(57)【要約】  ネットワーク的特徴量生成部（１１２）は、複数の観測点で収集されたアクセスデータを、検知対象アクセス元ごとに分類し、検知対象アクセス元ごとのネットワーク的特徴量を生成する。そして、アクセス元検知部（１１３）は、ネットワーク的特徴量を基に、所定の連続アクセスを行っているアクセス元を検知する。点的特徴量生成部（１１４）は、単一の観測点で収集されたアクセスデータごとの特徴量である検知対象点的特徴量と、アクセス元検知部（１１３）によって検知されたアクセス元のアクセスデータごとの特徴量である教師点的特徴量と、を生成する。そして、アクセス検知部（１１５）は、検知対象点的特徴量の教師点的特徴量との類似度が所定値以上であるアクセスデータを、所定の連続アクセスによるアクセスデータとして検知する。
2017145843.tif 000002
【特許請求の範囲】
【請求項１】
解析装置で実行される解析方法であって、
ネットワーク上の複数の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第１のアクセスデータを、前記アクセスのアクセス元である検知対象アクセス元ごとに分類し、前記検知対象アクセス元ごとの前記第１のアクセスデータの特徴量であるネットワーク的特徴量を生成するネットワーク的特徴量生成工程と、
前記ネットワーク的特徴量を基に、前記検知対象アクセス元のうち、所定の連続アクセスを行っているアクセス元を検知するアクセス元検知工程と、
ネットワーク上の単一の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第２のアクセスデータごとの特徴量である検知対象点的特徴量と、前記第１のアクセスデータのうち、アクセス元が前記アクセス元検知工程によって検知されたアクセス元である第１のアクセスデータごとの特徴量である教師点的特徴量と、を生成する点的特徴量生成工程と、
前記第２のアクセスデータのうち、前記検知対象点的特徴量の前記教師点的特徴量との類似度が所定値以上である第２のアクセスデータを、前記所定の連続アクセスによるアクセスデータとして検知するアクセス検知工程と、
を含んだことを特徴とする解析方法。
【請求項２】
前記ネットワーク的特徴量生成工程は、パケットの送信元アドレス、アドレスブロック、アドレス管理事業者のいずれかを前記検知対象アクセス元とし、前記ネットワーク的特徴量に、パケットサイズの統計情報、パケット到着間隔の統計情報、パケット数の統計情報、ポート番号の統計情報、ポート番号の連続性、宛先アドレスの連続性のうち少なくとも１つを含め、
前記点的特徴量生成工程は、前記検知対象点的特徴量および前記教師点的特徴量に、ＨＴＴＰリクエストメッセージのリクエスト部、ヘッダ部およびボディ部と、ＨＴＴＰレスポンスメッセージのリクエスト部、ヘッダ部およびボディ部と、パケットのアドレス情報と、パケットのポート番号情報と、のうち少なくとも１つを含めることを特徴とする請求項１に記載の解析方法。
【請求項３】
前記アクセス元検知工程は、ぜい弱性スキャンによる連続アクセスを行っているアクセス元、またはクローラによる連続アクセスを行っているアクセス元を検知することを特徴とする請求項１または２に記載の解析方法。
【請求項４】
前記アクセス元検知工程は、前記検知対象アクセス元のうち、前記ネットワーク的特徴量の、ぜい弱性スキャンによるアクセスを行うことが既知であるアクセス元によるアクセスに関するアクセスデータから生成される教師ネットワーク的特徴量との類似度が所定値以上であるアクセス元を、ぜい弱性スキャンによる連続アクセスを行っているアクセス元として検知することを特徴とする請求項３に記載の解析方法。
【請求項５】
前記アクセス元検知工程は、前記検知対象アクセス元のうち、前記ネットワーク的特徴量の、クローラによるアクセスを行うことが既知であるアクセス元によるアクセスに関するアクセスデータから生成される教師ネットワーク的特徴量との類似度が所定値以上であるアクセス元を、クローラによる連続アクセスを行っているアクセス元として検知することを特徴とする請求項３に記載の解析方法。
【請求項６】
前記アクセス元検知工程は、前記検知対象アクセス元のうち、前記アクセス元検知工程によって、クローラによる連続アクセスを行っているアクセス元として検知されたアクセス元以外のアクセス元から、さらにぜい弱性スキャンによる連続アクセスを行っているアクセス元を検知することを特徴とする請求項５に記載の解析方法。
【請求項７】
ネットワーク上の複数の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第１のアクセスデータを、前記アクセスのアクセス元である検知対象アクセス元ごとに分類し、前記検知対象アクセス元ごとの前記第１のアクセスデータの特徴量であるネットワーク的特徴量を生成するネットワーク的特徴量生成部と、
前記ネットワーク的特徴量を基に、前記検知対象アクセス元のうち、所定の連続アクセスを行っているアクセス元を検知するアクセス元検知部と、
ネットワーク上の単一の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第２のアクセスデータごとの特徴量である検知対象点的特徴量と、前記第１のアクセスデータのうち、アクセス元が前記アクセス元検知部によって検知されたアクセス元である第１のアクセスデータごとの特徴量である教師点的特徴量と、を生成する点的特徴量生成部と、
前記第２のアクセスデータのうち、前記検知対象点的特徴量の前記教師点的特徴量との類似度が所定値以上である第２のアクセスデータを、前記所定の連続アクセスによるアクセスデータとして検知するアクセス検知部と、
を有することを特徴とする解析装置。
【請求項８】
コンピュータに、
ネットワーク上の複数の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第１のアクセスデータを、前記アクセスのアクセス元である検知対象アクセス元ごとに分類し、前記検知対象アクセス元ごとの前記第１のアクセスデータの特徴量であるネットワーク的特徴量を生成するネットワーク的特徴量生成ステップと、
前記ネットワーク的特徴量を基に、前記検知対象アクセス元のうち、所定の連続アクセスを行っているアクセス元を検知するアクセス元検知ステップと、
ネットワーク上の単一の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第２のアクセスデータごとの特徴量である検知対象点的特徴量と、前記第１のアクセスデータのうち、アクセス元が前記アクセス元検知ステップによって検知されたアクセス元である第１のアクセスデータごとの特徴量である教師点的特徴量と、を生成する点的特徴量生成ステップと、
前記第２のアクセスデータのうち、前記検知対象点的特徴量の前記教師点的特徴量との類似度が所定値以上である第２のアクセスデータを、前記所定の連続アクセスによるアクセスデータとして検知するアクセス検知ステップと、
を実行させることを特徴とする解析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、解析方法、解析装置および解析プログラムに関する。
【背景技術】
【０００２】
近年、インターネットのインフラ化、Ｗｅｂサービスの浸透に伴い、それらを提供するＷｅｂサーバに対する攻撃が急増している。また、Ｗｅｂを介して特定の政府、企業等の団体を対象に攻撃を行うサイバーテロも増加しており、社会的、政治的な問題となっている。【０００３】
従来、このようなＷｅｂサイトへの攻撃を検知する方法として、ソフトウェアの脆弱性を解析して生成されたシグネチャを用いる方法と、攻撃を収集、解析して検知する方法が知られている。近年のＷｅｂアプリケーションの爆発的な普及を考慮すると、前者を網羅的に実施するのは困難なため、Ｗｅｂサーバ型ハニーポット等を設置して攻撃の挙動を収集、分析する手法がとられている。【０００４】
攻撃を収集して解析する手法には、ユーザＰＣやサーバでトラヒックをキャプチャして解析する手法があるが、この手法は高い検知精度が期待できる一方、プライバシの問題やトラヒックのキャプチャがサービス品質に与える影響等を考慮する必要があるため、実施できる環境には制限がある。【０００５】
このため、Ｗｅｂサイトへの攻撃を収集するシステム（Ｗｅｂサーバ型ハニーポット）を設置し、攻撃の実際の挙動を確認する方法が重要となる（例えば非特許文献１および２）。ハニーポットは、攻撃対象に応じて構築される囮システムであり、Ｗｅｂサーバ型ハニーポットは、Ｗｅｂサイトへの攻撃を収集する際に使用される。【０００６】
ハニーポットは、一般的にエミュレータである低対話型と、実際のＯＳやアプリケーションを用いる高対話型に大別される。特にＷｅｂサイトへの攻撃は、囮であることが攻撃者に感知されにくく、多くの情報を収集できる高対話型が使用される。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】J.  P.  John,  F.  Yu,  Y.  Xie,  A.  Krishnamurthy,  and  M.  Abadi,  “Heat-seeking  honeypots:  Design  and  experience,”  in  Proceedings  of  the  20th  International  Conference  on  World  Wide  Web,  Mar.  2011.
【非特許文献２】D.  Canali  and  D.  Balzarotti,  “Behind  the  scenes  of  online  attacks:  an  analysis  of  exploitation  behaviors  on  the  web,”  in  Proceedings  of  20th  Annual  Network  &  Distributed  System  Security  Symposium  (NDSS  2013),  Feb.  2013.
【非特許文献３】T.  Nelms,  R.  Perdisci,  and  M.  Ahamad,  “ExecScent:  mining  for  new  C&C  domains  in  live  networks  with  adaptive  control  protocol  templates,”  Proc.  22nd  USENIX  Conf.  Secur.,  pp.589‐604,  Aug.  2013.
【非特許文献４】千葉大紀、八木毅、秋山満昭、青木一史、針生剛男、「感染後通信検知のための通信プロファイリング技術の設計と評価」コンピュータセキュリティシンポジウム2014論文集、2014(2)  pp.960‐967、2014年10月
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、従来技術では、限られた情報から、攻撃による通信を当該通信に類似した正常な通信と識別しつつ検知することが困難である問題があった。【０００９】
例えば、ハニーポットへは、検索エンジンデータベース作成のためのクローラによる正常な通信が行われる場合がある。クローラによる通信は、様々なプログラムに対して様々な入力値を試行する点で、Ｗｅｂサイトのぜい弱性を確認するぜい弱性スキャンと類似しているため、単一の通信、あるいは単一のサーバから得られる限られた情報から両者を識別しつつぜい弱性スキャンを検知することは困難である。
【課題を解決するための手段】
【００１０】
本発明の解析方法は、解析装置で実行される解析方法であって、ネットワーク上の複数の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第１のアクセスデータを、前記アクセスのアクセス元である検知対象アクセス元ごとに分類し、前記検知対象アクセス元ごとの前記第１のアクセスデータの特徴量であるネットワーク的特徴量を生成するネットワーク的特徴量生成工程と、前記ネットワーク的特徴量を基に、前記検知対象アクセス元のうち、所定の連続アクセスを行っているアクセス元を検知するアクセス元検知工程と、ネットワーク上の単一の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第２のアクセスデータごとの特徴量である検知対象点的特徴量と、前記第１のアクセスデータのうち、アクセス元が前記アクセス元検知工程によって検知されたアクセス元である第１のアクセスデータごとの特徴量である教師点的特徴量と、を生成する点的特徴量生成工程と、前記第２のアクセスデータのうち、前記検知対象点的特徴量の前記教師点的特徴量との類似度が所定値以上である第２のアクセスデータを、前記所定の連続アクセスによるアクセスデータとして検知するアクセス検知工程と、を含んだことを特徴とする。【００１１】
また、本発明の解析装置は、ネットワーク上の複数の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第１のアクセスデータを、前記アクセスのアクセス元である検知対象アクセス元ごとに分類し、前記検知対象アクセス元ごとの前記第１のアクセスデータの特徴量であるネットワーク的特徴量を生成するネットワーク的特徴量生成部と、前記ネットワーク的特徴量を基に、前記検知対象アクセス元のうち、所定の連続アクセスを行っているアクセス元を検知するアクセス元検知部と、ネットワーク上の単一の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第２のアクセスデータごとの特徴量である検知対象点的特徴量と、前記第１のアクセスデータのうち、アクセス元が前記アクセス元検知部によって検知されたアクセス元である第１のアクセスデータごとの特徴量である教師点的特徴量と、を生成する点的特徴量生成部と、前記第２のアクセスデータのうち、前記検知対象点的特徴量の前記教師点的特徴量との類似度が所定値以上である第２のアクセスデータを、前記所定の連続アクセスによるアクセスデータとして検知するアクセス検知部と、を有することを特徴とする。【００１２】
また、本発明の解析プログラムは、コンピュータに、ネットワーク上の複数の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第１のアクセスデータを、前記アクセスのアクセス元である検知対象アクセス元ごとに分類し、前記検知対象アクセス元ごとの前記第１のアクセスデータの特徴量であるネットワーク的特徴量を生成するネットワーク的特徴量生成ステップと、前記ネットワーク的特徴量を基に、前記検知対象アクセス元のうち、所定の連続アクセスを行っているアクセス元を検知するアクセス元検知ステップと、ネットワーク上の単一の観測点で収集された、前記ネットワーク上のサーバへのアクセスに関する第２のアクセスデータごとの特徴量である検知対象点的特徴量と、前記第１のアクセスデータのうち、アクセス元が前記アクセス元検知ステップによって検知されたアクセス元である第１のアクセスデータごとの特徴量である教師点的特徴量と、を生成する点的特徴量生成ステップと、前記第２のアクセスデータのうち、前記検知対象点的特徴量の前記教師点的特徴量との類似度が所定値以上である第２のアクセスデータを、前記所定の連続アクセスによるアクセスデータとして検知するアクセス検知ステップと、を実行させることを特徴とする。
【発明の効果】
【００１３】
本発明によれば、限られた情報から、攻撃による通信を当該通信に類似した正常な通信と識別しつつ検知することができる。
【図面の簡単な説明】
【００１４】
【図１】図１は、第１の実施形態に係る解析装置が備えられたネットワークの構成の一例を示す図である。
【図２】図２は、第１の実施形態に係る解析装置の構成の一例を示す図である。
【図３】図３は、第１の実施形態に係る解析装置の解析処理について説明するための図である。
【図４】図４は、第１の実施形態に係る解析装置の解析処理について説明するための図である。
【図５】図５は、第１の実施形態に係る解析装置のネットワーク的特徴量を用いたスキャン検知処理の流れを示すフローチャートである。
【図６】図６は、第１の実施形態に係る解析装置のネットワーク的特徴量を用いたクローリング検知処理の流れを示すフローチャートである。
【図７】図７は、第１の実施形態に係る解析装置の点的特徴量を用いたスキャン検知処理の流れを示すフローチャートである。
【図８】図８は、第１の実施形態に係る解析装置の点的特徴量を用いたクローリング検知処理の流れを示すフローチャートである。
【図９】図９は、第１の実施形態に係る解析装置のネットワーク的特徴量および点的特徴量を用いたスキャン検知処理の流れを示すフローチャートである。
【図１０】図１０は、第１の実施形態に係る解析装置のネットワーク的特徴量および点的特徴量を用いたクローリング検知処理の流れを示すフローチャートである。
【図１１】図１１は、第１の実施形態に係る解析装置のネットワーク的特徴量のみを用いた検知処理の流れを示すフローチャートである。
【図１２】図１２は、第１の実施形態に係る解析装置の点的特徴量のみを用いた検知処理の流れを示すフローチャートである。
【図１３】図１３は、第１の実施形態に係る解析装置の効果を説明するための図である。
【図１４】図１４は、プログラムが実行されることにより解析装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１５】
以下に、本願に係る解析方法、解析装置および解析プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本発明が限定されるものではない。
【００１６】
［第１の実施形態］
まず、第１の実施形態に係る解析装置の構成、処理の流れおよび効果を説明する。なお、前述の通り、ハニーポットには、エミュレータである低対話型と、実際のＯＳやアプリケーションを用いる高対話型があるが、本実施形態におけるハニーポットは、高対話型のＷｅｂサーバ型ハニーポットであるものとする。
【００１７】
［第１の実施形態の構成］
図１を用いて、第１の実施形態の解析装置が備えられたネットワークの構成について説明する。図１は、第１の実施形態に係る解析装置が備えられたネットワークの構成の一例を示す図である。
【００１８】
ネットワーク１は、データ中継装置２０、３０および４０を経由することでネットワーク２〜４を収容している。ここで、データ中継装置２０、３０および４０は、例えば、一般的なルータやスイッチ、ゲートウェイ装置等である。また、ネットワーク１は例えばインターネットのような広域ネットワークである。また、ネットワーク２〜４は、ＬＡＮ（Local  Area  Network）やホームネットワーク、クラウドコンピューティング環境内に構築されたネットワーク等である。
【００１９】
データ中継装置２０は、顧客から預かるユーザＷｅｂサーバ２０１、２０２を収容し、サーバ監視機能２１経由で囮Ｗｅｂサーバ２１１、２１２をさらに収容している。なお、サーバ監視機能２１は、データ中継装置２０の外側に配置されていてもよいし、データ中継装置２０の一機能として、データ中継装置２０内に配置されていてもよい。また、例えば囮Ｗｅｂサーバ２１１および２１２はハニーポットとして機能する。
【００２０】
また、サーバ監視機能２１と囮Ｗｅｂサーバ２１１と囮Ｗｅｂサーバ２１２の物理インタフェースが１口であれば、各々の装置に接続した物理リンクをルータやスイッチやハブ等の転送装置に接続することで物理インタフェースを複数口としてもよい。また、各装置の物理インタフェースが複数口であれば、サーバ監視機能２１と囮Ｗｅｂサーバ２１１および囮Ｗｅｂサーバ２１２をハブ＆スポーク状に物理リンクで接続することができる。このことは、データ中継装置２０、ユーザＷｅｂサーバ２０１およびユーザＷｅｂサーバ２０２についても同様である。
【００２１】
また、データ中継装置３０は、サーバ監視機能３１経由でユーザＷｅｂサーバ３０１、３０２を収容している。なお、各ネットワークに配置されるサーバの数および各データ中継装置が収容するサーバの数は、図１の例に限定されず、任意の数とすることができる。また、配置されるサーバの種類は、ユーザＷｅｂサーバのみであってもよいし、囮Ｗｅｂサーバのみであってもよい。また、ネットワーク１には、不正アクセスを試行する攻撃者が使用する攻撃者端末４０１が、データ中継装置４０経由で収容されている。
【００２２】
解析装置１０は、各サーバへのアクセスデータを解析する。解析装置１０は、ネットワーク１に配置され、各サーバや各サーバへのアクセスを監視する機能を有する各データ中継装置と、オンラインで接続されている。なお、解析装置１０の配置は、図１の例に限定されず、例えば、独立したネットワークに配置され、各データ監視装置が収集したアクセスデータをオフラインで受け取るようにしてもよい。解析装置１０は、アクセスデータから特徴量を生成する。
【００２３】
図２を用いて、解析装置１０の構成について説明する。図２は、第１の実施形態に係る解析装置の構成の一例を示す図である。図２に示すように解析装置１０は、制御部１１および記憶部１２を有する。また、制御部１１は、収集部１１１、ネットワーク的特徴量生成部１１２、アクセス元検知部１１３、点的特徴量生成部１１４およびアクセス検知部１１５を有する。また、記憶部１２は、アクセス元記憶部１２１およびアクセス記憶部１２２を有する。
【００２４】
収集部１１１は、各データ中継装置からアクセスデータを収集する。各データ中継装置は、Ｗｅｂサーバや囮Ｗｅｂサーバ、各サーバへのアクセスを監視し、アクセスデータを収集する。各データ中継装置が収集するアクセスデータは、どの情報を特徴量に用いるかに依存する。例えば、各データ中継装置は、ＨＴＴＰリクエストメッセージにおけるリクエスト部に記載されたＵＲＬやメソッド、ヘッダ部に記載されたＵｓｅｒＡｇｅｎｔやＲｅｆｅｒｅｒ、ボディ部に記載された送信元ＩＰアドレスや宛先ＩＰアドレスや送信元ポート番号や宛先ポート番号やプロトコル番号およびＰＯＳＴメソッド時におけるボディ部の長さ等を収集する。
【００２５】
ネットワーク的特徴量生成部１１２は、ネットワーク上の複数の観測点で収集された、ネットワーク上のサーバへのアクセスに関する第１のアクセスデータを、アクセスのアクセス元である検知対象アクセス元ごとに分類し、検知対象アクセス元ごとの第１のアクセスデータの特徴量であるネットワーク的特徴量を生成する。ここで、複数の観測点とは、例えば図１のデータ中継装置２０、３０および４０である。また、第１のアクセスデータとは、例えば、図１のネットワーク１で収集されたアクセスデータである。
【００２６】
このとき、ネットワーク的特徴量生成部１１２は、パケットの送信元アドレス、アドレスブロック、アドレス管理事業者のいずれかを検知対象アクセス元とし、ネットワーク的特徴量に、パケットサイズの統計情報、パケット到着間隔の統計情報、パケット数の統計情報、ポート番号の統計情報、ポート番号の連続性、宛先アドレスの連続性のうち少なくとも１つを含めることとしてもよい。
【００２７】
具体的に、ネットワーク的特徴量生成部１１２は、収集部１１１が収集したアクセスデータをアクセス元単位で集合化し、集合内でネットワーク的特徴情報を生成する。また、ネットワーク的特徴量生成部１１２は、収集部１１１によって収集された情報から生成された追加の情報を基に特徴量を生成してもよい。
【００２８】
例えば、ネットワーク的特徴量生成部１１２は、収集部１１１がアクセスデータとして収集したリクエストＵＲＬやＵｓｅｒＡｇｎｅｔやＲｅｆｅｒｅｒを正規表現化し、正規表現から特徴量を抽出してもよい。この際、ネットワーク的特徴量生成部１１２は、正規表現化する前の文字列の長さやＵＲＬでのパスの階層数、クエリの属性数、階層や属性ごとの文字数の平均を特徴量としてもよいし、正規表現化されたデータに含まれるデータ型とその割合を特徴量とすることもできる（例えば非特許文献３を参照）。
【００２９】
また、ネットワーク的特徴量生成部１１２は、ＩＰアドレスを元に、サブネット、ＡＳ番号、事業者、国の情報を取得して特徴量とすることもできる。加えて、ネットワーク的特徴量生成部１１２は、ポート番号がｗｅｌｌ−ｋｎｏｗｓポートであるかｒｅｓｅｒｖｅｄであるかｐｒｉｖａｔｅであるか、という情報を特徴量として追加してもよいし、特定のポートか否かを特徴量として追加してもよい。
【００３０】
また、ネットワーク的特徴量生成部１１２は、ＨＴＴＰレスポンスメッセージにおける、レスポンス部に記載されたステータスコード、コンテンツの種類、コンテンツのテキスト種別（ＨＴＭＬ、ＣＳＳ等）、テキストの文字コード（ＵＴＦ−８、ＩＳＯ−８８５９−１等）、リクエスト受信後のＷｅｂサーバや囮Ｗｅｂサーバの挙動を特徴量に加えてもよい。また、ネットワーク的特徴量生成部１１２は、ポート番号について、同一アドレスからのパケット群におけるパケットサイズの統計値、パケット到着間隔の統計値、到着パケット数の統計値、周期的な特徴、ポート番号に連続性が見られるか、送信先ＩＰアドレスに連続性が見られるか、等の全てまたは一部を特徴量に加えてもよい。
【００３１】
さらに、ネットワーク的特徴量生成部１１２は、アクセスデータを解析する対象のＷｅｂサーバや囮Ｗｅｂサーバに対して、各サーバが保有するＩＰアドレス順にアクセスしているか、また、その際にポート番号を同一にしているか、また、ポート番号を規則的に増減させているのか、等を特徴量に加えてもよい。
【００３２】
さらに、ネットワーク的特徴量生成部１１２は、例えばハニーポットからエラーコードが返される割合を特徴量として用いてもよい。なお、ネットワーク的特徴量生成部１１２は、アクセス元ＩＰアドレスをアクセス元単位としてもよいし、ＡＳ番号をアクセス元単位としてもよいし、アドレスブロックをアクセス元単位としてもよい。
【００３３】
また、パケット到着間隔の統計値を特徴量とする場合、ネットワーク的特徴量生成部１１２は、通信ログ集合をＨＴＴＰリクエスト到着時刻で昇順に並び替え、到着時刻順に並べられた通信ログ集合をさらに時間スロットΔｔごとに区切る。ここで、周期的に通信要求を行うクローラと、バースト的に通信要求を行うぜい弱性スキャンとでは、ＨＴＴＰリクエストの到着にそれぞれ異なる傾向が現れることが知られている。そこで、ネットワーク的特徴量生成部１１２は、各スロットにおけるリクエストの到着数や到着リクエストが存在するスロットの数等から、リクエストの到着数や到着間隔、周期性、バースト性に関する特徴量を抽出することができる。なお、ネットワーク的特徴量生成部１１２は、到着間隔の数字を直接特徴量としてもよい。
【００３４】
また、ぜい弱性スキャンでは、数値的に連続したＩＰアドレスに対して連続的に通信要求が行われることがある。そこで、ネットワーク的特徴量生成部１１２は、ＨＴＴＰリクエスト到着時刻順に並べられた通信ログ集合を基に、リクエスト到着順に対する送信先ＩＰアドレスの連続性について分析した結果を特徴量として用いることもできる。
【００３５】
アクセス元検知部１１３は、ネットワーク的特徴量を基に、検知対象アクセス元のうち、所定の連続アクセスを行っているアクセス元を検知する。例えば、アクセス元検知部１１３は、ぜい弱性スキャンによる連続アクセスを行っているアクセス元、またはクローラによる連続アクセスを行っているアクセス元を検知する。
【００３６】
点的特徴量生成部１１４は、ネットワーク上の単一の観測点で収集された、ネットワーク上のサーバへのアクセスに関する第２のアクセスデータごとの特徴量である検知対象点的特徴量と、第１のアクセスデータのうち、アクセス元がアクセス元検知部１１３によって検知されたアクセス元である第１のアクセスデータごとの特徴量である教師点的特徴量と、を生成する。ここで、単一の観測点とは、例えば図１のデータ中継装置２０である。また、第２のアクセスデータとは、例えば、図１のネットワーク２で収集されたアクセスデータである。
【００３７】
例えば、図１の攻撃者端末４０１が、アクセス元検知部１１３によって、ぜい弱性スキャンによる連続アクセスを行っているアクセス元として検知された場合、攻撃者端末４０１をアクセス元とするアクセスデータであって、データ中継装置２０、３０および４０で収集されたアクセスデータそれぞれの特徴量が教師点的特徴量である。また、このとき、例えば、データ中継装置２０で収集されたアクセスデータそれぞれの特徴量が検知対象点的特徴量である。
【００３８】
また、点的特徴量生成部１１４は、検知対象点的特徴量および教師点的特徴量に、ＨＴＴＰリクエストメッセージのリクエスト部、ヘッダ部およびボディ部と、ＨＴＴＰレスポンスメッセージのリクエスト部、ヘッダ部およびボディ部と、パケットのアドレス情報と、パケットのポート番号情報と、のうち少なくとも１つを含めるようにしてもよい。
【００３９】
ここで、検知対象点的特徴量および教師点的特徴量を含む点的特徴量について説明する。ネットワーク的特徴量が、アクセス元ごとの特徴量であったのに対し、点的特徴量はアクセスごとの特徴量である。すなわち、１台のＷｅｂサーバや囮Ｗｅｂサーバへのアクセスデータが点的特徴量の抽出対象である。
【００４０】
具体的に、点的特徴量生成部１１４は、収集部１１１が収集したアクセスデータ、または検知対象のアクセスデータを基に特徴量を生成する。また、点的特徴量生成部１１４は、ネットワーク的特徴量と同じ情報に基づいて点的特徴量を生成してもよいし、ネットワーク的特徴量とは異なる情報に基づいて点的特徴量を生成してもよい。
【００４１】
点的特徴量生成部１１４がリクエストＵＲＬ「ｈｔｔｐ：／／ｗｗｗ．ｅｘａｍｐｌｅ．ｃｏｍ／ｔｅｓｔ／ｉｎｄｅｘ．ｐｈｐ？ｉｄ＝１」から特徴量を生成する場合の例について説明する。なお、ネットワーク的特徴量生成部１１２も、同様の方法で特徴量を生成してもよい。
【００４２】
点的特徴量生成部１１４は、リクエストＵＲＬにおけるパス部「／ｔｅｓｔ／ｉｎｄｅｘ．ｐｈｐ」、およびクエリ部「ｉｄ＝１」を基に特徴量を生成する。パス部は、リクエストされたリソースの場所（パス）を指定する箇所である。また、クエリ部は、リクエスト時のパラメータを指定する箇所である。
【００４３】
まず、点的特徴量生成部１１４は、パス部やクエリ部の文字数を特徴量とすることができる。この場合、点的特徴量生成部１１４は、パス部の文字数である１２や、クエリ部の文字数である３を特徴量とする。ここでは、点的特徴量生成部１１４は、「／」や「．」等の区切り文字は文字数に含めないこととする。
【００４４】
また、点的特徴量生成部１１４は、パス部の階層数やクエリ部のパラメータ数を特徴量とすることができる。この場合、点的特徴量生成部１１４は、パス部の階層数である２や、クエリ部のパラメータ数である１を特徴量とする。
【００４５】
さらに、点的特徴量生成部１１４は、パス部における階層ごとの平均文字数、クエリ部におけるパラメータごとの平均文字数を特徴量としてもよい。この場合、点的特徴量生成部１１４は、パス部における階層ごとの平均文字数である６や、クエリ部におけるパラメータごとの平均文字数である３を特徴量とする。
【００４６】
さらに、点的特徴量生成部１１４は、パス部やクエリ部に含まれる文字列の種類を基に特徴量を生成することもできる。この場合、点的特徴量生成部１１４は、まず、テキスト形式で表されるリクエストＵＲＬの情報を、一般的に扱いやすい数値型の情報へと変換するため、パス部およびクエリ部を正規表現に変換する。この場合、正規表現は、＜文字列の種類（ｓｔｒｉｎｇ  型、ｉｎｔｅｇｅｒ  型、ｈｅｘ  型、ｂａｓｅ６４  型）；  文字列長＞で表されるものとする。
【００４７】
具体的に、点的特徴量生成部１１４は、パス部を「／＜ｓｔｒｉｎｇ；４＞／＜ｓｔｒｉｎｇ；５＞．＜ｓｔｒｉｎｇ；３＞」、クエリ部を「＜ｓｔｒｉｎｇ；２＞＝＜ｉｎｔ；１＞」に変換する。そして、点的特徴量生成部１１４は、得られた正規表現から、パス部およびクエリ部それぞれに含まれる文字列の種類とその割合を求め、特徴量とする。
【００４８】
そして、アクセス検知部１１５は、第２のアクセスデータのうち、検知対象点的特徴量の教師点的特徴量との類似度が所定値以上である第２のアクセスデータを、所定の連続アクセスによるアクセスデータとして検知する。
【００４９】
図３および４を用いて、解析装置１０の各機能部による解析処理の一例について説明する。図３および４は、第１の実施形態に係る解析装置の解析処理について説明するための図である。図３および図４は、アクセス元単位をＡＳ番号とし、ぜい弱性スキャンによるアクセスを検知する場合の例を示している。
【００５０】
まず、図３に示すように、ネットワーク的特徴量生成部１１２は、ネットワーク上の複数の観測点で収集されたアクセスデータを、アクセス元のＡＳ番号ごとに分類し、ＡＳ番号ごとのアクセスデータの特徴量であるネットワーク的特徴量を生成する。このとき、アクセス元とネットワーク的特徴量を対にしたデータを評価データとよぶ。例えば、図３の評価データに示すように、アクセス元のＡＳ番号が「ＡＳ１」であるアクセスデータのネットワーク的特徴量は「Ｘ１」である。
【００５１】
そして、アクセス元検知部１１３は、ネットワーク的特徴量を基に、ＡＳ番号のうち、ぜい弱性スキャンによる連続アクセスのアクセス元のＡＳ番号を検知する。このとき、アクセス元検知部１１３は、既知のスキャンのアクセス元のネットワーク的特徴量、すなわち「Ｘ１」および「Ｘ３」を教師データとして採用し、評価データのうち、教師データとの類似度が所定値以上であるネットワーク的特徴量のアクセス元をスキャンのアクセス元として検知する。
【００５２】
なお、既知のスキャンのアクセス元は、公開されているブラックリスト等に記載されたものであってもよい。また、クローリングの検知を行う場合、既知のクローリングのアクセス元として、例えばＧｏｏｇｌｅ（登録商標）等の検索エンジン事業者の情報を用いることができる。
【００５３】
なお、クローリングの特徴は検索エンジン事業者により異なり、特にＧｏｏｇｌｅによるクローリングは、他の検索エンジンによるクローリングと比較して特徴が大きく異なることが知られている。このため、まず、Ｇｏｏｇｌｅによるクローリングを既知のクローリングとすることで、誤検知を低減させることができる。
【００５４】
図３の例では、ネットワーク的特徴量「Ｘ５」と教師データとの類似度が所定値以上であったため、ネットワーク的特徴量「Ｘ５」のアクセス元である「ＡＳ５」がスキャンのアクセス元として検知される。なお、この場合、アクセス元が既知のスキャンのアクセス元である評価データ、すなわち「ＡＳ１」および「ＡＳ３」をアクセス元とする評価データは、あらかじめ検知対象の評価データから除外される。そして、アクセス元検知部１１３は、検知した「ＡＳ５」を、アクセス元記憶部１２１に記憶させる。
【００５５】
次に、図４に示すように、点的特徴量生成部１１４は、ネットワーク上の単一の観測点で収集された、検知対象のアクセスデータごとの特徴量である検知対象点的特徴量を生成する。このとき、各アクセスのアクセス元と検知対象点的特徴量を対にしたデータを評価データとよぶ。例えば、図４の評価データに示すように、アクセス１のアクセス元のＡＳ番号は「ＡＳ１」、検知対象点的特徴量は「Ｙ１」である。
【００５６】
また、点的特徴量生成部１１４は、アクセス元記憶部１２１に記憶されているＡＳ番号をアクセス元とするアクセスデータごとの特徴量である教師点的特徴量を生成し、教師データとして採用する。
【００５７】
そして、アクセス検知部１１５は、評価データのうち、検知対象点的特徴量の教師データとの類似度が所定値以上であるアクセスデータを、スキャンによる連続アクセスによるアクセスデータとして検知する。図４の例では、検知対象点的特徴量「Ｙ４」と教師データとの類似度が所定値以上であったため、アクセス４がスキャンによるアクセスとして検知される。なお、この場合、アクセス元が既知のスキャンのアクセス元である評価データ、すなわち「アクセス１」、「アクセス３」および「アクセス５」は評価データからあらかじめ除外される。そして、アクセス検知部１１５は、検知した「アクセス４」を、アクセス記憶部１２２に記憶させる。なお、アクセス元検知部１１３およびアクセス検知部１１５は、例えば、類似度を非特許文献４と同じ手順で算出する。
【００５８】
［第１の実施形態の処理］
解析装置１０の処理について説明する。スキャンを検知する場合について図３および図４の例を用いて説明したが、解析装置１０は、クローリングを検知することもできる。このため、解析装置１０は、（１）ネットワーク的特徴量を用いたスキャン検知処理、（２）ネットワーク的特徴量を用いたクローリング検知処理、（３）点的特徴量を用いたスキャン検知処理、および（４）点的特徴量を用いたクローリング検知処理を行うことができる。そこで、まず、（１）〜（４）の各処理について説明し、その後、（１）〜（４）を組み合わせた処理について説明する。
【００５９】
（（１）ネットワーク的特徴量を用いたスキャン検知処理）
まず、図５を用いて、ネットワーク的特徴量を用いたスキャン検知処理について説明する。図５は、第１の実施形態に係る解析装置のネットワーク的特徴量を用いたスキャン検知処理の流れを示すフローチャートである。図５に示すように、まず、収集部１１１は、Ｗｅｂサーバや囮Ｗｅｂサーバへのアクセスデータを収集する（ステップＳ１０１）。そして、ネットワーク的特徴量生成部１１２は、アクセス元単位で集合化されたアクセス群からネットワーク的特徴量を生成し、アクセス元単位とネットワーク的特徴量の対となる評価データを生成する（ステップＳ１０２）。このとき、ネットワーク的特徴量生成部１１２は、既にスキャンと判明しているアクセス元単位に関するデータを教師データとして評価データから除外する（ステップＳ１０３）。
【００６０】
アクセス元検知部１１３は、評価データから任意のアクセス元単位に関するネットワーク的特徴量を抽出し（ステップＳ１０４）、既にスキャンと判明しているアクセス元単位に対するネットワーク的特徴量と、当該抽出したネットワーク的特徴量が類似しているか否かを判定する（ステップＳ１０５）。
【００６１】
このとき、既にスキャンと判明しているアクセス元単位に対するネットワーク的特徴量と、当該抽出したネットワーク的特徴量が類似している場合（ステップＳ１０５、Ｙｅｓ）、アクセス元検知部１１３は、当該アクセス元単位をスキャンのアクセス元単位と判定する（ステップＳ１０６）。一方、既にスキャンと判明しているアクセス元単位に対するネットワーク的特徴量と、当該抽出したネットワーク的特徴量が類似していない場合（ステップＳ１０５、Ｎｏ）、アクセス元検知部１１３は、当該アクセス元単位をスキャンのアクセス元単位でないと判定する（ステップＳ１０７）。
【００６２】
アクセス元検知部１１３は、判定後、当該アクセス元単位に関するデータを評価データから除外する（ステップＳ１０８）。そして、未判定の評価データが存在している場合（ステップＳ１０９、Ｙｅｓ）、解析装置１０は、ステップＳ１０４に戻り処理を繰り返す。また、未判定の評価データが存在しない場合（ステップＳ１０９、Ｎｏ）、解析装置１０は、処理を終了する。
【００６３】
つまり、アクセス元検知部１１３は、検知対象アクセス元のうち、ネットワーク的特徴量の、ぜい弱性スキャンによるアクセスを行うことが既知であるアクセス元によるアクセスに関するアクセスデータから生成される教師ネットワーク的特徴量との類似度が所定値以上であるアクセス元を、ぜい弱性スキャンによる連続アクセスを行っているアクセス元として検知する。
【００６４】
（（２）ネットワーク的特徴量を用いたクローリング検知処理）
次に、図６を用いて、ネットワーク的特徴量を用いたクローリング検知処理について説明する。図６は、第１の実施形態に係る解析装置のネットワーク的特徴量を用いたクローリング検知処理の流れを示すフローチャートである。図６に示すように、まず、収集部１１１は、Ｗｅｂサーバや囮Ｗｅｂサーバへのアクセスデータを収集する（ステップＳ２０１）。そして、ネットワーク的特徴量生成部１１２は、アクセス元単位で集合化されたアクセス群からネットワーク的特徴量を生成し、アクセス元単位とネットワーク的特徴量の対となる評価データを生成する（ステップＳ２０２）。このとき、ネットワーク的特徴量生成部１１２は、既にクローラと判明しているアクセス元単位に関するデータを教師データとして評価データから除外する（ステップＳ２０３）。
【００６５】
アクセス元検知部１１３は、評価データから任意のアクセス元単位に関するネットワーク的特徴量を抽出し（ステップＳ２０４）、既にクローリングと判明しているアクセス元単位に対するネットワーク的特徴量と、当該抽出したネットワーク的特徴量が類似しているか否かを判定する（ステップＳ２０５）。
【００６６】
このとき、既にクローラと判明しているアクセス元単位に対するネットワーク的特徴量と、当該抽出したネットワーク的特徴量が類似している場合（ステップＳ２０５、Ｙｅｓ）、アクセス元検知部１１３は、当該アクセス元単位をクローラのアクセス元単位と判定する（ステップＳ２０６）。一方、既にクローラと判明しているアクセス元単位に対するネットワーク的特徴量と、当該抽出したネットワーク的特徴量が類似していない場合（ステップＳ２０５、Ｎｏ）、アクセス元検知部１１３は、当該アクセス元単位をクローラのアクセス元単位でないと判定する（ステップＳ２０７）。
【００６７】
アクセス元検知部１１３は、判定後、当該アクセス元単位に関するデータを評価データから除外する（ステップＳ２０８）。そして、未判定の評価データが存在している場合（ステップＳ２０９、Ｙｅｓ）、解析装置１０は、ステップＳ２０４に戻り処理を繰り返す。また、未判定の評価データが存在しない場合（ステップＳ２０９、Ｎｏ）、解析装置１０は、処理を終了する。
【００６８】
つまり、アクセス元検知部１１３は、検知対象アクセス元のうち、ネットワーク的特徴量の、クローラによるアクセスを行うことが既知であるアクセス元によるアクセスに関するアクセスデータから生成される教師ネットワーク的特徴量との類似度が所定値以上であるアクセス元を、クローラによる連続アクセスを行っているアクセス元として検知する。
【００６９】
（（３）点的特徴量を用いたスキャン検知処理）
次に、図７を用いて、点的特徴量を用いたスキャン検知処理について説明する。図７は、第１の実施形態に係る解析装置の点的特徴量を用いたスキャン検知処理の流れを示すフローチャートである。図７に示すように、まず、収集部１１１は、Ｗｅｂサーバや囮Ｗｅｂサーバへのアクセスデータを収集する（ステップＳ３０１）。そして、点的特徴量生成部１１４は、アクセスごとに点的特徴量を生成し評価データ化する（ステップＳ３０２）。このとき、点的特徴量生成部１１４は、既にスキャンと判明している点的特徴量のデータを教師データとして評価データから除外する（ステップＳ３０３）。
【００７０】
アクセス検知部１１５は、評価データから任意のアクセスに関する点的特徴量の情報を抽出し（ステップＳ３０４）、既にスキャンと判明している点的特徴量と、当該抽出した点的特徴量が類似しているか否かを判定する（ステップＳ３０５）。
【００７１】
このとき、既にスキャンと判明している点的特徴量と、当該抽出した点的特徴量が類似している場合（ステップＳ３０５、Ｙｅｓ）、アクセス検知部１１５は、当該アクセスをスキャンのアクセスと判定する（ステップＳ３０６）。一方、既にスキャンと判明している点的特徴量と、当該抽出した点的特徴量が類似していない場合（ステップＳ３０５、Ｎｏ）、アクセス検知部１１５は、当該アクセスをスキャンのアクセスでないと判定する（ステップＳ３０７）。
【００７２】
アクセス検知部１１５は、判定後、当該アクセスに関するデータを評価データから除外する（ステップＳ３０８）。そして、未判定の評価データが存在している場合（ステップＳ３０９、Ｙｅｓ）、解析装置１０は、ステップＳ３０４に戻り処理を繰り返す。また、未判定の評価データが存在しない場合（ステップＳ３０９、Ｎｏ）、解析装置１０は、処理を終了する。
【００７３】
（（４）点的特徴量を用いたクローリング検知処理）
次に、図８を用いて、点的特徴量を用いたクローリング検知処理について説明する。図８は、第１の実施形態に係る解析装置の点的特徴量を用いたクローリング検知処理の流れを示すフローチャートである。図８に示すように、まず、収集部１１１は、Ｗｅｂサーバや囮Ｗｅｂサーバへのアクセスデータを収集する（ステップＳ４０１）。そして、点的特徴量生成部１１４は、アクセスごとに点的特徴量を生成し評価データ化する（ステップＳ４０２）。このとき、点的特徴量生成部１１４は、既にクローリングと判明している点的特徴量のデータを教師データとして評価データから除外する（ステップＳ４０３）。
【００７４】
アクセス検知部１１５は、評価データから任意のアクセスに関する点的特徴量の情報を抽出し（ステップＳ４０４）、既にクローリングと判明している点的特徴量と、当該抽出した点的特徴量が類似しているか否かを判定する（ステップＳ４０５）。
【００７５】
このとき、既にクローリングと判明している点的特徴量と、当該抽出した点的特徴量が類似している場合（ステップＳ４０５、Ｙｅｓ）、アクセス検知部１１５は、当該アクセスをクローリングのアクセスと判定する（ステップＳ４０６）。一方、既にクローリングと判明している点的特徴量と、当該抽出した点的特徴量が類似していない場合（ステップＳ４０５、Ｎｏ）、アクセス検知部１１５は、当該アクセスをクローリングのアクセスでないと判定する（ステップＳ４０７）。
【００７６】
アクセス検知部１１５は、判定後、当該アクセスに関するデータを評価データから除外する（ステップＳ４０８）。そして、未判定の評価データが存在している場合（ステップＳ４０９、Ｙｅｓ）、解析装置１０は、ステップＳ４０４に戻り処理を繰り返す。また、未判定の評価データが存在しない場合（ステップＳ４０９、Ｎｏ）、解析装置１０は、処理を終了する。
【００７７】
さらに、（１）〜（４）の処理を組み合わせることで、精度良くスキャンおよびクローリングを検知することができる。特に、ネットワーク的特徴量を用いた検知をあらかじめ行っておくことで、既知のスキャンまたはクローリングのアクセス元の情報を取得しておき、取得した情報を、点的特徴量を用いた検知に利用することができる。これにより、点的特徴量のみを用いた検知の精度を向上させることができる。
【００７８】
（（１）と（３）の組み合わせ）
まず、図９を用いて、ネットワーク的特徴量および点的特徴量を用いたスキャン検知処理について説明する。図９は、第１の実施形態に係る解析装置のネットワーク的特徴量および点的特徴量を用いたスキャン検知処理の流れを示すフローチャートである。図９に示すように、まず、解析装置１０は、図５に示す処理により、ネットワーク的特徴量を用いたスキャン検知を行う（ステップＳ５０１）。
【００７９】
そして、点的特徴量生成部１１４は、ステップＳ５０１でスキャンではないと判定されたアクセスごとに点的特徴量を生成し評価データ化する（ステップＳ５０２）。具体的に、点的特徴量生成部１１４は、ステップＳ５０１でスキャンのアクセス元と判定されなかったアクセス元のアクセスデータを基に評価データの点的特徴量を生成することができる。
【００８０】
このとき、点的特徴量生成部１１４は、既にスキャンと判明しているアクセスの点的特徴量のデータを教師データとして採用する（ステップＳ５０３）。具体的に、点的特徴量生成部１１４は、ステップＳ５０１でスキャンのアクセス元と判定されたアクセス元のアクセスデータを基に生成した点的特徴量を教師データとすることができる。なお、ステップＳ５０４〜５０９の処理は、図７のＳ３０４〜３０９の処理と同様であるため、説明を省略する。
【００８１】
（（２）と（４）の組み合わせ）
次に、図１０を用いて、ネットワーク的特徴量および点的特徴量を用いたクローリング検知処理について説明する。図１０は、第１の実施形態に係る解析装置のネットワーク的特徴量および点的特徴量を用いたクローリング検知処理の流れを示すフローチャートである。図１０に示すように、まず、解析装置１０は、図６に示す処理により、ネットワーク的特徴量を用いたクローリング検知を行う（ステップＳ６０１）。
【００８２】
そして、点的特徴量生成部１１４は、ステップＳ６０１でクローリングではないと判定されたアクセスごとに点的特徴量を生成し評価データ化する（ステップＳ６０２）。具体的に、点的特徴量生成部１１４は、ステップＳ６０１でクローリングのアクセス元と判定されなかったアクセス元のアクセスデータを基に評価データの点的特徴量を生成することができる。
【００８３】
このとき、点的特徴量生成部１１４は、既にクローリングと判明しているアクセスの点的特徴量のデータを教師データとして採用する（ステップＳ６０３）。具体的に、点的特徴量生成部１１４は、ステップＳ６０１でクローリングのアクセス元と判定されたアクセス元のアクセスデータを基に生成した点的特徴量を教師データとすることができる。なお、ステップＳ６０４〜６０９の処理は、図８のＳ４０４〜４０９の処理と同様であるため、説明を省略する。
【００８４】
（（２）と（１）の組み合わせ）
次に、図１１を用いて、ネットワーク的特徴量のみを用いた検知処理について説明する。図１１は、第１の実施形態に係る解析装置のネットワーク的特徴量のみを用いた検知処理の流れを示すフローチャートである。図１１に示すように、まず、解析装置１０は、図６に示す処理により、ネットワーク的特徴量を用いたクローリング検知を行う（ステップＳ７０１）。そして、ネットワーク的特徴量生成部１１２は、クローラのアクセス元単位でないと判定されたアクセス元単位と、ネットワーク的特徴量の対となる評価データを生成する。（ステップＳ７０２）。このとき、ネットワーク的特徴量生成部１１２は、既にスキャンと判明しているアクセス元単位に関するデータを教師データとして採用する（ステップＳ７０３）。なお、ステップＳ７０４〜７０９の処理は、図５のＳ１０４〜１０９の処理と同様であるため、説明を省略する。
【００８５】
図１１の処理では、アクセス元検知部１１３は、検知対象アクセス元のうち、アクセス元検知部１１３によって、クローラによる連続アクセスを行っているアクセス元として検知されたアクセス元以外のアクセス元から、さらにぜい弱性スキャンによる連続アクセスを行っているアクセス元を検知する。
【００８６】
このように、クローラと判定されなかったアクセス元を対象として、スキャンのアクセス元であるか否かの判定を行うことで、クローリングとスキャンをさらに精度の良く識別することが可能となる。
【００８７】
（（４）と（３）の組み合わせ）
次に、図１２を用いて、点的特徴量のみを用いた検知処理について説明する。図１２は、第１の実施形態に係る解析装置の点的特徴量のみを用いた検知処理の流れを示すフローチャートである。図１２に示すように、まず、解析装置１０は、図８に示す処理により、点的特徴量を用いたクローリング検知を行う（ステップＳ８０１）。そして、点的特徴量生成部１１４は、クローリングではないと判定されたアクセスごとに点的特徴量を生成し評価データ化する（ステップＳ８０２）。このとき、点的特徴量生成部１１４は、既にスキャンと判明しているアクセスの点的特徴量のデータを教師データとして採用する（ステップＳ８０３）。なお、ステップＳ８０４〜８０９の処理は、図７のＳ３０４〜３０９の処理と同様であるため、説明を省略する。
【００８８】
［第１の実施形態の効果］
ネットワーク的特徴量生成部１１２は、ネットワーク上の複数の観測点で収集された、ネットワーク上のサーバへのアクセスに関する第１のアクセスデータを、アクセスのアクセス元である検知対象アクセス元ごとに分類し、検知対象アクセス元ごとの第１のアクセスデータの特徴量であるネットワーク的特徴量を生成する。また、アクセス元検知部１１３は、ネットワーク的特徴量を基に、検知対象アクセス元のうち、所定の連続アクセスを行っているアクセス元を検知する。また、点的特徴量生成部１１４は、ネットワーク上の単一の観測点で収集された、ネットワーク上のサーバへのアクセスに関する第２のアクセスデータごとの特徴量である検知対象点的特徴量と、第１のアクセスデータのうち、アクセス元がアクセス元検知部１１３によって検知されたアクセス元である第１のアクセスデータごとの特徴量である教師点的特徴量と、を生成する。また、アクセス検知部１１５は、第２のアクセスデータのうち、検知対象点的特徴量の教師点的特徴量との類似度が所定値以上である第２のアクセスデータを、所定の連続アクセスによるアクセスデータとして検知する。
【００８９】
このように、クローリングやスキャンを識別可能なネットワーク的特徴量を用いた検知を事前に行っておくことで、点的特徴量を用いた検知であっても精度の良い検知を行うことが可能になる。つまり、本実施形態によれば、限られた情報から、攻撃による通信を当該通信に類似した正常な通信と識別しつつ検知することができる。
【００９０】
図１３を用いて、本実施形態の効果をさらに詳細に説明する。図１３は、第１の実施形態に係る解析装置の効果を説明するための図である。図１３に示すように、まず、攻撃者端末４０１等によるスキャンは、複数のＷｅｂサーバや囮Ｗｅｂサーバで観測し、統計的観点から解析することで発見できる場合が多い。
【００９１】
そこで、本実施形態では、統計的観点からの解析結果をネットワーク的特徴量としている。そして、ネットワーク的特徴量からスキャンと判定されたアクセスにおいて、点的特徴量を解析すると、スキャンに見られる点的特徴量の教師データを生成できる。このような教師データを用いることで、１台のＷｅｂサーバ上での観測しか実現できない場合であっても、点的特徴量の類似性からスキャンを検知することができる。
【００９２】
ネットワーク的特徴量生成部１１２は、パケットの送信元アドレス、アドレスブロック、アドレス管理事業者のいずれかを検知対象アクセス元とし、ネットワーク的特徴量に、パケットサイズの統計情報、パケット到着間隔の統計情報、パケット数の統計情報、ポート番号の統計情報、ポート番号の連続性、宛先アドレスの連続性のうち少なくとも１つを含める。また、点的特徴量生成部１１４は、検知対象点的特徴量および教師点的特徴量に、ＨＴＴＰリクエストメッセージのリクエスト部、ヘッダ部およびボディ部と、ＨＴＴＰレスポンスメッセージのリクエスト部、ヘッダ部およびボディ部と、パケットのアドレス情報と、パケットのポート番号情報と、のうち少なくとも１つを含める。このように、攻撃によるアクセスを特に検知しやすい情報を特徴量に含めることで、さらに精度の良い検知を行うことが可能となる。
【００９３】
アクセス元検知部１１３は、ぜい弱性スキャンによる連続アクセスを行っているアクセス元、またはクローラによる連続アクセスを行っているアクセス元を検知する。これにより、短期間に集中的なアクセスを行う点で類似しているスキャンとクローリングを識別することが可能となる。
【００９４】
アクセス元検知部１１３は、検知対象アクセス元のうち、ネットワーク的特徴量の、ぜい弱性スキャンによるアクセスを行うことが既知であるアクセス元によるアクセスに関するアクセスデータから生成される教師ネットワーク的特徴量との類似度が所定値以上であるアクセス元を、ぜい弱性スキャンによる連続アクセスを行っているアクセス元として検知する。また、アクセス元検知部１１３は、検知対象アクセス元のうち、ネットワーク的特徴量の、クローラによるアクセスを行うことが既知であるアクセス元によるアクセスに関するアクセスデータから生成される教師ネットワーク的特徴量との類似度が所定値以上であるアクセス元を、クローラによる連続アクセスを行っているアクセス元として検知する。このように、既知のアクセスデータの特徴量との類似度によって判定を行うことにより、未知のアクセスデータの検知が可能となる。
【００９５】
アクセス元検知部１１３は、検知対象アクセス元のうち、アクセス元検知部１１３によって、クローラによる連続アクセスを行っているアクセス元として検知されたアクセス元以外のアクセス元から、さらにぜい弱性スキャンによる連続アクセスを行っているアクセス元を検知する。このように、あらかじめクローリングのアクセスを除外したうえでスキャンのアクセスを検知することで、さらに精度を向上させることができる。
【００９６】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵ（Central  Processing  Unit）および当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００９７】
また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００９８】
［プログラム］
一実施形態として、解析装置は、パッケージソフトウェアやオンラインソフトウェアとして上記の解析を実行する解析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の解析プログラムを情報処理装置に実行させることにより、情報処理装置を解析装置として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistant）等のスレート端末等がその範疇に含まれる。
【００９９】
また、解析装置は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の解析に関するサービスを提供するサーバ装置として実装することもできる。例えば、解析装置は、アクセスデータを入力とし、検知結果を出力とする解析サービスを提供するサーバ装置として実装される。この場合、解析装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の解析に関するサービスを提供するクラウドとして実装することとしてもかまわない。
【０１００】
図１４は、プログラムが実行されることにより解析装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【０１０１】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【０１０２】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、解析装置の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、解析装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【０１０３】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【０１０４】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３およびプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３およびプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【０１０５】
１、２、３、４  ネットワーク
１０  解析装置
１１  制御部
１２  記憶部
２０、３０、４０  データ中継装置
２１、３１  サーバ監視機能
１１１  収集部
１１２  ネットワーク的特徴量生成部
１１３  アクセス元検知部
１１４  点的特徴量生成部
１１５  アクセス検知部
１２１  アクセス元記憶部
１２２  アクセス記憶部
２０１、２０２、３０１、３０２  ユーザＷｅｂサーバ
２１１、２１２  囮Ｗｅｂサーバ
４０１  攻撃者端末
【図１】
2017145843.tif 000003
【図２】
2017145843.tif 000004
【図３】
2017145843.tif 000005
【図４】
2017145843.tif 000006
【図５】
2017145843.tif 000007
【図６】
2017145843.tif 000008
【図７】
2017145843.tif 000009
【図８】
2017145843.tif 000010
【図９】
2017145843.tif 000011
【図１０】
2017145843.tif 000012
【図１１】
2017145843.tif 000013
【図１２】
2017145843.tif 000014
【図１３】
2017145843.tif 000015
【図１４】
2017145843.tif 000016
【国際調査報告】
2017145843.tif 000017
2017145843.tif 000018