JP7176630B2 - 検知装置、検知方法および検知プログラム - Google Patents

Description

本発明は、検知装置、検知方法および検知プログラムに関する。

ボットネットとは、マルウェアと呼ばれるコンピュータウィルスなどによって多くの端末やサーバに、遠隔操作可能である攻撃用プログラムを送り込み、外部からの指令で一斉に攻撃を行わせるネットワークである。このネットワークは、攻撃を司令するする司令塔サーバと、攻撃用プログラムに感染した端末やサーバ（ボット）群から構成される。このような司令塔サーバ等の悪性サーバを検知するために、例えば、教師あり学習の手法を用いて、ボットネットの悪性サーバを検知していた。

特開２０１８－１６９８９７号公報

Leyla Bilge, Engin Kirda, Davide Balzarotti, Christopher Kruegel, William Robertson，"DISCLOSURE: Detecting Botnet Command and Control Servers Through Large-Scale NetFlow Analysis"， 28th Annual Computer Security Applications Conference, December 3-7, 2012.

しかしながら、マルウェアに感染したクライアントを制御する悪性サーバの検知精度を向上させることが出来ない場合があるという課題があった。例えば、従来の技術では、教師あり学習の手法を用いて悪性サーバを検知する場合に、クライアントの行動（フローサイズ、アクセス時間等）に着目する技術が多く、悪性サーバの検知精度が不十分になるという問題があった。

上述した課題を解決し、目的を達成するために、本発明の検知装置は、クライアントおよびサーバを含むネットワークにおける通信情報を収集する収集部と、前記収集部によって収集された通信情報を用いて、前記クライアントから前記サーバへのアクセス状況を表す行列を生成する行列生成部と、対象サーバへアクセスした複数のクライアントを集約し、集約されたクライアント間での前記行列の類似性の統計情報を、前記対象サーバの特徴量として生成する特徴量生成部と、サーバが悪性なサーバであるか否かが既知の対象サーバについて、前記特徴量生成部によって生成された特徴量を用いて、サーバが悪性なサーバであるか否かを判定するためのモデルを学習する学習部と、サーバが悪性なサーバであるか否かが既知でない対象サーバについて、前記特徴量生成部によって生成された特徴量と前記モデルを用いて、前記対象サーバが悪性なサーバであるか否かを判定する判定部とを有すること特徴とする。

本発明によれば、マルウェアに感染したクライアントを制御する悪性サーバの検知精度を向上させることできるという効果を奏する。

図１は、第１の実施形態に係る検知装置の構成の一例を示す図である。 図２は、悪性サーバ情報記憶部に記憶されるデータの一例を示す図である。 図３は、クライアントのサーバ利用状況を表す行列を生成する処理および対象サーバの特徴量を生成する処理の一例を説明する図である。 図４は、学習処理と検知処理の概要を説明する図である。 図５は、第１の実施形態に係る検知装置における処理の流れの一例を示すフローチャートである。 図６は、他の実施形態に係る学習装置における処理の流れの一例を示すフローチャートである。 図７は、他の実施形態に係る検知装置における処理の流れの一例を示すフローチャートである。 図８は、検知プログラムを実行するコンピュータを示す図である。

以下に、本願に係る検知装置、検知方法および検知プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る検知装置、検知方法および検知プログラムが限定されるものではない。

［第１の実施形態］
以下の実施の形態では、第１の実施形態に係る検知装置１０の構成、検知装置１０の処理の流れを順に説明し、最後に第１の実施形態による効果を説明する。

［検知装置の構成］
まず、図１を用いて、検知装置１０の構成について説明する。図１は、第１の実施形態に係る検知装置１０の構成の一例を示す図である。図１に示すように、この検知装置１０は、入力部１１、出力部１２、通信部１３、記憶部１４および制御部１５を有する。以下に検知装置１０が有する各部の処理を説明する。

入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１５に対して各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置、情報通信装置、スピーカ等によって実現され、例えば、後述する悪性サーバのＩＰアドレス等を出力する。

通信部１３は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースである。通信部１３は、ＮＩＣ（Network Interface Card）等で実現され、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介した他の装置と制御部１５（後述）との間の通信を行う。例えば、通信部１３は、ネットワーク内におけるフローデータを、インプットとして受信し、制御部１５に出力する。また、例えば、通信部１３は、制御部１５が検知した悪性サーバのＩＰアドレス等を外部の攻撃対処装置等へ出力する。

また、記憶部１４は、制御部１５による各種処理に必要なデータおよびプログラムを格納する。記憶部１４は、悪性サーバ情報記憶部１４ａを有する。例えば、記憶部１４は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

悪性サーバ情報記憶部１４ａは、後述する検知処理により検知された悪性サーバのＩＰアドレスを記憶する。例えば、悪性サーバ情報記憶部１４ａは、図２に例示するように、悪性サーバを一意に識別する「悪性サーバＩＤ」と、検知された悪性サーバのＩＰアドレスを示す「悪性サーバのＩＰアドレス」とを対応付けて記憶する。

なお、ここで、悪性サーバとは、悪性な実行ファイル（マルウェア）を配布したり、マルウェアによって感染したボットに対して命令を行ったりする司令塔サーバ（Ｃ＆Ｃ（command and control）サーバ）のことをいうものとする。ただし、これに限定するものではなく、検知装置１０は、司令塔サーバ以外の悪性サーバを検知するようにしてもよい。

制御部１５は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。例えば、制御部１５は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。また、制御部１５は、収集部１５ａ、行列生成部１５ｂ、特徴量生成部１５ｃ、学習部１５ｄおよび判定部１５ｅを有する。

収集部１５ａは、クライアントおよびサーバを含むネットワークにおける通信情報を収集する。例えば、収集部１５ａは、通信部１３から出力された、ネットワーク内におけるフローデータを収集する。ここでフローデータは、例えば、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコル、フラグ等を含むものとする。また、収集部１５ａは、フローデータを収集するタイミングとして、どのようなタイミングであってもよく、所定時間ごとに定期的に行ってよいし、所定の条件を満たした場合に行うようにしてもよい。

行列生成部１５ｂは、収集部１５ａによって収集された通信情報から、クライアントからサーバへのアクセス状況を表す行列を生成する。例えば、行列生成部１５ｂは、クライアントから各サーバへのアクセスの有無に応じて、行列を生成する。なお、行列を生成する手法としては、これに限定されるものではなく、例えば、サーバへアクセスがあったクライアント数や、クライアントがアクセスした回数等を考慮して行列を生成するようにしてもよい。

例えば、行列生成部１５ｂは、サーバごとに、各サーバへのアクセスがあったクライアント数を用いて、サーバの全体重要度を計算するとともに、クライアントごとに、アクセスした各サーバの回数を用いて、各クライアントに対する各サーバの局所重要度を計算し、全体重要度および局所重要度に応じて、行列を生成するようにしてもよい。行列生成部１５ｂは、アクセスがあったクライアント数が多いサーバほど全体重要度が小さくなるものとして計算し、また、アクセスしたサーバの回数が多いほど局所重要度が大きくなるものとして計算する。なお、全体重要度および局所重要度の計算手法については、どのような計算手法を用いてもよい。

特徴量生成部１５ｃは、対象サーバへアクセスした複数のクライアントを集約し、集約されたクライアント間での行列の類似性の統計情報を、対象サーバの特徴量として生成する。例えば、特徴量生成部１５ｃは、同一の対象サーバへアクセスした二つのクライアントを一つの組として、各組について、二つのクライアントのサーバへのアクセス状況を表す行列の相関係数を計算し、複数のクライアントの組の相関係数の統計値を、サーバの特徴量として計算する。そして、特徴量生成部１５ｃは、サーバが悪性サーバであるか非悪性サーバであるかが既知である場合には、上記の特徴量に、当該特徴量が悪性サーバに関するものか非悪性サーバに関するものかを示すラベルを付与して学習部１５ｄへ出力する。なお、検知装置１０は、サーバが悪性サーバであるか非悪性サーバであるかが既知である。

例えば、特徴量生成部１５ｃは、悪性サーバと各クライアントとの通信情報から悪性サーバの通信特徴量を生成し、非悪性サーバと各クライアント２との通信情報から非悪性サーバのサーバ１の通信特徴量を生成する。そして、特徴量生成部１５ｃは、上記の通信特徴量に、当該通信特徴量が悪性サーバに関するものか非悪性サーバに関するものかを示すラベル情報を付与して学習部１５ｄへ出力する。

ここで、図３を用いて、クライアントのサーバ利用状況を表す行列を生成する処理および対象サーバの特徴量を生成する処理の一例を説明する。図３は、クライアントのサーバ利用状況を表す行列を生成する処理および対象サーバの特徴量を生成する処理の一例を説明する図である。図３に例示するように、行列生成部１５ｂは、同一の対象サーバＳ０にアクセスした複数のクライアントＣ１、Ｃ２、Ｃ３を集約する（図３の（１）参照）。

そして、行列生成部１５ｂは、クライアントＣ１、Ｃ２、Ｃ３のサーバ利用状況を表す行列を生成する（図３の（２）参照）。図３の例では、行列生成部１５ｂは、クライアントから各サーバへのアクセスの有無に応じて、「０」（アクセス無し）または「１」（アクセス有）の２値を用いて行列を生成している。つまり、図３に例示するように、クライアントからサーバへのアクセスがあった場合には「１」、クライアントからサーバへのアクセスがなかった場合には「０」となる。例えば、行列生成部１５ｂは、サーバＳ１に対するクライアントＣ１からのアクセスがあったので、サーバＳ１とクライアントＣ１とに対応する行列の要素に「１」の値を設定する。

また、行列を生成する手法としては、これに限定されるものではなく、例えば、行列生成部１５ｂは、アクセスがあったクライアント数が少ないサーバほど重み付けを大きくしてもよい。また、行列生成部１５ｂは、アクセスの有無ではなく、クライアントがアクセスした回数に応じて、行列を生成するようにしてもよい。例えば、行列生成部１５ｂは、サーバＳ１の重み付け係数が「０．８」であり、サーバＳ１に対してクライアントＣ１のアクセス数が「２０」である場合には、「０．８」に「２０」を乗算した「１６」の値を、サーバＳ１とクライアントＣ１とに対応する行列の要素に設定するようにしてもよい。また、行列生成部１５ｂは、具体的な計算手法として、ＴＦ－ＩＤＦ法を用いて重み付けするようにしてもよい。

続いて、特徴量生成部１５ｃは、二つのクライアントのサーバ利用状況を表す行列の類似度を計算する（図３の（３）参照）。図３の例では、特徴量生成部１５ｃは、同一の対象サーバＳ０へアクセスした二つのクライアントの組である、Ｃ１とＣ２の組、Ｃ２とＣ３の組、および、Ｃ１とＣ３の組について、二つのクライアントのサーバへのアクセス状況を表す行列の相関係数をそれぞれ計算する。

その後、特徴量生成部１５ｃは、複数のクライアントの組の相関係数の統計値を、対象サーバの特徴量として生成する（図３の（４）参照）。例えば、特徴量生成部１５ｃは、相関係数の統計値として、相関係数の平均、分散、最大、最小および中央値のいずれか一つまたは複数を計算し、計算した統計値を対象サーバの特徴量とする。

また、特徴量生成部１５ｃは、同一の対象サーバへアクセスしたクライアントの数が所定数（例えば、１００）を超えた場合には、事前に設定した数（例えば、１００）のクライアントをサブセットとして抽出し、該サブセット内のクライアント間での行列の類似性の統計情報を、対象サーバの特徴量として生成するようにしてもよい。このため、特徴量生成部１５ｃは、対象サーバへアクセスしたクライアントの数が多い場合には、処理負荷を軽減することが可能である。なお、上記した所定数や事前に設定した数は、任意に設定変更が可能であるものとする。

図１の説明に戻って、学習部１５ｄは、サーバが悪性なサーバであるか否かが既知の対象サーバについて、特徴量生成部１５ｃによって生成された特徴量を用いて、サーバが悪性なサーバであるか否かを判定するためのモデルを学習する。例えば、学習部１５ｄは、サーバの種別を示すラベル情報がある対象サーバについて、ラベル情報と特徴量生成部１５ｃによって生成された特徴量とを用いて、モデルを学習する。

つまり、学習部１５ｄは、特徴量生成部１５ｃから出力された、悪性サーバの通信特徴量と非悪性サーバの通信特徴量とを用いて機械学習を行う。そして、学習部１５ｄは、上記の機械学習の結果を用いて、悪性サーバおよび非悪性サーバそれぞれに対する通信特徴量を示したモデルを生成する。学習されたモデルは、検知装置１０の記憶部１４の所定領域に記憶されるものとする。なお、検知装置１０は、悪性サーバもしくは非悪性サーバであることが既知であるサーバについては、事前に情報を記憶しており、事前に記憶している情報を基に、対象サーバについて、サーバが悪性サーバもしくは非悪性サーバであることが既知であるか否かを判定できるものとする。

判定部１５ｅは、サーバが悪性なサーバであるか否かが既知でない対象サーバについて、特徴量生成部１５ｃによって生成された特徴量とモデルを用いて、対象サーバが悪性なサーバであるか否かを判定する。例えば、判定部１５ｅは、ラベル情報がない対象サーバについて、特徴量生成部１５ｃによって生成された特徴量をモデルに入力し、モデルから出力される対象サーバのラベル情報を得る。そして、判定部１５ｅは、対象サーバのラベル情報が悪性なラベルである場合には、対象サーバを悪性サーバとして、悪性サーバのＩＰアドレスを悪性サーバ情報記憶部１４ａに記憶するとともに、悪性サーバのＩＰアドレスを出力するように制御する。なお、悪性サーバのＩＰアドレスは、上述した出力部１２を介して出力されてもよいし、上述した通信部１３を介して外部の装置に出力されてもよい。

ここで、図４を用いて、学習処理と検知処理の概要について説明する。図４は、学習処理と検知処理の概要を説明する図である。図４に例示するように、行列生成部１５ｂは、入力された通信情報を用いて、クライアントからサーバへのアクセス状況を表す行列を生成し、行列を特徴量生成部１５ｃに出力する。特徴量生成部１５ｃは、対象サーバへアクセスした複数のクライアントを集約し、集約されたクライアント間での行列の類似性の統計情報を、対象サーバの特徴量として生成する。

そして、対象サーバのラベル情報が既知である場合には、学習部１５ｄは、特徴量生成部によって生成された特徴量を用いて教師あり機械学習を行うことで、モデルを訓練し、訓練したモデルの情報を判定部１５ｅに出力する。

また、判定部１５ｅは、ラベル情報が既知でない対象サーバについて、学習部１５ｄによって学習されたモデルに対して特徴量生成部１５ｃによって生成された特徴量をモデルに入力し、モデルから出力される対象サーバのラベル情報を得る。この結果、判定部１５ｅは、ラベル情報から対象サーバが悪性サーバであると判定した場合には、悪性サーバのＩＰアドレスを出力するように制御する。

［検知装置の処理手順］
次に、図５を用いて、第１の実施形態に係る検知装置１０による処理手順の例を説明する。図５は、第１の実施形態に係る検知装置における処理の流れの一例を示すフローチャートである。

図５に例示するように、検知装置１０の収集部１５ａが通信情報を収集すると（ステップＳ１０１肯定）、行列生成部１５ｂは、収集部１５ａによって収集された通信情報から、クライアントからサーバへのアクセス状況を表す行列を生成する（ステップＳ１０２）。例えば、行列生成部１５ｂは、クライアントから各サーバへのアクセスの有無に応じて、行列を生成する。

そして、特徴量生成部１５ｃは、対象サーバへアクセスした複数のクライアントを集約する（ステップＳ１０３）。続いて、特徴量生成部１５ｃは、集約されたクライアント間での行列の類似性の統計情報を、対象サーバの特徴量として生成する（ステップＳ１０４）。例えば、特徴量生成部１５ｃは、同一の対象サーバへアクセスした二つのクライアントを一つの組として、各組について、二つのクライアントのサーバへのアクセス状況を表す行列の相関係数を計算し、複数のクライアントの組の相関係数の統計値を、サーバの特徴量として計算する。

そして、特徴量生成部１５ｃは、対象サーバのラベル情報が既知であるか否かを判定する（ステップＳ１０５）。この結果、特徴量生成部１５ｃが対象サーバのラベル情報が既知であると判定した場合には（ステップＳ１０５肯定）、学習部１５ｄは、ラベル情報と対象サーバの特徴量とを用いてモデルを訓練する（ステップＳ１０６）。

また、特徴量生成部１５ｃが対象サーバのラベル情報が既知でないと判定した場合には（ステップＳ１０５否定）、判定部１５ｅは、対象サーバの特徴量とモデルを用いて、対象サーバのラベル情報を判定する（ステップＳ１０７）。例えば、判定部１５ｅは、ラベル情報がない対象サーバについて、特徴量生成部１５ｃによって生成された特徴量をモデルに入力し、モデルから出力される対象サーバのラベル情報を得る。そして、判定部１５ｅは、対象サーバのラベル情報が悪性なサーバであることを示すラベル（悪性なラベル）であるか否かを判定する。

この結果、判定部１５ｅは、対象サーバのラベル情報が悪性なラベルであると判定した場合には（ステップＳ１０８肯定）、対象サーバを悪性サーバとして、悪性サーバのＩＰアドレスを出力する（ステップＳ１０９）。また、判定部１５ｅは、対象サーバのラベル情報が悪性なラベルでないと判定した場合には（ステップＳ１０８否定）、そのまま処理を終了する。なお、図５の例では、学習処理と検知処理とを同一フロー上の処理として説明するが、学習処理と検知処理とを別々の処理として実行してもよい。つまり、検知装置１０は、学習処理を事前に行ってモデルを生成した後に、生成されたモデルを用いて検知処理を行うようにしてもよい。

［第１の実施形態の効果］
このように、第１の実施形態に係る検知装置１０は、クライアントおよびサーバを含むネットワークにおける通信情報を収集し、収集した通信情報を用いて、クライアントからサーバへのアクセス状況を表す行列を生成する。そして、検知装置１０は、対象サーバへアクセスした複数のクライアントを集約し、集約されたクライアント間での行列の類似性の統計情報を、対象サーバの特徴量として生成する。続いて、検知装置１０は、サーバが悪性なサーバであるか否かが既知の対象サーバについて、生成された特徴量を用いて、サーバが悪性なサーバであるか否かを判定するためのモデルを学習する。また、検知装置１０は、サーバが悪性なサーバであるか否かが既知でない対象サーバについて、生成された特徴量とモデルを用いて、対象サーバが悪性なサーバであるか否かを判定する。

このため、第１の実施形態に係る検知装置１０では、マルウェアに感染したクライアントを制御する悪性サーバの検知精度を向上させることが可能である。つまり、第１の実施形態に係る検知装置１０では、クライアントの目的に着目し、同一正規サーバにアクセスしたクライアントが同一目的（興味）を持つ集団だと仮定し、クライアント間のサイト利用時の嗜好性の類似性といった特徴量群を通信情報から抽出し、教師あり学習に適用することで、正規サーバと不正サーバの違いを見分け、検知精度を高めることが可能である。

［その他の実施形態］
上述した第１の実施形態では、検知装置１０が学習処理と検知処理の両方を行う場合を説明したが、これに限定されるものではなく、学習処理と検知処理とを別々の装置が実行するようにしてもよい。例えば、学習処理を行う学習装置が教師あり機械学習を行ってモデルを生成し、学習装置によって生成されたモデルを用いて検知装置が悪性サーバを検知するようにしてもよい。

この場合には、学習装置は、前述した制御部１５において、収集部１５ａ、行列生成部１５ｂ、特徴量生成部１５ｃおよび学習部１５ｄを有し、検知装置は、制御部１５において、収集部１５ａ、行列生成部１５ｂ、特徴量生成部１５ｃおよび判定部１５ｅを有するものとする。

以下では、図６を用いて、他の実施形態に係る学習装置における処理の流れを説明し、図７を用いて、他の実施形態に係る検知装置における処理の流れを説明する。図６は、他の実施形態に係る学習装置における処理の流れの一例を示すフローチャートである。図７は、他の実施形態に係る検知装置における処理の流れの一例を示すフローチャートである。

図６に示すように、他の実施形態に係る学習装置の収集部１５ａが通信情報を収集すると（ステップＳ２０１肯定）、行列生成部１５ｂは、収集部１５ａによって収集された通信情報から、クライアントからサーバへのアクセス状況を表す行列を生成する（ステップＳ２０２）。例えば、行列生成部１５ｂは、クライアントから各サーバへのアクセスの有無に応じて、行列を生成する。

そして、特徴量生成部１５ｃは、対象サーバへアクセスした複数のクライアントを集約する（ステップＳ２０３）。続いて、特徴量生成部１５ｃは、集約されたクライアント間での行列の類似性の統計情報を、対象サーバの特徴量として生成する（ステップＳ２０４）。例えば、特徴量生成部１５ｃは、同一の対象サーバへアクセスした二つのクライアントを一つの組として、各組について、二つのクライアントのサーバへのアクセス状況を表す行列の相関係数を計算し、複数のクライアントの組の相関係数の統計値を、サーバの特徴量として計算する。

そして、学習部１５ｄは、対象サーバのラベル情報と対象サーバの特徴量とを用いてモデルを訓練する（ステップＳ２０５）。ここでは、対象サーバのラベル情報は既知であるものとする。つまり、学習部１５ｄは、ステップＳ２０４で生成された特徴量を用いた機械学習により、モデルを生成する。

続いて、図７を用いて、他の実施形態に係る検知装置が、学習装置によって生成されたモデルを用いて悪性サーバを検知する手順について説明する。図７に示すように、他の実施形態に係る検知装置の収集部１５ａが通信情報を収集すると（ステップＳ３０１肯定）、行列生成部１５ｂは、収集部１５ａによって収集された通信情報から、クライアントからサーバへのアクセス状況を表す行列を生成する（ステップＳ３０２）。例えば、行列生成部１５ｂは、クライアントから各サーバへのアクセスの有無に応じて、行列を生成する。

そして、特徴量生成部１５ｃは、対象サーバへアクセスした複数のクライアントを集約する（ステップＳ３０３）。続いて、特徴量生成部１５ｃは、集約されたクライアント間での行列の類似性の統計情報を、対象サーバの特徴量として生成する（ステップＳ３０４）。例えば、特徴量生成部１５ｃは、同一の対象サーバへアクセスした二つのクライアントを一つの組として、各組について、二つのクライアントのサーバへのアクセス状況を表す行列の相関係数を計算し、複数のクライアントの組の相関係数の統計値を、サーバの特徴量として計算する。

そして、判定部１５ｅは、対象サーバの特徴量とモデルを用いて、対象サーバのラベル情報を判定する（ステップＳ３０５）。例えば、判定部１５ｅは、ラベル情報がない対象サーバについて、特徴量生成部１５ｃによって生成された特徴量をモデルに入力し、モデルから出力される対象サーバのラベル情報を得る。そして、判定部１５ｅは、対象サーバのラベル情報が悪性なサーバであることを示すラベル（悪性なラベル）であるか否かを判定する。

この結果、判定部１５ｅは、対象サーバのラベル情報が悪性なラベルであると判定した場合には（ステップＳ３０６肯定）、対象サーバを悪性サーバとして、悪性サーバのＩＰアドレスを出力する（ステップＳ３０７）。また、判定部１５ｅは、対象サーバのラベル情報が悪性なラベルでないと判定した場合には（ステップＳ３０６否定）、そのまま処理を終了する。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
図８は、検知プログラムを実行するコンピュータを示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、検知装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施の形態の処理で用いられるデータは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク、ＷＡＮを介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０ 検知装置
１１ 入力部
１２ 出力部
１３ 通信部
１４ 記憶部
１４ａ 悪性サーバ情報記憶部
１５ 制御部
１５ａ 収集部
１５ｂ 行列生成部
１５ｃ 特徴量生成部
１５ｄ 学習部
１５ｅ 判定部

Claims (7)

1. クライアントおよびサーバを含むネットワークにおける通信情報を収集する収集部と、
   前記収集部によって収集された通信情報を用いて、前記クライアントから前記サーバへのアクセス状況を表す行列を生成する行列生成部と、
   対象サーバへアクセスした複数のクライアントを集約し、集約されたクライアント間での前記行列の類似性の統計情報を、前記対象サーバの特徴量として生成する特徴量生成部と、
   サーバが悪性なサーバであるか否かが既知の対象サーバについて、前記特徴量生成部によって生成された特徴量を用いて、サーバが悪性なサーバであるか否かを判定するためのモデルを学習する学習部と、
   サーバが悪性なサーバであるか否かが既知でない対象サーバについて、前記特徴量生成部によって生成された特徴量と前記モデルを用いて、前記対象サーバが悪性なサーバであるか否かを判定する判定部と
   を有すること特徴とする検知装置。
2. 前記行列生成部は、前記クライアントから各サーバへのアクセスの有無に応じて、前記行列を生成することを特徴とする請求項１に記載の検知装置。
3. 前記行列生成部は、前記サーバごとに、各サーバへのアクセスがあったクライアント数を用いて、サーバの全体重要度を計算するとともに、前記クライアントごとに、アクセスした各サーバの回数を用いて、各クライアントに対する各サーバの局所重要度を計算し、前記全体重要度および前記局所重要度に応じて、前記行列を生成することを特徴とする請求項１に記載の検知装置。
4. 前記特徴量生成部は、同一の対象サーバへアクセスした二つのクライアントを一つの組として、各組について、前記二つのクライアントのサーバへのアクセス状況を表す行列の相関係数を計算し、複数のクライアントの組の相関係数の統計値を、前記対象サーバの特徴量として計算することを特徴とする請求項１に記載の検知装置。
5. 前記特徴量生成部は、同一の対象サーバへアクセスしたクライアントの数が所定数を超えた場合には、事前に設定した数のクライアントをサブセットとして抽出し、該サブセット内のクライアント間での前記行列の類似性の統計情報を、前記対象サーバの特徴量として生成することを特徴とする請求項１に記載の検知装置。
6. 検知装置によって実行される検知方法であって、
   クライアントおよびサーバを含むネットワークにおける通信情報を収集する収集工程と、
   前記収集工程によって収集された通信情報を用いて、前記クライアントから前記サーバへのアクセス状況を表す行列を生成する行列生成工程と、
   対象サーバへアクセスした複数のクライアントを集約し、集約されたクライアント間での前記行列の類似性の統計情報を、前記対象サーバの特徴量として生成する特徴量生成工程と、
   サーバが悪性なサーバであるか否かが既知の対象サーバについて、前記特徴量生成工程によって生成された特徴量を用いて、サーバが悪性なサーバであるか否かを判定するためのモデルを学習する学習工程と、
   サーバが悪性なサーバであるか否かが既知でない対象サーバについて、前記特徴量生成工程によって生成された特徴量と前記モデルを用いて、前記対象サーバが悪性なサーバであるか否かを判定する判定工程と
   を含むこと特徴とする検知方法。
7. クライアントおよびサーバを含むネットワークにおける通信情報を収集する収集ステップと、
   前記収集ステップによって収集された通信情報を用いて、前記クライアントから前記サーバへのアクセス状況を表す行列を生成する行列生成ステップと、
   対象サーバへアクセスした複数のクライアントを集約し、集約されたクライアント間での前記行列の類似性の統計情報を、前記対象サーバの特徴量として生成する特徴量生成ステップと、
   サーバが悪性なサーバであるか否かが既知の対象サーバについて、前記特徴量生成ステップによって生成された特徴量を用いて、サーバが悪性なサーバであるか否かを判定するためのモデルを学習する学習ステップと、
   サーバが悪性なサーバであるか否かが既知でない対象サーバについて、前記特徴量生成ステップによって生成された特徴量と前記モデルを用いて、前記対象サーバが悪性なサーバであるか否かを判定する判定ステップと
   をコンピュータに実行させることを特徴とする検知プログラム。

Images