(57)【要約】【課題】サイバー攻撃の原因となるアプリケーション等のサービスを特定する。【解決手段】通信システム内の各システムは情報共有装置を備え、この情報共有装置は、攻撃元の端末の識別情報を参照して、当該端末が収容されるシステムを特定する。ここで特定されたシステムが自システムであり、攻撃元の端末が他のシステムのサービスを利用していれば、当該システムへ攻撃情報を送信する。また、特定されたシステムが自システムではないとき、特定されたシステムへ攻撃情報を送信する。また、情報共有装置が他の情報共有装置から攻撃情報を受信した場合において、自システムが攻撃元の端末に対しサービスを提供してれば、当該端末に対し提供しているサービスを攻撃の原因として特定する。【選択図】図２
2015142324.tif 000002
【特許請求の範囲】
【請求項１】
攻撃元の端末の識別情報を含む攻撃情報の入力を受け付ける入力部と、
端末の識別情報ごとに、当該端末が収容されるシステムの識別情報を示した所属システム情報と、自身の情報共有装置の属するシステムである自システムの端末がサービスの提供を受けるシステム、および、自システムに接続される他のシステムを示したシステム相互接続情報と、前記端末の識別情報ごとに、当該端末に提供しているサービスの識別情報を示した提供サービス情報とを記憶する記憶部と、
前記攻撃元の端末の識別情報および前記所属システム情報を参照して、当該端末が収容されるシステムを特定する所属システム特定部と、
前記特定されたシステムが自システムであるとき、前記システム相互接続情報を参照して、前記攻撃元の端末が他のシステムのサービスの提供を受けている否かを判断する判断部と、
前記特定されたシステムが自システムではないとき、前記特定されたシステムを前記攻撃情報の共有先として決定し、
前記特定されたシステムが自システムである場合において、前記攻撃元の端末が他のシステムのサービスの提供を受けていると判断されたとき、前記システム相互接続情報を参照して、当該サービスの提供元のシステムを前記攻撃情報の共有先として決定する共有先決定部と、
前記決定された共有先へ、前記攻撃情報を送信する共有情報送信部と、
前記入力部経由で、他の情報共有装置から、前記攻撃情報の入力を受け付けたとき、前記攻撃情報と前記提供サービス情報とを参照して、前記攻撃元の端末に提供しているサービスの中から、攻撃の原因となっているサービスを特定する原因分析部と、
を備えることを特徴とする情報共有装置。
【請求項２】
前記記憶部は、さらに、
自システムの端末の識別情報ごとに、当該端末の自システムに接続される他のシステムで用いられる識別情報を示した識別情報変換テーブルをさらに備え、
前記情報共有装置は、さらに、
前記攻撃元の端末が自システムの端末である場合において、前記他のシステムからの前記攻撃情報の入力を受け付けた際、前記識別情報変換テーブルを参照して、前記攻撃元の端末の識別情報を自システムで用いる識別情報へ変換する変換部を備えることを特徴とする請求項１に記載の情報共有装置。
【請求項３】
前記原因分析部が、前記攻撃の原因となっているサービスを特定するとき、
前記攻撃情報と前記提供サービス情報とを参照して、前記サービスが、前記攻撃元の端末に提供されている割合と、前記攻撃元の端末を含む各端末に提供されている割合とを計算し、前記計算したそれぞれの割合に基づき、前記攻撃の原因となっているサービスを特定することを特徴とする請求項１または請求項２に記載の情報共有装置。
【請求項４】
前記攻撃情報は、さらに、攻撃先の端末の識別情報、攻撃の種別、および、攻撃の日時の少なくともいずれかを含み、
前記共有情報送信部は、さらに、前記攻撃情報を、自システムのセキュリティ情報を蓄積するセキュリティ管理装置へ送信することを特徴とする請求項１ないし請求項３のいずれか１項に記載の情報共有装置。
【請求項５】
前記情報共有装置は、さらに、
前記攻撃情報のうち、攻撃先の端末の識別情報、攻撃の種別、および、攻撃の日時の少なくともいずれかの項目に関する情報を選択する共有情報決定部を備え、
前記共有情報送信部は、前記攻撃元の端末の識別情報と、前記選択された項目の情報とを含む攻撃情報を、前記共有先へ送信することを特徴とする請求項４に記載の情報共有装置。
【請求項６】
攻撃元の端末の識別情報を含む攻撃情報の入力を受け付ける入力ステップと、
端末の識別情報ごとに、当該端末が収容されるシステムの識別情報を示した所属システム情報と、前記攻撃元の端末の識別情報とを参照して、当該端末が収容されるシステムを特定する所属システム特定ステップと、
前記特定されたシステムが自身の情報共有装置の属するシステムである自システムであるとき、自システムの端末がサービスの提供を受けるシステム、および、自システムに接続される他のシステムを示したシステム相互接続情報を参照して、前記攻撃元の端末が他のシステムのサービスの提供を受けている否かを判断する判断ステップと、
前記特定されたシステムが自システムではないとき、前記特定されたシステムを前記攻撃情報の共有先として決定し、前記特定されたシステムが自システムである場合において、前記攻撃元の端末が他のシステムのサービスの提供を受けていると判断されたとき、前記システム相互接続情報を参照して、当該サービスの提供元のシステムを前記攻撃情報の共有先として決定する共有先決定ステップと、
前記決定された共有先へ、前記攻撃情報を送信する共有情報送信ステップと、
他の情報共有装置から、前記攻撃情報の入力を受け付けたとき、前記端末の識別情報ごとに、当該端末に提供しているサービスの識別情報を示した提供サービス情報と前記攻撃情報とを参照して、前記攻撃元の端末に提供しているサービスの中から、攻撃の原因となっているサービスを特定する原因分析ステップと、
をコンピュータが実行することを特徴とする情報共有方法。
【請求項７】
攻撃元の端末の識別情報を含む攻撃情報の入力を受け付ける入力ステップと、
端末の識別情報ごとに、当該端末が収容されるシステムの識別情報を示した所属システム情報と、前記攻撃元の端末の識別情報とを参照して、当該端末が収容されるシステムを特定する所属システム特定ステップと、
前記特定されたシステムが自身の情報共有装置の属するシステムである自システムであるとき、自システムの端末がサービスの提供を受けるシステム、および、自システムに接続される他のシステムを示したシステム相互接続情報を参照して、前記攻撃元の端末が他のシステムのサービスの提供を受けている否かを判断する判断ステップと、
前記特定されたシステムが自システムではないとき、前記特定されたシステムを前記攻撃情報の共有先として決定し、前記特定されたシステムが自システムである場合において、前記攻撃元の端末が他のシステムのサービスの提供を受けていると判断されたとき、前記システム相互接続情報を参照して、当該サービスの提供元のシステムを前記攻撃情報の共有先として決定する共有先決定ステップと、
前記決定された共有先へ、前記攻撃情報を送信する共有情報送信ステップと、
他の情報共有装置から、前記攻撃情報の入力を受け付けたとき、前記端末の識別情報ごとに、当該端末に提供しているサービスの識別情報を示した提供サービス情報と前記攻撃情報とを参照して、前記攻撃元の端末に提供しているサービスの中から、攻撃の原因となっているサービスを特定する原因分析ステップと、
をコンピュータに実行させることを特徴とする情報共有プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報共有装置、情報共有方法、および、情報共有プログラムに関する。
【背景技術】
【０００２】
携帯端末の高機能化とネットワークの多様化により、携帯端末がサイバー攻撃の攻撃元の端末として利用されてしまうことがある（非特許文献１，２参照）。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】Adrienne  Porter  Felt他、“A  Survey  of  Mobile  Malware  in  the  Wild”、2011年
【非特許文献２】Aubrey-Derrick  Schmidt他、“Smartphone  Malware  Evolution  Revisited:  Android  Next  Target?”、2009年
【発明の概要】
【発明が解決しようとする課題】
【０００４】
このような攻撃が発生した場合、攻撃元の情報として攻撃元の端末のＩＰ（Internet  Protocol）アドレスやＭＡＣ（Media  Access  Control）アドレス等のネットワーク空間の識別情報しか特定できない。このため、当該端末で利用しているアプリケーションが攻撃の原因だった場合、原因の特定が困難であるという問題があった。そこで本発明は、前記した問題を解決し、サイバー攻撃の原因を迅速に特定することを目的とする。
【課題を解決するための手段】
【０００５】
前記した課題を解決するために、本発明は、攻撃元の端末の識別情報を含む攻撃情報の入力を受け付ける入力部と、端末の識別情報ごとに、当該端末が収容されるシステムの識別情報を示した所属システム情報と、自身の情報共有装置の属するシステムである自システムの端末がサービスの提供を受けるシステム、および、自システムに接続される他のシステムを示したシステム相互接続情報と、前記端末の識別情報ごとに、当該端末に提供しているサービスの識別情報を示した提供サービス情報とを記憶する記憶部と、前記攻撃元の端末の識別情報および前記所属システム情報を参照して、当該端末が収容されるシステムを特定する所属システム特定部と、前記特定されたシステムが自システムであるとき、前記システム相互接続情報を参照して、前記攻撃元の端末が他のシステムのサービスの提供を受けている否かを判断する判断部と、前記特定されたシステムが自システムではないとき、前記特定されたシステムを前記攻撃情報の共有先として決定し、前記特定されたシステムが自システムである場合において、前記攻撃元の端末が他のシステムのサービスの提供を受けていると判断されたとき、前記システム相互接続情報を参照して、当該サービスの提供元のシステムを前記攻撃情報の共有先として決定する共有先決定部と、前記決定された共有先へ、前記攻撃情報を送信する共有情報送信部と、前記入力部経由で、他の情報共有装置から、前記攻撃情報の入力を受け付けたとき、前記攻撃情報と前記提供サービス情報とを参照して、前記攻撃元の端末に提供しているサービスの中から、攻撃の原因となっているサービスを特定する原因分析部とを備えることを特徴とする。
【発明の効果】
【０００６】
本発明によれば、サイバー攻撃の原因を迅速に特定することができる。
【図面の簡単な説明】
【０００７】
【図１】図１は、通信システムの構成例を示す図である。
【図２】図２は、図１の通信システムの処理の一例を示す図である。
【図３】図３は、図１の通信システムの処理の一例を示す図である。
【図４】図４は、図１の情報共有装置の機能ブロック図である。
【図５】図５は、図４の所属システム情報の一例を示す図である。
【図６】図６は、図４のサービス提供元システム情報の一例を示す図である。
【図７】図７は、図４のシステム相互接続情報の一例を示す図である。
【図８】図８は、図４の識別情報変換テーブルの一例を示す図である。
【図９】図９は、図４の提供サービス情報の一例を示す図である。
【図１０】図１０は、図４の情報共有装置の処理手順を示すフローチャートである。
【図１１】図１１は、図１０の情報共有判断処理の処理手順を示すフローチャートである。
【図１２】図１２は、図１０の情報共有先決定処理の処理手順を示すフローチャートである。
【図１３】図１３は、原因分析処理の処理手順を示すフローチャートである。
【図１４】図１４は、原因分析処理の具体例を説明するための図である。
【図１５】図１５は、情報共有プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【０００８】
以下、図面を参照しながら、本発明の実施形態を説明する。なお、この実施形態によりこの発明が限定されるものではない。
【０００９】
（第１の実施形態）
図１を用いて各実施形態の通信システムの構成を説明する。通信システムは、複数の事業者のシステムにより構成され、例えば、様々なＷｅｂサービスを提供するサービス事業者のシステムと、端末２０（例えば、携帯電話機）に対し、移動通信網による通信サービスを提供する移動通信事業者のシステムと、端末２０に対しアプリケーション（以下、適宜、アプリと略す）の配信等のサービスを提供するアプリケーション配信事業者のシステムとを備える。
【００１０】
サービス事業者のシステムは、例えば、サーバ３０等のＷｅｂサーバを用いてサービスを提供したり、インターネット網を用いてインターネット接続サービスを提供したりするシステムである。このサービス事業者のシステムは、インターネット網や、インターネット網に接続されるサーバ３０等を備える。
【００１１】
移動通信事業者のシステムは、３Ｇ（第３世代移動通信システム）や、ＬＴＥ（Long  Term  Evolution）等の移動通信網を備え、この移動通信網により端末２０（２０Ａ〜２０Ｃ等）の通信サービスを提供する。
【００１２】
アプリケーション配信事業者のシステムは、端末２０に対し、アプリケーションの配信等のサービスを提供するサーバ４０を備える。このサーバ４０は、例えば、端末２０に対し各種アプリケーション（アプリＡ，アプリＢ等）を配信するアプリケーション配信サーバである。
【００１３】
これらのシステムはそれぞれ、監視装置６０、セキュリティ管理装置５０、情報共有装置１０（１０Ａ〜１０Ｃ）を備え、インターネット等のネットワークにより接続される。破線で示す制御装置７０については、システムが装備する場合と装備しない場合とがあり、装備する場合については後記する。
【００１４】
監視装置６０は、自システム内の装置やネットワークの監視を行い、攻撃を検知した場合、その攻撃内容を示す攻撃情報をセキュリティ管理装置５０へ送信する。
【００１５】
セキュリティ管理装置５０は、監視装置６０から受信した攻撃情報を情報共有装置１０へ送信する。また、このセキュリティ管理装置５０は、監視装置６０や、情報共有装置１０から送信された攻撃情報を蓄積し、システムの管理者等の指示入力に基づき、これらの攻撃情報を出力するようにしてもよい。
【００１６】
情報共有装置１０は、セキュリティ管理装置５０経由で攻撃情報を受信する。前記したとおり攻撃情報は、サイバー攻撃の攻撃内容を示した情報であり、攻撃元の端末２０の識別情報を含む。この攻撃情報は、攻撃先の端末２０の識別情報や、攻撃の種別、攻撃の日時等を含んでいてもよい。そして、情報共有装置１０は、受信した攻撃情報の内容から、当該攻撃情報を他のシステムの情報共有装置１０と共有すべきかを否かを判断し、共有すべきと判断したとき、この攻撃情報を他のシステムへ送信する。
【００１７】
例えば、サービス事業者のシステムにおいてサーバ３０に対するＤＤｏＳ攻撃（Distributed  Denial  of  Service  attack）が検知された場合を考える。この場合、情報共有装置１０Ａは、受信した攻撃情報から、サーバ３０への攻撃元の端末２０が端末２０Ａ，２０Ｂであり、これらの端末２０Ａ，２０Ｂの属するシステム（移動通信事業者のシステム）を特定する。そして、情報共有装置１０Ａは、この攻撃情報を、移動通信事業者のシステムの情報共有装置１０Ｂへ送信する。
【００１８】
情報共有装置１０Ａからの攻撃情報を受信した情報共有装置１０Ｂは、攻撃元の端末２０Ａ，２０Ｂが利用している他のシステムのサービス（アプリケーション）があるか否かを確認し、利用しているサービスがあれば、そのサービスの提供元のシステムに対し、攻撃情報を送信する。例えば、端末２０Ａ，２０Ｂが、アプリケーション配信事業者のサービス（サーバ４０によるアプリケーション配信）を利用していた場合、このアプリケーション配信事業者のシステムの情報共有装置１０Ｃへ攻撃情報を送信する。
【００１９】
情報共有装置１０Ｂからの攻撃情報を受信した情報共有装置１０Ｃは、攻撃情報に含まれる攻撃元の端末２０Ａ，２０Ｂの識別情報から、これらの端末２０へ配信したアプリケーション（例えば、アプリＡ）を特定する。そして、このアプリケーションの配信停止等を行う。
【００２０】
以上の処理を、具体例を交えながら、詳細に説明する。例えば、図２に示すように、アプリケーション配信事業者のサーバ４０からマルウェアを含むアプリＡが端末２０Ａ，２０Ｂに配信され（(１)アプリＡ（マルウェア）配信）、これが原因となりサービス事業者のシステムのサーバ３０への攻撃が行われた場合を考える（(２)攻撃）。この場合、攻撃を検知したサービス事業者のシステムの情報共有装置１０Ａは、端末２０Ａ，２０Ｂが収容される移動通信事業者のシステムへ攻撃情報を送信する（（３）攻撃情報）。この攻撃情報は、例えば、攻撃先アドレス（サーバ３０のアドレス）および攻撃元アドレス（端末２０Ａ，２０Ｂのアドレス）を含む。
【００２１】
移動通信事業者のシステムの情報共有装置１０Ｂは、受信した攻撃情報に含まれる攻撃元アドレス（例えば、端末２０Ａ，２０ＢのＩＰアドレス）から、攻撃元の端末２０Ａ，２０Ｂの端末番号（例えば、携帯電話機の番号）を特定する（（４）番号を特定）。そして、情報共有装置１０Ｂは、この端末番号から、端末２０Ａ，２０Ｂが利用しているアプリケーションの提供事業者のシステムを特定し、この特定したシステムに対し、端末２０Ａ，２０Ｂの番号情報（端末番号）を送信する（（５）番号情報）。
【００２２】
アプリケーション配信事業者のシステムの情報共有装置１０Ｃは、受信した番号情報から、端末２０Ａ，２０Ｂへ配信したアプリ（アプリＡ）を特定する（（６）アプリを特定）。
【００２３】
その後、例えば、図３に示すようにアプリケーション配信事業者のシステムにおいて、サーバ４０から、アプリＡを削除したり、移動通信事業者のシステムにおいて、端末２０Ａ，２０Ｂからの通信を遮断（攻撃遮断）したり、端末２０Ａ，２０Ｂに対するアプリＡの削除指示をしたりする等の対応策がとられる。
【００２４】
このようにすることで、端末２０へ提供されたサービス（例えば、アプリケーションの配信等）が原因となってサイバー攻撃が発生した場合でも、攻撃原因となったサービスや端末２０に対し、迅速かつ効率的な対応をすることができる。
【００２５】
次に、図４を用いて、各システムの情報共有装置１０について説明する。
【００２６】
情報共有装置１０は、入出力部（入力部および出力部）１１と、記憶部１２と、制御部１３とを備える。
【００２７】
入出力部１１は、情報共有装置１０への各種情報の入力および情報共有装置１０からの各種情報の出力を司る。例えば、入出力部１１は、システム内のセキュリティ管理装置５０から攻撃情報の入力を受け付けたり、他の情報共有装置１０への攻撃情報を出力したりする。この入出力部１１は、外部装置との間で情報の入出力や通信を行うためのインタフェースにより実現される。
【００２８】
記憶部１２は、所属システム情報と、サービス提供元システム情報と、システム相互接続情報と、識別情報変換テーブルと、提供サービス情報とを記憶する。この記憶部１２は、ＲＡＭ（Random  Access  Memory）やＨＤＤ（Hard  Disk  Drive、ハードディスクドライブ）等の記憶手段により実現される。
【００２９】
所属システム情報は、端末２０の識別情報（例えば、ＩＰアドレス）ごとに、当該端末が収容されるシステムの識別情報を示した情報である。この所属システム情報は、自システム（自身の情報共有装置１０の属するシステム）の端末２０の識別情報のみならず、自システムに接続される他のシステムの端末２０の識別情報も含む。例えば、図５に示す所属システム情報において、ＩＰアドレスが「ａａａ」である端末２０が収容される（所属する）システムは「サービス事業者（ＩＳＰ）Ａ」のシステムであり、ＩＰアドレスが「ｂｂｂ」である端末２０が収容されるシステムは「移動通信事業者Ｂ」のシステムであることを示す。
【００３０】
サービス提供元システム情報は、自システムで収容する端末２０が他のシステムのサービスを利用している場合、当該サービスの提供元のシステムの識別情報を示した情報である。例えば、図６に示すサービス提供元システム情報において、ＩＰアドレスが「ｂｂｂ」である端末２０が利用しているサービス（例えば、アプリケーション）の提供元は「アプリケーション配信事業者Ｃ」のシステムであり、ＩＰアドレスが「ｃｃｃ」である端末２０が利用しているサービスの提供元は「アプリケーション配信事業者Ｄ」のシステムであることを示す。
【００３１】
システム相互接続情報は、自システムの端末２０に対しサービスを提供するシステム、および、自システムに接続される他のシステムを示した情報である。例えば、図７の符号１０２に示すシステム相互接続情報は、サービス事業者Ａのシステム（例えば、インターネット網）と、移動通信事業者Ｂのシステム（例えば、移動通信網）とが相互に接続されることを示す。また、移動通信事業者Ｂのシステムと、アプリ配信事業者Ｃのシステム（例えば、アプリ配信サーバ）とが相互に接続されていることを示す。
【００３２】
なお、図７に例示するシステム相互接続情報において、相互接続されるシステムがそれぞれ同じレイヤのサービスを提供している場合、それぞれのシステムを同じ高さに配し、異なるレイヤのサービスを提供している場合は、それぞれのシステムを異なる高さに配する。例えば、図７においてサービス事業者Ａのシステムと、移動通信事業者Ｂのシステムとは同じレイヤのサービス（通信サービス）を提供していることを示す。また、アプリ配信事業者Ｃのシステムは、移動通信事業者Ｂのシステムからみて上位レイヤのサービス（アプリケーション配信サービス）を提供していることを示す。
【００３３】
識別情報変換テーブルは、自システムで収容する端末２０の識別情報と、当該端末２０の他のシステムにおける識別情報とを対応付けて示した情報である。例えば、自システムにおいて用いられる端末２０の識別情報がＩＰアドレスであり、他のシステムで用いられる端末２０の識別情報が端末番号である場合を考える。このような場合、識別情報変換テーブルは、図８に示すように、自システムで収容する端末２０のＩＰアドレスごとに、当該ＩＰアドレスに対応する端末番号を示す情報となる。図８に示す識別情報変換テーブルは、ＩＰアドレスが「ｂｂｂ」である端末２０の端末番号は「ｄｄｄ」であることを示す。このような識別情報変換テーブルを備えることで、例えば、端末２０が携帯電話機である場合、ＩＳＰ等のＩＰで通信を行うサービス事業者のシステムでは、端末２０の識別情報としてＩＰアドレスが用いられ、移動通信事業者のシステムでは、端末番号（電話番号等）が用いられる場合でも、識別情報の変換を行うことができる。
【００３４】
提供サービス情報は、端末２０の識別情報ごとに、当該端末２０に提供しているサービスの識別情報を示した情報である。例えば、図９に示す提供サービス情報は、自システムで提供しているサービスがアプリケーションの配信である場合の提供サービス情報を示す。図９に示す提供サービス情報は、端末２０の端末番号ごとに、当該端末２０に提供しているサービスの識別情報（配信したアプリケーションの識別情報）を示す。例えば、図９に示す提供サービス情報は、端末番号「ｄｄｄ」の端末２０に対し、「アプリＡ」が配信されたことを示す。
【００３５】
次に、図４の制御部１３を説明する。制御部１３は、所属システム特定部１３０と、情報共有判断部（判断部）１３１と、共有先決定部１３２と、共有情報送信部１３３と、変換部１３４と、原因分析部１３５とを備える。破線で示す共有情報決定部１３６については、制御部１３が装備する場合と装備しない場合とがあり、装備する場合について後記する。この制御部１３は、情報共有装置１０の備えるＣＰＵ（Central  Processing  Unit）によるプログラム実行処理や専用のハードウェアにより実現される。
【００３６】
所属システム特定部１３０は、攻撃元の端末２０の識別情報をもとに、当該端末２０が収容されるシステムを特定する。具体的には、所属システム特定部１３０は、入出力部１１経由で受信した攻撃情報に含まれる攻撃元の端末２０の識別情報と所属システム情報（図５参照）とを参照して、当該端末２０が収容されるシステムを特定する。例えば、所属システム特定部１３０は、攻撃元の端末２０のＩＰアドレスをもとに所属システム情報（図５参照）を参照して、当該端末２０がどのシステムに収容されるかを特定する。
【００３７】
情報共有判断部１３１は、受信した攻撃情報を他のシステムの情報共有装置１０と共有するか否かを判断する。具体的には、情報共有判断部１３１は、まず、所属システム特定部１３０により特定されたシステムが自システムであるか否かを判断する。そして、特定されたシステムが他のシステムである場合、および、特定されたシステムが自システムであるが、攻撃元の端末２０が他のシステムのサービスを利用している場合、他のシステムの情報共有装置１０との情報共有をする、つまり攻撃情報を送信すると判断する。なお、攻撃元の端末２０が他のシステムのサービスを利用しているか否かは、例えば、システム相互接続情報（図７参照）やサービス提供元システム情報（図６参照）を参照して判断される。
【００３８】
共有先決定部１３２は、攻撃情報の共有先を決定する。具体的には、共有先決定部１３２は、所属システム特定部１３０により特定されたシステムが自システムではないとき、当該システムを攻撃情報の共有先として決定する。つまり、攻撃元の端末２０が自システムの端末２０ではないとき、共有先決定部１３２は、攻撃元の端末２０の収容されるシステムを攻撃情報の共有先として決定する。一方、所属システム特定部１３０により特定されたシステムが自システムである場合において、当該端末２０が他のシステムのサービスを利用しているとき、共有先決定部１３２は、当該サービスの提供元のシステムを攻撃情報の共有先として決定する。なお、当該端末２０が利用しているサービスの提供元のシステムは、サービス提供元システム情報（図６参照）を参照して特定する。
【００３９】
共有情報送信部１３３は、共有先決定部１３２により決定された共有先へ、入出力部１１経由で攻撃情報を送信する。
【００４０】
変換部１３４は、必要に応じて、攻撃情報に示される攻撃元の端末２０の識別情報の変換を行う。例えば、入出力部１１経由で他のシステムから受け付けた攻撃情報に含まれる攻撃元の端末２０の識別情報が、自システムで用いる識別情報ではない場合、識別情報変換テーブル（図８参照）を用いて、識別情報の変換を行う。具体例を挙げると、自システムでは端末２０の識別情報として端末番号を用いるが、受け付けた攻撃情報には端末２０のＩＰアドレスが記載されていた場合、識別情報変換テーブルを用いて、攻撃情報における攻撃元の端末２０の識別情報（ＩＰアドレス）を端末番号に変換する。そして、変換後の攻撃元の端末２０の識別情報（端末番号）を含む攻撃情報を所属システム特定部１３０へ出力する。
【００４１】
また、共有情報送信部１３３において他のシステムの情報共有装置１０へ攻撃情報を送信する場合において、当該他のシステムにおいて用いられる端末２０の識別情報が、自システムで用いられる識別情報と異なることが分かっている場合、攻撃情報における攻撃元の端末２０の識別情報を他のシステムの端末２０の識別情報に変換して、共有情報送信部１３３へ出力してもよい。例えば、自システムで用いる端末２０の識別情報はＩＰアドレスであるが、他のシステムで用いる端末２０の識別情報が端末番号である場合、識別情報変換テーブル（図８参照）を用いて、攻撃情報における攻撃元の端末２０の識別情報（ＩＰアドレス）を端末番号に変換する。そして、変換後の攻撃元の端末２０の識別情報（端末番号）を含む攻撃情報を共有情報送信部１３３へ出力する。
【００４２】
なお、情報共有装置１０が他のシステムとの間で端末２０の識別情報の変換を行う必要がない場合、変換部１３４および識別情報変換テーブルを備える必要はない。
【００４３】
原因分析部１３５は、入力された攻撃情報と提供サービス情報（図９参照）とを参照して、サイバー攻撃の原因となっているサービス（例えば、アプリケーション）の分析を行う。例えば、原因分析部１３５は、入出力部１１経由で入力された攻撃情報に示される攻撃元の端末２０の識別情報（例えば、端末番号）と、提供サービス情報（図９参照）とを参照して、攻撃元の端末２０に提供されているアプリケーションを特定する。そして、原因分析部１３５は、当該アプリケーションを攻撃の原因として特定する。特定したアプリケーションの情報は、例えば、セキュリティ管理装置５０へ送信したり、システムの管理者の端末装置（図示省略）へ送信したりする。このようにすることでシステムの管理者等は、どのアプリケーションが原因となって攻撃を引き起こしたかを知ることができ、攻撃に対する対策を迅速にとることができる。
【００４４】
次に、図１０を用いて情報共有装置１０の処理手順を説明する。まず、情報共有装置１０は入出力部１１経由で攻撃情報の入力を受け付けると、所属システム特定部１３０は、所属システム情報（図５参照）を参照して、この攻撃情報に含まれる攻撃元の端末２０のシステムを特定する（Ｓ１：所属システム特定）。
【００４５】
次に、情報共有判断部１３１は、Ｓ１で特定されたシステムがどのシステムかにより、他のシステムとの間で攻撃情報を共有するか否かを判断する（Ｓ２：情報共有判断処理）。この情報共有判断処理の詳細は後記する。
【００４６】
Ｓ２の処理の結果、情報共有判断部１３１が、他のシステムとの間で攻撃情報を共有すると判断した場合（Ｓ３で「共有する」）、共有先決定部１３２において攻撃情報の共有先を決定する（Ｓ４：情報共有先決定処理）。この情報共有先決定処理についても詳細は後記する。
【００４７】
Ｓ４の後、共有情報送信部１３３において、Ｓ４で決定した共有先へ攻撃情報を送信する（Ｓ５）。そして処理を終了する。
【００４８】
一方、Ｓ２の処理の結果、情報共有判断部１３１が、攻撃情報を他のシステムとの間で共有しないと判断した場合（Ｓ３で「共有しない」）、原因分析部１３５は、入力された攻撃情報と提供サービス情報（図９参照）とを参照して、サイバー攻撃の原因となっているサービス（例えば、アプリケーション）の分析を行う（Ｓ６：原因分析）。例えば、原因分析部１３５は、攻撃元の端末２０で利用されているアプリケーションを特定する。そして、原因分析部１３５は、特定したアプリケーションの情報を出力する等して処理を終了する。
【００４９】
このように各システムの情報共有装置１０は、攻撃情報について他のシステムとの間で共有すべき場合は、当該他のシステムへ攻撃情報を送信し、共有する必要がない場合には、自システムにおいて攻撃情報に基づく攻撃原因の分析を行う。
【００５０】
次に、図１１を用いて図１０の情報共有判断処理を詳細に説明する。情報共有判断部１３１は、図１０のＳ１で特定された攻撃元の端末２０が収容されるシステムは、自システムではない場合（Ｓ１１でＮｏ）、攻撃情報を他のシステムとの間で共有すると判断する（Ｓ１２）。一方、攻撃元の端末２０が収容されるシステムが、自システムである場合（Ｓ１１でＹｅｓ）、情報共有判断部１３１は、システム相互接続情報（図７参照）を参照して、攻撃元の端末２０が他のシステムのサービスを利用しているか否かを判断する（Ｓ１３）。ここで、情報共有判断部１３１は、攻撃元の端末２０が他のシステムのサービスを利用している場合（Ｓ１３でＹｅｓ）、情報共有判断部１３１は、攻撃情報を他のシステムとの間で共有すると判断する（Ｓ１２）。一方、攻撃元の端末２０が他のシステムのサービスを利用していない場合（Ｓ１３でＮｏ）、情報共有判断部１３１は、攻撃情報を他のシステムとの間で共有しないと判断する（Ｓ１４）。
【００５１】
つまり、情報共有判断部１３１は、（１）攻撃元の端末２０が他のシステムに属する場合、および、（２）攻撃元の端末２０は自システムに属するが、他のシステムのサービスを利用している場合、攻撃情報を他のシステムとの間で共有すると判断する。
【００５２】
次に、図１２を用いて図１０の情報共有先決定処理を詳細に説明する。まず、共有先決定部１３２は、システム相互接続情報（図７参照）を参照し、攻撃情報の共有先が自システムと同一レイヤのシステムか、上位レイヤのシステムかを判断する（Ｓ２１）。具体的には、共有先決定部１３２は、所属システム特定部１３０により特定された攻撃元の端末２０の収容されるシステムが自システムと同一レイヤのシステムか、それとも、上位レイヤのシステムのサービスを利用しているシステムかを判断する。
【００５３】
Ｓ２１で共有先決定部１３２が、攻撃情報の共有先が同一レイヤのシステムであると判断した場合（Ｓ２１で「同一レイヤ」）、所属システム特定部１３０により特定されたシステムを攻撃情報の共有先として選択する（Ｓ２２）。一方、共有先決定部１３２が、攻撃情報の共有先が上位レイヤのシステムであると判断した場合（Ｓ２１で「上位レイヤ」）、サービス提供元システム情報（図６参照）を参照して、攻撃元の端末２０が利用しているサービスの提供元のシステムを攻撃情報の共有先として選択する（Ｓ２３）。
【００５４】
つまり、共有先決定部１３２は、攻撃元の端末２０が収容されるシステムや、攻撃元の端末２０が利用しているサービスの提供元のシステムを、攻撃情報の共有先として決定する。そして、共有情報送信部１３３は、この決定された共有先のシステム（具体的には、当該システムの情報共有装置１０）へ攻撃情報を送信する。このようにすることで、攻撃の原因となっている端末２０を収容するシステムや、当該端末２０へサービスを提供している（例えば、アプリケーションを配信している）システムに攻撃情報が到達するので、攻撃の原因を迅速かつ効率的に特定することができる。
【００５５】
（第２の実施形態）
なお、情報共有装置１０の原因分析部１３５において、攻撃の原因となっているアプリケーションを分析する際、各アプリケーションが（攻撃元の端末２０で利用されている割合）／（通信システム内のすべての端末２０で利用されている割合）の値（乖離度）を用いてもよい。この場合の原因分析部１３５の処理を、図１３を用いて説明する。なお、乖離度の計算にあたり、情報共有装置１０は、過去に通信システム内で発生した攻撃に関する攻撃情報を蓄積しておくものとする。
【００５６】
原因分析部１３５は、蓄積された攻撃情報に含まれる攻撃元の端末２０の識別情報と、提供サービス情報（図９参照）とを参照して、各攻撃元の端末２０が利用しているアプリケーションを抽出する（Ｓ３１）。
【００５７】
Ｓ３１の後、原因分析部１３５は、この特定したアプリケーションそれぞれについて、各攻撃元の端末２０で利用されている割合と、すべての端末２０で利用されている割合で乖離度を計算する（Ｓ３２）。つまり、原因分析部１３５は、アプリケーションごとに（攻撃元の端末２０で利用されている割合）／（攻撃元の端末２０を含む各端末２０で利用されている割合）の値（乖離度）を計算する。そして、原因分析部１３５は、乖離度が最も高いアプリケーションを攻撃の原因として特定する（Ｓ３３）。
【００５８】
このようにすることで、通信システム内の端末２０全体で利用されている割合に対し、攻撃元の端末２０において利用されている割合が高いアプリケーションを、攻撃の原因として特定できる。
【００５９】
このような原因分析処理の具体例を、図１４を用いて説明する。ここでは、例えば、通信システムにおいて攻撃元の端末２０と判断された端末２０の台数は１００台であり、このうち、アプリＢは８０台の端末２０により利用され、アプリＣは６０台の端末２０により利用されている場合を考える。また、通信システム全体の端末２０の台数は１０万台であり、このうち、アプリＢは５万台の端末２０に利用され、アプリＣは５００台の端末２０に利用されているものとする。
【００６０】
このような場合、アプリＢが攻撃元の端末２０で利用されている割合は８０台／１００台＝８０％であり、アプリＢが通信システム内のすべての端末２０で利用されている割合は５万台／１０万台＝５０％である。よって、アプリＢの乖離度は、８０％／５０％＝１．６である。
【００６１】
また、アプリＣが攻撃元の端末２０で利用されている割合は６０台／１００台＝６０％であり、アプリＣが通信システム内のすべての端末２０で利用されている割合は５００台／１０万台＝０．５％である。よって、アプリＣの乖離度は、６０％／０．５％＝１２０である。
【００６２】
よって、原因分析部１３５は、通信システム全体としての利用の割合に対し、乖離度が最も高いアプリＣを攻撃の原因として特定する。
【００６３】
なお、原因分析部１３５は、乖離度が最も高いアプリケーション以外にも、乖離度が所定の閾値以上となっているアプリケーションを攻撃の原因として特定してもよい。また、原因分析部１３５は、乖離度以外の値を用いて、攻撃元の端末２０で共通して用いられている度合いが高いアプリケーションを特定するようにしてもよい。
【００６４】
（その他の実施形態）
なお、前記した各実施形態の共有情報送信部１３３は、他のシステムの情報共有装置１０から受信した攻撃情報を、自システムのセキュリティ管理装置５０へ送信するようにしてもよい。このようにすることで、セキュリティ管理装置５０において、自システムの端末２０が原因となった攻撃に関するセキュリティ情報を蓄積することができる。
【００６５】
なお、各実施形態の情報共有装置１０は、図４の破線で示す共有情報決定部１３６をさらに備えていてもよい。この、共有情報決定部１３６は、他のシステムの情報共有装置１０との間で共有する攻撃情報の内容を決定する。具体的には、共有情報決定部１３６は、入力された攻撃情報から、攻撃先の端末２０の識別情報、攻撃の種別、および、攻撃の日時の少なくともいずれかの項目に関する情報を選択する。そして、共有情報送信部１３３は、共有情報決定部１３６により選択された情報を含む攻撃情報を、共有先のシステムへ送信する。なお、共有情報決定部１３６が攻撃情報のどの項目に関する情報を他のシステムの情報共有装置１０との間で共有するかは、例えば、各システムの管理者等が設定しておくものとする。
【００６６】
このようにすることで、他のシステムとの間で共有する攻撃情報の内容を各システムの管理者等が選択することができる。例えば、他のシステムと共有する攻撃情報として攻撃元の端末２０の識別情報のみならず、攻撃先の端末２０の識別情報、攻撃の種別、および、攻撃の日時に関する情報を含めるようにすることで、より多くの情報からなる攻撃情報を他のシステムへ提供することができる。また、他のシステムの情報共有装置１０において、より多くの情報に基づく攻撃原因の分析を行わせることができ、また、セキュリティ管理装置５０により多くの情報を蓄積させることができる。
【００６７】
なお、各実施形態において各情報共有装置１０が保持するシステム相互接続情報（図７参照）は、図７の符号１０２に例示するような、通信システム間のすべてのシステム間の接続関係を示した情報に限定されない。例えば、自システムに隣接するシステムとの接続関係を示す情報のみを保持するようにしてもよい。具体例を挙げると、図７に示すシステム相互接続情報のうち、情報共有装置１０Ａは符号１０１に示す情報を保持し、情報共有装置１０Ｂは符号１０２に示す情報を保持し、情報共有装置１０Ｃは符号１０３に示す情報を保持するようにしてもよい。
【００６８】
さらに、各実施形態のシステムは、図１の制御装置７０を備えるようにしてもよい。この制御装置７０は、セキュリティ管理装置５０からの指示に基づき、自システム内の装置（例えば、端末２０）に対する接続制御等を行う。例えば、移動通信事業者のシステムのセキュリティ管理装置５０は、情報共有装置１０Ｂが受信した攻撃情報に基づき、攻撃元の端末２０が端末２０Ａ，２０Ｂであるという情報を得た場合を考える。この場合、セキュリティ管理装置５０は、制御装置７０に対し、端末２０Ａ，２０Ｂの接続制御を指示する。この指示に基づき制御装置７０は、端末２０Ａ，２０Ｂに対し移動通信網経由で外部に接続できないような接続制御を行う（図３の「攻撃遮断」参照）。このようにすることで、攻撃元の端末２０による攻撃の被害が拡大することを防止できる。
【００６９】
また、各実施形態の情報共有装置１０は、攻撃の原因となるアプリケーションを特定したとき、このアプリケーションの配信を行うサーバ（例えば、サーバ４０）に対し、当該アプリケーションの削除を指示するようにしてもよい。このようにすることでも、攻撃元の端末２０による攻撃の被害が拡大することを防止できる。
【００７０】
なお、各実施形態において、システム相互接続情報とサービス提供元システム情報とは別個の情報として説明したが、サービス提供元システム情報の内容を、システム相互接続情報に含めるようにしてもよい。この場合、各システム内の端末２０が利用しているサービスの提供元のシステムは、システム相互接続情報を参照して特定される。
【００７１】
（プログラム）
また、上記実施形態に係る情報共有装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、情報共有装置１０と同様の機能を実現する情報共有プログラムを実行するコンピュータの一例を説明する。
【００７２】
図１５に示すように、情報共有プログラムを実行するコンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００７３】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
【００７４】
ここで、図１５に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
【００７５】
また、情報共有プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明した情報共有装置１０が実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。
【００７６】
また、情報共有プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００７７】
なお、情報共有プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、情報共有プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local  Area  Network）やＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００７８】
１０    情報共有装置
１１    入出力部
１２    記憶部
１３    制御部
２０    端末
３０，４０    サーバ
５０    セキュリティ管理装置
６０    監視装置
７０    制御装置
１３０  所属システム特定部
１３１  情報共有判断部
１３２  共有先決定部
１３３  共有情報送信部
１３４  変換部
１３５  原因分析部
１３６  共有情報決定部
【図１】
2015142324.tif 000003
【図２】
2015142324.tif 000004
【図３】
2015142324.tif 000005
【図４】
2015142324.tif 000006
【図５】
2015142324.tif 000007
【図６】
2015142324.tif 000008
【図７】
2015142324.tif 000009
【図８】
2015142324.tif 000010
【図９】
2015142324.tif 000011
【図１０】
2015142324.tif 000012
【図１１】
2015142324.tif 000013
【図１２】
2015142324.tif 000014
【図１３】
2015142324.tif 000015
【図１４】
2015142324.tif 000016
【図１５】
2015142324.tif 000017