(57)【要約】  本発明は、攻撃に応じて、情報システムインフラストラクチャのセキュリティポリシーを適合させるための方法に関し、この方法は、潜在的な攻撃、およびそれらの攻撃に関連するリスクをデータリポジトリの中に格納するステップ１２６と、データリポジトリの中の潜在的な攻撃に応答して治療的なセキュリティポリシーを格納するステップ１２８と、情報システムのデータストリームを表す、入ってくるコンテンツを監視するステップ１０１と、情報システムにおいて少なくとも１つの攻撃を検出するステップ１２９と、検出された少なくとも１つの攻撃の成功確率パラメータ１３２、およびその攻撃に関連する費用影響パラメータ１３６を評価するステップと、検出された少なくとも１つの攻撃に応答して、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、およびその治療的なセキュリティポリシーに関連する費用影響パラメータを評価するステップと、検出された少なくとも１つの攻撃の成功確率パラメータ、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、および検出された少なくとも１つの攻撃と少なくとも１つの治療的なセキュリティポリシーの両方の費用影響パラメータに応じて、治療的なセキュリティポリシーのアクティブ化または非アクティブ化を決定するステップ１３４とを備える。
2013525927.tif 000002
【特許請求の範囲】
【請求項１】
攻撃に応じて、情報システムインフラストラクチャのセキュリティポリシーを適合させるための方法であって、
潜在的な攻撃、およびそれらの攻撃に関連するリスクをデータリポジトリの中に格納するステップと、
データリポジトリの中の潜在的な攻撃に応答して治療的なセキュリティポリシーを格納するステップと、
情報システムのデータストリームを表す、入ってくるコンテンツを監視するステップと、
情報システムにおいて少なくとも１つの攻撃を検出するステップと、
検出された少なくとも１つの攻撃の成功確率パラメータ、およびその攻撃に関連する費用影響パラメータを評価するステップと、
検出された少なくとも１つの攻撃に応答して、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、およびその治療的なセキュリティポリシーに関連する費用影響パラメータを評価するステップと、
検出された少なくとも１つの攻撃の成功確率パラメータ、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、および検出された少なくとも１つの攻撃と少なくとも１つの治療的なセキュリティポリシーの両方の費用影響パラメータに応じて、治療的なセキュリティポリシーのアクティブ化または非アクティブ化を決定するステップとを備える、方法。
【請求項２】
潜在的な攻撃、およびそれらの攻撃に関連するリスクをデータリポジトリの中に格納するステップが、
情報システムトポロジおよび攻撃検出シグネチャを定義するステップと、
潜在的な攻撃目的を識別する情報システムのリスク分析を定義するステップと、
それらの識別された攻撃目的を実現するように攻撃モデルを規定するステップと、
前記攻撃モデルをデータリポジトリの中に格納するステップとを備える、請求項１に記載の情報システムインフラストラクチャのセキュリティポリシーを適合させるための方法。
【請求項３】
データリポジトリの中の潜在的な攻撃に応答して治療的なセキュリティポリシーを格納するステップが、
少なくとも１つの攻撃コンテキストを規定するステップと、
規定された少なくとも１つの攻撃コンテキストに対応する治療的なセキュリティポリシーを規定するステップと、
前記治療的なセキュリティポリシーをデータリポジトリの中に格納するステップとを備える、請求項１または２に記載の情報システムインフラストラクチャのセキュリティポリシーを適合させるための方法。
【請求項４】
検出された少なくとも１つの攻撃の成功確率パラメータ、およびその攻撃に関連する費用影響パラメータを評価するステップが、
格納された攻撃モデル、および検出された少なくとも１つの攻撃に基づいて攻撃戦略グラフを生成するステップと、
攻撃がその攻撃の目的を実現する確率を評価するステップと、
システムセキュリティレベルおよびシステムＱｏＳ（サービス品質）レベルでその攻撃目的の影響を評価するステップと、
攻撃目的の関連する費用影響パラメータを評価するステップとを備える、請求項１から３のいずれか一項に記載の情報システムインフラストラクチャのセキュリティポリシーを適合させるための方法。
【請求項５】
検出された少なくとも１つの攻撃に応答して、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、およびその治療的なセキュリティポリシーに関連する費用影響パラメータを評価するステップが、格納された治療的なセキュリティポリシー、および監視される情報システムの状態に基づく、請求項１から４のいずれか一項に記載の情報システムインフラストラクチャのセキュリティポリシーを適合させるための方法。
【請求項６】
検出された少なくとも１つの攻撃の成功確率パラメータ、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、および検出された少なくとも１つの攻撃と少なくとも１つの治療的なセキュリティポリシーの両方の費用影響パラメータに応じて、治療的なセキュリティポリシーのアクティブ化または非アクティブ化を決定するステップが、監視されるシステムの状態の進展に基づいて、動的に適用される、請求項１から５のいずれか一項に記載の情報システムインフラストラクチャのセキュリティポリシーを適合させるための方法。
【請求項７】
費用影響パラメータが、
ＱｏＳ（サービス品質）影響と、
セキュリティレベル低下影響とを備える、請求項１から６のいずれか一項に記載の情報システムインフラストラクチャのセキュリティポリシーを適合させるための方法。
【請求項８】
潜在的な攻撃、およびそれらの攻撃に関連するリスクを格納するため、
潜在的な攻撃に応答して治療的なセキュリティポリシーを格納するための
少なくとも１つのデータリポジトリと、
情報システムのデータストリームを表す、入ってくるコンテンツを監視するため、
情報システムにおいて少なくとも１つの攻撃を検出するため、
検出された少なくとも１つの攻撃の成功確率パラメータ、およびその攻撃に関連する費用影響パラメータを評価するため、
検出された少なくとも１つの攻撃に応答して、少なくとも１つの治療的なセキュリティポリシーの少なくとも１つのアクティブ化影響パラメータ、およびその治療的なセキュリティポリシーに関連する費用影響パラメータを評価するため、
検出された少なくとも１つの攻撃の成功確率パラメータ、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、および少なくとも１つの攻撃と少なくとも１つの治療的なポリシーの両方の費用影響パラメータに応じて、治療的なセキュリティポリシーのアクティブ化を決定するため、
少なくとも１つの治療的なセキュリティポリシーをアクティブ化するための
処理手段とを備える、監視−保護機器。
【請求項９】
潜在的な攻撃、およびそれらの攻撃に関連するリスクを格納するため、
潜在的な攻撃に応答して治療的なセキュリティポリシーを格納するための
少なくとも１つのデータリポジトリと、
情報システムのデータストリームを表す、入ってくるコンテンツを監視するため、
情報システムにおいて少なくとも１つの攻撃を検出するため、
検出された少なくとも１つの攻撃の成功確率パラメータ、およびその攻撃に関連する費用影響パラメータを評価するため、
検出された少なくとも１つの攻撃に応答して、少なくとも１つの治療的なセキュリティポリシーの少なくとも１つのアクティブ化影響パラメータ、およびその治療的なセキュリティポリシーに関連する費用影響パラメータを評価するため、
検出された少なくとも１つの攻撃の成功確率パラメータ、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、および少なくとも１つの攻撃と少なくとも１つの治療的なポリシーの両方の費用影響パラメータに応じて、治療的なセキュリティポリシーの非アクティブ化を決定するため、
少なくとも１つの治療的なセキュリティポリシーを非アクティブ化するための
処理手段とを備える、監視−保護機器。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報システム保護の分野に関し、より正確には、情報システムが受けた、または受けている攻撃に応じたセキュリティポリシーの管理に関する。
【背景技術】
【０００２】
情報システムのインフラストラクチャは、侵入、データ窃盗、ウイルスもしくはワームなどの悪意のあるイベントにつながる有害な攻撃から保護される必要がある。
【０００３】
大型の情報システムインフラストラクチャを有する既存の攻撃検出システムによって生成されるアラートの潜在的な数により、事業者が、攻撃のリスクをリアルタイムで評価し、その攻撃に応答して適用されるべき適切な応答を決定することが不可能になる。このため、形式的に定義された運用上のセキュリティポリシーの自動的な展開が、遠隔通信インフラストラクチャおよび情報インフラストラクチャの保護において考慮され始めている。
【０００４】
図１は、従来技術のそのような自動的保護の例である。
【０００５】
第１のステップ１０１は、基本的なアラートの生成（１０２）につながる、監視される情報システムに向けての攻撃の検出に対応する。次に、アラート相互関係が処理されて（１０３）、適切なセキュリティ規則をアクティブ化する（１０６）ようにポリシーインスタンス化エンジンに送信される（１０５）互いに関係するアラートが定義される（１０４）。これらの規則は、構成スクリプトを生成する（１０８）ポリシー決定ポイントに送信され（１０７）、次に、この構成スクリプトがポリシー執行ポイントを構成するのに使用される（１０９）。これらのポリシー執行ポイント（１０９）は、情報システム１内に配置され、さらに検出された攻撃に応答してセキュリティ規則を適用する。
【０００６】
自動ポリシーアクティブ化のそのような構成は、欠点を抱えている。実際、そのような構成は、互いに関係するアラートのみに基づいており、互いに関係するアラートの数は、数千のセキュリティポリシーアクティブ化につながる非常に大きい数（大型のシステムでは１日のうちに数千まで）に達する可能性がある。さらに、それらのセキュリティポリシーの非アクティブ化が、従来技術の構成において考慮に入れられておらず、したがって、セキュリティポリシーは、情報システム１のユーザに及ぼす影響が攻撃の影響より悪い場合でさえ、アクティブ化されたままであり得る。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
したがって、本発明の１つの目的は、従来技術の前述した欠点を克服し、さらにアクティブ化決定に影響を与える複数のパラメータを考慮すること、および必要な場合に、セキュリティポリシーの不アクティブ化を可能にする方法を定義することによって、必要な場合に限ってセキュリティポリシーアクティブ化を動的にトリガすることを可能にする方法を提供することである。
【課題を解決するための手段】
【０００８】
このことは、攻撃に応じて、情報システムインフラストラクチャのセキュリティポリシーを適合させるための方法によって達せられ、この方法は：
−  潜在的な攻撃、およびそれらの攻撃に関連するリスクをデータリポジトリの中に格納するステップと；
−  データリポジトリの中の潜在的な攻撃に応答して治療的なセキュリティポリシーを格納するステップと；
−  情報システムのデータストリームを表す、入ってくるコンテンツを監視するステップと；
−  情報システムにおいて少なくとも１つの攻撃を検出するステップと；
−  検出された少なくとも１つの攻撃の成功確率パラメータ、およびその攻撃に関連する費用影響パラメータを評価するステップと；
−  検出された少なくとも１つの攻撃に応答して、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、およびその治療的なセキュリティポリシーに関連する費用影響パラメータを評価するステップと；
−  検出された少なくとも１つの攻撃の成功確率パラメータ、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、および検出された少なくとも１つの攻撃と少なくとも１つの治療的なセキュリティポリシーの両方の費用影響パラメータに応じて、治療的なセキュリティポリシーのアクティブ化または非アクティブ化を決定するステップとを備える。
【０００９】
本発明の別の態様によれば、潜在的な攻撃、およびそれらの攻撃に関連するリスクをデータリポジトリの中に格納するステップは：
−  情報システムトポロジおよび攻撃検出シグネチャを定義するステップと；
−  潜在的な攻撃目的を識別する情報システムのリスク分析を定義するステップと；
−  それらの識別された攻撃目的を実現するように攻撃モデルを規定するステップと；
−  それらの攻撃モデルをデータリポジトリの中に格納するステップとを備える。
【００１０】
本発明のさらなる態様によれば、データリポジトリの中の潜在的な攻撃に応答して治療的なセキュリティポリシーを格納するステップは：
−  少なくとも１つの攻撃コンテキストを規定するステップと；
−  規定された少なくとも１つの攻撃コンテキストに対応する治療的なセキュリティポリシーを規定するステップと；
−  それらの治療的なセキュリティポリシーをデータリポジトリの中に格納するステップとを備える。
【００１１】
本発明のさらなる態様によれば、検出された少なくとも１つの攻撃の成功確率パラメータ、およびその攻撃に関連する費用影響パラメータを評価するステップは：
−  格納された攻撃モデル、および検出された少なくとも１つの攻撃に基づいて攻撃戦略グラフを生成するステップと；
−  攻撃がその攻撃の目的を実現する確率を評価するステップと；
−  システムセキュリティレベルおよびシステムＱｏＳ（サービス品質）レベルでその攻撃目的の影響を評価するステップと；
−  攻撃目的の関連する費用影響パラメータを評価するステップとを備える。
【００１２】
本発明の別の態様によれば、検出された少なくとも１つの攻撃に応答して、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、およびその治療的なセキュリティポリシーに関連する費用影響パラメータを評価するステップは、格納された治療的なセキュリティポリシー、および監視される情報システムの状態に基づく。
【００１３】
本発明のさらなる態様によれば、検出された少なくとも１つの攻撃の成功確率パラメータ、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、および検出された少なくとも１つの攻撃と少なくとも１つの治療的なセキュリティポリシーの両方の費用影響パラメータに応じて、治療的なセキュリティポリシーのアクティブ化または非アクティブ化を決定するステップは、監視されるシステムの状態の進展に基づいて、動的に適用される。
【００１４】
本発明のさらなる態様によれば、費用影響パラメータは：
−  ＱｏＳ（サービス品質）影響と、
−  セキュリティレベル低下影響とを備える。
【００１５】
また、本発明は：
−  潜在的な攻撃、およびそれらの攻撃に関連するリスクを格納するため；
−  潜在的な攻撃に応答して治療的なセキュリティポリシーを格納するための
少なくとも１つのデータリポジトリと、
−  情報システムのデータストリームを表す、入ってくるコンテンツを監視するため；
−  情報システムにおいて少なくとも１つの攻撃を検出するため；
−  検出された少なくとも１つの攻撃の成功確率パラメータ、およびその攻撃に関連する費用影響パラメータを評価するため；
−  検出された少なくとも１つの攻撃に応答して、少なくとも１つの治療的なセキュリティポリシーの少なくとも１つのアクティブ化影響パラメータ、およびその治療的なセキュリティポリシーに関連する費用影響パラメータを評価するため；
−  検出された少なくとも１つの攻撃の成功確率パラメータ、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、および少なくとも１つの攻撃と少なくとも１つの治療的なポリシーの両方の費用影響パラメータに応じて、治療的なセキュリティポリシーのアクティブ化を決定するため；
−  少なくとも１つの治療的なセキュリティポリシーをアクティブ化するための
処理手段とを備える監視−保護機器にも関する。
【００１６】
また、本発明は：
−  潜在的な攻撃、およびそれらの攻撃に関連するリスクを格納するため；
−  潜在的な攻撃に応答して治療的なセキュリティポリシーを格納するための
少なくとも１つのデータリポジトリと、
−  情報システムのデータストリームを表す、入ってくるコンテンツを監視するため；
−  情報システムにおいて少なくとも１つの攻撃を検出するため；
−  検出された少なくとも１つの攻撃の成功確率パラメータ、およびその攻撃に関連する費用影響パラメータを評価するため；
−  検出された少なくとも１つの攻撃に応答して、少なくとも１つの治療的なセキュリティポリシーの少なくとも１つのアクティブ化影響パラメータ、およびその治療的なセキュリティポリシーに関連する費用影響パラメータを評価するため；
−  検出された少なくとも１つの攻撃の成功確率パラメータ、少なくとも１つの治療的なセキュリティポリシーのアクティブ化影響パラメータ、および少なくとも１つの攻撃と少なくとも１つの治療的なポリシーの両方の費用影響パラメータに応じて、治療的なセキュリティポリシーの非アクティブ化を決定するため；
−  少なくとも１つの治療的なセキュリティポリシーを非アクティブ化するための
処理手段とを備える監視−保護機器にも関する。
【図面の簡単な説明】
【００１７】
【図１】従来技術による情報システムの攻撃に対してセキュリティポリシーを発動するための保護方法の様々なステップを示す概略図である。
【図２】本発明による攻撃に対する情報システムインフラストラクチャのセキュリティポリシーを適合させるための保護方法の様々なステップを示す概略図である。
【図３】様々な攻撃ステップと、これらの攻撃に関連する目的とを備える例示的な攻撃グラフを示す図である。
【図４】本発明による攻撃に対する情報システムインフラストラクチャのセキュリティポリシーを適合させるための詳細な保護方法の様々なステップを示す概略図である。
【発明を実施するための形態】
【００１８】
本明細書で使用される「攻撃」とは、システムの通常の許可された用法に違反する、または、例えば、ネットワークをスキャンすること、パスワードをクラックすること、悪意のある電子メール（スパムとも呼ばれる）を送信すること、不正な形式のＩＰ（インターネットプロトコル）パケットを送信することなどの、システムの脆弱性を意図的に、または偶然に利用する、システムにおけるイベントを指す。
【００１９】
さらに、情報システムに関して攻撃という表現は、情報システムの外部または内部から開始されて（通常、攻撃者マシンから）、その情報システムに、前記システムにおける機能障害をもたらすために向けられる攻撃を指す。
【００２０】
本明細書で使用される「ＳＩＰ」という用語は、セッションインターネットプロトコルの頭字語である。
【００２１】
本明細書で使用される「ＩＰ」という用語は、インターネットプロトコルの頭字語である。
【００２２】
本明細書で使用される「ＱｏＳ」という用語は、サービス品質の頭字語である。
【００２３】
本発明の実施形態は、情報システムのユーザに対する攻撃の影響、特に費用を最小限に抑えるために、アクティブ化／非アクティブ化決定に攻撃の影響だけでなく、攻撃がその攻撃の目的を実現する成功の尤度、およびセキュリティポリシーの影響が考慮に入れられる、悪意のある攻撃から情報システムを保護するためにセキュリティポリシーのアクティブ化および非アクティブ化を行うための方法に関する。
【００２４】
図２は、情報システム１の保護を適合させるための方法の全体的なステップを表す。
【００２５】
ステップ１１０は、潜在的な攻撃、およびそれらの攻撃に関連するリスクを規定すること、およびデータリポジトリの中に格納することに関する。この第１のステップは、取られうる攻撃の戦略および目的を定義する攻撃モデルをもたらすことを可能にする。
【００２６】
ステップ１１１は、前のステップで定義された可能な攻撃に応答して適用すべき予見されるセキュリティポリシーを規定すること、およびデータリポジトリの中に格納することに関する。
【００２７】
ステップ１１２は、データストリームに対応する情報システム１の入ってくるコンテンツを監視すること、および攻撃検出に関する。
【００２８】
ステップ１１３は、検出された攻撃の成功確率、およびこれらの攻撃に関連する費用影響を評価することに関する。そのような評価は、ステップ１１０で格納された攻撃モデル、およびステップ１１２で検出された攻撃に基づいて実現される。
【００２９】
ステップ１１４は、検出された攻撃に応答して治療的なセキュリティポリシーをアクティブ化することの影響、およびこのアクティブ化に関連する費用影響を評価することに関する。そのような評価は、ステップ１１１で格納されたセキュリティポリシー、および監視される情報システム１の状態に基づいて実現される。
【００３０】
ステップ１１５は、ステップ１１３および１１４で実現される評価に応じて治療的なセキュリティポリシーをアクティブ化する、または非アクティブ化する決定に関する。そのような決定は、情報システム１に対する攻撃と治療的なセキュリティポリシーの両方の累積的な影響を比較することに対応する。
【００３１】
次に、ステップ１１５で決定されたアクティブ化または非アクティブ化が、ステップ１１６で適用される。
【００３２】
さらに、ステップ１１０および１１１は、オフラインで実現され得る予備的なステップである一方で、ステップ１１２、１１３、１１４、１１５、１１６は、情報システムのいずれの変更も、セキュリティポリシーのアクティブ化または非アクティブ化を決定するのにリアルタイムで考慮に入れられるようにオンラインで実現される動的なステップであることに留意されたい。
【００３３】
したがって、本発明は、攻撃結果と、セキュリティポリシーのアクティブ化の結果の両方の評価のお陰で、治療的なセキュリティポリシーをアクティブ化する価値があるかどうかを判定することを可能にし、さらにこのポリシーがアクティブ化される場合、情報システムの進展、およびその情報システムに対するこのポリシーの影響に応じて、このポリシーをアクティブ化されたままにする価値があるかどうかを判定することを可能にする。
【００３４】
前述したとおり、攻撃は、システムにおいて生じるイベントである。実際には、攻撃は、ＶｏＩＰ（ボイスオーバーインターネットプロトコル）システムをハッキングすることを狙いとする攻撃グラフの例が示される図３で説明される攻撃の目的につながる様々なレベル（またはステップ）を備える。
【００３５】
第１のレベル２０１は、被害者マシンに向けて電子メール（悪意のある電子メールまたはスパム）を送信することに対応する。次に、下の（または次の）複数のレベルが、目的を実現する様々なステップ（２１３、２１４、２１５、および２１６）を表す。第２のレベル２０２は、被害者マシンにおけるリモートシェルの取得（ユーザが悪意のあるリンク、または電子メールの添付ファイルを開くことに対応する）に関する。第３のレベル２０３は、リモートシェルを使用する人間の活動をシミュレートすることができる、悪意のあるソフトウェアボットのインストールであるボット（ロボット）感染に対応する。ボットは、攻撃者からの実行すべき将来の命令を待つ可能性がある。図３に表されるとおり、いくつかのリモートシェル、および対応するいくつかのボット感染が、情報システムにおいて並行に発展する可能性がある。
【００３６】
次のレベル２０４は、ＳＩＰ（セッション開始プロトコル）プロトコルを使用しているマシン（コンピュータ全般）またはサーバを発見するようにシステム（またはネットワーク）をスキャンすることであるＳＩＰ発見の発見に対応する。そのような攻撃がボットにより行われ得る。
【００３７】
このステップから、攻撃は、攻撃の目的に応じて異なる２つの方法を使用することが可能である。
【００３８】
第１の方法は、前のレベル（２０４）で発見されたＳＩＰエンティティにインストールされたソフトウェア（オペレーティングシステム、ソフトフォン、サーバなど）のタイプおよびバージョンを識別することから成るＳＩＰフィンガプリンティングに関するステップ２０５につながる。このレベルは、ボットによって実行されることも可能である。
【００３９】
ステップ２０５から、攻撃はこの場合も、異なる２つの方法を有することが可能である。すなわち、１つは、ＳＰＩＴ（スパムオーバーＩＰ）２１３の目的につながるとともに、ＶｏＩＰシステムのユーザを特定するスキャンであり、さらにボットによって実行され得るアクティブなユーザの発見と、ＳＰＩＴ（スパムオーバーＩＰ）を実行する被害者ユーザに対する（ボットによる）呼出しに関する直接呼出し２０９という２つのレベルを備える。
【００４０】
レベル２０５からの他方の可能性は、潜在的な被害者マシン２０７のＭＡＣ（媒体アクセス制御）アドレスの発見（ボットによって実行され得る）である。
【００４１】
その後、次のステップ２０８は、２名の被害者ユーザの間のトラフィック（例えば、確立された呼）が１つのボットを経由することを強制するＡＲＰ（アドレス解決プロトコル）ポイゾニングである。その後、攻撃者は、両方の被害者ユーザの間のすべてのトラフィックにアクセスを有することが可能である。このことは、両方のユーザの間で伝送されるオーディオパケットをスニフィングするオーディオをスニフィングするステップ２１１、または確立された呼を改変するために両方のユーザ間の伝送にオーディオパケットを注入するオーディオを注入するステップ２１２につながる。それぞれの対応する目的は、会話盗聴２１４および会話注入（ｃｏｎｖｅｒｓａｔｉｏｎ  ｉｎｊｅｃｔｉｏｎ）２１５である。
【００４２】
レベル２０４から、第２の攻撃ソリューションは、ボットが、ＶｏＩＰシステムのメインサーバを溢れさせて、目的２１６であるＤｏＳ（サービス拒否）を生じさせるサーバフラッド攻撃２１０にある。
【００４３】
目的に攻撃が近いほど、目的を実現する確率が高いことに留意されたい。このため、スパム（レベル２０１）が検出された際、攻撃が目的（２１３、２１４、２１５、または２１６）のうちの１つを実現する確率がまだ低いので、一般に、セキュリティポリシーをアクティブ化する価値はない一方で、例えば、サーバが溢れさせられた場合（レベル２１０）、目的２１６を実現する確率は、非常に高い。
【００４４】
図３で提示されるグラフは、データリポジトリの中に格納された攻撃モデルに基づいて自動的に実現され、さらに前述したとおり、攻撃の影響、および攻撃がその攻撃の目的を実現する確率を評価する際に使用される。
【００４５】
本発明の様々なステップをよりよく理解するために、次に、本発明の可能な実施形態の詳細な構成が、図２に提示される編成のより詳細な提示に関する図４に基づいて説明される。
【００４６】
ステップ１２０は、情報システムトポロジ、および攻撃検出シグネチャもしくはＩＤＳ（侵入検出シグネチャ）をデータリポジトリの中に格納することに対応する。ステップ１２１は、潜在的な攻撃目的１２２を識別するように専門家によって行われる、監視されるシステムに関するリスク分析である。これらの攻撃目的、およびシステムトポロジ（ステップ１２０で格納された）に基づいて、攻撃モデルが規定される（専門家によって）（１２３）とともに、攻撃コンテキストが規定される（１２６）。次に、図４に提示されるような攻撃モデルがセットアップされ（１２４）、基本的なモデルとしてデータリポジトリの中に格納される（１２５）。
【００４７】
他方、攻撃コンテキストの規定（１２６）は、応答コンテキストを規定すること（１２７）を可能にする。識別された各攻撃コンテキストに関して、関連付けられたセキュリティ規則を有する適切な応答コンテキストが規定される。それらのセキュリティ規則および攻撃コンテキストは、セキュリティポリシーとしてデータリポジトリの中に格納される（１２８）。それらのセキュリティポリシーは、例えば、ファイアウォールアクティブ化、認証要求アクティブ化、もしくはユーザアカウントブロッキング、または情報システムを治癒させること、もしくは攻撃の影響を小さくすることを可能にする任意のアクションに関する。
【００４８】
格納された攻撃モデル、および各攻撃に応答して適用すべきセキュリティポリシーに基づいて、本発明の自動的で動的な部分が実施され得る。
【００４９】
情報システム１が、攻撃を検出することができ、さらにアラートを生成すること、および送信することができる任意のタイプのセンサに対応するＩＤＳ（侵入検出システム）１０１によって監視される。これらのセンサは、特定の電子デバイス（マイクロコントローラ、ＡＳＩＣ（特定用途向け集積回路）など）から成ることが可能であり、またはＩＴ（情報技術）環境において、コンピュータ、サーバ、もしくはルータによって実行されるソフトウェアに過ぎないことも可能である。
【００５０】
次に、ＩＤＳによって送信されたアラートが、オンライン相互関係エンジン１３１において集約され（１２９）、オンライン相互関係エンジン１３１は、これらの集約されたアラート、およびデータリポジトリの中に格納された攻撃モデルを使用して、図３に提示されるような攻撃グラフを生成する。生成されたグラフは、一方で、攻撃がその攻撃の目的を実現する確率を評価する（１３２）ために使用され、他方で、攻撃の影響を評価する（１３３）ために使用される。
【００５１】
目的を実現する確率の算出は、攻撃が目的を実現する成功の尤度に対応する。このため、攻撃の実現可能な各目的（攻撃グラフにおいて事前定義された）の成功の尤度レベルが計算される。このレベルは、攻撃が、その攻撃の目的に対してどれだけ近いかを示す。
【００５２】
攻撃影響評価は、情報システム１のセキュリティおよびＱｏＳ（サービス品質）に対する攻撃の影響を算出することに対応する。このことは、機密性パラメータ、完全性パラメータ、および利用可能性パラメータ、ならびに情報システム１を使用することに影響を与える任意のパラメータに対する影響を収集する。また、そのような評価は、情報システム１の状態にも基づく。
【００５３】
次に、両方の評価の結果が、ＰＩＥ（ポリシーインスタンス化エンジン）１３４に送信されて、ＰＩＥ１３４において、攻撃の累積的な影響が決定される。
【００５４】
加えて、攻撃の影響の評価と同様に、攻撃に応答して使用され得る治療的なセキュリティポリシーの影響の評価（１３６）が、格納されたセキュリティポリシーに基づいて行われる。この場合も、情報システムのセキュリティとＱｏＳの両方に対する影響、ならびにそのシステムの状態が、評価の際に考慮に入れられる。評価の結果は、やはりＰＩＥ１３４に送信され、ＰＩＥ１３４において、治療的なセキュリティポリシーの累積的な影響が決定される。
【００５５】
ポリシーインスタンス化エンジン１３４が、一方で、攻撃影響に対応する評価を受信し、他方で、治療的なセキュリティポリシー影響の評価を受信し、これらの評価が、それぞれ、攻撃ハンドラモジュール１３５および応答ハンドラモジュール１３７によって処理される。各タイプの影響に関して、少なくとも１つのメトリックが定義され、さらに、一般的な事例において、影響（セキュリティ、ＱｏＳなどに対する）の様々な態様に対応する複数のメトリックが定義され、これらすべての影響寄与の評価された値が加算される（実際上、これらの値を経時的に積分することによって）。
【００５６】
攻撃ハンドラモジュールおよび応答ハンドラモジュールによって計算された両方の累積的な影響、ならびに攻撃がその攻撃の目的を実現する確率（成功の尤度とも呼ばれる）、および監視される情報システム１の状態に基づいて、ＰＩＥ１３４が、治療的なセキュリティポリシーがアクティブ化されなければならないかどうか、または非アクティブ化されなければならないかどうかを判定する。
【００５７】
様々なアクティブ化／非アクティブ化規則が使用されることが可能であり、例えば、或るセキュリティポリシーが、成功の尤度が或る所与のしきい値に達した場合に、または攻撃影響が或る所定のしきい値に達した場合に、アクティブ化されることが可能である。このことは、両方（攻撃影響と成功の尤度が所与のしきい値に達した場合のアクティブ化）の組合せであることも可能である。
【００５８】
一般に、応答ポリシーは、以下の場合、すなわち、
−  検出された脅威が、セキュリティポリシーおよび運用上のポリシーに違反した場合、
−  脅威の成功の尤度（攻撃の進行、監視されるシステムの状態を考慮して動的に計算される）が或る所定のしきい値を超えた場合、および
−  脅威の影響が、或る所定のしきい値を超え、さらに関連する応答ポリシーの費用より大きい場合
にアクティブ化されなければならない。
【００５９】
同様に、成功の尤度が或る所与のしきい値を下回った場合、もしくは応答影響が或る所定のしきい値を超えた場合、またはこの両方の組合せの場合、アクティブ化されたセキュリティポリシーは、非アクティブ化されなければならない。そのような事例は、応答ポリシーの影響が、最初の攻撃との関係で、利点よりも多くの欠点を誘発した場合、または攻撃に関連するリスクが片付けられた、もしくは根絶された場合に生じる可能性がある。
【００６０】
次に、セキュリティポリシーをアクティブ化する、または非アクティブ化する命令またはコマンドが、ＰＤＰ（応答ポリシー展開ポイント）１０７（ポリシー決定ポイントとも呼ばれる）に送信され、応答ポリシーの各セキュリティ規則が、情報システム１内に配置され、セキュリティポリシーを実施する（ファイアウォールアクティブ化もしくはファイアウォール構成、侵入防止システムアクティブ化、アカウント許可もしくはアクセス変更など）のに使用されるＰＥＰ（ポリシー執行ポイント）１０９を構成するスクリプトに変換される。
【００６１】
オンラインステップ（オンライン相互関係エンジン１３１、攻撃目的確率評価１３２、攻撃影響評価、攻撃応答評価１３６、ポリシーインスタンス化エンジン１３４、ポリシー展開ポイント、およびポリシー執行ポイントを備える）は、コンピュータまたはサーバによって実行されるプログラムまたはソフトウェアによって実現され得る。これらのオンラインステップは、データリポジトリ（攻撃モデルデータリポジトリ１２５および応答ポリシーデータリポジトリ１２８）の格納された要素を使用して、検出された攻撃、および監視される情報システム１の状態に応じて、応答セキュリティポリシーのアクティブ化／非アクティブ化の必要性を動的に判定する。
【００６２】
このように、本発明は、攻撃の影響、ならびに攻撃に応答して適用すべきセキュリティポリシーの影響の動的な評価をもたらすことを可能にし、したがって、セキュリティポリシーの使用の最適化された効率をもたらす。さらに、セキュリティポリシーを非アクティブ化することに関する条件を特定するという考え方が、情報システム保護の反応性を向上させること、および情報システムの不必要な劣化した使用を回避することを可能にする。実際、セキュリティポリシーは、通常、攻撃の効果を制限するが、その情報システムの容量も低減し、さらに情報システムのユーザを邪魔し、影響を及ぼして、情報システムを使用する企業に関する生産性の損失またはＱｏＳ（サービス品質）の低減につながる可能性がある劣化したモードに対応する。
【図１】
2013525927.tif 000003
【図２】
2013525927.tif 000004
【図３】
2013525927.tif 000005
【図４】
2013525927.tif 000006
【国際調査報告】
2013525927.tif 000007
2013525927.tif 000008
2013525927.tif 000009