(57)【要約】【課題】  適用環境に応じたワーム検出パラメータを設定する。【解決手段】  ログ読み込み手段１ａによって所定の期間の通信ログ２が取り込まれると、ログ分類手段１ｂは、予め定められた通信内容に基づくカテゴリによって通信ログ２を分類する。頻度分布算出手段１ｃは、カテゴリ別に分類された通信ログ２を解析して、ネットワーク単位ごとにワーム検出パラメータの値別の出現回数を数え上げて頻度分布情報を生成する。閾値導出手段１ｄは、頻度分布情報を解析し、ワーム通信が発生しているか否かを判定する閾値を算出する。そして、出力手段１ｅは、算出された所定のカテゴリのワーム検出パラメータの閾値を、頻度分布算出手段１ｃが生成した頻度分布情報とともに出力装置３に出力して、これらの情報を利用者に提供する。【選択図】  図１
2007013343.tif 000002
【特許請求の範囲】
【請求項１】
ワーム通信が行われているか否かの判定に用いるワーム検出パラメータを設定するためのワーム検出パラメータ設定プログラムにおいて、
コンピュータに、
ログ分類手段が、所定の期間の通信ログが読み込まれると、前記通信ログを予め定めた通信内容に基づくカテゴリに分類し、
頻度分布算出手段が、前記カテゴリに分類された前記通信ログに基づき所定のネットワーク単位ごとに、所定の単位時間あたりの前記ワーム検出パラメータの値を算出し、前記ワーム検出パラメータの値別の出現頻度を集計して頻度分布情報を生成し、
閾値導出手段が、前記頻度分布算出手段によって生成された前記頻度分布情報を解析し、前記ワーム検出パラメータに関し前記ワーム通信と判定する閾値を導出し、
出力手段が、導出された前記閾値を含む前記ワーム検出パラメータを前記頻度分布算出手段により生成された前記頻度分布情報とともに所定の出力装置に出力する、
処理を実行させることを特徴とするワーム検出パラメータ設定プログラム。
【請求項２】
前記頻度分布算出手段は、前記所定のネットワーク単位ごとに、予め設定された前記所定の単位時間の間に前記カテゴリに分類された前記通信ログに出現する前記所定のネットワーク単位に関するエントリの数を集計し、前記ワーム検出パラメータ値を算出する、
ことを特徴とする請求項１記載のワーム検出パラメータ設定プログラム。
【請求項３】
前記頻度分布算出手段は、前記ワーム通信が発生していない状態の通常通信ログに基づく通常通信の頻度分布情報を生成し、
前記閾値導出手段は、前記ワーム通信に関するワーム通信の頻度分布情報を取得し、前記頻度分布算出手段により生成された前記通常通信の頻度分布情報と前記ワーム通信の頻度分布情報に基づいて前記閾値を導出し、
前記出力手段による結果出力では、前記閾値とともに、前記通常通信の頻度分布情報と前記ワーム通信の頻度分布情報とを前記出力装置に出力する、
ことを特徴とする請求項１記載のワーム検出パラメータ設定プログラム。
【請求項４】
前記頻度分布算出手段は、予め用意された前記ワーム通信の性質に関するワーム通信情報と、対象の前記ネットワークに関するネットワーク環境情報に基づき、前記ワーム検出パラメータの値別の出現頻度を算出し、前記ワーム通信の頻度分布情報を作成する、
ことを特徴とする請求項３記載のワーム検出パラメータ設定プログラム。
【請求項５】
前記閾値導出手段は、前記通常通信の頻度分布情報と前記ワーム通信の頻度分布情報に基づき、双方の頻度分布が重ならない場合は、前記通常通信の頻度分布情報より導出される第１の閾値と、前記ワーム通信の頻度分布情報より導出される第２の閾値との間の値を前記閾値とする、
ことを特徴とする請求項３記載のワーム検出パラメータ設定プログラム。
【請求項６】
前記閾値導出手段は、前記通常通信の頻度分布情報と前記ワーム通信の頻度分布情報に基づいて複数の仮の閾値を設定し、前記仮の閾値が適用された場合の前記ワーム通信の検出精度を算出し、前記仮の閾値ごとに算出された前記検出精度を所定の評価式で評価し、所定の評価基準を満たす前記仮の閾値を前記閾値として選択する、
ことを特徴とする請求項３記載のワーム検出パラメータ設定プログラム。
【請求項７】
前記頻度分布算出手段は、予め設定された複数の単位時間候補に基づき、前記単位時間候補ごとに前記通常通信の頻度分布情報及び前記ワーム通信の頻度分布情報を生成して重ね合わせ、
前記閾値導出手段は、前記単位時間候補ごとに生成された前記通常通信と前記ワーム通信が重ね合わされた前記頻度分布情報に基づき、前記通常通信の頻度分布と前記ワーム通信の頻度分布の境界が明らかな前記単位時間候補を前記単位時間として導出する、
ことを特徴とする請求項３記載のワーム検出パラメータ設定プログラム。
【請求項８】
前記閾値導出手段は、複数の前記カテゴリごとに前記閾値を導出し、予め設定された所定の規則に従って、前記カテゴリごとの前記閾値から代表の閾値を導出する、
ことを特徴とする請求項１記載のワーム検出パラメータ設定プログラム。
【請求項９】
前記ワーム検出パラメータ設定プログラムは、コンピュータに、所定のタイミングで前記ネットワークの前記通信ログをリアルタイムで取得し、前記ログ分類手段による前記カテゴリの分類から前記頻度分布算出手段による前記頻度分布情報の生成及び前記閾値導出手段による前記閾値の導出までの処理を実行させ、各装置に設定される前記閾値を更新させる、
ことを特徴とする請求項１記載のワーム検出パラメータ設定プログラム。
【請求項１０】
ワーム通信が行われているか否かの判定に用いるワーム検出パラメータを設定するためのワーム検出パラメータ設定装置において、
所定の期間の通信ログが読み込まれると、前記通信ログを予め定めた通信内容に基づくカテゴリに分類するログ分類手段と、
前記カテゴリに分類された前記通信ログに基づき所定のネットワーク単位ごとに、所定の単位時間あたりの前記ワーム検出パラメータの値を算出し、前記ワーム検出パラメータの値別の出現頻度を集計して頻度分布情報を生成する頻度分布算出手段と、
前記頻度分布算出手段によって生成された前記頻度分布情報を解析し、前記ワーム検出パラメータに関し前記ワーム通信と判定する閾値を導出する閾値導出手段と、
導出された前記閾値を含む前記ワーム検出パラメータを前記頻度分布算出手段により生成された前記頻度分布情報とともに所定の出力装置に出力する出力手段と、
を具備することを特徴とするワーム検出パラメータ設定装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はワーム検出パラメータ設定プログラム及びワーム検出パラメータ設定装置に関し、特にワーム通信が行われているか否かの判定に用いるワーム検出パラメータを設定するためのワーム検出パラメータ設定プログラム及びワーム検出パラメータ設定装置に関する。
【背景技術】
【０００２】
近年、インターネットの普及などによるネットワークの拡大に伴って、コンピュータウィルスがネットワークを介して次々に広がり、多大な被害を与えている。
コンピュータウィルスのなかでも、特に、ワーム（Warm）と呼ばれる種類は、自己複製しながらネットワークを介して接続するコンピュータ間を移動し、次々に感染していく。ワームは、この自己複製しながら伝播するスピードが非常に速く、その過程において多量のトラフィックを発生させるため、ネットワークに多大な負荷をかけ、ネットワークの麻痺や、通常処理の停滞を招く恐れがある。また、次々に感染するため、一度ワームが拡散すると、ワームに感染したコンピュータを探し出してワームを停止させるだけでは、被害を防ぐことができない。このため、ネットワークの境界においてネットワークに入ってくるトラフィックを監視してワームを検出することが重要な課題となっている。
【０００３】
ワーム検出を早期に行うため、ネットワークトラフィックを監視し、ワーム通信の際に発生する通常通信とは異なる通信状態を検出し、ワーム通信と判定する手法がある。たとえば、ワームに感染した端末は、相手先の存在の有無に関わらずランダムにアクセス要求を発生させるという特徴がある。そこで、存在しないサブネットワークにアクセスした単位時間あたりのアクセス回数をワーム検出のためのワーム検出パラメータとし、通常通信とワーム通信を分ける閾値とともに設定しておく。そして、ネットワークトラフィックを監視し、ワーム検出パラメータの値が閾値を超えた場合に、ワーム通信が発生したと判定する。このとき、ワーム通信と通常通信を分ける閾値をどのような値に設定するかは、システム構成、トラフィック量、時間帯（トラフィック量の多い昼間であるか少ない夜間であるかなど）、特定イベントの有無などによって変動するため、一様に設定することは難しい。従来、たとえば、正常状態の通信ログを解析して正常時のワーム検出パラメータの値範囲を算出し、その値範囲を超える任意の値を閾値としていた。
【０００４】
また、過去の通信結果から通常通信のプロファイルを作り、そのプロファイルとの類似度に基づいて不正アクセスまたは異常アクセスを検知する侵入検知装置もある（たとえば、特許文献１参照）。
【特許文献１】特開２００４−１８６８７８号公報（段落番号〔００３４〕〜〔００４３〕、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、従来の技術では、適用環境に適したワーム検出パラメータを設定することが難しいという問題がある。
ワーム検出パラメータの値が閾値を超えているか否かでワーム判定を行う手法では、閾値が適切に設定されないとネットワークシステムに悪影響を与える恐れがある。たとえば、閾値を低く設定すれば、ワームを見落とす確率は下がるが、ワーム通信ではないケースでもワーム通信と誤検出してしまうことが多くなり、必要以上のアラーム発生や、正常な通信経路が遮断されてしまうなどの問題が発生する。一方、閾値を高く設定すると、誤検出の可能性が低くなるが、ワーム通信を見落としてしまう検知漏れ率が高くなるという問題が発生する。
【０００６】
このように、ワーム検出パラメータにおける閾値の設定は、検出精度に直接関わり、その値の設定は慎重に行われる必要がある。ところが、ワーム検出に適したパラメータの値は、適用先のネットワークのトラフィック量、ホスト数などに応じて変動するため、適用環境に最適な設定を行うことは容易ではない。また、ワーム検出パラメータは、所定の単位時間あたりのアクセス回数や所定のパケットの出現頻度などであるが、この単位時間が適切に設定されない場合には、通常通信とワーム通信を分ける最適な閾値の設定が難しくなり、結果としてワーム通信の誤検出や見落としなどが生じるという問題がある。
【０００７】
従来の通常通信時のワーム検出パラメータの値範囲を算出して閾値を設定する手法では、一過性の要因などで値範囲が変動すると、これが閾値に反映されてしまうため、適用環境に最適な閾値とならない場合があるという問題がある。また、ワームに感染した場合、不正通信パケットを多量に送り出すため通信量が増加することが推定されるが、どの程度通信量が増加するのかを通常通信のプロファイルから予測することはできない。したがって、正常なプロファイルのみに基づきワーム通信判定のためのプロファイルや閾値を設定しても、最適値が設定されない場合もある。
【０００８】
本発明はこのような点に鑑みてなされたものであり、適用環境に応じたワーム検出パラメータの設定を可能にするワーム検出パラメータ設定プログラム及びワーム検出パラメータ設定装置を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明では上記課題を解決するために、図１に示すような、ワーム通信が行われているか否かの判定に用いるワーム検出パラメータを設定するためのワーム検出パラメータ設定プログラムを実行するワーム検出パラメータ設定装置１が提供される。このワーム検出パラメータ設定プログラムにより、コンピュータを図１に示すような各処理手段として機能させ、以下に示す処理を実行させることができる。
【００１０】
ログ分類手段１ｂは、所定の期間の通信ログ２が読み込まれると、読み込まれた通信ログ２を、予め定められた通信内容に基づくカテゴリごとに分類する。頻度分布算出手段１ｃは、カテゴリごとに分類された通信ログ２に基づき所定のネットワーク単位ごとに、所定の単位時間あたりのワーム検出パラメータの値を算出し、ワーム検出パラメータの値別に出現頻度を集計して頻度分布情報を生成する。閾値導出手段１ｄは、頻度分布算出手段１ｃが生成した頻度分布情報を解析して、このワーム検出パラメータに関し、ワーム通信と判定する閾値を導出する。出力手段１ｅは、閾値導出手段１ｄが導出した閾値を含むワーム検出パラメータを、頻度分布算出手段１ｃが生成した頻度分布情報とともに出力装置３に出力する。
【００１１】
このようなワーム検出パラメータ設定プログラムをコンピュータに実行させることで、所定の期間の通信ログ２が取り込まれると、ログ分類手段１ｂによって、予め定められた通信内容に基づくカテゴリによって通信ログ２が分類される。たとえば、プロトコル別や宛先ポート別などのカテゴリごとに通信ログ２が集められる。そして、頻度分布算出手段１ｃは、カテゴリ別に分類された通信ログ２から、所定のネットワーク単位ごとに、所定の単位時間あたりの、ワーム検出パラメータの値を算出し、算出されたワーム検出パラメータの値別の出現頻度を集計して頻度分布情報を生成する。これにより、所定のカテゴリの通信が所定のネットワーク単位において出現した頻度分布が得られる。閾値導出手段１ｄは、頻度分布算出手段１ｃが生成した頻度分布情報を解析し、このワーム検出パラメータに関してワーム通信と通常通信を分ける閾値を導出する。そして、出力手段１ｅは、閾値導出手段１ｄが導出した閾値を含むワーム検出パラメータを、頻度分布算出手段１ｃが生成した頻度分布情報とともに出力装置３に出力して、これらの情報を利用者に提供する。
【００１２】
また、上記課題を解決するために、ワーム通信が行われているか否かの判定に用いるワーム検出パラメータを設定するためのワーム検出パラメータ設定装置において、所定の期間の通信ログが読み込まれると、前記通信ログを予め定めた通信内容に基づくカテゴリに分類するログ分類手段と、前記カテゴリに分類された前記通信ログに基づき所定のネットワーク単位ごとに、所定の単位時間あたりの前記ワーム検出パラメータの値を算出し、前記ワーム検出パラメータの値別の出現頻度を集計して頻度分布情報を生成する頻度分布算出手段と、前記頻度分布算出手段によって生成された前記頻度分布情報を解析し、前記ワーム検出パラメータに関し前記ワーム通信と判定する閾値を導出する閾値導出手段と、導出された前記閾値を含む前記ワーム検出パラメータを前記頻度分布算出手段により生成された前記頻度分布情報とともに所定の出力装置に出力する出力手段と、を具備することを特徴とするワーム検出パラメータ設定装置、が提供される。
【００１３】
このようなワーム検出パラメータ設定装置では、ログ分類手段によって所定の期間の通信ログがカテゴリごとに分類されると、頻度分布算出手段は、カテゴリに分類された通信ログに基づき、所定のネットワーク単位ごとに、所定の単位時間あたりのワーム検出パラメータの値を算出し、値別の出現頻度を集計して頻度分布情報を生成する。閾値導出手段は、頻度分布情報を解析し、このワーム検出パラメータに関してワーム通信と判定する閾値を導出する。そして、出力手段が、導出されたワーム検出パラメータの閾値を導出の基となった頻度分布情報とともに出力装置に出力し、利用者に提供する。
【発明の効果】
【００１４】
本発明では、カテゴリごとに分類した通信ログを解析し、所定のネットワーク単位ごとにワーム検出パラメータの値別の頻度分布情報を生成するとともに、頻度分布情報に基づいてワーム通信と判定する閾値を導出する。そして、閾値を含むワーム検出パラメータを頻度分布情報とともに利用者に提供する。これにより、利用者は、提供された頻度分布情報を参照して導出された閾値の妥当性を判断し、適切なワーム検出パラメータを設定することができる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の実施の形態を図面を参照して説明する。まず、実施の形態に適用される発明の概念について説明し、その後、実施の形態の具体的な内容を説明する。
図１は、実施の形態に適用される発明の概念図である。ワーム検出パラメータ設定装置１は、出力装置３に接続され、所定の期間のネットワークトラフィックの通信ログ２を読み込み、ワーム検出パラメータの設定値とその基となる頻度分布情報を出力装置３に出力し、利用者に提供する。
【００１６】
ワーム検出パラメータ設定装置１は、ログ読み込み手段１ａ、ログ分類手段１ｂ、頻度分布算出手段１ｃ、閾値導出手段１ｄ及び出力手段１ｅの各処理手段を具備する。なお、ワーム検出パラメータ設定装置１を構成する各処理手段は、コンピュータがワーム検出パラメータ設定プログラムを実行することにより、その処理機能を実現する。
【００１７】
ログ読み込み手段１ａは、所定の期間の通信ログ２を読み込み、ログ分類手段１ｂに送る。通信ログ２は、適用先のネットワークに既存のパケットアナライザなどを設置し、一定期間ネットワーク上を流れるパケットを採取するなどして生成される。この通信ログ２は、それぞれがパケットに対応する多くのエントリで構成され、各エントリには、発信元／宛先アドレス、発信元／宛先ポート、プロトコルなどの通信に関連するデータが含まれている。読み込みを行う通信ログ２は、通常通信時、ワーム通信発生時など、様々な通信状態で採取されたものが適宜選択される。１種類、または複数種類の通信ログを読み込んでもよい。また、通信ログ２は、上記のような手順によって前もって採取してあっても、現在進行中のネットワークトラフィックからリアルタイムに得るとしてもよい。
【００１８】
ログ分類手段１ｂは、ログ読み込み手段１ａによって装置内に読み込まれた通信ログ２の各エントリを通信内容に応じたカテゴリに分類する。たとえば、プロトコル別（ＴＣＰ／ＵＤＰ／ＩＣＭＰ）や、サービス別（宛先ポート番号）や、パケットに含まれる各種フラグ別（ＴＣＰの場合のＳＹＮパケットのみなど）、そのほかのパケットの特徴別などで分類することができる。分類は、ワームが、種々の通信を無作為に行うわけではなく、同種のワームは同種のカテゴリに分類される通信を大量に行うことが多いという性質に基づいて行われる。このようにカテゴリ分類を行ってから頻度分布情報を作成することにより、正常な通信をワームと誤検出する可能性が低くなる。なお、分類なしとし、全部のエントリを処理するようにしてもよい。
【００１９】
頻度分布算出手段１ｃは、分類された通信ログ２の各エントリに対し、所定のネットワーク単位ごとに、所定の単位時間あたりのワーム検出パラメータの値を算出して、値別の出現頻度を集計し、頻度分布情報を生成する。所定のネットワーク単位とは、任意のネットワークセグメントや端末など、頻度分布を作る際の単位である。たとえば、端末単位のパケット数を集計する場合には、カテゴリに分類された通信ログを分析し、所定の単位時間のエントリのうち、発信元アドレスが同じエントリの数を数え上げる。これを、すべての発信元アドレスについて行い、集計されたエントリの数が該当する値範囲の出現頻度に１を加算していく。なお、ワーム検出パラメータには、ワームが蔓延した場合に通常時と比較して大きく変化するデータが設定される。たとえば、パケット数（通信ログのエントリ数）、通信量（単位時間あたりのデータ転送量）、宛先アドレス数、発信元アドレス数などは、ワームが蔓延すると通常時と比較してその量が膨大となるパラメータであり、ワーム検出パラメータとして、このようなパラメータから１または複数が選択されて設定される。また、出現頻度を算出する単位時間及び頻度分布を作成する場合のワーム検出パラメータの値区分も適用ネットワークに応じて任意に設定される。
【００２０】
閾値導出手段１ｄは、頻度分布算出手段１ｃにより得られたワーム検出パラメータ値の頻度分布情報を解析し、ワーム通信と通常通信を分ける閾値を導出する。閾値の導出は、作成された頻度分布情報の元となる通信ログ（正常時の通信ログであるか、ワーム通信時の通信ログであるかなど）や、適用するネットワークの特性（ワームを見落とさないことを優先させるのか、ワームの誤検出をしないことが優先であるのかなど）などに応じて適宜導出規則が設定される。たとえば、導出のロジックを閾値決定ポリシーとして記述しておくようにすることもできる。また、予めいくつかロジックを用意しておき、利用者に選択させるようにしてもよい。
【００２１】
出力手段１ｅは、頻度分布算出手段１ｃが生成した頻度分布情報と、閾値導出手段１ｄがこの頻度分布情報に基づいて導出した閾値を含むワーム検出パラメータを出力装置３に出力し、これらの情報を利用者に提供する。出力装置３が表示装置であれば、表示画面にこれらの情報を表示するための表示情報を出力する。また、プリンタであれば、同様に印刷情報を出力する。その他、出力装置３に応じた出力情報を生成し、出力する。
【００２２】
以上の構成のワーム検出パラメータ設定装置１の動作について説明する。
ワーム検出パラメータ設定装置１によるワーム検出パラメータの設定処理を行うための前処理として、適用ネットワークにおける通信ログ２の採取が行われる。このとき、少なくとも適用するネットワークの通常時におけるネットワークトラフィックの状況を示す通信ログが採取される。また、通常時との差を明確にするため、必要に応じて、ワーム通信を発生させた場合の通信ログも採取する。こうして作成された通信ログ２は、ログ読み込み手段１ａによって装置内に読み込まれる。ログ分類手段１ｂは、読み込まれた通信ログ２について、エントリごとに通信内容に応じたカテゴリに分類する。各カテゴリに分類されたエントリについて、頻度分布算出手段１ｃは、ネットワーク単位ごとに、所定の単位時間あたりのワーム検出パラメータの頻度分布情報を生成する。
【００２３】
一例として、単位時間が「１０秒」、所定のネットワーク単位が「端末単位」、ワーム検出パラメータが「単位時間あたりのパケット数」とする設定がされ、頻度分布を作成する値区分が「１０区切り」とする。この場合、通信ログの１０秒間のエントリを端末（発信元ＩＰアドレス）ごとに分け、それぞれの端末ごとに、検出されるパケット数（通信ログのエントリ数）を集計する。なお、これは、エントリはパケットごとに生成され、パケット数＝エントリ数が成立していることを前提としている。これにより、ワーム検出パラメータである「単位時間あたりのパケット数」の値が端末ごとに算出される。そして、パラメータ値の区分に該当する出現頻度に１を加算する。たとえば、単位時間あたりのパケット数が２０であった場合、１０ごとに区切られた値区分の「１１〜２０」の出現頻度（出現回数）に１を加算する。他のネットワーク単位（端末）についても、同様の処理を行う。以上の処理手順を通信ログの１０秒間のエントリごとに行うことによって、１０秒間の間にこの端末から送出された所定のカテゴリのパケット数の分布状況を示す頻度分布情報が得られる。
【００２４】
次に、閾値導出手段１ｄは、頻度分布算出手段１ｃが生成した頻度分布情報に基づき、予め決められた所定の規則に従って閾値を設定する。出力手段１ｅは、閾値導出手段１ｄが導出した閾値を含むワーム検出パラメータの設定情報を、頻度分布算出手段１ｃが生成した頻度分布情報とともに出力装置３へ出力する。出力装置３が表示装置である場合には、たとえば、ワーム検出パラメータの設定値と、頻度分布を示す頻度分布情報の表を画面に表示するための表示情報を生成し、出力する。
【００２５】
このように、ワーム検出を行う対象のネットワークより採取された通信ログから、ワーム検出のためのワーム検出パラメータの値別の頻度分布情報を生成し、この頻度分布情報から閾値を導出するので、利用者に特別の知識がない場合でも適用ネットワークに適した妥当な閾値が設定できる。また、閾値導出の基となった頻度分布情報を閾値とともに提供するので、頻度分布情報を参照して閾値が妥当であるかどうかを判断することができる。ワーム検出パラメータによる検出は、ワーム通信の性質に基づいているので、未知のワームであっても検出でき、かつ早期にワーム検出できるという特徴を有する。一方、たとえば、単位時間あたりのパケット数など、ワーム通信以外の要因で値が変動する可能性を有するパラメータであるので、頻度分布情報にワーム通信とは関係のない一過性の要素が入り込む余地を排除することができない。そこで、頻度分布情報より導出した閾値とともに、その基礎となった頻度分布情報を提供することにより、利用者が頻度分布情報を参照して閾値の妥当性をチェックできるようにした。
【００２６】
この結果、適用環境に応じた最適なワーム検出パラメータを容易に設定することが可能となる。
以下、本発明の実施の形態について、ネットワークセグメントに配置されるワーム判定遮断装置にワーム検出パラメータを設定する場合を例にとり詳細に説明する。
【００２７】
図２は、本発明の実施の形態に係るネットワークシステムの構成図である。
本実施の形態に係るネットワークシステムは、少なくとも１台以上の端末を含むネットワークセグメント１（４１）、ネットワークセグメント２（４２）及びネットワークセグメント３（４３）が上位のネットワーク４０を介して接続しており、各ネットワークセグメント４１、４２、４３と上位のネットワーク４０の接続点には、それぞれワーム判定遮断装置５１、５２、５３が配置される。ここで、上位ネットワーク４０とは、インターネット、イントラネット、ＩＳＰネットワークなどを指している。
【００２８】
ワーム判定遮断装置５１、５２、５３は、自装置が管理するセグメントに入ってくるパケット及び上位のネットワーク４０へ出ていくパケットを監視し、所定のパケット数の変化などのワーム検出パラメータが閾値を超えた場合にワーム通信が発生していると判定し、必要に応じて、通信経路の遮断を行う。この手法は、パケットなどを既知の攻撃パターン情報とマッチングする方法に比べ、処理時間が短くて済むため全パケットをチェックすることが可能で、早期にワーム検出を行えるほか、未知のワーム検出もできるなどの特徴を有する。
【００２９】
本発明の実施の形態のワーム検出パラメータ設定装置１０は、ネットワーク４０を介して各ワーム判定遮断装置５１、５２、５３に接続し、各ネットワークセグメントの通信ログを取得し、ワーム検出パラメータの最適値を導出するとともに、その設定値を各ワーム判定遮断装置５１、５２、５３のワーム検出パラメータに反映させることができる。なお、ワーム検出パラメータ設定装置１０は、各ネットワークセグメントの通信ログを取得することができれば、ネットワーク４０に接続していなくてもよい。また、ワーム検出パラメータ設定装置１０が導出した設定値も、ネットワーク４０を介して送信するのではなく、利用者が直接各ワーム判定遮断装置５１、５２、５３へ設定することもできる。
【００３０】
ここで、ワーム検出パラメータ設定装置１０のハードウェア構成について説明する。図３は、本実施の形態のワーム検出パラメータ設定装置１０のハードウェア構成例を示すブロック図である。
【００３１】
ワーム検出パラメータ設定装置１０は、ＣＰＵ（Central Processing Unit）１０１によって装置全体が制御されている。ＣＰＵ１０１には、バス１０７を介してＲＡＭ（Random Access Memory）１０２、ハードディスクドライブ（ＨＤＤ：Hard Disk Drive）１０３、グラフィック処理装置１０４、入力インタフェース１０５、通信インタフェース１０６が接続されている。
【００３２】
ＲＡＭ１０２には、ＣＰＵ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０２には、ＣＰＵ１０１による処理に必要な各種データが格納される。ＨＤＤ１０３には、ＯＳやアプリケーションのプログラムが格納される。グラフィック処理装置１０４には、モニタ１０８が接続されており、ＣＰＵ１０１からの命令に従って画像をモニタ１０８の画面に表示させる。入力インタフェース１０５には、キーボード１０９ａやマウス１０９ｂが接続されており、キーボード１０９ａやマウス１０９ｂから送られてくる信号を、バス１０７を介してＣＰＵ１０１に送信する。通信インタフェース１０６は、ネットワーク４０に接続されており、ネットワーク４０を介してワーム判定遮断装置などとの間でデータの送受信を行う。
【００３３】
このようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。
このようなワーム検出パラメータ設定装置１０では、少なくとも対象のネットワークセグメントの通常状態（ワーム通信なし）における通信ログを取得し、通常通信状態の時のワーム検出パラメータの値別の頻度分布情報に基づき、閾値を設定する。さらに、通常状態の通信ログに加え、ワーム通信時の通信ログに基づく頻度分布情報を生成し、通常状態とワーム通信状態の双方の頻度分布情報から閾値を設定することもできる。
【００３４】
以下、第１の実施の形態として通常通信の通信ログのみを用いる場合、第２の実施の形態として通常通信とワーム通信の通信ログを併用する場合、のそれぞれの処理について順次説明する。
【００３５】
（１）通常通信の通信ログのみを用いる場合（第１の実施の形態）
適用ネットワークの通常通信時の通信ログ（以下、通常通信ログとする）を採取する。通常通信ログは、ワーム検出パラメータの設定処理前に採取しておいてもよいし、現時の通信状態をリアルタイムで取得してもよい。
【００３６】
図４は、第１の実施の形態のワーム検出パラメータ設定処理の手順を示したフローチャートである。
［ステップＳ１１］  ログ読み込み手段１ａは、所定の期間の通常通信ログの読み込みを行う。通常通信ログの各エントリには、パケットの発信元と宛先のＩＰアドレス、発信元と宛先のポート番号、プロトコルなどの情報が設定されている。過去に採取した通常通信ログの場合には、さらに、パケットの送信時刻などの時間情報が設定されている。
【００３７】
［ステップＳ１２］  ログ分類手段１ｂは、読み込まれた通常通信ログを通信内容に応じたカテゴリに分類する。プロトコルやサービス、各種フラグなど、予め設定された条件でカテゴリに分けられる。たとえば、「プロトコル＝ＴＣＰ、宛先ポート番号＝８０、ＳＹＮフラグがセットされている」というカテゴリが設定されると、通常通信ログから該当するエントリが抽出され、このカテゴリにまとめられる。分類条件は、このようにいくつかの条件を組み合わせて設定してもよいし、１つでもよい。また、分類なしとし、全エントリを１つのカテゴリとしてもよい。
【００３８】
［ステップＳ１３］  頻度分布算出手段１ｃによる処理を開始する。まず、ｎ種類（ｎは任意の整数）のカテゴリに分類されたエントリについて、ｎ＝１とし、カテゴリ１から処理を開始する。
【００３９】
［ステップＳ１４］  頻度分布算出手段１ｃは、カテゴリｎに分類されたエントリについて、単位時間内のエントリからネットワーク単位でワーム検出パラメータ値を算出する。たとえば、「単位時間＝１０秒、ネットワーク単位＝端末、ワーム検出パラメータ＝宛先ＩＰの種類数」とすると、１０秒間のエントリの中から、発信元ＩＰアドレスが同一であるログの宛先ＩＰアドレスの種類数を数え上げ、ワーム検出パラメータ値を算出する。すなわち、ワーム通信では、感染端末から複数の宛先ＩＰアドレスに対して同一カテゴリに属する大量のパケットが送信されるので、その性質に基づき、１つの端末（ログの発信元ＩＰアドレス共通）から１０秒間に送信されるパケットの宛先ＩＰアドレスの種類を算出している。
【００４０】
［ステップＳ１５］  頻度分布算出手段１ｃは、ステップＳ１４によって算出されたワーム検出パラメータ（１端末から１０秒間に送出されるパケットの宛先ＩＰアドレス種類数）の値に応じて頻度分布テーブルの内容を更新し、設定する。頻度分布テーブルは、ワーム検出パラメータ値を５刻みに区分けし、その値の出現回数を出現頻度とした頻度分布情報を表形式で表現したものである。したがって、ここでは、ステップＳ１４で算出されたワーム検出パラメータ値に相当する区分の出現頻度（出現回数）に１を加算し、頻度分布テーブルを更新する。
【００４１】
［ステップＳ１６］  カテゴリｎの全データの処理が終了したかどうかを判定する。終了していなければ、ステップＳ１４に戻って、次の単位時間分のエントリに対する処理を開始する。
【００４２】
［ステップＳ１７］  カテゴリの全データの処理が終了した場合、ステップＳ１２で分類された全カテゴリの処理が終了したかどうかを判定する。終了していない場合は、ｎをインクリメントしてステップＳ１４に戻り、次のカテゴリに対する処理を開始する。
【００４３】
［ステップＳ１８］  閾値導出手段１ｄは、得られた頻度分布テーブルに基づき、あらかじめ決められた所定の規則に従って、ワーム検出パラメータの閾値（通常通信とワーム通信を切り分ける値）を導出する。
【００４４】
以上の処理手順が実行されることにより、任意の端末から１０秒間を単位時間として送出される所定のカテゴリのパケットの宛先ＩＰアドレス種類数の頻度分布テーブルと、閾値が得られる。
【００４５】
図５は、第１の実施の形態の頻度分布テーブルと結果の表示画面の一例である。
結果画面２００は、出力装置３が表示装置である場合に、出力手段１ｅが生成する表示情報に基づき出力装置３に表示される画面の一例である。
【００４６】
図の結果画面２００には、頻度分布テーブル生成条件２０１と、頻度分布テーブル２０２と、閾値２０３の処理結果が表示される。
図の例では、頻度分布テーブル生成条件２０１には、カテゴリ「プロトコル＝ＴＣＰ、宛先ポート番号＝８０、ＳＹＮフラグがセット」、単位時間「１０秒」、ネットワーク単位「端末別」及びワーム検出パラメータ「宛先ＩＰアドレス種類数」が設定される。
【００４７】
頻度分布テーブル２０２は、ワーム検出パラメータの宛先ＩＰアドレス種類数が５単位で区切られており、対応する欄の数値は、単位時間あたりの宛先ＩＰアドレスの種類数が指定範囲内の数であった回数（頻度）を示している。図の例からは、宛先ＩＰアドレスの種類数が５種類以内であった回数が１６回、６〜１０種類であった回数が２１回であることがわかる。
【００４８】
閾値２０３は、所定の規則に従って導出される。図の例は、最も単純な「頻度分布テーブルで値が０でなかった項目の最大値＋１」という規則が設定されるとし、出現頻度の値が０でない項目（２１〜２５回）の最大値２５に１を加算した２６回が設定されている。
【００４９】
利用者は、結果画面２００を参照し、経験やこれまでの知識によって閾値の妥当性を判断することができる。たとえば、頻度分布の状況からマージンをとって閾値をもう少し高い値に変更することなどの判断を行うことができる。閾値は直接変更することもできるし、規則を変更することによって変更されるようにしてもよい。
【００５０】
また、結果画面２００に表示する閾値を１つとするのではなく、複数の規則を登録可能にしておき、規則ごとに導出された閾値を一覧表示するなどして提示し、妥当な閾値を利用者に選択させるようにすることもできる。
【００５１】
なお、結果画面２００は、特定のカテゴリの解析結果であり、実際には、カテゴリごとに頻度分布テーブルが作成され、閾値が設定されることになる。これは、検出の精度という点ではよいが、閾値が多くなり管理が大変になるという問題も発生しうる。そこで、このようにして導出された閾値をさらに、所定の規則に従って１つの代表値にまとめる機能を設けることもできる。
【００５２】
閾値を代表値にマージする規則としては、たとえば、「閾値の最大値にマージする」、「閾値の最小値にマージする」、「最も多い閾値でマージする」、「閾値の最大値と最小値の中間にマージする」などが想定される。実施の形態では、ネットワークシステムの状態に応じて、適宜規則を選択する。いくつかの規則を予め登録しておき、利用者に選択させるようにしてもよい。
【００５３】
また、すべての閾値を１つの代表値にマージするのではなく、いくつかのカテゴリをまとめて閾値を決めるようにしてもよい。
以上のように、第１の実施の形態では、通常通信ログに基づき、通常通信時のカテゴリごとのパケットの出現頻度が得られ、その出現頻度に応じて適切なワーム検出パラメータが設定される。
【００５４】
（２）通常通信とワーム通信の通信ログを併用する場合（第２の実施の形態）
上記の説明の第１の実施の形態の通常通信ログに加え、ワーム通信時の通信ログ（以下、ワーム通信ログとする）を閾値算出に利用することにより、より適切な閾値を算出することができる。
【００５５】
この場合、通常通信ログとともに、ワーム通信ログを採取する。通常通信ログの採取は（１）と同様であり、ワーム通信ログは、実際にワームを流して通信ログを採取する。
図６は、第２の実施の形態におけるワーム検出パラメータ設定処理の手順を示したフローチャートである。
【００５６】
［ステップＳ２１］  ログ読み込み手段１ａは、所定の期間の通常通信ログの読み込みを行う。
［ステップＳ２２］  ログ分類手段１ｂは、読み込まれた通常通信ログを通信内容に応じたカテゴリに分類する。
【００５７】
［ステップＳ２３］  頻度分布算出手段１ｃは、カテゴリに分類されたエントリに基づき、カテゴリごとの頻度分布テーブルを作成する。
ここまでの処理は、図４に示した通常通信時の場合と同様であり、処理手順が実行されることにより、通常通信ログに基づく頻度分布テーブルが生成される。
【００５８】
［ステップＳ２４］  ログ読み込み手段１ａは、所定の期間のワーム通信が発生しているワーム通信ログの読み込みを行う。ワーム通信ログのエントリの形式は、通常通信ログのエントリと同様である。
【００５９】
［ステップＳ２５］  ログ分類手段１ｂは、読み込まれたワーム通信ログを通信内容に応じたカテゴリに分類する。
［ステップＳ２６］  頻度分布算出手段１ｃは、カテゴリに分類されたエントリに基づき、カテゴリごとの頻度分布テーブルを作成する。
【００６０】
ここまでの処理は、図４に示した通常通信時の場合と同様であるが、処理手順が実行されることにより、ワーム通信ログに基づく頻度分布テーブルが生成される。
［ステップＳ２７］  ステップＳ２１からステップＳ２３までの処理により作成された通常通信ログに基づく頻度分布テーブルと、ステップＳ２４からステップＳ２６までの処理により作成されたワーム通信ログに基づく頻度分布テーブルに基づき、所定の規則に従って閾値が導出される。
【００６１】
閾値の導出について説明する。
図７は、第２の実施の形態における閾値の導出の一例を示した図である。
ログ分類手段１ｂ及び頻度分布算出手段１ｃによる処理で、通常通信ログに基づく頻度分布テーブル３０１と、ワーム通信ログに基づく頻度分布テーブル３０２が作成されている。なお、表の縦方向は、ワーム検出パラメータの値として、これまでと同様に、単位時間あたりの同一カテゴリのパケットの宛先種類数を示しているとする。
【００６２】
図の例では、通常通信の場合は、値区分（〜２０）までの出現頻度は０ではない。一方、ワーム通信の場合は、値区分（〜３５）からの出現頻度は０ではない。すなわち、通常通信ログの頻度分布テーブルから得られる上限値は２０、ワーム通信ログの頻度分布テーブルから得られる下限値は３１になる。
【００６３】
ここで、閾値の導出規則が「通常通信の頻度分布テーブルで０でなかった項目の最大値（上限値）＋１及びワーム通信分布テーブルで０でなかった項目の最小値（下限値）―１の中間値」であるとすると、それぞれ上限値＝２０、下限値＝３１であることから、閾値＝２６が導出される。なお、ここでは、算出値を切り上げて閾値としている。
【００６４】
こうして導出規則に基づいて得られた閾値と正常通信及びワーム通信の頻度分布テーブルとが出力手段１ｅより出力装置３に出力され、利用者に提供される。これにより、利用者は、提供された情報を参照し、閾値の妥当性を判断することができる。
【００６５】
なお、閾値の導出規則は、上記規則に限定されず、他の規則が採用されてもよい。
また、上記の説明では、ワーム通信ログを、実際にワームを流して採取するとしたが、既知のワーム通信に関しては性質が明らかであり、たとえば、ワーム感染した端末が送信するパケットのカテゴリや、送信間隔などのワーム通信に関するワーム通信情報が容易に入手できる。そこで、このワーム通信情報を、対象のネットワークに関するネットワーク環境情報に適用することによって、ワーム検出パラメータの値別の出現頻度を算出することができる。そこで、図６のステップＳ２４からステップＳ２６の処理に換えて、ワーム通信情報とネットワーク環境情報から頻度分布テーブルを作成してもよい。
【００６６】
さらに、このような頻度分布テーブルを予め別装置で作成しておき、これを読み込み利用するようにしてもよい。
ここで、図７の例では、正常通信の頻度分布とワーム通信の頻度分布に重なりはないが、得られた頻度分布に重なりが生じる場合がある。
【００６７】
図８は、第２の実施の形態における通常通信とワーム通信の頻度分布に重なりがある場合の閾値の導出の一例を示した図である。表の縦方向などは、図７と同様である。
図の例では、通常通信の頻度分布テーブル３０３における出現頻度が０でない値範囲の上限は、値区分（〜３０）になる。一方、ワーム通信の頻度分布テーブル３０４における出現頻度が０でない値範囲の下限は、値区分（〜２５）になる。すなわち、値区分（〜２５）と値区分（〜３０）では、通常通信とワーム通信の頻度分布が重なっている。
【００６８】
このようなケースに、上記の導出規則（上限値＋１と下限値−１の中間値）を適用すると、それぞれ上限値＝３０、下限値＝２１であることから、閾値＝２６が得られる。
こうして得られた閾値とそれぞれの頻度分布テーブルが利用者に提供される。このように、頻度分布テーブルを提供されることにより、閾値＝２６とすると、ワーム通信の分布頻度が０でない領域をすべてカバーできないことがわかる。この場合、ワーム検出の検出漏れを防ぐためには、ワーム通信の頻度分布より得られる下限値を閾値とすることが望ましい。
【００６９】
そこで、図７の例の単純な導出規則（上限値＋１と下限値−１の中間値）ではなく、場合分けをしてそれぞれの処理を行わせるようなポリシーを予め設定しておき、これに従って閾値を決定させるようにする。これによって、より的確に閾値を決定することが可能になる。
【００７０】
図９は、第２の実施の形態における閾値決定ポリシーに従った閾値導出処理手順の一例を示したフローチャートである。
図９の例では、通常通信の頻度分布とワーム通信の頻度分布とに重なりがあるかどうかで閾値の決定規則を選択している。
【００７１】
［ステップＳ３１］  通常通信の頻度分布テーブルとワーム通信の頻度分布テーブルを比較し、頻度分布に重なりがあるかどうかを判定する。重なりがない場合は、処理をステップＳ３３へ進める。
【００７２】
［ステップＳ３２］  頻度分布に重なりがある場合、ワーム通信の頻度分布テーブルの下限値を閾値とし、処理を終了する。
［ステップＳ３３］  頻度分布に重なりがない場合、通常通信の頻度分布テーブルより、頻度分布テーブルの値が０でない値区分の上限値を求める。
【００７３】
［ステップＳ３４］  続いて、ワーム通信の頻度分布テーブルより、頻度分布テーブルの値が０でない値区分の下限値を求める。
［ステップＳ３５］  ステップＳ３３で得られた通常通信の上限値とステップＳ３４で得られたワーム通信の下限値の中間値を算出し、これを閾値とし、処理を終了する。
【００７４】
以上の処理手順が実行されることにより、通常通信とワーム通信の頻度分布に重なりがある場合はワーム通信の下限値、重なりがない場合には通常通信の上限値とワーム通信の下限値の中間値が閾値に導出される。
【００７５】
なお、上記の閾値決定ポリシーは、一例であり、他に、ワーム発生時の通信ログを元にしてワーム発生時のワーム検出パラメータの下限を求め、その値と現在の閾値の中間値を新たな閾値にする（閾値のフィードバックに相当）処理や、通常時の通信ログを元にして通常時のワーム検出パラメータの上限を求め、その値と現在の閾値の中間値を新たな閾値にする（閾値のフィードバックに相当）処理を行うポリシーとしても良い。
【００７６】
これらの処理を行えば、更に閾値のメンテナンスが可能となる。すなわち閾値が危殆化する前に、新たに適切な（そのときの通信量などに見合った）閾値に替えることが可能となる。
【００７７】
また、それ以外にも閾値決定ポリシーは任意に設定することができる。
さらに、閾値の決定を、それぞれの閾値が選択された場合の検出精度に基づき実施することができる。検出精度を表す指標は種々想定されるが、ここでは、通常ホスト（ワームに感染していない装置）をワームに感染したと誤検知する過剰検知率と、ワーム感染ホストを通常ホストと誤検知する検知漏れ率とを検出精度の指標とする。
【００７８】
図１０は、第２の実施の形態における検出精度に従った閾値導出の一例を示した図である。通常通信の頻度分布テーブル３０３と、ワーム通信の頻度分布テーブル３０４は図８と同じものである。
【００７９】
ここでは、正常とワームが重なる値区分（２１〜２５）と値区分（２６〜３０）を分ける区分値２０、２５及び３０を仮の閾値とし、過剰検知率と検知漏れ率を算出する。
過剰検知率は、通常通信の頻度分布テーブルの全出現頻度数と、その閾値までに検出された通常通信の出現頻度数との比で求められる。したがって、通常通信の頻度分布テーブルに基づき、
過剰検知率＝（閾値までの通常通信出現頻度数）／（全区間の通常通信出現頻度数）＊１００                                                              ・・・（１）
によって算出することができる。なお、過剰検知率は、ワーム通信と誤検出する割合であるから、通常通信頻度分布テーブルの仮の閾値より上（値区分が閾値より大きい）の欄の値を加算して出現頻度数を算出する。
【００８０】
一方、検知漏れ率は、ワーム通信の頻度分布テーブルの全出現頻度数と、その閾値までに検出されたワーム通信の出現頻度数との比で求められる。したがって、ワーム通信の頻度分布テーブルに基づき、
検知漏れ率＝（閾値までのワーム通信出現頻度数）／（全区間のワーム通信出現頻度数）＊１００                                                          ・・・（２）
によって算出することができる。なお、検知漏れ率は、ワーム検出を見逃す割合であるから、ワーム通信頻度分布テーブルの仮の閾値より下（値区分が閾値より小さい）の欄の値を加算して出現頻度数を算出する。
【００８１】
式（１）により、閾値を２５とした場合の過剰検知率は、閾値区間の通常通信出現頻度数＝１、全区間の通常通信出現頻度数＝１００であるので、１／１００＊１００＝１％となる。
【００８２】
一方、式（２）により、閾値を２５とした場合の検知漏れ率は、閾値区間のワーム通信出現頻度数＝５、全区間の通常通信出現頻度数＝２０であるので、５／２０＊１００＝２５％となる。
【００８３】
同様にして、閾値３０の場合及び閾値２０の場合の過剰検知率及び検知漏れ率を算出することができる。
こうして得られた閾値ごとの過剰検知率及び検知漏れ率を評価式により評価し、評価式を満たす閾値が選択される。複数の閾値が評価式を満たす場合は、評価の最も高いものを選択する。
【００８４】
評価式の一例として、Ａ＝過剰検出率、Ｂ＝検知漏れ率とし、
Ａ＜０．０５（５％）  ＆＆  Ｂ＜０．０５（５％）              ・・・（３）
がある。ここで、＆＆は論理積を表し、式（３）では、Ａが５％以下かつＢが５％以下を満たすかどうかが評価される。
【００８５】
また、他の評価式の一例として、
Ｂ＜０．０５（５％）  ‖  Ａ×Ｂ＜０．００８                  ・・・（４）
がある。ここで、‖は論理和を意味し、式（４）は、Ｂが５％以下であるか、ＡとＢの積が０．００８以下であるかを満たすかどうかが評価される。
【００８６】
図１０の例では、閾値３０、閾値２５及び閾値２０をそれぞれ評価式で評価を行うと、式（３）を唯一満たす閾値＝２０が最適と評価される。
なお、いずれの閾値も評価式を満たさない場合もあるが、この場合は、これらの情報を利用者に提供することにより、選択を利用者が行うようにする。また、評価式を満たす閾値が存在する場合も、最終的な選択は利用者が行うようにすることもできる。
【００８７】
図１１は、第２の実施の形態における検出精度に従った閾値導出処理手順を示したフローチャートである。
［ステップＳ４１］  通常通信の頻度分布テーブルに基づき、テーブルの各欄の過剰検知率を求める。すべての欄について過剰検知率を算出することもできるが、通常通信とワーム通信を分けるための閾値を求めることが目的であるので、正常とワームの重なり部分の欄の区分値を仮の閾値として、これについて過剰検知率が算出されれば十分である。
【００８８】
［ステップＳ４２］  ワーム通信の頻度分布テーブルに基づき、テーブルの各欄の検知漏れ率を求める。ステップＳ４１と同様、正常とワームの重なり部分の欄の区分値を仮の閾値とし、これについて検知漏れ率が算出されれば十分である。
【００８９】
［ステップＳ４３］  ステップＳ４１で算出された過剰検知率及びステップＳ４２で算出された検知漏れ率を、式（３）、（４）に示したような評価式にあてはめ、最適な閾値を求める。このとき、たとえば、式（３）によって評価を行う。式（３）により適切な閾値が選択できなかった場合は、さらに、式（４）によって評価を行い、閾値を導出するというように順次評価を行うようにしてもよい。
【００９０】
以上の処理手順が実行されることにより、通常通信の頻度分布とワーム通信の頻度分布に重なりがある場合に、それぞれの過剰検知率と検知漏れ率の評価に基づき、最適な閾値を導出することができる。なお、図７に示したように重なりなしの場合は、この重なりなしの区間の過剰検知率及び検知漏れ率とも０％であるので、このような評価方法は必要ない。
【００９１】
さらに、たとえば、単位時間を固定とせず、複数の単位時間候補を設定し、それぞれについて通常通信ログに基づく頻度分布テーブルとワーム通信ログに基づく頻度分布テーブルを作成し、最適な閾値と単位時間を選択することもできる。
【００９２】
図１２は、第２の実施の形態における複数の単位時間候補の頻度分布テーブルから閾値を導出する一例を示した図である。図の頻度分布テーブルは、通常通信とワーム通信について算出された単位時間候補ごとの頻度分布テーブルを合成したものであり、縦方向はワーム検出パラメータ値を表し、横方向は単位時間候補を示している。
【００９３】
単位時間候補ごとに、下部（ワーム検出パラメータ値が小さい）の欄は、通常通信の頻度分布であり、上部（ワーム検出パラメータ値が大きい）の欄は、ワーム通信の頻度分布である。たとえば、単位時間候補＝１秒の場合、ワーム検出パラメータの値区間（〜５）と値区間（〜１０）までが通常通信の頻度分布であり、値区間（〜２５）から値区間（〜５５）までがワーム通信の頻度分布である。
【００９４】
閾値導出手段１ｄは、このような頻度分布テーブルを解析し、最適な閾値と単位時間を導出する。その導出手順は、予めプログラムとして組み込まれていてもよいし、またポリシーに記述しておき、ポリシーを解読して導出手順を実行するようにしてもよい。
導出手順の一例を説明する。
【００９５】
図１３は、第２の実施の形態における複数の単位時間候補の頻度分布テーブルから閾値を導出する処理手順を示したフローチャートである。
［ステップＳ５１］  通常通信ログに基づく単位時間候補ごとの頻度分布テーブルと、ワーム通信ログに基づく単位時間候補ごとの頻度分布テーブルをマージし、図１２に示したような頻度分布テーブルを作成する。
【００９６】
［ステップＳ５２］  最適な単位時間を選択する。単位時間の選択として、ここでは、頻度分布テーブルを参照し、通常通信の頻度分布とワーム通信の頻度分布が重なっておらず、その間隔が最も離れているものを選択する。重なりがない単位時間候補が１つもない場合は、選択不可になる。また、間隔が同じものが複数あれば、任意の単位時間が選択される。予め、最も短い単位時間を優先させるなどの優先順位が設定されている場合は、それに従う。図１２の頻度分布テーブルでは、単位時間候補＝１秒では２、３秒では４、５秒では３、１０秒では３、２０秒では３である。そこで、最も離れている単位時間３秒が選択される。
【００９７】
［ステップＳ５３］  ステップＳ５２における単位時間の選択において、重なりのない列（単位時間候補）の有無、すなわち、選択不可であったかどうかを判定する。重なりのない列があり、単位時間を選択できた場合は、処理をステップＳ５５へ進める。
【００９８】
［ステップＳ５４］  重なりのない列がなく、単位時間を選択できなかった場合、任意の列を選択し、その列のワーム通信の頻度分布の下限値を閾値として導出し、処理を終了する。なお、ここで、過剰検知率と検知漏れ率を用いて最適な閾値を導出することもできる。
【００９９】
［ステップＳ５５］  重なりの列があり、単位時間が選択された場合、当該単位時間の通常通信の頻度分布の上限値を求める。
［ステップＳ５６］  次に、当該単位時間のワーム通信の頻度分布の下限値を求める。
【０１００】
［ステップＳ５７］  ステップＳ５５で求めた通常通信の上限値と、ステップＳ５６でも求めたワーム通信の下限値の中間値を算出し、閾値として導出する。
以上の処理手順が実行されることにより、最適な単位時間と閾値が導出される。導出された単位時間と閾値は、図１２に示した頻度分布テーブルとともに利用者に提供される。これにより、利用者は、頻度分布テーブルを参照して、さらに、自らの知識や経験を加味し、最終的に最適な単位時間と閾値を設定することができる。
【０１０１】
以上、本実施の形態のワーム検出パラメータ設定処理について説明したが、この処理はシステム起動時や、システム変更があった場合などに、最適なワーム検出パラメータを設定するために適用できることは当然である。
【０１０２】
さらに、図２に示したように、ネットワーク経由で対象のネットワークセグメントに接続し、リアルタイムで対象のネットワークセグメントの通信ログを取得して最適なワーム検出パラメータを算出し、対象のネットワークセグメントのワーム判定遮断装置のワーム検出パラメータをオンラインで更新するような構成とすることもできる。
【０１０３】
なお、上記の処理機能は、コンピュータによって実現することができる。その場合、ワーム検出パラメータ設定装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。
【０１０４】
プログラムを流通させる場合には、たとえば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。
【０１０５】
プログラムを実行するコンピュータは、たとえば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送される毎に、逐次、受け取ったプログラムに従った処理を実行することもできる。
【０１０６】
（付記１）  ワーム通信が行われているか否かの判定に用いるワーム検出パラメータを設定するためのワーム検出パラメータ設定プログラムにおいて、
コンピュータに、
ログ分類手段が、所定の期間の通信ログが読み込まれると、前記通信ログを予め定めた通信内容に基づくカテゴリに分類し、
頻度分布算出手段が、前記カテゴリに分類された前記通信ログに基づき所定のネットワーク単位ごとに、所定の単位時間あたりの前記ワーム検出パラメータの値を算出し、前記ワーム検出パラメータの値別の出現頻度を集計して頻度分布情報を生成し、
閾値導出手段が、前記頻度分布算出手段によって生成された前記頻度分布情報を解析し、前記ワーム検出パラメータに関し前記ワーム通信と判定する閾値を導出し、
出力手段が、導出された前記閾値を含む前記ワーム検出パラメータを前記頻度分布算出手段により生成された前記頻度分布情報とともに所定の出力装置に出力する、
処理を実行させることを特徴とするワーム検出パラメータ設定プログラム。
【０１０７】
（付記２）  前記頻度分布算出手段は、前記所定のネットワーク単位ごとに、予め設定された前記所定の単位時間の間に前記カテゴリに分類された前記通信ログに出現する前記所定のネットワーク単位に関するエントリの数を集計し、前記ワーム検出パラメータ値を算出する、
ことを特徴とする付記１記載のワーム検出パラメータ設定プログラム。
【０１０８】
（付記３）  前記ワーム検出パラメータは、所定の単位時間あたりのパケット数、データ転送量、宛先アドレスの種類を含む前記ワーム感染装置が所定のパケットを大量に送信しているか否かを検出する情報項目である、
ことを特徴とする付記１記載のワーム検出パラメータ設定プログラム。
【０１０９】
（付記４）  前記頻度分布算出手段は、前記ワーム通信が発生していない状態の通常通信ログに基づく通常通信の頻度分布情報を生成し、
前記閾値導出手段は、前記ワーム通信に関するワーム通信の頻度分布情報を取得し、前記頻度分布算出手段により生成された前記通常通信の頻度分布情報と前記ワーム通信の頻度分布情報に基づいて前記閾値を導出し、
前記出力手段による結果出力では、前記閾値とともに、前記通常通信の頻度分布情報と前記ワーム通信の頻度分布情報とを前記出力装置に出力する、
ことを特徴とする付記１記載のワーム検出パラメータ設定プログラム。
【０１１０】
（付記５）  前記頻度分布算出手段は、予め用意された前記ワーム通信の性質に関するワーム通信情報と、対象の前記ネットワークに関するネットワーク環境情報に基づき、前記ワーム検出パラメータの値別の出現頻度を算出し、前記ワーム通信の頻度分布情報を作成する、
ことを特徴とする付記４記載のワーム検出パラメータ設定プログラム。
【０１１１】
（付記６）  前記ログ分類手段は、前記ワーム通信が発生した所定の期間のワーム通信ログを読み込み、前記ワーム通信ログを前記カテゴリに分類し、
前記頻度分布算出手段は、前記カテゴリに分類された前記ワーム通信ログに基づき、所定のネットワーク単位ごとに、所定の単位時間あたりの前記ワーム検出パラメータの値を算出し、前記ワーム検出パラメータの値別の出現頻度を集計して頻度分布情報を生成する、
ことを特徴とする付記４記載のワーム検出パラメータ設定プログラム。
【０１１２】
（付記７）  前記閾値導出手段は、前記通常通信の頻度分布情報と前記ワーム通信の頻度分布情報に基づき、双方の頻度分布が重ならない場合は、前記通常通信の頻度分布情報より導出される第１の閾値と、前記ワーム通信の頻度分布情報より導出される第２の閾値との間の値を前記閾値とする、
ことを特徴とする付記４記載のワーム検出パラメータ設定プログラム。
【０１１３】
（付記８）  前記閾値導出手段は、前記通常通信の頻度分布情報に基づく前記ワーム検出パラメータの上限値を前記第１の閾値とし、前記ワーム通信の頻度分布情報に基づく前記ワーム検出パラメータの下限値を前記第２の閾値とし、前記第１の閾値と前記第２の閾値の中間値を前記閾値とする、
ことを特徴とする付記７記載のワーム検出パラメータ設定プログラム。
【０１１４】
（付記９）  前記閾値導出手段は、前記通常通信の頻度分布情報と前記ワーム通信の頻度分布情報に基づき、双方の頻度分布が重なる場合は、前記ワーム通信の頻度分布情報に基づく前記ワーム検出パラメータの下限値を前記閾値とする、
ことを特徴とする付記４記載のワーム検出パラメータ設定プログラム。
【０１１５】
（付記１０）  前記閾値導出手段は、前記通常通信の頻度分布情報と前記ワーム通信の頻度分布情報に基づいて複数の仮の閾値を設定し、前記仮の閾値が適用された場合の前記ワーム通信の検出精度を算出し、前記仮の閾値ごとに算出された前記検出精度を所定の評価式で評価し、所定の評価基準を満たす前記仮の閾値を前記閾値として選択する、
ことを特徴とする付記４記載のワーム検出パラメータ設定プログラム。
【０１１６】
（付記１１）  前記閾値導出手段は、前記仮の閾値について、前記通常通信の頻度分布情報に基づき前記ワーム通信と誤検知する過剰検知率を算出するとともに、前記ワーム通信の頻度分布情報に基づき前記ワーム通信を見落とす検知漏れ率を算出する、
ことを特徴とする付記１０記載のワーム検出パラメータ設定プログラム。
【０１１７】
（付記１２）  前記出力手段は、前記仮の閾値と、前記仮の閾値について算出された前記検出精度を前記通常通信の頻度分布情報及び前記ワーム通信の頻度分布情報とともに出力する、
ことを特徴とする付記１０記載のワーム検出パラメータ設定プログラム。
【０１１８】
（付記１３）  前記頻度分布算出手段は、予め設定された複数の単位時間候補に基づき、前記単位時間候補ごとに前記通常通信の頻度分布情報及び前記ワーム通信の頻度分布情報を生成して重ね合わせ、
前記閾値導出手段は、前記単位時間候補ごとに生成された前記通常通信と前記ワーム通信が重ね合わされた前記頻度分布情報に基づき、前記通常通信の頻度分布と前記ワーム通信の頻度分布の境界が明らかな前記単位時間候補を前記単位時間として導出する、
ことを特徴とする付記４記載のワーム検出パラメータ設定プログラム。
【０１１９】
（付記１４）  前記閾値導出手段は、前記通常通信の頻度分布情報に基づく前記ワーム検出パラメータの上限値と、前記ワーム通信の頻度分布情報に基づく前記ワーム検出パラメータの下限値との間の値区間が最も広い前記単位時間候補を選択する、
ことを特徴とする付記１３記載のワーム検出パラメータ設定プログラム。
【０１２０】
（付記１５）  前記閾値導出手段は、複数の前記カテゴリごとに前記閾値を導出し、予め設定された所定の規則に従って、前記カテゴリごとの前記閾値から代表の閾値を導出する、
ことを特徴とする付記１記載のワーム検出パラメータ設定プログラム。
【０１２１】
（付記１６）  前記閾値導出手段は、予め設定された前記閾値を導出する手順を記述した閾値決定ポリシーに従って、前記閾値を導出する、
ことを特徴とする付記１記載のワーム検出パラメータ設定プログラム。
【０１２２】
（付記１７）  前記ワーム検出パラメータ設定プログラムは、コンピュータに、所定のタイミングで前記ネットワークの前記通信ログをリアルタイムで取得し、前記ログ分類手段による前記カテゴリの分類から前記頻度分布算出手段による前記頻度分布情報の生成及び前記閾値導出手段による前記閾値の導出までの処理を実行させ、各装置に設定される前記閾値を更新させる、
ことを特徴とする付記１記載のワーム検出パラメータ設定プログラム。
【０１２３】
（付記１８）  ワームが発生した際の前記通信ログを読み込み、以前に求めた通常通信とワーム通信を分ける前記ワーム検出パラメータに対する閾値にフィードバックをかけて補正することを特徴とする付記１記載のワーム検出パラメータ設定プログラム。
【０１２４】
（付記１９）  通常通信の前記通信ログを読み込み、以前に求めた通常通信とワーム通信を分ける前記ワーム検出パラメータに対する閾値にフィードバックをかけて補正することを特徴とする付記１記載のワーム検出パラメータ設定プログラム。
【０１２５】
（付記２０）  ワーム通信が行われているか否かの判定に用いるワーム検出パラメータを設定するためのワーム検出パラメータ設定装置において、
所定の期間の通信ログが読み込まれると、前記通信ログを予め定めた通信内容に基づくカテゴリに分類するログ分類手段と、
前記カテゴリに分類された前記通信ログに基づき所定のネットワーク単位ごとに、所定の単位時間あたりの前記ワーム検出パラメータの値を算出し、前記ワーム検出パラメータの値別の出現頻度を集計して頻度分布情報を生成する頻度分布算出手段と、
前記頻度分布算出手段によって生成された前記頻度分布情報を解析し、前記ワーム検出パラメータに関し前記ワーム通信と判定する閾値を導出する閾値導出手段と、
導出された前記閾値を含む前記ワーム検出パラメータを前記頻度分布算出手段により生成された前記頻度分布情報とともに所定の出力装置に出力する出力手段と、
を具備することを特徴とするワーム検出パラメータ設定装置。
【０１２６】
（付記２１）  ワーム通信が行われているか否かの判定に用いるワーム検出パラメータを設定するワーム検出パラメータ設定方法において、
ログ分類手段が、所定の期間の通信ログが読み込まれると、前記通信ログを予め定めた通信内容に基づくカテゴリに分類し、
頻度分布算出手段が、前記カテゴリに分類された前記通信ログに基づき所定のネットワーク単位ごとに、所定の単位時間あたりの前記ワーム検出パラメータの値を算出し、前記ワーム検出パラメータの値別の出現頻度を集計して頻度分布情報を生成し、
閾値導出手段が、前記頻度分布算出手段によって生成された前記頻度分布情報を解析し、前記ワーム検出パラメータに関し前記ワーム通信と判定する閾値を導出し、
出力手段が、導出された前記閾値を含む前記ワーム検出パラメータを前記頻度分布算出手段により生成された前記頻度分布情報とともに所定の出力装置に出力する、
手順を実行させることを特徴とするワーム検出パラメータ設定方法。
【図面の簡単な説明】
【０１２７】
【図１】実施の形態に適用される発明の概念図である。
【図２】本発明の実施の形態に係るネットワークシステムの構成図である。
【図３】本実施の形態のワーム検出パラメータ設定装置１０のハードウェア構成例を示すブロック図である。
【図４】第１の実施の形態のワーム検出パラメータ設定処理の手順を示したフローチャートである。
【図５】第１の実施の形態の頻度分布テーブルと結果の表示画面の一例である。
【図６】第２の実施の形態におけるワーム検出パラメータ設定処理の手順を示したフローチャートである。
【図７】第２の実施の形態における閾値の導出の一例を示した図である。
【図８】第２の実施の形態における通常通信とワーム通信の頻度分布に重なりがある場合の閾値の導出の一例を示した図である。
【図９】第２の実施の形態における閾値決定ポリシーに従った閾値導出処理手順の一例を示したフローチャートである。
【図１０】第２の実施の形態における検出精度に従った閾値導出の一例を示した図である。
【図１１】第２の実施の形態における検出精度に従った閾値導出処理手順を示したフローチャートである。
【図１２】第２の実施の形態における複数の単位時間候補の頻度分布テーブルから閾値を導出する一例を示した図である。
【図１３】第２の実施の形態における複数の単位時間候補の頻度分布テーブルから閾値を導出する処理手順を示したフローチャートである。
【符号の説明】
【０１２８】
１  ワーム検出パラメータ設定装置
１ａ  ログ読み込み手段
１ｂ  ログ分類手段
１ｃ  頻度分布算出手段
１ｄ  閾値導出手段
１ｅ  出力手段
２  通信ログ
３  出力装置
【図１】
2007013343.tif 000003
【図２】
2007013343.tif 000004
【図３】
2007013343.tif 000005
【図４】
2007013343.tif 000006
【図５】
2007013343.tif 000007
【図６】
2007013343.tif 000008
【図７】
2007013343.tif 000009
【図８】
2007013343.tif 000010
【図９】
2007013343.tif 000011
【図１０】
2007013343.tif 000012
【図１１】
2007013343.tif 000013
【図１２】
2007013343.tif 000014
【図１３】
2007013343.tif 000015