(57)【要約】【課題】広範囲な攻撃の種類に対して、発生を予測できる攻撃予測装置、攻撃予測方法及び攻撃予測プログラムを提供すること。【解決手段】攻撃予測装置１は、攻撃被害情報を収集し、当該攻撃被害情報から被害ホストを抽出する収集部１１と、被害ホストからのＷｅｂアクセスを抽出し、アクセス先毎に、アクセス回数を集計する第１集計部１２と、被害ホストとは異なるホストからアクセス先へのＷｅｂアクセスを抽出し、アクセス先毎に、アクセス回数を集計する第２集計部１３と、アクセス先毎に、第１集計部１２による集計情報、及び第２集計部１３による集計情報の比較結果に基づいて、当該アクセス先へのアクセスが攻撃の要因となった被害起因度を算出する算出部１４と、対象ホストのＷｅｂアクセス情報からアクセス先を抽出し、当該アクセス先に対する被害起因度に基づいて、対象ホストに対して将来攻撃が発生する可能性を判定する判定部１５と、を備える。【選択図】図１
2019145995.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークで観測された攻撃被害情報を収集し、当該攻撃被害情報から被害ホストを抽出する収集部と、
前記被害ホストからのＷｅｂアクセスを抽出し、アクセス先毎に、アクセス関連情報を集計する第１集計部と、
前記被害ホストとは異なるホストから前記アクセス先へのＷｅｂアクセスを抽出し、前記アクセス先毎に、アクセス関連情報を集計する第２集計部と、
前記アクセス先毎に、前記第１集計部により集計されたアクセス関連情報の規模、並びに前記第２集計部により集計されたアクセス関連情報の規模の比較結果に基づいて、当該アクセス先へのアクセスが攻撃の要因となった被害起因度を算出する算出部と、
対象ホストのＷｅｂアクセス情報からアクセス先を抽出し、当該アクセス先に対する前記被害起因度に基づいて、前記対象ホストに対して将来攻撃が発生する可能性を判定する判定部と、を備える攻撃予測装置。
【請求項２】
前記アクセス関連情報は、アクセス回数及び／又はアクセス元のホスト数である請求項１に記載の攻撃予測装置。
【請求項３】
前記収集部は、前記攻撃被害情報から被害発生日時を抽出し、
前記第１集計部は、前記被害発生日時より前の所定期間のＷｅｂアクセスを抽出する請求項１又は請求項２に記載の攻撃予測装置。
【請求項４】
前記第２集計部は、前記所定期間と同一時間内のＷｅｂアクセスを抽出する請求項３に記載の攻撃予測装置。
【請求項５】
前記算出部は、前記第１集計部による集計結果と前記第２集計部による集計結果とのオッズ比を、前記被害起因度として算出する請求項１から請求項４のいずれかに記載の攻撃予測装置。
【請求項６】
ネットワークで観測された攻撃被害情報を収集し、当該攻撃被害情報から被害ホストを抽出する収集ステップと、
前記被害ホストからのＷｅｂアクセスを抽出し、アクセス先毎に、アクセス関連情報を集計する第１集計ステップと、
前記被害ホストとは異なるホストから前記アクセス先へのＷｅｂアクセスを抽出し、前記アクセス先毎に、アクセス関連情報を集計する第２集計ステップと、
前記アクセス先毎に、前記第１集計ステップで集計されたアクセス関連情報の規模、並びに前記第２集計ステップで集計されたアクセス関連情報の規模の比較結果に基づいて、当該アクセス先へのアクセスが攻撃の要因となった被害起因度を算出する算出ステップと、
対象ホストのＷｅｂアクセス情報からアクセス先を抽出し、当該アクセス先に対する前記被害起因度に基づいて、前記対象ホストに対して将来攻撃が発生する可能性を判定する判定ステップと、をコンピュータが実行する攻撃予測方法。
【請求項７】
請求項１から請求項５のいずれかに記載の攻撃予測装置としてコンピュータを機能させるための攻撃予測プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サイバー攻撃の発生を予測するための装置、方法及びプログラムに関する。
【背景技術】
【０００２】
従来、不正通信を監視し、あるホストに対して将来、サイバー攻撃が発生するか否かを予測する方法として、攻撃を実施する前に攻撃者が行う準備行動、例えばポートスキャン又はマルウェアの導入等を検知し、この準備行動に基づいて、実攻撃の対象及び発生の有無を予測する方法が提案されている（例えば、非特許文献１参照）。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】牧田大佑，吉岡克成，松本勉，中里純二，島村隼平，井上大介，ＤＮＳアンプ攻撃の事前対策へ向けたＤＮＳハニーポットとダークネットの相関分析，情報処理学会論文誌，５６巻，３号，ｐｐ．９２１−９３１，２０１５．
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来の予測方法は、準備行動を行う攻撃手法を対象とし、さらに、本来の攻撃対象者とは別の観測地点に攻撃者がアクセスすることを前提としている。このため、準備行動を行わないか又は検知できない場合、攻撃の発生を予測できない。したがって、予測可能な攻撃の種類が限定されていた。
【０００５】
本発明は、広範囲な攻撃の種類に対して、発生を予測できる攻撃予測装置、攻撃予測方法及び攻撃予測プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明に係る攻撃予測装置は、ネットワークで観測された攻撃被害情報を収集し、当該攻撃被害情報から被害ホストを抽出する収集部と、前記被害ホストからのＷｅｂアクセスを抽出し、アクセス先毎に、アクセス関連情報を集計する第１集計部と、前記被害ホストとは異なるホストから前記アクセス先へのＷｅｂアクセスを抽出し、前記アクセス先毎に、アクセス関連情報を集計する第２集計部と、前記アクセス先毎に、前記第１集計部により集計されたアクセス関連情報の規模、並びに前記第２集計部により集計されたアクセス関連情報の規模の比較結果に基づいて、当該アクセス先へのアクセスが攻撃の要因となった被害起因度を算出する算出部と、対象ホストのＷｅｂアクセス情報からアクセス先を抽出し、当該アクセス先に対する前記被害起因度に基づいて、前記対象ホストに対して将来攻撃が発生する可能性を判定する判定部と、を備える。
【０００７】
前記アクセス関連情報は、アクセス回数及び／又はアクセス元のホスト数であってもよい。
【０００８】
前記収集部は、前記攻撃被害情報から被害発生日時を抽出し、前記第１集計部は、前記被害発生日時より前の所定期間のＷｅｂアクセスを抽出してもよい。
【０００９】
前記第２集計部は、前記所定期間と同一時間内のＷｅｂアクセスを抽出してもよい。
【００１０】
前記算出部は、前記第１集計部による集計結果と前記第２集計部による集計結果とのオッズ比を、前記被害起因度として算出してもよい。
【００１１】
本発明に係る攻撃予測方法は、ネットワークで観測された攻撃被害情報を収集し、当該攻撃被害情報から被害ホストを抽出する収集ステップと、前記被害ホストからのＷｅｂアクセスを抽出し、アクセス先毎に、アクセス関連情報を集計する第１集計ステップと、前記被害ホストとは異なるホストから前記アクセス先へのＷｅｂアクセスを抽出し、前記アクセス先毎に、アクセス関連情報を集計する第２集計ステップと、前記アクセス先毎に、前記第１集計ステップで集計されたアクセス関連情報の規模、並びに前記第２集計ステップで集計されたアクセス関連情報の規模の比較結果に基づいて、当該アクセス先へのアクセスが攻撃の要因となった被害起因度を算出する算出ステップと、対象ホストのＷｅｂアクセス情報からアクセス先を抽出し、当該アクセス先に対する前記被害起因度に基づいて、前記対象ホストに対して将来攻撃が発生する可能性を判定する判定ステップと、をコンピュータが実行する。
【００１２】
本発明に係る攻撃予測プログラムは、前記攻撃予測装置としてコンピュータを機能させるためのものである。
【発明の効果】
【００１３】
本発明によれば、広範囲な攻撃の種類に対して、発生を予測できる。
【図面の簡単な説明】
【００１４】
【図１】実施形態に係る攻撃予測装置の機能構成を示すブロック図である。
【図２】実施形態に係る被害起因度の算出処理を例示するフローチャートである。
【図３】実施形態に係る攻撃予測処理を例示するフローチャートである。
【発明を実施するための形態】
【００１５】
以下、本発明の実施形態の一例について説明する。
図１は、本実施形態に係る攻撃予測装置１の機能構成を示すブロック図である。
【００１６】
攻撃予測装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０を備える。さらに、攻撃予測装置１は、各種データの入出力デバイス及び通信デバイス等を備え、ネットワークで観測された通信データを入力として、対象ホストに対する将来の攻撃の可能性を予測する。
なお、本実施形態では、攻撃として、同一のホストに対して大量にパケットを送信するＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃を想定するが、攻撃の種類は限定されない。
【００１７】
制御部１０は、攻撃予測装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各種機能を実現している。制御部１０は、ＣＰＵであってよい。
【００１８】
記憶部２０は、ハードウェア群を攻撃予測装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）等であってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるための攻撃予測プログラムの他、ネットワークで観測された通信データ及び集計データ、並びに後述の被害起因度等のデータを記憶する。
【００１９】
制御部１０は、収集部１１と、第１集計部１２と、第２集計部１３と、算出部１４と、判定部１５とを備える。
【００２０】
収集部１１は、観測対象のネットワークにおける上位階層のルータ（コアルータ）等からフロー情報又はパケット情報を取得し、攻撃通信データを抽出することにより、ネットワークで観測された攻撃被害情報を収集し、この攻撃被害情報から被害ホストのＩＰアドレス及び被害発生日時を抽出する。
攻撃通信は、既存の手法により判定可能である。例えば、宛先単位のトラフィック量が閾値以上である、又は送信元ポートが既知の攻撃ポートである等、所定の特徴を有する通信が攻撃通信と判定される。
なお、収集部１１による観測対象のネットワークは、攻撃予測装置１が攻撃を予測する対象ホストが属するネットワークと異なってもよい。
【００２１】
第１集計部１２は、収集された複数の被害ホストからのＷｅｂアクセスの情報を抽出し、アクセス先のＵＲＬ、ドメイン又はＩＰアドレス毎に、アクセス関連情報を集計する。アクセス関連情報は、例えば、アクセス回数、アクセス元のホスト数、ポート番号、アクセスに利用したアプリケーション等、アクセスに関連する情報である。以下、第１集計部１２は、アクセス関連情報として、いずれかのホストからのアクセス回数、及びアクセス元のホスト数を集計するものとして説明する。なお、集計値は、特定の（例えば、最大頻度の）ポート番号又はアプリケーションに限定した値であってもよい。
このとき、第１集計部１２は、被害ホスト毎に、被害発生日時より前の所定期間（例えば、１週間以内）のＷｅｂアクセスを抽出する。
【００２２】
第２集計部１３は、収集された被害ホストとは異なるホストからの、第１集計部１２により抽出されたアクセス先のいずれかへのＷｅｂアクセスを抽出し、アクセス先毎に、アクセス関連情報を集計する。以下、第２集計部１３は、第１集計部１２と同様に、アクセス関連情報として、いずれかのホストからのアクセス回数、及びアクセス元のホスト数を集計するものとして説明する。
このとき、第２集計部１３は、アクセス元のホスト毎に、第１集計部１２と同一時間内（例えば、１週間）のＷｅｂアクセスを抽出する。
【００２３】
算出部１４は、アクセス先毎に、第１集計部１２により集計されたアクセス関連情報、すなわちアクセス回数の規模と、第２集計部１３により集計されたアクセス回数の規模とを比較し、さらに、第１集計部１２により集計されたアクセス元のホスト数の規模と、第２集計部１３により集計されたアクセス元のホスト数の規模とを比較する。
そして、算出部１４は、これらの比較結果に基づいて、アクセス先へのアクセスが攻撃の要因となった被害起因度を算出して記憶する。
【００２４】
例えば、算出部１４は、第１集計部１２による集計結果と第２集計部１３による集計結果とのオッズ比を、被害起因度として算出する。
具体的には、例えば、あるＵＲＬに対して、被害ユーザ１００人中２０人がアクセスしており、非被害ユーザ１００人中１０人がアクセスしていた場合、ホスト数のみに基づく被害起因度は、「（２０／８０）／（１０／９０）＝２．２５」と算出される。
また、例えば、被害ユーザによる全１００万回のＷｅｂアクセスのうち、５万回が特定のＵＲＬに対してであり、非被害ユーザによる５０万回のＷｅｂアクセスのうち、１万回が特定のＵＲＬに対してであった場合、アクセス回数のみに基づく被害起因度は、「（５／９５）・（１／４９）＝２．５８」と算出される。
さらに、算出部１４は、ホスト数及びアクセス回数の両方を考慮し、例えば大きい方の値、平均値又は加重平均値を被害起因度としてもよい。
【００２５】
判定部１５は、ネットワークのフロー情報又はパケット情報に含まれる対象ホストのＷｅｂアクセス情報からアクセス先を抽出し、このアクセス先に対して算出された被害起因度に基づいて、将来この対象ホストに対して攻撃が発生する可能性を判定し、予測結果として出力する。
【００２６】
例えば、判定部１５は、対象ホストがアクセスしたアクセス先の中で最大の被害起因度、又は被害起因度平均値が閾値以上である場合に、攻撃発生の可能性が高いと判定する。あるいは、判定部１５は、被害起因度に基づく攻撃発生の確率を、数式又は対応表等により予め対応付け、この確率を出力してもよい。
また、判定部１５は、対象ホストの所定期間内のＷｅｂアクセス状況を集計し、アクセス先毎のアクセス回数に応じて、被害起因度に重み付けをしてもよい。
【００２７】
図２は、本実施形態に係る被害起因度の算出処理を例示するフローチャートである。
ステップＳ１において、収集部１１は、ネットワークの通信データから攻撃被害情報を収集する。
【００２８】
ステップＳ２において、第１集計部１２は、被害ホストにおける被害前のＷｅｂアクセス状況をアクセス先毎に集計する。
ステップＳ３において、第２集計部１３は、非被害ホストにおけるＷｅｂアクセス状況を、被害ホストのアクセス先毎に集計する。
【００２９】
ステップＳ４において、算出部１４は、アクセス先毎に、被害ホストからのアクセスに関する集計結果と、非被害ホストからのアクセスに関する集計結果とを比較し、被害起因度を算出する。
【００３０】
図３は、本実施形態に係る攻撃予測処理を例示するフローチャートである。
ステップＳ１１において、判定部１５は、ネットワークの通信データから、対象ホストのＷｅｂアクセス情報を取得し、アクセス先を抽出する。
【００３１】
ステップＳ１２において、判定部１５は、アクセス先毎の被害起因度に基づいて、対象ホストのＷｅｂアクセス状況に対する被害起因度を取得する。
ステップＳ１３において、判定部１５は、被害起因度が閾値以上か否かを判定する。この判定がＹＥＳの場合、処理はステップＳ１４に移り、判定がＮＯの場合、処理は終了する。
ステップＳ１４において、判定部１５は、対象ホストに対する攻撃発生の可能性が高いことを警告する。
【００３２】
本実施形態によれば、攻撃予測装置１は、過去に発生した攻撃被害情報を用いて、この攻撃被害の原因となったと推定されるＷｅｂアクセスに関するアクセス関連情報を集計し、また、攻撃被害を受けていないホストからの同一のアクセス先へのアクセス関連情報を集計する。そして、攻撃予測装置１は、２つの集計結果を比較し、アクセス先毎の被害起因度を算出することで、対象ホストのＷｅｂアクセス状況に応じて将来攻撃が発生する可能性を判定する。
したがって、攻撃予測装置１は、攻撃被害者の行動情報及び実際の攻撃被害情報に基づいて攻撃の起因となった行動を抽出し、この情報に基づいて将来の攻撃発生を予測できる。攻撃予測装置１は、攻撃のための準備行動を利用して将来の攻撃を予測するのではなく、被害者側の通信情報のみで攻撃を予測するため、準備行動が確認できていない未知の攻撃を含めた広範囲な攻撃の種類に対して、発生を予測できる。
【００３３】
攻撃予測装置１は、アクセス関連情報として、アクセス回数及び／又はアクセス元のホスト数を用いるので、攻撃被害の原因となり得る行動を如実に表す指標により、信頼度の高い被害起因度を容易に算出できる。
【００３４】
攻撃予測装置１は、攻撃被害発生日時より前の所定期間のＷｅｂアクセスを抽出するので、例えば直近１ヶ月等、信頼度の高い期間の情報を用いることにより、予測精度を向上できる。
また、攻撃予測装置１は、非被害ホストからも、被害ホストからと同一時間内のＷｅｂアクセスを収集することで、両者を適切に比較でき、被害起因度の信頼性を向上できる。
さらに、攻撃予測装置１は、集計結果を比較する際に、オッズ比を算出することで、信頼性の高い被害起因度を容易に求めることができる。
【００３５】
以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。
【００３６】
前述の実施形態では、攻撃予測装置１は、攻撃の種類に関係なくＷｅｂアクセスを集計したが、これには限られず、例えば攻撃の種類毎に集計し、攻撃の種類毎の被害起因度を算出してもよい。
また、攻撃予測装置１は、１日の中の時間帯又は曜日等でＷｅｂアクセスを区分し、それぞれで被害起因度を算出してもよい。
【００３７】
攻撃予測装置１による攻撃予測方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。
【符号の説明】
【００３８】
１  攻撃予測装置
１０  制御部
１１  収集部
１２  第１集計部
１３  第２集計部
１４  算出部
１５  判定部
２０  記憶部
【図１】
2019145995.tif 000003
【図２】
2019145995.tif 000004
【図３】
2019145995.tif 000005