特許 7156642 同定処理装置、同定処理プログラム及び同定処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-10-11

(45)【発行日】2022-10-19

(54)【発明の名称】同定処理装置、同定処理プログラム及び同定処理方法

(51)【国際特許分類】

   H04L 41/08 20220101AFI20221012BHJP

【ＦＩ】

H04L41/08

【請求項の数】 8

(21)【出願番号】P 2019024765

(22)【出願日】2019-02-14

(65)【公開番号】P2020136779

(43)【公開日】2020-08-31

【審査請求日】2021-10-07

(73)【特許権者】

【識別番号】000000295

【氏名又は名称】沖電気工業株式会社

(73)【特許権者】

【識別番号】519135633

【氏名又は名称】公立大学法人大阪

(74)【代理人】

【識別番号】100180275

【弁理士】

【氏名又は名称】吉田 倫太郎

(74)【代理人】

【識別番号】100161861

【弁理士】

【氏名又は名称】若林 裕介

(72)【発明者】

【氏名】中村 信之

(72)【発明者】

【氏名】阿多 信吾

(72)【発明者】

【氏名】河合 嘉輝

【審査官】宮島 郁美

(56)【参考文献】

【文献】特開２０１８－０３３１０６（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１６／０１０５３６４（ＵＳ，Ａ１）

【文献】特開２０１０－１６６１４２（ＪＰ，Ａ）

【文献】ＩｏＴ機器に特化したアノマリ型侵入検知システムの提案 Proposal of Anomaly Intrusion Detection System Specialized for IoT Devices，ＣＳＳ２０１８ コンピュータセキュリティシンポジウム２０１８論文集 ［ＵＳＢ］，2018年12月31日，p.443-447

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ１２／００－１３／１８，４１／００－６９／４０

(57)【特許請求の範囲】

【請求項1】

対象機器に係るトラフィックデータを所定の抽出キーに基づいて抽出した抽出トラフィックデータを取得する抽出手段と、
前記抽出手段が抽出した分類データに基づいて、分割トラフィックデータごとのトラフィック特徴量を抽出するトラフィック特徴量取得手段と、
前記対象機器に対するポートスキャン処理を行った結果に基づいて前記対象機器のポートスキャン特徴量を取得するポートスキャン特徴量取得手段と、
前記ポートスキャン特徴量取得手段が取得したポートスキャン特徴量と、前記トラフィック特徴量取得手段が取得したトラフィック特徴量とに基づいて、前記対象機器の同定処理を行う機器同定処理手段と
を有することを特徴とする同定処理装置。

【請求項2】

前記機器同定処理手段は、前記対象機器について、前記ポートスキャン特徴量と前記トラフィック特徴量を統合した統合特徴量に基づいて同定処理を行うことを特徴とする請求項１に記載の同定処理装置。

【請求項3】

前記機器同定処理手段は、機械学習モデルを用いて、前記対象機器について、統合特徴量に基づいた同定処理を行うことを特徴とする請求項２に記載の同定処理装置。

【請求項4】

前記抽出手段では、前記抽出キーとして５ｔｕｐｌｅｓを適用したことを特徴とする請求項１～３のいずれかに記載の同定処理装置。

【請求項5】

前記抽出手段では、前記抽出キーとして送信元アドレスと宛先アドレスの組み合わせを適用したことを特徴とする請求項１～３のいずれかに記載の同定処理装置。

【請求項6】

前記抽出手段では、前記抽出キーとして送信元アドレスを適用したことを特徴とする請求項１～３のいずれかに記載の同定処理装置。

【請求項7】

コンピュータを、
対象機器に係るトラフィックデータを所定の抽出キーに基づいて抽出した抽出トラフィックデータを取得する抽出手段と、
前記抽出手段が抽出した分類データに基づいて、分割トラフィックデータごとのトラフィック特徴量を抽出するトラフィック特徴量取得手段と、
前記対象機器に対するポートスキャン処理を行った結果に基づいて前記対象機器のポートスキャン特徴量を取得するポートスキャン特徴量取得手段と、
前記ポートスキャン特徴量取得手段が取得したポートスキャン特徴量と、前記トラフィック特徴量取得手段が取得したトラフィック特徴量とに基づいて、前記対象機器の同定処理を行う機器同定処理手段と
して機能させることを特徴とする同定処理プログラム。

【請求項8】

同定処理装置が行う同定処理方法において、
抽出手段、トラフィック特徴量取得手段、ポートスキャン特徴量取得手段、及び機器同定処理手段を有し、
前記抽出手段は、対象機器に係るトラフィックデータを所定の抽出キーに基づいて抽出した抽出トラフィックデータを取得し、
前記トラフィック特徴量取得手段は、前記抽出手段が抽出した分類データに基づいて、分割トラフィックデータごとのトラフィック特徴量を抽出し、
前記ポートスキャン特徴量取得手段は、前記対象機器に対するポートスキャン処理を行った結果に基づいて前記対象機器のポートスキャン特徴量を取得し、
前記機器同定処理手段は、前記ポートスキャン特徴量取得手段が取得したポートスキャン特徴量と、前記トラフィック特徴量取得手段が取得したトラフィック特徴量とに基づいて、前記対象機器の同定処理を行う
ことを特徴とする同定処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

この発明は、同定処理装置、同定処理プログラム及び同定処理方法に関し、例えば、インターネット等のネットワークに接続する機器を管理する際に、それらの機器の種類等を同定する処理に適用し得る。

【背景技術】

【0002】

従来、インターネット等のネットワーク上に接続する機器の監視や管理をする際、それらの機器の種類等を同定することが求められる場合がある。その際、監視や管理の対象となる機器（以下、「対象機器」と呼ぶ）を同定する従来手法として、対象機器が送受信するトラフィックデータを分析する手法があう（例えば、特許文献１～３参照）。

【0003】

特許文献１～３には、対象機器の発生するトラフィックからトラフィックの特徴量を統計的に算出し、その特徴量を機械学習器等に用いることにより、対象機器で利用しているアプリケーションや機器種別を判定することについて記載されている。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０１２－１７５３３８号公報

【文献】特開２０１５－０５０４７３号公報

【文献】特開２０１８－３３１０６号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、従来のトラフィック解析により対象機器等を同定する手法は、主としてＰＣやスマートホン等のトラフィックを大量に発生させる機器を対象としており、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）機器等それほどトラフィックを大量に発生させない機器については同定し難いという問題があった。

【0006】

広くＩｏＴ機器等を対象として、ネットワークにどんなＩｏＴ機器が接続されており、正常な状態でいるのかどうかを判定することを考えると、例えば、ネットワークスイッチや、無線ＬＡＮのアクセスポイント、ルータ、遠隔制御されない限り自動で動作するロボット等、ほとんどトラフィックを発生しないＩｏＴ機器にも対応する必要がある。これらのＩｏＴ機器はトラフィックをほとんど発生しないため、従来手法では利用アプリケーションの推定や機器の推定の対象外であるか、あるいは統計的に十分な特徴量とならないため、違うものと同定（認識）されてしまう結果（誤検知）となる可能性が高かった。

【0007】

そのため、発生するトラフィックの量が少ない対象機器（例えば、ＩｏＴ機器）であっても、精度よく同定することができる同定処理装置、同定処理プログラム及び同定処理方法が望まれている。

【課題を解決するための手段】

【0008】

第１の本発明の同定処理装置は、（１）対象機器に係るトラフィックデータを所定の抽出キーに基づいて抽出した抽出トラフィックデータを取得する抽出手段と、（２）前記抽出手段が抽出した分類データに基づいて、分割トラフィックデータごとのトラフィック特徴量を抽出するトラフィック特徴量取得手段と、（３）前記対象機器に対するポートスキャン処理を行った結果に基づいて前記対象機器のポートスキャン特徴量を取得するポートスキャン特徴量取得手段と、（４）前記ポートスキャン特徴量取得手段が取得したポートスキャン特徴量と、前記トラフィック特徴量取得手段が取得したトラフィック特徴量とに基づいて、前記対象機器の同定処理を行う機器同定処理手段とを有することを特徴とする。

【0009】

第２の本発明の同定処理プログラムは、コンピュータを、（１）対象機器に係るトラフィックデータを所定の抽出キーに基づいて抽出した抽出トラフィックデータを取得する抽出手段と、（２）前記抽出手段が抽出した分類データに基づいて、分割トラフィックデータごとのトラフィック特徴量を抽出するトラフィック特徴量取得手段と、（３）前記対象機器に対するポートスキャン処理を行った結果に基づいて前記対象機器のポートスキャン特徴量を取得するポートスキャン特徴量取得手段と、（４）前記ポートスキャン特徴量取得手段が取得したポートスキャン特徴量と、前記トラフィック特徴量取得手段が取得したトラフィック特徴量とに基づいて、前記対象機器の同定処理を行う機器同定処理手段として機能させることを特徴とする。

【0010】

第３の本発明は、同定処理装置が行う同定処理方法において、（１）抽出手段、トラフィック特徴量取得手段、ポートスキャン特徴量取得手段、及び機器同定処理手段を有し、（２）前記抽出手段は、対象機器に係るトラフィックデータを所定の抽出キーに基づいて抽出した抽出トラフィックデータを取得し、（３）前記トラフィック特徴量取得手段は、前記抽出手段が抽出した分類データに基づいて、分割トラフィックデータごとのトラフィック特徴量を抽出し、（４）前記ポートスキャン特徴量取得手段は、前記対象機器に対するポートスキャン処理を行った結果に基づいて前記対象機器のポートスキャン特徴量を取得し、（５）前記機器同定処理手段は、前記ポートスキャン特徴量取得手段が取得したポートスキャン特徴量と、前記トラフィック特徴量取得手段が取得したトラフィック特徴量とに基づいて、前記対象機器の同定処理を行うことを特徴とする。

【発明の効果】

【0011】

発生するトラフィックの量が少ない対象機器であっても、精度よく同定することができる同定処理装置、同定処理プログラム及び同定処理方法を提供する。

【図面の簡単な説明】

【0012】

【図1】第１、第２の実施形態に係る各装置の接続構成、及び同定処理装置の機能的構成について示したブロック図である。

【図2】第１の実施形態に係る同定処理装置の動作について示したフローチャートである。

【図3】第１の実施形態に係るポートスキャン特徴量を構成する各項の例について示した説明図である。

【図4】第２の実施形態に係る同定処理装置の動作について示したフローチャートである。

【発明を実施するための形態】

【0013】

（Ａ）第１の実施形態
以下、本発明による同定処理装置、同定処理プログラム及び同定処理方法の第１の実施形態を、図面を参照しながら詳述する。

【0014】

（Ａ－１）第１の実施形態の構成
図１は、この実施形態に係る同定処理装置１０の接続構成の例について示した説明図である。なお、図１の括弧内の符号は、第２の実施形態でのみ用いられる符号である。

【0015】

同定処理装置１０は、ネットワーク３０に接続された対象機器２０に関する同定処理を行う。ネットワーク３０に接続には１台以上の任意のカズの対象機器２０が接続されているものとする。ここでは、ネットワーク３０には、Ｍ台（Ｍは１以上の整数）の対象機器２０（２０－１～２０－Ｍ）が接続されているものとして以下の説明を行う。

【0016】

対象機器２０は、ネットワーク３０に接続可能なコンピュータ（例えば、ＰＣ、タブレット、スマートホン等）やＩｏＴ機器等である。

【0017】

次に、同定処理装置１０の内部構成について説明する。

【0018】

図１に示すように、同定処理装置１０は、機器推定対象入力部１１、推定対象フロー抽出部１２、特徴量生成部１３、ポートスキャン部１４、及び機器同定部１５を有している。

【0019】

同定処理装置１０は、一部又は全部をソフトウェアにより構成するようにしてもよい。例えば、同定処理装置１０は、メモリ及びプロセッサを有するコンピュータにプログラム（実施形態に係る同定処理プログラムを含む）をインストールすることにより構成するようにしてもよい。

【0020】

機器推定対象入力部１１は、同定処理の対象となるネットワーク上の範囲（対象機器２０が接続されたネットワーク上の範囲）を示す情報（以下、「ネットワーク情報」と呼ぶ）の入力を受け付ける処理を行う。

【0021】

ネットワーク情報は、同定処理の対象となるネットワーク上の範囲（対象機器２０が存在するネットワーク上の範囲）を示すことができれば、具体的な形式は限定されないものであり、例えば、ネットワークアドレスの一覧（例えば、「１９２．１６８．０．０／２４、１９２．１６８．１．０／２４、…」）や、ＩＰアドレスの一覧（例えば、「１９２．１６８．０．１、１９２．１６８．０．２、…」）や、ＩＰアドレスの範囲（例えば、「１９２．１６８．０．１～１９２．１６８．０．２５５」）としてもよい。ここでは、機器推定対象入力部１１で入力を受け付けるネットワーク情報はネットワークアドレスの形式であるものとする。ここでは、例として、機器推定対象入力部１１が受付けたネットワーク情報が、「１９２．１６８．０．０／２４」という１つのネットワークアドレスを示す情報であったものとして説明する。「１９２．１６８．０．０／２４」のうち、「／２４」の部分はサブネットマスク長を示している。したがって、「１９２．１６８．０．０／２４」のうち、「１９２．１６８．０」（上位２４ビット分）がネットワーク部を示しており、ネットワーク部に続く「０」（下位８ビット分）がホスト部を示している。したがって、ネットワークアドレス「１９２．１６８．０．０／２４」が示すＩＰアドレスの範囲は「１９２．１６８．０．１」～「１９２．１６８．０．２５４」となる。

【0022】

そして、ここでは、ネットワーク３０は、ネットワークアドレスが「１９２．１６８．０．０／２４」となるネットワークであるものとする。すなわち、対象機器２０－１～２０－ＭのＩＰアドレスは、それぞれ「１９２．１６８．０．１」～「１９２．１６８．０．２５４」のいずれかとなる。

【0023】

以下では、機器推定対象入力部１１で入力を受け付けたネットワーク情報が示すＩＰアドレスを「対象アドレス」と呼ぶものとする。例えば、機器推定対象入力部１１で入力を受け付けたネットワーク情報が、「１９２．１６８．０．０／２４」という１つのネットワークアドレスの情報であった場合、当該ネットワーク情報が示す対象アドレスは、「１９２．１６８．０．１」～「１９２．１６８．０．２５４」となる。

【0024】

推定対象フロー抽出部１２は、対象アドレスに関係するトラフィックデータ（例えば、いずれかの対象アドレスを送信元又は宛先とするパケット）を取得し、取得したトラフィックデータを、所定のキー（以下、「抽出キー」と呼ぶ）に基づき、抽出（分割）して、抽出キーごとのトラフィックデータ（以下、「抽出トラフィックデータ」と呼ぶ）を取得する処理を行う。推定対象フロー抽出部１２は、取得した各抽出トラフィックデータを特徴量生成部１３に供給する。推定対象フロー抽出部１２で用いる抽出キーの構成について限定されないものである。この実施形態の例では、抽出キーとして、５ｔｕｐｌｅｓ（送信元ＩＰアドレス、送信元Ｐｏｒｔ番号、宛先ＩＰアドレス、宛先Ｐｏｒｔ番号、及びプロトコル番号の組み合わせ）を適用するものとして説明する。抽出キーが５ｔｕｐｌｅｓである場合、各抽出トラフィックデータは、５ｔｕｐｌｅｓにより特定される１つのフローのトラフィックデータということになる。推定対象フロー抽出部１２は、抽出した各抽出トラフィックデータに抽出キーの情報を付加して、特徴量生成部１３に供給する。

【0025】

特徴量生成部１３は、推定対象フロー抽出部１２で抽出された抽出トラフィックデータを集計して、抽出キーごとの特徴量（以下、「トラフィック特徴量ＦＴ」と呼ぶ）を抽出する処理を行う。

【0026】

ポートスキャン部１４は、対象アドレスごとにポートスキャン（例えば、所定のポートについて所定の手順でアクセスして得られた反応を記録する処理）を行い、対象アドレスごとにポートスキャンの結果を集計して特徴量化した情報（以下、「ポートスキャン特徴量ＦＰ」と呼ぶ）を抽出する。ポートスキャン部１４は、例えば、ポートスキャンとして空きポートの情報や通信時に返答として得られたプロンプト等の情報を収集する処理を行う。

【0027】

機器同定部１５は、特徴量生成部１３から得られたトラフィック特徴量ＦＴと、ポートスキャン部１４から得られたポートスキャン特徴量ＦＰとを統合した特徴量（以下、「統合特徴量ＦＩ」と呼ぶ）を取得し、対象アドレスごとに統合特徴量ＦＩに基づき、当該対象アドレスに対応する機器を同定する処理を行う。

【0028】

機器同定部１５が、対象機器２０を同定する際の分類の仕方（カテゴリー）は限定されないものである。例えば、機器同定部１５は、対象機器２０を、機器（装置）の種類（例えば、クライアントＰＣ、サーバ、ルータ、スイッチ、無線ＬＡＮアクセスポイント、ＩｏＴ機器等）で分類する同定処理を行うようにしてもよい。また、機器同定部１５は、対象機器２０について機器の種類を同定した上で、さらに細分化した分類で同定するようにしてもよい。例えば、機器同定部１５は、ある対象機器２０についてクライアントＰＣであると同定した場合、さらに、当該クライアントＰＣにインストールされているアプリケーションについても同定する処理を行うようにしてもよい。また、機器同定部１５は、ある対象機器２０についてＩｏＴ機器あると同定した場合、さらに、当該ＩｏＴ機器のデバイスの種類（例えば、センサー、カメラ等のデバイスの種類）を同定するようにしてもよい。

【0029】

（Ａ－２）第１の実施形態の動作
次に、以上のような構成を有する第１の実施形態における同定処理装置の動作(実施形態に係る同定処理方法)を説明する。

【0030】

まず、機器推定対象入力部１１にネットワーク情報が入力されたものとする（Ｓ１０１）。機器推定対象入力部１１にネットワーク情報されると、機器推定対象入力部１１から推定対象フロー抽出部１２とポートスキャン部１４に当該ネットワーク情報が供給される。

【0031】

ここでは、ネットワーク情報として「１９２．１６８．０．０／２４」という１つのネットワークアドレスが入力され、対象アドレスは１９２．１６８．０．１～１９２．１６８．０．２５４となったものとする。

【0032】

推定対象フロー抽出部１２は、ネットワーク情報が供給されると、当該ネットワーク情報が示す対象アドレスごとにトラフィックデータを取得し、取得したトラフィックデータから抽出キーごとの抽出トラフィックデータを取得し、各抽出トラフィックデータを特徴量生成部１３に供給する（Ｓ１０２）。

【0033】

推定対象フロー抽出部１２は、対象アドレス（１９２．１６８．０．１～１９２．１６８．０．２５４）のそれぞれについて、トラフィックデータを取得する。推定対象フロー抽出部１２が各対象アドレスについてトラフィックデータを取得する方法（例えば、各対象アドレスのトラフィックを監視してトラフィックデータを取得する方法）は限定されないものである。例えば、推定対象フロー抽出部１２は、それぞれの対象アドレスで送受信されるトラフィックが通過するネットワーク装置（例えば、ルータ等）から、それぞれの対象アドレスで送受信されるトラフィックのデータ（例えば、送受信されるパケットそのものや、送受信されるパケットに基づく統計データ）を取得するようにしてもよい。そして、推定対象フロー抽出部１２は、取得したトラフィックデータを抽出キーごとに分割して抽出トラフィックデータを取得する。

【0034】

次に、特徴量生成部１３が、各抽出トラフィックデータを処理して、抽出キーごとのトラフィック特徴量ＦＴを抽出する処理を行う（Ｓ１０３）。

【0035】

例えば、特徴量生成部１３は、抽出キーごとに、抽出トラフィックデータを統計的に処理した値（集計した値）をトラフィック特徴量ＦＴとして取得するようにしてもよい。この実施形態の例では、特徴量生成部１３は、フローの開始から２００パケットの間に得られたパケットサイズの四分位値や、パケット到着間隔の四分位値等の統計値（抽出トラフィックデータにより得られる統計値）をトラフィック特徴量ＦＴとして生成するものとする。以下では、パケットサイズの四分位値（第一四分位値～第四四分位値）を、それぞれパケットサイズ２５％値、パケットサイズ５０％値ＰＳ２、パケットサイズ７５％値、パケットサイズ１００％値と呼ぶものとする。また、以下では、パケットサイズ２５％値、パケットサイズ５０％値、パケットサイズ７５％値、パケットサイズ１００％値を、それぞれＰＳ１、ＰＳ２、ＰＳ３、ＰＳ４と表すものとする。さらに、以下では、パケット到着間隔の四分位値（第一四分位値～第四四分位値）を、それぞれ、パケット到着間隔２５％値、パケット到着間隔５０％値、パケット到着間隔７５％値、パケット到着間隔１００％値と呼ぶものとする。さらにまた、以下では、パケット到着間隔２５％値、パケット到着間隔５０％値、パケット到着間隔７５％値、パケット到着間隔１００％値を、それぞれＰＲ１、ＰＲ２、ＰＲ３、ＰＲ４と表すものとする。ここでは、トラフィック特徴量ＦＴを、以下の（１）式のような形式で表すものとする。具体的には、例えば、ＰＳ１＝２０、ＰＳ２＝１０００、ＰＳ３＝１２５０、ＰＳ４＝１５００、ＰＲ１＝４、ＰＲ２＝１５、ＰＲ３＝２０、ＰＲ４＝２５０とすると、トラフィック特徴量ＦＴは以下の（２）式のように表すことができる。
トラフィック特徴量ＦＴ
＝［ＰＳ１、ＰＳ２、ＰＳ３、ＰＳ４、ＰＲ１、ＰＲ２、ＰＲ３、ＰＲ４］…（１）
トラフィック特徴量ＦＴ
＝［ＰＳ１、ＰＳ２、ＰＳ３、ＰＳ４、ＰＲ１、ＰＲ２、ＰＲ３、ＰＲ４］
＝［２０，１０００，１２５０，１５００，４，１５，２０，２５０］ …（２）

【0036】

以上のように、特徴量生成部１３はフローごと（抽出キーごと）にトラフィック特徴量ＦＴを取得し、当該トラフィック特徴量ＦＴに時間情報（例えば、特徴量を抽出した時刻の情報）及び抽出キーを付加して、機器同定部１５に供給する。

【0037】

一方、ポートスキャン部１４は、対象アドレスごとにポートスキャンを行い、対象アドレスごとにポートスキャンの結果を集計して特徴量化した情報をポートスキャン特徴量ＦＰとして取得する（Ｓ１０４）。

【0038】

なお、トラフィック特徴量ＦＴを取得する処理（推定対象フロー抽出部１２、及び特徴量生成部１３の処理；ステップＳ１０２、Ｓ１０３の処理）と、ポートスキャン特徴量ＦＰを取得する処理（ポートスキャン部１４の処理；ステップＳ１０４の処理）については、図２のフローチャートの見た目通りに直列的に実行するようにしてもよいが、並列的に実行するようにしてもよい。

【0039】

ポートスキャン部１４が行うポートスキャンの具体的な処理内容については限定されないものである。例えば、ポートスキャン部１４は、ポートスキャンの処理として、所定のＴＣＰポートの空き状況や、所定のサービス（例えば、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）等）の認証情報（例えば、許可された認証方式の情報）の確認を行うようにしてもよい。

【0040】

この実施形態の例において、ポートスキャン部１４が行うポートスキャンの内容について図３を用いて説明する。

【0041】

この実施形態の例では、ポートスキャン部１４は、ポートスキャンとしてＴＣＰの８０番ポート（ＨＴＴＰ：Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、４４３番ポート（ＨＴＴＰＳ：ＨＴＴＰ ｏｖｅｒ ＴＬＳ／ＳＳＬ）、２２番ポート（ＳＳＨ：Ｓｅｃｕｒｅ Ｓｈｅｌｌ）、２３番ポート（Ｔｅｌｎｅｔ）の空き状況確認（空いている状態であるか否かの確認）と、ＳＳＨ（ＴＣＰのポート番号２２番）の認証情報の確認（パスワード認証の許可状態（有効又は無効）の確認、及び証明書認証の許可状態（有効又は無効）の確認）を行うものとする。なお、ポートスキャン部１４が行うポートスキャンの項目は、図３に示す内容に限定されないものである。例えば、ポートスキャン部１４が行う空き状況確認を行うポートを図３の例からさらに増やすようにしてもよい。また、ポートスキャン部１４が行うポートスキャンの手法については、上記の例に限定されず、種々のポートスキャン処理を適用することができる。

【0042】

ここでは、ポートスキャン部１４は、図３に示す６つの項目（以下これらの項目の識別子を「Ｆ１」～「Ｆ６」と表す）についてポートスキャンの処理を行うものとする。図３では、項目Ｆ１～Ｆ６について、ポートスキャンの内容と設定値（出力値）について示している。

【0043】

図３に示すように、項目Ｆ１～Ｆ４は、ＴＣＰポートの空き状況に関する項目である。項目Ｆ１～Ｆ４は、それぞれＴＣＰの８０番ポート、４４３番ポート、２２番ポート、２３番ポートの空き状況（空いている状況又は空いていない状況）を確認することを示す項目である。項目Ｆ１～Ｆ４には、当該ポートが空いていない場合には「０」が設定され、当該ポートが空いている場合には「１」が設定される。

【0044】

また、図３に示すように、項目Ｆ５は、ＳＳＨ（ＴＣＰ２２番ポート）にアクセスした際の反応（例えば、プロンプトと共に出力される文字列）等から、パスワード認証が許可されているか否か（パスワード認証が有効であるか無効であるか）を確認することを示す項目である。項目Ｆ５では、ＳＳＨのパスワード認証が有効の場合（許可されている場合）には「１」が設定され、ＳＳＨのパスワード認証が無効の場合（許可されていない場合）には「０」が設定される。

【0045】

さらに、図３に示すように、項目Ｆ６は、ＳＳＨ（ＴＣＰ２２番ポート）にアクセスした際の反応（例えば、プロンプトと共に出力される文字列）等から、証明書認証が許可されているか否か（証明書認証が有効であるか無効であるか）を確認することを示す項目である。項目Ｆ６では、ＳＳＨの証明書認証が有効の場合（許可されている場合）には「１」が設定され、ＳＳＨの証明書認証が無効の場合（許可されていない場合）には「０」が設定される。

【0046】

ここでは、ポートスキャン部１４が、上述のＦ１～Ｆ６のポートスキャンの処理に基づくポートスキャン特徴量ＦＰを以下の（３）式のような形式で表すものとする。具体的には、例えば、Ｆ１＝１、Ｆ２＝１、Ｆ３＝０、Ｆ４＝０、Ｆ５＝０、Ｆ６＝１とすると、ポートスキャン特徴量ＦＰは以下の（４）式のように表すことができる。
ポートスキャン特徴量ＦＰ ＝［Ｆ１、Ｆ２、Ｆ３、Ｆ４、Ｆ５、Ｆ６］…（３）
ポートスキャン特徴量ＦＰ ＝［Ｆ１、Ｆ２、Ｆ３、Ｆ４、Ｆ５、Ｆ６］
＝［１，１，０，０，０，１］…（４）

【0047】

以上のように、ポートスキャン部１４は、ポートスキャンの結果に基づいてポートスキャン特徴量ＦＰを取得し、当該ポートスキャン特徴量ＦＰに時間情報（ポートスキャンを行った時刻の情報）とＩＰアドレス（ポートスキャンを行った対象アドレス）を付加して、機器同定部１５に供給する。

【0048】

次に、機器同定部１５は、特徴量生成部１３から供給されたトラフィック特徴量ＦＴと、ポートスキャン部１４から供給されたポートスキャン特徴量ＦＰを、時刻情報とＩＰアドレスをキー（以下、「連結キー情報」と呼ぶ）として連結（統合）し、統合特徴量ＦＩを生成して保持する（Ｓ１０５）。このとき、機器同定部１５は、統合特徴量ＦＩを生成する際に対象アドレス（連結したポートスキャン特徴量ＦＰに対応する対象アドレス）を付加して保持する。

【0049】

例えば、機器同定部１５は、トラフィック特徴量ＦＴごとに付加された時刻情報及びＩＰアドレス（例えば、抽出キーの送信元ＩＰアドレス又は宛先ＩＰアドレスのいずれか）が一致するポートスキャン特徴量ＦＰを検索し、該当するポートスキャン特徴量ＦＰがあった場合、当該トラフィック特徴量ＦＴとポートスキャン特徴量ＦＰとを連結して（対応付けて）、統合特徴量ＦＩを生成する。そして、機器同定部１５は、生成した統合特徴量ＦＩにＩＰアドレス（連結したポートスキャン特徴量ＦＰに対応する対象アドレス）を付加して保持する。なお、機器同定部１５は、供給されたトラフィック特徴量ＦＴとポートスキャン特徴量ＦＰを全て同じ時刻情報のデータとみなし、連結キー情報から時刻情報は捨象して処理するようにしてもよい。

【0050】

例えば、（２）式に示すトラフィック特徴量ＦＴと、（４）式に示すポートスキャン特徴量ＦＰを連結して統合特徴量ＦＩを生成した場合、以下の（５）式のような内容となる。
統合特徴量ＦＩ＝トラフィック特徴量ＦＴ｜ポートスキャン特徴量ＦＰ
＝［Ｆ１、Ｆ２、Ｆ３、Ｆ４、Ｆ５、Ｆ６、ＰＳ１、ＰＳ２、
ＰＳ３、ＰＳ４、ＰＲ１、ＰＲ２、ＰＲ３、ＰＲ４］
＝［２０，１０００，１２５０，１５００，４，１５，２０，２５０
１，１，０，０，０，１］ …（５）

【0051】

次に、機器同定部１５は、各統合特徴量ＦＩに基づき、当該統合特徴量ＦＩに付加された対象アドレスに対応する対象機器２０を同定する処理を行う（Ｓ１０６）。なお、機器同定部１５は、１つの対象アドレスについて複数の統合特徴量ＦＩが得られた場合には、それらの複数の統合特徴量ＦＩに基づいて当該対象アドレスの同定処理を行うようにしてもよい。

【0052】

機器同定部１５が、得られた統合特徴量ＦＩに基づいて、対象アドレスに対応する対象機器２０を同定する処理のロジックについては限定されないものである。機器同定部１５は、例えば、予め統合特徴量ＦＩのパターンに対応する同定結果を登録（以下、この登録したパターンと同定結果の組み合わせのデータを「登録パターン」と呼ぶ）しておいて、得られた統合特徴量ＦＩと登録内容とを照合（マッチング）して、一致した登録パターンに対応するようにしてもよい。また、機器同定部１５に対して用いられるロジックは、上述のような予め定められた単純なロジック以外にも、ニューラルネットワークやＳＶＭ（Ｓｕｐｐｏｒｔ Ｖｅｃｔｏｒ Ｍａｃｈｉｎｅ）等の機械学習器を用いた手法を用いるようにしてもよい。例えば、機器同定部１５では、図示しない機械学習機器に予め統合特徴量ＦＩのパターンに対応する正解（正しい同定結果）を入力して学習させた学習モデルを元に、新たに入力された統合特徴量ＦＩがどの機器に尤も近い特徴量を持つのかが判別され、尤も近い機器として同定される。

【0053】

（Ａ－３）第１の実施形態の効果
第１の実施形態によれば、以下のような効果を奏することができる。

【0054】

第１の実施形態の同定処理装置１０では、ポートスキャン部１４を設け、トラフィック特徴量ＦＴとポートスキャン特徴量ＦＰとを統合した統合特徴量ＦＩを用いて対象機器２０の同定を行っている。これにより、対象機器２０が、トラフィックを発生することがほとんどないか、発した場合でも少ないようなＩｏＴ機器であった場合でも、従来より精度の高い同定結果が得られるという効果を奏する。

【0055】

また、第１の実施形態の同定処理装置１０では、トラフィックの傾向が似ている対象機器２０同士であり、トラフィック特徴量ＦＴのみの同定処理では誤検知が発生していたような機器についても、誤検知を軽減してより精度よく同定できるという効果を奏する。

【0056】

（Ｂ）第２の実施形態
以下、本発明による同定処理装置、同定処理プログラム及び同定処理方法の第２の実施形態を、図面を参照しながら詳述する。

【0057】

（Ｂ－１）第２の実施形態の構成
第２の実施形態の同定処理装置１０Ａについても上述の図１を用いて示すことができる。

【0058】

図１において、括弧内の符号は第２の実施形態でのみ用いられる符号である。

【0059】

第２の実施形態の同定処理装置１０Ａでは、推定対象フロー抽出部１２、特徴量生成部１３、及びポートスキャン部１４が、推定対象フロー抽出部１２Ａ、特徴量生成部１３Ａ、及びポートスキャン部１４Ａに置き換えられている点で第１の実施形態と異なっている。

【0060】

第１の実施形態の同定処理装置１０では、トラフィック特徴量ＦＴを取得する処理（推定対象フロー抽出部１２、及び特徴量生成部１３の処理；ステップＳ１０２、Ｓ１０３の処理）と、ポートスキャン特徴量ＦＰを取得する処理（ポートスキャン部１４の処理；ステップＳ１０４の処理）について並列的に実行する構成について説明した。これに対して、第２の実施形態の同定処理装置１０Ａでは、まず、トラフィック特徴量ＦＴのみを抽出して、トラフィック特徴量ＦＴのみに基づいて同定処理を行い、トラフィック特徴量ＦＴのみでは所定以下の検出精度しか得られない（誤検知が所定以上多い）対象機器２０（対象アドレス）があった場合にのみ、さらにポートスキャン特徴量ＦＰを取得し、統合特徴量ＦＩに基づく同定処理を行う。

【0061】

例えば、少ないトラフィック量（例えば、送受信されたパケット数やデータ量の合計値）しか発生しなかった対象アドレス（対象機器２０）の同定処理については精度が低くなる傾向にある。そこで、第２の実施形態の同定処理装置１０Ａでは、閾値以下のトラフィック量しか発生しなかった対象アドレス（対象機器２０）があった場合、少なくとも当該対象アドレスについて、ポートスキャンの処理を行ってポートスキャン特徴量ＦＰを取得し、統合特徴量ＦＩに基づく同定処理を行うものとする。

【0062】

具体的には、第２の実施形態の同定処理装置１０Ａでは、まず、推定対象フロー抽出部１２Ａ及び特徴量生成部１３Ａによりトラフィック特徴量ＦＴを取得する処理が行われ、機器同定部１５Ａによりトラフィック特徴量ＦＴのみに基づいて各対象アドレス（各対象機器２０）に対する同定処理が行われる。

【0063】

機器同定部１５Ａが、トラフィック特徴量ＦＴのみに基づいて各対象アドレス（各対象機器２０）に対する同定処理を行うロジック（方法）については、上述の統合特徴量ＦＩに基づく同定処理と同様に、予め定められた単純なロジック（例えば、上述の登録パターンとの照合結果に基づく同定処理）や、機械学習器を用いた同定処理を適用することができる。

【0064】

（Ｂ－２）第２の実施形態の動作
次に、以上のような構成を有する第２の実施形態における同定処理装置１０Ａの動作(実施形態に係る同定処理方法)を説明する。

【0065】

まず、第２の実施形態の同定処理装置１０Ａにおいて、ステップＳ２０１～Ｓ２０３の処理（ネットワーク情報の入力受付、及びトラフィック特徴量ＦＴを取得する処理）については第１の実施形態のＳ１０１～Ｓ１０３の処理と同様であるため詳しい説明を省略する。

【0066】

次に、機器同定部１５Ａが、トラフィック特徴量ＦＴのみに基づいて各対象アドレスに対する同定処理を行う（Ｓ２０４）。

【0067】

次に、機器同定部１５Ａは、特徴量生成部１３に問合せて、閾値以下のトラフィック量しか発生しなかった対象アドレスの有無を確認する（Ｓ２０５）。なお、閾値以下のトラフィック量しか発生しなかった対象アドレスの有無の確認については、特徴量生成部１３がトラフィック特徴量ＦＴを生成する過程で実行し、その結果を機器同定部１５Ａに報告するようにしてもよい。

【0068】

閾値以下のトラフィック量しか発生しなかった対象アドレスがなかった場合、機器同定部１５Ａは、処理を終了する。この場合、機器同定部１５Ａは、トラフィック特徴量ＦＴのみに基づいた同定処理の結果を最終結果とすることになる。

【0069】

一方、閾値以下のトラフィック量しか発生しなかった対象アドレスがあった場合、機器同定部１５Ａは、ポートスキャン部１４を制御して閾値以下のトラフィック量しか発生しなかった対象アドレスについて、ポートスキャン及びポートスキャン特徴量ＦＰの生成処理を実行させる（Ｓ２０６）。

【0070】

そして、機器同定部１５Ａは、特徴量生成部１３から得られたトラフィック特徴量ＦＴと、ポートスキャン部１４から得られたポートスキャン特徴量ＦＰに基づいて統合特徴量ＦＩを生成する（Ｓ２０７）。

【0071】

そして、機器同定部１５Ａは、生成した統合特徴量ＦＩに基づいて、閾値以下のトラフィック量しか発生しなかった対象アドレスについて同定処理を行い（Ｓ２０８）、処理を終了する。この場合、機器同定部１５Ａは、閾値以下のトラフィック量しか発生しなかった対象アドレスについては統合特徴量ＦＩに基づいた同定処理結果を最終結果として取り扱い、それ以外の対象アドレスについてはトラフィック特徴量ＦＴのみに基づいた同定処理の結果を最終結果として取り扱う。

【0072】

（Ｂ－３）第２の実施形態の効果
第２の実施形態によれば、以下のような効果を奏することができる。

【0073】

第２の実施形態では、トラフィック特徴量ＦＴのみでは所定以下の検出精度しか得られない（誤検知が所定以上多い）対象機器２０（対象アドレス）についてのみポートスキャンを行う。これにより、第２の実施形態では、ポートスキャン部１４が発生するポートスキャンによるトラフィックを抑制（ネットワーク３０への負荷軽減）することができる。これにより、第２の実施形態を適用した場合、工場ネットワーク等のビットレートが小さいネットワーク等への負荷が軽減可能である。

【0074】

（Ｃ）他の実施形態
本発明は、上記の各実施形態に限定されるものではなく、以下に例示するような変形実施形態も挙げることができる。

【0075】

（Ｃ－１）上記の各実施形態の推定対象フロー抽出部１２、１２Ａでは、抽出キーとして５ｔｕｐｌｅｓを用いる例について説明したが、抽出キーとして送信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせ（ペア）を用いるようにしてもよい。推定対象フロー抽出部１２、１２Ａにおいて、抽出キーとして、５ｔｕｐｌｅｓではなく送信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせを用いて抽出トラフィックデータを抽出することで、フローの大小に関わらず、対象機器２０の接続相手数に応じた計算量で抑えることができる。これは、抽出キーとして、送信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせを用いる場合、１つの対象機器２０の接続先に対する不特定数のフローの計算ではなく、１つの対象機器２０に対する１接続先の統計量の計算で良いためである。

【0076】

また、他にも、推定対象フロー抽出部１２、１２Ａにおいて、抽出キーとして、送信元ＩＰアドレスのみを適用するようにしてもよい。この場合、推定対象フロー抽出部１２、１２Ａは、送信元ＩＰアドレス毎にすべてのフローを対象とした抽出トラフィックデータに基づいてトラフィック特徴量ＦＴを取得することになる。これにより、推定対象フロー抽出部１２、１２Ａにおいて、フローの大小に関わらず、対象機器２０の数に応じた計算量で抑えることができる。

【符号の説明】

【0077】

１０…同定処理装置、１１…機器推定対象入力部、１２…推定対象フロー抽出部、１３…特徴量生成部、１４…ポートスキャン部、１５…機器同定部、２０、２０－１～２０－Ｍ…対象機器、３０…ネットワーク。

【図1】

【図2】

【図3】

【図4】