特開 2024-141023 検知回路

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024141023

(43)【公開日】2024-10-10

(54)【発明の名称】検知回路

(51)【国際特許分類】

   G06F 21/55 20130101AFI20241003BHJP

   G06N 20/00 20190101ALI20241003BHJP

   H04L 12/22 20060101ALI20241003BHJP

   H04L 41/16 20220101ALI20241003BHJP

   G06F 21/56 20130101ALI20241003BHJP

【ＦＩ】

G06F21/55

G06N20/00

H04L12/22

H04L41/16

G06F21/56

【審査請求】未請求

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2023052449

(22)【出願日】2023-03-28

(71)【出願人】

【識別番号】501241645

【氏名又は名称】学校法人 工学院大学

(71)【出願人】

【識別番号】505225197

【氏名又は名称】長崎県公立大学法人

(74)【代理人】

【識別番号】110001519

【氏名又は名称】弁理士法人太陽国際特許事務所

(72)【発明者】

【氏名】小林 良太郎

(72)【発明者】

【氏名】加藤 雅彦

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030GA15

5K030MB09

(57)【要約】

【課題】プロセッサにおいて、一つの判別器を用いる場合でも異なる種類の異常を検知できる。
【解決手段】機器に搭載されたプロセッサに組み込まれた検知回路である。検知回路は、プロセッサのコアによるプログラム実行時のプロセッサ情報及び機器の通信によるパケット情報の入力を受け付けて、プロセッサ情報及びパケット情報の何れかを選択し、選択されたプロセッサ情報及びパケット情報の何れかの情報の特徴量ベクトルを判別器に出力するセレクタと、第１事象及び第２事象を判別するように予め学習された判別器であって、選択された情報の特徴量ベクトルを入力として、第１事象及び第２事象を判別し、判別結果を出力する判別器と、所定時間の判別器の判別結果を集計し、所定時間における第１事象及び第２事象の発生の有無を決定する決定器と、を備える。
【選択図】図１

【特許請求の範囲】

【請求項1】

機器に搭載されたプロセッサに組み込まれた検知回路であって、
前記プロセッサのコアによるプログラム実行時のプロセッサ情報及び前記機器の通信によるパケット情報の入力を受け付けて、前記プロセッサ情報及び前記パケット情報の何れかを選択し、選択された前記プロセッサ情報及び前記パケット情報の何れかの情報の特徴量ベクトルを判別器に出力するセレクタと、
第１事象及び第２事象を判別するように予め学習された判別器であって、選択された情報の前記特徴量ベクトルを入力として、第１事象及び第２事象を判別し、判別結果を出力する判別器と、
所定時間の前記判別器の判別結果を集計し、所定時間における前記第１事象及び前記第２事象の発生の有無を決定する決定器と、
を備える検知回路。

【請求項2】

前記特徴量ベクトルは、前記プロセッサ情報の場合の特徴量の種類として、命令実行時に関する情報、命令距離に関する情報、及びキャッシュ精度に関する情報の少なくとも何れかを用いると共に、前記パケット情報の場合の特徴量の種類として、接続に関する基本情報、接続数に関する情報、接続の割合に関する情報の少なくとも何れかを用いることとし、
前記判別器は、前記プロセッサ情報に対する前記第１事象をマルウェアの発生、前記パケット情報に対する前記第２事象を悪性通信の発生として判別する、
請求項１に記載の検知回路。

【請求項3】

前記セレクタは、前記特徴量ベクトルの各要素に対応するマルチプレクサの各々として構成され、
プログラム実行時の前記プロセッサ情報及び通信ごとの前記パケット情報それぞれの要素の入力の順番が前記マルチプレクサの各々に対応付けられて規定されており、
前記マルチプレクサの各々が対応付けられた特徴量の要素を出力することにより、前記判別器に選択された情報の前記特徴量ベクトルが出力される、
請求項１に記載の検知回路。

【請求項4】

前記セレクタは、前記プロセッサ情報及び前記パケット情報を同時に受信した場合に、前記パケット情報を優先して選択するように規定する、請求項１に記載の検知回路。

【請求項5】

前記判別器は、学習用の前記プロセッサ情報及び前記パケット情報の特徴量ベクトルを学習データとして用いて学習されており、プログラム実行時の前記プロセッサ情報及び通信ごとの前記パケット情報それぞれの要素の入力の順番を規定して並べ、不足の特徴量の要素については当該要素を埋めた学習データとして用いて学習されている、
請求項１に記載の検知回路。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、検知回路に関する。

【背景技術】

【0002】

従来、サイバー攻撃に対する異常検知に関する技術がある。

【0003】

例えば、ログを解析して異常検知する手法に関する技術がある（特許文献１参照）。この技術では、異常な通信ログを含む特徴量ベクトルに対して教師ラベルを付けて異常分類器を学習している。

【0004】

また、未知の異常の検知と異常原因の特定を効率的に行う手法に関する技術がある（特許文献２参照）。この技術では、通信特徴量又は動作ログを学習し、機器が異常状態であることを検知するための検知モデル、機器の異常原因ごとの通信特徴量又は動作ログを学習し、機器の異常原因を特定するための特定モデルを生成している。この技術の動作ログは、実行されたプロセスのＩＤ、プロセスの実行開始時刻、その他のネットワークに関する情報等が用いられている。

【0005】

また、プロセッサ情報を用いた回路レベルのハードウェアによるマルウェア検知に関する技術が検討されている（非特許文献１参照）。この技術では、一つのＬＳＩにおいてコアに隣接する検知回路の実装を検討している。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】特開2022-117827号公報

【特許文献2】特開2019-103069号公報

【非特許文献】

【0007】

【非特許文献1】Kazuki Koike, Ryotaro Kobayashi, Masahiko Katoh. "IoT-oriented high-efficient anti-malware hardware focusing on time series metadata extractable from inside a processor core". International Journal of Information Security: 2022-02-25.

【発明の概要】

【発明が解決しようとする課題】

【0008】

ここで、ＩｏＴ機器は、２種類のサイバー攻撃、すなわちマルウェア及び悪性通信にさらされている。

【0009】

特許文献１及び特許文献２の従来技術では、通信に関する特徴量を用いて、通信の異常として悪性通信やマルウェアを検知する手法である。通信に関する特徴量を用いており、検知の対象は専用のネットワーク内のＩｏＴ機器に限られていた。そのため、インターネットに直接接続されているＩｏＴ機器は検知の対象にできない。また、モデル学習の更新が可能な態様でありソフトウェアの実装が想定されている。ハードウェアに組み込んだ実装は想定されていないため、リソースの制限からソフトウェアの導入が難しいＩｏＴ機器では検知が困難である。また、通信の挙動を前提としており、プロセッサ情報は考慮されていない。

【0010】

一方、非特許文献１のようにハードウェア実装によるマルウェア検知の技術はあるものの、サイバー攻撃については、マルウェアだけでなく悪性通信も検知の対象として想定する必要がある。

【0011】

本発明は、上記事情を鑑みて成されたものであり、プロセッサにおいて、一つの判別器を用いる場合でも異なる種類の異常を検知できる検知回路を提供することを目的とする。

【課題を解決するための手段】

【0012】

上記目的を達成するために、本発明に係る検知回路は、機器に搭載されたプロセッサに組み込まれた検知回路であって、前記プロセッサのコアによるプログラム実行時のプロセッサ情報及び前記機器の通信によるパケット情報の入力を受け付けて、前記プロセッサ情報及び前記パケット情報の何れかを選択し、選択された前記プロセッサ情報及び前記パケット情報の何れかの情報の特徴量ベクトルを判別器に出力するセレクタと、第１事象及び第２事象を判別するように予め学習された判別器であって、選択された情報の前記特徴量ベクトルを入力として、第１事象及び第２事象を判別し、判別結果を出力する判別器と、所定時間の前記判別器の判別結果を集計し、所定時間における前記第１事象及び前記第２事象の発生の有無を決定する決定器と、を備える。

【発明の効果】

【0013】

本発明の検知回路によれば、プロセッサにおいて、一つの判別器を用いる場合でも異なる種類の異常を検知できる、という効果が得られる。

【図面の簡単な説明】

【0014】

【図1】図１は、プロセッサに組み込まれた検知回路の一例を示す図である。

【図2】図２は、プロセッサ情報としての特徴量の種類ごとの要素の一例である。

【図3】図３は、パケット情報としての特徴量の種類ごとの要素の一例である。

【図4A】図４Ａは、特徴量ベクトルの一例を示す図である。

【図4B】図４Ｂは、パケット情報、プロセッサ情報のどちらかの特徴量の要素が多く、一方の不足の特徴量の要素を埋める場合である。

【図5】図５は、プロセッサ情報及びパケット情報の特徴量を散布図にプロットした例である。

【図6】図６は、本実施形態の検知回路の検知処理ルーチンである。

【発明を実施するための形態】

【0015】

以下、図面を参照して本発明の実施形態を詳細に説明する。

【0016】

＜本発明の実施形態に係る概要＞
まず、本発明の実施形態における概要を説明する。上記課題において説明したように、２種類のサイバー攻撃（マルウェア及び悪性通信）にＩｏＴ機器はさらされており、対処する必要がある。マルウェアの発生が本開示の第１事象、悪性通信の発生が本開示の第２事象の一例である。

【0017】

本実施形態では、ＩｏＴ機器上に搭載されたプロセッサ上に組み込んだ検知回路を用いて、２種類のサイバー攻撃を検知できるようにする。本手法により、（１）ＩｏＴ機器上で、ソフトウェアを導入せず、マルウェア及び悪性通信を検知できるようになる。また、（２）判別回路のサイズ増加を抑制できる。これは、判別器の各入力（特徴量）に対し、プロセッサ情報及びパケット情報の選択に応じて、ひとつの判別器に対して、異なる特徴の特徴量ベクトルを入力するためである。通常、判別器の入力には、異なる特徴の情報であれば、情報ごとに、特徴量の要素ごとの入力を用意することが想定される。そのため通常であれば、プロセッサ情報の要素及びパケット情報の要素のそれぞれの入力が用意され、要素数分の入力の数になる。一方、本手法では、選択に応じて、入力の特徴量ベクトルの要素が異なる。そのため、判別器の入力が減り、ハードウェア規模を縮小することができる。これにより、ＩｏＴ向けプロセッサに求められる省コストに対応できる。

【0018】

図１は、プロセッサに組み込まれた検知回路の一例を示す図である。図１に示すように、機器１にはプロセッサ１０及び通信部３０が搭載されている。プロセッサ１０は、コア２０と、検知回路１００とを備えている。プロセッサ１０上には、コア２０に隣接して検知回路１００が配置される。検知回路１００は、コア２０及び通信部３０と、通信インタフェース（Ｉ／Ｆ）６０で接続されており、情報を受信する。

【0019】

検知回路１００は、セレクタ１１０（ＭＰ：マルチプレクサ１１０_１～Ｎ）と、判別器１１２と、決定器１１４とを備えている。

【0020】

コア２０は、ＣＰＵとしてプログラムを実行し演算を行う回路である。本実施形態では、コア２０は、プログラム実行時のプロセッサ情報を検知回路１００のセレクタ１１０（マルチプレクサ１１０_１～Ｎ）に出力する。

【0021】

通信部３０は、インターネット等のネットワークＮと接続されており、機器１の通信によるパケット情報を検知回路１００のセレクタ１１０（マルチプレクサ１１０_１～Ｎ）に出力する。

【0022】

セレクタ１１０は、プロセッサ情報及びパケット情報の入力を受け付けて、プロセッサ情報及びパケット情報の何れかを選択し、選択されたプロセッサ情報及びパケット情報の何れかの情報の特徴量ベクトルを判別器に出力する。セレクタ１１０は、特徴量ベクトルの各要素に対応するマルチプレクサの各々（１１０_１～Ｎ）として構成される。マルチプレクサの各々が対応付けられた特徴量の要素を出力する。

【0023】

なお、プロセッサ情報はコア２０によるプログラム実行の１サイクルレベルで生成され、パケット情報は機器１がデータを受信した時に生成される。後者のパケット情報の頻度の方が低い。そのため、セレクタ１１０では、通常はプロセッサ情報を選択し、インターネットからパケット情報が流れてきた場合には優先的に選択する。

【0024】

判別器１１２は、選択された情報の特徴量ベクトルを入力として、マルウェア及び悪性通信を判別し、判別結果を決定器１１４に出力する。判別器１１２は、ランダムフォレストやニューラルネットワーク等の機械学習のアルゴリズムを用いた手法により、学習用のプロセッサ情報及びパケット情報の特徴量ベクトルを学習データとして用いて、学習されている。判別器１１２が出力する判別結果は、プログラム実行の判別として「通常プログラム」又は「マルウェア」を判別結果として出力し、通信の判別として「良性通信」又は「悪性通信」を判別結果として出力する。なお、入力の特徴量ベクトルとしては、プロセッサ情報及びパケット情報を区別して入力していない。このように、入力時にラベル等で区別せずに、プロセッサ情報及びパケット情報で選択した情報の特徴量ベクトルとする点が本手法の特徴のひとつであるが、区別しなくても判別器１１２においては判別が可能である。よって、異なる特徴の情報を区別しない特徴量ベクトルを用いることが可能である。異なる情報の特徴量ベクトルを入力に用いることが可能な検証例については後述する。

【0025】

ここで、特徴量ベクトルの特徴量の要素について説明する。プログラム実行時のプロセッサ情報及び通信ごとのパケット情報それぞれの要素の入力の順番がマルチプレクサの各々（１１０_１～Ｎ）に対応付けられて規定される。以下にプロセッサ情報及びパケット情報の要素の例を挙げる。なお、判別器１１２は、上記のプロセッサ情報及びパケット情報それぞれの特徴量の要素のうち、任意の特徴量の要素を入力に規定して、判別器１１２は学習させているとする。

【0026】

図２はプロセッサ情報としての特徴量の種類ごとの要素の一例である。図２に示すように、プロセッサ情報の種類は、命令実行時に関する情報、命令距離に関する情報、キャッシュ精度に関する情報がある。命令実行時に関する情報は、ｐｃ（プログラムカウンタ）、ｉｎｓｎ（命令種別）、ｏｐ（オペコード）、ａｄｄｒ（ロード／ストアアドレスまたは分岐先ｐｃ）、ｃｏｎｄ（条件分岐フラグ）、ｒｎ（レジスタ番号）、ｒｖ（レジスタ値）を特徴量の要素として用いることができる。命令距離に関する情報は、ｄｎ（ＮＯＰの命令距離）、ｄｌ（Ｌｏａｄの命令距離）、ｄｓ（Ｓｔｏｒｅの命令距離）、ｄｊ（Ｊｕｍｐの命令距離）、ｄｏ（その他の命令距離）を特徴量の要素として用いることができる。キャッシュ精度に関する情報は、ｄｉｒｅｃｔｉｏｎ（実際に分岐した方向）、ｐｒｅｄ＿ｄｉｒｅｃｔｉｏｎ（ｇｓｈａｒｅによって予測された方向）、Ｌ１＿ｉｎｓｔ（Ｌ１命令キャッシュの累積ヒット率）、Ｌ１＿ｄａｔａ（Ｌ１データキャッシュの累積ヒット率）、Ｌ２（Ｌ２キャッシュの累積ヒット率）を特徴量の要素として用いることができる。

【0027】

図３はパケット情報としての特徴量の種類ごとの要素の一例である。パケット情報の特徴量の種類は、接続に関する基本情報、接続数に関する情報、接続の割合に関する情報がある。接続に関する基本情報は、Ｄｕｒａｔｉｏｎ（接続の長さ（秒））、Ｓｏｕｒｃｅ ｂｙｔｅｓ（送信元ＩＰから送られたデータ長）、Ｄｕｒａｔｉｏｎ ｂｙｔｅｓ（宛先ＩＰから送られたデータ長）を特徴量の要素として用いることができる。接続数に関する情報は、Ｃｏｕｎｔ、Ｄｓｔ＿ｈｏｓｔ＿ｃｏｕｎｔ、Ｄｓｔ＿ｈｏｓｔ＿ｓｒｖ＿ｃｏｕｎｔを特徴量の要素として用いることができる。Ｃｏｕｎｔは、宛先と送信元が現在の接続と同じ直近２秒間の接続の数である。Ｄｓｔ＿ｈｏｓｔ＿ｃｏｕｎｔは、過去１００接続で宛先ＩＰが現在の接続と同じで、送信元ＩＰも同じ接続の数である。Ｄｓｔ＿ｈｏｓｔ＿ｓｒｖ＿ｃｏｕｎｔは、過去１００接続で宛先ＩＰが現在の接続と同じで、サービスも同じ接続の数である。接続の割合に関する情報は、Ｓａｍｅ＿ｓｒｖ＿ｒａｔｅ、Ｓｅｒｒｏｒ＿ｒａｔｅ、Ｓｒｖ＿ｓｅｒｒｏｒ＿ｒａｔｅ、Ｄｓｔ＿ｈｏｓｔ＿ｓａｍｅ＿ｓｒｃ＿ｐｏｒｔ＿ｒａｔｅ、Ｄｓｔ＿ｈｏｓｔ＿ｓｅｒｒｏｒ＿ｒａｔｅ、Ｄｓｔ＿ｈｏｓｔ＿ｓｒｖ＿ｅｒｒｏｒ＿ｒａｔｅを特徴量の要素として用いることができる。Ｓａｍｅ＿ｓｒｖ＿ｒａｔｅは、Ｃｏｕｎｔのうち、同じサービスに接続している割合である。Ｓｅｒｒｏｒ＿ｒａｔｅは、Ｃｏｕｎｔのうち、ＳＹＮエラーを持つ割合である。Ｓｒｖ＿ｓｅｒｒｏｒ＿ｒａｔｅは、Ｓｒｖ＿Ｃｏｕｎｔのうち、ＳＹＮエラーを持つ割合である。Ｓｒｖ＿Ｃｏｕｎｔは直近二秒間の同じサービスへの接続数である。Ｄｓｔ＿ｈｏｓｔ＿ｓａｍｅ＿ｓｒｃ＿ｐｏｒｔ＿ｒａｔｅは、Ｄｓｔ＿ｈｏｓｔ＿ｃｏｕｎｔのうち、送信元ポートが同じ接続の割合である。Ｄｓｔ＿ｈｏｓｔ＿ｓｅｒｒｏｒ＿ｒａｔｅは、Ｄｓｔ＿ｈｏｓｔ＿ｃｏｕｎｔのうち、ＳＹＮエラーを持つ接続の割合である。Ｄｓｔ＿ｈｏｓｔ＿ｓｒｖ＿ｅｒｒｏｒ＿ｒａｔｅは、Ｄｓｔ＿ｈｏｓｔ＿ｓｒｖ＿ｃｏｕｎｔのうち、ＳＹＮエラーを持つ接続の割合である。

【0028】

判別器１１２について定めた入力の規定により、特徴量ベクトルの入力の要素数は、プロセッサ情報及びパケット情報から選んだ何れかの要素数の最大数をとるように規定する。例えば、プロセッサ情報の要素数を７、パケット情報を１０選んで入力として規定した場合には、特徴量ベクトルの入力の要素数は１０となる。この場合、プロセッサ情報の要素数で不足の特徴量の要素の３つについては、当該要素を埋めた特徴量ベクトルとして入力する。このように、プログラム実行時のプロセッサ情報及び通信ごとのパケット情報それぞれの要素の入力の順番を規定して並べ、不足の特徴量の要素については当該要素を埋めた特徴量ベクトルとする。

【0029】

また、判別器１１２は、プログラム実行時のプロセッサ情報及び通信ごとのパケット情報それぞれの要素の入力の順番を規定して並べ、不足の特徴量の要素については当該要素を埋めた特徴量ベクトルの学習データを用いて学習されている。

【0030】

図４（図４Ａ及び図４Ｂ）は、特徴量ベクトルの一例を示す図である。一例として、プロセッサ情報が３つの特徴量（ｐｃ，Ｌ１＿ｉｎｓｔ，Ｌ１＿ｄａｔａ）、パケット情報が３つの特徴量（Ｄｕｒａｔｉｏｎ，Ｃｏｕｎｔ，Ｓｅｒｒｏｒ＿ｒａｔｅ）を用いる場合を想定する。この場合、３つの特徴量の学習データの枠を１サイクルの各行の特徴量ベクトルとして作成し、プロセッサ情報及びパケット情報を混ぜて統合し、学習データとする。

【0031】

図４Ａのように、データ統合時に、プロセッサ情報及びパケット情報の混ぜ合わせの順番は考慮しなくてもよいが、プロセッサ情報及びパケット情報の特徴量の各要素の順番は、各要素が揃った位置にする必要がある。ａａａａａの行はプロセッサ情報の特徴量ベクトルである。ｄｄｄｄｄの行はパケット情報の特徴量ベクトルである。本実施形態では、これらの特徴量ベクトルをまとめて学習データとして判別器１１２を学習されているとする。

【0032】

図４Ｂは、パケット情報、プロセッサ情報のどちらかの特徴量の要素が多く、一方の不足の特徴量の要素を埋める場合である。特徴量の要素の数を特徴量の多い側の特徴量数に合わせた数にして学習データの枠を作成する。特徴量の要素の少ない側の情報に、足りない特徴量の要素部分に０を補って学習データを統合する。例では、特徴量の多い側の情報はプロセッサ情報、特徴量の少ない側の情報はパケット情報となる．プロセッサ情報の特徴量数に合わせた３列分の学習データ枠を作成し、プロセッサ情報はそのまま入力する。パケット情報は、Ｓｅｒｒｏｒ＿ｒａｔｅが除かれて２つの特徴量となり、統合後の学習データ枠に対して特徴量が１つ分足りないことになる。この場合、足りない特徴量（Ｓｅｒｒｏｒ＿ｒａｔｅ）部分を０で埋めた３列のデータに変更した後、特徴量ベクトルの学習データに統合する。判別器１１２で判別する際に入力する特徴量ベクトルの場合も同様にすればよい。

【0033】

決定器１１４は、判別器１１２の判別結果を集計し、所定時間におけるサイバー攻撃（プログラム又は通信による攻撃）の発生の有無を最終的に決定する回路である。決定器１１４は、予め定めた時間間隔で処理を実行すればよく、既存の集計及び閾値による決定を実行する回路を改良して用いればよい。

【0034】

（検証例）
特徴量ベクトルに用いる特徴量の要素に関する検証を行った。図５は、プロセッサ情報及びパケット情報の特徴量を散布図にプロットした例である。異なる二種のデータの統合を行った特徴量ベクトルの場合において、パケット情報の良性／悪性通信、プロセッサ情報の良性／悪性を判別できる根拠として、特徴量の領域の違いが考えられる。図５において、パケット情報の良性のプロット点は白地の三角形（ｐａｃｋｅｔ＿Ｎ）、プロセッサ情報の良性のプロット点は黒地の三角形（ｔｒａｃｅ＿Ｎ）でプロットされている。また、パケット情報の悪性のプロット点は薄地の丸（ｐａｃｋｅｔ＿Ａ）、プロセッサ情報の悪性のプロット点は黒地の丸（ｔｒａｃｅ＿Ａ）でプロットされている。また、横軸は、Ｌ１＿ｉｎｓｔ／Ｄｓｔ＿ｈｏｓｔ＿ｃｏｕｎｔの比率を示す。縦軸は、Ｌ１＿ｄａｔａ／Ｄｓｔ＿ｈｏｓｔ＿ｓｅｒｒｏｒ＿ｒａｔｅの比率を示す。プロットした特徴量の選出はプロセッサ情報、パケット情報それぞれの特徴量の中から寄与率の高いものを二種ずつ選出した。図５を見ると、プロセッサ情報の悪性を表すプロット点と良性を表すプロット点は左端中段辺りに張り付き、パケット情報を表すプロット点は良性及び悪性の何れも上下に張り付き、ところどころ中段にあるデータも存在する。このことから。プロセッサ情報とパケット情報を統合した場合にうまくそれぞれの特徴量領域が分かれ、お互いのデータの判別に悪影響を及ぼしにくい結果に至っていることがわかる。そのため、異なる情報を区別しない特徴量ベクトルの入力として扱っても、マルウェア及び悪性通信の判別が可能となる。

【0035】

（作用）
次に、本実施形態に係る検知回路１００の作用について説明する。検知回路１００は、図６に示す検知処理ルーチンを実行する。

【0036】

ステップＳ１００では、セレクタ１１０が、受信プロセスごとに、プログラム実行時のプロセッサ情報及び通信によるパケット情報の入力を受け付ける。受信プロセスは、プロセッサ情報はコアの１サイクルの実行ごと、パケット情報は通信部３０のデータの受信ごとである。

【0037】

次に、ステップＳ１０２では、セレクタ１１０が、プロセッサ情報及びパケット情報の何れかを選択し、選択されたプロセッサ情報及びパケット情報の何れかの情報の特徴量ベクトルを生成し、判別器１１２に出力する。プロセッサ情報はコアの１サイクルの実行ごと、パケット情報は通信部３０のデータの受信ごとに生成される。同時に受信した場合にはパケット情報を優先する。

【0038】

ステップＳ１０４では、判別器１１２が、特徴量ベクトルの受信ごとに、選択された情報の特徴量ベクトルを入力として、マルウェア及び悪性通信を判別し、判別結果を決定器１１４に出力する。

【0039】

ステップＳ１０６では、決定器１１４が、検知条件を満たすか否かを判定する。検知条件を満たすと判定した場合にはステップＳ１０８へ移行する。検知条件を満たさないと判定した場合にはステップＳ１００に戻って処理を繰り返す。検知条件は、例えば、所定時間が経過した場合や、判別を開始してから判別の回数が所定回数以上になった時点の場合とすればよい。

【0040】

ステップＳ１０８では、決定器１１４が、判別器１１２の判別結果を集計し、所定時間におけるサイバー攻撃（プログラム又は通信による攻撃）の発生の有無を最終的に決定し、検知結果を出力する。

【0041】

以上説明したように、本実施形態の検知回路１００によれば、プロセッサにおいて、一つの判別器を用いる場合でも異なる種類のマルウェア及び悪性通信のサイバー攻撃による異常を検知できる。

【0042】

本実施形態の手法は、第１に、マルウェアと悪性通信という2種類のサイバー攻撃を検知できるという特徴がある。これまで、ＩｏＴ機器に対しては、リソース制約が厳しいため、パソコンなどで用いられるセキュリティ対策ソフト（ウイルスバスター、ＥＳＥＴなど）は導入できなかった。それに対し、セキュリティ対策のためのハードウェア機構が少しずつ開発されてきており、直近でマルウェア対策を行うハードウェアの提案が行われるまでになった。しかし、悪性通信の検知を行うハードウェアの提案は行われていなかった。そうした状況に対し、本実施形態の手法は、マルウェアを検知する回路を改良し、新たに悪性通信も検知可能にしたという特徴がある。

【0043】

第２に、通常、既存の回路に機能を追加すると、回路規模が増加してしまうが、本実施形態の手法は、機能追加に伴う回路規模の増加を抑制できるという特徴がある。このように回路規模を抑制できる理由は、判別器の1つ目の入力に対し、マルウェアの検知のためのプロセッサ情報の特徴量ベクトルと、悪性通信の検知のためのパケット情報の特徴量ベクトルの何れかを選択して判別の入力にすることができるような学習を行っているからである。通常、機械学習の分野では、このような学習は行われておらず、これが本実施形態の手法を特徴的なものとする要因の１つとなっている。

【0044】

また、変形としては、機械学習のアルゴリズムを別のものにすることができる。機械学習は、ニューラルネットワーク、ナイーブベイズ、ＳＶＭ（サポートベクターマシン）、ランダムフォレストなど、複数のアルゴリズムを組み合わせることが想定される。また、特徴量を変更する、さらに別のサイバー攻撃を検出できるようにする、といった組み合わせが考えられる。

【0045】

本手法は、１つの判別器で特徴量の情報が異なる事象の判定を可能とする点にある。したがって、今回の場合は、マルウェアと悪性通信という異なる事象の判定を対象としていたが、この判定を別のものに変更するという展開も可能である。例えば、ＩｏＴ機器において、画像認識、音声認識、音響認識（故障検査など）といった別の判定に導入することも考えられる。

【0046】

また、第１にサイバー攻撃は年々増加、複雑化しており、社会的効果は大きい。第２に波及範囲についてＩｏＴ機器の用途は多岐にわたる。現在、あらゆる機器がインターネットに接続され、ＩｏＴ機器として動作している。監視カメラだけでなく、工場や、自動車などの輸送機器もＩｏＴ機器とみなすことができる。そうした機器はいずれも必ずプロセッサを搭載しているため、プロセッサ自体の製造時に標準機能として搭載すれば、あらゆるＩｏＴ機器において最初からサイバー攻撃対策を施すことが可能となる。

【0047】

また、ニューラルネットワークをハードウェアに実装する場合、浮動小数点を扱うためにビット幅の大きいデータを記憶し、演算（掛け算、割り算などを）しなければならないため、ハードウェア構造が極めて大きく、高価になってしまう。そのため、ＩｏＴ機器への搭載は難しい。例えば、安価な監視カメラにＡＩエンジン専用のＬＳＩ、又はあるいは、ＡＩエンジンを搭載したＦＰＧＡなどを搭載することはコスト的に非常に困難である。一方、本手法は、異なる判別を同一の学習モデルで実現するという手法であり、学習モデルとしてどのようなものでも用いることができる。なお、ニューラルネットワークだけではなく、ランダムフォレストのようなクラシックな機械学習モデルも利用可能である。

【0048】

なお、本発明は、上述した実施形態に限定されるものではなく、この発明の要旨を逸脱しない範囲内で様々な変形や応用が可能である。

【符号の説明】

【0049】

１ 機器
１０ プロセッサ
２０ コア
３０ 通信部
１００ 検知回路
１１０ セレクタ
１１２ 判別器
１１４ 決定器

【図1】

【図2】

【図3】

【図4A】

【図4B】

【図5】

【図6】