(57)【要約】【課題】パケットフィルタシステムでは、受信するパケット全てをリアルタイムでフィルタにかけていないため、前回ファイアウォールの認可を受けたとして宛先に転送したパケットが問題を抱えていた場合、これを検知することができない。つまり、送り先の機器に対してリアルタイムで安全を保障することはできない。【解決手段】パケットをセキュリティ監査機能部に配信するパケット配信部と、セキュリティ監査の対象となるパケットを決定する検査パケット決定部と、セキュリティ監査において何らかの脅威が検出される確率の高いパケットを絞り込むヒットパケット決定部と、セキュリティ監査において検査される脅威の照合順序を決定する照合順序決定部と、セキュリティ監査機能部を構成し、パケットのウィルス感染有無を監査するウィルスチェック部と、を備える監視システムにより、達成できる。【選択図】図１
2015095097.tif 000002
【特許請求の範囲】
【請求項１】
パケットをセキュリティ監査機能部に配信するパケット配信部と、
セキュリティ監査の対象となるパケットを決定する検査パケット決定部と、
セキュリティ監査において何らかの脅威が検出される確率の高いパケットを絞り込むヒットパケット決定部と、
セキュリティ監査において検査される脅威の照合順序を決定する照合順序決定部と、
前記セキュリティ監査機能部を構成し、前記パケットのウィルス感染有無を監査するウィルスチェック部と、
を備え、
前記パケット配信部は、前記検査パケット決定部で決定した検査パケットのうち、前記ヒットパケット決定部で絞り込まれなかったパケットを先、絞り込まれたパケットを後の順番でセキュリティ監査機能部に配信し、
前記照合順序決定部は、
前記検査パケット決定部で決定した検査パケットのうち前記ヒットパケット決定部で絞り込まれたパケットにおいて検出されやすい第１の脅威、
前記検査パケット決定部で決定した検査パケットのうち前記ヒットパケット決定部で絞り込まれなかったパケットにおいて検出されやすい第２の脅威、
検出可能であるが過去に一度も検出されたことのない第３の脅威、
前記検査パケット決定部で決定した検査パケットのうち前記ヒットパケット決定部１２４で絞り込まれたパケットにおいて検出されやすい脅威以外の第４の脅威、
の順で、前記ヒット確率計算部において計算された確率を元に脅威の照合順序を決定し、
前記ウィルスチェック部は、１つのパケットにおいて脅威を１つ検出した時点で処理を終了し、次のパケットの監査を開始することを特徴とする監視システム。
【請求項２】
請求項１に記載の監視システムであって、
さらに、パケットを複製するパケット複製部と、
パケットの登録や破棄を行うパケット管理部と、
パケットが受けるセキュリティ監査を記載した指定監査機能表を保存する規定監査機能記憶装置と、
を備え、
前記セキュリティ監査機能部は、さらに、ＤｏＳ攻撃を防止するＤｏＳ攻撃防止部と、受信パケットの復号および送信パケットの暗号化を行う暗号部と、相手機器の認証を行う機器認証部と、パケットの発信元がアクセス許可されたアドレスであるかどうかを検査する発信元アドレス監査部と、パケットの接続先がアクセス許可されたアドレスであるかどうかを検査する接続先アドレス監査部、第７層へのアクセスを制限するＬ７アクセス監査部と、第７層のファイアウォールであるＬ７ファイアウォール部と、を備え、
前記パケット複製部は、前記指定監査機能記憶装置が有するデータを参照して、パケットが次に配信されるセキュリティ監査機能部の個数分パケットを複製し、
前記パケット配信部は、前記指定監査機能記憶装置が有するデータを参照して、パケットが監査を受けるべきセキュリティ監査機能部を判断のうえ配信し、
前記セキュリティ監査機能部は、並列構成であり、
前記パケット管理部１１５は、並列に構成されている前記セキュリティ監査機能部の判定結果が全てＯＫとならなかったパケットは破棄することを特徴とする監視システム。
【請求項３】
請求項１または請求項２に記載の監視システムであって、
さらに、パケットのウィルス感染有無を監査する更新用ウィルスチェック部と、
セキュリティ監査においてあるパケットからある脅威が検出される確率を計算するヒット確率計算部と、
前記ヒット確率計算部において確率を計算する際に参照する検出確率分布表を保存する確率分布記憶装置と、
前記確率分布表記憶装置の保存する検出確率分布表を更新する検出確率分布表更新部と、
を備え、
前記更新用ウィルスチェック部は、１つのパケットにおいて検出可能な全ての脅威について感染有無を監査し、
前記検出確率分布表更新部は、前記更新用ウィルスチェック部の監査結果に基づき前記確率分布表記憶装置の保存する前記検出確率分布表を更新することを特徴とする監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視システムに係り、特に、全てのパケットを監査することで安全を保障し、かつ安全と思われるパケットの監査を優先させ、できる限り早く宛先の機器に転送することができる監視システム関する。
【背景技術】
【０００２】
本技術分野の背景技術として、特許文献１がある。特許文献１は、プレ・フィルタリング・モジュールを用いてファイアウォールを設置することによる、パケットフィルタ処理のための方法、デバイス、及びシステムを開示する。ここで、プレ・フィルタリング・モジュールは、ある特定の接続からパケットが受信されたか否かに従って、パケットに関するある特定の一連のアクションを実行し、さもなければ、パケットは処理の為ファイアウォールに転送される。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特表２００３−５２５５５７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１のパケットフィルタシステムでは、前回ファイアウォールによって認可された接続から受信されたパケットは、ファイアウォールを通さず宛先へ転送することにより、ファイアウォールへの負荷を低減させ、その他のパケットのフィルタリングを高速化する。しかし、特許文献１のパケットフィルタシステムでは、受信するパケット全てをリアルタイムでフィルタにかけていないため、前回ファイアウォールの認可を受けたとして宛先に転送したパケットが問題を抱えていた場合、これを検知することができない。つまり、送り先の機器に対してリアルタイムで安全を保障することはできない。
【０００５】
そこで、本発明は、全てのパケットを監査することで安全を保障し、かつ安全と思われるパケットの監査を優先させ、できる限り早く宛先の機器に転送することができる監視システムを提供する。
【課題を解決するための手段】
【０００６】
上述した課題は、パケットをセキュリティ監査機能部に配信するパケット配信部と、セキュリティ監査の対象となるパケットを決定する検査パケット決定部と、セキュリティ監査において何らかの脅威が検出される確率の高いパケットを絞り込むヒットパケット決定部と、セキュリティ監査において検査される脅威の照合順序を決定する照合順序決定部と、セキュリティ監査機能部を構成し、パケットのウィルス感染有無を監査するウィルスチェック部と、を備え、
パケット配信部は、検査パケット決定部で決定した検査パケットのうち、ヒットパケット決定部で絞り込まれなかったパケットを先、絞り込まれたパケットを後の順番でセキュリティ監査機能部に配信し、照合順序決定部は、検査パケット決定部で決定した検査パケットのうちヒットパケット決定部で絞り込まれたパケットにおいて検出されやすい第１の脅威、検査パケット決定部で決定した検査パケットのうちヒットパケット決定部で絞り込まれなかったパケットにおいて検出されやすい第２の脅威、検出可能であるが過去に一度も検出されたことのない第３の脅威、検査パケット決定部で決定した検査パケットのうちヒットパケット決定部１２４で絞り込まれたパケットにおいて検出されやすい脅威以外の第４の脅威、順で、ヒット確率計算部において計算された確率を元に脅威の照合順序を決定し、ウィルスチェック部は、１つのパケットにおいて脅威を１つ検出した時点で処理を終了し、次のパケットの監査を開始する監視システムにより、達成できる。
【発明の効果】
【０００７】
本発明によれば、全てのパケットを監査することで安全を保障し、かつ安全と思われるパケットの監査を優先させできる限り早く宛先の機器に転送することができる監視システムを提供することができる。
上記した以外の課題、構成および効果は、以下の実施例により明らかにされる。
【図面の簡単な説明】
【０００８】
【図１】エネルギー需要調整システムの構成を説明するブロック図である。
【図２】脅威管理システムのハードウェア構成を説明するブロック図である。
【図３】指定監査機能表を説明する図である。
【図４】待機パケット表を説明する図である。
【図５】通過判定表を説明する図である。
【図６】検出確率分布表を説明する図である。
【図７】ヒット確率計算結果表を説明する図である。
【図８】ヒットパケット表を説明する図である。
【図９】ウィルス照合リストを説明する図である。
【図１０Ａ】パケット監査フローチャート（その１）である。
【図１０Ｂ】パケット監査フローチャート（その２）である。
【図１１】ヒット確率計算の詳細フローチャートである。
【図１２】ヒット推定の詳細フローチャートである。
【図１３】照合リスト生成の詳細フローチャートである。
【発明を実施するための形態】
【０００９】
以下、本発明の実施の形態について、実施例を用い図面を参照しながら詳細に説明する。なお、セキュリティ監査を実施し、安全なパケットのみ目的の機器に届ける仕組みをもった脅威管理システム１１０を、建屋の電力消費量を検針するクライアント機器１３０が情報収集サーバ１３０へ検針値その他の情報を送信するエネルギー需要調整システム１００において、クライアント機器１３０より送信されたパケットのうちセキュリティ的に問題のないものだけを情報収集サーバ１３０に届ける手段として適用した実施例を説明する。
【００１０】
エネルギー需要調整システム１００は、電力負荷制御サーバ、需要対応サーバといったエネルギーの需要調整に必要な様々なサーバ群、また建屋のエネルギー消費量を調整するシステムの端末やロードサービスにおけるエネルギー供給システムの端末など、様々なサービス会社のシステムのクライアント機器群によって構成されている。、
本実施例では、これらクライアント機器群の１つである検針用クライアント機器１５０から、サーバ群の１つである情報収集サーバ１４０へ送信されるパケットを、脅威管理システム１１０が監査する場合を説明する。なお、クライアント機器１５０より送信されるパケットの種類は、検針値の他にチャレンジレスポンス方式の認証において用いられるコードや機器の新規設置に伴う機器ＩＤ通知など多種に渡る。また、これらは、機密情報として暗号化された状態で送受信される。
【００１１】
図１において、エネルギー需要調整システム１００は、脅威管理システム１１０と、情報収集サーバ１４０と、クライアント機器１５０と、ネットワーク１６０と、を含んで構成されている。ｎ（ｎ＞＝１）台のクライアント機器１５０は、脅威管理システム１１０とネットワーク１６０−１で接続されている。脅威管理システム１１０は、情報収集サーバ１４０とネットワーク１６０−１で接続されている。
【００１２】
脅威管理システム１１０は、通信部１１１と、ＩＤ付与部１１２と、バケット複製部１１３と、バケット配信部１１４と、バケット管理部１１５と、判定結果登録部１１６と、Ｄｏｓ攻撃防止部１１７と、暗号部１１８と、機器認証部１１９と、発信元アドレス監査部１２０と、接続先アドレス監査部１２１と、検査バケット決定部１２２と、ヒット確率計算部１２３と、ヒットバケット決定部１２４と、照合順序決定部１２５と、照合リスト更新部１２６と、Ｌ７アクセス監査部１２７と、Ｌ７ファイアウォール部１２８と、ウィルスチェック部１２９と、更新用ウィルスチェック部１３０と、検出確率分布表更新部１３１と、指定監査機能記憶装置１３２と、待機バケット記憶装置１３３と、通過判定データ記憶装置１３４と、確率分布表記憶装置１３５と、脅威照合リスト記憶装置１３６と、一時記憶装置１３７と、を含んで構成されている。
【００１３】
指定監査機能記憶装置１３２は、指定監査機能表を保持する。待機バケット記憶装置１３３は、待機パケット表を保持する。通過判定データ記憶装置１３４は、通過判定表を保持する。確率分布表記憶装置１３５は、検出確率分布表を保持する。脅威照合リスト記憶装置１３６は、ウィルス照合リストを保持する。一時記憶装置１３７は、ヒット確率計算結果表と、ヒットパケット表とを保持する。
【００１４】
情報収集サーバ１４０は、通信部１４１と、暗号部１４２と、を含んで構成されている。情報収集サーバ１４０は、通信部１４１と、暗号部１４２と、を含んで構成されている。 なお、また、脅威管理システム１１０とクライアント機器１５０の間には、ゲートウェイ、ルータ等のネットワーク中継機器があってもよい。
【００１５】
脅威管理システム１１０において、通信部１１１は、外部との通信を行う。ＩＤ付与部１１２は、パケットにＩＤを付与する。パケット複製部１１３は、パケットを複製する。パケット配信部１１４は、パケットをセキュリティ監査機能部に配信する。パケットの登録や破棄を行う。パケット管理部１１５は、判定結果登録部１１６は、セキュリティ監査機能部の判定結果を登録する。ＤｏＳ攻撃防止部１１７は、ＤｏＳ攻撃を防止する。暗号部１１８は、受信パケットの復号化および送信パケットの暗号化を行う。機器認証部１１９は、チャレンジレスポンス方式で相手機器の認証を行う。発信元アドレス監査部１２０は、パケットの発信元がアクセス許可されたアドレスであるかどうかを検査する。接続先アドレス監査部１２１は、パケットの接続先がアクセス許可されたアドレスであるかどうかを検査する。検査パケット決定部１２２は、セキュリティ監査の対象となるパケットを決定する。ヒット確率計算部１２３は、セキュリティ監査においてあるパケットからある脅威が検出される確率を計算する。ヒットパケット決定部１２４は、セキュリティ監査において何らかの脅威が検出される確率の高いパケットを絞り込む。照合順序決定部１２５は、セキュリティ監査において検査される脅威の照合順序を決定する。照合リスト更新部１２６は、脅威の照合順序を更新する。Ｌ７アクセス監査部１２７は、第７層へのアクセスを制限する。Ｌ７ファイアウォール部１２８は、第７層のファイアウォールである。ウィルスチェック部１２９は、パケットのウィルス感染有無を監査する。更新用ウィルスチェック部１３０は、パケットのウィルス感染有無を監査する。検出確率分布表更新部１３１は、検出確率分布表を更新する。
【００１６】
脅威管理システム１１０は、クライアント機器１５０より受信したパケットに対してセキュリティ監査を実施し、安全なパケットのみを情報収集サーバ１４０に転送する。
【００１７】
なお、セキュリティ監査機能部であるＤｏＳ攻撃防止部１１７、暗号部１１８、機器認証部１１９、発信元アドレス監査部１２０、接続先アドレス監査部１２１、Ｌ７アクセス監査部１２７、Ｌ７ファイアウォール部１２８、ウィルスチェック部１２９、更新用ウィルスチェック部１３０は、ハード実装されていてもよい。
【００１８】
機器認証部１１９と発信元アドレス監査部１２０と接続先アドレス監査部１２１、またＬ７アクセス監査部１２７とＬ７ファイアウォール部１２８とウィルスチェック部１２９はそれぞれ並列に処理される。
【００１９】
ここで、（１）ＤｏＳ攻撃防止部１１７および暗号部１１８が実行される領域を第１エリア、（２）機器認証部１１９と発信元アドレス監査部１２０と接続先アドレス監査部１２１が実行される領域を第２エリア、（３）Ｌ７アクセス監査部１２７とＬ７ファイアウォール部１２８とウィルスチェック部１２９が実行される領域を第３エリアと定義する。
【００２０】
また、ウィルスチェック部１２９は、パケットのウィルスを一つ検出すると処理を終了して、不合格の監査結果を出力する。更新用ウィルスチェック部１３０は、ウィルスチェック部１２９と同様のウィルスを検出可能で、かつ実行中のウィルス検出数に関わらず、検出可能なウィルスの照合は最後まで行う。また、更新用ウィルスチェック部１３０は、監査結果として合否を出力することはない。
【００２１】
ウィルスチェック部１２９のこのような挙動は、脅威が一つでも検出されれば危険なパケットもみなし宛先機器に転送しない脅威管理システム１１０において、パケットのウィルスチェック開始から判定結果出力（監査終了）までの時間を短縮する。
【００２２】
情報収集サーバ１４０において、通信部１４１は、外部との通信を行う。暗号部１４２は、受信パケットの復号化および送信パケットの暗号化を行う。情報収集サーバ１４０は、受信パケットの情報収集を行う。
【００２３】
クライアント機器１５０において、通信部１５１は、外部との通信を行う。暗号部１５２は、受信パケットの復号化および送信パケットの暗号化を行う。暗号部１５２は、チャレンジレスポンス方式で相手機器の認証を行う。クライアント機器１５０は、情報収集サーバ１４０宛ての検針値その他の情報を脅威管理システム１１０へ送信する。
【００２４】
図２を参照して、脅威管理システム１１０のハードウェアの構成を説明する。図２において、脅威管理システム１１０は、ＣＰＵ２０１と、メモリ２０２と、ＨＤＤ２０３と、入力装置２０４と、出力装置２０５と、通信装置２０６と、をバス２０７で接続する構成である。なお、情報収集サーバ１４０、クライアント機器１５０の構成も全く同様の構成なので、図面を用いての説明を省いた。
【００２５】
通信部１１１から検出確率分布表更新部１３１の各機能部は、ＨＤＤ２０３からメモリ２０２にロードされたプログラムに従って、ＣＰＵ２０１が動作することにより実現される。また、暗号の秘密鍵およびデータベース（表、リスト）は、ＨＤＤ２０３内に構築される。なお、情報収集サーバ１４０、クライアント機器１５０についても同様である。
【００２６】
なお、セキュリティ監査機能部であるＤｏＳ攻撃防止部１１７、暗号部１１８、機器認証部１１９、発信元アドレス監査部１２０、接続先アドレス監査部１２１、Ｌ７アクセス監査部１２７、Ｌ７ファイアウォール部１２８、ウィルスチェック部１２９、更新用ウィルスチェック部１３０をハード実装する場合、ハードウェアの構成図は図２と同様になる。
【００２７】
図３を参照して、脅威管理システムの指定監査機能表を説明する。図３において、指定監査機能表２０は、タイプ２１と、パケット２２と、優先有無２３と、指定監査機能２４と、を含んで構成されている。
【００２８】
指定監査機能表２０は、パケットの情報、すなわち発信元ＩＰアドレス、送信先ＩＰアドレスおよび内容（データの種類）と、パケットの優先有無とを、配信が指定されている監査機能セット（指定監査機能）ごとにタイプ番号をつけてまとめた表である。指定監査機能表２０は、指定監査機能記憶装置１３２に保存する。
【００２９】
ここで、優先有無とは、できる限り早く宛先機器に転送することが求められるパケットであるか否かを示す情報である。なお、指定監査機能表２０は、クライアント機器１５０が脅威管理システム１１０に新規接続される際に登録される。
【００３０】
図４を参照して、脅威管理システムの待機パケット表を説明する。図４において、待機パケット表３０は、パケットＩＤ３１と、分割番号３２と、優先有無３３と、パケット３４と、指定監査機能タイプ３５と、登録日時（最初）３６と、を含んで構成されている。
【００３１】
本実施例では、一つのデータが複数個のパケットに分割されて送信されている場合、その一つ一つのパケットを分割パケットと定義する。また、分割パケットのうち冒頭から何番目のデータを所持するパケットにあたるかを表す数を、分割番号と定義する。また、脅威管理システム１１０が（分割パケットかどうかに関わらず）パケットを受信したときに付与されるＩＤをＢ＿ＩＤ、分割パケットを結合し１つの完結したデータをもつよう新たに作成されるパケットに付与されるＩＤをＡ＿ＩＤと定義する。
【００３２】
待機パケット表３０は、Ｂ＿ＩＤ、Ａ＿ＩＤ、分割番号３２、優先有無３３、パケットの情報、すなわち発信元ＩＰアドレス、送信先ＩＰアドレス、内容（データの種類）および具体的なビット列、指定監査機能表２０における指定監査機能タイプ、登録日時をまとめた表である。待機パケット表３０は、待機パケット記憶装置１３３に保存する。
【００３３】
なお、登録日時とは、Ａ＿ＩＤのパケットの構成要素となるＢ＿ＩＤのパケットのうち、最も速く脅威管理システム１１０が受信したパケットが待機パケット表に登録された日時を指す。
【００３４】
図５を参照して、脅威管理システムの通過判定表を説明する。図５において、通過判定表５０は、パケットＩＤ５１と、分割番号５２と、判定結果５３と、登録日時５４と、を含んで構成されている。なお、通過判定表５０は、指定監査機能表２０における指定監査機能タイプ毎に設定する。
【００３５】
通過判定表５０は、Ｂ＿ＩＤ、Ａ＿ＩＤ、第２エリアおよび第３エリアにおける各監査機能の判定結果、第２エリアおよび第３エリアの登録日時をまとめた表である。通過判定表５０は、通過判定データ記憶装置１３４に保存する。
【００３６】
図６を参照して、脅威管理システムの検出確率分布表を説明する。図６において、検出確率分布表６０は、パケット６１と、検出ウィルス６２と、確立発生分布６３と、を含んで構成されている。
【００３７】
検出確率分布表６０は、パケットの情報、すなわち発信元ＩＰアドレス、送信先ＩＰアドレスおよび内容（データの種類）と、検出ウィルスと、過去の履歴からウィルスが検出される確率を状況ごとに整理した検出確率分布をまとめた表である。検出確率分布表６０は、検出確率分布表記憶装置１３５に保存する。
【００３８】
ここで、検出ウィルスとは、ウィルスチェック部１２９で検出可能なウィルスのうち、該当パケットにおいて過去に検出されたことのあるウィルスを指す。
【００３９】
なお、ウィルスチェック部１２９で検出可能なウィルスのうち、今まで一度も検出されたことのないウィルスについては、検出確率分布表における検出ウィルスを「その他」とし、確率を０．０としている。また、該当パケットにおいてウィルスが全く検出されなかった場合については、検出確率分布表６０における検出ウィルス６２を「Ｖ０」としている。
【００４０】
検出確率分布６３において、一つの検出ウィルスに対する項目同士および一つの項目下における分類同士は排反事象である。また、パケットがウィルスチェック部１２９に配信された時点で各項目下における分類はただ一つに決まる。２つの条件を満たしていれば、項目および分類の具体的な内容は特に限定することなく、脅威管理システム１１０を適用するシステム（ネルギー需要調整システム１００）に応じて自由に決定してよい。
【００４１】
具体的には、項目を図６ではパケット情報に含まれている内容（データの種類）とし、その分類を検針値、チャレンジコード要求、レスポンスコード、制御情報、ＩＤ変更通知などとしてもよい。また別の項目をクライアント機器の設置場所とし、その分類を茨城県、栃木県、群馬県、埼玉県、千葉県、東京都、神奈川県などとしても良い。
【００４２】
項目を時間、曜日、月とし、それぞれの分類を０：００−８：００と２２：００−２４：００、８：００−１８：００、１７：００−２２：００、月〜金（平日）、土日および祝日、１および４および１２、８、それ以外としたとき、図６になる。
【００４３】
それぞれの項目および分類のセットで実現される事象において各ウィルスが検出される確率を、ウィルスチェック部１２９の実行ログより算出し、検出確率分布表６０に登録する。従って、ウィルスチェック部１２９の実行において初めて検出されたウィルスがある場合は、検出確率分布表における該当パケットの「検出ウィルス」欄が新たに１つ追加される。また、新規パケットに対する検出確率分布の初期状態（登録直後）は「検出ウィルス」欄以降が空白である。以降のウィルスチェック部１２９実行に応じて順次数値が更新されていく。
【００４４】
図７を参照して、ウィルス照合リストを説明する。図７において、ウィルス照合リスト７０は、照合ウィルスリスト７１と、ヒット確率７２と、を含んで構成されている。照合ウィルスリスト７１は、照合順序７１１と照合ウィルス７１２とから構成されている。
【００４５】
照合順序７１１は、ウィルス照合の順序である。照合ウィルス７１２は、照合するウィルス名称である。ヒット確率７２は、これまで何回ヒットしたかの確率である。ウィルス照合リスト７０は、脅威照合リスト記憶装置１３６が保持する。
【００４６】
図８を参照して、ヒット確率計算結果表を説明する。図８において、ヒット確率計算結果表８０は、パケットＩＤ８１と、ヒットウィルス８２と、ヒット確率８３と、を含んで構成されている。ヒット確率計算結果表８０は、一時記憶装置１３７が保持する。
【００４７】
図９を参照して、ヒットパケット表を説明する。図９において、ヒットパケット表９０は、ヒットパケットのパケットＩＤを保持する。ヒットパケット表９０は、図８のヒット確率計算結果表８０において、パケットＩＤ毎にヒット確率が最大かつ０４以上のヒット確率を含むウィルスを含むパケットＩＤである。ヒットパケット表９０は、一時記憶装置１３７が保持する。
【００４８】
なお、図７、図８、図９の説明について、ヒット確率の求め方は図１１、ヒットパケットの決定方法は図１２および図８および図９、ウィルス照合順序の決定方法については図１３および図７の説明において後述する。
【００４９】
図１０を参照して、クライアント装置と脅威管理システムのパケット監査の処理フローを説明する。ここで、クライアント機器１５０のＩＰアドレスを１０．２３２．１１．１１ａ、情報収集サーバ１４０のＩＰアドレスを１０．２３２．５５．５５ｘとする。
【００５０】
図１０Ａにおいて、クライアント機器１５０は、機器認証用のチャレンジコード要求を暗号化し、脅威管理システム１１０へ送信する（Ｓ１２０１）。脅威管理システム１１０は、クライアント機器１５０からのパケットを受信する（Ｓ１２０２）。脅威管理システム１１０は、ＤｏＳ攻撃の有無を監査する（Ｓ１２０３）。脅威管理システム１１０は、ＤｏＳ攻撃があるか判定する（Ｓ１２０４)。ＹＥＳのとき、脅威管理システム１１０は、攻撃を防止し、受信したパケットを破棄して（Ｓ１２０５）、処理を終了する。ステップ１２０４でＤｏＳ攻撃が行われていなければ（ＮＯ）、脅威管理システム１１０は、パケットを復号する（Ｓ１２０６）。
【００５１】
脅威管理システム１１０は、受信パケットがチャレンジコード要求であるかどうかを判断する（Ｓ１２０７）。チャレンジコード要求であれば（ＹＥＳ）、脅威管理システム１１０は、チャレンジコードを発行し、暗号化して、クライアント機器１５０へ送信する（Ｓ１２０８）。
【００５２】
クライアント機器１５０は、脅威管理システム１１０からのチャレンジコードを受信し、復号する（Ｓ１２０９）。クライアント機器１５０は、レスポンスコードを発行し、暗号化し、が脅威管理システム１１０へ送信する（Ｓ１２１０）。
【００５３】
脅威管理システム１１０は、再びステップ１２０２〜ステップ１２０７の処理を実行する。ステップ１２０７でチャレンジコード要求でなければ（ＮＯ）、脅威管理システム１１０は、パケットにＢ＿ＩＤを付与する（Ｓ１２１１）。脅威管理システム１１０は、分割パケットかどうかを判断し、指定監査機能表２０を参照してパケットの優先有無と指定監査タイプを取得し、待機パケット表３０および通過判定表５０に登録する（Ｓ１２１２）。
【００５４】
Ｂ１というＩＤを付与したパケットが、発信元ＩＰアドレス１０．２３２．１１．１１ａ、送信先ＩＰアドレス１０．２３２．５５．５５ｘ、内容は検針値で、３分割中一番目のデータを保持している場合、指定監査機能表２０は、図３のタイプ”１”になる。脅威管理システム１１０は、該当パケットの指定監査機能タイプが”１”かつ優先有無が無いことを確認する。
【００５５】
脅威管理システム１１０は、待機パケット表３０において、同じデータを分割しているパケットの登録が無いことを確認後、分割番号１，２，３をもつ新たな登録欄を作成し、分割番号１の行に該当パケットのＢ＿ＩＤ、優先有無、発信元ＩＰアドレス、送信先ＩＰアドレス、内容、ビット列、指定監査機能タイプ、登録日時を登録する。Ａ＿ＩＤの欄は空白としておく。なお、この後に他の分割パケット、具体的には、ＩＤ付与部１１２がＢ２というＩＤを付与したパケットが到着し、これを登録する場合、分割番号３の行に該当パケットのＢ＿ＩＤ、ビット列を登録する。
この場合の待機パケット表３０を示すと図４の様になる。ただし、この時点でＡ＿ＩＤの欄は空白である。
【００５６】
脅威管理システム１１０は、通過判定表５０において、タイプ”１”の表に同じデータを分割しているパケットの登録が無いことを確認後、分割番号１，２，３をもつ新たな登録欄を作成し、分割番号１の行に該当パケットのＢ＿ＩＤ、第２エリアの登録日時を登録する。Ａ＿ＩＤおよび第２、第３エリアの判定結果および第３エリアの登録日時欄は空白としておく。なお、この後に他の分割パケット、具体的には、ＩＤ付与部１１２がＢ２というＩＤを付与したパケットが到着しこれを登録する場合、分割番号３の行に該当パケットのＢ＿ＩＤ、第２エリアの登録日時を登録する。Ａ＿ＩＤおよび第２、第３エリアの判定結果および第３エリアの登録日時欄は空白としておく。このときの。通過判定表５０が図５である。ただし、この時点でＡ＿ＩＤおよび第２、第３エリアの判定結果および第３エリアの登録日時欄は空白である。
【００５７】
脅威管理システム１１０は、指定監査機能表２０を参照し、該当パケットを第２エリアにおける指定監査機能の個数分複製し、各パケットを第２エリアにおける指定監査機能へ配信する（Ｓ１２１３）。
【００５８】
具体的には、発信元ＩＰアドレス１０．２３２．１１．１１ａ、送信先ＩＰアドレス１０．２３２．５５．５５ｘ、内容は検針値のパケットの場合、指定監査機能表２０より指定監査機能タイプは”１”であり、機器認証、発信元アドレス監査、接続先アドレス監査の３つが指定監査機能となっているため、脅威管理システム１１０は、パケットを２つ複製し、３つのパケットを各機能へそれぞれ配信する。
【００５９】
第２エリアの監査機能部（機器認証部１１９、発信元アドレス監査部１２０、接続先アドレス監査部１２１）がパケットの監査を行う（Ｓ１２１４）。
【００６０】
脅威管理システム１１０は、それぞれの判定結果を通過判定表に記入する（Ｓ１２１５）。第２エリアの監査機能部は、この処理を並列に行う。なお、判定結果の記入時に登録欄がない場合、脅威管理システム１１０は、その時点で処理を終了する。これらの並列で処理を行うことは、パケットの監査エリア通過時間を短縮する効果がある。
【００６１】
具体的には、ＩＤ付与部１１２がＢ１というＩＤを付与したパケットについて、機器認証の結果が不合格、発信元アドレス監査および接続先アドレス監査の結果が合格の判定結果を登録した通過判定表５０を、図５に示す。図５において、通過判定表５０のパケットＩＤがＢ１の登録行において、第２エリアの判定結果の機器認証の欄は０、発信元アドレス監査および接続先アドレス監査の欄は１と記入される。
【００６２】
脅威管理システム１１０は、通過判定表５０を参照し、第２エリアの指定監査機能の判定結果を確認する（Ｓ１２１６）。脅威管理システム１１０は、第２エリアの判定結果が全てあるか判定する（Ｓ１２１７)。指定監査機能の判定結果が全て記入されていない場合（ＮＯ）、脅威管理システム１１０は、通過判定表の登録時からの経過時間がＴ１を超えているか確認する（Ｓ１２１８）。超えていなければ（ＮＯ）、脅威管理システム１１０は、一定時間待機する（Ｓ１２１９）。脅威管理システム１１０は、一定時間待機後ステップ１２１６に遷移する。
【００６３】
ステップ１２１８で超えていれば（ＹＥＳ）、脅威管理システム１１０は、通過判定表５０から該当パケットが含まれる分割番号すべての登録データおよび待機パケット表３０の登録データを削除する（Ｓ１２２０）。脅威管理システム１１０は、パケットを破棄して（Ｓ１２２１）、処理を終了する。なおＴ１とは、第２エリアの監査開始より判定結果が記入されるまでの待ち時間の上限である。
【００６４】
具体的には、ＩＤ付与部１１２がＢ１というＩＤを付与したパケットの判定結果が第２エリアの監査開始時間よりＴ１を超えても全て揃わなかった場合について、図５および図４を用いて説明する。パケット管理部１１５は、通過判定表５０においてパケットＩＤがＢ１の登録行が含まれる分割番号１，２，３全ての行の登録データを削除する。続いて、パケット管理部１１５は、待機パケット表３０のパケットＩＤがＢ１の登録行が含まれる分割番号１，２，３全ての行の登録データを削除する。
【００６５】
ステップ１２１７で第２エリアの指定監査機能の判定結果が全て記入されている場合、脅威管理システム１１０は、判定結果が全て合格（１が記入済）であるかどうかを確認する（Ｓ１２２２）。全て合格でない場合、脅威管理システム１１０は、ステップ１２２０へ進み終了する。
【００６６】
図１０Ｂにおいて、ステップ１２２２で全て合格である場合、脅威管理システム１１０は、一定時間待機する（Ｓ１３０１）。待機後、脅威管理システム１１０は、待機パケット表３０を参照し、分割パケットの到着状態を確認する（Ｓ１３０２）。すなわち、脅威管理システム１１０は、待機パケット表３０において該当パケットの登録行が含まれる分割番号全ての行に登録データがあるかどうかを確認する。脅威管理システム１１０は、パケットが全て登録されているか判定する（Ｓ１３０３）。
【００６７】
ステップ１３０３で分割パケットが全て到着していない場合（ＮＯ）、脅威管理システム１１０は、待機パケット表３０の登録時からの経過時間がＴ２を超えているかどうかを判定する（Ｓ１３０４）。超えていなければ（ＮＯ）、脅威管理システム１１０は、ステップ１３０１に遷移する。ステップ１３０４で超えていれば（ＹＥＳ）、脅威管理システム１１０は、待機パケット表３０から該当パケットが含まれる分割番号すべての登録データを削除してパケットを破棄し（Ｓ１３０５）、処理を終了する。なお、Ｔ２は、第２エリアの監査開始より判定結果が記入されるまでの待ち時間の上限である。
【００６８】
第３エリアは、分割パケットのもつデータが連結されて完成する１つの完結したデータ（元データ）を対象とした監査を行う。このためステップ１３０１からステップ１３０５の処理は、第３エリアへ進む前に元データ復元に要する全ての分割パケット受信が完了していることの確認である。特に、受信した分割パケットは、全て第２エリアを通過（監査に合格）したが、元データ復元には個数が足りなかった場合、データを第３エリアへ進める前に削除する効果がある。
【００６９】
ステップ１３０３で分割パケットが全て到着している場合、脅威管理システム１１０は、パ一つのデータを構成する分割パケットにまとめてＡ＿ＩＤを付与し、待機パケット表３０を更新する（Ｓ１３０６）。
【００７０】
具体的には、一つのデータを構成する分割パケットでＢ＿ＩＤがＢ１、Ｂ８、Ｂ３である各パケットに対してＡ１というＡ＿ＩＤを付与し、これ反映して更新された待機パケット表３０が、図４である。の様になる。
【００７１】
ここで、或るパケットにつき或る条件下において或るウィルスが検出される確率をヒット確率と定義する。また、ウィルスチェック部１２９においてウィルスが検出される可能性の高いパケットをヒットパケットとよぶ。また、第３エリアにおいてウィルスチェック部１２９の監査を受けるパケットは、第１つ１つではなく、グループ単位である。
【００７２】
脅威管理システム１１０は、分割パケットを結合し、１つの完結したデータ（元データ）の情報をもつパケットを作成する（Ｓ１３０７）。
具体的には、待機パケット表３０において、Ｂ＿ＩＤがＢ１、Ｂ８、Ｂ３である分割パケットを結合し、Ａ１というＡ＿ＩＤが付与された１つのパケットを作成する。
【００７３】
脅威管理システム１１０は、待機パケット表３０より指定監査タイプを確認の上、ウィルスチェック部１２９の監査を含む監査タイプのパケットを一定数まとめ、検査パケットグループとする（Ｓ１３０８）。
ここで、ウィルスチェック部１２９の監査を含まない監査タイプのパケットについて、脅威管理システム１１０は、検査パケットグループに入れず、ステップ１３１３の処理へ進ませる。また、ウィルスチェック部１２９の監査を含む監査タイプのパケットであっても、待機パケット表において優先有無にチェックがある場合、脅威管理システム１１０は、検査パケットグループに入れず、ステップ１３１３の処理へ進ませる。
【００７４】
具体的には、この検査パケットグループの要素となり得るパケットは、指定監査機能表２０および待機パケット表３０を参照すると、Ａ１、Ａ３のＡ＿ＩＤが付与されたパケットである。Ａ＿ＩＤがＡ４のパケットは、ウィルスチェック部１２９の監査を含まない監査タイプであるためステップ１３１３へ進む。また、Ａ＿ＩＤがＡ２のパケットも、ウィルスチェック部１２９の監査を含む監査タイプのパケットであるが優先有無にチェックがあるため、ステップ１３１３へ進む。
【００７５】
脅威管理システム１１０は、ステップ１３０８で決定した検査パケットグループを構成する各パケットに対して、ヒット確率を計算する（Ｓ１３０９)。脅威管理システム１１０は、ヒットパケット決定部１２４が求めたヒット確率を元にヒットパケットを決定する（Ｓ１３１０）。脅威管理システム１１０は、ヒット確率およびヒットパケット決定時の情報を元にウィルスチェック部１２９でのウィルス照合順序を決定する（Ｓ１３１１）。なお、ヒット確率の求め方は、図１１の説明において後述する。ヒットパケットの決定方法は、図１２、図８および図９の説明において後述する。ウィルス照合順序の決定方法は、図１３および図７の説明において後述する。脅威管理システム１１０は、ステップ１３１１で決定したウィルス照合順序について、ウィルス照合リスト７０を更新する（Ｓ１３１２）。
【００７６】
脅威管理システム１１０は、通過判定表５０のＡ＿ＩＤおよび第３エリアの登録日時を更新する（Ｓ１３１３）。
具体的には、一つのデータを構成する分割パケットでＢ＿ＩＤがＢ１、Ｂ８、Ｂ３である各パケットに対して、Ａ１というＡ＿ＩＤが付与されたパケットに対して、２０１３．０７．０２．１３：１４：５２という第３エリアの登録日時を更新した状態が図５である。
【００７７】
脅威管理システム１１０は、指定監査機能表２０を参照し、該当パケットを第３エリアにおける指定監査機能の個数分複製し、各パケットを第３エリアにおける指定監査機能へ配信する（Ｓ１３１４）。
具体的には、Ａ＿ＩＤがＡ１のパケットの場合、指定監査機能表２０より指定監査機能タイプは”１”でありＬ７ファイアウォール、ウィルスチェックの２つが指定監査機能となっている。このため、脅威管理システム１１０は、はパケットを１つ複製し、パケット配信部１１４は２つのパケットを各機能へそれぞれ配信する。このときパケット配信部１１４は、検査パケットグループ中、ステップ１３１０で決定したヒットパケットを後に、ヒットパケット以外のパケットを先に配信する。このような配信形式は、第３エリアを通過する確率の高いパケットを優先的に監査にかけることにより、安全なパケットが脅威管理システム１１０を通過し宛先機器へ転送されるまでの時間を短縮する。
【００７８】
第３エリアの監査機能部（Ｌ７アクセス監査部１２７、Ｌ７ファイアウォール部１２８、ウィルスチェック部１２９）がパケットの監査を行う（Ｓ１３１５）。判定結果登録部１１６は、それぞれの判定結果を通過判定データ記憶装置１３４の通過判定表に記入する（Ｓ１３１６）。第３エリアの監査機能部は、この処理を並列に行う。なお、判定結果の記入時に登録欄がない場合、第３エリアの監査機能部は、その時点で処理を終了する。
具体的には、Ａ＿ＩＤがＡ１であるパケットについて、Ｌ７ファイアウォール部１２８の結果が不合格、ウィルスチェック部１２９の結果が合格の判定結果を登録した通過判定表５０が図である。図５において、通過判定表５０のパケットＩＤがＡ１の登録行において、第３エリアの判定結果のＬ７ファイアウォールの欄は０、ウィルスチェックは１と記入される。
【００７９】
ステップ１３１６のスタートから一定時間経過後、脅威管理システム１１０は、通過判定表５０を参照し、結果を確認する（Ｓ１３１７）。脅威管理システム１１０は、第３エリアの指定監査機能の判定結果が全て記入されているか判定する（Ｓ１３１８）。ＮＯのとき、脅威管理システム１１０は、通過判定表５０の登録時からの経過時間がＴ３を超えているかどうかを確認する（Ｓ１３１９）。超えていなければ（ＮＯ）、脅威管理システム１１０は、一定時間待機し（Ｓ１３２０）、ステップ１３１７へ遷移する。ステップ１３１９で超えていれば（ＹＥＳ）、脅威管理システム１１０は、通過判定表５０から該当パケットの登録データを削除する（Ｓ１３２１）脅威管理システム１１０、待機パケット表３０においても同様に登録データを削除し、パケットを破棄して（Ｓ１３２２）、処理を終了する。なお、Ｔ３は、第３エリアの監査開始より判定結果が記入されるまでの待ち時間の上限である。
具体的には、Ａ＿ＩＤがＡ１であるパケットの判定結果が第３エリアの監査開始時間よりＴ３を超えても全て揃わなかった場合を図５および図４を用いて説明する。パケット管理部１１５は、通過判定表５０においてパケットＩＤがＡ１の行の登録データを削除する。続いて、パケット管理部１１５は、待機パケット表３０においてパケットＩＤがＡ１の行の登録データを削除する。
【００８０】
ステップ１３１８で第３エリアの指定監査機能の判定結果が全て記入されている場合（ＹＥＳ）、脅威管理システム１１０は、判定結果が全て合格（１が記入済）であるか判定する（Ｓ１３２３）。
【００８１】
全て合格である場合、脅威管理システム１１０は、パケットを宛先機器に転送する。具体的には、Ａ＿ＩＤがＡ１であるパケットについて、脅威管理システム１１０は、情報収集サーバ１４０へ転送する（Ｓ１３２４）。
情報収集サーバ１４０の通信部１４１が脅威管理システム１１０よりパケットを受信する（Ｓ１３２５）。暗号部１４２は、パケットを復号するＳ１３２６）。
【００８２】
ステップ１３２４のあと、およびステップ１３１８で全て合格でない場合、脅威管理システム１１０は、更新用ウィルスチェック部１３０において、該当パケットの監査を行う（Ｓ１３２７）。検出確率分布表更新部１３１は、ステップ１３２７の結果に応じて検出確率分布表６０の更新を行う（Ｓ１３２８）。検出確率分布表の更新は、次回以降のヒット確率値の精度を上げる効果がある、
脅威管理システム１１０は、通過判定表５０から該当パケットの登録データを削除し、待機パケット表３０の登録データを削除する（Ｓ１３２９）。脅威管理システム１１０は、パケットを破棄して（Ｓ１３３０）、処理を終了する。
【００８３】
図１１を参照して、ヒット確率計算処理を説明する。図１１において、ヒット確率計算部１２３は、変数ｉに初期値−１を与える（Ｓ１４０１）。ヒット確率計算部１２３は、変数ｉの値を１増やす（Ｓ１４０２）。ヒット確率計算部１２３は、変数ｊに初期値−１を与える（Ｓ１４０３）。ヒット確率計算部１２３は、変数ｊの値を１増やす（Ｓ１４０４）。ヒット確率計算部１２３は、該当パケットのヒット確率を計算する（Ｓ１４０５）。
【００８４】
具体的には、事象Ｘ＝｛１７：００−２２：００，月〜金（平日），８月｝として、事象Ｘ発生時に発信元アドレスが１０．２３２．１１．１１ａ、宛先アドレスが１０．２３２．５５．５５ｘ、内容が検針値のパケット、すなわちＡ＿ＩＤがＡ１のパケットに対してウィルスＶ６のヒット確率Ｐ（Ｖ６｜Ｘ）を計算する場合は、図６を参照して、ベイズの定理より以下のように求める。
【００８５】
【数１】
2015095097.tif 000003
【００８６】
ただし、
【００８７】
【数２】
2015095097.tif 000004
【００８８】
【数３】
2015095097.tif 000005
【００８９】
ここで、Ｍは、ウィルスチェック部１２９および更新用ウィルスチェック部１３０が検出可能なウィルスの個数である。
【００９０】
【数４】
2015095097.tif 000006
【００９１】
ヒット確率計算部１２３は、一時記憶装置１３７内に作成したヒット確率計算結果表へヒット確率の計算結果を記入する（Ｓ１４０７）。
【００９２】
ヒット確率計算部１２３は、変数ｊがＭを超えているかどうか確認する（Ｓ１４０７）。超えていなければ（ＮＯ）、ヒット確率計算部１２３は、ステップ１４０４へ戻る。ステップ１４０７で超えているとき（ＹＥＳ）、ヒット確率計算部１２３は、変数ｉがＮを超えているかどうか確認する（Ｓ１４０８）。超えていなければ（ＮＯ）、ヒット確率計算部１２３は、ステップ１４０２へ戻る。ステップ１４０７で超えていれば処理を終了する。ここで、Ｎは、Ｓ１３０８において検査パケット決定部１２２が決定した検査パケットグループを構成しているパケットの数である。
【００９３】
図１２を参照して、ヒットパケット決定の処理を説明する。図１２において、図１２において、各パケットにおいて検出される確率が最も高いウィルスを最高ヒットウィルスと定義する。具体的に、図８に示すヒット確率計算結果表８０においてＡ＿ＩＤがＡ１、Ａ１、Ａ２、Ａ３、Ａ４、Ａ５、Ａ６、Ａ７、Ａ８のパケットの最高ヒットウィルスは、順にＶ６、Ｖ７、Ｖ０、Ｖ４、Ｖ７、Ｖ４、Ｖ０、Ｖ２である。また、この最高ヒットウィルスがＶ０でなく、またヒット確率が一定値を超えているものをヒットパケットとする。
【００９４】
図１２において、ヒットパケット決定部１２４は、変数ｉに初期値０を与える（Ｓ１５０１）。ヒットパケット決定部１２４は、変数ｉの値を１増やす（Ｓ１５０２）。ヒットパケット決定部１２４は、ヒット確率計算結果表８０を参照し、該当パケットの最高ヒットウィルスがＶ０でないかどうかを確認する（Ｓ１５０３）。ＹＥＳのとき、ヒットパケット決定部１２４は、該当パケットの最高ヒットウィルスのヒット確率がＰｔを超えているかどうかを確認する（Ｓ１５０４）。なお、Ｐｔはヒットウィルスに分類されるしきい値であり、脅威管理システム１１０を適用するシステム（ここでは、エネルギー需要調整システム１００）に応じて自由に決定してよい。
【００９５】
ステップ１５０３またはステップ１５０４で確認結果がＮＯである場合、ヒットパケット決定部１２４は、ステップ１５０６へ進む。ステップ１５０４で確認結果がＹＥＳのとき、ヒットパケット決定部１２４は、ヒットパケット表９０へ該当パケットを登録する（Ｓ１５０５）。なお、Ｐｔを０．３９としてヒット確率計算結果表８０よりヒットパケットを決定した場合のヒットパケット表９０が図９である。
【００９６】
ヒットパケット決定部１２４は、変数ｉがＮを超えているかどうか確認する（Ｓ１５０６）。超えていなければ（ＮＯ）、ヒットパケット決定部１２４は、ステップ１５０２へ戻る。ステップ１５０６で超えていれば（ＹＥＳ）、ヒットパケット決定部１２４は、処理を終了する。ここで、Ｎは、図１０Ｂのステップ１３０８において検査パケット決定部１２２が決定した検査パケットグループを構成しているパケットの数である。
【００９７】
図１３を参照して、ウィルスの照合順序決定の処理を説明する。図１３において、ヒットパケットの最高ヒットウィルス群をＡ群、ヒットパケット以外の最高ヒットウィルス群（Ａ群を除く）をＢ群ヒットパケットのＡ群以外のウィルス（Ｂ群除く）をＣ群、Ａ，Ｂ，Ｃ群以外のウィルス群をＤ群と定義する。
【００９８】
各群のウィルス照合時の優先順位について述べると、Ａ群は、最も検出率の高いウィルス群であるため１位である。Ｂ群は、ヒットパケット以外のパケットで検出率の高いウィルス群であるため２位である。Ｃ群は、ヒットパケットにおいては先にＡ群のウィルスが検出されるため照合されずとも問題ないであろうウィルス群であるため４位である。Ｄ群は過去に一度も検出されておらずもともと検出確率分布に記載がなくヒット確率を計算されていないウィルス群である。しかし、検出期待値は低いものの照合順位はＣ群より高く設定した方が無難であるため３位となる。
【００９９】
以上より、照合順序決定部１２５は、Ａ群をヒット確率の降順に整列する（Ｓ１６０１）。照合順序決定部１２５は、Ｂ群をヒット確率の降順に整列する（Ｓ１６０２）。照合順序決定部１２５は、Ｃ群をヒット確率の昇順に整列する（Ｓ１６０３）。照合順序決定部１２５は、Ｄ群をランダムに整列する（Ｓ１６０４）。照合順序決定部１２５は、全体をＡ群→Ｂ群→Ｄ群→Ｃ群の順に整列し（Ｓ１６０５）、照合順序の決定を終了する。
【０１００】
なお、ステップ１６０４でＤ群をランダムに整列するのは、該当パケットがヒット確率という指標をもたないためである。
【０１０１】
このような照合順序の決定方法は、検出確率の高いウィルスの照合が優先的に行われることにより、パケットのウィルスチェック開始から判定結果出力（監査終了）までの時間を短縮する効果がある。
以上の処理を経て決定した照合順序を、図８のヒット確率計算結果表８０を参照した場合として示すと図７のウィルス照合リストとなる。
【０１０２】
上述した各構成、機能、処理部、処理手段は、それらの一部または全部を、集積回路で設計することによりハードウェアで実現してもよい。また、各構成、機能は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイルを含む情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）を含む記録装置、またはＩＣカード、ＳＤカード、ＤＶＤを含む記録媒体に置くことができる。
【０１０３】
図面において、制御線、情報線は、説明上好ましいと考えられるものを示しており、製品上必ずしも全ての制御線および情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【符号の説明】
【０１０４】
１００…エネルギー需要調整システム、１１０…脅威管理システム、１１１…通信部、１１４…パケット配信部、１２２…検査パケット決定部、１２３…ヒット確率計算部、１２４…ヒットパケット決定部、１２５…照合順序決定部、１２６…照合リスト更新部、１２９…ウィルスチェック部、１３５…確率分布記憶装置、１３６…脅威照合リスト記憶装置、１３７…一時記憶装置、１４０…情報収集サーバ、１５０…クライアント機器、１６０…ネットワーク。
【図１】
2015095097.tif 000007
【図２】
2015095097.tif 000008
【図３】
2015095097.tif 000009
【図４】
2015095097.tif 000010
【図５】
2015095097.tif 000011
【図６】
2015095097.tif 000012
【図７】
2015095097.tif 000013
【図８】
2015095097.tif 000014
【図９】
2015095097.tif 000015
【図１０Ａ】
2015095097.tif 000016
【図１０Ｂ】
2015095097.tif 000017
【図１１】
2015095097.tif 000018
【図１２】
2015095097.tif 000019
【図１３】
2015095097.tif 000020