(57)【要約】      （修正有）【課題】サイバー攻撃を知らせるユーザを適切に判断して迅速に警告を発信する。【解決手段】複数の端末３から各ユーザの行動ログを収集し、前記行動ログの類似性が高いユーザ同士をグループ化し、前記端末３ａからサイバー攻撃の報告８ａを受信すると、該報告８ａで示されるユーザ（ユーザＡ）と同一グループに属する他のユーザ（ユーザＢ、ユーザＸ）の端末に警告８ｂを発信する処理をコンピュータ１００が行う。【選択図】図２
2016122273.tif 000002
【特許請求の範囲】
【請求項１】
複数の端末から各ユーザの行動ログを収集し、
前記行動ログの類似性が高いユーザ同士をグループ化し、
前記端末に対するサイバー攻撃の報告を受信すると、該報告で示されるユーザと同一グループに属する他のユーザの端末に警告を発信する
処理をコンピュータが行うアラート発信方法。
【請求項２】
前記行動ログは、メールの宛先を示し、
前記コンピュータは、前記メールの宛先に基づいて前記ユーザをグループ化する
ことを特徴とする請求項１記載のアラート発信方法。
【請求項３】
前記行動ログは、Ｗｅｂサイトの閲覧先を示し、
前記コンピュータは、前記Ｗｅｂサイトの閲覧先の共通性に基づいて、前記ユーザをグループ化する
ことを特徴とする請求項１記載のアラート発信方法。
【請求項４】
前記行動ログは、前記ユーザの前記端末の操作に係る行動特性を示し、
前記コンピュータは、前記行動特性の類似度に基づいて、前記ユーザをグループ化する
ことを特徴とする請求項１記載のアラート発信方法。
【請求項５】
複数の端末から各ユーザの行動ログを収集し、
前記行動ログの類似性が高いユーザ同士をグループ化し、
前記端末に対するサイバー攻撃の報告を受信すると、該報告で示されるユーザと同一グループに属する他のユーザの端末に警告を発信する
処理をコンピュータに行わせるアラート発信プログラム。
【請求項６】
複数の端末から各ユーザの行動ログを収集する収集部と、
前記行動ログを分析して、類似性が高いユーザ同士をグループ化する分析部と、
前記端末に対するサイバー攻撃の報告を受信する被害受信部と、
前記報告で示されるユーザと同一グループに属する他のユーザの端末に警告を配信する配信部と
を有することを特徴とするアラート発信装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アラート発信方法、プログラム、及び装置に関する。
【背景技術】
【０００２】
近年、ある特定の企業や職種につく人物を狙った、特殊なサイバー攻撃、いわゆる標的型攻撃が激化している。ネットワークシステムのコンピュータウイルスに対する耐性を強化する取り組みが行われている。
【０００３】
例えば、中継するフレームにウイルスを検出すると、ウイルス入りフレームの送り元とその宛先に対して、ウイルス検出警告メッセージを送信してウイルス検出の通知を行う技術等が知られている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平９−２６９９３０号公報
【特許文献２】特許第５３８５２５３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ネットワークシステムに対する標的型攻撃において、サイバー攻撃の被害に合う人物は、業務内容や性格などに特徴があるのではないかと予想される。例えば、攻撃者は、特定の業務内容に従事している社員（営業、公報業務など）をターゲットにしたり、特定のＷｅｂサイトに水飲み場攻撃をしかけるなどの戦略をもっている場合がある。
【０００６】
この場合は、標的型攻撃のターゲットになるユーザに特徴がでる。また、攻撃は不特定多数の人に行われ、注意力が散漫など、特定の人物だけが攻撃にひっかかる場合がある。このように、標的型攻撃の被害にあうユーザに特徴がでる可能性がある。
【０００７】
しかしながら、上述した技術では、検出したウイルス入りフレームの宛先の人物と類似する特徴をもつ他の人物への被害を未然に防止する仕組みがないため、標的型のサイバー攻撃を完全に防ぐことは難しく、サイバー攻撃を未然に防ぐだけでなく、サイバー攻撃を受けてしまった場合に、同様の被害が起こらないように事後の対応を行うことができない。
【０００８】
したがって、１つの側面では、本発明は、サイバー攻撃を知らせるユーザを適切に判断して警告を発信することを目的とする。
【課題を解決するための手段】
【０００９】
一態様によれば、複数の端末から各ユーザの行動ログを収集し、前記行動ログの類似性が高いユーザ同士をグループ化し、前記端末対するサイバー攻撃の報告を受信すると、該報告で示されるユーザと同一グループに属する他のユーザの端末に警告を発信する処理をコンピュータが行うアラート発信方法が提供される。
【００１０】
また、上記課題を解決するための手段として、上記方法を行う装置、コンピュータに上記処理を実行させるためのプログラム、及び、そのプログラムを記憶した記憶媒体とすることもできる。
【発明の効果】
【００１１】
サイバー攻撃を知らせるユーザを適切に判断して警告を発信することができる。
【図面の簡単な説明】
【００１２】
【図１】通常時の動作例を示す図である。
【図２】サイバー攻撃を受けた際の動作例を示す図である。
【図３】アラート発信装置のハードウェア構成を示す図である。
【図４】端末のハードウェア構成を示す図である。
【図５】アラート発信装置の機能構成例を示す図である。
【図６】端末の機能構成例を示す図である。
【図７】通常運用例を説明するための図である。
【図８】サイバー攻撃を受けた際の運用例を説明するための図である。
【図９】実施例１における行動ログＤＢのデータ例を示す図である。
【図１０】実施例１における行動ログ分析処理の第一の例を説明するためのフローチャート図である。
【図１１】実施例１における行動ログ分析処理の第二の例を説明するためのフローチャート図である。
【図１２】実施例１における類似度判定結果テーブルのデータ例を示す図である。
【図１３】実施例２における行動ログＤＢのデータ例を示す図である。
【図１４】実施例２における行動ログ分析処理の第一の例を説明するためのフローチャート図である。
【図１５】実施例２における行動ログ分析処理の第二の例を説明するためのフローチャート図である。
【図１６】実施例１又は実施例２における行動ログの他の例を示す図である。
【図１７】実施例３における行動ログＤＢのデータ例を示す図である。
【図１８】実施例３における行動ログ分析処理を説明するためのフローチャート図である。
【図１９】階層的クラスタリングの結果例を示す図である。
【図２０】実施例３における類似度判定結果テーブルのデータ例を示す図である。
【図２１】実施例４における通常時の動作例を示す図である。
【図２２】実施例４におけるサイバー攻撃を受けた際の動作例を示す図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施の形態を図面に基づいて説明する。先ず、サイバー攻撃を受けたユーザが、通常、行う対策について考察する。サイバー攻撃による被害が発生した場合、通常、以下のような対策が行われる場合が多い。
【００１４】
（対策１）
あるユーザがサイバー攻撃を受けた際、その被害報告を他のユーザに発信し警告することで、更なる被害が発生することを予防する。
【００１５】
（対策２）
企業等の組織において、サイバー攻撃を受けたユーザは、上長に被害を報告する。
【００１６】
上述したような対策には、以下の課題がある。
【００１７】
（対策１の課題）
すべての被害報告をすべてのユーザに即座に配信することは、情報の配信コストや、ユーザが情報を逐一確認するためのコストを考慮すると望ましくない。また、ユーザによる誤解などで、誤った情報が流れる可能性もある。
【００１８】
しかし、情報システム管理者などによって被害内容の精査後、関連するユーザを選択し警告をしていたのでは、迅速な対応ができず、さらなる被害の発生を予防することは難しい。
【００１９】
（対策２の課題）
上長が被害報告をされても、真に必要なユーザに迅速な情報共有、警告等を行えない可能性がある。
【００２０】
従って、本実施形態では、あるユーザがサイバー攻撃の被害に合ったときに、適切な他のユーザにのみ、直ちに警告を送信する仕組みを提供する。
【００２１】
本実施形態に係るシステムについて図１及び図２で説明する。図１は、通常時の動作例を示す図である。図１に示すシステム１０００は、アラート発信装置１００と、複数の端末３とを有する。アラート発信装置１００は、ネットワーク２を介して複数の端末３に接続される。
【００２２】
図１において、システム１０００は企業内に構築され、アラート発信装置１００に接続される複数の端末３は、１又は２以上の部門の夫々に属するユーザによって利用される。
【００２３】
例えば、部門は、営業部４、技術部５等である。営業部４には、ユーザＡ、ユーザＢ、ユーザＣ等が所属している。また、技術部５には、ユーザＸ、ユーザＹ、ユーザＺ等が所属している。複数の端末３は、ユーザＡの端末３ａ、ユーザＢの端末３ｂ、ユーザＣの端末３ｃ、ユーザＸの端末３ｘ、ユーザＹの端末３ｙ、及びユーザＺの端末３ｚを含む。
【００２４】
アラート発信装置１００は、通常運用時には、各端末３から行動ログ７を収集して、蓄積されたログに基づいて、標的型のサイバー攻撃に備え、ユーザの行動特性を解析する。各端末３は、ユーザの操作に応じて、操作に係るログを行動ログ７としてアラート発信装置１００へ送信する。
【００２５】
行動ログ７は、例えば、ユーザが送信メールの宛先、ユーザがアクセスしたＷｅｂ閲覧先、受信メールに対するユーザの操作を示す行動特性等を示す。本実施例では、インターネットの利用に関連する操作を示す情報が、行動ログ７としてアラート発信装置１００に収集される。
【００２６】
アラート発信装置１００は、収集した行動ログ７を分析して、ユーザ毎に、サイバー攻撃の被害に合った場合に報告する他ユーザとの対応付けを管理する。アラート発信装置１００は、分析の結果、例えば、
ユーザＡが被害にあった場合、ユーザＢとユーザＸとに報告する（第１対応策）
ユーザＢが被害にあった場合、ユーザＡとユーザＺとに報告する（第２対応策）
等の対応を行うためのリストを作成する。
【００２７】
この例では、第１対応策では、営業部４に所属するユーザＡが被害にあった場合、同じ営業部４に所属するユーザＢと、異なる所属部門の技術部５に所属するユーザＸが、警告対象となるユーザであることを示している。
【００２８】
また、第２対応策では、営業部４に所属するユーザＢが被害にあった場合、同じ営業部４に所属するユーザＡと、異なる所属部門の技術部５に所属するユーザＺが、警告対象となるユーザであることを示している。
【００２９】
本実施形態では、サイバー攻撃の被害に合ったユーザの所属部門内の他のユーザを警告対象のユーザとして、必ずしも認識しない。他部門との連携を行う業務に関わるユーザである場合、同一部門内にサイバー攻撃に対する予防を周知するよりも、業務上関連の強い他部門のユーザに即時に報告することで、サイバー攻撃の被害があった場合に適切なユーザに絞って迅速に周知させることができ、従って、被害を最小限にすることができる。
【００３０】
図２は、サイバー攻撃を受けた際の動作例を示す図である。図２において、ユーザＡが利用する端末３でサイバー攻撃を受けると、ユーザＡの端末３は、端末３のウィルスチェック機能によるウィルス検出に応じて、被害報告８ａをアラート発信装置１００へ送信する。
【００３１】
アラート発信装置１００は、上述したような複数の対応策から、被害報告８ａの送信元に基づいて、警告８ｂを行う警告対象を特定して、特定した警告対象へサイバー攻撃を受ける可能性がある旨の警告８ｂを行う。
【００３２】
図２の例では、ユーザＡがサイバー攻撃６を受けた場合のアラート発信装置１００の動作例が示されている。アラート発信装置１００は、被害報告８ａを受けると、被害報告８ａの送信元からユーザＡを特定する。
【００３３】
アラート発信装置１００は、特定した送信元に基づく対応策で指定される警告対象に警告８ｂを行う。警告８ｂは、アラート発信装置１００から電子メール（以下、単に「メール」という）で、警告対象となるユーザ宛てに通知されてもよい。或いは、警告８ｂは、警告対象のユーザが利用する端末３に通知され、端末３が通知に応じて警告８ｂを表示するようにしてもよい。
【００３４】
上述したような、アラート発信装置１００は、図３に示すようなハードウェア構成を有する。図３は、アラート発信装置のハードウェア構成を示す図である。図３において、アラート発信装置１００は、コンピュータによって制御されるサーバ装置であって、ＣＰＵ（Central Processing Unit）１１ａと、主記憶装置１２ａと、補助記憶装置１３ａと、入力装置１４ａと、表示装置１５ａと、通信Ｉ／Ｆ（インターフェース）１７ａと、ドライブ装置１８ａとを有し、バスＢ１に接続される。
【００３５】
ＣＰＵ１１ａは、主記憶装置１２ａに格納されたプログラムに従ってアラート発信装置１００を制御する。主記憶装置１２ａには、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等が用いられ、ＣＰＵ１１ａにて実行されるプログラム、ＣＰＵ１１ａでの処理に必要なデータ、ＣＰＵ１１ａでの処理にて得られたデータ等を記憶又は一時保存する。
【００３６】
補助記憶装置１３ａには、ＨＤＤ（Hard Disk Drive）等が用いられ、各種処理を実行するためのプログラム等のデータを格納する。補助記憶装置１３ａに格納されているプログラムの一部が主記憶装置１２ａにロードされ、ＣＰＵ１１ａに実行されることによって、各種処理が実現される。
【００３７】
入力装置１４ａは、マウス、キーボード等を有し、管理者がアラート発信装置１００による処理に必要な各種情報を入力するために用いられる。表示装置１５ａは、ＣＰＵ１１ａの制御のもとに必要な各種情報を表示する。通信Ｉ／Ｆ１７ａは、有線又は無線などのネットワーク２を通じて通信を行う。通信Ｉ／Ｆ１７ａによる通信は無線又は有線に限定されるものではない。
【００３８】
アラート発信装置１００によって行われる処理を実現するプログラムは、例えば、ＣＤ−ＲＯＭ（Compact Disc Read-Only Memory）等の記憶媒体１９によってアラート発信装置１００に提供される。
【００３９】
ドライブ装置１８ａは、ドライブ装置１８ａにセットされた記憶媒体１９ａ（例えば、ＣＤ−ＲＯＭ等）とアラート発信装置１００とのインターフェースを行う。
【００４０】
また、記憶媒体１９ａに、後述される本実施の形態に係る種々の処理を実現するプログラムを格納し、この記憶媒体１９ａに格納されたプログラムは、ドライブ装置１８ａを介してアラート発信装置１００にインストールされる。インストールされたプログラムは、アラート発信装置１００により実行可能となる。
【００４１】
尚、プログラムを格納する記憶媒体１９ａはＣＤ−ＲＯＭに限定されず、コンピュータが読み取り可能な、構造（structure）を有する１つ以上の非一時的（non-transitory）な、有形（tangible）な媒体であればよい。コンピュータ読取可能な記憶媒体として、ＣＤ−ＲＯＭの他に、ＤＶＤディスク、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリであっても良い。
【００４２】
また、プログラムは、外部提供サーバから通信Ｉ／Ｆ１７ａを介してダウンロードしインストールされてもよい。インストールされたプログラムは、補助記憶装置１３ａに格納される。
【００４３】
端末３は、図４に示すようなハードウェア構成を有する。図４は、端末のハードウェア構成を示す図である。図４において、端末３は、コンピュータによって制御されるノートブック型、ラップトップ型、タブレット型等の情報処理端末であって、ＣＰＵ（Central Processing Unit）１１ｂと、主記憶装置１２ｂと、ユーザＩ／Ｆ（インターフェース）１６ｂと、通信Ｉ／Ｆ１７ｂと、ドライブ装置１８ｂとを有し、バスＢ２に接続される。
【００４４】
ＣＰＵ１１ｂは、主記憶装置１２ｂに格納されたプログラムに従って端末３を制御する。主記憶装置１２ｂには、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等が用いられ、ＣＰＵ１１ｂにて実行されるプログラム、ＣＰＵ１１ｂでの処理に必要なデータ、ＣＰＵ１１ｂでの処理にて得られたデータ等を記憶又は一時保存する。主記憶装置１２ｂに格納されているプログラムが、ＣＰＵ１１ｂに実行されることによって、各種処理が実現される。
【００４５】
ユーザＩ／Ｆ１６ｂは、ＣＰＵ１１ｂの制御のもとに必要な各種情報を表示し、また、ユーザによる操作入力を可能とするタッチパネル等である。通信Ｉ／Ｆ１７ｂによる通信は無線又は有線に限定されるものではない。ドライブ装置１８ｂは、ドライブ装置１８ｂにセットされた記憶媒体１９ｂ（例えば、ＳＤ（Secure Digital）メモリカード等）と端末３とのインターフェースを行う。
【００４６】
端末３によって行われる処理を実現するプログラムは、ネットワーク２等を介して、外部装置からダウンロードされる。又は、予め端末３の主記憶装置１２ｂに記憶されていても良い。或いは、ＳＤメモリカード等の記憶媒体１９ｂからインストールされてもよい。
【００４７】
端末３は、デスクトップ型等の情報処理端末であっても良く、そのハードウェア構成は、図３のハードウェア構成と同様であるので、その説明を省略する。
【００４８】
図５は、アラート発信装置の機能構成例を示す図である。図５において、アラート発信装置１００は、行動ログ収集部４１と、行動ログ分析部４２と、被害受信部４３と、警告配信部４４とを有する。補助記憶装置１３ａは、行動ログＤＢ４６、類似度判定結果テーブル４７等を記憶する。
【００４９】
行動ログ収集部４１は、各端末３から行動ログ７を受信し、行動ログＤＢ４６に蓄積する。行動ログ分析部４２は、行動ログＤＢ４６を用いて、ユーザ間の特性の類似度を判定し、類似度判定結果テーブル４７を作成し、補助記憶装置１３ａに記憶する。類似度判定結果テーブル４７は、所定間隔で更新されるようにする。
【００５０】
被害受信部４３は、端末３から被害報告８ａを受信すると、警告配信部４４に被害報告８ａを通知する。警告配信部４４は、類似度判定結果テーブル４７を参照し、被害報告８ａによって示されるユーザがサイバー攻撃を受けた場合の警告対象を取得して、警告８ｂを通知する。
【００５１】
図６は、端末の機能構成例を示す図である。図６において、端末３は、行動ログ抽出部３１と、被害報告部３２と、警告受信部３３とを有する。補助記憶装置１３ｂの一部が、行動ログ記憶部３７として利用される。行動ログ記憶部３７は、行動ログ７を一時的に蓄積する。
【００５２】
行動ログ抽出部３１は、ユーザＩ／Ｆ１６ｂの操作イベント、操作イベントに起因して発生した所定アプリケーションの動作イベント等に応じてログを作成し、作成したログのうち、本実施例において対象となる行動ログ７を抽出して、行動ログ記憶部３７に記憶する。
【００５３】
行動ログ７は、ユーザ間の特性の類似度を判断するための情報を含む。行動ログ７の詳細は、実施例１、実施例２、及び実施例３において後述される。
【００５４】
被害報告部３２は、端末３がサイバー攻撃の被害に合った場合、アラート発信装置１００に被害報告８ａを行う。被害報告８ａは、被害のあった端末３のユーザ名を含む。ユーザ名は、ユーザＩＤを示す場合を含む。警告受信部３３は、アラート発信装置１００から警告８ｂを受けた場合、ユーザＩ／Ｆ１６ｂに警告８ｂを表示し、ユーザに通知する。
【００５５】
次に、システム１０００における運用例について図７及び図８で説明する。図７は、通常運用例を説明するための図である。図７において、通常運用時には、端末３ａ及び３ｂを含む夫々の端末３から行動ログ７が定期的に送信される。
【００５６】
端末３ａにおいて、行動ログ抽出部３１は、ユーザＩ／Ｆ１６ｂの操作イベント、操作イベントに起因して発生した所定アプリケーションの動作イベント等に応じて作成したログから行動ログ７を抽出して、行動ログ記憶部３７に記憶する。
【００５７】
端末３ａの行動ログ抽出部３１は、行動ログ記憶部３７に記憶された行動ログ７を、定期的にアラート発信装置１００へ送信する。
【００５８】
一方、端末３ｂにおいても、同様に、行動ログ抽出部３１は、ユーザＩ／Ｆ１６ｂの操作イベント、操作イベントに起因して発生した所定アプリケーションの動作イベント等に応じて作成したログから行動ログ７を抽出して、行動ログ記憶部３７に記憶する。
【００５９】
端末３ｂの行動ログ抽出部３１は、行動ログ記憶部３７に記憶された行動ログ７を、定期的にアラート発信装置１００へ送信する。
【００６０】
他の端末３においても、上記同様に行動ログ７を定期的にアラート発信装置１００へ送信する。
【００６１】
アラート発信装置１００では、端末３ａ及び３ｂを含む複数の端末３から行動ログ７を受信し、行動ログ分析部４１は、複数の端末３の行動ログ７を用いて、ユーザ間の特性の類似度を分析する。類似度判定結果テーブル４７が作成される。行動ログ分析部４１は、定期的に、類似度判定結果テーブル４７を更新する。
【００６２】
図８は、サイバー攻撃を受けた際の運用例を説明するための図である。図８において、ユーザＡの端末３ａがサイバー攻撃を受けると、被害にあったユーザ名をアラート発信装置１００に送信する。
【００６３】
本実施形態では、被害の検知方法を限定しない。ユーザ自身が被害にあったと判断した又はその可能性があると判断した場合に、被害報告８ａを送信してもよい。或いは、被害報告部３２が、端末３ａで動作するウイルスチェック機能を有するソフトウェア等がマルウェアを検知した際に自動的に、アラート発信装置１００に被害報告８ａを送信してもよい。
【００６４】
アラート発信装置１００では、被害受信部４２が、端末３ａからの被害報告８ａを受信すると、被害報告８ａからユーザ名を取得し、警告配信部４４に通知する。この例では、被害報告８ａから、ユーザＡのユーザ名が取得され、警告配信部４４に通知される。
【００６５】
警告配信部４４は、被害受信部４２から通知されたユーザ名に係る類似度判定結果を、類似度判定結果テーブル４７から取得して、取得した類似度判定結果で示される特性が類似すると判定された他のユーザに警告８ｂを送信する。
【００６６】
この例では、ユーザＡに係る類似度判定結果により少なくともユーザＢが示されていたとする。警告配信部４４は、ユーザＢを宛先とした警告８ｂを送信する。
【００６７】
端末３ｂでは、警告受信部４４がアラート発信装置１００の警告配信部４４から警告８ｂを受信すると、ユーザＩ／Ｆ１６ｂに警告８ｂの通知を表示する。
【００６８】
このように、被害を受けた各人が通知する対象者を判断する必要がなく、速やかに被害を受けた関係者等に警告８ｂを通知することができる。
【００６９】
次に、本実施形態を適用した種々の実施例について説明する。
・実施例１
メールの宛先を行動ログ７として収集し、相手先に基づいて、ユーザ間の類似度を判断する。２人のユーザが類似しているか否かはＪａｃｃａｒｄ係数を用いて判定する。Ｊａｃｃａｒｄ係数は、０又は１を取る２つのｎ次元ベクトルの類似度を算出する指標の一つであり、２つのベクトルＡ、Ｂに対して、以下のように計算する。
【００７０】
【数１】
2016122273.tif 000003
【００７１】
すべてのメールの宛先の夫々に対して、ユーザ毎に、メールを送信した場合は１、そうでない場合は０を示すベクトルを作成し、このベクトルに基づいて、Ｊａｃｃａｒｄ係数を計算し、Ｊａｃｃａｒｄ係数が与えられた閾値以下のユーザ同士を類似度の高いユーザ同士と判断する。Ｊａｃｃａａｒｄ係数を計算するために、実際には、取りうるすべてのメールの宛先を取得する必要はない。
・実施例２
閲覧したＷｅｂサイトのＵＲＬ（Uniform Resource Locator）を行動ログ７として収取し、ユーザ間の類似度を判断する。２人のユーザが類似しているか否かは、実施例２と同様にＪａｃｃａｒｄ係数を用いて判定できる。
【００７２】
この場合、すべてのＷｅｂ閲覧先の夫々に対して、ユーザ毎に、Ｗｅｂをアクセスした場合は１、そうでない場合は０を示すベクトルを作成し、このベクトルに基づいて、Ｊａｃｃａｒｄ係数を計算し、Ｊａｃｃａｒｄ係数が与えられた閾値以下のユーザ同士を類似度の高いユーザ同士と判断する。Ｊａｃｃａａｒｄ係数を計算するために、実際には、取りうるすべてのＷｅｂ閲覧先を取得する必要はない。
・実施例３
行動特性（ｎ次元ベクトル）を行動ログ７として収集し、ユーザ間の類似度を判断する。行動特性は、打鍵記録などから判断してもよい。また、行動特性の判断は、各端末３で判断してもよいし、打鍵記録などのＰＣ操作ログを行動ログ７として、アラート発信装置１００に送信し、アラート発信装置１００で行動特性を作成してもよい。
【００７３】
先ず、実施例１について説明する。図９は、実施例１における行動ログＤＢのデータ例を示す図である。図９に示す行動ログＤＢ４６−１では、ユーザ毎に、送信メールの宛先が行動ログ７として一覧で示される。
【００７４】
図９の例では、行動ログＤＢ４６−１において、ユーザＡの送信メールの宛先が、「neko@jp.housewife.co.jp」、「sasaki@pmail.com」等のように一覧で示される。他のユーザについても同様である。
【００７５】
次に、実施例１における行動ログ分析部４２による行動ログ分析処理について説明する。図１０は、実施例１における行動ログ分析処理の第一の例を説明するためのフローチャート図である。図１０において、行動ログ分析部４２は、全てのユーザの行動ログ７を含む行動ログＤＢ４６−１と、閾値ｔ１とを読み込む（ステップＳ１０）。
【００７６】
閾値ｔ１は、類似していると判定するための基準値を示す。類似度は、１に近い値程、類似していることを示し、０に近い程、類似していないことを示す。閾値ｔ１は、例えば、０．９５等の値を示す。また、閾値ｔ１は、管理者等によって必要に応じて変更可能であってもよい。
【００７７】
行動ログＤＢ４６−１で管理される全てのユーザに対して、ステップＳ１２からＳ２２までの処理を行う（ステップＳ１１）。行動ログ分析部４２は、行動ログＤＢ４６−１から順にユーザ名を１つ取得して、ユーザＡとする（ステップＳ１２）。
【００７８】
そして、行動ログ分析部４２は、ユーザＡに対して、ユーザＡを除く全てのユーザに対して、ステップＳ１４からＳ２１までの処理を行う（ステップＳ１３）。行動ログ分析部４２は、行動ログＤＢ４６−１から順にユーザＡ以外のユーザ名を１つ取得して、ユーザＢとする（ステップＳ１４）。
【００７９】
行動ログ分析部４２は、行動ログＤＢ４６−１を参照して、ユーザＡが送信メールの宛先の総数ｎＡを取得し（ステップＳ１５）、同様にして、ユーザＢが送信メールの宛先の総数ｎＢを取得する（ステップＳ１６）。更に、ユーザＡとユーザＢとに共通する送信メールの宛先の総数ｎＡＢを取得する（ステップＳ１７）。
【００８０】
そして、行動ログ分析部４２は、判定指数ｉを求める（ステップＳ１８）。判定指数ｉは、ユーザＡとユーザＢとの類似度を表すＪａｃｃａａｒｄ係数として、上述した数１で算出される。
【００８１】
行動ログ分析部４２は、判定指数ｉが閾値ｔ１より大きいか否かを判断する（ステップＳ１９）。判定指数ｉが閾値ｔ１以下の場合、行動ログ分析部４２は、ユーザＢは、ユーザＡとに類似度がないと判断し、次のユーザとの類似度を判断するためにステップＳ２１を介してステップＳ１３へと戻り、上述した同様の処理を繰り返す。
【００８２】
一方、判定指数ｉが閾値ｔ１より大きい場合、行動ログ分析部４２は、類似度判定結果テーブル４７−１（図１２）の「被害対象」がユーザＡであるレコードの「警告対象」にユーザＢを追加して（ステップＳ２１）、次のユーザとの類似度を判断するためにステップＳ２１を介してステップＳ１３へと戻り、上述した同様の処理を繰り返す。
【００８３】
ユーザＡ以外の全てのユーザに対して、類似度判定を行ったら、行動ログ分析部４２は、ユーザＡとする次のユーザ名を選択するため、ステップＳ２２を介してステップＳ１１へと戻り、上述同様の処理を繰り返す。そして、全てのユーザの組み合せに対して類似度を判定したら、行動ログ分析部４２は、この行動ログ分析処理を終了する。
【００８４】
図１１は、実施例１における行動ログ分析処理の第二の例を説明するためのフローチャート図である。行動ログ分析処理の第二の例では、ユーザＡとユーザＢとで共通する送信メールの宛先の総数ｎＡＢが与えられた閾値ｔ２との比較により、ユーザＡとユーザＢとの間で特性の類似度を判断する。
【００８５】
図１１において、行動ログ分析部４２は、全てのユーザの行動ログ７を含む行動ログＤＢ４６−１（図９）と、閾値ｔ２とを読み込む（ステップＳ３０）。
【００８６】
閾値ｔ２は、類似していると判定するための基準値を示す。閾値ｔ２は、正の整数値を示す。また、閾値ｔ２は、管理者等によって必要に応じて変更可能であってもよい。
【００８７】
行動ログＤＢ４６−１で管理される全てのユーザに対して、ステップＳ２２からＳ２９までの処理を行う（ステップＳ３１）。行動ログ分析部４２は、行動ログＤＢ４６−１から順にユーザ名を１つ取得して、ユーザＡとする（ステップＳ３２）。
【００８８】
そして、行動ログ分析部４２は、ユーザＡに対して、ユーザＡを除く全てのユーザに対して、ステップＳ１４からＳ２１までの処理を行う（ステップＳ３３）。行動ログ分析部４２は、行動ログＤＢ４６−１から順にユーザＡ以外のユーザ名を１つ取得して、ユーザＢとする（ステップＳ３４）。
【００８９】
行動ログ分析部４２は、行動ログＤＢ４６−１を参照して、ユーザＡとユーザＢとに共通する送信メールの宛先の総数ｎＡＢを取得して（ステップＳ３５）、共通する送信メールの宛先の総数ｎＡＢが閾値ｔ２より多いか否かを判断する（ステップＳ３６）。
【００９０】
総数ｎＡＢが閾値ｔ２以下の場合、行動ログ分析部４２は、ユーザＢは、ユーザＡとに類似度がないと判断し、次のユーザとの類似度を判断するためにステップＳ３８を介してステップＳ３３へと戻り、上述した同様の処理を繰り返す。
【００９１】
一方、総数ｎＡＢが閾値ｔ２より大きい場合、行動ログ分析部４２は、類似度判定結果テーブル４７−１（図１２）の「被害対象」がユーザＡであるレコードの「警告対象」にユーザＢを追加して（ステップＳ３７）、次のユーザとの類似度を判断するためにステップＳ３８を介してステップＳ３３へと戻り、上述した同様の処理を繰り返す。
【００９２】
ユーザＡ以外の全てのユーザに対して、類似度判定を行ったら、行動ログ分析部４２は、ユーザＡとする次のユーザ名を選択するため、ステップＳ３９を介してステップＳ３１へと戻り、上述同様の処理を繰り返す。そして、全てのユーザの組み合せに対して類似度を判定したら、行動ログ分析部４２は、この行動ログ分析処理を終了する。
【００９３】
行動ログ分析処理の第一の例（図１０）により、類似度判定結果テーブル４７−１が図１２のように作成される。また、行動ログ分析処理の第二の例（図１１）においても、同様の類似度判定結果テーブル４７−１が作成される。
【００９４】
図１２は、実施例１における類似度判定結果テーブルのデータ例を示す図である。図１２において、類似度判定結果テーブル４７−１は、被害対象毎に警告対象を対応付けたテーブルであり、被害対象、警告対象等の項目を有する。
【００９５】
被害対象は、サイバー攻撃の被害を受けた側のユーザ名を示す。被害対象となるユーザ名は、端末３から受信した被害報告８ａから取得される。警告対象は、被害対象と特性に関連性のあると判断したユーザ名を１つ以上示す。被害対象のユーザ名が被害報告８ａで示された場合、警告対象で示される１以上のユーザ名に基づいて、警告８ｂを送信するユーザを特定することができる。
【００９６】
この例では、被害対象がユーザＡのレコードにおいて、ユーザＡに対応付けられる警告対象は、ユーザＢ及びユーザＸであることが分かる。ユーザＡがサイバー攻撃の被害を受けた場合、ユーザＢとユーザＸとに警告８ｂが送信される。他のユーザに対しても同様である。
【００９７】
次に、実施例２について説明する。図１３は、実施例２における行動ログＤＢのデータ例を示す図である。図１３に示す行動ログＤＢ４６−２では、ユーザ毎に、Ｗｅｂ閲覧先のＵＲＬを行動ログ７として一覧で示されている。
【００９８】
図１３の例では、行動ログＤＢ４６−２において、ユーザＡのＷｅｂ閲覧先が「http://www.neko/housewife/index.html」、「http://www.sample/test/index.html」等のように一覧で示される。他のユーザについても同様である。
【００９９】
次に、実施例２における行動ログ分析部４２による行動ログ分析処理について説明する。実施例１における行動ログ分析処理と略同様であるので、同様の処理には同一のステップ番号を付し、その説明を省略し、異なる部分のみ以下に説明する。
【０１００】
図１４は、実施例２における行動ログ分析処理の第一の例を説明するためのフローチャート図である。図１４において、図１０と同様に、行動ログ分析部４２は、ステップＳ１０からＳ１４までの処理を行う。
【０１０１】
ユーザＡに対するユーザＢのユーザ名を取得すると、行動ログ分析部４２は、行動ログＤＢ４６−１を参照して、ユーザＡのＷｅｂ閲覧先の総数ｎＡを取得し（ステップＳ１５−２）、同様にして、ユーザＢのＷｅｂ閲覧先の総数ｎＢを取得する（ステップＳ１６−２）。更に、ユーザＡとユーザＢの共通するＷｅｂ閲覧先の総数ｎＡＢを取得する（ステップＳ１７−２）。
【０１０２】
そして、行動ログ分析部４２は、判定指数ｉを求める（ステップＳ１８）。判定指数ｉは、上述した数１で算出される。
【０１０３】
行動ログ分析部４２は、判定指数ｉと閾値ｔ１との比較より、ユーザＢが、ユーザＡと類似度があるか否かを判断することで、類似度判定結果テーブル４７−１（図１２）を作成する（ステップＳ１９〜Ｓ２０）。
【０１０４】
そして、全てのユーザの組み合せに対して類似度を判定したら、行動ログ分析部４２は、この行動ログ分析処理を終了する。
【０１０５】
図１５は、実施例２における行動ログ分析処理の第二の例を説明するためのフローチャート図である。図１５において、図１１と同様に、行動ログ分析部４２は、ステップＳ３０からＳ３４までの処理を行う。
【０１０６】
ユーザＡに対するユーザＢのユーザ名を取得すると、行動ログ分析部４２は、行動ログＤＢ４６−１を参照して、ユーザＡとユーザＢの共通するＷｅｂ閲覧先の総数ｎＡＢを取得して（ステップＳ３５−２）、共通するＷｅｂ閲覧先の総数ｎＡＢが閾値ｔ２より多いか否かを判断する（ステップＳ３６）。
【０１０７】
行動ログ分析部４２は、Ｗｅｂ閲覧先の総数ｎＡＢと閾値ｔ２との比較より、ユーザＢが、ユーザＡと類似度があるか否かを判断することで、類似度判定結果テーブル４７−１（図１２）を作成する（ステップＳ３７）。
【０１０８】
そして、全てのユーザの組み合せに対して類似度を判定したら、行動ログ分析部４２は、この行動ログ分析処理を終了する。
【０１０９】
実施例１及び実施例２の変形例として、ユーザが送信メールの文面等を形態素解析し、抽出した固有名詞を行動ログ７としてもよい。図１６は、実施例１又は実施例２における行動ログの他の例を示す図である。
【０１１０】
図１６に示す行動ログＤＢ４６ａでは、ユーザ毎に、送信メールの宛先が行動ログ７として一覧で示される。図１６の例では、行動ログＤＢ４６ａにおいて、ユーザＡの利用する固有名詞が、「○×商事」、「△□商品」等のように一覧で示される。他のユーザについても同様である。
【０１１１】
また、図１６に示すような行動ログＤＢ４６ａを用いた場合、行動ログ分析部４２による行動ログ分析処理は、実施例１又は実施例２と同様の処理となる。実施例１のフローチャート（図１０及び図１１）において、行動ログＤＢ４６−１の代わりに行動ログＤＢ４６ａを読み込み、「送信メールの宛先」を「固有名詞」と置き換えるのみで同様の処理となる。又は、実施例２のフローチャート（図１４及び図１５）において、行動ログＤＢ４６−２の代わりに行動ログＤＢ４６ａを読み込み、「Ｗｅｂ閲覧先」を「固有名詞」と置き換えるのみで同様の処理となる。従って、その詳細な説明を省略する。
【０１１２】
次に、実施例３について説明する。実施例３では、行動ログ７に、ユーザ名とそのユーザが端末３を利用して行った行動項目とを含めるようにする。行動項目には、送受信メール数／日、パッチ適用間隔（日）などを含めてもよい。各端末３において、メールの送受信の日時、パッチ適用の日時等のログデータを蓄積しておき、行動ログ抽出部３１は、所定日数間隔で、ログデータから行動ログ７を作成して、アラート発信装置１００に送信する。
【０１１３】
先ず、実施例３における行動特性について説明する。図１７は、実施例３における行動ログＤＢのデータ例を示す図である。図１７において、行動ログＤＢ４６−３は、ユーザ毎に、端末３を利用して行った行動のログを記憶し、送受信メール数／日、パッチ適用間隔（日）等の項目を有する。
【０１１４】
送受信メール数／日は、端末３において、直近の所定日数期間における１日当たりの送受信メール数の平均値を示す。パッチ適用間隔（日）は、端末３において、直近の所定日数期間におけるパッチ適用間隔の平均値を示す。
【０１１５】
アラート発信装置１００は、行動ログＤＢ４６−３を参照して、各ユーザの直近の行動ログ７を用いて、階層的クラスタリングのアルゴリズムにより、ユーザをグループ化してもよい。行動ログ７の各項目値を示すｎ次元ベクトルとして、行動ログ分析部４２による行動ログ分析処理（図１８）を行う。ここで、ｎは項目の総数に相当する。
【０１１６】
アラート発信装置１００は、また、ユーザ毎に、蓄積された行動ログ７を用いて、各項目値の平均値、標準偏差等を求めて、ｎ次元ベクトルとしてもよい。
【０１１７】
図１８は、実施例３における行動ログ分析処理を説明するためのフローチャート図である。図１８において、行動ログ分析部４２は、行動ログＤＢ４６−３及び閾値ｔ３を読み込む（ステップＳ５０）。
【０１１８】
行動ログ分析部４２は、階層的クラスタリングのアルゴリズムを利用して、行動ログ７に基づいて、ユーザをクラスタに分類する（ステップＳ５１）。
【０１１９】
そして、行動ログ分析部４２は、クラスタ間の距離が閾値ｔ３以下の各クラスタを１つ１つのグループとした類似度判定結果テーブル４７−３（図２０）を作成する（ステップＳ５２）。類似度判定結果テーブル４７は、補助記憶装置１３ａに記憶される。その後、行動ログ分析部４２は、この行動ログ分析処理を終了する。
【０１２０】
図１９は、階層的クラスタリングの結果例を示す図である。図１９では、縦軸にユーザ間の距離を示して、行動ログＤＢ４６−３を用いたクラスタリングの結果例を示す。この例では、閾値ｔ３において、まず、ユーザＡは、距離ｄ１で最も近いユーザＢと１つのクラスタに分類され、更に、次に近い距離はｄ３のユーザＸを含めて、ユーザＡ、Ｂ、及びＸとが１つのクラスタに分類される。
【０１２１】
一方、ユーザＹは、距離ｄ２で最も近いユーザＺと１つのクラスタに分類される。ユーザＡ、Ｂ、及びＸを含むクラスタは、ユーザＹ及びＺを含むクラスタとの距離が閾値ｔ３より通り距離ｄ４であるため、１つのクラスタに分類されない。同様に、ユーザＣは、他ユーザとで１つのクラスタを形成する。
【０１２２】
グループ化は、閾値ｔ３の距離以内で形成されるクラスタをグループとみなす。つまり、ユーザＡ、Ｂ、及びＸを含むクラスタが１グループ、ユーザＹ及びＺを含むクラスタが１グループ、少なくともユーザＣを含むクラスタが１グループ等となる。
【０１２３】
上述に基づいて、実施例３で作成される類似度判定結果テーブル４７−３は、図２０に示されるように作成される。図２０は、実施例３における類似度判定結果テーブルのデータ例を示す図である。
【０１２４】
図２０において、類似度判定結果テーブル４７−３は、グループＩＤ、グループメンバ等の項目を有し、同一グループ内に分類されたユーザを示す。グループＩＤは、グループを一意に識別するための情報を示す。グループメンバは、同一グループ内に分類されたユーザ名を示す。
【０１２５】
この例では、少なくとも、グループ１には、ユーザＡ、ユーザＢ、及びユーザＸが分類され、グループ２には、ユーザＹ及びユーザＺが分類されていることが示される。
【０１２６】
警告配信部４４は、被害受信部４３から受信したユーザ名を含むグループ内の他のユーザ名を取得して、警告８ｂを送信する。
【０１２７】
次に、本実施形態において、更に、ユーザ毎の行動ログ７に基づく状況を、管理者等に可視化して提示する場合を、実施例４として図２１及び図２２で説明する。
【０１２８】
図２１は、実施例４における通常時の動作例を示す図である。図２１に示すシステム１００２では、アラート発信装置１００は、行動ログ分析部４２による行動ログ分析結果を管理者６０の管理者端末６１に表示する。行動ログ分析結果として、類似度判定結果テーブル４７を少なくとも表示可能とする。
【０１２９】
図２２は、実施例４におけるサイバー攻撃を受けた際の動作例を示す図である。図２２に示すシステム１００２では、アラート発信装置１００は、被害報告８ａを受信すると、管理者６０宛てに被害報告８ａを必ず送信する。管理者６０は、管理者端末６１にて、被害報告８ａを精査した後に、必要と判断したユーザに警告８ｂを送信してもよい。
【０１３０】
又は、アラート発信装置１００は、全ユーザが閲覧可能なように、被害報告８ａの通知があったことを公開するようにしてもよい。
【０１３１】
更に、被害報告８ａを受信すると、アラート発信装置１００は、サイバー攻撃の被害にあいやすいユーザには常に警告を出すようにしてもよい。サイバー攻撃の被害にあいやすいユーザを予測するために、被害にあいやすい特徴的な行動特性に関する行動ログ７を収集して分析する。
【０１３２】
例えば、図１７に示すような行動ログＤＢ４６−３で管理する項目のように送受信メール数／日、パッチ適用期間（日）等の項目を予め定めておき、各端末３から行動ログ７として収集する。
【０１３３】
送受信メール数／日、パッチ適用期間（日）等の項目において、それぞれの所定値以上となる項目数が多いほど、サイバー攻撃の被害にあいやすいユーザであると判断できる。
【０１３４】
上述したように、本実施形態によれば、サイバー攻撃に対して、端末３から収集したユーザの行動ログでユーザをグループ化し、攻撃の報告に応じて、報告したユーザのグループ内の他ユーザに警告発信することで、報知するユーザに適切に警告できる。
【０１３５】
本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、主々の変形や変更が可能である。
【０１３６】
以上の実施例１〜４を含む実施形態に関し、更に以下の付記を開示する。
（付記１）
複数の端末から各ユーザの行動ログを収集し、
前記行動ログの類似性が高いユーザ同士をグループ化し、
前記端末に対するサイバー攻撃の報告を受信すると、該報告で示されるユーザと同一グループに属する他のユーザの端末に警告を発信する
処理をコンピュータが行うアラート発信方法。
（付記２）
前記行動ログは、メールの宛先を示し、
前記コンピュータは、前記メールの宛先に基づいて前記ユーザをグループ化する
ことを特徴とする付記１記載のアラート発信方法。
（付記３）
前記行動ログは、Ｗｅｂサイトの閲覧先を示し、
前記コンピュータは、前記Ｗｅｂサイトの閲覧先の共通性に基づいて、前記ユーザをグループ化する
ことを特徴とする付記１記載のアラート発信方法。
（付記４）
前記行動ログは、前記ユーザの前記端末の操作に係る行動特性を示し、
前記コンピュータは、前記行動特性の類似度に基づいて、前記ユーザをグループ化する
ことを特徴とする付記１記載のアラート発信方法。
（付記５）
前記行動ログに係る分析結果を、管理者の端末にて表示可能とする
ことを特徴とする付記１記載のアラート発信方法。
（付記６）
前記サイバー攻撃の報告を受信すると、前記管理者に通知する
ことを特徴とする付記５記載のアラート発信方法。
（付記７）
前記サイバー攻撃の報告を精査した前記管理者による判断に基づくユーザへ前記警告を発信する
ことを特徴とする付記６記載のアラート発信方法。
（付記８）
前記サイバー攻撃の報告を前記ユーザの前記端末で閲覧可能とする
ことを特徴とする付記６記載のアラート発信方法。
（付記９）
複数の端末から各ユーザの行動ログを収集し、
前記行動ログの類似性が高いユーザ同士をグループ化し、
前記端末に対するサイバー攻撃の報告を受信すると、該報告で示されるユーザと同一グループに属する他のユーザの端末に警告を発信する
処理をコンピュータに行わせるアラート発信プログラム。
（付記１０）
複数の端末から各ユーザの行動ログを収集する収集部と、
前記行動ログを分析して、類似性が高いユーザ同士をグループ化する分析部と、
前記端末に対するサイバー攻撃の報告を受信する被害受信部と、
前記報告で示されるユーザと同一グループに属する他のユーザの端末に警告を配信する配信部と
を有することを特徴とするアラート発信装置。
【符号の説明】
【０１３７】
３、３ａ、３ｂ、３ｃ、３ｘ、３ｙ、３ｚ      端末
７          行動ログ
８ａ        被害報告、            ８ｂ          警告
９ａ        グループの階層構造、  ９ｂ          グループ化閾値
１１ａ      ＣＰＵ、              １２ａ        主記憶装置
１３ａ      補助記憶装置、        １４ａ        入力装置
１５ａ      表示装置、            １６ａ        出力装置
１７ａ      通信Ｉ／Ｆ、          １８ａ        ドライブ
１９ａ      記憶媒体
１１ｂ      ＣＰＵ、              １２ｂ        主記憶装置
１６ｂ      ユーザＩ／Ｆ、        １７ｂ        通信Ｉ／Ｆ
１８ｂ      ドライブ、            １９ｂ        記憶媒体
３１        行動ログ抽出部
３２        被害報告部
３３        警告受信部
３７        行動ログ記憶部
４１        行動ログ収集部
４２        行動ログ分析部
４３        被害受信部
４４        警告配信部
４６        行動ログＤＢ
４７        類似度判定結果テーブル
【図１】
2016122273.tif 000004
【図２】
2016122273.tif 000005
【図３】
2016122273.tif 000006
【図４】
2016122273.tif 000007
【図５】
2016122273.tif 000008
【図６】
2016122273.tif 000009
【図７】
2016122273.tif 000010
【図８】
2016122273.tif 000011
【図９】
2016122273.tif 000012
【図１０】
2016122273.tif 000013
【図１１】
2016122273.tif 000014
【図１２】
2016122273.tif 000015
【図１３】
2016122273.tif 000016
【図１４】
2016122273.tif 000017
【図１５】
2016122273.tif 000018
【図１６】
2016122273.tif 000019
【図１７】
2016122273.tif 000020
【図１８】
2016122273.tif 000021
【図１９】
2016122273.tif 000022
【図２０】
2016122273.tif 000023
【図２１】
2016122273.tif 000024
【図２２】
2016122273.tif 000025