特開 2024-115136 端末利用形態予測装置、端末利用形態予測方法及び端末利用形態予測プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024115136

(43)【公開日】2024-08-26

(54)【発明の名称】端末利用形態予測装置、端末利用形態予測方法及び端末利用形態予測プログラム

(51)【国際特許分類】

   H04L 41/147 20220101AFI20240819BHJP

   H04L 43/0876 20220101ALI20240819BHJP

   H04L 43/04 20220101ALI20240819BHJP

【ＦＩ】

H04L41/147

H04L43/0876

H04L43/04

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2023020642

(22)【出願日】2023-02-14

(71)【出願人】

【識別番号】000000295

【氏名又は名称】沖電気工業株式会社

(74)【代理人】

【識別番号】100180275

【弁理士】

【氏名又は名称】吉田 倫太郎

(74)【代理人】

【識別番号】100161861

【弁理士】

【氏名又は名称】若林 裕介

(72)【発明者】

【氏名】藤田 幸愛

(57)【要約】

【課題】監視対象のネットワーク内の端末の利用形態を、ネットワーク上を流れる通信データの特徴量に基づいて予測することができるようにする。
【解決手段】本発明の端末利用形態予測装置は、ネットワーク上を流れる通信データを取得する通信データ取得手段と、通信データ取得手段からの通信データに基づいて特徴量を作成する特徴量作成手段と、特徴量作成手段による特徴量に基づいて、日時毎に、ネットワーク内に存在する各端末が通信する利用形態を予測する利用形態予測手段とを備えることを特徴とする。
【選択図】 図１

【特許請求の範囲】

【請求項1】

ネットワーク上を流れる通信データを取得する通信データ取得手段と、
前記通信データ取得手段からの前記通信データに基づいて特徴量を作成する特徴量作成手段と、
前記特徴量作成手段による前記特徴量に基づいて、日時毎に、ネットワーク内に存在する各端末が通信する利用形態を予測する利用形態予測手段と
を備えることを特徴とする端末利用形態予測装置。

【請求項2】

前記特徴量作成手段が、前記通信データに基づき、所定時間毎に、ネットワーク内に存在する前記端末に関連するフロー数を含むフロー数テーブルを作成し、
前記利用形態予測手段が、前記フロー数テーブルを参照して、前記端末毎の利用時間帯における利用形態を予測する利用形態予測テーブルを作成する
ことを特徴とする請求項１に記載の端末利用形態予測装置。

【請求項3】

前記利用形態予測手段が、
前記フロー数テーブルを参照して、対象とする前記端末に関連するフローの発生特性から、前記端末の利用形態の予測結果を導き、
事前に定義した端末の利用態様と、利用態様識別情報とを対応付けた利用態様テーブルと、前記端末の利用形態の予測結果とに基づいて、当該端末の利用形態の予測結果に対応する利用態様識別情報を、前記利用形態予測テーブルに保存する
ことを特徴とする請求項２に記載の端末利用形態予測装置。

【請求項4】

前記端末に関連するフローの発生特性が、単位時間当たりのフロー発生数、フローが発生した日数の割合、夜間フロー発生数を含むものとし、
前記利用形態予測手段が、予測対象の日時の前記端末毎に、前記利用形態の予測結果を導く
ことを特徴とする請求項３に記載の端末利用形態予測装置。

【請求項5】

前記利用形態予測手段により予測された前記各端末の利用形態と、ネットワーク監視時の前記通信データに基づく前記端末の利用態様とに基づいて、異常を検知する異常検知手段を備えることを特徴とする請求項１に記載の端末利用形態予測装置。

【請求項6】

通信データ取得手段が、ネットワーク上を流れる通信データを取得し、
特徴量作成手段が、前記通信データ取得手段からの前記通信データに基づいて特徴量を作成し、
利用形態予測手段が、前記特徴量作成手段による前記特徴量に基づいて、日時毎に、ネットワーク内に存在する各端末が通信する利用形態を予測する
ことを特徴とする端末利用形態予測方法。

【請求項7】

コンピュータを、
ネットワーク上を流れる通信データを取得する通信データ取得手段と、
前記通信データ取得手段からの前記通信データに基づいて特徴量を作成する特徴量作成手段と、
前記特徴量作成手段による前記特徴量に基づいて、日時毎に、ネットワーク内に存在する各端末が通信する利用形態を予測する利用形態予測手段と
して機能させることを特徴とする端末利用形態予測プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、端末利用形態予測装置、端末利用形態予測方法及び端末利用形態予測プログラムに関し、例えば、企業等の組織内ネットワーク等の通信ネットワークに接続する端末の通常時の利用形態を予測する端末利用形態予測装置に適用し得るものである。

【背景技術】

【0002】

例えば、組織内ネットワーク等において、利用する権限が与えられていないコンピュータに対して不正に接続しようとする不正アクセスが問題となっている。不正アクセスにより、組織内ネットワークへの不正侵入、情報漏洩、データ改ざん等の被害も増えており、企業等の組織においては、各拠点のネットワークにおける通信機器の挙動を把握し、それらの徹底した管理が課題となっている。

【0003】

特許文献１に記載されている技術は、ネットワーク（ＮＷ）を効率的に利用するために、トラフィックの空き状況を監視し、あらかじめ送信タイミングと利用帯域をスケジューリングしておくものである。通信制御装置は、情報の収集周期の遅いデータを、トラフィックの空き時間帯に通信するようにしている。つまり、通信制御装置は、トラフィックが平準化するように、空き時間を検索して、送信タイミングを予約する利用時間の許可式を取っている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０１７－２１２４９４号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、特許文献１の記載技術は、トラフィックの空き情報の監視方法について具体的に提案しておらず、特に、各端末の利用状態を推定することを目的に監視するものでない。また、特許文献１の記載技術は、端末が稼働する可能性が高い時間帯をあらかじめ算出しておく必要があるが、端末の利用時間帯を予測することは難しい。

【0006】

さらに、従来、監視対象とするネットワーク上に存在する端末の稼働状況を取得するためには専用のソフトウェアなどが導入することが一般的であるが、費用がかさむという課題もある。

【0007】

そのため、本発明は、上述した課題に鑑み、例えば組織内ネットワーク等のような監視対象ネットワークに接続する可能性のある端末の利用形態を、ネットワーク上を流れる通信データの特徴量に基づいて予測することができる端末利用形態予測装置、端末利用形態予測方法及び端末利用形態予測プログラムを提供しようとするものである。

【課題を解決するための手段】

【0008】

かかる課題を解決するために、第１の本発明の端末利用形態予測装置は、ネットワーク上を流れる通信データを取得する通信データ取得手段と、通信データ取得手段からの通信データに基づいて特徴量を作成する特徴量作成手段と、特徴量作成手段による特徴量に基づいて、日時毎に、ネットワーク内に存在する各端末が通信する利用形態を予測する利用形態予測手段とを備えることを特徴とする。

【0009】

第２の本発明の端末利用形態予測方法は、通信データ取得手段が、ネットワーク上を流れる通信データを取得し、特徴量作成手段が、通信データ取得手段からの通信データに基づいて特徴量を作成し、利用形態予測手段が、特徴量作成手段による特徴量に基づいて、日時毎に、ネットワーク内に存在する各端末が通信する利用形態を予測することを特徴とする。

【0010】

第３の本発明の端末利用形態予測プログラムは、コンピュータを、ネットワーク上を流れる通信データを取得する通信データ取得手段と、通信データ取得手段からの通信データに基づいて特徴量を作成する特徴量作成手段と、特徴量作成手段による特徴量に基づいて、日時毎に、ネットワーク内に存在する各端末が通信する利用形態を予測する利用形態予測手段として機能させることを特徴とする。

【発明の効果】

【0011】

本発明によれば、監視端末の稼働状況を取得するための専用のソフトウェアなどを導入することなく、監視対象ネットワーク上を流れる通信データのみからネットワークに接続可能な端末の利用形態を端末毎に予測することができる。

【図面の簡単な説明】

【0012】

【図1】実施形態に係る通信システムの全体構成と、異常検知装置の内部構成とを示す構成図である。

【図2】実施形態に係る利用形態予測テーブルと利用形態テーブルの構成例を示す構成図である。

【図3】実施形態のフロー数テーブルの構成を示す構成図である。

【図4】実施形態のフロー数テーブルの作成処理を示すフローチャートである。

【図5】実施形態の利用形態予測テーブルの作成処理を示すフローチャートである。

【図6】実施形態における利用形態予測処理の一例を示すフローチャートである。

【図7】実施形態に係る利用形態の適用時の処理を示すフローチャートである。

【図8】実施形態に係る異常検知処理を示すフローチャートと、実施形態に係るネットワーク監視時のデータの流れを示す図である。

【発明を実施するための形態】

【0013】

（Ａ）実施形態
以下では、本発明に係る異常検知装置、異常検知方法及び異常検知プログラムの実施形態を、図面を参照しながら詳細に説明する。

【0014】

（Ａ－１）実施形態の構成
図１は、実施形態に係る通信システムの全体構成と、異常検知装置の内部構成とを示す構成図である。

【0015】

図１において、実施形態に係る通信システム５は、ネットワークＮＴに接続可能な、端末利用形態予測装置１と、複数の端末３とを備える。

【0016】

端末３は、組織内ネットワークに接続している通信端末である。この実施形態では、企業内ネットワークに接続可能な通信端末であり、例えばパーソナルコンピュータ等を想定して説明する。なお、端末３は、これに限らず、スマートフォン、タブレット端末、ウェラブル端末、プリンタ、カメラ、スピーカー、複合機、サービスロボット、産業用ロボット、無人機等としてもよい。

【0017】

端末利用形態予測装置１は、組織内ネットワークの各端末３と、ネットワークＮＴとの間に介在しており、組織内ネットワーク上のトラフィックを監視するものである。

【0018】

端末利用形態予測装置１は、通信インタフェース部２５、通信データキャプチャ部１１、特徴量作成部１２、利用形態予測部１３、異常検知部１４、利用形態適用部１５、データベース２を有する。また、データベース２は、特徴量データ２１、フロー数テーブル２２、利用形態予測テーブル２３、利用形態テーブル２４を有する。

【0019】

なお、端末利用形態予測装置１は、全ての構成要素をハードウェアとして構成するようにしても良いし、構成要素の一部又は全部をソフトウェア（プログラム）として構成するようにしてもよい。端末利用形態予測装置１は、例えば、プロセッサ及びメモリを有するコンピュータにプログラム（例えば異常検知プログラム等）をインストールして構築するようにしてもよい。

【0020】

通信インタフェース部２５は、ネットワークＮＴと端末３との間を流れるパケットの入出力を行なうものである。

【0021】

通信データキャプチャ部１１は、通信インタフェース部２５により受信されたパケットを取り込み、受信したパケットに含まれる情報に基づいて通信データを作成して特徴量作成部１２に与える。

【0022】

特徴量作成部１２は、キャプチャしたパケットに関する通信データを通信データキャプチャ部１１から取得し、トラフィックの特徴量としてフロー数を計測してフロー数テーブル２２を作成する。特徴量作成部１２は、トラフィックの特徴量データ２１としてのフロー数テーブル２２を、データベース２に保存する。

【0023】

利用形態予測部１３は、データベース２に保存されている特徴量データ２１内のフロー数テーブル２２を参照して、端末３のアドレス情報（例えば、クライアントＩＰアドレス）毎の利用形態の予測結果を示す利用形態予測テーブル２３を作成する。また、利用形態予測部１３は、利用形態予測テーブル２３をデータベース２に保存する。

【0024】

利用形態適用部１５は、データベース２に保存されている利用形態予測テーブル２３を参照して、利用形態予測テーブル２３に存在していないクライアントＩＰアドレスに対し、所定のデフォルトの利用形態を適用するものである。

【0025】

異常検知部１４は、ネットワークＮＴを監視して、現在時刻の利用形態予測テーブル２３と、異なる時間帯でネットワークデータが発生したクライアントＩＰアドレスがあるときには異常の疑いを検知する。

【0026】

データベース２は、上述したように、特徴量データ２１、利用形態予測テーブル２３、利用形態テーブル２４を保存する。また、特徴量データ２１としてフロー数テーブル２２が存在している。

【0027】

図２（Ａ）は、実施形態に係る利用形態予測テーブル２３の構成例を示す構成図である。

【0028】

利用形態予測テーブル２３は、監視対象とするネットワークにおいて、端末３のクライアントＩＰアドレス毎に、未来時間の端末３の利用形態を予測してクラス分類したものである。図２（Ａ）において、利用形態予測テーブル２３は、「クライアントＩＰアドレス」、「利用時刻」、「日付属性」、「クラスＩＤ」等を項目とする。なお、項目名は、上述したものに限定されない。

【0029】

「クライアントＩＰアドレス」は、予測対象とする端末３のアドレス情報である。ここでは、アドレス情報の一例としてＩＰアドレスとしている。「利用時刻」は、端末３（クライアントＩＰアドレス）の利用形態を予測した時刻情報としている。「日付属性」は、例えば、「平日」、「土日祝」等のように利用形態の曜日属性とする。「クラスＩＤ」は、利用形態テーブル２４で利用形態の種類を定義した、利用形態毎の識別番号である。

【0030】

図２（Ｂ）は、実施形態に係る利用形態テーブル２４の構成例を示す構成図である。

【0031】

利用形態テーブル２４は、端末３（クライアントＩＰアドレス）の利用形態のクラス分類を定義したものである。図２（Ｂ）において、利用形態テーブル２４は、「クラスＩＤ」、「曜日属性」、「利用時刻」、「利用形態」等を項目とする。なお、項目名は、上述したものに限定されない。

【0032】

図３は、実施形態に係るフロー数テーブル２２の構成例を示す構成図である。

【0033】

フロー数テーブル２２は、特徴量データ２１に含まれる情報である。特徴量データ２１は、通信データに基づいてトラフィックの特徴を区分するためのデータである。フロー数テーブル２２は、フロー数に注目してトラフィックを区分したものである。図３において、フロー数テーブル２２は、「日付時刻」、「クライアントＩＰアドレス」、「サーバーＩＰアドレス」、「フロー数」等を項目とする。

【0034】

フロー数テーブル２２は、キャプチャしたパケットの通信データに含まれる情報に基づいて、所定時間（例えば、１分毎など）毎に、トラフィックフロー数を集計したものである。また、所定時間（例えば、１分毎など）内でも、送信元ＩＰアドレスと送信先ＩＰアドレスとの組み合わせが異なる場合には、送信元ＩＰアドレスと送信先ＩＰアドレスとの組み合わせ毎のトラフィックフロー数の合計を所定時間毎に集計する。なお、項目名は、上述したものに限らない。

【0035】

（Ａ－２）実施形態の動作
次に、実施形態に係るネットワークの監視方法及び異常検知方法について図面を参照しながら説明する。

【0036】

（Ａ－２－１）フロー数テーブル２２の作成
図４は、実施形態のフロー数テーブルの作成処理を示すフローチャートである。

【0037】

図４において、監視対象とするネットワーク上を通過するパケットを通信データキャプチャ部１１がキャプチャし（ステップＳ１０１）、キャプチャしたパケットに含まれている情報に基づいて、通信データキャプチャ部１１が通信データを作成する（ステップＳ１０２）。例えば、通信データは、送信元ＩＰアドレス、送信先ＩＰアドレス、通信時刻などを含むものとすることができる。しかし、通信データは、これに限らず、ＭＡＣアドレス、パケット長、ポートスキャンなどによりＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）、ポート番号、プロトコル、ステータスなどを含むようにしてもよい。

【0038】

通信データキャプチャ部１１から通信データを取得すると、特徴量作成部１２は、所定時間毎にフロー数テーブル２２を作成し（ステップＳ１０３）、特徴量作成部１２は、特徴量データ２１内のデータとしてフロー数テーブル２２を、データベース２に保存する（ステップＳ１０４）。

【0039】

例えば、図３に例示するように、特徴量作成部１２は、１分毎に、ネットワーク上を流れたトラフィックフロー数を集計したものをフロー数テーブル２２とする。このとき、特徴量作成部１２は、同じ通信毎（すなわちクライアントとサーバー間通信毎）のトラフィックフロー数を集計するため、通信データから送信元ＩＰアドレス及び送信先ＩＰアドレスを確認して、クライアント／サーバー間のフロー数を集計する。

【0040】

例えば、図３において、「日付時刻：2023／1／31＿11：00」からの１分間に、「クライアントＩＰ：Ａ」と「サーバーＩＰ：Ｂ」とのフロー数が「フロー数：１０」あり、「クライアントＩＰ：Ａ」と「サーバーＩＰ：Ｃ」とのフロー数が「フロー数：９」あり、これらを区別してフロー数テーブル２２に記録している。また、次の「日付時刻：2023／1／31＿11：01」１分間に、「クライアントＩＰ：Ａ」と「サーバーＩＰ：Ｂ」とのフロー数が「フロー数：２０」あることを記録している。

【0041】

（Ａ－２－２）利用形態予測テーブル２３の作成
図５は、実施形態の利用形態予測テーブルの作成処理を示すフローチャートである。

【0042】

図５において、利用形態予測部１３は、特徴量データ２１内のフロー数テーブル２２を、データベース２から取得する（ステップＳ２０１）。

【0043】

利用形態予測部１３は、特徴量データ２１内のフロー数テーブル２２から、指定の過去日数分のデータを取得する（ステップＳ２０２）。利用形態予測部１３は、取得したデータの中から、予測対象の日付と同じ属性の日付のデータを抽出する（ステップＳ２０３）。そして、利用形態予測部１３は、指定した過去の日数分のデータについて、利用時刻毎に、クライアントＩＰアドレス毎の利用形態の予測を実施する（ステップＳ２０４）。

【0044】

ここで、利用形態の予測方法は、様々な方法を適用することができる。この実施形態では、利用形態の予測方法の一例について図６を参照しながら後述するが、図６に例示する方法に限定されない。

【0045】

ステップＳ２０２～Ｓ２０４までの一例を、図２（Ａ）、図２（Ｂ）を用いて例示する。

【0046】

ここで、日付属性とは日付の特徴である。この実施形態では、監視対象のネットワークで通信している端末３の利用形態を日付属性の観点から捉えるため日付属性を用いることとしている。例えば、企業ネットワークを監視対象とする場合、企業の営業日である「平日」と、休日である「土日祝」とでは端末３の利用形態は異なると考えられるので、ここでは「平日」と「土日祝」を日付属性の一例として挙げている。日付属性は「平日」、「土日祝」に限らず、例えば、「曜日」、「季節」等のような企業等の業務に応じた特徴で分類するようにしてもよい。例えば、企業の場合、決算期末の時期の端末の利用形態を得るなどの目的で日付属性を定義してもよい。

【0047】

例えば、過去の数日分の特徴データをフロー数テーブル２２から読み出す。予測対象の日付を「2023／1／31」とすると、日付「2023／1／31」の属性は「平日」なので、指定した過去の日数分のデータのうち、日付属性が「日付属性：平日」となっているデータを抽出する。そして、利用形態予測部１３は、クライアントＩＰアドレス毎の利用形態を予測する。なお、図２（Ａ）に例示する利用形態予測テーブル２３では、１時間毎の端末３の利用形態を予測する場合を例示しているが、監視しようとする時間（項目「利用時刻」の時間）は限定されない。

【0048】

利用形態予測部１３は、利用形態の予測処理を行う（ステップＳ２０５）。そして、利用形態予測部１３は、クライアントＩＰアドレス毎に、予測対象の日時情報の利用形態の予測結果を出力し（ステップＳ２０６）、今回の予測結果を、データベース２上の利用形態予測テーブル２３に更新する（ステップＳ２０７）。

【0049】

例えば、図２（Ａ）において、「クライアントＩＰアドレス：Ａ」の「利用時刻：2023／1／31＿11」、「日付属性：平日」の利用形態を予測したところ、その結果が「業務時間帯に利用される端末」であったとする。この例の場合、利用形態テーブル２４を参照すると、利用形態予測結果「業務時間帯に利用される端末」は「クラスＩＤ：１」なので、利用形態予測部１３は、利用形態予測テーブル２３の「クラスＩＤ」の欄に「１」を追加する。

【0050】

（Ａ－２－３）利用形態予測処理例
図６は、実施形態における利用形態予測処理の一例を示すフローチャートである。

【0051】

利用形態予測部１３は、フロー数テーブル２２を取得し、指定した過去の日数分のデータから、あるクライアントＩＰアドレスを含むトラフィックフローを抽出する（ステップＳ３０１）。

【0052】

利用形態予測部１３は、単位時間（例えば１時間）毎に当該クライアントＩＰアドレスのフロー発生数を求め、単位時間当たりのフロー発生平均値を求める。そして、利用形態予測部１３は、単位時間当たりのフロー発生平均値と閾値とを比較し（ステップＳ３０２）、フロー発生平均値が閾値以下の場合、ステップＳ３０３に処理は移行し（ステップＳ３０２／閾値以下）、フロー発生平均値が閾値を超えている場合、ステップＳ３０４に処理は移行する（ステップＳ３０２／閾値超）。

【0053】

ステップＳ３０２で、単位時間当たりのフロー発生平均値が閾値以下の場合、利用形態予測部１３は、指定された過去の日数とフローが発生した日数とに基づいて、フローが発生した日数の割合を求めて閾値と比較する（ステップＳ３０３）。そして、フローが発生した日数の割合の値が閾値を超えている場合には、ステップＳ３０５に処理は移行し（ステップＳ３０３／閾値超）、フローが発生した日数の割合の値が閾値以下の場合、ステップＳ３０６に処理は移行する（ステップＳ３０３／閾値以下）。

【0054】

また、ステップＳ３０２で、単位時間当たりのフロー発生平均値が閾値を超えている場合、利用形態予測部１３は、業務時間外の時間帯での端末３の利用を捉えるため、例えば18:00～9:00の時間帯を夜間と定義し、その夜間のフロー発生数を求めて閾値と比較する（ステップＳ３０４）。そして、夜間のフロー発生数の値が閾値を超えている場合、ステップＳ３０７に処理は移行し（ステップＳ３０４／閾値超）、夜間のフロー発生数の値が閾値以下の場合、ステップＳ３０８に処理は移行する（ステップＳ３０４／閾値以下）。

【0055】

上述したフローにより、ステップＳ３０５の場合、単位時間当たりのフロー発生数は多くないが、常時フローが発生しているので、「常時機械的な通信をしている端末」と予測できる。

【0056】

また、ステップＳ３０６の場合、単位時間当たりのフロー発生数は多くなく、フローの発生日数も少ないので、「ほとんど利用されていない端末」と予測できる。

【0057】

更に、ステップＳ３０７の場合、単位時間当たりのフロー発生数は多く、夜間のフロー発生数も多いため、「定常的に操作されているが、利用時間帯の定義が困難な端末」と予測できる。

【0058】

また更に、ステップＳ３０８の場合、単位時間当たりのフロー発生数は多く、夜間のフロー発生数は少ないので、「定常的に操作されていて、利用時間帯が日中業務時間内の端末」と予測できる。

【0059】

利用形態予測部１３は、上述したフローで端末３の利用形態を予測すると、その利用形態の予測結果を出力する（ステップＳ３０９）。

【0060】

なお、複数のクライアントＩＰアドレスが存在している場合には、全てのクライアントＩＰアドレスについてステップＳ３０１～Ｓ３０９の処理を行なう。

【0061】

（Ａ－２－４）利用形態の適用時の処理
この実施形態では、監視対象のネットワークに接続可能な全ての端末３の利用形態を監視することができるものとする。換言すると、全ての端末３のクライアントＩＰアドレスを、監視対象として認識しているものとする。他方、利用形態予測テーブル２３では、予測対象とする日時等によっては、必ずしも全てのクライアントＩＰアドレスの利用形態を捉えることができないことが生じ得る。そこで、利用形態適用部１５は、利用形態予測テーブル２３に存在していないクライアントＩＰアドレスについてデフォルトの利用形態を適用しようとするものである。

【0062】

図７は、実施形態に係る利用形態の適用時の処理を示すフローチャートである。

【0063】

利用形態適用部１５は、データベース２から利用形態予測テーブル２３を取得する（ステップＳ４０１）。利用形態適用部１５は、取得した利用形態予測テーブル２３から、現在時刻の次の時刻のデータを参照する（ステップＳ４０２）。すなわち、利用形態予測テーブル２３に記録されているデータのうち、現在時刻の次の時刻のデータを読み出すようにしている。

【0064】

そして、利用形態適用部１５は、事前に認識している監視対象の全てのクライアントＩＰアドレスについて利用形態の予測ができているかを確認するため、全てのクライアントＩＰアドレス毎に利用形態を取得する（ステップＳ４０３）。

【0065】

利用形態適用部１５は、利用形態予測テーブル２３に存在しないクライアントＩＰアドレスがある場合、そのクライアントＩＰアドレスに対しては、パラメーターで設定したデフォルトの利用形態を関連付ける（ステップＳ４０４）。なお、ステップＳ４０１に戻り、利用形態予測テーブル２３に存在しないクライアントＩＰアドレスが複数存在しているときには、残りのクライアントＩＰアドレスに対してもデフォルトの利用形態を関連付ける。

【0066】

利用形態適用部１５は、利用形態を異常検知部１４に与える（ステップＳ４０５）。

【0067】

（Ａ－２－５）異常検知処理
図８（Ａ）は、実施形態に係る異常検知処理を示すフローチャートであり、図８（Ｂ）は、実施形態に係るネットワーク監視時のデータの流れを示す図である。

【0068】

ネットワーク監視の際、データベース２に保存されている利用形態予測テーブル２３が異常検知部１４に入力される（ステップＳ５０１）。

【0069】

異常検知部１４へは利用形態予測テーブル２３は定期的に最新ものが入力される（図８（Ｂ）参照）。すなわち、現在行なうネットワーク監視の利用時刻、日付属性が含まれている利用形態予測テーブル２３が、異常検知部１４に入力される。これにより、利用形態予測テーブル２３に記録されている各クライアントＩＰアドレスの利用形態と、現在実際に行なうネット監視で得られる各クライアントＩＰアドレスの利用形態との違いを捉えることができる。

【0070】

そして、通信データキャプチャ部１１によるネットワーク監視が行なわれる（ステップＳ５０２）。

【0071】

すなわち、監視対象のネットワーク上を流れるパケットは、通信データキャプチャ部１１にキャプチャされ、通信データキャプチャ部１１により通信データが作成され、所定時間毎に、通信データが異常検知部１４に与えられる。

【0072】

図８（Ｂ）の例では、例えば１秒間隔で通信データが異常検知部１４に通知される場合を例示しているが、これに限らず、通知データがネットワーク監視の運用に合わせて設定することができる。

【0073】

次に、異常検知部１４は、取得した通信データと利用形態予測テーブル２３とを用いて、利用形態予測テーブル２３と異なる時間帯でネットワークデータを発生したクライアントＩＰアドレスがあるか否かを確認する（ステップＳ５０３）。つまり、異常検知部１４は、通知データのみに基づいて異常検知ができる。

【0074】

利用形態予測テーブル２３と異なる時間帯でネットワークデータを発生したクライアントＩＰアドレスがある場合（ステップＳ５０３／ＹＥＳ）、異常検知部１４は「異常」を検知し（ステップＳ５０４）、そうでない場合（ステップＳ５０３／ＮＯ）、異常は検知されず、ステップＳ５０２に処理は戻り、引き続きネットワーク監視が行なわれる。

【0075】

（Ａ－３）実施形態の効果
以上のように、この実施形態によれば、ネットワーク上に設置した異常検知装置内の通信データキャプチャ部でネットワーク上を流れる通信データを取得し、特徴量作成部で特徴量に加工し、利用形態予測部で利用形態予測テーブルを作成して、データベースに保存する。これによって、ネットワークから取得した通信データのみから、ネットワーク内に存在する端末について、端末毎の利用形態を定義できる。端末が存在するネットワーク内の通信データのみを利用するため、対象の端末に対して稼働状況を取得するためのソフトウェアなどを導入する必要がない。

【0076】

（Ｂ）他の実施形態
上述した実施形態においても種々の変形実施形態を言及したが、本発明は以下の変形実施形態にも適用できる。

【0077】

（Ｂ－１）上述した実施形態では、通信データから得られる特徴量としてフロー生成量（フロー発生数）を用いたが、通信量など異なる観点を用いてもよい。つまり、ネットワークを流れる通信データの特徴量の一例として、上述した実施形態ではフロー発生数を用いて、端末の利用形態を予測したが、通信データの特徴量の別の一例としてネットワーク上を流れる通信データのデータ通信量を用いて、端末の利用形態を予測してもよい。

【0078】

例えば、利用形態予測部１３が、ネットワーク上からキャプチャした通信データに基づいて、利用時刻毎に、クライアントＩＰアドレス毎の単位時間当たりの平均データ通信量を求めて、当該端末の利用形態を捉えることができる。そうすることで、例えば、平日の業務時間内で、定常的に、所定のデータ通信量の通信を行なっている端末があるとする。そのような端末が、土日祝などの業務時間外に、大きなデータ通信量の通信を行なったときには、異常検知部１４が異常検知することができる。

【0079】

（Ｂ－２）図２（Ａ）に例示した利用形態予測テーブル２３の項目に限らず、別の項目を備えるようにしてもよい。利用形態を予測する判定項目として、フロー発生数／時、フローが発生した日数の割合、夜間フロー発生数を用いたが、異なる観点を利用してもよい。

【0080】

また、図６には、端末の利用形態の予測処理の一例を例示したがこれに限らない。例えば、フロー発生数／時、フローが発生した日数の割合、夜間フロー発生数などの判定項目について、１個の閾値を設ける場合を例示したが、２個以上の閾値を設けて範囲をもつものもよい。

【0081】

（Ｂ－３）通信データキャプチャ部１１と、特徴量作成部１２と、利用形態予測部１３と、異常検知部１４と、利用形態適用部１５を、データベース２、物理的に同一の利用形態予測装置１上に備える場合を例示したが、上述した実施形態で説明した各処理が機能的に実施されるのであれば、サーバーやエッジ端末などに分散して設置してもよい。また、利用形態の判定方式として、ルールベースによる閾値判別を用いたが、機械学習など他の方式を用いてもよい。

【符号の説明】

【0082】

１…端末利用形態予測装置、１１…通信データキャプチャ部、１２…特徴量作成部、１３…利用形態予測部、１４…異常検知部、１５…利用形態適用部、２…データベース、２１…特徴量データ、２２…フロー数テーブル、２３…利用形態予測テーブル、２４…利用形態テーブル、２５…通信インタフェース部、３…端末、５…通信システム。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】