(57)【要約】【課題】サイバーインシデントにつながりそうな観測事象が発生した時点で、どのような攻撃が発生するかを早期に発見すること。【解決手段】推定装置１０は、ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力としてユーザ端末２０から受け付ける。そして、推定装置１０は、受け付けた機器ＩＤに対応する機器の属性情報を機器情報記憶部１３ｃから取得し、取得した属性情報と受け付けた観測事象とに基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定し、推定された攻撃を受けるリスクをユーザ端末２０に出力する。【選択図】図１
2020038581.tif 000002
【特許請求の範囲】
【請求項１】
推定装置によって実行される推定方法であって、
ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力として受け付ける受付工程と、
前記受付工程によって受け付けられた機器ＩＤに対応する機器の属性情報を機器情報記憶部から取得し、取得した属性情報と前記受付工程によって受け付けられた観測事象とに基づいて、前記ネットワークにおける機器が攻撃を受けるリスクを推定する推定工程と、
前記推定工程によって推定された推定結果を出力する出力工程と
を含んだことを特徴とする推定方法。
【請求項２】
前記推定工程は、前記機器の属性情報および前記観測事象に対応付けて攻撃種別と該攻撃を受ける確率とを記憶する観測事象情報記憶部から、前記機器情報記憶部から取得した属性情報と前記受付工程によって受け付けられた観測事象とに対応する攻撃の種別および前記機器が攻撃を受ける確率を取得し、
前記出力工程は、前記推定工程によって取得された攻撃の種別および該攻撃を受ける確率を出力することを特徴とする請求項１に記載の推定方法。
【請求項３】
前記推定工程は、前記機器の属性情報および前記観測事象に対応付けて状態遷移する確率を記憶する観測事象情報記憶部から、前記機器情報記憶部から取得した属性情報と前記受付工程によって受け付けられた観測事象とに対応する状態を検索し、検索した状態から状態遷移する確率を計算し、該状態遷移する確率に基づいて、前記ネットワークにおける機器が攻撃を受けるリスクを推定することを特徴とする請求項１に記載の推定方法。
【請求項４】
ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力として受け付ける受付部と、
前記受付部によって受け付けられた機器ＩＤに対応する機器の属性情報を機器情報記憶部から取得し、取得した属性情報と前記受付部によって受け付けられた観測事象とに基づいて、前記ネットワークにおける機器が攻撃を受けるリスクを推定する推定部と、
前記推定部によって推定された推定結果を出力する出力部と
を有することを特徴とする推定装置。
【請求項５】
ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力として受け付ける受付ステップと、
前記受付ステップによって受け付けられた機器ＩＤに対応する機器の属性情報を機器情報記憶部から取得し、取得した属性情報と前記受付ステップによって受け付けられた観測事象とに基づいて、前記ネットワークにおける機器が攻撃を受けるリスクを推定する推定ステップと、
前記推定ステップによって推定された推定結果を出力する出力ステップと
をコンピュータに実行させることを特徴とする推定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、推定方法、推定装置および推定プログラムに関する。
【背景技術】
【０００２】
サイバーインシデントなどの危機対応においては、フォレンジックなど高度な知識が求められ、小さな企業などでは、どのように対処を行ったらよいか分からない場合があった。また、サイバーインシデントにより、サービス提供や業務継続に大きな支障が出ることも少なくなく、経営層による適切で早急な判断が求められるが、情報システムやサイバー攻撃に関する高度な知識を持っている経営者は少なく、判断を遅らせるうちに被害拡大してしまうことも少なくない。
【０００３】
従来サイバーインシデントの予防対策としては、セキュリティ設計などにより、あらかじめ脆弱性をつぶしたり、運用ルールを整備し、ＪＶＮ(Japan  Vulnerability  Notes)からの脆弱性情報を活用してこまめにパッチを当てたり、ユーザ教育を行ったり、といった取り組みが行われてきた。しかしながら、そのような対応を行っても、サイバーインシデントの発生確率をゼロにすることはできないため、発生後の対応を助ける仕組みが必要である。
【０００４】
このため、サイバーインシデントが発生してからの対策としては、例えば、ネットワーク上の経路情報に基づき、二次感染に対するリスク推定を行う評価方法などが知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１５−９５１５９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来の手法では、サイバーインシデントにつながりそうな小さな出来事（観測事象）が発生した時点で、どのような攻撃が発生するかを早期に発見することができない場合があるという問題があった。例えば、二次感染に対するリスク推定を行う評価方法では、攻撃の種類及び一次感染端末の指定を受け付けるところから解析が始まっており、ユーザやシステム管理者が、「すでにサイバーインシデントが発生している」ということを意識している段階であるといえる。このため、標的型攻撃など実際の事例では、関係者が気づいたときには被害が拡大し、手遅れになっていることが少なくなかった。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明の推定方法は、推定装置によって実行される推定方法であって、ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力として受け付ける受付工程と、前記受付工程によって受け付けられた機器ＩＤに対応する機器の属性情報を機器情報記憶部から取得し、取得した属性情報と前記受付工程によって受け付けられた観測事象とに基づいて、前記ネットワークにおける機器が攻撃を受けるリスクを推定する推定工程と、前記推定工程によって推定された推定結果を出力する出力工程とを含んだことを特徴とする。
【０００８】
また、本発明の推定装置は、ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力として受け付ける受付部と、前記受付部によって受け付けられた機器ＩＤに対応する機器の属性情報を機器情報記憶部から取得し、取得した属性情報と前記受付部によって受け付けられた観測事象とに基づいて、前記ネットワークにおける機器が攻撃を受けるリスクを推定する推定部と、前記推定部によって推定された推定結果を出力する出力部とを有することを特徴とする。
【０００９】
また、本発明の推定プログラムは、ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力として受け付ける受付ステップと、前記受付ステップによって受け付けられた機器ＩＤに対応する機器の属性情報を機器情報記憶部から取得し、取得した属性情報と前記受付ステップによって受け付けられた観測事象とに基づいて、前記ネットワークにおける機器が攻撃を受けるリスクを推定する推定ステップと、前記推定ステップによって推定された推定結果を出力する出力ステップとをコンピュータに実行させることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、サイバーインシデントにつながりそうな観測事象が発生した時点で、どのような攻撃が発生するかを早期に発見することができるという効果を奏する。
【図面の簡単な説明】
【００１１】
【図１】図１は、第１の実施形態に係る推定装置を含むシステムの構成例を示すブロック図である。
【図２】図２は、インシデント情報記憶部に記憶されるデータの一例を示す図である。
【図３】図３は、属性情報記憶部に記憶されるデータの一例を示す図である。
【図４】図４は、機器情報記憶部に記憶されるデータの一例を示す図である。
【図５】図５は、観測事象情報記憶部に記憶されるデータの一例を示す図である。
【図６】図６は、第１の実施形態に係る推定装置によるリスク推定処理を説明する図である。
【図７】図７は、第１の実施形態に係る推定装置における処理の流れの一例を示すシーケンス図である。
【図８】図８は、観測事象情報記憶部に記憶されるデータの一例を示す図である。
【図９】図９は、状態遷移図の一例を示す図である。
【図１０】図１０は、第２の実施形態に係る推定装置による入力情報なしの場合のリスク推定処理を説明する図である。
【図１１】図１１は、機器情報を検索した結果の一例を示す図である。
【図１２】図１２は、第２の実施形態に係る推定装置による入力情報ありの場合のリスク推定処理を説明する図である。
【図１３】図１３は、推定プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１２】
以下に、本願に係る推定方法、推定装置および推定プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る推定方法、推定装置および推定プログラムが限定されるものではない。
【００１３】
［第１の実施形態］
以下の実施の形態では、第１の実施形態に係る推定装置１０の構成、推定装置１０の処理の流れを順に説明し、最後に第１の実施形態による効果を説明する。
【００１４】
［推定装置の構成］
まず、図１を用いて、本実施形態の推定装置１０を含むシステムの構成例を説明する。図１は、第１の実施形態に係る推定装置を含むシステムの構成例を示すブロック図である。システムは、例えば、図１に示すように、推定装置１０と、複数のユーザ端末２０Ａ〜２０Ｃとを有する。推定装置１０と、ユーザ端末２０とは、インターネット等のネットワークを介して接続される。なお、図１に示す構成は一例にすぎず、具体的な構成や各装置の数は特に限定されない。また、ユーザ端末２０Ａ〜２０Ｃについて、特に区別なく説明する場合には、ユーザ端末２０と記載する。なお、図１に例示するシステムでは、クライアントサーバシステム構成としているが、スタンドアローン構成であってもよい。
【００１５】
推定装置１０は、観測対象のネットワークにおける機器が攻撃を受けるリスクを推定し、推定された攻撃を受けるリスクをユーザ端末２０に出力するサーバ装置である。具体的には、推定装置１０は、ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力としてユーザ端末２０から受け付ける。なお、推定装置１０は、機器ＩＤおよび観測事象の組とインシデントＩＤとを紐付けたインシデント情報を予め登録しておき、インシデントＩＤの入力をユーザ端末２０から受け付けることで、機器ＩＤおよび観測事象を指定できるようにしてもよい。
【００１６】
そして、推定装置１０は、機器ＩＤに対応する機器の属性情報と観測事象とに基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定し、推定された攻撃を受けるリスクをユーザ端末２０に出力する。つまり、推定装置１０は、ある機器に対しどのような観測事象が発生したかという入力情報に基づき、どの機器がどのような攻撃を受けているかを推定し、推定結果をユーザ端末２０に出力する。
【００１７】
ユーザ端末２０は、ＰＣ（Personal  Computer）やスマートフォン等の装置であって、例えば、ネットワークサービスを提供する企業の情報システム部のユーザが使用する装置である。ある機器に対しどのような観測事象が発生したかという入力情報を通知した上で推定装置１０に対してリスク推定を要求し、推定結果を推定装置から受信して、推定結果を表示する。例えば、ユーザ端末２０は、推定結果として、機器が受ける可能性がある攻撃の種別および該攻撃を受ける確率を表示する。
【００１８】
ここで、図１を用いて、推定装置１０の構成を説明する。図１に示すように、この推定装置１０は、通信処理部１１、制御部１２および記憶部１３を有する。以下に推定装置１０が有する各部の処理を説明する。
【００１９】
通信処理部１１は、各種情報に関する通信を制御する。例えば、通信処理部１１は、ネットワークにおける機器を識別する機器ＩＤや該機器において発生した観測事象を入力情報としてユーザ端末２０から受信したり、機器が受ける可能性がある攻撃の種別および該攻撃を受ける確率を推定結果としてユーザ端末２０に送信したりする。
【００２０】
記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、インシデント情報記憶部１３ａ、属性情報記憶部１３ｂ、機器情報記憶部１３ｃおよび観測事象情報記憶部１３ｄを有する。例えば、記憶部１３は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
【００２１】
インシデント情報記憶部１３ａは、機器ＩＤおよび観測事象の組にインシデントＩＤを紐付けたインシデント情報を記憶する。なお、インシデントＩＤと、機器ＩＤおよび観測事象の組とは、ユーザ端末２０によって指定されて登録されるものとする。
【００２２】
例えば、インシデント情報記憶部１３ａは、図２に例示するように、インシデントを一意に識別する「インシデントＩＤ」と、ある観測事象が発生した機器を識別する「対象機器ＩＤ」と、観測事象の内容を示す「観測事象項目」とを対応付けて記憶する。図２は、インシデント情報記憶部に記憶されるデータの一例を示す図である。
【００２３】
属性情報記憶部１３ｂは、機器の種類、ファームウェア、ＯＳ、搭載アプリケーションなど機器のとりうる属性値を属性種別別に定義した属性情報を記憶する。例えば、属性情報記憶部１３ｂは、図３に例示するように、属性情報の種別を示す「属性種別」に対応付けて「属性値」を記憶する。図３の例を挙げて説明すると、属性情報記憶部１３ｂは、例えば、属性種別「機器種別」に対応付けて属性値「サーバ」、「Ｗｅｂサーバ」等を記憶する。また、属性情報記憶部１３ｂは、図３に例示するように、属性種別「ＯＳ種別」に対応付けて属性値「Ｗｉｎｄｏｗｓ（登録商標）  Ｓｅｒｖｅｒ  ２０１６」等を記憶する。なお、属性情報記憶部１３ｂに記憶された情報は、例えば、機器ＩＤに対応する属性種別および属性値を設定する際に参照される情報である。図３は、属性情報記憶部に記憶されるデータの一例を示す図である。
【００２４】
機器情報記憶部１３ｃは、観測対象のネットワークにおける機器がどのような属性を持っているかを示す機器情報を記憶する。例えば、機器情報記憶部１３ｃは、図４に例示するように、機器を一意に識別する「機器ＩＤ」と、「属性種別」と、「属性値」とを対応付けて記憶する。図４の例を挙げて説明すると、機器情報記憶部１３ｃは、例えば、機器ＩＤ「Ｗｅｂサーバ１」に対応付けて、属性種別「機器種別」、属性値「サーバ」、「Ｗｅｂサーバ」を記憶する。これは、Ｗｅｂサーバ１の「機器種別」の属性値が「サーバ」、「Ｗｅｂサーバ」であることを意味する。図４は、機器情報記憶部に記憶されるデータの一例を示す図である。
【００２５】
観測事象情報記憶部１３ｄは、各属性情報に対して攻撃を受けた場合に発生する可能性がある観測事象を定義した観測事象情報を記憶する。具体的には、観測事象情報記憶部１３ｄは、機器において発生した観測事象に対応付けて、機器が受ける可能性がある攻撃の種別と該攻撃を受ける確率とを記憶する。例えば、観測事象情報記憶部１３ｄは、図５に例示するように、機器の属性値を示す「対象属性値」と、機器の属性情報を示す「属性種別」と、攻撃の種別を示す「攻撃種別」と、機器において発生した観測事象の内容を示す「観測事象項目」と、攻撃を受ける確率を示す「確率」とを対応付けて記憶する。図５の例を挙げて説明すると、観測事象情報記憶部１３ｄは、例えば、対象属性値「サーバ」と、属性種別「機器種別」と、攻撃種別「ＤＤｏＳ」と、観測事象項目「ネットワークトラフィックの増大」と、確率「１０％」とを対応付けて記憶する。図５は、観測事象情報記憶部に記憶されるデータの一例を示す図である。
【００２６】
制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、受付部１２ａ、推定部１２ｂおよび出力部１２ｃを有する。ここで、制御部１２は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路やＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）などの集積回路である。
【００２７】
受付部１２ａは、ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力としてユーザ端末２０から受け付ける。例えば、受付部１２ａは、機器ＩＤおよび観測事象の組とインシデントＩＤとを紐付けたインシデント情報を予め登録しておき、インシデントＩＤの入力をユーザ端末２０から受け付けるようにしてもよい。この場合には、受付部１２ａは、機器ＩＤおよび観測事象の組とインシデントＩＤとを紐付けたインシデント情報を、インシデント入力画面が表示されたユーザ端末２０から受け付け、インシデント情報記憶部１３ａに格納する。そして、受付部１２ａは、リスク推定要求に含まれるインシデントＩＤの入力をリスク推定画面が表示されたユーザ端末２０から受け付け、推定部１２ｂに通知する。
【００２８】
推定部１２ｂは、受付部１２ａによって受け付けられた機器ＩＤに対応する機器の属性情報を機器情報記憶部１３ｃから取得し、取得した属性情報と受付部１２ａによって受け付けられた観測事象とに基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定する。例えば、推定部１２ｂは、インシデントＩＤを受付部１２ａから受信した場合には、インシデントＩＤに対応する機器ＩＤおよび観測事象をインシデント情報記憶部１３ａから取得する。そして、推定部１２ｂは、取得した機器ＩＤに対応する機器の属性情報を機器情報記憶部１３ｃから取得し、機器情報記憶部１３ｃから取得した属性情報と受付部１２ａによって受け付けられた観測事象とに対応する攻撃の種別および該攻撃を受ける確率を観測事象情報記憶部１３ｄから取得する。そして、推定部１２ｂは、取得した攻撃の種別および確率を出力部１２ｃに通知する。
【００２９】
出力部１２ｃは、推定部１２ｂによって推定された推定結果である攻撃を受けるリスクを出力する。例えば、出力部１２ｃは、推定部１２ｂによって取得された攻撃の種別および該攻撃を受ける確率を、リスク推定結果としてユーザ端末２０に出力する。
【００３０】
ここで、図６を用いて、第１の実施形態に係る推定装置１０によるリスク推定処理の一例について説明する。図６は、第１の実施形態に係る推定装置によるリスク推定処理を説明する図である。図６の例では、推定装置１０では、入力情報として、機器ＩＤ「Ｗｅｂサーバ１」、観測事象「ネットワークトラフィックの増大」を受け付けたものとする。このような場合には、図６に例示するように、推定装置１０は、例えば、観測事象「ネットワークトラフィックの増大」に合致するレコードを観測事象情報記憶部１３ｄから検索する（図６の観測事象情報Ａ参照）。
【００３１】
続いて、推定装置１０は、機器ＩＤ「Ｗｅｂサーバ１」に合致するレコードを機器情報記憶部１３ｃから検索する。この結果、推定装置１０は、機器ＩＤ「Ｗｅｂサーバ１」に対応する属性情報（属性種別、属性値）として、「機器種別」の「サーバ」および「Ｗｅｂサーバ」と、「ＯＳ種別」の「Ｗｉｎｄｏｗｓ  Ｓｅｒｖｅｒ  ２０１６」と、「ミドルウェア」の「ａｐａｃｈｅ  ｖｅｒ．ｘｘｘ」とを機器情報記憶部１３ｃから取得する（図６の機器情報Ｂ参照）。
【００３２】
そして、推定装置１０は、検索した観測事象情報Ａおよび機器情報Ｂのうち、属性情報（属性種別、属性値）が同一となる観測事象情報Ａのレコードの「攻撃種別」および「確率」を取得する。図６の例では、推定装置１０は、観測事象情報Ａおよび機器情報Ｂには、「機器種別」と「サーバ」のレコードがあるので、観測事象情報Ａの該当レコードの攻撃種別「ＤＤｏＳ」および確率「１０％」を取得する。これにより、推定装置１０は、Ｗｅｂサーバ１に対し、ＤＤｏＳ攻撃を受ける確率が１０％であるという推定結果を得る。なお、ここでは、観測事象情報Ａの該当レコード一つである場合を説明したが、推定装置１０は、該当レコードが複数ある場合である場合には、確率を合算してもよいし、それぞれ出力してもよい。例えば、推定装置１０は、同一攻撃種別が複数ある場合には、確率を合算し、攻撃種別がそれぞれ異なる場合には、それぞれを推定結果として出力するようにしてもよい。
【００３３】
上述したように、推定装置１０は、あるシステムまたはサービスを構成する各機器について、機器の種類、ファームウェア、ＯＳ、搭載アプリケーションなど機器のとりうる属性情報を定義した属性情報と、各機器がどのような属性を持っているかを示す機器情報と、機器または属性に対して攻撃を受けた場合に発生する可能性がある観測事象を定義した観測事象情報を管理する。そして、推定装置１０は、ある機器に対しどのような観測事象が発生したかという入力情報に基づき、観測事象情報と、機器情報から、一致する観測事象項目及び機器の属性を持つ観測事象情報を検索し、どの機器がどのような攻撃を受けているのかを推定する。このように、推定装置１０では、システム上で観測される情報に基づいて、発生した攻撃の種類とその確率を推測することができ、サイバーインシデントの早期発見、早期対応につなげることできる。
【００３４】
［推定装置の処理手順］
次に、図７を用いて、第１の実施形態に係る推定装置１０による処理手順の例を説明する。図７は、第１の実施形態に係る推定装置における処理の流れの一例を示すシーケンス図である。
【００３５】
図７に例示するように、推定装置１０の受付部１２ａは、インシデントＩＤと、機器ＩＤおよび観測事象を含む観測事象リストとを、インシデント入力画面が表示されたユーザ端末２０から受け付け（ステップＳ１０１）、インシデント情報記憶部１３ａに登録する（ステップＳ１０２）。なお、観測事象リストには、機器ＩＤおよび観測事象以外にも、観測事象が観測された日時や入力するユーザの情報等が含まれていてもよい。
【００３６】
そして、受付部１２ａは、リスク推定要求に含まれるインシデントＩＤの入力をリスク推定画面が表示されたユーザ端末２０から受け付け（ステップＳ１０３）、該リスク推定要求を推定部１２ｂに通知する（ステップＳ１０４）。
【００３７】
続いて、推定部１２ｂは、インシデントＩＤを受付部１２ａから受信した場合には、インシデントＩＤに対応する対象機器ＩＤおよび観測事象をインシデント情報記憶部１３ａから取得する（ステップＳ１０５）。そして、推定部１２ｂは、取得した対象機器ＩＤに対応する機器の属性情報を機器情報記憶部１３ｃから取得する（ステップＳ１０６）。
【００３８】
その後、推定部１２ｂは、観測事象情報記憶部１３ｄから、機器情報記憶部１３ｃから取得した属性情報と受付部１２ａによって受け付けられた観測事象とに対応する攻撃の種別および該攻撃を受ける確率を取得する（ステップＳ１０７）。そして、推定部１２ｂは、例えば、同一攻撃種別が複数ある場合には、確率を合算するリスク推定を行う（ステップＳ１０８）。
【００３９】
そして、推定部１２ｂは、リスクの推定結果として、攻撃の種別および確率を出力部１２に通知する（ステップＳ１０９）。出力部１２ｃは、推定部１２ｂから受信した攻撃の種別および該攻撃を受ける確率を、リスク推定結果としてユーザ端末２０に出力する（ステップＳ１１０）。
【００４０】
［第１の実施形態の効果］
第１の実施形態に係る推定装置１０は、観測対象のネットワークにおける機器が攻撃を受けるリスクを推定し、推定された攻撃を受けるリスクをユーザ端末２０に出力するサーバ装置である。具体的には、推定装置１０は、ネットワークにおける機器を識別する機器ＩＤと、該機器において発生した観測事象とを入力としてユーザ端末２０から受け付ける。そして、推定装置１０は、機器ＩＤに対応する機器の属性情報と観測事象とに基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定し、推定された攻撃を受けるリスクをユーザ端末２０に出力する。これにより、推定装置１０は、サイバーインシデントにつながりそうな観測事象が発生した時点で、どのような攻撃が発生するかを早期に発見することが可能である。
【００４１】
［第２の実施形態］
上述した第１の実施形態では、攻撃の種別および該攻撃を受ける確率を観測事象情報記憶部１３ｄから取得し、取得した攻撃の種別および該攻撃を受ける確率を、リスク推定結果としてユーザ端末２０に出力する場合を説明したが、これに限定されるものではない。例えば、推測しようとする攻撃が、観測事象項目に対して、いくつかのステップを踏んだ後、攻撃成功に至るものである場合に対応するために、攻撃に至る一連の状態遷移における状態遷移する確率に基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定するようにしてもよい。
【００４２】
そこで、以下では、第２の実施形態に係る推定装置１０が、例えば、攻撃に至る一連の状態遷移を表したベイジアンネットワークを定義した情報を定義し、状態確率および状態間の状態遷移確率を算出することで、どの機器がどのような攻撃を受けているのかを推定し、状態遷移図及び算出した状態確率を、リスク推定結果として出力する場合について説明する。なお、第１の実施形態に係る通信システムと同様の構成や処理については説明を省略する。
【００４３】
第２の実施形態に係る推定装置１０の観測事象記憶部１３ｄは、機器の属性情報および観測事象に対応付けて状態遷移する確率を記憶する。具体的には、観測事象記憶部１３ｄは、機器または属性に対して攻撃を受けた状態及び、観測事象からその状態に至る過程の各状態と、各状態に対し、機器または機器の属性、攻撃種別、および発生する可能性がある観測事象と、その観測事象が発生した場合に、どの状態にどの確率で遷移するかという遷移情報とを定義した情報を記憶する。
【００４４】
ここで、図８を用いて、観測事象情報記憶部１３ｄに記憶されるデータの一例を説明する。図８は、観測事象情報記憶部に記憶されるデータの一例を示す図である。
【００４５】
例えば、観測事象記憶部１３ｄは、図８に例示するように、状態の名称を示す「状態名」と、属性の種別を示す「属性種別」と、攻撃を受けている可能性のある機器の機器ＩＤまたは属性値を示す「対象属性値／対象機器ＩＤ」と、機器が受けている可能性のある攻撃の種別を示す「攻撃種別」と、該当の状態が含まれる「状態遷移図」と、未調査以外のチェック項目がチェックされた場合に状態の確率を１００％に「する」か「しない」かが定義された「観測事象項目の状態確率への反映」と、状態遷移図の左端の状態の場合に設定されるデフォルトの確率を示す「初期確率」と、遷移先の状態に関する情報を含む「遷移先リスト」とを対応付けて記憶する。
【００４６】
また、観測事象記憶部１３ｄは、「遷移先リスト」として、遷移先の状態の名称を示す「遷移先の状態名」と、他の遷移図に遷移する場合に設定される遷移先の状態が含まれる「遷移先の状態遷移図名」と、遷移先へ状態遷移する確率を算出する方法を示す「遷移確率算出方法」と、遷移確率を計算するための観測事象に関する情報を含む「観測事象リスト」とを記憶する。例えば、図８の例では、観測事象記憶部１３ｄは、「サーブレットコンテナ管理画面に不正アクセス」の遷移先の状態名として「ＡＰサーバに侵入」を記憶し、遷移確率算出方法として「加算」を記憶する。遷移確率算出方法としては、例えば、「加算」または「最大値」のいずれかが設定される。なお、遷移確率算出方法が「加算」である場合には、観測事象項目について「未調査」がＯＮのとき、未調査の確率が遷移確率となり、観測事象項目について「未調査」がＯＦＦのとき、チェックＯＮの確率の総和が遷移確率となる。また、遷移確率算出方法が「最大値」である場合には、観測事象項目について「未調査」がＯＮのとき、未調査の確率が遷移確率となり、観測事象項目について「未調査」がＯＦＦのとき、チェックＯＮの確率のうちの最大値が遷移確率となる。
【００４７】
また、観測事象記憶部１３ｄは、「観測事象リスト」として、観測事象の内容を示す「観測事象項目」と、観測事象の種別（未調査または調査項目）を示す「観測事象種別」と、初期状態のＯＮ・ＯＦＦを示す「初期値」と、チェックＯＮとなった場合の「確率」とを記憶する。例えば、図８の例では、観測事象記憶部１３ｄは、観測事象項目「未調査」、観測事象種別「未調査」、初期値「ＯＮ」および確率「３０％」と、観測事象項目「管理画面を通して攻撃ファイルがアップロードされている」、観測事象種別「調査項目」、初期値「ＯＦＦ」および確率「４０％」とを記憶する。
【００４８】
続いて、図９を用いて、状態遷移図の一例を説明する。図９は、状態遷移図の一例を示す図である。図９に例示するように、状態遷移図では、状態として、「インターネットからの不正アクセス状態」と、「サーブレットコンテナ管理画面に不正アクセス」と、「Ａ社Ｗｅｂサービスに不正入力」と、「ＡＰサーバ１に侵入」とが定義されている。
【００４９】
また、図９の例では、「インターネットからの不正アクセス状態」から「サーブレットコンテナ管理画面に不正アクセス」および「Ａ社Ｗｅｂサービスに不正入力」に遷移する可能性があり、「サーブレットコンテナ管理画面に不正アクセス」および「Ａ社Ｗｅｂサービスに不正入力」から「ＡＰサーバ１に侵入」に遷移する可能性がある。
【００５０】
続いて、第２の実施形態に係る推定装置１０が入力情報からリスク推定する方法について説明する。第２の実施形態に係る推定装置１０の推定部１２ｂは、機器情報記憶部１３ｃから取得した属性情報と受付部１２ａによって受け付けられた観測事象とに対応する状態を観測事象情報記憶部１３ｄから検索し、検索した状態から状態遷移する確率を計算し、該状態遷移する確率に基づいて、ネットワークにおける機器が攻撃を受けるリスクを推定する。
【００５１】
具体的には、推定部１２ｂは、ある機器に対しどのような観測事象が発生したかという入力情報に基づき、観測事象情報と、機器情報から、一致する観測事象項目及び機器または機器の属性を持つ状態を検索し、状態確率および、状態間の状態遷移確率を算出する。
【００５２】
ここで、図１０を用いて、第２の実施形態に係る推定装置１０による入力情報なしの場合のリスク推定処理を説明する。図１０は、第２の実施形態に係る推定装置による入力情報なしの場合のリスク推定処理を説明する図である。図１０に例示するように、推定装置１０は、状態遷移図の左端のスタートの状態「インターネットからの不正アクセス状態」の初期値の確率「１０％」である（図１０の（１）参照）。
【００５３】
そして、推定装置１０は、状態「インターネットからの不正アクセス状態」から状態「サーブレットコンテナ管理画面に不正アクセス」へ遷移するルートである「Ｒｏｕｔｅ１」の遷移確率は未調査の場合「１０％」であるため（図１０の（２）参照）、「０．１」と「０．１」を乗算して状態の確率「１％」を得る（図１０の（３）参照）。また、同様に、推定装置１０は、状態「インターネットからの不正アクセス状態」から状態「Ａ社Ｗｅｂサービスに不正入力」へ遷移するルートである「Ｒｏｕｔｅ２」の遷移確率は未調査の場合「１０％」であるため（図１０の（２）参照）、「０．１」と「０．１」を乗算して状態の確率「１％」を得る（図１０の（３）参照）。
【００５４】
また、推定装置１０は、状態「サーブレットコンテナ管理画面に不正アクセス」および状態「Ａ社Ｗｅｂサービスに不正入力」から状態「ＡＰサーバ１に侵入」へ遷移するルートである「Ｒｏｕｔｅ１」の遷移確率はそれぞれ未調査の場合「３０％」であるため（図１０の（４）参照）、「１−（１−０．０１×０．３）（１−０．０１×０．３）＝０．００５９９１」を計算し、小数点第四位を四捨五入して、状態「ＡＰサーバ１の侵入」の確率「０．６％」を得る（図１０の（５）参照）。そして、推定装置１０は、入力情報なしの計算結果として、図１０に例示する状態遷移図及び算出した状態確率を、リスク推定結果としてユーザ端末２０に出力する。
【００５５】
次に、図１１および図１２を用いて、第２の実施形態に係る推定装置１０による入力情報ありの場合のリスク推定処理を説明する。図１１は、機器情報を検索した結果の一例を示す図である。図１２は、第２の実施形態に係る推定装置による入力情報ありの場合のリスク推定処理を説明する図である。
【００５６】
例えば、推定装置１０は、入力情報として、以下の４件を受け付けたものとする。
・対象機器ＩＤ＝ＡＰサーバ１、観測事象項目＝インターネット上のＩＰアドレスから、自サーバへの管理画面へのアクセスログがある
・対象機器ＩＤ＝ＡＰサーバ１、観測事象項目＝ＦＷおよびＡＰサーバ１で、インターネットから管理画面へアクセスを許可している
・対象機器ＩＤ＝ＡＰサーバ１、観測事象項目＝Ａ社Ｗｅｂサービスの公開フォルダに不正な攻撃ファイルがアップロードされている
・対象機器ＩＤ＝ＡＰサーバ１、観測事象項目＝不正アクセスログがある
【００５７】
推定装置１０は、機器ＩＤ「ＡＰサーバ１」に合致するレコードを機器情報記憶部１３ｃから検索する。この結果、推定装置１０は、図１１に例示するように、機器ＩＤ「ＡＰサーバ１」に対応する属性情報（属性種別、属性値）として、「機器種別」の「サーバ」および「ＡＰサーバ」と、「ＯＳ種別」の「Ｗｉｎｄｏｗｓ  Ｓｅｒｖｅｒ  ２０１６」と、「ミドルウェア」の「ｔｏｍｃａｔ  ｖｅｒ．ｘｘｘ」とを機器情報記憶部１３ｃから取得する（図１１の機器情報Ｂ参照）。
【００５８】
そして、推定装置１０は、例えば、「観測事象項目＝インターネット上のＩＰアドレスから、自サーバへの管理画面へのアクセスログがある」で観測事象情報記憶部１３ｄを検索し、検索されたレコードのうち、入力情報の属性情報（属性種別、属性値）と同一の属性情報の状態として「インターネットからの不正アクセス」を取得する。また、推定装置１０は、同様に、「観測事象項目＝ＦＷおよびＡＰサーバ１で、インターネットから管理画面へアクセスを許可している」で観測事象情報記憶部１３ｄを検索し、検索されたレコードのうち、入力情報の属性情報（属性種別、属性値）と同一の属性情報の状態として、状態「インターネットからの不正アクセス」を取得する。
【００５９】
また、推定装置１０は、「観測事象項目＝Ａ社Ｗｅｂサービスの公開フォルダに不正な攻撃ファイルがアップロードされている」で観測事象情報記憶部１３ｄを検索し、検索されたレコードのうち、入力情報の属性情報（属性種別、属性値）と同一の属性情報の状態として、状態「Ａ社Ｗｅｂサービスに不正入力」を取得する。また、また、推定装置１０は、同様に、「観測事象項目＝不正アクセスログがある」で観測事象情報記憶部１３ｄを検索し、検索されたレコードのうち、入力情報の属性情報（属性種別、属性値）と同一の属性情報の状態として、状態「インターネットからの不正アクセス」を取得する。
【００６０】
続いて、推定装置１０は、図１２に例示するように、未調査以外のチェック項目があるため、状態「インターネットからの不正アクセス状態」の確率「１００％」とする（図１２の（１）参照）。
【００６１】
そして、推定装置１０は、状態「インターネットからの不正アクセス状態」から状態「サーブレットコンテナ管理画面に不正アクセス」へ遷移するルートである「Ｒｏｕｔｅ１」の遷移確率は「２０％」、「３０％」のチェックがされており、計算方法が加算であるため、「０．２」と「０．３を加算し（図１２の（２）参照）、「１」と「０．５」を乗算して状態の確率「５０％」を得る（図１２の（３）参照）。
【００６２】
また、同様に、推定装置１０は、状態「インターネットからの不正アクセス状態」から状態「Ａ社Ｗｅｂサービスに不正入力」へ遷移するルートである「Ｒｏｕｔｅ２」の遷移確率は未調査の場合「１０％」となる（図１２の（２）参照）。また、状態「Ａ社Ｗｅｂサービスに不正入力」については、未調査以外のチェック項目があるため、確率「１００％」とする（図１２の（３）参照）。
【００６３】
そして、推定装置１０は、状態「サーブレットコンテナ管理画面に不正アクセス」から状態「ＡＰサーバ１に侵入」へ遷移するルートである「Ｒｏｕｔｅ１」の遷移確率については、遷移確率が未調査のため「３０％」とする（図１２の（４）参照）。また、推定装置１０は、状態「Ａ社Ｗｅｂサービスに不正入力」から状態「ＡＰサーバ１に侵入」へ遷移するルートである「Ｒｏｕｔｅ１」の遷移確率については、「Ｒｏｕｔｅ１」の遷移確率は「５０％」、「４０％」のチェックがされており、計算方法が最大値であるため、遷移確率は「５０％」とする（図１２の（４）参照）。
【００６４】
そして、推定装置１０は、「１−（１−０．５×０．３）（１−１×０．５）＝０．００５７５」を計算し、状態「ＡＰサーバ１の侵入」の確率「５７．５％」を得る（図１２の（５）参照）。そして、推定装置１０は、入力情報なしの計算結果として、図１０に例示する状態遷移図及び算出した状態確率を、リスク推定結果としてユーザ端末２０に出力する。
【００６５】
上述したように、第２の実施形態に係る推定装置１０は、ある機器に対しどのような観測事象が発生したかという入力情報に基づき、観測事象情報と、機器情報から、一致する観測事象項目及び機器または機器の属性を持つ状態を検索し、状態確率および、状態間の状態遷移確率を算出することで、どの機器がどのような攻撃を受けているのかを推定し、状態遷移図及び算出した状態確率を、リスク推定結果として提示することが可能である。
【００６６】
（システム構成等）
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００６７】
また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００６８】
（プログラム）
また、上記実施形態において説明した推定装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る推定装置１０が実行する処理をコンピュータが実行可能な言語で記述した推定プログラムを作成することもできる。この場合、コンピュータが推定プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる推定プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された推定プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。
【００６９】
図１３は、推定プログラムを実行するコンピュータを示す図である。図１３に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【００７０】
メモリ１０１０は、図１３に例示するように、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１３に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１３に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図１３に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１３に例示するように、例えばディスプレイ１１３０に接続される。
【００７１】
ここで、図１３に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の、推定プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。
【００７２】
また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
【００７３】
なお、推定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、推定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００７４】
１０  推定装置
１１  通信処理部
１２  制御部
１２ａ  受付部
１２ｂ  推定部
１２ｃ  出力部
１３  記憶部
１３ａ  インシデント情報記憶部
１３ｂ  属性情報記憶部
１３ｃ  機器情報記憶部
１３ｄ  観測事象情報記憶部
２０  ユーザ端末
【図１】
2020038581.tif 000003
【図２】
2020038581.tif 000004
【図３】
2020038581.tif 000005
【図４】
2020038581.tif 000006
【図５】
2020038581.tif 000007
【図６】
2020038581.tif 000008
【図７】
2020038581.tif 000009
【図８】
2020038581.tif 000010
【図９】
2020038581.tif 000011
【図１０】
2020038581.tif 000012
【図１１】
2020038581.tif 000013
【図１２】
2020038581.tif 000014
【図１３】
2020038581.tif 000015