(57)【要約】【課題】サイバー攻撃の分析精度を向上させる。【解決手段】取得部は、アクセス元毎に、前記アクセス元が過去にアクセスしたサイトと前記アクセス元がリクエストした目的コンテンツ情報を含むログを取得する。第１の集計部は、目的コンテンツ毎に目的コンテンツを提供するサイトを識別するサイト情報を格納した第１のテーブルを生成する。第２の集計部は、目的コンテンツ毎に目的コンテンツのアクセス元がリクエストした対応する他のコンテンツを識別するコンテンツ情報を格納した第２のテーブルを生成する。第３の集計部は、目的コンテンツと対応する他のコンテンツとの組み合わせ毎に、前記組み合わせのアクセス元とアクセス先サイトのサイト組み合わせを格納する第３のテーブルを生成する。グループ化部は、前記第３のテーブルにおいて、サイト組み合わせの類似性が所定の閾値以上の目的コンテンツと対応する他のコンテンツとの組み合わせを抽出して類似グループを生成する。【選択図】図２
2018060288.tif 000002
【特許請求の範囲】
【請求項１】
アクセス元毎に、前記アクセス元が過去にアクセスしたサイトを識別するサイト情報と前記アクセス元がリクエストした目的コンテンツを識別するコンテンツ情報を含むログを取得する取得部と、
前記ログに基づいて、目的コンテンツ毎に目的コンテンツを提供するサイトを識別するサイト情報を格納した第１のテーブルを生成する第１の集計部と、
前記ログと前記第１のテーブルに基づいて、目的コンテンツ毎に目的コンテンツのアクセス元がリクエストした対応する他のコンテンツを識別するコンテンツ情報を格納した第２のテーブルを生成する第２の集計部と、
前記第２のテーブルに基づいて、目的コンテンツと対応する他のコンテンツとの組み合わせ毎に、前記組み合わせのアクセス元とアクセス先サイトのサイト組み合わせを格納する第３のテーブルを生成する第３の集計部と、
前記第３のテーブルにおいて、サイト組み合わせの類似性が所定の閾値以上の目的コンテンツと対応する他のコンテンツとの組み合わせを抽出して類似グループを生成するグループ化部と、
を備えるネットワーク監視装置。
【請求項２】
前記各類似グループにおける目的コンテンツと対応する他のコンテンツとの組み合わせをグラフ化したグラフを表示する表示部と、を更に備える
ことを特徴とする請求項１に記載のネットワーク監視装置。
【請求項３】
サイトの組み合わせの類似性を、ジャッカード係数に基づいて計算する
ことを特徴とする請求項１に記載のネットワーク監視装置。
【請求項４】
アクセス元毎に、前記アクセス元が過去にアクセスしたサイトを識別するサイト情報と前記アクセス元がリクエストした目的コンテンツを識別するコンテンツ情報を含むログを取得し、
前記ログに基づいて、目的コンテンツ毎に目的コンテンツを提供するサイトを識別するサイト情報を格納した第１のテーブルを生成し、
前記ログと前記第１のテーブルに基づいて、目的コンテンツ毎に目的コンテンツのアクセス元がリクエストした対応する他のコンテンツを識別するコンテンツ情報を格納した第２のテーブルを生成し、
前記第２のテーブルに基づいて、目的コンテンツと対応する他のコンテンツとの組み合わせ毎に、前記組み合わせのアクセス元とアクセス先サイトのサイト組み合わせを格納する第３のテーブルを生成し、
前記第３のテーブルにおいて、サイト組み合わせの類似性が所定の閾値以上の目的コンテンツと対応する他のコンテンツとの組み合わせを抽出して類似グループを生成する、処理をコンピュータに実行させる
ことを特徴とするネットワーク監視プログラム。
【請求項５】
前記各類似グループにおける目的コンテンツと対応する他のコンテンツとの組み合わせをグラフ化する
ことを特徴とする請求項４に記載のネットワーク監視プログラム。
【請求項６】
サイトの組み合わせの類似性を、ジャッカード係数に基づいて計算する
ことを特徴とする請求項４に記載のネットワーク監視プログラム。
【請求項７】
アクセス元毎に、前記アクセス元が過去にアクセスしたサイトを識別するサイト情報と前記アクセス元がリクエストした目的コンテンツを識別するコンテンツ情報を含むログを取得し、
前記ログに基づいて、目的コンテンツ毎に目的コンテンツを提供するサイトを識別するサイト情報を格納した第１のテーブルを生成し、
前記ログと前記第１のテーブルに基づいて、目的コンテンツ毎に目的コンテンツのアクセス元がリクエストした対応する他のコンテンツを識別するコンテンツ情報を格納した第２のテーブルを生成し、
前記第２のテーブルに基づいて、目的コンテンツと対応する他のコンテンツとの組み合わせ毎に、前記組み合わせのアクセス元とアクセス先サイトのサイト組み合わせを格納する第３のテーブルを生成し、
前記第３のテーブルにおいて、サイト組み合わせの類似性が所定の閾値以上の目的コンテンツと対応する他のコンテンツとの組み合わせを抽出して類似グループを生成する
ことを特徴とするネットワーク監視方法。
【請求項８】
前記各類似グループにおける目的コンテンツと対応する他のコンテンツとの組み合わせをグラフ化する
ことを特徴とする請求項７に記載のネットワーク監視方法。
【請求項９】
サイトの組み合わせの類似性を、ジャッカード係数に基づいて計算する
ことを特徴とする請求項７に記載のネットワーク監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、Ｗｅｂサイトへの攻撃の分析に関する。
【背景技術】
【０００２】
コンピュータシステムやインターネットなどを利用して、標的のコンピュータやネットワークに不正に侵入してデータの詐取や破壊、改竄などを行うことで標的のシステムを機能不全に陥らせるサイバー攻撃などが知られている。
【０００３】
Ｗｅｂアプリケーション（以下、Ｗｅｂアプリ）が動作しているＷｅｂサイトにおけるサイバー攻撃の一例として、Ｗｅｂサイトの脆弱性の有無を調べるための脆弱性スキャンが知られている。Ｗｅｂサイトで脆弱性が発見されると、サイバー攻撃側は、脆弱性に基づいてデータの詐取や破壊、改竄などを行い、Ｗｅｂサイトを機能不全とする。
【０００４】
機器、ネットワーク、及び脆弱性の各情報をグラフ理論に基づく所定アルゴリズムに適用して、ネットワーク上での各機器の配置に応じた脆弱性の影響関係について規定するリスク評価モデルを作成することで、現実のシステム状況に対応したリスクを評価する技術が知られている（例えば、特許文献１を参照）。
【０００５】
ログを分析し、異常の予兆を検知した場合に、管理マネージャに通知する。管理マネージャは、対策および対策依頼先を決定し、対策依頼先に対策を実施させることで、サイトに対する攻撃の被害の極小化を図る技術が知られている（例えば、特許文献２を参照）。
【０００６】
要求メッセージに応じた応答メッセージのうち、個人情報を含む応答メッセージを所定滞留時間滞留し、滞留している応答メッセージ数が所定の数を超えると防御処理を実行することで、情報漏えいを防止する技術が知られている（例えば、特許文献３を参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１６−９１４０２号公報
【特許文献２】特開２００２−２５１３７４号公報
【特許文献３】国際公報２０１２−１３２２９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
サイバー攻撃の一形態として、マルチパターン型スキャンと呼ばれる攻撃が顕在化している。マルチパターン型スキャンの攻撃は、複数のＩｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ（ＩＰ）アドレスから複数のＷｅｂサイトに対して、複数の同名コンテンツをリクエストし、リクエストの戻り値に応じて次のリクエストを変更するというような分岐フローに従ってコンテンツをリクエストする特徴がある。しかしながら、分岐フローに従って発生するマルチパターン型スキャンにおける悪意のある攻撃元を抽出する有効な手法が存在していない。
【０００９】
本発明は１つの側面において、サイバー攻撃の分析精度を向上させることを目的とする。
【課題を解決するための手段】
【００１０】
取得部は、アクセス元毎に、前記アクセス元が過去にアクセスしたサイトと前記アクセス元がリクエストした目的コンテンツ情報を含むログを取得する。第１の集計部は、目的コンテンツ毎に目的コンテンツを提供するサイトを識別するサイト情報を格納した第１のテーブルを生成する。第２の集計部は、目的コンテンツ毎に目的コンテンツのアクセス元がリクエストした対応する他のコンテンツを識別するコンテンツ情報を格納した第２のテーブルを生成する。第３の集計部は、目的コンテンツと対応する他のコンテンツとの組み合わせ毎に、前記組み合わせのアクセス元とアクセス先サイトのサイト組み合わせを格納する第３のテーブルを生成する。グループ化部は、前記第３のテーブルにおいて、サイト組み合わせの類似性が所定の閾値以上の目的コンテンツと対応する他のコンテンツとの組み合わせを抽出して類似グループを生成する。
【発明の効果】
【００１１】
本発明によれば、サイバー攻撃の分析精度を向上させることができる。
【図面の簡単な説明】
【００１２】
【図１】ユーザ確認型のマルチパターン型スキャンの一例を説明する図である。
【図２】本実施形態に係るシステムの例を説明する図である。
【図３】記憶部に記憶されるアクセスログの例を説明する図である。
【図４】第１の集計部が生成するテーブルの例を説明する図である。
【図５】第２の集計部が生成するテーブルの例を説明する図である。
【図６】第３の集計部が生成するテーブルの例を説明する図である。
【図７】グループ化部と処理部の処理の例を説明する図である。
【図８】ネットワークグラフの例を説明する図である。
【図９】本実施形態に係る情報処理装置のハードウェア構成の例を説明する図である。
【図１０】本実施形態に係る情報処理装置の処理の例を説明するフローチャートである。
【図１１Ａ】第１の集計部の処理の例を説明するフローチャートである。
【図１１Ｂ】第１の集計部の処理の例を説明するフローチャートである。
【図１２Ａ】第２の集計部の処理の例を説明するフローチャートである。
【図１２Ｂ】第２の集計部の処理の例を説明するフローチャートである。
【図１２Ｃ】第２の集計部の処理の例を説明するフローチャートである。
【図１３Ａ】第３の集計部の処理の例を説明するフローチャートである。
【図１３Ｂ】第３の集計部の処理の例を説明するフローチャートである。
【図１４Ａ】グループ化部の処理の例を説明するフローチャートである。
【図１４Ｂ】グループ化部の処理の例を説明するフローチャートである。
【図１４Ｃ】グループ化部の処理の例を説明するフローチャートである。
【発明を実施するための形態】
【００１３】
本発明は、前のリクエストの戻り値に応じて次のリクエストが変更されるような分岐フローに従って発生するマルチパターン型スキャンを対象として、悪意のあるアクセスの集団を抽出する。そのため、本発明に係るネットワーク監視装置は、複数のＷｅｂサイトから取得したログから、異なる送信元やＷｅｂサイトに関わらず、同名コンテンツがリクエストされている事象に着目し、送信元やＷｅｂサイトについて共起してリクエストされたコンテンツから構成されるネットワークグラフを作成する。ネットワーク監視装置を利用してサイバー攻撃を監視及び分析をする分析者は、作成されたネットワークグラフの特徴から、マルチパターン型スキャンを含む悪意のあるアクセス集団（攻撃元）を抽出し、特定することができる。
【００１４】
以下、図面を参照しながら、実施形態を詳細に説明する。
図１は、ユーザ確認型のマルチパターン型スキャンの一例を説明する図である。マルチパターン型スキャンの攻撃は、複数のＩＰアドレスから複数のＷｅｂサイトに対して、複数の同名コンテンツをリクエストし、リクエストの戻り値に応じて次のリクエストを変更するというような分岐フローに従ってコンテンツをリクエストする特徴がある。図１において、攻撃元１１０ａ〜１１０ｃは、マルチパターン型スキャンを仕掛ける側である。攻撃元１１０ａ〜１１０ｃの各々は、異なるＩＰアドレスを持つ。Ｗｅｂサーバ１２０ａ〜１２０ｃは、Ｗｅｂアプリが動作しているＷｅｂサイトを動作させるサーバである。
【００１５】
攻撃元１１０ａ〜１１０ｃは、Ｗｅｂサーバ１２０ａ〜１２０ｃに対して同じコンテンツ（以下、同名コンテンツ）のリクエストを送信する。例えば、攻撃元１１０ａは、Ｗｅｂサーバ１２０ａ〜１２０ｃの各々に対してログイン機能を備えているか否かを判定するリクエストとして「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」を送信する。Ｗｅｂサーバ１２０ａ〜１２０ｃは、攻撃元１１０ａに対してリクエストに対する応答を送信する。図１の例では、Ｗｅｂサーバ１２０ａ〜１２０ｃがログイン機能を備えているものとする。攻撃元１１０ａは、リクエストに対する応答の結果、Ｗｅｂサーバ１２０ａ〜１２０ｃがログイン機能を備えていると判定する。
【００１６】
次に、攻撃元１１０ａは、Ｗｅｂサーバ１２０ａ〜１２０ｃに対してアカウントが存在するか否かを判定するリクエストとして「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝１」〜「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝１０」を送信する。なお、ａｃｃｏｕｎｔ＝１〜１０の数字部分は、ユーザ名を表す。言い換えると、攻撃元１１０ａは、ａｃｃｏｕｎｔ＝１〜１０のユーザが存在するか否かをＷｅｂサーバ１２０ａ〜１２０ｃに対して問い合わせをする。その後、攻撃元１１０ａは、取得できたユーザ名を用いて、取得できたユーザ毎に複数パターン（例えば、１００パターンのパスワード）のログインを試み、Ｗｅｂサイトに登録されているユーザ名とパスワードを特定する。なお、攻撃元１１０ｂ、攻撃元１１０ｃも攻撃元１１０ａと同様の処理をするものとする。ここで、ユーザ確認型のマルチパターン型スキャンの分岐フローは、アカウントの存在の有無を確認するコンテンツのリクエストの戻り値に応じて、次のリクエストであるログインを試みるか否かの分岐処理に該当する。
【００１７】
このような手法により、マルチパターン型スキャンの攻撃元は、複数の攻撃対象のＷｅｂサーバからユーザ名やパスワードを得ることができ、その結果、取得した情報に基づいて、Ｗｅｂサイトを機能不全にするなど悪用することが可能となる。
【００１８】
本発明に係るネットワーク監視装置は、このようなマルチパターン型スキャンを含む悪意のあるアクセス集団（攻撃元）を抽出し、特定する。
【００１９】
図２は、本実施形態に係るシステムの例を説明する図である。Ｗｅｂサイト２１０（２１０ａ〜２１０ｃ）は、例えば、Ｗｅｂアプリが動作しているＷｅｂサイトであり、インターネット経由で、ユーザ（アクセス元）からのアクセスを受け付ける。Ｗｅｂサイト２１０のリクエスト処理部２１１は、ユーザ（アクセス元）からのリクエストを受け付け、リクエストに対応する処理を実行する。リクエスト処理部２１１は、ユーザからのリクエストに応じて、ユーザに係る情報やリクエストの内容などのアクセス情報をアクセスログ２１２に格納する。
【００２０】
情報処理装置２２０は、監視対象のＷｅｂサイト２１０（２１０ａ〜２１０ｃ）へのアクセスを監視するネットワーク監視装置である。情報処理装置２２０は、記憶部２２１、取得部２２２、第１の集計部２２３、第２の集計部２２４、第３の集計部２２５、グループ化部２２６、処理部２２７を備える。
【００２１】
以下において、図３〜図７を用いて情報処理装置２２０の各部の処理を説明する。
図３は、記憶部に記憶されるアクセスログの例を説明する図である。記憶部２２１は、監視対象のＷｅｂサイト２１０（２１０ａ〜２１０ｃ）から、各Ｗｅｂサイト２１０の各々に対して行われたアクセスに係るアクセスログ２１２を定期的に収集し、記憶する。記憶部２２１は、監視対象のＷｅｂサイト２１０から収集したアクセスログ２１２を、アクセスログ３００として記憶する。
【００２２】
アクセスログ３００は、送信元ＩＰ、サイト、コンテンツ名の項目を備える。送信元ＩＰは、Ｗｅｂサイトへのアクセスをしてきたユーザのアクセス元を示すＩＰアドレスである。アクセスログ３００におけるサイトは、ユーザがアクセスしたアクセス先のサイトを示す情報である。Ｓｉｔｅ１〜Ｓｉｔｅ３は、図２に示す例では、例えば、Ｗｅｂサイト２１０ａ〜２１０ｃに対応する。コンテンツ名は、ユーザがアクセスした際のアクセス先サイトへのリクエスト内容（コンテンツを識別する識別情報）を表す。
【００２３】
例えば、図３のアクセスログ３００の１行目には、送信元ＩＰとして「ＩＰＡｄｄｒ１」、サイトとして「Ｓｉｔｅ１」、コンテンツ名として「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」が格納されている。言い換えると、これは「ＩＰＡｄｄｒ１」のアドレスから「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」のコンテンツが「Ｓｉｔｅ１」にリクエストされたことを示すアクセスログ情報である。
【００２４】
ここで、情報処理装置２２０は、分析者が端末２３０を用いて、マルチパターン型スキャンを含む悪意のあるアクセス集団（攻撃元）に係る分析依頼をすると、分析に係る処理を開始する。分析処理が開始されると、取得部２２２は、対象の期間や対象のＷｅｂサイトなどを含む分析依頼に応じた情報を記憶部２２１から取得する。その後、第１の集計部２２３、第２の集計部２２４、第３の集計部２２５、グループ化部２２６、処理部２２７が、分析に係る処理を実行する。
【００２５】
図４は、第１の集計部が生成するテーブルの例を説明する図である。第１の集計部２２３は、取得部２２２が記憶部２２１から取得したアクセスログ３００に基づいて、コンテンツ毎にコンテンツを提供するサイトを識別するサイト情報を格納した第１のテーブル３１０を生成する集計処理を行う。第１のテーブル３１０は、コンテンツ名と提供サイトの項目を備える。
【００２６】
集計処理において、第１の集計部２２３は、アクセスログ３００からコンテンツの識別情報を抽出し、全ての種類のコンテンツの識別情報を第１のテーブル３１０のコンテンツ名に格納する。アクセスログ３００における同名コンテンツ（同じ識別情報を持つコンテンツ）は、纏めて第１のテーブル３１０に格納される。第１のテーブル３１０の例において、第１の集計部２２３は、「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝１」「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝２」の３つのコンテンツの識別情報をアクセスログ３００から抽出する。
【００２７】
次に、第１の集計部２２３は、アクセスログ３００に基づいて、第１のテーブル３１０の各コンテンツを提供している（各コンテンツがリクエストされた）提供サイトの一覧を抽出し、第１のテーブル３１０の提供サイトに格納する。第１のテーブル３１０の例において、第１の集計部２２３は、「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」のコンテンツを提供する提供サイトとして「Ｓｉｔｅ１」「Ｓｉｔｅ２」「Ｓｉｔｅ３」を格納する。第１の集計部２２３は、「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝１」のコンテンツを提供する提供サイトとして「Ｓｉｔｅ１」「Ｓｉｔｅ２」を格納する。第１の集計部２２３は、「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝２」のコンテンツを提供する提供サイトとして「Ｓｉｔｅ１」「Ｓｉｔｅ２」「Ｓｉｔｅ３」を格納する。
【００２８】
マルチパターン型スキャンでは、１つのアクセス元から同名コンテンツが複数のサイトにリクエストされるものである。そのため、同名コンテンツを提供するサイトが少ないコンテンツは、マルチパターン型スキャンによるリクエストではない。第１の集計部２２３は、第１のテーブル３１０における提供サイトが１つ（又は、所定の閾値以下）であるコンテンツ識別情報の行は、第１のテーブル３１０から削除する。
【００２９】
図５は、第２の集計部が生成するテーブルの例を説明する図である。第２の集計部２２４は、取得部２２２が記憶部２２１から取得したアクセスログ３００に基づいて、コンテンツ毎にコンテンツのアクセス元がリクエストした対応する他のコンテンツを識別する識別情報を格納した第２のテーブル３２０を生成する集計処理を行う。第２のテーブル３２０は、コンテンツ名と、コンテンツ名に対応する他コンテンツの項目を備える。
【００３０】
集計処理において、第２の集計部２２４は、第１のテーブル３１０のコンテンツ名に含まれる識別情報を取得し、同じコンテンツの識別情報を第２のテーブル３２０のコンテンツ名に格納する。次に、第２の集計部２２４は、第２のテーブル３２０のコンテンツ名に格納されたコンテンツの識別情報毎に、コンテンツをリクエストした送信元ＩＰと同じＩＰアドレスからリクエストされた他のコンテンツの識別情報を格納する。例えば、第２のテーブル３２０のコンテンツ名に格納された「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」をリクエストした送信元ＩＰ「ＩＰＡｄｄｒ１」からリクエストされた「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」の他のリクエストは、「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝１」「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝２」である。そのため、第２の集計部２２４は、第２のテーブル３２０のコンテンツ名「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」に対応する他コンテンツの項目に、「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝１」「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝２」を格納する。
【００３１】
図６は、第３の集計部が生成するテーブルの例を説明する図である。第３の集計部２２５は、第２のテーブル３２０に含まれるコンテンツと他のコンテンツの組み合わせ毎に、各コンテンツのアクセス元とアクセス先サイトの組み合わせを格納する第３のテーブル３３０を生成する集計処理を行う。第３のテーブル３３０は、コンテンツ名、他コンテンツ、ＩＰアドレス＆サイト数の項目を備える。
【００３２】
集計処理において、第３の集計部２２５は、コンテンツの識別情報と他のコンテンツの識別情報の全ての組み合わせ（以下、コンテンツペアと称す）を第２のテーブル３２０から取得し、コンテンツペアの識別情報を第３のテーブル３３０のコンテンツ名と他コンテンツの項目に格納する。次に、第３の集計部２２５は、コンテンツペア毎に、コンテンツペアに含まれるコンテンツの両方（コンテンツと他コンテンツ）をリクエストしたアクセス元とアクセス先の一覧と、アクセス元とアクセス先の組み合わせ数を集計し、第３のテーブル３３０のＩＰアドレス＆サイト数の項目に格納する。
【００３３】
例えば、第３のテーブル３３０の１行目には、「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」（コンテンツ名）と「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝１」（他コンテンツ）のコンテンツペアに係る識別情報が格納されている。そして、このコンテンツペア（コンテンツ名と他コンテンツの両方）をリクエストしたアクセス元とアクセス先の組み合わせ一覧と組み合わせ数が格納される。ここで、アクセス元「ＩＰＡｄｄｒ１」「ＩＰＡｄｄｒ２」「ＩＰＡｄｄｒ３」の夫々が、「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」と「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝１」の両方をアクセス先「Ｓｉｔｅ１」「Ｓｉｔｅ２」「Ｓｉｔｅ３」にリクエストしているため、アクセス元とアクセス先の組み合わせ数は、９個となる。第３のテーブル３３０の２行目には、「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」（コンテンツ名）と「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝２」（他コンテンツ）のコンテンツペアに係る識別情報が格納されている。第３のテーブル３３０には、このコンテンツペア（コンテンツ名と他コンテンツの両方）をリクエストしたアクセス元とアクセス先の組み合わせ一覧と組み合わせ数が格納される。ここで、アクセス元「ＩＰＡｄｄｒ１」「ＩＰＡｄｄｒ２」「ＩＰＡｄｄｒ３」の夫々が、「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」と「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝２」の両方をアクセス先「Ｓｉｔｅ１」「Ｓｉｔｅ３」にリクエストしているため、アクセス元とアクセス先の組み合わせ数は、６個となる。
【００３４】
図７は、グループ化部と処理部の処理の例を説明する図である。グループ化部２２６は、第３のテーブル３３０のＩＰアドレス＆サイト数の項目に含まれるＩＰアドレス（アクセス元）とサイト（アクセス先）の類似度を、ジャッカード係数を用いて計算する。その後、グループ化部２２６は、類似度が所定の閾値よりも大きいコンテンツペアの組み合わせを、同じ種類のマルチパターン型スキャンによるサイバー攻撃を受けた可能性のある類似グループとしてグループ化する。図６の第３のテーブル３３０の例では、全てのアクセス元とアクセス先が同じ種類（同様のコンテンツをリクエストする）のマルチパターン型スキャンに属するサイバー攻撃である。
【００３５】
処理部２２７は、類似グループに属するＩＰアドレスとサイト数をネットワークグラフ化する。ネットワークグラフにおいて、各点は、コンテンツを識別する識別情報を表す。各点を結ぶ線は、アクセス元とアクセス先の組み合わせ数に基づいて太さが決定される。図７の例では、各点は、「Ｇｅｔ：／ｌｏｇｉｎ．ｐｈｐ」、「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝１」、「Ｇｅｔ：／？ａｃｃｏｕｎｔ＝２」である。２点間を結ぶ線の太さは、その線の両端の２点に対応するコンテンツペアについて第３のテーブル３３０から抽出される組み合わせ数に基づいて決定される。
【００３６】
図８は、ネットワークグラフの例を説明する図である。グラフ４１０は、単純な脆弱性スキャンをグラフ化した場合の例である。グラフ４１０では、全てのコンテンツと各コンテンツを結ぶ線（アクセス数）を可視化させている。そのため、分析者は、グラフ４１０を確認したとしても、サイバー攻撃がどのように行われているのかを分析することが困難である。
【００３７】
一方、本実施形態にかかる情報処理装置２２０で生成されるグラフ４２０は、アクセス元とアクセス先が類似しており、類似した種類（同様のコンテンツをリクエストする）のマルチパターン型スキャンに属するサイバー攻撃をグラフ化したものである。分析者は、グラフ４２０の線の太さを見ることで、アクセスが集中しているコンテンツ（点）及びアクセス数（線）や、アクセスのバラつきを確認することができ、実際にサイバー攻撃が行われているコンテンツ及びアクセス数などを分析することができる。また、グラフ４２０は、同様のコンテンツをリクエストしたサイバー攻撃をグラフ化しているため、グラフ４１０と比較して、アクセス集中を分析しやすくなっている。なお、処理部２２７は、類似グループ毎にグラフ４２０を生成する。分析者は、端末２３０を用いて、各類似グループのグラフ４２０を確認することで、サイバー攻撃の候補である類似グループを確認することができる。なお、情報処理端末２２０が、各類似グループのグラフ４２０を表示する表示部を備えてもよい。
【００３８】
このように、本発明の実施形態に係るネットワーク監視装置は、アクセス元とアクセス先とリクエストしたコンテンツの識別情報を含むログから、攻撃手法、アクセス元、先が類似した組み合わせを抽出し、グラフ化することで、分析者がサイバー攻撃を分析する手助けをする。なお、本実施形態におけるマルチパターン型スキャンは、ユーザ確認型を例示して記載しているものの、各コンテンツは、ユーザ確認型に限定しない。
【００３９】
図９は、本実施形態に係る情報処理装置のハードウェア構成の例を説明する図である。情報処理装置２２０は、プロセッサ１１、メモリ１２、バス１５、外部記憶装置１６、ネットワーク接続装置１９を備える。さらにオプションとして、情報処理装置２２０は、入力装置１３、出力装置１４、媒体駆動装置１７を備えても良い。情報処理装置２２０は、例えば、コンピュータなどで実現されることがある。
【００４０】
プロセッサ１１は、Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ（ＣＰＵ）を含む任意の処理回路とすることができる。プロセッサ１１は、取得部２２２、第１の集計部２２３、第２の集計部２２４、第３の集計部２２５、グループ化部２２６、処理部２２７として動作する。なお、プロセッサ１１は、例えば、外部記憶装置１６に記憶されたプログラムを実行することができる。メモリ１２は、記憶部２２１として動作し、各Ｗｅｂサイトから収集したアクセスログ３００、第１のテーブル３１０、第２のテーブル３２０、第３のテーブル３３０を記憶する。さらに、メモリ１２は、プロセッサ１１の動作により得られたデータや、プロセッサ１１の処理に用いられるデータも、適宜、記憶する。ネットワーク接続装置１９は、Ｗｅｂサイト２１０や端末２３０などの他の装置との通信に使用される。
【００４１】
入力装置１３は、例えば、ボタン、キーボード、マウス等として実現され、出力装置１４は、ディスプレイなどとして実現される。バス１５は、プロセッサ１１、メモリ１２、入力装置１３、出力装置１４、外部記憶装置１６、媒体駆動装置１７、ネットワーク接続装置１９の間を相互にデータの受け渡しが行えるように接続する。外部記憶装置１６は、プログラムやデータなどを格納し、格納している情報を、適宜、プロセッサ１１などに提供する。媒体駆動装置１７は、メモリ１２や外部記憶装置１６のデータを可搬記憶媒体１８に出力することができ、また、可搬記憶媒体１８からプログラムやデータ等を読み出すことができる。ここで、可搬記憶媒体１８は、フロッピイディスク、Ｍａｇｎｅｔ-Ｏｐｔｉｃａｌ（ＭＯ）ディスク、Ｃｏｍｐａｃｔ  Ｄｉｓｃ  Ｒｅｃｏｒｄａｂｌｅ（ＣＤ−Ｒ）やＤｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｃ  Ｒｅｃｏｒｄａｂｌｅ（ＤＶＤ−Ｒ）を含む、持ち運びが可能な任意の記憶媒体とすることができる。
【００４２】
図１０は、本実施形態に係る情報処理装置の処理の例を説明するフローチャートである。取得部２２２は、記憶部２２１からアクセスログ３００を取得する（ステップＳ１０１）。第１の集計部２２３は、コンテンツ毎にコンテンツを提供するサイトを識別するサイト情報を格納した第１のテーブル３１０を生成する集計処理を行う（ステップＳ１０２）。第２の集計部２２４は、コンテンツ毎にコンテンツのアクセス元がリクエストした対応する他のコンテンツを識別するコンテンツ情報を格納した第２のテーブル３２０を生成する集計処理を行う（ステップＳ１０３）。第３の集計部２２５は、コンテンツと対応する他のコンテンツとの組み合わせ（コンテンツペア）毎に、コンテンツペアのアクセス元とアクセス先サイトのサイト組み合わせを格納する第３のテーブル３３０を生成する集計処理を行う（ステップＳ１０４）。グループ化部２２６は、類似するアクセス元とアクセス先サイトの組み合わせを持つコンテンツペアをグループ化する（ステップＳ１０５）。処理部２２７は、グループ化されたコンテンツペアをグラフ化する（ステップＳ１０６）。その後、端末２３０は、グラフを表示部に表示する。
【００４３】
図１１Ａと図１１Ｂは、第１の集計部の処理の例を説明するフローチャートである。図１１Ａと図１１Ｂは、図１０のステップＳ１０２の処理をより細かく説明するフローチャートである。第１の集計部２２３は、アクセスログ３００のｘ行目を取得する（ステップＳ２０１）。ここで図１１Ａと図１１Ｂにおけるｘは、アクセスログ３００内の行を表す変数と仮定する。又、ｘ行目のアクセスログ３００には、サイトｘとコンテンツ名ｘが格納されていると仮定する。
【００４４】
第１の集計部２２３は、読み込んだｘ行目のコンテンツ名ｘが既に第１のテーブル３１０に含まれているか否かを判定する（ステップＳ２０２）。コンテンツ名ｘが第１のテーブル３１０に含まれていない場合（ステップＳ２０２でＮＯ）、第１の集計部２２３は、コンテンツ名ｘを識別するコンテンツ情報を第１のテーブル３１０のコンテンツ名の項目に格納する（ステップＳ２０３）。
【００４５】
ステップＳ２０３の処理が終了した後、又は、コンテンツ名ｘが第１のテーブル３１０に含まれている場合（ステップＳ２０２でＹＥＳ）、第１の集計部２２３は、第１のテーブル３１０内のコンテンツ名ｘに対応する提供サイト情報にサイトｘを識別する情報が含まれているか否かを判定する（ステップＳ２０４）。第１のテーブル３１０内のコンテンツ名ｘに対応する提供サイト情報にサイトｘを識別する情報が含まれていない場合（ステップＳ２０４でＮＯ）、第１の集計部２２３は、サイトｘを識別するサイト情報をコンテンツ名ｘに対応する提供サイト情報に格納する（ステップＳ２０５）。
【００４６】
ステップＳ２０５の処理が終了した後、又は、第１のテーブル３１０内のコンテンツ名ｘに対応する提供サイト情報にサイトｘを識別する情報が含まれている場合（ステップＳ２０４でＹＥＳ）、第１の集計部２２３は、アクセスログ３００の全行についてステップＳ２０１〜ステップＳ２０５の処理を実行したか否かを判定する（ステップＳ２０６）。アクセスログ３００の全行について処理が完了していない場合（ステップＳ２０６でＮＯ）、第１の集計部２２３は、変数ｘに１を加算する（ステップＳ２０８）。その後、第１の集計部２２３は、変数ｘ＋１を用いてステップＳ２０１からステップＳ２０６の処理を繰り返す。
【００４７】
アクセスログ３００の全行について処理が完了している場合（ステップＳ２０６でＹＥＳ）、第１の集計部２２３は、第１のテーブル３１０内の提供サイト情報の項目に１つのサイトしか格納されていないコンテンツ名を第１のテーブル３１０から削除する（ステップＳ２０７）。ステップＳ２０７の処理が終了すると、第１の集計部２２３は、処理を終了する。
【００４８】
図１２Ａ〜図１２Ｃは、第２の集計部の処理の例を説明するフローチャートである。図１２Ａ〜図１２Ｃは、図１０のステップＳ１０３の処理をより細かく説明するフローチャートである。第２の集計部２２４は、第１のテーブル３１０中のコンテンツ名を１つ取得する（ステップＳ３０１）。第２の集計部２２４は、一時的に送信元ＩＰアドレスを格納するＩＰリストを生成する（ステップＳ３０２）。
【００４９】
第２の集計部２２４は、アクセスログ３００のｙ行目を取得する（ステップＳ３０３）。ここで図１２Ａ〜図１２Ｃにおけるｙは、アクセスログ３００内の行を表す変数と仮定する。又、ｙ行目のアクセスログ３００には、サイトｙとコンテンツ名ｙが格納されていると仮定する。第２の集計部２２４は、ステップＳ３０１で読み込んだコンテンツ名とコンテンツ名ｙとが一致するか否かを判定する（ステップＳ３０４）。ステップＳ３０１で読み込んだコンテンツ名とコンテンツ名ｙとが一致する場合（ステップＳ３０４でＹＥＳ）、第２の集計部２２４は、ｙ行目のアクセスログの送信元ＩＰアドレスをＩＰリストに格納する（ステップＳ３０５）。第２の集計部２２４は、ステップＳ３０３〜ステップＳ３０５の処理をアクセスログ全ての行に対して行ったか否かを判定する（ステップＳ３０６）。ステップＳ３０１で読み込んだコンテンツ名とコンテンツ名ｙとが一致しない場合（ステップＳ３０４でＮＯ）、又は、アクセスログ全ての行に対して処理が完了していない場合（ステップＳ３０６でＮＯ）、第２の集計部２２４は、変数ｙに１を加算する（ステップＳ３０７）。その後、第２の集計部２２４は、変数ｙ＋１を用いてステップＳ３０３からステップＳ３０６の処理を繰り返す。
【００５０】
アクセスログ全ての行に対して処理が完了している場合（ステップＳ３０６でＹＥＳ）、第２の集計部２２４は、ＩＰリストに含まれる送信元ＩＰアドレスを１つ取得する（ステップＳ３０８）。第２の集計部２２４は、一時的にコンテンツ名を格納するコンテンツリストを生成する（ステップＳ３０９）。
【００５１】
第２の集計部２２４は、アクセスログ３００のｙ行目を取得する（ステップＳ３１０）。ここで、ステップＳ３１０の変数ｙは、ステップＳ３０３と同様の変数である。第２の集計部２２４は、ステップＳ３０８で読み込んだ送信元ＩＰアドレスとアクセスログ３００のｙ行目の送信元ＩＰとが一致するか否かと判定する（ステップＳ３１１）。ステップＳ３０８で読み込んだ送信元ＩＰアドレスとアクセスログ３００のｙ行目の送信元ＩＰとが一致している場合（ステップＳ３１１でＹＥＳ）、第２の集計部２２４は、ステップＳ３０１で読み込んだコンテンツ名とアクセスログ３００のｙ行目のコンテンツ名ｙとが一致するか否かを判定する（ステップＳ３１２）。ステップＳ３０１で読み込んだコンテンツ名とアクセスログ３００のｙ行目のコンテンツ名ｙとが一致する場合（ステップＳ３１２でＹＥＳ）、第２の集計部２２４は、コンテンツ名ｙをコンテンツリストに格納する（ステップＳ３１３）。第２の集計部２２４は、ステップＳ３１０〜ステップＳ３１３の処理をアクセスログ全ての行に対して行ったか否かを判定する（ステップＳ３１４）。ステップＳ３０８で読み込んだ送信元ＩＰアドレスとアクセスログ３００のｙ行目の送信元ＩＰとが一致していない場合（ステップＳ３１１でＮＯ）、ステップＳ３０１で読み込んだコンテンツ名とアクセスログ３００のｙ行目のコンテンツ名ｙとが一致していない場合（ステップＳ３１２でＮＯ）、又は、アクセスログ全てに対して処理が完了していない場合（ステップＳ３１４でＮＯ）、第２の集計部２２４は、変数ｙに１を加算する（ステップＳ３１５）。その後、第２の集計部２２４は、変数ｙ＋１を用いてステップＳ３１０からステップＳ３１４の処理を繰り返す。
【００５２】
アクセスログ全てに対して処理が完了している場合（ステップＳ３１４でＹＥＳ）、第２の集計部２２４は、ＩＰリストに含まれる最後の送信元ＩＰアドレスまでステップＳ３１０〜ステップＳ３１４の処理が完了したか否かを判定する（ステップＳ３１６）。ＩＰリストに含まれる最後の送信元ＩＰアドレスの全てにおいて処理が完了していない場合（ステップＳ３１６でＮＯ）、第２の集計部２２４は、ステップＳ３０１から処理を繰り返す。なお、ステップＳ３０１においては、前回と異なるコンテンツ名を取得する。ＩＰリストに含まれる最後の送信元ＩＰアドレスの全てにおいて処理が完了している場合（ステップＳ３１６でＹＥＳ）、第２の集計部２２４は、コンテンツリストをステップＳ３０１で読み込んだコンテンツ名に対応付けて第２のテーブル３２０に格納する（ステップＳ３１７）。ステップＳ３１７の処理が終了すると、第２の集計部２２４は、処理を終了する。
【００５３】
図１３Ａと図１３Ｂは、第３の集計部の処理の例を説明するフローチャートである。図１３Ａと図１３Ｂは、図１０のステップＳ１０４の処理をより細かく説明するフローチャートである。第３の集計部２２５は、一時的に送信元ＩＰ＆サイトを格納する送信元ＩＰ＆サイトリストを生成する（ステップＳ４０１）。
【００５４】
第３の集計部２２５は、アクセスログ３００のｚ行目を取得する（ステップＳ４０２）。ここで図１３Ａと図１３Ｂにおけるｚは、アクセスログ３００内の行を表す変数と仮定する。又、ｚ行目のアクセスログ３００には、サイトｚとコンテンツ名ｚが格納されていると仮定する。第３の集計部２２５は、コンテンツ名ｚの送信元ＩＰと提供サイトを送信元ＩＰ＆サイトリストに格納する（ステップＳ４０３）。第３の集計部２２５は、ステップＳ４０２〜ステップＳ４０３の処理をアクセスログ全ての行に対して行ったか否かを判定する（ステップＳ４０４）。アクセスログ全てに対して処理が完了していない場合（ステップＳ４０４でＮＯ）、第３の集計部２２５は、変数ｚに１を加算する（ステップＳ４０５）。その後、第３の集計部２２５は、変数ｚ＋１を用いてステップＳ４０２からステップＳ４０４の処理を繰り返す。
【００５５】
アクセスログ全てに対して処理が完了している場合（ステップＳ４０４でＹＥＳ）、第３の集計部２２５は、第２のテーブル３２０を取得する（ステップＳ４０６）。第３の集計部２２５は、第２のテーブル３２０からコンテンツ名Ａを１つ取得する（ステップＳ４０７）。第３の集計部２２５は、ステップＳ４０７で取得したコンテンツ名Ａに対応する他コンテンツ（以下、他コンテンツリスト）を取得する（ステップＳ４０８）。第３の集計部２２５は、他コンテンツリストからコンテンツ名Ｂを１つ取得する（ステップＳ４０９）。第３の集計部２２５は、コンテンツ名Ａとコンテンツ名Ｂに対応する送信元ＩＰアドレスと提供サイトは同一であるか否かを判定する（ステップＳ４１０）。コンテンツ名Ａとコンテンツ名Ｂに対応する送信元ＩＰアドレスと提供サイトは同一でない場合（ステップＳ４１０でＮＯ）、第３の集計部２２５は、処理をステップＳ４０９から繰り返す。
【００５６】
コンテンツ名Ａとコンテンツ名Ｂに対応する送信元ＩＰアドレスと提供サイトが同一である場合（ステップＳ４１０でＹＥＳ）、第３の集計部２２５は、コンテンツ名ＡとコンテンツＢをコンテンツペアとし、且つ、コンテンツペアに対応した送信元ＩＰ＆サイトを第３のテーブル３３０に格納する（ステップＳ４１１）。第３の集計部２２５は、他コンテンツリスト中の全てのコンテンツ名の取得が完了しかた否かを判定する（ステップＳ４１２）。他コンテンツリスト中の全てのコンテンツ名Ｂの取得が完了していない場合（ステップＳ４１２でＮＯ）、第３の集計部２２５は、処理をステップＳ４０８から繰り返す。他コンテンツリスト中の全てのコンテンツ名Ｂの取得が完了している場合（ステップＳ４１２でＹＥＳ）、第３の集計部２２５は、第２のテーブル３２０から全てのコンテンツ名Ａを取得したか否かを判定する（ステップＳ４１３）。第２のテーブル３２０から全てのコンテンツ名Ａを取得していない場合（ステップＳ４１３でＮＯ）、第３の集計部２２５は、処理をステップＳ４０７から繰り返す。第２のテーブル３２０から全てのコンテンツ名Ａを取得している場合（ステップＳ４１３でＹＥＳ）、第３の集計部２２５は、集計処理を終了する。
【００５７】
図１４Ａ〜図１４Ｃは、グループ化部の処理の例を説明するフローチャートである。図１４Ａ〜図１４Ｃは、図１０のステップＳ１０５の処理をより細かく説明するフローチャートである。グループ化部２２６は、第３のテーブル３３０を取得する（ステップＳ５０１）。グループ化部２２６は、第３のテーブル３３０からコンテンツペアを任意に１つ取得し、１つの要素を含むグループｉ＝１を作成する（ステップＳ５０２）。グループ化部２２６は、グループを識別する変数ｉに０を設定する（ステップＳ５０３）。ここで、図１４Ａ〜図１４Ｃにおける変数ｉは、グループを識別するために用いられ、グループの数存在するものと仮定する。
【００５８】
グループ化部２２６は、第３のテーブル３３０からコンテンツペアを１つ取得する（ステップＳ５０４）。グループ化部２２６は、グループｉを選択する（ステップＳ５０５）。グループ化部２２６は、変数ｊに０を設定する（ステップＳ５０６）。ここで、図１４Ａ〜図１４Ｃにおける変数ｊは、グループｉに含まれる送信元ＩＰと提供サイト情報の組み合わせ（以下、送信元ＩＰ＆提供サイト情報ｊ）を識別するために用いられ、送信元ＩＰと提供サイト情報の組み合わせ数だけ存在する。グループ化部２２６は、グループｉから送信元ＩＰ＆提供サイト情報ｊを取得する（ステップＳ５０７）。グループ化部２２６は、ステップＳ５０４で取得したコンテンツペアの送信元と提供サイトと、送信元ＩＰ＆提供サイト情報ｊのジャッカード係数を算出する（ステップＳ５０８）。グループ化部２２６は、ジャッカード係数が所定の閾値以上か否かを判定する（ステップＳ５０９）。
【００５９】
ジャッカード係数が所定の閾値以上である場合（ステップＳ５０９でＹＥＳ）、グループ化部２２６は、ステップＳ５０４で取得したコンテンツペアをグループｉに登録する（ステップＳ５１０）。グループ化部２２６は、変数ｉに１を加算する（ステップＳ５１１）。グループ化部２２６は、全てのグループついて処理が完了したか否かを判定する（ステップＳ５１２）。全てのグループについて処理が完了していない場合（ステップＳ５１２でＮＯ）、グループ化部２２６は、処理をステップＳ５０５から繰り返す。
【００６０】
ジャッカード係数が所定の閾値に満たない場合（ステップＳ５０９でＮＯ）、グループ化部２２６は、変数ｊに１を加算する（ステップＳ５１３）。グループ化部２２６は、グループｉから全ての送信元ＩＰ＆提供サイト情報ｊを取得したか否かを判定する（ステップＳ５１４）。グループｉから全ての送信元ＩＰ＆提供サイト情報ｊを取得していない場合（ステップＳ５１４でＮＯ）、グループ化部２２６は、処理をステップＳ５０８から繰り返す。グループｉから全ての送信元ＩＰ＆提供サイト情報ｊを取得している場合（ステップＳ５１４でＹＥＳ）、グループ化部２２６は、新しいグループを追加する（ステップＳ５１５）。ステップＳ５１５の処理が終了すると、グループ化部２２６は、ステップＳ５１１の処理を実行する。
【００６１】
全てのグループついて処理が完了した場合（ステップＳ５１２でＹＥＳ）、グループ化部２２６は、第３のテーブル３３０から全てのコンテンツペアを取得したか否かを判定する（ステップＳ５１６）。第３のテーブル３３０から全てのコンテンツペアを取得していない場合（ステップ５１６でＮＯ）、グループ化部２２６は、処理をステップＳ５０４から繰り返す。なお、ステップＳ５０４では、前回と異なるコンテンツペアを取得し、次の処理を実行する。第３のテーブル３３０から全てのコンテンツペアを取得している場合（ステップＳ５１６でＹＥＳ）、グループ化部２２６は、処理を終了する。
【００６２】
このように、本発明の実施形態に係るネットワーク監視装置は、アクセス元とアクセス先とリクエストしたコンテンツの識別情報を含むログから、攻撃手法、アクセス元、先が類似した組み合わせを抽出し、グラフ化することで、分析者がサイバー攻撃を分析する手助けをする。なお、本実施形態におけるマルチパターン型スキャンは、ユーザ確認型を例示して記載しているものの、各コンテンツは、ユーザ確認型に限定しない。
【符号の説明】
【００６３】
１１０ａ〜１１０ｃ  攻撃元
１２０ａ〜１２０ｃ  Ｗｅｂサーバ
２１０、２１０ａ〜２１０ｃ  Ｗｅｂサイト
２１１  リクエスト処理部
２１２  アクセスログ
２２０  情報処理装置
２２１  記憶部
２２２  取得部
２２３  第１の集計部
２２４  第２の集計部
２２５  第３の集計部
２２６  グループ化部
２２７  処理部
２３０  端末
【図１】
2018060288.tif 000003
【図２】
2018060288.tif 000004
【図３】
2018060288.tif 000005
【図４】
2018060288.tif 000006
【図５】
2018060288.tif 000007
【図６】
2018060288.tif 000008
【図７】
2018060288.tif 000009
【図８】
2018060288.tif 000010
【図９】
2018060288.tif 000011
【図１０】
2018060288.tif 000012
【図１１Ａ】
2018060288.tif 000013
【図１１Ｂ】
2018060288.tif 000014
【図１２Ａ】
2018060288.tif 000015
【図１２Ｂ】
2018060288.tif 000016
【図１２Ｃ】
2018060288.tif 000017
【図１３Ａ】
2018060288.tif 000018
【図１３Ｂ】
2018060288.tif 000019
【図１４Ａ】
2018060288.tif 000020
【図１４Ｂ】
2018060288.tif 000021
【図１４Ｃ】
2018060288.tif 000022