(57)【要約】  やり取り型攻撃シミュレーション装置（１０）において、メール受信部（２２）は、メール送信部（２６）により送信されたメールに対する返信のメールを受信する。状態遷移部（２４）は、状態遷移モデルの各状態遷移に対応するメールの特徴を示す対応情報（３１）を参照して、メール受信部（２２）により受信された返信のメールに対応する状態遷移を特定する。メール生成部（２５）は、状態遷移部（２４）により特定された状態遷移に対応するメールを生成する。メール生成部（２５）は、生成したメールをメール送信部（２６）に送信させる。
2018150472.tif 000002
【特許請求の範囲】
【請求項１】
メールのやり取りを通じて仕掛けられる攻撃を、状態遷移モデルを利用して模擬するやり取り型攻撃シミュレーション装置であって、
メールを送信するメール送信部と、
前記メール送信部により送信されたメールに対する返信のメールを受信するメール受信部と、
前記状態遷移モデルの各状態遷移に対応するメールの特徴を示す情報である、メモリに記憶された対応情報を参照して、前記メール受信部により受信された返信のメールに対応する状態遷移を特定する状態遷移部と、
前記状態遷移部により特定された状態遷移に対応するメールを生成し、生成したメールを前記メール送信部に送信させるメール生成部と
を備えるやり取り型攻撃シミュレーション装置。
【請求項２】
実際にやり取りされたメールのうち、各状態遷移に対応付けられたメールを解析して、各状態遷移に対応するメールの特徴を抽出し、抽出した特徴を示す情報を前記対応情報として前記メモリに書き込むメール学習部をさらに備え、
前記状態遷移部は、前記メール受信部により受信された返信のメールの特徴を抽出し、当該返信のメールの特徴と各状態遷移に対応するメールの特徴とを比較し、比較結果から、当該返信のメールに対応する状態遷移を特定する請求項１に記載のやり取り型攻撃シミュレーション装置。
【請求項３】
前記メール学習部は、各状態遷移に対応付けられたメールの特徴ベクトルの平均を各状態遷移の特徴ベクトルとして算出し、各状態遷移の特徴ベクトルを前記対応情報として前記メモリに書き込み、
前記状態遷移部は、前記メール受信部により受信された返信のメールの特徴ベクトルを算出し、当該返信のメールの特徴ベクトルと各状態遷移の特徴ベクトルとの間の距離を計算し、計算した距離から、当該返信のメールに対応する状態遷移を特定する請求項２に記載のやり取り型攻撃シミュレーション装置。
【請求項４】
前記メール学習部は、実際にやり取りされたメールを、送信元と送信先と本文の内容と添付ファイルの有無との少なくともいずれかによって各状態遷移に対応付ける請求項２または３に記載のやり取り型攻撃シミュレーション装置。
【請求項５】
前記状態遷移部は、前記メール送信部により送信されたメールに対する返信の有無を判定し、当該返信がないと判定した場合に、前記メール送信部により送信されたメールに対応する状態遷移によって、次の状態遷移を特定する請求項１から４のいずれか１項に記載のやり取り型攻撃シミュレーション装置。
【請求項６】
前記メール生成部は、前記状態遷移部により特定された状態遷移によって、生成するメールの本文に含める言い訳の要否を判定し、当該言い訳が必要であると判定した場合に、前記メモリに記憶されたテンプレートを利用して、生成するメールの内容を調整する請求項１から５のいずれか１項に記載のやり取り型攻撃シミュレーション装置。
【請求項７】
前記メール送信部は、送信するメールの送信先を訓練者のメールアドレスに設定し、
前記メール生成部は、前記訓練者の属性を示す情報である、前記メモリに記憶された属性情報を参照して、生成するメールの内容を調整する請求項１から６のいずれか１項に記載のやり取り型攻撃シミュレーション装置。
【請求項８】
前記属性情報を収集する情報収集部をさらに備える請求項７に記載のやり取り型攻撃シミュレーション装置。
【請求項９】
前記メール送信部により送信されたメールの添付ファイルまたはリンク先が送信先で開かれた場合に、通知を受信する感染検知部をさらに備える請求項１から８のいずれか１項に記載のやり取り型攻撃シミュレーション装置。
【請求項１０】
メールのやり取りを通じて仕掛けられる攻撃を、状態遷移モデルを利用して模擬するやり取り型攻撃シミュレーション方法であって、
やり取り型攻撃シミュレーション装置が、メールを送信し、
訓練者の端末が、前記やり取り型攻撃シミュレーション装置により送信されたメールに対する返信のメールを送信し、
前記やり取り型攻撃シミュレーション装置が、前記訓練者の端末により送信された返信のメールを受信し、
前記やり取り型攻撃シミュレーション装置が、前記状態遷移モデルの各状態遷移に対応するメールの特徴を示す情報である、メモリに記憶された対応情報を参照して、受信した返信のメールに対応する状態遷移を特定し、
前記やり取り型攻撃シミュレーション装置が、特定した状態遷移に対応するメールを生成し、生成したメールを前記訓練者の端末に送信するやり取り型攻撃シミュレーション方法。
【請求項１１】
メールのやり取りを通じて仕掛けられる攻撃を、状態遷移モデルを利用して模擬するやり取り型攻撃シミュレーションプログラムであって、
コンピュータに、
メールを送信するメール送信処理と、
前記メール送信処理により送信されたメールに対する返信のメールを受信するメール受信処理と、
前記状態遷移モデルの各状態遷移に対応するメールの特徴を示す情報である、メモリに記憶された対応情報を参照して、前記メール受信処理により受信された返信のメールに対応する状態遷移を特定する状態遷移処理と、
前記状態遷移処理により特定された状態遷移に対応するメールを生成し、生成したメールを前記メール送信処理により送信するメール生成処理と
を実行させるやり取り型攻撃シミュレーションプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、やり取り型攻撃シミュレーション装置、やり取り型攻撃シミュレーション方法およびやり取り型攻撃シミュレーションプログラムに関するものである。
【背景技術】
【０００２】
特定の組織または人を対象として機密情報の窃取等の攻撃を行う標的型攻撃は、深刻な脅威となっている。その中でも、メールをベースにした標的型メールによる攻撃は、依然として重大な脅威の１つである。【０００３】
標的型メールによる攻撃を予防する手段の１つとして、標的型メールの訓練システムまたはサービスがある。このシステムまたはサービスでは、実際に送られるような標的型メールを模したメールを、実際に訓練対象者に送信することで、対象者を訓練することを想定している。このような手段により、訓練者は、実際の標的型メールがどのようなものか、また標的型メールを受信した際にはどのような対応を行えばよいかを訓練することができる。【０００４】
特許文献１は、標的型メールの訓練を行うシステムを示している。このシステムでは、標的型メールのダミーメールを、あらかじめ用意した雛形を利用して作成し、対象ユーザに配信する。作成するダミーメールの文章は、訓練者が違和感を覚えるような文言を含むように構成している。【０００５】
最近では、何度か標的とやり取りを行うことで信用を得てから、マルウェアに感染させるようなメールを送信する、標的型メールの攻撃がある。このような攻撃は、やり取り型攻撃と呼ばれる。【０００６】
やり取り型攻撃はあまり報告されていない。しかし、攻撃が高度であるため、攻撃が気づかれていない可能性が高く、実際には報告よりも多くのやり取り型攻撃が存在する可能性がある。【０００７】
非特許文献１のように、自動で文章を生成することでスピアフィッシングを行うようなツイートを生成する技術が公開されている。攻撃者の能力が向上し、やり取り型のような高度な攻撃が簡単に行われる危険性が高まっている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１３−１４９０６３号公報
【非特許文献】
【０００９】
【非特許文献１】Ｊｏｈｎ  Ｓｅｙｍｏｕｒ，  Ｐｈｉｌｉｐ  Ｔｕｌｌｙ，  “Ｗｅａｐｏｎｉｚｉｎｇ  Ｄａｔａ  Ｓｃｉｅｎｃｅ  ｆｏｒ  Ｓｏｃｉａｌ  Ｅｎｇｉｎｅｅｒｉｎｇ：  Ａｕｔｏｍａｔｅｄ  Ｅ２Ｅ  Ｓｐｅａｒ  Ｐｈｉｓｈｉｎｇ  ｏｎ  Ｔｗｉｔｔｅｒ”，  ＢｌａｃｋＨａｔ  ＵＳＡ  ２０１６，  ２０１６
【非特許文献２】独立行政法人情報処理推進機構、“組織外部向け窓口部門の方へ：「やり取り型」攻撃に対する注意喚起  〜  国内５組織で再び攻撃を確認  〜”、［ｏｎｌｉｎｅ］、２０１４年１１月２１日、［２０１７年２月６日検索］、インターネット〈ＵＲＬ：ｈｔｔｐｓ：／／ｗｗｗ．ｉｐａ．ｇｏ．ｊｐ／ｓｅｃｕｒｉｔｙ／ｔｏｐｉｃｓ／ａｌｅｒｔ２０１４１１２１．ｈｔｍｌ〉
【発明の概要】
【発明が解決しようとする課題】
【００１０】
特許文献１のシステムでは、メールのやり取りを行うことができないため、やり取り型攻撃の訓練を行うことができない。また、ダミーメールで利用する文章を雛形としてあらかじめ用意する必要があるため、状況にあった文章を自動で生成することができない。【００１１】
高度な攻撃であるやり取り型攻撃に対する訓練を行うとしても、やり取り型のメールを生成するには、標的型攻撃に精通している必要があり、高度な技術が必要となる。高度な技術者の数が少ない一方で、訓練対象者の数は多い。そのため、自動でこのような訓練を行う技術が必要となる。【００１２】
本発明は、自動でやり取り型攻撃のシミュレーションを行うことを目的とする。
【課題を解決するための手段】
【００１３】
本発明の一態様に係るやり取り型攻撃シミュレーション装置は、
メールのやり取りを通じて仕掛けられる攻撃を、状態遷移モデルを利用して模擬するやり取り型攻撃シミュレーション装置であって、
メールを送信するメール送信部と、
前記メール送信部により送信されたメールに対する返信のメールを受信するメール受信部と、
前記状態遷移モデルの各状態遷移に対応するメールの特徴を示す情報である、メモリに記憶された対応情報を参照して、前記メール受信部により受信された返信のメールに対応する状態遷移を特定する状態遷移部と、
前記状態遷移部により特定された状態遷移に対応するメールを生成し、生成したメールを前記メール送信部に送信させるメール生成部とを備える。
【発明の効果】
【００１４】
本発明によれば、自動でやり取り型攻撃のシミュレーションを行うことで、訓練者にやり取り型攻撃の脅威を体験させ、訓練者を教育することができる。
【図面の簡単な説明】
【００１５】
【図１】やり取り型攻撃の状態遷移図。
【図２】実施の形態１に係るやり取り型攻撃シミュレーション装置の構成を示すブロック図。
【図３】実施の形態１に係るやり取り型攻撃シミュレーション装置のメール学習部の構成を示すブロック図。
【図４】実施の形態１に係るやり取り型攻撃シミュレーション装置の動作を示すフローチャート。
【図５】実施の形態１に係る登録フェーズのフローチャート。
【図６】実施の形態１に係る属性情報の例を示す表。
【図７】実施の形態１に係る学習フェーズのフローチャート。
【図８】実施の形態１に係るメール振り分け処理の例を示す図。
【図９】実施の形態１に係る、メールから特徴ベクトルを算出する処理の例を示す図。
【図１０】実施の形態１に係る、文章を学習する際の前処理の例を示す図。
【図１１】実施の形態１に係る、メール生成モデルを生成する処理の例を示す図。
【図１２】実施の形態１に係る訓練フェーズのフローチャート。
【図１３】実施の形態１に係る状態遷移処理のフローチャート。
【図１４】実施の形態１に係る、状態遷移を決定する処理の例を示す図。
【図１５】実施の形態２に係るやり取り型攻撃シミュレーション装置の構成を示すブロック図。
【図１６】実施の形態２に係る登録フェーズのフローチャート。
【図１７】実施の形態２に係る言い訳のテンプレートの例を示す図。
【図１８】実施の形態３に係るやり取り型攻撃シミュレーション装置の構成を示すブロック図。
【図１９】実施の形態３に係る登録フェーズのフローチャート。
【図２０】実施の形態４に係るやり取り型攻撃シミュレーション装置の構成を示すブロック図。
【発明を実施するための形態】
【００１６】
やり取り型攻撃に関して説明した資料である非特許文献２の情報をもとに、やり取り型攻撃がどのようなものかを分析する。
【００１７】
非特許文献２によれば、「やり取り型」攻撃とは、一般の問い合わせ等を装った無害な「偵察」メールの後、ウイルス付きのメールが送られてくるという、標的型サイバー攻撃の手口の１つである。
【００１８】
非特許文献２に示される例をもとに、やり取り型攻撃を分析することで、やり取り型攻撃は、開始、終了、偵察、攻撃および催促の５状態に分けられることが分かる。この分析に基づいた、やり取り型攻撃の状態遷移モデルを図１に示す。
【００１９】
やり取り型攻撃におけるメールのやり取りを、通常の問い合わせにおけるメールのやり取りと比較すると、偵察は問い合わせ、攻撃はファイル添付または本文中でのＵＲＬ参照と同一視することができる。この同一視により、通常の問い合わせにおけるメールのやり取りを学習データとして用いることが可能となる。「ＵＲＬ」は、Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒの略語である。
【００２０】
状態ｓ１、状態ｓ２、状態ｓ３、状態ｓ４および状態ｓ５は、それぞれ開始、終了、偵察、攻撃および催促の状態を表している。状態遷移ｓｔ１−３およびｓｔ３−３等は、状態から状態への遷移を表している。
【００２１】
以下、本発明の実施の形態について、図を用いて説明する。各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。なお、本発明は、以下に説明する実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。例えば、以下に説明する実施の形態のうち、２つ以上の実施の形態が組み合わせられて実施されても構わない。あるいは、以下に説明する実施の形態のうち、１つの実施の形態または２つ以上の実施の形態の組み合わせが部分的に実施されても構わない。
【００２２】
実施の形態１．
本実施の形態について、図１から図１４を用いて説明する。
【００２３】
＊＊＊構成の説明＊＊＊
図２および図３を参照して、本実施の形態に係るやり取り型攻撃シミュレーション装置１０の構成を説明する。
【００２４】
やり取り型攻撃シミュレーション装置１０は、メールのやり取りを通じて仕掛けられる攻撃であるやり取り型攻撃を、図１に示したような状態遷移モデルを利用して模擬する装置である。具体的には、やり取り型攻撃シミュレーション装置１０は、現在の状態が偵察、攻撃および催促のどの状態であるか、訓練者から受信したメールより判断することで、自動でやり取り型攻撃のシミュレーションを行う装置である。すなわち、やり取り型攻撃シミュレーション装置１０は、訓練者とメールのやり取りを行い、訓練者から送られてくるメールに応じて状態を遷移させ、訓練者に対して違和感のないメールのやり取りを自動で行う装置である。
【００２５】
訓練を実施する人間のことを教官、訓練を実際に体験する人間を訓練者と呼ぶ。訓練者は１人とは限らず、複数人であってもよい。
【００２６】
やり取り型攻撃シミュレーション装置１０は、コンピュータである。やり取り型攻撃シミュレーション装置１０は、プロセッサ１１を備えるとともに、メモリ１２、補助記憶装置１３、入力インタフェース１４、出力インタフェース１５および通信装置１６といった他のハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
【００２７】
やり取り型攻撃シミュレーション装置１０は、機能要素として、入力処理部２１と、メール受信部２２と、メール学習部２３と、状態遷移部２４と、メール生成部２５と、メール送信部２６とを備える。メール学習部２３は、メール振り分け部５１と、第１ベクトル算出部５２と、第２ベクトル算出部５３と、モデル生成部５４とを有する。入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６の機能は、ソフトウェアにより実現される。
【００２８】
プロセッサ１１は、各種処理を行うＩＣである。「ＩＣ」は、Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔの略語である。プロセッサ１１は、例えば、ＣＰＵである。「ＣＰＵ」は、Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔの略語である。
【００２９】
メモリ１２には、対応情報３１と、属性情報３２とが記憶される。メモリ１２は、例えば、フラッシュメモリまたはＲＡＭである。「ＲＡＭ」は、Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙの略語である。
【００３０】
補助記憶装置１３には、属性情報データベース４１と、メール生成モデルデータベース４２と、学習メールデータベース４３とが配置される。補助記憶装置１３は、例えば、フラッシュメモリまたはＨＤＤである。「ＨＤＤ」は、Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅの略語である。属性情報データベース４１、メール生成モデルデータベース４２および学習メールデータベース４３といったデータベースは、適宜メモリ１２に展開される。
【００３１】
入力インタフェース１４は、図示していない入力装置に接続されるインタフェースである。入力装置は、例えば、マウス、キーボードまたはタッチパネルである。
【００３２】
出力インタフェース１５は、図示していないディスプレイに接続されるインタフェースである。ディスプレイは、例えば、ＬＣＤである。「ＬＣＤ」は、Ｌｉｑｕｉｄ  Ｃｒｙｓｔａｌ  Ｄｉｓｐｌａｙの略語である。
【００３３】
通信装置１６は、メール等のデータを受信するレシーバと、メール等のデータを送信するトランスミッタとを含む。通信装置１６は、例えば、通信チップまたはＮＩＣである。「ＮＩＣ」は、Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄの略語である。
【００３４】
補助記憶装置１３には、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６の機能を実現するプログラムであるやり取り型攻撃シミュレーションプログラムが記憶されている。やり取り型攻撃シミュレーションプログラムは、メモリ１２にロードされ、プロセッサ１１によって実行される。補助記憶装置１３には、ＯＳも記憶されている。「ＯＳ」は、Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍの略語である。プロセッサ１１は、ＯＳを実行しながら、やり取り型攻撃シミュレーションプログラムを実行する。なお、やり取り型攻撃シミュレーションプログラムの一部または全部がＯＳに組み込まれていてもよい。
【００３５】
やり取り型攻撃シミュレーション装置１０は、プロセッサ１１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、やり取り型攻撃シミュレーションプログラムの実行を分担する。それぞれのプロセッサは、プロセッサ１１と同じように、各種処理を行うＩＣである。
【００３６】
入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６の処理の結果を示す情報、データ、信号値および変数値は、メモリ１２、補助記憶装置１３、または、プロセッサ１１内のレジスタまたはキャッシュメモリに記憶される。
【００３７】
やり取り型攻撃シミュレーションプログラムは、磁気ディスクおよび光ディスクといった可搬記録媒体に記憶されてもよい。
【００３８】
＊＊＊動作の説明＊＊＊
図１から図３のほかに、図４から図１４を参照して、本実施の形態に係るやり取り型攻撃シミュレーション装置１０の動作を説明する。やり取り型攻撃シミュレーション装置１０の動作は、本実施の形態に係るやり取り型攻撃シミュレーション方法に相当する。
【００３９】
図４に示すように、やり取り型攻撃シミュレーション装置１０の処理手順は大きく、ステップＳ１０１およびステップＳ１０２の登録フェーズ、ステップＳ１０３の学習フェーズ、および、ステップＳ１０４の訓練フェーズ、の３つのフェーズに分かれる。
【００４０】
ステップＳ１０１において、やり取り型攻撃シミュレーション装置１０は、教官に訓練者を選別させ、訓練者の属性情報３２を属性情報データベース４１に登録する。属性情報３２は、メールの生成で用いる訓練者の氏名、所属およびメールアドレスといった情報である。すなわち、属性情報３２は、訓練者の属性を示す情報である。
【００４１】
ステップＳ１０２において、やり取り型攻撃シミュレーション装置１０は、登録した訓練者の属性情報３２に合致したメールを集め、学習メールデータベース４３に登録する。なお、このステップは、すでに学習メールデータベース４３にメールが登録されていれば省略することができる。
【００４２】
ステップＳ１０３において、やり取り型攻撃シミュレーション装置１０は、属性情報データベース４１と、学習メールデータベース４３とをもとに、メール生成モデルを生成する。
【００４３】
ステップＳ１０４において、やり取り型攻撃シミュレーション装置１０は、学習フェーズで生成したメール生成モデルと、登録フェーズで登録した属性情報データベース４１の属性情報３２とをもとに、訓練者に対して訓練を実施する。
【００４４】
各フェーズでの動作の詳細を説明する。
【００４５】
主に図２および図５を参照して、登録フェーズの説明を行う。
【００４６】
ステップＳ２０１において、入力処理部２１は、教官から、選別した訓練者の属性情報３２の入力を受け付ける。入力処理部２１は、教官から入力された訓練者の属性情報３２を属性情報データベース４１に登録する。属性情報データベース４１に登録されている属性情報３２の例を図６に示す。この例では、訓練者の氏名、所属する組織名およびメールアドレスと、訓練時に標的型攻撃を送る元となる攻撃元の氏名、組織名およびメールアドレスが指定される。ほかに、訓練者の業務内容および趣味等の情報を入力することもできる。属性情報名のタグは、メール生成モデルで利用されるタグと同様の名前を用いれば、適宜追加することができる。
【００４７】
ステップＳ２０２において、入力処理部２１は、ステップＳ２０１で登録された属性情報データベース４１の属性情報３２をもとに、訓練者に対する訓練のもとになるメールとして適切なメールの集合を、訓練者の組織等から収集する。訓練のもととなるメールの例として、訓練者が、問い合わせ窓口で社外からの質問等に回答する者であった場合、問い合わせ窓口の者が外部からの質問に回答しているメールが収集される。これらのメールは、訓練者の組織に協力を依頼することで集めることができる。なお、入力処理部２１が自動でメールを収集する代わりに、教官がメールを収集し、入力処理部２１が教官から、収集したメールの入力を受け付けてもよい。
【００４８】
ステップＳ２０３において、入力処理部２１は、ステップＳ２０２で収集したメールを学習メールデータベース４３に登録する。なお、ステップＳ２０２およびステップＳ２０３の処理は、すでに学習メールデータベース４３に、学習データとして十分なメールが登録されていれば省略することができる。
【００４９】
主に図３および図７を参照して、学習フェーズの説明を行う。
【００５０】
学習フェーズは、登録フェーズが終わった後、教官から学習開始の指示を入力処理部２１が受け付けると、入力処理部２１の指示により開始される。学習フェーズにおいて、メール学習部２３は、学習対象のメールを解析し、メールを各状態遷移へ振り分けるとともに、メールから特徴ベクトルを抽出する。メール学習部２３は、各状態遷移における特徴ベクトルを計算し、状態遷移ごとに振り分けられたメールをもとにメール生成モデルを生成する。
【００５１】
ステップＳ３０１において、メール振り分け部５１は、学習メールデータベース４３のメールを、偵察、攻撃および催促といった状態遷移に振り分ける。前述したように、偵察は問い合わせ、攻撃はファイル添付または本文中でのＵＲＬ参照と同一視することができる。
【００５２】
振り分け方の例として、まず、メール振り分け部５１は、学習メールデータベース４３のメールを、やり取りごとに分けていく。具体的には、メール振り分け部５１は、あるメールを始点として、何度かのやり取りが行われた後のメールが終点となるような一連のやり取りごとにメールを分けていく。
【００５３】
メール振り分け部５１は、一連のやり取りごとにメールを分けた後、各やり取りのメールを各状態遷移に振り分ける。図８に、ある１つのやり取りのメールを各状態遷移に振り分ける例を示す。振り分けのルールとして、訓練者の組織ではなく、外部から送信されているメールを始点とする。通常、問い合わせは、外部が起点となる。そのため、メール振り分け部５１は、一連のやり取りの起点となる送信者を外部側、問い合わせに対応する方を組織側としてメールを振り分ける。
【００５４】
まず、メール振り分け部５１は、やり取りの各状態に対して、図１に示した状態遷移モデルの各状態を与える。やり取り開始前の状態は、開始の状態ｓ１である。やり取りが終了した状態は、終了の状態ｓ２である。添付ファイルがなく、かつ、本文中にＵＲＬがないメールを組織側にて受信した状態は、偵察の状態ｓ３である。添付ファイルがあるか、あるいは、本文中にＵＲＬがあるメールを組織側にて受信した状態は、攻撃の状態ｓ４である。組織側からメールを連続して送信している状態は、催促の状態ｓ５である。このように、メール振り分け部５１は、すべてのメールのやり取りに対して状態を与える。
【００５５】
続いて、メール振り分け部５１は、やり取りの状態がどのように遷移しているかで、外部側から送信されるメールと、組織側から送信されるメールとの両方に、状態遷移を与える。
【００５６】
ここで示したメールの振り分け方法は１つの例であり、別の方法が用いられても構わない。
【００５７】
ステップＳ３０２において、第１ベクトル算出部５２は、各メールに含まれる特徴を抽出する。具体的には、第１ベクトル算出部５２は、各メールの特徴ベクトルを算出する。
【００５８】
メールから特徴ベクトルを抽出する方法の例として、ｈｔｔｐｓ：／／ｄｅｖｐｏｓｔ．ｃｏｍ／ｓｏｆｔｗａｒｅ／ｍａｉｌ２ｖｅｃに示されるｍａｉｌ２ｖｅｃという手法がある。これは、ｗｏｒｄ２ｖｅｃと、あらかじめ学習したデータセットとをもとにメールを特徴ベクトルへ変換する手法である。別の例として、ｓｅｎｔｅｎｃｅ２ｖｅｃまたはｄｏｃ２ｖｅｃ等のｐａｒａｇｒａｐｈ  ｖｅｃｔｏｒ技術を利用することでメールを特徴量に変換してもよい。
【００５９】
これらの特徴量への変換手法により、メールは、図９に示すように、Ｔ次元のベクトルへと変換される。
【００６０】
ここで示した特徴ベクトル算出法は１つの例であり、別の方法が用いられても構わない。
【００６１】
ステップＳ３０３において、第２ベクトル算出部５３は、各状態遷移に振り分けられたメールの特徴ベクトルをもとに、各状態遷移の特徴ベクトルを算出する。第２ベクトル算出部５３は、各状態遷移の特徴ベクトルを示す対応情報３１をメモリ１２に保存する。
【００６２】
複数のメールが振り分けられた、ある状態遷移の特徴ベクトルの算出方法の例として、第２ベクトル算出部５３は、それら複数のメールの特徴ベクトルの平均を、その状態遷移の特徴ベクトルとして算出することができる。具体的には、第２ベクトル算出部５３は、次式により状態遷移の特徴ベクトルを算出する。
【数１】
2018150472.tif 000003
【００６３】
ここで示した状態遷移の特徴ベクトル算出法は１つの例であり、別の方法が用いられても構わない。
【００６４】
上記のように、ステップＳ３０１からステップＳ３０３において、メール学習部２３は、実際にやり取りされたメールのうち、状態遷移モデルの各状態遷移に対応付けられたメールを解析して、各状態遷移に対応するメールの特徴を抽出する。メール学習部２３は、抽出した特徴を示す情報を対応情報３１としてメモリ１２に書き込む。
【００６５】
具体的には、メール学習部２３は、実際にやり取りされたメールを、送信元と送信先と本文の内容と添付ファイルの有無との少なくともいずれかによって各状態遷移に対応付ける。メール学習部２３は、各状態遷移に対応付けたメールの特徴ベクトルの平均を各状態遷移の特徴ベクトルとして算出する。メール学習部２３は、各状態遷移の特徴ベクトルを対応情報３１としてメモリ１２に書き込む。
【００６６】
ステップＳ３０４において、モデル生成部５４は、訓練フェーズでメールの文章を生成する際に雛形となるデータであるメール生成モデルを生成する。モデル生成部５４は、生成したメール生成モデルをメール生成モデルデータベース４２に登録する。
【００６７】
メール生成モデルの導出手法の例として、モデル生成部５４は、次のように、マルコフモデルによって表現されるメール生成モデルを生成する。なお、この例で生成するモデルは日本語に対応しているが、導出手法を変えることで多様な言語への対応が可能となる。
【００６８】
まず、モデル生成部５４は、図１０に示すような前処理を行うことで、学習データの抽象度を上げる。すなわち、モデル生成部５４は、メールの送信相手の企業名および苗字を、［訓練者企業名］および［訓練者苗字］といった属性情報３２のタグと同一名称の記号で置き換える。具体的には、モデル生成部５４は、ＭｅＣａｂのような既存の技術を用いて、形態素解析を行い、名詞の組織名および人名を参照することで、主体をどの記号に置き換えるかを特定する。置き換える主体が、訓練者か、攻撃元かの判断は、送信元アドレスを用いたり、敬称の有無で判断したりすることで行う。
【００６９】
続いて、モデル生成部５４は、前処理が済んだ文章を入力として、この文章を形態素解析し、図１１に示すようなマルコフモデルを生成する。本例では、単語ごとのマルコフモデルを生成しているが、文章単位等、単語とは別の単位でマルコフモデルを生成してもよい。
【００７０】
ここで示したメール生成モデルおよび文章の自動生成手法は１つの例であり、別の方法が用いられても構わない。
【００７１】
主に図２、図１２および図１３を参照して、訓練フェーズの説明を行う。
【００７２】
訓練フェーズは、学習フェーズが終わった後、教官から訓練開始の指示を入力処理部２１が受け付けると、入力処理部２１の指示により開始される。
【００７３】
ステップＳ４０１において、メール生成部２５は、１通目として送信するメールを生成する。メール送信部２６は、そのメールを送信する。１通目のメールは、偵察か、攻撃のどちらかの状態への状態遷移のメールである。遷移先の状態は、メール生成部２５が開始状態から偵察か攻撃へ遷移する確率で選択するが、教官が選択してもよい。
【００７４】
具体的には、まず、メール生成部２５は、学習フェーズで登録されたメール生成モデルデータベース４２のメール生成モデルと属性情報データベース４１とをもとに、メールの文章を生成する。メール生成部２５により利用されるメール生成モデルは、外部から状態遷移を指定されることで選択される。続いて、メール生成部２５は、宛先および送信元といったヘッダ部分、および、必要であれば添付ファイルをメールに付け加えることで、送信できる状態のメールを作成する。すなわち、メール生成部２５は、状態遷移をもとに、メール学習部２３が生成したメール生成モデルのうちで利用するモデルを選択し、そのモデルと属性情報データベース４１とをもとにメールを生成する。メール送信部２６は、メール生成部２５が生成した送信できる状態のメールを、宛先の訓練者に送信する。
【００７５】
メールの生成の詳細について説明する。
【００７６】
メール生成部２５は、前状態と現状態とから導かれる状態遷移から、生成するメールのモデルをメール生成モデルデータベース４２から選択する。メール生成部２５は、選択したモデルと、属性情報データベース４１とを参照して、メールの文章を生成する。現状態が攻撃の場合、メール生成部２５は、添付ファイルをメールに添付するか、ＵＲＬをメールの本文中に記載する。添付ファイルを添付するか、ＵＲＬをメールの本文中に記載するかの判断は、生成された文章中に、添付ファイルに関連した語があるか、ＵＲＬに関連した語があるかで判断する。添付ファイルは、訓練であることが記載されたドキュメント等、開封したら訓練であることが訓練者に分かるようなファイルとなっている。ＵＲＬも、訓練であることが記載されたサイト等、参照したら訓練であることが訓練者に分かるようなＵＲＬとなっている。
【００７７】
ステップＳ４０２において、メール受信部２２は、訓練者からのメールを待ち受ける。
【００７８】
ステップＳ４０３において、メール受信部２２がメールを受信したか、あるいは、一定時間が経過している場合には、ステップＳ４０４の状態遷移処理が行われる。そうでない場合には、ステップＳ４０２の待受状態が継続する。
【００７９】
メール受信部２２は、メールを受け取ったら、状態遷移部２４にメールを引き渡す。メール受信部２２は、一定時間が経過してもメールが送られてこなかった場合には、メールが送られてこないことを状態遷移部２４に通知する。
【００８０】
ステップＳ４０４において、状態遷移部２４は、メール受信部２２からメール受信部２２が受信したメール、あるいは、メールを受信せずに一定時間が経過したことを伝える通知を受け取る。状態遷移部２４は、現在の状態を前状態として保存し、状態を遷移させる。
【００８１】
ステップＳ４０４の状態遷移処理の手順を図１３に示す。
【００８２】
ステップＳ５０１において、状態遷移部２４は、メールの受信があるかどうかを判断する。ある場合には、ステップＳ５０２の処理が行われる。ない場合には、ステップＳ５０５の処理が行われる。
【００８３】
ステップＳ５０２において、状態遷移部２４は、受信したメールの特徴ベクトルを算出する。特徴ベクトル算出法としては、前述した方法を用いることができる。
【００８４】
ステップＳ５０３において、状態遷移部２４は、現状態から、次の遷移先になる可能性がある状態をもとに、状態遷移として選ばれる候補を選択し、その状態遷移の特徴ベクトルを抽出する。特徴ベクトルの抽出元は、ステップＳ３０３でメモリ１２に保存された対応情報３１である。
【００８５】
ステップＳ５０４において、状態遷移部２４は、ステップＳ５０３で抽出した特徴ベクトルとステップＳ５０２で算出したメールの特徴ベクトルとの間の距離を計算する。状態遷移部２４は、計算結果に基づき、状態遷移を選択する。
【００８６】
図１４に、メールの特徴ベクトルと状態遷移の特徴ベクトルとの例を示す。図１４では、現状態が偵察の状態ｓ３である場合に算出したメールｍｉの特徴ベクトルと、偵察の状態ｓ３から偵察の状態ｓ３に遷移する状態遷移ｓｔ３−３の特徴ベクトルと、偵察の状態ｓ３から攻撃の状態ｓ４に遷移する状態遷移ｓｔ３−４の特徴ベクトルとがＴ次元空間上で示されている。各特徴ベクトルはＴ次元ベクトルである。
【００８７】
距離の閾値をδとしたとき、状態ｓ３から状態ｓ４に遷移する状態遷移ｓｔ３−４は、次の２式が同時に満たされる場合に選択される。
【数２】
2018150472.tif 000004
【００８８】
訓練者から添付ファイルを開封したことを知らせるメールが送られてきた等の条件が満たされた場合には、状態遷移部２４は、終了の状態ｓ２に遷移する状態遷移を選択する。
【００８９】
ここで示した状態遷移の選択手法は１つの例であり、別の方法が用いられても構わない。
【００９０】
上記のように、ステップＳ５０１からステップＳ５０４において、状態遷移部２４は、メール受信部２２が、メール送信部２６により送信されたメールに対する返信のメールを受信した場合、メモリ１２に記憶された対応情報３１を参照して、メール受信部２２により受信された返信のメールに対応する状態遷移を特定する。
【００９１】
具体的には、状態遷移部２４は、メール受信部２２により受信された返信のメールの特徴を抽出する。状態遷移部２４は、当該返信のメールの特徴と各状態遷移に対応するメールの特徴とを比較する。状態遷移部２４は、比較結果から、当該返信のメールに対応する状態遷移を特定する。
【００９２】
より具体的には、状態遷移部２４は、メール受信部２２により受信された返信のメールの特徴ベクトルを算出する。状態遷移部２４は、当該返信のメールの特徴ベクトルと各状態遷移の特徴ベクトルとの間の距離を計算する。状態遷移部２４は、計算した距離から、当該返信のメールに対応する状態遷移を特定する。
【００９３】
また、状態遷移部２４は、メール送信部２６により送信されたメールに対する返信の有無を判定する。状態遷移部２４は、当該返信がないと判定した場合に、メール送信部２６により送信されたメールに対応する状態遷移によって、次の状態遷移を特定する。具体例として、状態遷移ｓｔ４−４に対応する添付ファイル付きのメールに対する返信が一定期間なければ、状態遷移部２４は、次の状態遷移を状態遷移ｓｔ４−５と特定し、メール生成部２５に催促のメールを生成させる。
【００９４】
ステップＳ５０５において、ステップＳ５０４で決定した状態遷移の遷移先が終了の状態ｓ２である場合、または、ステップＳ５０４で決定した状態遷移の遷移先がない等の例外が発生したり、一定時間返信が来ないことが続いたりした場合には、ステップＳ５０７の処理が行われる。そうでない場合には、ステップＳ５０６の処理が行われる。
【００９５】
ステップＳ５０６において、状態遷移部２４は、現在の状態を前状態として保存し、次の状態を、ステップＳ５０５で選択した状態遷移から決定し、現状態を更新する。
【００９６】
ステップＳ５０７において、状態遷移部２４は、現在の状態を前状態として保存し、現状態を終了の状態ｓ２に変更する。システムの終了処理は、ステップＳ４０５で行われる。
【００９７】
ステップＳ４０５において、状態遷移部２４は、現状態が終了の状態ｓ２であるかを確認する。終了の場合は、そのまま処理が終わる。そうでない場合には、ステップＳ４０６の処理が行われる。
【００９８】
ステップＳ４０６において、メール生成部２５は、ステップＳ４０１と同様に、メールを生成する。メール送信部２６は、ステップＳ４０１と同様に、そのメールを送信する。ただし、ステップＳ４０６では、メール生成部２５は、前状態と現状態とから導かれる状態遷移によって利用するメール生成モデルを選択する。メール生成部２５は、選択したメール生成モデルによって、メールを生成する。
【００９９】
上記のように、ステップＳ４０６において、メール生成部２５は、状態遷移部２４により特定された状態遷移に対応するメールを生成する。メール生成部２５は、生成したメールをメール送信部２６に送信させる。
【０１００】
メール生成部２５は、メールを生成する際に、属性情報データベース４１から読み出されてメモリ１２に記憶された、訓練者の属性情報３２を参照して、生成するメールの内容を調整する。メール送信部２６は、送信するメールの送信先を、その訓練者のメールアドレスに設定する。
【０１０１】
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態によれば、自動でやり取り型攻撃のシミュレーションを行うことで、訓練者にやり取り型攻撃の脅威を体験させ、訓練者を教育することができる。
【０１０２】
本実施の形態によれば、やり取り型攻撃の訓練を自動で行うことができるようになり、これまで行うことができなかった高度な標的型メール攻撃の訓練を、簡単に実施することが可能となる。
【０１０３】
＊＊＊他の構成＊＊＊
本実施の形態では、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６の機能がソフトウェアにより実現されるが、変形例として、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６の機能がソフトウェアとハードウェアとの組み合わせにより実現されてもよい。すなわち、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６の機能の一部が専用の電子回路により実現され、残りがソフトウェアにより実現されてもよい。
【０１０４】
専用の電子回路は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＦＰＧＡまたはＡＳＩＣである。「ＧＡ」は、Ｇａｔｅ  Ａｒｒａｙの略語である。「ＦＰＧＡ」は、Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙの略語である。「ＡＳＩＣ」は、Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔの略語である。
【０１０５】
プロセッサ１１、メモリ１２および専用の電子回路を、総称して「プロセッシングサーキットリ」という。つまり、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６の機能がソフトウェアにより実現されるか、ソフトウェアとハードウェアとの組み合わせにより実現されるかに関わらず、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６の機能は、プロセッシングサーキットリにより実現される。
【０１０６】
やり取り型攻撃シミュレーション装置１０の「装置」を「方法」に読み替え、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６の「部」を「工程」に読み替えてもよい。あるいは、やり取り型攻撃シミュレーション装置１０の「装置」を「プログラム」、「プログラムプロダクト」または「プログラムを記録したコンピュータ読取可能な媒体」に読み替え、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６の「部」を「手順」または「処理」に読み替えてもよい。
【０１０７】
実施の形態２．
本実施の形態について、主に実施の形態１との差異を、図１５から図１７を用いて説明する。
【０１０８】
＊＊＊構成の説明＊＊＊
図１５を参照して、本実施の形態に係るやり取り型攻撃シミュレーション装置１０の構成を説明する。
【０１０９】
メモリ１２には、対応情報３１および属性情報３２のほかに、言い訳のテンプレート３３が記憶される。
【０１１０】
補助記憶装置１３には、属性情報データベース４１、メール生成モデルデータベース４２および学習メールデータベース４３のほかに、言い訳テンプレートデータベース４４が構築される。
【０１１１】
＊＊＊動作の説明＊＊＊
図１５のほかに、図１６を参照して、本実施の形態に係るやり取り型攻撃シミュレーション装置１０の動作を説明する。やり取り型攻撃シミュレーション装置１０の動作は、本実施の形態に係るやり取り型攻撃シミュレーション方法に相当する。
【０１１２】
学習メールデータベース４３に登録されるメールは、正常なやり取りを記録したものである。そのため、やり取り型攻撃で見られる、執拗に添付ファイルを開かせようとしてくるような「言い訳」は、通常行わない。そのため、実施の形態１では、何度も執拗に添付ファイルを開かせようとしてくる攻撃の再現が難しい。
【０１１３】
本実施の形態では、言い訳が必要な状況には、言い訳のテンプレート３３を用意しておくことで執拗なメール攻撃を再現する。
【０１１４】
本実施の形態では、登録フェーズと訓練フェーズとが実施の形態１と異なる。
【０１１５】
主に図１５および図１６を参照して、登録フェーズの説明を行う。
【０１１６】
ステップＳ６０１からステップＳ６０３については、図５に示したステップＳ２０１からステップＳ２０３と同じである。
【０１１７】
ステップＳ６０４において、入力処理部２１は、教官から言い訳のテンプレート３３の入力を受け付ける。入力処理部２１は、教官から入力された言い訳のテンプレート３３を言い訳テンプレートデータベース４４に登録する。
【０１１８】
図１７に、言い訳のテンプレート３３の例を示す。この例のように、言い訳のテンプレート３３は、メールの文章として使用される。
【０１１９】
訓練フェーズの処理の流れは実施の形態１と同じだが、図１２に示したステップＳ４０６のメール生成時の処理に差異がある。
【０１２０】
ステップＳ４０６において、メール生成部２５は、ステップＳ４０４で状態遷移部２４により特定された状態遷移が状態遷移ｓｔ４−４の場合には、訓練者に対して言い訳をする必要があると判断する。そして、メール生成部２５は、メール生成モデルデータベース４２を参照する代わりに、言い訳テンプレートデータベース４４を参照し、属性情報データベース４１の属性情報３２と合わせることで、メール本文を作成する。
【０１２１】
上記のように、ステップＳ４０６において、メール生成部２５は、状態遷移部２４により特定された状態遷移によって、生成するメールの本文に含める言い訳の要否を判定する。メール生成部２５は、当該言い訳が必要であると判定した場合に、言い訳テンプレートデータベース４４から読み出されてメモリ１２に記憶されたテンプレート３３を利用して、生成するメールの内容を調整する。具体例として、ステップＳ４０４で特定された状態遷移が状態遷移ｓｔ４−４であれば、メール生成部２５は、言い訳のテンプレート３３をそのまま、あるいは、適宜編集して攻撃のメールの文章を作成する。
【０１２２】
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態によれば、執拗なメール攻撃を再現することが可能となり、これまで行うことができなかった高度な標的型メール攻撃の訓練を、簡単に実施することが可能となる。
【０１２３】
実施の形態３．
本実施の形態について、主に実施の形態１との差異を、図１８および図１９を用いて説明する。
【０１２４】
＊＊＊構成の説明＊＊＊
図１８を参照して、本実施の形態に係るやり取り型攻撃シミュレーション装置１０の構成を説明する。
【０１２５】
やり取り型攻撃シミュレーション装置１０は、機能要素として、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６のほかに、情報収集部２７を備える。入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５、メール送信部２６および情報収集部２７の機能は、ソフトウェアにより実現される。
【０１２６】
＊＊＊動作の説明＊＊＊
図１８のほかに、図１９を参照して、本実施の形態に係るやり取り型攻撃シミュレーション装置１０の動作を説明する。やり取り型攻撃シミュレーション装置１０の動作は、本実施の形態に係るやり取り型攻撃シミュレーション方法に相当する。
【０１２７】
実施の形態１では、属性情報データベース４１へ登録する属性情報３２を教官が手作業で入力する必要がある。しかし、訓練者が大量にいる場合、または、訓練者の属性情報３２を直接得られずに、公開情報から収集する必要がある場合には、手作業での入力は非常に手間となる。
【０１２８】
本実施の形態では、訓練者の名前または企業名等の断片的な情報から、訓練を行う際に十分な属性情報３２を自動で収集する機能を追加することで、教官が属性情報３２を手作業で入力する手間を省く。
【０１２９】
本実施の形態では、登録フェーズが実施の形態１と異なる。
【０１３０】
主に図１８および図１９を参照して、登録フェーズの説明を行う。
【０１３１】
ステップＳ７０１において、情報収集部２７は、公開情報から訓練者の属性情報３２を収集し、属性情報データベース４１に登録する。情報の収集は、ＯＳＩＮＴとして広く知られた既存の技術を利用することで実現する。「ＯＳＩＮＴ」は、Ｏｐｅｎ  Ｓｏｕｒｃｅ  ＩＮＴｅｌｌｉｇｅｎｃｅの略語である。
【０１３２】
ステップＳ７０２およびステップＳ７０３については、図５に示したステップＳ２０２およびステップＳ２０３と同じである。
【０１３３】
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態によれば、やり取り型攻撃の訓練に必要な情報の収集を自動で行うことができるようになり、これまで行うことができなかった高度な標的型メール攻撃の訓練を、簡単に実施することが可能となる。
【０１３４】
＊＊＊他の構成＊＊＊
本実施の形態では、実施の形態１と同じように、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５、メール送信部２６および情報収集部２７の機能がソフトウェアにより実現されるが、実施の形態１の変形例と同じように、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５、メール送信部２６および情報収集部２７の機能がソフトウェアとハードウェアとの組み合わせにより実現されてもよい。
【０１３５】
実施の形態４．
本実施の形態について、主に実施の形態１との差異を、図２０を用いて説明する。
【０１３６】
＊＊＊構成の説明＊＊＊
図２０を参照して、本実施の形態に係るやり取り型攻撃シミュレーション装置１０の構成を説明する。
【０１３７】
やり取り型攻撃シミュレーション装置１０は、機能要素として、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５およびメール送信部２６のほかに、感染検知部２８を備える。入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５、メール送信部２６および感染検知部２８の機能は、ソフトウェアにより実現される。
【０１３８】
＊＊＊動作の説明＊＊＊
図２０を参照して、本実施の形態に係るやり取り型攻撃シミュレーション装置１０の動作を説明する。やり取り型攻撃シミュレーション装置１０の動作は、本実施の形態に係るやり取り型攻撃シミュレーション方法に相当する。
【０１３９】
本実施の形態では、訓練フェーズが実施の形態１と異なる。
【０１４０】
訓練フェーズの処理の流れは実施の形態１と同じだが、本実施の形態では、訓練時の任意の時点で、訓練者が添付ファイルを開くか、あるいは、メール本文中のＵＲＬをクリックした際に、感染検知部２８に対して通知が送信される。すなわち、感染検知部２８は、メール送信部２６により送信されたメールの添付ファイルまたはリンク先が送信先で開かれた場合に、通知を受信する。よって、誰が、いつ、感染行動を起こしたかという情報を収集することができる。
【０１４１】
感染検知部２８が収集した情報により、教官は、訓練者のうち、誰が、いつ感染を引き起こしたか、および、どのようなメールのやり取りによって感染が生じたかといった情報を収集することができ、訓練者への教育に活かすことができる。
【０１４２】
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態によれば、教官が訓練の効果を測定することができるようになる。また、測定結果を、その後の教育に生かすことができ、これまで行うことができなかった高度な標的型メール攻撃の訓練を、簡単に実施することが可能となる。
【０１４３】
＊＊＊他の構成＊＊＊
本実施の形態では、実施の形態１と同じように、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５、メール送信部２６および感染検知部２８の機能がソフトウェアにより実現されるが、実施の形態１の変形例と同じように、入力処理部２１、メール受信部２２、メール学習部２３、状態遷移部２４、メール生成部２５、メール送信部２６および感染検知部２８の機能がソフトウェアとハードウェアとの組み合わせにより実現されてもよい。
【符号の説明】
【０１４４】
１０  やり取り型攻撃シミュレーション装置、１１  プロセッサ、１２  メモリ、１３  補助記憶装置、１４  入力インタフェース、１５  出力インタフェース、１６  通信装置、２１  入力処理部、２２  メール受信部、２３  メール学習部、２４  状態遷移部、２５  メール生成部、２６  メール送信部、２７  情報収集部、２８  感染検知部、３１  対応情報、３２  属性情報、３３  テンプレート、４１  属性情報データベース、４２  メール生成モデルデータベース、４３  学習メールデータベース、４４  言い訳テンプレートデータベース、５１  メール振り分け部、５２  第１ベクトル算出部、５３  第２ベクトル算出部、５４  モデル生成部。
【図１】
2018150472.tif 000005
【図２】
2018150472.tif 000006
【図３】
2018150472.tif 000007
【図４】
2018150472.tif 000008
【図５】
2018150472.tif 000009
【図６】
2018150472.tif 000010
【図７】
2018150472.tif 000011
【図８】
2018150472.tif 000012
【図９】
2018150472.tif 000013
【図１０】
2018150472.tif 000014
【図１１】
2018150472.tif 000015
【図１２】
2018150472.tif 000016
【図１３】
2018150472.tif 000017
【図１４】
2018150472.tif 000018
【図１５】
2018150472.tif 000019
【図１６】
2018150472.tif 000020
【図１７】
2018150472.tif 000021
【図１８】
2018150472.tif 000022
【図１９】
2018150472.tif 000023
【図２０】
2018150472.tif 000024
【手続補正書】
【提出日】平成29年7月21日(2017.7.21)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
メールのやり取りを通じて仕掛けられる攻撃を、状態遷移モデルを利用して模擬するやり取り型攻撃シミュレーション装置であって、
メールを送信するメール送信部と、
前記メール送信部により送信されたメールに対する返信のメールを受信するメール受信部と、
前記状態遷移モデルの各状態遷移に対応するメールの特徴を示す情報である、メモリに記憶された対応情報を参照して、前記メール受信部により受信された返信のメールに対応する状態遷移を特定する状態遷移部と、
前記状態遷移部により特定された状態遷移に対応するメールを生成し、生成したメールを前記メール送信部に送信させるメール生成部と
を備え、
前記メール送信部は、送信するメールの送信先を訓練者のメールアドレスに設定し、
前記メール生成部は、前記状態遷移部により特定された状態遷移によって、生成するメールの本文に含める言い訳の要否を判定し、当該言い訳が必要であると判定した場合に、データベースに登録された言い訳のテンプレートを選択し、選択したテンプレートの内容を、前記訓練者の属性を示す情報である、前記メモリに記憶された属性情報に合わせて編集して、生成するメールの内容を調整するやり取り型攻撃シミュレーション装置。
【請求項２】
実際にやり取りされたメールのうち、各状態遷移に対応付けられたメールを解析して、各状態遷移に対応するメールの特徴を抽出し、抽出した特徴を示す情報を前記対応情報として前記メモリに書き込むメール学習部をさらに備え、
前記状態遷移部は、前記メール受信部により受信された返信のメールの特徴を抽出し、当該返信のメールの特徴と各状態遷移に対応するメールの特徴とを比較し、比較結果から、当該返信のメールに対応する状態遷移を特定する請求項１に記載のやり取り型攻撃シミュレーション装置。
【請求項３】
前記メール学習部は、各状態遷移に対応付けられたメールの特徴ベクトルの平均を各状態遷移の特徴ベクトルとして算出し、各状態遷移の特徴ベクトルを前記対応情報として前記メモリに書き込み、
前記状態遷移部は、前記メール受信部により受信された返信のメールの特徴ベクトルを算出し、当該返信のメールの特徴ベクトルと各状態遷移の特徴ベクトルとの間の距離を計算し、計算した距離から、当該返信のメールに対応する状態遷移を特定する請求項２に記載のやり取り型攻撃シミュレーション装置。
【請求項４】
前記メール学習部は、実際にやり取りされたメールを、送信元と送信先と本文の内容と添付ファイルの有無との少なくともいずれかによって各状態遷移に対応付ける請求項２または３に記載のやり取り型攻撃シミュレーション装置。
【請求項５】
前記状態遷移部は、前記メール送信部により送信されたメールに対する返信の有無を判定し、当該返信がないと判定した場合に、前記メール送信部により送信されたメールに対応する状態遷移によって、次の状態遷移を特定する請求項１から４のいずれか１項に記載のやり取り型攻撃シミュレーション装置。
【請求項６】
前記属性情報を収集する情報収集部をさらに備える請求項１から５のいずれか１項に記載のやり取り型攻撃シミュレーション装置。
【請求項７】
前記メール送信部により送信されたメールの添付ファイルまたはリンク先が送信先で開かれた場合に、通知を受信する感染検知部をさらに備える請求項１から６のいずれか１項に記載のやり取り型攻撃シミュレーション装置。
【請求項８】
メールのやり取りを通じて仕掛けられる攻撃を、状態遷移モデルを利用して模擬するやり取り型攻撃シミュレーション方法であって、
やり取り型攻撃シミュレーション装置が、メールを送信し、
訓練者の端末が、前記やり取り型攻撃シミュレーション装置により送信されたメールに対する返信のメールを送信し、
前記やり取り型攻撃シミュレーション装置が、前記訓練者の端末により送信された返信のメールを受信し、
前記やり取り型攻撃シミュレーション装置が、前記状態遷移モデルの各状態遷移に対応するメールの特徴を示す情報である、メモリに記憶された対応情報を参照して、受信した返信のメールに対応する状態遷移を特定し、
前記やり取り型攻撃シミュレーション装置が、特定した状態遷移に対応するメールを生成し、生成したメールを前記訓練者の端末に送信し、
前記やり取り型攻撃シミュレーション装置は、送信するメールの送信先を訓練者のメールアドレスに設定し、
前記やり取り型攻撃シミュレーション装置は、特定した状態遷移によって、生成するメールの本文に含める言い訳の要否を判定し、当該言い訳が必要であると判定した場合に、データベースに登録された言い訳のテンプレートを選択し、選択したテンプレートの内容を、前記訓練者の属性を示す情報である、前記メモリに記憶された属性情報に合わせて編集して、生成するメールの内容を調整するやり取り型攻撃シミュレーション方法。
【請求項９】
メールのやり取りを通じて仕掛けられる攻撃を、状態遷移モデルを利用して模擬するやり取り型攻撃シミュレーションプログラムであって、
コンピュータに、
メールを送信するメール送信処理と、
前記メール送信処理により送信されたメールに対する返信のメールを受信するメール受信処理と、
前記状態遷移モデルの各状態遷移に対応するメールの特徴を示す情報である、メモリに記憶された対応情報を参照して、前記メール受信処理により受信された返信のメールに対応する状態遷移を特定する状態遷移処理と、
前記状態遷移処理により特定された状態遷移に対応するメールを生成し、生成したメールを前記メール送信処理により送信するメール生成処理と
を実行させ、
前記メール送信処理は、送信するメールの送信先を訓練者のメールアドレスに設定し、
前記メール生成処理は、前記状態遷移処理により特定された状態遷移によって、生成するメールの本文に含める言い訳の要否を判定し、当該言い訳が必要であると判定した場合に、データベースに登録された言い訳のテンプレートを選択し、選択したテンプレートの内容を、前記訓練者の属性を示す情報である、前記メモリに記憶された属性情報に合わせて編集して、生成するメールの内容を調整するやり取り型攻撃シミュレーションプログラム。
【国際調査報告】
2018150472.tif 000025
2018150472.tif 000026
2018150472.tif 000027
2018150472.tif 000028