(57)【要約】【課題】ネットワークの異常検出を簡易な手段で、定量的に行うこと。【解決手段】ネットワークに流れるパケット情報から所定の特徴量を抽出する特徴量抽出手段１３と、抽出された特徴量に基づいてネットワークの異常検出の基準となるネットワーク通常状態を定義する通常状態定義手段１４と、ネットワーク通常状態からの逸脱度を判定する逸脱度判定手段１５とが備えられ、特徴量抽出手段１３のペイロード文字抽出部４１1〜４１hは、通信サービスごとに行われる通信フロー内のペイロードに格納されているペイロード文字を当該通信サービスごとに抽出し、通常状態定義手段１４の文字出現確率分布生成部４２1〜４２hは、ペイロード文字の文字種ごとの出現頻度を文字出現確率分布として構築する。【選択図】      図１
2005210292.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークの回線状態の異常を検出するネットワーク異常検出装置であって、
ネットワークに流れるパケット情報から所定の特徴量を抽出する特徴量抽出手段と、
抽出された特徴量に基づいてネットワークの異常検出の基準となるネットワーク通常状態を定義する通常状態定義手段と、
ネットワーク通常状態からの逸脱度を判定する逸脱度判定手段と、
を備え、
前記特徴量抽出手段は、前記所定の特徴量として通信サービスごとに行われる通信フロー内のペイロードに格納されているペイロード文字を当該通信サービスごとに抽出するペイロード文字抽出部を備え、
前記通常状態定義手段は、前記ペイロード文字の文字種ごとの出現頻度を文字出現確率分布として構築する文字出現確率分布生成部を備えたことを特徴とするネットワーク異常検出装置。
【請求項２】
前記逸脱度判定手段は、前記ペイロード文字抽出部で抽出されたペイロード文字と前記文字出現確率分布生成部で生成された文字出現確率分布の分布情報とに基づいて通信サービスごとの適合度検定量をそれぞれ算出する適合度検定量算出部を備えたことを特徴とする請求項１に記載のネットワーク異常検出装置。
【請求項３】
前記適合度検定量算出部は、所定の通信サービスにおけるネットワークの通常状態からの逸脱度を示す指標として前記適合度検定量に基づく逸脱度を算出し、前記ペイロード文字抽出部から伝達されたペイロード文字が通常状態と比較してどの程度逸脱した状態にあるのかを当該逸脱度を用いて判定することを特徴とする請求項２に記載のネットワーク異常検出装置。
【請求項４】
前記適合度検定量算出部は、
前記ペイロード文字抽出部で抽出され、前記適合度検定量算出部に伝達されたペイロード文字のそれぞれの出現度数である観測出現度数をＯkとし、
前記文字出現確率分布生成部で生成され、前記適合度検定量算出部に伝達されたペイロード文字と同種の文字種に対応する文字種の出現度数である理論出現度数をＥkとするとき、前記適合度検定量を、
【数１】
2005210292.tif 000011
によって算出することを特徴とする請求項３に記載のネットワーク異常検出装置。
【請求項５】
前記適合度検定量算出部は、
前記ペイロード文字抽出部で抽出され、前記適合度検定量算出部に伝達されたペイロード文字の全文字数をＬとし、
０≦Ｍ≦２５５を満たす整数をＭとするとき、
前記文字出現確率分布で生成された文字種の出現度数である理論出現度数Ｅkを降順にソートした文字出現確率分布における出現度数の上位からＭ番目までの文字種に対して、前記逸脱度を、
【数２】
2005210292.tif 000012
によって算出することを特徴とする請求項４に記載のネットワーク異常検出装置。
【請求項６】
前記逸脱度判定手段は、前記逸脱度と、所定のしきい値と、の比較結果に基づいてアラート情報の報知処理を行うことを特徴とする請求項３または５に記載のネットワーク異常検出装置。
【請求項７】
ネットワークの回線状態の異常を検出するネットワーク異常検出方法であって、
ネットワークに流れるパケット情報から通信サービスごとに行われる通信フロー内のペイロードに格納されているペイロード文字を当該通信サービスごとに抽出するペイロード文字抽出ステップと、
前記ペイロード文字の文字種ごとの出現頻度を文字出現確率を分布として構築する文字出現確率分布生成ステップと、
を含むことを特徴とするネットワーク異常検出方法。
【請求項８】
前記ペイロード文字抽出ステップで抽出されたペイロード文字と前記文字出現確率分布生成ステップで生成された文字出現確率分布の分布情報とに基づいて通信サービスごとの適合度検定量をそれぞれ算出する適合度検定ステップをさらに含むことを特徴とする請求項７に記載のネットワーク異常検出方法。
【請求項９】
前記適合度検定ステップは、
前記ペイロード文字抽出ステップで抽出され、前記適合度検定ステップに伝達されたペイロード文字のそれぞれの出現度数である観測出現度数をＯkとし、
前記文字出現確率分布生成ステップで生成され、前記適合度検定ステップに伝達されたペイロード文字と同種の文字種に対応する文字種の出現度数である理論出現度数をＥkとするとき、
前記適合度検定量を
【数３】
2005210292.tif 000013
によって算出することを特徴とする請求項８に記載のネットワーク異常検出方法。
【請求項１０】
前記適合度検定ステップは、
前記ペイロード文字抽出ステップで抽出され、前記適合度検定ステップに伝達されたペイロード文字の全文字数をＬとし、
０≦Ｍ≦２５５を満たす整数をＭとするとき、
前記文字出現確率分布で生成された文字種の出現度数である理論出現度数Ｅkを降順にソートした文字出現確率分布における出現度数の上位からＭ番目までの文字種に対して、
前記逸脱度を
【数４】
2005210292.tif 000014
によって算出することを特徴とする請求項９に記載のネットワーク異常検出方法。
【請求項１１】
請求項７〜１０のいずれかに記載の方法を電子計算機に実行させることを特徴とするネットワーク異常検出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワーク回線の異常検出に関するものであり、特に未知の異常をも検出可能なネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラムに関するものである。
【背景技術】
【０００２】
今や世界的規模にまで拡大したインターネットは、人類の社会的、経済的な基盤となり、その重要性は増すばかりである。重要性の増加に伴って、益々頻発する被害拡大が見られるのが、以前からも問題となっているネットワークに対する不正アクセスである。
【０００３】
一方、ネットワーク管理者は、管理下のネットワークを常に安全かつ正常な状態に保つことが要求される。そこで広く用いられているのがファイアウォール（Ｆｉｒｅ  Ｗａｌｌ）や侵入検知装置（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）である。
【０００４】
上述のファイアウォールは、安全を確保するための一手段であり、あらかじめ設定されたルールに基づき、ネットワークの入口において、異常なパケットを遮断するようにしている。このファイアウォールによって行われる処理は、不必要なトラヒックを侵入させないという概念であるため、ルールによっては、ある程度の安全を確保できるという確立された方式である。しかし、それだけでは完全な安全確保を期待することができないため、ＩＤＳを併用することになる。ＩＤＳには既知の不正トラヒックの特徴（シグネチャ）を利用した不正アクセスの検出機能があり、この検出機能を用いることによって、既知の不正アクセスに対しては、ほぼ完全な検出が可能である（例えば、非特許文献１を参照）。
【０００５】
【非特許文献１】武田圭史、磯崎宏「ネットワーク侵入検知」、ソフトバンクパブリッシング株式会社、２０００
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、近時、ＤｏＳ攻撃などに代表される未知の不正アクセスやネットワークに対する妨害などを検出するネットワークの異常検出が問題となっている。これらのネットワーク異常検出の分野においても、不正アクセスの研究とともに多数の研究がなされている。これらの研究において、必ずといっていいほど問題になる点は、「通常状態をいかに定義するか」という点にある。そもそも、ネットワーク状態を通常状態と異常状態の２者択一に定義することはきわめて困難である。
【０００７】
一方、各サービスごとのフローを構成するパケットのペイロードの部分に書き込まれているデータは、データ量やデータ内容に関して一定の特徴（特性）を有しているとともに、文字データであることから定量的な取り扱いが容易であるという利点も有しており、ネットワークの通常状態を簡易かつ定量的に扱うのに好適であると考えられる。
【０００８】
この発明は、上述した観点に鑑みてなされたものであり、簡易な手段によって定量的に定義されたネットワークの通常状態に基づいてネットワークの異常検出を行うネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するため、請求項１にかかるネットワーク異常検出装置は、ネットワークの回線状態の異常を検出するネットワーク異常検出装置であって、ネットワークに流れるパケット情報から所定の特徴量を抽出する特徴量抽出手段と、抽出された特徴量に基づいてネットワークの異常検出の基準となるネットワーク通常状態を定義する通常状態定義手段と、ネットワーク通常状態からの逸脱度を判定する逸脱度判定手段とを備え、前記特徴量抽出手段は、前記所定の特徴量として通信サービスごとに行われる通信フロー内のペイロードに格納されているペイロード文字を当該通信サービスごとに抽出するペイロード文字抽出部を備え、前記通常状態定義手段は、前記ペイロード文字の文字種ごとの出現頻度を文字出現確率を分布として構築する文字出現確率分布生成部を備えたことを特徴とする。
【００１０】
この請求項１の発明によれば、特徴量抽出手段に備えられたペイロード文字抽出部は、通信サービスごとに行われる通信フロー内のペイロードに格納されているペイロード文字を当該通信サービスごとに抽出し、通常状態定義手段に備えられた文字出現確率分布生成部は、ペイロード文字の文字種ごとの出現頻度を文字出現確率分布として構築する。
【００１１】
また、請求項２にかかるネットワーク異常検出装置は、上記の発明において、前記逸脱度判定手段は、前記ペイロード文字抽出部で抽出されたペイロード文字と前記文字出現確率分布生成部で生成された文字出現確率分布の分布情報とに基づいて通信サービスごとの適合度検定量をそれぞれ算出する適合度検定量算出部を備えたことを特徴とする。
【００１２】
また、請求項３にかかるネットワーク異常検出装置は、上記の発明において、前記適合度検定量算出部は、所定の通信サービスにおけるネットワークの通常状態からの逸脱度を示す指標として前記適合度検定量に基づく逸脱度を算出し、前記ペイロード文字抽出部から伝達されたペイロード文字が通常状態と比較してどの程度逸脱した状態にあるのかを当該逸脱度を用いて判定することを特徴とする。
【００１３】
また、請求項４にかかるネットワーク異常検出装置は、上記の発明において、前記適合度検定量算出部は、前記ペイロード文字抽出部で抽出され、前記適合度検定量算出部に伝達されたペイロード文字のそれぞれの出現度数である観測出現度数をＯkとし、前記文字出現確率分布生成部で生成され、前記適合度検定量算出部に伝達されたペイロード文字と同種の文字種に対応する文字種の出現度数である理論出現度数をＥkとするとき、前記適合度検定量を、
【数１】
2005210292.tif 000003
によって算出することを特徴とする。
【００１４】
また、請求項５にかかるネットワーク異常検出装置は、上記の発明において、前記適合度検定量算出部は、前記ペイロード文字抽出部で抽出され、前記適合度検定量算出部に伝達されたペイロード文字の全文字数をＬとし、０≦Ｍ≦２５５を満たす整数をＭとするとき、前記文字出現確率分布で生成された文字種の出現度数である理論出現度数Ｅkを降順にソートした文字出現確率分布における出現度数の上位からＭ番目までの文字種に対して、前記逸脱度を、
【数２】
2005210292.tif 000004
によって算出することを特徴とする。
【００１５】
また、請求項６にかかるネットワーク異常検出装置は、上記の発明において、前記逸脱度判定手段は、前記逸脱度と、所定のしきい値と、の比較結果に基づいてアラート情報の報知処理を行うことを特徴とする。
【００１６】
また、請求項７にかかるネットワーク異常検出方法は、ネットワークの回線状態の異常を検出するネットワーク異常検出方法であって、ネットワークに流れるパケット情報から通信サービスごとに行われる通信フロー内のペイロードに格納されているペイロード文字を当該通信サービスごとに抽出するペイロード文字抽出ステップと、前記ペイロード文字の文字種ごとの出現頻度を文字出現確率を分布として構築する文字出現確率分布生成ステップとを含むことを特徴とする。
【００１７】
また、請求項８にかかるネットワーク異常検出方法は、上記の発明において、前記ペイロード文字抽出ステップで抽出されたペイロード文字と前記文字出現確率分布生成ステップで生成された文字出現確率分布の分布情報とに基づいて通信サービスごとの適合度検定量をそれぞれ算出する適合度検定ステップをさらに含むことを特徴とする。
【００１８】
また、請求項９にかかるネットワーク異常検出方法は、上記の発明において、前記適合度検定ステップは、前記ペイロード文字抽出ステップで抽出され、前記適合度検定ステップに伝達されたペイロード文字のそれぞれの出現度数である観測出現度数をＯkとし、前記文字出現確率分布生成ステップで生成され、前記適合度検定ステップに伝達されたペイロード文字と同種の文字種に対応する文字種の出現度数である理論出現度数をＥkとするとき、前記適合度検定量を、
【数３】
2005210292.tif 000005
によって算出することを特徴とする。
【００１９】
また、請求項１０にかかるネットワーク異常検出方法は、上記の発明において、前記適合度検定ステップは、前記ペイロード文字抽出ステップで抽出され、前記適合度検定ステップに伝達されたペイロード文字の全文字数をＬとし、０≦Ｍ≦２５５を満たす整数をＭとするとき、前記文字出現確率分布で生成された文字種の出現度数である理論出現度数Ｅkを降順にソートした文字出現確率分布における出現度数の上位からＭ番目までの文字種に対して、前記逸脱度を
【数４】
2005210292.tif 000006
によって算出することを特徴とする。
【００２０】
また、請求項１１にかかるネットワーク異常検出プログラムは、請求項７〜１１のいずれか一つに記載の方法を電子計算機に実行させることを特徴とする。
【発明の効果】
【００２１】
この発明にかかるネットワーク異常検出装置によれば、通信サービスごとに行われる通信フロー内のペイロードに格納されているペイロード文字が通信サービスごとに抽出され、このペイロード文字の文字種ごとの出現頻度が文字出現確率分布として構築されるので、ネットワークの異常検出を定量的に評価することができ、また、未知のネットワーク異常をも検出することができる。
【００２２】
また、この発明にかかるネットワーク異常検出方法によれば、ネットワークに流れるパケット情報から通信サービスごとに行われる通信フロー内のペイロードに格納されているペイロード文字を通信サービスごとに抽出し、このペイロード文字の文字種ごとの出現頻度を文字出現確率を分布として構築するようにしているので、ネットワークの異常検出を定量的に評価することができ、また、未知のネットワーク異常をも検出することができる。
【発明を実施するための最良の形態】
【００２３】
以下、図面を参照して、この発明の実施の形態であるネットワーク異常検出装置およびネットワーク異常検出方法について説明する。なお、この実施の形態によりこの発明が限定されるものではない。
【００２４】
（発明の特徴）
この発明の実施の形態を説明する前に、この発明が有する特徴について説明する。ネットワークにおいて、不正アクセス等の異常フローが存在する場合には、通常の通信サービスでの正常フローにおける文字の出現頻度分布に比べ、ある少数種の文字に極端な偏りが生ずる。したがって、この不正アクセス等の際に発生したフローのペイロードには、極端に出現確率の高い文字が存在することになる。このとき、この極端な偏り（後述する「適合度検定量」）を定量的な指標で表すことができれば、この適合度検定量を用いてネットワークの異常の有無を定量的に判定することができることになる。このように、この発明は、この「適合度検定量」なる定量的な指標を用いることにより、ネットワークの異常の有無を判定することを特徴としている。
【００２５】
（この実施の形態の装置の構成）
つぎに、この実施の形態の装置の構成について説明する。図１は、この発明の実施の形態にかかるネットワーク異常検出装置の構成を示すブロック図である。同図に示すように、この実施の形態にかかるネットワーク異常検出装置１０は、タッピング装置１１によって収集された監視対象ネットワークに流れるパケットを記憶（保持）する記憶部１２と、収集されたパケット情報から所定の特徴量を抽出する特徴量抽出手段１３と、抽出された特徴量に基づいてネットワークの異常検出の基準となる状態、すなわち、ネットワーク通常状態を定義する通常状態定義手段１４と、ネットワーク通常状態からの逸脱度、すなわちネットワーク通常状態からどの程度懸け離れた状態にあるか否かを判定する逸脱度判定手段１５と、逸脱していると判定された場合にアラート（警報）を出力するアラート出力部１６とを備えている。
【００２６】
特徴量抽出手段１３は、例えば、ＳｅｎｄｍａｉｌやＰｏｒｔＳｗｅｅｐのような通信サービス（別な見方をすれば、サーバやネットワークに対する攻撃）が行われる際に、この通信サービスのフローの中の所定の部分（例えばペイロード）において、このペイロードに記述されている文字を抽出するペイロード文字抽出部４１1〜４１hを備えている。これらのペイロード文字抽出部４１1〜４１hの添字ｈは、抽出対称の通信サービスの数（あるいは種類）を表しており、通信サービスごとにペイロードの文字が抽出される。通常状態定義手段１４は、ペイロードの部分に記述されている文字列から各文字の出現確率分布を構築する文字出現確率分布生成部４２1〜４２hを備えている。なお、これらの文字出現確率分布生成部４２1〜４２hの添字ｈは、ペイロード文字抽出部４１1〜４１hの添字にそれぞれ対応する。すなわち、文字出現確率分布生成部４２1〜４２hでは、ペイロード文字抽出部４１1〜４１hで取り扱われた通信サービスごとに、この通信サービスに対応した文字出現確率分布（ヒストグラム）が生成されることになる。
【００２７】
また、逸脱度判定手段１５は、通常状態を定義するものとして文字出現確率分布生成部４２1〜４２hで定義された文字出現確率分布に基づいて、任意の時間帯にペイロード文字抽出部４１1〜４１pからそれぞれ伝達された特徴量に基づいて、更新される予定の文字出現確率分布が通常状態と比較してどの程度逸脱した状態にあるのかを判定する適合度検定量算出部４３1〜４３hを備えている。
【００２８】
なお、図１において、逸脱度判定手段１５から通常状態定義手段１４に対して情報の流れを示す矢印の向きが示されている。この矢印は、異常状態が検出されたときのペイロード文字情報を文字出現確率分布に反映させるか否かの判断を行うための情報の伝達を示すものである。
【００２９】
（ネットワークの通常状態の定義）
つぎに、ネットワークの通常状態の定義について説明する。上述したように、ネットワークの異常状態を検出するためには、初めに、ネットワークの通常状態を定義しなければならない。特に、ネットワークには様々な特徴を持ったトラヒックが混在しているため、全体を捉えようとすると通常状態を定義付けることができる情報のみを抽出することができない。つまり、トラヒックの観測単位の特定が重要となる。トラヒックをどのような基準で観測し、そこからどのような情報を抽出するかには様々な手法があるが、本願発明においては、フロー単位の観測を用いることにした。
【００３０】
なお、ここでいうところのフロー（上述の説明でも用いている）とは、ＲＴＦＭ（Ｒｅａｌｔｉｍｅ  Ｔｒａｆｆｉｃ  Ｆｌｏｗ  Ｍｅａｓｕｒｅｍｅｎｔ）で定義されたものであり、一般的なトラヒックモデルとして定義されたものである。また、このＲＴＦＭは、ネットワークを流れるパケットを通信の両端末によって集約したものであり、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号の５要素の同一組によって一つのフローが特定される。ＩＰトラヒックの場合、ＩＣＭＰトラヒックではポート番号の情報がないため、他の３要素による集約になるが、その際はタイムアウトを設けることでフローの終了を決定することができる。
【００３１】
また、フロー単位の観測を用いる理由は２つある。１つ目の理由は、タイムスロットによる集約方法等のように観測時間帯に依存することなく、２点間通信の独立した情報を抽出することができることにある。２つ目の理由は、状態を判別した際に原因となるホストの情報を迅速に得ることができることにある。特に、フロー単位で観測することで必然的に通信サービスの区別が明確になることは重要な点である。また、個々のサービスを独立させることで、そのサービスごとの特徴が際だち、適切なモデルを構築することができる。本願発明で提案するネットワーク異常検出装置、異常検出方法は、後述するようなサービスごとに独立した通常状態モデルを構築することで高精度の状態判別を可能としている。
【００３２】
つぎに実行しなければならないのが、トラヒック中のフローからネットワークの通常状態を定義する情報を抽出することにある。一方、異常状態とは定常状態とは懸け離れた状態であり、統計的に稀な状態にあることを意味する。つまり、ネットワークから抽出されたあるパラメータがトラヒックを構成する他のフローのパラメータと比べて稀な値をとる場合にそのパラメータの値を異常とすることができる。上述した事項に鑑み、この実施の形態では、フロー単位を構成するパケットのペイロードの部分に着目し、通常状態を定義する情報としてペイロードの部分に書き込まれた文字の出現確率を用いることにした。
【００３３】
（この実施の形態の装置の動作）
つぎに、この実施の形態にかかるネットワーク異常検出装置の動作について説明する。図２は、この実施の形態にかかるネットワーク異常検出装置の動作を示すフローチャートである。同図において、図１に示す通常状態定義手段１４の文字出現確率分布生成部４２1〜４２hによって文字出現確率分布の生成処理が行われる（ステップＳ３０１）。つぎに、逸脱度判定手段１５の適合度検定量算出部４３1〜４３hによって通信サービスごとに適合度検定が行われる。この適合度検定では、特徴量抽出手段から伝達されたペイロード文字と文字出現確率分布生成部４２1〜４２hで定義（生成）された文字出現確率分布の分布情報とに基づいて生成される通信サービスごとの所定の統計量に対して所定の修正を加えて算出した適合度検定量（Ｔ）の算出処理が行われる（ステップＳ３０２）。この適合度検定における所定の統計量として、例えば、χ2検定（カイ２乗検定）に基づくカイ２乗値などを用いることができる。なお、これらのχ2検定に基づく適合度検定量（Ｔ）の算出処理の詳細については後述する。
【００３４】
さらに、逸脱度判定手段１５では、適合度検定量（Ｔ）と、所定のしきい値（Ｑ1）との間で比較処理が行われ（ステップＳ３０３）、適合度検定量（Ｔ）がしきい値（Ｑ1）よりも大きい場合には（ステップＳ３０３、Ｙｅｓ）、逸脱度判定手段１５からアラート出力部１６へアラート情報が通報され、アラート出力部１６ではアラート報知処理が行われ（ステップＳ１０４）る。一方、適合度検定量（Ｔ）がしきい値（Ｑ1）以下の場合には（ステップＳ３０３、Ｎｏ）、アラート報知処理が行われることなくステップＳ３０２の処理に戻る。以後、上記の各処理が繰り返される。
【００３５】
なお、図２に示すフローチャートでは、文字出現確率分布の生成処理は最初に１度だけ行う処理としているが、適合度検定量（Ｔ）と所定のしきい値（Ｑ1）との比較処理の都度、文字出現確率分布の更新処理を行うようにしてもよい。また、適合度検定量の比較処理に用いた文字情報を、文字出現確率分布の更新処理に用いるか否かを判定するような処理を含ませてもよい。
【００３６】
つぎに、通常状態定義手段１４によって行われる文字出現確率分布の生成処理の詳細について説明する。この生成処理では、各通信サービスのペイロード部分を１バイトの文字（２8＝２５６種類）から構成される文字列として捉え、各文字の出現確率をモデル化する。このモデル化によって、サービスごとに２５６クラスを持つ文字コードのヒストグラムが構築される。このとき、文字種に関わらず相対頻度（出現確率）の値の大小によって降順にソートする。このように降順にソートされた順位によって変換された出現確率に基づいて単調減少のヒストグラムが生成される。このヒストグラムが、この実施の形態でいうところの文字出現確率分布である。
【００３７】
つぎに、逸脱度判定手段１５によって行われる適合度検定および適合度検定量（Ｔ）の算出処理について説明する。まず、適合度検定は、上述したχ2検定を用いて行われる。なお、このχ2検定では、ペイロードを構成する文字種を２５６種としているため、検定統計量は、自由度２５５のχ2分布に従うことになる。いま、文字出現確率分布の生成処理で生成された文字出現確率分布において、ある文字ｋの理論出現度数をＥkとし、所定のサービスでのこの文字ｋの実測出現度数をＯkとするとき、このフローにおけるカイ２乗値（Ｘ）は、次式で表すことができる。
【００３８】
【数５】
2005210292.tif 000007
【００３９】
一般的に、式（１）におけるＸの値は、合計実測度数である観測されたフローのペイロードを構成する全文字数Ｌに伴って増加する傾向がある。すなわち、データサイズが大きいだけでカイ２乗値そのものの値が大きくなってしまう。そこで、この実施の形態では、つぎの観点を考慮した、新たな指標を算出する。
【００４０】
すなわち、式（１）に示すカイ２乗値（Ｘ）をデータサイズで平均化した値を新たな指標とする。また、各フローにおいて、文字の偏りが文字出現確率分布の上位数クラスにのみ顕著に見られるという特性を利用し、上位の２０クラスのみを検定対象とするようにする。このような条件にて算出される（修正される）カイ２乗値を適合度検定量（Ｔ）として定義すれば、この適合度検定量（Ｔ）は、次式で表されることになる。
【００４１】
【数６】
2005210292.tif 000008
【００４２】
このようにして生成された式（２）に示す適合度検定量（Ｔ）を用いて上記のステップＳ３０３の処理が行われ、ネットワークの異常検出の有無が判定される。
【００４３】
なお、この適合度検定量（Ｔ）は、式（２）に示されるように各フローの通信量と等価なデータサイズで除算しているので、各フローの通信量に依存することのない指標としての性質を有するとともに、算出クラス数を２０文字種に制限しているので算出時間の大幅な短縮が可能である。したがって、この適合度検定量（Ｔ）を用いたネットワーク異常検出装置、あるいはネットワーク異常検出方法は、適切な指標を用いた効率的な逸脱度の算出処理を実現しているといえる。また、この適合度検定量（Ｔ）の算出では、算出クラス数を２０文字種としているが、この２０文字種に限定されるものではなく、サービスの種類や算出時間を考慮して１以上２５６以下の任意の整数値を選択することができる。
【００４４】
図３は、ペイロード文字出現頻度の一例（文字種：２０）を示すグラフである。同図において、“ＮＯＲＭＡＬ”（図中の黒◇印）は、通常状態（一般的なフロー）での特性を示している。一方、“ＳＥＮＤＭＡＩＬ”（図中の黒□印）は、今日ではよく知られているメールサーバに対する典型的な攻撃が行われた場合に観測される分布特性の一例を示している。また、“ＰＯＲＴＳＷＥＥＰ”（図中の黒△印）は、通信ポートを外部から順番にアクセスして応答の有無を検査するような攻撃（あるいは探索）が行われた場合の分布特性の一例を示している。同図に示すように、これらの攻撃が行われた場合の分布特性は、通常状態の特性とは明確に異なっている。したがって、観測フローのサービスを特定し、サービスごとに式（２）に示す適合度検定量（Ｔ）を算出し、この適合度検定量（Ｔ）と所定のしきい値（Ｑ1）とを比較することにより、ネットワークの異常を検出することができる。
【００４５】
以上説明したように、この実施の形態のネットワーク異常検出装置によれば、観測されたペイロード文字のそれぞれの出現度数である観測出現度数をＯkとし、文字出現確率分布として予め生成され、観測されたペイロード文字と同種の文字種に対応した出現度数である理論出現度数をＥkとするとき、適合度検定量を、
【数７】
2005210292.tif 000009
によって算出し、
さらに、観測されたペイロード文字の全文字数をＬとし、０≦Ｍ≦２５５を満たす整数をＭとするとき、理論出現度数Ｅkを降順にソートした文字出現確率分布における出現度数の上位からＭ番目までの文字種に対して、逸脱度を、
【数８】
2005210292.tif 000010
によって算出するようにしているので、ネットワークの回線状態の異常を定量的に判断することができ、また、未知のネットワーク異常をも検出することができる。さらに、ネットワークの異常検出の基準として特徴量ヒストグラム用いることで、定量的な評価を簡易に行うことができる。
【００４６】
なお、この実施の形態のネットワーク異常検出装置では、専用の装置を用いた構造について説明したが、本発明の適用対象は、必ずしもこの実施の形態に限定して解釈する必要はない。また、具体的構造についても、図１のブロック図に示されるものに限定して解釈する必要はなく、上記の手法を用いてネットワークの異常を検出するのであればよい。さらには、上記の手法をアルゴリズムとして記載したプログラムを用いてコンピュータ等の電子計算機に実行させる構造としてもよい。
【産業上の利用可能性】
【００４７】
以上のように、この発明にかかるネットワーク異常検出装置は、ネットワーク回線の異常検出に有用であり、特に、未知のネットワーク異常の検出に適している。
【図面の簡単な説明】
【００４８】
【図１】実施の形態１にかかるネットワーク異常検出装置の構成を示すブロック図である。
【図２】この実施の形態にかかるネットワーク異常検出装置の動作を示すフローチャートである。
【図３】ペイロード文字出現頻度の一例（文字種：２０）を示すグラフである。
【符号の説明】
【００４９】
１１  タッピング装置
１２  記憶部
１３  特徴量抽出手段
１４  通常状態定義手段
１５  逸脱度判定手段
１６  アラート出力部
４１1〜４１h  ペイロード文字抽出部
４２1〜４２h  文字出現確率分布生成部
４３1〜４３h  適合度検定量算出部
【図１】
2005210292.tif 000015
【図２】
2005210292.tif 000016
【図３】
2005210292.tif 000017