(57)【要約】【課題】本発明は、未知の不正アクセスに対して、管理者による判断の手間を小さく抑えつつ効果的に不正アクセスの誤検出と不検出を削減できる不正アクセス検出装置、不正アクセス検出方法、および管理端末を提供することを課題とする。【解決手段】未知の不正アクセス判定部１２０は、閾値より僅かに異常と評価される、閾値外の予め定めた閾値近傍に属するアクセスデータについては誤検出の可能性があるものとして、当該アクセスデータを誤検出補正管理部１５２へ受け渡す。また閾値より僅かに正常と評価される、閾値内の予め定めた閾値近傍に属するアクセスデータについては不検出の可能性があるものとして、当該アクセスデータを不検出補正管理部１５３へ受け渡す。不検出補正管理部１５３は、上記各アクセスデータを閾値近傍アクセスデータ記憶部１６０に記憶し、当該アクセスデータを管理端末２００へ提示する。【選択図】    図１
2005085157.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介してアクセスデータを受信するネットワークインタフェースと、
前記ネットワーク上で扱うアクセスデータについて当該データ内容を解析し解析結果の評価値を算出するアクセスデータ解析手段と、
前記アクセスデータ解析手段で算出した評価値を統計分布データとして記憶する統計分布データ記憶手段と、
前記統計分布データ記憶手段に記憶された統計分布データから統計的に正常とみなす値域と統計的に異常とみなす値域を区分する閾値を算出する閾値算出手段と、
前記ネットワークインタフェースが受信したアクセスデータについて、前記アクセスデータ解析手段で算出した評価値と、前記閾値算出手段で算出した閾値とをもとに、前記ネットワークインタフェースが受信したアクセスデータが前記統計的に正常とみなす値域内の予め定めた閾値近傍に属するか否かを判定し、閾値近傍に属するとき当該アクセスデータを不検出の可能性のあるアクセスデータであるとして外部に通知する未知の不正アクセス判定手段と
を具備したことを特徴とする不正アクセス検出装置。
【請求項２】
前記未知の不正アクセス判定手段は、前記ネットワークインタフェースが受信したアクセスデータについて、前記アクセスデータ解析手段で算出した評価値と、前記閾値算出手段で算出した閾値とをもとに、前記ネットワークインタフェースが受信したアクセスデータが前記統計的に正常とみなす値域外の予め定めた閾値近傍に属するか否かを判定し、閾値近傍に属するとき当該アクセスデータを誤検出の可能性のあるアクセスデータであるとして外部に通知する手段をさらに具備する請求項１記載の不正アクセス検出装置。
【請求項３】
前記未知の不正アクセス判定手段から、前記不検出の可能性のあるアクセスデータの通知を受け、当該通知を受けたアクセスデータについて真に正常であるか否かを示す判定結果の通知を返す外部の管理手段をさらに具備する請求項１記載の不正アクセス検出装置。
【請求項４】
前記未知の不正アクセス判定手段から、前記誤検出の可能性のあるアクセスデータの通知を受け、当該通知を受けたアクセスデータについて真に不正アクセスであるか否かを示す判定結果の通知を返す外部の管理手段をさらに具備する請求項２記載の不正アクセス検出装置。
【請求項５】
前記外部の管理手段より返された通知をもとに前記未知の不正アクセス判定手段が用いる閾値を補正する手段を具備する請求項３または４記載の不正アクセス検出装置。
【請求項６】
インターネットに接続された機器に対するアクセスデータの内容を解析し解析結果の評価値を算出するアクセスデータ解析ステップと、
前記アクセスデータ解析ステップで算出した評価値を統計分布データとして記憶する統計分布データ記憶ステップと、
前記記憶された統計分布データから統計的に正常とみなす値域と統計的に異常とみなす値域を区分する閾値を算出する閾値算出ステップと、
前記インターネットに接続された機器に対するアクセスデータについて、前記アクセスデータ解析ステップが算出した評価値と、前記閾値算出ステップが算出した閾値とをもとに、当該アクセスデータが前記統計的に正常とみなす値域内の予め定めた閾値近傍に属するか否かを判定し、閾値近傍に属するとき当該アクセスデータを不検出の可能性のあるアクセスデータであるとして外部に通知する未知の不正アクセス判定ステップと
を具備したことを特徴とする不正アクセス検出方法。
【請求項７】
前記未知の不正アクセス判定ステップは、さらに、前記前記インターネットに接続された機器に対するアクセスデータについて、前記アクセスデータ解析ステップが算出した評価値と、前記閾値算出ステップが算出した閾値とをもとに、当該アクセスデータが前記統計的に正常とみなす値域外の予め定めた閾値近傍に属するか否かを判定し、閾値近傍に属するとき当該アクセスデータを誤検出の可能性のあるアクセスデータであるとして外部に通知する請求項６記載の不正アクセス検出方法。
【請求項８】
インターネットに接続された機器に対するアクセスデータの内容を解析して、統計的に異常とされる閾値を計算し、当該閾値を用いて前記機器へのアクセスが正常アクセスであるか不正アクセスであるかを判定する不正アクセス検出装置に用いられる管理端末であって、
前記不正アクセス検出装置より、前記値域の近傍に属する不検出の可能性のあるアクセスデータを受け付けて、当該アクセスデータの内容を提示する手段と、
前記提示されたアクセスデータが不正アクセスデータであると判定した際に、前記閾値の補正を指示する情報を前記不正アクセス検出装置に通知する手段と
を具備したことを特徴とする管理端末。
【請求項９】
前記不正アクセス検出装置より、前記値域の近傍に属する誤検出の可能性のあるアクセスデータを受け付けて、当該アクセスデータの内容を提示する手段と、
前記提示されたアクセスデータが正常なアクセスデータであると判定した際に、前記閾値の補正を指示する情報を前記不正アクセス検出装置に通知する手段と
をさらに具備した請求項８記載の管理端末。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットに於いて、ファイアウォールでは防ぐことができない攻撃からＷｅｂサーバ等を防御するための不正アクセス検出装置、不正アクセス検出方法、および管理端末に関する。
【背景技術】
【０００２】
インターネットに於いて、ファイアウォールで防ぐことができない攻撃は多様であるが、その中で、Ｗｅｂサーバ上のセキュリティホール、すなわちソフトウェアのバグや脆弱性を狙った攻撃は、特にその数が多い。ＨＴＴＰリクエストに特定の文字列が含まれているだけで、それを解釈実行したＷｅｂサーバ上のＣＧＩ（Common Gateway Interface）等のソフトウェアが、バッファオーバーフローや、予期せぬ動作を引き起こすといった不具合である。こうしたＷｅｂサーバ上のソフトウェアの脆弱性を狙った攻撃に対応するために、多くの侵入検知システムは、クライアントからＷｅｂサーバに送信されるＨＴＴＰリクエストをアプリケーション層で中継・解析し、あらかじめ既知の攻撃の特徴を格納したシグネチャ（攻撃パターンファイル）と比較し、マッチした場合にセッション中継を遮断することにより、Ｗｅｂサーバを防御している。
【０００３】
しかしながら、上記した従来技術においては、シグネチャに格納されていない未知の攻撃からはＷｅｂサーバを防御することができないという問題があった。
【０００４】
そこで、Ｗｅｂサーバなどインターネットに接続された機器に対するアクセスデータの中から不正アクセスを検出する技術分野に於いて、アクセスデータの内容に含まれる値の範囲や文字種別などを分析し、その平均値や分散を求め、統計的に異常とされる閾値を計算し、その閾値に基づいて、あるアクセスデータの内容が統計的に正常であるか異常であるかを判断することで、そのアクセスデータが不正アクセスに関わるものであるか否かを検出する技術を確立することにより、あらかじめ与えられた既知の異常パターンもしくは正常パターンからだけでは検出できない、未知の不正アクセスを検出できることが期待される。
【０００５】
しかしながら、上記した技術に於いては、単純に統計的に計算された閾値にのみに依存する場合、未知の不正アクセスが真に不正アクセスであるか否かの判断能力が必ずしも十分ではなく、特に、閾値の近傍に評価されるアクセスデータについては判断能力が弱くなる傾向があり、具体的には、誤検出（正常であるものを異常として検出すること）、または不検出（異常なものを検出しないこと）を引き起こす一因となる。
【０００６】
未知の不正アクセスの誤検出と不検出を削減するためには、管理者や専門家の知識による判断によって、正常であるか異常であるかの閾値を補正することが考えられるが、インターネットに接続された機器に対するアクセスは膨大かつ多様であり、管理端末へ出力される警報ログの量が多すぎると、管理者の手に負えず、放置されてしまうという問題が生じる。
【特許文献１】特開２００２−０６３０８４号公報
【非特許文献１】ＩＳＳＮ  ０９１９−６０７２  情報処理学会研究報告  情処研報  Ｖｏｌ．２００３，  Ｎｏ．７４  ２００３年７月１７日〜１８日発行  発行人  社団法人  情報処理学会  ｐ．９１〜９６  「ＨＴＴＰリクエスト解析による未知攻撃防御システム」  今野  徹、楯岡  正道
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上述したように、アクセスデータの内容に含まれる値の範囲や文字種別などを分析し、その平均値や分散を求めて、統計的に異常とされる閾値を計算し、その閾値に基づいて、あるアクセスデータの内容が統計的に正常であるか異常であるかを判断する技術により未知の不正アクセス検出装置を実現しようとした際、未知の不正アクセスに対する誤検出と不検出を如何に効果的に行うかが課題として残されていた。
【０００８】
本発明は、Ｗｅｂサーバをシグネチャでは対応できない未知の攻撃から高い検出率と低い誤検出率で防御する機能を有する不正アクセス検出装置、不正アクセス検出方法および管理端末を提供することを目的とする。
【０００９】
また本発明は、管理者の負担が極力少ないユーザインタフェースを提供することで、未知の攻撃に対する検出精度の向上を図った不正アクセス検出装置、不正アクセス検出方法および管理端末を提供することを目的とする。
【００１０】
更に本発明は、未知の不正アクセスに対して、管理者による判断の手間を小さく抑えつつ効果的に不正アクセスの誤検出と不検出を削減できる不正アクセス検出装置、不正アクセス検出方法、および管理端末を提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明は、未知の不正アクセスに対する誤検出と不検出を削減するために閾値を補正する際、管理者の管理端末に提示するアクセスデータを、統計的な正常値と異常値との閾値の近傍に評価されるものに絞り込むことを特徴とする。
【００１２】
さらに本発明に係る不正アクセス検出装置は、アクセスデータの内容を統計的に評価したとき、その評価値が正常値と異常値との閾値の近傍であった場合に、そのアクセスデータの内容を管理端末に提示する（図２参照）。
【００１３】
管理端末に於いて、管理者は、上記評価値が閾値よりも僅かに異常値である場合は、管理端末に提示されたアクセスデータの内容を見て、真に誤検出であるか否かを判断し、その旨を管理端末から不正アクセス検出装置へ通知する。また、上記評価値が閾値よりも僅かに正常値である場合は、管理者は、管理端末に提示されたアクセスデータの内容を見て、真に不検出であるか否かを判断し、その旨を管理端末から不正アクセス検出装置へ通知する。
【００１４】
不正アクセス検出装置は、管理端末からの入力を受信して、誤検出の判断または不検出の判断に応じ、誤検出の判断の場合には当該アクセスが誤検出されない範囲を計算して閾値を補正し、不検出の判断の場合には当該アクセスが不正アクセスとして検出される範囲を計算して閾値を補正する。
【発明の効果】
【００１５】
未知の不正アクセスに対して、管理者による判断の手間を小さく抑えつつ効果的に不正アクセスの誤検出と不検出を削減できる。
【発明を実施するための最良の形態】
【００１６】
以下図面を参照して本発明の実施形態を説明する。
【００１７】
本発明の実施形態に係る不正アクセス検出装置の未知攻撃防御機能には、基本フェーズとして、学習フェーズと、検出・防御フェーズとがある。また、実運用時のフェーズとして学習と、検出・防御とを併せて実行するマルチフェーズがある。これらの各フェーズ切替は、プログラム、管理者主導のいずれで行ってもよい。
【００１８】
学習フェーズでは、ネットワーク上でやりとりされる正常なアクセスデータ（ＨＴＴＰリクエスト）を入力して、そのＨＴＴＰリクエストの内容を解析し、解析結果を統計分布として記憶し、解析結果の評価値が、統計的に正常値であるか異常値であるかを分ける「閾値」を算出する（図２、図３参照）。この学習フェーズにおいて得られた評価値の統計分布は、未知攻撃の検出・防御フェーズにおいて参照される。この学習フェーズではセッションを通過させる。
【００１９】
検出・防御フェーズでは、対象となるネットワーク上のアクセスデータ（ＨＴＴＰリクエスト）を入力して、そのＨＴＴＰリクエストの内容を解析し、解析結果を既に学習フェーズに於いて学習済みの統計分布を基準として比較し、統計的に正常か異常かを判定することにより、未知の攻撃を検出する。検出の結果、未知の攻撃についてはセッションを遮断し、正常なアクセスはセッションを通過させる。また、未知の攻撃を検出した場合は、管理端末に未知攻撃の情報を提示し、真に攻撃であったか否か管理者の判断に応じて、未知攻撃の検出基準を補正可能にしている（図２、図４参照）。この検出・防御フェーズでは、入力されたＨＴＴＰリクエストの内容を解析し、ＨＴＴＰリクエストから抽出される文字列区分ｍについて、そのアクセス頻度を評価する。文字列区分ｍへのアクセス頻度が十分である場合は、文字列区分ｍに関する統計分布データを参照する。そして文字列区分ｍに関して、ＨＴＴＰリクエストの評価値と、学習フェーズで算出した閾値とを比較することにより、ＨＴＴＰリクエストが未知攻撃に係わるものであるか否かを判定する。評価値が閾値よりも異常側であった場合は、ＨＴＴＰリクエストを未知攻撃に係わるものと判定し、評価値が閾値よりも正常側であった場合は、ＨＴＴＰリクエストを正常なアクセスデータと判定する。尚、学習フェーズを繰り返し実行した後の実稼働時に於けるマルチフェーズでは、ＨＴＴＰリクエストが入力される度に、上記した検出・防御フェーズと学習フェーズとが実行される。
【００２０】
本発明の実施形態に係る不正アクセス検出装置は以上の基本的な機能構成を備えたシステムを対象としている。
【００２１】
本発明の実施形態に係る不正アクセス検出装置および管理端末の構成を図1に示す。
【００２２】
図１に於いて、不正アクセス検出装置１００は、ネットワークインタフェース１０１、アクセスデータ解析部１１０、未知の不正アクセス判定部１２０、統計分布データ記憶部１３０、閾値算出部１４１、閾値保持部１４２、閾値補正部１４３、デフォルト処理部１５１、誤検出補正管理部１５２、不検出補正管理部１５３、閾値近傍アクセスデータ記憶部１６０等を具備する。
【００２３】
ネットワークインタフェース１０１は、ネットワーク１０に接続され、ネットワーク１０の先に存在するクライアント−サーバ間でやりとりされるデータを送受信する機能をもつ。
【００２４】
アクセスデータ解析部１１０は、アクセスデータの内容を解析する機能をもつ。具体的には、ネットワークインタフェース１０１が受信したパケットデータから、クライアント−サーバ間のアクセスデータを組み立て、組み立てたアクセスデータに対して字句解析や構文解析を行い、アクセスデータに含まれる文字区分や数値情報などを抽出することにより、エラー! 参照元が見つかりません。に示すような統計的な評価値ｆ（ｘ）を算出する機能、および算出した評価値ｆ（ｘ）を統計分布データとして統計分布データ記憶部１３０に記憶する機能を備える。この統計分布データ記憶部１３０に記憶する統計分布データとして、詳しくは、攻撃防御の対象となるＷｅｂサーバに対してのＵＲＬ文字列に関する統計的な評価値についてはＵＲＬ文字列統計分布として記憶し、パラメータ文字列に関する統計的な評価値についてはパラメータ文字列統計分布として記憶する。更に、パラメータ文字列統計分布として、ＵＲＬ文字列のパス名に付されるパラメータ文字列について、パス名を含んだパラメータ文字列で構成される第１の文字列区分を解析した結果の統計分布と、Ｗｅｂサーバ上のプログラムに与えられる文字列全体で構成される第２の文字列区分を解析した結果の統計分布と、Ｗｅｂサーバ上のプログラムの変数で構成される第３の文字列区分を解析した結果の統計分布とをそれぞれ個別に記憶し管理する。
【００２５】
閾値算出部１４１は、前記統計分布データ記憶部１３０に記憶された統計分布データとしての統計的な評価値ｆ（ｘ）から、平均値や分散を求め、統計的に正常な値域ｙ１と統計的に異常な値域ｙ２とを分ける閾値（th）を算出する機能、および算出した閾値（th）を閾値保持部１４２に保持する機能を備える。
【００２６】
未知の不正アクセス判定部１２０は、アクセスデータ解析部１１０により算出された評価値と、閾値保持部１４２から参照される閾値とを比較することにより、ネットワークインタフェース１０１で受信したアクセスデータが未知の不正アクセスであるか否か判定する機能をもつ。
【００２７】
具体的には、図２に示すように、統計的に正常な値域ｙ１に属するものは正常なアクセスデータであると判定し、統計的に異常な値域ｙ２に属するものは不正アクセスに関わるものであると判定して、これらのアクセスデータについてはデフォルト処理部１５１に受け渡すが、特に、閾値（th）の近傍に属するものについては、誤検出もしくは不検出の可能性があるものとして取り扱う。誤検出とは、あるアクセスデータが、本来は正常なアクセスデータであるにも拘わらず、これを誤って異常であるものとして検出することをいい、false positiveとも言われる。不検出とは、あるアクセスデータが、本来は不正アクセスに関わるものであるにも拘わらず、これを検出しないことをいい、false negativeとも言われる。
【００２８】
未知の不正アクセス判定部１２０は、閾値（th）より僅かに異常と評価される、閾値外の予め定めた閾値近傍に属するアクセスデータについては誤検出の可能性があるものとして、当該アクセスデータを誤検出補正管理部１５２へ受け渡す。誤検出補正管理部１５２は、当該アクセスデータを閾値近傍アクセスデータ記憶部１６０に記憶し、当該アクセスデータを管理端末２００へ提示する。
【００２９】
また、未知の不正アクセス判定部１２０は、閾値（th）より僅かに正常と評価される、閾値内の予め定めた閾値近傍に属するアクセスデータについては不検出の可能性があるものとして、当該アクセスデータを不検出補正管理部１５３へ受け渡す。不検出補正管理部１５３は、当該アクセスデータを閾値近傍アクセスデータ記憶部１６０に記憶し、当該アクセスデータを管理端末２００へ提示する。
【００３０】
管理端末２００は、誤検出判定提示部２０１、誤検出判定受付処理部２０２、不検出判定提示部２０３、および不検出判定受付処理部２０４とを備える。
【００３１】
誤検出判定提示部２０１は、不正アクセス検出装置１００から受け取った、誤検出の可能性があるアクセスデータを管理者に提示する。管理者は、提示されたアクセスデータを表示部上で視認し、当該アクセスデータが真に誤検出であるか否かを判定して、その判定結果の情報を誤検出判定受付処理部２０２に入力する。
【００３２】
誤検出判定受付処理部２０２は、管理者から入力された判定結果の情報を不正アクセス検出装置１００の誤検出補正管理部１５２へ受け渡す。
【００３３】
この際、不正アクセス検出装置１００の誤検出補正管理部１５２は、この判定結果の情報を受けると、閾値近傍アクセスデータ記憶部１６０から該当するアクセスデータを取り出す。そして判定結果の情報内容として、誤検出の判定を受けた際は、該当するアクセスデータを閾値補正部１４３に渡し、また誤検出でない判定を受けた際は、該当するアクセスデータを閾値近傍アクセスデータ記憶部１６０から消去する。さらに不正アクセス検出装置１００の閾値補正部１４３は、誤検出補正管理部１５２から渡されたアクセスデータが異常な値域ｙ２に属さぬように閾値を補正し、その補正した閾値を閾値保持部１４２に保持する。
【００３４】
不検出判定提示部２０３は、不正アクセス検出装置１００から受け取った、不検出の可能性があるアクセスデータを管理者に提示する。管理者は、提示されたアクセスデータを表示部上で視認し、当該アクセスデータが真に不検出であるか否かを判定して、その判定結果の情報を不検出判定受付処理部２０４に入力する。
【００３５】
不検出判定受付処理部２０４は、管理者から入力された判定結果の情報を不正アクセス検出装置１００の不検出補正管理部１５３へ受け渡す。
【００３６】
この際、不正アクセス検出装置１００の不検出補正管理部１５３は、この判定結果の情報を受けると、閾値近傍アクセスデータ記憶部１６０から該当するアクセスデータを取り出す。そして判定結果の情報内容として、不検出の判定を受けた際は、該当するアクセスデータを閾値補正部１４３に渡し、また不検出でない判定を受けた際は、該当するアクセスデータを閾値近傍アクセスデータ記憶部１６０から消去する。さらに不正アクセス検出装置１００の閾値補正部１４３は、不検出補正管理部１５３から渡されたアクセスデータが正常な値域ｙ１に属さぬように閾値を補正し、その補正した閾値を閾値保持部１４２に保持する。
【００３７】
上記した誤検出の可能性がある値域（false positive）並びに不検出の可能性がある値域（false negative）を図２に示す評価値の統計分布を示す概念図に示している。
【００３８】
ここで上記した本発明の実施形態に於ける不正アクセス検出装置１００の動作を図３乃至図８に示すフローチャートを参照して説明する。
【００３９】
エラー! 参照元が見つかりません。は統計的な評価値ｆ（ｘ）を算出し、算出した評価値ｆ（ｘ）を統計分布データとして統計分布データ記憶部１３０に記憶する統計的学習処理、およびその統計分布データから閾値（th）を算出し保持する未知攻撃防御処理の手順を示すフローチャートである。
【００４０】
不正アクセス検出装置１００に於いて、ネットワークインタフェース１０１は、ネットワーク１０の先に存在するクライアント−サーバ間でやりとりされるパケットデータを受信し、当該受信したパケットデータをアクセスデータ解析部１１０に受け渡す（図３ステップＳ３０１）。
【００４１】
アクセスデータ解析部１１０は、ネットワークインタフェース１０１で受信したパケットデータからアクセスデータを取得し、当該アクセスデータの内容を解析する（図３ステップＳ３０２）。具体的には、ネットワークインタフェース１０１が受信したパケットデータから、クライアント−サーバ間のアクセスデータを組み立て、組み立てたアクセスデータに対して字句解析や構文解析を行い、アクセスデータに含まれる文字区分や数値情報などを抽出することにより、エラー! 参照元が見つかりません。に示すような統計的な評価値ｆ（ｘ）を算出する。さらに算出した統計的な評価値ｆ（ｘ）を統計分布データとして統計分布データ記憶部１３０に記憶する（図３ステップＳ３０３）。
【００４２】
学習を継続する場合（図３ステップＳ３０４  ＹＥＳ）は、繰り返しネットワークインタフェース１０１にてデータを受信する処理に戻り、上記した処理を繰り返し実行する。
【００４３】
学習を継続しない場合（図３ステップＳ３０４  ＮＯ）は、未知攻撃防御の処理のため、閾値算出部１４１が、統計分布データ記憶部１３０に記憶された統計分布データとしての統計的な評価値ｆ（ｘ）から、平均値や分散を求め、統計的に正常な値域ｙ１と統計的に異常な値域ｙ２とを分ける閾値（th）を算出する（図３ステップＳ３０５）。そして、算出した閾値（th）を閾値保持部１４２に保持する（図３ステップＳ３０６）。
【００４４】
尚、学習を継続するか継続しないかの動作手順の切り替えについては、図１、図２に示していないが、管理者が、学習を継続するか継続しないかを決定して、その旨を管理端末２００から不正アクセス検出装置１００に通知することにより、動作手順の切り替えを行うことができる。
【００４５】
エラー! 参照元が見つかりません。は上記不正アクセス検出装置１００に於ける、未知の不正アクセス判定処理、および判定結果に応じた誤検出、不検出の処理手順を示すフローチャートである。
【００４６】
不正アクセス検出装置１００に於いて、ネットワークインタフェース１０１は、ネットワーク１０の先に存在するクライアント−サーバ間でやりとりされるパケットデータを受信し、当該受信したパケットデータをアクセスデータ解析部１１０に受け渡す（図４ステップＳ４０１）。
【００４７】
アクセスデータ解析部１１０は、ネットワークインタフェース１０１で受信したパケットデータからアクセスデータを取得し、当該アクセスデータの内容を解析する（図４ステップＳ４０２）。具体的には、ネットワークインタフェース１０１が受信したパケットデータから、クライアント−サーバ間のアクセスデータを組み立て、組み立てたアクセスデータに対して字句解析や構文解析を行い、アクセスデータに含まれる文字区分や数値情報などを抽出することにより、図２に示すような統計的な評価値ｆ（ｘ）を算出する。
【００４８】
未知の不正アクセス判定部１２０は、アクセスデータ解析部１１０により算出された評価値と、閾値保持部１４２から参照される閾値とを比較することによりネットワークインタフェース１０１で受信したアクセスデータが未知の不正アクセスであるか否かを判定する（図４ステップＳ４０３）。
【００４９】
この判定に於いて、図２に示すように、統計的に明らかに正常な値域ｙ１に属するものは、正常なアクセスデータであると判定し、統計的に明らかに異常な値域ｙ２に属するものは不正アクセスに関わるものであると判定し、これらのアクセスデータについてはデフォルト処理部１５１に受け渡す（図４ステップＳ４１０）。
【００５０】
このデフォルト処理部１５１に於けるデフォルト処理の内容については、特に図示していないが、使用者の必要に応じてさまざまな処理を適用してよい。例えば、不正アクセス検出装置１００を傍受型として使用するならば、正常なアクセスデータについては特になにもせず、不正アクセスに関わるものについてはログを残したり警報を通知してもよい。また、不正アクセス検出装置１００をフィルタ型として使用するならば、正常なアクセスデータについてはネットワークインタフェース１０１から宛先のネットワークへ転送し、不正アクセスに関わるものについては遮断したり追跡を行ってもよい。
【００５１】
上記判定（図４ステップＳ４０３）に於いて、アクセスデータの評価値が、特に閾値（th）の近傍に属する場合には、誤検出もしくは不検出の可能性があるものとして取り扱う。
【００５２】
即ち、閾値（th）より僅かに異常と評価された、閾値外の予め定めた閾値近傍に属するアクセスデータについては、誤検出の可能性があるものとして、当該アクセスデータを誤検出補正管理部１５２へ受け渡す（図４ステップＳ４２１）。
【００５３】
誤検出補正管理部１５２は、当該アクセスデータを閾値近傍アクセスデータ記憶部１６０に記憶し（図４ステップＳ４２２）、当該アクセスデータを管理端末２００へ提示する（図４ステップＳ４２３）。
【００５４】
また、閾値（th）より僅かに正常と評価された、閾値内の予め定めた閾値近傍に属するアクセスデータについては、不検出の可能性があるものとして、当該アクセスデータを不検出補正管理部１５３へ受け渡す（図４ステップＳ４３１）。
【００５５】
不検出補正管理部１５３は、当該アクセスデータを閾値近傍アクセスデータ記憶部１６０に記憶し（図４ステップＳ４３２）、当該アクセスデータを管理端末２００へ提示する（図４ステップＳ４３３）。
【００５６】
図５は管理端末２００に於いて、管理者が真に誤検出か否かを判定する処理に関わる手順を示すフローチャートである。
【００５７】
管理端末２００は、不正アクセス検出装置１００の誤検出補正管理部１５２から誤検出の可能性があるアクセスデータを受け取る（図５ステップＳ５０１）。
【００５８】
管理端末２００の誤検出判定提示部２０１は、不正アクセス検出装置１００の誤検出補正管理部１５２から受け取った、誤検出の可能性があるアクセスデータを表示装置を介して管理者に提示する（図５ステップＳ５０２）。
【００５９】
管理者は、表示装置の表示画面上で提示されたアクセスデータを視認して、このアクセスデータが真に誤検出であるか否かを判定し、その判定結果の情報を誤検出判定受付処理部２０２に入力する。
【００６０】
管理者が真に誤検出であると判定を入力したとき、または、誤検出でないと判定を入力したときは、誤検出判定受付処理部２０２が、その判定結果の情報を不正アクセス検出装置１００の誤検出補正管理部１５２へ受け渡す（図５ステップＳ５０３〜Ｓ５０５）。
【００６１】
管理者が真に誤検出か否かを判定しなかったときは、引き続き、誤検出判定提示部２０１が当該アクセスデータを管理者に提示する処理に戻る（図５ステップＳ５０３〜Ｓ５０２）。
【００６２】
図６は管理端末２００に於いて、管理者が真に不検出か否かを判定する処理に関わる手順を示すフローチャートである。
【００６３】
管理端末２００は、不正アクセス検出装置１００の不検出補正管理部１５３から不検出の可能性があるアクセスデータを受け取る（図６ステップＳ６０１）。
【００６４】
管理端末２００の不検出判定提示部２０３は、不正アクセス検出装置１００の不検出補正管理部１５３から受け取った、不検出の可能性があるアクセスデータを表示装置を介して管理者に提示する（図６ステップＳ６０２）。
【００６５】
管理者は、表示装置の表示画面上で提示されたアクセスデータを視認して、このアクセスデータが真に不検出であるか否かを判定し、その判定結果の情報を不検出判定受付処理部２０４に入力する。
【００６６】
管理者が真に不検出であると判定を入力したとき、または、不検出でないと判定を入力したときは、不検出判定受付処理部２０４が、その判定結果の情報を不正アクセス検出装置１００の不検出補正管理部１５３へ受け渡す（図６ステップＳ６０３〜Ｓ６０５）。
【００６７】
管理者が真に不検出か否かを判定しなかったときは、引き続き、不検出判定提示部２０３が当該アクセスデータを管理者に提示する処理に戻る（図６ステップＳ６０３〜Ｓ６０２）。
【００６８】
図７は上記不正アクセス検出装置１００に於いて、管理端末２００から誤検出に関する判定を受けて閾値を補正する際の手順を示すフローチャートである。
【００６９】
不正アクセス検出装置１００の誤検出補正管理部１５２は、管理端末２００の誤検出判定受付処理部２０２から誤検出についての判定を受け取る（図７ステップＳ７０１）。
【００７０】
不正アクセス検出装置１００の誤検出補正管理部１５２は、この判定を受けると、閾値近傍アクセスデータ記憶部１６０から、該当するアクセスデータを取り出す（図７ステップＳ７０２）。
【００７１】
管理者からの判定が、真に誤検出であるとの判定であった場合は、該当するアクセスデータを閾値補正部１４３に渡す（図７ステップＳ７０３，Ｓ７０４）。
【００７２】
閾値補正部１４３は、誤検出補正管理部１５２から渡されたアクセスデータが異常な値域ｙ２に属さぬように、閾値（th）を補正し（図７ステップＳ７０５）、補正した閾値（th）を閾値保持部１４２に保持する（図７ステップＳ７０６）。
【００７３】
管理者からの判定が、誤検出でないとの判定であった場合は、該当するアクセスデータを閾値近傍アクセスデータ記憶部１６０から消去する（図７ステップＳ７０７）。
【００７４】
図８は上記不正アクセス検出装置１００に於いて、管理端末２００から不検出に関する判定を受けて閾値を補正する際の手順を示すフローチャートである。
【００７５】
不正アクセス検出装置１００の不検出補正管理部１５３は、管理端末２００の不検出判定受付処理部２０４から不検出についての判定を受け取る（図８ステップＳ８０１）。
【００７６】
不正アクセス検出装置１００の不検出補正管理部１５３は、この判定を受けると、閾値近傍アクセスデータ記憶部１６０から、該当するアクセスデータを取り出す（図８ステップＳ８０２）。
【００７７】
管理者からの判定が、真に不検出であるとの判定であった場合は、該当するアクセスデータを閾値補正部１４３に渡す（図８ステップＳ８０３，Ｓ８０４）。
【００７８】
閾値補正部１４３は、不検出補正管理部１５３から渡されたアクセスデータが異常な値域ｙ２に属さぬように、閾値（th）を補正し（図８ステップＳ８０５）、補正した閾値を閾値保持部１４２に保持する（図８ステップＳ８０６）。
【００７９】
管理者からの判定が、不検出でないとの判定であった場合は、該当するアクセスデータを閾値近傍アクセスデータ記憶部１６０から消去する（図８ステップＳ８０７）。
【００８０】
上記管理端末２００に於いて、誤検出判定提示部２０１により表示される画面の一構成例を図９に示している。ここでは、一般的なInternet Explorer などのブラウザ画面として実現され、不正アクセス検出装置１００とブラウザ経由でやりとりする場合の例を示している。図に示す「未知攻撃のインシデント画面」は当該画面のタイトルであり、不正アクセス検出装置１００が、ネットワークインタフェース越しに監視しているサーバに対して異常なアクセスデータが送りつけられたことを検知したとき、その状態を、管理者に提示している。このとき、上記アクセスデータは、不正アクセス検出装置１００により遮断され、サーバには送出されない。
【００８１】
管理者は、この画面を見て、このアクセスデータが真に不正アクセスに関わるものであるか否かを判断する。この画面上では、不正アクセス検出装置１００によって統計的に閾値よりも僅かに異常と評価されたアクセスデータの一例であって、アクセスデータの内容全体を示している。その中で特に、統計的に異常と判定された部分については、管理者が見易いように、例えば赤色などで色分け表示してある。この例では、アクセスデータの内容に於いて、変数の値に含まれるメタキャラクタの数（ＭＥＴＡ）が、統計的分布から異常値とみなされたものを検知した状態を示している。その根拠として、まず、この例でのサーバは、「ｓｔａｔｓ．ｗｗｗ．………」というＷｅｂサーバであって、このサーバに対するアクセスデータの内容を解析した統計分布データが、画面内の表として示してある。画面内の表は、不正アクセス検出装置１００の統計分布データ記憶部１３０から、当該サーバに関する統計分布データを抜き出したものに相当する。
【００８２】
この表には、アクセスデータから抽出された変数名、アクセスデータにおいて、その変数名が出現した頻度、そして、その変数の値の長さ（ＬＥＮＧＴＨ）、含まれるメタキャラクタの数（ＭＥＴＡ）、含まれるバイナリのバイト数（ＢＩＮＡＲＹ）、含まれるスラッシュ文字とドット文字の数（ＳＬＡＨＳＨＤＯＴ）のそれぞれに関して、統計を取得することにより算出された平均（ｍｅａｎ）、標準偏差（ｓｉｇｍａ）、そして、統計的な異常値を判断するために標準偏差に掛ける係数（ｆａｃｔｏｒ）の値が示されている。
【００８３】
そして、今回のアクセスデータの内容を解析した結果、アクセスデータ内の変数に含まれるメタキャラクタの数が、平均で（ｍｅａｎ）では０個であって、標準偏差（ｓｉｇｍａ）は０，５３であるのに、今回のアクセスデータの場合は、４個であった。よって、統計的な異常値を判断するために標準偏差に掛ける係数（ｆａｃｔｏｒ）４と、標準偏差とを掛けた値、すなわち２，１２、よりも僅かに大きい値であるので、提示したアクセスデータが不正アクセスに関わるものであるという判定が、誤検出であるか否かの判定を管理者に問い合わせている。
【００８４】
この際、管理者が、誤検出でないと判定したならば、「Ｔｈｉｓ  ｉｓ  Ａｔｔａｃｋ」ボタンを押下する。これにより、誤検出でないとの判定を受けた不正アクセス検出装置１００は、当該アクセスデータを未知攻撃として、このままサーバの防御を続ける。
【００８５】
また管理者が、誤検出であると判定したならば、「ｆａｌｓｅ  ｐｏｓｉｔｉｖｅ」ボタンを押下する。これにより、誤検出であるとの判定を受けた不正アクセス検出装置１００は、次回から誤検知されないように、変数の値に含まれるメタキャラクタの数のｆａｃｔｏｒの値を自動調整する。すなわち、統計学習した平均や分散は故意に変更せずに、閾値を決定する係数（ｆａｃｔｏｒ）を逆算し、９と算出することにより、次回からは（９×０，５３＝４．７７）、メタキャラクタの数が４個では統計的に異常とは検出されないように補正される。尚、ここでは、一例として評価値ｆ（ｘ）を整数で扱っているが、これに限るものではない。
【図面の簡単な説明】
【００８６】
【図１】本発明の実施形態に係る不正アクセス検出装置および管理端末の構成を示すブロック図。
【図２】本発明の実施形態に係る未知の不正アクセス検知に用いる評価値の統計分布を示す概念図。
【図３】本発明の実施形態に係る不正アクセス検出装置の処理手順を示すフローチャート。
【図４】本発明の実施形態に係る不正アクセス検出装置の処理手順を示すフローチャート。
【図５】本発明の実施形態に係る不正アクセス検出装置の処理手順を示すフローチャート。
【図６】本発明の実施形態に係る不正アクセス検出装置の処理手順を示すフローチャート。
【図７】本発明の実施形態に係る不正アクセス検出装置の処理手順を示すフローチャート。
【図８】本発明の実施形態に係る不正アクセス検出装置の処理手順を示すフローチャート。
【図９】本発明の実施形態に係る管理端末の誤検出判定提示部により表示される画面の一構成例を示す図。
【符号の説明】
【００８７】
１０…ネットワーク、１００…不正アクセス検出装置、１０１…ネットワークインタフェース、１１０…アクセスデータ解析部、１２０…未知の不正アクセス判定部、１３０…統計分布データ記憶部、１４１…閾値算出部、１４２…閾値保持部、１４３…閾値補正部、１５１…デフォルト処理部、１５２…誤検出補正管理部、１５３…不検出補正管理部、１６０…閾値近傍アクセスデータ記憶部、２００…管理端末、２０１…誤検出判定提示部、２０２…誤検出判定受付処理部、２０３…不検出判定提示部、２０４…不検出判定受付処理部。
【図１】
2005085157.tif 000003
【図２】
2005085157.tif 000004
【図３】
2005085157.tif 000005
【図４】
2005085157.tif 000006
【図５】
2005085157.tif 000007
【図６】
2005085157.tif 000008
【図７】
2005085157.tif 000009
【図８】
2005085157.tif 000010
【図９】
2005085157.tif 000011