ホーム > 特許ランキング > ＲＥＮＡＵＬＴ Ｓ．Ａ．Ｓ．
▶ ルノー エス．ア．エス．の特許一覧 ▶ 日産自動車株式会社の特許一覧
特許7339276接続性モジュールを標的にする攻撃ストリームをフィルタリングする方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-08-28
(45)【発行日】2023-09-05
(54)【発明の名称】接続性モジュールを標的にする攻撃ストリームをフィルタリングする方法
(51)【国際特許分類】
G06F 21/55 20130101AFI20230829BHJP
【ＦＩ】
G06F21/55
【請求項の数】
11
(21)【出願番号】P 2020557307
(86)(22)【出願日】2019-04-04
(65)【公表番号】
(43)【公表日】2021-08-30
(86)【国際出願番号】 EP2019058477
(87)【国際公開番号】W WO2019201609
(87)【国際公開日】2019-10-24
【審査請求日】2022-03-04
(31)【優先権主張番号】1853343
(32)【優先日】2018-04-17
(33)【優先権主張国・地域又は機関】FR
(73)【特許権者】
【識別番号】507308902
【氏名又は名称】ルノー エス．ア．エス．
【氏名又は名称原語表記】ＲＥＮＡＵＬＴ Ｓ．Ａ．Ｓ．
【住所又は居所原語表記】１２２－１２２ ｂｉｓ， ａｖｅｎｕｅ ｄｕ Ｇｅｎｅｒａｌ Ｌｅｃｌｅｒｃ， ９２１００ Ｂｏｕｌｏｇｎｅ－Ｂｉｌｌａｎｃｏｕｒｔ， Ｆｒａｎｃｅ
(73)【特許権者】
【識別番号】000003997
【氏名又は名称】日産自動車株式会社
(74)【代理人】
【識別番号】110002077
【氏名又は名称】園田・小林弁理士法人
(72)【発明者】
【氏名】ペロー， エリク
【審査官】宮司 卓佳
(56)【参考文献】
【文献】特開２００７－２４３４５９（ＪＰ，Ａ）
【文献】米国特許出願公開第２０１８／０００４９４８（ＵＳ，Ａ１）
【文献】Pedro Casas他，UNADA:Unsupervised Network Anomaly Detection Using Sub-space Outliers Ranking，NETWORKING 2011 - 10th International IFIP TC 6 Networking Conference Part1，2011年05月09日，LNCS vol.6640，p.40-p.51
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５５
(57)【特許請求の範囲】
【請求項1】
複数の接続インフローを受け取る接続性モジュール（５）を標的にする攻撃フローのフィルタリングをプロセッサにより実現する方法であって、－ 複数の集合体を決定するステップであって、各集合体は、予め定義された期間（δｔｉ）内に受け取られた前記複数の接続インフローの結合からもたらされ、各集合体を決定するために考慮される前記期間（δｔｉ）は、他の集合体を決定するために考慮される期間とは異なり、前記複数の集合体を決定するために考慮される前記期間（δｔｉ）は全て、第１の観察時間ウィンドウ（Δｔ）内に含まれる、複数の集合体を決定するステップと、
－ 前記集合体の１つにそれぞれ関連しているとともに、関連している前記集合体の第１の特性パラメータの値を含む複数の第１の測定ベクトル（Ｘｉ）を決定するステップと、
－ 前記複数の第１の測定ベクトル（Ｘｉ）を前記第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するステップと、
－ 別の期間（δｔＮ＋１）内に受け取られた複数の接続インフローの結合からもたらされる別の集合体を決定するステップであって、前記別の期間（δｔＮ＋１）は、前記第１の観察時間ウィンドウ（Δｔ）の後にある、別の集合体を決定するステップと、
－ 前記別の集合体に関連しているとともに、前記別の集合体の第１の特性パラメータの値を含む別の第１の測定ベクトル（ＸＮ＋１）を決定するステップと、
－ 前記別の第１の測定ベクトル（ＸＮ＋１）を前記第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するステップと、
－ 前記別の第１の測定ベクトル（ＸＮ＋１）の投影、および前記複数の第１の測定ベクトル（Ｘｉ）の投影の結果に応じて異常性スコア（Ｓ（Ｘ））を決定するステップと、
次いで、前記異常性スコア（Ｓ（Ｘ））が、攻撃フローの存在に関して疑いのゾーン内に含まれる場合、
－ 前記集合体の１つにそれぞれ関連しているとともに、関連している前記集合体の他の特性パラメータの値を含む複数の第２の測定ベクトル（Ｙｉ）を決定するステップであって、前記他の特性パラメータは、前記第１の特性パラメータとは別個である、複数の第２の測定ベクトル（Ｙｉ）を決定するステップと、
－ 前記他の集合体に関連しているとともに、前記他の集合体の他の特性パラメータの値を含む別の第２の測定ベクトル（ＹＮ＋１）を決定するステップと、
－ 前記別の第２の測定ベクトル（ＹＮ＋１）を解析することによって攻撃の有無を検出するステップと、を含む方法。
【請求項2】
前記異常性スコア（Ｓ（Ｘ））が攻撃フローの前記存在に関して疑いのゾーン内に含まれるか判定するために、前記異常性スコア（Ｓ（Ｘ））を第１の閾値（ｔｈ１）および第２の閾値（ｔｈ２）と比較するようになされている、請求項１に記載の攻撃フローをフィルタリングする方法。
【請求項3】
前記異常性スコア（Ｓ（Ｘ））を第２の閾値（ｔｈ２）と比較するようになされており、前記異常性スコア（Ｓ（Ｘ））が前記第２の閾値（ｔｈ２）よりも高い場合、攻撃の存在が前記別の期間（δｔＮ＋１）内で検出される、請求項１または２に記載の攻撃フローをフィルタリングする方法。
【請求項4】
前記異常性スコア（Ｓ（Ｘ））を前記第２の閾値（ｔｈ
２
）よりも低い第１の閾値（ｔｈ１）と比較するようになされており、前記異常性スコア（Ｓ（Ｘ））が前記第１の閾値（ｔｈ１）よりも低い場合、攻撃が存在しないことが、前記別の期間（δｔＮ＋１）内に検出される、請求項３に記載の攻撃フローをフィルタリングする方法。
【請求項5】
－ 第２の観察時間ウィンドウ（Δｔ’）を定義するステップであって、前記第２の観察時間ウィンドウ（Δｔ’）は、前記別の期間（δｔＮ＋１）だけシフトされた前記第１の観察時間ウィンドウ（Δｔ）に対応する、第２の観察時間ウィンドウ（Δｔ’）を定義するステップと、－ 新しい集合体を決定するステップであって、前記新しい集合体は、新しい期間（δｔＮ＋２）内に受け取られた前記複数の接続インフローの結合からもたらされ、前記新しい期間（δｔＮ＋２）は、前記第２の観察時間ウィンドウ（Δｔ’）の後にある、新しい集合体を決定するステップと、
－ 前記新しい集合体に関連しているとともに、前記新しい集合体の第１の特性パラメータの値を含む新しい第１の測定ベクトル（ＸＮ＋２）を決定するステップと、
－ 前記第１の観察時間ウィンドウ（Δｔ）内に位置するが前記第２の観察時間ウィンドウ（Δｔ’）の外側に位置する前記期間内に受け取られた前記複数の接続インフローの前記結合からもたらされる前記集合体に関連した第１の測定ベクトルの前記投影を削除するステップと、
－ 前記新しい第１の測定ベクトル（ＸＮ＋２）を前記第１の特性パラメータによって定義される少なくとも前記部分空間に投影するステップと、
－ 前記投影の結果に応じて新しい異常性スコアを決定するステップと、
をさらに含む、請求項１から４のいずれか一項に記載の攻撃フローをフィルタリングする方法。
【請求項6】
前記投影するステップにおいて、前記複数の第１の測定ベクトル（Ｘｉ）を複数の部分空間に投影するようになされ、前記異常性スコア（Ｓ（Ｘ））は、異常性関数（Ｆ（Ｘ，ｋ））の合計から決定され、１つの異常性関数（Ｆ（Ｘ，ｋ））は、前記複数の第１の測定ベクトル（Ｘｉ）の前記投影の前記結果、ならびに前記別の第１の測定ベクトル（ＸＮ＋１）の前記投影、および平均異常性（Ａ（ｋ））に応じて部分空間ごとに決定され、前記平均異常性（Ａ（ｋ））もまた、前記複数の第１の測定ベクトル（Ｘｉ）の前記投影からおよび前記別の第１の測定ベクトル（ＸＮ＋１）の前記投影から決定される、請求項１から５のいずれか一項に記載の攻撃フローをフィルタリングする方法。
【請求項7】
攻撃の存在が検出された場合に、－ 全ての前記部分空間について決定される前記異常性関数（Ｆ（Ｘ，ｋ））を比較するステップと、
－ 最も高い異常性関数（Ｆ（Ｘ，ｋ））を有する少なくとも１つの部分空間を選択するステップと、
－ 前記他の集合体を複数の別々の接続フローに分けるステップと、
－ 前記複数の別々の接続フローの複数の特定ベクトルを決定するステップであって、前記特定ベクトルが前記第１の測定ベクトル（Ｘｉ）と同じ前記第１の特性パラメータを含む、特定ベクトルを決定するステップと、
－ 前記複数の特定ベクトルを前記少なくとも１つの選択された部分空間に投影するステップと、
－ 少なくとも１つの真正でない接続フローを特定するステップであって、前記真正でない接続フローは、特定ベクトルの異常な投影に関連した前記接続フローに対応する、少なくとも１つの真正でない接続フローを特定するステップと、
－ 前記真正でない接続フローをフィルタリングするステップと、
をさらに含む、請求項６に記載の攻撃フローをフィルタリングする方法。
【請求項8】
部分空間は、第１の軸および第２の軸によって画定され、前記第１の軸は第１の特性パラメータに対応し、前記第２の軸は、前記第１の特性パラメータから選択される第２の特性パラメータに対応する、請求項１から７のいずれか一項に記載の攻撃フローをフィルタリングする方法。
【請求項9】
前記第１の特性パラメータの少なくとも１つは、以下のデータ、すなわち、－ 接続フロー源の個数（ｘ１）、
－ サブネットワークごとの接続フロー源の平均個数（ｘ２）、
－ 送信リクエストの割合（ｘ３）、
－ 受け取ったエラーリクエストの割合（ｘ４）、
－ 前記受け取ったリクエストの平均サイズ（ｘ５）、
－ 前記受け取ったリクエストの平均持続時間
のうちの１つを含む、請求項１から８のいずれか一項に記載の攻撃フローをフィルタリングする方法。
【請求項10】
前記他の特性パラメータの少なくとも１つは、以下のデータ、すなわち、－ 第１のキャッシュメモリレベルへのアクセスに関連したヒット率、
－ 第２のキャッシュメモリレベルへのアクセスに関連したヒット率、
－ 別のキャッシュメモリレベルへのアクセスに関連したミス率、
－ 使用されるメモリの割合
のうちの１つを含む、請求項１から９のいずれか一項に記載の攻撃フローをフィルタリングする方法。
【請求項11】
複数の接続インフローからの接続性モジュール（５）を標的にする攻撃フローをフィルタリングする装置であって、－ 複数の集合体を決定するモジュールであって、各集合体は、予め定義された期間（δｔｉ）内に受け取られた前記複数の接続インフローの結合からもたらされ、各集合体を決定するために考慮される前記期間（δｔｉ）は、他の集合体を決定するために考慮される期間とは異なり、前記複数の集合体を決定するために考慮される前記期間（δｔｉ）は全て第１の観察時間ウィンドウ（Δｔ）内に含まれる、複数の集合体を決定するモジュールと、
－ 前記集合体の１つにそれぞれ関連しているとともに、関連している前記集合体の第１の特性パラメータを含む複数の第１の測定ベクトル（Ｘｉ）を決定するモジュールと、
－ 前記複数の第１の測定ベクトル（Ｘｉ）を前記第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するモジュールと、
－ 別の期間（δｔＮ＋１）内に受け取られた複数の接続インフローの結合からもたらされる別の集合体を決定するモジュールであって、前記別の期間（δｔＮ＋１）は、前記第１の観察時間ウィンドウ（Δｔ）の後にある、別の集合体を決定するモジュールと、
－ 前記別の集合体に関連しているとともに、前記別の集合体の第１の特性パラメータの値を含む別の第１の測定ベクトル（ＸＮ＋１）を決定するモジュールと、
－ 前記別の第１の測定ベクトル（ＸＮ＋１）を前記第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するモジュールと、
－ 前記別の第１の測定ベクトル（ＸＮ＋１）の前記投影および前記複数の第１の測定ベクトル（Ｘｉ）の前記投影の結果に応じて異常性スコア（Ｓ（Ｘ））を決定するモジュールと、
－ 前記異常性スコア（Ｓ（Ｘ））が攻撃フローの存在に関して疑いのゾーン内に含まれる場合に、前記集合体の１つにそれぞれ関連しているとともに、関連している前記集合体の他の特性パラメータを含む複数の第２の測定ベクトル（Ｙｉ）を決定するのに適した決定モジュールであって、前記他の特性パラメータは、前記第１の特性パラメータとは別個である、決定モジュールと、
－ 前記他の集合体に関連しているとともに、前記他の集合体の他の特性パラメータの値を含む別の第２の測定ベクトル（ＹＮ＋１）を決定するモジュールと、
－ 前記別の第２の測定ベクトル（ＹＮ＋１）を解析することによって攻撃の有無を検出するモジュールと
を備える、装置。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、一般に、サービス拒否攻撃からの接続性モジュールの保護に関する。
【0002】
より詳細には、本発明は、複数の接続インフローを受け取る接続性モジュールを標的にする攻撃フローをフィルタリングする方法に関する。
【0003】
本発明は、そのような攻撃フローをフィルタリングする装置にも関する。
【背景技術】
【0004】
サービス拒否攻撃（ＤｏＳ攻撃）および分散型サービス拒否攻撃（ＤＤｏＳ攻撃）はサイバー攻撃であり、この攻撃の目的は攻撃を受けるサイトのサービスを利用できなくさせることである。これは、攻撃を受けるサイトのデータを破損させるような攻撃に関する問題ではない。
【0005】
これらの攻撃は、いずれかのサーバーにリンクした接続性モジュール、特に、いずれかのインターネットサーバーにリンクした接続性モジュールを標的にすることができる。
【0006】
自動車の接続性モジュールは、一般に、製造業者のプライベートネットワークに接続される。しかしながら、特に運転者支援システムを改善するために、または用意されたマルチメディアの提供においてより広範な選択を提案するために、自動車の接続性モジュールを公衆インターネットネットワークに接続することが想定される。この場合には、接続性モジュールは、様々な攻撃、特に分散型サービス拒否攻撃にさらされる。
【0007】
接続性モジュール、すなわち、例えばサーバーまたはルーターなどのネットワーク機器の一部品を標的にする潜在的な攻撃を検出するために使用される機械学習法が知られている。この知られた方法は、無数の入力接続および出力接続を受け取るネットワーク機器の重要な部品のために開発された。この方法は、入力するインターネットフロー（またはＩＰフロー（ＩＰは、インターネットプロトコルの頭字語である））を真正のフローと攻撃フローに分類することを目的とする。
【0008】
これをするために、本方法は、複数の部分空間における入力フローを特徴付けるパラメータのグラフィカルな分布に基づく。部分空間は、インフローを特徴付ける２つのパラメータにより定められるグラフィカルゾーンによって定義される。それは、例えば、リクエスト（ＩＰパケットのリマインダ）の平均持続時間を接続フロー源の個数の関数として示すグラフの問題であり得る。
【0009】
公称条件の下で、インフローのパラメータは、１つの動作点のまわりでクラスターにグラフ的に集まるのに対して、攻撃の場合には、攻撃フローのパラメータは、常軌を外れた値を有し、孤立点または外れ値のまわりにグラフ的に集まる。
【0010】
知られている方法では、複数の接続インフローが、所与の期間内にソースアドレスによってまとめられる。次いで、様々なまとめられたフローは解析され、（少なくとも１つの常軌を外れた値の存在によって）攻撃が検出される場合、真正でないとして特定されるインフローは、含まれるプロセッサの優れた計算能力によって一度にフィルタリングされる。
【0011】
この方法は、複数の接続インフローまたはアウトフローが信頼できる統計が抽出されることを可能にするとても多数の接続からなるため、および処理を実行するために使用されるプロセッサが強力であるため、ネットワーク機器が公衆インターネットネットワーク（典型的には、サーバー）に接続されている場合に有効である。一般に、攻撃により、接続インフローの総数に対して少ないいくつかの接続インフローがもたらされるので、クラスターと常軌を外れた値との間の区別が可能であり、うまく機能する。
【0012】
対照的に、自動車の接続性モジュールは、限られた個数の入力接続（一般に、約１０個の接続）だけを受け取るのに適している。したがって、インフローの解析中、真正のフローが攻撃フローの中に埋もれ、後者は、クラスターとして（およびしたがって公称条件として）現れ、もはや常軌を外れた値として現れない。したがって、上述した解決策は、自動車の接続性モジュールの保護に適用することができない。
【発明の概要】
【0013】
発明の主題
本発明は、特に接続性モジュールが自動車に含まれる場合に、接続性モジュールを標的とする攻撃の検出を改善することを提案する。
本発明は、特に接続性モジュールが自動車に含まれる場合に、接続性モジュールを標的とする攻撃の検出を改善することを提案する。
【0014】
より詳細には、本発明によれば、導入部で定義されたような攻撃フローをフィルタリングする方法であって、
－ 複数の集合体を決定するステップであって、各集合体は、予め定義された期間内に受け取られた複数の接続インフローの結合からもたらされ、各集合体を決定するために考慮される期間は、他の集合体を決定するために考慮される期間とは異なり、複数の集合体を決定するために考慮される期間は全て、第１の観察時間ウィンドウ内に含まれる、複数の集合体を決定するステップと、
－ 集合体の１つにそれぞれ関連しているとともに、関連している集合体の第１の特性パラメータの値を含む複数の第１の測定ベクトルを決定するステップと、
－ 複数の第１の測定ベクトルを第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するステップと、
－ 別の期間内に受け取られた複数の接続インフローの結合からもたらされる別の集合体を決定するステップであって、他の期間は、第１の観察時間ウィンドウの後にある、別の集合体を決定するステップと、
－ 他の集合体に関連しているとともに、他の集合体の第１の特性パラメータの値を含む別の第１の測定ベクトルを決定するステップと
－ 他の第１の測定ベクトルを第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するステップと、
－ 他の第１の測定ベクトルの投影、および複数の第１の測定ベクトルの投影の結果に応じて異常性スコアを決定するステップと、
次いで、異常性スコアが、攻撃フローの存在に関して疑いのゾーン内に含まれる場合、
－ 集合体の１つにそれぞれ関連しているとともに、関連している集合体の他の特性パラメータの値を含む複数の第２の測定ベクトルを決定するステップであって、他の特性パラメータは、第１の特性パラメータとは別個である、複数の第２の測定ベクトルを決定するステップと、
－ 他の集合体に関連しているとともに、他の集合体の他の特性パラメータの値を含む別の第２の測定ベクトルを決定するステップと、
－ 他の第２の測定ベクトルを解析することによって攻撃の有無を検出するステップと、を含む方法が提供される。
－ 複数の集合体を決定するステップであって、各集合体は、予め定義された期間内に受け取られた複数の接続インフローの結合からもたらされ、各集合体を決定するために考慮される期間は、他の集合体を決定するために考慮される期間とは異なり、複数の集合体を決定するために考慮される期間は全て、第１の観察時間ウィンドウ内に含まれる、複数の集合体を決定するステップと、
－ 集合体の１つにそれぞれ関連しているとともに、関連している集合体の第１の特性パラメータの値を含む複数の第１の測定ベクトルを決定するステップと、
－ 複数の第１の測定ベクトルを第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するステップと、
－ 別の期間内に受け取られた複数の接続インフローの結合からもたらされる別の集合体を決定するステップであって、他の期間は、第１の観察時間ウィンドウの後にある、別の集合体を決定するステップと、
－ 他の集合体に関連しているとともに、他の集合体の第１の特性パラメータの値を含む別の第１の測定ベクトルを決定するステップと
－ 他の第１の測定ベクトルを第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するステップと、
－ 他の第１の測定ベクトルの投影、および複数の第１の測定ベクトルの投影の結果に応じて異常性スコアを決定するステップと、
次いで、異常性スコアが、攻撃フローの存在に関して疑いのゾーン内に含まれる場合、
－ 集合体の１つにそれぞれ関連しているとともに、関連している集合体の他の特性パラメータの値を含む複数の第２の測定ベクトルを決定するステップであって、他の特性パラメータは、第１の特性パラメータとは別個である、複数の第２の測定ベクトルを決定するステップと、
－ 他の集合体に関連しているとともに、他の集合体の他の特性パラメータの値を含む別の第２の測定ベクトルを決定するステップと、
－ 他の第２の測定ベクトルを解析することによって攻撃の有無を検出するステップと、を含む方法が提供される。
【0015】
したがって、本発明によれば、攻撃フローが複数の別個の実施フェーズにおいて検出され、これにより、これらのフェーズを実行するのに必要な計算能力を制限する。したがって、この実施は、車両の接続性モジュールに組み込まれるプロセッサなどのあまり強力でないプロセッサによって実現することができる。
【0016】
加えて、通常使用される特性パラメータとは別個であり、独立している他の特性パラメータに応じて定義される第２の測定ベクトルを使用することによって、車両の接続性モジュールを標的にする攻撃の有無に関して得られる結論を有効化することを可能にする。
【0017】
個々にまたは任意の技術的に可能な組合せにおいて実施できる以下のものが、本発明による攻撃フローをフィルタリングする方法の非限定のおよび有利な他の特徴である。
－ 異常性スコアが攻撃フローの存在に関して疑いのゾーン内に含まれるか判定するために、異常性スコアを第１の閾値および第２の閾値と比較するようになされている。
－ 異常性スコアを第２の閾値と比較するようになされており、異常性スコアが第２の閾値よりも高い場合、攻撃の存在が他の期間内で検出される。
－ 記異常性スコアを第１の閾値と比較するようになされており、異常性スコアが第１の閾値よりも低い場合、攻撃が存在しないことが、他の期間内に検出される。
－ 以下のステップについても用意がなされている。
－ 第２の観察時間ウィンドウを定義するステップであって、第２の観察時間ウィンドウは、他の期間だけシフトされた第１の観察時間ウィンドウに対応する、第２の観察時間ウィンドウを定義するステップ。
－ 新しい集合体を決定するステップであって、新しい集合体は、新しい期間内に受け取られた複数の接続インフローの結合からもたらされ、新しい期間は、第２の観察時間ウィンドウの後にある、新しい集合体を決定するステップ。
－ 新しい集合体に関連しているとともに、新しい集合体の第１の特性パラメータの値を含む新しい第１の測定ベクトルを決定するステップ。
－ 第１の観察時間ウィンドウ内に位置するが第２の観察時間ウィンドウの外側に位置する期間内に受け取られた複数の接続インフローの結合からもたらされる集合体に関連した第１の測定ベクトルの投影を削除するステップ。
－ 新しい第１のベクトルを第１の特性パラメータによって定義される少なくとも部分空間に投影するステップ。
－ 投影の結果に応じて新しい異常性スコアを決定するステップ。
－ 投影するステップにおいて、複数の第１の測定ベクトル（Ｘｉ）を複数の部分空間に投影するようになされ、異常性スコア（Ｓ（Ｘ））は、異常性関数（Ｆ（Ｘ，ｋ））の合計から決定され、１つの異常性関数（Ｆ（Ｘ，ｋ））は、複数の第１の測定ベクトル（Ｘｉ）の投影の結果、ならびに他の第１の測定ベクトル（ＸＮ＋１）の投影、および平均異常性（Ａ（ｋ））に応じて部分空間ごとに決定され、平均異常性（Ａ（ｋ））もまた、複数の第１の測定ベクトル（Ｘｉ）の投影からおよび他の第１の測定ベクトル（ＸＮ＋１）の投影から決定される。
－ 攻撃の存在が検出された場合に、以下のステップについても用意されている。
－ 全部の部分空間について決定される異常性関数を比較するステップ。
－ 最も高い異常性関数を有する少なくとも１つの部分空間を選択するステップ。
－ 他の集合体を複数の別々の接続フローに分けるステップ。
－ 複数の別々の接続フローの複数の特定ベクトルを決定するステップであって、特定ベクトルが第１の測定ベクトルと同じ第１の特性パラメータを含む。特定ベクトルを決定するステップ。
－ 複数の特定ベクトルを少なくとも１つの選択された部分空間に投影するステップ。
－ 少なくとも１つの真正でない接続フローを特定するステップであって、真正でない接続フローは、特定ベクトルの異常な投影に関連した接続フローに対応する、少なくとも１つの真正でない接続フローを特定するステップ。
－ 真正でない接続フローをフィルタリングするステップ。
－ 部分空間は、第１の軸および第２の軸によって定義され、第１の軸は第１の特性パラメータに対応し、第２の軸は、第１の特性パラメータから選択される第２の特性パラメータに対応する。
－ 第１の特性パラメータの少なくとも１つは、以下のデータのうちの１つを含む。
－ 接続フロー源の個数、
－ サブネットワークごとの接続フロー源の平均個数、
－ 送信リクエストの割合、
－ 受け取ったエラーリクエストの割合、
－ 受け取ったリクエストの平均サイズ、
－ 受け取ったリクエストの平均持続時間。
－ 他の特性パラメータの少なくとも１つは、以下のデータのうちの１つを含む。
－ 第１のキャッシュメモリレベルへのアクセスに関連したヒット率
－ 第２のキャッシュメモリレベルへのアクセスに関連したヒット率
－ 別のキャッシュメモリレベルへのアクセスに関連したミス率、および
－ 使用されるメモリの割合。
－ 異常性スコアが攻撃フローの存在に関して疑いのゾーン内に含まれるか判定するために、異常性スコアを第１の閾値および第２の閾値と比較するようになされている。
－ 異常性スコアを第２の閾値と比較するようになされており、異常性スコアが第２の閾値よりも高い場合、攻撃の存在が他の期間内で検出される。
－ 記異常性スコアを第１の閾値と比較するようになされており、異常性スコアが第１の閾値よりも低い場合、攻撃が存在しないことが、他の期間内に検出される。
－ 以下のステップについても用意がなされている。
－ 第２の観察時間ウィンドウを定義するステップであって、第２の観察時間ウィンドウは、他の期間だけシフトされた第１の観察時間ウィンドウに対応する、第２の観察時間ウィンドウを定義するステップ。
－ 新しい集合体を決定するステップであって、新しい集合体は、新しい期間内に受け取られた複数の接続インフローの結合からもたらされ、新しい期間は、第２の観察時間ウィンドウの後にある、新しい集合体を決定するステップ。
－ 新しい集合体に関連しているとともに、新しい集合体の第１の特性パラメータの値を含む新しい第１の測定ベクトルを決定するステップ。
－ 第１の観察時間ウィンドウ内に位置するが第２の観察時間ウィンドウの外側に位置する期間内に受け取られた複数の接続インフローの結合からもたらされる集合体に関連した第１の測定ベクトルの投影を削除するステップ。
－ 新しい第１のベクトルを第１の特性パラメータによって定義される少なくとも部分空間に投影するステップ。
－ 投影の結果に応じて新しい異常性スコアを決定するステップ。
－ 投影するステップにおいて、複数の第１の測定ベクトル（Ｘｉ）を複数の部分空間に投影するようになされ、異常性スコア（Ｓ（Ｘ））は、異常性関数（Ｆ（Ｘ，ｋ））の合計から決定され、１つの異常性関数（Ｆ（Ｘ，ｋ））は、複数の第１の測定ベクトル（Ｘｉ）の投影の結果、ならびに他の第１の測定ベクトル（ＸＮ＋１）の投影、および平均異常性（Ａ（ｋ））に応じて部分空間ごとに決定され、平均異常性（Ａ（ｋ））もまた、複数の第１の測定ベクトル（Ｘｉ）の投影からおよび他の第１の測定ベクトル（ＸＮ＋１）の投影から決定される。
－ 攻撃の存在が検出された場合に、以下のステップについても用意されている。
－ 全部の部分空間について決定される異常性関数を比較するステップ。
－ 最も高い異常性関数を有する少なくとも１つの部分空間を選択するステップ。
－ 他の集合体を複数の別々の接続フローに分けるステップ。
－ 複数の別々の接続フローの複数の特定ベクトルを決定するステップであって、特定ベクトルが第１の測定ベクトルと同じ第１の特性パラメータを含む。特定ベクトルを決定するステップ。
－ 複数の特定ベクトルを少なくとも１つの選択された部分空間に投影するステップ。
－ 少なくとも１つの真正でない接続フローを特定するステップであって、真正でない接続フローは、特定ベクトルの異常な投影に関連した接続フローに対応する、少なくとも１つの真正でない接続フローを特定するステップ。
－ 真正でない接続フローをフィルタリングするステップ。
－ 部分空間は、第１の軸および第２の軸によって定義され、第１の軸は第１の特性パラメータに対応し、第２の軸は、第１の特性パラメータから選択される第２の特性パラメータに対応する。
－ 第１の特性パラメータの少なくとも１つは、以下のデータのうちの１つを含む。
－ 接続フロー源の個数、
－ サブネットワークごとの接続フロー源の平均個数、
－ 送信リクエストの割合、
－ 受け取ったエラーリクエストの割合、
－ 受け取ったリクエストの平均サイズ、
－ 受け取ったリクエストの平均持続時間。
－ 他の特性パラメータの少なくとも１つは、以下のデータのうちの１つを含む。
－ 第１のキャッシュメモリレベルへのアクセスに関連したヒット率
－ 第２のキャッシュメモリレベルへのアクセスに関連したヒット率
－ 別のキャッシュメモリレベルへのアクセスに関連したミス率、および
－ 使用されるメモリの割合。
【0018】
本発明は、複数の接続インフローからの接続性モジュールを標的にする攻撃フローをフィルタリングする装置であって、
－ 複数の集合体を決定するモジュールであって、各集合体は、予め定義された期間内に受け取られた複数の接続インフローの結合からもたらされ、各集合体を決定するために考慮される該期間は、他の集合体を決定するために考慮される期間とは異なり、複数の集合体を決定するために考慮される期間は全て第１の観察時間ウィンドウ内に含まれる、複数の集合体を決定するモジュールと、
－ 集合体の１つにそれぞれ関連しているとともに、関連している集合体の第１の特性パラメータを含む複数の第１の測定ベクトルを決定するモジュールと、
－ 複数の第１の測定ベクトルを第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するモジュールと、
－ 別の期間内に受け取られた複数の接続インフローの結合からもたらされる別の集合体を決定するモジュールであって、他の期間は、第１の観察時間ウィンドウの後にある、別の集合体を決定するモジュールと、
－ 他の集合体を関連しているとともに、他の集合体の第１の特性パラメータの値を含む別の第１の測定ベクトルを決定するモジュールと、
－ 他の第１の測定ベクトルを第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するモジュールと、
－ 他の第１の測定ベクトルの投影および複数の第１の測定ベクトルの投影の結果に応じて異常性スコアを決定するモジュールと、
－ 異常性スコアが攻撃フローの存在に関して疑いのゾーン内に含まれる場合に、集合体の１つにそれぞれ関連しているとともに、関連している集合体の他の特性パラメータを含む複数の第２の測定ベクトルを決定するのに適した決定モジュールであって、他の特性パラメータは、第１の特性パラメータとは別個である、決定モジュールと、
－ 他の集合体に関連しているとともに、他の集合体の他の特性パラメータの値を含む別の第２の測定ベクトルを決定するモジュールと、
－ 他の第２の測定ベクトルを解析することによって攻撃の有無を検出するモジュールと、を備える装置も提供する。
－ 複数の集合体を決定するモジュールであって、各集合体は、予め定義された期間内に受け取られた複数の接続インフローの結合からもたらされ、各集合体を決定するために考慮される該期間は、他の集合体を決定するために考慮される期間とは異なり、複数の集合体を決定するために考慮される期間は全て第１の観察時間ウィンドウ内に含まれる、複数の集合体を決定するモジュールと、
－ 集合体の１つにそれぞれ関連しているとともに、関連している集合体の第１の特性パラメータを含む複数の第１の測定ベクトルを決定するモジュールと、
－ 複数の第１の測定ベクトルを第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するモジュールと、
－ 別の期間内に受け取られた複数の接続インフローの結合からもたらされる別の集合体を決定するモジュールであって、他の期間は、第１の観察時間ウィンドウの後にある、別の集合体を決定するモジュールと、
－ 他の集合体を関連しているとともに、他の集合体の第１の特性パラメータの値を含む別の第１の測定ベクトルを決定するモジュールと、
－ 他の第１の測定ベクトルを第１の特性パラメータによって定義される少なくとも１つの部分空間に投影するモジュールと、
－ 他の第１の測定ベクトルの投影および複数の第１の測定ベクトルの投影の結果に応じて異常性スコアを決定するモジュールと、
－ 異常性スコアが攻撃フローの存在に関して疑いのゾーン内に含まれる場合に、集合体の１つにそれぞれ関連しているとともに、関連している集合体の他の特性パラメータを含む複数の第２の測定ベクトルを決定するのに適した決定モジュールであって、他の特性パラメータは、第１の特性パラメータとは別個である、決定モジュールと、
－ 他の集合体に関連しているとともに、他の集合体の他の特性パラメータの値を含む別の第２の測定ベクトルを決定するモジュールと、
－ 他の第２の測定ベクトルを解析することによって攻撃の有無を検出するモジュールと、を備える装置も提供する。
【0019】
一例示実施形態の詳細な説明
非限定の例によって示される添付図面を参照して与えられる以下の説明により、本発明が何からなり、本発明をどのように実行することができるのかについて明確に理解することが可能になる。
非限定の例によって示される添付図面を参照して与えられる以下の説明により、本発明が何からなり、本発明をどのように実行することができるのかについて明確に理解することが可能になる。
【図面の簡単な説明】
【0020】
【発明を実施するための形態】
【0021】
図１は、複数の接続フローを受け取るのに適した接続性モジュール５、および攻撃フローをフィルタリングする装置２を装備した自動車１の乗員室を概略的に示す。
【0022】
接続フローは、例えば、サーバーから来ることができ、例えば、インターネットへのアクセスを可能にする。接続性モジュール５は、例えば、車両１のマルチメディアプロセッサ１０に接続され、これによって拡張されたマルチメディアの提供に、車両１の内部に存在する個人がアクセスすることを可能にする。
【0023】
攻撃フローをフィルタリングする装置２は、潜在的な攻撃を特定するために接続性モジュール５によって受け取られる接続フローを解析するのに適している。攻撃フローをフィルタリングする装置２は、検出された攻撃をフィルタリングするのにも適している。
【0024】
図１に示されるように、攻撃フローをフィルタリングする装置２は、例えば、接続性モジュール５に含まれる。代替として、装置２は、接続性モジュール５から独立したエンティティに配置されてもよいが、直接通信している。
【0025】
攻撃フローをフィルタリングする装置２は、一組のモジュール（図示せず）を備える。実際には、これらのモジュールは、ハードウェア要素とソフトウェア要素を結合することによって作り出すことができる。各モジュールは、本発明による方法に記載されるおよび以下に説明される機能性の１つを所有する。
【0026】
図２は、本発明による攻撃フローをフィルタリングする装置２で実施される方法の一例をフローチャートの形式で示す。
【0027】
本方法は、複数の接続インフローの接続性モジュール５による受け取りで、ステップＥ２で始まる。これらの様々な接続インフローは、単一のソースエンティティ（例えば、単一のサーバー）からまたは複数の別個のソースエンティティから来ることができる。
【0028】
この方法の残りの部分については、第１の観察時間ウィンドウΔｔが定義されており、そこで方法のステップが実施される。この第１の観察時間ウィンドウは、例えば、約５秒である。
【0029】
この第１の観察時間ウィンドウは、連続した期間δｔｉに分割される。本発明の文脈では、期間δｔｉは、同一である。使用される期間δｔｉは、例えば約１００ミリ秒である（したがって、第１の観察時間ウィンドウは、５０個の連続した別個の期間からなる）。期間δｔｉは、分散型サービス拒否攻撃が存在するか判定するために全ての接続インフローが解析される期間に相当する。
【0030】
ステップＥ４では、１つの期間δｔｉ内に受け取られる全ての接続インフローが、「集合体」と称される単一のフローを得るために結合される。したがって、ステップＥ４では、１つの集合体が、期間ごとに得られる（したがって、約５０個の集合体が、第１の観察時間ウィンドウΔｔ）の全体で得られる。
【0031】
実際には、各接続フローは、一連のデータ、特にネットワークへのアクセスを可能にするデータを含む。次いで、全ての接続インフローを結合することは、全ての接続フローに含まれる全てのデータを（本説明において「集合体」と呼ばれる）単一のフローにグループ化することにある。
【0032】
集合体は、複数の測定値を含む第１の測定ベクトルによって定義される。例えば、期間δｔｉでは、関連した第１の測定ベクトルＸｉはＸｉ＝［ｘｉ，ｎ］と書かれ、ｘｉ，ｎは、期間δｔｉ中の測定値ｎに対応する変数である。各変数ｘｉ，ｎは、調査されるデータのタイプに応じて各様に計算される。
【0033】
例えば、変数ｘｉ，ｎは、期間δｔｉにわたる問題のデータの平均を計算することによって値を求めることができる。これは、例えば、（従来から受け取ったＩＰパケットとも称される）受け取ったリクエストの平均サイズが、期間δｔｉ中の全ての接続についての全ての受け取ったリクエストのサイズの平均を計算することによって得られる場合である。
【0034】
ソース数の例では、変数ｘｉ，ｎは、期間δｔｉ内に受け取られた異なるソースアドレスの個数から決定される。
【0035】
サブネットワークごとの平均ソースの個数の例では、変数ｘｉ，ｎは、期間δｔｉ内に受け取られる異なるソースアドレスの個数から、および期間δｔｉ内に受け取られるリクエストの中の（以下Ｎｒで示される）サブネットワークの個数から決定される。実際には、ソースアドレスの最初の２４個のビットだけが（このソースアドレスは、ＩＰ／２４と示される）が考慮される。次いで、各ソースアドレスＩＰ／２４について、異なるソースの個数、および受け取ったリクエスト（または受け取ったＩＰパケット）の個数が決定される。最後に、（以下の式においてＮｓ／ｒと示される）サブネットワークごとの平均ソースの個数が、（以下の式においてＮｓと示される）ソースアドレスＩＰ／２４ごとの異なるソースの個数を（以下の式においてＮＰと示される）ソースアドレスＩＰ／２４ごとの受け取ったリクエストの個数で重み付けすることによって、以下のように得られる。
【0036】
受け取った送信リクエストの割合（これは、ＴＣＰ接続リクエストの割合とも称され、ＴＣＰは、トランスミッションコントロールプロトコルの頭字語である）に関しては、変数ｘｉ，ｎは、期間δｔｉ内に受け取られた送信リクエストの個数と受け取ったリクエストの総数との間の比率として定義される。
【0037】
受け取ったエラーリクエストの割合の例では（これは、ＩＣＭＰプロトコルに従うパケットの割合とも称され、ＩＣＭＰは、インターネットコントロールメッセージプロトコルの頭字語である）、変数ｘｉ，ｎは、期間δｔｉ内に受け取られたエラーリクエストの個数と受け取ったリクエストの総数との間の比率として定義される。
【0038】
図２に見ることができるように、本方法は、ステップＥ６へ続く。このステップでは、得られた各集合体について（第１の観察時間ウィンドウの各期間について）、第１の測定ベクトルＸｉが決定される。この第１の測定ベクトルＸｉは、特性パラメータによってそれが関連付けられる集合体を特徴付ける。
【0039】
これらの特性パラメータは、受け取ったインターネット通信フロー（またはＩＰフロー（ＩＰは、一般に使用されるインターネットプロトコルの頭字語である））が特徴付けられることを可能にする。これらの受け取った接続フローは、特に、過程中の接続のタイプ、またはこれらの接続フローを介して送信されるデータのタイプに依存する。これらの特性パラメータのうち、例えば、以下のもの、すなわち、接続フローのソースの個数（以下ｘ１と示されるパラメータ）、サブネットワークごとの平均ソースの個数（以下ｘ２と示されるパラメータ）、データ送信リクエストの割合（ＴＣＰパケットによって通常決定され、このパラメータは、ｘ３と示される）、エラーコントロールリクエストの割合（通常ＩＣＭＰパケットと呼ばれ、このパラメータは、ｘ４と示される）、送信されたリクエストの平均サイズ（通常受け取ったＩＰパケットから決定され、このパラメータは、ｘ５と示される）、データ転送（またはタイムトゥライブについてのＴＴＬ）中のリクエストの平均持続時間（または受け取られたＩＰパケット）、あるいはさらにサブネットワークの個数が区別される。
【0040】
これらの特性パラメータは、接続性モジュールに対する分散型サービス拒否攻撃を特定することを可能にする判別子である。
【0041】
ここで、第１の測定ベクトルＸｉは、ｘ１、ｘ２、ｘ３、ｘ４、ｘ５と示される５個のパラメータを含む。
【0042】
ステップＥ６の終わりに、第１の測定ベクトルＸｉは、期間δｔｉごとに決定され、したがって、複数の第１の測定ベクトルＸｉは、第１の観察時間ウィンドウΔｔ内で得られる。かくして、例えば、１００ミリ秒の期間の間に、および５秒の第１の観察時間ウィンドウの間に、５０個の第１の測定ベクトルが得られる。
【0043】
これらの第１の測定ベクトルＸｉは、ステップＥ８において方法で続いて使用される。特性パラメータは、投影部分空間が定義されることを可能にする。部分空間は、セルのグリッドとして定義される。このグリッドについては、第１の軸、例えば横軸は、第１の特性パラメータに対応するとともに、第２の軸、例えば、縦軸は、第２の特性パラメータに対応する。実際には、ペアで選択された特性パラメータにより、複数の２次元の部分空間が定義されることを可能にする。変形例として、より多くの次元を有する部分空間を考慮することもできる。
【0044】
図３から図１０は、上で導入された特性パラメータから得られる部分空間を示す。ここで、各部分空間は、１０個のセル×１０個のセルのグリッドとして定義される。図３および図７は、例えば、エラーコントロールリクエストの割合（ｘ４）の関数としてデータ送信リクエストの割合（ｘ３）に対応する部分空間を示す。図４および図８は、送信されたリクエスト（または受け取ったＩＰパケット）の平均サイズ（ｘ５）の関数としてデータ送信リクエストの割合（ｘ３）に対応する部分空間を示す。図５および図９は、接続フロー源の個数（ｘ１）の関数としてデータ送信リクエストの割合（ｘ３）に対応する部分空間を示す。図６および図１０は、接続フロー源の個数（ｘ１）の関数としてエラーコントロールリクエストの割合（ｘ４）を示す。
【0045】
ステップＥ８では、第１の測定ベクトルＸｉが、特性パラメータによって定義された部分空間に投影される。第１の観察時間ウィンドウΔｔ内で得られた全ての第１の測定ベクトルＸｉは、これらの部分空間に投影される。投影によって、意味されるものは、投影された第１の測定ベクトルＸｉの値が属するグリッドのセルを特定している。言い換えれば、２つのデータｎおよびｍから定義される部分空間について、投影は、第１の測定ベクトルＸｉの点（ｘｉ，ｎ；ｘｉ，ｍ）が属するグリッドのセルの特定に対応する。
【0046】
実際には、投影前に、第１の測定ベクトルＸｉは、特性パラメータの関連する比較を確実にするために正規化される。ここで、第１の測定ベクトルＸｉの各特性パラメータは、問題のパラメータの予め定義された値によって正規化される。使用される予め定義された値は、例えば、特性パラメータの合理的に最大の値に対応する。「最大」の概念は、自動車内に存在する接続性モジュールが受け取ることができる限界接続フローに関して定義される。例えば、ｘ５と示される送信されたリクエスト（または受け取ったＩＰパケット）の平均サイズについて、値１５００が、ＩＰプロトコルのＩＰｖ４バージョンのために値を正規化するものとして使用される。値８０００は、ＩＰプロトコルのＩＰｖ６バージョンのために値を正規化するものとして使用される。
【0047】
図３から図１０は、第１の測定ベクトルＸｉが第１の観察時間ウィンドウΔｔについての様々な部分空間に投影されることを示す。第１の測定ベクトルＸｉの投影に終わりに、第１の測定ベクトルＸｉが問題のセルに投影されていない場合、セルは空のままである。
【0048】
セルの密度は、セルに投影される第１の測定ベクトルの割合Ｘｉ に対応するものとして定義される。そこに投影される第１の測定ベクトルの割合Ｘｉが予め定義された割合よりも高い場合、セルは、濃いと言われる。予め定義された割合は、例えば、５％に等しい。
【0049】
複数の隣接した濃いセルは、クラスターを定義することができる。「隣接したセル」によって、意味されるものは、共通の縁を有するセルである。図３から図１０では、上記で定めたようなクラスターは、斜めのハッチングを含むセルによって表される。例えば、図３では、第１の測定ベクトルＸｉのこの部分空間への全ての投影は、単一のセルに集中する。
【0050】
例えば、図４、図８、図９、および図１０に存在する水平ハッチングは、空でないが、その密度が予め定義された割合（ここでは、５％未満）よりも低いセルを表す。水平線の本数がより大きくなると、（予め定義された割合よりも低いまま）セルの密度が高くなる。
【0051】
【0052】
図２に見ることができるように、次いで、本方法は、ステップＥ１０に続く。このステップでは、異常性スコアＳ（Ｘ）が、第１の測定ベクトルＸｉが投影された各部分空間について決定される。
【0053】
部分空間（以下、部分空間ｋと示される）では、ある点の異常性α（ｊ，ｋ）が、この点が属するセルｊと最も近いクラスターとの間の距離であるとして定義される。言い換えれば、異常性α（ｊ，ｋ）は、セルｊと１つ（または２つ以上）の最も近い濃いセル（すなわち、５％よりも高い投影される第１の測定ベクトルの割合Ｘｉ）との間の距離に対応する。計算された距離は、ユークリッド距離またはマハラノビス距離のどちらかである。
【0054】
点がクラスター内にある場合には、異常性α（ｊ，ｋ）はゼロである。クラスターが問題の部分空間に存在しない（すなわち、例えば、セルが投影される第１の測定ベクトルの５％よりも大きいものを含まない）場合には、異常性α（ｊ，ｋ）は、セルｊと、問題の部分空間ｋ内の最も高い密度（ただし、密度は、まだ５％未満である）を有するセルとの間の距離に対応する。
【0055】
部分空間ｋの各セルｊについて定義された異常性α（ｊ，ｋ）から、問題の部分空間ｋの全てのセルｊの平均異常性Ａ（ｋ）を決定することが可能である。平均異常性は、
と書かれ、ただし、α（ｊ，ｋ）は、部分空間ｋ内のセルｊの（上で定義した）異常性に対応し、Ｄｅｎｓ（ｊ，ｋ）は、部分空間ｋ内のセルｊの密度に対応し、ｎは、部分空間ｋ内のセルの個数である。
【0056】
この定義によれば、平均異常性Ａ（ｋ）が０により近くなると、第１の観察時間ウィンドウΔｔ内の（第１の測定ベクトルＸｉの投影に対応する）より多くの点が、同心のクラスターに分布する。例として、図３に示された部分空間について評価された平均異常性は、全ての点が単一のクラスターに分布するので、ゼロである。同じことが、図５に示された部分空間および図６の部分空間に当てはまる。
【0057】
対照的に、平均異常性Ａ（ｋ）が高くなると、点が問題の部分空間にわたってより均一に分布する。
【0058】
異常性スコアＳ（Ｘ）を決定するために、部分空間ｋ内の第１の測定ベクトルＸｉの異常性関数Ｆ（Ｘ，ｋ）が導入され、
となり、ここで、α（Ｘｋ，ｋ）は、第１の測定ベクトルＸｉの部分空間ｋへの投影の異常性である。ここで、平均異常性Ａ（ｋ）は、（全ての部分空間が等しく取り扱われることを可能にするために）部分空間ｋの問題の第１の測定ベクトルＸｉの投影Ｘｋの異常性α（Ｘｋ，ｋ）が正規化されることを可能にする。
【0059】
これらの異常性関数Ｆ（Ｘ，ｋ）から、各部分空間ｋについて決定された全ての異常性関数Ｆ（Ｘ，ｋ）を全ての部分空間にわたって合計することによって、第１の測定ベクトルＸｉについての異常性スコアＳ（Ｘ）を定義することが可能であり、
である。
【0060】
したがって、異常性スコアＳ（Ｘ）は、様々な部分空間に投影した第１の測定ベクトルＸｉについて得られた、異常性関数Ｆ（Ｘ，ｋ）の合計に対応する。
【0061】
次いで、本方法は、ステップＥ１２に続き、そこで新しい期間δｔＮ＋１が定義される。新しい期間δｔＮ＋１は、第１の観察時間ウィンドウΔｔの直後である期間である。
【0062】
新しい期間δｔＮ＋１内に受け取られた全ての接続インフローは、（上述したステップＥ４に用いられた方法に類似する方法を用いて）新しい集合体を得るために結合される。
【0063】
新しい第１の測定ベクトルＸＮ＋１は、この新しい集合体の特性パラメータを含む。
【0064】
上述した本方法を用いて新しい第１のベクトルＸＮ＋１について決定される異常性スコアＳ（ＸＮ＋１）は、時間ウィンドウδｔＮ＋１中の接続性モジュール５によって受け取られる接続インフローの間に攻撃フローが存在するのかまたは存在しないのか判定されることを可能にする品質である。この異常性スコアＳ（ＸＮ＋１）は、（期間δｔＮ＋１に先行する）第１の観察時間ウィンドウΔｔに対して、期間δｔＮ＋１内に受け取られる（および新しい集合体によって特徴付けられる）全ての接続フローの異常性の程度を示す。
【0065】
グラフの視点から、この異常性スコアＳ（ＸＮ＋１）が高い場合、これは、ステップＥ８における第１の観察期間Δｔ内に形成されるおよび様々な部分空間内で特定されるクラスターからかなり大きく異なる様々な部分空間への新しい第１の測定ベクトルＸＮ＋１の投影を意味する。新しい集合体に対応する一組の接続フローは、疑わしいと思われ、攻撃の存在を裏付けるまたは無効にするために解析を深めることが必要である。
【0066】
これをするために、ステップＥ１４では、異常性スコアＳ（ＸＮ＋１）は、第１の閾値ｔｈ１および第２の閾値ｔｈ２と比較される。第１の閾値ｔｈ１は、第２の閾値ｔｈ２よりも低い。３つの別個の場合が説明される。
【0067】
第１のケースは、第１の閾値ｔｈ１よりも低い異常性スコアＳ（ＸＮ＋１）に対応する。この場合には、攻撃がないことは、新しい時間ウィンドウδｔＮ＋１に検出され、本方法はステップＥ２０に続く。それは、図３から図６に示された例の問題であり、全ての投影が濃いまたは高密度である隣接したセル内に集中させられる（図４）。これらの図では、孤立値は、異常性スコアの計算によって特定されない。
【0068】
ステップＥ２０では、第２の観察時間ウィンドウΔｔ’が特定される。この第２の観察時間ウィンドウΔｔ’は、１つの期間δｔｉだけシフトされた第１の観察時間ウィンドウΔｔに対応する。言い換えれば、第１の観察時間ウィンドウΔｔは、移動ウィンドウであり、これは、１つの期間δｔｉだけ増分されて第２の観察時間ウィンドウΔｔ’を定義する。この第２の観察時間ウィンドウΔｔ’は、新しい第１の測定ベクトルＸＮ＋１を取り込む。したがって、最後に、２つの観察時間ウィンドウは、共同で複数の期間を有する。（以下、古い期間と呼ばれる）第１の観察時間ウィンドウの最初の期間は、第２の観察時間ウィンドウΔｔ’に含まれない。さらに、（上の新しい期間δｔＮ＋１と呼ばれる）第２の観察時間ウィンドウΔｔ’の最後の期間は、第１の観察時間ウィンドウΔｔに含まれない。
【0069】
ステップＥ８において考慮される部分空間内で、古い期間に対応する第１の測定ベクトルの投影は、ステップＥ２２において削除される。
【0070】
ステップＥ２４では、新しい第１の測定ベクトルＸＮ＋１が、これらの部分空間の中に投影される。これらの部分空間内に存在するクラスターは、ステップＥ８を参照して説明される本方法を用いて再び特定される。本方法において前もって得られた結果に基づくステップＥ２２およびＥ２４は、本方法の実行時間が制限されることを可能にする。それらは、そのような方法の実施に必要とされる（特に、攻撃フローをフィルタリングする装置２に含まれたプロセッサの）計算能力が制限されることも可能にする。
【0071】
図２に示されるように、本方法は、ステップＥ２６において、新しい第１の測定ベクトルＸＮ＋１が問題の全ての部分空間に投影されると、および古い期間に関連した第１の測定ベクトルが削除されると、平均の異常性Ａ（ｋ）の決定を続ける。
【0072】
次いで、本方法は、何度も繰り返され、ステップＥ１２から始まる。
【0073】
第２の比較ケースは、第２の閾値ｔｈ２よりも高い異常性スコアに対応する。この場合には、攻撃の存在は新しい期間δｔＮ＋１に検出され、本方法はステップＥ６０を続ける。
【0074】
【0075】
このステップＥ６０は、新しい第１の測定ベクトルＸＮ＋１についてステップＥ１０において決定される異常性関数Ｆ（Ｘ，ｋ）が比較されることを可能にする。
【0076】
ステップＥ６２において、考慮される全ての部分空間の間で、少なくとも２つの部分空間が選択される。実際には、１つまたは２つの部分空間が選択される。それは、最も高い異常性関数Ｆ（Ｘ，ｋ）を有する部分空間の問題である。これらの選択された部分空間でなされる調査に基づいて、次いで、この（または２つ以上の）攻撃フローは、（新しい期間δｔＮ＋１に先行する）第１の観察時間ウィンドウΔｔの間に、選択された部分空間内に存在する（および公称動作条件を特徴付ける）クラスターを特に用いて特定される。例として、図７から図１０において、クラスターは、（上述したように）斜めのハッチングによって特定される。
【0077】
攻撃フローが特定されることを可能にするために、ステップＥ１２におけるこの結合をもたらすために結合されるインフローであって、新しい期間δｔＮ＋１内に受け取られた複数のインフローの結合である新しい集合体は、ステップＥ６４において別々の接続フローと称される複数のものに分解される。接続性モジュール５によって新しい期間δｔＮ＋１内に受け取られた全ての接続インフローは、新しい集合体を形成するためにステップＥ１２における結合のために考慮される。この新しい集合体は、新しい期間δｔＮ＋１内に受け取られた接続フローをソースアドレスによって結合することによって分離される。したがって、疑わしいと考えられる複数の別々の集合体を定義することが可能である。実際には、ソースアドレスが存在するのと同じくらい多くの別々の集合体が存在する。
【0078】
ステップＥ６６では、別々の各集合体は、特定ベクトルと称されるベクトルによって特徴付けられる。これらの特定ベクトルは、部分空間を選択することによってステップＥ６２で特定されるパラメータから構成される。したがって、特定ベクトルは、例えば上で定義された新しい第１の測定ベクトルＸＮ＋１に関する少数のパラメータを含む。例えば、パラメータｘ３およびｘ５によって定義される部分空間だけがステップＥ６２に選択された場合、特定ベクトルは、単にこれらの２つのパラメータを含む（これらの２つのパラメータは、新しい期間δｔＮ＋１中に別々の集合体ごとに決定される）。
【0079】
次いで、ステップＥ６８において、これらの特定ベクトルは、１つまたは複数の選択された部分空間に投影される。これらの特定ベクトルがクラスターを形成する部分空間のセルに投影されるとき、関連した別々の接続フローは、攻撃フローであるとみなされない。対照的に、特定ベクトルが、クラスターの外側に投影される場合、別々の集合体は、攻撃であるとみなされる。
【0080】
【0081】
構成により、攻撃に対応する別々の集合体は、同じソースアドレスから来る一組の別々の接続フローに関連している。次いで、攻撃に対応する別々の集合体の検出は、いわゆる真正でない接続フローを生成しているソースアドレスが、ステップＥ７０において特定されることを可能にする。
【0082】
次いで、これらの真正でない接続フローは、本方法のステップＥ７２においてフィルタリングされる。例えば、フィルタリングは、接続性モジュール５の入力において真正でない接続フローを阻止することによって実行される。実際には、これらのフローは、例えば、真正でない接続フローに関連したソースアドレスを阻止されたソースアドレスのリストに加えることによって阻止される。次いで、このソースアドレスから生じるあらゆるリクエストが破壊される。
【0083】
ステップＥ７４では、真正でない接続フローがフィルタリングされると、別々の接続フローが再結合されていわゆるフィルタリングされた集合体を形成し、関連したフィルタリングされた第１の測定ベクトルＸｆが決定される。このフィルタリングされた第１の測定ベクトルＸｆは、問題の全ての部分空間中に投影される。さらに、攻撃フローがフィルタリングされた（したがって、攻撃フローが新しい期間内に検出されない）とき、本方法は、上述された（および攻撃が検出されなかったときに本方法の残りに対応する）ステップＥ２０に続く。
【0084】
異常性スコアＳ（Ｘ）と第１の閾値ｔｈ１および第２の閾値ｔｈ２との比較の第３のケースは、疑いのゾーンに含まれる異常性スコアＳ（Ｘ）に対応する。この疑いのゾーンは、第１の閾値ｔｈ１と第２の閾値ｔｈ２との間に含まれる異常性スコアＳ（Ｘ）について定義される。この場合には、新しい期間δｔＮ＋１内の攻撃の有無に関して結論に直接到達することができない。次いで、本方法は、ステップＥ４０に続く。
【0085】
このステップＥ４０では、ステップＥ４で得られた各集合体について（第１の観察時間ウィンドウΔｔの各期間δｔｉについて）、第２の測定ベクトルＹｉが決定される。この第２の測定ベクトルＹｉは、第２の測定ベクトルＹｉが他の特性パラメータによって関連付けられる集合体を特徴付ける。これらの他の特性パラメータは、第１の測定ベクトルＸｉに関連付けられる特性パラメータとは別個である。
【0086】
これらの他の特性パラメータは、今度は、ＩＰ接続フローではなく、むしろ攻撃フローをフィルタリングする装置２に組み込まれたソフトウェアの実行が特徴付けられることを可能にする。これらの他の特性パラメータは、特に、攻撃フローをフィルタリングする装置２に含まれる様々なメモリレベルに関する命令およびデータの分散が説明されることを可能にする。これらの他の特性パラメータの間で、例えば、以下のもの、すなわち、（レベル１の「データ」および「命令」キャッシュメモリのヒット率によって通常測定される）第１のキャッシュメモリレベルへのアクセスに関連したヒット率、（レベル２の統一されたキャッシュメモリのヒット率によって通常測定される）第２のキャッシュメモリレベルへのアクセスに関連したヒット率、第３のキャッシュメモリレベルに関連したミス率、またはさらに使用されるメモリの割合が、区別される。
【0087】
所与のプロセッサ上のソフトウェアの実行を特徴付けるために、これらの特性パラメータを使用することが知られている。
【0088】
ステップＥ４０の終わりに、１つの第２の測定ベクトルＹｉが期間δｔｉごとに決定され、したがって、複数の第２の測定ベクトルＹｉが第１の観察時間ウィンドウΔｔに得られる。このようにして、 例えば、１００ミリ秒の期間および５秒の第１の観察時間ウィンドウの間に、５０個の第２の測定ベクトルが得られる。
【0089】
これらの第２の測定ベクトルＹｉは、ステップＥ４２において本方法に続いて用いられ、攻撃の有無の検出に関する疑いが取り除かれることを可能にするために、第２の測定ベクトルＹｉは解析される。
【0090】
第２の測定ベクトルＹｉの解析の目的は、ソフトウェアの実行時に異常動作を検出することである。
【0091】
第１の測定ベクトルＸｉに関するのと同じように、ステップＥ６において、第２の測定ベクトルＹｉは、２次元の部分空間に投影される。クラスターを特定し、（平均異常性Ａ（ｋ）の決定と同じ原理で）部分空間Ｂ（Ｋ）ごとの１つの他の平均異常性を決定することも可能である。
【0092】
本方法の前述のステップが、新しい第１のベクトルＸＮ＋１の解析に基づいて新しい期間δｔＮ＋１中の攻撃の存在に関する疑いを特定するとき、新しい期間δｔＮ＋１に関連した新しい第２の測定ベクトルＹＮ＋１についての他の異常性スコアＳ（ＹＮ＋１）が上述した本方法を用いて計算される。
【0093】
次いで、この他の異常性スコアＳ（ＹＮ＋１）は、第３の閾値ｔｈ３と比較される。他の異常性スコアＳ（ＹＮ＋１）が第３の閾値ｔｈ３よりも高い場合、新しい期間δｔＮ＋１中の攻撃の存在が裏付けられる。
【0094】
図２に示されるように、このステップＥ４２の後に、攻撃が検出されない場合、本方法は、上述したステップＥ２０に続く。第２の測定ベクトルの解析の終わりに、攻撃の存在が検出された場合、本方法は、上述したステップＥ６０に続く。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】