【手続補正書】
【提出日】令和2年1月17日(2020.1.17)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０００６
【補正方法】変更
【補正の内容】
【０００６】
特許文献１に記載の方法では、ネットワークパケットデータを含む複数の測定基準から正常な挙動のモデルとサイバー脅威のリスクを分析するが、ネットワークパケットのフォーマットによって定められる情報の意味（例えば、どのフィールドに何のデータが書かれているか）が未知である場合に、ネットワークパケットデータから業務に関する情報を抽出して分析できない課題がある。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００９
【補正方法】変更
【補正の内容】
【０００９】
【図１】実施例１のネットワークシステムの構成の一例を示す説明図である。
【図２】実施例１の分析装置のハードウェア構成及びプログラム構成の一例を示すブロック図である。
【図３】実施例１の分析装置が受信するミラーパケットのフォーマットの一例を示す図である。
【図４】実施例１の分析装置及び転送装置の各機能部の関係を示すブロック図である。
【図５】実施例１の通信状態管理部が保持するデータ構造の一例を示す図である。
【図６】実施例１の通信状態管理部が保持するデータ構造の一例を示す図である。
【図７】実施例１のベクトル化ルールが保持するデータ構造の一例を示す図である。
【図８】実施例１の受信処理部が実行する処理の詳細を示すフローチャートである。
【図９】実施例１のグループ化部が実行する処理の詳細を示すフローチャートである。
【図１０】実施例１のベクトル化部が実行する処理の詳細を示すフローチャートである。
【図１１】実施例１の画像化部が実行する処理の詳細を示すフローチャートである。
【図１２】実施例１の画像化部が出力する画面の例を示す図である。
【図１３】実施例１の機械学習部が実行する処理の詳細を示すフローチャートである。
【図１４】実施例１の監視部が実行する処理の詳細を示すフローチャートである。
【図１５】実施例２のネットワークシステムの構成の一例を示す説明図である。
【図１６】実施例２の学習装置のハードウェア構成及びプログラム構成の一例を示すブロック図である。
【図１７】実施例２の監視装置のハードウェア構成及びプログラム構成の一例を示すブロック図である。
【図１８】実施例２の学習装置、監視装置及び転送装置の各機能部の関係を示すブロック図である。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００１９
【補正方法】変更
【補正の内容】
【００１９】
分析装置１００は、ハードウェア構成として、演算装置２００、主記憶装置２０１、二次記憶装置２０２、ＮＩＦ２０３、出力装置２０４、及び入力装置２０５を有する。演算装置２００、主記憶装置２０１、二次記憶装置２０２、ＮＩＦ２０３、出力装置２０４、及び入力装置２０５、システムバス２０６を介して互いに接続される。なお、各構成は、直接接続されてもよいし、複数に分かれたバスを介して接続されてもよい。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００３６
【補正方法】変更
【補正の内容】
【００３６】
演算装置２００が実行するプログラムは、リムーバブルメディア（ＣＤ−ＲＯＭ、フラッシュメモリなど）又はネットワークを介して分析装置１００に提供され、非一時的記憶媒体である不揮発性の二次記憶装置２０２に格納される。このため、分析装置１００は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００７２
【補正方法】変更
【補正の内容】
【００７２】
また、ベクトル化ルールを、ベクトル化関数で定義したが、関数を用いず、予め定めた対応表など、他の形式で定義されたルールを用いてスカラ値をベクトル値に変換してもよい。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】０１１９
【補正方法】変更
【補正の内容】
【０１１９】
実施例２のネットワークシステムは、一つ以上の転送装置１０１、学習装置１４１０、監視装置１４２０、ゲートウェイ１０２、コンピュータ１０３、ＳＣＡＤＡ１０４、ＨＭＩ１０５、ＰＬＣ１０６、及びＷＡＮ１０７から構成される制御システムネットワークである。制御システムネットワークを構成する装置は、図示した数に限られず、それぞれ一つ以上含まれていればよい。なお、以下の説明において、同種の装置を纏めて説明する場合には添え字を省略し（例えば、学習装置１４１０）、同種の装置を別個に説明する場合には添え字を付す（例えば、学習装置１４１０−１）。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】０１３０
【補正方法】変更
【補正の内容】
【０１３０】
監視装置１４２０の主記憶装置２０１は、受信処理部２１１、通信状態管理部２１２、グループ化部２１３、ベクトル化部２１４、学習結果記憶部２１６、画像化部２１７、監視部２１８を実現するプログラムを格納する。受信処理部２１１、通信状態管理部２１２、グループ化部２１３、ベクトル化部２１４、学習結果記憶部２１６、画像化部２１７、及び監視部２１８は、実施例１と同一であるため、説明を省略する。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】０１３２
【補正方法】変更
【補正の内容】
【０１３２】
つまり、監視装置１４２０は、実施例１の分析装置１００から機械学習部２１５を取り除いたものである。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】０１３８
【補正方法】変更
【補正の内容】
【０１３８】
実施例３の分析装置１００は、ハードウェア構成として、演算装置２００、主記憶装置２０１、二次記憶装置２０２、ＮＩＦ２０３、出力装置２０４、及び入力装置２０５を有する。演算装置２００、主記憶装置２０１、二次記憶装置２０２、ＮＩＦ２０３、出力装置２０４、及び入力装置２０５は、システムバス２０６を介して互いに接続される。なお、各構成は、直接接続されてもよいし、複数に分かれたバスを介して接続されてもよい。
【手続補正１０】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
パケットを処理するネットワーク装置であって、
所定の手順で処理を実行することによって以下の各機能部を実現する演算デバイスと、前記演算デバイスに接続された記憶デバイスと、パケットを送受信する装置と接続されるインターフェースとを備え、
前記装置からパケットを受信する受信処理部と、
前記受信したパケットの各バイトの値であるスカラ値を、所定のベクトル化アルゴリズムによってベクトル値に変換するベクトル化部と、を備えることを特徴とするネットワーク装置。
【請求項２】
請求項１に記載のネットワーク装置であって、
前記ベクトル値に変換されたパケットのデータを所定の学習アルゴリズムによって学習し、前記パケットが正常であることを判定するためのパラメータを生成する学習部を備えることを特徴とするネットワーク装置。
【請求項３】
請求項２に記載のネットワーク装置であって、
前記学習部が生成したパラメータを用いて、前記ベクトル値への変換元であるパケットが正常であるか否かを判定する監視部を備えることを特徴とするネットワーク装置。
【請求項４】
請求項１に記載のネットワーク装置であって、
所定のグループ化アルゴリズムによって、前記受信したパケットを分類するグループ化部と、
前記ベクトル値に変換されたパケットのデータを、前記分類されたグループに従って格納する状態管理部とを備えることを特徴とするネットワーク装置。
【請求項５】
請求項４に記載のネットワーク装置であって、
前記グループ化部は、ＳＹＮパケットを目印にしてパケットを分類することを特徴とするネットワーク装置。
【請求項６】
請求項４に記載のネットワーク装置であって、
前記グループ化部は、パケットのタイムスタンプの間隔によってパケットを分類することを特徴とするネットワーク装置。
【請求項７】
請求項４に記載のネットワーク装置であって、
前記グループ化部は、所定のフィールドの値によってパケットを分類することを特徴とするネットワーク装置。
【請求項８】
請求項１に記載のネットワーク装置であって、
前記ベクトル化部は、前記受信したパケットの第１のフィールドの値が所定の条件を満たす場合に、当該条件に対応する所定のルールを適用してスカラ値をベクトル値に変換することを特徴とするネットワーク装置。
【請求項９】
請求項８に記載のネットワーク装置であって、
前記ベクトル化部は、前記第１のフィールドの値が所定の条件を満たす場合に、当該条件に対応する所定のルールを適用して前記第１のフィールドと異なる第２のフィールドのスカラ値をベクトル値に変換することを特徴とするネットワーク装置。
【請求項１０】
請求項９に記載のネットワーク装置であって、
前記第１のフィールドはパケットヘッダに含まれ、前記第２のフィールドはペイロードに含まれることを特徴とするネットワーク装置。
【請求項１１】
請求項１に記載のネットワーク装置であって、
前記ベクトル化部によってベクトル値に変換されたデータを画像として表示するための表示データを生成する画像化部を備えることを特徴とするネットワーク装置。
【請求項１２】
ネットワーク装置がパケットを処理する方法であって、
前記ネットワーク装置は、所定の手順で処理を実行する演算デバイスと、前記演算デバイスに接続された記憶デバイスと、パケットを送受信する装置と接続されるインターフェースとを有し、
前記方法は、
前記演算デバイスが、前記装置からパケットを受信し、
前記演算デバイスが、前記受信したパケットの各バイトの値であるスカラ値を、所定のベクトル化アルゴリズムによってベクトル値に変換することを特徴とする方法。
【請求項１３】
請求項１２に記載の方法であって、
前記ベクトル値に変換されたパケットのデータを所定の学習アルゴリズムによって学習し、前記パケットが正常であることを判定するためのパラメータを生成し、
前記生成されたパラメータを用いて、前記ベクトル値に変換されたパケットが正常であるか否かを判定することを特徴とする方法。
【請求項１４】
請求項１２に記載の方法であって、
前記ベクトル値に変換されたデータを画像として表示するための表示データを生成することを特徴とする方法。
【請求項１５】
ネットワーク装置がパケットを処理するためのプログラムであって、
前記ネットワーク装置は、所定の手順で処理を実行する演算デバイスと、前記演算デバイスに接続された記憶デバイスと、パケットを送受信する装置と接続されるインターフェースとを有し、
前記プログラムは、
前記装置からパケットを受信する手順と、
前記受信したパケットの各バイトの値であるスカラ値を、所定のベクトル化アルゴリズムによってベクトル値に変換する手順とを、前記演算デバイスに実行させるためのプログラム。
【手続補正１１】
【補正対象書類名】図面
【補正対象項目名】図９
【補正方法】変更
【補正の内容】
【図９】
2019033312.tif 000001
【手続補正１２】
【補正対象書類名】図面
【補正対象項目名】図１８
【補正方法】変更
【補正の内容】
【図１８】
2019033312.tif 000002