WO2020009094A1 - 生成装置、生成方法及び生成プログラム - Google Patents

生成装置、生成方法及び生成プログラム Download PDF

Info

Publication number
WO2020009094A1
WO2020009094A1 PCT/JP2019/026239 JP2019026239W WO2020009094A1 WO 2020009094 A1 WO2020009094 A1 WO 2020009094A1 JP 2019026239 W JP2019026239 W JP 2019026239W WO 2020009094 A1 WO2020009094 A1 WO 2020009094A1
Authority
WO
WIPO (PCT)
Prior art keywords
abnormality
information
pattern
unit
generation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2019/026239
Other languages
English (en)
French (fr)
Inventor
中津留　毅
友康 佐藤
南　拓也
直人 藤木
雅巳 泉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to CN201980044171.5A priority Critical patent/CN112352402B/zh
Priority to EP19831469.2A priority patent/EP3799367B1/en
Priority to US17/254,875 priority patent/US11985151B2/en
Priority to AU2019298538A priority patent/AU2019298538B2/en
Publication of WO2020009094A1 publication Critical patent/WO2020009094A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present invention relates to a generation device, a generation method, and a generation program.
  • an abnormality is determined and the functions that are being executed on the device where the error has occurred are specified and registered in the blacklist, while the functions that are being executed on the device where the error has not occurred are whitelisted.
  • the technique of registering with is known.
  • the conventional technique has a problem that the cause of the abnormality may not be specified efficiently.
  • the cause of the abnormality can be specified when the abnormal pattern matches the predetermined abnormal pattern, but it is difficult to detect an abnormality due to unknown malware or the like.
  • the whitelist method all behavior patterns that do not match the normal state can be detected as abnormal, but it is difficult to specify the cause of the abnormality.
  • the technology that identifies the function that is being executed on the device in which the error has occurred and registers it in the blacklist, and the function that is being executed in the device where the error has not occurred is registered in the whitelist has an abnormal operation. Only the function can be specified, and it is difficult to specify the cause of the abnormality.
  • a generation device is configured such that, based on information having a plurality of items related to communication in a network, a detection unit that detects an abnormality in the network, When an abnormality is detected, the identification unit that identifies the cause of the abnormality corresponding to each of the information, the value of an item that the information has, and the cause of the abnormality that is identified by the identification unit determines the predetermined information. And a pattern generation unit that generates a pattern of the cause of abnormality for each set of.
  • the cause of the abnormality can be efficiently specified.
  • FIG. 1 is a diagram illustrating an example of a configuration of the generation system according to the first embodiment.
  • FIG. 2 is a diagram illustrating an example of a configuration of the generation device according to the first embodiment.
  • FIG. 3 is a diagram illustrating an example of the Row information according to the first embodiment.
  • FIG. 4 is a diagram for describing generation of an incident pattern according to the first embodiment.
  • FIG. 5 is a diagram for describing the incident pattern determination according to the first embodiment.
  • FIG. 6 is a diagram illustrating an example of elements of the incident pattern according to the first embodiment.
  • FIG. 7 is a flowchart illustrating a flow of a process in an initialization phase of the generation device according to the first embodiment.
  • FIG. 1 is a diagram illustrating an example of a configuration of the generation system according to the first embodiment.
  • FIG. 2 is a diagram illustrating an example of a configuration of the generation device according to the first embodiment.
  • FIG. 3 is a diagram illustrating an example of the Row information according to the
  • FIG. 8 is a flowchart illustrating a flow of a process in an operation phase of the generation device according to the first embodiment.
  • FIG. 9 is a flowchart illustrating a flow of a process of generating an incident pattern according to the first embodiment.
  • FIG. 10 is a diagram illustrating an example of a computer that executes a generation program.
  • FIG. 1 is a diagram illustrating an example of a configuration of the generation system according to the first embodiment.
  • the generation system 1 includes a generation device 10, a gateway device 20, and a device 30.
  • the generating device 10 and the gateway device 20 are communicably connected via the network 2.
  • the device 30 is communicably connected to the gateway device 20.
  • the device 30 is a terminal device such as a PC and a smartphone.
  • the network 2 is, for example, the Internet.
  • the gateway device 20 is connected to the same LAN (Local Area Network) as the device 30, and captures a communication log of communication performed by the device 30 or an operation log of the device 30.
  • the generation device 10 acquires information regarding communication in the network 2 and detects an abnormality and specifies the cause of the abnormality.
  • information related to communication may be referred to as a communication feature amount.
  • the communication feature quantity acquired by the generation device 10 includes, for example, the address and port number of the source or destination of data in communication. Further, the communication feature amount may include the communication duration time and the number of bytes.
  • FIG. 2 is a diagram illustrating an example of a configuration of the generation device according to the first embodiment.
  • the generation device 10 includes a communication unit 11, an input unit 12, an output unit 13, a storage unit 14, and a control unit 15.
  • the communication unit 11 performs data communication with another device via a network.
  • the communication unit 11 is a NIC (Network Interface Card).
  • the input unit 12 receives input of data from a user.
  • the input unit 12 is, for example, an input device such as a mouse or a keyboard.
  • the output unit 13 outputs data by displaying a screen or the like.
  • the output unit 13 is, for example, a display device such as a display.
  • the input unit 12 and the output unit 13 may be an input interface and an output interface, respectively.
  • the input unit 12 and the output unit 13 input and output data with other devices connected to the generation device 10 and a medium such as a memory card or a USB (Universal Serial Bus) memory.
  • the input unit 12 may receive data received by the communication unit 11 as input data.
  • the output unit 13 may output data to the communication unit 11.
  • the storage unit 14 is a storage device such as a hard disk drive (HDD), a solid state drive (SSD), and an optical disk.
  • the storage unit 14 may be a rewritable semiconductor memory such as a RAM (Random Access Memory), a flash memory, and a NVRAM (Non Volatile Static Random Access Memory).
  • the storage unit 14 stores an operating system (OS) executed by the generation device 10 and various programs. Further, the storage unit 14 stores various information used in executing the program. Further, the storage unit 14 stores the detection model 141, the specific model 142, and the abnormality cause DB 143.
  • OS operating system
  • the detection model 141 is a model for detecting an abnormality of the network 2.
  • the detection model 141 may be a model for detecting that the device 30 is in an abnormal state.
  • the detection model 141 performs detection using signatures of security products (IPS (Intrusion Prevention System), IDS (Intrusion Detection and Prevention), WAF (Web Application Firewall), etc.), and anomaly score from communication features. And a parameter for calculating.
  • IPS Intrusion Prevention System
  • IDS Intrusion Detection and Prevention
  • WAF Web Application Firewall
  • the specific model 142 is a model for specifying the cause of the abnormality of the device 30.
  • it is a machine-learned model in which the signature of a security product (IPS, IDS, WAF, etc.), the cause of abnormality, and a communication feature for specifying the cause of abnormality are described.
  • the abnormality cause DB 143 stores information for identifying an abnormality cause.
  • the abnormality cause DB 143 stores data used for specifying an abnormality cause by the specific model 142 and an incident pattern described later.
  • the abnormality cause DB 143 stores information including Row information shown in FIG.
  • FIG. 3 is a diagram illustrating an example of the Row information according to the first embodiment.
  • the Row information includes a source address, a destination address, a source port, a destination port, a duration, a protocol, the number of bytes going up, the number of bytes going down, and the communication type.
  • the Row information is data itself included in the communication feature amount. Note that the Row information is an example of information having a plurality of items related to communication in the network 2.
  • the abnormality cause DB 143 stores an IDS signature which is an abnormality cause corresponding to each piece of Row information.
  • the IDS signature may be generated by the generation device 10 based on the Row information using the specific model 142, or may be obtained from another device or the like.
  • the IDS signature is information that specifies whether the IP address is of an internal network or an external one based on the configuration management information.
  • the IDS signature is information acquired from a blacklist DB that describes a threat IP address.
  • the abnormality cause DB 143 stores meta information generated from values of items that do not change due to a change in environment or the like. For example, consider a case where the same malware infects multiple sites. At this time, it is conceivable that the local information where the infected terminal is located may change due to the effect of the spread of the infection or the removal of the malware. On the other hand, it is conceivable that the access destination of the same malware does not change frequently. For example, in (2), (3) and (4) of FIG. 3, login from the infected terminal 11.11.1.1 to 11.11.1.2-4 is attempted. In such a case, the IP address of the infected terminal or the terminal attempting to log in depends on the environment in which the malware has entered, and is often not the same.
  • the infected terminal has downloaded malware from the terminal 99.999.99.3.
  • the infected terminal depends on the environment, but the URL and the IP address of the download destination of the malware often have the same address.
  • the abnormality cause DB 143 stores an incident pattern for each flow.
  • (1) to (10) in FIG. 3 are row information in flow units.
  • the abnormality cause DB 143 stores an incident pattern uniquely generated corresponding to the Row information of (1) to (10).
  • the incident pattern is generated by a pattern generation unit 155 described later.
  • the control unit 15 controls the entire generation device 10.
  • the control unit 15 may be an electronic circuit such as a CPU (Central Processing Unit), a GPU (Graphics Processing Unit), a TPU (Tensor Processing Unit), an MPU (Micro Processing Unit), an ASIC (Application Specific Integrated Circuit), or an FPGA (FPGA). Field ⁇ Programmable ⁇ Gate ⁇ Array).
  • the control unit 15 has an internal memory for storing programs and control data defining various processing procedures, and executes each process using the internal memory. Further, the control unit 15 functions as various processing units when various programs operate.
  • the control unit 15 includes a detection model generation unit 151, a detection unit 152, a specific model generation unit 153, a specification unit 154, a pattern generation unit 155, and a determination unit 156.
  • the detection model generation unit 151 generates a detection model 141 for detecting an abnormality in the network 2 based on information on communication during normal operation of the network 2. For example, the detection model generation unit 151 performs learning so that the detection model 141 outputs a higher anomaly score so that the input detection target data and the normal data are not similar.
  • the detection unit 152 detects an abnormality in the network 2 based on information having a plurality of items related to communication in the network 2. For example, the detection unit 152 detects an abnormality of the network 2 using the detection model 141 based on information of a detection target.
  • the detection target information may be Row information.
  • the detection unit 152 inputs information of a detection target to the detection model 141, and detects an abnormality of the network 2 when the anomaly score output by the detection model 141 is equal to or larger than a threshold. If the detection model 141 is a signature, the detection unit 152 can detect an abnormality by signature matching. In addition, as illustrated in FIG. 3, the detection unit 152 stores meta information at the time of detecting an abnormality in the abnormality cause DB 143 as an IDS signature. For example, the security product or the detection model 141 described above can classify detected abnormalities for each flow. The detection unit 152 can use such a classification as an IDS signature.
  • the specific model generation unit 153 generates the specific model 142 for specifying the cause of the abnormality of the network 2 based on the information regarding the communication of the network 2. For example, the specific model generation unit 153 performs learning based on the abnormality cause DB 143 so that the specific model 142 outputs an abnormality cause associated with a communication feature amount similar to the input communication feature amount.
  • the identification unit 154 identifies an abnormality cause corresponding to each piece of information. For example, when the detection unit 152 detects an abnormality, the specifying unit 154 specifies a cause of the abnormality corresponding to each piece of information to be detected using the specific model 142. For example, when an abnormality is detected by the detection unit 152, the identification unit 154 inputs information of a detection target to the specific model 142 and acquires the cause of the abnormality output by the specific model 142. When the specific model 142 is a signature, the specifying unit 154 can specify the cause of the abnormality by signature matching.
  • the ⁇ pattern generation unit 155 generates an abnormality cause pattern for each of a predetermined set of communication feature amounts based on the value of an item included in the communication feature amount and the abnormality cause identified by the identification unit 154. At this time, the pattern generation unit 155 may generate a pattern based on meta information generated from the value of an item included in the information. In addition, the pattern generation unit 155 can generate a pattern of the cause of abnormality for each set of flow units of information to be detected. In the following description, the pattern generated by the pattern generation unit 155 may be referred to as an incident pattern.
  • FIG. 4 is a diagram for describing generation of an incident pattern according to the first embodiment.
  • FIG. 4 schematically shows the contents of the communication included in the flow.
  • ⁇ Circle around (1) ⁇ in FIG. 4 indicates that the device 30 has communicated with the C2 server C2-1 via http.
  • (2) to (4) indicate that one of the devices 30 has attempted to log in to the other device 30 by telnet.
  • (5) and (6) indicate that the device 30 has performed communication by telnet with the C2-2 as the C2 server.
  • (7) and (8) indicate that the device 30 has performed http communication with a distribution server that provides a malware distribution site.
  • (9) and (10) show that the device 30 has performed communication with the general Web server Taet by HTTP.
  • the detection unit 152 has detected an abnormality based on a communication feature amount when communication included in the flow illustrated in FIG. 4 is performed.
  • the specifying unit 154 specifies the cause of the abnormality for each of the communication feature amounts corresponding to the communication of (1) to (10).
  • the pattern generation unit 155 collects the communication feature amount and the specified cause of the abnormality, and stores them in the abnormality cause DB 143 as Row information and IDS signature. Further, the pattern generation unit 155 generates meta information based on predetermined information.
  • the IDS signature, source address classification, and destination address classification of (1) in FIG. 3 are “C2 communication”, “network address”, and “C2 server”, respectively.
  • the IDS signature, source address classification, and destination address classification of (2) and (3) are “login attempt / success”, “network address”, and “network address”, respectively.
  • the IDS signature, source address classification, and destination address classification of (4) are “login attempt / failure”, “network address”, and “network address”, respectively. Accordingly, the pattern generation unit 155 determines that (1) to (4) are based on the scan (C2-Scan) instructed by the C2 server.
  • the pattern generation unit 155 determines that (5) to (8) are due to download (C2-Download) instructed by the C2 server. Further, the pattern generation unit 155 determines that (9) and (10) are caused by a Dos attack (C2-Dos) instructed by the C2 server.
  • the pattern generation unit 155 is a pattern representing a combination of abnormal causes for each flow corresponding to the information, based on meta information generated from the value of the item of the information, and the number of flows corresponding to each abnormal cause is Generates a pattern that can express a plurality. For example, the pattern generation unit 155 generates an incident pattern “C2-Scan * @ C2-Download @ C2-Dos *”.
  • “*” indicates that a plurality of flows exist.
  • the flow may change depending on the number of ports to be scanned or the number of devices existing on the network.
  • the number of generated HTTP flows is not constant due to the performance of the device. For this reason, if the number of flows is limited in the incident pattern, comparison and search may not be possible due to the difference in the number of flows even if a similar incident pattern exists. Therefore, the pattern generation unit 155 generates an incident pattern in which a plurality of flows are bundled and abstracted in order to facilitate the comparison and search of the incident patterns.
  • C2-Scan * @ C2-Download @ C2-Dos * means "After scanning from multiple sources, download from the C2 server was performed and Dos attacks from multiple sources began. It means that. Note that “*” may indicate that an arbitrary number of flows including 1 exist.
  • the determination unit 156 refers to the storage unit 14 that stores the pattern generated by the pattern generation unit 155. If the pattern generation unit 155 generates the first pattern, the determination unit 156 stores the first pattern and the pattern stored in the storage unit 14. It is determined whether or not the pattern matches. That is, the determination unit 156 can determine whether or not an incident pattern newly generated by the pattern generation unit 155 matches an incident pattern generated in the past.
  • FIG. 5 is a diagram for explaining the incident pattern determination according to the first embodiment.
  • (11) in FIG. 5 indicates that the device 30 has communicated by http with the C2-3 as the C2 server.
  • (12) indicates that one of the devices 30 has attempted to log in to the other device 30 by telnet.
  • (13) indicates that the device 30 has performed telnet communication with the C2 server C2-4.
  • (14) indicates that the device 30 has performed http communication with the Web server 2 that provides a malware distribution site.
  • (16) indicates that the device 30 has performed communication by HTTP with the general Web server Taet2.
  • the pattern generation unit 155 generates an incident pattern “C2-Scan * C2-Download C2-Dos *” from the example of FIG. 5 as in the example of FIG. For this reason, the determination unit 156 can determine that the incident pattern generated from the example in FIG. 5 matches the incident pattern generated in the past from the example in FIG.
  • the pattern generation unit 155 can determine the elements of the incident pattern such as “C2-Scan”, “C2-Download”, and “C2-Dos” by referring to the information shown in FIG. .
  • FIG. 6 is a diagram illustrating an example of elements of the incident pattern according to the first embodiment.
  • FIG. 6B shows that the pattern “C2-Scan *” is one in which multiple scans occur after communication with C2.
  • FIG. 6C shows that the pattern “C2-Upload” is one in which upload occurs after communication with C2.
  • the output unit 13 outputs the communication feature amount to be detected and the cause of the abnormality.
  • the output unit 13 outputs the incident pattern generated by the pattern generation unit 155, including the incident pattern as the cause of the abnormality.
  • an incident response is performed on the information output by the output unit 13.
  • the incident response is to identify the cause of the abnormality by referring to the information output by the output unit 13 by the system administrator.
  • the input unit 12 receives an input of the cause of the abnormality specified by the incident response.
  • the cause of the abnormality specified by the incident response may be represented in the same data format as the incident pattern.
  • the generation device 10 preferentially stores the abnormality cause specified by the incident response in the abnormality cause DB 143.
  • the specific model generation unit 153 further generates the specific model 142. Accordingly, the generation device 10 can reflect the result of the incident response on the specific model 142.
  • the processing flow of the generation device 10 will be described with reference to FIGS.
  • the processing of the generation device 10 is roughly divided into an initial setting phase and an operation phase.
  • the generation device 10 mainly performs collection or initial learning.
  • the generation device 10 mainly detects abnormality of the device and specifies the cause of the abnormality.
  • the detection model 141 and the specific model 142 can detect an abnormality and specify a cause of the abnormality using the operation log of the device 30 as well as the communication feature amount.
  • the operation log is assumed to be stored in the abnormality cause DB 143 similarly to the communication feature amount.
  • FIG. 7 is a flowchart showing the flow of processing in the initial setting phase of the generation device according to the first embodiment.
  • the specific model generation unit 153 checks whether or not a communication feature amount or an operation log of the cause of the abnormality exists in the abnormality cause DB 143 (step S101).
  • the specific model generation unit 153 performs the collection of the abnormality cause or the initial learning to generate the specific model 142. (Step S102).
  • the specific model generation unit 153 does not perform the collection of the abnormality cause or the initial learning.
  • the specific model generation unit 153 may generate the specific model 142 only when the abnormality cause and the communication feature amount or the operation log are stored in the abnormality cause DB 143.
  • the detection model generation unit 151 performs collection or initial learning of the normal operation based on the communication feature amount or the operation log during the normal operation of the device, and generates the detection model 141 (Step S103).
  • the initial learning is a process of newly generating the detection model 141 or the specific model 142 based on the abnormality cause and the communication feature amount or the operation log stored in the normal data or the abnormality cause DB 143.
  • the re-learning includes the abnormality cause and the communication feature amount or the operation log stored in the abnormality cause DB 143, and the abnormality cause and the communication feature amount or the operation not stored at the time of the initial learning. This is processing for updating the specific model 142 based on the log.
  • FIG. 8 is a flowchart showing the flow of processing in the operation phase of the generation device according to the first embodiment.
  • the detection unit 152 acquires a communication feature amount or an operation log of the device 30 to be detected (step S201).
  • the detection unit 152 inputs the acquired communication feature amount or operation log to the detection model 141 (Step S202).
  • Step S201 when no abnormality is detected by the detection unit 152 (No at Step S202), the process returns to Step S201, and the detection unit 152 acquires the communication feature amount or the operation log of the device 30 to be detected next.
  • Step S202 when the detection unit 152 detects an abnormality (Step S202, Yes), the specifying unit 154 inputs the communication feature amount or the operation log of the device 30 to be detected to the specific model 142, and specifies the cause of the abnormality ( Step S203). Note that the process of identifying the cause of the abnormality will be described later with reference to FIG.
  • the output unit 13 outputs the communication feature amount or the operation log of the device 30 to be detected and the cause of the abnormality specified by the specifying unit 154 (Step S204). Then, the input unit 12 receives an input of the incident response result (Step S205).
  • step S206 If the cause of the abnormality identified by the identification unit 154 is the same as the cause of the abnormality in the incident response result (step S206, Yes), the process returns to step S201, and the detection unit 152 returns to the next device 30 to be detected.
  • the communication feature amount and the operation log are acquired (step S201).
  • the specific model generation unit 153 determines the abnormality cause of the incident response result as the communication characteristic of the device 30 to be detected. It is stored in the abnormality cause DB 143 together with the amount or the operation log (step S207).
  • the specific model generation unit 153 stores the cause of the abnormality and the communication feature from the cause DB of the abnormality.
  • the amount or the operation log is acquired, and the cause of the abnormality is collected or re-learned (step S209).
  • step S210 if the initial learning of the cause of the abnormality in the initial setting phase (step S102 in FIG. 7) has not been executed (No in step S208), the specific model generation unit 153 stores the cause of the abnormality and the communication feature amount or the operation log Are acquired, and the cause of the abnormality is collected or the initial learning is performed (step S210).
  • step S209 When the collection or re-learning (step S209) or the collection or the initial learning (step S210) of the cause of the abnormality is performed, the process returns to step S201, and the detection unit 152 determines the communication feature amount of the device 30 to be detected next. An operation log is obtained (step S201).
  • FIG. 9 is a flowchart illustrating a flow of a process of generating an incident pattern according to the first embodiment.
  • the specifying unit 154 specifies an individual cause of an abnormality of each communication feature using the specific model 142 (step S301). For example, the specifying unit 154 specifies the IDS signature shown in FIG.
  • the pattern generation unit 155 collects Row information from the information to be detected (Step S302), and generates an incident pattern (Step S303). Further, the determining unit 156 determines whether the incident pattern generated by the pattern generating unit 155 is the same as each of the incident patterns generated in the past (Step S304). Then, the specifying unit 154 specifies, as the cause of the abnormality, the incident pattern determined to be the same by the determining unit 156 (step S305).
  • the detection unit 152 of the generation device 10 detects an abnormality of the network 2 based on information having a plurality of items related to communication in the network 2.
  • the specifying unit 154 specifies the cause of the abnormality corresponding to each piece of information.
  • the pattern generation unit 155 generates an abnormality cause pattern for each predetermined set of information based on the value of the item included in the information and the abnormality cause identified by the identification unit 154.
  • the generation device 10 can generate an incident pattern for each predetermined set. As a result, according to the generation device 10, it is possible to efficiently specify the cause of the abnormality.
  • the incident pattern generated by the generation device 10 is useful for creating an incident response by the system administrator. For example, consider a case in which an incident pattern is not created, and an abnormal cause specified for each communication feature amount is provided to a system administrator. At this time, based on the provided cause of abnormality, the system administrator searches for a report that describes an incident response created in the past and describes a remedy. Here, if the provided abnormal causes include those which do not contribute to the duplication or the search, the system administrator cannot efficiently search the report.
  • a series of abnormal causes such as “C2 communication”, “login attempt”, “login attempt”, and “login attempt” are provided to the system administrator.
  • a series of abnormal causes such as “C2 communication”, “login attempt”, “login attempt”, and “login attempt” did not exist in the past, and a series of “C2 communication”, “login attempt”, and “login attempt” did not exist. It is assumed that only the cause of the abnormality exists. In this case, the system administrator cannot search for a complete match with the provided cause of abnormality.
  • all of the above-described series of causes of abnormality can be provided as the same incident pattern. As described above, the generation device 10 can support an incident response by the system administrator.
  • the pattern generation unit 155 is a pattern representing a combination of abnormal causes for each flow corresponding to the information, based on meta information generated from the value of the item of the information, and the number of flows corresponding to each abnormal cause is Generates a pattern that can express a plurality. Accordingly, the generation device 10 can generate an incident pattern in which the number of flows is abstracted. In particular, it is easy to compare and search for incident patterns having a common combination of abnormal causes and different numbers of flows.
  • the determination unit 156 refers to the storage unit that stores the pattern generated by the pattern generation unit 155.
  • the determination unit 156 determines the first pattern and the pattern stored in the storage unit. It is determined whether or not matches. Accordingly, the generation device 10 can notify the system administrator of the existence of the same incident pattern generated in the past, and thus can support an incident response.
  • the detection model generation unit 151 generates a detection model 141 for detecting an abnormality in the network 2 based on information on communication during normal operation of the network 2. Further, the specific model generation unit 153 generates a specific model 142 for specifying the cause of the abnormality of the network 2 based on the information regarding the communication of the network 2. Further, the detection unit 152 detects an abnormality of the network 2 using the detection model 141 based on the information of the detection target. When the detecting unit 152 detects an abnormality, the specifying unit 154 uses the specific model 142 to specify the cause of the abnormality corresponding to each piece of information to be detected. Further, the pattern generation unit 155 generates an abnormality cause pattern for each set of flow units of the information to be detected.
  • the generation device 10 can generate an incident pattern for each flow. As a result, the generation device 10 can provide an incident pattern that can be easily interpreted by the system administrator. Further, the generation device 10 can strengthen each model while generating an incident pattern.
  • the device configuration of the generation system 1 is not limited to that shown in FIG.
  • the generation system 1 includes a detection device having a function corresponding to the detection model generation unit 151 and the detection unit 152, and a generation device having a function corresponding to the specific model generation unit 153 and the specification unit 154. There may be. Further, the generation device 10 may directly acquire the communication feature amount or the operation log of the device 30 without passing through the gateway device 20.
  • the “communication feature amount or operation log” in the above description may be replaced with “communication feature amount”, “operation log”, or “communication feature amount and operation log”.
  • the detection model 141 may be generated from both the communication feature amount and the operation log.
  • the cause of abnormality and an operation log may be stored in the cause of abnormality DB 143.
  • the detection model generation unit 151 learns the operation log of the device 30 during normal operation, and generates the detection model 141 for detecting that the device 30 is in an abnormal state.
  • the specific model generation unit 153 collects or learns communication features for each cause of the abnormality of the device 30 and generates the specific model 142 for specifying the cause of the abnormality of the device 30.
  • the detection unit 152 detects that the device 30 is in an abnormal state based on the detection model 141 and the operation log acquired from the device 30.
  • the specifying unit 154 specifies the cause of the abnormality of the device 30 based on the specific model 142 and the communication feature amount acquired from the device 30.
  • each component of each device illustrated is a functional concept, and does not necessarily need to be physically configured as illustrated.
  • the specific form of distribution / integration of each device is not limited to the illustrated one, and all or a part thereof may be functionally or physically distributed / arbitrarily divided into arbitrary units in accordance with various loads and usage conditions. Can be integrated and configured.
  • all or any part of each processing function performed by each device can be realized by a CPU and a program analyzed and executed by the CPU, or can be realized as hardware by wired logic.
  • the generation device 10 can be implemented by installing a generation program that executes the above-described abnormality detection processing and abnormality identification processing as package software or online software in a desired computer.
  • the information processing apparatus can be made to function as the generation apparatus 10 by causing the information processing apparatus to execute the above generation program.
  • the information processing device referred to here includes a desktop or notebook personal computer.
  • the information processing apparatus includes server equipment, smartphones, mobile communication terminals such as mobile phones and PHS (Personal Handyphone System), and slate terminals such as PDA (Personal Digital Assistant). included.
  • the generation device 10 can also be implemented as a specific server device that provides a service relating to the above-described abnormality detection processing and abnormality identification processing to the client, using the terminal device used by the user as a client.
  • the specific server device is implemented as a server device that provides a specific service that receives a communication feature amount of an apparatus and an operation log and outputs whether or not the device is in an abnormal state and the cause of the abnormality in the case of the abnormal state.
  • the specific server device may be implemented as a Web server, or may be implemented as a cloud that provides services related to the above-described abnormality detection processing and abnormality identification processing by outsourcing.
  • FIG. 10 is a diagram illustrating an example of a computer that executes a generation program.
  • the computer 1000 has, for example, a memory 1010 and a CPU 1020. Further, the computer 1000 has a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores, for example, a boot program such as a BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090.
  • the disk drive interface 1040 is connected to the disk drive 1100.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100.
  • the serial port interface 1050 is connected to, for example, a mouse 1110 and a keyboard 1120.
  • the video adapter 1060 is connected to the display 1130, for example.
  • the hard disk drive 1090 stores, for example, the OS 1091, the application program 1092, the program module 1093, and the program data 1094. That is, a program that defines each process of the generation device 10 is implemented as a program module 1093 in which codes executable by a computer are described.
  • the program module 1093 is stored in, for example, the hard disk drive 1090.
  • a program module 1093 for executing the same processing as the functional configuration of the generation device 10 is stored in the hard disk drive 1090.
  • the hard disk drive 1090 may be replaced by an SSD.
  • the setting data used in the processing of the above-described embodiment is stored as the program data 1094 in the memory 1010 or the hard disk drive 1090, for example. Then, the CPU 1020 reads the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1090 to the RAM 1012 as necessary, and executes the processing of the above-described embodiment.
  • the program module 1093 and the program data 1094 are not limited to being stored in the hard disk drive 1090, but may be stored in, for example, a removable storage medium and read by the CPU 1020 via the disk drive 1100 or the like. Alternatively, the program module 1093 and the program data 1094 may be stored in another computer connected via a network (LAN, Wide Area Network (WAN), or the like). Then, the program module 1093 and the program data 1094 may be read from another computer by the CPU 1020 via the network interface 1070.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Debugging And Monitoring (AREA)

Abstract

生成装置（１０）の検知部（１５２）は、ネットワークにおける通信に関する複数の項目を持つ情報を基に、ネットワークの異常を検知する。また、特定部（１５４）は、検知部（１５２）によって異常が検知された場合、情報のそれぞれに対応する異常原因を特定する。また、パターン生成部（１５５）は、情報が持つ項目の値と、特定部（１５４）によって特定された異常原因とを基に、情報の所定の集合ごとの異常原因のパターンを生成する。

Description

生成装置、生成方法及び生成プログラム
　本発明は、生成装置、生成方法及び生成プログラムに関する。
　ＰＣ（Personal　Computer）等の機器におけるマルウェア感染等による異常を検知する方法として、機器の挙動パターンと既知の異常パターンを比較して異常を検知するブラックリスト方式と、機器の挙動パターンと正常状態の挙動パターンを比較して異常を検知するホワイトリスト方式とが従来から実用化されている。
　また、システム負荷情報を基に異常判定を行い、異常が発生した機器で実行されている機能を特定しブラックリストに登録する一方、異常が発生していない機器で実行されている機能をホワイトリストに登録する技術が知られている。
特開２０１７－８４２９６号公報
　しかしながら、従来の技術には、異常原因の特定を効率的に行うことができない場合があるという問題がある。例えば、ブラックリスト方式では予め異常パターンが定められているため、定められた異常パターンと合致した場合に異常原因を特定可能であるが、未知マルウェア等による異常の検知は困難である。一方、ホワイトリスト方式では正常状態と合致しない挙動パターンは全て異常として検知可能であるが、異常原因の特定は困難である。
　また、異常が発生した機器で実行されている機能を特定しブラックリストに登録し、異常が発生していない機器で実行されている機能をホワイトリストに登録する技術では、異常動作をしている機能を特定できるに過ぎず、異常原因を特定することは困難である。
　上述した課題を解決し、目的を達成するために、本発明の生成装置は、ネットワークにおける通信に関する複数の項目を持つ情報を基に、前記ネットワークの異常を検知する検知部と、前記検知部によって異常が検知された場合、前記情報のそれぞれに対応する異常原因を特定する特定部と、前記情報が持つ項目の値と、前記特定部によって特定された異常原因とを基に、前記情報の所定の集合ごとの異常原因のパターンを生成するパターン生成部と、を有することを特徴とする。
　本発明によれば、異常原因の特定を効率的に行うことができる。
図１は、第１の実施形態に係る生成システムの構成の一例を示す図である。 図２は、第１の実施形態に係る生成装置の構成の一例を示す図である。 図３は、第１の実施形態に係るＲｏｗ情報の一例を示す図である。 図４は、第１の実施形態に係るインシデントパターンの生成について説明するための図である。 図５は、第１の実施形態に係るインシデントパターンの判定について説明するための図である。 図６は、第１の実施形態に係るインシデントパターンの要素の一例を示す図である。 図７は、第１の実施形態に係る生成装置の初期設定フェーズにおける処理の流れを示すフローチャートである。 図８は、第１の実施形態に係る生成装置の運用フェーズにおける処理の流れを示すフローチャートである。 図９は、第１の実施形態に係るインシデントパターンを生成する処理の流れを示すフローチャートである。 図１０は、生成プログラムを実行するコンピュータの一例を示す図である。
　以下に、本願に係る生成装置、生成方法及び生成プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
［第１の実施形態の構成］
　まず、図１を用いて、第１の実施形態に係る生成システムの構成について説明する。図１は、第１の実施形態に係る生成システムの構成の一例を示す図である。図１に示すように、生成システム１は、生成装置１０、ゲートウェイ装置２０及び機器３０を有する。また、生成装置１０及びゲートウェイ装置２０は、ネットワーク２を介して通信可能に接続されている。また、機器３０は、ゲートウェイ装置２０と通信可能に接続されている。
　例えば、機器３０は、ＰＣ、スマートフォン等の端末装置である。ネットワーク２は、例えばインターネットである。また、ゲートウェイ装置２０は、機器３０と同一のＬＡＮ（Local　Area　Network）に接続され、機器３０によって行われた通信の通信ログ又は機器３０の動作ログをキャプチャする。また、生成装置１０は、ネットワーク２における通信に関する情報を取得し、異常の検知及び異常原因の特定を行う。以降の説明では、通信に関する情報を通信特徴量と表記する場合がある。
　生成装置１０が取得する通信特徴量には、例えば、通信におけるデータの送信元又は宛先のアドレス及びポート番号が含まれる。また、通信特徴量には、通信の継続時間及びバイト数が含まれていてもよい。
　図２を用いて、第１の実施形態に係る生成装置の構成について説明する。図２は、第１の実施形態に係る生成装置の構成の一例を示す図である。図２に示すように、生成装置１０は、通信部１１、入力部１２、出力部１３、記憶部１４及び制御部１５を有する。
　通信部１１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部１１はＮＩＣ（Network　Interface　Card）である。入力部１２は、ユーザからのデータの入力を受け付ける。入力部１２は、例えば、マウスやキーボード等の入力装置である。出力部１３は、画面の表示等により、データを出力する。出力部１３は、例えば、ディスプレイ等の表示装置である。
　また、入力部１２及び出力部１３は、それぞれ、入力インタフェース及び出力インタフェースであってもよい。例えば、入力部１２及び出力部１３は、生成装置１０に接続された他の装置及びメモリカードやＵＳＢ（Universal　Serial　Bus）メモリ等のメディアとの間でデータの入力及び出力を行う。また、入力部１２は、通信部１１が受信したデータを入力データとして受け付けてもよい。また、出力部１３は、通信部１１に対してデータを出力してもよい。
　記憶部１４は、ＨＤＤ（Hard　Disk　Drive）、ＳＳＤ（Solid　State　Drive）、光ディスク等の記憶装置である。なお、記憶部１４は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non　Volatile　Static　Random　Access　Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１４は、生成装置１０で実行されるＯＳ（Operating　System）や各種プログラムを記憶する。さらに、記憶部１４は、プログラムの実行で用いられる各種情報を記憶する。また、記憶部１４は、検知モデル１４１、特定モデル１４２及び異常原因ＤＢ１４３を記憶する。
　検知モデル１４１は、ネットワーク２の異常を検知するためのモデルである。検知モデル１４１は、機器３０が異常状態であることを検知するためのモデルであってもよい。例えば、検知モデル１４１は、セキュリティ製品（ＩＰＳ（Intrusion　Prevention　System），ＩＤＳ（Intrusion　Detection　and　Prevention），ＷＡＦ（Web　Application　Firewall）等）のシグネチャを利用して検知することや、通信特徴量からアノマリスコアを計算する関数及びパラメータを含む。
　特定モデル１４２は、機器３０の異常原因を特定するためのモデルである。例えば、セキュリティ製品（ＩＰＳ，ＩＤＳ，ＷＡＦ等）のシグネチャや、異常原因及び異常原因を特定するための通信特徴量が記載された機械学習の学習済みのモデルである。
　異常原因ＤＢ１４３は、異常原因を特定するための情報を記憶する。異常原因ＤＢ１４３は、特定モデル１４２による異常原因の特定に用いられるデータ及び後述するインシデントパターンを記憶する。
　例えば、異常原因ＤＢ１４３は、図３に示すＲｏｗ情報を含む情報を記憶する。図３は、第１の実施形態に係るＲｏｗ情報の一例を示す図である。図３に示すように、Ｒｏｗ情報には、発アドレス、着アドレス、発ポート、着ポート、継続時間、プロトコル、登りバイト数、下りバイト数、通信タイプが含まれる。例えば、Ｒｏｗ情報は、通信特徴量に含まれるデータそのものである。なお、Ｒｏｗ情報は、ネットワーク２における通信に関する複数の項目を持つ情報の一例である。
　また、異常原因ＤＢ１４３は、Ｒｏｗ情報のそれぞれに対応する異常原因であるＩＤＳシグネチャを記憶する。ＩＤＳシグネチャは、生成装置１０が、特定モデル１４２を用いてＲｏｗ情報を基に生成したものであってもよいし、他の装置等から取得したものであってもよい。例えば、ＩＤＳシグネチャは、ＩＰアドレスがインターナルネットワークのものであるか外部のものであるかを、構成管理情報を基に特定した情報である。また、例えば、ＩＤＳシグネチャは、脅威のあるＩＰアドレスを記したブラックリストＤＢから取得した情報である。
　さらに、異常原因ＤＢ１４３は、環境の変化等で変化しない項目の値から生成されたメタ情報を記憶する。例えば、同じマルウェアが複数のサイトに感染する場合を考える。このとき、感染の拡大又はマルウェアの駆除等の影響で、感染端末があるローカルの情報は変化することが考えられる。一方で、同じマルウェアであれば、アクセスする先は頻繁には変化しないことが考えられる。例えば、図３の（２）、（３）及び（４）では、感染した端末11．11．11．1から11．11．11．2～4へのログインが試行されている。このような場合、感染した端末のＩＰアドレスや、ログインを試みる端末はマルウェアの入り込んだ環境に依存しており、同じでないことが多い。一方で、（７）及び（８）では、感染した端末は、端末99．99．99．3からマルウェアをダウンロードしている。このような場合、感染した端末は環境依存だが、マルウェアのダウンロード先のＵＲＬやＩＰアドレスは同じアドレスになることが多い。このように、アドレスの分類によって、ＩＰアドレス自体に意味があるかが変化することが知られている。
　また、異常原因ＤＢ１４３は、フロー単位のインシデントパターンを記憶する。ここで、図３の（１）～（１０）をフロー単位のＲｏｗ情報であるとする。このとき、例えば、異常原因ＤＢ１４３は、（１）～（１０）のＲｏｗ情報に対応して一意に生成されるインシデントパターンを記憶する。なお、インシデントパターンは、後述するパターン生成部１５５によって生成される。
　制御部１５は、生成装置１０全体を制御する。制御部１５は、例えば、ＣＰＵ（Central　Processing　Unit）、ＧＰＵ（Graphics　Processing　Unit）、ＴＰＵ（Tensor　Processing　Unit）、ＭＰＵ（Micro　Processing　Unit）等の電子回路や、ＡＳＩＣ（Application　Specific　Integrated　Circuit）、ＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路である。また、制御部１５は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１５は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１５は、検知モデル生成部１５１、検知部１５２、特定モデル生成部１５３、特定部１５４、パターン生成部１５５及び判定部１５６を有する。
　検知モデル生成部１５１は、ネットワーク２の正常動作時の通信に関する情報を基に、ネットワーク２の異常を検知するための検知モデル１４１を生成する。例えば、検知モデル生成部１５１は、検知モデル１４１が、入力された検知対象のデータと正常データとが類似していないほど高いアノマリスコアを出力するように学習を行う。
　検知部１５２は、ネットワーク２における通信に関する複数の項目を持つ情報を基に、ネットワーク２の異常を検知する。例えば、検知部１５２は、検知対象の情報を基に、検知モデル１４１を用いてネットワーク２の異常を検知する。ここで、検知対象の情報は、Ｒｏｗ情報であってもよい。
　例えば、検知部１５２は、検知対象の情報を検知モデル１４１に入力し、検知モデル１４１によって出力されたアノマリスコアが閾値以上である場合、ネットワーク２の異常を検知する。また、検知モデル１４１がシグネチャである場合は、検知部１５２は、シグネチャマッチングにより異常を検知することができる。また、図３に示すように、検知部１５２は、異常を検知した際のメタ情報を、ＩＤＳシグネチャとして異常原因ＤＢ１４３に格納する。例えば、前述のセキュリティ製品又は検知モデル１４１は、フローごとに、検知した異常を分類することができる。検知部１５２は、そのような分類をＩＤＳシグネチャとすることができる。
　特定モデル生成部１５３は、ネットワーク２の通信に関する情報を基に、ネットワーク２の異常原因を特定するための特定モデル１４２を生成する。例えば、特定モデル生成部１５３は、異常原因ＤＢ１４３を基に、特定モデル１４２が、入力された通信特徴量と類似する通信特徴量に対応付けられた異常原因を出力するように学習を行う。
　特定部１５４は、検知部１５２によって異常が検知された場合、情報のそれぞれに対応する異常原因を特定する。例えば、特定部１５４は、検知部１５２によって異常が検知された場合、特定モデル１４２を用いて、検知対象の情報のそれぞれに対応する異常原因を特定する。例えば、特定部１５４は、検知部１５２によって異常が検知された場合、検知対象の情報を特定モデル１４２に入力し、特定モデル１４２によって出力された異常原因を取得する。また、特定モデル１４２がシグネチャである場合は、特定部１５４は、シグネチャマッチングにより異常原因を特定することができる。
　パターン生成部１５５は、通信特徴量が持つ項目の値と、特定部１５４によって特定された異常原因とを基に、通信特徴量の所定の集合ごとの異常原因のパターンを生成する。このとき、パターン生成部１５５は、情報が持つ項目の値から生成されたメタ情報を基にパターンを生成してもよい。また、パターン生成部１５５は、検知対象の情報のフロー単位の集合ごとの異常原因のパターンを生成することができる。以降の説明では、パターン生成部１５５によって生成されるパターンをインシデントパターンと表記する場合がある。
　ここで、図４を用いて、インシデントパターンの生成について説明する。図４は、第１の実施形態に係るインシデントパターンの生成について説明するための図である。図４は、フローに含まれる通信の内容を模式的に表したものである。
　図４の（１）は、機器３０が、Ｃ２サーバであるＣ２－１に対してｈｔｔｐによる通信を行ったことを示している。また、（２）～（４）は、機器３０のうちの１つが、他の機器３０に対してｔｅｌｎｅｔによるログインの試みを行ったことを示している。また、（５）及び（６）は、機器３０が、Ｃ２サーバであるＣ２－２との間でｔｅｌｎｅｔによる通信を行ったことを示している。また、（７）及び（８）は、機器３０が、マルウェア配信サイトを提供する配布サーバとの間でｈｔｔｐによる通信を行ったことを示している。また、（９）及び（１０）は、機器３０が、一般ＷｅｂサーバであるＴａｅｇｅｔとの間でｈｔｔｐによる通信を行ったことを示している。
　ここで、検知部１５２が、図４に示すフローに含まれる通信が行われた際の通信特徴量を基に異常を検知したものとする。このとき、特定部１５４は、（１）～（１０）の通信に対応する通信特徴量のそれぞれについて、異常原因を特定する。
　そして、図３に示すように、パターン生成部１５５は、通信特徴量及び特定された異常原因を収集し、Ｒｏｗ情報及びＩＤＳシグネチャとして異常原因ＤＢ１４３に格納する。さらに、パターン生成部１５５は、所定の情報を基にメタ情報を生成する。
　ここで、例えば、図３の（１）のＩＤＳシグネチャ、発アドレス分類及び着アドレス分類は、それぞれ「Ｃ２通信」、「網内アドレス」及び「Ｃ２サーバ」である。また、（２）及び（３）のＩＤＳシグネチャ、発アドレス分類及び着アドレス分類は、それぞれ「ログイン試行／成功」、「網内アドレス」及び「網内アドレス」である。また、（４）のＩＤＳシグネチャ、発アドレス分類及び着アドレス分類は、それぞれ「ログイン試行／失敗」、「網内アドレス」及び「網内アドレス」である。これにより、パターン生成部１５５は、（１）～（４）を、Ｃ２サーバの指示によるスキャン（Ｃ２－Ｓｃａｎ）によるものと判定する。
　同様に、パターン生成部１５５は、（５）～（８）を、Ｃ２サーバの指示によるダウンロード（Ｃ２－Ｄｏｗｎｌｏａｄ）によるものと判定する。また、パターン生成部１５５は、（９）及び（１０）を、Ｃ２サーバの指示によるＤｏｓ攻撃（Ｃ２－Ｄｏｓ）によるものと判定する。
　パターン生成部１５５は、情報が持つ項目の値から生成されたメタ情報を基に、情報に対応するフローごとの異常原因の組み合わせを表すパターンであって、各異常原因に対応するフローの数が複数であることを表現可能なパターンを生成する。例えば、パターン生成部１５５は、「Ｃ２－Ｓｃａｎ＊　Ｃ２－Ｄｏｗｎｌｏａｄ　Ｃ２－Ｄｏｓ＊」というインシデントパターンを生成する。
　ここで、「＊」は、複数のフローが存在することを示している。例えば、Ｃ２によるスキャンでは、スキャンするポート数やネットワークに存在する機器の台数によりフローが変化することがある。また、ＤｏＳ攻撃では、発生するＨＴＴＰフローの数は、機器の性能等により一定ではない。このため、インシデントパターンにおいてフローの数を限定してしまうと、同様のインシデントパターンが存在したとしても、フローの数の違いにより比較及び検索ができないことが考えられる。そこで、パターン生成部１５５は、インシデントパターンの比較及び検索を容易にするため、複数のフローを束ね抽象化したインシデントパターンを生成する。なお、「Ｃ２－Ｓｃａｎ＊　Ｃ２－Ｄｏｗｎｌｏａｄ　Ｃ２－Ｄｏｓ＊」は、「複数の送信元からのスキャンが発生した後、Ｃ２サーバからのダウンロードが行われ、複数の送信元からのＤｏｓ攻撃が始まった」ということを意味している。なお、「＊」は、１を含む任意の数のフローが存在することを示すものであってもよい。
　判定部１５６は、パターン生成部１５５によって生成されたパターンを記憶する記憶部１４を参照し、パターン生成部１５５が第１のパターンを生成した場合、第１のパターンと記憶部１４に記憶されたパターンとが一致するか否かを判定する。つまり、判定部１５６は、パターン生成部１５５によって新たに生成されたインシデントパターンが、過去に生成されたインシデントパターンと一致するか否かを判定することができる。
　図５は、第１の実施形態に係るインシデントパターンの判定について説明するための図である。図５の（１１）は、機器３０が、Ｃ２サーバであるＣ２－３に対してｈｔｔｐによる通信を行ったことを示している。また、（１２）は、機器３０のうちの１つが、他の機器３０に対してｔｅｌｎｅｔによるログインの試みを行ったことを示している。また、（１３）は、機器３０が、Ｃ２サーバであるＣ２－４との間でｔｅｌｎｅｔによる通信を行ったことを示している。また、（１４）は、機器３０が、マルウェア配信サイトを提供するＷｅｂｓｅｒｖｅｒ２との間でｈｔｔｐによる通信を行ったことを示している。また、（１６）は、機器３０が、一般ＷｅｂサーバであるＴａｅｇｅｔ２との間でｈｔｔｐによる通信を行ったことを示している。
　図４と図５を比較すると、ログインを試みられた機器３０の数、Ｃ２サーバやマルウェア配信サイトを提供するサーバが異なる。一方で、「任意の送信元からのスキャンが発生した」こと、「Ｃ２サーバからのダウンロードが行われた」こと等は共通している。このため、パターン生成部１５５は、図５の例からも、図４の例からと同様に、「Ｃ２－Ｓｃａｎ＊　Ｃ２－Ｄｏｗｎｌｏａｄ　Ｃ２－Ｄｏｓ＊」というインシデントパターンを生成する。このため、判定部１５６は、図５の例から生成されたインシデントパターンが、過去に図４の例から生成されたインシデントパターンと一致するものであると判定することができる。
　ここで、パターン生成部１５５は、図６に示すような情報を参照することで、「Ｃ２－Ｓｃａｎ」、「Ｃ２－Ｄｏｗｎｌｏａｄ」、「Ｃ２－Ｄｏｓ」といったインシデントパターンの要素を判定することができる。図６は、第１の実施形態に係るインシデントパターンの要素の一例を示す図である。例えば、図６の（ｂ）は、「Ｃ２－Ｓｃａｎ＊」というパターンが、Ｃ２との通信後に複数回のＳｃａｎが発生するものであることを示している。また、図６の（ｃ）は、「Ｃ２－Ｕｐｌｏａｄ」というパターンが、Ｃ２との通信後にＵｐｌｏａｄが発生するものであることを示している。
　また、出力部１３は、検知対象の通信特徴量及び異常原因を出力する。このとき、出力部１３は、パターン生成部１５５によって生成されたインシデントパターンを異常原因に含めて出力する。ここで、出力部１３によって出力された情報に対しては、インシデントレスポンスが行われる。例えば、インシデントレスポンスは、システムの管理者が出力部１３によって出力された情報を参考に、異常原因を特定することである。そして、入力部１２は、インシデントレスポンスによって特定された異常原因の入力を受け付ける。インシデントレスポンスによって特定される異常原因は、インシデントパターンと同様のデータ形式で表されていてもよい。
　ここで、生成装置１０が特定した異常原因と、インシデントレスポンスによって特定された異常原因とが同一である場合と同一でない場合とが考えられる。このとき、生成装置１０は、インシデントレスポンスによって特定された異常原因を優先して異常原因ＤＢ１４３に格納する。
　そして、特定モデル生成部１５３は、さらに特定モデル１４２の生成を行う。これにより、生成装置１０は、インシデントレスポンスの結果を特定モデル１４２に反映させることができる。
［第１の実施形態の処理］
　図７及び８を用いて、生成装置１０の処理の流れを説明する。生成装置１０の処理は、大きく初期設定フェーズと運用フェーズに分けられる。初期設定フェーズにおいて、生成装置１０は、主に収集又は初期学習を行う。また、運用フェーズにおいて、生成装置１０は、主に機器の異常検知及び異常原因の特定を行う。また、検知モデル１４１及び特定モデル１４２は、通信特徴量だけでなく、機器３０の動作ログを用いた異常の検知及び異常原因の特定を行うことができるものとする。また、動作ログは、通信特徴量と同様に異常原因ＤＢ１４３に記憶されるものとする。
　図７は、第１の実施形態に係る生成装置の初期設定フェーズにおける処理の流れを示すフローチャートである。図８に示すように、まず、特定モデル生成部１５３は、異常原因ＤＢ１４３に異常原因の通信特徴量又は動作ログが存在するか否かを確認する（ステップＳ１０１）。
　ここで、異常原因ＤＢ１４３に異常原因の通信特徴量又は動作ログが存在する場合（ステップＳ１０１、Ｙｅｓ）、特定モデル生成部１５３は、異常原因の収集又は初期学習を行い、特定モデル１４２を生成する（ステップＳ１０２）。一方、異常原因ＤＢ１４３に異常原因の通信特徴量又は動作ログが存在しない場合（ステップＳ１０１、Ｎｏ）、特定モデル生成部１５３は、異常原因の収集又は初期学習を行わない。このように、特定モデル生成部１５３は、異常原因ＤＢ１４３に異常原因と通信特徴量又は動作ログとが記憶されている場合にのみ特定モデル１４２を生成することとしてもよい。
　次に、検知モデル生成部１５１は、機器の正常動作時の通信特徴量又は動作ログを基に、正常動作の収集又は初期学習を行い、検知モデル１４１を生成する（ステップＳ１０３）。なお、例えば、初期学習は、正常データ又は異常原因ＤＢ１４３に記憶された異常原因と通信特徴量又は動作ログとを基に、検知モデル１４１又は特定モデル１４２を新規生成する処理である。これに対して、例えば、再学習は、異常原因ＤＢ１４３に記憶された異常原因と通信特徴量又は動作ログとであって、初期学習の際に記憶されていなかった異常原因と通信特徴量又は動作ログとを基に、特定モデル１４２を更新する処理である。
　図８は、第１の実施形態に係る生成装置の運用フェーズにおける処理の流れを示すフローチャートである。図８に示すように、まず、検知部１５２は、検知対象の機器３０の通信特徴量又は動作ログを取得する（ステップＳ２０１）。次に、検知部１５２は、取得した通信特徴量又は動作ログを検知モデル１４１に入力する（ステップＳ２０２）。ここで、検知部１５２によって異常が検知されなかった場合（ステップＳ２０２、Ｎｏ）、処理がステップＳ２０１に戻され、検知部１５２は、次の検知対象の機器３０の通信特徴量又は動作ログを取得する（ステップＳ２０１）。
　一方、検知部１５２によって異常が検知された場合（ステップＳ２０２、Ｙｅｓ）、特定部１５４は、検知対象の機器３０の通信特徴量又は動作ログを特定モデル１４２に入力し、異常原因を特定する（ステップＳ２０３）。なお、異常原因の特定処理については、後に図９を用いて説明する。
　そして、出力部１３は、検知対象の機器３０の通信特徴量又は動作ログと特定部１５４によって特定された異常原因を出力する（ステップＳ２０４）。そして、入力部１２は、インシデントレスポンス結果の入力を受け付ける（ステップＳ２０５）。
　ここで、特定部１５４が特定した異常原因とインシデントレスポンス結果の異常原因が同一である場合（ステップＳ２０６、Ｙｅｓ）、処理がステップＳ２０１に戻され、検知部１５２は、次の検知対象の機器３０の通信特徴量及び動作ログを取得する（ステップＳ２０１）。
　一方、特定部１５４が特定した異常原因とインシデントレスポンス結果の異常原因が同一でない場合（ステップＳ２０６、Ｎｏ）、特定モデル生成部１５３は、インシデントレスポンス結果の異常原因を検知対象の機器３０の通信特徴量又は動作ログとともに異常原因ＤＢ１４３に格納する（ステップＳ２０７）。
　ここで、初期設定フェーズにおける異常原因の収集又は初期学習（図７のステップＳ１０２）が実行済みである場合（ステップＳ２０８、Ｙｅｓ）、特定モデル生成部１５３は、異常原因ＤＢ１４３から異常原因と通信特徴量又は動作ログとを取得し、異常原因の収集又は再学習を行う（ステップＳ２０９）。
　一方、初期設定フェーズにおける異常原因の初期学習（図７のステップＳ１０２）が実行済みでない場合（ステップＳ２０８、Ｎｏ）、特定モデル生成部１５３は、異常原因ＤＢ１４３から異常原因と通信特徴量又は動作ログとを取得し、異常原因の収集又は初期学習を行う（ステップＳ２１０）。
　異常原因の収集又は再学習（ステップＳ２０９）もしくは収集又は初期学習（ステップＳ２１０）が行われると、処理がステップＳ２０１に戻され、検知部１５２は、次の検知対象の機器３０の通信特徴量又は動作ログを取得する（ステップＳ２０１）。
　図９を用いて、異常原因を特定する処理（図８のステップＳ２０３）について説明する。ここでは、生成装置１０は、異常原因として、各通信特徴量の個別の異常原因と、インシデントパターンとを特定するものとする。図９は、第１の実施形態に係るインシデントパターンを生成する処理の流れを示すフローチャートである。
　図９に示すように、まず、特定部１５４は、特定モデル１４２を用いて、各通信特徴量の個別の異常原因を特定する（ステップＳ３０１）。例えば、特定部１５４は、図３に示すＩＤＳシグネチャを特定する。
　次に、パターン生成部１５５は、検知対象の情報からＲｏｗ情報を収集し（ステップＳ３０２）、インシデントパターンを生成する（ステップＳ３０３）。さらに、判定部１５６は、パターン生成部１５５によって生成されたインシデントパターンが、過去に生成されたインシデントパターンのそれぞれと同一であるか否かを判定する（ステップＳ３０４）。そして、特定部１５４は、判定部１５６によって同一であると判定されたインシデントパターンを、異常原因として特定する（ステップＳ３０５）。
［第１の実施形態の効果］
　生成装置１０の検知部１５２は、ネットワーク２における通信に関する複数の項目を持つ情報を基に、ネットワーク２の異常を検知する。また、特定部１５４は、検知部１５２によって異常が検知された場合、情報のそれぞれに対応する異常原因を特定する。また、パターン生成部１５５は、情報が持つ項目の値と、特定部１５４によって特定された異常原因とを基に、情報の所定の集合ごとの異常原因のパターンを生成する。このように、生成装置１０は、異常が検知された場合、所定の集合ごとのインシデントパターンを生成することができる。この結果、生成装置１０によれば、異常原因の特定を効率的に行うことが可能になる。
　例えば、生成装置１０によって生成されたインシデントパターンは、システム管理者によるインシデントレスポンスの作成に役立つ。例えば、インシデントパターンが作成されず、通信特徴量ごとに特定された異常原因がシステム管理者に提供される場合を考える。このとき、システム管理者は、提供された異常原因を基に、過去に作成されたインシデントレスポンスの説明や対処法が記載されたレポートを検索する。ここで、提供された異常原因に、重複や検索に寄与しないものが含まれている場合、システム管理者はレポートの検索を効率的に行うことができない。
　例えば、図３の（１）～（４）のＩＤＳシグネチャに基づいて、「Ｃ２通信」、「ログイン試行」、「ログイン試行」、「ログイン試行」という一連の異常原因がシステム管理者に提供されたとする。このとき、過去に「Ｃ２通信」、「ログイン試行」、「ログイン試行」、「ログイン試行」という一連の異常原因が存在せず、「Ｃ２通信」、「ログイン試行」、「ログイン試行」という一連の異常原因のみが存在していたとする。この場合、システム管理者は、提供された一連の異常原因に完全一致するものを検索することができない。一方、生成装置１０によれば、前述の一連の異常原因をいずれも同一のインシデントパターンとして提供することができる。このように、生成装置１０は、システム管理者によるインシデントレスポンスを支援することができる。
　パターン生成部１５５は、情報が持つ項目の値から生成されたメタ情報を基に、情報に対応するフローごとの異常原因の組み合わせを表すパターンであって、各異常原因に対応するフローの数が複数であることを表現可能なパターンを生成する。これにより、生成装置１０は、フローの数が抽象化されたインシデントパターンを生成することができる。特に、異常原因の組み合わせが共通していて、フローの数が異なるインシデントパターン同士の比較及び検索が容易になる。
　判定部１５６は、パターン生成部１５５によって生成されたパターンを記憶する記憶部を参照し、パターン生成部１５５が第１のパターンを生成した場合、第１のパターンと記憶部に記憶されたパターンとが一致するか否かを判定する。これにより、生成装置１０は、過去に生成した同一のインシデントパターンの存在をシステム管理者に通知することができるため、インシデントレスポンスを支援することができる。
　検知モデル生成部１５１は、ネットワーク２の正常動作時の通信に関する情報を基に、ネットワーク２の異常を検知するための検知モデル１４１を生成する。また、特定モデル生成部１５３は、ネットワーク２の通信に関する情報を基に、ネットワーク２の異常原因を特定するための特定モデル１４２を生成する。また、検知部１５２は、検知対象の情報を基に、検知モデル１４１を用いてネットワーク２の異常を検知する。また、特定部１５４は、検知部１５２によって異常が検知された場合、特定モデル１４２を用いて、検知対象の情報のそれぞれに対応する異常原因を特定する。また、パターン生成部１５５は、検知対象の情報のフロー単位の集合ごとの異常原因のパターンを生成する。このように、生成装置１０は、異常が検知された場合、フロー単位でインシデントパターンを生成することができる。この結果、生成装置１０は、システム管理者が解釈しやすいインシデントパターンを提供することができる。また、生成装置１０は、インシデントパターンを生成しつつ、各モデルを強化していくことができる。
［その他の実施形態］
　生成システム１の装置構成は、図１のものに限られない。例えば、生成システム１は、検知モデル生成部１５１及び検知部１５２に相当する機能を備えた検知装置と、特定モデル生成部１５３及び特定部１５４に相当する機能を備えた生成装置とを有するものであってもよい。また、生成装置１０は、ゲートウェイ装置２０を経由せずに、直接機器３０の通信特徴量又は動作ログを取得してもよい。
　また、これまでの説明における「通信特徴量又は動作ログ」は、「通信特徴量」、「動作ログ」又は「通信特徴量及び動作ログ」に置き換えてもよい。例えば、検知モデル１４１は、通信特徴量及び動作ログの両方から生成されたものであってもよい。また、例えば、異常原因ＤＢ１４３には、異常原因と動作ログが記憶されていてもよい。
　例えば、検知モデル生成部１５１は、機器３０の正常動作時の動作ログを学習し、機器３０が異常状態であることを検知するための検知モデル１４１を生成する。特定モデル生成部１５３は、機器３０の異常原因ごとの通信特徴量を収集又は学習し、機器３０の異常原因を特定するための特定モデル１４２を生成する。検知部１５２は、検知モデル１４１と機器３０から取得した動作ログとを基に、機器３０が異常状態であることを検知する。特定部１５４は、検知部１５２によって機器３０が異常状態であることが検知された場合、特定モデル１４２と機器３０から取得した通信特徴量とを基に、機器３０の異常原因を特定する。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　一実施形態として、生成装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の異常検知処理及び異常原因の特定処理を実行する生成プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の生成プログラムを情報処理装置に実行させることにより、情報処理装置を生成装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはサーバ機器、スマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。
　また、生成装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の異常検知処理及び異常原因の特定処理に関するサービスを提供する特定サーバ装置として実装することもできる。例えば、特定サーバ装置は、機器の通信特徴量及び動作ログを入力とし、異常状態であるか否か及び異常状態であった場合の異常原因を出力とする特定サービスを提供するサーバ装置として実装される。この場合、特定サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の異常検知処理及び異常原因の特定処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。
　図１０は、生成プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、生成装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、生成装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１　生成システム
　２　ネットワーク
　１０　生成装置
　１１　通信部
　１２　入力部
　１３　出力部
　１４　記憶部
　１５　制御部
　２０　ゲートウェイ装置
　３０　機器
　１４１　検知モデル
　１４２　特定モデル
　１４３　異常原因ＤＢ
　１５１　検知モデル生成部
　１５２　検知部
　１５３　特定モデル生成部
　１５４　特定部
　１５５　パターン生成部
　１５６　判定部

Claims (6)

  1. 　ネットワークにおける通信に関する複数の項目を持つ情報を基に、前記ネットワークの異常を検知する検知部と、
    　前記検知部によって異常が検知された場合、前記情報のそれぞれに対応する異常原因を特定する特定部と、
    　前記情報が持つ項目の値と、前記特定部によって特定された異常原因とを基に、前記情報の所定の集合ごとの異常原因のパターンを生成するパターン生成部と、
    　を有することを特徴とする生成装置。
  2. 　前記パターン生成部は、前記情報が持つ項目の値から生成されたメタ情報を基に、前記情報に対応するフローごとの異常原因の組み合わせを表すパターンであって、各異常原因に対応するフローの数が複数であることを表現可能なパターンを生成することを特徴とする請求項１に記載の生成装置。
  3. 　前記パターン生成部によって生成されたパターンを記憶する記憶部を参照し、前記パターン生成部が第１のパターンを生成した場合、前記第１のパターンと前記記憶部に記憶されたパターンとが一致するか否かを判定する判定部をさらに有することを特徴とする請求項１に記載の生成装置。
  4. 　ネットワークの正常動作時の通信に関する情報を基に、前記ネットワークの異常を検知するための検知モデルを生成する検知モデル生成部と、
    　前記ネットワークの通信に関する情報を基に、前記ネットワークの異常原因を特定するための特定モデルを生成する特定モデル生成部と、
    　をさらに有し、
    　前記検知部は、検知対象の情報を基に、前記検知モデルを用いて前記ネットワークの異常を検知し、
    　前記特定部は、前記検知部によって異常が検知された場合、前記特定モデルを用いて、前記検知対象の情報のそれぞれに対応する異常原因を特定し、
    　前記パターン生成部は、前記検知対象の情報のフロー単位の集合ごとの異常原因のパターンを生成することを特徴とする請求項１に記載の生成装置。
  5. 　コンピュータによって実行される生成方法であって、
    　ネットワークにおける通信に関する複数の項目を持つ情報を基に、前記ネットワークの異常を検知する検知工程と、
    　前記検知工程によって異常が検知された場合、前記情報のそれぞれに対応する異常原因を特定する特定工程と、
    　前記情報が持つ項目の値と、前記特定工程によって特定された異常原因とを基に、前記情報の所定の集合ごとの異常原因のパターンを生成するパターン生成工程と、
    　を含むことを特徴とする生成方法。
  6. 　コンピュータを、請求項１から４のいずれか１項に記載の生成装置として機能させるための生成プログラム。
PCT/JP2019/026239 2018-07-02 2019-07-02 生成装置、生成方法及び生成プログラム Ceased WO2020009094A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201980044171.5A CN112352402B (zh) 2018-07-02 2019-07-02 生成装置、生成方法和记录介质
EP19831469.2A EP3799367B1 (en) 2018-07-02 2019-07-02 Generation device, generation method, and generation program
US17/254,875 US11985151B2 (en) 2018-07-02 2019-07-02 Generation device, generation method, and generation program
AU2019298538A AU2019298538B2 (en) 2018-07-02 2019-07-02 Generation device, generation method, and generation program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-126189 2018-07-02
JP2018126189A JP7052602B2 (ja) 2018-07-02 2018-07-02 生成装置、生成方法及び生成プログラム

Publications (1)

Publication Number Publication Date
WO2020009094A1 true WO2020009094A1 (ja) 2020-01-09

Family

ID=69060411

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/026239 Ceased WO2020009094A1 (ja) 2018-07-02 2019-07-02 生成装置、生成方法及び生成プログラム

Country Status (6)

Country Link
US (1) US11985151B2 (ja)
EP (1) EP3799367B1 (ja)
JP (1) JP7052602B2 (ja)
CN (1) CN112352402B (ja)
AU (1) AU2019298538B2 (ja)
WO (1) WO2020009094A1 (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021189721A (ja) * 2020-05-29 2021-12-13 富士フイルムビジネスイノベーション株式会社 情報処理装置及び情報処理プログラム
JP7803354B2 (ja) * 2022-01-31 2026-01-21 日本電気株式会社 機器検証システム、機器検証方法、およびプログラム
WO2024180621A1 (ja) * 2023-02-27 2024-09-06 日本電信電話株式会社 異常検出装置、異常検出方法および異常検出プログラム
WO2024241594A1 (ja) * 2023-05-25 2024-11-28 日本電信電話株式会社 設定装置、設定方法、および設定プログラム

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006041969A (ja) * 2004-07-28 2006-02-09 Mitsubishi Electric Corp ネットワーク監視装置及びネットワーク監視方法及びプログラム
JP2013011949A (ja) * 2011-06-28 2013-01-17 Nippon Telegr & Teleph Corp <Ntt> 特徴情報抽出装置、特徴情報抽出方法および特徴情報抽出プログラム
JP2017084296A (ja) 2015-10-30 2017-05-18 日本電信電話株式会社 検知方法及び検知システム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090271504A1 (en) * 2003-06-09 2009-10-29 Andrew Francis Ginter Techniques for agent configuration
US7434261B2 (en) * 2004-09-27 2008-10-07 Microsoft Corporation System and method of identifying the source of an attack on a computer network
US8347383B2 (en) * 2007-09-28 2013-01-01 Nippon Telegraph And Telephone Corporation Network monitoring apparatus, network monitoring method, and network monitoring program
JP5297272B2 (ja) 2009-06-11 2013-09-25 株式会社日立製作所 装置異常監視方法及びシステム
US20140165207A1 (en) * 2011-07-26 2014-06-12 Light Cyber Ltd. Method for detecting anomaly action within a computer network
JP6127755B2 (ja) * 2013-06-13 2017-05-17 オムロン株式会社 情報処理装置、情報処理装置の制御方法および制御プログラム
CN104518905A (zh) * 2013-10-08 2015-04-15 华为技术有限公司 一种故障定位方法及装置
US9558053B1 (en) 2015-06-26 2017-01-31 Amazon Technologies, Inc. Computer systems monitoring using beat frequency analysis
US10102054B2 (en) * 2015-10-27 2018-10-16 Time Warner Cable Enterprises Llc Anomaly detection, alerting, and failure correction in a network
US20170223034A1 (en) 2016-01-29 2017-08-03 Acalvio Technologies, Inc. Classifying an email as malicious
JP6535130B2 (ja) * 2016-03-07 2019-06-26 日本電信電話株式会社 分析装置、分析方法および分析プログラム
WO2018104985A1 (ja) * 2016-12-08 2018-06-14 日本電気株式会社 異常分析方法、プログラムおよびシステム
EP3635914B1 (en) * 2017-06-09 2021-04-14 British Telecommunications Public Limited Company Anomaly detection in computer networks

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006041969A (ja) * 2004-07-28 2006-02-09 Mitsubishi Electric Corp ネットワーク監視装置及びネットワーク監視方法及びプログラム
JP2013011949A (ja) * 2011-06-28 2013-01-17 Nippon Telegr & Teleph Corp <Ntt> 特徴情報抽出装置、特徴情報抽出方法および特徴情報抽出プログラム
JP2017084296A (ja) 2015-10-30 2017-05-18 日本電信電話株式会社 検知方法及び検知システム

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
KITANO, MISA ET AL.: "Detection of Drive-by-Download attack using qualitative characteristics and transitions", PROCEEDINGS OF COMPUTER SECURITY SYMPOSIUM 2013, vol. 2013, 14 October 2013 (2013-10-14), pages 595 - 602, XP055673295 *
KOHEI IMAI; SHIGEKI AOKI; TAKAO MIYAMOTO: "Anomaly detection based on clustering of network traffic characteristics considering results of signature based IDS evaluation", IEICE TECHNICAL REPORT; INFORMATION AND COMMUNICATION SYSTEM SECURITY, vol. 114, no. 489 (ICSS2014-64), 24 February 2015 (2015-02-24), pages 7 - 12, XP009524925 *
NAKATA, KENSUKE ET AL.: "A method of extracting common malware communication patterns from dynamic analysis result", PROCEEDINGS OF COMPUTER SECURITY SYMPOSIUM 2015, vol. 2015, 14 October 2015 (2015-10-14), pages 318 - 325, XP055445010 *
See also references of EP3799367A4

Also Published As

Publication number Publication date
EP3799367B1 (en) 2023-03-08
US11985151B2 (en) 2024-05-14
CN112352402B (zh) 2023-03-28
AU2019298538B2 (en) 2022-04-21
EP3799367A1 (en) 2021-03-31
US20210273963A1 (en) 2021-09-02
EP3799367A4 (en) 2022-03-09
JP7052602B2 (ja) 2022-04-12
CN112352402A (zh) 2021-02-09
JP2020005234A (ja) 2020-01-09
AU2019298538A1 (en) 2021-01-21

Similar Documents

Publication Publication Date Title
JP7084778B2 (ja) 標的型攻撃をクラウド型検出、探索および除去するシステムおよび方法
US10567411B2 (en) Dynamically adapted traffic inspection and filtering in containerized environments
US11356467B2 (en) Log analysis device, log analysis method, and log analysis program
US10176321B2 (en) Leveraging behavior-based rules for malware family classification
EP2946331B1 (en) Classifying samples using clustering
CN103180863B (zh) 计算机系统分析方法和装置
CN113010268B (zh) 恶意程序识别方法及装置、存储介质、电子设备
EP3796196A1 (en) Abnormality sensing device and abnormality sensing method
AU2016335722B2 (en) Identification system, identification device and identification method
CN109558207B (zh) 在虚拟机中形成用于进行文件的防病毒扫描的日志的系统和方法
JP6401424B2 (ja) ログ分析装置、ログ分析方法およびログ分析プログラム
WO2020009094A1 (ja) 生成装置、生成方法及び生成プログラム
US11706251B2 (en) Simulating user interactions for malware analysis
CN114679329A (zh) 基于赝象对恶意软件自动分组
US12124572B2 (en) Anomalous activity detection in container images
CN116860489A (zh) 用于安全威胁的威胁风险评分的系统和方法
JP2018200642A (ja) 脅威検出プログラム、脅威検出方法および情報処理装置
JP6864610B2 (ja) 特定システム、特定方法及び特定プログラム
US10075454B1 (en) Using telemetry data to detect false positives
JP2019057016A (ja) 分類装置
JP2016525750A (ja) 合法的オブジェクトの誤用の識別
US10061924B1 (en) Detecting malicious code based on deviations in executable image import resolutions and load patterns
US10572663B1 (en) Systems and methods for identifying malicious file droppers
US20180341772A1 (en) Non-transitory computer-readable storage medium, monitoring method, and information processing apparatus
Sisi Creation of a Dataset Modeling the Behavior of Malware Affecting the Confidentiality of Data Managed by IoT Devices

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19831469

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2019831469

Country of ref document: EP

Effective date: 20201221

ENP Entry into the national phase

Ref document number: 2019298538

Country of ref document: AU

Date of ref document: 20190702

Kind code of ref document: A