(57)【要約】【課題】通信機器の異常を検出した際に、運用者が、ネットワークで発生した事象を容易に確認できるようにする。【解決手段】異常検出装置３０は、ネットワークの通信機器の異常を検出するたび、異常検出時における通信特徴量と正常動作時の通信特徴量との比較を行う。そして、異常検出装置３０は、上記の比較結果を示す可視化データと、異常検出時から過去所定時間の当該通信機器１０の通信特徴量およびパケットデータを示す可視化データとを記憶部３２に保存する。その後、異常検出装置３０は、ユーザからの指示に基づき、記憶部３２に保存された、異常検出時における比較結果を示す可視化データと、異常検出時から過去所定時間の当該通信機器１０の通信特徴量およびパケットデータの可視化データとを表示する。【選択図】図２
2019004284.tif 000002
【特許請求の範囲】
【請求項１】
通信機器の正常動作時における通信特徴量に基づき、前記通信機器の異常を検出する異常検出部と、
前記通信機器の異常を検出した場合、異常検出時における前記通信機器の通信特徴量と前記通信機器の正常動作時の通信特徴量との比較を行うデータ比較部と、
前記異常検出時における前記通信機器の通信特徴量と前記通信機器の正常動作時の通信特徴量との比較結果を示す可視化データと、前記異常検出時から過去所定時間の前記通信機器の通信特徴量およびパケットデータを示す可視化データとを記憶部に保存する保存処理部と、
ユーザからの指示に基づき、前記記憶部に保存された、前記異常検出時における前記比較結果を示す可視化データと、前記異常検出時から過去所定時間の前記通信機器の通信特徴量およびパケットデータを示す可視化データとを表示する表示部と
を備えることを特徴とする異常検出装置。
【請求項２】
前記比較結果を示す可視化データは、
前記異常検出時における前記通信機器の通信特徴量と、前記通信機器の正常動作時の通信特徴量とを横並びに示したデータである
ことを特徴とする請求項１に記載の異常検出装置。
【請求項３】
前記異常検出装置は、
前記通信機器の正常動作時における通信特徴量の代表データの集合を作成するデータ作成部をさらに備え、
前記データ比較部は、
異常検出時における前記通信機器の通信特徴量と前記通信機器の正常動作時の通信特徴量との比較を行う際、前記通信機器の正常動作時の通信特徴量の代表データそれぞれとの比較を行う
ことを特徴とする請求項１に記載の異常検出装置。
【請求項４】
前記通信機器の正常動作時における通信特徴量が更新された場合、
前記異常検出部は、
前記更新後の前記通信機器の正常動作時における通信特徴量に基づき、前記通信機器の異常を検出し、
前記データ比較部は、
前記更新後の前記通信機器の正常動作時の通信特徴量を用いて前記通信特徴量の比較を行うこと
を特徴とする請求項１に記載の異常検出装置。
【請求項５】
前記通信機器の通信特徴量に代えて、前記通信機器の通信特徴量および動作ログを用いること
を特徴とする請求項１に記載の異常検出装置。
【請求項６】
通信機器の正常動作時における通信特徴量に基づき、前記通信機器の異常を検出するステップと、
前記通信機器の異常を検出した場合、異常検出時における前記通信機器の通信特徴量と前記通信機器の正常動作時の通信特徴量との比較を行うステップと、
前記異常検出時における前記通信機器の通信特徴量と前記通信機器の正常動作時の通信特徴量との比較結果を示す可視化データと、前記異常検出時から過去所定時間の前記通信機器の通信特徴量およびパケットデータを示す可視化データとを記憶部に保存するステップと、
ユーザからの指示に基づき、前記記憶部に保存された、前記異常検出時における前記比較結果を示す可視化データと、前記異常検出時から過去所定時間の前記通信機器の通信特徴量およびパケットデータを示す可視化データとを表示するステップと
を異常検出装置が実行することを特徴とする異常検出方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信機器の異常検出装置、および、異常検出方法に関する。
【背景技術】
【０００２】
ネットワークを流れるトラフィックを監視し、不正アクセスやネットワーク故障等の異常を検出することが重要となっている。不正アクセスを検出する方式として、不正アクセスが行われる際のパケットのパターン（シグネチャ）をあらかじめ登録しておき、ネットワークを流れるパケットと比較し、不正アクセスを検出するシグニチャ型が実用化されている。また、通信情報の統計的な傾向を機械学習により正常動作時の通信情報を基準値情報として保持し、ネットワークを流れる通信情報と比較することで、異常を検出するアノマリ型が一般的になりつつある（特許文献１）。アノマリ型では、通信情報が所定の正常範囲内である場合は正常と判定し、正常範囲外の場合は異常と判定する。このアノマリ型は、通信の正常状態からのズレを異常状態と判定するため、シグニチャ型では必須となるシグネチャファイルの最新化を必要とせずに、未知の不正アクセスの検知が可能となる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００４−３１２０６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ここで、ネットワークを流れるトラフィックを監視し、不正アクセスやネットワーク故障等の異常を検出する異常検出装置を用いた監視業務においては、異常を検出した後には、運用者が事象の確認を行う必要がある。例えば、アノマリ型の異常検出装置は、通信の正常状態からのズレをスコア値で表現し、スコア値が閾値を超えた場合に異常と検出する。そして、運用者は、異常検出時の通信情報の中身をみて、正常状態からのズレの程度を目視で確認する必要がある。ところが、従来技術において、通信の異常を検出した後に事象を確認する方法について検討されていない。
【０００５】
また、通常のＴＣＰ／ＩＰの通信ネットワークにおいては、さまざまなプロトコルによる通信が混在している。よって、異常時はある特定のパケットだけが要因で異常になるケースのみならず、いくつかのパケットの複合要因で異常になるケースもある。よって、運用者は、異常を検出した時間帯の前後所定時間の通信情報（通信機器のパケットキャプチャデータや動作ログ等）を比較して事象を確認する必要があり、このためには多大な労力がかかる。例えば、パケットキャプチャデータが膨大になるとともに、所望のデータを検索するには多大な労力がかかる。また、通信パターンやファームウェアの更新があった場合には、異常検出装置は、新たな通信パターンを追加学習する必要があるが、その際にも追加学習の結果が、確からしいかを実際の通信内容と照らし合わせて確認する必要がある。
【０００６】
そこで、本発明は、前記した問題を解決し、通信機器の異常を検出した際に、運用者が、ネットワークで発生した事象を容易に確認できるようにすることを課題とする。
【課題を解決するための手段】
【０００７】
前記した課題を解決するため、本発明は、通信機器の正常動作時における通信特徴量に基づき、前記通信機器の異常を検出する異常検出部と、前記通信機器の異常を検出した場合、異常検出時における前記通信機器の通信特徴量と前記通信機器の正常動作時の通信特徴量との比較を行うデータ比較部と、前記異常検出時における前記通信機器の通信特徴量と前記通信機器の正常動作時の通信特徴量との比較結果を示す可視化データと、前記異常検出時から過去所定時間の前記通信機器の通信特徴量およびパケットデータを示す可視化データとを記憶部に保存する保存処理部と、ユーザからの指示に基づき、前記記憶部に保存された、前記異常検出時における前記比較結果を示す可視化データと、前記異常検出時から過去所定時間の前記通信機器の通信特徴量およびパケットデータを示す可視化データとを表示する表示部とを備えることを特徴とする。
【発明の効果】
【０００８】
本発明によれば、通信機器の異常を検出した際に、運用者が、ネットワークで発生した事象を容易に確認できる。
【図面の簡単な説明】
【０００９】
【図１】図１は、システムの構成例を示す図である。
【図２】図２は、図１の異常検出装置の構成例を示す図である。
【図３】図３は、図２のデータ比較部における比較対象となる特徴量項目の例を示す図である。
【図４】図４は、図２の記憶部に保存される可視化データの例を示す図である。
【図５】図５は、図１の異常検出装置における可視化データの保存までの処理手順の例を示すフローチャートである。
【図６】図６は、図１の異常検出装置における可視化データの検索からレポーティングまでの処理手順の例を示すフローチャートである。
【図７】図７は、異常検出プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。本発明は、本実施形態に限定されない。
【００１１】
まず、図１を用いてシステムの構成例を説明する。システムは、例えば、図１に示すように、通信機器１０と、ゲートウェイ装置２０と、異常検出装置３０と、通信装置４０とを備える。通信機器１０とゲートウェイ装置２０とはＬＡＮ（Local  Area  Network）等により接続される。また、ゲートウェイ装置２０と異常検出装置３０と通信装置４０とはインターネット等のネットワークにより接続される。
【００１２】
通信機器１０は、本システムにおける異常の検出対象となる通信装置である。ゲートウェイ装置２０は、通信機器１０をインターネット等のネットワーク経由で外部装置（例えば、通信装置４０）に接続したり、同一ＬＡＮ内の他の通信機器１０に接続したりする装置である。このゲートウェイ装置２０は、各通信機器１０の通信特徴量や動作ログを取得する。
【００１３】
異常検出装置３０は、ゲートウェイ装置２０から取得した各通信機器１０の通信特徴量等に基づき、各通信機器１０への不正アクセスやウィルス感染等の異常の検出を行う。異常検出装置３０は、例えば、各通信機器１０の正常動作時における通信特徴量等を学習し、その学習結果を用いて、いわゆるアノマリ型の異常検出を行う。通信装置４０は、ネットワークに接続される装置であり、例えば、通信機器１０の通信相手となる装置である。
【００１４】
なお、以下では、異常検出装置３０は、通信機器１０の異常検出に、通信機器１０の通信特徴量を用いる場合を例に説明するが、通信機器１０の通信特徴量と動作ログとの組み合わせを用いてももちろんよい。
【００１５】
異常検出装置３０は、通信機器１０の異常を検出すると、異常検出時以前の過去所定期間における当該通信機器１０の通信特徴量およびパケットデータを保存する。また、異常検出装置３０は、異常検出時における当該通信機器１０の通信特徴量と、異常検出に用いた学習結果（学習済み通信特徴量）との比較結果を示す可視化データ（比較データ）を保存する。異常検出装置３０は、このような処理を、通信機器１０の異常を検出するたびに繰り返す。
【００１６】
その後、異常検出装置３０は、運用者等の指示に基づき、通信機器１０の異常検出時における当該通信機器１０の通信特徴量と学習済み通信特徴量との比較結果を示す可視化データ（図４参照）や、異常検出時以前の過去所定期間における当該通信機器１０の通信特徴量およびパケットデータを検索し、表示する。これにより、通信機器１０の異常が検出された際に、運用者は、ネットワークで発生した事象を容易に確認することができる。
【００１７】
次に、図２を用いて、異常検出装置３０の構成を詳細に説明する。異常検出装置３０は、図２に示すように、学習部３１１、学習済通信特徴量保存用データ作成部（データ作成部）３１２、異常検出部３１３、可視化用データ作成部３１４、データ比較部３１５、入力部３１６、表示部３１７、データ検索部３１８、通信部３１９、ＯＳ３２０、および、記憶部３２を備える。記憶部３２は、通信特徴量保存部３２１、学習済通信特徴量保存部３２２、可視化用通信特徴量保存部３２３、および、可視化用パケットデータ保存部３２４を備える。
【００１８】
学習部３１１は、機械学習により、通信機器１０の正常動作時における通信特徴量を学習する。例えば、学習部３１１は、通信特徴量保存部３２１に保存された通信機器１０の通信特徴量を用いた機械学習により、通信機器１０の正常動作時における通信特徴量を学習する。なお、各通信機器１０の通信特徴量（例えば、図３に示す各特徴量項目の値）は、ゲートウェイ装置２０から通信機器１０に対する発着信の通信特徴量を直接取得して、通信特徴量保存部３２１に保存する構成でもよいし、ゲートウェイ装置２０からは通信機器１０に対する所定時間あたりの発着信の通信統計データを取得して、異常検出装置３０において通信特徴量に変換して、通信特徴量保存部３２１に保存する構成でもよい。
【００１９】
学習済通信特徴量保存用データ作成部３１２は、学習部３１１による学習結果（学習済通信特徴量）の保存用データを作成する。例えば、学習済通信特徴量保存用データ作成部３１２は、学習結果に含まれる、通信の５タプル情報と、当該通信のパケットサイズや、フローレート等の特徴量項目等を示したデータを保存用データとして作成する。具体例を挙げると、学習済通信特徴量保存用データ作成部３１２は、学習結果に基づき、Ａという５タプル情報の大きな単位の中に、Ａ−１（パケットサイズがＸ〜Ｙの値）、Ａ−２（フローレートがＳ〜Ｔの値）というように、近い値をグループ化したデータ（代表データ）を保存用データとして作成する。
【００２０】
なお、学習済通信特徴量保存用データ作成部３１２は、学習部３１１による学習結果（学習済通信特徴量）に統計処理を行った保存用データを作成してもよい。さらに、学習済通信特徴量保存用データ作成部３１２は、学習部３１１による学習結果に基づき、５タプル情報以外の項目の値をそのまま示した保存用データを作成してもよい。
【００２１】
異常検出部３１３は、通信機器１０に対し、アノマリ型の異常検出を行う。例えば、異常検出部３１３は、通信特徴量保存部３２１から、分析対象の各通信機器１０の通信特徴量を取得する。そして、異常検出部３１３は、取得した通信特徴量に対し、学習部３１１による学習結果（学習済通信特徴量）を用いて、各通信機器１０の通信特徴量に対するアノマリスコア値を算出する。その後、異常検出部３１３は、算出したアノマリスコア値が、予め設定された判定閾値以上の場合、通信機器１０に異常が発生していると判定し、予め設定された判定閾値未満の場合、通信機器１０は正常に動作していると判定する。
【００２２】
なお、異常検出部３１３は、通信機器１０の異常を検出した場合、表示部３１７や通信部３１９により、通信機器１０の異常検出の通知を行ってもよい。
【００２３】
可視化用データ作成部３１４は、異常検出部３１３が通信機器１０の異常を検出するたび、異常検出時から過去所定時間における当該通信機器１０の通信特徴量およびパケットデータを取得し、記憶部３２に保存する。
【００２４】
例えば、可視化用データ作成部３１４は、異常検出部３１３が通信機器１０の異常を検出すると、異常検出時から過去所定時間における当該通信機器１０の通信特徴量を通信特徴量保存部３２１から取得する。そして、可視化用データ作成部３１４は、取得した通信特徴量の５タプル情報を代表値にした可視化データを作成し、可視化用通信特徴量保存部３２３に保存する。また、可視化用データ作成部３１４は、異常検出時から過去所定時間における当該通信機器１０のパケットデータを取得する。そして、可視化用データ作成部３１４は、取得したパケットデータの５タプル情報を代表値にした可視化データを作成し、可視化用パケットデータ保存部３２４に保存する。異常検出装置３０が収集する通信機器１０のパケットデータは、ゲートウェイ装置２０から収集する構成でもよいし、通信機器１０が接続されているＬＡＮ内に設置されたパケットデータを収集する専用装置から収集する構成でもよい。
【００２５】
また、可視化用データ作成部３１４は、データ比較部３１５による、異常検出時における当該通信機器１０の通信特徴量と、学習済通信特徴量との比較結果を示す可視化データ（図４参照）を作成し、可視化用通信特徴量保存部３２３に保存する。
【００２６】
このようにすることで、通信機器１０の異常が検出されるたび、記憶部３２には、異常検出時における当該通信機器１０の通信特徴量と学習済通信特徴量との比較結果を示す可視化データと、異常検出時から過去所定時間における当該通信機器１０の通信特徴量およびパケットデータの可視化データとが蓄積される。
【００２７】
データ比較部３１５は、異常検出部３１３において通信機器１０の異常を検出すると、異常検出時における当該通信機器１０の通信特徴量と、学習済通信特徴量との比較を行う。例えば、データ比較部３１５は、異常検出時における通信特徴量および学習済通信特徴量について、図３に示す各特徴量項目の値を比較する。なお、比較に用いる特徴量項目は、図３に示す５タプル情報（送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号、プロトコル）を含む。
【００２８】
一例を挙げる。例えば、データ比較部３１５は、図４に示すように、異常検出時における通信特徴量と、学習済通信特徴量とについて、２−１〜２−５に示す５タプル情報をキー情報として比較対象を決定して、１−１〜３−８に示す項目ごとに比較する。なお、データ比較部３１５は、図４に示すように、異常検出時における通信特徴量と学習済通信特徴量とを比較した結果、３−１〜３−８に示す項目のように、値の差分が算出できるものについては、差分を算出してもよい（図４の「比較結果」の欄参照）。
【００２９】
入力部３１６は、記憶部３２に記憶される各種データの入力や、記憶部３２に記憶される可視化用データの検索要求等を受け付ける。例えば、入力部３１６は、異常検出日時や５タプル情報等を含む可視化データの検索要求を受け付ける。
【００３０】
表示部３１７は、記憶部３２に記憶された各種データを表示装置（図示省略）に表示する。例えば、表示部３１７は、データ検索部３１８により検索された可視化データを表示装置（図示省略）に表示する。
【００３１】
データ検索部３１８は、記憶部３２に記憶されたデータを検索する。例えば、データ検索部３１８は、入力部３１６により可視化データの検索要求を受け付けると、検索要求にマッチする通信特徴量の可視化データを可視化用通信特徴量保存部３２３から検索する。また、データ検索部３１８は、検索要求にマッチするパケットデータの可視化データを検索する。
【００３２】
通信部３１９は、外部装置との通信インタフェースを司る。例えば、通信部３１９は、ゲートウェイ装置２０経由で取得された各通信機器１０の通信特徴量や通信統計データやパケットデータの入力を受け付ける。
【００３３】
ＯＳ３２０は、学習部３１１、学習済通信特徴量保存用データ作成部３１２、異常検出部３１３、可視化用データ作成部３１４、データ比較部３１５、入力部３１６、表示部３１７、データ検索部３１８、通信部３１９、および、記憶部３２の管理、制御を行う。
【００３４】
通信特徴量保存部３２１は、各通信機器１０の通信特徴量を保存する。この通信特徴量は、学習部３１１による学習や、異常検出部３１３による異常検出に用いられる。学習済通信特徴量保存部３２２は、学習部３１１により学習された通信機器１０の通信特徴量（学習済通信特徴量）を正常動作時における通信特徴量として保存する。
【００３５】
可視化用通信特徴量保存部３２３は、通信機器１０の異常検出時から過去所定時間における当該通信機器１０の通信特徴量の可視化データを記憶する。また、可視化用通信特徴量保存部３２３は、異常検出時における当該通信機器１０の通信特徴量と、学習済通信特徴量との比較結果を示す可視化データを保存する。さらに、可視化用パケットデータ保存部３２４は、通信機器１０の異常検出時から過去所定時間の当該通信機器１０のパケットデータの可視化データを保存する。
【００３６】
例えば、異常検出時における通信機器１０の通信特徴量と、学習済通信特徴量との比較結果を示す可視化データは、図４に示すように、異常検出時の通信特徴量および学習済通信特徴量それぞれの、異常検出日時、通信開始日時、５タプル情報、その他の項目の値、比較結果等が横並びに配置されたものである。
【００３７】
表示部３１７が、上記のような情報からなる可視化データを表示することで、運用者は、異常検出時の通信特徴量と学習済通信特徴量との乖離がどの程度かを確認しやすくなる。その結果、運用者は、異常検出装置３０による異常検出の確からしさを確認しやすくなる。例えば、図４に示す可視化データにおいて、「比較結果」に示される異常検出時の通信特徴量と学習済通信特徴量との比較において、どの項目の乖離が大きいかを、運用者が目視で点検することができる。また、異常検出時に保存された通信特徴量とパケットデータを用いて、異常の有無を点検することができる。すなわち、点検した結果、実際に異常が発生していた場合は正しい検出結果であったこと、実際には異常が発生しなかった場合は「誤検知」であったこと、を簡易に点検することができる。
【００３８】
次に、図５を用いて、異常検出装置３０の処理手順の例を説明する。まず、異常検出装置３０の学習部３１１は、通信特徴量保存部３２１から機械学習の学習用として所定期間の通信特徴量を取得し（Ｓ１）、学習を実施する（Ｓ２）。つまり、学習部３１１は、通信機器１０の正常動作時の通信特徴量の学習を実施する。そして、学習部３１１による学習が終了し、学習結果に問題がないと判定された場合（Ｓ３でＮｏ）、学習済通信特徴量保存用データ作成部３１２は、学習データから５タプル情報を代表値にして、５タプル情報の異なるデータ単位にまとめた可視化データ（学習済通信特徴量）を作成する（Ｓ４）。つまり、学習済通信特徴量保存用データ作成部３１２は、学習データを、当該学習データの５タプル情報を代表値にして、５タプル情報の異なるデータ単位にまとめた代表データを作成する。また、機械学習の結果として異常検出用の関数を保存する。一方、学習部３１１による学習結果に問題があると判定された場合（Ｓ３でＹｅｓ）、学習部３１１は、Ｓ１へ戻り、学習用のデータを再設定したり、学習用のパラメータを修正したりして、再度学習を実施する。  
【００３９】
Ｓ４の後、異常検出部３１３は、異常検出用の関数を用いて、通信機器１０の異常の検出を開始し（Ｓ５）、異常を検出すると（Ｓ６でＹｅｓ）、異常通知を行う（Ｓ７）。一方、異常をまだ検出しなければ（Ｓ６でＮｏ）、Ｓ６へ戻る。
【００４０】
Ｓ７の後、可視化用データ作成部３１４は、異常検出時刻から所定時間過去にさかのぼり、当該通信機器１０（異常が発生した通信機器１０）の通信特徴量を保存するとともに、当該通信特徴量の５タプル情報を代表値にして可視化データとして保存する（Ｓ８）。
【００４１】
また、可視化用データ作成部３１４は、異常検出時刻から所定時間過去にさかのぼり、当該通信機器１０のパケットデータを保存するとともに、当該パケットデータの５タプル情報を代表値にして可視化データとして保存する（Ｓ９）。
【００４２】
さらに、可視化用データ作成部３１４は、異常検出時刻と、異常検出時刻における当該通信機器１０の通信特徴量を保存する（Ｓ１０）。また、データ比較部３１５は、異常検出時における当該通信機器１０の通信特徴量と、５タプル情報が同一である学習済通信特徴量とを比較する（Ｓ１１）。そして、可視化用通信特徴量保存部３２３は、Ｓ１１における比較結果を可視化データとして保存する（Ｓ１２）。
【００４３】
Ｓ１２の後、まだ比較していない５タプル情報が同一である学習済通信特徴量があれば（Ｓ１３でＹｅｓ）、データ比較部３１５は、まだ比較していない５タプル情報が同一である学習済通信特徴量に対し、Ｓ１１の処理を実行する。一方、比較していない５タプル情報が同一である学習済通信特徴量がなければ（Ｓ１３でＮｏ）、Ｓ６へ戻り、異常検出部３１３において通信機器１０の異常を検出すると（Ｓ６でＹｅｓ）、Ｓ７以降の処理を実行する。
【００４４】
異常検出装置３０が上記の処理を実行することで、通信機器１０に異常が検出されるたび、異常検出時における通信機器１０の通信特徴量と学習済通信特徴量との比較結果と、異常検出時から過去所定期間の当該通信機器１０の通信特徴量およびパケットデータとが記憶部３２に保存される。
【００４５】
次に、図６を用いて、異常検出装置３０が可視化データを表示する際の処理手順の例を説明する。
【００４６】
例えば、異常検出装置３０の入力部３１６において、運用者からの異常検出結果の指定（可視化データの検索要求）を受け付けると（Ｓ２１）、データ検索部３１８は、指定された異常検出結果に対する可視化データを記憶部３２から検索する（Ｓ２２）。例えば、データ検索部３１８は、運用者から指定された異常検出日時、５タプル情報等を持つ可視化データを記憶部３２から検索する。その後、表示部３１７は、Ｓ２２で検索された可視化データを表示する（Ｓ２３）。また、表示する際には、異常を検出した通信機器１０の学習済通信特徴量のすべてを表示してもよい。Ｓ２３の後、まだほかに指定された異常検出結果があれば（Ｓ２４でＹｅｓ）、Ｓ２２へ戻り、ほかに指定された異常検出結果がなければ（Ｓ２４でＮｏ）、データ検索部３１８は、検索された可視化データをまとめ、表示部３１７は、検索された可視化データを表示する（レポーティングする）（Ｓ２５）。
【００４７】
このようにすることで異常検出装置３０は、運用者の所望する異常検出に関する可視化データを検索し、表示装置（図示省略）等に表示することができる。
【００４８】
（プログラム）
また、上記の実施形態で述べた異常検出装置３０の機能を実現するプログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実装できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記のプログラムを情報処理装置に実行させることにより、情報処理装置を異常検出装置３０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータ、ラック搭載型のサーバコンピュータ等が含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistants）等がその範疇に含まれる。また、異常検出装置３０を、クラウドサーバに実装してもよい。
【００４９】
図７を用いて、上記のプログラム（異常検出プログラム）を実行するコンピュータの一例を説明する。図７に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００５０】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
【００５１】
ここで、図７に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。前記した実施形態で説明した各種データや情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
【００５２】
そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００５３】
なお、上記の異常検出プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、上記のプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００５４】
１０  通信機器
３０  異常検出装置
３２  記憶部
３１１  学習部
３１２  学習済通信特徴量保存用データ作成部
３１３  異常検出部
３１４  可視化用データ作成部
３１５  データ比較部
３１６  入力部
３１７  表示部
３１８  データ検索部
３１９  通信部
３２０  ＯＳ
３２１  通信特徴量保存部
３２２  学習済通信特徴量保存部
３２３  可視化用通信特徴量保存部
３２４  可視化用パケットデータ保存部
【図１】
2019004284.tif 000003
【図２】
2019004284.tif 000004
【図３】
2019004284.tif 000005
【図４】
2019004284.tif 000006
【図５】
2019004284.tif 000007
【図６】
2019004284.tif 000008
【図７】
2019004284.tif 000009