WO2022254729A1 - 解析装置、解析方法、および、解析プログラム - Google Patents

解析装置、解析方法、および、解析プログラム Download PDF

Info

Publication number
WO2022254729A1
WO2022254729A1 PCT/JP2021/021459 JP2021021459W WO2022254729A1 WO 2022254729 A1 WO2022254729 A1 WO 2022254729A1 JP 2021021459 W JP2021021459 W JP 2021021459W WO 2022254729 A1 WO2022254729 A1 WO 2022254729A1
Authority
WO
WIPO (PCT)
Prior art keywords
host
graph
degree
association
predetermined
Prior art date
Application number
PCT/JP2021/021459
Other languages
English (en)
French (fr)
Inventor
翔介 大庭
和憲 神谷
博 胡
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2021/021459 priority Critical patent/WO2022254729A1/ja
Priority to JP2023525345A priority patent/JP7556466B2/ja
Publication of WO2022254729A1 publication Critical patent/WO2022254729A1/ja

Links

Images

Definitions

  • the present invention relates to an analysis device, an analysis method, and an analysis program for accurately extracting IP hosts highly related to the IP host of interest.
  • each IP host indicated in the NW flow information is set as a node, and a graph is created with communication between each IP host as an edge, and the relationship between the IP host of interest and each IP host is created.
  • NW network
  • the above techniques include score propagation (see Non-Patent Document 1) and graph embedding (see Non-Patent Document 2).
  • the conventional score propagation method results in an excessively high degree of relevance between IP hosts located in close proximity in the above graph.
  • the graph-embedding method has an excessively high degree of relevance between IP hosts located at long distances in the above graph.
  • an IP host highly related to the IP host for example, malicious IP host
  • an object of the present invention is to solve the above-mentioned problems and to accurately extract IP hosts that are highly related to the IP host of interest in a graph created from NW flow information.
  • the present invention provides a graph generation unit that generates a graph based on network communication information, with each IP host indicated in the communication information as a node, and with the communication between each IP host as an edge.
  • a first degree-of-relevance calculation unit that uses the generated graph to calculate the degree of relevance between a predetermined IP host on the graph and each IP host; and a predetermined IP host on the graph and each IP host.
  • a graph correction unit that corrects the graph by adding or deleting edges connecting IP hosts on the graph based on the degree of association with the predetermined IP using the corrected graph; It is characterized by comprising a second degree-of-relevance calculation unit that calculates degrees of relevance between a host and each IP host, and an output processing unit that outputs degrees of relevance between the predetermined IP host and each IP host.
  • FIG. 1 is a diagram for explaining an outline of the operation of the analysis device.
  • FIG. 2 is a diagram illustrating a configuration example of an analysis device.
  • FIG. 3 is a diagram for explaining a graph generation unit in FIG. 2;
  • FIG. 4 is a diagram for explaining the first degree-of-association calculator in FIG.
  • FIG. 5 is a diagram for explaining a graph correction unit in FIG. 2;
  • FIG. 6 is a diagram for explaining the second degree-of-association calculator in FIG.
  • FIG. 7 is a flowchart illustrating an example of a processing procedure of the analysis device;
  • FIG. 8 is a diagram showing an example of a computer that executes an analysis program.
  • the analysis device based on the NW flow information (communication information between each IP host in the network), the analysis device generates a graph with each IP host indicated in the NW flow information as a node and the communication between each IP host as an edge. . Then, the analysis device stores the nodes of the malicious IP hosts on the generated graph. The analysis device then uses the generated graph to calculate the degree of association between the malicious IP host in the graph and each of the other IP hosts.
  • the analysis device corrects the edges of the graph based on the degree of association between the malicious IP host and each other IP host. For example, if the graph does not include an edge from a malicious IP host to an IP host whose degree of association with the malicious IP host is equal to or greater than a predetermined value, the analysis device adds an edge from the malicious IP host to the IP host. . For example, as shown in FIG. 1, if there is no edge to IP hosts A and B whose degree of association with the malicious IP host is equal to or greater than a predetermined value, the analysis device detects the edge from the malicious IP host to IP hosts A and B. Add
  • the analysis device uses the graph corrected as described above to calculate the degree of association between the malicious IP host and each other IP host. By doing so, the analysis device can accurately extract IP hosts highly related to malicious IP hosts in the graph created from the NW flow information.
  • the analysis device calculates the degree of association between the malicious IP host and each other IP host using the edge-corrected graph of the original graph in FIG.
  • An IP host whose degree of association is not high for example, IP host C adjacent to IP hosts A and B
  • IP host C adjacent to IP hosts A and B can also be extracted as an IP host with a high degree of association.
  • the analysis device 10 includes an input section 11 , a control section 12 and an output section 13 .
  • the input unit 11 accepts input of various information used by the analysis device 10 .
  • the input unit 11 receives inputs such as NW flow information and the IP address of an IP host of interest (for example, a malicious IP host).
  • the control unit 12 controls the analysis device 10 as a whole.
  • the control unit 12 includes, for example, a graph generator 121 , a first degree-of-relevance calculator 122 , a graph corrector 123 , a second degree-of-relevance calculator 124 , and an output processor 125 .
  • the graph generation unit 121 Based on the NW flow information, the graph generation unit 121 generates a graph with IP hosts as nodes and communication between IP hosts as edges. In addition, the graph generator 121 stores the node of the IP host of interest (for example, the malicious IP host) on the generated graph (see FIG. 3).
  • the first degree-of-relevance calculation unit 122 uses the graph generated by the graph generation unit 121 to calculate the degree of relevance between the IP host of interest and each other IP host.
  • the first relevance calculator 122 uses the graph to calculate the relevance between the malicious IP host and each other IP host by DeepWalk (see Non-Patent Document 2) (see FIG. 4).
  • the graph correction unit 123 corrects the graph generated by the graph generation unit 121 based on the degree of association between the IP host of interest and each other IP host calculated by the first degree of association calculation unit 122. .
  • the graph correction unit 123 Add an edge from a host to an IP host whose relevance is greater than or equal to a given value.
  • the graph correcting unit 123 determines that if there is no edge from the malicious IP host for IP hosts A and B whose degrees of association with the malicious IP host are equal to or greater than a predetermined value, Add edges to IP hosts A and B.
  • the graph correction unit 123 deletes the edge if the graph generated by the graph generation unit 121 includes an edge from the IP host of interest to the IP host whose degree of association is less than a predetermined value.
  • the second degree-of-relevance calculation unit 124 uses the graph corrected by the graph correction unit 123 to calculate the degree of relevance between the IP host of interest and each other IP host. For example, as shown in FIG. 6, the second degree-of-relevance calculation unit 124 uses the corrected graph to determine the relationship between the malicious IP host and each other IP host by Personalized PageRank (see Non-Patent Document 1). Calculate degrees.
  • the first relevance calculation unit 122 uses DeepWalk (see Non-Patent Document 2) to calculate the relevance between the IP host of interest and each other IP host, and the second relevance calculation unit 124 decided to use Personalized PageRank (see Non-Patent Document 1) for the following reasons.
  • the degree of association between IP hosts on the graph calculated by DeepWalk tends to be relatively high, even between IP hosts located far away on the graph.
  • the degree of relevance between IP hosts on the graph calculated by Personalized PageRank tends to be higher between IP hosts placed in close proximity on the graph.
  • the graph correction unit 123 uses the relevance calculation result to correct the graph (edge ), and the second relevance calculation unit 124 uses Personalized PageRank to calculate the relevance between IP hosts on the corrected graph, so that the analysis device 10 can focus on the graph It is possible to calculate the degree of relevance to the target IP host by considering both distant IP hosts and short-range IP hosts from the target IP host.
  • the calculation algorithm used by the first relevance calculator 122 and the second relevance calculator 124 to calculate the relevance between IP hosts on the graph can be set by the user of the analysis device 10. do. Also, in the above example, the case where the calculation algorithms used by the first degree-of-association calculation unit 122 and the second degree-of-association calculation unit 124 are different from each other has been described, but they may be the same.
  • the output processing unit 125 outputs the degrees of relevance between the IP host of interest and other IP hosts calculated by the second degree of relevance calculation unit 124 . Based on the degree of association with the IP host of interest calculated by the second degree-of-association calculation unit 124, the output processing unit 125 determines whether the IP host of interest has a degree of association greater than or equal to a predetermined value. identification information may be output.
  • the output unit 13 outputs the information output by the control unit 12. For example, the output unit 13 outputs the degree of association between the IP host of interest and each other IP host, which is output by the output processing unit 125 .
  • the analysis device 10 creates a graph with each IP host indicated in the NW flow information as a node and communication between each IP host as an edge, and the relationship between the IP host of interest and each IP host. Calculate degrees. The analysis device 10 then corrects the edges of the graph using the calculated degrees of association. In other words, the analysis device 10 detects that there is an IP host that is not directly connected to the IP host of interest on the graph even though the degree of association with the IP host of interest is equal to or greater than a predetermined value. add an edge to that IP host. In addition, even though the degree of association with the IP host of interest is less than a predetermined value, the analysis device 10 detects any IP host that is directly connected to the IP host of interest on the graph by an edge. If so, remove the edge with that IP host.
  • the analysis device 10 obtains the following effects by recalculating the degree of association between the IP host of interest and each other IP host using the graph whose edges have been corrected as described above. be done. For example, as shown in FIG. 1, in the graph before correction, IP host A, which has a high degree of relevance to the target IP host (malicious IP host) but is not directly connected to the malicious IP host by an edge, B, and IP hosts A and B are connected to IP host C via an edge.
  • the analysis device 10 calculates the degree of association between the malicious IP host and IP host C using the graph before correction, the degree of association with the malicious IP host may not be so high.
  • the analysis device 10 recalculates the degree of association between the malicious IP host and each of the other IP hosts using the graph corrected to connect the malicious IP host and IP hosts A and B at the edges. By doing so, it is possible to accurately calculate the degree of association between a malicious IP host and each other IP host.
  • the analysis device 10 can also extract IP host C, which is adjacent to IP hosts A and B in FIG. 1, as an IP host highly related to the malicious IP host.
  • Example of processing procedure Next, an example of the processing procedure of the analysis device 10 will be described with reference to FIG. Here, a case where the analysis device 10 uses NW flow information to calculate the degree of association between a malicious IP host and each IP host will be described as an example.
  • the graph generation unit 121 of the analysis device 10 Based on the NW flow information, the graph generation unit 121 of the analysis device 10 generates a graph with each IP host indicated in the NW flow information as a node and communication between each IP host as an edge (S1). .
  • the graph generation unit 121 also stores nodes corresponding to malicious IP hosts on the generated graph.
  • the first degree-of-association calculator 122 uses the graph generated in S1 to calculate the degrees of association between the malicious IP host and each of the other IP hosts (S2).
  • the graph correction unit 123 corrects the graph generated in S1 using the degree of association calculated in S2 (S3). For example, if the graph generated in S1 does not include an edge from a malicious IP host to an IP host with a degree of association greater than or equal to a predetermined value, the graph correction unit 123 adds an edge from the malicious IP host to the relevant IP host. do. Further, if there is an edge from a malicious IP host to an IP host whose degree of association is less than a predetermined value on the graph generated in S1, the graph correction unit 123 deletes the edge.
  • the second relevance calculator 124 uses the graph corrected in S3 to calculate the relevance between the malicious IP host and each IP host (S4). Then, the output processing unit 125 outputs the degree of association between the malicious IP host calculated in S4 and each other IP host (S5).
  • the analysis device 10 can accurately calculate the degree of association between a malicious IP host and each IP host.
  • the graph correction unit 123 of the analysis device 10 adjusts the graph based on the degree of association between the IP host of interest and each of the other IP hosts, which is calculated by the first degree-of-association calculation unit 122.
  • the edges of the graph generated by the generation unit 121 are added and deleted, only edges may be added or only edges deleted.
  • each constituent element of each part shown in the figure is functionally conceptual, and does not necessarily need to be physically configured as shown in the figure.
  • the specific form of distribution and integration of each device is not limited to the illustrated one, and all or part of them can be functionally or physically distributed and integrated in arbitrary units according to various loads and usage conditions. Can be integrated and configured.
  • all or any part of each processing function performed by each device can be implemented by a CPU and a program executed by the CPU, or implemented as hardware based on wired logic.
  • the analysis apparatus 10 described above can be implemented by installing a program as package software or online software on a desired computer.
  • the information processing device can function as the analysis device 10 by causing the information processing device to execute the above program.
  • the information processing apparatus referred to here includes a desktop or notebook personal computer.
  • information processing devices include mobile communication terminals such as smartphones, mobile phones and PHSs (Personal Handyphone Systems), and terminals such as PDAs (Personal Digital Assistants).
  • the analysis device 10 can also be implemented as a server device that uses a terminal device used by a user as a client and provides the client with services related to the above processing.
  • the server device may be implemented as a web server, or may be implemented as a cloud that provides services related to the above processing by outsourcing.
  • FIG. 8 is a diagram showing an example of a computer that executes an analysis program.
  • the computer 1000 has a memory 1010 and a CPU 1020, for example.
  • Computer 1000 also has hard disk drive interface 1030 , disk drive interface 1040 , serial port interface 1050 , video adapter 1060 and network interface 1070 . These units are connected by a bus 1080 .
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM (Random Access Memory) 1012 .
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • Hard disk drive interface 1030 is connected to hard disk drive 1090 .
  • a disk drive interface 1040 is connected to the disk drive 1100 .
  • a removable storage medium such as a magnetic disk or optical disk is inserted into the disk drive 1100 .
  • Serial port interface 1050 is connected to mouse 1110 and keyboard 1120, for example.
  • Video adapter 1060 is connected to display 1130, for example.
  • the hard disk drive 1090 stores, for example, an OS 1091, application programs 1092, program modules 1093, and program data 1094. That is, the program that defines each process executed by the analysis apparatus 10 is implemented as a program module 1093 in which computer-executable code is described. Program modules 1093 are stored, for example, on hard disk drive 1090 .
  • the hard disk drive 1090 stores a program module 1093 for executing processing similar to the functional configuration of the analysis device 10 .
  • the hard disk drive 1090 may be replaced by an SSD (Solid State Drive).
  • the data used in the processes of the above-described embodiments are stored as program data 1094 in the memory 1010 or the hard disk drive 1090, for example. Then, the CPU 1020 reads out the program modules 1093 and program data 1094 stored in the memory 1010 and the hard disk drive 1090 to the RAM 1012 as necessary and executes them.
  • the program modules 1093 and program data 1094 are not limited to being stored in the hard disk drive 1090, but may be stored in a removable storage medium, for example, and read by the CPU 1020 via the disk drive 1100 or the like. Alternatively, the program modules 1093 and program data 1094 may be stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.). Program modules 1093 and program data 1094 may then be read by CPU 1020 through network interface 1070 from other computers.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

解析装置は、NWフロー情報に基づき、NWフロー情報に示される各IPホストをノードとし、各IPホスト間の通信をエッジとしたグラフを生成する。そして、解析装置は、生成したグラフを用いて、着目しているIPホストと各IPホストとの関連度を計算する。次に、解析装置は、グラフに、着目しているIPホストから関連度が所定値以上のIPホストへのエッジが存在しない場合、エッジを追加し、着目しているIPホストから関連度が所定値未満のIPホストへのエッジが存在する場合、エッジを削除することで、当該グラフを補正する。その後、解析装置は、補正されたグラフを用いて、着目しているIPホストと各IPホストとの関連度を計算し、その計算結果を出力する。

Description

解析装置、解析方法、および、解析プログラム
　本発明は、着目しているIPホストとの関連度の高いIPホストを精度よく抽出するための、解析装置、解析方法、および、解析プログラムに関する。
　従来、NW（ネットワーク）フロー情報から、NWフロー情報に示される各IPホストをノードとし、各IPホスト間の通信をエッジとしたグラフを作成し、着目しているIPホストと各IPホストとの関連度を計算する技術がある。例えば、上記の技術として、スコア伝搬（非特許文献１参照）、グラフ埋め込み（非特許文献２参照）がある。
Glen　Jeh　and　Jennifer　Widom,　"Scaling　Personalized　Web　Search",　2003. Bryan　Perozzi,　Rami　Al-Rfou,　and　Steven　Skiena,　"DeepWalk:　Online　Learning　of　Social　Representations",　2014.
　ここで、従来のスコア伝搬による方法は、上記のグラフにおいて近距離に配置されるIPホスト間の関連度が過剰に高くなる。また、グラフ埋め込みによる方法は、上記のグラフにおいて遠距離に配置されるIPホスト間の関連度が過剰に高くなる。その結果、上記のグラフにおいて着目しているIPホスト（例えば、悪性のIPホスト）との関連度の高いIPホストを精度よく抽出できないという問題がある。
　そこで、本発明は、前記した問題を解決し、NWフロー情報から作成したグラフにおいて着目しているIPホストとの関連度の高いIPホストを精度よく抽出することを課題とする。
　前記した課題を解決するため、本発明は、ネットワークの通信情報に基づき、前記通信情報に示される各IPホストをノードとし、前記各IPホスト間の通信をエッジとしたグラフを生成するグラフ生成部と、生成した前記グラフを用いて、前記グラフ上の所定のIPホストと各IPホストとの関連度を計算する第１の関連度計算部と、前記グラフ上の所定のIPホストと各IPホストとの関連度に基づき、前記グラフ上の各IPホスト間を接続するエッジを追加または削除することにより、前記グラフを補正するグラフ補正部と、補正された前記グラフを用いて、前記所定のIPホストと各IPホストとの関連度を計算する第２の関連度計算部と、前記所定のIPホストと各IPホストとの関連度を出力する出力処理部と、を備えることを特徴とする。
　本発明によれば、NWフロー情報から作成したグラフにおいて、着目しているIPホストとの関連度の高いIPホストを精度よく抽出することができる。
図１は、解析装置の動作概要を説明するための図である。 図２は、解析装置の構成例を示す図である。 図３は、図２のグラフ生成部を説明するための図である。 図４は、図２の第１の関連度計算部を説明するための図である。 図５は、図２のグラフ補正部を説明するための図である。 図６は、図２の第２の関連度計算部を説明するための図である。 図７は、解析装置の処理手順の例を示すフローチャートである。 図８は、解析プログラムを実行するコンピュータの例を示す図である。
　以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。本発明は以下に説明する実施形態に限定されない。
［動作概要］
　まず、図１を用いて本実施形態の解析装置の動作概要を説明する。ここでは解析装置が、悪性IPホストと関連度の高いIPホストを抽出する場合を例に説明する。
　まず、解析装置は、NWフロー情報（ネットワークの各IPホスト間の通信情報）に基づき、NWフロー情報に示される各IPホストをノードとし、各IPホスト間の通信をエッジとしたグラフを生成する。そして、解析装置は、生成したグラフ上における悪性IPホストのノードを記憶する。そして、解析装置は、生成したグラフを用いて、グラフ内の悪性IPホストと他の各IPホストとの関連度を計算する。
　次に、解析装置は、悪性IPホストと他の各IPホストとの関連度に基づき、グラフのエッジを補正する。例えば、解析装置は、グラフに、悪性IPホストから、当該悪性IPホストとの関連度が所定値以上のIPホストへのエッジが存在しない場合、悪性IPホストから当該IPホストへのエッジを追加する。例えば、図１に示すように、悪性IPホストとの関連度が所定値以上のIPホストＡ，Ｂへのエッジが存在しない場合、解析装置は、悪性IPホストからIPホストＡ，Ｂへのエッジを追加する。
　そして、解析装置は、上記のようにして補正したグラフを用いて、悪性IPホストと他の各IPホストとの関連度を計算する。このようにすることで解析装置は、NWフロー情報から作成したグラフにおいて悪性IPホストとの関連度の高いIPホストを精度よく抽出することができる。
　例えば、解析装置は、図１の元のグラフのエッジを補正したグラフを用いて、悪性IPホストと他の各IPホストとの関連度を計算することで、元のグラフにおいて悪性IPホストとの関連度が高くなかったIPホスト（例えば、IPホストＡ，Ｂに隣接するIPホストＣ）についても、関連度の高いIPホストとして抽出することができる。
[構成例]
　次に、図２を用いて、解析装置の構成例を説明する。解析装置１０は、入力部１１と、制御部１２と、出力部１３とを備える。
　入力部１１は、解析装置１０が用いる各種情報の入力を受け付ける。例えば、入力部１１はNWフロー情報、着目しているIPホスト（例えば、悪性IPホスト）のIPアドレス等の入力を受け付ける。
　制御部１２は、解析装置１０全体の制御を司る。制御部１２は、例えば、グラフ生成部１２１と、第１の関連度計算部１２２と、グラフ補正部１２３と、第２の関連度計算部１２４と、出力処理部１２５とを備える。
　グラフ生成部１２１は、NWフロー情報に基づき、IPホストをノードとし、IPホスト間の通信をエッジとしたグラフを生成する。また、グラフ生成部１２１は、生成したグラフ上における、着目しているIPホスト（例えば、悪性IPホスト）のノードを記憶しておく（図３参照）。
　第１の関連度計算部１２２は、グラフ生成部１２１により生成されたグラフを用いて、着目しているIPホストと他の各IPホストとの関連度を計算する。例えば、第１の関連度計算部１２２は、当該グラフを用いて、DeepWalk（非特許文献２参照）により、悪性IPホストと他の各IPホストとの関連度を計算する（図４参照）。
　グラフ補正部１２３は、第１の関連度計算部１２２により計算された、着目しているIPホストと他の各IPホストとの関連度に基づき、グラフ生成部１２１により生成されたグラフを補正する。
　例えば、グラフ補正部１２３は、グラフ生成部１２１により生成されたグラフに、着目しているIPホストから、関連度が所定値以上のIPホストへのエッジが存在しない場合、当該着目しているIPホストから関連度が所定値以上のIPホストへのエッジを追加する。
　例えば、図５に示すように、グラフ補正部１２３は、悪性IPホストとの関連度が所定値以上のIPホストＡ，Ｂについて、悪性IPホストからのエッジが存在しない場合、悪性IPホストから、IPホストＡ，Ｂへのエッジを追加する。
　また、グラフ補正部１２３は、グラフ生成部１２１により生成されたグラフに、着目しているIPホストから関連度が所定値未満のIPホストへのエッジが存在する場合、当該エッジを削除する。
　第２の関連度計算部１２４は、グラフ補正部１２３により補正されたグラフを用いて、着目しているIPホストと他の各IPホストとの関連度を計算する。例えば、第２の関連度計算部１２４は、図６に示すように、補正されたグラフを用いて、Personalized　PageRank（非特許文献１参照）により、悪性IPホストと他の各IPホストとの関連度を計算する。
　なお、着目しているIPホストとの他各IPホストとの関連度の計算に、第１の関連度計算部１２２は、DeepWalk（非特許文献２参照）を用い、第２の関連度計算部１２４は、Personalized　PageRank（非特許文献１参照）を用いることにしたのは、以下の理由による。
　すなわち、DeepWalkにより計算されるグラフ上のIPホスト間の関連度は、グラフ上で遠距離に配置されるIPホスト間でも、比較的高くなる傾向がある。また、Personalized　PageRankにより計算されるグラフ上のIPホスト間の関連度は、グラフ上で近距離に配置されるIPホスト間で、より高くなる傾向がある。
　したがって、第１の関連度計算部１２２が、DeepWalkを用いて、グラフ上のIPホスト間の関連度を計算した後、グラフ補正部１２３が、関連度の計算結果を用いてグラフの補正（エッジの追加、削除）を行い、第２の関連度計算部１２４が、補正されたグラフ上のIPホスト間の関連度の計算に、Personalized　PageRankを用いることで、解析装置１０は、グラフ上において着目しているIPホストから遠距離のIPホストおよび近距離のIPホストの両方を考慮した上で、着目しているIPホストとの関連度を計算することができる。
　なお、第１の関連度計算部１２２および第２の関連度計算部１２４が、グラフ上のIPホスト間の関連度の計算に用いる計算アルゴリズムは、解析装置１０のユーザにより設定可能であるものとする。また、前記した例では、第１の関連度計算部１２２および第２の関連度計算部１２４が用いる計算アルゴリズムはそれぞれ異なる場合について説明したが、それぞれ同じものでもよい。
　出力処理部１２５は、第２の関連度計算部１２４により計算された、着目しているIPホストと他の各IPホストとの関連度を出力する。なお、出力処理部１２５は、第２の関連度計算部１２４により計算された、着目しているIPホストとの関連度に基づき、着目しているIPホストと関連度が所定値以上のIPホストの識別情報を出力してもよい。
　出力部１３は、制御部１２により出力された情報を出力する。例えば、出力部１３は、出力処理部１２５により出力された、着目しているIPホストと他の各IPホストとの関連度を出力する。
　上記のとおり、解析装置１０は、NWフロー情報に示される各IPホストをノードとし、各IPホスト間の通信をエッジとしたグラフを作成し、着目しているIPホストと各IPホストとの関連度を計算する。そして、解析装置１０は、計算された関連度を用いて、グラフのエッジを補正する。つまり、解析装置１０は、着目しているIPホストとの関連度が所定値以上であるにもかかわらず、グラフ上で、着目しているIPホストとエッジで直接接続されていないIPホストがあれば、そのIPホストへのエッジを追加する。また、解析装置１０は、着目しているIPホストとの関連度が所定値未満であるにもかかわらず、グラフ上で、着目しているIPホストとエッジで直接接続されているIPホストがあれば、そのIPホストとのエッジを削除する。
　解析装置１０は、上記のようにしてエッジが補正されたグラフを用いて、着目しているIPホストと他の各IPホストとの関連度を再計算することで、以下のような効果が得られる。例えば、図１に示すように、補正前のグラフにおいて、着目しているIPホスト（悪性IPホスト）との関連度は高いが、その悪性IPホストと直接エッジで接続されていないIPホストＡ，Ｂがあり、また、そのIPホストＡ，ＢにはIPホストＣがエッジで接続される場合を考える。
　この場合、解析装置１０が、補正前のグラフを用いて、悪性IPホストとIPホストＣとの関連度を計算すると、悪性IPホストとの関連度はそれほど高くならない可能性がある。しかし、解析装置１０が上記のように、悪性IPホストとIPホストＡ，Ｂとをエッジで接続するよう補正したグラフを用いて、悪性IPホストと他の各IPホストとの関連度を再計算することにより、悪性IPホストと他の各IPホストとの関連度を精度よく計算することができる。その結果、例えば、解析装置１０は、図１のIPホストＡ，Ｂに隣接するIPホストＣについても悪性IPホストとの関連度の高いIPホストとして抽出することができる。
［処理手順の例］
　次に、図７を用いて、解析装置１０の処理手順の例を説明する。ここでは、解析装置１０が、NWフロー情報を用いて、悪性IPホストと各IPホストとの関連度を計算する場合を例に説明する。
　まず、解析装置１０のグラフ生成部１２１は、NWフロー情報の情報に基づき、NWフロー情報に示される各IPホストをノードとし、各IPホスト間の通信をエッジとしたグラフを生成する（Ｓ１）。また、グラフ生成部１２１は、生成したグラフ上の悪性IPホストに対応するノードを記憶しておく。次に、第１の関連度計算部１２２は、Ｓ１で生成されたグラフを用いて、悪性IPホストと他の各IPホストとの関連度を計算する（Ｓ２）。
　Ｓ２の後、グラフ補正部１２３は、Ｓ２で計算された関連度を用いて、Ｓ１で生成されたグラフを補正する（Ｓ３）。例えば、グラフ補正部１２３は、Ｓ１で生成されたグラフ上に、悪性IPホストから関連度が所定値以上のIPホストへのエッジが存在しない場合、悪性IPホストから当該IPホストへのエッジを追加する。また、グラフ補正部１２３は、Ｓ１で生成されたグラフ上に、悪性IPホストから関連度が所定値未満のIPホストへのエッジが存在する場合、当該エッジを削除する。
　Ｓ３の後、第２の関連度計算部１２４は、Ｓ３で補正されたグラフを用いて、悪性IPホストと各IPホストとの関連度を計算する（Ｓ４）。そして、出力処理部１２５は、Ｓ４で計算された悪性IPホストと他の各IPホストとの関連度を出力する（Ｓ５）。
　このようにすることで解析装置１０は、悪性IPホストと各IPホストとの関連度を精度よく計算することができる。
　なお、前記した実施形態において解析装置１０のグラフ補正部１２３は、第１の関連度計算部１２２により計算された、着目しているIPホストと他の各IPホストとの関連度に基づき、グラフ生成部１２１により生成されたグラフのエッジの追加および削除を行うこととしたが、エッジの追加のみ、あるいはエッジの削除のみを行ってもよい。
［システム構成等］
　また、図示した各部の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、前記した実施形態において説明した処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　前記した解析装置１０は、パッケージソフトウェアやオンラインソフトウェアとしてプログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記のプログラムを情報処理装置に実行させることにより情報処理装置を解析装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やPHS（Personal　Handyphone　System）等の移動体通信端末、さらには、PDA（Personal　Digital　Assistant）等の端末等がその範疇に含まれる。
　また、解析装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の処理に関するサービスを提供するサーバ装置として実装することもできる。この場合、サーバ装置は、Webサーバとして実装することとしてもよいし、アウトソーシングによって上記の処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。
　図８は、解析プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ROM（Read　Only　Memory）１０１１及びRAM（Random　Access　Memory）１０１２を含む。ROM１０１１は、例えば、BIOS（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、OS１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の解析装置１０が実行する各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、解析装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、SSD（Solid　State　Drive）により代替されてもよい。
　また、上述した実施形態の処理で用いられるデータは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてRAM１０１２に読み出して実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（LAN（Local　Area　Network）、WAN（Wide　Area　Network）等）を介して接続される他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
１０　解析装置
１１　入力部
１２　制御部
１３　出力部
１２１　グラフ生成部
１２２　第１の関連度計算部
１２３　グラフ補正部
１２４　第２の関連度計算部
１２５　出力処理部

Claims (8)

  1. 　ネットワークの通信情報に基づき、前記通信情報に示される各IPホストをノードとし、前記各IPホスト間の通信をエッジとしたグラフを生成するグラフ生成部と、
    　生成した前記グラフを用いて、前記グラフ上の所定のIPホストと各IPホストとの関連度を計算する第１の関連度計算部と、
    　前記グラフ上の所定のIPホストと各IPホストとの関連度に基づき、前記グラフ上の各IPホスト間を接続するエッジを追加または削除することにより、前記グラフを補正するグラフ補正部と、
    　補正された前記グラフを用いて、前記所定のIPホストと各IPホストとの関連度を計算する第２の関連度計算部と
    　前記所定のIPホストと各IPホストとの関連度を出力する出力処理部と、
    　を備えることを特徴とする解析装置。
  2. 　前記グラフ補正部は、
    　前記グラフに、前記所定のIPホストから前記関連度が所定値以上のIPホストへのエッジが存在しない場合、前記所定のIPホストから前記関連度が所定値以上のIPホストへのエッジを追加することにより、前記グラフを補正する
    　ことを特徴とする請求項１に記載の解析装置。
  3. 　前記グラフ補正部は、
    　前記グラフに、前記所定のIPホストから前記関連度が所定値未満のIPホストへのエッジが存在する場合、前記エッジを削除することにより、前記グラフを補正する
    　ことを特徴とする請求項１に記載の解析装置。
  4. 　前記第１の関連度計算部および前記第２の関連度計算部は、
    　それぞれ事前に設定された計算アルゴリズムにより、前記関連度を計算する
    　ことを特徴とする請求項１に記載の解析装置。
  5. 　前記第１の関連度計算部は、
    　Deep　Walkにより、前記グラフを用いて、前記所定のIPホストと各IPホストとの関連度を計算し、
    　前記第２の関連度計算部は、
    　Personalized　PageRankにより、補正された前記グラフを用いて、前記所定のIPホストと各IPホストとの関連度を計算する
    　ことを特徴とする請求項１に記載の解析装置。
  6. 　前記所定のIPホストは、
    　予め指定された悪性のIPホストである
    　ことを特徴とする請求項１に記載の解析装置。
  7. 　解析装置により実行される解析方法であって、
    　ネットワークの通信情報に基づき、前記通信情報に示される各IPホストをノードとし、前記各IPホスト間の通信をエッジとしたグラフを生成する工程と、
    　生成した前記グラフを用いて、前記グラフ上の所定のIPホストと各IPホストとの関連度を計算する工程と、
    　前記グラフ上の所定のIPホストと各IPホストとの関連度に基づき、前記グラフ上の各IPホスト間を接続するエッジを追加または削除することにより、前記グラフを補正する工程と、
    　補正された前記グラフを用いて、前記所定のIPホストと各IPホストとの関連度を計算する工程と
    　前記所定のIPホストと各IPホストとの関連度を出力する工程と、
    　を含むことを特徴とする解析方法。
  8. 　ネットワークの通信情報に基づき、前記通信情報に示される各IPホストをノードとし、前記各IPホスト間の通信をエッジとしたグラフを生成する工程と、
    　生成した前記グラフを用いて、前記グラフ上の所定のIPホストと各IPホストとの関連度を計算する工程と、
    　生成した前記グラフを用いて、前記グラフ上の所定のIPホストと各IPホストとの関連度を計算する工程と、
    　前記グラフ上の所定のIPホストと各IPホストとの関連度に基づき、前記グラフ上の各IPホスト間を接続するエッジを追加または削除することにより、前記グラフを補正する工程と、
    　補正された前記グラフを用いて、前記所定のIPホストと各IPホストとの関連度を計算する工程と
    　前記所定のIPホストと各IPホストとの関連度を出力する工程と、
    　をコンピュータに実行させるための解析プログラム。
PCT/JP2021/021459 2021-06-04 2021-06-04 解析装置、解析方法、および、解析プログラム WO2022254729A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/JP2021/021459 WO2022254729A1 (ja) 2021-06-04 2021-06-04 解析装置、解析方法、および、解析プログラム
JP2023525345A JP7556466B2 (ja) 2021-06-04 2021-06-04 解析装置、解析方法、および、解析プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/021459 WO2022254729A1 (ja) 2021-06-04 2021-06-04 解析装置、解析方法、および、解析プログラム

Publications (1)

Publication Number Publication Date
WO2022254729A1 true WO2022254729A1 (ja) 2022-12-08

Family

ID=84322945

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/021459 WO2022254729A1 (ja) 2021-06-04 2021-06-04 解析装置、解析方法、および、解析プログラム

Country Status (2)

Country Link
JP (1) JP7556466B2 (ja)
WO (1) WO2022254729A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014146280A (ja) * 2013-01-30 2014-08-14 Nippon Telegr & Teleph Corp <Ntt> 関連度計算装置、関連度計算システム、関連度計算方法および関連度計算プログラム
WO2019168072A1 (ja) * 2018-02-27 2019-09-06 日本電信電話株式会社 トラフィック異常検知装置、トラフィック異常検知方法、及びトラフィック異常検知プログラム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3681124B8 (en) 2019-01-09 2022-02-16 British Telecommunications public limited company Anomalous network node behaviour identification using deterministic path walking
CN112311608B (zh) 2020-11-25 2022-09-23 中国人民解放军66136部队 一种多层异质网络空间节点表征方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014146280A (ja) * 2013-01-30 2014-08-14 Nippon Telegr & Teleph Corp <Ntt> 関連度計算装置、関連度計算システム、関連度計算方法および関連度計算プログラム
WO2019168072A1 (ja) * 2018-02-27 2019-09-06 日本電信電話株式会社 トラフィック異常検知装置、トラフィック異常検知方法、及びトラフィック異常検知プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
UNO, TAKEAKI ET AL.: "Clustering by Clique Enumeration and Data Cleaning like Method", IPSJ TECHNICAL REPORT, vol. 2014-AL-146, no. 2, 23 January 2014 (2014-01-23), pages 1 - 8, XP009541725 *

Also Published As

Publication number Publication date
JPWO2022254729A1 (ja) 2022-12-08
JP7556466B2 (ja) 2024-09-26

Similar Documents

Publication Publication Date Title
US11836576B2 (en) Distributed machine learning at edge nodes
WO2017061270A1 (ja) 脆弱性発見装置、脆弱性発見方法、および、脆弱性発見プログラム
JP2019003596A (ja) 静的分析の要素を用いた悪質なファイルを検出するためのシステム及び方法
JP2013535716A (ja) 仮想マシン間で分析の結果を共有するためのシステムおよび方法
CN105894028B (zh) 用户识别方法和装置
JP2021096858A (ja) ベクトル量子化を利用した重複文書探知方法およびシステム
CN112508200B (zh) 处理机器学习模型文件的方法、装置、设备、介质和程序
WO2020166311A1 (ja) 作成装置、作成システム、作成方法および作成プログラム
CN111435367A (zh) 知识图谱的构建方法、系统、设备及存储介质
CN112470172B (zh) 使用随机序列嵌入的符号序列分析的计算效率
WO2022254729A1 (ja) 解析装置、解析方法、および、解析プログラム
WO2022059107A1 (ja) 検知装置、検知方法及び検知プログラム
CN113590447B (zh) 埋点处理方法和装置
US20240291828A1 (en) Searching device, search range determination method, and search range determination program
CN113282489B (zh) 一种接口测试方法和装置
JP6507940B2 (ja) ソフトウェア開発支援プログラム、ソフトウェア開発支援装置、及びソフトウェア開発支援方法
CN114201568A (zh) 信息处理方法、生成方法、装置、电子设备以及存储介质
CN114398678A (zh) 电子文件防篡改的登记验证方法、装置、电子设备及介质
CN114579419A (zh) 一种数据处理方法及装置、存储介质
WO2022239235A1 (ja) 特徴量算出装置、特徴量算出方法および特徴量算出プログラム
WO2024176415A1 (ja) 探索装置、探索方法及び探索プログラム
CN111783131A (zh) 数据保护方法、计算机设备及计算机可读存储介质
US11132517B2 (en) User interface for natural language translation using user provided attributes
WO2023238259A1 (ja) 修正装置、修正方法及び修正プログラム
US12067152B2 (en) Verification device, verification system, verification method, and verification program

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 2023525345

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 18566076

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21944222

Country of ref document: EP

Kind code of ref document: A1