(57)【要約】【課題】  収集したデータにネットワーク攻撃されたときのノイズが入り込むことを考慮し、閾値の計算時にノイズを除去して正確な閾値を計算する。【解決手段】  本発明のノードは、フロー毎のトラヒック量を定期的に記録してトラヒックログとして一定期間記録し、その期間中にネットワーク攻撃が発生することを考慮して攻撃発生の可能性のある部位を削除した上で、トラヒック量の統計値を計算して閾値を算出する。また、度数分布表を用いて統計値を計算すること、および、トラヒックログを一定区間に区切ってその間の平均値のみを記録して計算量を削減しても良い。更に、閾値の計算式を数種類用意し、管理者が選択可能とすることで、管理ポリシーによる決定される「感度」に応じた閾値の設定が可能になる。【選択図】      図８
2005323183.tif 000002
【特許請求の範囲】
【請求項１】
オープンネットワーク環境において、パケットを大量に送りつづけることで特定のサーバもしくはネットワークを利用不能にする攻撃を検知するネットワーク攻撃検知装置であって、
同一属性を持つパケット群毎の入力トラフィック量を定期的に計測し、トラヒックログとして蓄積するログ蓄積部と、
前記蓄積されたトラヒックログを参照し、当該トラヒックログに含まれる前記攻撃部分を除去するログ処理部と、
前記ログ処理部で除去された攻撃部分を除くトラヒックログの正常状態におけるトラヒック特性を示す統計値を計算し、前記計算された統計値を用いて前記攻撃検知のための閾値を算出する統計処理部と、
を具備することを特徴とするネットワーク攻撃検知装置。
【請求項２】
前記ログ蓄積部は、
前記トラヒックログを一定区間毎に区切り、その間の平均値のみを記録することを特徴とする請求項１に記載のネットワーク攻撃検知装置。
【請求項３】
前記ログ処理部は、
前記度数分布表における全エントリの度数の総数を計算し、入力トラヒック量の大きな上位エントリから順に度数を調べ、前記総度数に一定の割合度数分のデータを除去することを特徴とする請求項１または２に記載のネットワーク攻撃検知装置。
【請求項４】
一定期間毎に前記トラヒックログを参照し、当該参照時から遡って一定期間分のトラヒックログから度数分布表を作成する度数分布表作成部と、
を具備することを特徴とする請求項１〜３のいずれか１項に記載のネットワーク攻撃検知装置。
【請求項５】
前記統計処理部は、
あらかじめ利用者により登録される感度情報に基づき前記攻撃検知のための閾値を設定することを特徴とする請求項１に記載のネットワーク攻撃検知装置。
【請求項６】
オープンネットワーク環境において、パケットを大量に送りつづけることで特定のサーバもしくはネットワークを利用不能にする攻撃を検知するネットワーク攻撃検知方法であって、
同一属性を持つパケット群毎の入力トラフィック量を定期的に計測し、トラヒックログとして蓄積するステップと、
前記蓄積されたトラヒックログを参照し、当該トラヒックログに含まれる前記攻撃部分を除去するステップと、
前記除去された攻撃部分を除くトラヒックログの正常状態におけるトラヒック特性を示す統計値を計算し、前記計算された統計値を用いて前記攻撃検知のための閾値を算出するステップと、
を有することを特徴とするネットワーク攻撃検知方法。
【請求項７】
オープンネットワーク環境において、パケットを大量に送りつづけることで特定のサーバもしくはネットワークを利用不能にする攻撃を検知するネットワーク攻撃検知装置に用いられるプログラムであって、
同一属性を持つパケット群毎の入力トラフィック量を定期的に計測し、トラヒックログとして蓄積する処理と、
前記蓄積されたトラヒックログを参照し、当該トラヒックログに含まれる前記攻撃部分を除去する処理と、
前記除去された攻撃部分を除くトラヒックログの正常状態におけるトラヒック特性を示す統計値を計算し、前記計算された統計値を用いて前記攻撃検知のための閾値を算出する処理と、
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット等のオープンネットワーク環境において、パケットを大量に送りつづけることで特定のサーバもしくはネットワークを利用不能にする攻撃を検知するネットワーク攻撃検知装置および方法ならびにプログラムに関する。
【背景技術】
【０００２】
インターネットなどの広域ネットワークはオープンな環境であり、誰もが自由に接続することが可能である。このため、攻撃者がこのような環境を利用してパケットを大量に送りつけることで、特定のサーバまたはネットワークを使用不能にする攻撃を容易に引き起こすことができる。
ネットワーク攻撃は、特定のサーバにパケットを送りつけることでそのサーバを使用不能にする「宛先固定型ネットワーク攻撃」と、不特定の宛先を持ったパケットを大量に送りつけることでネットワークを使用不能にする「宛先不定型ネットワーク攻撃」とに分けられる。
【０００３】
宛先固定型ネットワーク攻撃の例として、ＤｏＳ攻撃、ＤＤｏＳ攻撃が知られている。また、宛先不定型ネットワーク攻撃の例としては、ワームによる自己増殖によりネットワーク帯域を浪費する攻撃などが知られている。
ネットワーク攻撃を検知するための方法として従来から技術論文等により多数の提案がなされている。
例えば、サーバなどの防御対象の近くに位置するノードが、インタフェース毎のキューを監視し、多量のキュー溢れが発生した場合にこれを攻撃として検知する方法化知られている。検知後、キューに入力されるパケットの宛先アドレスを解析して攻撃パケットの宛先ネットワークアドレスを抽出し、これを攻撃パケット情報とするものである（例えば、非特許文献１参照）。
【０００４】
また、防御対象の近くに位置するノードが、フロー毎のパケット量が異常に多い状態が継続した際にこれを攻撃として検知する方法も知られている。異常性の判定は、予め管理者によって指定されたフロー毎のトラヒック量の閾値を用いる方法が開示されている（例えば、非特許文献２参照）。
更に、ノードが宛先ネットワークアドレス別のトラヒック量を観測し、それらの中に異常が発生した場合にこれを攻撃として検知する方法も知られている。この際、異常が発生した宛先ネットワークアドレス情報を攻撃パケット情報とするものである（例えば、非特許文献３参照）。
【非特許文献１】AT&T論文(ACC(Aggregate-basedCongestionControl)(R.Mahajan、S.Bellovin、 S.Floyd、J.Ioannidis、 V.Paxson and S.Shenker:“Controlling High Bandwidth Aggrates in the Network"、SIGCOMMComputer Communication Review、 Vo1.32、 No.3、 p.62-73、 Jul. 2002.))[ACC]、
【非特許文献２】DaiKashima et.vol、“Active Countermeasure Platform agaist DDos Attacks”IEICE Transactions an information and Systems Vol.E85-D、No.12、Dec 2002［3queuel］
【非特許文献３】GMD FOKUS(ドイツ国立情報研究所オープン通信システム研究機関)論文(Stamatis Karnouskos:“Dealing with Denial-of-Service Attacks in Agent-enabled Active and Programmable Infrastructures"、Proc of 25th IEEE International Computer Software and Applications Conference (COMPSAC 2001)、 Oct.2001)[GMD]
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ところで、上記した非特許文献２に開示された技術によれば、予めフロー情報と異常条件を入力しておく必要がある。例えば、サーバＳを防御対象とする場合には、フロー1:{宛先アドレス＝S、プロトコル＝TCP}、異常条件1:{100Mbps以上のパケットが３０秒以上連続して転送される}などの情報を設定する。
これらの情報は管理者が一定期間ネットワークを監視して導き出すな等の手間が必要であり、人手が介在するため時間を要するだけでなく、不適正な設定を行う可能性が高くなる。
【０００６】
また、非特許文献１に開示された技術によれば、キュー溢れにより攻撃を検知するため閾値などを人手で設定する必要はない。しかしながら、キュー溢れが発生しない弱いネットワーク攻撃は検知できず、検知できるネットワーク攻撃の強さが限定される点が問題となる。
更に、非特許文献３に開示された技術によれば、統計データを用いて検知を行うために閾値などを人手で設定する必要はない。また、全てのネットワーク攻撃を検知可能であるため、検知できるネットワーク攻撃の強さが限定されることもない。しかしながら、統計データにネットワーク攻撃によるデータが含まれると閾値の計算が適切に行われない可能性が高くなる。
【０００７】
上記した非特許文献に開示された技術を含む従来技術によれば、定常状態のトラヒック量測定時にネットワーク攻撃が発生すると、いずれも閾値の計算が正常に行えないという問題が解決されていない。
また、いずれにおいても算出される閾値は１個のみである。しかしながら、トラヒック量に関しては、正常状態とネットワーク攻撃発生状態とを正確に分ける閾値は存在せず、閾値を高く設定する場合に発生する検知漏れと、閾値を低く設定する場合に発生する誤検知とのトレードオフが存在する。どちらを優先するかは管理ポリシーにより異なるため、管理ポリシーに応じた閾値の設定が必要となる。
【０００８】
本発明は上記事情に鑑みてなされたものであり、収集したデータにネットワーク攻撃されたときのノイズが入り込むことを考慮し、閾値の計算時にノイズを除去して正確な閾値を計算することで、ネットワーク攻撃の強さに制限されずに検知可能な、ネットワーク攻撃検知装置および方法ならびにプログラムを提供することを目的とする。
また、本発明による計算量の増加を、度数分布表を用いて統計値を計算すること、あるいはトラヒックログを一定区間に区切ってその間の平均値のみを記録しすることで計算量の削減をはかった、ネットワーク攻撃検知装置および方法ならびにプログラムを提供することを目的とすることも目的とする。
【課題を解決するための手段】
【０００９】
上記した課題を解決するために本発明は、オープンネットワーク環境において、パケットを大量に送りつづけることで特定のサーバもしくはネットワークを利用不能にする攻撃を検知するネットワーク攻撃検知装置であって、同一属性を持つパケット群毎の入力トラフィック量を定期的に計測し、トラヒックログとして蓄積するログ蓄積部と、前記蓄積されたトラヒックログを参照し、当該トラヒックログに含まれる前記攻撃部分を除去するログ処理部と、前記ログ処理部で除去された攻撃部分を除くトラヒックログの正常状態におけるトラヒック特性を示す統計値を計算し、前記計算された統計値を用いて前記攻撃検知のための閾値を算出する統計処理部と、を具備することを特徴とする。
【００１０】
また、本発明において、前記ログ蓄積部は、前記トラヒックログを一定区間毎に区切り、その間の平均値のみを記録することを特徴とする。
【００１１】
また、本発明において、前記ログ処理部は、前記度数分布表における全エントリの度数の総数を計算し、入力トラヒック量の大きな上位エントリから順に度数を調べ、前記総度数に一定の割合度数分のデータを除去することを特徴とする。
【００１２】
また、本発明において、一定期間毎に前記トラヒックログを参照し、当該参照時から遡って一定期間分のトラヒックログから度数分布表を作成する度数分布表作成部と、を具備することを特徴とする。
【００１３】
また、本発明において、前記統計処理部は、あらかじめ利用者により登録される感度情報に基づき前記攻撃検知のための閾値を設定することを特徴とする。
【００１４】
また、本発明は、オープンネットワーク環境において、パケットを大量に送りつづけることで特定のサーバもしくはネットワークを利用不能にする攻撃を検知するネットワーク攻撃検知方法であって、同一属性を持つパケット群毎の入力トラフィック量を定期的に計測し、トラヒックログとして蓄積するステップと、前記蓄積されたトラヒックログを参照し、当該トラヒックログに含まれる前記攻撃部分を除去するステップと、前記除去された攻撃部分を除くトラヒックログの正常状態におけるトラヒック特性を示す統計値を計算し、前記計算された統計値を用いて前記攻撃検知のための閾値を算出するステップと、を有することを特徴とする。
【００１５】
また、本発明は、オープンネットワーク環境において、パケットを大量に送りつづけることで特定のサーバもしくはネットワークを利用不能にする攻撃を検知するネットワーク攻撃検知装置に用いられるプログラムであって、同一属性を持つパケット群毎の入力トラフィック量を定期的に計測し、トラヒックログとして蓄積する処理と、前記蓄積されたトラヒックログを参照し、当該トラヒックログに含まれる前記攻撃部分を除去する処理と、前記除去された攻撃部分を除くトラヒックログの正常状態におけるトラヒック特性を示す統計値を計算し、前記計算された統計値を用いて前記攻撃検知のための閾値を算出する処理と、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１６】
本発明によれば、フロー毎のトラヒック量を定期的に記録してトラヒックログとして一定期間記録し、その期間中にネットワーク攻撃が発生することを考慮して攻撃発生の可能性のある部位を削除した上で、トラヒック量の統計値を計算して閾値を算出することにより、ネットワーク攻撃によるノイズを除去し、より正確な閾値算出を可能にすることができる。
また、トラヒックログ中の攻撃部位を削除するためには、一定期間のトラヒックログを全て記録した上で処理を行う必要があることから計算量が増えるが、度数分布表を用いて統計値を計算すること、および、トラヒックログを一定区間に区切ってその間の平均値のみを記録した「平滑化トラヒックログ」を作成することで計算量を削減することができる。更に、閾値の計算式を数種類用意し、管理者が選択可能とすることで、管理ポリシーによる決定される「感度」に応じた閾値の設定が可能になる。
【発明を実施するための最良の形態】
【００１７】
以下、図面に従って本発明実施形態について詳細に説明する。図１は、本発明の実施形態に係わるネットワーク構成を説明するために引用した図である。
図１において、符号２０〜２２、３０は、ＰＣなどの端末であり、これら端末を収容しているＷＡＮ(Wide Area Network)１０経由で接続される。なお、ＷＡＮ１０は複数のノード１１〜１４を有している。
【００１８】
ネットワーク攻撃は、端末がウィルスやワームに感染する、または、攻撃者によって制御を乗っ取られた場合に発生する。例えば、端末２０〜２２が攻撃者によって制御を乗っ取られ、端末３０に向かって大量の攻撃パケットを送信すると、宛先固定型ネットワーク攻撃が発生する。また、端末３０がワームによって制御を乗っ取られ、端末２０〜２２を含む任意の宛先アドレスを持った自己増殖のパケットを送信すると、宛先不定型ネットワーク攻撃が発生する。
これらの攻撃が発生すると、ノード１１〜１４や、ＷＡＮ１０の帯域やリソースが浪費され、正常な動作ができなくなるという現象が起こる。以降、図１に示すノード１１を中心とした本発明による攻撃対策について以下に説明する。
【００１９】
図２は、ノードが記録するトラヒックログの一例を示した図である。トラヒックログは、同一属性値を持つパケット群(以下、「フロー」)ごとに記録される。フローを識別するための属性値の集合を「フロー属性」と呼ぶ。
フロー属性は、宛先アドレス／マスク、宛先ポート、プロトコル番号などのＩＰ（Internet Protocol）パケットに付与される値の組合せとなる。例えば、図２では、ノード１１は、フロー属性＃1{DA＝X1}210、フロー属性＃2{DA=X2}220、フロー属性＃3{DP=1434}230に入力トラヒックを分類し、各々に対応したトラヒックログ２１０、２２０、２３０を記録している。
【００２０】
各トラヒックログは、時刻情報２１１、入力パケット量情報２１２から構成される。入力パケット量情報２１２としては、ｐｐｓ(Packet per second)、ｂｐｓ(bit per second)などの単位のデータが記録される。また、図２に示すトラヒックログの蓄積頻度が高い場合には以後の計算量が増える可能性があるため、ノードはトラヒックログを一定区間（ｄ）に区切ってその間の平均値のみを記録することも可能とする。この平均値を記録したトラヒックログを「平滑化トラヒックログ」と呼ぶ。以後、トラヒックログと平滑化トラヒックログは同様に扱う。尚、ｄは設定により変更可能とする。
【００２１】
図３は、ノード１１〜１４が、一定期間(Ｄ)毎に行う処理の流れを示すフローチャートである。
図３において、Ｓ３１１では、Ｄ期間分のトラヒックログをファイルやメモリ内に切り出して保存する。以後、この切り出されたトラヒックログを「切り出しトラヒックログ」と呼ぶ。Ｓ３１２では、切り出しトラヒックログの最新のＮ個分を結合する。以後、この結合した切り出しトラヒックログを「結合トラヒックログ」と呼ぶ。
Ｓ３１３では、結合トラヒックログから度数分布表を作成する。そして、Ｓ３１４では、この度数分布表の全エントリの度数の総数である「総度数」を計算する。次に、入力トラヒック量の大きい上位エントリから順に度数を調査し、“総度数＊一定割合(ｒ)“度数分のデータを削除する。これらの度数分布表作成の処理については図４を用いて詳述する。
【００２２】
これらの処理により、度数分布表には、Ｎ期間の下位(１−ｒ)分の度数データのみが残ることになる。ネットワーク攻撃では、正常状態と比較して圧倒的に大きな入力トラヒック量となるため、これにより、正常状態の入力トラヒック量を測定する際の攻撃トラヒックによるノイズを削除することが可能になる。
Ｓ３１５では、ノイズを除去した度数分布表を用いて、入力トラヒックのＮ期間における統計値(平均値、最大値、標準偏差)を計算する。この際、度数分布表の入力トラヒック量範囲の中間値を用いて統計値の計算を行うこととする。
Ｓ３１６では、Ｓ３１５で求めた統計値から検知のための閾値を決定する。この際、閾値の計算式を数種類用意し、管理者が選択可能とすることで、「感度」に応じた閾値の設定を可能とする。Ｓ３１６の処理については図を用いて詳述する。
尚、上記したＤ、Ｎ、ｒの値は設定により変更可能とする。
【００２３】
図４は、結合トラヒックログから度数分布表を作成する処理手順を示したフローチャートである。
図４において、Ｓ４１１では、結合トラヒックログの入力トラヒック量情報(２１１)の最大値：ＭＸを抽出する。Ｓ４１２では、度数分布表の入力トラヒック量範囲の大きさＵを以下の計算式を用いて算出する。ここで、ＮＥは度数分布表を構成するエントリ数を示すものである。
Ｕ＝ｉｎｔ（ＭＸ／ＮＥ）＋１
【００２４】
Ｓ４１３では、結合トラヒックログを順に調べながら、度数分布表の各エントリをカウントアップする。これらの手順で作成された度数分布表の例を図５に示す。次に、Ｓ４１４では、この度数分布表の全エントリの度数の総数である「総度数」を計算する。Ｓ４１５では、入力トラヒック量の大きい上位エントリから順に度数を調査し、“総度数＊一定割合(ｒ)”度数分のデータを削除する。例えば、総度数＝１００，０００、ｒ＝０．１とすると、削除対象は、１００，０００＊０．１＝１０，０００度数分のエントリとなる。図５に示す度数分布表に対して、Ｓ４１４、Ｓ４１５で示す削除処理を行った後の度数分布表を図６に示す。
【００２５】
図５は、度数分布表の例を示している．度数分布表は、入力トラヒック量範囲（５１１）と、各範囲に対応した度数（５１２）から構成される。度数分布表エントリ数ＮＥ（５２１）は設定により変更可能とする。
図６は、図５に示す度数分布表に対して、Ｓ４１４、Ｓ４１５で示す削除処理を行った後の度数分布表を示している。この例では、１０，０００度数分のエントリ分が削除対象となっているため、最上位エントリの全度数（６１１）と第二位となる上位エントリの一部（５８００度数分）が削除されている（６１２）。
【００２６】
図７は、図３に示すＳ３１５の処理で求めた統計値から、攻撃検知のための閾値を決定する際に利用する感度別閾値表の例を示したものである．感度別閾値表は、感度レベル（７１１）と閾値計算式（７１２）から構成される。
閾値計算式（７１２）で、“μ”は平均値を“σ”は標準偏差を表す。管理者は、感度レベル（７１１）のどれを選択するかを予め選択しておく。図３に示すＳ３１５の処理で統計値が計算されると、図７に示す表に従って閾値が決定され、設定される。
【００２７】
図８は、図１に示す各ノード１１〜１４の内部構成を機能展開して示したブロック図である。ここでは、ノード１１の構成が例示されている。
ノード１１は、ログ蓄積部１１１と、ログ処理部１１２と、度数分布表作成部１１３と、統計処理部１１４と、検知処理部１１５で構成される。
【００２８】
ログ蓄積部１１１は、同一属性を持つパケット群毎の入力トラフィック量を定期的に計測し、トラヒックログとして蓄積する機能を持ち、ログ処理部１１２は、蓄積されたトラヒックログを参照し、当該トラヒックログに含まれる攻撃部分を除去する機能を持つ。
また、度数分布表作成部１１３は、一定期間（Ｄ）毎にトラヒックログを参照し、当該参照時から遡って一定期間分（Ｎ）のトラヒックログから度数分布表を作成する機能を持ち、統計処理部１１４は、ログ処理部１１２で除去された攻撃部分を除くトラヒックログの正常状態におけるトラヒック特性を示す統計値を計算し、当該計算された統計値を用いて攻撃検知のための閾値を算出する機能を持つ。なお、検知処理部１１５は、算出された閾値を用いて攻撃検知を行う。
【００２９】
上記構成において、ノード１１は、フローごとの入力トラヒック量を定期的に計測しトラヒックログとしてログ蓄積部１１１に記録する。そして、度数分布表作成部１１３は、一定期間（Ｄ）毎にトラヒックログを検査し、検査時から過去に一定期間（Ｎ）分のトラヒックログから、入力トラヒック量範囲ごとの度数分布表を作成する。そして、この度数分布表の全エントリの度数の総数(以下、「総度数」)を計算する。
次に、ログ処理部１１２は、入力トラヒック量の大きい上位エントリから順に度数を調査し、総度数＊一定割合（ｒ）度数分のデータを削除する。これにより、度数分布表には、Ｎ期間の下位（１−ｒ）分の度数データのみが残ることになる。
【００３０】
ネットワーク攻撃では、正常状態と比較して圧倒的に大きな入力トラヒック量となるため、これにより、正常状態の入力トラヒック量を測定する際の攻撃トラヒックによるノイズを削除することが可能になる。
統計処理部１１４は、このノイズを除去した度数分布表を用いて、入力トラヒックのＮ期間における統計値（平均値、最大値、標準偏差）を計算式に代入することで閾値を算出する。なお、上記したＤ、Ｎ、ｒの値は、設定により変更可能とする。
【００３１】
以上説明のように本発明によれば、ノード１１〜１４は、トラヒックログ中にネットワーク攻撃によるデータが含まれている場合にも、その部分を除いた、より正確な閾値の算出が可能になる。また、度数分布表表を作成して上位エントリからのデータ削除や統計値計算を行うことで、トラヒックログの全エントリを処理対象とするのに比較して、ソーティングや統計計算などの計算量を削減することが可能になる。
更に、本発明によれば、ノード１１〜１４は、度数分布表の作成の前に、トラヒックログを一定区間（ｄ）に区切ってその間の平均値のみを記録した平滑化トラヒックログを作成することで、計算量を更に削減することも可能とする．
また、本発明によれば、ノード１１〜１４は、統計値から闇値を算出するための計算式を数種類用意し、管理者が選択可能とすることで、「感度」に応じた閾値の設定を可能とする。
【００３２】
以上説明のように本発明は、ＷＡＮ１０上の各ノード１１〜１４は、フロー毎のトラヒック量を定期的に記録したトラヒックログから一定期間の度数分布表を作成し、トラヒックログを構成するエントリをデータ量の多いものから一定割合削除した上で、統計値（平均値、最大値、標準偏差）を求め、それらを感度別閾値表に照らし合わせることで、攻撃検知のための閾値を自動抽出するものである。
このことにより、トラヒックログ中にネットワーク攻撃によるデータが含まれている場合にも、攻撃期間のノイズを除いた正常状態における統計値の計算を可能とする感度別閾値表において闇値の計算式を数種類用意し、管理者が選択可能とすることで、「感度」に応じた閾値の設定を可能とする。また、度数分布表を用いて統計値を計算することにより計算量を削減することができる。なお、トラヒックログの蓄積頻度が高い場合には、ノード１１〜１４は、トラヒックログを一定区間（ｄ）に区切ってその間の平均値のみを記録することも可能とする。このことにより、計算量を更に削減することを可能とするものである。
【００３３】
なお、図８に示す、ログ蓄積部１１１、ログ処理部１１２、度数分布表作成部１１３、統計処理部１１４、検知処理部１１５のそれぞれで実行される手順をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって本発明のネットワーク攻撃検知装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウェアを含む。
【００３４】
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００３５】
以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【図面の簡単な説明】
【００３６】
【図１】本発明の実施形態に係わるネットワーク構成を説明するために引用した図である。
【図２】図１に示すノードが記録するトラヒックログの一例を示した図である。
【図３】本発明実施形態の動作を示すフローチャートである。
【図４】本発明実施形態の動作を示すフローチャートである。
【図５】本発明実施形態で使用される度数分布表の一例を示す図である。
【図６】削除処理を行った後の度数分布表の一例を示す図である。
【図７】感度別閾値表の一例を示す図である。
【図８】本発明実施形態の内部構成を機能展開して示すブロック図である。
【符号の説明】
【００３７】
１０…ＷＡＮ、１１〜１４…ノード（ネットワーク攻撃検知装置）、２０〜２２、３０…端末、１１１…ログ蓄積部、１１２…ログ処理部、１１３…度数分布表作成部、１１４…統計処理部、１１５…検知処理部
【図１】
2005323183.tif 000003
【図２】
2005323183.tif 000004
【図３】
2005323183.tif 000005
【図４】
2005323183.tif 000006
【図５】
2005323183.tif 000007
【図６】
2005323183.tif 000008
【図７】
2005323183.tif 000009
【図８】
2005323183.tif 000010