(57)【要約】  特定装置（１０）は、ネットワーク内への不正侵入または端末（５０）の感染に関する活動を検知するセキュリティ装置２０から検知情報を受信し、該検知情報に含まれる端末（５０）の情報および該端末（５０）の活動内容から当該端末（５０）の状態を特定する。そして、特定装置（１０）は、状態特定部（１１）によって端末（５０）の状態がマルウェアに感染した状態であると特定された場合には、構成情報記憶装置（３０）によって記憶された接続情報に基づいて、検知情報に含まれる端末（５０）の活動内容に至るまでに感染した疑いがある端末（５０）を特定し、感染した端末（５０）が今後不正侵入または端末の感染に用いる可能性がある経路上に位置する端末（５０）を感染する可能性がある感染端末の候補と特定する。
2017061469.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク内の端末に関する情報を記憶する構成情報記憶装置と、前記端末の状態を特定する特定装置とを有する特定システムであって、
前記構成情報記憶装置は、前記ネットワーク内における端末同士の接続関係を示す接続情報を記憶し、
前記特定装置は、
前記ネットワーク内への不正侵入または端末の感染に関する活動を検知するセキュリティ装置から検知情報を受信し、該検知情報に含まれる端末の情報および該端末の活動内容から当該端末の状態を特定する状態特定部と、
前記状態特定部によって前記端末の状態がマルウェアに感染した状態であると特定された場合には、前記構成情報記憶装置によって記憶された接続情報に基づいて、前記検知情報に含まれる端末の活動内容に至るまでに感染した疑いがある端末を特定し、感染した端末が今後不正侵入または端末の感染に用いる可能性がある経路上に位置する端末を感染する可能性がある感染端末の候補と特定する感染特定部と
を有することを特徴とする特定システム。
【請求項２】
前記状態特定部は、前記検知情報が通信に関する情報である場合には、該通信の送信元アドレスおよび送信先アドレスに対応する端末の状態を特定し、前記検知情報が端末に関する情報である場合には、該端末の状態を特定することを特徴とする請求項１に記載の特定システム。
【請求項３】
前記構成情報記憶装置は、前記ネットワーク内の端末のアドレス情報、前記状態特定部によって特定された端末の状態を示す端末状態情報、前記感染特定部によって特定された感染の疑いがある端末および感染端末の候補を記憶することを特徴とする請求項１または２に記載の特定システム。
【請求項４】
前記感染特定部は、前記状態特定部によって特定された感染端末の感染経路となりうる通信経路に含まれる端末を感染の疑いがある端末と特定し、前記感染経路となりうる通信経路の数と、過去の端末の状態とに基づいて、感染の疑いがある各端末について、感染の疑いの度合いを示す数値を算出することを特徴とする請求項１または２に記載の特定システム。
【請求項５】
前記感染特定部は、前記状態特定部によって特定された感染端末を起点に、前記接続情報を用いて、前記感染端末からの感染が可能である端末を感染する可能性がある感染端末の候補と特定することを特徴とする請求項１または２に記載の特定システム。
【請求項６】
前記特定システムは、さらに攻撃対処装置を有し、
前記攻撃対処装置は、前記状態特定部によって特定された感染端末と、前記感染特定部によって特定された感染の疑いがある端末のうち感染の疑いが高い端末とに対して、通信の遮断、通信の監視または通信の制限を行うことを特徴とする請求項１または２に記載の特定システム。
【請求項７】
前記攻撃対処装置は、前記端末の感染の疑いの度合いを示す感染疑いスコアが第１の閾値を超えた場合は、当該端末の通信を遮断し、第２の閾値を超えた場合は、当該端末の通信監視および通信制限を行うことを特徴とする請求項６に記載の特定システム。
【請求項８】
複数の端末を含むネットワーク内への不正侵入または端末の感染に関する活動を検知するセキュリティ装置から検知に関する検知情報を受信し、該検知情報に含まれる端末の情報および該端末の活動内容から当該端末の状態を特定する状態特定部と、
前記状態特定部によって前記端末の状態がマルウェアに感染した状態であると特定された場合には、ネットワーク内の端末同士の接続関係を示す接続情報に基づいて、前記検知情報に含まれる端末の活動内容に至るまでに感染した疑いがある端末を特定し、感染した端末が今後不正侵入または端末の感染に用いる可能性がある経路上に位置する端末を感染する可能性がある感染端末の候補と特定する感染特定部と
を有することを特徴とする特定装置。
【請求項９】
特定装置によって実行される特定方法であって、
複数の端末を含むネットワーク内への不正侵入または端末の感染に関する活動を検知するセキュリティ装置から検知に関する検知情報を受信し、該検知情報に含まれる端末の情報および該端末の活動内容から当該端末の状態を特定する状態特定工程と、
前記状態特定工程によって前記端末の状態がマルウェアに感染した状態であると特定された場合には、ネットワーク内の端末同士の接続関係を示す接続情報に基づいて、前記検知情報に含まれる端末の活動内容に至るまでに感染した疑いがある端末を特定し、感染した端末が今後不正侵入または端末の感染に用いる可能性がある経路上に位置する端末を感染する可能性がある感染端末の候補と特定する感染特定工程と
を含んだことを特徴とする特定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特定システム、特定装置および特定方法に関する。
【背景技術】
【０００２】
従来、マルウェアと呼ばれる、コンピュータウィルス、スパイウェア、ボット等の不正かつ有害な動作を行う意図で作成された悪意のソフトウェアやプログラムコード等の不正なソフトウェアの存在が知られている。【０００３】
例えば、このようなマルウェアによる標的型攻撃やＡＰＴ（Advanced  Persistent  Threat）攻撃の伝播経路候補を算出するための技術として、Attack  Graphが存在する。Attack  Graphは、ネットワークシステム構成、端末のＯＳ・アプリケーション情報を収集し、外部攻撃者の侵入経路候補を静的に算出する事で、ネットワークの脅威を評価する技術である。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】Subil  Abraham,  Suku  Nair,  “A  Predictive  Framework  for  Cyber  Security  Analytics  using  Attack  Graphs”,  IJCNC  2015.
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来の技術では、感染の疑いがある端末や今後感染する可能性がある感染端末の候補を適切に特定することができないという課題があった。例えば、標的型攻撃やＡＰＴ攻撃では、不正侵入されたもしくはマルウェアに感染した端末を介して、同一ネットワークシステム内の複数の端末への侵入または感染を拡大するという特徴があり、セキュリティ装置の検知した感染端末に対して、遮断等の対処を行っても、検知されていない他の感染端末が存在した場合、当該端末を介し、攻撃が継続される。このような場合に、従来の技術では、検知した端末への経路上にある感染の疑いがある端末や今後感染する可能性がある感染端末の候補を適切に特定することができなかった。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、本発明の特定システムは、ネットワーク内の端末に関する情報を記憶する構成情報記憶装置と、前記端末の状態を特定する特定装置とを有する特定システムであって、前記構成情報記憶装置は、前記ネットワーク内における端末同士の接続関係を示す接続情報を記憶し、前記特定装置は、前記ネットワーク内への不正侵入または端末の感染に関する活動を検知するセキュリティ装置から検知情報を受信し、該検知情報に含まれる端末の情報および該端末の活動内容から当該端末の状態を特定する状態特定部と、前記状態特定部によって前記端末の状態がマルウェアに感染した状態であると特定された場合には、前記構成情報記憶装置によって記憶された接続情報に基づいて、前記検知情報に含まれる端末の活動内容に至るまでに感染した疑いがある端末を特定し、感染した端末が今後不正侵入または端末の感染に用いる可能性がある経路上に位置する端末を感染する可能性がある感染端末の候補と特定する感染特定部とを有することを特徴とする。【０００７】
また、本発明の特定装置は、複数の端末を含むネットワーク内への不正侵入または端末の感染に関する活動を検知するセキュリティ装置から検知に関する検知情報を受信し、該検知情報に含まれる端末の情報および該端末の活動内容から当該端末の状態を特定する状態特定部と、前記状態特定部によって前記端末の状態がマルウェアに感染した状態であると特定された場合には、ネットワーク内の端末同士の接続関係を示す接続情報に基づいて、前記検知情報に含まれる端末の活動内容に至るまでに感染した疑いがある端末を特定し、感染した端末が今後不正侵入または端末の感染に用いる可能性がある経路上に位置する端末を感染する可能性がある感染端末の候補と特定する感染特定部とを有することを特徴とする。【０００８】
また、本発明の特定方法は、特定装置によって実行される特定方法であって、複数の端末を含むネットワーク内への不正侵入または端末の感染に関する活動を検知するセキュリティ装置から検知に関する検知情報を受信し、該検知情報に含まれる端末の情報および該端末の活動内容から当該端末の状態を特定する状態特定工程と、前記状態特定工程によって前記端末の状態がマルウェアに感染した状態であると特定された場合には、ネットワーク内の端末同士の接続関係を示す接続情報に基づいて、前記検知情報に含まれる端末の活動内容に至るまでに感染した疑いがある端末を特定し、感染した端末が今後不正侵入または端末の感染に用いる可能性がある経路上に位置する端末を感染する可能性がある感染端末の候補と特定する感染特定工程とを含んだことを特徴とする。
【発明の効果】
【０００９】
本発明によれば、感染の疑いがある端末や今後感染する可能性がある感染端末の候補を適切に特定することが可能であるという効果を奏する。
【図面の簡単な説明】
【００１０】
【図１】図１は、第一の実施の形態に係る特定システムの構成の一例を示す図である。
【図２】図２は、第一の実施の形態に係る構成情報記憶装置が記憶する端末の接続情報の一例を示す図である。
【図３】図３は、第一の実施の形態に係る構成情報記憶装置が記憶する端末の状態情報の一例を示す図である。
【図４】図４は、第一の実施の形態に係る特定装置において端末の状態を特定する処理を説明する図である。
【図５】図５は、第一の実施の形態に係る特定装置において感染の疑いがある端末および感染端末の候補を特定する処理を説明する図である。
【図６】図６は、第一の実施の形態に係る攻撃対処装置において感染が確定した端末に対する対処を説明する図である。
【図７】図７は、第一の実施の形態に係る特定装置において感染の疑いがある端末および感染端末の候補を特定する処理を説明する図である。
【図８】図８は、第一の実施の形態に係る攻撃対処装置において感染の可能性が高い端末に対する対処を説明する図である。
【図９】図９は、第一の実施の形態に係る特定装置の処理の流れを示すフローチャートである。
【図１０】図１０は、第一の実施の形態に係る特定システムの処理の流れを示すシーケンス図である。
【図１１】図１１は、特定プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１１】
以下に、本願に係る特定システム、特定装置および特定方法の実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本願に係る特定システム、特定装置および特定方法が限定されるものではない。
【００１２】
［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係る特定システムの構成、特定装置および特定システムの処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。
【００１３】
［特定システムの構成］
図１は、第一の実施の形態に係る特定システムの構成の一例を示す図である。第一の実施の形態に係る特定システム１は、感染の疑いがある端末や今後感染する可能性のある端末の候補を特定する特定装置１０、通信を監視するセキュリティ装置２０、ネットワーク内の端末５０Ａ〜５０Ｅに関する情報を記憶する構成情報記憶装置３０、通信の監視や通信の制限を行う攻撃対処装置４０、複数の端末５０Ａ〜５０Ｅ、ファイヤーウォール、ルーター、スイッチ等のＮＷ（Network）機器６０、ネットワークサービスを提供するメールサーバ７０を有する。
【００１４】
また、ＮＷ機器６０およびメールサーバ７０は、インターネット８０と接続されている。また、複数の端末５０Ａ〜５０Ｅを含むネットワークは、ファイヤーウォールのＡＣＬ（Access  Control  List）等を用いて業務遂行に必要な通信のみを許可しているものとする。図１では、ファイヤーウォールにより許可されている通信および、サービスの接続性（メール、ＨＴＴＰ  Ｐｒｏｘｙ、認証システム等）の論理的通信を機器接続の矢印として示す。なお、図１に示す各装置や機能の数は、あくまで一例であり、これに限られるものではない。また、複数の端末５０Ａ〜５０Ｅについて、特に区別なく説明する場合には、適宜端末５０と記載する。
【００１５】
セキュリティ装置２０は、ネットワーク内における各端末５０Ａ〜５０ＥやＮＷ機器６０の通信を監視し、不正通信等を検知した場合には、検知情報を特定装置１０に送信する。検知情報には、不正通信を行った端末５０の情報や端末５０の活動内容等が含まれている。
【００１６】
構成情報記憶装置３０は、ネットワーク内における端末同士の接続関係を示す接続情報を記憶する。例えば、構成情報記憶装置３０は、図２に例示するように、端末の名称を示す「端末名」と、端末のＩＰアドレスを示す「ＩＰアドレス」と端末のＭＡＣアドレスを示す「ＭＡＣアドレス」と端末同士の接続関係を示す「接続情報」とを対応付けて記憶する。
【００１７】
図２の例を挙げて説明すると、構成情報記憶装置３０は、端末名「端末１」とＩＰアドレス「１０．１．１．１」とＭＡＣアドレス「７０：５８：１２：２７：Ｂ７：１７」と接続情報「メールサーバ→端末１、端末１→端末３」とを対応付けて記憶する。これは、端末１のＩＰアドレスが「１０．１．１．１」であり、ＭＡＣアドレス「７０：５８：１２：２７：Ｂ７：１７」であって、メールサーバ７０と端末３と接続関係にあることを意味する。
【００１８】
また、構成情報記憶装置３０は、後述する状態特定部１１によって特定された端末５０の状態を示す端末の状態情報、後述する感染特定部１２によって特定された感染の疑いがある端末および感染端末の候補を記憶する。例えば、構成情報記憶装置３０は、図３に例示するように、端末の名称を示す「端末名」と、端末の状態を示す「端末状態」と、感染の疑いの度合いを示す「感染疑いスコア」と、感染するリスクの度合いを示す「感染リスクスコア」とを対応付けて記憶する。
【００１９】
ここで、端末状態には、「感染疑い」、「感染」、「非感染」、「感染拡大候補」、「被攻撃」がある。「感染疑い」は、感染の疑いがある状態である。「感染」は、感染が確定した状態である。「非感染」は、感染していない状態である。「感染拡大候補」は、今後感染する可能性がある状態である。「被攻撃」は、感染した端末等から攻撃を受けた状態である。なお、感染疑いスコアは、数値が高いほど感染の疑いが強く、また、感染リスクスコアは、数値が高いほど今後感染する可能性が高いものとする。
【００２０】
図３の例を挙げて説明すると、構成情報記憶装置３０は、端末名「端末１」と端末状態「感染疑い」と感染疑いスコア「０．３３」と感染リスクスコア「０．１」とを対応付けて記憶する。これは、端末１の現在の状態が感染の疑いがある状態であり、感染疑いスコアが「０．３３」であり、感染リスクスコアが「０．１」であることを意味する。
【００２１】
なお、ここでは、端末名「端末１」は、図１における端末５０Ａに対応しており、端末名「端末２」は、図１における端末５０Ｂに対応しており、端末名「端末３」は、図１における端末５０Ｃに対応しており、端末名「端末４」は、図１における端末５０Ｄに対応しており、端末名「端末５」は、図１における端末５０Ｅに対応しているものとする。
【００２２】
また、攻撃対処装置４０は、後述する状態特定部１１によって特定された感染端末と、後述する感染特定部１２によって特定された感染の疑いがある端末のうち感染の疑いが高い端末とに対して、通信の遮断、通信の監視または通信の制限を行う。
【００２３】
特定装置１０は、端末の状態を特定するとともに、感染の疑いがある端末および今後感染する可能性のある端末の候補を特定する。図１に示すように、特定装置１０は、状態特定部１１および感染特定部１２を有する。
【００２４】
状態特定部１１は、ネットワーク内への不正侵入または端末５０の感染に関する活動を検知するセキュリティ装置２０から検知情報を受信し、該検知情報に含まれる端末５０の情報および該端末の活動内容から当該端末５０の状態を特定する。例えば、状態特定部１１は、検知情報が通信に関する情報である場合には、該通信の送信元アドレスおよび送信先アドレスに対応する端末５０の状態を特定し、検知情報が端末５０に関する情報である場合には、該端末５０の状態を特定する。
【００２５】
具体的な例を挙げて説明すると、状態特定部１１は、例えば、検知情報が「端末４」が「端末５」と通信を行うことによって「端末４」が「端末５」へ攻撃を行った旨の情報である場合には、通信に関する情報である場合として、該通信の送信元アドレスに対応する「端末４」と送信先アドレスに対応する「端末５」の状態を特定する。また、状態特定部１１は、例えば、検知情報が、「端末３」がマルウェアに感染した旨の情報である場合には、端末５０に関する情報である場合として、「端末３」の状態を特定する。
【００２６】
ここで、図４の例を用いて、特定装置１０において端末の状態を特定する処理を説明する。図４は、第一の実施の形態に係る特定装置において端末の状態を特定する処理を説明する図である。なお、図４において、各端末５０Ａ〜５０Ｅの横の数字は当該端末の感染疑いスコアおよび感染リスクスコアの数値例である。攻撃を受けていない状態では、感染疑い数値は全ての端末５０において「０」である。また、感染リスクについてはインターネット８０との接続性のある端末５０に一定のルールにより設定する。図４の例では、数値は、インターネット８０および感染端末と直接的な接続性のある端末に対して「０．１」を付加しているが、これに限定されるものではなく、数値の決定方法は任意に設定可能である。
【００２７】
図４の例では、端末の名称「端末３」である端末５０Ｃがマルウェアに感染し、感染端末を外部から制御するために外部ネットワークのサーバと行われる通信であるＣ＆Ｃ通信をネットワーク内に設置されたセキュリティ装置２０が検知した場合の処理を説明する。図４に例示するように、特定装置１０の状態特定部１１は、セキュリティ装置２０から受信した検知情報に含まれる端末３が外部とのＣ＆Ｃ通信を行った旨の情報をもとに、端末５０Ｃの状態を特定する。ここで、状態特定部１１は、端末３のＣ＆Ｃ通信を検知した場合には、端末３がマルウェアに感染していることが確定であると判断可能なため、端末３の状態を感染状態と特定し、感染疑いスコアを「１．０」とする。
【００２８】
感染特定部１２は、状態特定部１１によって端末５０の状態がマルウェアに感染した状態であると特定された場合には、構成情報記憶装置３０によって記憶された接続情報に基づいて、検知情報に含まれる端末５０の活動内容に至るまでに感染した疑いがある端末５０を特定し、感染した端末５０が今後不正侵入または端末の感染に用いる可能性がある経路上に位置する端末５０を感染する可能性がある感染端末の候補と特定する。
【００２９】
例えば、感染特定部１２は、状態特定部１１によって特定された感染端末の感染経路となりうる通信経路に含まれる端末５０を感染の疑いがある端末５０と特定し、感染経路となりうる通信経路の数と、過去の端末の状態とに基づいて、感染の疑いがある各端末５０について、感染の疑いの度合いを示す数値を算出する。
【００３０】
また、例えば、感染特定部１２は、状態特定部１１によって特定された感染端末を起点に、接続情報を用いて、感染端末からの感染が可能である端末５０を感染する可能性がある感染端末の候補と特定する。
【００３１】
ここで、図５の例を用いて、特定装置１０において感染の疑いがある端末５０および感染端末の候補を特定する処理を説明する。図５は、第一の実施の形態に係る特定装置において感染の疑いがある端末および感染端末の候補を特定する処理を説明する図である。図５の例では、状態特定部１１により「端末３」の状態が感染状態と特定され、感染疑いスコアが「１．０」となったものとする。
【００３２】
特定装置１０の感染特定部１２は、検知情報に含まれる「端末３」の状態が特定された場合に、構成情報記憶装置３０の接続情報を用いて、まず端末３の感染経路の特定を行う。図５の例では、端末３への感染経路候補として、インターネット８０よりＮＷ機器６０を介して直接行われた攻撃、端末１を介した攻撃または端末２を介した攻撃の合計３通りの経路が考えられる。
【００３３】
このため、感染経路となりうる通信経路の数「３」から加算する感染疑いスコアを「０．３３（１／３）」とし、端末１および端末２の過去の感染疑いスコアに加算して、感染の疑いの度合いを示す数値である感染疑いスコアを算出する。なお、感染経路が複数存在する場合の感染疑いスコアの割り振りについては、経路単位で均等に配分する場合を説明したが、統計情報を用いた重みを付けた割り振りも可能であり、数値の決定方法はこれに限定されるものではない。
【００３４】
次に、感染特定部１２は、感染端末および感染と疑われる端末５０から、次の感染拡大先端末の候補を特定する。図５の例では、感染端末である端末３を起点に、端末３と接続する端末５が感染可能であり、端末５を感染拡大先端末の候補と特定するとともに、感染リスクスコアに「０．１」を加算する。また、端末１および端末２の感染疑いスコアが「０．３３」であり、端末２から感染拡大可能な端末４に対して「０．３３」に「０．１」を乗算し、小数点第３位以下を切り捨てたスコア「０．０３」を感染リスクスコアに加算する。
【００３５】
この結果、図５に例示するように、端末４の感染リスクスコアが「０．１３」となる。このように、感染特定部１２は、端末の状態が変化したり、感染疑いスコアや感染リスクスコアが変化したりした場合には、構成情報記憶装置３０に記憶された端末の状態情報と、感染疑いスコアおよび感染リスクスコアとを更新する。
【００３６】
次に、図６を用いて、攻撃対処装置４０において感染が確定した端末に対する対処を説明する。図６は、第一の実施の形態に係る攻撃対処装置において感染が確定した端末に対する対処を説明する図である。攻撃対処装置４０は、端末３の感染疑いスコアが第一の閾値（例えば、「０．９」）を超えた場合には、端末３に対する対処を決定する。図６に例示するように、端末３の感染疑いスコアが「１．０」となっており、第一の閾値を超えているので、端末３への対処を決定する。図６の例では、端末３は感染が確定した端末であるため、対処の内容としては、端末３の隔離を行い、端末３に関する通信を遮断する。
【００３７】
次に、図７および図８を用いて、新たな事象として、端末４から端末５への攻撃をセキュリティ装置２０が検知した場合における特定装置１０および攻撃対処装置４０の処理について説明する。図７は、第一の実施の形態に係る特定装置において感染の疑いがある端末および感染端末の候補を特定する処理を説明する図である。図８は、第一の実施の形態に係る攻撃対処装置において感染の可能性が高い端末に対する対処を説明する図である。
【００３８】
図７に例示するように、特定装置１０の状態特定部１１は、セキュリティ装置２０から受信した検知情報（端末４から端末５への攻撃）をもとに、端末４および端末５の状態を特定する。ここで、端末４から端末５への攻撃を検知した場合、端末４がマルウェアに感染したことが確定しているものと判断可能なため、端末４の状態を感染状態と特定し、感染疑いスコアに「１．０」を加算し、端末４の感染疑いスコア「１．０」とする。また、図７の例では、端末４への感染経路候補として、インターネット８０よりＮＷ機器６０を介して直接行われた攻撃、端末２を介した攻撃の合計２通りの経路が考えられる。このため、感染経路となりうる通信経路の数「２」から加算する感染疑いスコアを「０．５（１／２）」とし、感染経路候補上に位置する端末２の感染疑いスコアに「０．５」を加算する。この結果、端末２の感染疑いスコアが「０．８３」となる。
【００３９】
また、端末５は、端末４から端末５への攻撃を受けているので、端末５の状態を被攻撃状態と特定し、ここでは、感染疑いスコアに「０．５」を加算し、感染リスクスコアに「１．０」を加算する。この結果、端末５の感染疑いスコアが「０．５」となり、感染リスクスコアが「１．１」となる。
【００４０】
そして、図８に例示するように、攻撃対処装置４０は、感染疑いスコアが第二の閾値（例えば、「０．７」）を超えた場合には、端末２に対する対処として、通信監視および通信制限を決定する。図８に例示するように、端末２の感染疑いスコアが「０．８３」となっており、第二の閾値を超えているので、端末２への対処を決定する。図８の例では、端末２は感染している可能性が高い端末であるため、対処の内容としては、通信監視および通信制限の対処を行う。このように、感染している可能性が高い端末に対して、通信監視および通信制限の対処を行うことで、端末２が感染していた場合の新たな端末５０への感染拡大および端末２から外部Ｃ＆Ｃ通信接続等を防ぐことができる。
【００４１】
このように、特定システム１では、セキュリティ装置２０が攻撃を検知する度に、上記したように特定装置１０が感染の疑いがある端末や今後感染する可能性のある端末の候補を特定する処理を繰り返す事により、感染疑い端末の候補を特定し、さらに例えば候補端末に対して候補となった回数や感染疑いを数値化した情報を累積演算する事により、検知した端末以外の感染端末を特定および、感染していた場合の侵入拡大・被害発生の低減を行う事が可能となる。
【００４２】
［特定装置の処理の流れ］
次に、図９を用いて、第一の実施の形態に係る特定装置１０の処理の流れを説明する。図９は、第一の実施の形態に係る特定装置の処理の流れを示すフローチャートである。
【００４３】
図９に示すように、特定装置１０の状態特定部１１は、セキュリティ装置２０から検知情報を受信すると（ステップＳ１０１肯定）、該検知情報に含まれる端末５０の情報および該端末の活動内容から当該端末５０の状態を特定する（ステップＳ１０２）。
【００４４】
そして、特定装置１０の感染特定部１２は、状態特定部１１によって端末５０の状態がマルウェアに感染した状態であると特定された際に、構成情報記憶装置３０に記憶された接続情報を参照し、感染端末と接続関係にある端末が存在するか否かを判定する（ステップＳ１０３）。
【００４５】
この結果、特定装置１０の感染特定部１２は、感染端末と接続関係にある端末が存在しないと判定した場合には（ステップＳ１０３否定）、構成情報記憶装置３０の端末の状態情報を更新して（ステップＳ１０５）、処理を終了する。
【００４６】
また、特定装置１０の感染特定部１２は、感染端末と接続関係にある端末が存在すると判定した場合には（ステップＳ１０３肯定）、感染端末と接続関係にある各端末５０について、感染端末へ至る経路上にある端末５０を感染疑い端末と特定し、感染端末の先に位置する端末を感染候補端末と特定する（ステップＳ１０４）。構成情報記憶装置３０の端末の状態情報を更新して（ステップＳ１０５）、処理を終了する。
【００４７】
［特定システムの処理の流れ］
次に、図１０を用いて、第一の実施の形態に係る特定システム１の処理の流れを説明する。図１０は、第一の実施の形態に係る特定システムの処理の流れを示すシーケンス図である。
【００４８】
図１０に示すように、セキュリティ装置２０は、不正通信等を検知すると（ステップＳ２０１）、検知情報を特定装置１０へ送信する（ステップＳ２０２）。特定装置１０は、検知情報を受信すると、検知情報を用いて、端末５０の状態を特定する（ステップＳ２０３）。具体的には、特定装置１０は、該検知情報に含まれる端末５０の情報および該端末の活動内容から端末５０の状態を特定する。
【００４９】
そして、特定装置１０は、端末５０の状態がマルウェアに感染した状態であると特定した際には、構成情報記憶装置３０に記憶された接続情報を要求する（ステップＳ２０４）。続いて、特定装置１０は、要求した接続情報を参照し（ステップＳ２０５）、感染端末と接続関係にある各端末５０について、感染端末へ至る経路上にある端末５０を感染疑い端末と特定し、感染端末の先に位置する端末を感染候補端末と特定する（ステップＳ２０６）。その後、特定装置１０は、構成情報記憶装置３０の端末の状態情報を更新して（ステップＳ２０７）、処理を終了する。
【００５０】
［第一の実施の形態の効果］
このように、第一の実施の形態に係る特定装置１０は、ネットワーク内への不正侵入または端末５０の感染に関する活動を検知するセキュリティ装置２０から検知情報を受信し、該検知情報に含まれる端末５０の情報および該端末５０の活動内容から当該端末５０の状態を特定する。そして、特定装置１０は、状態特定部１１によって端末５０の状態がマルウェアに感染した状態であると特定された場合には、構成情報記憶装置３０によって記憶された接続情報に基づいて、検知情報に含まれる端末５０の活動内容に至るまでに感染した疑いがある端末５０を特定し、感染した端末５０が今後不正侵入または端末の感染に用いる可能性がある経路上に位置する端末５０を感染する可能性がある感染端末の候補と特定する。このため、感染端末を検知するだけでなく、感染の疑いがある端末や今後感染する可能性がある感染端末の候補を特定することが可能となる。
【００５１】
つまり、特定装置１０は、例えば、標的型攻撃やＡＰＴ攻撃に関する事象等を検知した際に、検知した端末だけでなく、検知した端末への経路となった端末や侵入・感染拡大先端末の候補を特定する事が可能となり、これらの端末の監視強化や通信制限、通信遮断等の対処を行う事が可能となる。
【００５２】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、特定装置１０の状態特定部１１と感染特定部１２の機能について、それぞれの機能を別々の装置が有するようにしてもよい。また、例えば、特定装置１０が、構成情報記憶装置３０の情報を記憶するようにしてもよいし、攻撃対処装置４０の機能を有するようにしてもよい。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００５３】
また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００５４】
［プログラム］
また、一実施形態として、特定装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の特定処理を実行する特定プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の特定プログラムを情報処理装置に実行させることにより、情報処理装置を特定装置１０として機能させることができる。ここで言う情報処理装置には、例えば、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の特定処理に関するサービスを提供するサーバ装置として実装することもできる。例えば、特定装置１０は、感染端末を検知するだけでなく、感染の疑いがある端末や今後感染する可能性がある感染端末の候補を特定する処理サービスを提供するサーバ装置として実装される。この場合、特定装置１０は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の特定処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。
【００５５】
図１１は、特定プログラムを実行するコンピュータを示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ（Central  Processing  Unit）１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００５６】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。
【００５７】
ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、特定装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０３１に記憶される。例えば、特定装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。なお、ハードディスクドライブ１０３１は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【００５８】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００５９】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００６０】
１  特定システム
１０  特定装置
１１  状態特定部
１２  感染特定部
２０  セキュリティ装置
３０  構成情報記憶装置
４０  攻撃対処装置
５０、５０Ａ〜５０Ｅ  端末
６０  ＮＷ機器
７０  メールサーバ
８０  インターネット
【図１】
2017061469.tif 000003
【図２】
2017061469.tif 000004
【図３】
2017061469.tif 000005
【図４】
2017061469.tif 000006
【図５】
2017061469.tif 000007
【図６】
2017061469.tif 000008
【図７】
2017061469.tif 000009
【図８】
2017061469.tif 000010
【図９】
2017061469.tif 000011
【図１０】
2017061469.tif 000012
【図１１】
2017061469.tif 000013
【国際調査報告】
2017061469.tif 000014
2017061469.tif 000015
2017061469.tif 000016
2017061469.tif 000017