(57)【要約】【課題】  セキュリティ訓練時の混乱を防止して円滑に実施できるようにした標的型攻撃メールシミュレーションシステムを提供する。【解決手段】  スケジュール作成保存部７０は、複数のユーザに対し、標的型攻撃メールのダミー攻撃メールを送信してシミュレーションを実行するスケジュールを作成保存する。スケジュール作成保存部７０は、複数のユーザを複数のグループに分け、複数のグループ毎にシミュレーションの実行日実行時間を変えたスケジュールを立案して保存する。これにより、一斉にユーザ全員へダミー攻撃メールを送信してシミュレーションを実施することがないので、ダミー攻撃メールを受信したユーザがこのメールに疑義を持ち、セキュリティ担当者に対する問い合わせを時間的に分散することができる。【選択図】  図１
2019040464.tif 000002
【特許請求の範囲】
【請求項１】
組織に所属する複数のユーザに対し、添付ファイル付きもしくはURLリンク付きの標的型攻撃メールを模した添付ファイル付きもしくはURLリンク付きのダミー攻撃メールを送信して前記ユーザの前記ダミー攻撃メールに対する対応結果を記録する標的型攻撃メールシミュレーションシステムであって、
前記複数のユーザに対し、シミュレーションを実行するスケジュールを作成保存するスケジュール作成保存部を備え、
前記スケジュール作成保存部は、前記ダミー攻撃メールを送信する実行日実行時間を前記ユーザ毎に設定し、更に、前記複数のユーザを複数のグループ分け、前記複数のグループ毎にシミュレーションの実行日実行時間を変えたスケジュールを立案して保存する機能を有している標的型攻撃メールシミュレーションシステム。
【請求項２】
前記スケジュール作成保存部は、保存された前記スケジュールが、管理者によって変更可能に構成されている請求項１に記載の標的型攻撃メールシミュレーションシステム。
【請求項３】
前記添付ファイル付きもしくはURLリンク付きのダミー攻撃メールの添付ファイルを前記ユーザが開いた後に、あるいはURLをクリックした後に、通信回線を前記ユーザが切断したか否かを検知する回線切断検知部をさらに備えている請求項１または２に記載の標的型攻撃メールシミュレーションシステム。
【請求項４】
前記添付ファイル付きのダミー攻撃メールの添付ファイルを前記ユーザが開いたときに、もしくは前記URLリンク付きのダミー攻撃メールのリンクを前記ユーザがクリックしたときに、該ユーザが使用している端末装置のＯＳについての情報を集計するＯＳ情報集計部をさらに備えている請求項１乃至３のいずれか１項に記載の標的型攻撃メールシミュレーションシステム。
【請求項５】
前記添付ファイル付きのダミー攻撃メールの添付ファイルを前記ユーザが開いたときに、もしくは前記URLリンク付きのダミー攻撃メールのリンクを前記ユーザがクリックしたときに、該ユーザが使用している端末装置にインストールされているブラウザについての情報を集計するブラウザ情報集計手段をさらに備えている請求項１乃至４のいずれか１項に記載の標的型攻撃メールシミュレーションシステム。
【請求項６】
前記シミュレーションを実施する前に予め登録した複数の管理者が、前記添付ファイル付きもしくは前記URLリンク付きのダミー攻撃メールの確認をした場合にのみ、前記シミュレーションを実施可能する実施開始条件設定部をさらに備えている請求項１乃至５のいずれか１項に記載の標的型攻撃メールシミュレーションシステム。
【請求項７】
前記添付ファイル付きのダミー攻撃メールの添付ファイルに自動的にパスワードを設定し、更に、当該ダミー攻撃メールの送信後、前記添付ファイルを開くパスワードを通知するパスワード通知メールを自動送信するパスワード作成送信部を有している請求項１に記載の標的型攻撃メールシミュレーションシステム。
【請求項８】
前記添付ファイル付きもしくは前記URLリンク付きのダミー攻撃メールを送信する前の所定の期間内に、１以上の標的型攻撃メールを前記複数のユーザに送信する誤解発生メール送信部を有している請求項１に記載の標的型攻撃メールシミュレーションシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、組織に所属する複数のユーザに対し、添付ファイル付きまたはリンク付きの標的型攻撃メールを模した添付ファイル付きまたはリンク付きのダミー攻撃メールを送信して、ユーザの仮想攻撃メールに対する対応結果を記録する標的型攻撃メールシミュレーションシステムに関するものである。
【背景技術】
【０００２】
特開２０１３−１４９０６３号公報（特許文献１）には、組織に所属する複数のユーザに対し、添付ファイル付きの標的型攻撃メールを模した添付ファイル付きのダミー攻撃メールを送信して、ユーザのダミー攻撃メールに対する対応結果の集計を行う集計部をそなえている攻撃メールシミュレーションシステムが開示されている。このシステムでは、添付ファイル付きのダミー攻撃メールを模した添付ファイル付きのダミー攻撃メールをユーザが開封した場合に、埋め込まれたURLに基づいて発生したＨＴＴＰリクエストを受信して、添付ファイルを開封したユーザを特定し、開封した旨を記録している。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１３−１４９０６３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来の攻撃メールシミュレーションシステムでは、複数のユーザ全てに対して一斉にダミー攻撃メールを送信してシミュレーションを同時に行っている。そのため、一時期にセキュリティ担当者への問い合わせが殺到して対処しきれない場合があり、セキュリティ訓練時に混乱を招く虞があった。
【０００５】
本発明の目的は、セキュリティ訓練時の混乱を防止して円滑に実施できるようにした標的型攻撃メールシミュレーションシステムを提供することにある。
【課題を解決するための手段】
【０００６】
本発明は、組織に所属する複数のユーザに対し、添付ファイル付きもしくはURLリンク付きの標的型攻撃メールを模した添付ファイル付きもしくはURLリンク付きのダミー攻撃メールを送信して、ユーザのダミー攻撃メールに対する対応結果を記録する攻撃メールシミュレーションシステムを対象とする。本願明細書において、「複数のユーザ」とは、会社であれば従業員、団体であれば団体構成員等のように、組織においてパソコン等の通信端末装置を使用する者を意味する。
【０００７】
本発明では、複数のユーザに対し、標的型攻撃メールを模したダミー攻撃メールを送信してシミュレーションを実行するスケジュールを作成保存するスケジュール作成保存部を備えている。スケジュール作成保存部は、複数のユーザを複数のグループに分け、複数のグループ毎にシミュレーションの実行日と実行時間を変えたスケジュールを立案して保存する機能を有している。このようなスケジュール作成保存部を設けると、一斉にユーザ全員へダミー攻撃メールを送信してシミュレーションを実施することがないので、ダミー攻撃メールを受信したユーザがこのメールに疑義を持ち、セキュリティ担当者に対する問い合わせが分散される。例えば、１０人単位のグループへ一日毎にダミー攻撃メールを送信すれば、ユーザの問い合わせに対してセキュリティ担当者は容易に対応することができる。
【０００８】
スケジュール作成保存部は、保存されたスケジュールが、管理者によって変更可能に構成されているのが好ましい。このようにすると、参加するユーザの都合、実施する会社の行事等を考慮して、管理者がグループの構成員の変更や、実行日実行時間の変更を簡単に行うことができ、シミュレーションを予定通りに実施することが可能になる。
【０００９】
添付ファイル付きもしくはURLリンク付きのダミー攻撃メールの添付ファイルをユーザが開いた後に、あるいはURLをクリックした後に、通信回線をユーザが切断したか否かを検知する回線切断検知部をさらに備えているのが好ましい。回線切断検知部を備えていれば、問題のある添付ファイルを開いた後に、適切な対処をユーザが行ったか否かを検知して、その結果をユーザの指導に役立てることができる。
【００１０】
添付ファイル付きのダミー攻撃メールをユーザが開いたときに、もしくはURLリンク付きのダミー攻撃メールのリンクをユーザがクリックしたときに、該ユーザが使用している端末装置のＯＳについての情報を集計するＯＳ情報集計部をさらに備えているのが好ましい。管理者は、ＯＳ情報集計部の集計結果に基づいて、複数のユーザがパソコンやタブレット、もしくはスマートフォンなどの端末で添付ファイルを開封し、もしくはリンクをクリックしたかを特定することに利用することができる。
【００１１】
添付ファイル付きのダミー攻撃メールの添付ファイルを前記ユーザが開いたときに、もしくは前記URLリンク付きのダミー攻撃メールのリンクを前記ユーザがクリックしたときに、該ユーザが使用している端末装置にインストールされているブラウザについての情報を集計するブラウザ情報集計手段をさらに備えているのが好ましい。ブラウザ情報集計手段があると、管理者は集計情報により、企業などのルールに基づいたブラウザの使用を確認することができると共に、添付ファイルを開封した、もしくはリンクをクリックした端末の特定に利用することができる。
【００１２】
シミュレーションを実施する前に予め登録した複数の管理者が、添付ファイル付き、もしくはURLリンク付きのダミー攻撃メールの確認をした場合にのみ、シミュレーションを実施可能とする実施開始条件設定部をさらに備えているのが好ましい。実施開始条件設定部を設けると、複数の管理者が全員同意しなければ、シミュレーションの実施を開始できないので、複数の管理者が全員同意した、より有効なかつ適正な添付ファイル付き、もしくはURLリンク付きのダミー攻撃メールを用いてシミュレーションを実施することができる。
【００１３】
添付ファイル付きのダミー攻撃メールを送信する際、添付ファイルのパスワードを自動的に設定し、かつ、添付ファイルを開くパスワードを通知するパスワード通知メールを自動送信するパスワード作成送信部を有しているのが好ましい。このようにすると、ユーザにダミー攻撃メールであることを悟られる可能性が低くなり、さらに担当者の労力を軽減してより有効にシミュレーションを実施できる。
【００１４】
添付ファイル付きもしくはURLリンク付きのダミー攻撃メールを送信する前の所定の期間内に、１以上の標的型攻撃メールを複数のユーザに送信する誤解発生メール送信部を有しているのが好ましい。添付ファイル付きもしくはURLリンク付きのダミー攻撃メールを送信する前の所定の期間内に、１以上の標的型攻撃メールを対象となる複数のユーザに送信してメールのやりとりが行われることにより、後に送信される添付ファイル付きもしくはURLリンク付きダミー攻撃メールをユーザが安全なメールであると誤解してしまう可能性が高くなり、ユーザの注意力の程度を確認することが可能になる。
【発明の効果】
【００１５】
以上のように本発明に係る攻撃メールシミュレーションシステムによると、組織のセキュリティ担当者に対する問い合わせを時間的に分散させることができ、これによりセキュリティ担当者への問い合わせが殺到して混乱を招くことを防止し、この結果セキュリティ訓練を円滑に実施することが可能となる。
【図面の簡単な説明】
【００１６】
【図１】本発明に係る標的型攻撃メールシミュレーションシステムの一つの実施の形態のハードウェア構成を示すブロック図である。
【図２】図１の実施の形態における全体の処理の流れを示すフローチャートである。
【図３】図２のフローチャート中、スケジュール作成保存ステップＳ１０及び実施開始条件設定ステップの詳細を示すフローチャートである。
【図４】図２のフローチャート中、標的型攻撃メール送信ステップＳ４０から後のステップの詳細を示すフローチャートである。
【発明を実施するための形態】
【００１７】
以下、図面を参照しつつ、本発明に係る標的型攻撃メールシミュレーションシステムの一つの実施の形態について詳細に説明する。
【００１８】
図１に示す標的型攻撃メールシミュレーションシステムにおいては、ダミー攻撃メール作成部１０はダミー攻撃メールを作成する。ダミー攻撃メール送信部２０は、このダミー攻撃メールを組織に所属する複数のユーザの使用するユーザ端末Ｕにネットワークを介して送信する。アクセスログ検知部３０は、ユーザ端末Ｕを操作するユーザのダミー攻撃メールに対する対応結果をネットワークを介して検知し、アクセスログ収集部４０に記録する。
【００１９】
レポート作成部５０は、アクセスログ収集部４０に収集された各ユーザの対応結果に基づいて、組織全体及び／又は個人ごとの標的型のメール攻撃に対しての耐性を分析・評価するレポートを作成して、レポート表示部５２に表示し、レポート５４を印刷する。
【００２０】
訓練案内表示部６０は、ダミー攻撃メールに対処したユーザに対して、ダミー攻撃メールが訓練のためのシミュレーションであることや、標的型攻撃メールに対する正しい対応などの案内を行う。正しい対応の教育はe-learningにより行うことができ、各ユーザは自発的に、又は管理者の指示に応じ、ユーザ端末Ｕを訓練案内表示部６０にアクセスして、e-learningによる教育を受ける。
【００２１】
スケジュール作成保存部７０は、複数のユーザに対し、標的型攻撃メールのダミー攻撃メールを送信してシミュレーションを実行するスケジュールを作成保存する。スケジュール作成保存部７０は、複数のユーザを複数のグループに分け、複数のグループ毎、またはそれぞれのユーザ毎にシミュレーションの実行日及び実行時間を変えたスケジュールを立案して保存する。
【００２２】
スケジュール作成保存部７０は、組織に所属する各ユーザ毎の各データを記憶したユーザ記憶部８０からデータを読み出して、グループ分けとグループ毎、またはそれぞれのユーザ毎の実行日及び実行時間とからなるスケジュールを作成し保存する。本実施の形態において、スケジュールは予め入力された条件に従って自動的に作成・保存され、選択的に、組織に所属する管理者が使用する複数の管理者端末Ａのいずれかを操作することにより作成・保存される。ユーザ記憶部８０は、例えば組織が会社の場合、社内LANに接続されたユーザ端末Ｕを使用している各従業員の少なくともメールアドレスを含むプロフィールを記憶している。最も簡単には、データベースの形式で保存された社員名簿である。
【００２３】
またスケジュール作成保存部７０が作成して保存したスケジュールは、複数の管理者端末Ａのいずれかを操作することにより、管理者によって変更可能であるように構成されている。これにより、参加するユーザの就業日や休暇や出張など公私の都合、及び実施する会社の行事や営業日等の組織の都合を考慮して、管理者がグループの構成員の変更や、実行日及び実行時間の変更を簡単に行うことができ、シミュレーションを予定通りに実施することが可能になる。なお「管理者」は例えば、組織の中でサイバー攻撃に対処する部署に所属する構成員等であり、具体的には会社のリスク管理やシステム管理を受け持つ部課の部課長や担当者などである。
【００２４】
実施開始条件設定部９０は、シミュレーションを実施する前に予め登録した複数の管理者が、グループ分けと実行日実行時間とからなるスケジュールと、ダミー攻撃メールの内容とを確認した場合にのみ、シミュレーションを実施可能とする。すなわち管理者のうち予め登録した複数の管理者が使用する管理者端末Ａを操作して、スケジュールとダミー攻撃メールの内容とを確認すると、実施開始条件設定部９０はスケジュール作成保存部７０の保存しているスケジュールの実行日実行時間にダミー攻撃メールを送信するようダミー攻撃メール送信部２０に指示し、シミュレーションが開始される。
【００２５】
実施開始条件設定部９０を設けることにより、複数の管理者が全員同意しなければ、シミュレーションの実施を開始できないので、より有効且つ適正なダミー攻撃メールを用いてシミュレーションを実施することができる。すなわち管理者は、ダミー攻撃メールの内容を精査して、取引先等からの通常のメールと誤認しやすいかどうかや、取引先の名称や担当者名に誤字脱字等がないか等を確認する。もしもダミー攻撃メールの内容に問題があると管理者が認めた場合には、その管理者は管理者端末Ａを操作してダミー攻撃メールを修正し、その後管理者端末Ａを通じて内容に同意することにより、シミュレーションの実施が開始される。
【００２６】
ダミー攻撃メール作成部１０は、ユーザ記憶部８０から読み出した各ユーザに関するデータに基づいてダミー攻撃メールを作成し、作成したダミー攻撃メールを管理者端末Ａにより確認させ、且つ管理者端末Ａからの指示に応じてダミー攻撃メールの修正を行うことができる。
【００２７】
ダミー攻撃メール作成部１０のファイル添付部１２は、ダミー攻撃メールにファイルを添付し、及び／又はURL作成部１４はダミー攻撃メールにURLリンクを付ける。パスワード作成部１６は、添付ファイル付のダミー攻撃メールを送信する際に、選択的に添付ファイルを開くためのパスワードを設定し、これに基づいてパスワード通知メールが作成される。
【００２８】
本実施の形態ではシミュレーションの一つのオプションとして「やり取り型」が用意されており、誤解発生メールの送信が選択された場合には、誤解発生メール作成部１８により誤解発生メールが作成される。誤解発生メールがユーザ宛に送信された後、ユーザから返信があった場合に返信するための返信メールも同時に作成される。
【００２９】
以上のようなダミー攻撃メール、パスワード通知メール及び誤解発生メールの文面は、使い回すことができる。本実施の形態では、過去に作成した各メールの文面はダミー攻撃メール作成部１０に保存されており、管理者端末Ａから読み出して、そのまま又は修正を施した上で、新たな各メールの文面とすることができる。同様に添付ファイルも過去に使用したものがダミー攻撃メール作成部１０に保存されていて、使い回しが可能である。
【００３０】
ダミー攻撃メール送信部２０は、スケジュール作成保存部７０が作成・保存したスケジュールに従って、実施開始条件設定部９０からの開始指示を待って、シミュレーションの実施を開始する。すなわちダミー攻撃メール送信部２０は、スケジュール通りの実行日及び実行時間を迎えると、ダミー攻撃メール作成部１０の作成したダミー攻撃メールを、ユーザ記憶部８０から読み出したユーザのメールアドレス宛に送信する。パスワード作成部１６によるパスワードが作成されている場合には、そのパスワードを含むパスワード通知メールをパスワード通知メール送信部２２がダミー攻撃メールと前後して送信する。このようにすると、ユーザにダミー攻撃メールであることを悟られる可能性が低くなり、さらに担当者の労力を軽減して、より有効にシミュレーションを実施できる。
【００３１】
誤解発生メール送信部２４は、ダミー攻撃メールを送信する前の所定の期間内に、複数のユーザに１以上の誤解発生メールを送信する。誤解発生メール自体は通常のメールであり、無害である。１以上の誤解発生メールを複数のユーザに送信してやりとりを行うことにより、この後に誤解発生メールと同じアドレスの同じ送信元から送信されてくるダミー攻撃メールが安全なメールであるとユーザが誤解しやすくなり、適切な措置を採りづらくなる。よって、攻撃メールとの認識を困難にする訓練により、ユーザの標的型攻撃メールに対する認識や予防意識をより高めることができる。
【００３２】
ダミー攻撃メール送信部２０がユーザにダミー攻撃メールを送信した後は、アクセスログ検知部３０がネットワークを介してユーザの対処の様子を検知する。本実施の形態においてアクセスログ検知部３０が検知するのは、ユーザが用いているＯＳの種類、ユーザが用いているブラウザの種類、ユーザが添付ファイルを開封したか否か、ユーザがURLリンクをクリックしたか否か、及びユーザが通信回線を切断したか否か、である。
【００３３】
ＯＳ検知部３１は、ダミー攻撃メールをユーザが開いたときに、そのユーザが使用しているユーザ端末ＵのＯＳを検知し、アクセスログ収集部４０に検知結果を出力することにより、ＯＳ情報を集計する。管理者は、ＯＳ情報の集計結果に基づいて、複数のユーザがパソコンやタブレット、もしくはスマートフォンなどの端末で添付ファイルを開封し、もしくはリンクをクリックしたかの特定に利用することができる。
【００３４】
ブラウザ検知部３２は、ダミー攻撃メールをユーザが開いたときに、そのユーザが使用しているユーザ端末Ｕにインストールされているブラウザを検知し、アクセスログ収集部４０に検知結果を出力することにより、ブラウザ情報を集計する。ブラウザ情報を集計することにより、管理者は集計情報により、組織が定めたルールに従ってブラウザが使用されているかどうかを確認することができ、且つ添付ファイルを開封もしくはリンクをクリックした端末の特定に利用することができる。
【００３５】
開封検知部３３は、添付ファイル付きのダミー攻撃メールを受信したユーザが添付ファイルを開封したことを検知し、アクセスログ収集部４０に検知結果を出力する。URLクリック検知部３４は、URLリンク付きのダミー攻撃メールを受信したユーザが、URLリンクをクリックしたことを検知し、アクセスログ収集部４０に検知結果を出力する。
【００３６】
LANケーブル接続検知部３５は、ダミー攻撃メールの添付ファイルをユーザが開封し、あるいはURLリンクをクリックした直後に、標的型攻撃メールであると気付いたユーザが回線を切断するために、LANケーブルをユーザ端末Ｕから抜いて情報の流出を防止する適切な対処を採ったかどうかを検知する。検知結果はアクセスログ収集部４０に出力する。
【００３７】
アクセスログ収集部４０は上記のような検知結果を収集し、レポート作成部５０に送る。レポート作成部５０はレポートを作成してレポート表示部５２に表示し、レポート５４を印刷する。
【００３８】
レポートは一回のシミュレーションごとに作成するのが通例であるが、複数のシミュレーション結果をマージ（併合）したものを選択し作成することも可能である。例えば、会社の各部署（営業部、技術部、総務部等）に日時を近接して行った類似のシミュレーションの各結果を一つのレポートにマージし、あるいは同じ部署について日時を隔てて行われた複数のシミュレーション結果をマージして、一つのレポート内に表された複数の結果を比較検討することにより、各部署及びユーザごとの対応のバラツキの程度を分析し、シミュレーションを繰り返した効果を確認し、あるいは如何なるタイプの攻撃メールに対して脆弱性を有するかをチェックする等の活用を図ることができる。
【００３９】
またレポートにはWebアンケートの結果を含むことができる。シミュレーションの対象となったユーザは、シミュレーションの終了後、図示しないWebアンケート集計部にアクセスして、ユーザ端末Ｕを通じて各アンケートに回答する。アンケートの項目としては、ダミー攻撃メールに対して採った行動の理由、ダミー攻撃メールが攻撃メールであると認識した時期及び理由、ダミー攻撃メールがダミーであると認識した時期及び理由等が挙げられる。レポートに含まれるアンケート結果は、各ユーザの攻撃メールに対する意識の評価や、シミュレーションの効果の確認や、以後のシミュレーション実施の参考等に資される。
【００４０】
以上のような本実施の形態の攻撃メールシミュレーションシステムは、ネットワークに接続されたサーバによって構成することができる。サーバは物理的に１つの筐体でも、相互にネットワークで接続された２台以上でもよい。各サーバのＣＰＵがＯＳ及びアプリケーションを実行して、主記憶装置、補助記憶装置、各種インターフェース、入出力デバイス等を制御することにより、各処理部の機能を果たす。攻撃メールシミュレーションシステムはインターネット及び／又はLANを介してユーザ端末Ｕ及び管理者端末Ａに接続される。
【００４１】
以下、本実施の形態の攻撃メールシミュレーションシステムの処理の流れについて、図１および図２〜４を参照しつつ説明する。
【００４２】
図２のシステム全体のフローチャートによると、スケジュール作成保存部７０が組織に所属するユーザを複数のグループに分けてグループごとにスケジュールを作成保存するスケジュール作成保存ステップＳ１０から始まり、続いてダミー攻撃メール作成部１０がダミー攻撃メールを作成し（ステップＳ２０）、全管理者がスケジュール及びダミー攻撃メールの内容を確認して実施開始条件が充たされることにより（ステップＳ３０）、準備が完了して攻撃メールシミュレーションが開始される。
【００４３】
スケジュール作成保存部７０に保存したスケジュール通りに、ダミー攻撃メールがユーザの１グループに送信され（ステップＳ４０）、各ユーザの対応についてのアクセスログが検知・収集される（ステップＳ５０）。シミュレーションが未送信のグループが残っている場合には、ダミー攻撃メール確認ステップＳ３０に戻ってさらにシミュレーションが継続され（ステップＳ６０）、全てのグループについて実施が完了していればレポートが作成されて（ステップＳ７０）、処理が終了する。
【００４４】
なお本の形態の攻撃メールシミュレーションシステムにおいては、スケジュール作成保存ステップＳ１０とダミー攻撃メール作成ステップＳ２０とは、処理順が前後してもよく、並行に処理されてもよい。スケジュールとダミー攻撃メールの内容とは、ユーザのグループ分けやユーザの個別事情等により相互に関連して内容が定まるので、むしろ並行に進行することが好ましい。本実施例においては、いずれもシミュレーションの実施開始までに修正が可能で、一方が完了してから他方を完成させなければならない合理的な事情もなく、図２に示した処理の順序は単なる説明の便宜のために過ぎない。
【００４５】
図３は、図２のスケジュール作成保存ステップＳ１０からスケジュール及びダミー攻撃メール確認ステップＳ３０までの詳細な処理の流れを示す。
【００４６】
スケジュール作成保存部７０はユーザ記憶部８０からデータを読み出して（ステップＳ１１）、複数のユーザをグループ分けし（ステップＳ１２）、各グループ毎の実行日及び実行時間を決定することにより（ステップＳ１３）、スケジュールを作成して保存する（ステップＳ１４）。
【００４７】
ダミー攻撃メール作成部１０はユーザ記憶部８０からデータを読み出して（ステップＳ２１）、メールを送信するアドレスや文面を作成し（ステップＳ２２）、ファイル添付、URL作成、パスワード作成を行い（ステップＳ２３）、選択的に誤解発生メール（返信メールを含む）を作成する（ステップＳ２４）。
【００４８】
スケジュールの作成保存及びダミー攻撃メールの作成が終了しても、本実施の形態では管理者の確認が取れない限り、シミュレーションの実行は開始されない。すなわち実施開始条件設定部９０が、スケジュール及びダミー攻撃メールの内容を予め定められた管理者全員が同意したことを確認したら（ステップＳ３１、３２）、実行日実行時間に達すると（ステップＳ３３）、メール送信部２０に対しメール送信を実行するように指示して（ステップＳ３４）、シミュレーションが実施される。
【００４９】
管理者全員の同意が確認できない場合には、スケジュール及びダミー攻撃メールの内容についての管理者による修正があるかどうか判断し（ステップＳ３５、３６）、修正があればそれぞれ修正する（ステップＳ３７、Ｓ３８）。修正後、修正がなかった後、及び実行日実行時間に達する前は、待機して（ステップＳ３９１、３９２）、ステップ３１、３２以下のステップを繰り返す。
【００５０】
図４は、図２のダミー攻撃メール送信ステップＳ４０からアクセスログ検知・収集ステップＳ５０までを詳細に表したフローチャートである。
【００５１】
図４において、実施開始条件設定部９０からシミュレーションの実施を開始するように指示を受けたダミー攻撃メール送信部２０は、スケジュール作成保存部７０に保存されたスケジュール通りに、指定されたグループに属するユーザに対してシミュレーションを実行する。
【００５２】
まず攻撃メールがやり取り型の場合（ステップＳ４１０）、ダミー攻撃メールを送信する前に、所定のグループに属するユーザ宛に誤解発生メールの送信を行い（ステップＳ４１１）、返信があるまで待機し（ステップＳ４１２、４１３）、返信があれば返信メールを送信する（ステップＳ４１４）。図には示していないが、所定時間経過後も返信メールが無かった場合には、次のステップＳ４２０に進む。
【００５３】
やり取り型で無かった場合及びやり取り型で返信メールを送信した場合は、ダミー攻撃メール作成部１０で作成されたダミー攻撃メールを送信する。すなわち、URLリンク型かどうかが判断され（ステップ４２０）、URL型でない場合には添付ファイル型ダミー攻撃メールが送信される（ステップＳ４４０）。パスワード付添付ファイルの場合には（ステップＳ４４１）、パスワード連絡メールが送信される（ステップＳ４４２）。URLリンク型の場合には、さらに添付ファイルを加えられるかどうかが判断され（ステップＳ４３０）、添付ファイル付きのURL型攻撃メールの場合には添付ファイル＋URL型ダミー攻撃メールが送信され（ステップＳ４５０）、添付ファイル型ではない場合にはURL型ダミー攻撃メールが送信される（ステップＳ４６０）。
【００５４】
なお、添付ファイル付きのURL型ダミー攻撃メールが送信される際には、前述した添付ファイル型ダミー攻撃メールの送信に付されたパスワードを設定することも可とする。
【００５５】
次にアクセスログ検知部３０によりアクセスログが検知される。添付ファイル型ダミー攻撃メールの場合には添付ファイルが開封されたかどうか（ステップＳ５１）、添付ファイル＋URL型ダミー攻撃メールの場合にはURLがクリックされたかどうか（ステップＳ５２）及び添付ファイルが開封されたかどうか（ステップＳ５１）、URL型ダミー攻撃メールの場合にはURLがクリックされたかどうか（ステップＳ５３）が検知される。
【００５６】
ユーザが正しく対処した場合（添付ファイルを開封せず、URLをクリックしなかった場合）は、シミュレーションは終了する。URLをクリックしてしまった場合には、Ｗｅｂページがユーザ端末Ｕのディスプレイに表示されるので（ステップＳ５４、５５）、ユーザは標的型攻撃メールのURLをクリックしてしまったことを認識することができる。添付ファイルを開封してしまった場合には、気付きにくいが、他の実施例においてはユーザ端末Ｕの動作が鈍くなったりするようなマルウェアに感染した徴候をユーザ端末Ｕが示すようにしてもよい。
【００５７】
URLのクリックおよび添付ファイルの開封を行ったユーザに対し、アクセスログ検知部３０は、さらにそのユーザにおけるLANケーブルの接続または抜線の検知、OSの検知、及び使用したブラウザの検知を行い（ステップＳ５６）、これらの検知結果をアクセスログ収集部４０が収集する（ステップＳ６０）。
【産業上の利用可能性】
【００５８】
以上のように本発明の標的型攻撃メールシミュレーションシステムによると、スケジュール作成保存部を設けたので、一斉にユーザ全員へダミー攻撃メールを送信してシミュレーションを実施することがないので、ダミー攻撃メールを受信したユーザがこのメールに疑義を持ち、セキュリティ担当者に問い合わせをすることを分散させることができる。
【符号の説明】
【００５９】
１０  ダミー攻撃メール作成部
２０  ダミー攻撃メール送信部
３０  アクセスログ検知部
４０  アクセスログ収集部
５０  レポート作成部
７０  スケジュール作成保存部
８０  ユーザ記憶部
９０  実施開始条件設定部
Ａ  管理者端末
Ｕ  ユーザ端末
【図１】
2019040464.tif 000003
【図２】
2019040464.tif 000004
【図３】
2019040464.tif 000005
【図４】
2019040464.tif 000006