WO2020175165A1 - 識別装置及び識別プログラム - Google Patents

識別装置及び識別プログラム Download PDF

Info

Publication number
WO2020175165A1
WO2020175165A1 PCT/JP2020/005652 JP2020005652W WO2020175165A1 WO 2020175165 A1 WO2020175165 A1 WO 2020175165A1 JP 2020005652 W JP2020005652 W JP 2020005652W WO 2020175165 A1 WO2020175165 A1 WO 2020175165A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
label
identification device
flow data
signature
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2020/005652
Other languages
English (en)
French (fr)
Inventor
駿 飛山
翔平 荒木
博 胡
和憲 神谷
谷川　真樹
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to US17/424,891 priority Critical patent/US11811659B2/en
Publication of WO2020175165A1 publication Critical patent/WO2020175165A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/0499—Feedforward networks
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/09—Supervised learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H04L12/4645—Details on frame tagging
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H04L45/745—Address table lookup; Address filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2475—Traffic characterised by specific attributes, e.g. priority or QoS for supporting traffic characterised by the type of applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0245—Filtering by information in the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/60—Scheduling or organising the servicing of application requests, e.g. requests for application data transmissions using the analysis and optimisation of the required network resources
    • H04L67/63—Routing a service request depending on the request content or context

Definitions

  • the present invention relates to an identification device and an identification program.
  • a method for analyzing traffic data is known. For example, there is known a method of adding a label representing a protocol to flow data using information of bucket data (for example, see Non-Patent Document 1). Further, a method of analyzing a feature extracted from traffic data by DNN (Deep Neural Network) is known (for example, see Non-Patent Document 2).
  • DNN Deep Neural Network
  • Non-Patent Document 1 Thomas Karagiannis, Konstant i na Papagiannaki, Michal is Fa loutsos, BLINC: Multi level Traffic Classification in the Dark.
  • Non-Patent Document 2 Zh i tang Chen, Ke He, Jian Li and Yanhui Geng, S eq2Img: A Sequence-to-Image based Approach Towards IP Traffic Classification using Convolutional Neural Networks, 2017 IEEE International Conference on Big Data (BIGDATA) .
  • the conventional method has a problem that it may be difficult to automatically add a label capable of analyzing flow data in detail.
  • the method described in Non-Patent Document 1 only labeling at the protocol level can be given, and detailed analysis of flow data is difficult.
  • the method described in Non-Patent Document 2 not only identifies the application based on the characteristics of the bucket data, but also analyzes flow data that has less information than packet data. ⁇ 02020/175165 2 (:170?2020/005652
  • the identification device associates the header information of the bucket data included in the traffic data with the label representing the category of the application corresponding to the bucket data.
  • a signature generation unit that generates a signature
  • a flow data generation unit that generates flow data from the bucket data
  • an addition that adds a label to the flow data based on the header information of the signature and the flow data.
  • a calculation part for calculating a feature amount of the flow data, and a model for predicting a label from the feature amount using the label and the feature amount of the flow data to which the label is added.
  • a learning unit is a learning unit.
  • FIG. 1 is a diagram showing an example of a configuration of a network system according to a first embodiment.
  • FIG. 2 is a diagram showing an example of a configuration of an identification device according to the first embodiment.
  • FIG. 3 is a diagram showing an example of a signature.
  • FIG. 4 is a diagram for explaining detection of malicious communication.
  • FIG. 5 is a flow chart showing a flow of a learning process of the identification apparatus according to the first embodiment.
  • FIG. 6 is a flow chart showing a flow of a prediction process of the identification device according to the first embodiment.
  • FIG. 7 is a diagram showing an example of a computer that executes an identification program.
  • the identification device of the first embodiment adds a label to the flow data, the label indicating the category of the application that generated the flow data.
  • the identification device also learns the discriminator for predicting the label added to the flow data.
  • the discriminator is an example of a model that predicts a label from a feature amount.
  • FIG. 1 is a diagram showing an example of the configuration of a network system according to the first embodiment.
  • the identification device Small-scale ( ⁇ 3 ⁇ 4 ⁇ "10, from which packet data (301 ⁇ 1;) and flow data ( ⁇ 11401/0) are received. Learns the classifier using the received packet data and flow data, and outputs the trained classifier.
  • the identification device 10 receives flow data from the backbone. Then, the discriminator 10 uses the discriminator output by the discriminator 10 3 to predict the label to be added to the received flow data.
  • the flow data of the backbone ⁇ / ⁇ / which is a large-scale network is used by using the result of learning in the small-scale network. Analysis can be performed. Furthermore, by identifying and visualizing the application from the flow data, it becomes possible to understand the network status and perform initial analysis when a failure occurs.
  • the packet data is information on the header and payload of the packet.
  • the flow data is statistical information of a packet group that shares the information of 5 to 1 [6], that is, a single piece of information.
  • the flow data may include calculated values such as the number of buckets included in the flow, the number of bytes in each bucket, and their average. ⁇ 02020/175165 4 (: 170?2020/005652
  • a label is added to flow data of a large-scale network by using a classifier learned using a small amount of bucket data obtained in a small-scale network. Will be possible. At that time, it is not necessary to collect large-scale network bucket data.
  • FIG. 1 is a diagram showing an example of the configuration of the identification device according to the first embodiment.
  • the identification device 10 consists of an input unit 11, a flow data generation unit 1 3 1, a signature generation unit 1 3 2, an application signature 0 Tom 1 3 3, an addition unit 1 3 4, and a calculation unit. It has a unit 1 3 5, a learning unit 1 3 6, a discriminant model 0, 1 2 2, a prediction unit 1 3 7, and an output unit 14.
  • the traffic data 21 is input to the input unit 11.
  • Traffic data 21 is packet data and flow data collected from equipment 20.
  • the discriminant model Romi 1 2 2 stores the trained model that has already been generated.
  • the identification device 10 may generate a model in the initial state by using a random number or the like without externally obtaining the model.
  • the output unit 14 outputs the predicted value of the label for each flow data as the prediction result.
  • the output unit 14 may output the prediction probabilities for each label.
  • each processing unit of the identification device 10 has a processing unit necessary for learning among the processing units.
  • One learning device and a prediction device having a processing unit necessary for prediction among the processing units.
  • traffic data including bucket data and flow data is input to the input unit 11.
  • the flow data generation unit 1 3 1 generates flow data from packet data.
  • the signature generation unit 1 3 2 generates a signature in which the header information of the packet data included in the traffic data and the label indicating the category of the application corresponding to the bucket data are associated with each other.
  • the signature generator 1 3 2 can specify the category of the application corresponding to the packet data based on the payload information of the packet data.
  • the corresponding packet data application is, for example, an application that sends the packet data to the client and an application that receives the packet data from the client.
  • the signature generation unit 1 3 2 can specify the category of the application corresponding to the bucket data, based on the information obtained by the analysis by the DPI (Deep Packet Inspection) device. ..
  • the signature generator 1 3 2 may have a function equivalent to that of the D P device.
  • the signature generation unit 1 3 2 generates a signature in which the source data P address of the bucket data, the transmission source port number, the destination data P address and the destination port number, and the label are associated with each other. Then, the signature generator 1 3 2 stores the generated signature in the application signature D B.
  • FIG. 3 is a diagram showing an example of the signature.
  • the labels representing the application categories are, for example, "Vi deo”, “SNS”, and "(Uoud"
  • the source address P is 192.0. 2.10, the source port number is 80, and the destination P address is 192.0.2. 20”, indicating that the label corresponding to the bucket data or flow data whose destination port number is “32768” is “Vi deo”. ⁇ 02020/175165 6 ⁇ (: 170?2020/005652
  • the adding unit 1 3 4 adds a label to the flow data based on the header information of the signature and the flow data.
  • the adder 1 3 4 refers to the signature shown in FIG. 3, and the source address is 192.0. 2.10, the source port number is 80, and the destination address is 19.2.
  • the label "_1 ⁇ 160" is added to the flow data whose destination port number is "32.768".
  • the calculation unit 135 calculates the feature amount of the flow data.
  • the calculation unit 1 calculates the feature amount of the flow data.
  • 35 is calculated by using at least one of the number of flows for each source address or destination address, the average number of transmission/reception bytes per packet, and/or at least the number of buckets per flow.
  • the signature generation unit 1 3 2 associates a label with each of the source I address, the source port number, the destination address and the destination port number
  • the calculation unit 1 3 5 uses the source address. For each or each destination address, the flow data is aggregated and the feature amount is calculated. By the processing up to this point, the label and the feature amount are associated with each other.
  • the learning unit 1336 uses a label and the feature amount of the flow data to which the label is added to learn a model for predicting a label from the feature amount. For example, if the model is the mouth 1 ⁇ 1 that predicts the label from the feature quantity, the learning unit 1336 learns 0. Then, the learning unit 1 3 6 stores the parameters of the updated model in the identification model ROM 1 2 2. For example, the learning unit 1 3 6 stores parameters such as weights and biases for constructing 0 1 ⁇ 1 in the discriminant model Ro 1 2 2.
  • traffic data including flow data is input to the input section 11 1. Then, the calculation unit 135 calculates the feature amount of the flow data included in the traffic data.
  • the predicting unit 137 predicts the label corresponding to the flow data by using the learned model that predicts the label representing the category of the application from the feature amount.
  • the predictor 1 3 7 is a parameter stored in the identification model B. Prediction can be performed using a DNN constructed based on.
  • FIG. 4 is a diagram for explaining detection of malicious communication.
  • traffic data to be identified which may include malicious communication
  • the identification device 10 predicts the label of each traffic data.
  • traffic data Unknown
  • FIG. 5 is a flow chart showing the flow of learning processing of the identification device according to the first embodiment.
  • the identification device 10 receives input of flow data and bucket data (step S11).
  • the identification device 10 generates a signature of the category of application from the bucket data (step S12).
  • the identification device 10 generates flow data from the packet data (step S13). Then, the identification device 10 adds a signature-based label to the feature quantity (step S14). Further, the identification device 10 calculates a feature amount from the input flow data and the generated flow data (step S15). Then, the identification device 10 learns the identification model by using the labeled feature amount (step S16).
  • FIG. 6 is a flow chart showing a flow of a prediction process of the identification device according to the first embodiment.
  • the identification device 10 receives input of flow data (step S21).
  • the identification device 10 calculates a feature amount from the input flow rate (step S22).
  • the identification device 10 predicts the label of the feature amount using the identification model (step S23). ⁇ 02020/175165 8 ⁇ (: 170?2020/005652
  • the signature generator 1 3 2 generates a signature that associates the header information of the bucket data included in the traffic data with the label that represents the category of the application corresponding to the bucket data. It also, the flow data generation unit 1 3 1 1 1 generates flow data from the bucket data. Also, the adding unit 1 3 4 adds a label to the flow data based on the signature and the header information of the flow data. Also, the calculation unit 135 calculates the feature amount of the feature data. Further, the learning unit 1336 uses a label and the feature amount of the flow data to which the label is added to learn a model that predicts a label from the feature amount. As described above, the identification device 10 can generate a model for predicting a label from flow data by learning using packet data. The predicted labels also allow for detailed analysis of flow data. Therefore, according to the first embodiment, it is possible to automatically add a label capable of analyzing flow data in detail.
  • the calculator 1335 calculates the feature amount of the flow data included in the traffic data. Further, the prediction unit 137 predicts the label corresponding to the flow data by using the trained model that predicts the label representing the category of the application from the feature amount. In this way, the identification device 10 can automatically predict the label of the flow data. Therefore, according to the first embodiment, it is possible to automatically add a label capable of analyzing the feature data in detail.
  • the signature generation unit 1 3 2 generates a signature by using the payload information of the packet data or the label representing the category specified based on the information obtained by analyzing the packet data with the mouth device. To do. This makes it possible to specify the application category for each feature.
  • the signature generation unit 1 3 2 generates a signature in which the source data address of the bucket data, the transmission source port number, the destination data address and the destination port number pair, and the label are associated with each other.
  • the header information is common to packet data and flow data. Therefore, according to the first embodiment, the package ⁇ 02020/175165 9 ⁇ (: 170?2020/005652
  • the learning unit 1336 learns the mouth 1 ⁇ 1 for predicting the label from the feature amount. This makes it possible to effectively learn useful features from large-scale data.
  • the calculation unit 1 3 5 uses at least one of the number of flows for each source address or destination address, the average number of transmitted and received bytes per bucket, and the number of packets per flow as a feature amount. calculate. As a result, even if the ports of the same application bucket change, it becomes possible to associate the feature quantity with the category of the relevant application.
  • each component of each device shown in the drawings is functionally conceptual, and does not necessarily have to be physically configured as shown. That is, the specific form of distribution and integration of each device is not limited to that shown in the figure, and all or part of the device may be functionally or physically distributed or united in arbitrary units according to various loads and usage conditions. Can be integrated and configured. Furthermore, all or any part of each processing function performed by each device is realized by 0 II and a program that is analyzed and executed by 0 II, or as hardware by wired logic. obtain.
  • the identification device 10 requires an identification program that executes the above learning and prediction as packaged software or online software. It can be implemented by installing it in the computer. For example, by causing the information processing device to execute the above identification program, the information processing device can function as the identification device 10.
  • the information processing apparatus referred to here includes a desktop or notebook personal computer.
  • information processing devices include smartphones, mobile phones, mobile communication terminals such as PHS (Persona I Handyphone System), and slate terminals such as PDA (Personal Digital Assistant). include.
  • the identification device 10 can also be implemented as a server device that uses the terminal device used by the user as a client and provides the client with the services related to learning and prediction described above.
  • the server device is implemented as a server device that provides a service in which the traffic data is input and the learned model or the prediction result is output.
  • the server device may be implemented as a web server, or may be implemented as a cloud that provides the above-mentioned learning and prediction services by outsourcing.
  • FIG. 7 is a diagram showing an example of a computer that executes the identification program.
  • the computer 1 000 has, for example, a memory 110 0 and a CPU 1020.
  • the computer 1 000 has a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These parts are connected by bus 1 080
  • the memory 101 0 is a ROM (Read Only Memory) 1 01 1 and a RAM 1
  • the ROM 1 01 1 stores a boot program such as BI OS (Basic Input Output System).
  • the hard disk drive interface 1 030 is connected to the hard disk drive 1 090.
  • the disk drive interface 1040 is connected to the disk drive 1100.
  • a removable storage medium such as a magnetic disk or an optical disk is Disc drive 1100 is sneaked.
  • the serial port interface 1550 is connected to, for example, a mouse 1110 and a keyboard 1120.
  • the video adapter 1600 is connected to the display 1130, for example.
  • the hard disk drive 109 0 stores, for example, ⁇ S 1 09 1, application program 1 09 2, program module 1 09 3 and program data 1 0 9 4. That is, the program defining each process of the identification device 10 is implemented as a program module 1093 in which code executable by a computer is written.
  • the program module 109 3 is stored, for example, on the hard disk drive 109 0.
  • a program module 1093 for executing the same processing as the functional configuration of the identification device 10 is stored in the hard disk drive 109.
  • the hard disk drive 109 0 may be replaced by S SD.
  • the setting data used in the processing of the above-described embodiment is stored as the program data 1094 in the memory 1010 or the hard disk drive 1090, for example.
  • the CPU 1020 then loads the program module 1093 and program data 1094 stored in the memory 1010 and the hard disk drive 1090 into the RAM 1012 as necessary. Then, the process of the above-described embodiment is executed.
  • the program module 1093 and the program data 1094 are not limited to being stored in the hard disk drive 109, but may be stored in, for example, a removable storage medium. It may be read by the CPU 1 200 through 1100 or the like. Alternatively, the program module 1093 and the program data 1094 are connected to another computer connected via a network (LAN (Local Area Ne twork), WAN (Wide area Network), etc.). It may be stored. Then, the program module 1093 and the program data 1094 may be read by the CPU 1020 from another computer via the network interface 107. Explanation of symbols ⁇ 2020/175 165 12 S/E!? 2020/005652

Landscapes

  • Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • General Health & Medical Sciences (AREA)
  • Mathematical Physics (AREA)
  • Data Mining & Analysis (AREA)
  • Molecular Biology (AREA)
  • Computational Linguistics (AREA)
  • Biophysics (AREA)
  • General Physics & Mathematics (AREA)
  • Evolutionary Computation (AREA)
  • Software Systems (AREA)
  • Biomedical Technology (AREA)
  • Artificial Intelligence (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

シグネチャ生成部（１３２）は、トラフィックデータに含まれるパケットデータのヘッダ情報と、パケットデータに対応するアプリケーションのカテゴリを表すラベルとを対応付けたシグネチャを生成する。また、フローデータ生成部（１３１）は、パケットデータからフローデータを生成する。また、付加部（１３４）は、シグネチャ及びフローデータのヘッダ情報を基に、フローデータにラベルを付加する。また、計算部（１３５）は、フローデータの特徴量を計算する。また、学習部（１３６）は、ラベル、及びラベルが付加されたフローデータの特徴量を用いて、特徴量からラベルを予測するモデルの学習を行う。

Description

明 細 書
発明の名称 ： 識別装置及び識別プログラム
技術分野
[0001] 本発明は、 識別装置及び識別プログラムに関する。
背景技術
[0002] 従来、 トラフィックデータを分析するための手法が知られている。 例えば 、 バケッ トデータの情報を用いてフローデータにプロトコルを表すラベルを 付与する手法が知られている (例えば、 非特許文献 1 を参照) 。 また、 トラ フィックデータから抽出した特徴を D N N (Deep Neural Network) により 分析する手法が知られている (例えば、 非特許文献 2を参照) 。
先行技術文献
非特許文献
[0003] 非特許文献 1 : Thomas Karagiannis, Konstant i na Papagiannaki, Michal is Fa loutsos, BLINC: Multi level Traffic Classification in the Dark.
非特許文献 2 : Zh i tang Chen, Ke He, Jian Li and Yanhui Geng, S eq2Img : A Sequence-to-Image based Approach Towards IP Traffic Classification using Convolutional· Neural Networks, 2017 IEEE International Conference on Big Data (BIGDATA) .
発明の概要
発明が解決しようとする課題
[0004] しかしながら、 従来の手法には、 フローデータを詳細に分析可能なラベル の付加を自動的に行うことが困難な場合があるという問題がある。 例えば、 非特許文献 1 に記載の手法では、 プロトコルレべルでのラベルの付与しかで きず、 フローデータの詳細な分析は困難である。 また、 非特許文献 2に記載 の手法は、 バケッ トデータの特徴からアプリケーションを識別しているに過 ぎず、 パケッ トデータと比べて得られる情報の少ないフローデータの分析を \¥02020/175165 2 卩（：170?2020/005652
行うことは困難である。
課題を解決するための手段
［0005］ 上述した課題を解決し、 目的を達成するために、 識別装置は、 トラフィッ クデータに含まれるバケッ トデータのヘッダ情報と、 前記バケッ トデータに 対応するアプリケーシヨンのカテゴリを表すラベルとを対応付けたシグネチ ヤを生成するシグネチヤ生成部と、 前記バケッ トデータからフローデータを 生成するフローデータ生成部と、 前記シグネチヤ及び前記フローデータのへ ッダ情報を基に、 前記フローデータにラベルを付加する付加部と、 前記フロ —データの特徴量を計算する計算部と、 前記ラベル、 及び前記ラベルが付加 されたフローデータの前記特徴量を用いて、 特徴量からラベルを予測するモ デルの学習を行う学習部と、 を有することを特徴とする。
発明の効果
［0006］ 本発明によれば、 フローデータを詳細に分析可能なラベルの付加を自動的 に行うことができる。
図面の簡単な説明
［0007］ ［図 1］図 1は、 第 1の実施形態に係るネッ トワークシステムの構成の一例を示 す図である。
［図 2］図 2は、 第 1の実施形態に係る識別装置の構成の一例を示す図である。 ［図 3］図 3は、 シグネチヤの一例を示す図である。
［図 4］図 4は、 悪性通信の検知について説明するための図である。
［図 5］図 5は、 第 1の実施形態に係る識別装置の学習処理の流れを示すフロー チヤートである。
［図 6］図 6は、 第 1の実施形態に係る識別装置の予測処理の流れを示すフロー チヤートである。
［図 7］図 7は、 識別プログラムを実行するコンビュータの一例を示す図である
発明を実施するための形態 \¥02020/175165 3 卩（：170?2020/005652
[0008] 以下に、 本願に係る識別装置及び識別プログラムの実施形態を図面に基づ いて詳細に説明する。 なお、 本発明は、 以下に説明する実施形態により限定 されるものではない。
[0009] [第 1の実施形態の構成]
第 1の実施形態の識別装置は、 フローデータに対して、 当該フローデータ を発生させたアプリケーシヨンのカテゴリを表すラベルを付加するものであ る。 また、 識別装置は、 フローデータに付加するラベルを予測するための識 別器の学習を行う。 なお、 識別器は、 特徴量からラベルを予測するモデルの —例である。
[0010] 図 1 を用いて、 識別装置を有するネッ トワークシステムの構成を説明する 。 図 1は、 第 1の実施形態に係るネッ トワークシステムの構成の一例を示す 図である。 図 1 に示すように、 識別装置
Figure imgf000005_0001
小規模 （ 《¾〇「1〇 か ら、 パケッ トデータ （ 301^1；） とフローデータ （^11401/0 を受け取る。 そし て、 識別装置 1
Figure imgf000005_0002
は、 受け取ったパケッ トデータとフローデータを用いて 識別器の学習を行い、 学習済みの識別器を出力する。
[001 1 ] 識別装置 1 〇匕は、 バックボーン からフローデータを受け取る。 そし て、 識別装置 1 〇匕は、 識別装置 1 〇 3によって出力された識別器を使って 、 受け取ったフローデータに付加するラベルを予測する。
[0012] このように、 第 1の実施形態の識別装置によれば、 小規模なネッ トワーク で学習を行った結果を用いて、 大規模なネッ トワークであるバックボーン \/\/のフローデータの分析を行うことができる。 さらに、 フローデータからア プリケーシヨンを識別し、 可視化することにより、 ネッ トワーク状態の把握 及び障害発生時の初期分析等が可能になる。
[0013] パケッ トデータは、 パケッ トのヘッダ及びペイロードの情報である。 また 、 フローデータは、 の 5 - 1叩[6情報を共有するパケッ トグループ、 すなわちフ 口一の統計情報である。 例えば、 フローデータは、 フローに含まれるバケッ 卜の数、 各バケッ トのバイ ト数、 及びそれらの平均等の計算値を含んでいて もよい。 \¥02020/175165 4 卩（：170?2020/005652
[0014] アプリケーシヨン識別のために教師あり学習で識別器を生成する場合、 大 量のデータと各データポイントに対応したラベルが必要となる。 しかし、 フ 口ーデータには丨 アドレスやポート番号等の簡易な情報しか含まれない。 このため、 従来、 自動的なラベルの付加は難しく精度も低かった。 また、 対 象ネッ トワークの規模が大きいほど、 バケッ トデータの収集及び分析にかか る負荷は高く、 大規模なネッ トワークでは適用が難しい。 このため、 第 1の 実施形態のように、 パケッ トデータを用いることなく、 フローデータのみか らアプリケーシヨンのカテゴリを特定することは有用である。
[0015] 第 1の実施形態によれば、 例えば小規模なネッ トワークで得られた少量の バケッ トデータを用いて学習した識別器を用いて、 大規模なネッ トワークの フローデータへのラベルの付加が可能になる。 その際に、 大規模なネッ トワ —クのバケッ トデータを収集することは不要である。
[0016] 図 1 を用いて、 第 1の実施形態に係る識別装置の構成について説明する。
図 1は、 第 1の実施形態に係る識別装置の構成の一例を示す図である。 図 1 に示すように、 識別装置 1 0は、 入力部 1 1、 フローデータ生成部 1 3 1、 シグネチヤ生成部 1 3 2、 アプリケーシヨンシグネチヤ 0巳 1 3 3、 付加部 1 3 4、 計算部 1 3 5、 学習部 1 3 6、 識別モデル 0巳 1 2 2、 予測部 1 3 7及び出力部 1 4を有する。
[0017] 入力部 1 1 には、 トラフィックデータ 2 1が入力される。 トラフィックデ —夕 2 1は、 機器 2 0から収集されるパケッ トデータ及びフローデータ である。 また、 識別モデルロ巳 1 2 2には、 初期状態では、 生成済みの学習 済みモデルが格納される。 なお、 識別装置 1 0は、 初期状態のモデルを外部 から得ることなく、 乱数等を使って生成してもよい。
[0018] 出力部 1 4は、 予測結果として、 フローデータごとのラベルの予測値を出 力する。 また、 モデルがラベルごとの確率を出力するものである場合、 出力 部 1 4は、 ラベルごとの予測確率を出力してもよい。
[0019] 識別装置 1 0の各処理部の処理を、 学習フェーズと予測フェーズに分けて 説明する。 なお、 識別装置 1 〇は、 各処理部のうち学習に必要な処理部を持 つ学習装置、 及び各処理部のうち予測に必要な処理部を持つ予測装置により 実現されてもよい。
[0020] （学習フェーズ）
学習フェーズにおいては、 バケッ トデータ及びフローデータを含むトラフ ィックデータが入力部 1 1 に入力される。 フローデータ生成部 1 3 1は、 パ ケッ トデータからフローデータを生成する。
[0021 ] シグネチヤ生成部 1 3 2は、 トラフィックデータに含まれるパケッ トデー 夕のヘッダ情報と、 バケッ トデータに対応するアプリケーションのカテゴリ を表すラベルとを対応付けたシグネチヤを生成する。
[0022] シグネチヤ生成部 1 3 2は、 パケッ トデータのペイロード情報を基に、 当 該バケッ トデータに対応するアプリケーションのカテゴリを特定することが できる。 なお、 対応するパケッ トデータのアプリケーションとは、 例えば、 当該バケッ トデータをクライアントに送信するアプリケーション、 及び当該 バケッ トデータをクライアントから受信するアプリケーションである。
[0023] また、 シグネチヤ生成部 1 3 2は、 D P I （Deep Packet Inspect i on） 装置により分析して得られる情報を基に、 当該バケッ トデータに対応するア プリケーションのカテゴリを特定することができる。 シグネチヤ生成部 1 3 2は、 D P 丨装置と同等の機能を有していてもよい。
[0024] シグネチヤ生成部 1 3 2は、 バケッ トデータの送信元丨 Pアドレス、 送信 元ポート番号、 宛先丨 Pアドレス及び宛先ポート番号の組と、 ラベルとを対 応付けたシグネチヤを生成する。 そして、 シグネチヤ生成部 1 3 2は、 生成 したシグネチヤをアプリケーションシグネチヤ D Bに格納する。
[0025] 図 3は、 シグネチヤの一例を示す図である。 図 3に示すように、 アプリケ —ションのカテゴリを表すラベルは、 例えば 「V i deo」 、 「SNS」 、 「（Uoud」
、 「Ma i l」 等である。 例えば、 図 3の 1行目のシグネチヤは、 送信元丨 Pア ドレスが 「192. 0. 2. 10」 、 送信元ポート番号が 「80」 、 宛先丨 Pアドレスが 「192. 0. 2. 20」 、 宛先ポート番号が 「32768」 であるバケッ トデータ又はフロ —データに対応するラベルが 「V i deo」 であることを表している。 \¥02020/175165 6 卩（：170?2020/005652
[0026] 付加部 1 3 4は、 シグネチヤ及びフローデータのヘッダ情報を基に、 フロ —データにラベルを付加する。 例えば、 付加部 1 3 4は、 図 3に示すシグネ チヤを参照し、 送信元丨 アドレスが 「192. 0. 2. 10」 、 送信元ポート番号が 「80」 、 宛先丨 アドレスが 「192. 0. 2. 20」 、 宛先ポート番号が 「32768」 で あるフローデータに、 ラベル 「 _1〇160」 を付加する。
[0027] 計算部 1 3 5は、 フローデータの特徴量を計算する。 ここでは、 計算部 1
3 5は、 送信元丨 アドレス又は宛先丨 アドレスごとのフロー数、 1パケ ッ トあたりの送受信バイ ト数の平均、 1 フローあたりのバケッ ト数の少なく ともいずれかを特徴量として計算する。
[0028] シグネチヤ生成部 1 3 2が、 送信元 I アドレス、 送信元ポート番号、 宛 先丨 アドレス及び宛先ポート番号ごとにラベルを対応付けるのに対し、 計 算部 1 3 5は、 送信元丨 アドレスごと、 又は宛先丨 アドレスごとにフロ —データを集約し特徴量を計算する。 ここまでの処理により、 ラベルと特徴 量が対応付けられる。
[0029] 学習部 1 3 6は、 ラベル、 及びラベルが付加されたフローデータの特徴量 を用いて、 特徴量からラベルを予測するモデルの学習を行う。 例えば、 モデ ルが特徴量からラベルを予測する口 1\1である場合、 学習部 1 3 6は0 の学習を行う。 そして、 学習部 1 3 6は、 更新したモデルのパラメータを識 別モデルロ巳 1 2 2に格納する。 例えば、 学習部 1 3 6は、 0 1\1を構築す るための重みやバイアス等のパラメータを識別モデルロ巳 1 2 2に格納する
[0030] （予測フェーズ）
学習フェーズにおいては、 フローデータを含むトラフィックデータが入力 部 1 1 に入力される。 そして、 計算部 1 3 5は、 トラフィックデータに含ま れるフローデータの特徴量を計算する。
[0031 ] また、 予測部 1 3 7は、 特徴量からアプリケーシヨンのカテゴリを表すラ ベルを予測する学習済みのモデルを用いて、 フローデータに対応するラベル を予測する。 予測部 1 3 7は、 識別モデルロ巳に格納されているパラメータ を基に構築した D N Nを用いて予測を行うことができる。
[0032] 図 4に示すように、 識別装置 1 0の予測フェーズの処理によれば、 悪性通 信の検知を補助することができる。 図 4は、 悪性通信の検知について説明す るための図である。 図 4に示すように、 悪性通信が含まれている可能性があ る、 識別対象のトラフィックデータが識別装置 1 〇に入力される。 そして、 識別装置 1 〇は、 各トラフィックデータのラベルを予測する。 このとき、 識 別装置 1 0によってラベルを予測できなかったトラフィックデータ （Unknown ） が存在する場合がある。 このとき、 ラベルが予測されたトラフィックデー 夕を除外することで、 悪性通信の検知を効率良く行うことが可能になる。
[0033] [第 1の実施形態の処理]
図 5を用いて、 識別装置 1 0の学習処理の流れについて説明する。 図 5は 、 第 1の実施形態に係る識別装置の学習処理の流れを示すフローチヤートで ある。 図 5に示すように、 まず、 識別装置 1 0は、 フローデータ及びバケッ トデータの入力を受け付ける （ステップ S 1 1） 。 次に、 識別装置 1 0は、 バケッ トデータからアプリケーシヨンのカテゴリのシグネチヤを生成する （ ステップ S 1 2） 。
[0034] ここで、 識別装置 1 0は、 パケッ トデータからフローデータを生成する （ ステップ S 1 3） 。 そして、 識別装置 1 0は、 シグネチヤに基づくラベルを 特徴量に付加する （ステップ S 1 4） 。 さらに、 識別装置 1 0は、 入力され たフローデータ及び生成したフローデータから特徴量を計算する （ステップ S 1 5） 。 そして、 識別装置 1 0は、 ラベルが付加された特徴量を用いて識 別モデルの学習を行う （ステップ S 1 6） 。
[0035] 図 6を用いて、 識別装置 1 0の予測処理の流れについて説明する。 図 6は 、 第 1の実施形態に係る識別装置の予測処理の流れを示すフローチヤートで ある。 図 6に示すように、 まず、 識別装置 1 0は、 フローデータの入力を受 け付ける （ステップ S 2 1） 。 次に、 識別装置 1 0は、 入力されたフローデ —夕から特徴量を計算する （ステップ S 2 2） 。 そして、 識別装置 1 0は、 識別モデルを使って、 特徴量のラベルを予測する （ステップ S 2 3） 。 \¥02020/175165 8 卩（：170?2020/005652
[0036] [第 1の実施形態の効果]
これまで説明したように、 シグネチヤ生成部 1 3 2は、 トラフィックデー 夕に含まれるバケッ トデータのヘッダ情報と、 バケッ トデータに対応するア プリケーシヨンのカテゴリを表すラベルとを対応付けたシグネチヤを生成す る。 また、 フローデータ生成部 1 3 1は、 バケッ トデータからフローデータ を生成する。 また、 付加部 1 3 4は、 シグネチヤ及びフローデータのヘッダ 情報を基に、 フローデータにラベルを付加する。 また、 計算部 1 3 5は、 フ 口ーデータの特徴量を計算する。 また、 学習部 1 3 6は、 ラベル、 及びラべ ルが付加されたフローデータの特徴量を用いて、 特徴量からラベルを予測す るモデルの学習を行う。 このように、 識別装置 1 0は、 パケッ トデータを用 いた学習により、 フローデータからラベルを予測するモデルを生成すること ができる。 また、 予測されたラベルによれば、 フローデータの詳細な分析が 可能になる。 このため、 第 1の実施形態によれば、 フローデータを詳細に分 析可能なラベルの付加を自動的に行うことができる。
[0037] 計算部 1 3 5は、 トラフィックデータに含まれるフローデータの特徴量を 計算する。 また、 予測部 1 3 7は、 特徴量からアプリケーシヨンのカテゴリ を表すラベルを予測する学習済みのモデルを用いて、 フローデータに対応す るラベルを予測する。 このように、 識別装置 1 0は、 フローデータのラベル を自動的に予測することができる。 このため、 第 1の実施形態によれば、 フ 口ーデータを詳細に分析可能なラベルの付加を自動的に行うことができる。
[0038] シグネチヤ生成部 1 3 2は、 パケッ トデータのペイロード情報、 又はパケ ッ トデータを口 丨装置により分析して得られる情報を基に特定されたカテ ゴリを表すラベルを用いて、 シグネチヤを生成する。 これにより、 特徴量ご とに、 アプリケーシヨンのカテゴリを特定することが可能になる。
[0039] シグネチヤ生成部 1 3 2は、 バケッ トデータの送信元丨 アドレス、 送信 元ポート番号、 宛先丨 アドレス及び宛先ポート番号の組と、 ラベルとを対 応付けたシグネチヤを生成する。 これらのヘッダ情報は、 パケッ トデータと フローデータとで共通している。 このため、 第 1の実施形態によれば、 パケ \¥02020/175165 9 卩（：170?2020/005652
ッ トデータから生成したシグネチヤをフローデータに適用することが可能に なる。
[0040] 学習部 1 3 6は、 特徴量からラベルを予測する口 1\1の学習を行う。 これ により、 大規模なデータから有用な特徴を効果的に学習することが可能にな る。
[0041 ] 計算部 1 3 5は、 送信元丨 アドレス又は宛先丨 アドレスごとのフロー 数、 1バケッ トあたりの送受信バイ ト数の平均、 1 フローあたりのパケッ ト 数の少なくともいずれかを特徴量として計算する。 これにより、 同一のアプ リケーシヨンのバケッ トのポートが変化した場合であっても、 特徴量を当該 アプリケーシヨンのカテゴリに対応付けることが可能になる。
[0042] [システム構成等]
また、 図示した各装置の各構成要素は機能概念的なものであり、 必ずしも 物理的に図示のように構成されていることを要しない。 すなわち、 各装置の 分散及び統合の具体的形態は図示のものに限られず、 その全部又は一部を、 各種の負荷や使用状況等に応じて、 任意の単位で機能的又は物理的に分散又 は統合して構成することができる。 さらに、 各装置にて行われる各処理機能 は、 その全部又は任意の一部が、 0 II及び当該 0 IIにて解析実行される プログラムにて実現され、 あるいは、 ワイヤードロジックによるハードウェ アとして実現され得る。
[0043] また、 本実施形態において説明した各処理のうち、 自動的に行われるもの として説明した処理の全部又は一部を手動的に行うこともでき、 あるいは、 手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自 動的に行うこともできる。 この他、 上記文書中や図面中で示した処理手順、 制御手順、 具体的名称、 各種のデータやパラメータを含む情報については、 特記する場合を除いて任意に変更することができる。
[0044] [プログラム]
—実施形態として、 識別装置 1 〇は、 パッケージソフトウェアやオンライ ンソフトウェアとして上記の学習及び予測を実行する識別プログラムを所望 のコンビュータにインストールさせることによって実装できる。 例えば、 上 記の識別プログラムを情報処理装置に実行させることにより、 情報処理装置 を識別装置 1 〇として機能させることができる。 ここで言う情報処理装置に は、 デスクトップ型又はノート型のパーソナルコンピュータが含まれる。 ま た、 その他にも、 情報処理装置にはスマートフォン、 携帯電話機や PHS (P ersona I Handyphone System) 等の移動体通信端末、 さらには、 PDA (Pe rsonal Digital Assistant) 等のスレート端末等がその範疇に含まれる。
[0045] また、 識別装置 1 0は、 ユーザが使用する端末装置をクライアントとし、 当該クライアントに上記の学習及び予測に関するサービスを提供するサーバ 装置として実装することもできる。 例えば、 サーバ装置は、 トラフィックデ —夕を入力とし、 学習済みモデル又は予測結果を出力とするサービスを提供 するサーバ装置として実装される。 この場合、 サーバ装置は、 We bサーバ として実装することとしてもよいし、 アウトソーシングによって上記の学習 及び予測に関するサービスを提供するクラウドとして実装することとしても かまわない。
[0046] 図 7は、 識別プログラムを実行するコンビュータの一例を示す図である。
コンビュータ 1 000は、 例えば、 メモリ 1 01 0、 C P U 1 020を有す る。 また、 コンビュータ 1 000は、 ハードディスクドライブインタフエー ス 1 030、 ディスクドライブインタフエース 1 040、 シリアルポートイ ンタフエース 1 050、 ビデオアダプタ 1 060、 ネッ トワークインタフエ —ス 1 070を有する。 これらの各部は、 バス 1 080によって接続される
[0047] メモリ 1 01 0は、 ROM (Read Only Memory) 1 01 1及び RAM 1
01 2を含む。 R OM 1 01 1は、 例えば、 B I OS (Basic Input Outpu t System) 等のブートプログラムを記憶する。 ハードディスクドライブイン タフエース 1 030は、 ハードディスクドライブ 1 090に接続される。 デ ィスクドライブインタフエース 1 040は、 ディスクドライブ 1 1 00に接 続される。 例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、 デ ィスクドライブ 1 1 0 0に揷入される。 シリアルポートインタフェース 1 0 5 0は、 例えばマウス 1 1 1 0、 キーボード 1 1 2 0に接続される。 ビデオ アダプタ 1 0 6 0は、 例えばディスプレイ 1 1 3 0に接続される。
[0048] ハードディスクドライブ 1 0 9 0は、 例えば、 〇 S 1 0 9 1、 アプリケー シヨンプログラム 1 0 9 2、 プログラムモジュール 1 0 9 3、 プログラムデ —夕 1 0 9 4を記憶する。 すなわち、 識別装置 1 0の各処理を規定するプロ グラムは、 コンピュータにより実行可能なコードが記述されたプログラムモ ジュール 1 0 9 3として実装される。 プログラムモジュール 1 0 9 3は、 例 えばハードディスクドライブ 1 0 9 0に記憶される。 例えば、 識別装置 1 0 における機能構成と同様の処理を実行するためのプログラムモジュール 1 0 9 3が、 ハードディスクドライブ 1 0 9 0に記憶される。 なお、 ハードディ スクドライブ 1 0 9 0は、 S S Dにより代替されてもよい。
[0049] また、 上述した実施形態の処理で用いられる設定データは、 プログラムデ —夕 1 0 9 4として、 例えばメモリ 1 0 1 0やハードディスクドライブ 1 0 9 0に記憶される。 そして、 C P U 1 0 2 0は、 メモリ 1 0 1 0やハードデ ィスクドライブ 1 0 9 0に記憶されたプログラムモジュール 1 0 9 3やプロ グラムデータ 1 0 9 4を必要に応じて R A M 1 0 1 2に読み出して、 上述し た実施形態の処理を実行する。
[0050] なお、 プログラムモジュール 1 0 9 3やプログラムデータ 1 0 9 4は、 ハ —ドディスクドライブ 1 0 9 0に記憶される場合に限らず、 例えば着脱可能 な記憶媒体に記憶され、 ディスクドライブ 1 1 0 0等を介して C P U 1 0 2 0によって読み出されてもよい。 あるいは、 プログラムモジュール 1 0 9 3 及びプログラムデータ 1 0 9 4は、 ネッ トワーク ( L A N (Loca l Area Ne twork) 、 W A N (W i de Area Network) 等) を介して接続された他のコン ピュータに記憶されてもよい。 そして、 プログラムモジュール 1 0 9 3及び プログラムデータ 1 0 9 4は、 他のコンビュータから、 ネッ トワークインタ フェース 1 0 7 0を介して C P U 1 0 2 0によって読み出されてもよい。 符号の説明 〇 2020/175165 12 卩 ェ/·!? 2020 /005652
[0051] 1 0 識別装置
1 1 入力部
1 4 出力部
1 22 識別モデルロ巳
1 3 1 フローデータ生成部
1 32 シグネチヤ生成部
1 33 アプリケーションシグネチヤロ巳
1 34 付加部
1 35 計算部
1 36 学習部

Claims

請求の範囲
[請求項 1 ] トラフィックデータに含まれるバケッ トデータのヘッダ情報と、 前 記バケッ トデータに対応するアプリケーシヨンのカテゴリを表すラべ ルとを対応付けたシグネチヤを生成するシグネチヤ生成部と、 前記パケッ トデータからフローデータを生成するフローデータ生成 部と、
前記シグネチヤ及び前記フローデータのへッダ情報を基に、 前記フ 口ーデータにラベルを付加する付加部と、
前記フローデータの特徴量を計算する計算部と、 前記ラベル、 及び前記ラベルが付加されたフローデータの前記特徴 量を用いて、 特徴量からラベルを予測するモデルの学習を行う学習部 と、
を有することを特徴とする識別装置。
[請求項 2] トラフィックデータに含まれるフローデータの特徴量を計算する計 算部と、
特徴量からアプリケーシヨンのカテゴリを表すラベルを予測する学 習済みのモデルを用いて、 前記フローデータに対応するラベルを予測 する予測部と、
を有することを特徴とする識別装置。
[請求項 3] 前記シグネチヤ生成部は、
前記パケッ トデータのペイロード情報、 又は前記パケッ トデータを D P I (Deep Packet Inspect i on) 装置により分析して得られる情 報を基に特定されたカテゴリを表すラベルを用いて、 前記シグネチヤ を生成することを特徴とする請求項 1 に記載の識別装置。
[請求項 4] 前記シグネチヤ生成部は、 前記パケッ トデータの送信元丨 Pアドレ ス、 送信元ポート番号、 宛先丨 Pアドレス及び宛先ポート番号の組と 、 前記ラベルとを対応付けたシグネチヤを生成することを特徴とする 請求項 1又は 3に記載の識別装置。
[請求項 5] 前記学習部は、 特徴量からラベルを予測する D N N (Deep Neura l
Network) の学習を行うことを特徴とする請求項 1、 3及び 4のい ずれか 1項に記載の識別装置。
[請求項 6] 前記計算部は、 送信元丨 Pアドレス又は宛先丨 Pアドレスごとのフ 口一数、 1バケツ トあたりの送受信バイ ト数の平均、 1 フローあたり のバケツ ト数の少なくともいずれかを前記特徴量として計算すること を特徴とする請求項 1から 4のいずれか 1項に記載の識別装置。
[請求項 7] コンピュータを、 請求項 1から 6のいずれか 1項に記載の識別装置 として機能させるための識別プログラム。
PCT/JP2020/005652 2019-02-27 2020-02-13 識別装置及び識別プログラム Ceased WO2020175165A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/424,891 US11811659B2 (en) 2019-02-27 2020-02-13 Identification device and identification program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-034936 2019-02-27
JP2019034936A JP7095624B2 (ja) 2019-02-27 2019-02-27 識別装置及び識別プログラム

Publications (1)

Publication Number Publication Date
WO2020175165A1 true WO2020175165A1 (ja) 2020-09-03

Family

ID=72238862

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/005652 Ceased WO2020175165A1 (ja) 2019-02-27 2020-02-13 識別装置及び識別プログラム

Country Status (3)

Country Link
US (1) US11811659B2 (ja)
JP (1) JP7095624B2 (ja)
WO (1) WO2020175165A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20260046193A1 (en) * 2024-08-09 2026-02-12 B.yond, Inc. Adaptive network trace analysis using reference communication flows

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022118373A1 (ja) * 2020-12-01 2022-06-09 日本電信電話株式会社 識別器生成装置、識別器生成方法および識別器生成プログラム
US12335405B2 (en) * 2022-07-27 2025-06-17 Rapid7, Inc. Machine learning techniques for verifying correctness of associations between assets related to events and addressable computer network assets

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012105043A (ja) * 2010-11-10 2012-05-31 Nippon Telegr & Teleph Corp <Ntt> フロー分類方法、システム、およびプログラム
JP2017022593A (ja) * 2015-07-13 2017-01-26 Kddi株式会社 検証装置、検証方法及び検証プログラム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8682812B1 (en) * 2010-12-23 2014-03-25 Narus, Inc. Machine learning based botnet detection using real-time extracted traffic features
WO2020112658A1 (en) * 2018-11-27 2020-06-04 Xaxar Inc. Systems and methods of data flow classification

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012105043A (ja) * 2010-11-10 2012-05-31 Nippon Telegr & Teleph Corp <Ntt> フロー分類方法、システム、およびプログラム
JP2017022593A (ja) * 2015-07-13 2017-01-26 Kddi株式会社 検証装置、検証方法及び検証プログラム

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20260046193A1 (en) * 2024-08-09 2026-02-12 B.yond, Inc. Adaptive network trace analysis using reference communication flows

Also Published As

Publication number Publication date
US11811659B2 (en) 2023-11-07
US20220086088A1 (en) 2022-03-17
JP7095624B2 (ja) 2022-07-05
JP2020141236A (ja) 2020-09-03

Similar Documents

Publication Publication Date Title
Zheng et al. IIsy: Hybrid in-network classification using programmable switches
US10855604B2 (en) Systems and methods of data flow classification
JP6622928B2 (ja) 悪意のあるｂｇｐハイジャックの正確なリアルタイム識別
US9767291B2 (en) Systems and methods for security and risk assessment and testing of applications
CN108173938B (zh) 服务器负载分流方法及装置
US20220172076A1 (en) Prediction of network events via rule set representations of machine learning models
US20200364334A1 (en) Detection of malicious executable files using hierarchical models
US20150156086A1 (en) Behavioral network intelligence system and method thereof
CN105917632A (zh) 用于电信中的可扩缩分布式网络业务分析的方法
CN103828298A (zh) 用于基于网络的资产操作相关性评分的系统和方法
WO2020175165A1 (ja) 識別装置及び識別プログラム
JP2011015253A (ja) 通信トラヒック分類方法、装置、およびプログラム
Long et al. Network traffic classification based on a deep learning approach using netflow data
US12355716B2 (en) Detecting malicious email attachments using context-specific feature sets
US20240356957A1 (en) Iterative cross-product threat detection based on network telemetry relationships
CN114866310A (zh) 一种恶意加密流量检测方法、终端设备及存储介质
US20190124094A1 (en) Active prioritization of investigation targets in network security
Golchin et al. Cml-ids: Enhancing intrusion detection in sdn through collaborative machine learning
Jyothsna et al. A flow-based network intrusion detection system for high-speed networks using meta-heuristic scale
Zeghida et al. XMID-MQTT: explaining machine learning-based intrusion detection system for MQTT protocol in IoT environment: H. Zeghida et al.
JP6660283B2 (ja) トラヒック需要予測装置、トラヒック需要予測方法、及びプログラム
CN116708314A (zh) 流量处理方法、装置、设备及存储介质
US20210336865A1 (en) Control device and control method
CN114666263A (zh) 高动态的智能路由确定方法、装置、电子设备及存储介质
US11477215B2 (en) Scaling a processing resource of a security information and event management system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20762700

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20762700

Country of ref document: EP

Kind code of ref document: A1