(57)【要約】      （修正有）【課題】環境の変化に伴うセキュリティルールの変更の検討を補助する技術を提供する。【解決手段】セキュリティルール評価装置１００であって、情報セキュリティ上の脅威の重要度の情報と、脅威と防御対象の情報処理システムとの適合特性を示す適合特性情報と、を特定する脅威情報管理部１３１と、少なくとも、重要度の情報と、適合特性情報と、を用いて情報処理システムのセキュリティルールの更新の優先度をセキュリティルールごとに算出するセキュリティルール評価部１３２と、セキュリティルール評価部による優先度の順に更新対象のセキュリティルールを提示する優先ルール提示部１３３と、を備える。【選択図】図５
2018077607.tif 000002
【特許請求の範囲】
【請求項１】
情報セキュリティ上の脅威の重要度の情報と、前記脅威と防御対象の情報処理システムとの適合特性を示す適合特性情報と、を特定する脅威情報管理部と、
少なくとも、前記重要度の情報と、前記適合特性情報と、を用いて前記情報処理システムのセキュリティルールの更新の優先度を前記セキュリティルールごとに算出するセキュリティルール評価部と、
前記セキュリティルール評価部による前記優先度の順に更新対象のセキュリティルールを提示する優先ルール提示部と、
を備えるセキュリティルール評価装置。
【請求項２】
請求項１に記載のセキュリティルール評価装置であって、
前記セキュリティルール評価部は、前記重要度が高く、前記適合特性が高い程前記セキュリティルールの前記優先度を高く算出する、
セキュリティルール評価装置。
【請求項３】
請求項１に記載のセキュリティルール評価装置であって、
前記脅威情報管理部は、前記脅威の適合特性情報を、前記脅威毎に、防御対象の情報処理システムが受けた攻撃の検知実績を用いて特定する、
セキュリティルール評価装置。
【請求項４】
請求項１に記載のセキュリティルール評価装置であって、
前記脅威情報管理部は、前記脅威の重要度を、前記脅威に係る一つ以上のセキュリティベンダからの提供情報の更新頻度に応じて特定する、
セキュリティルール評価装置。
【請求項５】
請求項１に記載のセキュリティルール評価装置であって、
前記脅威情報管理部は、前記脅威の重要度を、前記脅威に係るセキュリティベンダからの提供情報の更新頻度に応じて特定し、複数の前記セキュリティベンダからの前記提供情報を用いる場合には、前記脅威を前記セキュリティベンダ間で共通するカテゴリに分類して、前記優先度を、前記カテゴリごとに前記セキュリティベンダ間で合算して特定する、
セキュリティルール評価装置。
【請求項６】
請求項１に記載のセキュリティルール評価装置であって、
前記セキュリティルールには、前記脅威からの攻撃を前記情報処理システムにおいて検知する条件が含まれている、
セキュリティルール評価装置。
【請求項７】
請求項１に記載のセキュリティルール評価装置であって、
前記セキュリティルール評価部は、前記情報処理システムのうち変更があった構成に係る前記セキュリティルールについて前記優先度を算出する、
セキュリティルール評価装置。
【請求項８】
セキュリティルール評価装置と、前記セキュリティルール評価装置と通信可能に接続される防御対象の情報処理装置と、を含むセキュリティルール評価システムであって、
前記セキュリティルール評価装置は、
情報セキュリティ上の脅威の重要度の情報と、前記脅威と前記防御対象の情報処理装置との適合特性を示す適合特性情報と、を特定する脅威情報管理部と、
少なくとも、前記重要度の情報と、前記適合特性情報と、を用いて前記防御対象の前記情報処理装置のセキュリティルールの更新の優先度を前記セキュリティルールごとに算出するセキュリティルール評価部と、
前記セキュリティルール評価部による前記優先度の順に更新対象のセキュリティルールを提示する優先ルール提示部と、を備え、
前記防御対象の前記情報処理装置は、前記情報処理装置が受けた攻撃の検知実績を前記セキュリティルール評価装置へ送信し、
前記脅威情報管理部は、前記脅威の適合特性情報を、前記脅威毎に、前記検知実績を用いて特定する、
セキュリティルール評価システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティルール評価装置およびセキュリティルール評価システムに関する。
【背景技術】
【０００２】
本技術分野の背景技術として、特開２０１０−２６６９６６号公報(特許文献1)がある。この公報には、コンピュータが、団体毎のコンピュータシステムにおけるログ情報及び資産管理情報を収集したログ情報及び資産管理情報を特定のグループ毎に統計処理してグループ内での各団体の情報セキュリティに関する相対的な評価を行う評価ステップを含み、各団体がどの程度のセキュリティ対策を施しているかの指標を求めるセキュリティ対策評価方法が記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１０−２６６９６６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
上記特許文献１に記載された技術では、セキュリティルールの評価に留まる。環境の変化に伴うセキュリティルールの保守負荷に関しては、何らの対策は考慮されていない。
【０００５】
本発明の目的は、環境の変化に伴うセキュリティルールの変更の検討を補助することができる技術を提供することにある。
【課題を解決するための手段】
【０００６】
本願は、上記課題の少なくとも一部を解決する手段を複数含んでいるが、その例を挙げるならば、以下のとおりである。上記課題を解決すべく、本発明の一態様に係るセキュリティルール評価装置は、情報セキュリティ上の脅威の重要度の情報と、上記脅威と防御対象の情報処理システムとの適合特性を示す適合特性情報と、を特定する脅威情報管理部と、少なくとも、上記重要度の情報と、上記適合特性情報と、を用いて上記情報処理システムのセキュリティルールの更新の優先度を上記セキュリティルールごとに算出するセキュリティルール評価部と、上記セキュリティルール評価部による上記優先度の順に更新対象のセキュリティルールを提示する優先ルール提示部と、を備える。
【発明の効果】
【０００７】
本発明によれば、環境の変化に伴うセキュリティルールの変更の検討を補助することができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【０００８】
【図１】本発明の第一の実施形態に係るセキュリティルール評価システムの構成を示す図である。
【図２】Ｉｆルールテーブルに格納されるデータ構造を示す図である。
【図３】Ｉｆ／Ｔｈｅｎルール対応テーブルに格納されるデータ構造を示す図である。
【図４】Ｔｈｅｎルールテーブルに格納されるデータ構造を示す図である。
【図５】セキュリティルール評価装置の構成を示す図である。
【図６】脅威情報テーブルに格納されるデータ構造を示す図である。
【図７】脅威カテゴリテーブルに格納されるデータ構造を示す図である。
【図８】類似カテゴリテーブルに格納されるデータ構造を示す図である。
【図９】脅威カテゴリ評価テーブルに格納されるデータ構造を示す図である。
【図１０】攻撃検知情報テーブルに格納されるデータ構造を示す図である。
【図１１】脅威情報適合特性テーブルに格納されるデータ構造を示す図である。
【図１２】脅威情報更新回数テーブルに格納されるデータ構造を示す図である。
【図１３】攻撃検知回数テーブルに格納されるデータ構造を示す図である。
【図１４】重み付けテーブルに格納されるデータ構造を示す図である。
【図１５】セキュリティルール評価テーブルに格納されるデータ構造を示す図である。
【図１６】セキュリティルール評価装置のハードウェア構成を示す図である。
【図１７】マスタカテゴリ設定処理の動作フローを示す図である。
【図１８】脅威カテゴリ別重要度算出処理の動作フローを示す図である。
【図１９】適合特性算出処理の動作フローを示す図である。
【図２０】セキュリティルール優先度算出処理の動作フローを示す図である。
【図２１】システム変更影響ルール抽出処理の動作フローを示す図である。
【図２２】セキュリティルール優先度算出処理の出力画面例を示す図である。
【発明を実施するための形態】
【０００９】
以下、本発明に係る一つの実施の形態を図面に基づいて説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。また、以下の実施の形態において、その構成要素（要素ステップ等も含む）は、特に明示した場合および原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではないことは言うまでもない。また、「Ａからなる」、「Ａよりなる」、「Ａを有する」、「Ａを含む」と言うときは、特にその要素のみである旨明示した場合等を除き、それ以外の要素を排除するものでないことは言うまでもない。同様に、以下の実施の形態において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合および原理的に明らかにそうでないと考えられる場合等を除き、実質的にその形状等に近似または類似するもの等を含むものとする。
【００１０】
一般に、ウィルス、スパイウェア、ランサムウェア、アドウェアといったマルウェアなどのサイバー攻撃に対して、攻撃を防ぐセキュリティシステムや、攻撃を受けた端末を検知してネットワークから隔離する等によりサイバー攻撃の被害を抑えることを目的としたセキュリティシステムが知られている。
【００１１】
セキュリティシステムは、これまでは、例えばインターネットとシステムの間にセキュリティ対策製品を設置し、製品毎に予め実装された監視技術、監視により取得した情報の解析ルール、解析結果に応じた制御ルールをルールベースエンジン上で実行することで、サイバー攻撃に対応する技術が普及してきている。しかし、攻撃手法の進化やシステム内部の人間による不正操作といった攻撃態様の変化に伴い、特定のセキュリティ対策製品のみによっては攻撃態様を網羅できず、サイバー攻撃を防ぐことが困難となってきている。
【００１２】
そこで、近年、セキュリティ対策製品から得られるログ情報に加え、スイッチやプロキシ等のネットワーク機器や、サーバー装置、ストレージ等を含む各種のＩＴリソースから取得可能なログ情報を、データ解析基盤が相関分析し、分析結果に応じてＩＴリソース制御基盤がネットワーク機器のポートを停止させる等必要な制御を実行することで、未知の攻撃やマルウェア感染端末を検知するセキュリティシステムがさらに普及しつつある。
【００１３】
こうしたセキュリティシステムでは、多数のログを相関分析して未知の攻撃やマルウェア感染端末を検知するＩｆルールと、Ｉｆルールを満たす場合に実施すべき制御を定義したＴｈｅｎルールを用いることが多い。これらのセキュリティルールは、セキュリティ管理者が、セキュリティシステムが守る対象のシステム毎（すなわち、テナント毎、部署毎、ユーザー毎など）に設定される。
【００１４】
こうしたセキュリティルールは、守る対象のシステムの頻繁な構成変更や新たなセキュリティの脅威（サイバー攻撃）に対応するため、迅速に更新される必要がある。しかし一方で、セキュリティルールはシステム毎に複数のセキュリティ管理者がそれぞれ多量に設定するため、すべての守る対象のシステムに係るセキュリティルールの内容の把握は困難となっている。この結果、更新が必要なセキュリティルールを選択し、適切な修正を実施して更新する時間も膨大なものとなる。このため、更新するセキュリティルールを迅速に把握し、更新の決定を補助となる技術が必要となっている。
【００１５】
上記の特許文献１に記載の技術は、評価対象のシステムと異なる他のシステムのセキュリティ対策に関する情報を収集して統計処理したものをセキュリティレベルの基準として用いる。しかし、他のシステムと、セキュリティレベルを評価したいシステムとでは、重視すべきセキュリティの脅威が異なる可能性がある。
【００１６】
例えば、従業員を多く抱えた企業のシステムでは、特定の組織や人物を狙って行われる標的型攻撃メールに対する防御を重視しているとする。また、ホームページなど外部に公開しているＷｅｂサイトを運用しているシステムでは、一時的に大量のトラフィックを送信しＷｅｂサイトを表示不能にさせるＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃に対する防御を重視しているとする。このとき、このようなＷｅｂサイトのシステムのセキュリティルールに関して、当該企業のシステムをセキュリティレベルの基準とすると、例えば重視していない標的型攻撃メールに関するセキュリティルールの対策優先度が上がり、反対に重視しているＤＤｏＳ攻撃に関するセキュリティルールの対策優先度が下がることとなる。
【００１７】
つまり、Ｗｅｂシステムのセキュリティルールの更新の際は、優先度の高い標的型攻撃メールに関するセキュリティルールから更新され、ＤＤｏＳ攻撃に関するセキュリティルールの更新までに時間を要し、その間サイバー攻撃に対するセキュリティレベルが低下する。このように、他のシステムをセキュリティレベルの基準とすると、重視すべきセキュリティの脅威に対する優先度が下がり、結果として必要なセキュリティルールの更新に時間がかかる可能性がある。
【００１８】
そこで、本発明は、システムのセキュリティルールの優先度を評価する場合において、一般のセキュリティの脅威のトレンドに追従するため他のシステムのセキュリティ情報をセキュリティレベルの基準に用いつつ、システム毎に重視すべき脅威に関するセキュリティルールの優先度を高く設定し、更新が必要なセキュリティルールを迅速に選択および更新できるようにする。
【００１９】
その効果は、一般的なセキュリティ情報をセキュリティレベルの基準に用いることで脅威情報のトレンドを反映しつつ、システム毎に重視すべきセキュリティの脅威に関するセキュリティルールの優先度を高めることができ、システム毎にセキュリティレベルを高く保つために更新が必要なセキュリティルールを迅速に選択および更新できるものといえる。
【００２０】
図１は、本発明の第一の実施形態に係るセキュリティルール評価システムの構成を示す図である。
【００２１】
本実施形態では、セキュリティルール評価装置１００に係るセキュリティ評価システムとして、脅威情報を提供する情報セキュリティ企業等が備えるコンピュータシステム１Ａ（および１Ｂ）と、コンピュータシステム１Ａとネットワーク３を介して通信可能に接続するセキュリティシステム４と、セキュリティシステム４とネットワーク５を介して通信可能に接続するサーバー装置６、ネットワーク機器７、ストレージ８、セキュリティ対策製品９と、が含まれる。以下、コンピュータシステム１Ａ、１Ｂを特に区別しない場合はコンピュータシステム１という。また、サーバー装置６、ネットワーク機器７、ストレージ８、セキュリティ対策製品９を特に区別しない場合はＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ  ＴＥｃｈｎｏｌｏｇｙ）機器と呼ぶ。なお、図１のＩＴ機器は、あくまで一例であり、この種類に限定されず様々な種類の電子機器が接続されても良い。
【００２２】
コンピュータシステム１は、例えば、情報セキュリティ対策製品および情報セキュリティ対策情報を提供する情報セキュリティ企業や、情報セキュリティに関する情報を収集および公開する情報セキュリティ機関、特定の企業が有し独自に情報セキュリティに関する情報を収集および分析するシステムに設置された物理的なコンピュータハードウェアであるサーバー装置を含む情報システムである。以下、情報セキュリティ企業、情報セキュリティ機関、情報セキュリティに関する情報を収集および分析する情報システムを特に区別しない場合は情報セキュリティベンダという。
【００２３】
コンピュータシステム１Ａ、１Ｂは、それぞれセキュリティ脅威情報２Ａ、２Ｂを記憶し保持する。以下、セキュリティ脅威情報２Ａ、２Ｂを特に区別しない場合はセキュリティ脅威情報２という。コンピュータシステム１はネットワーク３を通じてセキュリティシステム４と接続しており、例えば、セキュリティ脅威情報２をセキュリティシステム４、特にセキュリティルール評価装置１００に定期的に（例えば、４時間に１回程度等所定の頻度で）、あるいは所定のタイミング（緊急対応すべき脅威が発生した場合には適時）で送信する。
【００２４】
セキュリティ脅威情報２は、サイバー攻撃に関する情報を含む。例えば、ＳＴＩＸ（Ｓｔｒｕｃｔｕｒｅｄ  Ｔｈｒｅａｔ  Ｉｎｆｏｒｍａｔｉｏｎ  ｅＸｐｒｅｓｓｉｏｎ）といったサイバー攻撃を記述するための規格に沿ったサイバー攻撃情報であったり、情報セキュリティ企業や情報セキュリティ機関が独自に提供する形式のサイバー攻撃情報あるいはその対策情報を含む。
【００２５】
ネットワーク３は、例えば、インターネット等の公衆網やＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｏｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｏｗｏｒｋ）であり、コンピュータシステム１とセキュリティシステム４とを通信可能に接続する。例えば、コンピュータシステム１は、ネットワーク３を用いてセキュリティシステム４、特にセキュリティルール評価装置１００にセキュリティ脅威情報２を送信する。
【００２６】
セキュリティシステム４は、セキュリティルール評価装置１００と、データ解析装置２００と、ＩＴリソース制御装置３００と、を含んで構成される。詳細については、後述する。
【００２７】
ネットワーク５は、例えば、インターネット等の公衆網やＬＡＮ等の社内ネットワークであり、セキュリティシステム４とＩＴ機器とを接続する。例えば、セキュリティシステム４は、ネットワーク５を用いてセキュリティ対策製品９のサイバー攻撃検知ログを収集し、ログの解析の結果、ネットワーク５を介してＩＴ機器の制御指示を送信する。
【００２８】
サーバー装置６は、例えば、物理的なコンピュータハードウェアであるサーバー計算機である。ネットワーク機器７は、例えば、スイッチやルータ、プロキシ、ファイアーウォールである。ストレージ８は、例えば、データを保持し、ネットワーク５を介して他の装置とデータの入出力の通信を行うことが可能な記憶装置あるいはデータベースの制御装置である。セキュリティ対策製品９は、例えば、サイバー攻撃を検知するＩＰＳ（Ｉｎｔｒｕｓｉｏｎ  Ｐｒｅｖｅｎｔｉｏｎ  Ｓｙｓｔｅｍ）やＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）、ＵＴＭ（Ｕｎｉｆｉｅｄ  Ｔｈｒｅａｄ  Ｍａｎａｇｅｍｅｎｔ）である。
【００２９】
セキュリティルール評価装置１００は、例えば、物理的なコンピュータハードウェアであるサーバー計算機である。セキュリティルール評価装置１００は、コンピュータシステム１、データ解析装置２００、ＩＴリソース制御装置３００と通信可能に接続されており、コンピュータシステム１Ａからはセキュリティ脅威情報２Ａを、コンピュータシステム１Ｂからはセキュリティ脅威情報２Ｂを受信可能である。また、セキュリティルール評価装置１００は、データ解析装置２００からはＩｆルールテーブル２１０と、Ｉｆ／Ｔｈｅｎルール対応テーブル２２０と、に係る情報を受信できる。また、セキュリティルール評価装置１００は、ＩＴリソース制御装置３００からはＴｈｅｎルールテーブル３１０に係る情報を受信することができる。セキュリティルール評価装置１００に係るその他詳細な情報は、後述する。
【００３０】
データ解析装置２００は、例えば、物理的なコンピュータハードウェアであるサーバー計算機である。データ解析装置２００は、セキュリティルール評価装置１００、ＩＴリソース制御装置３００、ＩＴ機器と通信可能に接続されており、Ｉｆルールテーブル２１０とＩｆ／Ｔｈｅｎルール対応テーブル２２０とをセキュリティルール評価装置１００に送信可能である。また、データ解析装置２００は、ＩＴ機器からのログを取得して解析し、Ｉｆルールテーブル２１０に保存されたＩｆルールに該当する場合は、Ｉｆ／Ｔｈｅｎルール対応テーブル２２０の対応付けに従い、ＩＴリソース制御装置３００へＴｈｅｎルールテーブル３１０に保存されたＴｈｅｎルールを実行するよう指示を送信する。
【００３１】
図２は、Ｉｆルールテーブルに格納されるデータ構造を示す図である。Ｉｆルールテーブル２１０は、システム識別子２１０Ａと、Ｉｆルール名２１０Ｂと、ルール内容２１０Ｃと、を対応付けて格納する。システム識別子２１０Ａは、Ｉｆルールが適用される対象の守るべき情報システムを識別する情報である。Ｉｆルール名２１０Ｂは、守るべき情報システムに対する脅威を検出する条件となるルールの名称である。ルール内容２１０Ｃは、守るべき情報システムに対する脅威を検出する文字列条件となるルールの詳細な属性を特定する情報である。例えば、ルール内容２１０Ｃには、条件を検証するデータの範囲を決定する情報や、物理機器を特定する情報、あるいは脅威が残すログパターンや通信先のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス等の条件指定がテキストデータとして含まれる。このようなＩｆルールテーブル２１０は、例えば、ＩＴ機器のログを相関分析してサイバー攻撃を検知することに用いられる技術である。すなわち、本実施形態に係るセキュリティルールには、脅威からの攻撃を情報処理システムにおいて検知する条件が格納されているといえる。
【００３２】
図２に示す例では、情報システム「Ｘ」に関する「ＩｆルールＡ」は「ｄａｔａ=“事業部Ｂ”  ｍａｃｈｉｎｅ=“ＶＭ１”  ｔｈｒｅａｔ=“スパイウェア”  ファイルアクセス=“/ｕｓｅｒＡ”」である。これは、「事業部ＢのＶＭ１のログに関して、スパイウェアと判断されて、かつアクセス先のファイルが/ｕｓｅｒＡであるログを抽出する」ことが示されている。
【００３３】
なお、Ｉｆルールテーブル２１０は、データ解析装置２００で用意された図示しない解析言語を用いてルール内容を記述しても良いし、セキュリティ管理者が用意した任意の言語やツールによってルール内容を記述しても良い。
【００３４】
図３は、Ｉｆ／Ｔｈｅｎルール対応テーブルに格納されるデータ構造を示す図である。Ｉｆ／Ｔｈｅｎルール対応テーブル２２０は、システム識別子２２０Ａと、Ｉｆルール名２２０Ｂと、Ｔｈｅｎルール名２２０Ｃと、を対応付けて格納する。システム識別子２２０Ａは、Ｉｆルールが適用される対象の守るべき情報システムを識別する情報である。Ｉｆルール名２２０Ｂは、守るべき情報システムに対する脅威を検出する条件となるルールの名称である。Ｔｈｅｎルール名２２０Ｃは、守るべき情報システムに対する脅威が検出された場合に対策する情報処理を定めたＴｈｅｎルールを特定する情報である。このようなＩｆ／Ｔｈｅｎルール対応テーブル２２０は、例えば、Ｉｆルールに該当した際に実行すべきＴｈｅｎルールを定義する技術である。
【００３５】
ＩＴリソース制御装置３００は、例えば、物理的なコンピュータハードウェアであるサーバー計算機である。ＩＴリソース制御装置３００は、セキュリティルール評価装置１００、データ解析装置２００、ＩＴ機器と通信可能に接続されており、Ｔｈｅｎルールテーブル３１０をセキュリティルール評価装置１００に送信することが可能である。また、ＩＴリソース制御装置３００は、データ解析装置２００からＴｈｅｎルールテーブル３１０に保存されたＴｈｅｎルールの実行指示を受けた場合は、当該ＴｈｅｎルールをＴｈｅｎルールテーブル３１０を検索してＴｈｅｎルールを読み出し、これを用いてＩＴ機器を制御する。
【００３６】
図４は、Ｔｈｅｎルールテーブルに格納されるデータ構造を示す図である。Ｔｈｅｎルールテーブル３１０は、例えば、Ｉｆルールに該当した際に実行すべきＴｈｅｎルールに関して、システム識別子３１０Ａと、Ｔｈｅｎルール名３１０Ｂと、ルール内容３１０Ｃと、を対応付けて格納する。システム識別子３１０Ａは、Ｔｈｅｎルールが適用される対象の守るべき情報システムを識別する情報である。Ｔｈｅｎルール名３１０Ｂは、守るべき情報システムに対する脅威を検出した場合に実行される情報処理のルールの名称である。ルール内容３１０Ｃは、所定のコマンドや実行すべき実行可能形式のファイル、あるいはスクリプト、リモートマシンの制御コマンド等を特定する情報である。このようなＴｈｅｎルールテーブル３１０は、例えば、Ｉｆルールに該当した際に実行すべきルールを定義する技術である。
【００３７】
図４に示す例では、情報システム「Ｘ」に関する「ＴｈｅｎルールＡ」は「ｖｍｃｏｎｔｒｏｌ.ｐｌ  -ｏｐｅｒａｔｉｏｎ  ｐｏｗｅｒｏｆｆ  --ｖｍｎａｍｅ  ＸＸＸ」であり、具体的には、「名前がＸＸＸのＶＭ（仮想マシン）をパワーオフする」ことが示されている。なお、Ｔｈｅｎルールテーブル３１０は、ＩＴリソース制御装置３００で用意された制御言語を用いてルール内容が記述されても良いし、セキュリティ管理者が用意した任意の言語やツールによってルール内容が記述されても良い。
【００３８】
上述のように、本実施形態においては、セキュリティシステム４がそれぞれ独立した別の装置であるセキュリティルール評価装置１００と、データ解析装置２００と、ＩＴリソース制御装置３００とを含んで構成されているが、一つの物理的なコンピュータハードウェアであるサーバー計算機に各装置の機能が実装されていても良いことは言うまでもない。
【００３９】
図５は、セキュリティルール評価装置の構成を示す図である。セキュリティルール評価装置１００は、例えば、入力部１１０と、出力部１２０と、演算部１３０と、通信部１４０と、記憶部１５０を備える。
【００４０】
入力部１１０は、例えばキーボードやマウスといった装置により入力されるユーザの入力情報を受け付けて演算部１３０に送る。
【００４１】
出力部１２０は、例えばディスプレイといった装置に、ユーザからの入力に対する演算部１３０の演算結果となる出力情報を出力させる。
【００４２】
演算部１３０は、脅威情報管理部１３１と、セキュリティルール評価部１３２と、優先ルール提示部１３３と、を含む。
【００４３】
脅威情報管理部１３１は、セキュリティ脅威情報をコンピュータシステム１から取得すると共に、これらを用いてマスタカテゴリを設定し、脅威カテゴリ別重要度を算出する。より具体的には、脅威情報管理部１３１は、脅威の重要度を、脅威に係るセキュリティベンダからの提供情報の更新頻度に応じて特定し、複数のセキュリティベンダからの提供情報を用いる場合には、脅威をセキュリティベンダ間で共通するマスタカテゴリに分類して、重要度をマスタカテゴリごとにセキュリティベンダ間で合算して特定することで、脅威カテゴリ別重要度を算出する。また、脅威情報管理部１３１は、脅威の適合特性情報を、脅威毎に、防御対象の情報処理システムが受けた攻撃の検知実績を用いて特定する。すなわち、脅威情報管理部１３１は、情報セキュリティ上の脅威の重要度の情報と、脅威と防御対象の情報処理システムとの適合特性情報と、を特定する。
【００４４】
セキュリティルール評価部１３２は、守るべき情報システムの脅威に対する適合特性を算出するとともに、重要度および所定の重み付けを用いて、セキュリティルールの更新の優先度を算出する。また、セキュリティルール評価部１３２は、情報システムのうち変更があった構成に係るセキュリティルールの範囲を特定し、その優先度を算出することもできる。なお、セキュリティルール評価部１３２は、重要度が高く、適合特性が高い程セキュリティルールの優先度を高く算出する。
【００４５】
セキュリティルール評価部１３２は、ネットワーク５を介してセキュリティ対策製品９から情報システム別の攻撃検知情報を取得し、攻撃検知情報テーブル１５５に格納する。また、セキュリティルール評価部１３２は、攻撃検知情報テーブル１５５を用いて、攻撃検知情報から情報システム毎の情報セキュリティベンダ別のカテゴリの適合特性を算出し、脅威情報適合特性テーブル１５６に格納する。また、セキュリティルール評価部１３２は、攻撃検知情報テーブル１５５を用いて、攻撃検知情報を分類して脅威のカテゴリごとに攻撃回数を算出し、攻撃検知回数テーブル１５８に格納する。
【００４６】
さらに、セキュリティルール評価部１３２は、例えばセキュリティ管理者が設定する情報セキュリティベンダ毎のカテゴリ別の重みを重みづけテーブル１５９に格納する。さらに、セキュリティルール評価部１３２は、データ解析装置２００からＩｆルールテーブル２１０を、ＩＴリソース制御装置３００からＴｈｅｎルールテーブル３１０を取得し、各ルールを脅威カテゴリテーブル１５２で定義したカテゴリのいずれかに分類し、セキュリティルール評価テーブル１６０に格納する。セキュリティルール評価部１３２は、脅威カテゴリ評価テーブル１５４と脅威情報適合特性テーブル１５６と重みづけテーブル１５９とを用いて、各セキュリティルールの優先度を算出し、セキュリティルール評価テーブル１６０に格納する。
【００４７】
優先ルール提示部１３３は、セキュリティルールのうち、更新を優先するルールを提示する。具体的には、優先ルール提示部１３３は、セキュリティルール評価部１３２が評価した結果、更新の優先度が高いセキュリティルールについて、優先度の順に表示する。
【００４８】
通信部１４０は、例えばＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）のような装置で構成され、他の機器と接続する。
【００４９】
記憶部１５０は、例えばフラッシュメモリ、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｃ  Ｄｒｉｖｅ）のような記憶装置であり、オペレーションシステム（ＯＳ）、脅威情報テーブル１５１と、脅威カテゴリテーブル１５２と、類似カテゴリテーブル１５３と、脅威カテゴリ評価テーブル１５４と、攻撃検知情報テーブル１５５と、脅威情報適合特性テーブル１５６と、脅威情報更新回数テーブル１５７と、攻撃検知回数テーブル１５８と、重みづけテーブル１５９と、セキュリティルール評価テーブル１６０と、を記憶する。
【００５０】
図６は、脅威情報テーブルに格納されるデータ構造を示す図である。脅威情報テーブル１５１は、セキュリティベンダ識別子１５１Ａと、種別１５１Ｂと、項目１５１Ｃと、値１５１Ｄと、を含む。
【００５１】
セキュリティベンダ識別子１５１Ａは、情報セキュリティベンダを特定する情報である。種別１５１Ｂは、ランサムウェア、ウィルス、スパイウェア等、情報セキュリティベンダが分類した所定の脅威の種別を示す情報である。項目１５１Ｃは、種別１５１Ｂで特定される種別の脅威を、さらに詳細に分類する項目を示す情報である。例えば、ランサムウェアの種別には、通信を行うもの、ファイルにアクセスするもの等様々な種類があり、その中で通信を行うものについては通信先ＩＰの詳細項目をもって識別することとなる。項目１５１Ｃは、そのような詳細の項目を示す。値１５１Ｄは、項目１５１Ｃで特定される項目について、脅威となるものが有する値を特定する情報である。
【００５２】
図６の例では、情報セキュリティベンダ「Ａ」によると「通信先ＩＰアドレスが１．２．３．４の通信はランサムウェアに分類されるサイバー攻撃である」、「『ｆｕｎｃｔｉｏｎ  ｈｏｇｅ』を含む文字列のコードはウィルスに分類されるサイバー攻撃である」ということが示されている。なお、図６では、その他の詳細な脅威の情報が格納されても良いし、ＳＴＩＸといった規格に沿った情報が格納されても良いし、セキュリティベンダやセキュリティ管理者が独自に定義した脅威情報が格納されても良い。
【００５３】
図７は、脅威カテゴリテーブルに格納されるデータ構造を示す図である。脅威カテゴリテーブル１５２には、脅威情報から抽出したカテゴリを保管するため、セキュリティベンダ毎のカテゴリ名と、セキュリティベンダ間でカテゴリ名を統一するマスタカテゴリが対応付けて格納される。具体的には、脅威カテゴリテーブル１５２には、情報セキュリティベンダＡのカテゴリと、情報セキュリティベンダＢのカテゴリと、それらを統一するマスタカテゴリ１５２Ｃと、が対応付けて格納される。
【００５４】
例えば、情報セキュリティベンダＡでは、ランサムウェアの種別であって通信先ＩＰの項目を有するカテゴリが設定されており、かたや情報セキュリティベンダＢでは、マルウェア（Ｒａｎｓｏｍｗａｒｅ）の種別であってＤｓｔＩＰの項目を有するカテゴリが設定されており、これらは実体として同様の脅威を分類したものであるとすると、これらを統一するマスタカテゴリとしてＲａｎｓｏｍｗａｒｅの種別であって通信先ＩＰの項目を有するカテゴリが対応付けられて格納されている。
【００５５】
なお、図７に示す脅威カテゴリテーブル１５２は、ＳＴＩＸといった規格に沿ったカテゴリの粒度でカテゴリを格納されても良いし、セキュリティベンダやセキュリティ管理者が独自に定義したカテゴリの粒度でカテゴリを格納されても良い。また、例えば脅威のカテゴリ名に関して類語をまとめた辞書システム（以下、カテゴリの類似辞書）を用いてカテゴリが抽出されて格納されても良いし、セキュリティ管理者による任意の方法でカテゴリが抽出されて格納されても良い。
【００５６】
図８は、類似カテゴリテーブル（カテゴリの類似辞書）に格納されるデータ構造を示す図である。類似カテゴリテーブル１５３には、マスタ表現１５３Ａと、第一の表現１５３Ｂと、第二の表現１５３Ｃと、が対応付けて格納される。マスタ表現１５３Ａには、類似表現を統一して表すための表現が格納される。第一の表現１５３Ｂには、マスタ表現１５３Ａと同義の表現が格納される。第二の表現１５３Ｃには、別の情報セキュリティベンダによるカテゴリに用いられる表現であって、マスタ表現１５３Ａと同義の表現が格納される。例えば、「マルウェア（Ｒａｎｓｏｍｗａｒｅ）  Ｄｓｔ  ＩＰ」と「Ｒａｎｓｏｍｗａｒｅ（ｍａｌｗａｒｅ）  通信先ＩＰ」のカテゴリは同義であり、統一して「Ｒａｎｓｏｍｗａｒｅ  通信先ＩＰ」と表現することが示されている。
【００５７】
なお、例えば、第一の表現１５３Ｂと第二の表現１５３Ｃが同義であることは、公知の技術（例えば特開２０１２−４８２９１号）を用いることで定義することができる。また、マスタ表現１５３Ａの表現は、第一の表現１５３Ｂや第二の表現１５３Ｃなどの表現の一部から任意に抽出されても良いし、セキュリティ管理者が任意に定めても良い。
【００５８】
図９は、脅威カテゴリ評価テーブル１５４に格納されるデータ構造を示す図である。脅威カテゴリ評価テーブル１５４には、情報セキュリティベンダ毎のカテゴリ別の重要度が格納される。具体的には、脅威カテゴリ評価テーブル１５４には、セキュリティベンダ識別子１５４Ａと、マスタカテゴリ１５４Ｂと、重要度１５４Ｃと、が格納される。セキュリティベンダ識別子１５４Ａは、情報セキュリティベンダを特定する情報である。マスタカテゴリ１５４Ｂは、情報セキュリティベンダが提供する脅威情報をマスタカテゴリに割り当てたマスタカテゴリを特定する情報である。重要度１５４Ｃは、詳細は後述するが、脅威情報管理部１３１が算出した情報セキュリティベンダ毎の脅威情報の更新頻度に基づく重要度の情報である。
【００５９】
図９の例においては、情報セキュリティベンダ「Ａ」は、マスタカテゴリ「Ｒａｎｓｏｍｗａｒｅ  通信先ＩＰ」「ウィルス  コード」「Ｒａｎｓｏｍｗａｒｅ  ファイルアクセス」「スパイウェア  ファイルアクセス」に分類される脅威情報を提供しており、それぞれ脅威情報管理部１３１が算出した重要度は「７．２」、「３．２」、「３．０」、「４．２」であることが示されている。
【００６０】
図１０は、攻撃検知情報テーブルに格納されるデータ構造を示す図である。攻撃検知情報テーブル１５５には、ネットワーク５を介してセキュリティ対策製品９から情報システム別の攻撃検知情報を取得した結果が格納される。攻撃検知情報テーブル１５５には、システム識別子１５５Ａと、時刻１５５Ｂと、セキュリティ製品１５５Ｃと、カテゴリ１５５Ｄと、検出値１５５Ｅと、発生場所１５５Ｆと、が格納される。システム識別子１５５Ａは、攻撃が検知された情報システムを特定する識別子である。時刻１５５Ｂは、攻撃が検知された時刻である。セキュリティ製品１５５Ｃは、攻撃を検知したセキュリティ対策製品を特定する情報である。カテゴリ１５５Ｄは、検知された攻撃の種別と、項目とを含めたマスタカテゴリを特定する情報である。検出値１５５Ｅは、検知された攻撃の項目の値を特定する情報である。発生場所１５５Ｆは、攻撃が検知された場所、すなわち攻撃を受けたＩＴ機器を特定する情報である。
【００６１】
図１０の例においては、情報システム「Ｘ」において、「２０１６年６月３０日２２時５１分２３秒」にセキュリティ対策製品「Ａ」が、「通信先ＩＰ」アドレスが「１．２．３．４」となる「Ｒａｎｓｏｍｗａｒｅ」の通信を「サーバａ」から検知したことが示されている。
【００６２】
なお、攻撃検知情報テーブル１５５には、その他の詳細な攻撃に関する情報が格納されても良いし、セキュリティ対策製品のアラートログに記載される情報が格納されても良いし、セキュリティ管理者が独自に定義した情報が格納されても良い。また、攻撃検知情報テーブル１５５は、例示した通り、実システムが受けて検知した攻撃の情報が格納されても良いし、ハニーポットのように実システムを模擬したおとりのシステムで検知された攻撃の情報が格納されても良い。
【００６３】
図１１は、脅威情報適合特性テーブルに格納されるデータ構造を示す図である。脅威情報適合特性テーブル１５６には、例えば情報セキュリティベンダが提供する脅威情報に対して、情報システムが実際にどれだけ脅威と関連するかを示す適合特性が格納される。脅威情報適合特性テーブル１５６には、セキュリティベンダ識別子１５６Ａと、システム識別子１５６Ｂと、カテゴリ１５６Ｃと、適合特性１５６Ｄと、が格納される。セキュリティベンダ識別子１５６Ａは、情報セキュリティベンダを特定する情報である。システム識別子１５６Ｂは、情報システムを特定する情報である。カテゴリ１５６Ｃは、情報セキュリティベンダが提供する脅威情報のカテゴリを特定する情報である。適合特性１５６Ｄは、セキュリティベンダ識別子１５６Ａにより特定される情報セキュリティベンダが提供するカテゴリ１５６Ｃにより特定されるカテゴリに属する脅威情報に対して、システム識別子１５６Ｂにより特定される情報システムが適合する度合いを特定する指標値である。適合特性の算出については、後述する。
【００６４】
図１１の例においては、情報システム「Ｘ」は、情報セキュリティベンダ「Ａ」のカテゴリ「Ｒａｎｓｏｍｗａｒｅ  通信先ＩＰ」に関する脅威情報に関して、適合特性は「１０」となることが示されている。
【００６５】
図１２は、脅威情報更新回数テーブルに格納されるデータ構造を示す図である。脅威情報更新回数テーブル１５７には、セキュリティベンダ識別子１５７Ａと、カテゴリ１５７Ｂと、「２０１６／６／３０」１５７Ｃと、「２０１６／６／２９」１５７Ｄと、「２０１６／６／２８」１５７Ｅと、「２０１６／６／２７」１５７Ｆと、「２０１６／６／２６」１５７Ｇと、が含まれる。
【００６６】
セキュリティベンダ識別子１５７Ａには、セキュリティルール評価装置１００が取得する脅威情報の取得元となる情報セキュリティベンダを識別する情報が格納される。カテゴリ１５７Ｂには、セキュリティベンダ識別子１５７Ａにて識別される情報セキュリティベンダが定めた所定の脅威のカテゴリが格納される。
【００６７】
「２０１６／６／３０」１５７Ｃには、２０１６年６月３０日の脅威情報の更新回数が格納される。「２０１６／６／２９」１５７Ｄには、２０１６年６月２９日の脅威情報の更新回数が格納される。「２０１６／６／２８」１５７Ｅには、２０１６年６月２８日の脅威情報の更新回数が格納される。「２０１６／６／２７」１５７Ｆには、２０１６年６月２７日の脅威情報の更新回数が格納される。「２０１６／６／２６」１５７Ｇには、２０１６年６月２６日の脅威情報の更新回数が格納される。なお、図１２の例では、更新回数の累積を一日毎としているが、セキュリティ管理者が任意に定めた間隔（例えば、３時間毎や１週間毎等）で更新回数を累積するようにしても良い。
【００６８】
図１２に示す例では、情報セキュリティベンダ「Ａ」から「Ｒａｎｓｏｍｗａｒｅ  通信先ＩＰ」に関する脅威情報が、２０１６年６月３０日に１０回、２０１６年６月２９日に５回、２０１６年６月２８日に２回、２０１６年６月２７日に６回、２０１６年６月２６日に２０回更新されたことが示されている。
【００６９】
図１３は、攻撃検知回数テーブルに格納されるデータ構造を示す図である。攻撃検知回数テーブル１５８には、システム識別子１５８Ａと、セキュリティベンダ識別子１５８Ｂと、マスタカテゴリ１５８Ｃと、攻撃検知回数１５８Ｄと、が含まれる。
【００７０】
システム識別子１５８Ａは、情報システムを特定する情報である。セキュリティベンダ識別子１５８Ｂは、情報セキュリティベンダを特定する情報である。マスタカテゴリ１５８Ｃは、情報セキュリティベンダが提供する脅威情報をマスタカテゴリに割り当てたマスタカテゴリを特定する情報である。攻撃検知回数１５８Ｄは、セキュリティベンダ識別子１５８Ｂにより特定される情報セキュリティベンダが提供するマスタカテゴリ１５８Ｃにより特定されるカテゴリに属する脅威から、システム識別子１５８Ａにより特定される情報システムが攻撃を検知した回数である。例えば、情報システム「Ｘ」は情報セキュリティベンダ「Ａ」の「Ｒａｎｓｏｍｗａｒｅ  通信先ＩＰ」カテゴリに分類される攻撃を「３０」回検知したことが示されている。
【００７１】
なお、攻撃検知回数に関しては、システム識別子１５８Ａにより特定される情報システムが稼動し始めた時から攻撃回数を算出する時までの、すべての検知した攻撃の回数を格納する。ただし、これに限られず、直近の１時間、前日２４時間等、セキュリティ管理者が定めた任意の時間間隔における検知した攻撃の回数を格納するようにしても良い。
【００７２】
図１４は、重みづけテーブルに格納されるデータ構造を示す図である。重み付けテーブル１５９は、情報セキュリティベンダが提供する脅威のマスタカテゴリ毎に適用する重みづけを格納する。重みづけテーブル１５９には、セキュリティベンダ識別子１５９Ａと、マスタカテゴリ１５９Ｂと、重み１５９Ｃと、が含まれる。セキュリティベンダ識別子１５９Ａは、情報セキュリティベンダを特定する情報である。マスタカテゴリ１５９Ｂは、情報セキュリティベンダが提供する脅威情報をマスタカテゴリに割り当てたマスタカテゴリを特定する情報である。重み１５９Ｃは、格納された値が大きい程、情報セキュリティベンダが提供するマスタカテゴリの脅威への対策をより優先する。
【００７３】
図１４に示す例では、情報セキュリティベンダ「Ａ」の「Ｒａｎｓｏｍｗａｒｅ  通信先ＩＰ」カテゴリは重みづけが「８」であることが示されている。なお、重み付けテーブル１５９における重みづけは、セキュリティ管理者が定める任意の方法、任意の時に決定されても良い。
【００７４】
図１５は、セキュリティルール評価テーブルに格納されるデータ構造を示す図である。セキュリティルール評価テーブル１６０は、情報システム毎に設定されているＩｆルールの優先度を格納する。セキュリティルール評価テーブル１６０には、システム識別子１６０Ａと、Ｉｆルール名１６０Ｂと、マスタカテゴリ１６０Ｃと、優先度１６０Ｄと、が含まれる。システム識別子１６０Ａは、情報システムを特定する情報である。Ｉｆルール名１６０Ｂは、システム識別子１６０Ａにより特定される情報システムが管理するＩｆルール名を特定する情報である。マスタカテゴリ１６０Ｃは、情報セキュリティベンダ間で統一した脅威情報のカテゴリを特定する情報である。優先度１６０Ｄは、Ｉｆルール名１６０Ｂにより特定されるＩｆルールについての、更新を優先する度合いである。
【００７５】
図１５に示す例では、情報システム「Ｘ」のＩｆルール「Ａ」はカテゴリ「スパイウェア  ファイルアクセス」に分類され、優先度は「４９０」であることが示されている。
【００７６】
図１６は、セキュリティルール評価装置のハードウェア構成を示す図である。セキュリティルール評価装置１００は、ＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）等の通信装置１０１と、メモリ等の主記憶装置１０２と、キーボードやマウス等の入力装置１０３と、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）等の演算装置１０４と、ハードディスクやＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等の外部記憶装置１０５と、ディスプレイやプリンタ等の表示装置１０６と、これらをつなぐバス１０７と、を含んで構成される。
【００７７】
通信装置１０１は、ネットワークケーブルを介して有線通信を行う有線の通信装置、又はアンテナを介して無線通信を行う無線通信装置である。通信装置１０１は、ネットワークに接続される他の装置との通信を行う。
【００７８】
主記憶装置１０２は、例えばＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）などのメモリである。
【００７９】
入力装置１０３は、キーボードやマウス等のポインティングデバイス、タッチパネル、あるいは音声入力装置であるマイク等を含む入力情報を受け付ける装置である。
【００８０】
外部記憶装置１０５は、デジタル情報を記憶可能な、いわゆるハードディスクやＳＳＤ、あるいはフラッシュメモリなどの不揮発性記憶装置である。
【００８１】
表示装置１０６は、ディスプレイやプリンタ、あるいは音声出力装置であるスピーカ等を含む出力情報を生成する装置である。
【００８２】
上記した脅威情報管理部１３１と、セキュリティルール評価部１３２と、優先ルール提示部１３３とは、演算装置１０４に処理を行わせるプログラムによって実現される。このプログラムは、主記憶装置１０２、または外部記憶装置１０５内に記憶され、実行にあたって主記憶装置１０２上にロードされ、演算装置１０４により実行される。
【００８３】
また、記憶部１５０に格納される各種のテーブルは、主記憶装置１０２及び外部記憶装置１０５により実現される。
【００８４】
また、インターネットやＬＡＮ等に通信可能に接続する通信部１４０は通信装置１０１により実現される。また、入力部１１０は、入力装置１０３により実現され、出力部１２０は、表示装置１０６により実現される。
【００８５】
以上が、本実施形態におけるセキュリティルール評価装置１００のハードウェア構成例である。しかし、これに限らず、その他のハードウェアを用いて構成されるものであってもよい。例えば、インターネットを介して入出力を受け付ける装置であってもよい。
【００８６】
なお、セキュリティルール評価装置１００は、図示しないが、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）、ミドルウェア、アプリケーションなどの公知の要素を有し、特にディスプレイなどの入出力装置にＧＵＩ画面を表示するための既存の処理機能を備える。
【００８７】
［動作の説明］次に、本実施形態におけるセキュリティルール評価装置１００の動作を説明する。
【００８８】
図１７は、マスタカテゴリ設定処理の動作フローを示す図である。マスタカテゴリ設定処理は、セキュリティルール評価装置１００が情報セキュリティベンダから取得したセキュリティ脅威情報２を参照し、カテゴリを抽出して、マスタカテゴリを設定する手順である。
【００８９】
まず、脅威情報管理部１３１は、脅威情報テーブル１５１から、情報セキュリティベンダより取得した脅威情報を参照する（ステップＳ１１１）。
【００９０】
そして、脅威情報管理部１３１は、ベンダ毎の脅威情報のカテゴリを抽出する（ステップＳ１１２）。具体的には、脅威情報管理部１３１は、脅威情報テーブル１５１の種別１５１Ｂと項目１５１Ｃを参照し、ベンダ毎にカテゴリを抽出する。脅威情報管理部１３１は、脅威カテゴリテーブル１５２におけるセキュリティベンダＡのカテゴリ１５２ＡやセキュリティベンダＢのカテゴリ１５２Ｂに格納する。なお、カテゴリの粒度は、情報セキュリティベンダから取得した脅威情報の種別や項目といった分類を用いて決定され抽出されても良いし、ＳＴＩＸといった規格で定められた分類を用いて決定され抽出されても良いし、セキュリティ管理者が任意に定めて抽出されても良い。また、カテゴリの抽出は、例えばカテゴリの類似辞書を用いても良いし、セキュリティ管理者による任意の方法が用いられても良い。
【００９１】
そして、脅威情報管理部１３１は、ベンダ毎の脅威カテゴリの類似によるマスタカテゴリの設定を行う（ステップＳ１１３）。具体的には、脅威情報管理部１３１は、ステップＳ１１２で抽出したセキュリティベンダ毎の脅威情報のカテゴリを対応付けし、同一の名称として扱うためマスタカテゴリの名前を設定する。この結果、図７におけるマスタカテゴリ１５２Ｃにマスタカテゴリが格納される。なお、情報セキュリティベンダ毎のカテゴリの対応付けおよびマスタカテゴリの設定は、ＳＴＩＸといった規格に沿っても良いし、セキュリティ管理者が任意に実施しても良い。
【００９２】
カテゴリの類似辞書を用いる場合には、脅威情報管理部１３１は、ステップＳ１１２で抽出した情報セキュリティベンダ毎のカテゴリの表現を、類似辞書である類似カテゴリテーブル１５３から検索し、該当する表現が存在する場合は、その表現に対するマスタ表現１５３Ａを読み出し、マスタカテゴリ１５２Ｃに格納する。ステップＳ１１２で抽出した情報セキュリティベンダ毎のカテゴリの表現が検索で得られない場合、すなわち類似カテゴリがない場合には、脅威情報管理部１３１は、情報セキュリティベンダ毎のカテゴリの表現を、そのままマスタカテゴリ１５２Ｃとして格納する。
【００９３】
以上が、マスタカテゴリ設定処理の動作フローである。マスタカテゴリ設定処理によれば、情報セキュリティベンダごとに異なる観点でカテゴライズされた脅威情報を、統一したカテゴリにより区分することができるようになる。
【００９４】
なお、図１７に示したマスタカテゴリ設定処理は、情報セキュリティベンダから脅威情報を取得する度に実行しても良いし、セキュリティ管理者があらかじめ定めた任意の時刻や時間間隔で実行しても良い。
【００９５】
図１８は、脅威カテゴリ別重要度算出処理の動作フローを示す図である。脅威カテゴリ別重要度算出処理は、セキュリティルール評価装置１００が、情報セキュリティベンダから取得する脅威情報を用いて、脅威のカテゴリ毎に重要度を算出する手順である。
【００９６】
まず、脅威情報管理部１３１は、脅威情報テーブル１５１から、情報セキュリティベンダより取得した脅威情報を参照する（ステップＳ１２１）。
【００９７】
そして、脅威情報管理部１３１は、参照した脅威情報を用いて、脅威情報の更新回数の算出を行う（ステップＳ１２２）。具体的には、脅威情報管理部１３１は、情報セキュリティベンダ毎に、カテゴリ別に脅威情報の更新回数を算出して脅威情報更新回数テーブル１５７へ格納する。
【００９８】
そして、脅威情報管理部１３１は、重要度の算出を行う（ステップＳ１２３）。具体的には、脅威情報管理部１３１は、ステップＳ１２２で算出した脅威情報の更新回数を用いて、情報セキュリティベンダ毎に、カテゴリ別の重要度を算出し、結果を脅威カテゴリ評価テーブル１５４の重要度１５４Ｃに格納する。
【００９９】
この処理においては、脅威情報管理部１３１は、直近の脅威情報の更新回数に大きな重みをつけて重要度を算出することができる。その方法については、加重移動平均を用いる方法が考えられる。例えば、ｍ日の更新回数をR_m、重みをｎとすると、加重移動平均となる重要度Ｉは下式（１）で算出できる。
【０１００】
2018077607.tif 000003
【０１０１】
図１２に示す例であれば、重みｎ＝５とすると、２０１６年６月２６日から２０１６年６月３０日の５日間の更新回数を用いて重要度を算出すると、情報セキュリティベンダ「Ａ」の「Ｒａｎｓｏｍｗａｒｅ  通信先ＩＰ」の重要度は以下となる。
【０１０２】
2018077607.tif 000004
【０１０３】
以上が、脅威カテゴリ別重要度算出処理の動作フローである。脅威カテゴリ別重要度算出処理によれば、近日の更新度合の高い脅威情報について、重要度という指標値を算出することができるようになる。
【０１０４】
なお、図１８のステップＳ１２３では、重要度の算出に加重移動平均を用いているが、更新日で重みをつけない単純移動平均や、より直近に更新された脅威情報に大きな重みをつける指数移動平均を用いるなどセキュリティ管理者が任意に設定した式を用いて重要度を算出しても良い。また、セキュリティベンダの脅威情報の更新回数を用いてカテゴリ別の重要度を算出することに限られず、重要度は、情報セキュリティベンダが脅威情報の中で重要度として提供する値を用いても良い。または、重要度は、セキュリティ管理者が任意の方法で予め設定した値を用いても良い。図１８に示す手順は、図１７に示すマスタカテゴリ設定処理が実行された度に実行されても良いし、情報セキュリティベンダから脅威情報を取得する度に実行されても良い。あるいはセキュリティ管理者があらかじめ定めた任意の時刻や時間間隔で実行されても良い。
【０１０５】
図１９は、適合特性算出処理の動作フローを示す図である。適合特性算出処理は、脅威情報管理部１３１が、情報セキュリティベンダから取得する脅威情報を用いて、脅威のカテゴリ毎に、守るべき情報システムとの関連性を示す適合特性を算出する手順である。
【０１０６】
まず、脅威情報管理部１３１は、検知した攻撃に関するログの参照を行う（ステップＳ２１１）。具体的には、脅威情報管理部１３１は、攻撃検知情報テーブル１５５を用いて、検知した攻撃に関するログ情報を収集し、参照する。
【０１０７】
そして、脅威情報管理部１３１は、カテゴリごとの攻撃検知回数の算出を行う（ステップＳ２１２）。具体的には、脅威情報管理部１３１は、参照した攻撃検知情報を用いて、情報システム毎の情報セキュリティベンダ別の各カテゴリの攻撃検知回数を算出し、攻撃検知回数テーブル１５８の攻撃検知回数１５８Ｄに回数を格納する。
【０１０８】
そして、脅威情報管理部１３１は、カテゴリごとの適合特性を算出する（ステップＳ２１３）。具体的には、脅威情報管理部１３１は、ステップＳ２１２で算出した攻撃検知回数を用いて、情報システム毎に情報セキュリティベンダ別の各カテゴリに対する適合特性を算出し、結果を脅威情報適合特性テーブル１５６の適合特性１５６Ｄに格納する。
【０１０９】
この処理においては、脅威情報管理部１３１は、適合特性を、情報システム毎の全攻撃検知回数に対するセキュリティベンダ別の各カテゴリの攻撃検知回数の割合として算出することができる。図１３の攻撃検知回数テーブル１５８の例を用いると、適合特性は以下となる。
【０１１０】
2018077607.tif 000005
【０１１１】
以上が、適合特性算出処理の動作フローである。適合特性算出処理によれば、守るべき情報システムが受けた実績にもとづいて脅威情報のカテゴリごとに適合特性という指標値を算出することができるようになる。
【０１１２】
なお、ステップＳ２１３では、適合特性の算出に攻撃検知回数の割合を用いたが、これに限られるものではない。例えば、脅威情報管理部１３１は、直近の攻撃検知回数に重みをかけた加重移動平均を用いて割合を算出しても良いし、セキュリティ管理者が任意に定めた算出方法を用いて算出しても良い。また、実際に受けた攻撃の検知回数を用いて適合特性を算出するのに限られず、ハニーポットのように実システムを模擬したおとりシステムで検知された攻撃の情報を用いて適合特性を算出しても良い。またさらに、他の情報を用いてセキュリティ管理者が任意の方法で設定した値を用いて適合特性を算出しても良い。
【０１１３】
適合特性算出処理は、マスタカテゴリ設定処理が実行された度に実行されても良いし、攻撃を検知する度に実行されても良いし、セキュリティ管理者があらかじめ定めた任意の時刻や時間間隔で実行されても良い。
【０１１４】
ここで、Ｉｆルールのそれぞれについて、マスタカテゴリに分類する処理について説明する。脅威情報管理部１３１は、データ解析装置２００が保有するＩｆルールテーブル２１０を読み出し、Ｉｆルールを解析して、脅威カテゴリテーブル１５２に格納されているセキュリティベンダ毎のカテゴリ名やマスタカテゴリのカテゴリ名で文字列検索を行い、検索された文字列に該当するマスタカテゴリをそのＩｆルールのカテゴリとして決定する。
【０１１５】
例えば、図２のＩｆルールテーブル２１０における情報システム「Ｘ」の「ＩｆルールＡ」のカテゴリを決定する処理では、脅威情報管理部１３１は、当該「ＩｆルールＡ」についてのルール内容２１０Ｃを読み出し、「ｄａｔａ=“事業部Ｂ”  ｍａｃｈｉｎｅ=“ＶＭ１”  ｔｈｒｅａｔ=“スパイウェア”  ファイルアクセス=“／ｕｓｅｒＡ”」について脅威カテゴリテーブル１５２を参照し、「ランサムウェア」と「通信ＩＰ」を含む文字列か検索し、該当しなければ「ランサムウェア」と「ファイルアクセス」を含む文字列か検索し、該当しなければ同様にその他のカテゴリ名で文字列検索を行う。この結果、情報システム「Ｘ」の「ＩｆルールＡ」は、「スパイウェア」と「ファイルアクセス」の文字列検索で該当するため、「スパイウェア  ファイルアクセス」のマスタカテゴリに分類が決定される。
【０１１６】
なお、このようなＩｆルールのマスタカテゴリの決定手順については、脅威情報管理部１３１が脅威カテゴリテーブル１５２を参照して得られるカテゴリ名を用いて文字列検索しても良いし、例えば脅威情報管理部１３１がカテゴリの類語辞書を用いて文字列検索しても良いし、例えばセキュリティ管理者がルール内容を確認しカテゴリを決定しても良い。また、セキュリティルールが追加される度に実行されても良いし、マスタカテゴリ設定処理が実行される度に実行されても良いし、セキュリティ管理者があらかじめ定めた任意の時刻や時間間隔で実行しても良い。
【０１１７】
図２０は、セキュリティルール優先度算出処理の動作フローを示す図である。セキュリティルール優先度算出処理は、脅威情報管理部１３１が、外部から得た脅威情報の重要度と、守るべき情報システムとの関連性を示す適合特性と、情報セキュリティベンダの重み付けとを用いて、Ｉｆルールの更新を検討する優先度を算出する手順である。
【０１１８】
まず、脅威情報管理部１３１は、重要度または適合特性または重みの値に変更があったか否かを判定する（ステップＳ２３１）。具体的には、脅威情報管理部１３１は、脅威カテゴリ評価テーブル１５４に格納された重要度１５４Ｃ、または脅威情報適合特性テーブル１５６に格納された適合特性１５６Ｄまたは重みづけテーブル１５９に格納された重み１５９Ｃの値が更新されたか否か判断する。重要度、適合特性および重みの値のいずれにも変更がなかった場合（ステップＳ２３１にて「Ｎｏ」の場合）には、脅威情報管理部１３１は、制御をステップＳ２３１に戻す。
【０１１９】
重要度または適合特性または重みの値に変更があった場合（ステップＳ２３１にて「Ｙｅｓ」の場合）には、セキュリティルール評価部１３２は、セキュリティルール（ＩｆルールおよびＴｈｅｎルール）の優先度の算出を行う（ステップＳ２３２）。具体的には、セキュリティルール評価部１３２は、脅威カテゴリ評価テーブル１５４に格納された重要度１５４Ｃおよび脅威情報適合特性テーブル１５６に格納された適合特性１５６Ｄおよび重みづけテーブル１５９に格納された重み１５９Ｃの値を用いて、情報システム毎のセキュリティルールが属するカテゴリそれぞれの優先度を算出し、結果をセキュリティルール評価テーブル１６０の優先度１６０Ｄに格納する。
【０１２０】
優先度の具体的な算出については、セキュリティルール評価部１３２は、カテゴリの優先度を、セキュリティベンダ毎のカテゴリに関して、重要度と適合特性と重みの積を計算し、全情報セキュリティベンダの値を足し合わせることで算出する。例えば、情報セキュリティベンダの数をｍ、カテゴリ別の重要度をＩｃ、適合特性をＦｃ、重みをＷｃとすると、優先度Ｐｃは下式（２）により求まる。
【０１２１】
2018077607.tif 000006
【０１２２】
以上が、セキュリティルール優先度算出処理の動作フローである。セキュリティルール優先度算出処理によれば、外部環境を反映した情報セキュリティベンダからの脅威情報を用いた重要度と、守るべき情報システムに固有の特性を反映した適合特性と、情報セキュリティベンダ間の傾向等を考慮した重み付けと、を用いて、セキュリティルールの優先度を算出することができるようになる。
【０１２３】
本実施形態の例においては、情報システム「Ｘ」のカテゴリ「スパイウェア  ファイルアクセス」に関する優先度は、情報システム「Ｘ」に関する情報セキュリティベンダ「Ａ」の「スパイウェア  ファイルアクセス」の重要度と適合特性と重みの積と、情報セキュリティベンダ「Ｂ」の「スパイウェア  ファイルアクセス」の重要度と適合特性と重みの積と、を足して、（４．２×１３×２）＋（８．３×７×８）＝４９０となる。
【０１２４】
なお、ステップＳ２３２における優先度の算出については、セキュリティ管理者が定めた別の任意の方法で計算されても良い。また、セキュリティルール優先度算出処理は、セキュリティ管理者があらかじめ定めた任意の時刻や時間間隔で実行されても良い。また、セキュリティルール評価部１３２は、ＩｆルールあるいはＴｈｅｎルールのそれぞれについて、実際に攻撃を受けた際の種別、項目、値が完全一致する場合には、優先度を増加させるようにしてもよい。実際に攻撃を受けた値と完全一致するルールについては、更新を最優先にすべきであるためである。
【０１２５】
また、セキュリティルール評価部１３２は、守るべき情報システムのうち変更があった構成に係るセキュリティルールについて優先度を算出するようにしてもよい。その場合には、後述のシステム変更影響ルール抽出処理の実施に続けて、セキュリティルール評価部１３２は、抽出されたセキュリティルールの情報を受け取り、これに限定してセキュリティルール優先度算出処理を行うようにすればよい。
【０１２６】
図２１は、システム変更影響ルール抽出処理の動作フローを示す図である。システム変更影響ルール抽出処理は、セキュリティルール評価部１３２が、守るべき情報システムの変更により影響が及びうるセキュリティルールを抽出する手順である。
【０１２７】
まず、セキュリティルール評価部１３２は、情報システムの構成変更または脅威情報のアップデートが存在するか否か判断する（ステップＳ３１１）。例えば、セキュリティルール評価部１３２は、守るべき情報システムの構成管理システムに変更情報の有無を問い合わせ、情報セキュリティベンダのコンピュータシステム１へ脅威情報の更新の有無を問い合わせる。その結果、情報システムの構成変更または脅威情報のアップデートがいずれにも存在しない場合（ステップＳ３１１にて「Ｎｏ」の場合）には、セキュリティルール評価部１３２は、制御をステップＳ３１１へ戻す。
【０１２８】
情報システムの構成変更または脅威情報のアップデートが存在する場合（ステップＳ３１１にて「Ｙｅｓ」の場合）には、セキュリティルール評価部１３２は、更新が必要な可能性のあるセキュリティルールを抽出する（ステップＳ３１２）。具体的には、セキュリティルール評価部１３２は、データ解析装置２００が有するＩｆルールテーブル２１０およびＩＴリソース制御装置３００が有するＴｈｅｎルールテーブル３１０を参照し、情報システムの構成変更または脅威情報のアップデートに関係するＩｆルールおよびＴｈｅｎルールを抽出する。
【０１２９】
より詳しくは、セキュリティルール評価部１３２は、情報システムの構成変更に伴う値がＩｆルールの内容に含まれるか文字列検索し、文字列が含まれている場合は、関係するＩｆルールとして抽出する。例を挙げると、セキュリティルール評価部１３２は、情報システム「Ｘ」に関して「ｍａｃｈｉｎｅ名」が「サーバ１」から「サーバ２」に構成変更された場合、Ｉｆルールテーブル２１０の情報システム「Ｘ」に関するＩｆルールやＴｈｅｎルールについて「サーバ１」および「サーバ２」の文字列検索を行い、「サーバ１」を含む「ＩｆルールＥ」を更新が必要な可能性のあるセキュリティルールとして抽出する。なお、Ｔｈｅｎルールの場合には、セキュリティルール評価部１３２は、Ｔｈｅｎルールテーブル３１０のルール内容３１０Ｃを文字列検索して、関連するセキュリティルールとして抽出する。
【０１３０】
以上が、システム変更影響ルール抽出処理の動作フローである。システム変更影響ルール抽出処理によれば、守るべき情報システムの構成変更等の環境に起因する変更に基づき、影響範囲にあるセキュリティルールをもれなく抽出することができるようになる。
【０１３１】
なお、セキュリティルール評価部１３２は、ステップＳ３１２で抽出されたＩｆルールまたはＴｈｅｎルールに関して、Ｉｆ／Ｔｈｅｎルール対応テーブル２２０を参照して、対応するＴｈｅｎルールまたはＩｆルールを参照し、更新が必要な可能性のあるセキュリティルールとして抽出しても良い。
【０１３２】
そして、セキュリティ管理者は、セキュリティルール評価装置１００を用いてステップＳ３１２で抽出したセキュリティルールに絞り込んで優先度を確認する。その場合には、優先度を表示するために、優先ルール提示部１３３は、例えば、図２２に示す管理画面４００を表示する。
【０１３３】
図２２は、セキュリティルール優先度算出処理の出力画面例を示す図である。管理画面４００には、例えば、更新が必要な可能性のあるセキュリティルールを優先度の順に表示するセキュリティルール表示領域４１０が表示されている。セキュリティルール表示領域４１０には、例えば、ステップＳ３１２で抽出した更新が必要な可能性のあるセキュリティルールが、優先度が高い順に表示される。管理画面４００は、ＴｈｅｎルールとＩｆルールの区別なく同様に表示する。しかし、これに限られず、Ｉｆ／Ｔｈｅｎルール対応テーブル２２０を参照して、Ｔｈｅｎルールに対応するＩｆルールの優先度（望ましくは、最も高い優先度）をＴｈｅｎルールの優先度として表示しても良い。
【０１３４】
例示すると、図２２の場合、更新が必要な可能性のあるセキュリティルールとして、情報システム「Ｘ」では、「スパイウェア  ファイルアクセス」カテゴリの「ＩｆルールＯ」の優先度が「１５１０」で順位が１位となっていることが示されている。また、「ＴｈｅｎルールＣ」はＩｆ／Ｔｈｅｎルール対応テーブル２２０においてはＩｆルールＢと対応しており、そのＩｆルールＢに相当する優先度をＴｈｅｎルールＣの優先度として取得して、優先度が「９４４．８」となり順位が２位となっている。
【０１３５】
なお、管理画面４００は、例えば、セキュリティ管理者がステップＳ３１２で抽出したセキュリティルールをセキュリティルール評価テーブル１６０から選択して表示させても良いし、ステップＳ３１２で抽出されたセキュリティルールが優先度の順に当該画面に表示されても良い。
【０１３６】
以上、実施形態に係るセキュリティルール評価システムについて具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。例えば、セキュリティシステムの管理者が守るべき情報システムのセキュリティルール全てを更新する物ではなく、情報システム単位にセキュリティ管理者を配置可能としても良い。その場合、セキュリティ管理者は自分が管理する情報システムを予めセキュリティルール評価装置１００に登録しておき、セキュリティルール評価部１３２は、セキュリティルール優先度算出処理およびシステム変更影響ルール抽出処理においては、ログインしているセキュリティ管理者が登録されている情報システムに限定して処理を実行する。このようにすることで、情報システムの規模が大きくなった場合でも、容易に分業することができる。
【０１３７】
なお、上記した実施形態では本発明を分かりやすく説明するために構成を詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。
【０１３８】
また、上記の各構成、機能、処理部等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【０１３９】
また、上記した各構成、機能、処理部等は、それらの一部又は全部を、例えば別の装置で実行してネットワークを介して統合処理する等により分散システムで実現してもよい。
【０１４０】
また、上記した実施形態の技術的要素は、単独で適用されてもよいし、プログラム部品とハードウェア部品のような複数の部分に分けられて適用されるようにしてもよい。
【０１４１】
以上、本発明について、実施形態を中心に説明した。
【符号の説明】
【０１４２】
１Ａ，１Ｂ・・・コンピュータシステム、２Ａ，２Ｂ・・・セキュリティ脅威情報、３・・・ネットワーク、４・・・セキュリティシステム、５・・・ネットワーク、６・・・サーバー装置、７・・・ネットワーク機器、８・・・ストレージ、９・・・セキュリティ対策製品、１００・・・セキュリティルール評価装置、２００・・・データ解析装置、２１０・・・Ｉｆルールテーブル、２２０・・・Ｉｆ／Ｔｈｅｎルール対応テーブル、３００・・・ＩＴリソース制御装置、３１０・・・Ｔｈｅｎルールテーブル
【図１】
2018077607.tif 000007
【図２】
2018077607.tif 000008
【図３】
2018077607.tif 000009
【図４】
2018077607.tif 000010
【図５】
2018077607.tif 000011
【図６】
2018077607.tif 000012
【図７】
2018077607.tif 000013
【図８】
2018077607.tif 000014
【図９】
2018077607.tif 000015
【図１０】
2018077607.tif 000016
【図１１】
2018077607.tif 000017
【図１２】
2018077607.tif 000018
【図１３】
2018077607.tif 000019
【図１４】
2018077607.tif 000020
【図１５】
2018077607.tif 000021
【図１６】
2018077607.tif 000022
【図１７】
2018077607.tif 000023
【図１８】
2018077607.tif 000024
【図１９】
2018077607.tif 000025
【図２０】
2018077607.tif 000026
【図２１】
2018077607.tif 000027
【図２２】
2018077607.tif 000028