(57)【要約】【課題】分類結果からデータの特徴を把握することを容易にする。【解決手段】分類装置１０は、複数のトラフィックデータを含む通信ログを取得し、複数のトラフィックデータから、それぞれ異なる種類の特徴量をそれぞれ抽出する。そして、分類装置１０は、それぞれ抽出した異なる種類の特徴量に基づいて、トラフィックデータをＩＰアドレス単位でそれぞれ分類し、複数の分類結果を用いて、各分類結果の組み合わせが同じパターンの出現回数を集計する。【選択図】図１
2019149051.tif 000002
【特許請求の範囲】
【請求項１】
複数のデータを取得する取得部と、
前記取得部によって取得された複数のデータから、それぞれ異なる種類の特徴量をそれぞれ抽出する抽出部と、
前記抽出部によってそれぞれ抽出された異なる種類の特徴量に基づいて、前記データを所定の単位でそれぞれ分類する分類部と、
前記分類部によって分類された複数の分類結果を用いて、各分類結果の組み合わせが同じパターンの出現回数を集計する集計部と、
を有することを特徴とする分類装置。
【請求項２】
前記集計部は、前記各分類結果の組み合わせが同じパターンの出現回数を集計し、所定の条件を満たすパターンを出力することを特徴とする請求項１に記載の分類装置。
【請求項３】
前記取得部は、複数のトラフィックデータを含む通信ログを取得し、
前記抽出部は、前記それぞれ異なる種類の特徴量として、前記トラフィックデータの送信バイト数、前記トラフィックデータの受信バイト数、前記トラフィックデータの送信フラグ、前記トラフィックデータの受信フラグ、前記トラフィックデータの宛先ポート番号および前記トラフィックデータの送信元ポート番号に関する特徴量のうち、２種類以上の特徴量をそれぞれ抽出することを特徴とする請求項１に記載の分類装置。
【請求項４】
前記分類部は、教師なし機械学習手法を用いて、前記データをそれぞれ分類することを特徴とする請求項１に記載の分類装置。
【請求項５】
前記集計部は、頻出パターンマイニング手法を用いて、前記パターンの出現回数を集計することを特徴とする請求項１に記載の分類装置。
【請求項６】
前記取得部は、所定の条件を満たしたデータのみを処理対象とすることを特徴とする請求項１に記載の分類装置。
【請求項７】
分類装置によって実行される分類方法であって、
複数のデータを取得する取得工程と、
前記取得工程によって取得された複数のデータから、それぞれ異なる種類の特徴量をそれぞれ抽出する抽出工程と、
前記抽出工程によってそれぞれ抽出された異なる種類の特徴量に基づいて、前記データを所定の単位でそれぞれ分類する分類工程と、
前記分類工程によって分類された複数の分類結果を用いて、各分類結果の組み合わせが同じパターンの出現回数を集計する集計工程と、
を含んだことを特徴とする分類方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、分類装置および分類方法に関する。
【背景技術】
【０００２】
従来、複数のデータから多次元の特徴量をそれぞれ抽出し、抽出した特徴量を用いて各データを分類し、分類結果を解析する技術が知られている。例えば、感染端末で構成されたボットネットを使った攻撃への対策として、通信ログに含まれる複数のトラフィックデータから多次元の特徴量を抽出し、抽出した特徴量を用いてＩＰアドレスをクラスタリングし、クラスタリングの結果を解析する。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】Guofei  Gu,  Roberto  Perdisci,  Junjie  Zhang,  and  Wenke  Lee,“BotMiner:  Clustering  Analysis  of  Network  Traffic  for  Protocol-  and  Structure-Independent  Botnet  Detection”，  17th  USENIX  Security  Symposium  p139−p154,  USENIX  Association,  2008
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来の技術では、分類結果からデータの特徴を把握することが容易でないという課題があった。例えば、通信ログに含まれるトラフィックデータから多次元の特徴量を用いてＩＰアドレスをクラスタリングする手法では、抽出する特徴量の次元数が増えるほど、どの特徴に着目してクラスタが形成されたのかを容易に把握することができない場合がある。また、抽出する特徴量の次元数が多いと、適切にクラスタリングされない場合がある。
【０００５】
本発明は、上記に鑑みてなされたものであって、分類結果からデータの特徴を把握することを容易にすることを目的とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、本発明の分類装置は、複数のデータを取得する取得部と、前記取得部によって取得された複数のデータから、それぞれ異なる種類の特徴量をそれぞれ抽出する抽出部と、前記抽出部によってそれぞれ抽出された異なる種類の特徴量に基づいて、前記データを所定の単位でそれぞれ分類する分類部と、前記分類部によって分類された複数の分類結果を用いて、各分類結果の組み合わせが同じパターンの出現回数を集計する集計部と、を有することを特徴とする。
【０００７】
また、本発明の分類方法は、分類装置によって実行される分類方法であって、複数のデータを取得する取得工程と、前記取得工程によって取得された複数のデータから、それぞれ異なる種類の特徴量をそれぞれ抽出する抽出工程と、前記抽出工程によってそれぞれ抽出された異なる種類の特徴量に基づいて、前記データを所定の単位でそれぞれ分類する分類工程と、前記分類工程によって分類された複数の分類結果を用いて、各分類結果の組み合わせが同じパターンの出現回数を集計する集計工程と、を含んだことを特徴とする。
【発明の効果】
【０００８】
本発明によれば、分類結果からデータの特徴を把握することを容易にすることができるという効果を奏する。
【図面の簡単な説明】
【０００９】
【図１】図１は、第一の実施の形態に係る分類装置の構成例を示すブロック図である。
【図２】図２は、通信ログ記憶部に記憶される情報の一例を示す図である。
【図３】図３は、分類結果記憶部に記憶される情報の一例を示す図である。
【図４】図４は、第一の実施の形態に係る分類装置による処理の概要を説明する図である。
【図５】図５は、第一の実施の形態に係る分類装置による通信ログに対する前処理を説明する図である。
【図６】図６は、第一の実施の形態に係る分類装置による特徴量抽出処理を説明する図である。
【図７】図７は、第一の実施の形態に係る分類装置による特徴量抽出処理を説明する図である。
【図８】図８は、第一の実施の形態に係る分類装置による特徴量抽出処理を説明する図である。
【図９】図９は、特徴量セットの具体例を示す図である。
【図１０】図１０は、第一の実施の形態に係る分類装置による頻出パターンマイニング手法を用いて同じ種類のボットを分類する処理を説明する図である。
【図１１】図１１は、観測された特徴的なボットの一例を示す図である。
【図１２】図１２は、観測された特徴的なボットの一例を示す図である。
【図１３】図１３は、ボットと思われるＩＰアドレスを絞り込む処理を説明する図である。
【図１４】図１４は、第一の実施の形態に係る分類装置による処理を説明するフローチャートである。
【図１５】図１５は、分類プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１０】
以下に、本願に係る分類装置および分類方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る分類装置および分類方法が限定されるものではない。例えば、以下の実施形態では、解析対象のデータとして通信データを例に説明するが、これに限定されるものではなく、どのようなデータを解析対象のデータとしてもよい。
【００１１】
［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係る分類装置の構成、分類装置における処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。
【００１２】
［分類装置の構成］
まず、図１を用いて、分類装置１０の構成を説明する。図１は、第一の実施の形態に係る分類装置の構成例を示すブロック図である。図１に示すように、この分類装置１０は、入力部１１、出力部１２、制御部１３および記憶部１４を有する。以下に分類装置１０が有する各部の処理を説明する。
【００１３】
入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１３に対して各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置、情報通信装置、スピーカ等によって実現され、例えば、後述する頻出パターン等を操作者に対して出力する。
【００１４】
また、記憶部１４は、制御部１３による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、通信ログ記憶部１４ａおよび分類結果記憶部１４ｂを有する。例えば、記憶部１４は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
【００１５】
通信ログ記憶部１４ａは、後述する取得部１３ａによって取得された通信ログを記憶する。例えば、通信ログとして、ｘＦｌｏｗ、Ｐｒｏｘｙログ、Ｆｉｒｅｗａｌｌログ等の様々な形式の通信ログが用いられる。なお、以下の例では、主に、ネットワークのフロー情報であるｘＦｌｏｗを例として説明する。ｘＦｌｏｗは、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコル、フラグ等を含む。
【００１６】
ここで、図２を用いて、通信ログ記憶部１４ａに記憶される情報の一例を説明する。図２は、通信ログ記憶部に記憶される情報の一例を示す図である。通信ログ記憶部１４ａは、図２に例示するように、トラフィックデータについて、送信元のＩＰアドレスを示す「送信元ＩＰアドレス」、宛先のＩＰアドレスを示す「宛先ＩＰアドレス」、送信元のポート番号を示す「送信元ポート番号」、宛先のポート番号を示す「宛先ポート番号」、通信プロトコルを示す「プロトコル」およびＴＣＰヘッダのコントロールフラグを示す「フラグ」を記憶する。
【００１７】
分類結果記憶部１４ｂは、後述する分類部１３ｃによって分類された分類結果を記憶する。例えば、分類結果記憶部１４ｂは、図３に例示するように、ＩＰアドレスごとに、特徴量セットＡ、特徴量セットＢ、特徴量セットＣ・・・それぞれについての分類結果のラベルを記憶する。ここで、特徴量セットとは、予め設定された抽出する特徴量の組である。図３は、分類結果記憶部に記憶される情報の一例を示す図である。
【００１８】
図３の例を挙げて説明すると、分類結果記憶部１４ｂは、例えば、ＩＰアドレス「Ａ」について、特徴量セットＡのラベル「１」、特徴量セットＢのラベル「２」および特徴量セットＣのラベル「１」を記憶する。また、分類結果記憶部１４ｂは、ＩＰアドレス「Ｂ」についても、特徴量セットＡのラベル「１」、特徴量セットＢのラベル「２」および特徴量セットＣのラベル「１」を記憶する。また、分類結果記憶部１４ｂは、ＩＰアドレス「Ｃ」について、特徴量セットＡのラベル「２」、特徴量セットＢのラベル「１」および特徴量セットＣのラベル「３」を記憶する。
【００１９】
制御部１３は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、取得部１３ａ、抽出部１３ｂ、分類部１３ｃおよび集計部１３ｄを有する。ここで、制御部１３は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路やＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）などの集積回路である。
【００２０】
取得部１３ａは、複数のトラフィックデータを含む通信ログを取得する。具体的には、取得部１３ａは、所定期間における複数のトラフィックデータを含む通信ログを取得すると、通信ログ記憶部１４ａに取得した通信ログに含まれるトラフィックデータを記憶する。なお、取得部１３ａは、リアルタイムに通信ログを取得してもよく、所定期間のトラフィックデータ群に区切るバッチ処理を行って通信ログ記憶部１４ａに格納するようにしてもよい。
【００２１】
また、取得部１３ａは、取得した通信ログに対する前処理として、所定の条件を満たすＩＰアドレスのトラフィックデータのみを処理対象として通信ログ記憶部１４ａに格納するようにしてもよい。例えば、取得部１３ａは、所定の条件として、（１）ダークネットにＴＣＰヘッダのコントロールフラグが「ＳＹＮ」であるパケットを送信していたＩＰアドレスであって、かつ、（２）一定期間中に片方向通信を２０フロー以上観測できたＩＰアドレスを送信元とするトラフィックデータのみを通信ログ記憶部１４ａに格納するようにしてもよい。また、取得部１３ａは、上記した所定の条件（１）、（２）のうち、いずれか一方でも満たした場合であっても、該当するＩＰアドレスを送信元とするトラフィックデータを通信ログ記憶部１４ａに格納するようにしてもよい。
【００２２】
抽出部１３ｂは、取得部１３ａによって取得された複数のトラフィックデータから、それぞれ異なる種類の特徴量をそれぞれ抽出する。具体的には、抽出部１３ｂは、予め設定された各特徴量セットで定められた各特徴量をそれぞれ抽出する。
【００２３】
例えば、抽出部１３ｂは、それぞれ異なる種類の特徴量として、トラフィックデータの送信バイト数、トラフィックデータの受信バイト数、トラフィックデータの送信フラグ、トラフィックデータの受信フラグ、トラフィックデータの宛先ポート番号およびトラフィックデータの送信元ポート番号に関する特徴量のうち、２種類以上の特徴量をそれぞれ抽出する。
【００２４】
分類部１３ｃは、抽出部１３ｂによってそれぞれ抽出された異なる種類の特徴量に基づいて、トラフィックデータをＩＰアドレス単位でそれぞれ分類する。具体的には、分類部１３ｃは、各特徴量セットについて抽出された特徴量の組に基づいて、各ＩＰアドレスをそれぞれクラスタリングし、クラスタリング結果を基にそれぞれラベルを付与して分類結果記憶部１４ｂに格納する。また、分類部１３ｃは、例えば、教師なし機械学習手法を用いて、トラフィックデータをＩＰアドレス単位でそれぞれ分類するようにしてもよい。
【００２５】
集計部１３ｄは、分類部１３ｃによって分類された複数の分類結果を用いて、各分類結果の組み合わせが同じパターンの出現回数を集計する。また、集計部１３ｄは、各分類結果の組み合わせが同じパターンの出現回数を集計し、所定の条件を満たすパターンを出力する。具体的には、集計部１３ｄは、分類部１３ｃによって分類された複数の分類結果を用いて、各分類結果の組み合わせが同じパターンの出現回数を集計し、分類結果が同じ組み合わせのパターンが閾値以上出現した場合には、該パターンを出力部１２を介して出力する。例えば、集計部１３ｄは、頻出パターンマイニング手法を用いて、パターンの出現回数を集計するようにしてもよい。
【００２６】
ここで図４の例を用いて、第一の実施の形態に係る分類装置１０による処理の概要を説明する。図４は、第一の実施の形態に係る分類装置による処理の概要を説明する図である。図４に例示するように、分類装置１０の取得部１３ａは、ｘＦｌｏｗ等の通信ログを取得し、取得した通信ログに対する前処理として、所定の条件を満たすＩＰアドレスのトラフィックデータを処理対象のトラフィックデータとして選択する（図４の（１）参照）。
【００２７】
ここで、図５を用いて、通信ログに対する前処理の一例を説明する。図５は、第一の実施の形態に係る分類装置による通信ログに対する前処理を説明する図である。図５に例示するように、例えば、取得部１３ａは、所定の条件として、ダークネットにＴＣＰヘッダのコントロールフラグが「ＳＹＮ」であるパケットを送信していたＩＰアドレスであって、かつ、一定期間中に片方向通信を２０フロー以上観測できたＩＰアドレスを送信元とするフロー（トラフィックデータ）のみを使用する。
【００２８】
図４の説明に戻って、分類装置１０の抽出部１３ｂは、予め設定された各特徴量セットＡ〜Ｃで定められた各特徴量をそれぞれ抽出する。ここで、抽出部１３ｂは、各特徴量セットＡ〜Ｃで定められた各特徴量を抽出する処理を並行して行ってもよいし、順次行うようにしてもよい。そして、分類部１３ｃは、各特徴量セットＡ〜Ｃについて抽出された特徴量の組に基づいて、各ＩＰアドレスをそれぞれクラスタリングし、クラスタリング結果を基にそれぞれラベルを付与する（図４の（２）参照）。
【００２９】
ここで、図６〜図８の例を用いて、分類装置１０による特徴量抽出処理を説明する。図６〜図８は、第一の実施の形態に係る分類装置による特徴量抽出処理を説明する図である。まず、図６を用いて、特徴量セットＡで定められた各特徴量を抽出する処理を説明する。なお、以下では、特徴量セットＡでは、抽出対象の特徴量として、通信量に関する特徴量が設定されているものとする。
【００３０】
図６に例示するように、抽出部１３ｂは、通信量に関する特徴量として、各送信元ＩＰアドレスについて、１パケットあたりのバイト数の「最大」、「最少」、「平均」、「分散」を抽出する。例えば、抽出部１３ｂは、送信元ＩＰ：Ａの特徴量として、図６に例示するように、１パケットあたりのバイト数の「最大」として「５９．０」バイト、「最少」として「４０．０」バイト、「平均」として「４１．５」バイト、「分散」として「４．０４」バイトを抽出する。
【００３１】
そして、分類部１３ｃは、各送信元ＩＰアドレスをそれぞれクラスタリングし、クラスタリング結果を基にそれぞれラベルを付与する。例えば、分類部１３ｃは、各送信元ＩＰアドレスを通信量が少ないものと多いものとでクラスタリングし、通信量が多い送信元ＩＰアドレスにはラベル「２」を付与し、通信量が少ない送信元ＩＰアドレスにはラベル「１」を付与する。
【００３２】
次に、図７を用いて特徴量セットＢで定められた各特徴量を抽出する処理を説明する。なお、以下では、特徴量セットＢでは、抽出対象の特徴量として、ＴＣＰフラグに関する特徴量が設定されているものとする。
【００３３】
図７に例示するように、抽出部１３ｂは、ＴＣＰフラグに関する特徴量として、各送信元ＩＰアドレスについて、送信パケットにおけるＴＣＰフラグ「ＵＲＧ」、「ＳＹＮ」、「ＰＳＨ」、「ＲＳＴ」、「ＡＣＫ」、「ＦＩＮ」の割合をそれぞれ抽出する。例えば、抽出部１３ｂは、送信元ＩＰ：Ａの特徴量として、図７に例示するように、「ＵＲＧ」の割合として「０」、「ＡＣＫ」の割合として「０．０８」、「ＰＳＨ」の割合として「０．０３」、「ＲＳＴ」の割合として「０」、「ＳＹＮ」の割合として「０．９１」、「ＦＩＮ」の割合として「０．０１」を抽出する。
【００３４】
そして、分類部１３ｃは、各送信元ＩＰアドレスをそれぞれクラスタリングし、クラスタリング結果を基にそれぞれラベルを付与する。例えば、分類部１３ｃは、各送信元ＩＰアドレスについて、ＴＣＰフラグの「ＡＣＫ」が多いものとＴＣＰフラグの「ＳＹＮ」が多いものとでクラスタリングし、「ＡＣＫ」が多い送信元ＩＰアドレスにはラベル「１」を付与し、「ＳＹＮ」が多い送信元ＩＰアドレスにはラベル「２」を付与する。
【００３５】
次に、図８を用いて特徴量セットＣで定められた各特徴量を抽出する処理を説明する。なお、以下では、特徴量セットＣでは、抽出対象の特徴量として、ポートに関する特徴量が設定されているものとする。図８に例示するように、抽出部１３ｂは、ポートに関する特徴量として、クライアント側のＩＰアドレスについて、パケット送信時に使用された送信元ポート番号を昇順に並べたときの最少（０％）、２５％、中間（５０％）、７５％、最大（１００％）の送信元ポート番号をそれぞれ抽出する。
【００３６】
例えば、抽出部１３ｂは、クライアント側のＩＰアドレス：Ａの特徴量として、図８に例示するように、「０％」のポート番号として「２３」、「２５％」のポート番号として「２３」、「５０％」のポート番号として「２３」、「７５％」のポート番号として「２３」、「１００％」のポート番号として「２３」を抽出する。これは、パケット送信時に常に宛先ポート番号「２３」が使用されていたことを意味する。
【００３７】
そして、分類部１３ｃは、各クライアント側のＩＰアドレスをそれぞれクラスタリングし、クラスタリング結果を基にそれぞれラベルを付与する。例えば、分類部１３ｃは、各クライアント側のＩＰアドレスについて、使用ポート番号の傾向に応じてクラスタリングする。
【００３８】
なお、上記の図６〜図８の例では、特徴量セットＡ〜Ｃの３つを例に挙げて説明したが、これに限定されるものではない。ここで、図９の例を用いて、特徴量セットの具体例を説明する。図９は、特徴量セットの具体例を示す図である。図９に例示するように、例えば、分類装置１０は、特徴量セットとして、１１つの特徴量セットが予め設定され、このうちの全て特徴量セットについて処理を実行しても、一部を実行してもよい。図９の例では、特徴量セットのセット名として、「送信フラグ」、「受信フラグ」、「送信量」、「受信量」、「送信量２」、「受信量２」、「送信元ポート」、「ｃｌｉｅｎｔポート」、「宛先ポート」、「ｓｅｒｖｅｒポート」および「ＯＳ」が設定されている。
【００３９】
例えば、セット名「送信フラグ」では、抽出対象の特徴量として、ＴＣＰフラグに関する特徴量が設定されており、各送信元ＩＰアドレスについて、送信パケットにおけるＴＣＰフラグ「ＵＲＧ」、「ＳＹＮ」、「ＰＳＨ」、「ＲＳＴ」、「ＡＣＫ」、「ＦＩＮ」の割合をそれぞれ抽出する。また、セット名「ＯＳ」では、ダークネットへＳＹＮパケットを送信した送信元のＯＳの種類を抽出する。
【００４０】
また、集約単位として、送信元ＩＰアドレスで集約することを示す「ｓａ」、宛先ＩＰアドレスで集約することを示す「ｄａ」、クライアント側のＩＰアドレスで集約することを示す「ｃｌｉ」、サーバ側のＩＰアドレスで集約することを示す「ｓｒｖ」のいずれかが設定されている。なお、「ｃｌｉ」の場合にはポート番号が大きい方のＩＰアドレスをクライアント側のＩＰアドレスとし、「ｓｒｖ」の場合にはポート番号が小さい方のＩＰアドレスをサーバ側のＩＰアドレスとする。また、抽出される特徴量の次元数についても設定されている。例えば、セット名「送信フラグ」では、次元数として「６」が設定されている。
【００４１】
図４の説明に戻って、分類装置１０の集計部１３ｄは、頻出パターンマイニング手法を用いて、各分類結果の組み合わせが同じパターンの出現回数を集計し、ボットの分類を行う（図４の（３）参照）。
【００４２】
ここで、図１０を用いて、頻出パターンマイニング手法を用いて、同じ種類のボットを分類する処理を説明する。図１０は、第一の実施の形態に係る分類装置による頻出パターンマイニング手法を用いて同じ種類のボットを分類する処理を説明する図である。図１０に例示するように、集計部１３ｄは、頻出パターンマイニング手法を用いて、大量に出現するパターンを検索する。図１０の例では、特徴量セットＡのラベルが「１」、特徴量セットＢのラベルが「２」、特徴量セットＣのラベルが「１」であるパターンを頻出パターンとして特定し、頻出パターンに該当するＩＰアドレス「Ａ」、「Ｂ」を同じ種類のボットのＩＰアドレスであると判定する。
【００４３】
このボットの特徴として、通信量が少なく、ＳＹＮパケットの送信が多く、通信プロトコルがｔｅｌｎｅｔであることが容易に把握することができる。つまり、分類装置１０では、特徴量を意味のある側面で分割し、各側面のラベルの意味を解釈できる。また、分類装置１０では、頻出する特徴の組み合わせを抽出し、複数ラベルで各ボットの全体像を把握することができる。
【００４４】
ここで、図１１および図１２を用いて、特徴的なボットの例について説明する。図１１および図１２は、観測された特徴的なボットの一例を示す図である。図１１に例示するように、各特徴量セットの頻出パターンから、ＳＹＮパケットが多く、送信パケットおよび受信パケットのバイト数が少なく、宛先ポートとして２３、２３２３を使用し、ＯＳがＬｉｎｕｘ（登録商標）  ２．４．ｘという特徴を有するｍｉｒａｉ系と思われるボットを観測することができる。
【００４５】
また、図１２に例示するように、各特徴量セットの頻出パターンから、送信元ポートおよびｃｌｉｅｎｔポートに特徴があり、宛先ポートに特徴がないことから、固定の送信元ポート番号を使用するスキャナであって、様々なポートをスキャンする特徴があるボットを観測することができる。
【００４６】
つまり、分類装置１０では、複数の観点から特徴量を分割して抽出を行い、頻出する組み合わせを分類に用いることで、個々の分類結果の意味の解釈と、それらの組み合わせによって得られる最終的な分類結果の意味解釈を容易にした。このため、分類装置１０では、何が存在しているかわからないデータのなからから、どのような種別のものが存在するのかを明らかにすることができる。
【００４７】
また、第一の実施の形態に係る分類装置１０では、ダークネットにＴＣＰヘッダのコントロールフラグが「ＳＹＮ」であるパケットを送信していたＩＰアドレスであるか等の条件を用いてボットと思われるＩＰアドレスを絞り込む。このため、図１３に例示するように、第一の実施の形態に係る分類装置１０では、未使用ＩＰアドレスの空間であるダークネットの情報を活用し、ボットと思われるＩＰアドレスを絞り込むことで、処理対象のトラフィックデータを少なくし、処理負荷を軽減することができる。図１３は、ボットと思われるＩＰアドレスを絞り込む処理を説明する図である。
【００４８】
［分類装置の処理の流れ］
次に、図１４を用いて、第一の実施の形態に係る分類装置１０の処理の流れを説明する。図１４は、第一の実施の形態に係る分類装置による処理を説明するフローチャートである。
【００４９】
図１４に示すように、分類装置１０の取得部１３ａは、所定期間における複数のトラフィックデータを含む通信ログを取得すると（ステップＳ１０１肯定）、取得した通信ログに対する前処理として、所定の条件を満たすＩＰアドレスのトラフィックデータのみを処理対象として選択する前処理を実行する（ステップＳ１０２）。
【００５０】
そして、抽出部１３ｂは、取得部１３ａによって取得された複数のトラフィックデータから、それぞれ異なる種類の特徴量をそれぞれ抽出する（ステップＳ１０３）。具体的には、抽出部１３ｂは、予め設定された各特徴量セットで定められた各特徴量をそれぞれ抽出する。
【００５１】
続いて、分類部１３ｃは、各特徴量セットについて抽出された特徴量の組に基づいて、各ＩＰアドレスをそれぞれクラスタリングし（ステップＳ１０４）、クラスタリング結果を基にそれぞれラベルを付与する（ステップＳ１０５）。
【００５２】
そして、集計部１３ｄは、分類部１３ｃによって分類された複数の分類結果を用いて、同一のラベルの組み合わせの出現回数を集計し（ステップＳ１０６）、頻出するラベルの組み合わせを同じグループのデータとして出力部１２を介して出力する（ステップＳ１０７）。
【００５３】
［第一の実施の形態の効果］
このように、第一の実施の形態に係る分類装置１０は、複数のトラフィックデータを含む通信ログを取得し、複数のトラフィックデータから、それぞれ異なる種類の特徴量をそれぞれ抽出する。そして、分類装置１０は、それぞれ抽出した異なる種類の特徴量に基づいて、トラフィックデータをＩＰアドレス単位でそれぞれ分類し、複数の分類結果を用いて、各分類結果の組み合わせが同じパターンの出現回数を集計する。このため、分類装置１０は、分類結果からデータの特徴を把握することを容易にすることが可能である。
【００５４】
このように、第一の実施の形態に係る分類装置１０では、少数の特徴量に分割して分類を行う。この分割は、例えばネットワークトラフィックデータであればパケットサイズの統計値、ＴＣＰフラグの割合のように、それぞれ異なる観点から特徴量の抽出を行い、それぞれ分類を行う。このように分類を行うことで、入力した特徴量に対応した分類結果を得ることができ，結果に対する意味の解釈性を向上させる。
【００５５】
例えば、分類装置１０では、ネットワークトラフィックデータを入力情報として分類を行う際に、特徴量をＴＣＰのフラグとパケットサイズの観点で分割して分類を行うとする。その場合、ＴＣＰフラグの分類では、ＳＹＮが多いやＡＣＫが多いといった分類結果が得られ、パケットサイズの分類では送信量が多い、少ないといったような結果が得られると考えられる。このように、観点によって特徴量を分割し、少数の特徴量を入力情報として使用して分類を行うことによって、分類結果が簡単になり、なぜそうなったかの結果の解釈が容易となる。
【００５６】
また、分類装置１０では、特徴量分割によって得られた分類結果を集計し、分類結果が同じ組み合わせのデータが閾値θ回以上出現したものを出力し、同じグループのデータとする。また、分類装置１０では、それぞれの異なる分類結果を集計し、特定のパターンが多くのデータで出現した場合は、偶然同じ分類結果の組み合わせを得たのではなく、そのグループに共通した特徴であるとみなすことができる。この分類結果は解釈のしやすい結果であり、その結果を組み合わせることによって全体的な特徴を把握することが可能となる。
【００５７】
例えば、ＴＣＰフラグの分類の例で、ＳＹＮが少ない、送信量が少ないと言った組み合わせが抽出された場合には、この特徴を組み合わせるとこれはスキャンを行うボットであると言った解釈をすることができる。また、分割数を増やし、特徴量抽出の観点を増やすことにより、より詳細に分類の特徴を把握することができる。
【００５８】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００５９】
また、本実施の形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００６０】
［プログラム］
図１５は、分類プログラムを実行するコンピュータを示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００６１】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。
【００６２】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、分類装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【００６３】
また、上述した実施の形態の処理で用いられるデータは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００６４】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク、ＷＡＮを介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００６５】
１０  分類装置
１１  入力部
１２  出力部
１３  制御部
１３ａ  取得部
１３ｂ  抽出部
１３ｃ  分類部
１３ｄ  集計部
１４  記憶部
１４ａ  通信ログ記憶部
１４ｂ  分類結果記憶部
【図１】
2019149051.tif 000003
【図２】
2019149051.tif 000004
【図３】
2019149051.tif 000005
【図４】
2019149051.tif 000006
【図５】
2019149051.tif 000007
【図６】
2019149051.tif 000008
【図７】
2019149051.tif 000009
【図８】
2019149051.tif 000010
【図９】
2019149051.tif 000011
【図１０】
2019149051.tif 000012
【図１１】
2019149051.tif 000013
【図１２】
2019149051.tif 000014
【図１３】
2019149051.tif 000015
【図１４】
2019149051.tif 000016
【図１５】
2019149051.tif 000017