(57)【要約】【課題】監視対象ネットワークに対する攻撃の有無を精度よく判定する。【解決手段】攻撃分類情報記憶部１２３が、攻撃があった場合にパラメータ値が閾値を超える評価パラメータのパターンが示される攻撃分類情報を記憶し、パラメータ検知情報受信部１１８が、異常検知装置１１２から、監視対象ネットワーク１１４でのトラフィック異常の検知を通知する検知情報１１６を受信し、ログ集計部１１９が、ルータ１０１等の監視対象ネットワーク１１４内の機器で生成されたログをログ収集装置１０９を介して取得し、特徴変化検出部１２０が、ログ集計部１１９でのログ集計結果に基づき、複数種の評価パラメータごとにパラメータ値が閾値を超えているか否かを判定し、攻撃判定部１２１が、特徴変化検出部１２０の判定結果と攻撃分類情報とを照合して、監視対象ネットワーク１１４に対する攻撃の有無を判定する。【選択図】図１
2010152773.tif 000002
【特許請求の範囲】
【請求項１】
監視対象ネットワークのネットワークトラフィックの異常を検知する異常検知装置と、
前記監視対象ネットワークを流通する通信データに対して所定のデータ処理を行う１つ以上の通信機器がそれぞれのデータ処理に付随して生成したログを記憶するログ記憶装置とに接続され、
前記ログ記憶装置からログを取得するログ取得部と、
前記異常検知装置から、前記監視対象ネットワークのネットワークトラフィックの異常を検知したことを通知する検知情報を受信する検知情報受信部と、
前記検知情報受信部により検知情報が受信された場合に、前記ログ取得部により取得されたログに基づいて、前記監視対象ネットワークに対する攻撃の有無を判定する判定部とを有することを特徴とする攻撃判定装置。
【請求項２】
前記判定部は、
前記ログ取得部により取得されたログに基づいて、前記監視対象ネットワークに対する攻撃の種類を判定することを特徴とする請求項１に記載の攻撃判定装置。
【請求項３】
前記判定部は、
前記ログ取得部により取得されたログから、攻撃の判定に用いる複数種のパラメータのパラメータ値を導出し、複数種のパラメータのうちパラメータ値が定常範囲から外れているパラメータをログ導出非定常パラメータとして抽出し、抽出したログ導出非定常パラメータを用いて前記監視対象ネットワークに対する攻撃の有無を判定することを特徴とする請求項１又は２に記載の攻撃判定装置。
【請求項４】
前記攻撃判定装置は、更に、
攻撃の種類ごとに、前記複数種のパラメータのうち攻撃が行われた際にパラメータ値が定常範囲から外れることになるパラメータを照合非定常パラメータとして示す攻撃分類情報を記憶する攻撃分類情報記憶部を有し、
前記判定部は、
抽出したログ導出非定常パラメータと前記攻撃分類情報に示されている照合非定常パラメータとを照合して、前記監視対象ネットワークに対する攻撃の有無及び攻撃の種類を判定することを特徴とする請求項３に記載の攻撃判定装置。
【請求項５】
前記判定部は、
前記攻撃分類情報に示されている攻撃のうち、照合非定常パラメータの組み合わせがログ導出非定常パラメータの組み合わせに最も合致している攻撃が前記監視対象ネットワークに対して行われたと判定することを特徴とする請求項４に記載の攻撃判定装置。
【請求項６】
前記判定部は、
照合非定常パラメータの組み合わせとログ導出非定常パラメータの組み合わせとの合致度合を算出して、攻撃種類の判定結果の確度を判断することを特徴とする請求項５に記載の攻撃判定装置。
【請求項７】
前記攻撃判定装置は、
複数種の通信機器で生成されたログをログ生成元の通信機器の種類を識別して記憶するログ記憶装置に接続され、
前記判定部は、
通信機器の種類ごとに異なる種類のパラメータのパラメータ値を導出することを特徴とする請求項３〜６のいずれかに記載の攻撃判定装置。
【請求項８】
前記攻撃判定装置は、
複数の通信機器で生成されたログをログの生成元の通信機器を識別して記憶するログ記憶装置に接続され、
前記判定部は、
前記監視対象ネットワークに対する攻撃が行われたと判断した場合に、抽出したログ導出非定常パラメータの導出元となったログの生成元の通信機器が、前記監視対象ネットワークに対する攻撃の攻撃経路に含まれていると推定することを特徴とする請求項１〜７のいずれかに記載の攻撃判定装置。
【請求項９】
前記検知情報受信部は、
前記異常検知装置で検知された前記監視対象ネットワークのネットワークトラフィックの異常に関係する通信の発信元についての情報が１つ以上示されている検知情報を受信し、
前記判定部は、
複数種のパラメータのパラメータ値の１つとして、前記ログ取得部により取得されたログに示されている通信アドレスごとに通信アドレスの出現数を導出し、
いずれかの通信アドレスの出現数が定常範囲から外れており、前記監視対象ネットワークに対する攻撃が行われたと判断した場合に、出現数が定常範囲から外れている通信アドレスと、前記検知情報に示されている通信の発信元についての情報とに基づき、前記監視対象ネットワークに対する攻撃の攻撃元を推定することを特徴とする請求項８に記載の攻撃判定装置。
【請求項１０】
前記攻撃判定装置部は、更に、
前記判定部により推定された攻撃経路及び攻撃元をグラフィカルに表示する攻撃経路情報を生成する攻撃経路情報生成部を有することを特徴とする請求項９に記載の攻撃判定装置。
【請求項１１】
監視対象ネットワークのネットワークトラフィックの異常を検知する異常検知装置と、
前記監視対象ネットワークを流通する通信データに対して所定のデータ処理を行う１つ以上の通信機器がそれぞれのデータ処理に付随して生成したログを記憶するログ記憶装置とに接続されたコンピュータが、
前記ログ記憶装置からログを取得するログ取得ステップと、
前記異常検知装置から、前記監視対象ネットワークのネットワークトラフィックの異常を検知したことを通知する検知情報を受信する検知情報受信ステップと、
前記検知情報受信ステップにより検知情報が受信された場合に、前記ログ取得ステップにより取得されたログに基づいて、前記監視対象ネットワークに対する攻撃の有無を判定する判定ステップとを有することを特徴とする攻撃判定方法。
【請求項１２】
監視対象ネットワークのネットワークトラフィックの異常を検知する異常検知装置と、
前記監視対象ネットワークを流通する通信データに対して所定のデータ処理を行う１つ以上の通信機器がそれぞれのデータ処理に付随して生成したログを記憶するログ記憶装置とに接続されたコンピュータに、
前記ログ記憶装置からログを取得するログ取得処理と、
前記異常検知装置から、前記監視対象ネットワークのネットワークトラフィックの異常を検知したことを通知する検知情報を受信する検知情報受信処理と、
前記検知情報受信処理により検知情報が受信された場合に、前記ログ取得処理により取得されたログに基づいて、前記監視対象ネットワークに対する攻撃の有無を判定する判定処理とを実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク不正アクセス検知技術に関する。
【背景技術】
【０００２】
現在、ネットワーク不正アクセス検知技術としては、攻撃データパターンを定義したシグネチャを用いた侵入検知装置（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）によるパターンマッチング方式が主流である。
パターンマッチング方式では、既知の攻撃別にシグネチャを定義し、シグネチャと一致するデータがネットワーク上で観測された場合に攻撃として検知する。
したがって、新しく発生した攻撃（未知の攻撃）については、ベンダーから攻撃を検知するためのシグネチャがリリースされ、ＩＤＳに適用されるまでは検知することができないため、その間、攻撃にさらされていることを検知することができないという課題がある。
上記のような課題を解決するために、シグネチャによらない異常検知に基づく侵入検知装置の研究開発が盛んに行われている（例えば、特許文献１〜３）。
【０００３】
特許文献１では、攻撃によってネットワークトラフィックの状態（トラフィック量、アクセス数など）に異常な変化が観測された場合に、異常（攻撃）の発生として検知する。したがって、未知の攻撃であっても検知可能である。
また、ネットワーク機器（ＩＤＳ、ルータ、Ｆｉｒｅｗａｌｌ）から出力されるログに記録されるイベント到着間隔および継続時間に基づいた分析を行うことにより、時間的特性に特徴があるイベントの異常を検出することを可能とする方法が提案されている（特許文献２、特許文献３）。
特許文献２および特許文献３によれば、ネットワーク機器から収集されたログの単位時間あたりに発生する頻度についての統計分布（平均ならびに標準偏差）を基に稀率を算出して、所定の確率以下の稀率の場合に異常と検知する方法、ならびに、過去の攻撃時のデータに基づいて生成した統計分布と、分析対象の短期間のデータに基づいて生成した分布との相関度が高い場合に、分析対象の短期間において不正が発生したと判断する方法について記載されている。
【特許文献１】特開２００８−１４６１５７号公報
【特許文献２】特開２００５−２３６８６２号公報
【特許文献３】特開２００５−２３６８６３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来のネットワークトラフィックやログ発生頻度の異常から攻撃を検知する侵入検知装置（特許文献１〜３）においては、攻撃ではない偶発的に発生する統計的な特徴の変化についても攻撃として検知してしまうため、誤検知が発生する。
さらに、検知した異常がどのような攻撃によって発生したのかについては、検知した異常の内容からは知ることができない。
したがって、異常が検知された場合に、それが、どのような攻撃を検知したのか、もしくは誤検知なのかについての判断は、人手によるログ分析が必要であり、運用者の作業負荷が高く、人為的な判断ミスも発生し易いという課題がある。
また、過去の攻撃時のデータの統計分布との相関係数から攻撃発生時との相関性の高さから不正が発生したと判断する方法（特許文献２〜３）については、過去に攻撃を受けたことがある攻撃の統計分布が必要となる。
しかしながら、攻撃発生時の統計分布は監視対象システムや攻撃の内容ごとに異なっているため、それぞれについて統計分布を実際に得ることは難しいという課題がある。
【０００５】
本発明は上記のような課題を解決することを主な目的の一つとし、ネットワーク異常検知システムにて検知されたトラフィックの異常が、攻撃によるものか否か、および、攻撃であればどのような種別の攻撃であるのかを判別することを主な目的とする。
【課題を解決するための手段】
【０００６】
本発明に係る攻撃判定装置は、
監視対象ネットワークのネットワークトラフィックの異常を検知する異常検知装置と、
前記監視対象ネットワークを流通する通信データに対して所定のデータ処理を行う１つ以上の通信機器がそれぞれのデータ処理に付随して生成したログを記憶するログ記憶装置とに接続され、
前記ログ記憶装置からログを取得するログ取得部と、
前記異常検知装置から、前記監視対象ネットワークのネットワークトラフィックの異常を検知したことを通知する検知情報を受信する検知情報受信部と、
前記検知情報受信部により検知情報が受信された場合に、前記ログ取得部により取得されたログに基づいて、前記監視対象ネットワークに対する攻撃の有無を判定する判定部とを有することを特徴とする。
【発明の効果】
【０００７】
本発明によれば、監視対象ネットワークでのネットワークトラフィックの異常が検知された場合に、当該監視対象ネットワークでの通信データの流通に付随して生成されたログを用いて、監視対象ネットワークに対する攻撃があったのか否かを判定するため、検知されたトラフィックの異常が攻撃によるものであるか否かを精度よく判定することができる。
【発明を実施するための最良の形態】
【０００８】
実施の形態１．
図１は、本実施の形態に係るシステム構成例を示す構成図である。
【０００９】
図１において、１０１〜１０４は、それぞれ監視対象ネットワーク（１１４）に接続されたルータ、Ｆｉｒｅｗａｌｌ、ＩＤＳ、各種サーバを表している。
なお、図１では、形式的に監視対象ネットワーク（１１４）と、１０１〜１０４を分けて記述しているが、実際には１０１〜１０４は、監視対象ネットワーク（１１４）上に存在している。
ルータ（１０１）、Ｆｉｒｅｗａｌｌ（１０２）、ＩＤＳ（１０３）、各種サーバ（１０４）は、監視対象ネットワーク（１１４）を流通する通信データに対して所定のデータ処理を行っており、それぞれ通信機器の例である。
１０５〜１０８は、監視対象ネットワーク（１１４）に接続された各機器（１０１）〜（１０４）で記録されたログを表している。
【００１０】
１０９は、ログ収集装置を表しており、各機器（１０１）〜（１０４）がそれぞれのデータ処理に付随して生成したログ（１０５）〜（１０８）を収集するログ収集部（１１０）と、収集したログを記録しておくログＤＢ（１１１）から構成されている。
ログ収集装置（１０９）は、ログ記憶装置の例である。
【００１１】
１１２は、監視対象ネットワーク（１１４）から分析対象となるトラフィック情報（１１３）を取得、分析して、監視対象ネットワーク（１１４）のネットワークトラフィックの異常を検出した場合に攻撃の発生として検知する異常検知装置を表している。
【００１２】
１１７は、ネットワーク攻撃判定装置を表している。ネットワーク攻撃判定装置（１１７）は攻撃判定装置の例である。
【００１３】
ネットワーク攻撃判定装置（１１７）において、検知情報受信部（１１８）は、異常検知装置（１１２）からの検知情報（１１６）を受信する。
検知情報（１１６）は、異常検知装置（１１２）が監視対象ネットワーク（１１４）のネットワークトラフィックの異常を検知したことを通知する情報である。
【００１４】
ログ集計部（１１９）は、ログ収集装置（１０９）のログＤＢ（１１１）に記録された各種ログ（１１５）を取り出して集計する。
より具体的には、ログ集計部（１１９）は、集計により、攻撃の判定に用いる複数種の評価パラメータのパラメータ値を導出する。
ログ集計部（１１９）は、ログ取得部及び判定部の例である。
【００１５】
攻撃分類情報記憶部（１２３）は、攻撃分類情報を記憶する。
攻撃分類情報は、攻撃の種類ごとに、複数種の評価パラメータのうち攻撃が行われた際にパラメータ値が定常範囲から外れることになるパラメータ（照合非定常パラメータ）が示される情報である。
攻撃分類情報は、例えば、図６及び図７に示す情報である。図６及び図７の詳細は後述するが、例えば、図６において、攻撃種別ごとに（ネットワーク感染型ワーム等）、攻撃が行われた際にパラメータ値が定常範囲から外れる評価パラメータには「増加」が示されている。
【００１６】
特徴変化検出部（１２０）は、ログ集計部（１１９）によって得られた集計値と平常時に観測される値との比較を行う。
攻撃判定部（１２１）は、攻撃分類情報記憶部（１２３）に記憶されている攻撃分類情報に基づいて監視対象ネットワーク（１１４）に対する攻撃の有無、及び攻撃の種別を判定する。
より具体的には、特徴変化検出部（１２０）は、ログの集計値に基づき、複数種の評価パラメータのうちパラメータ値が定常範囲から外れている評価パラメータ（ログ導出非定常パラメータ）を抽出する。そして、攻撃判定部（１２１）は、特徴変化検出部（１２０）により抽出された評価パラメータ（ログ導出非定常パラメータ）と攻撃分類情報に「増加」と示されている評価パラメータ（照合非定常パラメータ）とを照合して、監視対象ネットワーク（１１４）に対する攻撃の有無及び攻撃の種類を判定する。
特徴変化検出部（１２０）及び攻撃判定部（１２１）は、判定部の例である。
【００１７】
アラート通知部（１２２）は、攻撃の判定結果を検知アラート（１２４）としてオペレータへ通知する。
【００１８】
また、図１において、矢印はデータの流れる方向を表している。
【００１９】
次に動作について説明する。
本実施の形態では、異常検知装置（１１２）において異常が検知された後のログ分析に関するものであるため、異常検知装置（１１２）で異常が検知されるまでと、異常が検知された後とに分けて動作を説明する。
【００２０】
図２に、インターネット接続点におけるネットワーク構成の一例を示す。
２０１は、クライアント端末を表しており、インターネット（２０２）に接続されている。
２０３および２０９は、ルータである。
２０４は、Ｆｉｒｅｗａｌｌである。
２１１〜２１４は、ＩＤＳである。
２０５〜２０８は、それぞれ、Ｗｅｂサーバ、ＳＭＴＰサーバ、ＤＮＳサーバ、Ｐｒｏｘｙサーバを表している。
２０３〜２１４の各要素は監視対象ネットワーク（１１４）に含まれる。
各サーバが接続されているネットワークを一般的に非武装地帯（ＤＭＺ：ＤｅＭｉｌｉｔａｒｉｚｅｄ  Ｚｏｎｅ）と呼び、Ｆｉｒｅｗａｌｌを介してインターネットと直接通信可能なネットワークとなっている。
監視対象ネットワーク（１１４）上のネットワーク機器（ルータ、Ｆｉｅｒｗａｌｌ、ＩＤＳ）およびサーバ（Ｗｅｂサーバ、ＳＭＴＰサーバ、ＤＮＳサーバ、Ｐｒｏｘｙサーバ）では、クライアントからサーバ、もしくはサーバのＩＰアドレスセグメントに対して通信が発生した場合にログが記録される。
【００２１】
次に、図２を用いて、ネットワーク機器ならびにサーバにおいて記録されるログについて、インターネット（２０２）に接続されたクライアント端末（２０１）が、ＤＭＺ上のＷｅｂサーバ（２０５）へアクセスした場合を例に説明する。
Ｗｅｂサーバ（２０５）へのアクセスはＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）の８０番ポート宛の通信となる。
ルータ（２０３）の設定では、Ｆｉｒｅｗａｌｌ（２０４）で許可されている宛先ＩＰアドレス、宛先ポート、プロトコルの組み合わせのみパケットをＦｉｒｅｗａｌｌ（２０４）へ転送することを想定する。
Ｆｉｒｅｗａｌｌ（２０４）では、インターネット（２０２）上の全ての発信元ＩＰアドレスから、ＤＭＺ上の各サーバに対して許可された、プロトコル、宛先ポートの通信のみ許可し、また、ＴＣＰの場合は、コネクションが確立していない発信元とＤＭＺ上のサーバとの通信は遮断することを想定する。
ＩＤＳ（２１２）〜（２１４）では、ＩＤＳ（２１２）〜（２１４）が接続されているネットワークセグメントを流れる全てのパケットを取り込んで、既知の攻撃のパターン（シグネチャ）に一致する通信がネットワークセグメント上を流れた場合に、攻撃の検知アラート（１２４）をログとして記録することを想定する。
【００２２】
クライアント端末（２０１）とＷｅｂサーバ（２０５）の通信を行うために、クライアント端末（２０１）では、まず、ＴＣＰのコネクションを生成するパケット（ＳＹＮパケット）をＷｅｂサーバ（２０５）のＩＰアドレスの８０番ポート宛に送信する。
送信されたＳＹＮパケットは、インターネット（２０２）を介してルータ（２０３）に到達する。
ルータ（２０３）では、パケットの宛先ＩＰアドレスである８０番ポート宛の通信を転送する設定がなされているため、Ｆｉｒｅｗａｌｌ（２０４）へパケットを転送する。その際に、通信の記録としてＮｅｔＦｌｏｗログが生成される。
Ｆｉｒｅｗａｌｌ（２０４）では、インターネット（２０２）からＷｅｂサーバ（２０５）へのＴＣＰ８０番ポートへの通信を許可する設定がなされているため、パケットをＷｅｂサーバ（２０５）へ送信する。このとき、Ｆｉｒｅｗａｌｌ（２０４）では、通信を許可したログが記録される。
Ｗｅｂサーバ（２０５）では、受信したパケットに対してＴＣＰのコネクションを作成するための応答（ＳＹＮＡＣＫパケット）を返し、Ｆｉｒｅｗａｌｌ（２０４）、ルータ（２０３）、インターネット（２０２）の順に経由してクライアント端末（２０１）に転送される。
【００２３】
次に、ＳＹＮＡＣＫパケットを受信したクライアント端末（２０１）からコネクションを確立するためのパケット（ＡＣＫパケット）が、インターネット（２０２）、ルータ（２０３）、Ｆｉｒｅｗａｌｌ（２０４）の順に経由して、Ｗｅｂサーバ（２０５）に到達することによって、ＴＣＰのコネクションが確立する。
ＴＣＰのコネクションが確立した後は、コネクション上で、ＨＴＴＰに基づくＧＥＴ（ページの転送を要求するメソッド）をクライアント端末（２０１）から、Ｗｅｂサーバ（２０５）に対して行い、Ｗｅｂサーバ（２０５）は、クライアント端末（２０１）が要求したＷｅｂページをクライアント端末（２０１）に対して送信する。
このとき、Ｗｅｂサーバ（２０５）は、アクセスログにＷｅｂサーバ（２０５）へのアクセス内容がログとして記録される。
最終的に、ＴＣＰのコネクションが切断された場合には、Ｆｉｒｅｗａｌｌ（２０４）でコネクションの切断ログが記録される。
【００２４】
クライアント端末（２０１）からの通信の宛先ＩＰアドレスが、ＤＭＺのネットワークセグメントに含まれるＩＰアドレスであっても、Ｆｉｒｅｗａｌｌ（２０４）で許可されないプロトコル、宛先ポート番号であった場合には、ルータ（２０３）にて廃棄ログが記録され、当該パケットは廃棄される。
ＴＣＰの場合、クライアント端末（２０１）からの通信の宛先ＩＰアドレスが、ＤＭＺのネットワークセグメントに含まれるＩＰアドレスであり、かつ、Ｆｉｒｅｗａｌｌ（２０４）で許可されている宛先ポート番号であるが、ＴＣＰコネクションが未確立の場合は、Ｆｉｒｅｗａｌｌ（２０４）にて廃棄ログが記録され、当該パケットは廃棄される。
クライアント端末（２０１）からの通信に、シグネチャと一致するデータが含まれていた場合には、Ｆｉｒｅｗａｌｌ（２０４）を通過する通信の場合には、２１１、２１２、２１４のＩＤＳで検知アラート（１２４）が記録され、Ｆｉｒｅｗａｌｌ（２０４）を通過しない場合には、２１１、２１２でのＩＤＳで検知アラート（１２４）が記録され、ルータを通過しない場合には、２１１のＩＤＳでのみ検知アラート（１２４）が記録される。
【００２５】
次に、各ログに記録されるレコードの項目について説明する。
なお、ここで記載するレコードの項目に関しては、ログを記録するデバイスやプログラムのバージョン、指定するオプションによって異なってくるものであり、それら全てを記述しているものではない。
【００２６】
ルータで記録されるログは、廃棄ログとＮｅｔＦｌｏｗログとなる。
廃棄ログには、装置識別ＩＤ、時刻、ログメッセージＩＤ、ＡＣＬ（Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ｌｉｓｔ）のＩＤ、発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、ＴＣＰフラグ、インタフェース名が含まれている。
ＮｅｔＦｌｏｗには、生成時刻、終了時刻、発信元ＩＰアドレス、発信元ポート、宛先ＩＰアドレス、宛先ポート、転送先ルータＩＰアドレス、パケット数、転送バイト数、プロトコルなどが記録されている。
【００２７】
Ｆｉｒｅｗａｌｌで記録されるログは、通過ログ、廃棄ログとなる。
通過ログでは、装置識別ＩＤ、時刻、ログの識別ＩＤ、ログメッセージ、発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、インタフェース名が含まれている。
廃棄ログは、装置識別ＩＤ、時刻、ログの識別ＩＤ、ログメッセージ、発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、ＴＣＰフラグ、インタフェース名が含まれている。
【００２８】
ＩＤＳで記録されるログは、ＩＤＳによる攻撃検知ログとなる。
攻撃検知ログでは、装置識別ＩＤ、時刻、検知メッセージ、シグネチャＩＤ、発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコルが含まれている。
【００２９】
Ｗｅｂサーバでは、アクセスログとエラーログが含まれている。
アクセスログでは、装置識別ＩＤ、時刻、発信元ＩＰアドレス、ユーザＩＤ、時刻、リクエスト内容、リターンコード、転送バイト数が含まれている。
エラーログでは、装置識別ＩＤ、時刻、サーバ上で発生した警告やエラーについてのメッセージが記録される。
【００３０】
Ｍａｉｌサーバでは、送受信したメールのヘッダ情報（装置識別ＩＤ、時刻、発信元メールアドレス、宛先メールアドレスなど）が含まれている。
【００３１】
Ｐｒｏｘｙサーバでは、装置識別ＩＤ、時刻、および、中継した内部ネットワークから外部ネットワークへのＨＴＴＰ通信に関するヘッダ情報（発信元ＩＰアドレス、宛先ＩＰアドレス、宛先ＵＲＬ、ＨＴＴＰメソッドなど）が含まれている。
【００３２】
上記の各種ネットワーク機器ならびにサーバで記録されたログは、図１のログ収集装置（１０９）のログ収集部（１１０）によって、ネットワークを経由して収集され、ログＤＢ（１１１）に記録される。
なお、ログＤＢ（１１１）に記録する際に、ログの種別を各ログのレコードへ付与するとともに、各ログの発信元ＩＰアドレスを元にＩＰアドレスとＩＰアドレスが割り当てられている場所（国、端末設置場所）の対応表データを参照して発信元位置を特定し、各ログのレコードに付与する。
ＩＰアドレスと国の対応表データとしては、地域別に公的機関によって管理され公開されているＩＰアドレスとドメイン表の情報である。例えば、日本に割り当てられたＩＰアドレスに関しては、社団法人  日本ネットワークインフォメーションセンター（ＪＰＮＩＣ：Ｊａｐａｎ  Ｎｅｔｗｏｒｋ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｃｅｎｔｅｒ）から入手可能である。
また、ＩＰアドレスと端末設置場所の対応表データとしては、各企業別に管理している資産管理台帳などに記載された、当該ＩＰアドレスが付与された端末名、所有者、所有者の所属、端末設置場所、連絡先（電話番号、内線番号、メールアドレス）の情報からから特定可能である。
【００３３】
次に、異常検知装置（１１２）について動作を説明する。
なお、本実施の形態においては、異常検知装置（１１２）内部の処理については、特に規定するものではないため、異常検知装置（１１２）の入力データとなるトラフィック情報（１１３）、ならびに、異常検知装置（１１２）の出力データであり、ネットワーク攻撃判定装置（１１７）の入力データとなる検知情報（１１６）について記述する。
【００３４】
監視対象ネットワーク（１１４）から取得されるトラフィック情報（１１３）は、監視対象ネットワーク上の特定箇所を流れる通信に関する情報である。
トラフィック情報（１１３）としては、通信パケットのダンプログや、通信パケットのダンプログを元に集計処理されて生成されるＮｅｔＦｌｏｗログ、単位時間あたりのＳＹＮパケットの数、単位時間当たりのＴＣＰコネクションの数などが分析対象となる。
なお、集計処理の際には、ログ収集装置（１０９）のログ収集部（１１０）で行うように、各ログの発信元ＩＰアドレスを元に、ＩＰアドレスとＩＰアドレスが割り当てられている場所（国、端末設置場所）の対応表データを参照して発信元位置を特定し、発信元位置別のトラフィックを監視しているものとする。
異常検知装置（１１２）の出力データである検知情報（１１６）は、異常検知装置（１１２）にて分析対象のトラフィックに異常が検出された場合に生成される。
異常検知装置（１１２）の出力データである検知情報（１１６）には、検知時刻、発信元位置、検知箇所、発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコルに関する情報が含まれている。
なお、異常検知装置（１１２）における集計などのデータ処理の内容により、発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコルのいずれか、もしくは、全てが含まれない場合があってもよいが、検知時刻、発信元位置、検知箇所については必ず含まれているものとする。
【００３５】
次に、ネットワーク攻撃判定装置（１１７）の動作について説明する。
図３は、ネットワーク攻撃判定装置（１１７）の動きの概要を示したフロー図である。
【００３６】
ネットワーク攻撃判定装置（１１７）は、異常検知装置（１１２）にて、分析対象トラフィックから異常が検出されたことをトリガとして動作する。
ネットワーク攻撃判定装置（１１７）への入力データは、異常検知装置（１１２）から得られる検知情報（１１６）と、ログ収集装置（１０９）のログＤＢ（１１１）から得られる収集された各種ログ（１１５）（発信元位置情報付与済み）となる。
ネットワーク攻撃判定装置（１１７）では、まず、異常検知装置（１１２）から検知情報（１１６）を検知情報受信部（１１８）によって受信する（Ｓ３０１）（検知情報受信ステップ）。
検知情報受信部（１１８）は、受信した検知情報（１１６）から、検知情報（１１６）を各項目（検知時刻、発信元位置、検知箇所、発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル）に分解する（Ｓ３０２）。
次にログ集計部（１１９）がログ集計処理を行う（Ｓ３０３）。
【００３７】
ここで、ログ集計部（１１９）によるログ集計処理の詳細を説明する。
図４は、ログ集計部（１１９）の処理を表したフロー図である。
ログ集計部（１１９）では、検知情報受信部（１１８）によって検知情報から分解して得られた各項目のうち、検知時刻、発信元位置をキーワードとして、ログＤＢ（１１１）を検索して関係するログを抽出する（Ｓ４０１）（ログ取得ステップ）。
ただし、検知時刻に関しては、異常検知装置（１１２）に設定されている集計の単位時間に合わせて、異常を検知したトラフィックデータが集計された時間で検索を実施する。
たとえば、集計の単位時間を３０分とすると、検知時刻が１０：３５の時に、異常が検知された分析対象データが１０：００〜１０：３０までに発生したデータの集計値である場合には、ログＤＢ（１１１）を検索する条件として、１０：００〜１０：３０のログを抽出する。
ログ集計部（１１９）では、ログＤＢ（１１１）から抽出されたログを元に、評価パラメータの値を算出する（Ｓ４０２）（Ｓ４０３）（判定ステップ）。
【００３８】
評価パラメータとしては、ルータＮｅｔＦｌｏｗログについては、特定ＩＰアドレスを発信元とするログ数となる。
ルータ廃棄ログについては、廃棄ログ件数、特定ＩＰアドレスを発信元とするログ数となる。
また、ＩＤＳ検知ログについては、既知攻撃を検知するアラート数、スキャンを検知するアラート数となる。
Ｆｉｒｅｗａｌｌ通過ログについては、発信元ＩＰアドレス数、１ＩＰからのアクセス数が少ない（ｎ以下）通信の数、特定ＩＰアドレスからのアクセス数となる。
Ｆｉｒｅｗａｌｌ遮断ログについては、サーバからインターネットへの通信数となる。
Ｗｅｂサーバアクセスログについては、アクセスログ数、ＵＲＬ長の長い（ｍ文字以上）アクセス数となる。
Ｗｅｂサーバエラーログについては、エラー数となる。
Ｍａｉｌサーバログについては、特定メールアドレス宛のメール送信数となる。
Ｐｒｏｘｙサーバログについては、特定ＵＲＬ宛のＰＯＳＴ通信数となる。
これらは、後に、図６で示す攻撃分類情報に基づく攻撃判定部（１２１）における処理で利用する。
１ＩＰからのアクセス数が少ない通信の数を算出する場合のｎは事前に指定しておく。目安として、Ｗｅｂサーバ宛の場合は、ｎ＝１０程度とする。また、ＵＲＬ長の長いアクセス数を算出する場合のｍについても事前に指定しておく。
ルータＮｅｔＦｌｏｗログの、特定ＩＰアドレスを発信元とするログ数については、ルータの装置識別ＩＤごと、発信元ＩＰアドレス別にログの発生件数を集計する。
ルータ廃棄ログの、廃棄ログ件数は、ログＤＢ（１１１）から抽出されたログから、ルータの装置識別ＩＤごとに集計する。特定ＩＰアドレスを発信元とするログ数については、ルータの装置識別ＩＤごと、発信元ＩＰアドレス別にログの発生件数を集計する。
ＩＤＳ検知ログの、既知攻撃を検知するアラート数は、ＩＤＳの装置識別ＩＤごとに、スキャンを検知するアラート以外のアラートの件数を集計する。
スキャンを検知するアラート数は、スキャンを検知したアラートのみの件数を、ＩＤＳの装置識別ＩＤごとに、集計する。
Ｆｉｒｅｗａｌｌ通過ログに関しては、まず、発信元−宛先集計データを作成する。
発信元−宛先集計データは、発信元ＩＰアドレス、宛先ＩＰアドレス、宛先ポート番号が同じログを、Ｆｉｒｅｗａｌｌの装置識別ＩＤごとに集計したものである。
したがって、発信元−宛先集計データには、Ｆｉｒｅｗａｌｌの装置識別ＩＤ、発信元ＩＰアドレス、宛先ＩＰアドレス、宛先ポート番号、集計値が含まれる。
生成された発信元−宛先集計データの、発信元ＩＰアドレスの種類を集計したものが、発信元ＩＰアドレス数となる。
１ＩＰアドレスからのアクセス数が少ない通信の数は、生成された発信元−宛先集計データのうち、ｎ以下のアクセス数を含むデータの数を集計する。
特定ＩＰアドレスから特定ＩＰアドレスへのアクセス数については、生成された発信元−宛先集計データの中から最大値を持つデータとなる。特定ＩＰアドレスからの不特定多数ＩＰアドレスへのアクセス数は、生成された発信元−宛先集計データを発信元ＩＰアドレス別に集計する。
Ｆｉｒｅｗａｌｌの遮断ログのサーバからＤＭＺ外への通信数では、Ｆｉｒｅａｌｌの装置識別ＩＤごとに、遮断ログの発信元ＩＰアドレスがＤＭＺのネットワークセグメントからのものであるものを集計する。
Ｗｅｂサーバアクセスログのアクセスログ数は、Ｗｅｂサーバの装置識別ＩＤごとに、アクセスログを集計する。ＵＲＬ長の長いアクセス数については、ｍ文字以上のＵＲＬが記録されているアクセスログのみを集計する。
Ｗｅｂサーバエラーログのエラー数は、Ｗｅｂサーバの装置識別ＩＤごとに、エラーログを集計する。
Ｍａｉｌサーバログの特定メールアドレス宛のメール送信数は、Ｍａｉｌサーバの装置識別ＩＤごと、同一の宛先メールアドレス別に集計する。
Ｐｒｏｘｙサーバログの特定ＵＲＬ宛のＰＯＳＴ通信数は、Ｐｒｏｘｙサーバの装置識別ＩＤごとに、ＰｒｏｘｙサーバログのメソッドがＰＯＳＴであるログのうち、宛先ＵＲＬが同一のログを集計する。
【００３９】
次に、特徴変化検出部（１２０）について説明する。
特徴変化検出部（１２０）では、装置識別ＩＤごと、評価パラメータ別に定められた閾値を元に、ログ集計部（１１９）で算出された各評価パラメータの値が、閾値を超えているかどうかを判断する。この閾値を超える場合は、評価パラメータの値は定常範囲を外れていることになる。
特徴変化検出部（１２０）で用いる閾値は、手動もしくは自動で設定する。
手動で設定する場合には、ログ収集装置（１０９）でログを収集している個々のネットワーク機器、サーバ機器について一定の学習期間を設け、その間に収集された各種ログから、それぞれの評価パラメータを集計し、最大値のｋ倍を設定する。ｋの値はチューニングパラメータであり、実際にネットワーク攻撃判定を行いながら最適値に設定する。
自動で設定する場合には、ログ収集装置のログＤＢ（１１１）から、検知のｊ週間前の同時間帯のログを抽出して、比較用の各評価パラメータを算出し、算出した比較用の評価パラメータをｋ倍した値を閾値として用いる。ｊの値の目安としては、１〜４（週間）とし、ｋについては手動で閾値を設定する場合と同様、実際にネットワーク攻撃判定を行いながら最適値に設定する。
【００４０】
そして、特徴変化検出部（１２０）は、装置識別ＩＤ別に算出された各評価パラメータについてパラメータ値の増加の有無を一意に決定する（Ｓ３０４）。
【００４１】
次に、攻撃判定部（１２１）が攻撃判定処理を行う（Ｓ３０５）。
【００４２】
図５は、攻撃判定部（１２１）の攻撃判定処理（判定ステップ）を表したフロー図である。
攻撃判定部（１２１）では、特徴変化検出部（１２０）で決定された各評価パラメータ値の増加有無の判定結果と攻撃分類情報記憶部（１２３）の攻撃分類情報を比較して、検知した攻撃の種別ならびに、攻撃種別判定結果の確度を算出する。
【００４３】
図６及び図７に、攻撃分類情報の一例を示す。
図６は外部ネットワークからの攻撃に関する攻撃分類情報の例を示し、図７は内部ネットワークにおける攻撃に関する攻撃分類情報の例を示している。
攻撃分類情報では、各攻撃の分類種別において、評価パラメータ値の増加の有無についてのパターンが定義されている。
【００４４】
攻撃判定部（１２１）は、特徴変化検出部（１２０）により増加と判定された評価パラメータがある場合（Ｓ５０１でＹＥＳ）は、各評価パラメータ値の判定結果と攻撃分類情報とを比較する（Ｓ５０２）。
各評価パラメータ値の増加の有無の判定結果と攻撃分類情報との比較では、増加と判定された評価パラメータに着目して比較を行い、増加と判定された評価パラメータの組み合わせが最も一致している攻撃種別を特定する（Ｓ５０３）。
なお、特徴変化検出部（１２０）で、増加判定がなされた評価パラメータがなかった場合には、攻撃分類情報との比較処理はスキップする。
【００４５】
攻撃種別を特定した後に、攻撃判定部（１２１）は、攻撃種別判定結果の確度を算出する（Ｓ５０４）。
攻撃種別判定結果の確度は、特定された攻撃種別の攻撃分類情報に含まれる増加が観測される評価パラメータの総数に対する、実際に特徴変化検出部（１２０）で増加が観測された評価パラメータの数の比から算出する。つまり、特徴変化検出部（１２０）により増加と判定された評価パラメータと、攻撃分類情報に増加と示されている評価パラメータとの合致度合を算出して攻撃種別判定結果の確度を判断する。
例えば、図６において攻撃種別が、ネットワーク感染型ワームで外部ネットワークからの攻撃を検知した場合、攻撃分類情報では、各評価パラメータに関して１１個の増加がパターンとして定義されており、実際に特徴変化検出部（１２０）で増加が観測された評価パラメータの数が１０個一致していた場合は９０．９％（≒１０÷１１×１００）として算出する。
なお、特徴変化検出部（１２０）で、増加判定がなされた評価パラメータがなかった場合の確度は、０％とし、攻撃種別としては、通常発生しうる通信の誤検知と判定する。
【００４６】
次に、アラート通知部（１２２）の処理について説明する。
アラート通知部（１２２）では、攻撃判定処理により得られた攻撃種別判定結果の確度の値を、閾値に応じてアラートレベルを判定してオペレータに通知する（Ｓ３０６）。
図８に、攻撃種別の確度に関する閾値表の一例を示す。
図８に示したように、アラートレベルによって、オペレータへのアラート通知の要否を判断した結果に基づいてアラート通知を行う。
オペレータへのアラート通知の内容としては、検知時刻、アラートレベル、発信元位置、判定された攻撃種別、確度、発信元ＩＰアドレス、宛先ＩＰアドレス、宛先ポート番号、プロトコルが含まれる。
また、図８の各アラートレベルの閾値および通知の要否については、監視ポリシにより、手動で設定を変えることにより、アラート通知の感度を調整する。
【００４７】
また、オペレータへのアラート通知の有無によらず、ネットワーク攻撃判定装置（１１７）の動作履歴を後からオペレータが参照できるようにするため、ログ集計部（１１９）、特徴変化検出部（１２０）、攻撃判定部（１２１）の結果は、テキスト形式でネットワーク攻撃判定装置（１１７）上の記憶領域に保存しておく。
【００４８】
以上のように、トラフィック情報から異常を検知する異常検知装置において異常が検知された場合に、監視対象ネットワーク上の各ネットワーク機器、ならびに、各サーバからのログを集計して、各ログに対する評価パラメータを算出すると共に、攻撃種別による各ログへの影響を評価パラメータでモデル化して攻撃分類情報を定義し、観測された各ログに対する評価パラメータの増加の有無により、攻撃分類情報と比較して攻撃種別の判定を行い、判定の確度によってアラートをレベル分けし、アラートレベルに応じてオペレータへ通知するようにしているので、異常検知装置によって通常発生しうる範囲のトラフィック変動を検知してしまうような誤検知によるアラートの発生を低減できるとともに、異常検知装置が検出した攻撃種別を特定することによって、攻撃種別に応じて迅速な対応をとることが可能となる。
【００４９】
以上、本実施の形態では、既存の異常検知装置で異常を検知した場合に、ルータやファイアウォールなどのネットワーク機器、ならびに、通信を受信したサーバ、侵入検知装置（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）で記録されるログ（通信確立の有無、パケットの通過／廃棄ログ、サーバアクセス／エラーログ、ＩＤＳ検知ログ）を集計し、通常時に観測される値と比較することで、検知した異常が実際の攻撃を検知したものであるか、もしくは、誤検知であるかを判定するネットワーク攻撃判定装置を説明した。
【００５０】
実施の形態２．
以上の実施の形態１では、ログ収集装置によって収集された各種ログから算出された評価パラメータと攻撃分類情報を比較することによって、攻撃種別の特定とレベル分けされたアラート通知によって異常検知装置（１１２）の誤検知によるアラートを低減するようにしたものであるが、次に、ネットワーク攻撃判定装置の判定結果から、攻撃の経路を特定する実施の形態２を示す。
【００５１】
図９は、本実施の形態に係るネットワーク攻撃判定装置（１１７）で攻撃の経路が特定された結果の一例を表している。
図９において、８０１は、監視対象ネットワークのネットワーク図を表示する画面を表している。
なお、本実施の形態に係るシステム構成は図１に示した通りであり、また、ネットワーク攻撃判定装置（１１７）の内部構成例も図１に示した通りである。
【００５２】
ネットワーク攻撃判定装置（１１７）のログ集計部（１１９）では、装置識別ＩＤごとに評価パラメータを算出する。
したがって、特徴変化検出部（１２０）において、増加と判定された評価パラメータが、監視対象ネットワーク上のどの機器のログから生成されたのかが特定できる。
また、攻撃の発信元に関する情報としては、異常検知装置（１１２）の検知情報に含まれる発信元位置、および、発信元ＩＰアドレス別に集計される評価パラメータに増加が検出された場合には、増加が観測された発信元ＩＰアドレスまで特定できる。
そこで、あらかじめ描画されている監視対象ネットワークのネットワーク図において、オペレータへのアラート通知時に、自動、もしくは、オペレータからの指示入力により、アラート通知部（１２２）は、評価パラメータで増加が検出されたネットワーク機器、サーバ、発信元位置、発信元ＩＰアドレスが付与された端末、および、それらを結合するネットワーク配線を強調して表示することによって、攻撃の通信経路をグラフィカルに特定する。
本実施の形態では、アラート通知部（１２２）は、攻撃経路情報生成部の例である。
【００５３】
図９では、評価パラメータとして、ルータ１、ルータ２、ルータ５のＮｅｔＦｌｏｗログの特定ＩＰアドレスを発信元とするログ数、Ｆｉｒｅｗａｌｌ通過ログの特定ＩＰアドレスからの特定ＩＰアドレスへのアクセス数、Ｐｒｏｘｙサーバログの特定ＵＲＬ宛のＰＯＳＴ通信数で増加と判定され、攻撃種別がＷｅｂによる情報漏洩と判断された場合を図示したものである。
発信元ＩＰアドレスが端末１２のものであると特定されているのは、ルータ５の特定ＩＰアドレスを発信元とするログ数の集計で、発信元ＩＰアドレスが特定されたためである。発信元ＩＰアドレスが特定されなかった場合は、異常検知装置（１１２）で特定されている発信元位置に含まれる端末全て、もしくは、エリアを強調表示する。
【００５４】
このように、本実施の形態では、攻撃判定部（１２１）は、監視対象ネットワーク（１１４）に対する攻撃が行われたと判断した場合に、特徴変化検出部（１２０）でパラメータ値が増加していると判定された評価パラメータ（ログ導出非定常パラメータ）の導出元となったログの生成元の通信機器が、監視対象ネットワーク（１１４）に対する攻撃の攻撃経路に含まれていると推定する。
また、ログ集計部（１１９）は、複数種の評価パラメータの１つとして、取得したログに示されている通信アドレスごとに通信アドレスの出現数を導出し、攻撃判定部（１２１）が、いずれかの通信アドレスの出現数が定常範囲から外れており監視対象ネットワーク（１１４）に対する攻撃が行われたと判断した場合に、出現数が定常範囲から外れている通信アドレスと、検知情報（１１６）に示されている発信元通信アドレスとに基づき、監視対象ネットワーク（１１４）に対する攻撃の攻撃元を推定する。
また、アラート通知部（１２２）は、攻撃判定部（１２１）により推定された攻撃経路及び攻撃元をグラフィカルに表示する攻撃経路情報（図９）を生成し、攻撃経路情報をオペレータに提示する。
【００５５】
以上のように、ネットワーク攻撃判定装置における分析の結果を、監視対象ネットワークのネットワーク図に図示することによって、実施の形態１で得られる攻撃種別に加え、その攻撃の経路についても特定されるため、対策が必要な箇所が明確になるとともに、事後の対策として、どの機器のログを保全しておけばよいのかについても、容易に選出可能となる。
【００５６】
以上、本実施の形態では、攻撃があったと判定した場合に、ログの特徴が変化した機器をネットワーク図で示すことにより、攻撃の経路を特定するネットワーク攻撃判定装置を説明した。
【００５７】
最後に、実施の形態１及び２に示したネットワーク攻撃判定装置（１１７）のハードウェア構成例について説明する。
図１０は、実施の形態１及び２に示すネットワーク攻撃判定装置（１１７）のハードウェア資源の一例を示す図である。
なお、図１０の構成は、あくまでもネットワーク攻撃判定装置（１１７）のハードウェア構成の一例を示すものであり、ネットワーク攻撃判定装置（１１７）のハードウェア構成は図１０に記載の構成に限らず、他の構成であってもよい。
【００５８】
図１０において、ネットワーク攻撃判定装置（１１７）は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ  Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７と接続していてもよい。また、磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
通信ボード９１５、キーボード９０２、マウス９０３、スキャナ装置９０７、ＦＤＤ９０４などは、入力装置の一例である。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力装置の一例である。
【００５９】
通信ボード９１５は、ネットワークに接続されている。例えば、通信ボード９１５は、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。
【００６０】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
【００６１】
また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
【００６２】
また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ  Ｉｎｐｕｔ  Ｏｕｔｐｕｔ  Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
ネットワーク攻撃判定装置（１１７）の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
【００６３】
上記プログラム群９２３には、実施の形態１及び２の説明において「〜部」として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
【００６４】
ファイル群９２４には、実施の形態１及び２の説明において、「〜の判断」、「〜の判定」、「〜の計算」、「〜の算出」、「〜の抽出」、「〜の比較」、「〜の評価」、「〜の更新」、「〜の設定」、「〜の登録」、「〜の選択」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１及び２で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００６５】
また、実施の形態１及び２の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、実施の形態１及び２の「〜部」としてコンピュータを機能させるものである。あるいは、実施の形態１及び２の「〜部」の手順や方法をコンピュータに実行させるものである。
【００６６】
このように、実施の形態１及び２に示すネットワーク攻撃判定装置（１１７）は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータであり、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【図面の簡単な説明】
【００６７】
【図１】実施の形態１に係るシステム構成例を示す図。
【図２】実施の形態１に係る監視対象ネットワークの構成例を示す図。
【図３】実施の形態１に係るネットワーク攻撃判定装置の動作例を示すフローチャート図。
【図４】実施の形態１に係るログ集計処理の例を示すフローチャート図。
【図５】実施の形態１に係る攻撃判定処理の例を示すフローチャート図。
【図６】実施の形態１に係る攻撃分類情報の例を示す図。
【図７】実施の形態１に係る攻撃分類情報の例を示す図。
【図８】実施の形態１に係る攻撃種別の確度に関する閾値表の例を示す図。
【図９】実施の形態２に係る攻撃経路情報の例を示す図。
【図１０】実施の形態１及び２に係るネットワーク攻撃判定装置のハードウェア構成例を示す図。
【符号の説明】
【００６８】
１０１  ルータ、１０２  Ｆｉｒｅｗａｌｌ、１０３  ＩＤＳ、１０４  サーバ、１０５  ログ、１０６  ログ、１０７  ログ、１０８  ログ、１０９  ログ収集装置、１１０  ログ収集部、１１１  ログＤＢ、１１２  異常検知装置、１１３  トラフィック情報、１１４  監視対象ネットワーク、１１５  ログ、１１６  検知情報、１１７  ネットワーク攻撃判定装置、１１８  検知情報受信部、１１９  ログ集計部、１２０  特徴変化検出部、１２１  攻撃判定部、１２２  アラート通知部、１２３  攻撃分類情報記憶部、１２４  検知アラート。
【図１】
2010152773.tif 000003
【図２】
2010152773.tif 000004
【図３】
2010152773.tif 000005
【図４】
2010152773.tif 000006
【図５】
2010152773.tif 000007
【図６】
2010152773.tif 000008
【図７】
2010152773.tif 000009
【図８】
2010152773.tif 000010
【図９】
2010152773.tif 000011
【図１０】
2010152773.tif 000012