特開 2023-170739 不正検知装置、不正検知方法および判定モデル生成方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023170739

(43)【公開日】2023-12-01

(54)【発明の名称】不正検知装置、不正検知方法および判定モデル生成方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20231124BHJP

   G06N 20/00 20190101ALI20231124BHJP

【ＦＩ】

G06F21/55 320

G06N20/00

【審査請求】未請求

【請求項の数】12

【出願形態】ＯＬ

(21)【出願番号】P 2022082718

(22)【出願日】2022-05-20

(71)【出願人】

【識別番号】503295518

【氏名又は名称】株式会社Ｇｅｏｌｏｃａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ

(74)【代理人】

【識別番号】100105784

【弁理士】

【氏名又は名称】橘 和之

(72)【発明者】

【氏名】岩津 良哉

(57)【要約】      （修正有）

【課題】機械学習に使用するデータ量を減らしつつ、不正アクセスの検知精度の低下を極力抑制する不正検知装置、不正検知方法および判定モデル生成方法を提供する。
【解決手段】不正検知装置１０は、学習対象の通信ログデータから所定単位毎に抽出されるＩＰアドレス及び属性情報により構成される所定単位毎の学習用データを用いた機械学習処理により生成された複数の判定モデル１２ａに対して判定用データを入力し、接続元端末からのアクセスが不審者によるものか否かを示す不正リスク値を複数の判定モデル１２ａからそれぞれ取得し、取得した複数の不正リスク値の平均値を出力する不正判定部１２を備え、１つの判定モデル１２ａを生成するのに使われる学習用データの量を削減できるようにするとともに、複数の判定モデル１２ａの全体により、母集団の全体が１つの判定モデルに反映された状態とほぼ等価な状態を構築し、検知精度の低下を抑制できるようにする。
【選択図】図１

【特許請求の範囲】

【請求項1】

判定対象の通信ログデータから指定単位で抽出される接続元端末のＩＰアドレス、および、当該ＩＰアドレスに関連付けられた属性情報を判定用データとして取得する判定用データ取得部と、
上記判定用データ取得部により取得された上記判定用データを学習済みの複数の判定モデルに入力し、上記接続元端末からのアクセスが不審者によるものか否かを示す不正リスク値を上記複数の判定モデルからそれぞれ取得し、取得した複数の不正リスク値の平均値を出力する不正判定部とを備え、
上記複数の判定モデルは、学習対象の通信ログデータから所定単位ごとに抽出される上記接続元端末のＩＰアドレスおよび当該ＩＰアドレスに関連付けられた上記属性情報により構成される所定単位ごとの学習用データを用いた機械学習処理により、上記所定単位ごとに生成されている
ことを特徴とする不正検知装置。

【請求項2】

上記複数の判定モデルは、上記学習対象の通信ログデータから所定長さの単位期間ごとに抽出される上記ＩＰアドレスおよび当該ＩＰアドレスに関連付けられた上記属性情報により構成される単位期間ごとの学習用データを用いた機械学習処理により、上記単位期間ごとに生成されており、
上記不正判定部は、上記判定用データ取得部により取得された上記判定用データを、上記単位期間ごとに生成されている判定モデルである複数の期間別判定モデルにそれぞれに入力し、上記複数の期間別判定モデルからそれぞれ取得される複数の不正リスク値の平均値を出力する
ことを特徴とする請求項１に記載の不正検知装置。

【請求項3】

上記複数の判定モデルは、上記学習対象の通信ログデータから接続先ごとに抽出される上記ＩＰアドレスおよび当該ＩＰアドレスに関連付けられた上記属性情報により構成される接続先ごとの学習用データを用いた機械学習処理により、上記接続先ごとに生成されており、
上記不正判定部は、上記判定用データ取得部により取得された上記判定用データを、上記接続先ごとに生成されている判定モデルである複数の接続先別判定モデルにそれぞれに入力し、上記複数の接続先別判定モデルからそれぞれ取得される不正リスク値の平均値を出力する
ことを特徴とする請求項１に記載の不正検知装置。

【請求項4】

上記複数の判定モデルは、上記学習対象の通信ログデータから所定長さの単位期間ごとかつ接続先ごとに抽出される上記ＩＰアドレスおよび当該ＩＰアドレスに関連付けられた上記属性情報により構成される単位期間ごとかつ接続先ごとの学習用データを用いた機械学習処理により、上記単位期間ごとかつ上記接続先ごとに生成されており、
上記不正判定部は、上記判定用データ取得部により取得された上記判定用データを、上記単位期間ごとかつ上記接続先ごとに生成されている判定モデルである複数の期間別・接続先別判定モデルにそれぞれに入力し、上記複数の期間別・接続先別判定モデルからそれぞれ取得される不正リスク値の平均値を出力する
ことを特徴とする請求項１に記載の不正検知装置。

【請求項5】

上記所定単位ごとの学習用データはそれぞれ、上記所定単位の範囲内に含まれる上記ＩＰアドレスの一部および当該一部のＩＰアドレスに関連付けられた上記属性情報により構成される
ことを特徴とする請求項１～４の何れか１項に記載の不正検知装置。

【請求項6】

上記複数の判定モデルの中から、上記不正判定部の処理に使用する複数の判定モデルを選択する判定モデル選択部を更に備え、
上記不正判定部は、上記判定用データ取得部により取得された上記判定用データを、上記判定モデル選択部により選択された複数の判定モデルに入力し、当該選択された複数の判定モデルからそれぞれ取得される複数の不正リスク値の平均値を出力する
ことを特徴とする請求項１に記載の不正検知装置。

【請求項7】

上記複数の判定モデルは、それぞれの生成に使用された上記学習用データに含まれる上記ＩＰアドレスに対して通信時刻として紐づけられている日付情報および日付に対応する曜日情報の少なくとも一方が関連付けられており、
上記判定モデル選択部は、ユーザの選択操作に基づいて、上記日付情報または上記曜日情報を選択キーとして、上記不正判定部の処理に使用する複数の判定モデルを選択する
ことを特徴とする請求項６に記載の不正検知装置。

【請求項8】

上記複数の判定モデルは、それぞれの生成に使用された上記学習用データの抽出元である上記通信ログデータにおいて接続先として示されているウェブサイトが有する特性の類似性または共通性に基づいて、特性ごとに異なる分類情報が付された複数のグループに分類されており、
上記判定モデル選択部は、ユーザの選択操作に基づいて、上記複数のグループに付されている分類情報を選択キーとして、上記不正判定部の処理に使用する複数の判定モデルを選択する
ことを特徴とする請求項６に記載の不正検知装置。

【請求項9】

上記複数の判定モデルは、それぞれの生成に使用された上記学習用データの抽出元である上記通信ログデータにおいて接続先として示されているウェブサイトが有する特性の類似性または共通性に基づいて、特性ごとに異なる分類情報が付された複数のグループに分類されており、
上記判定用データの抽出元である上記通信ログデータにおいて上記接続先として示されている上記ウェブサイトが有する特性に基づいて、上記複数のグループのうち何れかに対応する上記分類情報を出力する判定用データ分類部を更に備え、
上記判定モデル選択部は、上記複数の判定モデルの中から、上記判定用データ分類部より出力された分類情報と共通の分類情報に対応するグループに分類された判定モデルを、上記不正判定部の処理に使用する複数の判定モデルとして選択する
ことを特徴とする請求項６に記載の不正検知装置。

【請求項10】

上記判定用データ分類部は、上記ウェブサイトに含まれるコンテンツ情報を学習済みの分類モデルに入力し、上記分類情報を上記分類モデルから取得するように構成され、
上記分類モデルは、上記コンテンツ情報が入力された際に、上記コンテンツ情報が有する特徴量に基づいて分類されるグループの上記分類情報を出力するように、上記コンテンツ情報を含む学習用データを用いた機械学習処理により生成されている
ことを特徴とする請求項９に記載の不正検知装置。

【請求項11】

不正検知装置の判定用データ取得部が、判定対象の通信ログデータから指定単位で抽出される接続元端末のＩＰアドレス、および、当該ＩＰアドレスに関連付けられた属性情報を判定用データとして取得する第１のステップと、
上記不正検知装置の不正判定部が、上記判定用データ取得部により取得された上記判定用データを学習済みの複数の判定モデルに入力し、上記接続元端末からのアクセスが不審者によるものか否かを示す不正リスク値を上記複数の判定モデルからそれぞれ取得し、取得した複数の不正リスク値の平均値を出力する第２のステップとを有し、
上記複数の判定モデルは、学習対象の通信ログデータから所定単位ごとに抽出される上記接続元端末のＩＰアドレスおよび当該ＩＰアドレスに関連付けられた上記属性情報により構成される所定単位ごとの学習用データを用いた機械学習処理により、上記所定単位ごとに生成されている
ことを特徴とする不正検知方法。

【請求項12】

モデル生成装置の学習用データ取得部が、学習対象の通信ログデータから所定単位ごとに抽出される接続元端末のＩＰアドレス、および、当該ＩＰアドレスに関連付けられた属性情報を所定単位ごとの学習用データとして取得する第１のステップと、
上記モデル生成装置の機械学習部が、上記学習用データ取得部により取得された上記所定単位ごとの学習用データを用いて機械学習を行うことにより、上記ＩＰアドレスおよび上記属性情報を入力とし、上記接続元端末からのアクセスが不審者によるものか否かを示す不正リスク値を出力とする判定モデルを上記所定単位ごとに生成する第２のステップとを有する
ことを特徴とする判定モデル生成方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、不正検知装置、不正検知方法および判定モデル生成方法に関し、特に、ＩＰアドレスを利用して不審者からの不正なアクセスを検知するシステムに用いて好適なものである。

【背景技術】

【0002】

従来、ＩＰアドレスおよび他の情報を用いた機械学習により不正等を検知するシステムが知られている（例えば、特許文献１，２参照）。特許文献１に記載のシステムでは、セキュリティサーバの学習処理部において、接続元端末と接続先ホストとの間の通信ログに基づいて、接続先ホストのＩＰアドレス、接続先ホストのＩＰアドレスの保有国を示す情報など、および、接続先ホストの脅威の有無を学習データとして学習器を学習させる。接続先判定部は、新たに接続元端末が通信しようとしている接続先ホストのＩＰアドレス、接続先ホストのＩＰアドレスの保有国を示す情報などを学習済みの学習器に入力し、学習器の出力に基づいて、当該接続先ホストの脅威の有無を判定する。

【0003】

特許文献２に記載のシステムでは、セキュリティサーバの学習処理部において、接続元端末と接続先ホストとの間の通信ログに基づいて、接続元端末および接続先ホストのＩＰアドレス、接続先ホストのＩＰアドレスの保有国を示す情報を含む学習データを用いて、入力された学習データを復元して出力するように自己符号化器を学習させる。異常検出部は、対象接続元端末および対象接続先ホストのＩＰアドレス、接続先ホストのＩＰアドレスの保有国を示す情報を含む対象入力データを学習済みの自己符号化器に入力し、対象入力データと自己符号化器の出力である対象出力データとを比較することで、接続元端末からの不正通信を検出する。

【0004】

ところで、一般的に通信ログは秒単位のデータであり、それが数週間～数カ月分または数年分に及ぶため、データ量が膨大である。そのため、この膨大なデータを用いた機械学習によって学習済みモデルを作成するまでには相当に多くの時間を要する。この対策として、通信ログデータの一部のみを取り出して機械学習する方法が考えられる。しかしながら、この場合は、学習の精度が低下してしまい、低い学習精度で作成された学習済みモデルを使って不正アクセスを検知しようとすると、誤検知が増えてしまう恐れがあるという問題がある。

【0005】

なお、回転機械や設備等の被試験対象物が正常である時に、測定データ全体を複数のセグメントに分割し、分割した測定データの中から学習データをランダムに選択して機械学習を行うとともに、被試験対象物の診断時に、測定データ全体を複数のセグメントに分割し、分割した測定データの中からテストデータをランダムに選択して繰り返し異常率を算出して平均を取ることにより、誤判別率の低減を図るようにした状態監視装置が知られている（例えば、特許文献３参照）。

【0006】

しかしながら、特許文献３に記載の技術では、学習済みモデルは測定データの一部のみから作られたものであるので、学習済みモデルの精度が低下してしまうという問題は存在する。また、学習済みモデルが作られた後の異常判定時に、測定データを時分割して取り出したテストデータをもとにそれぞれ異常率を算出して平均化しているが、各時間帯の異常率を平均化して回転機械や設備等の異常を判定するものであり、例えば指定された時間帯において不審者からの不正アクセスがあったか否かの検知を精度よく行うことができるものではない。

【先行技術文献】

【特許文献】

【0007】

【特許文献1】特開２０２１－１７５０９５号公報

【特許文献2】特開２０２１－１８９７２１号公報

【特許文献3】特開２０１８－１２０４０６号公報

【発明の概要】

【発明が解決しようとする課題】

【0008】

本発明は、このような問題を解決するために成されたものであり、機械学習によって判定モデルを生成するために使用するデータ量を減らしつつ、不正アクセスの検知精度の低下を極力抑制できるようにすることを目的とする。

【課題を解決するための手段】

【0009】

上記した課題を解決するために、本発明では、判定対象の通信ログデータから指定単位で抽出される接続元端末のＩＰアドレス、および、当該ＩＰアドレスに関連付けられた属性情報を判定用データとして学習済みの複数の判定モデルに入力し、接続元端末からのアクセスが不審者によるものか否かを示す不正リスク値を複数の判定モデルからそれぞれ取得し、取得した複数の不正リスク値の平均値を出力する。複数の判定モデルは、学習対象の通信ログデータから所定単位ごとに抽出される接続元端末のＩＰアドレスおよび当該ＩＰアドレスに関連付けられた属性情報により構成される所定単位ごとの学習用データを用いた機械学習処理により、所定単位ごとに生成されている。

【発明の効果】

【0010】

上記のように構成した本発明によれば、１つの判定モデルを生成するのに使われる学習用データの量を削減し、機械学習によって判定モデルを作成するのに要する時間を短くすることができる。ここで、個々の判定モデルは通信ログデータの母集団の一部のみが反映されたものとなるが、複数の判定モデルの全体により、母集団の全体が１つの判定モデルに反映された状態とほぼ等価な状態を構築することができる。これにより、通信ログデータの一部のみから生成された１つの判定モデルのみに基づいて不正アクセスの検知を行う場合に生じる検知精度の低下を抑制することができる。以上により、本発明によれば、１つの判定モデルを生成する際の機械学習に使用するデータ量を減らしつつ、不正アクセスの検知精度の低下を極力抑制することができる。

【図面の簡単な説明】

【0011】

【図1】第１の実施形態による不正検知装置の機能構成例を示すブロック図である。

【図2】通信ログデータ記憶部に記憶される通信ログデータのデータ項目を示す図である。

【図3】属性情報記憶部に記憶される属性情報のデータ項目を示す図である。

【図4】主成分分析により得られる分布の一例を模式的に示す図である。

【図5】第１の実施形態によるモデル生成装置の機能構成例を示すブロック図である。

【図6】第１の実施形態によるモデル生成装置の動作例を示すフローチャートである。

【図7】第１の実施形態による不正検知装置の動作例を示すフローチャートである。

【図8】第２の実施形態による不正検知装置の機能構成例を示すブロック図である。

【図9】第２の実施形態によるモデル生成装置の機能構成例を示すブロック図である。

【図10】第２の実施形態の第１変形例による不正検知装置の機能構成例を示すブロック図である。

【図11】第２の実施形態の第１変形例によるモデル生成装置の機能構成例を示すブロック図である。

【図12】第２の実施形態の第２変形例による不正検知装置の機能構成例を示すブロック図である。

【発明を実施するための形態】

【0012】

（第１の実施形態）
以下、本発明の第１の実施形態を図面に基づいて説明する。図１は、第１の実施形態による不正検知装置の機能構成例を示すブロック図である。図１に示すように、第１の実施形態による不正検知装置１０は、機能構成として、判定用データ取得部１１および不正判定部１２を備えている。判定用データ取得部１１は、より具体的な機能構成として、ＩＰアドレス取得部１１ａ、属性情報取得部１１ｂおよび前処理部１１ｃを備えている。また、不正判定部１２は、より具体的な機能構成として、複数の判定モデル１２ａおよび平均値算出部１２ｂを備えている。

【0013】

上記機能ブロック１１，１２は、ハードウェア、ＤＳＰ（Digital Signal Processor）、ソフトウェアの何れによっても構成することが可能である。例えばソフトウェアによって構成する場合、上記機能ブロック１１，１２は、実際にはコンピュータのＣＰＵ、ＲＡＭ、ＲＯＭなどを備えて構成され、ＲＡＭやＲＯＭ、ハードディスクまたは半導体メモリ等の記録媒体に記憶されたプログラムが動作することによって実現される。

【0014】

また、本実施形態の不正検知装置１０には、通信ログデータ記憶部１０１および属性情報記憶部１０２が接続されている。不正検知装置１０と通信ログデータ記憶部１０１および属性情報記憶部１０２との間は、ＬＡＮ（Local Area Network）またはインターネット等の通信ネットワークを介して接続される構成であってもよいし、接続ケーブルを介して接続される構成であってもよい。あるいは、不正検知装置１０が通信ログデータ記憶部１０１および属性情報記憶部１０２を内蔵する構成であってもよい。また、図１では、通信ログデータ記憶部１０１と属性情報記憶部１０２とを別のデータベースとして構成する例を示しているが、通信ログデータと属性情報とを１つのデータベースに集約して記憶するようにしてもよい。

【0015】

通信ログデータ記憶部１０１は、接続元端末から通信ネットワークを介して接続先（例えば、サーバ装置、端末、ウェブサイトなど）に対して通信が行われるときに使用される接続元端末のＩＰアドレスを、その通信が行われた日時を示す時刻情報と共に履歴として記憶する。ここで、通信ログデータ記憶部１０１は、接続先を識別可能な状態で通信ログデータを通信ログデータ記憶部１０１に記憶する。例えば、通信ログデータを接続先別に分けて記憶する。図２は、通信ログデータ記憶部１０１に記憶される通信ログデータの１レコードのデータ項目を示す図である。図２に示すように、通信ログデータ記憶部１０１は、接続元端末のＩＰアドレスを通信の時刻情報に関連付けて記憶する。

【0016】

なお、通信ログデータ記憶部１０１に対する通信ログデータの記録は、図示しないログ収集サーバによって行われる。通信ネットワーク上では、各地にいる多くのユーザが、それぞれのユーザ端末から所望のタイミングで所望のウェブサイトにアクセスしてコンテンツを閲覧したり、他のユーザ端末またはサーバ装置などとの間でコミュニケーションやデータ取得などの各種通信を行ったりしている。ログ収集サーバは、これらの通信に使用される接続元端末のＩＰアドレスを、例えばあらかじめ指定した接続先へのアクセスを検知する毎に逐次取得し、取得したときの時刻情報と共に通信ログデータ記憶部１０１に逐次記録する。これにより、通信ログデータ記憶部１０１には、ＩＰアドレスと時刻情報とのセットが通信ログデータとして記憶される。

【0017】

属性情報記憶部１０２は、通信ログデータ記憶部１０１に記憶されているＩＰアドレスに対応する属性情報を記憶する。ＩＰアドレスに対応する属性情報とは、ＩＰアドレスに対する逆引きなどの解析によって特定される情報である。この解析は、ログ収集サーバがＩＰアドレスを取得する都度実施するようにしてもよいし、通信ログデータ記憶部１０１にＩＰアドレスが記憶された後の任意のタイミングで実施するようにしてもよい。また、この解析は、ログ収集サーバが行ってもよいし、これとは異なる解析サーバが行ってもよい。

【0018】

図３は、属性情報記憶部１０２に記憶される属性情報の１レコードのデータ項目を示す図である。図３に示すように、属性情報記憶部１０２は、接続元端末のＩＰアドレスおよび通信の時刻情報に関連付けて、地域情報（国、都道府県および市町村）および組織情報を属性情報として記憶する。属性情報記憶部１０２のあるレコードに記憶されるＩＰアドレスおよび時刻情報の値は、通信ログデータ記憶部１０１のあるレコードに記憶されるＩＰアドレスおよび時刻情報の値と一致したものである。

【0019】

接続元端末のＩＰアドレスは、所定ビット数から成る数値データであり、世界中に存在する端末のネットワーク上における住所を示している。このＩＰアドレスは、ドメインネーム、例えば「～．プロバイダ名．ｎｅ．ｊｐ」、「～．会社名．ｃｏ．ｊｐ」などのような、ある種の意味を含む文字列に１対１の対応で相互に変換可能である。すなわち、ＩＰアドレスは、オリジナル・ドメインを有する特定のサーバと１対１に対応している。

【0020】

さらに、オリジナル・ドメインを有する特定のサーバは、全世界のドメインを管理する機関であるＮＩＣ（Network Information Center）や、日本のドメインを管轄するＪＰＮＩＣなどで得られる情報から、いずれの国のどの地域のどこに住所を有するかが明らかにされている。ログ収集サーバまたは解析サーバは、このＮＩＣやＪＰＮＩＣなどで得られる情報をもとに複数のＩＰアドレスを地域別に分類した地域別アドレス分類データベース（図示せず）をあらかじめ備えている。この地域別アドレス分類データベースは、国、地方、県、市町村などの階層により区分して地域情報を格納することが可能である。

【0021】

これにより、ログ収集サーバまたは解析サーバは、例えば、接続元端末のＩＰアドレスからオリジナル・ドメインのサーバを特定した上で、ＩＰアドレスをキーとして地域別アドレス分類データベースを参照することにより、ＩＰアドレスが使われている接続元端末の地域を表す地域情報を取得することが可能である。

【0022】

なお、大多数の個人ユーザが利用するインターネット・サービス・プロバイダ（ＩＳＰ）は、多数のユーザが全国各地から利用するため、多数の地域に設けられたアクセスポイントごとに、多数のＩＰアドレスを管理している。ログ収集サーバまたは解析サーバは、ＩＳＰが所有するアクセスポイントごとのＩＰアドレスを地域別に分類した地域別ＩＳＰアドレス分類データベース（図示せず）をあらかじめ備えることが可能である。そのため、この地域別ＩＳＰアドレス分類データベースを参照することにより、ＩＳＰが所有する各アクセスポイントがいずれの国のどの地域のどこに存在するかを特定可能である。

【0023】

よって、ログ収集サーバまたは解析サーバは、例えば、接続元端末のＩＰアドレスに基づいて、通信がＩＳＰのいずれのアクセスポイントを経由したものであるかを判別した上で、通信経路の始端に近いアクセスポイントのＩＰアドレスをキーとして地域別ＩＳＰアドレス分類データベースを参照することにより、接続元端末のＩＰアドレスに対応する属性情報として地域情報を取得することが可能である。ＩＳＰをダイヤルアップＩＰ接続により利用している大多数の個人ユーザが使用するＩＰアドレスは、アクセスするごとに変動するが、そのようなＩＰアドレスからも接続元端末に対応する地域情報を取得することが可能である。

【0024】

また、ログ収集サーバまたは解析サーバは、以下のようにして地域情報を取得することも可能である。すなわち、ログ収集サーバまたは解析サーバは、接続元端末のＩＰアドレスに対応するドメインネームを取得し、ドメインネームを構成する文字列からプロバイダ名を判定するとともに、ドメインネームを構成する文字列からホストネームを抽出する。そして、プロバイダごとにホストネームを地域別に分類した地域別ホストネーム分類データベースを参照して、上記抽出したホストネームから地域情報を取得するようにする。

【0025】

また、ＩＰアドレスに対応するドメインネームは、ホストネーム、組織名、組織属性、国名の階層構造をなしている。例えば、ドメインネームが「ｗｗｗ．ｘｘｘ．ｃｏ．ｊｐ」であれば、ｗｗｗがホストネーム、ｘｘｘが組織名、ｃｏが組織属性、ｊｐが国名と判別することができる。プロバイダのアクセスポイントのドメインネームの場合にも、同様に判別が可能である。したがって、ログ収集サーバまたは解析サーバは、接続元端末のＩＰアドレスから変換したドメインネームをもとに、ＩＰアドレスが使われている接続元端末の保有組織を表す組織情報（企業名など）を取得することも可能である。

【0026】

ログ収集サーバまたは解析サーバは、以上のようにして取得した地域情報および組織情報を、それぞれＩＰアドレスの属性情報として、ＩＰアドレスおよび通信の時刻情報と関連付けて属性情報記憶部１０２に記憶する。例えば、ログ収集サーバは、ＩＰアドレスを取得するたびに同様の処理を繰り返すことにより、ＩＰアドレス、時刻情報、地域情報および組織情報を１レコードに含む属性情報を属性情報記憶部１０２に逐次格納する。あるいは、解析サーバは、通信ログデータ記憶部１０１に記憶された複数のＩＰアドレスに対して同様の処理を実行することにより、各ＩＰアドレスに対応する属性情報を属性情報記憶部１０２の複数のレコードに格納する。なお、地域情報および組織情報のうち、逆引きによって推定できなかったものについてはそのレコードにＮＵＬＬ値が記録される。

【0027】

ＩＰアドレスから逆引きされる地域情報や組織情報は、そのＩＰアドレスを使用している接続元端末からのアクセスが不審者によるものか否かを判定するのに有用な情報である。すなわち、通常の多くのユーザが所在する地域や所属する組織とは異なる地域や組織からのアクセスであったり、ＩＰアドレスに対応する地域情報や組織情報を逆引きにより判別することができなかったりした場合には、通常とは異なる通信経路を使った不審なアクセスの可能性がある。本実施形態では、このような地域情報および組織情報を不正アクセスの検知に利用している。

【0028】

なお、不正アクセスの検知に用いる属性情報は、地域情報および組織情報に限定されるものではない。例えば、ＩＰアドレスに対応するドメインネームを構成する文字列から判定されるプロバイダを属性情報としてさらに用いるようにしてもよい。さらに、プロバイダがどの回線事業者の通信回線を利用してサービスを提供しているかの情報を記録したデータベースが公開されている場合には、上述のようにプロバイダを特定した上で、上記のデータベースを参照することによって推定される回線事業者を属性情報としてさらに用いるようにしてもよい。

【0029】

判定用データ取得部１１は、判定対象の通信ログデータから指定単位で抽出される接続元端末のＩＰアドレス、および、当該ＩＰアドレスに関連付けられた属性情報を判定用データとして取得する。すなわち、ＩＰアドレス取得部１１ａが通信ログデータ記憶部１０１から接続元端末のＩＰアドレスを指定単位で取得するとともに、属性情報取得部１１ｂが属性情報記憶部１０２から属性情報を取得し、取得したＩＰアドレスおよび属性情報に対して前処理部１１ｃが所定の前処理を行うことにより、判定用データを取得する。

【0030】

ＩＰアドレス取得部１１ａは、通信ログデータ記憶部１０１に記憶されている通信ログデータの中から、不正検知の処理対象とする一部のＩＰアドレスを指定して抽出する。例えば、ＩＰアドレス取得部１１ａは、不正検知を行いたいユーザ（例えば、接続先のサーバ装置、端末またはウェブサイトの運用を管理する企業など）の不正検知装置１０に対する指定操作に基づいて、ユーザが指定する特定の接続先に関する通信ログデータを対象としてＩＰアドレスを抽出する。この場合、特定の接続先が指定単位に相当する。また、任意の企業を指定して、指定企業に関する通信ログデータを対象としてＩＰアドレスを抽出するようにしてもよい。例えば、通信ログデータの蓄積量が多い方から複数の接続先または企業を指定してＩＰアドレスを抽出することが可能である。

【0031】

また、ＩＰアドレス取得部１１ａは、通信ログデータの時刻情報に基づいて、特定の接続先または企業に関する通信ログデータの中から、一部の期間のＩＰアドレスを抽出するようにしてもよい。この場合、特定の接続先または企業かつ一部の期間が指定単位に相当する。例えば、あらかじめ定めた所定期間（例えば、現在から直近の所定期間）のＩＰアドレスを抽出することが可能である。あるいは、ユーザの不正検知装置１０に対する指定操作に基づいて、ユーザが指定する任意の期間のＩＰアドレスを抽出するようにしてもよい。

【0032】

属性情報取得部１１ｂは、ＩＰアドレス取得部１１ａにより取得されるＩＰアドレスおよびそれに対応する時刻情報と同じＩＰアドレスおよび同じ時刻情報に関連付けて記憶されている属性情報を属性情報記憶部１０２から抽出する。

【0033】

前処理部１１ｃは、例えば、以上のようにしてＩＰアドレス取得部１１ａおよび属性情報取得部１１ｂにより取得されたＩＰアドレスおよび属性情報の中から、ユニーク数が多いＩＰアドレスや、非営利団体などのために用意されたorgドメインのＩＰアドレスなどを削除するとともに、削除したＩＰアドレスに対応して取得された属性情報を削除する。その他、不正アクセスを行う際に接続元端末のＩＰアドレスとして使用される可能性の低いことが想定されるものがある場合は、そのようなＩＰアドレスおよびそれに対応する属性情報を削除するようにしてもよい。

【0034】

なお、属性情報取得部１１ｂは、ＩＰアドレス取得部１１ａにより取得されたＩＰアドレスの中から不要なＩＰアドレスが前処理部１１ｃにより削除された後に、残ったＩＰアドレスおよびそれに対応する時刻情報と同じＩＰアドレスおよび同じ時刻情報に関連付けて記憶されている属性情報を属性情報記憶部１０２から抽出するようにしてもよい。

【0035】

前処理部１１ｃは、以上のように不要なＩＰアドレスおよび属性情報を削除した後、文字列から成る複数種類の属性情報（地域情報、組織情報）をそれぞれ所定のルールに基づいて数値化（カテゴリ変数化を含む）する。ルールの内容は任意であり、カウントエンコーディングなどの公知技術を利用することも可能である。数値化のルールは、属性情報の種類ごとに異なるものを用いてもよい。さらに、前処理部１１ｃは、属性情報から変換した数値の標準化を行う。この標準化は、複数種類の属性情報ごとに、数値の平均を“０”、分散を“１”にするための処理である。

【0036】

なお、属性情報の数値化および標準化は、不正判定部１２において主成分分析を行うために必要な前処理である。不正判定部１２において、主成分分析以外の方法により属性情報の特徴量を抽出する処理を行うことも可能であり、前処理部１１ｃにおいて属性情報の数値化および標準化の処理を行うことを必須とするものではない。

【0037】

不正判定部１２は、判定用データ取得部１１により取得された判定用データ（前処理部１１ｃにより前処理が行われたＩＰアドレスおよび属性情報）を学習済みの複数の判定モデル１２ａに入力し、接続元端末からのアクセスが不審者によるものか否かを示す不正リスク値を複数の判定モデル１２ａからそれぞれ取得し、取得した複数の不正リスク値の平均値を平均値算出部１２ｂから出力する。複数の判定モデル１２ａはそれぞれ、判定用データが入力された際に不正リスク値を出力するように、ＩＰアドレスおよび属性情報を含む学習用データを用いた機械学習処理により生成されている。

【0038】

ここで、複数の判定モデル１２ａは、学習対象の通信ログデータから所定単位ごとに抽出される接続元端末のＩＰアドレスおよび当該ＩＰアドレスに関連付けられた属性情報により構成される所定単位ごとの学習用データを用いた機械学習処理により、所定単位ごとに生成されている。所定単位とは、例えば所定長さの期間による分割単位である。あるいは、接続先による分割単位を所定単位としてもよい。あるいは、所定長さの期間かつ接続先による分割単位を所定単位としてもよい。この所定単位ごとの学習用データを用いた機械学習処理については、図５を用いて後述する。

【0039】

本実施形態において、判定モデル１２ａは、判定用データに含まれる属性情報（数値化および標準化されたもの）を主成分分析することによって次元圧縮し、当該次元圧縮により求められた変数の分布におけるクラスタからの乖離度に基づいて不正リスク値を出力するように構成されている。クラスタは、互いに共通性を有する多数の属性情報に対応する変数から形成される可能性が高い。一方、ある変数についてクラスタからの乖離度が大きくなるほど、その変数は他との共通性が少ない属性情報に対応するものである可能性が高い。よって、クラスタからの乖離度が大きい変数を特定することにより、それが異常なものである、つまり通常のアクセスとは異なる不正または不審なアクセスによるものであると推定することが可能である。

【0040】

上述のように、属性情報は、地域情報（国、都道府県および市町村）および組織情報を含む多次元の情報である。判定モデル１２ａは、この多次元の情報を主成分分析し、例えば第１主成分および第２主成分の２変数から成る２次元の情報に次元圧縮する。さらに、判定モデル１２ａは、複数のＩＰアドレスごとに求めた２変数に関する２次元空間の分布において、あるＩＰアドレスに対応する属性情報の２変数で特性される位置が、多数のＩＰアドレスに対応する属性情報の２変数で特性される位置により形成されるクラスタからどの程度乖離しているのかを示す乖離度に基づいて、当該あるＩＰアドレスについて乖離度に応じた不正リスク値を出力する。

【0041】

図４は、主成分分析により得られる分布の一例を模式的に示す図である。この図４は、第１主成分を横軸、第２主成分を縦軸とした２次元空間において、判定用データに含まれる属性情報から求めた２変数で特性される位置（ドット）の分布を示している。図４に示す例では、２次元空間の左寄りの領域に、多数のドットが密集して成るクラスタ４１が形成されている。それ以外の位置にあるドットは、クラスタを形成するものではなく、クラスタ４１から離れた位置に存在し、クラスタ４１からの距離はまちまちである。

【0042】

図４に示すような分布の場合、判定モデル１２ａは、多くのドットが密集しているクラスタ４１を基準として、このクラスタ４１からドットがどの程度乖離しているのかを示す乖離度、つまり２次元空間上の距離に基づいて、乖離度に応じた不正リスク値をドットごとに出力する。例えば、クラスタ４１に属するドットについては、不正リスク値を“０”とする。クラスタ４１に属しないドットについては、クラスタ４１からの距離が大きくなるほど不正リスク値を大きくする。各ドットについて出力される不正リスク値は、各ＩＰアドレスに対応する不正リスク値となる。

【0043】

なお、ここでは２次元空間における分布に基づくクラスタからの乖離度に応じた不正リスク値を出力する例について説明したが、図４のような分布図を作成することを要するものではない。例えば、判定モデル１２ａは、属性情報から次元圧縮により求めた変数に対してIsolation Forestによる分析を行い、決定木のルートノードからリーフノードに辿り着くまでの階層が浅いほど大きな不正リスク値を出力し、リーフノードに辿り着くまでの階層が深いほど小さな不正リスク値を出力するようにしてもよい。Isolation Forestによる分析においても、クラスタからの乖離度と実質的に同じ分析を行うことが可能である。

【0044】

また、ここでは主成分分析によって属性情報を２次元の情報に次元圧縮する例を説明したが、第１主成分、第２主成分および第３主成分の３変数から成る３次元の情報に次元圧縮するようにしてもよい。

【0045】

平均値算出部１２ｂは、複数の判定モデル１２ａから出力されるＩＰアドレスごとの不正リスク値の平均値を算出し、出力する。ここで、平均値算出部１２ｂは、複数の判定モデル１２ａからそれぞれ最大の不正リスク値（または、大きい方から順に所定個の不正リスク値でもよい）を抽出し、抽出した不正リスク値の平均値を算出するようにしてもよい。あるいは、平均値算出部１２ｂは、複数の判定モデル１２ａから所定の閾値より大きい不正リスク値を抽出し、抽出した不正リスク値の平均値を算出するようにしてもよい。

【0046】

これにより、平均値算出部１２ｂにより算出された不正リスク値の平均値が大きい値を示している場合は、判定用データに含まれるＩＰアドレスの中に、不審者による接続元端末からの不正なアクセスに使用されたＩＰアドレスが存在する可能性があると推定することができる。

【0047】

図５は、複数の判定モデル１２ａを生成する第１の実施形態によるモデル生成装置の機能構成例を示すブロック図である。図５に示すように、第１の実施形態によるモデル生成装置２０は、機能構成として、学習用データ取得部２１および機械学習部２２を備えている。学習用データ取得部２１は、より具体的な機能構成として、ＩＰアドレス取得部２１ａ、属性情報取得部２１ｂおよび前処理部２１ｃを備えている。

【0048】

上記機能ブロック２１，２２は、ハードウェア、ＤＳＰ、ソフトウェアの何れによっても構成することが可能である。例えばソフトウェアによって構成する場合、上記機能ブロック２１，２２は、実際にはコンピュータのＣＰＵ、ＲＡＭ、ＲＯＭなどを備えて構成され、ＲＡＭやＲＯＭ、ハードディスクまたは半導体メモリ等の記録媒体に記憶されたプログラムが動作することによって実現される。

【0049】

また、本実施形態のモデル生成装置２０には、上述した通信ログデータ記憶部１０１および属性情報記憶部１０２の他、判定モデル記憶部１０３が接続されている。モデル生成装置２０と通信ログデータ記憶部１０１、属性情報記憶部１０２および判定モデル記憶部１０３との間は、ＬＡＮまたはインターネット等の通信ネットワークを介して接続される構成であってもよいし、接続ケーブルを介して接続される構成であってもよい。あるいは、モデル生成装置２０が通信ログデータ記憶部１０１、属性情報記憶部１０２および判定モデル記憶部１０３を内蔵する構成であってもよい。

【0050】

学習用データ取得部２１は、学習対象の通信ログデータから所定単位ごとに抽出される接続元端末のＩＰアドレス、および、当該ＩＰアドレスに関連付けられた属性情報を所定単位ごとの学習用データとして取得する。すなわち、ＩＰアドレス取得部２１ａが通信ログデータ記憶部１０１から接続元端末のＩＰアドレスを所定単位ごとに取得するとともに、属性情報取得部２１ｂが属性情報記憶部１０２から属性情報を取得し、取得したＩＰアドレスおよび属性情報に対して前処理部２１ｃが所定の前処理を行うことにより、学習用データを取得する。

【0051】

ＩＰアドレス取得部２１ａは、通信ログデータ記憶部１０１に記憶されている通信ログデータの中から、全てのＩＰアドレスを抽出するようにしてもよいし、一部のＩＰアドレスを抽出するようにしてもよい。判定用データ取得部１１が備えるＩＰアドレス取得部１１ａとの違いは、ＩＰアドレス取得部１１ａの場合は不正検知の処理対象とする一部のＩＰアドレスのみを抽出するのに対し、ＩＰアドレス取得部２１ａの場合はより多くのＩＰアドレスを抽出するという点である。判定モデル１２ａの生成精度を向上させるためには、多くの学習用データを用いて機械学習を行うことが必要である。例えば、一部のＩＰアドレスを抽出するとしても、特定の接続先に関する通信ログデータに限らず、複数の接続先に関する通信ログデータからＩＰアドレスを抽出する。また、ＩＰアドレス取得部１１ａの場合よりも長い期間のＩＰアドレスを抽出する。

【0052】

このように、ＩＰアドレス取得部２１ａは、ＩＰアドレス取得部１１ａに比べて格段に多くのＩＰアドレスを取得するが、所定単位ごとに分けて取得する。例えば、ＩＰアドレス取得部２１ａは、学習対象の通信ログデータから所定長さの単位期間ごと（例えば、１日ごと）に分けてＩＰアドレスを取得する。あるいは、ＩＰアドレス取得部２１ａは、学習対象の通信ログデータから接続先ごとに分けてＩＰアドレスを取得する。あるいは、ＩＰアドレス取得部２１ａは、学習対象の通信ログデータから所定長さの単位期間ごとかつ接続先ごとに分けてＩＰアドレスを取得する。

【0053】

さらに、ＩＰアドレス取得部２１ａは、所定単位の範囲内に含まれるＩＰアドレスの一部のみを抽出する。例えば、所定単位の範囲内に含まれるＩＰアドレスの中からランダムにｎ％の個数のＩＰアドレスを抽出する。所定単位ごとに一部のＩＰアドレスを間引くことにより、データ量を減らすことができる。ここで、それぞれの所定単位からＩＰアドレスを同程度ずつ間引いているので、学習対象の通信ログデータの全体から、期間または接続先の点で偏りを生じることなくＩＰアドレスを取得することが可能である。

【0054】

属性情報取得部２１ｂは、ＩＰアドレス取得部２１ａにより所定単位ごとに取得されるＩＰアドレスおよびそれに対応する時刻情報と同じＩＰアドレスおよび同じ時刻情報に関連付けて記憶されている属性情報を属性情報記憶部１０２から抽出する。前処理部２１ｃは、以上のようにしてＩＰアドレス取得部２１ａおよび属性情報取得部２１ｂにより取得された所定単位ごとのＩＰアドレスおよび属性情報に対して、判定用データ取得部１１が備える前処理部１１ｃと同様の前処理を行う。

【0055】

以上の処理により、学習用データ取得部２１は、学習対象の通信ログデータから所定単位ごとに抽出されるＩＰアドレスおよび当該ＩＰアドレスに関連付けられた属性情報により構成される所定単位ごとの学習用データを取得する。本実施形態において、所定単位ごとの学習用データはそれぞれ、所定単位の範囲内に含まれるＩＰアドレスの一部および当該一部のＩＰアドレスに関連付けられた属性情報により構成される。

【0056】

機械学習部２２は、学習用データ取得部２１により取得された所定単位ごとの学習用データを用いて機械学習を行うことにより、ＩＰアドレスおよび属性情報（前処理部２１ｃにより前処理が行われたもの）を入力とし、接続元端末からのアクセスが不審者によるものか否かを示す不正リスク値を出力とする複数の判定モデル１２ａを所定単位ごとに生成する。

【0057】

ここで、互いに共通性の大きい属性情報については分布上でクラスタが形成されやすく、共通性が小さい属性情報についてはクラスタから乖離されやすくなるように、判定モデル１２ａのパラメータが機械学習により調整される。機械学習部２２は、生成した複数の判定モデル１２ａを判定モデル記憶部１０３に記憶する。判定モデル記憶部１０３に記憶された複数の判定モデル１２ａが、不正検知装置１０の不正判定部１２にデプロイ（実装）される。

【0058】

例えば、機械学習部２２は、学習対象の通信ログデータから所定長さの単位期間ごとに抽出されるＩＰアドレスおよび当該ＩＰアドレスに関連付けられた属性情報により構成される単位期間ごとの学習用データを用いて機械学習を行うことにより、複数の判定モデル１２ａを単位期間ごとに生成する。この場合、不正検知装置１０の不正判定部１２は、判定用データ取得部１１により取得された判定用データを、単位期間ごとに生成されている複数の判定モデル１２ａ（期間別判定モデルという）にそれぞれに入力し、複数の期間別判定モデルからそれぞれ取得される複数の不正リスク値の平均値を出力する。

【0059】

あるいは、機械学習部２２は、学習対象の通信ログデータから接続先ごとに抽出されるＩＰアドレスおよび当該ＩＰアドレスに関連付けられた属性情報により構成される接続先ごとの学習用データを用いた機械学習を行うことにより、複数の判定モデル１２ａを接続先ごとに生成する。この場合、不正検知装置１０の不正判定部１２は、判定用データ取得部１１により取得された判定用データを、接続先ごとに生成されている複数の判定モデル（接続先別判定モデルという）にそれぞれに入力し、複数の接続先別判定モデルからそれぞれ取得される不正リスク値の平均値を出力する。

【0060】

あるいは、機械学習部２２は、学習対象の通信ログデータから所定長さの単位期間ごとかつ接続先ごとに抽出されるＩＰアドレスおよび当該ＩＰアドレスに関連付けられた属性情報により構成される単位期間ごとかつ接続先ごとの学習用データを用いた機械学習を行うことにより、複数の判定モデル１２ａを単位期間ごとかつ接続先ごとに生成する。この場合、不正検知装置１０の不正判定部１２は、判定用データ取得部１１により取得された判定用データを、単位期間ごとかつ接続先ごとに生成されている複数の判定モデル１２ａ（期間別・接続先別判定モデルという）にそれぞれに入力し、複数の期間別・接続先別判定モデルからそれぞれ取得される不正リスク値の平均値を出力する。

【0061】

図６は、第１の実施形態によるモデル生成装置２０の動作例を示すフローチャートである。まず、ＩＰアドレス取得部２１ａは、通信ログデータ記憶部１０１から接続元端末のＩＰアドレスを所定単位ごとの学習用データとして取得する（ステップＳ１）。ここでは、所定単位の範囲内に含まれるＩＰアドレスの中からランダムにｎ％の個数のＩＰアドレスを取得する。

【0062】

次いで、属性情報取得部２１ｂは、ＩＰアドレス取得部２１ａにより所定単位ごとに取得されたＩＰアドレスおよびそれに対応する時刻情報と同じＩＰアドレスおよび同じ時刻情報に関連付けて記憶されている属性情報を所定単位ごとの学習用データとして属性情報記憶部１０２から抽出する（ステップＳ２）。

【0063】

次に、前処理部２１ｃは、以上のようにしてＩＰアドレス取得部２１ａおよび属性情報取得部２１ｂにより所定単位ごとに取得されたＩＰアドレスおよび属性情報に対して、所定の前処理を行う（ステップＳ３）。そして、機械学習部２２は、前処理されたＩＰアドレスおよび属性情報を学習用データとして用いた機械学習を行うことにより、ＩＰアドレスおよび属性情報が入力されたときに不正リスク値を出力するように構成された複数の判定モデル１２ａを所定単位ごとに生成する（ステップＳ４）。以上により、図６に示す機械学習の処理が終了する。

【0064】

図７は、第１の実施形態による不正検知装置１０の動作例を示すフローチャートである。まず、ＩＰアドレス取得部１１ａは、判定対象とする接続元端末のＩＰアドレスを通信ログデータ記憶部１０１から判定用データとして取得する（ステップＳ１１）。次いで、属性情報取得部１１ｂは、ＩＰアドレス取得部１１ａにより取得されたＩＰアドレスおよびそれに対応する時刻情報と同じＩＰアドレスおよび同じ時刻情報に関連付けて記憶されている属性情報を判定用データとして属性情報記憶部１０２から抽出する（ステップＳ１２）。

【0065】

次に、前処理部１１ｃは、以上のようにしてＩＰアドレス取得部１１ａおよび属性情報取得部１１ｂにより取得されたＩＰアドレスおよび属性情報に対して、所定の前処理を行う（ステップＳ１３）。そして、不正判定部１２は、前処理されたＩＰアドレスおよび属性情報を複数の判定モデル１２ａに入力し、接続元端末からのアクセスが不審者によるものか否かを示す不正リスク値を複数の判定モデル１２ａからそれぞれ取得し、取得した複数の不正リスク値の平均値を平均値算出部１２ｂから出力する（ステップＳ１４）。以上により、図７に示す不正検知の処理が終了する。

【0066】

以上詳しく説明したように、第１の実施形態では、判定対象の通信ログデータから指定単位で抽出される接続元端末のＩＰアドレス、および、当該ＩＰアドレスに関連付けられた属性情報を判定用データとして学習済みの複数の判定モデル１２ａに入力し、接続元端末からのアクセスが不審者によるものか否かを示す不正リスク値を複数の判定モデル１２ａからそれぞれ取得し、取得した複数の不正リスク値の平均値を出力する。ここで、複数の判定モデル１２ａは、学習対象の通信ログデータから所定単位ごとに抽出される接続元端末のＩＰアドレスおよび当該ＩＰアドレスに関連付けられた属性情報により構成される所定単位ごとの学習用データを用いた機械学習処理により、所定単位ごとに生成される。

【0067】

上記のように構成した第１の実施形態によれば、通信ログデータの全体から抽出されるＩＰアドレスではなく、通信ログデータから所定単位ごとに抽出されるＩＰアドレスを含む所定単位ごとの学習用データに基づいて複数の判定モデル１２ａが個別に生成されるので、１つの判定モデル１２ａを生成するのに使われる学習用データの量を削減することができ、機械学習によって判定モデル１２ａを作成するのに要する時間を短くすることができる。ここで、個々の判定モデル１２ａは通信ログデータの母集団の一部のみが反映されたものとなるが、複数の判定モデル１２ａの全体により、母集団の全体が１つの判定モデルに反映された状態とほぼ等価な状態を構築することができる。

【0068】

また、本実施形態によれば、接続元端末からのアクセスが不審者によるものか否かを判定する際に、以上のようにして生成された複数の判定モデル１２ａに判定用データをそれぞれ入力して得られる複数の不正リスク値が平均化されて出力されるので、通信ログデータの一部のみから生成された１つの判定モデルのみに基づいて不正アクセスの検知を行う場合に生じる検知精度の低下を抑制することができる。

【0069】

以上により、第１の実施形態によれば、１つの判定モデル１２ａを生成する際の機械学習に使用するデータ量を減らしつつ、不正アクセスの検知精度の低下を極力抑制することができる。

【0070】

（第２の実施形態）
次に、本発明の第２の実施形態を図面に基づいて説明する。図８は、第２の実施形態による不正検知装置１０Ａの機能構成例を示すブロック図である。この図８において、図１に示した符号と同一の符号を付したものは同一の機能を有するものであるので、ここでは重複する説明を省略する。図９は、第２の実施形態によるモデル生成装置２０Ａの機能構成例を示すブロック図である。この図９において、図５に示した符号と同一の符号を付したものは同一の機能を有するものであるので、ここでは重複する説明を省略する。

【0071】

図８に示すように、第２の実施形態による不正検知装置１０Ａは、機能構成として、不正判定部１２に代えて不正判定部１２Ａを備えている。不正判定部１２Ａは、より具体的な機能構成として、複数の判定モデル１２ａ’、平均値算出部１２ｂおよび判定モデル選択部１２ｃを備えている。また、図９に示すように、第２の実施形態によるモデル生成装置２０Ａは、機械学習部２２に代えて機械学習部２２Ａを備えている。

【0072】

モデル生成装置２０Ａの機械学習部２２Ａは、第１の実施形態による機械学習部２２と同様の機械学習処理を行うことにより、複数の判定モデル１２ａ（判定モデル１２ａ’とする前の判定モデル）を生成する。特に、本実施形態では、期間別判定モデルまたは期間別・接続先別判定モデルの何れかを生成する。そして、機械学習部２２Ａは、生成した複数の判定モデル１２ａに対して、それぞれの生成に使用された学習用データに含まれるＩＰアドレスに対して通信時刻として紐づけられている日付情報および日付に対応する曜日情報の少なくとも一方を関連付けて複数の判定モデル１２ａ’とし、当該複数の判定モデル１２ａ’を判定モデル記憶部１０３に記憶する。このようにして日付情報および曜日情報の少なくとも一方が関連付けられた複数の判定モデル１２ａ’が、不正検知装置１０Ａの不正判定部１２Ａにデプロイされる。

【0073】

不正判定部１２Ａの判定モデル選択部１２ｃは、複数の判定モデル１２ａ’の中から、不正判定部１２Ａの処理に使用する複数の判定モデル１２ａ’を選択する。すなわち、不正判定部１２ＡにＮ個（ただし、Ｎは２以上）の判定モデル１２ａ’が実装されている場合、判定モデル選択部１２ｃは、Ｎ個の判定モデル１２ａ’の中からＭ個（ただし、Ｎ≧Ｍ、Ｍは２以上）の判定モデル１２ａ’を選択する。ここでは、Ｎ個の判定モデル１２ａ’を全て選択する場合も含む。

【0074】

例えば、判定モデル選択部１２ｃは、不正検知装置１０Ａに対するユーザの選択操作に基づいて、日付情報または曜日情報を選択キーとして、不正判定部１２Ａの処理に使用するＭ個の判定モデル１２ａ’を選択する。例えば、ユーザは、任意の単位期間を指定してＭ個の判定モデル１２ａ’を選択することが可能である。例えば、直近１週間分の判定モデル１２ａ’を選択したり、毎月初めから数日分の判定モデル１２ａ’を選択したり、特定の曜日の判定モデル１２ａ’を選択したりすることが可能である。

【0075】

不正判定部１２Ａは、判定用データ取得部１１により取得された判定用データを、判定モデル選択部１２ｃにより選択されたＭ個の判定モデル１２ａ’に入力し、当該選択されたＭ個の判定モデル１２ａ’からそれぞれ取得される複数の不正リスク値の平均値を出力する。

【0076】

このように構成した第２の実施形態によれば、接続元端末からのアクセスが不審者による不正アクセスか否かを判定する際に、使用する判定モデル１２ａ’の数を少なくすることができ、判定に要する時間を短縮することができる。ここで、判定に使用するＭ個の判定モデル１２ａ’はユーザが任意に選択することが可能であるので、不正検知の目的や、不正検知の対象とする接続先の状況、不正検知を実施する際の社会環境など、種々の要因のいくつかに応じて適切な判定モデル１２ａ’を選択して不正検知を効率的に行うことができる。

【0077】

なお、上記第２の実施形態では、判定モデル１２ａに対して日付情報または曜日情報を関連付けることによって判定モデル１２ａ’を構成し、日付情報または曜日情報を選択キーとしてＭ個の判定モデル１２ａ’を選択する例について説明したが、これに限定されない。例えば、サーバ装置、端末、ウェブサイトなどの接続先またはこれらの運用を管理する企業を表す情報を判定モデル１２ａに関連付けることによって判定モデル１２ａ’を構成し、接続先情報または企業情報を選択キーとしてＭ個の判定モデル１２ａ’を選択するようにしてもよい。

【0078】

（第２の実施形態の第１変形例）
次に、第２の実施形態の第１変形例（以下、単に第１変形例という）を図面に基づいて説明する。図１０は、第１変形例による不正検知装置１０Ｂの機能構成例を示すブロック図である。この図１０において、図１に示した符号と同一の符号を付したものは同一の機能を有するものであるので、ここでは重複する説明を省略する。図１１は、第１変形例によるモデル生成装置２０Ｂの機能構成例を示すブロック図である。この図１１において、図５に示した符号と同一の符号を付したものは同一の機能を有するものであるので、ここでは重複する説明を省略する。

【0079】

図１０に示すように、第１変形例による不正検知装置１０Ｂは、機能構成として、不正判定部１２に代えて不正判定部１２Ｂを備えている。不正判定部１２Ｂは、より具体的な機能構成として、複数の判定モデル１２ａ”、平均値算出部１２ｂおよび判定モデル選択部１２ｃ’を備えている。また、図１１に示すように、第１変形例によるモデル生成装置２０Ｂは、サイトコンテンツ取得部２３および判定モデル分類部２４を更に備えている。

【0080】

第１変形例において、機械学習部２２は、複数の判定モデル１２ａ（判定モデル１２ａ”とする前の判定モデル）として、接続先別判定モデルまたは期間別・接続先別判定モデルを生成する。モデル生成装置２０Ｂのサイトコンテンツ取得部２３は、機械学習部２２において複数の判定モデル１２ａの生成に使用された学習用データの抽出元である通信ログデータにおいて接続先として示されているウェブサイトのコンテンツ情報を取得する。上述したように通信ログデータ記憶部１０１には通信ログデータが接続先別に記憶されている（本第１変形例では、ウェブサイト別に記憶されている）。サイトコンテンツ取得部２３は、通信ログデータ記憶部１０１に通信ログデータが記憶されているウェブサイトごとに、ウェブサイトのコンテンツ情報を取得する。取得するウェブサイトのコンテンツ情報は、文字情報および画像情報の少なくとも一方である。

【0081】

ここで、サイトコンテンツ取得部２３は、ユーザが手動でウェブサイトにアクセスしてダウンロード保存したコンテンツ情報を取得するようにしてもよいし、ユーザが指定したＵＲＬ（Uniform Resource Locator）のウェブサイトを自動で巡回し、各々のウェブサイトからコンテンツ情報をダウンロードして取得するようにしてもよい。

【0082】

判定モデル分類部２４は、機械学習部２２により生成されて判定モデル記憶部１０３に記憶された複数の判定モデル１２ａに対して、サイトコンテンツ取得部２３により取得されたウェブサイトが有する特性の類似性または共通性に基づいて、特性ごとに異なる分類情報を付与して判定モデル１２ａ”とすることにより、複数の判定モデル１２ａ”を特性ごとの複数のグループに分類する。例えば、判定モデル分類部２４は、接続先として示されているウェブサイトの種類（ＥＣサイト、コーポレートサイト、サービスサイトなど）に応じて、当該種類を表す分類情報を複数の判定モデル１２ａ”に付与する。

【0083】

判定モデル分類部２４による判定モデル１２ａ”の分類は、例えば、機械学習された分類モデルを用いて行うことが可能である。すなわち、判定モデル分類部２４は、サイトコンテンツ取得部２３により取得されたウェブサイトのコンテンツ情報を学習済みの分類モデルに入力し、ウェブサイトの種類に応じた分類情報を分類モデルから取得する。この場合の分類モデルは、コンテンツ情報が入力された際に、コンテンツ情報が有する特徴量に基づいて特定の分類情報を出力するように、コンテンツ情報を含む学習用データを用いた機械学習処理により生成されている。

【0084】

例えば、ウェブサイトのコンテンツ情報として文字情報を用いる。そして、分類モデルは、ウェブサイトの種類に応じて特有のものとして使用される傾向の強い単語の出現傾向を特徴量として算出し、単語の出現傾向の類似性に基づいて、ウェブサイトの種類に応じた分類情報を出力する。ウェブサイトのコンテンツ情報として、文字情報に加えて画像情報を用い、ウェブサイトの種類に応じて特有のものとして使用される傾向の強い画像から特徴量を算出するようにしてもよい。

【0085】

なお、判定モデル分類部２４は、ユーザからの指示に基づいて、複数の判定モデル１２ａ”に分類情報を付与するようにしてもよい。例えば、特定の接続先（ウェブサイト）を指定するユーザからの操作に基づいてＩＰアドレス取得部２１ａが特定の接続先のＩＰアドレスを取得するようにする。そして、判定モデル分類部２４が、このＩＰアドレスを含む学習用データに基づいて機械学習部２２により生成された複数の判定モデル１２ａに対して、ユーザが自ら判断して指定したウェブサイトの種類に応じた分類情報を付与することにより、分類情報が付与された判定モデル１２ａ”を生成するようにしてもよい。この場合、サイトコンテンツ取得部２３は不要である。

【0086】

また、ここではウェブサイトの種類に応じた分類情報を付与する例について説明したが、これに限定されない。例えば、ウェブサイトの性質に応じた分類情報を付与するようにしてもよい。例えば、ウェブサイトのコンテンツ情報として画像情報を用い、画像情報の類似度に基づいて、類似または共通の性質を有するウェブサイトを分析し、当該性質に応じた分類情報を付与するようにしてもよい。ウェブサイトのコンテンツ情報として、ウェブサイトのページ内に配置される画像や文字などのレイアウト情報を用い、当該レイアウト情報の類似度に基づいて、類似または共通の性質を有するウェブサイトを分析するようにしてもよい。

【0087】

以上のように分類情報が付与された複数の判定モデル１２ａ”が、不正検知装置１０Ｂの不正判定部１２Ｂにデプロイされる。図１０では、Ｎ個の判定モデル１２ａ”のうち、Ｎ１個（Ｎ１＜Ｎ）の判定モデル１２ａ”が第１グループＧｒ１の分類に属し、Ｎ２個（Ｎ２＜Ｎ）の判定モデル１２ａ”が第２グループＧｒ２の分類に属し、Ｎ３個（Ｎ３＜Ｎ、Ｎ１＋Ｎ２＋Ｎ３＝Ｎ）の判定モデル１２ａ”が第３グループＧｒ３の分類に属していることが模式的に示されている。

【0088】

不正判定部１２Ｂの判定モデル選択部１２ｃ’は、Ｎ個の判定モデル１２ａ”の中から、不正判定部１２Ｂの処理に使用するＭ個の判定モデル１２ａ”を選択する。例えば、判定モデル選択部１２ｃ’は、不正検知装置１０Ｂに対するユーザの選択操作に基づいて、複数のグループＧｒ１～Ｇｒ３に付されている分類情報を選択キーとして、不正判定部１２Ｂの処理に使用するＭ個の判定モデル１２ａ”を選択する。

【0089】

例えば、判定対象として用いる通信ログデータが第１グループＧｒ１の分類情報と同じ分類に属するウェブサイトを接続先とするものである場合に、ユーザが第１グループＧｒ１の分類情報を指定すると、判定モデル選択部１２ｃ’は、第１グループＧｒ１に属するＮ１個の判定モデル１２ａ”を選択する。

【0090】

不正判定部１２Ｂは、判定用データ取得部１１により取得された判定用データを、判定モデル選択部１２ｃ’により選択されたＭ個（第１グループＧｒ１の分類情報を指定した場合はＮ１個）の判定モデル１２ａ”に入力し、当該選択されたＭ個の判定モデル１２ａ”からそれぞれ取得される複数の不正リスク値の平均値を出力する。

【0091】

このように構成した第１変形例においても、接続元端末からのアクセスが不審者による不正アクセスか否かを判定する際に、使用する判定モデル１２ａ”の数を少なくすることができ、判定に要する時間を短縮することができる。ここで、判定に使用するＭ個の判定モデル１２ａ”は、不正検知の判定対象とするウェブサイトと同じ種類または類似の性質を有するウェブサイトの通信ログデータから生成された判定モデルとすることが可能である。これにより、判定対象とするウェブサイトに応じて適切な判定モデル１２ａ”を選択して不正検知を効率的に行うことができる。

【0092】

なお、第２の実施形態と第１変形例とを組み合わせて適用するようにしてもよい。

【0093】

（第２の実施形態の第２変形例）
次に、第２の実施形態の第２変形例（以下、単に第２変形例という）を図面に基づいて説明する。図１２は、第２変形例による不正検知装置１０Ｃの機能構成例を示すブロック図である。この図１２において、図１０に示した符号と同一の符号を付したものは同一の機能を有するものであるので、ここでは重複する説明を省略する。第２変形例では、図１１に示したモデル生成装置２０Ｂを用いる。第２変形例においても、機械学習部２２は、複数の判定モデル１２ａ（判定モデル１２ａ”とする前の判定モデル）として、接続先別判定モデルまたは期間別・接続先別判定モデルを生成する。

【0094】

図１２に示すように、第２変形例による不正検知装置１０Ｃは、機能構成として、不正判定部１２Ｂに代えて不正判定部１２Ｃを備えるとともに、サイトコンテンツ取得部１３および判定用データ分類部１４を更に備えている。不正判定部１２Ｃは、より具体的な機能構成として、複数の判定モデル１２ａ”、平均値算出部１２ｂおよび判定モデル選択部１２ｃ”を備えている。

【0095】

上述した第１変形例では、判定モデル選択部１２ｃ’がユーザからの指示に応じてＭ個の判定モデル１２ａ”を選択した。これに対し、第２変形例では、不正検知の判定対象とするウェブサイトの種類または性質を解析し、解析したウェブサイトの種類または性質と同様の特性を有するウェブサイトの通信ログデータから生成されたＭ個の判定モデル１２ａ”を選択する。

【0096】

不正検知装置１０Ｃのサイトコンテンツ取得部１３は、判定用データの抽出元である通信ログデータにおいて接続先として示されているウェブサイトのコンテンツ情報を取得する。サイトコンテンツ取得部１３によるコンテンツ情報の取得方法および取得する情報の種類は、サイトコンテンツ取得部２３によるコンテンツ情報の取得方法および取得する情報の種類と同様でよい。

【0097】

判定用データ分類部１４は、サイトコンテンツ取得部１３により取得されたウェブサイトが有する特性に基づいて、モデル生成装置２０Ｂの判定モデル分類部２４により分類される複数のグループＧｒ１～Ｇｒ３のうち何れかに対応する分類情報を出力する。判定用データ分類部１４によるウェブサイトの分類も、判定モデル分類部２４によるウェブサイトの分類と同様、機械学習された分類モデルを用いて行うことが可能である。

【0098】

すなわち、判定用データ分類部１４は、サイトコンテンツ取得部１３により取得されたウェブサイトに含まれるコンテンツ情報を学習済みの分類モデルに入力し、ウェブサイトの種類または性質に応じた分類情報を分類モデルから取得する。この場合の分類モデルは、コンテンツ情報が入力された際に、コンテンツ情報が有する特徴量に基づいて分類されるグループＧｒ１～Ｇｒ３の分類情報を出力するように、コンテンツ情報を含む学習用データを用いた機械学習処理により生成されている。

【0099】

不正判定部１２Ｃの判定モデル選択部１２ｃ”は、Ｎ個の判定モデル１２ａ”の中から、判定用データ分類部１４より出力された分類情報と共通の分類情報に対応するグループに分類されたＭ個の判定モデル１２ａ”を、不正判定部１２Ｃの処理に使用する複数の判定モデル１２ａ”として選択する。

【0100】

不正判定部１２Ｃは、判定用データ取得部１１により取得された判定用データを、判定モデル選択部１２ｃ”により選択されたＭ個の判定モデル１２ａ”に入力し、当該選択されたＭ個の判定モデル１２ａ”からそれぞれ取得される複数の不正リスク値の平均値を出力する。

【0101】

このように構成した第２変形例においても、第１変形例と同様の効果を得ることが可能である。また、第２変形例では、判定対象とするウェブサイトのコンテンツ情報を解析し、その解析結果に基づいてＭ個の判定モデル１２ａ”を選択するので、ユーザが特に分類情報を指定しなくても、判定対象とするウェブサイトに応じて適切な判定モデル１２ａ”を選択して不正検知を効率的に行うことができる。

【0102】

なお、第２の実施形態と第２変形例とを組み合わせて適用するようにしてもよい。

【0103】

その他、上記実施形態は、何れも本発明を実施するにあたっての具体化の一例を示したものに過ぎず、これによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその要旨、またはその主要な特徴から逸脱することなく、様々な形で実施することができる。

【符号の説明】

【0104】

１０，１０Ａ，１０Ｂ，１０Ｃ 不正検知装置
１１ 判定用データ取得部
１１ａ ＩＰアドレス取得部
１１ｂ 属性情報取得部
１１ｃ 前処理部
１２，１２Ａ，１２Ｂ，１２Ｃ 不正判定部
１２ａ，１２ａ’，１２ａ” 判定モデル
１２ｂ 平均値算出部
１３ サイトコンテンツ取得部
１４ 判定用データ分類部
２０，２０Ａ，２０Ｂ モデル生成装置
２１ 学習用データ取得部
２１ａ ＩＰアドレス取得部
２１ｂ 属性情報取得部
２１ｃ 前処理部
２２，２２Ａ 機械学習部
２３ サイトコンテンツ取得部
２４ 判定モデル分類部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】