【手続補正書】
【提出日】令和2年7月8日(2020.7.8)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】００４７
【補正方法】変更
【補正の内容】
【００４７】
＜ネットワーク特徴量＞
図５は、ネットワーク特徴量を示す説明図である。ネットワーク特徴量Ｆｎは、第１生成部４０５が、受信部４０３で複製されたパケットから抽出した特徴量である。本例では、たとえば、図５に示した１１個のネットワーク特徴量Ｆｎが抽出される。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００５８
【補正方法】変更
【補正の内容】
【００５８】
通信中情報Ｃ８−２（最小パケットサイズ）は、その通信セッションにおいてパケットの受信開始から現時点までのパケット群の中の最小パケットサイズである。したがって、パケットが受信される都度、現時点の最小パケットサイズと今回の受信パケットのパケットサイズとが比較され、最小パケットサイズを下回った場合に、通信中情報Ｃ８−２（最小パケットサイズ）は、リアルタイムで今回の受信パケットのパケットサイズに更新される。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００６０
【補正方法】変更
【補正の内容】
【００６０】
通信中情報Ｃ９である受信開始時刻は、ネットワーク特徴量Ｆ９と同様、通信セッションが開始した時刻であり、秒単位までの細かさでは記録せず、時間ごとに記録するなど幅をもつものとする。たとえば、ある通信セッションについて９時５分に最初のパケットを受信した場合、受信開始時刻は、単に、「９時」とする。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００６４
【補正方法】変更
【補正の内容】
【００６４】
通信中情報Ｃ１１である通信時間は、ネットワーク特徴量Ｆ１１と同様、通信セッションの開始から終了までの時間（ｍｓｅｃ）である。たとえば、通信セッションの開始が「９時５分３７秒」、終了が「９時８分４３秒」である場合、通信時間は、「１８６秒」となる。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００７０
【補正方法】変更
【補正の内容】
【００７０】
学習モデルＬ９（受信開始時刻）は、学習期間中の各通信セッションの通信中情報Ｃ９である受信開始時刻のうち、最古の受信開始時刻となる。たとえば、同一学習期間中の３つの通信セッションの通信中情報Ｃ９（受信開始時刻）がそれぞれ、「９時」、「１０時」、「１１時」である場合、学習モデルＬ９（受信開始時刻）は、「９時」となる。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００８３
【補正方法】変更
【補正の内容】
【００８３】
不正通信判定処理（ステップＳ１３２３）において、今回受信したパケットが正常通信のパケットと判定された場合、パケットは送信制御部４０９で遮断されず、送信部４０４に転送される。また、判定部４０７は、最新の第１通信中情報に基づいて、学習モデルＬｎを更新する（ステップＳ１３２４）。更新対象となる学習モデルＬｎは、第１通信中情報Ｃｎと不一致な学習モデルＬｎである。たとえば、学習モデルＬ１〜Ｌ７，Ｌ９が充足されなかった場合、比較対象となった第１通信中情報Ｃ１〜Ｃ７，Ｃ９が、学習モデルＬ１〜Ｌ７，Ｌ９に追加される。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００８７
【補正方法】変更
【補正の内容】
【００８７】
また、不正通信判定処理（ステップＳ１３２３）において、今回受信したパケットが不正通信の可能性があるパケットと判定された場合、パケットは送信制御部４０９で遮断されず、送信部４０４に転送される。また、判定部４０７は、不正通信の可能性を検知したとして、不正通信の可能性の検知通知依頼を通知部４０８に送信する（ステップＳ１３２５）。通知部４０８は、当該検知依頼を受信すると、その旨を通知する（ステップＳ１３２７）。当該通知には、たとえば、パケットを特定可能な５タプル（宛先ＩＰアドレス（Ｆ１）、送信元ＩＰアドレス（Ｆ２）、プロトコル（Ｆ３）、宛先ＭＡＣアドレス（Ｆ６）、送信元ＭＡＣアドレス（Ｆ７））や受信時刻がある。また、宛先ＭＡＣアドレス（Ｆ６）、送信元ＭＡＣアドレス（Ｆ７）の代わりに、宛先ポート（Ｆ４）、送信元ポート（Ｆ５）であってもよい。これにより、どのパケットが不正通信の可能性のあるパケットで、それがどの時点で受信されたかをユーザは確認することができる。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００８８
【補正方法】変更
【補正の内容】
【００８８】
また、不正通信判定処理（ステップＳ１３２３）において、今回受信したパケットが不正通信のパケットと判定された場合、判定部４０７は、当該パケットの遮断通知依頼を通知部４０８に送信する（ステップＳ１３２６）。通知部４０８は、当該遮断通知依頼を受信すると、その旨を通知する（ステップＳ１３２７）。当該通知には、たとえば、パケットを特定可能な５タプル（宛先ＩＰアドレス（Ｆ１）、送信元ＩＰアドレス（Ｆ２）、プロトコル（Ｆ３）、宛先ＭＡＣアドレス（Ｆ６）、送信元ＭＡＣアドレス（Ｆ７））や受信時刻がある。また、宛先ＭＡＣアドレス（Ｆ６）、送信元ＭＡＣアドレス（Ｆ７）の代わりに、宛先ポート（Ｆ４）、送信元ポート（Ｆ５）であってもよい。これにより、どのパケットが不正通信のパケットで、それがどの時点で受信されたかをユーザは確認することができる。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００９４
【補正方法】変更
【補正の内容】
【００９４】
そして、充足した比較条件については、判定部４０７は、学習モデルＬｎと第１通信中情報Ｃｎとを比較した結果、充足した場合には上記式（１）の判定式の真偽値ｘｎの値をｘｎ＝１に設定し、充足しなかった比較条件については、上記式（１）の判定式の真偽値ｘｎの値をｘｎ＝０に設定する。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】００９７
【補正方法】変更
【補正の内容】
【００９７】
一方、正常判定条件式（式（２））を充足しなかった場合（ステップＳ１４０６：Ｎｏ）、ＩｏＴゲートウェイ１２０は、判定部４０７により、パケットの遮断が必要か、すなわち、算出したスコアＳ（ｎ）が、検知判定条件式（式（３））および遮断判定条件式（式（４））のいずれを充足するかを判定する（ステップＳ１４０８）。遮断が必要ない場合、すなわち、スコアＳ（ｎ）が検知判定条件式（式（３））を充足する場合（ステップＳ１４０８：Ｎｏ）、図１３のステップＳ１３２５，Ｓ１３２７に示したように、ＩｏＴゲートウェイ１２０は、判定部４０７により、不正通信の可能性を検知したとして不正通信の可能性の検知通知依頼を通知部４０８に送信し、通知部４０８により、その旨を通知する（ステップＳ１４０９）。そして、ＩｏＴゲートウェイ１２０は通信判定処理（ステップＳ１３０２）を終了する。
【手続補正１１】
【補正対象書類名】明細書
【補正対象項目名】００９８
【補正方法】変更
【補正の内容】
【００９８】
一方、遮断が必要である場合、すなわち、スコアＳ（ｎ）が遮断判定条件式（式（４））を充足する場合（ステップＳ１４０８：Ｙｅｓ）、図１３のステップＳ１３２６，Ｓ１３２７に示したように、ＩｏＴゲートウェイ１２０は、判定部４０７により、当該パケットの遮断通知依頼を通知部４０８に送信して、通知部４０８によりその旨を通知する（ステップＳ１３２７）。
【手続補正１２】
【補正対象書類名】明細書
【補正対象項目名】０１１５
【補正方法】変更
【補正の内容】
【０１１５】
また、上述した実施例のＩｏＴゲートウェイ１２０では、送信部４０４と受信部４０３との間に送信制御部４０９を設けた構成としたが、送信部４０４と第２ＩＦ４０２との間に送信制御部４０９を設けてもよい。