(57)【要約】【課題】サイバー攻撃等により発生した事象がネットワーク内の他の端末へ及ぼす影響を推定する。【解決手段】感染確率算出装置１０は、ネットワーク内の端末のうち、マルウェアに感染した第１の端末の情報を受け付ける。そして、感染確率算出装置１０は、ネットワーク内の端末のうち、マルウェアの感染源である可能性のある第２の端末それぞれのマルウェアの感染の確率と、マルウェアに感染した第１の端末の情報と、ネットワーク構成定義情報１２２とに基づき、第２の端末それぞれのマルウェアの感染の事後確率を算出する。その後、感染確率算出装置１０は、算出された第２の端末それぞれのマルウェアの感染の事後確率と、ネットワーク構成定義情報１２２とに基づき、ネットワーク内の端末のうち、第１の端末および第２の端末以外の端末である第３の端末それぞれのマルウェアの感染の確率を算出し、算出結果を出力する。【選択図】図２
2020071645.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク内の端末のうち、マルウェアに感染した端末である第１の端末の識別情報を受け付ける入力部と、
前記ネットワーク内の端末のうち、マルウェアの感染源である可能性のある第２の端末それぞれのマルウェアの感染の確率と、前記マルウェアに感染した第１の端末の識別情報と、前記ネットワーク内の端末の構成情報とに基づき、前記第２の端末それぞれのマルウェアの感染の事後確率を算出する第１の感染確率算出部と、
算出された前記第２の端末それぞれのマルウェアの感染の事後確率と、前記ネットワーク内の端末の構成情報とに基づき、前記ネットワーク内の端末のうち、前記第１の端末および前記第２の端末以外の端末である第３の端末それぞれのマルウェアの感染の確率を算出する第２の感染確率算出部と、
前記第３の端末それぞれのマルウェアの感染の確率の算出結果を出力する出力部と
を備えることを特徴とする感染確率算出装置。
【請求項２】
前記第１の感染確率算出部は、
前記第２の端末それぞれのマルウェアの感染確率ｐｙｉと、前記マルウェアに感染した第１の端末Ａの識別情報と、前記ネットワーク内の端末の構成情報とに基づき、
前記第２の端末のマルウェアの感染の事後確率ｐ´ｙｊを以下の式（４）に基づき算出し、
【数１】
2020071645.tif 000006
前記第２の感染確率算出部は、
算出された前記第２の端末それぞれのマルウェアの感染の事後確率ｐ´ｙｉと、前記ネットワークの構成情報とに基づき、前記第３の端末である端末Ｘのマルウェアの感染の確率ｐｅＸを以下の式（５）に基づき算出すること
【数２】
2020071645.tif 000007
を特徴とする請求項１に記載の感染確率算出装置。
【請求項３】
感染確率算出装置により実行される感染確率算出方法であって、
ネットワーク内の端末のうち、マルウェアに感染した端末である第１の端末の識別情報を受け付ける入力ステップと、
前記ネットワーク内の端末のうち、マルウェアの感染源である可能性のある第２の端末それぞれのマルウェアの感染の確率と、前記マルウェアに感染した第１の端末の識別情報と、前記ネットワーク内の端末の構成情報とに基づき、前記第２の端末それぞれのマルウェアの感染の事後確率を算出する第１の感染確率算出ステップと、
算出された前記第２の端末それぞれのマルウェアの感染の事後確率と、前記ネットワーク内の端末の構成情報とに基づき、前記ネットワーク内の端末のうち、前記第１の端末および前記第２の端末以外の端末である第３の端末それぞれのマルウェアの感染の確率を算出する第２の感染確率算出ステップと、
前記第３の端末それぞれのマルウェアの感染の確率の算出結果を出力する出力ステップと
を含んだことを特徴とする感染確率算出方法。
【請求項４】
ネットワーク内の端末のうち、マルウェアに感染した端末である第１の端末の識別情報を受け付ける入力ステップと、
前記ネットワーク内の端末のうち、マルウェアの感染源である可能性のある第２の端末それぞれのマルウェアの感染の確率と、前記マルウェアに感染した第１の端末の識別情報と、前記ネットワーク内の端末の構成情報とに基づき、前記第２の端末それぞれのマルウェアの感染の事後確率を算出する第１の感染確率算出ステップと、
算出された前記第２の端末それぞれのマルウェアの感染の事後確率と、前記ネットワーク内の端末の構成情報とに基づき、前記ネットワーク内の端末のうち、前記第１の端末および前記第２の端末以外の端末である第３の端末それぞれのマルウェアの感染の確率を算出する第２の感染確率算出ステップと、
前記第３の端末それぞれのマルウェアの感染の確率の算出結果を出力する出力ステップと
をコンピュータに実行させることを特徴とする感染確率算出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、感染確率算出装置、感染確率算出方法、および、感染確率算出プログラムに関する。
【背景技術】
【０００２】
従来、サイバー攻撃等による事象発生前に、セキュリティ対策が必要な部分をレコメンドする技術が存在していた（特許文献１等）。ここで、サイバー攻撃等により発生した事象がネットワーク内の他の端末に影響を及ぼすことがある。よって、サイバー攻撃等の発生後にセキュリティ対策を行う場合、サイバー攻撃等により発生した事象がネットワーク内の他の端末へ及ぼす影響を考慮し、セキュリティ対策を決定することが重要である。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１６−１４３２９９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、従来、サイバー攻撃等により発生した事象がネットワーク内の他の端末へ及ぼす影響を推定する技術は提案されていなかった。そのため、サイバー攻撃等により発生した事象がネットワーク内の他の端末へ及ぼす影響を考慮してセキュリティ対策を決定することはできなかった。そこで、本発明は、前記した問題を解決し、サイバー攻撃等により発生した事象がネットワーク内の他の端末へ及ぼす影響を推定することを課題とする。
【課題を解決するための手段】
【０００５】
前記した課題を解決するため、本発明は、ネットワーク内の端末のうち、マルウェアに感染した端末である第１の端末の識別情報を受け付ける入力部と、前記ネットワーク内の端末のうち、マルウェアの感染源である可能性のある第２の端末それぞれのマルウェアの感染の確率と、前記マルウェアに感染した第１の端末の識別情報と、前記ネットワーク内の端末の構成情報とに基づき、前記第２の端末それぞれのマルウェアの感染の事後確率を算出する第１の感染確率算出部と、算出された前記第２の端末それぞれのマルウェアの感染の事後確率と、前記ネットワーク内の端末の構成情報とに基づき、前記ネットワーク内の端末のうち、前記第１の端末および前記第２の端末以外の端末である第３の端末それぞれのマルウェアの感染の確率を算出する第２の感染確率算出部と、前記第３の端末それぞれのマルウェアの感染の確率の算出結果を出力する出力部とを備えることを特徴とする。
【発明の効果】
【０００６】
本発明によれば、サイバー攻撃等により発生した端末のマルウェアの感染等により、ネットワーク内の他の端末がどの程度マルウェアに感染しているかの確率を算出することができる。その結果、サイバー攻撃等により発生した事象がネットワーク内の他の端末へ及ぼす影響を推定することができる。
【図面の簡単な説明】
【０００７】
【図１】図１は、本実施形態の感染確率算出装置によるマルウェアの感染の確率の算出の概要を説明する図である。
【図２】図２は、本実施形態の感染確率算出装置の構成例を示す図である。
【図３】図３は、図２の感染確率算出装置の処理手順の例を示すフローチャートである。
【図４】図４は、感染確率算出プログラムを実行するコンピュータの一例を示す図である。
【発明を実施するための形態】
【０００８】
［概要］
以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。まず、図１を用いて、本実施形態における、ネットワーク内の端末のマルウェアの感染の確率（感染確率）の算出の概要を説明する。
【０００９】
ここでは、ネットワーク内に端末Ａ，１〜ｎ，Ｘが配置される場合を例に説明する。なお、端末Ａはマルウェアの感染が確定している端末（第１の端末）であり、端末ｊ（ｊ＝１〜ｎ）は、マルウェアの感染源である可能性のある端末（第２の端末）であり、端末Ｘは、マルウェアの感染確率の算出対象となる端末（第３の端末）である。本実施形態の感染確率算出装置は、例えば、上記の端末Ａがマルウェアに感染した旨の情報（感染確定情報）と、端末ｊ（ｊ＝１〜ｎ）のマルウェアの感染確率（ｐｙｊ）とに基づき、端末Ｘのマルウェアの感染確率ｐｅＸを算出する。
【００１０】
なお、端末ｊ（ｊ＝１〜ｎ）のマルウェアの感染確率（ｐｙｊ）は予め分かっているものとする。以下、端末ｊ（ｊ＝１〜ｎ）を、適宜、初期感染端末と呼ぶ。
【００１１】
ここで、感染確率算出装置が、端末Ａの感染確定情報の入力を受け付けると（Ｓ１）、Ｓ１で入力された情報を用いて、端末ｊ（ｊ＝１〜ｎ）の事後感染確率（マルウェアの感染の事後確率）ｐ´ｙｊを算出する（Ｓ２）。つまり、感染確率算出装置は、Ｓ１で入力された情報（端末Ａが感染した旨の情報）と、端末ｊ（ｊ＝１〜ｎ）の感染確率ｐｙｊと、端末Ａと端末ｊとの間を中継する装置の数（ＶＡｊ）とに基づき、端末ｊ（ｊ＝１〜ｎ）の事後感染確率ｐ´ｙｊを算出する。その後、感染確率算出装置は、Ｓ２で算出した端末ｊ（ｊ＝１〜ｎ）の事後感染確率（ｐ´ｙｊ）を用いて端末Ｘの感染確率ｐｅＸを算出する（Ｓ３）。
【００１２】
つまり、感染確率算出装置は、マルウェアの感染が確定している端末Ａの情報に基づき、マルウェアの感染源である可能性のある端末ｊ（初期感染端末）の事後感染確率を算出する。その後、感染確率算出装置は、算出した初期感染端末の事後感染確率を用いて、ネットワーク内の他の端末群（例えば、端末Ｘ）の感染確率を算出する。これにより、感染確率算出装置は、端末のマルウェアの感染により、ネットワーク内の他の端末群にどの程度マルウェア感染が広まる可能性があるかを算出することができる。
【００１３】
［構成］
次に、図２を用いて感染確率算出装置１０の構成例を説明する。感染確率算出装置１０は、例えば、入出力部１１と、記憶部１２と、制御部１３とを備える。
【００１４】
入出力部１１は、各種情報の入出力を司る。例えば、入出力部１１は、感染確率算出装置１０の利用者端末からネットワーク経由で、マルウェアに感染した端末の識別情報等の入力を受け付ける。
【００１５】
記憶部１２は、制御部１３が各端末の感染確率を算出する際に参照する各種情報を記憶する。記憶部１２は、感染確率定義情報１２１と、ネットワーク構成定義情報（ネットワーク内の端末の構成情報）１２２とを記憶する。
【００１６】
感染確率定義情報１２１は、制御部１３が各端末の感染確率を算出する際に用いる情報である。感染確率定義情報１２１は、例えば、初期感染端末それぞれの感染確率の値のほか、初期感染端末それぞれの事後感染確率の算出に用いる計算式、ネットワーク内の各端末の感染確率の算出に用いる計算式等を示した情報である。
【００１７】
ネットワーク構成定義情報１２２は、ネットワーク内の各端末の構成情報であり、例えば、ネットワークを構成する端末それぞれがどの端末、ネットワーク装置、セキュリティ装置等に接続しているかを示した情報である。
【００１８】
制御部１３は、感染確率算出装置１０全体の制御を司る。制御部１３は、感染情報入力部（入力部）１３１と、第１の感染確率算出部１３２と、第２の感染確率算出部１３３と、結果通知部（出力部）１３４とを備える。
【００１９】
感染情報入力部１３１は、マルウェアに感染した端末（第１の端末）の情報の入力を受け付ける。
【００２０】
第１の感染確率算出部１３２は、感染情報入力部１３１で受け付けたマルウェアに感染した端末の情報と、ネットワーク構成定義情報１２２と、感染確率定義情報１２１に示される初期感染端末それぞれのマルウェアの感染確率とに基づき、初期感染端末それぞれのマルウェアの事後感染確率を算出する。
【００２１】
例えば、第１の感染確率算出部１３２は、ベイズ推定を適用し、初期感染端末（端末ｊ）の事後感染確率を算出する。なお、端末Ａと端末Ｂとが通信を行う場合に中継する装置の数をＶＡＢとした場合において、端末Ａがマルウェアに感染したときの端末Ｂの感染確率は、以下の式（１）により算出できるものとする。式（１）におけるｐｙＡは、端末Ａの感染確率である。
【００２２】
【数１】
2020071645.tif 000003
【００２３】
上記の前提のもと、第１の感染確率算出部１３２は、ベイズ推定を適用し、マルウェアに感染した端末（端末Ａ）の情報に基づき、端末ｊ（ｊ＝１〜ｎ）の事後感染確率ｐ´ｙｊを以下の式（２）により算出する。
【００２４】
【数２】
2020071645.tif 000004
【００２５】
次に、第２の感染確率算出部１３３は、ネットワーク構成定義情報１２２と、第１の感染確率算出部１３２により算出された初期感染端末それぞれの事後感染確率とに基づき、ネットワーク内の他の端末（ネットワーク内において感染が確定している端末および初期感染端末以外の端末）それぞれの感染確率を算出する。例えば、第２の感染確率算出部１３３は、以下の式（３）に基づき、ネットワーク内の他の端末（第３の端末）である端末Ｘの感染確率ｐｅＸを算出する。
【００２６】
【数３】
2020071645.tif 000005
【００２７】
結果通知部１３４は、第２の感染確率算出部１３３により算出された端末それぞれの感染確率の算出結果を出力する。例えば、結果通知部１３４は、第２の感染確率算出部１３３により算出された第３の端末それぞれの感染確率の算出結果をネットワーク経由で利用者端末（図２参照）へ出力する。
【００２８】
［処理手順］
次に、図３を用いて感染確率算出装置１０の処理手順の例を説明する。まず、感染確率算出装置１０の感染情報入力部１３１は、マルウェア感染に関する事象の入力（例えば、マルウェアに感染した端末の識別情報の入力）を受け付ける（Ｓ１１）。その後、第１の感染確率算出部１３２は、Ｓ１１で入力された事象から、初期感染端末それぞれの事後感染確率を算出する（Ｓ１２）。次に、第２の感染確率算出部１３３は、Ｓ１２で算出された初期感染端末それぞれの事後感染確率を用いて、ネットワーク内の他の端末それぞれの感染確率を算出する（Ｓ１３）。そして、結果通知部１３４は、Ｓ１３で算出された各端末の感染確率を通知する（Ｓ１４）。
【００２９】
このような感染確率算出装置１０によれば、サイバー攻撃等により端末のマルウェアの感染が発生した場合における、ネットワーク内の他の端末それぞれの感染確率を算出（推定）することができる。その結果、感染確率算出装置１０の利用者は、サイバー攻撃等により発生した事象がネットワーク内の他の端末へ及ぼす影響を推定することができる。
【００３０】
［プログラム］
また、上記の実施形態で述べた感染確率算出装置１０の機能を実現するプログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実装できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記のプログラムを情報処理装置に実行させることにより、情報処理装置を感染確率算出装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータ、ラック搭載型のサーバコンピュータ等が含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistant）等がその範疇に含まれる。また、感染確率算出装置１０を、クラウドサーバに実装してもよい。
【００３１】
図４を用いて、上記のプログラム（感染確率算出プログラム）を実行するコンピュータの一例を説明する。図４に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００３２】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
【００３３】
ここで、図４に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。前記した実施形態で説明した各種データや情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
【００３４】
そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００３５】
なお、上記の感染確率算出プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、上記のプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００３６】
１０  感染確率算出装置
１１  入出力部
１２  記憶部
１３  制御部
１２１  感染確率定義情報
１２２  ネットワーク構成定義情報
１３１  感染情報入力部
１３２  第１の感染確率算出部
１３３  第２の感染確率算出部
１３４  結果通知部
【図１】
2020071645.tif 000008
【図２】
2020071645.tif 000009
【図３】
2020071645.tif 000010
【図４】
2020071645.tif 000011