(57)【要約】【課題】異常検知に要する処理時間の短縮を可能とすること。【解決手段】異常検知装置であって、監視対象となる通信路を流れるデータを受信する受信部と、受信部によって受信されたデータから、監視項目の値を抽出する抽出部と、監視項目の値の中から、頻出している値を判断する判断部と、頻出していると判断された監視項目の値が抽出されたデータに基づいて異常検知判断を行う検知部と、を備える。【選択図】図１
2009200993.tif 000002
【特許請求の範囲】
【請求項１】
監視対象となる通信路を流れるデータを受信する受信部と、
前記受信部によって受信されたデータから、監視項目の値を抽出する抽出部と、
前記監視項目の値の中から、頻出している値を判断する判断部と、
頻出していると判断された前記監視項目の値が抽出されたデータに基づいて異常検知判断を行う検知部と、
を備える異常検知装置。
【請求項２】
前記抽出部は、前記受信部によって受信されたデータから、前記検知部が異常検知判断に用いる検知用情報をさらに抽出し、
前記検知部は、頻出していると判断された前記監視項目の値が抽出されたデータから抽出された前記検知用情報に基づいて異常検知判断を行う、
請求項１に記載の異常検知装置。
【請求項３】
監視項目の値毎に、その監視項目の値が抽出されたデータから抽出された前記検知用情報に関する統計値を算出する統計値算出部と、
前記監視項目の値毎に、前記統計値を対応付けて記憶する記憶部と、をさらに備え、
前記検知部は、頻出していると判断された前記監視項目の値に対応付けて前記記憶部に記憶される前記統計値に基づいて異常検知判断を行う、
請求項２に記載の異常検知装置。
【請求項４】
前記判断部は、データの先入れ先出しを行うキューを有し、前記抽出部によって抽出される監視項目の値を順次前記キューに入力し、所定のタイミングにおいて前記キューに格納されている監視項目の値を、頻出している値と判断する請求項１から３のいずれかに記載の異常検知装置。
【請求項５】
前記判断部は、データの先入れ先出しを行うキューを有し、前記抽出部によって抽出される監視項目の値を順次前記キューに入力し、所定のタイミングにおいて前記キューに格納されている各監視項目の値の数を取得し、この数に基づいて頻出している値を判断する請求項１から３のいずれかに記載の異常検知装置。
【請求項６】
コンピュータが、監視対象となる通信路を流れるデータを受信するステップと、
前記コンピュータが、受信されたデータから、監視項目の値を抽出するステップと、
前記コンピュータが、前記監視項目の値の中から、頻出している値を判断するステップと、
前記コンピュータが、頻出していると判断された前記監視項目の値が抽出されたデータに基づいて異常検知判断を行うステップと、
を備える異常検知方法。
【請求項７】
コンピュータに対し、
監視対象となる通信路を流れるデータを受信するステップと、
受信されたデータから、監視項目の値を抽出するステップと、
前記監視項目の値の中から、頻出している値を判断するステップと、
頻出していると判断された前記監視項目の値が抽出されたデータに基づいて異常検知判断を行うステップと、
を実行させるためのコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、異常検知装置、異常検知方法、及びコンピュータプログラムに関する。
【背景技術】
【０００２】
従来、データ通信路を流れるデータを監視し異常を検知する異常検知装置が提案されている。異常検知装置としては、パケット毎に異常を検知する装置（特許文献１参照）や、ＴＣＰ（Transmission Control Protocol）フロー毎に異常を検知する装置（特許文献２参照）が提案されている。このような異常検知装置は、予め定められたルール（シグネチャ）や、通信に関する統計値（平均や標準偏差など）を利用することによって、データ通信路における異常を検知していた。
【０００３】
このような異常検知装置の処理に要する時間は、監視対象となるデータ通信路における通信量に依存する。そのため、近年の通信量の大幅な増加に伴い、検知の処理に要する時間が増大するという問題が生じている。例えば、通信量が１０倍になった場合、その処理対象となるデータの量も１０倍になる。極端な場合には、実時間で処理を完了できないこともある。このような問題に対し、複数の異常検知装置を用いることによってデータの異常検知処理を分散させて実施し、システム全体で性能向上を図る技術が提案されている（特許文献３参照）。
【０００４】
【特許文献１】特開２００２−０７３４３３号公報
【特許文献２】特再公表２００５−０５０９３５号公報
【特許文献３】特開２００７−３２３３８４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述したシステムは、複数台の異常検知装置を用いるため、コストの増加を招いてしまう。
上記事情に鑑み、本発明は、異常検知に要する処理時間の短縮を可能とする異常検知装置、異常検知方法及びコンピュータプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の第一の態様は、異常検知装置であって、監視対象となる通信路を流れるデータを受信する受信部と、記受信部によって受信されたデータから、監視項目の値を抽出する抽出部と、監視項目の値の中から、頻出している値を判断する判断部と、頻出していると判断された監視項目の値が抽出されたデータに基づいて異常検知判断を行う検知部と、を備える。
このように構成された本発明の第一の態様では、判断部が監視項目の値について頻出していると判断した値に係るデータに基づいて、検知部が異常検知判断を行う。そのため、検知部が異常検知判断の処理対象とするデータ量は、通信路を通る全てのデータ量に比べて減少する。したがって、異常検知装置は、検知部が異常検知判断の処理に要する処理時間を短縮することを可能とする。
【０００７】
本発明の第一の態様は、その抽出部は、受信部によって受信されたデータから、検知部が異常検知判断に用いる検知用情報をさらに抽出し、その検知部は、頻出していると判断された監視項目の値が抽出されたデータから抽出された検知用情報に基づいて異常検知判断を行う、ように構成されても良い。
【０００８】
本発明の第一の態様は、監視項目の値毎に、その監視項目の値が抽出されたデータから抽出された検知用情報に関する統計値を算出する統計値算出部と、監視項目の値毎に、統計値を対応付けて記憶する記憶部と、をさらに備え、検知部は、頻出していると判断された監視項目の値に対応付けて記憶部に記憶される統計値に基づいて異常検知判断を行う、ように構成されても良い。
【０００９】
本発明の第一の態様における判断部は、データの先入れ先出しを行うキューを有し、抽出部によって抽出される監視項目の値を順次キューに入力し、所定のタイミングにおいてキューに格納されている監視項目の値を、頻出している値と判断するように構成されても良い。
【００１０】
本発明の第一の態様における判断部は、データの先入れ先出しを行うキューを有し、抽出部によって抽出される監視項目の値を順次キューに入力し、所定のタイミングにおいてキューに格納されている各監視項目の値の数を取得し、この数に基づいて頻出している値を判断するように構成されても良い。
本発明は、コンピュータを、上述した異常検知装置として動作させるためのコンピュータプログラムとして特定されても良い。また、本発明は、上述した異常検知装置として機能するコンピュータが行う異常検知方法として特定されても良い。
【発明の効果】
【００１１】
本発明により、異常検知に要する処理時間を短縮することが可能となる。
【発明を実施するための最良の形態】
【００１２】
図１は、異常検知装置１の機能構成を示す概略ブロック図である。異常検知装置１は、受信部１１、抽出部１２、判断部１３、記憶部１４、検知部１５、及び出力部１６を備える。異常検知装置１は、演算装置や記憶装置がバスによって接続され、記憶装置に記憶されているプログラムに基づいて動作する情報処理装置を用いて構成することができる。異常検知装置１の各機能部やその一部は、専用のハードウェアを用いて構成されても良い。以下、図１を用いて、異常検知装置１が備える各機能部について説明する。
【００１３】
受信部１１は、監視対象となるデータ通信路から、この通信路を流れるデータ（例えばＩＰパケット）を受信する。受信部１１は、監視対象となるデータの通信路のプロトコルに応じた構成を有する。例えば、監視対象となるデータの通信路がＬＡＮ（Local Area Network）であれば、受信部１１は、このＬＡＮに接続可能な構成（例えばＬＡＮケーブルを接続し信号をデータに変換するためのネットワークインタフェースなど）を有する。また、監視対象となるデータの通信路がＷＡＮ（Wide Area Network）であれば、受信部１１は、このＷＡＮに接続可能な構成（例えば光ファイバーケーブルを接続し信号をデータに変換するためのネットワークインタフェースなど）を有する。このように、受信部１１の構成は、異常検知装置１が監視対象となるデータの通信路に応じて適宜変更される。受信部１１は、受信されたデータを抽出部１２へ転送する。
【００１４】
抽出部１２は、監視項目の値及び検知用情報を、受信されたデータから抽出する。また、抽出部１２は、抽出した監視項目の値及び検知用情報の値を、判断部１３へ転送する。
【００１５】
監視項目は、監視対象となる通信路から受信されるデータに含まれる項目である。監視項目は、監視対象となる通信路や、検知したい異常の種類などに応じて適宜設定される。
監視項目は、例えば、ＩＰパケットの送信先ＩＰアドレス（送信先のホスト識別情報）、ＩＰパケットの送信元ＩＰアドレス（送信元のホスト識別情報）、使用プロトコル、ＴＣＰ／ＩＰポート番号などである。
【００１６】
検知用情報は、監視対象となる通信路から受信されるデータに関する情報である。検知用情報は、監視対象となる通信路や、検知したい異常の種類や、検知部１５に実装される異常検知技術に応じて適宜設定される。
例えば、監視対象となる通信路がＤＮＳサーバに接続された通信路であって、このＤＮＳサーバに生じる異常を検知する場合、検知用情報は、クエリであるかレスポンスであるかを示す値、クエリのタイプ（例えばＡ、ＰＴＲ、ＭＸ、ＮＳ等）、レスポンスのタイプ（例えばＡ、ＰＴＲ、ＭＸ、ＮＳ等）、レスポンスコード（０、１、２、３、４、５、その他）などである。
【００１７】
また、例えば、監視対象となる通信路がＷＥＢサーバに接続された通信路であって、このＷＥＢサーバに生じる異常を検知する場合、検知用情報は、リクエストであるかレスポンスであるかを示す値、メソッド（ＧＥＴ、ＨＥＡＤ、ＰＯＳＴなど）、リクエストラインの長さ、ステイタスコード、ヘッダのｆｉｅｌｄ−ｎａｍｅ、ヘッダのｆｉｅｌｄ−ｎａｍｅの長さ、ヘッダのｆｉｅｌｄ−ｖａｌｕｅの長さ、ヘッダのｆｉｅｌｄ−ｃｏｎｔｅｎｔの長さなどである。
【００１８】
判断部１３は、抽出された監視項目の値の中から、頻出している値を判断する。判断部１３は、ＦＩＦＯ（First In First Out）のキューを用いることによって、頻出している値を判断する。この場合、判断部１３は、所定の長さのキュー（例えば１万、１０万などの長さのキュー）を有し、抽出部１２から転送されてきた値を随時このキューへ入力する。そして、判断部１３は、この入力を繰り返した後に所定のタイミングにおいて、その時点でキュー内に存在する値を、頻出している値として判断する。そして、判断部１３は、頻出していると判断した値（監視項目の値）を、検知部１５に通知する。
所定のタイミングとは、所定時間が経過した時点であっても良いし、上述した入力を所定の回数繰り返し実行した時点であっても良い。この所定のタイミングは、設計者によって適宜設定される。
【００１９】
図２（ａ）〜（ｅ）は、判断部１３の処理の具体例を示す図である。以下、図２を用いて、判断部１３の処理を詳細に説明する。判断部１３は、キューと、カウンタを有する。キューは、長さがｎである。即ち、キューは、ｎ個のボックス（ボックス１〜ボックスｎ）を有し、キューに入力された値をボックス１から順に収める。キューは、新たな値を入力すると、新たに入力された値をボックス１に収め、各ボックスに収められていた値をボックス番号が１つ大きいボックスへ収める。このとき、キューは、ボックスｎに収められている値については破棄する。
【００２０】
カウンタは、キュー内に存在する各値の個数をカウントする。カウンタは、キューがボックス１に新たな値を入力すると、この値のカウンタ値を１つ増加させる。また、カウンタは、キューがボックスｎに収められていた値を破棄すると、この値のカウンタ値を１つ減少させる。カウンタがこのように動作することにより、カウンタが有する各カウンタ値は、キュー内に存在する各値の個数を示す。
【００２１】
図２（ａ）では、キューは、最初の値Ａ１を入力し、ボックス１に収める。このとき、カウンタは、Ａ１のカウンタ値として“１”をカウントする。次に、図２（ｂ）では、キューは次の値Ａ２を入力し、この値をボックス１に収める。このとき、キューは、ボックス１に収められていた値Ａ１を、ボックス２に収める。また、このとき、カウンタは、Ａ１のカウンタ値は変更せず、Ａ２のカウンタ値として“１”をカウントする。次に図２（ｃ）では、キューは次の値Ａ１を入力し、この値をボックス１に収める。このとき、キューは、ボックス１及びボックス２に収められていた値Ａ２及びＡ１を、それぞれボックス２及びボックス３に収める。また、このとき、カウンタは、Ａ１のカウンタ値を１つ増加させて“２”とし、Ａ２のカウンタ値は変更しない。
【００２２】
図２（ｄ）は、その後キューが入力処理を繰り返した結果、ボックスｎまで値が入っている状態を示す。このとき、キューは、ボックスｎに値Ａ１を収めている。また、カウンタは、Ａ１のカウンタ値として“ｘ”を、Ａ２のカウンタ値として“ｙ”を有している。
次に、図２（ｅ）では、図２（ｄ）の状態から新たな値Ａ２をキューが入力する。即ち、キューは、次の値Ａ２を入力し、この値をボックス１に収める。このため、カウンタは、Ａ２のカウンタ値を１つ増加させて、“ｙ＋１”とする。また、キューは、ボックスｎに収められていた値Ａ１を破棄し、それまでボックスｎー１に収められていた値Ａ２をボックスｎに収める。そして、カウンタは、破棄された値Ａ１のカウンタ値を１つ減少させて“ｘ−１”とする。このようなカウンタの動作により、判断部１３は、キュー内に収められている各値の個数を取得する。そして、判断部１３は、キュー内に収められている個数が１以上の値を、頻出している値として判断する。
【００２３】
また、判断部１３は、監視項目の値毎に、検知用情報の統計値を算出する。そして、判断部１３は、監視項目の値毎に、算出された統計値を対応付けて記憶部１４に書き込む。検知情報の統計値とは、検知部１５の異常検知処理に用いられる値である。判断部１３が算出する統計値は、検知部１５に実装される異常検知技術に応じて適宜設定される。
この統計値とは、例えば、同一情報の総数や、所定時間毎に得られた同一情報の総数の平均や、所定時間毎に得られた同一情報の総数の標準偏差や、所定のデータ受信数毎に得られた同一情報の総数の平均や、所定のデータ受信数毎に得られた同一情報の総数の標準偏差、などである。また、検知用情報がデータ長である場合には、統計値は、検知用情報の平均や標準偏差であっても良い。なお、統計値を算出する際の「所定時間」や「所定のデータ受信数」は、判断部１３における「所定のタイミング」よりも短いサイクルである。
【００２４】
記憶部１４は、揮発性記憶装置や不揮発性記憶装置を用いて構成される。図３は、記憶部１４の記憶内容を示す図である。記憶部１４は、判断部１３の指示に従い、監視項目の値毎に、各検知用情報の値の統計値を記憶する。
【００２５】
検知部１５は、判断部１３から、頻出していると判断された監視項目の値について通知を受ける。そして、検知部１５は、この監視項目の値が抽出されたデータに基づいて異常検知判断を行う。具体的には、検知部１５は、この監視項目の値が抽出されたデータにおいて抽出された検知用情報に基づいて異常検知判断を行う。
検知部１５は、頻出していると判断された監視項目の値が抽出されたデータにおいて抽出された検知用情報を、この監視項目の値と対応付けて記憶部１４に記憶される統計値を読み出すことによって取得する。そして、検知部１５は、この統計値に基づいて異常検知判断を行う。検知部１５は、公知のネットワーク監視技術や公知のサーバ監視技術に基づいて異常検知処理を実行する。例えば、検知部１５は、各統計値について閾値を有し、監視項目の値と対応付けて記憶部１４に記憶される各統計値と閾値とを比較する。そして、検知部１５は、閾値を超える統計値があった場合、異常が発生していると判断する。検知部１５は、異常が発生していると判断すると、その判断処理に用いた統計値や、この統計値に対応する監視項目の値などの情報を、出力部１６へ転送する。
【００２６】
出力部１６は、検知部１５の検知結果を出力する。具体的には、出力部１６は、検知結果として、検知部１５によって異常が発生していると判断された監視項目の値、検知用情報、検知用情報の統計値などを出力する。出力部１６は、例えば、検知結果を画像表示装置に表示することによって出力を行う。また、出力部１６は、例えば、検知結果をシートに印刷することによって出力を行っても良い。また、出力部１６は、例えば、検知結果を記憶装置へ書き出すことによって出力を行っても良い。
【００２７】
次に、判断部１３の動作について説明する。図４は、判断部１３の動作を示すフローチャートである。まず、判断部１３は、キュー及びカウンタをリセットし（Ｓ０１）、計時をスタートする（Ｓ０２）。次に、判断部１３は、計時スタートから所定時間が経過したか否か判断する（Ｓ０３）。所定時間がまだ経過していなければ（Ｓ０３−ＮＯ）、判断部１３は、キューのボックスｎが空であるか否か判断する（Ｓ０４）。ボックスｎが空でない場合（Ｓ０４−ＮＯ）、判断部１３は、ボックスｎの値に係るカウンタ値から１を減算する（Ｓ０９）。次に、判断部１３は、ボックスｎに収められている値を破棄する（Ｓ１０）。次に、判断部１３は、抽出部１２によって新たに抽出された監視項目の値をキューに入力する（Ｓ０５）。なお、ボックスｎが空である場合（Ｓ０４−ＹＥＳ）、判断部１３は、Ｓ０９及びＳ１０の処理を行うことなく、Ｓ０５以降の処理を行なう。
【００２８】
次に、判断部１３は、新たに入力された監視項目の値（即ち、ボックス１に収められている値）のカウンタ値に“１”を加算する（Ｓ０６）。そして、判断部１３は、新たに入力された監視項目の値に対応する検知用情報の値の統計値を更新する（Ｓ０７）。判断部１３は、処理終了の指示があったか否か判断する（Ｓ０８）。処理終了の指示がなければ（Ｓ０８−ＮＯ）、判断部１３は、Ｓ０３の処理に戻り、Ｓ０３以降の処理を行う。一方、処理終了の指示があった場合は（Ｓ０８−ＹＥＳ）、判断部１３は、処理を終了する。
【００２９】
Ｓ０３の分岐において、所定時間が経過していた場合（Ｓ０３−ＹＥＳ）、判断部１３は、カウンタ値が１以上である監視項目の値を、頻出している値であると判断する（Ｓ１１）。次に、判断部１３は、計時をリセットする（Ｓ１２）。そして、判断部１３は、Ｓ０１以降の処理を実行する。
【００３０】
異常検知装置１では、判断部１３が監視項目の値について頻出していると判断した値に係るデータについてのみ、検知部１５が異常検知判断を行う。そのため、検知部１５が異常検知判断の処理対象とするデータ量は、通信路を通る全てのデータ量に比べて減少する。したがって、異常検知装置１は、検知部１５が異常検知判断の処理に要する処理時間を短縮することを可能とする。
【００３１】
また、従来の異常検知装置は、正常な状態を誤って異常として検知してしまう誤検知の発生という問題も抱えていた。このような問題に対し、異常検知装置１では、上述したように、判断部１３が監視項目の値について頻出していると判断した値に係るデータについてのみ、検知部１５が異常検知判断を行う。一般的に、頻出する値に係るデータが、重大な影響を及ぼすことが多い。逆に、頻出しない値（言い換えれば、稀にしか出現しない値）に係るデータは、異常を生じさせないことが多い。そのため、異常検知装置１は、頻出しない値に係るデータについて異常検知判断を行わないことによって、誤検知の発生を抑止することを可能とする。
【００３２】
また、異常検知装置は、異常検知判断の処理量に応じて出力するデータの量も増加する。このため、従来は不必要な検知結果（言い換えれば、重大な影響を及ぼすことのない軽微な異常についての検知結果）を含むことにより、出力データが増大していた。したがって、通信路や装置の管理者は、膨大な出力データを監視しなければならず、十分に対応することができないという問題が生じていた。このような問題に対し、異常検知装置１は、上述したように頻出しない値に係るデータについて異常検知判断を行わないことによって、不必要な検知結果を出力せず、管理者が監視すべき出力データを軽減することを可能とする。
【００３３】
<変形例>
抽出部１２は、パケット毎ではなく、ＴＣＰフロー毎など、監視項目の値を抽出する対象の単位をパケット毎とは異なる単位として動作を行っても良い。
判断部１３は、ＦＩＦＯとは異なるアルゴリズムを用いることによって、頻出している値を判断しても良い。例えば、判断部１３は、抽出部１２から転送されてきた各値の個数を、所定の回数分カウントする。そして、判断部１３は、このカウント値が多いものから順に所定数の値を頻出している値として判断しても良い。また、例えば、判断部１３は、このカウント値が閾値を超えたものを、頻出している値として判断しても良い。また、例えば、判断部１３は、ＬＲＵ（Least Recently Used）を用いることによって、頻出している値を判断しても良い。具体的には、判断部１３は、複数のボックスを用意し、抽出部１２から転送されてきた値（新たに入力する値）を空いているボックスに収め、この時点でこの値を参照したことを記録する。判断部１３は、新たに入力する値について、既にいずれかのボックスに同じ値を収めている場合は、その値をその時点で参照したことを記録し、その値を新たにボックスに収めることはしない。また、判断部１３は、全てのボックスが値を収めている状態で、どのボックスにも収められていない新たな値を入力した場合、最も長い間参照されていない値を破棄する。そして、判断部１３は、この破棄によって空いたボックスに、新たな値を収め、この時点で参照したことを記録する。判断部１３は、このような入力を所定の回数繰り返した後に、その時点でボックスに収められている各値を、頻出している値として判断する。
【００３４】
また、判断部１３は、検知用情報の統計値の更新を、新たに抽出された監視項目の値をキューに入力する度に行うのではなく、統計値が得られる所定のタイミングで行っても良い。
また、判断部１３は、キューへの入力を繰り返した後に所定のタイミングにおいて、その時点でキュー内に存在する各値のカウント値に基づいて、頻出している値を判断しても良い。例えば、判断部１３は、このカウント値が閾値以上である場合に、その値を頻出している値として判断しても良い。また、例えば、判断部１３は、このカウント値が大きい順に上位から所定の数の値を、頻出している値として判断しても良い。
【００３５】
また、判断部１３は検知用情報の統計値を取得せず、必要に応じて検知部１５が検知用情報の統計値を取得しても良い。この場合、記憶部１４は、検知用情報の統計値を記憶せず、検知用情報のみを記憶しても良い。
また、検知用情報は、監視項目と重複しても良い。即ち、検知用情報は、パケットの送信先のＩＰアドレス、送信先のホスト名、送信元のＩＰアドレス、送信元のホスト名、使用プロトコル、ポート番号などを含んでも良い。
【００３６】
また、監視項目は、複数の項目の組み合わせであっても良い。例えば、監視項目は、パケットの送信先のＩＰアドレス及びその使用プロトコルの組み合わせであっても良い。この場合、抽出部１２は、この組み合わせを抽出する。また、判断部１３は、この組み合わせについて頻出する組み合わせを判断する。
【００３７】
また、判断部１３は、検知用情報の統計値である平均値や標準偏差を更新する際、式１〜式３を用いてこれらの新たな値を算出しても良い。式１〜式３において、Ａ（ｎ）は、新たな平均値、Ｑ（ｎ）は新たな二乗平均値、Ｓ（ｎ）は新たな標準偏差を示す。また、Ａ（ｎ−１）は、更新前における最新の平均値、Ｑ（ｎ−１）は更新前における最新の二乗平均値、Ｓ（ｎ−１）は更新前における最新の標準偏差を示す。また、ｘ（ｎ）は、新たな検知用情報を示す。また、ｎは、統計値の算出に用いられる検知用情報の数を示す。判断部１３は、式１を用いることにより、計算量を削減し、より高速に処理を実行することが可能となる。
【００３８】
【数１】
2009200993.tif 000003
【００３９】
なお、上述した実施形態における異常検知装置１の一部、例えば、判断部１３や検知部１５の機能をコンピュータで実現するようにしても良い。その場合、この情報管理機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって実現しても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時刻の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時刻プログラムを保持しているものも含んでも良い。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【図面の簡単な説明】
【００４０】
【図１】異常検知装置の機能構成を示す概略ブロック図である。
【図２】判断部の処理の具体例を示す図である。
【図３】記憶部の記憶内容を示す図である。
【図４】判断部の動作を示すフローチャートである。
【符号の説明】
【００４１】
１…異常検知装置，  １１…受信部，  １２…抽出部，  １３…判断部，  １４…記憶部，  １５…検知部，  １６…出力部
【図１】
2009200993.tif 000004
【図２】
2009200993.tif 000005
【図３】
2009200993.tif 000006
【図４】
2009200993.tif 000007