２分布を算出し、前記第１分布と前記第２分布との分布相違度を、前記非類似指標として算出する、
　付記１又は２に記載の優先度判定装置。
（付記４）
　前記非類似指標算出部は、前記第１トラヒックフローの伝送実績と前記第２トラヒックフローの伝送実績との距離を、前記非類似指標として算出する、
　付記１から３のいずれか１項に記載の優先度判定装置。
（付記５）
　前記優先度判定部は、さらに、前記第１トラヒックフローの伝送実績及び前記第２トラヒックフローの伝送実績に外れ値が存在するか否かに基づいて、前記第１セキュリティアラートの優先度を判定する、
　付記１から４のいずれか１項に記載の優先度判定装置。
（付記６）
　前記第１セキュリティアラート及び前記第２セキュリティアラートは、それぞれ、アラート種別情報及びアラート対象フローのフロー特定情報を含み、
　前記非類似指標算出部は、前記ネットワーク型侵入検知装置から過去に通知された各第２セキュリティアラートに関連する第２トラヒックフローの伝送実績がアラート識別情報及び分布相違度に基づいてグループ分けされた複数のグループのうちで前記第１セキュリティアラートと同じアラート識別情報に対応する各グループの伝送実績と、前記第１セキュリティアラートに関連する第１トラヒックフローの伝送実績とについての、前記分布相違度を算出する、
　付記３記載の優先度判定装置。
（付記７）
　前記優先度判定部は、前記グループの単位で算出された分布相違度と第１閾値との大小に基づいて、前記第１セキュリティアラートの前記優先度を判定する、
　付記６記載の優先度判定装置。
（付記８）
　前記第１セキュリティアラート及び前記第２セキュリティアラートは、それぞれ、アラート種別情報及びアラート対象フローのフロー特定情報を含み、
　前記非類似指標算出部は、前記ネットワーク型侵入検知装置から過去に通知され且つ前記第１セキュリティアラートと同じアラート識別情報を含む各第２セキュリティアラートに関連する第２トラヒックフローの伝送実績と、前記第１セキュリティアラートに関連する第１トラヒックフローの伝送実績とについての、前記距離を算出する、
　付記４記載の優先度判定装置。
（付記９）
　前記優先度判定部は、前記算出された距離と第２閾値との大小に基づいて、前記第１セキュリティアラートの前記優先度を判定する、
　付記８記載の優先度判定装置。
（付記１０）
　前記優先度判定部は、
　前記分布相違度が第１閾値より大きい場合、前記第１セキュリティアラートに対して、第１優先度を割り当て、
　前記分布相違度が前記第１閾値以下であり且つ前記第１トラヒックフローの伝送実績及び前記第２トラヒックフローの伝送実績に外れ値が存在する場合、前記第１優先度よりも優先度の低い第２優先度を割り当て、
　前記分布相違度が前記第１閾値以下であり且つ前記第１トラヒックフローの伝送実績及び前記第２トラヒックフローの伝送実績に外れ値が存在しない場合、前記第２優先度よりも優先度の低い第３優先度を割り当てる、
　付記３記載の優先度判定装置。
（付記１１）
　前記非類似指標算出部は、前記第１トラヒックフローの伝送実績と前記第２トラヒックフローの伝送実績との距離を、前記非類似指標として算出し、
　前記優先度判定部は、
　前記距離が第２閾値よりも大きい場合、前記第１セキュリティアラートに対して、第４優先度を割り当て、
　前記距離が前記第２閾値以下であり且つ前記分布相違度が第１閾値より大きい場合、前記第１セキュリティアラートに対して、前記第４優先度よりも優先度の高い第１優先度を割り当て、
　前記距離が前記第２閾値以下であり且つ前記分布相違度が前記第１閾値以下であり且つ前記第１トラヒックフローの伝送実績及び前記第２トラヒックフローの伝送実績に外れ値が存在する場合、前記第１優先度よりも優先度の低く且つ前記第４優先度よりも優先度の高い第２優先度を割り当て、
　前記距離が前記第２閾値以下であり且つ前記分布相違度が前記第１閾値以下であり且つ前記第１トラヒックフローの伝送実績及び前記第２トラヒックフローの伝送実績に外れ値が存在しない場合、前記第４優先度よりも優先度の低い第３優先度を割り当てる、
　付記３記載の優先度判定装置。
（付記１２）
　前記優先度に応じた表示を制御する表示制御部をさらに具備する、
　付記１から１１のいずれか１項に記載の優先度判定装置。
（付記１３）
　ネットワーク内の機器への攻撃を検知するネットワーク型侵入検知装置から通知された第１セキュリティアラートに関連する第１トラヒックフローの伝送実績と、前記ネットワーク型侵入検知装置から過去に通知された第２セキュリティアラートに関連する第２トラヒックフローの伝送実績との非類似指標を算出し、
　前記算出された非類似指標に基づいて、前記第１セキュリティアラートの優先度を判定する、
　優先度判定方法。
（付記１４）
　ネットワーク内の機器への攻撃を検知するネットワーク型侵入検知装置から通知された第１セキュリティアラートに関連する第１トラヒックフローの伝送実績と、前記ネットワーク型侵入検知装置から過去に通知された第２セキュリティアラートに関連する第２トラヒックフローの伝送実績特性との非類似指標を算出し、
　前記算出された非類似指標に基づいて、前記第１セキュリティアラートの優先度を判定する、
　処理を、優先度判定装置に実行させる制御プログラムが格納された非一時的なコンピュータ可読媒体。
　１　システム
　１０　優先度判定装置
　１１　非類似指標算出部
　１２　優先度判定部
　２０　ネットワーク型進入検知装置
　３０　トラヒック監視装置
　４０　優先度判定装置
　４１　抽出部
　４２　取得部
　４３　非類似指標算出部
　４４　優先度判定部
　４５　記憶部（記憶装置）
　５０　優先度判定装置
　５１　優先度判定部
　５１Ａ　判定処理部
　５１Ｂ　外れ値検出部
　６０　優先度判定装置
　６１　取得部
　６２　非類似指標算出部
　６３　優先度判定部
　６４　記憶部
　７０　優先度判定装置
　７１　取得部
　７２　非類似指標算出部
　７３　優先度判定部
　７３Ａ　判定処理部
　７３Ｂ　外れ値検出部
　７４　記憶部
　８０　優先度判定装置
　８１　抽出部
　８２　取得部
　８３　非類似指標算出部
　８４　優先度判定部
　８５　記憶部
　８６　表示制御部
　９０　表示装置

Claims (14)

  1. 　ネットワーク内の機器への攻撃を検知するネットワーク型侵入検知装置から通知された第１セキュリティアラートに関連する第１トラヒックフローの伝送実績と、前記ネットワーク型侵入検知装置から過去に通知された第２セキュリティアラートに関連する第２トラヒックフローの伝送実績との非類似指標を算出する非類似指標算出部と、
    　前記算出された非類似指標に基づいて、前記第１セキュリティアラートの優先度を判定する優先度判定部と、
    　を具備する優先度判定装置。
  2. 　前記優先度判定部は、前記算出された非類似指標が示す非類似レベルが所定レベル以下である場合よりも、前記算出された非類似指標が示す非類似レベルが所定レベルより高い場合に、前記第１セキュリティアラートに対して、より高い優先度を割り当てる、
    　請求項１記載の優先度判定装置。
  3. 　前記非類似指標算出部は、前記第１トラヒックフローの伝送実績についての第１分布及び前記第２トラヒックフローの伝送実績についての第２分布を算出し、前記第１分布と前記第２分布との分布相違度を、前記非類似指標として算出する、
    　請求項１又は２に記載の優先度判定装置。
  4. 　前記非類似指標算出部は、前記第１トラヒックフローの伝送実績と前記第２トラヒックフローの伝送実績との距離を、前記非類似指標として算出する、
    　請求項１から３のいずれか１項に記載の優先度判定装置。
  5. 　前記優先度判定部は、さらに、前記第１トラヒックフローの伝送実績及び前記第２トラヒックフローの伝送実績に外れ値が存在するか否かに基づいて、前記第１セキュリティアラートの優先度を判定する、
    　請求項１から４のいずれか１項に記載の優先度判定装置。
  6. 　前記第１セキュリティアラート及び前記第２セキュリティアラートは、それぞれ、アラート種別情報及びアラート対象フローのフロー特定情報を含み、
    　前記非類似指標算出部は、前記ネットワーク型侵入検知装置から過去に通知された各第２セキュリティアラートに関連する第２トラヒックフローの伝送実績がアラート識別情報及び分布相違度に基づいてグループ分けされた複数のグループのうちで前記第１セキュリティアラートと同じアラート識別情報に対応する各グループの伝送実績と、前記第１セキュリティアラートに関連する第１トラヒックフローの伝送実績とについての、前記分布相違度を算出する、
    　請求項３記載の優先度判定装置。
  7. 　前記優先度判定部は、前記グループの単位で算出された分布相違度と第１閾値との大小に基づいて、前記第１セキュリティアラートの前記優先度を判定する、
    　請求項６記載の優先度判定装置。
  8. 　前記第１セキュリティアラート及び前記第２セキュリティアラートは、それぞれ、アラート種別情報及びアラート対象フローのフロー特定情報を含み、
    　前記非類似指標算出部は、前記ネットワーク型侵入検知装置から過去に通知され且つ前記第１セキュリティアラートと同じアラート識別情報を含む各第２セキュリティアラートに関連する第２トラヒックフローの伝送実績と、前記第１セキュリティアラートに関連する第１トラヒックフローの伝送実績とについての、前記距離を算出する、
    　請求項４記載の優先度判定装置。
  9. 　前記優先度判定部は、前記算出された距離と第２閾値との大小に基づいて、前記第１セキュリティアラートの前記優先度を判定する、
    　請求項８記載の優先度判定装置。
  10. 　前記優先度判定部は、
    　前記分布相違度が第１閾値より大きい場合、前記第１セキュリティアラートに対して、第１優先度を割り当て、
    　前記分布相違度が前記第１閾値以下であり且つ前記第１トラヒックフローの伝送実績及び前記第２トラヒックフローの伝送実績に外れ値が存在する場合、前記第１優先度よりも優先度の低い第２優先度を割り当て、
    　前記分布相違度が前記第１閾値以下であり且つ前記第１トラヒックフローの伝送実績及び前記第２トラヒックフローの伝送実績に外れ値が存在しない場合、前記第２優先度よりも優先度の低い第３優先度を割り当てる、
    　請求項３記載の優先度判定装置。
  11. 　前記非類似指標算出部は、前記第１トラヒックフローの伝送実績と前記第２トラヒックフローの伝送実績との距離を、前記非類似指標として算出し、
    　前記優先度判定部は、
    　前記距離が第２閾値よりも大きい場合、前記第１セキュリティアラートに対して、第４優先度を割り当て、
    　前記距離が前記第２閾値以下であり且つ前記分布相違度が第１閾値より大きい場合、前記第１セキュリティアラートに対して、前記第４優先度よりも優先度の高い第１優先度を割り当て、
    　前記距離が前記第２閾値以下であり且つ前記分布相違度が前記第１閾値以下であり且つ前記第１トラヒックフローの伝送実績及び前記第２トラヒックフローの伝送実績に外れ値が存在する場合、前記第１優先度よりも優先度の低く且つ前記第４優先度よりも優先度の高い第２優先度を割り当て、
    　前記距離が前記第２閾値以下であり且つ前記分布相違度が前記第１閾値以下であり且つ前記第１トラヒックフローの伝送実績及び前記第２トラヒックフローの伝送実績に外れ値が存在しない場合、前記第４優先度よりも優先度の低い第３優先度を割り当てる、
    　請求項３記載の優先度判定装置。
  12. 　前記優先度に応じた表示を制御する表示制御部をさらに具備する、
    　請求項１から１１のいずれか１項に記載の優先度判定装置。
  13. 　ネットワーク内の機器への攻撃を検知するネットワーク型侵入検知装置から通知された第１セキュリティアラートに関連する第１トラヒックフローの伝送実績と、前記ネットワーク型侵入検知装置から過去に通知された第２セキュリティアラートに関連する第２トラヒックフローの伝送実績との非類似指標を算出し、
    　前記算出された非類似指標に基づいて、前記第１セキュリティアラートの優先度を判定する、
    　優先度判定方法。
  14. 　ネットワーク内の機器への攻撃を検知するネットワーク型侵入検知装置から通知された第１セキュリティアラートに関連する第１トラヒックフローの伝送実績と、前記ネットワーク型侵入検知装置から過去に通知された第２セキュリティアラートに関連する第２トラヒックフローの伝送実績特性との非類似指標を算出し、
    　前記算出された非類似指標に基づいて、前記第１セキュリティアラートの優先度を判定する、
    　処理を、優先度判定装置に実行させる制御プログラムが格納された非一時的なコンピュータ可読媒体。
PCT/JP2019/004117 2019-02-05 2019-02-05 優先度判定装置、優先度判定方法、及びコンピュータ可読媒体 WO2020161808A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020570249A JP7081695B2 (ja) 2019-02-05 2019-02-05 優先度判定装置、優先度判定方法、及び制御プログラム
PCT/JP2019/004117 WO2020161808A1 (ja) 2019-02-05 2019-02-05 優先度判定装置、優先度判定方法、及びコンピュータ可読媒体
US17/428,114 US11956256B2 (en) 2019-02-05 2019-02-05 Priority determination apparatus, priority determination method, and computer readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/004117 WO2020161808A1 (ja) 2019-02-05 2019-02-05 優先度判定装置、優先度判定方法、及びコンピュータ可読媒体

Publications (1)

Publication Number Publication Date
WO2020161808A1 true WO2020161808A1 (ja) 2020-08-13

Family

ID=71948171

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/004117 WO2020161808A1 (ja) 2019-02-05 2019-02-05 優先度判定装置、優先度判定方法、及びコンピュータ可読媒体

Country Status (3)

Country Link
US (1) US11956256B2 (ja)
JP (1) JP7081695B2 (ja)
WO (1) WO2020161808A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7426490B2 (ja) 2020-10-27 2024-02-01 蘇州鉄頭電子信息科技有限公司 オンラインオフィスネットワーク擾乱処理方法及び装置

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115348615B (zh) * 2022-10-20 2022-12-20 南京智轩诚网络科技有限公司 一种基于大数据的低延迟5g通信方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050044406A1 (en) * 2002-03-29 2005-02-24 Michael Stute Adaptive behavioral intrusion detection systems and methods
JP2005244429A (ja) * 2004-02-25 2005-09-08 Intelligent Cosmos Research Institute ネットワーク異常検出の特徴量抽出方法、その方法をコンピュータに実行させるプログラム、その特徴量抽出装置およびネットワーク異常検出システム
JP2011182030A (ja) * 2010-02-26 2011-09-15 Kddi Corp Ｂｇｐ不正メッセージ検出方法および装置
JP2017147558A (ja) * 2016-02-16 2017-08-24 日本電信電話株式会社 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
JP2017152852A (ja) * 2016-02-23 2017-08-31 株式会社日立製作所 通信システム、通信装置、および通信システムの通信制御方法

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10129273B2 (en) * 2001-11-30 2018-11-13 Cisco Technology, Inc. System and methods for computer network security involving user confirmation of network connections
US20050149299A1 (en) * 2002-04-24 2005-07-07 George Bolt Method and system for detecting change in data streams
KR100502079B1 (ko) * 2003-08-27 2005-07-25 한국전자통신연구원 네트워크 상에서의 경보 정보 트래픽 제어 시스템 및 방법
JP5870009B2 (ja) * 2012-02-20 2016-02-24 アラクサラネットワークス株式会社 ネットワークシステム、ネットワーク中継方法及び装置
US9124621B2 (en) * 2012-09-27 2015-09-01 Hewlett-Packard Development Company, L.P. Security alert prioritization
EP2953298B1 (en) 2013-01-30 2018-03-21 Nippon Telegraph and Telephone Corporation Log analysis device, information processing method and program
DE102013216847B4 (de) * 2013-08-23 2023-06-01 Siemens Mobility GmbH Verfahren, Vorrichtung und System zur Überwachung einer Sicherheits-Netzübergangseinheit
JP6753398B2 (ja) * 2015-06-26 2020-09-09 日本電気株式会社 情報処理装置、情報処理システム、情報処理方法、及び、プログラム
US9794158B2 (en) * 2015-09-08 2017-10-17 Uber Technologies, Inc. System event analyzer and outlier visualization
US10462173B1 (en) * 2016-06-30 2019-10-29 Fireeye, Inc. Malware detection verification and enhancement by coordinating endpoint and malware detection systems
CN106886860A (zh) * 2017-03-16 2017-06-23 深圳天源迪科信息技术股份有限公司 应用于公安行业的大数据可视化分析展现平台
US10812503B1 (en) * 2017-04-13 2020-10-20 United Services Automobile Association (Usaa) Systems and methods of detecting and mitigating malicious network activity
US10587577B2 (en) * 2017-09-27 2020-03-10 Servicenow, Inc. Dynamic, event-driven traffic control in a managed network
KR102057459B1 (ko) * 2017-11-27 2020-01-22 (주)에이알씨엔에스 네트워크 트래픽 플로우를 이용한 보안상황 종합 분석 및 인지 시스템
US11245726B1 (en) * 2018-04-04 2022-02-08 NortonLifeLock Inc. Systems and methods for customizing security alert reports

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050044406A1 (en) * 2002-03-29 2005-02-24 Michael Stute Adaptive behavioral intrusion detection systems and methods
JP2005244429A (ja) * 2004-02-25 2005-09-08 Intelligent Cosmos Research Institute ネットワーク異常検出の特徴量抽出方法、その方法をコンピュータに実行させるプログラム、その特徴量抽出装置およびネットワーク異常検出システム
JP2011182030A (ja) * 2010-02-26 2011-09-15 Kddi Corp Ｂｇｐ不正メッセージ検出方法および装置
JP2017147558A (ja) * 2016-02-16 2017-08-24 日本電信電話株式会社 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
JP2017152852A (ja) * 2016-02-23 2017-08-31 株式会社日立製作所 通信システム、通信装置、および通信システムの通信制御方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7426490B2 (ja) 2020-10-27 2024-02-01 蘇州鉄頭電子信息科技有限公司 オンラインオフィスネットワーク擾乱処理方法及び装置

Also Published As

Publication number Publication date
JP7081695B2 (ja) 2022-06-07
US20220060487A1 (en) 2022-02-24
JPWO2020161808A1 (ja) 2021-10-28
US11956256B2 (en) 2024-04-09

Similar Documents

Publication Publication Date Title
CN108429651B (zh) 流量数据检测方法、装置、电子设备及计算机可读介质
KR102271449B1 (ko) 인공지능 모델 플랫폼 및 인공지능 모델 플랫폼 운영 방법
US7596810B2 (en) Apparatus and method of detecting network attack situation
CN108809745A (zh) 一种用户异常行为检测方法、装置及系统
CN107408181A (zh) 恶意软件感染终端的检测装置、恶意软件感染终端的检测系统、恶意软件感染终端的检测方法以及恶意软件感染终端的检测程序
JPWO2007055222A1 (ja) ネットワーク異常検知方法およびネットワーク異常検知システム
WO2016208159A1 (ja) 情報処理装置、情報処理システム、情報処理方法、及び、記憶媒体
US8014310B2 (en) Apparatus and method for visualizing network situation using security cube
KR100856924B1 (ko) 네트워크 상태 표시 장치 및 방법
JP6165224B2 (ja) アプリケーション層ログ分析を基礎とする情報セキュリティー管理システム及びその方法
WO2019136850A1 (zh) 风险行为识别方法、存储介质、设备及系统
JP7311350B2 (ja) 監視装置、監視方法、および監視プログラム
WO2020161808A1 (ja) 優先度判定装置、優先度判定方法、及びコンピュータ可読媒体
EP3343421A1 (en) System to detect machine-initiated events in time series data
CN111782484A (zh) 一种异常检测方法及装置
KR100609707B1 (ko) 네트워크 이벤트의 그래프 표현을 통한 보안 상황 분석방법 및 그 장치
CN109257384B (zh) 基于访问节奏矩阵的应用层DDoS攻击识别方法
CN115952563A (zh) 基于物联网的数据安全通信系统
CN106817364B (zh) 一种暴力破解的检测方法及装置
KR100656340B1 (ko) 비정상 트래픽 정보 분석 장치 및 그 방법
CN108667685B (zh) 移动应用网络流量聚类装置
JP7302668B2 (ja) レベル推定装置、レベル推定方法、および、レベル推定プログラム
KR102369240B1 (ko) 네트워크 공격 탐지 장치 및 방법
KR102574205B1 (ko) 네트워크 공격 탐지 방법 및 장치
US10250706B2 (en) Hierarchical Clustering

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19914251

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020570249

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19914251

Country of ref document: EP

Kind code of ref document: A1