(57)【要約】  インシデントの影響範囲を推定し、インシデントハンドリングの時間を短縮するインシデント影響範囲推定装置を提供する。インシデント影響範囲推定装置１０は、インシデントの発生に関連する発生元装置のログ情報を取得する発生元ログ取得部１１と、発生元装置のログ情報に基づいて、発生元装置の通信先である通信先装置のログ情報を取得する通信先ログ取得部１２と、通信先装置のログ情報に基づいて、インシデントの影響範囲を推定する影響範囲推定部１３と、を備える。これにより、インシデントの影響範囲を自動的に推定することができるため、インシデントハンドリングの時間を大幅に短縮することができる。
2018079439.tif 000002
【特許請求の範囲】
【請求項１】
インシデントの発生に関連する発生元装置のログ情報を取得する発生元ログ取得手段と、
前記発生元装置のログ情報に基づいて、前記発生元装置の通信先である通信先装置のログ情報を取得する通信先ログ取得手段と、
前記通信先装置のログ情報に基づいて、前記インシデントの影響範囲を推定する影響範囲推定手段と、
を備える、インシデント影響範囲推定装置。
【請求項２】
前記通信先ログ取得手段は、前記取得したログ情報に基づいて、次の通信先である次の通信先装置のログ情報の取得を再帰的に繰り返し、
前記影響範囲推定手段は、前記繰り返し取得される前記次の通信先装置のログ情報に基づいて、前記インシデントの影響範囲を推定する、
請求項１に記載のインシデント影響範囲推定装置。
【請求項３】
前記通信先ログ取得手段は、前記次の通信先装置のログ情報の取得を、所定の回数繰り返す、
請求項２に記載のインシデント影響範囲推定装置。
【請求項４】
前記通信先ログ取得手段は、通信に関する重み付けに基づいて、前記次の通信先装置のログ情報の取得を繰り返す、
請求項２に記載のインシデント影響範囲推定装置。
【請求項５】
前記発生元ログ取得手段及び前記通信先ログ取得手段は、前記インシデントの種類に応じたログ情報を取得する、
請求項１乃至４のいずれか一項に記載のインシデント影響範囲推定装置。
【請求項６】
前記影響範囲推定手段は、前記発生元装置及び前記通信先装置をノードとするグラフを生成する、
請求項１乃至５のいずれか一項に記載のインシデント影響範囲推定装置。
【請求項７】
前記影響範囲推定手段は、前記生成したグラフに基づいて、前記ノードの優先度を決定する、
請求項６に記載のインシデント影響範囲推定装置。
【請求項８】
インシデント影響範囲推定装置におけるインシデント影響範囲推定方法であって、
前記インシデント影響範囲推定装置は、
インシデントの発生に関連する発生元装置のログ情報を取得し、
前記発生元装置のログ情報に基づいて、前記発生元装置の通信先である通信先装置のログ情報を取得し、
前記通信先装置のログ情報に基づいて、前記インシデントの影響範囲を推定する、
インシデント影響範囲推定方法。
【請求項９】
インシデント影響範囲推定処理をコンピュータに実行させるためのインシデント影響範囲推定プログラムであって、
前記インシデント影響範囲推定処理は、
インシデントの発生に関連する発生元装置のログ情報を取得し、
前記発生元装置のログ情報に基づいて、前記発生元装置の通信先である通信先装置のログ情報を取得し、
前記通信先装置のログ情報に基づいて、前記インシデントの影響範囲を推定する、
インシデント影響範囲推定プログラムを格納する記憶媒体。
【請求項１０】
インシデント影響範囲推定装置と複数の通信装置とを備えたインシデント影響範囲推定システムであって、
前記インシデント影響範囲推定装置は、
前記複数の通信装置のうち、インシデントの発生に関連する発生元装置のログ情報を取得する発生元ログ取得手段と、
前記発生元装置のログ情報に基づいて、前記複数の通信装置のうち、前記発生元装置の通信先である通信先装置のログ情報を取得する通信先ログ取得手段と、
前記通信先装置のログ情報に基づいて、前記インシデントの影響範囲を推定する影響範囲推定手段と、
を備える、インシデント影響範囲推定システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インシデント影響範囲推定装置、インシデント影響範囲推定方法、インシデント影響範囲推定プログラム及びインシデント影響範囲推定システムに関し、特に、インシデントの影響範囲を推定するインシデント影響範囲推定装置、インシデント影響範囲推定方法、インシデント影響範囲推定プログラム及びインシデント影響範囲推定システムに関する。
【背景技術】
【０００２】
近年、ネットワークシステムにおける情報セキュリティ対策が増々重要な問題となってきている。情報セキュリティ上、脅威となる可能性がある事象をインシデントと言い、インシデントの発生に対して行うべきインシデントマネジメントについての検討が進められている（例えば、非特許文献１や２参照）。【０００３】
その他関連する技術として、例えば、特許文献１〜４が知られている。特許文献１及び２は、ログの取得量の変更に関する、予め定められたエンティティに対してユーザの役割等から成るグループにそれぞれのログの種類と量を設定しておき、それに応じたログを取得する事でログの保存容量を削減する方式を開示する。【０００４】
特許文献３は、同一の利用者や利用者行為に関して、収集したログの中から関連するログを発見する方式を開示し、端末側にインストールしたエージェントの設定を管理装置から変更可能となっている。特許文献４は、端末側より送信されたインシデント情報に基づき、あらかじめ設定されたログレベルに従って端末側にログ収集の設定変更を送信し、ログの流量を制御する方式を開示している。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−０４０７４５号公報
【特許文献２】特開２０１３−１０５４７３号公報
【特許文献３】特開２００６−３０２１７０号公報
【特許文献４】特開２００９−２５３４０３号公報
【非特許文献】
【０００６】
【非特許文献１】Ponemon Institute、“２０１５年  情報漏えい時に発生するコストに関する調査：グローバル分析”、インターネット<URL:http://www-06.ibm.com/jp/press/2015/06/Ponemon_Institute.pdf>
【非特許文献２】独立行政法人情報処理推進機構、“サイバーレスキュー隊（Ｊ−ＣＲＡＴ）分析レポート２０１５、特定業界を執拗に狙う攻撃キャンペーンの分析”、インターネット<URL:https://www.ipa.go.jp/files/000053445.pdf>
【発明の概要】
【発明が解決しようとする課題】
【０００７】
昨今、企業や官庁の端末やネットワークに不正に侵入し、技術情報や個人情報を持ち出して、対象企業や官庁に損害をもたらしたり、運用を妨害する標的型攻撃が多発している。このような標的型攻撃は、一般にシステムの脆弱性や人間の認知と判断に関する脆弱性を狙って攻撃を仕掛けてくるため、これまでの出口対策型のセキュリティ製品では完全に防ぐことが難しい。実際、標的型攻撃の検知に２０６日、対処に６９日かかっているというレポートも出ており（非特許文献１参照）、組織ネットワーク内部で新たに迅速な対策が必要である。【０００８】
インシデント検知後の対応はインシデントハンドリング（インシデントレスポンス）と呼ばれ、インシデントによる被害を最小限に抑えて、早急にシステムを復旧するための活動が行われる。しかしながら、これまでの関連する技術では、早急な対応が要求されるにもかかわらず、作業のほとんどが分析官や対応者の手作業で行われるため、インシデントの影響範囲の特定に時間を費やし、インシデントハンドリングに膨大な時間がかかるという問題がある。【０００９】
本発明は、このような課題に鑑み、インシデントの影響範囲を推定することでインシデントハンドリングの時間を短縮することが可能なインシデント影響範囲推定装置、インシデント影響範囲推定方法、インシデント影響範囲推定プログラム及びインシデント影響範囲推定システムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明に係るインシデント影響範囲推定装置は、インシデントの発生に関連する発生元装置のログ情報を取得する発生元ログ取得部と、前記発生元装置のログ情報に基づいて、前記発生元装置の通信先である通信先装置のログ情報を取得する通信先ログ取得部と、前記通信先装置のログ情報に基づいて、前記インシデントの影響範囲を推定する影響範囲推定部と、を備えるものである。【００１１】
本発明に係るインシデント影響範囲推定方法は、インシデント影響範囲推定装置におけるインシデント影響範囲推定方法であって、前記インシデント影響範囲推定装置は、インシデントの発生に関連する発生元装置のログ情報を取得し、前記発生元装置のログ情報に基づいて、前記発生元装置の通信先である通信先装置のログ情報を取得し、前記通信先装置のログ情報に基づいて、前記インシデントの影響範囲を推定するものである。【００１２】
本発明に係るインシデント影響範囲推定プログラムは、インシデント影響範囲推定処理をコンピュータに実行させるためのインシデント影響範囲推定プログラムであって、前記インシデント影響範囲推定処理は、インシデントの発生に関連する発生元装置のログ情報を取得し、前記発生元装置のログ情報に基づいて、前記発生元装置の通信先である通信先装置のログ情報を取得し、前記通信先装置のログ情報に基づいて、前記インシデントの影響範囲を推定するものである。インシデント影響範囲推定プログラムは、非一時的なコンピュータ可読記録媒体に格納されていてもよい。【００１３】
本発明に係るインシデント影響範囲推定システムは、インシデント影響範囲推定装置と複数の通信装置とを備えたインシデント影響範囲推定システムであって、前記インシデント影響範囲推定装置は、前記複数の通信装置のうち、インシデントの発生に関連する発生元装置のログ情報を取得する発生元ログ取得部と、前記発生元装置のログ情報に基づいて、前記複数の通信装置のうち、前記発生元装置の通信先である通信先装置のログ情報を取得する通信先ログ取得部と、前記通信先装置のログ情報に基づいて、前記インシデントの影響範囲を推定する影響範囲推定部と、を備えるものである。
【発明の効果】
【００１４】
本発明によれば、インシデントハンドリングの時間を短縮することが可能なインシデント影響範囲推定装置、インシデント影響範囲推定方法、インシデント影響範囲推定プログラム及びインシデント影響範囲推定システムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の実施の形態の前提となるインシデントハンドリングの流れを示すフローチャートである。
【図２】本発明の実施の形態に係るインシデント影響範囲推定装置の概要構成を示す構成図である。
【図３】本発明の実施の形態１に係るネットワークシステムの構成例を示す構成図である。
【図４】本発明の実施の形態１に係るネットワークシステムで使用するテーブルの例を示す図である。
【図５】本発明の実施の形態１に係るネットワークシステムの動作を示すフローチャートである。
【図６】本発明の実施の形態１に係るネットワークシステムの処理の流れを示す図である。
【図７】本発明の実施の形態１に係るネットワークシステムで生成するグラフの例を示す図である。
【図８】本発明の実施の形態１に係るネットワークシステムで表示するＧＵＩの例を示す図である。
【図９】本発明の実施の形態１に係るネットワークシステムで表示するＧＵＩの例を示す図である。
【発明を実施するための形態】
【００１６】
（前提技術）
図１を用いて、実施の形態の前提技術であるインシデントハンドリングの流れについて説明する。図１に示すように、インシデントハンドリングでは、例えばシステムの保守者がインシデントの発生を検知（認知）すると、インシデントの発生を分析官に報告する（Ｓ１０１）。保守者から報告を受けた分析官は、報告の内容をもとにインシデントのトリアージを行う（Ｓ１０２）。トリアージでは、分析官が、インシデントに関連して得られる情報を分析し、インシデント対応（レスポンス）の対象を特定するための優先度（優先順位付け）及び影響範囲の判断を行う。
【００１７】
分析官による分析結果に応じて、対応者が、対応すべきインシデントに対してインシデント対応を実行する（Ｓ１０３）。インシデント対応では、対応者が、優先度の高い対応すべき範囲の事象を詳細に分析して状況を把握し、対応方針の検討、対応計画の策定、対応活動の実施が行われる。また、インシデント対応に続いて、もしくは、インシデント対応と並行して、必要に応じてアナウンスも行う（Ｓ１０４）。インシデントについて情報共有するため組織内部へ情報展開し、また、組織のガイドラインやポリシーを改訂する。
組織外部へは、メディアやプレスリリース、官庁への報告等を行う。
【００１８】
このようなインシデントハンドリングでは、上記のようにインシデントによる被害を最小限に抑えて、早急にシステムを復旧するための活動が求められる。しかし、現状では、ログなどによって攻撃の痕跡を取得しても、インシデントの全容を把握することが困難である。ＩＰＡ（情報処理推進機構）のレポート（非特許文献２参照）においても、「ログ証跡取得の仕掛けは防御と同じくらい重要」と報告されている。
【００１９】
また、インシデントへの対処と復旧に関しても、現状は対応者が手作業で感染端末のネットワークからの隔離の判断を行ったり（場合によっては隔離作業も）、侵害の封じ込めと復旧を実施しているため、時間がかかったり対応ミス等が発生してしまうことがある。
【００２０】
本発明者らは、上記一連のインシデントハンドリングにおいて、特にトリアージに着目し、その課題を見出した。すなわち、インシデント対応者（分析官）にとって調査しなくてはならない端末群（影響範囲）が不明瞭であるため、トリアージ、ひいてはインシデントハンドリングに時間がかかってしまうという課題がある。さらに、どのような状況でも詳細にログを収集すればするほどトリアージ時の調査の確度は高まるものの、ログが膨大な容量となってしまうため逆に分析官の負担となってしまうという課題も生じる。そこで、以下の実施の形態では、これらの課題を解決するため、自動的にインシデントの影響範囲を推定することを可能とする。
【００２１】
（実施の形態の概要）
図２を用いて、実施の形態に係るインシデント影響範囲推定装置の概要について説明する。図２に示すように、実施の形態に係るインシデント影響範囲推定装置１０は、主要な構成として、発生元ログ取得部１１、通信先ログ取得部１２、影響範囲推定部１３を備えている。
【００２２】
発生元ログ取得部１１は、インシデントの発生に関連する発生元装置２０のログ情報を取得する。通信先ログ取得部１２は、発生元装置２０のログ情報に基づいて、発生元装置２０の通信先である通信先装置２１のログ情報を取得する。また、通信先ログ取得部１２は、取得したログ情報に基づいて、次の通信先である次の通信先装置２１のログ情報の取得を再帰的に繰り返してもよい。影響範囲推定部１３は、通信先装置２１のログ情報に基づいて、インシデントの影響範囲を推定する。
【００２３】
このような構成により、これまで困難であったインシデントの影響範囲を自動的に推定することができる。したがって、調査すべき範囲を迅速に把握でき、インシデントハンドリングの時間を大幅に短縮することができる。
【００２４】
被害が大きく対応が難しい脅威として、例えば、標的型攻撃の感染拡大行動（ラテラルムーブメント）やボットがある。ラテラルムーブメントは、侵入に成功したマルウェアが内部ネットワークにおいて感染端末の拡大を図る脅威であり、ボットは、感染端末がボットネットワークを構築し、外部から遠隔操作が可能となる脅威である。ラテラルムーブメントを目的としたマルウェアやボットに感染した場合、感染している複数の装置を同時に駆除することが効果的である。感染している装置間では、必ず通信を行う特徴があるため、実施の形態では、この特徴を利用して、ログに基づいて通信先を特定（及びログ取得）することで影響範囲を推定し、さらには、通信先の特定（及びログ取得）を再帰的に行うことで影響範囲を推定する。これにより、感染している可能性の高い複数の装置をインシデント対応の対象とすることができ、同時に駆除することが可能となる。
【００２５】
（実施の形態１）
以下、図面を参照して実施の形態１について説明する。図３は、本実施の形態に係るネットワークシステムの構成例を示している。
【００２６】
図３に示すように、本実施の形態に係るネットワークシステム１は、分析装置１００、複数の通信端末２００、ネットワーク監視装置３００、外部装置４００を備えており、各装置はネットワーク２を介して互いに通信可能に接続されている。なお、ネットワーク２は、有線ネットワークでもよいし、無線ネットワークでもよい。ネットワーク２は、例えば、インシデント対応が必要となる組織内のローカルなネットワークであるが、その他の任意のネットワークであってもよい。
【００２７】
外部装置４００は、ネットワーク２におけるインシデントの発生を検出（検知）するインシデント検出装置である。外部装置４００は、インシデントの発生を検出した場合、インシデントの発生元の通信端末２００の情報や、インシデントの分類などを含むアラートを分析装置１００へ通知する。外部装置４００は、インシデントが既に発生したことを検出してもよいし、インシデントが発生する可能性の高い（インシデントの発生に関連する）事象を検出してもよい。例えば、外部装置４００は、ＩＤＳ（Intrusion Detection System：侵入検知システム）やＩＰＳ（Intrusion Prevention System：侵入防御システム）、ＦＷ（ファイアウォール）などのセキュリティ装置である。
【００２８】
通信端末２００は、ネットワーク２を介して任意の通信を行う端末装置であり、例えばパーソナルコンピュータ等である。通信端末２００は、分析装置１００からの指示にしたがって、ログなどの通信端末２００の情報を取得し、取得した情報を分析装置１００へ送信する。通信端末２００は、本実施の形態を実現するために、一例として、端末情報取得部２０１、端末情報記憶部２０２、動作設定部２０３、端末情報送信部２０４を備えている。
【００２９】
端末情報取得部２０１は、動作設定部２０３に保持された動作設定に基づいて、通信端末内での挙動やログを取得し、取得した情報を端末情報記憶部２０２に記録する。端末情報記憶部２０２は、端末情報取得部２０１が取得した挙動やログを保持（記憶）する。動作設定部２０３は、分析装置１００より動作設定を受信し、受信した動作設定を保持（設定）する。端末情報送信部２０４は、動作設定部２０３に保持された動作設定に基づいて、端末情報記憶部２０２に保持された情報を分析装置１００へ送信する。
【００３０】
ネットワーク監視装置３００は、ネットワーク２に流れる情報を監視する監視装置である。ネットワーク監視装置３００は、専用の監視装置でもよいし、パーソナルコンピュータ等の汎用的な装置で実現されてもよい。ネットワーク監視装置３００は、分析装置１００からの指示にしたがって、ネットワーク２の情報を取得し、取得した情報を分析装置１００へ送信する。ネットワーク監視装置３００は、本実施の形態を実現するために、一例として、通信情報取得部３０１、通信情報記憶部３０２、動作設定部３０３、通信情報送信部３０４を備えている。
【００３１】
通信情報取得部３０１は、動作設定部３０３に保持された設定に基づいて、接続されているネットワーク２の通信情報を取得し、取得した情報を通信情報記憶部３０２に記録する。通信情報取得部３０１は、取得した情報を分析装置１００へ送信してもよい。通信情報記憶部３０２は、通信情報取得部３０１が取得した挙動やログを保持（記憶）する。動作設定部３０３は、分析装置１００より動作設定を受信し、受信した動作設定を保持（設定）する。通信情報送信部３０４は、動作設定部３０３に保持された動作設定に基づいて、通信情報記憶部３０２に保持された情報を分析装置１００へ送信する。
【００３２】
分析装置１００は、発生したインシデントを分析（トリアージ）する装置であり、インシデントの影響範囲を推定するインシデント影響範囲推定装置でもある。分析装置１００は、専用の分析装置でもよいし、パーソナルコンピュータ等の汎用的な装置で実現されてもよい。分析装置１００は、ログの取得方法（動作）を各通信装置に設定し、収集したログに基づいてインシデントの影響範囲を推定する。なお、分析装置１００、ネットワーク監視装置３００、外部装置４００は、それぞれ別々の装置として説明するが、１つあるいは任意の数の装置で実現されてもよい。
【００３３】
分析装置１００は、本実施の形態を実現するために、一例として、アラート受信部１０１、ログ受信部１０２、ログ記憶部１０３、ログ分析部１０４、ログ収集設定記憶部１０５、通信先特定部１０６、動作設定指示部１０７、再帰処理終了決定部１０８、スコア計算部１０９、提示部１１０を備えている。なお、この機能ブロックは一例であり、後述の本実施形態に係る動作が実現できれば、その他の構成であってもよい。
【００３４】
アラート受信部１０１は、外部装置４００からのアラートや分析官からの入力を受信する。アラート受信部１０１は、例えば、インシデント発生元端末のＩＰアドレス、インシデントの分類などを受信する。ログ受信部（ログ取得部）１０２は、通信端末２００とネットワーク監視装置３００から送信された情報を受信し、受信した情報を端末ログ記憶部へ記録する。ログ記憶部１０３は、ログ受信部１０２が受信した情報を保持（記憶）する。なお、本実施の形態では、インシデントの発生に関連する発生元装置のログ情報を取得し、さらに、通信先の通信先装置のログ情報を再帰的に取得するため、例えば、ログ受信部１０２（及び動作設定指示部１０７）は、発生元装置のログ情報を取得する発生元ログ取得部、通信先装置（さらに次の通信先）のログ情報を取得する通信先ログ取得部を含むと言える。
【００３５】
ログ分析部１０４は、ログ収集設定記憶部１０５に保持されたログ分析方法に従って情報ログを分析する。ログ収集設定記憶部１０５は、インシデント（情報セキュリティインシデント）の分類と、収集するログの種類と、ログの収集頻度と、ログの分析方法が関連付けられた情報（ログ分析テーブル）を保持する。図４は、保持されるログ分析テーブルの具体例を示している。この例では、インシデントを“平常”、“要調査段階”、“標的型攻撃／過去の感染濃厚”、“標的型攻撃／現在進行の確率高”、“ボット感染／現在進行の確率高”の５つに分類し、各分類（インシデントの種類）に応じたログの種類、取得頻度、分析方法が設定されている。
【００３６】
通信先特定部１０６は、ログ分析部１０４の分析結果を受けて、分析対象端末が通信を行っていた通信先の端末情報（ＩＰアドレス等）を出力（特定）する。動作設定指示部１０７は、通信先特定部１０６の特定結果を受けて、ログ収集設定記憶部１０５に保持されている動作設定（ログの種類や取得頻度）に従って、対象端末群へ動作設定指示を送信する。再帰処理終了決定部１０８は、ログ分析部１０４の分析結果を受け、再帰処理の終了条件に合致するかを計算する。再帰処理終了決定部１０８は、終了条件に合致した場合には再帰処理を停止し、通信先リストをスコア計算部１０９へ出力する。
【００３７】
スコア計算部１０９は、再帰処理終了決定部１０８より受け取った通信先リストに従って、グラフ（通信グラフ）の構築と、通信端末２００ごとのスコアを計算する。提示部１１０は、スコア計算部１０９で作成した通信グラフと、スコアの昇順に並べられた端末リストを出力（表示）する。グラフは、インシデント発生元装置とその通信先装置（さらに次の通信先装置）をノードとする。なお、本実施の形態では、グラフの生成とスコアの計算によって、インシデントの影響範囲を推定するため、例えば、スコア計算部１０９（及びログ分析部１０４）は、（繰り返し取得される）通信先のログ情報に基づいて、インシデントの影響範囲を推定する影響範囲推定部であると言える。
【００３８】
次に、図５及び図６を用いて、本実施の形態に係るインシデント影響範囲推定動作を説明する。図５は、この動作の流れを示しており、図６は、各装置のブロックにおける処理の流れを示している。
【００３９】
まず、インシデント発生前の平常時では、通信端末２００において、端末情報取得部２０１が攻撃の痕跡調査に必要なログを一定期間ごとに収集し、収集したログを通信端末２００内の端末情報記憶部２０２に保存する。また、ネットワーク監視装置３００では、通信情報取得部３０１がトラフィックログを取得し、取得したログをネットワーク監視装置３００内の通信情報記憶部３０２に保存する。
【００４０】
図５及び図６に示すように、外部装置４００がインシデントを検知すると、分析装置１００は外部装置４００からアラートを受信する（Ｓ２０１）。外部装置４００からアラートを受信してもよいし、分析官等がその他の入力装置を介してインシデントに関する情報を入力してもよい。外部装置４００が、何らかの脅威を検知した場合、そのインシデントの種類を分類し、脅威元（発生元）の端末のＩＰアドレスとどのような種類（図４の分類に対応）のインシデントかを分析装置１００に送信する。例えば、分析装置１００のアラート受信部１０１は、検知元端末のＩＰアドレスを“Ａ”、インシデントの分類を“要調査段階”としてアラートを受信する。
【００４１】
続いて、分析装置１００は、アラート発生元の端末（発生元端末）のログ収集レベルを設定する（Ｓ２０２）。外部装置４００からのアラートや入力装置からの入力を分析装置１００が受信した場合、分析装置１００は、インシデントの分類に応じて、アラートが発生した通信端末２００およびネットワーク監視装置３００のログ収集レベル（種類）とログ送信頻度を変更し、該当する通信端末２００のログを分析装置１００へ送信するよう指示を送る。
【００４２】
例えば、アラートで通知されたＩＰアドレスが“Ａ”、インシデントの種類が“要調査段階”であるため、分析装置１００アラートの動作設定指示部１０７は、ＩＰアドレス“Ａ”の通信端末２００（以下、２００Ａと記す）の動作設定部２０３に対して、ログ収集設定記憶部１０５の設定に基づきインシデントの種類“要調査段階”に対応した取得対象ログ（図４の例では、“平常（通信先，セキュリティ関連ログ）＋(イベントログ，プリフェッチ，レジストリ，サービス一覧，起動プロセス一覧，ユーザ操作ログ)”）を分析装置１００へ送信するように指令を送る。同時に、分析装置１００の動作設定指示部１０７は、インシデントの種類“要調査段階”に対応したログ取得頻度（図４の例では１時間）に設定変更するよう、通信端末２００Ａの動作設定部２０３に指令を送る。
【００４３】
続いて、分析装置１００は、アラート発生元の端末（発生元端末）からログを収集する（Ｓ２０３）。分析装置１００からの指示を受信した通信端末２００およびネットワーク監視装置３００は、ログ収集レベルを変更し、各装置が保持しているログを分析装置１００へ送信する。
【００４４】
例えば、通信端末２００Ａでは、上記のように分析装置１００から指令を受け取ると、端末情報取得部２０１が端末情報記憶部２０２にログを記憶し、端末情報送信部２０４が、変更されたログ取得頻度（例えば１時間毎）で、設定された取得対象ログ（例えば、通信先、変化点記録、セキュリティログ、イベントログ、プリフェッチ、レジストリ、サービス一覧、起動プロセス一覧、ユーザ操作ログ）を分析装置１００のログ受信部１０２へ送信する。なお、本処理後に通信端末２００Ａにて生成された取得対象ログも、ログ取得頻度で定期的に分析装置１００へ送信される。
【００４５】
続いて、分析装置１００は、通信先リストを作成する（Ｓ２０４）。分析装置１００は、受信したログをインシデントの種類に応じた分析を行い、同じインシデントの影響範囲下にあると考えられる通信先リストを作成する。なお、この時に通信期間やセッション時間を任意に追加設定してもよい。
【００４６】
例えば、分析装置１００では、ログ受信部１０２が通信端末２００Ａから送信されてきたログをログ記憶部１０３へ保存する。さらに、分析装置１００では、ログ分析部１０４がログを分析し（インシデントの分類に応じた分析でもよい）、通信先特定部１０６が通信端末２００Ａの取得したログの通信先から、組織内ネットワークに属する通信端末に限定したＩＰアドレスを抽出し、通信先リストとする。グローバルＩＰアドレスを除外し、ローカルＩＰアドレスを通信先として抽出してもよい。例えば、通信先特定部１０６は、ＩＰアドレス“Ａ”の通信先としてＩＰアドレス“Ｂ”、“Ｃ”を抽出する。
【００４７】
続いて、分析装置１００は、通信先端末のログ収集レベルを設定する（Ｓ２０５）。分析装置１００は、Ｓ２０２と同様に、インシデントの分類に応じて、通信先リストに含まれる各通信端末２００およびネットワーク監視装置３００のログ収集レベルとログ送信頻度とを変更し、各通信端末２００のログを分析装置１００へ送信するよう指示を送る。
【００４８】
例えば、分析装置１００では、動作設定指示部１０７が、通信先リストに記されたＩＰアドレスが“Ｂ”の通信端末２００（以下、２００Ｂと記す）とＩＰアドレスが“Ｃ”の通信端末２００（以下、２００Ｃと記す）に対して、インシデントの種類に対応した取得対象ログ（例えば、上記と同様に通信先等）を分析装置１００へ送信する指令とログ取得頻度（例えば、上記と同様に１時間）に設定変更する指令を送信する。
【００４９】
続いて、分析装置１００は、通信先端末からログを収集する（Ｓ２０６）。分析装置１００からの指示を受け取った通信端末２００とネットワーク監視装置３００は、Ｓ２０３と同様に、ログの収集レベルを変更し、各装置が保存していたログを分析装置１００へ送信する。
【００５０】
例えば、分析装置１００では、ログ受信部１０２が通信端末２００Ｂ及び２００Ｃから送信されてきたログをログ記憶部１０３へ保存する。さらに、分析装置１００のログ分析部１０４は、ログ記憶部１０３へ保存されたログに対して、インシデントの分類に応じてログ収集設定記憶部１０５に設定された分析方法（図４の例では、“要調査段階”の場合、イベントログや実行ファイルの起動の痕跡、起動プロセスの変化点）に従いログを分析する。ログ分析部１０４は、分析結果を再帰処理終了決定部１０８へ送信する。
【００５１】
以上の処理を再帰的に行い、終了条件を満たすまで、Ｓ２０４〜Ｓ２０６の処理を繰り返す（Ｓ２０７）。再帰処理終了条件には、例えば、以下の２種類の条件が設定可能である。
・Ｓ２０４〜Ｓ２０６の処理をｎ回ループする（ｎは任意の自然数）。
・処理対象端末の通信先一覧に関して、全ての通信重みスコアが閾値以下となる。通信重みスコア（通信に関する重み付け）は、通信先、通信量、通信頻度、通信プロトコルといった要素を加味した重みづけアルゴリズムにより求められる。例えば、各要素の変化点、変化率などに基づいて重み付けしてもよい。
【００５２】
再帰処理を続ける場合、さらにＳ２０４〜Ｓ２０６が実行され、通信端末２００Ｂ及び２００Ｃの通信先の端末のログがさらに収集される。一方、再帰処理が終了すると、分析装置１００は通信グラフを作成し、それぞれの通信端末にスコア（優先度）を計算し（Ｓ２０８）、グラフ及びスコアを提示（出力）する（Ｓ２０９）。
【００５３】
スコア計算部１０９は、繰り返し特定した通信先リストに含まれた端末群をもとに、端末（ＩＰアドレス）をノードとし、端末間の通信路を無向エッジまたは有向エッジとした、無向または有向グラフを作成する。スコア計算部１０９は、生成したグラフの構造に基づき、例えば中心性やコミュニティクラスタリングなどのアルゴリズムを用いてグラフ内のノード（端末）にスコア（優先度）を付与する。スコア計算部１０９は、グラフの構造に限らず、その他にログから得られる情報（ログの分析結果、通信重み付け等）に基づいてスコアを付与してもよい。提示部１１０は、インシデント影響範囲として、グラフを提示するとともに、スコアの高い順に端末をリストに列挙して提示する。
【００５４】
図７は、スコア計算部１０９が作成したグラフのイメージを示している。例えば、提示部１１０は、図７のようなグラフと、スコアが付与された端末のリストを画面に表示する。例えば、グラフのノードを、スコアに応じた色や大きさで表示してもよい。
【００５５】
例えば、ノードＮ１は、次数が最も少ないノードであり、ノードＮ２は、通信先グラフ内で最も次数の多いノードである。次数の少ないノードＮ１は、アクセス制限等で限定したユーザによりアクセスされるサーバまたはクライアントであることが予想される。このため、ノードＮ１の優先度を低とする。逆に、次数の多いノードＮ２は、一般的な共有ファイルサーバである可能性が高い。このため、ノードＮ２の優先度を高とする。
【００５６】
図８及び図９は、提示部１１０が表示（提示）するＧＵＩ（Graphical User Interface）の具体例を示している。提示部１１０は、図８に示すように、影響範囲提示ウィンドウ５００を画面に表示する。影響範囲提示ウィンドウ５００には、例えば、左側に端末リスト表示領域５１０を表示し、右側にグラフ表示（グラフビュー）領域５２０を表示する。
端末リスト表示領域５１０には、スコアの高い順に端末（通信端末）の情報を表示し、各端末の情報として、例えば、ＩＰアドレス、状態（Ａｃｔｉｖｅ等）、スコアを表示する。グラフ表示領域５２０には、図７と同様のグラフを表示する。例えば、最もスコアの高いノードが、最も濃い色で表示される。その他、影響範囲提示ウィンドウ５００には、上部にメニューバー５３０を表示し、端末リスト表示領域５１０の下部にノード追加ボタン５４０を表示する。メニューバー５３０には、影響範囲提示ウィンドウ５００の操作に必要な各種ボタンを表示する。ノード追加ボタン５４０は、分析官が任意の端末を、グラフ及び端末リストのノードとして追加するボタンである。
【００５７】
また、図９に示すように、端末リストやグラフビューから端末（ノード）を選択すると、ノード情報表示領域５５０を表示し、選択された端末の情報を表示する。ノード情報表示領域５５０には、ＩＰアドレス、状態、スコアの他に、取得したログ等の情報や変化点(Change Points)を表示する。例えば、表示されているログ等をクリックすることで、ダウンロードすることができ、さらにログ等を解析できる。変化点は、通信グラフを構築する際に計算され、時系列と共に表示される。変化点とは、端末側で記録しているログの傾向変化点を時刻とログの種類として記録したものであり、インシデントの影響が現れた時点を把握することができる。例えば、変化点を端末（通信端末）側で計算、保持し、分析装置に動作ログとともに送信する。通信グラフ構築の際に端末ごとに変化点を参照することで、ノードとして当該端末をグラフに追加するかどうかを判断してもよい。
【００５８】
以上のように、本実施の形態は、予め定められた対象についてログを収集する関連技術とは異なり、ログ収集の対象を最初に入力された端末のログ分析により自動的に定めて、その関連端末の分析動作を再帰的に行う。すなわち、外部装置からのアラートや入力をトリガーとして、対象端末のログ収集レベルの変更及びログを取得し、それを分析することで通信先端末群を特定する。さらに、通信先端末群の特定と通信先端末群に対する処理を再帰的に繰り返すことでインシデントの影響範囲を推定する。また、インシデントの分類を基に状況に応じて異なるログを取得することで、解析に必要となる情報にフォーカスして取得を行う。これにより、本実施の形態では、インシデントの影響範囲を推定することができるため、分析官が調査すべき端末の範囲と、初動対応の判断に必要な根拠を迅速に提示し、インシデント対応にかかる時間を短縮することができる。
【００５９】
本実施の形態は、これまで着目されていなかった、（インシデントハンドリングにおける）トリアージに時間がかかり過ぎるという課題を解決するものである。関連する技術では、任意の端末よりログを取得することは可能であるが、そもそもどの端末よりログを取得するべきかが不明瞭である。また、トリアージという作業の性質上、緊急性が求められる。そのため全ての端末や収集したログ全てに対して調査を実施することは現実的ではない。関連する技術がログの保全に重点を置いているのに対して、本実施の形態はログを分析調査するフェーズに重点を置いている。すなわち、本実施の形態は「ログの分析が必要と考えられる端末の選別と、インシデントに対する知見を用いた分析対象ログの選別を実現する」ことを特徴としている。本実施の形態では、インシデント対応に必要なログを必要な端末から取得し、グラフ構造と取得したログから対処端末の優先順位を計算することで、上記課題を解決することができる。
【００６０】
（その他の実施の形態）
上記図３で示したネットワークシステムの構成は、一例であり、任意の装置（機能）の追加や変更が可能である。
【００６１】
例えば、図３の構成に、ＷｅｂプロキシサーバやローカルＤＮＳサーバを組み合わせてもよい。実施の形態１では、組織内ネットワークを対象としてグラフを構築するため、ローカルネットワーク内で通信を行っているノード（通信端末）しか対象とならない。ＷｅｂプロキシサーバやローカルＤＮＳサーバを組み合わせて、Ｗｅｂプロキシサーバのログや、ＤＮＳサーバのログを分析端末に入力することにより、アラート検知端末が通信した外部のＵＲＬや外部のＩＰアドレスをノードとして通信グラフに追加することが可能となる。これにより、組織内通信ではエッジで繋がっていない端末群を通信グラフに取り込むことができるようになる。例えば、特定のＣ２サーバ（command and control server）へアクセスしているノードや、名前解決を要求しているノードをさらに抽出することができる。
【００６２】
また、図３の構成において、各装置のログ保存箇所を変更してもよい。実施の形態１では、通信端末には端末内部の処理により生成されたログを保管しておくだけの記憶容量を持っていることが前提の構成となっている。しかし、組み込み端末に代表されるような種類の通信端末では、ログを保管しておく容量が存在しない。そこで、ログを端末ごとに区別し保管しておくログ保存端末をネットワーク内に別個に用意し、通信端末は生成されたログをログ保存端末へ送信する設定とすることで、実施の形態１の利用が可能となる。また、これによりＩｏＴ（Internet of Things）システムへ容易に適用することができる。
【００６３】
なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。
【００６４】
上記実施の形態における各構成は、ハードウェア又はソフトウェア、もしくはその両方によって構成され、１つのハードウェア又はソフトウェアから構成してもよいし、複数のハードウェア又はソフトウェアから構成してもよい。実施の形態における各機能（各処理）を、ＣＰＵやメモリ等を有するコンピュータにより実現してもよい。例えば、記憶装置（記憶媒体）に実施の形態における方法（処理）を行うためのプログラムを格納し、各機能を、記憶装置に格納されたプログラムをＣＰＵで実行することにより実現してもよい。
【００６５】
このようなプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ−ＲＯＭ（Read Only Memory）、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（random access memory））を含む。
また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
【００６６】
この出願は２０１６年１０月２７日に出願された日本出願特願２０１６−２１０７６３を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【００６７】
１      ネットワークシステム
２      ネットワーク
１０    インシデント影響範囲推定装置
１１    発生元ログ取得部
１２    通信先ログ取得部
１３    影響範囲推定部
２０    発生元装置
２１    通信先装置
１００  分析装置
１０１  アラート受信部
１０２  ログ受信部
１０３  ログ記憶部
１０４  ログ分析部
１０５  ログ収集設定記憶部
１０６  通信先特定部
１０７  動作設定指示部
１０８  再帰処理終了決定部
１０９  スコア計算部
１１０  提示部
２００  通信端末
２０１  端末情報取得部
２０２  端末情報記憶部
２０３  動作設定部
２０４  端末情報送信部
３００  ネットワーク監視装置
３０１  通信情報取得部
３０２  通信情報記憶部
３０３  動作設定部
３０４  通信情報送信部
４００  外部装置
【図１】
2018079439.tif 000003
【図２】
2018079439.tif 000004
【図３】
2018079439.tif 000005
【図４】
2018079439.tif 000006
【図５】
2018079439.tif 000007
【図６】
2018079439.tif 000008
【図７】
2018079439.tif 000009
【図８】
2018079439.tif 000010
【図９】
2018079439.tif 000011
【手続補正書】
【提出日】平成31年4月3日(2019.4.3)
【手続補正２】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項９
【補正方法】変更
【補正の内容】
【請求項９】
インシデント影響範囲推定処理をコンピュータに実行させるためのインシデント影響範囲推定プログラムであって、
前記インシデント影響範囲推定処理は、
インシデントの発生に関連する発生元装置のログ情報を取得し、
前記発生元装置のログ情報に基づいて、前記発生元装置の通信先である通信先装置のログ情報を取得し、
前記通信先装置のログ情報に基づいて、前記インシデントの影響範囲を推定する、
インシデント影響範囲推定プログラム。
【国際調査報告】
2018079439.tif 000012
2018079439.tif 000013