WO2022264420A1 - セキュリティ監視装置、セキュリティ監視方法、及び、セキュリティ監視プログラム - Google Patents

セキュリティ監視装置、セキュリティ監視方法、及び、セキュリティ監視プログラム Download PDF

Info

Publication number
WO2022264420A1
WO2022264420A1 PCT/JP2021/023249 JP2021023249W WO2022264420A1 WO 2022264420 A1 WO2022264420 A1 WO 2022264420A1 JP 2021023249 W JP2021023249 W JP 2021023249W WO 2022264420 A1 WO2022264420 A1 WO 2022264420A1
Authority
WO
WIPO (PCT)
Prior art keywords
category
content
security monitoring
communication
estimated
Prior art date
Application number
PCT/JP2021/023249
Other languages
English (en)
French (fr)
Inventor
亜衣子 岩崎
匠 山本
創 小林
清人 河内
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to CN202180099236.3A priority Critical patent/CN117461033A/zh
Priority to JP2023526132A priority patent/JP7357825B2/ja
Priority to PCT/JP2021/023249 priority patent/WO2022264420A1/ja
Publication of WO2022264420A1 publication Critical patent/WO2022264420A1/ja
Priority to US18/384,926 priority patent/US20240080330A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/16—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using machine learning or artificial intelligence
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present disclosure relates to a security monitoring device, a security monitoring method, and a security monitoring program.
  • Patent Document 1 classifies URLs (Uniform Resource Locator) at a coarse granularity such as domain or category level, determines an abnormality related to communication using a rule according to the classification result, and outputs the determination result and information about the cause of the abnormality. and is disclosed to the administrator.
  • URLs Uniform Resource Locator
  • Patent Literature 1 does not automatically detect changes in the content category owned by the communication destination from the past. Also, there is a problem that the system administrator needs to check whether or not the category of contents owned by the destination has changed from the past.
  • the purpose of this disclosure is to automatically detect changes from the past in the categories of content possessed by communication destinations, and to present the results of detection to system operators and others.
  • a security monitoring device includes: A content category, which is a learning model for estimating a content category indicated by the content data, using content data indicating a first estimated category, which is a result of estimating a content category possessed by a target device provided in a monitored system. a content category estimation unit that estimates using an estimation model and data indicating content possessed by the target device; a category comparison unit that determines whether the first estimated category and the comparison category match; and an information addition unit that generates addition information according to whether the first estimated category and the comparison category match.
  • the content category estimation unit estimates the category of content possessed by the target device, the category comparison unit determines whether the estimated category matches the comparison category, and the information provision unit determines the result to generate the attached information according to the
  • the target device may be a communication destination, the category for comparison may be a content category that the target device had in the past, and the added information may be added to information that notifies a system operator or the like of a communication abnormality. . Therefore, according to the present disclosure, when there is a change from the past in the category of content owned by the communication destination, the change from the past in the category of content owned by the communication destination is automatically detected, and the detection result is sent to the system. It can be presented to an operator or the like.
  • FIG. 1 is a diagram showing a configuration example of a security monitoring system 90 according to Embodiment 1;
  • FIG. 4 is a diagram showing a specific example of a communication log according to Embodiment 1;
  • FIG. 2 is a diagram showing a hardware configuration example of the security monitoring device 100 according to the first embodiment;
  • FIG. 4 is a flow chart showing the operation of the security monitoring device 100 according to the first embodiment during learning.
  • 4 is a flow chart showing the operation of the security monitoring device 100 according to Embodiment 1 at the time of detection.
  • FIG. 4 shows added information added by an information adding unit 130 according to the first embodiment;
  • FIG. 2 is a diagram showing a hardware configuration example of a security monitoring device 100 according to a modification of the first embodiment;
  • Embodiment 1 is basically based on the assumption that the category of the content of the communication destination does not change under normal conditions, but changes when the content is tampered with by an attacker.
  • FIG. 1 shows a configuration example of a security monitoring system 90 according to this embodiment.
  • the security monitoring system 90 includes a security monitoring device 100 and a monitored system 200, as shown in the figure. A plurality of each of the security monitoring device 100 and the monitored system 200 may exist.
  • the security monitoring device 100 and the monitored system 200 may be configured integrally as appropriate.
  • the security monitoring device 100 is a device that monitors the monitored system 200, and includes a communication anomaly detection unit 110, a consistency determination unit 120, an information attachment unit 130, and a category DB (Database) 170. When the security monitoring device 100 detects an abnormality in the communication log of the monitored system 200, the security monitoring device 100 appropriately outputs an alert.
  • the communication abnormality detection unit 110 uses the communication log of the content device, which is a device having content, to estimate whether or not the communication log of the content device is abnormal.
  • An estimation model is learned using the communication log of the monitored system 200, and whether or not the communication log of the target device is normal is estimated using the learned normal communication estimation model and the communication log of the target device.
  • the communication log of the monitoring target system 200 indicates transmission/reception records in a device or the like included in the monitoring target system 200 .
  • a transmission/reception record is, as a specific example, a record of access by a terminal included in the monitored system 200 to a server included in the monitored system 200 .
  • the normal communication estimation model is a model that receives a communication log as input and estimates whether or not the input communication log is normal.
  • the target device is a server or the like included in the monitored system 200 .
  • the communication anomaly detection unit 110 generates an alert when an anomaly in the input communication log is estimated by the normal communication estimation model.
  • the communication anomaly detection unit 110 may use a normal communication estimation model generated by another device or the like without learning the normal communication estimation model.
  • the configuration of the communication anomaly detection unit 110 may be a configuration including a normality learning unit and an anomaly determination unit.
  • the communication anomaly detection unit 110 may use any existing technology when generating the normal communication estimation model.
  • the normal communication estimation model is a learning model that has learned the relationship between communication logs and the state of the communication log that indicates whether the communication log is normal or abnormal.
  • FIG. 2 shows a specific example of a communication log.
  • the communication log consists of information such as the IP (Internet Protocol) address of the communication destination and the date and time of communication.
  • IP Internet Protocol
  • Consistency determination unit 120 includes content acquisition unit 121 , content category estimation unit 122 , and category comparison unit 123 .
  • the content acquisition unit 121 acquires content possessed by the communication destination based on the communication destination information included in the communication log.
  • the communication destination may be the monitoring target system 200, or may be a server provided in the monitoring target system 200, or the like.
  • the content is, for example, the content displayed on a website or the content of a file stored in a file server.
  • the content category estimation unit 122 learns a content category estimation model, which is a learning model for estimating the category of the content indicated by the content data, using the data indicating the content and the content data indicating the content, and determines the content category of the target device.
  • the category estimated by the content category estimation unit 122 is also called a first estimated category.
  • the first estimated category is the result of estimating the category of content possessed by the target device.
  • the content category estimation unit 122 may use a content category estimation model generated by another device or the like without learning the content category estimation model.
  • the content category estimation model receives data indicating content as input and estimates a category corresponding to the input data.
  • the content category estimation model is a learning model that has learned the relationship between the data representing the content and the category. There may be.
  • the content category estimation model may be a model for inferring a plurality of categories from one content, and may obtain the reliability of each category when inferring a plurality of categories.
  • the content category estimator 122 may use any existing technology when learning the content category estimation model.
  • the configuration of the content category estimation unit 122 may be a configuration including a category learning unit and a category determination unit.
  • the category comparison unit 123 refers to the category estimated by the content category estimation unit 122 and the category DB 170, and compares the content category of the current communication destination with the content category of the past communication destination.
  • the configuration of the category comparison unit 123 may be a configuration including a new/old comparison unit.
  • the category comparison unit 123 determines whether or not the first estimated category and the comparison category match.
  • the comparison category may be a result of estimating the category of content possessed by the target device in the past using a content category estimation model and data indicating the content possessed by the target device.
  • the consistency determination unit 120 estimates the category of content possessed by the communication destination, and determines whether the estimated category is consistent with the category of content possessed by the confirmed communication destination when the communication destination is normal. determine whether
  • the information attachment unit 130 generates attachment information according to the comparison result of the category comparison unit 123, and attaches the generated attachment information to the alert.
  • the attached information is information according to whether or not the first estimated category and the comparison category match.
  • An alert indicates that there is an abnormality in communication of the monitored system 200 .
  • the information adding unit 130 adds the generated added information to the generated alert when the normal communication estimation model estimates that the communication log of the target device is not normal.
  • the category DB 170 records, for each piece of communication destination information, data indicating a set of communication destination information and a content category possessed by the communication destination indicated by the communication destination information.
  • the communication destination information is information indicating the communication destination, and a specific example is the domain of the communication destination.
  • the monitored system 200 includes a log collection device 210, and as a specific example, is an IT (Information Technology) system including a Web server, an AD (Active Directory) server, a file server, a proxy server, a user terminal, and the like.
  • the log collection device 210 collects communication logs of the monitored system 200 and stores the collected communication logs.
  • FIG. 3 shows a hardware configuration example of the security monitoring device 100 according to this embodiment.
  • the security monitoring device 100 consists of a computer.
  • the security monitoring device 100 may consist of multiple computers.
  • the security monitoring device 100 is a computer equipped with hardware such as a processor 11, a memory 12, an auxiliary storage device 13, an input/output IF (Interface) 14, and a communication device 15, as shown in the figure. These pieces of hardware are appropriately connected via signal lines 19 .
  • the processor 11 is an IC (Integrated Circuit) that performs arithmetic processing and controls hardware included in the computer.
  • the processor 11 is, for example, a CPU (Central Processing Unit), a DSP (Digital Signal Processor), or a GPU (Graphics Processing Unit).
  • Security monitoring device 100 may include a plurality of processors in place of processor 11 . A plurality of processors share the role of processor 11 .
  • the memory 12 is typically a volatile storage device. Memory 12 is also referred to as main storage or main memory.
  • the memory 12 is, as a specific example, a RAM (Random Access Memory).
  • the data stored in the memory 12 is saved in the auxiliary storage device 13 as required.
  • Auxiliary storage device 13 is typically a non-volatile storage device.
  • the auxiliary storage device 13 is, for example, a ROM (Read Only Memory), an HDD (Hard Disk Drive), or a flash memory.
  • the data stored in the auxiliary storage device 13 are loaded into the memory 12 as required.
  • the memory 12 and the auxiliary storage device 13 may be constructed integrally.
  • the input/output IF 14 is a port to which an input device and an output device are connected.
  • the input/output IF 14 is, as a specific example, a USB (Universal Serial Bus) terminal.
  • the input device is, as a specific example, a keyboard and a mouse.
  • a specific example of the output device is a display.
  • the communication device 15 is a receiver and a transmitter.
  • the communication device 15 is, as a specific example, a communication chip or a NIC (Network Interface Card).
  • Each unit of the security monitoring device 100 may appropriately use the input/output IF 14 and the communication device 15 when communicating with other devices.
  • the auxiliary storage device 13 stores a security monitoring program.
  • the security monitoring program is a program that causes a computer to implement the functions of the units included in the security monitoring device 100 .
  • a security monitoring program is loaded into memory 12 and executed by processor 11 .
  • the functions of each part of the security monitoring device 100 are realized by software.
  • Each unit of the security monitoring device 100 uses a storage device as appropriate.
  • the storage device comprises at least one of memory 12 , auxiliary storage device 13 , registers within processor 11 , and cache memory within processor 11 , as a specific example. Note that data and information may have the same meaning.
  • the storage device may be independent of the computer.
  • the functions of the memory 12 and auxiliary storage device 13 may be realized by another storage device.
  • the security monitoring program may be recorded on a computer-readable non-volatile recording medium.
  • a nonvolatile recording medium is, for example, an optical disk or a flash memory.
  • a security monitoring program may be provided as a program product.
  • the hardware configuration of the log collection device 210 is the same as the hardware configuration of the security monitoring device 100.
  • the operation procedure of the security monitoring device 100 corresponds to a security monitoring method.
  • a program that implements the operation of the security monitoring device 100 corresponds to a security monitoring program.
  • FIG. 4 is a flowchart showing an example of the operation of the security monitoring device 100 during learning. The operation of the security monitoring device 100 during learning will be described with reference to this figure.
  • Step S101 When the monitored system 200 is normal, the log collection device 210 collects communication logs of the monitored system 200 .
  • the communication anomaly detection unit 110 acquires communication logs collected by the log collection device 210, and learns a normal communication estimation model using the acquired communication logs.
  • the communication abnormality detection unit 110 may learn a normal communication estimation model using the communication log of the monitored system 200 when the monitored system 200 is not normal.
  • Step S103 The content acquisition unit 121 acquires communication destination information indicated by the communication log, accesses the communication destination indicated by the communication destination information using the obtained communication destination information, and obtains content held by the communication destination.
  • Step S104 The content category estimation unit 122 learns a content category estimation model using the acquired content.
  • data indicating the acquired content category may be given as training data.
  • Step S105 The content category estimating unit 122 acquires data indicating content possessed by the communication destination, and uses the acquired data and the content category estimation model to determine the category of content possessed by the communication destination indicated by the communication destination information acquired in step S103. to estimate. After that, the content category estimation unit 122 records data indicating a set of the communication destination information and the estimated category in the category DB 170 .
  • FIG. 5 is a flowchart showing an example of the operation of the security monitoring device 100 upon detection. The operation of the security monitoring device 100 at the time of detection will be described with reference to this figure.
  • Step S121 The log collection device 210 collects communication logs of the monitored system 200 .
  • Step S122 The communication abnormality detection unit 110 acquires the communication log collected by the log collection device 210, and determines whether or not the acquired communication log is normal using the normal communication estimation model and the acquired communication log. At this time, the communication abnormality detection unit 110 may confirm whether or not an alert is output from the normal communication estimation model. If the communication log is determined to be normal, the security monitoring device 100 terminates the processing of this flowchart. Otherwise, the security monitoring device 100 generates an alert and proceeds to step S123.
  • Step S123 The content acquisition unit 121 acquires communication destination information indicated by the communication log, accesses the communication destination indicated by the communication destination information using the obtained communication destination information, and obtains data indicating content held by the communication destination.
  • Step S124 The content category estimation unit 122 estimates the category of content possessed by the communication destination using the content category estimation model and the acquired data indicating the content.
  • the category comparison unit 123 determines whether or not the categories of communication destinations are consistent. Specifically, first, the category comparison unit 123 refers to the category DB 170 to confirm the past category of the content of the communication destination indicated by the communication destination information acquired in step S123. Next, the category comparison unit 123 determines whether or not there is consistency between the category confirmed by referring to the category DB 170 and the category estimated in step S124. Note that if the category DB 170 does not record the data indicating the past category of the content of the communication destination indicated by the communication destination information, the category comparison unit 123 may skip the processing of this step, and the category comparison unit 123 may skip the processing of this step. The category DB 170 may record data indicating a set of the communication destination information obtained and the category estimated in step S124.
  • Step S126 If the category of the communication destination is consistent, the information adding unit 130 adds added information indicating the category estimated in step S124 to the alert. In other cases, the information adding unit 130 adds information indicating each of the past category of the communication destination and the category estimated in step S124 to the alert as the added information indicating the change in the category. If the category DB 170 does not record data indicating the past category of the content of the communication destination indicated by the communication destination information, the information adding unit 130 may add additional information indicating that to the alert.
  • FIG. 6 shows a specific example of added information added by the information adding unit 130 . In FIG. 6 , the “comparison result” column indicates the result of comparison by the category comparison unit 123 .
  • no comparison target corresponds to the case where the category DB 170 does not record data indicating the past category of the content of the communication destination indicated by the communication destination information.
  • the “added information” column indicates added information generated by the information adding unit 130 .
  • the security monitoring device 100 appropriately conveys the alert to an operator or the like.
  • the present embodiment when there is an abnormality in the communication log of the monitored system 200, it is checked whether or not the category of the content possessed by the communication destination has changed from the past, and the checked result is displayed. output the information shown.
  • the output information is useful when the operator or the like of the monitored system 200 determines which of the user side or the communication destination side is considered to be the cause of the communication abnormality. Therefore, according to the present embodiment, the operator or the like can easily grasp whether the cause of the abnormality in the communication log is on the user side or on the communication destination side, based on the output result. abnormalities can be dealt with more easily.
  • the user side means a terminal or the like that accesses a communication destination.
  • Specific examples of communication log anomalies caused by users include the generation of unusual communication logs by insiders, attackers, or malware, or the occurrence of unusual communication logs due to accidental reasons.
  • a specific example of an abnormality caused by a communication destination is that a communication log different from usual is generated due to a malicious content change such as hijacking or falsification, or an authorized content change.
  • a malicious content change such as hijacking or falsification, or an authorized content change.
  • the category of the contents of the current transmission destination and the past transmission destinations can be identified. By outputting the result of comparison with the category of the content, the operator or the like can grasp the change of the content relatively easily.
  • FIG. 7 shows a hardware configuration example of the security monitoring device 100 according to this modification.
  • the security monitoring device 100 includes a processing circuit 18 in place of the processor 11 , the processor 11 and memory 12 , the processor 11 and auxiliary storage device 13 , or the processor 11 , memory 12 and auxiliary storage device 13 .
  • the processing circuit 18 is hardware that implements at least a part of each unit included in the security monitoring device 100 .
  • Processing circuitry 18 may be dedicated hardware or may be a processor that executes programs stored in memory 12 .
  • the processing circuit 18 When the processing circuit 18 is dedicated hardware, the processing circuit 18 may be, for example, a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, an ASIC (Application Specific Integrated Circuit), an FPGA (Field Programmable Gate Array) or a combination thereof.
  • Security monitoring device 100 may include multiple processing circuits that replace processing circuit 18 . A plurality of processing circuits share the role of processing circuit 18 .
  • some functions may be implemented by dedicated hardware, and the remaining functions may be implemented by software or firmware.
  • the processing circuit 18 is implemented by hardware, software, firmware, or a combination thereof, as a specific example.
  • the processor 11, memory 12, auxiliary storage device 13, and processing circuitry 18 are collectively referred to as "processing circuitry.”
  • processing circuitry the function of each functional component of the security monitoring device 100 is implemented by processing circuitry.
  • a security monitoring device 100 according to another embodiment may also have the same configuration as this modified example. Also, the configuration of the log collection device 210 may be the same as that of this modified example.
  • Embodiment 2 Differences from the above-described embodiment will be mainly described below with reference to the drawings.
  • the present embodiment is basically based on the assumption that communication logs of the plurality of communication destinations are similar if the categories of content possessed by the plurality of communication destinations are the same.
  • FIG. 8 shows a configuration example of a security monitoring system 90 according to this embodiment.
  • the security monitoring device 100 according to the present embodiment further includes a log category estimating unit 124 compared to the security monitoring device 100 according to the first embodiment.
  • the log category estimating unit 124 learns to estimate the content possessed by the content device using the communication log of the content device, which is the device possessing the content, using the communication log and the data indicating the content category corresponding to the communication log.
  • a log category estimation model which is a model, is learned, and the category of content possessed by the target device is estimated using the learned log category estimation model and the communication log of the target device.
  • the log category estimation model is a model for estimating the category of the content corresponding to the communication log by inputting the communication log or the characteristics of the communication log.
  • the content corresponding to the communication log is the content held by the device that performed the communication indicated by the communication log.
  • the log category estimation model is a learning model that has learned the relationship between the communication log of the device having content and the category, and may be an inference model based on machine learning. It may be a program or the like to be adopted.
  • the log category estimation model may be a model for inferring a plurality of categories from one communication log, and when inferring a plurality of categories, the reliability of each category may be obtained.
  • the category estimated by the log category estimation unit 124 is also called a second estimated category.
  • the second estimated category is the result of estimating the category of content possessed by the target device.
  • the log category estimation unit 124 creates a log category estimation model without using communication destination information so that the model does not depend on communication destination information.
  • the log category estimation unit 124 may use a log category estimation model generated by another device or the like without learning the log category estimation model.
  • the configuration of the log category estimation unit 124 may be a configuration including a category learning unit and a category determination unit.
  • the security monitoring device 100 or the monitored system 200 appropriately stores the communication log of the monitored system 200 in order to learn the log category estimation model.
  • the category comparison unit 123 determines whether or not the first estimated category, the second estimated category, and the comparison category match.
  • the configuration of the category comparison unit 123 may be a configuration including a new/old comparison unit and a log comparison unit.
  • the information adding unit 130 according to the present embodiment generates added information according to the matching status between the first estimated category, the second estimated category, and the comparison category.
  • FIG. 9 is a flowchart showing an example of the operation of the security monitoring device 100 during learning. The operation of the security monitoring device 100 during learning will be described with reference to this figure.
  • Step S201 This step is the same as step S101.
  • Step S202 This step is the same as step S102.
  • Step S203 This step is the same as step S103.
  • Step S204 This step is the same as step S104.
  • Step S205 This step is the same as step S105.
  • Step S206 The log category estimation unit 124 creates a log category estimation model using each data indicating the category recorded in the category DB 170 and the communication log corresponding to each data indicating the category.
  • FIG. 10 is a flowchart showing an example of the operation of the security monitoring device 100 upon detection. The operation of the security monitoring device 100 during learning will be described with reference to this figure.
  • Step S221 This step is the same as step S121.
  • Step S222 This step is the same as step S122.
  • Step S223 This step is the same as step S123.
  • Step S224 This step is the same as step S124.
  • Step S225 The log category estimating unit 124 uses the log category estimating model and the communication log acquired in step S222 to estimate the category of content possessed by the communication destination.
  • Step S226) The category comparison unit 123 executes processing similar to that of step S125.
  • the category comparison unit 123 also determines whether or not there is consistency between the category confirmed by referring to the category DB 170 and the category estimated in step S225.
  • Step S227) This step is the same as step S126. However, only when all three categories used in step S226 are the same, the information adding unit 130 executes the processing in the case where the category of the communication destination is consistent. Further, when the categories of the communication destination are inconsistent, the information addition unit 130 adds additional information indicating each of the past category of the communication destination, the category estimated in step S224, and the category estimated in step S225. Give to alerts.
  • the content category is estimated using the log category estimation model in addition to the content category estimation model, so the category estimation accuracy can be further improved.
  • FIG. 11 shows a configuration example of a security monitoring system 90 according to this embodiment.
  • the security monitoring device 100 according to the present embodiment further includes an information presentation DB 180 compared to the security monitoring device 100 according to the second embodiment.
  • the information presentation DB 180 records additional information provided by the information providing unit 130 and information presentation rules, which are rules for providing additional information by the information providing unit 130 .
  • the information providing unit 130 according to the present embodiment generates additional information according to the information presentation rules, and provides the additional information to the alert according to the information presentation DB 180 .
  • the operation of the security monitoring device 100 according to this embodiment is basically the same as that of the security monitoring device 100 according to the second embodiment. A characteristic operation of the security monitoring device 100 according to this embodiment will be mainly described.
  • Step S227) The information adding unit 130 adds additional information to the alert in accordance with the information presentation DB 180 .
  • FIG. 12 shows a specific example of added information added by the information adding unit 130 .
  • the "Priority" column indicates the degree to which the monitoring target system 200 should be checked, that is, the possibility that an abnormality has occurred in the monitoring target system 200.
  • FIG. 12 “all matches” indicates that all three categories match. In the case of “complete match”, the information adding unit 130 adds added information to the alert indicating that the abnormality detection of the communication log is likely to be an erroneous detection. “Previous mismatch” indicates that the current category matches the log category, but the current category does not match the past category.
  • the current category is the category estimated using the content category estimation model
  • the past category is the category recorded in the category DB 170
  • the log category is the category estimated using the log category estimation model. be.
  • the information addition unit 130 adds to the alert additional information indicating that the communication log trend of the communication destination may have changed due to the change in the content category of the communication destination.
  • “This time mismatch” indicates that the past category and the log category match, but the current category and the log category do not match.
  • the information adding unit 130 adds to the alert the added information indicating that the communication log tendency has not changed, although the category of the content possessed by the communication destination is considered to have changed.
  • Log mismatch indicates that the past category matches the current category and does not match the category of the current category log. If the log is "mismatched”, the information adding unit 130 adds to the alert the added information indicating that the access tendency at the communication destination has changed although the content category has not changed. "Unmatched” indicates that the three categories are different from each other. In the case of “completely inconsistent”, the information adding unit 130 adds added information indicating that there is a high possibility that an abnormality has occurred at the communication destination to the alert.
  • the information adding unit 130 adds information according to the information presentation DB 180, so that the user can easily grasp the details of the abnormality in the communication log.
  • Embodiment 4 Differences from the above-described embodiment will be mainly described below with reference to the drawings.
  • FIG. 13 shows a configuration example of a security monitoring system 90 according to this embodiment.
  • the security monitoring system 90 according to this embodiment further includes a content DB 190 compared to the security monitoring system 90 according to the third embodiment.
  • the content DB 190 may be configured integrally with the security monitoring device 100 .
  • FIG. 13 shows the configuration of this embodiment based on the third embodiment, this embodiment may be based on the first or second embodiment.
  • the content DB 190 records data indicating content possessed by the monitored system 200 .
  • the content DB 190 appropriately acquires data indicating content from the monitored system 200 and records the acquired data.
  • the content DB 190 may record the data indicating the content in association with the data indicating the time when the data indicating the content was acquired.
  • the content category estimation unit 122 uses data obtained from a database storing data indicating content possessed by the target device.
  • the operation of the security monitoring device 100 according to this embodiment is basically the same as the operation of the security monitoring device 100 according to the above-described embodiment.
  • the content acquisition unit 121 acquires data recorded in the content DB 190 instead of acquiring data representing content from the monitored system 200 .
  • the content acquisition unit 121 acquires data indicating content from the content DB 190 instead of the monitoring target system 200 . Therefore, according to the present embodiment, the content acquisition unit 121 can appropriately acquire content of a site having a content authentication function.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Artificial Intelligence (AREA)
  • Databases & Information Systems (AREA)
  • Evolutionary Computation (AREA)
  • Medical Informatics (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Alarm Systems (AREA)
  • Debugging And Monitoring (AREA)

Abstract

セキュリティ監視装置（１００）は、コンテンツカテゴリ推定部（１２２）と、カテゴリ比較部（１２３）と、情報付与部（１３０）とを備える。コンテンツカテゴリ推定部（１２２）は、監視対象システム（２００）が備える対象装置が有するコンテンツのカテゴリを推定した結果である第１推定カテゴリを、コンテンツを示すコンテンツデータを用いてコンテンツデータに示されるコンテンツのカテゴリを推定する学習モデルであるコンテンツカテゴリ推定モデルと、対象装置が有するコンテンツを示すデータとを用いて推定する。カテゴリ比較部（１２３）は、第１推定カテゴリと比較用カテゴリとが一致するか否かを判定する。情報付与部（１３０）は、第１推定カテゴリと比較用カテゴリとが一致するか否かに応じた付与情報を生成する。

Description

セキュリティ監視装置、セキュリティ監視方法、及び、セキュリティ監視プログラム
　本開示は、セキュリティ監視装置、セキュリティ監視方法、及び、セキュリティ監視プログラムに関する。
　正常状態であるデータを用いてルール又は推論モデル等を作成し、作成したルール又はモデル等を用いてデータが正常状態から逸脱したか否かを判定することにより、データの異常を検知する技術がある。本技術を用いることにより通信における正常とは異なる活動を発見することができるため、サイバー攻撃といった悪意のある活動を検知することに本技術を活用することが期待されている。
　特許文献１は、ＵＲＬ（Ｕｎｉｆｏｒｍ　Ｒｅｓｏｕｒｃｅ　Ｌｏｃａｔｏｒ）をドメイン又はカテゴリレベル等の荒い粒度で分類し、分類した結果に応じたルールを用いて通信に関する異常を判定し、判定結果と、異常の原因に関する情報とを管理者に提示する技術を開示している。
国際公開第２０１６／０３１０３４号
　特許文献１が開示する技術は、通信先が有するコンテンツのカテゴリの過去からの変化を自動的に検出しないため、通信先が有するコンテンツのカテゴリの過去からの変化が通信に関する異常の原因である場合においても、システムの管理者が、送信先が有するコンテンツのカテゴリが過去から変化したか否かを調べる必要があるという課題がある。
　本開示は、通信先が有するコンテンツのカテゴリの過去からの変化を自動的に検出し、検出した結果をシステムのオペレータ等に提示することを目的とする。
　本開示に係るセキュリティ監視装置は、
　監視対象システムが備える対象装置が有するコンテンツのカテゴリを推定した結果である第１推定カテゴリを、コンテンツを示すコンテンツデータを用いて前記コンテンツデータに示されるコンテンツのカテゴリを推定する学習モデルであるコンテンツカテゴリ推定モデルと、前記対象装置が有するコンテンツを示すデータとを用いて推定するコンテンツカテゴリ推定部と、
　前記第１推定カテゴリと比較用カテゴリとが一致するか否かを判定するカテゴリ比較部と、
　前記第１推定カテゴリと前記比較用カテゴリとが一致するか否かに応じた付与情報を生成する情報付与部と
を備える。
　本開示によれば、コンテンツカテゴリ推定部は対象装置が有するコンテンツのカテゴリを推定し、カテゴリ比較部は推定したカテゴリが比較用カテゴリと一致するか否かを判定し、情報付与部は判定した結果に応じた付与情報を生成する。対象装置は通信先であってもよく、比較用カテゴリは過去において対象装置が有したコンテンツのカテゴリであってもよく、付与情報はシステムのオペレータ等に通信異常を知らせる情報に付与されてもよい。そのため、本開示によれば、通信先が有するコンテンツのカテゴリに過去からの変化がある場合において、通信先が有するコンテンツのカテゴリの過去からの変化を自動的に検出し、検出した結果をシステムのオペレータ等に提示することができる。
実施の形態１に係るセキュリティ監視システム９０の構成例を示す図。 実施の形態１に係る通信ログの具体例を示す図。 実施の形態１に係るセキュリティ監視装置１００のハードウェア構成例を示す図。 実施の形態１に係るセキュリティ監視装置１００の学習時における動作を示すフローチャート。 実施の形態１に係るセキュリティ監視装置１００の検知時における動作を示すフローチャート。 実施の形態１に係る情報付与部１３０が付与する付与情報を示す図。 実施の形態１の変形例に係るセキュリティ監視装置１００のハードウェア構成例を示す図。 実施の形態２に係るセキュリティ監視システム９０の構成例を示す図。 実施の形態２に係るセキュリティ監視装置１００の学習時における動作を示すフローチャート。 実施の形態２に係るセキュリティ監視装置１００の検知時における動作を示すフローチャート。 実施の形態３に係るセキュリティ監視システム９０の構成例を示す図。 実施の形態３に係る情報付与部１３０が付与する付与情報を示す図。 実施の形態４に係るセキュリティ監視システム９０の構成例を示す図。
　実施の形態の説明及び図面において、同じ要素及び対応する要素には同じ符号を付している。同じ符号が付された要素の説明は、適宜に省略又は簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。また、「部」を、「回路」、「工程」、「手順」、「処理」又は「サーキットリー」に適宜読み替えてもよい。
　実施の形態１．
　以下、本実施の形態について、図面を参照しながら詳細に説明する。
　本実施の形態は、基本的には、通信先のコンテンツのカテゴリは、正常時であれば変化せず、攻撃者によって改ざんされた場合等に変化するという仮定に基づく。
＊＊＊構成の説明＊＊＊
　図１は、本実施の形態に係るセキュリティ監視システム９０の構成例を示している。セキュリティ監視システム９０は、本図に示すように、セキュリティ監視装置１００と、監視対象システム２００とを備える。セキュリティ監視装置１００と、監視対象システム２００との各々は複数存在してもよい。セキュリティ監視装置１００と、監視対象システム２００とは適宜一体的に構成されていてもよい。
　セキュリティ監視装置１００は、監視対象システム２００を監視する装置であり、通信異常検知部１１０と、一貫性判定部１２０と、情報付与部１３０と、カテゴリＤＢ（Ｄａｔａｂａｓｅ）１７０とを備える。セキュリティ監視装置１００は、監視対象システム２００の通信ログの異常を検知した場合に、アラートを適宜出力する。
　通信異常検知部１１０は、コンテンツを有する装置であるコンテンツ装置の通信ログを用いてコンテンツ装置の通信ログを用いてコンテンツ装置の通信ログが異常であるか否かを推定する学習モデルである正常通信推定モデルを、監視対象システム２００の通信ログを用いて学習し、学習した正常通信推定モデルと、対象装置の通信ログとを用いて対象装置の通信ログが正常であるか否かを推定する。ここで、監視対象システム２００の通信ログは、監視対象システム２００が備える装置等における送受信記録を示す。送受信記録は、具体例として、監視対象システム２００が備えるサーバに監視対象システム２００が備える端末がアクセスした記録である。正常通信推定モデルは、通信ログを入力とし、入力された通信ログが正常であるか否かを推定するモデルである。対象装置は、監視対象システム２００が備えるサーバ等である。通信異常検知部１１０は、入力された通信ログの異常が正常通信推定モデルによって推定された場合にアラートを生成する。通信異常検知部１１０は、正常通信推定モデルを学習せず、他の装置等が生成した正常通信推定モデルを用いてもよい。通信異常検知部１１０の構成は、正常学習部と、異常判定部とを備える構成であってもよい。通信異常検知部１１０は、正常通信推定モデルを生成する際にどのような既存技術を用いてもよい。なお、正常通信推定モデルは、通信ログと、通信ログが正常であるか異常であるかを示す通信ログの状態との関係を学習した学習モデルであり、機械学習に基づく推論モデルであってもよく、ルールベース等、ルールに基づく方式を採用するプログラム等であってもよい。
　図２は、通信ログの具体例を示している。通信ログは、通信先のＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレスと、通信日時等の情報から成る。
　一貫性判定部１２０は、コンテンツ取得部１２１と、コンテンツカテゴリ推定部１２２と、カテゴリ比較部１２３とを備える。
　コンテンツ取得部１２１は、通信ログに含まれる通信先の情報に基づいて通信先が有するコンテンツを取得する。通信先は、監視対象システム２００であってもよく、監視対象システム２００が備えるサーバ等であってもよい。コンテンツは、具体例として、ウェブサイトに表示される内容、又はファイルサーバに格納されているファイルの内容である。
　コンテンツカテゴリ推定部１２２は、コンテンツを示すデータを用いてコンテンツを示すコンテンツデータを用いてコンテンツデータに示されるコンテンツのカテゴリを推定する学習モデルであるコンテンツカテゴリ推定モデルを学習し、対象装置が有するコンテンツのカテゴリを、学習したコンテンツカテゴリ推定モデルと、対象装置が有するコンテンツを示すデータとを用いて推定する。コンテンツカテゴリ推定部１２２が推定したカテゴリは第１推定カテゴリとも呼ばれる。第１推定カテゴリは、対象装置が有するコンテンツのカテゴリを推定した結果である。コンテンツカテゴリ推定部１２２は、コンテンツカテゴリ推定モデルを学習せず、他の装置等が生成したコンテンツカテゴリ推定モデルを用いてもよい。コンテンツカテゴリ推定モデルは、コンテンツを示すデータを入力とし、入力されたデータに対応するカテゴリを推定する。コンテンツカテゴリ推定モデルは、コンテンツを示すデータと、カテゴリとの関係を学習した学習モデルであり、機械学習に基づく推論モデルであってもよく、ルールベース等、ルールに基づく方式を採用するプログラム等であってもよい。コンテンツカテゴリ推定モデルは、１つのコンテンツから複数のカテゴリを推論するモデルであってもよく、複数のカテゴリを推論する場合において、各カテゴリの信頼度等を求めてもよい。コンテンツカテゴリ推定部１２２は、コンテンツカテゴリ推定モデルを学習する際にどのような既存技術を用いてもよい。コンテンツカテゴリ推定部１２２の構成は、カテゴリ学習部とカテゴリ判定部とを備える構成であってもよい。
　カテゴリ比較部１２３は、コンテンツカテゴリ推定部１２２が推定したカテゴリと、カテゴリＤＢ１７０とを参照して、現在における通信先が有するコンテンツのカテゴリと、過去における通信先が有するコンテンツのカテゴリとを比較する。カテゴリ比較部１２３の構成は、新旧比較部を備える構成であってもよい。カテゴリ比較部１２３は、第１推定カテゴリと比較用カテゴリとが一致するか否かを判定する。比較用カテゴリは、過去において、対象装置が有するコンテンツのカテゴリを、コンテンツカテゴリ推定モデルと、対象装置が有するコンテンツを示すデータとを用いて推定した結果であってもよい。
　なお、サーバが有するコンテンツのカテゴリが同じである場合にサーバの通信ログが類似し、また、サーバが有するコンテンツのカテゴリが互いに異なる場合にサーバの通信ログが類似しないと考えられる。カテゴリは、具体例として、ニュース、検索サービス、天気、又はＳＮＳ（Ｓｏｃｉａｌ　Ｎｅｔｗｏｒｋｉｎｇ　Ｓｅｒｖｉｃｅ）である。攻撃者によってサーバが有するコンテンツの内容が改ざんされた場合、改ざんの前後でサーバが有するコンテンツのカテゴリに変化が生じると考えられる。そこで、一貫性判定部１２０は、通信先が有するコンテンツのカテゴリを推定し、推定したカテゴリと、通信先が正常である場合において確認した通信先が有するコンテンツのカテゴリとに一貫性があるか否かを判定する。
　情報付与部１３０は、カテゴリ比較部１２３による比較結果に応じた付与情報を生成し、生成した付与情報をアラートに付与する。付与情報は、第１推定カテゴリと比較用カテゴリとが一致するか否かに応じた情報である。アラートは、監視対象システム２００の通信に異常があることを示すものである。情報付与部１３０は、対象装置の通信ログが正常ではないと正常通信推定モデルによって推定された場合に、生成した付与情報を、生成されたアラートに付与する。
　カテゴリＤＢ１７０は、各通信先情報について、通信先情報と通信先情報が示す通信先が有するコンテンツのカテゴリとの組を示すデータを記録する。通信先情報は、通信先を示す情報であり、具体例として通信先のドメインである。
　監視対象システム２００は、ログ採取装置２１０を備え、また、具体例として、ＷｅｂサーバとＡＤ（Ａｃｔｉｖｅ　Ｄｉｒｅｃｔｏｒｙ）サーバとファイルサーバとプロキシサーバとユーザ端末等を備えるＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙ）システムである。
　ログ採取装置２１０は、監視対象システム２００の通信ログを採取し、採取した通信ログを保存する。
　図３は、本実施の形態に係るセキュリティ監視装置１００のハードウェア構成例を示している。セキュリティ監視装置１００は、コンピュータから成る。セキュリティ監視装置１００は、複数のコンピュータから成ってもよい。
　セキュリティ監視装置１００は、本図に示すように、プロセッサ１１と、メモリ１２と、補助記憶装置１３と、入出力ＩＦ（Ｉｎｔｅｒｆａｃｅ）１４と、通信装置１５等のハードウェアを備えるコンピュータである。これらのハードウェアは、信号線１９を介して適宜接続されている。
　プロセッサ１１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）であり、かつ、コンピュータが備えるハードウェアを制御する。プロセッサ１１は、具体例として、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）、又はＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　セキュリティ監視装置１００は、プロセッサ１１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ１１の役割を分担する。
　メモリ１２は、典型的には、揮発性の記憶装置である。メモリ１２は、主記憶装置又はメインメモリとも呼ばれる。メモリ１２は、具体例として、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。メモリ１２に記憶されたデータは、必要に応じて補助記憶装置１３に保存される。
　補助記憶装置１３は、典型的には、不揮発性の記憶装置である。補助記憶装置１３は、具体例として、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）、又はフラッシュメモリである。補助記憶装置１３に記憶されたデータは、必要に応じてメモリ１２にロードされる。
　メモリ１２及び補助記憶装置１３は一体的に構成されていてもよい。
　入出力ＩＦ１４は、入力装置及び出力装置が接続されるポートである。入出力ＩＦ１４は、具体例として、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）端子である。入力装置は、具体例として、キーボード及びマウスである。出力装置は、具体例として、ディスプレイである。
　通信装置１５は、レシーバ及びトランスミッタである。通信装置１５は、具体例として、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　セキュリティ監視装置１００の各部は、他の装置等と通信する際に、入出力ＩＦ１４及び通信装置１５を適宜用いてもよい。
　補助記憶装置１３は、セキュリティ監視プログラムを記憶している。セキュリティ監視プログラムは、セキュリティ監視装置１００が備える各部の機能をコンピュータに実現させるプログラムである。セキュリティ監視プログラムは、メモリ１２にロードされて、プロセッサ１１によって実行される。セキュリティ監視装置１００が備える各部の機能は、ソフトウェアにより実現される。
　セキュリティ監視プログラムを実行する際に用いられるデータと、セキュリティ監視プログラムを実行することによって得られるデータ等は、記憶装置に適宜記憶される。セキュリティ監視装置１００の各部は、適宜記憶装置を利用する。記憶装置は、具体例として、メモリ１２と、補助記憶装置１３と、プロセッサ１１内のレジスタと、プロセッサ１１内のキャッシュメモリとの少なくとも１つから成る。なお、データと、情報とは、同等の意味を有することもある。記憶装置は、コンピュータと独立したものであってもよい。
　メモリ１２及び補助記憶装置１３の機能は、他の記憶装置によって実現されてもよい。
　セキュリティ監視プログラムは、コンピュータが読み取り可能な不揮発性の記録媒体に記録されていてもよい。不揮発性の記録媒体は、具体例として、光ディスク又はフラッシュメモリである。セキュリティ監視プログラムは、プログラムプロダクトとして提供されてもよい。
　ログ採取装置２１０のハードウェア構成は、セキュリティ監視装置１００のハードウェア構成と同様である。
＊＊＊動作の説明＊＊＊
　セキュリティ監視装置１００の動作手順は、セキュリティ監視方法に相当する。また、セキュリティ監視装置１００の動作を実現するプログラムは、セキュリティ監視プログラムに相当する。
　図４は、セキュリティ監視装置１００の学習時における動作の一例を示すフローチャートである。本図を参照してセキュリティ監視装置１００の学習時における動作を説明する。
（ステップＳ１０１）
　監視対象システム２００が正常である場合において、ログ採取装置２１０は、監視対象システム２００の通信ログを収集する。
（ステップＳ１０２）
　通信異常検知部１１０は、ログ採取装置２１０が収集した通信ログを取得し、取得した通信ログを用いて正常通信推定モデルを学習する。なお、通信異常検知部１１０は、監視対象システム２００が正常ではない場合における監視対象システム２００の通信ログを用いて正常通信推定モデルを学習してもよい。
（ステップＳ１０３）
　コンテンツ取得部１２１は、通信ログが示す通信先情報を取得し、取得した通信先情報を用いて通信先情報が示す通信先にアクセスし、通信先が有するコンテンツを取得する。
（ステップＳ１０４）
　コンテンツカテゴリ推定部１２２は、取得したコンテンツを用いてコンテンツカテゴリ推定モデルを学習する。コンテンツカテゴリ推定部１２２がコンテンツカテゴリ推定モデルを学習する際に、取得したコンテンツのカテゴリを示すデータが教師データとして与えられてもよい。
（ステップＳ１０５）
　コンテンツカテゴリ推定部１２２は、通信先が有するコンテンツを示すデータを取得し、ステップＳ１０３において取得した通信先情報が示す通信先が有するコンテンツのカテゴリを、取得したデータと、コンテンツカテゴリ推定モデルとを用いて推定する。その後、コンテンツカテゴリ推定部１２２は、当該通信先情報と、推定したカテゴリとの組を示すデータをカテゴリＤＢ１７０に記録する。
　図５は、セキュリティ監視装置１００の検知時における動作の一例を示すフローチャートである。本図を参照してセキュリティ監視装置１００の検知時における動作を説明する。
（ステップＳ１２１）
　ログ採取装置２１０は、監視対象システム２００の通信ログを収集する。
（ステップＳ１２２）
　通信異常検知部１１０は、ログ採取装置２１０が収集した通信ログを取得し、正常通信推定モデルと、取得した通信ログとを用いて、取得した通信ログが正常であるか否かを判定する。この際、通信異常検知部１１０は、正常通信推定モデルからアラートが出力されるか否かを確認してもよい。
　通信ログが正常であると判定された場合、セキュリティ監視装置１００は本フローチャートの処理を終了する。それ以外の場合、セキュリティ監視装置１００は、アラートを生成し、ステップＳ１２３に進む。
（ステップＳ１２３）
　コンテンツ取得部１２１は、通信ログが示す通信先情報を取得し、取得した通信先情報を用いて当該通信先情報が示す通信先にアクセスし、通信先が有するコンテンツを示すデータを取得する。
（ステップＳ１２４）
　コンテンツカテゴリ推定部１２２は、コンテンツカテゴリ推定モデルと、取得したコンテンツを示すデータとを用いて、通信先が有するコンテンツのカテゴリを推定する。
（ステップＳ１２５）
　カテゴリ比較部１２３は、通信先のカテゴリに一貫性があるか否かを判定する。
　具体的には、まず、カテゴリ比較部１２３は、ステップＳ１２３において取得した通信先情報が示す通信先のコンテンツの過去におけるカテゴリを、カテゴリＤＢ１７０を参照して確認する。次に、カテゴリ比較部１２３は、カテゴリＤＢ１７０を参照して確認したカテゴリと、ステップＳ１２４において推定したカテゴリとの間に一貫性があるか否かを判定する。
　なお、通信先情報が示す通信先のコンテンツの過去におけるカテゴリを示すデータをカテゴリＤＢ１７０が記録していない場合において、カテゴリ比較部１２３は、本ステップの処理をスキップしてもよく、ステップＳ１２３において取得した通信先情報と、ステップＳ１２４において推定したカテゴリとの組を示すデータをカテゴリＤＢ１７０に記録してもよい。
（ステップＳ１２６）
　通信先のカテゴリに一貫性がある場合、情報付与部１３０はステップＳ１２４において推定したカテゴリを示す付与情報をアラートに付与する。それ以外の場合、情報付与部１３０は、カテゴリの変化を示す付与情報として、通信先の過去におけるカテゴリと、ステップＳ１２４において推定したカテゴリとの各々を示す情報をアラートに付与する。
　なお、通信先情報が示す通信先のコンテンツの過去におけるカテゴリを示すデータをカテゴリＤＢ１７０が記録していない場合、情報付与部１３０はその旨を示す付与情報をアラートに付与してもよい。
　図６は、情報付与部１３０が付与する付与情報の具体例を示している。図６において、「比較結果」欄はカテゴリ比較部１２３が比較した結果を示している。なお、「比較対象なし」は、通信先情報が示す通信先のコンテンツの過去におけるカテゴリを示すデータをカテゴリＤＢ１７０が記録していない場合に対応する。「付与情報」欄は、情報付与部１３０が生成する付与情報を示している。
　セキュリティ監視装置１００は、アラートをオペレータ等に適宜伝達する。
＊＊＊実施の形態１の効果の説明＊＊＊
　以上のように、本実施の形態によれば、監視対象システム２００の通信ログに異常がある場合において、通信先が有するコンテンツのカテゴリが過去から変化したか否かを確認し、確認した結果を示す情報を出力する。出力された情報は、ユーザ側と通信先側とのどちらに通信に関する異常の原因があると考えられるかを監視対象システム２００のオペレータ等が判断する際に役立つ。そのため、本実施の形態によれば、オペレータ等は、出力された結果に基づいて、通信ログの異常の原因が、ユーザ側にあるのか、通信先側にあるのかを把握しやすくなり、通信ログの異常に対処しやすくなる。ここで、ユーザ側は通信先にアクセスする端末等を意味する。ユーザ側に起因する通信ログの異常は、具体例として、内部犯、攻撃者、若しくはマルウェアによって普段と違う通信ログが発生すること、又は、偶然に発生した事由により普段と違う通信ログが発生することによって生じる。通信先側に起因する異常は、具体例として、乗っ取り若しくは改ざん等の悪意のあるコンテンツ変更、又は、正規なコンテンツ変更により普段と違う通信ログが発生することにより生じる。ここで、送信先における正規のコンテンツ変更によってユーザの送信先に対する活動が変化した場合において、通信ログの学習時とは異なる特徴が現れ、通信ログが異常と誤って判断される可能性がある。通信ログから収集される特徴のみからでは、送信先のコンテンツが変更されたか否かを把握することができないが、本実施の形態によれば、現在の送信先のコンテンツのカテゴリと過去における送信先のコンテンツのカテゴリとを比較した結果を出力することにより、オペレータ等はコンテンツの変更等を比較的容易に把握することができる。
　また、本実施の形態によれば、悪性ＵＲＬ等として登録されていない通信先の通信に関する異常に対応することができ、さらに、学習モデルとカテゴリとドメイン等のみを管理すればよいため、管理すべきモデル及び比較用データの量が比較的少なくて済む。
＊＊＊他の構成＊＊＊
＜変形例１＞
　図７は、本変形例に係るセキュリティ監視装置１００のハードウェア構成例を示している。
　セキュリティ監視装置１００は、プロセッサ１１、プロセッサ１１とメモリ１２、プロセッサ１１と補助記憶装置１３、あるいはプロセッサ１１とメモリ１２と補助記憶装置１３とに代えて、処理回路１８を備える。
　処理回路１８は、セキュリティ監視装置１００が備える各部の少なくとも一部を実現するハードウェアである。
　処理回路１８は、専用のハードウェアであってもよく、また、メモリ１２に格納されるプログラムを実行するプロセッサであってもよい。
　処理回路１８が専用のハードウェアである場合、処理回路１８は、具体例として、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）又はこれらの組み合わせである。
　セキュリティ監視装置１００は、処理回路１８を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１８の役割を分担する。
　セキュリティ監視装置１００において、一部の機能が専用のハードウェアによって実現されて、残りの機能がソフトウェア又はファームウェアによって実現されてもよい。
　処理回路１８は、具体例として、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせにより実現される。
　プロセッサ１１とメモリ１２と補助記憶装置１３と処理回路１８とを、総称して「プロセッシングサーキットリー」という。つまり、セキュリティ監視装置１００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。
　他の実施の形態に係るセキュリティ監視装置１００についても、本変形例と同様の構成であってもよい。また、ログ採取装置２１０の構成も本変形例と同様の構成であってもよい。
　実施の形態２．
　以下、主に前述した実施の形態と異なる点について、図面を参照しながら説明する。
　本実施の形態は、基本的には、複数の通信先が有するコンテンツのカテゴリが同じであれば、複数の通信先の各々の通信ログが類似するという仮定に基づく。
＊＊＊構成の説明＊＊＊
　図８は、本実施の形態に係るセキュリティ監視システム９０の構成例を示している。
　本実施の形態に係るセキュリティ監視装置１００は、実施の形態１に係るセキュリティ監視装置１００と比較してログカテゴリ推定部１２４をさらに備える。
　ログカテゴリ推定部１２４は、通信ログと、通信ログに対応するコンテンツのカテゴリを示すデータとを用いて、コンテンツを有する装置であるコンテンツ装置の通信ログを用いてコンテンツ装置が有するコンテンツを推定する学習モデルであるログカテゴリ推定モデルを学習し、対象装置が有するコンテンツのカテゴリを、学習したログカテゴリ推定モデルと、対象装置の通信ログとを用いて推定する。ログカテゴリ推定モデルは、通信ログ又は通信ログの特徴を入力として、通信ログに対応するコンテンツのカテゴリを推定するモデルである。通信ログに対応するコンテンツは、当該通信ログが示す通信を実行した装置が有するコンテンツである。ログカテゴリ推定モデルは、コンテンツを有する装置の通信ログと、カテゴリとの関係を学習した学習した学習モデルであり、機械学習に基づく推論モデルであってもよく、ルールベース等、ルールに基づく方式を採用するプログラム等であってもよい。ログカテゴリ推定モデルは、１つの通信ログから複数のカテゴリを推論するモデルであってもよく、複数のカテゴリを推論する場合において、各カテゴリの信頼度等を求めてもよい。ログカテゴリ推定部１２４が推定したカテゴリは第２推定カテゴリとも呼ばれる。第２推定カテゴリは対象装置が有するコンテンツのカテゴリを推定した結果である。なお、ログカテゴリ推定部１２４は、通信先情報の情報に依存したモデルにならないよう、通信先情報を用いずにログカテゴリ推定モデルを作成する。また、ログカテゴリ推定部１２４は、ログカテゴリ推定モデルを学習せず、他の装置等が生成したログカテゴリ推定モデルを用いてもよい。ログカテゴリ推定部１２４の構成は、カテゴリ学習部と、カテゴリ判定部とを備える構成であってもよい。
　セキュリティ監視装置１００又は監視対象システム２００は、ログカテゴリ推定モデルを学習するために監視対象システム２００の通信ログを適宜保存する。
　また、本実施の形態に係るカテゴリ比較部１２３は、第１推定カテゴリと第２推定カテゴリと比較用カテゴリとが一致するか否かを判定する。カテゴリ比較部１２３の構成は、新旧比較部と、ログ比較部とを備える構成であってもよい。
　本実施の形態に係る情報付与部１３０は、第１推定カテゴリと第２推定カテゴリと比較用カテゴリとの一致状況に応じた付与情報を生成する。
＊＊＊動作の説明＊＊＊
　図９は、セキュリティ監視装置１００の学習時における動作の一例を示すフローチャートである。本図を参照してセキュリティ監視装置１００の学習時における動作を説明する。
（ステップＳ２０１）
　本ステップは、ステップＳ１０１と同様である。
（ステップＳ２０２）
　本ステップは、ステップＳ１０２と同様である。
（ステップＳ２０３）
　本ステップは、ステップＳ１０３と同様である。
（ステップＳ２０４）
　本ステップは、ステップＳ１０４と同様である。
（ステップＳ２０５）
　本ステップは、ステップＳ１０５と同様である。
（ステップＳ２０６）
　ログカテゴリ推定部１２４は、カテゴリＤＢ１７０が記録しているカテゴリを示す各データと、カテゴリを示す各データに対応する通信ログとを用いてログカテゴリ推定モデルを作成する。
　図１０は、セキュリティ監視装置１００の検知時における動作の一例を示すフローチャートである。本図を参照してセキュリティ監視装置１００の学習時における動作を説明する。
（ステップＳ２２１）
　本ステップは、ステップＳ１２１と同様である。
（ステップＳ２２２）
　本ステップは、ステップＳ１２２と同様である。
（ステップＳ２２３）
　本ステップは、ステップＳ１２３と同様である。
（ステップＳ２２４）
　本ステップは、ステップＳ１２４と同様である。
（ステップＳ２２５）
　ログカテゴリ推定部１２４は、ログカテゴリ推定モデルと、ステップＳ２２２において取得した通信ログとを用いて、通信先が有するコンテンツのカテゴリを推定する。
（ステップＳ２２６）
　カテゴリ比較部１２３は、ステップＳ１２５と同様の処理を実行する。また、カテゴリ比較部１２３は、カテゴリＤＢ１７０を参照して確認したカテゴリと、ステップＳ２２５において推定したカテゴリとの間に一貫性があるか否かを判定する。
（ステップＳ２２７）
　本ステップはステップＳ１２６と同様である。ただし、情報付与部１３０は、ステップＳ２２６において用いる３つのカテゴリ全てが同一である場合にのみ、通信先のカテゴリに一貫性がある場合における処理を実行する。
　また、通信先のカテゴリに一貫性がない場合において、情報付与部１３０は、通信先の過去におけるカテゴリと、ステップＳ２２４において推定したカテゴリと、ステップＳ２２５において推定したカテゴリとの各々を示す付与情報をアラートに付与する。
＊＊＊実施の形態２の効果の説明＊＊＊
　以上のように、本実施の形態によれば、コンテンツカテゴリ推定モデルに加えてログカテゴリ推定モデルを用いてコンテンツのカテゴリを推定するため、カテゴリの推定精度をより高めることができる。
　実施の形態３．
　以下、主に前述した実施の形態と異なる点について、図面を参照しながら説明する。
＊＊＊構成の説明＊＊＊
　図１１は、本実施の形態に係るセキュリティ監視システム９０の構成例を示している。
　本実施の形態に係るセキュリティ監視装置１００は、実施の形態２に係るセキュリティ監視装置１００と比較して情報提示ＤＢ１８０をさらに備える。
　情報提示ＤＢ１８０は、情報付与部１３０が付与する付与情報と、情報付与部１３０が付与情報を付与する規則である情報提示規則とを記録している。
　本実施の形態に係る情報付与部１３０は、情報提示規則に従って付与情報を生成し、また、情報提示ＤＢ１８０に則って付与情報をアラートに付与する。
＊＊＊動作の説明＊＊＊
　本実施の形態に係るセキュリティ監視装置１００の動作は、基本的に実施の形態２に係るセキュリティ監視装置１００と同じである。本実施の形態に係るセキュリティ監視装置１００の特徴的な動作を主に説明する。
（ステップＳ２２７）
　情報付与部１３０は、情報提示ＤＢ１８０に則って付与情報をアラートに付与する。
　図１２は、情報付与部１３０が付与する付与情報の具体例を示している。本図において、「優先度」欄は、監視対象システム２００を確認すべき度合い、即ち、監視対象システム２００に異常が発生している可能性を示している。
　また、図１２において、「全一致」は、３つのカテゴリが全て一致することを示す。「全一致」である場合、情報付与部１３０は、通信ログの異常検知が誤検知である可能性が高いことを示す付与情報をアラートに付与する。
　「過去不一致」は、今回のカテゴリとログのカテゴリとは一致し、今回のカテゴリと過去のカテゴリとは一致しないことを示す。ここで、今回のカテゴリはコンテンツカテゴリ推定モデルを用いて推定したカテゴリであり、過去のカテゴリはカテゴリＤＢ１７０が記録しているカテゴリであり、ログのカテゴリはログカテゴリ推定モデルを用いて推定したカテゴリである。「過去不一致」である場合、情報付与部１３０は、通信先が有するコンテンツのカテゴリが変わったために、通信先の通信ログの傾向が変化した可能性があることを示す付与情報をアラートに付与する。
　「今回不一致」は、過去のカテゴリとログのカテゴリとは一致し、今回のカテゴリとログのカテゴリとは一致しないことを示す。「今回不一致」である場合、情報付与部１３０は、通信先が有するコンテンツのカテゴリが変化したと考えられるが、通信ログの傾向に変化がないことを示す付与情報をアラートに付与する。
　「ログ不一致」は、過去のカテゴリと今回のカテゴリとは一致し、今回のカテゴリログのカテゴリとは一致しないことを示す。「ログ不一致」である場合、情報付与部１３０は、コンテンツのカテゴリは変化していないものの、通信先におけるアクセス傾向が変化したことを示す付与情報をアラートに付与する。
　「全不一致」は、３つのカテゴリが互いに異なることを示す。「全不一致」である場合、情報付与部１３０は、通信先に異常が発生している可能性が高いことを示す付与情報をアラートに付与する。
＊＊＊実施の形態３の効果の説明＊＊＊
　以上のように、本実施の形態によれば、情報付与部１３０が情報提示ＤＢ１８０に則って情報を付与するため、ユーザが通信ログの異常の詳細を把握しやすくなる。
　実施の形態４．
　以下、主に前述した実施の形態と異なる点について、図面を参照しながら説明する。
＊＊＊構成の説明＊＊＊
　図１３は、本実施の形態に係るセキュリティ監視システム９０の構成例を示している。
　本実施の形態に係るセキュリティ監視システム９０は、実施の形態３に係るセキュリティ監視システム９０と比較してコンテンツＤＢ１９０をさらに備える。コンテンツＤＢ１９０は、セキュリティ監視装置１００と一体的に構成されていてもよい。
　なお、図１３は実施の形態３をベースとした本実施の形態の構成を示しているが、本実施の形態は実施の形態１又は２をベースとしたものであってもよい。
　コンテンツＤＢ１９０は、監視対象システム２００が有するコンテンツを示すデータを記録する。コンテンツＤＢ１９０は、監視対象システム２００からコンテンツを示すデータを適宜取得し、取得したデータを記録する。コンテンツＤＢ１９０は、コンテンツを示すデータを、コンテンツを示すデータを取得した時点を示すデータと紐づけて記録してもよい。
　本実施の形態に係るコンテンツカテゴリ推定部１２２は、対象装置が有するコンテンツを示すデータが格納されたデータベースから取得したデータを用いる。
＊＊＊動作の説明＊＊＊
　本実施の形態に係るセキュリティ監視装置１００の動作は、前述の実施の形態に係るセキュリティ監視装置１００の動作と基本的に同じである。
　ただし、コンテンツ取得部１２１は、監視対象システム２００からコンテンツを示すデータを取得する代わりに、コンテンツＤＢ１９０が記録しているデータを取得する。
＊＊＊実施の形態４の効果の説明＊＊＊
　本実施の形態によれば、コンテンツ取得部１２１は、監視対象システム２００の代わりにコンテンツＤＢ１９０からコンテンツを示すデータを取得する。そのため、本実施の形態によれば、コンテンツ取得部１２１は、コンテンツ認証機能を有するサイト等のコンテンツを適切に取得することができる。
＊＊＊他の実施の形態＊＊＊
　前述した各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
　また、実施の形態は、実施の形態１から４で示したものに限定されるものではなく、必要に応じて種々の変更が可能である。フローチャート等を用いて説明した手順は、適宜変更されてもよい。
　１１　プロセッサ、１２　メモリ、１３　補助記憶装置、１４　入出力ＩＦ、１５　通信装置、１８　処理回路、１９　信号線、９０　セキュリティ監視システム、１００　セキュリティ監視装置、１１０　通信異常検知部、１２０　一貫性判定部、１２１　コンテンツ取得部、１２２　コンテンツカテゴリ推定部、１２３　カテゴリ比較部、１２４　ログカテゴリ推定部、１３０　情報付与部、１７０　カテゴリＤＢ、１８０　情報提示ＤＢ、１９０　コンテンツＤＢ、２００　監視対象システム、２１０　ログ採取装置。

Claims (10)

  1. 　監視対象システムが備える対象装置が有するコンテンツのカテゴリを推定した結果である第１推定カテゴリを、コンテンツを示すコンテンツデータを用いて前記コンテンツデータに示されるコンテンツのカテゴリを推定する学習モデルであるコンテンツカテゴリ推定モデルと、前記対象装置が有するコンテンツを示すデータとを用いて推定するコンテンツカテゴリ推定部と、
    　前記第１推定カテゴリと比較用カテゴリとが一致するか否かを判定するカテゴリ比較部と、
    　前記第１推定カテゴリと前記比較用カテゴリとが一致するか否かに応じた付与情報を生成する情報付与部と
    を備えるセキュリティ監視装置。
  2. 　前記比較用カテゴリは、過去において、前記対象装置が有するコンテンツのカテゴリを、前記コンテンツカテゴリ推定モデルと、前記対象装置が有するコンテンツを示すデータとを用いて推定した結果である請求項１に記載のセキュリティ監視装置。
  3. 　前記コンテンツカテゴリ推定モデルは、コンテンツを示すデータと、カテゴリとの関係を学習した学習モデルである請求項１又は２に記載のセキュリティ監視装置。
  4. 　前記セキュリティ監視装置は、さらに、
    　前記対象装置が有するコンテンツのカテゴリを推定した結果である第２推定カテゴリを、コンテンツを有する装置であるコンテンツ装置の通信ログを用いて前記コンテンツ装置が有するコンテンツのカテゴリを推定する学習モデルであるログカテゴリ推定モデルと、前記対象装置の通信ログとを用いて推定するログカテゴリ推定部
    を備え、
    　前記カテゴリ比較部は、前記第１推定カテゴリと前記第２推定カテゴリと前記比較用カテゴリとが一致するか否かを判定し、
    　前記情報付与部は、前記第１推定カテゴリと前記第２推定カテゴリと前記比較用カテゴリとの一致状況に応じた付与情報を生成する請求項１から３のいずれか１項に記載のセキュリティ監視装置。
  5. 　前記ログカテゴリ推定モデルは、コンテンツを有する装置の通信ログと、カテゴリとの関係を学習した学習モデルである請求項４に記載のセキュリティ監視装置。
  6. 　前記コンテンツカテゴリ推定部は、前記対象装置が有するコンテンツを示すデータが格納されたデータベースから取得したデータを用いる請求項１から５のいずれか１項に記載のセキュリティ監視装置。
  7. 　前記情報付与部は、情報提示規則に従って前記付与情報を生成する請求項１から６のいずれか１項に記載のセキュリティ監視装置。
  8. 　前記セキュリティ監視装置は、さらに、
    　コンテンツを有する装置であるコンテンツ装置の通信ログを用いて前記コンテンツ装置の通信ログが異常であるか否かを推定する学習モデルである正常通信推定モデルと、前記対象装置の通信ログとを用いて前記対象装置の通信ログが正常であるか否かを推定し、前記対象装置の通信ログが正常ではないと推定された場合にアラートを生成する通信異常検知部
    を備え、
    　前記情報付与部は、前記対象装置の通信ログが正常ではないと前記正常通信推定モデルによって推定された場合に、生成した付与情報を、生成されたアラートに付与する請求項１から７のいずれか１項に記載のセキュリティ監視装置。
  9. 　監視対象システムが備える対象装置が有するコンテンツのカテゴリを推定した結果である第１推定カテゴリを、コンテンツを示すコンテンツデータを用いて前記コンテンツデータに示されるコンテンツのカテゴリを推定する学習モデルであるコンテンツカテゴリ推定モデルと、前記対象装置が有するコンテンツを示すデータとを用いて推定し、
    　前記第１推定カテゴリと比較用カテゴリとが一致するか否かを判定し、
    　前記第１推定カテゴリと前記比較用カテゴリとが一致するか否かに応じた付与情報を生成するセキュリティ監視方法。
  10. 　監視対象システムが備える対象装置が有するコンテンツのカテゴリを推定した結果である第１推定カテゴリを、コンテンツを示すコンテンツデータを用いて前記コンテンツデータに示されるコンテンツのカテゴリを推定する学習モデルであるコンテンツカテゴリ推定モデルと、前記対象装置が有するコンテンツを示すデータとを用いて推定するコンテンツカテゴリ推定処理と、
    　前記第１推定カテゴリと比較用カテゴリとが一致するか否かを判定するカテゴリ比較処理と、
    　前記第１推定カテゴリと前記比較用カテゴリとが一致するか否かに応じた付与情報を生成する情報付与処理と
    をコンピュータであるセキュリティ監視装置に実行させるセキュリティ監視プログラム。
PCT/JP2021/023249 2021-06-18 2021-06-18 セキュリティ監視装置、セキュリティ監視方法、及び、セキュリティ監視プログラム WO2022264420A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN202180099236.3A CN117461033A (zh) 2021-06-18 2021-06-18 安全监视装置、安全监视方法和安全监视程序
JP2023526132A JP7357825B2 (ja) 2021-06-18 2021-06-18 セキュリティ監視装置、セキュリティ監視方法、及び、セキュリティ監視プログラム
PCT/JP2021/023249 WO2022264420A1 (ja) 2021-06-18 2021-06-18 セキュリティ監視装置、セキュリティ監視方法、及び、セキュリティ監視プログラム
US18/384,926 US20240080330A1 (en) 2021-06-18 2023-10-30 Security monitoring apparatus, security monitoring method, and computer readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/023249 WO2022264420A1 (ja) 2021-06-18 2021-06-18 セキュリティ監視装置、セキュリティ監視方法、及び、セキュリティ監視プログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/384,926 Continuation US20240080330A1 (en) 2021-06-18 2023-10-30 Security monitoring apparatus, security monitoring method, and computer readable medium

Publications (1)

Publication Number Publication Date
WO2022264420A1 true WO2022264420A1 (ja) 2022-12-22

Family

ID=84526001

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/023249 WO2022264420A1 (ja) 2021-06-18 2021-06-18 セキュリティ監視装置、セキュリティ監視方法、及び、セキュリティ監視プログラム

Country Status (4)

Country Link
US (1) US20240080330A1 (ja)
JP (1) JP7357825B2 (ja)
CN (1) CN117461033A (ja)
WO (1) WO2022264420A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002149496A (ja) * 2000-11-08 2002-05-24 Hitachi Ltd Ｗｅｂサーバ装置
JP2013196382A (ja) * 2012-03-19 2013-09-30 Nippon Telegr & Teleph Corp <Ntt> 文書分類方法、装置、及びプログラム
CN111191695A (zh) * 2019-12-19 2020-05-22 杭州安恒信息技术股份有限公司 一种基于深度学习的网站图片篡改检测方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002149496A (ja) * 2000-11-08 2002-05-24 Hitachi Ltd Ｗｅｂサーバ装置
JP2013196382A (ja) * 2012-03-19 2013-09-30 Nippon Telegr & Teleph Corp <Ntt> 文書分類方法、装置、及びプログラム
CN111191695A (zh) * 2019-12-19 2020-05-22 杭州安恒信息技术股份有限公司 一种基于深度学习的网站图片篡改检测方法

Also Published As

Publication number Publication date
US20240080330A1 (en) 2024-03-07
CN117461033A (zh) 2024-01-26
JPWO2022264420A1 (ja) 2022-12-22
JP7357825B2 (ja) 2023-10-06

Similar Documents

Publication Publication Date Title
US9769200B2 (en) Method and system for detection of malware that connect to network destinations through cloud scanning and web reputation
US8332947B1 (en) Security threat reporting in light of local security tools
US8904520B1 (en) Communication-based reputation system
US10728264B2 (en) Characterizing behavior anomaly analysis performance based on threat intelligence
US8495745B1 (en) Asset risk analysis
US8813228B2 (en) Collective threat intelligence gathering system
US9262638B2 (en) Hygiene based computer security
US8650647B1 (en) Web site computer security using client hygiene scores
US9300682B2 (en) Composite analysis of executable content across enterprise network
US9830453B1 (en) Detection of code modification
US8370942B1 (en) Proactively analyzing binary files from suspicious sources
JP6656211B2 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
US10505986B1 (en) Sensor based rules for responding to malicious activity
CN112703496B (zh) 关于恶意浏览器插件对应用用户的基于内容策略的通知
US20200125729A1 (en) Online assets continuous monitoring and protection
US10979446B1 (en) Automated vulnerability chaining
US11582255B2 (en) Dysfunctional device detection tool
US20170318037A1 (en) Distributed anomaly management
CN113711559A (zh) 检测异常的系统和方法
US9230105B1 (en) Detecting malicious tampering of web forms
WO2019163154A1 (ja) ルール生成装置およびルール生成プログラム
JP6623128B2 (ja) ログ分析システム、ログ分析方法及びログ分析装置
WO2022264420A1 (ja) セキュリティ監視装置、セキュリティ監視方法、及び、セキュリティ監視プログラム
US8433798B2 (en) Altering software behavior based on internet connectivity
JP2005242988A (ja) ログ情報管理システム、サービス提供システム、ログ情報管理プログラムおよびサービス提供プログラム、並びにログ情報管理方法およびサービス提供方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21946094

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2023526132

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 202180099236.3

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE