(57)【要約】【課題】サイバー攻撃イベントの内容をユーザに分かり易く提示する。【解決手段】実施形態のサイバー攻撃分析支援プログラムは、監視対象の情報処理システム内におけるマルウェアの検出に応じてサイバー攻撃イベントに関して、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の各種別の一部又は全部について情報の登録を受け付ける処理をコンピュータに実行させる。また、サイバー攻撃分析支援プログラムは、サイバー攻撃イベントについて登録された情報の表示を行う際に、表示する情報が対応する種別を代表するノードの配下のノードとして結線された状態で表示する処理をコンピュータに実行させる。【選択図】図４
2018032355.tif 000002
【特許請求の範囲】
【請求項１】
監視対象の情報処理システム内におけるマルウェアの検出に応じてサイバー攻撃イベントに関して、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の各種別の一部又は全部について情報の登録を受け付け、
前記サイバー攻撃イベントについて登録された情報の表示を行う際に、表示する情報が対応する種別を代表するノードの配下のノードとして結線された状態で表示する、
処理をコンピュータに実行させることを特徴とするサイバー攻撃分析支援プログラム。
【請求項２】
前記攻撃者の情報は、前記サイバー攻撃イベントの送信元メールアドレス、ソーシャルネットワークサービスのアカウントの情報である
ことを特徴とする請求項１に記載のサイバー攻撃分析支援プログラム。
【請求項３】
前記攻撃手口の情報は、攻撃のパターン、前記攻撃者が用いたリソース、前記攻撃者の攻撃基盤、攻撃対象の情報である
ことを特徴とする請求項１または２に記載のサイバー攻撃分析支援プログラム。
【請求項４】
前記検知指標の情報は、前記サイバー攻撃イベントを特徴づける指標を示す情報である
ことを特徴とする請求項１乃至３のいずれか一項に記載のサイバー攻撃分析支援プログラム。
【請求項５】
前記観測事象の情報は、前記サイバー攻撃イベントによって観測された動作に関わる事象を示す情報である
ことを特徴とする請求項１乃至４のいずれか一項に記載のサイバー攻撃分析支援プログラム。
【請求項６】
前記インシデントの情報は、前記攻撃者により被害を受けた資産の所有者または管理者、前記資産の場所の情報である
ことを特徴とする請求項１乃至５のいずれか一項に記載のサイバー攻撃分析支援プログラム。
【請求項７】
前記対処措置の情報は、前記サイバー攻撃イベントによる脅威に対処するための処置を示す情報である
ことを特徴とする請求項１乃至６のいずれか一項に記載のサイバー攻撃分析支援プログラム。
【請求項８】
前記攻撃対象の情報は、前記サイバー攻撃イベントにおいて攻撃の対象となる資産の弱点を示す情報である
ことを特徴とする請求項１乃至７のいずれか一項に記載のサイバー攻撃分析支援プログラム。
【請求項９】
前記サイバー攻撃イベントと所定の類似関係を満たす他のサイバー攻撃イベントがある場合に、前記サイバー攻撃イベントについて登録された特定の種別の情報と、前記他のサイバー攻撃イベントについて登録された前記特定の種別と同じ種別の情報との間で関連性があるか否か判定し、判定結果に応じて、前記特定の種別の情報に対応するノードと前記特定の種別と同じ種別の情報に対応するノードとの間を関連づける表示を行う、
処理をコンピュータに実行させることを特徴とする請求項１乃至８のいずれか一項に記載のサイバー攻撃支援プログラム。
【請求項１０】
監視対象の情報処理システム内におけるマルウェアの検出に応じてサイバー攻撃イベントに関して、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の各種別の一部又は全部について情報の登録を受け付け、
前記サイバー攻撃イベントについて登録された情報の表示を行う際に、表示する情報が対応する種別を代表するノードの配下のノードとして結線された状態で表示する、
処理をコンピュータが実行することを特徴とするサイバー攻撃分析支援方法。
【請求項１１】
監視対象の情報処理システム内におけるマルウェアの検出に応じてサイバー攻撃イベントに関して、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の各種別の一部又は全部について情報の登録を受け付ける入力部と、
前記サイバー攻撃イベントについて登録された情報の表示を行う際に、表示する情報が対応する種別を代表するノードの配下のノードとして結線された状態で表示する表示処理部と
を有することを特徴とするサイバー攻撃分析支援装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、サイバー攻撃分析支援プログラム、サイバー攻撃分析支援方法およびサイバー攻撃分析支援装置に関する。
【背景技術】
【０００２】
近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃は多種多様な方法で実施される。よって、サイバー攻撃の対処には、過去に検知したサイバー攻撃ごとに、サイバー攻撃のイベント内容を分析して評価することが重要である。
【０００３】
このサイバー攻撃を評価する従来技術には、検知されたセキュリティインシデントの情報よりインシデントメタ情報を抽出する。そして、抽出されたインシデントメタ情報に示されるシナリオ要素を用いて検知されたセキュリティインシデントの発生シナリオを生成し、生成された発生シナリオに対する評価値を設定するものがある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第４７７３３３２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記の従来技術では、ユーザは、サイバー攻撃イベントごとの評価値を知ることができるが、サイバー攻撃イベントの内容が判りにくいという問題がある。
【０００６】
例えば、サイバー攻撃イベントには、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の種別ごとのイベント内容がある。これらのイベント内容は、個々のサイバー攻撃イベントにおいて特徴的なものとなる。しかしながら、単なる評価値では、個々のサイバー攻撃イベントにおいて特徴的なイベント内容を把握することは困難である。
【０００７】
１つの側面では、サイバー攻撃イベントの内容をユーザに分かり易く提示できる。
【課題を解決するための手段】
【０００８】
第１の案では、サイバー攻撃分析支援プログラムは、監視対象の情報処理システム内におけるマルウェアの検出に応じてサイバー攻撃イベントに関して、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の各種別の一部又は全部について情報の登録を受け付ける処理をコンピュータに実行させる。また、サイバー攻撃分析支援プログラムは、サイバー攻撃イベントについて登録された情報の表示を行う際に、表示する情報が対応する種別を代表するノードの配下のノードとして結線された状態で表示する処理をコンピュータに実行させる。
【発明の効果】
【０００９】
本発明の１実施態様によれば、サイバー攻撃イベントの内容をユーザに分かり易く提示できる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施形態にかかる分析支援システムの構成例を示すブロック図である。
【図２】図２は、サイバー攻撃イベント情報を説明する説明図である。
【図３】図３は、サイバー攻撃イベント情報の一例を示す図である。
【図４】図４は、サーバ装置の機能構成例を示すブロック図である。
【図５】図５は、サーバ装置の動作例を示すフローチャートである。
【図６】図６は、表示画面を説明する説明図である。
【図７】図７は、サーバ装置の動作例を示すフローチャートである。
【図８】図８は、ノードの詳細表示を説明する説明図である。
【図９】図９は、類似するサイバー攻撃イベントの表示例を説明する説明図である。
【図１０】図１０は、実施形態にかかるサーバ装置のハードウエア構成の一例を示すブロック図である。
【発明を実施するための形態】
【００１１】
以下、図面を参照して、実施形態にかかるサイバー攻撃分析支援プログラム、サイバー攻撃分析支援方法およびサイバー攻撃分析支援装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するサイバー攻撃分析支援プログラム、サイバー攻撃分析支援方法およびサイバー攻撃分析支援装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
【００１２】
図１は、実施形態にかかる分析支援システムの構成例を示すブロック図である。図１に示すように、分析支援システム１は、クライアント端末２およびサーバ装置３を有する。クライアント端末２およびサーバ装置３は、インターネット、ＬＡＮ（Local  Area  Network）などの通信ネットワーク（図示しない）を介して互いに通信可能に接続されている。
【００１３】
クライアント端末２は、ユーザが利用する端末装置であり、ＰＣ（Personal  Computer）やタブレット端末などを適用できる。クライアント端末２は、ユーザの操作などを介し、監視対象の情報処理システム内におけるマルウェアの検出に応じたサイバー攻撃イベントについてのサイバー攻撃イベント情報４を受け付ける。クライアント端末２は、受け付けたサイバー攻撃イベント情報４をサーバ装置３へ送信する。
【００１４】
サーバ装置３は、クライアント端末２より受け付けたサイバー攻撃イベント情報４をサイバー攻撃イベント情報ＤＢ５に登録する。また、サーバ装置３は、クライアント端末２より受け付けたサイバー攻撃イベント情報４の内容を示す表示情報を生成し、生成した表示情報をクライアント端末２へ出力する。クライアント端末２は、サーバ装置３より出力された表示情報を液晶ディスプレイなどの表示部２ａに表示することで、サイバー攻撃イベントの内容をユーザに提示する。
【００１５】
サイバー攻撃イベント情報４は、監視対象の情報処理システム内におけるマルウェアの検出など、検出されたサイバー攻撃イベントに関するサイバー攻撃活動（キャンペーン（Campaigns）とも呼ぶ）を示す情報である。このサイバー攻撃イベント情報４は、例えば、サイバー攻撃を特徴付ける事象などを取り込んだサイバー攻撃活動に関連する項目を記述するための技術仕様であるＳＴＩＸ（Structured  Threat  Information  eXpression）に沿ったＳＴＩＸ言語で記述される。
【００１６】
具体的には、サイバー攻撃イベント情報４は、サイバー攻撃活動（Campaigns）とともに、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の種別ごとのイベント内容が含まれる。なお、ＴＴＰは、Tactics,  Techniques  and  Proceduresの略である。サイバー攻撃イベント情報４においてサイバー攻撃活動とともに含まれる内容は、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の一部又は全部の情報であってよい。
【００１７】
図２は、サイバー攻撃イベント情報４を説明する説明図である。図２に示すように、サイバー攻撃イベント情報４は、ＳＴＩＸ＿ＨｅａｄｅｒやＲｅｌａｔｅｄ＿Ｐａｃｋａｇｅｓの付属情報についてのフィールド４０ａ、４０ｊと、上記のサイバー攻撃活動に関連する各項目の情報についてのフィールド４０ｂ〜４０ｉとを有する。また、サイバー攻撃イベント情報４では、フィールド４０ａ〜４０ｊがリンクによって関連付けられている。例として、サイバー攻撃活動（Campaigns）のフィールド４０ｈは、各項目のフィールド（例えばフィールド４０ｃ、４０ｄ、４０ｆ、４０ｉ、４０ｊなど）にリンクされている。
【００１８】
サイバー攻撃活動（Campaigns）のフィールド４０ｈには、該当するサイバー攻撃活動における意図や攻撃活動の状態などが記述される。具体的には、フィールド４０ｈには、サイバー攻撃活動／攻撃者の意図（Intended_Effect）の情報が個別に記述される。また、フィールド４０ｈには、攻撃活動状態（campaign:Status）が個別に記述される。
【００１９】
攻撃者（Threat_Actors）のフィールド４０ｉには、サイバー攻撃の攻撃者のタイプ、攻撃者の動機、攻撃者の熟練度、攻撃者の意図などの視点からサイバー攻撃に寄与している人／組織についての情報が個別に記述される。例えば、フィールド４０ｉには、サイバー攻撃イベントの送信元メールアドレス、ソーシャルネットワークサービスのアカウントの情報が記述される。
【００２０】
攻撃手口（TTPs）のフィールド４０ｄには、攻撃のパターン、攻撃者が用いたマルウェアまたはツールなどのリソース、攻撃者の攻撃基盤、攻撃対象についての情報が個別に記述される。なお、攻撃のパターン（ttp:Attack_Pattern）は、ＣＡＰＥＣ（Common  Attack  Pattern  Enumeration  and  Classification：共通攻撃パターン一覧）を使用して記述される。
【００２１】
検知指標（Indicators）のフィールド４０ｃには、サイバー攻撃イベントを特徴づける指標を示す情報が個別に記述される。例えば、フィールド４０ｃでは、検知指標のタイプ、検知指標に関連する観測事象、攻撃段階フェース、痕跡などから検知指標を作成するために使用したツールと共に、サイバー攻撃を特徴づける指標について記述される。
【００２２】
観測事象（Observables）のフィールド４０ｂには、サイバー攻撃イベントによって観測された動作に関わる事象を示す情報が個別に記述される。例えば、フィールド４０ｂには、サイバー攻撃によって観測された事象として、ファイル名、ハッシュ値やファイルサイズ、レジストリの値、稼働中のサービス、ＨＴＴＰ要求などが記述される。また、記述には、サイバー攻撃の観測事象を記述するための仕様であるＣｙｂＯＸが使用される。
【００２３】
インシデント（Incidents）のフィールド４０ｆには、どのようなインシデントなのかという分類、インシデントの関与者(報告者、対応者、調整者、被害者)、インシデントによる被害を受けた資産(所有者、管理者、場所)、インシデントによる直接的／間接的な影響、インシデント対処の状況などの視点から、サイバー攻撃によって発生した事案の情報が個別に記述される。例えば、フィールド４０ｆには、サイバー攻撃の攻撃者により被害を受けた資産の所有者または管理者、資産の場所の情報が個別に記述される。
【００２４】
対処措置（Courses_Of_Action）のフィールド４０ｇには、対処措置の状況、対処措置のタイプ、対処措置の目的、影響、費用、有効性などの視点から、サイバー攻撃イベントによる脅威に対処するための処置を示す情報が個別に記述される。
【００２５】
攻撃対象（Exploit_Targets）のフィールド４０ｅには、脆弱性、脆弱性の種類、設定や構成などの視点から、攻撃の対象となりうるソフトウェアやシステムの弱点など、サイバー攻撃イベントにおいて攻撃の対象となる資産の弱点を示す情報が個別に記述される。
【００２６】
例えば、フィールド４０ｅでは、脆弱性を記述するためにＣＶＥ（Common  Vulnerability  and  Exposures：共通脆弱性識別子）を使用する。また、フィールド４０ｅでは、脆弱性の種類を記述するためにＣＷＥ（Common  Weakness  Enumeration：共通脆弱性タイプ一覧）を使用する。また、フィールド４０ｅでは、設定上のセキュリティ問題を記述するためにＣＣＥ（Common  Configuration  Enumeration：共通セキュリティ設定一覧）を使用する。
【００２７】
図３は、サイバー攻撃イベント情報４の一例を示す図である。図３に示すように、サイバー攻撃イベント情報４は、ＸＭＬ（eXtensible  Markup  Language）形式により、タグを付けた要素を階層化（入れ子構造）してルートの要素からの木構造で上記の情報を記述する。具体的には、サイバー攻撃イベント情報４は、サイバー攻撃イベントにおけるサイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを要素（ノード）とし、各要素内の情報を子要素（配下のノード）とする木構造で記述している。
【００２８】
図４は、サーバ装置３の機能構成例を示すブロック図である。図４に示すように、サーバ装置３は、入力部３１、登録部３２、記憶部３３、検索部３４、表示情報生成部３５および出力部３６を有する。
【００２９】
入力部３１は、クライアント端末２より通信ネットワークなどを介して送信される情報の入力を受け付ける。具体的には、入力部３１は、クライアント端末２より送信されるサイバー攻撃イベント情報４や操作情報を受け付ける。操作情報は、クライアント端末２がユーザよりユーザ・インターフェースを介して受け付けた操作指示を示す情報である。入力部３１は、クライアント端末２より受け付けたサイバー攻撃イベント情報４を登録部３２、検索部３４および表示情報生成部３５へ出力する。また、入力部３１は、クライアント端末２より受け付けた操作情報を表示情報生成部３５へ出力する。
【００３０】
登録部３２は、クライアント端末２より入力部３１が受け付けたサイバー攻撃イベント情報４を記憶部３３のサイバー攻撃イベント情報ＤＢ５に登録する。記憶部３３は、ハードディスク装置５０９（図１０参照）などの記憶装置であり、サイバー攻撃イベント情報ＤＢ５および設定情報６を記憶する。
【００３１】
サイバー攻撃イベント情報ＤＢ５は、データの登録および検索を可能とするデータベース（ＤＢ）である。例えば、クライアント端末２より受け付けたサイバー攻撃イベント情報４は、登録部３２により識別子（ＩＤ）などが付与されてサイバー攻撃イベント情報ＤＢ５に登録される。
【００３２】
設定情報６は、クライアント端末２より入力部３１を介して入力されて予め設定された、各種の設定内容を示す情報である。具体的には、設定情報６には、表示情報生成部３５がクライアント端末２へ送信する表示情報を生成する際の規則など、表示設定にかかる情報がある。一例として、設定情報６は、表示画面２００内の表示対象物であるノード２２０、２２０ａ、２２０ｂなど（図６参照）の大きさ、色、表示位置等の表示設定がある。
【００３３】
検索部３４は、クライアント端末２より受け付けたサイバー攻撃イベント情報４をもとに、サイバー攻撃イベント情報ＤＢ５に登録されているサイバー攻撃イベント情報の中から所定の類似関係を満たすサイバー攻撃イベント情報を検索し、検索結果を表示情報生成部３５へ出力する。
【００３４】
具体的には、検索部３４は、クライアント端末２より受け付けたサイバー攻撃イベント情報４と、サイバー攻撃イベント情報ＤＢ５に登録されているサイバー攻撃イベント情報とを互いに比較する。次いで、検索部３４は、サイバー攻撃イベントにおける各要素（サイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象など）の子要素（要素内の情報）同士を比較して類似度合いを求める。例えば、検索部３４は、互いに内容が一致する子要素の数が所定数以上である場合に、互いの類似度合いが高く、所定の類似関係を満たすものとする。次いで、検索部３４は、サイバー攻撃イベント情報ＤＢ５の中で所定の類似関係を満たすものとして検索されたサイバー攻撃イベント情報を表示情報生成部３５に出力する。
【００３５】
表示情報生成部３５は、サイバー攻撃イベントについて登録されたサイバー攻撃イベント情報４、すなわちクライアント端末２より受け付けたサイバー攻撃イベント情報４の表示を行う表示情報を生成する。
【００３６】
具体的には、表示情報生成部３５は、ＸＭＬ形式のサイバー攻撃イベント情報４について構文解析を行い、サイバー攻撃活動とともに、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などの各種別についての情報を取得する。次いで、表示情報生成部３５は、構文解析結果より、サイバー攻撃イベントにおけるサイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを代表するノードとし、各ノード内の情報を配下のノードとする木構造を解析する。一例として、表示情報生成部３５は、タグを付けた要素（ノード）の入れ子構造を解析することで、木構造の解析を行う。次いで、表示情報生成部３５は、木構造の解析結果をもとに、木構造に従ってノード同士を結線で接続したグラフ図としてサイバー攻撃イベント情報４を表示する表示情報を生成する。
【００３７】
この表示情報を生成する際に、表示情報生成部３５は、設定情報６を読み出し、予め設定された表示設定にしたがってグラフ図における各ノードの大きさ、色、表示位置等を決める。
【００３８】
また、表示情報生成部３５は、検索部３４による検索結果をもとに、検索内容を示す表示情報を生成する。具体的には、表示情報生成部３５は、検索されたサイバー攻撃イベント情報４のサイバー攻撃イベントや互いに内容が一致する子要素の数などの類似度合いなどを表示する表示情報を生成する。
【００３９】
表示情報生成部３５により生成された表示情報は、出力部３６に出力される。出力部３６は、表示情報生成部３５により生成された表示情報をクライアント端末２に出力する。
【００４０】
図５は、サーバ装置３の動作例を示すフローチャートである。図５に示すように、処理が開始されると、入力部３１は、クライアント端末２よりサイバー攻撃イベント情報４を受け付ける（Ｓ１）。次いで、登録部３２は、クライアント端末２より受け付けたサイバー攻撃イベント情報４のサイバー攻撃イベント情報ＤＢ５への登録を行う（Ｓ２）。
【００４１】
次いで、表示情報生成部３５は、クライアント端末２より受け付けたサイバー攻撃イベント情報４の構文解析を行い、サイバー攻撃活動とともに、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などの各種別についての情報を取得する（Ｓ３）。
【００４２】
次いで、表示情報生成部３５は、取得した情報をもとに、サイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを代表するノードとし、各ノード内の情報を配下のノードとする木構造を解析する。次いで、表示情報生成部３５は、木構造の解析結果をもとに、木構造に従ってノード同士を結線で接続したグラフ図、すなわち各種別を代表するノードと配下ノードの表示情報を生成する（Ｓ４）。
【００４３】
次いで、検索部３４は、クライアント端末２より受け付けたサイバー攻撃イベント情報４における各種別についての情報をもとにサイバー攻撃イベント情報ＤＢ５を検索し、過去に登録されたサイバー攻撃イベント情報の中から所定の類似関係のある情報を検索する（Ｓ５）。次いで、表示情報生成部３５は、検索部３４による検索結果をもとに、検索結果の内容を表示する表示情報を生成する（Ｓ６）。
【００４４】
次いで、出力部３６は、表示情報生成部３５により生成された表示情報をクライアント端末２に出力する（Ｓ７）。これにより、クライアント端末２では、サーバ装置３により生成された表示情報が表示部２ａに表示される。具体的には、表示部２ａには、サイバー攻撃イベント情報４の内容、すなわち、サイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを代表するノードとし、各ノード内の情報を配下のノードとする木構造のグラフ図が表示される。また、表示部２ａには、サイバー攻撃イベント情報４と所定の類似関係のある、過去に登録されたサイバー攻撃イベント情報の検索結果が表示される。
【００４５】
図６は、表示画面を説明する説明図である。図６の表示画面２００は、サーバ装置３より出力された表示情報に基づいてクライアント端末２の表示部２ａに表示される画面の一例である。図６に示すように、表示画面２００は、コンソール２０１、イベント選択領域２１０、サイバー攻撃イベント表示領域２１１、関連イベント表示領域２１２および詳細情報表示領域２１３を有する。
【００４６】
コンソール２０１は、クライアント端末２が受け付けた操作情報に応じて操作されるマウスカーソルなどである。イベント選択領域２１０は、サイバー攻撃イベント情報４の選択を行う領域である。クライアント端末２は、イベント選択領域２１０により選択されたサイバー攻撃イベント情報４をサーバ装置３に通知する。
【００４７】
サイバー攻撃イベント表示領域２１１は、サイバー攻撃イベント情報４の内容についてサーバ装置３より出力された表示情報を表示する領域である。具体的には、「ＡＡＡキャンペーン」のサイバー攻撃活動をルートのノード２２０とし、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを代表するノード２２０ａと結線で結ぶグラフ図がサイバー攻撃イベント表示領域２１１に表示される。また、各ノード２２０ａには、ノード内の情報がノード２２０ｂとして結線で結ばれている。したがって、ルートのノード２２０からノード２２０ｂに至るまでの木構造がサイバー攻撃イベント表示領域２１１に表示される。
【００４８】
例えば、攻撃者（Threat_Actors）のノード２２０ａには、配下のノード２２０ｂとして、サイバー攻撃の攻撃者のタイプ、攻撃者の動機、攻撃者の熟練度、攻撃者の意図などの視点からサイバー攻撃に寄与している人／組織についての情報が表示される。
【００４９】
また、攻撃手口（TTPs）のノード２２０ａには、配下のノード２２０ｂとして、攻撃のパターン、攻撃者が用いたマルウェアまたはツールなどのリソース、攻撃者の攻撃基盤、攻撃対象についての情報が表示される。
【００５０】
また、検知指標（Indicators）のノード２２０ａには、配下のノード２２０ｂとして、サイバー攻撃イベントを特徴づける指標を示す情報が表示される。
【００５１】
また、観測事象（Observables）のノード２２０ａには、配下のノード２２０ｂとして、サイバー攻撃イベントによって観測された動作に関わる事象を示す情報が表示される。
【００５２】
また、インシデント（Incidents）のノード２２０ａには、配下のノード２２０ｂとして、サイバー攻撃によって発生した事案の情報が表示される。
【００５３】
また、対処措置（Courses_Of_Action）のノード２２０ａには、配下のノード２２０ｂとして、サイバー攻撃イベントによる脅威に対処するための処置を示す情報が表示される。
【００５４】
また、攻撃対象（Exploit_Targets）のノード２２０ａには、配下のノード２２０ｂとして、攻撃の対象となりうるソフトウェアやシステムの弱点など、サイバー攻撃イベントにおいて攻撃の対象となる資産の弱点を示す情報が表示される。
【００５５】
したがって、ユーザは、サイバー攻撃イベント表示領域２１１の木構造を確認することで、「ＡＡＡキャンペーン」のサイバー攻撃活動の内容を容易に理解することができる。例えば、ユーザは、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の各種別とその配下の情報のつながりより、サイバー攻撃における５Ｗ１Ｈの内容を容易に理解することができる。
【００５６】
関連イベント表示領域２１２は、検索部３４の検索結果により表示情報生成部３５で生成された表示情報を表示する領域である。具体的には、関連イベント表示領域２１２には、サイバー攻撃イベント情報４と所定の類似関係のあるサイバー攻撃イベント情報の検索結果が表示される。一例として、サイバー攻撃イベント情報４のサイバー攻撃活動と類似関係のある「ＢＢＢキャンペーン」「ＣＣＣキャンペーン」などのサイバー攻撃活動が一覧表示される。また、関連イベント表示領域２１２には、互いに内容が一致する子要素の数を示す「Ｃｏｕｎｔ」などの類似度合いを示す情報が表示される。この関連イベント表示領域２１２により、ユーザは、サイバー攻撃イベント情報４と所定の類似関係のあるサイバー攻撃イベント情報４を確認することができる。
【００５７】
また、関連イベント表示領域２１２では、コンソール２０１の操作により、サイバー攻撃活動の一覧の中から所定のサイバー攻撃活動の選択を受け付ける。サイバー攻撃活動の選択を受け付けた場合は、「類似イベントの表示」として選択されたサイバー攻撃活動をサイバー攻撃イベント表示領域２１１に表示する表示情報が表示情報生成部３５で生成される。この表示情報により、サイバー攻撃イベント表示領域２１１には、サイバー攻撃イベント情報４の内容とともに、関連イベント表示領域２１２で選択されたサイバー攻撃活動の内容が表示される（詳細は後述する）。
【００５８】
詳細情報表示領域２１３は、サイバー攻撃イベント表示領域２１１上のノード２２０、２２０ａ、２２０ｂの中でコンソール２０１により選択されたノードの詳細などを表示する領域である。具体的には、コンソール２０１の操作により、ノード２２０、２２０ａ、２２０ｂの中から所定のノードの選択を受け付ける。ノードの選択を受け付けた場合は、「ノード選択」として選択されたノードを詳細情報表示領域２１３に表示する表示情報が表示情報生成部３５で生成される。この表示情報により、詳細情報表示領域２１３には、サイバー攻撃イベント表示領域２１１で選択されたノードの詳細情報が表示される（詳細は後述する）。
【００５９】
図７は、サーバ装置３の動作例を示すフローチャートであり、具体的にはコンソール２０１の操作をもとに表示情報を生成する処理の一例を示す図である。
【００６０】
図７に示すように、処理が開始されると、表示情報生成部３５は、クライアント端末２より受け付けた操作情報をもとに、「ノードの選択」、「類似イベントの表示」、所定の操作がない「なし」または「サイバー攻撃活動変更時」の操作の判定を行う（Ｓ１０）。
【００６１】
所定の操作がない「なし」の場合、表示情報生成部３５は処理を待機する。「ノード選択」の場合、表示情報生成部３５は、ノード２２０、２２０ａ、２２０ｂの中でコンソール２０１により選択されたノードの詳細情報をサイバー攻撃イベント情報４より読み出し、読み出した詳細情報を表示する表示情報を生成する（Ｓ１１）。
【００６２】
「類似イベントの表示」の場合、表示情報生成部３５は、関連イベント表示領域２１２で選択されたサイバー攻撃活動の情報をサイバー攻撃イベント情報ＤＢ５より読み出す。次いで、サイバー攻撃イベント情報ＤＢ５より読み出したサイバー攻撃イベント情報の構文解析を行い、サイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを代表するノードとし、各ノード内の情報を配下のノードとする木構造を解析する。次いで、表示情報生成部３５は、関連イベント表示領域２１２で選択されたサイバー攻撃活動についての木構造を示すグラフ図の表示情報を生成する。
【００６３】
次いで、表示情報生成部３５は、サイバー攻撃イベント情報４のグラフ図と、関連イベント表示領域２１２で選択されたサイバー攻撃活動のグラフ図とについて、種別ごとに関連性を判定する。具体的には、表示情報生成部３５は、サイバー攻撃イベントにおける各要素（サイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象など）の子要素（要素内の情報）同士を比較する。この比較結果をもとに、表示情報生成部３５は、互いに内容が一致する子要素のノードを、関連する種別のノードとする。次いで、表示情報生成部３５は、関連する種別のノード同士を結線で関連付ける表示情報を生成する（Ｓ１２）。
【００６４】
次いで、出力部３６は、Ｓ１２またはＳ１１において、表示情報生成部３５により生成された表示情報をクライアント端末２に出力する（Ｓ１４）。これにより、クライアント端末２では、「ノード選択」または「類似イベントの表示」に応じてサーバ装置３により生成された表示情報が表示部２ａに表示される。
【００６５】
イベント選択領域２１０が変更された場合（「サイバー攻撃活動変更時」の場合）は、変更されたサイバー攻撃活動に関連する種別のノード同士を結線で関連付ける表示情報を生成する（Ｓ１３）。
【００６６】
図８は、ノードの詳細表示を説明する説明図である。ノード２２０またはノード２２０ａまたはノード２２０ｂを選択し場合は、そのノードの詳細情報が表示される。図８に示すように、ノード２２０ｂがコンソール２０１で選択された場合（「ノード選択」の場合）、詳細情報表示領域Ｓ１４には選択されたノード２２０ｂの詳細情報が表示される。ノード２２０、ノード２２０ａを選択した場合も同様である。これにより、ユーザは、ノード２２０ｂの詳細を確認することができる。
【００６７】
図９は、類似するサイバー攻撃イベントの表示例を説明する説明図である。図９に示すように、関連イベント表示領域２１２において所定のサイバー攻撃イベント（図示例では「ＢＢＢキャンペーン」）が選択された「類似イベントの表示」の場合、「ＢＢＢキャンペーン」のグラフ図がサイバー攻撃イベント表示領域２１１に表示される。
【００６８】
具体的には、「ＢＢＢキャンペーン」のサイバー攻撃活動をルートのノード２３０とし、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを代表するノード２３０ａと結線で結ぶグラフ図がサイバー攻撃イベント表示領域２１１に表示される。また、各ノード２３０ａには、ノード内の情報がノード２３０ｂとして結線で結ばれている。したがって、ルートのノード２３０からノード２３０ｂに至るまでの木構造がサイバー攻撃イベント表示領域２１１に表示される。これにより、ユーザは、サイバー攻撃イベント情報４における「ＡＡＡキャンペーン」と類似する「ＢＢＢキャンペーン」の内容を容易に理解することができる。
【００６９】
また、「ＡＡＡキャンペーン」のグラフ図と、「ＢＢＢキャンペーン」のグラフ図とは、関連する種別のノード同士が結線で結ばれた関連付け表示２４０が行われる。これにより、ユーザは、「ＡＡＡキャンペーン」と類似する「ＢＢＢキャンペーン」について、関連するノード同士の関連性を容易に認識することができる。
【００７０】
以上のように、サーバ装置３は、監視対象の情報処理システム内におけるマルウェアの検出に応じたサイバー攻撃イベントに関して、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の各種別の一部又は全部についてのサイバー攻撃イベント情報４の登録を受け付ける。また、サーバ装置３は、サイバー攻撃イベントについて登録されたサイバー攻撃イベント情報４の表示を行う際に、表示する情報が対応する種別を代表するノード２２０の配下のノード２２０ａ、２２０ｂとして結線された状態で表示する表示情報を生成する。次いで、サーバ装置３は、生成した表示情報をクライアント端末２に出力する。
【００７１】
クライアント端末２では、表示情報をもとに、サイバー攻撃イベント情報４のイベントにおける攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の各種別について、種別を代表するノード２２０の配下のノード２２０ａ、２２０ｂとして結線された状態で表示部２ａに表示する。したがって、クライアント端末２では、サイバー攻撃イベントにおける攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の各種別とその配下の情報のつながり、すなわち、サイバー攻撃イベントの内容をユーザに分かり易く提示できる。例えば、ユーザは、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の各種別とその配下の情報のつながりより、サイバー攻撃における５Ｗ１Ｈの内容を容易に理解することができる。
【００７２】
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００７３】
また、サーバ装置３で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、サーバ装置３で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
【００７４】
また、本実施形態ではクライアント端末２およびサーバ装置３を含むクライアント・サーバ（Ｃ／Ｓ）モデルの分析支援システム１を例示したが、分析支援システム１については、サーバ装置３の各種処理機能をクライアント端末２側で実行する、クライアント端末２単体の装置構成であってもよい。サイバー攻撃イベント情報４は、クライアント端末２を経由しなくても、サーバ装置３が別の装置から取得してもよい。
【００７５】
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１０は、実施形態にかかるサーバ装置３のハードウエア構成の一例を示すブロック図である。
【００７６】
図１０に示すように、サーバ装置３は、各種演算処理を実行するＣＰＵ５０１と、データ入力を受け付ける入力装置５０２と、モニタ５０３と、スピーカ５０４とを有する。また、サーバ装置３は、記憶媒体からプログラム等を読み取る媒体読取装置５０５と、各種装置と接続するためのインタフェース装置５０６と、有線または無線により外部機器と通信接続するための通信装置５０７とを有する。また、サーバ装置３は、各種情報を一時記憶するＲＡＭ５０８と、ハードディスク装置５０９とを有する。また、サーバ装置３内の各部（５０１〜５０９）は、バス５１０に接続される。
【００７７】
ハードディスク装置５０９には、上記の実施形態で説明した入力部３１、登録部３２、検索部３４、表示情報生成部３５および出力部３６における各種の処理を実行するためのプログラム５１１が記憶される。また、ハードディスク装置５０９には、プログラム５１１が参照する各種データ５１２（サイバー攻撃イベント情報ＤＢ５など）が記憶される。入力装置５０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ５０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置５０６は、例えば印刷装置等が接続される。通信装置５０７は、ＬＡＮ（Local  Area  Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
【００７８】
ＣＰＵ５０１は、ハードディスク装置５０９に記憶されたプログラム５１１を読み出して、ＲＡＭ５０８に展開して実行することで、各種の処理を行う。なお、プログラム５１１は、ハードディスク装置５０９に記憶されていなくてもよい。例えば、サーバ装置３が読み取り可能な記憶媒体に記憶されたプログラム５１１を読み出して実行するようにしてもよい。サーバ装置３が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal  Serial  Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム５１１を記憶させておき、サーバ装置３がこれらからプログラム５１１を読み出して実行するようにしてもよい。
【符号の説明】
【００７９】
１…分析支援システム
２…クライアント端末
２ａ…表示部
３…サーバ装置
４…サイバー攻撃イベント情報
５…サイバー攻撃イベント情報ＤＢ
６…設定情報
３１…入力部
３２…登録部
３３…記憶部
３４…検索部
３５…表示情報生成部
３６…出力部
４０ａ〜４０ｊ…フィールド
２００…表示画面
２０１…コンソール
２１０…イベント選択領域
２１１…サイバー攻撃イベント表示領域
２１２…関連イベント表示領域
２１３…詳細情報表示領域
２２０、２２０ａ、２２０ｂ、２３０、２３０ａ、２３０ｂ…ノード
２４０…関連付け表示
５０１…ＣＰＵ
５０２…入力装置
５０３…モニタ
５０４…スピーカ
５０５…媒体読取装置
５０６…インタフェース装置
５０７…通信装置
５０８…ＲＡＭ
５０９…ハードディスク装置
５１０…バス
５１１…プログラム
５１２…各種データ
【図１】
2018032355.tif 000003
【図２】
2018032355.tif 000004
【図３】
2018032355.tif 000005
【図４】
2018032355.tif 000006
【図５】
2018032355.tif 000007
【図６】
2018032355.tif 000008
【図７】
2018032355.tif 000009
【図８】
2018032355.tif 000010
【図９】
2018032355.tif 000011
【図１０】
2018032355.tif 000012