JP3811162B2 - 異常データ検出装置及び異常データ検出プログラム - Google Patents

Description

入力されたデータから異常データを検出し、通知する異常データ検出装置及び異常データ検出プログラムに関する。

従来、インターネット等の通信ネットワークにおけるネットワークセグメントから不正アクセスの疑いがある異常データを検出する異常データ検出装置が普及している。異常データ検出装置は、データが正常なのか異常なのかを判断するために、例えば一定の基準モデルに従って異常データを検出する。異常データが検出されると、異常データ検出装置は、異常データ検出装置の管理者や異常データ検出装置が保護するサーバ装置の管理者に通知している。しかしながら従来から、このような異常検出装置は異常の検出通知が多すぎることが指摘されている。

インターネットや情報機器の普及により、世界中の任意の情報機器の間で様々なデータが送受信されている。このデータの中には、情報漏洩や不正プログラムの浸入を狙った不正アクセスに関するものも含まれる。

そこで、不正アクセスの送信元であるＩＰアドレス及びポート番号からの通信を排除し、保護対象となるサーバ装置を保護するプロキシサーバや、所定の攻撃パターンファイルに格納されたパターンと一致する不正アクセスを排除するサーバがある。

しかし、これらの方法では未知の攻撃から保護対象を保護することができない。従って、未知の攻撃からも保護できる異常データ検出装置が求められている。

例えば特許文献１に記載の方法は、このような異常データ検出の通知を受信すると、管理者の操作により、異常検出の基準モデルを変更するものである。このように、異常検出の基準モデルを補正することで、不要な異常検出の通知を最適にすることが可能になる。
特願２００３−３１８７９０号公報

しかしながら、上述した特許文献１で記載されている技術では、異常検出基準の変更のために、管理者による操作が必要とされる。そのため、たとえば管理者が操作しない限り、膨大な量の不正アクセスの通知が管理者にされる。このような状況の場合、管理者の通知の確認に関する負担が強いられる。また、本来必要な通知が、送信される必要のない通知に紛れてしまう問題がある。

また、異常検出の基準モデルを適切に設定するためには、判断と手間が必要である。さらに、その設定にはコストを要するため、結果的に多くの通知が放置されてしまう等の、適正な管理がおこなわれていない状況に陥ってしまう問題があった。また、真に検出すべき異常データの検出通知が、誤検出を含む多大な異常データの検出通知の中に埋もれてしまう。そのため、真の異常データが見逃されてしまうセキュリティ上のリスクも懸念され、本来の機能の有効性の観点からも問題があった。

そこで、本発明は上記課題を解決するためになされたものであり、異常データを適切に検出して通知する異常データ検出装置及び異常データ検出プログラムを提供することを目的とする。

上記課題を解決するため、本発明の第１の特徴に係る異常データ検出装置は、アクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶された異常検出基準データ記憶手段と、検出された異常データを蓄積して記憶するイベント蓄積データ記憶手段と、アクセスデータから算出された特徴量を異常検出基準データ記憶手段に記憶される感度レベルと比較し異常データを検出するとともに、検出された異常データを、イベント蓄積データ記憶手段に記憶させる異常データ検出手段と、前記イベント蓄積データ記憶手段に記憶される前記異常データの通知に対して受信した確認応答の頻度を確認応答頻度に基づいて、算出された確認応答頻度と前記応答基準値とを比較して感度レベルの補正指示を出力する頻度管理手段と、頻度管理手段の補正指示に基づいて、異常検出基準データで記憶されている感度レベルを補正するモデル補正手段とを有することを特徴としている。

上述した本発明によれば、異常データ検出を通知した管理端末からの確認応答の頻度に基づいて重要度を推測して、異常データの検出を調整することができる。これにより、管理インタフェースへの通知が真に確認の必要なものに絞られ、異常データ検出に関する適正な運用が促進される。

また、頻度管理手段は、確認応答頻度を応答基準値と比較するとともに、確認応答頻度が大きい場合、感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、感度レベルを下げる補正指示を出力するのが好ましい。

上述した本発明によれば、異常データ検出を通知した管理端末からの確認応答の頻度に基づいて重要度を推測して感度レベルを最適に変更させることで、異常データの検出を調整することができる。これにより、管理インタフェースへの通知が真に確認の必要なものに絞られ、異常データ検出に関する適正な運用が促進される。

また、異常検出基準データに記憶された応答基準値は、異常データの検出を通知した通知頻度と確認応答頻度との比であって、頻度管理手段では、さらに異常データの検出が通知された通知頻度を算出させるとともに、算出された通知頻度を頻度蓄積データ記憶手段に記憶させ、通知頻度と確認応答頻度との比を算出し、応答基準値と比較するとともに、確認応答頻度が大きい場合、感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、感度レベルを下げる補正指示を出力するのが好ましい。

上述した本発明によれば、異常データ検出を通知した管理端末からの確認応答の頻度を確認応答頻度として異常蓄積データ記憶手段に逐次記憶し、記憶される確認応答頻度に基づいて重要度を推測して、感度レベルを最適に変更させることで異常データの検出を調整することができる。これにより、管理インタフェースへの通知が真に確認の必要なものに絞られ、異常データ検出に関する適正な運用が促進される。

また、異常検出基準データに記憶された感度レベル及び応答基準値は、異常データの種類を識別する異常検出識別子ごとに記憶され、異常データ検出手段は、更に、異常データの異常検出基準識別子を抽出して、抽出された異常検出基準識別子をイベント蓄積データ記憶手段に記憶し、確認応答頻度は、異常検出基準識別子ごとに算出されるのが好ましい。

上述した本発明によれば、異常データの種類毎に感度レベル及び応答基準値を記憶するため、異常データ検出を通知した管理端末からの確認応答の頻度に基づいて的確に重要度を推測して、異常データの検出を調整することができる。これにより、管理インタフェースへの通知が真に確認の必要なものに絞られ、異常データ検出に関する適正な運用が促進される。

また、異常データ検出手段は、更に、検出された異常データを一意に識別するイベント番号と、異常データの検出を通知した通知時刻とを、異常データに関連付けてイベント蓄積データ記憶手段に記憶させ、確認応答に含まれたイベント番号を抽出するとともに、抽出されたイベント番号に基づいてイベント蓄積データから通知時刻を抽出し、通知時刻から確認応答を受信した時刻までの時間をイベント番号ごとに算出し、算出された時間の平均時間の逆数が、確認応答頻度として算出されることが好ましい。

上述した本発明によれば、検出された異常データ毎に識別してイベント蓄積データに記憶させて、異常データ検出を通知した管理端末からの確認応答の頻度に基づいて的確に重要度を推測して、異常データの検出を調整することができる。これにより、管理インタフェースへの通知が真に確認の必要なものに絞られ、異常データ検出に関する適正な運用が促進される。

本発明の第２の特徴に係る異常データ検出装置は、アクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶された異常検出基準データ記憶手段と、アクセスデータから算出された特徴量を感度レベルと比較して異常データを検出するとともに、検出された異常データを、イベント蓄積データ記憶手段に記憶させる異常データ検出手段と、同一種の異常データを集約度データに予め定められる数の異常データ検出がされると、検出された異常データを集約してイベント通知データとして送信するイベント通知手段と、イベント通知に対するして受信した確認応答の頻度に基づいて算出された確認応答頻度を応答基準値と比較して集約度を補正する頻度管理手段とを有することを特徴としている。

上述した本発明によれば、異常の通知を予め設定された集約度で集約して通知するので、異常の通知の数を減少することができる。これにより、管理者の異常の通知に対する負担を軽減することができる。また、管理インタフェースへの通知が真に確認の必要なものに絞られ、異常データ検出に関する適正な運用が促進される。

本発明の第３の特徴に係る異常データ検出プログラムは、アクセスデータから算出された特徴量をアクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶された異常検出基準データ記憶手段で記憶される感度レベルと比較し異常データを検出するとともに、検出された異常データを、イベント蓄積データ記憶手段に記憶させるステップと、イベント蓄積データ記憶手段で記憶される検出された異常データの通知に対して受信した確認応答の頻度を確認応答頻度に基づいて、算出された確認応答頻度と異常データ検出基準データ記憶手段に予め記憶されている応答基準値とを比較して感度レベルの補正指示を出力するステップと、補正指示に基づいて、異常検出基準データ記憶手段で記憶されている感度レベルを補正するステップとをコンピュータに実行させることを特徴としている。

また、感度レベルの補正指示を出力するステップは、確認応答頻度を応答基準値と比較するとともに、確認応答頻度が大きい場合、感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、感度レベルを下げる補正指示を出力するのが好ましい。

また、異常検出基準データ記憶手段に記憶された応答基準値は、異常データの検出を通知した通知頻度と確認応答頻度との比であって、感度レベルの補正指示を出力するステップは、さらに異常データの検出が通知された通知頻度を算出するとともに、算出された通知頻度を頻度蓄積データ記憶手段に記憶させ、通知頻度と確認応答頻度との比を算出し、応答基準値と比較するとともに、確認応答頻度が大きい場合、感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、感度レベルを下げる補正指示を出力するのが好ましい。

また、異常検出基準データ記憶手段に記憶された感度レベル及び応答基準値は、異常データの種類を識別する異常検出識別子ごとに記憶され、確認応答頻度は、異常検出基準識別子ごとに算出され、異常データの異常検出基準識別子を抽出して、抽出された異常検出基準識別子をイベント蓄積データ記憶手段に記憶するステップをコンピュータに実行させるのが好ましい。

また、検出された異常データを一意に識別するイベント番号と、異常データの検出を通知した通知時刻とを、異常データに関連付けてイベント蓄積データ記憶手段に記憶させるステップと、確認応答に含まれたイベント番号を抽出するとともに、抽出されたイベント番号に基づいてイベント蓄積データから通知時刻を抽出するステップと、通知時刻から確認応答を受信した時刻までの時間をイベント番号ごとに算出するステップと、算出された時間の平均時間の逆数が、確認応答頻度として算出するステップとをさらにコンピュータに実行させるのが好ましい。

本発明の第４の特徴に係る異常データ検出プログラムは、アクセスデータから算出された特徴量をアクセスデータの異常を検出するために異常検出基準データに記憶されている感度レベルと比較して異常データを検出するとともに、検出された異常データを、イベント蓄積データに記憶させるステップと、同一種の異常データを集約度データに予め定められる数の異常データ検出がされると、検出された異常データを集約してイベント通知データとして送信するステップと、イベント通知データに対して受信した確認応答の頻度に基づいて算出された確認応答頻度を予め定められて異常検出基準データに記憶されている応答基準値と比較して集約度を補正するステップとをコンピュータに実行させることを特徴としている。

上述したように、本発明によれば、異常データを適切に検出し、通知する異常データ検出装置及び異常データ検出プログラムを提供することができる。

以下に、本発明の各実施例について、図面を参照しながら説明する。

本発明の実施例１に係る異常データ検出装置１は、ネットワークから受信したアクセスデータから不正アクセスの疑いがあるアクセスデータを異常データとして検出する。

本発明の実施例１に係る異常データ検出装置１は、図１に示すように、ネットワークセグメント２ａ及び２ｂに接続され、ネットワークセグメント２ａを介してアクセスデータを受信し、受信したアクセスデータから不正な疑いのあるアクセスデータを異常データとして検出する一方、正常なアクセスデータはネットワークセグメント２ｂを介して保護対象となるサーバに送信される。

異常データが検出されると、異常データ検出装置１の管理端末や保護対象となるサーバの管理端末に異常データが検出されたことを通知する。ここで、ネットワークセグメント２ａ，２ｂは、例えばインターネットやイントラネットのように、相互にデータ通信が行われる通信回線である。

異常データ検出装置１は、例えば一般的なコンピュータの中央処理制御装置において、異常データ検出プログラムが実行されることにより実現される。

図１に示す様に異常データ検出装置１は、データ解析手段１０と、異常データ検出手段１１と、異常検出基準データ１２と、イベント蓄積データ１３と、イベント通知手段１４と、管理インタフェース１５と、頻度管理手段１６と、頻度算出手段１７と、頻度蓄積データ１８と、モデル補正手段１９とを備える。

本発明の実施例１に係る異常データ検出装置１は、図２に示すように、中央処理制御装置１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３及び入出力インタフェース１０９が、バス１１０を介して接続されている。入出力インタフェース１０９には、入力装置１０４、表示装置１０５、通信制御装置１０６、記憶装置１０７及びリムーバブルディスク１０８が接続されている。

中央処理制御装置１０１は、入力装置１０４からの入力信号に基づいてＲＯＭ１０２から異常データ検出装置１を起動するためのブートプログラムを読み出して実行し、記憶装置１０７に記憶されたオペレーティングシステムを読み出す。また、中央処理制御装置１０１は、入力装置１０４や通信制御装置１０６などの入力信号に基づいて、各種装置の制御を行ったり、ＲＡＭ１０３や記憶装置１０７などに記憶されたプログラム及びデータを読み出してＲＡＭ１０３にロードするとともに、ＲＡＭ１０３から読み出されたプログラムのコマンドに基づいて、データの計算又は加工など、後述する一連の処理を実現する処理装置である。

入力装置１０４は、操作者が各種の操作を入力するキーボード、マウスなどの入力デバイスにより構成されており、操作者の操作に基づいて入力信号を作成し、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送信される。表示装置１０５は、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイなどであり、中央処理制御装置１０１からバス１１０及び入出力インタフェース１０９を介して表示装置１０５において表示させる出力信号を受信し、例えば中央処理制御装置１０１の処理結果などを表示する装置である。通信制御装置１０６は、ＬＡＮカードやモデムなどの装置であり、異常データ検出装置１をインターネットやＬＡＮなどの通信ネットワークに接続する装置である。通信制御装置１０６を介して通信ネットワークと送受信したデータは入力信号又は出力信号として、入出力インタフェース及びバス１１０を介して中央処理制御装置１０１に送受信される。

記憶装置１０７は磁気ディスク装置であって、中央処理制御装置１０１で実行されるプログラムやデータが記憶されている。リムーバブルディスク１０８は、光ディスクやフレキシブルディスクのことであり、ディスクドライブによって読み書きされた信号は、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送受信される。

本発明の実施例１に係る異常データ検出装置１の記憶装置１０７には、異常データ検出プログラムが記憶されるとともに、異常検出基準データ１２、イベント蓄積データ１３、頻度蓄積データ１８が記憶される。又、異常データ検出プログラムが異常データ検出装置１の中央処理制御装置１０１に読み込まれ実行されることによって、データ解析手段１０、異常データ検出手段１１、イベント通知手段１４、管理インタフェース１５、頻度管理手段１６、頻度算出手段１７、モデル補正手段１９が異常データ検出装置１に実装される。

データ解析手段１０は、ネットワークセグメント２ａからアクセスデータを受信すると、アクセスデータを読み出して、後述する所定の規則に従って解析することにより、アクセスデータの特徴量を算出する。データ解析手段１０で解析された解析結果は、異常データ検出手段１１に入力される。この特徴量については後に詳述する。

異常検出基準データ１２は、ネットワークセグメント２ａから受信したアクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶されている。異常検出基準データ１２は、データ形式もしくはトラフィック特性に関する記述とこれに対して異常を検出するための基準が記述され、異常の検出に用いられる。

図３に示す様に異常検出基準データ１２は、例えば「異常検出基準識別子」を行のインデックスとして、「検出基準モデル」、「感度レベル」及び「応答基準値」を備えている。

「異常検出基準識別子」は、異常データの種類を識別する識別子であって、異常を識別するために各異常に対して定められた特異の記述である。例えば、異常検出基準データ１２をパターンファイルとして記述したときは、パターン番号として解釈できる。

「検出基準モデル」は、異常に関する具体的な記述形式である。例えば、文字列を対象とする場合の正規表現を用いた記述や、正規表現以外の記述方法としては文字列中に含まれる特定文字の個数等であってもよい。また、トラフィック特性を対象とする場合の単位時間当たりの接続要求数やデータ転送量等でもよい。

「感度レベル」は、アクセスデータの異常データを検出する閾値であって、対象とするアクセスデータに関して静的もしくは動的に評価される値に関する閾値であってもよい。感度レベルの値は、後に説明するように、モデル補正手段１９によって制御可能である。

異常データ検出手段１１は、アクセスデータから算出された特徴量を感度レベルと比較して、異常データを検出するとともに、検出された異常データを、イベント蓄積データ１３として記憶装置１０７に記憶させる。

具体的には、データ解析手段１０によって算出された特徴量を、異常検出基準データ１２に記憶されている感度レベルと比較する。特徴量と感度レベルとを比較したとき特徴量が感度レベルよりも大きい場合には、異常データ検出手段１１は入力されたアクセスデータが異常データであると判断する。

イベント蓄積データ１３は、アクセスデータから算出された特徴量を感度レベルと比較して検出された異常データが記憶装置１０７に記憶されるデータである。

異常データ検出手段１１で異常データが検出されると、この異常データに関する事項をイベント蓄積データ１３として記憶装置１０７に記憶させる。このとき、イベント蓄積データ１３は、検出された異常データを一意に識別するイベント番号を用いて記憶される。このようにして、イベント蓄積データ１３は、異常データ検出手段１１で異常データが検出されると、新たなイベントとして、イベントに関する情報が順次追加して記述される。

ここで、図４に示す例を用いて、イベント蓄積データ１３について説明する。イベント蓄積データ１３は、「イベント番号」をイベントを識別するインデックスとして、「通知時刻」、「通知情報」及び「異常検出基準識別子」が関連付けられて記憶されている。イベント蓄積データ１３は、異常データが検出される度に、発生したイベントに関する情報が追加されて記憶される。

「イベント番号」は、イベント毎に与えられている通し番号である。「通知時刻」は、イベント発生が管理端末に通知された時刻である。「通知情報」は、発生したイベントの内容を管理端末に通知した通知情報である。「異常検出識別子」は、発生したイベントに該当する異常検出基準識別子であり、異常検出基準データ１２で記憶される「異常検出識別子」である。

イベント通知手段１４は、新たなイベントがイベント蓄積データ１３で追加された場合に、イベント蓄積データ１３として記憶されるイベントに基づいて、イベント通知データ２０を生成する。また、イベント通知手段１４は、生成されたイベント通知データ２０を管理インタフェース１５に送信することにより、管理者に異常の発生を通知する。

例えばイベント通知データ２０は、図５で示すように「イベント番号」、「通知時刻」、「通知情報」及び「通知メッセージ」を備えている。ここで、「イベント番号」、「通知時刻」、「通知情報」及び「異常検出基準識別子」は、イベント蓄積データ１３で記憶されている情報である。「通知メッセージ」は、発生したイベントの内容を管理端末に具体的に通知するためのメッセージである。

管理インタフェース１５は、イベント通知手段１４から送信されたイベント通知データ２０を受信して異常データ検出装置１の管理端末に出力する。また、管理端末でイベントの通知に対して応答されると管理インタフェース１５は、この応答に基づいて、確認応答データ２１を生成し、頻度管理手段１６に確認応答データ２１を送信する。

例えば確認応答データ２１は、図６で示すように「イベント番号」、「応答時刻」及び「確認応答内容」を備えている。「イベント番号」はイベント蓄積データ１３およびイベント通知データ２０で記述されている「イベント番号」と同様である。「応答時刻」は管理端末においてイベント通知データ２０に対して応答した時刻、又は、異常データ検出装置１が、確認応答データ２１を受信した時刻である。「確認応答内容」は、確認応答の具体的な内容である。

頻度管理手段１６は、検出された異常データの通知に対して受信した確認応答の頻度に基づいて算出された確認応答頻度と応答基準値を比較して、感度レベルの補正指示を出力する。

また、頻度管理手段１６は、確認応答頻度と応答基準値とを比較するとともに、確認応答頻度が大きい場合は感度レベルを上げる補正指示をモデル補正手段１９に出力し、確認応答頻度が小さい場合は感度レベルを下げる補正指示をモデル補正手段１９に出力する。

さらに、頻度管理手段１６は、異常データの検出が通知された通知頻度を頻度算出手段１７に算出させる。

具体的に頻度管理手段１６は、イベント蓄積データ１３に新たに追加されたイベントを管理インタフェース１５に通知する頻度を「通知頻度」として記憶する。また頻度管理手段１６は、イベント通知データに対する管理者からの確認応答データを受信して「確認応答頻度」を記憶する。さらに、頻度管理手段１６は、異常検出基準データ１２の「応答基準値」及び頻度蓄積データ１８の「確認応答頻度」に基づいて異常検出基準データ１２の感度レベルの更新を指示する。

頻度管理手段１６は、イベント蓄積データ１３として新たなイベントが記憶装置１０７に記憶されると、頻度算出手段１７にイベント通知データ２０の送信に関する「通知頻度」を算出させる。一方、頻度管理手段１６は、確認応答データ２１を管理インタフェース１５から受信すると、頻度算出手段１７に「確認応答頻度」を算出させる。

頻度算出手段１７は、このように、頻度管理手段１６からの算出指示に基づいて「通知頻度」及び「確認応答頻度」を算出する。また、頻度算出手段１７は、算出した「通知頻度」及び「確認応答頻度」を、頻度蓄積データ１８として記憶装置１０７に記憶させる。

図７で示すように頻度蓄積データ１８は、「異常検出基準識別子」を行のインデックスとして、「通知頻度」、「確認応答頻度」及び「平均確認応答時間」を備えている。異常データが検出されてイベント蓄積データ１３が更新されてイベント通知データが送信された場合には、頻度管理手段１６は、頻度算出手段１７に通知頻度を算出させ、頻度蓄積データ１８に更新する。また、頻度管理手段１６は、管理インタフェース１５から確認応答データ２１を受信した場合には、頻度算出手段１７に確認応答頻度を算出させ、頻度蓄積データ１８に更新する。

「通知頻度」は、異常データの検出が管理端末に通知された頻度であって、単位時間当たりのイベント通知の平均回数である。ある時点における通知頻度は、頻度蓄積データ１８に記憶された該当する異常検出基準識別子のイベントに対するイベント通知データ２０と新たに送信されたイベント通知データを対象として、当該イベント通知の発生回数である異常発生回数の単位時間あたりの平均として計算される。

「平均確認応答時間」は、イベント通知手段１４によってイベント通知データ２０が送信されてから、頻度管理手段１６によって確認応答データ２１が受信されるまでの時間の平均である。このとき、平均確認応答時間は、異常検出識別子毎に算出される。ある時点における平均確認応答時間は、頻度蓄積データ１８に記憶された該当する異常検出識別子のイベントに対する確認応答データ２１と、新たに受信した確認応答データ２１を対象として、異常発生回数の平均として計算される。

なお、通知したが、これに対する確認応答がなされていない場合には、現時点における確認応答頻度は、その通知発生から現時点までの経過時間を、応答時間の代わりとして計算するものとする。

「確認応答頻度」は、検出された異常データの通知に対して受信した確認応答の頻度に基づいて算出される。具体的に確認応答頻度は、通知されてから応答までの平均確認応答時間の逆数である。

モデル補正手段１９は、頻度管理手段１６からの指示により、異常検出基準データ１２を更新する。

＜異常データ検出装置における処理＞
図８及び図９に示すフローチャートを用いて、実施例１に係る異常データ検出装置１の処理を説明する。

初めに、データ解析手段１０によって、ネットワークセグメント２ａからアクセスデータを受信したか否かが判断される（Ｓ００１）。ネットワークセグメント２ａからアクセスデータが入力されると、データ解析手段１０によって、所定の規則に従って入力されたアクセスデータが解析され、アクセスデータに基づいて、評価値データが算出される。（Ｓ００２）。

ここで、所定の規則とは、例えば異常データ検出の対象としているデータ形式若しくはトラフィック特性を抽出する規則であり、例えば、ＨＴＴＰやＳＭＴＰ等のプロトコルのデータ形式や、接続要求数やデータの転送量といったトラフィック特性を抽出する規則である。

データ解析手段１０によって評価値データが算出されると、異常データ検出手段１１によって、不正アクセスの有無を判断する異常検出基準データ１２を記憶装置１０７から読み出す（Ｓ００３）。

異常データ検出手段１１によって読み出した異常検出基準データ１２に基づいてアクセスデータが正常なアクセスデータであるか、異常なアクセスデータであるかが判断される（Ｓ００４）。この異常データは、図３で示した異常検出基準データ１２の異常検出の閾値である「感度レベル」に基づいて判断される。ここで感度レベルは、異常データの異常検出基準識別子ごとに設定されている。

ステップＳ００４において、このアクセスデータは異常データであると判断されると、異常データ検出手段１１によって異常データは新たなイベントとしてイベント蓄積データ１３に記憶され、イベント蓄積データ１３が更新される（Ｓ００５）。

図４で説明したようにイベント蓄積データ１３には、検知された異常データを識別する「イベント番号」と異常データと判断された「異常検出基準識別子」が関連付けられて記憶されている。

イベント蓄積データ１３が更新されると、イベント通知手段１４によって更新されたイベントに基づいてイベント通知データ２０が生成され、このイベント通知データ２０が管理インタフェース１５に送信される。（Ｓ００６）。このときイベント通知手段１４によって、異常データの検出を通知した「通知時刻」とイベント通知データ２０に含まれる「通知情報」とがイベント蓄積データ１３に記憶される。

イベント通知データ２０が送信されると、管理者に通知するために、管理インタフェース１５によって異常データが検出されたこのイベント通知データ２０が、管理端末に送信される（Ｓ００７）。ここで、イベント通知データ２０と確認応答データ２１には、検出された異常データを識別するイベント番号が含まれている。

一方、図９に示すように、頻度管理手段１６は、「イベント蓄積データ１３の更新」又は「確認応答データ２１の受信」を待機する（Ｓ１０１）。

ステップＳ１０１において、イベント蓄積データ１３に新たな異常データの検出のイベントが追加された場合、頻度管理手段１６によってイベント蓄積データ１３を記憶装置１０７から読み出して、追加されたイベントのイベント番号から異常検出基準識別子を検索する（Ｓ１０２）。

頻度管理手段１６によってイベントの異常検出基準識別子が検出されると、頻度算出手段１７によって、当該イベントに係る異常検出識別子に基づいて通知頻度が計算される（Ｓ１０３）。通知頻度は、新たなイベントが追加される毎に、異常検出基準識別子に対して既に頻度蓄積データ１８で記憶されている通知頻度、平均確認応答時間、異常発生回数、及びイベント通知データ２０で通知された通知時刻から計算される。

このようにして頻度算出手段１７で求められた通知頻度は頻度蓄積データ１８に更新記憶される（Ｓ１０４）。

通信頻度の更新がされると頻度管理手段１６によって、算出された通知頻度と頻度蓄積データ１８で記憶している確認応答頻度との比が、異常検出基準データ１２で当該基準識別子に対して記憶されている応答基準値より拡大したか否か判断される（Ｓ１０５）。ここで応答基準値内に収まっている場合、処理はそのまま終了される。

判断の結果、通知頻度と確認応答頻度との比が応答基準値よりも拡大していた場合、モデル補正手段１９に対して異常検出基準識別子を含む補正指示が出力される（Ｓ１０６）。

モデル補正手段１９によって、頻度管理手段１６から入力された補正指示に基づいて、異常検出基準データ１２の感度レベルが変更される（Ｓ１０７）。

現時点における確認応答頻度は上述したように、現時点から一定時間前までの期間を対象として、通知発生から確認応答までの平均反応時間の逆数として頻度算出手段１７によって計算され、頻度蓄積データ１８に記憶されている。また、頻度の閾値である応答基準値は、異常検出基準データ１２に記憶されている。

一方、ステップＳ１０１において、管理インタフェース１５から確認応答データ２１が受信された場合、頻度管理手段１６によってイベント蓄積データ１３を記憶装置１０７から読み出して確認応答データ２１のイベント番号に基づいて、対応する異常検出基準識別子が検索される（Ｓ１０８）。

次に、当該イベントに対して検索された異常検出基準識別子について、確認応答頻度が頻度算出手段１７によって算出される（Ｓ１０９）。確認応答頻度は、当該異常検出基準識別子について頻度蓄積データ１８で記憶している確認応答頻度、平均確認応答時間、異常発生回数、イベント蓄積データ１３で記憶している通知時刻及び確認応答データ２１に記述されている応答時刻に基づいて算出される。

このようにして頻度算出手段１７で求められた確認応答頻度は、頻度蓄積データ１８に更新記憶される（Ｓ１１０）。

ステップＳ１１０で新たなイベントに対する通知頻度が記憶された後には、イベント蓄積データ１３から該当するイベントが削除される（Ｓ１１１）。その後、上述したステップＳ１０５〜Ｓ１０７の処理が行われる。

この様に、本発明の実施例１に係る異常データ検出装置１は、異常データの通知に対応する応答頻度に基づいて異常データを検出する感度レベルが設定されるので、このとき応答に要した時間や応答の有無に基づいて管理者によって判断される異常データの重要度が推測される。

すなわち、例えば、いくつかの通知が発生すると、通知情報を見た管理者は、必要な措置を講じ、あるいは特に問題がないことを確認する。

ここで、管理インタフェース１５に逐次的に確認応答を返している場合、異常データ検出装置１に異常データの検出が適正に運用されている状況であると考えられ、異常検出基準データ１２を更新する必要性は無いものと判断される。このとき、通知頻度と確認応答頻度との比は、ほぼ一定の状態である。

しかし、管理インタフェース１５に大量のイベント通知が出力された場合、逐次的にイベント通知の対応を行うことは管理者にとって負担が大きくなってしまう。このとき、実際にネットワークにおいて何の問題も認められず、かつ、この状況が長引く場合、異常データを検出した通知に対して確認応答を返すことが不可能な状況になってしまう。この場合、通知頻度が高いままであるのに、それに対する確認応答の頻度が低くなるので、通知頻度と確認応答頻度との比は、拡大する一方である。

従って、通知頻度と確認応答頻度との比を算出し、応答基準値より拡大したかどうかを判断することによって、異常データの異常の度合いが推測されるのである。即ち、実際にネットワークにおいて何の問題も認められず、通知に対する確認応答の必要性が低い場合、通知された異常データは、セキュリティ上の重要度が低い、もしくはリスクが小さい種類であると推測される。

このとき、自動的に異常検出基準データ１２を更新することにより、本発明の実施例１に係る異常データ検出装置１は、同様の異常データを検出する頻度を抑制することができる。

例えば異常検出基準データ１２についてパターンファイルとして適用する場合、該当する異常検出基準識別子、即ちパターン番号の感度レベルをゼロとすることにより、そのパターンについては通知されない。

例えば、検出基準モデルの記述方法として、文字列中に含まれる特定文字の個数等を適用する場合は、その個数の閾値を変更することで、異常データとみなされるデータの範囲を絞り込むことができる。一方、検出基準モデルとしてトラフィック特性を対象とする場合、単位時間当たりの接続要求数やデータ転送量を扱う閾値を大きくすることにより、検出の感度を下げることができる。

このように、本発明の実施例１に係る異常データ検出装置１において、異常データを検出する感度レベルを変更する基準は、特に限定されるものではなく、検出基準モデルの記述に応じて、適宜、該当通知の頻度が設定される。

＜異常検出基準データ＞
上述したように本実施例１において異常データ検出装置１は、インターネット不正侵入検出システムで用いられるものである。この場合の異常検出基準データ１２のデータ形式は、既知の攻撃パターンが記述されたパターンファイルがその一例となり、トラフィック特性としては統計的な閾値がその一例となる。

ここでデータ形式に基づいて異常データを検出する例を具体的に説明する。

データ解析手段１０におけるアクセスデータの解析方法の一例について、図１１に示すようなＨＴＴＰリクエストを解析する例で説明する。ＨＴＴＰリクエストを意味のある文字列区分を抽出する。図１１に示した例では、意味のある文字列区分とは、ＧＥＴコマンドやＰＯＳＴコマンド等のパラメータや、それらのパラメータにおいて指定されるＣＧＩプログラムのパラメータ等の、意味のある文字列区分等が第１乃至第３の文字列区分として定義されている。これらの各文字列区分ｍについての文字列特性、即ち異常で攻撃になりやすいとされる特定の文字種ｎが含まれるバイト数が、文字列区分ｍ及び文字列特性ｎそれぞれについて、評価値データｆｍｎ（ｘ）として算出され、特徴量データとして記憶装置１０７に記憶される。例えば、文字列区分として２種類を扱い、文字列特性としてｎ種類に分類する場合、４×２＝８種類の評価値データが算出される。

また、データ解析手段１０は、ネットワークセグメント２ａから受信したアクセスデータについて、接続要求数やデータ転送量等のトラフィックに関する特徴量を算出し、特徴量データとしてさらに挿入しても良い。

この場合具体的に感度レベルは、ネットワークセグメント２ｂ側に設置されウェブサーバ等の異常データ検出装置１が保護するサーバへのアクセスデータのログ（図示せず）を読み出し、後述するアクセスデータの特徴量に基づいた統計分布が算出された統計的に異常とみなしうる閾値である。即ち、ＨＴＴＰリクエストの評価値が式１の範囲内のときに正常アクセスと判断し、範囲外のときに異常データに関わると判断される。

式１における平均値と標準偏差は、図１０に示すようなサーバへのアクセスデータのログの統計を取ることにより決定される。即ち、アクセスデータに基づくＨＴＴＰリクエストデータを採取することにより決定される。一方、閾値係数Ａ_ｍｎは、感度レベルであり、頻度管理手段１６の指示によってモデル補正手段１９により更新される値である。閾値係数Ａ_ｍｎは、文字列区分ｍ及び文字列特性ｎのそれぞれに応じて最良の値が決定される。

図３に示す例では具体的に、異常検出基準識別子を「ｍ−ｎ」、検出基準モデルを「文字列区分ｍにおける文字列特性ｎ」、感度レベルを「３」、応答基準値を「３」としている。

即ち、図３に示す「３」を絶対値とした閾値としたときには、３以上が「異常」であり、３未満が「正常」であると判断して異常の検出を行う。あるいは、感度レベルを絶対値として扱わず、相対的な閾値係数として扱っても良い。このような一つの異常検出基準が、異常検出基準識別子「ｍ−ｎ」として記述される。上述したような異常検出基準データ１２の表現形式により、異常データ検出手段１１の感度が具体的に制御される。

「応答基準値」は、応答頻度と通知頻度に対する割合の閾値であって、この応答基準値に基づいてモデル補正手段１９に対して補正の指示がされる。

（変形例）
上述した実施例１の変形例では、低い感度レベル変更された場合、元に戻すように設定することも可能である。実施例１に係る異常データ検出装置１は、感度レベルが更新されると、これを管理者に通知する。このとき、管理者より感度レベルを元に戻す要求がされた場合、この要求に基づいて感度レベルは元に戻される。

この変形例に係る異常データ検出装置１の処理について図１２及び図１３を用いて具体的に説明する。変形例では、ステップＳ１０５までの処理は上述した実施例１と同様である。

頻度蓄積データ１８に通知頻度が更新されると（Ｓ１０４）、頻度管理手段１６によって、通知頻度と確認応答頻度との比が応答基準値より拡大したか否か判断される（Ｓ１０５）。判断の結果、通知頻度と確認応答頻度との比が応答基準値よりも拡大していた場合、モデル補正手段１９に異常検出基準識別子を含む補正指示が出力される（Ｓ１０６）。

モデル補正手段１９によって、頻度管理手段１６から入力された補正指示に基づいて、異常検出基準データ１２の感度レベルが変更される（Ｓ１０７）。感度レベルが更新されるとともに、頻度管理手段１６によって更新通知データ２２が生成され、管理インタフェース１５に出力される（Ｓ２００）。

更新通知データは、図１４で示すように、イベント蓄積データ１３で記述されている内容である「イベント番号」、「通知時刻」、「通知情報」及び「異常検出基準識別子」に加えて、「変更前感度レベル」と「変更後感度レベル」を備えている。

このように、ステップＳ２００で管理インタフェース１５に更新通知データ２２が出力されて感度レベルが変更されたことを管理者が知らされるため、管理者は感度レベルの値を元に戻すことも可能になる。

実施例２に係る異常データ検出装置３も上述した実施例１と同様に、ネットワークから受信したアクセスデータから不正アクセスの疑いがあるアクセスデータを異常データとして検出する。

図１５に示す実施例２に係る異常データ検出装置３は、実施例２に係る異常データ検出装置１と比較して、集約度データ３５を備え、モデル補正手段１９を備えていない点で異なる。

イベント通知手段３４は、同一種の異常データを集約度データ３５として記憶される記憶装置１０７に定められている集約度の数の異常データが検出されると、検出された異常データを集約してイベント通知データ２０として送信する。

集約度データ３５は、例えば図１６に示すように、「異常検出基準識別子」をインデックスとし、「集約度」が記述されている。

本発明の実施例２において、集約度とは、複数の通知を一つの通知に集約する度合いである。たとえば、一日分や一週間分といった何らかの期間に関して集約したり、１０通分や５０通分といった通知の累積度に関して集約したりする。

このように、通知の頻度を下げるための、集約度の変更の度合いとしては、特に限定されるものではなく、検出基準モデルの記述に応じて、適宜、該当通知の頻度が下がるように決めればよい。

またここで、集約度は異常検出基準識別子ごとに設定され、この集約度に基づいてイベント通知データが送信されるのが好ましい。

具体的にイベント通知手段３４は、イベント蓄積データ３３に新たなイベントが追加された場合、記憶装置１０７から集約度データ３５を読み出す。イベント通知手段３４は、読み出した集約度に基づいてイベント通知データ２０を集約して生成し、管理インタフェース３６にイベント通知データ２０を送信する。

頻度管理手段３７は、イベント通知データ２０に対して受信した通知頻度と確認応答頻度との比を、応答基準値と比較して集約度データ３５を補正する。

実施例１に係る異常データ検出装置１は、通知頻度と確認応答頻度との比が、応答基準値と比較して拡大した場合、異常検出基準データ１２の感度レベルを補正していた。これに対して、実施例２に係る異常データ検出装置３は、通知頻度と確認応答頻度との比が、応答基準値と比較して拡大した場合、集約度データ３５の集約度を補正する。

頻度算出手段３８は、頻度管理手段３７からの制御により通知頻度及び確認応答頻度を算出する。

頻度蓄積データ３９は、頻度算出手段３８算出された通知頻度及び確認応答頻度を備えて記憶装置１０７に記憶される。

具体的に、頻度管理手段３７は、記憶装置１０７にイベント蓄積データ３３として新たにイベントが追加された場合、管理インタフェース３６にイベント通知データ２０として送信する頻度を、頻度算出手段３８に通知頻度として算出させる。また、頻度管理手段３７は、イベント通知データ２０に対する管理者からの確認応答データ２１を管理インタフェース３６から受信した場合、頻度算出手段３８に確認応答頻度を算出させる。算出された
頻度管理手段３７は、頻度蓄積データに記憶される通知頻度と確認応答頻度との比が異常検出基準データ３２で記憶される応答基準値よりも大きくなった場合に集約度データ３５を更新する。

このように、実施例１に係る異常データ検出装置１の構成と実施例２の異常データ検出装置３の構成とを比較すると、実施例１ではモデル補正手段１９を備えることで該当通知の頻度を下げていたのに対し、実施例２では集約度データ３５に基づいてイベント通知手段３４で該当通知の頻度を下げる。

即ち、実施例２では、該当通知の頻度を下げるための手段として、異常データ検出装置３自体の不正アクセス検出の感度は変えずに、複数の通知を集約し、一つの通知とすることができる。

＜異常データ検出装置の処理手順＞
図１７は、実施例２に係る異常データ検出装置３の処理手順を示すフローチャートである。

初めに、データ解析手段３０によって、ネットワークセグメント２ａからアクセスデータを受信したか否かが判断される（Ｓ３０１）。アクセスデータが入力されると、データ解析手段３０によって入力されたアクセスデータが解析され、アクセスデータに基づいて評価値データが算出される（Ｓ３０２）。

データ解析手段３０によって評価値データが算出されると、異常データ検出手段３１によって、不正アクセスの有無を判断する異常検出基準データ３２が記憶装置１０７から読み出される（Ｓ３０３）。異常データ検出手段３１によって、読み出した異常検出基準データ３２にも度付いてアクセスデータが正常なアクセスデータであるか、不正なアクセスデータであるが判断される（Ｓ３０４）。

ステップＳ３０４において、このアクセスデータが異常データであると判断されると、異常データ検出手段３１によって異常データを新たなイベントとして、イベント蓄積データ３３記憶され、イベント蓄積データ３３が更新される（Ｓ３０５）。

イベント蓄積データ３３が更新されると、イベント通知手段３４によって当該異常検出識別子に関連付けられたベントが集約度の数のデータがイベント蓄積データ３３として蓄積されたか否かが判断される（Ｓ３０６）。

ステップＳ３０６で、集約度の数データが蓄積されていた場合には、イベント通知手段３４によって、イベント通知データ２０が生成され、管理インタフェース３６に送信される（Ｓ３０７）。このイベント通知データは、例えば図５で示す形式のデータである。

例えば、集約度の数が図１６で示されるように「１０」と規定されていた場合には、当該異常検出識別子に係るイベントが１０回分蓄積されるとイベント通知データ２０が生成されて、送信される。

イベント通知手段３４によって送信されたイベント通知データ２０を管理インタフェース３６が受信すると、管理インタフェース３６で管理端末に対して出力される（Ｓ３０８）。

頻度管理手段３７は、管理インタフェース３６から確認応答データ２１を受信したか否かが判断される（Ｓ３０９）。管理インタフェース３６から確認応答データ２１を受信した場合、確認応答データの受信処理が行われる（Ｓ３１０）。具体的には、頻度管理手段３７は頻度算出手段３８に確認応答頻度を算出させ、算出された確認応答頻度は頻度蓄積データ３９として記憶装置１０７に記憶される。

続いて、頻度管理手段３７によって、頻度蓄積データ３９として記憶される通知頻度と確認応答頻度との比が、異常検出基準データ３２として記憶される応答基準値より拡大したか否かが判断される（Ｓ３１１）。通知頻度と確認応答頻度との比が応答基準値より拡大していた場合は、頻度管理手段３７によって、集約度データ３５が変更される（Ｓ３１２）。

このように、本発明の実施例２に係る異常データ検出装置３において、予め定められる集約度に基づいて異常データの検出を集約して通知するので、管理端末での異常データ検出の通知の受信数を減少させることができる。また、管理端末からの応答頻度に応じて集約度が調整されるため、異常データ検出の通知を真に異常と判断されたものに絞ることができる。

これにより、管理端末において不要に多大の通知を確認することを要さず、管理者の負担を軽減することが可能になる。また、重要な通知が見落とされない。

また、上述した各実施例においては、Ｗｅｂサーバの異常データの検出を例として説明したが、Ｗｅｂサーバだけに限られるものではない。本発明における異常データ検出装置は他にも、原子力発電所や鉄道管理局等に設けられたサーバにおいて異常データの検出を行うことが可能である。

本発明の実施例１に係る異常データ検出装置の構成図。 本発明の実施例１に係る異常データ検出装置の構成図。 本発明に係る異常データ検出装置で用いる異常検出基準データのデータ項目とデータの一例を説明する図。 本発明に係る異常データ検出装置で用いるイベント蓄積データのデータ項目とデータの一例を説明する図。 本発明に係る異常データ検出装置で用いるイベント通知データのデータ項目とデータの一例を説明する図。 本発明に係る異常データ検出装置で用いる確認応答データのデータ項目とデータの一例を説明する図。 本発明に係る異常データ検出装置で用いる頻度蓄積データのデータ項目とデータの一例を説明する図。 本発明の実施例１に係る異常データ検出装置の処理を説明するフローチャート。 図８に続く処理を説明するフローチャート。 本発明に係る異常データ検出装置で用いる閾値を説明する図。 本発明に係るＨＴＴＰリクエストの文字区分列の一例を説明する図。 本発明の変形例に係る異常データ検出装置の構成図。 本発明の変形例に係る異常データ検出装置の処理を説明するフローチャート。 本発明に係る異常データ検出装置で用いる更新通知データのデータ項目とデータの一例を説明する図。 本発明の実施例２に係る異常データ検出装置の構成図。 本発明に係る異常データ検出装置で用いる集約度データのデータ項目とデータの一例を説明する図。 本発明の 実施例２に係る異常データ検出装置の処理を説明するフローチャート。

符号の説明

１…異常データ検出装置
２ａ，２ｂ…ネットワークセグメント
３…異常データ検出装置
１０…データ解析手段
１１…異常データ検出手段
１２…異常検出基準データ
１３…イベント蓄積データ
１４…イベント通知手段
１５…管理インタフェース
１６…頻度管理手段
１７…頻度算出手段
１８…頻度蓄積データ
１９…モデル補正手段
２０…イベント通知データ
２１…確認応答データ
２２…更新通知データ
３０…データ解析手段
３１…異常データ検出手段
３２…異常検出基準データ
３３…イベント蓄積データ
３４…イベント通知手段
３５…集約度データ
３６…管理インタフェース
３７…頻度管理手段
３８…頻度算出手段
３９…頻度蓄積データ
１０１…中央処理制御装置
１０２…ＲＯＭ
１０３…ＲＡＭ
１０４…入力装置
１０５…表示装置
１０６…通信制御装置
１０７…記憶装置
１０８…リムーバブルディスク
１０９…入出力インタフェース
１１０…バス

Claims (12)

1. アクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶された異常検出基準データ記憶手段と、
   検出された異常データを蓄積して記憶するイベント蓄積データ記憶手段と、
   前記アクセスデータから算出された特徴量を前記異常検出基準データ記憶手段に記憶される前記感度レベルと比較し異常データを検出するとともに、検出された前記異常データを、前記イベント蓄積データ記憶手段に記憶させる異常データ検出手段と、
   前記イベント蓄積データ記憶手段に記憶される前記異常データの通知に対して受信した確認応答の頻度を確認応答頻度に基づいて、算出された確認応答頻度と前記応答基準値とを比較して前記感度レベルの補正指示を出力する頻度管理手段と、
   前記頻度管理手段の前記補正指示に基づいて、前記異常検出基準データ記憶手段で記憶されている前記感度レベルを補正するモデル補正手段と、
   を有することを特徴とする異常データ検出装置。
2. 前記頻度管理手段は、前記確認応答頻度を前記応答基準値と比較するとともに、確認応答頻度が大きい場合、前記感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、前記感度レベルを下げる補正指示を出力する
   ことを特徴とする請求項１に記載の異常データ検出装置。
3. 前記異常検出基準データ記憶手段に記憶された応答基準値は、異常データの検出を通知した通知頻度と前記確認応答頻度との比であって、
   前記頻度管理手段では、
   さらに前記異常データの検出が通知された通知頻度を算出させるとともに、算出された前記通知頻度を頻度蓄積データ記憶手段に記憶させ、
   前記通知頻度と前記確認応答頻度との比を算出し、前記応答基準値と比較するとともに、確認応答頻度が大きい場合、前記感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、前記感度レベルを下げる補正指示を出力する
   ことを特徴とする請求項１に記載の異常データ検出装置。
4. 前記異常検出基準データ記憶手段に記憶された前記感度レベル及び前記応答基準値は、前記異常データの種類を識別する異常検出識別子ごとに記憶され、
   前記異常データ検出手段は、更に、前記異常データの異常検出基準識別子を抽出して、抽出された前記異常検出基準識別子を前記イベント蓄積データ記憶手段に記憶し、
   前記確認応答頻度は、前記異常検出基準識別子ごとに算出される
   ことを特徴とする請求項１乃至３のいずれか１に記載の異常データ検出装置。
5. 前記異常データ検出手段は、更に、検出された異常データを一意に識別するイベント番号と、前記異常データ記憶手段の検出を通知した通知時刻とを、前記異常データに関連付けて前記イベント蓄積データに記憶させ、
   前記確認応答に含まれた前記イベント番号を抽出するとともに、抽出された前記イベント番号に基づいて前記イベント蓄積データ記憶手段から前記通知時刻を抽出し、
   前記通知時刻から前記確認応答を受信した時刻までの時間を前記イベント番号ごとに算出し、
   算出された前記時間の平均時間の逆数が、前記確認応答頻度として算出される
   ことを特徴とする請求項１乃至４のいずれか１に記載の異常データ検出装置。
6. アクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶された異常検出基準データ記憶手段と、
   前記アクセスデータから算出された特徴量を前記感度レベルと比較して異常データを検出するとともに、検出された前記異常データを、イベント蓄積データ記憶手段に記憶させる異常データ検出手段と、
   同一種の異常データを集約度データに予め定められる数の異常データ検出がされると、検出された異常データを集約してイベント通知データとして送信するイベント通知手段と、
   前記イベント通知に対するして受信した確認応答の頻度に基づいて算出された確認応答頻度を前記応答基準値と比較して前記集約度を補正する頻度管理手段と、
   を有することを特徴とする異常データ検出装置。
7. アクセスデータから算出された特徴量をアクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶された異常検出基準データ記憶手段で記憶される前記感度レベルと比較し異常データを検出するとともに、検出された前記異常データを、イベント蓄積データ記憶手段に記憶させるステップと、
   前記イベント蓄積データ記憶手段で記憶される検出された前記異常データの通知に対して受信した確認応答の頻度を確認応答頻度に基づいて、算出された確認応答頻度と前記異常データ検出基準データ記憶手段に予め記憶されている応答基準値とを比較して前記感度レベルの補正指示を出力するステップと、
   前記補正指示に基づいて、前記異常検出基準データで記憶されている前記感度レベルを補正するステップと、
   をコンピュータに実行させることを特徴とする異常データ検出プログラム。
8. 感度レベルの補正指示を出力するステップは、前記確認応答頻度を前記応答基準値と比較するとともに、確認応答頻度が大きい場合、前記感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、前記感度レベルを下げる補正指示を出力する
   ことを特徴とする請求項７に記載の異常データ検出プログラム。
9. 前記異常検出基準データに記憶された応答基準値は、異常データの検出を通知した通知頻度と前記確認応答頻度との比であって、
   前記感度レベルの補正指示を出力するステップは、さらに前記異常データの検出が通知された通知頻度を算出するとともに、算出された前記通知頻度を頻度蓄積データ記憶手段に記憶させ、
   前記通知頻度と前記確認応答頻度との比を算出し、前記応答基準値と比較するとともに、確認応答頻度が大きい場合、前記感度レベルを上げる補正指示を出力し、確認応答頻度が小さい場合、前記感度レベルを下げる補正指示を出力する
   ことを特徴とする請求項７に記載の異常データ検出プログラム。
10. 前記異常検出基準データに記憶された前記感度レベル及び前記応答基準値は、前記異常データの種類を識別する異常検出識別子ごとに記憶され、
    前記確認応答頻度は、前記異常検出基準識別子ごとに算出され、
    前記異常データの異常検出基準識別子を抽出して、抽出された前記異常検出基準識別子を前記イベント蓄積データ記憶手段に記憶するステップをコンピュータに実行させることを特徴とする請求項７乃至９のいずれか１に記載の異常データ検出プログラム。
11. 検出された異常データを一意に識別するイベント番号と、前記異常データの検出を通知した通知時刻とを、前記異常データに関連付けて前記イベント蓄積データ記憶手段に記憶させるステップと、
    前記確認応答に含まれた前記イベント番号を抽出するとともに、抽出された前記イベント番号に基づいて前記イベント蓄積データ記憶手段から前記通知時刻を抽出するステップと、
    前記通知時刻から前記確認応答を受信した時刻までの時間を前記イベント番号ごとに算出するステップと、
    算出された前記時間の平均時間の逆数が、前記確認応答頻度として算出するステップと、
    をさらにコンピュータに実行させることを特徴とする請求項７乃至１０のいずれか１に記載の異常データ検出プログラム。
12. アクセスデータから算出された特徴量をアクセスデータの異常を検出するために異常検出基準データ記憶手段に記憶されている感度レベルと比較して異常データを検出するとともに、検出された前記異常データを、イベント蓄積データ記憶手段に記憶させるステップと、
    同一種の異常データを集約度データに予め定められる数の異常データ検出がされると、検出された異常データを集約してイベント通知データとして送信するステップと、
    前記イベント通知データに対して受信した確認応答の頻度に基づいて算出された確認応答頻度を予め定められて異常検出基準データ記憶手段に記憶されている応答基準値と比較して前記集約度を補正するステップと、
    をコンピュータに実行させることを特徴とする異常データ検出プログラム。
    
    

Images