[发明专利]学习程序、学习装置和学习方法

说明书

本申请涉及学习程序、学习装置和学习方法。一种学习程序，其中计算机执行以下处理：基于将被检测的第一数据和将不被检测的第二数据来生成用于检测第一数据的第一训练模型，指定已经由所述第一训练模型从新输入的第二数据当中检测为第一数据的第三数据的信息和数据量，通过用第三数据替换第二数据的至少一部分来指定将被检测的第四数据，该第二数据的至少一部分是根据新输入的第二数据的信息和第三数据的数据量来指定的，并且基于第一数据和第四数据生成用于检测第一数据的第二训练模型。

技术领域

本文讨论的实施方式涉及一种学习程序、学习装置和学习方法。

背景技术

作为对抗目标网络攻击的对策，有时确定由攻击者进行的通信。在攻击者通信的确定中，例如，下一代防火墙和入侵检测系统(IDS)监视公司内的通信以及公司与公司外部之间的通信，并警告似乎是攻击者的通信。

监督式机器学习有时用于确定由攻击者进行的通信和通过例如深度学习的业务使用的通信。在监督式机器学习中，通过学习由攻击者进行的通信数据和针对业务使用的通信数据这二者来生成模型，并且确定由攻击者进行的通信和针对业务使用的通信。

[引用列表]

[专利文献]

[PTL1]美国专利公开第2019/0034836号。

[PTL2]日本特开专利公开第2006-285489号。

[PTL3]日本特开专利公开第7-219921号。

发明内容

技术问题

模型可能需要响应于业务中的改变和攻击而重新学习(换句话说，重新创建)。例如，除非在业务内容有改变的情况下学习新的业务通信数据，否则可能作出错误的确定。

一个方面旨在有效地执行重新学习。

问题的解决方案

根据实施方式的一个方面，提供了一种学习程序，其中，计算机执行以下处理：基于将被检测的第一数据和将不被检测的第二数据来生成用于检测第一数据的第一训练模型，指定已经由所述第一训练模型从新输入的第二数据当中检测为第一数据的第三数据的信息和数据量，通过用第三数据替换第二数据的至少一部分来指定将被检测的第四数据，该第二数据的至少一部分是根据新输入的第二数据的信息和第三数据的数据量来指定的，并且基于第一数据和第四数据生成用于检测第一数据的第二训练模型。

有益效果

在一个方面，可以有效地执行重新学习。

附图说明

图1是用于描述相关示例中针对攻击通信数据和业务通信数据的学习处理的示图；

图2是用于描述实施方式的示例中针对攻击通信数据和业务通信数据的学习处理的示图；

图3是示意性地示出根据实施方式的示例中的学习装置的硬件配置示例的框图；

图4是示意性地示出图3所示的学习装置的软件配置示例的框图；

图5是用于说明在图3所示的学习装置中使用的异常值检测技术的图；

图6是示出图3所示的学习装置中的初步训练数据和试验时段数据的分布的曲线图；

图7是用于描述在示出图6所示的初步训练数据和试验时段数据的分布的曲线图中随机选择替换数据的情况的曲线图；

图8是用于描述使用在示出图6所示的初步训练数据和试验时段数据的分布的曲线图中的异常值检测技术来选择替换数据的情况的曲线图；以及

图9是示出在图3所示的学习装置中选择要替换的数据的处理的流程图。

具体实施方式