WO2020008632A1 - 仮説推論装置、仮説推論方法、及びコンピュータ読み取り可能な記録媒体 - Google Patents

仮説推論装置、仮説推論方法、及びコンピュータ読み取り可能な記録媒体 Download PDF

Info

Publication number
WO2020008632A1
WO2020008632A1 PCT/JP2018/025723 JP2018025723W WO2020008632A1 WO 2020008632 A1 WO2020008632 A1 WO 2020008632A1 JP 2018025723 W JP2018025723 W JP 2018025723W WO 2020008632 A1 WO2020008632 A1 WO 2020008632A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
event data
observation event
observation
hypothesis
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2018/025723
Other languages
English (en)
French (fr)
Inventor
大地 木村
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to US17/258,008 priority Critical patent/US20210279614A1/en
Priority to PCT/JP2018/025723 priority patent/WO2020008632A1/ja
Priority to JP2020528657A priority patent/JP7052870B2/ja
Publication of WO2020008632A1 publication Critical patent/WO2020008632A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/04—Inference or reasoning models
    • G06N5/041—Abduction
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/04—Inference or reasoning models
    • G06N5/042—Backward inferencing
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/02—Knowledge representation; Symbolic representation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Definitions

  • the present invention relates to a hypothesis inference apparatus and a hypothesis inference method for performing hypothesis inference, and further relates to a computer-readable recording medium recording a program for realizing these.
  • An example of the object of the present invention is to provide a hypothesis inference apparatus, a hypothesis inference method, and a computer-readable recording medium that can solve the above-described problem and execute hypothesis inference by removing unnecessary observation event data. .
  • a hypothesis inference device includes: A data receiving unit for receiving observation event data indicating an observation event, From the received observation event data, based on other observation event data and knowledge data other than the received observation event data, to identify unnecessary observation event data, a data specifying unit, Using the observed event data not specified by the data specifying unit and the knowledge data, generating a hypothesis capable of deriving the observed event data not specified by the data specifying unit, generating a hypothesis Department and It is characterized by having.
  • a hypothesis inference method includes: (A) accepting observation event data indicating an observation event; (B) identifying unnecessary observation event data from the received observation event data based on other observation event data and knowledge data other than the received observation event data; and (C) The observation event data not specified in the step (b) can be derived using the observation event data not specified in the step (b) and the knowledge data.
  • a computer-readable recording medium includes: On the computer, (A) accepting observation event data indicating an observation event; (B) identifying unnecessary observation event data from the received observation event data based on other observation event data and knowledge data other than the received observation event data; and (C) The observation event data not specified in the step (b) can be derived using the observation event data not specified in the step (b) and the knowledge data.
  • Generating a hypothesis, a step; Recording a program containing instructions, It is characterized by the following.
  • FIG. 1 is a block diagram illustrating a schematic configuration of a hypothesis inference device according to an embodiment of the present invention.
  • FIG. 2 is a block diagram specifically showing a configuration of the hypothesis inference device according to the embodiment of the present invention.
  • FIG. 3 is a flowchart showing the operation of the hypothesis inference apparatus according to the embodiment of the present invention.
  • FIG. 4 is a diagram illustrating a specific example 1 of step 2 shown in FIG.
  • FIG. 5 is a diagram illustrating a specific example 2 of step 2 shown in FIG.
  • FIG. 6 shows a directed graph formed by backward inference from the observation P.
  • FIG. 7 is a view for explaining a specific example 3 of step 2 shown in FIG.
  • FIG. 8 is a diagram illustrating a specific example 4 of step 2 shown in FIG.
  • FIG. 9 is a block diagram illustrating an example of a computer that realizes the hypothesis inference device according to the embodiment of the present invention.
  • FIG. 1 is a block diagram illustrating a schematic configuration of a hypothesis inference device according to an embodiment of the present invention.
  • the hypothesis inference apparatus 10 is an apparatus for executing hypothesis inference.
  • the hypothesis inference device 10 includes a data reception unit 11, a data identification unit 12, and a hypothesis generation unit 13.
  • the data receiving unit 11 receives observation event data indicating an observation event.
  • the data specifying unit 12 determines unnecessary observation event data (hereinafter, “unnecessary observation data”) based on the observation data and knowledge data other than the received observation event data from the observation event data received by the data reception unit 11. Observation event data ”).
  • the hypothesis generation unit 13 generates a hypothesis capable of deriving observation event data not specified by the data specifying unit 12 using the observation event data not specified by the data specifying unit 12 and the knowledge data. .
  • unnecessary observation event data is specified in the inference from the received observation event data, and a hypothesis is generated using other observation event data. That is, according to the present embodiment, it is possible to execute the hypothesis inference except for unnecessary observation event data. As a result, an increase in the time required for hypothesis derivation due to the large accumulation of observation event data is suppressed.
  • the data specifying unit 12 performs an analysis based on the knowledge data on the received observation event data, and obtains an observation event that can be derived from the analysis result and other observation event data.
  • the data can be specified as unnecessary observation event data.
  • the data specifying unit 12 can also delete the specified unnecessary observation event data.
  • the data specifying unit 12 can first perform backward inference as analysis on the received observation event data.
  • the data identification unit 12 can also execute analysis using, for example, an upper / lower relationship based on ontology.
  • the data specifying unit 12 determines that the obtained inference result, if the inference is traced backward from the received observation event data, must always correspond to any of the other observation event data.
  • Event data can also be specified as unnecessary observation event data.
  • the data specifying unit 12 converts the received observation event data into unnecessary observation data when a specified condition is satisfied, provided that the received observation event data and the event to be observed are simultaneously established. It can also be specified as event data. Specific conditions may be satisfied if no events that are expected to be observed are observed, or if it is not possible to derive events that are expected to be observed by backward inference using knowledge data from other observations. Can be
  • the hypothesis generation unit 13 generates a hypothesis capable of deriving observation event data other than unnecessary observation event data using observation event data other than unnecessary observation event data and knowledge data. Further, in the present embodiment, when generating a hypothesis, the hypothesis generation unit 13 can calculate the cost and select an optimal hypothesis based on the calculated cost.
  • the suffix is a weight assigned to each piece of knowledge data (rule), and indicates how unreliable the hypothesis from the left side to the right side is. Kill (x, y) 1.4 ⁇ arrest (z, x) Kill (x, y) 1.2 ⁇ murder (x)
  • observation event data other than the unnecessary observation event data.
  • the subscript given to the observation event data indicates the cost assigned to each observation event data.
  • the hypothesis generation unit 13 generates the hypothesis candidate “Kill (A, u 1 ) $ 12 ” from “Kill (x, y) 1.2 ⁇ murder (x)” and “murder (A) $ 10 ”. I do.
  • the hypothesis generation unit 13 also calculates the hypothesis candidate “Kill (A, u 2 ) $ 14 ” from “Kill (x, y) 1.4 ⁇ arrest (z, x)” and “arrest (B, A) $ 10 ”.
  • Generate The subscript in each hypothesis candidate is obtained by multiplying the weight of the knowledge data by the cost of the observation event data, and indicates the cost of each hypothesis candidate. Thereafter, the hypothesis generation unit 13 selects the hypothesis candidate with the lowest cost from the generated hypothesis candidates, and outputs the selected hypothesis candidate to an external device or the like.
  • FIG. 2 is a block diagram specifically showing a configuration of the hypothesis inference device according to the embodiment of the present invention.
  • the hypothesis inference apparatus 10 is connected to a computer system 20 via a network, and functions as a security system for the computer system 20. Therefore, the computer system 20 outputs a log of the processing performed there to the hypothesis inference device 10.
  • the data receiving unit 11 receives a log output from the computer system 20 as observation event data.
  • the data specifying unit 12 specifies an unnecessary log (hereinafter, referred to as an “unnecessary log”) from the received logs based on logs other than the received log and the knowledge data.
  • the hypothesis generation unit 13 generates a hypothesis capable of deriving a log other than the unnecessary log using the logs not specified by the data specification unit 12, that is, the logs other than the unnecessary log and the knowledge data. .
  • the hypothesis inference device 10 includes the abnormality information creating unit 14.
  • the abnormality information creation unit 14 creates information on an abnormality that has occurred in the computer system 20 based on the hypothesis generated by the hypothesis generation unit, and transmits the created information to an external device (for example, a terminal device of an administrator of the computer system 20). ).
  • the abnormality information creating unit 14 generates, for example, information about the malware, information about a method for removing the malware, and the like, as information about the abnormality.
  • the hypothesis inference apparatus 10 when used as a security system, only necessary ones can be extracted from the logs of the system generated in large quantities and hypothesis inference can be performed. Abnormalities can be reliably detected.
  • FIG. 3 is a flowchart showing the operation of the hypothesis inference apparatus according to the embodiment of the present invention.
  • FIGS. 1 to 6 will be referred to as appropriate.
  • the hypothesis inference method is performed by operating the hypothesis inference device 10. Therefore, the description of the hypothesis inference method in the present embodiment will be replaced by the following description of the operation of the hypothesis inference device 10.
  • the data receiving unit 11 receives observation event data indicating an observation event (step A1).
  • the number of observation event data received in step A1 may be one or plural.
  • the data specifying unit 12 specifies unnecessary observation event data from the observation event data received in step A1 based on the observation data other than the received observation event data and the knowledge data (step S1). A2). Specifically, the data specifying unit 12 executes the following processes shown in FIGS.
  • the hypothesis generation unit 13 generates a hypothesis capable of deriving observation event data other than unnecessary observation event data using the observation data other than the unnecessary observation event data specified in step A2 and the knowledge data. Generate (Step A3). In step A3, the hypothesis generator 13 calculates a cost for each generated hypothesis.
  • the hypothesis generation unit 13 selects an optimal hypothesis from the hypotheses generated in step A3 based on the cost, and outputs the selected hypothesis to the outside (step A4).
  • file (x): x is a file.
  • textFile (x): x is a text file.
  • exeFile (x): x is an executable file.
  • unknownTypeFile (x): x is a file of unknown file format.
  • hiddenMalware (x): x is hidden malware.
  • harmlessUnknownFile (x): x is a harmless unknown file.
  • targedtedAttack (x): x is a targeted attack.
  • businessEmailCompromise (x): x is a business email scam.
  • emailAttachment (y, x): Attachment of email y is x.
  • email (y): y is the email.
  • FIG. 4 is a diagram illustrating a specific example 1 of step 2 shown in FIG.
  • the data specifying unit 12 performs an analysis based on the knowledge data on the received observation event data, and obtains observation event data that can be derived from the analysis result and other observation event data. Specified as unnecessary observation event data.
  • observation event data “file (“ a.exe ”)” is observed as observation P.
  • the observation event data is data (file name: “a.exe”) obtained by various tools such as IDS (Intrusion Detection System) and SIEM (Security Information and Event Management).
  • the observation event data is input to the hypothesis inference device 10 in the form of a logical expression.
  • observation event data “! TextFile (“ a.exe ”)”, “exeFile (“ a.exe ”)”, and “! UnknownTypeFile (“ a.exe ”)” are observed as observation O ′. .
  • the data specifying unit 12 uses the above-mentioned knowledge data to analyze the observation P and obtain “! TextFile (“ a.exe ”)”, “exeFile (“ a.exe ”)”, and “! ! unknownTypeFile (“a.exe”) ”. Then, in the example of FIG. 4, the literals included in the obtained analysis result are other observations (observation event data) O ′ (“! TextFile (“ a.exe ”)”, “exeFile (“ a.exe “))” And “! UnknownTypeFile (“ a.exe ”)”). Therefore, in this case, the data identification unit 12 identifies the observation P as unnecessary observation event data because the observation P can be derived from the analysis result and other observation event data.
  • FIG. 5 is a diagram illustrating a specific example 2 of step 2 shown in FIG.
  • the data specifying unit 12 first performs backward inference as analysis on the received observation event data. Then, the data identifying unit 12 determines that the obtained inference result, if the inference is traced backward from the received observation event data, must be one of the other observation event data. Identify event data as unnecessary observation event data.
  • the other observed event data O ′ includes “! TextFile (“ b.xxx ”)”, “! ExeFile (“ b.xxx ”)”, and “! Hiddenmalware (“ b.xxx ”)” And “harmlessUnknownFile (" b.xxx ”)", but "unknownTypeFile (" b.xxx ”)” is not included. Therefore, in the example of FIG. 4, the observation P is not specified as unnecessary observation event data. In the following, a positive literal (such as “exeFile (“ b.xxx ”)”) and a negative literal (such as “! ExeFile (“ b.xxx ”)”) are treated as being the same.
  • the data specifying unit 12 sets “hiddenMalware (x) ⁇ unknownTypeFile (x)” and “harmlessUnknownFile (x) ⁇ unknownTypeFile (x)” as knowledge data. Inference is performed backward on the result of the inference “unknownTypeFile (“ b.xxx ”)”. Thereby, “hiddenMalware (“ b.xxx ”)” and “harmlessUnknownFile (“ b.xxx ”)” are obtained. Since these are included in the other observation event data O ', the data identification unit 12 identifies the observation P as unnecessary observation event data. In FIG. 5, literals surrounded by solid lines indicate observed literals, and literals surrounded by broken lines indicate literals not observed.
  • FIG. 6 shows a directed graph formed by backward inference from the observation P.
  • the observation P when it is possible to always reach one of the literals of the observation O 'when moving from the observation P according to the direction of the link, the observation P can be used as unnecessary observation event data. .
  • FIG. 7 is a view for explaining a specific example 3 of step 2 shown in FIG.
  • the condition is first whether or not the received observation event data and the event whose observation is expected are simultaneously established.
  • the condition is that there is a rule that has a consequent that the observation formula that forms the observation event data and the observation formula that indicates the event that is expected to be observed have a conjunction.
  • rules having consequent consequents of the knowledge data described above, “targedtedAttack (x) ⁇ file (x) ⁇ emailAttachment (y, x)” and “businessEmailCompromise (x) x file (x) "EmailAttachment (y, x)”.
  • the data identification unit 12 derives an event that is expected to be observed, if no event that is expected to be observed is observed, or by backward inference using knowledge data from another observation. If it is not possible, the received observation event data is specified as unnecessary observation event data.
  • observation event data “! TextFile (“ a.exe ”)”, “exeFile (“ a.exe ”)”, and “! UnknownTypeFile (“ a.exe ”)” is observed.
  • “targedtedAttack (x)” and “@businessEmailCompromise (x)” are not observed.
  • the observation N “emailAttachment (y, x)" which is expected to be observed is not observed, or the observation N can be obtained as a hypothesis by backward inference using knowledge data from observation M and observation O '. If not, the data specifying unit 12 specifies the observation M as unnecessary observation event data.
  • observation M is unnecessary observation event data. It is not specified as.
  • the observation N “emailAttachment (“ c.eml ”, x) is obtained by the rule“ emailAttachment (y, x) ⁇ email (y) ”. ) "Is hypothesized. Therefore, also in this case, the observation M is not specified as unnecessary observation event data.
  • FIG. 8 is a diagram illustrating a specific example 4 of step 2 shown in FIG.
  • the observation M “file (“ a.exe ”)” can be derived from the rule having the file ⁇ emailAttachment in the consequent and the rule having the file in the consequent. Therefore, in the example of FIG. 8, the observation M is specified as unnecessary observation event data.
  • the program in the present embodiment may be any program that causes a computer to execute steps A1 to A4 shown in FIG.
  • the processor of the computer functions as the data receiving unit 11, the data specifying unit 12, and the hypothesis generating unit 13 and performs processing.
  • the program according to the present embodiment may be executed by a computer system configured by a plurality of computers.
  • each computer may function as any one of the data reception unit 11, the data identification unit 12, and the hypothesis generation unit 13.
  • FIG. 9 is a block diagram illustrating an example of a computer that realizes the hypothesis inference device according to the embodiment of the present invention.
  • the computer 110 includes a CPU 111, a main memory 112, a storage device 113, an input interface 114, a display controller 115, a data reader / writer 116, and a communication interface 117. These units are connected via a bus 121 so as to be able to perform data communication with each other.
  • the computer 110 may include a GPU (Graphics Processing Unit) or an FPGA (Field-Programmable Gate Array) in addition to or instead of the CPU 111.
  • the CPU 111 performs various operations by expanding the program (code) according to the present embodiment stored in the storage device 113 into the main memory 112 and executing them in a predetermined order.
  • the main memory 112 is typically a volatile storage device such as a DRAM (Dynamic Random Access Memory).
  • the program according to the present embodiment is provided in a state stored in a computer-readable recording medium 120. Note that the program according to the present embodiment may be distributed on the Internet connected via the communication interface 117.
  • the storage device 113 includes a semiconductor storage device such as a flash memory in addition to a hard disk drive.
  • the input interface 114 mediates data transmission between the CPU 111 and an input device 118 such as a keyboard and a mouse.
  • the display controller 115 is connected to the display device 119 and controls display on the display device 119.
  • the data reader / writer 116 mediates data transmission between the CPU 111 and the recording medium 120, reads out a program from the recording medium 120, and writes a processing result in the computer 110 to the recording medium 120.
  • the communication interface 117 mediates data transmission between the CPU 111 and another computer.
  • the recording medium 120 include a general-purpose semiconductor storage device such as CF (Compact Flash) and SD (Secure Digital), a magnetic recording medium such as a flexible disk, or a CD-ROM.
  • CF Compact Flash
  • SD Secure Digital
  • An optical recording medium such as a ROM (Compact Disk Read Only Memory) may be used.
  • hypothesis inference device 10 in the present embodiment can also be realized by using hardware corresponding to each unit instead of a computer in which a program is installed. Further, part of the hypothesis inference device 10 may be realized by a program, and the remaining part may be realized by hardware.
  • a data receiving unit for receiving observation event data indicating an observation event From the received observation event data, based on other observation event data and knowledge data other than the received observation event data, to identify unnecessary observation event data, a data specifying unit, Using the observed event data not specified by the data specifying unit and the knowledge data, generating a hypothesis capable of deriving the observed event data not specified by the data specifying unit, generating a hypothesis Department and A hypothetical reasoning apparatus, comprising:
  • observation event data A hypothetical inference device according to Supplementary Note 1, wherein The data identification unit performs an analysis based on the knowledge data with respect to the received observation event data, and obtains the unnecessary observation event data that can be derived from the result of the analysis and the other observation event data. Specified as observation event data, What is claimed is:
  • the data identification unit includes: On the condition that the accepted observation event data and the event expected to be observed are simultaneously established, if the event expected to be observed is not observed, or backward by the knowledge data from other observations By inference, when it is impossible to derive the event whose observation is expected, the received observation event data is specified as the unnecessary observation event data, What is claimed is:
  • the data receiving unit receives a log output from the computer system as the observation event data
  • the data specifying unit specifies, from the received logs, unnecessary logs based on logs and knowledge data other than the received logs
  • the hypothesis generation unit generates a hypothesis capable of deriving the log not specified in the step (b) using the log not specified by the data specification unit and the knowledge data.
  • the hypothesis inference apparatus further includes an abnormality information creating unit that creates information on an abnormality that has occurred in the computer system based on the generated hypothesis and outputs the created information to the outside.
  • observation event data not specified in the step (b) can be derived using the observation event data not specified in the step (b) and the knowledge data.
  • the hypothesis inference method according to any of Supplementary Notes 6 to 9, wherein In the step (a), a log output from the computer system is received as the observation event data, In the step (b), an unnecessary log is specified from the received logs based on logs other than the received logs and the knowledge data, In the step (c), a hypothesis capable of deriving the log not specified by the data specifying unit using the log not specified in the step (b) and the knowledge data. Produces The hypothesis inference method further includes the step of (d) creating information on an abnormality that has occurred in the computer system based on the created hypothesis, and outputting the created information to the outside.
  • a hypothesis inference method characterized by the following.
  • observation event data not specified in the step (b) can be derived using the observation event data not specified in the step (b) and the knowledge data.
  • (Appendix 12) A computer-readable recording medium according to supplementary note 11, wherein: In the step (b), the received observation event data is analyzed based on the knowledge data, and observation event data that can be derived from the result of the analysis and the other observation event data is Specified as the unnecessary observation event data, A computer-readable recording medium characterized by the above-mentioned.
  • (Appendix 13) A computer-readable recording medium according to claim 11 or 12, wherein: In the step (b), backward inference is performed on the received observation event data, and if the obtained inference result is traced backward from the received observation event data, the other observation event is always performed. On the condition that it corresponds to any of the data, the received observation event data is specified as unnecessary observation event data, A computer-readable recording medium characterized by the above-mentioned.
  • (Appendix 14) 14. The computer-readable recording medium according to any one of supplementary notes 11 to 13, wherein In the step (b), On the condition that the accepted observation event data and the event expected to be observed are simultaneously established, if the event expected to be observed is not observed, or backward by the knowledge data from other observations By inference, when it is impossible to derive the event whose observation is expected, the received observation event data is specified as the unnecessary observation event data, A computer-readable recording medium characterized by the above-mentioned.
  • step (Appendix 15) A computer-readable recording medium according to any one of supplementary notes 11 to 14, wherein In the step (a), a log output from the computer system is received as the observation event data, In the step (b), an unnecessary log is specified from the received logs based on logs other than the received logs and the knowledge data, In the step (c), the log not specified in the step (b) can be derived using the log not specified in the step (b) and the knowledge data. Generate a hypothesis, The program may further include: (D) generating information on an abnormality that has occurred in the computer system based on the generated hypothesis, outputting the generated information to the outside, and further including an instruction to execute a step.
  • a computer-readable recording medium characterized by the above-mentioned.
  • the present invention it is possible to execute hypothesis inference except for unnecessary observation event data.
  • the invention is useful in systems where hypothetical reasoning is required.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • Physics & Mathematics (AREA)
  • Computational Linguistics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Artificial Intelligence (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

仮説推論装置１０は、観測事象を示す観測事象データを受け付ける、データ受付部１１と、受け付けた観測事象データの中から、受け付けた観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、データ特定部１２と、データ特定部１２によって特定されなかった観測事象データと知識データとを用いて、データ特定部１２によって特定されなかった観測事象データを導出することが可能な仮説を生成する、仮説生成部１３と、を備えている。

Description

仮説推論装置、仮説推論方法、及びコンピュータ読み取り可能な記録媒体
　本発明は、仮説推論を行うための、仮説推論装置、及び仮説推論方法に関し、更には、これらを実現するためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
　従来から、計算機によって仮説推論を実行する試みがなされている（特許文献１～４参照）。計算機によって仮説推論を行なえば、事実から得られた情報に基づいて、様々な事態を推理することが可能となる。このため、計算機による仮説推論は、出店計画、犯罪捜査、災害時の避難、環境管理等に有用であり、仮説推論を利用すればシミュレーションの精度の向上が期待できる。
　また、具体的には、仮説推論では、知識（ルール）と、観測事象（得られた事実）とから、妥当な仮説の導出が行われる。例えば、知識として「Ａ⇒Ｂ（Ａが成り立っているならＢが成り立つ）」が存在し、観測事象として「Ｂが成り立っている」が取得されているとする。この場合、推論により、仮説として「Ａが成り立っている」が得られる。なお、以降では、仮説推論のことを後ろ向き推論ともいう。また、ＢからＡを探すことを「推論を後ろ向きにたどる」という。
特開平９－２１３０８１号公報 特開平１０－３３３９１１号公報 特開２０００－２４２４９９号公報 特表２０１５－５０２６１７号公報
　ところで、通常、仮説推論において、知識は人手によって設定されるが、観測事象は、システム運営時のログ等から大量に取得される。このため、従来からの仮説推論システムには、観測事象、即ちログの蓄積によって、仮説を導出するために必要な処理時間が大きく増加するという問題が発生している。
　一方、必ずしも、取得された観測事象の全てが、仮説推論において必要であるわけではなく、取得された観測事象のなかには、不要な観測事象も存在する。従って、取得された観測事象の中から、不要な観測事象を特定できれば、上記の問題を解消できると考えられる。しかしながら、従来からの仮説推論システムには、このような機能は備えられておらず、上記の問題の解消は困難である。
　本発明の目的の一例は、上記問題を解消し、不要な観測事象データを除いて仮説推論を実行し得る、仮説推論装置、仮説推論方法、及びコンピュータ読み取り可能な記録媒体を提供することにある。
　上記目的を達成するため、本発明の一側面における仮説推論装置は、
　観測事象を示す観測事象データを受け付ける、データ受付部と、
　受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、データ特定部と、
　前記データ特定部によって特定されなかった前記観測事象データと、前記知識データとを用いて、前記データ特定部によって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、仮説生成部と、
を備えている、ことを特徴とする。
　また、上記目的を達成するため、本発明の一側面における仮説推論方法は、
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を有する、ことを特徴とする。
　更に、上記目的を達成するため、本発明の一側面におけるコンピュータ読み取り可能な記録媒体は、
コンピュータに、
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を実行させる、命令を含むプログラムを記録している、
ことを特徴とする。
　以上のように、本発明によれば、不要な観測事象データを除いて仮説推論を実行することができる。
図１は、本発明の実施の形態における仮説推論装置の概略構成を示すブロック図である。 図２は、本発明の実施の形態における仮説推論装置の構成を具体的に示すブロック図である。 図３は、本発明の実施の形態における仮説推論装置の動作を示すフロー図である。 図４は、図３に示したステップ２の具体例１を説明する図である。 図５は、図３に示したステップ２の具体例２を説明する図である。 図６は、観測Ｐから後ろ向き推論によってできる有向グラフを示している。 図７は、図３に示したステップ２の具体例３を説明する図である。 図８は、図３に示したステップ２の具体例４を説明する図である。 図９は、本発明の実施の形態における仮説推論装置を実現するコンピュータの一例を示すブロック図である。
（実施の形態）
　以下、本発明の実施の形態における、仮説推論装置、仮説推論方法、及びプログラム～について、図１～図９を参照しながら説明する。
　最初に、本発明の実施の形態における仮説推論装置の概略構成について説明する。図１は、本発明の実施の形態における仮説推論装置の概略構成を示すブロック図である。
　図１に示す、本実施の形態における仮説推論装置１０は、仮説推論を実行するための装置である。図１に示すように、仮説推論装置１０は、データ受付部１１と、データ特定部１２と、仮説生成部１３とを備えている。
　データ受付部１１は、観測事象を示す観測事象データを受け付ける。データ特定部１２は、データ受付部１１が受け付けた観測事象データの中から、受け付けた観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データ（以下「不要観測事象データ」と表記する）を特定する。
　仮説生成部１３は、データ特定部１２によって特定されなかった観測事象データと、知識データとを用いて、データ特定部１２によって特定されなかった観測事象データを導出することが可能な仮説を生成する。
　このように、本実施の形態では、受け付けられた観測事象データの中から、推論において不要な観測事象データが特定され、これ以外の観測事象データを用いて仮説が生成される。つまり、本実施の形態によれば、不要な観測事象データを除いて仮説推論を実行することができる。この結果、観測事象データの大量蓄積による仮説導出にかかる時間の増加が抑制される。
　また、本実施の形態では、データ特定部１２は、受け付けた観測事象データに対して、知識データに基づいた解析を実行し、解析の結果と他の観測事象データとから導出可能である観測事象データを、不要観測事象データとして特定することもできる。また、データ特定部１２は、特定した不要観測事象データを削除することもできる。
　更に、データ特定部１２は、まず、受け付けられた観測事象データに対して、解析として、後ろ向き推論を行うこともできる。この時、データ特定部１２は、後ろ向き推論の代わりに、例えば、オントロジーによる上位下位関係を用いた解析を実行することもできる。次いで、データ特定部１２は、得られた推論結果について、受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた観測事象データを不要観測事象データとして特定することもできる。
　加えて、データ特定部１２は、受け付けられた観測事象データと、観測が予想される事象とが同時に成立することを条件として、特定の条件を満たす場合に、受け付けた観測事象データを、不要観測事象データとして特定することもできる。特定の条件を満たす場合としては、観測が予想される事象が観測されていない場合、他の観測からの知識データによる後ろ向き推論によって、観測が予想される事象の導出が不可能である場合が挙げられる。
　仮説生成部１３は、不要観測事象データ以外の観測事象データと、知識データとを用いて、不要観測事象データ以外の観測事象データを導出することが可能な仮説を生成する。また、本実施の形態では、仮説生成部１３は、仮説を生成する際に、そのコストを算出し、算出したコストに基づいて、最適な仮説を選択することもできる。
　例えば、知識データとして、下記の２つが存在しているとする。なお、添字は、各知識データ(ルール)に割り当てられる重みであり、左辺から右辺を仮説するにはどの程度信頼ならないかを表している。
Kill(x, y)1.4 ⇒ arrest(z, x)
Kill(x, y)1.2 ⇒murder(x)
　そして、不要観測事象データ以外の観測事象データとして、「murder(A)$10」、「police(B)$10」、「arrest(B,A)$10」が得られているとする。なお、観測事象データに与えられている添字は、各観測事象データに割り当てられるコストを示している。
　このような場合、仮説生成部１３は、「Kill(x, y)1.2⇒murder(x)」と「murder(A)$10」とから、仮説候補「Kill(A, u1)$12」を生成する。また、仮説生成部１３は、「Kill(x, y)1.4 ⇒ arrest(z, x)」と「arrest(B,A)$10」とからも、仮説候補「Kill(A, u2)$14」を生成する。各仮説候補における添字は、知識データの重みと、観測事象データのコストとを乗算して得られており、各仮説候補が持つコストを示している。その後、仮説生成部１３は、生成した仮説候補の中から、コストが最も低い仮説候補を選択し、選択した仮説候補を外部の装置等に出力する。
　続いて、図２を用いて、本実施の形態における仮説推論装置の構成をより具体的に説明する。図２は、本発明の実施の形態における仮説推論装置の構成を具体的に示すブロック図である。
　図２に示すように、本実施の形態における仮説推論装置１０は、ネットワークを介して、コンピュータシステム２０に接続されており、コンピュータシステム２０のセキュリティシステムとして機能している。このため、コンピュータシステム２０は、そこで行われた処理のログを仮説推論装置１０に出力する。
　図２の例では、仮説推論装置１０において、データ受付部１１は、コンピュータシステム２０から出力されたログを観測事象データとして受け付ける。また、データ特定部１２は、受け付けたログの中から、受け付けたログ以外の他のログと知識データとに基づいて、不要となるログ（以下「不要ログ」と表記する。）を特定する。
　そして、仮説生成部１３が、データ特定部１２によって特定されなかったログ、つまり不要ログ以外のログと、知識データとを用いて、不要ログ以外のログを導出することが可能な仮説を生成する。
　また、図２の例では、仮説推論装置１０は、異常情報作成部１４を備えている。異常情報作成部１４は、仮説生成部によって生成された仮説に基づいて、コンピュータシステム２０に発生した異常に関する情報を作成し、作成した情報を外部（例えば、コンピュータシステム２０の管理者の端末装置等）に出力する。
　例えば、仮説生成部１３が、「コンピュータシステム２０のいずれかの端末装置によってマルウェアが受信されている」という仮説を生成したとする。この場合、異常情報作成部１４は、異常に関する情報として、例えば、このマルウェアに関する情報、マルウェアを除去するための手法に関する情報等を生成する。
　このように、本実施の形態における仮説推論装置１０をセキュリティシステムとして用いれば、大量に発生するシステムのログの中から必要なものだけを抽出して仮説推論を行うことができるので、迅速、且つ確実に、異常を検出することができる。
［装置動作］
　次に、本実施の形態における仮説推論装置１０の動作について図３を用いて説明する。図３は、本発明の実施の形態における仮説推論装置の動作を示すフロー図である。以下の説明においては、適宜図１～図６を参照する。また、本実施の形態では、仮説推論装置１０を動作させることによって、仮説推論方法が実施される。よって、本実施の形態における仮説推論方法の説明は、以下の仮説推論装置１０の動作説明に代える。
　図３に示すように、最初に、データ受付部１１は、観測事象を示す観測事象データを受け付ける（ステップＡ１）。ステップＡ１において受け付けられる観測事象データは、１つであっても良いし、複数個であっても良い。
　次に、データ特定部１２は、ステップＡ１で受け付けた観測事象データの中から、受け付けた観測事象データ以外の他の観測事象データと知識データとに基づいて、不要観測事象データを特定する（ステップＡ２）。具体的には、データ特定部１２は、下記に示す図４～図６に示した処理を実行する。
　次に、仮説生成部１３は、ステップＡ２で特定した不要観測事象データ以外の観測事象データと、知識データとを用いて、不要観測事象データ以外の観測事象データを導出することが可能な仮説を生成する（ステップＡ３）。また、ステップＡ３においては、仮説生成部１３は、生成した仮説毎に、コストを算出する。
　次に、仮説生成部１３は、ステップＡ３において生成した仮説のなから、そのコストに基づいて、最適な仮説を選択し、選択した仮説を外部に出力する（ステップＡ４）。
［具体例］
　続いて、図４～図８を用いて、図３に示したステップＡ２の具体例１～４について説明する。また、以下の具体例１～４では、知識ルールとして下記のルールが用意されているとする。更に、各ルールの述語の意味についても以下に示す。
知識ルール：
textFile(x)⇒ file(x)
exeFile(x)⇒ file(x)
unknownTypeFile(x)⇒ file(x)
hiddenMalware(x)⇒unknownTypeFile(x)
harmlessUnknownFile(x)⇒unknownTypeFile(x)
targedtedAttack(x)⇒ file(x) ∧ emailAttachment(y,x)
businessEmailCompromise(x)⇒ file(x) ∧ emailAttachment(y,x)
emailAttachment(y,x)⇒ email(y)
各述語の意味：
file(x): xはファイルである。
textFile(x): xはテキスト形式のファイルである。
exeFile(x): xは実行形式のファイルである。
unknownTypeFile(x): xは未知のファイル形式のファイルである。
hiddenMalware(x): xは隠されたマルウェアである。
harmlessUnknownFile(x): xは無害な未知のファイルである。
targedtedAttack(x): xは標的型攻撃である。
businessEmailCompromise(x): xはビジネスメール詐欺である。
emailAttachment(y,x): Eメールyの添付物はxである。
email(y): yはEメールである。
　図４は、図３に示したステップ２の具体例１を説明する図である。図４の例では、データ特定部１２は、受け付けた観測事象データに対して、知識データに基づいた解析を実行し、解析の結果と他の観測事象データとから導出可能である観測事象データを、不要観測事象データとして特定する。
　具体的には、図４に示すように、観測Ｐとして、観測事象データ「file(“a.exe”)」が、観測されたとする。この観測事象データは、例えば、ＩＤＳ（Intrusion Detection System）、ＳＩＥＭ（Security Information and Event Management）等の各種ツールによって得られたデータ（ファイル名：”a.exe”）である。また、観測事象データは、論理式の形式で、仮説推論装置１０に入力される。また、観測Ｏ’として、観測事象データ「!textFile(“a.exe”)」、「exeFile(“a.exe”)」、及び「!unknownTypeFile(“a.exe”)」が観測されたとする。なお、ここでは、「!」は否定を表す記号として用いられている。
　この場合、データ特定部１２は、上記の知識データを用いて、観測Ｐの解析の結果として、「!textFile(“a.exe”)」、「exeFile(“a.exe”)」、及び「!unknownTypeFile(“a.exe”)」を取得する。そして、図４の例では、取得された解析の結果に含まれるリテラルは、他の観測（観測事象データ）Ｏ’（「!textFile(“a.exe”)」、「exeFile(“a.exe”)」、及び「!unknownTypeFile(“a.exe”)」）に含まれている。従って、この場合、データ特定部１２は、観測Ｐは、解析の結果と他の観測事象データとから導出可能であるので、観測Ｐを不要観測事象データとして特定する。
　図５は、図３に示したステップ２の具体例２を説明する図である。図５の例では、データ特定部１２は、まず、受け付けた観測事象データに対して、解析として、後ろ向き推論を行う。そして、データ特定部１２は、得られた推論結果について、受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた観測事象データを不要観測事象データとして特定する。
　具体的には、図５の例では、観測Ｐとして、「file(“b.xxx”)」が、観測Ｏ’として、「!textFile(“b.xxx”)」、「!exeFile(“b.xxx”)」、「!hiddenmalware(“b.xxx”)」、及び「harmlessUnknownFile(“b.xxx”)」が観測されているとする。この場合において、データ特定部１２が、上述の知識データを用いて、観測Ｐに対して解析（後ろ向き推論）を行うと、「textFile(“b.xxx”)」、「exeFile(“b.xxx”)」、及び「unknownTypeFile(“b.xxx”)」が得られる。
　ところで、図４の例では、他の観測事象データＯ’には、「!textFile(“b.xxx”)」、「!exeFile(“b.xxx”)」、「!hiddenmalware(“b.xxx”)」、及び「harmlessUnknownFile(“b.xxx”)」は含まれているが、「unknownTypeFile(“b.xxx”)」は含まれていない。従って、図４の例であれば、観測Ｐは不要観測事象データとして特定されないことになる。なお、以降では、肯定のリテラル（「exeFile(“b.xxx”)」など）と否定のリテラル（「!exeFile(“b.xxx”)」など）は同一であるとして扱う。
　これに対して、図５の例では、データ特定部１２が、知識データとして、「hiddenMalware(x) ⇒unknownTypeFile(x)」と、「harmlessUnknownFile(x) ⇒unknownTypeFile(x)」とを、先の推論結果である「unknownTypeFile(“b.xxx”)」に対して、後ろ向きに推論を行う。これにより、「hiddenMalware(“b.xxx”)」、及び「harmlessUnknownFile(“b.xxx”)」が取得される。そして、これらは他の観測事象データＯ’に含まれるので、データ特定部１２は、観測Ｐを不要観測事象データとして特定する。なお、図５において、実線で囲まれたリテラルは、観測されたリテラルを示し、破線で囲まれたリテラルは、観測されていないリテラルを示している。
　図６は、観測Ｐから後ろ向き推論によってできる有向グラフを示している。図６に示す有向グラフにおいて、観測Ｐからリンクの向きに従って移動したときに、必ず観測Ｏ’のいずれかのリテラルに到達することができる場合、観測Ｐを不要観測事象データとすることが可能となる。
　図７は、図３に示したステップ２の具体例３を説明する図である。図７の例では、まず、受け付けた観測事象データと、観測が予想される事象とが同時に成立するか否かが条件となる。言い換えると、図７の例では、観測事象データを構成する観測論理式と、観測が予想される事象を示す観測論理式とが連言をなす後件を持つ、ルールがあることが条件となる。連言をなす後件を持つルールとしては、上述した知識データのうちの、「targedtedAttack(x) ⇒ file(x) ∧ emailAttachment(y,x)」と、「businessEmailCompromise(x)⇒ file(x) ∧emailAttachment(y,x)」とが該当する。
　そして、データ特定部１２は、この条件下のもと、観測が予想される事象が観測されていない場合、又は、他の観測からの知識データによる後ろ向き推論によって、観測が予想される事象の導出が不可能である場合は、受け付けた観測事象データを不要観測事象データとして特定する。
　具体的には、図７の例において、観測Ｍとして、「file(“a.exe”)」が観測されているとする。また、観測が予想される事象を観測Ｎ「emailAttachment(y,x)」とする。この場合、上述の知識データを用いた、観測の後ろ向き推論により、図７の中段に示すツリーが得られる。このツリーは、観測「file(“a.exe”)」から後ろ向き推論によってできる有向グラフを示している。図７の下段に示すツリーは、観測Ｍと観測Ｎとから後ろ向き推論によってできる有向グラフを示している。なお、図７中では、記号「＆」を用いて連言を表現している。
　この条件下において、観測Ｏ’として、図４の例と同様に、観測事象データ「!textFile(“a.exe”)」、「exeFile(“a.exe”)」、及び「!unknownTypeFile(“a.exe”)」が観測されているとする。一方、「targedtedAttack(x)」及び「 businessEmailCompromise(x)」が観測されていないとする。この時、観測が予想される観測Ｎ「emailAttachment(y,x)」が観測されていない場合、または、観測Ｍ及び観測Ｏ’から知識データによる後ろ向き推論によって、仮説として観測Ｎを取得することができない場合、データ特定部１２は、観測Ｍを不要観測事象データとして特定する。
　また、言い換えると、観測Ｍ及び観測Ｏ’に加えて、観測Ｎとして、「emailAttachment(“c.emal”,”a.exe”)」が観測されている場合は、観測Ｍが不要観測事象データとして特定されることはない。また、観測として「email(“c.eml”)」が観測されている場合は、ルール「emailAttachment(y,x) ⇒ email(y)」によって、観測Ｎ「emailAttachment(“c.eml”,x)」は仮説される。よって、この場合も、観測Ｍが不要観測事象データとして特定されることはない。
　但し、図７の例において、「emailAttachment(“c.emal”,”a.exe”)」が観測されていても、他に、「!targedtedAttack(”a.exe”)」と、「!businessEmailCompromise(”a.exe”)」とが観測されていると、図８に示す有向グラフが成立する。図８は、図３に示したステップ２の具体例４を説明する図である。
　図８に示すように、この場合は、file∧emailAttachmentを後件に有するルールと、fileを後件に有するルールとから、観測Ｍ「file(“a.exe”)」は導出可能である。従って、図８の例では、観測Ｍは不要観測事象データとして特定される。
［実施の形態による効果］
　以上のように本実施の形態によれば、不要観測事象データを除いた状態で仮説推論を実行することができる。また、除かれる不要観測事象データは、新たに取得された観測、既に取得されている観測、及び知識データに基づいて、厳密に特定される。このため、本実施の形態によれば、仮説導出にかかる時間の増加を抑制しつつ、仮説の精度を高めることができる。
［プログラム］
　本実施の形態におけるプログラムは、コンピュータに、図３に示すステップＡ１～Ａ４を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における仮説推論装置１０と仮説推論方法とを実現することができる。この場合、コンピュータのプロセッサは、データ受付部１１、データ特定部１２、及び仮説生成部１３として機能し、処理を行なう。
　また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、データ受付部１１、データ特定部１２、及び仮説生成部１３のいずれかとして機能しても良い。
　ここで、本実施の形態におけるプログラムを実行することによって、仮説推論装置１０を実現するコンピュータについて図９を用いて説明する。図９は、本発明の実施の形態における仮説推論装置を実現するコンピュータの一例を示すブロック図である。
　図９に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていても良い。
　ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
　また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
　データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
　また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体が挙げられる。
　なお、本実施の形態における仮説推論装置１０は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、仮説推論装置１０は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
　上述した実施の形態の一部又は全部は、以下に記載する（付記１）～（付記１５）によって表現することができるが、以下の記載に限定されるものではない。
（付記１）
　観測事象を示す観測事象データを受け付ける、データ受付部と、
　受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、データ特定部と、
　前記データ特定部によって特定されなかった前記観測事象データと、前記知識データとを用いて、前記データ特定部によって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、仮説生成部と、
を備えている、ことを特徴とする仮説推論装置。
（付記２）
付記１に記載の仮説推論装置であって、
　前記データ特定部は、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
（付記３）
付記１または２に記載の仮説推論装置であって、
　前記データ特定部は、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
（付記４）
付記１～３のいずれかに記載の仮説推論装置であって、
　前記データ特定部は、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
（付記５）
付記１～４のいずれかに記載の仮説推論装置であって、
　前記データ受付部が、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
　前記データ特定部が、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
　前記仮説生成部が、前記データ特定部によって特定されなかった前記ログと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記ログを導出することが可能な仮説を生成し、
　当該仮説推論装置は、更に、生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、異常情報作成部を更に備えている、
ことを特徴とする仮説推論装置。
（付記６）
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を有する、ことを特徴とする仮説推論方法。
（付記７）
付記６に記載の仮説推論方法であって、
　前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論方法。
（付記８）
付記６または７に記載の仮説推論方法であって、
　前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
ことを特徴とする仮説推論方法。
（付記９）
付記６～８のいずれかに記載の仮説推論方法であって、
　前記（ｂ）のステップにおいて、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論方法。
（付記１０）
付記６～９のいずれかに記載の仮説推論方法であって、
　前記（ａ）のステップにおいて、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
　前記（ｂ）のステップにおいて、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
　前記（ｃ）のステップにおいて、前記（ｂ）のステップで特定されなかった前記ログと、前記知識データとを用いて、前記データ特定部によって特定されなかった前記ログを導出することが可能な仮説を生成し、
　当該仮説推論方法は、更に、（ｄ）生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、ステップを更に有する、
ことを特徴とする仮説推論方法。
（付記１１）
コンピュータに、
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を実行させる、命令を含むプログラムを記録している、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１２）
付記１１に記載のコンピュータ読み取り可能な記録媒体であって、
　前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１３）
付記１１または１２に記載のコンピュータ読み取り可能な記録媒体であって、
　前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１４）
付記１１～１３のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
　前記（ｂ）のステップにおいて、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１５）
付記１１～１４のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
　前記（ａ）のステップにおいて、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
　前記（ｂ）のステップにおいて、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
　前記（ｃ）のステップにおいて、前記（ｂ）のステップで特定されなかった前記ログと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記ログを導出することが可能な仮説を生成し、
　前記プログラムが、更に、前記コンピュータに、
（ｄ）生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、ステップを実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　以上のように、本発明によれば、不要な観測事象データを除いて仮説推論を実行することができる。本発明は、仮説推論が求められるシステムにおいて有用である。
　１０　仮説推論装置
　１１　データ受付部
　１２　データ特定部
　１３　仮説生成部
　１１０　コンピュータ
　１１１　ＣＰＵ
　１１２　メインメモリ
　１１３　記憶装置
　１１４　入力インターフェイス
　１１５　表示コントローラ
　１１６　データリーダ／ライタ
　１１７　通信インターフェイス
　１１８　入力機器
　１１９　ディスプレイ装置
　１２０　記録媒体
　１２１　バス

Claims (15)

  1. 　観測事象を示す観測事象データを受け付ける、データ受付手段と、
    　受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、データ特定手段と、
    　前記データ特定手段によって特定されなかった前記観測事象データと、前記知識データとを用いて、前記データ特定手段によって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、仮説生成手段と、
    を備えている、ことを特徴とする仮説推論装置。
  2. 請求項１に記載の仮説推論装置であって、
    　前記データ特定手段は、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
    ことを特徴とする仮説推論装置。
  3. 請求項１または２に記載の仮説推論装置であって、
    　前記データ特定手段は、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
    ことを特徴とする仮説推論装置。
  4. 請求項１～３のいずれかに記載の仮説推論装置であって、
    　前記データ特定手段は、
    受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
    ことを特徴とする仮説推論装置。
  5. 請求項１～４のいずれかに記載の仮説推論装置であって、
    　前記データ受付手段が、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
    　前記データ特定手段が、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
    　前記仮説生成手段が、前記データ特定手段によって特定されなかった前記ログと、前記知識データとを用いて、前記データ特定手段によって特定されなかった前記ログを導出することが可能な仮説を生成し、
    　当該仮説推論装置は、更に、生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外手段に出力する、異常情報作成手段を更に備えている、
    ことを特徴とする仮説推論装置。
  6. （ａ）観測事象を示す観測事象データを受け付ける、ステップと、
    （ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
    （ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
    を有する、ことを特徴とする仮説推論方法。
  7. 請求項６に記載の仮説推論方法であって、
    　前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
    ことを特徴とする仮説推論方法。
  8. 請求項６または７に記載の仮説推論方法であって、
    　前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
    ことを特徴とする仮説推論方法。
  9. 請求項６～８のいずれかに記載の仮説推論方法であって、
    　前記（ｂ）のステップにおいて、
    受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
    ことを特徴とする仮説推論方法。
  10. 請求項６～９のいずれかに記載の仮説推論方法であって、
    　前記（ａ）のステップにおいて、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
    　前記（ｂ）のステップにおいて、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
    　前記（ｃ）のステップにおいて、前記（ｂ）のステップで特定されなかった前記ログと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記ログを導出することが可能な仮説を生成し、
    　当該仮説推論方法は、更に、（ｄ）生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、ステップを更に有する、
    ことを特徴とする仮説推論方法。
  11. コンピュータに、
    （ａ）観測事象を示す観測事象データを受け付ける、ステップと、
    （ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
    （ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
    を実行させる、命令を含むプログラムを記録している、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  12. 請求項１１に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  13. 請求項１１または１２に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  14. 請求項１１～１３のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
    　前記（ｂ）のステップにおいて、
    受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  15. 請求項１１～１４のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
    　前記（ａ）のステップにおいて、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
    　前記（ｂ）のステップにおいて、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
    　前記（ｃ）のステップにおいて、前記（ｂ）のステップで特定されなかった前記ログと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記ログを導出することが可能な仮説を生成し、
    　前記プログラムが、更に、前記コンピュータに、
    （ｄ）生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、ステップを実行させる命令を更に含む、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
PCT/JP2018/025723 2018-07-06 2018-07-06 仮説推論装置、仮説推論方法、及びコンピュータ読み取り可能な記録媒体 Ceased WO2020008632A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/258,008 US20210279614A1 (en) 2018-07-06 2018-07-06 Abductive inference apparatus, abductive inference method, and computer readable recording medium
PCT/JP2018/025723 WO2020008632A1 (ja) 2018-07-06 2018-07-06 仮説推論装置、仮説推論方法、及びコンピュータ読み取り可能な記録媒体
JP2020528657A JP7052870B2 (ja) 2018-07-06 2018-07-06 仮説推論装置、仮説推論方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/025723 WO2020008632A1 (ja) 2018-07-06 2018-07-06 仮説推論装置、仮説推論方法、及びコンピュータ読み取り可能な記録媒体

Publications (1)

Publication Number Publication Date
WO2020008632A1 true WO2020008632A1 (ja) 2020-01-09

Family

ID=69060057

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/025723 Ceased WO2020008632A1 (ja) 2018-07-06 2018-07-06 仮説推論装置、仮説推論方法、及びコンピュータ読み取り可能な記録媒体

Country Status (3)

Country Link
US (1) US20210279614A1 (ja)
JP (1) JP7052870B2 (ja)
WO (1) WO2020008632A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11934970B2 (en) * 2018-08-27 2024-03-19 Nec Corporation Abduction apparatus, abduction method, and computer-readable recording medium
US12580938B2 (en) * 2023-11-20 2026-03-17 International Business Machines Corporation Conditional hypothesis generation for enterprise process trees

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0553809A (ja) * 1991-08-28 1993-03-05 Meidensha Corp 推論装置の知識データ参照方法
JPH06139073A (ja) * 1992-10-29 1994-05-20 Kokusai Denshin Denwa Co Ltd <Kdd> 決定木形式の診断知識を用いた診断装置
JP2008276453A (ja) * 2007-04-27 2008-11-13 Toshiba Corp 行動識別装置および行動識別方法
JP2016091039A (ja) * 2014-10-29 2016-05-23 株式会社デンソー 危険予測装置、運転支援システム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1992001254A1 (en) * 1990-07-06 1992-01-23 United Technologies Corporation Machine failure isolation using qualitative physics
US6981182B2 (en) * 2002-05-03 2005-12-27 General Electric Company Method and system for analyzing fault and quantized operational data for automated diagnostics of locomotives
US8478710B2 (en) * 2010-04-30 2013-07-02 Xerox Corporation On-line autoregressive prediction in time series with delayed disclosure and monitor systems using same
CA2784572A1 (en) * 2011-08-05 2013-02-05 National Research Council Of Canada Process mining for anomalous cases

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0553809A (ja) * 1991-08-28 1993-03-05 Meidensha Corp 推論装置の知識データ参照方法
JPH06139073A (ja) * 1992-10-29 1994-05-20 Kokusai Denshin Denwa Co Ltd <Kdd> 決定木形式の診断知識を用いた診断装置
JP2008276453A (ja) * 2007-04-27 2008-11-13 Toshiba Corp 行動識別装置および行動識別方法
JP2016091039A (ja) * 2014-10-29 2016-05-23 株式会社デンソー 危険予測装置、運転支援システム

Also Published As

Publication number Publication date
JPWO2020008632A1 (ja) 2021-06-24
JP7052870B2 (ja) 2022-04-12
US20210279614A1 (en) 2021-09-09

Similar Documents

Publication Publication Date Title
US9680848B2 (en) Apparatus, system and method for detecting and preventing malicious scripts using code pattern-based static analysis and API flow-based dynamic analysis
US9471790B2 (en) Remediation of security vulnerabilities in computer software
CN113918951B (zh) 基于抽象语法树的恶意代码检测方法、装置及电子设备
US9519789B2 (en) Identifying security vulnerabilities related to inter-process communications
US12554614B2 (en) Method, electronic device, and computer program product for data processing, analysis, and abnormality determination of logs corresponding to operations
KR20250047290A (ko) 클라우드 리소스들의 오설정들을 통한 공격 체인 식별
WO2023101574A1 (en) Method and system for static analysis of binary executable code
US10496818B2 (en) Systems and methods for software security scanning employing a scan quality index
US11005869B2 (en) Method for analyzing cyber threat intelligence data and apparatus thereof
CN110096873A (zh) 通过补丁变换的自动诱饵推导
JP7052870B2 (ja) 仮説推論装置、仮説推論方法、及びプログラム
US8904360B2 (en) Automated identification of redundant method calls
US20150220733A1 (en) Apparatus and method for detecting a malicious code based on collecting event information
US20130007529A1 (en) Static analysis based on observed string values during execution of a computer-based software application
US10127132B2 (en) Optimizing automated interactions with web applications
US11140186B2 (en) Identification of deviant engineering modifications to programmable logic controllers
US12585785B2 (en) Code vulnerability evaluator
US9239927B2 (en) Static analysis for discovery of timing attack vulnerabilities in a computer software application
CN113971284A (zh) 基于JavaScript的恶意网页检测方法、设备及计算机可读存储介质
JP7156376B2 (ja) 観測事象判定装置、観測事象判定方法、及びプログラム
Cassagne et al. Following the obfuscation trail: identifying and exploiting obfuscation signatures in malicious code
JP7168010B2 (ja) 行動計画推定装置、行動計画推定方法、及びプログラム
US20210385235A1 (en) Security analysis assistance apparatus, security analysis assistance method, and computer-readable recording medium
US12536281B1 (en) Systems and methods for malware detection in portable executable files
CN115391780B (zh) 应用代码的安全加固方法、系统、设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18925206

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020528657

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18925206

Country of ref document: EP

Kind code of ref document: A1