不正アクセス検知装置及び不正アクセス検知プログラム及び記録媒体及び不正アクセス検知方法
【課題】ネットワークのアクセス数の時系列データのＡｎｏｍａｌｙ検知を行う不正アクセス検知装置において、誤検知の発生が少なく、また、週内変動がある場合にも適切である予測プロファイルを生成する不正アクセス検知装置の提供を目的とする。
【解決手段】予測プロファイル生成部１０５は、正常状態のプロファイル１５２と、環境変化情報１６１とを入力し、所定の規則に従うことにより、環境変化情報１６１を使用してプロファイル１５２から将来のアクセス数の異常検知に使用する使用プロファイルの候補となる複数の予測プロファイルを生成する。分析部１０３とプロファイル選択部１０６とから構成される使用プロファイル決定部は、複数の予測プロファイルのなかから、所定の基準に合致する予測プロファイルを使用プロファイルとして決定する。
【解決手段】予測プロファイル生成部１０５は、正常状態のプロファイル１５２と、環境変化情報１６１とを入力し、所定の規則に従うことにより、環境変化情報１６１を使用してプロファイル１５２から将来のアクセス数の異常検知に使用する使用プロファイルの候補となる複数の予測プロファイルを生成する。分析部１０３とプロファイル選択部１０６とから構成される使用プロファイル決定部は、複数の予測プロファイルのなかから、所定の基準に合致する予測プロファイルを使用プロファイルとして決定する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、アクセス数の時系列データをプロファイルとして用いてアクセス数の異常検知を行うＡｎｏｍａｌｙ検知を実行する不正アクセス検知装置、不正アクセス検知プログラム、不正アクセス検知方法に関する。
【背景技術】
【０００２】
ネットワーク上の不正アクセス発生の検知手段として、正常な状態のアクセス数をプロファイルとして定義・学習し、観測されたアクセス数がプロファイルから逸脱していることを検出する方法がある。これをＡｎｏｍａｌｙ検知という。このようなネットワークの時系列データの分析において、正常な状態のアクセス数の傾向が設備の変更などにより変動する場合がある。変動後は、変動前に定義したプロファイルを使用すると正しく分析できないため、変動後の正常な状態のアクセス数をプロファイルとして再学習することが一般的である。再学習の期間は分析が行えないため、再学習期間を短縮するために予測プロファイルを生成し分析を継続する技術として特許文献１がある。この方式を使用すれば、例えば、最低１週間必要だった再学習期間が１日以下に短縮できる。
【特許文献１】特開２００８−１４６１５７号公報、ネットワーク異常判定装置
【発明の開示】
【発明が解決しようとする課題】
【０００３】
特許文献１では、正常な状態のアクセス数の時系列データが変動した後、１つの予測プロファイルのみを使用する。予測プロファイルが実測値よりも大きく生成されれば、実測値が予測プロファイルに隠れて検知漏れが発生し、小さく生成されていれば実測値が予測プロファイルよりも飛び出るため誤検知が発生するという課題があった。また、正常な状態のアクセス数の週内変動などは予測プロファイルに反映していないため、週内変動などがあるデータに対して予測プロファイルが適切ではなく、分析の精度に影響する場合があるという課題があった。
【０００４】
この発明は、誤検知の発生が少なく、また、週内変動がある場合にも適切である予測プロファイルを生成する不正アクセス検知装置の提供を目的とする。
【課題を解決するための手段】
【０００５】
この発明の不正アクセス検知装置は、
アクセス数の時系列データをプロファイルとして用いてアクセス数の異常検知を行うＡｎｏｍａｌｙ検知を実行する不正アクセス検知装置において、
正常と認められる過去のアクセス数からなる正常時系列データと、前記正常時系列データの改変に使用する改変情報とを入力し、所定の生成規則に従うことにより、前記改変情報を使用して前記正常時系列データから将来のアクセス数の異常検知に使用する使用プロファイルの候補となる複数の予測プロファイルを生成する予測プロファイル生成部と、
前記予測プロファイル生成部によって生成された前記複数の予測プロファイルのなかから、所定の決定基準に合致する予測プロファイルを前記使用プロファイルとして決定する使用プロファイル決定部と
を備えたことを特徴とする。
【発明の効果】
【０００６】
この発明により、誤検知の発生が少ない予測プロファイルを生成する不正アクセス検知装置を提供できる。
【発明を実施するための最良の形態】
【０００７】
実施の形態１．
図１〜図２０を用いて実施の形態１を説明する。
【０００８】
図１は、コンピュータで実現される不正アクセス検知装置１００の外観の一例を示す図である。図１において、不正アクセス検知装置１００は、システムユニット８３０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置８１３、キーボード８１４（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス８１５、ＦＤＤ８１７（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・ Ｄｒｉｖｅ）、コンパクトディスク装置８１８（ＣＤＤ：Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｄｒｉｖｅ）、プリンタ装置８１９などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。システムユニット８３０はネットワークに接続している。
【０００９】
図２は、コンピュータで実現される不正アクセス検知装置１００のハードウェア資源の一例を示す図である。図２において、不正アクセス検知装置１００は、プログラムを実行するＣＰＵ８１０（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ：中央処理装置、処理装置ともいう）を備えている。ＣＰＵ８１０は、バス８２５を介してＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）８１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）８１２、表示装置８１３、キーボード８１４、マウス８１５、通信ボード８１６、ＦＤＤ８１７、ＣＤＤ８１８、プリンタ装置８１９、磁気ディスク装置８２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置８２０の代わりに、光ディスク装置、フラッシュメモリなどの記憶装置でもよい。
【００１０】
ＲＡＭ８１２は、揮発性メモリの一例である。ＲＯＭ８１１、ＦＤＤ８１７、ＣＤＤ８１８、磁気ディスク装置８２０等の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部、格納部、バッファの一例である。通信ボード８１６、キーボード８１４、ＦＤＤ８１７などは、入力部、入力装置の一例である。また、通信ボード８１６、表示装置８１３、プリンタ装置８１９などは、出力部、出力装置の一例である。
【００１１】
通信ボード８１６は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｉｒｋ）等のネットワークに接続されている。通信ボード８１６は、ＬＡＮに限らず、インターネット、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。
【００１２】
磁気ディスク装置８２０には、オペレーティングシステム８２１（ＯＳ）、ウィンドウシステム８２２、プログラム群８２３、ファイル群８２４が記憶されている。プログラム群８２３のプログラムは、ＣＰＵ８１０、オペレーティングシステム８２１、ウィンドウシステム８２２により実行される。
【００１３】
上記プログラム群８２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。
【００１４】
ファイル群８２４には、以下に述べる実施の形態の説明において、「使用プロファイル」、「カウント１５１」、「プロファイル候補」、「予測プロファイル」などとして説明する情報や、「〜の判定結果」、「〜の算出結果」、「〜の選択結果」、「〜の生成結果」、「〜の処理結果」として説明する情報や、データや信号値や変数値やパラメータなどが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１０によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００１５】
また、以下に述べる実施の形態の説明においては、データや信号値は、ＲＡＭ８１２のメモリ、ＦＤＤ８１７のフレキシブルディスク、ＣＤＤ８１８のコンパクトディスク、磁気ディスク装置８２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス８２５や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００１６】
また、以下に述べる実施の形態の説明において、「〜部」として説明するものは、「手段」、「〜回路」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ８１１に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ８１０により読み出され、ＣＰＵ８１０により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。
【００１７】
図３は、実施の形態１における不正アクセス検知装置１００の構成図である。図３に示すように、不正アクセス検知装置１００は、データ取得部１０１、集計部１０２、分析部１０３、プロファイル定義部１０４、予測プロファイル生成部１０５、プロファイル選択部１０６を備える。また、分析部１０３は、カウント処理部１０３１、プロファイル処理部１０３２、演算部１０３３、逸脱確認部１０３４を備える。プロファイル定義部１０４は、使用プロファイル蓄積部１０４１、カウント蓄積部１０４２、プロファイル候補蓄積部１０４３を備える。予測プロファイル生成部１０５は、差異定義部１０５１、差異反映部１０５２を備える。
【００１８】
また、プロファイル選択部１０６と分析部１０３とは、後述のように複数の予測プロファイルの中から使用プロファイルとするべき予測プロファイルを決定する使用プロファイル決定部を構成する。
【００１９】
図３において、
（１）データ取得部１０１は、ネットワーク機器のログ１５０を取り込む。
（２）集計部１０２は、ネットワーク機器のログ１５０から、特定の集計期間における特定条件下の集計値をカウント１５１として出力する。
（３）分析部１０３は、プロファイル定義部１０４からプロファイル１５２を受け取り、特定の統計分析によりカウント１５１がプロファイル１５２に対して異常か否か分析する。
（４）プロファイル定義部１０４は、正常状態のカウントの集合であるプロファイルを保持する。
（５）予測プロファイル生成部１０５は、プロファイル１５２と、アクセス数の変動後のアクセス数の平均予測値などの環境変化情報１６１から、予測プロファイル１５４を１つ以上生成する。
（６）プロファイル選択部１０６は、複数生成された予測プロファイルを用いて分析した複数の分析結果から、最適な予測プロファイルを判定し、その結果である選択された予測プロファイル１５６をプロファイル定義部１０４に通知する。
【００２０】
（Ａ：学習の動作）
図４は学習動作を示すシーケンスである。図３、図４を参照して、学習の動作について説明する。不正アクセス検知装置１００における検知開始前の準備動作を「学習」と呼ぶ。データ取得部１０１は、正常な状態として扱う期間のネットワークトラフィックデータ（例えば、ネットワーク機器のログ１５０を１週間分）を受信し（Ｓ１０１）、集計部１０２に渡す（Ｓ１０２）。ネットワークトラフィックデータとして、例えば、図５の様なＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）のログファイルを取り込む。
【００２１】
次に集計部１０２は、データ取得部１０１から受け取ったネットワークトラフィックデータ（ログ１５０）から、時系列データを生成する（Ｓ１０３）。図６は集計部１０２が生成した時系列データ（概念図）の一例を示している。ここでは、例として宛先ポートが４４５のアクセス数の時系列データを生成する。集計部１０２は、定められた集計時間、例えば５分間において、そのログ中の、「宛先ポート４４５のアクセスの出現個数」を数え上げる。これを集計時間毎に順に行うと、宛先ポート４４５のアクセス数の時系列データが生成できる。
【００２２】
例えば、図５のログの例であれば、「０６／０４／１８、１２：００」から５分間の間にＤｓｔＰｏｒｔ（宛先）４４５は３個の出現個数である。この作業を５分ごとに行えば、宛先ポート４４５について５分集計のアクセス数の時系列データが生成される。ここで、集計値＝その集計期間におけるアクセス数である。ログデータが１週間分であれば、６０分×２４時間×７日＝１００８０分の期間であり、５分で割れば２０１６個の集計値から構成されるアクセス数の時系列データが得られる。このようにして得られた時系列データをグラフ化したのが、図６である。横軸は時刻（集計タイミング）、縦軸はアクセス数を示している。
【００２３】
この様にして集計部１０２により得られたアクセス数の時系列データは、図７の時系列データ１５７のような集計時刻、集計間隔、集計値（アクセス数）のフォーマットで列挙されたデータとして扱う。
【００２４】
集計部１０２は、時系列データ１５７をプロファイル定義部１０４に渡す（Ｓ１０４）。プロファイル定義部１０４は、時系列データ１５７を使用プロファイル蓄積部１０４１にプロファイルとして保存する。ここでは、図８の様に、現在のプロファイル２０１として蓄積される（Ｓ１０５）。
【００２５】
（Ｂ：検知動作）
図９は検知動作を示すシーケンスである。図９を参照して、プロファイルを用いた検知動作について説明する。データ取得部１０１は、ネットワーク機器のログ１５０を５分間ぶん新たに受信し（Ｓ２０１）、集計部１０２に渡す（Ｓ２０２）。
【００２６】
集計部１０２は、集計条件に従い集計を行う。集計条件としては、例えば、宛先ポート４４５の５分間のアクセス数の集計を行う（Ｓ２０３）。集計の結果は、「カウント１５１」として分析部１０３に渡す（Ｓ２０４）。図５を例に示せば、「０６／０４／１８、１２：００」から５分間の間に宛先ポート４４５は３個の出現個数であり、出現個数＝集計値がアクセス数に該当する。図１０にカウント１５１のフォーマットを示す。
【００２７】
分析部１０３では、以下の処理を行う。カウント１５１がプロファイル定義部１０４の使用プロファイル蓄積部１０４１に保存さているプロファイルと比較し、統計的に異常か否かを分析する（Ｓ２０５）。分析の方法は、３σ法や、主成分分析、ＡｕｔｏＲｅｇｒｅｓｓｉｖｅＭｏｖｉｎｇＡｖｅｒａｇｅモデルなどがあるが、ここでは、ある特定のアルゴリズムを使用するものとする。
【００２８】
分析部１０３は、カウント１５１が統計的に異常であれば、異常として、検知結果１５３を出力する。それ以外は正常として検知結果１５３を出力する。
【００２９】
（Ｃ：検知動作の詳細）
図１１は分析部１０３における検知動作の詳細を示すシーケンスである。図１１を参照して、分析部１０３における検知動作の詳細を説明する。図１１において、プロファイル１５２は、使用プロファイル蓄積部１０４１における現在のプロファイル２０１であり、プロファイル処理部１０３２に入力される（Ｓ２０５１）。分析対象であるカウント１５１はカウント処理部１０３１に入力される（Ｓ２０５２）。
【００３０】
例として、統計分析のアルゴリズムを３σ法とする。
【００３１】
プロファイル処理部１０３２では、使用プロファイル蓄積部１０４１から渡されたプロファイル１５２（現在のプロファイル２０１、この例では図８に示す３月の１ヶ月間のもの）から、時系列データ（ここでは、集計値の羅列）とその構成数を計算する（Ｓ２０５３）。時系列データは、９、２、１５、・・・、１１である。その構成数は３月の５分毎の集計なので１２×２４×３１＝８９２８であり、集計値の値が記録された行数に一致する。これらを、演算部１０３３に入力する（Ｓ２０５４）。
【００３２】
カウント処理部１０３１は、この例ではカウント１５１のフォーマットから集計値（ｘとする）のみを取り出し、演算部１０３３に入力する（Ｓ２０５５）。図１０の例であれば、ｘ＝３である。
【００３３】
演算部１０３３は、プロファイル処理部１０３２からの時系列データとその個数から、その平均μ、分散σ２を計算し（Ｓ２０５６）、カウント処理部１０３１から取得した集計値ｘと共に、逸脱確認部１０３４に入力する（Ｓ２０５７）。
【００３４】
逸脱確認部１０３４は、μ＋３σ＜ｘであるかを確認（Ｓ２０５８）し、検知結果を出力する（Ｓ２０５９）。逸脱条件を満たせば逸脱として判定し、異常検知を示す情報を出力する。逸脱条件を満たさない場合は正常を示す情報を出力する。これが検知結果１５３である。検知結果１５３は、例えば、異常検知の場合は１、正常の場合は０で表す。
【００３５】
ここでは、演算部１０３３による統計分析のアルゴリズムが３σの場合について説明したが、他の統計分析のアルゴリズムでも、入力されたカウント１５１をカウント処理部１０３１で前記他の統計分析のアルゴリズムに適した形に前処理し、、またプロファイル１５２をプロファイル処理部１０３２で前記他の統計分析のアルゴリズムに適した形に前処理し、演算部１０３３で前記他の統計分析のアルゴリズムで処理し、その結果を逸脱確認部１０３４でプロファイルから逸脱しているか判定する。統計分析のアルゴリズムによりこれらの構成要素の処理が変わるが、基本的な役割は以上に述べたとおりである。
【００３６】
当動作を、０６／０４／１８、１２：０５以降も、５分おきにログを取り込み、５分おきに集計されたカウント１５１に対して逸脱確認を行う。その場合、プロファイルは毎回の動作において同じである。すなわち、プロファイルの分析（平均μ、分散σ２の算出）は最初に算出したものを使用し、各集計値Ｘについて逸脱判定を行う。以上が、プロファイルを使用した異常検知動作である。
【００３７】
前述の図８は、分析を継続している間のプロファイル定義部１０４の内部状態を示している。プロファイル定義部１０４はカウント１５１を集計の都度受け取り、カウント蓄積部１０４２に蓄積する（蓄積カウント２０２）。例えば、４月の１ヶ月間において分析を実施している場合、カウント１５１を継続的に蓄積することで、４月の全てのアクセス数の時系列データをカウント蓄積部１０４２に保持することになる。４月に検知が発生しなければ、この時系列データを４月のプロファイル２０３としてプロファイル候補蓄積部１０４３に保存する。このプロファイル候補蓄積部１０４３に保存された時系列データは後述するように、予測プロファイルの生成に使用される。
【００３８】
次に、設備変更などにより監視対象のネットワーク上の計算機の数が変動するなど、正常な状態のアクセス数の時系列データが変動する場合の分析について説明する。
【００３９】
例えばＷｉｎｄｏｗｓ（登録商標）を搭載した計算機の数が増加する場合、Ｗｉｎｄｏｗｓ（登録商標）の通信が利用する宛先ポート４４５のアクセスも増加する。もし、宛先ポート４４５のプロファイルを、計算機の増加前と同じものを使用していた場合、計算機の増加後の分析において正常な宛先ポート４４５のアクセスの増加が異常として分析される可能性がある。なぜならば、計算機の増加後に宛先ポート４４５のアクセスが増加しており、現在使用しているプロファイルと比較した場合に増加している状態なので分析部１０３は、統計的に異常と判断するからである。
【００４０】
図１２を例に挙げると、「５／１（木曜日）、００：００」に設備変更があり、宛先ポート４４５のアクセス数が４月と比較して増加している。現在使用している使用プロファイル（３月の時系列データ）に対して４月のアクセス数は異常ではない（不正アクセスではない）が、４月よりも５月は増加しているため、分析部１０３によって現在使用しているプロファイルと比較した場合に異常と判断される。
【００４１】
ここで、設備変更により計算機が１０台から１００台に増えたとする。例として分析アルゴリズムとして３σ法を利用している場合、計算機の数が増える前は「平均１０アクセス／５分、標準偏差２」であったものが、計算機の数が増えたことにより、「平均１００アクセス／５分、標準偏差１０」になったとする。計算機の増加する前のプロファイルに基づけば、正常なアクセス数の範囲は（１０＋３×σ）／５分、σ＝２であり、これに対して計算機増加後の平均アクセス数１００／５分を比較すると、異常と判断される。
【００４２】
この様に、設備の変更など、不正アクセスではない原因によりアクセス数が増加した場合は、異常として検知するべきではない。従って、この場合は、プロファイル自体も計算機の増加を考慮したプロファイルに変更する必用がある。
【００４３】
例えば、５／１（木）において、設備変更として監視対象の計算機数が１０台から１００台に増えるとする。この場合、月間の宛先ポート４４５の平均アクセス数は計算機が増加した分比例して増加するとして、このシステム外において予め平均アクセス数の予測が分かっているとする。この様に設備変更後の平均アクセス数の予測がたっている場合は、平均アクセス数の予測値を利用し予測プロファイルを生成する。
【００４４】
（Ｄ：予測プロファイルの生成動作）
図１３は予測プロファイルの生成過程を示すシーケンスである。図１３を参照して予測プロファイルの生成を説明する。差異定義部１０５１は、、５／１（木曜日）、０時に５月の宛先ポート４４５宛の平均アクセス数の予測値を環境変化情報１６１（改変情報の一例）として予め受け取る（Ｓ３０１）。例えば、キーボードなどの入力装置から環境変化情報１６１を入力する。この場合、予測値である平均アクセス数が１００であるとする。
【００４５】
（予測プロファイル生成部１０５の動作）
予測プロファイル生成部１０５の差異定義部１０５１は、プロファイル定義部１０４のプロファイル候補蓄積部１０４３が保存している４月のプロファイル２０３（正常時系列データの一例）を受け取り（Ｓ３０２）、平均値を求める（Ｓ３０３）。図３に示したように、４月のプロファイル２０３は、プロファイル１５２として渡される。ここで、４月の平均値が１０（１０／５分）であったとする。次にこの平均値と５月の予測アクセス数の差Δ（１００−１０＝９０）を求める（Ｓ３０４）。これを差異１０５５１とする。差異定義部１０５１は、差異１０５５１を差異反映部１０５２に渡す（Ｓ３０５）。
【００４６】
（差異反映部１０５２の動作）
図１４に示すように、予測プロファイル生成部１０５の差異反映部１０５２は、４月のプロファイル２０３の全ての集計時刻のカウントに差異１０５５１であるΔ（９０）を足して、変動後の予測プロファイルを生成する（Ｓ３０６）。図１４では、４月のプロファイル２０３のフォーマットにおいて、各集計値にΔを足したデータを予測プロファイルとして生成する。
【００４７】
ここで、複数のプロファイルを生成するため、差異反映部１０５２は、Δを０．５倍〜２．０倍まで０．１刻みで計算した０．５＊Δ〜２．０＊Δを用意し、４月のプロファイル２０３にこれらを足したものを複数のプロファイルとして生成する（所定の生成規則の一例）。例えば、図１５において、予測プロファイル１は、４月のプロファイル２０３に０．５＊Δを足したものである。
【００４８】
図１６は、０．５＊Δ〜２．０＊Δを生成する処理を示すフローチャートである。このフローチャートでは、ｊ＝１の場合が、０．５＊Δの生成（Δ１）、ｊ＝１６の場合が、２．０＊Δの生成（Δ１６）に相当する。
【００４９】
図１７は、予測プロファイル１〜１６を生成する処理を示すフローチャートである。Ｃｉは４月のプロファイル２０３の集計値であり、５分集計で３０日なので、データの数は、８６４０個である。このフローチャートでは、ｊ＝１の場合に出力されるＸ（ｉ，１）（ｉは１〜８６４０）が予測プロファイル１の生成であり、ｊ＝１６の場合に出力されるＸ（ｉ，１６）（ｉは１〜８６４０）が予測プロファイル１６に相当する。４月のプロファイル２０３の、「集計時刻、集計間隔、該当する集計値に対してΔｊを足した値」、をＰｒｏｆ＿ｊに保存する。図１８は、Ｐｒｏｆ＿１の例を示す図である。
【００５０】
（Ｅ：最適な予測プロファイル選択の動作）
図１９は最適な予測プロファイルの選択動作を示すシーケンスである。図１９を参照して、５／１（木）００：０５以降における不正アクセス検知装置の動作を説明する。５／１、００：０５において、データ取得部１０１は、ネットワーク機器のログ１５０（５分間ぶん）を受け取り（Ｓ４０１）、集計部０１０２に出力する（Ｓ４０２）。集計部１０２は宛先ポート４４５の５分間のアクセス数を集計し（Ｓ４０３）、カウント１５１として出力する（Ｓ４０４）。分析部１０３のプロファイル処理部１０３２は、差異反映部１０５２から複数の予測プロファイルを受け取る（Ｓ４０５）。
【００５１】
分析部１０３は、カウント１５１（図２０におけるｉ＝１相当）に対して、予測プロファイル生成部１０５から受け取った複数の予測プロファイル１５４（図２０におけるｊ＝１〜１６）を用いて分析する。当例では、予測プロファイルは、予測プロファイル１〜１６の１６個である。
【００５２】
まず、分析部１０３で使用している統計分析のアルゴリズムを用いて、予測プロファイル１の予測プロファイルを用いて分析する。次に、予測プロファイル２を用いて分析する（Ｓ４０６）。内容は図１１の検知動作の場合と同様である。すなわち、図１９のＳ４０６−１において、演算部１０３３は、予測プロファイル１〜１６を統計処理し、それぞれについて平均μ、分散σ２を算出する。Ｓ４０６−２において、逸脱確認部１０３４は、予測プロファイル１〜１６を対象として、カウント１５１の値が異常かどうかを「μ＋３σ＜ｘ」の式により判定する。この様にして、予測プロファイル１６を用いた分析まで繰り返し行う。
【００５３】
各々の分析の結果（図２０におけるＲ（ｊ，ｉ））は、プロファイル選択部１０６に予測プロファイルによる分析結果１５５として送られ（Ｓ４０７）、プロファイル選択部１０６に蓄積される。以上が、５／１（木）０時００分のカウント１５１に対する分析であるが、これを、５／１（木）２３時５９分５９秒までの１日のアクセス数のカウントについて行う。蓄積された分析結果１５５をＲ（ｊ，ｉ）（ｊ＝１〜１６、ｉ＝１〜２８８）とする。ｊは予測プロファイル１〜１６を意味し、ｉは５／１（木）００：０５の集計値〜５／２（木）００：００の集計値（５／１（木）２３時５９分５９秒までの集計）２８８個（１日ぶん）を意味する。
【００５４】
（プロファイル選択部１０６の選択動作）
５／２（木）００：００において、プロファイル選択部１０６は自身に蓄積された、Ｒ（ｊ，ｉ）を用いて、適切なプロファイルを選択する（Ｓ４０８）。プロファイル選択部１０６は、１日の分析の間に検知が発生した予測プロファイルは、プロファイルとして適切では無いと判断し削除する。図２０は、プロファイル選択部１０６がプロファイルを削除する処理を示す。図２０は、Ｓ３４、Ｓ３５、Ｓ３６，Ｓ３７と進みＳ３７からＳ３４に戻るループは、ある予測プロファイルを対象とした場合に、各５分ごとのカウント１５１が異常かどうかを判定する処理である。Ｒ（ｊ，ｉ）は分析結果１５５（異常＝１、あるいは正常＝０）であり、例えば、予測プロファイル１を使った場合の、５／１（木）０時００分の分析結果１５５はＲ（１，１）、５／２（木）０時００分の分析結果はＲ（１，２８８）である。Ｐｒｏｆ＿ｊが予測プロファイルであり、ｊが予測プロファイルの番号である。つまり、予測プロファイル１はＰｒｏｆ＿１である。
【００５５】
当処理の結果、例えば、図２０において、予測プロファイル１〜予測プロファイル９を用いた分析で異常検知が発生した場合、予測プロファイル１〜９が削除（Ｓ３９）される。削除する理由は、異常検知が発生した予測プロファイルは、プロファイルとして実測値よりも小さかったため適切では無いからである。
【００５６】
プロファイル選択部１０６は、残った予測プロファイルの中において、一番小さいｎ＊Δを採用したプロファイルを、以後予測プロファイルとして利用（決定）する（所定の決定基準の一例）。図１５においては、予測プロファイル１０を採用する。
【００５７】
残った予測プロファイルは、検知が発生しない程度の大きさであるが、大きすぎると実測値が隠れて検知しなくなってしまうので、残った予測プロファイルの中で一番小さい予測プロファイルを適切なものとして残す。
【００５８】
図３において、上記の様に、選択された予測プロファイル１５６（この例では予測プロファイル１０）がプロファイル選択部１０６からプロファイル定義部１０４に渡され、新しい使用プロファイルとして使用プロファイル蓄積部１０４１に上書き保存され、５／２（木）００：０５以降の分析（検知）には、この新しい使用プロファイルが使用される。５月の検知が異常検知の発生が無い場合には、カウント蓄積部１０４２に蓄積されたカウント１５１の５月分のデータが、プロファイル候補蓄積部１０４３にプロファイル候補として格納されるが、同時に、この５月のプロファイル候補は使用プロファイル蓄積部１０４１に使用プロファイルとして上書きされる。すなわち、６月の分析には、使用プロファイルとして、異常が検知されなかった５月のカウント１５１（一月ぶん）が使用される。
【００５９】
本実施の形態１では、変動後のアクセス数が増加することを前提に記述したが、減少する場合でも同じように差異を求めることで、減少後の複数の予測プロファイルを生成し、同じ方法で最適な予測プロファイルを選択することができる。つまり、この場合は、差異１０５５１がマイナスの値をとるだけであり、各部が同じ動作を行うだけで対応できる。
【００６０】
以上の様に、実施の形態１では、設備の変動により正常な状態のアクセス数が変動する場合において、予め変動後の平均アクセス数が分かっている場合は、これを利用することにより現在のプロファイルの平均値と比較し、差異を求め、この差異に複数の比率を掛け、現在のプロファイルに反映することで複数の予測プロファイルを生成する。複数の予測プロファイルを用いて設備の変動後の１日のデータを分析し、適切な予測プロファイルを選択することにより、以後の分析において、誤検知や検知漏れを低減できる効果がある。また、予測プロファイルの生成では、現在のプロファイルに差異Δを足す方式をとることにより、現在のプロファイルの周期変動などの傾向を反映した予測プロファイルを生成可能である。
【００６１】
実施の形態２．
次に図２１〜図２４を参照して実施の形態２を説明する。実施の形態１では、予め５月の予想平均アクセス数が分かっている場合に、これを利用して予測プロファイルを生成した。実施の形態２では、予測平均アクセス数が分からない場合の実施形態を説明する。
【００６２】
設備変更後の平均アクセス数が予測できない場合は、設備変更後の１日（ある曜日）のデータ（この例では５月１日の一日間のデータ）を観測して実施の形態１の環境変化情報１６１に相当するデータを算出し、設備変更前の同じ曜日のデータとの差分を用いて、予測プロファイルを生成する。
【００６３】
（Ａ：５月１日の一日間の学習動作）
５／１（木曜日）の設備変更後、５／１（木）の一日間のみの学習を行う。この動作は、実施の形態１に示した学習動作であるが、実施の形態２では、集計部１０２が時系列データ１５７をプロファイル定義部１０４に渡す場合、プロファイル定義部１０４は、時系列データ１５７をカウント蓄積部１０４２に保存する。つまりこの場合、図４におけるＳ１０５では、時系列データ１５７がカウント蓄積部１０４２に保存される。
【００６４】
（Ｂ：予測プロファイルの生成の動作）
図２１は、実施の形態２における予測プロファイルを生成する動作を示す図である。図２１を参照して予測プロファイルの生成動作を説明する。
【００６５】
プロファイル定義部１０４は、カウント蓄積部１０４２に蓄積された時系列データ１５７（５／１の一日分の２８８個のデータ）から、５／１（木）の１日のカウントの平均値であるμｔｈｒ３０４（改変情報の一例）を計算し、予測プロファイル生成部１０５の差異定義部１０５１に渡す（Ｓ５０１）。
【００６６】
（差異定義部１０５１）
次に、予測プロファイル生成部１０５における差異定義部１０５１は、プロファイル定義部１０４からプロファイル候補蓄積部１０４３が保存している４月のプロファイル２０３（正常時系列データの一例）を受け取り（Ｓ５０２）、４月における木曜日のカウントである木曜日のカウント３０１を取り出し、平均値μ’ｔｈｒ３０３を求める（４／３（木），１０（木），１７（木），２４（木）のアクセス数の平均値）（Ｓ５０３）。
さらに、
Δ＝μｔｈｒ３０４−μ’ｔｈｒ３０３
を計算する（Ｓ５０４）。この処理を図２２に示す。
差異定義部１０５１は、このΔを差異１０５５１として差異反映部１０５２に渡す（Ｓ５０５）。
【００６７】
（差異反映部１０５２）
予測プロファイル生成部１０５における差異反映部１０５２は、図２３に示すように、４月のプロファイル２０３の全ての時刻のカウントに差異定義部１０５１から受け取った差異１０５５１であるΔを足して、変動後の予測プロファイルを生成する（Ｓ５０６）。
【００６８】
差異反映部１０５２による予測プロファイルの生成（所定の生成規則）は実施の形態１と同様である。すなわち、複数の予測プロファイルを生成するため、Δを０．５倍〜２．０倍まで０．１刻みで計算した０．５＊Δ〜２．０＊Δを用意し、４月のプロファイル２０３にこれらを足したものを複数の予測プロファイルとして用意する。これらを予測プロファイル１〜予測プロファイル１６とする。このように、Δと４月のプロファイル２０３を使用した複数の予測プロファイルの生成方法は実施の形態１と同じである。
【００６９】
（Ｃ：最適な予測プロファイルの選択）
図２４は、実施の形態２における最適な予測プロファイルを選択する動作を示す図である。図２４を参照して最適な予測プロファイルの選択動作を説明する。実施に形態１と異なり、実施の形態１の場合、検知対象とする５／１の一日分のデータ（ｉ＝１〜２８８）は既に取得されている。
【００７０】
分析部１０３は、５／１の一日分のカウント１５１をカウント蓄積部１０４２から取得（Ｓ６０１）し、予測プロファイル１〜１６を差異反映部１０５２から取得する（Ｓ６０２）。分析部１０３は、プロファイル定義部１０４のカウント蓄積部１０４２に保存されている蓄積カウント２０２における５／１（木）の１日のカウントについて、５分おきの集計値に対して、各予測プロファイル１〜１６を使用して分析（異常検知）を行う（Ｓ６０３）。
【００７１】
すなわち、分析部１０３で使用している統計分析のアルゴリズムを用いて、５／１（木）の５分おきのカウント全てに対して、予測プロファイル１を用いて分析する。次に、予測プロファイル２を用いて同様に分析する。この様にして、予測プロファイル１６を用いた分析まで繰り返し行う。
【００７２】
各々の分析の結果Ｒ（ｊ、ｉ）は、プロファイル選択部１０６に予測プロファイル１〜１６を用いた分析結果１５５として送られ、プロファイル選択部１０６に蓄積される。
【００７３】
５／２（木）の０時０分において、プロファイル選択部１０６は、自身に蓄積された、５／１（木）１日分の分析結果を用いて、適切なプロファイルを選択する（Ｓ６０４）。選択の方法は、実施の形態１におけるプロファイル選択部１０６が行う選択と同じである。選択された予測プロファイルは、使用プロファイル蓄積部１０４１に上書きされる（Ｓ６０５）。
【００７４】
実施の形態２では、実施の形態１と同様に、変動後のアクセス数が増加することを前提に記述したが、減少する場合でも同じように差異１０５５１を求めることで、減少後の複数の予測プロファイルを生成し、同じ方法で最適な予測プロファイルを選択することができる。つまり、この場合は、差異１０５５１がマイナスの値をとるだけであり、各部が同じ動作を行うだけで対応できる。
【００７５】
以上の様に、実施の形態２では、設備の変動により正常な状態のアクセス数の時系列データが変動する場合において、変動後の予測の平均アクセス数が分かっていない場合は、変動後の１日のデータを学習し、学習した曜日の現在のプロファイルのカウントの平均を求め、これらの差異を求め、この差異に複数の比率を掛け、現在のプロファイルに反映することで複数の予測プロファイルを生成する。複数の予測プロファイルを用いて設備の変動後の１日のデータを分析し、適切な予測プロファイルを選択することにより、以後の分析において、誤検知や検知漏れを低減できる効果がある。また、予測プロファイルの生成では、現在のプロファイルに差異Δを足す方式をとることにより、現在のプロファイルの周期変動などの傾向を反映した予測プロファイルを生成可能である。
【００７６】
実施の形態３．
（装置外からパラメータ入力）
実施の形態３は、差分Δに乗じる０．５倍等の数値を外部からパラメータとして入力する実施形態である。実施の形態１、２では、複数のプロファイルを準備する際に、例としてΔを０．５倍〜２．０倍まで０．１刻みで指定しているが、他の倍数、刻みでもよく、装置外からパラメータで与える方式で実現する。図２５において、パラメータ１０５５１は、倍率最大値１０５５２、倍率最小値１０５５３、生成個数１０５５４、刻み幅１０５５５で与える。倍率最大値１０５５２は実施の形態１では２．０に相当し、倍率最小値１０５５３は０．５に相当する。刻み幅１０５５５は、０．１に相当する。刻み幅を与えない場合は、代わりに生成個数１０５５４を与え、差異定義部１０５１は以下を計算し、結果を刻み幅の代わりとする。
すなわち、
刻み幅＝（倍率最大値−倍率最大値）／生成個数とする。
【００７７】
実施の形態４．
（分析日数をｍ日）
実施の形態１、実施の形態２では、生成した複数の予測プロファイルの選択において、複数の予測プロファイルを用いて１日ぶんの分析を行い、異常を検知した予測プロファイルを削除し、異常検知しなかった予測プロファイルの中で１番小さいものを選択した。本実施の形態４では、選択するための分析期間をｍ日とし、その期間において、検知した予測プロファイルを削除し、検知しなかった予測プロファイルの中で１番小さいものを選択する。
【００７８】
実施の形態５．
（ビジネスアワーにのみ加算）
実施の形態１、２では、現在のプロファイル全体に、ｎ＊Δを足して予測プロファイルを生成した。しかし、土日、夜間はプロファイル変動前と変動後で変化が無く、平日のビジネスアワーのみ変化があることが分かっている場合は、プロファイルにおいて平日のビジネスアワーの部分にのみ、ｎ＊Δを足してもよい。例えば、図２６の様に、平日の昼アクセス数が多く、夜はアクセス数は少なく、土日はアクセス数が少ない場合、設備変更による変動後も同様の傾向が想定される場合は、平日のビジネスアワー（例：９時〜１７時）にのみｎ＊Δを足し、それ以外は足さないで予測プロファイルを生成する。
【００７９】
以上の様に、当実施の形態５では、ビジネスアワーの変動を考慮した適切な予測プロファイルを生成することが可能である。
【００８０】
実施の形態６．
（ｄ＞ｋの場合に予測プロファイルを削除）
実施の形態１、２では、予測プロファイルの選択において、図２０のフローで、ｄ＞０の場合にＰｒｏｆ＿ｊを削除（Ｓ３９）したが、ｄ＞０の分岐をｄ＞ｋとする。ｋはプロファイル選択部１０６に与えるパラメータであり、例えば、ｋ＝１０であれば、そのプロファイルを使用し１０回以上検知が発生した場合に削除することになる。このように、異常を検知した回数が閾値を超えた場合に削除するようにする。
【００８１】
実施の形態７．
（平均の比によって予測プロファイルを生成）
実施の形態１では、差異定義部１０５１は、現在のプロファイルの平均値と、平均値の予測値の差を差異１０５５１として計算した。また、実施の形態２では、差異定義部１０５１は、現在のプロファイルの木曜日の平均値と、５／１（木）の平均値の差を差異１０５５１として計算した。本実施の形態７では、これらの平均値の差を差異１０５５１として計算するのではなく、比を差異１０５５１として求めても良い。
【００８２】
つまり、実施の形態１では、
Δ＝「平均値の予測値」／「現在のプロファイルの木曜日の平均値」
であり、実施の形態２では、
Δ＝「５／１（木）の平均値」／「現在のプロファイルの木曜日の平均値」
である。
【００８３】
この場合、図１７の「Ｘｉｊ＝Ｃｉ＋Δｊ」を「Ｘｉｊ＝Ｃｉ＊Δｊ」に変更する。
【００８４】
実施の形態８．
（予測プロファイルの補正）
実施の形態１、実施の形態２では、生成した複数の予測プロファイルの選択において、複数の予測プロファイルを用いて１日分析を行い、異常検知された予測プロファイルを削除した。本実施の形態８では、全ての予測プロファイルにおいて異常検知が発生しなかった場合に予測プロファイルの補正を行うものである。実施の形態１、実施の形態２ではΔを０．５倍〜２．０倍まで０．１刻みで計算した０．５＊Δ〜２．０＊Δを用意して複数の予測プロファイルを生成したが、異常検知が発生しないということはこれらで生成した予測プロファイルでは実測値に対して大きいということである。よって、Δに掛ける倍率を最低の０．５の１／１０を刻みとして、０．０５＊Δ〜０．４５＊Δを差異として新しい予測プロファイルを生成し、これらの予測プロファイルで検知するか試みる。
【００８５】
上記でも検知しない場合は、０．０５の１／１０を刻みとして、同様に、０．００５＊Δ〜０．０４５＊Δを差異として新しい予測プロファイルを生成し（所定の補正規則の一例）、これらの予測プロファイルで検知するか試み、これを繰り返す。
【００８６】
つまり、本実施の形態８では、予測プロファイルの生成において使用した差異が大きかった場合に、さらに小さい差異を使用して予測プロファイルを再生成し、検知するまで予測プロファイルの再生成を繰り返すことで（所定の補正規則の一例）、最適な予測プロファイルを選択するものである。本実施の形態８では、実施の形態１、２を例として、予測プロファイルの再生成用の差異を０．０５の１／１０を基準としたが、他の割合、生成の個数でも良い。
【００８７】
以上の様に、当実施の形態８では、最初に生成した複数の予測プロファイルが適切でなかった場合に、さらに複数の予測プロファイルを作り選択することが可能である。
【００８８】
実施の形態９．
（選択する際に使用するアルゴリズム）
実施の形態１、実施の形態２では、予測プロファイルを選択する際の分析アルゴリズムとして、検知に用いる統計分析のアルゴリズムをそのまま使用した。本実施の形態９では、予測プロファイルを選択するために別の統計分析のアルゴリズムを適用しても良い。例えば、検知に３σ（平均＋３σを超えたら検知）を利用している場合において、予測プロファイルの選択においては、これを１σ（平均＋σを超えたら検知）とし、分析を行い選択の判断を行っても良い。他の例として、例えば、特開２００８−１４６１５７号公報に示されるスライディングウィンドウを使用したＰＣＡ（Ｐｒｉｎｃｉｐａｌ Ｃｏｍｐｏｎｅｎｔ Ａｎａｌｙｓｉｓ：主成分分析）を適用して分析を行い、選択の判断を行っても良い。
【００８９】
実施の形態１０．
（１時間おきの平均アクセス数の反映）
実施の形態２では、設備変更後に１日観測したアクセス数の１日の平均値（５／１（木）の１日の平均）を求め、４月のプロファイルにおける同じ曜日の平均値を求めてその差を差異として、４月のプロファイル全体に反映した。本実施の形態１０では、設備変更後に１日観測したアクセス数の１時間おきの（５分の集計値の）平均値を求め、４月のプロファイルにおける同じ曜日の１日の１時間おきの（５分の集計値の）平均値を求め、各１時間おきの差異を、４月のプロファイルの同時間帯に反映するものである。
【００９０】
具体的には以下のように処理する。５／１（木）に観測したアクセス数の１時間おきの（５分の集計値の）平均値を以下の様に表す。
μｔｈｒ＿０＿１（５／１（木）０時〜１時の５分の平均アクセス数）、
μｔｈｒ＿１＿２（５／１（木）１時〜２時の５分の平均アクセス数）、
・・・
μｔｈｒ＿２３＿２４（５／１（木）２３時〜２４時の５分の平均アクセス数）、
図２２の、木曜日のカウント３０１から４月の木曜日の１時間おきの平均値を以下の様に表す。
μ’ｔｈｒ＿０＿１（４月の木曜日の０時〜１時の５分の平均アクセス数）、
μ’ｔｈｒ＿１＿２（４月の木曜日の１時〜２時の５分の平均アクセス数）、
・・・、
μ’ｔｈｒ＿２３＿２４（４月の木曜日の２３時〜２４時の５分の平均アクセス数）、
【００９１】
次に以下を計算する。
Δ＿０＿１＝μｔｈｒ＿０＿１−μ’ｔｈｒ＿０＿１、
Δ＿１＿２＝μｔｈｒ＿１＿２−μ’ｔｈｒ＿１＿２、
・・・
Δ＿２３＿２４＝μｔｈｒ＿２３＿２４−μ’ｔｈｒ＿２３＿２４、
【００９２】
この各Δを４月のプロファイル２０３に適用する。ここではｎ＝０．５とする。
４月１日０時〜１時における各５分の集計値＋ｎ＊Δ＿０＿１、
４月１日１時〜２時における各５分の集計値＋ｎ＊Δ＿１＿２、
・・・
４月１日２３時〜２４時における各５分の集計値＋ｎ＊Δ＿２３＿２４、
４月２日０時〜１時における各５分の集計値＋ｎ＊Δ＿０＿１、
４月２日１時〜２時における各５分の集計値＋ｎ＊Δ＿１＿２、
・・・
４月２日２３時〜２４時における各５分の集計値＋ｎ＊Δ＿２３＿２４、
以降、４月３０日のデータまで同じように適用する。
【００９３】
上記の計算を行えば、５／１（木）と４月の木曜日のアクセス数の１時間ごとの差異を、４月のプロファイル全体の同時間帯に反映した予測プロファイルを生成可能である。
【００９４】
ｎを０．５〜２．０まで０．１刻みで変化させて上記計算を行えば、実施の形態２と同じように１６個の予測プロファイルを生成できる。
【００９５】
上記の例では、１時間ごとのΔを生成したが、０時〜６時、６時〜１２時、１２時〜１８時、１８時〜２４時のように時間帯を分けて、時間大別の平均値を求め同様の処理を適用しても良い。或いは、１時間よりも細かい時間帯、例えば、３０分ごとに同様の処理を行っても良い。
【００９６】
以上の様に、当実施の形態１０では、アクセス数の変動後の時間ごとの細かい差異を反映できる。
【００９７】
実施の形態１１．
（１週間の観測）
実施の形態２では、設備変更後に１日観測したアクセス数の１日の平均値を求め、４月のプロファイルにおける同じ曜日の平均値を求めその差を差異として、４月のプロファイル全体に反映した。本実施の形態では、設備変更後に７日観測したアクセス数の曜日別の平均値を求め、４月のプロファイルにおける同じ曜日の平均値を求め、同じ曜日の平均値の差を求め、曜日別の差異を４月のプロファイルの曜日ごとに反映するものである。
【００９８】
具体的には以下のように処理する。
５／１（木）〜５／７（水）に観測したアクセス数の１日の平均値を以下の様に表す。
μｔｈｒ（５／１（木）の１日の平均アクセス数）、
μｆｒｉ（５／２（金）の１日の平均アクセス数）、
・・・
μｗｅｄ（５／７（水）の１日の平均アクセス数）、
図２２の、４月のプロファイル２０３から各曜日の１日の平均値を以下の様に表す。
μ’ｔｈｒ（４月の木曜日の１日の平均アクセス数）、
μ’ｆｒｉ（４月の金曜日の１日の平均アクセス数）、
・・・
μ’ｗｅｄ（４月の水曜日の１日の平均アクセス数）、
【００９９】
次に以下を計算する。
Δ＿ｔｈｒ＝μｔｈｒ−μ’ｔｈｒ、
Δ＿ｆｒｉ＝μｆｒｉ−μ’ｆｒｉ、
・・・
Δ＿ｗｅｄ＝μｗｅｄ−μ’ｗｅｄ、
【０１００】
この各Δを４月のプロファイル２０３ の各曜日に適用する。ここでは ｎ＝０．５とする。
４月の各木曜日の各５分の集計値＋ｎ＊Δ＿ｔｈｒ、
４月の各金曜日の各５分の集計値＋ｎ＊Δ＿ｆｒｉ、
・・・
４月の各水曜日の各５分の集計値＋ｎ＊Δ＿ｗｅｄ、
【０１０１】
上記の計算を行えば、５／１（木）〜５／７（水）の１週間の各曜日と４月の各曜日のアクセス数の差異を、４月のプロファイル全体の同曜日に反映した予測プロファイルを生成可能である。実施の形態１では、１日のアクセス数の平均の差異を反映したが、本実施の形態１２に従えば、観測期間は７日になるが、設備変更後の各曜日の差異を４月のプロファイルに反映することができる。
【０１０２】
実施の形態１２．
実施の形態１、２では、プロファイルとして３月や４月という単位ごとにプロファイルを使用して分析した。他の分析の形態として、ビジネスアワーとそれ以外にプロファイルを分けて持つ場合や、１時間おきや、曜日別にプロファイルを分けて分析を行う場合がある。
【０１０３】
例えば、ビジネスアワーとそれ以外にプロファイルを分けて持つ場合は、ビジネスアワーにおけるアクセス数の分析では、ビジネスアワー用のプロファイルを用いて逸脱を確認する。
【０１０４】
ビジネスアワーとそれ以外にプロファイルを分けて持つ場合で、設備変更によるアクセス数の変動後の平均の予測値μ’がある場合は次のようにする。ビジネスアワーとそれ以外のアクセス数のプロファイルを合わせた平均値μを求め、これらの平均値の差をΔ＝μ’−μとし、ビジネスアワー用のプロファイル、ビジネスアワー以外のプロファイルにΔを反映することで、各々の予測プロファイルを生成する。設備変更によるアクセス数の変動後の平均の予測値が無い場合は次のようにする。設備変更後の１日において、ビジネスアワーとそれ以外のアクセス数を観測し、ビジネスアワーのアクセス数の平均値μ’ｂと、ビジネスアワー以外の平均値μ’ｎｂを各々求め、現在のビジネスアワーのプロファイルの平均値μｂ、ビジネスアワー以外の平均値μｎｂに対して、
Δｂ＝μ’ｂ−μｂ、Δｎｂ＝μ’ｎｂ−μｎｂ
を求める。Δｂを現在のビジネスアワー用のプロファイルに、Δｎｂをビジネスアワー以外のプロファイルに反映することで、ビジネスアワーとそれ以外の予測プロファイルを生成できる。
【０１０５】
１時間おきにプロファイルを持っている場合は、設備変更によるアクセス数の変動後の平均の予測値μ’がある場合は、１時間おきのプロファイルを全て足し平均値μを求め、これらの平均値の差をΔ＝μ’−μとし、１時間おきのプロファイルにΔを反映することで、各々の予測プロファイルを生成する。設備変更によるアクセス数の変動後の平均の予測値が無い場合は次のようにする。設備変更後の１日において、１時間おきのアクセス数を観測し、１時間おきの平均値（μ’ｉ，ｉ＝０〜２３）を求める。次に、現在の１時間おきのプロファイルの平均値（μｉ，ｉ＝０〜２３）を求める。Δｉ＝μ’ｉ−μｉ（ｉ＝０〜２３）を求め、Δｉを現在の１時間ごとのプロファイルに反映することで、各時間の予測プロファイルを生成できる。ここで、ｉ＝０は０時、ｉ＝２３は２３時を示す。
【０１０６】
曜日別にプロファイルを持っている場合は、設備変更によるアクセス数の変動後の平均の予測値μ’がある場合は、曜日別のプロファイルを全て足し平均値μを求め、これらの平均値の差をΔ＝μ’−μとし、曜日別のプロファイルにΔを反映することで、各々の予測プロファイルを生成する。設備変更によるアクセス数の変動後の平均の予測値が無い場合は次のようにする。設備変更後の１日において、アクセス数を観測し、１日の平均値μ’を求める。観測した曜日に該当する曜日のプロファイルの１日の平均値μを求める。これらの平均値の差異をΔ＝μ’−μとする。このΔを各曜日のプロファイルに反映することで、各曜日の予測プロファイルを生成できる。
【０１０７】
上記の様に生成した予測プロファイルは、実施の形態１や２の様にΔに倍率を掛けることで複数生成でき、生成された予測プロファイルの選択は実施の形態１や２と同様の処理を行うことで選択できる。
【０１０８】
本実施の形態１２では、プロファイルがビジネスアワーとそれ以外、時間別、曜日別などに分割されていても、設備変更によるアクセス数の変動後の平均の予測値がある場合、無い場合について、実施の形態１や２の考え方を応用して適切な予測プロファイルを生成することが可能である。
【０１０９】
以上の実施の形態では不正アクセス検知装置１００を説明したが、不正アクセス検知装置１００は、不正アクセス検知装置１００の各構成要素が行う「不正アクセス検知方法」の実施形態として把握することもできる。また、不正アクセス検知装置１００は、「〜部」の機能をコンピュータに実行させる「不正アクセス検知プログラム」の実施形態として把握することもできる。さらに、「不正アクセス検知プログラム」を記録したコンピュータ実行可能な「記録媒体」の実施形態として把握することも可能である。
【０１１０】
以上の実施の形態では、ネットワークのアクセス数の時系列データのＡｎｏｍａｌｙ検知において、正常な状態のアクセス数の傾向が変動した際に、変動した正常なアクセス数の再学習の期間を短縮するために予測プロファイルを利用する分析おいて、複数の予測プロファイルを生成する予測プロファイル生成部１０５と、複数の予測プロファイルによる分析を行い、最適な予測プロファイルを選択する使用プロファイル決定部とを備えた不正アクセス検知装置１００を説明した。
【０１１１】
以上の実施の形態では、予測プロファイル生成部１０５は、予め入手した変動後の予測の平均アクセス数と現在のプロファイルの平均アクセス数との差異を求め、この変位に複数の倍率をかけ、現在のプロファイルに反映することで、現在のプロファイルの傾向を反映した予測プロファイルを複数生成する不正アクセス検知装置１００を説明した。
【０１１２】
以上の実施の形態では、予測プロファイル生成部１０５は、変動した正常なアクセス数を１日観測し、観測した曜日と現在のプロファイルの曜日のデータを元に差異を求め、この差異に複数の倍率をかけ、現在のプロファイルに反映することで、現在のプロファイルの傾向を反映した予測プロファイルを複数生成する不正アクセス検知装置１００を説明した。
【図面の簡単な説明】
【０１１３】
【図１】実施の形態１における不正アクセス検知装置１００の外観の一例。
【図２】実施の形態１における不正アクセス検知装置１００のハードウェア構成。
【図３】実施の形態１における不正アクセス検知装置１００のブロック図。
【図４】実施の形態１における学習のシーケンス。
【図５】実施の形態１におけるログ１５０の例。
【図６】実施の形態１における集計部１０２の生成した時系列データの概念図。
【図７】実施の形態１における時系列データ１５７を示す図。
【図８】実施の形態１におけるプロファイル定義部１０４の内部構成を示す図。
【図９】実施の形態１における検知動作のシーケンス。
【図１０】実施の形態１におけるカウント１５１の例。
【図１１】実施の形態１における検知動作の詳細のシーケンス。
【図１２】実施の形態１における設備変更の場合のアクセス数変動を示す図。
【図１３】実施の形態１における予測プロファイル生成のシーケンス。
【図１４】実施の形態１における予測プロファイルの生成を説明する図。
【図１５】実施の形態１における生成される複数の予測プロファイルを説明する図。
【図１６】実施の形態１における変化ぶん生成のフローチャート。
【図１７】実施の形態１における予測プロファイルの生成のフローチャート。
【図１８】実施の形態１における生成された予測プロファイル１を示す図。
【図１９】実施の形態１における最適な予測プロファイルの選択シーケンス。
【図２０】実施の形態１における予測プロファイルの選択のフローチャート。
【図２１】実施の形態２における予測プロファイル生成のシーケンス。
【図２２】実施の形態２における平均値μ、μ’の生成を説明する図。
【図２３】実施の形態２における予測プロファイルの生成を説明する図。
【図２４】実施の形態２における予測プロファイルの生成のシーケンス。
【図２５】実施の形態３におけるパラメータの入力を説明する図。
【図２６】実施の形態５におけるパラメータの入力を説明する図。
【符号の説明】
【０１１４】
１００ 不正アクセス検知装置、１０１ データ取得部、１０２ 集計部、１０３ 分析部、１０３１ カウント処理部、１０３２ プロファイル処理部、１０３３ 演算部、１０３４ 逸脱確認部、１０４ プロファイル定義部、１０４１ 使用プロファイル蓄積部、１０４２ カウント蓄積部、１０４３ プロファイル候補蓄積部、１０５ 予測プロファイル生成部、１０５１ 差異定義部、１０５２ 差異反映部、１０６ プロファイル選択部。
【技術分野】
【０００１】
この発明は、アクセス数の時系列データをプロファイルとして用いてアクセス数の異常検知を行うＡｎｏｍａｌｙ検知を実行する不正アクセス検知装置、不正アクセス検知プログラム、不正アクセス検知方法に関する。
【背景技術】
【０００２】
ネットワーク上の不正アクセス発生の検知手段として、正常な状態のアクセス数をプロファイルとして定義・学習し、観測されたアクセス数がプロファイルから逸脱していることを検出する方法がある。これをＡｎｏｍａｌｙ検知という。このようなネットワークの時系列データの分析において、正常な状態のアクセス数の傾向が設備の変更などにより変動する場合がある。変動後は、変動前に定義したプロファイルを使用すると正しく分析できないため、変動後の正常な状態のアクセス数をプロファイルとして再学習することが一般的である。再学習の期間は分析が行えないため、再学習期間を短縮するために予測プロファイルを生成し分析を継続する技術として特許文献１がある。この方式を使用すれば、例えば、最低１週間必要だった再学習期間が１日以下に短縮できる。
【特許文献１】特開２００８−１４６１５７号公報、ネットワーク異常判定装置
【発明の開示】
【発明が解決しようとする課題】
【０００３】
特許文献１では、正常な状態のアクセス数の時系列データが変動した後、１つの予測プロファイルのみを使用する。予測プロファイルが実測値よりも大きく生成されれば、実測値が予測プロファイルに隠れて検知漏れが発生し、小さく生成されていれば実測値が予測プロファイルよりも飛び出るため誤検知が発生するという課題があった。また、正常な状態のアクセス数の週内変動などは予測プロファイルに反映していないため、週内変動などがあるデータに対して予測プロファイルが適切ではなく、分析の精度に影響する場合があるという課題があった。
【０００４】
この発明は、誤検知の発生が少なく、また、週内変動がある場合にも適切である予測プロファイルを生成する不正アクセス検知装置の提供を目的とする。
【課題を解決するための手段】
【０００５】
この発明の不正アクセス検知装置は、
アクセス数の時系列データをプロファイルとして用いてアクセス数の異常検知を行うＡｎｏｍａｌｙ検知を実行する不正アクセス検知装置において、
正常と認められる過去のアクセス数からなる正常時系列データと、前記正常時系列データの改変に使用する改変情報とを入力し、所定の生成規則に従うことにより、前記改変情報を使用して前記正常時系列データから将来のアクセス数の異常検知に使用する使用プロファイルの候補となる複数の予測プロファイルを生成する予測プロファイル生成部と、
前記予測プロファイル生成部によって生成された前記複数の予測プロファイルのなかから、所定の決定基準に合致する予測プロファイルを前記使用プロファイルとして決定する使用プロファイル決定部と
を備えたことを特徴とする。
【発明の効果】
【０００６】
この発明により、誤検知の発生が少ない予測プロファイルを生成する不正アクセス検知装置を提供できる。
【発明を実施するための最良の形態】
【０００７】
実施の形態１．
図１〜図２０を用いて実施の形態１を説明する。
【０００８】
図１は、コンピュータで実現される不正アクセス検知装置１００の外観の一例を示す図である。図１において、不正アクセス検知装置１００は、システムユニット８３０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置８１３、キーボード８１４（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス８１５、ＦＤＤ８１７（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・ Ｄｒｉｖｅ）、コンパクトディスク装置８１８（ＣＤＤ：Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｄｒｉｖｅ）、プリンタ装置８１９などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。システムユニット８３０はネットワークに接続している。
【０００９】
図２は、コンピュータで実現される不正アクセス検知装置１００のハードウェア資源の一例を示す図である。図２において、不正アクセス検知装置１００は、プログラムを実行するＣＰＵ８１０（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ：中央処理装置、処理装置ともいう）を備えている。ＣＰＵ８１０は、バス８２５を介してＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）８１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）８１２、表示装置８１３、キーボード８１４、マウス８１５、通信ボード８１６、ＦＤＤ８１７、ＣＤＤ８１８、プリンタ装置８１９、磁気ディスク装置８２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置８２０の代わりに、光ディスク装置、フラッシュメモリなどの記憶装置でもよい。
【００１０】
ＲＡＭ８１２は、揮発性メモリの一例である。ＲＯＭ８１１、ＦＤＤ８１７、ＣＤＤ８１８、磁気ディスク装置８２０等の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部、格納部、バッファの一例である。通信ボード８１６、キーボード８１４、ＦＤＤ８１７などは、入力部、入力装置の一例である。また、通信ボード８１６、表示装置８１３、プリンタ装置８１９などは、出力部、出力装置の一例である。
【００１１】
通信ボード８１６は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｉｒｋ）等のネットワークに接続されている。通信ボード８１６は、ＬＡＮに限らず、インターネット、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。
【００１２】
磁気ディスク装置８２０には、オペレーティングシステム８２１（ＯＳ）、ウィンドウシステム８２２、プログラム群８２３、ファイル群８２４が記憶されている。プログラム群８２３のプログラムは、ＣＰＵ８１０、オペレーティングシステム８２１、ウィンドウシステム８２２により実行される。
【００１３】
上記プログラム群８２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。
【００１４】
ファイル群８２４には、以下に述べる実施の形態の説明において、「使用プロファイル」、「カウント１５１」、「プロファイル候補」、「予測プロファイル」などとして説明する情報や、「〜の判定結果」、「〜の算出結果」、「〜の選択結果」、「〜の生成結果」、「〜の処理結果」として説明する情報や、データや信号値や変数値やパラメータなどが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１０によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００１５】
また、以下に述べる実施の形態の説明においては、データや信号値は、ＲＡＭ８１２のメモリ、ＦＤＤ８１７のフレキシブルディスク、ＣＤＤ８１８のコンパクトディスク、磁気ディスク装置８２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス８２５や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００１６】
また、以下に述べる実施の形態の説明において、「〜部」として説明するものは、「手段」、「〜回路」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ８１１に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ８１０により読み出され、ＣＰＵ８１０により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。
【００１７】
図３は、実施の形態１における不正アクセス検知装置１００の構成図である。図３に示すように、不正アクセス検知装置１００は、データ取得部１０１、集計部１０２、分析部１０３、プロファイル定義部１０４、予測プロファイル生成部１０５、プロファイル選択部１０６を備える。また、分析部１０３は、カウント処理部１０３１、プロファイル処理部１０３２、演算部１０３３、逸脱確認部１０３４を備える。プロファイル定義部１０４は、使用プロファイル蓄積部１０４１、カウント蓄積部１０４２、プロファイル候補蓄積部１０４３を備える。予測プロファイル生成部１０５は、差異定義部１０５１、差異反映部１０５２を備える。
【００１８】
また、プロファイル選択部１０６と分析部１０３とは、後述のように複数の予測プロファイルの中から使用プロファイルとするべき予測プロファイルを決定する使用プロファイル決定部を構成する。
【００１９】
図３において、
（１）データ取得部１０１は、ネットワーク機器のログ１５０を取り込む。
（２）集計部１０２は、ネットワーク機器のログ１５０から、特定の集計期間における特定条件下の集計値をカウント１５１として出力する。
（３）分析部１０３は、プロファイル定義部１０４からプロファイル１５２を受け取り、特定の統計分析によりカウント１５１がプロファイル１５２に対して異常か否か分析する。
（４）プロファイル定義部１０４は、正常状態のカウントの集合であるプロファイルを保持する。
（５）予測プロファイル生成部１０５は、プロファイル１５２と、アクセス数の変動後のアクセス数の平均予測値などの環境変化情報１６１から、予測プロファイル１５４を１つ以上生成する。
（６）プロファイル選択部１０６は、複数生成された予測プロファイルを用いて分析した複数の分析結果から、最適な予測プロファイルを判定し、その結果である選択された予測プロファイル１５６をプロファイル定義部１０４に通知する。
【００２０】
（Ａ：学習の動作）
図４は学習動作を示すシーケンスである。図３、図４を参照して、学習の動作について説明する。不正アクセス検知装置１００における検知開始前の準備動作を「学習」と呼ぶ。データ取得部１０１は、正常な状態として扱う期間のネットワークトラフィックデータ（例えば、ネットワーク機器のログ１５０を１週間分）を受信し（Ｓ１０１）、集計部１０２に渡す（Ｓ１０２）。ネットワークトラフィックデータとして、例えば、図５の様なＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）のログファイルを取り込む。
【００２１】
次に集計部１０２は、データ取得部１０１から受け取ったネットワークトラフィックデータ（ログ１５０）から、時系列データを生成する（Ｓ１０３）。図６は集計部１０２が生成した時系列データ（概念図）の一例を示している。ここでは、例として宛先ポートが４４５のアクセス数の時系列データを生成する。集計部１０２は、定められた集計時間、例えば５分間において、そのログ中の、「宛先ポート４４５のアクセスの出現個数」を数え上げる。これを集計時間毎に順に行うと、宛先ポート４４５のアクセス数の時系列データが生成できる。
【００２２】
例えば、図５のログの例であれば、「０６／０４／１８、１２：００」から５分間の間にＤｓｔＰｏｒｔ（宛先）４４５は３個の出現個数である。この作業を５分ごとに行えば、宛先ポート４４５について５分集計のアクセス数の時系列データが生成される。ここで、集計値＝その集計期間におけるアクセス数である。ログデータが１週間分であれば、６０分×２４時間×７日＝１００８０分の期間であり、５分で割れば２０１６個の集計値から構成されるアクセス数の時系列データが得られる。このようにして得られた時系列データをグラフ化したのが、図６である。横軸は時刻（集計タイミング）、縦軸はアクセス数を示している。
【００２３】
この様にして集計部１０２により得られたアクセス数の時系列データは、図７の時系列データ１５７のような集計時刻、集計間隔、集計値（アクセス数）のフォーマットで列挙されたデータとして扱う。
【００２４】
集計部１０２は、時系列データ１５７をプロファイル定義部１０４に渡す（Ｓ１０４）。プロファイル定義部１０４は、時系列データ１５７を使用プロファイル蓄積部１０４１にプロファイルとして保存する。ここでは、図８の様に、現在のプロファイル２０１として蓄積される（Ｓ１０５）。
【００２５】
（Ｂ：検知動作）
図９は検知動作を示すシーケンスである。図９を参照して、プロファイルを用いた検知動作について説明する。データ取得部１０１は、ネットワーク機器のログ１５０を５分間ぶん新たに受信し（Ｓ２０１）、集計部１０２に渡す（Ｓ２０２）。
【００２６】
集計部１０２は、集計条件に従い集計を行う。集計条件としては、例えば、宛先ポート４４５の５分間のアクセス数の集計を行う（Ｓ２０３）。集計の結果は、「カウント１５１」として分析部１０３に渡す（Ｓ２０４）。図５を例に示せば、「０６／０４／１８、１２：００」から５分間の間に宛先ポート４４５は３個の出現個数であり、出現個数＝集計値がアクセス数に該当する。図１０にカウント１５１のフォーマットを示す。
【００２７】
分析部１０３では、以下の処理を行う。カウント１５１がプロファイル定義部１０４の使用プロファイル蓄積部１０４１に保存さているプロファイルと比較し、統計的に異常か否かを分析する（Ｓ２０５）。分析の方法は、３σ法や、主成分分析、ＡｕｔｏＲｅｇｒｅｓｓｉｖｅＭｏｖｉｎｇＡｖｅｒａｇｅモデルなどがあるが、ここでは、ある特定のアルゴリズムを使用するものとする。
【００２８】
分析部１０３は、カウント１５１が統計的に異常であれば、異常として、検知結果１５３を出力する。それ以外は正常として検知結果１５３を出力する。
【００２９】
（Ｃ：検知動作の詳細）
図１１は分析部１０３における検知動作の詳細を示すシーケンスである。図１１を参照して、分析部１０３における検知動作の詳細を説明する。図１１において、プロファイル１５２は、使用プロファイル蓄積部１０４１における現在のプロファイル２０１であり、プロファイル処理部１０３２に入力される（Ｓ２０５１）。分析対象であるカウント１５１はカウント処理部１０３１に入力される（Ｓ２０５２）。
【００３０】
例として、統計分析のアルゴリズムを３σ法とする。
【００３１】
プロファイル処理部１０３２では、使用プロファイル蓄積部１０４１から渡されたプロファイル１５２（現在のプロファイル２０１、この例では図８に示す３月の１ヶ月間のもの）から、時系列データ（ここでは、集計値の羅列）とその構成数を計算する（Ｓ２０５３）。時系列データは、９、２、１５、・・・、１１である。その構成数は３月の５分毎の集計なので１２×２４×３１＝８９２８であり、集計値の値が記録された行数に一致する。これらを、演算部１０３３に入力する（Ｓ２０５４）。
【００３２】
カウント処理部１０３１は、この例ではカウント１５１のフォーマットから集計値（ｘとする）のみを取り出し、演算部１０３３に入力する（Ｓ２０５５）。図１０の例であれば、ｘ＝３である。
【００３３】
演算部１０３３は、プロファイル処理部１０３２からの時系列データとその個数から、その平均μ、分散σ２を計算し（Ｓ２０５６）、カウント処理部１０３１から取得した集計値ｘと共に、逸脱確認部１０３４に入力する（Ｓ２０５７）。
【００３４】
逸脱確認部１０３４は、μ＋３σ＜ｘであるかを確認（Ｓ２０５８）し、検知結果を出力する（Ｓ２０５９）。逸脱条件を満たせば逸脱として判定し、異常検知を示す情報を出力する。逸脱条件を満たさない場合は正常を示す情報を出力する。これが検知結果１５３である。検知結果１５３は、例えば、異常検知の場合は１、正常の場合は０で表す。
【００３５】
ここでは、演算部１０３３による統計分析のアルゴリズムが３σの場合について説明したが、他の統計分析のアルゴリズムでも、入力されたカウント１５１をカウント処理部１０３１で前記他の統計分析のアルゴリズムに適した形に前処理し、、またプロファイル１５２をプロファイル処理部１０３２で前記他の統計分析のアルゴリズムに適した形に前処理し、演算部１０３３で前記他の統計分析のアルゴリズムで処理し、その結果を逸脱確認部１０３４でプロファイルから逸脱しているか判定する。統計分析のアルゴリズムによりこれらの構成要素の処理が変わるが、基本的な役割は以上に述べたとおりである。
【００３６】
当動作を、０６／０４／１８、１２：０５以降も、５分おきにログを取り込み、５分おきに集計されたカウント１５１に対して逸脱確認を行う。その場合、プロファイルは毎回の動作において同じである。すなわち、プロファイルの分析（平均μ、分散σ２の算出）は最初に算出したものを使用し、各集計値Ｘについて逸脱判定を行う。以上が、プロファイルを使用した異常検知動作である。
【００３７】
前述の図８は、分析を継続している間のプロファイル定義部１０４の内部状態を示している。プロファイル定義部１０４はカウント１５１を集計の都度受け取り、カウント蓄積部１０４２に蓄積する（蓄積カウント２０２）。例えば、４月の１ヶ月間において分析を実施している場合、カウント１５１を継続的に蓄積することで、４月の全てのアクセス数の時系列データをカウント蓄積部１０４２に保持することになる。４月に検知が発生しなければ、この時系列データを４月のプロファイル２０３としてプロファイル候補蓄積部１０４３に保存する。このプロファイル候補蓄積部１０４３に保存された時系列データは後述するように、予測プロファイルの生成に使用される。
【００３８】
次に、設備変更などにより監視対象のネットワーク上の計算機の数が変動するなど、正常な状態のアクセス数の時系列データが変動する場合の分析について説明する。
【００３９】
例えばＷｉｎｄｏｗｓ（登録商標）を搭載した計算機の数が増加する場合、Ｗｉｎｄｏｗｓ（登録商標）の通信が利用する宛先ポート４４５のアクセスも増加する。もし、宛先ポート４４５のプロファイルを、計算機の増加前と同じものを使用していた場合、計算機の増加後の分析において正常な宛先ポート４４５のアクセスの増加が異常として分析される可能性がある。なぜならば、計算機の増加後に宛先ポート４４５のアクセスが増加しており、現在使用しているプロファイルと比較した場合に増加している状態なので分析部１０３は、統計的に異常と判断するからである。
【００４０】
図１２を例に挙げると、「５／１（木曜日）、００：００」に設備変更があり、宛先ポート４４５のアクセス数が４月と比較して増加している。現在使用している使用プロファイル（３月の時系列データ）に対して４月のアクセス数は異常ではない（不正アクセスではない）が、４月よりも５月は増加しているため、分析部１０３によって現在使用しているプロファイルと比較した場合に異常と判断される。
【００４１】
ここで、設備変更により計算機が１０台から１００台に増えたとする。例として分析アルゴリズムとして３σ法を利用している場合、計算機の数が増える前は「平均１０アクセス／５分、標準偏差２」であったものが、計算機の数が増えたことにより、「平均１００アクセス／５分、標準偏差１０」になったとする。計算機の増加する前のプロファイルに基づけば、正常なアクセス数の範囲は（１０＋３×σ）／５分、σ＝２であり、これに対して計算機増加後の平均アクセス数１００／５分を比較すると、異常と判断される。
【００４２】
この様に、設備の変更など、不正アクセスではない原因によりアクセス数が増加した場合は、異常として検知するべきではない。従って、この場合は、プロファイル自体も計算機の増加を考慮したプロファイルに変更する必用がある。
【００４３】
例えば、５／１（木）において、設備変更として監視対象の計算機数が１０台から１００台に増えるとする。この場合、月間の宛先ポート４４５の平均アクセス数は計算機が増加した分比例して増加するとして、このシステム外において予め平均アクセス数の予測が分かっているとする。この様に設備変更後の平均アクセス数の予測がたっている場合は、平均アクセス数の予測値を利用し予測プロファイルを生成する。
【００４４】
（Ｄ：予測プロファイルの生成動作）
図１３は予測プロファイルの生成過程を示すシーケンスである。図１３を参照して予測プロファイルの生成を説明する。差異定義部１０５１は、、５／１（木曜日）、０時に５月の宛先ポート４４５宛の平均アクセス数の予測値を環境変化情報１６１（改変情報の一例）として予め受け取る（Ｓ３０１）。例えば、キーボードなどの入力装置から環境変化情報１６１を入力する。この場合、予測値である平均アクセス数が１００であるとする。
【００４５】
（予測プロファイル生成部１０５の動作）
予測プロファイル生成部１０５の差異定義部１０５１は、プロファイル定義部１０４のプロファイル候補蓄積部１０４３が保存している４月のプロファイル２０３（正常時系列データの一例）を受け取り（Ｓ３０２）、平均値を求める（Ｓ３０３）。図３に示したように、４月のプロファイル２０３は、プロファイル１５２として渡される。ここで、４月の平均値が１０（１０／５分）であったとする。次にこの平均値と５月の予測アクセス数の差Δ（１００−１０＝９０）を求める（Ｓ３０４）。これを差異１０５５１とする。差異定義部１０５１は、差異１０５５１を差異反映部１０５２に渡す（Ｓ３０５）。
【００４６】
（差異反映部１０５２の動作）
図１４に示すように、予測プロファイル生成部１０５の差異反映部１０５２は、４月のプロファイル２０３の全ての集計時刻のカウントに差異１０５５１であるΔ（９０）を足して、変動後の予測プロファイルを生成する（Ｓ３０６）。図１４では、４月のプロファイル２０３のフォーマットにおいて、各集計値にΔを足したデータを予測プロファイルとして生成する。
【００４７】
ここで、複数のプロファイルを生成するため、差異反映部１０５２は、Δを０．５倍〜２．０倍まで０．１刻みで計算した０．５＊Δ〜２．０＊Δを用意し、４月のプロファイル２０３にこれらを足したものを複数のプロファイルとして生成する（所定の生成規則の一例）。例えば、図１５において、予測プロファイル１は、４月のプロファイル２０３に０．５＊Δを足したものである。
【００４８】
図１６は、０．５＊Δ〜２．０＊Δを生成する処理を示すフローチャートである。このフローチャートでは、ｊ＝１の場合が、０．５＊Δの生成（Δ１）、ｊ＝１６の場合が、２．０＊Δの生成（Δ１６）に相当する。
【００４９】
図１７は、予測プロファイル１〜１６を生成する処理を示すフローチャートである。Ｃｉは４月のプロファイル２０３の集計値であり、５分集計で３０日なので、データの数は、８６４０個である。このフローチャートでは、ｊ＝１の場合に出力されるＸ（ｉ，１）（ｉは１〜８６４０）が予測プロファイル１の生成であり、ｊ＝１６の場合に出力されるＸ（ｉ，１６）（ｉは１〜８６４０）が予測プロファイル１６に相当する。４月のプロファイル２０３の、「集計時刻、集計間隔、該当する集計値に対してΔｊを足した値」、をＰｒｏｆ＿ｊに保存する。図１８は、Ｐｒｏｆ＿１の例を示す図である。
【００５０】
（Ｅ：最適な予測プロファイル選択の動作）
図１９は最適な予測プロファイルの選択動作を示すシーケンスである。図１９を参照して、５／１（木）００：０５以降における不正アクセス検知装置の動作を説明する。５／１、００：０５において、データ取得部１０１は、ネットワーク機器のログ１５０（５分間ぶん）を受け取り（Ｓ４０１）、集計部０１０２に出力する（Ｓ４０２）。集計部１０２は宛先ポート４４５の５分間のアクセス数を集計し（Ｓ４０３）、カウント１５１として出力する（Ｓ４０４）。分析部１０３のプロファイル処理部１０３２は、差異反映部１０５２から複数の予測プロファイルを受け取る（Ｓ４０５）。
【００５１】
分析部１０３は、カウント１５１（図２０におけるｉ＝１相当）に対して、予測プロファイル生成部１０５から受け取った複数の予測プロファイル１５４（図２０におけるｊ＝１〜１６）を用いて分析する。当例では、予測プロファイルは、予測プロファイル１〜１６の１６個である。
【００５２】
まず、分析部１０３で使用している統計分析のアルゴリズムを用いて、予測プロファイル１の予測プロファイルを用いて分析する。次に、予測プロファイル２を用いて分析する（Ｓ４０６）。内容は図１１の検知動作の場合と同様である。すなわち、図１９のＳ４０６−１において、演算部１０３３は、予測プロファイル１〜１６を統計処理し、それぞれについて平均μ、分散σ２を算出する。Ｓ４０６−２において、逸脱確認部１０３４は、予測プロファイル１〜１６を対象として、カウント１５１の値が異常かどうかを「μ＋３σ＜ｘ」の式により判定する。この様にして、予測プロファイル１６を用いた分析まで繰り返し行う。
【００５３】
各々の分析の結果（図２０におけるＲ（ｊ，ｉ））は、プロファイル選択部１０６に予測プロファイルによる分析結果１５５として送られ（Ｓ４０７）、プロファイル選択部１０６に蓄積される。以上が、５／１（木）０時００分のカウント１５１に対する分析であるが、これを、５／１（木）２３時５９分５９秒までの１日のアクセス数のカウントについて行う。蓄積された分析結果１５５をＲ（ｊ，ｉ）（ｊ＝１〜１６、ｉ＝１〜２８８）とする。ｊは予測プロファイル１〜１６を意味し、ｉは５／１（木）００：０５の集計値〜５／２（木）００：００の集計値（５／１（木）２３時５９分５９秒までの集計）２８８個（１日ぶん）を意味する。
【００５４】
（プロファイル選択部１０６の選択動作）
５／２（木）００：００において、プロファイル選択部１０６は自身に蓄積された、Ｒ（ｊ，ｉ）を用いて、適切なプロファイルを選択する（Ｓ４０８）。プロファイル選択部１０６は、１日の分析の間に検知が発生した予測プロファイルは、プロファイルとして適切では無いと判断し削除する。図２０は、プロファイル選択部１０６がプロファイルを削除する処理を示す。図２０は、Ｓ３４、Ｓ３５、Ｓ３６，Ｓ３７と進みＳ３７からＳ３４に戻るループは、ある予測プロファイルを対象とした場合に、各５分ごとのカウント１５１が異常かどうかを判定する処理である。Ｒ（ｊ，ｉ）は分析結果１５５（異常＝１、あるいは正常＝０）であり、例えば、予測プロファイル１を使った場合の、５／１（木）０時００分の分析結果１５５はＲ（１，１）、５／２（木）０時００分の分析結果はＲ（１，２８８）である。Ｐｒｏｆ＿ｊが予測プロファイルであり、ｊが予測プロファイルの番号である。つまり、予測プロファイル１はＰｒｏｆ＿１である。
【００５５】
当処理の結果、例えば、図２０において、予測プロファイル１〜予測プロファイル９を用いた分析で異常検知が発生した場合、予測プロファイル１〜９が削除（Ｓ３９）される。削除する理由は、異常検知が発生した予測プロファイルは、プロファイルとして実測値よりも小さかったため適切では無いからである。
【００５６】
プロファイル選択部１０６は、残った予測プロファイルの中において、一番小さいｎ＊Δを採用したプロファイルを、以後予測プロファイルとして利用（決定）する（所定の決定基準の一例）。図１５においては、予測プロファイル１０を採用する。
【００５７】
残った予測プロファイルは、検知が発生しない程度の大きさであるが、大きすぎると実測値が隠れて検知しなくなってしまうので、残った予測プロファイルの中で一番小さい予測プロファイルを適切なものとして残す。
【００５８】
図３において、上記の様に、選択された予測プロファイル１５６（この例では予測プロファイル１０）がプロファイル選択部１０６からプロファイル定義部１０４に渡され、新しい使用プロファイルとして使用プロファイル蓄積部１０４１に上書き保存され、５／２（木）００：０５以降の分析（検知）には、この新しい使用プロファイルが使用される。５月の検知が異常検知の発生が無い場合には、カウント蓄積部１０４２に蓄積されたカウント１５１の５月分のデータが、プロファイル候補蓄積部１０４３にプロファイル候補として格納されるが、同時に、この５月のプロファイル候補は使用プロファイル蓄積部１０４１に使用プロファイルとして上書きされる。すなわち、６月の分析には、使用プロファイルとして、異常が検知されなかった５月のカウント１５１（一月ぶん）が使用される。
【００５９】
本実施の形態１では、変動後のアクセス数が増加することを前提に記述したが、減少する場合でも同じように差異を求めることで、減少後の複数の予測プロファイルを生成し、同じ方法で最適な予測プロファイルを選択することができる。つまり、この場合は、差異１０５５１がマイナスの値をとるだけであり、各部が同じ動作を行うだけで対応できる。
【００６０】
以上の様に、実施の形態１では、設備の変動により正常な状態のアクセス数が変動する場合において、予め変動後の平均アクセス数が分かっている場合は、これを利用することにより現在のプロファイルの平均値と比較し、差異を求め、この差異に複数の比率を掛け、現在のプロファイルに反映することで複数の予測プロファイルを生成する。複数の予測プロファイルを用いて設備の変動後の１日のデータを分析し、適切な予測プロファイルを選択することにより、以後の分析において、誤検知や検知漏れを低減できる効果がある。また、予測プロファイルの生成では、現在のプロファイルに差異Δを足す方式をとることにより、現在のプロファイルの周期変動などの傾向を反映した予測プロファイルを生成可能である。
【００６１】
実施の形態２．
次に図２１〜図２４を参照して実施の形態２を説明する。実施の形態１では、予め５月の予想平均アクセス数が分かっている場合に、これを利用して予測プロファイルを生成した。実施の形態２では、予測平均アクセス数が分からない場合の実施形態を説明する。
【００６２】
設備変更後の平均アクセス数が予測できない場合は、設備変更後の１日（ある曜日）のデータ（この例では５月１日の一日間のデータ）を観測して実施の形態１の環境変化情報１６１に相当するデータを算出し、設備変更前の同じ曜日のデータとの差分を用いて、予測プロファイルを生成する。
【００６３】
（Ａ：５月１日の一日間の学習動作）
５／１（木曜日）の設備変更後、５／１（木）の一日間のみの学習を行う。この動作は、実施の形態１に示した学習動作であるが、実施の形態２では、集計部１０２が時系列データ１５７をプロファイル定義部１０４に渡す場合、プロファイル定義部１０４は、時系列データ１５７をカウント蓄積部１０４２に保存する。つまりこの場合、図４におけるＳ１０５では、時系列データ１５７がカウント蓄積部１０４２に保存される。
【００６４】
（Ｂ：予測プロファイルの生成の動作）
図２１は、実施の形態２における予測プロファイルを生成する動作を示す図である。図２１を参照して予測プロファイルの生成動作を説明する。
【００６５】
プロファイル定義部１０４は、カウント蓄積部１０４２に蓄積された時系列データ１５７（５／１の一日分の２８８個のデータ）から、５／１（木）の１日のカウントの平均値であるμｔｈｒ３０４（改変情報の一例）を計算し、予測プロファイル生成部１０５の差異定義部１０５１に渡す（Ｓ５０１）。
【００６６】
（差異定義部１０５１）
次に、予測プロファイル生成部１０５における差異定義部１０５１は、プロファイル定義部１０４からプロファイル候補蓄積部１０４３が保存している４月のプロファイル２０３（正常時系列データの一例）を受け取り（Ｓ５０２）、４月における木曜日のカウントである木曜日のカウント３０１を取り出し、平均値μ’ｔｈｒ３０３を求める（４／３（木），１０（木），１７（木），２４（木）のアクセス数の平均値）（Ｓ５０３）。
さらに、
Δ＝μｔｈｒ３０４−μ’ｔｈｒ３０３
を計算する（Ｓ５０４）。この処理を図２２に示す。
差異定義部１０５１は、このΔを差異１０５５１として差異反映部１０５２に渡す（Ｓ５０５）。
【００６７】
（差異反映部１０５２）
予測プロファイル生成部１０５における差異反映部１０５２は、図２３に示すように、４月のプロファイル２０３の全ての時刻のカウントに差異定義部１０５１から受け取った差異１０５５１であるΔを足して、変動後の予測プロファイルを生成する（Ｓ５０６）。
【００６８】
差異反映部１０５２による予測プロファイルの生成（所定の生成規則）は実施の形態１と同様である。すなわち、複数の予測プロファイルを生成するため、Δを０．５倍〜２．０倍まで０．１刻みで計算した０．５＊Δ〜２．０＊Δを用意し、４月のプロファイル２０３にこれらを足したものを複数の予測プロファイルとして用意する。これらを予測プロファイル１〜予測プロファイル１６とする。このように、Δと４月のプロファイル２０３を使用した複数の予測プロファイルの生成方法は実施の形態１と同じである。
【００６９】
（Ｃ：最適な予測プロファイルの選択）
図２４は、実施の形態２における最適な予測プロファイルを選択する動作を示す図である。図２４を参照して最適な予測プロファイルの選択動作を説明する。実施に形態１と異なり、実施の形態１の場合、検知対象とする５／１の一日分のデータ（ｉ＝１〜２８８）は既に取得されている。
【００７０】
分析部１０３は、５／１の一日分のカウント１５１をカウント蓄積部１０４２から取得（Ｓ６０１）し、予測プロファイル１〜１６を差異反映部１０５２から取得する（Ｓ６０２）。分析部１０３は、プロファイル定義部１０４のカウント蓄積部１０４２に保存されている蓄積カウント２０２における５／１（木）の１日のカウントについて、５分おきの集計値に対して、各予測プロファイル１〜１６を使用して分析（異常検知）を行う（Ｓ６０３）。
【００７１】
すなわち、分析部１０３で使用している統計分析のアルゴリズムを用いて、５／１（木）の５分おきのカウント全てに対して、予測プロファイル１を用いて分析する。次に、予測プロファイル２を用いて同様に分析する。この様にして、予測プロファイル１６を用いた分析まで繰り返し行う。
【００７２】
各々の分析の結果Ｒ（ｊ、ｉ）は、プロファイル選択部１０６に予測プロファイル１〜１６を用いた分析結果１５５として送られ、プロファイル選択部１０６に蓄積される。
【００７３】
５／２（木）の０時０分において、プロファイル選択部１０６は、自身に蓄積された、５／１（木）１日分の分析結果を用いて、適切なプロファイルを選択する（Ｓ６０４）。選択の方法は、実施の形態１におけるプロファイル選択部１０６が行う選択と同じである。選択された予測プロファイルは、使用プロファイル蓄積部１０４１に上書きされる（Ｓ６０５）。
【００７４】
実施の形態２では、実施の形態１と同様に、変動後のアクセス数が増加することを前提に記述したが、減少する場合でも同じように差異１０５５１を求めることで、減少後の複数の予測プロファイルを生成し、同じ方法で最適な予測プロファイルを選択することができる。つまり、この場合は、差異１０５５１がマイナスの値をとるだけであり、各部が同じ動作を行うだけで対応できる。
【００７５】
以上の様に、実施の形態２では、設備の変動により正常な状態のアクセス数の時系列データが変動する場合において、変動後の予測の平均アクセス数が分かっていない場合は、変動後の１日のデータを学習し、学習した曜日の現在のプロファイルのカウントの平均を求め、これらの差異を求め、この差異に複数の比率を掛け、現在のプロファイルに反映することで複数の予測プロファイルを生成する。複数の予測プロファイルを用いて設備の変動後の１日のデータを分析し、適切な予測プロファイルを選択することにより、以後の分析において、誤検知や検知漏れを低減できる効果がある。また、予測プロファイルの生成では、現在のプロファイルに差異Δを足す方式をとることにより、現在のプロファイルの周期変動などの傾向を反映した予測プロファイルを生成可能である。
【００７６】
実施の形態３．
（装置外からパラメータ入力）
実施の形態３は、差分Δに乗じる０．５倍等の数値を外部からパラメータとして入力する実施形態である。実施の形態１、２では、複数のプロファイルを準備する際に、例としてΔを０．５倍〜２．０倍まで０．１刻みで指定しているが、他の倍数、刻みでもよく、装置外からパラメータで与える方式で実現する。図２５において、パラメータ１０５５１は、倍率最大値１０５５２、倍率最小値１０５５３、生成個数１０５５４、刻み幅１０５５５で与える。倍率最大値１０５５２は実施の形態１では２．０に相当し、倍率最小値１０５５３は０．５に相当する。刻み幅１０５５５は、０．１に相当する。刻み幅を与えない場合は、代わりに生成個数１０５５４を与え、差異定義部１０５１は以下を計算し、結果を刻み幅の代わりとする。
すなわち、
刻み幅＝（倍率最大値−倍率最大値）／生成個数とする。
【００７７】
実施の形態４．
（分析日数をｍ日）
実施の形態１、実施の形態２では、生成した複数の予測プロファイルの選択において、複数の予測プロファイルを用いて１日ぶんの分析を行い、異常を検知した予測プロファイルを削除し、異常検知しなかった予測プロファイルの中で１番小さいものを選択した。本実施の形態４では、選択するための分析期間をｍ日とし、その期間において、検知した予測プロファイルを削除し、検知しなかった予測プロファイルの中で１番小さいものを選択する。
【００７８】
実施の形態５．
（ビジネスアワーにのみ加算）
実施の形態１、２では、現在のプロファイル全体に、ｎ＊Δを足して予測プロファイルを生成した。しかし、土日、夜間はプロファイル変動前と変動後で変化が無く、平日のビジネスアワーのみ変化があることが分かっている場合は、プロファイルにおいて平日のビジネスアワーの部分にのみ、ｎ＊Δを足してもよい。例えば、図２６の様に、平日の昼アクセス数が多く、夜はアクセス数は少なく、土日はアクセス数が少ない場合、設備変更による変動後も同様の傾向が想定される場合は、平日のビジネスアワー（例：９時〜１７時）にのみｎ＊Δを足し、それ以外は足さないで予測プロファイルを生成する。
【００７９】
以上の様に、当実施の形態５では、ビジネスアワーの変動を考慮した適切な予測プロファイルを生成することが可能である。
【００８０】
実施の形態６．
（ｄ＞ｋの場合に予測プロファイルを削除）
実施の形態１、２では、予測プロファイルの選択において、図２０のフローで、ｄ＞０の場合にＰｒｏｆ＿ｊを削除（Ｓ３９）したが、ｄ＞０の分岐をｄ＞ｋとする。ｋはプロファイル選択部１０６に与えるパラメータであり、例えば、ｋ＝１０であれば、そのプロファイルを使用し１０回以上検知が発生した場合に削除することになる。このように、異常を検知した回数が閾値を超えた場合に削除するようにする。
【００８１】
実施の形態７．
（平均の比によって予測プロファイルを生成）
実施の形態１では、差異定義部１０５１は、現在のプロファイルの平均値と、平均値の予測値の差を差異１０５５１として計算した。また、実施の形態２では、差異定義部１０５１は、現在のプロファイルの木曜日の平均値と、５／１（木）の平均値の差を差異１０５５１として計算した。本実施の形態７では、これらの平均値の差を差異１０５５１として計算するのではなく、比を差異１０５５１として求めても良い。
【００８２】
つまり、実施の形態１では、
Δ＝「平均値の予測値」／「現在のプロファイルの木曜日の平均値」
であり、実施の形態２では、
Δ＝「５／１（木）の平均値」／「現在のプロファイルの木曜日の平均値」
である。
【００８３】
この場合、図１７の「Ｘｉｊ＝Ｃｉ＋Δｊ」を「Ｘｉｊ＝Ｃｉ＊Δｊ」に変更する。
【００８４】
実施の形態８．
（予測プロファイルの補正）
実施の形態１、実施の形態２では、生成した複数の予測プロファイルの選択において、複数の予測プロファイルを用いて１日分析を行い、異常検知された予測プロファイルを削除した。本実施の形態８では、全ての予測プロファイルにおいて異常検知が発生しなかった場合に予測プロファイルの補正を行うものである。実施の形態１、実施の形態２ではΔを０．５倍〜２．０倍まで０．１刻みで計算した０．５＊Δ〜２．０＊Δを用意して複数の予測プロファイルを生成したが、異常検知が発生しないということはこれらで生成した予測プロファイルでは実測値に対して大きいということである。よって、Δに掛ける倍率を最低の０．５の１／１０を刻みとして、０．０５＊Δ〜０．４５＊Δを差異として新しい予測プロファイルを生成し、これらの予測プロファイルで検知するか試みる。
【００８５】
上記でも検知しない場合は、０．０５の１／１０を刻みとして、同様に、０．００５＊Δ〜０．０４５＊Δを差異として新しい予測プロファイルを生成し（所定の補正規則の一例）、これらの予測プロファイルで検知するか試み、これを繰り返す。
【００８６】
つまり、本実施の形態８では、予測プロファイルの生成において使用した差異が大きかった場合に、さらに小さい差異を使用して予測プロファイルを再生成し、検知するまで予測プロファイルの再生成を繰り返すことで（所定の補正規則の一例）、最適な予測プロファイルを選択するものである。本実施の形態８では、実施の形態１、２を例として、予測プロファイルの再生成用の差異を０．０５の１／１０を基準としたが、他の割合、生成の個数でも良い。
【００８７】
以上の様に、当実施の形態８では、最初に生成した複数の予測プロファイルが適切でなかった場合に、さらに複数の予測プロファイルを作り選択することが可能である。
【００８８】
実施の形態９．
（選択する際に使用するアルゴリズム）
実施の形態１、実施の形態２では、予測プロファイルを選択する際の分析アルゴリズムとして、検知に用いる統計分析のアルゴリズムをそのまま使用した。本実施の形態９では、予測プロファイルを選択するために別の統計分析のアルゴリズムを適用しても良い。例えば、検知に３σ（平均＋３σを超えたら検知）を利用している場合において、予測プロファイルの選択においては、これを１σ（平均＋σを超えたら検知）とし、分析を行い選択の判断を行っても良い。他の例として、例えば、特開２００８−１４６１５７号公報に示されるスライディングウィンドウを使用したＰＣＡ（Ｐｒｉｎｃｉｐａｌ Ｃｏｍｐｏｎｅｎｔ Ａｎａｌｙｓｉｓ：主成分分析）を適用して分析を行い、選択の判断を行っても良い。
【００８９】
実施の形態１０．
（１時間おきの平均アクセス数の反映）
実施の形態２では、設備変更後に１日観測したアクセス数の１日の平均値（５／１（木）の１日の平均）を求め、４月のプロファイルにおける同じ曜日の平均値を求めてその差を差異として、４月のプロファイル全体に反映した。本実施の形態１０では、設備変更後に１日観測したアクセス数の１時間おきの（５分の集計値の）平均値を求め、４月のプロファイルにおける同じ曜日の１日の１時間おきの（５分の集計値の）平均値を求め、各１時間おきの差異を、４月のプロファイルの同時間帯に反映するものである。
【００９０】
具体的には以下のように処理する。５／１（木）に観測したアクセス数の１時間おきの（５分の集計値の）平均値を以下の様に表す。
μｔｈｒ＿０＿１（５／１（木）０時〜１時の５分の平均アクセス数）、
μｔｈｒ＿１＿２（５／１（木）１時〜２時の５分の平均アクセス数）、
・・・
μｔｈｒ＿２３＿２４（５／１（木）２３時〜２４時の５分の平均アクセス数）、
図２２の、木曜日のカウント３０１から４月の木曜日の１時間おきの平均値を以下の様に表す。
μ’ｔｈｒ＿０＿１（４月の木曜日の０時〜１時の５分の平均アクセス数）、
μ’ｔｈｒ＿１＿２（４月の木曜日の１時〜２時の５分の平均アクセス数）、
・・・、
μ’ｔｈｒ＿２３＿２４（４月の木曜日の２３時〜２４時の５分の平均アクセス数）、
【００９１】
次に以下を計算する。
Δ＿０＿１＝μｔｈｒ＿０＿１−μ’ｔｈｒ＿０＿１、
Δ＿１＿２＝μｔｈｒ＿１＿２−μ’ｔｈｒ＿１＿２、
・・・
Δ＿２３＿２４＝μｔｈｒ＿２３＿２４−μ’ｔｈｒ＿２３＿２４、
【００９２】
この各Δを４月のプロファイル２０３に適用する。ここではｎ＝０．５とする。
４月１日０時〜１時における各５分の集計値＋ｎ＊Δ＿０＿１、
４月１日１時〜２時における各５分の集計値＋ｎ＊Δ＿１＿２、
・・・
４月１日２３時〜２４時における各５分の集計値＋ｎ＊Δ＿２３＿２４、
４月２日０時〜１時における各５分の集計値＋ｎ＊Δ＿０＿１、
４月２日１時〜２時における各５分の集計値＋ｎ＊Δ＿１＿２、
・・・
４月２日２３時〜２４時における各５分の集計値＋ｎ＊Δ＿２３＿２４、
以降、４月３０日のデータまで同じように適用する。
【００９３】
上記の計算を行えば、５／１（木）と４月の木曜日のアクセス数の１時間ごとの差異を、４月のプロファイル全体の同時間帯に反映した予測プロファイルを生成可能である。
【００９４】
ｎを０．５〜２．０まで０．１刻みで変化させて上記計算を行えば、実施の形態２と同じように１６個の予測プロファイルを生成できる。
【００９５】
上記の例では、１時間ごとのΔを生成したが、０時〜６時、６時〜１２時、１２時〜１８時、１８時〜２４時のように時間帯を分けて、時間大別の平均値を求め同様の処理を適用しても良い。或いは、１時間よりも細かい時間帯、例えば、３０分ごとに同様の処理を行っても良い。
【００９６】
以上の様に、当実施の形態１０では、アクセス数の変動後の時間ごとの細かい差異を反映できる。
【００９７】
実施の形態１１．
（１週間の観測）
実施の形態２では、設備変更後に１日観測したアクセス数の１日の平均値を求め、４月のプロファイルにおける同じ曜日の平均値を求めその差を差異として、４月のプロファイル全体に反映した。本実施の形態では、設備変更後に７日観測したアクセス数の曜日別の平均値を求め、４月のプロファイルにおける同じ曜日の平均値を求め、同じ曜日の平均値の差を求め、曜日別の差異を４月のプロファイルの曜日ごとに反映するものである。
【００９８】
具体的には以下のように処理する。
５／１（木）〜５／７（水）に観測したアクセス数の１日の平均値を以下の様に表す。
μｔｈｒ（５／１（木）の１日の平均アクセス数）、
μｆｒｉ（５／２（金）の１日の平均アクセス数）、
・・・
μｗｅｄ（５／７（水）の１日の平均アクセス数）、
図２２の、４月のプロファイル２０３から各曜日の１日の平均値を以下の様に表す。
μ’ｔｈｒ（４月の木曜日の１日の平均アクセス数）、
μ’ｆｒｉ（４月の金曜日の１日の平均アクセス数）、
・・・
μ’ｗｅｄ（４月の水曜日の１日の平均アクセス数）、
【００９９】
次に以下を計算する。
Δ＿ｔｈｒ＝μｔｈｒ−μ’ｔｈｒ、
Δ＿ｆｒｉ＝μｆｒｉ−μ’ｆｒｉ、
・・・
Δ＿ｗｅｄ＝μｗｅｄ−μ’ｗｅｄ、
【０１００】
この各Δを４月のプロファイル２０３ の各曜日に適用する。ここでは ｎ＝０．５とする。
４月の各木曜日の各５分の集計値＋ｎ＊Δ＿ｔｈｒ、
４月の各金曜日の各５分の集計値＋ｎ＊Δ＿ｆｒｉ、
・・・
４月の各水曜日の各５分の集計値＋ｎ＊Δ＿ｗｅｄ、
【０１０１】
上記の計算を行えば、５／１（木）〜５／７（水）の１週間の各曜日と４月の各曜日のアクセス数の差異を、４月のプロファイル全体の同曜日に反映した予測プロファイルを生成可能である。実施の形態１では、１日のアクセス数の平均の差異を反映したが、本実施の形態１２に従えば、観測期間は７日になるが、設備変更後の各曜日の差異を４月のプロファイルに反映することができる。
【０１０２】
実施の形態１２．
実施の形態１、２では、プロファイルとして３月や４月という単位ごとにプロファイルを使用して分析した。他の分析の形態として、ビジネスアワーとそれ以外にプロファイルを分けて持つ場合や、１時間おきや、曜日別にプロファイルを分けて分析を行う場合がある。
【０１０３】
例えば、ビジネスアワーとそれ以外にプロファイルを分けて持つ場合は、ビジネスアワーにおけるアクセス数の分析では、ビジネスアワー用のプロファイルを用いて逸脱を確認する。
【０１０４】
ビジネスアワーとそれ以外にプロファイルを分けて持つ場合で、設備変更によるアクセス数の変動後の平均の予測値μ’がある場合は次のようにする。ビジネスアワーとそれ以外のアクセス数のプロファイルを合わせた平均値μを求め、これらの平均値の差をΔ＝μ’−μとし、ビジネスアワー用のプロファイル、ビジネスアワー以外のプロファイルにΔを反映することで、各々の予測プロファイルを生成する。設備変更によるアクセス数の変動後の平均の予測値が無い場合は次のようにする。設備変更後の１日において、ビジネスアワーとそれ以外のアクセス数を観測し、ビジネスアワーのアクセス数の平均値μ’ｂと、ビジネスアワー以外の平均値μ’ｎｂを各々求め、現在のビジネスアワーのプロファイルの平均値μｂ、ビジネスアワー以外の平均値μｎｂに対して、
Δｂ＝μ’ｂ−μｂ、Δｎｂ＝μ’ｎｂ−μｎｂ
を求める。Δｂを現在のビジネスアワー用のプロファイルに、Δｎｂをビジネスアワー以外のプロファイルに反映することで、ビジネスアワーとそれ以外の予測プロファイルを生成できる。
【０１０５】
１時間おきにプロファイルを持っている場合は、設備変更によるアクセス数の変動後の平均の予測値μ’がある場合は、１時間おきのプロファイルを全て足し平均値μを求め、これらの平均値の差をΔ＝μ’−μとし、１時間おきのプロファイルにΔを反映することで、各々の予測プロファイルを生成する。設備変更によるアクセス数の変動後の平均の予測値が無い場合は次のようにする。設備変更後の１日において、１時間おきのアクセス数を観測し、１時間おきの平均値（μ’ｉ，ｉ＝０〜２３）を求める。次に、現在の１時間おきのプロファイルの平均値（μｉ，ｉ＝０〜２３）を求める。Δｉ＝μ’ｉ−μｉ（ｉ＝０〜２３）を求め、Δｉを現在の１時間ごとのプロファイルに反映することで、各時間の予測プロファイルを生成できる。ここで、ｉ＝０は０時、ｉ＝２３は２３時を示す。
【０１０６】
曜日別にプロファイルを持っている場合は、設備変更によるアクセス数の変動後の平均の予測値μ’がある場合は、曜日別のプロファイルを全て足し平均値μを求め、これらの平均値の差をΔ＝μ’−μとし、曜日別のプロファイルにΔを反映することで、各々の予測プロファイルを生成する。設備変更によるアクセス数の変動後の平均の予測値が無い場合は次のようにする。設備変更後の１日において、アクセス数を観測し、１日の平均値μ’を求める。観測した曜日に該当する曜日のプロファイルの１日の平均値μを求める。これらの平均値の差異をΔ＝μ’−μとする。このΔを各曜日のプロファイルに反映することで、各曜日の予測プロファイルを生成できる。
【０１０７】
上記の様に生成した予測プロファイルは、実施の形態１や２の様にΔに倍率を掛けることで複数生成でき、生成された予測プロファイルの選択は実施の形態１や２と同様の処理を行うことで選択できる。
【０１０８】
本実施の形態１２では、プロファイルがビジネスアワーとそれ以外、時間別、曜日別などに分割されていても、設備変更によるアクセス数の変動後の平均の予測値がある場合、無い場合について、実施の形態１や２の考え方を応用して適切な予測プロファイルを生成することが可能である。
【０１０９】
以上の実施の形態では不正アクセス検知装置１００を説明したが、不正アクセス検知装置１００は、不正アクセス検知装置１００の各構成要素が行う「不正アクセス検知方法」の実施形態として把握することもできる。また、不正アクセス検知装置１００は、「〜部」の機能をコンピュータに実行させる「不正アクセス検知プログラム」の実施形態として把握することもできる。さらに、「不正アクセス検知プログラム」を記録したコンピュータ実行可能な「記録媒体」の実施形態として把握することも可能である。
【０１１０】
以上の実施の形態では、ネットワークのアクセス数の時系列データのＡｎｏｍａｌｙ検知において、正常な状態のアクセス数の傾向が変動した際に、変動した正常なアクセス数の再学習の期間を短縮するために予測プロファイルを利用する分析おいて、複数の予測プロファイルを生成する予測プロファイル生成部１０５と、複数の予測プロファイルによる分析を行い、最適な予測プロファイルを選択する使用プロファイル決定部とを備えた不正アクセス検知装置１００を説明した。
【０１１１】
以上の実施の形態では、予測プロファイル生成部１０５は、予め入手した変動後の予測の平均アクセス数と現在のプロファイルの平均アクセス数との差異を求め、この変位に複数の倍率をかけ、現在のプロファイルに反映することで、現在のプロファイルの傾向を反映した予測プロファイルを複数生成する不正アクセス検知装置１００を説明した。
【０１１２】
以上の実施の形態では、予測プロファイル生成部１０５は、変動した正常なアクセス数を１日観測し、観測した曜日と現在のプロファイルの曜日のデータを元に差異を求め、この差異に複数の倍率をかけ、現在のプロファイルに反映することで、現在のプロファイルの傾向を反映した予測プロファイルを複数生成する不正アクセス検知装置１００を説明した。
【図面の簡単な説明】
【０１１３】
【図１】実施の形態１における不正アクセス検知装置１００の外観の一例。
【図２】実施の形態１における不正アクセス検知装置１００のハードウェア構成。
【図３】実施の形態１における不正アクセス検知装置１００のブロック図。
【図４】実施の形態１における学習のシーケンス。
【図５】実施の形態１におけるログ１５０の例。
【図６】実施の形態１における集計部１０２の生成した時系列データの概念図。
【図７】実施の形態１における時系列データ１５７を示す図。
【図８】実施の形態１におけるプロファイル定義部１０４の内部構成を示す図。
【図９】実施の形態１における検知動作のシーケンス。
【図１０】実施の形態１におけるカウント１５１の例。
【図１１】実施の形態１における検知動作の詳細のシーケンス。
【図１２】実施の形態１における設備変更の場合のアクセス数変動を示す図。
【図１３】実施の形態１における予測プロファイル生成のシーケンス。
【図１４】実施の形態１における予測プロファイルの生成を説明する図。
【図１５】実施の形態１における生成される複数の予測プロファイルを説明する図。
【図１６】実施の形態１における変化ぶん生成のフローチャート。
【図１７】実施の形態１における予測プロファイルの生成のフローチャート。
【図１８】実施の形態１における生成された予測プロファイル１を示す図。
【図１９】実施の形態１における最適な予測プロファイルの選択シーケンス。
【図２０】実施の形態１における予測プロファイルの選択のフローチャート。
【図２１】実施の形態２における予測プロファイル生成のシーケンス。
【図２２】実施の形態２における平均値μ、μ’の生成を説明する図。
【図２３】実施の形態２における予測プロファイルの生成を説明する図。
【図２４】実施の形態２における予測プロファイルの生成のシーケンス。
【図２５】実施の形態３におけるパラメータの入力を説明する図。
【図２６】実施の形態５におけるパラメータの入力を説明する図。
【符号の説明】
【０１１４】
１００ 不正アクセス検知装置、１０１ データ取得部、１０２ 集計部、１０３ 分析部、１０３１ カウント処理部、１０３２ プロファイル処理部、１０３３ 演算部、１０３４ 逸脱確認部、１０４ プロファイル定義部、１０４１ 使用プロファイル蓄積部、１０４２ カウント蓄積部、１０４３ プロファイル候補蓄積部、１０５ 予測プロファイル生成部、１０５１ 差異定義部、１０５２ 差異反映部、１０６ プロファイル選択部。
【特許請求の範囲】
【請求項１】
アクセス数の時系列データをプロファイルとして用いてアクセス数の異常検知を行うＡｎｏｍａｌｙ検知を実行する不正アクセス検知装置において、
正常と認められる過去のアクセス数からなる正常時系列データと、前記正常時系列データの改変に使用する改変情報とを入力し、所定の生成規則に従うことにより、前記改変情報を使用して前記正常時系列データから将来のアクセス数の異常検知に使用する使用プロファイルの候補となる複数の予測プロファイルを生成する予測プロファイル生成部と、
前記予測プロファイル生成部によって生成された前記複数の予測プロファイルのなかから、所定の決定基準に合致する予測プロファイルを前記使用プロファイルとして決定する使用プロファイル決定部と
を備えたことを特徴とする不正アクセス検知装置。
【請求項２】
前記予測プロファイル生成部は、
アクセス数を検知する検知対象の設備を変更した場合の変更後の平均アクセス数の予測値を前記改変情報として入力すると共に前記正常時系列データの平均アクセス数を算出し、算出した前記平均アクセス数と入力した前記予測値とに基づいて、前記複数の予測プロファイルを生成することを特徴とする請求項１記載の不正アクセス検知装置。
【請求項３】
前記予測プロファイル生成部は、
アクセス数を検知する検知対象の設備を変更した変更後におけるアクセス数をある曜日の１日間観測した観測結果に基づき算出された前記１日間における平均アクセス数を前記改変情報として入力すると共に前記正常時系列データにおける前記曜日と同じ曜日についての平均アクセス数を算出し、算出した前記平均アクセス数と入力した前記平均アクセス数とに基づいて、前記複数の予測プロファイルを生成することを特徴とする請求項１記載の不正アクセス検知装置。
【請求項４】
前記使用プロファイル決定部は、前記所定の決定基準として、
前記予測プロファイルの期間に含まれる一定期間を対象として前記複数の予測プロファイルの前記予測プロファイルごとに前記予測プロファイルを用いたアクセス数の異常検知処理により異常が検知されるかどうかを判定して異常の検知結果に基づいて前記使用プロファイルを決定することを特徴とする請求項１〜３のいずれかに記載の不正アクセス検知装置。
【請求項５】
前記予測プロファイル生成部は、
前記使用プロファイル決定部による判定の結果、どの前記予測プロファイルについても異常が検出されなかった場合には、所定の補正規則に基づいて、前記複数の予測プロファイルの各予測プロファイルを補正し、
前記使用プロファイル決定部は、
補正後の前記予測プロファイルごとに前記補正後の予測プロファイルを用いたアクセス数の異常検知処理により異常が検知されるかどうかを前記所定の決定基準によって再度判定し、異常の検知結果に基づいて前記使用プロファイルを決定することを特徴とする請求項４記載の不正アクセス検知装置。
【請求項６】
前記使用プロファイル決定部は、
現在においてプロファイルとして使用している時系列データを、決定された前記使用プロファイルに切り替え、前記使用プロファイルを使用してアクセス数の異常検知を行うことを特徴とする請求項１〜５の記載の不正アクセス検知装置。
【請求項７】
コンピュータを、
正常と認められる過去のアクセス数からなる正常時系列データと、前記正常時系列データの改変に使用する改変情報とを入力し、所定の生成規則に従うことにより、前記改変情報を使用して前記正常時系列データから将来のアクセス数の異常検知に使用する使用プロファイルの候補となる複数の予測プロファイルを生成する予測プロファイル生成部、
前記予測プロファイル生成部によって生成された前記複数の予測プロファイルのなかから、所定の決定基準に合致する予測プロファイルを前記使用プロファイルとして決定する使用プロファイル決定部
として機能させるための不正アクセス検知プログラム。
【請求項８】
請求項７記載の不正アクセス検知プログラムを記録したコンピュータ読み取り可能な記録媒体。
【請求項９】
アクセス数の時系列データをプロファイルとして用いてアクセス数の異常検知を行うＡｎｏｍａｌｙ検知を実行する不正アクセス検知装置が行う不正アクセス検知方法において、
（１）予測プロファイル生成部が、
正常と認められる過去のアクセス数からなる正常時系列データと、前記正常時系列データの改変に使用する改変情報とを入力し、所定の生成規則に従うことにより、前記改変情報を使用して前記正常時系列データから将来のアクセス数の異常検知に使用する使用プロファイルの候補となる複数の予測プロファイルを生成し、
（２）使用プロファイル決定部が、
前記予測プロファイル生成部によって生成された前記複数の予測プロファイルのなかから、所定の決定基準に合致する予測プロファイルを前記使用プロファイルとして決定することを特徴とする不正アクセス検知方法。
【請求項１】
アクセス数の時系列データをプロファイルとして用いてアクセス数の異常検知を行うＡｎｏｍａｌｙ検知を実行する不正アクセス検知装置において、
正常と認められる過去のアクセス数からなる正常時系列データと、前記正常時系列データの改変に使用する改変情報とを入力し、所定の生成規則に従うことにより、前記改変情報を使用して前記正常時系列データから将来のアクセス数の異常検知に使用する使用プロファイルの候補となる複数の予測プロファイルを生成する予測プロファイル生成部と、
前記予測プロファイル生成部によって生成された前記複数の予測プロファイルのなかから、所定の決定基準に合致する予測プロファイルを前記使用プロファイルとして決定する使用プロファイル決定部と
を備えたことを特徴とする不正アクセス検知装置。
【請求項２】
前記予測プロファイル生成部は、
アクセス数を検知する検知対象の設備を変更した場合の変更後の平均アクセス数の予測値を前記改変情報として入力すると共に前記正常時系列データの平均アクセス数を算出し、算出した前記平均アクセス数と入力した前記予測値とに基づいて、前記複数の予測プロファイルを生成することを特徴とする請求項１記載の不正アクセス検知装置。
【請求項３】
前記予測プロファイル生成部は、
アクセス数を検知する検知対象の設備を変更した変更後におけるアクセス数をある曜日の１日間観測した観測結果に基づき算出された前記１日間における平均アクセス数を前記改変情報として入力すると共に前記正常時系列データにおける前記曜日と同じ曜日についての平均アクセス数を算出し、算出した前記平均アクセス数と入力した前記平均アクセス数とに基づいて、前記複数の予測プロファイルを生成することを特徴とする請求項１記載の不正アクセス検知装置。
【請求項４】
前記使用プロファイル決定部は、前記所定の決定基準として、
前記予測プロファイルの期間に含まれる一定期間を対象として前記複数の予測プロファイルの前記予測プロファイルごとに前記予測プロファイルを用いたアクセス数の異常検知処理により異常が検知されるかどうかを判定して異常の検知結果に基づいて前記使用プロファイルを決定することを特徴とする請求項１〜３のいずれかに記載の不正アクセス検知装置。
【請求項５】
前記予測プロファイル生成部は、
前記使用プロファイル決定部による判定の結果、どの前記予測プロファイルについても異常が検出されなかった場合には、所定の補正規則に基づいて、前記複数の予測プロファイルの各予測プロファイルを補正し、
前記使用プロファイル決定部は、
補正後の前記予測プロファイルごとに前記補正後の予測プロファイルを用いたアクセス数の異常検知処理により異常が検知されるかどうかを前記所定の決定基準によって再度判定し、異常の検知結果に基づいて前記使用プロファイルを決定することを特徴とする請求項４記載の不正アクセス検知装置。
【請求項６】
前記使用プロファイル決定部は、
現在においてプロファイルとして使用している時系列データを、決定された前記使用プロファイルに切り替え、前記使用プロファイルを使用してアクセス数の異常検知を行うことを特徴とする請求項１〜５の記載の不正アクセス検知装置。
【請求項７】
コンピュータを、
正常と認められる過去のアクセス数からなる正常時系列データと、前記正常時系列データの改変に使用する改変情報とを入力し、所定の生成規則に従うことにより、前記改変情報を使用して前記正常時系列データから将来のアクセス数の異常検知に使用する使用プロファイルの候補となる複数の予測プロファイルを生成する予測プロファイル生成部、
前記予測プロファイル生成部によって生成された前記複数の予測プロファイルのなかから、所定の決定基準に合致する予測プロファイルを前記使用プロファイルとして決定する使用プロファイル決定部
として機能させるための不正アクセス検知プログラム。
【請求項８】
請求項７記載の不正アクセス検知プログラムを記録したコンピュータ読み取り可能な記録媒体。
【請求項９】
アクセス数の時系列データをプロファイルとして用いてアクセス数の異常検知を行うＡｎｏｍａｌｙ検知を実行する不正アクセス検知装置が行う不正アクセス検知方法において、
（１）予測プロファイル生成部が、
正常と認められる過去のアクセス数からなる正常時系列データと、前記正常時系列データの改変に使用する改変情報とを入力し、所定の生成規則に従うことにより、前記改変情報を使用して前記正常時系列データから将来のアクセス数の異常検知に使用する使用プロファイルの候補となる複数の予測プロファイルを生成し、
（２）使用プロファイル決定部が、
前記予測プロファイル生成部によって生成された前記複数の予測プロファイルのなかから、所定の決定基準に合致する予測プロファイルを前記使用プロファイルとして決定することを特徴とする不正アクセス検知方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【公開番号】特開２０１０−１５２４３１（Ｐ２０１０−１５２４３１Ａ）
【公開日】平成２２年７月８日（２０１０．７．８）
【国際特許分類】
【出願番号】特願２００８−３２６８０５（Ｐ２００８−３２６８０５）
【出願日】平成２０年１２月２４日（２００８．１２．２４）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２２年７月８日（２０１０．７．８）
【国際特許分類】
【出願日】平成２０年１２月２４日（２００８．１２．２４）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]