JP6734228B2 - Abnormality detection device and abnormality detection method - Google Patents

Abnormality detection device and abnormality detection method Download PDF

Info

Publication number
JP6734228B2
JP6734228B2 JP2017116853A JP2017116853A JP6734228B2 JP 6734228 B2 JP6734228 B2 JP 6734228B2 JP 2017116853 A JP2017116853 A JP 2017116853A JP 2017116853 A JP2017116853 A JP 2017116853A JP 6734228 B2 JP6734228 B2 JP 6734228B2
Authority
JP
Japan
Prior art keywords
communication
communication device
abnormality
data
abnormality detection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2017116853A
Other languages
Japanese (ja)
Other versions
JP2019004284A (en
Inventor
直人 藤木
直人 藤木
中津留　毅
毅 中津留
公洋 山越
公洋 山越
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2017116853A priority Critical patent/JP6734228B2/en
Publication of JP2019004284A publication Critical patent/JP2019004284A/en
Application granted granted Critical
Publication of JP6734228B2 publication Critical patent/JP6734228B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)

Description

本発明は、通信機器の異常検出装置、および、異常検出方法に関する。 The present invention relates to an abnormality detection device for a communication device and an abnormality detection method.

ネットワークを流れるトラフィックを監視し、不正アクセスやネットワーク故障等の異常を検出することが重要となっている。不正アクセスを検出する方式として、不正アクセスが行われる際のパケットのパターン（シグネチャ）をあらかじめ登録しておき、ネットワークを流れるパケットと比較し、不正アクセスを検出するシグニチャ型が実用化されている。また、通信情報の統計的な傾向を機械学習により正常動作時の通信情報を基準値情報として保持し、ネットワークを流れる通信情報と比較することで、異常を検出するアノマリ型が一般的になりつつある（特許文献１）。アノマリ型では、通信情報が所定の正常範囲内である場合は正常と判定し、正常範囲外の場合は異常と判定する。このアノマリ型は、通信の正常状態からのズレを異常状態と判定するため、シグニチャ型では必須となるシグネチャファイルの最新化を必要とせずに、未知の不正アクセスの検知が可能となる。 It is important to monitor traffic flowing through the network and detect abnormalities such as unauthorized access and network failure. As a method for detecting unauthorized access, a signature type has been put into practical use, in which a pattern (signature) of a packet at the time of unauthorized access is registered in advance and compared with a packet flowing through a network to detect unauthorized access. In addition, the anomaly type that detects anomalies is becoming common by holding the communication information during normal operation as reference value information by machine learning and comparing the statistical tendency of the communication information with the communication information flowing through the network. There is (Patent Document 1). In the anomaly type, if the communication information is within a predetermined normal range, it is determined to be normal, and if it is outside the normal range, it is determined to be abnormal. Since the anomaly type determines a deviation from the normal state of communication as an abnormal state, it is possible to detect an unknown unauthorized access without the need to update the signature file, which is essential in the signature type.

特開２００４−３１２０６４号公報JP, 2004-312064, A

ここで、ネットワークを流れるトラフィックを監視し、不正アクセスやネットワーク故障等の異常を検出する異常検出装置を用いた監視業務においては、異常を検出した後には、運用者が事象の確認を行う必要がある。例えば、アノマリ型の異常検出装置は、通信の正常状態からのズレをスコア値で表現し、スコア値が閾値を超えた場合に異常と検出する。そして、運用者は、異常検出時の通信情報の中身をみて、正常状態からのズレの程度を目視で確認する必要がある。ところが、従来技術において、通信の異常を検出した後に事象を確認する方法について検討されていない。 Here, in the monitoring work that uses an abnormality detection device that monitors traffic flowing through the network and detects abnormalities such as unauthorized access and network failure, the operator must confirm the event after detecting the abnormality. is there. For example, the anomaly-type abnormality detection device expresses a deviation from the normal state of communication by a score value, and detects an abnormality when the score value exceeds a threshold value. Then, the operator needs to visually check the degree of deviation from the normal state by looking at the contents of the communication information when the abnormality is detected. However, in the related art, a method of confirming an event after detecting a communication abnormality has not been examined.

また、通常のＴＣＰ／ＩＰの通信ネットワークにおいては、さまざまなプロトコルによる通信が混在している。よって、異常時はある特定のパケットだけが要因で異常になるケースのみならず、いくつかのパケットの複合要因で異常になるケースもある。よって、運用者は、異常を検出した時間帯の前後所定時間の通信情報（通信機器のパケットキャプチャデータや動作ログ等）を比較して事象を確認する必要があり、このためには多大な労力がかかる。例えば、パケットキャプチャデータが膨大になるとともに、所望のデータを検索するには多大な労力がかかる。また、通信パターンやファームウェアの更新があった場合には、異常検出装置は、新たな通信パターンを追加学習する必要があるが、その際にも追加学習の結果が、確からしいかを実際の通信内容と照らし合わせて確認する必要がある。 Further, in a normal TCP/IP communication network, communication by various protocols is mixed. Therefore, at the time of abnormality, not only the case where an error occurs due to only a specific packet, but there is also the case where the error occurs due to a composite factor of several packets. Therefore, the operator needs to confirm the event by comparing the communication information (packet capture data, operation log, etc. of the communication device) of a predetermined time before and after the time period when the abnormality is detected, and for this purpose, a great deal of labor is required. It takes. For example, as the packet capture data becomes enormous, much effort is required to search for desired data. Also, when there is a communication pattern or firmware update, the abnormality detection device needs to additionally learn a new communication pattern. It needs to be checked against the contents.

そこで、本発明は、前記した問題を解決し、通信機器の異常を検出した際に、運用者が、ネットワークで発生した事象を容易に確認できるようにすることを課題とする。 Therefore, it is an object of the present invention to solve the above-mentioned problems and allow an operator to easily confirm an event that has occurred in a network when an abnormality of a communication device is detected.

前記した課題を解決するため、本発明は、通信機器の正常動作時における通信特徴量に基づき、前記通信機器の異常を検出する異常検出部と、前記通信機器の異常を検出した場合、異常検出時における前記通信機器の通信特徴量と前記通信機器の正常動作時の通信特徴量との比較を行うデータ比較部と、前記異常検出時における前記通信機器の通信特徴量と前記通信機器の正常動作時の通信特徴量との比較結果を示す可視化データと、前記異常検出時から過去所定時間の前記通信機器の通信特徴量およびパケットデータを示す可視化データとを記憶部に保存する保存処理部と、ユーザからの指示に基づき、前記記憶部に保存された、前記異常検出時における前記比較結果を示す可視化データと、前記異常検出時から過去所定時間の前記通信機器の通信特徴量およびパケットデータを示す可視化データとを表示する表示部とを備えることを特徴とする。 In order to solve the above-mentioned problems, the present invention provides an abnormality detection unit that detects an abnormality of the communication device based on a communication feature amount during normal operation of the communication device, and detects an abnormality when the abnormality of the communication device is detected. A data comparison unit that compares the communication feature amount of the communication device with the communication feature amount of the communication device during normal operation, and the communication feature amount of the communication device and normal operation of the communication device during the abnormality detection A storage processing unit that stores visualization data indicating the result of comparison with the communication feature amount at the time, and visualization data indicating the communication feature amount and packet data of the communication device in the past predetermined time from the time of abnormality detection in the storage unit, Based on an instruction from the user, the visualization data showing the comparison result at the time of detecting the abnormality, the communication feature amount and the packet data of the communication device in the past predetermined time from the time of detecting the abnormality, which are stored in the storage unit, are shown. And a display unit for displaying the visualization data.

本発明によれば、通信機器の異常を検出した際に、運用者が、ネットワークで発生した事象を容易に確認できる。 According to the present invention, an operator can easily confirm an event that has occurred in a network when an abnormality in a communication device is detected.

図１は、システムの構成例を示す図である。FIG. 1 is a diagram showing a configuration example of a system. 図２は、図１の異常検出装置の構成例を示す図である。FIG. 2 is a diagram showing a configuration example of the abnormality detection device of FIG. 図３は、図２のデータ比較部における比較対象となる特徴量項目の例を示す図である。FIG. 3 is a diagram showing an example of feature amount items to be compared by the data comparison unit of FIG. 図４は、図２の記憶部に保存される可視化データの例を示す図である。FIG. 4 is a diagram showing an example of visualization data stored in the storage unit of FIG. 図５は、図１の異常検出装置における可視化データの保存までの処理手順の例を示すフローチャートである。FIG. 5 is a flowchart showing an example of a processing procedure until the visualization data is stored in the abnormality detection device of FIG. 図６は、図１の異常検出装置における可視化データの検索からレポーティングまでの処理手順の例を示すフローチャートである。FIG. 6 is a flowchart showing an example of a processing procedure from search of visualization data to reporting in the abnormality detection apparatus of FIG. 図７は、異常検出プログラムを実行するコンピュータを示す図である。FIG. 7 is a diagram illustrating a computer that executes the abnormality detection program.

以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。本発明は、本実施形態に限定されない。 Hereinafter, modes (embodiments) for carrying out the present invention will be described with reference to the drawings. The present invention is not limited to this embodiment.

まず、図１を用いてシステムの構成例を説明する。システムは、例えば、図１に示すように、通信機器１０と、ゲートウェイ装置２０と、異常検出装置３０と、通信装置４０とを備える。通信機器１０とゲートウェイ装置２０とはＬＡＮ（Local Area Network）等により接続される。また、ゲートウェイ装置２０と異常検出装置３０と通信装置４０とはインターネット等のネットワークにより接続される。 First, a configuration example of the system will be described with reference to FIG. The system includes, for example, as shown in FIG. 1, a communication device 10, a gateway device 20, an abnormality detection device 30, and a communication device 40. The communication device 10 and the gateway device 20 are connected by a LAN (Local Area Network) or the like. The gateway device 20, the abnormality detection device 30, and the communication device 40 are connected by a network such as the Internet.

通信機器１０は、本システムにおける異常の検出対象となる通信装置である。ゲートウェイ装置２０は、通信機器１０をインターネット等のネットワーク経由で外部装置（例えば、通信装置４０）に接続したり、同一ＬＡＮ内の他の通信機器１０に接続したりする装置である。このゲートウェイ装置２０は、各通信機器１０の通信特徴量や動作ログを取得する。 The communication device 10 is a communication device that is a target for detecting an abnormality in the present system. The gateway device 20 is a device that connects the communication device 10 to an external device (for example, the communication device 40) via a network such as the Internet, or connects to another communication device 10 within the same LAN. The gateway device 20 acquires the communication feature amount and operation log of each communication device 10.

異常検出装置３０は、ゲートウェイ装置２０から取得した各通信機器１０の通信特徴量等に基づき、各通信機器１０への不正アクセスやウィルス感染等の異常の検出を行う。異常検出装置３０は、例えば、各通信機器１０の正常動作時における通信特徴量等を学習し、その学習結果を用いて、いわゆるアノマリ型の異常検出を行う。通信装置４０は、ネットワークに接続される装置であり、例えば、通信機器１０の通信相手となる装置である。 The abnormality detection device 30 detects an abnormality such as an unauthorized access to each communication device 10 or a virus infection based on the communication feature amount of each communication device 10 acquired from the gateway device 20. The abnormality detection device 30 learns, for example, the communication feature amount of each communication device 10 during normal operation, and uses the learning result to perform so-called anomaly type abnormality detection. The communication device 40 is a device connected to a network, and is, for example, a device that is a communication partner of the communication device 10.

なお、以下では、異常検出装置３０は、通信機器１０の異常検出に、通信機器１０の通信特徴量を用いる場合を例に説明するが、通信機器１０の通信特徴量と動作ログとの組み合わせを用いてももちろんよい。 In the following description, the abnormality detection device 30 will be described as an example in which the communication feature amount of the communication device 10 is used to detect the abnormality of the communication device 10. However, a combination of the communication feature amount of the communication device 10 and the operation log will be described. Of course you can use it.

異常検出装置３０は、通信機器１０の異常を検出すると、異常検出時以前の過去所定期間における当該通信機器１０の通信特徴量およびパケットデータを保存する。また、異常検出装置３０は、異常検出時における当該通信機器１０の通信特徴量と、異常検出に用いた学習結果（学習済み通信特徴量）との比較結果を示す可視化データ（比較データ）を保存する。異常検出装置３０は、このような処理を、通信機器１０の異常を検出するたびに繰り返す。 When the abnormality detection device 30 detects an abnormality in the communication device 10, the abnormality detection device 30 stores the communication characteristic amount and packet data of the communication device 10 in a predetermined past period before the abnormality detection. Further, the abnormality detection device 30 stores visualization data (comparison data) indicating a comparison result between the communication feature amount of the communication device 10 at the time of abnormality detection and the learning result (learned communication feature amount) used for the abnormality detection. To do. The abnormality detection device 30 repeats such processing every time when the abnormality of the communication device 10 is detected.

その後、異常検出装置３０は、運用者等の指示に基づき、通信機器１０の異常検出時における当該通信機器１０の通信特徴量と学習済み通信特徴量との比較結果を示す可視化データ（図４参照）や、異常検出時以前の過去所定期間における当該通信機器１０の通信特徴量およびパケットデータを検索し、表示する。これにより、通信機器１０の異常が検出された際に、運用者は、ネットワークで発生した事象を容易に確認することができる。 After that, the abnormality detection device 30 visualizes data indicating a result of comparison between the communication feature amount of the communication device 10 and the learned communication feature amount at the time of detecting the abnormality of the communication device 10 based on an instruction from the operator (see FIG. 4 ). ) Or the communication feature amount and packet data of the communication device 10 in the past predetermined period before the abnormality detection is searched and displayed. Thereby, when an abnormality of the communication device 10 is detected, the operator can easily confirm the event that has occurred in the network.

次に、図２を用いて、異常検出装置３０の構成を詳細に説明する。異常検出装置３０は、図２に示すように、学習部３１１、学習済通信特徴量保存用データ作成部（データ作成部）３１２、異常検出部３１３、可視化用データ作成部３１４、データ比較部３１５、入力部３１６、表示部３１７、データ検索部３１８、通信部３１９、ＯＳ３２０、および、記憶部３２を備える。記憶部３２は、通信特徴量保存部３２１、学習済通信特徴量保存部３２２、可視化用通信特徴量保存部３２３、および、可視化用パケットデータ保存部３２４を備える。 Next, the configuration of the abnormality detection device 30 will be described in detail with reference to FIG. As shown in FIG. 2, the abnormality detection device 30 includes a learning unit 311, a learned communication feature amount storage data creation unit (data creation unit) 312, an abnormality detection unit 313, a visualization data creation unit 314, and a data comparison unit 315. An input unit 316, a display unit 317, a data search unit 318, a communication unit 319, an OS 320, and a storage unit 32. The storage unit 32 includes a communication feature amount storage unit 321, a learned communication feature amount storage unit 322, a visualization communication feature amount storage unit 323, and a visualization packet data storage unit 324.

学習部３１１は、機械学習により、通信機器１０の正常動作時における通信特徴量を学習する。例えば、学習部３１１は、通信特徴量保存部３２１に保存された通信機器１０の通信特徴量を用いた機械学習により、通信機器１０の正常動作時における通信特徴量を学習する。なお、各通信機器１０の通信特徴量（例えば、図３に示す各特徴量項目の値）は、ゲートウェイ装置２０から通信機器１０に対する発着信の通信特徴量を直接取得して、通信特徴量保存部３２１に保存する構成でもよいし、ゲートウェイ装置２０からは通信機器１０に対する所定時間あたりの発着信の通信統計データを取得して、異常検出装置３０において通信特徴量に変換して、通信特徴量保存部３２１に保存する構成でもよい。 The learning unit 311 learns the communication feature amount during normal operation of the communication device 10 by machine learning. For example, the learning unit 311 learns the communication feature amount during normal operation of the communication device 10 by machine learning using the communication feature amount of the communication device 10 stored in the communication feature amount storage unit 321. As the communication feature amount of each communication device 10 (for example, the value of each feature amount item shown in FIG. 3), the communication feature amount of incoming/outgoing calls to/from the communication device 10 is directly acquired from the gateway device 20, and the communication feature amount is stored. The configuration may be stored in the unit 321. Alternatively, the communication statistical data of outgoing/incoming calls to the communication device 10 per predetermined time is acquired from the gateway device 20 and converted into the communication characteristic amount in the abnormality detection device 30, and the communication characteristic amount is acquired. The configuration may be such that the storage unit 321 stores the data.

学習済通信特徴量保存用データ作成部３１２は、学習部３１１による学習結果（学習済通信特徴量）の保存用データを作成する。例えば、学習済通信特徴量保存用データ作成部３１２は、学習結果に含まれる、通信の５タプル情報と、当該通信のパケットサイズや、フローレート等の特徴量項目等を示したデータを保存用データとして作成する。具体例を挙げると、学習済通信特徴量保存用データ作成部３１２は、学習結果に基づき、Ａという５タプル情報の大きな単位の中に、Ａ−１（パケットサイズがＸ〜Ｙの値）、Ａ−２（フローレートがＳ〜Ｔの値）というように、近い値をグループ化したデータ（代表データ）を保存用データとして作成する。 The learned communication feature amount storage data creation unit 312 creates data for storing the learning result (learned communication feature amount) by the learning unit 311. For example, the learned communication feature amount storage data creation unit 312 stores the data including the tuple information of the communication included in the learning result and the feature amount items such as the packet size and the flow rate of the communication. Create as data. To give a specific example, the learned communication feature quantity storage data creation unit 312 sets A-1 (packet size is a value of X to Y) in a large unit of 5-tuple information called A based on the learning result. Data (representative data) in which similar values are grouped, such as A-2 (value of flow rate S to T), is created as storage data.

なお、学習済通信特徴量保存用データ作成部３１２は、学習部３１１による学習結果（学習済通信特徴量）に統計処理を行った保存用データを作成してもよい。さらに、学習済通信特徴量保存用データ作成部３１２は、学習部３１１による学習結果に基づき、５タプル情報以外の項目の値をそのまま示した保存用データを作成してもよい。 The learned communication feature amount storage data creation unit 312 may create storage data obtained by performing statistical processing on the learning result (learned communication feature amount) by the learning unit 311. Furthermore, the learned communication feature quantity storage data creation unit 312 may create storage data in which the values of items other than the 5-tuple information are shown as they are based on the learning result by the learning unit 311.

異常検出部３１３は、通信機器１０に対し、アノマリ型の異常検出を行う。例えば、異常検出部３１３は、通信特徴量保存部３２１から、分析対象の各通信機器１０の通信特徴量を取得する。そして、異常検出部３１３は、取得した通信特徴量に対し、学習部３１１による学習結果（学習済通信特徴量）を用いて、各通信機器１０の通信特徴量に対するアノマリスコア値を算出する。その後、異常検出部３１３は、算出したアノマリスコア値が、予め設定された判定閾値以上の場合、通信機器１０に異常が発生していると判定し、予め設定された判定閾値未満の場合、通信機器１０は正常に動作していると判定する。 The abnormality detection unit 313 performs anomaly type abnormality detection on the communication device 10. For example, the abnormality detection unit 313 acquires the communication feature amount of each communication device 10 to be analyzed from the communication feature amount storage unit 321. Then, the abnormality detection unit 313 calculates an anomaly score value for the communication feature amount of each communication device 10 by using the learning result (learned communication feature amount) by the learning unit 311 for the acquired communication feature amount. After that, the abnormality detection unit 313 determines that an abnormality has occurred in the communication device 10 when the calculated anomaly score value is equal to or greater than the preset determination threshold value, and when the calculated anomaly score value is less than the preset determination threshold value, communication is performed. The device 10 determines that it is operating normally.

なお、異常検出部３１３は、通信機器１０の異常を検出した場合、表示部３１７や通信部３１９により、通信機器１０の異常検出の通知を行ってもよい。 If the abnormality detection unit 313 detects an abnormality in the communication device 10, the abnormality detection unit 313 may notify the abnormality detection of the communication device 10 by the display unit 317 or the communication unit 319.

可視化用データ作成部３１４は、異常検出部３１３が通信機器１０の異常を検出するたび、異常検出時から過去所定時間における当該通信機器１０の通信特徴量およびパケットデータを取得し、記憶部３２に保存する。 Each time the abnormality detection unit 313 detects an abnormality in the communication device 10, the visualization data creation unit 314 acquires the communication characteristic amount and packet data of the communication device 10 in a predetermined time in the past from the time of detection of the abnormality, and stores it in the storage unit 32. save.

例えば、可視化用データ作成部３１４は、異常検出部３１３が通信機器１０の異常を検出すると、異常検出時から過去所定時間における当該通信機器１０の通信特徴量を通信特徴量保存部３２１から取得する。そして、可視化用データ作成部３１４は、取得した通信特徴量の５タプル情報を代表値にした可視化データを作成し、可視化用通信特徴量保存部３２３に保存する。また、可視化用データ作成部３１４は、異常検出時から過去所定時間における当該通信機器１０のパケットデータを取得する。そして、可視化用データ作成部３１４は、取得したパケットデータの５タプル情報を代表値にした可視化データを作成し、可視化用パケットデータ保存部３２４に保存する。異常検出装置３０が収集する通信機器１０のパケットデータは、ゲートウェイ装置２０から収集する構成でもよいし、通信機器１０が接続されているＬＡＮ内に設置されたパケットデータを収集する専用装置から収集する構成でもよい。 For example, when the abnormality detection unit 313 detects an abnormality in the communication device 10, the visualization data creation unit 314 acquires, from the communication feature amount storage unit 321, the communication feature amount of the communication device 10 at a predetermined time in the past from the time of the abnormality detection. .. Then, the visualization data creation unit 314 creates visualization data using the acquired 5-tuple information of the communication feature quantity as a representative value, and saves it in the visualization communication feature quantity storage unit 323. Further, the visualization data creation unit 314 acquires the packet data of the communication device 10 in the past predetermined time from the time of the abnormality detection. Then, the visualization data creation unit 314 creates visualization data using the 5-tuple information of the acquired packet data as a representative value, and saves it in the visualization packet data storage unit 324. The packet data of the communication device 10 collected by the abnormality detection device 30 may be collected from the gateway device 20, or may be collected from a dedicated device for collecting packet data installed in the LAN to which the communication device 10 is connected. It may be configured.

また、可視化用データ作成部３１４は、データ比較部３１５による、異常検出時における当該通信機器１０の通信特徴量と、学習済通信特徴量との比較結果を示す可視化データ（図４参照）を作成し、可視化用通信特徴量保存部３２３に保存する。 In addition, the visualization data creation unit 314 creates visualization data (see FIG. 4) indicating a comparison result of the communication feature amount of the communication device 10 and the learned communication feature amount at the time of abnormality detection by the data comparison unit 315. Then, it is stored in the communication feature quantity storage unit 323 for visualization.

このようにすることで、通信機器１０の異常が検出されるたび、記憶部３２には、異常検出時における当該通信機器１０の通信特徴量と学習済通信特徴量との比較結果を示す可視化データと、異常検出時から過去所定時間における当該通信機器１０の通信特徴量およびパケットデータの可視化データとが蓄積される。 By doing so, every time an abnormality of the communication device 10 is detected, the storage unit 32 stores, in the storage unit 32, visualization data indicating the result of comparison between the communication feature amount of the communication device 10 and the learned communication feature amount at the time of detecting the abnormality. Then, the communication feature amount of the communication device 10 and the visualization data of the packet data in the past predetermined time from the time of the abnormality detection are accumulated.

データ比較部３１５は、異常検出部３１３において通信機器１０の異常を検出すると、異常検出時における当該通信機器１０の通信特徴量と、学習済通信特徴量との比較を行う。例えば、データ比較部３１５は、異常検出時における通信特徴量および学習済通信特徴量について、図３に示す各特徴量項目の値を比較する。なお、比較に用いる特徴量項目は、図３に示す５タプル情報（送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号、プロトコル）を含む。 When the abnormality detection unit 313 detects an abnormality in the communication device 10, the data comparison unit 315 compares the communication feature amount of the communication device 10 at the time of abnormality detection with the learned communication feature amount. For example, the data comparison unit 315 compares the values of the respective characteristic amount items shown in FIG. 3 with respect to the communication characteristic amount and the learned communication characteristic amount at the time of abnormality detection. The feature amount items used for comparison include the 5-tuple information (source IP address, source port number, destination IP address, destination port number, protocol) shown in FIG.

一例を挙げる。例えば、データ比較部３１５は、図４に示すように、異常検出時における通信特徴量と、学習済通信特徴量とについて、２−１〜２−５に示す５タプル情報をキー情報として比較対象を決定して、１−１〜３−８に示す項目ごとに比較する。なお、データ比較部３１５は、図４に示すように、異常検出時における通信特徴量と学習済通信特徴量とを比較した結果、３−１〜３−８に示す項目のように、値の差分が算出できるものについては、差分を算出してもよい（図４の「比較結果」の欄参照）。 Take an example. For example, as shown in FIG. 4, the data comparison unit 315 compares the communication feature quantity at the time of abnormality detection and the learned communication feature quantity with the 5-tuple information shown in 2-1 to 2-5 as key information. Is determined and compared for each item shown in 1-1 to 3-8. Note that, as shown in FIG. 4, the data comparison unit 315 compares the communication feature quantity at the time of abnormality detection with the learned communication feature quantity, and as a result, as shown in items 3-1 to 3-8, If the difference can be calculated, the difference may be calculated (see the “comparison result” column in FIG. 4).

入力部３１６は、記憶部３２に記憶される各種データの入力や、記憶部３２に記憶される可視化用データの検索要求等を受け付ける。例えば、入力部３１６は、異常検出日時や５タプル情報等を含む可視化データの検索要求を受け付ける。 The input unit 316 receives input of various data stored in the storage unit 32, a search request for the visualization data stored in the storage unit 32, and the like. For example, the input unit 316 receives a search request for visualization data including an abnormality detection date and time, 5-tuple information, and the like.

表示部３１７は、記憶部３２に記憶された各種データを表示装置（図示省略）に表示する。例えば、表示部３１７は、データ検索部３１８により検索された可視化データを表示装置（図示省略）に表示する。 The display unit 317 displays various data stored in the storage unit 32 on a display device (not shown). For example, the display unit 317 displays the visualization data retrieved by the data retrieval unit 318 on a display device (not shown).

データ検索部３１８は、記憶部３２に記憶されたデータを検索する。例えば、データ検索部３１８は、入力部３１６により可視化データの検索要求を受け付けると、検索要求にマッチする通信特徴量の可視化データを可視化用通信特徴量保存部３２３から検索する。また、データ検索部３１８は、検索要求にマッチするパケットデータの可視化データを検索する。 The data search unit 318 searches the data stored in the storage unit 32. For example, when the data search unit 318 receives a search request for visualization data from the input unit 316, the data search unit 318 searches the visualization communication feature amount storage unit 323 for the visualization data of the communication feature amount that matches the search request. Further, the data search unit 318 searches for visualization data of packet data that matches the search request.

通信部３１９は、外部装置との通信インタフェースを司る。例えば、通信部３１９は、ゲートウェイ装置２０経由で取得された各通信機器１０の通信特徴量や通信統計データやパケットデータの入力を受け付ける。 The communication unit 319 controls a communication interface with an external device. For example, the communication unit 319 receives an input of the communication feature amount, communication statistical data, or packet data of each communication device 10 acquired via the gateway device 20.

ＯＳ３２０は、学習部３１１、学習済通信特徴量保存用データ作成部３１２、異常検出部３１３、可視化用データ作成部３１４、データ比較部３１５、入力部３１６、表示部３１７、データ検索部３１８、通信部３１９、および、記憶部３２の管理、制御を行う。 The OS 320 includes a learning unit 311, a learned communication feature amount storage data creation unit 312, an abnormality detection unit 313, a visualization data creation unit 314, a data comparison unit 315, an input unit 316, a display unit 317, a data search unit 318, and communication. It manages and controls the unit 319 and the storage unit 32.

通信特徴量保存部３２１は、各通信機器１０の通信特徴量を保存する。この通信特徴量は、学習部３１１による学習や、異常検出部３１３による異常検出に用いられる。学習済通信特徴量保存部３２２は、学習部３１１により学習された通信機器１０の通信特徴量（学習済通信特徴量）を正常動作時における通信特徴量として保存する。 The communication feature amount storage unit 321 stores the communication feature amount of each communication device 10. The communication feature amount is used for learning by the learning unit 311 and abnormality detection by the abnormality detection unit 313. The learned communication feature amount storage unit 322 stores the communication feature amount (learned communication feature amount) of the communication device 10 learned by the learning unit 311 as the communication feature amount during normal operation.

可視化用通信特徴量保存部３２３は、通信機器１０の異常検出時から過去所定時間における当該通信機器１０の通信特徴量の可視化データを記憶する。また、可視化用通信特徴量保存部３２３は、異常検出時における当該通信機器１０の通信特徴量と、学習済通信特徴量との比較結果を示す可視化データを保存する。さらに、可視化用パケットデータ保存部３２４は、通信機器１０の異常検出時から過去所定時間の当該通信機器１０のパケットデータの可視化データを保存する。 The visualization communication feature amount storage unit 323 stores the visualization data of the communication feature amount of the communication device 10 in the past predetermined time from the time when the abnormality of the communication device 10 is detected. In addition, the visualization communication feature amount storage unit 323 stores visualization data indicating a result of comparison between the communication feature amount of the communication device 10 and the learned communication feature amount at the time of abnormality detection. Furthermore, the visualization packet data storage unit 324 stores the visualization data of the packet data of the communication device 10 for a predetermined time in the past from the time when the abnormality of the communication device 10 is detected.

例えば、異常検出時における通信機器１０の通信特徴量と、学習済通信特徴量との比較結果を示す可視化データは、図４に示すように、異常検出時の通信特徴量および学習済通信特徴量それぞれの、異常検出日時、通信開始日時、５タプル情報、その他の項目の値、比較結果等が横並びに配置されたものである。 For example, as shown in FIG. 4, the visualization data showing the comparison result of the communication feature amount of the communication device 10 at the time of abnormality detection and the learned communication feature amount is, as shown in FIG. 4, the communication feature amount and the learned communication feature amount at the time of abnormality detection. The abnormality detection date/time, communication start date/time, 5-tuple information, values of other items, comparison results, and the like are arranged side by side.

表示部３１７が、上記のような情報からなる可視化データを表示することで、運用者は、異常検出時の通信特徴量と学習済通信特徴量との乖離がどの程度かを確認しやすくなる。その結果、運用者は、異常検出装置３０による異常検出の確からしさを確認しやすくなる。例えば、図４に示す可視化データにおいて、「比較結果」に示される異常検出時の通信特徴量と学習済通信特徴量との比較において、どの項目の乖離が大きいかを、運用者が目視で点検することができる。また、異常検出時に保存された通信特徴量とパケットデータを用いて、異常の有無を点検することができる。すなわち、点検した結果、実際に異常が発生していた場合は正しい検出結果であったこと、実際には異常が発生しなかった場合は「誤検知」であったこと、を簡易に点検することができる。 Since the display unit 317 displays the visualization data including the above-described information, the operator can easily confirm how much the communication feature amount at the time of abnormality detection and the learned communication feature amount differ. As a result, the operator can easily confirm the accuracy of the abnormality detection by the abnormality detection device 30. For example, in the visualization data shown in FIG. 4, the operator visually inspects which item has a large deviation in the comparison between the communication feature amount at the time of abnormality detection and the learned communication feature amount shown in “comparison result”. can do. Further, it is possible to check the presence/absence of an abnormality by using the communication feature amount and the packet data stored when the abnormality is detected. That is, as a result of the inspection, if the abnormality actually occurred, it was a correct detection result, and if the abnormality did not actually occur, it was a “false positive”. You can

次に、図５を用いて、異常検出装置３０の処理手順の例を説明する。まず、異常検出装置３０の学習部３１１は、通信特徴量保存部３２１から機械学習の学習用として所定期間の通信特徴量を取得し（Ｓ１）、学習を実施する（Ｓ２）。つまり、学習部３１１は、通信機器１０の正常動作時の通信特徴量の学習を実施する。そして、学習部３１１による学習が終了し、学習結果に問題がないと判定された場合（Ｓ３でＮｏ）、学習済通信特徴量保存用データ作成部３１２は、学習データから５タプル情報を代表値にして、５タプル情報の異なるデータ単位にまとめた可視化データ（学習済通信特徴量）を作成する（Ｓ４）。つまり、学習済通信特徴量保存用データ作成部３１２は、学習データを、当該学習データの５タプル情報を代表値にして、５タプル情報の異なるデータ単位にまとめた代表データを作成する。また、機械学習の結果として異常検出用の関数を保存する。一方、学習部３１１による学習結果に問題があると判定された場合（Ｓ３でＹｅｓ）、学習部３１１は、Ｓ１へ戻り、学習用のデータを再設定したり、学習用のパラメータを修正したりして、再度学習を実施する。 Next, an example of the processing procedure of the abnormality detection device 30 will be described with reference to FIG. First, the learning unit 311 of the abnormality detection device 30 acquires the communication feature amount for a predetermined period for learning of machine learning from the communication feature amount storage unit 321 (S1) and carries out the learning (S2). That is, the learning unit 311 performs the learning of the communication feature amount during the normal operation of the communication device 10. Then, when the learning by the learning unit 311 is completed and it is determined that there is no problem in the learning result (No in S3), the learned communication feature amount storage data creation unit 312 represents the 5-tuple information from the learning data as a representative value. Then, the visualization data (learned communication feature amount) collected in different data units of 5-tuple information is created (S4). In other words, the learned communication characteristic amount storage data creation unit 312 creates representative data in which the learning data is collected in different data units of the 5-tuple information by using the 5-tuple information of the learning data as a representative value. Further, a function for detecting an abnormality is saved as a result of machine learning. On the other hand, when it is determined that the learning result by the learning unit 311 has a problem (Yes in S3), the learning unit 311 returns to S1 and resets the learning data or corrects the learning parameters. Then, learn again.

Ｓ４の後、異常検出部３１３は、異常検出用の関数を用いて、通信機器１０の異常の検出を開始し（Ｓ５）、異常を検出すると（Ｓ６でＹｅｓ）、異常通知を行う（Ｓ７）。一方、異常をまだ検出しなければ（Ｓ６でＮｏ）、Ｓ６へ戻る。 After S4, the abnormality detection unit 313 starts detecting an abnormality of the communication device 10 using the function for detecting an abnormality (S5), and when an abnormality is detected (Yes in S6), performs an abnormality notification (S7). .. On the other hand, if no abnormality is detected yet (No in S6), the process returns to S6.

Ｓ７の後、可視化用データ作成部３１４は、異常検出時刻から所定時間過去にさかのぼり、当該通信機器１０（異常が発生した通信機器１０）の通信特徴量を保存するとともに、当該通信特徴量の５タプル情報を代表値にして可視化データとして保存する（Ｓ８）。 After S7, the visualization data creation unit 314 goes back a predetermined time from the abnormality detection time to store the communication characteristic amount of the communication device 10 (the communication device 10 in which the abnormality has occurred), and the communication characteristic amount of 5 The tuple information is set as a representative value and saved as visualization data (S8).

また、可視化用データ作成部３１４は、異常検出時刻から所定時間過去にさかのぼり、当該通信機器１０のパケットデータを保存するとともに、当該パケットデータの５タプル情報を代表値にして可視化データとして保存する（Ｓ９）。 Further, the visualization data creation unit 314 goes back a predetermined time from the abnormality detection time to save the packet data of the communication device 10 and also saves the 5-tuple information of the packet data as a representative value as visualization data ( S9).

さらに、可視化用データ作成部３１４は、異常検出時刻と、異常検出時刻における当該通信機器１０の通信特徴量を保存する（Ｓ１０）。また、データ比較部３１５は、異常検出時における当該通信機器１０の通信特徴量と、５タプル情報が同一である学習済通信特徴量とを比較する（Ｓ１１）。そして、可視化用通信特徴量保存部３２３は、Ｓ１１における比較結果を可視化データとして保存する（Ｓ１２）。 Further, the visualization data creation unit 314 saves the abnormality detection time and the communication feature amount of the communication device 10 at the abnormality detection time (S10). Further, the data comparison unit 315 compares the communication characteristic amount of the communication device 10 at the time of abnormality detection with the learned communication characteristic amount having the same 5-tuple information (S11). Then, the visualization communication feature amount storage unit 323 stores the comparison result in S11 as visualization data (S12).

Ｓ１２の後、まだ比較していない５タプル情報が同一である学習済通信特徴量があれば（Ｓ１３でＹｅｓ）、データ比較部３１５は、まだ比較していない５タプル情報が同一である学習済通信特徴量に対し、Ｓ１１の処理を実行する。一方、比較していない５タプル情報が同一である学習済通信特徴量がなければ（Ｓ１３でＮｏ）、Ｓ６へ戻り、異常検出部３１３において通信機器１０の異常を検出すると（Ｓ６でＹｅｓ）、Ｓ７以降の処理を実行する。 After S<b>12, if there is a learned communication feature quantity in which the uncompared 5-tuple information is the same (Yes in S<b>13 ), the data comparison unit 315 determines that the uncompared 5-tuple information is the same. The process of S11 is executed for the communication feature amount. On the other hand, if there is no learned communication feature amount having the same uncompared 5-tuple information (No in S13), the process returns to S6, and if the abnormality of the communication device 10 is detected by the abnormality detection unit 313 (Yes in S6), The processing after S7 is executed.

異常検出装置３０が上記の処理を実行することで、通信機器１０に異常が検出されるたび、異常検出時における通信機器１０の通信特徴量と学習済通信特徴量との比較結果と、異常検出時から過去所定期間の当該通信機器１０の通信特徴量およびパケットデータとが記憶部３２に保存される。 When the abnormality is detected in the communication device 10 by the abnormality detection device 30 executing the above processing, the result of comparison between the communication feature amount of the communication device 10 and the learned communication feature amount at the time of abnormality detection, and the abnormality detection The communication characteristic amount and the packet data of the communication device 10 for a predetermined period from the past are stored in the storage unit 32.

次に、図６を用いて、異常検出装置３０が可視化データを表示する際の処理手順の例を説明する。 Next, an example of a processing procedure when the abnormality detection device 30 displays visualization data will be described with reference to FIG.

例えば、異常検出装置３０の入力部３１６において、運用者からの異常検出結果の指定（可視化データの検索要求）を受け付けると（Ｓ２１）、データ検索部３１８は、指定された異常検出結果に対する可視化データを記憶部３２から検索する（Ｓ２２）。例えば、データ検索部３１８は、運用者から指定された異常検出日時、５タプル情報等を持つ可視化データを記憶部３２から検索する。その後、表示部３１７は、Ｓ２２で検索された可視化データを表示する（Ｓ２３）。また、表示する際には、異常を検出した通信機器１０の学習済通信特徴量のすべてを表示してもよい。Ｓ２３の後、まだほかに指定された異常検出結果があれば（Ｓ２４でＹｅｓ）、Ｓ２２へ戻り、ほかに指定された異常検出結果がなければ（Ｓ２４でＮｏ）、データ検索部３１８は、検索された可視化データをまとめ、表示部３１７は、検索された可視化データを表示する（レポーティングする）（Ｓ２５）。 For example, when the input unit 316 of the abnormality detection device 30 receives the designation of the abnormality detection result (search request for visualization data) from the operator (S21), the data search unit 318 causes the visualization data for the designated abnormality detection result. Is searched from the storage unit 32 (S22). For example, the data search unit 318 searches the storage unit 32 for the visualization data having the abnormality detection date and time, the 5-tuple information, etc. designated by the operator. After that, the display unit 317 displays the visualization data retrieved in S22 (S23). Moreover, when displaying, all the learned communication feature amounts of the communication device 10 that has detected an abnormality may be displayed. After S23, if there is still another designated abnormality detection result (Yes in S24), the process returns to S22, and if there is no other designated abnormality detection result (No in S24), the data search unit 318 searches. The displayed visualization data is collected, and the display unit 317 displays (reports) the retrieved visualization data (S25).

このようにすることで異常検出装置３０は、運用者の所望する異常検出に関する可視化データを検索し、表示装置（図示省略）等に表示することができる。 By doing so, the abnormality detection device 30 can retrieve the visualization data relating to the abnormality detection desired by the operator and display it on a display device (not shown) or the like.

（プログラム）
また、上記の実施形態で述べた異常検出装置３０の機能を実現するプログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実装できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記のプログラムを情報処理装置に実行させることにより、情報処理装置を異常検出装置３０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータ、ラック搭載型のサーバコンピュータ等が含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistants）等がその範疇に含まれる。また、異常検出装置３０を、クラウドサーバに実装してもよい。 (program)
Further, it can be implemented by installing a program that realizes the function of the abnormality detection device 30 described in the above embodiment into a desired information processing device (computer). For example, the information processing apparatus can be caused to function as the abnormality detection apparatus 30 by causing the information processing apparatus to execute the above-described program provided as package software or online software. The information processing device mentioned here includes a desktop or notebook personal computer, a rack-mounted server computer, and the like. In addition, in addition to the above, the information processing device includes a mobile communication terminal such as a smartphone, a mobile phone, a PHS (Personal Handyphone System), and a PDA (Personal Digital Assistants) in its category. Further, the abnormality detection device 30 may be mounted on the cloud server.

図７を用いて、上記のプログラム（異常検出プログラム）を実行するコンピュータの一例を説明する。図７に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。 An example of a computer that executes the above program (abnormality detection program) will be described with reference to FIG. 7. As shown in FIG. 7, the computer 1000 has, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。 The memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM (Random Access Memory) 1012. The ROM 1011 stores, for example, a boot program such as a BIOS (Basic Input Output System). The hard disk drive interface 1030 is connected to the hard disk drive 1090. The disk drive interface 1040 is connected to the disk drive 1100. A removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100. A mouse 1110 and a keyboard 1120 are connected to the serial port interface 1050, for example. A display 1130, for example, is connected to the video adapter 1060.

ここで、図７に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。前記した実施形態で説明した各種データや情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。 Here, as shown in FIG. 7, the hard disk drive 1090 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. The various data and information described in the above embodiments are stored in, for example, the hard disk drive 1090 or the memory 1010.

そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。 Then, the CPU 1020 reads the program module 1093 and the program data 1094 stored in the hard disk drive 1090 into the RAM 1012 as necessary, and executes the above-described procedures.

なお、上記の異常検出プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、上記のプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。 The program module 1093 and the program data 1094 related to the above-described abnormality detection program are not limited to being stored in the hard disk drive 1090, and may be stored in, for example, a removable storage medium and the CPU 1020 via the disk drive 1100 or the like. May be read by. Alternatively, the program module 1093 and the program data 1094 related to the above program are stored in another computer connected via a network such as LAN or WAN (Wide Area Network), and read by the CPU 1020 via the network interface 1070. May be done.

１０ 通信機器
３０ 異常検出装置
３２ 記憶部
３１１ 学習部
３１２ 学習済通信特徴量保存用データ作成部
３１３ 異常検出部
３１４ 可視化用データ作成部
３１５ データ比較部
３１６ 入力部
３１７ 表示部
３１８ データ検索部
３１９ 通信部
３２０ ＯＳ
３２１ 通信特徴量保存部
３２２ 学習済通信特徴量保存部
３２３ 可視化用通信特徴量保存部
３２４ 可視化用パケットデータ保存部 10 Communication Equipment 30 Abnormality Detection Device 32 Storage Section 311 Learning Section 312 Learned Communication Feature Saving Data Creation Section 313 Abnormality Detection Section 314 Visualization Data Creation Section 315 Data Comparison Section 316 Input Section 317 Display Section 318 Data Search Section 319 Communication Part 320 OS
321 Communication feature amount storage unit 322 Learned communication feature amount storage unit 323 Visualization communication feature amount storage unit 324 Visualization packet data storage unit

Claims (5)

通信機器の正常動作時における通信特徴量に基づき、前記通信機器の異常を検出する異常検出部と、
前記通信機器の正常動作時における通信特徴量から、前記通信特徴量の代表データごとに前記通信特徴量をまとめたデータを作成する第１のデータ作成部と、
前記通信機器の異常を検出した場合、異常検出時から過去所定時間における前記通信機器の通信特徴量について、当該通信特徴量の代表データを作成する第２のデータ作成部と、
前記通信機器の異常を検出した場合、異常検出時から過去所定時間における前記通信機器の通信特徴量と前記代表データが同じである前記通信機器の正常動作時の通信特徴量とを比較するデータ比較部と、
前記異常検出時から過去所定時間における前記通信機器の通信の５タプル情報を含む通信特徴量と前記通信機器の正常動作時の前記通信特徴量との比較結果を示す可視化データと、前記異常検出時から過去所定時間の前記通信機器の前記通信特徴量およびパケットデータを示す可視化データとを記憶部に保存する保存処理部と、
ユーザから指定された異常検出日時および５タプル情報を含む検索要求に基づき、前記記憶部に保存された、前記異常検出日時および前記５タプル情報を持つ前記比較結果を示す可視化データと、前記異常検出日時から過去所定時間における前記５タプル情報を持つ前記通信機器の通信特徴量およびパケットデータを示す可視化データとを検索し、表示する表示部と
を備えることを特徴とする異常検出装置。 An abnormality detection unit that detects an abnormality in the communication device based on the communication feature amount during normal operation of the communication device,
A first data creation unit that creates data summarizing the communication feature quantity for each representative data of the communication feature quantity from the communication feature quantity during normal operation of the communication device;
A second data creating unit that creates representative data of the communication feature quantity of the communication feature quantity of the communication equipment in a past predetermined time from the time of the abnormality detection, when an abnormality of the communication equipment is detected;
When detecting an abnormality of the communication device, data comparison for comparing the from abnormal detection and communication characteristic of the communication device in the past predetermined time representative data is the same communication characteristic of normal operation of the communication device Department,
And visualization data indicating a result of comparison between the communication characteristic of normal operation of the abnormality from said detection time of the communication feature quantity including a 5-tuple information of the communication of the communication device in the past predetermined time communication device, when the abnormality detecting a storage processing unit that stores the visual data in the storage unit indicating the communication features and the packet data of the communication device of the past predetermined time,
Based on the search request including the abnormality detection time, and 5-tuple information specified by the user, the stored in the storage unit, and visualization data indicating the comparison result with the abnormality detection date and during the 5-tuple information, the abnormality searching and visual data indicating the communication features and the packet data of the communication device with the 5-tuple information in the past during a predetermined time after the detection date, the abnormality detection device characterized by comprising a display unit for displaying. 前記比較結果を示す可視化データは、
前記異常検出時から過去所定時間における前記通信機器の通信特徴量と、前記通信機器の正常動作時の通信特徴量とを横並びに示したデータである
ことを特徴とする請求項１に記載の異常検出装置。 Visualization data showing the comparison result,
2. The abnormality according to claim 1, wherein the communication characteristic amount of the communication device and a communication characteristic amount during normal operation of the communication device in the past predetermined time from the time of the abnormality detection are side by side data. Detection device. 前記通信機器の正常動作時における通信特徴量が更新された場合、
前記異常検出部は、
前記更新後の前記通信機器の正常動作時における通信特徴量に基づき、前記通信機器の異常を検出し、
前記データ比較部は、
前記更新後の前記通信機器の正常動作時の通信特徴量を用いて前記通信特徴量の比較を行うこと
を特徴とする請求項１に記載の異常検出装置。 When the communication feature amount during normal operation of the communication device is updated,
The abnormality detection unit,
Based on the communication feature amount during normal operation of the communication device after the update, detects an abnormality of the communication device,
The data comparison unit is
The abnormality detection device according to claim 1, wherein the communication feature quantity is compared using the communication feature quantity when the communication device is in a normal operation after the update. 前記通信機器の通信特徴量に代えて、前記通信機器の通信特徴量および動作ログを用いること
を特徴とする請求項１に記載の異常検出装置。 The abnormality detection device according to claim 1, wherein a communication feature amount and an operation log of the communication device are used instead of the communication feature amount of the communication device. 通信機器の正常動作時における通信特徴量に基づき、前記通信機器の異常を検出するステップと、
前記通信機器の正常動作時における通信特徴量から、前記通信特徴量の代表データごとに前記通信特徴量をまとめたデータを作成するステップと、
前記通信機器の異常を検出した場合、異常検出時から過去所定時間における前記通信機器の通信特徴量について、当該通信特徴量の代表データを作成するステップと、
前記通信機器の異常を検出した場合、異常検出時から過去所定時間における前記通信機器の通信特徴量と前記代表データが同じである前記通信機器の正常動作時の通信特徴量とを比較するステップと、
前記異常検出時から過去所定時間における前記通信機器の通信の５タプル情報を含む通信特徴量と前記通信機器の正常動作時の前記通信特徴量との比較結果を示す可視化データと、前記異常検出時から過去所定時間の前記通信機器の前記通信特徴量およびパケットデータを示す可視化データとを記憶部に保存するステップと、
ユーザから指定された異常検出日時および５タプル情報を含む検索要求に基づき、前記記憶部に保存された、前記異常検出日時におけるおよび前記５タプル情報を持つ前記比較結果を示す可視化データと、前記異常検出日時から過去所定時間における前記５タプル情報を持つ前記通信機器の通信特徴量およびパケットデータを示す可視化データとを検索し、表示するステップと
を異常検出装置が実行することを特徴とする異常検出方法。 A step of detecting an abnormality of the communication device based on a communication feature amount during normal operation of the communication device;
A step of creating data summarizing the communication feature amount for each representative data of the communication feature amount from the communication feature amount during normal operation of the communication device;
When an abnormality of the communication device is detected, a step of creating representative data of the communication feature amount for the communication feature amount of the communication device in the past predetermined time from the time of abnormality detection,
When detecting an abnormality of the communication device, a step of comparing a communication feature amount of the communication device in a predetermined time in the past from the time of abnormality detection with a communication feature amount of the communication device in the normal operation when the representative data is the same. ,
And visualization data indicating a result of comparison between the communication characteristic of normal operation of the abnormality from said detection time of the communication feature quantity including a 5-tuple information of the communication of the communication device in the past predetermined time communication device, when the abnormality detecting and storing the visual data in the storage unit indicating the communication features and the packet data of the communication device of the past predetermined time,
Based on the search request including the abnormality detection time, and 5-tuple information specified by the user, stored in the storage unit, and visualization data indicating the comparison result with and the 5-tuple information when the abnormality detection date, the searching and visual data indicating the communication features and the packet data of the communication device with the 5-tuple information in the past predetermined time from the time of abnormality detection date, wherein the abnormality detecting device and the step of runs displayed Anomaly detection method.
JP2017116853A 2017-06-14 2017-06-14 Abnormality detection device and abnormality detection method Active JP6734228B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2017116853A JP6734228B2 (en) 2017-06-14 2017-06-14 Abnormality detection device and abnormality detection method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2017116853A JP6734228B2 (en) 2017-06-14 2017-06-14 Abnormality detection device and abnormality detection method

Publications (2)

Publication Number Publication Date
JP2019004284A JP2019004284A (en) 2019-01-10
JP6734228B2 true JP6734228B2 (en) 2020-08-05

Family

ID=65006274

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017116853A Active JP6734228B2 (en) 2017-06-14 2017-06-14 Abnormality detection device and abnormality detection method

Country Status (1)

Country Link
JP (1) JP6734228B2 (en)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7184197B2 (en) * 2019-07-23 2022-12-06 日本電信電話株式会社 Abnormality detection device, abnormality detection method and abnormality detection program

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002135248A (en) * 2000-10-19 2002-05-10 Fumio Mizoguchi Network-monitoring method, network-monitoring system and storage medium recording its program
JP4328679B2 (en) * 2004-06-30 2009-09-09 インターナショナル・ビジネス・マシーンズ・コーポレーション Computer network operation monitoring method, apparatus, and program
JP4745881B2 (en) * 2006-04-21 2011-08-10 三菱電機株式会社 Network status determination device, network status determination method, and network status determination program
JP2011166476A (en) * 2010-02-10 2011-08-25 Asahi Kasei Corp Log analyzing apparatus and method
JP5530897B2 (en) * 2010-10-28 2014-06-25 株式会社日立メディコ Device failure analysis apparatus, device failure analysis method, and device failure analysis program
JP6559402B2 (en) * 2014-05-12 2019-08-14 富士通株式会社 Display method, display device, and display program

Also Published As

Publication number Publication date
JP2019004284A (en) 2019-01-10

Similar Documents

Publication Publication Date Title
US9071535B2 (en) Comparing node states to detect anomalies
WO2020004315A1 (en) Abnormality sensing device and abnormality sensing method
KR20160028724A (en) Similar malicious code retrieval apparatus and method based on malicious code feature information
WO2020244307A1 (en) Vulnerability detection method and apparatus
US20210297427A1 (en) Facilitating security orchestration, automation and response (soar) threat investigation using a machine-learning driven mind map approach
JP6058246B2 (en) Information processing apparatus, information processing method, and program
JP2019028891A (en) Information processing device, information processing method and information processing program
JP6282217B2 (en) Anti-malware system and anti-malware method
JPWO2018146757A1 (en) INFORMATION PROCESSING APPARATUS, INFORMATION PROCESSING METHOD, AND INFORMATION PROCESSING PROGRAM
JP2016099938A (en) Event analysis system and method
CN112671767A (en) Security event early warning method and device based on alarm data analysis
JP6734228B2 (en) Abnormality detection device and abnormality detection method
JP5310094B2 (en) Anomaly detection system, anomaly detection method and anomaly detection program
CN109145609B (en) Data processing method and device
CN113791897B (en) Method and system for displaying server baseline detection report of rural telecommunication system
CN114584391A (en) Method, device, equipment and storage medium for generating abnormal flow processing strategy
JP6488197B2 (en) Anomaly detection method, anomaly detection apparatus, and network system
CN110830518B (en) Traceability analysis method and device, electronic equipment and storage medium
JP6060123B2 (en) Influence range identification device, influence range identification method, and program
US10754719B2 (en) Diagnosis device, diagnosis method, and non-volatile recording medium
JP2018148270A (en) Classification device, classification method, and classification program
JP2006093832A (en) Intrusion detection system and program, intrusion detection information analyzing device and analysis program
US20190018959A1 (en) Diagnosis device, diagnosis method, and non-transitory recording medium
JP2009182934A (en) Fault monitoring apparatus, fault monitoring method, and program therefor
JP2006201890A (en) Device for taking countermeasures against program abnormality

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190522

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200218

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200331

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200601

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200707

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200709

R150 Certificate of patent or registration of utility model

Ref document number: 6734228

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150