(57)【要約】【課題】サイバー攻撃に関する情報の情報カテゴリについての提供範囲を制御する。【解決手段】実施形態の制御プログラムは、第１の種別のノードと、第２の種別のノードとを表示し、第１の種別のノードに対応づけてアクセス先を示すノードの登録を受け付け、第２の種別のノードに対応づけて情報に対する特定のマスク処理を示すノードと、情報カテゴリを示すノードとの登録を受け付けると、第１の種別のノードに対応づけて登録されたノードに対応するアクセス先に対して、サイバー攻撃イベントに関する情報の送信を許容するとともに、アクセス先に対するサイバー攻撃イベントに関する情報の送信を行う際に、第２の種別に対応づけて登録されたノードに対応する情報カテゴリに属する情報について第２の種別に対応づけて登録されたノードに対応する特定のマスク処理を実行してから提供するように制御する処理をコンピュータに実行させる。【選択図】図４
2018032356.tif 000002
【特許請求の範囲】
【請求項１】
サイバー攻撃に関する情報の提供範囲の制御をコンピュータに実行させる制御プログラムにおいて、
第１の種別のノードと、第２の種別のノードとを表示し、
前記第１の種別のノードに対応づけてアクセス先を示すノードの登録を受け付け、前記第２の種別のノードに対応づけて情報に対する特定のマスク処理を示すノードと、情報カテゴリを示すノードとの登録を受け付けると、前記第１の種別のノードに対応づけて登録されたノードに対応するアクセス先に対して、サイバー攻撃イベントに関する情報の送信を許容するとともに、前記アクセス先に対するサイバー攻撃イベントに関する情報の送信を行う際に、前記第２の種別に対応づけて登録されたノードに対応する情報カテゴリに属する情報について前記第２の種別に対応づけて登録されたノードに対応する前記特定のマスク処理を実行してから提供するように制御する、
処理をコンピュータに実行させることを特徴とする制御プログラム。
【請求項２】
前記第１の種別のノードに対して、複数のアクセス先を登録可能である、
ことを特徴とする請求項１記載の制御プログラム。
【請求項３】
前記第２の種別のノードに対して、情報カテゴリを示すノードが複数登録された場合に、
登録された複数の情報カテゴリのそれぞれに属する全ての情報に対して前記特定のマスク処理を共通して適用して、前記アクセス先に提供するように制御する、
ことを特徴とする請求項１記載の制御プログラム。
【請求項４】
サイバー攻撃に関する情報の提供範囲の制御をコンピュータが実行する制御方法において、
第１の種別のノードと、第２の種別のノードとを表示し、
前記第１の種別のノードに対応づけてアクセス先を示すノードの登録を受け付け、前記第２の種別のノードに対応づけて情報に対する特定のマスク処理を示すノードと、情報カテゴリを示すノードとの登録を受け付けると、前記第１の種別のノードに対応づけて登録されたノードに対応するアクセス先に対して、サイバー攻撃イベントに関する情報の送信を許容するとともに、前記アクセス先に対するサイバー攻撃イベントに関する情報の送信を行う際に、前記第２の種別に対応づけて登録されたノードに対応する情報カテゴリに属する情報について前記第２の種別に対応づけて登録されたノードに対応する前記特定のマスク処理を実行してから提供するように制御する、
処理をコンピュータが実行することを特徴とする制御方法。
【請求項５】
サイバー攻撃に関する情報の提供範囲の制御を実行する情報処理装置において、
第１の種別のノードと、第２の種別のノードとを表示する表示部と、
前記第１の種別のノードに対応づけてアクセス先を示すノードの登録を受け付け、前記第２の種別のノードに対応づけて情報に対する特定のマスク処理を示すノードと、情報カテゴリを示すノードとの登録を受け付けると、前記第１の種別のノードに対応づけて登録されたノードに対応するアクセス先に対して、サイバー攻撃イベントに関する情報の送信を許容するとともに、前記アクセス先に対するサイバー攻撃イベントに関する情報の送信を行う際に、前記第２の種別に対応づけて登録されたノードに対応する情報カテゴリに属する情報について前記第２の種別に対応づけて登録されたノードに対応する前記特定のマスク処理を実行してから提供するように制御する制御部と、
を有することを特徴とする情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、制御プログラム、制御方法および情報処理装置に関する。
【背景技術】
【０００２】
近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃は多種多様な方法で実施される。よって、サイバー攻撃の対処には、多種多様なサイバー攻撃の情報を互いに提供しあって共有することが有効である。
【０００３】
サイバー攻撃の情報を提供する従来技術には、アプリケーションの脆弱性とそれに対する対策方法のセキュリティ情報を公開するセキュリティ情報公開サイトの認証システムが知られている。この認証システムでは、ネットワーク接続装置にセキュリティ認証情報の送信を要求し、その後送られてくるセキュリティ認証情報の比較結果に応じてネットワーク接続装置を接続する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第４８１６９２０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記の従来技術では、サイバー攻撃に関する情報に含まれる様々な情報カテゴリについての提供範囲を制御することが困難であるという問題がある。例えば、従来技術では、セキュリティ認証情報の比較結果に応じて接続したネットワーク接続装置にはセキュリティ情報をそのまま公開する。よって、サイバー攻撃に関する情報の提供により、個人情報などが含まれる情報カテゴリも公開され、個人が特定される場合がある。
【０００６】
１つの側面では、サイバー攻撃に関する情報の情報カテゴリについての提供範囲を制御できる制御プログラム、制御方法および情報処理装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
第１の案では、サイバー攻撃に関する情報の提供範囲の制御をコンピュータに実行させる制御プログラムにおいて、第１の種別のノードと、第２の種別のノードとを表示する処理をコンピュータに実行させる。また、制御プログラムは、第１の種別のノードに対応づけてアクセス先を示すノードの登録を受け付け、第２の種別のノードに対応づけて情報に対する特定のマスク処理を示すノードと、情報カテゴリを示すノードとの登録を受け付けると、第１の種別のノードに対応づけて登録されたノードに対応するアクセス先に対して、サイバー攻撃イベントに関する情報の送信を許容するとともに、アクセス先に対するサイバー攻撃イベントに関する情報の送信を行う際に、第２の種別に対応づけて登録されたノードに対応する情報カテゴリに属する情報について第２の種別に対応づけて登録されたノードに対応する特定のマスク処理を実行してから提供するように制御する処理をコンピュータに実行させる。
【発明の効果】
【０００８】
本発明の１実施態様によれば、サイバー攻撃に関する情報の情報カテゴリについての提供範囲を制御できる。
【図面の簡単な説明】
【０００９】
【図１】図１は、実施形態にかかる分析支援システムの構成例を示すブロック図である。
【図２】図２は、サイバー攻撃イベント情報を説明する説明図である。
【図３】図３は、サイバー攻撃イベント情報の一例を示す図である。
【図４】図４は、サーバ装置の機能構成例を示すブロック図である。
【図５】図５は、サーバ装置の動作例を示すフローチャートである。
【図６】図６は、設定画面を説明する説明図である。
【図７】図７は、サーバ装置の動作例を示すフローチャートである。
【図８】図８は、サイバー攻撃イベント情報のマスク処理を説明する説明図である。
【図９】図９は、実施形態にかかるサーバ装置のハードウエア構成の一例を示すブロック図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照して、実施形態にかかる制御プログラム、制御方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する制御プログラム、制御方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
【００１１】
図１は、実施形態にかかる分析支援システムの構成例を示すブロック図である。図１に示すように、分析支援システム１は、クライアント端末２およびサーバ装置３を有する。クライアント端末２およびサーバ装置３は、インターネット、ＬＡＮ（Local  Area  Network）などの通信ネットワーク（図示しない）を介して互いに通信可能に接続されている。
【００１２】
クライアント端末２は、ユーザが利用する端末装置であり、ＰＣ（Personal  Computer）やタブレット端末などを適用できる。クライアント端末２には、サイバー攻撃イベントについてのサイバー攻撃イベント情報４の登録と、サイバー攻撃イベント情報４を提供する提供範囲についての方針（ポリシー）の設定とをサーバ装置３に行うクライアント端末２ａがある。また、クライアント端末２には、サーバ装置３に登録されたサイバー攻撃イベント情報４について、ポリシーに従って提供を受けるクライアント端末２ｂ、２ｃがある。
【００１３】
サーバ装置３は、サイバー攻撃イベント情報４の登録や、サイバー攻撃イベント情報４の提供範囲についてのポリシーの設定を行う設定画面についての表示情報をクライアント端末２ａに送信する。クライアント端末２ａは、表示情報をもとに、液晶ディスプレイなどの表示部２０に設定画面を表示する。また、クライアント端末２ａは、操作キーやタッチパネルなどのユーザ・インターフェースである操作部２１より、サイバー攻撃イベント情報４の登録やポリシーの設定についての操作指示を受け付けて、登録を行うサイバー攻撃イベント情報４やポリシーの設定にかかる情報をサーバ装置３に送信する。
【００１４】
サーバ装置３は、クライアント端末２ａより受け付けたサイバー攻撃イベント情報４をサイバー攻撃イベント情報ＤＢ５に登録する。また、サーバ装置３は、クライアント端末２ａより受け付けたポリシーの設定にかかる情報をもとに、サイバー攻撃イベント情報４の提供範囲についてのポリシーの設定を設定情報６に登録する。
【００１５】
サーバ装置３は、クライアント端末２ａまたはクライアント端末２ｂ、２ｃからの送信依頼に応じてサイバー攻撃イベント情報ＤＢ５に登録されたサイバー攻撃イベント情報４を読み出す。次いで、サーバ装置３は、設定情報６に登録されたポリシーに従ってサイバー攻撃イベント情報４をクライアント端末２ｂ、２ｃに提供する。これにより、分析支援システム１では、サイバー攻撃に関するサイバー攻撃イベント情報４をクライアント端末２ａ〜２ｃで共有し、サイバー攻撃の分析を進めることができる。
【００１６】
サイバー攻撃イベント情報４は、監視対象の情報処理システム内におけるマルウェアの検出など、検出されたサイバー攻撃イベントに関するサイバー攻撃活動（キャンペーン（Campaigns）とも呼ぶ）を示す情報である。このサイバー攻撃イベント情報４は、例えば、サイバー攻撃を特徴付ける事象などを取り込んだサイバー攻撃活動に関連する項目を記述するための技術仕様であるＳＴＩＸ（Structured  Threat  Information  eXpression）に沿ったＳＴＩＸ言語で記述される。
【００１７】
具体的には、サイバー攻撃イベント情報４は、サイバー攻撃活動（Campaigns）とともに、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の種別（情報カテゴリ）ごとのイベント内容が含まれる。なお、ＴＴＰは、Tactics,  Techniques  and  Proceduresの略である。サイバー攻撃イベント情報４においてサイバー攻撃活動とともに含まれる内容は、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の一部又は全部の情報であってよい。
【００１８】
図２は、サイバー攻撃イベント情報４を説明する説明図である。図２に示すように、サイバー攻撃イベント情報４は、ＳＴＩＸ＿ＨｅａｄｅｒやＲｅｌａｔｅｄ＿Ｐａｃｋａｇｅｓの付属情報についてのフィールド４０ａ、４０ｊと、上記のサイバー攻撃活動に関連する各項目の情報についてのフィールド４０ｂ〜４０ｉとを有する。また、サイバー攻撃イベント情報４では、フィールド４０ａ〜４０ｊがリンクによって関連付けられている。例として、サイバー攻撃活動（Campaigns）のフィールド４０ｈは、各項目のフィールド（例えばフィールド４０ｃ、４０ｄ、４０ｆ、４０ｉ、４０ｊなど）にリンクされている。
【００１９】
サイバー攻撃活動（Campaigns）のフィールド４０ｈには、該当するサイバー攻撃活動における意図や攻撃活動の状態などが記述される。具体的には、フィールド４０ｈには、サイバー攻撃活動／攻撃者の意図（Intended_Effect）の情報が個別に記述される。また、フィールド４０ｈには、攻撃活動状態（campaign:Status）が個別に記述される。
【００２０】
攻撃者（Threat_Actors）のフィールド４０ｉには、サイバー攻撃の攻撃者のタイプ、攻撃者の動機、攻撃者の熟練度、攻撃者の意図などの視点からサイバー攻撃に寄与している人／組織についての情報が個別に記述される。例えば、フィールド４０ｉには、不正アクセス元（送信元）のＩＰアドレス、またはメールアドレス、ソーシャルネットワークサービスのアカウントの情報が記述される。
【００２１】
攻撃手口（TTPs）のフィールド４０ｄには、攻撃のパターン、攻撃者が用いたマルウェアまたはツールなどのリソース、攻撃者の攻撃基盤、攻撃対象についての情報が個別に記述される。なお、攻撃のパターン（ttp:Attack_Pattern）は、ＣＡＰＥＣ（Common  Attack  Pattern  Enumeration  and  Classification：共通攻撃パターン一覧）を使用して記述される。例えば、フィールド４０ｄには、サイバー攻撃に関与した情報処理装置に割り当てられたＩＰアドレス、情報処理装置からのアクセス先の少なくともいずれかの情報が記述される。
【００２２】
検知指標（Indicators）のフィールド４０ｃには、サイバー攻撃イベントを特徴づける指標を示す情報が個別に記述される。例えば、フィールド４０ｃでは、検知指標のタイプ、検知指標に関連する観測事象、攻撃段階フェーズ、痕跡などから検知指標を作成するために使用したツールと共に、サイバー攻撃を特徴づける指標について記述される。
【００２３】
観測事象（Observables）のフィールド４０ｂには、サイバー攻撃イベントによって観測された動作に関わる事象を示す情報が個別に記述される。例えば、フィールド４０ｂには、サイバー攻撃によって観測された事象として、ファイル名、ハッシュ値やファイルサイズ、レジストリの値、稼働中のサービス、ＨＴＴＰ要求などが記述される。また、記述には、サイバー攻撃の観測事象を記述するための仕様であるＣｙｂＯＸが使用される。
【００２４】
インシデント（Incidents）のフィールド４０ｆには、どのようなインシデントなのかという分類、インシデントの関与者(報告者、対応者、調整者、被害者)、インシデントによる被害を受けた資産(所有者、管理者、場所)、インシデントによる直接的／間接的な影響、インシデント対処の状況などの視点から、サイバー攻撃によって発生した事案の情報が個別に記述される。例えば、フィールド４０ｆには、サイバー攻撃の攻撃者により被害を受けた資産の所有者または管理者、資産の場所の情報が個別に記述される。
【００２５】
対処措置（Courses_Of_Action）のフィールド４０ｇには、対処措置の状況、対処措置のタイプ、対処措置の目的、影響、費用、有効性などの視点から、サイバー攻撃イベントによる脅威に対処するための措置を示す情報が個別に記述される。
【００２６】
攻撃対象（Exploit_Targets）のフィールド４０ｅには、脆弱性、脆弱性の種類、設定や構成などの視点から、攻撃の対象となりうるソフトウェアやシステムの弱点など、サイバー攻撃イベントにおいて攻撃の対象となる資産の弱点を示す情報が個別に記述される。
【００２７】
例えば、フィールド４０ｅでは、脆弱性を記述するためにＣＶＥ（Common  Vulnerability  and  Exposures：共通脆弱性識別子）を使用する。また、フィールド４０ｅでは、脆弱性の種類を記述するためにＣＷＥ（Common  Weakness  Enumeration：共通脆弱性タイプ一覧）を使用する。また、フィールド４０ｅでは、設定上のセキュリティ問題を記述するためにＣＣＥ（Common  Configuration  Enumeration：共通セキュリティ設定一覧）を使用する。
【００２８】
図３は、サイバー攻撃イベント情報４の一例を示す図である。図３に示すように、サイバー攻撃イベント情報４は、ＸＭＬ（eXtensible  Markup  Language）形式により、タグを付けた要素を階層化（入れ子構造）してルートの要素からの木構造で上記の情報を記述する。具体的には、サイバー攻撃イベント情報４は、サイバー攻撃イベントにおけるサイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを要素とし、各要素内の情報を子要素とする木構造で記述している。
【００２９】
図４は、サーバ装置３の機能構成例を示すブロック図である。図４に示すように、サーバ装置３は、設定画面表示部３０、入力部３１、登録部３２、記憶部３３、送信部３４および送信制御部３５を有する。
【００３０】
設定画面表示部３０は、サイバー攻撃イベント情報４の登録や、サイバー攻撃イベント情報４の提供範囲についてのポリシーの設定を行う設定画面についての表示情報を生成し、クライアント端末２ａに送信する。クライアント端末２ａでは、設定画面表示部３０より送信された表示情報をもとに、サイバー攻撃イベント情報４の登録や、サイバー攻撃イベント情報４の提供範囲についてのポリシーの設定を行う設定画面を表示部２０に表示する。
【００３１】
入力部３１は、クライアント端末２より通信ネットワークなどを介して送信される情報の入力を受け付ける。具体的には、入力部３１は、クライアント端末２より送信される登録対象のサイバー攻撃イベント情報４や操作情報を受け付ける。
【００３２】
操作情報は、クライアント端末２がユーザより操作部２１を介して受け付けた操作指示に対応する情報である。例えば、操作情報には、クライアント端末２ａにおいて受け付けた、サイバー攻撃イベント情報４の提供範囲についてのポリシーの設定にかかる情報がある。また、操作情報には、クライアント端末２ａまたはクライアント端末２ｂ、２ｃにおいて受け付けた、サイバー攻撃イベント情報ＤＢ５に格納されたサイバー攻撃イベント情報４の送信依頼にかかる情報がある。
【００３３】
入力部３１は、クライアント端末２ａより受け付けた登録対象のサイバー攻撃イベント情報４や、サイバー攻撃イベント情報４の提供範囲についてのポリシーの設定にかかる情報を登録部３２へ出力する。また、入力部３１は、クライアント端末２ａ〜２ｃより受け付けた、サイバー攻撃イベント情報ＤＢ５に格納されたサイバー攻撃イベント情報４の送信依頼にかかる情報を送信部３４へ出力する。
【００３４】
登録部３２は、クライアント端末２ａより受け付けた登録対象のサイバー攻撃イベント情報４を記憶部３３のサイバー攻撃イベント情報ＤＢ５に登録する。また、登録部３２は、クライアント端末２ａより受け付けた、サイバー攻撃イベント情報４の提供範囲についてのポリシーの設定にかかる情報を記憶部３３の設定情報６に登録（更新）する。記憶部３３は、ハードディスク装置５０９（図９参照）などの記憶装置であり、サイバー攻撃イベント情報ＤＢ５および設定情報６を記憶する。
【００３５】
サイバー攻撃イベント情報ＤＢ５は、データの登録および検索を可能とするデータベース（ＤＢ）である。例えば、クライアント端末２ａより受け付けたサイバー攻撃イベント情報４は、登録部３２により識別子（ＩＤ）などが付与されてサイバー攻撃イベント情報ＤＢ５に登録される。
【００３６】
設定情報６は、クライアント端末２より入力部３１を介して入力され、登録部３２により登録された、各種の設定内容を示す情報である。具体的には、設定情報６には、サイバー攻撃イベント情報４の提供範囲についてのポリシーの設定にかかる情報がある。設定情報６におけるポリシーの設定については、分析支援システム１全体のポリシーであってもよいし、サイバー攻撃イベント情報４ごとのポリシーであってもよい。例えば、サイバー攻撃イベント情報４ごとのポリシーの場合は、登録部３２によりサイバー攻撃イベント情報ＤＢ５に登録されたサイバー攻撃イベント情報４の識別子（ＩＤ）とともに、ポリシーの設定にかかる情報が設定情報６に登録される。
【００３７】
ここで、サイバー攻撃イベント情報４の提供範囲についてのポリシーの設定登録について、詳細に説明する。図５は、サーバ装置３の動作例を示すフローチャートであり、ポリシーの設定登録にかかる動作例を説明する図である。
【００３８】
図５に示すように、処理が開始されると、設定画面表示部３０は、サイバー攻撃イベント情報４の提供範囲についてのポリシーの設定を行う設定画面についての表示情報を生成し、クライアント端末２ａに出力する。クライアント端末２ａでは、設定画面表示部３０からの表示情報をもとに、設定画面を表示部２０に表示する（Ｓ１）。入力部３１は、設定画面においてクライアント端末２ａで入力された操作情報を受け付ける（Ｓ２）。
【００３９】
図６は、設定画面を説明する説明図である。図６に示すように、設定画面２００は、コンソール２０１、ポリシー選択領域２１０、ポリシー表示領域２２０および設定アイコン表示領域２３０を有する。
【００４０】
コンソール２０１は、クライアント端末２ａが操作部２１より受け付けた操作情報に応じて操作されるマウスカーソルなどである。ポリシー選択領域２１０は、設定情報６に設定（登録）済みのポリシーの一覧を表示し、選択を受け付ける領域である。
【００４１】
設定画面表示部３０は、記憶部３３の設定情報６を参照することで、ポリシー選択領域２１０に設定済みのポリシーを一覧表示する表示情報を生成する。また、設定画面表示部３０は、ポリシー選択領域２１０においてコンソール２０１により選択されたポリシーがある場合、選択されたポリシーの設定情報６を記憶部３３より読み出す。次いで、設定画面表示部３０は、読み出した設定情報６をもとに、選択されたポリシーの内容をポリシー表示領域２２０に表示する表示情報を生成する。
【００４２】
ポリシー表示領域２２０は、サイバー攻撃イベント情報４の提供範囲についてのポリシーの内容を、ルートのノードから末端のノードへの木構造で表示する領域である。具体的には、ポリシー表示領域２２０では、例えば「Ｒｕｌｅ＿Ｐｌｌ」という名称の１つのポリシーを示す方針ノード３０１をルートとし、このルートに対してアクセス先のポリシーを設定するアクセス先方針ノード３０２が結線で接続して対応付けられている。アクセス先方針ノード３０２には、アクセス先ノード３０２ａ、３０２ｂが結線により対応付けられている。この方針ノード３０１のルートからアクセス先ノード３０２ａ、３０２ｂに至る木構造により、「Ｒｕｌｅ＿Ｐｌｌ」という名称の１つのポリシーについて、サイバー攻撃イベント情報４の提供を許容するアクセス先が示されている。
【００４３】
また、方針ノード３０１のルートに対してマスク（例えば匿名化）処理の対象を設定する情報カテゴリ方針ノード３０３が結線で接続して対応付けられている。情報カテゴリ方針ノード３０３には、マスク処理の内容を示すマスク処理ノード３０４と、マスク処理の対象となる情報カテゴリを示す情報カテゴリノード３０３ａ〜３０３ｄとが結線により対応付けられている。この方針ノード３０１のルートからマスク処理ノード３０４および情報カテゴリノード３０３ａ〜３０３ｄに至る木構造により、「Ｒｕｌｅ＿Ｐｌｌ」という名称の１つのポリシーについて、サイバー攻撃イベント情報４を提供する際に行うマスク処理の内容と、マスク処理の対象とする情報カテゴリが示されている。
【００４４】
同様に、「Ｒｕｌｅ＿ｉｎｆｒａ」という名称の１つのポリシーを示す方針ノード３１１をルートとし、このルートに対してアクセス先のポリシーを設定するアクセス先方針ノード３１２が結線で接続して対応付けられている。アクセス先方針ノード３１２には、アクセス先ノード３１２ａが結線により対応付けられている。この方針ノード３１１のルートからアクセス先ノード３１２ａに至る木構造により、「Ｒｕｌｅ＿ｉｎｆｒａ」という名称の１つのポリシーについての、サイバー攻撃イベント情報４の提供を許容するアクセス先が示されている。
【００４５】
また、方針ノード３１１のルートに対してマスク処理の対象を設定する情報カテゴリ方針ノード３１３が結線で接続して対応付けられている。情報カテゴリ方針ノード３１３には、マスク処理の内容を示すマスク処理ノード３１４と、マスク処理の対象となる情報カテゴリを示す情報カテゴリノード３１３ａ、３１３ｂとが結線により対応付けられている。この方針ノード３１１のルートからマスク処理ノード３１４および情報カテゴリノード３１３ａ、３１３ｂに至る木構造により、「Ｒｕｌｅ＿ｉｎｆｒａ」という名称の１つのポリシーについて、サイバー攻撃イベント情報４を提供する際に行うマスク処理の内容と、マスク処理の対象とする情報カテゴリが示されている。
【００４６】
なお、ポリシー表示領域２２０には、設定対象とする１つのポリシーについての内容（例えば方針ノード３０１をルートとする木構造）を表示してもよいし、図示例のように複数のポリシーについての内容を並べて表示してもよい。
【００４７】
設定アイコン表示領域２３０は、ポリシー表示領域２２０において各ノードの設定を行う設定アイコン２３１の表示領域である。設定アイコン２３１は、アクセス先方針ノード３０２、３１２や、情報カテゴリ方針ノード３０３、情報カテゴリ方針ノード３１３に接続してポリシーの設定を行うアイコンである。例えば、ユーザは、コンソール２０１により所定の設定アイコン２３１を選択する。ついで、ユーザは、選択した設定アイコン２３１をポリシー表示領域２２０におけるアクセス先方針ノード３０２、３１２や、情報カテゴリ方針ノード３０３、情報カテゴリ方針ノード３１３に接続する操作（例えばドラック・アンド・ドロップ）を行う。
【００４８】
例えば、「ＧＯＶＥＲＮＭＥＮＴ＿Ｃｏｍｍｕｎｉｔｙ」というアクセス先を示す設定アイコン２３１を選択してアクセス先方針ノード３０２に接続することで、「ＧＯＶＥＲＮＭＥＮＴ＿Ｃｏｍｍｕｎｉｔｙ」に対応するアクセス先ノード３０２ａを、許容するアクセス先のポリシーに追加することができる。さらに、「ＩＮＤＵＳＴＲＹ＿Ｃｏｍｍｕｎｉｔｙ」というアクセス先を示す設定アイコン２３１を選択してアクセス先方針ノード３０２に接続することで、「ＩＮＤＵＳＴＲＹ＿Ｃｏｍｍｕｎｉｔｙ」に対応するアクセス先ノード３０２ｂを、許容するアクセス先のポリシーに追加することができる。このようにして、アクセス先方針ノード３０２には、複数のアクセス先についてのポリシーを設定することができる。
【００４９】
同様に、「ＲＥＤＡＣＴ＿Ｐｌｌ」というマスク処理の内容を示す設定アイコン２３１を選択して情報カテゴリ方針ノード３０３に接続することで、「ＲＥＤＡＣＴ＿Ｐｌｌ」に対応するマスク処理ノード３０４をマスク処理のポリシーに追加することができる。また、「ｉｎｃｉｄｅｎｔＭｏｄｅｌ」というインシデント（Incidents）の情報カテゴリを示す設定アイコン２３１を選択して情報カテゴリ方針ノード３０３に追加することで、インシデントに対応する情報カテゴリノード３０３ａをマスク処理のポリシーに追加することができる。同様にして情報カテゴリノード３０３ｂ〜３０３ｄを追加することで、複数の情報カテゴリ（例えば、サイバー攻撃活動、検知指標、攻撃者など）についても、マスク処理ノード３０４に対応するマスク処理を共通して適用することができる。
【００５０】
なお、ポリシー表示領域２２０におけるポリシーの内容は、削除対象とするノードをコンソール２０１で選択して削除指示を行うことで削除することができる。例えば、コンソール２０１によりアクセス先ノード３０２ａを選択して削除指示を行うことで、「ＧＯＶＥＲＮＭＥＮＴ＿Ｃｏｍｍｕｎｉｔｙ」というアクセス先を許容するポリシーを削除することができる。
【００５１】
図５に戻り、入力部３１は、クライアント端末２ａからの操作情報をもとに、設定画面２００に表示された内容での設定登録の有無を判定する（Ｓ３）。設定画面２００に表示された内容での設定登録の操作指示がない場合（Ｓ３：ＮＯ）、入力部３１は、Ｓ１へ処理を戻し、設定画面２００による設定を継続する。
【００５２】
設定画面２００に表示された内容での設定登録の操作指示がある場合（Ｓ３：ＹＥＳ）、登録部３２は、ポリシー表示領域２２０に表示されたポリシーの内容を設定情報６に登録し、設定情報６の更新を行う（Ｓ５）。一例として、登録部３２は、ルートのノードから末端のノードに至る木構造で示されたポリシーの内容を、対応する木構造のＸＭＬ形式データに変換して設定情報６に登録する。なお、サイバー攻撃イベント情報４ごとにポリシーを設定する場合は、サイバー攻撃イベント情報４の識別子（ＩＤ）とともに、変換後のＸＭＬ形式データを設定情報６に登録する。
【００５３】
図４に戻り、送信部３４は、クライアント端末２ａ〜２ｃより受け付けた、サイバー攻撃イベント情報ＤＢ５に格納されたサイバー攻撃イベント情報４の送信依頼にかかる情報をもとに、サイバー攻撃イベント情報ＤＢ５よりサイバー攻撃イベント情報４を読み出して依頼のあったサイバー攻撃イベント情報４を送信する。
【００５４】
送信制御部３５は、送信部３４におけるサイバー攻撃イベント情報４の送信を制御する。具体的には、送信制御部３５は、送信部３４がサイバー攻撃イベント情報４を送信する際に、設定情報６に登録されたポリシーを参照し、登録されたポリシーに示される提供範囲でサイバー攻撃イベント情報４を送信するように制御する。
【００５５】
図７は、サーバ装置３の動作例を示すフローチャートであり、サイバー攻撃イベント情報４の送信にかかる動作例を説明する図である。
【００５６】
図７に示すように、処理が開始されると、送信部３４は、サイバー攻撃イベント情報４の送信依頼の有無を判定する（Ｓ１０）。送信依頼がない場合（Ｓ１０：ＮＯ）、送信部３４は処理を待機する。
【００５７】
送信依頼がある場合（Ｓ１０：ＹＥＳ）、送信部３４は、送信依頼のあったサイバー攻撃イベント情報４を、識別子などをもとにサイバー攻撃イベント情報ＤＢ５より取得する（Ｓ１１）。次いで、送信制御部３５は、設定情報６を取得し（Ｓ１２）、サイバー攻撃イベント情報４の送信にかかるポリシーを得る。なお、サイバー攻撃イベント情報４ごとにポリシーが設定されている場合、送信制御部３５は、送信依頼のあったサイバー攻撃イベント情報４の識別子をもとに、識別子とともに登録されているポリシーを設定情報６より取得する。
【００５８】
次いで、送信制御部３５は、取得したポリシーをもとに、送信依頼のあった送信先が、送信を許容する送信先であるか否かを判定する（Ｓ１３）。具体的には、アクセス先方針ノードに接続されたアクセス先ノードに送信依頼のあった送信先が含まれている場合、送信制御部３５は、許容する送信先であると判定する。
【００５９】
許容する送信先でない場合（Ｓ１３：ＮＯ）、送信制御部３５は、送信部３４にエラーを送信させる（Ｓ１４）。これにより、送信依頼のあった送信先が設定情報６のポリシーにおいて許容する送信先でない場合には、エラーが送信され、サイバー攻撃イベント情報４の送信が拒絶されることとなる。
【００６０】
許容する送信先である場合（Ｓ１３：ＹＥＳ）、送信制御部３５は、取得したポリシーをもとに、マスクする情報カテゴリの有無を判定する（Ｓ１５）。具体的には、情報カテゴリ方針ノードに情報カテゴリノードが接続されている場合、送信制御部３５は、マスクする情報カテゴリがあるものと判定する。マスクする情報カテゴリがない場合（Ｓ１５：ＮＯ）、送信制御部３５は、Ｓ１８に処理を進める。
【００６１】
マスクする情報カテゴリがある場合（Ｓ１５：ＹＥＳ）、送信制御部３５は、取得したポリシーをもとに、マスクする情報カテゴリに対するマスク処理を送信部３４に指定する（Ｓ１６）。具体的には、送信制御部３５は、情報カテゴリ方針ノードに接続されているマスク処理ノードに対応するマスク処理の内容を、情報カテゴリノードに対応する情報カテゴリに行うように送信部３４に指定する。なお、マスク処理の一例としては、対象となる情報カテゴリに含まれるメールアドレスやＩＰアドレスなどの個人情報を匿名化するものがある。
【００６２】
次いで、送信部３４は、送信制御部３５により指定された情報カテゴリに対して、指定されたマスク処理を実行する（Ｓ１７）。次いで、送信制御部３５は、送信部３４にサイバー攻撃イベント情報４を送信させる（Ｓ１８）。これにより、マスク処理が実行されている場合は、マスク処理後のサイバー攻撃イベント情報４が送信されることとなる。
【００６３】
図８は、サイバー攻撃イベント情報のマスク処理を説明する説明図である。図８において、サイバー攻撃イベント情報４Ａはマスク処理の実行前のサイバー攻撃イベント情報を、サイバー攻撃イベント情報４Ｂはマスク処理の実行後のサイバー攻撃イベント情報を示す。なお、ポリシーとして設定されているマスク処理の内容は、メールアドレスを匿名化するものとする。
【００６４】
図８に示すように、マスク処理を適用することで、マスク処理前のサイバー攻撃イベント情報４Ａにおけるメールアドレス４０１Ａは、マスク処理後のサイバー攻撃イベント情報４Ｂにおいて匿名化されたメールアドレス４０１Ｂとなる。また、マスク処理のポリシーが設定されていない時刻情報４０２Ａについては、マスク処理後のサイバー攻撃イベント情報４Ｂにおいて匿名化されることなく、時刻情報４０２Ｂとして残されている。
【００６５】
このように、設定情報６のポリシーをもとに、送信が許容される送信先に対しては、ポリシーにおいてマスクする情報カテゴリの設定がない場合は、そのままのサイバー攻撃イベント情報４が提供されることとなる。また、ポリシーにおいてマスク設定のある情報カテゴリについては、マスク処理が行われたサイバー攻撃イベント情報４が提供されることとなる。このように、サーバ装置３は、サイバー攻撃に関するサイバー攻撃イベント情報４の情報カテゴリについての提供範囲を制御できる。
【００６６】
以上のように、サーバ装置３は、アクセス先方針ノードに対応づけてアクセス先を示すノードの登録を受け付け、情報カテゴリ方針ノードに対応づけて情報に対する特定のマスク処理を示すマスク処理ノードと、情報カテゴリを示す情報カテゴリノードとの登録をクライアント端末２ａより受け付ける。また、サーバ装置３は、サイバー攻撃イベント情報４の送信依頼があった場合、アクセス先方針ノードに対応づけて登録されたノードに対応するアクセス先に対して、サイバー攻撃イベント情報４の送信を許容する。また、サーバ装置３は、サイバー攻撃イベント情報４の送信を行う際に、情報カテゴリ方針ノードに対応づけて登録された情報カテゴリノードに属する情報について、情報カテゴリ方針ノードに対応付けて登録されたマスク処理ノードに対応する特定のマスク処理を実行してから送信先に提供するように制御する。
【００６７】
これにより、サーバ装置３は、送信先に対して、サイバー攻撃イベント情報４の情報カテゴリについての提供範囲を制御でき、例えば個人情報などが含まれる情報カテゴリをマスクすることで個人情報の漏洩を抑止できる。
【００６８】
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００６９】
また、サーバ装置３で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、サーバ装置３で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
【００７０】
また、本実施形態ではクライアント端末２およびサーバ装置３を含むクライアント・サーバ（Ｃ／Ｓ）モデルの分析支援システム１を例示したが、分析支援システム１については、サーバ装置３の各種処理機能をクライアント端末２ａ側で実行する、クライアント端末２ａ単体の装置構成であってもよい。
【００７１】
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図９は、実施形態にかかるサーバ装置３のハードウエア構成の一例を示すブロック図である。
【００７２】
図９に示すように、サーバ装置３は、各種演算処理を実行するＣＰＵ５０１と、データ入力を受け付ける入力装置５０２と、モニタ５０３と、スピーカ５０４とを有する。また、サーバ装置３は、記憶媒体からプログラム等を読み取る媒体読取装置５０５と、各種装置と接続するためのインタフェース装置５０６と、有線または無線により外部機器と通信接続するための通信装置５０７とを有する。また、サーバ装置３は、各種情報を一時記憶するＲＡＭ５０８と、ハードディスク装置５０９とを有する。また、サーバ装置３内の各部（５０１〜５０９）は、バス５１０に接続される。
【００７３】
ハードディスク装置５０９には、上記の実施形態で説明した入力部３１、登録部３２、送信部３４および送信制御部３５における各種の処理を実行するためのプログラム５１１が記憶される。また、ハードディスク装置５０９には、プログラム５１１が参照する各種データ５１２（サイバー攻撃イベント情報ＤＢ５など）が記憶される。入力装置５０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ５０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置５０６は、例えば印刷装置等が接続される。通信装置５０７は、ＬＡＮ（Local  Area  Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
【００７４】
ＣＰＵ５０１は、ハードディスク装置５０９に記憶されたプログラム５１１を読み出して、ＲＡＭ５０８に展開して実行することで、各種の処理を行う。なお、プログラム５１１は、ハードディスク装置５０９に記憶されていなくてもよい。例えば、サーバ装置３が読み取り可能な記憶媒体に記憶されたプログラム５１１を読み出して実行するようにしてもよい。サーバ装置３が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal  Serial  Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム５１１を記憶させておき、サーバ装置３がこれらからプログラム５１１を読み出して実行するようにしてもよい。
【符号の説明】
【００７５】
１…分析支援システム
２、２ａ〜２ｃ…クライアント端末
３…サーバ装置
４、４Ａ、４Ｂ…サイバー攻撃イベント情報
５…サイバー攻撃イベント情報ＤＢ
６…設定情報
２０…表示部
２１…操作部
３０…設定画面表示部
３１…入力部
３２…登録部
３３…記憶部
３４…送信部
３５…送信制御部
４０ａ〜４０ｊ…フィールド
２００…設定画面
２０１…コンソール
２１０…ポリシー選択領域
２２０…ポリシー表示領域
２３０…設定アイコン表示領域
２３１…設定アイコン
３０１、３１１…方針ノード
３０２、３１２…アクセス先方針ノード
３０２ａ、３０２ｂ、３１２ａ…アクセス先ノード
３０３、３１３…情報カテゴリ方針ノード
３０３ａ〜３０３ｄ、３１３ａ、３１３ｂ…情報カテゴリノード
３０４、３１４…マスク処理ノード
４０１Ａ、４０１Ｂ…メールアドレス
４０２Ａ、４０２Ｂ…時刻情報
５０１…ＣＰＵ
５０２…入力装置
５０３…モニタ
５０４…スピーカ
５０５…媒体読取装置
５０６…インタフェース装置
５０７…通信装置
５０８…ＲＡＭ
５０９…ハードディスク装置
５１０…バス
５１１…プログラム
５１２…各種データ
【図１】
2018032356.tif 000003
【図２】
2018032356.tif 000004
【図３】
2018032356.tif 000005
【図４】
2018032356.tif 000006
【図５】
2018032356.tif 000007
【図６】
2018032356.tif 000008
【図７】
2018032356.tif 000009
【図８】
2018032356.tif 000010
【図９】
2018032356.tif 000011