(57)【要約】  組合せ特定部（２７）は、対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定する。組合せ削減部（２８）は、組合せ特定部によって特定された組合せから、設置条件入力部（２２）によって受け付けられた設置条件を満たし、かつ、攻撃情報入力部（２４）によって受け付けられた攻撃情報が示す不正通信を閾値割合以上検知可能な組合せを抽出する。
2019224911.tif 000002
【特許請求の範囲】
【請求項１】
対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定する組合せ特定部と、
前記組合せ特定部によって特定された組合せから、攻撃情報が示す不正通信を検知可能な組合せを抽出する組合せ削減部と
を備える設置場所選定支援装置。
【請求項２】
前記組合せ削減部は、前記攻撃情報が示す不正通信のうち閾値以上の割合の不正通信を検知可能な組合せを抽出する
請求項１に記載の設置場所選定支援装置。
【請求項３】
前記攻撃情報は、ｉ＝１，．．．，ｍの各整数ｉについての不正通信ａｉを示し、
前記対象システムは、ｊ＝１，．．．，ｎの各整数ｊについての構成要素ｂｊを含み、
前記設置場所選定支援装置は、さらに、
構成要素ｂｊに前記侵入検知システムを設置した場合に、不正通信ａｉを検知可能な場合には、ｉ行ｊ列の要素ｃｉｊに１が設定され、不正通信ａｉを検知不可能な場合には、前記要素ｃｉｊに０が設定された行列Ｃと、対象の組合せに含まれる構成要素ｂｊの行ｊの要素ｘｊに１が設定され、他の要素に０が設定された列ベクトルｘとの積を計算して、ｊ＝１，．．．，ｍの要素ｄｊを有する列ベクトルｄを計算し、０以外の値を有する要素ｄｊの個数を値ｍで除して前記対象の組合せが検知可能な不正通信の割合を計算するカバー率計算部
を備え、
前記組合せ削減部は、前記カバー率計算部によって計算された割合に基づき、前記閾値以上の割合の不正通信を検知可能な組合せを抽出する
請求項２に記載の設置場所選定支援装置。
【請求項４】
前記設置場所選定支援装置は、さらに、
前記侵入検知システムの設置条件の入力を受け付ける設置条件入力部
を備え、
前記組合せ削減部は、前記不正通信を検知可能であり、かつ、前記設置条件入力部によって受け付けられた前記設置条件を満たす組合せを抽出する
請求項１から３までのいずれか１項に記載の設置場所選定支援装置。
【請求項５】
前記設置場所選定支援装置は、さらに、
前記組合せ削減部によって抽出された組合せを決定するための目的関数を解くことにより、推奨する組合せを特定する関数計算部
を備える請求項１から３までのいずれか１項に記載の設置場所選定支援装置。
【請求項６】
前記目的関数は、設置される侵入検知システムの数と、侵入検知システムを設置する場合に係るコストと、設置される侵入検知システムの処理余力との少なくともいずれかに基づき設定される
請求項５に記載の設置場所選定支援装置。
【請求項７】
組合せ特定部が、対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定し、
組合せ削減部が、特定された組合せから、攻撃情報が示す不正通信を検知可能な組合せを抽出する設置場所選定支援方法。
【請求項８】
対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定する組合せ特定処理と、
前記組合せ特定処理によって特定された組合せから、攻撃情報が示す不正通信を検知可能な組合せを抽出する組合せ削減処理と
をコンピュータに実行させる設置場所選定支援プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、不正なアクセスを検知する侵入検知システム（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ，ＩＤＳ）の設置場所の選定を支援する技術に関する。
【背景技術】
【０００２】
ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｅｃｈｎｏｌｏｇｙ）システムの開発において、セキュリティ分析を行うことで脅威を特定し、必要なセキュリティ対策を明確化した上で、適切なセキュリティ対策を実施又は導入することは必須である。
この作業を実施するには、セキュリティに関する高度な専門知識を有する分析者が必要になる。この作業は、セキュリティに関する高度な専門知識を有する分析者が実施しても、多くの時間がかかる作業である。【０００３】
特許文献１には、攻撃の実態に対応させて、対処すべき攻撃活動の組合せ毎に、最適な対策候補の組合せを選択可能にすることが記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第６２５３８６２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に記載された技術を用いることにより、それぞれの事業者に適したセキュリティ対策の組合せを決定することができる。しかし、より詳細な決定を要するセキュリティ対策が存在する。具体的には、「侵入検知システムを導入する」というセキュリティ対策が採用された場合には、「侵入検知システムを導入する」というだけでは、侵入検知システムの設置場所に任意性が残ってしまう。
この発明は、侵入検知システムの設置場所の選定を支援することを目的とする。
【課題を解決するための手段】
【０００６】
この発明に係る設置場所選定支援装置は、
対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定する組合せ特定部と、
前記組合せ特定部によって特定された組合せから、攻撃情報が示す不正通信を検知可能な組合せを抽出する組合せ削減部と
を備える。
【発明の効果】
【０００７】
この発明では、侵入検知システムを設置可能な構成要素の組合せを特定し、不正通信を検知可能な組合せを抽出する。これにより、侵入検知システムを設置すべき場所が限定される。そのため、侵入検知システムを設置すべき場所を選定し易くなる。
【図面の簡単な説明】
【０００８】
【図１】実施の形態１に係る設置場所選定支援装置１０のハードウェア構成図。
【図２】実施の形態１に係る設置場所選定支援装置１０の機能構成図。
【図３】実施の形態１に係る設置場所選定支援装置１０の動作を示すフローチャート。
【図４】実施の形態１に係るシステム構成情報の例を示す図。
【図５】図４に示すシステム構成情報を変換したグラフを示す図。
【図６】図５に示すシステム構成情報から特定された組合せを示す図。
【図７】実施の形態１に係る攻撃情報であるアタックツリーの例を示す図。
【図８】実施の形態１に係るカバー率の計算方法の説明図。
【図９】実施の形態１に係るカバー率の計算結果の例を示す図。
【図１０】実施の形態１に係る製品情報記憶部３４に記憶された情報を示す図。
【図１１】実施の形態１に係る目的関数の例を示す図。
【図１２】変形例１に係る設置場所選定支援装置１０の構成図。
【発明を実施するための形態】
【０００９】
実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る設置場所選定支援装置１０のハードウェア構成を説明する。
設置場所選定支援装置１０は、コンピュータである。
設置場所選定支援装置１０は、プロセッサ１１と、記憶装置１２と、データインタフェース１３と、入力インタフェース１４と、表示インタフェース１５とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
【００１０】
プロセッサ１１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）である。プロセッサ１１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）である。
【００１１】
記憶装置１２は、データを記憶する記憶装置である。記憶装置１２は、具体例としては、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）である。また、記憶装置１２は、ＳＤ（登録商標，Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ，登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）といった可搬記録媒体であってもよい。
【００１２】
データインタフェース１３は、外部の装置とのデータの入出力を行う装置である。データインタフェース１３は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）のポートである。
【００１３】
入力インタフェース１４は、ユーザによって操作される入力装置を接続するための装置である。入力インタフェース１４は、具体例としては、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）のポートである。
【００１４】
表示インタフェース１５は、表示装置を接続するための装置である。表示インタフェース１５は、具体例としては、ＨＤＭＩ（登録商標，Ｈｉｇｈ−Ｄｅｆｉｎｉｔｉｏｎ  Ｍｕｌｔｉｍｅｄｉａ  Ｉｎｔｅｒｆａｃｅ）のポートである。
【００１５】
図２を参照して、実施の形態１に係る設置場所選定支援装置１０の機能構成を説明する。
設置場所選定支援装置１０は、機能構成要素として、システム構成入力部２１と、設置条件入力部２２と、閾値入力部２３と、攻撃情報入力部２４と、パラメータ入力部２５と、設置場所特定部２６と、組合せ特定部２７と、組合せ削減部２８と、検知箇所特定部２９と、カバー率計算部３０と、目的関数生成部３１と、目的関数計算部３２と、出力部３３と、製品情報記憶部３４とを備える。
システム構成入力部２１と、設置条件入力部２２と、閾値入力部２３と、攻撃情報入力部２４と、パラメータ入力部２５との機能は、データインタフェース１３と入力インタフェース１４との少なくともいずれかによって実現される。設置場所特定部２６と、組合せ特定部２７と、組合せ削減部２８と、検知箇所特定部２９と、カバー率計算部３０と、目的関数生成部３１と、目的関数計算部３２との機能は、プロセッサ１１によって実現される。出力部３３の機能は、表示インタフェース１５によって実現される。製品情報記憶部３４の機能は、記憶装置１２によって実現される。
【００１６】
設置場所特定部２６と、組合せ特定部２７と、組合せ削減部２８と、検知箇所特定部２９と、カバー率計算部３０と、目的関数生成部３１と、目的関数計算部３２との機能構成要素の機能は、ソフトウェアによって実現される。記憶装置１２には、これらの機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１により読み込まれ、プロセッサ１１によって実行される。これにより、これらの機能構成要素の機能が実現される。
なお、図１では、プロセッサ１１は、１つだけ示されていた。しかし、プロセッサ１１は、複数であってもよく、複数のプロセッサ１１が、各機能を実現するプログラムを連携して実行してもよい。
【００１７】
＊＊＊動作の説明＊＊＊
図３から図１０を参照して、実施の形態１に係る設置場所選定支援装置１０の動作を説明する。
実施の形態１に係る設置場所選定支援装置１０の動作は、実施の形態１に係る設置場所選定支援方法に相当する。また、実施の形態１に係る設置場所選定支援装置１０の動作は、実施の形態１に係る設置場所選定支援プログラムの処理に相当する。
【００１８】
（図３のステップＳ１：システム構成入力処理）
システム構成入力部２１は、侵入検知システムを設置する対象システム５０のシステム構成情報の入力を受け付ける。
具体的には、ユーザによって対象システム５０のシステム構成情報が作成される。システム構成入力部２１は、作成されたシステム構成情報を取得する。システム構成入力部２１は、取得されたシステム構成情報を記憶装置１２に書き込む。
図４に示すように、システム構成情報は、具体例としては、Ｍｉｃｒｏｓｏｆｔ  Ｖｉｓｉｏ（登録商標）といった既存の作図ソフトウェアにより作成された図面データである。図４では、対象システムは、構成要素として、サーバ５１と、３台のコンピュータ５２Ａ〜５２Ｃと、ゲスト端末５３と、通信路Ｘ，Ｙとを備える。対象システム５０では、サーバ５１とコンピュータ５２Ａ〜５２Ｃとが通信路Ｘを介して接続され、コンピュータ５２Ａ〜５２Ｃとゲスト端末５３とが通信路Ｙを介して接続されている。
なお、システム構成情報は、プレーンテキストを用いてグラフを表現するためのＤＯＴ言語によりシステム構成を表したデータのように、他の形式のデータであってもよい。
【００１９】
（図３のステップＳ２：設置場所特定処理）
設置場所特定部２６は、ステップＳ１で受け付けられたシステム構成情報をグラフに変換する。
具体的には、設置場所特定部２６は、記憶装置１２からシステム構成情報を読み出す。設置場所特定部２６は、システム構成情報が示す対象システム５０の構成要素をノード（以下、構成ノードと呼ぶ）とし、各構成ノード間の接続をエッジとして表すことにより、システム構成情報をグラフに変換する。そして、設置場所特定部２６は、変換されたグラフにおける各構成ノードを侵入検知システムを設置可能な場所として抽出し、各構成ノードに識別子である構成ノード番号を割り当てる。設置場所特定部２６は、各構成ノードに構成ノード番号が割り当てられたグラフを記憶装置１２に書き込む。
図５に示すように、図４に示すシステム構成情報の場合には、対象システム５０の構成要素であるサーバ５１と、３台のコンピュータ５２Ａ〜５２Ｃと、ゲスト端末５３と、通信路Ｘと、通信路Ｙとが構成ノードとして表される。そして、サーバ５１とコンピュータ５２Ａ〜５２Ｃとが通信路Ｘを介して接続され、コンピュータ５２Ａ〜５２Ｃとゲスト端末５３とが通信路Ｙを介して接続されるようにエッジが設けられる。図５では、サーバ５１にノード番号“１”が割り当てられ、通信路Ｘにノード番号“２”が割り当てられ、コンピュータ５２Ａにノード番号“３”が割り当てられ、コンピュータ５２Ｂにノード番号“４”が割り当てられ、コンピュータ５２Ｃにノード番号“５”が割り当てられ、通信路Ｙにノード番号“６”が割り当てられ、ゲスト端末５３にノード番号“７”が割り当てられる。
【００２０】
（図３のステップＳ３：組合せ特定処理）
組合せ特定部２７は、対象システム５０を構成する１つ以上の構成要素の組合せであって、侵入検知システムを設置可能な構成要素の組合せを特定する。
具体的には、対象システム５０がｎ個の構成要素を含むとする。ｎは、１以上の整数である。組合せ特定部２７は、ｉ＝１，．．．，ｎの各整数ｉについて、構成要素の全ての組合せを特定する。組合せ特定部２７は、特定された組合せを記憶装置１２に書き込む。
図５に示す対象システム５０の場合には、ｎ＝７である。図６に示すように、図５に示す対象システム５０の場合には、ｉ＝１，．．．，７の各整数ｉについて、構成ノード番号“１”から構成ノード番号“７”のうちｉ個の構成ノードの組合せが特定される。
【００２１】
（図３のステップＳ４：設置条件入力処理）
設置条件入力部２２は、侵入検知システムの設置条件の入力を受け付ける。
具体的には、ユーザによって侵入検知システムの設置条件が作成される。設置条件入力部２２は、作成された設置条件を取得する。設置条件入力部２２は、取得された設置条件を記憶装置１２に書き込む。
具体例としては、設置条件は、「装置上の侵入検知システム（Ｈｏｓｔ−Ｂａｓｅｄ  ＩＤＳ，ＨＩＤＳ）は設置しない」という条件と、「構成ノード番号ＸＸの構成要素については侵入検知システムを設置できない」という条件と等がある。
【００２２】
（図３のステップＳ５：第１組合せ削減処理）
組合せ削減部２８は、ステップＳ３で特定された全ての組合せから、ステップＳ４で受け付けられた設置条件を満たす組合せを抽出する。設置条件を満たす組合せとは、設置条件を考慮した場合に、侵入検知システムを設置可能な組合せである。
具体的には、組合せ削減部２８は、ステップＳ３で特定された全ての組合せと、ステップＳ４で受け付けられた設置条件とを記憶装置１２から読み出す。組合せ削減部２８は、読み出された全ての組合せから、読み出された設置条件を満たさない組合せを除外し、残った組合せを抽出する。これにより、組合せ削減部２８は、組合せ数を削減する。組合せ削減部２８は、抽出された組合せを記憶装置１２に書き込む。
具体例としては、設置条件が「装置上の侵入検知システム（Ｈｏｓｔ−Ｂａｓｅｄ  ＩＤＳ，ＨＩＤＳ）は設置しない」という条件である場合には、組合せ削減部２８は、装置の構成ノードである構成ノード番号“１”，“３”，“４”，“５”，“７”の構成ノードを含む全ての組合せについては、設置条件を満たさない組合せであるとして、除外する。そして、組合せ削減部２８は、構成ノード番号“１”，“３”，“４”，“５”，“７”を含まない組合せを抽出する。
【００２３】
事業者又は装置の制約上、侵入検知システムの設置場所に指定できない、又は、侵入検知システムの設置箇所として相応しくないという場所が、ユーザによって予めある程度判明している場合がある。ステップＳ４からステップＳ５の処理は、このような制約がある場合に、その制約を設置条件として、設置場所選定支援装置１０の処理量を削減する目的で行われる。そのため、このような制約がない場合には、ステップＳ４からステップＳ５の処理は省略される。
【００２４】
（図３のステップＳ６：攻撃情報入力処理）
攻撃情報入力部２４は、対象システム５０に対する攻撃を定義した攻撃情報の入力を受け付ける。
具体的には、ユーザによってセキュリティ分析が行われ、攻撃情報が作成される。攻撃情報入力部２４は、作成された攻撃情報を取得する。攻撃情報入力部２４は、取得された攻撃情報を記憶装置１２に書き込む。
実施の形態１では、攻撃情報は、攻撃の目的及び手法をツリー構造で表現したアタックツリーであるとする。実施の形態１では、図７に示すように、アタックツリーは、各ノード（以下、攻撃ノードと呼ぶ）について、アタックツリーにおける攻撃ノードの位置と、活動内容と、カテゴリとを示すデータ構造とする。活動内容は、種類と詳細とを含む。アタックツリーの記述方法は、図７に示す方法に限定されるものではなく、ＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）データで記述されてもよい。
ここでは、アタックツリーには、少なくとも１つは、カテゴリが「不正通信」である攻撃ノードが含まれているものとする。カテゴリが「不正通信」である攻撃ノードの詳細には、不正通信の送信元及び送信先と、経由する通信路とが示されている。
【００２５】
（図３のステップＳ７：検知箇所特定処理）
検知箇所特定部２９は、ステップＳ６で受け付けられた攻撃情報から不正通信を検知する箇所を特定する。
具体的には、検知箇所特定部２９は、ステップＳ６で受け付けられた攻撃情報であるアタックツリーからカテゴリが「不正通信」である攻撃ノードの詳細の情報を記憶装置１２から読み出す。検知箇所特定部２９は、読み出された攻撃ノードの詳細の情報が示す、不正通信の送信元及び送信先と、経由する通信路とを特定する。ここで、ある攻撃ノードから特定された送信元と送信先と通信路とに侵入検知システムを設置すると、その攻撃ノードが示す攻撃である不正通信を検知可能である。そこで、検知箇所特定部２９は、ある攻撃ノードから特定された送信元と送信先と通信路とを、その攻撃ノードが示す攻撃である不正通信を検知する箇所として扱う。検知箇所特定部２９は、特定された不正通信を検知する箇所を記憶装置１２に書き込む。
【００２６】
実施の形態１では、検知箇所特定部２９は、攻撃ノードが示す不正通信を検知する箇所を行列として表す。
具体的には、図８に示すカバー行列Ｃのように表される。ここでは、攻撃情報は、カテゴリが「不正通信」である攻撃として、ｉ＝１，．．．，ｍの各整数ｉについての不正通信ａｉを示すとする。また、対象システム５０は、ｊ＝１，．．．，ｎの各整数ｊについての構成要素ｂｊを含むとする。検知箇所特定部２９は、構成要素ｂｊに侵入検知システムを設置した場合に、不正通信ａｉを検知可能な場合には、ｉ行ｊ列の要素ｃｉｊに１を設定し、不正通信ａｉを検知不可能な場合には、ｉ行ｊ列の要素ｃｉｊに０を設定してカバー行列Ｃを生成する。検知箇所特定部２９は、生成されたカバー行列Ｃを記憶装置１２に書き込む。
カバー行列Ｃでは、ｊ列目の要素は、構成要素ｂｊに関する情報である。つまり、ｊ列目の要素が１である行が示す不正通信は、構成要素ｂｊに侵入検知システムを設置することにより検知可能な不正通信である。
【００２７】
（図３のステップＳ８：カバー率計算処理）
カバー率計算部３０は、ステップＳ８で特定された不正通信を検知する箇所に基づき、ステップＳ５で抽出された各組合せを対象として、対象の組合せが検知可能な不正通信の割合であるカバー率を計算する。
具体的には、カバー率計算部３０は、図８に示す設置列ベクトルｘにおける、対象の組合せに含まれる構成要素ｂｊの行ｊの要素ｘｊに１を設定し、他の要素ｘｊに０を設定する。カバー率計算部３０は、カバー行列Ｃと設置列ベクトルｘとの積を計算して、ｊ＝１，．．．，ｍの要素ｄｊを有するカバー列ベクトルｄを計算する。カバー率計算部３０は、カバー列ベクトルｄにおける０以外の値を有する要素ｄｊの個数を値ｍで除して対象の組合せが検知可能な不正通信の割合を計算する。
その結果、図９に示すように、ステップＳ５で抽出された各組合せについて、カバー率と、検知可能な不正通信の番号とが得られる。不正通信の番号は、不正通信ａｉの添え字ｉを意味する。
【００２８】
（図３のステップＳ９：閾値入力処理）
閾値入力部２３は、カバー率の閾値の入力を受け付ける。
具体的には、ユーザによって閾値が設定される。閾値入力部２３は、設定された閾値を取得する。閾値入力部２３は、取得された閾値を記憶装置１２に書き込む。
なお、閾値を１００％で固定する場合には、ステップＳ９の処理は省略される。
【００２９】
（図３のステップＳ１０：第２組合せ削減処理）
組合せ削減部２８は、ステップＳ５で抽出された組合せから、ステップＳ９で受け付けられた閾値以上の割合の不正通信を検知可能な組合せを抽出する。
具体的には、組合せ削減部２８は、ステップＳ９で受け付けられた閾値を記憶装置１２から読み出す。組合せ削減部２８は、ステップＳ８で計算された各組合せについてのカバー率を参照して、閾値よりも低いカバー率の組合せを除外し、残った組合せを抽出する。これにより、組合せ削減部２８は、組合せ数を削減する。組合せ削減部２８は、抽出された組合せを記憶装置１２に書き込む。
【００３０】
（図３のステップＳ１１：パラメータ入力処理）
パラメータ入力部２５は、侵入検知システムの設置場所を決定するためのパラメータの入力を受け付ける。
具体的には、パラメータ入力部２５は、ユーザによってパラメータが入力される。パラメータ入力部２５は、入力されたパラメータを取得する。パラメータ入力部２５は、取得されたパラメータを記憶装置１２に書き込む。
パラメータは、具体例としては、侵入検知システムの設置数の最大数と、侵入検知システムを設置する場合に係る最大価格と、設置される侵入検知システムの処理量の余力の最低値等である。なお、設置される侵入検知システム毎の価格及びスループットといった属性値は、図１０に示すように、事前に製品情報記憶部３４に記憶されているものとする。
【００３１】
（図３のステップＳ１２：目的関数生成処理）
目的関数生成部３１は、ステップＳ１１で受け付けられたパラメータを記憶装置１２から読み出すとともに、製品情報記憶部３４に記憶された属性値を読み出す。目的関数生成部３１は、読み出されたパラメータ及び属性値に基づき、ステップＳ１０で抽出された組合せを決定するための目的関数を生成する。
具体例としては、図１１の式１に示すように、設置される侵入検知システムの数を少なくする目的関数が上げられる。他の具体例としては、図１１の式２に示すように、侵入検知システムの設置に係るコストを少なくする目的関数が上げられる。他の具体例としては、図１１の式３に示すように、スループットからトラフィックの最大値を減じて得られる処理量の余裕を大きくする目的関数が上げられる。なお、図１１の式３では、ｉの和をとっているが、図１１の式４に示すように、個々のｉについて、処理量の余裕を大きくする目的関数も考えられる。
なお、図１１に示す式において、ｉに関する和は、図８に示す設置列ベクトルｘにおける非ゼロの要素ｘｊに関する和を意味する。図１１において、ＮＩＤＳは、Ｎｅｔｗｏｒｋ  Ｂａｓｅｄ  ＩＤＳの略である。また、図１１において、添え字ｈは、ＨＩＤＳに関するものであることを表し、添え字ｎは、ＮＩＤＳに関するものであることを表す。
【００３２】
（図３のステップＳ１３：目的関数計算処理）
目的関数計算部３２は、ステップＳ１２で生成された目的関数を、加重平均法と制約化法といった既存の解法、又は、ソルバを用いて解く。これにより、目的関数計算部３２は、ステップＳ１０で抽出された組合せから、１つの組合せと、組合せに含まれる各ノードに設置される具体的な侵入検知システムとを特定する。
【００３３】
（図３のステップＳ１４：出力処理）
出力部３３は、ステップＳ１３で特定された組合せを表示装置に出力する。
具体的には、ステップＳ１３で特定された組合せに含まれるノードと、各ノードに設置される具体的な侵入検知システムとを表示装置に出力する。
【００３４】
＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る設置場所選定支援装置１０は、侵入検知システムを設置可能な構成要素の組合せを特定し、不正通信を検知可能な組合せを抽出する。これにより、侵入検知システムを設置すべき場所が限定される。そのため、侵入検知システムを設置すべき場所を選定し易くなる。
つまり、従来は、設置目的と、監視員の数と、ＩＤＳのスペックと、データフロー（量、方向）と、予算と等を考慮し、人手で侵入検知システムの設置場所を決定していた。この作業は、システムの規模が大きくなり、脅威の数が多くなると作業負荷が高い。実施の形態１に係る設置場所選定支援装置１０を導入することにより、この作業負荷を軽減することが可能である。
【００３５】
また、実施の形態１に係る設置場所選定支援装置１０は、攻撃情報が示す不正通信のうち閾値以上の割合の不正通信を検知可能な組合せを抽出する。これにより、侵入検知システムを設置すべき場所がさらに限定される。そのため、侵入検知システムを設置すべき場所をより選定し易くなる。
【００３６】
また、実施の形態１に係る設置場所選定支援装置１０は、設置条件を満たす組合せを抽出する。これにより、侵入検知システムを設置すべき場所がさらに限定される。そのため、侵入検知システムを設置すべき場所をより選定し易くなる。
【００３７】
また、実施の形態１に係る設置場所選定支援装置１０は、目的関数を計算することにより、目的に相応しい組合せを特定する。これにより、目的に相応しい設置場所を選定し易くなる。
【００３８】
＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。
【００３９】
図１２を参照して、変形例１に係る設置場所選定支援装置１０のハードウェア構成を説明する。
各機能構成要素がハードウェアで実現される場合には、設置場所選定支援装置１０は、プロセッサ１１と記憶装置１２とに代えて、電子回路１６を備える。電子回路１６は、設置場所特定部２６と、組合せ特定部２７と、組合せ削減部２８と、検知箇所特定部２９と、カバー率計算部３０と、目的関数生成部３１と、目的関数計算部３２と、出力部３３と、製品情報記憶部３４と、記憶装置１２との機能とを実現する専用の回路である。
【００４０】
電子回路１６としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ  Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）が想定される。
各機能構成要素を１つの電子回路１６で実現してもよいし、各機能構成要素を複数の電子回路１６に分散させて実現してもよい。
【００４１】
＜変形例２＞
変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
【００４２】
プロセッサ１１と記憶装置１２と電子回路１６とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。
【符号の説明】
【００４３】
１０  設置場所選定支援装置、１１  プロセッサ、１２  記憶装置、１３  データインタフェース、１４  入力インタフェース、１５  表示インタフェース、１６  電子回路、２１  システム構成入力部、２２  設置条件入力部、２３  閾値入力部、２４  攻撃情報入力部、２５  パラメータ入力部、２６  設置場所特定部、２７  組合せ特定部、２８  組合せ削減部、２９  検知箇所特定部、３０  カバー率計算部、３１  目的関数生成部、３２  目的関数計算部、３３  出力部、３４  製品情報記憶部、５０  対象システム、５１  サーバ、５２  コンピュータ、５３  ゲスト端末。
【図１】
2019224911.tif 000003
【図２】
2019224911.tif 000004
【図３】
2019224911.tif 000005
【図４】
2019224911.tif 000006
【図５】
2019224911.tif 000007
【図６】
2019224911.tif 000008
【図７】
2019224911.tif 000009
【図８】
2019224911.tif 000010
【図９】
2019224911.tif 000011
【図１０】
2019224911.tif 000012
【図１１】
2019224911.tif 000013
【図１２】
2019224911.tif 000014
【手続補正書】
【提出日】令和2年6月5日(2020.6.5)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定する組合せ特定部と、
前記組合せ特定部によって特定された組合せから、攻撃情報が示す不正通信のうち閾値以上の割合の不正通信を検知可能な組合せを抽出する組合せ削減部と
を備える設置場所選定支援装置。
【請求項２】
前記攻撃情報は、ｉ＝１，．．．，ｍの各整数ｉについての不正通信ａｉを示し、
前記対象システムは、ｊ＝１，．．．，ｎの各整数ｊについての構成要素ｂｊを含み、
前記設置場所選定支援装置は、さらに、
構成要素ｂｊに前記侵入検知システムを設置した場合に、不正通信ａｉを検知可能な場合には、ｉ行ｊ列の要素ｃｉｊに１が設定され、不正通信ａｉを検知不可能な場合には、前記要素ｃｉｊに０が設定された行列Ｃと、対象の組合せに含まれる構成要素ｂｊの行ｊの要素ｘｊに１が設定され、他の要素に０が設定された列ベクトルｘとの積を計算して、ｊ＝１，．．．，ｍの要素ｄｊを有する列ベクトルｄを計算し、０以外の値を有する要素ｄｊの個数を値ｍで除して前記対象の組合せが検知可能な不正通信の割合を計算するカバー率計算部
を備え、
前記組合せ削減部は、前記カバー率計算部によって計算された割合に基づき、前記閾値以上の割合の不正通信を検知可能な組合せを抽出する
請求項１に記載の設置場所選定支援装置。
【請求項３】
対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定する組合せ特定部と、
前記侵入検知システムの設置条件の入力を受け付ける設置条件入力部と、
前記組合せ特定部によって特定された組合せから、攻撃情報が示す不正通信を検知可能であり、かつ、前記設置条件入力部によって受け付けられた前記設置条件を満たす組合せを抽出する組合せ削減部と
を備える設置場所選定支援装置。
【請求項４】
対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定する組合せ特定部と、
前記組合せ特定部によって特定された組合せから、攻撃情報が示す不正通信を検知可能な組合せを抽出する組合せ削減部と、
前記組合せ削減部によって抽出された組合せを決定するための目的関数を解くことにより、推奨する組合せを特定する関数計算部と
を備える設置場所選定支援装置。
【請求項５】
前記目的関数は、設置される侵入検知システムの数と、侵入検知システムを設置する場合に係るコストと、設置される侵入検知システムの処理余力との少なくともいずれかに基づき設定される
請求項４に記載の設置場所選定支援装置。
【請求項６】
組合せ特定部が、対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定し、
組合せ削減部が、特定された組合せから、攻撃情報が示す不正通信のうち閾値以上の割合の不正通信を検知可能な組合せを抽出する設置場所選定支援方法。
【請求項７】
対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定する組合せ特定処理と、
前記組合せ特定処理によって特定された組合せから、攻撃情報が示す不正通信のうち閾値以上の割合の不正通信を検知可能な組合せを抽出する組合せ削減処理と
をコンピュータに実行させる設置場所選定支援プログラム。
【請求項８】
組合せ特定部が、対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定し、
設置条件入力部が、前記侵入検知システムの設置条件の入力を受け付け、
組合せ削減部が、特定された組合せから、攻撃情報が示す不正通信を検知可能であり、かつ、前記設置条件を満たす組合せを抽出する設置場所選定支援方法。
【請求項９】
対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定する組合せ特定処理と、
前記侵入検知システムの設置条件の入力を受け付ける設置条件入力処理と、
前記組合せ特定処理によって特定された組合せから、攻撃情報が示す不正通信を検知可能であり、かつ、前記設置条件入力処理によって受け付けられた前記設置条件を満たす組合せを抽出する組合せ削減処理と
をコンピュータに実行させる設置場所選定支援プログラム。
【請求項１０】
組合せ特定部が、対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定し、
組合せ削減部が、特定された組合せから、攻撃情報が示す不正通信を検知可能な組合せを抽出し、
関数計算部が、抽出された組合せを決定するための目的関数を解くことにより、推奨する組合せを特定する設置場所選定支援方法。
【請求項１１】
対象システムを構成する１つ以上の構成要素の組合せであって、不正なアクセスを検知する侵入検知システムを設置可能な構成要素の組合せを特定する組合せ特定処理と、
前記組合せ特定処理によって特定された組合せから、攻撃情報が示す不正通信を検知可能な組合せを抽出する組合せ削減処理と、
前記組合せ削減処理によって抽出された組合せを決定するための目的関数を解くことに
より、推奨する組合せを特定する関数計算処理と
をコンピュータに実行させる設置場所選定支援プログラム。
【国際調査報告】
2019224911.tif 000015
2019224911.tif 000016