(57)【要約】      （修正有）【課題】攻撃者の動機、目的、特徴や手口等を整理した攻撃情報であるサイバースレットインテリジェンス（ＣＴＩ）の情報を利用する組織に応じた攻撃情報の重要度を判別する。【解決手段】サイバー脅威評価装置１は、サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるキャンペーン情報３３を取得する第１の取得部１１を有する。サイバー脅威評価装置１は、取得されたキャンペーン情報３３と、サイバー攻撃を防衛する側の組織の組織情報２１との共通性を抽出する共通キーワード抽出部１３を有する。サイバー脅威評価装置１は、抽出された共通性に基づいて、サイバー攻撃の事象についての組織への影響度を算出する脅威度算出部１４を有する。【選択図】図１
2019125267.tif 000002
【特許請求の範囲】
【請求項１】
サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるサイバー脅威情報を取得する取得部と、
前記取得部によって取得されたサイバー脅威情報と、サイバー攻撃を防衛する側の組織の組織情報との共通性を抽出する抽出部と、
前記抽出部によって抽出された共通性に基づいて、前記サイバー攻撃の事象についての前記組織への影響度を算出する算出部と、
を有することを特徴とするサイバー脅威評価装置。
【請求項２】
前記組織について、前記サイバー攻撃の事象ごとに算出された影響度を用いて前記サイバー攻撃の重要度を分析する分析部
をさらに有することを特徴とする請求項１に記載のサイバー脅威評価装置。
【請求項３】
前記取得部は、前記サイバー攻撃の事象のサイバー脅威に関する複数の項目それぞれに対する複数のキーワードを含む前記サイバー脅威情報を取得し、
前記抽出部は、前記複数の項目それぞれに対する前記組織の固有のキーワードを含む前記組織情報を取得し、前記複数の項目ごとに、前記サイバー脅威情報と、前記組織情報との共通するキーワードを抽出する
ことを特徴とする請求項１に記載のサイバー脅威評価装置。
【請求項４】
前記算出部は、前記複数の項目ごとの、項目間の重みと、共通するキーワードの数とを用いて、前記サイバー攻撃の事象についての前記組織への影響度を算出する
ことを特徴とする請求項３に記載のサイバー脅威評価装置。
【請求項５】
前記重みは、組織ごとに、前記複数の項目における各項目のキーワードの数および前記組織の過去のサイバー攻撃に関する分布のいずれか一方または双方を含む情報に基づいて規定される
ことを特徴とする請求項４に記載のサイバー脅威評価装置。
【請求項６】
サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるサイバー脅威情報を取得し、
該取得したサイバー脅威情報と、サイバー攻撃を防衛する側の組織の組織情報との共通性を抽出し、
該抽出した共通性に基づいて、前記サイバー攻撃の事象についての前記組織への影響度を算出する
処理をコンピュータに実行させることを特徴とするサイバー脅威評価プログラム。
【請求項７】
サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるサイバー脅威情報を取得し、
該取得したサイバー脅威情報と、サイバー攻撃を防衛する側の組織の組織情報との共通性を抽出し、
該抽出した共通性に基づいて、前記サイバー攻撃の事象についての前記組織への影響度を算出する
処理をコンピュータが実行することを特徴とするサイバー脅威評価方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サイバー脅威評価装置等に関する。
【背景技術】
【０００２】
近年のサイバー攻撃は、巧妙且つ高度化している。かかるサイバー攻撃に対して備えるためには、攻撃者の動機、目的、特徴や手口等をより深く理解する必要がある。
【０００３】
サイバー攻撃の分析には、例えば、１つの攻撃パターンを１つのシグネチャとしたシグネチャ分析が知られている。しかしながら、かかるシグネチャ分析に基づく脅威情報のデータ蓄積では、攻撃者に関する情報は得られない。
【０００４】
このため、近年では、セキュリティベンダーが、サイバー攻撃の巧妙且つ高度化に対処するため、サイバースレットインテリジェンス（ＣＴＩ：Cyber  Threat  Intelligence）の提供や情報共有を展開し始めている。ＣＴＩとは、攻撃者の動機、目的、特徴や手口等を整理した攻撃情報のことをいう。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１５−１０３０７８号公報
【特許文献２】国際公開第２０１５／１１４７９１号
【特許文献３】特開２０１５−１９１３９０号公報
【特許文献４】特開２００５−２９３２６７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、ＣＴＩの処理や分析を各種セキュリティベンダーが進めているが、現状では、ＣＴＩの情報が共有化されたに過ぎず、個々のサイバー攻撃に対して比較する指標がない。すなわち、ＣＴＩの情報を利用する組織側が個々のインテリジェンス（攻撃情報）を比較する材料が提供されていない。したがって、ＣＴＩの情報を利用する組織側は、基本的には、提供される個々のサイバー攻撃のインテリジェンス（攻撃情報）を同じレベルでチェックするしかない。
【０００７】
１つの側面では、組織に応じたインテリジェンス（攻撃情報）の重要度を判別することを目的とする。
【課題を解決するための手段】
【０００８】
１つの案では、サイバー脅威評価装置は、サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるサイバー脅威情報を取得する取得部と、前記取得部によって取得されたサイバー脅威情報と、サイバー攻撃を防衛する側の組織の組織情報との共通性を抽出する抽出部と、前記抽出部によって抽出された共通性に基づいて、前記サイバー攻撃の事象についての前記組織への影響度を算出する算出部と、を有する。
【発明の効果】
【０００９】
１つの態様によれば、組織に応じたインテリジェンス（攻撃情報）の重要度を判別できる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施例に係るサイバー脅威評価装置の構成を示す機能ブロック図である。
【図２】図２は、ＣＴＩ情報を説明する図である。
【図３】図３は、実施例に係るキャンペーン情報の一例を示す図である。
【図４】図４は、実施例に係る組織情報の一例を示す図である。
【図５】図５は、実施例に係る共通キーワード抽出の一例を示す図である。
【図６】図６は、実施例に係る共通キーワードの一例を示す図である。
【図７】図７は、実施例に係る脅威度算出の一例を示す図である。
【図８】図８は、実施例に係るサイバー脅威評価処理のフローチャートの一例を示す図である。
【図９】図９は、実施例に係る評価結果の一例を示す図である。
【図１０】図１０は、実施例に係る評価結果の別の例を示す図である。
【図１１】図１１は、サイバー脅威評価プログラムを実行するコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１１】
以下に、本願の開示するサイバー脅威評価装置、サイバー脅威評価プログラムおよびサイバー脅威評価方法の実施例を図面に基づいて詳細に説明する。なお、実施例によりこの発明が限定されるものではない。
【実施例】
【００１２】
［サイバー脅威評価装置の構成］
図１は、実施例に係るサイバー脅威評価装置の構成を示すブロック図である。図１に示すサイバー脅威評価装置１は、サイバー攻撃の事象ごとに、サイバースレットインテリジェンス（ＣＴＩ）として提供されるサイバー脅威情報を取得する。そして、サイバー脅威評価装置１は、取得されたサイバー脅威情報と、サイバー攻撃を防衛する側の組織の組織情報２１との共通性を抽出し、この共通性に基づいて、サイバー攻撃の事象について組織に与える影響度を算出する。ここでいうサイバー脅威情報とは、サイバー攻撃の攻撃者の動機、目的、特徴や手口等を整理した攻撃情報を示すサイバースレットインテリジェンス（ＣＴＩ）のことをいう。実施例では、サイバー脅威情報は、複数のサイバー攻撃の事象ごとに生成されるキャンペーン情報を複数含む。また、ここでいう組織情報２１とは、組織固有の拠点情報、活動内容、業種情報等を整理した情報のことをいう。
【００１３】
サイバー脅威評価装置１は、ネットワークを介して、ＣＴＩ提供側装置２から提供されるキャンペーン情報を取得する。
【００１４】
ＣＴＩ提供側装置２は、ＣＴＩ  ＤＢ３１、インテリジェンス解析部３２およびキャンペーン情報３３を有する。
【００１５】
ＣＴＩ  ＤＢ３１は、サイバースレットインテリジェンス（ＣＴＩ）を記憶する。ＣＴＩは、サイバー攻撃の事象ごとに、サイバー攻撃の攻撃者の動機、目的、特徴や手口等を整理した攻撃情報を示す。
【００１６】
ここで、ＣＴＩ情報について、図２を参照して説明する。図２は、ＣＴＩ情報を説明する図である。図２に示すように、サイバー攻撃がされた場合に、アナリストがサイバー攻撃の攻撃情報を解析し、サイバー脅威情報（ＣＴＩ情報）に加える。ＣＴＩ情報は、ＣＴＩ  ＤＢ３１に対応する。ＣＴＩ情報には、複数のキャンペーン情報３３１，３３２，・・・，３３ｎが設定される。各キャンペーン情報３３１，３３２，・・・，３３ｎは、サイバー攻撃の各事象に対するインテリジェンスである。
【００１７】
各キャンペーン情報３３には、それぞれインジケータ部分およびインテリジェンス部分が存在する。インジケータ部分には、例えば、ＩＰアドレス、ドメイン、ファイル名、ハッシュ値が含まれる。インテリジェンス部分には、例えば、攻撃地域、攻撃手口、狙い、動機、業界、アクターが含まれる。
【００１８】
図１に戻って、インテリジェンス解析部３２は、ＣＴＩ  ＤＢ３１に記憶されたＣＴＩを解析して、サイバー攻撃の事象ごとにキャンペーン情報３３を生成し、図示しない記憶部に格納する。
【００１９】
キャンペーン情報３３は、サイバー脅威に関する複数の項目それぞれに対する複数のキーワードを含む情報である。キャンペーン情報３３は、サイバー攻撃の事象ごとに生成される。
【００２０】
ここで、キャンペーン情報３３について、図３を参照して説明する。図３は、実施例に係るキャンペーン情報の一例を示す図である。図３に示すように、キャンペーン情報３３は、Ｎｏ３３ａ、項目３３ｂ、キーワード３３ｃおよびキーワード個数３３ｄを対応付けた情報である。Ｎｏ３３ａは、項目を一意に表す識別子である。
【００２１】
項目３３ｂは、ＣＴＩ情報における関連項目である。項目３３ｂには、例えば、マルウェア情報（Malware  Family）、攻撃者名（Actor）、攻撃対象情報（Targeted  Information）、攻撃先（Target  Geography）、攻撃元（Source  Geography）、攻撃意図（Motivation）が含まれる。加えて、影響される産業（Affected  Industry）、戦術、技術と手順（Tactics，Techniques  And  Procedures（TTPs））等が含まれる。マルウェア情報（Malware  Family）は、対象の事象について、サイバー攻撃した悪意のあるソフトウェアを示すマルウェアを識別する情報である。攻撃者名（Actor）は、対象の事象について、サイバー攻撃者の名称である。攻撃対象情報（Targeted  Information）は、対象の事象について、サイバー攻撃の攻撃者がターゲットにしている情報である。攻撃先（Target  Geography）は、対象の事象について、サイバー攻撃の攻撃先の地域である。攻撃元（Source  Geography）は、対象の事象について、サイバー攻撃の攻撃元の地域である。影響される産業（Affected  Industry）は、対象の事象について、サイバー攻撃で影響される産業を示す。戦術、技術と手順（Tactics，Techniques  And  Procedures（TTPs））は、対象の事象について、サイバー攻撃の戦術、技術と手順を示す。
【００２２】
キーワード３３ｃは、対象の事象について、サイバー攻撃側の項目３３ｂに対するキーワードである。キーワード３３ｃは、項目３３ｂに対して１つであっても良いし、複数であっても良い。キーワード個数３３ｄは、キーワードの個数を示す。
【００２３】
一例として、Ｎｏ３３ａが「１」である場合に、項目３３ｂとして「マルウェア情報」、キーワード３３ｃとして「FOCUSFJORD，WannaCry，Stampado，BlackEnergy，・・・」、キーワード個数３３ｄとして「１０」を記憶している。
【００２４】
図１に戻って、サイバー脅威評価装置１は、制御部１０および記憶部２０を有する。制御部１０は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、これらによって種々の処理を実行する。そして、制御部１０は、例えば、ＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）等の集積回路の電子回路に対応する。または、制御部１０は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）等の電子回路に対応する。さらに、制御部１０は、第１の取得部１１、第２の取得部１２、共通キーワード抽出部１３、脅威度算出部１４、脅威度設定部１５および評価部１６を有する。
【００２５】
記憶部２０は、例えばフラッシュメモリ（Flash  Memory）やＦＲＡＭ（登録商標）（Ferroelectric  Random  Access  Memory）等の不揮発性の半導体メモリ素子等の記憶装置に対応する。また、記憶部２０は、例えばＲＡＭ（Random  Access  Memory）等の揮発性の半導体メモリ素子を利用した記憶装置に対応しても良い。この場合、記憶部２０は、不揮発性の半導体メモリ素子等の記憶装置からデータを適宜ロードするようにすれば良い。記憶部２０は、組織情報２１および脅威度付きＣＴＩ  ＤＢ（DataBase）２２を含む。
【００２６】
組織情報２１は、組織固有の情報である。組織情報２１は、サイバー脅威に関する複数の項目それぞれに対する組織固有のキーワードを含む情報である。この複数の項目は、ＣＴＩ提供側装置２から提供されるＣＴＩを構成する個々の項目と同じものである。また、組織情報２１には、複数の項目それぞれに重みが対応付けられる。この重みは、組織がサイバー脅威として重要と思われる項目が高くなるように設定される。一例として、重みは、項目のキーワードの数に基づいて設定されても良い。別の例として、重みは、項目の、組織の過去のサイバー攻撃に関する分布を含む情報に基づいて設定されても良い。なお、組織情報２１の一例は、後述する。
【００２７】
ここで、組織情報２１について、図４を参照して説明する。図４は、実施例に係る組織情報の一例を示す図である。図４に示すように、組織情報２１は、Ｎｏ２１ａ、項目２１ｂ、重み２１ｃおよびキーワード２１ｄを対応付けた情報である。Ｎｏ２１ａは、項目を一意に表す番号である。
【００２８】
項目２１ｂは、ＣＴＩ情報における関連項目である。項目２１ｂには、キャンペーン情報３３における項目３３ｂと同じ項目が設定される。すなわち、項目２１ｂには、例えば、マルウェア情報（Malware  Family）、攻撃者名（Actor）、攻撃対象情報（Targeted  Information）、攻撃先（Target  Geography）、攻撃元（Source  Geography）、攻撃意図（Motivation）が含まれる。加えて、影響される産業（Affected  Industry）、戦術、技術と手順（Tactics，Techniques  And  Procedures（TTPs））等が含まれる。組織側からのマルウェア情報（Malware  Family）は、過去に攻撃を受けたマルウェアを識別する情報である。攻撃者名（Actor）は、これまでにサイバー攻撃を受けた攻撃者の名称である。攻撃対象情報（Targeted  Information）は、ターゲットにされる対象情報であり、例えば、事業方針、事業内容、技術トピックス、プレスリリース、最新情報、製品＆サービス情報、イベント情報、ＩＲ情報が含まれる。攻撃先（Target  Geography）は、これまでにサイバー攻撃がされた地域であり、例えば、海外拠点・海外グループ会社、拠点情報、国内グループ会社、販売パートナーが含まれる。攻撃元（Source  Geography）は、これまでのサイバー攻撃の攻撃元の地域である。影響される産業（Affected  Industry）は、これまでのサイバー攻撃で影響した産業を示す。戦術、技術と手順（Tactics，Techniques  And  Procedures（TTPs））は、これまでのサイバー攻撃の戦術、技術と手順を示す。
【００２９】
重み２１ｃは、組織ごとに設定される項目２１ｂ間の重みであり、組織がサイバー脅威として重要と思われる項目２１ｂが高くなるように設定される。
【００３０】
キーワード２１ｄは、過去に攻撃を受けた組織側の項目２１ｂに対するキーワードである。キーワード２１ｄは、項目２１ｂに対して１つであっても良いし、複数であっても良い。
【００３１】
一例として、Ｎｏ２１ａが「１」である場合に、項目２１ｂとして「マルウェア情報」、重み２１ｃとして「２」、キーワード２１ｄとして「xxx，yyy，WannaCry，・・・」を記憶している。
【００３２】
脅威度付きＣＴＩ  ＤＢ２２は、キャンペーン情報３３ごとに脅威度を付加した情報の集まりである。なお、キャンペーン情報３３に付加される脅威度は、後述する脅威度算出部１４によって算出される。
【００３３】
第１の取得部１１は、取得部の一例であり、サイバー攻撃の事象に対するキャンペーン情報３３をＣＴＩ提供側装置２から取得する。
【００３４】
第２の取得部１２は、サイバー攻撃を防衛する側の組織に対応する組織情報２１を記憶部２０から取得する。なお、第２の取得部１２は、組織情報２１を記憶部２０から取得すると説明したが、これに限定されず、組織情報２１を、ネットワークを介して取得しても良い。
【００３５】
共通キーワード抽出部１３は、抽出部の一例であり、第１の取得部１１によって取得されたキャンペーン情報３３と、第２の取得部１２によって取得された組織情報２１との共通するキーワードを抽出する。すなわち、共通キーワード抽出部１３は、キャンペーン情報３３と、組織情報２１との共通性を抽出する。例えば、共通キーワード抽出部１３は、サイバー攻撃の事象に対するキャンペーン情報３３に含まれる、サイバー脅威に関する複数の項目それぞれに対する複数のキーワードを抽出する。共通キーワード抽出部１３は、組織情報２１に含まれるキャンペーン情報３３と同じ複数の項目それぞれに対する複数のキーワードを抽出する。そして、共通キーワード抽出部１３は、項目ごとに、キャンペーン情報３３のキーワードと、組織情報２１のキーワードとを照合し、共通するキーワードを抽出する。なお、共通するキーワードの抽出は、全部一致のみならず、一部一致でも良いし、関連する用語としての一致でも良い。共通するキーワードの抽出は、いかなるキーワード抽出の方法を用いても構わない。
【００３６】
脅威度算出部１４は、算出部の一例であり、共通キーワード抽出部１３によって抽出された共通性に基づいて、サイバー攻撃の事象についての組織への脅威度を算出する。例えば、脅威度算出部１４は、サイバー脅威に関する複数の項目ごとの重みと、共通するキーワードの数とを用いて、サイバー攻撃の事象についての組織への脅威度を算出する。一例として、脅威度算出部１４は、複数の項目ごとに、重みと、共通するキーワードの数とを用いて、脅威度を算出し、複数の項目ごとの脅威度を合算して、サイバー攻撃の事象についての組織への脅威度を算出する。これにより、脅威度算出部１４は、組織によって設定される重みおよび組織と事象との共通性を用いることで、事象ごとの組織への脅威度を算出することができ、組織に応じたサイバー攻撃事象の重要度を判別することができる。なお、脅威度は、影響度の一例である。
【００３７】
脅威度設定部１５は、サイバー攻撃の事象に対応するキャンペーン情報３３に、脅威度を付けて、脅威度付きＣＴＩ  ＤＢ２２に設定する。
【００３８】
評価部１６は、分析部の一例であり、脅威度付きＣＴＩ  ＤＢ２２を用いて、組織に対して、複数の事象の中でサイバー脅威に関する重要な事象を評価する。例えば、評価部１６は、同じ組織に対して、脅威度が大きい順に事象を並べ替える。評価部１６は、脅威度が大きい事象程、サイバー脅威に関する重要な事象と評価する。
【００３９】
［共通キーワード抽出の一例］
次に、共通キーワード抽出の一例を、図５を参照して説明する。図５は、実施例に係る共通キーワード抽出の一例を示す図である。サイバー攻撃の１つの事象におけるキャンペーン情報を符号３３１で表わす。また、サイバー攻撃の別の事象におけるキャンペーン情報を符号３３ｍで表わす。なお、図５では、共通キーワード抽出部１３は、キャンペーン情報３３１と組織情報２１との同じ項目に対する共通するキーワードを抽出する場合を説明する。図５のそれぞれの項目ｉ１〜ｉ６は、図３で示した複数の項目のうちのいずれかの項目であるとする。
【００４０】
図５に示すように、共通キーワード抽出部１３は、サイバー攻撃の事象におけるキャンペーン情報３３１に含まれるサイバー脅威に関する複数の項目それぞれに対する複数のキーワードを抽出する。ここでは、項目ｉ１に対するキーワードとして、値ｋ１１、・・・値ｋ１１０が抽出される。項目ｉ２に対するキーワードとして、値ｋ２１、・・・値ｋ２６が抽出される。項目ｉ３に対するキーワードとして、値ｋ３１、・・・値ｋ３３が抽出される。項目ｉ４に対するキーワードとして、値ｋ４１、・・・値ｋ４４が抽出される。項目ｉ５に対するキーワードとして、値ｋ５１、・・・値ｋ５６が抽出される。項目ｉ６に対するキーワードとして、値ｋ６１、・・・値ｋ６５が抽出される。
【００４１】
このような状況の下、共通キーワード抽出部１３は、組織情報２１に含まれるキャンペーン情報３３と同じ複数の項目それぞれに対する複数のキーワードを抽出する。そして、共通キーワード抽出部１３は、項目ごとに、キャンペーン情報３３１のキーワードと、組織情報２１のキーワードとを照合し、共通するキーワードを抽出する。ここでは、項目ｉ１について、共通キーワードは、何も抽出されない。項目ｉ２について、共通キーワードとして、ｋ２２およびｋ２５が抽出される。項目ｉ３について、共通キーワードとして、ｋ３２が抽出される。項目ｉ４について、共通キーワードとして、ｋ４２が抽出される。項目ｉ５について、共通キーワードとして、ｋ５４が抽出される。項目ｉ６について、共通キーワードは、何も抽出されない。
【００４２】
［共通キーワードの一例］
次に、共通キーワードの一例を、図６を参照して説明する。図６は、実施例に係る共通キーワードの一例を示す図である。図６に示すように、項目ごとの共通キーワードＫ０が表わされている。ここでは、例えば、項目が「マルウェア情報」である場合には、共通キーワードが「WannaCry」であることが示されている。項目が「攻撃者名」である場合には、共通キーワードが「Menupass  Team」であることが示されている。項目が「攻撃先」である場合には、共通キーワードが「Japan、United  Kingdom,Singapore」であることが示されている。項目が「攻撃元」である場合には、共通キーワードが「China」であることが示されている。
【００４３】
［脅威度算出の一例］
次に、脅威度算出の一例を、図７を参照して説明する。図７は、実施例に係る脅威度算出の一例を示す図である。図７で示す表は、例えば、１つのキャンペーン情報３３である「２０１７−１０７９」の、項目に対する項目内個数、値のリストが表わされている。加えて、項目に対する、組織側の重みが表わされている。図７では、１つのキャンペーン情報３３である「２０１７−１０７９」と防衛側のある組織Ａの組織情報２１との脅威度の算出について説明する。
【００４４】
ここで、組織Ａの攻撃先（Target  Geography）が示す拠点は、例えば、「Japan，United  Kingdom，Singapore，Germany」であるとする。組織Ａの攻撃意図（Motivation）は、例えば、「Financial，banking，Financial  Services，Social  Engineering，Financial  Data」であるとする。すると、共通キーワード抽出部１３は、「２０１７−１０７９」のキャンペーン情報３３と、組織Ａの組織情報２１との項目ごとの共通キーワードを抽出する。図７では、キャンペーン情報３３と組織Ａの組織情報２１との項目ごとの共通キーワードが網掛けで表わされている。
【００４５】
脅威度算出部１４は、共通キーワードが存在する項目ごとに、組織情報２１の重み２１ｃと、共通するキーワードの数とを用いて、組織個別の脅威度を算出する。ここでは、共通キーワードが存在する項目は、攻撃対象情報（Targeted  Information）、攻撃先（Target  Geography）、攻撃意図（Motivation）、影響される産業（Affected  Industry）である。
【００４６】
そして、項目が攻撃対象情報（Targeted  Information）である場合に、キャンペーン情報３３側の重みは、項目内個数「４」と共通するキーワードの数「１」とから得られる「１／４」であり、組織情報２１側の重みは、「１」であるとする。すると、脅威度算出部１４は、この項目についての脅威度として、「１×１／４」を算出する。
【００４７】
そして、項目が攻撃先（Target  Geography）である場合に、キャンペーン情報３３側の重みは、項目内個数「９」と共通するキーワードの数「１」とから得られる「１／９」であり、組織情報２１側の重みは、「２」であるとする。すると、脅威度算出部１４は、この項目についての脅威度として、「２×１／９」を算出する。
【００４８】
そして、項目が攻撃意図（Motivation）である場合に、キャンペーン情報３３側の重みは、項目内個数「６」と共通するキーワードの数「１」とから得られる「１／６」であり、組織情報２１側の重みは、「１」であるとする。すると、脅威度算出部１４は、この項目についての脅威度として、「１×１／６」を算出する。
【００４９】
そして、項目が影響される産業（Affected  Industry）である場合に、キャンペーン情報３３側の重みは、項目内個数が「７」であり、共通するキーワードの数が「１」であるが、共通するキーワードが存在するので「１」であり、組織情報２１側の重みは、「１」であるとする。すると、脅威度算出部１４は、この項目についての脅威度として、「１×１」を算出する。
【００５０】
そして、脅威度算出部１４は、項目ごとの脅威度を加算して、組織個別の脅威度を算出する。脅威度算出結果は、「１／４」と、「２／９」と、「１／６」と、「１」とを加算して得られる「１．６３８８８・・・」と算出される。すなわち、キャンペーン情報３３「２０１７−１０７９」の組織Ａ個別の脅威度は、「１．６３８８８・・・」である。つまり、脅威度算出部１４は、防衛側の組織Ａに特化した、脅威度を提供することができる。
【００５１】
これにより、評価部１６は、項目ごとの、組織個別の重みおよび、キャンペーン側と組織側との共通するキーワードの数を用いることで、サイバー脅威情報（キャンペーン情報３３）の脅威を比較する指標として脅威度を使用することができる。このような脅威度があれば、組織側の管理者が、サイバー脅威情報（キャンペーン情報３３）ごとの脅威度を用いて、複数のサイバー脅威情報の対策についての優先度や順序付けを行うことができ、サイバー脅威に関する対策検討をスムーズに移行できる。
【００５２】
［サイバー脅威評価処理のフローチャート］
次に、実施例に係るサイバー脅威評価処理のフローチャートを、図８を参照して説明する。図８は、実施例に係るサイバー脅威評価処理のフローチャートの一例を示す図である。なお、個々のキャンペーン情報３３は、インテリジェンス解析部３２によって生成されたものとする。
【００５３】
第１の取得部１１は、ＣＴＩ提供側装置２からキャンペーン情報３３を取得する（ステップＳ１１）。そして、第２の取得部１２は、記憶部２０から組織情報２１を取得する（ステップＳ１２）。
【００５４】
そして、共通キーワード抽出部１３は、キャンペーン情報３３の項目欄３３ｂから項目を選択する（ステップＳ１３）。共通キーワード抽出部１３は、キャンペーン情報３３の、選択した項目に対応するキーワードを抽出する（ステップＳ１４）。共通キーワード抽出部１３は、組織情報２１の、選択した項目に対応するキーワードを抽出する（ステップＳ１５）。
【００５５】
そして、共通キーワード抽出部１３は、選択した項目について、キャペーン情報３３のキーワードと、組織情報２１のキーワードとを照合し、共通するキーワードを抽出する（ステップＳ１６）。そして、脅威度算出部１４は、選択した項目について、共通するキーワードの数と、項目内個数と、組織情報２１側の重みとを用いて、選択した項目の重みを算出する（ステップＳ１７）。
【００５６】
そして、脅威度算出部１４は、全ての項目を選択したか否かを判定する（ステップＳ１８）。全ての項目を選択していないと判定した場合には（ステップＳ１８；Ｎｏ）、脅威度算出部１４は、次の項目を選択すべく、ステップＳ１３に移行する。
【００５７】
一方、全ての項目を選択したと判定した場合には（ステップＳ１８；Ｙｅｓ）、脅威度算出部１４は、キャンペーン情報３３における組織への脅威度を算出する（ステップＳ１９）。例えば、脅威度算出部１４は、項目ごとに、算出した重みと、組織情報２１側の重みとを乗算して、項目ごとの脅威度を算出する。そして、脅威度算出部１４は、項目ごとの脅威度を合算して、組織への脅威度を算出する。
【００５８】
そして、脅威度設定部１５は、キャンペーン情報３３に、算出した脅威度を付けて、脅威度付きＣＴＩ  ＤＢ２２に保存する（ステップＳ２０）。そして、サイバー脅威評価処理が終了する。
【００５９】
［評価結果の一例］
図９は、実施例に係る評価結果の一例を示す図である。図９では、自組織とサイバー脅威との活動内容レベルでの関連が評価結果として表されている。ここでは、１つの組織情報２１について、キャンペーン情報３３である「２０１７−１６７９」，「２０１７−１０７９」および「２０１７−１７１３」と活動内容レベルで関連する項目に対するキーワードが表わされている。図９では、網掛けの右下がり斜線が１つのキャンペーン情報３３のＩＤを示す。網掛けの網点が１つの項目を示す。網掛けの右左下がり斜線が１つのキーワードを示す。
【００６０】
例えば、活動内容レベルの項目である「Targeted  Information（攻撃対象情報）」について、「２０１７−１６７９」および「２０１７−１０７９」は、「Financial  Data」で関連している。また、活動内容レベルの項目である「Affected  Industries（影響される産業）」について、「２０１７−１６７９」および「２０１７−１０７９」は、「Financial  Services」、「Civil  Society」で関連している。加えて、活動内容レベルの項目である「Affected  Industries（影響される産業）」について、「２０１７−１６７９」、「２０１７−１０７９」および「２０１７−１７１３」は、「Governments」で関連している。また、活動内容レベルの項目である「Motivation（攻撃意図）」について、「２０１７−１６７９」および「２０１７−１７１３」は、「Financial  or  Economic」で関連している。
【００６１】
このようにして、例えば、評価部１６が、防衛側組織とサイバー脅威との活動内容レベルでの関連を評価結果として表示することで、防衛側組織について、活動内容レベルから、対処をすべきサイバー脅威の順序付けを視覚的に行わせることができる。
【００６２】
［評価結果の別の例］
図１０は、実施例に係る評価結果の別の例を示す図である。図１０では、自組織とサイバー脅威との拠点情報での関連が評価結果として表されている。ここでは、１つの組織情報２１について、キャンペーン情報３３である「２０１７−１６７９」，「２０１７−１０７９」および「２０１７−１７１３」と拠点情報で関連する項目に対するキーワードが表わされている。図１０では、網掛けの右下がり斜線が１つのキャンペーン情報３３のＩＤを示す。網掛けの網点が１つの項目を示す。網掛けの右左下がり斜線が１つのキーワードを示す。
【００６３】
例えば、活動内容レベルの項目である「Targeted  Geography（攻撃先）」について、「２０１７−１６７９」，「２０１７−１０７９」および「２０１７−１７１３」は、「United  States」，「Germany」で関連している。加えて、活動内容レベルの項目である「Targeted  Geography（攻撃先）」について、「２０１７−１０７９」および「２０１７−１７１３」は、「United  Kingdom」で関連している。
【００６４】
このようにして、例えば、評価部１６が、防衛側組織とサイバー脅威との拠点情報での関連を評価結果として表示することで、防衛側組織について、拠点情報から、対処をすべきサイバー脅威の順序付けを視覚的に行わせることができる。
【００６５】
［実施例の効果］
上記実施例によれば、サイバー脅威評価装置１は、サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるサイバー脅威情報（キャンペーン情報３３）を取得する。サイバー脅威評価装置１は、取得されたキャンペーン情報３と、サイバー攻撃を防衛する側の組織の組織情報２１との共通性を抽出する。サイバー脅威評価装置１は、抽出された共通性に基づいて、サイバー攻撃の事象についての組織への影響度を算出する。かかる構成によれば、サイバー脅威評価装置１は、サイバー攻撃を防衛する側の組織に応じたサイバー脅威情報の重要度を判別することができる。
【００６６】
また、上記実施例によれば、サイバー脅威評価装置１は、組織について、サイバー攻撃の事象ごとに算出された影響度を用いてサイバー攻撃の重要度を分析する。かかる構成によれば、サイバー脅威評価装置１は、組織に、必要な対策状況の確認や対策検討を迅速に進めさせることができる。
【００６７】
また、上記実施例によれば、サイバー脅威評価装置１は、サイバー攻撃の事象のサイバー脅威に関する複数の項目それぞれに対する複数のキーワードを含むキャンペーン情報３３を取得する。そして、サイバー脅威評価装置１は、複数の項目それぞれに対する組織固有のキーワードを含む組織情報２１を取得し、複数の項目ごとに、キャンペーン情報３３と、組織情報２１との共通するキーワードを抽出する。かかる構成によれば、サイバー脅威評価装置１は、複数の項目ごとのキーワードを用いることで、組織情報２１とキャンペーン情報３３とのキーワードの対応をとることができる。
【００６８】
また、上記実施例によれば、サイバー脅威評価装置１は、複数の項目ごとの、項目間の重みと、共通するキーワードの数とを用いて、サイバー攻撃の事象についての組織への影響度を算出する。かかる構成によれば、サイバー脅威評価装置１は、項目間の重みと、共通するキーワードの数とを用いてサイバー攻撃の事象の組織への影響度を算出することで、組織に特化した影響度を提供できる。
【００６９】
また、上記実施例によれば、重みは、組織ごとに、複数の項目における各項目のキーワードの数および組織の過去のサイバー攻撃に関する分布のいずれか一方または双方を含む情報に基づいて規定される。これにより、サイバー脅威評価装置１は、組織ごとに規定された項目間の重みを用いることで、組織ごとに特化した影響度を提供できる。
【００７０】
［その他］
なお、実施例では、第２の取得部１２は、サイバー攻撃を防衛する側の組織に対応する組織情報２１を記憶部２０から取得すると説明した。しかしながら、組織情報２１は、組織に対応する情報に限定されず、組織が属する業界や業種に対応する情報であっても良い。すなわち、第２の取得部１２は、サイバー攻撃を防衛する側の組織が属する業界や業種に対応する組織情報２１を記憶部２０から取得しても良い。これにより、評価部１６は、業界や業種単位で、個々の防御側組織の脅威度を集計して整理することが可能となり、業界や業種での脅威度を定めることができる。この結果、個々の防衛側の組織が、個別に脅威度を算出することなく、組織が属する業界や業種等のグループでの脅威度を指標とすることができる。
【００７１】
また、実施例では、組織情報２１の重みは、項目の、組織の過去のサイバー攻撃に関する分布を含む情報に基づいて設定されても良いと説明した。ここでは、分布に基づく重みについて説明する。例えば、項目が「Target  Geography（攻撃先）」である場合に、攻撃先地域の量をこの項目の重みとして過去の統計量（分布）から算出する。すなわち、サイバー脅威評価装置１は、攻撃先地域について、攻撃先地域の過去の統計量から分布を算出し、算出した分布に応じて段階分類を行い、段階分類を攻撃先地域の量のレベル分けに活用すれば良い。一例として、分布が［０，１］であれば、攻撃先地域の量を１とする。分布が［２，３］であれば、攻撃先地域の量を２とする。分布が［４−５］であれば、攻撃先地域の量を３とする。分布が［６−１５］であれば、攻撃先地域の量を４とする。分布が［１６以上］であれば、攻撃先地域の量を５とする。なお、段階分類は、分布によって変更すれば良く、３段階であっても良いし、５段階であっても良いし、１０段階であっても良い。なお、サイバー脅威評価装置１は、組織の場合だけなく、業界や業種の場合であっても、同様の方法で重みを算出すれば良い。
【００７２】
また、サイバー脅威評価装置１は、既知のパーソナルコンピュータ、ワークステーション等の装置に、上記した共通キーワード抽出部１３、脅威度算出部１４、脅威度設定部１５および評価部１６等の各機能を搭載することによって実現することができる。
【００７３】
また、図示した装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、装置の分散・統合の具体的態様は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、第１の取得部１１と第２の取得部１２とをそれぞれ１個の部として統合しても良い。一方、評価部１６を、脅威度を用いた評価を行う第１の評価部と、脅威度を用いない評価を行う第２の評価部とに分散しても良い。ここでいう脅威度を用いない評価とは、図９、図１０で示した、自組織とサイバー脅威との特定の項目における関連の評価を行うことである。また、記憶部２０をサイバー脅威評価装置１の外部装置としてネットワーク経由で接続するようにしても良い。
【００７４】
また、上記実施例で説明した各種の処理は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーション等のコンピュータで実行することによって実現することができる。そこで、以下では、図１に示したサイバー脅威評価装置１と同様の機能を実現するサイバー脅威評価プログラムを実行するコンピュータの一例を説明する。図１１は、サイバー脅威評価プログラムを実行するコンピュータの一例を示す図である。
【００７５】
図１１に示すように、コンピュータ２００は、各種演算処理を実行するＣＰＵ（Central  Processing  Unit）２０３と、ユーザからのデータの入力を受け付ける入力装置２１５と、表示装置２０９を制御する表示制御部２０７とを有する。また、コンピュータ２００は、記憶媒体からプログラム等を読取るドライブ装置２１３と、ネットワークを介して他のコンピュータとの間でデータの授受を行う通信制御部２１７とを有する。また、コンピュータ２００は、各種情報を一時記憶するメモリ２０１と、ＨＤＤ（Hard  Disk  Drive）２０５を有する。そして、メモリ２０１、ＣＰＵ２０３、ＨＤＤ２０５、表示制御部２０７、ドライブ装置２１３、入力装置２１５、通信制御部２１７は、バス２１９で接続されている。
【００７６】
ドライブ装置２１３は、例えばリムーバブルディスク２１１用の装置である。ＨＤＤ２０５は、サイバー脅威評価プログラム２０５ａおよびサイバー脅威評価関連情報２０５ｂを記憶する。
【００７７】
ＣＰＵ２０３は、サイバー脅威評価プログラム２０５ａを読み出して、メモリ２０１に展開し、プロセスとして実行する。かかるプロセスは、サイバー脅威評価装置１の各機能部に対応する。サイバー脅威評価関連情報２０５ｂは、組織情報２１、脅威度付きＣＴＩ  ＤＢ２２に対応する。そして、例えばリムーバブルディスク２１１が、サイバー脅威評価プログラム２０５ａ等の各情報を記憶する。
【００７８】
なお、サイバー脅威評価プログラム２０５ａについては、必ずしも最初からＨＤＤ２０５に記憶させておかなくても良い。例えば、コンピュータ２００に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ（Compact  Disk  Read  Only  Memory）、ＤＶＤ（Digital  Versatile  Disk）、光磁気ディスク、ＩＣ（Integrated  Circuit）カード等の「可搬用の物理媒体」に当該プログラムを記憶させておく。そして、コンピュータ２００がこれらからサイバー脅威評価プログラム２０５ａを読み出して実行するようにしても良い。
【符号の説明】
【００７９】
１  サイバー脅威評価装置
１０  制御部
１１  第１の取得部
１２  第２の取得部
１３  共通キーワード抽出部
１４  脅威度算出部
１５  脅威度設定部
１６  評価部
２０  記憶部
２１  組織情報
２２  脅威度付きＣＴＩ  ＤＢ
【図１】
2019125267.tif 000003
【図２】
2019125267.tif 000004
【図３】
2019125267.tif 000005
【図４】
2019125267.tif 000006
【図５】
2019125267.tif 000007
【図６】
2019125267.tif 000008
【図７】
2019125267.tif 000009
【図８】
2019125267.tif 000010
【図９】
2019125267.tif 000011
【図１０】
2019125267.tif 000012
【図１１】
2019125267.tif 000013