JP4887081B2

JP4887081B2 - 通信監視装置、通信監視方法およびプログラム

Info

Publication number: JP4887081B2
Application number: JP2006162205A
Authority: JP
Inventors: 山田　　明; 優三宅; 敬祐竹森
Original assignee: KDDI R&D Laboratories Inc
Current assignee: KDDI Research Inc
Priority date: 2006-06-12
Filing date: 2006-06-12
Publication date: 2012-02-29
Anticipated expiration: 2026-06-12
Also published as: JP2007335951A

Description

本発明は、ウェブクライアントとウェブサーバ間の通信を監視する装置等に関し、特に、例えば、ＳＳＬやＴＬＳといったアルゴリズムによって暗号化された送受信データを監視するのに好適な通信監視装置、通信監視方法およびプログラムに関する。

近年、インターネットの普及により、必要な情報を迅速に取得することができるようになった反面、特定のウェブサーバをターゲットに不正な攻撃を行う事例が増えており、こうした事態が大きな問題となっている。これに対して、ネットワークからの不正な通信を監視し、制御する装置として侵入検知システム（ＩＤＳ：ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）やファイアーウォールといった技術が開発されている。

これらの装置は、通信データ自体が暗号化されていないことを前提に、通信をプロトコル解析して、予め登録されているパターンと比較することにより、不正な通信を検出するものであり、従来、通信がＳＳＬやＴＬＳ、ＩＰｓｅｃ、ＳＳＨといった暗号化プロトコルによって暗号化されている場合には、この暗号化された通信データを一度、復号してから監視を行う手法がとられていた。

こうした方法では、暗号化された通信データを復号するために、使用されている鍵が必要であることから、これに対応するために、監視装置内に複製した鍵を保存する方法（例えば、非特許文献１および２参照。）や、監視装置を暗号化通路間に配置して暗号化通信を終端する方法（例えば、非特許文献２および３参照。）が提案されている。
ＮｅｔＣｏＣｏｏｎＡｎａｌｙｚｅｒ、ａｖａｉｌａｂｌｅａｔｈｔｔｐ：／／ｗｗｗ．ｃｏｍｗｏｒｔｈ．ｃｏ．ｊｐ／ｐｒｏｄｕｃｔｓ／ｐ＿ａ／ｎｅｔｃｏｃｏｏｎａｎｌｙｚｅｒ．ｈｔｍｌＷｅｂＡｐｐｌｉｃａｔｉｏｎＦｉｒｅｗａｌｌＥｖａｌｕａｔｉｏｎＣｒｉｔｅｒｉａ．ａｖａｉｌａｂｌｅａｔｈｔｔｐ：／／ｗｗｗ．ｗｅｂａｐｐｓｅｃ．ｏｒｇ／ｐｒｏｊｅｃｔｓ／ｗａｆｅｃ／ｖ１／ｗａｓｃ−ｗａｆｅｃ−ｖ１．０．ｐｄｆＦ−ＳｅｃｕｒｅＳｉｔｅＧｕａｒｄ、ａｖａｉｌａｂｌｅａｔｈｔｔｐ：／／ｗｗｗ．ｆ−ｓｅｃｕｒｅ．ｃｏ．ｊｐ／ｄｏｗｎｌｏａｄ／ｔｒｉａｌ／ｓｉｔｅｇｕａｒｄ／ｓｉｔｅｇｕａｒｄ．ｐｄｆ

しかしながら、上記の従来技術のように、鍵を複製して監視装置内に保存する方式では、安全に保管・管理すべき鍵を複数の監視装置に保存する必要があるため、鍵を保管するためのコストが多くかかってしまうという問題がある。また、鍵を複製して監視装置内に保存したとしても、通信データを暗号化するアルゴリズムによっては、その内容を適切に復号化することができない場合があるといった問題がある。

そこで、本発明は、上述の問題点に鑑みてなされたものであり、インターネット網で送受信される暗号化された通信データを復号することなく、暗号化された状態で不正なアクセスを検出する通信監視装置、通信監視方法およびプログラムを提供することを目的とする。

本発明は、上記した課題を解決するために以下の事項を提案している。
（１）本発明は、インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを監視する通信監視装置であって、前記送受信データのデータサイズに基づいて、通信内容を識別し、該識別された通信内容ごとに不正なアクセスの有無を判別することを特徴とする通信監視装置を提案している。

この発明によれば、暗号化された送受信データのデータサイズに基づいて、通信内容を識別し、識別された通信内容ごとに不正なアクセスの有無を判別することから、暗号化された通信データを復号する処理が不要であるとともに、低コストで不正なアクセスを検出することができる。

（２）本発明は、インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを収集する送受信データ収集手段（例えば、図２のネットワークインターフェースカード１０およびＣＰＵ１２に相当）と、ＩＰアドレスごとに、該収集した送受信データを分類してクライアントを識別するクライアント識別手段（例えば、図２のＣＰＵ１２に相当）と、該識別したクライアントについて、パケットの到着タイミングに基づいて、前記送受信データをリクエストごとに分類する分類手段（例えば、図２のＣＰＵ１２に相当）と、該分類されたリクエストごとにデータサイズを抽出し、特徴ベクトルとして保存する保存手段（例えば、図２のメモリ１１に相当）と、該特徴ベクトルをその類似度に基づいて、分類して識別子を付与する識別手段（例えば、図２のＣＰＵ１２に相当）と、該付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出する検出手段（例えば、図２のＣＰＵ１２に相当）と、を備えたことを特徴とする通信監視装置を提案している。

この発明によれば、収集手段がインターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを収集し、クライアント識別手段がＩＰアドレスごとに、収集した送受信データを分類してクライアントを識別する。そして、分類手段が識別したクライアントについて、パケットの到着タイミングに基づいて、送受信データをリクエストごとに分類するとともに、保存手段が分類されたリクエストごとにデータサイズを抽出し、特徴ベクトルとして保存する。さらに、識別手段は、特徴ベクトルをその類似度に基づいて、分類して識別子を付与し、検出手段が付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出する。

したがって、識別手段により、特徴ベクトルをその類似度に基づいて、分類して識別子を付与し、検出手段が付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出する。したがって、特徴ベクトルをその類似度に基づいて、分類して識別子を付与することにより、識別の精度が向上することから、この識別結果を用いることによって不正なアクセスを検出する精度を向上させることができる。また、任意の通信が不正なアクセスであるか否かの識別方法として、特定のパターンとの厳密な比較を行うのではなく、その類似度に基づいて、判断を行うことから、通信データの欠損や暗号化アルゴリズムの相違、あるいはパディング処理等の影響があっても、的確に不正なアクセスを特定できる。

（３）本発明は、（２）に記載の通信監視装置について、前記検出手段が、前記予め定められた条件として、所定の閾値よりも高い頻度でアクセスされるアクセス先、あるいは、これまでにアクセスされたことのないアクセス先を検出したときに、このアクセスを不正なアクセス情報として格納することを特徴とする通信監視装置を提案している。

これまでの経験則によれば、不正なアクセスは、通常よりも高い頻度でアクセスされるアクセス先やこれまでにアクセスされたことのないアクセス先に集中している傾向にある。そこで、本発明においては、検出手段が、予め定められた条件として、所定の閾値よりも高い頻度でアクセスされるアクセス先、あるいは、これまでにアクセスされたことのないアクセス先を検出したときに、このアクセスを不正なアクセス情報として検出する。

（４）本発明は、（２）または（３）に記載の通信監視装置について、前記識別手段により、識別子を付与する際に、付与する識別子の候補を時系列的に古い順番から削除する識別子候補削除手段（例えば、図２のＣＰＵ１２に相当）を備えたことを特徴とする通信監視装置を提案している。

一般に、インターネット上のウェブサイト等の移り変わりは、めまぐるしく、保存期間によっては不要なデータも存在する。一方で、パーソナルコンピュータ等の端末を想定すると、その記憶容量には一定の限界がある。そこで、本発明においては、識別子候補削除手段が識別手段により、識別子を付与する際に、付与する識別子の候補を時系列的に古い順番から削除する。

（５）本発明は、（２）から（４）に記載の通信監視装置について、前記検出手段において予め定められた条件に当てはまるアクセスを検出する際に、条件を満たさない候補を時系列的に古い順番から削除する不正アクセス候補削除手段（例えば、図２のＣＰＵ１２に相当）を備えたことを特徴とする通信監視装置を提案している。

この発明によれば、不正アクセス候補削除手段が検出手段において予め定められた条件に当てはまるアクセスを検出する際に、条件を満たさない候補を時系列的に古い順番から削除することから、候補の総数を削減して、効率的な計算を実行することができる。

（６）本発明は、インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを監視する通信監視方法であって、前記送受信データのデータサイズに基づいて、通信内容を識別し、該識別された通信内容ごとに不正なアクセスの有無を判別することを特徴とする通信監視方法を提案している。

この発明によれば、送受信データのデータサイズに基づいて、通信内容を識別し、識別された通信内容ごとに不正なアクセスの有無を判別する。したがって、暗号化された通信データを復号する処理が不要であるとともに、低コストで不正なアクセスを検出することができる。

（７）本発明は、インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを収集する第１のステップ（例えば、図３のステップＳ１０１に相当）と、ＩＰアドレスごとに、該収集した送受信データを分類してクライアントを識別する第２のステップ（例えば、図３のステップＳ１０２に相当）と、該識別したクライアントについて、パケットの到着タイミングに基づいて、前記送受信データをリクエストごとに分類する第３のステップ（例えば、図３のステップＳ１０３に相当）と、該分類されたリクエストごとにデータサイズを抽出し、特徴ベクトルとして保存する第４のステップ（例えば、図３のステップＳ１０４に相当）と、該特徴ベクトルをその類似度に基づいて、分類して識別子を付与する第５のステップ（例えば、図３のステップＳ１０５に相当）と、該付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出する第６のステップ（例えば、図３のステップＳ１０６に相当）と、を備えたことを特徴とする通信監視方法を提案している。

この発明によれば、インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを収集し、ＩＰアドレスごとに、収集した送受信データを分類してクライアントを識別する。次いで、識別したクライアントについて、パケットの到着タイミングに基づいて、送受信データをリクエストごとに分類し、分類されたリクエストごとにデータサイズを抽出し、特徴ベクトルとして保存する。そして、特徴ベクトルをその類似度に基づいて、分類して識別子を付与するとともに、付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出する。

したがって、特徴ベクトルをその類似度に基づいて、分類して識別子を付与するとともに、付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出する。したがって、特徴ベクトルをその類似度に基づいて、分類して識別子を付与することにより、識別の精度が向上することから、この識別結果を用いることによって不正なアクセスを検出する精度を向上させることができる。また、任意の通信が不正なアクセスであるか否かの識別方法として、特定のパターンとの厳密な比較を行うのではなく、その類似度に基づいて、判断を行うことから、通信データの欠損や暗号化アルゴリズムの相違、あるいはパディング処理等の影響があっても、的確に不正なアクセスを特定できる。

（８）本発明は、インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを監視する処理をコンピュータに実行させるためのプログラムであって、インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを収集する第１のステップ（例えば、図３のステップＳ１０１に相当）と、ＩＰアドレスごとに、該収集した送受信データを分類してクライアントを識別する第２のステップ（例えば、図３のステップＳ１０２に相当）と、該識別したクライアントについて、パケットの到着タイミングに基づいて、前記送受信データをリクエストごとに分類する第３のステップ（例えば、図３のステップＳ１０３に相当）と、該分類されたリクエストごとにデータサイズを抽出し、特徴ベクトルとして保存する第４のステップ（例えば、図３のステップＳ１０４に相当）と、該特徴ベクトルをその類似度に基づいて、分類して識別子を付与する第５のステップ（例えば、図３のステップＳ１０５に相当）と、該付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出する第６のステップ（例えば、図３のステップＳ１０６に相当）と、をコンピュータに実行させるためのプログラムを提案している。

この発明によれば、プログラムによって、インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを収集し、ＩＰアドレスごとに、収集した送受信データを分類してクライアントを識別する。次いで、識別したクライアントについて、パケットの到着タイミングに基づいて、送受信データをリクエストごとに分類し、分類されたリクエストごとにデータサイズを抽出し、特徴ベクトルとして保存する。そして、特徴ベクトルをその類似度に基づいて、分類して識別子を付与するとともに、付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出する。

本発明によれば、インターネット網で送受信される暗号化された通信データを復号することなく、暗号化された状態で不正なアクセスを検出できる低コストの監視装置を提供できるという効果がある。また、特徴ベクトルをその類似度に基づいて、分類して識別子を付与するとともに、付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出することから、予め定められた条件に該当する通信を不正なアクセスとして早期に発見できるという効果がある。

さらに、任意の通信が不正なアクセスであるか否かの識別方法として、特定のパターンとの厳密な比較を行うのではなく、その類似度に基づいて、判断を行うことから、通信データの欠損や暗号化アルゴリズムの相違、あるいはパディング処理等の影響があっても、的確に不正なアクセスを特定できるという効果がある。

以下、図面を用いて、本発明の実施形態に係る通信監視装置について詳細に説明する。
ここで、本発明は、従来のように、予め不正なアクセスと思われる候補となる特徴ベクトルを用意することなく、検出の結果、他に候補のない新たな通信については、これを新たな候補としての特徴ベクトルとして記憶し、候補が十分にある場合には、時系列的に古い候補を削除して、検出精度を高めるものである。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

＜システムの構成＞
本実施形態に係る通信監視装置が用いられるシステム構成は、図１に示すように、ウェブクライアント（端末）１と、インターネット網２と、ウェブサーバ３と、通信監視装置４とからなっている。図１に示すように、本実施形態に係る通信監視装置４は、例えば、ＳＳＬ等のプロトコルで暗号化された通信データによるウェブサーバ３への不正な攻撃を監視するために、ウェブサーバ３側に配置され、ウェブクライアント（端末）１からのアクセスを監視する。

＜通信監視装置の構成＞
本実施形態に係る通信監視装置は、例えば、パーソナルコンピュータ等を想定しており、その構成は、図２に示すように、ネットワークインターフェースカード（ＮＩＣ）１０と、メモリ１１と、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）１２と、ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）１３とからなっている。

ここで、ネットワークインターフェースカード（ＮＩＣ）１０は、通信監視装置４をネットワークに接続するための拡張カードであり、通信監視装置４は、ネットワークインターフェースカード（ＮＩＣ）１０を介して、ウェブサーバ３において送受信される暗号化された通信データを収集する。

メモリ１１は、書き換え可能なＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）等で構成され、ＩＰアドレスごとに、収集した送受信データを分類して、クライアントを識別し、識別したクライアントについて、パケットの到着タイミングに基づいて、送受信データをリクエストごとに分類した後、分類されたリクエストごとにデータサイズを抽出した特徴ベクトルを保存する。

ＣＰＵ１２は、図示しないＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）等に格納された制御プログラムに基づいて、通信監視装置４の全体の機能を制御する。具体的には、ネットワークインターフェースカード（ＮＩＣ）１０において収集した送受信データをＩＰアドレスに基づいて、クライアントごとに識別する機能や、識別したクライアントについて、パケットの到着タイミングに基づいて、送受信データをリクエストごとに分類する機能、分類されたリクエストごとにデータサイズを抽出した特徴ベクトルを生成する機能、特徴ベクトルをその類似度に基づいて、分類して識別子を付与するとともに、付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出する機能等を実行する。

ＨＤＤ１３は、ＣＰＵ１２が予め定められた条件に基づいて、不正なアクセス先として検出したデータを格納する記憶手段である。

＜通信監視装置の処理動作＞
次に、図３から図５を用いて、本実施形態に係る通信監視装置の処理動作について説明する。
まず、ＣＰＵ１２は、図５（ａ）に示すように、時間の経過とともに、ネットワークを流れる暗号化された送受信データ（トラヒックデータ）をネットワークインターフェースカード（ＮＩＣ）１０を介して読み取り、この読み取った暗号化された送受信データ（トラヒックデータ）をメモリ１１上に展開する（ステップＳ１０１）。

次に、送受信データ（トラヒックデータ）をＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）パケットとして解析し、図５（ｂ）に示すように、ＩＰヘッダのソースＩＰアドレスおよびディスティネーションＩＰアドレスの組をひとつのクライアントからの通信とみなすことによりクライアントごとに分類する。（ステップＳ１０２）。

さらに、図５（ｃ）に示すように、ワンクリックに相当する通信量を抜き出して、特定のクライアントからの通信をパケットの到着タイミングの相違により異なるリクエストであると判断して、特定のクライアントからの送受信データ（トラヒックデータ）をリクエストごとに分類する。具体的には、パケットの到着タイミングを比較して、到着タイミングが異なる場合には（ステップＳ１０３の「ＮＯ」）、ステップＳ１０１に処理を戻し、タイミングが同一であれば（ステップＳ１０３の「ＹＥＳ」）、次のステップＳ１０４に移行する。

特定のクライアントについて、リクエストごとの分類が終了すると、特定のリクエストに関してＴＣＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ）再構築を行い、さらに、例えば、ＳＳＬとして解析することにより送受信データ（トラヒックデータ）のデータサイズを図５（ｄ）に示すように、通信の束として取り出す。これにより、特定のリクエストからいくつかの送信データや受信データが取り出され、これらのデータのサイズを特徴ベクトルとして、メモリ１１に保存する（ステップＳ１０４）。

具体的には、例えば、図５下段に示す例では、特定のクライアント（ＩＰアドレス：１７２．１９．９４．１６７）と特定のウェブサーバ（ＩＰアドレス：１７２．１９．９４．１１２）との間で、４３２バイトのデータ、３９５２バイトのデータ、２４４８バイトのデータ、２２７２バイトのデータ、２８８バイトのデータおよび２８８バイトのデータが送受信され、これらのデータが特徴ベクトルとして保存される。

次に、メモリ１１に保存された特徴ベクトルをその類似度に基づいて、分類して識別子を付与する（ステップＳ１０５）。具体的には、いま、Ｎ個の特徴ベクトル｛ｘ＿ｉ｜ｉ＝１、・・・、Ｎ｝が、すでにＬ個のクラスタ｛ｃ＿ｌ｜ｌ＝１、・・・、Ｌ｝に分類されているとする。また、各クラスタに割当てられたベクトルの数をＮ＿ｌ｛ｌ＝１、・・・、ｌ｝とし、クラスタの平均ベクトルを、ｘ＿ｌ＝１／Ｎ＿ｌ Σ＿｛ｉ∈ｃ＿ｌ｝ｘ＿ｉとする。

特徴ベクトルｘが新しく与えられるとき、ｘ＿ｌとｘの類似度として、次式のように、ユークリッド距離の最小値Ｅ＿ｍｉｎを求める。
Ｅ＿ｌ＝ｅｕｃｌｉｄ（ｘ、ｘ＿ｌ）
Ｅ＿ｍｉｎ＝ｍｉｎ＿｛ｌ｝［Ｅ＿ｌ］

そして、Ｅ＿ｍｉｎの値が予め定めた閾値Ｔｈよりも小さい場合には、Ｅ＿ｍｉｎに対応するｃ＿ｌにｘを統合する。このとき、統合の際に、新しいクラスタの平均ベクトルは、ｘ＿ｎｅｗ＝１／（Ｎ＿ｌ＋１）（Ｎ＿ｌ＊ｘ＿ｌ＋１＊ｘ）となる。

一方で、Ｅ＿ｍｉｎの値が予め定めた閾値Ｔｈよりも大きい場合には、ｘを新しいクラスタとする。また、長時間、通信を監視する場合には、メモリ１１の記憶領域内のデータを記憶容量に応じて、過去から古い順番に逐次削除する。ここで、特徴ベクトルを類似度により分類する手法を用いたのは、不正な攻撃が一般に、過去に現れたことのないデータ構造によるものであり、これを検出するために正確なマッチングを行ってしまうと実データ内にパディング処理等が行われていた場合に、誤判定を生じてしまうからである。

また、逐次的な更新処理を行うのは、特定の頻度で出現する一般的な送受信データにおいても、そのデータサイズには、それなりのばらつきを有することから、データの蓄積と同時に、類似したデータの、いわば中心を抽出するためである。

なお、時系列順に古いデータを削除するアルゴリズムの一例として、以下に説明する最長未使用時間アルゴリズムを用いることが好ましい。

図４を用いて、最長未使用時間アルゴリズムの処理について説明する。
図４は最長未使用時間アルゴリズムを実行するためのメモリ内の構成を示しており、図４の例に示すように、メモリ内には、特徴ベクトルを格納するデータテーブルと、消去すべき特徴ベクトルの順番を規定するデータテーブルとが設けられている。

いま、抽出された特徴ベクトルは、時系列にしたがって、図面上部の記憶領域から順番に格納されていく。そして、記憶領域が特徴ベクトルでいっぱいになった状態で、新たな特徴ベクトルが入力されると、順番に各記憶領域に格納された特徴ベクトルと同じものがないかが判別される。そして、いま、図面上部から２つ目の記憶領域に格納されている特徴ベクトルと同じ特徴ベクトルが入力された場合には、順番を規定するデータテーブルのつなぎを図中の細線から太線に変えることにより、その値の順番を変更する。

図４の場合には、特徴ベクトルのデータテーブルにおいて、図面上部から２つ目の記憶領域に対応した順序用データテーブルの記憶領域を最も上位にする処理が行われる。なお、特徴ベクトルのデータテーブル内に同一のデータが見つからなかった場合には、最も古い記憶領域のデータを消去する。

なお、順序用データテーブルを設けることなく、特徴ベクトルのデータテーブルをソーティングして、消去の順番を変更する構成も可能であるが、ソーティングには、相当の処理時間を要することを考慮すると、上記の図４に示した構成が望ましい。

図３に戻って、類似度に基づいて分類を行い、識別子を付与する処理が終了すると、ＣＰＵ１２は、メモリ１１内に格納された特徴ベクトルから予め定められた閾値よりも大きな頻度でアクセスされるアクセス先、あるいはこれまでに一度もアクセスされていないアクセス先を抽出し、これらを不正なアクセスと判断して、ＨＤＤ１３に格納する（ステップＳ１０６）。そして、すべてのデータについて処理が終了したか否かを判断し、終了していれば（ステップＳ１０７の「ＹＥＳ」）、一連の処理を終了し、終了していなければ（ステップＳ１０７の「ＮＯ」）、ステップＳ１０１に戻って、処理を続行する（ステップＳ１０７）。

以上、説明したように、本実施形態によれば、インターネット網で送受信される暗号化された通信データを復号することなく、暗号化された状態で不正なアクセスを検出できる低コストの監視装置を提供できる。また、特徴ベクトルをその類似度に基づいて、分類して識別子を付与するとともに、付与した識別子と予め定められた条件とに基づいて、不正なアクセスを検出することから、予め定められた条件に該当する通信を不正なアクセスとして早期に発見できる。

さらに、任意の通信が不正なアクセスであるか否かの識別方法として、特定のパターンとの厳密な比較を行うのではなく、その類似度に基づいて、判断を行うことから、通信データの欠損や暗号化アルゴリズムの相違、あるいはパディング処理等の影響があっても、的確に不正なアクセスを特定できる。

なお、上述の一連の処理をプログラムとしてコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを通信監視装置４に読み込ませ、実行することによって本発明の通信監視装置を実現することができる。

また、ＷＷＷ（ＷｏｒｌｄＷｉｄｅＷｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

本実施形態に係る通信監視装置が用いられるシステムの概要を示す図である。本実施形態に係る通信監視装置の構成図である。本実施形態に係る通信監視装置の処理フローである。最長未使用時間アルゴリズムの処理概念図である。本実施形態に係る通信監視装置の処理の概要を示した図である。

符号の説明

１・・・ウェブクライアント（端末）、２・・・インターネット網、３・・・ウェブサーバ、４・・・通信監視装置、１０・・・ネットワークインターフェースカード（ＮＩＣ）、１１・・・メモリ、１２・・・ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）、１３・・・ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）

Claims

インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを収集する送受信データ収集手段と、
ＩＰアドレスごとに、該収集した送受信データを分類してクライアントを識別するクライアント識別手段と、
該識別したクライアントについて、パケットの到着タイミングに基づいて、前記送受信データをリクエストごとに分類する分類手段と、
該分類されたリクエストごとに、送受信それぞれのデータサイズを抽出し、特徴ベクトルとして保存する保存手段と、
該特徴ベクトルを他の特徴ベクトルとの類似度に基づいて、分類して識別子を付与する識別手段と、
予め定められた条件に基づいて不正なアクセスと判断される特徴ベクトルと同一の前記識別子が付与されている特徴ベクトルを、不正なアクセスとして検出する検出手段と、
を備えたことを特徴とする通信監視装置。
前記検出手段が、前記予め定められた条件として、所定の閾値よりも高い頻度でアクセスされるアクセス先、あるいは、これまでにアクセスされたことのないアクセス先を検出したときに、このアクセスを不正なアクセス情報と判断することを特徴とする請求項１に記載の通信監視装置。
前記識別手段により、識別子を付与する際に、付与する識別子の候補を時系列的に古い順番から削除する識別子候補削除手段を備えたことを特徴とする請求項１または請求項２に記載の通信監視装置。
前記検出手段において予め定められた条件に当てはまるアクセスを検出する際に、条件を満たさない特徴ベクトルを時系列的に古い順番から削除する不正アクセス候補削除手段を備えたことを特徴とする請求項１から請求項３のいずれかに記載された通信監視装置。
インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを収集する第１のステップと、
ＩＰアドレスごとに、該収集した送受信データを分類してクライアントを識別する第２のステップと、
該識別したクライアントについて、パケットの到着タイミングに基づいて、前記送受信データをリクエストごとに分類する第３のステップと、
該分類されたリクエストごとに、送受信それぞれのデータサイズを抽出し、特徴ベクトルとして保存する第４のステップと、
該特徴ベクトルを他の特徴ベクトルとの類似度に基づいて、分類して識別子を付与する第５のステップと、
予め定められた条件に基づいて不正なアクセスと判断される特徴ベクトルと同一の前記識別子が付与されている特徴ベクトルを、不正なアクセスとして検出する第６のステップと、
を備えたことを特徴とする通信監視方法。
インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを監視する処理をコンピュータに実行させるためのプログラムであって、
インターネット網を介して任意のクライアント端末と特定のウェブサーバ間とで送受信される暗号化された送受信データを収集する第１のステップと、
ＩＰアドレスごとに、該収集した送受信データを分類してクライアントを識別する第２のステップと、
該識別したクライアントについて、パケットの到着タイミングに基づいて、前記送受信データをリクエストごとに分類する第３のステップと、
該分類されたリクエストごとに、送受信それぞれのデータサイズを抽出し、特徴ベクトルとして保存する第４のステップと、
該特徴ベクトルを他の特徴ベクトルとの類似度に基づいて、分類して識別子を付与する第５のステップと、
予め定められた条件に基づいて不正なアクセスと判断される特徴ベクトルと同一の前記識別子が付与されている特徴ベクトルを、不正なアクセスとして検出する第６のステップと、
をコンピュータに実行させるためのプログラム。