(57)【要約】【課題】ユーザの業務に悪影響を与えないセキュリティ対処策を立案する。【解決手段】ユーザが業務で利用する通信に関する情報を端末ごとに、予め業務で利用する通信をホワイトリストとして保持しておき、サイバー攻撃検知時に、立案した対処策が端末のホワイトリストに含まれている場合には、対処範囲を限定した新たな対処策を立案する。【選択図】  図１
2019145996.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続された端末へのサイバー攻撃に対するセキュリティ対処策を立案する機能を有したセキュリティ対処策立案装置において、
前記端末ごとに、ユーザが業務で利用する通信に関係する情報をホワイトリストとして保持するホワイトリスト記憶部、
前記端末に対するサイバー攻撃を検知したとき、
前記端末ごとの前記セキュリティ対処策を立案し、当該立案した前記セキュリティ対処策が前記端末の前記ホワイトリストに存在する場合には、前記セキュリティ対処策より、通信の影響を受ける対処範囲を限定した新たなセキュリティ対処策を立案する対処策立案部、を有する
ことを特徴するセキュリティ対処策立案装置。
【請求項２】
請求項１に記載のセキュリティ対処策立案装置であって、
前記サイバー攻撃を検知した際に、前記サイバー攻撃で利用された通信を拡散活動として判定する拡散活動判定部、をさらに備え、
前記対処策立案部は、前記拡散活動ごとに前記セキュリティ対処策を立案する
ことを特徴とするセキュリティ対処策立案装置。
【請求項３】
請求項２に記載のセキュリティ対処策立案装置であって、
前記拡散活動に基づき、前記セキュリティ対処策を適用する前記端末を対処端末として判定する対処端末判定部、をさらに備え、
前記対処策立案部は、前記対処端末ごとに前記セキュリティ対処策を立案する
ことを特徴とするセキュリティ対処策立案装置。
【請求項４】
請求項３に記載のセキュリティ対処策立案装置であって、
前記対処策立案部は、前記端末が送信する通信を遮断する防止対処策と、前記端末が受信する通信を遮断する予防対処策と、を立案する
ことを特徴とするセキュリティ対処策立案装置。
【請求項５】
請求項４に記載のセキュリティ対処策立案装置であって、
前記対処端末判定部は、前記拡散活動に含まれる前記端末の数に基づき、前記防止対処策を適用する前記端末を判定する
ことを特徴とするセキュリティ対処策立案装置。
【請求項６】
請求項４に記載のセキュリティ対処策立案装置であって、
前記対処端末判定部は、前記拡散活動に含まれる前記端末の数に基づき、前記予防対処策を適用する前記端末を判定する
ことを特徴とするセキュリティ対処策立案装置。
【請求項７】
請求項１に記載されたセキュリティ対処策立案装置であって、
前記端末の活動状態を示す端末活動ログを取得する端末活動取得部、
前記端末活動ログをもとに前記ホワイトリストを生成するホワイトリスト生成部、
前記サイバー攻撃を受けた前記端末に対するマルウェアの拡散活動を判定する拡散活動判定部、
前記拡散活動によって前記マルウェアに感染している、或いは、感染している可能性がある前記端末を対処端末として判定する対処端末判定部、
を備え、
前記対処策立案部は、前記対処端末に対して、前記マルウェアに対する対処策を立案する、
ことを特徴とするセキュリティ対処策立案装置。
【請求項８】
請求項７に記載されたセキュリティ対処策立案装置であって、
前記ホワイトリストを一意に識別するＩＤ、前記ホワイトリストの対象となる前記対処端末のＩＰアドレス、通信方向、ポート、プロトコル、前記通信のパケットサイズ、を含み、
前記通信方向は、前記ホワイトリストが、前記ＩＰアドレスが送信する通信を対象とする「Ｏｕｔ」、または前記ホワイトリストが、前記ＩＰアドレスが受信する通信を対象とする「Ｉｎ」の前記セキュリティ対処策を含み、
前記端末活動ログは、
前記端末活動ログを一意に識別するＩＤ、
前記端末活動ログが発生した日時、前記通信の送信元、前記通信の送信先、前記通信の送信先ポート、前記通信のプロトコル、前記通信に含まれるパケットのサイズを含み、
前記セキュリティ対処策は、
前記セキュリティ対処策のテンプレートを一意に識別するＩＤ、前記対処策を適用する前記通信方向、前記対処策のレベル、前記対処策を立案する際に用いる立案テンプレートを含む、
ことを特徴とするセキュリティ対処策立案装置。
【請求項９】
ネットワークに接続された端末へのサイバー攻撃に対するセキュリティ対処策を立案する機能を有したセキュリティ対処策立案方法において、
前記端末ごとに、ユーザが業務で利用する通信に関係する情報をホワイトリストとして保持し、
前記端末に対するサイバー攻撃を検知したとき、
前記端末ごとの前記セキュリティ対処策を立案し、当該立案した前記セキュリティ対処策が前記端末の前記ホワイトリストに存在する場合には、前記セキュリティ対処策より、通信の影響を受ける対処範囲を限定した新たなセキュリティ対処策を立案する、
ことを特徴するセキュリティ対処策立案方法。
【請求項１０】
請求項９に記載のセキュリティ対処策立案方法であって、
前記サイバー攻撃を検知した際に、前記サイバー攻撃で利用された通信を拡散活動として判定し、
前記拡散活動ごとに前記セキュリティ対処策を立案する
ことを特徴とするセキュリティ対処策立案方法。
【請求項１１】
請求項１０に記載のセキュリティ対処策立案方法であって、
前記拡散活動に基づき、前記セキュリティ対処策を適用する前記端末を対処端末として判定し、
前記対処端末ごとに前記セキュリティ対処策を立案する
ことを特徴とするセキュリティ対処策立案方法。
【請求項１２】
請求項１１に記載のセキュリティ対処策立案方法であって、
前記端末が送信する通信を遮断する防止対処策と、前記端末が受信する通信を遮断する予防対処策と、を立案する
ことを特徴とするセキュリティ対処策立案方法。
【請求項１３】
請求項１２に記載のセキュリティ対処策立案方法であって、
前記拡散活動に含まれる前記端末の数に基づき、前記防止対処策を適用する前記端末を判定する
ことを特徴とするセキュリティ対処策立案方法。
【請求項１４】
請求項１２に記載のセキュリティ対処策立案方法であって、
前記拡散活動に含まれる前記端末の数に基づき、前記予防対処策を適用する前記端末を判定する
ことを特徴とするセキュリティ対処策立案方法。
【請求項１５】
請求項９に記載のセキュリティ対処策立案方法であって、
前記端末の活動状態を示す端末活動ログを取得するステップ、
前記端末活動ログをもとに前記ホワイトリストを生成するステップ、
前記サイバー攻撃を受けた前記端末に対するマルウェアの拡散活動を判定するステップ、
前記拡散活動によって前記マルウェアに感染している、或いは、感染している可能性がある前記端末を対処端末として判定するステップ、
を備え、
前記対処端末に対して、前記セキュリティ対処策を立案する、
ことを特徴とするセキュリティ対処策立案方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ対処策立案装置および方法に関する。例えば、ネットワークに接続された端末にて、ユーザが何等かの業務を作業している途中、外部よりサイバー攻撃が発生した旨のアラームを検知した場合であっても、端末によるユーザの業務を一義的に停止することなく、業務を継続しながらサイバー攻撃に対処することが可能なセキュリティ対処策を立案するセキュリティ対処策立案装置および方法に関する。
【背景技術】
【０００２】
近年、民間企業や、防衛関連企業、公的機関を狙ったサイバー攻撃が顕在化しており、個人、企業、国家の利益や安全性を損なうリスクが高まっている。また、攻撃手法も益々巧妙化しており、高度なマルウェアを巧みに活用して特定の官庁や企業、組織のネットワークに侵入し、機密情報の窃取やシステム破壊を行う標的型攻撃が、セキュリティ上の大きな脅威となっている。これらの脅威による被害を最小化するには、迅速な対処策の適用が必要となる。
【０００３】
係る対処策の一つとして、例えば、特開２００５−７０２１８号公報（特許文献１）に記載された技術がある。この文献１には、「ネットワーク型侵入検知システムの不正アクセス検出機能を利用して自動的にファイアウォールのポリシを更新するポリシ管理装置を設け、不正アクセスの防御を自動的に実行して管理者の負荷を軽減し、さらに市販製品を利用して実現可能とする」という記載がある。つまり、ネットワーク型侵入検知システムの不正アクセス検出機能を利用して自動的にファイアウォールのポリシを更新し、不正アクセスの防御を自動的に実行する不正アクセス防御システムが開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−７１２１８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１の技術によれば、サイバー攻撃の検知から、その対処策の実施までを迅速に行うことができる。しかし、特許文献１では、ユーザの業務について何ら考慮されていないため、例えば、マルウェアの通信先を遮断するなどのセキュリティ対処を実行することによって、生成されたポリシにユーザの業務に関連する通信が含まれている場合、当該通信までが遮断されてしまい、ユーザの業務に悪影響を与えてしまう可能性がある。
本発明は、上記事情に鑑みてなされたものであり、ユーザの業務に悪影響を与えないセキュリティ対処策を立案する技術を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、代表的な本発明のセキュリティ対処策立案装置および方法の一つは、端末ごとに、ユーザが業務で利用する通信をホワイトリストとして保持し、サイバー攻撃を検知した際に、端末ごとに対処策を立案し、立案した対処策が端末のホワイトリストに存在する場合には、より対処範囲を限定した新たな対処策を立案するものである。
【発明の効果】
【０００７】
本発明によれば、端末によるユーザの業務に悪影響を与えないセキュリティ対処策を立案することができる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【０００８】
【図１】本発明の実施例に係るセキュリティ対処策立案装置の構成例を示す図。
【図２】本発明の実施例に係るホワイトリストの一例を示す図。
【図３】本発明の実施例に係る端末活動ログの一例を示す図。
【図４】本発明の実施例に係る対処策テンプレートの一例を示す図。
【図５】本発明の実施例に係る一連の処理を示すフローチャート。
【図６】本発明の実施例に係る拡散活動判定処理を示すフローチャート。
【図７】本発明の実施例に係る拡散活動判定処理の説明図。
【図８】本発明の実施例に係る対処端末判定処理を示すフローチャート。
【図９】本発明の実施例に係る対処策立案処理を示すフローチャート。
【発明を実施するための形態】
【０００９】
マルウェアの脅威に対応するためには、上述したようにマルウェアの通信先を遮断するといったセキュリティ対処策が有効である。しかし、マルウェアの通信先を遮断するという安易なセキュリティ対処策の適用は、ユーザの業務へ悪影響を与える可能性がある。このため、セキュリティ対処策の立案は慎重に吟味する必要があり、時間を要してしまうという課題があった。
そこで、本実施形態では、上記課題を是正するために、ユーザが業務で利用する通信に関する情報を端末ごとに予めホワイトリストとして保持しておき、サイバー攻撃検知時に、立案した対処策（通信方向の「Ｏｕｔ」、「Ｉｎ」）がホワイトリストに含まれている場合には、対処範囲を限定した新たな対処策を立案するものである。
例えば、ホワイトリストに端末の通信に関するＩＰアドレス、通信方法、ポート、プロトコル、サイズ、を含む情報であって、対処端末の、例えば、『ＩＰアドレス「１０．０．０．１」の通信方向「Ｏｕｔ」でポート「ＴＣＰ／４４５」宛てへの通信を遮断する』というレベル「１」の第１対処策が、ホワイトリストに存在する場合、当該レベル「１」の第１対処策より、通信範囲（対処範囲）を限定した『ＩＰアドレス「１０．０．０．１」が通信方向「Ｏｕｔ」でポート「ＴＣＰ／４４５」宛てへのプロトコル「ＳＭＢｖ２」を遮断する』というレベル「２」の対処案を立案する。
これにより、ユーザの業務に影響を与えないセキュリティ対処策を立案することが可能となる。
実施例では、セキュリティ対処策立案装置にホワイトリスト生成処理機能、端末活動取得処理機能、拡散活動判定処理機能、対処端末判定処理機能、及び、対処策立案処理機能、を実現する各プログラムを持たせたものである。以下、その実施例について図面を参照して説明する。
なお、以下の実施例では、各情報を記憶する手段として、テーブルを前提として説明するが、各情報は、テーブル以外のデータ構造で表現されていてもよい。また、各プログラムは、プロセッサ、例えば、ＭＰ（マイクロプロセッサ）やＣＰＵ、マイクロコントローラなどによって実行されるもので、定められた処理をするものである。
【実施例】
【００１０】
図１は、本発明の実施例に係るセキュリティ対処策立案装置の構成例を示す図である。
セキュリティ対処策立案装置１０１は、ネットワーク１１６を介して端末１１７と、セキュリティアプライアンス１１８と、接続される。
【００１１】
端末１１７は、ユーザが業務で利用する端末であって、複数の端末、例えば、端末Ａ１１７ａ、端末Ｂ１１７ｂ、端末Ｃ１１７ｃ、を含み、これらは、情報処理や通信処理機能を有する情報処理装置や、業務サーバなどから構成される。
端末１１７には、図示していないが、既存のウイルス対策ソフトや、ＨＩＤＳ（Ｈｏｓｔ−ｂａｓｅｄ  ＩＤＳ）等のセキュリティ対策機能が存在している。
【００１２】
セキュリティアプライアンス１１８は、インターネット１１９と接続され、ネットワーク上でセキュリティ対策を行うサービスや、ハードウェア、ソフトウェア等から構成される。
セキュリティアプライアンス１１８としては、例えば、ＦＷ（ＦｉｒｅＷａｌｌ）やＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）、ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ  Ｐｒｅｖｅｎｔｉｏｎ  Ｓｙｓｔｅｍ）、ＷＡＦ（Ｗｅｂ  Ａｐｐｌｉｃａｔｉｏｎ  Ｆｉｒｅｗａｌｌ）、ＵＴＭ（Ｕｎｉｆｉｅｄ  Ｔｈｒｅａｔ  Ｍａｎａｇｅｍｅｎｔ）等が存在する。
【００１３】
セキュリティ対処策立案装置１０１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１０３と、ＣＰＵ１０３が処理を実行するために必要な各プログラムを格納するためのメインメモリ１０４と、大量のデータや情報を記憶する容量を持つハードディスクやフラッシュメモリなどの記憶装置１０５と、他装置（端末１１７、セキュリティアプライアンス１１８）と通信を行なうためのＩＦ（インタフェース）１０２と、キーボード、ディスプレイなどの入出力を行うための入出力装置１０６と、これらの各装置を接続する通信路１０７と、を備えたコンピュータから構成される。
なお、通信路１０７は、例えば、バスやケーブルなどの情報伝達媒体である。
【００１４】
ＣＰＵ１０３は、メインメモリ１０４に格納されたホワイトリスト生成プログラム１０８を実行することにより、端末１１７ごとのホワイトリスト１１３の生成を行い、端末活動取得プログラム１０９を実行することにより、端末１１７ごとの端末活動ログ１１４の生成を行い、拡散活動判定プログラム１１０を実行することにより、端末１１７ごとのサーバ攻撃、例えば、マルウェアの拡散に利用された拡散活動の判定を行い、対処端末判定プログラム１１１を実行することにより、セキュリティ対処策を適用する端末１１７の判定を行い、対処策立案プログラム１１２を実行することにより、ユーザの業務に悪影響を与えない端末１１７ごとの対処策の立案を行う、各機能を有する。
【００１５】
ホワイトリスト生成プログラム１０８は、ホワイトリストを生成するホワイトリスト生成部を構成し、端末活動取得プログラム１０９は、端末１１７の活動状態を示す端末活動ログ１１４を取得する端末活動取得部を構成し、拡散活動判定プログラム１１０は、マルウェアの拡散活動を判定する拡散活動判定部を構成し、対処端末判定プログラム１１１は、拡散活動によってマルウェアに感染している、或いは、感染している可能性がある端末１１７を対処端末（防止対策端末／予防対策端末）として判定する対処端末判定部を構成し、対処策立案プログラム１１２は、対処端末に対して、マルウェアに対する対処策を立案する対処策立案部を構成する。
【００１６】
ホワイトリスト１１３は、端末１１７ごとに、例えば、各端末の端末活動ログ１１４から生成する。
端末活動ログ１１４は、端末１１７が行う通信のパケットを取得し、当該パケットから通信情報を構築して生成する。
対処策は、例えば、予め用意した対処策テンプレート１１５を用いて立案する。
なお、拡散活動とは、マルウェアが他の端末に感染を拡大するために行った通信の集合を表す。
【００１７】
記憶装置１０５は、端末１１７のユーザが業務で利用する通信を定義したホワイトリスト１１３、端末１１７の通信を記録した端末活動ログ１１４、対処策を立案するルールを示す対処策テンプレート１１５、の各情報（データ）を格納する各記憶部を有する。
上記の各プログラムや情報（データ）は、あらかじめメインメモリ１０４または記憶装置１０５に格納されていてもよいし、必要な時に、入出力装置１０６から、インストール（ロード）してもよい。または、ＩＦ１０２を介して他の装置から、インストール（ロード）してもよい。
【００１８】
図２は、ホワイトリスト１１３の一例を示す図である。
ホワイトリスト１１３は、図示するように、ＩＤ２０１、ＩＰアドレス２０２、通信方向２０３、ポート２０４、プロトコル２０５、サイズ２０６、の各情報を格納するエリアを含んで構成される。通信方向２０３における「Ｏｕｔ」、「Ｉｎ」は対処策の一つを表している。
【００１９】
ＩＤ２０１は、ホワイトリスト１１３を一意に識別する情報（１、２など）を表し、ＩＰアドレス２０２は、ホワイトリスト１１３の対象となる端末（対処端末）１１７のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス（１０．０．０．１など）を表し、通信方向２０３は、対処策立案プログラム１１２にて立案されたホワイトリスト１１３の対象となる通信の方向を表し、ポート２０４は、ホワイトリスト１１３の対象となるポート（ＵＤＰ／５３、ＴＣＰ／８０など）を表し、プロトコル２０５は、ホワイトリスト１１３の対象となるプロトコル（ＤＮＳ、ＨＴＴＰ１．１など）を表し、サイズ２０６は、ホワイトリスト１１３の対象となる通信のパケットサイズ（８２−８８、５４−８２２など）を表す。
【００２０】
なお、通信方向２０３には、「Ｏｕｔ」または「Ｉｎ」が格納される。「Ｏｕｔ」は、ホワイトリスト１１３において、ＩＰアドレス２０２（１０．０．０．１、１０．０．０．２）を持つ端末１１７（送信元）が送信する通信を対象としていることを表し、「Ｉｎ」は、ホワイトリスト１１３において、ＩＰアドレス２０２（１０．０．０．３、１０．０．０．２５４、１０．０．０．１００、１０．０．０．１０１）を持つ端末１１７（送信先）が受信する通信を対象としていることを表す。
ホワイトリスト１１３の対象となるプロトコルが不明の場合には、プロトコル２０５に「−」を格納する。
【００２１】
サイズ２０６は、例えば、ホワイトリスト１１３の対象となる通信の最小パケットサイズと最大パケットサイズを格納しておく。
なお、ホワイトリスト１１３の対象となる通信のパケットサイズが不明の場合には、サイズ２０６に「−」を格納する。
【００２２】
図２において、例えば、ＩＤ２０１が「１」、ＩＰアドレス２０２が「１０．０．０．１」、通信方向２０３が「Ｏｕｔ」、ポート２０４が「ＵＤＰ／５３」、プロトコル２０５が「ＤＮＳ」、サイズ２０６が「８２−８８」のホワイトリスト１１３である場合は、ＩＰアドレスが「１０．０．０．１」の端末が「ＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）の５３番ポート」を用いて「ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）クエリ」を送信し、その通信に含まれるパケットは「８２バイト〜８８バイト」であることを表す。
【００２３】
また、ＩＤ２０１が「５」、ＩＰアドレス２０２が「１０．０．０．３」、通信方向２０３が「Ｉｎ」、ポート２０４が「ＴＣＰ／４４５」、プロトコル２０５が「ＳＭＢｖ２」、サイズ２０６が「５４−２００」のホワイトリスト１１３である場合は、ＩＰアドレスが「１０．０．０．３」の端末が「ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）の４４５番ポート」を用いて「ＳＭＢ（Ｓｅｒｖｅｒ  Ｍｅｓｓａｇｅ  Ｂｌｏｃｋ）ｖ２（ｖｅｒｓｉｏｎ２）」の通信を受信し、その通信に含まれるパケットは「５４〜２００バイト」であることを表す。
【００２４】
ホワイトリスト１１３は、上述したように端末１１７のユーザが業務に利用される通信を定義したものであり、セキュリティ対処策立案装置１０１にて、端末１１７ごとの通信に関する情報をもとに端末１１７ごとのホワイトリストを生成する。
なお、ホワイトリスト１１３の各情報は、セキュリティ対処策立案装置１０１の管理者が必要に応じて、入力または更新してもよいし、ＣＰＵ１０３により実行されるホワイトリスト生成プログラム１０８が端末活動ログ１１４に格納された端末活動を用いて生成してもよい。
ホワイトリスト生成プログラム１０８の具体的な処理については、後述する。
また、ホワイトリスト１１３は、ＣＰＵ１０３により実行される対処策立案プログラム１１２が、対処策を立案する際に利用される。
対処策立案プログラム１１２の具体的な処理については、図９を用いて後述する。
【００２５】
図３は、端末活動ログ１１４の一例を示す図である。
端末活動ログ１１４は、端末１１７の端末活動を示すものであり、図示するように、ＩＤ３０１、日時３０２、送信元３０３、送信先３０４、ポート３０５、プロトコル３０６、サイズ３０７、の各情報を格納するエリアを含んで構成される。
【００２６】
ＩＤ３０１は、端末活動ログ１１４を一意に識別する情報（１、２など）を表し、日時３０２は、端末通信（端末活動）が発生した日時（２０１７／１／１  ００：００：００、２０１７／１／１  ００：００：０３など）を表し、送信元３０３は、通信の送信元（１０．０．０．１、１０．０．０．２など）の端末を表し、送信先３０４は、通信の送信先（１０．０．０．２５４、１０．０．０．１００など）の端末を表し、ポート３０５は、通信の送信先ポート（ＵＤＰ／５３、ＴＣＰ／８０など）を表し、プロトコル３０６は、通信のプロトコル（ＤＮＳ、ＨＴＴＰ１．１など）を表し、サイズ３０７は、通信に含まれるパケットのサイズ（８２−８８、５４−８２２など）を表す。
なお、通信のプロトコルが不明の場合には、プロトコル３０６に「−」が格納される。また、サイズ３０７には、例えば、通信に含まれる情報（パケット）の最小サイズと最大サイズが格納される。
【００２７】
図３において、例えば、ＩＤ３０１が「１」、日時３０２が「２０１７／１／１  ００：００：００」、送信元３０３が「１０．０．０．１」、送信先３０４が「１０．０．０．２５４」、ポート３０５が「ＵＤＰ／５３」、プロトコル３０６が「ＤＮＳ」、サイズ３０７が「８２−８８」の端末活動ログ１１４の場合は、日時「２０１７／１／１  ００：００：００」に、ＩＰアドレスが「１０．０．０．１」の端末１１７（送信元）から、ＩＰアドレスが「１０．０．０．２５４」の端末１１７（送信先）の「ＵＤＰ／５３番ポート」へ、「ＤＮＳ」通信が発生し、「ＤＮＳ」通信には「８２バイトから８８バイト」の通信が利用されたことを表す。
なお、端末活動ログ１１４の各情報は、ＣＰＵ１０３により実行される端末活動取得プログラム１０９が生成する。
端末活動取得プログラム１０９の具体的な処理については、後述する。
【００２８】
端末活動ログ１１４は、ＣＰＵ１０３により実行される拡散活動判定プログラム１１０が、マルウェアの拡散活動を判定する際と、ＣＰＵ１０３により実行される対処端末判定プログラム１１１が対処端末を判定する際と、に利用される。
拡散活動判定プログラム１１０の具体的な処理については図６を用いて、対処端末判定プログラム１１１の具体的な処理については図８を用いて、後述する。
【００２９】
図４は、対処策テンプレート１１５の一例を示す図である。
対処策テンプレート１１５は、図示するように、ＩＤ４０１、通信方向４０２、レベル４０３、立案テンプレート４０４、の各情報を格納するエリアを含んで構成される。
【００３０】
ＩＤ４０１は、対処策テンプレート１１５を一意に識別する情報を表し、通信方向４０２は、対処策を適用する方向を表し、レベル４０３は、対処策のレベルを表し、立案テンプレート４０４は、対処策を立案する際に用いるテンプレートを表す。
なお、通信方向４０２が「Ｏｕｔ」の場合は、端末１１７が送信する通信を遮断することを表し、通信方向４０２が「Ｉｎ」の場合は、端末１１７が受信する通信を遮断することを表す。
例えば、端末１１７の何れか１つが既にマルウェアに感染している場合には、他の端末に感染し、感染端末が増えないようにするため、通信方向「Ｏｕｔ」の対処策を立案する。
また、端末１１７がまだマルウェアに感染していない場合には、当該端末がマルウェアに感染することを予防するため、通信方向「Ｉｎ」の対処策を立案する。
また、レベル４０３は、対処策により影響を受ける通信の範囲（対処範囲）の大きさによって定義される値である。レベルの値が小さいほど対処範囲は広くなり、レベルの値が大きくなるに従い、対処範囲は狭くなることを表す。
【００３１】
立案テンプレート４０４は、拡散活動に含まれるどの属性（例えば、図３における送信元、送信先、ポート、プロトコル、サイズ、）で対処策を立案するかを表す。
例えば、立案テンプレート４０４の対処策が「ポートを遮断」であれば、拡散活動に含まれるポートを利用した通信を遮断することを表し、立案テンプレート４０４の対処策が「ポート、プロトコルを遮断」であれば、拡散活動に含まれるポート、かつプロトコルを利用した通信を遮断することを表す。
また、立案テンプレート４０４の対処策が「ポート、プロトコル、サイズを遮断」であれば、拡散活動に含まれるポート、プロトコル、かつサイズを利用した通信を遮断することを表し、立案テンプレート４０４の対処策が「ポート、プロトコル、サイズ、端末を遮断」であれば、拡散活動に含まれるポート、プロトコル、サイズ、かつ端末を利用した通信を遮断することを表す。
そして、例えば、ＩＤ４０１が「１」、通信方向４０２が「Ｏｕｔ」、レベル４０３が「１」、立案テンプレート４０４が「ポートを遮断」の対処策テンプレート１１５の場合は、端末１１７において、拡散活動に含まれるポート（ＵＤＰ／５３）へ送信する通信を遮断する対処策を立案することを表す。
【００３２】
なお、対処策テンプレート１１５の各情報は、管理者が必要に応じて、入力または更新してもよい。
対処策テンプレート１１５は、ＣＰＵ１０３により実行される対処策立案プログラム１１２が、対処策を立案する際に利用される。
対処策立案プログラム１１２の具体的な処理については、図９を用いて後述する。
【００３３】
次に、ホワイトリスト生成プログラム１０８が、端末活動ログ１１４からホワイトリスト１１３を生成する処理について説明する。
【００３４】
管理者がセキュリティ対処策立案装置１０１を起動すると、ホワイトリスト生成プログラム１０８は、管理者が指示したある特定期間の端末活動ログ１１４を用いてホワイトリスト１１３を生成する。
この時、ホワイトリスト１１３にマルウェアの通信が混入することを防ぐため、管理者はマルウェアが組織に侵入していない期間を指示するものとする。
【００３５】
また、ホワイトリスト生成プログラム１０８は、端末活動ログ１１４から特定期間に行われた端末活動ログ１１４を取得し、送信元３０３に関する通信方向２０３が「Ｏｕｔ」のホワイトリストと、送信先３０４に関する通信方向２０３が「Ｉｎ」のホワイトリストを生成する（図２参照）。
【００３６】
ホワイトリスト生成プログラム１０８の処理について具体例を用いて説明すると以下のとおりである。
ここで、例えば、図３に例示する端末活動ログ１１４が格納されており、管理者がホワイトリスト生成に利用する期間として「２０１７／１／１  ００：００：００〜２０１７／１／１  ００：００：０２」を指示したとする。
【００３７】
すると、ホワイトリスト生成プログラム１０８は、端末活動ログ１１４からホワイトリスト生成に利用する期間に合致する端末活動ログ１１４を取得する。
この時、ＩＤ３０１が「１」の端末活動ログ１１４が、管理者が指示した期間に合致する。
つまり、ホワイトリスト生成プログラム１０８は、ＩＤ３０１が「１」、日時３０２が「２０１７／１／１  ００：００：００」、送信元３０３が「１０．０．０．１」、送信先３０４が「１０．０．０．２５４」、ポート３０５が「ＵＤＰ／５３」、プロトコル３０６が「ＤＮＳ」、サイズ３０７が「８２−８８」、の端末活動ログ１１４からホワイトリスト１１３を生成する。
【００３８】
この時、ＩＰ２０２が「１０．０．０．１」、通信方向２０３が「Ｏｕｔ」、ポート２０４が「ＵＤＰ／５３」、プロトコル２０５が「ＤＮＳ」、サイズ２０６が「８２−８８」の情報１１３１を含むホワイトリスト（図２中ＩＤ２０１が「１」のホワイトリスト）と、ＩＰ２０２が「１０．０．０．２５４」、通信方向２０３が「Ｉｎ」、ポート２０４が「ＵＤＰ／５３」、プロトコル２０５が「ＤＮＳ」、サイズ２０６が「８２−８８」の情報１１３２を含むホワイトリスト（図２中ＩＤ２０１が「６」のホワイトリスト）と、が生成される。
【００３９】
次に、端末活動取得プログラム１０９が、端末活動ログ１１４を生成する処理について説明する。
【００４０】
端末活動取得プログラム１０９は、ＩＦ２０１を介して端末１１７が行う通信（パケット）を取得する。
具体的には、ネットワーク１１６に存在するスイッチやルータのポートをミラーリングすることにより、端末１１７が行う通信のパケットを取得するものとする。
【００４１】
端末活動プログラム１０９は、取得した通信のパケットから通信情報を構築し、端末活動ログとして端末活動ログ記憶部１１４に記録する（図３参照）。
なお、プロトコルが判定できない場合には、プロトコル３０６に「−」を記録する。
【００４２】
以下、その処理手順の具体例について説明する。
例えば、「２０１７／１／１  ００：００：００」の日時にＩＰアドレス「１０．０．０．１」の端末１１７から、ＩＰアドレス「１０．０．０．２５４」の端末１１７のＵＤＰ／５３番ポートへＤＮＳパケット（パケットサイズ８２）が送信され、ＩＰアドレス「１０．０．０．２５４」の端末１１７からＤＮＳパケットの応答（パケットサイズ８８）があった場合、端末活動取得プログラム１０９は、日時３０２が「２０１７／１／１  ００：００：００」、送信元３０３が「１０．０．０．１」、送信先３０４が「１０．０．０．２５４」、ポート３０５が「ＵＤＰ／５３」、プロトコル３０６が「ＤＮＳ」、サイズ３０７が「８２−８８」の端末活動ログ（図３中ＩＤ３０１が「１」の端末活動ログ）を記録する。
【００４３】
次に、拡散活動判定プログラム１１０がマルウェアの拡散活動を判定し、対処端末判定プログラム１１１が対処対象の端末を判定し、対処策立案プログラム１１２が対処策を立案する処理について説明する。
【００４４】
図５は、拡散活動判定から対処策立案までの一連の処理の流れを示すフローチャートである。
【００４５】
図５のフローチャートに基づく動作は以下のとおりである。
ステップ５０１：
拡散活動判定プログラム１１０は、セキュリティアプライアンス１１８が外敵からの攻撃を検知したとき、その旨を示す検知アラートを、ＩＦ１０２を介して受信する。
【００４６】
ステップ５０２：
拡散活動判定プログラム１１０は、ステップ５０１にて、検知アラートを受信すると、拡散活動の判定を行い、対処端末判定プログラム１１１を起動する。
なお、拡散活動判定処理の詳細については、図６を用いて後述する。
【００４７】
ステップ５０３：
対処端末判定プログラム１１１は、対処端末の判定を行い、対処策立案プログラム１１２を起動する。
なお、対処端末判定処理の詳細については、図８を用いて後述する。
【００４８】
ステップ５０４：
対処策立案プログラム１１２は、対処策の立案を行い、処理を終了する。
なお、対処策立案処理の詳細については、図９を用いて後述する。
【００４９】
次に、拡散活動判定プログラム１１０が、セキュリティアプライアンス１１８の検知アラートを受信した後に行う、マルウェアの拡散活動判定処理（ステップ５０２）の一例について説明する。
【００５０】
図６は、拡散活動判定プログラム１１０が行う、マルウェアの拡散活動を判定する処理（ステップ５０２）の流れを示すフローチャートである。
【００５１】
図６のフローチャートに基づく動作は以下のとおりである。
ステップ６０１：
拡散活動判定プログラム１１０は、アラート対象の端末において、ある時点（閾値秒前）からアラート発生の間に発生した端末活動を拡散活動として判定する。つまり、検知アラートの対象となった端末１１７を調査対象端末としてマークし、検知アラート発生日時から、閾値秒（例えば、３６００秒）前まで遡り、端末活動ログ１１４から、調査対象端末が送信元または送信先に含まれる端末活動ログを拡散活動として判定する。
【００５２】
ステップ６０２：
拡散活動判定プログラム１１０は、拡散活動中の全ての端末について、ある時点（閾値秒前）からアラート発生の間に発生した端末活動を拡散活動として判定する。つまり、ステップ６０１で判定した拡散活動の送信元または送信先に含まれる端末１１７のうち、調査対象端末としてマークされていない端末１１７を調査対象端末としてマークし、検知アラート発生日時から、閾値秒（例えば、３６００秒）前まで遡り、端末活動ログ１１４から、調査対象端末が送信元または送信先に含まれる端末活動ログを拡散活動として判定する。
以下、拡散活動の送信先または送信先に含まれる端末１１７が全てマークされるまで、拡散活動の判定を繰り返し、処理を終了する。
【００５３】
図７は、ステップ６０１からステップ６０２までの処理の流れを説明する図であって、複数の端末１１７（端末Ａ１１７ａ〜端末Ｅ１１７ｅ）の端末活動（７０２ａ〜７０２ｇ）とアラート７０１の発生との関係を模式的に示すタイムチャートである。
【００５４】
アラート７０１が端末Ａ１１７ａで発生し、アラート７０１が発生するまでに、矢印７０２で表される端末活動７０２ａ〜７０２ｇが行われたとする。
ここで、例えば、端末活動７０２ａは、端末Ａ１１７ａから端末Ｂ１１７ｂへの通信が発生していることを表し、端末活動７０２ｆは、端末Ａ１１７ａから端末Ｄ１１７ｄへの通信が発生していることを表し、端末活動７０２ｄ、７０２ｇは、端末Ｂ１１７ｂから端末Ａ１１７ａへの通信が発生していることを表す。
なお、説明を簡略化するため、端末活動に使われたポートやプロトコル、サイズは省略している。
【００５５】
拡散活動判定プログラム１１０は、ステップＳ６０１にて、端末活動ログ１１４から、調査対象端末が送信元または送信先に含まれる端末活動ログを拡散活動として判定する時、端末Ａ１１７ａが調査対象端末としてマークされ、端末活動７０２ｄ、端末活動７０２ｆ、端末活動７０２ｇが拡散活動として判定される。
【００５６】
拡散活動判定プログラム１１０は、図６のステップ６０２にて、調査対象端末が送信元または送信先に含まれる端末活動ログを拡散活動として判定する時、ステップ６０１で判定した拡散活動７０２ｄ、７０２ｆ、７０２ｇより、端末Ｂ１１７ｂ及び端末Ｄ１１７ｄが調査対象端末としてマークされ、続いて、調査対象端末としてマークされた端末Ｂ１１７ｂ及び端末Ｄ１１７ｄから、拡散活動７０２ｅが新たな拡散活動として判定される。さらに、新たに判定された拡散活動７０２ｅから、端末Ｃ１１７ｃが調査対象端末としてマークされる。
【００５７】
この時、端末Ｃ１１７ｃは、検知アラート発生日時から、閾値秒（例えば、３６００秒）前までの期間に端末活動を行っていないため、処理を終了する。
【００５８】
次に、対処端末判定プログラム１１１が行う、対処端末判定処理（ステップ５０３）について説明する。
図８は、対処端末判定プログラム１１１が行う、対処端末を判定する処理（ステップ５０３）の流れを示すフローチャートである。
【００５９】
図８のフローチャートに基づく動作は以下のとおりである。
ステップ８０１：
対処端末判定プログラム１１１は、拡散活動に含まれる端末を防止対処端末として判定する。つまり、ステップ５０２で判定された拡散活動の送信元または送信先に含まれる端末１１７を防止対処端末として判定する。
【００６０】
ステップ８０２：
対処端末判定プログラム１１１は、拡散活動の通信先が閾値以上か否かを判定する。つまり、ステップ５０２で判定された拡散活動の送信先に含まれる端末１１７の端末数を算出し、端末数が閾値、例えば３以上である場合（Ｙｅｓ）は、ステップ８０３に進み、端末数が閾値より小さい場合（Ｎｏ）は、処理を終了する。
【００６１】
ステップ８０３：
対処端末判定プログラム１１１は、すべての端末１１７を予防対処端末として判定する。
【００６２】
上述したステップ８０１からステップ８０２までの処理の流れを、図７を用いて、さらに詳しく説明する。
【００６３】
対処端末判定プログラム１１１は、図５のステップ５０２で判定された拡散活動の送信元または送信先に含まれる端末１１７を図８のステップ８０１で防止対処端末として判定する。この時、端末Ｂ１１７ａの拡散活動７０２ｄ、７０２ｇ、端末Ａ１１７ａの拡散活動７０２ｅ、端末Ｄ１１７ｄの拡散活動７０２ｅより、端末Ａ１１７ａ、端末Ｂ１１７ｂ、端末Ｃ１１７ｃ、端末Ｄ１１７ｄが防止対処端末として判定される。
【００６４】
対処端末判定プログラム１１１は、上述したようにステップ５０２で判定された拡散活動の送信先に含まれる端末１１７（端末Ａ、端末Ｃ、端末Ｄ）の端末数を算出し、端末数が閾値、例えば３以上であればステップ８０３に進み、端末数が閾値より小さければ処理を終了するが、この時、拡散活動の送信先に含まれる端末１１７（端末Ａ１１７ａ、端末Ｃ１１７ｃ、端末ｄ１１７ｄ）の端末数は３であるため、ステップ８０３に進む。
【００６５】
対処端末判定プログラム１１１は、すべての端末１１７を予防対処端末として判定する（ステップ８０３）。
この時、端末Ａ１１７ａ、端末Ｂ１１７ｂ、端末Ｃ１１７ｃ、端末Ｄ１１７ｄ、端末Ｅ１１７ｅが予防対処端末として判定される。
【００６６】
ここで、防止対処端末とは、既にマルウェアに感染している、或いは、既にマルウェアに感染している可能性がある端末と判断していることを表し、後述する対処策の立案ではこれ以上感染端末が増えないようにするため、通信方向「Ｏｕｔ」の対処策を立案する。
また、予防対処端末では、当該端末がマルウェアに感染することを予防するため、後述する対処策の立案では、通信方向「Ｉｎ」の対処策を立案する。
【００６７】
なお、ステップ８０３では、すべての端末１１７を予防対処端末として判定したが、既に防止対処端末と判定されている端末は、予防対処端末の対象から除外してもよい。
なお、予防対処端末の有無は、拡散活動の送信先に含まれる端末の数で決定される。これは、ワーム型のマルウェアのように、拡散のスピードが早いマルウェアに対して先回りの対策（予防）を行うための措置である。
【００６８】
次に、対処策立案プログラム１１２が行う、対処策立案処理（ステップ５０４）について説明する。
【００６９】
図９は、対処策立案プログラム１１２が行う、対処策を立案する処理（ステップ５０４）の流れを示すフローチャートである。
【００７０】
図９のフローチャートに基づく動作は以下のとおりである。
ステップ９０１：
対処策立案プログラム１１２は、ステップ５０３で判断した防止対処端末（図７の端末Ａ１１７ａ、端末Ｃ１１７ｃ、端末ｄ１１７ｄ、参照）と、ステップ５０２で判断した拡散活動（図７の拡散活動７０２ｄ、７０２ｅ、７０２ｆ、７０２ｇ）の中から、まだ対処策を立案していない防止対処端末と、その拡散活動を抽出し、すべての防止対処端末と、すべての拡散活動との組み合わせについて、以下のステップ９０２からステップ９０８までの処理を繰り返す。
【００７１】
ステップ９０２：
対処策立案プログラム１１２は、レベル「ｉ」に１を設定する。
【００７２】
ステップ９０３：
対処策立案プログラム１１２は、ステップ９０１で抽出した拡散活動について、対処策テンプレート１１５を活用して、通信方向「Ｏｕｔ」、レベル「ｉ」の対処策を立案する。
ここで、例えば、通信方向４０２が「Ｏｕｔ」、立案テンプレート４０４が「ポートを遮断」の対処策テンプレートである場合、立案する対処策は、ステップ９０１で抽出した防止対処端末が送信する、ステップ９０１で抽出した拡散活動が利用するポート３０５宛への通信を遮断する対処策を立案する。
【００７３】
ステップ９０４：
対処策立案プログラム１１２は、ステップ９０１で抽出した防止対処端末に該当するホワイトリスト１１３と、ステップ９０３で立案した端末１１７に対する対処策と、を比較する。そして、立案した対処策が、ホワイトリスト１１３に存在している場合（Ｙｅｓ）には、ステップ９０５に進み、存在していない場合（Ｎｏ）には、ステップ９０６に進む。
【００７４】
ステップ９０５：
対処策立案プログラム１１２は、すべてのレベルの対処策を試したか否か判定する。そして、判定結果、すべてのレベルの対処策を立案済みである場合（Ｙｅｓ）は、ステップ９０７に進み、まだ立案していないレベルの対処策が存在する場合（Ｎｏ）は、ステップ９０８に進む。
【００７５】
ステップ９０６：
対処策立案プログラム１１２は、ステップ９０４で立案した対処策を管理者に通知する。
なお、ステップ９０４で立案した対処策が既に通知済みの対処策と同一の場合は、管理者への通知を省略してもよい。
【００７６】
ステップ９０７：
対処策立案プログラム１１２は、ステップ９０１で抽出した防止対処端末と、拡散活動と、において対処策が立案できなかったことを管理者に通知する。
【００７７】
ステップ９０８：
対処策立案プログラム１１２は、ｉに１を加え、ステップ９０３に戻る。
【００７８】
ステップ９０９：
対処策立案プログラム１１２は、ステップ５０３で判断した予防対処端末と、ステップ５０２で判断した拡散活動の中から、まだ対処策を立案していない予防対処端末と、拡散活動を抽出し、すべての予防対処端末と、すべての拡散活動との組み合わせについて、以下のステップ９１０からステップ９１６までの処理を繰り返す。
【００７９】
ステップ９１０：
対処策立案プログラム１１２は、ｉに１を設定する。
【００８０】
ステップ９１１：
対処策立案プログラム１１２は、ステップ９０９で抽出した拡散活動について、対処策テンプレート１１５を活用して、通信方向「Ｉｎ」、レベル「ｉ」の対処策を立案する。
ここで、例えば、通信方向４０２が「Ｉｎ」、立案テンプレート４０４が「ポートを遮断」の対処策テンプレートである場合、立案する対処策は、ステップ９０９で抽出した予防対処端末が受信する、ステップ９０９で抽出した拡散活動が利用するポート３０５宛への通信を遮断する対処策を立案する。
【００８１】
ステップ９１２：
対処策立案プログラム１１２は、ステップ９０９で抽出した予防対処端末に該当するホワイトリスト１１３と、ステップ９１１で立案した対処策と、を比較する。そして、比較の結果、立案した対処策に合致する通信が、ホワイトリスト１１３に存在している場合（Ｙｅｓ）には、ステップ９１３に進み、存在していない場合（Ｎｏ）には、ステップ９１４に進む。
【００８２】
ステップ９１３：
対処策立案プログラム１１２は、すべてのレベル（レベル１〜４）の対処策を試したか否か判定する。そして、判定結果、すべてのレベルの対処策を立案済みである場合（Ｙｅｓ）は、ステップ９１５に進み、まだ立案していないレベルの対処策が存在する場合（Ｎｏ）はステップ９１６に進む。
【００８３】
ステップ９１４：
対処策立案プログラム１１２は、ステップ９１２で立案した対処策を管理者に通知する。
なお、ステップ９１２で立案した対処策が既に通知済みの対処策と同一の場合は、管理者への通知を省略してもよい。
【００８４】
ステップ９１５：
対処策立案プログラム１１２は、ステップ９０９で抽出した予防対処端末と、拡散活動と、において対処策が立案できなかったことを管理者に通知する。
【００８５】
ステップ９１６：
対処策立案プログラム１１２は、ｉに１を加え、ステップ９１１に戻る。
【００８６】
次に、ステップ９０１からステップ９１６までの処理の流れを、さらに具体例を用いて説明する。
例えば、拡散活動判定（ステップ５０２）において、図３に示す、端末活動ログ１１４のＩＤ３０１が「６」と、「７」と、「８」と、の端末活動が拡散活動として判定され、対処端末判定（ステップ５０３）において、端末Ａ１１７ａと、端末Ｂ１１７ｂと、が防止対処端末として判定され、端末Ｃ１１７ｃが予防対処端末として判定されたとする。
【００８７】
なお、ここでは、説明を簡単にするため、上述した端末活動のみが拡散活動として、上述した端末のみが防止対処端末と予防対処端末として判定されたとする。また、端末Ａ１１７ａのＩＰアドレスを「１０．０．０．１」、端末Ｂ１１７ｂのＩＰアドレスを「１０．０．０．２」、端末Ｃ１１７ｃのＩＰアドレスを「１０．０．０．３」とする。なお、図２に示されたホワイトリスト１１３と、図４に示された対処策テンプレート１１５を用いて対処策の立案を行うものとする。
【００８８】
対処策立案プログラム１１２は、ステップ５０３で判断した防止対処端末と、ステップ５０２で判断した拡散活動の中から、まだ対処策を立案していない防止対処端末と、拡散活動を抽出し、すべての防止対処端末と、すべての拡散活動との組み合わせについて、ステップ９０２からステップ９０８までの処理を繰り返す（ステップ９０１）。ここで、まだ対処策を立案していない防止対処端末として端末Ａ１１７ａ、拡散活動としてＩＤ３０１が「６」の拡散活動が抽出されたとする。
【００８９】
対処策立案プログラム１１２は、ｉに１を設定する（ステップ９０２）。この時、ｉの値は１となる。
【００９０】
対処策立案プログラム１１２は、ステップ９０１で抽出した拡散活動について、対処策テンプレート１１５を活用して、通信方向「Ｏｕｔ」、レベル「ｉ」の対処策を立案する（ステップ９０３）。この時、立案される対処策は、「端末Ａ１１７ａが送信する、ＴＣＰ／４４５番宛への通信を遮断する」となる。
【００９１】
対処策立案プログラム１１２は、ステップ９０１で抽出した防止対処端末に該当するホワイトリスト１１３と、ステップ９０３で立案した対処策と、を比較し、立案した対処策が、ホワイトリスト１１３に存在している場合には、ステップ９０５に進み、存在していない場合には、ステップ９０６に進む（ステップ９０４）。この時、立案した対処策「端末Ａ１１７ａが送信する、ＴＣＰ／４４５番宛への通信を遮断する」は、ホワイトリスト１１３のＩＤ２０１「３」のホワイトリストに存在するため、ステップ９０５に進む。
【００９２】
対処策立案プログラム１１２は、すべてのレベル（レベル１〜４）の対処策を立案済みである場合は、ステップ９０７に進み、まだ立案していないレベルの対処策が存在する場合はステップ９０８に進む（ステップ９０５）。この時、まだ立案していないレベルの対処策が存在するため、ステップ９０８に進む。
【００９３】
対処策立案プログラム１１２は、ｉに１を加え、ステップ９０３に戻る（ステップ９０８）。この時、ｉの値は２となる。
【００９４】
対処策立案プログラム１１２は、ステップ９０１で抽出した拡散活動について、対処策テンプレート１１５を活用して、通信方向「Ｏｕｔ」、レベル「ｉ」の対処策を立案する（ステップ９０３）。この時、立案される対処策は、「端末Ａ１１７ａが送信する、ＴＣＰ／４４５番宛へのＳＭＢｖ１プロトコル通信を遮断する」となる。
【００９５】
対処策立案プログラム１１２は、ステップ９０１で抽出した防止対処端末に該当するホワイトリスト１１３と、ステップ９０３で立案した対処策と、を比較し、立案した対処策が、ホワイトリスト１１３に存在している場合には、ステップ９０５に進み、存在していない場合には、ステップ９０６に進む（ステップ９０４）。この時、立案した対処策「端末Ａ１１７ａが送信する、ＴＣＰ／４４５番宛へのＳＭＢｖ１通信を遮断する」は、ホワイトリスト１１３に存在しないため、ステップ９０６に進む。
【００９６】
対処策立案プログラム１１２は、ステップ９０４で立案した対処策を管理者に通知する（ステップ９０６）。この時、立案した対処策「端末Ａ１１７ａが送信する、ＴＣＰ／４４５番宛へのＳＭＢｖ１通信を遮断する」が、管理者へ通知される。
【００９７】
対処策立案プログラム１１２は、ステップ５０３で判断した防止対処端末と、ステップ５０２で判断した拡散活動の中から、まだ対処策を立案していない防止対処端末と、拡散活動を抽出し、すべての防止対処端末と、すべての拡散活動との組み合わせについて、ステップ９０２からステップ９０８までの処理を繰り返す（ステップ９０１）。
ここで、まだ対処策を立案していない防止対処端末として端末Ａ１１７ａ、拡散活動としてＩＤ３０１が「７」の拡散活動が抽出されたとする。この時、ＩＤ３０１が「７」の拡散活動からは、ＩＤ３０１が「６」の拡散活動と同一の対処策が立案されるため、説明を省略する。
【００９８】
対処策立案プログラム１１２は、ステップ５０３で判断した防止対処端末と、ステップ５０２で判断した拡散活動の中から、まだ対処策を立案していない防止対処端末と、拡散活動を抽出し、すべての防止対処端末と、すべての拡散活動との組み合わせについて、ステップ９０２からステップ９０８までの処理を繰り返す（ステップ９０１）。
ここで、まだ対処策を立案していない防止対処端末として端末Ａ１１７ａ、拡散活動としてＩＤ３０１が「８」の拡散活動が抽出されたとする。
【００９９】
対処策立案プログラム１１２は、ｉに１を設定する（ステップ９０２）。この時、ｉの値は１となる。
【０１００】
対処策立案プログラム１１２は、ステップ９０１で抽出した拡散活動について、対処策テンプレート１１５を活用して、通信方向「Ｏｕｔ」、レベル「ｉ」の対処策を立案する（ステップ９０３）。この時、立案される対処策は、「端末Ａ１１７ａが送信する、ＴＣＰ／２２番宛への通信を遮断する」となる。
【０１０１】
対処策立案プログラム１１２は、ステップ９０１で抽出した防止対処端末に該当するホワイトリスト１１３と、ステップ９０３で立案した対処策と、を比較し、立案した対処策が、ホワイトリスト１１３に存在している場合には、ステップ９０５に進み、存在していない場合には、ステップ９０６に進む（ステップ９０４）。この時、立案した対処策「端末Ａ１１７ａが送信する、ＴＣＰ／２２番宛への通信を遮断する」は、ホワイトリスト１１３に存在しないため、ステップ９０６に進む。
【０１０２】
対処策立案プログラム１１２は、ステップ９０４で立案した対処策を管理者に通知する（ステップ９０６）。
この時、立案した対処策「端末Ａ１１７ａが送信する、ＴＣＰ／２２番宛への通信を遮断する」が、管理者へ通知される。
【０１０３】
対処策立案プログラム１１２は、ステップ５０３で判断した防止対処端末と、ステップ５０２で判断した拡散活動の中から、まだ対処策を立案していない防止対処端末と、拡散活動を抽出し、すべての防止対処端末と、すべての拡散活動との組み合わせについて、ステップ９０２からステップ９０８までの処理を繰り返す（ステップ９０１）。
ここで、まだ対処策を立案していない防止対処端末として端末Ｂ１１７ｂ、拡散活動としてＩＤ３０１が「６」の拡散活動が抽出されたとする。
【０１０４】
対処策立案プログラム１１２は、ｉに１を設定する（ステップ９０２）。この時、ｉの値は１となる。
【０１０５】
対処策立案プログラム１１２は、ステップ９０１で抽出した拡散活動について、対処策テンプレート１１５を活用して、通信方向「Ｏｕｔ」、レベル「ｉ」の対処策を立案する（ステップ９０３）。
この時、立案される対処策は、「端末Ｂ１１７ｂが送信する、ＴＣＰ／４４５番宛への通信を遮断する」となる。
【０１０６】
対処策立案プログラム１１２は、ステップ９０１で抽出した防止対処端末に該当するホワイトリスト１１３と、ステップ９０３で立案した対処策と、を比較し、立案した対処策が、ホワイトリスト１１３に存在している場合には、ステップ９０５に進み、存在していない場合には、ステップ９０６に進む（ステップ９０４）。
この時、立案した対処策「端末Ｂ１１７ｂが送信する、ＴＣＰ／４４５番宛への通信を遮断する」は、ホワイトリスト１１３のＩＤ２０１「４」のホワイトリストに存在するため、ステップ９０５に進む。
【０１０７】
対処策立案プログラム１１２は、すべてのレベルの対処策を立案済みである場合は、ステップ９０７に進み、まだ立案していないレベルの対処策が存在する場合はステップ９０８に進む（ステップ９０５）。
この時、まだ立案していないレベルの対処策が存在するため、ステップ９０８に進む。
【０１０８】
対処策立案プログラム１１２は、ｉに１を加え、ステップ９０３に戻る（ステップ９０８）。この時、ｉの値は２となる。
対処策立案プログラム１１２は、ステップ９０１で抽出した拡散活動について、対処策テンプレート１１５を活用して、通信方向「Ｏｕｔ」、レベル「ｉ」の対処策を立案する（ステップ９０３）。
この時、立案される対処策は、「端末Ｂ１１７ｂが送信する、ＴＣＰ／４４５番宛へのＳＭＢｖ１プロトコル通信を遮断する」となる。
【０１０９】
対処策立案プログラム１１２は、ステップ９０１で抽出した防止対処端末に該当するホワイトリスト１１３と、ステップ９０３で立案した対処策と、を比較し、立案した対処策に合致する通信が、ホワイトリスト１１３に存在している場合には、ステップ９０５に進み、存在していない場合には、ステップ９０６に進む（ステップ９０４）。
この時、立案した対処策「端末Ｂ１１７ｂが送信する、ＴＣＰ／４４５番宛へのＳＭＢｖ１プロトコル通信を遮断する」は、ホワイトリスト１１３のＩＤ２０１「４」のホワイトリストに存在するため、ステップ９０５に進む。
【０１１０】
対処策立案プログラム１１２は、すべてのレベルの対処策を立案済みである場合は、ステップ９０７に進み、まだ立案していないレベルの対処策が存在する場合はステップ９０８に進む（ステップ９０５）。
この時、まだ立案していないレベルの対処策が存在するため、ステップ９０８に進む。
【０１１１】
対処策立案プログラム１１２は、ｉに１を加え、ステップ９０３に戻る」（ステップ９０８）。この時、ｉの値は３となる。
【０１１２】
対処策立案プログラム１１２は、ステップ９０１で抽出した拡散活動について、対処策テンプレート１１５を活用して、通信方向「Ｏｕｔ」、レベル「ｉ」の対処策を立案する（ステップ９０３）。
この時、立案される対処策は、「端末Ｂ１１７ｂが送信する、ＴＣＰ／４４５番宛へのＳＭＢｖ１プロトコル通信（パケットサイズ５４−８８）を遮断する」となる。
【０１１３】
対処策立案プログラム１１２は、ステップ９０１で抽出した防止対処端末に該当するホワイトリスト１１３と、ステップ９０３で立案した対処策と、を比較し、立案した対処策に合致する通信が、ホワイトリスト１１３に存在している場合には、ステップ９０５に進み、存在していない場合には、ステップ９０６に進む（ステップ９０４）。
この時、立案した対処策「端末Ｂ１１７ｂが送信する、ＴＣＰ／４４５番宛へのＳＭＢｖ１プロトコル通信（パケットサイズ５４−８８）を遮断する」は、ホワイトリスト１１３のＩＤ２０１「４」のホワイトリストに合致するため、ステップ９０５に進む。
【０１１４】
対処策立案プログラム１１２は、すべてのレベルの対処策を立案済みである場合は、ステップ９０７に進み、まだ立案していないレベルの対処策が存在する場合はステップ９０８に進む（ステップ９０５）。
この時、すべてのレベルの対処策を立案済みであるため、ステップ９０７に進む。
【０１１５】
対処策立案プログラム１１２は、ステップ９０１で抽出した防止対処端末と、拡散活動と、において対処策が立案できなかったことを管理者に通知する（ステップ９０７）。
この時、端末Ｂ１１７ｂにおいて、ＩＤ３０１が「６」の拡散活動に対する対処策が立案できなかったことを管理者に通知する。
【０１１６】
対処策立案プログラム１１２は、ステップ５０３で判断した防止対処端末と、ステップ５０２で判断した拡散活動の中から、まだ対処策を立案していない防止対処端末と、拡散活動を抽出し、すべての防止対処端末と、すべての拡散活動との組み合わせについて、ステップ９０２からステップ９０８までの処理を繰り返す（ステップ９０１）。
ここで、まだ対処策を立案していない防止対処端末として端末Ｂ１１７ｂ、拡散活動としてＩＤ３０１が「７」の拡散活動が抽出されたとする。この時、ＩＤ３０１が「７」の拡散活動からは、ＩＤ３０１が「６」の拡散活動と同様対処策が立案できないため、説明を省略する。
【０１１７】
対処策立案プログラム１１２は、ステップ５０３で判断した防止対処端末と、ステップ５０２で判断した拡散活動の中から、まだ対処策を立案していない防止対処端末と、拡散活動を抽出し、すべての防止対処端末と、すべての拡散活動との組み合わせについて、ステップ９０２からステップ９０８までの処理を繰り返す（ステップ９０１）。
ここで、まだ対処策を立案していない防止対処端末として端末Ｂ１１７ｂ、拡散活動としてＩＤ３０１が「８」の拡散活動が抽出されたとする。この時、説明を省略するが、ＩＤ３０１が「８」の拡散活動からは、対処策「端末Ｂ１１７ｂが送信する、ＴＣＰ／２２番宛への通信を遮断する」が立案され、管理者に通知される。
【０１１８】
以上が、防止対処端末における対処策の立案結果となる。続いて、予防対処端末における対処策の立案について説明する。
【０１１９】
対処策立案プログラム１１２は、ステップ５０３で判断した予防対処端末と、ステップ５０２で判断した拡散活動の中から、まだ対処策を立案していない予防対処端末と、拡散活動を抽出し、すべての予防対処端末と、すべての拡散活動との組み合わせについて、ステップ９１０からステップ９１６までの処理を繰り返す（ステップ９０９）。
ここで、まだ対処策を立案していない予防対処端末として端末Ｃ１１７ｃ、拡散活動としてＩＤ３０１が「６」の拡散活動が抽出されたとする。
【０１２０】
対処策立案プログラム１１２は、ｉに１を設定する（ステップ９１０）。この時、ｉの値は１となる。
【０１２１】
対処策立案プログラム１１２は、ステップ９０９で抽出した拡散活動について、対処策テンプレート１１５を活用して、通信方向「Ｉｎ」、レベル「ｉ」の対処策を立案する（ステップ９１１）。
この時、立案される対処策は、「端末Ｃ１１７ｃが受信する、ＴＣＰ／４４５番宛への通信を遮断する」となる。
【０１２２】
対処策立案プログラム１１２は、ステップ９０９で抽出した予防対処端末に該当するホワイトリスト１１３と、ステップ９１１で立案した対処策と、を比較し、立案した対処策が、ホワイトリスト１１３に存在している場合には、ステップ９１３に進み、存在していない場合には、ステップ９１４に進む（ステップ９１２）。
この時、立案した対処策「端末Ｃ１１７ｃが受信する、ＴＣＰ／４４５番宛への通信を遮断する」は、ホワイトリスト１１３のＩＤ２０１「５」のホワイトリストに存在するため、ステップ９１３に進む。
【０１２３】
対処策立案プログラム１１２は、すべてのレベルの対処策を立案済みである場合は、ステップ９１５に進み、まだ立案していないレベルの対処策が存在する場合はステップ９１６に戻る（ステップ９１３）。
この時、まだ立案していないレベルの対処策が存在するため、ステップ９１６に進む。
【０１２４】
対処策立案プログラム１１２は、ｉに１を加え、ステップ９１１に進む（ステップ９１６）。この時、ｉの値は２となる。
【０１２５】
対処策立案プログラム１１２は、ステップ９０９で抽出した拡散活動について、対処策テンプレート１１５を活用して、通信方向「Ｉｎ」、レベル「ｉ」の対処策を立案する（ステップ９１１）。この時、立案される対処策は、「端末Ｃ１１７ｃが受信する、ＴＣＰ／４４５番宛へのＳＭＢｖ１プロトコル通信を遮断する」となる。
【０１２６】
対処策立案プログラム１１２は、ステップ９０９で抽出した予防対処端末に該当するホワイトリスト１１３と、ステップ９１１で立案した対処策と、を比較し、立案した対処策が、ホワイトリスト１１３に存在している場合には、ステップ９１３に進み、存在していない場合には、ステップ９１４に進む（ステップ９１２）。
この時、立案した対処策「端末Ｃ１１７ｃが受信する、ＴＣＰ／４４５番宛へのＳＭＢｖ１プロトコル通信を遮断する」は、ホワイトリスト１１３に存在しないため、ステップ９１４に進む。
【０１２７】
対処策立案プログラム１１２は、ステップ９１２で立案した対処策を管理者に通知する（ステップ９１４）。この時、立案した対処策「端末Ｃ１１７ｃが受信する、ＴＣＰ／４４５番宛へのＳＭＢｖ１プロトコル通信を遮断する」が、管理者へ通知される。
【０１２８】
対処策立案プログラム１１２は、ステップ５０３で判断した予防対処端末と、ステップ５０２で判断した拡散活動の中から、まだ対処策を立案していない予防対処端末と、拡散活動を抽出し、すべての予防対処端末と、すべての拡散活動との組み合わせについて、ステップ９１０からステップ９１６までの処理を繰り返す（ステップ９０９）。
ここで、まだ対処策を立案していない予防対処端末として端末Ｃ１１７ｃ、拡散活動としてＩＤ３０１が「７」の拡散活動が抽出されたとする。この時、ＩＤ３０１が「７」の拡散活動からは、ＩＤ３０１が「６」の拡散活動と同一の対処策が立案されるため、説明を省略する。
【０１２９】
対処策立案プログラム１１２は、ステップ５０３で判断した予防対処端末と、ステップ５０２で判断した拡散活動の中から、まだ対処策を立案していない予防対処端末と、拡散活動を抽出し、すべての予防対処端末と、すべての拡散活動との組み合わせについて、ステップ９１０からステップ９１６までの処理を繰り返す（ステップ９０９）。
ここで、まだ対処策を立案していない予防対処端末として端末Ｃ１１７ｃ、拡散活動としてＩＤ３０１が「８」の拡散活動が抽出されたとする。この時、説明を省略するが、ＩＤ３０１が「８」の拡散活動からは、対処策「端末Ｃ１１７ｃが受信する、ＴＣＰ／２２番宛への通信を遮断する」が立案され、管理者に通知される。
【０１３０】
このように、本実施例では、業務で利用する通信を予めホワイトリストとして保持しておき、サイバー攻撃検知時に、立案した対処策がホワイトリストに含まれている場合には、対処範囲を限定した新たな対処策を立案することで、業務に影響を与えないセキュリティ対処策を立案することが可能となる。
【０１３１】
なお、本実施例の一部を変更して、次のように実施してもよい。アラートの検知情報から予防対処端末を判定してもよい。例えば、ワーム型マルウェアを検知した場合には、拡散活動に含まれる端末数に係らず、すべての端末を予防対処端末と判定する。これにより、先回りの対策（予防）を行うことが可能となる。
【０１３２】
また、立案した対処策を自動適用してもよい。例えば、立案した対処策を管理者に通知すると同時に、対処策を各端末に自動的に適用する。これにより、迅速な対処策の適用が可能となる。
【０１３３】
また、対処策テンプレート１１５の立案テンプレート４０４に、ネットワークレベルの対処策を加えてもよい。例えば、端末１１７にパッチをあてる対処策や、ウイルス対策ソフトのシグネチャを最新版に更新する対処策、端末の設定を変更する対処策、特定プログラムを停止する対処策、などを用いてもよい。これにより、ネットワークレベルの対処策が適用できない場合にも、新たな対処策を立案することが可能となる。
【０１３４】
また、対処策テンプレート１１５の代わりに、セキュリティアプライアンスが検知した検知アラートに該当する対処策を、セキュリティベンダから入手し、対処策立案に用いてもよい。これにより、セキュリティベンダが提供する対処策が業務に影響するか否かを自動で判断し、管理者へ通知することが可能となる。
また、ホワイトリスト生成プログラム１０８は、定期的に実行してもよい。これにより、端末構成の変更や、業務の変更に追随したホワイトリスト１１３を作成することが可能となる。
【０１３５】
また、ホワイトリスト１１３のサイズ２０６は、通信に利用されたパケットのサイズを格納してもよい。これにより、より対処範囲を限定した対処策を立案することが可能となる。
【０１３６】
また、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【符号の説明】
【０１３７】
１０１…セキュリティ対処策立案装置、１０８…ホワイトリスト生成プログラム、１０９…端末活動取得プログラム、１１０…拡散活動判定プログラム、１１１…対処端末判定プログラム、１１２…対処策立案プログラム、１１３…ホワイトリスト、１１４…端末活動ログ、１１５…対処策テンプレート、１１７…端末、１１８…セキュリティアプライアンス
【図１】
2019145996.tif 000003
【図２】
2019145996.tif 000004
【図３】
2019145996.tif 000005
【図４】
2019145996.tif 000006
【図５】
2019145996.tif 000007
【図６】
2019145996.tif 000008
【図７】
2019145996.tif 000009
【図８】
2019145996.tif 000010
【図９】
2019145996.tif 000011