(57)【要約】【課題】アノマリ状態のホスト、サブネットを絞ることができるネットワーク異常検出装置を実現することにある。【解決手段】複数のホスト、サブネットワークから構成されるネットワークの異常を検出するネットワーク異常検出装置に改良を加えたものである。本装置は、記憶部と、アドレスブロックごとに統計情報を生成し、記憶部に格納するベースライン生成部と、記憶部の統計情報と前記ネットワークのトラフィック情報とから主成分分析を行なう主成分分析部と、この主成分分析部の分析結果からネットワークの異常を検出する判定部とを設けたことを特徴とするものである。【選択図】図１
2007300263.tif 000002
【特許請求の範囲】
【請求項１】
複数のホスト、サブネットワークから構成されるネットワークの異常を検出するネットワーク異常検出装置において、
記憶部と、
アドレスブロックごとに統計情報を生成し、前記記憶部に格納するベースライン生成部と、
前記記憶部の統計情報と前記ネットワークのトラフィック情報とから主成分分析を行なう主成分分析部と、
この主成分分析部の分析結果から前記ネットワークの異常を検出する判定部と
を設けたことを特徴とするネットワーク異常検出装置。
【請求項２】
ベースライン生成部は、
ネットワークアドレスの所望のフィールドに基づいてアドレスブロックを生成するアドレスブロック生成手段と、
このアドレスブロック生成手段のアドレスブロックごとに統計情報を生成する統計手段と
を設けたことを特徴とする請求項１記載のネットワーク異常検出装置。
【請求項３】
統計手段は、相関関係のあるパラメータごとの統計情報を生成することを特徴とする請求項２記載のネットワーク異常検出装置。
【請求項４】
主成分分析部は、前記トラフィック情報を取得した時刻近傍の統計情報を前記記憶部から読み出すことを特徴とする請求項１記載のネットワーク異常検出装置。
【請求項５】
主成分分析部は、単位時間当たりの統計情報それぞれに対して固有値と固有ベクトルを求め、最も大きな値の固有値となる固有ベクトルを第１主成分とし、前記トラフィック情報から求めたベクトルをプロットして第１主成分軸との距離を求め、
判定部は、前記主成分分析部の求めた距離に基づいて判定を行なうことを特徴とする請求項１〜４のいずれかに記載のネットワーク異常検出装置。
【請求項６】
複数のホスト、サブネットワークから構成されるネットワークの異常を検出するネットワーク異常検出方法において、
アドレスブロックごとに統計情報を生成するステップと、
生成した統計情報と前記ネットワークのトラフィック情報とから主成分分析を行なうステップと、
この主成分分析部の分析結果から前記ネットワークの異常を検出するステップと
を設けたことを特徴とするネットワーク異常検出方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のホスト、サブネットワークから構成されるネットワークの異常（アノマリ）を検出するネットワーク異常検出装置に関し、詳しくは、アノマリ状態のホスト、サブネットを絞ることができるネットワーク異常検出装置に関するものである。
【背景技術】
【０００２】
インターネット等に代表されるコンピュータネットワーク上では、不正アクセスやネットワーク障害等の異常検出が重要となっている。例えば、不正アクセスに対するセキュリティとしては、シグネチャ型とアノマリ型がある。シグネチャ型は、予め登録しておいた不正アクセスの情報（シグネチャ）と、現在のパケットとを比較し、不正アクセスを検出する。一方、アノマリ型は、ネットワークが正常な状態において統計情報を収集し、データベースに格納しておく。そして、データベースに格納した通常の状態と現在の状態とを比較して不正アクセスを検出するものであり、未知の不正アクセスであっても対応が可能である。
【０００３】
図１５は、コンピュータネットワークに従来のネットワーク異常検出装置（アノマリ型）を用いた構成図である。図１５において、ネットワークＮ１は、異常を検出する対象のネットワークであり、複数のホストＨ１〜Ｈ４、複数のサブネットワーク（サブネットとも呼ばれる）ＳＮ１〜ＳＮ２を有し、インターネット１００を経由して他のネットワーク（図示せず）と通信する。図中、ホスト４台、サブネット２個としてるが、もちろん、ホスト、サブネットの個数は何個でもよい。
【０００４】
ゲートウェイＧＷは、ネットワークＮ１とインターネット１００とを通信回線で接続し、自機器を通過するパケットに関する情報の収集、収集した情報の統計情報等を生成する。攻撃元ホストＨａは、インターネット１００に通信回線で接続される。
【０００５】
ネットワーク異常検出装置１０は、ゲートウェイＧＷに通信回線で接続され、統計情報取得部１１、データベース１２、主成分分析部１３、判定部１４を有し、被異常検出ネットワークＮ１の異常を検出する（例えば、特許文献１、非特許文献１参照）。
【０００６】
統計情報取得部１１は、ゲートウェイＧＷから統計情報を取得する。データベース１２は、記憶部であり、統計情報取得部１１からの統計情報を記憶する。主成分分析部１３は、データベース１２の統計情報の主成分分析を行なう。判定部１４は、主成分分析の分析結果から、ネットワークＮ１の状態の判定を行なう。
【０００７】
このような装置の動作を図１６に示すフローチャートを用いて説明する。
攻撃元ホストＨａは、インターネット１００、ゲートウェイＧＷを介してネットワークＮ１の所望のホストＨ１〜Ｈ４に対して不正なパケットを、所望のタイミングで送信する。
【０００８】
一方、ゲートウェイＧＷ内に設けられる統計情報生成部（図示せず）が、自機器を通過するパケットについて、単位時間ごとのパケットに関する統計情報を生成する。統計情報としては、例えば、パケットをプロトコル別にカウントしたものであり、一例を図１７に示す。図１７においては、単位時間当たりのパケット数、バイト数、ＳＹＮ数（ＳＹＮフラグのついたパケット）、フラグメントつきのパケット数などをカウントして統計情報を生成している。
【０００９】
そして、検出装置１０の統計情報取得部１１が、ゲートウェイＧＷから統計情報を取得し、データベース１２に格納する（Ｓ１０）。さらに、主成分分析部１３が、単位時間当たりのデータを１ベクトル（ｋ次元のベクトル）として主成分分析を行ない、第１主成分軸を算出する（Ｓ１１）。そして、主成分分析部１３が、単位時間ごとに求めたｋ次元のベクトルのデータ（以下、単位時間データと略す）の全てを、求めた第１主成分軸と同じ空間内にプロットする（Ｓ１２）。そして、全ての単位時間データと第１主成分軸との距離を求める（Ｓ１３）。
【００１０】
そして、判定部１４が、現在の単位時間データによる距離と、過去分の単位時間データの距離とを比較し、過去分の距離よりも明らかに離れていればネットワーク１００の状態を異常（アノマリ）と判定し、距離差が無ければ正常と判定する（Ｓ１４）。さらに、検出装置１０が、ステップＳ１０〜Ｓ１４の動作を所定の間隔で繰り返し、ネットワークの異常検出を行なう。
【００１１】
【特許文献１】特開２００４−３１２０６４号公報
【非特許文献１】及川達也、他４名、「統計的クラスタリング手法によるネットワーク異常状態の検出」、電子情報通信学会、信学技報、２００２年１０月、第１０２巻、第３５１号、ＩＮ２００２−１４３、ｐ．８３−８８
【発明の開示】
【発明が解決しようとする課題】
【００１２】
このようにゲートウェイＧＷの収集した統計情報を元に、検出装置１０がネットワークＮ１の異常を検出する。
【００１３】
しかしながら、異常状態の検出対象のネットワークＮ１にアノマリトラフィックが存在するかを検出しているので、ネットワークＮ１内のどのホストＨ１〜Ｈ４，どのサブネットワークＳＮ１、ＳＮ２が、アノマリ状態なのかを特定することができないという問題があった。
【００１４】
また、その他の問題として、ネットワークＮ１が大きくなるにつれてトラフィックも急増するので、アノマリトラフィックの割合が正常トラフィックに対して小さくなり、アノマリ状態を検出できない場合があるという問題があった。
【００１５】
また、全ての統計情報を用いて主成分分析しているので、相関関係がないパラメータ同士の相関もチェックしているため誤検知する可能性があった。
【００１６】
そして、過去の統計情報を全て使って主成分分析を行っているため、正常トラフィックに周期性がある場合は正しく検出できない可能性があった。
【００１７】
さらに、過去の全てのデータについて距離計算を行うため、計算量が多くアノマリ検知に時間がかかっていた。
【００１８】
そこで本発明の目的は、アノマリ状態のホスト、サブネットを絞ることができるネットワーク異常検出装置を実現することにある。
【課題を解決するための手段】
【００１９】
請求項１記載の発明は、
複数のホスト、サブネットワークから構成されるネットワークの異常を検出するネットワーク異常検出装置において、
記憶部と、
アドレスブロックごとに統計情報を生成し、前記記憶部に格納するベースライン生成部と、
前記記憶部の統計情報と前記ネットワークのトラフィック情報とから主成分分析を行なう主成分分析部と、
この主成分分析部の分析結果から前記ネットワークの異常を検出する判定部と
を設けたことを特徴とするものである。
請求項２記載の発明は、請求項１記載の発明において、
ベースライン生成部は、
ネットワークアドレスの所望のフィールドに基づいてアドレスブロックを生成するアドレスブロック生成手段と、
このアドレスブロック生成手段のアドレスブロックごとに統計情報を生成する統計手段と
を設けたことを特徴とするものである。
請求項３記載の発明は、請求項２記載の発明において、
統計手段は、相関関係のあるパラメータごとの統計情報を生成することを特徴とするものである。
請求項４記載の発明は、請求項１記載の発明において、
主成分分析部は、前記トラフィック情報を取得した時刻近傍の統計情報を前記記憶部から読み出すことを特徴とするものである。
請求項５記載の発明は、請求項１〜４のいずれかに記載の発明において、
主成分分析部は、単位時間当たりの統計情報それぞれに対して固有値と固有ベクトルを求め、最も大きな値の固有値となる固有ベクトルを第１主成分とし、前記トラフィック情報から求めたベクトルをプロットして第１主成分軸との距離を求め、
判定部は、前記主成分分析部の求めた距離に基づいて判定を行なうことを特徴とするものである。
請求項６記載の発明は、
複数のホスト、サブネットワークから構成されるネットワークの異常を検出するネットワーク異常検出方法において、
アドレスブロックごとに統計情報を生成するステップと、
生成した統計情報と前記ネットワークのトラフィック情報とから主成分分析を行なうステップと、
この主成分分析部の分析結果から前記ネットワークの異常を検出するステップと
を設けたことを特徴とするものである。
【発明の効果】
【００２０】
本発明によれば、以下のような効果がある。
請求項１〜５によれば、ベースライン生成部が、アドレスブロックごとに統計情報を求め、主成分分析部が、今回のトラフィック情報について、アドレスブロックごとに主成分分析を行なってアノマリ検出を行なうので、検出対象のネットワーク内のどのアドレス（つまり、どのホスト、どのサブネット）がアノマリ状態なのかの候補を絞ることができる。
請求項６によれば、アドレスブロックごとに統計情報を生成するステップと、生成した統計情報と異常検出対象のネットワークのトラフィック情報とから主成分分析を行なうステップと、この主成分分析部の分析結果からネットワークの異常を検出するステップとを行なうので、検出対象のネットワーク内のどのアドレス（つまり、どのホスト、どのサブネット）がアノマリ状態なのかの候補を絞ることができる。
【発明を実施するための最良の形態】
【００２１】
以下図面を用いて本発明の実施の形態を説明する。
図１は、本発明の一実施例を示した構成図である。ここで、図１５と同一のものは同一符号を付し、説明を省略する。図１において、ネットワーク異常検出装置１０の代わりにネットワーク異常検出装置２０が設けられる。
【００２２】
検出装置２０は、ゲートウェイＧＷに通信回線で接続され、情報取得部２１、メモリ２２、ベースライン生成部２３、データベース２４、主成分分析部２５、判定部２６を有し、被異常検出ネットワークＮ１のアノマリなトラフィックを検出する。
【００２３】
情報取得部１１は、ゲートウェイＧＷからトラフィック情報を取得する。メモリ２２は、情報取得部１１によって取得されたトラフィック情報を一時的に格納する。ベースライン生成部２３は、メモリ２２からトラフィック情報を読み出し、アドレスブロックごとの統計情報を生成する。
【００２４】
また、ベースライン生成部２３は、アドレスブロック生成手段２３ａ、統計手段２３ｂを有する。アドレスブロック生成手段２３ａは、アドレスブロックの集約・作成を行なう。統計手段２３ｂは、アドレスブロック生成手段２３ａの生成したアドレスブロックごとに統計情報を生成する。
【００２５】
データベース２４は、記憶部であり、ベースライン生成部２３の統計情報を格納する。主成分分析部２５は、メモリ２２のトラフィック情報およびデータベース２４の統計情報を読み出し、アドレスブロックごとに主成分分析を行なう。判定部２６は、主成分分析の分析結果から、ネットワークＮ１の状態（正常または異常）の判定を行なう。
【００２６】
このような装置の動作を説明する。図２は、本発明に係る装置の全体的な動作を説明したフローチャートであり、図３、図６、図７は、詳細な動作を説明したフローチャートである。
【００２７】
全体的な動作を説明した後、各部の詳細な動作を説明する。
まず、ネットワークＮ１の異常検出を行なう前に、運用を行なうネットワーク環境にて正常な状態のベースラインを作成するための学習を行なう。検出装置２０のベースライン生成部２３が、ゲートウェイＧＷからのトラフィック情報によって、アドレスブロックごとの統計情報を生成し、ベースラインとしてデータベース２４に格納する。なお、ベースラインとは、データベース２４に格納され、異常検出に用いるためのデータの総称であり、一例としては、単位時間当たりの統計情報であって複数の項目に関する統計情報を含む（Ｓ２０）。
【００２８】
そして学習が終了すると、実際にネットワークＮ１の異常検出を行なうため、検出装置２０が、単位時間ごとのトラフィック情報を通信回線を通してゲートウェイＧＷから取得する（Ｓ２１）。さらに、主成分分析部２５が、単位時間ごとのトラフィック情報およびデータベース２４のベースラインから、アドレスブロックごとに主成分分析を行なう（Ｓ２２）。そして、判定部２６が、分析結果からアドレスブロックごとにアノマリ検知を行ない、そのアドレスブロックの中にアノマリなトラフィックが含まれているかを判定し、異常があると判定すればアノマリ検出したとしてデータベース２４に記録したり、外部の装置に出力する（Ｓ２３、Ｓ２４）。異常がなければ、ベースライン生成部２３が、判定対象のトラフィック情報でベースラインの更新を行なう（Ｓ２３、Ｓ２５）。さらに、検出装置２０が、ステップＳ２０〜Ｓ２５の動作を所定の間隔で繰り返し、ネットワークＮ１の異常検出を行なう。
【００２９】
次に主要なステップの動作を詳細に説明する。図３は、ステップＳ２０において、アノマリ検知の基準となるベースライン作成の動作を示したフローチャートである。情報取得部２１が、ゲートウェイＧＷからトラフィック情報を取得し、メモリ２２に格納する。トラフィック情報とは、例えば、ＮｅｔＦｌｏｗやｓＦｌｏｗ等であり、ゲートウェイＧＷを通過したパケットのヘッダ情報、パケットの上位数百バイトのデータ等である（Ｓ３０）。そして、単位時間を経過するまでトラフィック情報を取得し、メモリ２２に格納する（Ｓ３１、Ｓ３０）。
【００３０】
一方、単位時間経過すると、ベースライン生成部２３のアドレスブロック生成手段２３ａが、メモリ２２から単位時間分のトラフィック情報を取得し、アドレス集約処理の要否、すなわちアドレスブロックの集約または新規作成を行なうかを判断する。アノマリの検出対象のネットワークＮ１には、非常に多くのホストＨ１〜Ｈ４、サブネットＳＮ１，ＳＮ２が存在するが、個々のホストまたはサブネットを特定するためや、データベース２４の容量等にあわせるため、所望の大きさのアドレスブロックに分ける。ここで、アドレスブロックとは、ＩＰアドレスの集合のことをさし、ＩＰアドレスのネットワークアドレスとプリフィックス（prefix）長で決定されるＩＰアドレスのかたまりである。なお、プリフィックスとは、ネットワークアドレスの特定のフィールドまたは複数の特定のフィールドの組み合わせである（Ｓ３１、Ｓ３２）。
【００３１】
そして、アドレス集約処理を行なう場合、アドレスブロック生成手段２３ａがアドレス集約処理を行なう。なお、アドレス集約処理の一例の詳細は、後述する（Ｓ３２、Ｓ３３）。
【００３２】
一方、アドレス集約処理が不要の場合、またはアドレス集約処理の終了後に、統計手段２３ｂが、アドレスブロックごとに、メモリ２２から読み出したトラフィック情報に基づく統計情報を生成し、データベース２４のベースラインに追加する。なお、単位時間ごとに統計情報を生成していくが、トラフィック情報を取得した時刻も合わせて格納する（Ｓ３２、Ｓ３４）。
【００３３】
そして、学習を終了する場合（例えば、予め設定された時間が経過した場合、ユーザからの終了指示の学習終了トリガ信号が入力された場合等）は、次のステップＳ２１に進み、学習を続ける場合は、トラフィック情報の取得からベースラインへの追加の各ステップを繰り返す（Ｓ３５、Ｓ３０〜Ｓ３４）。
【００３４】
ここで、図４は、ベースライン生成部２３によって生成され、データベース２４に格納されるベースラインの構造を示した図である。ベースラインの統計情報は、単位時間ごとに、ＩＰ統計情報、ＩＣＭＰ統計情報、ＴＣＰ統計情報、ＵＤＰ統計情報の４個の統計情報を組として求める。また、組とした統計情報をアドレスブロックごとに求める。そして、図５は、各統計情報それぞれの内容である統計項目の構成を示した図である。
【００３５】
IP統計情報とは、
・パケット数：単位時間に出現したパケット数。
・バイト数：単位時間に流れたトラフィック量。
・宛先IPアドレス種類数：単位時間に出現したユニークな宛先IPアドレスの数。
・送信元IPアドレス種類数：単位時間に出現したユニークな送信元IPアドレスの数。
・フラグメントパケット数：単位時間に出現したフラグメントされたIPパケットの数。
・ICMPパケット数：単位時間に出現したプロトコルタイプがICMPのパケット数。
・TCPパケット数：単位時間に出現したプロトコルタイプがTCPのパケット数。
・UDPパケット数：単位時間に出現したプロトコルタイプがUDPのパケット数。
を含む。
【００３６】
ICMP統計情報とは、
・ICMPパケット数：単位時間に出現したICMPパケット数。
・TYPE別パケット数：単位時間に出現したICMPの中でICMPの任意のTYPEフィールドの値のパケットの数。
を含む。
【００３７】
TCP統計情報とは、
・TCPパケット数：単位時間に出現したTCPパケットの数。
・宛先ポート番号種類数：単位時間に出現したユニークな宛先ポート番号の数。
・送信元ポート番号種類数：単位時間に出現したユニークな送信元ポート番号の数。
・SYNフラグ出現数：単位時間に出現したTCPパケットの中でSYNフラグが立っているものの数。
・ACKフラグ出現数：単位時間に出現したTCPパケットの中でACKフラグが立っているものの数。
・RSTフラグ出現数：単位時間に出現したTCPパケットの中でRSTフラグが立っているものの数。
・FINフラグ出現数：単位時間に出現したTCPパケットの中でFINフラグが立っているものの数。
・ECEフラグ出現数：単位時間に出現したTCPパケットの中でECEフラグが立っているものの数。
・CWRフラグ出現数：単位時間に出現したTCPパケットの中でCWRフラグが立っているものの数。
・ポート別パケット数：単位時間に出現したTCPパケットの中で任意のポートのパケット数
を含む。
【００３８】
UDP統計情報とは、
・UDPパケット数：単位時間に出現したUDPパケットの数。
・宛先ポート番号種類数：単位時間に出現したユニークな宛先ポート番号の数。
・送信元ポート番号種類数：単位時間に出現したユニークな送信元ポート番号の数。
・ポート別パケット数：単位時間に出現したUDPパケットの中で任意のポート番号のパケットの数。
を含む。
【００３９】
続いて、図６は、アドレスブロック生成手段２３ａの動作（図３のステップＳ３３）の一例を説明したフローチャートである。アドレス集約処理を行なう場合、Ｎ（初期値は”１”）番目にプリフィックス長が長いアドレスブロック群のプリフィックス長をｍ（初期値は”１”）ビット縮めることにより、集約可能なアドレスブロックがあるかを判断する（Ｓ４０）。
【００４０】
集約可能なアドレスが有る場合、アドレスブロックの集約を行ない、集約したアドレスブロック群に対応するデータベース２４のベースラインの統計情報を統合する（Ｓ４１）。
【００４１】
そして、アドレスブロックを集約した結果、データベース２４に、追加するアドレスブロックが存在するかを確認し、存在しない場合新規ブロックを作成する（Ｓ４２、Ｓ４３）。そして、新規に作成した場合、統計手段２３ｂが、トラフィック情報から統計情報を生成し、新規のアドレスブロックに統計情報を格納する。また、ステップＳ４２において、該当するアドレスブロックがあれば、統計情報を該当するアドレスブロックに格納する（図３のＳ３４）。
【００４２】
一方、集約可能なアドレスブロックが存在しない場合（Ｓ４０）、Ｎが現在のアドレスブロック数と等しいか、すなわち、ステップＳ４０において全てのアドレスブロックの集約の判断が終了している場合、ｍをインクリメントし、Ｎを１に初期化し、再度、集約が可能かを判断する（Ｓ４４、Ｓ４５、Ｓ４０）。また、Ｎが最大でない場合（Ｎがアドレスブロック数よりも小さい）、Ｎをインクリメントし、次にプリフィックス長が短いアドレスブロックで集約可能を判断する（Ｓ４４、Ｓ４６、Ｓ４０）。
【００４３】
続いて、図７は、図２のステップＳ２１〜Ｓ２５の動作を詳細に説明したフローチャートである。また、図８は、ＩＰ統計情報の主成分分析の一例を示した図である。
【００４４】
図２のステップＳ２１において、攻撃元ホストＨａが攻撃しうる実際のネットワーク環境で、情報取得部２１が、ゲートウェイＧＷから単位時間あたりのトラフィック情報を取得し、メモリ２２に格納する。そして、メモリ２２に格納された単位時間あたりのトラフィック情報からネットワークＮ１の状態を判定する。
【００４５】
すなわち、主成分分析部２５が、データベース２４のベースラインを読み出すが、過去分の全てのデータでなく所定の時間帯のデータ、例えば、今回の分析を行なうトラフィック情報がゲートウェイＧＷで取得された時刻近傍の統計情報を読み出す。
【００４６】
図９は、データベース２４から読み出す統計情報の一例を示した図である。図９において、ベースラインを予め時間帯（図９中、時間幅ＴＢ）ごとに分割しておき、今回取得したトラフィック情報の属する時間帯ＴＢおよび属する時間帯の前後一定期間（例えば、ＴＢ／２）のベースラインを読み出す。または、今回取得したトラフィック情報を中心に、所望の時間幅内のベースラインを読み出す。なお、読み出すのはＮ日前〜１日前の各時間帯のデータであり、特異日のデータは読み出さない。例えば、今回のトラフィック情報を平日に取得した場合、休日、祝日のデータは読み出さない（Ｓ５０）。
【００４７】
そして、主成分分析部２５に設けられる主成分軸作成手段（図示せず）が、読み出した統計情報（図８の最上段の表）から、単位時間あたりの統計データをひとつのベクトルとみなし、そのベクトルの集合の変量ごとの相間行列を求める（図８の２段目の表）。なお、図８において、相間行列の表は、１個しか図示していないが、各時刻ごと、すなわち単位時間ごとの相間行列を求める。さらに、主成分分析部２５の主成分軸作成手段（図示せず）が、各時刻ごとの相間行列の固有ベクトルおよび固有値を求める（図８の３段目の表）。そして、主成分分析部２５の主成分軸作成手段（図示せず）が、固有値でソートを行ない、最も固有値の大きな固有ベクトルから順に、第１主成分、第２主成分、…とする。そして、第１主成分の固有ベクトルから第１主成分軸を求める（図８の最下段の表）（Ｓ５１）。
【００４８】
なお、第１主成分軸は、組としたＩＰ統計情報、ＩＣＭＰ統計情報、ＴＣＰ統計情報、ＵＤＰ統計情報の４個の統計情報それぞれについて、アドレスブロックごとに求める。そして、主成分分析部２５に設けられるしきい値設定手段（図示せず）が、例えば、固有値からしきい値を求める（Ｓ５２）。
【００４９】
一方、主成分分析部２５に設けられるプロット手段（図示せず）が、今回のトラフィック情報から、アドレスブロックごとにＩＰ統計情報、ＩＣＭＰ統計情報、ＴＣＰ統計情報、ＵＤＰ統計情報を求める。そして、プロット手段（図示せず）が、各統計情報ごとに変量同士の相間行列を求め、固有ベクトルを求める。そして、アドレスブロックおよび統計情報の種類に対応させて、求めた固有ベクトルをステップＳ５１で求めた第１主成分軸にプロットし、第１主成分軸からの距離を算出する（Ｓ５３）。
【００５０】
そして、判定部２６が、主成分分析部２５の求めた距離としきい値を比較し、距離がしきい値内であれば正常と判断し（Ｓ５４、Ｓ２５）、しきい値内でなければ異常と判断する（Ｓ５４、Ｓ２４）。なお、各アドレスブロックごとに正常／異常の判断を行なうが、さらに図１０に示すようにＩＰ統計情報による主成分分析による判定結果、ＩＣＭＰ統計情報による主成分分析による判定結果、ＴＣＰ統計情報による主成分分析による判定結果、ＵＤＰ統計情報による主成分分析による判定結果の４個全てが正常な場合、今回のトラフィック情報においては、該当するアドレスブロックにてアノマリ無しと判断し、１個でも異常がある場合、アノマリ有りと判断する。ここで、図１０は、主成分分析および判定の処理の流れの一例を示した図である。
【００５１】
そして、アノマリ無しの場合、ベースライン生成部２３が、今回のトラフィック情報をメモリ２２から読み出して統計情報を求め、ベースラインに追加する（Ｓ２５）。アノマリ有りの場合、ベースライン生成部２３は、今回のトラフィック情報を読み出さない。
【００５２】
このようにベースライン生成部２３が、アドレスブロックごとに統計情報を求め、主成分分析部２５が、今回のトラフィック情報について、アドレスブロックごとに主成分分析を行なって、アノマリ検出を行なうので、ネットワークＮ１内のどのアドレス（つまり、どのホストＨ１〜Ｈ４、どのサブネットＳＮ１、ＳＮ２）がアノマリ状態なのかの候補を絞ることができる。
【００５３】
また、ネットワークＮ１が非常に大きく広範囲なネットワークになると、従来の装置ではアノマリトラフィックの割合が正常トラフィックに対して小さくなりアノマリ検出できない場合があったが、上述のように複数のアドレスブロックに分けてアノマリ検出を行なうので、広範囲のネットワークであってもアノマリを検出することができ、アノマリトラフィックが正常トラフィックに埋もれることがなく、精度よくアノマリ検出できる。
【００５４】
アドレスブロック生成手段２３ａが、アドレス集約を行なうので、検出装置２０のハードウェア資源を有効に使える。
【００５５】
主成分分析部２５が、プロトコルの統計情報別（ＩＰ統計情報、ＩＣＭＰ統計情報、ＴＣＰ統計情報、ＵＤＰ統計情報）に主成分分析を行なうので、正確にアノマリを検知することができる。
【００５６】
主成分分析部２５が、今回のトラフィック情報の取得時刻に基づいて、所定の時間幅内のベースラインをデータベース２４から読み出すので、時間帯の特性を考慮したアノマリ検知を行なえ、正常トラフィックに時間的な周期性等が存在していても、アノマリ検知の精度が向上する。
【００５７】
主成分分析部２５が読み出すベースラインの時間帯の幅を可変とするので、時間帯の前後の変化を考慮に入れたアノマリ検知を行なえ、アノマリ検知の精度が向上する。
【００５８】
主成分分析部２５が、単位時間あたりの統計情報それぞれに対して固有値、固有ベクトルを求め、最も大きな値の固有値となる固有ベクトルを第１主成分とし、今回のトラフィック情報から求めたベクトルをプロットし、第１主成分軸との距離を求めるので、図１５に示す装置のように過去全ての統計情報に対してプロットを行なって距離を求める必要がない。これにより、計算量を削減でき高速な処理を行なう事ができる。
【００５９】
なお、本発明はこれに限定されるものではなく、以下に示すようなものでもよい。
図１１に示すように、マルチホーミング環境において、ゲートウェイＧＷごとに検出装置２０を設け、検出装置２０のデータベース２４のベースラインを共有し、検出装置２０を連携してアノマリ検出を行なってもよい。
【００６０】
検出装置２０をゲートウェイＧＷに直接接続する構成を示したが、図１２に示すように、検出装置２０をインターネット１００を介してゲートウェイＧＷに接続してもよい。そして、検出装置２０が、トラフィック情報もインターネット１００経由で取得するとよい。
【００６１】
図１３に示すように、複数のゲートウェイＧＷ（図１３中は、２個のみ図示）がある場合、ネットワークＮ１内のバスに検出装置２０を接続し、複数のゲートウェイＧＷからトラフィック情報を取得するとよい。
【００６２】
図１４に示すように、検出装置２０をゲートウェイＧＷとネットワークＮ１の間に設けてもよい。この場合、検出装置２０にトラフィック情報生成手段（図示せず）を設け、検出装置２０のトラフィック情報生成手段（図示せず）が、検出対象のパケットを受信し、検出装置２０自身がトラフィック情報を生成し、情報取得部２１に出力してもよい。
【００６３】
検出装置２０をゲートウェイＧＷに接続する構成を示したが、ルータ、スイッチ、ＩＤＳ，ＩＰＳ等のネットワーク機器に接続し、ネットワーク機器からトラフィック情報を取得したり、パケット情報を取得してもよい。
【００６４】
ゲートウェイＧＷからトラフィック情報を取得する構成を示したが、ネットワークを流れるパケットを検出装置２０がキャプチャし、統計情報を生成して、アノマリトラフィック検知を行なってもよい。
【００６５】
主成分分析のパケットは、ＩＣＭＰ、ＴＣＰ、ＵＤＰ以外のパケットを用いてもよく、パケットの統計情報を用いることでアノマリトラフィック検知を行なってもよい。
【００６６】
主成分分析にＩＰパケットを用いる構成を示したが、ＶＬＡＮ，ＭＰＬＳ等のＩＰパケット以外のフレームを用いてもよく、フレームの統計情報を用いることでアノマリトラフィック検知を行なってもよい。
【００６７】
主成分分析部２５が、データベース２４の統計情報を用いて主成分分析を行なう際に、今回のトラフィック情報の取得時刻に近いデータベース２４の統計情報に重み付けをし、主成分分析の影響が大きくなるようにしてもよい。これにより、アノマリ検出の精度を向上することができる。
【００６８】
主成分分析の統計情報として、ＩＰ統計情報、ＩＣＭＰ統計情報、ＴＣＰ統計情報、ＵＤＰ統計情報を求める構成を示したが、図１５に示す装置１０のようにプロトコル別の統計情報を用いてもよい。
【００６９】
データベース２４のベースラインを、時間帯ごとに分けて読み出す構成を示したが、全てのベースラインを読み出してもよい。
【００７０】
ネットワークＮ１は、ゲートウェイＧＷを介してインターネットに接続する構成を示したが、ＷＡＮに接続してもよく、どのような種類のネットワークに接続してもよい。
【図面の簡単な説明】
【００７１】
【図１】本発明の第１の実施例を示した構成図である。
【図２】図１に示す装置の動作を説明したフローチャートである。
【図３】ベースライン生成部の動作を説明したフローチャートである。
【図４】データベースに格納されるベースラインの構造を示した図である。
【図５】各統計情報それぞれの内容である統計項目の構成を示した図である。
【図６】アドレスブロック生成手段２３ａの動作を説明したフローチャートである。
【図７】図２のステップＳ２１〜Ｓ２５の動作を詳細に説明したフローチャートである。
【図８】ＩＰ統計情報の主成分分析の一例を示した図である。
【図９】データベースから読み出す統計情報の一例を示した図である。
【図１０】主成分分析および判定の流れの一例を示した図である。
【図１１】本発明の第２の実施例を示した構成図である。
【図１２】本発明の第３の実施例を示した構成図である。
【図１３】本発明の第４の実施例を示した構成図である。
【図１４】本発明の第５の実施例を示した構成図である。
【図１５】従来のネットワーク異常検出装置の構成を示した図である。
【図１６】図１６に示す装置の動作を説明したフローチャートである。
【図１７】統計情報取得部が取得するデータの一例を示した図である。
【符号の説明】
【００７２】
２０  ネットワーク異常検出装置
２３  ベースライン生成部
２３ａ  アドレスブロック生成手段
２３ｂ  統計手段
２４  データベース
２５  主成分分析部
２６  判定部
Ｈ１〜Ｈ４  ホスト
Ｎ１  ネットワーク
ＳＮ１、ＳＮ２  サブネットワーク
【図１】
2007300263.tif 000003
【図２】
2007300263.tif 000004
【図３】
2007300263.tif 000005
【図４】
2007300263.tif 000006
【図５】
2007300263.tif 000007
【図６】
2007300263.tif 000008
【図７】
2007300263.tif 000009
【図８】
2007300263.tif 000010
【図９】
2007300263.tif 000011
【図１０】
2007300263.tif 000012
【図１１】
2007300263.tif 000013
【図１２】
2007300263.tif 000014
【図１３】
2007300263.tif 000015
【図１４】
2007300263.tif 000016
【図１５】
2007300263.tif 000017
【図１６】
2007300263.tif 000018
【図１７】
2007300263.tif 000019