(57)【要約】【課題】サイバー攻撃とアドレス群との関連性を評価する。【解決手段】実施形態のサイバー攻撃に関する評価プログラムは、収集する処理と、特定する処理と、決定する処理と、算出する処理と、出力を行う処理とをコンピュータに実行させる。収集する処理は、複数のサイバー攻撃情報を収集する。特定する処理は、収集した複数のサイバー攻撃情報を分析して、複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定する。決定する処理は、特定したアドレスに基づいてサイバー攻撃の監視対象とするアドレス群を決定する。算出する処理は、決定したアドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じてアドレス群を監視対象とすることの信頼性に関する評価値を算出する。出力する処理は、算出した評価値に応じた出力を行う。【選択図】図１
2019159431.tif 000002
【特許請求の範囲】
【請求項１】
複数のサイバー攻撃情報を収集し、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定し、
特定した前記アドレスに基づいて前記サイバー攻撃の監視対象とするアドレス群を決定し、
決定した前記アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出し、
算出した前記評価値に応じた出力を行う、
処理をコンピュータに実行させることを特徴とするサイバー攻撃に関する評価プログラム。
【請求項２】
前記収集する処理は、所定のサイバー攻撃の活動にかかるサイバー攻撃情報を収集する、
ことを特徴とする請求項１に記載の評価プログラム。
【請求項３】
前記算出する処理は、前記アドレス群の評価値について、当該アドレス群に含まれるアドレスの中で、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、サイバー攻撃の検知がない場合に比べてより高い評価値を算出する、
ことを特徴とする請求項１または２に記載の評価プログラム。
【請求項４】
前記出力を行う処理は、問い合わせ対象のアドレスを包括するアドレス群をもとに、当該アドレス群について算出した前記評価値を出力する、
ことを特徴とする請求項１乃至３のいずれか一項に記載の評価プログラム。
【請求項５】
複数のサイバー攻撃情報を収集し、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定し、
特定した前記アドレスに基づいて前記サイバー攻撃の監視対象とするアドレス群を決定し、
決定した前記アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出し、
算出した前記評価値に応じた出力を行う、
処理をコンピュータが実行することを特徴とするサイバー攻撃に関する評価方法。
【請求項６】
複数のサイバー攻撃情報を収集する収集部と、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定する特定部と、
特定した前記アドレスに基づいて前記サイバー攻撃の監視対象とするアドレス群を決定する決定部と、
決定した前記アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出する算出部と、
算出した前記評価値に応じた出力を行う出力部と、
を有することを特徴とするサイバー攻撃に関する評価装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、評価プログラム、評価方法および評価装置に関する。
【背景技術】
【０００２】
近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃は多種多様な方法で実施される。よって、サイバー攻撃の対処には、過去に検知したサイバー攻撃ごとに、サイバー攻撃のイベント内容を分析して評価することが重要である。
【０００３】
イベント内容の分析に関する従来技術としては、通信先のアドレスおよび通信の発生日時のいずれか一方を縦軸とし、他方を横軸とする座標平面上に、通信が発生した回数に応じて大きさが異なる図形をログ情報に応じて配置して表示させる技術がある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１７−４５１８８号公報
【特許文献２】特表２０１５−５０４５４２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記の従来技術では、複数のサイバー攻撃と、それらのサイバー攻撃の攻撃者が主に利用するＩＰアドレス帯域との関連性が分かりづらいという問題がある。
【０００６】
例えば、大規模な攻撃キャンペーンにおいては、同じＩＰアドレスの帯域に属する複数のＩＰアドレスが観察されることがある。このようなＩＰアドレスの帯域は、同じ攻撃者が継続的に利用するケースがあることから、サイバー攻撃との関連性の分析に有用な場合がある。
【０００７】
１つの側面では、サイバー攻撃とアドレス群との関連性を評価できる評価プログラム、評価方法および評価装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
第１の案では、サイバー攻撃に関する評価プログラムは、収集する処理と、特定する処理と、決定する処理と、算出する処理と、出力を行う処理とをコンピュータに実行させる。収集する処理は、複数のサイバー攻撃情報を収集する。特定する処理は、収集した複数のサイバー攻撃情報を分析して、複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定する。決定する処理は、特定したアドレスに基づいてサイバー攻撃の監視対象とするアドレス群を決定する。算出する処理は、決定したアドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じてアドレス群を監視対象とすることの信頼性に関する評価値を算出する。出力する処理は、算出した評価値に応じた出力を行う。
【発明の効果】
【０００９】
本発明の１実施態様によれば、サイバー攻撃とアドレス群との関連性を評価できる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施形態にかかる評価装置の機能構成例を示すブロック図である。
【図２】図２は、ＩＰアドレス帯域の検知にかかる機能構成例を説明する説明図である。
【図３】図３は、サイバー脅威インテリジェンスを説明する説明図である。
【図４】図４は、前処理の一例を示すフローチャートである。
【図５】図５は、要素の抽出例を説明する説明図である。
【図６】図６は、前処理済みサイバー脅威インテリジェンスＤＢを説明する説明図である。
【図７】図７は、ＩＰアドレス帯域検出処理の一例を示すフローチャートである。
【図８−１】図８−１は、ＩＰアドレス帯域候補ＤＢを説明する説明図である。
【図８−２】図８−２は、ＩＰアドレス帯域候補ＤＢを説明する説明図である。
【図８−３】図８−３は、ＩＰアドレス帯域候補ＤＢを説明する説明図である。
【図９】図９は、統合処理の一例を示すフローチャートである。
【図１０−１】図１０−１は、統合例を説明する説明図である。
【図１０−２】図１０−２は、統合例を説明する説明図である。
【図１１】図１１は、ＩＰアドレス帯域ＤＢを説明する説明図である。
【図１２】図１２は、入力情報に対する出力情報の具体例を説明する説明図である。
【図１３】図１３は、実施形態にかかる評価装置のハードウエア構成の一例を示すブロック図である。
【発明を実施するための形態】
【００１１】
以下、図面を参照して、実施形態にかかる評価プログラム、評価方法および評価装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する評価プログラム、評価方法および評価装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
【００１２】
図１は、実施形態にかかる評価装置の機能構成例を示すブロック図である。実施形態にかかる評価装置１は、例えば、ＰＣ（パーソナルコンピュータ）などのコンピュータである。
【００１３】
図１に示すように、評価装置１は、サイバー攻撃にかかるキャンペーンの中で処理の対象とする対象キャンペーン１２の入力を受け付け、サイバー脅威インテリジェンスＤＢ１０に格納された複数のサイバー脅威インテリジェンスの中で対象キャンペーン１２に該当するサイバー脅威インテリジェンスを収集する。なお、キャンペーンとは、同じ攻撃者、同じ攻撃部隊または同じ攻撃作戦による一連のサイバー攻撃の活動（複数のサイバー攻撃の集合体）について付与された呼称である。
【００１４】
次いで、評価装置１は、収集したサイバー脅威インテリジェンスを分析して、対象キャンペーン１２にかかるサイバー攻撃の監視対象とするアドレス群（ＩＰアドレス帯域）と、アドレス群を監視対象とすることの信頼性に関する評価値（信頼度）とをＩＰアドレス帯域ＤＢ６０に格納する。また、評価装置１は、対象キャンペーン１２についての関連情報をキャンペーン関連情報ＤＢ５０に格納する。
【００１５】
なお、アドレス群（ＩＰアドレス帯域）は、幾つかのＩＰアドレスをグループとしてまとめたものであり、例えば「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等のＣＩＤＲ記法によるアドレスのグループ（ＣＩＤＲブロック）などがある。本実施形態では、アドレス群（ＩＰアドレス帯域）としてＣＩＤＲブロックを例示するが、ドメインごとにＩＰアドレスをグループ分けしてもよく、ＣＩＤＲブロックに特にするものではない。
【００１６】
評価装置１では、このキャンペーン関連情報ＤＢ５０およびＩＰアドレス帯域ＤＢ６０に格納された情報に基づいて、入力装置１０２（図１３参照）などを介して入力された入力情報７１に対する出力情報７２をモニタ１０３（図１３参照）などに出力する。
【００１７】
具体的には、分析者が自組織で発生した怪しい通信に関するＩＰアドレスなどを「問い合わせＩＰアドレス」とする入力情報７１を評価装置１に入力する。評価装置１では、入力されたＩＰアドレスをもとにＩＰアドレス帯域ＤＢ６０を参照し、入力されたＩＰアドレスに該当するアドレス群のキャンペーンを関連が疑われる関連キャンペーンとする。
【００１８】
次いで、評価装置１は、関連キャンペーンに関する評価値（信頼度）をＩＰアドレス帯域ＤＢ６０より読み出し、入力されたＩＰアドレスとの関連がどの程度疑われるかを示す信頼度付きの関連キャンペーンを含む出力情報７２を出力する。また、評価装置１は、対象キャンペーン１２ごとにサイバー脅威インテリジェンスより収集したキャンペーン関連情報の中から、関連キャンペーンについてキャンペーン関連情報をキャンペーン関連情報ＤＢ５０より読み出し、信頼度付きの関連キャンペーンとともに出力情報７２に含めて出力する。
【００１９】
これにより、分析者（ユーザ）は、問い合わせたＩＰアドレスがサイバー脅威インテリジェンスとして認識されていないＩＰアドレスであったとしても、信頼度付きの関連キャンペーンによりサイバー攻撃にかかるキャンペーンとの関連を評価できる。また、ユーザは、関連キャンペーンについてキャンペーン関連情報をもとに、問い合わせたＩＰアドレスとの関連が疑われる関連キャンペーンの被害を予防するための対策を実施することができる。
【００２０】
図１に示すように、評価装置１は、前処理部２０、ＩＰアドレス帯域検出部３０、ＩＰアドレス帯域統合部４０およびインタフェース部７０を有する。
【００２１】
前処理部２０は、対象キャンペーン１２の入力を受け付け、サイバー脅威インテリジェンスＤＢ１０に格納された複数のサイバー脅威インテリジェンスの中で対象キャンペーン１２に該当するサイバー脅威インテリジェンスを収集して前処理を行う。すなわち、前処理部２０は、収集部の一例である。
【００２２】
図２は、ＩＰアドレス帯域の検知にかかる機能構成例を説明する説明図である。図２に示すように、前処理部２０は、対象キャンペーン１２とサイバー脅威インテリジェンスＤＢ１０とを入力とし、対象キャンペーン１２に該当するサイバー脅威インテリジェンスを収集して前処理を行い、前処理後のデータを前処理済みサイバー脅威インテリジェンスＤＢ１０ａとキャンペーン関連情報ＤＢ５０とに格納する。
【００２３】
前処理済みサイバー脅威インテリジェンスＤＢ１０ａは、サイバー脅威インテリジェンスより収集したＩＰアドレスやタイムスタンプ（時間情報）のデータを、キャンペーン名（またはキャンペーンＩＤ）とサイバー脅威インテリジェンスのＩＤとを関連付けて格納するデータベースである。キャンペーン関連情報ＤＢ５０は、サイバー脅威インテリジェンスより収集した、対象キャンペーン１２に関する手口、対処、利用する脆弱性などの関連情報をキャンペーン名（またはキャンペーンＩＤ）と関連付けて格納するデータベースである。
【００２４】
図３は、サイバー脅威インテリジェンスを説明する説明図である。図３に示すように、サイバー脅威インテリジェンス１１では、ＳＴＩＸ（Structured  Threat  Information  eXpression）などの形式でサイバー攻撃の情報が記述される。例えば、ＳＴＩＸは、サイバー攻撃活動（Campaigns）、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の８つの情報群から構成される。
【００２５】
すなわち、サイバー脅威インテリジェンス１１は、サイバー攻撃情報の一例である。また、ＳＴＩＸバージョン１．１．１時点では、図３のように、ＸＭＬ（eXtensible  Markup  Language）形式で記述される。
【００２６】
例えば、「Observables」のタグで囲まれた領域１１ａには、観測されたＩＰ、ｄｏｍａｉｎ、マルウェアのハッシュ値などが記述される。「Indicators」のタグで囲まれた領域１１ｂには、サイバー攻撃イベントを特徴づける指標を示す情報が個別に記述される。具体的には、領域１１ｂでは、検知指標のタイプ、検知指標に関連する観測事象、攻撃段階フェーズ、痕跡などから検知指標を作成するために使用したツールと共に、サイバー攻撃を特徴づける指標について記述される。
【００２７】
また、「TTPs」のタグで囲まれた領域１１ｃには、利用された攻撃手法、例えばスパムメールやマルウェア、水飲み場攻撃などが記述される。また、「Exploit_Targets」のタグで囲まれた領域１１ｄには、脆弱性、脆弱性の種類、設定や構成などの視点から、攻撃の対象となりうるソフトウェアやシステムの弱点など、サイバー攻撃イベントにおいて攻撃の対象となる資産の弱点を示す情報が個別に記述される。
【００２８】
また、「Campaigns」のタグで囲まれた領域１１ｅには、一連の攻撃（キャンペーン）につけられる名前などが記述される。すなわち、領域１１ｅには、サイバー攻撃にかかるキャンペーンの情報が記述される。領域１１ｅにおけるキャンペーンの名前を参照することで、サイバー脅威インテリジェンス１１にかかるサイバー攻撃がどのキャンペーンに属するかを識別できる。
【００２９】
また、「Threat_Actors」のタグで囲まれた領域１１ｆには、サイバー攻撃の攻撃者のタイプ、攻撃者の動機、攻撃者の熟練度、攻撃者の意図などの視点からサイバー攻撃に寄与している人／組織についての情報が個別に記述される。具体的には、領域１１ｆでは、不正アクセス元（送信元）のＩＰアドレス、またはメールアドレス、ソーシャルネットワークサービスのアカウントの情報が記述される。
【００３０】
このように、サイバー脅威インテリジェンス１１の領域１１ａ〜１１ｆには、サイバー攻撃にかかるキャンペーンを示すキャンペーンの名前とともに、サイバー攻撃の観測事象（ＩＰ、ｄｏｍａｉｎ、ハッシュ値等）やＴＴＰ等のサイバー攻撃の特徴を示す情報、すなわちサイバー攻撃の特徴情報（検知指標）が記述される。なお、サイバー脅威インテリジェンス１１を共有するためのソースとしては、ＡｌｉｅｎＶａｕｌｔが提供するフリーで利用可能なＯＴＸ（Open  Threat  Exchange）などが存在する。また、サイバー脅威インテリジェンス１１を管理するためのプラットフォームを利用すれば、サイバー脅威インテリジェンス１１の内容を確認したり、サイバー脅威インテリジェンス１１間の関連を見たりすることも可能である。
【００３１】
前処理部２０は、サイバー脅威インテリジェンスＤＢ１０に格納された複数のサイバー脅威インテリジェンス１１より対象キャンペーン１２に該当するものを収集して前処理を行い、前処理後のデータを前処理済みサイバー脅威インテリジェンスＤＢ１０ａおよびキャンペーン関連情報ＤＢ５０に格納する。
【００３２】
図４は、前処理の一例を示すフローチャートである。図４に示すように、前処理が開始されると、前処理部２０は、対象キャンペーン１２の入力を受け付ける（Ｓ０）。対象キャンペーン１２については、例えば処理の対象とするキャンペーン名をリストとしてまとめたものを入力する。次いで、前処理部２０は、サイバー脅威インテリジェンスＤＢ１０に格納されたサイバー脅威インテリジェンス１１をパース、あるいは自然言語処理して、必要なデータ（要素）を抽出する（Ｓ１）。
【００３３】
図５は、要素の抽出例を説明する説明図である。図５に示すように、ＳＴＩＸ形式のサイバー脅威インテリジェンス１１の場合、前処理部２０は、パーサによってＸＭＬ形式で記述されたサイバー脅威インテリジェンス１１の内容をパースする。これにより、前処理部２０は、サイバー脅威インテリジェンス１１に含まれる各要素を抽出する。なお、サイバー脅威インテリジェンス１１が標準規格などで構造化されておらず、テキストによるレポート形式などである場合は、前処理部２０は、既存の自然言語処理ツールを用いて抽出対象の要素を抽出してもよい。
【００３４】
例えば、前処理部２０は、「ＡｄｄｒｅｓｓＯｂｊ：Ａｄｄｒｅｓｓ＿Ｖａｌｕｅ」というタグで囲まれた部分から、「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」、「ＹＹＹ．ＹＹＹ．ＹＹＹ．ＹＹＹ」などのＩＰアドレスを抽出する。同様に、前処理部２０は、攻撃手口（TTPｓ）にかかるタグに囲まれた部分からは攻撃手口を抽出する。また、前処理部２０は、対処措置（Courses_Of_Action）にかかるタグに囲まれた部分からは対処措置を抽出する。また、前処理部２０は、攻撃対象（Exploit_Targets）にかかるタグに囲まれた部分から利用する脆弱性を抽出する。また、前処理部２０は、キャンペーンにかかるタグに囲まれた部分からキャンペーンの名称を抽出する。なお、データが存在しない場合には、情報なしという扱いにする。また、サイバー脅威インテリジェンス１１のタイトルが、「あるマルウェアに対するレポート，期間」のように、タイムスタンプ（時間情報）を含む場合にはその時間情報を抽出する。
【００３５】
次いで、前処理部２０は、サイバー脅威インテリジェンス１１より抽出した要素をもとに、対象キャンペーン１２に対して関連するサイバー脅威インテリジェンス１１であるか否かを判定する（Ｓ２）。具体的には、前処理部２０は、サイバー脅威インテリジェンス１１より抽出した要素におけるキャンペーン名が対象キャンペーン１２のキャンペーン名に一致するか否かをもとに、対象キャンペーン１２に対するサイバー脅威インテリジェンス１１であるか否かを判定する。
【００３６】
対象キャンペーン１２に対するサイバー脅威インテリジェンス１１である場合（Ｓ２：ＹＥＳ）、前処理部２０は、サイバー脅威インテリジェンス１１より抽出した要素（ＩＰアドレスやタイムスタンプ）のデータをキャンペーン名（またはキャンペーンＩＤ）とサイバー脅威インテリジェンス１１のＩＤと関連付けて前処理済みサイバー脅威インテリジェンスＤＢ１０ａに格納する。また、前処理部２０は、対象キャンペーン１２に対するサイバー脅威インテリジェンス１１より抽出した要素（手口、対処、利用する脆弱性など）をキャンペーン名（またはキャンペーンＩＤ）と関連付けてキャンペーン関連情報ＤＢ５０に格納する（Ｓ３）。
【００３７】
図６は、前処理済みサイバー脅威インテリジェンスＤＢ１０ａを説明する説明図である。図６に示すように、前処理済みサイバー脅威インテリジェンスＤＢ１０ａには、対象キャンペーン１２を示すキャンペーン名（キャンペーン１）と、サイバー脅威インテリジェンス１１のＩＤ（ＩＤ：１）、タイムスタンプ（２０１５年）とともに、サイバー脅威インテリジェンス１１より抽出したＩＰアドレス（ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１，ＢＢＢ．ＢＢＢ．ＢＢＢ．４，…）が格納される。
【００３８】
なお、対象キャンペーン１２に対するサイバー脅威インテリジェンス１１でない場合（Ｓ２：ＮＯ）、前処理部２０は、Ｓ３の処理をスキップしてＳ４へ進む。
【００３９】
次いで、前処理部２０は、サイバー脅威インテリジェンスＤＢ１０の中で要素の抽出として未選択のサイバー脅威インテリジェンス１１が存在するか否かを判定する（Ｓ４）。存在する場合（Ｓ４：ＹＥＳ）、前処理部２０は、未選択のサイバー脅威インテリジェンス１１を要素の抽出対象として選択し、Ｓ０へ処理を戻す。存在しない場合（Ｓ４：ＮＯ）、全てのサイバー脅威インテリジェンス１１について処理が終了したことから、前処理部２０は、前処理を終了する。
【００４０】
図１、２に戻り、ＩＰアドレス帯域検出部３０は、前処理済みサイバー脅威インテリジェンスＤＢ１０ａを入力として、ＩＰアドレス帯域検出処理を行う。このＩＰアドレス帯域検出処理により、ＩＰアドレス帯域検出部３０は、対象キャンペーン１２について各サイバー脅威インテリジェンス１１から検出されたＩＰアドレス帯域の集合であるＩＰアドレス帯域候補群をＩＰアドレス帯域候補ＤＢ６０ａに格納する。
【００４１】
具体的には、ＩＰアドレス帯域検出部３０は、ＩＰアドレス特定部３１、ＩＰアドレス帯域決定部３２を有する。ＩＰアドレス特定部３１は、前処理済みサイバー脅威インテリジェンスＤＢ１０ａを参照することで、収集した複数のサイバー脅威インテリジェンス１１を分析し、複数のサイバー脅威インテリジェンス１１に含まれるサイバー攻撃元のアドレスを特定する。すなわち、ＩＰアドレス特定部３１は、特定部の一例である。
【００４２】
ＩＰアドレス帯域決定部３２は、特定したアドレスに基づいてサイバー攻撃の監視対象とするアドレス群（ＩＰアドレス帯域）を決定する。ＩＰアドレス帯域決定部３２は、決定したＩＰアドレス帯域をＩＰアドレス帯域候補ＤＢ６０ａに格納する。すなわち、ＩＰアドレス帯域決定部３２は、決定部の一例である。
【００４３】
ここで、ＩＰアドレス帯域検出処理の詳細を説明する。図７は、ＩＰアドレス帯域検出処理の一例を示すフローチャートである。
【００４４】
図７に示すように、ＩＰアドレス帯域検出処理が開始されると、ＩＰアドレス特定部３１は、入力された前処理済みサイバー脅威インテリジェンスＤＢ１０ａに含まれるサイバー脅威インテリジェンス１１群の中から、まだ選択していないサイバー脅威インテリジェンス１１を選択する（Ｓ１０）。次いで、ＩＰアドレス特定部３１は、選択したサイバー脅威インテリジェンス１１から未選択のＩＰアドレスを選択する（Ｓ１１）。
【００４５】
次いで、ＩＰアドレス帯域決定部３２は、選択したＩＰアドレスがＩＰアドレス帯域候補ＤＢ６０ａに登録済みのＩＰアドレス帯域の中に含まれるか否かを判定する（Ｓ１２）。具体的には、ＩＰアドレス帯域決定部３２は、ＩＰアドレス帯域候補ＤＢ６０ａにＩＰアドレス帯域として登録された「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等のＣＩＤＲ記法によるＣＩＤＲブロックに、選択したＩＰアドレスが含まれるか否かを判定する。
【００４６】
含まれる場合（Ｓ１２：ＹＥＳ）、ＩＰアドレス帯域決定部３２は、選択したＩＰアドレスが含まれるＩＰアドレス帯域の帯域内ＩＰアドレスに選択したＩＰアドレスを追加登録し、このＩＰアドレスを選択済みとする（Ｓ１３）。
【００４７】
含まれない場合（Ｓ１２：ＮＯ）、ＩＰアドレス帯域決定部３２は、選択したＩＰアドレスを包括するＩＰアドレス帯域をＩＰアドレス帯域候補ＤＢ６０ａに新規登録し、このＩＰアドレスを選択済みとする（Ｓ１４）。具体的には、ＩＰアドレス帯域決定部３２は、ｗｈｏｉｓサービスなどを利用して選択したＩＰアドレスを包括するＣＩＤＲブロックを特定し、特定したＣＩＤＲブロックをＩＰアドレス帯域候補ＤＢ６０ａに新規登録する。
【００４８】
次いで、ＩＰアドレス特定部３１は、未選択のＩＰアドレスが存在するか否かを判定し（Ｓ１５）、存在する場合（Ｓ１５：ＹＥＳ）はＳ１１へ処理を戻す。存在しない場合（Ｓ１５：ＮＯ）、ＩＰアドレス特定部３１は、サイバー脅威インテリジェンス１１群の中から未選択のサイバー脅威インテリジェンス１１が存在するか否かを判定し（Ｓ１６）、存在する場合（Ｓ１６：ＹＥＳ）はＳ１０へ処理を戻す。存在しない場合（Ｓ１６：ＮＯ）、ＩＰアドレス特定部３１はＩＰアドレス帯域検出処理を終了する。
【００４９】
図６を例にすると、ＩＰアドレス特定部３１は、まず、「キャンペーン１」の「ＩＤ：１」のサイバー脅威インテリジェンス１１より、抽出された５つのＩＰアドレス（ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１，ＢＢＢ．ＢＢＢ．ＢＢＢ．４，ＣＣＣ．ＣＣＣ．ＣＣＣ．２３，ＣＣＣ．ＣＣＣ．ＣＣＣ．５３，ＡＡＡ．ＡＡＡ．ＡＡＡ．２１７）のいずれかを選択する。例えば、ＩＰアドレス特定部３１は、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」を選択する。
【００５０】
次いで、ＩＰアドレス帯域決定部３２は、ＩＰアドレス帯域候補ＤＢ６０ａの中に選択したＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」を含むＩＰアドレス帯域が存在するか否かを調べる。ここで、ＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」は最初に選択したＩＰアドレスであるため、ＩＰアドレス帯域候補ＤＢ６０ａには存在しない。よって、ＩＰアドレス帯域決定部３２は、ｗｈｏｉｓサービスなどを利用し、選択したＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」を包括するＩＰアドレス帯域「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」を特定してＩＰアドレス帯域候補ＤＢ６０ａに新規登録する。
【００５１】
図８−１〜図８−３は、ＩＰアドレス帯域候補ＤＢ６０ａを説明する説明図である。図８−１〜図８−３に示すように、ＩＰアドレス帯域候補ＤＢ６０ａは、「ＩＤ」、「ＩＰアドレス帯域」、「帯域内ＩＰアドレス」、「時間情報」、「ｗｈｏｉｓ」などの項目を有する。「ＩＤ」は、サイバー攻撃のキャンペーンを識別するキャンペーンＩＤなどを格納する。なお、ＩＤの記載については、例えば「キャンペーン１−１」である場合、「キャンペーン１」における枝番が「１」のサイバー攻撃を示すものとする。
【００５２】
「ＩＰアドレス帯域」は、例えば「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等のＣＩＤＲブロックによるアドレスのグループを格納する。「帯域内ＩＰアドレス」は、「ＩＰアドレス帯域」に含まれる、登録済みのＩＰアドレスを格納する。「時間情報」は、ＩＰアドレスとともに抽出したタイムスタンプなどを格納する。「ｗｈｏｉｓ」は、「ＩＰアドレス帯域」についてｗｈｏｉｓサービスなどを利用して取得した情報（例えば登録者）を格納する。
【００５３】
図８−１の上段に示すＩＰアドレス帯域候補ＤＢ６０ａは、ＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」を新規登録した結果である。この新規登録では、「ＩＤ」にＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」にかかるキャンペーンを示す「キャンペーン１−１」が登録される。また、「ＩＰアドレス帯域」にはＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」を包括する「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」が登録される。また、「帯域内ＩＰアドレス」には、選択したＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」が登録される。
【００５４】
また、「時間情報」には、選択したＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」とともに抽出した「２０１５年」などのタイムスタンプが登録される。なお、「時間情報」は、年単位としているが、月単位などで振り分けてもよい。
【００５５】
また、「ｗｈｏｉｓ」には、「ＩＰアドレス帯域」についてｗｈｏｉｓサービスなどを利用して取得した「登録者Ａ」などのＣＩＤＲブロックにかかる登録者情報が登録される。なお、「ｗｈｏｉｓ」は、登録者情報に限定するものではなく、登録者の国、登録機関名などを含めても構わない。
【００５６】
次いで、ＩＰアドレス帯域検出部３０は、前処理済みサイバー脅威インテリジェンスＤＢ１０ａにおいて未選択のＩＰアドレスが存在しなくなるまで上記の処理（Ｓ１１〜Ｓ１４）を繰り返す。例えば、図６を例における「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」の次は、「ＢＢＢ．ＢＢＢ．ＢＢＢ．４」を選択して処理を行う。
【００５７】
図８−１の上段に示すように、ＩＰアドレス帯域候補ＤＢ６０ａには、「ＢＢＢ．ＢＢＢ．ＢＢＢ．４」を含むＩＰアドレス帯域が存在しない。よって、ＩＰアドレス帯域検出部３０は、図８−１の中段に示すように、「ＢＢＢ．ＢＢＢ．ＢＢＢ．４」にかかる情報をＩＰアドレス帯域候補ＤＢ６０ａに新規登録する。
【００５８】
図６の例における「ＢＢＢ．ＢＢＢ．ＢＢＢ．４」に次いで、ＩＰアドレス帯域検出部３０は、「ＣＣＣ．ＣＣＣ．ＣＣＣ．２３」を選択して処理を行う。図８−１の中段に示すように、ＩＰアドレス帯域候補ＤＢ６０ａには、「ＣＣＣ．ＣＣＣ．ＣＣＣ．２３」を含むＩＰアドレス帯域が存在しない。よって、ＩＰアドレス帯域検出部３０は、図８−１の下段に示すように、「ＣＣＣ．ＣＣＣ．ＣＣＣ．２３」にかかる情報をＩＰアドレス帯域候補ＤＢ６０ａに新規登録する。
【００５９】
図６の例における「ＣＣＣ．ＣＣＣ．ＣＣＣ．２３」に次いで、ＩＰアドレス帯域検出部３０は、「ＣＣＣ．ＣＣＣ．ＣＣＣ．５３」を選択して処理を行う。図８−１の下段に示すように、ＩＰアドレス帯域候補ＤＢ６０ａには、「ＣＣＣ．ＣＣＣ．ＣＣＣ．２５」を含むＩＰアドレス帯域「ＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４」が存在する。よって、ＩＰアドレス帯域検出部３０は、図８−２の上段に示すように、「ＣＣＣ．ＣＣＣ．ＣＣＣ．５３」にかかる情報をＩＰアドレス帯域候補ＤＢ６０ａに追加登録する。
【００６０】
図６の例における「ＣＣＣ．ＣＣＣ．ＣＣＣ．５３」に次いで、ＩＰアドレス帯域検出部３０は、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２１７」を選択して処理を行う。図８−２の上段に示すように、ＩＰアドレス帯域候補ＤＢ６０ａには、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２１７」を含むＩＰアドレス帯域「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」が存在する。よって、ＩＰアドレス帯域検出部３０は、図８−２の下段に示すように、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２１７」にかかる情報をＩＰアドレス帯域候補ＤＢ６０ａに追加登録する。
【００６１】
これらの処理の後に、ＩＰアドレス帯域検出部３０は、次のサイバー脅威インテリジェンス１１を選択し、同様の処理を繰り返す。図８−３は、全てのサイバー脅威インテリジェンス１１についてＩＰアドレス帯域検出処理を行った後のＩＰアドレス帯域候補ＤＢ６０ａを例示している。
【００６２】
図１、２に戻り、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域候補ＤＢ６０ａを入力とし、統合処理を行うことで関連するＩＰアドレス帯域を統合してＩＰアドレス帯域ＤＢ６０を出力する。また、ＩＰアドレス帯域統合部４０は、統合したＩＰアドレス帯域に含まれるアドレスからのサイバー攻撃の検知状況に応じて、ＩＰアドレス帯域を監視対象とすることの信頼性に関する評価値（信頼度）を算出する。すなわち、ＩＰアドレス帯域統合部４０は、算出部の一例である。ＩＰアドレス帯域統合部４０は、算出した評価値をＩＰアドレス帯域に関連付けてＩＰアドレス帯域ＤＢ６０に格納する。
【００６３】
ここで、統合処理の詳細を説明する。図９は、統合処理の一例を示すフローチャートである。
【００６４】
図９に示すように、統合処理が開始されると、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域候補ＤＢ６０ａの中から未選択のＩＰアドレス帯域を選択する（Ｓ２０）。
【００６５】
次いで、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域候補ＤＢ６０ａにおける、選択したＩＰアドレス帯域以外の未選択のＩＰアドレス帯域の中に同じＩＰアドレス帯域が存在するか否かを判定する（Ｓ２１）。
【００６６】
同じＩＰアドレス帯域が存在する場合（Ｓ２１：ＹＥＳ）、ＩＰアドレス帯域統合部４０は、そのＩＰアドレス帯域に属するＩＰアドレスを時間情報ごとに統合し、ＩＰアドレス帯域候補ＤＢ６０ａにおけるＩＰアドレス帯域候補は選択済みとする（Ｓ２２）。
【００６７】
同じＩＰアドレス帯域が存在しない場合（Ｓ２１：ＮＯ）、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域候補ＤＢ６０ａにおいて選択したＩＰアドレス帯域の候補は選択済みとする（Ｓ２３）。
【００６８】
次いで、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域候補ＤＢ６０ａの中で未選択のＩＰアドレス帯域が存在するか否かを判定し（Ｓ２４）、存在する場合（Ｓ２４：ＹＥＳ）はＳ２０へ処理を戻す。これにより、ＩＰアドレス帯域統合部４０は、関連するＩＰアドレス帯域を統合していく。
【００６９】
例えば、図８−３の例では、ＩＰアドレス帯域統合部４０は「ＩＤ」が「キャンペーン１−１」である「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」を最初に選択する。次いで、ＩＰアドレス帯域統合部４０は、選択した「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」以外の未選択のＩＰアドレス帯域の中に同じＩＰアドレス帯域が存在するか否かを調べる。ここでは、「ＩＤ」が「キャンペーン１−２」と「キャンペーン１−３」に「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」が存在する。そこで、ＩＰアドレス帯域統合部４０は、「ＩＤ」が「キャンペーン１−１」、「キャンペーン１−２」、「キャンペーン１−３」の「帯域内ＩＰアドレス」を「時間情報」ごとに統合し、選択済みとする。
【００７０】
「キャンペーン１−１」の「帯域内ＩＰアドレス」である「ＡＡＡ．ＡＡＡ．ＡＡＡ．２１７」および「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」と、「キャンペーン１−２」の「帯域内ＩＰアドレス」である「ＡＡＡ．ＡＡＡ．ＡＡＡ．１１」とは、「時間情報」が「２０１５年」として統合する。また、「キャンペーン１−３」の「帯域内ＩＰアドレス」である「ＡＡＡ．ＡＡＡ．ＡＡＡ．１１」、「ＡＡＡ．ＡＡＡ．ＡＡＡ．８８」および「ＡＡＡ．ＡＡＡ．ＡＡＡ．１０２」は、「時間情報」が「２０１６年」として統合する。
【００７１】
図１０−１、図１０−２は、統合例を説明する説明図である。「キャンペーン１−１」、「キャンペーン１−２」、「キャンペーン１−３」の「帯域内ＩＰアドレス」を「時間情報」ごとに統合した結果は、図１０−１のとおりである。
【００７２】
ＩＰアドレス帯域統合部４０は、次のＩＰアドレス帯域として、「ＢＢＢ．ＢＢＢ．ＢＢＢ．０／２７」を選択する。「ＢＢＢ．ＢＢＢ．ＢＢＢ．０／２７」には同じＩＰアドレス帯域が存在しないため、そのまま選択済みとする。したがって、図１０−１のＩＰアドレス帯域候補ＤＢ６０ａからの変更はない。
【００７３】
ＩＰアドレス帯域統合部４０は、次のＩＰアドレス帯域として、「ＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４」を選択する。「ＩＤ」の「キャンペーン１−１」と「キャンペーン１−３」は異なる「時間情報」であるため、まとめることなく統合する。統合した結果は、図１０−２のようになる。ＩＰアドレス帯域統合部４０は、次のＩＰアドレス帯域として、「ＤＤＤ．ＤＤＤ．ＤＤＤ．０／２２」を選択するが、同じＩＰアドレス帯域が存在しないため、そのまま選択済みとする。ＩＰアドレス帯域統合部４０は、この処理をＩＰアドレス帯域候補ＤＢ６０ａのすべてのＩＰアドレス帯域に対して実施し、最終的に「ＩＤ」の列にキャンペーン名を残し、ＩＰアドレス帯域として出力する。
【００７４】
図９に戻り、ＩＰアドレス帯域候補ＤＢ６０ａの中で未選択のＩＰアドレス帯域が存在しない場合（Ｓ２４：ＮＯ）、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域ごとに、ＩＰアドレス帯域に含まれるＩＰアドレスからのサイバー攻撃の検知状況に応じて信頼度を算出する（Ｓ２５）。
【００７５】
具体的には、ＩＰアドレス帯域統合部４０は、各ＩＰアドレス帯域の「信頼度」は以下のように算出する。ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域内のＩＰアドレスが「時間情報」に変化を伴って異なるＩＰアドレスになっている場合、監視対象とすることの信頼性が最も高い「高」とする。また、ＩＰアドレス帯域統合部４０は、同じ「時間情報」内で複数の異なるＩＰアドレスが属している場合、監視対象とすることの信頼性が中程度である「中」とする。また、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域に１つのＩＰアドレスしか属していない場合、監視対象とすることの信頼性が最も低い「低」と設定する。このように、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域に含まれるＩＰアドレスの中で、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、ない場合に比べてより高い評価値を算出する。なお、上記の算出方法は、一例であり、この算出方法に限定したものではなく、別の方法で信頼度を算出しても構わない。
【００７６】
次いで、ＩＰアドレス帯域統合部４０は、算出した信頼度をＩＰアドレス帯域に関連付けてＩＰアドレス帯域ＤＢ６０に格納する（Ｓ２６）。図１１は、ＩＰアドレス帯域ＤＢ６０を説明する説明図である。
【００７７】
図１１に示すように、ＩＰアドレス帯域ＤＢ６０には、各キャンペーンにおけるＩＰアドレス帯域ごとに、算出された信頼度（高、中、低など）が関連付けて格納される。
【００７８】
図１に戻り、インタフェース部７０は、キャンペーン関連情報ＤＢ５０およびＩＰアドレス帯域ＤＢ６０に格納された情報に基づいて、入力情報７１に対する出力情報７２を出力する。具体的には、インタフェース部７０は、入力情報７１における「問い合わせＩＰアドレス」をもとに、ＩＰアドレス帯域ＤＢ６０を参照する。ここで、「問い合わせＩＰアドレス」がＩＰアドレス帯域ＤＢ６０における「帯域内ＩＰアドレス」と一致する場合、「問い合わせＩＰアドレス」に該当するサイバー攻撃のキャンペーンがあることが分かる。よって、インタフェース部７０は、「問い合わせＩＰアドレス」と「帯域内ＩＰアドレス」とが一致する場合、一致するキャンペーン名を該当するサイバー攻撃のキャンペーンを示す確定情報とする出力情報７２を出力する。
【００７９】
また、「問い合わせＩＰアドレス」がＩＰアドレス帯域ＤＢ６０における「帯域内ＩＰアドレス」と一致しないが、「問い合わせＩＰアドレス」が含まれるＩＰアドレス帯域が存在する場合は、そのＩＰアドレス帯域でのキャンペーン活動により、関連の疑わしいキャンペーンがあることが分かる。よって、インタフェース部７０は、「問い合わせＩＰアドレス」が含まれるＩＰアドレス帯域がある場合、この「ＩＰアドレス帯域」にかかるキャンペーン名を関連が疑わしいキャンペーンとし、関連付けられた信頼度（例えば、高、中、低）を関連性を示す評価値とする出力情報７２を出力する。
【００８０】
なお、インタフェース部７０は、「問い合わせＩＰアドレス」に関連するキャンペーンが存在しない場合は、存在なしとする出力情報７２を出力する。また、インタフェース部７０は、出力したキャンペーン名に対応する手口、対処、利用する脆弱性などのキャンペーン関連情報をキャンペーン関連情報ＤＢ５０より取得し、出力情報７２に含めて出力する。
【００８１】
図１２は、入力情報７１に対する出力情報７２の具体例を説明する説明図である。なお、ＩＰアドレス帯域ＤＢ６０の格納内容については、図１１に例示したとおりとする。
【００８２】
図１２に示すように、ケースＣ１では、「ＡＡＡ．ＡＡＡ．ＡＡＡ．１１」を問い合わせＩＰアドレスとする入力情報７１が入力される。このケースＣ１では、ＩＰアドレス帯域ＤＢ６０において（図１１参照）、「帯域内ＩＰアドレス」に一致するＩＰアドレスがある、「キャンペーン１」が該当する。よって、インタフェース部７０は、「キャンペーン１」を確定情報とし、キャンペーン関連情報ＤＢ５０より取得した「キャンペーン１」の関連情報を含めた出力情報７２を出力する。
【００８３】
ケースＣ２では、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２００」を問い合わせＩＰアドレスとする入力情報７１が入力される。このケースＣ２では、ＩＰアドレス帯域ＤＢ６０において（図１１参照）、「帯域内ＩＰアドレス」と一致しないが、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２００」が含まれる「ＩＰアドレス帯域」の「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」が存在する。よって、インタフェース部７０は、「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」にかかる「キャンペーン１」と、その信頼度「高」と、キャンペーン関連情報ＤＢ５０より取得した「キャンペーン１」の関連情報とを含めた出力情報７２を出力する。
【００８４】
ケースＣ３では、「ＦＦＦ．ＦＦＦ．ＦＦＦ．６０」を問い合わせＩＰアドレスとする入力情報７１が入力される。このケースＣ３では、ＩＰアドレス帯域ＤＢ６０において（図１１参照）、「帯域内ＩＰアドレス」と一致しないが、「ＦＦＦ．ＦＦＦ．ＦＦＦ．６０」が含まれる「ＩＰアドレス帯域」の「ＦＦＦ．ＦＦＦ．ＦＦＦ．０／１９」が存在する。よって、インタフェース部７０は、「ＦＦＦ．ＦＦＦ．ＦＦＦ．０／１９」にかかる「キャンペーン１」と、その信頼度「低」と、キャンペーン関連情報ＤＢ５０より取得した「キャンペーン１」の関連情報とを含めた出力情報７２を出力する。
【００８５】
以上のように、評価装置１は、前処理部２０と、ＩＰアドレス帯域検出部３０と、ＩＰアドレス帯域統合部４０と、インタフェース部７０とを有する。前処理部２０は、サイバー脅威インテリジェンスＤＢ１０より例えば対象キャンペーン１２にかかる複数のサイバー脅威インテリジェンス１１を収集する。ＩＰアドレス帯域検出部３０のＩＰアドレス特定部３１は、収集した複数のサイバー脅威インテリジェンス１１を分析して、複数のサイバー脅威インテリジェンス１１に含まれるサイバー攻撃元のアドレスを特定する。ＩＰアドレス帯域検出部３０のＩＰアドレス帯域決定部３２は、特定したアドレスに基づいてサイバー攻撃の監視対象とするアドレス群（例えば「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等のＣＩＤＲ記法によるアドレスのグループ（ＣＩＤＲブロック））を決定する。ＩＰアドレス帯域統合部４０は、決定したアドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じてアドレス群を監視対象とすることの信頼性に関する評価値（信頼度）を算出する。ＩＰアドレス帯域統合部４０は、このアドレス群について算出した評価値をＩＰアドレス帯域ＤＢ６０に格納する。インタフェース部７０は、入力情報７１に対し、ＩＰアドレス帯域ＤＢ６０に格納した評価値に応じた出力を行う。
【００８６】
このように、評価装置１は、サイバー攻撃の監視対象とするアドレス群について、アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じてアドレス群を監視対象とすることの信頼性に関する評価値を出力するので、サイバー攻撃とアドレス群との関連性を評価できる。
【００８７】
また、前処理部２０が対象キャンペーン１２などの所定のサイバー攻撃の活動（キャンペーン）にかかるサイバー脅威インテリジェンス１１をサイバー脅威インテリジェンスＤＢ１０より収集することで、評価装置１は、所定のサイバー攻撃の活動にかかるサイバー攻撃と、アドレス群との関連性を評価できる。
【００８８】
また、ＩＰアドレス帯域統合部４０は、アドレス群の評価値について、当該アドレス群に含まれるアドレスの中で、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、サイバー攻撃の検知がない場合に比べてより高い評価値を算出する。
【００８９】
サイバー攻撃については、サイバー攻撃に用いるアドレスを、同じアドレス群内において時系列で少し変化させる場合がある。例えば、サイバー攻撃の攻撃者は、攻撃元が特定されないようにするため、サイバー攻撃に用いるアドレスを時系列で変化させることがある。このように、サイバー攻撃に用いるアドレスを変化させる場合、攻撃者は、「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等の同じアドレス群内の別アドレスを用いる可能性が高い。したがって、アドレス群の評価値について、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合にはより高い評価値とすることで、サイバー攻撃に用いられる可能性の高い、疑わしいアドレス群として評価することができる。
【００９０】
また、インタフェース部７０は、入力情報７１における問い合わせ対象のアドレス（例えばＩＰアドレス）を包括するアドレス群（例えばＣＩＤＲブロック）をもとに、このアドレス群について算出した評価値を出力する。例えば、ユーザは、あるＩＰアドレスが自組織に対する怪しい通信先として観察されたときに、観察されたＩＰアドレスを問い合わせ対象アドレスとする。これにより、ユーザは、怪しい通信先として観察されたＩＰアドレスを包括するアドレス群と、サイバー攻撃との関連性を評価できる。例えば、ユーザは、実際にはサイバー脅威インテリジェンス１１として認識されていないＩＰアドレスであったとしても、ＩＰアドレスを包括するアドレス群と、サイバー攻撃との関連性の評価によりサイバー攻撃との関連を疑い、サイバー攻撃による被害を予防するための対策を実施できる。
【００９１】
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００９２】
また、評価装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、評価装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
【００９３】
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１３は、実施形態にかかる評価装置１のハードウエア構成の一例を示すブロック図である。
【００９４】
図１３に示すように、評価装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、評価装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、評価装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、評価装置１内の各部（１０１〜１０９）は、バス１１０に接続される。
【００９５】
ハードディスク装置１０９には、上記の実施形態で説明した前処理部２０、ＩＰアドレス帯域検出部３０、ＩＰアドレス帯域統合部４０およびインタフェース部７０等における各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local  Area  Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
【００９６】
ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、前処理部２０、ＩＰアドレス帯域検出部３０、ＩＰアドレス帯域統合部４０およびインタフェース部７０等にかかる各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、評価装置１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。評価装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal  Serial  Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、評価装置１がこれらからプログラム１１１を読み出して実行するようにしてもよい。
【００９７】
以上の実施形態に関し、さらに以下の付記を開示する。
【００９８】
（付記１）複数のサイバー攻撃情報を収集し、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定し、
特定した前記アドレスに基づいて前記サイバー攻撃の監視対象とするアドレス群を決定し、
決定した前記アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出し、
算出した前記評価値に応じた出力を行う、
処理をコンピュータに実行させることを特徴とするサイバー攻撃に関する評価プログラム。
【００９９】
（付記２）前記収集する処理は、所定のサイバー攻撃の活動にかかるサイバー攻撃情報を収集する、
ことを特徴とする付記１に記載の評価プログラム。
【０１００】
（付記３）前記算出する処理は、前記アドレス群に含まれるアドレスについて、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、サイバー攻撃の検知がない場合に比べてより高い評価値を算出する、
ことを特徴とする付記１または２に記載の評価プログラム。
【０１０１】
（付記４）前記出力を行う処理は、問い合わせ対象のアドレスを包括するアドレス群をもとに、当該アドレス群について算出した前記評価値を出力する、
ことを特徴とする付記１乃至３のいずれか一に記載の評価プログラム。
【０１０２】
（付記５）複数のサイバー攻撃情報を収集し、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定し、
特定した前記アドレスに基づいて前記サイバー攻撃の監視対象とするアドレス群を決定し、
決定した前記アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出し、
算出した前記評価値に応じた出力を行う、
処理をコンピュータが実行することを特徴とするサイバー攻撃に関する評価方法。
【０１０３】
（付記６）前記収集する処理は、所定のサイバー攻撃の活動にかかるサイバー攻撃情報を収集する、
ことを特徴とする付記５に記載の評価方法。
【０１０４】
（付記７）前記算出する処理は、前記アドレス群に含まれるアドレスについて、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、サイバー攻撃の検知がない場合に比べてより高い評価値を算出する、
ことを特徴とする付記５または６に記載の評価方法。
【０１０５】
（付記８）前記出力を行う処理は、問い合わせ対象のアドレスを包括するアドレス群をもとに、当該アドレス群について算出した前記評価値を出力する、
ことを特徴とする付記５乃至７のいずれか一に記載の評価方法。
【０１０６】
（付記９）複数のサイバー攻撃情報を収集する収集部と、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定する特定部と、
特定した前記アドレスに基づいて前記サイバー攻撃の監視対象とするアドレス群を決定する決定部と、
決定した前記アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出する算出部と、
算出した前記評価値に応じた出力を行う出力部と、
を有することを特徴とするサイバー攻撃に関する評価装置。
【０１０７】
（付記１０）前記収集部は、所定のサイバー攻撃の活動にかかるサイバー攻撃情報を収集する、
ことを特徴とする付記９に記載の評価装置。
【０１０８】
（付記１１）前記算出部は、前記アドレス群に含まれるアドレスについて、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、サイバー攻撃の検知がない場合に比べてより高い評価値を算出する、
ことを特徴とする付記９または１０に記載の評価装置。
【０１０９】
（付記１２）前記出力部は、問い合わせ対象のアドレスを包括するアドレス群をもとに、当該アドレス群について算出した前記評価値を出力する、
ことを特徴とする付記９乃至１１のいずれか一に記載の評価装置。
【符号の説明】
【０１１０】
１…評価装置
１０…サイバー脅威インテリジェンスＤＢ
１０ａ…前処理済みサイバー脅威インテリジェンスＤＢ
１１…サイバー脅威インテリジェンス
１１ａ〜１１ｆ…領域
１２…対象キャンペーン
２０…前処理部
３０…ＩＰアドレス帯域検出部
３１…ＩＰアドレス特定部
３２…ＩＰアドレス帯域決定部
４０…ＩＰアドレス帯域統合部
５０…キャンペーン関連情報ＤＢ
６０…ＩＰアドレス帯域ＤＢ
６０ａ…ＩＰアドレス帯域候補ＤＢ
７０…インタフェース部
７１…入力情報
７２…出力情報
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ
Ｃ１〜Ｃ３…ケース
【図１】
2019159431.tif 000003
【図２】
2019159431.tif 000004
【図３】
2019159431.tif 000005
【図４】
2019159431.tif 000006
【図５】
2019159431.tif 000007
【図６】
2019159431.tif 000008
【図７】
2019159431.tif 000009
【図８−１】
2019159431.tif 000010
【図８−２】
2019159431.tif 000011
【図８−３】
2019159431.tif 000012
【図９】
2019159431.tif 000013
【図１０−１】
2019159431.tif 000014
【図１０−２】
2019159431.tif 000015
【図１１】
2019159431.tif 000016
【図１２】
2019159431.tif 000017
【図１３】
2019159431.tif 000018