(57)【要約】  セキュリティ分析支援装置１０は、組織のネットワークシステムにおけるセキュリティ分析を支援するための装置である。セキュリティ分析支援装置１０は、ネットワークシステムで発生したアラートを取得する、分析対象取得部１１と、組織を構成する部署及び部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、情報取得部１２と、取得されたアラートを組織アドレス情報に照合して、組織の部署毎に、アラートの発生傾向を分析する、分析部１３と、分析部１３による分析の結果を可視化する、可視化部１４と、を備えている。
2020084675.tif 000002
【特許請求の範囲】
【請求項１】
組織のネットワークシステムにおけるセキュリティ分析を支援するための装置であって、
前記ネットワークシステムで発生したアラートを取得する、分析対象取得部と、
前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、情報取得部と、
前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、分析部と、
前記分析部による分析の結果を可視化する、可視化部と、
を備えている、ことを特徴とするセキュリティ分析支援装置。
【請求項２】
請求項１に記載のセキュリティ分析支援装置であって、
前記組織を構成する部署、前記部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する、組織情報取得部と、
前記組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員の前記メールアドレスとそれに対応するＩＰアドレスとを特定し、更に、特定結果を前記組織情報に照合して、前記組織アドレス情報を生成する、情報生成部と、
を更に備えている、
ことを特徴とするセキュリティ分析支援装置。
【請求項３】
請求項１または２に記載のセキュリティ分析支援装置であって、
前記分析部が、前記組織の部署毎に、アラートの発生数を算出することによって、前記アラートの発生傾向を分析する、
ことを特徴とするセキュリティ分析支援装置。
【請求項４】
請求項１〜３のいずれかに記載のセキュリティ分析支援装置であって、
前記組織が、階層的な構成を有する場合に、
前記分析部が、上位の部署から下位の部署まで、部署毎に、前記アラートの発生傾向を分析し、
前記可視化部が、上位の部署から下位の部署まで、部署毎に、前記分析の結果を可視化する、
ことを特徴とするセキュリティ分析支援装置。
【請求項５】
組織のネットワークシステムにおけるセキュリティ分析を支援するための方法であって、
（ａ）前記ネットワークシステムで発生したアラートを取得する、ステップと、
（ｂ）前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、ステップと、
（ｃ）前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、ステップと、
（ｄ）前記（ｃ）のステップによる分析の結果を可視化する、ステップと、
を有する、ことを特徴とするセキュリティ分析支援方法。
【請求項６】
請求項５に記載のセキュリティ分析支援方法であって、
（ｅ）前記組織を構成する部署、前記部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する、ステップと、
（ｆ）前記組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員の前記メールアドレスとそれに対応するＩＰアドレスとを特定し、更に、特定結果を前記組織情報に照合して、前記組織アドレス情報を生成する、ステップと、
を更に有する、
ことを特徴とするセキュリティ分析支援方法。
【請求項７】
請求項５または６に記載のセキュリティ分析支援方法であって、
前記（ｃ）のステップにおいて、前記組織の部署毎に、アラートの発生数を算出することによって、前記アラートの発生傾向を分析する、
ことを特徴とするセキュリティ分析支援方法。
【請求項８】
請求項５〜７のいずれかに記載のセキュリティ分析支援方法であって、
前記組織が、階層的な構成を有する場合に、
前記（ｃ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記アラートの発生傾向を分析し、
前記（ｄ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記分析の結果を可視化する、
ことを特徴とするセキュリティ分析支援方法。
【請求項９】
コンピュータによって組織のネットワークシステムにおけるセキュリティ分析を支援するためのプログラムを記録した、コンピュータ読み取り可能な記録媒体であって、
前記コンピュータに、
（ａ）前記ネットワークシステムで発生したアラートを取得する、ステップと、
（ｂ）前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、ステップと、
（ｃ）前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、ステップと、
（ｄ）前記（ｃ）のステップによる分析の結果を可視化する、ステップと、
を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
【請求項１０】
請求項９に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｅ）前記組織を構成する部署、前記部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する、ステップと、
（ｆ）前記組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員の前記メールアドレスとそれに対応するＩＰアドレスとを特定し、更に、特定結果を前記組織情報に照合して、前記組織アドレス情報を生成する、ステップと、
を実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項１１】
請求項９または１０に記載のコンピュータ読み取り可能な記録媒体であって、
前記（ｃ）のステップにおいて、前記組織の部署毎に、アラートの発生数を算出することによって、前記アラートの発生傾向を分析する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項１２】
請求項９〜１１のいずれかに記載のコンピュータ読み取り可能な記録媒体あって、
前記組織が、階層的な構成を有する場合に、
前記（ｃ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記アラートの発生傾向を分析し、
前記（ｄ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記分析の結果を可視化する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークシステムのセキュリティ分析を支援するための、セキュリティ分析支援装置、及びセキュリティ分析支援方法に関し、更には、これらを実現するためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
【背景技術】
【０００２】
近年、企業、官庁等の組織のネットワークシステムは、データの搾取、破壊、改竄を目的としたサイバー攻撃の標的となっている。このため、ネットワークシステムの管理者は、ネットワークシステムから出力される各種アラートを分析し、サイバー攻撃に対応する必要がある。【０００３】
具体的には、管理者は、組織外部で流通しているサイバー攻撃に関する情報を収集し、この情報と、ＩＰアドレスと端末との対応関係といった組織内部の情報とに基づいて、システムから出力されたアラートを分析し、ネットワークシステムの危険性を判断する。また、組織内部の情報とは、組織を構成する部署毎の所属端末のＩＰアドレス、メールアドレス等である。このような組織内部の情報が用いられるのは、巨大な組織においては、ネットワークシステムも巨大であり、サイバー攻撃に対しては部署毎に対応する必要があるからである。【０００４】
但し、このような分析は、人手で行われており、ネットワークシステムの危険性の判断は、管理者にとって大きな負担となっている。このため、非特許文献１は、ネットワークにおけるトラフィックをリアルタイムで可視化するシステムを開示している。非特許文献１に開示されたシステムによれば、管理者は、不正なトラフィックを速やかに把握できるので、ネットワークシステムの危険性の判断における管理者の負担は軽減されると考えられる。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】鈴木宏栄、衛藤将史、井上大介著、「２−６  実ネットワークトラフィック可視化システムＮＩＲＶＡＮＡの課発と評価」、情報通信研究機、２０１１年、情報通信研究構季報  Ｖｏｌ．５７、Ｎｏｓ．３／４  ２０１１、ｐ．６３−８０
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、非特許文献１に開示されたシステムでは、トラフィックは、ネットワークトポロジー上にＩＰアドレス単位で可視化されるが、組織の部署単位で可視化されるわけではない。また、ネットワークシステムに、シンクライアントサービスが導入されている場合は、端末のＩＰアドレスを辿って部署を特定することは困難である。このため、管理者が、組織の部署単位でネットワークシステムの危険性を判断したい場合には、特許文献１に開示されたシステムによっても、その負担の軽減は十分ではない。【０００７】
本発明の目的の一例は、上記問題を解消し、組織のネットワークシステムのセキュリティ分析において、部署単位でのセキュリティ分析を支援し得る、セキュリティ分析支援装置、セキュリティ分析支援方法、及びコンピュータ読み取り可能な記録媒体を提供することにある。
【課題を解決するための手段】
【０００８】
上記目的を達成するため、本発明の一側面におけるセキュリティ分析支援装置は、組織のネットワークシステムにおけるセキュリティ分析を支援するための装置であって、
前記ネットワークシステムで発生したアラートを取得する、分析対象取得部と、
前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、情報取得部と、
前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、分析部と、
前記分析部による分析の結果を可視化する、可視化部と、
を備えていることを特徴とする。【０００９】
また、上記目的を達成するため、本発明の一側面におけるセキュリティ分析支援方法は、組織のネットワークシステムにおけるセキュリティ分析を支援するための方法であって、
（ａ）前記ネットワークシステムで発生したアラートを取得する、ステップと、
（ｂ）前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、ステップと、
（ｃ）前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、ステップと、
（ｄ）前記（ｃ）のステップによる分析の結果を可視化する、ステップと、
を有する、ことを特徴とする。【００１０】
更に、上記目的を達成するため、本発明の一側面におけるコンピュータ読み取り可能な記録媒体は、コンピュータによって組織のネットワークシステムにおけるセキュリティ分析を支援するためのプログラムを記録した、コンピュータ読み取り可能な記録媒体であって、
前記コンピュータに、
（ａ）前記ネットワークシステムで発生したアラートを取得する、ステップと、
（ｂ）前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、ステップと、
（ｃ）前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、ステップと、
（ｄ）前記（ｃ）のステップによる分析の結果を可視化する、ステップと、
を実行させる命令を含む、プログラムを記録していることを特徴とする。
【発明の効果】
【００１１】
以上のように、本発明によれば、組織のネットワークシステムのセキュリティ分析において、部署単位でのセキュリティ分析を支援することができる。
【図面の簡単な説明】
【００１２】
【図１】図１は、本発明の実施の形態におけるセキュリティ分析支援装置の概略構成を示すブロック図である。
【図２】図２は、本発明の実施の形態におけるセキュリティ分析支援装置の構成をより具体的に示すブロック図である。
【図３】図３は、本発明の実施の形態において生成される組織アドレス情報の一例を示す図である。
【図４】図４は、本発明の実施の形態における可視化の一例を示す図である。
【図５】図５は、本発明の実施の形態におけるセキュリティ分析支援装置における組織アドレス情報の生成処理時の動作を示すフロー図である。
【図６】図６は、本発明の実施の形態におけるセキュリティ分析支援装置における可視化処理時の動作を示すフロー図である。
【図７】図７は、本発明の実施の形態におけるセキュリティ分析支援装置を実現するコンピュータの一例を示すブロック図である。
【発明を実施するための形態】
【００１３】
（実施の形態）
以下、本発明の実施の形態における、セキュリティ分析支援装置、セキュリティ分析支援方法、及びプログラムについて、図１〜図７を参照しながら説明する。
【００１４】
［装置構成］
最初に、図１を用いて、本発明の実施の形態におけるセキュリティ分析支援装置の概略構成について説明する。図１は、本発明の実施の形態におけるセキュリティ分析支援装置の概略構成を示すブロック図である。
【００１５】
図１に示す、本実施の形態におけるセキュリティ分析支援装置１０は、組織のネットワークシステムにおけるセキュリティ分析を支援するための装置である。図１に示すように、セキュリティ分析支援装置１０は、分析対象取得部１１と、情報取得部１２と、分析部１３と、可視化部１４とを備えている。
【００１６】
分析対象取得部１１は、ネットワークシステムで発生したアラートを取得する。情報取得部１２は、組織アドレス情報を取得する。組織アドレス情報は、組織を構成する部署及び部署それぞれで使用されるアドレスを少なくとも特定する情報である。
【００１７】
分析部１３は、情報取得部１２によって取得されたアラートを組織アドレス情報に照合する。そして、分析部１３は、照合の結果に基づいて、特定の組織の部署毎に、アラートの発生傾向を分析する。可視化部１４は、分析部１３による分析の結果を可視化する。
【００１８】
以上のように、本実施の形態におけるセキュリティ分析支援装置１０では、組織を構成する部署に、アラートの発生傾向が分析され、その結果が可視化される。このため、セキュリティ分析支援装置１０によれば、組織のネットワークシステムのセキュリティ分析において、部署単位でのセキュリティ分析を支援することができる。
【００１９】
続いて、図２〜図４を用いて、本実施の形態におけるセキュリティ分析支援装置１０の構成及び機能についてより具体的に説明する。図２は、本発明の実施の形態におけるセキュリティ分析支援装置の構成をより具体的に示すブロック図である。
【００２０】
図２に示すように、本実施の形態におけるセキュリティ分析支援装置１０は、上述した、分析対象取得部１１、情報取得部１２、分析部１３、及び可視化部１４に加えて、組織情報取得部１５と、組織情報格納部１６と、情報生成部１７と、組織アドレス情報格納部１８と、アラート格納部１９とを更に備えている。
【００２１】
また、図２に示すように、セキュリティ分析支援装置１０は、ネットワークシステム２０に接続されている。ネットワークシステム２０は、組織で利用されるネットワーク機器、例えば、端末装置、サーバ装置、ルーター等で構成されている。図２の例では、セキュリティアプライアンス２１、サービスサーバ２２、メールサーバ２３、ディレクトリサーバ２４、及び端末装置２５が例示されている。
【００２２】
セキュリティアプライアンス２１は、システムにおけるセキュリティを管理するサーバであり、例えば、ネットワークシステム２０において、不審なイベント、悪性と思わしきイベント等が発生すると、アラートを出力する。本実施の形態では、分析対象取得部１１は、このセキュリティアプライアンス２１からアラートを取得する。また、分析対象取得部１１は、取得したアラートを、アラート格納部１９に格納する。
【００２３】
サービスサーバ２２は、組織内において各種サービスを提供するサーバである。組織情報取得部１５は、本実施の形態では、サービスサーバ２２から、組織を構成する部署、部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する。また、組織情報取得部１５は、組織情報を取得すると、取得した組織情報を、組織情報格納部１６に格納する。
【００２４】
情報生成部１７は、組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員のメールアドレスと、このメールアドレスに対応するＩＰアドレス（例えば、メールの送受信を行った端末装置のＩＰアドレス）とを特定する。
【００２５】
例えば、メールサーバ２３によって認証されるアカウントのユーザ名が、メールアドレスに設定されているとする。この場合は、情報生成部１７は、端末装置２５が、メールサーバ２３に認証を要求し、メールを受信する際に、メールアドレス（ユーザ名）と、端末装置２５のＩＰアドレスとを特定する。
【００２６】
具体的には、情報生成部１７は、端末装置２５とメールサーバ２３との通信経路から、ＤＰＩ（Deep Packet Inspection）、又はパケットキャプチャ等を利用して、端末装置２５で使用されているメールソフトのログ、エージェントプログラムが出力したデータ等を取得する。そして、情報生成部１７は、取得したデータに基づいて、メールアドレス（ユーザ名）と、端末装置２５のＩＰアドレスとを取得する。
【００２７】
また、情報生成部１７は、端末装置２５が、メールサーバ２３にメールを送信する際に、メールアドレス（ユーザ名）と、端末装置２５のＩＰアドレスとを特定することもできる。具体的には、この場合は、情報生成部１７は、端末装置２５とメールサーバ２３との通信経路から、ＤＰＩ又はパケットキャプチャ等を利用して、メールの送信時に使われるＳＭＴＰのＭＡＩＬコマンドで記述されるメールアドレスと、送信元の端末装置２５のＩＰアドレスとを特定する。
【００２８】
更に、情報生成部１７は、端末装置２５が、ディレクトリサーバ２４に対して認証を要求し、認証が成功している場合は、ディレクトリサーバ２４から、認証を要求した端末装置２５のＩＰアドレスと、端末装置２５が要求した情報とを特定する。また、情報生成部２５は、端末装置２５が要求した情報から、端末装置２５で使用されるメールアドレスを特定する。
【００２９】
その後、情報生成部１７は、特定結果を、組織情報格納部１６に格納されている組織情報に照合して、組織アドレス情報を生成し、生成した組織アドレス情報を、組織アドレス情報格納部１８に格納する。図３は、本発明の実施の形態において生成される組織アドレス情報の一例を示す図である。図３の例では、組織アドレス情報は、組織を構成する部署、部署の構成員、及び構成員が使用する端末装置の識別子（端末ＩＤ）に加えて、端末装置のＩＰアドレスとメールアドレスも特定している。
【００３０】
情報取得部１２は、本実施の形態では、組織アドレス情報格納部１８から、組織アドレス情報を取得する。また、情報取得部１２は、取得した組織アドレス情報を、分析部１３に送る。
【００３１】
分析部１３は、本実施の形態では、例えば、組織の部署毎に、アラートの発生数を算出することによって、アラートの発生傾向を分析する。また、組織が、階層的な構成を有する場合は、分析部１３は、上位の部署から下位の部署まで、部署毎に、アラートの発生傾向を分析する。
【００３２】
可視化部１４は、本実施の形態では、例えば、上位の部署から下位の部署まで、部署毎に、分析の結果を可視化する。具体的には、可視化部１４は、可視化用の画像データを作成し、作成した画像データを、管理者の端末装置、又は表示装置（図２において図示せず）に出力する。また、可視化部１４は、分析の結果を可視化する部署の階層を切り替えることもできる。例えば、可視化部１４は、上位の部署毎に可視化された状態から、下位の部署毎に可視化された状態に切り替えることができる。
【００３３】
図４は、本発明の実施の形態における可視化の一例を示す図である。図４の例では、セキュリティ分析支援装置１０の管理者による操作により、上段の図から、中段の図、下段の図へと画面が切り替わっている。上段の図では、組織を構成する上位の部署（部）毎に、アラートの発生率が示されている。中段の図では、上位の部署を構成する中位の部署（課）毎に、アラートの発生率が示されている。下段の図では、中位の部署を構成するグループ（構成員）毎にアラートの発生率が示されている。
【００３４】
［装置動作］
次に、本発明の実施の形態におけるセキュリティ分析支援装置１０の動作について図５及び図６を用いて説明する。以下の説明においては、適宜図１〜図４を参酌する。また、本実施の形態では、セキュリティ分析支援装置１０を動作させることによって、セキュリティ分析支援方法が実施される。よって、本実施の形態におけるセキュリティ分析支援方法の説明は、以下のセキュリティ分析支援装置１０の動作説明に代える。
【００３５】
まず、図５を用いて、組織アドレス情報の生成処理について説明する。図５は、本発明の実施の形態におけるセキュリティ分析支援装置における組織アドレス情報の生成処理時の動作を示すフロー図である。
【００３６】
図５に示すように、最初に、組織情報取得部１５は、サービスサーバ２２から、組織を構成する部署、部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する（ステップＡ１）。また、ステップＡ１では、組織情報取得部１５は、組織情報を取得すると、取得した組織情報を、組織情報格納部１６に格納する。
【００３７】
次に、情報生成部１７は、組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員のメールアドレスと、それに対応するＩＰアドレスとを特定する（ステップＡ２）。
【００３８】
次に、情報生成部１７は、ステップＡ１における特定結果を、ステップＡ１で組織情報格納部１６に格納された組織情報に照合して、組織アドレス情報を生成し、生成した組織アドレス情報を、組織アドレス情報格納部１８に格納する（ステップＡ３）。
【００３９】
続いて、図６を用いて、可視化処理について説明する。図６は、本発明の実施の形態におけるセキュリティ分析支援装置における可視化処理時の動作を示すフロー図である。
【００４０】
図６に示すように、分析対象取得部１１は、このセキュリティアプライアンス２１からアラートを取得し、取得したアラートを、アラート格納部１９に格納する（ステップＢ１）。ステップＢ１は、例えば、所定の期間行われ、その間に取得されたアラートは全てアラート格納部１９に格納される。
【００４１】
次に、情報取得部１２は、組織アドレス情報格納部１８から、組織アドレス情報を取得し、取得した組織アドレス情報を、分析部１３に送る（ステップＢ２）。
【００４２】
次に、分析部１３は、アラート格納部１９に格納された各アラートを取り出し、取り出した各アラートを、それぞれ、ステップＢ２で取得された組織アドレス情報に照合して、組織の部署毎に、アラートの発生傾向を分析する（ステップＢ３）。具体的には、ステップＢ３では、分析部１３は、組織の部署毎に、アラートの発生数を算出することによって、アラートの発生傾向を分析する。
【００４３】
次に、可視化部１４は、ステップＢ３の分析の結果を可視化する（ステップＢ４）。ステップＢ４の実行により、図４に示すように、分析結果が可視化される。
【００４４】
［実施の形態における効果］
以上のように、本実施の形態では、組織を構成する部署に、アラートの発生傾向が分析され、その結果が可視化される。また、本実施の形態では、組織の全体から細部まで、アラートの発生傾向が分析される。この結果、本実施の形態によれば、組織のネットワークシステムのセキュリティ分析において、部署単位でのセキュリティ分析を支援することができる。
【００４５】
また、本実施の形態では、可視化処理時とは別の時点において、組織アドレス情報を予め作成しておくことができるため、可視化処理と組織アドレス情報の生成処理とを同時に行う場合に比べて、可視化処理の高速化を図ることが可能となる。
【００４６】
［プログラム］
本実施の形態におけるプログラムは、コンピュータに、図５に示すステップＡ１〜Ａ３、図６に示すステップＢ１〜Ｂ３を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態におけるセキュリティ分析支援装置とセキュリティ分析支援方法とを実現することができる。この場合、コンピュータのプロセッサは、分析対象取得部１１、情報取得部１２、分析部１３、可視化部１４、組織情報取得部１５、及び情報生成部１７として機能し、処理を行なう。
【００４７】
また、本実施の形態では、組織情報格納部１６、組織アドレス情報格納部１８、及びアラート格納部１９は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現できる。
【００４８】
また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、分析対象取得部１１、情報取得部１２、分析部１３、可視化部１４、組織情報取得部１５、及び情報生成部１７のいずれかとして機能しても良い。また、組織情報格納部１６、組織アドレス情報格納部１８、及びアラート格納部１９は、本実施の形態におけるプログラムを実行するコンピュータとは別のコンピュータ上に構築されていても良い。
【００４９】
ここで、本実施の形態におけるプログラムを実行することによって、セキュリティ分析支援装置を実現するコンピュータについて図７を用いて説明する。図７は、本発明の実施の形態におけるセキュリティ分析支援装置を実現するコンピュータの一例を示すブロック図である。
【００５０】
図７に示すように、コンピュータ１１０は、ＣＰＵ（Central Processing Unit）１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていても良い。
【００５１】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
【００５２】
また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
【００５３】
データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【００５４】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体が挙げられる。
【００５５】
なお、本実施の形態におけるセキュリティ分析支援装置１０は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、セキュリティ分析支援装置１０は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
【００５６】
上述した実施の形態の一部又は全部は、以下に記載する（付記１）〜（付記１２）によって表現することができるが、以下の記載に限定されるものではない。
【００５７】
（付記１）
組織のネットワークシステムにおけるセキュリティ分析を支援するための装置であって、
前記ネットワークシステムで発生したアラートを取得する、分析対象取得部と、
前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、情報取得部と、
前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、分析部と、
前記分析部による分析の結果を可視化する、可視化部と、
を備えている、ことを特徴とするセキュリティ分析支援装置。
【００５８】
（付記２）
付記１に記載のセキュリティ分析支援装置であって、
前記組織を構成する部署、前記部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する、組織情報取得部と、
前記組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員の前記メールアドレスとそれに対応するＩＰアドレスとを特定し、更に、特定結果を前記組織情報に照合して、前記組織アドレス情報を生成する、情報生成部と、
を更に備えている、
ことを特徴とするセキュリティ分析支援装置。
【００５９】
（付記３）
付記１または２に記載のセキュリティ分析支援装置であって、
前記分析部が、前記組織の部署毎に、アラートの発生数を算出することによって、前記アラートの発生傾向を分析する、
ことを特徴とするセキュリティ分析支援装置。
【００６０】
（付記４）
付記１〜３のいずれかに記載のセキュリティ分析支援装置であって、
前記組織が、階層的な構成を有する場合に、
前記分析部が、上位の部署から下位の部署まで、部署毎に、前記アラートの発生傾向を分析し、
前記可視化部が、上位の部署から下位の部署まで、部署毎に、前記分析の結果を可視化する、
ことを特徴とするセキュリティ分析支援装置。
【００６１】
（付記５）
組織のネットワークシステムにおけるセキュリティ分析を支援するための方法であって、
（ａ）前記ネットワークシステムで発生したアラートを取得する、ステップと、
（ｂ）前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、ステップと、
（ｃ）前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、ステップと、
（ｄ）前記（ｃ）のステップによる分析の結果を可視化する、ステップと、
を有する、ことを特徴とするセキュリティ分析支援方法。
【００６２】
（付記６）
付記５に記載のセキュリティ分析支援方法であって、
（ｅ）前記組織を構成する部署、前記部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する、ステップと、
（ｆ）前記組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員の前記メールアドレスとそれに対応するＩＰアドレスとを特定し、更に、特定結果を前記組織情報に照合して、前記組織アドレス情報を生成する、ステップと、
を更に有する、
ことを特徴とするセキュリティ分析支援方法。
【００６３】
（付記７）
付記５または６に記載のセキュリティ分析支援方法であって、
前記（ｃ）のステップにおいて、前記組織の部署毎に、アラートの発生数を算出することによって、前記アラートの発生傾向を分析する、
ことを特徴とするセキュリティ分析支援方法。
【００６４】
（付記８）
付記５〜７のいずれかに記載のセキュリティ分析支援方法であって、
前記組織が、階層的な構成を有する場合に、
前記（ｃ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記アラートの発生傾向を分析し、
前記（ｄ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記分析の結果を可視化する、
ことを特徴とするセキュリティ分析支援方法。
【００６５】
（付記９）
コンピュータによって組織のネットワークシステムにおけるセキュリティ分析を支援するためのプログラムを記録した、コンピュータ読み取り可能な記録媒体であって、
前記コンピュータに、
（ａ）前記ネットワークシステムで発生したアラートを取得する、ステップと、
（ｂ）前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、ステップと、
（ｃ）前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、ステップと、
（ｄ）前記（ｃ）のステップによる分析の結果を可視化する、ステップと、
を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
【００６６】
（付記１０）
付記９に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｅ）前記組織を構成する部署、前記部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する、ステップと、
（ｆ）前記組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員の前記メールアドレスとそれに対応するＩＰアドレスとを特定し、更に、特定結果を前記組織情報に照合して、前記組織アドレス情報を生成する、ステップと、
を実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【００６７】
（付記１１）
付記９または１０に記載のコンピュータ読み取り可能な記録媒体であって、
前記（ｃ）のステップにおいて、前記組織の部署毎に、アラートの発生数を算出することによって、前記アラートの発生傾向を分析する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【００６８】
（付記１２）
付記９〜１１のいずれかに記載のコンピュータ読み取り可能な記録媒体あって、
前記組織が、階層的な構成を有する場合に、
前記（ｃ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記アラートの発生傾向を分析し、
前記（ｄ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記分析の結果を可視化する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【００６９】
以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【産業上の利用可能性】
【００７０】
以上のように、本発明によれば、組織のネットワークシステムのセキュリティ分析において、部署単位でのセキュリティ分析を支援することができる。本発明は、ネットワークシステムのセキュリティ分析に有用である。
【符号の説明】
【００７１】
１０  セキュリティ分析支援装置
１１  分析対象取得部
１２  情報取得部
１３  分析部
１４  可視化部
１５  組織情報取得部
１６  組織情報格納部
１７  情報生成部
１８  組織アドレス情報格納部
１９  アラート格納部
２０  ネットワークシステム
２１  セキュリティアプライアンス
２２  サービスサーバ
２３  メールサーバ
２４  ディレクトリサーバ
２５  端末装置
１１０  コンピュータ
１１１  ＣＰＵ
１１２  メインメモリ
１１３  記憶装置
１１４  入力インターフェイス
１１５  表示コントローラ
１１６  データリーダ／ライタ
１１７  通信インターフェイス
１１８  入力機器
１１９  ディスプレイ装置
１２０  記録媒体
１２１  バス
【図１】
2020084675.tif 000003
【図２】
2020084675.tif 000004
【図３】
2020084675.tif 000005
【図４】
2020084675.tif 000006
【図５】
2020084675.tif 000007
【図６】
2020084675.tif 000008
【図７】
2020084675.tif 000009
【手続補正書】
【提出日】令和3年4月20日(2021.4.20)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
組織のネットワークシステムにおけるセキュリティ分析を支援するための装置であって、
前記ネットワークシステムで発生したアラートを取得する、分析対象取得部と、
前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、情報取得部と、
前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、分析部と、
前記分析部による分析の結果を可視化する、可視化部と、
を備えている、ことを特徴とするセキュリティ分析支援装置。
【請求項２】
請求項１に記載のセキュリティ分析支援装置であって、
前記組織を構成する部署、前記部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する、組織情報取得部と、
前記組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員の前記メールアドレスとそれに対応するＩＰアドレスとを特定し、更に、特定結果を前記組織情報に照合して、前記組織アドレス情報を生成する、情報生成部と、
を更に備えている、
ことを特徴とするセキュリティ分析支援装置。
【請求項３】
請求項１または２に記載のセキュリティ分析支援装置であって、
前記分析部が、前記組織の部署毎に、アラートの発生数を算出することによって、前記アラートの発生傾向を分析する、
ことを特徴とするセキュリティ分析支援装置。
【請求項４】
請求項１〜３のいずれかに記載のセキュリティ分析支援装置であって、
前記組織が、階層的な構成を有する場合に、
前記分析部が、上位の部署から下位の部署まで、部署毎に、前記アラートの発生傾向を分析し、
前記可視化部が、上位の部署から下位の部署まで、部署毎に、前記分析の結果を可視化する、
ことを特徴とするセキュリティ分析支援装置。
【請求項５】
組織のネットワークシステムにおけるセキュリティ分析を支援するための方法であって、
（ａ）前記ネットワークシステムで発生したアラートを取得する、ステップと、
（ｂ）前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、ステップと、
（ｃ）前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、ステップと、
（ｄ）前記（ｃ）のステップによる分析の結果を可視化する、ステップと、
を有する、ことを特徴とするセキュリティ分析支援方法。
【請求項６】
請求項５に記載のセキュリティ分析支援方法であって、
（ｅ）前記組織を構成する部署、前記部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する、ステップと、
（ｆ）前記組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員の前記メールアドレスとそれに対応するＩＰアドレスとを特定し、更に、特定結果を前記組織情報に照合して、前記組織アドレス情報を生成する、ステップと、
を更に有する、
ことを特徴とするセキュリティ分析支援方法。
【請求項７】
請求項５または６に記載のセキュリティ分析支援方法であって、
前記（ｃ）のステップにおいて、前記組織の部署毎に、アラートの発生数を算出することによって、前記アラートの発生傾向を分析する、
ことを特徴とするセキュリティ分析支援方法。
【請求項８】
請求項５〜７のいずれかに記載のセキュリティ分析支援方法であって、
前記組織が、階層的な構成を有する場合に、
前記（ｃ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記アラートの発生傾向を分析し、
前記（ｄ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記分析の結果を可視化する、
ことを特徴とするセキュリティ分析支援方法。
【請求項９】
コンピュータによって組織のネットワークシステムにおけるセキュリティ分析を支援するためのプログラムであって、
前記コンピュータに、
（ａ）前記ネットワークシステムで発生したアラートを取得する、ステップと、
（ｂ）前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、ステップと、
（ｃ）前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、ステップと、
（ｄ）前記（ｃ）のステップによる分析の結果を可視化する、ステップと、
を実行させる、プログラム。
【請求項１０】
請求項９に記載のプログラムであって、
前記コンピュータに、
（ｅ）前記組織を構成する部署、前記部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する、ステップと、
（ｆ）前記組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員の前記メールアドレスとそれに対応するＩＰアドレスとを特定し、更に、特定結果を前記組織情報に照合して、前記組織アドレス情報を生成する、ステップと、
を更に実行させる、
ことを特徴とするプログラム。
【請求項１１】
請求項９または１０に記載のプログラムであって、
前記（ｃ）のステップにおいて、前記組織の部署毎に、アラートの発生数を算出することによって、前記アラートの発生傾向を分析する、
ことを特徴とするプログラム。
【請求項１２】
請求項９〜１１のいずれかに記載のプログラムあって、
前記組織が、階層的な構成を有する場合に、
前記（ｃ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記アラートの発生傾向を分析し、
前記（ｄ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記分析の結果を可視化する、
ことを特徴とするプログラム。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
本発明は、ネットワークシステムのセキュリティ分析を支援するための、セキュリティ分析支援装置、及びセキュリティ分析支援方法に関し、更には、これらを実現するためのプログラムに関する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】０００５
【補正方法】変更
【補正の内容】
【０００５】
【非特許文献１】鈴木宏栄、衛藤将史、井上大介著、「２−６  実ネットワークトラフィック可視化システムＮＩＲＶＡＮＡの課発と評価」、情報通信研究機構、２０１１年、情報通信研究季報  Ｖｏｌ．５７、Ｎｏｓ．３／４  ２０１１、ｐ．６３−８０
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】０００６
【補正方法】変更
【補正の内容】
【０００６】
しかしながら、非特許文献１に開示されたシステムでは、トラフィックは、ネットワークトポロジー上にＩＰアドレス単位で可視化されるが、組織の部署単位で可視化されるわけではない。また、ネットワークシステムに、シンクライアントサービスが導入されている場合は、端末のＩＰアドレスを辿って部署を特定することは困難である。このため、管理者が、組織の部署単位でネットワークシステムの危険性を判断したい場合には、非特許文献１に開示されたシステムによっても、その負担の軽減は十分ではない。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】０００７
【補正方法】変更
【補正の内容】
【０００７】
本発明の目的の一例は、上記問題を解消し、組織のネットワークシステムのセキュリティ分析において、部署単位でのセキュリティ分析を支援し得る、セキュリティ分析支援装置、セキュリティ分析支援方法、及びプログラムを提供することにある。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００１０
【補正方法】変更
【補正の内容】
【００１０】
更に、上記目的を達成するため、本発明の一側面におけるプログラムは、コンピュータによって組織のネットワークシステムにおけるセキュリティ分析を支援するためのプログラムであって、
前記コンピュータに、
（ａ）前記ネットワークシステムで発生したアラートを取得する、ステップと、
（ｂ）前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、ステップと、
（ｃ）前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、ステップと、
（ｄ）前記（ｃ）のステップによる分析の結果を可視化する、ステップと、
を実行させる、プログラム。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００１８
【補正方法】変更
【補正の内容】
【００１８】
以上のように、本実施の形態におけるセキュリティ分析支援装置１０では、組織を構成する部署毎に、アラートの発生傾向が分析され、その結果が可視化される。このため、セキュリティ分析支援装置１０によれば、組織のネットワークシステムのセキュリティ分析において、部署単位でのセキュリティ分析を支援することができる。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００２８
【補正方法】変更
【補正の内容】
【００２８】
更に、情報生成部１７は、端末装置２５が、ディレクトリサーバ２４に対して認証を要求し、認証が成功している場合は、ディレクトリサーバ２４から、認証を要求した端末装置２５のＩＰアドレスと、端末装置２５が要求した情報とを特定する。また、情報生成部１７は、端末装置２５が要求した情報から、端末装置２５で使用されるメールアドレスを特定する。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】００６５
【補正方法】変更
【補正の内容】
【００６５】
（付記９）
コンピュータによって組織のネットワークシステムにおけるセキュリティ分析を支援するためのプログラムであって、
前記コンピュータに、
（ａ）前記ネットワークシステムで発生したアラートを取得する、ステップと、
（ｂ）前記組織を構成する部署及び前記部署それぞれで使用されるアドレスを少なくとも特定する組織アドレス情報を取得する、ステップと、
（ｃ）前記取得されたアラートを前記組織アドレス情報に照合して、前記組織の部署毎に、前記アラートの発生傾向を分析する、ステップと、
（ｄ）前記（ｃ）のステップによる分析の結果を可視化する、ステップと、
を実行させる、プログラム。
【手続補正１１】
【補正対象書類名】明細書
【補正対象項目名】００６６
【補正方法】変更
【補正の内容】
【００６６】
（付記１０）
付記９に記載のプログラムであって、
前記コンピュータに、
（ｅ）前記組織を構成する部署、前記部署それぞれの構成員、及び各構成員のメールアドレスを少なくとも特定する組織情報を取得する、ステップと、
（ｆ）前記組織で利用される電子メールの送信処理及び受信処理に基づいて、各構成員の前記メールアドレスとそれに対応するＩＰアドレスとを特定し、更に、特定結果を前記組織情報に照合して、前記組織アドレス情報を生成する、ステップと、
を更に実行させる、
ことを特徴とするプログラム。
【手続補正１２】
【補正対象書類名】明細書
【補正対象項目名】００６７
【補正方法】変更
【補正の内容】
【００６７】
（付記１１）
付記９または１０に記載のプログラムであって、
前記（ｃ）のステップにおいて、前記組織の部署毎に、アラートの発生数を算出することによって、前記アラートの発生傾向を分析する、
ことを特徴とするプログラム。
【手続補正１３】
【補正対象書類名】明細書
【補正対象項目名】００６８
【補正方法】変更
【補正の内容】
【００６８】
（付記１２）
付記９〜１１のいずれかに記載のプログラムあって、
前記組織が、階層的な構成を有する場合に、
前記（ｃ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記アラートの発生傾向を分析し、
前記（ｄ）のステップにおいて、上位の部署から下位の部署まで、部署毎に、前記分析の結果を可視化する、
ことを特徴とするプログラム。
【国際調査報告】
2020084675.tif 000010
2020084675.tif 000011
2020084675.tif 000012