(57)【要約】  候補イベント導出部（１０１）は、複数のシステム構成要素（３００）が含まれる情報システム（２００）で発生することが予測されるイベントであって、監視対象の候補となるイベントを候補イベントとして導出する。属性特定部（１０２）は、複数のシステム構成要素（３００）のうち候補イベントの発生に関与するシステム構成要素（３００）を候補システム構成要素として導出し、候補システム構成要素の属性を特定する。監視対象決定部（１０３）は、属性特定部（１０２）により特定された候補システム構成要素の属性を解析して、候補イベントを監視対象とするか否かを決定する。
2016075825.tif 000002
【特許請求の範囲】
【請求項１】
複数のシステム構成要素が含まれる情報システムで発生することが予測されるイベントであって、監視対象の候補となるイベントを候補イベントとして導出する候補イベント導出部と、
前記複数のシステム構成要素のうち前記候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出し、前記候補システム構成要素の属性を特定する属性特定部と、
前記属性特定部により特定された前記候補システム構成要素の属性を解析して、前記候補イベントを監視対象とするか否かを決定する監視対象決定部とを有する情報処理装置。
【請求項２】
前記候補イベント導出部は、
前記情報システムへの攻撃がある場合に前記情報システムで発生することが予測されるイベントを、前記候補イベントとして導出する請求項１に記載の情報処理装置。
【請求項３】
前記候補イベント導出部は、
前記情報システムへの攻撃の兆候となる攻撃兆候イベントが発生した際に、前記攻撃兆候イベントの次に前記情報システムで発生することが予測されるイベントを、前記候補イベントとして導出する請求項２に記載の情報処理装置。
【請求項４】
前記監視対象決定部は、
監視対象から除外されるイベントの条件がシステム構成要素の属性で定義されている除外ルールを取得し、
前記属性特定部により特定された前記候補システム構成要素の属性と前記除外ルールに定義されているシステム構成要素の属性とを比較し、前記候補システム構成要素の属性が前記除外ルールに定義されているシステム構成要素の属性と一致する場合に、前記候補イベントを監視対象から除外する請求項１に記載の情報処理装置。
【請求項５】
前記監視対象決定部は、
前記候補システム構成要素の属性が前記除外ルールに定義されているシステム構成要素の属性と一致しない場合に、前記候補イベントを監視対象にする請求項４に記載の情報処理装置。
【請求項６】
前記監視対象決定部は、
前記候補イベントを監視対象から除外した後に前記除外ルールが無効化された場合に、
前記候補イベントを、監視対象にする請求項４に記載の情報処理装置。
【請求項７】
前記情報処理装置は、更に、
前記除外ルールの編集を行うルール編集ツールを有することを特徴とする請求項４に記載の情報処理装置。
【請求項８】
情報システムへの攻撃がある場合に前記情報システムで発生することが予測されるイベントを候補イベントとして導出し、前記候補イベントが発生した場合の前記情報システムへの攻撃の進展状態である候補進展状態を導出する候補イベント導出部と、
前記候補イベントの内容が示される候補イベント定義情報と、前記候補進展状態が示される候補進展状態情報を記憶する情報記憶部と、
前記情報システムへの攻撃の進展状態を検知する進展状態検知部と、
判定タイミングが到来した際に、前記候補進展状態情報に示される前記候補進展状態が、前記判定タイミングまでに前記進展状態検知部により検知された検知進展状態と一致するか否かを判定し、前記候補進展状態と前記検知進展状態とが一致する場合に、前記情報記憶部から前記候補イベント定義情報と前記候補進展状態情報とを削除する情報管理部とを有する情報処理装置。
【請求項９】
前記候補イベント導出部は、
前記情報システムへの攻撃の兆候となる攻撃兆候イベントが発生した際に、前記攻撃兆候イベントの次に前記情報システムで発生することが予測されるイベントを、前記候補イベントとして導出する請求項８に記載の情報処理装置。
【請求項１０】
前記候補イベント導出部は、
複数のシステム構成要素が含まれる前記情報システムへの攻撃がある場合に前記情報システムで発生することが予測されるイベントを候補イベントとして導出し、
前記複数のシステム構成要素のうち前記候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出し、
前記情報記憶部は、
前記候補システム構成要素が示される候補システム構成要素情報を記憶し、
前記進展状態検知部は、
前記情報システムへの攻撃の進展状態を、前記複数のシステム構成要素のうちのいずれかのシステム構成要素と対応付けて検知し、
前記情報管理部は、
判定タイミングが到来した際に、前記候補進展状態情報に示される前記候補進展状態が、前記判定タイミングまでに前記進展状態検知部により検知された検知進展状態と一致するか否か、及び、前記候補システム構成要素情報に示される前記候補システム構成要素が、前記判定タイミングまでに前記進展状態検知部により検知された検知システム構成要素と一致するか否かを判定し、前記候補進展状態と前記検知進展状態とが一致し、前記候補システム構成要素と前記検知システム構成要素とが一致する場合に、前記情報記憶部から前記候補イベント定義情報と前記候補進展状態情報と前記候補システム構成要素情報とを削除する請求項９に記載の情報処理装置。
【請求項１１】
コンピュータが、複数のシステム構成要素が含まれる情報システムで発生することが予測されるイベントであって、監視対象の候補となるイベントを候補イベントとして導出し、
前記コンピュータが、前記複数のシステム構成要素のうち前記候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出し、前記候補システム構成要素の属性を特定し、
前記コンピュータが、前記候補システム構成要素の属性を解析して、前記候補イベントを監視対象とするか否かを決定する情報処理方法。
【請求項１２】
コンピュータが、情報システムへの攻撃がある場合に前記情報システムで発生することが予測されるイベントを候補イベントとして導出し、前記候補イベントが発生した場合の前記情報システムへの攻撃の進展状態である候補進展状態を導出し、
前記コンピュータが、前記候補イベントの内容が示される候補イベント定義情報と、前記候補進展状態が示される候補進展状態情報を記憶装置に記憶させ、
前記コンピュータが、前記情報システムへの攻撃の進展状態を検知し、
前記コンピュータが、判定タイミングが到来した際に、前記候補進展状態情報に示される前記候補進展状態が、前記判定タイミングまでに検知された検知進展状態と一致するか否かを判定し、前記候補進展状態と前記検知進展状態とが一致する場合に、前記記憶装置から前記候補イベント定義情報と前記候補進展状態情報とを削除する情報処理方法。
【請求項１３】
複数のシステム構成要素が含まれる情報システムで発生することが予測されるイベントであって、監視対象の候補となるイベントを候補イベントとして導出する候補イベント導出処理と、
前記複数のシステム構成要素のうち前記候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出し、前記候補システム構成要素の属性を特定する属性特定処理と、
前記属性特定処理により特定された前記候補システム構成要素の属性を解析して、前記候補イベントを監視対象とするか否かを決定する監視対象決定処理とをコンピュータに実行させるプログラム。
【請求項１４】
情報システムへの攻撃がある場合に前記情報システムで発生することが予測されるイベントを候補イベントとして導出し、前記候補イベントが発生した場合の前記情報システムへの攻撃の進展状態である候補進展状態を導出する候補イベント導出処理と、
前記候補イベントの内容が示される候補イベント定義情報と、前記候補進展状態が示される候補進展状態情報を記憶装置に記憶させる情報記憶処理と、
前記情報システムへの攻撃の進展状態を検知する進展状態検知処理と、
判定タイミングが到来した際に、前記候補進展状態情報に示される前記候補進展状態が、前記判定タイミングまでに前記進展状態検知処理により検知された検知進展状態と一致するか否かを判定し、前記候補進展状態と前記検知進展状態とが一致する場合に、前記記憶装置から前記候補イベント定義情報と前記候補進展状態情報とを削除する情報管理処理とをコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報システムへの攻撃を検知する技術に関する。
【背景技術】
【０００２】
情報システムへの攻撃として、例えば標的型攻撃がある。
標的型攻撃においては、攻撃者は正規のユーザに成りすまして活動を行うため、正規の活動と攻撃活動とを区別することが難しい。
正規の活動と攻撃活動とを正しく区別するためには、攻撃検知のための検知ルールをチューニングすることが必要である。
しかし、従来の統合ログ監視では、攻撃の検知漏れと誤検知とのバランスをとれるように検知ルールをチューニングすることが困難であった。
これに対し、攻撃者が行う活動によって観測されるイベントの推移をシナリオとして定義しておき、シナリオにそったイベントの発生が観測された場合に攻撃が発生したとみなす手法が提案されている（例えば、非特許文献１）。
具体的には、非特許文献１の手法では、標的型攻撃において発生すると考えられる複数のイベントのそれぞれに対して、攻撃活動定義情報が定義される。
攻撃活動定義情報には、イベントの内容やイベントが発生するための事前条件、イベントの発生によって攻撃者が得ると期待される新たな知識や状態を示す達成状態等が定義される。
標的型攻撃の検知は、標的型攻撃検知Ｓ／Ｗ（Ｓｏｆｔｗａｒｅ）が、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ  Ｉｎｆｏｒｍａｔｉｏｎ  ａｎｄ  Ｅｖｅｎｔ  Ｍａｎａｇｅｍｅｎｔ）等のセキュリティ機器から送られてくるイベントを受信し、標的型攻撃の確度が高いと判断した場合に管理者へ警報を行う。
警報を行う程の確度に達していなかった場合は、標的型攻撃検知Ｓ／Ｗは、受信したイベントに対応する攻撃活動定義情報を活用して次に発生するイベントの予測を行う。
また、標的型攻撃検知Ｓ／Ｗは、予測したイベントを必要に応じて用い、より詳細な監視が行えるようＳＩＥＭや監視対象ネットワーク上の機器に対して監視設定を変更する。【０００３】
しかし、非特許文献１の手法では、攻撃活動定義情報の定義方法によっては、次に発生が予測されるイベントが大量に出現してしまい、イベントの監視に高い負荷がかかるという課題がある。
つまり、非特許文献１の手法では、イベントの監視として、例えばログなどから攻撃の痕跡を分析する際に高い検索負荷がかかってしまうという課題があった。
これに対し、ホワイトリストを用いてあらかじめ監視対象外のイベントを定義しておく先行技術がある（例えば、特許文献１〜４）。
また、一度監視対象外としたイベントを後から監視対象にするための技術がある（特許文献５）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−５３７８８号公報
【特許文献２】特開２００６−６５８３５号公報    ［特許４６２４１８１号］
【特許文献３】特開２００６−１６３９３１号公報  ［特許４４２０８０４号］
【特許文献４】特開２００７−９４９９７号公報    ［特許４６１９２５４号］
【特許文献５】特開２００８−５９５５２号公報    ［特許４０４１８４５号］
【非特許文献】
【０００５】
【非特許文献１】河内清人，榊原  裕之，桜井  鐘治“シナリオを用いたサイバー攻撃検知方式の提案”、ＳＣＩＳ  ２０１４，２０１４年１月２３日
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ホワイトリストを用いる手法では、イベントごとに監視対象外とするための条件が定義されたホワイトリストを用意する必要がある。
標的型攻撃において発生すると考えられるイベントの数は膨大であり、イベントごとに定義されたホワイトリストと照合して、イベントを監視対象とするか否かを決定する手法では、多数のホワイトリストの中から照合対象のホワイトリストを検索する必要がある。
このため、ホワイトリストを用いる手法では、演算負荷が高く、また演算時間を長く要する。【０００７】
本発明は、このような事情に鑑みたものであり、イベントを監視対象とするか否かの決定に要する演算負荷及び演算時間を軽減することができる構成を実現することを主な目的とする。
【課題を解決するための手段】
【０００８】
本発明に係る情報処理装置は、
複数のシステム構成要素が含まれる情報システムで発生することが予測されるイベントであって、監視対象の候補となるイベントを候補イベントとして導出する候補イベント導出部と、
前記複数のシステム構成要素のうち前記候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出し、前記候補システム構成要素の属性を特定する属性特定部と、
前記属性特定部により特定された前記候補システム構成要素の属性を解析して、前記候補イベントを監視対象とするか否かを決定する監視対象決定部とを有する。
【発明の効果】
【０００９】
本発明では、イベントに比べて大幅に個数が少ないシステム構成要素の属性に基づいて、候補イベントを監視対象とするか否かを決定している。
このため、候補イベントを監視対象とするか否かの決定に要する演算負荷及び演算時間を軽減することができる。
【図面の簡単な説明】
【００１０】
【図１】実施の形態１に係る情報システム及び情報処理装置の構成例を示す図。
【図２】実施の形態１に係る情報処理装置の動作例を示すフローチャート図。
【図３】実施の形態１に係る攻撃イベント予測装置の構成例を示す図。
【図４】実施の形態１に係る攻撃イベント定義情報の例を示す図。
【図５】実施の形態１に係る達成状態情報の例を示す図。
【図６】実施の形態１に係る攻撃イベント予測装置の動作例を示すフローチャート図。
【図７】実施の形態１に係る攻撃イベント定義情報の例を示す図。
【図８】実施の形態１に係る仮候補イベント定義情報の例を示す図。
【図９】実施の形態１に係る達成状態情報の例を示す図。
【図１０】実施の形態１に係る候補イベント定義情報の例を示す図。
【図１１】実施の形態２に係る攻撃イベント予測装置の構成例を示す図。
【図１２】実施の形態２に係るＦｉｌｅ１に関する構成情報の例を示す図。
【図１３】実施の形態２に係るＨ＿１に関する構成情報の例を示す図。
【図１４】実施の形態２に係るＵＳＥＲ１に関する構成情報の例を示す図。
【図１５】実施の形態２に係る構成情報データベースで記憶されている構成情報の例を示す図。
【図１６】実施の形態２に係る構成情報データベースで記憶されている構成情報の例を示す図。
【図１７】実施の形態２に係る除外ルール一覧の例を示す図。
【図１８】実施の形態２に係る攻撃イベント予測装置の動作例を示すフローチャート図。
【図１９】実施の形態２に係る監視イベント判定情報生成部、監視イベント判定部、判定結果処理部を示す図。
【図２０】実施の形態２に係る監視イベント判定情報生成部、監視イベント判定部、判定結果処理部の動作例を示すフローチャート図。
【図２１】実施の形態３に係る攻撃イベント予測装置の構成例を示す図。
【図２２】実施の形態３に係る除外イベント情報テーブル例を示す図。
【図２３】実施の形態３に係る攻撃イベント予測装置の動作例を示すフローチャート図。
【図２４】実施の形態４に係る情報システム及び情報処理装置の構成例を示す図。
【図２５】実施の形態４に係る情報処理装置の動作例を示すフローチャート図。
【図２６】実施の形態４に係る攻撃イベント予測装置の構成例を示す図。
【図２７】実施の形態４に係る攻撃イベント予測装置の動作例を示すフローチャート図。
【図２８】実施の形態４に係る、取得した監視イベント定義情報の例を示すフローチャート図。
【図２９】実施の形態４に係る、取得した達成状態情報の例を示すフローチャート図。
【図３０】実施の形態５に係るデータベース管理ツールの構成例を示す図。
【図３１】実施の形態５に係るデータベース管理ツールの動作例を示すフローチャート図。
【図３２】実施の形態５に係る攻撃イベント定義情報の編集画面の例を示すフローチャート図。
【図３３】実施の形態５に係る除外ルールの編集画面の例を示すフローチャート図。
【図３４】実施の形態１〜５に係る情報処理装置のハードウェア構成例を示す図。
【発明を実施するための形態】
【００１１】
実施の形態１．
＊＊＊情報処理装置１００の構成の説明＊＊＊
図１は、本実施の形態に係る情報処理装置１００と情報システム２００の構成例を示す。
【００１２】
情報システム２００には、複数のシステム構成要素３００が含まれる。
システム構成要素３００には、端末装置、サーバ装置といった計算機要素が含まれる。
また、システム構成要素３００には、端末装置を利用するユーザ、情報システム２００を管理するシステム管理者といった人的要素が含まれる。
更に、システム構成要素３００には、ファイル、テーブル、関数、変数、定数といったデータ要素が含まれる。
また、情報システム２００ではイベントが発生し、情報システム２００に含まれるＳＩＥＭ等のセキュリティ機器によって情報システム２００への攻撃の兆候となる攻撃兆候イベント（以下、攻撃イベントともいう）が検知される。
セキュリティ機器によって検知された攻撃兆候イベントは、情報処理装置１００に通知される。
【００１３】
情報処理装置１００において、候補イベント導出部１０１は、情報システム２００で発生することが予測されるイベントであって、監視対象の候補となるイベントを候補イベントとして導出する。
例えば、候補イベント導出部１０１は、情報システム２００への攻撃がある場合に情報システム２００で発生することが予測されるイベントを、候補イベントとして導出する。
より具体的には、情報システム２００のセキュリティ機器から攻撃兆候イベントが通知された場合に、攻撃兆候イベントの次に情報システム２００で発生することが予測されるイベントを、候補イベントとして導出する。
【００１４】
なお、「監視」とは、攻撃の進展度合いを解析するためにイベントの発生有無を定期的又は不定期にログ検索等により調査することである。
例えば、イベントＡが発生した後にイベントＢが発生した場合には、攻撃の進展段階がレベル１からレベル２に進展したと認定されるシナリオを想定する。
この場合に、イベントＡが発生した後に、次に発生すると予測されるイベントＢを監視対象とし、定期的又は不定期にログを検索することでイベントＢが発生したか否かを判定する。
そして。イベントＢが発生したことをログ検索によって確認できた場合には、攻撃の進展段階がレベル２に進展したことが判明する。
【００１５】
属性特定部１０２は、複数のシステム構成要素３００のうち候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出する。
「関与」とは、候補イベントの発生主体のシステム構成要素、候補イベントの客体となるシステム構成要素、候補イベントでパラメータとして利用されているシステム構成要素等を含む意味である。
また、属性特定部１０２は、候補システム構成要素の属性を特定する。
【００１６】
監視対象決定部１０３は、属性特定部１０２により特定された候補システム構成要素の属性を解析して、候補イベントを監視対象とするか否かを決定する。
【００１７】
＊＊＊情報処理装置１００の動作の説明＊＊＊
次に、情報処理装置１００の動作例を説明する。
図２は、情報処理装置１００の動作例を示すフローチャート図である。
本実施の形態では、候補システム構成要素の属性に基づいて、候補イベントを監視対象とするか否かが決定される。
【００１８】
まず、Ｓ１１において、候補イベント導出部１０１が候補イベントを導出する。
前述したように、候補イベント導出部１０１は、例えば、情報システム２００内のセキュリティ機器から攻撃兆候イベントを通知された場合に、攻撃兆候イベントの次に発生することが予測されるイベントを、候補イベントとして導出する。
候補イベント導出部１０１による候補イベントの導出方法の詳細は後述する。
なお、Ｓ１１を候補イベント導出処理という。
【００１９】
次に、Ｓ１２において、属性特定部１０２が候補システム構成要素を導出する。
また、Ｓ１３において、属性特定部１０２は、候補システム構成要素の属性を特定する。
候補システム構成要素の導出方法、候補システム構成要素の属性の判定方法の詳細は後述する。
なお、Ｓ１２及びＳ１３を、属性特定処理という。
【００２０】
次に、Ｓ１４において、監視対象決定部１０３は、Ｓ１３において属性特定部１０２が特定した候補システム構成要素の属性を解析して、候補イベントを監視対象とするか否かを決定する。
なお、Ｓ１４を監視対象決定処理という。
【００２１】
監視対象として決定された候補イベントは、前述したように、攻撃の進展度合いを解析するためのログ検索の対象となる。
一方、監視対象とならなかった候補イベントは、攻撃の進展度合いを解析するためのログ検索の対象とはならない。
【００２２】
＊＊＊攻撃イベント予測装置１の構成の説明＊＊＊
図３は、本実施の形態に係る攻撃イベント予測装置１の構成例を示す。
攻撃イベント予測装置１は、図１に示す情報処理装置１００をより具体化した装置である。
【００２３】
図３に示すように、攻撃イベント予測装置１は、攻撃イベント検索部２、攻撃イベントデータベース３、達成状態記憶部４、次イベント検索部５、発生可能判定部６、監視イベント判定情報生成部７、判定情報データベース８、監視イベント判定部９、判定結果処理部１０及び監視イベント記憶部１１により構成される。
発生可能判定部６は、図１に示した候補イベント導出部１０１に対応する。
監視イベント判定情報生成部７は、図１に示した属性特定部１０２に対応する。
監視イベント判定部９及び判定結果処理部１０は、図１に示した監視対象決定部１０３に対応する。
【００２４】
攻撃イベント検索部２は、外部から検知アラート４００を受信する。
また、攻撃イベント検索部２は、検知アラート４００に対応する攻撃イベント定義情報を、攻撃イベントデータベース３から検索する。
また、攻撃イベント検索部２は、検知アラート４００から得られた情報を、攻撃イベントデータベース３から得た攻撃イベント定義情報の束縛済み変数に記載する。
検知アラート４００は、情報システム２００に含まれる各種機器から送信される警告メッセージであり、攻撃兆候イベント（攻撃イベント）の発生を通知する。
検知アラート４００の一例として、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）アラートがある。
検知アラート４００には、情報システム２００への攻撃の一環として送信された可能性のあるパケットの送信元のＩＰアドレス及びポート番号、送信先のＩＰアドレス及びポート番号、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）やＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）などのプロトコル、検知した攻撃イベント（ログイン、ポートスキャンなど）の情報が含まれている。
【００２５】
攻撃イベントデータベース３は、攻撃イベント定義情報を蓄積している。
攻撃イベント定義情報は、攻撃イベントの詳細が予め定義された情報である。
【００２６】
図４は、攻撃イベント定義情報の例を示す。
図４に示すように、攻撃イベント定義情報１２は、事前条件１３、イベント１４、達成状態１５、束縛済み変数情報１６で構成されている。
事前条件１３には、攻撃イベントが発生するための前提条件が述語論理の形式で記述されている。
つまり、事前条件１３には、攻撃イベントが観測される前の攻撃の進展段階（イベント前段階）が記述されている。
例えば、図４の符号１７で示す述語論理「ｌｏｇｉｎ（Ａ，Ｈ）」は、攻撃イベントの発生のための事前条件として、「ＡがＨにログインしている」状態が必要であることを表している。
なお、符号１７で示される「Ａ」及び「Ｈ」は変数であり、検知アラート４００から得られた具体的な値などは束縛済み変数情報１６の欄に保持される。
イベント１４は、情報システム２００に対する攻撃が行われる過程において情報システム２００で観測される攻撃イベントを表す。
イベント１４に対して、イベント発生源１８、イベント種別１９、イベントパラメータ２０が定義されている。
イベント発生源１８は、攻撃イベント定義情報１２が対象とするイベント発生源を示している。
符号２１は、発生源として許される値を示しており、この例では変数Ｈによって事前条件１７と関連付けられている（「＄Ｈ」の冒頭にあるドルマーク（＄）は、Ｈが変数であることを示している）。
イベント種別１９は、攻撃イベント定義情報１２が対象としているイベントの種別を指定している。
具体的なイベント種別は、符号２２のように指定される。
イベントパラメータ２０は、イベントのパラメータを示す。
イベントパラメータ２０では、攻撃イベント定義情報１２が対象とする値が指定されている。
図４に示した例では、符号２３でＵＳＥＲという名称のパラメータが符号１７で示されている変数Ａと同じ値をとることが求められている。
達成状態１５は、攻撃イベント定義情報１２の符号１８〜２０の項目に合致するイベントが発生した時に、攻撃者が達成した状態を述語論理で示している。
つまり、達成状態１５には、符号１８〜２０の項目に合致するイベントが観測された後の攻撃の進展段階（イベント後段階）が記述されている。
達成状態１５は、進展状態ともいう。
図４の例では、符号２４の「ｈａｓＳｅｃｒｅｔ（Ａ，Ｈ）」は、「ユーザＡがホストＨの機密を入手した」段階であることを示している。
検知アラート４００では、図４の攻撃イベント定義情報１２と同様に、イベント発生源、イベント種別、イベントパラメータが通知される。
図４の攻撃イベント定義情報１２では、イベント発生源２１、イベントパラメータ２３の各変数の値は特定されていないが、検知アラート４００では、イベント発生源、イベントパラメータの各変数の値が特定されている。
検知アラート４００において特定されている値は束縛済み変数情報１６の欄に格納される。
束縛済み変数情報１６は、検知アラート４００から得られた変数の具体値を束縛値として格納するための欄である。
例えば、図４の符号２５では変数「Ａ」が「ＵＳＥＲ１」に束縛されていることがわかる。
また、変数「Ｈ」が「Ｈ＿１」に束縛されていることがわかる。
つまり、検知アラート４００では、変数「Ａ」の具体値として「ＵＳＥＲ１」が記述され、変数「Ｈ」の具体値として「Ｈ＿１」が記述されている。
なお、束縛済み変数情報１６への変数の具体値の格納は、攻撃イベント検索部２により行われる。
以上述べた攻撃イベント定義情報１２は、標的型攻撃で発生すると考えられる複数の攻撃イベントに対して予め定義されており、攻撃イベントデータベース３内に検索可能な状態で格納されている。
なお、束縛済み変数情報１６の欄に記載されている束縛値である「ＵＳＥＲ１」、「Ｈ＿１」は、情報システム２００に含まれるシステム構成要素３００である。
【００２７】
達成状態記憶部４には、達成状態情報が記憶されている。
達成状態情報は、攻撃イベントにより達成された状態、すなわち、攻撃の進展状態が示される情報である。
【００２８】
図５は、達成状態情報の例を示す。
図５に示すように、達成状態情報２６は、攻撃イベントによって既に達成された事象を表す述語論理が格納されている。
例えば、符号２７の述語論理「Ｌｏｇｉｎ（ＵＳＥＲ１、Ｈ＿１）」は、ユーザ「ＵＳＥＲ１」がホスト「Ｈ＿１」にログインした、という事象を示している。
【００２９】
次イベント検索部５は、入力された攻撃イベント定義情報の達成状態と同じ述語論理を事前条件に含む攻撃イベント定義情報を、攻撃イベントデータベース３から検索し、検索した攻撃イベント定義情報を取得する。
検索の結果、該当する攻撃イベント定義情報が複数あった場合は、次イベント検索部５は、複数の攻撃イベント定義情報を取得する。
次イベント検索部５は、攻撃イベント定義情報の取得後、攻撃イベント検索部２から入力された攻撃イベント定義情報の達成状態に係る束縛済み変数情報（具体値）を、取得した攻撃イベント定義情報の束縛済み変数情報に格納する。
そして、次イベント検索部５は、束縛済み変数情報に具体値が記述された後の攻撃イベント定義情報を、次に発生するイベントの候補を表す仮候補イベント定義情報として出力する。
また、仮候補イベント定義情報で定義されているイベントを、仮候補イベントという。
後述する発生可能判定部６で選択されたイベントは、監視対象の候補イベントであり、次イベント検索部５により抽出された仮候補イベントは、候補イベントに選択される可能性あるイベントである。
【００３０】
発生可能判定部６は、次イベント検索部５から入力された１つ以上の仮候補イベントが、現在発生可能かどうかを判定する。
具体的には、発生可能判定部６は、入力された仮候補イベント定義情報の事前条件に記載された述語論理の全てが、達成状態記憶部４に記憶されているかどうかを確認する。
発生可能判定部６は、入力された仮候補イベント定義情報の事前条件に記載された述語論理の全てが、達成状態記憶部４の達成状態情報に記述されている場合は、入力された仮候補イベント定義情報に記載されている仮候補イベントを候補イベントとして選択する。
発生可能判定部６は、候補イベントが記述されている仮候補イベント定義情報を、候補イベント定義情報として、監視イベント判定情報生成部７に出力する。
【００３１】
監視イベント判定情報生成部７は、発生可能判定部６から出力された候補イベント定義情報を取得する。
そして、監視イベント判定情報生成部７は、候補イベント定義情報の束縛済み変数情報から、候補イベントの発生に関与するシステム構成要素である候補システム構成要素を導出する。
更に、監視イベント判定情報生成部７は、候補システム構成要素の属性を特定する。
具体的には、監視イベント判定情報生成部７は、判定情報データベース８の判定情報を参照して、候補システム構成要素の属性を特定する。
判定情報には、システム構成要素ごとに、システム構成要素の属性が記述されている。
監視イベント判定情報生成部７は、判定情報から、候補システム構成要素の属性を得る。
そして、監視イベント判定情報生成部７は、候補システム構成要素情報の属性を監視イベント判定部９に通知する。
また、監視イベント判定情報生成部７は、発生可能判定部６から取得した候補イベント定義情報を監視イベント判定部９に出力する。
【００３２】
監視イベント判定部９は、監視イベント判定情報生成部７から通知された候補システム構成要素の属性を解析して、候補イベントを監視対象とするか否かを判定する。
監視イベント判定部９は、判定結果と、監視イベント判定情報生成部７から取得した候補イベント定義情報を判定結果処理部１０に出力する。
【００３３】
判定結果処理部１０は、監視イベント判定部９が出力した判定結果と候補イベント定義情報を取得し、候補イベントの登録処理又は除外処理を行う。
判定結果処理部１０は、具体的には、監視イベント判定部９により候補イベントを監視対象とすることが決定されている場合は、候補イベント定義情報を監視イベント定義情報として監視イベント記憶部１１に出力する。
一方、監視イベント判定部９により候補イベントを監視対象としないことが決定されている場合は、判定結果処理部１０は、候補イベント定義情報を監視イベント記憶部１１に出力しない。
判定結果処理部１０は、候補イベント定義情報を消去してもよいし、また、監視イベント記憶部１１以外の記憶領域に候補イベント定義情報を退避させてもよい。
なお、監視イベント判定部９が監視対象として決定した候補イベントを監視イベントという。
また、監視イベントの詳細が記述されている候補イベント定義情報を、監視イベント定義情報という。
【００３４】
監視イベント記憶部１１は、判定結果処理部１０から出力された監視イベント定義情報を記憶する。
【００３５】
＊＊＊攻撃イベント予測装置１の動作の説明＊＊＊
次に、実施の形態１に係る攻撃イベント予測装置１の動作を、図６を参照して説明する。
図６は、実施の形態１に係る攻撃イベント予測装置１の処理の流れを示すフローチャートである。
【００３６】
まず、ステップＳ１０１において、攻撃イベント検索部２が検知アラート４００を受信する。
検知アラート４００は、前述のとおり、情報システム２００内の機器から送信される警告メッセージである。
【００３７】
次に、ステップＳ１０２において、攻撃イベント検索部２は、攻撃イベントデータベース３にアクセスし、検知アラート４００に対応する攻撃イベント定義情報を取得する。
具体的には、攻撃イベント検索部２は、検知アラート４００に記載されているイベント種別（例えば、ＡＮＯＭＡＬＯＵＳ＿ＦＩＬＥ＿ＡＣＣＥＳＳ）と同じイベント種別が記載されている攻撃イベント定義情報を取得する。
また、攻撃イベント検索部２は、検知アラート４００から得られたイベント発生源の具体値、イベントパラメータの具体値を、取得した攻撃イベント定義情報の束縛済み変数情報に代入する。
攻撃イベント検索部２は、束縛済み変数情報に具体値が記述された攻撃イベント定義情報を次イベント検索部５に出力する。
【００３８】
ステップＳ１０３では、攻撃イベント検索部２が、Ｓ１０２で取得した攻撃イベント定義情報の達成状態と合致する達成状態情報を達成状態記憶部４から読み出し、読み出した達成状態情報に記載された述語論理中の変数を束縛済み変数情報に記載された具体値で置き換える。
そして、ステップＳ１０４において、攻撃イベント検索部２は、変数を束縛済み変数情報に記載された具体値で置き換えた後の達成状態情報を達成状態記憶部４に格納する。
【００３９】
ステップＳ１０５では、次イベント検索部５が、攻撃イベントデータベース３を検索して、攻撃イベント定義情報の達成状態に記載された述語論理が事前条件に記載されている攻撃イベント定義情報を取得する。
【００４０】
次に、次イベント検索部５は、ステップＳ１０６において、仮候補イベントを導出する。
具体的には、次イベント検索部５は、Ｓ１０５で得られた攻撃イベント定義情報の束縛済み変数情報に、Ｓ１０２で攻撃イベント検索部２から入力された攻撃イベント定義情報の束縛済み変数情報のうち、達成状態に用いられている値を代入する。
次イベント検索部５は、値が代入された後の攻撃イベント定義情報を仮候補イベント定義情報として、発生可能判定部６に出力する。
【００４１】
図７は、攻撃イベント定義情報２８の例を示す。
図８は、仮候補イベント定義情報２９の例を示す。
図７の攻撃イベント定義情報２８は、検知アラート４００に基づいて、攻撃イベント検索部２によって得られた攻撃イベント定義情報の例である。
図８の仮候補イベント定義情報２９は、攻撃イベント定義情報２８に基づいて次イベント検索部５により得られた仮候補イベント定義情報の例である。
つまり、図８の仮候補イベント定義情報２９では、図７の攻撃イベント定義情報の達成状態３０の述語論理３１「ｈａｓＳｅｃｒｅｔ（Ａ，Ｈ）」と同じ述語論理が、事前条件３２の述語論理３３に記載されている。
また、達成条件３０の述語論理３１中の変数「Ａ」及び変数「Ｈ」の具体値が、束縛済み変数情報３７に束縛値として記載されている。
具体的には、変数「Ａ」の束縛値は「ＵＳＥＲ１」であり、変数「Ｈ」の束縛値は「Ｈ＿１である。
【００４２】
次に、ステップＳ１０７では、発生可能判定部６が、候補イベントを導出する。
つまり、発生可能判定部６は、仮候補イベント定義情報２９を取得し、取得した仮候補イベント定義情報２９に示される仮候補イベントが現在発生可能となっているかどうかを確認する。
より具体的には、発生可能判定部６は仮候補イベントの事前条件３２の述語論理３３と束縛済み変数情報３６を達成状態記憶部４に入力し、入力した述語論理３３に該当する達成状態情報があるかどうかの検索を行う。
このとき、仮候補イベント定義情報２９の事前条件３２に含まれる変数の束縛値が拘束済み変数情報３６に記述されている場合は、発生可能判定部６は、述語論理と束縛値の双方が一致する達成状態情報を検索する。
また、仮候補イベント定義情報２９の束縛済み変数情報３６に束縛値が記述されていない場合は、発生可能判定部６は、達成状態情報に記述されている具体値を、仮候補イベント定義情報２９の束縛済み変数情報３６に束縛値として記載する。
検索の結果、仮候補イベント定義情報２９の事前条件３２の述語論理３３の全てが達成状態記憶部４に記憶されていた場合に、発生可能判定部６は、仮候補イベント定義情報２９を候補イベント定義情報として監視イベント判定情報生成部７に出力する。
【００４３】
図９は、発生可能判定部６の動作時の達成状態記憶部４が保持する達成状態情報の例を示す。
図１０は、発生可能判定部６が生成した候補イベント定義情報の例を示す。
発生可能判定部６は、図８の仮候補イベント定義情報２９の事前条件３２に記載された述語論理３３「ｈａｓＳｅｃｒｅｔ（Ａ，Ｈ）」と「ｃａｎＲｅａｄ（Ａ，Ｆ）」と束縛済み変数情報３６の束縛値との組合せに該当する達成状態情報が達成状態記憶部４に記憶されているかどうかを確認する。
「ｈａｓＳｅｃｒｅｔ（Ａ，Ｈ）」については、述語論理と束縛値との組合せに一致する「ｈａｓＳｅｃｒｅｔ（“ＵＳＥＲ１”，“Ｈ＿１”）」という達成状態情報が存在する。
一方、“ｃａｎＲｅａｄ（Ａ，Ｆ）”については、述語論理は一致するが、束縛値が存在しないため、発生可能判定部６は、達成状態記憶部４に記憶された述語論理４０の具体値「Ｆｉｌｅ１」を束縛済み変数情報３６の変数名「Ｆ」の束縛値として追記する。
図１０の候補イベント定義情報３９は、符号４２で示すように、束縛済み変数情報４１の変数名「Ｆ」の束縛値として「Ｆｉｌｅ１」が追記された後の候補イベント定義情報である。
なお、図１０の候補イベント定義情報３９の束縛済み変数情報４１に記述されている束縛値である「ＵＳＥＲ１」、「Ｈ＿１」、「Ｆｉｌｅ１」は、候補イベントの発生に関与するシステム構成要素３００を示しており、候補システム構成要素に相当する。
【００４４】
ステップＳ１０８では、監視イベント判定情報生成部７が、発生可能判定部６から出力された候補イベント定義情報３９を取得する。
そして、監視イベント判定情報生成部７は、候補イベント定義情報３９の束縛済み変数情報４１から、候補システム構成要素である「ＵＳＥＲ１」、「Ｈ＿１」、「Ｆｉｌｅ１」を抽出する。
更に、監視イベント判定情報生成部７は、候補システム構成要素の属性を特定する。
具体的には、判定情報データベース８の判定情報を参照して、候補システム構成要素の属性を特定する。
判定情報には、システム構成要素ごとに、システム構成要素の属性が記述されている。
監視イベント判定情報生成部７は、判定情報から、候補システム構成要素の属性を得る。
そして、監視イベント判定情報生成部７は、候補システム構成要素情報の属性を監視イベント判定部９に通知する。
また、監視イベント判定情報生成部７は、発生可能判定部６から取得した候補イベント定義情報を監視イベント判定部９に出力する。
【００４５】
ステップＳ１０９では、監視イベント判定部９が、監視イベント判定情報生成部７から通知された候補システム構成要素の属性を解析して、候補イベントを監視対象とするか否かを判定する。
監視イベント判定部９は、判定結果と、監視イベント判定情報生成部７から取得した候補イベント定義情報を判定結果処理部１０に出力する。
【００４６】
ステップＳ１１０では、判定結果処理部１０が、監視イベント判定部９が出力した判定結果と候補イベント定義情報を取得し、候補イベントの登録処理又は除外処理を行う。
判定結果処理部１０は、具体的には、監視イベント判定部９により候補イベントを監視対象とすることが決定されている場合は、候補イベント定義情報を監視イベント定義情報として監視イベント記憶部１１に出力する。
一方、監視イベント判定部９により候補イベントを監視対象としないことが決定されている場合は、判定結果処理部１０は、候補イベント定義情報を監視イベント記憶部１１に出力しない。
【００４７】
＊＊＊効果の説明＊＊＊
以上のように、本実施の形態では、イベントに比べて大幅に個数が少ないシステム構成要素の属性に基づいて、候補イベントを監視対象とするか否かを決定している。
このため、候補イベントを監視対象とするか否かの決定に要する演算負荷及び演算時間を軽減することができ、イベント監視のためのリソースを効率的に活用することができる。
また、イベントの数が膨大であるため、イベントごとに監視対象外とするための条件をホワイトリストにおいて定義しておくことはシステム管理者にとって多大な負担となるが、本実施の形態によれば、システム構成要素の属性を用いて定義することで、システム管理者の負担を軽減することができる。
【００４８】
実施の形態２．
本実施の形態では、候補システム構成要素の属性の導出方法及び候補システム構成要素の属性を用いて候補イベントを監視対象とするか否かの決定方法の詳細を説明する。
以下では、主に実施の形態１との差異を説明する。
以下で説明していない事項は、実施の形態１と同じである。
【００４９】
＊＊＊情報処理装置１００の構成の説明＊＊＊
本実施の形態においても、情報処理装置１００の構成例は図１に示す通りである。
本実施の形態では、監視対象決定部１０３は、監視対象から除外されるイベントの条件がシステム構成要素の属性で定義されている除外ルールを取得する。
また、監視対象決定部１０３は、属性特定部１０２により特定された候補システム構成要素の属性と除外ルールに定義されているシステム構成要素の属性とを比較し、候補システム構成要素の属性が除外ルールに定義されているシステム構成要素の属性と一致する場合に、候補イベントを監視対象から除外する。
一方、監視対象決定部１０３は、候補システム構成要素の属性が除外ルールに定義されているシステム構成要素の属性と一致しない場合に、候補イベントを監視対象にする。
＊＊＊攻撃イベント予測装置４３の構成の説明＊＊＊
図１１は本実施の形態に係る攻撃イベント予測装置４３を示す構成図である。
攻撃イベント予測装置４３は、本実施の形態に係る情報処理装置１００をより具体化した装置である。
【００５０】
図１１において、攻撃イベント予測装置４３は、攻撃イベント検索部２、攻撃イベントデータベース３、達成状態記憶部４、次イベント検索部５、発生可能判定部６、監視イベント判定情報生成部４４、構成情報データベース４５、監視イベント判定部４６、除外ルールデータベース４７、判定結果処理部４８及び監視イベント記憶部１１により構成される。
攻撃イベント予測装置４３は、実施の形態１の攻撃イベント予測装置１と同様に、外部から得られた検知アラート４００に基づき監視対象の監視イベントを特定する。
しかし、攻撃イベント予測装置４３は、攻撃イベント予測装置１と内部構成が異なる。
図１１において、攻撃イベント検索部２、攻撃イベントデータベース３、達成状態記憶部４、次イベント検索部５、発生可能判定部６及び監視イベント記憶部１１は、実施の形態１の攻撃イベント予測装置１の攻撃イベント検索部２、攻撃イベントデータベース３、達成状態記憶部４、次イベント検索部５、発生可能判定部６及び監視イベント記憶部１１と同じである。
なお、本実施の形態では、発生可能判定部６が図１に示した候補イベント導出部１０１に対応し、監視イベント判定情報生成部４４が図１に示した属性特定部１０２に対応し、監視イベント判定部４６及び判定結果処理部４８が図１に示した監視対象決定部１０３に対応する。
【００５１】
監視イベント判定情報生成部４４は、発生可能判定部６から入力された候補イベント定義情報の束縛済み変数情報内の束縛値を構成情報データベース４５に入力し、束縛値に関する構成情報を取得する。
構成情報は、束縛値に記された候補システム構成要素の属性が示される情報である。
例えばファイルならば所属するネットワークグループや閲覧許可に関する制限事項など、ホスト名ならばＩＰアドレスやネットワークグループなど、ユーザならば保持する権限情報などが構成情報に記載されている。
監視イベント判定情報生成部４４は、構成情報データベース４５から構成情報を取得して、候補システム構成要素の属性を得る。
【００５２】
構成情報の例を、図１２、図１３、図１４に示す。
図１２は束縛値「Ｆｉｌｅ１」に関する構成情報４９を示す。
構成情報４９は、種類５０、ネットワークグループ５１、閲覧許可５２によって構成されている。
構成情報は種類ごとに異なる。
つまり、図１２の構成情報４９は種類５０が「ファイル」の構成情報であり、図１３の構成情報５３は種類５４が「ホスト」の構成情報であり、図１４の構成情報５８は種類５９が「ユーザ」の構成情報である。
図１２の構成情報４９では、ファイル「Ｆｉｌｅ１」が属するネットワークグループ５１は「Ｎ＿１」であり、ファイル「Ｆｉｌｅ１」の閲覧許可は「管理職以上」にのみ認められるという属性が記載されている。
図１３に示すホスト「Ｈ＿１」の構成情報５３は、種類５４、ＩＰアドレス５５、ネットワークグループ５６、脆弱性情報５７によって構成される。
構成情報５３では、ホスト「Ｈ＿１」に付与されているＩＰアドレス５５は「１９２．１６８．０．１」であり、ホスト「Ｈ＿１」が属するネットワークグループ５６は「Ｎ＿２」であり、脆弱性情報５７として「ＣＶＥ−０００−００２」の対策がホスト「Ｈ＿１」に未実施という属性が記載されている。
図１４に示すユーザ「ＵＳＥＲ１」の構成情報５８は、種類５９、権限６０によって構成される。
構成情報５８では、ユーザ「ＵＳＥＲ１」の権限６０が「一般」であるという属性が記載されている。
【００５３】
次に、構成情報データベース４５で記憶されている構成情報の例を図１５及び図１６に示す。
図１５の構成情報６１では、束縛値（例えばファイル名６２、ホスト名６３、ユーザ名６４）ごとにシステム構成要素３００の属性（例えば、ネットワークグループ６５、閲覧許可６６）が定義されている。
システム管理者がネットワーク構成などをもとに手動でシステム構成要素３００の属性を入力してもよいし、ツールを用いて自動的にシステム構成要素３００の属性を収集し、構成情報６１を生成するようにしてもよい。
また、図１６の構成情報６７では、ホスト６９ごとに、脆弱性情報６８に対する対策の実施有無が定義されている。
なお、図１６に記載されているＣＶＥは、Ｃｏｍｍｏｎ  Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ  ａｎｄ  Ｅｘｐｏｓｕｒｅｓの意味である。
図１６の構成情報６７では、ホスト「Ｈ＿１」に脆弱性情報ＣＶＥ−０００−００１に対する対策が実施されていることが「Ｙ」で表現されている。
一方で、ホスト「Ｈ＿１」に脆弱性情報ＣＶＥ−０００−００２に対する対策が実施されていないことが「Ｎ」で表現されている。
このように、構成情報６１及び構成情報６７には、システム構成要素３００の属性が定義されている。
構成情報６１を蓄積する構成情報データベース、構成情報６７を蓄積する構成情報データベースのように、複数のデータベースが存在してもよい。
【００５４】
監視イベント判定部４６は、監視イベント判定情報生成部４４からの構成情報を入力として、除外ルールデータベース４７から除外ルールを取得し、入力された構成情報に示される属性が除外ルールに該当するかどうかを確認し、候補イベントを監視対象とするか否かを判定する。
そして、監視イベント判定部４６は、判定結果を判定結果処理部４８へ出力する。
【００５５】
除外ルールデータベース４７が保持する除外ルール一覧の例を図１７に示す。
除外ルール一覧７１にはＩＤ７２ごとに、除外ルール７３が記載されている。
図１７の除外ルール一覧７１では、除外ルール７３は文章で表記されているが、構成情報と比較することができるルールであれば、形式はどのようなものでもよい。
例えば、除外ルール７３が述語論理で記述されていてもよい。
【００５６】
判定結果処理部４８は、発生可能判定部６から出力された候補イベント定義情報及び監視イベント判定部４６による判定結果を入力とする。
判定結果処理部４８は、監視イベント判定部４６により監視が不要と判定された候補イベントを除外する処理を行う。
また、判定結果処理部４８は、監視イベント判定部４６により監視対象と判定された候補イベント定義情報を、監視イベント定義情報として監視イベント記憶部１１に出力する。
【００５７】
＊＊＊攻撃イベント予測装置４３の動作の説明＊＊＊
次に、実施の形態２に係る攻撃イベント予測装置４３の動作を、図１８を参照して説明する。
図１８は、実施の形態２に係る攻撃イベント予測装置４３の全体の処理の流れを示すフローチャートである。
【００５８】
まず、ステップＳ２０１では、Ｓ１０１〜Ｓ１０７と同様の処理が行われる。
【００５９】
次に、ステップＳ２０２では、監視イベント判定情報生成部４４が、入力された候補イベント定義情報の束縛済み変数情報の束縛値を構成情報データベース４５に出力し、束縛済み変数情報に関する構成情報を取得する。
つまり、監視イベント判定情報生成部４４は、候補システム構成要素の属性が示される構成情報を取得して、候補システム構成要素の属性を判定する。
次に、監視イベント判定情報生成部４４は、構成情報データベース４５から取得した構成情報を監視イベント判定部４６に出力する。
【００６０】
ステップＳ２０３では、監視イベント判定部４６が、除外ルールデータベース４７から除外ルール一覧を取得し、Ｓ２０２で監視イベント判定部４６に入力された構成情報の属性が除外ルール一覧に記載された除外ルールのいずれかに該当しているかどうかを判定する。
前述したように、監視イベント判定部４６は、候補システム構成要素の属性が除外ルールに定義されているシステム構成要素の属性と一致する場合に、候補イベントを監視不要と判定する。
一方、候補システム構成要素の属性が除外ルールに定義されているシステム構成要素の属性と一致しない場合は、監視イベント判定部４６は、候補イベントを監視対象と判定する。
監視イベント判定部４６は、判定結果を判定結果処理部４８に出力する。
【００６１】
ステップＳ２０４では、判定結果処理部４８が、監視イベント判定部４６で監視不要と判定された候補イベント定義情報を除外する。
また、判定結果処理部４８は、監視イベント判定部４６で監視対象と判定された候補イベント定義情報を監視イベント定義情報として監視イベント記憶部１１に出力する。
【００６２】
ステップＳ２０５では、監視イベント記憶部１１が判定結果処理部４８から出力された監視イベント定義情報を記憶する。
【００６３】
以上が本実施の形態における攻撃イベント予測装置４３の動作の説明である。
以下、構成情報を用いて、監視が不要な候補イベントを判定する処理の詳細を説明する。
【００６４】
図１９は、攻撃イベント予測装置４３のうち、監視不要の候補イベントを判定するための機能を示している。
監視不要の候補イベントを判定するための機能は、監視イベント判定情報生成部４４、構成情報データベース４５、監視イベント判定部４６、除外ルールデータベース４７、判定結果処理部４８によって構成される。
また、監視イベント判定情報生成部４４は、束縛済み変数抽出部７４、構成情報取得部７５によって構成される。
束縛済み変数抽出部７４は、入力された候補イベント定義情報から、束縛済み変数情報の束縛値を抽出する。
構成情報取得部７５は、束縛済み変数抽出部７４が抽出した束縛値を入力として、束縛値に関する構成情報を構成情報データベース４５から取得し、取得した構成情報を監視イベント判定部４６に出力する。
【００６５】
次に、監視不要の候補イベントを判定するための動作を、図２０を参照して説明する。
【００６６】
まず、ステップＳ３０１で、候補イベント定義情報が監視イベント判定情報生成部４４に入力される。
【００６７】
次に、ステップＳ３０２で、監視イベント判定情報生成部４４内の束縛済み変数抽出部７４が、入力された候補イベント定義情報から、束縛済み変数情報の束縛値を抽出する。
図１０の候補イベント定義情報３９が監視イベント判定情報生成部４４に入力された場合を想定する。
束縛済み変数抽出部７４は、候補イベント定義情報３９から束縛値「ＵＳＥＲ１」、「Ｈ＿１」、「Ｆｉｌｅ１」を抽出する。
【００６８】
ステップＳ３０３では、Ｓ３０２で抽出された束縛値が構成情報取得部７５に入力され、構成情報取得部７５が束縛値を構成情報データベース４５に入力する。
つまり、構成情報取得部７５は、束縛値「ＵＳＥＲ１」、「Ｈ＿１」、「Ｆｉｌｅ１」を構成情報データベース４５に入力する。
【００６９】
ステップＳ３０４では、構成情報取得部７５が、Ｓ３０３で構成情報データベース４５に入力された束縛値に関する構成情報を取得する。
例えば、構成情報取得部７５は、図１２の構成情報４９、図１３の構成情報５３、図１４の構成情報５８を取得する。
【００７０】
ステップＳ３０５では、監視イベント判定部４６に、Ｓ３０４で取得された構成情報と、束縛済み変数情報が入力される。
【００７１】
ステップＳ３０６では、監視イベント判定部４６が、除外ルールデータベース４７から除外ルール一覧を取得し、監視イベント判定部４６に入力された束縛済み変数情報に含まれる束縛値に関する構成情報のうち、除外ルールに該当しているものがないかどうかを調べる。
例えば、図１２の構成情報４９、図１３の構成情報５３、図１４の構成情報５８に対して、監視イベント判定部４６は、図１７の除外ルール一覧７１を取得する。
図１２の構成情報４９では、Ｆｉｌｅ１の閲覧許可５２が「管理職以上」となっており、また、図１４の構成情報５８では、ＵＳＥＲ１の権限６０が「一般」となっている。
このため、監視イベント判定部４６は、除外ルール一覧７１のうち、ＩＤ：００１に対応する除外ルールである「「管理職以上の」閲覧許可の対象に対し、ユーザが必要な権限を持っていない」に該当すると判断する。
【００７２】
ステップＳ３０７では、Ｓ３０６における確認の結果、除外ルールに合致する構成情報があった場合は、監視イベント判定部４６は、該当する構成情報に記述されている属性が束縛済み変数情報に含まれる候補イベントの監視は不要と判定する。
【００７３】
ステップＳ３０８では、すべての候補イベントについてステップＳ３０２〜ステップＳ３０７の処理が完了しているかどうかが判断される。
すべての候補イベントについてステップＳ３０２〜ステップＳ３０７の処理が完了していればステップＳ３０９が行われる。
いずれかの候補イベントについてステップＳ３０２〜ステップＳ３０７の処理が完了していない場合は、未処理の候補イベントについて、ステップＳ３０２〜ステップＳ３０７までの処理が行われる。
【００７４】
ステップＳ３０９では、判定結果処理部４８に候補イベント定義情報とステップＳ３０８までで得られたすべての判定結果が入力され、判定結果処理部４８は、監視不要と判定された候補イベント定義情報を除外し、残りの候補イベント定義情報を監視イベント定義情報として監視イベント記憶部１１に出力する。
【００７５】
＊＊＊効果の説明＊＊＊
以上のように、本実施の形態では、候補イベントの束縛済み変数情報から構成情報を取得し、取得した構成情報に基づいて、あらかじめ定められた除外ルールと比較することで、監視が不要である候補イベントを特定することができる。
構成情報には、システム構成要素の属性が記述されており、また、除外ルールも、監視不要のイベントの条件がシステム構成要素の属性で記述されている。
このため、実施の形態１と同様に、イベントに比べて大幅に個数が少ないシステム構成要素の属性に基づいて、候補イベントを監視対象とするか否かを決定することができる。
このため、候補イベントを監視対象とするか否かの決定に要する演算負荷及び演算時間を軽減することができる。
また、システム管理者の負担を軽減することができる。
【００７６】
実施の形態３．
本実施の形態では、例えば脆弱性情報及びネットワーク情報等の更新により除外ルールが無効化された場合に、無効化された除外ルールによって監視対象外とされた候補イベントを、監視対象にする例を説明する。
以下では、主に実施の形態２との差異を説明する。
以下で説明していない事項は、実施の形態２と同じである。
【００７７】
＊＊＊情報処理装置１００の構成の説明＊＊＊
本実施の形態においても、情報処理装置１００の構成例は図１に示す通りである。
本実施の形態では、監視対象決定部１０３は、候補イベントを監視対象から除外した後に除外ルールが無効化された場合に、候補イベントを、監視対象にする。
【００７８】
＊＊＊攻撃イベント予測装置７６の構成の説明＊＊＊
図２１は本実施の形態に係る攻撃イベント予測装置７６を示す構成図である。
攻撃イベント予測装置７６は、本実施の形態に係る情報処理装置１００をより具体化した装置である。
【００７９】
図２１に示すように、攻撃イベント予測装置７６は、攻撃イベント検索部２、攻撃イベントデータベース３、達成状態記憶部４、次イベント検索部５、発生可能判定部６、監視イベント判定情報生成部４４、構成情報データベース４５、監視イベント判定部４６、除外ルールデータベース４７、判定結果処理部４８、監視イベント回復処理部７７、除外イベント記憶部７８及び監視イベント記憶部１１により構成される。
攻撃イベント予測装置７６は、実施の形態２の攻撃イベント予測装置４３と同様に、外部から得られた検知アラート４００に基づき監視対象の監視イベントを特定する。
しかし、図２１では、図１１と比較して、監視イベント回復処理部７７と除外イベント記憶部７８が追加されている。
図２１において、攻撃イベント検索部２、攻撃イベントデータベース３、達成状態記憶部４、次イベント検索部５、発生可能判定部６及び監視イベント記憶部１１は、実施の形態１の攻撃イベント予測装置１の攻撃イベント検索部２、攻撃イベントデータベース３、達成状態記憶部４、次イベント検索部５、発生可能判定部６及び監視イベント記憶部１１と同じである。
また、構成情報データベース４５、監視イベント判定部４６、除外ルールデータベース４７及び判定結果処理部４８は、実施の形態２の攻撃イベント予測装置４３の構成情報データベース４５、監視イベント判定部４６、除外ルールデータベース４７及び判定結果処理部４８と同じである。
なお、本実施の形態では、発生可能判定部６が図１に示した候補イベント導出部１０１に対応し、監視イベント判定情報生成部４４が図１に示した属性特定部１０２に対応し、監視イベント判定部４６、判定結果処理部４８及び監視イベント回復処理部７７が図１に示した監視対象決定部１０３に対応する。
【００８０】
監視イベント回復処理部７７は、無効化する除外ルールのＩＤを取得する。
また、監視イベント回復処理部７７は、除外ルールデータベース４７に対し、取得したＩＤに該当する除外ルールの無効化要求を行う。
また、監視イベント回復処理部７７は、除外イベント記憶部７８に記憶されている、監視対象から除外された候補イベントの候補イベント定義情報から、取得したＩＤに該当する除外ルールによって監視対象から除外された候補イベントの候補イベント定義情報を抽出する。
そして、監視イベント回復処理部７７は、抽出した候補イベント定義情報を監視イベント記憶部１１に格納する。
【００８１】
除外イベント記憶部７８は、判定結果処理部４８によって監視対象から除外された候補イベント定義情報を記憶する。
【００８２】
なお、図２１では、作図上の理由により検知アラート４００の図示を省略しているが、本実施の形態でも、攻撃イベント検索部２は検知アラート４００を受信する。
【００８３】
図２２に除外イベント記憶部７８での記憶内容の例を示す。
除外イベント記憶部７８は、除外イベント情報テーブルを記憶している。
除外イベント情報テーブルは、除外ルールＩＤ８０、事前条件８１、イベント８２、達成状態８３、束縛済み変数情報８４で構成される。
除外ルールＩＤ８０は、候補イベントを監視対象から除外する判定の際に用いた除外ルールのＩＤである。
事前条件８１、イベント８２、達成状態８３、束縛済み変数情報８４は、候補イベント定義情報に記述されている情報である。
図２２では例として、図１０の候補イベントが監視対象から除外となった場合の除外イベント情報テーブルを示している。
【００８４】
＊＊＊攻撃イベント予測装置７６の動作の説明＊＊＊
次に、実施の形態３に係る攻撃イベント予測装置７６の動作を、図２３を参照して説明する。
図２３は、実施の形態３に係る攻撃イベント予測装置７６の全体の処理の流れを示すフローチャートである。
【００８５】
まず、ステップＳ４０１において、攻撃イベント予測装置７６のユーザが、無効化する除外ルールのＩＤを監視イベント回復処理部７７に入力する。
【００８６】
ステップＳ４０２では、監視イベント回復処理部７７が、除外ルールデータベース４７に対し、ＩＤに対応する除外ルールの無効化を要求する。
無効化要求を受けた除外ルールデータベース４７は、該当するＩＤに対応する除外ルールを無効化する。
無効化された除外ルールは、監視イベント判定部４６の判定には用いられない。
【００８７】
ステップＳ４０３では、監視イベント回復処理部７７は、除外イベント記憶部７８から、ステップＳ４０１で入力されたＩＤに対応する除外イベント情報テーブル内のエントリを取得する。
除外イベント記憶部７８は、監視イベント回復処理部７７に渡したエントリを除外イベント情報テーブルから削除する。
【００８８】
ステップＳ４０４では、監視イベント回復処理部７７は、除外イベント記憶部７８から取得したエントリに示される候補イベントが他の除外ルールに該当しているかどうかを、除外イベント記憶部７８を検索し確認する。
つまり、監視イベント回復処理部７７は、ステップＳ４０３で取得したエントリに示されるイベント８２の欄に示される候補イベントが、除外イベント情報テーブルの他のエントリに記載されているかどうかを確認する。
候補イベントが他の除外ルールにも該当して監視対象外とされた場合は、当該候補イベントが記載されているエントリがＳ４０３で取得されたエントリの他に存在する。
【００８９】
ステップＳ４０５では、Ｓ４０４の処理後、候補イベントが記載されている他のエントリが存在するかどうかによって処理が分岐する。
他のエントリが存在しない場合は、監視イベント回復処理部７７は、Ｓ４０７の処理を行う。
他のエントリが存在する場合、監視イベント回復処理部７７は、Ｓ４０６の処理を行う。
【００９０】
ステップＳ４０６では、監視イベント回復処理部７７は、候補イベントを監視の対象にしない。
【００９１】
ステップＳ４０７では、Ｓ４０３の処理で取得した候補イベントが複数であれば、全ての候補イベントに対して他の除外ルールに該当しているか否かの確認を行ったか否かを判断する。
未確認の候補イベントがある場合は、監視イベント回復処理部７７は、未確認の候補イベントに対して、ステップＳ４０４以降の処理を繰り返す。
全ての候補イベントに対する確認が完了すると、監視イベント回復処理部７７は、候補イベントを監視イベントとして監視イベント記憶部１１に出力する。
【００９２】
＊＊＊効果の説明＊＊＊
以上のように、本実施の形態では、一度監視対象外とした候補イベントを新たに監視対象として指定するため、脆弱性情報やネットワーク情報などが更新された結果、監視対象外とした候補イベントの監視が必要となった場合などに柔軟に対応することができる。
【００９３】
実施の形態４．
実施の形態１〜３では、監視対象として選択された候補イベント定義情報のみを監視イベント記憶部１１に格納する例を説明した。
本実施の形態では、全ての監視イベント定義情報を監視イベント記憶部１１に格納し、情報システム２００に対する攻撃の進展状態に応じて、監視イベント記憶部１１に格納されている監視イベント定義情報を監視対象から除外する例を説明する。
以下では、主に実施の形態１との差異を説明する。
以下で説明していない事項は、実施の形態１と同じである。
【００９４】
＊＊＊情報処理装置１５０の構成の説明＊＊＊
図２４は、本実施の形態に係る情報処理装置１５０と情報システム２００の構成例を示す。
情報システム２００は、図１に示したものと同様であり、複数のシステム構成要素３００が含まれる。
なお、情報システム２００及びシステム構成要素３００の説明は省略する。
【００９５】
情報処理装置１５０において、候補イベント導出部１５１は、情報システム２００への攻撃がある場合に情報システム２００で発生することが予測されるイベントを候補イベントとして導出する。
より具体的には、候補イベント導出部１５１は、情報システム２００への攻撃の兆候となる攻撃兆候イベントが発生した際に、攻撃兆候イベントの次に情報システム２００で発生することが予測されるイベントを、候補イベントとして導出する。
また、候補イベント導出部１５１は、候補イベントが発生した場合の情報システム２００への攻撃の進展状態である候補進展状態を導出する。
また、候補イベント導出部１５１は、複数のシステム構成要素３００のうち候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出する。
【００９６】
情報記憶部１５２は、候補イベントの内容が示される候補イベント情報１５２１と、候補進展状態が示される候補進展状態情報１５２２を記憶する。
また、情報記憶部１５２は、候補システム構成要素が示される候補システム構成要素情報１５２３を記憶する。
候補イベント情報１５２１は、具体的には、図１０に示す符号１５２１の一点鎖線で囲まれた範囲の情報である。
候補進展状態情報１５２２は、具体的には、図１０に示す符号１５２２の一点鎖線で囲まれた範囲の情報である。
候補システム構成要素情報１５２３は、具体的には、図１０に示す符号１５２３の一点鎖線で囲まれた範囲の情報である。
【００９７】
進展状態検知部１５３は、情報システム２００への攻撃の進展状態を検知する。
より具体的には、進展状態検知部１５３は、情報システム２００への攻撃の進展状態を、複数のシステム構成要素３００のうちのいずれかのシステム構成要素３００と対応付けて検知する。
【００９８】
情報管理部１５４は、判定タイミングが到来した際に、候補進展状態情報１５２２に示される候補進展状態が、判定タイミングまでに進展状態検知部１５３により検知された検知進展状態と一致するか否かを判定し、候補進展状態と検知進展状態とが一致する場合に、情報記憶部１５２から候補イベント情報１５２１と候補進展状態情報１５２２とを削除する。
より具体的には、候補進展状態情報１５２２に示される候補進展状態が、判定タイミングまでに進展状態検知部１５３により検知された検知進展状態と一致するか否か、及び、候補システム構成要素情報１５２３に示される候補システム構成要素が、判定タイミングまでに進展状態検知部１５３により検知された検知システム構成要素と一致するか否かを判定し、候補進展状態と検知進展状態とが一致し、候補システム構成要素と検知システム構成要素とが一致する場合に、情報記憶部１５２から候補イベント情報１５２１と候補進展状態情報１５２２と候補システム構成要素情報１５２３とを削除する。
【００９９】
＊＊＊情報処理装置１５０の動作の説明＊＊＊
次に、情報処理装置１５０の動作例を説明する。
図２５は、情報処理装置１５０の動作例を示すフローチャート図である。
本実施の形態では、候補イベントを監視対象とするか否かの判定が行われずに、候補イベント情報１５２１等が情報記憶部１５２に格納され、現在の攻撃の進展状態から、既に監視が不要となった候補システムの候補イベント情報１５２１等が情報記憶部１５２から削除される。
【０１００】
まず、Ｓ２１において、候補イベント導出部１５１が候補イベントを導出する。
候補イベント導出部１０１は、例えば、情報システム２００内のセキュリティ機器から攻撃兆候イベントを通知された場合に、攻撃兆候イベントの次に発生することが予測されるイベントを、候補イベントとして導出する。
候補イベントの導出方法は、例えば、実施の形態１で示したとおりである。
Ｓ２１を、候補イベント導出処理という。
【０１０１】
次に、Ｓ２２において、候補イベント導出部１５１が、候補イベントが発生した場合の情報システム２００への攻撃の進展状態である候補進展状態を導出する。
候補進展状態は、Ｓ２１で導出された候補イベントの達成状態である。
また、候補イベント導出部１５１は、複数のシステム構成要素３００のうち候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出する。
【０１０２】
次に、Ｓ２３において、情報記憶部１５２が、候補イベントの内容が示される候補イベント情報１５２１と、候補進展状態が示される候補進展状態情報１５２２を記憶する。
また、情報記憶部１５２は、候補システム構成要素が示される候補システム構成要素情報１５２３を記憶する。
Ｓ２３を、情報記憶処理という。
【０１０３】
次に、Ｓ２４において、進展状態検知部１５３が、情報システム２００への攻撃の進展状態を検知する。
より具体的には、進展状態検知部１５３は、情報システム２００への攻撃の進展状態を、複数のシステム構成要素３００のうちのいずれかのシステム構成要素３００と対応付けて検知する。
進展状態検知部１５３は、例えば、実施の形態１で説明した検知アラート４００を受信し、検知アラート４００を解析することで、情報システム２００への攻撃の進展状態を検知する。
Ｓ２４を、進展状態検知処理という。
Ｓ２４の処理は、周期的または非周期に繰り返し行われる。
【０１０４】
次に、Ｓ２５において、情報管理部１５４は、判定タイミングが到来した際に、候補進展状態情報１５２２に示される候補進展状態が、判定タイミングまでに進展状態検知部１５３により検知された検知進展状態と一致するか否か、及び、候補システム構成要素情報１５２３に示される候補システム構成要素が、判定タイミングまでに進展状態検知部１５３により検知された検知システム構成要素と一致するか否かを判定する。
Ｓ２５を、情報管理処理という。
【０１０５】
次に、Ｓ２６において、候補進展状態と検知進展状態とが一致し、候補システム構成要素と検知システム構成要素とが一致する場合に、情報管理部１５４が、情報記憶部１５２から候補イベント情報１５２１と候補進展状態情報１５２２と候補システム構成要素情報１５２３とを削除する。
【０１０６】
＊＊＊攻撃イベント予測装置８５の構成の説明＊＊＊
図２６は、本実施の形態に係る攻撃イベント予測装置８５の構成例を示す。
攻撃イベント予測装置８５は、図２４に示す情報処理装置１５０をより具体化した装置である。
【０１０７】
図２６に示すように、攻撃イベント予測装置８５は、攻撃イベント検索部２、攻撃イベントデータベース３、達成状態記憶部４、次イベント検索部５、発生可能判定部６、監視イベント判定情報生成部８６、監視イベント判定部８７、判定結果処理部８８及び監視イベント記憶部１１により構成される。
攻撃イベント予測装置８５は、他の実施の形態の攻撃イベント予測装置と同様に、外部から得られた検知アラート４００に基づき監視対象の監視イベントを特定する。
図２６において、攻撃イベント検索部２、攻撃イベントデータベース３、達成状態記憶部４、次イベント検索部５、発生可能判定部６及び監視イベント記憶部１１は、実施の形態１の攻撃イベント検索部２、攻撃イベントデータベース３、達成状態記憶部４、次イベント検索部５、発生可能判定部６及び監視イベント記憶部１１と同じである。
【０１０８】
監視イベント判定情報生成部８６は、発生可能判定部６が候補イベントを導出したことをトリガーとして動作する。
監視イベント判定情報生成部８６は、監視イベント記憶部１１に記憶されている候補イベント定義情報をすべて取得し、また、達成状態記憶部４に記憶されている達成状態情報をすべて取得し、取得した候補イベント定義情報及び達成状態情報を監視イベント判定部８７に出力する。
【０１０９】
監視イベント判定部８７は、監視イベント判定情報生成部８６から入力された候補イベント定義情報に記載されている候補イベントの達成状態の述語論理と、述語論理に対応する変数に関する束縛値との組合せに合致する達成状態が、達成状態情報に存在するかどうかを確認する。
述語論理と束縛値との組合せに合致する達成状態が達成状態情報に存在する場合に、監視イベント判定部８７は、該当する候補イベントの監視は不要であると判定する。
【０１１０】
判定結果処理部８８は、監視イベント判定部８７が監視不要と判定した候補イベントの候補イベント定義情報を削除するよう監視イベント記憶部１１に要求する。
【０１１１】
なお、発生可能判定部６が図２４で示した候補イベント導出部１５１に対応し、監視イベント記憶部１１が図２４で示した情報記憶部１５２に対応し、攻撃イベント検索部２が図２４で示した進展状態検知部１５３に対応する。
また、監視イベント判定情報生成部８６、監視イベント判定部８７及び判定結果処理部８８が図２４で示した情報管理部１５４に対応する。
【０１１２】
＊＊＊攻撃イベント予測装置８５の動作の説明＊＊＊
次に、実施の形態４に係る攻撃イベント予測装置８５の動作例を、図２７を参照して説明する。
図２７は、実施の形態４に係る攻撃イベント予測装置８５の処理の流れを示すフローチャートである。
【０１１３】
まず、ステップＳ５０１ではＳ１０１〜Ｓ１０７と同様の処理が行われる。
【０１１４】
ステップＳ５０２では、監視イベント記憶部１１が、発生可能判定部６から出力された候補イベント定義情報をすべて記憶する。
監視イベント記憶部１１で記憶されている候補イベント定義情報を監視イベント定義情報という。
すなわち、本実施の形態では、実施の形態２で説明したように、除外ルールを用いて監視対象の候補イベントと監視対象外の候補イベントとの選別は行わない。
しかしながら、除外ルールを用いて監視対象の候補イベントと監視対象外の候補イベントとを選別するようにしても構わない。
【０１１５】
ステップＳ５０３では、Ｓ５０２の処理が完了した後に、発生可能判定部６は、監視イベント判定情報生成部８６を起動する。
【０１１６】
ステップＳ５０４では、監視イベント判定情報生成部８６が、監視イベント記憶部１１から、監視イベント記憶部１１で現在記憶されている監視イベント定義情報をすべて取得する。
また、監視イベント判定情報生成部８６は、達成状態記憶部４から現在記憶されている達成状態情報をすべて取得する。
また、監視イベント判定情報生成部８６は、取得した監視イベント定義情報及び達成状態情報を監視イベント判定部８７に出力する。
【０１１７】
ステップＳ５０５では、監視イベント判定部８７が、監視イベント定義情報の達成状態に記載された述語論理と述語論理に記載された変数の束縛値との組合せに合致する達成状態が達成状態情報に存在するどうかを確認する。
【０１１８】
ステップＳ５０６では、監視イベント定義情報の達成状態に記載された述語論理と述語論理に記載された変数の束縛値との組合せに合致する達成状態が達成状態情報に存在するかどうかによって処理が分岐する。
達成状態の述語論理と束縛値との組合せに合致する達成状態が達成状態情報に存在する場合は、監視イベント判定部８７は、Ｓ５０７の処理を行う。
達成状態の述語論理と束縛値との組合せに合致する達成状態が達成状態情報に存在しない場合は、監視イベント判定部８７は、Ｓ５０８の処理を行う。
【０１１９】
ステップＳ５０７は、達成状態の述語論理と束縛値との組合せが達成状態情報内の達成状態に合致する監視イベントの監視が不要と判定する。
つまり、情報システム２００に対する攻撃が進展した結果、監視イベントの達成状態が既に情報システム２００において達成されているため、もはや、この監視イベントの監視を続ける必要がないため、監視イベント判定部８７は、この監視イベントの監視を不要と判定する。
【０１２０】
図２８及び図２９を用いて、Ｓ５０７の処理を説明する。
図２８は、監視イベント判定情報生成部８６が監視イベント記憶部１１から取得した監視イベント定義情報８９を示す。
また、図２９は、監視イベント判定情報生成部８６が取得した達成状態情報９０を示す。
監視イベント定義情報８９の達成状態９１の述語論理「ｈａｓＳｅｃｒｅｔ（Ａ、Ｈ）」と束縛済み変数情報９３内の変数「Ａ」及び変数「Ｈ」に関する束縛値９４の値「ＵＳＥＲ１」、「Ｈ＿１」との組合せは、達成状態情報９０内にある述語論理９５「ｈａｓＳｅｃｒｅｔ（“ＵＳＥＲ１”，“Ｈ＿１”）に一致する。
したがって、監視イベント判定部８７は、監視イベント定義情報８９の［イベント］の欄で特定される監視イベントの監視を不要と判定する。
【０１２１】
図２７に戻り、ステップＳ５０８では、Ｓ５０４において監視イベント判定情報生成部８６から出力されたすべての監視イベント定義情報に対してＳ５０５〜Ｓ５０７の処理が実施されたかどうかによって処理が分岐する。
すべての監視イベント定義情報に対してＳ５０５〜Ｓ５０７の処理が実施された場合は、Ｓ５０９の処理を行う。
一つ以上の監視イベント定義情報に対してＳ５０５〜Ｓ５０７の処理が実施されていない場合は、監視イベント判定部８７は、処理が実施されていない監視イベント定義情報に対しＳ５０５〜Ｓ５０７の処理を実施する。
【０１２２】
ステップＳ５０９では、判定結果処理部８８が、Ｓ５０７において監視不要と判定された監視イベントの監視イベント定義情報を監視イベント記憶部１１から削除するよう監視イベント記憶部１１に要求する。
【０１２３】
＊＊＊効果の説明＊＊＊
以上のように、本実施の形態では、既に達成された状態と監視イベントにより達成される状態とを比較することで、ある攻撃によって既に達成された状態の前段階にあたる監視イベントを監視対象から除外することができ、イベント監視のためのリソースを効率的に活用することができる。
【０１２４】
実施の形態５．
本実施の形態では、各種データベースを管理するための管理ツールを説明する。
【０１２５】
＊＊＊構成の説明＊＊＊
図３０に示すように、本実施の形態に係るデータベース管理ツール９００は、編集画面９５０をユーザに提示し、ユーザからの指示を受け付けて、データベースに含まれる項目の編集を行う。
本実施の形態に係るデータベース管理ツール９００は、実施の形態１の攻撃イベント予測装置１、実施の形態２の攻撃イベント予測装置４３、実施の形態３の攻撃イベント予測装置７６、実施の形態４の攻撃イベント予測装置８５のいずれに実装されてもよい。
データベース管理ツールは、実施の形態１〜４に用いられる各種データベース（例えば、攻撃イベントデータベースなど）の内容の追加、削除、変更を行う。
データベース管理ツール９００は、ルール編集ツールの例に相当する。
【０１２６】
図３０に示すように、編集画面９５０は、編集対象選択領域９６０、編集領域９７０、編集対象表示領域９８０、編集内容決定領域９９０により構成される。
【０１２７】
編集対象選択領域９６０は、編集を行うデータベースの候補を表示し、ユーザに編集対象のデータベースを選択させる。
編集領域９７０は、ユーザが選択したデータベースの項目の詳細を表示し、編集内容の指示を受け付ける。
編集対象表示領域９８０は、編集対象選択領域９６０においてユーザが選択したデータベースを表示し、また、表示したデータベース内の項目をユーザが選択可能にする。
編集内容決定領域９９０は、ユーザが選択したデータベースに対する、内容の追加や変更、削除などの編集種別の指示を受け付ける。
【０１２８】
＊＊＊動作の説明＊＊＊
次に、実施の形態５に係るデータベース管理ツール９００の動作例を、図３１を参照して説明する。
図３１は、実施の形態５に係るデータベース管理ツール９００の処理の流れを示すフローチャートである。
【０１２９】
データベース管理ツール９００が編集画面９５０を表示ディスプレイに表示している状態で、ステップＳ６０１では、ユーザが編集を行うかどうかによって処理が分岐する。
ユーザが編集を終了する場合は、処理は終了する。
ユーザが編集を行う場合は、Ｓ６０２の処理が行われる。
【０１３０】
ステップＳ６０２では、データベース管理ツール９００が編集可能なデータベースを編集対象選択領域９６０に表示し、ユーザが編集対象選択領域９６０から編集対象のデータベースの選択を行う。
【０１３１】
ステップＳ６０３では、データベース管理ツール９００は、編集対象表示領域９８０にユーザが選択したデータベースに含まれる項目を表示する。
【０１３２】
ステップＳ６０４では、編集内容によって処理が分岐する。
データベースに新たに項目の追加を行う（新規作成）場合は、Ｓ６０５の処理が行われる。
データベースの項目の変更またはデータベースの項目の削除の場合は、Ｓ６０８の処理が行われる。
【０１３３】
ステップＳ６０５では、データベース管理ツール９００は、編集対象表示領域９８０に新たに項目を追加し、ユーザは、追加された項目を選択する。
【０１３４】
ステップＳ６０６では、データベース管理ツール９００は、Ｓ６０５で選択された項目を編集領域９７０に表示し、項目の内容が編集可能となる。
ユーザは、編集領域９７０において当該項目を編集する。
【０１３５】
ステップＳ６０７で編集が完了すると、Ｓ６０１の処理が行われる。
【０１３６】
ステップＳ６０８では、ユーザが編集対象表示領域９８０に表示された項目から変更または削除を行う項目を選択する。
【０１３７】
ステップＳ６０９では、Ｓ６０８で選択された項目に対し、変更を行うか削除を行うかによって処理が分岐する。
変更の場合は、Ｓ６０６の処理が行われる。
削除の場合は、Ｓ６１０の処理が行われる。
【０１３８】
ステップＳ６１０では、データベース管理ツール９００が、Ｓ６０８で選択された項目の削除を行う。
その後、Ｓ６０１の処理が行われる。
【０１３９】
図３２及び図３３に、編集画面９５０の具体例を示す。
図３２は、攻撃イベント定義情報の編集のための編集画面９５１を示す。
図３３は、除外ルールの編集のための編集画面９５２を示す。
【０１４０】
図３２の編集画面９５１では、編集対象選択領域９６１には、編集対象のデータベースを選択するための「攻撃イベント定義情報」、「除外ルール」、「構成情報」の選択欄がある。
図３２は攻撃イベント定義情報を選択した状態の編集画面９５１の例を表している。
編集対象表示領域９８１には攻撃イベント定義情報の内訳が表示されている。
編集対象表示領域９８１には、項目ごとに、攻撃イベント定義情報のＩＤとイベント種別が表示されている。
編集対象表示領域９８１に表示されている項目をユーザが選択すると、攻撃イベント定義情報の詳細な情報が編集領域９７１に表示される。
図３２では編集内容決定領域９９１において攻撃イベント定義情報の新規作成を選択した状態を表している。
編集対象表示領域９８１に符号９８１１の「ＥＶ００３」が追加され、「ＥＶ００３」が選択された状態となっている。
編集領域９７１には、編集対象表示領域９８１で選択された符号９８１１の「ＥＶ００３」に関する編集画面が表示されている。
攻撃イベント定義情報のＩＤ９７１１に「ＥＶ００３」が表示されており、他の欄は空欄となっている。
【０１４１】
図３３は編集対象選択領域９６１において除外ルールを選択した状態の編集画面９５２の例を表している。
編集対象表示領域９８２には除外ルールの内訳が表示されている。
編集対象表示領域９８２には、項目ごとに、除外ルールのＩＤと除外ルール名称が表示されている。
編集対象表示領域９８２に表示されている項目をユーザが選択すると、除外ルールの詳細な情報が編集領域９７２に表示される。
図３３では編集対象表示領域９８２において除外ルールの新規作成を選択した状態を表している。
編集対象表示領域９８２に符号９８２１の「ＲＵ００３」が追加され、「ＲＵ００３」が選択された状態となっている。
編集領域９７２には、編集対象表示領域９８２で選択された符号９８２１の「ＲＵ００３」に関する編集画面が表示されている。
攻撃イベント定義情報のＩＤ９７２１に「ＲＵ００３」が表示されており、他の欄は空欄となっている。
ルール名称９７２２では、除外ルールを表す名称が指定される。
ユーザは除外ルールの名称を任意に指定することができる。
ルールチェック対象９７２３では、除外ルールによる判定の対象となるイベントが指定される。
除外判定条件９７２４では、イベントを監視対象から除外するための条件が指定される。
【０１４２】
＊＊＊効果の説明＊＊＊
以上のように、本実施の形態によれば、ユーザは実施の形態１から実施の形態４に係るデータベースの編集を容易にできる。
【０１４３】
以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
【０１４４】
最後に、実施の形態１〜５に示した情報処理装置１００、情報処理装置１５０、攻撃イベント予測装置１、攻撃イベント予測装置４３、攻撃イベント予測装置７６、攻撃イベント予測装置８５（以下、情報処理装置１００等という）のハードウェア構成例を図３４を参照して説明する。
情報処理装置１００等はコンピュータであり、情報処理装置１００等の各要素をプログラムで実現することができる。
情報処理装置１００等のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。
【０１４５】
演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）である。
外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置である。
主記憶装置９０３は、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）である。
通信装置９０４は、例えばＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）である。
入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。
【０１４６】
プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
プログラムは、図１に示す「〜部」（「〜記憶部」を除く、以下も同様）として説明している機能を実現するプログラムである。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、図１に示す「〜部」の機能を実現するプログラムを実行する。
また、実施の形態１〜５の説明において、「判断する」、「判定する」、「決定する」、「特定する」、「解析する」、「取得する」、「導出する」、「抽出する」、「検知する」、「設定する」、「確認する」、「選択する」、「生成する」、「入力する」、「出力する」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
【０１４７】
なお、図３４の構成は、あくまでも情報処理装置１００等のハードウェア構成の一例を示すものであり、情報処理装置１００等のハードウェア構成は図３４に記載の構成に限らず、他の構成であってもよい。
【０１４８】
また、実施の形態１〜５に示す手順により、本発明に係る情報処理方法を実現可能である。
【符号の説明】
【０１４９】
１  攻撃イベント予測装置、２  攻撃イベント検索部、３  攻撃イベントデータベース、４  達成状態記憶部、５  次イベント検索部、６  発生可能判定部、７  監視イベント判定情報生成部、８  判定情報データベース、９  監視イベント判定部、１０  判定結果処理部、１１  監視イベント記憶部、４３  攻撃イベント予測装置、４４  監視イベント判定情報生成部、４５  構成情報データベース、４６  監視イベント判定部、４７  除外ルールデータベース、４８  判定結果処理部、７４  束縛済み変数抽出部、７５  構成情報取得部、７６  攻撃イベント予測装置、７７  監視イベント回復処理部、７８  除外イベント記憶部、８５  攻撃イベント予測装置、８６  監視イベント判定情報生成部、８７  監視イベント判定部、８８  判定結果処理部、１００  情報処理装置、１０１  候補イベント導出部、１０２  属性特定部、１０３  監視対象決定部、１５０  情報処理装置、１５１  候補イベント導出部、１５２  情報記憶部、１５３  進展状態検知部、１５４  情報管理部、２００  情報システム、３００  システム構成要素、４００  検知アラート、９００  データベース管理ツール、９５０  編集画面、９６０  編集対象選択領域、９７０  編集領域、９８０  編集対象表示領域、９９０  編集内容決定領域、１５２１  候補イベント情報、１５２２  候補進展状態情報、１５２３  候補システム構成要素情報。
【図１】
2016075825.tif 000003
【図２】
2016075825.tif 000004
【図３】
2016075825.tif 000005
【図４】
2016075825.tif 000006
【図５】
2016075825.tif 000007
【図６】
2016075825.tif 000008
【図７】
2016075825.tif 000009
【図８】
2016075825.tif 000010
【図９】
2016075825.tif 000011
【図１０】
2016075825.tif 000012
【図１１】
2016075825.tif 000013
【図１２】
2016075825.tif 000014
【図１３】
2016075825.tif 000015
【図１４】
2016075825.tif 000016
【図１５】
2016075825.tif 000017
【図１６】
2016075825.tif 000018
【図１７】
2016075825.tif 000019
【図１８】
2016075825.tif 000020
【図１９】
2016075825.tif 000021
【図２０】
2016075825.tif 000022
【図２１】
2016075825.tif 000023
【図２２】
2016075825.tif 000024
【図２３】
2016075825.tif 000025
【図２４】
2016075825.tif 000026
【図２５】
2016075825.tif 000027
【図２６】
2016075825.tif 000028
【図２７】
2016075825.tif 000029
【図２８】
2016075825.tif 000030
【図２９】
2016075825.tif 000031
【図３０】
2016075825.tif 000032
【図３１】
2016075825.tif 000033
【図３２】
2016075825.tif 000034
【図３３】
2016075825.tif 000035
【図３４】
2016075825.tif 000036
【手続補正書】
【提出日】平成28年9月21日(2016.9.21)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
複数のシステム構成要素が含まれる情報システムで発生することが予測されるイベントであって、監視対象の候補となるイベントを候補イベントとして導出する候補イベント導出部と、
前記複数のシステム構成要素のうち前記候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出し、前記候補システム構成要素の属性を特定する属性特定部と、
監視対象から除外されるイベントの条件がシステム構成要素の属性で定義されている除外ルールを取得し、前記属性特定部により特定された前記候補システム構成要素の属性と前記除外ルールに定義されているシステム構成要素の属性とを比較して、前記候補イベントを監視対象とするか否かを決定する監視対象決定部とを有する情報処理装置。
【請求項２】
前記候補イベント導出部は、
前記情報システムへの攻撃がある場合に前記情報システムで発生することが予測されるイベントを、前記候補イベントとして導出する請求項１に記載の情報処理装置。
【請求項３】
前記候補イベント導出部は、
前記情報システムへの攻撃の兆候となる攻撃兆候イベントが発生した際に、前記攻撃兆候イベントの次に前記情報システムで発生することが予測されるイベントを、前記候補イベントとして導出する請求項２に記載の情報処理装置。
【請求項４】
前記監視対象決定部は、
前記候補システム構成要素の属性が前記除外ルールに定義されているシステム構成要素の属性と一致する場合に、前記候補イベントを監視対象から除外する請求項１に記載の情報処理装置。
【請求項５】
前記監視対象決定部は、
前記候補システム構成要素の属性が前記除外ルールに定義されているシステム構成要素の属性と一致しない場合に、前記候補イベントを監視対象にする請求項１に記載の情報処理装置。
【請求項６】
前記監視対象決定部は、
前記候補イベントを監視対象から除外した後に前記除外ルールが無効化された場合に、
前記候補イベントを、監視対象にする請求項４に記載の情報処理装置。
【請求項７】
前記情報処理装置は、更に、
前記除外ルールの編集を行うルール編集ツールを有する請求項４に記載の情報処理装置。
【請求項８】
情報システムへの攻撃がある場合に前記情報システムで発生することが予測されるイベントを候補イベントとして導出し、前記候補イベントが発生した場合の前記情報システムへの攻撃の進展状態である候補進展状態を導出する候補イベント導出部と、
前記候補イベントの内容が示される候補イベント定義情報と、前記候補進展状態が示される候補進展状態情報を記憶する情報記憶部と、
前記情報システムへの攻撃の進展状態を検知する進展状態検知部と、
判定タイミングが到来した際に、前記候補進展状態情報に示される前記候補進展状態が、前記判定タイミングまでに前記進展状態検知部により検知された検知進展状態と一致するか否かを判定し、前記候補進展状態と前記検知進展状態とが一致する場合に、前記情報記憶部から前記候補イベント定義情報と前記候補進展状態情報とを削除する情報管理部とを有する情報処理装置。
【請求項９】
前記候補イベント導出部は、
前記情報システムへの攻撃の兆候となる攻撃兆候イベントが発生した際に、前記攻撃兆候イベントの次に前記情報システムで発生することが予測されるイベントを、前記候補イベントとして導出する請求項８に記載の情報処理装置。
【請求項１０】
前記候補イベント導出部は、
複数のシステム構成要素が含まれる前記情報システムへの攻撃がある場合に前記情報システムで発生することが予測されるイベントを候補イベントとして導出し、
前記複数のシステム構成要素のうち前記候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出し、
前記情報記憶部は、
前記候補システム構成要素が示される候補システム構成要素情報を記憶し、
前記進展状態検知部は、
前記情報システムへの攻撃の進展状態を、前記複数のシステム構成要素のうちのいずれかのシステム構成要素と対応付けて検知し、
前記情報管理部は、
判定タイミングが到来した際に、前記候補進展状態情報に示される前記候補進展状態が、前記判定タイミングまでに前記進展状態検知部により検知された検知進展状態と一致するか否か、及び、前記候補システム構成要素情報に示される前記候補システム構成要素が、前記判定タイミングまでに前記進展状態検知部により検知された検知システム構成要素と一致するか否かを判定し、前記候補進展状態と前記検知進展状態とが一致し、前記候補システム構成要素と前記検知システム構成要素とが一致する場合に、前記情報記憶部から前記候補イベント定義情報と前記候補進展状態情報と前記候補システム構成要素情報とを削除する請求項９に記載の情報処理装置。
【請求項１１】
コンピュータが、複数のシステム構成要素が含まれる情報システムで発生することが予測されるイベントであって、監視対象の候補となるイベントを候補イベントとして導出し、
前記コンピュータが、前記複数のシステム構成要素のうち前記候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出し、前記候補システム構成要素の属性を特定し、
前記コンピュータが、監視対象から除外されるイベントの条件がシステム構成要素の属性で定義されている除外ルールを取得し、特定された前記候補システム構成要素の属性と前記除外ルールに定義されているシステム構成要素の属性とを比較して、前記候補イベントを監視対象とするか否かを決定する情報処理方法。
【請求項１２】
コンピュータが、情報システムへの攻撃がある場合に前記情報システムで発生することが予測されるイベントを候補イベントとして導出し、前記候補イベントが発生した場合の前記情報システムへの攻撃の進展状態である候補進展状態を導出し、
前記コンピュータが、前記候補イベントの内容が示される候補イベント定義情報と、前記候補進展状態が示される候補進展状態情報を記憶装置に記憶させ、
前記コンピュータが、前記情報システムへの攻撃の進展状態を検知し、
前記コンピュータが、判定タイミングが到来した際に、前記候補進展状態情報に示される前記候補進展状態が、前記判定タイミングまでに検知された検知進展状態と一致するか否かを判定し、前記候補進展状態と前記検知進展状態とが一致する場合に、前記記憶装置から前記候補イベント定義情報と前記候補進展状態情報とを削除する情報処理方法。
【請求項１３】
複数のシステム構成要素が含まれる情報システムで発生することが予測されるイベントであって、監視対象の候補となるイベントを候補イベントとして導出する候補イベント導出処理と、
前記複数のシステム構成要素のうち前記候補イベントの発生に関与するシステム構成要素を候補システム構成要素として導出し、前記候補システム構成要素の属性を特定する属性特定処理と、
監視対象から除外されるイベントの条件がシステム構成要素の属性で定義されている除外ルールを取得し、前記属性特定処理により特定された前記候補システム構成要素の属性と前記除外ルールに定義されているシステム構成要素の属性とを比較して、前記候補イベントを監視対象とするか否かを決定する監視対象決定処理とをコンピュータに実行させるプログラム。
【請求項１４】
情報システムへの攻撃がある場合に前記情報システムで発生することが予測されるイベントを候補イベントとして導出し、前記候補イベントが発生した場合の前記情報システムへの攻撃の進展状態である候補進展状態を導出する候補イベント導出処理と、
前記候補イベントの内容が示される候補イベント定義情報と、前記候補進展状態が示される候補進展状態情報を記憶装置に記憶させる情報記憶処理と、
前記情報システムへの攻撃の進展状態を検知する進展状態検知処理と、
判定タイミングが到来した際に、前記候補進展状態情報に示される前記候補進展状態が、前記判定タイミングまでに前記進展状態検知処理により検知された検知進展状態と一致するか否かを判定し、前記候補進展状態と前記検知進展状態とが一致する場合に、前記記憶装置から前記候補イベント定義情報と前記候補進展状態情報とを削除する情報管理処理とをコンピュータに実行させるプログラム。
【国際調査報告】
2016075825.tif 000037
2016075825.tif 000038
2016075825.tif 000039