(57)【要約】【課題】少量かつ低レートでの攻撃に対しても、異常を検知することである。【解決手段】トラフィック異常検知装置１０は、前処理部１１と局所的グラフ特徴量生成部１２と大域的グラフ特徴量生成部１３と学習部１４と異常判定部１５とを有する。前処理部１１は、トラフィックデータから、通信履歴グラフを生成する。局所的グラフ特徴量生成部１２は、上記通信履歴グラフから、ある頂点について、局所的なグラフ特徴量を生成する。大域的グラフ特徴量生成部１３は、上記通信履歴グラフから、頂点について、大域的なグラフ特徴量を生成する。学習部１４は、生成された局所的なグラフ特徴量と、生成された大域的なグラフ特徴量とを併用して特徴ベクトルを生成し、ホスト識別子毎の学習済みモデルを生成する。異常判定部１５は、生成された学習済みモデルに対し、グラフ特徴量を入力することにより、トラフィックデータが異常であるか否かを判定する。【選択図】図１
2019149681.tif 000002
【特許請求の範囲】
【請求項１】
トラフィックデータから、通信元のホスト識別子と通信先のホスト識別子との組からなる通信履歴を抽出し、前記ホスト識別子を頂点とすると共に前記ホスト識別子間の通信を辺とする通信履歴グラフを生成するグラフ生成部と、
生成された前記通信履歴グラフから、ある頂点について、一次隣接頂点または二次隣接頂点までのグラフ構造に着目して算出される局所的なグラフ特徴量を生成する局所特徴量生成部と、
生成された前記通信履歴グラフから、前記頂点について、グラフ全体の構造に着目して算出される大域的なグラフ特徴量を生成する大域特徴量生成部と、
生成された前記局所的なグラフ特徴量と、生成された前記大域的なグラフ特徴量とを併用して前記ホスト識別子毎に特徴ベクトルを生成し、該特徴ベクトルにより、前記ホスト識別子毎の学習済みモデルを生成する学習部と、
生成された前記学習済みモデルに対し、異常判定対象のグラフ特徴量を特徴ベクトルとして入力することにより、前記トラフィックデータが異常であるか否かを判定する判定部と
を有することを特徴とするトラフィック異常検知装置。
【請求項２】
前記局所特徴量生成部は、ある頂点について、前記頂点の一次隣接頂点までを含むグラフ構造を用いて、前記頂点の次数中心性、外向き次数中心性、内向き次数中心性、クラスタ係数、及び三角グラフ数の各々からなるグラフ特徴量を算出し、前記グラフ特徴量の少なくとも１つを、前記局所的なグラフ特徴量とすることを特徴とする請求項１に記載のトラフィック異常検知装置。
【請求項３】
前記局所特徴量生成部は、ある頂点について、前記頂点の二次隣接頂点までを含むグラフ構造を用いて、前記頂点の外向き隣接頂点に関する次数中心性、外向き次数中心性、及び内向き次数中心性、並びに、内向き隣接頂点に関する次数中心性、外向き次数中心性、及び内向き次数中心性、並びに、スクエアクラスタ係数の各々からなるグラフ特徴量を算出し、前記グラフ特徴量の少なくとも１つを、前記局所的なグラフ特徴量とすることを特徴とする請求項１に記載のトラフィック異常検知装置。
【請求項４】
前記大域特徴量生成部は、ある頂点について、前記グラフ全体の構造を用いて、前記頂点の媒介中心性、近接中心性、クリーク数、Ｋａｔｚ中心性、Ｐａｇｅｒａｎｋスコア、ＨＩＴＳアルゴリズムから計算されるｈｕｂスコア、ＨＩＴＳアルゴリズムから計算されるａｕｔｈｏｒｉｔｙスコア、及びサブグラフ中心性の各々からなるグラフ特徴量を算出し、前記グラフ特徴量の少なくとも１つを、前記大域的なグラフ特徴量とすることを特徴とする請求項１に記載のトラフィック異常検知装置。
【請求項５】
トラフィック異常検知装置が、
トラフィックデータから、通信元のホスト識別子と通信先のホスト識別子との組からなる通信履歴を抽出し、前記ホスト識別子を頂点とすると共に前記ホスト識別子間の通信を辺とする通信履歴グラフを生成するグラフ生成工程と、
生成された前記通信履歴グラフから、ある頂点について、一次隣接頂点または二次隣接頂点までのグラフ構造に着目して算出される局所的なグラフ特徴量を生成する局所特徴量生成工程と、
生成された前記通信履歴グラフから、前記頂点について、グラフ全体の構造に着目して算出される大域的なグラフ特徴量を生成する大域特徴量生成工程と、
生成された前記局所的なグラフ特徴量と、生成された前記大域的なグラフ特徴量とを併用して前記ホスト識別子毎に特徴ベクトルを生成し、該特徴ベクトルにより、前記ホスト識別子毎の学習済みモデルを生成する学習工程と、
生成された前記学習済みモデルに対し、異常判定対象のグラフ特徴量を特徴ベクトルとして入力することにより、前記トラフィックデータが異常であるか否かを判定する判定工程と
を含むことを特徴とするトラフィック異常検知方法。
【請求項６】
トラフィックデータから、通信元のホスト識別子と通信先のホスト識別子との組からなる通信履歴を抽出し、前記ホスト識別子を頂点とすると共に前記ホスト識別子間の通信を辺とする通信履歴グラフを生成するグラフ生成ステップと、
生成された前記通信履歴グラフから、ある頂点について、一次隣接頂点または二次隣接頂点までのグラフ構造に着目して算出される局所的なグラフ特徴量を生成する局所特徴量生成ステップと、
生成された前記通信履歴グラフから、前記頂点について、グラフ全体の構造に着目して算出される大域的なグラフ特徴量を生成する大域特徴量生成ステップと、
生成された前記局所的なグラフ特徴量と、生成された前記大域的なグラフ特徴量とを併用して前記ホスト識別子毎に特徴ベクトルを生成し、該特徴ベクトルにより、前記ホスト識別子毎の学習済みモデルを生成する学習ステップと、
生成された前記学習済みモデルに対し、異常判定対象のグラフ特徴量を特徴ベクトルとして入力することにより、前記トラフィックデータが異常であるか否かを判定する判定ステップと
をコンピュータに実行させるためのトラフィック異常検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラフィック異常検知装置、トラフィック異常検知方法、及びトラフィック異常検知プログラムに関する。
【背景技術】
【０００２】
近年、インターネットの普及に伴い、ネットワークトラフィックの異常を検知する技術の重要性が一層高まりつつある。この様なネットワークトラフィックを用いた異常検知の手法として、従来、未使用のＩＰアドレスやシーケンシャルなＩＰアドレスへのアクセス等の機械的なアクセスパターン、あるいは、単位時間あたりの通信回数や通信先ＩＰ数の増加等を特徴として、統計や機械学習によって異常検知を行う手法が存在する。
【０００３】
例えば、非特許文献１には、未使用ＩＰアドレスへのアクセス、端末毎の通信頻度を特徴として、統計の外れ値を検知することにより、ネットワークトラフィックの異常を検知する技術が開示されている。また、非特許文献２には、未使用ＩＰアドレスへのアクセス、シーケンシャルなＩＰアドレスへのアクセス、通信頻度を特徴として、Ｋ−ｍｅａｎｓ及びＩｄ３  Ｄｅｃｉｓｉｏｎ  ｔｒｅｅのアルゴリズムにより、ネットワークトラフィックの異常を検知する技術が開示されている。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】D．Whyte，et  al：ARP-based  Detection  of  Scanning  Worms Within  an  Enterprise  Network，  Proc  of  annual  computer  security  applications  conference  (ACSAC  2005)，Tucson，AZ，59  Dec  2005
【非特許文献２】Y．Yasami，et  al：A  novel  unsupervised  classication  approach  for  network  anomaly  detection  by  k-Means  clustering  and  ID3  decision  tree  learning  methods，The  Journal  of  Supercomputing，Volume  53  Issue  1,  July  2010  Pages  231-245
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した従来技術では、以下の様な問題点があった。例えば、攻撃者側のサーバは、異常検知を回避するため、スキャンやエクスプロイト等の攻撃を、非常に少量かつ低レートで行うことが考えられる。この場合、単位時間あたりの通信回数や通信先ＩＰ数の増加等、通信ボリュームの変化に着目した特徴を用いると、異常検知が回避される可能性が大きくなる。また、シーケンシャルアクセスの特徴を用いた場合にも、検知単位時間内における複数回の攻撃の発生を前提とするため、少量かつ低レートでの攻撃下では、異常が観測できない可能性がある。更に、上記場合には、未使用ＩＰアドレスへのアクセスが回避される可能性も大きくなる。また、未使用ＩＰアクセスの特徴を用いた場合、アドレス空間内のＩＰ利用率に、異常検知率が大きく依存してしまうという欠点も存在する。
【０００６】
開示の技術は、上記に鑑みてなされたものであって、少量かつ低レートでの攻撃に対しても、異常を検知することができるトラフィック異常検知装置、トラフィック異常検知方法、及びトラフィック異常検知プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本願の開示するトラフィック異常検知装置は、一つの態様において、トラフィックデータから、通信元のホスト識別子と通信先のホスト識別子との組からなる通信履歴を抽出し、前記ホスト識別子を頂点とすると共に前記ホスト識別子間の通信を辺とする通信履歴グラフを生成するグラフ生成部と、生成された前記通信履歴グラフから、ある頂点について、一次隣接頂点または二次隣接頂点までのグラフ構造に着目して算出される局所的なグラフ特徴量を生成する局所特徴量生成部と、生成された前記通信履歴グラフから、前記頂点について、グラフ全体の構造に着目して算出される大域的なグラフ特徴量を生成する大域特徴量生成部と、生成された前記局所的なグラフ特徴量と、生成された前記大域的なグラフ特徴量とを併用して前記ホスト識別子毎に特徴ベクトルを生成し、該特徴ベクトルにより、前記ホスト識別子毎の学習済みモデルを生成する学習部と、生成された前記学習済みモデルに対し、異常判定対象のグラフ特徴量を特徴ベクトルとして入力することにより、前記トラフィックデータが異常であるか否かを判定する判定部とを有する。
【０００８】
また、本願の開示するトラフィック異常検知方法は、一つの態様において、トラフィック異常検知装置が、トラフィックデータから、通信元のホスト識別子と通信先のホスト識別子との組からなる通信履歴を抽出し、前記ホスト識別子を頂点とすると共に前記ホスト識別子間の通信を辺とする通信履歴グラフを生成するグラフ生成工程と、生成された前記通信履歴グラフから、ある頂点について、一次隣接頂点または二次隣接頂点までのグラフ構造に着目して算出される局所的なグラフ特徴量を生成する局所特徴量生成工程と、生成された前記通信履歴グラフから、前記頂点について、グラフ全体の構造に着目して算出される大域的なグラフ特徴量を生成する大域特徴量生成工程と、生成された前記局所的なグラフ特徴量と、生成された前記大域的なグラフ特徴量とを併用して前記ホスト識別子毎に特徴ベクトルを生成し、該特徴ベクトルにより、前記ホスト識別子毎の学習済みモデルを生成する学習工程と、生成された前記学習済みモデルに対し、異常判定対象のグラフ特徴量を特徴ベクトルとして入力することにより、前記トラフィックデータが異常であるか否かを判定する判定工程とを含む。
【０００９】
更に、本願の開示するトラフィック異常検知プログラムは、一つの態様において、トラフィックデータから、通信元のホスト識別子と通信先のホスト識別子との組からなる通信履歴を抽出し、前記ホスト識別子を頂点とすると共に前記ホスト識別子間の通信を辺とする通信履歴グラフを生成するグラフ生成ステップと、生成された前記通信履歴グラフから、ある頂点について、一次隣接頂点または二次隣接頂点までのグラフ構造に着目して算出される局所的なグラフ特徴量を生成する局所特徴量生成ステップと、生成された前記通信履歴グラフから、前記頂点について、グラフ全体の構造に着目して算出される大域的なグラフ特徴量を生成する大域特徴量生成ステップと、生成された前記局所的なグラフ特徴量と、生成された前記大域的なグラフ特徴量とを併用して前記ホスト識別子毎に特徴ベクトルを生成し、該特徴ベクトルにより、前記ホスト識別子毎の学習済みモデルを生成する学習ステップと、生成された前記学習済みモデルに対し、異常判定対象のグラフ特徴量を特徴ベクトルとして入力することにより、前記トラフィックデータが異常であるか否かを判定する判定ステップとをコンピュータに実行させる。
【発明の効果】
【００１０】
本願の開示するトラフィック異常検知装置、トラフィック異常検知方法、及びトラフィック異常検知プログラムは、少量かつ低レートでの攻撃に対しても、異常を検知することができるという効果を奏する。
【図面の簡単な説明】
【００１１】
【図１】図１は、本実施例に係るトラフィック異常検知装置の構成を示す図である。
【図２】図２は、本実施例に係るトラフィック異常検知装置の動作を説明するためのフローチャートである。
【図３】図３は、本実施例において算出される局所的及び大域的グラフ特徴量の一例を示す図である。
【図４】図４は、本実施例において、大局的特徴に併せて局所的特徴を用いる理由について説明する図である。
【図５】図５は、本実施例において、局所的特徴に併せて大局的特徴を用いる理由について説明する図である。
【図６】図６は、本実施例に係るトラフィック異常検知プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。
【発明を実施するための形態】
【００１２】
以下に、本願の開示するトラフィック異常検知装置、トラフィック異常検知方法、及びトラフィック異常検知プログラムの実施例を、図面を参照しながら詳細に説明する。なお、以下の実施例により本願の開示するトラフィック異常検知装置、トラフィック異常検知方法、及びトラフィック異常検知プログラムが限定されるものではない。
【００１３】
まず、本願の開示する一実施例に係るトラフィック異常検知装置の構成を説明する。図１は、本実施例に係るトラフィック異常検知装置１０の構成を示す図である。図１に示す様に、前処理部１１と局所的グラフ特徴量生成部１２と大域的グラフ特徴量生成部１３と学習部１４と異常判定部１５とを有する。これら各構成部分は、一方向又は双方向に、信号やデータの入出力が可能なように接続されている。
【００１４】
前処理部１１は、トラフィックデータから、通信元のホスト識別子と通信先のホスト識別子との組からなる通信履歴を抽出し、上記ホスト識別子を頂点とすると共に上記ホスト識別子間の通信を辺とする通信履歴グラフを生成する。局所的グラフ特徴量生成部１２は、生成された上記通信履歴グラフから、ある頂点について、一次隣接頂点または二次隣接頂点までのグラフ構造に着目して算出される局所的なグラフ特徴量を生成する。大域的グラフ特徴量生成部１３は、生成された上記通信履歴グラフから、上記頂点について、グラフ全体の構造に着目して算出される大域的なグラフ特徴量を生成する。学習部１４は、生成された上記局所的なグラフ特徴量と、生成された上記大域的なグラフ特徴量とを併用して上記ホスト識別子毎に特徴ベクトルを生成し、該特徴ベクトルにより、上記ホスト識別子毎の学習済みモデルを生成する。異常判定部１５は、生成された上記学習済みモデルに対し、異常検知（テスト）期間において未知の通信履歴から生成される、異常判定対象のグラフ特徴量を、特徴ベクトルとして入力することにより、上記トラフィックデータが異常であるか否かを判定する。
【００１５】
次に、本願の開示する一実施例に係るトラフィック異常検知装置１０の動作を説明する。図２は、本実施例に係るトラフィック異常検知装置１０の動作を説明するためのフローチャートである。
【００１６】
まずＳ１では、トラフィック異常検知装置１０は、前処理部１１により、トラフィックデータから、通信履歴グラフを生成する。次のＳ２では、トラフィック異常検知装置１０は、局所的グラフ特徴量生成部１２により、上記通信履歴グラフから、ある頂点について、局所的なグラフ特徴量を生成する。Ｓ３では、トラフィック異常検知装置１０は、大域的グラフ特徴量生成部１３により、上記通信履歴グラフから、頂点について、大域的なグラフ特徴量を生成する。Ｓ４では、トラフィック異常検知装置１０は、学習部１４により、生成された局所的なグラフ特徴量と、生成された大域的なグラフ特徴量とを併用して特徴ベクトルを生成し、ホスト識別子毎の学習済みモデルを生成する。Ｓ５では、トラフィック異常検知装置１０は、異常判定部１５により、生成された学習済みモデルに対し、グラフ特徴量を入力することにより、トラフィックデータが異常であるか否かを判定及び出力する。
【００１７】
次に、図３〜図５を参照しながら、上述した動作の流れについて、学習期間と異常検知期間とに分けて、より具体的に説明する。
【００１８】
以下の説明では、次の条件を想定する。まず、攻撃に関し、ＬＡＮ（Local  Area  Network）内に感染端末が存在し、感染端末内の悪性プログラムが、侵入拡大のための通信を発生させる。この悪性プログラムは、脆弱性のある端末を発見するため、自感染端末の所属するサブネットのＩＰ（Internet  Protocol）に対し、ランダムにポートスキャンを行う。この悪性プログラムによるポートスキャンは、５分間隔以上の低レートにより実行されるスロースキャンである。次にＬＡＮ環境に関し、／２４の一般的な大きさのサブネットを想定する。また、学習期間には、ＬＡＮ内に、ポートスキャン等の攻撃は発生していないものとする。
【００１９】
（学習期間における動作の流れ）
トラフィック異常検知装置１０は、学習期間（例えば、４週間）において、サブネット内にある任意のネットワーク機器の任意のポートからＡＲＰ（Address  Resolution  Protocol）リクエストを収集し、各ＡＲＰリクエストから、ＳｒｃＩＰアドレスとＤｓｔＩＰアドレスとの組からなる通信履歴を抽出する。ここで、ＤｓｔＩＰアドレスは、ＭＡＣアドレス解決の対象となるＩＰアドレスを指す。
【００２０】
次に、トラフィック異常検知装置１０は、抽出された通信履歴を５分毎に分割し、分割により得られた通信履歴毎に、サブネット内の端末間の通信履歴を表す通信履歴グラフを生成し、これを正常時の通信履歴グラフとする。
【００２１】
続いて、トラフィック異常検知装置１０は、生成された各通信履歴グラフをコピーし、コピーした各通信履歴グラフに対し、スキャンを模擬した通信（通信グラフ上では、辺に相当）を混入させ、これを異常時の通信履歴グラフとする。
【００２２】
次に、トラフィック異常検知装置１０は、生成された正常時及び異常時の通信履歴グラフから、グラフ上の各頂点に関する局所的及び大域的なグラフ特徴量を算出し、正常時及び異常時のグラフ特徴量とする。
【００２３】
そして、トラフィック異常検知装置１０は、決定木ベースの学習モデルであるＧＢＤＴ（Gradient  Boosting  Decision  Tree）に対し、上記正常時及び異常時のグラフ特徴量を入力し、通信の接続関係の正常・異常を分類する学習済みモデルを、各頂点毎に生成する。
【００２４】
（異常検知期間における動作の流れ）
まず、トラフィック異常検知装置１０は、収集される通信履歴をリアルタイムに入力し、５分毎に通信履歴を分割して通信履歴グラフを生成し、生成された通信履歴グラフから、グラフ上の各頂点毎に局所的及び大域的グラフ特徴量を算出する。このとき算出される局所的及び大域的グラフ特徴量Ｆの一例を図３に示す。図３に示す例では、局所的グラフ特徴量（Local  Graph  Feature）の値は３、外向き隣接頂点に関する特徴量の値は１２、内向き隣接頂点に関する特徴量の値は１２と算出されている。
【００２５】
次に、トラフィック異常検知装置１０は、算出されたグラフ特徴量を学習済みモデルに入力し、各頂点のグラフ特徴量の正常・異常を判定することにより、各頂点に対応する端末の通信が正常であるか否かの判定結果を出力する。
【００２６】
図４は、本実施例において、大局的特徴に併せて局所的特徴を用いる理由について説明する図である。図４に示す様に、局所的特徴の一例として隣人次数中心性を用いる場合、例えば、破線で囲んだ頂点Ｎ１に対応する１０番に着目すると、頂点１０番付近の特徴として、次数中心性の大きい頂点Ｎ２、Ｎ３（例えば、１３番、７番）としか接続されないという特徴を観測することができる。従って、異常検知期間において、頂点１０番が次数中心性の小さい頂点Ｎ４（例えば、０番）と接続されると、異常が有るものと判定することができる。この様に、特定の頂点近傍の詳細な特徴は、大域的特徴のみからは把握できないが、トラフィック異常検知装置１０は、局所的特徴を併用することにより、特定の頂点近傍の詳細な特徴までを考慮した上で、異常の有無を判定することが可能となる。
【００２７】
図５は、本実施例において、局所的特徴に併せて大局的特徴を用いる理由について説明する図である。図５に示す様に、大域的特徴の一例として近接中心性を用いる場合、例えば、破線で囲んだ頂点Ｎ５に対応する１７番に着目すると、頂点１７番付近の特徴として、通信履歴グラフ全体から見て末端に接続されているという特徴を観測することができる。従って、異常検知期間において、頂点Ｎ５が、頂点Ｎ４、Ｎ３（例えば、０番、７番）等の頂点に接続されると、頂点Ｎ５とグラフ上の各頂点との距離が急激に小さくなるため、異常が有るものと判定することができる。この様に、特定の頂点のグラフ全体での接続位置関係は、局所的特徴のみからは把握できないが、トラフィック異常検知装置１０は、大局的特徴を併用することにより、特定の頂点のグラフ全体での接続位置関係までを考慮した上で、異常の有無を判定することが可能となる。
【００２８】
上述した様に、学習期間において、トラフィック異常検知装置１０は、ネットワークトラフィックデータを取得し、単位時間毎の端末間の通信履歴を表す通信履歴グラフを生成する。次に、トラフィック異常検知装置１０は、各通信履歴グラフについて、ノード（頂点）毎に局所的及び大域的な特徴量を算出し、これら双方のカテゴリの特徴量を併せて学習することにより、各ノードの学習モデルを生成する。ここで、局所的な特徴量とは、あるノードｖについて、ｖの一次隣接ノードや二次隣接ノードといったグラフの部分的な構造に着目して算出される特徴量であり、例えば、次数中心性の特徴量である。これに対し、大域的な特徴量とは、あるノードｖについて、グラフ全体の構造に着目して算出される特徴量であり、例えば、媒介中心性の特徴量や近接中心性の特徴量である。
【００２９】
その後、異常検知期間においては、トラフィック異常検知装置１０は、学習期間と同様に、単位時間毎にノード毎のグラフ特徴量を算出し、逐次学習済みモデルに入力することにより、ネットワークトラフィックデータの正常・異常判定を行う。
【００３０】
換言すれば、トラフィック異常検知装置１０は、各端末の通信における接続関係を学習した上で、該学習の結果に基づき、トラフィックデータにおける異常の有無を判定及び出力するので、従来技術では検知が難しい少量かつ低レートでの攻撃も、検知することが可能となる。
【００３１】
トラフィック異常検知装置１０において、局所的グラフ特徴量生成部１２は、ある頂点について、上記頂点の一次隣接頂点までを含むグラフ構造を用いて、上記頂点の次数中心性、外向き次数中心性、内向き次数中心性、クラスタ係数、及び三角グラフ数の各々からなるグラフ特徴量を算出し、上記グラフ特徴量の少なくとも１つを、上記局所的なグラフ特徴量とするものとしてもよい。
【００３２】
また、トラフィック異常検知装置１０において、局所的グラフ特徴量生成部１２は、ある頂点について、上記頂点の二次隣接頂点までを含むグラフ構造を用いて、上記頂点の外向き隣接頂点に関する次数中心性、外向き次数中心性、及び内向き次数中心性、並びに、内向き隣接頂点に関する次数中心性、外向き次数中心性、及び内向き次数中心性、並びに、スクエアクラスタ係数の各々からなるグラフ特徴量を算出し、上記グラフ特徴量の少なくとも１つを、上記局所的なグラフ特徴量とするものとしてもよい。
【００３３】
更に、トラフィック異常検知装置１０において、大域的グラフ特徴量生成部１３は、ある頂点について、上記グラフ全体の構造を用いて、上記頂点の媒介中心性、近接中心性、クリーク数、Ｋａｔｚ中心性、Ｐａｇｅｒａｎｋスコア、ＨＩＴＳアルゴリズムから計算されるｈｕｂスコア、ＨＩＴＳアルゴリズムから計算されるａｕｔｈｏｒｉｔｙスコア、及びサブグラフ中心性の各々からなるグラフ特徴量を算出し、上記グラフ特徴量の少なくとも１つを、上記大域的なグラフ特徴量とするものとしてもよい。
【００３４】
（トラフィック異常検知プログラム）
図６は、本実施例に係るトラフィック異常検知プログラムによる情報処理がコンピュータ１００を用いて具体的に実現されることを示す図である。図６に示す様に、コンピュータ１００は、例えば、メモリ１０１と、ＣＰＵ（Central  Processing  Unit）１０２と、ハードディスクドライブインタフェース１０３と、ディスクドライブインタフェース１０４と、シリアルポートインタフェース１０５と、ビデオアダプタ１０６と、ネットワークインタフェース１０７とを有し、これらの各部はバスＣによって接続される。
【００３５】
メモリ１０１は、図６に示す様に、ＲＯＭ（Read  Only  Memory）１０１ａ及びＲＡＭ（Random  Access  Memory）１０１ｂを含む。ＲＯＭ１０１ａは、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３は、図６に示す様に、ハードディスクドライブ１０８に接続される。ディスクドライブインタフェース１０４は、図６に示す様に、ディスクドライブ１０９に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０９に挿入される。シリアルポートインタフェース１０５は、図６に示す様に、例えばマウス１１０、キーボード１１１に接続される。ビデオアダプタ１０６は、図６に示す様に、例えばディスプレイ１１２に接続される。
【００３６】
ここで、図６に示す様に、ハードディスクドライブ１０８は、例えば、ＯＳ（Operating  System）１０８ａ、アプリケーションプログラム１０８ｂ、プログラムモジュール１０８ｃ、プログラムデータ１０８ｄ、トラフィックデータ、通信履歴グラフ、局所的なグラフ特徴量、大域的なグラフ特徴量、及び学習済みモデルを記憶する。すなわち、開示の技術に係るトラフィック異常検知プログラムは、コンピュータ１００によって実行される指令が記述されたプログラムモジュール１０８ｃとして、例えばハードディスクドライブ１０８に記憶される。具体的には、上記実施例で説明した前処理部１１、局所的グラフ特徴量生成部１２、大域的グラフ特徴量生成部１３、学習部１４、異常判定部１５の各々と同様の情報処理を実行する各種手順が記述されたプログラムモジュール１０８ｃが、ハードディスクドライブ１０８に記憶される。また、トラフィック異常検知プログラムによる情報処理に用いられるデータは、プログラムデータ１０８ｄとして、例えばハードディスクドライブ１０８に記憶される。そして、ＣＰＵ１０２が、ハードディスクドライブ１０８に記憶されたプログラムモジュール１０８ｃやプログラムデータ１０８ｄを必要に応じてＲＡＭ１０１ｂに読み出し、上記各種手順を実行する。
【００３７】
なお、トラフィック異常検知プログラムに係るプログラムモジュール１０８ｃやプログラムデータ１０８ｄは、ハードディスクドライブ１０８に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０９等を介してＣＰＵ１０２によって読み出されてもよい。あるいは、トラフィック異常検知プログラムに係るプログラムモジュール１０８ｃやプログラムデータ１０８ｄは、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７を介してＣＰＵ１０２によって読み出されてもよい。
【００３８】
また、上述したトラフィック異常検知装置１０の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的態様は、図示のものに限らず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することもできる。例えば、局所的グラフ特徴量生成部１２と大域的グラフ特徴量生成部１３、あるいは、学習部１４と異常判定部１５を１つの構成要素として統合してもよい。反対に、学習部１４に関し、ホスト識別子毎に特徴ベクトルを生成する部分と、学習済みモデルを生成する部分とに分散してもよい。更に、トラフィックデータ、通信履歴グラフ、局所的なグラフ特徴量、大域的なグラフ特徴量、及び学習済みモデルを格納するハードディスクドライブ１０８を、トラフィック異常検知装置１０の外部装置として、ネットワークやケーブル経由で接続する様にしてもよい。
【符号の説明】
【００３９】
１０  トラフィック異常検知装置
１１  前処理部
１２  局所的グラフ特徴量生成部
１３  大域的グラフ特徴量生成部
１４  学習部
１５  異常判定部
１００  コンピュータ
１０１  メモリ
１０１ａ  ＲＯＭ
１０１ｂ  ＲＡＭ
１０２  ＣＰＵ
１０３  ハードディスクドライブインタフェース
１０４  ディスクドライブインタフェース
１０５  シリアルポートインタフェース
１０６  ビデオアダプタ
１０７  ネットワークインタフェース
１０８  ハードディスクドライブ
１０８ａ  ＯＳ
１０８ｂ  アプリケーションプログラム
１０８ｃ  プログラムモジュール
１０８ｄ  プログラムデータ
１０９  ディスクドライブ
１１０  マウス
１１１  キーボード
１１２  ディスプレイ
Ｆ  グラフ特徴量
Ｎ１、Ｎ２、Ｎ３、Ｎ４、Ｎ５  頂点
【図１】
2019149681.tif 000003
【図２】
2019149681.tif 000004
【図３】
2019149681.tif 000005
【図４】
2019149681.tif 000006
【図５】
2019149681.tif 000007
【図６】
2019149681.tif 000008