(57)【要約】      （修正有）【課題】セキュリティアラームに対する原因調査結果を関係各所に連絡する時間を短縮できるセキュリティインシデント検出システムを提供する。【解決手段】セキュリティインシデント検出システム１００は、ネットワークを介してセキュリティインシデント検出装置（監視対象装置）からセキュリティアラームを受付けるアラーム受付部と、受付けたセキュリティアラームの通知内容を過去のセキュリティアラーム通知内容と比較し、該受付けたセキュリティアラームの危険度を識別するインシデント判別部と、該受付けたセキュリティアラームの危険度に応じて、インシデント通知を、事前登録されている報告先のＶｏＩＰシステム及び通信端末装置１０４ａ〜１０６ａへ音声パケットを介して発信する通知部（データ変換部）と、を備えるインシデント判別部１０２と、を有する。【選択図】図１
2019149781.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介してセキュリティインシデント検出装置からセキュリティアラームを受付けるアラーム受付部と、受付けたセキュリティアラームの通知内容を過去のセキュリティアラーム通知内容と比較し、該受付けたセキュリティアラームの危険度を識別するインシデント判別部と、
該受付けたセキュリティアラームの危険度に応じて、インシデント通知を、事前登録されている報告先の通信端末装置へ音声パケットを介して発信する通知部と、を有することを特徴とするセキュリティインシデント検出システム。
【請求項２】
前記インシデント判別部は、前記過去のセキュリティアラーム通知内容およびこれに対応する過去対応項目を保持しており、前記受付けたセキュリティアラームの通知内容に対応する前記過去対応項目を選択し、前記選択した過去対応項目を対処案として生成し、かつ、前記対処案を、前記受付けたセキュリティアラームの危険度を前記インシデント通知と共に前記通知部に送ることを特徴とする請求項１に記載のセキュリティインシデント検出システム。
【請求項３】
前記インシデント判別部は、前記過去対応項目に対応する危険度項目を保持しており、前記対処案に応じた前記危険度項目を前記受付けたセキュリティアラームの危険度として判定することを特徴とする請求項２に記載のセキュリティインシデント検出システム。
【請求項４】
前記通知部は、前記インシデント通知を、ＶｏＩＰシステムを介して発信できるように音声データに変換する変換部と、前記音声データを前記ネットワークに中継するＶｏＩＰルータと、を有することを特徴とする請求項１乃至３のいずれか一項に記載のセキュリティインシデント検出システム。
【請求項５】
前記報告先の通信端末装置は、固定電話機、携帯電話機、ＰＨＳ電話機、携帯通信端末又はパーソナルコンピュータであることを特徴とする請求項１乃至４のいずれか一項に記載のセキュリティインシデント検出システム。
【請求項６】
前記通知部は、前記対処案を、前記報告先の通信端末装置へ電子メールとして報告する機能を有することを特徴とする請求項１乃至５のいずれか一項に記載のセキュリティインシデント検出システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティインシデント検出装置に接続されるセキュリティインシデント検出システムに関する。
【背景技術】
【０００２】
情報セキュリティインシデント（単にセキュリティインシデント又はインシデントともいう）は、事業運営を危うくする確率および情報セキュリティを脅かす確率が高い、望まない又は予期しない単独若しくは一連の情報セキュリティ事象である（ISO/IEC 17799）。セキュリティインシデントの例としては、サービスや施設の停止、システム動作の不良、過負荷、ウイルスやワーム、ボット等の存在がある。例えば、企業内にて構築されている各種コンピュータシステムにおけるサイバー攻撃がなされた場合や顧客情報や機密情報を外部に流出させてしまう等のセキュリティインシデントを防ぐために、セキュリティ事象の相関と標準化を行うセキュリティ情報管理（SIM:Security Information Management)や、セキュリティ事象の収集と集約を行うセキュリティ事象管理SEM（SEM:Security Event Management)や、これらを統合したセキュリティ情報事象管理（SIEM:Security Information and Event Management）の技術がセキュリティインシデント検出装置又はシステムとして用いられている。
【０００３】
例えば、セキュリティ情報事象管理用の装置又はシステム（以下、ＳＩＥＭ装置ともいう）は、コンピュータシステム内の接続されている種々のネットワーク装置のログデータを一元管理して、ログデータに基づいてリアルタイムに相関分析を実施し、脅威となりうる事象に対してセキュリティアラームを担当者（オペレータ）の情報端末に表示する。担当者は、出力されたセキュリティアラームを人手でインシデントの有無の判断を実施する。さらにインシデントと判断されると、関係各所に連絡を実施して各セキュリティ担当者がインシデント対応を当該コンピュータシステムに施す。
【０００４】
特許文献１には、ＳＩＥＭ装置と共に使用される、ログデータを処理するためのロギングシステム装置が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特表２０１０−５１５１７２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従来のロギングシステム装置をＳＩＥＭ装置に導入しても、ＳＩＥＭ装置が脅威となる事象に対してセキュリティアラームを通知する際に、セキュリティアラームに対する原因調査を担当者が調査するため時間を要する。さらに担当者が調査結果を関係各所に連絡するまで時間が掛かる問題があった。
【０００７】
本発明は、上記した従来の問題に鑑みなされたものであり、ＳＩＥＭ装置から通知されるセキュリティアラーム（単にアラームともいう）に対する原因調査結果を関係各所に連絡する時間を短縮できるセキュリティインシデント検出システムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明のセキュリティインシデント検出システムは、ネットワークを介してセキュリティインシデント検出装置からセキュリティアラームを受付けるアラーム受付部と、受付けたセキュリティアラームの通知内容を過去のセキュリティアラーム通知内容と比較し、該受付けたセキュリティアラームの危険度を識別するインシデント判別部と、
該受付けたセキュリティアラームの危険度に応じて、インシデント通知を、事前登録されている報告先の通信端末装置へ音声パケットを介して発信する通知部と、を有することを特徴とする。
【発明の効果】
【０００９】
本発明によれば、ＳＩＥＭ装置から通知される脅威となる事象のセキュリティアラームに対し、インシデント判別部および報告部を備える故に、セキュリティアラームに対する原因調査の時間を短縮し、事前に登録されている電話番号等の連絡先に自動発信することが実現できる。
【図面の簡単な説明】
【００１０】
【図１】本発明の実施例のセキュリティインシデント検出システムを示すシステム構成例の概略説明図である。
【図２】本発明の実施例のセキュリティインシデント検出システムの動作フロー図である。
【発明を実施するための形態】
【００１１】
以下、図面を参照しつつ本発明による実施例のセキュリティインシデント検出システムの例について説明する。なお、本発明は以下の実施例に限定されるものではない。
【実施例】
【００１２】
［システム構成例］
図１は、本発明による実施例のセキュリティインシデント検出システム１００を示すシステム構成例の概略説明図である。セキュリティインシデント検出システム１００は、ＳＩＥＭ装置１０１とインシデント判別装置１０２とＶｏＩＰ（Voice over Internet Protocol）システム１０３を備える。
【００１３】
システム構成の一例としては、セキュリティインシデント検出システム１００にＩＰネットワークＩＰが接続され、このネットワークに接続された、複数のセキュリティ担当者１０４、１０５、１０６の通信端末装置１０４ａ、１０５ａ、１０６ａや、複数の監視対象装置１０７およびオペレータ端末１０８で構成される。ＩＰネットワークＩＰの接続形態は、インターネットの他、例えば電話回線網、衛星通信網等の公衆回線網や、各種のＬＡＮ（Local Area Network)、ＷＡＮ(Wide Area Network）、ＶｏＰＮ（Voice over Packet Network）のような専用回線網を含むものであってもよい。ＩＰネットワークＩＰは、通信端末装置である、固定電話機、携帯電話機、ＰＨＳ電話機、携帯通信端末およびパーソナルコンピュータに接続可能であるものである。なお、セキュリティインシデント検出システム１００とＩＰネットワークＩＰとの接続には図示しないがファイアウォールを介している。
【００１４】
監視対象装置１０７は、ログ管理対象機器であり、例えば、ファイアウォール、Ｗｅｂプロキシサーバ、システム機器の権限を管理するサーバ（ＬＤＡＰサーバ（Lightweight Directory Access Protocol）、ＲＡＤＩＵＳサーバ（Remote Authentication Dial-in User Service（ダイヤルアップ接続ユーザ認証））等）、メールサーバ、データベースサーバ、ファイルサーバ、クライアントのＰＣ（Personal Computer）が含まれ、例えばサーバやスイッチやルータ等や侵入防止システム（IPS:Intrusion Prevention System）等も含まれる。
【００１５】
セキュリティ担当者１０４、１０５、１０６は、セキュリティアラームに対して対応を実施する担当者である。キュリティ担当者１０４、１０５、１０６の情報は、インシデント判別装置１０２において、インシデント対応スキルレベルに応じて事前登録され、該担当者の連絡先も事前登録されている。記憶部には、担当者情報ファイルが構築されている。セキュリティ担当者情報には、セキュリティ担当者ＩＤ、セキュリティ担当者名、担当システムやサーバのＩＤ、危険度に応じたスキルの程度評価、担当者を追跡できる連絡先として、電話番号、および、Ｅ−Ｍａｉｌアドレスが対応づけて登録されている。その他、Twitter（登録商標）、Facebook（登録商標）、Ｌｉｎｅ（登録商標）等のＳＮＳ（Social Network System）の担当者通知先が担当者情報ファイルに登録されていてもよい。
【００１６】
［ＳＩＥＭ装置］
ＳＩＥＭ装置１０１は、監視対象装置１０７から出力されるログデータを収集し、これらを一元管理する。また、ＳＩＥＭ装置１０１は、収集したログデータを相関分析する。ＳＩＥＭ装置１０１は、ログデータの関分析の結果から脅威がある事象があるとアラームを発出する機能を有する。アラーム２０１は、ＳＩＥＭ装置１０１が相関分析を実施した結果から脅威となる事象の警告情報である。ＳＩＥＭ装置１０１は、オペレータ端末１０８からのユーザの操作により監視対象装置１０７を監視し、保守し、操作する機能を備えていてもよい。
【００１７】
ＳＩＥＭ装置１０１のハードウエアは、ソフトウエアのオペレーティングシステム（Operating System:OS）で制御されるＳＩＥＭプログラムをインストールしたコンピュータ装置で実現することができる。ＳＩＥＭ装置１０１は、図示しないが、ＣＰＵ（Central Processing Unit）と、ＲＡＭ（Random Access Memory）、ハードディスク装置やＳＳＤ（solid state drive）等の記憶部を含み、記憶部に格納されたプログラムに従い、ＣＰＵがＲＡＭを一次記憶用ワークメモリとして利用して、ＳＩＥＭ処理を実行するコンピュータ装置である。ＳＩＥＭ装置１０１は、キーボード等の入出力装置や、ＵＳＢ（Universal Serial Bus）や、ネットワーク接続部（NIC:Network Interface Card）をも含む。なお、ＳＩＥＭ装置１０１は、インシデント判別装置１０２に直接接続されていてもよい。
【００１８】
［インシデント判別装置］
インシデント判別装置１０２は、ＳＩＥＭ装置１０１から発出されたアラーム２０１を受信して受付ける機能を有する（受付部１０２ａ）。インシデント判別装置１０２は、アラームを受付けてアラーム通知内容を自動分析し、危険度に応じた対処案２０２を可読な言語情報の結果として出力する機能を有する。対処案２０２は、インシデント判別装置１０２により、ＳＩＥＭ装置１０１から出力されたアラームを分析した結果のインシデントの危険度およびインシデントの対処案を含む分析情報である。
【００１９】
インシデント判別装置１０２は、アラーム比較部２０３と対処判定部２０５と危険度判定部２０７を有する。
【００２０】
アラーム比較部２０３は、過去に発生したアラーム通知内容の複数を格納している。またアラーム比較部２０３は、新規でアラーム比較部２０３に入力された新規のアラーム通知内容と過去のアラーム通知内容を比較する機能を有する。そのアラーム比較結果２０４は、アラーム比較部２０３で新規入力されたアラームと過去のアラーム通知内容を比較した結果である。
【００２１】
対処判定部２０５は、過去入力された複数の過去のアラーム通知内容の比較結果に対応する過去対応項目群を保持している。対処判定部２０５は、格納している過去対応項目群から、新規のアラーム通知内容に対応する過去対応項目を選択する機能を有する。対処案２０６は、対処判定部２０５で対処案を選択された結果である。過去対応項目群のデータファイルやデータベースは、ＳＩＥＭ装置１０１のアラーム出力の種類に応じてアラームＩＤ等を用いて対応方法を対応付けて構築して置くことが好ましい。対応方法は、アラートの発生時等にセキュリティ担当者が取り得るべき具体的な処置である。
【００２２】
危険度判定部２０７は、対処判定部２０５に格納されている過去対応項目に対しての危険度を格納している。危険度判定部２０７は、危険度を対処案２０６の過去対応項目から危険度を判定する。
【００２３】
危険度判定部２０７は、危険度１〜４の４段階レベルデータを保持している。危険度のレベルの意味を以下に記載する。
危険度１：影響無し。
危険度２：継続監視が必要。
危険度３：外部／内部で攻撃の痕跡があるが、情報が搾取された可能性が低い。
危険度４：外部／内部で攻撃の痕跡があり、情報が搾取された可能性が高い。
【００２４】
危険度判定部２０７は、対処案２０６に対して、過去発生アラーム情報および対処案から危険度１〜４を割り当て、危険度に応じたセキュリティ担当者も割り当てる。
【００２５】
データ変換部１０２ｂは、危険度情報を含む対処案２０２（インシデント通知）を、ＶｏＩＰシステム１０３を介して発信できるように音声データに変換し、インシデント判別装置１０２に接続されているＶｏＩＰシステム１０３に送信する通知部である。データ変換部１０２ｂは、インシデント通知を、報告先の通信端末装置１０４ａ、１０５ａ、１０６ａへ電子メール等として報告する機能をも有する。
【００２６】
［ＶｏＩＰシステム］
ＶｏＩＰシステム１０３は、インシデント判別装置１０２から出力される分析結果の対処案２０２の音声データを音声パケット化して、セキュリティ担当者１０４、１０５、１０６に対応する通信端末装置１０４ａ、１０５ａ、１０６ａにＶｏＩＰ配信すなわち、対処案２０２の情報を自動送信する通知部である。このように、セキュリティインシデント検出システム１００は、ＳＩＥＭ装置１０１からのアラーム２０１のアラーム情報に基づき、危険度情報を含む対処案２０２をセキュリティ担当者に送付することができる。
【００２７】
（動作の説明）
図１の構成図を踏まえて、セキュリティインシデント検出システム１００の動作を説明する。本実施例のセキュリティインシデント検出システムの動作フロー図を図２に示す。
【００２８】
図２に示すように、ＳＩＥＭ装置１０１は、保持しているログデータから相関分析を実施する（Ｓ１）。ＳＩＥＭ装置１０１は、相関分析で脅威となる事象のインシデントを検知（Ｓ２）するとアラーム２０１の通知を実施する（Ｓ３）。
【００２９】
アラーム２０１は、インシデント判別装置１０２の受付部１０２ａに入力される。受付部１０２ａは、アラーム２０１を受付けて、アラーム２０１を、インシデント判別装置１０２の内部にある、アラーム比較部２０３に入力する。
【００３０】
アラーム比較部２０３は、受付けアラームが過去に発生したアラームに有るか否か判断する（Ｓ４）。アラーム比較部２０３は、過去に発生したアラーム通知内容の情報を保持しており、この過去のアラーム通知内容と受付けたアラーム２０１が同じか否か比較を行う。
【００３１】
アラーム比較部２０３は、受付けアラームが過去に発生したアラームに有ると判断する（Ｓ４：Ｙ）と、新規のアラーム通知内容と過去のアラーム通知内容の比較のアラーム比較結果２０４を対処判定部２０５に入力する。
【００３２】
対処判定部２０５は、入力されたアラーム比較結果２０４を判別して、自身で保持している過去対応項目群から対処案２０６を選択して出力する（Ｓ５）。対処判定部２０５は、対処案２０６を危険度判定部２０７に入力する。
【００３３】
危険度判定部２０７は、対処案２０６と過去発生アラーム情報に基づいて、自身が保持している危険度１〜４の４段階リストデータから危険度１〜４のいずれかを判定し、割り当てる（Ｓ６）。危険度判定部２０７は、危険度を割り当てると、危険度判定部２０７の結果として、いずれかの危険度を付加した対処案２０２のインシデント通知を出力する。
【００３４】
データ変換部１０２ｂは、インシデント通知を、ＶｏＩＰシステム１０３を介して発信できるように音声データに変換し（Ｓ７）、インシデント通知の音声データをＶｏＩＰシステム１０３のＶｏＩＰルータに送信する。データ変換部１０２ｂは、インシデント通知を、報告先の通信端末装置１０４ａ、１０５ａ、１０６ａへ電子メール等として報告することもできる。
【００３５】
対処案２０２の通知がＶｏＩＰシステム１０３に送信されると、ＶｏＩＰシステム１０３は、対処案２０２の音声データをパケット化して、危険度に応じて事前登録されているセキュリティ担当者１０４、１０５、１０６に自動発信を実施する（Ｓ８）。
【００３６】
ここで、アラーム比較部２０３の結果が、過去のアラーム通知内容と合致しなかった場合を説明する。すなわち、上記ステップＳ４において、アラーム比較部２０３により、受付けアラームが過去に発生したアラームに無いと判断する（Ｓ４：Ｎ）場合を説明する。
【００３７】
この場合、アラーム比較部２０３は、アラーム２０１が保持している過去発生したアラーム情報に無い未知アラームであるとして、上記ステップＳをスキップして、アラーム比較結果２０４が「無し」と、対処案２０６も「無し」と危険度判定部２０７に出力する。
【００３８】
アラーム比較結果２０４と対処案２０６共に無しの結果が危険度判定部２０７に入力されると、危険度判定部２０７は未知アラームと認識して、危険度４と判定（Ｓ９）し、危険度を付加した対処案２０２のインシデント通知をデータ変換部１０２ｂに出力する。
【００３９】
その後、データ変換部１０２ｂは、危険度４と判定されたインシデント通知を、ＶｏＩＰシステム１０３を介して発信できるように音声データに変換し（Ｓ７）、そしてＶｏＩＰシステム１０３が自動発信を実施する（Ｓ８）。
【００４０】
ここで、例えば、セキュリティ担当者１０４が未知アラームと判定されたインシデント通知を受信した場合（Ｓ１０：Ｙ）、インシデント通知と未知アラームに関しては、セキュリティ担当者１０４がアラーム解析を実施する（Ｓ１１）。解析が完了したら、インシデント判別装置１０２にフィードバック２０８として解析結果新規登録を実施する（Ｓ１２）。
【００４１】
フィードバック２０８の内容は、例えば以下のとおりである。インシデント判別装置１０２は、セキュリティ担当者１０４から発出された解析結果新規登録を受信して受付け、過去対応項目を更新する（Ｓ１３）。具体的に、インシデント判別装置１０２によるSSL（Secure Sockets Layer）/TLS（Transport Layer Security）下のＷｅｂページを介して、セキュリティ担当者１０４がアラーム比較部２０３に新規登録を実施する。セキュリティ担当者１０４が対処判定部２０５に新規登録する。セキュリティ担当者１０４が危険度判定部２０７に新規登録をする。なお、ステップＳ１０にてセキュリティ担当者１０４が対処案２０２を受信した場合（Ｓ１０：Ｎ）、それに応じてインシデント対処を実施して終了する（Ｓ１４）。フィードバック２０８を実行することにより、インシデント判別装置１０２が過去のインシデントおよびアラームのデータベースとして活用され、類似したインシデントおよびアラームが発生した際に、セキュリティ担当者が過去の対応方法等を参照することができるようになる。
【００４２】
以上の実施例によれば、人手を介さずに、ＳＩＥＭ装置１０１から出力されるアラーム２０１をインシデント判別装置１０２で危険度と対処案を解析させ、ＶｏＩＰシステム１０３を使用してＶｏＩＰ配信させることにより、セキュリティ担当者１０４、１０５、１０６に連絡するまでの時間が大幅に短縮することができる。
【００４３】
ＳＩＥＭ装置１０１からのアラームを自動判定し、さらに自動判定をした結果を関係者に連絡するまでをシステム化することで、今まで、ＳＩＥＭ装置１０１からのアラームを人手で解析から連絡をするまでの工数を約５０％削減することができる。
【００４４】
本発明は、ＳＩＥＭ装置だけでなく、情報セキュリティに関するログデータとアラームを出力している全ての情報セキュリティ装置又はシステムに適応可能である。
【符号の説明】
【００４５】
１００…セキュリティインシデント検出システム、１０１…ＳＩＥＭ装置、１０２…インシデント判別装置、１０７…監視対象装置、１０４ａ、１０５ａ、１０６ａ…通信端末装置、２０３…アラーム比較部、２０５…対処判定部、２０７…危険度判定部。
【図１】
2019149781.tif 000003
【図２】
2019149781.tif 000004