JP2020004009A - 異常検知装置、および、異常検知方法 - Google Patents

Abstract

【課題】通信機器の正常状態の挙動の再学習を適切なタイミングで行う。【解決手段】異常検知装置３０は、通信機器１０の正常動作時の通信ログを学習データとして用いて検知モデルを生成する学習部３１と、生成された検知モデルを用いて通信機器１０の異常を検知する異常検知部３２とを備える。そして、異常検知装置３０は、第１の通信ログよりも後の所定期間に発生した通信ログ（第２の通信ログ）を取得するデータ取得部３３０と、現在の検知モデルの学習データ（第１の通信ログ）と、第２の通信ログとの間に差分情報がある場合、その差分情報に含まれる追加情報（追加フローの情報）の数または削除情報（削除フローの情報）の数が所定の評価基準を満たすとき、第２の通信ログを用いた再学習を命令する判定部３３４とを備える。【選択図】図１

Description

本発明は、異常検知装置、および、異常検知方法に関する。

ＰＣ等の機器におけるウイルス感染等による異常を検知する方法として、機器の挙動パターンと既知の異常パターンをマッチングして異常を検知するシグネチャ検知方式と、機器の挙動パターンと正常状態の挙動パターンをマッチングして異常を検知するアノマリ検知方式が従来から提案および利用されている（特許文献１参照）。

シグネチャ検知方式では予め異常パターンが定められているため、当該異常パターンと合致した場合に異常を検知できるが、未知ウイルス等による予め異常パターンが定められていない異常を検知できない。一方、アノマリ検知方式では特許文献１のように機械学習技術を用いることで正常状態を学習し、学習されたモデルと合致しない挙動パターンは全て異常として検知する。よって、未知ウイルス等による異常も検知することができる。しかし、アノマリ検知方式では、機器の設定変更等により正常状態が変更された場合、過去のモデルと合致しない挙動パターンは異常として検知されてしまう。

ここで、従来技術（例えば、特許文献１参照）では、アノマリ検知方式に用いられる機器の正常状態の挙動を、過去の観測値に基づいて定めているので、機器の設定変更等による正常状態の変化に追従するためには、正常状態の挙動を再学習する必要がある。

特開２００４−３１２０６４号公報

ここで、計算コストを掛けられない環境では、機器の正常状態の挙動の再学習を頻繁に実施できず、その結果、セキュリティ低下を招く懸念がある。よって、計算コストを掛けられない環境においては、上記の正常状態の挙動の再学習を、適切なタイミングで行う必要がある。そこで、本発明は、前記した問題を解決し、機器の正常状態の挙動の再学習を適切なタイミングで行うことを課題とする。

前記した課題を解決するため、本発明は、通信機器の正常動作時の通信ログを学習データとして用いて、前記通信機器の異常を検知する検知モデルを生成する学習部と、前記生成された検知モデルと、前記通信機器の通信ログとを用いて、前記通信機器の異常を検知する異常検知部と、前記検知モデルの生成に用いられた通信ログである第１の通信ログよりも後の所定期間に発生した通信ログである第２の通信ログを取得するデータ取得部と、前記第２の通信ログのうち、当該検知モデルにより異常が検知された通信ログを前記第１の通信ログの追加情報として特定する追加情報特定部と、前記第１の通信ログと前記第２の通信ログとの差分情報から、前記第１の通信ログの追加情報を除いた削除情報を特定する削除情報特定部と、前記第１の通信ログの追加情報または削除情報が存在する場合において、前記追加情報の数または前記削除情報の数が所定の評価基準を満たすとき、前記学習部に、前記第２の通信ログを学習データとして用いて検知モデルを生成するよう命令する判定部と、を備えることを特徴とする。

本発明によれば、機器の正常状態の挙動の再学習を適切なタイミングで行うことができる。

図１は、システムの構成例を示す図である。 図２は、本実施形態における追加情報および削除情報を説明するための図である。 図３は、更新前学習データセットと最新学習データセットとの差分情報、追加情報および削除情報を説明するための図である。 図４は、図１の異常検知装置の処理手順の例を示すフローチャートである。 図５は、異常検知プログラムを実行するコンピュータの例を示す図である。

以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。本発明は、本実施形態に限定されない。

［構成と概要］
まず、図１を用いて、本実施形態の異常検知装置を含むシステムの構成例を説明する。システムは、例えば、図１に示すように、通信機器１０と、ゲートウェイ装置２０と、異常検知装置３０とを備える。通信機器１０とゲートウェイ装置２０とはＬＡＮ（Local Area Network）等により接続される。また、ゲートウェイ装置２０と異常検知装置３０とはインターネット等のネットワークにより接続される。

通信機器１０は、本システムにおける異常の検知対象となる通信機器である。この通信機器１０は、例えば、ＰＣ等である。ゲートウェイ装置２０は、通信機器１０をインターネット等のネットワーク経由で外部装置に接続したり、同一ＬＡＮ内の他の通信機器１０に接続したりする装置である。このゲートウェイ装置２０は、各通信機器１０が送受信するネットワークフローの情報、当該ネットワークフローの通信特徴量、各通信機器１０の動作ログ等、通信機器１０の挙動を示す情報を取得する。

なお、ネットワークフローの情報（ネットワークフロー情報）は、例えば、当該ネットワークフローの送信元ＩＰ（Internet Protocol）アドレス、送信元ＭＡＣ（Media Access Control）アドレス、送信先ＩＰアドレス、送信先ＭＡＣアドレス、通信ポート番号、受信パケット数、送信パケット数、通信ペイロード等である。通信特徴量は、例えば、ネットワークフローの送信元ＩＰアドレス、送信元ＭＡＣアドレス、送信先ＩＰアドレス、送信先ＭＡＣアドレス、受信パケット総数の平均値、送信パケット総数の分散値等である。また、動作ログは、当該通信機器１０において実行されたプロセスのＩＤ、プロセスの実行開始時刻等である。

異常検知装置３０は、ゲートウェイ装置２０から取得した各通信機器１０の正常状態における挙動を示す情報を学習することにより、各通信機器１０への不正アクセスやウィルス感染等の異常の検出を行う。異常検知装置３０は、例えば、各通信機器１０の正常状態にけるネットワークフロー情報、当該ネットワークフローの通信特徴量、各通信機器の動作ログ等（以上まとめて「通信ログ」と称す）を学習データとし、アノマリ検知型の検知モデルを生成する。そして、異常検知装置３０は、生成した検知モデルと、検知対象との通信機器１０のネットワークフロー情報、通信特徴量、動作ログ等とを用いて、アノマリ検知型の異常検知を行う。

ここで、異常検知装置３０は、各通信機器１０の設定変更等による正常状態の変化に追従するため、各通信機器１０の正常状態の通信ログを再学習し、再学習の結果を用いて検知モデルを更新する。

例えば、異常検知装置３０は、現在の検知モデルＡの生成に用いられた通信ログ（学習データセットＡ）の後に発生した上記各通信機器１０の通信ログ（学習データセットＢ）を取得する。ここで、取得した学習データセットＢと学習データセットＡとの差分情報が所定の評価基準を満たす場合、異常検知装置３０は、学習データセットＢを用いた再学習を行う。これにより異常検知装置３０は、計算コストをかけられない環境であっても適切なタイミングで、通信機器１０の正常状態の挙動の再学習を行うことができる。

［異常検知装置］
引き続き図１を用いて異常検知装置３０を詳細に説明する。異常検知装置３０は、学習部３１と、異常検知部３２と、再学習実施判定部３３とを備える。

学習部３１は、通信機器１０の正常状態の通信ログを学習データとして、通信機器１０の異常を検知するための検知モデルを生成する。例えば、学習部３１は、ゲートウェイ装置２０から各通信機器１０の正常状態の通信ログを取得すると、この通信ログを学習データとして、各通信機器１０の異常を検知するための検知モデルを生成する。

学習部３１は、学習データによる学習が完了し、検知モデルが生成されると、異常検知部３２に対し、当該検知モデルを用いた異常検知（異常検知のための分析）を開始させる。そして、学習部３１は、当該学習に用いた通信機器１０の識別情報、通信ログ（学習データセットＡ）、および、当該通信ログの学習により生成された検知モデル（検知モデルＡ）を、再学習実施判定部３３に保存する。

異常検知部３２は、学習部３１により生成された検知モデルと、通信機器１０の通信ログとを用いて、通信機器１０に対しアノマリ検知型の異常検知を行う。例えば、異常検知部３２は、ゲートウェイ装置２０から、検知対象の通信機器１０の通信ログを取得すると、学習部３１により生成された検知モデルを用いて、当該通信機器１０の異常検知を行う。

再学習実施判定部３３は、学習部３１が通信ログの再学習を実施すべきか否かを判定する。この再学習実施判定部３３は、データ取得部３３０と、追加情報特定部３３１と、差分情報特定部３３２と、削除情報特定部３３３と、判定部３３４とを備える。

データ取得部３３０は、所定期間ごと、あるいは、異常検知装置３０の管理者からの指示入力が行われたとき、ゲートウェイ装置２０から所定の通信機器１０について、その時点から所定期間の通信ログ（第２の通信ログ）を取得する。

追加情報特定部３３１は、データ取得部３３０により取得された第２の通信ログのうち、現在異常検知部３２で用いている検知モデル（検知モデルＡ）により異常が検知された通信ログを追加情報として特定する。

差分情報特定部３３２は、検知モデルＡの生成に用いられた通信ログ（学習データセットＡ）と、データ取得部３３０により取得された第２の通信ログ（学習データセットＢ）とを比較し、差分情報の有無を判定する。

例えば、比較対象となる学習データセットＡ，Ｂが、通信機器１０のネットワークフロー情報または通信特徴量である場合、差分情報特定部３３２は、学習データセットＡ，Ｂの５タプル情報（送信元／宛先のＩＰアドレス、送信元／宛先のＭＡＣアドレス、通信ポート番号）を比較する。また、例えば、学習データセットＡ，Ｂが、通信機器１０の動作ログである場合、差分情報特定部３３２は、当該通信機器１０の宛先の通信機器のＩＰアドレス、ＭＡＣアドレス、通信ポートを比較する。

削除情報特定部３３３は、第１の通信ログ（学習データセットＡ）と第２の通信ログ（学習データセットＢ）との差分情報から、上記の追加情報を除いた削除情報を特定する。

この追加情報および削除情報を、図２を参照しながら詳細に説明する。

例えば、図２に示すように、更新前検知モデル（検知モデルＡ）の生成に用いられた学習データセットＡ（ネットワークフロー情報Ａ−１，Ａ−２，Ａ−３，…）と、最新学習データセット（学習データセットＢ。ネットワークフロー情報Ｂ−１，Ｂ−２，Ｂ−３，…）とが与えられた場合を考える。各ネットワークフロー情報は、図２に示すように、５タプル情報の他に、５タプル以外の情報（例えば、受信パケット数、送信パケット数、ペイロード等）を含んでいてもよい。

このような場合、追加情報特定部３３１が、学習データセットＢに、更新前検知モデル（検知モデルＡ）を用いて異常検知の有無を確認することで、学習データセットＢに追加フロー（追加情報）の有無がわかるだけでなく、追加フロー（追加情報）を特定できる（（１））。

つまり、学習データセットＢに、検知モデルＡを用いて異常が検知されたということは、この学習データセットＢに、学習データセットＡにはない通信先との通信ログ（追加フローの通信ログ）が含まれることを意味する。よって、差分情報特定部３３２は、検知モデルＡで異常を検知した学習データセットＢの通信ログがあれば、その通信ログを追加情報として特定する。

次に、差分情報特定部３３２が、学習データセットＡおよび学習データセットＢの５タプル情報を用いて、両データセットの差分（差分情報）を確認し、差分情報がある場合、削除情報特定部３３３は、この差分情報から追加フロー（追加情報）を除く。これにより、削除情報特定部３３３は、削除フロー（削除情報）の有無がわかるだけでなく、削除フロー（削除情報）を特定できる（（２））。

つまり、学習データセットＡと学習データセットＢとの間に差分（差分情報）があるにもかかわらず、上記の追加フロー（追加情報）以外の情報（通信ログ）があるということは、学習データセットＡに含まれる通信先のうち、学習データセットＢで含まれなくなった通信先があることを意味する。すなわち、削除フローがあることを意味する。よって、削除情報特定部３３３は、学習データセットＡと学習データセットＢとの差分情報に追加情報以外の情報（通信ログ）があれば、その通信ログを削除情報として特定する。

図１に戻り、判定部３３４を説明する。判定部３３４は、第１の通信ログ（学習データセットＡ）と第２の通信ログ（学習データセットＢ）との間に差分情報がある場合、学習部３１に、第２の通信ログ（学習データセットＢ）を学習データとして異常検知モデルを生成するよう（再学習するよう）命令する。

例えば、判定部３３４は、第１の通信ログ（学習データセットＡ）と第２の通信ログ（学習データセットＢ）との間に差分情報がある場合において、その差分情報に含まれる追加情報の数、または、削除情報の数が所定の評価基準を満たす場合、学習部３１に第２の通信ログ（学習データセットＢ）を学習データとした再学習を実施するよう命令する。

例えば、判定部３３４は、（１）追加情報の数が所定の閾値を超える場合、（２）削除情報の数が所定の閾値を超える場合、または、（３）追加情報と削除情報との合計が所定の閾値を超える場合、学習部３１に再学習を実施するよう命令する。

なお、（１）〜（３）に用いられる閾値は、異常検知装置３０のユーザが決定してもよいし、異常検知装置３０が、過去の統計値等に基づき決定してもよい。

また、判定部３３４は、第１の通信ログ（学習データセットＡ）と第２の通信ログ（学習データセットＢ）との間に差分情報がある場合において、（１）〜（３）のいずれか、または、これらの組み合わせにより記述された評価基準を満たす場合、学習部３１に再学習を実施するよう命令してもよい。なお、判定部３３４が、どのような評価基準を用いて判定を行うかは、異常検知装置３０のユーザが適宜設定可能である。

そして、学習部３１による再学習が完了し、新たな検知モデル（検知モデルＢ）が生成されると、異常検知部３２に対し、検知モデルＢを用いた異常検知（異常検知のための分析）を開始させる。そして、学習部３１は、再学習に用いた通信機器１０の識別情報、通信ログ（学習データセットＢ）、および、当該通信ログの学習により生成された検知モデル（検知モデルＢ）を、再学習実施判定部３３に上書き保存する。

なお、更新前学習データセット（学習データセットＡ）と最新学習データセット（学習データセットＢ）との関係は、図３に示すパターン１〜４が考えらえる。つまり、パターン１のように最新学習データセットすべてが更新前学習データセットに含まれる場合と、パターン２のように、更新前学習データセットの一部が最新学習データセットの一部に含まれる場合と、パターン３のように、更新前学習データセットすべてが最新学習データセットに含まれる場合と、パターン４のように、更新前学習データセットと最新学習データセットとがまったく異なる場合とが考えられる。

なお、図３のパターン１〜４の斜線部分は、それぞれパターンにおける更新前学習データセットと最新学習データセットとの差分情報を示す。パターン１の場合、差分情報には追加情報はないが削除情報はあり、パターン２，４の場合、差分情報に追加情報も削除情報もある。また、パターン３の場合、差分情報に追加情報はあるが削除情報はない。よって、パターン１の場合、学習部３１は、最新学習データセットを学習することで、異常の見逃しの少ない検知モデルを生成することができる。また、パターン２，４の場合、学習部３１は、最新学習データセットを学習することで、異常の見逃しが少なく、かつ、誤検知の少ない検知モデルを生成することができる。また、パターン３の場合、学習部３１は、最新学習データセットを学習することで、誤検知の少ない検知モデルを生成することができる。

ここで、再学習をするか否かを、判定部３３４が、追加情報または削除情報（またはこれらの組み合わせ）を用いた評価基準を用いて判定することで、上記のいずれのパターンであっても、適切なタイミングで学習部３１に再学習を実施するよう命令することができる。

例えば、判定部３３４が、（１）追加情報の数が所定値を超える場合に、学習部３１に再学習を命令することで、パターン２，３，４における最新学習データセットによる再学習を実現できる。その結果、学習部３１は、誤検知の少ない検知モデルを生成することができる。また、判定部３３４が、（２）削除情報の数が所定値を超える場合に、学習部３１に再学習を命令することで、パターン１，２，４における最新学習データセットによる再学習を実現できる。その結果、学習部３１は、異常の見逃しの少ない検知モデルを生成することができる。判定部３３４が、（３）追加情報と削除情報の合計数が所定値を超える場合に、学習部３１に再学習を命令することで、パターン２，４における最新学習データセットによる再学習を実現できる。その結果、学習部３１は、誤検知と異常の見逃しが少ない検知モデルを生成することができる。

［処理手順］
次に、図４を用いて異常検知装置３０の処理手順を説明する。異常検知装置３０の処理は、最初の検知モデルを生成する初期学習フェーズと、再学習により検知モデルを更新する運用フェーズとに分けられる。まず初期学習フェーズから説明する。

（初期学習フェーズ）
まず、学習部３１は、通信機器１０の正常動作（学習データセットＡ）を学習し、検知モデルＡを生成する（Ｓ１）。そして、学習部３１は、再学習実施判定部３３に、学習データセットＡと検知モデルＡを保存する（Ｓ２）。また、学習部３１は、異常検知部３２に対し、当該検知モデルを用いた異常検知の分析動作を開始させる（Ｓ３）。

（運用フェーズ）
次に、運用フェーズを説明する。Ｓ３の後、データ取得部３３０は、学習データセットＡ以降の通信ログ（学習データセットＢ）を取得する（Ｓ１１）。その後、追加情報特定部３３１は、検知モデルＡと学習データセットＢとにより追加情報の有無を確認する（Ｓ１２）。つまり、追加情報特定部３３１は、学習データセットＢに、検知モデルＡで異常を検知した通信ログがあるか否かを確認し、あれば当該通信ログを追加情報として特定する。その後、削除情報特定部３３３は、学習データセットＡと学習データセットＢと追加情報とにより削除情報の有無を確認する（Ｓ１３）。つまり、まず、差分情報特定部３３２が、学習データセットＡと学習データセットＢとの差分の有無を確認し、差分があれば、その差分の通信ログを差分情報として特定する。そして、削除情報特定部３３３は、当該差分情報に、Ｓ１２で特定された追加情報以外の通信ログがあるか否かを確認し、あれば当該通信ログを削除情報として特定する。

Ｓ１３の後、判定部３３４は、追加情報または削除情報があり（つまり、差分情報があり）（Ｓ１４でＹｅｓ）、かつ、追加情報の数または削除情報の数が所定の評価基準（例えば、前記した（１）〜（３））を満たす場合（Ｓ１５でＹｅｓ）、学習部３１に、正常動作を再学習させ、検知モデルＢを生成するよう命令する（Ｓ１６）。すなわち、判定部３３４は、学習部３１に、学習データセットＢを学習し、検知モデルＢを生成するよう命令する。これにより、学習部３１は、検知モデルＢを生成する。その後、学習部３１は、再学習実施判定部３３の学習データセットＡを学習データセットＢで上書きし、検知モデルＡを検知モデルＢで上書きする（Ｓ１７）。また、学習部３１は、異常検知部３２に対し、Ｓ１７で上書きされた検知モデル（検知モデルＢ）を用いた異常検知の分析動作を開始させる（Ｓ１８）。その後、Ｓ１１へ戻る。

なお、判定部３３４が、追加情報も削除情報もない（つまり、差分情報がない）と判定した場合（Ｓ１４でＮｏ）、Ｓ１１へ戻る。また、判定部３３４が、追加情報の数または削除情報の数が所定の評価基準（例えば、前記した（１）〜（３））を満たさないと判定した場合（Ｓ１５でＮｏ）もＳ１１へ戻る。

このように異常検知装置３０は、学習データセットにおける追加情報の数または削除情報の数を用いた評価基準に基づき、再学習を実施するか否かを判定する。つまり、異常検知装置３０は、現在の検知モデルの生成後の追加フローの数または削除フローの数に基づき、再学習を実施するか否かを判定する。その結果、異常検知装置３０は、適切なタイミングで再学習を実施することができる。

なお、異常検知装置３０は、学習データセットにおける追加情報の数または削除情報の数を用いた評価基準に基づき、再学習を実施するか否かを判定することとしたが、これに限定されない。例えば、異常検知装置３０は、学習データセットにおける追加情報または削除情報の有無にかかわらず、差分情報がある場合に再学習を実施すると判定してもよい。

［プログラム］
また、上記の実施形態で述べた異常検知装置３０の機能を実現するプログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実装できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記のプログラムを情報処理装置に実行させることにより、情報処理装置を異常検知装置３０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistant）等がその範疇に含まれる。また、異常検知装置３０を、クラウドサーバに実装してもよい。

図５を用いて、上記のプログラム（管理プログラム）を実行するコンピュータの一例を説明する。図５に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。

ここで、図５に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。前記した実施形態で説明した各種データや情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。

そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、上記の管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、上記のプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０ 通信機器
２０ ゲートウェイ装置
３０ 異常検知装置
３１ 学習部
３２ 異常検知部
３３ 再学習実施判定部
３３０ データ取得部
３３１ 追加情報特定部
３３２ 差分情報特定部
３３３ 削除情報特定部
３３４ 判定部

Claims (4)

1. 通信機器の正常動作時の通信ログを学習データとして用いて、前記通信機器の異常を検知する検知モデルを生成する学習部と、
   前記生成された検知モデルと、前記通信機器の通信ログとを用いて、前記通信機器の異常を検知する異常検知部と、
   前記検知モデルの生成に用いられた通信ログである第１の通信ログよりも後の所定期間に発生した通信ログである第２の通信ログを取得するデータ取得部と、
   前記第２の通信ログのうち、当該検知モデルにより異常が検知された通信ログを前記第１の通信ログの追加情報として特定する追加情報特定部と、
   前記第１の通信ログと前記第２の通信ログとの差分情報から、前記第１の通信ログの追加情報を除いた削除情報を特定する削除情報特定部と、
   前記第１の通信ログの追加情報または削除情報が存在する場合において、前記追加情報の数または前記削除情報の数が所定の評価基準を満たすとき、前記学習部に、前記第２の通信ログを学習データとして用いて検知モデルを生成するよう命令する判定部と、
   を備えることを特徴とする異常検知装置。
2. 前記判定部は、
   前記追加情報または前記削除情報が存在する場合において、前記追加情報の数が所定の閾値を超えるとき、または、前記削除情報の数が所定の閾値を超えるとき、または、前記追加情報と前記削除情報との合計数が所定の閾値を超えるとき、前記学習部に、前記第２の通信ログを学習データとして用いて検知モデルを生成するよう命令する
   ことを特徴とする請求項１に記載の異常検知装置。
3. 前記通信機器の通信ログは、
   当該通信機器が送受信するネットワークフローの情報、前記ネットワークフローの通信特徴量、および、当該通信機器の動作ログの少なくともいずれかを含む
   ことを特徴とする請求項１に記載の異常検知装置。
4. 通信機器の異常を検知する異常検知装置により実行される異常検知方法であって、
   通信機器の正常動作時の通信ログを学習データとして用いて、前記通信機器の異常を検知する検知モデルを生成するステップと、
   前記生成された検知モデルと、前記通信機器の通信ログとを用いて、前記通信機器の異常を検知するステップと、
   前記検知モデルの生成に用いられた通信ログである第１の通信ログよりも後の所定期間に発生した通信ログである第２の通信ログを取得するステップと、
   前記第２の通信ログのうち、当該検知モデルにより異常が検知された通信ログを前記第１の通信ログの追加情報として特定するステップと、
   前記第１の通信ログと前記第２の通信ログとの差分情報から、前記第１の通信ログの追加情報を除いた削除情報を特定するステップと、
   前記第１の通信ログの追加情報または削除情報が存在する場合において、前記追加情報の数または前記削除情報の数が所定の評価基準を満たすとき、前記検知モデルを生成する学習部に、前記第２の通信ログを学習データとして用いて検知モデルを生成するよう命令するステップと、
   を含んだことを特徴とする異常検知方法。

Images