(57)【要約】  ネットワークの異常を表すアラートをより効率的に判断することが可能なようにオペレータに提示することが可能な重要度算出装置等を提供する。  重要度算出装置１は、監視対象である通信ネットワーク５１において異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれ、第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報には含まれない特徴に基づいて、第１のアラートに対する重要度を求める重要度算出部２を備える。
2016092834.tif 000002
【特許請求の範囲】
【請求項１】
監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれ、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報には含まれない特徴に基づいて、前記第１のアラートに対する重要度を求める重要度算出手段を備える
重要度算出装置。
【請求項２】
前記重要度算出手段は、
前記通信情報に含まれる全ての第１のＮグラムに対して、その第１のＮグラムと同一の第２のＮグラムが過去に出現したか否かを判別し、その判別結果に基づいて、前記重要度を求める
請求項１に記載の重要度算出装置。
【請求項３】
前記重要度算出手段は、
前記通信情報を基に形成されたヒストグラムと、前記第２のアラートに関する通信情報を基に形成されたヒストグラムの平均との乖離に基づいて、前記重要度を求める
請求項１に記載の重要度算出装置。
【請求項４】
前記重要度算出手段は、
前記通信情報に含まれる全ての第１のＮグラムに対して、その第１のＮグラムと同一の第２のＮグラムが過去に出現した出現時刻から前記異常が検知された検知時刻までの経過時間に基づき求めた新奇性と、前記全ての第１のＮグラムの数とに基づいて、前記重要度を求める
請求項１に記載の重要度算出装置。
【請求項５】
前記求めた重要度および前記アラートに関するアラート情報の一部または全部のうち、少なくとも何れかをオペレータが識別可能な態様によって提示する提示手段を備える
請求項１乃至請求項４の何れかに記載の重要度算出装置。
【請求項６】
前記アラート情報は、
少なくとも、前記アラートを識別可能なアラート識別子と、前記異常が検知された検知時刻と、前記異常を検知する際に用いられた検知ルールと、前記アラートの原因となった通信情報の送信元ホストのＩＰアドレスおよびポート番号と、前記通信情報の送信先ホストのＩＰアドレスおよびポート番号とが関連付けられた情報を含む
請求項５に記載の重要度算出装置。
【請求項７】
監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれ、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報には含まれない特徴に基づいて、前記第１のアラートに対する重要度を求める
通信監視システム。
【請求項８】
請求項１乃至請求項６の何れかに記載された重要度算出装置によって求められた重要度、およびアラートに関するアラート情報の一部または全部のうち、少なくとも何れかをオペレータが識別可能な態様によって提示する提示手段を備える
提示装置。
【請求項９】
監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれ、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報には含まれない特徴に基づいて、前記第１のアラートに対する重要度を求める
重要度算出方法。
【請求項１０】
監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれ、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報には含まれない特徴に基づいて、前記第１のアラートに対する重要度を求める機能を
コンピュータに実現させるコンピュータ・プログラムが格納された記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視対象であるネットワークを監視する技術分野に関する。
【背景技術】
【０００２】
企業ネットワークでは、例えば、外部の通信ネットワークからの攻撃や悪意ある第三者からの不正侵入を防ぐことを目的として、ファイアウォールや侵入検知システムなどにより通信の遮断や監視などを行っている。尚、本願において、以下の説明では、「通信ネットワーク」を、単に「ネットワーク」と記載する場合もある。また、以下の説明では、侵入検知システムを、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）と記載する場合もある。【０００３】
特に、近年では、企業の知的財産に関する情報や機密情報などの窃取を目的とする標的型攻撃による事例は増加傾向にある。それに伴い、サイバーセキュリティに対する需要は高まっている。【０００４】
サイバーセキュリティ対策としては、セキュリティーオペレーションセンターを導入することによって、監視対象であるネットワークの監視およびインシデントに対処することが一般的になっている。尚、以下の説明では、セキュリティーオペレーションセンターを、ＳＯＣ（Ｓｅｃｕｒｉｔｙ  Ｏｐｅｒａｔｉｏｎ  Ｃｅｎｔｅｒ）と記載する場合もある。例えば、企業では、このＳＯＣを企業内に設置する、或いはＳＯＣの運営を外部企業に委託することにより実現する。【０００５】
より具体的に、ネットワークを監視する業務では、ファイアウォールやＩＤＳなどの監視機器から通知されたアラートを、所定の危険度に基づいて分類する作業を行う。例えば、アラートには、外部からの攻撃であるが危険性のないアラートも含まれる。即ち、当該監視機器から通知された全てのアラートは、必ずしもインシデントとして報告する必要があるわけではない。そのため、監視業務を行うオペレータは、当該アラートに含まれる情報を確認する、または外部情報を参照する。これによって、オペレータは、当該アラートに対して適切な危険度を設定する。そして、オペレータは、必要に応じて、当該アラートをインシデントとして報告することができる。この分類作業の際に参照するアラート情報には、次に示す情報が挙げられる。即ち、アラート情報は、監視対象の異常を検知する際に用いられた検知ルール、送受信を行ったホストのＩＰアドレスおよびポート番号、セキュリティベンダーによって割り当てられた検知ルールに対する重要度などを表す情報を含む。尚、ＩＰは、Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌの略称である。【０００６】
ここで、本願出願に先立って存在する関連技術としては、例えば、特許文献１がある。特許文献１は、監視対象であるネットワークに設置されたＩＤＳセンサから通知されたイベントデータ（アラート情報）を解析する。これによって、特許文献１は、アラートを発行するイベント解析及び警告システムに関する技術を開示する。【０００７】
このイベント解析及び警告システムは、イベントデータと、過去に不正アクセスであると判定したアラートとに基づいて、当該イベントデータにより示される通信イベントが不正アクセスか否かを機械的に判定する。より具体的に、イベント解析及び警告システムは、イベントデータに含まれるシグネチャ（検知ルール）、ＩＰアドレスおよびポート番号の一部または全部の項目と、過去に不正アクセスと判定したアラートとを比較する。その結果、イベント解析及び警告システムは、当該各項目と、不正アクセスと判定したアラートとの一致点または類似点を以って不正アクセスか否かを判定する。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特許第４６１９２５４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
上述したように通信監視システムは、アラートに含まれる定型的な項目を解析することによって、オペレータの分類作業を支援することができる。しかしながら、通信監視システムでは、アラートの原因となったパケットに含まれるペイロードのように不定型な構造を持つ要素に関しては、オペレータの目視により当該アラートの危険度を判断する必要がある。【００１０】
また、特許文献１には、イベントデータと、過去に不正アクセスであると判定したアラートとに基づいて、通信イベントが不正アクセスか否かを判定することが記載されている。しかしながら、アラートを分類する際の判断基準としては、イベントデータと、当該アラートとの一致点または類似点だけでは不十分な場合がある。【００１１】
一例として、以下の説明では、過去に分類されたアラートは、誤検知により分類されたアラートとする。また、当該過去に分類されたアラートは、検知ルールと通信イベントの送信元および送信先を示す情報とに基づいて分類されたこととする。その場合に、特許文献１に開示された技術では、当該過去に分類されたアラートに関する項目と、新たに通知されたアラートに関する項目とが一致したからといって、その新たに通知されたアラートを同じく誤検知として分類できるわけではない。即ち、当該判断基準としては、検知ルールと通信イベントの送信元および送信先を示す情報とだけでは不十分である。【００１２】
以下の説明では、説明の便宜上、ＩＤＳを含む通信監視システムを例に説明する。例えば、アラートの分類作業において、異常と検知された通信パケットに含まれるペイロードを確認するまでは、オペレータは、アラートの危険度を、最終的に判断をすることができない可能性がある。より具体的に、通信監視システムは、アラートに含まれる定型的な項目を解析することによって、オペレータによる分類作業を支援することができる。しかしながら、通信監視システムでは、当該ペイロードのように不定型な構造を持つ要素に関しては、オペレータの目視によりアラートの危険度を判断する必要がある。【００１３】
本発明は、ネットワークの異常を表すアラートを、より効率的に判断することが可能なようにオペレータに提示することが可能な重要度算出装置等を提供することを主たる目的とする。
【課題を解決するための手段】
【００１４】
上記の課題を達成すべく、本発明の一態様に係る重要度算出装置は、
監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれ、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報には含まれない特徴に基づいて、前記第１のアラートに対する重要度を求める重要度算出手段を備える。【００１５】
また、同目的を達成すべく、本発明の一態様に係る提示装置は、
前記の構成を有する重要度算出装置によって求められた重要度、およびアラートに関するアラート情報の一部または全部の少なくとも何れかをオペレータが識別可能な態様によって提示する提示手段を備える。【００１６】
或いは、同目的は、上記に示す重要度算出装置を含む通信監視システムによっても達成される。【００１７】
また、同目的を達成すべく、本発明の一態様に係る重要度算出方法は、
監視対象である通信ネットワークにおいて異常が検知されるのに応じて第１のアラートが通知された際に、その第１のアラートの原因となった通信情報に含まれ、前記第１のアラートより過去に通知された一乃至複数の第２のアラートに関する通信情報には含まれない特徴に基づいて、前記第１のアラートに対する重要度を求める。【００１８】
尚、同目的は、上記の各構成を有する重要度算出装置及びその方法を、コンピュータによって実現するコンピュータ・プログラム、及びそのコンピュータ・プログラムが格納されている、コンピュータ読み取り可能な記録媒体によっても達成される。
【発明の効果】
【００１９】
本発明によれば、ネットワークの異常を表すアラートを、より効率的に判断することが可能なようにオペレータに提示することが可能な重要度算出装置等を提供することができる。
【図面の簡単な説明】
【００２０】
【図１】図１は、本発明の第１の実施形態における通信監視システムの構成を示すブロック図である。
【図２】図２は、本発明の第１の実施形態における重要度算出装置の構成を示すブロック図である。
【図３】図３は、本発明の第１の実施形態における重要度算出装置が行う重要度の演算処理を示すフローチャートである。
【図４】図４は、本発明の第１の実施形態における重要度算出装置が行うＮグラムの出現に関する出現情報を記憶する動作を示すフローチャートである。
【図５】図５は、本発明の第２の実施形態における通信監視システムの構成を示すブロック図である。
【図６】図６は、本発明の第２の実施形態における重要度算出装置の構成を示すブロック図である。
【図７】図７は、本発明の第２の実施形態における重要度算出装置が行う重要度の演算処理を示すフローチャートである。
【図８】図８は、本発明の第２の実施形態における提示装置によってアラートに関する情報が提示された態様を具体的に例示する図である。
【図９】図９は、本発明の第３の実施形態における通信監視システムの構成を示すブロック図である。
【図１０】図１０は、本発明の第３の実施形態における重要度算出装置の構成を示すブロック図である。
【図１１】図１１は、本発明の第３の実施形態における重要度算出装置が行う重要度の演算処理を示すフローチャートである。
【図１２】図１２は、本発明の第３の実施形態における通信監視装置の構成を示すブロック図である。
【図１３】図１３は、本発明の第３の実施形態における提示装置の構成を示すブロック図である。
【図１４】図１４は、本発明の第３の実施形態における通信監視システムが行う動作を示すシーケンス図（フローチャート）である。
【図１５】図１５は、本発明に係る各実施形態を実現可能な情報処理装置のハードウェア構成を例示的に説明するブロック図である。
【発明を実施するための形態】
【００２１】
以下、本発明の実施形態について図面を参照して詳細に説明する。
【００２２】
＜第１の実施形態＞
図１は、本発明の第１の実施形態における通信監視システム１０の構成を示すブロック図である。また、図２は、本発明の第１の実施形態における重要度算出装置１の構成を示すブロック図である。
【００２３】
図１において、通信監視システム１０は、大別して、重要度算出装置１、監視の対象である監視対象ネットワーク５１及び監視対象ネットワーク５１を監視する通信監視装置５２を有する。また、図２において、重要度算出装置１は、重要度算出部２を備える。
【００２４】
より具体的に、監視対象である監視対象ネットワーク５１において異常が検知されるのに応じてアラート（第１のアラート）が通知された際に、重要度算出部２は、第１のアラートの原因となった通信情報に基づいて、第１のアラートに対する重要度を求める機能を備える。即ち、重要度算出部２は、当該通信情報に含まれ、第１のアラートより過去に通知された一乃至複数のアラート（第２のアラート）に関する通信情報には含まれない特徴に基づいて、当該重要度を求める。
【００２５】
また、重要度算出部２は、求めた重要度と、第１のアラートを識別可能なアラート識別子とを関連付けて重要度情報１０１として記憶する機能を備える。尚、重要度算出部２が重要度を求める演算処理については、本実施形態において詳細に後述する。
【００２６】
重要度情報１０１は、例えば、不図示の記憶装置に記憶されていることとする。また、重要度情報１０１は、重要度算出部２によって求められた重要度と、第１のアラートを識別可能なアラート識別子とが関連付けされた情報を含むこととする。
【００２７】
尚、以下の説明では、説明の便宜上、「監視対象ネットワーク５１」を、単に、「ネットワーク５１」と記載する場合もある。また、以下の説明では、「第１のアラート」と「第２のアラート」とを、総称して「アラート」と記載する場合もある（以下、各実施形態においても同様）。
【００２８】
通信監視装置５２は、ネットワーク５１に流れる通信情報を監視する機能を備える。また、通信監視装置５２は、例えば、検知ルールに基づいて、ネットワーク５１に対する外部からの攻撃を検知する。通信監視装置５２は、新たに異常を検知したことをアラートとして重要度算出装置１に対して通知する。そして、通信監視装置５２は、アラートに関するアラート情報を記憶する機能を備える。
【００２９】
上記のアラートは、例えば、検知時刻と、異常を検知する際に用いられた検知ルールを識別可能な識別子と、異常の原因である通信情報の送信元のＩＰアドレスおよびポート番号と、当該通信情報の送信先ホストのＩＰアドレスおよびポート番号とを含む。検知時刻とは、通信監視装置５２が異常を検知した時刻を表す情報である。または、検知時刻は、通信監視装置５２が異常を検知した時刻を含む日時を表す情報でもよい。但し、以下の説明では、説明の便宜上、係る時刻を含む日時を表す情報であっても検知時刻と記すこととする。
【００３０】
また、アラート情報とは、アラートに含まれる情報とアラートを識別可能な識別子（アラート識別子）とに基づき生成された情報である。
【００３１】
より具体的に、一例として、アラート情報は、アラート毎に、少なくとも、次に示す情報を含むこととする。
【００３２】
・アラート識別子、
・検知時刻、
・検知ルールを識別可能な識別子、
・異常の原因である通信情報の送信元のＩＰアドレスおよびポート番号及び
・当該通信情報の送信先ホストのＩＰアドレスおよびポート番号。
即ち、アラート情報は、アラート識別子をキーとして、検知時刻と、検知ルールの識別子と、送信元のＩＰアドレスおよびポート番号と、送信先ホストのＩＰアドレスおよびポート番号とが関連付けられた情報である。
【００３３】
以下の説明では、説明の便宜上、通信監視装置５２としてＩＤＳを想定した構成を例に説明する。しかしながら本発明に係る実施形態は、係る構成に限定されない。通信監視装置５２は、ネットワーク５１内の異常やネットワーク５１に対する攻撃を検知し、検知した当該攻撃をアラートとして通知する。そして、通信監視装置５２は、アラートを、検知した攻撃を表す識別情報（ＩＤ）と紐付けた情報と共に証拠として記憶することが可能な通信監視機器に適用する構成を採用してもよい。
【００３４】
通信監視装置５２が検知ルールに基づきネットワーク５１の異常を検知する技術自体は、現在では一般的な技術を採用することができる。そのため、本実施形態における詳細な説明は省略する（以下、各実施形態においても同様）。
【００３５】
以下の説明において、より具体的に、本実施形態における重要度算出装置１が行う重要度の演算処理及び出現情報を記憶する処理について説明する。
【００３６】
（重要度の演算処理）
以下の説明では、重要度算出装置１が行う重要度の演算処理について図３を参照して説明する。
【００３７】
図３は、本発明の第１の実施形態における重要度算出装置１が行う重要度の演算処理を示すフローチャートである。係るフローチャートに沿って重要度算出装置１の動作手順を説明する。
【００３８】
本実施形態において、説明の便宜上、一例として、重要度算出部２は、上述したように第１のアラートが通知された際に、第１のアラートの原因となった通信情報（例えば、通信パケット）に基づいて、重要度を求めることとする。即ち、重要度算出部２は、通信情報を構成する情報（例えば、通信パケットのペイロード）に基づいて、図３に示すフローチャートに従い演算処理を行うこととする。
【００３９】
但し、説明の便宜上、重要度算出装置１は、上述した構成を例に説明するが、本実施形態を例に説明する本発明は、前述した構成には限定されない（以下の実施形態においても同様）。
【００４０】
重要度算出部２は、通信情報に含まれる全てのＮグラム（第１のＮグラム）に対して、その第１のＮグラムと同一のＮグラム（第２のＮグラム）が過去に出現したか否かを判別する。重要度算出部２は、その判別結果に基づいて、アラートに対する重要度を求める。即ち、重要度算出部２は、通信パケットのペイロードに含まれる全ての第１のＮグラムに対する当該重要度を求める。
【００４１】
本願において、Ｎグラムは、例えば、ペイロードに含まれる任意のｎ文字が連続する文字列である。
【００４２】
より具体的に、まず、重要度算出部２は、Ｎグラム数のカウンタＮＥＷを、値「０」により初期化する（ステップＳ１０１）。
【００４３】
重要度算出部２は、ペイロードに含まれる全ての第１のＮグラムに対して以下に示す処理を行う。即ち、重要度算出部２は、ペイロードに含まれる全ての第１のＮグラムに対してステップＳ１０３乃至Ｓ１０５に示す出現判別処理が完了したか否かを判別する（ステップＳ１０２）。
【００４４】
重要度算出部２は、全ての第１のＮグラムに対して処理が完了していないと判断した場合に、処理をステップＳ１０３に進める（ステップＳ１０２において「ＮＯ」）。重要度算出部２は、次に処理すべき対象である第１のＮグラムを取得する。即ち、重要度算出部２は、次に処理すべき対象であるＮグラム（ＮＧ）を取得する（ステップＳ１０３）。但し、上述した取得するとは、抽出する、または取り出すことをも示すこととする（以下の実施形態においても同様）。
【００４５】
重要度算出部２は、取得した第１のＮグラムと同一の第２のＮグラムが過去に出現したか否かを判別する（ステップＳ１０４）。より具体的に、例えば、重要度算出部２は、取得した第１のＮグラムに基づき後述する出現情報（例えば、図１０に示す出現情報１０２）を参照する。これによって、重要度算出部２は、第１のＮグラムと同一の第２のＮグラムが過去に出現したか否かを判別してもよい。即ち、重要度算出部２は、参照した結果、出現情報に第２のＮグラムが含まれる場合には、第２のＮグラムが過去に出現したことがあると判断してもよい。
【００４６】
重要度算出部２は、判別した結果、第１のＮグラムと同一の第２のＮグラムが過去に出現したことがあると判断した場合に、次の処理対象である第１のＮグラムに対する処理に移る。即ち、重要度算出部２は、処理をステップＳ１０２に戻す（ステップＳ１０４において「ＹＥＳ」）。
【００４７】
一方で、重要度算出部２は、判別した結果、第１のＮグラムと同一の第２のＮグラムが過去に出現したことがないと判断した場合には、処理をステップＳ１０５に進める（ステップＳ１０４において「ＮＯ」）。
【００４８】
重要度算出部２は、カウンタＮＥＷの値をインクリメントする。また、重要度算出部２は、次の処理対象である第１のＮグラムに対する処理に移る。即ち、重要度算出部２は、処理をステップＳ１０２に戻す（ステップＳ１０５）。
【００４９】
重要度算出部２は、ステップＳ１０２において、全ての第１のＮグラムに対して処理が完了したと判断した場合に、処理をステップＳ１０６に進める（ステップＳ１０２において「ＹＥＳ」）。
【００５０】
重要度算出部２は、重要度を求める。即ち、重要度算出部２は、重要度を算出する。重要度算出部２は、次に示す式（１）によって重要度Ｘ１を求める（ステップＳ１０６）。即ち、
Ｘ１＝（カウンタＮＥＷ）／（全てのＮグラム数）  ・・・・・（１）
ここで、「／」は、除算を表す（以下、各実施形態においても同様）。
【００５１】
重要度算出部２は、求めた重要度と、第１のアラートを識別可能なアラート識別子とを関連付けて重要度情報１０１に記憶する（ステップＳ１０７）。その場合に、重要度算出部２は、アラート情報の中からアラート識別子を求めることとする。そして、重要度算出部２は、重要度と、求めたアラート識別子とを関連付けた状態で重要度情報１０１として記憶する構成を採用してもよい。
【００５２】
このように、重要度算出部２は、異常の原因である通信パケットに含まれるペイロードに基づいて、重要度を求めることができる。また、求めた重要度は、例えば、不図示の提示装置（例えば、図５に示す提示装置２２）や電子メールに含めることによって、通信監視システム１０を利用するオペレータに対して提示される構成を採用してもよい。或いは、求めた重要度は、自装置が有するディスプレイなどのユーザインタフェースである提示手段（不図示）によって、少なくとも表示されてもよい。尚、説明の便宜上、上述した構成を例に説明するが、本実施形態を例に説明する本発明は、前述した構成には限定されない。即ち、求めた重要度は、オペレータがアラートを容易に分類することが可能な態様によって提示される構成を採用すればよい。
【００５３】
これによって、オペレータは、ペイロードの新奇性（即ち、物めずらしさ）によってアラートに対する危険度を判断することができる。
【００５４】
新奇性とは、例えば、第１のＮグラムと同一の第２のＮグラムが過去に出現していない態様を表す。
【００５５】
（出現情報を記憶する処理）
次に、以下の説明では、Ｎグラムの出現に関する出現情報を、重要度算出装置１が記憶する動作について図４を参照して説明する。即ち、重要度算出部２は、図４に示すフローチャートに従いペイロードに含まれる全てのＮグラムに対して、そのＮグラムの出現に関する出現情報を記憶する。
【００５６】
図４は、本発明の第１の実施形態における重要度算出装置１が行うＮグラムの出現に関する出現情報を記憶する動作を示すフローチャートである。係るフローチャートに沿って重要度算出装置１の動作手順を説明する。
【００５７】
重要度算出部２は、ペイロードに含まれる全ての第１のＮグラムに対して出現に関する出現情報を記憶する処理が完了したか否かを判別する（ステップＳ２０１）。
【００５８】
重要度算出部２は、全ての第１のＮグラムに対して処理が完了したと判断した場合に、処理を終了する（ステップＳ２０１において「ＹＥＳ」）。
【００５９】
その一方で、重要度算出部２は、全ての第１のＮグラムに対して処理が完了していないと判断した場合には、処理をステップＳ２０２に進める（ステップＳ２０１において「ＮＯ」）。重要度算出部２は、次に処理すべき処理対象である第１のＮグラムを取得する（ステップＳ２０２）。重要度算出部２は、取得した第１のＮグラムに対する出現情報を記憶する（ステップＳ２０３）。
【００６０】
ここで、記憶される出現情報として、重要度算出部２は、出現した第１のＮグラムを記憶することとする。また、重要度算出部２は、出現情報を、重要度算出装置１が有する記憶装置（不図示）に記憶する構成を採用してもよい。
【００６１】
上述した本実施形態では、説明の便宜上、一例として、重要度算出部２は、ステップＳ１０４及びステップＳ２０３において、検出ルールによって区別することなく処理を実行する構成を例に説明した。しかしながら本発明に係る実施形態は、係る構成に限定されない。重要度算出部２は、検出ルール毎に、ステップＳ１０４において、第１のＮグラムに同一のＮグラムが過去に出現したか否かを判別する構成を採用してもよい。または、重要度算出部２は、検出ルール毎に、ステップＳ２０３において、出現情報を記憶する構成を採用してもよい。その場合に、重要度算出部２は、アラート情報を参照し、そのアラート情報に含まれる検知ルールの識別子毎に、ステップＳ１０４及びステップＳ２０３に示す処理を実行することとする。これによって、重要度算出部２は、上述した処理を容易に実現することができる。
【００６２】
また、ネットワーク５１に採用されている通信プロトコルが明らかである場合には、重要度算出部２は、次に示す処理を実行する構成を採用してもよい。即ち、重要度算出部２は、通信プロトコルの種別毎に、ステップＳ１０４において、第１のＮグラムに同一の第２のＮグラムが過去に出現したか否かを判別してもよい。または、重要度算出部２は、通信プロトコルの種別毎に、ステップＳ２０３において、出現情報を記憶してもよい。その場合に、重要度算出部２は、アラート情報を参照し、そのアラート情報に含まれるポート番号に基づき通信プロトコルの種別を特定することとする。或いは、重要度算出部２は、検知ルールの識別子に関連付けられている検知ルールに基づき通信プロトコルの種別を特定してもよい。これらによって、重要度算出部２は、上述した処理を容易に実現することができる。
【００６３】
上述した本実施形態では、説明の便宜上、一例として、重要度算出部２は、ＩＰパケットに含まれるペイロードに基づいて、重要度を算出する構成を例に説明した。しかしながら本発明に係る実施形態は、係る構成に限定されない。重要度算出部２は、ＩＰパケットに含まれる任意のバイナリ列に基づいて、重要度を算出する構成を採用してもよい。或いは、通信監視装置としてＷｅｂアプリケーションファイアウォールなどを利用する場合には、重要度算出部２は、次に示す情報に基づいて、重要度を算出する構成を採用してもよい。即ち、重要度算出部２は、ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ  Ｔｒａｎｓｐｏｒｔ  Ｐｒｏｔｏｃｏｌ）要求メッセージまたはＨＴＴＰ応答メッセージの全体、ＨＴＴＰヘッダ部またはボディ部に基づいて、重要度を算出してもよい。但し、その場合には、ＨＴＴＰ要求メッセージやＨＴＴＰ応答メッセージが取得可能な環境であることが条件となる（以下、各実施形態においても同様）。
【００６４】
このように本実施の形態に係る重要度算出装置１によれば、ネットワークの異常を表すアラートを、より効率的に判断することが可能なようにオペレータに提示することができる。その理由は、以下に述べる通りである。
【００６５】
即ち、重要度算出装置１は、アラートの原因となった通信情報に含まれる情報に基づいて、アラートに対する重要度を求めることができる重要度算出部２を備えるからである。これにより、オペレータは、その重要度に基づいて、アラートの危険度を容易に判断することができる。従って、検知ルールやホストのＩＰアドレスなどの情報だけでは当該危険度を判断できない場合であっても、重要度算出装置１は、分類指標として重要度をオペレータに提示することができる。そのため、オペレータは、アラートの分類作業において、効率的に当該危険度を判断することができる。特に、重要度算出装置１は、新しく出現したＮグラムの割合を重要度として求めることができる。そのため、オペレータは、過去に出現していない特徴をもつアラートか否かの判断を容易にすることができる。
【００６６】
＜第２の実施形態＞
次に、上述した本発明の第１の実施形態に係る重要度算出装置１を基本とする第２の実施形態について説明する。以下の説明においては、本実施形態に係る特徴的な部分を中心に説明する。その際、上述した各実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明は省略する。
【００６７】
本発明の第２の実施形態における通信監視システム２０について、図５乃至図８を参照して説明する。
【００６８】
図５は、本発明の第２の実施形態における通信監視システム２０の構成を示すブロック図である。また、図６は、本発明の第２の実施形態における重要度算出装置２１の構成を示すブロック図である。
【００６９】
図５において、通信監視システム２０は、大別して、重要度算出装置２１、提示装置２２、監視対象ネットワーク５１及び通信監視装置５２を有する。また、図６において、重要度算出装置２１は、重要度算出部２３を備える。
【００７０】
本実施形態において説明する重要度算出部２３は、アラートに対する重要度を、例えば、ペイロードを基に形成したヒストグラムの新奇性に基づき求めるという構成において重要度算出部２と異なる。
【００７１】
以下の説明において、より具体的に、本実施形態における重要度算出装置２１の動作について説明する。
【００７２】
図７は、本発明の第２の実施形態における重要度算出装置２１が行う重要度の演算処理を示すフローチャートである。係るフローチャートに沿って重要度算出装置２１の動作手順を説明する。
【００７３】
説明の便宜上、一例として、重要度算出部２３は、第１のアラートの原因となった通信情報（例えば、通信パケット）に含まれる情報（例えば、通信パケットのペイロード）に基づいて、図７に示すフローチャートに従い演算処理を行うこととする。
【００７４】
但し、説明の便宜上、重要度算出装置２１は、上述した構成を例に説明するが、本実施形態を例に説明する本発明は、前述した構成には限定されない（以下の実施形態においても同様）。
【００７５】
重要度算出部２３は、通信情報を基に形成されたヒストグラムと、第２のアラートに関する過去の通信情報を基に形成されたヒストグラムの平均μ（平均値のベクトル）との乖離を示すマハラノビス距離に基づいて、アラートに対する重要度を求める。
【００７６】
より具体的に、まず、重要度算出部２３は、アラートに対するペイロードに基づいて、ヒストグラムＨを作成する。即ち、重要度算出部２３は、ペイロードに含まれる文字の出現回数を示すヒストグラムＨを作成する（ステップＳ３０１）。一例として、このヒストグラムＨは、２５６次元のベクトルとして表現することができる。
【００７７】
重要度算出部２３は、それまでに観測したヒストグラムの平均μと共分散行列Σとに基づいて、マハラノビス距離Ｄを求める（ステップＳ３０２）。重要度算出部２３は、平均μと共分散行列Σとを、作成したヒストグラムＨにより更新する（ステップＳ３０３）。重要度算出部２３は、ステップＳ３０２において求めたマハラノビス距離Ｄを、重要度として与える（ステップＳ３０４）。
【００７８】
共分散行列Σの逆行列が計算できない場合に、マハラノビス距離Ｄは、求めることができない。また、対角成分である分散が非常に小さい場合に、マハラノビス距離Ｄは、文字の出現回数の増減に対して極端に値が変化する可能性がある。そこで、第Ｋ成分の分散が予め設定した閾値θ（θは実数）より小さい場合には、閾値θには、共分散行列の対応する対角成分Σ（Ｋ，Ｋ）を設定することとする。但し、Ｋは自然数。さらに、第Ｋ成分との共分散に対応する成分は０とすることとする。これによって、重要度算出部２３は、上述した条件であってもマハラノビス距離Ｄを求めることができる。
【００７９】
提示装置２２は、求めた重要度およびアラートに関するアラート情報の一部または全部のうち、少なくとも何れかを提示する機能を備える。即ち、提示装置２２は、アラートに関する各種情報を、例えば、オペレータが識別可能な態様によって提示する。
【００８０】
図８は、本発明の第２の実施形態における提示装置２２によってアラートに関する情報が提示された態様を具体的に例示する図である。
【００８１】
より具体的に、提示装置２２は、図８に示すようにアラート毎に、少なくとも、アラート情報に含まれる一部の項目と、アラートに対する重要度とを提示する。即ち、例えば、提示装置２２は、アラート情報に含まれる一部の項目と、アラートに対する重要度とを、提示装置２２が構成するユーザインタフェースに表示する。
【００８２】
図８は、提示装置２２が提示する検知アラートリスト６１である。図８に表（テーブル）形式で示す検知アラートリスト６１において、１列目は、検知時刻を表す。２列目は、通信情報の送信元ホストのＩＰアドレスを表す。３列目は、通信情報の送信先ホストのＩＰアドレスを表す。４列目は、検知ルールを識別可能な識別子として検知ルールの名称（検知ルール名）を表す。５列目は、アラート情報に対する重要度を表す。
【００８３】
上述した本実施形態では、説明の便宜上、一例として、図８に示す検知アラートリスト６１には、アラート情報に含まれる一部の情報と、重要度とを提示する構成を例に説明した。しかしながら本発明に係る実施形態は、係る構成に限定されない。提示装置２２は、オペレータの要求に応じて、例えば、送信元ホストのポート番号など様々な情報を提示する構成を採用してもよい。
【００８４】
図８に示す検知アラートリスト６１では、重要度を数値によって提示する構成を例に説明した。しかしながら本発明に係る実施形態は、係る構成に限定されない。提示装置２２は、重要度の値に応じて、例えば、表示色を変更する、或いは棒グラフによって表示するなど視認性を高める表示態様によって、上述した情報を提示してもよい。これにより、オペレータは、重要度の値が大きいほど注目しやすくなり、アラートをより効率的に分類することができる。また、提示装置２２は、重要度の値に応じて、例えば、音や振動のパターンを変更することによって、重要度を提示してもよい。
【００８５】
提示装置２２は、第１の実施形態において説明した重要度算出部２によって求めた重要度と、重要度算出部２３によって求めた重要度とを提示する構成を採用してもよい。
【００８６】
これにより、例えば、攻撃パケットに対する重要度を低下させることを目的として、攻撃者がペイロードを巧妙に仕組んだ場合であっても、２つの重要度を同時に低下させることは困難である。そのため、２つの重要度を提示することによって、それら重要度は補完的な役割を果たす。その結果、通信監視システム２０は、重要度の高いアラートを見落とす可能性を低減することができる。
【００８７】
上述した本実施形態では、説明の便宜上、一例として、重要度算出装置２１と提示装置２２とは、それぞれ別体に構成された例を説明した。しかしながら本発明に係る実施形態は、係る構成に限定されない。重要度算出装置２１と提示装置２２とは、同一の装置において構成されてもよい。その場合に、例えば、重要度算出装置２１は、提示装置２２を含む構成を採用してもよい。
【００８８】
このように本実施の形態に係る重要度算出装置２１および提示装置２２によれば、第１の実施形態において説明した効果を享受できると共に、さらに、より精度の高いアラートに関する情報をオペレータに提示することができる。
【００８９】
即ち、重要度算出装置２１は、ペイロードに含まれる文字間の相関や出現回数のばらつきを考慮してアラートに対する重要度を求めることができる重要度算出部２３を備えるからである。また、提示装置２２は、求めた重要度を提示することができるからである。これにより、オペレータは、ペイロードの新奇性によってアラートに対する危険度を判断することができる。
【００９０】
＜第３の実施形態＞
次に、上述した本発明の第２の実施形態に係る重要度算出装置２１を基本とする第３の実施形態について説明する。以下の説明においては、本実施形態に係る特徴的な部分を中心に説明する。その際、上述した各実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明は省略する。
【００９１】
本発明の第３の実施形態における通信監視システム３０について、図９乃至図１４を参照して説明する。
【００９２】
図９は、本発明の第３の実施形態における通信監視システム３０の構成を示すブロック図である。また、図１０は、本発明の第３の実施形態における重要度算出装置３１の構成を示すブロック図である。
【００９３】
図９において、通信監視システム３０は、大別して、重要度算出装置３１、提示装置２２、監視対象ネットワーク５１及び通信監視装置５２を有する。また、図１０において、重要度算出装置３１は、重要度算出部３２及び取得部３３を備える。
【００９４】
本実施形態において説明する重要度算出部３２は、アラートに対する重要度を、ペイロードに出現するＮグラムにより判断するという構成については第１の実施形態において説明した重要度算出部２と同様である。しかしながら、重要度算出部３２は、Ｎグラムが過去に出現した時刻を考慮することによって、重要度を求めるという構成において重要度算出部２と異なる。加えて、本実施形態では、第１の実施形態において図示しなかった出現情報１０２について説明する。
【００９５】
まず、以下の説明では、出現情報１０２について説明する。出現情報１０２は、Ｎグラムの出現情報を保持する。出現情報１０２は、出現したＮグラムと、そのＮグラムの出現した時刻を表す出現時刻とを関連付けて保持する。即ち、出現情報１０２は、Ｎグラムと、そのＮグラムの出現した直近（現在）の出現時刻とを関連付けて保持する。
【００９６】
取得部３３は、検知時刻順に、通信監視装置５２から後述するアラート情報１０３とペイロード情報１０４とに保持されるアラート情報及びペイロード情報を取得する機能を備える。
【００９７】
以下の説明において、より具体的に、本実施形態における重要度算出装置３１の動作について説明する。
【００９８】
図１１は、本発明の第３の実施形態における重要度算出装置３１が行う重要度の演算処理を示すフローチャートである。係るフローチャートに沿って重要度算出装置３１の動作手順を説明する。
【００９９】
本実施形態において、説明の便宜上、一例として、重要度算出装置３１は、第１のアラートの原因となった通信情報（例えば、通信パケット）に含まれる情報（通信パケットのペイロード）に基づいて、図１１に示すフローチャートに従い演算処理を行うこととする。
【０１００】
但し、説明の便宜上、重要度算出装置３１は、上述した構成を例に説明するが、本実施形態を例に説明する本発明は、前述した構成には限定されない。
【０１０１】
以下の説明では、第１の実施形態において説明した処理と同様な構成については、同一の参照番号を付すことにより、重複する説明は省略する。
【０１０２】
より具体的に、重要度算出装置３１は、ステップＳ１０３において取得した第１のＮグラムに対する新奇性を求める。また、重要度算出装置３１は、求めた新奇性を、カウンタＮＥＷに加算する（ステップＳ１２５）。
【０１０３】
重要度算出装置３１は、ステップＳ１０６において、新奇性が加算されたカウンタＮＥＷと全てのＮグラム数とに基づいて、次式（２）によって重要度Ｘ２を求めることができる。即ち、
Ｘ２＝（カウンタＮＥＷ）／（全てのＮグラム数）  ・・・・・（２）
このように、重要度算出装置３１は、新奇性の平均値を重要度として求める。
【０１０４】
より具体的に、以下の説明では、重要度算出装置３１が新奇性を求める動作について説明する。
【０１０５】
重要度算出装置３１は、出現情報１０２の中から、ステップＳ１０３において取得した第１のＮグラムに関連付けられた出現時刻を取得する。即ち、重要度算出装置３１は、出現情報１０２の中から、現在の時刻から最も近接する（直近の）出現時刻を取得する。換言すると、重要度算出装置３１は、第１のＮグラムと同一の第２のＮグラムが過去に出現した出現時刻を取得する。
【０１０６】
重要度算出装置３１は、取得した出現時刻から異常が検知された検知時刻までの経過時間Δを求める。その場合に、重要度算出装置３１は、検知時刻を、後述するアラート情報１０３から取得することによって実現してもよい。
【０１０７】
重要度算出装置３１は、経過時間Δが大きいほど大きな値を取り、且つ上限を持つよう設定することにより新奇性を求める。より具体的に、例えば、新奇性の計算には、１より小さい定数Ｋに対して（１−ｐｏｗｅｒ（Ｋ，Δ））を用いることができる。但し、新奇性の計算方法はこれに限定されない。新奇性の計算には、上述の条件を満たす任意の経過時間Δの関数を用いることができる。ここで、「−」は、減算を表す。「ｐｏｗｅｒ（Ｋ，Δ）」は、ＫのΔ乗を表すこととする。
【０１０８】
但し、出現情報１０２の中に第１のＮグラムに関連付けられた出現時刻がない場合には、経過時間Δは、Δ＝∞とすることとする。
【０１０９】
このように、重要度算出装置３１は、第１のＮグラムと、第１のＮグラムと同一の第２のＮグラムが過去に出現した出現時刻から異常が検知された検知時刻までの経過時間とに基づき新奇性を求める。そして、重要度算出装置３１は、求めた新奇性と、全てのＮグラム数とに基づいて、重要度を求めることができる。即ち、重要度算出装置３１は、新奇性の平均値を重要度として求めることができる。
【０１１０】
重要度を求めた後に、重要度算出装置３１は、出現した第１のＮグラムと、その第１のＮグラムの出現した出現時刻とを関連付けて出現情報１０２として記憶する。尚、出現情報を記憶する処理についても第１の実施形態と同様である。そのため、詳細な説明は、省略する。
【０１１１】
次に、通信監視装置５２について、図１２を参照して説明する。図１２は、本発明の第３の実施形態における通信監視装置５２の構成を示すブロック図である。
【０１１２】
図１２において、通信監視装置５２は、検知部５３及び通知部５４を有する。また、アラート情報１０３およびペイロード情報１０４とは、例えば、不図示の記憶装置に記憶されていることとする。
【０１１３】
検知部５３は、ネットワーク５１に流れる通信パケットを監視する機能を備える。より具体的に、検知部５３は、検知ルールに基づいて、例えば、ネットワーク５１に対する外部からの攻撃など異常を検知する。そして、検知部５３は、その攻撃を検知するのに応じて、アラート情報１０３にアラート情報を記憶する。また、検知部５３は、通信パケットに含まれるペイロードを、ペイロード情報１０４に記憶する。
【０１１４】
本実施形態において、アラート情報１０３は、アラート毎に、アラート識別子をキーとして、検知時刻と、検知ルールの識別子と、送信元のＩＰアドレスおよびポート番号と、送信先ホストのＩＰアドレスおよびポート番号とが関連付けられた情報を含む。
【０１１５】
また、ペイロード情報１０４は、アラート毎に、アラート識別子とペイロードとが関連付けられた情報を含む。即ち、ペイロード情報１０４には、ペイロードとアラート情報１０３に保持されているアラート情報との対応関係と共に関連付けされた状態で記憶されている。
【０１１６】
通知部５４は、検知部５３が当該攻撃を検知した際に、その検知したことを示すアラートを重要度算出装置３１に対して通知する。
【０１１７】
以下の説明では、提示装置２２について、図１３を参照して説明する。図１３は、本発明の第３の実施形態における提示装置２２の構成を示すブロック図である。
【０１１８】
図１３において、提示装置２２は、アラート情報取得部３４、重要度取得部３５及び提示部３６を有する。
【０１１９】
提示装置２２は、アラート情報と共にアラートに対する重要度を、例えば、オペレータに提示する機能を有する。
【０１２０】
より具体的に、アラート情報取得部３４は、アラート情報１０３に保持されるアラート情報の中から検索条件と一致するアラート情報を取得する機能を備える。
【０１２１】
重要度取得部３５は、アラート情報取得部３４により取得されたアラート情報に含まれるアラート識別子と合致する重要度を、重要度情報１０１の中から取得する機能を備える。
【０１２２】
上述した本実施形態では、説明の便宜上、一例として、アラート情報取得部３４および重要度取得部３５は、情報を取得する構成を例に説明した。しかしながら本発明に係る実施形態は、係る構成に限定されない。アラート情報取得部３４および重要度取得部３５は、要求に応じて当該情報が与えられる構成を採用してもよい。
【０１２３】
提示部３６は、アラート情報取得部３４が取得したアラート情報と共に重要度取得部３５が取得した重要度とを提示する機能を備える。
【０１２４】
以下の説明では、より具体的に、本実施形態における通信監視システム３０の動作について説明する。
【０１２５】
図１４は、本発明の第３の実施形態における通信監視システム３０が行う動作を示すシーケンス図（フローチャート）である。係るフローチャートに沿って通信監視システム３０の動作手順を説明する。
【０１２６】
通信監視装置５２の検知部５３は、検知ルールに基づいて、ネットワーク５１における攻撃を検知する（ステップＳ４０１）。検知部５３は、攻撃を検知するのに応じて、アラート情報をアラート情報１０３に記憶する。また、検知部５３は、アラートの原因となった通信パケットに含まれるペイロードをペイロード情報１０４に記憶する（ステップＳ４０２）。
【０１２７】
通信監視装置５２の通知部５４は、検知部５３が当該攻撃を検知した際に、重要度算出装置３１に対して、新たに異常が検知されたことを通知する。即ち、通知部５４は、重要度算出装置３１に対して、アラートを通知する（ステップＳ４０３）。
【０１２８】
重要度算出装置３１は、通知部５４から通知されたアラートを受信する。重要度算出装置３１の取得部３３は、アラート情報１０３に含まれるアラート情報と、ペイロード情報１０４に含まれるペイロードとを取得する。
【０１２９】
その場合に、取得するアラート情報は、指定した時刻以降のアラート情報を全て取得されるよう構成してもよい。また、取得するアラート情報は、次に示す処理によって取得されるよう構成してもよい。即ち、通知部５４は、新たに通知するアラートのアラート識別子を、取得部３３に対して通知する。取得部３３は、アラート情報を取得するに際して、通知部５４から通知されたアラート識別子を指定することによってアラート情報を取得してもよい。或いは、図１４のステップＳ４０３において、通知部５４は、重要度算出装置３１に対してアラートを通知する際に、そのアラートにアラート情報とペイロードとを含めて通知してもよい。これにより、取得部３３は、通知されたアラートに含まれるアラート情報とペイロード情報とを取得してもよい。
【０１３０】
より具体的に、一例として、取得部３３は、アラートのアラート識別子を通信監視装置５２に対して通知する（ステップＳ４０４）。通信監視装置５２は、通知されたアラート識別子に基づき求めたアラート情報とペイロードとを応答に含め取得部３３に対して送信する（ステップＳ４０５）。取得部３３は、アラート情報とペイロードとを取得する。また、取得部３３は、取得したアラート情報とペイロードとを入力として、重要度算出部３２に対して与える（ステップＳ４０６）。
【０１３１】
重要度算出部３２は、アラート情報とペイロードとを入力として受け取ると、重要度を算出する。また、重要度算出部３２は、算出した重要度と当該アラート情報に含まれるアラート識別子とを関連付けて重要度情報１０１として記憶する（ステップＳ４０７）。
【０１３２】
提示装置２２は、オペレータの操作をトリガーとして処理を開始する。即ち、提示装置２２のアラート情報取得部３４は、アラート情報１０３の中からアラート情報を取得する。さらに、提示装置２２の重要度取得部３５は、取得したアラート情報に含まれるアラート識別子に基づいて、重要度情報１０１の中からアラート識別子に関連づけられた重要度を取得する。
【０１３３】
より具体的に、一例として、アラート情報取得部３４は、通知されたアラートのアラート識別子を通信監視装置５２に対して通知する（ステップＳ４０８）。通信監視装置５２は、通知されたアラート識別子に基づき求めたアラート情報を応答に含めアラート情報取得部３４に対して送信する（ステップＳ４０９）。アラート情報取得部３４は、アラート情報を取得する（ステップＳ４１０）。
【０１３４】
重要度取得部３５は、取得したアラート情報に含まれるアラート識別子を重要度算出装置３１に対して通知する（ステップＳ４１１）。重要度算出装置３１は、通知されたアラート識別子に基づき求めた重要度を応答に含め重要度取得部３５に対して送信する（ステップＳ４１２）。重要度取得部３５は、重要度を取得する（ステップＳ４１３）。提示部３６は、取得したアラート情報と重要度とをオペレータに対して提示する（ステップＳ４１４）。
【０１３５】
このように本実施の形態に係る重要度算出装置３１および提示装置２２によれば、各実施形態において説明した効果を享受できると共に、さらに、より精度の高いアラートに関する情報をオペレータに提示することができる。
【０１３６】
その理由は、重要度算出装置３１は、直近の出現時刻から異常が検知された検知時刻までの経過時間に基づき求めたＮグラムの新奇性を利用することによってアラートに対する重要度を求める重要度算出部３２を備えるからである。当該経過時間は、Ｎグラムにおける平均出現間隔の近似値である。即ち、重要度算出部３２が求めた重要度は、Ｎグラムの出現頻度に基づいて求められた重要度であるといえる。
【０１３７】
例えば、第１の実施形態において求めた重要度は、時間経過によって平均値が小さくなる可能性がある。その理由は、出現したＮグラムは、時間と共に単調に増加していくためである。それに対して、重要度算出装置３１は、当該経過時間を利用することによって、過去に出現したがその後出現していないＮグラムの影響による重要度の低下を抑制することができる。
【０１３８】
（ハードウェア構成例）
上述した実施形態において図面に示した各部は、ソフトウェアプログラムの機能単位（処理単位、ソフトウェアモジュール）と捉えることができる。これらの各ソフトウェアモジュールは、専用のハードウェアによって実現してもよい。但し、これらの図面に示した各部の区分けは、説明の便宜上の構成であり、実装に際しては、様々な構成が想定され得る。この場合のハードウェア環境の一例を、図１５を参照して説明する。但し、図１５中の矢印の向きは、一例を示すものであり、ブロック間の信号の向きを限定するものではない。
【０１３９】
図１５は、本発明の模範的な実施形態に係る重要度算出装置及び提示装置を実行可能な情報処理装置（コンピュータ）３００の構成を例示的に説明する図である。即ち、図１５は、サーバ等のコンピュータ（情報処理装置）の構成であって、上述した実施形態における各機能を実現可能なハードウェア環境を表す。このコンピュータは、重要度算出装置１（図２）、重要度算出装置２１（図５、図６）、提示装置２２（図５、図９、図１３）、或いは、重要度算出装置３１（図９、図１０）、の全体または一部の重要度算出装置及び提示装置を実現可能である。
【０１４０】
図１５に示した情報処理装置３００は、以下の構成がバス（通信線）３０６を介して接続された一般的なコンピュータである。
【０１４１】
・ＣＰＵ（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ）３０１、
・ＲＯＭ（Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）３０２、
・ＲＡＭ（Ｒａｎｄｏｍ＿Ａｃｃｅｓｓ＿Ｍｅｍｏｒｙ）３０３、
・ハードディスク３０４（記憶装置）、
・外部装置との通信インタフェース（図１５において通信「Ｉ／Ｆ」（Ｉｎｔｅｒｆａｃｅ）と示す）３０５、
・ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ＿Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）等の記録媒体３０７に格納されたデータを読み書き可能なリーダライタ３０８。
【０１４２】
そして、上述した実施形態を例に説明した本発明は、以下の手順によって達成される。即ち、図１５に示した情報処理装置３００に対して係る実施形態において参照したブロック構成図（図１、図２、図５、図６、図９、図１０、図１３）或いはフローチャート（図３、図４、図７、図１４）の機能を実現可能なコンピュータ・プログラムが供給される。その後、そのコンピュータ・プログラムは、当該ハードウェアのＣＰＵ３０１に読み出されて実行されることによって達成される。また、当該装置内に供給されたコンピュータ・プログラムは、読み書き可能な一時記憶メモリ（ＲＡＭ３０３）またはハードディスク３０４等の不揮発性の記憶デバイスに格納すれば良い。
【０１４３】
また、前記の場合において、当該ハードウェア内へのコンピュータ・プログラムの供給方法は、現在では一般的な手順を採用することができる。例えば、供給方法は、ＣＤ−ＲＯＭ等の各種記録媒体３０７を介して当該装置内にインストールする方法や、インターネット等の通信回線を介して外部よりダウンロードする方法等である。そして、このような場合において、本発明は、係るコンピュータ・プログラムを構成するコード、或いはそのコードが格納された記録媒体によって構成されると捉えることができる。
【０１４４】
以上、実施形態を参照して本発明を説明してきたが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
【０１４５】
この出願は、２０１４年１２月１０日に出願された日本出願特願２０１４−２４９５６６を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０１４６】
１    重要度算出装置
２    重要度算出部
１０    通信監視システム
２０    通信監視システム
２１    重要度算出装置
２２    提示装置
２３    重要度算出部
３０    通信監視システム
３１    重要度算出装置
３２    重要度算出部
３３    取得部
３４    アラート情報取得部
３５    重要度取得部
３６    提示部
５１    ネットワーク
５１    監視対象ネットワーク
５２    通信監視装置
５３    検知部
５４    通知部
６１    検知アラートリスト
１０１    重要度情報
１０２    出現情報
１０３    アラート情報
１０４    ペイロード情報
３００    情報処理装置
３０１    ＣＰＵ
３０２    ＲＯＭ
３０３    ＲＡＭ
３０４    ハードディスク
３０５    通信インタフェース
３０６    バス
３０７    記録媒体
３０８    リーダライタ
【図１】
2016092834.tif 000003
【図２】
2016092834.tif 000004
【図３】
2016092834.tif 000005
【図４】
2016092834.tif 000006
【図５】
2016092834.tif 000007
【図６】
2016092834.tif 000008
【図７】
2016092834.tif 000009
【図８】
2016092834.tif 000010
【図９】
2016092834.tif 000011
【図１０】
2016092834.tif 000012
【図１１】
2016092834.tif 000013
【図１２】
2016092834.tif 000014
【図１３】
2016092834.tif 000015
【図１４】
2016092834.tif 000016
【図１５】
2016092834.tif 000017
【国際調査報告】
2016092834.tif 000018
2016092834.tif 000019