知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024118381
(43)【公開日】2024-08-30
(54)【発明の名称】リスクスコア算出装置
(51)【国際特許分類】
G06F 11/07 20060101AFI20240823BHJP
G06N 7/00 20230101ALI20240823BHJP
【ＦＩ】
G06F11/07 151
G06N7/00
【審査請求】有
【請求項の数】5
【出願形態】書面
(21)【出願番号】P 2023036028
(22)【出願日】2023-02-20
(71)【出願人】
【識別番号】504268700
【氏名又は名称】株式会社網屋
(74)【代理人】
【識別番号】100138519
【弁理士】
【氏名又は名称】奥谷 雅子
(74)【代理人】
【識別番号】230114801
【弁護士】
【氏名又は名称】杉原 嘉樹
(74)【代理人】
【識別番号】230108442
【弁護士】
【氏名又は名称】佐藤 明夫
(72)【発明者】
【氏名】石田 晃太
(72)【発明者】
【氏名】西垣 柊平
(72)【発明者】
【氏名】明間 陸
【テーマコード（参考）】
5B042
【Ｆターム（参考）】
5B042KK13
5B042MA08
5B042MA14
5B042MC40
(57)【要約】
【課題】 従来のログ解析技術には、インシデントに管理者が積極的に関わり自ら気付かないといけないという課題があり、更にコンピュータを利用する環境の変化に伴い、インシデントを発見する為のルールも迅速に変更する必要が有り、ルール変更に時間をかけるとインシデントを見逃す可能性も有るといった課題が有る。
【解決手段】 コンピュータや機械類、電気製品、その他の物などが出力するログ情報を入力情報として機械学習を行う事により、ユーザ毎に１日毎、１時間毎、ファイルのパス毎の利用モデルを作成し、リスクスコアを計算する事によって異常なアクセスなどを検知し１日毎、１時間毎、ファイルパス毎と言った区分に分けてインシデントを管理者に通知する。
【選択図】図１
【解決手段】 コンピュータや機械類、電気製品、その他の物などが出力するログ情報を入力情報として機械学習を行う事により、ユーザ毎に１日毎、１時間毎、ファイルのパス毎の利用モデルを作成し、リスクスコアを計算する事によって異常なアクセスなどを検知し１日毎、１時間毎、ファイルパス毎と言った区分に分けてインシデントを管理者に通知する。
【選択図】図１
【特許請求の範囲】
【請求項1】
対象となるコンピュータ装置群が出力するログ情報を収集し、前記ログ情報を基にリスクスコアを算出する装置であって、
過去にユーザがファイル等にアクセスしたログ情報を学習用アクセスログとして読込み、その中から同一ファイルパスを収集し、ディレクトリ階層構造上の親子関係にあるファイルパスの親側の同一パスを除外して集計して、ファイルパスの出現数が予め設定された閾値以上の該ファイルパスを基準ファイルパスとして作成する基準ファイルパス抽出処理手段と、
前記基準ファイルパス抽出処理で作成した基準ファイルパス毎の距離を階層Ｌｉ（１≦ｉ≦ｎ、ｎ：基準ファイルパスの総数）としてカウントし、その階層Ｌｉの総和の平均値Ｌ－を算出し、その平均値Ｌ－を用いて、階層Ｌｉの数値のばらつき具合を示す指標として分散値Ｓ２を、数１により算出する基準値算定処理手段と、
検知対象アクセスログに含まれるファイルパスについて、前記基準ファイルパス抽出処理で作成した基準ファイルパスと比較して、１００％一致するファイルパスについては、安全と評価してパススコア＝０として算出し、１００％一致しないファイルパスについては、前記基準ファイルパス抽出処理で作成した基準ファイルパスと一番近いファイルパスとの距離Ｌをカウントし、その距離Ｌを用いて、数２によりＰとＸを算出し、数２で算出したＸを用いて、数３によりファイルパスのリスクとしてパススコアを算出するパススコア算出処理手段と、
を備えたことを特徴とするリスクスコア算出装置。
過去にユーザがファイル等にアクセスしたログ情報を学習用アクセスログとして読込み、その中から同一ファイルパスを収集し、ディレクトリ階層構造上の親子関係にあるファイルパスの親側の同一パスを除外して集計して、ファイルパスの出現数が予め設定された閾値以上の該ファイルパスを基準ファイルパスとして作成する基準ファイルパス抽出処理手段と、
前記基準ファイルパス抽出処理で作成した基準ファイルパス毎の距離を階層Ｌｉ（１≦ｉ≦ｎ、ｎ：基準ファイルパスの総数）としてカウントし、その階層Ｌｉの総和の平均値Ｌ－を算出し、その平均値Ｌ－を用いて、階層Ｌｉの数値のばらつき具合を示す指標として分散値Ｓ２を、数１により算出する基準値算定処理手段と、
【数1】
を備えたことを特徴とするリスクスコア算出装置。
【数2】
【数3】
【請求項2】
対象となるコンピュータ装置群が出力するログ情報を収集し、前記ログ情報を基にリスクスコアを算出する装置であって、
検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値を算出し、前記各時刻移動平均頻度値を入力データとしてカーネル密度推定を使用し確率密度を算出し、前記確率密度から負の対数尤度を算出し、
前記対数尤度を使用して数４により正規化用の定数Ｐｍｉｎを作成した後、その正規化用の定数Ｐｍｉｎを使用して数５により、ユーザ毎のリスクスコアを算出し、前記ユーザ毎のリスクスコアを用いて数６により、各時刻の対数尤度を算出し、前記各時刻の対数尤度を用いて数７により、日付単位のリスクとしてデイリースコアを算出する頻度スコア算出処理手段
を備えたことを特徴とするリスクスコア算出装置。
検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値を算出し、前記各時刻移動平均頻度値を入力データとしてカーネル密度推定を使用し確率密度を算出し、前記確率密度から負の対数尤度を算出し、
前記対数尤度を使用して数４により正規化用の定数Ｐｍｉｎを作成した後、その正規化用の定数Ｐｍｉｎを使用して数５により、ユーザ毎のリスクスコアを算出し、前記ユーザ毎のリスクスコアを用いて数６により、各時刻の対数尤度を算出し、前記各時刻の対数尤度を用いて数７により、日付単位のリスクとしてデイリースコアを算出する頻度スコア算出処理手段
を備えたことを特徴とするリスクスコア算出装置。
【数4】
【数5】
【数6】
【数7】
【請求項3】
対象となるコンピュータ装置群が出力するログ情報を収集し、前記ログ情報を基にリスクスコアを算出する装置であって、
学習アクセスログから、１時間単位のアクセス回数を集計し、前記アクセス回数を集計したものを集計対象の時間数で割り、１時間単位の平均頻度を算出し、前記１時間単位の平均頻度を基に各時間の中央値に三角移動平均を計算して各時間の頻度値ｘｉを算出し、前記頻度値ｘｉを全て足し合せた合計値を２４で割り１日の１時間あたりの平均値ｘ－を算出し、数８により、前記頻度値ｘｉから前記平均値ｘ－を引くことにより各時間の偏差Ｈを算出し、数９により、前記偏差Ｈの平方の平均を算出して、学習ユーザ毎の各時刻移動平均頻度値Ｖとして算出し、前記検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値Ｋを算出し、前記頻度値Ｋがゼロの場合はリスクゼロと判断し、前記頻度値Ｋがゼロ以外の場合は、数１０により、前記頻度値Ｋから学習ユーザ毎の各時刻移動平均頻度値の頻度値Ｘを引いた値Ｄがゼロまたはマイナスになった場合はリスクゼロと判断し、前記値Ｄがプラスになった場合は、数１０により、各時間のＤ＾２からＶを引いた値がプラスの場合、危険な時間帯と判断して、リスクが高くなった日の時間帯として通知する時間スコア算出処理手段
を備えたことを特徴とするリスクスコア算出装置。
学習アクセスログから、１時間単位のアクセス回数を集計し、前記アクセス回数を集計したものを集計対象の時間数で割り、１時間単位の平均頻度を算出し、前記１時間単位の平均頻度を基に各時間の中央値に三角移動平均を計算して各時間の頻度値ｘｉを算出し、前記頻度値ｘｉを全て足し合せた合計値を２４で割り１日の１時間あたりの平均値ｘ－を算出し、数８により、前記頻度値ｘｉから前記平均値ｘ－を引くことにより各時間の偏差Ｈを算出し、数９により、前記偏差Ｈの平方の平均を算出して、学習ユーザ毎の各時刻移動平均頻度値Ｖとして算出し、前記検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値Ｋを算出し、前記頻度値Ｋがゼロの場合はリスクゼロと判断し、前記頻度値Ｋがゼロ以外の場合は、数１０により、前記頻度値Ｋから学習ユーザ毎の各時刻移動平均頻度値の頻度値Ｘを引いた値Ｄがゼロまたはマイナスになった場合はリスクゼロと判断し、前記値Ｄがプラスになった場合は、数１０により、各時間のＤ＾２からＶを引いた値がプラスの場合、危険な時間帯と判断して、リスクが高くなった日の時間帯として通知する時間スコア算出処理手段
を備えたことを特徴とするリスクスコア算出装置。
【数8】
【数9】
【数10】
【請求項4】
請求項１に記載のリスクスコア算出装置であって、
前記検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値を算出し、前記各時刻移動平均頻度値を入力データとしてカーネル密度推定を使用し確率密度を算出し、前記確率密度から負の対数尤度を算出し、前記対数尤度を使用して数４により正規化用の定数Ｐｍｉｎを作成した後、その正規化用の定数Ｐｍｉｎを使用して数５により、ユーザ毎のリスクスコアを算出し、
該ユーザ毎のリスクスコアを用いて数６により、各時刻の対数尤度を算出し、
該各時刻の対数尤度を用いて数７により、日付単位のリスクとしてデイリースコアを算出する頻度スコア算出処理と、
学習アクセスログから、１時間単位のアクセス回数を集計し、前記アクセス回数を集計したものを集計対象の時間数で割り、１時間単位の平均頻度を算出し、前記１時間単位の平均頻度を基に各時間の中央値に三角移動平均を計算して各時間の頻度値ｘｉを算出し、前記頻度値ｘｉを全て足し合せた合計値を２４で割り１日の１時間あたりの平均値ｘ－を算出し、数８により、前記頻度値ｘｉから前記平均値ｘ－を引くことにより各時間の偏差Ｈを算出し、数９により、前記偏差Ｈの平方の平均を算出して、学習ユーザ毎の各時刻移動平均頻度値Ｖとして算出し、検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値Ｋを算出し、前記頻度値Ｋがゼロの場合はリスクゼロと判断し、前記頻度値Ｋがゼロ以外の場合は、数１０により、前記頻度値Ｋから学習ユーザ毎の各時刻移動平均頻度値の頻度値Ｘを引いた値Ｄがゼロまたはマイナスになった場合はリスクゼロと判断し、前記値Ｄがプラスになった場合は、数１０により、各時間のＤ２からＶを引いた値がプラスの場合、危険な時間帯と判断して、リスクが高くなった日の時間帯として通知する時間スコア算出処理手段と、
を備え、
前記パススコア算出処理により算出されたファイルパスのリスク、前記頻度スコア算出処理により算出された日付単位のリスク、および前記時間スコア算出処理により算出された時間単位のリスク、の組合せを用いて、リスクの度合いを詳細に検出することを特徴とするリスクスコア算出装置。
前記検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値を算出し、前記各時刻移動平均頻度値を入力データとしてカーネル密度推定を使用し確率密度を算出し、前記確率密度から負の対数尤度を算出し、前記対数尤度を使用して数４により正規化用の定数Ｐｍｉｎを作成した後、その正規化用の定数Ｐｍｉｎを使用して数５により、ユーザ毎のリスクスコアを算出し、
該ユーザ毎のリスクスコアを用いて数６により、各時刻の対数尤度を算出し、
該各時刻の対数尤度を用いて数７により、日付単位のリスクとしてデイリースコアを算出する頻度スコア算出処理と、
【数4】
【数5】
【数6】
【数7】
【数8】
【数9】
【数10】
前記パススコア算出処理により算出されたファイルパスのリスク、前記頻度スコア算出処理により算出された日付単位のリスク、および前記時間スコア算出処理により算出された時間単位のリスク、の組合せを用いて、リスクの度合いを詳細に検出することを特徴とするリスクスコア算出装置。
【請求項5】
請求項１に記載のリスクスコア算出装置であって、
前記基準ファイルパス抽出処理手段は、
過去にユーザがファイル等にアクセスしたログ情報を学習用アクセスログとして読込み、その中からファイルパスをデバイスやドライブ、ディレクトリィ、ファイル単位などの階層ごとに分解し、
分解したデバイスやドライブ、ディレクトリィ、ファイル毎にファイルパスの出現回数を数えて、その回数が予め定めた基準値以上出現したデバイスやドライブ、ディレクトリィ、ファイルを確保して、基準値以上出現したデバイスやドライブ、ディレクトリィ、ファイルのファイルパスの中で、サブディレクトリィを持たないファイルパスを基準ファイルパスとする、
ことを特徴とするリスクスコア算出装置。
前記基準ファイルパス抽出処理手段は、
過去にユーザがファイル等にアクセスしたログ情報を学習用アクセスログとして読込み、その中からファイルパスをデバイスやドライブ、ディレクトリィ、ファイル単位などの階層ごとに分解し、
分解したデバイスやドライブ、ディレクトリィ、ファイル毎にファイルパスの出現回数を数えて、その回数が予め定めた基準値以上出現したデバイスやドライブ、ディレクトリィ、ファイルを確保して、基準値以上出現したデバイスやドライブ、ディレクトリィ、ファイルのファイルパスの中で、サブディレクトリィを持たないファイルパスを基準ファイルパスとする、
ことを特徴とするリスクスコア算出装置。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ユーザがコンピュータ装置等に格納されているファイルなどを操作する際、出力されるファイル操作ログ情報を、人工知能（ＡＩ：ａｒｔｉｆｉｃｉａｌ ｉｎｔｅｌｌｉｇｅｎｃｅ）技術を用いた装置等により、機械学習技術を利用して、利用者毎のログ発生パターンから特徴量を検出して未知、複雑、多様なインシデントを検知する技術に関する。
【背景技術】
【0002】
近年、ＰＣ、スマートフォン、タブレットコンピュータ等、様々な種類のコンピュータを人間が使用する局面が増加し、ＩＣＴ、ＩｏＴと言った新たなコンピュータの利用形態が増加して、ＩＣＴやＩｏＴなどから、ＡＩを搭載した自動車を始めネットワークによって繋がる様々な業種業態の機械や電気機器などが情報通信分野に入り込み、フィジカル空間からの膨大な情報がサイバー空間に集まることによって、動作記録、監査証跡を残す為のログデータが途方もなく膨大となり、分析や解析が複雑化し、発生するインシデント量も増加している。
【0003】
従来技術のようなルールベースに基づくＩＴ技術では、インシデントに管理者が積極的に関わり自ら気付かないといけないという課題があり、問題を見逃すおそれも有り、コンピュータを利用する環境の変化に伴い、インシデントを発見する為のルールも迅速に変更する必要が有り、ルール変更に時間をかけるとインシデントを見逃す可能性も有る、といった課題が有る。
【0004】
機械学習を利用し、ユーザ毎にログの発生パターンを学習させることで、ユーザ毎の正常なふるまいを定義するモデル群を作成する事により、ユーザ毎に重要な情報を不正に持ち出すと言ったファイルの不正利用などの異常を自動検出でき、従来のルールベースの手法では困難であった、膨大なデータから即座に未知、複雑、多様なインシデントを検知するといった技術が必要とされる。
【0005】
特許文献１から５に示したような先行技術は、分散の式を使用している為に概念は近いものかもしれないが、本願はファイルパスというそのままでは分散を計算できないものに対して、距離と言った数値化を計り、最も近い基準パスとの距離というものを考えることで計算すると言った特徴がある。
【先行技術文献】
【特許文献】
【0006】
【特許文献1】特開第２０１８－２０６２７３号公報
【特許文献2】特開第２００４－３０９９９８号公報
【特許文献3】特開第２００５－３３２３４５号公報
【特許文献4】特開第２０２１－０６４３２３号公報
【特許文献5】特開第２００５－２５８５９９号公報
【発明の概要】
【発明が解決しようとする課題】
【0007】
コンピュータ装置にはそのコンピュータ装置上で稼動するＯＳを含めた全てのソフトウェアの動作をログファイルとして記録する機能を有するが、その記録はＯＳの内部の挙動を全て記録したログファイルとして記録されるために、情報量が膨大で複雑になるため、人間が読解するのに困難なログファイルとなっている。その為、コンピュータシステムに関わる事件や事故に対して、人間がどのように操作していたか、インシデント管理やセキュリティ管理の観点から検証を行う必要が有る。更に今後発達するＩｏＴの観点からモノ同士がコミュニケーションをするための情報分析を効率的かつ正確に行う必要性も増加している。
【0008】
しかしながら、コンピュータシステムやパソコン類（スマートフォン、タブレット、ウェアラブル）、機械類（産業機器、一般機器、乗り物）、その他のモノ（家電、家具、建築物）がＩｏＴとして接続されるが、ＯＳなどのバージョンアップ、利用者の利用環境の変化といった事によって、人間がコンピュータをどの様に操作したかと言った操作ログ出力のルールが変ってしまうと言った課題が有る。
【課題を解決するための手段】
【0009】
本発明は、以下の手順を実現するためのものである。
コンピュータシステムやパソコン類（スマートフォン、タブレット、ウェアラブル）、機械類（産業機器、一般機器、乗り物）、電気製品、その他のモノ（家具、建築物）などが出力するログ情報（イベントログデータ、監査ログデータ、システムログ、アプリケーションログ、サービスログなど）を入力として、ユーザ、サーバなど対象毎に人間の操作ログ情報を抽出し、機械学習を行う事により、コンピュータを操作するユーザ毎に１日の頻度、ファイルパスの利用傾向によりモデルを作成し、リスクスコアを計算する事によって異常なアクセスなどを検知し日毎、時間毎、ファイルパス毎と言った区分に分けてインシデントを管理者に通知する。
コンピュータシステムやパソコン類（スマートフォン、タブレット、ウェアラブル）、機械類（産業機器、一般機器、乗り物）、電気製品、その他のモノ（家具、建築物）などが出力するログ情報（イベントログデータ、監査ログデータ、システムログ、アプリケーションログ、サービスログなど）を入力として、ユーザ、サーバなど対象毎に人間の操作ログ情報を抽出し、機械学習を行う事により、コンピュータを操作するユーザ毎に１日の頻度、ファイルパスの利用傾向によりモデルを作成し、リスクスコアを計算する事によって異常なアクセスなどを検知し日毎、時間毎、ファイルパス毎と言った区分に分けてインシデントを管理者に通知する。
【0010】
第１発明に係るリスクスコア算出装置は、
対象となるコンピュータ装置群が出力するログ情報を収集し、ログ情報を基にリスクスコアを算出する装置であって、
過去にユーザがファイル等にアクセスしたログ情報を学習用アクセスログとして読込み、その中から同一ファイルパスを収集し、ディレクトリ階層構造上の親子関係にあるファイルパスの親側の同一パスを除外して集計して、ファイルパスの出現数が予め設定された閾値以上の該ファイルパスを基準ファイルパスとして作成する基準ファイルパス抽出処理手段と、
基準ファイルパス抽出処理手段で作成した基準ファイルパス毎の距離を階層Ｌｉ（１≦ｉ≦ｎ，ｎ：基準ファイルパスの総数）としてカウントし、その階層Ｌｉの総和の平均値Ｌ－（Ｌバー）を算出し、その平均値Ｌ－（Ｌバー）を用いて、階層Ｌｉの数値のばらつき具合を示す指標として分散値Ｓ２（Ｓ＾２）を、数１により算出する基準値算定処理手段と、
検知対象アクセスログに含まれるファイルパスについて、前記基準ファイルパス抽出処理で作成した基準ファイルパスと比較して、１００％一致するファイルパスについては、安全と評価してパススコア＝０として算出し、１００％一致しないファイルパスについては、前記基準ファイルパス抽出処理で作成した基準ファイルパスと一番近いファイルパスとの距離Ｌをカウントし、その距離Ｌを用いて、数２によりＰとＸを算出し、数２で算出したＸを用いて、数３によりファイルパスのリスクとしてパススコアを算出するパススコア算出処理手段と、を備えたことを特徴とする。
対象となるコンピュータ装置群が出力するログ情報を収集し、ログ情報を基にリスクスコアを算出する装置であって、
過去にユーザがファイル等にアクセスしたログ情報を学習用アクセスログとして読込み、その中から同一ファイルパスを収集し、ディレクトリ階層構造上の親子関係にあるファイルパスの親側の同一パスを除外して集計して、ファイルパスの出現数が予め設定された閾値以上の該ファイルパスを基準ファイルパスとして作成する基準ファイルパス抽出処理手段と、
基準ファイルパス抽出処理手段で作成した基準ファイルパス毎の距離を階層Ｌｉ（１≦ｉ≦ｎ，ｎ：基準ファイルパスの総数）としてカウントし、その階層Ｌｉの総和の平均値Ｌ－（Ｌバー）を算出し、その平均値Ｌ－（Ｌバー）を用いて、階層Ｌｉの数値のばらつき具合を示す指標として分散値Ｓ２（Ｓ＾２）を、数１により算出する基準値算定処理手段と、
【数1】
【数2】
【数3】
【0011】
第２発明に係るリスクスコア算出装置は、
対象となるコンピュータ装置群が出力するログ情報を収集し、該ログ情報を基にリスクスコアを算出する装置であって、
検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度値を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値を算出し、
各時刻移動平均頻度値を入力データとしてカーネル密度推定を使用して確率密度を算出し、
確率密度から負の対数尤度を算出し、
対数尤度を使用して数４により正規化用の定数Ｐｍｉｎを作成した後、その正規化用の定数Ｐｍｉｎを使用して数５により、ユーザ毎のリスクスコアを算出し、該ユーザ毎のリスクスコアを用いて数６により、各時刻の対数尤度を算出し、各時刻の対数尤度を用いて数７により、日付単位のリスクとしてデイリースコアを算出する頻度スコア算出処理手段、を備えたことを特徴とする。
対象となるコンピュータ装置群が出力するログ情報を収集し、該ログ情報を基にリスクスコアを算出する装置であって、
検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度値を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値を算出し、
各時刻移動平均頻度値を入力データとしてカーネル密度推定を使用して確率密度を算出し、
確率密度から負の対数尤度を算出し、
対数尤度を使用して数４により正規化用の定数Ｐｍｉｎを作成した後、その正規化用の定数Ｐｍｉｎを使用して数５により、ユーザ毎のリスクスコアを算出し、該ユーザ毎のリスクスコアを用いて数６により、各時刻の対数尤度を算出し、各時刻の対数尤度を用いて数７により、日付単位のリスクとしてデイリースコアを算出する頻度スコア算出処理手段、を備えたことを特徴とする。
【数4】
【数5】
【数6】
【数7】
【0012】
第３発明に係るリスクスコア算出装置は、
対象となるコンピュータ装置群が出力するログ情報を収集してリスクスコアを算出する装置であって、
学習アクセスログから、１時間単位のアクセス回数を集計し、１時間単位のアクセス回数を集計したものを集計対象の時間数で割り、１時間単位の平均頻度を算出し、１時間単位の平均頻度を基に各時間の中央値に三角移動平均を計算して各時間の頻度値ｘｉを算出し、頻度値ｘｉを全て足し合せた合計値を２４で割り１日の１時間あたりの平均値ｘ－（ｘバー）を算出し、数８により、頻度値ｘｉから平均値ｘ－（ｘバー）を引くことにより各時間の偏差Ｈを算出し、数９により、前記偏差Ｈの平方の平均を算出して、学習ユーザ毎の各時刻移動平均頻度値Ｖとして算出し、検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値Ｋを算出し、各時刻移動平均頻度値頻度値Ｋがゼロの場合はリスクゼロと判断し、各時刻移動平均頻度値Ｋがゼロ以外の場合は、数１０により、各時刻移動平均頻度値Ｋから学習ユーザ毎の各時刻移動平均頻度値の頻度値Ｘを引いた値Ｄがゼロまたはマイナスになった場合はリスクゼロと判断し、値Ｄがプラスになった場合は、数１０により、各時間のＤ２（Ｄ＾２）からＶを引いた値がプラスの場合、危険な時間帯と判断して、リスクが高くなった日の時間帯として通知する時間スコア算出処理、を備えたことを特徴とする。
対象となるコンピュータ装置群が出力するログ情報を収集してリスクスコアを算出する装置であって、
学習アクセスログから、１時間単位のアクセス回数を集計し、１時間単位のアクセス回数を集計したものを集計対象の時間数で割り、１時間単位の平均頻度を算出し、１時間単位の平均頻度を基に各時間の中央値に三角移動平均を計算して各時間の頻度値ｘｉを算出し、頻度値ｘｉを全て足し合せた合計値を２４で割り１日の１時間あたりの平均値ｘ－（ｘバー）を算出し、数８により、頻度値ｘｉから平均値ｘ－（ｘバー）を引くことにより各時間の偏差Ｈを算出し、数９により、前記偏差Ｈの平方の平均を算出して、学習ユーザ毎の各時刻移動平均頻度値Ｖとして算出し、検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値Ｋを算出し、各時刻移動平均頻度値頻度値Ｋがゼロの場合はリスクゼロと判断し、各時刻移動平均頻度値Ｋがゼロ以外の場合は、数１０により、各時刻移動平均頻度値Ｋから学習ユーザ毎の各時刻移動平均頻度値の頻度値Ｘを引いた値Ｄがゼロまたはマイナスになった場合はリスクゼロと判断し、値Ｄがプラスになった場合は、数１０により、各時間のＤ２（Ｄ＾２）からＶを引いた値がプラスの場合、危険な時間帯と判断して、リスクが高くなった日の時間帯として通知する時間スコア算出処理、を備えたことを特徴とする。
【数8】
【数9】
【数10】
【0013】
第４発明に係るリスクスコア算出装置は、第１発明において、
検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値を算出し、各時刻移動平均頻度値を入力データとしてカーネル密度推定を使用し確率密度を算出し、確率密度から負の対数尤度を算出し、対数尤度を使用して数４により正規化用の定数Ｐｍｉｎを作成した後、その正規化用の定数Ｐｍｉｎを使用して数５により、ユーザ毎のリスクスコアを算出し、ユーザ毎のリスクスコアを用いて数６により、各時刻の対数尤度を算出し、各時刻の対数尤度を用いて数７により、日付単位のリスクとしてデイリースコアを算出する頻度スコア算出処理手段と、
学習アクセスログから、１時間単位のアクセス回数を集計し、１時間単位のアクセス回数を集計したものを集計対象の時間数で割り、１時間単位の平均頻度を算出し、１時間単位の平均頻度を基に各時間の中央値に三角移動平均を計算して各時間の頻度値ｘｉを算出し、頻度値ｘｉを全て足し合せた合計値を２４で割り１日の１時間あたりの平均値ｘ－（ｘバー）を算出し、数８により、頻度値ｘｉから平均値ｘ－（ｘバー）を引くことにより各時間の偏差Ｈを算出し、数９により、偏差Ｈの平方の平均を算出して、学習ユーザ毎の各時刻移動平均頻度値Ｖとして算出し、検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値Ｋを算出し、頻度値Ｋがゼロの場合はリスクゼロと判断し、頻度値Ｋがゼロ以外の場合は、数１０により、前記頻度値Ｋから学習ユーザ毎の各時刻移動平均頻度値の頻度値Ｘを引いた値Ｄがゼロまたはマイナスになった場合はリスクゼロと判断し、値Ｄがプラスになった場合は、数１０により、各時間のＤ２（Ｄ＾２）からＶを引いた値がプラスの場合、危険な時間帯と判断して、リスクが高くなった日の時間帯として通知する時間スコア算出処理手段と、
を備え、
パススコア算出処理により算出されたファイルパスのリスク、前記頻度スコア算出処理により算出された日付単位のリスク、および前記時間スコア算出処理により算出された時間単位のリスク、の組合せを用いて、リスクの度合いを詳細に検出すること、を特徴とする。
検知対象アクセスログから、検知対象日のユーザの１時間単位の、１ファイルに対するオープン処理からクローズ処理までを１回としカウントして集計して各時刻頻度値を作成し、各時刻頻度を時刻方向に三角移動平均を計算してユーザ毎の各時刻移動平均頻度値を算出し、各時刻移動平均頻度値を入力データとしてカーネル密度推定を使用し確率密度を算出し、確率密度から負の対数尤度を算出し、対数尤度を使用して数４により正規化用の定数Ｐｍｉｎを作成した後、その正規化用の定数Ｐｍｉｎを使用して数５により、ユーザ毎のリスクスコアを算出し、ユーザ毎のリスクスコアを用いて数６により、各時刻の対数尤度を算出し、各時刻の対数尤度を用いて数７により、日付単位のリスクとしてデイリースコアを算出する頻度スコア算出処理手段と、
【数4】
【数5】
【数6】
【数7】
【数8】
【数9】
【数10】
パススコア算出処理により算出されたファイルパスのリスク、前記頻度スコア算出処理により算出された日付単位のリスク、および前記時間スコア算出処理により算出された時間単位のリスク、の組合せを用いて、リスクの度合いを詳細に検出すること、を特徴とする。
【0014】
第５発明に係るリスクスコア算出装置は、第１発明において、
基準ファイルパス抽出処理手段は、
過去にユーザがファイル等にアクセスしたログ情報を学習用アクセスログとして読込み、その中からファイルパスをデバイスやドライブ、ディレクトリィ、ファイル単位などの階層ごとに分解し、分解したデバイスやドライブ、ディレクトリィ、ファイル毎にファイルパスの出現回数を数えて、その回数が予め定めた基準値以上出現したデバイスやドライブ、ディレクトリィ、ファイルを確保して、基準値以上出現したデバイスやドライブ、ディレクトリィ、ファイルのファイルパスの中で、サブディレクトリィを持たないファイルパスを基準ファイルパスとする、ことを特徴とする。
数式中にアルファベット一文字の上にバーを記載して示す平均値を示す記号は、本明細書の文章中では便宜上、例えば、「平均値Ｌ－（Ｌバー）」、「平均値ｘ－（ｘバー）」のように示す。
基準ファイルパス抽出処理手段は、
過去にユーザがファイル等にアクセスしたログ情報を学習用アクセスログとして読込み、その中からファイルパスをデバイスやドライブ、ディレクトリィ、ファイル単位などの階層ごとに分解し、分解したデバイスやドライブ、ディレクトリィ、ファイル毎にファイルパスの出現回数を数えて、その回数が予め定めた基準値以上出現したデバイスやドライブ、ディレクトリィ、ファイルを確保して、基準値以上出現したデバイスやドライブ、ディレクトリィ、ファイルのファイルパスの中で、サブディレクトリィを持たないファイルパスを基準ファイルパスとする、ことを特徴とする。
数式中にアルファベット一文字の上にバーを記載して示す平均値を示す記号は、本明細書の文章中では便宜上、例えば、「平均値Ｌ－（Ｌバー）」、「平均値ｘ－（ｘバー）」のように示す。
【発明の効果】
【0015】
本発明は、人間がファイルを操作した結果、コンピュータやスマートフォン等が出力するログデータなどから、データを解析して機械学習し、機械学習した情報を元にリスクを定義して判断するリスクスコア算出装置により、従来のルールベースの手法では困難で有ったインシデントの自動検出を行い、速やかに異常を管理者に通知する。
【図面の簡単な説明】
【0016】
【図1】本発明の実施形態に係るリスクスコア算出装置について、機能構成の一例を示した図である。
【図2】基準ファイルパス抽出処理の処理手順を示したフローチャート図である。
【図3】基準値算定処理の処理手順を示したフローチャート図である。
【図4】パススコア算出処理の処理手順を示したフローチャート図である。
【図5】頻度スコア算出処理の処理手順を示したフローチャート図である。
【図6】移動平均処理の処理手順を示したフローチャート図である。
【図7】時間スコア算出処理の処理手順を示したフローチャート図である。
【図8】各時刻度合処理の処理手順を示したフローチャート図である。
【図9】基準値ファイルパスの一例を示した図である。
【図10】パススコア算出値の一例を示した図である。
【図11】対数尤度表の一例を示した図である。
【図12】時間スコア表の一例を示した図である。
【図13】基準ファイルパス抽出の一例を示した図である。
【発明を実施するための形態】
【実施例0017】
以下、本発明を実施するための形態について図面を参照して詳細に説明する。なお、本発明は、以下に述べる実施形態により限定されるものではない。
【0018】
図１は、本発明の実施形態に係るリスクスコア算出装置について、機能構成の一例を示したものである。リスクスコア算出装置は、コンピュータなどが出力するログ情報を収集し、収集したログ情報を圧縮し、必要な情報を抽出し、数値化されていない情報を独自技術にて数値化し、統計情報とし計算した結果、コンピュータセキュリティ上で脅威となるインシデントを検知する装置である。
【0019】
図１に示すように、リスクスコア算出装置は、基準ファイルパス抽出処理手段１００、基準値算定処理手段２００、パススコア算出処理手段３００、頻度スコア算出処理手段４００、時間スコア算出処理手段５００、を有している。
【0020】
基準ファイルパス抽出処理手段１００にて、対象者が過去にファイルなどをアクセスしたアクセスログファイルである学習用アクセスログ１０１を読み取り基準ファイルパス１０２を作成する。作成された基準ファイルパス１０２を基に、基準値算定処理手段２００にて対象者の基準値２０１を作成する。作成された基準値２０１と、検知対象アクセスログ３０１とを用いて、パススコア算定処理手段３００にて、ファイルパス毎に、レポート群・アラーム発信３０２を出力する。また検知対象アクセスログ３０１を用いて、頻度スコア算出処理４００にて、日毎に、レポート群・アラーム発信３０２を出力する。また検知対象アクセスログ３０１と、学習用アクセスログ１０１とを用いて、時間スコア算出処理手段５００にて、時間毎に、レポート群・アラーム発信３０２を出力する。
【0021】
【0022】
・過去にユーザがファイル等にアクセスした記録の１０１学習用アクセスログを読み取り、同一ファイルパスを集計する為にファイルパス項目をソートキーとして昇順にソートして、１０３昇順ソートアクセスログを作成する。
・１０３昇順ソートアクセスログの同一ファイルパスを集計し、ディレクトリ階層毎に出現数を集計する。
・ディレクトリ階層構造上の親子関係にあるファイルパスの親側の同一パスを除外して集計し、ファイルパスの出現数が予め設定された閾値以上の場合（例えば、今回対象となる全体のアクセスログ件数のｎ％以上）、さらにサブディレクトリを持つファイルパスが無い場合に、該ファイルパスを１６０仮基準パスとして確保する。但し、ｎ％は０％もありえる。
・確保した１６０仮基準パスを、デバイス、ディレクトリ、ファイルと言った単位に１７０仮基準パスを分解し、１８０分解内容をカウントにて、デバイス、ディレクトリ、ファイルと言った単位毎にカウントし、カウントした数が基準値以上の場合１０２基準ファイルパスにパスを書き込み保存する。
・１０３昇順ソートアクセスログの同一ファイルパスを集計し、ディレクトリ階層毎に出現数を集計する。
・ディレクトリ階層構造上の親子関係にあるファイルパスの親側の同一パスを除外して集計し、ファイルパスの出現数が予め設定された閾値以上の場合（例えば、今回対象となる全体のアクセスログ件数のｎ％以上）、さらにサブディレクトリを持つファイルパスが無い場合に、該ファイルパスを１６０仮基準パスとして確保する。但し、ｎ％は０％もありえる。
・確保した１６０仮基準パスを、デバイス、ディレクトリ、ファイルと言った単位に１７０仮基準パスを分解し、１８０分解内容をカウントにて、デバイス、ディレクトリ、ファイルと言った単位毎にカウントし、カウントした数が基準値以上の場合１０２基準ファイルパスにパスを書き込み保存する。
【0023】
【0024】
・１０２昇順ソートアクセスログは１３００１行から１３００５行の５件とする。
・１行目の１３００１行を確保する。
・次に、
・１３００１行Ｃ：／ａａａ／ｂｂｂ／ｃｃｃ．ｐｄｆのファイルパス／ａａａ／ｂｂｂと
１３００２行Ｃ：／ａａａ／ｄｄｄ／ｅｅｅ／ｆｆｆ．ｘｌｓのファイルパス／ａａａ／ｄｄｄ／ｅｅｅとを
比較し異なる値なので１３００２行を確保する。
・１３００２行Ｃ：／ａａａ／ｄｄｄ／ｅｅｅ／ｆｆｆ．ｘｌｓのファイルパス／ａａａ／ｄｄｄ／ｅｅｅと
１３００３行Ｃ：／ａａａ／ｄｄｄ／ｇｇｇ／ｈｈｈ．ｘｌｓのファイルパス／ａａａ／ｄｄｄ／ｇｇｇとを
を比較し異なる値なので１３００３行を確保する。
・１３００３行Ｃ：／ａａａ／ｄｄｄ／ｇｇｇ／ｈｈｈ．ｘｌｓのファイルパス／ａａａ／ｄｄｄ／ｇｇｇと
１３００４行Ｃ：／ｉｉｉ／ｊｊｊ／ｋｋｋ／ｌｌｌ．ｚｉｐのファイルパス／ｉｉｉ／ｊｊｊ／ｋｋｋとを
を比較し異なる値なので１３００４行を確保する。
・１３００４行Ｃ：／ｉｉｉ／ｊｊｊ／ｋｋｋ／ｌｌｌ．ｚｉｐのファイルパス／ｉｉｉ／ｊｊｊ／ｋｋｋと
・１３００５行Ｃ：／ｉｉｉ／ｊｊｊ／ｍｍｍ．ｚｉｐのファイルパス／ｉｉｉ／ｊｊｊとを
を比較すると１３００５行のパスは、／ｉｉｉ／ｊｊｊとなり
１３００４行の／ｉｉｉ／ｊｊｊ／ｋｋｋの中に含まれるパスとなるので
１３００５行のＣ：／ｉｉｉ／ｊｊｊ／ｍｍｍ．ｚｉｐは削除する。
・結果、１３０１仮基準パスが確保される事になる。
・１行目の１３００１行を確保する。
・次に、
・１３００１行Ｃ：／ａａａ／ｂｂｂ／ｃｃｃ．ｐｄｆのファイルパス／ａａａ／ｂｂｂと
１３００２行Ｃ：／ａａａ／ｄｄｄ／ｅｅｅ／ｆｆｆ．ｘｌｓのファイルパス／ａａａ／ｄｄｄ／ｅｅｅとを
比較し異なる値なので１３００２行を確保する。
・１３００２行Ｃ：／ａａａ／ｄｄｄ／ｅｅｅ／ｆｆｆ．ｘｌｓのファイルパス／ａａａ／ｄｄｄ／ｅｅｅと
１３００３行Ｃ：／ａａａ／ｄｄｄ／ｇｇｇ／ｈｈｈ．ｘｌｓのファイルパス／ａａａ／ｄｄｄ／ｇｇｇとを
を比較し異なる値なので１３００３行を確保する。
・１３００３行Ｃ：／ａａａ／ｄｄｄ／ｇｇｇ／ｈｈｈ．ｘｌｓのファイルパス／ａａａ／ｄｄｄ／ｇｇｇと
１３００４行Ｃ：／ｉｉｉ／ｊｊｊ／ｋｋｋ／ｌｌｌ．ｚｉｐのファイルパス／ｉｉｉ／ｊｊｊ／ｋｋｋとを
を比較し異なる値なので１３００４行を確保する。
・１３００４行Ｃ：／ｉｉｉ／ｊｊｊ／ｋｋｋ／ｌｌｌ．ｚｉｐのファイルパス／ｉｉｉ／ｊｊｊ／ｋｋｋと
・１３００５行Ｃ：／ｉｉｉ／ｊｊｊ／ｍｍｍ．ｚｉｐのファイルパス／ｉｉｉ／ｊｊｊとを
を比較すると１３００５行のパスは、／ｉｉｉ／ｊｊｊとなり
１３００４行の／ｉｉｉ／ｊｊｊ／ｋｋｋの中に含まれるパスとなるので
１３００５行のＣ：／ｉｉｉ／ｊｊｊ／ｍｍｍ．ｚｉｐは削除する。
・結果、１３０１仮基準パスが確保される事になる。
【0025】
・次に、確保した１３０１仮基準パスを分解して１３０３８パス要素の出現回数をカウントする。
・Ｃは、１３０１仮基準パスの１３０１１行から１３０１４行まで全てに出現し、結果４回出現するので１３０２分解内容をカウントの１３０２１行１３０３９カウントのＣを４回とする。
・次に上記と同様に、Ｃ：／ａａａの組合せの出現回数をカウントすると３回出現するので１３０２２行１３０３９カウントを３とする。
・次に、Ｃ：／ａａａ／ｂｂｂ／の組合せの出現回数をカウントすると１回出現するので１３０２３行１３０３９カウントを１とする。
・次に、Ｃ：／ａａａ／ｂｂｂ／ｃｃｃ．ｐｄｆの組合せの出現回数をカウントすると１回出現するので１３０２４行１３０３９カウントを１とする。
・これで、パスＣ：／ａａａ／ｂｂｂ／ｃｃｃ．ｐｄｆの全ての組合せをカウントした事になる。
・全ての１３０１仮基準パスを分解して１３０３８パス要素の出現回数をカウントすると１３０２分解内容をカウントのような結果になる。
・１３０２分解内容をカウントの１３０３９カウントを予め設定した基準値以下の１３０３８パス要素を削除する。
・本例では基準値を２として２以下を削除すると、１３０４基準値以上のような結果に成る。
・この基準値は１０１学習用アクセスログの量によって変化させる。
・１３０４１行、１３０４２行、１３０４３行の１３０４基準値以上を解析すると、
１３０４１行、１３０４２行の１３０４基準値以上は、１３０４３行の１３０４基準値以上に含まれている事が解るので、１３０４３行の１３０４基準値以上のＣ：／ａａａ／ｄｄｄだけを基準パスとして１０２基準ファイルパスに書き込み確保する。
・Ｃは、１３０１仮基準パスの１３０１１行から１３０１４行まで全てに出現し、結果４回出現するので１３０２分解内容をカウントの１３０２１行１３０３９カウントのＣを４回とする。
・次に上記と同様に、Ｃ：／ａａａの組合せの出現回数をカウントすると３回出現するので１３０２２行１３０３９カウントを３とする。
・次に、Ｃ：／ａａａ／ｂｂｂ／の組合せの出現回数をカウントすると１回出現するので１３０２３行１３０３９カウントを１とする。
・次に、Ｃ：／ａａａ／ｂｂｂ／ｃｃｃ．ｐｄｆの組合せの出現回数をカウントすると１回出現するので１３０２４行１３０３９カウントを１とする。
・これで、パスＣ：／ａａａ／ｂｂｂ／ｃｃｃ．ｐｄｆの全ての組合せをカウントした事になる。
・全ての１３０１仮基準パスを分解して１３０３８パス要素の出現回数をカウントすると１３０２分解内容をカウントのような結果になる。
・１３０２分解内容をカウントの１３０３９カウントを予め設定した基準値以下の１３０３８パス要素を削除する。
・本例では基準値を２として２以下を削除すると、１３０４基準値以上のような結果に成る。
・この基準値は１０１学習用アクセスログの量によって変化させる。
・１３０４１行、１３０４２行、１３０４３行の１３０４基準値以上を解析すると、
１３０４１行、１３０４２行の１３０４基準値以上は、１３０４３行の１３０４基準値以上に含まれている事が解るので、１３０４３行の１３０４基準値以上のＣ：／ａａａ／ｄｄｄだけを基準パスとして１０２基準ファイルパスに書き込み確保する。
【0026】
次に、図３を用いて、基準値算定処理２００について説明する。図３は、基準値算定処理２００の処理手順を示したフローチャート図である。基準値算定処理２００では、基準ファイルパス抽出処理１００で作成した１０２基準ファイルパスがどの程度、ばらついているかを知る為に、１０２基準ファイルパスを読み込み、各基準パスを数値化して距離Ｌとし、距離Ｌの平均値をＬ－（Ｌバー）として分散値Ｓ２（Ｓ＾２）を求める。
【0027】
・２１０パスの階層をカウントでは、各パスの階層をカウントしパスの階層を数値化しＬとする。
・２２０パスの階層の総和を基準パスの個数にて割り、全てのパスの階層を数値化した物を足し合わせ、その平均値を求め、平均値をＬ－（Ｌバー）とし確保する。
・平均値Ｌ－（Ｌバー）にて各ファイルパスの階層を数値化した値Ｌを引き算した値に２乗した値の合計値を基準パスの総数にて割り算を行い、分散値Ｓ
２（Ｓ＾２）を求める。
・計算式は数１となる。
・２２０パスの階層の総和を基準パスの個数にて割り、全てのパスの階層を数値化した物を足し合わせ、その平均値を求め、平均値をＬ－（Ｌバー）とし確保する。
・平均値Ｌ－（Ｌバー）にて各ファイルパスの階層を数値化した値Ｌを引き算した値に２乗した値の合計値を基準パスの総数にて割り算を行い、分散値Ｓ
２（Ｓ＾２）を求める。
・計算式は数１となる。
【数1】
【0028】
次に、図４を用いて、パススコア算出処理手段３００について説明する。図４は、パススコア算出処理３００の処理手順を示したフローチャート図である。パススコア算出処理手段３００では、対象ユーザの３０１検知対象アクセスログを入力データとして、ファイルパスと言った数値化されていない物に対し数値を与え、その与えられた数値を計算する事によってインシデントを検知する。
【0029】
・３１０ファイルパス比較にて３０１検知対象アクセスログを読み取りファイルパスだけを抽出して、抽出したファイルパスと１０２基準値ファイルパスとを比較する。
・比較した結果、１００％一致する場合や子パスの場合、３０１検知対象アクセスログの該当データの結果を０とする。
・１００％一致しない場合は、１０２基準値ファイルパスの中の一番近いファイルパスとの距離を計算し、離れている距離を計測してその距離をＬとする。
・３５０距離を計算するにおいて、数２の計算式を使いＰを求める。
・数２の４及び２は本発明にて距離を計算する上で導き出した定数となり、累乗と対数の底に４を採用しているが、これを調整することで、どこまでを正常と認識させるかを調整することも可能であり、実験を繰り返した結果、４を使用する事で分離性能が向上した。・次にＸを求める。
・３７０リスクスコアでは、数２で求めたＸを使用し数３の数式からパススコアを求める。
・数３の１００は本発明にてリスクスコアを計算する上で導きだした定数となる。
・ここで求めたパススコアを対象となるアクセスログのリスクとし、例えば該パススコアが予め設定された閾値を超えた場合に、リスクが高くなったファイルパスとして通知（レポート群、アラーム発信、等）する。
・比較した結果、１００％一致する場合や子パスの場合、３０１検知対象アクセスログの該当データの結果を０とする。
・１００％一致しない場合は、１０２基準値ファイルパスの中の一番近いファイルパスとの距離を計算し、離れている距離を計測してその距離をＬとする。
・３５０距離を計算するにおいて、数２の計算式を使いＰを求める。
・数２の４及び２は本発明にて距離を計算する上で導き出した定数となり、累乗と対数の底に４を採用しているが、これを調整することで、どこまでを正常と認識させるかを調整することも可能であり、実験を繰り返した結果、４を使用する事で分離性能が向上した。・次にＸを求める。
【数2】
・数３の１００は本発明にてリスクスコアを計算する上で導きだした定数となる。
【数3】
【0030】
【0031】
・図９の９００番号の１番目から３番目は００１４にて抽出した基準パスとなる。
９０１基準パスのＣ：／ａａａ／ｂｂｂ／ｃｃｃ／ｄｄｄ．ｔｘｔは、Ｃで１、ａａａで２、ｂｂｂで３、ｃｃｃで４、ｄｄｄ．ｔｘｔで５と数え９０２距離Ｌに５を記録する。以下２番目３番目も同様にカウントする。
・数１を使用して、９０２距離Ｌの合計が１０と成り、合計を９０１基準パスの件数３で割り平均を求め９０５平均Ｌ’は、３．３となる。
・９０２距離ＬからＬ’を引き９０３偏差に値を確保する。
・９００番号１番目の９０３偏差は１．７と成る。以下、２番目３番目も同様に計算する。
・９０４平方は、９０３偏差の値を二乗する。
・９００番号の１番目は、１．７ｘ１．７＝２．９となり以下、２番目３番目も同様に計算する。
・９０４平方の合計が９０６分散合計となり、９０６分散合計を基準パスの件数３で割り、９０７Ｓ２１．６と成る。
９０１基準パスのＣ：／ａａａ／ｂｂｂ／ｃｃｃ／ｄｄｄ．ｔｘｔは、Ｃで１、ａａａで２、ｂｂｂで３、ｃｃｃで４、ｄｄｄ．ｔｘｔで５と数え９０２距離Ｌに５を記録する。以下２番目３番目も同様にカウントする。
・数１を使用して、９０２距離Ｌの合計が１０と成り、合計を９０１基準パスの件数３で割り平均を求め９０５平均Ｌ’は、３．３となる。
・９０２距離ＬからＬ’を引き９０３偏差に値を確保する。
・９００番号１番目の９０３偏差は１．７と成る。以下、２番目３番目も同様に計算する。
・９０４平方は、９０３偏差の値を二乗する。
・９００番号の１番目は、１．７ｘ１．７＝２．９となり以下、２番目３番目も同様に計算する。
・９０４平方の合計が９０６分散合計となり、９０６分散合計を基準パスの件数３で割り、９０７Ｓ２１．６と成る。
【0032】
【0033】
・図１０の１０００番号アを使い説明する。
・１００１ファイルパスはＣ：／ａａａ／ｉｉｉ．ｔｘｔと成っている。
・この値を図９の９０１基準パスと比較すると９００番号１番目の９０１基準パス
Ｃ：／ａａａ／ｂｂｂ／ｃｃｃ／ｄｄｄ．ｔｘｔと最も近いファイルパスだということがわかる。
・この２つは、Ｃ：／ａａａまでが等しいので距離を２とする。
・数２を利用して下記のように計算する。
４（２－２）２＝１
１÷６＝０．６２５
・数３を利用して、
１００（１÷１００）Ｘ＝１．９
・パススコア１．９を１００３計算値に記録する。
・１０００番号イは、９０１基準パスのＣ：／ｆｆｆ．ｔｘｔと比較すると全て等しい事がわかるので、この場合は０を１００３計算値に記録する。
・１０００番号ウは、９０１基準パスと一致するものが無いので距離を０とする。
４（２－０）２＝２５６
２５６÷１．６＝１６０
１００（１÷１００）１６０＝ｌｎ１００（１÷１００）１６０＝－７３２．２２２０５９５７２１１
Ｌｎ＝７３２．２を１００３計算値に記録する。
・１０００番号エは、９０１基準パスのＣ：／ａａａ／ｂｂｂ／ｃｃｃ／ｄｄｄ．ｔｘｔと比較するとＣ：／ａａａ／ｂｂｂ／ｃｃｃまでが等しい事が解るので距離を４とする。
４（２－４）２＝０．００３９０６２５
０．００３９０６２５÷１．６＝０．００２４４１４０６２５
１００（１÷１００）０．００２４４１４０６２５＝９８．８８
・パススコア９８．８８を７０２計算値に記録する。
・１０００番号オは、９０１基準パスと比較するとＣだけ等しい事が解るので距離を１とする。
４（２－１）２＝１６
１６÷１．６＝１０＝ｌｎ１００（１÷１００）１０＝
－４１．４４６５３１６７３８９３
・Ｌｎ＝－４１．４を１００３計算値に記録する。
・上記計算結果から解るように、１０００番号ウとオは対数計算を行う必要が有るような途方も無い計算結果になる。
・対数計算する時、この例では自然対数を使用したが常用対数でも低は幾つでもかまわない。
・１００１ファイルパスはＣ：／ａａａ／ｉｉｉ．ｔｘｔと成っている。
・この値を図９の９０１基準パスと比較すると９００番号１番目の９０１基準パス
Ｃ：／ａａａ／ｂｂｂ／ｃｃｃ／ｄｄｄ．ｔｘｔと最も近いファイルパスだということがわかる。
・この２つは、Ｃ：／ａａａまでが等しいので距離を２とする。
・数２を利用して下記のように計算する。
４（２－２）２＝１
１÷６＝０．６２５
・数３を利用して、
１００（１÷１００）Ｘ＝１．９
・パススコア１．９を１００３計算値に記録する。
・１０００番号イは、９０１基準パスのＣ：／ｆｆｆ．ｔｘｔと比較すると全て等しい事がわかるので、この場合は０を１００３計算値に記録する。
・１０００番号ウは、９０１基準パスと一致するものが無いので距離を０とする。
４（２－０）２＝２５６
２５６÷１．６＝１６０
１００（１÷１００）１６０＝ｌｎ１００（１÷１００）１６０＝－７３２．２２２０５９５７２１１
Ｌｎ＝７３２．２を１００３計算値に記録する。
・１０００番号エは、９０１基準パスのＣ：／ａａａ／ｂｂｂ／ｃｃｃ／ｄｄｄ．ｔｘｔと比較するとＣ：／ａａａ／ｂｂｂ／ｃｃｃまでが等しい事が解るので距離を４とする。
４（２－４）２＝０．００３９０６２５
０．００３９０６２５÷１．６＝０．００２４４１４０６２５
１００（１÷１００）０．００２４４１４０６２５＝９８．８８
・パススコア９８．８８を７０２計算値に記録する。
・１０００番号オは、９０１基準パスと比較するとＣだけ等しい事が解るので距離を１とする。
４（２－１）２＝１６
１６÷１．６＝１０＝ｌｎ１００（１÷１００）１０＝
－４１．４４６５３１６７３８９３
・Ｌｎ＝－４１．４を１００３計算値に記録する。
・上記計算結果から解るように、１０００番号ウとオは対数計算を行う必要が有るような途方も無い計算結果になる。
・対数計算する時、この例では自然対数を使用したが常用対数でも低は幾つでもかまわない。
【0034】
次に、図５と図６を用いて、頻度スコア算出処理４００について説明する。図５は、頻度スコア算出処理４００の処理手順を示したフローチャート図であり、図６は、移動平均処理４１０の処理手順を示したフローチャート図である。頻度スコア算出処理４００では、移動平均処理４１０により３０１検知対象アクセスログから４０３ユーザ毎の各時刻移動平均頻度値を求め、その各時刻移動平均頻度値を基に、リスクスコアを計算し、リスクが高くなった日を管理者に通知する。
【0035】
・図６に示す４１０移動平均処理の４１１各時刻毎の頻度値集計処理は、対象日のユーザの１時間単位のアクセス回数を集計し４０２ユーザ毎の各時刻頻度値を作成する。
・アクセス回数とは、１ファイルに対するユーザのファイルアクセスに対するオープン処理からクローズ処理までを１回としてカウントする。
・４１２時刻方向移動平均処理は各時刻を中心に三角移動平均を計算する。
・区間は７、重さは０．２５、０．５、０．７５、１、０．７５、０．５、０．２５として分母は４とする。
・実験結果から上記重さと区間が最適であったが、特に区間は、各社毎の労働時間環境によって変化させる事が望ましい。
・アクセス回数とは、１ファイルに対するユーザのファイルアクセスに対するオープン処理からクローズ処理までを１回としてカウントする。
・４１２時刻方向移動平均処理は各時刻を中心に三角移動平均を計算する。
・区間は７、重さは０．２５、０．５、０．７５、１、０．７５、０．５、０．２５として分母は４とする。
・実験結果から上記重さと区間が最適であったが、特に区間は、各社毎の労働時間環境によって変化させる事が望ましい。
【0036】
・図５に示す４２０ユーザ、時刻毎リスクスコア算出処理にて、４１０移動平均処理にて算出した４０３ユーザ毎の各時刻移動平均頻度値を入力データとして、カーネル密度推定を使用し確率密度を求める。
・求めた確率密度から負の対数尤度を求める。
・求めた負の対数尤度を使用し数４により正規化用の定数Ｐｍｉｎを作成する。
・正規化用の定数Ｐｍｉｎにより、ＰＣなどで計算可能な最小小数を作り出している。
・４４０デイリースコア算出処理にて、数５を使いユーザ毎のリスクスコアを算出する。・次に、ユーザ毎のリスクスコアから数６を使用し各時刻の対数尤度を算出して、数７を使い日付単位のリスクとしてデイリースコアを算出する。
・ここで求めたデイリースコアを日付単位のリスクとし、該デイリースコアが予め設定された閾値を超えた場合に、リスクが高くなった日として通知（レポート群、アラーム発信、等）する。
・求めた確率密度から負の対数尤度を求める。
・求めた負の対数尤度を使用し数４により正規化用の定数Ｐｍｉｎを作成する。
・正規化用の定数Ｐｍｉｎにより、ＰＣなどで計算可能な最小小数を作り出している。
・４４０デイリースコア算出処理にて、数５を使いユーザ毎のリスクスコアを算出する。・次に、ユーザ毎のリスクスコアから数６を使用し各時刻の対数尤度を算出して、数７を使い日付単位のリスクとしてデイリースコアを算出する。
・ここで求めたデイリースコアを日付単位のリスクとし、該デイリースコアが予め設定された閾値を超えた場合に、リスクが高くなった日として通知（レポート群、アラーム発信、等）する。
【数4】
【数5】
【数6】
【数7】
【0037】
【0038】
・図１１対数尤度表は、対象となる日の時間別アクセス件数から各時刻の対数尤度を算出した表と成る。この表の８０１時間の１１時を対象として具体的に説明する。
・８０１時間の１１時におけるアクセス回数が２回だったので、８０２頻度は２となる。・このデータを基に８０３頻度値は三角移動平均を使い算出する。
頻度値＝
（０．２５ｘ０＋０．５ｘ０＋０．７５ｘ６＋２ｘ１＋０．７５ｘ４＋０．５ｘ０＋０．２５ｘ０）÷４＝
９．５÷４＝
２．３７５
・求めた頻度値２．３７５が発生、カーネル密度推定を使用し確率密度を求め０．１２６７と成る。
・０．１２６７の負の対数尤度を求めると２．０６５９３３１９１６５５となり、本願が作成した数４から作成した定数Ｐｍｉｎ負の対数尤度と数５の式を使用し、ユーザ毎のリスクスコアを計算すると、
１００ｘ２．０６５９３３１９１６５５÷７０８．３９６４５１７２６５５＝
０．２９１６７４８８２３４５７５８９と成る。
・１１時の８０４ユーザ毎のリスクスコアは０．２９２となる。説明の為少数４位にて四捨五入、実際には０．２９１６７４８８２３４５７５８９を使用。
・８０１時間の１１時におけるアクセス回数が２回だったので、８０２頻度は２となる。・このデータを基に８０３頻度値は三角移動平均を使い算出する。
頻度値＝
（０．２５ｘ０＋０．５ｘ０＋０．７５ｘ６＋２ｘ１＋０．７５ｘ４＋０．５ｘ０＋０．２５ｘ０）÷４＝
９．５÷４＝
２．３７５
・求めた頻度値２．３７５が発生、カーネル密度推定を使用し確率密度を求め０．１２６７と成る。
・０．１２６７の負の対数尤度を求めると２．０６５９３３１９１６５５となり、本願が作成した数４から作成した定数Ｐｍｉｎ負の対数尤度と数５の式を使用し、ユーザ毎のリスクスコアを計算すると、
１００ｘ２．０６５９３３１９１６５５÷７０８．３９６４５１７２６５５＝
０．２９１６７４８８２３４５７５８９と成る。
・１１時の８０４ユーザ毎のリスクスコアは０．２９２となる。説明の為少数４位にて四捨五入、実際には０．２９１６７４８８２３４５７５８９を使用。
【0039】
次に、８０４ユーザ毎のリスクスコアの１日の合計と数６と数７の式を使用してデイリースコアを求める。
・ｌｎ（Ｑｍｉｎ）は、数６にて、“１－リスクスコア≦Ｑｍｉｎの時、対数尤度＝ｌｎ（Ｑｍｉｎ）とする。”と、定義しているので、１つの時刻の最大値となる為にｌｎ（Ｑｍｉｎ）Ｘ２４＝が１日の最大値となる。
・つまり、ｌｎ（Ｑｍｉｎ）ｘ２４＝
－６．９０７７５５２７８９８２１ｘ２４＝
－１６５．７８６１２６６９５５７と成る。
・８０６各時刻の対数尤度合計は、－３３．４３７５５６７４２４６０７と成る。
・この値を１日の最大値と比較して、
デイリースコア＝
－３３．４３７５５６７４２４６０７÷－（－１６５．７８６１２６６９５５７）＝
０．２０１６９０９２１９６６３５６
・つまり、デイリースコアは約２０ポイントとなる。
・ｌｎ（Ｑｍｉｎ）は、数６にて、“１－リスクスコア≦Ｑｍｉｎの時、対数尤度＝ｌｎ（Ｑｍｉｎ）とする。”と、定義しているので、１つの時刻の最大値となる為にｌｎ（Ｑｍｉｎ）Ｘ２４＝が１日の最大値となる。
・つまり、ｌｎ（Ｑｍｉｎ）ｘ２４＝
－６．９０７７５５２７８９８２１ｘ２４＝
－１６５．７８６１２６６９５５７と成る。
・８０６各時刻の対数尤度合計は、－３３．４３７５５６７４２４６０７と成る。
・この値を１日の最大値と比較して、
デイリースコア＝
－３３．４３７５５６７４２４６０７÷－（－１６５．７８６１２６６９５５７）＝
０．２０１６９０９２１９６６３５６
・つまり、デイリースコアは約２０ポイントとなる。
【0040】
次に、図７と図８を用いて、時間スコア算出処理５００について説明する。図７は、時間スコア算出処理手段５００の処理手順を示したフローチャート図であり、図８は、各時刻度合処理５３０の処理手順を示したフローチャート図である。時間スコア算出処理手段５００では、学習用アクセスログから時間別の基準値を計算し、検知対象アクセスログのリスクが高くなった日の時間帯を管理者に通知する。
【0041】
・図７に示す５００時間スコア算出処理において５１０各時刻毎の頻度値集計処理は、１０１学習アクセスログを読み取り、１時間単位のアクセス回数を集計し、その１時間単位のアクセス回数を集計したものを集計対象の時間数で割り、１時間単位の平均頻度を算出する。
・算出した時間別の平均頻度から各時間の中央値に三角移動平均を計算し頻度値を算出する。
・各時間の頻度値を全て足し合せた合計値を２４で割り１日の１時間あたりの平均を算出する。
・数８を使用し、頻度値から１日の平均を引き各時間の偏差を算出し、偏差を二乗し平方を算出する。
・数９から、算出した平方の合計を求め、２４で割り１時間単位の平方の平均を算出しＶとする。
・このように算出したデータを５０２学習ユーザ毎の各時刻移動平均頻度値とし保存する。
・算出した時間別の平均頻度から各時間の中央値に三角移動平均を計算し頻度値を算出する。
・各時間の頻度値を全て足し合せた合計値を２４で割り１日の１時間あたりの平均を算出する。
・数８を使用し、頻度値から１日の平均を引き各時間の偏差を算出し、偏差を二乗し平方を算出する。
・数９から、算出した平方の合計を求め、２４で割り１時間単位の平方の平均を算出しＶとする。
・このように算出したデータを５０２学習ユーザ毎の各時刻移動平均頻度値とし保存する。
【0042】
・次に４１０移動平均処理において、３０１検知対象アクセスログを入力データとし、４０３ユーザ毎の各時刻移動平均頻度値を求める。
【0043】
・次に図８に示す５３０各時刻度合処理において、各時刻度合処理の５３１判断にて、４０３ユーザ毎の各時刻移動平均頻度値の頻度値の頻度が０のデータに対しては何もしない。
・また５３１判断にて、数１０を使い、４０３ユーザ毎の各時刻移動平均頻度値の頻度値をＫとした時Ｋから５０２学習ユーザ毎の各時刻移動平均頻度値Ｘを引いた値をＤとしてＤが０やマイナスになったデータに対しては何もしない。
・次に図７に示す５４０各時刻の判定処理にて検知対象となるデータのＤを二乗しＤ＾２を算出する。
・各時間のＤ＾２からＶを引き、この値がプラスの場合、管理者に対象となる日時を、リスクが高くなった日の時間帯として通知する。
・また５３１判断にて、数１０を使い、４０３ユーザ毎の各時刻移動平均頻度値の頻度値をＫとした時Ｋから５０２学習ユーザ毎の各時刻移動平均頻度値Ｘを引いた値をＤとしてＤが０やマイナスになったデータに対しては何もしない。
・次に図７に示す５４０各時刻の判定処理にて検知対象となるデータのＤを二乗しＤ＾２を算出する。
・各時間のＤ＾２からＶを引き、この値がプラスの場合、管理者に対象となる日時を、リスクが高くなった日の時間帯として通知する。
【数8】
【数9】
【数10】
【0044】
【0045】
・図１２に示す時間スコア表は、１０１学習アクセスログから集計した１２００学習アクセスログを左、４０３ユーザ毎の各時刻移動平均頻度値から集計した１２０６検知対処アクセスログを右に配置する図である。
・１２０１時間の７時、１５時、１８時、３時の順番に、例として使用し説明する。
但し、実際の計算は０時から１時２時３時と昇順に行う。
・１２０１時間の７時、１５時、１８時、３時の順番に、例として使用し説明する。
但し、実際の計算は０時から１時２時３時と昇順に行う。
【0046】
・１２０２頻度値Ｘは、１０１学習アクセスログの各時刻のアクセス回数を足し合わせた合計値を日数で割った、過去データの時間別平均値と成る。
・１２０６頻度は検知対象日の時間毎アクセス回数と成る。
・１２０１時間が７時の場合、１２０６頻度が０なので５３１判断から安全なので何もしない。この時間にアクセスが無かったので、この時間は安全とする。
・１２０１時間が１５時の場合、１２０７頻度値Ｋを三角移動平均にて使用し計算すると６．２となる。
・１２０７頻度値Ｋから１２０２頻度Ｘを引くと１２０８Ｄ値がー０．８とマイナスとなるので５３２判断から安全なので何もしない。この時間のアクセス回数が過去平均より下回ったので安全と判断している。
・また１２０１時間が１８時の場合、１２０２頻度Ｘ、１２０７頻度値Ｋ、１２０８Ｄを前記内容と同様に計算すると、５３１判断や５３２判断に条件が当てはまらないので次の処理を行う。
・１２０３偏差Ｈを数８にて計算すると、１２０２頻度Ｘの合計が１０５．０となり２４で割ると１２１２平均ｘ－は４．４と成る。
・１２０３編差Ｈは、１２０２頻度Ｘ－１２０２平均ｘｘなので４．０－４．４＝－０．４と成る。
・１２０４平方Ｈ２を算出すると、－０．４ｘ－０．４＝０．１６を四捨五入し０．２となる
・数９を使い１２１４平均Ｖを算出し、１７．４となる。
・数１０から１２０８Ｄは、１２０７頻度値Ｋ―１２０２頻度Ｘ＝２．９となる。
・２．９を二乗し１２０９２は８．６となる。１２０９Ｄ２から１２１４平均Ｖを引き、１２１０度合いはー８．８と成る。
・結果、１２０１時間１８時は安全と言える。
・また１２０１時間が３時の場合、数８、９、１０を計算すると１２１０度合いが３．４となり０以上なので何らかの問題が発生していると判断し、日付、時間とこの３時に発生したアクセスログのパス情報を管理者に通知する。
・１２０６頻度は検知対象日の時間毎アクセス回数と成る。
・１２０１時間が７時の場合、１２０６頻度が０なので５３１判断から安全なので何もしない。この時間にアクセスが無かったので、この時間は安全とする。
・１２０１時間が１５時の場合、１２０７頻度値Ｋを三角移動平均にて使用し計算すると６．２となる。
・１２０７頻度値Ｋから１２０２頻度Ｘを引くと１２０８Ｄ値がー０．８とマイナスとなるので５３２判断から安全なので何もしない。この時間のアクセス回数が過去平均より下回ったので安全と判断している。
・また１２０１時間が１８時の場合、１２０２頻度Ｘ、１２０７頻度値Ｋ、１２０８Ｄを前記内容と同様に計算すると、５３１判断や５３２判断に条件が当てはまらないので次の処理を行う。
・１２０３偏差Ｈを数８にて計算すると、１２０２頻度Ｘの合計が１０５．０となり２４で割ると１２１２平均ｘ－は４．４と成る。
・１２０３編差Ｈは、１２０２頻度Ｘ－１２０２平均ｘｘなので４．０－４．４＝－０．４と成る。
・１２０４平方Ｈ２を算出すると、－０．４ｘ－０．４＝０．１６を四捨五入し０．２となる
・数９を使い１２１４平均Ｖを算出し、１７．４となる。
・数１０から１２０８Ｄは、１２０７頻度値Ｋ―１２０２頻度Ｘ＝２．９となる。
・２．９を二乗し１２０９２は８．６となる。１２０９Ｄ２から１２１４平均Ｖを引き、１２１０度合いはー８．８と成る。
・結果、１２０１時間１８時は安全と言える。
・また１２０１時間が３時の場合、数８、９、１０を計算すると１２１０度合いが３．４となり０以上なので何らかの問題が発生していると判断し、日付、時間とこの３時に発生したアクセスログのパス情報を管理者に通知する。
【0047】
次に、
・図２で説明した基準ファイルパス抽出処理、図３で説明した基準値算定処理、図４で説明したパススコア算出処理により算出されたファイルパスのリスク、
・図５・図６で説明した頻度スコア算出処理により算出された日付単位のリスク、
・図７・図８で説明した時間スコア算出処理により算出された時間単位のリスク、
の組合せを用いることにより、リスクの度合いを何日の何時のどのファイルパスが危険かを詳細に検出することができるようになる。
・図２で説明した基準ファイルパス抽出処理、図３で説明した基準値算定処理、図４で説明したパススコア算出処理により算出されたファイルパスのリスク、
・図５・図６で説明した頻度スコア算出処理により算出された日付単位のリスク、
・図７・図８で説明した時間スコア算出処理により算出された時間単位のリスク、
の組合せを用いることにより、リスクの度合いを何日の何時のどのファイルパスが危険かを詳細に検出することができるようになる。
【0048】
例えば、パススコア算出処理、頻度スコア算出処理、時間スコア算出処理、の全てが出力するリスクスコアが重なった時は、“非常に危険”と管理者に通知する事ができる。また、前記処理の２つのリスクが重なった時は“危険”、前記処理の１つのリスクだけの場合は、“やや危険”と危険度合いの判断が多段階に示す事ができる。
【0049】
発明者及び出願人が独自に名称を付している、各々のソフトウェア及び装置について本発明独自の呼称を使用しているので下記に記載する。
【0050】
・学習：設定された過去のアクセスログを解析し、ユーザ毎の行動傾向分析
・検知：学習にて解析した傾向を元に、対象データを解析
・頻度スコア：１日の各時刻におけるアクセスログ件数の傾向をユーザ毎に解析
・パススコア：ファイルパスに含まれる単語の相関性などを元にユーザ毎の傾向を解析
・リスクスコア：頻度スコアとパススコアを総合した相対的な指標
・時間スコア：時間毎にユーザのリスクを解析
・記載に使用しているソフトの問題にてバーなどを数学的に表示できない時があり、
例えば、ＬバーやＬ－と表現している箇所が有りますが、ＬバーとＬ－は同一である。
例えば、Ｈ＾２はＨの二乗と乗数を表しＨ２とＨ＾２は同一である。
・説明の為小数点以下第ｎ位を四捨五入している箇所が有るが、実際はコンピュータが取り扱える桁数の小数点以下の計算を行っている。
・検知：学習にて解析した傾向を元に、対象データを解析
・頻度スコア：１日の各時刻におけるアクセスログ件数の傾向をユーザ毎に解析
・パススコア：ファイルパスに含まれる単語の相関性などを元にユーザ毎の傾向を解析
・リスクスコア：頻度スコアとパススコアを総合した相対的な指標
・時間スコア：時間毎にユーザのリスクを解析
・記載に使用しているソフトの問題にてバーなどを数学的に表示できない時があり、
例えば、ＬバーやＬ－と表現している箇所が有りますが、ＬバーとＬ－は同一である。
例えば、Ｈ＾２はＨの二乗と乗数を表しＨ２とＨ＾２は同一である。
・説明の為小数点以下第ｎ位を四捨五入している箇所が有るが、実際はコンピュータが取り扱える桁数の小数点以下の計算を行っている。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】