(57)【要約】【課題】ネットワークにおける異常原因経路の特定処理を効率化し、当該業務に要する手間やコストを低減可能とする。【解決手段】異常原因特定支援システム１０１において、所定ネットワーク１０に属する各端末２０の間の通信履歴を、当該通信におけるセッションの有無別に格納した通信関係情報４０１と、前記ネットワーク１０で生じた異常の原因経路を特定する際のポリシー６０１とを保持する記憶装置２０３と、前記通信関係情報４０１が示す通信履歴のうち、前記ポリシー６０１に規定された条件と所定の適合度を示すものを特定し、前記特定した通信履歴が示す端末間を、当該ネットワーク１０において優先的に考慮すべき異常原因経路として特定する演算装置２０１を含む構成とする。【選択図】図１
2019121883.tif 000002
【特許請求の範囲】
【請求項１】
所定ネットワークに属する各端末の間の通信履歴を、当該通信におけるセッションの有
無別に格納した通信関係情報と、前記ネットワークで生じた異常の原因経路を特定する際
のポリシーと、を保持する記憶装置と、
前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合
度を示すものを特定し、前記特定した通信履歴が示す端末間を、当該ネットワークにおい
て優先的に考慮すべき異常原因経路として特定する演算装置と、
を備えることを特徴とする異常原因特定支援システム。
【請求項２】
前記記憶装置は、
複数の端末からのセッションあり通信の相手となる交差端末の情報を更に保持し、
前記演算装置は、
前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合
度を示すものとして、通信を行った端末間のうち通信元の端末が前記交差端末であるもの
を特定するものである、
ことを特徴とする請求項１に記載の異常原因特定支援システム。
【請求項３】
前記記憶装置は、
前記交差端末の各間の距離情報を更に保持し、
前記演算装置は、
前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合
度を示すものとして、通信を行った端末間のうち通信元の端末が前記交差端末であるもの
を特定し、前記特定した交差端末と所定距離範囲にある他の交差端末を前記距離情報に基
づき特定し、前記特定した交差端末と前記他の交差端末との間を前記異常原因経路として
更に特定するものである、
ことを特徴とする請求項２に記載の異常原因特定支援システム。
【請求項４】
前記演算装置は、
前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合
度を示すものとして、当該通信がセッションなしの通信であるものを特定するものである
、
ことを特徴とする請求項１に記載の異常原因特定支援システム。
【請求項５】
前記演算装置は、
前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合
度を示すものとして、端末間の通信がセッションありの通信であるものを特定するもので
ある、
ことを特徴とする請求項１に記載の異常原因特定支援システム。
【請求項６】
前記記憶装置は、
前記通信履歴の取得時刻の情報を更に保持するものであり、
前記演算装置は、
前記取得時刻の情報に基づき、前記通信関係情報が示す通信履歴のうち、取得時刻から
所定時間が経過したものを削除する処理を更に実行するものである、
ことを特徴とする請求項１に記載の異常原因特定支援システム。
【請求項７】
所定ネットワークに属する各端末の間の通信履歴を、当該通信におけるセッションの有
無別に格納した通信関係情報と、前記ネットワークで生じた異常の原因経路を特定する際
のポリシーと、を保持する記憶装置を備えた情報処理システムが、
前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合
度を示すものを特定し、前記特定した通信履歴が示す端末間を、当該ネットワークにおい
て優先的に考慮すべき異常原因経路として特定する、
ことを特徴とする異常原因特定支援方法。
【請求項８】
前記情報処理システムが、
前記記憶装置において、複数の端末からのセッションあり通信の相手となる交差端末の
情報を更に保持し、
前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合
度を示すものとして、通信を行った端末間のうち通信元の端末が前記交差端末であるもの
を特定する、
ことを特徴とする請求項７に記載の異常原因特定支援方法。
【請求項９】
前記情報処理システムが、
前記記憶装置において、前記交差端末の各間の距離情報を更に保持し、
前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合
度を示すものとして、通信を行った端末間のうち通信元の端末が前記交差端末であるもの
を特定し、前記特定した交差端末と所定距離範囲にある他の交差端末を前記距離情報に基
づき特定し、前記特定した交差端末と前記他の交差端末との間を前記異常原因経路として
更に特定する、
ことを特徴とする請求項８に記載の異常原因特定支援方法。
【請求項１０】
前記情報処理システムが、
前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合
度を示すものとして、当該通信がセッションなしの通信であるものを特定する、
ことを特徴とする請求項７に記載の異常原因特定支援方法。
【請求項１１】
前記情報処理システムが、
前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合
度を示すものとして、端末間の通信がセッションありの通信であるものを特定する、
ことを特徴とする請求項７に記載の異常原因特定支援方法。
【請求項１２】
前記情報処理システムが、
前記記憶装置において、前記通信履歴の取得時刻の情報を更に保持し、
前記取得時刻の情報に基づき、前記通信関係情報が示す通信履歴のうち、取得時刻から
所定時間が経過したものを削除する処理を更に実行する、
ことを特徴とする請求項７に記載の異常原因特定支援方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、異常原因特定支援システムおよび異常原因特定支援方法に関するものであり
、具体的には、ネットワークにおける異常原因経路の特定処理を効率化し、当該業務に要
する手間やコストを低減可能とする技術に関する。なお、本発明が創生された本研究（の
一部）は、総合科学技術・イノベーション会議の戦略的イノベーション創造プログラム（
SIP）「重要インフラ等におけるサイバーセキュリティの確保」（管理法人：NEDO）によ
って実施された。
【背景技術】
【０００２】
企業などのネットワークにおいて通信異常が確認された場合、所定の担当者により、当
該異常の原因となった経路の特定作業が実施される。
【０００３】
一方、近年では、通常の業務通信に紛れて感染が広がるタイプのマルウェアが増加して
いる。そのため上述の担当者らは、異常の原因となった経路を通信のみから特定し、対処
につなげていく必要がある。
【０００４】
そこで、このような異常原因となった通信経路（以下、異常原因経路）の特定に関する
従来技術としては、例えば、１又は複数の外部ネットワークから当該ネットワークに流入
してきた攻撃パケットによる当該ネットワークの異常を検出するネットワーク異常検出シ
ステムにおいて、当該ネットワークと上記各外部ネットワークとの間に設けられるもので
あって、上記各外部ネットワークとの間で授受される通信パケットを中継する１又は複数
の中継手段と、それぞれ対応する上記中継手段を通過する全ての通信パケットを取り込み
、上記各中継手段を通過した上記各通信パケットのパケット情報を通過履歴として保持す
る１又は複数のパケット情報保持手段と、上記攻撃パケットの流入を検出する攻撃検出手
段と、上記攻撃検出手段により上記攻撃パケットによる攻撃が検出された場合、上記攻撃
パケットが上記各中継手段を通過したか否かを問い合わせるパケット通過問合せ手段と、
上記パケット通過問合せ手段から上記問い合わせを受けると、上記パケット情報保持手段
の有する上記各中継手段の上記通信履歴を参照して、上記各中継手段での上記攻撃パケッ
トの通過を検出するパケット通過検出手段と、上記パケット通過検出手段からの、上記各
中継手段での上記攻撃パケットの通過有無の検出結果に基づいて、上記攻撃パケットの侵
入口となった上記中継手段を特定する侵入口特定手段とを備えることを特徴とするネット
ワーク異常検出システム（特許文献１参照）などが提案されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−２１１４６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従来技術においては、通信経路上の中継端末すべての通信ログを検索し、この通信ログ
を用いて異常原因経路の特定を行うとされる。こうした手法を採用した場合、膨大な数の
通信ログに対して、異常原因経路の特定に必要な所定処理を行うことになる。そのため、
当該業務に相応の手間と時間を要し、業務効率の低下やコスト増大を招く恐れがあった。
【０００７】
そこで本発明の目的は、ネットワークにおける異常原因経路の特定処理を効率化し、当
該業務に要する手間やコストを低減可能とする技術を提供することにある。
【課題を解決するための手段】
【０００８】
上記課題を解決する本発明の異常原因特定支援システムは、所定ネットワークに属する
各端末の間の通信履歴を、当該通信におけるセッションの有無別に格納した通信関係情報
と、前記ネットワークで生じた異常の原因経路を特定する際のポリシーと、を保持する記
憶装置と、前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所
定の適合度を示すものを特定し、前記特定した通信履歴が示す端末間を、当該ネットワー
クにおいて優先的に考慮すべき異常原因経路として特定する演算装置と、を備えることを
特徴とする。
【０００９】
また、本発明の異常原因特定支援方法は、所定ネットワークに属する各端末の間の通信
履歴を、当該通信におけるセッションの有無別に格納した通信関係情報と、前記ネットワ
ークで生じた異常の原因経路を特定する際のポリシーと、を保持する記憶装置を備えた情
報処理システムが、前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された
条件と所定の適合度を示すものを特定し、前記特定した通信履歴が示す端末間を、当該ネ
ットワークにおいて優先的に考慮すべき異常原因経路として特定する、ことを特徴とする
。
【発明の効果】
【００１０】
本発明によれば、ネットワークにおける異常原因経路の特定処理を効率化し、当該業務
に要する手間やコストを低減可能となる。
【図面の簡単な説明】
【００１１】
【図１】本実施形態の異常原因特定支援システムを含むネットワーク構成例を示す図である。
【図２】本実施形態における異常原因特定支援システムのハードウェア構成例を示す図である。
【図３】本実施形態の端末情報のデータ構成例を示す図である。
【図４】本実施形態の通信関係情報のデータ構成例を示す図である。
【図５】本実施形態の交差端末情報のデータ構成例を示す図である。
【図６】本実施形態の異常原因経路特定優先度付けポリシーのデータ構成例を示す図である。
【図７】本実施形態における異常原因特定支援方法のフロー例１を示す図である。
【図８】本実施形態における異常原因特定支援方法のフロー例２を示す図である。
【図９】本実施形態における異常原因特定支援方法のフロー例３を示す図である。
【発明を実施するための形態】
【００１２】
−−−ネットワーク構成−−−
【００１３】
以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、本実施形態の
異常原因特定支援システム１０１を含むネットワーク構成図である。図１に示す異常原因
特定支援システム１０１は、企業など所定組織のネットワークにおける異常原因経路の特
定処理を効率化し、当該業務に要する手間やコストを低減可能とするコンピュータシステ
ムである。
【００１４】
図１で例示するように、本実施形態の異常原因特定支援システム１０１は、ネットワー
ク１０を介して、当該ネットワーク１０に接続された各端末２０と通信可能に結ばれてい
る。上述のネットワーク１０は、例えば、企業内ネットワークを想定できる。また、端末
２０は、当該企業で使用されているサーバやＰＣなど各種の情報処理装置を想定できる。
【００１５】
こうしたネットワーク１０において、いずれかの端末２０にマルウェアが感染した場合
、その端末２０を起点にネットワーク１０に連なる各端末２０は、マルウェアの感染対象
となりうる端末である。よって上述の企業としては、感染源となった端末２０を起点に、
マルウェアの感染経路を推定し、その拡散を迅速に阻止するなど所定の措置を実行する必
要がある。そこで本実施形態の異常原因特定支援システム１０１は、そうした感染経路、
すなわち異常原因経路の特定を支援することとなる。
【００１６】
勿論、図１に例示したネットワーク構成は一例である。異常原因特定支援システム１０
１が、ネットワーク１０やその配下の端末２０らに関する各種情報（マルウェア感染に関
する情報含む）を予め保持している場合、スタンドアロンマシンであってもよい。
【００１７】
本実施形態における異常原因特定支援システム１０１は、例えば、サーバ装置を想定す
る。また、その構成要素として、検知機能１０２、通信関係情報作成・更新機能１０３、
交差端末情報作成・更新機能１０４、異常原因経路特定優先度付け機能１０５、端末情報
管理記憶部１０６、通信関係情報管理記憶部１０７、交差端末情報管理記憶部１０８、お
よび、異常原因経路特定優先度付けポリシー記憶部１０９、を有する。
【００１８】
こうした構成を備えた異常原因特定支援システム１０１の通信関係情報作成・更新機能
１０３は、上述の企業における日頃の業務処理で発生する、端末２０の各間の通信ログを
取得し、端末２０の各間における通信の関係性に関する情報、すなわち通信関係情報４０
１（図４で後述）として、通信関係情報管理記憶部１０７に格納する。
【００１９】
この時、通信関係情報作成・更新機能１０３は、端末情報管理記憶部１０６が保持する
端末情報３０１（図３で後述）に基づき、通信ログが含むＩＰアドレスから通信元および
通信先の各端末２０を特定し、その情報を通信関係情報４０１の端末ＩＤとして設定する
こととなる。
【００２０】
また、異常原因特定支援システム１０１の交差端末情報作成・更新機能１０４は、上述
の通信関係情報管理記憶部１０７の通信関係情報４０１を参照し、複数の端末からセッシ
ョンありの通信元端末となっている端末を交差端末として特定し、当該交差端末の情報を
交差端末情報管理記憶部１０８の交差端末情報５０１（図５で後述）に格納する。
【００２１】
また、異常原因特定支援システム１０１の異常原因経路特定優先度付け機能１０５は、
検知機能１０２により、上述の企業のネットワーク１０における或る端末２０でマルウェ
ア感染による異常通信を検知した場合、当該端末２０すなわち感染端末と通信を行ったこ
とのある端末で通信関係情報４０１で通信元端末とされた端末や、交差端末情報５０１で
交差端末と規定されている端末を、異常原因経路特定優先度付けポリシー情報６０１（図
６で後述）に基づき抽出し、これをマルウェアの感染経路の特定、すなわち異常原因経路
の特定に際して優先的に考慮すべきものとして特定する。
なお、上述の検知機能１０２は、マルウェア感染を検知する機能であり、既存のマルウ
ェア感染チェックツールを適宜に採用すればよい。
−−−ハードウェア構成−−−
【００２２】
また、本実施形態の異常原因特定支援システム１０１のハードウェア構成は以下の如く
となる。図２は、本実施形態の異常原因特定支援システム１０１のハードウェア構成例を
示す図である。
【００２３】
異常原因特定支援システム１０１は、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、
入力装置２０４、出力装置２０５、通信制御装置２０６、および、これらを相互に接続す
るバス２０７、から構成される。
【００２４】
このうちＣＰＵ２０１は、記憶装置２０３に記憶されたプログラム２１０を、メモリ２
０２に展開し実行する演算装置である。このプログラム２１０は、異常原因特定支援シス
テム１０１として必要な機能を実装するためのプログラムである。
また入力装置２０４は、例えばキーボード、マウスなどの入力用のデバイスである。
また出力装置２０５は、例えばディスプレイやスピーカーなどの出力用のデバイスであ
る。
【００２５】
また通信制御装置２０６は、ネットワーク１０の通信プロトコルに適合した、例えば無
線ネットワークインターフェース、ネットワークインターフェースカードである。
【００２６】
なお、記憶装置２０３内には、上述のプログラム２１０に加えて、（図示しないが）端
末情報３０１、通信関係情報４０１、交差端末情報５０１、および、異常原因経路特定優
先度付けポリシー６０１が少なくとも記憶されている。このうち端末情報３０１と異常原
因経路特定優先度付けポリシー６０１は、予めインプット情報として保持しているものと
する。こうした各情報３０１〜６０１の詳細については後述する。
−−−データ構造例−−−
続いて、本実施形態の異常原因特定支援システム１０１が用いる各種情報について説明
する。図３に、本実施形態における端末情報３０１の構成例を示す。
【００２７】
端末情報３０１は、端末情報管理記憶部１０６にて、異常原因特定支援システム１０１
が処理対象とする全ての端末２０に関する情報を蓄積したものである。そのデータ構造は
、端末２０を一意に特定する端末ＩＤ３０２をキーとして、当該端末の属性情報３０１と
してのＩＰアドレスを対応付けたレコードの集合体である。
たとえば、端末ＩＤ３０２が「０００１」の端末２０に関する属性情報（ＩＰアドレス
）３０３は、「１９２．１．０．１０」である。
【００２８】
図４は、本実施形態の通信関係情報４０１のデータ構成例を示す図である。通信関係情
報４０１は、通信関係情報管理記憶部４０１にて、上述の端末２０のそれぞれについて、
当該端末が日頃の業務において通信し合う関係にある、他の端末との関係性を規定した情
報を蓄積したものである。
【００２９】
具体的には、端末を一意に特定する端末ＩＤ４０２、当該端末との間でセッションあり
の通信を行った通信元端末のＩＤすなわち通信元端末ＩＤ４０３、および、当該端末との
間でセッションなしの通信を行った通信元端末のＩＤすなわち通信元端末ＩＤＢ０４、を
対応付けたレコードの集合体である。
【００３０】
このうちセッションありの通信元端末ＩＤ４０３は、当該端末に対してセッションを張
って通信した通信元端末の端末ＩＤを保持する。またセッションなしの通信元端末ＩＤ４
０４、当該端末に対してセッションを張らずに通信した通信元端末の端末ＩＤを保持する
。
【００３１】
たとえば、端末ＩＤ４０２が「０００２」の端末について、当該端末に対してセッショ
ンありの通信を行った通信元端末は、セッションありの通信元端末ＩＤ４０３から、端末
ＩＤ「０００３」「０００１」を持つ２つの端末であることが分かる。また当該端末に対
してセッションなしの通信を行った通信元端末は、セッションなしの通信元端末ＩＤ４０
４から、存在しなかったことが分かる。
【００３２】
図５は、本実施形態の交差端末情報５０１のデータ構成例を示す図である。交差端末情
報５０１は、交差端末情報管理記憶部１０８にて、上述の端末２０のうち、複数の端末か
らのセッションありの通信先の端末（交差端末）に関して、交差端末間の距離を規定した
情報となる。
【００３３】
具体的には、交差端末の端末ＩＤである端末ＩＤ５０２、および、各交差端末間の距離
情報５０３、を対応付けたレコードの集合体である。たとえば、端末ＩＤ５０２が「００
０２」である交差端末と、端末ＩＤ５０２が「０００５」である交差端末との距離は「３
」であることが分かる。
【００３４】
図６は、本実施形態の異常原因経路特定優先度付けポリシー６０１のデータ構成例を示
す図である。異常原因経路特定優先度付けポリシー６０１は、異常原因経路特定優先度付
けポリシー記憶部１０９にて保持する情報であり、マルウェア感染した端末２０の検知時
に優先的に異常原因経路特定の処理対象とすべき端末の属性を規定した情報である。換言
すれば、ネットワーク１０においてマルウェア感染した端末２０を検知した際に、感染経
路の可能性がある端末２０をどのように特定し、異常原因経路をたどるかを定めた情報で
ある。
具体的には、経路特定優先度付けの優先順序６０２、および、経路特定優先度付けの終
了条件６０３、の各情報からなる。
【００３５】
たとえば、端末ＩＤ４０２が「０００１」の端末に関するマルウェア感染検知を契機に
、異常原因経路特定の処理を行うとき、経路特定優先度付けの優先順序６０２の「当該端
末のセッションあり通信元の端末」に従って、「０００１」なる端末を通信先とするセッ
ションあり通信における通信元端末を、通信関係情報４０１にて、端末ＩＤが「０００２
」の端末と特定し、この「０００２」端末から異常原因経路特定の処理を行うべきことが
分かる。また、異常経路特定優先度付けの終了条件６０３は、「感染端末のセッションあ
り通信の送信元の端末をすべてチェック」完了することであり、かつ「感染端末の最近の
交差端末もチェック」完了することであることが分かる。
【００３６】
以上の各情報３０１〜６０１を基に、本実施形態の異常原因特定支援システム１０１は
対象企業におけるマルウェア感染端末を起点とした異常原因経路の特定対象として、優先
度の高い端末を含む経路を特定し、その情報を、システム１０のセキュリティ担当者等の
ユーザに提示可能となる。
−−−フロー例１−−−
【００３７】
以下、本実施形態における異常原因特定支援方法の実際手順について図に基づき説明す
る。以下で説明する異常原因特定支援方法に対応する各種動作は、異常原因特定支援シス
テム１０１がメモリ等に読み出して実行するプログラム２１０によって実現される。そし
て、このプログラム２１０は、以下に説明される各種の動作を行うためのコードから構成
されている。
【００３８】
図７は、本実施形態における異常原因特定支援方法のフロー例１を示す図であり、具体
的には、異常原因特定支援方法の全体処理フローである。なお、本実施形態の異常原因特
定支援システム１０１では、通信関係情報作成・更新機能１０３による通信関係情報作成
・更新処理、交差端末情報作成・更新機能１０４による交差端末情報作成・更新処理、お
よび、異常原因経路特定優先度付け機能１０５による異常原因経路特定優先度付け処理、
がそれぞれ独立して動作する。
【００３９】
このうち通信関係情報作成・更新処理、交差端末情報作成・更新処理、では、対象とす
るネットワーク１０で生じる通信ログ（通信履歴）を取得し、それぞれ、通信関係情報管
理記憶部１０７の通信関係情報４０１、交差端末情報管理記憶部１０８の交差端末情報５
０１を作成・更新する。
【００４０】
また異常原因経路特定優先度付け処理では、当該企業のネットワーク１０にて検知機能
１０２によりマルウェア感染端末を検知した際、当該感染端末の情報を取得し、端末情報
管理記憶部１０６の端末情報３０１、通信関係情報管理記憶部１０７の通信関係情報４０
１、交差端末情報管理記憶部１０８の交差端末情報５０１、および、異常原因経路特定優
先度付けポリシー記憶部１０９の異常原因経路特定優先度付けポリシー６０１、の各情報
を基に、当該ネットワーク１０におけるマルウェア感染の経路特定の優先対象とすべき端
末を特定する。以下では、上述の各処理内容についてそれぞれ説明する。
【００４１】
まずは図７のフローのうち、通信関係情報作成・更新機能１０３による通信関係情報作
成・更新処理７１１と、交差端末情報作成・更新機能１０４による交差端末情報作成・更
新処理７１２とについて説明する。それに引き続き、検知機能１０２と異常原因経路特定
優先度付け機能１０５による異常原因経路特定優先度付け処理７０１〜７０６について説
明するものとする。
【００４２】
まず、通信関係情報作成・更新機能１０３は、通信関係情報作成・更新処理７１１にお
いて、上述の企業における業務のなかで、ネットワーク１０における端末２０の各間にて
日々発生する通信ログを取得する（ｓ１０）。この通信ログの取得は既存のネットワーク
技術を適宜に採用して行うものとする。
【００４３】
また、通信関係情報作成・更新機能１０３は、ｓ１０で取得した通信ログを参照し、通
信元端末および通信先端末のそれぞれのＩＰアドレスを読み取り、これを端末情報３０１
に照合することで、当該ＩＰアドレスに対応した端末ＩＤを、通信元端末および通信先端
末それぞれについてを取得する（ｓ１１）。
【００４４】
また、通信関係情報作成・更新機能１０３は、ｓ１１で得た通信先端末の端末ＩＤの値
を、端末ＩＤ４０２として設定されたレコードを通信関係情報４０１にて参照し、セッシ
ョンありの通信元端末ＩＤ４０３、および、セッションなしの通信元端末ＩＤ４０４、の
各欄に、ｓ１１で得た通信元端末の端末ＩＤが含まれていなければ、ｓ１１で得た通信元
端末の端末ＩＤを追記し（ｓ１２）、当該ステップ７１１を終了する。なお、セッション
ありの通信元端末ＩＤ４０３、および、セッションなしの通信元端末ＩＤ４０４、の各欄
に、ｓ１１で得た通信元端末の端末ＩＤが既に含まれていれば当該ステップ７１１を終了
するものとする。
【００４５】
次に、交差端末情報作成・更新機能１０４は、上述のステップ７１１による、通信関係
情報４０１の或るレコードでの、セッションありの通信元端末ＩＤ４０３の欄への通信元
端末の端末ＩＤの追記処理によって、当該欄での端末ＩＤの数が２つ以上となった場合、
これに応じて、当該レコードにおける端末ＩＤ４０２に対応した端末、すなわち通信先端
末を交差端末と判定する（ｓ２０）。
【００４６】
また、交差端末情報作成・更新機能１０４は、ｓ２０で交差端末と判定した端末に関し
て、交差端末情報５０１においてレコードを生成し、当該端末の端末ＩＤ４０２を交差端
末ＩＤ５０２として追記するとともに、交差端末情報５０１で既に規定されている他の交
差端末との距離を計算し、その値の追記処理を実行し（ｓ２１）、ステップ７１２を終了
する。
【００４７】
上述の距離の計算は、例えば、異常原因特定支援システム１０１が予め保持するネット
ワーク構成情報に基づいて、ネットワーク上のノードをいくつ介して接続できるか、を計
算する。なお、上述のネットワーク構成情報は、例えば、ネットワーク１０に属する端末
２０やルーターといった各ノードの間の接続関係を規定した情報である。
【００４８】
続いて、以下ではステップ７０１〜７０６の処理概要について説明する。この場合まず
、検知機能１０２が、上述のネットワーク１０においてマルウェア感染した端末２０すな
わち感染端末を検知し、当該感染端末の端末ＩＤを異常原因経路特定優先度付け機能１０
５に通知する（ステップ７０１）。
【００４９】
異常原因経路特定優先度付け機能１０５は、上述のステップ７０１で取得した端末ＩＤ
を基に、通信関係情報４０１のレコードのうち、当該端末ＩＤを端末ＩＤ４０２として含
むレコードを検索し、当該レコードのセッションありの通信元端末ＩＤ情報４０３の値を
取得する（ステップ７０２）。ここで得たセッションありの通信元端末ＩＤ情報４０３の
値が、異常原因経路特定の優先対象となる端末２０のＩＤである。
【００５０】
次に、異常原因経路特定優先度付け機能１０５は、上述のステップ７０２で得た通信元
端末ＩＤ４０３に該当する各端末について、ウィルスチェックを行う（ステップ７０３）
。なお、異常原因経路特定優先度付け機能１０５は、ウィルスチェックプログラムを予め
保持しており、必要に応じて実行し、ウィルスチェック処理を行うことができるものとす
る。また、異常原因経路特定優先度付け機能１０５は、こうした各端末に対するウィルス
チェックの未済状況について、例えば、メモリ２０２に保持するものとする。
【００５１】
上述のウィルスチェックの結果、感染が確認された場合（ステップ７０４：Ｙｅｓ）、
異常原因経路特定優先度付け機能１０５は、該当端末に関してステップ７０２の処理対象
として、該当端末を送信先とするレコード、すなわち通信関係情報４０１のレコードのう
ち、該当端末の端末ＩＤを端末ＩＤ４０２として含むレコードを検索し、当該レコードの
セッションありの通信元端末ＩＤ情報４０３の値を取得する。同様に、異常原因経路特定
優先度付け機能１０５は、ステップ７０３を実行する。
【００５２】
すなわち、異常原因経路特定優先度付け機能１０５は、上述のステップ７０２それぞれ
で検索したすべての端末についてウィルスチェック（ステップ７０３）を行い、感染が確
認されなかった場合（ステップ７０４：Ｎｏ）、ステップ７０５へ処理を遷移する。
【００５３】
続いて、異常原因経路特定優先度付け機能１０５は、異常原因経路特定優先度付けポリ
シー６０１の経路特定優先度付けの終了条件６０３を基に、異常原因経路特定優先度付け
処理の終了条件を満たすか判定する（ステップ７０５）。
【００５４】
図６で既に示した終了条件の場合、「感染端末のセッションあり通信の送信元の端末を
すべてチェック」、かつ、「感染端末の最近の交差端末もチェック」となっている。上述
の実施形態で示すステップ７０５までの時点では、「感染端末のセッションあり通信の送
信元の端末をすべてチェック」は完了しているものの、「感染端末の最近の交差端末もチ
ェック」は行っていない。よって、終了条件を満たさない判定結果が得られることになる
。
上述の判定の結果、上述の終了条件を満たしている場合（ステップ７０５：Ｙｅｓ）、
異常原因経路特定優先度付け機能１０５は、処理を終了する。
【００５５】
他方、上述の判定の結果、上述の終了条件を満たしていない場合（ステップ７０５：Ｎ
ｏ）、異常原因経路特定優先度付け機能１０５は、ステップ７０６を実行し、当該ステッ
プ７０６の終了を経て本フローを終了する。
【００５６】
以上が本実施形態の異常原因特定支援システム１０１における、通信関係情報作成・更
新処理、交差端末情報作成・更新処理、および、異常原因経路特定優先度付け処理、のそ
処理概要である。続いて、上述のステップ７０６の詳細について以下で説明する。
−−−フロー例２−−−
次に、上述のフロー例１におけるステップ７０６の詳細について説明する。図８は、本
実施形態の異常原因特定支援方法のフロー例２を示す図である。
【００５７】
この場合、異常原因経路特定優先度付け機能１０５は、異常原因経路特定優先度付けポ
リシー６０１における、異常原因経路特定優先度付けの終了条件６０３に基づき、当該終
了条件のチェック対象とされた属性の端末を、通信関係情報４０１および交差端末情報５
０１の少なくともいずれかに基づき特定し、ここで特定した該当端末のうち、ウィルスチ
ェックが未実施の端末をメモリ２０２で検索する（ステップ８０１）。既に述べたように
、例えばメモリ２０２には、各端末のウィルスチェックの未済状況の情報が格納されてい
るものとする。
【００５８】
また、異常原因経路特定優先度付け機能１０５は、上述のステップ８０１で検索した、
ウィルスチェック未実施の各端末について、当該端末を送信先とする通信のレコードを通
信関係情報４０１で検索し、当該レコードにおけるセッションなしの通信元端末ＩＤ４０
４の値を検索する（ステップ８０２）。ここで検索できた、セッションなしの通信元端末
ＩＤ４０４の値が、異常原因経路特定の優先対象となる端末２０のＩＤである。
次に、異常原因経路特定優先度付け機能１０５は、上述のステップ８０２で検索した各
端末についてウィルスチェックを行う（ステップ８０３）。
【００５９】
上述のウィルスチェックの結果、感染が確認された場合（ステップ８０４：Ｙｅｓ）、
異常原因経路特定優先度付け機能１０５は、その感染端末についてステップ８０２の処理
を上記同様に行って端末を新たに検索し、ここで検索したすべての端末についてステップ
８０３でのウィルスチェックを行い、感染が確認されなかった場合（ステップ８０４：Ｎ
ｏ）、次のステップ８０５へ進む。
【００６０】
続いて、異常原因経路特定優先度付け機能１０５は、異常原因経路特定優先度付けポリ
シー６０１の経路特定優先度付けの終了条件６０３を基に、異常原因経路特定優先度付け
処理の終了条件を満たすか判定する（ステップ８０５）。この判定処理は、フロー例１に
おけるステップ７０５と同様である。
上述の判定の結果、終了条件を満たしていない場合（ステップ８０５：Ｎｏ）、異常原
因経路特定優先度付け機能１０５は、処理をステップ８０１に戻す。
他方、上述の判定の結果、終了条件を満たしている場合（ステップ８０５：Ｙｅｓ）、
異常原因経路特定優先度付け機能１０５は、本フローを終了する。
【００６１】
以上が、所定企業のネットワーク１０における端末でマルウェア感染による異常通信を
検知した際の、異常原因経路特定の優先対象を特定する処理の全体である。これにより、
感染端末を基点にしてネットワーク１０におけるどの端末がマルウェアの感染経路である
かを推定する手間や時間、コストを軽減できる。
−−−フロー例３−−−
【００６２】
続いて、上述のフロー例１におけるステップ７０６の別の詳細フローについて説明する
。図９は、本実施形態の異常原因特定支援方法のフロー例３を示す図である。
【００６３】
この場合、異常原因経路特定優先度付け機能１０５は、異常原因経路特定優先度付けポ
リシー６０１における、異常原因経路特定優先度付けの終了条件６０３に基づき、当該終
了条件のチェック対象とされた属性の端末を、通信関係情報４０１に基づき特定し、ここ
で特定した該当端末のうち、ウィルスチェックが未実施の端末をメモリ２０２で検索する
（ステップ９０１）。既に述べたように、例えばメモリ２０２には、各端末のウィルスチ
ェックの未済状況の情報が格納されているものとする。
【００６４】
また、異常原因経路特定優先度付け機能１０５は、上述のステップ９０１で検索した、
ウィルスチェック未実施の端末について、当該端末を送信先とする通信のレコードを通信
関係情報４０１で検索し、当該レコードにおけるセッションありの通信元端末ＩＤ４０３
およびセッションなしの通信元端末ＩＤ４０４、の各値を検索し、さらに、この検索で得
た端末ＩＤの値で交差端末情報５０１を検索する（ステップ９０２）。ここで検索できた
、交差端末の端末ＩＤの値が、異常原因経路特定の優先対象となる端末２０のＩＤである
。
【００６５】
なお、上述のステップ９０２での検索に際し、異常原因経路特定優先度付け機能１０５
は、セッションありの通信元端末ＩＤ４０３およびセッションなしの通信元端末ＩＤ４０
４、の各値が交差端末であった場合、交差端末情報５０１における該当交差端末のレコー
ドが規定する他の交差端末との距離の情報に基づいて、当該交差端末からの距離が予め定
めた所定範囲である他の交差端末も特定するとすれば好適である。距離の範囲としては、
特段の限定はしないが、ネットワークとして他のセグメントに属することを示す「∞」が
設定された他の交差端末は対象から除外する。
次に、異常原因経路特定優先度付け機能１０５は、上述のステップ９０２で検索した各
交差端末についてウィルスチェックを行う（ステップ９０３）。
【００６６】
上述のウィルスチェックの結果、感染が確認された場合（ステップ９０４：Ｙｅｓ）、
異常原因経路特定優先度付け機能１０５は、その感染端末についてステップ９０２の処理
を上記同様に行って端末を新たに検索し、ここで検索したすべての端末についてステップ
９０３でのウィルスチェックを行い、感染が確認されなかった場合（ステップ９０４：Ｎ
ｏ）、次のステップ９０５へ進む。
【００６７】
続いて、異常原因経路特定優先度付け機能１０５は、異常原因経路特定優先度付けポリ
シー６０１の経路特定優先度付けの終了条件６０３を基に、異常原因経路特定優先度付け
処理の終了条件を満たすか判定する（ステップ９０５）。この判定処理は、フロー例１に
おけるステップ７０５と同様である。
上述の判定の結果、終了条件を満たしていない場合（ステップ９０５：Ｎｏ）、異常原
因経路特定優先度付け機能１０５は、処理をステップ９０１に戻す。
他方、上述の判定の結果、終了条件を満たしている場合（ステップ９０５：Ｙｅｓ）、
異常原因経路特定優先度付け機能１０５は、本フローを終了する。
【００６８】
以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明は
これに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【００６９】
こうした本実施形態によれば、ネットワークにおいて異常原因経路の特定処理の優先対
象とすべき端末を効率的に特定できる。そのためセキュリティ担当者等のユーザは、この
優先度の高い端末から異常原因経路の特定措置を実施可能である。すなわち、ネットワー
クにおける異常原因経路の特定処理を効率化し、当該業務に要する手間やコストを低減可
能となる。
【００７０】
本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態
の異常原因特定支援システムにおいて、前記記憶装置は、複数の端末からのセッションあ
り通信の相手となる交差端末の情報を更に保持し、前記演算装置は、前記通信関係情報が
示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合度を示すものとして、
通信を行った端末間のうち通信元の端末が前記交差端末であるものを特定するものである
、としてもよい。
【００７１】
これによれば、マルウェア感染等が推定される端末と通信を行う端末であって、多くの
通信の起点となっており、マルウェア感染等の影響を広く伝播させうる交差端末を、異常
原因の１つとしてユーザに提示可能となる。ひいては、ネットワークにおける異常原因経
路の特定処理を効率化し、当該業務に要する手間やコストをより低減可能となる。
【００７２】
また、本実施形態の異常原因特定支援システムにおいて、前記記憶装置は、前記交差端
末の各間の距離情報を更に保持し、前記演算装置は、前記通信関係情報が示す通信履歴の
うち、前記ポリシーに規定された条件と所定の適合度を示すものとして、通信を行った端
末間のうち通信元の端末が前記交差端末であるものを特定し、前記特定した交差端末と所
定距離範囲にある他の交差端末を前記距離情報に基づき特定し、前記特定した交差端末と
前記他の交差端末との間を前記異常原因経路として更に特定するものである、としてもよ
い。
【００７３】
これによれば、多くの通信の起点となっており、マルウェア感染等の影響を広く伝播さ
せうる交差端末の間を、異常原因の１つとしてユーザに提示可能となる。ひいては、ネッ
トワークにおける異常原因経路の特定処理を効率化し、当該業務に要する手間やコストを
さらに低減可能となる。
【００７４】
また、本実施形態の異常原因特定支援システムにおいて、前記演算装置は、前記通信関
係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合度を示すもの
として、当該通信がセッションなしの通信であるものを特定するものである、としてもよ
い。
【００７５】
これによれば、マルウェア感染等が推定される端末と、ブロードキャストやマルチキャ
ストなどマルウェア感染等の影響を広範囲に伝播させうる通信を行う端末を、異常原因の
１つとしてユーザに提示可能となる。ひいては、ネットワークにおける異常原因経路の特
定処理を効率化し、当該業務に要する手間やコストをさらに低減可能となる。
【００７６】
また、本実施形態の異常原因特定支援システムにおいて、前記演算装置は、前記通信関
係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合度を示すもの
として、端末間の通信がセッションありの通信であるものを特定するものである、として
もよい。
【００７７】
これによれば、マルウェア感染等が推定される端末と、セッションを確立して通信を行
う端末を、異常原因の１つとしてユーザに提示可能となる。ひいては、ネットワークにお
ける異常原因経路の特定処理を効率化し、当該業務に要する手間やコストをさらに低減可
能となる。
【００７８】
また、本実施形態の異常原因特定支援システムにおいて、前記記憶装置は、前記通信履
歴の取得時刻の情報を更に保持するものであり、前記演算装置は、前記取得時刻の情報に
基づき、前記通信関係情報が示す通信履歴のうち、取得時刻から所定時間が経過したもの
を削除する処理を更に実行するものである、としてもよい。
【００７９】
これによれば、通信関係情報を最新の状態に維持することで、感染範囲の変遷等に応じ
て変化しうる異常原因経路の特定精度を高めることにつながる。ひいては、ネットワーク
における異常原因経路の特定処理を効率化し、当該業務に要する手間やコストをさらに低
減可能となる。
【００８０】
また、本実施形態の異常原因特定支援方法において、前記情報処理システムが、前記記
憶装置において、複数の端末からのセッションあり通信の相手となる交差端末の情報を更
に保持し、前記通信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所
定の適合度を示すものとして、通信を行った端末間のうち通信元の端末が前記交差端末で
あるものを特定する、としてもよい。
【００８１】
また、本実施形態の異常原因特定支援方法において、前記情報処理システムが、前記記
憶装置において、前記交差端末の各間の距離情報を更に保持し、前記通信関係情報が示す
通信履歴のうち、前記ポリシーに規定された条件と所定の適合度を示すものとして、通信
を行った端末間のうち通信元の端末が前記交差端末であるものを特定し、前記特定した交
差端末と所定距離範囲にある他の交差端末を前記距離情報に基づき特定し、前記特定した
交差端末と前記他の交差端末との間を前記異常原因経路として更に特定する、としてもよ
い。
【００８２】
また、本実施形態の異常原因特定支援方法において、前記情報処理システムが、前記通
信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合度を示す
ものとして、当該通信がセッションなしの通信であるものを特定する、としてもよい。
【００８３】
また、本実施形態の異常原因特定支援方法において、前記情報処理システムが、前記通
信関係情報が示す通信履歴のうち、前記ポリシーに規定された条件と所定の適合度を示す
ものとして、端末間の通信がセッションありの通信であるものを特定する、としてもよい
。
【００８４】
また、本実施形態の異常原因特定支援方法において、前記情報処理システムが、前記記
憶装置において、前記通信履歴の取得時刻の情報を更に保持し、前記取得時刻の情報に基
づき、前記通信関係情報が示す通信履歴のうち、取得時刻から所定時間が経過したものを
削除する処理を更に実行する、としてもよい。
【符号の説明】
【００８５】
１０    ネットワーク
２０    端末
１０１  異常原因特定支援システム
１０２  検知機能
１０３  通信関係情報作成・更新情報
１０４  交差端末情報作成・更新機能
１０５  異常原因経路特定優先度付け機能
１０６  端末情報管理記憶部
１０７  通信関係管理記憶部
１０８  交差端末情報管理記憶部
１０９  異常原因経路特定優先度付けポリシー記憶部
２０１  ＣＰＵ（演算装置）
２０２  メモリ
２０３  記憶装置
２０４  入力装置
２０５  出力装置
２０６  通信制御装置
２１０  プログラム
３０１  端末情報
４０１  通信関係情報
５０１  交差端末情報
６０１  異常原因経路特定優先度付けポリシー
【図１】
2019121883.tif 000003
【図２】
2019121883.tif 000004
【図３】
2019121883.tif 000005
【図４】
2019121883.tif 000006
【図５】
2019121883.tif 000007
【図６】
2019121883.tif 000008
【図７】
2019121883.tif 000009
【図８】
2019121883.tif 000010
【図９】
2019121883.tif 000011