(57)【要約】【課題】未知のパターンの伝播状況を把握できる監視プログラム、監視方法および監視装置を提供する。【解決手段】取得部５１は、所定の期間ごとに、システム内を伝送されたパケットのうち、所定の送信元と送信先の組み合わせとは異なる送信元と送信先の組み合わせが設定されたパケットを取得する。抽出部５２は、所定の期間ごとに、システム内を伝送されたパケットのうち、取得した前記パケットと関連する関連パケットを抽出する。生成部５３は、抽出した関連パケットに基づいて、伝播度合いを示す情報を生成する。出力部５４は、生成した情報を出力する。【選択図】図２
2015164244.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータに、
所定の期間ごとに、システム内を伝送されたパケットのうち、所定の送信元と送信先の組み合わせとは異なる送信元と送信先の組み合わせが設定されたパケットを取得し、
前記所定の期間ごとに、前記システム内を伝送されたパケットのうち、取得した前記パケットと関連する関連パケットを抽出し、
抽出した前記関連パケットに基づいて、伝播度合いを示す情報を生成し、
生成した情報を出力する
処理を実行させることを特徴とする監視プログラム。
【請求項２】
コンピュータに、
システム内を伝送されたパケットから、送信元と送信先が同一のパケットごとに通信の特徴を所定の期間ごとに特定する処理をさらに実行させ、
前記抽出する処理は、取得されたパケットから特定された特徴を含み、当該特徴を特定したパケットの送信元を宛先とする関連パケットを抽出する
ことを特徴とする請求項１に記載の監視プログラム。
【請求項３】
前記特定する処理は、前記通信の特徴として、頻度の特徴、組み合わせの特徴、系列の特徴の何れか１または複数を特定する
ことを特徴とする請求項１または２に記載の監視プログラム。
【請求項４】
前記取得する処理は、システム内で通信が行われる所定の送信元と送信先の組み合わせが記憶された記憶部に記憶されていない送信元と送信先の組み合わせが設定されたパケットを取得する
ことを特徴とする請求項１〜３の何れか１つに記載の監視プログラム。
【請求項５】
コンピュータに、
パケットが取得される期間が所定の期間以上の送信元と送信先を前記記憶部に登録する
処理をさらに実行させることを特徴とする請求項４に記載の監視プログラム。
【請求項６】
コンピュータが、
所定の期間ごとに、システム内を伝送されたパケットのうち、所定の送信元と送信先の組み合わせとは異なる送信元と送信先の組み合わせが設定されたパケットを取得し、
前記所定の期間ごとに、前記システム内を伝送されたパケットのうち、取得した前記パケットと関連する関連パケットを抽出し、
抽出した前記関連パケットに基づいて、伝播度合いを示す情報を生成し、
生成した情報を出力する
処理を実行することを特徴とする監視方法。
【請求項７】
所定の期間ごとに、システム内を伝送されたパケットのうち、所定の送信元と送信先の組み合わせとは異なる送信元と送信先の組み合わせが設定されたパケットを取得する取得部と、
前記所定の期間ごとに、前記システム内を伝送されたパケットのうち、前記取得部により取得した前記パケットと関連する関連パケットを抽出する抽出部と、
前記抽出部により抽出した前記関連パケットに基づいて、伝播度合いを示す情報を生成する生成部と、
前記生成部により生成した情報を出力する出力部と、
を有することを特徴とする監視装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視プログラム、監視方法および監視装置に関する。
【背景技術】
【０００２】
近年、マルウェア（malware）に代表されるサイバー攻撃が増加している。このようなサイバー攻撃は、例えば、ゼロデイ攻撃、標的型攻撃など、巧妙化、多様化しており、未知のパターンが用いられる場合もある。例えば、セキュリティ製品に登録されていない未知のパターンがネットワーク内に侵入した場合、未知のパターンがネットワーク内部の機器を伝播することにより、システム内部に広がってシステムに影響を及ぼす場合がある。
【０００３】
このような未知のパターンを検出する技術がある。かかる技術では、例えば、プロトコルとデータ部分が同一であるパケットの数が閾値を超過した場合に、未知のワームが送信したパケットとみなす。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−１７５９９３号公報
【特許文献２】特表２００８−５１８３２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記の技術は、未知のパターンの検出箇所がわかるのみで、未知のパターンの伝播状況を把握できない。
【０００６】
一側面では、未知のパターンの伝播状況を把握できる監視プログラム、監視方法および監視装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の一側面によれば、監視プログラムは、コンピュータに、所定の期間ごとに、システム内を伝送されたパケットのうち、所定の送信元と送信先の組み合わせとは異なる送信元と送信先の組み合わせが設定されたパケットを取得する処理を実行させる。監視プログラムは、コンピュータに、所定の期間ごとに、システム内を伝送されたパケットのうち、取得したパケットと関連する関連パケットを抽出する処理を実行させる。監視プログラムは、コンピュータに、抽出した関連パケットに基づいて、伝播度合いを示す情報を生成する処理を実行させる。監視プログラムは、コンピュータに、生成した情報を出力する処理を実行させる。
【発明の効果】
【０００８】
本発明の一側面によれば、未知のパターンの伝播状況を把握できる。
【図面の簡単な説明】
【０００９】
【図１】図１は、監視対象システムの概略構成の一例を示す図である。
【図２】図２は、実施例１に係る監視装置の機能的な構成の一例を示す図である。
【図３】図３は、既知通信情報のデータ構成の一例を示す図である。
【図４】図４は、ノード間特徴情報のデータ構成の一例を示す図である。
【図５】図５は、伝播グラフ情報のデータ構成の一例を示す図である。
【図６】図６は、パケットの一例を示す図である。
【図７】図７は、入力したパケットのパケットサイズのヒストグラムの一例を示す図である。
【図８】図８は、送信元と送信先の組み合わせが既知通信情報に記憶されていない場合の処理を模式的に示した図である。
【図９】図９は、送信元と送信先の組み合わせが既知通信情報に記憶されている場合の処理を模式的に示した図である。
【図１０】図１０は、伝播を検索する処理を模式的に示した図である。
【図１１】図１１は、伝播の検索の流れの一例をより詳細に示した図である。
【図１２】図１２は、伝播度合いを示す情報を生成する処理を模式的に示した図である。
【図１３】図１３は、伝播度合いを示す情報を生成する処理を模式的に示した図である。
【図１４】図１４は、伝播グラフ情報のデータを削除する処理を模式的に示した図である。
【図１５】図１５は、ノード数をカウントする処理を模式的に示した図である。
【図１６】図１６は、伝播状況を示した画面の一例を示す図である。
【図１７】図１７は、伝播状況を示した画面の一例を示す図である。
【図１８】図１８は、伝播状況を示した画面の一例を示す図である。
【図１９】図１９は、監視処理の手順の一例を示すフローチャートである。
【図２０】図２０は、実施例２に係る監視装置の機能的構成を示すブロック図である。
【図２１】図２１は、伝播グラフ情報のデータ構成の一例を示す図である。
【図２２】図２２は、未知通信情報のデータ構成の一例を示す図である。
【図２３】図２３は、送信元と送信先の組み合わせが既知通信情報に記憶されていない場合の処理を模式的に示した図である。
【図２４】図２４は、時刻が伝播監視時間Ｋよりも前なった場合の処理を模式的に示した図である。
【図２５】図２５は、監視プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１０】
以下に、本発明に係る監視プログラム、監視方法および監視装置の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。そして、各実施例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。
【実施例１】
【００１１】
［監視対象システムの構成］
最初に、実施例１に係る未知のパターンの伝播を監視する監視対象システム１０の構成について説明する。図１は、監視対象システムの概略構成の一例を示す図である。図１に示すように、監視対象システム１０は、ネットワーク１１に各種の通信機器１２が通信可能となるように接続されている。この監視対象システム１０は、例えば、社内ネットワークなどである。図１の例では、ネットワーク１１に、通信機器１２として２台のサーバ１２Ａと、２台のノート型ＰＣ（Personal  Computer）１２Ｂとが接続されている。なお、通信機器１２は、これに限定されるものではなく、例えば、ルータやゲートウェイなどパケットを通信する機器であれば何れであってもよい。また、図１の例では、通信機器１２を４台とした場合を例示したが、開示のシステムはこれに限定されず、通信機器１２を任意の数とすることができる。各種の通信機器１２は、ネットワーク１１を介して他の通信機器１２とデータを送受信する。
【００１２】
ネットワーク１１には、データを中継するスイッチ１５が設けられている。なお、図１の例では、スイッチ１５を１つ示したが、スイッチ１５は、複数設けられている。本実施例では、スイッチ１５に中継するデータのパケットをミラーリングして監視装置２０へ送信する機能を設けている。スイッチ１５は、接続された通信機器１２の間で送受信されるデータのパケットをミラーリングして監視装置２０へ送信する。例えば、スイッチ１５は、通信機器１２の間で送受信されるパケットをコピーし、コピーしたパケットのデータをデータ部に格納したパケットを監視装置２０へ送信する。これにより、監視装置２０には、ネットワーク１１を流れるパケットが全て転送される。監視装置２０は、ネットワーク１１内に設けられていてもよく、ネットワーク１１外に設けられていてもよい。図１の例では、監視装置２０がネットワーク１１内に設けられているものとする。
【００１３】
［監視装置の構成］
次に、実施例１に係る端末について説明する。図２は、実施例１に係る監視装置の機能的な構成の一例を示す図である。図２に示すように、監視装置２０は、通信Ｉ／Ｆ（interface）部３０と、表示部３１と、入力部３２と、記憶部３３と、制御部３４とを有する。
【００１４】
通信Ｉ／Ｆ部３０は、通信制御を行うインタフェースである。通信Ｉ／Ｆ部３０は、ネットワーク１１を介して他の装置と各種情報を送受信する。例えば、通信Ｉ／Ｆ部３０は、ネットワーク１１を介して、送信されたパケットのデータをスイッチ１５から受信する。通信Ｉ／Ｆ部３０としては、ＬＡＮカードなどのネットワークインタフェースカードを採用できる。
【００１５】
表示部３１は、各種情報を表示する表示デバイスである。表示部３１としては、ＬＣＤ（Liquid  Crystal  Display）やＣＲＴ（Cathode  Ray  Tube）などの表示デバイスが挙げられる。表示部３１は、各種情報を表示する。例えば、表示部３１は、未知のパターンの伝播状況を示す情報を画面に表示する。
【００１６】
入力部３２は、各種の情報を入力する入力デバイスである。例えば、入力部３２としては、マウスやキーボードなどの入力デバイスが挙げられる。入力部３２は、管理者などのユーザからの操作入力を受付け、受付けた操作内容を示す操作情報を制御部３４に入力する。例えば、入力部３２は、未知のパターンの伝播状況の表示指示の操作を受付ける。
【００１７】
記憶部３３は、フラッシュメモリなどの半導体メモリ素子、ハードディスク、光ディスクなどの記憶装置である。なお、記憶部３３は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリなどのデータを書き換え可能な半導体メモリであってもよい。
【００１８】
記憶部３３は、制御部３４で実行されるＯＳ（Operating  System）や各種プログラムを記憶する。さらに、記憶部３３は、制御部３４で実行されるプログラムで用いられる各種データを記憶する。例えば、記憶部３３は、既知通信情報４０と、ノード間特徴情報４１と、伝播グラフ情報４２とを記憶する。
【００１９】
既知通信情報４０は、監視対象システム１０において、通信が行われる通信機器１２に関する情報を記憶したデータである。例えば、既知通信情報４０には、監視対象システム１０において、通常、通信が行われる送信元と送信先に関する情報が記憶されている。
【００２０】
図３は、既知通信情報のデータ構成の一例を示す図である。既知通信情報４０は、送信元ＩＰ、送信先ＩＰなどの項目が対応付けられたテーブルを採用できる。送信元ＩＰの項目は、送信元のＩＰ（Internet  Protocol）アドレスを記憶する領域である。送信先ＩＰの項目は、パケットの送信先のＩＰアドレスを記憶する領域である。
【００２１】
ここで、システムでは、通常的に、通信が行われる通信機器１２が定まっている。例えば、サーバとクライアントが処理を分散するシステムでは、システムが動作するサーバとクライアントの間で通信が発生する。既知通信情報４０には、このように通常的に、通信が行われる送信元と送信先の通信機器１２のＩＰアドレスが登録されている。
【００２２】
図３の例では、通信が行われる送信元と送信先の組み合わせとして、送信元ＩＰ「１７２．１６．０．１１」と送信先ＩＰ「１７２．１６．０．１５」、および、送信元ＩＰ「１７２．１６．０．２２」と送信先ＩＰ「１７２．１６．０．１１」が記憶されている。
【００２３】
本実施例では、管理者等によって、通信が行われる送信元と送信先の組み合わせが既知通信情報４０に登録される。
【００２４】
図２に戻り、ノード間特徴情報４１は、通信が行われる通信機器１２間の通信の特徴に関する情報を記憶したデータである。例えば、ノード間特徴情報４１には、通信が行われる通信機器１２間ごとに、通信の特徴を示す情報が記憶されている。
【００２５】
図４は、ノード間特徴情報のデータ構成の一例を示す図である。ノード間特徴情報４１は、送信元ＩＰ、送信先ＩＰ、通信特徴系列などの項目が対応付けられたテーブルを採用できる。送信元ＩＰの項目は、データの送信元となる通信機器１２のＩＰアドレスを記憶する領域である。送信先ＩＰの項目は、データの送信先となる通信機器１２のＩＰアドレスを記憶する領域である。通信特徴系列の項目は、送信元ＩＰの通信機器１２から送信先ＩＰの通信機器１２への通信の特徴を時系列に沿って記憶する領域である。ノード間特徴情報４１のデータ例については、後述する。
【００２６】
図２に戻り、伝播グラフ情報４２は、未知のパターンが伝播した伝播経路に関する情報を記憶したデータである。例えば、伝播グラフ情報４２には、未知のパターンごとに、伝播した通信機器１２を示す情報が記憶されている。
【００２７】
図５は、伝播グラフ情報のデータ構成の一例を示す図である。伝播グラフ情報４２は、グラフＩＤ、未知通信特徴、伝播グラフ、最終更新時間などの項目が対応付けられたテーブルを採用できる。グラフＩＤの項目は、未知のパターンの伝播を識別する識別情報を記憶する領域である。本実施例では、未知のパターンについて通信の特徴ごとに、識別情報としてＩＤ（identification）番号が順に付与される。グラフＩＤの項目には、付与されたＩＤ番号が格納される。未知通信特徴の項目は、未知のパターンの通信の特徴を記憶する領域である。伝播グラフの項目は、未知のパターンが伝播した伝播経路を示す情報を記憶する領域である。本実施例では、未知のパターンが伝播した通信機器１２をノードとしたグラフ構造で伝播経路を記憶する。最終更新時間の項目は、未知のパターンの伝播が最後に検出された時間に示す情報を記憶する領域である。伝播グラフ情報４２のデータ例についても、後述する。
【００２８】
図２に戻り、制御部３４は、監視装置２０を制御するデバイスである。制御部３４としては、ＣＰＵ（Central  Processing  Unit）、ＭＰＵ（Micro  Processing  Unit）等の電子回路や、ＡＳＩＣ（Application  Specific  Integrated  Circuit）、ＦＰＧＡ（Field  Programmable  Gate  Array）等の集積回路を採用できる。制御部３４は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、これらによって種々の処理を実行する。制御部３４は、各種のプログラムが動作しており、各種の処理部として機能する。例えば、制御部３４は、特定部５０と、取得部５１と、抽出部５２と、生成部５３と、出力部５４とを有する。
【００２９】
特定部５０は、各種の特定を行う処理部である。特定部５０には、スイッチ１５から送信されたパケットのデータ部分のデータが入力される。このデータ部分のデータは、スイッチ１５においてミラーリングした通信機器１２の間で送受信されるパケットのデータである。すなわち、データ部分のデータは、監視対象システム１０内を伝送されたパケットのデータである。特定部５０は、入力されるパケットのデータから、送信元と送信先が同一のパケットごとに通信の特徴を所定の期間ごとに特定する。例えば、特定部５０は、通信の特徴として、頻度の特徴、組み合わせの特徴、系列の特徴の何れか１または複数を特定する。この所定の期間は、ワームなどのマルウェアが他の通信機器１２への感染を試みるために通信を行う期間に対応して定める。例えば、マルウェアが他の通信機器１２への感染を試みるために通信を３分間で行う場合、所定の期間は、３分とする。このように所定の期間を、感染を試みるため期間に対応させることにより、感染を試みる際の通信の特徴を特定できる。また、特定部５０は、所定の期間を重複させつつ、所定の期間ごとに通信の特徴を特定する。例えば、特定部５０は、所定の期間よりも短い周期で、所定の期間ごとに通信の特徴の特定を開始させる。一例として、特定部５０は、１分の周期で３分間の通信の特徴の特定を開始する。このように、所定の期間を重複させることにより、何れかの期間でマルウェアからの通信の特徴を多く捉えることができる。なお、特定部５０は、所定の期間と、所定の期間の開始の周期が一致していてもよい。
【００３０】
ここで、通信の特徴について説明する。例えば、所定の期間の間に、図６に示すようなパケットが順に入力したものとする。図６は、パケットの一例を示す図である。図６の例では、パケットのデータのうち、説明に必要な項目のみを示しており、パケットの送信元ＩＰ、送信先ＩＰ、送信先ポート（port）、パケットサイズが示されている。図６の例では、４つのパケットが入力した順に上から示されている。図６の例では、送信元ＩＰがいずれも「１７２．１６．０．１５」とされ、送信先ＩＰがいずれも「１７２．１６．０．１２」とされ、送信先ポートが「２０」、「８０」、「２２」、「２５」とされている。
【００３１】
例えば、特定部５０は、入力されたパケットについてパケットサイズのヒストグラムを求める。すなわち、特定部５０は、所定のサイズ幅ごとに、入力したパケットの個数をカウントする。図７は、入力したパケットのパケットサイズのヒストグラムの一例を示す図である。図７の横軸は、パケットサイズを示す。図７の縦軸は、パケットの個数を示す。図７の例では、パケットサイズの小さい方から順に、パケットの個数が、１０、２０、２３、２０、１５、８であるヒストグラムが示されている。特定部５０は、パケットサイズごとのパケット数を通信の特徴と特定する。例えば、特定部５０は、パケットサイズごとのパケット数を要素としたベクトルを通信の特徴と特定する。図７の例では、通信の特徴として（０，１０，２０，２３，２０，１５，８）が特定される。この通信の特徴は、頻度の特徴に該当する。
【００３２】
また、例えば、特定部５０は、入力したパケットの送信先ポートのリストを求め、送信先ポートのリストを通信の特徴と特定する。例えば、特定部５０は、送信先ポートをポート番号の小さい順に並べ、それぞれのポート番号を要素としたベクトルを通信の特徴と特定する。例えば、入力したパケットが図６に示すような場合、特定部５０は、（２２，２５，８０）を通信の特徴と特定する。この通信の特徴は、組み合わせの特徴に該当する。
【００３３】
また、例えば、特定部５０は、入力したパケットの送信先ポートごとのパケット数を求め、送信先ポートごとのパケット数を通信の特徴と特定する。例えば、特定部５０は、送信先ポートごとのパケット数を求め、送信先ポートと当該送信先ポートのパケット数とをそれぞれを要素としてベクトルを通信の特徴と特定する。例えば、入力したパケットが図６に示すような場合、特定部５０は、（（２２，２），（２５，１），（８０，１））を通信の特徴と特定する。（２２，２）は、ポート番号「２２」のパケット数が「２」個であることを示す。この通信の特徴は、頻度の特徴に該当する。
【００３４】
また、例えば、特定部５０は、入力したパケットの送信先ポートを入力順にリストし、送信先ポートのリストを通信の特徴と特定する。例えば、入力したパケットが図６に示すような場合、特定部５０は、（２２，８０，２２，２５）を通信の特徴と特定する。この場合、送信先ポートを入力順にリストするため、通信の特徴に、同じポート番号が複数ある場合がある。この通信の特徴は、系列の特徴に該当する。
【００３５】
なお、通信の特徴は、これらに限定されるものではなく、通信されたデータの特徴を示すものであれば何れであってもよい。通信の特徴は、特徴とするものにより様々なデータ形式となる。以下では、通信の特徴をデータ形式に依存せずに示す場合、「特徴Ｘ」とも表記する。また、本実施例では、通信の特徴を、パケットサイズのヒストグラムとした場合を例に説明する。
【００３６】
特定部５０は、送信元と送信先が同一のパケットごとに特定した通信の特徴を取得部５１へ出力する。例えば、特定部５０は、特定した通信の特徴を、送信元、送信先、現在の時刻を示す情報と共に取得部５１へ出力する。
【００３７】
取得部５１は、各種の取得を行う処理部である。取得部５１は、所定の期間ごとに、監視対象システム１０内を伝送されたパケットのうち、所定の送信元と送信先の組み合わせとは異なる送信元と送信先の組み合わせが設定されたパケットを取得する。例えば、取得部５１は、特定部５０から入力する、特定した通信の特徴のうち、送信元と送信先の組み合わせが既知通信情報４０に記憶されていない送信元と送信先の通信の特徴を特定する。
【００３８】
ここで、未知のパターンの伝播について説明する。例えば、ワームなどのマルウェアは、自身を複製し、他の通信機器１２に複製したデータを送信することによりネットワーク内で拡散する。このため、通常、通信が行われない通信機器１２間に通信がある場合、マルウェアによる通信である可能性がある。そこで、本実施例では、通信が行われることが既知である送信元と送信先を既知通信情報４０に記憶させる。そして、取得部５１は、監視対象システム１０内を伝送されたパケットのうち、既知通信情報４０に記憶されていない送信元と送信先の通信をマルウェアなどの未知のパターンによる通信であるものとして、未知のパターンの通信の特徴を取得している。
【００３９】
取得部５１は、未知のパターンの通信の特徴として、特定した通信の特徴を抽出部５２へ出力する。例えば、取得部５１は、特定した通信の特徴を、入力したデータの送信元、送信先、時刻を示す情報と共に抽出部５２へ出力する。また、取得部５１は、送信元と送信先の組み合わせが既知通信情報４０に記憶されている送信元と送信先と通信の特徴とをノード間特徴情報４１に登録する。また、取得部５１は、送信元と送信先の組み合わせが既知通信情報４０に記憶されている通信の特徴と、送信元と送信先とを生成部５３へ出力する。
【００４０】
ここで、一例を説明する。図８は、送信元と送信先の組み合わせが既知通信情報に記憶されていない場合の処理を模式的に示した図である。図８に示すように、既知通信情報４０には、送信元ＩＰ「１７２．１６．０．１１」と送信先ＩＰ「１７２．１６．０．１５」、および、送信元ＩＰ「１７２．１６．０．２２」と送信先ＩＰ「１７２．１６．０．１１」が記憶されているものとする。また、図８の例では、通信の特徴「Ｘ」、送信元ＩＰ「１７２．１６．０．１５」、送信先ＩＰ「１７２．１６．０．１２」、時間「１８２９０」のデータが入力されたものとする。この場合、取得部５１は、送信元ＩＰ「１７２．１６．０．１５」、送信先ＩＰ「１７２．１６．０．１２」の組み合わせが既知通信情報４０に記憶されているかを判定する。この場合、既知通信情報４０に記憶されていないため、取得部５１は、入力したデータを抽出部５２へ出力する。
【００４１】
一方、図９は、送信元と送信先の組み合わせが既知通信情報に記憶されている場合の処理を模式的に示した図である。例えば、送信元ＩＰ「１７２．１６．０．１５」、送信先ＩＰ「１７２．１６．０．１２」が既知通信情報４０に記憶されている場合、取得部５１は、送信元と送信先の通信の特徴をノード間特徴情報４１に登録する。図９の例では、送信元ＩＰ「１７２．１６．０．１５」、送信先ＩＰ「１７２．１６．０．１２」に対応付けて通信特徴系列の項目に特徴Ｘを記憶させる。本実施例では、通信特徴系列の項目に、送信元ＩＰと送信先ＩＰが同一の特徴Ｘを時系列に沿って記憶させる。特徴Ｘ０〜Ｘｔは、それぞれの時刻の特徴Ｘを示す。時刻は、それぞれの特徴Ｘと共に記憶させてもよい。また、通信特徴系列の項目には、所定の期間ごとの特徴Ｘを順に格納するものとしてもよい。例えば、取得部５１は、特徴が特定されている場合、特定された特徴Ｘを格納し、特徴が特定されていない時刻については、特徴が未特定であることを示すデータ（例えば、ゼロなど）を格納してもよい。
【００４２】
図２に戻り、抽出部５２は、各種の抽出を行う処理部である。抽出部５２は、取得部５１により取得されたパケットと関連する関連パケットを抽出する。例えば、抽出部５２は、取得部５１から入力されたデータの特徴を含み、当該特徴を特定されたパケットの送信元を宛先（送信先）とする関連パケットを抽出する。例えば、抽出部５２は、ノード間特徴情報４１から送信先ＩＰの項目のＩＰアドレスが、取得部５１から入力されたデータに含まれる送信元ＩＰアドレスと一致するレコードの通信特徴系列の項目を読み出す。そして、抽出部５２は、取得部５１から入力されたデータに含まれる特徴Ｘを、通信特徴系列の項目に記憶された特徴Ｘ０〜ＸｔとＸｔから遡って一つずつ比較する。抽出部５２は、比較の結果、特徴Ｘが特徴Ｘ０〜Ｘｔの何れかに含まれる場合、読み出したレコードの送信元ＩＰの通信機器１２から送信先ＩＰの通信機器１２へ未知のパターンの伝播が発生したものと判定する。さらに、ノード間特徴情報４１から送信先ＩＰの項目のＩＰアドレスが、取得部５１から入力されたデータに含まれる送信元ＩＰアドレスと一致するレコードの通信特徴系列の項目を読み出し、同じ探索を続ける。
【００４３】
ここで、通信機器１２は、マルウェアに感染している場合でも通常の通信が発生する。よって、マルウェアに感染して通信機器１２の通信の特徴には、マルウェアによる通信の特徴が含まれる。通信の特徴にマルウェアによる通信の特徴が含まれる場合、送信元の通信機器１２は、マルウェアに感染しているおそれがある。
【００４４】
例えば、特徴Ｘが、パケットサイズのヒストグラムであり、以下の特徴Ｘであるものとする。また、比較する対象の特徴が以下の対象Ａ、対象Ｂであるものとする。
【００４５】
特徴Ｘ：（１０，２０，２３，２０，１５，８）
対象Ａ：（１４，２２，２５，２２，１８，９）
対象Ｂ：（９，２２，２０，２２，１２，９）
【００４６】
対象Ａは、全ての項目で特徴Ｘより値が大きい。すなわち、対象Ａには、特徴Ｘの通信が含まれている。このように特徴Ｘの通信が含まれる場合、マルウェアが伝播している場合がある。一方、対象Ｂは、一部の項目で特徴Ｘより値が大きい。すなわち、対象Ｂには、特徴Ｘの通信が含まれない。このように特徴Ｘの通信が含まれない場合、マルウェアが伝播していないと考えられる。
【００４７】
また、例えば、特徴Ｘが、パケットの送信先ポートのリストであり、以下の特徴Ｘであるものとする。また、比較する対象の特徴が以下の対象Ａ、対象Ｂであるものとする。
【００４８】
特徴Ｘ：（２０，２５，８０）
対象Ａ：（２０，２２，２５，８０，８０８０）
対象Ｂ：（２２，２５，８０，８０８０）
【００４９】
対象Ａは、特徴Ｘの全ての送信先ポートを含んでいる。すなわち、対象Ａには、特徴Ｘの通信が含まれている。このように特徴Ｘの通信が含まれる場合、マルウェアが伝播している場合がある。一方、対象Ｂは、送信先ポート「２０」が含まれていない。すなわち、対象Ｂには、特徴Ｘの通信が含まれない。このように特徴Ｘの通信が含まれない場合、マルウェアが伝播していないと考えられる。
【００５０】
また、例えば、特徴Ｘが、送信先ポートごとのパケット数であり、以下の特徴Ｘであるものとする。また、比較する対象の特徴が以下の対象Ａ、対象Ｂであるものとする。
【００５１】
特徴Ｘ：（（２２，２），（２５，１），（８０，１））
対象Ａ：（（２０，１），（２２，３），（２５，５），（８０，２））
対象Ｂ：（（２０，１），（２２，１），（２５，２））
【００５２】
対象Ａは、特徴Ｘの全ての送信先ポートを含み、かつ、全ての送信先ポートで特徴Ｘよりパケット数が大きい。すなわち、対象Ａには、特徴Ｘの通信が含まれている。このように特徴Ｘの通信が含まれる場合、マルウェアが伝播している場合がある。一方、対象Ｂは、送信先ポート「８０」が含まれておらず、また、送信先ポート「２２」で特徴Ｘよりパケット数が下回っている。すなわち、対象Ｂには、特徴Ｘの通信が含まれない。このように特徴Ｘの通信が含まれない場合、マルウェアが伝播していないと考えられる。
【００５３】
また、例えば、特徴Ｘが、送信先ポートを入力順に並べたリストであり、以下の特徴Ｘであるものとする。また、比較する対象の特徴が以下の対象Ａ、対象Ｂであるものとする。
【００５４】
特徴Ｘ：（２２，８０，２２，２５）
対象Ａ：（１４，２２，２５，８０，２２，１８，２５）
対象Ｂ：（９，２２，２２，２５，１２，８０）
【００５５】
対象Ａは、特徴Ｘの送信先ポートが、順序が入れ替わることなく含まれている。すなわち、対象Ａには、特徴Ｘの通信が含まれている。このように特徴Ｘの通信が含まれる場合、マルウェアが伝播している場合がある。一方、対象Ｂは、特徴Ｘの送信先ポートが全て含まれるが、送信先ポート「２２」、「８０」、「２５」の順番が異なる。すなわち、対象Ｂには、特徴Ｘの通信が含まれない。このように特徴Ｘの通信が含まれない場合、マルウェアが伝播していないと考えられる。
【００５６】
抽出部５２は、未知のパターンの伝播が発生していた場合、さらに伝播が発生していた通信を行った区間を遡って探索する。例えば、抽出部５２は、未知のパターンの伝播が発生していた場合、入力されたデータの特徴を含み、さらに伝播が発生していた送信元を宛先する関連パケットを抽出する。
【００５７】
抽出部５２は、伝播が発生していた送信元ＩＰと送信先ＩＰを生成部５３へ出力する。例えば、特定部５０は、特定した通信の特徴、特徴の送信元と送信先、時刻、伝播が発生していた送信元ＩＰと送信先ＩＰを示す情報を生成部５３へ出力する。
【００５８】
ここで、一例を説明する。図１０は、伝播を検索する処理を模式的に示した図である。図１０の例では、通信の特徴Ｘ「（１０，２０，２３，２０，１５，８）」、送信元ＩＰ「１７２．１６．０．１５」、送信先ＩＰ「１７２．１６．０．１２」、時間「１８２９０」のデータ入力したものとする。抽出部５２は、送信元ＩＰ「１７２．１６．０．１５」を送信先とする「１７２．１６．０．１１」と「１７２．１６．０．１５」の間の通信の特徴「（１０，２２，３０，２５，１５，８）」に、特徴Ｘが含まれるかを判定する。図１０の例では、特徴Ｘが含まれる。この場合、抽出部５２は、送信元ＩＰ「１７２．１６．０．１１」を送信先とする、「１７２．１６．０．２２」と「１７２．１６．０．１１」の間の通信に特徴「（９，８，９，２５，１５，８）」に特徴Ｘが含まれるかを判定する。図１０の例では、特徴Ｘが含まれない。この場合、抽出部５２は、伝播が発生していた送信元ＩＰと送信先ＩＰとして、「１７２．１６．０．１５」と「１７２．１６．０．１２」および「１７２．１６．０．１１」と「１７２．１６．０．１５」を生成部５３へ出力する。これにより、未知のパターンがどのように伝播してきたかを把握できる。図１０の例では、未知のパターンが、「１７２．１６．０．１５」から「１７２．１６．０．１２」へ伝播したことを示すことができる。
【００５９】
図１１は、伝播の検索の流れの一例をより詳細に示した図である。例えば、ノードｄとノードｅは、通常、通信が行われておらず、時刻ｔＸにおいて特徴Ｘの未知のパターンが特定されたものとする。この場合、抽出部５２は、送信元であるノードｄと、ノードｄを送信先として通信を行う送信元のノードｃとの間の通信の各特徴を時刻ｔＸから遡って特徴Ｘと比較する。そして、抽出部５２は、ノードｄとノードｃとの間の通信の何れかの特徴に特徴Ｘが含まれる場合、ノードｄとノードｃでも未知のパターンの伝播が発生してものと判定する。図１１の例では、時刻ｔｙの特徴に特徴Ｘが含まれるものとする。抽出部５２は、ノードｃと、ノードｃを送信先として通信を行う送信元のノードｂとの間の通信の各特徴を時刻ｔｙから遡って特徴Ｘと比較する。そして、抽出部５２は、ノードｃとノードｂとの間の通信の何れかの特徴に特徴Ｘが含まれる場合、ノードｃとノードｃでも未知のパターンの伝播が発生してものと判定する。図１１の例では、時刻ｔｚの特徴に特徴Ｘが含まれるものとする。抽出部５２は、ノードｄとノードｅ、ノードｃとノードｄ、ノードｂとノードｃについてそれぞれ送信元ＩＰアドレスと送信先ＩＰアドレスを求めて生成部５３へ出力する。これにより、図１１の例では、未知のパターンが、ノードｂからノードｃ、ノードｃとノードｄ、ノードｄとノードｅへ伝播したことを示すことができる。
【００６０】
生成部５３は、各種の情報を生成する処理部である。生成部５３は、伝播度合いを示す情報を生成する。例えば、生成部５３は、伝播度合いを示す情報として、伝播が発生していた区間の送信元ＩＰアドレスと送信先ＩＰアドレスを伝播グラフ情報４２に格納する。
【００６１】
ここで、一例を説明する。図１２は、伝播度合いを示す情報を生成する処理を模式的に示した図である。図１２の例では、伝播として、「１７２．１６．０．１５」と「１７２．１６．０．１２」および「１７２．１６．０．１１」と「１７２．１６．０．１５」のデータを入力したものとする。また、図１２の例では、通信の特徴Ｘ「（１０，２０，２３，２０，１５，８）」、送信元ＩＰ「１７２．１６．０．１５」、送信先ＩＰ「１７２．１６．０．１２」、時間「１８２９０」のデータ入力したものとする。生成部５３は、特徴Ｘが過去に記憶されていない新規である場合、新規のグラフＩＤを付与して、特徴Ｘ、伝播グラフ、時刻を、伝播グラフ情報４２のグラフＩＤ、未知通信特徴、伝播グラフ、最終更新時間の各項目に格納する。
【００６２】
また、生成部５３は、既知通信情報４０に記憶されている送信元と送信先と通信の特徴とが取得部５１から入力された場合、入力された特徴が伝播グラフ情報４２の未知通信特徴の項目に記憶された何れかの特徴を含むかを判定する。入力した特徴が未知通信特徴の項目の何れかの特徴を含む場合、生成部５３は、最終更新時間の項目に記憶された時刻から所定の伝播監視時間Ｋ以内であるかを判定する。伝播監視時間Ｋは、未知のパターンを検出するため、特徴を保持する期間である。伝播監視時間Ｋは、マルウェアが他の通信機器１２への感染を試みる周期に応じて定める。例えば、マルウェアが他の通信機器１２への感染を試みる周期が３か月である場合、伝播監視時間Ｋは、３か月分の値とする。生成部５３は、最終更新時間の項目に記憶された時刻が伝播監視時間Ｋ以内である場合、未知通信特徴の項目の特徴が入力した特徴を含むレコードの伝播グラフの項目に、入力した送信元と送信先を追加する。
【００６３】
ここで、一例を説明する。図１３は、伝播度合いを示す情報を生成する処理を模式的に示した図である。図１３の例では、通信の特徴Ｘ「（１２，２０，２３，２０，１５，９）」、送信元ＩＰ「１７２．１６．０．１２」、送信先ＩＰ「１７２．１６．０．１３」、時間「１８２９２」のデータが入力されたものとする。また、説明をわかりやすくするため、伝播監視時間Ｋは、２０とする。図１３の例では、特徴Ｘが伝播グラフ情報４２の未知通信特徴の項目に記憶された（１０，２０，２３，２０，１５，８）を含み、時刻が伝播監視時間Ｋ以内である。このため、生成部５３は、伝播グラフの項目に、送信元ＩＰ「１７２．１６．０．１２」、送信先ＩＰ「１７２．１６．０．１３」を追加する。また、生成部５３は、最終更新時間の項目の時刻を更新する。
【００６４】
一方、生成部５３は、最終更新時間の項目に記憶された時刻が伝播監視時間Ｋよりも前なったレコードを伝播グラフ情報４２から削除する。これにより、通信の頻度が低くマルウェアなどによるものではないと推定される伝播のレコードが削除される。また、生成部５３は、ノード間特徴情報４１の通信特徴系列の項目に記憶された特徴について、時刻が伝播監視時間Ｋよりも前なった特徴を削除する。これにより、通信特徴系列の項目には、伝播監視時間Ｋ内の特徴のみが記憶される。
【００６５】
図１４は、伝播グラフ情報のデータを削除する処理を模式的に示した図である。図１４の例では、最終更新時間の項目に記憶された時刻が伝播監視時間Ｋよりも前なっている。このため、生成部５３は、時刻が伝播監視時間Ｋよりも前となったレコードを伝播グラフ情報４２から削除する。これにより、伝播監視時間Ｋを経過した未知のパターンは、削除される。
【００６６】
出力部５４は、各種の情報を出力する処理部である。出力部５４は、伝播グラフ情報４２に記憶された情報に基づき、未知のパターンの伝播状況を示す情報を出力する。例えば、出力部５４は、未知のパターンの伝播状況の表示指示の操作を入力部３２で受付けると、伝播グラフ情報４２のレコードごとに、伝播グラフの項目に記憶された伝播経路を示す情報から、未知のパターンの入力および出力があるノード数をカウントする。すなわち、出力部５４は、伝播経路において同一のＩＰアドレスが送信先および送信元となっている数をカウントする。
【００６７】
図１５は、ノード数をカウントする処理を模式的に示した図である。図１５の例では、
「１７２．１６．０．１１」、「１７２．１６．０．１５」、「１７２．１６．０．１２」、「１７２．１６．０．１３」と順に未知のパターンの伝搬が発生している。この場合、未知のパターンの入力および出力があるノードは、「１７２．１６．０．１５」、「１７２．１６．０．１２」であるため、ノード数が２とカウントされる。この未知のパターンの入力および出力があるノードは、受信した未知のパターンを送信しているため、マルウェアに感染している恐れがある。一方、例えば、未知のパターンが入力されているが、未知のパターンを出力していないノードは、マルウェアの攻撃を受けているものの、マルウェアに感染していない場合もある。本実施例では、マルウェアによる感染の伝播状況を把握するため、未知のパターンの入力および出力があるノードをカウントする。
【００６８】
出力部５４は、未知のパターンの伝播状況を示した画面を出力する。例えば、出力部５４は、未知のパターンの入力および出力があるノード数に応じてレベル分けして伝播状況を示した画面を表示する。図１６は、伝播状況を示した画面の一例を示す図である。図１６の例では、通信機器１２ごとのＩＰアドレスが表示されており、未知のパターンの伝播が発生したノードを矢印で繋いで伝搬経路を示している。また、図１６の例では、未知のパターンの入力および出力があるノード数が多いほど高いものとレベルが高いものとして、矢印を太く強調して示している。これにより、管理者は、未知のパターンの伝播がどのような状況であるかを把握できる。
【００６９】
また、出力部５４は、特定のノードについて伝播状況を示した画面を出力する。例えば、出力部５４は、図１６において、ノードが指定された場合、指定されたノードについて伝播状況を示した画面を出力する。図１７は、伝播状況を示した画面の一例を示す図である。図１７の例は、「１７２．１６．０．１３」が指定された状態を示している。図１６の例では、「１７２．１６．０．１３」のノードを伝播する未知のパターンの伝搬経路が表示されている。また、図１７の例では、「１７２．１６．０．１３」のノードを伝播する未知のパターンの通信の特徴が表示されている。
【００７０】
また、出力部５４は、特定の経路について伝播状況を示した画面を出力する。例えば、出力部５４は、図１７において、経路が指定された場合、指定された経路について伝播状況を示した画面を出力する。図１８は、伝播状況を示した画面の一例を示す図である。図１８の例は、「１７２．１６．０．１３」から「１７２．１６．０．１９」の経路が指定された状態を示している。図１８の例では、「１７２．１６．０．１３」から「１７２．１６．０．１９」へ伝播する経路での未知のパターンの通信の特徴が表示されている。
【００７１】
［処理の流れ］
次に、本実施例に係る監視装置２０が、未知のパターンの伝播状況を監視する監視処理の流れについて説明する。図１９は、監視処理の手順の一例を示すフローチャートである。この監視処理は、所定のタイミング、例えば、所定の期間ごとに実行される。
【００７２】
図１９に示すように、特定部５０は、入力されるパケットのデータから、送信元と送信先が同一のパケットごとに通信の特徴を所定の期間ごとに特定する（Ｓ１０）。取得部５１は、特定された特徴のうち、未選択の特徴を１つ選択する（Ｓ１１）。取得部５１は、選択した通信の特徴の送信元と送信先の組み合わせが既知通信情報４０に記憶されているか否かを判定する（Ｓ１２）。既知通信情報４０に記憶されていない場合（Ｓ１２否定）、抽出部５２は、通信の特徴を未知のパターンの通信の特徴として、関連パケットを抽出する（Ｓ１３）。例えば、抽出部５２は、ノード間特徴情報４１から送信元ＩＰの項目のＩＰアドレスが、未知のパターンの送信元ＩＰアドレスと一致するレコードの通信特徴系列の項目を読み出す。そして、抽出部５２は、未知のパターンの特徴を、通信特徴系列の項目に記憶された特徴と、時間とは逆順に比較して、未知のパターンの特徴を含む未知のパターンの伝播が発生した通信を検索する。生成部５３は、伝播が発生していた区間の送信元ＩＰアドレスと送信先ＩＰアドレスを伝播グラフ情報４２に格納する（Ｓ１４）。
【００７３】
既知通信情報４０に記憶されている場合（Ｓ１２肯定）と、既知通信情報４０に記憶されていない場合（Ｓ１２否定）の伝播グラフ情報４２への格納（Ｓ１４）後、取得部５１は、送信元と送信先と通信の特徴とをノード間特徴情報４１に登録する（Ｓ１５）。生成部５３は、通信の特徴が伝播グラフ情報４２の未知通信特徴の項目に記憶された何れかの特徴を含むかを判定する（Ｓ１６）。特徴を含む場合（Ｓ１６肯定）、生成部５３は、特徴を含むレコードの最終更新時間の項目に記憶された時刻から所定の伝播監視時間Ｋ以内であるかを判定する（Ｓ１７）。特徴を含まない場合（Ｓ１６否定）および伝播監視時間Ｋ以内ではない場合（Ｓ１７否定）は、後述のＳ１９へ移行する。
【００７４】
一方、伝播監視時間Ｋ以内である場合（Ｓ１７肯定）、生成部５３は、特徴を含むレコードの伝播グラフの項目に、送信元と送信先を追加する（Ｓ１８）。生成部５３は、最終更新時間の項目に記憶された時刻が伝播監視時間Ｋよりも前なったレコードを伝播グラフ情報４２から削除する（Ｓ１９）。
【００７５】
取得部５１は、特定された特徴を全て選択したか否かを判定する（Ｓ２０）。全て選択していない場合（Ｓ２０否定）、上述のＳ１１へ移行する。一方、全て選択した場合（Ｓ２０肯定）、処理を終了する。
【００７６】
［効果］
上述してきたように、本実施例に係る監視装置２０は、所定の期間ごとに、監視対象システム１０内を伝送されたパケットのうち、所定の送信元と送信先の組み合わせとは異なる送信元と送信先の組み合わせが設定されたパケットを取得する。監視装置２０は、所定の期間ごとに、監視対象システム１０内を伝送されたパケットのうち、取得したパケットと関連する関連パケットを抽出する。監視装置２０は、抽出した関連パケットに基づいて、伝播度合いを示す情報を生成する。監視装置２０は、生成した情報を出力する。これにより、監視装置２０は、未知のパターンの伝播状況を把握できる。
【００７７】
また、本実施例に係る監視装置２０は、監視対象システム１０内を伝送されたパケットから、送信元と送信先が同一のパケットごとに通信の特徴を所定の期間ごとに特定する。監視装置２０は、取得されたパケットから特定された特徴を含み、当該特徴を特定したパケットの送信元を宛先とする関連パケットを抽出する。これにより、監視装置２０は、マルウェアなどによる未知のパターンが伝播した伝播経路を抽出できる。
【００７８】
また、本実施例に係る監視装置２０は、通信の特徴として、頻度の特徴、組み合わせの特徴、系列の特徴の何れか１または複数を特定する。これにより、監視装置２０は、マルウェアなどによる未知のパターンの特徴を特定できる。
【００７９】
また、本実施例に係る監視装置２０は、システム内で通信が行われる所定の送信元と送信先の組み合わせが記憶された記憶部３３に記憶されていない送信元と送信先の組み合わせが設定されたパケットを取得する。これにより、監視装置２０は、マルウェアなどが通信したパケットを取得できる。
【実施例２】
【００８０】
次に、実施例２について説明する。
【００８１】
［監視装置の構成］
図２０は、実施例２に係る監視装置の機能的構成を示すブロック図である。なお、図２に示した実施例１に係る監視装置２０と同一部分については同一の符号を付し、主に異なる部分について説明する。図２０に示すように、監視装置２０の記憶部３３は、未知通信情報４３をさらに記憶する。また、監視装置２０の制御部３４は、登録部５５をさらに有する。
【００８２】
また、実施例２に係る伝播グラフ情報４２は、未知のパターンの通信が得られた送信元、送信先に関する情報をさらに記憶する。
【００８３】
図２１は、伝播グラフ情報のデータ構成の一例を示す図である。伝播グラフ情報４２は、通信特徴送信元、通信特徴送信先、通信特徴取得時間の項目をさらに有する。通信特徴送信元の項目は、未知のパターンの通信の特徴が得られた送信元のＩＰアドレスを記憶する領域である。通信特徴送信先の項目は、未知のパターンの通信の特徴が得られた送信先のＩＰアドレスを記憶する領域である。通信特徴取得時間は、未知のパターンの通信の特徴が得られた時刻を記憶する領域である。通信特徴送信元、通信特徴送信先、通信特徴取得時間の項目は、生成部５３により登録される。
【００８４】
図２０に戻り、未知通信情報４３は、未知の通信に関する情報を記憶したデータである。例えば、未知通信情報４３は、未知通信が行われる送信元と送信先と時刻が記憶されている。
【００８５】
図２２は、未知通信情報のデータ構成の一例を示す図である。未知通信情報４３は、送信元ＩＰ、送信先ＩＰ、未知時間リストなどの項目が対応付けられたテーブルを採用できる。送信元ＩＰの項目は、未知の通信のデータの送信元となる通信機器１２のＩＰアドレスを記憶する領域である。送信先ＩＰの項目は、未知の通信のデータの送信先となる通信機器１２のＩＰアドレスを記憶する領域である。未知時間リストの項目は、未知の通信が行われた時刻を記憶する領域である。この未知時間リストの項目は、送信元と送信先の間で未知の通信が複数発生している場合、それぞれの時刻が格納される。すなちわ、未知時間リストの項目には、複数の未知の通信が行われた時刻が複数、記憶される。未知通信情報４３のデータ例については、後述する。
【００８６】
取得部５１は、監視対象システム１０内を伝送されたパケットのうち、既知通信情報４０に記憶されていない送信元と送信先の通信を未知のパターンの通信として、特定した通信の特徴を、送信元、送信先、時刻を示す情報と共に取得部５１へ出力する。さらに、取得部５１は、未知のパターンの送信元と送信先と時刻を未知通信情報４３に登録する。
【００８７】
ここで、一例を説明する。図２３は、送信元と送信先の組み合わせが既知通信情報に記憶されていない場合の処理を模式的に示した図である。図２３に示すように、既知通信情報４０には、送信元ＩＰ「１７２．１６．０．１１」と送信先ＩＰ「１７２．１６．０．１５」が記憶されているものとする。また、図２３の例では、通信の特徴「Ｘ」、送信元ＩＰ「１７２．１６．０．１５」、送信先ＩＰ「１７２．１６．０．１２」、時間「１８２６０」のデータ入力したものとする。この場合、取得部５１は、送信元ＩＰ「１７２．１６．０．１５」、送信先ＩＰ「１７２．１６．０．１２」の組み合わせが既知通信情報４０に記憶されているかを判定する。この場合、既知通信情報４０に記憶されていないため、取得部５１は、未知のパターンの送信元と送信先と時刻を未知通信情報４３に登録する。
【００８８】
生成部５３は、最終更新時間の項目に記憶された時刻が伝播監視時間Ｋよりも前なったレコードを伝播グラフ情報４２から削除する。
【００８９】
登録部５５は、未知通信情報４３の未知時間リストの項目から、時刻が伝播監視時間Ｋよりも前なって削除されたレコードの時刻を削除する。そして、登録部５５は、削除の結果、未知時間リストの項目が空となった場合、未知時間リストの項目が空となったレコードの送信元と送信先の組み合わせを既知通信情報４０に登録する。また、登録部５５は、未知時間リストの項目が空となったレコードを削除する。すなわち、登録部５５は、未知の通信が全て伝播監視時間Ｋを経過した送信元と送信先についてはマルウェアによる通信ではなく、既存のシステムの通信によるものとして既知通信情報４０に登録する。
【００９０】
ここで、一例を説明する。図２４は、時刻が伝播監視時間よりも前なった場合の処理を模式的に示した図である。図２４の例では、通信特徴送信元「１７２．１６．０．１５」、通信特徴送信先「１７２．１６．０．１２」のレコードの最終更新時間「１８２９０」が伝播監視時間Ｋよりも前なって削除されたものとする。この場合、登録部５５は、未知通信情報４３の送信元ＩＰ「１７２．１６．０．１５」、送信先ＩＰ「１７２．１６．０．１２」のレコードの未知時間リストの項目から「１８２６０」を削除する。そして、登録部５５は、削除の結果、送信元ＩＰ「１７２．１６．０．１５」、送信先ＩＰ「１７２．１６．０．１２」のレコードの未知時間リストの項目が空となった場合、送信元「１７２．１６．０．１５」、送信先「１７２．１６．０．１２」を既知通信情報４０に追加で登録する。
【００９１】
これにより、監視装置２０は、既存のシステムの通信を学習して既知通信情報４０に登録できる。
【００９２】
［効果］
上述してきたように、本実施例に係る監視装置２０は、パケットが取得される期間が所定の期間以上の送信元と送信先を記憶部３３に登録する。これにより、監視装置２０は、既存のシステムの通信を学習して既知通信情報４０に登録できる。
【実施例３】
【００９３】
さて、これまで開示の装置に関する実施例について説明したが、開示の技術は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。
【００９４】
例えば、上記の実施例では、通信の特徴を１つ特定する場合について説明したが、開示の装置はこれに限定されない。例えば、通信の特徴を複数特定して、それぞれの特徴が含まれるかによって、伝播しているかを判定してもよい。この場合、例えば、通信の特徴が多く含まれるほど伝播が発生している可能性が高いものとしてレベル分けし、レベルごと表示形態を異ならせてもよい。
【００９５】
また、上記の実施例では、スイッチ１５が中継するデータのパケットをミラーリングして監視装置２０へ送信する場合について説明したが、開示の装置はこれに限定されない。例えば、スイッチ１５が中継するデータのパケットから、通信の特徴の特定に必要な情報を抽出して監視装置２０へ送信してもよい。例えば、スイッチ１５が中継するデータのパケットのデータサイズや送信元ＩＰ、送信先ＩＰ、送信先ポートを抽出して監視装置２０へ送信してもよい。
【００９６】
また、上記の実施例では、伝播状況を表示部３１に表示する場合について説明したが、開示の装置はこれに限定されない。例えば、他の端末装置から操作指示を受け付け、端末装置に伝播状況を表示させるものとしてよい。
【００９７】
また、上記の実施例では、未知のパターンの通信の特徴を、パケットが流れる上流側へ遡って同じ通信の特徴があるか検索する場合について説明したが、開示の装置はこれに限定されない。例えば、伝播が発生しているノードについては、そのノードから下流側への伝播の発生を検出ししてもよい。すなわち、伝播が発生しているノードについては、そのノードを送信元と検索された以外の他のノードについても通信の特徴が未知のパターンの通信の特徴を含むか否かにより伝播が発生しているかを判定してもよい。
【００９８】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的状態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、監視装置２０の特定部５０と、取得部５１、抽出部５２、生成部５３、出力部５４および登録部５５の各処理部が適宜統合されてもよい。また、各処理部の処理が適宜複数の処理部の処理に分離されてもよい。また、各装置は各処理部の一部または全部を適宜統合してもよい。さらに、各処理部にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００９９】
［監視プログラム］
また、上記の実施例で説明した各種の処理は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータシステムで実行することによって実現することもできる。そこで、以下では、上記の実施例と同様の機能を有するプログラムを実行するコンピュータシステムの一例を説明する。図２５は、監視プログラムを実行するコンピュータを示す図である。
【０１００】
図２５に示すように、コンピュータ３００は、ＣＰＵ（Central  Processing  Unit）３１０、ＨＤＤ（Hard  Disk  Drive）３２０、ＲＡＭ（Random  Access  Memory）３４０を有する。これら３００〜３４０の各部は、バス４００を介して接続される。
【０１０１】
ＨＤＤ３２０には上記の監視装置２０の各処理部と同様の機能を発揮する監視プログラム３２０ａが予め記憶される。なお、監視プログラム３２０ａについては、適宜分離しても良い。
【０１０２】
また、ＨＤＤ３２０は、各種情報を記憶する。例えば、ＨＤＤ３２０は、ＯＳや処理に用いる各種データを記憶する。
【０１０３】
そして、ＣＰＵ３１０が、監視プログラム３２０ａをＨＤＤ３２０から読み出して実行することで、実施例の各処理部と同様の動作を実行する。すなわち、監視プログラム３２０ａは、監視装置２０の各処理部と同様の動作を実行する。
【０１０４】
なお、上記した監視プログラム３２０ａについては、必ずしも最初からＨＤＤ３２０に記憶させることを要しない。
【０１０５】
例えば、コンピュータ３００に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」にプログラムを記憶させておく。そして、コンピュータ３００がこれらからプログラムを読み出して実行するようにしてもよい。
【０１０６】
さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ３００に接続される「他のコンピュータ（またはサーバ）」などにプログラムを記憶させておく。そして、コンピュータ３００がこれらからプログラムを読み出して実行するようにしてもよい。
【符号の説明】
【０１０７】
１０    監視対象システム
１２    通信機器
１５    スイッチ
２０    監視装置
３１    表示部
３２    入力部
３３    記憶部
３４    制御部
４０    既知通信情報
４１    ノード間特徴情報
４２    伝播グラフ情報
４３    未知通信情報
５０    特定部
５１    取得部
５２    抽出部
５３    生成部
５４    出力部
５５    登録部
【図１】
2015164244.tif 000003
【図２】
2015164244.tif 000004
【図３】
2015164244.tif 000005
【図４】
2015164244.tif 000006
【図５】
2015164244.tif 000007
【図６】
2015164244.tif 000008
【図７】
2015164244.tif 000009
【図８】
2015164244.tif 000010
【図９】
2015164244.tif 000011
【図１０】
2015164244.tif 000012
【図１１】
2015164244.tif 000013
【図１２】
2015164244.tif 000014
【図１３】
2015164244.tif 000015
【図１４】
2015164244.tif 000016
【図１５】
2015164244.tif 000017
【図１６】
2015164244.tif 000018
【図１７】
2015164244.tif 000019
【図１８】
2015164244.tif 000020
【図１９】
2015164244.tif 000021
【図２０】
2015164244.tif 000022
【図２１】
2015164244.tif 000023
【図２２】
2015164244.tif 000024
【図２３】
2015164244.tif 000025
【図２４】
2015164244.tif 000026
【図２５】
2015164244.tif 000027