(57)【特許請求の範囲】
【請求項１】
高度で持続的な脅威（ＡＰＴ）攻撃に対する防御方法であって、ＡＰＴ攻撃防御システムに用いられる前記防御方法は、
ネットワークにおける通信データを取得することと、
前記通信データに対して関連分析を行い、関連分析の結果に基づいて、前記通信データ中の脅威データを選出することと、
キルチェーンモデルに従って、選出された各脅威データを対応するＡＰＴ攻撃段階にそれぞれマッピングすることと、
複数の前記ＡＰＴ攻撃段階に対応する防御対策に基づいて、各脅威データに関するネットワークエンティティに対して防御を行うことと、を含むことを特徴とする防御方法。
【請求項２】
前記ＡＰＴ攻撃段階は、環境認識段階と、調査・スニッフィング段階と、標的型攻撃段階と、ツール設置段階と、不審な活動段階とを含み、
前記環境認識段階では、ネットワークにおける、攻撃者によって利用される脆弱性を検出し、
前記調査・スニッフィング段階では、前記攻撃者が被攻撃対象の脆弱性を検出し、
前記標的型攻撃段階では、前記攻撃者が前記被攻撃対象に対して攻撃を開始し、
前記ツール設置段階では、前記攻撃者が前記被攻撃対象の脆弱性を利用して前記被攻撃対象に攻撃ツールを埋め込み、
前記不審な活動段階では、前記攻撃者が前記被攻撃対象を制御し、ネットワークにおけるデータを取得し、また、破壊活動を行うことを特徴とする請求項１に記載の方法。
【請求項３】
前記通信データは、イベントと、トラフィックと、脅威情報と、脆弱性データとのうち少なくとも一つを含み、
前記イベントは、セキュリティイベントと、オペレーティングシステムイベントと、データベースイベントと、アプリケーションイベントと、認証イベントとのうち少なくとも一つを含み、
前記トラフィックは、攻撃に関する元のトラフィックと、ネットワークアクセス通信動作を記録するトラフィックログとのうち少なくとも一つを含むことを特徴とする請求項１に記載の方法。
【請求項４】
前記防御対策は、
脅威データが環境認識段階にマッピングされた場合、当該脅威データに基づいて脆弱性があるネットワークエンティティを特定し、特定されたネットワークエンティティに対し、パッチの適用と、安全でない配置の解消と、ウイルスの排除とのうち少なくとも一つ作業を行うことを含み、
脅威データが調査・スニッフィング段階にマッピングされた場合、設定されたアクセス制御リストＡＣＬまたはセキュリティ対策をファイアウォールＦＷ及び侵入防止システムＩＰＳへ発信し、且つ、当該脅威データに関する攻撃者のインターネットプロトコル（ＩＰ）アドレスを前記脅威データに関する制御ノードのブラックリストに追加し、
脅威データが標的型攻撃段階にマッピングされた場合、設定されたＡＣＬまたはセキュリティ対策をＦＷ及びＩＰＳへ発信し、ＡＡＡサーバーと前記脅威データに関するサーバーとを強化し、且つ、当該脅威データに関する攻撃者のＩＰアドレスを前記脅威データに関する制御ノードのブラックリストに追加し、
脅威データがツール設置段階にマッピングされた場合、設定されたＡＣＬまたはセキュリティ対策をＦＷ及びＩＰＳへ発信し、ＡＡＡサーバーと前記脅威データに関するサーバーとを強化し、ウェブサイトアプリケーションファイアウォール（ＷＡＦ）対策をＷＡＦデバイスへ発信し、且つ、当該脅威データに関する攻撃者のＩＰアドレスを前記脅威データに関する制御ノードのブラックリストに追加し、
脅威データが不審な活動段階にマッピングされた場合、設定されたＡＣＬまたはセキュリティ対策をＦＷ及びＩＰＳへ発信し、ＡＡＡサーバーと前記脅威データに関するサーバーとを強化し、且つ、当該脅威データに関する攻撃者のＩＰアドレスを前記脅威データに関する制御ノードのブラックリストに追加することを特徴とする請求項２に記載の方法。
【請求項５】
前記防御方法は、
調査・スニッフィング段階、標的型攻撃段階、ツール設置段階、不審な活動段階にマッピングされた各脅威データについて、
当該脅威データに関する不審なＩＰアドレスを特定することと、
前記通信データ中から、当該不審なＩＰアドレスに関するイベント及びトラフィックログを照会することと、
照会されたイベント及びトラフィックログを時系列で表現することと、を更に含むことを特徴とする請求項２に記載の方法。
【請求項６】
前記防御方法においてネットワークリスク評価及びセキュリティアラーム生成のために、イベント関係分析と、ＡＰＴ攻撃段階のデータマイニング分析と、ホストディメンション分析と、アプリケーションのディメンション分析と、データベースのディメンション分析とのうち少なくとも一つ分析を行うことを更に含み、
前記イベント関係分析では、イベントタイプの異なる、関連する被攻撃対象のＩＰアドレスが同じである複数のイベントを関連付け、且つ、脅威情報に記録されたＩＰアドレス、ドメイン名、ＵＲＬに基づいて、同一ＩＰアドレス、同一ドメイン名、同一ＵＲＬに関するイベントを見つけ、
前記ＡＰＴ攻撃段階のデータマイニング分析では、同一ＡＰＴ攻撃段階にマッピングされた脅威データに対し、それぞれ分析を行い、
前記ホストのディメンション分析では、前記通信データにおけるオペレーティングシステムイベントに対し、統計分析と傾向分析を行い、
前記アプリケーションのディメンション分析では、前記通信データにおけるアプリケーションイベントに対し、統計分析と傾向分析を行い、
前記データベースのディメンション分析では、前記通信データにおけるデータベースイベントに対し、統計分析と傾向分析を行うことを特徴とする請求項３に記載の方法。
【請求項７】
前記制御ノードは、ＦＷと、ＡＡＡサーバーと、Ｗｉｎｄｏｗｓサーバーと、Ｌｉｎｕｘサーバーとのうち少なくとも一つを含むことを特徴とする請求項４に記載の方法。
【請求項８】
高度で持続的な脅威（ＡＰＴ）攻撃に対する防御システムであって、
プロセッサと機械可読記憶媒体と、
前記機械可読記憶媒体には、前記プロセッサが実行する機械実行可能命令を記憶しており、前記プロセッサは、前記機械実行可能命令を実行することにより、
ネットワークにおける通信データを取得することと、
前記通信データに対して関連分析を行い、関連分析の結果に基づいて、前記通信データ中の脅威データを選出することと、
キルチェーンモデルに従って、選出された各脅威データを対応するＡＰＴ攻撃段階にそれぞれマッピングすることと、
複数の前記ＡＰＴ攻撃段階に対応する防御対策に基づいて、各脅威データに関するネットワークエンティティに対して防御を行うことと、を実行させることを特徴とする防御システム。
【請求項９】
前記ＡＰＴ攻撃段階は、環境認識段階と、調査・スニッフィング段階と、標的型攻撃段階と、ツール設置段階と、不審な活動段階とを含み、
前記環境認識段階では、ネットワークにおける、攻撃者によって利用される脆弱性を検査し、
前記調査・スニッフィング段階では、前記攻撃者が被攻撃対象の脆弱性を検出し、
前記標的型攻撃段階では、前記攻撃者が前記被攻撃対象に対して攻撃を開始し、
前記ツール設置段階では、攻撃者が前記被攻撃対象の脆弱性を利用して前記被攻撃対象に攻撃ツールを埋め込み、
前記不審な活動段階では、前記攻撃者が前記被攻撃対象を制御し、ネットワークにおけるデータを取得し、また、破壊活動を行うことを特徴とする請求項８に記載のシステム。
【請求項１０】
前記通信データは、イベントと、トラフィックと、脅威情報と、脆弱性データとのうち少なくとも一つを含み、
前記イベントは、セキュリティイベントと、オペレーティングシステムイベントと、データベースイベントと、アプリケーションイベントと、認証イベントとのうち少なくとも一つを含み、
前記トラフィックは、攻撃に関する元のトラフィックと、ネットワークアクセス通信動作を記録するトラフィックログとのうち少なくとも一つを含むことを特徴とする請求項８に記載のシステム。
【請求項１１】
前記防御対策は、
脅威データが環境認識段階にマッピングされた場合、当該脅威データに基づいて脆弱性があるネットワークエンティティを特定し、特定されたネットワークエンティティに対し、パッチの適用と、安全でない配置の解消と、ウイルスの排除とのうち少なくとも一つ作業を行うことを含み、
脅威データが調査・スニッフィング段階にマッピングされた場合、設定されたアクセス制御リストＡＣＬまたはセキュリティ対策をファイアウォールＦＷ及び侵入防止システムＩＰＳへ発信し、且つ、当該脅威データに関する攻撃者のインターネットプロトコル（ＩＰ）アドレスを前記脅威データに関する制御ノードのブラックリストに追加し、
脅威データが標的型攻撃段階にマッピングされた場合、設定されたＡＣＬまたはセキュリティ対策をＦＷ及びＩＰＳへ発信し、ＡＡＡサーバーと前記脅威データに関するサーバーとを強化し、且つ、当該脅威データに関する攻撃者のＩＰアドレスを前記脅威データに関する制御ノードのブラックリストに追加し、
脅威データがツール設置段階にマッピングされた場合、設定されたＡＣＬまたはセキュリティ対策をＦＷ及びＩＰＳへ発信し、ＡＡＡサーバーと前記脅威データに関するサーバーとを強化し、ウェブサイトアプリケーションファイアウォール（ＷＡＦ）対策をＷＡＦデバイスへ発信し、且つ、当該脅威データに関する攻撃者のＩＰアドレスを、前記脅威データに関する制御ノードのブラックリストに追加し、
脅威データが不審な活動段階にマッピングされた場合、設定されたＡＣＬまたはセキュリティ対策をＦＷ及びＩＰＳへ発信し、ＡＡＡサーバーと前記脅威データに関するサーバーとを強化し、且つ、当該脅威データに関する攻撃者のＩＰアドレスを前記脅威データに関する制御ノードのブラックリストに追加することを特徴とする請求項９に記載のシステム。
【請求項１２】
前記プロセッサは、更に、前記機械実行可能命令を実行することにより、
調査・スニッフィング段階、標的型攻撃段階、ツール設置段階、不審な活動段階にマッピング的各脅威データについて、当該脅威データに関する不審なＩＰアドレスを特定することと、
前記通信データ中から当該不審なＩＰアドレスに関するイベント及びトラフィックログを照会することと、
照会されたイベント及びトラフィックログを時系列で表現することと、を実行させることを特徴とする請求項９に記載のシステム。
【請求項１３】
前記プロセッサは、更に、前記機械実行可能命令を実行することにより、
ネットワークリスク評価及びセキュリティアラーム生成のために、イベント関係分析と、ＡＰＴ攻撃段階のデータマイニング分析と、ホストディメンション分析と、アプリケーションのディメンション分析と、データベースのディメンション分析とのうち少なくとも一つ分析を行うことをさらに実行させ、
前記イベント関係分析では、イベントタイプの異なる、関連する被攻撃対象のＩＰアドレスが同じである複数のイベントを関連付け、且つ、脅威情報に記録されたＩＰアドレス、ドメイン名、ＵＲＬに基づいて、同一ＩＰアドレス、同一ドメイン名、同一ＵＲＬに関するイベントを見つけ、
前記ＡＰＴ攻撃段階のデータマイニング分析では、同一ＡＰＴ攻撃段階にマッピングされた脅威データに対し、それぞれ分析を行い、
前記ホストのディメンション分析では、前記通信データにおけるオペレーティングシステムイベントに対し、統計分析と傾向分析を行い、
前記アプリケーションのディメンション分析では、前記通信データにおけるアプリケーションイベントに対し、統計分析と傾向分析を行い、
前記データベースのディメンション分析では、前記通信データにおけるデータベースイベントに対し、統計分析と傾向分析を行うことを特徴とする請求項１０に記載のシステム。
【請求項１４】
前記制御ノードは、ＦＷと、ＡＡＡサーバーと、Ｗｉｎｄｏｗｓサーバーと、Ｌｉｎｕｘサーバーとのうち少なくとも一つを含むことを特徴とする請求項１１に記載のシステム。
【請求項１５】
機械実行可能命令を記憶する機械可読記憶媒体であって、高度で持続的な脅威（ＡＰＴ）攻撃に対する防御システムのプロセッサは、機械実行可能命令を呼び出し実行することにより、
ネットワークにおける通信データを取得することと、
前記通信データに対して関連分析を行い、関連分析の結果に基づいて、前記通信データ中の脅威データを選出することと、
キルチェーンモデルに従って、選出された各脅威データを対応するＡＰＴ攻撃段階にそれぞれマッピングすることと、
複数の前記ＡＰＴ攻撃段階に対応する防御対策に基づいて、各脅威データに関するネットワークエンティティに対して防御を行うことと、を実行させることを特徴とする機械可読記憶媒体。
【発明の詳細な説明】
【背景技術】
【０００１】
[関連する出願の参照]
本願は、２０１７年３月２７日に提出された中国特許出願第２０１７１０１８８０３８．Ｘであり、発明名称が「ＡＰＴ攻撃に対する防御方法及びシステム」である中国特許出願の優先権を主張し、当該出願の内容は全て本願に取り込まれる。
【０００２】
ＡＰＴ（Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ：高度で持続的な脅威）攻撃、通常、プロのハッカー組織および国家を背景とした攻撃組織によって実施され、政府、エネルギー、金融領域および企業に対する攻撃である。ＡＰＴ攻撃には、常に十分に計画された完全な攻撃プロセスがある。
【図面の簡単な説明】
【０００３】
【図１】本願の実施例による方法のフローチャートである。
【図２】本願の実施例による不審なＩＰアドレスに対してＡＰＴＤＳの動作軌跡分析概略図である。
【図３】本願の実施例による論理ブロック図である。
【図４】本願の実施例によるシステムのハードウェアアーキテクチャ図である。
【発明を実施するための形態】
【０００４】
以下、本開示の実施例における図面を結合し、本開示の実施例における技術方案を明瞭かつ完全に記述する。明らかに、記述される実施例は、ただ本開示の一部の実施例であり、全部の実施例ではない。本願の範囲から逸脱することなく本願の実施例に基づいて当業者によって得られる他のすべての実施例は、本願の範囲である。
【０００５】
ＡＰＴ攻撃の特性は次のとおりである。
（１）攻撃の目的はますます明確になり、攻撃の範囲はますます集中するようになり、攻撃領域は単純なコンピューターネットワークから産業用制御システムまで広がり、大企業や国のインフラストラクチャおよび重要な機器に向ける傾向がある。（２）攻撃の動作を検出するのは困難である。ＡＰＴ攻撃は、通常、ゼロデー脆弱性、新しいトロイの木馬、およびフィッシング手法を利用しているため、特徴に基づくセキュリティ検出手法によってこれに対して効果的に検出することは非常に困難である。たとえば、Ｆｌａｍｅウイルスにはワーム、バックドア、トロイの木馬、ボットネット、ソーシャルエンジニアリングなどの特徴があり、Ｆｌａｍｅウイルスのプログラムのコードサイズは６５０,０００行に達し、通常のスパイウェアの１００倍である。（３）非常に隠されており、長期間持続する。ＡＰＴ攻撃は、発生前に防衛施設からの検出を避けることができ、潜伏期間はますます長くなり、大量の機密情報を収集する。その隠蔽に基づいて、他の未発見の脅威が大量に存在する可能性があるため、国家安全保障と市民権を深刻に脅かす。
【０００６】
ＡＰＴ攻撃の特性に基づいて、キルチェーンの概念が本願の実施形態で言及され、キルチェーンには「発見⇒測位⇒追跡⇒照準⇒交戦⇒評価」の完全なプロセスを含む。キルチェーンの点から、ＡＰＴ攻撃プロセスは７つの段階に分ける。
【０００７】
第１段階は偵察（Ｒｅｃｏｎｎａｉｓｓａｎｃｅ）である。ソーシャルエンジニアリングを利用してターゲットネットワークを選択および理解し、スキャン手法を利用して宛先の脆弱性を探す。
【０００８】
第２段階は武器化（Ｗｅａｐｏｎｉｚａｔｉｏｎ）である。主に、悪意のあるコードを含むｐｄｆファイルまたはオフィスファイルなどである標的型攻撃ツールを作成する。
【０００９】
第３段階は配送（Ｄｅｌｉｖｅｒｙ）である。攻撃ツールを被攻撃対象システムへ配信する。一般的に利用される方法には、メール添付ファイル、ウェブサイト（例えば、トロイの木馬）や、Ｕディスクなどを含む。
【００１０】
第４段階はエクスプロイト（Ｅｘｐｌｏｉｔａｔｉｏｎ）である。ターゲットシステムのアプリケーションまたはオペレーティングシステムの脆弱性を利用し、ターゲットシステムで攻撃ツールの行いをトリガーする。
【００１１】
第５段階：インストール（Ｉｎｓｔａｌｌａｔｉｏｎ）である。リモート制御プログラム（トロイの木馬や、悪意プラグインなど）をインストールする。
【００１２】
第６段階：指令＆制御（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）である。インターネット制御サーバー（例えば、トロイの木馬を制御するサーバー）に通信チャネルを確立する。
【００１３】
第７段階：対象に対しての動作（Ａｃｔｉｏｎｓ ｏｎ Ｏｂｊｅｃｔｉｖｅｓ）である。必要な攻撃動作を行い、例えば、情報の盗用、情報の改ざんや他の妨害活動の行いなどである。
【００１４】
しかし、上記の７つの段階の各段階において検出されるわけではない。例えば、武器化段階では、ネットワークにトレースが存在しない可能性があるため、検出されることはできない。したがって、本願には、上記のキルチェーンモデルに基づいて、ＡＰＴ攻撃プロセスを新たな複数の検出可能のＡＰＴ攻撃段階に区分し、ネットワークに現す脅威を相応的に検出可能のＡＴＰ攻撃段階に分類し、各ＡＰＴ攻撃段階に分類された脅威に対して特定の防御対策を採用する。
【００１５】
以下では、図１を参照し、本願に係る方法について説明する。
図１は、本願に係る方法のフローチャートである。当該方法は、例として、本願に係るＡＰＴ攻撃防御システム（ＡＰＴ Ｄｅｆｅｎｓｅ Ｓｙｓｔｅｍ、以降ＡＰＴＤＳと呼び）に適用可能である。図１に示すように、この方法は、下記のステップを含む。
【００１６】
ステップ１０１：ＡＰＴＤＳはネットワークにおける通信データを取得する。
本願の例で、通信データはイベントと、トラフィックと、脅威情報と、脆弱性データとを含む。さらに、イベントはセキュリティイベントと、オペレーティングシステムイベントと、データベースイベントと、アプリケーションイベントと、認証イベントとを含む。トラフィックは、ＡＰＴ攻撃に関する元のトラフィックと、ネットワークアクセス通信動作を記録するためのトラフィックログとを含む。
【００１７】
次に、上記の各種通信データの収集プロセスについて説明する。ＡＰＴＤＳが積極的に各通信データ源から通信データを取得してもよく、各通信データ源が積極的に新しい通信データをＡＰＴＤＳへ送信してもよく、本願に限定されない。
【００１８】
（１）イベントの収集
イベントはセキュリティ検出機能を持つエンティティからのものであってもよく、例えば、ＦＷ（Ｆｉｒｅｗａｌｌ：ファイアウォール）やＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ：侵入防止システム）、オペレーティングシステム（例えば、Ｗｉｎｄｏｗｓ（登録商標））、データベース、ＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ, Ａｕｔｈｏｒｉｚａｔｉｏｎ ａｎｄ Ａｃｃｏｕｎｔｉｎｇ：認証・許可・課金）サーバー、アプリケーションなどである。前記エンティティは、異常な状況を発見した場合、或いは、注意が必要なイベントを検出した場合、対応の記録を行う。
【００１９】
例えば、ＦＷまたはＩＰＳは、いずれの送信元ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスからのＤＤＯＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ：分散型サービス停止）攻撃があると判断すると、セキュリティイベントとして、ＤＤＯＳ攻撃の送信元ＩＰアドレスや、攻撃された対象的ＩＰアドレスなどの情報を記録する。ＡＡＡサーバーは、いずれのＩＰアドレスが認証を行っていることを検出すると、認証イベントとして、認証状況（例えば、成功または失敗、パスワードを推測する動作があるかどうか）をローカルサーバーに記録する。アプリケーションは、配置データがいずれのＩＰアドレスによって盗取されることや変更されること、削除されることなどの脅威動作を検出すると、アプリケーションイベントとして記録する。データベースは、特権の昇格や、ＳＱＬ（Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ：構造化照会言語）の埋め込みなどの当該データベースに対する脅威動作を検出すると、データベースイベントとして記録する。
【００２０】
イベントが生成された後、前記セキュリティ検出機能を持つエンティティは、標準的なＳｙｓｌｏｇ（システムログに記録する機能を持つ関数）にてイベントをＡＰＴＤＳへ送信してもよい。あるいは、前記セキュリティ検出機能を持つエンティティがイベントをローカルファイルに記録し、且つ、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ：ハイパーテキスト転送プロトコル）や、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ：ファイル転送プロトコルなどのプロトコルを介して、ＡＰＴＤＳに取得されてもよい。あるいは、ＡＰＴＤＳプロキシが実現され、ＡＰＴＤＳプロキシを前記セキュリティ検出機能が持たれるエンティティにインストールしてイベントを取得し、且つ、ＡＰＴＤＳプロキシとＡＰＴＤＳと間の独自プロトコル（例えば、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ：ユーザーデータレポートプロトコル）に基づく独自プロトコル）を介して当該イベントをＡＰＴＤＳへ発信してもよい。ＡＰＴＤＳによって収集されたイベントタイプと、対応する収集ポイント及び収集技術を表１に示す。
【００２１】
【表１】
0006894003.tif 000002
【００２２】
ＡＰＴＤＳは、イベントを取得した後、イベントをフォーマット標準化にする。即ち、各元のイベントをＡＰＴＤＳの標準形式のイベントとしており、ローカルデータベースに書き込む。
【００２３】
（２）トラフィックの収集
トラフィック収集は、攻撃の証拠の保存及び審査のために、攻撃に関する元のトラフィックを収集することを含む。一方、ネットワークに異常があるかどうかの判断及びその後のデータ分析のために、ユーザーネットワークアクセス通信動作を記録するトラフィックログを収集することを含む。
【００２４】
ここでは、攻撃に関する元のトラフィックを収集することは以下の通りである。セキュリティイベントを送信するエンティティネットワークデバイスによって、攻撃に関するイベントに応じる元のトラフィックをファイルに書き込み、そのファイルをＦＴＰでＡＰＴＤＳにアップロードし、ＡＰＴＤＳがそのファイルを受信して後で利用できるようにローカルデータベースに保存する。
【００２５】
トラフィックログを収集することは以下の通りである。一般的に、ＦＷやＩＰＳ、スイッチ、ルーターなどのネットワークデバイスによって、ハードウェアカードまたはデバイスソフトウェアに処理されたトラフィックをトラフィックログに記録して，トラフィックログをＡＰＴＤＳに転送する。普通に、トラフィックログの形式は、ＮｅｔＦｌｏｗ形式や、ＮｅｔＳｔｒｅａｍ形式などがある。ＡＰＴＤＳは、受信されたトラフィックログを分析し、フォーマットを正規化し、ローカルデータベースに書き込む。
【００２６】
（３）脅威情報の収集
脅威情報には、主に、脅威があるＩＰアドレスや、ドメイン名、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ：ユニフォームリソースロケータ）、イベント証拠、脅威解決案などの情報を記録する。ＡＰＴＤＳは、ＳＴＩＸ（Ｓｔｒｕｃｔｕｒｅｄ Ｔｈｒｅａｔ Ｉｎｆｏｒｍａｔｉｏｎ ｅＸｐｒｅｓｓｉｏｎ）またはＴＡＸＩＩ（Ｔｒｕｓｔｅｄ Ａｕｔｏｍａｔｅｄ ｅＸｃｈａｎｇｅｏｆ Ｉｎｄｉｃａｔｏｒ Ｉｎｆｏｒｍａｔｉｏｎ）プロトコルを介して、脅威情報元と対話し、脅威情報データを取得してローカルデータベースに書き込む。脅威情報元は、例えば、ＴｈｒｅａｔＢｏｏｋや３６０Ｓｅｃｕｒｉｔｙなどがある。
【００２７】
ＡＰＴＤＳは、脅威情報に記録されたＩＰアドレスとドメイン名とＵＲＬを、ネットワーク内のイベントと関連付け、ネットワークの脅威をより速くかつ正確に検出できる。
【００２８】
（４）脆弱性データの収集
本願の例で、ＡＰＴ攻撃が、ホスト、Ｗｅｂ、データベースの脆弱性を利用してターゲットネットワークを侵害する可能性を考慮する。このため、ＡＰＴＤＳは、事前に脆弱性スキャンを行ってネットワークにおいてＡＰＴ攻撃に利用されやすい脆弱性があるかどうかを判断する。脆弱性スキャンの内容は、ホスト、Ｗｅｂ、データベース、ネットワークデバイスにおける脆弱性と、ホストにおける違法プログラムとを含み、ＡＰＴ攻撃に利用されやすい脆弱性は、システム配置不備や、システムパッチの更新がタイムリーではないこと、弱いパスワード、インストールすべきでないソフトウェア、発生すべきでないプロセスが存在することなどを含む。
【００２９】
ＡＰＴＤＳは、脆弱性スキャンサーバーとして脆弱性スキャンの作業を行ってスキャン結果を取得してもよく、脆弱性スキャンソフトウェアにより提供される外部インターフェイスを介して脆弱性スキャンソフトウェアのスキャン結果を取得してもよい。ＡＰＴＤＳは、スキャン結果を取得してローカルデータベースに書き込む。
【００３０】
ステップ１０２：ＡＰＴＤＳは、通信データに対して関連分析を行い、関連分析の結果に基づいて、通信データ中の脅威データを選出する。
【００３１】
関連分析は、データ融合技術であり、データ間の相互関係を検討し、脅威データに対する過少申告率及び偽陽性率を低減するように、マルチソースデータの結合、相関、組合が行われる。
【００３２】
例えば、脅威情報に記録されたＩＰアドレスとドメイン名とＵＲＬに基づいて、同一ＩＰアドレスや同一ドメイン名や同一ＵＲＬに係るイベント及びトラフィックログ記録を通信データから選出して脅威データとして表記する。
【００３３】
また、例えば、キーワード検索によってデリケートな言葉に関するログ記録をトラフィックログ中から選出し、ログ記録に記載された送信元ＩＰアドレスや、ソースポートなどの情報に基づいて、関連イベントを通信データ中から選出して脅威データとして表記する。
【００３４】
ステップ１０３：ＡＰＴＤＳは、選出された脅威データのそれぞれを、対応するＡＰＴ攻撃段階にマッピングする。ＡＰＴ攻撃段階は、キルチェーンモデルに従って定義されたものである。
【００３５】
上述のように、本願の例で、キルチェーンモデルに基づいて、事前にＡＰＴ攻撃プロセスを複数の検出可能なＡＰＴ攻撃段階に分けることができる。ＡＰＴＤＳは、選出された各脅威データを、その特性に基づいて、対応するＡＰＴ攻撃段階にマッピングする。
【００３６】
ＡＰＴ攻撃プロセスを複数のＡＰＴ攻撃段階に分ける実現形式が多数あるが、簡単な実現形式を次に示す。
【００３７】
一実施形態で、ＡＰＴ攻撃プロセスは、以下の５つの段階に分けられる。
（１）環境認識段階では、ネットワークにおける攻撃者に利用されやすい脆弱性を検出する。
【００３８】
ＡＰＴ攻撃が、ホスト、Ｗｅｂ、データベースの脆弱性を利用して被攻撃対象ネットワークへ攻撃できるので、ＡＰＴＤＳは、予め脆弱性スキャンを行い、スキャン結果の脆弱性データに基づいて、ネットワークにおいて攻撃者に利用されやすい脆弱性があるか否かを判断する。脅威データにおいて脆弱性データを含む場合、ＡＰＴＤＳが脅威データにおける脆弱性データを環境認識段階にマッピングする。
【００３９】
（２）調査・スニッフィング段階では、攻撃者が被攻撃対象の脆弱性を検出する。
攻撃者は、システムスキャンやポートスキャン、脆弱性スキャン、プロトコルスキャンなどを利用し、被攻撃対象に脆弱性があるかどうか、攻撃される可能性があるかどうかを確認する。したがって、ＡＰＴＤＳは、脅威データに含まれるイベントのタイプ（ポートスキャン、過剰なｐｉｎｇパケットなど）を選出し、イントラネットスキャン動作に関するイベントを調査・スニッフィング段階にマッピングする。
【００４０】
（３）標的型攻撃段階では、攻撃者が被攻撃対象に対して攻撃を開始する。
攻撃者は、被攻撃対象に対して攻撃を開始する場合、ホストブラストやＰｉｎｇ ｔｏ Ｄｅａｌｔｈ、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ：Ｉｎｔｅｒｎｅｔ制御メッセージプロトコル）フラッディングなどの手段によって、被攻撃対象にログインすることや被攻撃対象にＤＯＳ攻撃することなどの破壊活動を行う。これらの攻撃は、ＦＷによって発見され、ＡＰＴＤＳに報告される。ＡＰＴＤＳは、脅威データに含まれるこれらのタイプのイベントを、標的型攻撃段階にマッピングする。
【００４１】
（４）ツール設置段階では、攻撃者が被攻撃対象の脆弱性を利用して被攻撃対象に攻撃ツールを埋め込む。
【００４２】
攻撃者が被攻撃対象の脆弱性を利用して被攻撃対象に攻撃ツールを埋め込む動作は、ＩＰＳまたはＷＡＦ（Ｗｅｂ Ａｐｐｌｌｉｃａｔｉｏｎ Ｆｉｒｅｗａｌｌ）デバイスによって発見され、ＡＰＴＤＳに報告される。ＡＰＴＤＳは、脅威データにおける拡張スクリプト攻撃、バッファオーバーフロー攻撃、ＳＱＬ埋め込む攻撃のイベントを、ツール設置段階にマッピングする。
【００４３】
（５）不審な活動段階では、攻撃者が被攻撃対象を制御してネットワークにおけるデータを取得し、また、その他の破壊活動を行う。
【００４４】
この段階による攻撃は、ワーム攻撃や、スパイソフトウェア攻撃や、違法データ転送などがある。ワーム攻撃や、スパイソフトウェア攻撃などは、ＩＰＳによって発見され、ＡＰＴＤＳに報告される。ＡＰＴＤＳは、収集されたトラフィックログを分析して、違法データ転送があるかどうかを判断する。例えば、ＡＰＴＤＳは、海外へ送信禁止の社内給与ファイルが海外のＩＰアドレスに送信されたことを、審査して発見した場合、違法データ転送イベントとして確認する。ＡＰＴＤＳは、脅威データにおけるワーム攻撃、スパイソフトウェア攻撃、違法データ転送的イベントを、不審な活動段階にマッピングする。
【００４５】
ＡＰＴＤＳは、脅威データを識別してＡＰＴ攻撃段階にマッピングした後、各ＡＰＴ攻撃段階について脅威データ統計及び画面表示を行う。例えば、ＡＰＴＤＳは、１日を予定の複数の期間に分割し、画面の所定の位置にある各ドットは、対応する日付の対応する期間においてＡＰＴ攻撃段階に対応する脅威データが現れたことを示す。統計された脅威データの量が多いほど、ドットのサイズが大きくなる。
【００４６】
ステップ１０４：ＡＰＴＤＳは、各脅威データについて、前記脅威データがマッピングされた前記ＡＰＴ攻撃段階に対応する防御対策に従って、前記脅威データに関するネットワークエンティティに対して防御を行う。
【００４７】
本願の例で、事前に分けられた複数のＡＰＴ攻撃段階について、それぞれ防御対策を定義される。
【００４８】
例えば、ＡＰＴ攻撃プロセスを、環境認識段階、調査・スニッフィング段階、標的型攻撃段階、ツール設置段階、不審な活動段階という５段階に分ける前記の例で、次のように、ＡＰＴＤＳにおいて事前に防御対策を定義する。
【００４９】
（１）脅威データが環境認識段階にマッピングされた場合、ＡＰＴＤＳは、当該脅威データに基づいて脆弱性があるネットワークエンティティを特定する。脆弱性アラームを発出することにより、特定されたネットワークエンティティに対し、パッチの適用や配置不備の解消、ウイルスの排除などの作業するように、ユーザーへ促す。
【００５０】
（２）脅威データが調査・スニッフィング段階にマッピングされた場合、ＡＰＴＤＳは、設定されたＡＣＬ（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ：アクセス制御リスト）またはセキュリティ対策をＦＷとＩＰＳへ発信し、且つ、当該脅威データに関する攻撃者のＩＰアドレスを脅威データに関するネットワークノードのブラックリストに記入する。ここでは、前記ネットワークノードは、ネットワークにおける制御機能や認証機能、転送機能、ルーティング機能、サービス提供機能などの機能を持つデバイスであり、例えば、スイッチやルーター、データベースサーバー、ＳＤＮコントローラー、認証サーバー、Ｗｅｂサーバー、Ｗｉｎｄｏｗｓサーバー、Ｌｉｎｕｘ（登録商標）サーバーなどを含む。一実施形態で、前記ネットワークノードは、制御ノードである。例えば、外部ネットワークからの脅威データの場合、制御ノードはＦＷであり、内部ネットワークからの脅威データの場合、制御ノードはＡＡＡサーバーＦＷである。ＡＰＴＤＳと、ＦＷおよびＩＰＳと間の通信プロトコルは、ＴｅｌｎｅｔやＳＳＨ、ＮｅｔＣｏｎｆ（ネットワーク配置プロトコル）などを含む。ＡＰＴＤＳは、ＲＥＳＴ（Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ）、ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）を介してＡＡＡサーバーを配置する。
【００５１】
（３）脅威データが標的型攻撃段階にマッピングされた場合、ＡＰＴＤＳは、設定されたＡＣＬとセキュリティ対策をＦＷ及びＩＰＳに発信し、ＡＡＡサーバーと脅威データに関するサーバーとを強化し、且つ、当該脅威データに関する攻撃者のＩＰアドレスを脅威データに関する制御ノードのブラックリストに追加する。ＡＡＡサーバーと脅威データに関するサーバーとを強化する作業は、サーバーへのパッチの適用や、ポートのクローズ作業などを含む。
【００５２】
（４）脅威データがツール設置段階にマッピングされた場合、ＡＰＴＤＳは、設定されたＡＣＬ、またはセキュリティ対策をＦＷ及びＩＰＳに送信し、ＡＡＡサーバーと脅威データに関するサーバーとを強化し、ＷＡＦ対策をＷＡＦデバイスに送信し、且つ当該脅威データに関する攻撃者のＩＰアドレスを脅威データに関する制御ノードのブラックリストに追加する。ＡＰＴＤＳは、ＲＥＳＴ、ＡＰＩを介して、ＷＡＦデバイスを配置する。
【００５３】
（５）脅威データが不審な活動段階にマッピングされた場合、ＡＰＴＤＳは、設定されたＡＣＬ、またはセキュリティ対策を、ＦＷ及びＩＰＳに発信し、ＡＡＡサーバーと脅威データに関するサーバーとを強化し、且つ当該脅威データに関する攻撃者のＩＰアドレスを脅威データに関する制御ノードのブラックリストに追加する。
【００５４】
ここまでは、図１に示すフローを完成する。
図１に示すフローからわかるように、本願の例で、イベントや、トラフィックや、脅威情報や、脆弱性データなどのマルチソースデータを収集したので、より多い種類のデータを収集され、データ関連分析によって脅威データを選出し、選出された脅威データが対応するＡＰＴ攻撃段階にマッピングされ、異なるＡＰＴ攻撃段階に対して対応する防御対策が採用されるため、ＡＰＴ攻撃処理はよりターゲットを絞り、ＡＰＴ攻撃に対してより効果的に検出して対応することができる。
【００５５】
本願の例では、ＡＰＴＤＳは、取得されたネットワーク内の通信データに対して以下の分析のうちの１つ以上を行い、ＡＰＴ攻撃をより完全に特徴付けて提示することができる。
【００５６】
（１）動作軌跡分析
調査・スニッフィング段階、標的型攻撃段階、ツール設置段階、不審な活動段階にマッピングされた各脅威データについて、ＡＰＴＤＳは、脅威データに関する不審なＩＰアドレスを特定し、取得されたすべての通信データから不審なＩＰアドレスに関するイベント及びトラフィックログを照会し、照会されたイベント及びトラフィックログを時系列で表示する。
【００５７】
このように、不審なＩＰアドレスに関するすべての通信データが選出され、完全なＡＰＴ攻撃タイムチェーンに形成される。
【００５８】
図２は、本願の例によるＡＰＴＤＳが不審なＩＰアドレスに対して動作軌跡分析を行う概略図である。図２からわかるように、ＡＰＴＤＳによる動作軌跡分析は、複数のデータ源、複数の種類のタイプのイベントまたはログデータを統合し、不審なＩＰアドレスの視点からそれに関する全てのイベント及びログデータを表示できる。そのうち、脅威データが選出された際に、選出されないデータ（図２で、０８:０２:１３のＡＡＡ認証ＯＫのイベント、及び０８:０２:１８の１０．１５３．８９．８２へログインＯＫのイベント）も含まれる。
【００５９】
（２）マルチディメンション分析
ＡＰＴＤＳは１日に数十万の通信データを収集する場合があり、ユーザーは各通信データに注意を払う時間がないため、ＡＰＴＤＳは、ネットワークリスク評価とセキュリティアラーム生成のために、これらの通信データを異なるディメンションから分析する。したがって、ユーザーはネットワークのセキュリティ状況とＡＰＴ攻撃ステータスを完全に認識する。具体的には、以下のディメンションを含む。
【００６０】
ディメンション１はイベント関係分析である。イベントタイプが異なる、関連する被攻撃対象のＩＰアドレスが同じである複数のイベントを関連付け、且つ、脅威情報に記録されたＩＰアドレス、ドメイン名、ＵＲＬに基づいて、同一ＩＰアドレス、同一ドメイン名、同一ＵＲＬに関するイベントを見つける。
【００６１】
イベント関係分析は、標的型ブラストやＤＤＯＳ攻撃、不審な特権の昇格動作などのセキュリティイベントとその他のタイプイベントと間の関係を分析する。例えば、ファイアウォールが、ｔ１時点においてネットワークにＤＤＯＳ攻撃があると報告することを想定し、ＡＰＴＤＳは正規表現によって、ローカルデータベースからｔ１時点の後で報告された、且つＤＤＯＳ攻撃の攻撃目標のＩＰアドレスに関するイベントを照会する。ＡＰＴＤＳは、ホストのＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）の利用率が高すぎになったこと、且つ、当該ホストのＩＰアドレスと当該ＤＤＯＳ攻撃の攻撃目標のＩＰアドレスとが同じであることと報告するために用いられるオペレーティングシステムイベントを照会された場合に、当該ＤＤＯＳ攻撃が達成になったと確認する。
【００６２】
一方、イベント関係分析は、脅威情報データとネットワーク内イベントとの関係を分析する。例えば、ＡＰＴＤＳは、脅威情報元によって配信された悪意ＩＰアドレス、悪意ドメイン名、悪意ＵＲＬに関するイベントがネットワーク内において現すことを検出すれば、すぐにセキュリティアラームを発生する。
【００６３】
ディメンション２はＡＰＴ攻撃段階のデータマイニング分析である。同一ＡＰＴ攻撃段階にマッピングされた脅威データに対し、傾向分析や、円グラフ分析などの分析を行う。
【００６４】
ＡＰＴＤＳは、調査対象のＡＰＴ攻撃段階を特定し、ローカルデータベースからＡＰＴ攻撃段階にマッピングされた履歴脅威データを選出する。このとき、すべでの履歴脅威データを選出してもよく、設定期間内の履歴脅威データを選出してもよい。その後、ＡＰＴＤＳは、脅威データをさまざまな調査観点から整理して表現する。この調査観点は、ユーザーがＡＰＴＤＳのインターフェイスを介して配置される。
【００６５】
例えば、ＡＰＴＤＳは、将来の特定の時間に標的型攻撃の発生数を調査する場合、ローカルデータベースから連続した複数日にわたる脅威データを選出し、既存の傾向分析ツールに利用し、例えば、傾向線であり、標的型攻撃段階に関する脅威データ的増減変動方向と幅を取得し、将来の標的型攻撃の発生数を取得する。ＡＰＴＤＳは、標的型攻撃の発生源を調査する場合、選出された標的型攻撃段階に関する脅威データに基づいて、関連するネットワークセグメントから開始された標的型攻撃の数の統計結果を円グラフ形式で表現し、標的型攻撃の数が多いネットワークセグメントについて調査することを、ユーザーへ促す。
【００６６】
ディメンション３はホストのディメンション分析である。通信データにおけるオペレーティングシステムイベントに対して統計分析と傾向分析を行う。
【００６７】
ＡＰＴＤＳは、ローカルデータベースからオペレーティングシステムイベントを選出し、選出されたオペレーティングシステムイベントをさまざまな調査観点から整理して表現する。
【００６８】
例えば、イベントのレベル（警告レベルや通知レベル、エラーレベルなど）の観点から、或いは、イベントのタイプ（オペレーティングシステムのログインやオペレーティングシステムの登録解除、アカウントの追加、アカウントの変更など）の観点から、或いは、オペレーティングシステムのタイプ（ＷｉｎｄｏｗｓシステムやＬｉｎｕｘシステムなど）の観点から、選出された通信データのそれぞれを分類し、分類結果に基づいて円グラフを描画し、さまざまな観点での各オペレーティングシステムイベントの割合を取得する。
【００６９】
ディメンション４：アプリケーションのディメンション分析では、通信データにおけるアプリケーションイベントに対して統計分析と傾向分析を行う。
【００７０】
ＡＰＴＤＳは、ネットワーク内にアプリケーションによって報告されたアプリケーションイベントを選出し、選出されたアプリケーションイベントを、さまざまな調査観点から整理して表現する。
【００７１】
例えば、イベントのレベルがエラーレベルまたは警告レベルであるアプリケーションイベントを選出し、アプリケーションのタイプ（ソーシャルアプリケーション類や地図ナビゲーション類、通話通信類、オンラインショッピングの支払い類など）の観点から、選出されたアプリケーションイベントを分類し、どのタイプのアプリケーションが攻撃に最も弱いであるか統計し、そのタイプのアプリケーションの保護を強化するようユーザーへ促す。
【００７２】
ディメンション５はデータベースのディメンション分析である。通信データにおけるデータベースイベントについて統計分析と傾向分析を行う。
【００７３】
ＡＰＴＤＳは、ネットワーク内のデータベースによって報告されたデータベースイベントを選出し、選出されたデータベースイベントを、さまざまな調査観点から整理して表現する。
【００７４】
例えば、イベントのレベルがエラーレベルまたは警告レベルであるデータベースイベントを選出し、脅威のタイプ（特権の利用や特権の昇格、ＳＱＬ埋め込み、不十分な認証、バックアップデータの公開など）の観点から、選出されたアプリケーションイベントを分類し、各データベース脅威のタイプにおいてデータベースイベントの発生回数を統計し、どのタイプの脅威がデータベースへの影響が最大であるかを、ユーザーへ示す。
【００７５】
以上、本願による方法を説明した。以下、本願によるシステムを説明する。
図４は、本願の実施例によるＡＰＴ攻撃に対する防御のシステムのハードウェア構成図である。ＡＰＴ攻撃に対する防御のシステム４０は、プロセッサ４１と、機械可読記憶媒体４２とを含む。プロセッサ４１と機械可読記憶媒体４２とは、システムバス４３を介して通信する。そして、プロセッサ４１は、機械可読記憶媒体４２に記憶されたＡＰＴ攻撃に対する防御の論理３０に対応する機械実行可能命令を読出して実行することにより、前記ＡＰＴ攻撃に対する防御方法を行う。
【００７６】
ここで、機械可読記憶媒体４２は、電子、磁気、光学または他の物理的記憶装置であってもよく、情報（例えば、実行可能な命令、データ）を格納や記憶してもよい。例えば、前記機械可読記憶媒体４２は、 揮発性メモリ、不揮発性メモリ、その他のタイプ記憶媒体のうち少なくとも１つのタイプの記憶媒体を含む。例えば、可読記憶媒体は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、フラッシュメモリ、ストレージドライブ（例えば、ハードディスクドライバ）、ソリッドステートドライブ、ストレージディスク（例えば、コンパクトディスク、ＤＶＤ）である。
【００７７】
図３は、本願によるＡＰＴ攻撃に対する防御のシステムの機能モジュールの論理ブロック図である。その中には、
ネットワークにおける通信データを取得するデータ取得ユニット３０１と、
前記通信データに対して関連分析を行い、関連分析の結果に基づいて前記通信データ中の脅威データを選出するデータ関連ユニット３０２と、
キルチェーンモデルに従って、選出された各脅威データを対応するＡＰＴ攻撃段階にそれぞれマッピングするキルチェーン分析ユニット３０３と、
複数の前記ＡＰＴ攻撃段階に対応する防御対策に基づいて、各脅威データに関するネットワークエンティティに対して防御を行う防御配備ユニット３０４と、を含む。
【００７８】
一実施形態では、前記ＡＰＴ攻撃段階は、ネットワークにおける、攻撃者によって利用される脆弱性を検出する環境認識段階と、攻撃者が被攻撃対象に脆弱性があるかどうか検出する調査・スニッフィング段階と、攻撃者は被攻撃対象へ攻撃を開始する標的型攻撃段階と、攻撃者が被攻撃対象の脆弱性を利用して被攻撃対象に攻撃ツールを埋込むツール設置段階と、攻撃者が被攻撃対象を制御してネットワークにおけるデータを取得したり、その他の破壊活動を行ったりする不審な活動段階と、を含む。
【００７９】
一実施形態では、前記通信データは、イベント、トラフィック、脅威情報、脆弱性データのうち少なくとも一つを含む。前記イベントは、セキュリティイベント、オペレーティングシステムイベント、データベースイベント、アプリケーションイベント、認証イベントのうち少なくとも一つを含む。前記トラフィックは、攻撃に関する元のトラフィック、ネットワークアクセス通信動作を記録するトラフィックログのうち少なくとも一つを含む。
【００８０】
一実施形態では、前記防御対策は、
脅威データが環境認識段階にマッピングされた場合、前記防御配備ユニット３０４は、脅威データに基づいて、脆弱性があるネットワークエンティティを特定し、特定されたネットワークエンティティに対し、パッチ適用、安全でない配置の解消、ウイルスの排除作業のうち少なくとも一つ作業を行い、
脅威データが調査・スニッフィング段階にマッピングされた場合、前記防御配備ユニット３０４は、設定されたＡＣＬ、またはセキュリティ対策を、ＦＷ及びＩＰＳへ発信し、且つ、脅威データに関する攻撃者のＩＰアドレスを、前記脅威データに関する制御ノードのブラックリストに追加し、
脅威データが標的型攻撃段階にマッピングされた場合、前記防御配備ユニット３０４は、設定されたＡＣＬ、またはセキュリティ対策を、ＦＷ及びＩＰＳへ発信し、ＡＡＡサーバーと前記脅威データに関するサーバーとを強化し、且つ、脅威データに関する攻撃者のＩＰアドレスを、前記脅威データに関する制御ノードのブラックリストに追加し、
脅威データがツール設置段階にマッピングされた場合、前記防御配備ユニット３０４は、設定されたＡＣＬ、またはセキュリティ対策を、ＦＷ及びＩＰＳへ発信し、ＡＡＡサーバーと前記脅威データに関するサーバーを強化し、ＷＡＦ対策ＷＡＦデバイスへ発信し、且つ、脅威データに関する攻撃者のＩＰアドレスを前記脅威データに関する制御ノードのブラックリストに追加し、
脅威データが不審な活動段階にマッピングされた場合、前記防御配備ユニット３０４は、設定されたＡＣＬ、またはセキュリティ対策を、ＦＷ及びＩＰＳへ発信し、ＡＡＡサーバーと前記脅威データに関するサーバーとを強化し、且つ、脅威データに関する攻撃者のＩＰアドレスを、前記脅威データに関する制御ノードのブラックリストに追加する。
【００８１】
一実施形態では、前記システムは、動作軌跡分析ユニットを更に含む。
動作軌跡分析ユニットは、調査・スニッフィング段階、標的型攻撃段階、ツール設置段階、不審な活動段階にマッピング的各脅威データについて、当該脅威データに関する不審なＩＰアドレスを特定し、前記通信データ中から当該不審なＩＰアドレスに関するイベント及びトラフィックログを照会し、照会されたとイベント及びトラフィックログを時系列で表現する。
【００８２】
一実施形態で、前記システムは、マルチディメンション分析ユニットを更に含む。
マルチディメンション分析ユニットは、ネットワークリスク評価とセキュリティアラーム生成のために、以下のうち少なくとも１つの分析を行う。
【００８３】
前記少なくとも１つの分析は、イベント関係分析と、ＡＰＴ攻撃段階のデータマイニング分析、ホストディメンション分析と、アプリケーションディメンション分析と、データベースディメンション分析とを含む。
【００８４】
イベント関係分析では、イベントタイプの異なる、関連する被攻撃対象のＩＰアドレスが同じである複数のイベントを関連付け、且つ、脅威情報に記録されたＩＰアドレス、ドメイン名、ＵＲＬに基づいて、同一ＩＰアドレス、同一ドメイン名、同一ＵＲＬに関するイベントを見つける。
【００８５】
ＡＰＴ攻撃段階のデータマイニング分析では、同一ＡＰＴ攻撃段階にマッピングされた脅威データに対し、それぞれ分析を行う。
【００８６】
ホストのディメンション分析では、前記通信データにおけるオペレーティングシステムイベントに対し、統計分析と傾向分析を行う。
【００８７】
アプリケーションのディメンション分析では、前記通信データにおけるアプリケーションイベントに対し、統計分析と傾向分析を行う。
【００８８】
データベースのディメンション分析では、前記通信データにおけるデータベースイベントに対し、統計分析と傾向分析を行う。
【００８９】
ここまでは、図３に示すシステムの説明を完成する。
装置実施例は、基本的に方法実施例に対応するため、関連箇所は、方法実施例の部分の説明を参照すれば良い。以上記述された装置実施例は、ただ模式的なものであり、その中で記載された分離部品として説明されたユニットは、物理的に分かれていてもいなくても良く、ユニットとして表示された部品は、物理ユニットであってもなくても良く、即ち、一つの場所に位置しても良く、又は複数のネットワークユニットに分布されても良い。実際の必要に基づいてそのうち一部又は全部のモジュールを選んで本実施例の方案の目的を実現する。当業者は、進歩性に値する労働をせずに、理解し実施可能である。
【００９０】
説明すべきことは、本明細書において、第１、第２等のような関係用語は、ただ一つの実体又は操作を、他の実体又は操作と区別するためであり、必ずしもこれらの実体又は操作の間に、如何なるこのような実際的な関係又は手順が存在することを要求又は暗示するものではない。用語である「含む」、「含有」又はその如何なる変形は、非排他的な含有を網羅することを意図し、従って一連の要素を含む過程、方法、品物又は設備が、これらの要素だけでなく、明確に列挙されていない他の要素も含むか、或いは、このような過程、方法、品物又は設備に固有の要素を更に含むようにする。更なる制限がない場合、文章である「一つの……を含む」により限定される要素は、前記要素を含む過程、方法、品物又は設備の中に、別の同一の要素が更に存在することを排除しない。
【００９１】
以上、本開示の実施例が提供する方法及び装置を詳細に紹介し、本文において具体的な例を応用して本開示の原理及び実施形態に対して記述した。以上の実施例の説明は、ただ本開示の発明メカニズム及びその核となる思想の理解を促進するために用いられる。一方、本分野における通常の知識を有する者にとって、本開示の思想に基づいて、具体的な実施形態及び応用範囲上で変更箇所があるだろう。要約すると、本明細書の内容は、本開示に対する制限として理解されるべきではない。
【図１】
0006894003.tif 000003
【図２】
0006894003.tif 000004
【図３】
0006894003.tif 000005
【図４】
0006894003.tif 000006