WO2022070256A1 - 情報処理装置、情報処理方法、及び、記録媒体 - Google Patents

情報処理装置、情報処理方法、及び、記録媒体 Download PDF

Info

Publication number
WO2022070256A1
WO2022070256A1 PCT/JP2020/036907 JP2020036907W WO2022070256A1 WO 2022070256 A1 WO2022070256 A1 WO 2022070256A1 JP 2020036907 W JP2020036907 W JP 2020036907W WO 2022070256 A1 WO2022070256 A1 WO 2022070256A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
feature
latent
distance
information processing
Prior art date
Application number
PCT/JP2020/036907
Other languages
English (en)
French (fr)
Inventor
聡 池田
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to PCT/JP2020/036907 priority Critical patent/WO2022070256A1/ja
Priority to US18/022,618 priority patent/US20240004878A1/en
Priority to JP2022553259A priority patent/JP7420278B2/ja
Publication of WO2022070256A1 publication Critical patent/WO2022070256A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/24—Querying
    • G06F16/245—Query processing
    • G06F16/2453—Query optimisation
    • G06F16/24534—Query rewriting; Transformation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G06F17/16—Matrix or vector computation, e.g. matrix-matrix or matrix-vector multiplication, matrix factorization
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning

Definitions

  • the present invention relates to a technical field of an information processing apparatus, an information processing method, and a recording medium capable of calculating information on a factor influencing a distance between two data in a vector space.
  • Metric learning (in other words, metric learning) is used as an example of a method for calculating the distance between two data (specifically, the distance between two feature vectors indicating the feature quantities of the two data).
  • the method is known (see Patent Document 1).
  • Metric learning is a transformation that can transform the feature vector of each data so that the distance between two or more similar data is short and the distance between two or more dissimilar data is long in a vector space. This is a method for generating a model. In this case, two feature vectors indicating the feature quantities of the two data are transformed by the transformation model, and the distance between the transformed two feature vectors is calculated as the distance between the two data.
  • the transformation model generated by metric learning is generally a black box model in which the process of transforming feature vectors cannot be understood by the user. As a result, the user cannot understand the factors influencing the distance between the two data. Therefore, from the viewpoint of improving user convenience, it is desirable to calculate information on factors influencing the distance between two data.
  • An object of the present invention is to provide an information processing apparatus, an information processing method, and a recording medium capable of solving the above-mentioned technical problems.
  • One aspect of the information processing apparatus is to display a plurality of feature vector data indicating the feature quantities of the plurality of sample data groups in the expression space, and to display the feature quantities of the plurality of sample data groups in a latent space different from the representation space.
  • the conversion means for converting into the plurality of latent vector data shown respectively and the plurality of latent vector data the distance from the plurality of feature vector data to the desired query data in the latent space is the other feature vector data.
  • An extraction means for extracting at least one feature vector data shorter than that of the neighborhood data as neighborhood data, and for each element of the feature quantity of the query data and the neighborhood data in the representation space based on the neighborhood data.
  • a generation means for generating a local model that outputs an estimated value of the latent distance, which is the distance between the query data and the neighboring data in the latent space when the difference information regarding the difference is input, and the local.
  • a calculation means for calculating an element contribution degree indicating the magnitude of the influence of each element of the feature amount of the neighborhood data on the latent distance based on the model and the difference information is provided.
  • One aspect of the information processing method is to display a plurality of feature vector data indicating the feature quantities of the plurality of sample data groups in the expression space, and to display the feature quantities of the plurality of sample data groups in a latent space different from the representation space. Conversion to a plurality of latent vector data shown respectively, and based on the plurality of latent vector data, the distance from the plurality of feature vector data to the desired query data in the latent space is different from that of the other feature vector data. Extracting at least one feature vector data that is shorter in comparison as neighborhood data, and the difference between the feature quantities of the query data and the neighborhood data in the representation space based on the neighborhood data for each element.
  • the local model To generate a local model that outputs an estimated value of the latent distance, which is the distance between the query data and the neighboring data in the latent space when the difference information is input, the local model and the difference. It includes calculating the element contribution degree indicating the magnitude of the influence of each element of the feature amount of the neighborhood data on the latent distance based on the information.
  • One aspect of the recording medium is to provide a computer with a plurality of feature vector data indicating the feature quantities of the plurality of sample data groups in the representation space, respectively, in a latent space different from the representation space, and the features of the plurality of sample data groups.
  • the distance from the plurality of feature vector data to the desired query data in the latent space is the other feature vector based on the conversion into the plurality of latent vector data indicating the quantity respectively and the plurality of latent vector data.
  • At least one feature vector data that is shorter than the data is extracted as neighborhood data, and based on the neighborhood data, for each element of the feature quantity of the query data and the neighborhood data in the representation space.
  • a computer program that executes an information processing method including calculating an element contribution degree indicating the magnitude of the influence of each element of the feature amount of the neighboring data on the latent distance based on the difference information. It is a recorded recording medium.
  • each one of the above-mentioned information processing apparatus, information processing method, and recording medium it is possible to calculate information on factors influencing the distance between two data.
  • FIG. 1 is a block diagram showing a configuration of the communication system of the present embodiment.
  • FIG. 2 is a block diagram showing the configuration of the information processing apparatus of the present embodiment.
  • FIG. 3 is a data structure diagram showing the data structure of the proxy log DB of the present embodiment.
  • FIG. 4 is a data structure diagram showing the data structure of the feature data set of the present embodiment.
  • FIG. 5 is a flowchart showing the flow of the model generation operation performed by the information processing apparatus.
  • FIG. 6 is a data structure diagram showing the data structure of the teacher data set of the present embodiment.
  • FIG. 7 is a flowchart showing the flow of the threat detection operation performed by the information processing apparatus.
  • FIG. 8 is a flowchart showing the flow of the operation of extracting n neighborhood data.
  • FIG. 1 is a block diagram showing a configuration of the communication system of the present embodiment.
  • FIG. 2 is a block diagram showing the configuration of the information processing apparatus of the present embodiment.
  • FIG. 3 is a data structure diagram
  • FIG. 9 is a plan view showing a display example of the element contribution degree.
  • FIG. 10 is a table showing the affiliation rate in which the vector component belongs to the feature group.
  • FIG. 11 is a plan view showing a display example of the degree of group contribution.
  • FIG. 12 is a block diagram showing a configuration of a communication system in the second modification.
  • FIG. 13 is a block diagram showing the configuration of the information processing apparatus in the third modification.
  • FIG. 1 is a block diagram showing an overall configuration of the communication system SYS in the present embodiment.
  • the communication system SYS includes a proxy server 1, a plurality of clients 2, a plurality of servers 3, and an information processing device 4.
  • the communication system SYS may include a single client 2.
  • the communication system SYS may include a single server 3.
  • the proxy server 1 and each of the plurality of servers 3 can communicate with each other via the network 5.
  • the network 5 may include a wired network or may include a wireless network.
  • the proxy server 1 is a device that relays communication between the client 2 and the server 3.
  • the proxy server 1 may send a request acquired from the client 2 to the server 3 specified by the acquired request via the network 5.
  • the request may include, for example, an HTTP (HyperText Transfer Protocol) request.
  • HTTP HyperText Transfer Protocol
  • the proxy server 1 may send the response acquired from the server 3 via the network 5 to the client 2 specified by the response.
  • the response may include, for example, an HTTP response.
  • the response is not limited to the HTTP response.
  • a system including a proxy server 1 and a plurality of clients 2 may be referred to as a local system L.
  • the proxy server 1 is arranged at the boundary between the local system L and the wide area network outside the local system L. It can be said that the proxy server 1 relays the communication between the local system L and the wide area network.
  • the client 2 communicates with the server 3 via the proxy server 1.
  • the client 2 may send desired data to the server 3 via the proxy server 1.
  • the client 2 may receive desired data from the server 3 via the proxy server 1.
  • the server 3 communicates with the client 2 via the proxy server 1.
  • the server 3 may send desired data to the client 2 via the proxy server 1.
  • the server 3 may receive desired data from the client 2 via the proxy server 1.
  • the server 3 is, for example, an HTTP server.
  • the server 3 may be a server other than the HTTP server.
  • the information processing device 4 performs a threat detection operation for detecting a threat that has already invaded the local system L via the network 5.
  • a threat detection operation for detecting a threat that has already invaded the local system L via the network 5.
  • FIG. 2 is a block diagram showing the configuration of the information processing apparatus 4 according to the present embodiment.
  • the information processing device 4 includes a storage device 41 and an arithmetic unit 42. Further, the information processing device 4 may include an input device 43 and an output device 44. However, the information processing device 4 does not have to include at least one of the input device 43 and the output device 44.
  • the storage device 41, the arithmetic unit 42, the input device 43, and the output device 44 may be connected via the data bus 45.
  • the storage device 41 can store desired data.
  • the storage device 41 may temporarily store the computer program executed by the arithmetic unit 42.
  • the storage device 41 may temporarily store data temporarily used by the arithmetic unit 42 while the arithmetic unit 42 is executing a computer program.
  • the storage device 41 may store data stored in the information processing device 4 for a long period of time.
  • the storage device 41 may include at least one of a RAM (Random Access Memory), a ROM (Read Only Memory), a hard disk device, a magneto-optical disk device, an SSD (Solid State Drive), and a disk array device. good. That is, the storage device 41 may include a recording medium that is not temporary.
  • the storage device 41 stores the data used by the information processing device 4 to perform the threat detection operation.
  • FIG. 1 shows, as an example of data used by the information processing apparatus 4 for performing a threat detection operation, a proxy log DB (Data: database) 411, a feature data set 412, a teacher data set 413, and a conversion model TM.
  • the local model LM are described. That is, FIG. 4 shows an example in which the storage device 41 stores the proxy log DB 411, the feature data set 412, the teacher data set 413, the conversion model TM, and the local model LM.
  • the proxy log DB 411 stores a plurality of proxy log data 4111 (see FIG. 3).
  • the proxy log data 4111 is log data showing a history of communication relayed by the proxy server 1 (that is, communication between the client 2 and the server 3).
  • FIG. 3 shows the data structure of the proxy log DB 411 that stores such a plurality of proxy log data 4111.
  • the proxy log data 4111 is, for example, (i) log information (client information) indicating the client 2 communicating with the server 3 and (ii) log information indicating the server 3 communicating with the client 2 (ii).
  • the log information (reception size information) indicating the size of the server 3 and the log information (transmission size information) indicating the size of the data transmitted by the client 2 to the server 3 may be included.
  • the proxy log data 4111 does not have to include at least one of the plurality of log information shown in FIG.
  • the proxy log data 4111 may include other log information different from the plurality of log information shown in FIG.
  • the proxy log data 4111 may be referred to as sample data. Further, the log information included in the proxy log data 4111 may be referred to as sample
  • the feature data set 412, the teacher data set 413, the conversion model TM, and the local model LM will be described in detail later.
  • the arithmetic unit 42 includes, for example, at least one of a CPU (Central Processing Unit), a GPU (Graphical Processing Unit), and an FPGA (Field Programmable Gate Array).
  • the arithmetic unit 42 reads a computer program.
  • the arithmetic unit 42 may read the computer program stored in the storage device 41.
  • the arithmetic unit 42 may read a computer program stored in a recording medium that can be read by a computer and is not temporary by using a recording medium reading device (not shown).
  • the arithmetic unit 42 may acquire (that is, download) a computer program from a device (not shown) arranged outside the information processing device 4 via an input device 43 capable of functioning as a communication device.
  • the arithmetic unit 42 executes the read computer program.
  • a logical functional block for executing an operation to be performed by the information processing device 4 (for example, the above-mentioned threat detection operation) is realized in the arithmetic unit 42. That is, the arithmetic unit 42 can function as a controller for realizing a logical functional block for executing an operation to be performed by the information processing unit 4.
  • FIG. 2 shows an example of a logical functional block realized in the arithmetic unit 42 to execute a threat detection operation.
  • a feature extraction unit 421 in the arithmetic unit 42, a feature extraction unit 421, a metric learning unit 422, a search unit 423 which is a specific example of each of the "conversion means” and the “extraction means", and a “generation” are provided.
  • a local model learning unit 424 which is a specific example of the "means”, a contribution calculation unit 425 which is a specific example of the "calculation means”, and an output control unit 426 are realized.
  • the feature extraction unit 421 extracts a plurality of (or at least one) proxy log data 4111 classified into the same log data group from the proxy log DB 411 based on a predetermined log classification standard.
  • the predetermined log classification standard is a log classification in which a plurality of proxy log data 4111s having the same client information, the same server information, and the communication date / time information satisfying the predetermined date / time standard are classified into the same log data group. Criteria may be included.
  • the plurality of proxy log data 4111 satisfying a predetermined date and time reference may include a plurality of proxy log data 4111 in which the communication dates indicated by the communication date and time information are the same.
  • the plurality of proxy log data 4111 satisfying a predetermined date and time reference includes a plurality of proxy log data 4111 in which the interval between the communication times (or communication date and time) indicated by the communication date and time information is less than a predetermined value and is continuous. You may go out.
  • the proxy log data 4111 classified into the same log data group may be referred to as a sample data group.
  • the feature extraction unit 421 is performed from the proxy log DB 411 shown in FIG. 3 between the client 2 corresponding to the identifier C1 and the server 3 corresponding to the identifier S1 on January 1, 2019.
  • Each of the three proxy log data 4111 showing the communication history may be extracted as the proxy log data 4111 classified into the first log data group.
  • the feature extraction unit 421 is performed from the proxy log DB 411 shown in FIG. 3 between the client 2 corresponding to the identifier C2 and the server 3 corresponding to the identifier S2 on January 1, 2019.
  • Each of the three proxy log data 4111 showing the communication history may be extracted as proxy log data 4111 classified into a second log data group different from the first log data group.
  • the feature extraction unit 421 further generates a feature vector XV indicating a feature amount of the extracted plurality of proxy log data 4111 (that is, a plurality of proxy log data 4111 classified into the same log data group).
  • the feature extraction unit 421 generates one feature vector XV from a plurality of proxy log data 4111 classified in the same log data group. Therefore, the feature extraction unit 421 generates feature vectors XV as many as the number of log data groups.
  • the number of log data groups is K (K is a constant indicating an integer of 1 or more), and the feature extraction unit 421 uses K feature vectors XV (hereinafter, K feature vectors XV, respectively).
  • the feature extraction unit 421 may generate a feature vector XV by analyzing a plurality of extracted proxy log data 4111.
  • the feature extraction unit 421 may generate the feature vector XV, for example, by performing an arithmetic process for calculating the statistics of the plurality of proxy log data 4111.
  • the feature vector XV may include, for example, an element (that is, a vector component, the same applies hereinafter) indicating a feature amount related to transmission size information.
  • the feature amount related to the transmission size information may include a feature amount related to a transmission size statistic (for example, at least one of a minimum value, a maximum value, an average value, a variance, and an average value) indicated by the transmission size information.
  • the feature vector XV may include, for example, an element indicating a feature amount related to reception size information.
  • the feature amount related to the received size information may include a feature amount related to a received size statistic (for example, at least one of a minimum value, a maximum value, an average value, a variance, and a total value) indicated by the received size information.
  • the feature vector XV may include, for example, an element indicating a feature quantity related to path information.
  • the feature amount related to the path information may include a feature amount related to a statistic of the data length of the request path indicated by the path information (for example, at least one such as a minimum value, a maximum value, an average value, and a variance).
  • the feature amount related to the path information may include the feature amount related to the frequency of the extension of the request path indicated by the path information (for example, the frequency of the request for each extension).
  • the feature vector XV may include, for example, an element indicating a feature quantity related to method information.
  • the feature amount related to the method information may include a feature amount related to the frequency of the method indicated by the method information (for example, at least one such as the ratio of the GET method, the ratio of the POST method, and the ratio of other methods).
  • the feature vector XV may include, for example, an element indicating a feature quantity relating to the distribution of access times (eg, the percentage of requests sent per unit time (eg, 1 hour)).
  • the feature vector XV may include, for example, an element indicating a feature quantity relating to the number of times a request has been transmitted.
  • the proxy log data 4111 includes header information
  • the feature vector XV may include, for example, an element indicating a feature amount related to the header information.
  • the feature vector XV generated by the feature extraction unit 421 is stored by the storage device 41 as at least a part of the feature data set 412.
  • An example of the data structure of the feature dataset 412 is shown in FIG.
  • the feature extraction unit 421 generates one feature vector XV from a plurality of proxy log data 4111 classified in the same log data group. Therefore, the storage device 41 stores the feature vector XV generated by the feature extraction unit 421 as a feature data DV in which the data identifier for identifying the log data group corresponding to the feature vector XV and the feature vector XV are associated with each other. You may. In this case, as shown in FIG.
  • the feature data set 412 contains feature data DV (ie, feature vector XV) as many as the number of log data groups classified according to a predetermined log classification criterion. That is, the feature data set 412 includes K feature data DVs (hereinafter, K feature data DVs are referred to as "feature data DV 1 to DV K " each using a subscript as an index). May be good.
  • K feature data DVs are referred to as "feature data DV 1 to DV K " each using a subscript as an index). May be good.
  • the feature data DV including the feature vector XV v is referred to as a feature data DV v .
  • the predetermined log classification standard includes a log classification standard in which a plurality of proxy log data 4111 having the same client information, server information, and communication date / time information are classified into the same log data group.
  • the storage device 41 uses the generated feature vector XV as feature data in which a data identifier uniquely indicating client information, server information, and communication date / time information is associated with the feature vector XV. It may be stored as DV.
  • the metric learning unit 422 generates a conversion model TM used for converting the feature vector XV.
  • the feature vector XV indicates the feature amount of the proxy log data 4111 in the expression space (that is, the vector space).
  • the conversion model TM uses a feature vector XV indicating the feature amount of the proxy log data 4111 in such an expression space, and a latent vector indicating the feature amount of the proxy log data 4111 in a latent space which is a vector space different from the expression space. It is a model to convert to ZV. Since XV K is generated from K feature vectors XV 1 as described above, the conversion model TM changes K feature vectors XV 1 to XV K and K latent vectors ZV 1 to ZV K , respectively.
  • the conversion model TM may convert the feature vector XV v into the latent vector ZV v .
  • the latent vector ZV may be referred to as latent vector data ZV.
  • the conversion model TM generated by the metric learning unit 422 is stored, for example, by the storage device 41. The operation of generating the conversion model TM will be described in detail later with reference to FIG. 5 and the like.
  • the number of elements of the vector component of the latent vector ZV (that is, the number of elements of the feature quantity indicated by the latent vector ZV and the number of dimensions of the latent space) is typically the number of elements of the vector component of the feature vector XV (that is, that is). It is the number of elements of the feature amount indicated by the feature vector XV, and is preferably smaller than the number of dimensions of the expression space). Therefore, the latent vector ZV may be referred to as a low-dimensional vector, and the feature vector XV may be referred to as a high-dimensional vector.
  • the human threat detection operation is compared with the case where the feature vector XV is not converted into the latent vector ZV.
  • the senses are reflected relatively strongly (that is, the threat is detected after the human senses are considered relatively strongly).
  • the number of elements of the vector component of the latent vector ZV may be the same as the number of elements of the vector component of the feature vector XV.
  • the number of elements of the vector component of the latent vector ZV may be larger than the number of elements of the vector component of the feature vector XV.
  • the search unit 423 is based on the query data DQ that specifies the threat to be detected by the threat detection operation (hereinafter referred to as “detection target threat”), and from the feature data set 412, the similarity to the query data DQ is other feature data. Search for at least one feature data DV that is higher than the DV.
  • detection target threat the threat to be detected by the threat detection operation
  • the distance between the query data DQ and the feature data DV in the latent space is obtained by converting the feature vector XQ (that is, the feature vector indicating the feature amount of the detection target threat) indicated by the query data DQ by the conversion model TM. It means the distance between the obtained latent vector ZQ and the latent vector ZV obtained by converting the feature vector XV indicated by the feature data DV by the conversion model TM. Therefore, in the present embodiment, the search unit 423 searches the feature data set 412 for at least one feature data DV whose distance from the query data DQ in the latent space is shorter than that of the other feature data DV.
  • the query data DQ may include a feature vector XQ indicating the feature amount of the detection target threat.
  • the number of dimensions of the feature vector XQ of the query data DQ is the same as the number of dimensions of the feature vector XV of the feature data DV. That is, when the number of dimensions of the feature vector XV is F (where F is a constant indicating an integer of 1 or more), it is preferable that the number of dimensions of the feature vector XQ is also F.
  • the types of F feature quantities indicated by the F vector components of the feature vector XV are the same as the types of the F feature quantities indicated by the F vector components of the feature vector XQ.
  • the feature vector XV includes a vector component indicating a feature amount related to the reception size and a vector component indicating a feature amount related to the transmission size
  • the feature vector XQ also includes a vector component indicating the feature amount related to the reception size and transmission. It is preferable to include a vector component indicating a feature amount related to size.
  • the search unit 423 has a shorter distance from the feature data set 412 from the query data DQ in the latent space than other feature data DVs (where n is 1 ⁇ n ⁇ feature data DV).
  • n is 1 ⁇ n ⁇ feature data DV.
  • the search unit 423 refers the searched n feature data DVs to n neighborhood data DNs (hereinafter, n neighborhood data DNs are referred to as “neighborhood data DN 1 to DN n ”, respectively. (Referred to as).
  • the neighborhood data DN i (where i is a variable indicating an integer satisfying 1 ⁇ i ⁇ n) corresponds to the data located in the vicinity of the query data DQ in the latent space. That is, the neighborhood data DN i corresponds to the feature data DV indicating the feature amount of the proxy log data 4111 showing the trace of the same or similar threat as the detection target threat specified by the query data DQ. Therefore, when the neighborhood data DN i is detected, it is assumed that a threat similar to or similar to the detected target threat may have already invaded the local system L. Therefore, the extracted neighborhood data DN i (or proxy log data 4111 corresponding to the neighborhood data DN i ) is further analyzed in order to determine whether or not a threat has actually invaded the local system L. May be good.
  • the local model learning unit 424 generates a local model LM based on the neighborhood data DN 1 to DN n .
  • the local model LM is a distance di i between the query data DQ and the neighborhood data DN i in the latent space when the difference information V i regarding the difference between the query data DQ and the neighborhood data DN i in the representation space is input. It is a model that outputs the estimated value dpi of. The operation of generating the local model LM will be described in detail later with reference to FIG. 7 and the like.
  • the difference information V i is, for example, the difference information vi, f indicating the difference between the query data DQ and the neighborhood data DN i for each vector component (that is, for each element (type) of the feature amount corresponding to the vector component). It may be included. That is, the difference information V i may include the difference information v i and f indicating the difference for each vector component between the feature vector XQ of the query data DQ and the feature vector XN i of the neighborhood data DN i .
  • the f (where f is a variable indicating an integer satisfying 1 ⁇ f ⁇ F) of the feature vector XN i (that is, the feature amount corresponding to the fth element of the neighborhood data DN i ) is xn.
  • the difference information v i and f are values based on the difference between the vector component xn i and f and the vector component xq f .
  • the difference information V i is the difference information vi , 1 , the difference information v i, 2 , ..., The difference information. It may include vi, f and ..., Difference information vi , F.
  • the contribution calculation unit 425 determines the element contribution c indicating the magnitude of the influence of each vector component of the feature vector of the neighborhood data on the distance between the query data and the neighborhood data in the latent space. calculate. Specifically, the contribution calculation unit 425 is the f-th vector component (that is, the neighborhood data ) of the feature vector XN i with respect to the distance di between the query data DQ and the neighborhood data DN i in the latent space. The element contribution degree c representing the magnitude of the influence of the feature amount corresponding to the f-th element of DN i ) is calculated.
  • the element contribution degree c representing the magnitude of the influence of the f-th vector component of the feature vector XN i on the distance di is referred to as “element contribution degree c i , f ”.
  • the contribution calculation unit 425 calculates the element contributions c i and f representing the magnitude of the importance of the f-th vector component of the feature vector XN i when calculating the distance di.
  • the contribution calculation unit 425 calculates the element contributions ci and f based on the difference information vi and f and the local model LM generated by the local model learning unit 424. The calculation operation of the element contribution degrees ci and f will be described in detail later with reference to FIG. 7 and the like.
  • the output control unit 426 may control the output device 44 described later so as to output information regarding at least one of the n neighborhood data DN 1 extracted by the search unit 423.
  • the output control unit 426 outputs the element contribution degrees ci and f calculated by the contribution degree calculation unit 425 in addition to or in place of the information regarding at least one of the n neighborhood data DN 1 to DN n .
  • the output device 44 described later may be controlled.
  • the input device 43 is a device that receives information input to the information processing device 4 from the outside of the information processing device 4.
  • the input device 43 may include an operation device (for example, at least one of a keyboard, a mouse, and a touch panel) that can be operated by the user of the information processing device 4.
  • the input device 43 may include a receiving device (that is, a communication device) capable of receiving information transmitted as data from the outside of the information processing device 4 to the information processing device 4 via the communication network.
  • the output device 44 is a device that outputs information.
  • the output device 44 may output information regarding the threat detection operation performed by the information processing device 4 (for example, information regarding the detected threat).
  • An example of such an output device 44 is a display (display device) capable of outputting (that is, displaying) information as an image.
  • a speaker voice output device
  • An example of the output device 44 is a printer capable of outputting a document in which information is printed.
  • a transmission device that is, a communication device capable of transmitting information as data via a communication network or a data bus.
  • the information processing apparatus 4 performs a threat detection operation for detecting a threat that has already invaded the local system L. Further, the information processing apparatus 4 may perform a model generation operation for generating a conversion model TM used in the threat detection operation before performing the threat detection operation. Therefore, in the following, the model generation operation and the threat detection operation will be described in order.
  • FIG. 5 is a flowchart showing the flow of the model generation operation performed by the information processing apparatus 4.
  • the metric learning unit 422 acquires at least one teacher data 4131 from the teacher data set 413 (step S11).
  • the teacher data set 413 includes a plurality of teacher data 4131.
  • the metric learning unit 422 may acquire all of the plurality of teacher data 4131 included in the teacher data set 413. Alternatively, the metric learning unit 422 acquires a part of the plurality of teacher data 4131 contained in the teacher data set 413, but does not acquire another part of the plurality of teacher data 4131 contained in the teacher data set 413. You may.
  • Each teacher data 4131 contains data designation information that specifies two of the plurality of feature data DVs (ie, feature data DV 1 to DV K ) contained in the feature data set 412.
  • the feature data DV can be uniquely distinguished by the data identifier for identifying the log data group corresponding to the feature vector XV included in the feature data DV. Therefore, as shown in FIG. 6, the data designation information may include the data identifiers of the two feature data DVs.
  • Each teacher data 4131 further includes label information indicating whether the two feature data DVs designated by the data designation information correspond to a positive example or a negative example.
  • the label information representing "0" indicates that the two feature data DVs designated by the data designation information correspond to a negative example
  • the label information representing "1" is the data designation information.
  • the two specified feature data DVs correspond to the positive example.
  • the two feature data DVs corresponding to the positive example may mean two feature data DVs having similar features.
  • the two feature data DVs having similar features may be two feature data DVs in which the distance in the latent space between the two feature data DVs is less than a predetermined first threshold value.
  • the two feature data DVs corresponding to the negative example may mean two feature data DVs having dissimilar features.
  • the distance in the latent space between the two feature data DVs is larger than a predetermined second threshold value (however, the second threshold value is equal to or higher than the above-mentioned first threshold value). It may be two feature data DVs.
  • the metric learning unit 422 generates a conversion model TM based on the teacher data 4131 acquired in step S11 (step S12). Specifically, for example, the metric learning unit 422 may generate the conversion model TM by performing a learning operation for learning the conversion model TM. Therefore, the transformation model TM may be a learnable model.
  • the transformation model TM may be a model including a neural network capable of learning parameters (eg, at least one of weights and biases).
  • the metric learning unit 422 may generate a conversion model TM by performing metric learning (in other words, metric learning).
  • Quantitative learning generally involves relatively short distances between two or more similar data and relatively long distances between two or more dissimilar data in a vector space. It is a learning method for generating a transformation model that can transform the feature vector of each data. Therefore, in the present embodiment, the metric learning unit 422 performs metric learning to perform a distance (that is, two or more similar feature data) in the latent space between two or more similar feature data DVs.
  • the distance between two or more latent vectors ZV corresponding to each DV is relatively short, and the distance between two or more dissimilar feature data DVs (that is, two or more dissimilar feature data).
  • a conversion model TM capable of converting a plurality of feature vectors XV into a plurality of latent vectors ZV is generated so that the distance between two or more latent vectors ZV corresponding to each DV) becomes relatively long. good.
  • the metric learning unit 422 performs metric learning so that the distance in the latent space between two or more similar feature data DVs is within the latent space between two or more dissimilar feature data DVs.
  • a conversion model TM that can convert a plurality of feature vectors XV into a plurality of latent vectors Zv may be generated so as to be equal to or greater than the distance in.
  • the metric learning unit 422 performs metric learning so that (i) the distance in the latent space between two or more similar feature data DVs is between two or more similar feature data DVs. It is less than or equal to the distance in the representation space (that is, the distance between two or more feature vectors XV corresponding to each of two or more similar feature data DVs), and (ii) two or more dissimilar features.
  • the distance in the latent space between the data DVs is the distance in the representation space between the two or more dissimilar feature data DVs (ie, two or more corresponding to each of the two or more dissimilar feature data DVs).
  • a conversion model TM capable of converting a plurality of feature vectors XV into a plurality of latent vectors ZV may be generated so as to be equal to or larger than the distance between the feature vectors XV.
  • the metric learning unit 422 may perform metric learning using, for example, a neural network used for performing metric learning.
  • a neural network used for performing metric learning at least one of a siamese network (Siamese Network) and a triplet network (Triplet Network) can be mentioned.
  • the metric learning unit 422 Based on the teacher data 4131, the metric learning unit 422 extracts at least one set of data sets including two feature vector XVs to which label information corresponding to a positive example is added from the feature data set 412. Further, the metric learning unit 422 extracts at least one set of two feature vectors XV to which label information corresponding to a negative example is added from the feature data set 412 based on the teacher data 4131. The metric learning unit 422 acquires two latent vectors ZV corresponding to the two feature vectors XV by inputting the two extracted feature vectors XV into the conversion model TM. After that, the metric learning unit 422 calculates the distance between the two latent vectors ZV.
  • the metric learning unit 422 has a relatively short distance between the two latent vectors ZV obtained by converting the two feature vectors XV to which the label information corresponding to the positive example is given, and the negative example. Quantitative learning is performed so that the distance between the two latent vectors ZV obtained by converting the two feature vectors XV to which the label information corresponding to is attached is relatively long. Therefore, the metric learning unit 422 may perform metric learning using a loss function determined based on the distance between two latent vectors ZV in the latent space. For example, as described above, when the metric learning unit 422 performs metric learning using the sham network, the metric learning unit 422 may use a loss function based on the Conductive Loss.
  • the storage device 41 stores the conversion model TM generated in step S12 (step S13).
  • the conversion model TM stored in the storage device 41 is used in the threat detection operation described later.
  • FIG. 7 is a flowchart showing the flow of the threat detection operation performed by the information processing apparatus 4.
  • the threat detection operation shown in FIG. 7 may be started by the input of the query data DQ to the information processing apparatus 4.
  • a threat detection operation is performed for each query data DQ.
  • the threat detection operation and the second query data DQ are performed for the first query data DQ.
  • the target threat detection operation is performed.
  • the search unit 423 acquires the query data DQ (step S21). For example, the search unit 423 directly or indirectly detects a detection target threat (or feature vector XQ) input to the information processing device 4 via an input device 43 capable of functioning as a user-operable operation device. The information specified in may be acquired as query data DQ. For example, the search unit 423 can directly or indirectly specify a detection target threat (or feature vector XQ) transmitted to the information processing device 4 via an input device 43 capable of functioning as a communication device. The information may be acquired as query data DQ.
  • a detection target threat or feature vector XQ
  • the search unit 423 extracts DN n from n neighborhood data DN 1 from the feature data set 412 based on the query data DQ acquired in step S21 (step S22).
  • the operation of extracting DN n from n neighborhood data DN 1 will be described with reference to FIG.
  • FIG. 8 is a flowchart showing a flow of an operation of extracting DN n from n neighborhood data DN 1 .
  • the search unit 423 detects the feature vector XQ of the query data DQ acquired in step 21 in the latent space by using the conversion model TM stored in the storage device 41. It is converted into a latent vector ZQ indicating a quantity (step S221).
  • the search unit 423 extracts the feature data DV v of one of the plurality of feature data DVs included in the feature data set 412 (step S222). After that, the search unit 423 converts the feature vector XV v of the extracted one feature data DV v into the latent vector ZV v using the conversion model TM (step S222). After that, the search unit 423 calculates the distance (that is, the distance in the latent space) between the latent vector ZQ generated in step S221 and the latent vector ZV v generated in step S222 (step S223).
  • the search unit 423 repeats the operations from step S222 to step S223 for a plurality of feature data DVs included in the feature data set 412 (step S224).
  • the feature data set 412 contains K feature data DV 1 to DV K. Therefore, the search unit 423 performs the calculation of the K distances between the ZV K and the latent vector ZQ from the K latent vectors ZV 1 corresponding to the K feature data DV 1 to the DV K , respectively, until the calculation is completed.
  • One feature data DV v that has not yet been extracted in step S222 is newly extracted from the plurality of feature data DV included in the feature data set 412, and then the operations from step S222 to step S223 are performed. repeat.
  • the search unit 423 sets the distance between the latent vector ZV 1 corresponding to the feature data DV 1 and the latent vector ZQ, and the distance between the latent vector ZV 2 corresponding to the feature data DV 2 and the latent vector ZQ.
  • the operation from step S222 to step S223 is repeated until the calculation of the distance between the two and the distance between the latent vector ZV K corresponding to the feature data DV K and the latent vector ZQ is completed.
  • the search unit 423 transfers n feature data DVs out of the plurality of feature data DVs included in the feature data set 412 from the n neighborhood data DN 1s , respectively, based on the distance calculated in step S223. Extract as DN n (step S225). Specifically, the search unit 423 has n features among the K feature data DVs, which have a shorter distance from the query data DQ in the latent space than the other Kn feature data DVs. The data DV is extracted as DN n from n neighboring data DN 1 respectively. That is, the search unit 423 extracts n feature data DVs from the K feature data DVs in ascending order of the calculated distance, and the extracted n feature data DVs are n neighborhood data DN 1 respectively. To DN n .
  • the local model learning unit 424 then generates a local model LM based on the DN n from the n neighborhood data DN 1 extracted in step S22 (step S23).
  • the local model LM is a linear regression model
  • Equation 1 An example of such a local model LM is shown in Equation 1.
  • w f in Equation 1 is a weight multiplied by the difference information vi and f .
  • the weight w f (specifically, each of w 1 to w F ) is a weight of 0 or more. That is, the weight w f (specifically, each of w 1 to w F ) is a weight that does not have a negative value.
  • the local model LM is a linear regression model specified by a regression equation that does not include a bias term (that is, the bias term becomes zero).
  • the local model LM is not limited to the linear regression model shown in Equation 1.
  • the local model LM may be a linear regression model specified by a regression equation in which the weight w f (specifically, at least one of w 1 to w F ) is a negative value.
  • the local model LM may be a linear regression model specified by a regression equation that includes a bias term (that is, the bias term does not become zero).
  • the local model LM is not limited to the linear regression model.
  • the local model LM may be a non-linear regression model.
  • the local model LM may be any other model.
  • or vi , f (xq f -xn i, f ) 2 .
  • or vi , f (xq f -xn i, f ) 2 to obtain the difference information Vi. Generate.
  • the local model learning unit 424 After that, the local model learning unit 424 generates a local model LM based on the neighborhood data DN 1 to DN n extracted in step S22 and the difference information V 1 to V n calculated in step S23.
  • the local model learning unit 424 inputs the difference information V 1 to V n in order for the generated or default local model LM.
  • the local model learning unit 424 has the estimated value dp 1 of the distance d 1 between the query data DQ and the neighborhood data DN 1 in the latent space, and the query data DQ and the neighborhood data DN 2 in the latent space.
  • the estimated value dp 2 of the distance d 2 between them and the estimated value dp n of the distance d n between the query data DQ and the neighboring data DN n in the latent space are acquired.
  • the actual distance di (that is, the actual calculated value of the distance di ) is the latent vector ZQ and the latent vector ZV (that is, the neighborhood data DN i ) in order to extract the neighborhood data DN i in step S223 of FIG. It corresponds to the distance calculated based on the latent vector ZN i ) generated by converting the feature vector XN i of the above by the conversion model TM.
  • the loss function Loss may be a loss function that becomes smaller as the error between the actual calculated value of the distance di and the estimated value dpi of the distance di becomes smaller.
  • Equation 2 An example of such a loss function Loss is shown in Equation 2.
  • the loss function Loss is not limited to the loss function shown in Equation 2.
  • the contribution calculation unit 425 determines the f-th vector component of the feature vector XN i (that is, the neighborhood data DN i ) with respect to the distance di between the query data DQ and the neighborhood data DN i in the latent space.
  • the element contribution degrees ci and f representing the magnitude of the influence of the feature amount corresponding to the F elements) are calculated (step S24).
  • the amount of change in the distance di when the p (where p is a variable indicating an integer satisfying 1 ⁇ p ⁇ F) th vector component of the feature vector XN i changes by a certain amount is r (r (where p) of the feature vector XN i .
  • r is a variable indicating an integer satisfying 1 ⁇ r ⁇ F and r ⁇ p).
  • the influence of the p-th vector component of the feature vector XN i is larger than the influence of the r-th vector component of the feature vector XN i on the distance di . Therefore, the element contribution degrees c i and p are larger than the element contribution degrees c i and r .
  • the contribution degree calculation unit 425 uses the element contribution degree c i, based on the local model LM generated in step S23 and the difference information vi, f . Calculate f .
  • the contribution calculation unit 425 may calculate the element contributions ci and f using the mathematical formula 3.
  • the mathematical formula 3 is a mathematical formula used to calculate the element contribution degrees ci and f based on the parameters (in this case, the weights w f ) defining the local model LM and the difference information vi and f.
  • the contribution calculation unit 425 calculates the element contributions c i and f while changing the variable f between 1 and F and changing the variable i between 1 and n, so that the element contribution c 1 and 1 , c 1, 2 , ..., and c 1, F , element contribution c 2, 1 , c 2 , 2, ..., and c 2, F , ..., and element contribution c n, 1 , c n, 2 , ..., And cn, F are calculated.
  • the element contribution degrees c i and f are calculated using the above-mentioned mathematical formula 3
  • the sum of the element contribution degrees c i and 1 to ci and F is 1.
  • the output control unit 426 may control the output device 44 so as to output information regarding at least one of the n neighborhood data DN 1 extracted by the search unit 423 in step S23 (step). S25).
  • the information regarding the neighborhood data DN i may include information regarding the proxy log data 4111 which is the basis for calculating the feature vector XN i of the neighborhood data DN i . That is, the output control unit 426 outputs the output device 44 so as to output the information regarding the proxy log data 4111 corresponding to at least one of the n neighborhood data DN 1 to the DN n extracted by the search unit 423 in step S23. You may control it.
  • the output control unit 426 adds or replaces the information regarding at least one of the n neighborhood data DN 1 to DN n from the element contribution degree c 1 , 1 calculated by the contribution degree calculation unit 425 in step S24.
  • the output device 44 may be controlled so as to output at least one of cn and F (step S25).
  • the output control unit 426 may control the output device 44 so as to output a list of element contribution degrees c 1 , 1 to cn , F as shown in FIG.
  • FIG. 9 shows an example of a list of element contribution degrees c 1 , 1 to cn , F output by the output device 44 (that is, displayed by the display device) when the output device 44 is a display device.
  • the neighborhood data DN i has a first vector component indicating the feature amount regarding the minimum value of the reception size, a second vector component indicating the feature amount regarding the maximum value of the reception size, and a transmission size.
  • the output control unit 426 features element contributions c i and 1 indicating the influence of the feature amount on the minimum value of the reception size on the distance di, and features on the maximum value of the reception size on the distance di .
  • Element contribution c i, 2 indicating the effect of the amount
  • element contribution c i , 3 indicating the effect of the feature amount on the minimum value of the transmission size on the distance di, and transmission to the distance di .
  • Element contribution c i, 4 showing the influence of the feature on the maximum size
  • element contribution c i , 5 showing the influence of the feature on the sum of the reception size and the transmission size on the distance di.
  • the element contribution degree c i , 6 showing the influence of the feature amount on the method (GET) on the distance di
  • the element contribution degree showing the influence of the feature amount on the method (POST) on the distance di .
  • the output device 44 may be controlled to output a list of c i, 7 and element contributions c i , 8 indicating the influence of the feature amount on the method (other) on the distance di.
  • the element contribution degrees c 1 , 1 to c 1, 4 are relatively large. Therefore, it can be seen that the influence of the feature quantities of the reception size and the transmission size on the distance di between the query data DQ and the neighborhood data DN 1 in the latent space is relatively large. Further, in the example shown in FIG. 9, the element contribution degrees c 2 , 1 to c 2, 1 are relatively large. Therefore, it can be seen that the influence of the feature amount on the reception size on the distance d 2 between the query data DQ and the neighborhood data DN 2 in the latent space is relatively large. Further, in the example shown in FIG. 9, the element contribution degrees c3 , 1 to c3 , 1 are relatively large. Therefore, it can be seen that the feature amount relating to the reception size has a relatively large influence on the distance d 3 between the query data DQ and the neighborhood data DN 3 in the latent space.
  • the information processing device 4 of the present embodiment has a relative distance di between the query data DQ and the neighborhood data DN i in the latent space. It is possible to calculate the element contribution degrees c i and f indicating the magnitude of the influence of the feature amount corresponding to the f-th element of the neighborhood data DN i . Therefore, the user of the information processing apparatus 4 has a relatively large influence on the distance di based on the element contribution degrees c i and f (that is, relative to the calculation of the distance di ) . It is possible to grasp the feature amount (which greatly contributes to).
  • the information processing apparatus 4 can generate a local model LM and calculate the element contribution degrees ci and f using the generated local model LM (for example, the weight w f that defines the local model LM). Therefore, the information processing apparatus 4 can calculate the element contribution degrees ci and f relatively easily.
  • the information processing apparatus 4 can calculate the element contribution degrees c i and f using the weights w f that define the generated local model LM. Therefore, the information processing apparatus 4 calculates the element contribution degrees ci and f using a relatively simple mathematical formula such as the above-mentioned mathematical formula 1 (particularly, a mathematical formula that is easy to handle for a device that performs a matrix operation). Can be done.
  • the local model LM is a linear regression model specified by a regression equation that does not include a bias term. If the local model LM is a linear regression model specified by a regression equation including a bias term, the information processing apparatus 4 sets the element contributions ci and f when calculating the local model LM. In the calculation, it is necessary to consider the deviation from the origin caused by the bias term (that is, the amount of offset in the expression space and / or the latent space).
  • the information processing apparatus 4 calculates the local model LM and / or performs the matrix operation for calculating the element contribution degrees ci and f , not only the internal product of the matrices but also the offset amount of the matrix component ( That is, it is necessary to consider addition and subtraction).
  • the local model LM is a linear regression model specified by a regression equation that does not include a bias term
  • the information processing apparatus 4 is used when calculating the local model LM and / or the degree of element contribution.
  • the information processing apparatus 4 can calculate the local model LM and / or the element contribution degrees ci and f relatively easily.
  • the local model LM is a linear regression model specified by a regression equation in which the weight w f is 0 or more. If the local model LM is a linear regression model specified by a regression equation that allows the weight w f to be less than 0, the element contribution degrees ci and f may be negative values. .. However, for the user of the information processing apparatus 4, the negative element contribution degrees ci and f are assumed to be indicators that are difficult to understand intuitively. On the other hand, in the present embodiment, since the local model LM is a linear regression model specified by a regression equation having a weight w f of 0 or more, the element contribution degrees ci and f do not have negative values. .. Therefore, the information processing apparatus 4 can calculate the element contribution degrees ci and f that are intuitively easy for the user of the information processing apparatus 4.
  • the information processing apparatus 4 may specify the factor that the distance di between the query data DQ and the neighborhood data DN i in the latent space is relatively small based on the element contribution degrees c i and f . good. That is, the information processing apparatus 4 may specify the factor that causes the query data DQ and the neighborhood data DN i to be determined to be similar based on the element contribution degrees c i and f . For example, in the example shown in FIG. 9 described above, the element contribution degrees c3 , 1 to c3, 2 are relatively large. In this case, the information processing apparatus 4 may specify that the factor for determining that the query data DQ and the neighborhood data DN 3 are similar is due to the reception size.
  • the reason why the query data DQ and the neighborhood data DN 3 are determined to be similar is that the proxy log data 4111 corresponding to the neighborhood data DN 3 is determined to show traces of the same or similar threat as the detection target threat. It can be said that it is equivalent to the factor.
  • the information processing apparatus 4 may classify DN n from n neighborhood data DN 1 extracted by the search unit 423 based on the element contribution degrees c i and f . Specifically, the information processing apparatus 4 classifies DN n from n neighborhood data DN 1 so that neighborhood data DN i having similar element contribution degrees c i and f are classified into the same contribution data group. You may. In this case, the information processing apparatus 4 may perform a learning operation for updating the weight w f of the local model LM by using the neighborhood data DN i classified into the same contribution data group.
  • the information processing apparatus 4 determines whether or not the search unit 423 has erroneously extracted at least one of the n neighborhood data DN 1 to DN n based on the element contribution degrees c i and f . You may judge. For example, since the n neighborhood data DN 1 to DN n are similar to the query data DQ in the first place, it is usually composed of F element contribution degrees c 1, 1 to c 1 and F corresponding to the neighborhood data DN 1 . Vectors, F element contributions corresponding to the neighborhood data DN 2 , a vector composed of c 2, 1 to c 2, F , ..., F element contributions corresponding to the neighborhood data DN n .
  • the search unit 423 erroneously extracts at least one of n neighborhood data DN 1 to DN n based on the element contribution degrees c i and f . It may be determined whether or not it is.
  • the information processing apparatus 4 may calculate the group contribution degree e in addition to the element contribution degrees c i and f .
  • the group contribution e means that each vector component of the feature vector of a certain neighborhood data (that is, each element of the feature quantity indicated by the neighborhood data) belongs to at least one of a plurality of feature groups (in other words, it is classified). It is an index value calculated under the circumstances.
  • the group contribution e represents the magnitude of the influence of each feature group on the distance between a certain query data and a certain neighborhood data in the latent space.
  • the group contribution e is classified into at least one vector component belonging to each feature group (that is, one feature group) with respect to the distance between a certain query data and a certain neighborhood data in the latent space. It represents the magnitude of the effect of at least one feature quantity element).
  • the plurality of feature groups may be groups corresponding to a plurality of types of log information included in the proxy log data 4111 from which the feature vector XN i is calculated.
  • the proxy log data 4111 includes reception size information, transmission size information, and method information as a plurality of types of log information.
  • a feature group related to the reception size, a feature group related to the transmission size, and a feature group related to the method may be used. Further, in the above-mentioned example, as shown in FIG.
  • the first vector component indicating the feature amount relating to the minimum value of the reception size and the second feature amount indicating the feature amount relating to the maximum value of the reception size are shown.
  • the 5th vector component shown, the 6th vector component showing the feature amount related to the method (GET), the 7th vector component showing the feature amount related to the method (POST), and the feature amount related to the method (others) 8 are shown. Includes the second vector component.
  • the first vector component indicating the feature amount relating to the minimum value of the reception size, the second vector component indicating the feature amount relating to the maximum value of the reception size, and the feature quantity relating to the sum of the reception size and the transmission size are shown.
  • the fifth vector component may belong to a feature group related to reception size.
  • the vector component may belong to a feature group related to transmission size.
  • the sixth vector component indicating the feature amount related to the method (GET), the seventh vector component indicating the feature amount related to the method (POST), and the eighth vector component indicating the feature amount related to the method (other) are received. You may belong to a feature group related to size.
  • the contribution calculation unit 425 may perform the contribution calculation unit 425.
  • the group contribution degree e representing the size may be calculated.
  • the group contribution e indicating the magnitude of the influence of the g-th feature group on the distance di is referred to as “group contribution e i , g ”.
  • the contribution calculation unit 425 calculates the group contribution e i , g while changing the variable g from 1 to G, so that the contribution calculation unit 425 belongs to at least the first feature group with respect to the distance di .
  • Group contributions e i, 1 that represent the magnitude of the effect of one vector component
  • group contributions that represent the magnitude of the effect of at least one vector component belonging to the second feature group with respect to the distance di are calculated. May be good.
  • the contribution calculation unit 425 may calculate the group contribution e i, g based on the element contribution c i, f .
  • the contribution calculation unit 425 may be calculated using the mathematical formula 4.
  • the group contribution degrees e i and g calculated using the formula 4 are the sum of the element contribution degrees c i and f weighted by the belonging rates b g and f , which will be described later.
  • b g and f in Equation 4 indicate the affiliation rate in which the f-th vector component of the neighborhood data DN i belongs to the g-th feature group.
  • the belonging rates b g and f are set so that the sum of the belonging rates b g and f of each vector component (that is, b 1, f + b 2, f + ... + b G, f ) is 1.
  • the belonging ratios bg and f to which the f-th vector component belongs to the g-th feature group are 1 (that is, 100%). It may be set to.
  • the f-th vector component is the g1 (where g1 is a variable indicating an integer satisfying 1 ⁇ g1 ⁇ G) th feature group and g2 (where g2 is 1 ⁇ g2 ⁇ G and g2 ⁇ g).
  • the affiliation rates bg and f may be set in advance, or may be set by the information processing apparatus 4 (particularly, the contribution calculation unit 425).
  • the output control unit 426 may control the output device 44 so as to output the group contribution degree e i, g .
  • the group contribution degrees e i, 1 to e i, G correspond to each of the G feature groups corresponding to the G types of log information included in the proxy log data 4111, respectively. Therefore, the output control unit 426 includes at least a part of the G type log information included in the proxy log data 4111 corresponding to the neighborhood data DN i and at least a G group contribution degree e i, 1 to e i, G.
  • the output device 44 may be controlled so as to output the proxy log data 4111 in an output mode in which a part is associated with each other.
  • the display mode in which at least a part of the G type log information and at least a part of the group contributions e i, 1 to e i, and G are associated with each other is the g-th log corresponding to the g-th feature group. It may include a display mode in which the information is associated with the group contributions e i and g of the g-th feature group. Specifically, for example, a display mode in which at least a part of G type log information and at least a part of G group contributions e i, 1 to e i, G are associated with each other is (i) reception size.
  • the display mode in which the g-th log information and the group contribution degrees e i and g are associated with each other is the display mode of the g-th log information (for example, color, brightness, luminance and high). It may include a display mode in which at least one of the lights) is changed according to the group contribution degree e i, g .
  • FIG. 11B shows an example of highlighting log information having a relatively high group contribution degree e i, g .
  • the display mode in which the g-th log information is associated with the group contribution e i , g includes a display mode in which whether or not to display the g-th log information is determined according to the group contribution e i, g . You may go out.
  • the g-th log information may not be displayed.
  • the group contribution degrees e i and g exceed a predetermined display threshold value, the g-th log information may be displayed.
  • the information processing apparatus 4 can calculate the group contribution degrees e i and g .
  • the group contribution degrees e i and g are, for example, the sum of a plurality of element contribution degrees c i and f corresponding to the same feature group. Therefore, the variation of the group contribution degrees e i and g is smaller than the variation of each element contribution degree c i and f . Therefore, the information processing apparatus 4 can calculate the group contribution degree e i, g which can be regarded as a more stable contribution degree as compared with the element contribution degree c i, f .
  • the plurality of feature groups correspond to a plurality of types of log information of the proxy log data 4111, respectively. Therefore, when the information processing apparatus 4 displays the neighborhood data DN i (that is, when displaying the proxy log data 4111 corresponding to the neighborhood data DN i ), the information processing apparatus 4 sets the group contribution degrees e i and g to the neighborhood data DN i.
  • the neighborhood data DN i can be displayed relatively easily in the display mode associated with i .
  • the communication system SYS includes a proxy server 1.
  • the communication system SYS does not have to include the proxy server 1. That is, the client 2 may communicate with the server 3 without going through the proxy server 1.
  • the server 3 may communicate with the client 2 without going through the proxy server 1.
  • the information processing apparatus 4 may perform the above-mentioned threat detection operation by using the log data indicating the history of communication between the client 2 and the server 3.
  • the information processing apparatus 4 includes a feature extraction unit 421.
  • the information processing apparatus 4 does not have to include the feature extraction unit 421.
  • the storage device 41 may store the feature data set 412 including the feature vector XV generated by an arbitrary method from the proxy log data 4111 included in the proxy log DB 411. In this case, as shown in FIG. 13, the storage device 41 does not have to store the proxy log DB 411.
  • the information processing apparatus 4 includes a metric learning unit 422.
  • the information processing apparatus 4 does not have to include the metric learning unit 422.
  • the storage device 41 may store the conversion model TM generated by a device different from the information processing device 4.
  • the storage device 41 does not have to store the teacher data set 413.
  • the information processing apparatus 4 includes an output control unit 426.
  • the information processing apparatus 4 does not have to include the output control unit 426.
  • the operation of outputting the neighborhood data DN 1 to the element contribution degrees ci and f performed by the output control unit 426 may be performed by an external device of the information processing device 4.
  • the embodiment of the information processing apparatus, the information processing method, and the recording medium is applied to the communication system SYS that performs the threat detection operation.
  • the information processing device, the information processing method, and the embodiment of the recording medium may be applied to any data processing device that handles arbitrary data.
  • the data processing device may perform the model generation operation described above as long as the distance between the plurality of data handled by the data processing device can be defined in the vector space.
  • the data processing device may perform a data detection operation according to the threat detection operation described above.
  • the data detection operation is between the process of detecting the neighborhood data DN i corresponding to the data located in the vicinity of the query data DQ in the latent space and the query data DQ and the neighborhood data DN i in the latent space. It may include at least one of a process of calculating element contribution degrees c i and f representing the magnitude of the influence of each vector component of the feature vector XN i of the neighborhood data DN i on the distance di.
  • a process of calculating element contribution degrees c i and f representing the magnitude of the influence of each vector component of the feature vector XN i of the neighborhood data DN i on the distance di.
  • the present invention can be appropriately modified within the scope of the claims and within the scope not contrary to the gist or idea of the invention that can be read from the entire specification, and the information processing apparatus, information processing method, and recording medium accompanied by such changes are also included. It is also included in the technical idea of the present invention.
  • SYSTEM communication system 1 Proxy server 2 Server 3 Client 4 Information processing device 41 Storage device 411 Proxy log DB 4111 Proxy log data 412 Feature data set 413 Teacher data set 4131 Teacher data 42 Computing device 421 Feature extraction unit 422 Metric learning unit 423 Search unit 424 Local model learning unit 425 Contribution calculation unit TM conversion model LM Local model DQ query data DV Features Data DN Neighborhood data XQ, XV, XN Feature vector ZQ, ZV, ZN Latent vector

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Data Mining & Analysis (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • General Engineering & Computer Science (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Software Systems (AREA)
  • Databases & Information Systems (AREA)
  • Computing Systems (AREA)
  • Algebra (AREA)
  • Computational Linguistics (AREA)
  • Artificial Intelligence (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Evolutionary Computation (AREA)
  • Medical Informatics (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

情報処理装置４は、表現空間内の複数の特徴ベクトルデータＸＶを潜在空間内の複数の潜在ベクトルデータＺＶに変換する変換手段４２３と、複数の潜在ベクトルデータに基づいて、複数の特徴ベクトルデータから、潜在空間内においてクエリデータＤＱからの距離が他の特徴ベクトルデータと比較して短い特徴ベクトルデータを、近傍データＤＮｉとして抽出する抽出手段４２３と、近傍データに基づいて、表現空間内でのクエリデータと近傍データとの特徴量の要素毎の差分に関する差分情報Ｖｉが入力された場合に、潜在空間内でのクエリデータと近傍データとの間の距離である潜在距離ｄｉの推定値ｄｐｉを出力する局所モデルＬＭを生成する生成手段４２４と、局所モデルと差分情報とに基づいて、潜在距離に対して近傍データの特徴量の各要素が与える影響の大きさを表す要素貢献度ｃｉ，ｆを算出する算出手段４２５とを備える。

Description

情報処理装置、情報処理方法、及び、記録媒体
　本発明は、ベクトル空間内での二つのデータの間の距離に対して影響を与えている要因に関する情報を算出可能な情報処理装置、情報処理方法及び記録媒体の技術分野に関する。
　二つのデータの間の距離（具体的には、二つのデータの特徴量を夫々示す二つの特徴ベクトルの間の距離）を算出する方法の一例として、計量学習（言い換えれば、メトリック学習）を用いる方法が知られている（特許文献１参照）。計量学習は、ベクトル空間内において、類似する二つ以上のデータの間の距離が短くなり且つ類似しない二つ以上のデータの間の距離が長くなるように各データの特徴ベクトルを変換可能な変換モデルを生成するための方法である。この場合、二つのデータの特徴量を夫々示す二つの特徴ベクトルが変換モデルによって変換され、変換された二つの特徴ベクトルの間の距離が、二つのデータの間の距離として算出される。
　その他、本願発明に関連する先行技術文献として、特許文献２から特許文献７があげられる。
特表２０１９－５０９５５１号公報 特開２００３－１４１０７７号公報 特開２００４－１２７０５５号公報 特開２００７－１８３９２７号公報 特開２０１２－０７３８５２号公報 特開２０１９－０５６９８３号公報 国際公開第２０１３／１２９５８０号パンフレット
　計量学習によって生成される変換モデルは、一般的には、特徴ベクトルを変換する過程がユーザには理解できないブラックボックスなモデルである。その結果、ユーザは、二つのデータの間の距離に対して影響を与えている要因を理解することができない。このため、ユーザの利便性を向上させるという観点から言えば、二つのデータの間の距離に対して影響を与えている要因に関する情報を算出することが望まれる。
　本発明は、上述した技術的問題を解決可能な情報処理装置、情報処理方法、及び、記録媒体を提供することを課題とする。一例として、本発明は、二つのデータの間の距離に対して影響を与えている要因に関する情報を算出可能な情報処理装置、情報処理方法、及び、記録媒体を提供することを課題とする。
　情報処理装置の一態様は、複数のサンプルデータ群の特徴量を表現空間内で夫々示す複数の特徴ベクトルデータを、前記表現空間とは異なる潜在空間内で前記複数のサンプルデータ群の特徴量を夫々示す複数の潜在ベクトルデータに変換する変換手段と、前記複数の潜在ベクトルデータに基づいて、前記複数の特徴ベクトルデータから、前記潜在空間内において所望のクエリデータからの距離が他の特徴ベクトルデータと比較して短い少なくとも一つの特徴ベクトルデータを、近傍データとして抽出する抽出手段と、前記近傍データに基づいて、前記表現空間内での前記クエリデータと前記近傍データとの特徴量の要素毎の差分に関する差分情報が入力された場合に、前記潜在空間内での前記クエリデータと前記近傍データとの間の距離である潜在距離の推定値を出力する局所モデルを生成する生成手段と、前記局所モデルと前記差分情報とに基づいて、前記潜在距離に対して前記近傍データの特徴量の各要素が与える影響の大きさを表す要素貢献度を算出する算出手段とを備える。
　情報処理方法の一態様は、複数のサンプルデータ群の特徴量を表現空間内で夫々示す複数の特徴ベクトルデータを、前記表現空間とは異なる潜在空間内で前記複数のサンプルデータ群の特徴量を夫々示す複数の潜在ベクトルデータに変換することと、前記複数の潜在ベクトルデータに基づいて、前記複数の特徴ベクトルデータから、前記潜在空間内において所望のクエリデータからの距離が他の特徴ベクトルデータと比較して短い少なくとも一つの特徴ベクトルデータを、近傍データとして抽出することと、前記近傍データに基づいて、前記表現空間内での前記クエリデータと前記近傍データとの特徴量の要素毎の差分に関する差分情報が入力された場合に、前記潜在空間内での前記クエリデータと前記近傍データとの間の距離である潜在距離の推定値を出力する局所モデルを生成すること、前記局所モデルと前記差分情報とに基づいて、前記潜在距離に対して前記近傍データの特徴量の各要素が与える影響の大きさを表す要素貢献度を算出することとを含む。
　記録媒体の一態様は、コンピュータに、複数のサンプルデータ群の特徴量を表現空間内で夫々示す複数の特徴ベクトルデータを、前記表現空間とは異なる潜在空間内で前記複数のサンプルデータ群の特徴量を夫々示す複数の潜在ベクトルデータに変換することと、前記複数の潜在ベクトルデータに基づいて、前記複数の特徴ベクトルデータから、前記潜在空間内において所望のクエリデータからの距離が他の特徴ベクトルデータと比較して短い少なくとも一つの特徴ベクトルデータを、近傍データとして抽出することと、前記近傍データに基づいて、前記表現空間内での前記クエリデータと前記近傍データとの特徴量の要素毎の差分に関する差分情報が入力された場合に、前記潜在空間内での前記クエリデータと前記近傍データとの間の距離である潜在距離の推定値を出力する局所モデルを生成すること、前記局所モデルと前記差分情報とに基づいて、前記潜在距離に対して前記近傍データの特徴量の各要素が与える影響の大きさを表す要素貢献度を算出することとを含む情報処理方法を実行させるコンピュータプログラムが記録された記録媒体である。
　上述した情報処理装置、情報処理方法、及び、記録媒体のそれぞれの一の態様によれば、二つのデータの間の距離に対して影響を与えている要因に関する情報が算出可能となる。
図１は、本実施形態の通信システムの構成を示すブロック図である。 図２は、本実施形態の情報処理装置の構成を示すブロック図である。 図３は、本実施形態のプロキシログＤＢのデータ構造を示すデータ構造図である。 図４は、本実施形態の特徴データセットのデータ構造を示すデータ構造図である。 図５は、情報処理装置が行うモデル生成動作の流れを示すフローチャートである。 図６は、本実施形態の教師データセットのデータ構造を示すデータ構造図である。 図７は、情報処理装置が行う脅威検出動作の流れを示すフローチャートである。 図８は、ｎ個の近傍データを抽出する動作の流れを示すフローチャートである。 図９は、要素貢献度の表示例を示す平面図である。 図１０は、ベクトル成分が特徴グループに所属する所属率を示すテーブルである。 図１１は、グループ貢献度の表示例を示す平面図である。 図１２は、第２変形例における通信システムの構成を示すブロック図である。 図１３は、第３変形例における情報処理装置の構成を示すブロック図である。
　以下、図面を参照しながら、情報処理装置、情報処理方法、及び、記録媒体の実施形態について説明する。以下では、情報処理装置、情報処理方法、及び、記録媒体の実施形態が適用された通信システムＳＹＳを用いて、情報処理装置、情報処理方法、及び、記録媒体の実施形態について説明する。
　（１）通信システムＳＹＳの構成
　（１－１）通信システムＳＹＳの全体構成
　初めに、図１を参照しながら、本実施形態における通信システムＳＹＳの全体構成について説明する。図１は、本実施形態における通信システムＳＹＳの全体構成を示すブロック図である。
　図１に示すように、通信システムＳＹＳは、プロキシサーバ１と、複数のクライアント２と、複数のサーバ３と、情報処理装置４とを備えている。但し、通信システムＳＹＳは、単一のクライアント２を備えていてもよい。通信システムＳＹＳは、単一のサーバ３を備えていてもよい。プロキシサーバ１と、複数のサーバ３の夫々とは、ネットワーク５を介して通信可能である。ネットワーク５は、有線のネットワークを含んでいてもよいし、無線のネットワークを含んでいてもよい。
　プロキシサーバ１は、クライアント２とサーバ３との通信を中継する装置である。例えば、プロキシサーバ１は、クライアント２から取得したリクエストを、ネットワーク５を介して、取得したリクエストで指定されたサーバ３へと送信してもよい。リクエストは、例えば、ＨＴＴＰ（Ｈｙｐｅｒ　Ｔｅｘｔ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｃｏｌ）リクエストを含んでいてもよい。但し、リクエストは、ＨＴＴＰリクエストに限定されることはない。例えば、プロキシサーバ１は、ネットワーク５を介してサーバ３から取得したレスポンスを、レスポンスで指定されたクライアント２へと送信してもよい。レスポンスは、例えば、ＨＴＴＰレスポンスを含んでいてもよい。但し、レスポンスは、ＨＴＴＰレスポンスに限定されることはない。
　プロキシサーバ１と複数のクライアント２とを含むシステムは、ローカルシステムＬと称されてもよい。この場合、プロキシサーバ１は、ローカルシステムＬと、ローカルシステムＬの外部の広域ネットワークとの境界に配置されているとも言える。プロキシサーバ１は、ローカルシステムＬと広域ネットワークとの間の通信を中継するとも言える。
　クライアント２は、プロキシサーバ１を介してサーバ３と通信する。例えば、クライアント２は、プロキシサーバ１を介して、所望のデータをサーバ３に送信してもよい。例えば、クライアント２は、プロキシサーバ１を介して、所望のデータをサーバ３から受信してもよい。
　サーバ３は、プロキシサーバ１を介してクライアント２と通信する。例えば、サーバ３は、プロキシサーバ１を介して、所望のデータをクライアント２に送信してもよい。例えば、サーバ３は、プロキシサーバ１を介して、所望のデータをクライアント２から受信してもよい。サーバ３は、例えば、ＨＴＴＰサーバである。但し、サーバ３は、ＨＴＴＰサーバ以外のサーバであってもよい。
　情報処理装置４は、ネットワーク５を介してローカルシステムＬに既に侵入している脅威を検出するための脅威検出動作を行う。以下、このような脅威検出動作を行う情報処理装置４の構成について更に説明する。
　（１－２）情報処理装置４の構成
　図２を参照しながら、本実施形態における情報処理装置４の構成について説明する。図２は、本実施形態における情報処理装置４の構成を示すブロック図である。
　図２に示すように、情報処理装置４は、記憶装置４１と、演算装置４２とを備えている。更に、情報処理装置４は、入力装置４３と、出力装置４４とを備えていてもよい。但し、情報処理装置４は、入力装置４３及び出力装置４４の少なくとも一方を備えていなくてもよい。記憶装置４１と、演算装置４２と、入力装置４３と、出力装置４４とは、データバス４５を介して接続されていてもよい。
　記憶装置４１は、所望のデータを記憶可能である。例えば、記憶装置４１は、演算装置４２が実行するコンピュータプログラムを一時的に記憶していてもよい。記憶装置４１は、演算装置４２がコンピュータプログラムを実行している際に演算装置４２が一時的に使用するデータを一時的に記憶してもよい。記憶装置４１は、情報処理装置４が長期的に保存するデータを記憶してもよい。尚、記憶装置４１は、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）及びディスクアレイ装置のうちの少なくとも一つを含んでいてもよい。つまり、記憶装置４１は、一時的でない記録媒体を含んでいてもよい。
　本実施形態では、記憶装置４１は、脅威検出動作を行うために情報処理装置４が利用するデータを記憶する。図１には、脅威検出動作を行うために情報処理装置４が利用するデータの一例として、プロキシログＤＢ（Ｄａｔａｂａｓｅ：データベース）４１１と、特徴データセット４１２と、教師データセット４１３と、変換モデルＴＭと、局所モデルＬＭとが記載されている。つまり、図４は、記憶装置４１がプロキシログＤＢ４１１と、特徴データセット４１２と、教師データセット４１３と、変換モデルＴＭと、局所モデルＬＭとを記憶する例を示している。
　プロキシログＤＢ４１１は、複数のプロキシログデータ４１１１（図３参照）を格納する。プロキシログデータ４１１１は、プロキシサーバ１が中継した通信（つまり、クライアント２とサーバ３との間の通信）の履歴を示すログデータである。このような複数のプロキシログデータ４１１１を格納するプロキシログＤＢ４１１のデータ構造が図３に示されている。図３に示すように、プロキシログデータ４１１１は、例えば、（ｉ）サーバ３と通信したクライアント２を示すログ情報（クライアント情報）と、（ｉｉ）クライアント２と通信したサーバ３を示すログ情報（サーバ情報）と、（ｉｉｉ）クライアント２とサーバ３とが通信した日時を示すログ情報（通信日時情報）と、（ｉｖ）クライアント２がサーバ３と通信する際に利用したメソッドを示すログ情報（メソッド情報）と、（ｖ）クライアント２がサーバ３に送信したリクエストで指定されていたパス（リクエストパス）を示すログ情報（リクエストパス情報）と、（ｖｉ）クライアント２がサーバ３から受信したデータのサイズを示すログ情報（受信サイズ情報）と、（ｖｉｉ）クライアント２がサーバ３に送信したデータのサイズを示すログ情報（送信サイズ情報）とを含んでいてもよい。但し、プロキシログデータ４１１１は、図３に示す複数のログ情報のうちの少なくとも一つを含んでいなくてもよい。プロキシログデータ４１１１は、図３に示す複数のログ情報とは異なる他のログ情報を含んでいてもよい。尚、プロキシログデータ４１１１は、サンプルデータと称されてもよい。また、プロキシログデータ４１１１に含まれるログ情報は、サンプル情報と称されてもよい。
　尚、特徴データセット４１２と、教師データセット４１３と、変換モデルＴＭと、局所モデルＬＭとについては、後に詳述する。
　再び図２において、演算装置４２は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｅｃｓｓｉｎｇ　Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）及びＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）のうちの少なくとも一つを含む。演算装置４２は、コンピュータプログラムを読み込む。例えば、演算装置４２は、記憶装置４１が記憶しているコンピュータプログラムを読み込んでもよい。例えば、演算装置４２は、コンピュータで読み取り可能であって且つ一時的でない記録媒体が記憶しているコンピュータプログラムを、図示しない記録媒体読み取り装置を用いて読み込んでもよい。演算装置４２は、通信装置として機能可能な入力装置４３を介して、情報処理装置４の外部に配置される不図示の装置からコンピュータプログラムを取得してもよい（つまり、ダウンロードしてもよい又は読み込んでもよい）。演算装置４２は、読み込んだコンピュータプログラムを実行する。その結果、演算装置４２内には、情報処理装置４が行うべき動作（例えば、上述した脅威検出動作）を実行するための論理的な機能ブロックが実現される。つまり、演算装置４２は、情報処理装置４が行うべき動作を実行するための論理的な機能ブロックを実現するためのコントローラとして機能可能である。
　図２には、脅威検出動作を実行するために演算装置４２内に実現される論理的な機能ブロックの一例が示されている。図２に示すように、演算装置４２内には、特徴抽出部４２１と、計量学習部４２２と、「変換手段」及び「抽出手段」の夫々の一具体例である検索部４２３と、「生成手段」の一具体例である局所モデル学習部４２４と、「算出手段」の一具体例である貢献度算出部４２５と、出力制御部４２６とが実現される。
　特徴抽出部４２１は、プロキシログＤＢ４１１から、所定のログ分類基準に基づいて、同一のログデータ群に分類される複数の（或いは、少なくとも一つの）プロキシログデータ４１１１を抽出する。所定のログ分類基準は、クライアント情報が同一であり、サーバ情報が同一であり且つ通信日時情報が所定の日時基準を満たす複数のプロキシログデータ４１１１が同一のログデータ群に分類されるというログ分類基準を含んでいてもよい。所定の日時基準を満たす複数のプロキシログデータ４１１１は、通信日時情報が示す通信日が同一になるという複数のプロキシログデータ４１１１を含んでいてもよい。所定の日時基準を満たす複数のプロキシログデータ４１１１は、は、通信日時情報が示す通信時刻（或いは、通信日時）の間の間隔が所定値未満で連続している複数のプロキシログデータ４１１１を含んでいてもよい。尚、同一のログデータ群に分類されたプロキシログデータ４１１１は、サンプルデータ群と称されてもよい。この場合、例えば、特徴抽出部４２１は、図３に示すプロキシログＤＢ４１１から、Ｃ１という識別子に対応するクライアント２とＳ１という識別子に対応するサーバ３との間で２０１９年１月１日に行われた通信の履歴を示す三つのプロキシログデータ４１１１の夫々を、第１のログデータ群に分類されるプロキシログデータ４１１１として抽出してもよい。同様に、例えば、特徴抽出部４２１は、図３に示すプロキシログＤＢ４１１から、Ｃ２という識別子に対応するクライアント２とＳ２という識別子に対応するサーバ３との間で２０１９年１月１日に行われた通信の履歴を示す三つのプロキシログデータ４１１１の夫々を、第１のログデータ群とは異なる第２のログデータ群に分類されるプロキシログデータ４１１１として抽出してもよい。
　特徴抽出部４２１は更に、抽出した複数のプロキシログデータ４１１１（つまり、同一のログデータ群に分類される複数のプロキシログデータ４１１１）の特徴量を示す特徴ベクトルＸＶを生成する。特徴抽出部４２１は、同一のログデータ群に分類される複数のプロキシログデータ４１１１から、一つの特徴ベクトルＸＶを生成する。このため、特徴抽出部４２１は、特徴ベクトルＸＶを、ログデータ群の数だけ生成する。以下の説明では、ログデータ群の数がＫ（Ｋは、１以上の整数を示す定数）であり、特徴抽出部４２１がＫ個の特徴ベクトルＸＶ（以降、Ｋ個の特徴ベクトルＸＶを、夫々、下付き文字を“インデックスとする特徴ベクトルＸＶ１からＸＶＫ”と称する）を生成する例について説明する。また、以下の説明では、Ｋ個のログデータ群のうちのインデックスがｖ（ｖは、１≦ｖ≦Ｋを満たす変数）となる一のログデータ群から生成される特徴ベクトルＸＶを、特徴ベクトルＸＶｖと称する。尚、特徴ベクトルＸＶは、特徴ベクトルデータＸＶと称されてもよい。特徴抽出部４２１は、抽出した複数のプロキシログデータ４１１１を解析することで、特徴ベクトルＸＶを生成してもよい。特徴抽出部４２１は、例えば、複数のプロキシログデータ４１１１の統計量を算出する演算処理を行うことで、特徴ベクトルＸＶを生成してもよい。
　特徴ベクトルＸＶは、例えば、送信サイズ情報に関する特徴量を示す要素（つまり、ベクトル成分、以下同じ）を含んでいてもよい。送信サイズ情報に関する特徴量は、送信サイズ情報が示す送信サイズの統計量（例えば、最小値、最大値、平均値、分散及び平均値等の少なくとも一つ）に関する特徴量を含んでいてもよい。特徴ベクトルＸＶは、例えば、受信サイズ情報に関する特徴量を示す要素を含んでいてもよい。受信サイズ情報に関する特徴量は、受信サイズ情報が示す受信サイズの統計量（例えば、最小値、最大値、平均値、分散及び合計値等の少なくとも一つ）に関する特徴量を含んでいてもよい。特徴ベクトルＸＶは、例えば、パス情報に関する特徴量を示す要素を含んでいてもよい。パス情報に関する特徴量は、パス情報が示すリクエストパスのデータ長の統計量（例えば、最小値、最大値、平均値及び分散等の少なくとも一つ）に関する特徴量を含んでいてもよい。パス情報に関する特徴量は、パス情報が示すリクエストパスの拡張子の頻度（例えば、拡張子毎のリクエストの頻度）に関する特徴量を含んでいてもよい。特徴ベクトルＸＶは、例えば、メソッド情報に関する特徴量を示す要素を含んでいてもよい。メソッド情報に関する特徴量は、メソッド情報が示すメソッドの頻度（例えば、ＧＥＴメソッドの割合、ＰＯＳＴメソッドの割合及びその他のメソッドの割合等の少なくとも一つ）に関する特徴量を含んでいてもよい。特徴ベクトルＸＶは、例えば、アクセス時刻の分布（例えば、単位時間（例えば、１時間）当たりに送信されたリクエストの割合）に関する特徴量を示す要素を含んでいてもよい。特徴ベクトルＸＶは、例えば、リクエストが送信された回数に関する特徴量を示す要素を含んでいてもよい。尚、プロキシログデータ４１１１にヘッダ情報が含まれている場合には、特徴ベクトルＸＶは、例えば、ヘッダ情報に関する特徴量を示す要素を含んでいてもよい。
　特徴抽出部４２１が生成した特徴ベクトルＸＶは、記憶装置４１によって、特徴データセット４１２の少なくとも一部として記憶される。特徴データセット４１２のデータ構造の一例が図４に示されている。上述したように、特徴抽出部４２１は、同一のログデータ群に分類される複数のプロキシログデータ４１１１から、一つの特徴ベクトルＸＶを生成する。このため、記憶装置４１は、特徴抽出部４２１が生成した特徴ベクトルＸＶを、特徴ベクトルＸＶに対応するログデータ群を識別するためのデータ識別子と特徴ベクトルＸＶとが関連付けられた特徴データＤＶとして記憶してもよい。この場合、図４に示すように、特徴データセット４１２は、特徴データＤＶ（つまり、特徴ベクトルＸＶ）を、所定のログ分類基準によって分類されるログデータ群の数だけ含む。つまり、特徴データセット４１２は、Ｋ個の特徴データＤＶ（以降、Ｋ個の特徴データＤＶを、夫々、下付き文字をインデックスとする“特徴データＤＶ１からＤＶＫ”と称する）を含んでいてもよい。尚、以下の説明では、特徴ベクトルＸＶｖを含む特徴データＤＶを、特徴データＤＶｖと称する。上述した説明では、所定のログ分類基準が、クライアント情報、サーバ情報及び通信日時情報が同一になる複数のプロキシログデータ４１１１が同一のログデータ群に分類されるというログ分類基準を含んでいる。この場合には、図４に示すように、記憶装置４１は、生成した特徴ベクトルＸＶを、クライアント情報、サーバ情報及び通信日時情報を一意に示すデータ識別子と特徴ベクトルＸＶとが関連付けられた特徴データＤＶとして記憶してもよい。
　計量学習部４２２は、特徴ベクトルＸＶを変換するために用いる変換モデルＴＭを生成する。特徴ベクトルＸＶは、表現空間（つまり、ベクトル空間）内で、プロキシログデータ４１１１の特徴量を示している。変換モデルＴＭは、このような表現空間内でプロキシログデータ４１１１の特徴量を示す特徴ベクトルＸＶを、表現空間とは異なるベクトル空間である潜在空間内でプロキシログデータ４１１１の特徴量を示す潜在ベクトルＺＶに変換するモデルである。上述したようにＫ個の特徴ベクトルＸＶ１からＸＶＫが生成されるため、変換モデルＴＭは、Ｋ個の特徴ベクトルＸＶ１からＸＶＫを、夫々、Ｋ個の潜在ベクトルＺＶ１からＺＶＫに変換してもよい。つまり、変換モデルＴＭは、特徴ベクトルＸＶｖを、潜在ベクトルＺＶｖに変換してもよい。尚、潜在ベクトルＺＶは、潜在ベクトルデータＺＶと称されてもよい。計量学習部４２２が生成した変換モデルＴＭは、例えば、記憶装置４１によって記憶される。尚、変換モデルＴＭを生成する動作については、図５等を参照しながら後に詳述する。
　潜在ベクトルＺＶのベクトル成分の要素数（つまり、潜在ベクトルＺＶが示す特徴量の要素数であり、潜在空間の次元数）は、典型的には、特徴ベクトルＸＶのベクトル成分の要素数（つまり、特徴ベクトルＸＶが示す特徴量の要素数であり、表現空間の次元数）よりも少なくなることが好ましい。このため、潜在ベクトルＺＶは、低次元ベクトルと称されてもよいし、特徴ベクトルＸＶは、高次元ベクトルと称されてもよい。このように特徴ベクトルＸＶが特徴ベクトルＸＶよりも低次元の潜在ベクトルＺＶに変換される場合には、特徴ベクトルＸＶが潜在ベクトルＺＶに変換されない場合と比較して、脅威検出動作に対して人の感覚が相対的に強く反映される（つまり、人の感覚が相対的に強く考慮された上で、脅威が検出される）というメリットがある。但し、潜在ベクトルＺＶのベクトル成分の要素数は、特徴ベクトルＸＶのベクトル成分の要素数と同一であってもよい。潜在ベクトルＺＶのベクトル成分の要素数は、特徴ベクトルＸＶのベクトル成分の要素数よりも多くてもよい。
　検索部４２３は、脅威検出動作によって検出したい脅威（以降、“検出ターゲット脅威”と称する）を指定するクエリデータＤＱに基づいて、特徴データセット４１２から、クエリデータＤＱに対する類似度が他の特徴データＤＶと比較して高い少なくとも一つの特徴データＤＶを検索する。本実施形態では、クエリデータＤＱと特徴データＤＶとの類似度と示す指標値として、潜在空間におけるクエリデータＤＱと特徴データＤＶとの間の距離が用いられる例について説明する。尚、潜在空間におけるクエリデータＤＱと特徴データＤＶとの間の距離は、クエリデータＤＱが示す特徴ベクトルＸＱ（つまり、検出ターゲット脅威の特徴量を示す特徴ベクトル）を変換モデルＴＭで変換することで得られる潜在ベクトルＺＱと、特徴データＤＶが示す特徴ベクトルＸＶを変換モデルＴＭで変換することで得られる潜在ベクトルＺＶとの間の距離を意味する。このため、本実施形態では、検索部４２３は、特徴データセット４１２から、潜在空間におけるクエリデータＤＱからの距離が他の特徴データＤＶと比較して短い少なくとも一つの特徴データＤＶを検索する。
　クエリデータＤＱは、検出ターゲット脅威の特徴量を示す特徴ベクトルＸＱを含んでいてもよい。この際、クエリデータＤＱの特徴ベクトルＸＱの次元数は、特徴データＤＶの特徴ベクトルＸＶの次元数と同じであることが好ましい。つまり、特徴ベクトルＸＶの次元数がＦ（但し、Ｆは、１以上の整数を示す定数）である場合には、特徴ベクトルＸＱの次元数もまたＦであることが好ましい。特に、特徴ベクトルＸＶのＦ個のベクトル成分が夫々示すＦ個の特徴量の種類は、特徴ベクトルＸＱのＦ個のベクトル成分が夫々示すＦ個の特徴量の種類と同一であることが好ましい。例えば、特徴ベクトルＸＶが、受信サイズに関する特徴量を示すベクトル成分と送信サイズに関する特徴量を示すベクトル成分とを含む場合には、特徴ベクトルＸＱもまた、受信サイズに関する特徴量を示すベクトル成分と送信サイズに関する特徴量を示すベクトル成分とを含むことが好ましい。
　本実施形態では、検索部４２３が、特徴データセット４１２から、潜在空間におけるクエリデータＤＱからの距離が他の特徴データＤＶと比較して短いｎ（尚、ｎは、１≦ｎ≦特徴データＤＶの総数Ｋを満たす整数を示す定数）個の特徴データＤＶを検索する例について説明する。この場合、検索部４２３は、検索されたｎ個の特徴データＤＶを、夫々、ｎ個の近傍データＤＮ（以下、ｎ個の近傍データＤＮを、夫々、“近傍データＤＮ１からＤＮｎ”と称する）として抽出する。
　近傍データＤＮｉ（尚、ｉは、１≦ｉ≦ｎを満たす整数を示す変数である）は、潜在空間においてクエリデータＤＱの近傍に位置するデータに相当する。つまり、近傍データＤＮｉは、クエリデータＤＱが指定する検出ターゲット脅威と同じ又は類似する脅威の痕跡を示すプロキシログデータ４１１１の特徴量を示す特徴データＤＶに相当する。このため、近傍データＤＮｉが検出された場合には、検出ターゲット脅威と同じ又は類似する脅威がローカルシステムＬに既に侵入した可能性があると想定される。このため、抽出された近傍データＤＮｉ（或いは、近傍データＤＮｉに対応するプロキシログデータ４１１１）は、ローカルシステムＬに実際に脅威が侵入したか否かを判定するために、更に解析されてもよい。
　局所モデル学習部４２４は、近傍データＤＮ１からＤＮｎに基づいて、局所モデルＬＭを生成する。局所モデルＬＭは、表現空間におけるクエリデータＤＱと近傍データＤＮｉとの差分に関する差分情報Ｖｉが入力された場合に、潜在空間内におけるクエリデータＤＱと近傍データＤＮｉとの間の距離ｄｉの推定値ｄｐｉを出力するモデルである。尚、局所モデルＬＭを生成する動作については、図７等を参照しながら後に詳述する。
　差分情報Ｖｉは、例えば、クエリデータＤＱと近傍データＤＮｉとのベクトル成分毎の（つまり、ベクトル成分に対応する特徴量の要素（種類）毎の）差分を示す差分情報ｖｉ，ｆを含んでいてもよい。つまり、差分情報Ｖｉは、クエリデータＤＱの特徴ベクトルＸＱと近傍データＤＮｉの特徴ベクトルＸＮｉとのベクトル成分毎の差分を示す差分情報ｖｉ，ｆを含んでいてもよい。尚、特徴ベクトルＸＮｉのｆ（但し、ｆは、１≦ｆ≦Ｆを満たす整数を示す変数）番目のベクトル成分（つまり、近傍データＤＮｉのｆ番目の要素に相当する特徴量）がｘｎｉ，ｆであり、特徴ベクトルＸＱのｆ番目のベクトル成分がｘｑｆである場合には、差分情報ｖｉ，ｆは、ベクトル成分ｘｎｉ，ｆとベクトル成分ｘｑｆとの差分に基づく値であってもよい。例えば、差分情報ｖｉ，ｆとして、ベクトル成分ｘｎｉ，ｆとベクトル成分ｘｑｆとの差分の絶対値（＝｜ｘｑｆ－ｘｎｉ，ｆ｜）又はベクトル成分ｘｎｉ，ｆとベクトル成分ｘｑｆとの差分の二乗（＝（ｘｑｆ－ｘｎｉ，ｆ）２）が用いられてもよい。上述したように、特徴ベクトルＸＱ及びＸＮｉの夫々の次元数がＦであるため、差分情報Ｖｉは、差分情報ｖｉ，１と、差分情報ｖｉ，２と、・・・、差分情報ｖｉ，ｆと、・・・、差分情報ｖｉ，Ｆとを含んでいてもよい。
　貢献度算出部４２５は、潜在空間内におけるあるクエリデータとある近傍データとの間の距離に対して、当該近傍データの特徴ベクトルの各ベクトル成分が与える影響の大きさを表す要素貢献度ｃを算出する。具体的には、貢献度算出部４２５は、潜在空間内におけるクエリデータＤＱと近傍データＤＮｉとの間の距離ｄｉに対して、特徴ベクトルＸＮｉのｆ番目のベクトル成分（つまり、近傍データＤＮｉのｆ番目の要素に相当する特徴量）が与える影響の大きさを表す要素貢献度ｃを算出する。尚、以下の説明では、距離ｄｉに対して特徴ベクトルＸＮｉのｆ番目のベクトル成分が与える影響の大きさを表す要素貢献度ｃを、“要素貢献度ｃｉ、ｆ”と称する。言い換えれば、貢献度算出部４２５は、距離ｄｉを算出する際の特徴ベクトルＸＮｉのｆ番目のベクトル成分の重要度の大きさを表す要素貢献度ｃｉ、ｆを算出する。具体的には、貢献度算出部４２５は、差分情報ｖｉ、ｆと局所モデル学習部４２４が生成した局所モデルＬＭとに基づいて、要素貢献度ｃｉ、ｆを算出する。尚、要素貢献度ｃｉ、ｆの算出動作については、図７等を参照しながら後に詳述する。
　出力制御部４２６は、検索部４２３が抽出したｎ個の近傍データＤＮ１からＤＮｎの少なくとも一つに関する情報を出力するように、後述する出力装置４４を制御してもよい。出力制御部４２６は、ｎ個の近傍データＤＮ１からＤＮｎの少なくとも一つに関する情報に加えて又は代えて、貢献度算出部４２５が算出した要素貢献度ｃｉ、ｆを出力するように、後述する出力装置４４を制御してもよい。
　入力装置４３は、情報処理装置４の外部からの情報処理装置４に対する情報の入力を受け付ける装置である。例えば、入力装置４３は、情報処理装置４のユーザが操作可能な操作装置（例えば、キーボード、マウス及びタッチパネルのうちの少なくとも一つ）を含んでいてもよい。例えば、入力装置４３は、情報処理装置４の外部から通信ネットワークを介して情報処理装置４にデータとして送信される情報を受信可能な受信装置（つまり、通信装置）を含んでいてもよい。
　出力装置４４は、情報を出力する装置である。例えば、出力装置４４は、情報処理装置４が行う脅威検出動作に関する情報（例えば、検出された脅威に関する情報）を出力してもよい。このような出力装置４４の一例として、情報を画像として出力可能な（つまり、表示可能な）ディスプレイ（表示装置）があげられる。出力装置４４の一例として、情報を音声として出力可能なスピーカ（音声出力装置）があげられる。出力装置４４の一例として、情報が印刷された文書を出力可能なプリンタがあげられる。出力装置４４の一例として、通信ネットワーク又はデータバスを介して情報をデータとして送信可能な送信装置（つまり、通信装置）があげられる。
　（２）情報処理装置４が行う動作
　続いて、情報処理装置４が行う動作について説明する。上述したように、情報処理装置４は、ローカルシステムＬに既に侵入している脅威を検出するための脅威検出動作を行う。更に、情報処理装置４は、脅威検出動作を行う前に、脅威検出動作で用いる変換モデルＴＭを生成するためのモデル生成動作を行ってもよい。このため、以下では、モデル生成動作と脅威検出動作とについて順に説明する。
　（２－１）モデル生成動作
　初めに、図５を参照しながら、情報処理装置４が行うモデル生成動作について説明する。図５は、情報処理装置４が行うモデル生成動作の流れを示すフローチャートである。
　図５に示すように、計量学習部４２２は、教師データセット４１３から少なくとも一つの教師データ４１３１を取得する（ステップＳ１１）。
　教師データセット４１３のデータ構造の一例が、図６に示されている。図６に示すように、教師データセット４１３は、複数の教師データ４１３１を含む。計量学習部４２２は、教師データセット４１３に含まれる複数の教師データ４１３１の全てを取得してもよい。或いは、計量学習部４２２は、教師データセット４１３に含まれる複数の教師データ４１３１の一部を取得する一方で、教師データセット４１３に含まれる複数の教師データ４１３１の他の一部を取得しなくてもよい。
　各教師データ４１３１は、特徴データセット４１２に含まれている複数の特徴データＤＶ（つまり、特徴データＤＶ１からＤＶＫ）のうちの二つを指定するデータ指定情報を含む。上述したように、特徴データＤＶは、特徴データＤＶに含まれる特徴ベクトルＸＶに対応するログデータ群を識別するためのデータ識別子によって一意に区別可能である。このため、図６に示すように、データ指定情報は、二つの特徴データＤＶのデータ識別子を含んでいてもよい。
　各教師データ４１３１は更に、データ指定情報が指定する二つの特徴データＤＶが、正例に相当するのか又は負例に相当するのかを示すラベル情報を含む。図６に示す例では、「０」を表すラベル情報は、データ指定情報が指定する二つの特徴データＤＶが負例に相当することを示し、「１」を表すラベル情報は、データ指定情報が指定する二つの特徴データＤＶが正例に相当することを示すものとする。本実施形態では、正例に相当する二つの特徴データＤＶは、特徴が似ている二つの特徴データＤＶを意味していてもよい。ここで、特徴が似ている二つの特徴データＤＶは、二つの特徴データＤＶの間の潜在空間における距離が所定の第１閾値未満になる二つの特徴データＤＶであってもよい。一方で、負例に相当する二つの特徴データＤＶは、特徴が似ていない二つの特徴データＤＶを意味していてもよい。ここで、特徴が似ていない二つの特徴データＤＶは、二つの特徴データＤＶの間の潜在空間における距離が所定の第２閾値（但し、第２閾値は、上述した第１閾値以上）より大きくなる二つの特徴データＤＶであってもよい。
　再び図５において、計量学習部４２２は、ステップＳ１１で取得した教師データ４１３１に基づいて、変換モデルＴＭを生成する（ステップＳ１２）。具体的には、例えば、計量学習部４２２は、変換モデルＴＭを学習するための学習動作を行うことで、変換モデルＴＭを生成してもよい。このため、変換モデルＴＭは、学習可能なモデルであってもよい。例えば、変換モデルＴＭは、パラメータ（例えば、重み及びバイアスの少なくとも一つ）を学習可能なニューラルネットワークを含むモデルであってもよい。
　本実施形態では、計量学習部４２２は、計量学習（言い換えれば、メトリック学習）を行うことで、変換モデルＴＭを生成してもよい。計量学習は、一般的には、ベクトル空間内において、類似する二つ以上のデータの間の距離が相対的に短くなり且つ類似しない二つ以上のデータの間の距離が相対的に長くなるように各データの特徴ベクトルを変換可能な変換モデルを生成するための学習方法である。このため、本実施形態では、計量学習部４２２は、計量学習を行うことで、類似する二つ以上の特徴データＤＶの間の潜在空間内での距離（つまり、類似する二つ以上の特徴データＤＶに夫々対応する二つ以上の潜在ベクトルＺＶの間の距離）が相対的に短くなり、且つ、類似しない二つ以上の特徴データＤＶの間の距離（つまり、類似しない二つ以上の特徴データＤＶに夫々対応する二つ以上の潜在ベクトルＺＶの間の距離）が相対的に長くなるように、複数の特徴ベクトルＸＶを夫々複数の潜在ベクトルＺＶに変換可能な変換モデルＴＭを生成してもよい。例えば、計量学習部４２２は、計量学習を行うことで、類似する二つ以上の特徴データＤＶの間の潜在空間内での距離が、類似しない二つ以上の特徴データＤＶの間の潜在空間内での距離以上になるように、複数の特徴ベクトルＸＶを夫々複数の潜在ベクトルＺｖに変換可能な変換モデルＴＭを生成してもよい。例えば、計量学習部４２２は、計量学習を行うことで、（ｉ）類似する二つ以上の特徴データＤＶの間の潜在空間内での距離が、類似する二つ以上の特徴データＤＶの間の表現空間内での距離（つまり、類似する二つ以上の特徴データＤＶに夫々対応する二つ以上の特徴ベクトルＸＶの間の距離）以下になり、且つ、（ｉｉ）類似しない二つ以上の特徴データＤＶの間の潜在空間内での距離が、類似しない二つ以上の特徴データＤＶの間の表現空間内での距離（つまり、類似しない二つ以上の特徴データＤＶに夫々対応する二つ以上の特徴ベクトルＸＶの間の距離）以上になるように、複数の特徴ベクトルＸＶを夫々複数の潜在ベクトルＺＶに変換可能な変換モデルＴＭを生成してもよい。
　計量学習部４２２は、例えば、計量学習を行うために用いられるニューラルネットワークを用いて、計量学習を行ってもよい。計量学習を行うために用いられるニューラルネットワークの一例として、シャムネットワーク（Ｓｉａｍｅｓｅ　Ｎｅｔｗｏｒｋ）及びトリプレットネットワーク（Ｔｒｉｐｌｅｔ　Ｎｅｔｗｏｒｋ）の少なくとも一つがあげられる。
　教師データ４１３１を用いて行われる計量学習の一例について以下に説明する。計量学習部４２２は、教師データ４１３１に基づいて、正例に相当するラベル情報が付与された二つの特徴ベクトルＸＶを含むデータセットを、特徴データセット４１２から少なくとも一組抽出する。更に、計量学習部４２２は、教師データ４１３１に基づいて、負例に相当するラベル情報が付与された二つの特徴ベクトルＸＶを、特徴データセット４１２から少なくとも一組抽出する。計量学習部４２２は、抽出した二つの特徴ベクトルＸＶを変換モデルＴＭに入力することで、二つの特徴ベクトルＸＶに対応する二つの潜在ベクトルＺＶを取得する。その後、計量学習部４２２は、二つの潜在ベクトルＺＶの間の距離を算出する。計量学習部４２２は、正例に相当するラベル情報が付与された二つ特徴ベクトルＸＶを変換することで得られた二つの潜在ベクトルＺＶの間の距離が相対的に短くなり、且つ、負例に相当するラベル情報が付与された二つ特徴ベクトルＸＶを変換することで得られた二つの潜在ベクトルＺＶの間の距離が相対的に長くなるように、計量学習を行う。このため、計量学習部４２２は、潜在空間内での二つの潜在ベクトルＺＶの間の距離に基づいて定まる損失関数を用いて、計量学習を行ってもよい。例えば、上述したように、計量学習部４２２がシャムネットワークを用いて計量学習を行う場合には、計量学習部４２２は、Ｃｏｎｔｒａｓｔｉｖｅ　Ｌｏｓｓに基づく損失関数を用いてもよい。
　その後、記憶装置４１は、ステップＳ１２で生成された変換モデルＴＭを記憶する（ステップＳ１３）。記憶装置４１が記憶している変換モデルＴＭは、後述する脅威検出動作において用いられる。
　（２－２）脅威検出動作
　続いて、図７を参照しながら、情報処理装置４が行う脅威検出動作について説明する。図７は、情報処理装置４が行う脅威検出動作の流れを示すフローチャートである。尚、図７に示す脅威検出動作は、情報処理装置４に対するクエリデータＤＱの入力をトリガに開始されてもよい。複数のクエリデータＤＱが情報処理装置４に入力された場合には、各クエリデータＤＱを対象に脅威検出動作が行われる。例えば、第１のクエリデータＤＱと第２のクエリデータＤＱとが情報処理装置４に入力された場合には、第１のクエリデータＤＱを対象に脅威検出動作と、第２のクエリデータＤＱを対象とする脅威検出動作とが行われる。
　図７に示すように、まず、検索部４２３は、クエリデータＤＱを取得する（ステップＳ２１）。例えば、検索部４２３は、ユーザが操作可能な操作装置として機能可能な入力装置４３を介して情報処理装置４に入力される、検出ターゲット脅威（或いは、特徴ベクトルＸＱ）を直接的に又は間接的に指定する情報を、クエリデータＤＱとして取得してもよい。例えば、検索部４２３は、通信装置として機能可能な入力装置４３を介して情報処理装置４に送信される、検出ターゲット脅威（或いは、特徴ベクトルＸＱ）を直接的に又は間接的に指定するための情報を、クエリデータＤＱとして取得してもよい。
　その後、検索部４２３は、ステップＳ２１で取得したクエリデータＤＱに基づいて、特徴データセット４１２から、ｎ個の近傍データＤＮ１からＤＮｎを抽出する（ステップＳ２２）。以下、図８を参照しながら、ｎ個の近傍データＤＮ１からＤＮｎを抽出する動作について説明する。図８は、ｎ個の近傍データＤＮ１からＤＮｎを抽出する動作の流れを示すフローチャートである。
　図８に示すように、検索部４２３は、記憶装置４１が記憶している変換モデルＴＭを用いて、ステップ２１で取得したクエリデータＤＱの特徴ベクトルＸＱを、潜在空間内で検出ターゲット脅威の特徴量を示す潜在ベクトルＺＱに変換する（ステップＳ２２１）。
　ステップＳ２２１の動作と並行して又は相前後して、検索部４２３は、特徴データセット４１２に含まれる複数の特徴データＤＶのうちの一の特徴データＤＶｖを抽出する（ステップＳ２２２）。その後、検索部４２３は、変換モデルＴＭを用いて、抽出した一の特徴データＤＶｖの特徴ベクトルＸＶｖを、潜在ベクトルＺＶｖに変換する（ステップＳ２２２）。その後、検索部４２３は、ステップＳ２２１で生成された潜在ベクトルＺＱとステップＳ２２２で生成された潜在ベクトルＺＶｖとの間の距離（つまり、潜在空間での距離）を算出する（ステップＳ２２３）。
　検索部４２３は、ステップＳ２２２からステップＳ２２３までの動作を、特徴データセット４１２に含まれる複数の特徴データＤＶを対象に繰り返す（ステップＳ２２４）。上述したように、特徴データセット４１２には、Ｋ個の特徴データＤＶ１からＤＶＫが含まれている。このため、検索部４２３は、Ｋ個の特徴データＤＶ１からＤＶＫに夫々対応するＫ個の潜在ベクトルＺＶ１からＺＶＫと潜在ベクトルＺＱとの間のＫ個の距離の算出が完了するまで、特徴データセット４１２に含まれる複数の特徴データＤＶの中から、ステップＳ２２２において未だ抽出されたことがない一の特徴データＤＶｖを新たに抽出した上で、ステップＳ２２２からステップＳ２２３までの動作を繰り返す。具体的には、検索部４２３は、特徴データＤＶ１に対応する潜在ベクトルＺＶ１と潜在ベクトルＺＱとの間の距離と、特徴データＤＶ２に対応する潜在ベクトルＺＶ２と潜在ベクトルＺＱとの間の距離と、・・・、特徴データＤＶＫに対応する潜在ベクトルＺＶＫと潜在ベクトルＺＱとの間の距離との算出が完了するまで、ステップＳ２２２からステップＳ２２３までの動作を繰り返す。
　その後、検索部４２３は、ステップＳ２２３で算出した距離に基づいて、特徴データセット４１２に含まれる複数の特徴データＤＶのうちのｎ個の特徴データＤＶを、夫々、ｎ個の近傍データＤＮ１からＤＮｎとして抽出する（ステップＳ２２５）。具体的には、検索部４２３は、Ｋ個の特徴データＤＶの中から、他のＫ－ｎ個の特徴データＤＶと比較して、潜在空間におけるクエリデータＤＱからの距離が短いｎ個の特徴データＤＶを、夫々、ｎ個の近傍データＤＮ１からＤＮｎとして抽出する。つまり、検索部４２３は、Ｋ個の特徴データＤＶの中から、算出した距離が短い順にｎ個の特徴データＤＶを抽出し、抽出したｎ個の特徴データＤＶを夫々ｎ個の近傍データＤＮ１からＤＮｎに設定する。
　再び図７において、その後、局所モデル学習部４２４は、ステップＳ２２において抽出されたｎ個の近傍データＤＮ１からＤＮｎに基づいて、局所モデルＬＭを生成する（ステップＳ２３）。
　本実施形態では、説明の便宜上、局所モデルＬＭが線形回帰モデルである例について説明する。上述したように、局所モデルＬＭは、表現空間におけるクエリデータＤＱと近傍データＤＮｉとの差分に関する差分情報Ｖｉ（＝ｖｉ，１からｖｉ，Ｆ）が入力された場合に、潜在空間内におけるクエリデータＤＱと近傍データＤＮｉとの間の距離ｄｉの推定値ｄｐｉを出力するモデルである。このため、局所モデルＬＭは、差分情報Ｖｉ（＝ｖｉ，１からｖｉ，Ｆ）が説明変数として用いられ、且つ、距離ｄｉの推定値ｄｐｉが目的変数として用いられる線形回帰モデルであってもよい。このような局所モデルＬＭの一例が数式１に示されている。尚、数式１におけるｗｆは、差分情報ｖｉ、ｆに掛け合わせられる重みである。重みｗｆ（具体的には、ｗ１からｗＦの夫々）は、０以上の重みである。つまり、重みｗｆ（具体的には、ｗ１からｗＦの夫々）は、負値とならない重みである。また、数式１に示すように、局所モデルＬＭは、バイアス項を含まない（つまり、バイアス項がゼロになる）回帰式で特定される線形回帰モデルである。
Figure JPOXMLDOC01-appb-M000003

　但し、局所モデルＬＭが、数式１に示す線形回帰モデルに限定されることはない。例えば、局所モデルＬＭは、重みｗｆ（具体的には、ｗ１からｗＦの少なくとも一つ）が負値となる回帰式で特定される線形回帰モデルであってもよい。例えば、局所モデルＬＭは、バイアス項を含む（つまり、バイアス項がゼロにならない）回帰式で特定される線形回帰モデルであってもよい。或いは、局所モデルＬＭが、線形回帰モデルに限定されることはない。例えば、局所モデルＬＭは、非線形回帰モデルであってもよい。例えば、局所モデルＬＭは、その他の任意のモデルであってもよい。
　局所モデルＬＭを生成するために、局所モデル学習部４２４は、差分情報Ｖｉ（＝ｖｉ，１からｖｉ，Ｆ）を生成する。つまり、局所モデル学習部４２４は、差分情報Ｖ１（＝ｖ１，１からｖ１，Ｆ）、差分情報Ｖ２（＝ｖ２，１からｖ２，Ｆ）、・・・、及び、差分情報Ｖｎ（＝ｖｎ，１からｖｎ，Ｆ）を生成する。尚、以下の説明では、差分情報ｖｉ，ｆが、ｖｉ，ｆ＝｜ｘｑｆ－ｘｎｉ，ｆ｜又はｖｉ，ｆ＝（ｘｑｆ－ｘｎｉ，ｆ）２という上述した数式で特定される例について説明する。従って、局所モデル学習部４２４は、ｖｉ，ｆ＝｜ｘｑｆ－ｘｎｉ，ｆ｜又はｖｉ，ｆ＝（ｘｑｆ－ｘｎｉ，ｆ）２という数式を用いて、差分情報Ｖｉを生成する。
　その後、局所モデル学習部４２４は、ステップＳ２２で抽出した近傍データＤＮ１からＤＮｎと、ステップＳ２３において算出した差分情報Ｖ１からＶｎとに基づいて、局所モデルＬＭを生成する。
　具体的には、局所モデル学習部４２４は、生成済みの又はデフォルトの局所モデルＬＭに対して、差分情報Ｖ１からＶｎを順に入力する。その結果、局所モデル学習部４２４は、潜在空間内におけるクエリデータＤＱと近傍データＤＮ１との間の距離ｄ１の推定値ｄｐ１と、潜在空間内におけるクエリデータＤＱと近傍データＤＮ２との間の距離ｄ２の推定値ｄｐ２と、・・・、潜在空間内におけるクエリデータＤＱと近傍データＤＮｎとの間の距離ｄｎの推定値ｄｐｎとを取得する。
　その後、局所モデル学習部４２４は、実際の距離ｄｉと距離ｄｉの推定値ｄｐｉとの間の誤差に基づく損失関数Ｌｏｓｓを用いて、局所モデルＬＭを規定する重みｗｆ（＝ｗ１からｗＦ）を更新する。尚、実際の距離ｄｉ（つまり、距離ｄｉの実際の算出値）は、図８のステップＳ２２３において近傍データＤＮｉを抽出するために潜在ベクトルＺＱと潜在ベクトルＺＶ（つまり、近傍データＤＮｉの特徴ベクトルＸＮｉを変換モデルＴＭで変換することで生成される潜在ベクトルＺＮｉ）とに基づいて算出された距離に相当する。損失関数Ｌｏｓｓは、距離ｄｉの実際の算出値と距離ｄｉの推定値ｄｐｉとの間の誤差が小さくなるほど小さくなる損失関数であってもよい。この場合、局所モデル学習部４２４は、損失関数Ｌｏｓｓが最小になるように、局所モデルＬＭを規定する重みｗｆ（＝ｗ１からｗＦ）を更新してもよい。このような損失関数Ｌｏｓｓの一例が、数式２に示されている。但し、損失関数Ｌｏｓｓが数式２に示される損失関数に限定されることはない。
Figure JPOXMLDOC01-appb-M000004
　その後、貢献度算出部４２５は、潜在空間内におけるクエリデータＤＱと近傍データＤＮｉとの間の距離ｄｉに対して、特徴ベクトルＸＮｉのｆ番目のベクトル成分（つまり、近傍データＤＮｉのＦ個の要素に相当する特徴量）が与える影響の大きさを表す要素貢献度ｃｉ、ｆを算出する（ステップＳ２４）。特徴ベクトルＸＮｉのｐ（但し、ｐは、１≦ｐ≦Ｆを満たす整数を示す変数）番目のベクトル成分が一定量変化した場合の距離ｄｉの変動量が、特徴ベクトルＸＮｉのｒ（但し、ｒは、１≦ｒ≦Ｆ且つｒ≠ｐを満たす整数を示す変数）番目のベクトル成分が同じ一定量変化した場合の距離ｄｉの変動量よりも大きい場合には、距離ｄｉに対して特徴ベクトルＸＮｉのｐ番目のベクトル成分が与える影響は、距離ｄｉに対して特徴ベクトルＸＮｉのｒ番目のベクトル成分が与える影響よりも大きい。このため、要素貢献度ｃｉ、ｐは、要素貢献度ｃｉ、ｒよりも大きくなる。
　このような要素貢献度ｃｉ、ｆを算出するために、貢献度算出部４２５は、ステップＳ２３で生成した局所モデルＬＭと、差分情報ｖｉ，ｆとに基づいて、要素貢献度ｃｉ、ｆを算出する。例えば、貢献度算出部４２５は、数式３を用いて、要素貢献度ｃｉ、ｆを算出してもよい。数式３は、局所モデルＬＭを規定するパラメータ（この場合、重みｗｆ）と差分情報ｖｉ，ｆとに基づいて要素貢献度ｃｉ、ｆを算出するために用いられる数式である。
Figure JPOXMLDOC01-appb-M000005

　貢献度算出部４２５は、変数ｆを１からＦの間で変化させ且つ変数ｉを１からｎの間で変化させながら要素貢献度ｃｉ、ｆを算出することで、要素貢献度ｃ１、１、ｃ１、２、・・・、及びｃ１、Ｆ、要素貢献度ｃ２、１、ｃ２、２、・・・、及びｃ２、Ｆ、・・・、並びに、要素貢献度ｃｎ、１、ｃｎ、２、・・・、及びｃｎ、Ｆを算出する。尚、上述した数式３を用いて要素貢献度ｃｉ、ｆが算出される場合には、要素貢献度ｃｉ、１からｃｉ、Ｆの総和は、１になる。
　その後、出力制御部４２６は、ステップＳ２３で検索部４２３が抽出したｎ個の近傍データＤＮ１からＤＮｎの少なくとも一つに関する情報を出力するように、出力装置４４を制御してもよい（ステップＳ２５）。尚、近傍データＤＮｉに関する情報は、近傍データＤＮｉの特徴ベクトルＸＮｉを算出する根拠となったプロキシログデータ４１１１に関する情報を含んでいてもよい。つまり、出力制御部４２６は、ステップＳ２３で検索部４２３が抽出したｎ個の近傍データＤＮ１からＤＮｎの少なくとも一つに対応するプロキシログデータ４１１１に関する情報を出力するように、出力装置４４を制御してもよい。
　或いは、出力制御部４２６は、ｎ個の近傍データＤＮ１からＤＮｎの少なくとも一つに関する情報に加えて又は代えて、ステップＳ２４で貢献度算出部４２５が算出した要素貢献度ｃ１、１からｃｎ、Ｆの少なくとも一つを出力するように、出力装置４４を制御してもよい（ステップＳ２５）。
　一例として、出力制御部４２６は、図９に示すように、要素貢献度ｃ１、１からｃｎ、Ｆのリストを出力するように、出力装置４４を制御してもよい。尚、図９は、出力装置４４が表示装置である場合に出力装置４４が出力する（つまり、表示装置が表示する）要素貢献度ｃ１、１からｃｎ、Ｆのリストの一例を示している。図９に示す例では、近傍データＤＮｉは、受信サイズの最小値に関する特徴量を示す１番目のベクトル成分と、受信サイズの最大値に関する特徴量を示す２番目のベクトル成分と、送信サイズの最小値に関する特徴量を示す３番目のベクトル成分と、送信サイズの最大値に関する特徴量を示す４番目のベクトル成分と、受信サイズと送信サイズとの総和に関する特徴量を示す５番目のベクトル成分と、メソッド（ＧＥＴ）に関する特徴量を示す６番目のベクトル成分と、メソッド（ＰＯＳＴ）に関する特徴量を示す７番目のベクトル成分と、メソッド（その他）に関する特徴量を示す８番目のベクトル成分とを含む。この場合、出力制御部４２６は、距離ｄｉに対して受信サイズの最小値に関する特徴量が与える影響を示す要素貢献度ｃｉ、１と、距離ｄｉに対して受信サイズの最大値に関する特徴量が与える影響を示す要素貢献度ｃｉ、２と、距離ｄｉに対して送信サイズの最小値に関する特徴量が与える影響を示す要素貢献度ｃｉ、３と、距離ｄｉに対して送信サイズの最大値に関する特徴量が与える影響を示す要素貢献度ｃｉ、４と、距離ｄｉに対して受信サイズと送信サイズとの総和に関する特徴量が与える影響を示す要素貢献度ｃｉ、５と、距離ｄｉに対してメソッド（ＧＥＴ）に関する特徴量が与える影響を示す要素貢献度ｃｉ、６と、距離ｄｉに対してメソッド（ＰＯＳＴ）に関する特徴量が与える影響を示す要素貢献度ｃｉ、７と、距離ｄｉに対してメソッド（その他）に関する特徴量が与える影響を示す要素貢献度ｃｉ、８とのリストを出力するように、出力装置４４を制御してもよい。
　図９に示す例では、要素貢献度ｃ１、１からｃ１、４が相対的に大きい。このため、潜在空間におけるクエリデータＤＱと近傍データＤＮ１との間の距離ｄｉに対して、受信サイズ及び送信サイズの夫々に関する特徴量が与える影響が相対的に大きいことが分かる。また、図９に示す例では、要素貢献度ｃ２、１からｃ２、１が相対的に大きい。このため、潜在空間におけるクエリデータＤＱと近傍データＤＮ２との間の距離ｄ２に対して、受信サイズに関する特徴量が与える影響が相対的に大きいことが分かる。また、図９に示す例では、要素貢献度ｃ３、１からｃ３、１が相対的に大きい。このため、潜在空間におけるクエリデータＤＱと近傍データＤＮ３との間の距離ｄ３に対して、受信サイズに関する特徴量が与える影響が相対的に大きいことが分かる。
　（３）情報処理装置１の技術的効果
　以上説明したように、本実施形態の情報処理装置４は、潜在空間内におけるクエリデータＤＱと近傍データＤＮｉとの間の距離ｄｉに対して、近傍データＤＮｉのｆ番目の要素に相当する特徴量が与える影響の大きさを表す要素貢献度ｃｉ、ｆを算出することができる。このため、情報処理装置４のユーザは、要素貢献度ｃｉ、ｆに基づいて、距離ｄｉに対して相対的に大きな影響を与えている（つまり、距離ｄｉの算出に対して相対的に大きく寄与している）特徴量を把握することができる。
　また、情報処理装置４は、局所モデルＬＭを生成し、生成した局所モデルＬＭ（例えば、局所モデルＬＭを規定する重みｗｆ）を用いて要素貢献度ｃｉ、ｆを算出することができる。このため、情報処理装置４は、比較的容易に要素貢献度ｃｉ、ｆを算出することができる。
　また、情報処理装置４は、生成した局所モデルＬＭを規定する重みｗｆを用いて要素貢献度ｃｉ、ｆを算出することができる。このため、情報処理装置４は、上述した数式１のような比較的簡易的な数式（特に、行列演算を行う装置にとって扱いやすい数式）を用いて、要素貢献度ｃｉ、ｆを算出することができる。
　また、上述した例では、局所モデルＬＭは、バイアス項を含まない回帰式で特定される線形回帰モデルである。仮に局所モデルＬＭが、バイアス項を含む回帰式で特定される線形回帰モデルである場合には、情報処理装置４は、局所モデルＬＭを算出する際に及び／又は要素貢献度ｃｉ、ｆを算出する際に、バイアス項に起因して生ずる原点からのずれ（つまり、表現空間及び／又は潜在空間内でのオフセット量）を考慮する必要がある。つまり、情報処理装置４は、局所モデルＬＭを算出する及び／又は要素貢献度ｃｉ、ｆを算出するための行列演算を行う際に、行列同士の内積のみならず、行列成分のオフセット量（つまり、加減算）を考慮する必要がある。しかるに、本実施形態では、局所モデルＬＭが、バイアス項を含まない回帰式で特定される線形回帰モデルであるため、情報処理装置４は、局所モデルＬＭを算出する際に及び／又は要素貢献度ｃｉ、ｆを算出する際に、バイアス項に起因して生ずる原点からのずれ（つまり、表現空間及び／又は潜在空間内でのオフセット量）を考慮しなくてもよくなる。このため、情報処理装置４は、比較的容易に、局所モデルＬＭを算出する及び／又は要素貢献度ｃｉ、ｆを算出することができる。
　また、上述した例では、局所モデルＬＭは、重みｗｆが０以上になる回帰式で特定される線形回帰モデルである。仮に局所モデルＬＭが、重みｗｆが０未満となることを許容する回帰式で特定される線形回帰モデルである場合には、要素貢献度ｃｉ、ｆが負の値になる可能性がある。しかしながら、情報処理装置４のユーザにとっては、負の要素貢献度ｃｉ、ｆは、直感的に分かりづらい指標であると想定される。一方で、本実施形態では、局所モデルＬＭが、重みｗｆが０以上になる回帰式で特定される線形回帰モデルであるため、要素貢献度ｃｉ、ｆが負の値になることはない。このため、情報処理装置４は、情報処理装置４のユーザにとって直感的に分かりやすい要素貢献度ｃｉ、ｆを算出することができる。
　尚、情報処理装置４は、要素貢献度ｃｉ、ｆに基づいて、潜在空間におけるクエリデータＤＱと近傍データＤＮｉとの間の距離ｄｉが相対的に小さくなった要因を特定してもよい。つまり、情報処理装置４は、要素貢献度ｃｉ、ｆに基づいて、クエリデータＤＱと近傍データＤＮｉとが類似すると判定されることになった要因を特定してもよい。例えば、上述した図９に示す例では、要素貢献度ｃ３、１からｃ３、２が相対的に大きい。この場合、情報処理装置４は、クエリデータＤＱと近傍データＤＮ３とが類似すると判定される要因が、受信サイズに起因していると特定してもよい。尚、上述したように、クエリデータＤＱと近傍データＤＮ３とが類似している場合には、クエリデータＤＱが指定する検出ターゲット脅威と同じ又は類似する脅威がローカルシステムＬに既に侵入した可能性があると想定される。この場合、クエリデータＤＱと近傍データＤＮ３とが類似すると判定される要因は、近傍データＤＮ３に対応するプロキシログデータ４１１１が、検出ターゲット脅威と同じ又は類似する脅威の痕跡を示すと判定される要因と等価であるとも言える。
　また、情報処理装置４は、要素貢献度ｃｉ、ｆに基づいて、検索部４２３が抽出したｎ個の近傍データＤＮ１からＤＮｎを分類してもよい。具体的には、情報処理装置４は、要素貢献度ｃｉ、ｆが類似する近傍データＤＮｉが同じ貢献データ群に分類されるように、ｎ個の近傍データＤＮ１からＤＮｎを分類してもよい。この場合、情報処理装置４は、同じ貢献データ群に分類された近傍データＤＮｉを用いて、局所モデルＬＭの重みｗｆを更新するための学習動作を行ってもよい。
　また、情報処理装置４は、要素貢献度ｃｉ，ｆに基づいて、検索部４２３がｎ個の近傍データＤＮ１からＤＮｎのうちの少なくとも一つを誤って抽出してしまったか否かを判定してもよい。例えば、ｎ個の近傍データＤＮ１からＤＮｎがそもそもクエリデータＤＱに類似するがゆえに、通常は、近傍データＤＮ１に対応するＦ個の要素貢献度ｃ１、１からｃ１、Ｆから構成されるベクトルと、近傍データＤＮ２に対応するＦ個の要素貢献度ｃ２、１からｃ２、Ｆから構成されるベクトルと、・・・、近傍データＤＮｎに対応するＦ個の要素貢献度ｃｎ，１からｃｎ、Ｆから構成されるベクトルとが互いに大きく異なるものになる可能性は高くはない。このような状況下で、近傍データＤＮｊ（但し、ｊは、１≦ｊ≦ｎを満たす整数を示す変数）に対応するＦ個の要素貢献度ｃｊ、ｆから構成されるベクトルと、近傍データＤＮｊ以外の他の近傍データＤＮに対応するＦ個の要素貢献度ｃｉ、ｆから構成されるベクトル（つまり、近傍データＤＮ１に対応するＦ個の要素貢献度ｃ１、ｆから構成されるベクトル、・・・、近傍データＤＮｊ－１に対応するＦ個の要素貢献度ｃｊ－１、ｆから構成されるベクトル、近傍データＤＮｊ＋１に対応するＦ個の要素貢献度ｃｊ＋１、ｆから構成されるベクトル、・・・、及び、近傍データＤＮｎに対応するＦ個の要素貢献度ｃｎ、ｆから構成されるベクトルの夫々）との間の差分が、許容量を超えるほどに大きくなっている場合には、検索部４２３が、近傍データＤＮｊを、クエリデータＤＱに類似するデータとして誤って抽出してしまった可能性があると想定される。このような観点から、情報処理装置４は、要素貢献度ｃｉ、ｆに基づいて、検索部４２３がｎ個の近傍データＤＮ１からＤＮｎのうちの少なくとも一つを誤って抽出してしまったか否かを判定してもよい。
　（４）変形例
　続いて、通信システムＳＹＳ（特に、情報処理装置４）の変形例について説明する。
　（４－１）第１変形例
　第１変形例では、情報処理装置４（特に、貢献度算出部４２５）は、要素貢献度ｃｉ，ｆに加えて、グループ貢献度ｅを算出してもよい。グループ貢献度ｅは、ある近傍データの特徴ベクトルの各ベクトル成分（つまり、近傍データが示す特徴量の各要素）が複数の特徴グループの少なくとも一つに所属する（言い換えれば、分類される）という状況下で算出される指標値である。具体的には、グループ貢献度ｅは、潜在空間内におけるあるクエリデータとある近傍データとの間の距離に対して、各特徴グループが与える影響の大きさを表す。つまり、グループ貢献度ｅは、潜在空間内におけるあるクエリデータとある近傍データとの間の距離に対して、各特徴グループに所属する少なくとも一つのベクトル成分（つまり、一の特徴グループに分類される少なくとも一つの特徴量の要素）が与える影響の大きさを表す。
　一例として、複数の特徴グループは、特徴ベクトルＸＮｉを算出する元となったプロキシログデータ４１１１が含む複数のログ情報の種類に夫々対応するグループであってもよい。具体的には、上述した例では、プロキシログデータ４１１１は、複数種類のログ情報として、受信サイズ情報、送信サイズ情報及びメソッド情報を含む。この場合、複数の特徴グループとして、受信サイズに関する特徴グループと、送信サイズに関する特徴グループと、メソッドに関する特徴グループとが用いられてもよい。また、上述した例では、図９に示すように、近傍データＤＮｉは、受信サイズの最小値に関する特徴量を示す１番目のベクトル成分と、受信サイズの最大値に関する特徴量を示す２番目のベクトル成分と、送信サイズの最小値に関する特徴量を示す３番目のベクトル成分と、送信サイズの最大値に関する特徴量を示す４番目のベクトル成分と、受信サイズと送信サイズとの総和に関する特徴量を示す５番目のベクトル成分と、メソッド（ＧＥＴ）に関する特徴量を示す６番目のベクトル成分と、メソッド（ＰＯＳＴ）に関する特徴量を示す７番目のベクトル成分と、メソッド（その他）に関する特徴量を示す８番目のベクトル成分とを含む。この場合、受信サイズの最小値に関する特徴量を示す１番目のベクトル成分と、受信サイズの最大値に関する特徴量を示す２番目のベクトル成分と、受信サイズと送信サイズとの総和に関する特徴量を示す５番目のベクトル成分とは、受信サイズに関する特徴グループに所属してもよい。送信サイズの最小値に関する特徴量を示す３番目のベクトル成分と、送信サイズの最大値に関する特徴量を示す４番目のベクトル成分と、受信サイズと送信サイズとの総和に関する特徴量を示す５番目のベクトル成分とは、送信サイズに関する特徴グループに所属してもよい。メソッド（ＧＥＴ）に関する特徴量を示す６番目のベクトル成分と、メソッド（ＰＯＳＴ）に関する特徴量を示す７番目のベクトル成分と、メソッド（その他）に関する特徴量を示す８番目のベクトル成分とは、受信サイズに関する特徴グループに所属してもよい。
　近傍データＤＮｉの特徴ベクトルＸＮｉの各ベクトル成分がＧ（但し、Ｇは１以上の整数を示す定数）個の特徴グループの少なくとも一つに所属する場合には、貢献度算出部４２５は、潜在空間内におけるクエリデータＤＱと近傍データＤＮｉとの間の距離ｄｉに対して、ｇ（但し、ｇは、１≦ｇ≦Ｇを満たす整数を示す変数）番目の特徴グループが与える影響の大きさを表すグループ貢献度ｅを算出してもよい。尚、以下の説明では、距離ｄｉに対してｇ番目の特徴グループが与える影響の大きさを表すグループ貢献度ｅを、“グループ貢献度ｅｉ，ｇ”と称する。言い換えれば、貢献度算出部４２５は、距離ｄｉに対して、ｇ番目の特徴グループに所属する少なくとも一つのベクトル成分が与える影響の大きさを表すグループ貢献度ｅｉ，ｇを算出してもよい。この場合、貢献度算出部４２５は、変数ｇを１からＧの間で変化させながらグループ貢献度ｅｉ，ｇを算出することで、距離ｄｉに対して１番目の特徴グループに所属する少なくとも一つのベクトル成分が与える影響の大きさを表すグループ貢献度ｅｉ，１と、距離ｄｉに対して２番目の特徴グループに所属する少なくとも一つのベクトル成分が与える影響の大きさを表すグループ貢献度ｅｉ，２と、・・・、距離ｄｉに対してＧ番目の特徴グループに所属する少なくとも一つのベクトル成分が与える影響の大きさを表すグループ貢献度ｅｉ，Ｇとを算出してもよい。
　貢献度算出部４２５は、要素貢献度ｃｉ，ｆに基づいて、グループ貢献度ｅｉ，ｇを算出してもよい。例えば、貢献度算出部４２５は、数式４を用いて算出してもよい。数式４を用いて算出されたグループ貢献度ｅｉ，ｇは、後述する所属率ｂｇ，ｆで重み付けされた要素貢献度ｃｉ，ｆの総和となる。
Figure JPOXMLDOC01-appb-M000006

　ここで、数式４におけるｂｇ，ｆは、近傍データＤＮｉのｆ番目のベクトル成分がｇ番目の特徴グループに所属する所属率を示す。尚、所属率ｂｇ，ｆは、各ベクトル成分の所属率ｂｇ，ｆの総和（つまり、ｂ１，ｆ＋ｂ２，ｆ＋・・・＋ｂＧ，ｆ）が１になるように設定される。例えば、ｆ番目のベクトル成分がｇ番目の特徴グループにのみ所属する場合には、ｆ番目のベクトル成分がｇ番目の特徴グループに所属する所属率ｂｇ，ｆは、１（つまり、１００％）に設定されていてもよい。一方で、例えば、ｆ番目のベクトル成分がｇ１（但し、ｇ１は、１≦ｇ１≦Ｇを満たす整数を示す変数）番目の特徴グループ及びｇ２（但し、ｇ２は、１≦ｇ２≦Ｇ且つｇ２≠ｇ１を満たす整数を示す変数）番目の特徴グループの双方に所属する場合には、ｆ番目のベクトル成分がｇ１番目の特徴グループに所属する所属率ｂｇ１，ｆは、１／２（＝５０％）に設定され、ｆ番目のベクトル成分がｇ２番目の特徴グループに所属する所属率ｂｇ２，ｆは、１／２（＝５０％）に設定されていてもよい。つまり、一のベクトル成分がＨ（但し、Ｈは２以上の整数を示す定数）個の特徴グループに所属する場合には、一のベクトル成分がＨ個の特徴グループの夫々に所属する所属率ｂｇ，ｆは、１／Ｎ（＝１００／Ｎ％）に設定されていてもよい。尚、所属率ｂｇ，ｆは、予め設定されていてもよいし、情報処理装置４（特に、貢献度算出部４２５）によって設定されてもよい。
　グループ貢献度ｅｉ，ｇが算出された場合には、出力制御部４２６は、グループ貢献度ｅｉ，ｇを出力するように、出力装置４４を制御してもよい。例えば、上述したように、グループ貢献度ｅｉ，１からｅｉ，Ｇは、プロキシログデータ４１１１が含むＧ種類のログ情報に夫々対応するＧ個の特徴グループに夫々対応する。このため、出力制御部４２６は、近傍データＤＮｉに対応するプロキシログデータ４１１１に含まれるＧ種類のログ情報の少なくとも一部とＧ個のグループ貢献度ｅｉ，１からｅｉ，Ｇの少なくとも一部とを夫々関連付けた出力態様で、プロキシログデータ４１１１を出力するように、出力装置４４を制御してもよい。
　Ｇ種類のログ情報の少なくとも一部とＧ個のグループ貢献度ｅｉ，１からｅｉ，Ｇの少なくとも一部とを夫々関連付けた表示態様は、ｇ番目の特徴グループに対応するｇ番目のログ情報とｇ番目の特徴グループのグループ貢献度ｅｉ，ｇとを関連付けた表示態様を含んでいてもよい。具体的には、例えば、Ｇ種類のログ情報の少なくとも一部とＧ個のグループ貢献度ｅｉ，１からｅｉ，Ｇの少なくとも一部とを夫々関連付けた表示態様は、（ｉ）受信サイズに関するログ情報と受信サイズに関する特徴グループのグループ貢献度ｅｉ，ｇとを関連付けた表示態様、（ｉｉ）送信サイズに関するログ情報と送信サイズに関する特徴グループのグループ貢献度ｅｉ，ｇとを関連付けた表示態様、及び、（ｉｉｉ）メソッドに関するログ情報とメソッドに関する特徴グループのグループ貢献度ｅｉ，ｇとを関連付けた表示態様を含んでいてもよい。ｇ番目のログ情報とグループ貢献度ｅｉ，ｇとを関連付けた表示態様は、図１１（ａ）に示すように、ｇ番目のログ情報と共にグループ貢献度ｅｉ，ｇを表示する表示態様を含んでいてもよい。ｇ番目のログ情報とグループ貢献度ｅｉ，ｇとを関連付けた表示態様は、図１１（ｂ）に示すように、ｇ番目のログ情報の表示態様（例えば、色、明るさ、輝度及びハイライトの少なくとも一つ）をグループ貢献度ｅｉ，ｇに応じて変更する表示態様を含んでいてもよい。例えば、図１１（ｂ）は、グループ貢献度ｅｉ，ｇが相対的に高いログ情報をハイライト表示する例を示している。ｇ番目のログ情報とグループ貢献度ｅｉ，ｇとを関連付けた表示態様は、ｇ番目のログ情報を表示するか否かがグループ貢献度ｅｉ，ｇに応じて決定される表示態様を含んでいてもよい。例えば、グループ貢献度ｅｉ，ｇが所定の表示閾値を下回る場合には、ｇ番目のログ情報は表示されなくてもよい。一方で、例えば、グループ貢献度ｅｉ，ｇが所定の表示閾値を上回る場合には、ｇ番目のログ情報が表示されてもよい。
　以上説明した第１変形例によれば、情報処理装置４は、グループ貢献度ｅｉ，ｇを算出することができる。ここで、グループ貢献度ｅｉ，ｇは、例えば、同じ特徴グループに対応する複数の要素貢献度ｃｉ，ｆの総和である。このため、グループ貢献度ｅｉ，ｇのばらつきは、各要素貢献度ｃｉ，ｆのばらつきよりも小さくなる。このため、情報処理装置４は、要素貢献度ｃｉ，ｆと比較して、より安定した貢献度とみなせるグループ貢献度ｅｉ，ｇを算出することができる。
　また、複数の特徴グループは、プロキシログデータ４１１１の複数のログ情報の種類に夫々対応している。このため、情報処理装置４は、近傍データＤＮｉを表示する際に（つまり、近傍データＤＮｉに対応するプロキシログデータ４１１１を表示する際に）、グループ貢献度ｅｉ，ｇを近傍データＤＮｉに関連付けた表示態様で近傍データＤＮｉを比較的容易に表示することができる。
　（４－２）第２変形例
　上述した説明では、通信システムＳＹＳは、プロキシサーバ１を備えている。しかしながら、第２変形例では、図１２に示すように、通信システムＳＹＳは、プロキシサーバ１を備えていなくてもよい。つまり、クライアント２は、プロキシサーバ１を介することなく、サーバ３と通信してもよい。サーバ３は、プロキシサーバ１を介することなく、クライアント２と通信してもよい。この場合であっても、情報処理装置４は、クライアント２とサーバ３との間の通信の履歴を示すログデータを用いて、上述した脅威検出動作を行ってもよい。
　（４－３）第３変形例
　上述した説明では、情報処理装置４は、特徴抽出部４２１を備えている。しかしながら、第３変形例では、図１３に示すように、情報処理装置４は、特徴抽出部４２１を備えていなくてもよい。この場合、記憶装置４１は、プロキシログＤＢ４１１に含まれるプロキシログデータ４１１１から任意の方法で生成された特徴ベクトルＸＶを含む特徴データセット４１２を記憶していてもよい。尚、この場合には、図１３に示すように、記憶装置４１は、プロキシログＤＢ４１１を記憶していなくてもよい。
　上述した説明では、情報処理装置４は、計量学習部４２２を備えている。しかしながら、第３変形例では、図１３に示すように、情報処理装置４は、計量学習部４２２を備えていなくてもよい。この場合、記憶装置４１は、情報処理装置４とは異なる装置によって生成された変換モデルＴＭを記憶していてもよい。尚、この場合には、図１３に示すように、記憶装置４１は、教師データセット４１３を記憶していなくてもよい。
　上述した説明では、情報処理装置４は、出力制御部４２６を備えている。しかしながら、第３変形例では、図１３に示すように、情報処理装置４は、出力制御部４２６を備えていなくてもよい。この場合、出力制御部４２６が行っていた近傍データＤＮ１からＤＮｎ及び要素貢献度ｃｉ、ｆを出力する動作は、情報処理装置４の外部の装置によって行われてもよい。
　（４－４）第４変形例
　上述した説明では、脅威検出動作を行う通信システムＳＹＳに対して、情報処理装置、情報処理方法、及び、記録媒体の実施形態が適用されている。しかしながら、第４変形例では、任意のデータを取り扱う任意のデータ処理装置に対して、情報処理装置、情報処理方法、及び、記録媒体の実施形態が適用されてもよい。この場合であっても、データ処理装置が取り扱う複数のデータの間の距離をベクトル空間内で定義可能である限りは、データ処理装置は、上述したモデル生成動作を行ってもよい。同様に、データ処理装置が取り扱う複数のデータの間の距離をベクトル空間内で定義可能である限りは、データ処理装置は、上述した脅威検出動作に準じたデータ検出動作を行ってもよい。尚、データ検出動作は、潜在空間内でクエリデータＤＱの近傍に位置するデータに相当する近傍データＤＮｉを検出する処理と、潜在空間内でのクエリデータＤＱと近傍データＤＮｉとの間の距離ｄｉに対して近傍データＤＮｉの特徴ベクトルＸＮｉの各ベクトル成分が与える影響の大きさを表す要素貢献度ｃｉ、ｆを算出する処理との少なくとも一つを含んでいてもよい。このようなデータ処理装置が取り扱うデータの一例として、リスト化可能なデータ、データベース化可能なデータ、及び、テーブル化可能なデータのうちの少なくとも一つがあげられる。
　本発明は、請求の範囲及び明細書全体から読み取るこのできる発明の要旨又は思想に反しない範囲で適宜変更可能であり、そのような変更を伴う情報処理装置、情報処理方法、及び、記録媒体もまた本発明の技術思想に含まれる。
　ＳＹＳ　通信システム
　１　プロキシサーバ
　２　サーバ
　３　クライアント
　４　情報処理装置
　４１　記憶装置
　４１１　プロキシログＤＢ
　４１１１　プロキシログデータ
　４１２　特徴データセット
　４１３　教師データセット
　４１３１　教師データ
　４２　演算装置
　４２１　特徴抽出部
　４２２　計量学習部
　４２３　検索部
　４２４　局所モデル学習部
　４２５　貢献度算出部
　ＴＭ　変換モデル
　ＬＭ　局所モデル
　ＤＱ　クエリデータ
　ＤＶ　特徴データ
　ＤＮ　近傍データ
　ＸＱ、ＸＶ、ＸＮ　特徴ベクトル
　ＺＱ、ＺＶ、ＺＮ　潜在ベクトル

Claims (10)

  1. 　複数のサンプルデータ群の特徴量を表現空間内で夫々示す複数の特徴ベクトルデータを、前記表現空間とは異なる潜在空間内で前記複数のサンプルデータ群の特徴量を夫々示す複数の潜在ベクトルデータに変換する変換手段と、
    　前記複数の潜在ベクトルデータに基づいて、前記複数の特徴ベクトルデータから、前記潜在空間内において所望のクエリデータからの距離が他の特徴ベクトルデータと比較して短い少なくとも一つの特徴ベクトルデータを、近傍データとして抽出する抽出手段と、
    　前記近傍データに基づいて、前記表現空間内での前記クエリデータと前記近傍データとの特徴量の要素毎の差分に関する差分情報が入力された場合に、前記潜在空間内での前記クエリデータと前記近傍データとの間の距離である潜在距離の推定値を出力する局所モデルを生成する生成手段と、
    　前記局所モデルと前記差分情報とに基づいて、前記潜在距離に対して前記近傍データの特徴量の各要素が与える影響の大きさを表す要素貢献度を算出する算出手段と
    　を備える情報処理装置。
  2. 　前記算出手段は、前記局所モデルを規定するパラメータと前記差分情報とに基づいて、前記要素貢献度を算出する
    　請求項１に記載の情報処理装置。
  3. 　前記局所モデルは、前記差分情報を説明変数として用い、且つ、前記潜在距離を目的変数として用いる線形回帰モデルを含み、
    　前記パラメータは、前記説明変数に掛け合わせられる重みを含む
    　請求項２に記載の情報処理装置。
  4. 　前記線形回帰モデルは、バイアス項を含まない
    　請求項３に記載の情報処理装置。
  5. 　前記重みは、０以上である
    　請求項３又は４に記載の情報処理装置。
  6. 　前記近傍データ及び前記クエリデータの夫々の特徴量の要素数がＦ（但し、Ｆは、１以上の整数を示す定数）であり、前記近傍データの第ｆ（但し、ｆは、１≦ｆ≦Ｆを満たす整数を示す変数）番目の要素に相当する特徴量と前記クエリデータの第ｆ番目の要素に相当する特徴量との差分に関する前記差分情報がｖｉ、ｆであり、前記差分情報ｖｉ、ｆに掛け合わせられる重みがｗｆであり、前記局所モデルが出力する前記潜在距離の推定値がｄｐｉである場合に、前記生成手段は、数式１で表される前記線形回帰モデルを生成し、
    　前記潜在距離に対して前記近傍データの第ｆ番目の要素に相当する特徴量が与える影響の大きさを表す前記要素貢献度がｃｉ、ｆである場合に、前記算出手段は、数式２を用いて、前記要素貢献度を算出する
    Figure JPOXMLDOC01-appb-M000001
    Figure JPOXMLDOC01-appb-M000002
    　請求項１から５のいずれか一項に記載の情報処理装置。
  7. 　前記特徴ベクトルデータが示す特徴量の各要素は、異なる複数の特徴グループの少なくとも一つに所属可能であり、
    　前記算出手段は、前記要素貢献度に基づいて、前記潜在距離に対して各特徴グループが与える影響の大きさを示すグループ貢献度を算出する
    　請求項１から６のいずれか一項に記載の情報処理装置。
  8. 　前記複数の特徴グループは、夫々、前記サンプルデータ群が含む複数のサンプル情報の種類に夫々対応しており、
    　前記近傍データが特徴量を示す前記サンプルデータ群に含まれる前記複数のサンプル情報の少なくとも一部と前記グループ貢献度と関連付けた表示態様で、前記サンプルデータ群を表示する表示手段を更に備える
    　請求項７に記載の情報処理装置。
  9. 　複数のサンプルデータ群の特徴量を表現空間内で夫々示す複数の特徴ベクトルデータを、前記表現空間とは異なる潜在空間内で前記複数のサンプルデータ群の特徴量を夫々示す複数の潜在ベクトルデータに変換することと、
    　前記複数の潜在ベクトルデータに基づいて、前記複数の特徴ベクトルデータから、前記潜在空間内において所望のクエリデータからの距離が他の特徴ベクトルデータと比較して短い少なくとも一つの特徴ベクトルデータを、近傍データとして抽出することと、
    　前記近傍データに基づいて、前記表現空間内での前記クエリデータと前記近傍データとの特徴量の要素毎の差分に関する差分情報が入力された場合に、前記潜在空間内での前記クエリデータと前記近傍データとの間の距離である潜在距離の推定値を出力する局所モデルを生成すること、
    　前記局所モデルと前記差分情報とに基づいて、前記潜在距離に対して前記近傍データの特徴量の各要素が与える影響の大きさを表す要素貢献度を算出することと
    　を含む情報処理方法。
  10. 　コンピュータに、
    　複数のサンプルデータ群の特徴量を表現空間内で夫々示す複数の特徴ベクトルデータを、前記表現空間とは異なる潜在空間内で前記複数のサンプルデータ群の特徴量を夫々示す複数の潜在ベクトルデータに変換することと、
    　前記複数の潜在ベクトルデータに基づいて、前記複数の特徴ベクトルデータから、前記潜在空間内において所望のクエリデータからの距離が他の特徴ベクトルデータと比較して短い少なくとも一つの特徴ベクトルデータを、近傍データとして抽出することと、
    　前記近傍データに基づいて、前記表現空間内での前記クエリデータと前記近傍データとの特徴量の要素毎の差分に関する差分情報が入力された場合に、前記潜在空間内での前記クエリデータと前記近傍データとの間の距離である潜在距離の推定値を出力する局所モデルを生成すること、
    　前記局所モデルと前記差分情報とに基づいて、前記潜在距離に対して前記近傍データの特徴量の各要素が与える影響の大きさを表す要素貢献度を算出することと
    　を含む情報処理方法を実行させるコンピュータプログラムが記録された記録媒体。
PCT/JP2020/036907 2020-09-29 2020-09-29 情報処理装置、情報処理方法、及び、記録媒体 WO2022070256A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2020/036907 WO2022070256A1 (ja) 2020-09-29 2020-09-29 情報処理装置、情報処理方法、及び、記録媒体
US18/022,618 US20240004878A1 (en) 2020-09-29 2020-09-29 Information processing apparatus, information processing method, and recording medium
JP2022553259A JP7420278B2 (ja) 2020-09-29 2020-09-29 情報処理装置、情報処理方法、及び、記録媒体

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/036907 WO2022070256A1 (ja) 2020-09-29 2020-09-29 情報処理装置、情報処理方法、及び、記録媒体

Publications (1)

Publication Number Publication Date
WO2022070256A1 true WO2022070256A1 (ja) 2022-04-07

Family

ID=80951528

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/036907 WO2022070256A1 (ja) 2020-09-29 2020-09-29 情報処理装置、情報処理方法、及び、記録媒体

Country Status (3)

Country Link
US (1) US20240004878A1 (ja)
JP (1) JP7420278B2 (ja)
WO (1) WO2022070256A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006190191A (ja) * 2005-01-07 2006-07-20 Sony Corp 情報処理装置および方法、並びにプログラム
US20160180196A1 (en) * 2014-12-22 2016-06-23 Canon Kabushiki Kaisha Object re-identification using self-dissimilarity

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006190191A (ja) * 2005-01-07 2006-07-20 Sony Corp 情報処理装置および方法、並びにプログラム
US20160180196A1 (en) * 2014-12-22 2016-06-23 Canon Kabushiki Kaisha Object re-identification using self-dissimilarity

Also Published As

Publication number Publication date
US20240004878A1 (en) 2024-01-04
JP7420278B2 (ja) 2024-01-23
JPWO2022070256A1 (ja) 2022-04-07

Similar Documents

Publication Publication Date Title
Talagala et al. Meta-learning how to forecast time series
Gurumoorthy et al. Efficient data representation by selecting prototypes with importance weights
Zhang et al. Attributed network embedding via subspace discovery
CN110245285B (zh) 一种基于异构信息网络的个性化推荐方法
CN111797321A (zh) 一种面向不同场景的个性化知识推荐方法及系统
US8595155B2 (en) Kernel regression system, method, and program
CN111063392B (zh) 基于神经网络的基因突变致病性检测方法、系统及介质
CN113377964B (zh) 知识图谱链接预测方法、装置、设备及存储介质
de Andrade Silva et al. An experimental study on the use of nearest neighbor-based imputation algorithms for classification tasks
Mao et al. Improved extreme learning machine and its application in image quality assessment
US11847389B2 (en) Device and method for optimizing an input parameter in a processing of a semiconductor
Liu et al. On empirical estimation of mode based on weakly dependent samples
Li et al. Data-driven ranking and selection: High-dimensional covariates and general dependence
WO2022070256A1 (ja) 情報処理装置、情報処理方法、及び、記録媒体
TW202001611A (zh) 多元流動網路之可靠度計算方法及其系統
CN113515519A (zh) 图结构估计模型的训练方法、装置、设备及存储介质
WO2022249518A1 (ja) 情報処理装置、情報処理方法、情報処理プログラム、及び学習モデル生成装置
Dessureault et al. Explainable global error weighted on feature importance: The xGEWFI metric to evaluate the error of data imputation and data augmentation
CN113010687B (zh) 一种习题标签预测方法、装置、存储介质以及计算机设备
US11388187B2 (en) Method of digital signal feature extraction comprising multiscale analysis
Lakshminarayan et al. Topological data analysis in digital marketing
Ma et al. A two-stage causality method for time series prediction based on feature selection and momentary conditional independence
CN113807749B (zh) 一种对象评分方法和装置
JP2018151913A (ja) 情報処理システム、情報処理方法、及びプログラム
Alberg An interval tree approach to predict forest fires using meteorological data

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20956186

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022553259

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20956186

Country of ref document: EP

Kind code of ref document: A1