Silviase/jgov_v1.4_full_ann huggingface dataset:
## 新たな社会インフラを担う革新的光ネットワーク技術の研究開発

Society5.0 の実現に伴い光ネットワークに要求される通信容量の拡大、消費電力の削減を行うため、毎秒5テラビット級光伝送用信号処理技術等による革新的な光通信技術を確立し、IoT 時代の新たな社会インフラを担う超高速・高信頼なネットワークの実現に寄与するとともに、我が国の国際競争力の強化に貢献する。

## 1 施策の概要

## （１）施策の背景、課題等

2020 年以降、5G 普及による高精細動画の携帯端末への配信、8K コンテンツのインターネット配信、遠隔医療、IoT 機器等からのデータ収集、AI 活用のためのビッグデータ流通、自動運転のための情報の送受等のネットワークと連携したサービスの普及により、データトラフィックが爆発的に増大し、ネットワーク全体の通信容量がひっ迫することが指摘されている。これまで研究開発を行ってきた現行技術のみによる基幹網の大容量化は限界に近づきつつあり、現行技術でさらなる大容量化に対処する場合には、光ケーブル・送受信器等の増設及びそれに伴う電力・設置空間・コストの増大が課題となり、そのネットワークを利用するサービスも広く普及することは困難となる。社会インフラとして様々なネットワークサービスを支えるため、基幹網からアクセス網まで総合的な大容量化・高効率化を実現する革新的光通信技術の開発が必要である。

## （２）施策の具体的内容

本研究開発では、基幹網に要求される通信容量の拡大、消費電力の削減を行うため、毎秒5テラビット級光伝送用信号処理技術、マルチコアファイバ伝送技術等の革新的な光伝送技術を確立するとともに、アクセス網において多様化する通信サービス需要を効率的に収容する高効率光アクセスの基盤技術を確立する。また、本研究開発成果を基に国際標準化・市場展開を推進することで、我が国の国際的な競争力を強化する。

## 2 イメージ図
平成29年度宮内庁調達改善計画の年度末自己評価結果（概要）

## 1 一者応札の改善

(取り組み)

（1）入札資料受領者が少数の場合，積極的に事業者へ入札の案内。

（2）公告期間を開庁日12日間以上確保。

（3）発注予定情報をホームページに掲載し，四半期毎に内容を更新。

（4）過去に一者応札となった同種の調達について積極的に事業者へ入札の案内。

(効果)

前年一者応札案件のうち，7件が複数者応札に改善

## 2 一者応札の事前審査・事後審査の実施・強化

(取り組み)

（1）前年度一者応札であった案件については，その要因分析及び改善策を事前審査時の決裁書類に添付する。

（2）一者応札及び入札不調となった案件について，入札資料を受領したものの応札しなかった業者へのアンケートを実施し，そこで得られた意見を仕様書等の見直しに活用する。さらに，庁内の担当者へ情報を提供し，組織的に情報の共有を図る。

（3）宮内庁契約監視委員会の審議において一者応札案件の審査を実施。

(効果)

前年一者応札案件のうち，2件が複数者応札に改善（入札案内にあわせた取組み）

## 3 地方支分部局等における取組の推進

(取り組み)

関西地区に所在する宮内庁関係の事務所間において，価格低減の観点から，一括調達をより推進する。

(効果)

同一市内の複数官署で使用する消耗品について，品目増加を検討（平成30年度から実行）

## 4 電力調達、ガス調達の改善

## (取り組み)

【ガス調達】

一般競争により調達を行っているもの及び少額随意契約を除き，平成29年4月からのガス小売り全面自由化を踏まえ，引き続き安定したガス供給を受けることができることを前提に，競争性が高まる調達を検討する。

## (効果)

①赤坂御用地内で使用するガスを一般競争による調達を実施。

②その他施設で使用するガスを見積合せによる調達を実施。

競争前後の単価を年間の使用予定ガス量に乗じて得た金額を比較により，次の削減効果が得られた。

①約70万円

② 約10万円
自律型モビリティシステム（自動走行技術、自動制御技術等）の開発・実証課題Ⅲ高度地図データベースの高効率なリアルタイム更新・配信技術の確立

担当課室名：移動通信課 新世代移動通信システム推進室

実施研究機関：（株）NTTドコモ、（株）パスコ

研究開発期間：H28年度

### 1. 研究開発概要

## (1) 目的

自動走行技術の早期の社会実装・普及の実現に向け、また、同技術を観光、土木、福祉等の多様な分野で活用できるようにするため、自動走行に不可欠な高度地図データベース（ダイナミックマップ）の更新・配信のための通信技術の開発を推進する。本研究開発は、我が国の持続的な成長基盤として期待される自動走行技術、自動制御技術等を活用した安全・安心な自律型モビリティシステムの開発及び利活用実証に貢献するものである。

## (2) 政策的位置付计

「日本再興戦略改訂2015」において、自動走行等の基礎的な情報として必要な高度地図データベースの活用の重要性について述べられている。また、「科学技術イノベーション総合戦略2015」や「世界最先端IT国家創造宣言」において、三次元地図情報等の環境基盤を整備して高齢者の自立支援を行うことや、安全・安心かつ円滑な移動が可能となる移動支援システムを実現することが掲げられている。

## (3) 目標

我が国の社会が超高齢化社会と労働人口の減少を迎える中、過疎地も含めた高齢者の安全・安心な生活、多様な経済活動の生産性確保等を図るため、高信頼・高精度な自動走行を実現する自律型モビリティシステム（自動走行技術、自動制御技術等）を開発することが重要である。

このため、様々なセンサーから得られた情報等も活用し、自動走行に必要な高度地図データベースの更新・配信をスムーズに行うための通信技術の開発を行う。これにより、ICT基盤技術の確立し、高度地図データベースの更新・配信に係るネットワークへの負荷（データ量）を総トラヒック量で50％以下に低減することを到達目標とする。

## 【課題Ⅳ】

図 自律型モビリティシステムの開発・実証の全体像（各課題の位置付け）
### 2. 研究開発成果概要（H28年度）

自律型モビリティシステムの実用化や普及を見据え、ネットワークの負荷を低減しつつも高度地図データベースを高効率かつリアルタイムに更新や配信を行うことが出来る技術の研究開発を実施した。また、高度地図データベースの更新や配信に関する有用性や実用性を確認するため、車両等を用いた実証実験を実施した。具体的には、以下の3点の技術課題について検討等を行った。

## (ア)高度地図データベースの更新技術

(1) 静的情報の更新技術の検討

道路変化箇所検知に利用するデータを定義化し、機械学習等により道路変化箇所を検知する方法を導出

- 道路変化箇所検知に利用するデータを定義化し、機械学習等により道路変化箇所を検知する方法を導出

- 静的情報の更新内容を自動で認識および抽出する方法を導出

(2) 准静的・准動的情報の更新技術の検討

• 更新に利用するプローブ情報の最適な送信タイミングや送信先を明確化

• 更新情報入力用の外部接続I/Fを定義化

(上りの通信トラヒック量を25.7%削減（コアNW区間は51.3%削減）)

## (イ)高度地図データベースの配信管理技術

(1)高度地図データベースの分散配置の検討

・クラウドとエッジサーバへの分散配置方法を導出

• 分散配置におけるデータ分離方法を導出

(2) 送信データ抑制技術の検討

・ バージョン管理による差分配信方法を導出

・ハンドオーバ時の配信継続方法を導出

(3) 更新情報の配信技術の検討

自律型モビリティへの配信方法を導出

差分配信方法を導出

（下りの通信トラヒック量を39.4％削減（コアNW区間は69.9％削減））

## (ウ)高度地図データベースの受信技術

(1)複数無線ネットワークを用いた受信方法の検討

• 無線の特性や自律型モビリティの走行状態等に応じた無線ネットワークの使い分け方法を導出

• LTEによる受信システム(静的)を開発

(2)実環境における実証および課題の抽出

実証エリア(YRP)における高度地図DB(静的情報)を作成

• LTE試験基地局(屋内設備)を構築

3台の自動走行車(同志社大、名古屋大、金沢大)を用いた走行実証を実施

## 2 高度地図データベースの配信管理技術

(1) 高度地図データベースの分散配置の検討

(2) 送信データ抑制技術の検討

(3) 更新情報の配信技術の検討

## 1 高度地図データベースの更新技術

（1）静的情報の更新技術

(2) 准静的・准動的情報の更新技術

## 3 高度地図データベースの受信技術

（1）複数無線ネットワークを用いた受信方法の検討

(2) 実環境における実証および課題の抽出
3. 政策目標の達成状況（経済的・社会的な効果）等
終了評価時に示した政策目標の達成状況等は以下のとおり。
<アウトカム指標および政策目標の達成に向けた取組みの実施状況>
① 普及展開を想定した高度地図データベースの更新・配信管理・受信技術の確立
本研究開発によって以下（ア）～（ウ）の成果が得られた。
(ア)高度地図データベースの更新技術
・静的情報や準静的・準動的情報の更新技術の検討を行い、コネNW区間のトラヒック量を51.3%削減
・継続課題としては、計測車両や路側設備等がセンサ等で取得した情報を、ネットワーク経由で収集する際の通信トラヒックを削減するための技術の確立が必要
(イ)高度地図データベースの配信管理技術
・高度地図データベースの分散配置や送信データ抑制技術の検討を行い、コアNW区間のトラヒック量を69.9%削減
・継続課題としては、無線アクセス区間の通信トラヒック量の更なる削減のため、自律型モビリティの走行状態等に応じて高度地図データベースを分割配信等する技術の確立が必要
(ウ)高度地図データベースの受信技術
・複数無線NWを用いた受信方法の検討や実環境における実証を実施し、課題を抽出
・継続課題としては、無線アクセス区間の通信トラヒック量の更なる削減のため、携帯電話システムと無線LANシステムを動的に切り替えたり、同時に通信したりする技術の確立が必要
なお、上記（ア）～（ウ）の継続課題については、平成29年度～平成30年度における総務省委託研究開発「膨大な数の自律型モビリティシステムを支える多様な状況に応じた周波数有効利用技術の研究開発 課題イ：複数無線技術を用いた高度地図データベースの更新・配信技術」において研究開発及び実証実験を行い、技術を確立した。
② 高度地図データベースの更新・配信管理・受信技術に関するガイドラインの策定
前述の総務省委託研究開発の成果を踏まえてガイドラインを策定し、「スマートIoT推進フォーラム（平成30年3月）」等で公開した。また、他課題の受託機関とも連携し、ガイドラインを含む研究開発成果の普及展開活動（具体的な活動内容は6.に示す）を実施した。
③ 他の研究機関や企業への実証環境の提供（利活用促進）
本研究開発において整備した高度地図データベース（静的情報）や携帯電話システム（LTE）試験基地局の屋内設備等を活用し、前述の総務省委託研究開発において携帯電話システム（LTE）試験基地局の屋外設備の構築や他課題の構築した設備（エッジサーバやセキュリティエンジンなど）との接続等を行い、横須賀リサーチパーク（YRP）に実証環境を整備した。また、この実証環境を他の研究機関（名古屋大学など）へ提供し、利活用を促進した。これらの取り組みは、横須賀市等が推進する「ヨコスカメスマートモビリティ・チャレンジ」の立ち上げ（平成30年3月）にも繋がった。

研究の推進
事業化
成果発表

H28年度
本研究開発
技術の確立
準備
準備
H29年度
膨大な数の自律型モビリティシステムを支える
多様な状況に応じた周波数有効利用技術の研究開発
技術の確立
準備
準備
研究機関や企業に
H30年度
R1年度
ガイドライン
普及展開活動
▲WTP2017▲あいちITSワールド
▲ICTイクページョンフォーラム▲docomo
▲YRP開設20周年式典（講演+走行デモ）
ヨコスカメスマートモビリティ・チャレンジ
▲スカモビ2019（講演+走行デモ）
▲スマートIoT推進フォーラム▲スマートIoT推進フォーラム
### 4. 成果から生み出された科学的・技術的な効果

本研究開発において、自動走行車を用いた実環境におけるフィールド実証等により、開発技術の有用性等を検証した結果、高度地図データベースの更新・配信管理・受信技術に関して、自律型モビリティの走行状態等に応じて分割配信する技術や携帯電話システムと無線LANシステムを動的に切り替えたりする技術の検討が新たに必要であることが明らかになった。

そのため、新たな技術研究開発として後継プロジェクトである総務省委託研究開発「膨大な数の自律型モビリティシステムを支える多様な状況に応じた周波数有効利用技術の研究開発 課題イ：複数無線技術を用いた高度地図データベースの更新・配信技術」(平成29年度～平成30年度)が誘引された。

### 5. 副次的な波及効果

平成29年10月に行われた横須賀リサーチパーク(YRP)の開設20周年記念式典において、本研究開発の成果を用いた「ダイナミックマップ配信に基づく自動運転」のデモンストレーションを実施した。このイベントおよびデモンストレーションをきっかけとして、横須賀市やYRP研究開発推進協会等は平成30年3月に「ヨコスカメスマートモビリティ・チャレンジ」という取り組みを開始した。これは、横須賀市におけるスマートモビリティ（賢い移動運搬手段）の開発・実証の推進及び関連産業・周辺産業の集積を図ることで、新規ビジネスの創出、社会課題の解決及び地域の活性化に資することを目的とした産官学連携の取り組みである。平成31年1月のイベントでは「横須賀スマートモビリティ宣言」が発表され、本研究開発および前述の総務省委託研究開発においてもその成果を用いた自動運転のデモンストレーションおよび市民等の試乗会を実施し、イベントに花を添えた。このように、本研究開発が、実証フィールドである横須賀市という地域における産業や市民の生活に直接的に好影響を与えるという波及効果があった。

### 6. アウトカム目標の達成に向けた取組計画の達成状況等

終了評価時に示したアウトカム目標(追跡調査に向けたベンチマーク)の達成状況等は以下の通り。

アウトカム指標	数値目標	現在の進捗状況	達成状況
【普及展開活動】
各種イベントでの普及活動(PJ紹介、研究発表、等)を実施した件数
【目標年度】
平成29年度～平成30年度	5件以上	以下のイベントでのPJ紹介や研究発表等の普及活動を実施済
・ワイヤレステクノロジーパーク2017(平成29年5月24～26日)
・日本写真測量学会平成29年度年次講演会(平成29年9月11日)
・総務省ICTイノベーションフォーラム2017(平成29年10月3日)
・YRP開設20周年記念式典(平成29年10月11日)
・スマートIoT推進フォーラム第3回総会(平成30年3月9日) 他多数	100%
【事業化・製品化等】
他の事業(実証案件、商用サービス、等)へ展開した件数
【目標年度】
平成29年度～	2件以上	以下の事業への成果展開を実施済
・総務省「膨大な数の自律型モビリティシステムを支える多様な状況に応じた周波数有効利用技術の研究開発 課題イ：複数無線システムを用いた高度地図データベースの更新・配信技術」
・NEDO「SIP-自動走行システム大規模実証実験(ダイナミックマップ)」※NTTドコモは三菱電機の外注先として参画	100%

### 7. 政策へのフィードバック

## <国家プロジェクトとしての妥当性、プロジェクト設定の妥当性>

本研究開発では、自動走行に必要な高度地図データベースの更新・配信のための通信技術の開発を推進できた。これは、自動走行技術の早期の社会実装・普及の実現や、同技術の観光、土木、福祉等への応用に役立つものであり、我が国の持続的な成長基盤として期待される自動走行技術、自動制御技術等を活用した安全・安心な自律型モビリティシステムの開発及び利活用実証に貢献した。これらの点から、当該プロジェクトとそのテーマ設定は、国家プロジェクトとして妥当であった。

## くプロジェクトの企画立案、実施支援、成果展開への取組み等に関する今後の政策へのフィードバック>

高度地図データベースの高効率なリアルタイム更新・配信のための通信技術の確立や、エッジコンピューティング技術・クラウド技術を活用したネットワーク負荷低減の実現は、自動運転技術が発展しネットワーク接続された自律型モビリティの数の急激な増大が予測される中で、時代の要請に適する重要なものあった。

本研究によって得られた研究成果をもとに電波利用の効率化を目標とした「膨大な数の自律型モビリティシステムを支える多様な状況に応じた周波数有効利用技術の研究開発」へ展開され、研究開始時期として適切であった。また、本研究を通した成果として、横須賀市等が推進する「ヨコスカ×スマートモビリティ・チャレンジ」の立ち上げや、SIPにおける大規模実証実験の実験環境（ダイナミックマップ配信・受信システム）の構築・運用にも展開されている。

プロジェクトの進め方については、進捗状況の把握及びそれに対する指摘が行われ、適切な研究開発マネジメントが行われ、要素技術の確立に寄与したと言えるものである。
# サイバー攻撃の解析・検知に関する研究開発

# R&D of detective and analytical technology against advanced cyber-attack

代表研究責任者 津田 宏 富士通株式会社

研究開発期間 平成 25 年度～平成 27 年度

## 【Abstract】

The cyber attack in recent years including the target type attack might pass through existing information security measures because it is repeated obstinately by making good use of the sleight of hand. This research is the one working on the achievement of technologies that detect behavior different from routine work and malicious access, etc and understands damage situation and that network control technology that minimizes influence of attack and continues business by paying attention to the use of user's behavioral characteristics and environmental characteristics.

This research achieves the environment for which information can be safely used by applying appropriate measures approach responding to user's behavioral characteristics and continuing the business without the influence according to the status of damage even when damage occurs without pressing an excessive load and the limitation to the user.

## 1 研究開発体制

○ 代表研究責任者

塩崎 哲夫（富士通株式会社） 平成 27 年 6 月 19 日まで

津田 宏（富士通株式会社） 平成 27 年 6 月 20 日から

研究分担者塩崎哲夫（富士通株式会社）平成27年6月19日まで

津田 宏（富士通株式会社） 平成 27 年 6 月 20 日から

西田 助宏（エヌ・アール・アイ・セキュアテクノロジーズ株式会社）

高倉 弘喜（名古屋大学） 平成 25、26 年度

嶋田 創（名古屋大学） 平成 27 年度

○ 総合ビジネスプロデューサー 富田 高樹（みずほ情報総研）

○ ビジネスプロデューサー 太田 大州（富士通株式会社）

菅谷 光啓（エヌ・アール・アイ・セキュアテクノロジーズ株式会社）

高田 広章 (名古屋大学)

研究開発期間 平成 25 年度～平成 27 年度

研究開発予算 総額 1,025 百万円

(内訳)

平成 25 年度	平成 26 年度	平成 27 年度
550 百万円	300 百万円	175 百万円
## 2 研究開発課題の目的および意義

近年、標的型攻撃をはじめとしてサイバー攻撃の高度化・複雑化が進展し、既存の情報セキュリティ対策ではネットワークへの侵入、マルウェアの感染等の情報セキュリティ上の脅威を完全に防ぐことが困難となっている。

こうした状況においてサイバー攻撃の被害を最小化するには、攻撃を早期に検知し迅速に対処することが重要である。そのため、本研究開発においては利用者の行動特性等に応じて不正な通信の痕跡を発見し、ネットワークへの侵入及びマルウェアの感染等のサイバー攻撃による被害の程度及び被害に至った経緯を明らかにする技術、及び当該情報に基づきサイバー攻撃への動的な防御を実現する技術の研究開発を実施する。

## (1) 政策目標（アウトカム目標）

2011年以降、国や国の安全に関する重要な情報を扱う企業等に対する標的型攻撃が相次いで明らかになる等、従前とは態様が異なる新たなサイバー攻撃の脅威が顕在化している。例えば、メールを利用した標的型攻撃では、攻撃対象となる利用者にあわせて時事情報等を組み込むなど、文面を巧妙化しメールを開封するよう仕向けるなど高度なソーシャルエンジニアリングの手法が用いられている。

そのため、本研究開発で得られた成果を実用化することで、利用者の行動特性に応じて適切な対策を適用するとともに、被害が発生した場合においても被害の進行状況に応じて影響のない業務を継続可能とし、利用者に過剰な負荷・制限を強いることなく安全に情報が活用できる社会の実現に貢献する。

## (2) 研究開発目標（アウトプット目標）

標的型攻撃をはじめとする近年のサイバー攻撃は、巧妙な手口を駆使して執拗に繰り返されるため、既存の情報セキュリティ対策では対処することが困難である。

そのため、本研究開発では、利用者の行動特性及び環境特性の活用に着目することにより、組織内ネットワークにおける不正な通信等を検知する技術、サイバー攻撃の被害状況を把握する技術及びサイバー攻撃の影響を最小化し業務を継続するネットワーク制御技術を確立する。

## 3 研究開発成果（アウトプット）

### 3.1 課題Ⅰ 利用者の行動特性に基づくサイバー攻撃検知技術の研究開発

## (1) 利用者の行動特性分析技術

標的型攻撃を受けやすい（受けにくい）利用者個人の差異、所属部署及び取り扱う情報等の差異を考慮し、標的型攻撃の検知及び被害との相関、利用者個人の行動特性に係る複数の因子を抽出する技術を確立する。

また、数百名規模の行動特性・プロファイル共有システムを実現し、課題Ⅰ．～Ⅲ．と連携して、サイバー攻撃の迅速な検知並びに所属部署及び利用者個人の行動特性を加味した柔軟かつ高効率な情報セキュリティ対策を実現する基盤技術を確立する。

## (2) 利用者の行動特性分析に基づく不正意図の検知技術及び通信の制御技術

利用者の行動特性の分析によりプロファイリングされた情報、実際の利用者の行動との比較分析、類似の行動特性等を有する者との相関分析等を基に、ネットワーク及びサーバの負荷を抑えつつ迅速にマルウェア感染を検知する技術を確立する。
また、マルウェア感染が検知された場合に、影響の範囲及び影響度に応じた利用制限、監視強化等を実現するため、リアルタイムに経路制御を行う技術を確立する。なお、本経路制御技術は、複数の拠点からWAN経由で通信を誘導可能とする。

(3) 利用者の行動特性分析に基づくリアルタイム・アノマリ分析技術

時々刻々変化する利用者の状況を時系列データとしてリアルタイムに収集・学習し、利用者の行動特性・プロファイルと組み合わせて、リアルタイムなアノマリ分析を可能とし、定常でない状態（異常と疑われる状態）を検知し、アラーム通知を可能とする。

(4) 利用者のプロファイル情報を用いたゲートウェイ型のサイバー攻撃検知技術の研究開発

組織の特徴や利用者の特徴といった利用者のプロファイル情報を既存のゲートウェイにおける検知技術と組み合わせて標的型攻撃の検知を行う技術の研究開発を行う。これにより、従来の技術では検知することが困難であった高度な攻撃の検知や運用負荷を高めている誤検知を低減させ、標的型攻撃の検知性能を飛躍的に向上させる。

課題 I (1) 利用者の行動特性分析技術では、被害に遭いやすい人の行動特性によるリスク判定技術を開発、人や組織に合せた対策手法を構築し、I(2)，(3) との連携も考慮した組織リスク可視化により行動特性分析技術の有用性を評価した。

ICT 被害に遭いやすい人の行動特性に基づき開発した人の行動特性クラスに合わせた対策手法では、人の行動特性に基づくリスク判定ツールを開発し、国内外の展示会にて500名以上に対してトライアルを行った。その結果、職種においては営業、業種については金融や教育のリスクが高いなど、クラスによってリスクが異なることが分かった。

人に合わせたアラート画面の開発では、インターネットユーザ約1500名に対するWebアンケート調査を行い、周りの人の行動を適切に共有することは有効であり、例えば社給PCと私物PC間での業務ファイルのやりとりが多い人や、PC内のファイル整理をあまりしない人ほど、自身のメール操作の危険性を注意深い人のメール操作との数値比較をもって注意喚起する画面案を支持することなどを確認した。

行動特性分析による対策手法として、疫学の感染モデルも参考に、標的型メール攻撃を受信した場合に、よくメールをする人や当該ドメインとよくやりとりするなど、周りの関連する人のつながりから、類似の攻撃を受けそうな人に対してメールやWebのアクセスを制限するなどポリシーを強化するデモシステムを開発した。これを活用し、課題I(2)(3)とも連携して被害リスク可視化システムを構築し、ICTリスク判定や匿名化ログをサーバで共有することで、個人や組織のリスクを可視化。標的メールなどの攻撃があった場合に、I(2)のネットワークセンサーの監視ポリシーを強化したり、I(1)で関連しそうな人のメール閲覧などのPC操作をあらかじめポリシーで制限するなど、人や組織に合わせた、早期の事前対策につなげたりすることが可能であることを確認した。

課題 I (2) 利用者の行動特性分析に基づく不正意図の検知技術及び通信の制御技術では、利用者の行動特性の分析により、利用者通信に紛れた不正意図を抽出し、踏み台となった端末を特定、通信を制御して対策を行う技術の実現を目指し研究開発を行った。

不正意図の検知技術の研究開発においては、組織内ネットワークを監視・解析し、その情報を統合サーバに収集・統合することで、利用者の通常通信に紛れた不正意図を抽出する技術の研究開発を実施し
た。単独のセンサー、もしくは複数のセンサー装置が連携してマルウェアの諜報活動を解析・検知し、踏み台を特定する技術を開発した。実験環境にて、入手したマルウェア(9種類)を動作させた場合、すべて検知することができた（検知率100%）。この中には、既存のAnti VirusソフトやIDSでは検知できないマルウェア活動(諜報活動)も含まれる。

検知技術の最適配置技術においては、本不正意図の検知技術を搭載した小型ネットワークセンサー装置を試作し、10～20台程度の小規模ネットワークにおけるマルウェア活動が検知可能であることを確認した。また、本技術を搭載した大型ネットワークセンサー装置を試作し、数百台程度のPCが接続される基幹ネットワークでマルウェア活動が検知可能であることを確認した。さらに、課題Ⅰ(1)、(3)と連携することで、組織ごとのリスク状態の高低などに応じ、複数のネットワークセンサーを連携させ、監視精度・配置の自由度を調整できるようにした。

通信の制御技術の研究開発においては、感染が疑われる端末通信を誘導するスイッチ機能とトンネルGW機能を、それぞれSDNスイッチ装置とネットワークサーバ装置に搭載し試作した。さらに、トンネルGW機能については、リモートへの誘導評価検証及び誘導に伴う影響検証を行い、フィードバック対応を実施した。また、SDNスイッチ装置と連動して制御可能なコントローラーの実現方式検討を実施した。結果として、問題と思われる端末が検知システムから通知された場合に、安全かつ確実に自動的に該当端末の通信のみを対策用仮想ネットワークに誘導するような制御を行う制御アプリケーションと、制御アプリケーションからの指示により各機器に設定を行うコントローラーの実現の目途がたった。

課題 I (3) 利用者の行動特性分析に基づくリアルタイム・アノマリ分析技術では、これまでリアルタイムに検知することが難しかったサイバー攻撃を、利用者の行動特性に基づき、リアルタイムにアノマリ分析・検知する技術を開発し、実証実験でその有用性を確認した。

リアルタイム・アノマリ分析技術では、通信データ、メール操作、Web アクセスなどの個人/組織の行動ログに対して複数の検知処理を適用し、それらの結果を組み合わせてパターン化したものを普段の行動として学習し、その学習結果と現状の行動の違いをアノマリとして検知する複合判断機能を開発した。さらに、一つひとつの時系列データ（イベント）を高速に分析するとともに、長期間に及ぶデータをコンパクトに効率良く処理する高速化機能を開発した。これにより、マルウェアのような短時間でのアノマリに加え、長期間に渡るアノマリのリアルタイム検知も可能となった。

本技術に関し、実マルウェア1種類の動作データに対する検知実験を行い、少量の誤検知を含むものの、検知に成功した（498プロセス中、5プロセスをアノマリと判断。うち、1つがマルウェア）。性能については、検知性能は20ノード構成で17.0万イベント/秒、複合イベント処理（データ前処理）は20ノード構成で263万イベント/秒を達成した。さらに、社内の実証実験環境にてやり取り型の標的型メール攻撃の模擬攻撃を実施し、メール受信を起点とする利用者の一連の操作を関連付けることで、マルウェア感染前の検知に成功した。従来技術（メール、Webアクセス、ファイルダウンロードごとの単体検知）と比べ、検知数を10分の1以下に抑制でき、さらに、検知向け照合データ量を10分の1以下に削減できた。

また、課題 I(1)、(2) と連携して、本技術でマルウェア感染前に攻撃行動を検知することにより、課題 I(1)、(2) における監視ポリシー強化等、早期の事前対策を実施できることを確認した。

課題Ⅰ(4)利用者のプロファイル情報を用いたゲートウェイ型のサイバー攻撃検知技術の研究開発では、企業毎の特性が出やすいと考える組織情報を活用した利用者プロファイル情報と既存のゲートウェ
イでの標的型攻撃対策システムを組み合わせた検知技術を試作してその性能を評価した。

はじめに、インターネット上に公開されているセキュリティ関連のニュースやセキュリティベンダー等のレポートをもとに利用者のプロファイル情報と標的型攻撃の関連性について調査を行い、国家活動や重要インフラに関わる情報等、機密性の高い情報を扱う組織が攻撃に狙われやすい傾向があったことから、利用者プロファイル情報となり得る情報として、機密情報又は重要情報の取り扱いの有無および公開窓口（外部とのやり取りが可能なメールアドレス）の有無を挙げた。そして、「機密情報又は重要情報の取り扱いの有無」については、機密情報を扱う場合には脅威を見逃さないために検知技術の検知感度を上げ、機密情報を扱わない場合には誤検知を低減させるために検知感度を下げるといった活用方法を検討した。また、「公開窓口か否か」も同様に検知感度の調整に活用できると考えた。

本研究開発技術では、脅威レベルとその重み付けによりポイントを積算し、アラート感度補正值によってポイントを最終調整する。そして、最終調整したポイントが指定された閾値以上の場合に攻撃と判断する。このアラート感度補正值と連動する脅威レベルは、検体の特徴や動作をもとに「高」、「中」、「低」の3種類が存在し、脅威レベルが高いほうが攻撃の可能性が高くなる。アラート感度補正值は、端末および脅威レベル毎に個別に設定可能なため、特定組織または特定端末といった粒度で脅威レベルに応じたアラート感度補正を適用することができる。

利用者プロファイルを活用し、脅威レベル「中」に対しアラート感度補正值を適用することで、誤検知率を約23%低減しながらも検知率は約7%の低下に抑えることができた。そのため、機密情報を取り扱う部署や公開窓口以外の攻撃されにくい部門等において、セキュリティを確保しながらも運用負荷を下げる目的で本技術を活用できることを確認した。

### 3.2 課題Ⅱ 既存のログに依存しない利用者環境の特性を活用したサイバー攻撃の侵入経路及び進行状況を解析する技術の研究開発

## （1） 利用者環境上の構成要素分析技術

サイバー攻撃の有無、攻撃経路及び攻撃の進行状況を特定するため、必要な状態を特定して既存ログとの有効性を比較するとともに、必要なデータを抽出する技術を確立する。また、各対象機器から必要なデータを最小限の頻度で抽出する技術及び組織内ネットワーク上に存在する機器を把握する識別技術を確立する。さらに、課題Ⅱ（2）の実施状況を踏まえ、検知精度の向上に必要な状態を追加・変更して抽出する技術を確立する。そして、これらの技術を基にマルウェア感染の有無を特定し、マルウェア感染の要因を根絶する技術を確立する。

以上の技術について、一般的な組織のネットワーク構成を踏まえ、本技術を大規模組織に適用した際のフィージビリティを、5つ以上のブロードキャストドメインを持つネットワーク上で検証する。

（２）利用者環境上の状態を用いたサイバー攻撃の有無、攻撃経路及び進行状況の特定技術

課題Ⅱ(1)の技術により抽出した状態を利用者環境の特性を踏まえて分析する技術、及びマルウェア感染が疑われる機器の活動を過去に遡り把握する技術を確立する。また、実際にマルウェア感染が疑われる機器の活動、抽出した情報、分析結果等を1箇所に集約して時系列で表示することにより、組織内ネットワーク上の端末、サーバ等の他の機器に同様のマルウェア感染が発生していないかを一括で特定可能な技術を確立する。

最終的には、課題Ⅱ(1)の開発と連携し、本技術を大規模組織に適用した際の有効性を確認するため
めに、100台以上の機器で検証する。

（３）端末および、ゲートウェイにおける「グレーアクティビティ」の蓄積による攻撃経路の解析と被害範囲の特定技術の開発

端末および、ゲートウェイにおいて、マルウェア感染が発覚した場合、微妙であった判定結果や怪しい挙動のログである「グレーアクティビティ（怪しい挙動）」を効率的に蓄積、分析する技術の研究開発を行う。これにより、標的型攻撃の痕跡を発見した後に、迅速な攻撃経路の解析と被害範囲の特定を行う。

平成25年度には、1セグメントに60台、2セグメントで合計120台規模のクライアントから構成される検証環境を構築し、その環境を用いての検討及び検証を進めた。まず、基礎調査としてマルウェア等の攻撃手法を調査し、攻撃の有無、攻撃経路及び進行状況の特定技術の研究開発のための類似技術/製品の調査として、ハニーポット技術及びネットワークフォレンジック技術の調査を行った。特に攻撃手法の調査については、外部環境の変化に対応するためにも、平成26年度以降も継続して実施している。また、基礎調査を踏まえて、Windows端末における攻撃検出を目的としたベースライン作成のため、及び攻撃経路や影響範囲等の調査のためのWindows端末上での具体的なモニタリング対象の選定を行った。選定した対象については、収集するための手段を整理し、収集の実現可否を見極めるための動作検証を実施した。ネットワーク構成把握技術の確立については、類似技術の調査/検証を完了し、特定技術の設計を進めた。

端末および、ゲートウェイにおける攻撃経路の解析と被害範囲の特定技術について、クライアント端末からグレーアクティビティを記録する機能の開発及び検証を実施した。加えて、構築した検証環境に同機能をインストールし、収集、蓄積技術の設計を実施した。また、標的型攻撃のアクティビティを調査分析するための対象マルウェア検体を選定し、検証環境にて対象マルウェア検体のアクティビティを取得/分析した。

平成26年度には、平成25年度の研究結果を基に、組織内ネットワーク上に存在する機器を把握する識別技術、課題Ⅱ(1)の技術により抽出したグレーアクティビティと称する利用者環境の特性を踏まえてマルウェアを検知する技術を試作するとともに、平成25年度に構築した検証環境を用いての評価を行った。その結果、特に、グレーアクティビティを用いた標的型攻撃の攻撃経路と被害範囲を特定するマルウェア検知技術については、既存の振る舞い検知型の標的型攻撃対策ソフトウェアでは検知できないマルウェアに対して、検知率69.16%、誤検知率4.78%という実用化が望める評価結果を得ることができた。

そして、平成27年度には、グレーアクティビティを用いた新たな標的型攻撃検知技術と既存の振る舞い検知型の標的型攻撃対策ソフトウェアとを連携する開発を実施したことにより、本研究開発技術を同標的型攻撃対策ソフトウェアに組み込む形での製品化に一定のめどをつけた。

また、研究開発マネジメント上での工夫としては、基礎調査及び環境構築が完了した平成26年度から、技術の試作及び評価テストを円滑に進行するために製品開発の経験が豊富なメンバーを加え、コンサルティング分野及び製品開発分野に精通したメンバーを含む研究開発体制を構築した。そして、もっとも実用化が望める研究開発技術に対して重点的にリソースを割り振るなど、費用対効果が高まるようにめりはりをつけた開発を行った。

3.3 課題Ⅲ サイバー攻撃の封込めと業務継続を可能とする組織内ネットワーク制御技術の研
## 究開発

## （1） 管理ポリシーに基づく自動ネットワーク構成技術

管理ポリシーを表現するための記述法、当該ポリシーに基づいた論理ネットワークの構築及びネットワーク間のアクセス制御技術を確立する。また、設計された複数の候補について、組織外ネットワークとのアクセス性及びサイバー攻撃のリスクを自動的に評価する仕組みを確立する。

## （２）緊急時における自動ネットワーク構成変更技術

標的型攻撃を検知し、被害が発生していると推定されるネットワークに対するアクセス制限及び組織ネットワークからの切離しを実行するとともに、今後の攻撃対象と推定されるネットワークの保護及び対象外となったネットワークでの業務を継続させるネットワーク構成技術を確立する。

## （３）動的管理ポリシー生成技術

サイバー攻撃に関係せずかつ管理ポリシーに照らし合わせて、業務継続に不可欠と判断される通信を特定する技術を確立する。さらに、サイバー攻撃への対処完了後に、サイバー攻撃の侵入経路となった通信、被害拡大の要因となった通信及び業務継続に不可欠であった通信を明らかにし、新たな管理ポリシーの候補とこれを適用する際に必要となるネットワーク構成の組を複数生成し、可視化して提案する技術を確立する。

サイバー攻撃耐性の高い VLAN により細かなサブネットに分割された組織内ネットワークの構成を自動化する「管理ポリシーに基づく自動ネットワーク構成技術」の研究項目については、業務のポリシー記述や業務用サーバ情報から研究を実施した。この研究の成果により、対サイバー攻撃ネットワーク構成を、当初は業務のポリシー記述から生成した粗分割のネットワークから開始し、粗分割ネットワークにおける実トラフィックをもとに提示される細分割ネットワーク候補から細分割ネットワークを選択することで、ネットワーク管理者の負荷低減が可能となる。また、業務のポリシー記述についてはXMLよりも簡潔に記述可能なJSONを用いて組織情報や業務サービス情報を記述時に既存の情報との関連を容易にするシステムを開発し、管理者の作業量を約43%に削減した。さらに、業務のポリシー記述と通信量変化を連動させることにより、対サイバー攻撃時の緊急ネットワーク構成変更時の業務への予期せぬ副作用や対策により発生するマルウェアの挙動変化の発見にもつなげることができることを示した。マルウェアの早期発見を行う巡回監視についても本項目で実施し、感染レベルという変数を導入して巡回監視と検知システムの双方を制御するアルゴリズムについて提案を行った。

マルウェアを利用したサイバー攻撃を被った時に、マルウェアの封じ込めと業務継続の両立を実現する「緊急時における自動ネットワーク構成変更技術」については、管理者への対策ネットワーク提示システムを開発し、被験者を用いてその有用性を示した。本システムでは、マルウェアに侵入された細分割組織内ネットワークに対して、そのVLAN内の端末が新たにマルウェアに感染する可能性の定式化、段階を踏むサイバー攻撃の攻撃段階の影響度の定式化、業務影響算出の定式化、などの各種の定式化を行い、複数の対策ネットワーク提示と各対策ネットワーク選択時の危険度や業務影響を数値と可視化の複合によりネットワーク管理者に提示させ、対策ネットワークの選択を迅速化させる。このシステムはウェブサーバとウェブブラウザ上で動く Java アプレットで構成されており、OS やデバイス形態に依存しないという利点もある。被験者を用いた評価の結果、最短の対策ネットワーク選択は優れた管理者よりは劣るが、対策ネットワーク選択の最悪時間の大幅な短縮(約37%)と平均時間の短縮(約70%)を実現し、一般的な管理者のサイバー攻撃対応能力向上に効果があることを示した。また、システム実行に必要と
なる情報の一部を組織内で使われるディレクトリサービスから自動収集する方法についても研究を行い、システム導入の負担を下げる試みも行っている。

サイバー攻撃を検出し自動ネットワーク構成変更のトリガとなる「動的ポリシー生成技術」については、対外接続部と比較して格段に通信量の多い組織内ネットワークからアノマリ検知用情報を抽出するFPGAを利用したHW/SW複合型アノマリ検知、ドライブバイダウンロード系列を安全に解析可能なトラフィックのリダイレクトを伴う悪性通信解析システム、トラフィックシーケンス単独によるマルウェア分類、マルウェアバイナリとトラフィックの複合によるマルウェア分類、SVMやDBSCANを用いてセッションデータのクラスタリングを行うことによる未知攻撃の検出、組織内ネットワークでの拡散を画策する標的型攻撃に利用されるマルウェアに特化した動的解析環境、などの様々な攻撃手法に対応すべく多数の研究を実施した。これらの研究成果の複合により、ソフトウェア等の未知の脆弱性を突く攻撃、亜種マルウェアを利用して既存のセキュリティ対策をすり抜ける攻撃、ドライブバイダウンロードにより本命マルウェアを隠す攻撃、などの近年のサイバー攻撃の手法に対して自動ネットワーク構成変更を適用するトリガを生成することが可能となった。

## 4 政策目標（アウトカム目標）の達成に向けた取組みの実施状況

平成25年度から27年度までの3年間に渡り、毎年3回のビジネスプロデューサ会議を開催し、研究開発期間中の事業化に向けた取り組み状況の共有及び課題の解決に取り組んだ。また、総合ビジネスプロデューサは各実施機関における事業化計画状況を随時把握し、当初設定したアウトカム指標の達成に向けて必要な調整を行った。こうした取り組みと並行して、市場調査活動として競合製品や標準化動向の把握を行うとともに、国内外でのウェブアンケート調査の実施を通じて、研究開発成果の市場での受容可能性や関心など、事業化計画立案に資する情報の収集を行い、調査結果を実施機関に提供した。

## 5 政策目標（アウトカム目標）の達成に向けた計画

本研究開発の成果は、各実施機関によりまず実施機関単独での製品・サービス化への取り組みが行われた後、連携による事業化についても検討が行われる方向となっている。一方、富士通と名古屋大学の研究開発成果については、各種学会・国際会議等での発表、プレスリリース等により、社会的な認知度を高めるための取り組みが実施されている。

こうした取り組みを通じて、本研究開発の成果が社会的に活用されることで、サイバー攻撃下におけるシステムの可用性の向上、損失額の減少、利用者が要するサイバー攻撃対応の時間の減少といったアウトカムの達成が見込まれるだけでなく、その派生効果として、こうした本研究開発成果を活用したICT環境による高いレジリエンスを備えた社会の実現が期待される。
## 6 査読付き誌上発表論文リスト

[1] 大平健司，山口由紀子，八槙博史，高倉弘喜，星野寛，中野博樹，“インシデント対応を考慮した IPv6 ノード情報収集システムの設計と試作”，電子情報通信学会論文誌 D，Vol. J96-D，No. 6，pp. 1483-1492 (2013 年 6 月).

[2] 北川直哉，高倉弘喜，鈴木常彦，“通信挙動の特異性を利用した spam 送信ホスト検出システムの開発”，電子情報通信学会論文誌，Vol. J97-D，No. 5，pp. 987-1000（2014 年 5 月）：

[3] 長谷川皓一，山口由紀子，鳴田創，高倉弘喜，“標的型攻撃に対するインデント対応支援システム”，情報処理学会論文誌 Journal of Information Processing, Vol. 57, No. 3, pp. 836-848 (2016 年 3 月):

## 7 査読付き口頭発表論文（印刷物を含む）リスト

[1] Yang Zhong, Hirofumi Yamaki, Yukiko Yamaguchi, Hiroki Takakura, “ARIGUMA Code Analyzer: Efficient Variant Detection by Identifying Common Instruction Sequences in Malware Families”, The 37th Annual International Computers, Software and Applications Conference (COMPSAC2013), pp.11-20, DOI: 10.1109/COMPSAC.2013. (2013年7月):

[2] Hajime Shimada, Yukiko Yamaguchi, Hiroki Takakura, “Capability of Anomaly Detection Enhancement with FPGA plus Large Capacity CAM”, International Workshop on Innovative Architecture for Future Generation High-Performance Processors and Systems (IWIA) 2014, pp. 1-3 (2014年3月):

[3]Soshi Hirono, Yukiko Yamaguchi, Hajime Shimada, Hiroki Takakura, “Development of a Secure Traffic Analysis System to Trace Malicious Activities on Internal Networks”, The 38th Annual International Computers, Software and Applications Conference (COMPSAC2014), pp.305-310, 10.1109/COMPSAC.2014.41（2014年7月）：

[4] Hirokazu Hasegawa, Yukiko Yamaguchi, Hajime Shimada, Hiroki Takakura, “A Countermeasure Recommendation System against Targeted Attacks with Preserving Continuity of Internal Networks”, The 38th Annual International Computers, Software and Applications Conference (COMPSAC2014), pp. 400-405, 10.1109/COMPSAC.2014.63 (2014年7月):

[5] Shohei Araki, Yukiko Yamaguchi, Hajime Shimada and Hiroki Takakura, “Unknown Attack Detection by Multistage One-Class SVM Focusing on Communication Interval”, The 2014 Cybersecurity Data Mining Competition and Workshop, Neural Information Processing Lecture Notes in Computer Science, Vol. 8836, pp. 325-332 (2014年10月):

[6]Hyoyoung Lim, Yukiko Yamaguchi, Hajime Shimada, Hiroki Takakura, “Malware Classification Method Based on Sequence of Traffic Flow”, 1st International Conference on Informaiton Systems Security and Privacy (2015年2月):

[7] Shohei Hiruta, Yukiko Yamaguchi, Hajime Shimada, and Hiroki Takakura, “Evaluation on Malware Classification by Combining Traffic Analysis and Fuzzy Hashing of Malware Binary”, In Proceedings of the 2015 International Conference on Security and Management (SAM’15), pp. 89-95, (2015年7月):

[8]Satoshi Fuchigami, Hajime Shimada, Yukiko Yamaguchi, and Hiroki Takakura, “FPGA Base TCP Session Features Extraction Utilizing Off-Chip Memories”, In Proceedings of the 7th International
Conference on Evolving Internet (INTERNET 2015), pp. 38-42, (2015 年 10 月):

[9] Hirokazu Hasegawa, Yukiko Yamaguchi, Hajime Shimada, Hiroki Takakura, “An Incident Response Support System Based on Seriousness of Infection”, The 30th International Conference on In Proceedings of the 30th International Conference on Information Networking (ICOIN2016), pp. 69–74, (2016 年 1 月):

[10] Takeaki Terada, Yoshinori Katayama, Satoru Torii, Hiroshi Tsuda, "Preliminary Investigation on Psychological Traits of Users of Prone to be Damaged by Cyber-attack", Poster, The 11th Symposium on Usable Privacy and Security (SOUPS) 2015 (2015年7月)

[11]Masahiro Yamada, Masanobu Morinaga, Yuki Unno, Satoru Torii, Masahiko Takenaka, “RAT-based Malicious Activities Detection on Enterprise Internal Networks”, ICITST-2015(The 10th International Conference for Internet Technology and Secured Transactions) (2015年12月)

## 8 その他の誌上発表リスト

[1] 寺田 剛陽，鳥居 悟，津田 宏，“人の行動特性からのセキュリティ対策”，ヒューマンインタフェース学会誌 Vol.17, No.3, pp.21-27（2015年8月）

[2]森永 正信、野村祐士、古川和快、天満尚二、“組織内通信・ログ分析によるサイバー攻撃対策技術”、雑誌FUJITSU、Vol.67、No.1、pp.63-68（2016年1月）

[3]寺田 剛陽，片山 佳則，鳥居 悟，津田 宏，“人の行動特性の基づくセキュリティ対策”，雑誌 FUJITSU, Vol.67, No.1, pp.76-82 (2016 年 1 月)

## 9 口頭発表リスト

[1] 山田正弘、森永正信、海野由紀、鳥居悟、武仲正彦、“組織内ネットワークにおける標的型攻撃の諜報活動検知方式”、2014年暗号と情報セキュリティシンポジウム（鹿児島県鹿児島市）（2014年1月23日）

[2] 片山 佳則、寺田 剛陽、津田 宏、“利用者の行動特性を用いたサイバー攻撃における成りすまし対策技術”、第 28 回人工知能学会全国大会（愛媛県松山市道後）（2014 年 5 月 15 日）

[3]寺田 剛陽、津田 宏、片山 佳則、鳥居 悟、“IT 被害に遭いやすい心理的・行動特性に関る調査”、マルチメディア、分散、協調とモバイル(DICOMO2014)シンポジウム（新潟県新発田市月岡温泉）（2014年7月10日）

[4]片山 佳則、寺田 剛陽、鳥居 悟、津田 宏、“ユーザ行動特性分析による個人と組織の IT リスク見える化の試み”、2015 年暗号と情報セキュリティシンポジウム（SCIS2015）（北九州小倉）（2015 年 1 月 23 日）[5] 小柳佑介、小林賢司、今岡干城、松原正純、坂本喜則、“リアルタイム検知基盤の動的負荷分散機能の開発”、2014 年並列／分散／協調処理に関する『新潟』サマー・ワークショップ（SWoPP 新潟 2014）（新潟県新潟市）（2014 年 7 月 30 日）

[6]津田宏、“人間系からのセキュリティ対策アプローチ”、富士通SS研（東京）（2014年8月25日）

[7] Takeaki Terada, Yoshinori Katayama, Satoru Torii, Hiroshi Tsuda. “Survey on Psychological and Behavioral Characteristics of Users of Prone to be Damaged by Cyber Attack”、Cyberspace2014 (Brno, CZ) (2014年11月28日)

[8]山田正弘、森永正信、海野由紀、鳥居悟、武仲正彦、“組織内ネットワークにおける標的型攻撃の振る