JP3811162B2 - 異常データ検出装置及び異常データ検出プログラム - Google Patents
異常データ検出装置及び異常データ検出プログラム Download PDFInfo
- Publication number
- JP3811162B2 JP3811162B2 JP2004107511A JP2004107511A JP3811162B2 JP 3811162 B2 JP3811162 B2 JP 3811162B2 JP 2004107511 A JP2004107511 A JP 2004107511A JP 2004107511 A JP2004107511 A JP 2004107511A JP 3811162 B2 JP3811162 B2 JP 3811162B2
- Authority
- JP
- Japan
- Prior art keywords
- data
- frequency
- abnormality
- notification
- event
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
図8及び図9に示すフローチャートを用いて、実施例1に係る異常データ検出装置1の処理を説明する。
上述したように本実施例1において異常データ検出装置1は、インターネット不正侵入検出システムで用いられるものである。この場合の異常検出基準データ12のデータ形式は、既知の攻撃パターンが記述されたパターンファイルがその一例となり、トラフィック特性としては統計的な閾値がその一例となる。
上述した実施例1の変形例では、低い感度レベル変更された場合、元に戻すように設定することも可能である。実施例1に係る異常データ検出装置1は、感度レベルが更新されると、これを管理者に通知する。このとき、管理者より感度レベルを元に戻す要求がされた場合、この要求に基づいて感度レベルは元に戻される。
頻度管理手段37は、頻度蓄積データに記憶される通知頻度と確認応答頻度との比が異常検出基準データ32で記憶される応答基準値よりも大きくなった場合に集約度データ35を更新する。
図17は、実施例2に係る異常データ検出装置3の処理手順を示すフローチャートである。
2a,2b…ネットワークセグメント
3…異常データ検出装置
10…データ解析手段
11…異常データ検出手段
12…異常検出基準データ
13…イベント蓄積データ
14…イベント通知手段
15…管理インタフェース
16…頻度管理手段
17…頻度算出手段
18…頻度蓄積データ
19…モデル補正手段
20…イベント通知データ
21…確認応答データ
22…更新通知データ
30…データ解析手段
31…異常データ検出手段
32…異常検出基準データ
33…イベント蓄積データ
34…イベント通知手段
35…集約度データ
36…管理インタフェース
37…頻度管理手段
38…頻度算出手段
39…頻度蓄積データ
101…中央処理制御装置
102…ROM
103…RAM
104…入力装置
105…表示装置
106…通信制御装置
107…記憶装置
108…リムーバブルディスク
109…入出力インタフェース
110…バス
Claims (12)
- アクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶された異常検出基準データ記憶手段と、
検出された異常データを蓄積して記憶するイベント蓄積データ記憶手段と、
前記アクセスデータから算出された特徴量を前記異常検出基準データ記憶手段に記憶される前記感度レベルと比較し異常データを検出するとともに、検出された前記異常データを、前記イベント蓄積データ記憶手段に記憶させる異常データ検出手段と、
前記イベント蓄積データ記憶手段に記憶される前記異常データの通知に対して受信した確認応答の頻度を確認応答頻度に基づいて、算出された確認応答頻度と前記応答基準値とを比較して前記感度レベルの補正指示を出力する頻度管理手段と、
前記頻度管理手段の前記補正指示に基づいて、前記異常検出基準データ記憶手段で記憶されている前記感度レベルを補正するモデル補正手段と、
を有することを特徴とする異常データ検出装置。 - 前記頻度管理手段は、前記確認応答頻度を前記応答基準値と比較するとともに、確認応答頻度が大きい場合、前記感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、前記感度レベルを下げる補正指示を出力する
ことを特徴とする請求項1に記載の異常データ検出装置。 - 前記異常検出基準データ記憶手段に記憶された応答基準値は、異常データの検出を通知した通知頻度と前記確認応答頻度との比であって、
前記頻度管理手段では、
さらに前記異常データの検出が通知された通知頻度を算出させるとともに、算出された前記通知頻度を頻度蓄積データ記憶手段に記憶させ、
前記通知頻度と前記確認応答頻度との比を算出し、前記応答基準値と比較するとともに、確認応答頻度が大きい場合、前記感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、前記感度レベルを下げる補正指示を出力する
ことを特徴とする請求項1に記載の異常データ検出装置。 - 前記異常検出基準データ記憶手段に記憶された前記感度レベル及び前記応答基準値は、前記異常データの種類を識別する異常検出識別子ごとに記憶され、
前記異常データ検出手段は、更に、前記異常データの異常検出基準識別子を抽出して、抽出された前記異常検出基準識別子を前記イベント蓄積データ記憶手段に記憶し、
前記確認応答頻度は、前記異常検出基準識別子ごとに算出される
ことを特徴とする請求項1乃至3のいずれか1に記載の異常データ検出装置。 - 前記異常データ検出手段は、更に、検出された異常データを一意に識別するイベント番号と、前記異常データ記憶手段の検出を通知した通知時刻とを、前記異常データに関連付けて前記イベント蓄積データに記憶させ、
前記確認応答に含まれた前記イベント番号を抽出するとともに、抽出された前記イベント番号に基づいて前記イベント蓄積データ記憶手段から前記通知時刻を抽出し、
前記通知時刻から前記確認応答を受信した時刻までの時間を前記イベント番号ごとに算出し、
算出された前記時間の平均時間の逆数が、前記確認応答頻度として算出される
ことを特徴とする請求項1乃至4のいずれか1に記載の異常データ検出装置。 - アクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶された異常検出基準データ記憶手段と、
前記アクセスデータから算出された特徴量を前記感度レベルと比較して異常データを検出するとともに、検出された前記異常データを、イベント蓄積データ記憶手段に記憶させる異常データ検出手段と、
同一種の異常データを集約度データに予め定められる数の異常データ検出がされると、検出された異常データを集約してイベント通知データとして送信するイベント通知手段と、
前記イベント通知に対するして受信した確認応答の頻度に基づいて算出された確認応答頻度を前記応答基準値と比較して前記集約度を補正する頻度管理手段と、
を有することを特徴とする異常データ検出装置。 - アクセスデータから算出された特徴量をアクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶された異常検出基準データ記憶手段で記憶される前記感度レベルと比較し異常データを検出するとともに、検出された前記異常データを、イベント蓄積データ記憶手段に記憶させるステップと、
前記イベント蓄積データ記憶手段で記憶される検出された前記異常データの通知に対して受信した確認応答の頻度を確認応答頻度に基づいて、算出された確認応答頻度と前記異常データ検出基準データ記憶手段に予め記憶されている応答基準値とを比較して前記感度レベルの補正指示を出力するステップと、
前記補正指示に基づいて、前記異常検出基準データで記憶されている前記感度レベルを補正するステップと、
をコンピュータに実行させることを特徴とする異常データ検出プログラム。 - 感度レベルの補正指示を出力するステップは、前記確認応答頻度を前記応答基準値と比較するとともに、確認応答頻度が大きい場合、前記感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、前記感度レベルを下げる補正指示を出力する
ことを特徴とする請求項7に記載の異常データ検出プログラム。 - 前記異常検出基準データに記憶された応答基準値は、異常データの検出を通知した通知頻度と前記確認応答頻度との比であって、
前記感度レベルの補正指示を出力するステップは、さらに前記異常データの検出が通知された通知頻度を算出するとともに、算出された前記通知頻度を頻度蓄積データ記憶手段に記憶させ、
前記通知頻度と前記確認応答頻度との比を算出し、前記応答基準値と比較するとともに、確認応答頻度が大きい場合、前記感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、前記感度レベルを下げる補正指示を出力する
ことを特徴とする請求項7に記載の異常データ検出プログラム。 - 前記異常検出基準データに記憶された前記感度レベル及び前記応答基準値は、前記異常データの種類を識別する異常検出識別子ごとに記憶され、
前記確認応答頻度は、前記異常検出基準識別子ごとに算出され、
前記異常データの異常検出基準識別子を抽出して、抽出された前記異常検出基準識別子を前記イベント蓄積データ記憶手段に記憶するステップをコンピュータに実行させることを特徴とする請求項7乃至9のいずれか1に記載の異常データ検出プログラム。 - 検出された異常データを一意に識別するイベント番号と、前記異常データの検出を通知した通知時刻とを、前記異常データに関連付けて前記イベント蓄積データ記憶手段に記憶させるステップと、
前記確認応答に含まれた前記イベント番号を抽出するとともに、抽出された前記イベント番号に基づいて前記イベント蓄積データ記憶手段から前記通知時刻を抽出するステップと、
前記通知時刻から前記確認応答を受信した時刻までの時間を前記イベント番号ごとに算出するステップと、
算出された前記時間の平均時間の逆数が、前記確認応答頻度として算出するステップと、
をさらにコンピュータに実行させることを特徴とする請求項7乃至10のいずれか1に記載の異常データ検出プログラム。 - アクセスデータから算出された特徴量をアクセスデータの異常を検出するために異常検出基準データ記憶手段に記憶されている感度レベルと比較して異常データを検出するとともに、検出された前記異常データを、イベント蓄積データ記憶手段に記憶させるステップと、
同一種の異常データを集約度データに予め定められる数の異常データ検出がされると、検出された異常データを集約してイベント通知データとして送信するステップと、
前記イベント通知データに対して受信した確認応答の頻度に基づいて算出された確認応答頻度を予め定められて異常検出基準データ記憶手段に記憶されている応答基準値と比較して前記集約度を補正するステップと、
をコンピュータに実行させることを特徴とする異常データ検出プログラム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2004107511A JP3811162B2 (ja) | 2004-03-31 | 2004-03-31 | 異常データ検出装置及び異常データ検出プログラム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2004107511A JP3811162B2 (ja) | 2004-03-31 | 2004-03-31 | 異常データ検出装置及び異常データ検出プログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2005295212A JP2005295212A (ja) | 2005-10-20 |
JP3811162B2 true JP3811162B2 (ja) | 2006-08-16 |
Family
ID=35327655
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2004107511A Expired - Fee Related JP3811162B2 (ja) | 2004-03-31 | 2004-03-31 | 異常データ検出装置及び異常データ検出プログラム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP3811162B2 (ja) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20190006032A (ko) | 2016-07-06 | 2019-01-16 | 미쓰비시덴키 가부시키가이샤 | 이상 데이터의 중요도 판정 장치 및 이상 데이터의 중요도 판정 방법 |
Families Citing this family (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP4869160B2 (ja) * | 2007-06-07 | 2012-02-08 | アラクサラネットワークス株式会社 | パケット中継装置 |
JP2014232923A (ja) * | 2013-05-28 | 2014-12-11 | 日本電気株式会社 | 通信装置、サイバー攻撃検出方法、及びプログラム |
JP6117050B2 (ja) * | 2013-08-09 | 2017-04-19 | 株式会社日立製作所 | ネットワーク制御装置 |
JP6641819B2 (ja) * | 2015-09-15 | 2020-02-05 | 富士通株式会社 | ネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラム |
-
2004
- 2004-03-31 JP JP2004107511A patent/JP3811162B2/ja not_active Expired - Fee Related
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20190006032A (ko) | 2016-07-06 | 2019-01-16 | 미쓰비시덴키 가부시키가이샤 | 이상 데이터의 중요도 판정 장치 및 이상 데이터의 중요도 판정 방법 |
DE112016006946T5 (de) | 2016-07-06 | 2019-02-28 | Mitsubishi Electric Corporation | Vorrichtung zur bewertung der priorität von anomaliedaten und verfahren zur bewertung der priorität von anomaliedaten |
Also Published As
Publication number | Publication date |
---|---|
JP2005295212A (ja) | 2005-10-20 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN111310196B (zh) | 风险识别方法及装置和电子设备 | |
CN102577305A (zh) | 网络中的异常检测的方法 | |
CN105306445A (zh) | 用于检测服务器的漏洞的***和方法 | |
JP4261389B2 (ja) | 不正アクセス検出装置及び不正アクセス検出プログラム | |
CN110959158A (zh) | 信息处理装置、信息处理方法和信息处理程序 | |
CN108234171A (zh) | 一种数据处理方法、***以及装置 | |
CN115001812B (zh) | 基于互联网的数据中心在线监管安全预警*** | |
CN110768946A (zh) | 一种基于布隆过滤器的工控网络入侵检测***及方法 | |
CN107426136B (zh) | 一种网络攻击的识别方法和装置 | |
CN108280346A (zh) | 一种应用防护监控方法、装置以及*** | |
JP2007164465A (ja) | クライアントセキュリティ管理システム | |
CN111970229A (zh) | 一种针对多种攻击方式的can总线数据异常检测方法 | |
JP3811162B2 (ja) | 異常データ検出装置及び異常データ検出プログラム | |
US20070061891A1 (en) | Environment information transmission method, service controlling system, and computer product | |
CN117201188B (zh) | 基于大数据的it安全运行风险预测方法、***和介质 | |
CN106899977B (zh) | 异常流量检验方法和装置 | |
CN108270746B (zh) | 用户访问请求处理方法及装置 | |
WO2007074992A1 (en) | Method for detecting malicious code changes from hacking of program loaded and executed on memory through network | |
CN113704067B (zh) | 无形资产管理***监控方法 | |
JP4852124B2 (ja) | 異常データ検出装置、異常データ検出方法及び異常データ検出プログラム | |
US11438348B2 (en) | Efficient determination of expected maximum for anomaly detection | |
JP2022138009A (ja) | 分析装置 | |
CN112507270A (zh) | 基于云防护中标题逃逸的网站篡改告警方法及相关装置 | |
KR101963174B1 (ko) | 보안기능을 갖는 오류 관리 시스템 및 그 제어방법 | |
CN112287252A (zh) | 网站域名劫持检测方法、装置、设备及存储介质 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060417 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20060516 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20060525 |
|
R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100602 Year of fee payment: 4 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100602 Year of fee payment: 4 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110602 Year of fee payment: 5 |
|
LAPS | Cancellation because of no payment of annual fees |