(57)【要約】【課題】サイバー攻撃の状況を容易に把握する。【解決手段】実施形態のプログラムは、複数の情報処理装置のうち攻撃を受けた特定の情報処理装置を検出すると、タイムライン表示する第１の表示領域に、特定の情報処理装置に対応する第１のタイムラインを新たに表示するとともに、第１のタイムライン上に攻撃を受けたことを示す第１のシンボルを表示する処理をコンピュータに実行させる。また、プログラムは、特定の情報処理装置から他の情報処理装置に対する攻撃がなされたことを検出すると、第１のタイムライン上に攻撃をしたことを示す第２のシンボルを表示するとともに、攻撃を受けた他の情報処理装置の検出に応じて、他の情報処理装置に対応する第２のタイムラインを第１のタイムラインに隣接する位置に新たに表示するとともに、第２のタイムライン上に攻撃を受けたことを示す第１のシンボルを表示する処理をコンピュータに実行させる。【選択図】図１
2019191671.tif 000002
【特許請求の範囲】
【請求項１】
複数の情報処理装置を含むシステムを用い、攻撃及び対処予定をシナリオとして定義するサイバー攻撃に対する演習を監視するプログラムにおいて、
前記複数の情報処理装置のうち攻撃を受けた特定の情報処理装置を検出すると、タイムライン表示する第１の表示領域に、前記特定の情報処理装置に対応する第１のタイムラインを新たに表示するとともに、前記第１のタイムライン上に攻撃を受けたことを示す第１のシンボルを表示し、
前記特定の情報処理装置から他の情報処理装置に対する攻撃がなされたことを検出すると、前記第１のタイムライン上に攻撃をしたことを示す第２のシンボルを表示するとともに、該攻撃を受けた他の情報処理装置の検出に応じて、該他の情報処理装置に対応する第２のタイムラインを前記第１のタイムラインに隣接する位置に新たに表示するとともに、該第２のタイムライン上に攻撃を受けたことを示す前記第１のシンボルを表示する
処理をコンピュータに実行させることを特徴とするプログラム。
【請求項２】
前記攻撃に対する対処がなされたことを検出すると、前記第１のタイムライン、及び/又は前記第２のタイムライン上に対処がなされたことを示す第３のシンボルを表示する
処理をコンピュータに実行させることを特徴とする請求項１に記載のプログラム。
【請求項３】
攻撃イベントを表示する第２の表示領域において、攻撃イベントごとに、攻撃イベントによる攻撃対象の情報処理装置の総数と、攻撃を受けた情報処理装置の総数を表示する
処理をコンピュータに実行させることを特徴とする請求項１または２に記載のプログラム。
【請求項４】
複数の情報処理装置を含むシステムを用い、攻撃及び対処予定をシナリオとして定義するサイバー攻撃に対する演習を監視するプログラムにおいて、
前記複数の情報処理装置を含むシステムの構成を表示し、
攻撃シナリオに含まれる特定の攻撃イベントに応じて前記複数の情報処理装置のうちのいずれかが攻撃された場合に、前記特定の攻撃イベントに対応づけて記憶された、前記特定の攻撃イベントに対する対処予定シナリオに基づき、対処操作が行われる予定の情報処理装置を特定し、
前記システム構成において、前記対処操作が行われる予定の情報処理装置を他の情報処理装置と区別可能に表示する
処理をコンピュータに実行させることを特徴とするプログラム。
【請求項５】
前記特定の攻撃イベントに応じて攻撃された前記情報処理装置を他の情報処理装置と区別可能に表示する
処理をコンピュータに実行させることを特徴とする請求項４に記載のプログラム。
【請求項６】
前記特定の攻撃イベントに応じて攻撃された前記情報処理装置のうち、攻撃対処された情報処理装置を攻撃対処がされていない情報処理装置と区別可能に表示する
処理をコンピュータに実行させることを特徴とする請求項５に記載のプログラム。
【請求項７】
複数の情報処理装置を含むシステムを用い、攻撃及び対処予定をシナリオとして定義するサイバー攻撃に対する演習を監視するプログラムにおいて、
前記複数の情報処理装置を含むシステムの構成を表示し、
攻撃シナリオに含まれる特定の攻撃イベントに応じて前記複数の情報処理装置のうち第１の情報処理装置が攻撃され、第２の情報処理装置を用いた対処操作がなされた場合に、該対処操作による対処先の情報処理装置が、前記第１の情報処理装置であるか、又は、他の情報処理装置であるか判定し、
判定結果に応じて、前記第２の情報処理装置から対処先の情報処理装置に対する対処の実行中を示す表示を異なる表示形態とする
処理をコンピュータに実行させることを特徴とするプログラム。
【請求項８】
前記第２の情報処理装置が前記対処先の情報処理装置に対して対処する種別を示すアイコンを前記第２の情報処理装置に対応づけて表示する
処理をコンピュータに実行させることを特徴とする請求項７に記載のプログラム。
【請求項９】
複数の情報処理装置を含むシステムを用い、攻撃及び対処予定をシナリオとして定義するサイバー攻撃に対する演習を監視するプログラムにおいて、
前記複数の情報処理装置のうち所定の複数の情報処理装置の操作画面を並べて表示し、
攻撃シナリオに含まれる特定の攻撃イベントに応じて前記複数の情報処理装置のうちいずれかが攻撃された場合に、前記特定の攻撃イベントに対応づけて記憶された、前記特定の攻撃イベントに対する対処予定シナリオに基づき、対処操作が行われる予定の情報処理装置を特定し、
並べて表示された前記所定の複数の情報処理装置のうち、特定した前記対処操作が行われる予定の情報処理装置の操作画面を他の情報処理装置の操作画面と区別可能に表示する
処理をコンピュータに実行させることを特徴とするプログラム。
【請求項１０】
複数の情報処理装置を含むシステムを用い、攻撃及び対処予定をシナリオとして定義するサイバー攻撃に対する演習を監視するプログラムにおいて、
攻撃シナリオに基づいて、攻撃イベントの開始前のタイミングを検知し、
検知した前記タイミングにおける前記システムのバックアップデータを記憶させ、
前記攻撃イベントの開始後に、前記攻撃シナリオの前記攻撃イベントの開始前の状態に戻す指示がなされると、前記バックアップデータを用いて、前記システムを前記攻撃イベントの開始前の状態に復元させ、
復元後に前記攻撃イベントを発生させる
処理をコンピュータに実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、プログラムに関する。
【背景技術】
【０００２】
従来、サイバー攻撃に対する演習は、演習場となる模擬的な演習システムで行われる。この演習システムでは、例えばウイルスに感染させるなどして、実際にサイバー攻撃を行うウイルスを情報処理装置に注入する。そして、演習対象者は、端末装置を操作し、情報処理装置に注入されたウイルスによるサイバー攻撃への対処を演習する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】国際公開第２０１５／０２９１９５号
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述した従来技術では、演習時におけるサイバー攻撃の状況を把握することが困難であるという問題がある。例えば、演習対象者が操作する端末装置の表示画面からは、演習対象者の操作内容を把握できるが、演習システム内のどの情報処理装置に対してサイバー攻撃が行われているかなどの、サイバー攻撃の状況を把握することは困難である。
【０００５】
また、１つの側面では、サイバー攻撃の状況を容易に把握することができるプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
第１の案では、プログラムは、複数の情報処理装置を含むシステムを用い、サイバー攻撃及び対処予定をシナリオとして定義するサイバー攻撃に対する演習を監視する処理をコンピュータに実行させる。また、プログラムは、複数の情報処理装置のうちサイバー攻撃を受けた特定の情報処理装置を検出すると、タイムライン表示する第１の表示領域に、特定の情報処理装置に対応する第１のタイムラインを新たに表示する処理をコンピュータに実行させる。さらにプログラムは、第１のタイムライン上にサイバー攻撃を受けたことを示す第１のシンボルを表示する処理をコンピュータに実行させる。また、プログラムは、特定の情報処理装置から他の情報処理装置に対するサイバー攻撃がなされたことを検出すると、第１のタイムライン上にサイバー攻撃をしたことを示す第２のシンボルを表示する処理をコンピュータに実行させる。さらにプログラムは、サイバー攻撃を受けた他の情報処理装置の検出に応じて、他の情報処理装置に対応する第２のタイムラインを第１のタイムラインに隣接する位置に新たに表示する処理をコンピュータに実行させる。さらにプログラムは、第２のタイムライン上にサイバー攻撃を受けたことを示す第１のシンボルを表示する処理をコンピュータに実行させる。
【発明の効果】
【０００７】
本発明の１実施形態によれば、サイバー攻撃の状況を容易に把握することができる。
【図面の簡単な説明】
【０００８】
【図１】図１は、実施形態にかかる演習システムの構成を示すブロック図である。
【図２】図２は、実施形態にかかる演習システムを説明する説明図である。
【図３】図３は、攻撃シナリオを説明する説明図である。
【図４】図４は、対処予定シナリオを説明する説明図である。
【図５】図５は、ログにおける攻撃履歴を説明する説明図である。
【図６】図６は、ログにおける操作履歴を説明する説明図である。
【図７】図７は、実施形態にかかる演習システムの機能構成を例示するブロック図である。
【図８】図８は、実施形態にかかる演習システムの動作例を示すフローチャートである。
【図９】図９は、表示画面を説明する説明図である。
【図１０】図１０は、訓練状況の表示処理を例示するフローチャートである。
【図１１】図１１は、タイムライン表示領域を説明する説明図である。
【図１２】図１２は、表示画面を説明する説明図である。
【図１３】図１３は、表示画面を説明する説明図である。
【図１４】図１４は、表示画面を説明する説明図である。
【図１５】図１５は、表示画面を説明する説明図である。
【図１６】図１６は、表示画面を説明する説明図である。
【図１７】図１７は、実施形態にかかる管理装置、情報処理装置および端末装置のハードウエア構成の一例を示すブロック図である。
【発明を実施するための形態】
【０００９】
以下、図面を参照して、実施形態にかかるプログラムを説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するプログラムは、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
【００１０】
図１は、実施形態にかかる演習システム１００の構成を示すブロック図である。図１に示すように、演習システム１００は、管理装置１と、情報処理装置２Ａ、２Ｂ、２Ｃ…と、端末装置３Ａ、３Ｂ…と、監視カメラ４とを有する。
【００１１】
管理装置１と、情報処理装置２Ａ、２Ｂ、２Ｃ…と、端末装置３Ａ、３Ｂ…とは、例えばＬＡＮ（Local  Area  Network）などの通信ネットワークＮを介して互いに通信可能に接続される。また、監視カメラ４は、例えばＵＳＢ（Universal  Serial  Bus）などの通信を介して管理装置１と接続される。なお、管理装置１と他の機器（情報処理装置２Ａ、２Ｂ、２Ｃ…および端末装置３Ａ、３Ｂ…）とは、ＶＬＡＮ（Virtual  LAN）などにより通信ネットワークＮと分離して構成される別の通信ネットワークを介して接続されてもよい。また、管理装置１と監視カメラ４との接続は、通信ネットワークＮを介したものであってもよく、図示例の接続形態に限定しない。
【００１２】
管理装置１、情報処理装置２Ａ、２Ｂ、２Ｃ…および端末装置３Ａ、３Ｂ…には、例えばＰＣ（パーソナルコンピュータ）、ワークステーションおよびサーバなどのコンピュータを適用できる。また、監視カメラ４には、Ｗｅｂカメラなどのデジタルカメラを適用できる。
【００１３】
管理装置１は、情報処理装置２Ａ、２Ｂ、２Ｃ…、端末装置３Ａ、３Ｂ…のサイバー攻撃を管理する。情報処理装置２Ａ、２Ｂ、２Ｃ…は、例えばファイルサーバ、メールサーバ、Ｗｅｂサーバなど、端末装置３Ａ、３Ｂ…に対して各種サービスを提供するサーバ装置である。情報処理装置２Ａ、２Ｂ、２Ｃ…では、管理装置１の管理のもとでサイバー攻撃が実施される。
【００１４】
端末装置３Ａ、３Ｂ…では、情報処理装置２Ａ、２Ｂ、２Ｃ…と同様、管理装置１の管理のもとでサイバー攻撃が実施される。端末装置３Ａ、３Ｂ…は、情報処理装置２Ａ、２Ｂ、２Ｃ…および端末装置３Ａ、３Ｂ…のサイバー攻撃に対する演習を行う演習対象者が使用する端末である。
【００１５】
本実施形態では、演習システム１００において、情報処理装置２Ａ、２Ｂ、２Ｃ…と、端末装置３Ａ、３Ｂ…とを通信ネットワークＮを介して接続した構成がサイバー攻撃の演習を行う演習場である。この演習場は、実際に運用されているシステムなどを模して適宜用意されるものであり、本実施形態に例示した構成に限定しない。
【００１６】
なお、情報処理装置２Ａ、２Ｂ、２Ｃ…は、１または複数あればよく、その個数は限定しない。同様に、端末装置３Ａ、３Ｂ…についても、１または複数あればよく、その個数は限定しない。情報処理装置２Ａ、２Ｂ、２Ｃ…について、特に区別しない場合は情報処理装置２と呼ぶものとする。同様に、端末装置３Ａ、３Ｂ…についても、特に区別しない場合は端末装置３と呼ぶものとする。
【００１７】
監視カメラ４は、演習の様子を監視するためのデジタルカメラであり、撮影された画像（動画像）を管理装置１へ出力する。監視カメラ４は、例えば演習対象者の様子がよく分かるように端末装置３Ａ、３Ｂ…近傍に設置される。管理装置１では、監視カメラ４より撮像された画像をディスプレイなどに表示することで、演習の様子、例えば演習対象者の状態や行動などを容易に確認できる。
【００１８】
図２は、実施形態にかかる演習システムを説明する説明図である。具体的には、図２は、情報処理装置２Ｂにおいてサイバー攻撃ＡＴが実施される事例を説明する図である。なお、端末装置３Ａ、３Ｂ…については図示を省略しているが、端末装置３Ａ、３Ｂ…についても情報処理装置２Ａ、２Ｂ、２Ｃと同様である。図２に示すように、管理装置１は、シナリオ管理部１０１、サイバー攻撃制御部１０２および表示部１１を有する。
【００１９】
シナリオ管理部１０１は、攻撃シナリオ１４１および対処予定シナリオ１４２を管理する。攻撃シナリオ１４１は、演習システム１００における情報処理装置２Ａ、２Ｂ、２Ｃ…および端末装置３Ａ、３Ｂ…のサイバー攻撃全体のシナリオが記述されたデータである。対処予定シナリオ１４２は、攻撃シナリオ１４１の各サイバー攻撃に対して想定される操作内容（対処操作）が記述されたデータである。
【００２０】
図３は、攻撃シナリオ１４１を説明する説明図である。図３に示すように、攻撃シナリオ１４１は、演習開始以後の演習システム１００におけるサイバー攻撃を順に記述している。具体的には、攻撃シナリオ１４１は、「Ｎｏ．」で番号付けされたサイバー攻撃の各々について、「攻撃種類」、「開始時刻」、「終了時刻」、「攻撃元」、「攻撃先」および「補足パラメータ」などのパラメータが記述されている。
【００２１】
「攻撃種類」では、「可搬記憶媒体侵入」、「直接型拡散」、「ステルス化」、「トラフィック送信」、「ファイル改ざん」などのサイバー攻撃の種類が示される。「開始時刻」および「終了時刻」では、演習開始後からサイバー攻撃を開始する時刻およびサイバー攻撃を終了する時刻が示される。例えば、各サイバー攻撃における「開始時刻」の時間間隔を短くすることで、連続的なサイバー攻撃、すなわちサイバー攻撃の攻撃速度を早くすることとなる。逆に、各サイバー攻撃における「開始時刻」の間の時間を長くすることで、散発的なサイバー攻撃、すなわちサイバー攻撃の攻撃速度を遅くすることとなる。
【００２２】
「攻撃元」および「攻撃先」では、サイバー攻撃の元となる装置および攻撃先となる装置などの攻撃経路を示す情報（例えば「装置Ａ」、「装置Ｂ」といったホスト名やネットワークアドレスなど）が示される。「補足パラメータ」では、サイバー攻撃の内容を補足する値が示される。具体的には、「補足パラメータ」において、サイバー攻撃の規模の値が示される。例えば、サイバー攻撃の規模は、サイバー攻撃により占有されるリソースの大小を示すものであり、サイバー攻撃における処理の負荷状態などであってよい。一例として、サイバー攻撃の規模が大きく、通常の処理と比べて多くのリソースが占有される場合は「高負荷」とする。逆に、サイバー攻撃の規模が小さく、通常の処理と比べてもリソースの占有が少ない場合は「低負荷」とする。
【００２３】
図４は、対処予定シナリオ１４２を説明する説明図である。図４に示すように、対処予定シナリオ１４２には、攻撃シナリオ１４１における各サイバー攻撃に対する「対処予定装置」、「対処予定種類」、「対処カテゴリ」などの操作内容が記述されている。
【００２４】
「対処予定装置」はサイバー攻撃に対して対処操作が行われる予定のある装置が記述されている。「対処予定種類」は、「異常検知」、「ネットワーク切断」、「プロセス停止」、「ファイル復旧」など、サイバー攻撃に対する操作の種類が記述されている。例えば、「異常検知」は、所定の調査コマンドの実行を示す。また、「ネットワーク切断」は、ネットワーク機能を停止するコマンドの実行を示す。また、「プロセス停止」は、キルコマンドによるサイバー攻撃を行うプロセスの停止を示す。また、「ファイル復旧」は、復旧コマンドによる改ざんファイルの復旧を示す。
【００２５】
「対処カテゴリ」は、演習対象者による対処操作のカテゴリ（種別）を示すものであり、例えば「調査」、「初期対処」、「原因対処」、「復旧」などがある。
【００２６】
図２に戻り、サイバー攻撃制御部１０２は、シナリオ管理部１０１で管理された攻撃シナリオ１４１を読み出し、情報処理装置２Ａ、２Ｂ、２Ｃ…の各々に攻撃シナリオ１４１に記述されたサイバー攻撃の実行を指示するコマンドを送信してサイバー攻撃を制御する。具体的には、サイバー攻撃制御部１０２は、攻撃シナリオ１４１の「開始時刻」のパラメータをもとに、演習開始後の時刻が開始時刻となったサイバー攻撃を特定する。次いで、サイバー攻撃制御部１０２は、特定したサイバー攻撃のパラメータを攻撃シナリオ１４１より読み出す。次いで、サイバー攻撃制御部１０２は、読み出したパラメータに従ってサイバー攻撃を実行するためのコマンドを「攻撃元」のパラメータで特定される装置に対して送信する。
【００２７】
情報処理装置２は、サイバー攻撃の演習にかかる常駐するプログラム（例えばデーモンなど）の処理により、サイバー攻撃制御部１０２からの指示（パラメータ）に応じてサイバー攻撃を実行するプロセスを起動する。情報処理装置２において起動されるプロセスは、様々なサイバー攻撃を実施するウイルスの実体である。情報処理装置２では、「攻撃種類」、「攻撃先」および「補足パラメータ」などのパラメータに対応するプロセスが起動されることで、データ改ざんやＤｏＳ攻撃（Denial  of  Service  attack）などのサイバー攻撃を行う。具体的には、攻撃シナリオ１４１によるサイバー攻撃制御部１０２の指示により、情報処理装置２Ｂにおいてデータ改ざんなどの内部へのサイバー攻撃ＡＴが行われている。
【００２８】
また、情報処理装置２Ａ、２Ｂ、２Ｃ…の各々は、上述した常駐するプログラムの処理により、バックアップデータ２２１Ａ、２２１Ｂ、２２１Ｃ…と、ログ（部分）２２２Ａ、２２２Ｂ、２２２Ｃ…とを記録する。なお、バックアップデータ２２１Ａ、２２１Ｂ、２２１Ｃ…について、特に区別しない場合はバックアップデータ２２１と呼ぶものとする。同様に、ログ（部分）２２２Ａ、２２２Ｂ、２２２Ｃ…についても、特に区別しない場合はログ（部分）２２２と呼ぶものとする。
【００２９】
バックアップデータ２２１は、情報処理装置２の状態を演習開始の時点に復元するためのデータである。情報処理装置２Ａ、２Ｂ、２Ｃ…の各々は、演習開始時に自身が記憶するファイル等のデータや各種ステータスをバックアップデータ２２１Ａ、２２１Ｂ、２２１Ｃ…として記録する。
【００３０】
ログ（部分）２２２は、サイバー攻撃による攻撃履歴および演習対象者などのユーザがログオンして操作した操作履歴である。情報処理装置２Ａ、２Ｂ、２Ｃ…の各々は、自身のプロセスを監視して抽出した攻撃履歴および操作履歴をログ（部分）２２２Ａ、２２２Ｂ、２２２Ｃ…として記録する。
【００３１】
なお、操作履歴については、全ての操作履歴ではなく、対処予定シナリオ１４２に記述された対処操作に対応する操作履歴、すなわち攻撃シナリオ１４１のサイバー攻撃に対する対処行動を記録してもよい。例えば、情報処理装置２は、対処予定シナリオ１４２を管理装置１より受信しておき、ユーザより受け付けた操作内容が対処予定シナリオ１４２の「対処予定種類」に対応するものを抽出する。例えば「対処予定種類」が「ネットワーク切断」である場合、ユーザより受け付けた操作内容からネットワーク機能を停止するコマンドの実行を対処行動として抽出する。そして、情報処理装置２は、抽出した対処行動の内容（例えば「ネットワーク切断」）、内容に対応する種別（例えば「初期対処」）、対処した装置および対処時刻を操作履歴としてログ（部分）２２２に記録する。具体的には、対処行動の内容を「対処行動」、内容に対応する種別を「対処カテゴリ」、対処した装置を「対処装置」、対処時刻を「対処時刻」とする操作履歴を記録する。
【００３２】
管理装置１は、情報処理装置２Ａ、２Ｂ、２Ｃ…の各々が記録したログ（部分）２２２Ａ、２２２Ｂ、２２２Ｃ…を収集して演習システム１００全体のログ（全体）１４３を取得する。管理装置１は、取得したログ（全体）１４３をもとに、演習システム１００における演習状況を表示部１１に表示する。これにより、管理装置１のユーザ（例えば演習の監視者）は、演習状況を把握できる。
【００３３】
図５は、ログにおける攻撃履歴を説明する説明図である。図５に示すように、情報処理装置２Ａ、２Ｂ、２Ｃの各々は、攻撃シナリオ１４１のサイバー攻撃に対応する攻撃履歴をログ（部分）２２２Ａ、２２２Ｂ、２２２Ｃとして記録する。なお、情報処理装置２Ａ、２Ｂ、２Ｃはそれぞれ「装置Ａ」、「装置Ｂ」、「装置Ｃ」とする。
【００３４】
例えば、ログ（部分）２２２Ａ、２２２Ｂ、２２２Ｃの攻撃履歴には、各サイバー攻撃ごとに、「攻撃種類」、「開始時刻」、「終了時刻」、「攻撃先」、「補足パラメータ」、「攻撃結果」、「開始時刻（結果）」および「終了時刻（結果）」が記録される。「攻撃種類」、「開始時刻」、「終了時刻」、「攻撃先」、「補足パラメータ」は、攻撃シナリオ１４１に対応するパラメータである。「攻撃結果」は、攻撃の失敗／成功を示すパラメータである。「開始時刻（結果）」および「終了時刻（結果）」は、実際のサイバー攻撃の開始および終了の時刻を示すパラメータである。
【００３５】
図６は、ログにおける操作履歴を説明する説明図である。図６に示すように、情報処理装置２Ａ、２Ｂ、２Ｃの各々は、攻撃シナリオ１４１のサイバー攻撃に対する対処操作を示す操作履歴をログ（部分）２２２Ａ、２２２Ｂ、２２２Ｃとして記録する。例えば、ログ（部分）２２２Ａ、２２２Ｂ、２２２Ｃの操作履歴には、対処予定シナリオ１４２の対処操作に対応する対処行動が記録される。具体的には、「攻撃種類」、「開始時刻」、「終了時刻」、「攻撃元」、「攻撃先」、「補足パラメータ」、「対処予定種類」、「対処カテゴリ」などの対処予定シナリオ１４２に対応するパラメータが記録される。また、操作履歴には、実際に対処した対処先の装置を示す「対処装置」、実際の操作内容を示す「対処行動」および操作の時刻を示す「対処時刻」が記録される。管理装置１では、これらのログ（部分）２２２Ａ、２２２Ｂ、２２２Ｃを情報処理装置２Ａ、２Ｂ、２Ｃより収集して集約し、ログ（全体）１４３を得る。
【００３６】
図７は、実施形態にかかる演習システム１００の機能構成を例示するブロック図である。図７に示すように、管理装置１は、制御部１０、表示部１１、操作部１２、通信部１３および記憶部１４を有する。
【００３７】
制御部１０は、各種プログラムや制御データを格納する内部メモリを有し、これらによって種々の処理を実行するものである。一実施形態として、制御部１０は、中央処理装置、いわゆるＣＰＵ（Central  Processing  Unit）として実装される。なお、制御部１０は、必ずしも中央処理装置として実装されずともよく、ＭＰＵ（Micro  Processing  Unit）として実装されることとしてもよい。また、制御部１０は、ＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）などのハードワイヤードロジックによっても実現できる。
【００３８】
表示部１１は、ＬＣＤ（Liquid  Crystal  Display）などの表示デバイスであり、制御部１０の制御のもと表示を行う。操作部１２は、キーボード、マウス、タッチパネルなどの入力デバイスであり、ユーザ（例えば演習の監視者）からの操作を受け付けて制御部１０へ出力する。通信部１３は、制御部１０の制御のもと、通信ネットワークＮを介して接続する他の装置（例えば情報処理装置２および端末装置３）や監視カメラ４との間で通信を行うインタフェースである。
【００３９】
記憶部１４は、制御部１０で実行される各種プログラムおよび各種プログラムに用いられるデータを記憶する記憶デバイスである。一実施形態として、記憶部１４は、装置における主記憶装置として実装される。例えば、記憶部１４には、各種の半導体メモリ素子、例えばＲＡＭ（Random  Access  Memory)やフラッシュメモリを採用できる。また、記憶部１４は、補助記憶装置として実装することもできる。この場合、ＨＤＤ（Hard  Disk  Drive）、光ディスクやＳＳＤ（Solid  State  Drive）などを採用できる。例えば、記憶部１４は、攻撃シナリオ１４１、対処予定シナリオ１４２、ログ（全体）１４３およびネットワーク情報１４４を格納する。
【００４０】
ネットワーク情報１４４は、演習システム１００において通信ネットワークＮに接続された各ノード（例えば管理装置１、情報処理装置２、端末装置３およびルータやスイッチなどのネットワーク機器など）のアドレスや接続経路などを示す情報である。管理装置１では、ネットワーク情報１４４を参照することで、例えば情報処理装置２Ａ、２Ｂ、２Ｃ…、端末装置３Ａ、３Ｂ…および通信ネットワークＮについてのネットワーク構成図を表示できる。
【００４１】
情報処理装置２および端末装置３は、通信部２０、制御部２１および記憶部２２を有する。通信部２０は、制御部２１の制御のもと、通信ネットワークＮを介して接続する他の装置（例えば管理装置１）との間で通信を行うインタフェースである。
【００４２】
制御部２１は、各種プログラムや制御データによって種々の処理を実行するものである。一実施形態として、制御部２１は、中央処理装置、いわゆるＣＰＵとして実装される。例えば、制御部２１は、上述した常駐するプログラムの処理により、サイバー攻撃の実行や、バックアップデータ２２１およびログ（部分）２２２の記録などを行う。
【００４３】
記憶部２２は、制御部２１で実行される各種プログラムおよび各種プログラムに用いられるデータを記憶する記憶デバイスである。一実施形態として、記憶部２２は、装置における主記憶装置として実装される。例えば、記憶部２２には、各種の半導体メモリ素子、例えばＲＡＭやフラッシュメモリを採用できる。また、記憶部２２は、補助記憶装置として実装することもできる。この場合、ＨＤＤ、光ディスクやＳＳＤなどを採用できる。例えば、記憶部２２は、バックアップデータ２２１およびログ（部分）２２２を格納する。
【００４４】
制御部１０は、プログラムを実行することで、シナリオ管理部１０１、サイバー攻撃制御部１０２、ログ収集部１０３および表示制御部１０４の機能を実現する。
【００４５】
シナリオ管理部１０１は、攻撃シナリオ１４１および対処予定シナリオ１４２を管理する。攻撃シナリオ１４１は、演習システム１００における情報処理装置２Ａ、２Ｂ、２Ｃ…および端末装置３Ａ、３Ｂ…のサイバー攻撃全体のシナリオが記述されたデータである。対処予定シナリオ１４２は、攻撃シナリオ１４１の各サイバー攻撃に対して想定される操作内容（対処操作）が記述されたデータである。
【００４６】
サイバー攻撃制御部１０２は、攻撃シナリオ１４１をもとに、情報処理装置２Ａ、２Ｂ、２Ｃ…の各々に攻撃シナリオ１４１に記述されたサイバー攻撃の実行を指示するコマンドを送信してサイバー攻撃を制御する。
【００４７】
ログ収集部１０３は、情報処理装置２および端末装置３などの演習にかかる機器より、記録されたログ（部分）２２２を通信部１３を介して収集する。具体的には、ログ収集部１０３は、ネットワーク情報１４４に記述された各ノードに対し、ログ２２２を要求するコマンドを通信部１３を介して送信する。情報処理装置２および端末装置３などの各機器では、管理装置１からのログ（部分）２２２を要求するコマンドに応じて記憶部２２よりログ（部分）２２２を読み出し、管理装置１へ送信する。ログ収集部１０３は、情報処理装置２および端末装置３などの各機器より送信されたログ（部分）２２２をマージし、演習システム１００全体のログ（全体）１４３を記憶部１４へ記憶する。
【００４８】
表示制御部１０４は、表示部１１の表示画面における表示制御を行う。例えば、表示制御部１０４は、ＧＵＩ（Graphical  User  Interface）におけるアイコン、ボタン、シンボルなどのグラフィックを表示部１１の表示画面に表示させる。表示制御部１０４は、表示部１１に表示されたＧＵＩにおいて、操作部１２による操作指示を受け付けて、操作に対応した処理結果を表示画面に表示させる。
【００４９】
一例として、表示制御部１０４は、攻撃シナリオ１４１および対処予定シナリオ１４２の作成を行う表示画面を表示部１１に表示させる。シナリオ管理部１０１は、表示部１１に表示された表示画面において操作部１２による操作指示を受け付けて攻撃シナリオ１４１および対処予定シナリオ１４２を作成する。次いで、シナリオ管理部１０１は、作成した攻撃シナリオ１４１および対処予定シナリオ１４２を記憶部１４に登録する。また、ログ収集部１０３は、ログ（全体）１４３およびネットワーク情報１４４を記憶部１４より読み出し、演習システム１００における訓練状況を表示部１１の表示画面上に表示させる（詳細は後述する）。
【００５０】
図８は、実施形態にかかる演習システム１００の動作例を示すフローチャートである。図８に示すように、管理装置１では、表示制御部１０４の制御のもと、攻撃シナリオ１４１および対処予定シナリオ１４２を作成する。次いで、シナリオ管理部１０１は、記憶部１４による操作指示をもとに、攻撃シナリオ１４１および対処予定シナリオ１４２を作成する（Ｓ１）。次いで、シナリオ管理部１０１は、作成された攻撃シナリオ１４１および対処予定シナリオ１４２を記憶部１４に登録する（Ｓ２）。
【００５１】
Ｓ１では、攻撃シナリオ１４１における各サイバー攻撃への対処操作の内容が対処予定シナリオ１４２のパラメータとして設定される。例えば、図３に例示した攻撃シナリオ１４１の「トラフィック送信」については、図４に示すように、３種類の対処操作の内容がパラメータとして対処予定シナリオ１４２に設定される。
【００５２】
演習開始の操作指示などをもとに演習が開始されると、管理装置１のシナリオ管理部１０１は、通信部１３を介した通信ネットワークＮへのブロードキャストなどにより、演習開始を情報処理装置２および端末装置３へ通知する（Ｓ３）。なお、対処予定シナリオ１４２に記述された対処操作に対応する操作履歴をログ（部分）２２２として記録する場合には、Ｓ３において演習開始とともに、対処予定シナリオ１４２を情報処理装置２および端末装置３へ通知する。
【００５３】
演習開始の通知を受けた情報処理装置２および端末装置３の制御部２１は、ログ（部分）２２２の記録を開始する（Ｓ４）。
【００５４】
演習開始の後、管理装置１のログ収集部１０３は、情報処理装置２および端末装置３において記録されたログ（部分）２２２の収集を開始する（Ｓ５）。このログ（部分）２２２の収集は、所定の周期（例えば１秒毎）で行われる。これにより、記憶部１４には、演習システム１００全体のログ（全体）１４３が逐次記録されることとなる。
【００５５】
次いで、管理装置１の制御部１０は、操作部１２における演習のバックアップデータを作成する指示入力の有無などをもとに、バックアップ作成の有無を判定する（Ｓ６）。
【００５６】
演習のバックアップを作成する場合（Ｓ６：ＹＥＳ）、制御部１０は、通信部１３を介して演習のバックアップ作成を情報処理装置２および端末装置３に通知する（Ｓ７）。また、演習のバックアップを作成しない場合（Ｓ６：ＮＯ）、制御部１０はＳ７の処理をスキップする。
【００５７】
情報処理装置２および端末装置３の制御部２１では、管理装置１からの演習のバックアップを作成する有無を判定する（Ｓ８）。演習のバックアップを作成する通知がある場合（Ｓ８：ＹＥＳ）、情報処理装置２および端末装置３の制御部２１は、自身が記憶するファイル等のデータや各種ステータスを収集してバックアップデータ２２１を生成する（Ｓ９）。次いで、制御部２１は、生成したバックアップデータ２２１を演習開始の時点に復元するデータとし、例えば演習開始の時刻を示すタイムスタンプなどを付して、記憶部２２へ格納する。
【００５８】
次いで、サイバー攻撃制御部１０２は、攻撃シナリオ１４１をもとにサイバー攻撃開始の有無を判定する（Ｓ１０）。具体的には、サイバー攻撃制御部１０２は、登録された攻撃シナリオ１４１のサイバー攻撃の中で、演習開始後に開始時刻となったサイバー攻撃の有無を判定する。
【００５９】
開始時刻となったサイバー攻撃があり、サイバー攻撃開始ありとする場合（Ｓ１０：ＹＥＳ）、サイバー攻撃制御部１０２は、攻撃シナリオ１４１より開始時刻となったサイバー攻撃の実行を情報処理装置２および端末装置３における攻撃元の装置に対して通知する（Ｓ１１）。具体的には、サイバー攻撃制御部１０２は、攻撃シナリオ１４１より開始時刻となったサイバー攻撃のパラメータを読み出し、読み出したパラメータに従ってサイバー攻撃を実行するための通知を「攻撃元」の装置に対して送信する。情報処理装置２および端末装置３の制御部２１では、管理装置１からのサイバー攻撃実行の有無を判定する（Ｓ１２）。サイバー攻撃実行の通知がある場合（Ｓ１２：ＹＥＳ）、情報処理装置２および端末装置３における攻撃元の装置では、Ｓ１１における通知をもとに、サイバー攻撃を実行する（Ｓ１３）。
【００６０】
なお、開始時刻となったサイバー攻撃がなく、サイバー攻撃開始なしとする場合（Ｓ１０：ＮＯ）、サイバー攻撃制御部１０２は、Ｓ１１の処理をスキップする。
【００６１】
次いで、管理装置１の表示制御部１０４は、演習システム１００における演習状況を表示部１１の表示画面上に表示させる表示処理を行う（Ｓ１４）。
【００６２】
図９は、表示画面Ｇを説明する説明図である。図９に示すように、演習状況を表示する表示画面Ｇは、全体表示領域Ｇ１、シナリオ状況表示領域Ｇ２およびプレイヤ状況表示領域Ｇ３を有する画面構成である。
【００６３】
全体表示領域Ｇ１は、全体構成を表示する領域である。表示制御部１０４は、ネットワーク情報１４４をもとに、例えばネットワーク構成図を全体表示領域Ｇ１に表示する。具体的には、情報処理装置２Ａ、２Ｂ、２Ｃ…、端末装置３Ａ、３Ｂ…および通信ネットワークＮのそれぞれに対応するシンボルＧ１２Ａ、Ｇ１２Ｂ、Ｇ１２Ｃ…、Ｇ１３Ａ、Ｇ１３Ｂ…およびＧ１Ｎを全体表示領域Ｇ１に表示する。なお、全体表示領域Ｇ１において表示する全体構成については、図示例のネットワーク構成図に限定しない。例えば、表示制御部１０４は、構成する各ノードの情報を行ごとに表形式で全体表示領域Ｇ１に表示してもよい。
【００６４】
シナリオ状況表示領域Ｇ２は、演習にかかるシナリオの進捗状況を表示する領域であり、シナリオ表示領域Ｇ２１とタイムライン表示領域Ｇ２２とを有する。シナリオ表示領域Ｇ２１は、攻撃シナリオ１４１におけるサイバー攻撃の一覧を時系列で表示する領域である。表示制御部１０４は、攻撃シナリオ１４１に記述されたサイバー攻撃の攻撃イベントをＮＯ．順に読み出して表形式でシナリオ表示領域Ｇ２１に表示する。
【００６５】
タイムライン表示領域Ｇ２２は、所定の軸方向（図示例では横軸）を時間軸として各種のイベントをラインで示す領域である。表示制御部１０４は、演習システム１００全体のログ（全体）１４３をもとに後述する表示処理を行うことで、演習時に実行されたサイバー攻撃をラインで表示する。
【００６６】
プレイヤ状況表示領域Ｇ３は、演習対象者の状況を表示する領域である。表示制御部１０４は、演習対象者が使用する端末装置３（３Ａ、３Ｂ…）より取得した操作画面Ｇ３３Ａ〜Ｇ３３Ｅと、監視カメラ４より取得したカメラ画像Ｇ３１とをプレイヤ状況表示領域Ｇ３に表示する。
【００６７】
具体的には、制御部１０は、ネットワーク情報１４４を参照し、演習対象者が使用する端末装置３（３Ａ、３Ｂ…）をホスト名などで特定する。次いで、制御部１０は、特定した各端末装置３に対して操作画面のデータ送信を要求し、操作画面の表示データを取得する。表示制御部１０４は、演習対象者が使用する各端末装置３より逐次取得した表示データをもとに、操作画面Ｇ３３Ａ〜Ｇ３３Ｅをホスト名などとともにプレイヤ状況表示領域Ｇ３に表示する。また、表示制御部１０４は、通信部１３を介して監視カメラ４より取得した画像データ（例えば動画像データ）をカメラ画像Ｇ３１としてプレイヤ状況表示領域Ｇ３に表示する。
【００６８】
表示制御部１０４は、上述した表示画面Ｇを表示した後に、演習システム１００全体のログ（全体）１４３に基づいて演習状況を表示する表示処理を行うことで、表示画面Ｇの表示内容を現在の演習状況に合わせたものに更新する。
【００６９】
図１０は、演習状況の表示処理を例示するフローチャートである。図１０に示すように、処理が開始されると、表示制御部１０４は、ログ（全体）１４３の攻撃履歴を参照し、現時点で攻撃結果が成功であり、サイバー攻撃を受けた装置があるか否かを判定する（Ｓ１０１）。例えば、図５に例示した攻撃履歴では、演習開始後の「００：１５：００」の時点で「Ｎｏ．１」のサイバー攻撃が成功しており、「装置Ａ」自身に対するサイバー攻撃と判定される。
【００７０】
サイバー攻撃を受けた装置がある場合（Ｓ１０１：ＹＥＳ）、表示制御部１０４は、サイバー攻撃を受けた装置に対応するタイムラインと、サイバー攻撃を受けたことを示すシンボルをシナリオ状況表示領域Ｇ２に表示する（Ｓ１０２）。サイバー攻撃を受けた装置がない場合（Ｓ１０１：ＮＯ）、表示制御部１０４は、Ｓ１０２、Ｓ１０３の処理をスキップする。
【００７１】
図１１は、タイムライン表示領域Ｇ２２を説明する説明図である。図１１に示すように、タイムライン表示領域Ｇ２２には、サイバー攻撃を受けた装置ごとに、攻撃を受けたことを示す攻撃侵入シンボルＧ２１０を始点とするタイムラインＧ２０１〜Ｇ２０５が表示される。タイムラインＧ２０１〜Ｇ２０５は、サイバー攻撃に対する対処が成されるまで継続して表示され、時間軸に沿って伸びるラインである。現在時刻シンボルＧ２２０は、時間軸おける現在時刻を示すシンボルである。
【００７２】
サイバー攻撃を受けた装置を足がかりとして、更に別の装置にサイバー攻撃が行われた場合には、攻撃元の装置のタイムライン（Ｇ２０１、Ｇ２０４）に攻撃拡散元シンボルＧ２１１が表示される。また、サイバー攻撃を受けた攻撃先の装置については、攻撃侵入シンボルＧ２１０を始点とするタイムライン（Ｇ２０２〜Ｇ２０５）が表示される。タイムラインＧ２０１〜Ｇ２０５は、対処操作によりサイバー攻撃への対処が成された時点で攻撃対処シンボルＧ２１２が表示されて、時間軸に沿った延長が停止される。
【００７３】
Ｓ１０２では、タイムライン表示領域Ｇ２２の現在時刻シンボルＧ２２０に対応する場所に攻撃侵入シンボルＧ２１０を始点とするタイムラインの表示が行われる。例えば、「１０：００」の時点である装置がサイバー攻撃を受けた場合、表示制御部１０４は、「１０：００」の時点に攻撃侵入シンボルＧ２１０を表示する。そして、表示制御部１０４は、攻撃侵入シンボルＧ２１０を始点としたタイムラインＧ２０１を表示する。このシナリオ状況表示領域Ｇ２の表示内容を確認することで、ユーザは、サイバー攻撃を受けた装置の有無とその現状を容易に把握できる。
【００７４】
次いで、表示制御部１０４は、ログ（全体）１４３の攻撃履歴における「攻撃先」の値をもとにネットワーク情報１４４を参照し、全体構成の中でサイバー攻撃を受けた装置を特定する。次いで、表示制御部１０４は、全体表示領域Ｇ１の中でサイバー攻撃を受けた装置として特定された装置のシンボルを、他の装置のシンボルと区別して表示する（Ｓ１０３）。
【００７５】
図１２は、表示画面Ｇを説明する説明図である。図１２に示すように、表示制御部１０４は、全体表示領域Ｇ１におけるシンボル（Ｇ１Ｎ、Ｇ１２Ａ〜Ｇ１２Ｃ…、Ｇ１３Ａ、Ｂ…）の中で、サイバー攻撃を受けた装置のシンボルＧ１３Ａに攻撃対象シンボルＧ１０１を表示する。また、表示制御部１０４は、サイバー攻撃に対して未対処であることを示す未対処シンボルＧ１０２をシンボルＧ１３Ａ近傍に合わせて表示する。これにより、ユーザは、サイバー攻撃を受けている装置について、サイバー攻撃への未対処を含めた確認を容易に行うことができる。
【００７６】
なお、攻撃対象シンボルＧ１０１および未対処シンボルＧ１０２の表示形態については、特に図示例に限定するものではなく、他の装置と区別できるものであれば、例えば点滅表示などの表示形態であってもよい。
【００７７】
次いで、表示制御部１０４は、ログ（全体）１４３の攻撃履歴を参照し、現時点において攻撃結果が成功であるサイバー攻撃の中で、特定の装置（攻撃元）から他の装置（攻撃先）へのサイバー攻撃があるか否かを判定する（Ｓ１０４）。具体的には、表示制御部１０４は、ログ（全体）１４３の攻撃履歴をもとに、情報処理装置２Ａ、２Ｂ、２Ｃ…の各々が記録したログ（部分）２２２Ａ、２２２Ｂ、２２２Ｃ…のいずれ該当するかでサイバー攻撃における「攻撃元」を特定し、また、ログ（全体）１４３の「攻撃先」から「攻撃先」を特定し、「攻撃元」と「攻撃先」とが一致するか否かを判定する。
【００７８】
例えば、図５に例示した攻撃履歴では、演習開始後の「００：３０：００」の時点で「Ｎｏ．２」のサイバー攻撃が成功している。この「Ｎｏ．２」のサイバー攻撃は、情報処理装置２Ａ（「装置Ａ」）のログ（部分）２２２Ａのものであることから、攻撃元は「装置Ａ」である。したがって、「Ｎｏ．２」のサイバー攻撃における攻撃先の値（「装置Ｂ、Ｃ、Ｄ」）をもとに、「装置Ａ」から「装置Ｂ、Ｃ、Ｄ」へのサイバー攻撃であるものと判定される。
【００７９】
特定の装置（攻撃元）から他の装置（攻撃先）へのサイバー攻撃がある場合（Ｓ１０４：ＹＥＳ）、表示制御部１０４は、タイムライン表示領域Ｇ２２の攻撃元のタイムラインに隣接する位置に、攻撃先の装置に対応するタイムラインおよび攻撃侵入シンボルを表示する。また、表示制御部１０４は、攻撃元のタイムラインには、他の装置へのサイバー攻撃を実行したことを示す攻撃拡散元シンボルＧ２１１を表示する（Ｓ１０５）。攻撃元から攻撃先へのサイバー攻撃がない場合（Ｓ１０４：ＮＯ）、表示制御部１０４は、Ｓ１０５〜Ｓ１０６の処理をスキップする。
【００８０】
例えば、図１１の例では、「１３：００」の時点で、タイムラインＧ２０１に対応する装置を攻撃元とする他の装置へのサイバー攻撃が実行されている。したがって、「１３：００」の時点でタイムラインＧ２０４上にサイバー攻撃の実施を示す攻撃拡散元シンボルＧ２１１が表示される。また、タイムラインＧ２０４の直下には、攻撃侵入シンボルＧ２１０を始点とするタイムラインＧ２０５の表示が行われる。これにより、ユーザは、攻撃元から攻撃先へサイバー攻撃が行われる進捗状況を容易に把握できる。
【００８１】
次いで、表示制御部１０４は、攻撃元と攻撃先の装置について、ネットワーク情報１４４を参照し、全体構成の中で対応する装置を特定する。次いで、表示制御部１０４は、全体表示領域Ｇ１の中で攻撃元と攻撃先の装置を他の装置と区別して表示する（Ｓ１０６）。
【００８２】
図１３は、表示画面Ｇを説明する説明図である。図１３に示すように、表示制御部１０４は、全体表示領域Ｇ１におけるシンボル（Ｇ１Ｎ、Ｇ１２Ａ〜Ｇ１２Ｃ…、Ｇ１３Ａ、Ｂ…）の中で、攻撃元の装置のシンボルＧ１３Ａと攻撃先の装置のシンボルＧ１２Ｃに攻撃対象シンボルＧ１０１を表示する。また、表示制御部１０４は、攻撃元から攻撃先へのサイバー攻撃を示す攻撃シンボルＧ１０３を表示する。なお、攻撃対象シンボルＧ１０１の表示は、例えば攻撃先を点滅し、攻撃元を非点滅とするなど、攻撃元と攻撃先とで異なるものであってもよい。これにより、ユーザは、攻撃元から攻撃先へ行われるサイバー攻撃について、攻撃元と攻撃先の装置の確認を容易に行うことができる。
【００８３】
次いで、表示制御部１０４は、サイバー攻撃の一覧を攻撃イベントごとに表形式で表示しているシナリオ表示領域Ｇ２１において、攻撃イベントごとに攻撃対象の総数と攻撃を受けた装置の総数とを表示する（Ｓ１０７）。
【００８４】
具体的には、表示制御部１０４は、攻撃シナリオ１４１においてＮｏ．順に記述された攻撃イベントごとに、攻撃イベントの内容（「攻撃種類」、「開始時刻」、「攻撃元」、「攻撃先」）を取得する。次いで、表示制御部１０４は、「攻撃先」の総数を攻撃イベントにおける攻撃対象の総数とする。次いで、表示制御部１０４は、攻撃イベントの内容（「攻撃種類」、「開始時刻」、「攻撃元」、「攻撃先」）とマッチする攻撃履歴をログ（全体）１４３より抽出する。次いで、表示制御部１０４は、抽出した攻撃履歴において、攻撃結果が成功している場合、「攻撃先」の総数を攻撃を受けた装置の総数とする。
【００８５】
次いで、表示制御部１０４は、得られた攻撃対象の総数および攻撃を受けた装置の総数を攻撃イベントの「攻撃進捗」などの項目欄に表示する。例えば、（攻撃対象の総数）を分母とし、（攻撃を受けた装置の総数）を分子として、（攻撃を受けた装置の総数）／（攻撃対象の総数）などのようにして「攻撃進捗」の項目欄に表示する。ユーザは、攻撃イベントごとの「攻撃進捗」を確認することで、攻撃イベントで予定されている攻撃対象の総数と、実際に攻撃を受けた装置の総数とを容易に把握できる。
【００８６】
例えば、図３に例示した攻撃シナリオ１４１における２番目の「直接型拡散」の攻撃イベントについては、「攻撃先」が「装置Ｂ、Ｃ、Ｄ」であることから、攻撃対象の総数は「３」となる。また、図５に例示したログ（全体）１４３の中からは、攻撃イベントにマッチするものとして、攻撃種類「直接型拡散」、開始時間「００：３０：００」、攻撃元「装置Ａ」および攻撃先「装置Ｂ、Ｃ、Ｄ」の攻撃履歴が抽出される。この攻撃履歴は、攻撃結果が成功していることから、攻撃先「装置Ｂ、Ｃ、Ｄ」の総数である「３」が攻撃を受けた装置の総数となる。よって、「攻撃進捗」の項目欄には「３／３」が表示される。
【００８７】
次いで、表示制御部１０４は、対処予定シナリオ１４２をもとに、現時点において対処操作が行われる予定のある装置（対応予定の装置）があるか否かを判定する（Ｓ１０８）。具体的には、表示制御部１０４は、対処予定シナリオ１４２において現在時刻が開始時刻〜終了時刻の間を満たすシナリオを特定し、特定したシナリオにおける「対処予定装置」の有無を判定する。例えば、演習後の現在時刻が「００：３０：００」である場合には、図４に例示した対処予定シナリオ１４２の中から１、２番目のシナリオが特定され、「対処予定装置」の「装置Ｘ」が対応予定の装置と判定される。
【００８８】
対応予定の装置がある場合（Ｓ１０８：ＹＥＳ）、表示制御部１０４は、対処予定シナリオ１４２の「対処予定装置」の値をもとにネットワーク情報１４４を参照し、全体構成の中で対処予定の装置を特定する。次いで、表示制御部１０４は、全体表示領域Ｇ１の中の対処予定の装置に対処予定シンボルを表示する（Ｓ１０９）。次いで、表示制御部１０４は、プレイヤ状況表示領域Ｇ３の中の対処予定の装置の操作画面に対処予定シンボルを表示し、対処予定の装置の画面を示す表示を行う（Ｓ１１０）。対応予定の装置がない場合（Ｓ１０８：ＮＯ）、表示制御部１０４は、Ｓ１０９、Ｓ１１０の処理をスキップする。
【００８９】
図１４は、表示画面Ｇを説明する説明図である。図１４に示すように、表示制御部１０４は、全体表示領域Ｇ１におけるシンボル（Ｇ１Ｎ、Ｇ１２Ａ〜Ｇ１２Ｃ…、Ｇ１３Ａ、Ｂ…）の中で、対処予定の装置のシンボルＧ１３Ｂに対処予定シンボルＧ１０４を表示する。これにより、ユーザは、サイバー攻撃への対処予定のある装置を容易に確認できる。また、表示制御部１０４は、プレイヤ状況表示領域Ｇ３における操作画面Ｇ３３Ａ〜Ｇ３３Ｅの中で、対処予定の装置の操作画面Ｇ３３Ｅに対処予定シンボルＧ３０１を表示する。これにより、ユーザは、サイバー攻撃への対処予定のある装置の操作画面Ｇ３３Ｅを容易に確認できる。
【００９０】
次いで、表示制御部１０４は、ログ（全体）１４３の操作履歴をもとに、現時点におけるサイバー攻撃への対処（対処操作）の有無を判定する（Ｓ１１１）。例えば、ログ（全体）１４３として全ての操作履歴を収集している場合、表示制御部１０４は、ログ（全体）１４３の操作履歴における「対処時刻」が現在時刻よりも過ぎているものを抽出する。次いで、表示制御部１０４は、抽出した操作履歴の中で対処予定シナリオ１４２に対応するものの有無、すなわちサイバー攻撃に対する対処の有無を判定する。なお、各装置が全ての操作履歴ではなく、サイバー攻撃に対する対処を記録している場合、表示制御部１０４は、ログ（全体）１４３の操作履歴における「対処時刻」が現在時刻よりも過ぎているものの有無を判定する。
【００９１】
対処操作なしの場合（Ｓ１１１：ＮＯ）、対処操作についての表示を行うことがないことから、表示制御部１０４は、Ｓ１１２〜Ｓ１１６の処理をスキップして表示処理をリターンする。
【００９２】
対処操作ありの場合（Ｓ１１１：ＹＥＳ）、表示制御部１０４は、ログ（全体）１４３の操作履歴における「攻撃先」と「対処装置」の値をもとに、対処先が攻撃先であるか否かを判定する（Ｓ１１２）。
【００９３】
例えば、図６に例示したログ（全体）１４３におけるログ（部分）２２２Ａの操作履歴については、攻撃先「装置Ｅ」に対し、対処装置「装置Ｅ」であることから、対処先が攻撃先であるものと判定される。また、図６に例示したログ（全体）１４３におけるログ（部分）２２２Ｂの操作履歴については、攻撃先「装置Ｅ」に対し、対処装置「装置Ｂ」であることから、対処先が攻撃先でないものと判定される。
【００９４】
対処先が攻撃先である場合（Ｓ１１２：ＹＥＳ）、表示制御部１０４は、操作履歴の「対処装置」の値をもとにネットワーク情報１４４を参照し、全体構成の中で対処先（＝攻撃先）の装置を特定する。次いで、表示制御部１０４は、全体表示領域Ｇ１の中の対処先の装置に攻撃先への対処を示す対処シンボルを表示する（Ｓ１１３）。
【００９５】
また、対処先が攻撃先でない場合（Ｓ１１２：ＮＯ）、表示制御部１０４は、操作履歴の「対処装置」の値をもとにネットワーク情報１４４を参照し、全体構成の中で対処先（≠攻撃先）の装置を特定する。次いで、表示制御部１０４は、全体表示領域Ｇ１の中の対処先の装置に他への対処を示す対処シンボルを表示する（Ｓ１１４）。
【００９６】
Ｓ１１３、Ｓ１１４に次いで、表示制御部１０４は、操作履歴の「対処カテゴリ」の値（「調査」、「初期対処」、「原因対処」、「復旧」など）をもとに、対処の種別に対応する対処種別アイコンを操作元の装置へ表示する（Ｓ１１５）。
【００９７】
図１５、１６は、表示画面Ｇを説明する説明図である。具体的には、図１５は、対処先が攻撃先である場合（対処先＝攻撃先）の表示を説明する図である。また、図１６は、対処先が攻撃先でない場合（対処先≠攻撃先）の表示を説明する図である。
【００９８】
対処先が攻撃先である場合には、図１５に示すように、全体表示領域Ｇ１の中の対処先の装置（シンボルＧ１３Ａ）に対して、攻撃先への直接的な対処を直線で示す対処シンボルＧ１０５Ａが表示される。また、対処先が攻撃先でない場合には、図１６に示すように、全体表示領域Ｇ１の中の対処先の装置（シンボルＧ１Ｎ）に対して、対処シンボルＧ１０５Ａとは異なる表示形態の対処シンボルＧ１０５Ｂが表示される。これにより、ユーザは、攻撃先への直接的な対処と、攻撃先への直接の対処ではなく、途中のネットワーク機器の切断などの間接的な対処とを容易に認識することができる。
【００９９】
また、表示制御部１０４は、操作元の装置（Ｇ１３Ｂ）へ対処の種別（例えば「原因対処」）に対応する対処種別アイコンＧ１０６を表示する。これにより、ユーザは、現在行われている対処の種別を容易に認識することができる。
【０１００】
次いで、表示制御部１０４は、タイムライン表示領域Ｇ２２において、Ｓ１１１：ＹＥＳにより対処が成された装置のタイムラインに対処済を示すシンボルを表示し（Ｓ１１６）、表示処理をリターンする。例えば、図１１に例示したタイムライン表示領域Ｇ２２におけるタイムラインＧ２０２の装置について、「１２：００」に対処が成された場合、表示制御部１０４は、タイムラインＧ２０２に攻撃対処シンボルＧ２１２を表示し、「１２：００」以後の時間軸に沿ったタイムラインＧ２０２の延長を停止する。これにより、ユーザは、サイバー攻撃に対して対処済であるか否かをタイムライン表示領域Ｇ２２の表示から容易に認識することができる。
【０１０１】
図８に戻り、Ｓ１４以降の処理を説明する。Ｓ１４に次いで、管理装置１の制御部１０は、操作部１２における演習をやり直す指示入力の有無などをもとに、演習のやり直しの有無を判定する（Ｓ１５）。
【０１０２】
演習をやり直す場合（Ｓ１５：ＹＥＳ）、制御部１０は、通信部１３を介して演習のやり直しを情報処理装置２および端末装置３に通知する（Ｓ１６）。また、演習をやり直さない場合（Ｓ１５：ＮＯ）、制御部１０はＳ１６の処理をスキップする。
【０１０３】
情報処理装置２および端末装置３の制御部２１では、管理装置１からの演習をやり直す通知の有無を判定する（Ｓ１７）。演習をやり直す通知がある場合（Ｓ１７：ＹＥＳ）、情報処理装置２および端末装置３の制御部２１は、記憶部２２より演習開始時のバックアップデータ２２１を読み出して、バックアップデータ作成時の状態（ファイルや各種ステータス）を復元し（Ｓ１８）、Ｓ８へ処理を戻す。演習をやり直す通知がない場合（Ｓ１７：ＮＯ）、情報処理装置２および端末装置３の制御部２１は、Ｓ２０へ処理を進める。
【０１０４】
このように、演習システム１００では、管理装置１より演習をやり直す指示がなされた場合、情報処理装置２および端末装置３が演習開始時のバックアップデータ２２１により演習開始時の状態を復元するので、演習のやり直しを容易に実現できる。
【０１０５】
次いで、管理装置１の制御部１０は、現在時刻が攻撃シナリオ１４１における終了時刻に達したか否かをもとに、演習の終了の有無を判定する（Ｓ１９）。終了でない場合（Ｓ１９：ＮＯ）、制御部１０は、Ｓ６へ処理を戻して演習を継続する。終了である場合（Ｓ１９：ＹＥＳ）、制御部１０は、情報処理装置２および端末装置３へ終了を通知して演習を終了する。
【０１０６】
情報処理装置２および端末装置３の制御部２１は、管理装置１からの終了の通知の有無をもとに、演習の終了の有無を判定する（Ｓ２０）。終了でない場合（Ｓ２０：ＮＯ）、制御部２１はＳ１１へ処理を戻して演習を継続する。終了である場合（Ｓ２０：ＹＥＳ）、制御部２１は、演習を終了する。
【０１０７】
以上のように、演習システム１００では、管理装置１がサイバー攻撃を受けた特定の情報処理装置（情報処理装置２または端末装置３）を検出すると（Ｓ１０１：ＹＥＳ）、タイムライン表示領域Ｇ２２（第１の表示領域）に、特定の情報処理装置に対応するタイムラインを新たに表示する。また、管理装置１は、タイムライン上にサイバー攻撃を受けたことを示す攻撃侵入シンボルＧ２１０（第１のシンボル）を表示する。また、管理装置１は、特定の情報処理装置から他の情報処理装置に対するサイバー攻撃がなされたことを検出すると（Ｓ１０４：ＹＥＳ）、タイムライン上にサイバー攻撃がなされたことを示す攻撃拡散元シンボルＧ２１１（第２のシンボル）を表示する。また、管理装置１は、サイバー攻撃を受けた他の情報処理装置の検出に応じて、サイバー攻撃を受けた情報処理装置に対応するタイムラインを攻撃元の情報処理装置に対応するタイムラインに隣接する位置に新たに表示する。また、管理装置１は、サイバー攻撃を受けた情報処理装置に対応するタイムライン上に攻撃を受けたことを示す攻撃侵入シンボルＧ２１０を表示する。したがって、ユーザは、タイムライン表示領域Ｇ２２における表示からサイバー攻撃の状況を容易に認識することができる。
【０１０８】
また、演習システム１００では、管理装置１が全体表示領域Ｇ１において複数の情報処理装置を含むシステムの構成を表示する。また、管理装置１は、複数の情報処理装置のうちのいずれかがサイバー攻撃された場合に、対処予定シナリオ１４２に基づいて対処操作が行われる予定の情報処理装置を特定する。また、管理装置１は、全体表示領域Ｇ１のシステム構成において特定した情報処理装置に対処予定シンボルＧ１０４を表示し、対処操作が行われる予定の情報処理装置を他の情報処理装置と区別可能に表示する。したがって、ユーザは、サイバー攻撃に対して対処操作が行われる予定のある情報処理装置を容易に認識できる。
【０１０９】
また、演習システム１００では、管理装置１が、対処操作による対処先の情報処理装置が攻撃先の情報処理装置であるか、又は、他の情報処理装置であるかを判定する（Ｓ１１２）。また、管理装置１は、判定結果に応じて、対処先の情報処理装置に対する対処の実行中を示す表示を異なる表示形態（対処シンボルＧ１０５Ａまたは対処シンボルＧ１０５Ｂ）とする。したがって、ユーザは、対処操作による対処先の情報処理装置が攻撃先の情報処理装置であるか、又は、他の情報処理装置であるかを容易に認識できる。
【０１１０】
また、演習システム１００では、管理装置１が、複数の情報処理装置のうちいずれかがサイバー攻撃された場合に、攻撃イベントに対する対処予定シナリオ１４２に基づき、対処操作が行われる予定の情報処理装置を特定する。また、管理装置１は、プレイヤ状況表示領域Ｇ３において、複数の情報処理装置の操作画面（操作画面Ｇ３３Ａ〜Ｇ３３Ｅ）を並べて表示する。また、管理装置１は、プレイヤ状況表示領域Ｇ３において、特定した情報処理装置の操作画面に対処予定シンボルＧ３０１を表示し、対処操作が行われる予定の情報処理装置の操作画面を他の情報処理装置の操作画面と区別可能に表示する。したがって、ユーザは、対処操作が行われる予定の情報処理装置の操作画面を容易に認識できる。
【０１１１】
また、演習システム１００では、情報処理装置２および端末装置３が演習の任意のタイミングにおいてバックアップデータ２２１を記憶する。また、情報処理装置２および端末装置３は、演習開始後に、演習の開始前の状態に戻す指示がなされると（Ｓ１７：ＹＥＳ）、バックアップデータ２２１を用いて、演習の開始前の状態に復元する。したがって、演習システム１００では、演習のやり直しによって、演習の途中段階における演習状況の表示を容易に実現できる。
【０１１２】
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【０１１３】
例えば、演習開始後におけるバックアップにかかる処理（Ｓ６〜Ｓ９、Ｓ１５〜Ｓ１８）と、演習状況の表示にかかる処理（Ｓ４〜Ｓ５、Ｓ１０〜Ｓ１４）とを分離して実施してもよい。また、演習状況の表示処理（Ｓ１０１〜Ｓ１１６）についても、一部の処理を分離して実施してもよい。例えば、シナリオ状況表示領域Ｇ２の表示にかかる処理（Ｓ１０１〜Ｓ１０４、Ｓ１１６など）、全体表示領域Ｇ１の表示にかかる処理（Ｓ１０８〜Ｓ１１０など）、プレイヤ状況表示領域Ｇ３の表示にかかる処理（Ｓ１０８〜Ｓ１１１など）を分離して実施してもよい。
【０１１４】
また、管理装置１、情報処理装置２および端末装置３で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよい。
【０１１５】
上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施例と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１７は、実施形態にかかる管理装置１、情報処理装置２および端末装置３のハードウエア構成の一例を示すブロック図である。なお、図示例では、代表して管理装置１の構成を例示しているが、情報処理装置２および端末装置３の構成も同様である。
【０１１６】
図１７が示すように、管理装置１は、各種演算処理を実行するＣＰＵ５０１と、データ入力を受け付ける入力装置５０２と、モニタ５０３と、スピーカ５０４とを有する。また、管理装置１は、記憶媒体からプログラム等を読み取る媒体読取装置５０５と、各種装置と接続するためのインタフェース装置５０６と、有線または無線により外部機器と通信接続するための通信装置５０７とを有する。また、管理装置１は、各種情報を一時記憶するＲＡＭ５０８と、ハードディスク装置５０９とを有する。また、管理装置１内の各部（５０１〜５０９）は、バス５１０に接続される。
【０１１７】
ハードディスク装置５０９には、上記の実施形態で説明した制御部１０などで各種の処理を実行するためのプログラム５１１が記憶される。また、ハードディスク装置５０９には、プログラム５１１が参照する各種データ５１２（攻撃シナリオ１４１、対処予定シナリオ１４２、ログ（全体）１４３およびネットワーク情報１４４など）が記憶される。入力装置５０２は、例えば、管理装置１の操作者から操作情報の入力を受け付ける。モニタ５０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置５０６は、例えば印刷装置等が接続される。通信装置５０７は、ＬＡＮ（Local  Area  Network）等の通信ネットワークと接続され、通信ネットワークＮを介した外部機器との間で各種情報をやりとりする。
【０１１８】
ＣＰＵ５０１は、ハードディスク装置５０９に記憶されたプログラム５１１を読み出して、ＲＡＭ５０８に展開して実行することで、各種の処理を行う。なお、プログラム５１１は、ハードディスク装置５０９に記憶されていなくてもよい。例えば、管理装置１が読み取り可能な記憶媒体に記憶されたプログラム５１１を、管理装置１が読み出して実行するようにしてもよい。管理装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal  Serial  Bus）メモリ等の可搬型記憶媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラムを記憶させておき、管理装置１がこれらからプログラムを読み出して実行するようにしてもよい。
【符号の説明】
【０１１９】
１…管理装置
２、２Ａ、２Ｂ、２Ｃ…情報処理装置
３、３Ａ、３Ｂ…端末装置
４…監視カメラ
１０、２１…制御部
１１…表示部
１２…操作部
１３、２０…通信部
１４、２２…記憶部
１００…演習システム
１０１…シナリオ管理部
１０２…サイバー攻撃制御部
１０３…ログ収集部
１０４…表示制御部
１４１…攻撃シナリオ
１４２…対処予定シナリオ
１４３…ログ（全体）
１４４…ネットワーク情報
２２１、２２１Ａ、２２１Ｂ、２２１Ｃ…バックアップデータ
２２２、２２２Ａ、２２２Ｂ、２２２Ｃ…ログ（部分）
５０１…ＣＰＵ
５１１…プログラム
５１２…各種データ
ＡＴ…サイバー攻撃
Ｇ…表示画面
Ｇ１…全体表示領域
Ｇ２…シナリオ状況表示領域
Ｇ３…プレイヤ状況表示領域
Ｇ１Ｎ、Ｇ１２Ａ〜Ｇ１２Ｃ、Ｇ１３Ａ、Ｇ１３Ｂ…シンボル
Ｇ２１…シナリオ表示領域
Ｇ２２…タイムライン表示領域
Ｇ３１…カメラ画像
Ｇ３３Ａ〜Ｇ３３Ｅ…操作画面
Ｇ１０１…攻撃対象表示
Ｇ１０２…未対処表示
Ｇ１０３…攻撃表示
Ｇ１０４、Ｇ３０１…対処予定シンボル
Ｇ１０５Ａ、Ｇ１０５Ｂ…対処表示
Ｇ１０６…対処種別アイコン
Ｇ２０１〜Ｇ２０５…タイムラインシンボル
Ｇ２１０…攻撃侵入シンボル
Ｇ２１１…攻撃拡散元シンボル
Ｇ２１２…攻撃対処シンボル
Ｇ２２０…現在時刻シンボル
Ｎ…通信ネットワーク
【図１】
2019191671.tif 000003
【図２】
2019191671.tif 000004
【図３】
2019191671.tif 000005
【図４】
2019191671.tif 000006
【図５】
2019191671.tif 000007
【図６】
2019191671.tif 000008
【図７】
2019191671.tif 000009
【図８】
2019191671.tif 000010
【図９】
2019191671.tif 000011
【図１０】
2019191671.tif 000012
【図１１】
2019191671.tif 000013
【図１２】
2019191671.tif 000014
【図１３】
2019191671.tif 000015
【図１４】
2019191671.tif 000016
【図１５】
2019191671.tif 000017
【図１６】
2019191671.tif 000018
【図１７】
2019191671.tif 000019