(57)【要約】【課題】機器に設定可能なルール数が限られている場合に、検知率を大幅に低下させることなくルール数を削減したブラックリストを生成する。【解決手段】取得部１４１は、インターネット上で観測されたサイバー攻撃についての、攻撃種別及び攻撃元のＩＰアドレスごとの攻撃回数を取得する。また、計算部１４２は、攻撃元のＩＰアドレスごとの攻撃回数の分布を、攻撃種別のそれぞれについて所定の分布関数で表した場合の、当該分布関数のパラメータを計算する。また、選択部１４３は、選択可能なＩＰアドレスの数が所定の上限値以下であるという制約条件のもと、分布関数及び分布のパラメータを基に予測されるサイバー攻撃に対する検知率が最大化されるように、ブラックリストに設定するＩＰアドレスを攻撃元のＩＰアドレスから選択する。【選択図】図１
2019004339.tif 000002
【特許請求の範囲】
【請求項１】
インターネット上で観測されたサイバー攻撃についての、攻撃種別及び攻撃元のＩＰアドレスごとの攻撃回数を取得する取得部と、
前記攻撃元のＩＰアドレスごとの前記攻撃回数の分布を、前記攻撃種別のそれぞれについて所定の分布関数で表した場合の、当該分布関数のパラメータを計算する計算部と、
選択可能なＩＰアドレスの数が所定の上限値以下であるという制約条件のもと、前記分布関数及び前記分布のパラメータを基に予測されるサイバー攻撃に対する検知率が最大化されるように、ブラックリストに設定するＩＰアドレスを前記攻撃元のＩＰアドレスから選択する選択部と、
を有することを特徴とするブラックリスト設定装置。
【請求項２】
前記計算部は、前記攻撃元のＩＰアドレスを前記攻撃回数が多い順に並べた分布をゼータ分布で表した場合の、当該ゼータ分布のパラメータを計算することを特徴とする請求項１に記載のブラックリスト設定装置。
【請求項３】
前記選択部は、前記攻撃種別のそれぞれについての前記攻撃回数に対する検知率の、全ての前記攻撃種別についての平均が最大化されるように、前記ブラックリストに設定するＩＰアドレスを選択することを特徴とする請求項１又は２に記載のブラックリスト設定装置。
【請求項４】
ブラックリスト設定装置によって実行されるブラックリスト設定方法であって、
インターネット上で観測されたサイバー攻撃についての、攻撃種別及び攻撃元のＩＰアドレスごとの攻撃回数を取得する取得工程と、
前記攻撃元のＩＰアドレスごとの前記攻撃回数の分布を、前記攻撃種別のそれぞれについて所定の分布関数で表した場合の、当該分布関数のパラメータを計算する計算工程と、
選択可能なＩＰアドレスの数が所定の上限値以下であるという制約条件のもと、前記分布関数及び前記分布のパラメータを基に予測されるサイバー攻撃に対する検知率が最大化されるように、ブラックリストに設定するＩＰアドレスを前記攻撃元のＩＰアドレスから選択する選択工程と、
を含んだことを特徴とするブラックリスト設定方法。
【請求項５】
インターネット上で観測されたサイバー攻撃についての、攻撃種別及び攻撃元のＩＰアドレスごとの攻撃回数を取得する取得ステップと、
前記攻撃元のＩＰアドレスごとの前記攻撃回数の分布を、前記攻撃種別のそれぞれについて所定の分布関数で表した場合の、当該分布関数のパラメータを計算する計算ステップと、
選択可能なＩＰアドレスの数が所定の上限値以下であるという制約条件のもと、前記分布関数及び前記分布のパラメータを基に予測されるサイバー攻撃に対する検知率が最大化されるように、ブラックリストに設定するＩＰアドレスを前記攻撃元のＩＰアドレスから選択する選択ステップと、
をコンピュータに実行させることを特徴とするブラックリスト設定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ブラックリスト設定装置、ブラックリスト設定方法及びブラックリスト設定プログラムに関する。
【背景技術】
【０００２】
従来、既知の悪性ＩＰ、ＵＲＬ、シグネチャ（以降総称してブラックリストと呼ぶ）をファイヤーウォール等の機器に検知ルールとして設定することで、インターネットを介したサイバー攻撃を検知する手法が知られている。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】小山  高明  他、「グローバルな脅威情報基盤を用いたセキュリティオーケストレーションの実現」、ＮＴＴ技術ジャーナルVol.27、No.10、2015.（http://www.ntt.co.jp/journal/1510/files/jn201510023.pdf）
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来の手法には、機器に設定可能なルール数が限られている場合に、検知率を大幅に低下させることなくルール数を削減したブラックリストを生成することができない場合があるという問題がある。
【０００５】
例えば、機械的に攻撃全体から攻撃頻度の高い項目を選択する方法や、攻撃種別ごとに一定数ずつのルールを選択する方法が考えられるが、サイバー攻撃の攻撃種別は複数存在し、また攻撃種別ごとに脅威度や攻撃頻度が大きく異なるため、このような方法ではブラックリストによる検知率が大幅に低下する場合がある。
【課題を解決するための手段】
【０００６】
本発明のブラックリスト設定装置は、インターネット上で観測されたサイバー攻撃についての、攻撃種別及び攻撃元のＩＰアドレスごとの攻撃回数を取得する取得部と、前記攻撃元のＩＰアドレスごとの前記攻撃回数の分布を、前記攻撃種別のそれぞれについて所定の分布関数で表した場合の、当該分布関数のパラメータを計算する計算部と、選択可能なＩＰアドレスの数が所定の上限値以下であるという制約条件のもと、前記分布関数及び前記分布のパラメータを基に予測されるサイバー攻撃に対する検知率が最大化されるように、ブラックリストに設定するＩＰアドレスを前記攻撃元のＩＰアドレスから選択する選択部と、を有することを特徴とする。
【発明の効果】
【０００７】
本発明によれば、機器に設定可能なルール数が限られている場合に、検知率を大幅に低下させることなくルール数を削減したブラックリストを生成することができる。
【図面の簡単な説明】
【０００８】
【図１】図１は、第１の実施形態に係るブラックリスト設定装置の構成の一例を示す図である。
【図２】図２は、第１の実施形態に係るブラックリスト設定装置による処理の概要を説明するための図である。
【図３】図３は、第１の実施形態に係るブラックリスト設定装置による分布のパラメータの計算について説明するための図である。
【図４】図４は、第１の実施形態に係るブラックリスト設定装置によるＩＰアドレスの選択について説明するための図である。
【図５】図５は、第１の実施形態に係るブラックリスト設定装置の処理の流れを示すフローチャートである。
【図６】図６は、ブラックリスト設定プログラムを実行するコンピュータの一例を示す図である。
【発明を実施するための形態】
【０００９】
以下に、本願に係るブラックリスト設定装置、ブラックリスト設定方法及びブラックリスト設定プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
【００１０】
［第１の実施形態の構成］
まず、図１を用いて、第１の実施形態に係るブラックリスト設定装置の構成について説明する。図１は、第１の実施形態に係るブラックリスト設定装置の構成の一例を示す図である。図１に示すように、ブラックリスト設定装置１０は、入出力部１１、通信部１２、記憶部１３及び制御部１４を有する。
【００１１】
入出力部１１は、ユーザからのデータの入力を受け付け、及びデータの出力を行う。マウスやキーボード等の入力装置、及びディスプレイやタッチパネル等の表示装置を含む。通信部１２は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部１２はＮＩＣ（Network  Interface  Card）である。
【００１２】
記憶部１３は、ＨＤＤ（Hard  Disk  Drive）、ＳＳＤ（Solid  State  Drive）、光ディスク等の記憶装置である。なお、記憶部１３は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non  Volatile  Static  Random  Access  Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１３は、ブラックリスト設定装置１０で実行されるＯＳ（Operating  System）や各種プログラムを記憶する。さらに、記憶部１３は、プログラムの実行で用いられる各種情報を記憶する。
【００１３】
制御部１４は、ブラックリスト設定装置１０全体を制御する。制御部１４は、例えば、ＣＰＵ（Central  Processing  Unit）、ＭＰＵ（Micro  Processing  Unit）等の電子回路や、ＡＳＩＣ（Application  Specific  Integrated  Circuit）、ＦＰＧＡ（Field  Programmable  Gate  Array）等の集積回路である。また、制御部１４は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１４は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１４は、取得部１４１、計算部１４２、選択部１４３及び生成部１４４を有する。
【００１４】
［処理の概要］
ここで、図２を用いて、ブラックリスト設定装置１０の処理の概要を説明する。図２は、第１の実施形態に係るブラックリスト設定装置による処理の概要を説明するための図である。図２に示すように、ブラックリスト設定装置１０は、まず、攻撃情報１００ａを取得する。攻撃情報１００ａは、例えば、インターネット経由で到達する攻撃に関する情報を収集する攻撃観測装置によって収集された情報である。
【００１５】
攻撃情報には、少なくとも、攻撃種別、ユニークＩＰ数、攻撃総数が含まれる。攻撃種別は、攻撃を識別し分類するための情報である。攻撃種別は、「shell」、「SQL」、「samba」といった名称であってもよい。ユニークＩＰ数は、攻撃種別ごとの攻撃元のＩＰアドレスの数を、重複なく数えたものである。攻撃総数は、攻撃種別ごとの攻撃の回数である。攻撃情報１００ａには、例えば、攻撃種別が１のユニークＩＰ数が「ｘ」、攻撃総数が「Ｘ」であることが記載されている。以降の説明では、攻撃元のＩＰアドレスを単にＩＰアドレスとよぶ場合がある。
【００１６】
次に、グラフ２００ａに示すように、ブラックリスト設定装置１０は、ＩＰアドレスごとの攻撃総数の分布を、攻撃種別ごとに分布関数で表す。例えば、ブラックリスト設定装置１０は、対応する攻撃回数が多い順にＩＰアドレスをソートしたものをゼータ分布とみなし、ゼータ分布のパラメータを計算する。
【００１７】
さらに、ブラックリスト設定装置１０は、所定の制約条件のもと、防御の効果を最大化するようなＩＰアドレスの組み合わせを、分布関数を用いて行った計算の結果に基づいて選択する。例えば、グラフ３００ａに示すように、ブラックリスト設定装置１０は、攻撃種別１のＩＰアドレスをａ件選択し、攻撃種別２のＩＰアドレスをｂ件選択し、攻撃種別３のＩＰアドレスをｃ件選択する。このとき、選択可能なＩＰアドレスをＮ件とすると、制約条件ａ＋ｂ＋ｃ＝Ｎのもと、ａ／ｘ＋ｂ／ｙ＋ｃ／ｚを最大化することで、防御の効果を最大化するようなＩＰアドレスの組み合わせを選択することができる。
【００１８】
［分布のパラメータの計算］
図３を用いて、ブラックリスト設定装置１０による分布のパラメータの計算について説明する。図３は、第１の実施形態に係るブラックリスト設定装置による分布のパラメータの計算について説明するための図である。
【００１９】
まず、取得部１４１は、インターネット上で観測されたサイバー攻撃についての、攻撃種別及び攻撃元のＩＰアドレスごとの攻撃回数を取得する。図３に示すように、取得部１４１は、ＩＰアドレス、攻撃種別、及び攻撃回数が掲載された攻撃情報１００を取得する。取得部１４１は、取得した攻撃情報の攻撃回数を、攻撃種別及びＩＰアドレスごとに集計することができる。また、取得部１４１は、攻撃種別及びＩＰアドレスごとに集計済みの攻撃回数を攻撃情報１００として取得してもよい。
【００２０】
また、攻撃情報１００は、１回の攻撃ごとの、攻撃種別、ＩＰアドレス、及び情報の到達時刻が掲載された情報を攻撃情報１００として取得してもよい。この場合、取得部１４１は、到達時間を基に、所定期間における攻撃種別及びＩＰアドレスごとの攻撃回数を集計する。
【００２１】
計算部１４２は、攻撃元のＩＰアドレスごとの攻撃回数の分布を、攻撃種別のそれぞれについて所定の分布関数で表した場合の、当該分布関数の分布のパラメータを計算する。本実施形態では、計算部１４２は、攻撃元のＩＰアドレスを攻撃回数が多い順に並べた分布をゼータ分布で表した場合の、当該ゼータ分布のパラメータを計算する。なお、計算部１４２で用いられる分布はゼータ分布に限らず、指数分布等であってもよい。
【００２２】
ここで、攻撃回数が多い順に攻撃元のＩＰアドレスをソートした場合、攻撃元のＩＰアドレスと攻撃回数との関係は、べき乗則の一部であるジップの法則に近似できる場合がある。このため、計算部１４２は、ＩＰアドレスごとの攻撃回数がべき乗則に従うと仮定する。つまり、計算部１４２は、ｉ番目に攻撃回数が多いＩＰアドレスの攻撃回数が、最も攻撃回数が多いＩＰアドレスの攻撃回数の１／ｉｋになると仮定する。
【００２３】
そこで、まず、計算部１４２は、グラフ２０１に示すように、対応する攻撃回数が多い順にＩＰアドレスをソートする。グラフ２０１は、例えば、攻撃種別１の攻撃回数が最も多かったＩＰアドレスがＩＰ１であり、二番目に多かったＩＰアドレスがＩＰ２であることを示している。そして、べき乗則に従うデータは、確率分布としてはゼータ分布に従うことから、計算部１４２は、グラフ３０１に示すように、ソート済みのＩＰアドレスと攻撃回数との関係をゼータ分布とみなす。
【００２４】
ここで、べき乗則に従うデータからｎ件のデータを取得した場合に、そのデータが全体のデータに占める割合は、全体のデータが十分に大きい場合に、ゼータ分布の累積分布関数を使って、式（１）に近似される。また、計算部１４２は、攻撃情報１００等に基づいて、既知のパラメータ計算手法により、攻撃種別ごとのゼータ分布のパラメータｋを計算することができる。
【００２５】
【数１】
2019004339.tif 000003
【００２６】
また、ζ（ｋ）は、リーマンのゼータ関数であり、式（２）で表される。
【００２７】
【数２】
2019004339.tif 000004
【００２８】
［ＩＰアドレスの選択］
図４を用いて、ブラックリスト設定装置１０によるＩＰアドレスの選択について説明する。図４は、第１の実施形態に係るブラックリスト設定装置によるＩＰアドレスの選択について説明するための図である。
【００２９】
選択部１４３は、選択可能なＩＰアドレスの数が所定の上限値以下であるという制約条件のもと、分布関数及び分布のパラメータを基に予測されるサイバー攻撃に対する検知率が最大化されるように、ブラックリストに設定するＩＰアドレスを攻撃元のＩＰアドレスから選択する。本実施形態では、選択部１４３は、攻撃種別のそれぞれについての攻撃回数に対する検知率の、全ての攻撃種別についての平均が最大化されるように、ブラックリストに設定するＩＰアドレスを選択する。
【００３０】
ここで、Ｓをブラックリストに掲載なＩＰアドレスの上限とし、選択部１４３が、攻撃種別１のＩＰアドレスから攻撃回数の上位ｐ件、攻撃種別２のＩＰアドレスから攻撃回数の上位ｑ件、攻撃種別３のＩＰアドレスから攻撃回数の上位ｒ件のＩＰアドレスを選択することを考える。
【００３１】
このとき、選択部１４３は、ｆ（ｐ，ｑ，ｒ）を最大化するようなｐ、ｑ、ｒを計算する。ここで、計算部１４２は、攻撃種別１の分布のパラメータを１．５２、攻撃種別２の分布のパラメータを１．０１、攻撃種別３の分布のパラメータを１．３０と計算したとする。ｆ（ｐ，ｑ，ｒ）は、式（３）のように表される。なお、ｆ（ｐ，ｑ，ｒ）は、攻撃種別のそれぞれについての攻撃回数に対する検知率の、全ての攻撃種別についての平均の一例である。
【００３２】
【数３】
2019004339.tif 000005
【００３３】
また、このとき、選択部１４３は、Ｓをブラックリストに掲載なＩＰアドレスの上限とし、式（４）を制約条件とする。
【００３４】
【数４】
2019004339.tif 000006
【００３５】
選択部１４３は、式（４）を制約条件とする式（３）の最大化をラグランジュ未定乗数法を用いて解くことができる。この場合のラグランジュ未定乗数法は、式（５−１）、式（５−２）、式（５−３）及び式（５−４）のように表される。
【００３６】
【数５】
2019004339.tif 000007
【００３７】
ここで、式（５−４）は、式（６）のように表される。
【００３８】
【数６】
2019004339.tif 000008
【００３９】
また、総和で表されている項を積分に置き換えると、式（６）は式（７）のように表される。
【００４０】
【数７】
2019004339.tif 000009
【００４１】
この置き換えは、式（８−１）の後退差分が、式（８−２）の微分に等しいことに基づいている。
【００４２】
【数８】
2019004339.tif 000010
【００４３】
式（９−１）から式（９−５）のように偏微分の計算を行うことで、λはｐを使って式（９−６）のように表される。
【００４４】
【数９】
2019004339.tif 000011
【００４５】
ｑ及びｒについても同様の計算を行うと、λは、式（１０）のようになる。
【００４６】
【数１０】
2019004339.tif 000012
【００４７】
また、式（１０）は、式（１１）のように変形することができる。式（１１）は、ｐ＋ｑ＋ｒを一定に保ったときに、攻撃のカバー率を最大にするような、ｐ、ｑ、ｒの関係式である。
【００４８】
【数１１】
2019004339.tif 000013
【００４９】
式（１２−１）及び式（１２−２）の計算により、λを使ってｐを式（１２−３）のように表すことができる。
【００５０】
【数１２】
2019004339.tif 000014
【００５１】
同様に、λを使って、ｑ及びｒを、それぞれ式（１３−１）及び式（１３−２）のように表すことができる。
【００５２】
【数１３】
2019004339.tif 000015
【００５３】
これより、式（１４−１）は、式（１４−２）のように表すことができる。ここで、式（１４−２）におけるλを、Ｓを用いて表すことができれば、本最大化問題を解くことができる。
【００５４】
【数１４】
2019004339.tif 000016
【００５５】
式（１４−２）におけるλを、Ｓを用いて表す方法としては、式（１５）のように、ｐ、ｑ、ｒのいずれか１つを固定して、残りの２つを計算する方法がある。
【００５６】
【数１５】
2019004339.tif 000017
【００５７】
また、式（１４−２）におけるλを、Ｓを用いて表すその他の方法としては、ｆ´（λ）＝０の計算が容易であることから、式（１６）のようにニュートン法を用いて数値的にｆ（λ）＝０の解を計算する方法がある。
【００５８】
【数１６】
2019004339.tif 000018
【００５９】
ここで、式（１５）において、ｐを固定した場合、ｐ、ｑ及びｒについてのゼータ関数の値は、それぞれ式（１７−１）、式（１７−２）及び式（１７−３）で表されるので、ｑ及びｒをｐを使って表すと、それぞれ式（１８−１）及び式（１８−２）のようになる。なお、この場合、ｐを５００件に固定すると、ｑは３０１件、ｒは１０２１件となる。
【００６０】
【数１７】
2019004339.tif 000019
【００６１】
【数１８】
2019004339.tif 000020
【００６２】
これにより、選択部１４３は、図４のグラフ３０１及び３０２に基づいて、グラフ４０１及びグラフ４０２に示すように、ＩＰアドレスを選択する。例えば、グラフ４０１に示すように、選択部１４３は、攻撃種別１について、ＩＰアドレスＩＰ１、ＩＰ２、ＩＰ３、ＩＰ４及びＩＰ５を選択する。また、グラフ４０２に示すように、選択部１４３は、攻撃種別２について、ＩＰアドレスＩＰ８及びＩＰ９を選択する。
【００６３】
また、生成部１４４は、選択部１４３によって選択されたＩＰアドレスを掲載したブラックリスト５００を生成する。このとき、ブラックリスト５００による、攻撃種別１の攻撃の予測カバー率は６０％であり、攻撃種別２の攻撃の予測カバー率は４０％であり、攻撃種別全体の予測平均カバー率は５０％である。なお、カバー率は、ブラックリスト５００によって検知可能であることが推定される攻撃数の、攻撃数全体に対する割合であり、検知率ということができる。
【００６４】
［第１の実施形態の処理］
図５を用いて、ブラックリスト設定装置１０の処理の流れについて説明する。図５は、第１の実施形態に係るブラックリスト設定装置の処理の流れを示すフローチャートである。
【００６５】
図５に示すように、まず、取得部１４１は、攻撃情報を取得する（ステップＳ１０１）。攻撃情報は、例えば、攻撃観測装置によって収集された情報である。攻撃情報は、例えば攻撃種別、攻撃元のＩＰアドレス、及び攻撃回数を含む。
【００６６】
次に、計算部１４２は、攻撃種別ごとの攻撃回数の分布のパラメータを計算する（ステップＳ１０２）。計算部１４２は、例えば、攻撃種別ごとの攻撃回数の分布をゼータ分布で表し、ゼータ分布のパラメータを計算する。
【００６７】
そして、選択部１４３は、攻撃種別ごとの検知率の、攻撃種別全体の平均が最大化されるようにＩＰアドレスを選択する（ステップＳ１０３）。選択部１４３は、例えば、選択可能なＩＰアドレスの上限数を制約条件とし、攻撃種別ごとのゼータ分布の累積分布関数の合計を最大化することにより選択するＩＰアドレスを決定することができる。
【００６８】
そして、生成部１４４は、選択部１４３によって選択されたＩＰアドレスを基にブラックリストを生成する（ステップＳ１０４）。例えば、生成部１４４によって生成されたブラックリストには、選択部１４３によって選択されたＩＰアドレスが掲載される。
【００６９】
［第１の実施形態の効果］
取得部１４１は、インターネット上で観測されたサイバー攻撃についての、攻撃種別及び攻撃元のＩＰアドレスごとの攻撃回数を取得する。また、計算部１４２は、攻撃元のＩＰアドレスごとの攻撃回数の分布を、攻撃種別のそれぞれについて所定の分布関数で表した場合の、当該分布関数のパラメータを計算する。また、選択部１４３は、選択可能なＩＰアドレスの数が所定の上限値以下であるという制約条件のもと、分布関数及び分布のパラメータを基に予測されるサイバー攻撃に対する検知率が最大化されるように、ブラックリストに設定するＩＰアドレスを攻撃元のＩＰアドレスから選択する。このように、本実施形態では、ＩＰアドレスごとの攻撃回数の分布を分布関数で表すため、生成されるブラックリストの検知率等を容易に予測することができる。また、本実施形態では、ブラックリストに設定可能なＩＰアドレスの上限数を制約条件として、攻撃種別ごとの検知率を最大化するため、機器に設定可能なルール数が限られている場合であっても、検知率を大幅に低下させることなくルール数を削減することができる。
【００７０】
計算部１４２は、攻撃元のＩＰアドレスを攻撃回数が多い順に並べた分布をゼータ分布で表した場合の、当該ゼータ分布のパラメータを計算する。これにより、検知率の最大化を、ラグランジュ未定乗数法を用いて解くことができる。
【００７１】
選択部１４３は、攻撃種別のそれぞれについての攻撃回数に対する検知率の、全ての攻撃種別についての平均が最大化されるように、ブラックリストに設定するＩＰアドレスを選択する。サイバー攻撃の攻撃種別は複数存在し、また攻撃種別ごとに脅威度や攻撃頻度が大きく異なる。このため、ブラックリストは、観測された攻撃回数が少ない攻撃種別の攻撃についても、高い検知率を持つことが望ましい。本実施形態によれば、攻撃種別ごとの検知率を等しい重みで平均することができるため、攻撃種別ごとに検知率の偏りのないブラックリストを生成することができる。
【００７２】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００７３】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００７４】
［プログラム］
一実施形態として、ブラックリスト設定装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記のブラックリストの生成を実行するブラックリスト設定プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記のブラックリスト設定プログラムを情報処理装置に実行させることにより、情報処理装置をブラックリスト設定装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistant）等のスレート端末等がその範疇に含まれる。
【００７５】
また、ブラックリスト設定装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記のブラックリストの生成に関するサービスを提供する生成サーバ装置として実装することもできる。例えば、生成サーバ装置は、攻撃情報を入力とし、ブラックリストを出力とする生成サービスを提供するサーバ装置として実装される。この場合、生成サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記のブラックリストの生成に関するサービスを提供するクラウドとして実装することとしてもかまわない。
【００７６】
図６は、ブラックリスト設定プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００７７】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【００７８】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ブラックリスト設定装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、ブラックリスト設定装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
【００７９】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００８０】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００８１】
１０  ブラックリスト設定装置
１１  入出力部
１２  通信部
１３  記憶部
１４  制御部
１４１  取得部
１４２  計算部
１４３  選択部
１４４  生成部
【図１】
2019004339.tif 000021
【図２】
2019004339.tif 000022
【図３】
2019004339.tif 000023
【図４】
2019004339.tif 000024
【図５】
2019004339.tif 000025
【図６】
2019004339.tif 000026