JP7409866B2 - 通信監視装置及び通信監視方法 - Google Patents

Description

本発明は、通信監視装置及び通信監視方法に関する。

本技術分野の背景技術として、特開２００８－１５４０１０号公報（特許文献１）がある。この公報には、「データ入力・処理部４２０が、入力データ４１０を単位時間ごとに集計し、特徴量分析部４３０が、集計後のデータを所定の領域に区分し、領域ごとに主成分分析を行って特徴量を算出し、突出点判定部４４０が、各領域の特徴量を２次元平面に配列し、特徴量の分布から突出率を判定し、平滑化係数算出部４５０が、データ入力・処理部４２０からの集計後の各データに対して対応する領域の突出率を付与し、各データの領域内の相対評価値を算出し、各データの相対評価値及び各データの領域の突出率と、平滑化部４６０による移動平均計算の対象とするデータ数とが比例関係となる平滑化係数を算出し、平滑化部４６０が、平滑化係数に基づいて移動平均の対象データ数を求めて、移動平均計算によりデータ入力・処理部４２０からの集計後の各データの平滑化を行う。」と記載されている（要約参照）。

特開２００８－１５４０１０号公報

特許文献１には、学習データとして用いる時系列データに対して、他のデータから乖離しているデータ値に対して平滑化の度合いを強くするため、ノイズを除去することができ、異常検知の精度を向上することができることが記載されているが、入力データが集計単位期間を跨いだことに起因する誤検知については考慮されていない。そこで本発明の一態様は、集計単位期間を跨いで通信が行われたことを考慮して、正常通信を悪用通信と判定する誤検知を抑制することを目的とする。

上記課題を解決するために、本発明の一態様は以下の構成を採用する。監視対象システムの通信を監視する通信監視装置は、プロセッサとメモリとを備え、前記メモリは、前記監視対象システム内の通信ペアの通信数の関係を示し、かつ前記通信ペアの通信が同じ時間帯に発生した通信数に基づいて生成された、通信ペアモデルと、判定対象期間及び前記判定対象期間の前又は後ろの所定数個の期間において、発生した前記通信ペアの通信それぞれの通信数を示す通信情報と、を保持し、前記プロセッサは、前記通信情報から前記判定対象期間における前記通信ペアの通信それぞれの通信数を取得し、前記通信ペアモデルと、前記判定対象期間における前記通信ペアの一方の通信数と、から前記判定対象期間における前記通信ペアの他方のモデル通信数を算出し、前記判定対象期間における前記他方の通信数と、前記モデル通信数と、の差分である第１差分に基づく値を、前記通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記判定対象期間における前記通信ペアの通信に異常が発生した疑いがあると判定した場合、前記通信情報から、前記判定対象期間の前又は後ろの少なくとも１つの期間における前記通信ペアの通信数を、前記通信情報から取得し、前記判定対象期間と前記少なくとも１つの期間とを合わせた期間における、前記通信ペアの通信数と、前記通信ペアモデルと、に基づいて、前記通信ペアの通信に異常が発生したかを判定する、通信監視装置。

本発明の一態様によれば、正常通信を悪用通信と判定する誤検知を抑制することができる。

上記した以外の課題、構成、及び効果は、以下の実施形態の説明により明らかにされる。

実施例１における通信システムの構成例を示すブロック図である。 実施例１における通信監視装置による検知対象の正規通信の一例を示す説明図である。 実施例１における通信監視装置が監視する入力通信の時系列の一例を示す説明図である。 実施例１における通信監視装置が監視する入力通信数のタイムスロットごとの集計データの一例である。 実施例１における図４の集計データの時間軸グラフである。 実施例１における正規通信の通信数を分散図で示したものである。 実施例１における通信監視装置のハードウェア構成例を示すブロック図である。 実施例１における通信監視装置の機能構成例を示すブロック図である。 実施例１における業務通信識別子テーブルの一例である。 実施例１における業務通信ペアモデルテーブルの一例である。 実施例１における業務通信テーブルの一例である。 実施例１における監視対象システムの定常状態を学習する学習処理の一例を示すフローチャートである。 実施例１における収集パケット前処理の一例を示すフローチャートである。 実施例１における業務通信ペアモデル生成処理の一例を示すフローチャートである。 実施例１における通信監視処理の一例を示すフローチャートである。 実施例１における悪用通信検知処理の一例を示すフローチャートである。 実施例１における跨り補正処理の一例を示すフローチャートである。 実施例１における跨り補正処理において算出される値の具体例を示すテーブルである。 実施例１における図５の時間軸グラフを跨り方向に補正したグラフである。 実施例１における図６の分散図を跨り方向に補正した分散図である。

本実施形態は、ＮＥＤＯが推進する総合科学技術・イノベーション会議の戦略的イノベーション創造プログラム（ＳＩＰ）「重要インフラ等におけるサイバーセキュリティの確保」に関する。

以下、添付図面を参照して本発明の実施形態を説明する。本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。各図において共通の構成については同一の参照符号が付されている。

本実施例では、タイムスロットで区切って集計した入力通信数をモデルと比較して悪用を検知する方式において、通信シーケンスがタイムスロットを跨ったことに起因して、正常な業務通信を悪用通信と判断する誤検知を抑制する通信監視システムについて説明する。

図１は、本実施例の通信システムの構成例を示すブロック図である。通信システムは、例えば、監視対象システム１及び通信監視装置２０を含む。通信監視装置２０は、監視対象システム１の通信データを収集して（本実施形態では通信データの一例としてパケットを収集する）、定常時の監視対象システム１の通信の特徴量を抽出する。また、通信監視装置２０は、抽出した特徴量から定常状態をモデル化する。また、通信監視装置２０は、モデルと監視時の通信との差分から正規通信の悪用を検知する。

監視対象システム１は、例えば、複数のネットワーク（図１の例ではネットワーク１１０及びネットワーク１２０）を備える。各ネットワークには、各種役割を備えた複数の機器（図１の例では、機器１０ａ～１０ｍ、機器１２ａ～１２ｎ、及び機器１３ａ～１３ｋ）が接続される。

例えば、監視対象システム１が産業制御システム（ＩＣＳ）である場合、ネットワーク１１０は情報・制御ネットワークであり、ネットワーク１２０はコントロールネットワークである。情報・制御ネットワーク（ネットワーク１１０）に接続された機器１０ａ～１０ｍは、例えば、システム全体の動作を監視するシステム監視サーバ、システムの運行計画を管理するサーバ、又は保守用サーバなどである。

情報・制御ネットワーク（ネットワーク１１０）とコントロールネットワーク（ネットワーク１２０）に接続された機器１２ａ～１２ｎは、例えば、システム監視サーバからの命令に従って、コントロールネットワーク（ネットワーク１２０）に接続された機器に制御命令を送信したり、ログ情報を収集したりする制御サーバ等である。

コントロールネットワーク（ネットワーク１２０）に接続された機器１３ａ～１３ｋは、例えば、制御サーバの命令にしたがってモータの回転数を設定したり、設定情報を収集したりする、プログラマブルコントローラ（ＰＬＣ）等である。

監視対象システム１は、通信監視装置２０に接続された複数のミラーポート（図１の例ではミラーポート１１１及びミラーポート１１２）を有する。各ミラーポートは、監視対象システム１の各ネットワークに流れる通信のコピーを通信監視装置２０に送信する。

図２は、通信監視装置２０による検知対象の正規通信の一例を示す説明図である。機器１０ａから機器１２ａへの通信Ｋ１、機器１２ａから機器１２ｂへの通信Ｋ２、機器１２ａから機器１０ｂへの通信Ｋ３、及び機器１０ｂから機器１０ａへの通信Ｋ４は、いずれも監視対象システム１が正常に動作しているときに発生する正規通信を示す。通信Ｋ１と通信Ｋ２からなるＫＰ１、及び通信Ｋ３と通信Ｋ４からなるＫＰ２は業務的に関係の強い正規通信のペア（以下、業務通信ペアとも呼ぶ）を示している。業務的に関係が強いとは、例えば、正規通信Ｋ１によって正規通信Ｋ２が発生する等の関係がみられる通信のペアのことである。

例えば、（１）２つの機器間で相互に通信を行うタイプの業務の生存確認又は業務実行要求の通信と応答の通信等、（２）１つの機器からの通信を受け他の機器に通信を行う業務の上位機器からの業務実行要求の受信を契機に実行される、配下の機器への命令やデータやログの送信等、（３）１つの機器から複数の機器へ通信を行う業務の上位機器から複数の下位機器へ同じタイミング行われるデータ配信、又は堅牢化のため冗長構成をとる２つの機器へのデータ送信等、（４）１つの機器へ複数の機器から通信を行う業務の下位機器から上位機器への命令実行結果の通知等は、いずれも業務通信ペアを構成する可能性がある。

図３は、通信監視装置２０が監視する入力通信の時系列の一例を示す説明図である。図３における縦下向きの矢印は時間経過を示す。ｔ０、ｔ１、ｔ２、ｔ３は入力通信が行われた時間帯を示すタイムスロットであり、横向きの破線はタイムスロットの区切りを示す。ここで、正規通信Ｋ１及び正規通信Ｋ２は、通信監視装置２０による監視対象の入力通信である。図３の例では、１つの処理シーケンスで交わされる複数の通信を各々矢印で表している。

図４は、図３に示した通信監視装置２０が監視する入力通信数のタイムスロットごとの集計データの一例である。列４０１はタイムスロットを示し、列４０２は対応するタイムスロットにおける正規通信Ｋ１の通信数を示し、列４０３は対応するタイムスロットにおける正規通信Ｋ２の通信数を示す。

図３及び図４の例では、タイムスロットｔ１とｔ２において正規通信Ｋ１と正規通信Ｋ２との組み合わせによる業務の処理シーケンスがタイムスロットを跨いでいる状態（以下、タイムスロット跨りとも呼ぶ）が発生している。

図５は、図４の集計データの時間軸グラフである。横軸はタイムスロット、縦軸はタイムスロットで区切って集計された通信数を示す。図５では正規通信Ｋ１の通信数が実線のグラフ、正規通信Ｋ２の通信数が点線のグラフで示されている。ｔ０、ｔ１、ｔ２、及びｔ３は、図３及び図４で示したタイムスロットｔ０、ｔ１、ｔ２、及びｔ３である。

図６は、正規通信Ｋ１及び正規通信Ｋ２の通信数を分散図で示したものである。横軸が正規通信Ｋ１の通信数を示し、縦軸が正規通信Ｋ２の通信を示す。図中の黒三角形の記号で描かれた点６１１及び点６１２は、それぞれ、タイムスロット跨りが発生したｔ１及びｔ２における正規通信Ｋ１及び正規通信Ｋ２の通信数を示す。図中の一点鎖線は、正規通信Ｋ１及び正規通信Ｋ２から、予め学習して求めた正規通信Ｋ１及び正規通信Ｋ２の通信数の関連を示すモデルである。

このように、タイムスロット跨りが発生したタイムスロットｔ１及びタイムスロットｔ２においては、正規通信Ｋ１及び正規通信Ｋ２の通信数がモデルから大きく乖離しているため、当該モデルのみに従って悪用通信を検知すると実際には正常な業務通信が行われているのに悪用通信が行われていると誤検知される。以下、通信監視装置２０が、業務の処理シーケンスがタイムスロットを跨った箇所を適切に検知し、補正することでタイムスロット跨りに起因する誤検知を抑制する例について説明する。

図７は、通信監視装置２０のハードウェア構成例を示すブロック図である。通信監視装置２０は、例えば、互いにバス２１６等の内部通信線で接続された、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２１１、メモリ２１２、補助記憶装置２１３、及び複数のＩＦ（インタフェース）２１４、入出力装置２１５、及びバス２１６を有する計算機によって構成される。

ＣＰＵ２１１は、プロセッサを含み、メモリ２１２にロードされた各種プログラムを実行し、通信監視装置２０の各種機能を実現する。メモリ２１２は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、ＣＰＵ２１１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

補助記憶装置２１３は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置であり、ＣＰＵ２１１が実行するプログラム２１３ａ及びプログラム２１３ａの実行時に使用されるデータ（例えばテーブル２１３ｂ）を格納する。

すなわち、プログラム２１３ａは、補助記憶装置２１３から読み出されて、メモリ２１２にロードされて、ＣＰＵ２１１によって実行される。なお、メモリ２１２に格納されているデータの一部又は全部が補助記憶装置２１３に格納されていてもよいし、補助記憶装置２１３に格納されているデータの一部又は全部がメモリ２１２に格納されていてもよい。

ＩＦ２１４は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインターフェース装置であり、通信監視装置２０を監視対象システム１のネットワークに接続するために用いられる。複数のＩＦ２１４によって、複数のネットワークで構成される監視対象システム１の通信パケットが収集される。

入出力装置２１５は、ユーザからの入力を受け、プログラム２１３ａの実行結果をユーザが視認可能な形式で出力する装置であり、例えば、キーボード、マウス、及び／又はディスプレイなどである。なお、入出力装置２１５は、通信監視装置２０を構成する計算機に含まれずに接続されていてもよい。

図８は、通信監視装置２０の機能構成例を示すブロック図である。通信監視装置２０は、監視対象システム１のネットワークに流れる通信パケットを収集、分析、及び学習することで、正規通信を使った悪用を検知する。

通信監視装置２０は、パケット収集処理部２１、業務通信ペア推定処理部２２、業務通信ペア特徴量算出処理部２３、業務通信ペアモデル生成処理部２４、悪用通信検知処理部２５、及び跨り補正処理部２６を有し、これらの処理部の機能を実現するためのプログラムがプログラム２１３ａとして補助記憶装置２１３に格納されている。

例えば、ＣＰＵ２１１は、メモリ２１２にロードされたパケット収集処理プログラムに従って動作することで、パケット収集処理部２１として機能し、メモリ２１２にロードされた業務通信ペア推定処理プログラムに従って動作することで、業務通信ペア推定処理部２２として機能する。通信監視装置２０が有する他の処理部についても、プログラムと処理部の関係は同様である。

なお、通信監視装置２０が有する処理部による機能の一部又は全部が、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のハードウェアによって実現されてもよい。

また、通信監視装置２０は、業務通信識別子テーブル２０１、業務通信ペアモデルテーブル２０４、及び業務通信テーブル２０５を保持する。これらのテーブルはテーブル２１３ｂとして補助記憶装置２１３に格納され、処理に利用される際にはメモリ２１２に展開される。

なお、本実施形態において、通信監視装置２０が使用する情報は、データ構造に依存せずどのようなデータ構造で表現されていてもよい。本実施形態ではテーブル形式で情報が表現されている例を説明するが、例えば、リスト、データベース又はキューから適切に選択したデータ構造体が、情報を格納することができる。

パケット収集処理部２１はＩＦ２１４を介して、監視対象システム１のネットワークに流れる通信パケットを収集する。パケット収集処理部２１は収集した通信パケットのメタ情報に紐付く識別子を通信パケットに割り当て、その紐付を管理する業務通信識別子テーブル２０１を生成する。なお、「単位時間当たり」と「タイムスロットで区切られた」は同義である。以下、このデータを単に集計データとも呼ぶ。なお、メタ情報とは、例えば、通信元機器及び通信先機器のＩＰアドレス、通信プロトコル、及びポート番号等を含む。

業務通信識別子テーブル２０１に登録された通信が、監視対象システム１の正規の業務を行う通信（正規通信）とみなされる。また、パケット収集処理部２１は、識別子毎に単位時間当たりの通信パケット数などが格納される業務通信テーブル２０５を生成する。

業務通信ペア推定処理部２２は、業務通信テーブル２０５の情報を用いて、業務通信識別子テーブル２０１に登録された全ての正規通信の組合せについて業務的な関係の強さを業務関連度として算出する。

業務通信ペア特徴量算出処理部２３は、業務通信ペア推定テーブル２０２が示す業務的な関係の強い業務通信ペアについて、業務通信テーブル２０５の情報を用いて、業務通信ペアの関係を示す特徴量を算出する。業務通信ペアモデル生成処理部２４は、業務通信識別子テーブル２０１に登録された全正規通信の組合せについて、業務通信テーブル２０５に登録された情報を用いて、業務的な関係の強さと業務通信ペアの定常状態とを示すモデルを算出し、業務通信ペアモデルテーブル２０４へ登録する。

悪用通信検知処理部２５は、新規に入力された業務通信テーブル２０５のデータが業務通信ペアである場合、当該業務通信ペアのモデルから算出した推定値から外れ度を算出し、算出した外れ度が所定の基準を超えていた場合に正規通信の悪用（異常）であると判定する。

跨り補正処理部２６は、悪用通信検知処理部２５が悪用通信であると判定した業務通信がタイムスロット跨りに起因するものか判定し、タイムスロット跨りに起因すると判定した場合には複数のタイムスロットの通信数に基づいて、悪用通信が行われているか否かを再判定する。

なお通信監視装置２０は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。また、例えば、通信監視装置２０は、業務通信ペアモデルを生成する装置と、業務通信ペアモデルを用いて通信を監視する装置と、に分離可能であってもよい。

図９は業務通信識別子テーブル２０１の一例である。業務通信識別子テーブル２０１には、定常時の監視対象システム１で観測された通信パケットが正規通信として登録される。業務通信識別子テーブル２０１は、例えば、メタ情報に紐付く識別子を示す業務通信識別子（ＩＤ－１）を示す業務通信識別子列５０１、通信の送信元機器を示す送信元機器列５０２、通信の宛先機器を示す宛先機器列５０３、及び通信ポートを示す通信ポート列５０４を含む。

図１０は業務通信ペアモデルテーブル２０４の一例である。業務通信ペアモデルテーブル２０４は、例えば、業務通信ペア識別子（ＩＤ－２）を示す業務通信ペア識別子列８０１、業務通信ペアを構成する正規通信Ｘの業務通信識別子列８０２と正規通信Ｙの業務通信識別子列８０３列、業務通信ペアの通信の特徴量から算出したモデルのパラメータである傾き列８０４と切片列８０５、及び異常検知の判定基準となる閾値基準を示す閾値基準列８０６を含む。

なお、傾き列８０４が示す傾きと切片列８０５が示す切片は、それぞれ、直線回帰モデルの回帰式Ｙ＝ａＸ＋ｂの傾きと切片である。なお、本実施形態では最小二乗法を用いた直線回帰モデルが生成される例を説明するが、モデルはこれに限らず回帰曲線モデル等の他の任意のモデルであってもよい。

図１１は業務通信テーブル２０５の一例である。業務通信テーブル２０５は、業務通信識別子が付与された正規通信について、所定の時間単位で、正規通信の通信数を集計したデータを格納する。業務通信テーブル２０５は、例えば、通信パケットの発生時刻を所定時間単位のタイムスロットで示す時刻列９０１、及び各業務識別子のタイムスロット内で発生した正規通信の通信数を示す通信数列９０２を含む。

図１２は、監視対象システム１の定常状態を学習する学習処理の一例を示すフローチャートである。学習処理では、監視対象システム１が正常稼働しているときの通信パケットが収集され、業務通信ペアの定常時の通信数の関係をモデル化した直線回帰モデルが生成される。なお、学習処理は安全なネットワーク環境で実施されることが望ましい。

収集パケット前処理（Ｓ１００１）では、パケット収集処理部２１が監視対象システム１のネットワークに流れる通信パケットを収集しメタ情報に紐付く識別子を通信パケットに割り当て、通信ごと及びタイムスロットごとに通信数を業務通信識別子テーブル２０１に登録する。ステップＳ１００１の詳細については後述する。

業務通信ペア推定処理（Ｓ１００２）では、業務通信ペア推定処理部２２が、ステップＳ１００１で登録された業務通信テーブル２０５を参照して、業務通信識別子テーブル２０１に登録された正規通信のペアを生成する。

業務通信ペアモデル生成処理（Ｓ１００３）では、業務通信ペアモデル生成処理部２４が、少なくとも、後述する業務関連度が高い正規通信のペアについては、業務通信ペアの定常状態を表すモデルを算出し、業務通信ペアモデルテーブル２０４へ登録する。ステップＳ１００３の詳細については後述する。

図１３は、ステップＳ１００１における収集パケット前処理の一例を示すフローチャートである。収集パケット前処理は、通信監視装置２０がパケットを受信する度に実行される。まず、パケット収集処理部２１はＩＦ２１４を介して、監視対象システム１のネットワークに流れる通信パケットを収集する（Ｓ１１０１）。

次に、パケット収集処理部２１は、収集した通信パケットからメタ情報を抽出する（Ｓ１１０２）。例えば、通信パケットの時刻情報（ＹＹＹＹ／ＭＭ／ＤＤ ｈｈ：ｍｍ：ｓｓ）、送信元機器のＩＰアドレス、宛先機器のＩＰアドレス、通信プロトコル、及びポート番号等が、抽出対象のメタ情報である。メタ情報のうち通信パケットの送信時刻情報以外の情報は、業務通信の識別に用いられるため、以下、この情報を業務通信メタ情報とも呼ぶ。なお、通信パケットを送信した機器が当該通信パケットに付加した時刻や、通信パケットを受信したミラーポート１１１又はミラーポート１１２が当該通信パケットに付加した時刻は、いずれも上述の時刻情報が示す時刻の一例である。

次に、パケット収集処理部２１は、業務通信識別子テーブル２０１を参照して（Ｓ１１０３）、抽出した業務通信メタ情報を有する業務通信、即ち送信機器、宛先機器、及びポートが等しい業務通信（正規通信）、が業務通信識別子テーブル２０１に登録されているかを確認する（Ｓ１１０４）。

パケット収集処理部２１は、抽出した業務通信メタ情報を有する業務通信が、業務通信識別子テーブル２０１に登録されていないと判定した場合（Ｓ１１０４：ＮＯ）、当該業務通信メタ情報が抽出された通信に対して新しい正規通信としての新規の業務通信識別子を生成する（Ｓ１１０５）。そして、パケット収集処理部２１は、生成した業務通信識別子と抽出した業務通信メタ情報とを紐付けて、業務通信識別子テーブル２０１に登録する（Ｓ１１０６）。

次に、パケット収集処理部２１は、ステップＳ１１０５で付与された業務通信識別子を業務通信テーブル２０５に登録する（Ｓ１１０７）。具体的には、パケット収集処理部２１は、当該通信パケットの時刻情報に該当する時刻（タイムスロット）の行の、当該通信パケットの業務通信識別子の通信数を１増やす。パケット収集処理部２１は、時刻の行が無い場合は当該時刻が属するタイムスロットの行を追加して、当該通信パケットの業務通信識別子の通信数を１とする。なお、タイムスロットの時刻間隔は予め設定されている（例えば１０秒）。

パケット収集処理部２１は、抽出した業務通信メタ情報を有する業務通信が、業務通信識別子テーブル２０１登録済みであると判定した場合（Ｓ１１０４：ＹＥＳ）、当該通信パケットの時刻情報を元に、該当する時刻セル行の業務通信識別子の通信数データを１増やす（Ｓ１１０８）。該当する時刻セルが無い場合の処理はＳ１１０７の同様処理と同じである。

図１４は、ステップＳ１００３における、業務通信ペアの定常通信の特徴量を算出し、モデルを生成する業務通信ペアモデル生成処理の一例を示すフローチャートである。業務通信ペア特徴量算出処理部２３は、業務通信テーブル２０５を参照し、各業務通信ペアについて通信の特徴量を計算する（Ｓ１４０１）。

Ｘ通信数、Ｙ通信数、通信発生数、Ｘ通信数の二乗の総和、Ｙ通信数の二乗の総和、Ｘ通信数とＹ通信数の積の総和等はいずれも当該特徴量の一例である。Ｘ通信数とは、学習期間中にＸ通信とＹ通信の双方が発生したタイムスロットにおけるＸ通信の通信数の合計である。Ｙ通信数とは、学習期間中にＸ通信（通信ペアの一方の通信）とＹ通信（通信ペアの他方の通信）の双方が発生したタイムスロットにおけるＹ通信の通信数の合計である。

通信発生数は、学習期間中にＸ通信とＹ通信の双方が発生したタイムスロットの数である。Ｘ通信数の総和とは、学習期間においてＸ通信数を加算したものである。Ｙ通信数の総和とは、学習期間においてＹ通信数を加算したものである。通信発生数の総和とは、学習期間において通信発生数を加算したものである。Ｘ通信数の二乗の総和とは、学習期間におけるＸ通信数の二乗を加算したものである。Ｙ通信数の二乗の総和とは、学習期間におけるＹ通信数の二乗を加算したものである。Ｘ通信数とＹ通信数の積の総和とは、学習期間におけるＸ通信数とＹ通信数の積を加算したものである。

業務通信ペアモデル生成処理部２４は、ステップＳ１００２で推定された業務通信ペアから業務関連度の値が予め定められた関連度閾値（例えば０．８）より業務通信ペアを抽出し、関連の強い業務通信ペアのリスト（関連業務通信ペアリスト）を生成する（Ｓ１４０２）。

なお、業務通信ペアモデル生成処理部２４は、業務関連度として、例えば、Ｘ通信数とＹ通信数の相関係数の絶対値（相関係数そのものでもよい）を算出する。なお、業務通信ペアに対する相関係数は、学習期間における通信発生数の総和、Ｘ通信数の和、Ｙ通信数の和、Ｘ通信数の二乗和、Ｙ通信数の二乗和、及びＸ通信数とＹ通信数の積の総和から算出することができる。

次に、業務通信ペアモデル生成処理部２４は、ステップＳ１４０１で算出された特徴量に基づいて、業務通信ペアの定常状態を表すモデルを計算し、業務通信ペアモデルテーブル２０４へ格納する（Ｓ１４０３）。

業務通信ペアの定常状態を表すモデルが直線回帰モデルの場合、回帰式Ｙ＝ａ（傾き）Ｘ＋ｂ（切片）のパラメータである傾きと切片、及び閾値基準が算出される。閾値基準とは、回帰直線におけるＹ通信の残差の標準偏差である。なお、図８の例では、関連業務通信ペアリストに含まれない業務通信ペアについては、傾き列８０４、切片列８０５、及び閾値基準列８０６の値として０が格納されている。

図１５は、通信監視処理の一例を示すフローチャートである。通信監視処理は、業務通信ペアモデルが生成された後に、例えば、ユーザの通信監視処理開始指示に従って、実行される。通信監視処理では、入力された通信に該当する業務通信ペアのモデルから定常時の通信数を算出し、算出した通信数と、入力された通信数と、を比較して正規通信の悪用か否かを判定する。

まず、パケット収集処理部２１は、監視対象の通信パケットについて収集パケット前処理（Ｓ１４０１）を行う。ステップＳ１４０１におけるパケット前処理は、ステップＳ１００１におけるパケット前処理と同様であるため説明を省略する。なお、パケット前処理における、通信監視対象期間（悪用通信検知対象期間）として少なくとも１タイムスロットが必要である。

続いて、悪用通信検知処理部２５は、入力された通信と該当する業務通信ペアのモデルを比較して、正規通信の悪用か否かを判定する悪用通信検知処理を実行する（Ｓ１４０２）。悪用通信検知処理の詳細については、は図１５を用いて後述する。

図１５は、通信監視処理の一例を示すフローチャートである。通信監視処理は、業務通信ペアモデルが生成された後に、例えば、ユーザの通信監視処理開始指示に従って、実行される。通信監視処理では、入力された通信に該当する業務通信ペアのモデルから定常時の通信数を算出し、算出した通信数と、入力された通信数と、を比較して正規通信の悪用か否かを判定する。

まず、パケット収集処理部２１は、監視対象の通信パケットについて監視パケット前処理を行う（Ｓ１５０１）。ステップＳ１５０１における監視パケット前処理は、ステップＳ１００１におけるパケット前処理と同様であるため説明を省略するが、跨り補正処理が行われる場合には、少なくとも３タイムスロット（悪用通信検知対象期間であるｔ（ｎ）と、ｔ（ｎ）の１つ前のタイムスロットであるｔ（ｎ－１）と、ｔ（ｎ）の１つ後のタイムスロットであるｔ（ｎ＋１））における通信数が必要である。

続いて、悪用通信検知処理部２５は、入力された通信（３タイムスロットの通信）と、該当する業務通信ペアのモデルと、を比較して、悪用通信が行われているか否かを判定する悪用通信検知処理を実行する（Ｓ１５０２）。悪用通信検知処理の詳細については、図１６を用いて後述する。

なお、詳細は後述するが悪用通信検知処理部２５は、正規通信が行われている（悪用通信が行われていない）と判定した場合は、ステップＳ１５０１に戻る。悪用通信検知処理部２５は、悪用通信が行われていると判定した場合には、跨り補正処理部２６は、後述する跨り補正処理を実行する。跨り補正処理部２６は、跨り補正処理において、例えば直近の３タイムスロット（ｔ（ｎー１）、ｔ（ｎ）、ｔ（ｎ＋１））の通信数を用いてタイムスロット跨りが発生しているかを判断し、補正する。

図１６は、ステップＳ１５０２における、入力された通信数と業務通信ペアモデルとの比較によって正規通信の悪用を検知する悪用通信検知処理の一例を示すフローチャートである。この処理は、Ｓ１５０１で通信ペアの通信数が生成される度に、３タイムスロット（ｔ（ｎー１）、ｔ（ｎ）、ｔ（ｎ＋１））の通信数に対して、実行される。

まず、悪用通信検知処理部２５は、業務通信ペアモデルテーブル２０４を参照して（Ｓ１６０１）、悪用通信検知対象期間であるタイムスロットｔ（ｎ）（例えば現在時刻が属するタイムスロット）で発生した通信からなるペアのモデル情報が格納されているか判定する（Ｓ１６０２）。

悪用通信検知処理部２５は、タイムスロットｔ（ｎ）で発生した全ての通信ペアについて、モデル情報が業務通信ペアモデルテーブル２０４に格納されていないと判定した場合（Ｓ１６０２：ＮＯ）、処理を終了する。

悪用通信検知処理部２５は、タイムスロットｔ（ｎ）で発生した全ての通信ペアのいずれかのモデル情報が業務通信ペアモデルテーブル２０４に格納されていると判定した場合（Ｓ１６０２：ＹＥＳ）、当該業務通信ペアそれぞれに対して、モデルから定常時の通信数を算出し、算出したモデルの定常時の通信数と入力された通信数との差分から外れ度を算出する（Ｓ１６０３）。具体的には、例えば、悪用通信検知処理部２５は、モデルが示す定常時の通信数と入力された通信数との差分の絶対値を閾値基準で割った値を、外れ度として算出する。

次に、悪用通信検知処理部２５は、当該業務通信ペアそれぞれに対して、算出した外れ度を、予め定められた外れ閾値（例えば閾値基準の４倍）と比較する（Ｓ１６０４）。悪用通信検知処理部２５は、算出した外れ度が外れ閾値より大きい業務津通信ペアがあると判定した場合（Ｓ１６０４：ＹＥＳ）、悪用通信が行われている疑いあるため悪用通信検知処理を終了して、跨り補正処理部２６が跨り補正処理を実行した上で（Ｓ１６０５）、処理を終了する、即ちステップＳ１５０１の監視パケット前処理へと戻る。跨り補正処理の詳細については図１７～図２０で説明する。悪用通信検知処理部２５は、算出した外れ度が外れ閾値より大きい業務通信ペアがないと判定した場合（Ｓ１６０４：ＮＯ）、処理を終了する、即ちステップＳ１５０１の監視パケット前処理へと戻る。

図１７は、跨り補正処理部２６が実行する跨り補正処理の一例を示すフローチャートである。跨り補正処理において、まず跨り補正処理部２６は、悪用通信が行われていると判定されたタイムスロットｔ（ｎ）の業務通信ペアの、当該タイムスロットｔ（ｎ）の直近及び直後のタイムスロット（ｔ（ｎ－１）及びｔ（ｎ＋１））の通信数を取得する（Ｓ１７０１）。

跨り補正処理部２６は、業務通信ペアモデルテーブル２０４から、当該業務通信のモデルを取得して、タイムスロットｔ（ｎ－１）とタイムスロットｔ（ｎ）とにおける合算差分と、タイムスロットｔ（ｎ）とタイムスロットｔ（ｎ－１）とにおける合算差分と、を取得したモデルに基づいて、それぞれ算出する（Ｓ１７０２）。

具体的には、例えば、跨り補正処理部２６は、タイムスロットｔ（ｎ－１）とタイムスロットｔ（ｎ）それぞれについて、業務通信ペアの一方の通信数を取得したモデルに代入して、他方の通信数の期待値を算出する。さらに、跨り補正処理部２６は、タイムスロットｔ（ｎ－１）とタイムスロットｔ（ｎ）における、業務通信ペアの当該他方の通信数の和と、当該一方の通信数の和を当該取得したモデルに代入して算出した当該他方の通信数の期待値と、の差の絶対値を、タイムスロットｔ（ｎ－１）とタイムスロットｔ（ｎ）における合算差分として算出する。また、跨り補正処理部２６は、タイムスロットｔ（ｎ）とタイムスロットｔ（ｎ＋１）における業務通信ペアの当該他方の通信数の和と、タイムスロットｔ（ｎ）とタイムスロットｔ（ｎ＋１）における当該一方の通信数の和を当該取得したモデルに代入して算出した当該他方の通信数の期待値と、の差の絶対値を、タイムスロットｔ（ｎ）とタイムスロットｔ（ｎ＋１）における合算差分として算出する。

続いて、跨り補正処理部２６は、タイムスロットｔ（ｎ）における当該他方の通信数と、モデルを用いて算出された当該他方の通信数と、の差分の絶対値を判定用差分として算出し、合算差分それぞれが、判定用差分より小さいかを判定する（Ｓ１７０３）。跨り補正処理部２６は、合算差分の少なくとも一方が、判定用差分より小さいと判定した場合（Ｓ１７０３：ＹＥＳ）、タイムスロットの跨りが発生していると判定し、跨り方向を特定する（Ｓ１７０４）。跨り補正処理部２６は、合算差分の双方が、判定用差分以上であると判定した場合（Ｓ１７０３：ＮＯ）、悪用通信が行われたと判定し、当該業務通信ペアについてアラートを入出力装置２１５に出力する等の対処処理を実行する（Ｓ１７０７）。

ステップＳ１７０４において、跨り補正処理部２６は、２つの合算差分のうち、小さい合算差分に対応するタイムスロット間でタイムスロット跨りが発生していると判定する。ステップＳ１７０４に続いて、跨り補正処理部２６は、タイムスロットｔ（ｎ）と跨り方向のタイムスロット（ｔ（ｎ－１）又はｔ（ｎ＋１））における外れ度を算出する（Ｓ１７０５）。具体的には、例えば、跨り補正処理部２６は、ステップＳ１６０３と同様に、タイムスロットｔ（ｎ）と跨り方向のタイムスロット（ｔ（ｎ－１）又はｔ（ｎ＋１））における、当該他方の通信数の和と、当該一方の通信数の和をモデルに代入して得られた当該他方の通信数の期待値と、の差分の絶対値を当該モデルが示す閾値基準で割った値を、外れ度として算出する。

２つの合算差分が同じ値の場合は、跨り補正処理部２６は、タイムスロットｔ（ｎ）の前後のタイムスロット、すなわち、３タイムスロットに渡って跨りが発生していると判定する。跨り補正処理部２６は、ｔ（ｎ－１）とｔ（ｎ）とｔ（ｎ＋１）の期間について、業務通信ペアの当該他方の通信数の和と、当該一方の通信数の和を当該取得したモデルに代入して算出した当該他方の通信数の期待値と、の差の絶対値を、当該モデルが示す閾値基準で割った値を、外れ度として算出する。

続いて、跨り補正処理部２６は、算出した外れ度が外れ閾値より大きいかを判定する（Ｓ１７０６）。跨り補正処理部２６は、算出した外れ度が外れ閾値より大きいと判定した場合（Ｓ１７０６：ＹＥＳ）、悪用通信が行われたと判定し、ステップＳ１７０７の対処処理を実行する。跨り補正処理部２６は、算出した外れ度が外れ閾値以下であると判定した場合（Ｓ１７０７：ＮＯ）、タイムスロット跨りによる誤検知であるため、処理を終了する、即ちステップＳ１５０１の監視パケット前処理へと戻る。

なお、図１７の例では、跨り補正処理部２６は、ｔ（ｎ）の直近及び直後それぞれ１つのタイムスロット（ｔ（ｎ－１）及びｔ（ｎ＋１））についてモデルによる合算期待値や合算差分を算出して、跨り方向の特定や悪用通信判定をしたが、３つ以上のタイムスロットに跨りが発生している可能性もあるため、ｔ（ｎ）の直近及び直後それぞれ２つ以上のタイムスロットについて、同様の方法で合算期待値や合算差分を算出して、跨り方向の特定や悪用通信判定をしてもよい。

また、跨り補正処理部２６は、ｔ（ｎ）の直近又は直後の一方のみのタイムスロットについて、モデルによる合算期待値や合算差分を算出して、跨り方向を選択することなく（即ちステップＳ１７０４の処理を行うことなく）、当該一方の跨り方向についてのみ悪用通信判定をしてもよい。

図１８は、図１７で説明した跨り補正処理において算出される値の具体例を示すテーブルである。図１８の例では、タイムスロットｔ１で通信ＫＰ１と通信ＫＰ２とからなる業務通信ペアについて、ステップＳ１６０４において外れ度が外れ閾値より大きいと判定された（即ち悪用通信が行われた疑いがあると判定された）ものとする。従って通信ＫＰ１と通信ＫＰ２の、タイムスロットｔ１の通信数に加えて、タイムスロットｔ１の直近及び直後のタイムスロットである、タイムスロットｔ０の通信数と、タイムスロットｔ２の通信数と、が取得されている。

列１８０１と列１８０２には、それぞれ、通信ＫＰ１の通信数とＫＰ２の通信数とが、タイムスロットごとに格納されている。列１８０３には、タイムスロットｔ０とタイムスロットｔ１とにおける、当該業務通信ペアに対応するモデルに通信ＫＰ１の通信数を代入して得られた通信ＫＰ２の通信数の期待値が格納されている。列１８０４には、タイムスロットｔ０とタイムスロットｔ１とにおける、通信ＫＰ２の通信数の期待値と、通信ＫＰ数の通信数と、の差分の絶対値が格納されている。

列１８１１には、タイムスロットｔ０及びタイムスロットｔ１の組み合わせと、タイムスロットｔ１及びタイムスロットｔ２の組み合わせと、のそれぞれについて、通信ＫＰ１の通信数の和が格納されている。列１８１２には、タイムスロットｔ１及びタイムスロットｔ１の組み合わせと、タイムスロットｔ１及びタイムスロットｔ２の組み合わせと、のそれぞれについて、通信ＫＰ２の通信数の和が格納されている。

列１８１３には、タイムスロットｔ０とタイムスロットｔ２におけるＫＰ２の通信数の期待値の和が格納されている。具体的には、列１８１３のタイムスロットｔ０に対応するセルには、タイムスロットｔ０とタイムスロットｔ１のＫＰ１の通信数の和をモデルに代入して得られたＫＰ２の通信数の期待値が格納され、列１８１３のタイムスロットｔ２に対応するセルには、タイムスロットｔ１とタイムスロットｔ２のＫＰ１の通信数の和をモデルに代入して得られたＫＰ２の通信数の期待値が格納されている。なお、タイムスロットｔ２におけるＫＰ２の通信数の期待値が算出されている場合には、タイムスロットｔ２に対応するレコードの列１８１３のセルにタイムスロットｔ１とタイムスロットｔ２におけるＫＰ２の通信数の期待値の和が格納されていてもよい。

列１８１４には、合算差分が格納されている。図１８の例では、タイムスロットｔ０とタイムスロットｔ１の合算差分が４３であり、タイムスロットｔ１とタイムスロットｔ２の合算差分が５であるため（５＜４３であるため）、タイムスロットｔ１とタイムスロットｔ２との間でタイムスロット跨りが発生している（即ち跨り方向はｔ２方向である）。

図１９は、図５の時間軸グラフを跨り方向に補正したグラフである。図１９のタイムスロットｔ０及びタイムスロットｔ３は、それぞれ図５のタイムスロットｔ１及びタイムスロットｔ３に相当する。図１９のタイムスロットｔ１＋ｔ２は、タイムスロットｔ１とタイムスロットｔ１との間でタイムスロット跨りが発生し、その跨りが補正された状態である。

図２０は、図６の分散図を跨り方向に補正した分散図である。点２００１は、タイムスロットｔ１とタイムスロットｔ２との間でタイムスロット跨りが発生し、その跨りが補正された状態における通信Ｋ１の通信数と、通信Ｋ２の通信数と、を示す。

以上、本実施例に係る通信監視装置２０は、業務通信ペアの関係を示す特徴量から業務通信が規定通りに実行されているかどうかを判断することができ、正規通信の悪用を検知することができる。さらに、通信監視装置２０は、悪用通信が行われた疑いがあると判定した際に、前後のタイムスロットの通信数からタイムスロット跨りが発生しているかを判断することができ、タイムスロット跨りを補正することでタイムスロット跨りに起因する誤検知を抑制することができる。

また、通信監視装置２０は、ステップＳ１７０６において、タイムスロット跨りが発生した２つのタイムスロットを合算した期間における跨り補正外れ度と外れ閾値とを比較するため、真の異常を見落とす頻度を低減せずに、上記誤検知抑制することができる。

なお、本実施形態において、通信監視装置２０は、２つの通信からなる業務通信ペアを特定していたが、上記した方法と同様の方法で、２つ以上の通信からなる業務通信グループを特定し、業務通信グループの関連を示すモデルを生成し、検知時の通信と当該モデルとの差分に基づいて、悪用通信を検知してもよい。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることも可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１ 監視対象システム、２０ 通信監視装置、２１ パケット収集処理部、２２ 業務通信ペア推定処理部、２３ 業務通信ペア特徴量算出処理部、２４ 業務通信ペアモデル生成処理部、２５ 悪用通信検知処理部、２６ 跨り補正処理部、２０１ 業務通信識別子テーブル、２０４ 業務通信ペアモデルテーブル、２０５ 業務通信テーブル、２０６ 業務通信ペア２段目上側特徴量テーブル、２０７ 業務通信ペア２段目下側特徴量テーブル、２０８ 業務通信ペア２段モデルテーブル、２１１ ＣＰＵ、２１２ メモリ、２１３ 記憶装置、２１４ ＩＦ（インタフェース）、２１５ 入出力装置

Claims (9)

1. 監視対象システムの通信を監視する通信監視装置であって、
   プロセッサとメモリとを備え、
   前記メモリは、
   前記監視対象システム内の通信ペアの通信数の関係を示し、かつ前記通信ペアの通信が同じ時間帯に発生した通信数に基づいて生成された、通信ペアモデルと、
   判定対象期間並びに前記判定対象期間の前及び後ろの所定数個の期間において、発生した前記通信ペアの通信それぞれの通信数を示す通信情報と、を保持し、
   前記プロセッサは、
   前記通信情報から前記判定対象期間における前記通信ペアの通信それぞれの通信数を取得し、
   前記通信ペアモデルと、前記判定対象期間における前記通信ペアの一方の通信数と、から前記判定対象期間における前記通信ペアの他方のモデル通信数を算出し、
   前記判定対象期間における前記他方の通信数と、前記モデル通信数と、の差分である第１差分に基づく値を、前記通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記判定対象期間における前記通信ペアの通信に異常が発生した疑いがあると判定した場合、
   前記通信情報から、前記判定対象期間の直前の１つ以上の期間及び直後の１つ以上の期間における前記通信ペアの通信数を取得し、
   前記判定対象期間と前記直前の１つ以上の期間とを合わせた前合算期間、及び前記判定対象期間と前記直後の１つ以上の期間とを合わせた後合算期間における、前記通信ペアの通信数と、前記通信ペアモデルと、に基づいて、前記通信ペアの通信に異常が発生したかを判定する、通信監視装置。
2. 請求項１に記載の通信監視装置であって、
   前記プロセッサは、
   前記異常が発生した疑いがあると判定した場合、
   前記前合算期間における、前記他方の通信数の合計を算出し、
   前記後合算期間における、前記他方の通信数の合計を算出し、
   前記通信ペアモデルと、前記前合算期間及び前記後合算期間における前記通信ペアの一方の通信数と、に基づいて、前記前合算期間における前記他方の前合算モデル通信数及び前記後合算期間における前記他方の後合算モデル通信数を算出し、
   前記前合算期間における前記他方の通信数の合計と前記前合算モデル通信数との差分である第２差分と、前記後合算期間における前記他方の通信数の合計と前記後合算モデル通信数との差分である第３差分と、前記通信ペアモデルの残差に基づく閾値と、に基づいて、前記判定対象期間における前記通信ペアの通信に異常が発生したかを判定する、通信監視装置。
3. 請求項２に記載の通信監視装置であって、
   前記プロセッサは、
   前記第２差分と、前記第３差分と、に基づいて、前記直前の１つ以上の期間と前記直後の１つ以上の期間とから前記通信ペアの通信が跨がった期間を特定し、
   前記特定した期間と前記判定対象期間とを合算した跨り発生期間における前記他方の通信数と、前記通信ペアモデルと前記跨り発生期間における前記通信ペアの一方の通信数とに基づく前記跨り期間の合算モデル通信数と、の第４差分に基づく値を、前記通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記判定対象期間における前記通信ペアの通信に異常が発生したかを判定する、通信監視装置。
4. 請求項３に記載の通信監視装置であって、
   前記プロセッサは、前記第４差分を前記残差の標準偏差である閾値基準で割った商である外れ度が、前記閾値を超えた場合に、前記異常が発生したと判定する、通信監視装置。
5. 請求項１に記載の通信監視装置であって、
   前記プロセッサは、
   学習期間において前記監視対象システムから観測された通信から、同じ時間帯において発生した通信数に基づいて、前記通信ペアを推定し、
   前記通信ペアの前記学習期間における同じ時間帯に発生した通信数から算出される特徴量に基づいて、前記通信ペアモデルを生成し、
   前記生成した通信ペアモデルを前記メモリに格納する、通信監視装置。
6. 請求項５に記載の通信監視装置であって、
   前記プロセッサは、前記学習期間において前記監視対象システムから観測された通信のうち、前記同じ時間帯における通信数の相関係数が所定値以上である通信を、前記通信ペアとして推定する、通信監視装置。
7. 請求項６に記載の通信監視装置であって、
   前記プロセッサは、前記特徴量に基づいて、前記通信ペアの通信の通信数の関係を示す回帰直線を、前記通信ペアモデルとして生成する、通信監視装置。
8. 請求項１に記載の通信監視装置であって、
   前記プロセッサは、前記第１差分の絶対値を前記残差の標準偏差である閾値基準で割った商である外れ度が、前記閾値を超えた場合に、前記異常が発生した疑いがあると判定する、通信監視装置。
9. 通信監視装置が監視対象システムの通信を監視する方法であって、
   前記通信監視装置は、プロセッサとメモリとを備え、
   前記メモリは、
   前記監視対象システム内の通信ペアの通信数の関係を示し、かつ前記通信ペアの通信が同じ時間帯に発生した通信数に基づいて生成された、通信ペアモデルと、
   判定対象期間並びに前記判定対象期間の前及び後ろの所定数個の期間において、発生した前記通信ペアの通信それぞれの通信数を示す通信情報と、を保持し、
   前記方法は、
   前記プロセッサが、前記通信情報から前記判定対象期間における前記通信ペアの通信それぞれの通信数を取得し、
   前記プロセッサが、前記通信ペアモデルと、前記判定対象期間における前記通信ペアの一方の通信数と、から前記判定対象期間における前記通信ペアの他方のモデル通信数を算出し、
   前記プロセッサが、前記判定対象期間における前記他方の通信数と、前記モデル通信数と、の差分である第１差分に基づく値を、前記通信ペアモデルの残差に基づく閾値と比較した比較結果に基づいて、前記判定対象期間における前記通信ペアの通信に異常が発生した疑いがあると判定した場合、
   前記プロセッサが、前記通信情報から、前記判定対象期間の直前の１つ以上の期間及び直後の１つ以上の期間における前記通信ペアの通信数を取得し、
   前記プロセッサが、前記判定対象期間と前記直前の１つ以上の期間とを合わせた前合算期間、及び前記判定対象期間と前記直後の１つ以上の期間とを合わせた後合算期間における、前記通信ペアの通信数と、前記通信ペアモデルと、に基づいて、前記通信ペアの通信に異常が発生したかを判定する、方法。

Images