(57)【要約】【課題】異なるシステム間でサイバー脅威インテリジェンスを共有する。【解決手段】実施形態のサイバー攻撃情報処理プログラムは、記憶する処理と、出力する処理とをコンピュータに実行させる。記憶する処理は、第１のシステムが第１のユーザ端末からサイバー攻撃に関する情報を受信した場合に、記憶装置に情報を、第１のシステムにアクセス可能な第２のユーザ端末からのアクセスが可能な状態で記憶する。また記憶する処理は、情報のデータ構造を、第１のシステムと異なる第２のシステムにおいて利用可能な状態に変換して第２のシステムからアクセス可能な記憶装置に記憶、または第２のシステムに記憶する。出力する処理は、第２のシステムにサイバー攻撃に関する他の情報が追加された場合、第１のシステムが第２のシステム、または記憶装置から受信する他の情報を第２のユーザ端末からアクセス可能な状態に変換して出力する。【選択図】図１
2019040533.tif 000002
【特許請求の範囲】
【請求項１】
第１のシステムが第１のユーザ端末からサイバー攻撃に関する情報を受信した場合に、記憶装置に前記情報を、前記第１のシステムにアクセス可能な第２のユーザ端末からのアクセスが可能な状態で記憶するとともに、前記情報のデータ構造を、前記第１のシステムと異なる第２のシステムにおいて利用可能な状態に変換して前記第２のシステムからアクセス可能な前記記憶装置に記憶、または前記第２のシステムに記憶し、
前記第２のシステムにサイバー攻撃に関する他の情報が追加された場合、前記第１のシステムが前記第２のシステム、または前記記憶装置から受信する前記他の情報を前記第２のユーザ端末からアクセス可能な状態に変換して出力する、
処理をコンピュータに実行させることを特徴とするサイバー攻撃情報処理プログラム。
【請求項２】
前記情報、及び前記他の情報はアクセス範囲を規定する情報を含み、前記アクセス範囲を同一に保ったまま変換される情報である、
ことを特徴とする請求項１に記載のサイバー攻撃情報処理プログラム。
【請求項３】
前記第１のシステムは、変換後の前記他の情報を、前記第２のユーザ端末へ提示する際に、情報の記憶した時間順序に基づく順序で表示させる、
ことを特徴とする請求項１または２に記載のサイバー攻撃情報処理プログラム。
【請求項４】
前記情報、及び前記他の情報は、前記記憶装置、または前記第２のシステムと、第３のシステムとの間において、サイバー攻撃にかかる情報を転送する所定の通信手順に基づいて転送される、
ことを特徴とする請求項１乃至３のいずれか一項に記載のサイバー攻撃情報処理プログラム。
【請求項５】
第１のシステムが第１のユーザ端末からサイバー攻撃に関する情報を受信した場合に、記憶装置に前記情報を、前記第１のシステムにアクセス可能な第２のユーザ端末からのアクセスが可能な状態で記憶するとともに、前記情報のデータ構造を、前記第１のシステムと異なる第２のシステムにおいて利用可能な状態に変換して前記第２のシステムからアクセス可能な前記記憶装置に記憶、または前記第２のシステムに記憶し、
前記第２のシステムにサイバー攻撃に関する他の情報が追加された場合、前記第１のシステムが前記第２のシステム、または前記記憶装置から受信する前記他の情報を前記第２のユーザ端末からアクセス可能な状態に変換して出力する、
処理をコンピュータが実行することを特徴とするサイバー攻撃情報処理方法。
【請求項６】
第１のシステムが第１のユーザ端末からサイバー攻撃に関する情報を受信した場合に、記憶装置に前記情報を、前記第１のシステムにアクセス可能な第２のユーザ端末からのアクセスが可能な状態で記憶するとともに、前記情報のデータ構造を、前記第１のシステムと異なる第２のシステムにおいて利用可能な状態に変換して前記第２のシステムからアクセス可能な前記記憶装置に記憶、または前記第２のシステムに記憶する登録部と、
前記第２のシステムにサイバー攻撃に関する他の情報が追加された場合、前記第１のシステムが前記第２のシステム、または前記記憶装置から受信する前記他の情報を前記第２のユーザ端末からアクセス可能な状態に変換して出力する出力部と、
を有することを特徴とする情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、サイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置に関する。
【背景技術】
【０００２】
近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃は多種多様な方法で実施される。よって、サイバー攻撃の対処には、類似するサイバー攻撃にかかるサイバー脅威インテリジェンス（ＣＴＩとも呼ぶ）を見つけて参考とすることが有効である。
【０００３】
サイバー脅威インテリジェンスは、サイバー攻撃に関する攻撃者や目的、攻撃手法・手口などをセンサーなどが自動的に発行するアラートだけではなく、アナリストの分析も含めレポート等にまとめたサイバー攻撃にかかる情報である。このサイバー脅威インテリジェンスについては、標準化やプラットフォームの構築などが進みつつあり、大量のサイバー脅威インテリジェンスを利用するための基盤が整ってきている。また、ネットワークフロー、パケット、ユーザについてのデータなどのイベントを処理して脅威情報メッセージを作成するサイバーセキュリティーシステムが知られている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特表２０１７−５１６４１１号公報
【特許文献２】特開２０１６−１１９０６１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、サイバー脅威インテリジェンスについては、標準化されたプラットフォームなどのいわゆるシステム系で利用可能なものであり、例えばＳＮＳ（Social Networking Service）等のいわゆる人間系のシステムと共有されてはいない。このため、人間系のシステムの利用者がサイバー攻撃インテリジェンスを利用する機会は少なく、サイバー攻撃へ対処することは容易なことではなかった。また、人間系のシステムに挙げられたサイバー攻撃にかかる投稿は、人間系のシステムの利用者で共有され、システム系との間で共有されていなかった。
【０００６】
１つの側面では、異なるシステム間でサイバー脅威インテリジェンスを共有することができるサイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
第１の案では、サイバー攻撃情報処理プログラムは、記憶する処理と、出力する処理とをコンピュータに実行させる。記憶する処理は、第１のシステムが第１のユーザ端末からサイバー攻撃に関する情報を受信した場合に、記憶装置に情報を、第１のシステムにアクセス可能な第２のユーザ端末からのアクセスが可能な状態で記憶する。また記憶する処理は、情報のデータ構造を、第１のシステムと異なる第２のシステムにおいて利用可能な状態に変換して第２のシステムからアクセス可能な記憶装置に記憶、または第２のシステムに記憶する。出力する処理は、第２のシステムにサイバー攻撃に関する他の情報が追加された場合、第１のシステムが第２のシステム、または記憶装置から受信する他の情報を第２のユーザ端末からアクセス可能な状態に変換して出力する。
【発明の効果】
【０００８】
本発明の１実施態様によれば、異なるシステム間でサイバー脅威インテリジェンスを共有することができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、実施形態にかかるシステム構成例を説明する説明図である。
【図２】図２は、サイバー脅威インテリジェンスの一例を示す図である。
【図３】図３は、投稿情報の登録処理の一例を示すフローチャートである。
【図４】図４は、投稿画面例を説明する説明図である。
【図５】図５は、投稿情報からサイバー脅威インテリジェンスへの変換を説明する説明図である。
【図６】図６は、サイバー脅威インテリジェンスの出力処理の一例を示すフローチャートである。
【図７】図７は、ユーザ端末における表示例を説明する説明図である。
【図８】図８は、サイバー脅威インテリジェンスの出力画面例を説明する説明図である。
【図９】図９は、分散したシステム構成例を説明する説明図である。
【図１０】図１０は、実施形態にかかる情報処理装置のハードウエア構成例を示すブロック図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照して、実施形態にかかるサイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するサイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
【００１１】
図１は、実施形態にかかるシステム構成例を説明する説明図である。図１に示すように、実施形態にかかるシステム構成では、投稿システム１と、サイバー脅威インテリジェンスＤＢ２１を格納する記憶装置２と、サイバー脅威インテリジェンス管理システム３とを有する。
【００１２】
投稿システム１は、例えばＳＮＳ等であり、ユーザ端末１０Ａより投稿された情報を他のユーザ端末１０Ｂへ配信するいわゆる人間系のシステム（第１のシステム）の一例である。なお、ユーザ端末１０Ａ、１０Ｂは、例えばＰＣ（パーソナルコンピュータ）、スマートフォン、タブレット端末などを適用できる。
【００１３】
投稿システム１は、ユーザ端末１０Ａから投稿された情報を受け付ける投稿受付部１１と、投稿された情報をサイバー脅威インテリジェンスＤＢ２１に登録する登録部１２と、サイバー脅威インテリジェンスＤＢ２１に登録された情報をユーザ端末１０Ｂへ出力する出力部１４とを有する。
【００１４】
記憶装置２は、サイバー脅威インテリジェンスＤＢ２１を格納する記憶装置であり、例えばＬＡＮ（Local Area Network）やインターネットなどの通信ネットワーク（図示しない）を介して投稿システム１およびサイバー脅威インテリジェンス管理システム３と接続する。
【００１５】
なお、本実施形態では、記憶装置２がサイバー脅威インテリジェンス管理システム３から独立した構成を例示するが、記憶装置２はサイバー脅威インテリジェンス管理システム３内に組み込まれたものであってもよい。すなわち、サイバー脅威インテリジェンスＤＢ２１は、サイバー脅威インテリジェンス管理システム３内に格納されていてもよい。
【００１６】
サイバー脅威インテリジェンスＤＢ２１は、サイバー攻撃のイベントごとのサイバー脅威インテリジェンス（ＣＴＩ）を格納するデータベースである。このサイバー脅威インテリジェンスＤＢ２１が格納するサイバー脅威インテリジェンスは、サイバー攻撃を特徴付ける事象などを取り込んだサイバー攻撃活動に関連する項目を記述するための技術仕様であるＳＴＩＸ（Structured Threat Information eXpression）に沿ったＳＴＩＸ言語などの所定のデータ構造で記述される。なお、以後の説明ではサイバー攻撃インテリジェンスはＳＴＩＸ形式のデータ構造であるものとするが、データ構造についてはＳＴＩＸ形式に限定するものではない。
【００１７】
具体的には、サイバー脅威インテリジェンスは、サイバー攻撃活動（Campaigns）とともに、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の種別ごとのイベント内容などが含まれる。なお、ＴＴＰは、Tactics, Techniques and Proceduresの略である。このサイバー攻撃活動とともに含まれるイベント内容は、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の一部又は全部の情報であってよい。
【００１８】
また、サイバー脅威インテリジェンスは、ＴＬＰ（Traffic Light Protocol）などで示されたアクセス範囲を示す情報が含まれる。例えば、アクセス範囲は、サイバー脅威インテリジェンスの受取人をアクセス範囲とするＲＥＤ、受取人および特定の人をアクセス範囲とするＡＭＢＥＲで示される。また、アクセス範囲は、所定のコミュニティ（グループ）内をアクセス範囲とするＧＲＥＥＮまたは全世界（誰でも）をアクセス範囲とするＷＨＩＴＥで示される。なお、アクセス対象とする人や共有するグループなどは、ＴＬＰとは別に通知される。これにより、サイバー脅威インテリジェンス管理システム３では、アクセス範囲で示される対象（例えば受取人、グループなど）に対してサイバー脅威インテリジェンスを提供できる。
【００１９】
図２は、サイバー脅威インテリジェンスの一例を示す図である。図２に示すように、サイバー脅威インテリジェンス２１Ａは、ＸＭＬ（eXtensible Markup Language）形式により、タグを付けた要素を階層化（入れ子構造）してルートの要素からの木構造で上記の情報を記述する。具体的には、サイバー脅威インテリジェンス２１Ａは、サイバー攻撃イベントにおけるサイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを要素（ノード）とし、各要素内の情報を子要素（配下のノード）とする木構造で記述している。
【００２０】
サイバー脅威インテリジェンス管理システム３は、記憶装置２のサイバー脅威インテリジェンスＤＢ２１に蓄積されたサイバー脅威インテリジェンス２１Ａの管理・活用を行ういわゆるシステム系のシステム（第２のシステム）の一例である。
【００２１】
サイバー脅威インテリジェンス管理システム３は、米国国土安全保障省（ＤＨＳ）において、サイバー脅威インテリジェンス２１Ａを共有する枠組みであるＡＩＳ（Automated Indicator Sharing）や、サイバー脅威インテリジェンス２１Ａの配信サービスを提供するｉＳＩＧＨＴ  Ｐａｒｔｎｅｒｓ等の外部サイト４とインターネット等を介して接続している。サイバー脅威インテリジェンス管理システム３は、これらの外部サイト４からＴＡＸＩＩ(Trusted Automated eXchange of Indicator Information)等を用いて提供されたサイバー脅威インテリジェンス２１Ａをサイバー脅威インテリジェンスＤＢ２１に登録する。
【００２２】
また、サイバー脅威インテリジェンス管理システム３は、サイバー攻撃を分析するアナリスト等がユーザ端末３０より入力したサイバー脅威インテリジェンス２１Ａを、サイバー脅威インテリジェンスＤＢ２１に登録するとともに、ＴＡＸＩＩ等を用いて外部サイト４に提供する。このように、いわゆるシステム系におけるサイバー脅威インテリジェンス管理システム３および外部サイト４は、互いにサイバー脅威インテリジェンス２１Ａを共有する。
【００２３】
また、サイバー脅威インテリジェンス管理システム３は、サイバー脅威インテリジェンスＤＢ２１に格納されたサイバー脅威インテリジェンス２１Ａについて構文解析を行い、サイバー攻撃活動とともに、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などの各種別についての情報を取得する。次いで、サイバー脅威インテリジェンス管理システム３は、取得したサイバー攻撃にかかる情報の集計等の解析を行い、解析結果の表示画面３１を生成してユーザ端末３０に表示させる。これにより、ユーザ端末３０を利用するアナリスト等は、サイバー脅威インテリジェンスＤＢ２１に格納されたサイバー脅威インテリジェンス２１Ａの解析結果を確認できる。
【００２４】
例えば、サイバー脅威インテリジェンス管理システム３は、サイバー脅威インテリジェンス２１Ａの構文解析結果より、サイバー攻撃イベントにおけるサイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを代表するノードとし、各ノード内の情報を配下のノードとする木構造を解析する。一例として、サイバー脅威インテリジェンス管理システム３は、タグを付けた要素（ノード）の入れ子構造を解析することで、木構造の解析を行う。次いで、サイバー脅威インテリジェンス管理システム３は、木構造の解析結果をもとに、木構造に従ってノード同士を結線で接続したグラフ図として表示画面３１を表示する表示情報を生成し、ユーザ端末３０に出力する。
【００２５】
ここで、投稿システム１における投稿受付部１１、登録部１２および出力部１４の詳細を説明する。
【００２６】
投稿受付部１１は、インターネット等の通信ネットワークを介して接続するユーザ端末１０Ａに対して投稿用の画面を表示してＳＮＳ等に投稿する投稿情報を受け付ける。投稿受付部１１は、ユーザ端末１０Ａより受け付けた投稿情報を登録部１２へ出力する。
【００２７】
登録部１２は、投稿受付部１１が受け付けた投稿情報を、ＩＤ等の識別情報および投稿日時を示す時刻情報などを付与した上で、サイバー脅威インテリジェンスＤＢ２１に登録する。
【００２８】
具体的には、登録部１２は、投稿情報に含まれるタイトル、本文および添付ファイルなどを解析し、タイトル、本文および添付ファイルなどにサイバー攻撃にかかる単語、フレーズなどが含まれているか否かをもとに、投稿情報がサイバー攻撃に関する情報を含むか否かを判定する。
【００２９】
サイバー攻撃に関する情報を含まない場合、登録部１２は、投稿情報のタイトルを、ＳＴＩＸにおける「ＳＴＩＸ  Ｈｅａｄｅｒ  Ｔｉｔｌｅ」の要素として抽出する。また、登録部１２は、投稿情報の本文を、ＳＴＩＸにおける「ＳＴＩＸ  Ｈｅａｄｅｒ  Ｄｅｓｃｒｉｐｔｉｏｎ」の要素として抽出する。次いで、抽出した要素をもとに、登録部１２は、ＳＴＩＸ等の所定のデータ構造で記述したサイバー脅威インテリジェンス２１Ａを生成して記憶装置２に登録する登録処理を行う。なお、登録部１２は、投稿情報の添付ファイルについては、添付された元の投稿情報のサイバー脅威インテリジェンス２１Ａから「Ｒｅｆｅｒｅｎｃｅ」などで参照可能とする別のサイバー脅威インテリジェンスを生成して記憶装置２に登録する。
【００３０】
サイバー攻撃に関する情報を含む場合、登録部１２は、投稿情報よりサイバー攻撃イベントにおけるサイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などの要素を抽出する。次いで、抽出した要素をもとに、登録部１２は、ＳＴＩＸ等の所定のデータ構造で記述したサイバー脅威インテリジェンス２１Ａを生成して記憶装置２に登録する登録処理を行う。
【００３１】
図３は、投稿情報の登録処理の一例を示すフローチャートである。図３に示すように、処理が開始されると、投稿受付部１１は、ユーザ端末１０Ａより投稿情報を受け付ける（Ｓ１）。
【００３２】
図４は、投稿画面例を説明する説明図である。図４に示すように、ユーザ端末１０Ａでは、項目４１〜４６等の入力項目と、投稿ボタン４７とが表示された投稿画面４０より投稿情報の入力を行う。
【００３３】
具体的には、項目４１は、投稿情報におけるタイトルの項目である。項目４２は、投稿情報における本文の項目である。項目４３は、投稿情報のアクセス範囲を示す項目である。具体的には、項目４３では、ＲＥＤ、ＡＭＢＥＲ、ＧＲＥＥＮ、ＷＨＩＴＥ等のＴＬＰで示されたアクセス範囲が指示される。項目４４は、ＴＬＰで示されたアクセス範囲で投稿情報を共有するグループや人を示す項目である。項目４５は、投稿情報に添付するファイルを指定する項目である。なお、図示例では項目４５において１つのファイルを添付する場合を例示しているが、項目４５において添付するファイルの指定は複数あってもよい。項目４６は、投稿情報の投稿者を匿名とするか否かを指定する項目である。
【００３４】
ユーザ端末１０Ａのユーザは、項目４１〜４６の各項目を設定した上で投稿ボタン４７を操作することで、項目４１〜４６で設定した内容の投稿情報を投稿システム１へ送ることができる。登録部１２は、ＩＤおよび投稿日時などの情報を付与した上で、項目４１〜４６で設定した内容の投稿情報をサイバー脅威インテリジェンスＤＢ２１に登録する。
【００３５】
図３に戻り、Ｓ１に次いで、登録部１２は、投稿情報に含まれるタイトルおよび本文などにサイバー攻撃にかかる単語、フレーズなどが含まれている投稿情報を得るフィルタ処理を行う（Ｓ２）。このフィルタ処理により、登録部１２は、サイバー脅威インテリジェンス２１Ａとして変換するのに有用な投稿情報を選別する。
【００３６】
次いで、登録部１２は、フィルタ処理後の投稿情報、すなわちサイバー攻撃に関する投稿情報を解析し、サイバー脅威インテリジェンス２１Ａとして記述するための、サイバー攻撃イベントにかかる各種要素およびアクセス範囲を抽出する（Ｓ３）。
【００３７】
例えば、登録部１２は、投稿情報のタイトルを、ＳＴＩＸにおける「ＳＴＩＸ  Ｈｅａｄｅｒ  Ｔｉｔｌｅ」の要素として抽出する。また、登録部１２は、投稿情報の本文を、ＳＴＩＸにおける「ＳＴＩＸ  Ｈｅａｄｅｒ  Ｄｅｓｃｒｉｐｔｉｏｎ」の要素として抽出する。
【００３８】
また、登録部１２は、投稿情報のタイトルおよび本文から、正規表現（Regular Expressions）あるいは公知の自然言語処理を用いて、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）等の要素を取り出し、ＳＴＩＸの要素とする。また、投稿情報におけるアクセス範囲の項目からは、ＲＥＤ、ＡＭＢＥＲ、ＧＲＥＥＮ、ＷＨＩＴＥ等のＴＬＰで示された値を抽出する。
【００３９】
なお、投稿時のタイトル、本文などに、ＳＴＩＸの要素を示す簡単なマークアップを入れてもらう場合は、マークアップをもとにＳＴＩＸの要素を抽出してもよい。例えば、通常「Ｘ国がサイバー攻撃を仕掛けた…」と書くところ、「＜Ｔｈｒｅａｔ＿Ａｃｔｏｒ：Ｘ国＞がサイバー攻撃を仕掛けた…」とある場合は、「Ｘ国」をＳＴＩＸの攻撃者（Threat_Actors）とする。
【００４０】
また、登録部１２は、投稿情報において添付されたファイル（ＣＳＶファイル、テキストファイル等）は、正規表現あるいは公知の自然言語処理を用いてＳＴＩＸの要素を取り出す。例えば、ＣＳＶファイル等に記述されたアドレス一覧などをもとに、検知指標（Indicators）におけるＩＰ Ａｄｄｒｅｓｓ、Ｄｏｍａｉｎ  Ｎａｍｅ、Ｈａｓｈ値等を取り出す。そして、登録部１２は、取り出した値を、ＳＴＩＸ  ＩｎｄｉｃａｔｏｒｓおよびＳＴＩＸ  Ｏｂｓｅｒｖａｂｌｅｓの両方またはいずれか一方とする。また、テキストファイル等の文書をもとに、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）等の要素を取り出し、ＳＴＩＸの要素とする。なお、これら添付されたファイルについても同様に、マークアップをもとにＳＴＩＸの要素を抽出してもよい。
【００４１】
次いで、登録部１２は、Ｓ３で抽出した要素にＳＴＩＸに沿ったタグ付けを行うことでサイバー脅威インテリジェンス２１Ａを生成し（Ｓ４）、生成したサイバー脅威インテリジェンス２１Ａをサイバー脅威インテリジェンスＤＢ２１に登録する（Ｓ５）。これにより、投稿システム１においてユーザ端末１０Ａより受信した投稿情報（サイバー攻撃に関する情報を含む）は、サイバー脅威インテリジェンスＤＢ２１のサイバー脅威インテリジェンス２１Ａとしてサイバー脅威インテリジェンス管理システム３においても共有することができる。
【００４２】
図５は、投稿情報からサイバー脅威インテリジェンスへの変換を説明する説明図である。図５に示すように、投稿情報５０におけるタイトルおよび本文は、サイバー攻撃イベントにかかる各種要素を抽出することで、サイバー脅威インテリジェンス５１Ａとして変換される。同様に、投稿情報５０における添付ファイルは、サイバー脅威インテリジェンス５１Ｂ、５１Ｃとして変換される。なお、添付ファイルについては、例えばＢａｓｅ６４等の所定のエンコード方式でエンコードした上でＳＴＩＸの要素として含めてもよい。同様に、投稿情報５０に関連するコメントは、サイバー脅威インテリジェンス５１Ｄ、５１Ｅとして変換される。
【００４３】
サイバー脅威インテリジェンス５１Ａ〜５１Ｅにおいては、投稿情報５０で指定されたアクセス範囲が同一に保ったまま変換される。このため、サイバー脅威インテリジェンス５１Ａ〜５１Ｅについても、投稿情報５０で指定されたアクセス範囲がそのまま保たれることとなる。
【００４４】
また、投稿情報５０から変換したサイバー脅威インテリジェンス５１Ａ〜５１Ｅには、各々を識別するＩＤを付与するとともに、互いに参照する参照先の「ＩＤ」を「Ｒｅｆｅｒｅｎｃｅ」に記載する。これにより、サイバー脅威インテリジェンス５１Ａ〜５１Ｅの関連を特定することができる。
【００４５】
図１に戻り、出力部１４は、ユーザ端末１０Ｂからのアクセス（ユーザを示すユーザＩＤおよび投稿情報５０の参照要求など）に応じてサイバー脅威インテリジェンスＤＢ２１に登録された情報を読み出し、ユーザ端末１０Ｂへ出力する。具体的には、出力部１４は、ユーザ端末１０Ｂからのアクセスがあった場合、ユーザ端末１０Ｂから通知されたユーザＩＤなどをもとに、投稿情報５０のアクセス範囲において該当するものをサイバー脅威インテリジェンスＤＢ２１より読み出す。次いで、出力部１４は、サイバー脅威インテリジェンスＤＢ２１より読み出した投稿情報５０を表示する表示データを生成してユーザ端末１０Ｂへ出力する。これにより、ユーザ端末１０Ｂには、ユーザ端末１０Ｂにおけるユーザのアクセス範囲に該当する投稿情報５０が表示される。
【００４６】
また、出力部１４は、サイバー脅威インテリジェンスＤＢ２１を参照し、サイバー脅威インテリジェンス管理システム３により新たなサイバー脅威インテリジェンス２１Ａが追加されたか否かを監視する。サイバー脅威インテリジェンスＤＢ２１に新たなサイバー脅威インテリジェンス２１Ａが追加された場合、追加されたサイバー脅威インテリジェンス２１Ａを読み出し、投稿情報５０に変換してユーザ端末１０Ｂに出力する出力処理を行う。
【００４７】
図６は、サイバー脅威インテリジェンス２１Ａの出力処理の一例を示すフローチャートである。図６に示すように、処理が開始されると、出力部１４は、サイバー脅威インテリジェンスＤＢ２１を参照して、サイバー脅威インテリジェンス管理システム３により新たなサイバー脅威インテリジェンス２１Ａがサイバー脅威インテリジェンスＤＢ２１に追加されたか否かを判定する。新たなサイバー脅威インテリジェンス２１Ａがサイバー脅威インテリジェンスＤＢ２１に追加された場合、出力部１４は、追加されたサイバー脅威インテリジェンス２１Ａをサイバー脅威インテリジェンスＤＢ２１より取得する（Ｓ１０）。
【００４８】
次いで、出力部１４は、取得したサイバー脅威インテリジェンス２１ＡよりＳＴＩＸの各要素を取り出し、取り出した各要素をもとに投稿情報５０へ変換する（Ｓ１１）。
【００４９】
具体的には、サイバー脅威インテリジェンス２１Ａより取り出したＳＴＩＸの各要素から、人間に判り易い要素をもとに投稿情報５０への変換を行う。例えば、出力部１４は、サイバー脅威インテリジェンス２１Ａにおける「ＳＴＩＸ  Ｈｅａｄｅｒ  Ｔｉｔｌｅ」を投稿情報５０におけるタイトルに変換する。また、出力部１４は、サイバー脅威インテリジェンス２１Ａにおける「ＳＴＩＸ  Ｈｅａｄｅｒ  Ｄｅｓｃｒｉｐｔｉｏｎ  ａｎｄ／ｏｒ  Ｓｈｏｒｔ  Ｄｅｓｃｒｉｐｔｉｏｎ」を投稿情報５０における本文に変換する。また、出力部１４は、サイバー脅威インテリジェンス２１Ａの検知指標（Indicators）／観測事象（Observables）の一覧等をＣＳＶファイル等に変換し、投稿情報５０の添付ファイルとしてダウンロードできるようにしてもよい。また、出力部１４は、サイバー脅威インテリジェンス２１Ａにおけるアクセス範囲については同一に保ったままで、アクセス範囲を示す項目（項目４３）として投稿情報５０に変換する。
【００５０】
次いで、出力部１４は、Ｓ１１において変換した投稿情報５０を、ユーザ端末１０Ｂに出力する（Ｓ１２）。このように、サイバー脅威インテリジェンスＤＢ２１に新規追加されたサイバー脅威インテリジェンス２１Ａは、ユーザ端末１０Ａからの投稿と同様に、ユーザ端末１０Ｂよりアクセス可能に変換して出力される。したがって、サイバー脅威インテリジェンスＤＢ２１に新規追加されたサイバー脅威インテリジェンス２１Ａは、投稿システム１においても共有することができる。
【００５１】
次いで、出力部１４は、ユーザ端末１０Ｂによる投稿情報５０へのアクセスの有無を判定する（Ｓ１３）。ユーザ端末１０Ｂからのアクセスがない場合（Ｓ１３：ＮＯ）、Ｓ１０へ処理を戻す。
【００５２】
ユーザ端末１０Ｂからのアクセスがある場合（Ｓ１３：ＹＥＳ）、出力部１４は、サイバー脅威インテリジェンスＤＢ２１より投稿情報５０を読み出す（Ｓ１４）。具体的には、出力部１４は、ユーザ端末１０Ｂから通知されたユーザＩＤなどをもとに、投稿情報５０のアクセス範囲において該当するものをサイバー脅威インテリジェンスＤＢ２１より読み出す。
【００５３】
次いで、出力部１４は、読み出した投稿情報５０を予め設定された条件をもとに選別するフィルタ処理を行う（Ｓ１５）。例えば、読み出した投稿情報５０の中には、サイバー攻撃にかかる情報として投稿システム１のユーザ（人間系）にとって有用な情報の他に、あまり意味のない情報が含まれている場合がある。一例として、タイトルと、検知指標（Indicators）とが記述され、他の要素が無い投稿情報５０は、システム系では意味のある情報であっても、人間系ではあまり意味のある情報ではない。
【００５４】
また、フィルタ処理の一例としては、投稿情報５０におけるフィード毎に、予め設定されたホワイトリストの条件にマッチする場合に透過し、ブラックリストの条件にマッチする場合に遮断するものとしてもよい。また、フィルタ処理の一例としては、投稿情報５０におけるフィード内のＩＰアドレスが所定の範囲内である場合に透過し、範囲外である場合に遮断してもよい。また、フィルタ処理の一例としては、フィード内の個別のＣＴＩが持つＩＰアドレスが一つでも所定の範囲内に含まれる場合にはそのＣＴＩを透過し、全て範囲外である場合にはそのＣＴＩを遮断してもよい。
【００５５】
したがって、出力部１４は、予め設定された選別条件をもとに、人間系において意味のある投稿情報５０を選別する。なお、出力部１４は、同じ内容の投稿情報５０が、単位時間あたりに多量に投稿されている場合は、代表とする１つに圧縮するなどしてもよい。
【００５６】
次いで、出力部１４は、フィルタ処理後の投稿情報５０を、投稿日時が示す時間順序をもとにソートし、例えば直近から過去に向かう順序で投稿情報５０を並べ直す（Ｓ１６）。次いで、出力部１４は、ソート後の投稿情報５０を一覧表示する表示データを生成し、ユーザ端末１０Ｂへ出力する（Ｓ１７）。これにより、ユーザ端末１０Ｂでは、サイバー脅威インテリジェンス２１Ａより変換されたものを含む投稿情報５０の一覧を確認することができる。
【００５７】
図７は、ユーザ端末における表示例を説明する説明図である。図７におけるユーザ端末６０は、スマートフォンタイプのユーザ端末１０Ｂの一例である。
【００５８】
図７に示すように、ユーザ端末６０には、Ｓ１７において出力部１４より出力された表示データに基づく一覧表示画面６１が表示されている。これにより、ユーザ端末６０のユーザは、サイバー脅威インテリジェンス２１Ａより変換されたものを含む投稿情報５０を時間順序に従ってソートした一覧を確認することができる。ここで、ユーザ端末６０のユーザは、一覧表示画面６１におけるボタン操作により投稿画面４０を呼び出すことで、新たな投稿を行ってもよい。
【００５９】
また、一覧表示画面６１に一覧表示された投稿情報５０の中から所定の投稿情報５０が選択された場合、ユーザ端末６０は、選択された投稿情報５０の内容を投稿システム１の出力部１４に問い合わせる。具体的には、ユーザ端末６０は、選択された投稿情報５０を識別するＩＤを投稿システム１の出力部１４へ通知する。
【００６０】
出力部１４は、ユーザ端末６０より通知されたＩＤをもとに、サイバー脅威インテリジェンスＤＢ２１を参照することで、選択された投稿情報５０における各項目の情報を取得する。次いで、出力部１４は、選択された投稿情報５０の各項目を表示する表示データを生成し、ユーザ端末６０へ出力する。これにより、ユーザ端末６０では、選択された投稿情報５０の各項目を表示する投稿出力画面６２が表示される。
【００６１】
図８は、サイバー脅威インテリジェンスの出力画面例を説明する説明図である。図８に示すように、投稿出力画面６２には、選択された投稿情報５０における各項目の内容が項目６２Ａ〜６２Ｅとして表示される。例えば、項目６２Ａには、投稿情報５０の投稿者情報が表示される。また、項目６２Ｂには、投稿情報５０における投稿内容が表示される。また、項目６２Ｃには、投稿情報５０に添付されたファイルが表示される。また、項目６２Ｄには、投稿情報５０に関連するコメントが表示される。また、項目６２Ｅには、投稿情報５０のアクセス範囲を示す共有情報が表示される。この投稿出力画面６２により、ユーザは、サイバー脅威インテリジェンス２１Ａより変換されたものを含む投稿情報５０の詳細を容易に知ることができる。
【００６２】
図９は、分散したシステム構成例を説明する説明図である。図９に示すように、投稿システム１、記憶装置２およびサイバー脅威インテリジェンス管理システム３を含むＳＯＣ（Security Operation Center）は、地理的、政治的に分散して、あるいは同じ部署内であっても秘密保持などの必要に応じて分離して配置される。例えば、投稿システム１、記憶装置２およびサイバー脅威インテリジェンス管理システム３を含むＳＯＣの他に、投稿システム１Ａ、記憶装置２Ａおよびサイバー脅威インテリジェンス管理システム３Ｂを含むＳＯＣと、投稿システム１Ａ、記憶装置２Ｂおよびサイバー脅威インテリジェンス管理システム３Ｂを含むＳＯＣとが分散（分離）して配置される。
【００６３】
このＳＯＣ間では、例えば中央のＳＯＣの記憶装置２またはサイバー脅威インテリジェンス管理システム３と、他のＳＯＣにおける記憶装置２Ａまたはサイバー脅威インテリジェンス管理システム３Ａとの間で、例えばＴＡＸＩＩ等、サイバー攻撃にかかる情報を転送する通信手順を用いてサイバー脅威インテリジェンスＤＢ２１に格納された情報が転送（共有）される。これにより、あるＳＯＣの人間系における投稿システム１と、システム系におけるサイバー脅威インテリジェンス管理システム３との間でサイバー脅威インテリジェンス２１Ａを共有することできるとともに、地理的、政治的に分散して、あるいは秘密保持などの必要に応じて分離して配置された他のＳＯＣ間においてもサイバー脅威インテリジェンス２１Ａを共有することができる。
【００６４】
以上のように、投稿システム１の登録部１２は、投稿受付部１１よりユーザ端末１０Ａからサイバー攻撃に関する情報を受信した場合、受信した情報をサイバー脅威インテリジェンスＤＢ２１に格納し、出力部１４を介してユーザ端末１０Ｂからアクセス可能な状態で登録（記憶）する。また、登録部１２は、サイバー攻撃に関する情報のデータ構造を、サイバー脅威インテリジェンス管理システム３において利用可能な状態（例えばＳＴＩＸ形式）のサイバー脅威インテリジェンス２１Ａに変換して記憶装置２またはサイバー脅威インテリジェンス管理システム３に登録（記憶）する。また、投稿システム１の出力部１４は、サイバー脅威インテリジェンスＤＢ２１にサイバー攻撃に関する他の情報（例えば新規のサイバー脅威インテリジェンス２１Ａ）が追加された場合、追加された他の情報をユーザ端末１０Ｂからアクセス可能な状態に変換してユーザ端末１０Ｂへ出力する。
【００６５】
これにより、投稿システム１においてユーザ端末１０Ａより受信したサイバー攻撃に関する情報は、サイバー脅威インテリジェンスＤＢ２１のサイバー脅威インテリジェンス２１Ａとしてサイバー脅威インテリジェンス管理システム３においても共有することができる。また、サイバー脅威インテリジェンス管理システム３や外部サイト４を介してサイバー脅威インテリジェンスＤＢ２１に新規追加されたサイバー脅威インテリジェンス２１Ａは、ユーザ端末１０Ａからの投稿と同様にしてユーザ端末１０Ｂに出力され、投稿システム１においても共有することができる。このように、例えば、人間系における投稿システム１と、システム系におけるサイバー脅威インテリジェンス管理システム３との間でサイバー脅威インテリジェンス２１Ａを共有することできる。
【００６６】
また、投稿情報５０およびサイバー脅威インテリジェンス２１Ａはともにアクセス範囲を規定する情報を含み、投稿情報５０からサイバー脅威インテリジェンス２１Ａへの変換およびサイバー脅威インテリジェンス２１Ａから投稿情報５０への変換において、アクセス範囲は同一に保ったまま変換される。これにより、投稿システム１またはサイバー脅威インテリジェンス管理システム３のいずれにおいても、アクセス範囲は同一に保たれることとなる。
【００６７】
また、投稿システム１では、サイバー脅威インテリジェンス２１Ａより変化されたものを含む投稿情報５０をユーザ端末１０Ｂに提示する際に、記憶した時間順序に基づく順序で表示させる。これにより、ユーザ端末１０Ｂのユーザは、サイバー脅威インテリジェンス２１Ａより変化されたものを含む投稿情報５０の時間順序を容易に認識することができる。
【００６８】
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００６９】
また、投稿システム１やサイバー脅威インテリジェンス管理システム３で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、投稿システム１やサイバー脅威インテリジェンス管理システム３で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
【００７０】
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１０は、実施形態にかかる情報処理装置のハードウエア構成例を示すブロック図である。
【００７１】
図１０に示すように、情報処理装置１００は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、音声等の出力装置１０４とを有する。また、投稿システム１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、投稿システム１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、投稿システム１内の各部（１０１〜１０９）は、バス１１０に接続される。
【００７２】
ハードディスク装置１０９には、上記の実施形態で説明した投稿受付部１１、登録部１２および出力部１４などで各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２（例えばサイバー脅威インテリジェンスＤＢ２１等）が記憶される。入力装置１０２は、例えば、情報処理装置１００の操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local Area Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
【００７３】
ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、投稿受付部１１、登録部１２および出力部１４にかかる各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、投稿システム１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。情報処理装置１００が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、情報処理装置１００がこれらからプログラム１１１を読み出して実行するようにしてもよい。
【００７４】
以上の実施形態に関し、さらに以下の付記を開示する。
【００７５】
（付記１）第１のシステムが第１のユーザ端末からサイバー攻撃に関する情報を受信した場合に、記憶装置に前記情報を、前記第１のシステムにアクセス可能な第２のユーザ端末からのアクセスが可能な状態で記憶するとともに、前記情報のデータ構造を、前記第１のシステムと異なる第２のシステムにおいて利用可能な状態に変換して前記第２のシステムからアクセス可能な前記記憶装置に記憶、または前記第２のシステムに記憶し、
前記第２のシステムにサイバー攻撃に関する他の情報が追加された場合、前記第１のシステムが前記第２のシステム、または前記記憶装置から受信する前記他の情報を前記第２のユーザ端末からアクセス可能な状態に変換して出力する、
処理をコンピュータに実行させることを特徴とするサイバー攻撃情報処理プログラム。
【００７６】
（付記２）前記情報、及び前記他の情報はアクセス範囲を規定する情報を含み、前記アクセス範囲を同一に保ったまま変換される情報である、
ことを特徴とする付記１に記載のサイバー攻撃情報処理プログラム。
【００７７】
（付記３）前記第１のシステムは、変換後の前記他の情報を、前記第２のユーザ端末へ提示する際に、情報の記憶した時間順序に基づく順序で表示させる、
ことを特徴とする付記１または２に記載のサイバー攻撃情報処理プログラム。
【００７８】
（付記４）前記情報、及び前記他の情報は、前記記憶装置、または前記第２のシステムと、第３のシステムとの間において、サイバー攻撃にかかる情報を転送する所定の通信手順に基づいて転送される、
ことを特徴とする付記１乃至３のいずれか一に記載のサイバー攻撃情報処理プログラム。
【００７９】
（付記５）第１のシステムが第１のユーザ端末からサイバー攻撃に関する情報を受信した場合に、記憶装置に前記情報を、前記第１のシステムにアクセス可能な第２のユーザ端末からのアクセスが可能な状態で記憶するとともに、前記情報のデータ構造を、前記第１のシステムと異なる第２のシステムにおいて利用可能な状態に変換して前記第２のシステムからアクセス可能な前記記憶装置に記憶、または前記第２のシステムに記憶し、
前記第２のシステムにサイバー攻撃に関する他の情報が追加された場合、前記第１のシステムが前記第２のシステム、または前記記憶装置から受信する前記他の情報を前記第２のユーザ端末からアクセス可能な状態に変換して出力する、
処理をコンピュータが実行することを特徴とするサイバー攻撃情報処理方法。
【００８０】
（付記６）前記情報、及び前記他の情報はアクセス範囲を規定する情報を含み、前記アクセス範囲を同一に保ったまま変換される情報である、
ことを特徴とする付記５に記載のサイバー攻撃情報処理方法。
【００８１】
（付記７）前記第１のシステムは、変換後の前記他の情報を、前記第２のユーザ端末へ提示する際に、情報の記憶した時間順序に基づく順序で表示させる、
ことを特徴とする付記５または６に記載のサイバー攻撃情報処理方法。
【００８２】
（付記８）前記情報、及び前記他の情報は、前記記憶装置、または前記第２のシステムと、第３のシステムとの間において、サイバー攻撃にかかる情報を転送する所定の通信手順に基づいて転送される、
ことを特徴とする付記５乃至７のいずれか一に記載のサイバー攻撃情報処理方法。
【００８３】
（付記９）第１のシステムが第１のユーザ端末からサイバー攻撃に関する情報を受信した場合に、記憶装置に前記情報を、前記第１のシステムにアクセス可能な第２のユーザ端末からのアクセスが可能な状態で記憶するとともに、前記情報のデータ構造を、前記第１のシステムと異なる第２のシステムにおいて利用可能な状態に変換して前記第２のシステムからアクセス可能な前記記憶装置に記憶、または前記第２のシステムに記憶する登録部と、
前記第２のシステムにサイバー攻撃に関する他の情報が追加された場合、前記第１のシステムが前記第２のシステム、または前記記憶装置から受信する前記他の情報を前記第２のユーザ端末からアクセス可能な状態に変換して出力する出力部と、
を有することを特徴とする情報処理装置。
【００８４】
（付記１０）前記情報、及び前記他の情報はアクセス範囲を規定する情報を含み、前記アクセス範囲を同一に保ったまま変換される情報である、
ことを特徴とする付記９に記載の情報処理装置。
【００８５】
（付記１１）前記第１のシステムは、変換後の前記他の情報を、前記第２のユーザ端末へ提示する際に、情報の記憶した時間順序に基づく順序で表示させる、
ことを特徴とする付記９または１０に記載の情報処理装置。
【００８６】
（付記１２）前記情報、及び前記他の情報は、前記記憶装置、または前記第２のシステムと、第３のシステムとの間において、サイバー攻撃にかかる情報を転送する所定の通信手順に基づいて転送される、
ことを特徴とする付記９乃至１１のいずれか一に記載の情報処理装置。
【符号の説明】
【００８７】
１、１Ａ、１Ｂ…投稿システム
２、２Ａ、２Ｂ…記憶装置
３、３Ａ、３Ｂ…サイバー脅威インテリジェンス管理システム
４…外部サイト
１０Ａ、１０Ｂ、３０…ユーザ端末
１１…投稿受付部
１２…登録部
１４…出力部
２１…サイバー脅威インテリジェンスＤＢ
２１Ａ、５１Ａ〜５１Ｅ…サイバー脅威インテリジェンス
３１…表示画面
４０…投稿画面
４１〜４６、６２Ａ〜６２Ｅ…項目
４７…投稿ボタン
５０…投稿情報
６０…ユーザ端末
６１…一覧表示画面
６２…投稿出力画面
１００…情報処理装置
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…出力装置
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ
【図１】
2019040533.tif 000003
【図２】
2019040533.tif 000004
【図３】
2019040533.tif 000005
【図４】
2019040533.tif 000006
【図５】
2019040533.tif 000007
【図６】
2019040533.tif 000008
【図７】
2019040533.tif 000009
【図８】
2019040533.tif 000010
【図９】
2019040533.tif 000011
【図１０】
2019040533.tif 000012