(57)【要約】  影響範囲推定装置１０は、複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定する。影響範囲推定装置１０は、特定のノードがマルウェアに感染した場合に、マルウェアによる攻撃のパターンを特定するシナリオ情報と、マルウェアの感染前のネットワークシステムにおける通信ログとに基づいて、特定のノード以外の他のノード毎に、そのノードから特定のノードにマルウェアが伝搬する確率を算出する、逆伝搬確率算出部１１と、算出した確率を用いて、特定のノードにマルウェアが伝搬されるシミュレーションを複数回実行して、他のノード毎に、そのノードがマルウェアの伝搬元となる回数を算出する、シミュレーション実行部１２と、を備えている。
2020065737.tif 000002
【特許請求の範囲】
【請求項１】
複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための装置であって、
特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、逆伝搬確率算出部と、
算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、シミュレーション実行部と、
を備えている、
ことを特徴とする影響範囲推定装置。
【請求項２】
請求項１に記載の影響範囲推定装置であって、
前記特定のノードが前記マルウェアに感染した場合に、前記シナリオ情報と、前記マルウェアの感染後の前記通信ログとに基づいて、前記他のノード毎に、当該他のノードに前記マルウェアが伝搬する第２の確率を算出する、伝搬確率算出部を更に備え、
前記シミュレーション実行部が、更に、算出された前記第２の確率を用いて、前記特定のノードから前記他のノードに前記マルウェアが伝搬するシミュレーションを複数回実行して、前記第２の確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬先となる回数を算出する、
ことを特徴とする影響範囲推定装置。
【請求項３】
請求項２に記載の影響範囲推定装置であって、
前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数と、当該他のノードが前記マルウェアの伝搬先となる回数とを用いて、スコアを算出する、スコア算出部を更に備えている、
ことを特徴とする影響範囲推定装置。
【請求項４】
請求項２または３に記載の影響範囲推定装置であって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターン毎の複数のシナリオを含む場合に、前記マルウェアに感染しているノードを特定する情報を取得し、
取得した前記情報を用いて、複数の前記シナリオそれぞれ毎に、当該シナリオが、前記マルウェアによる現実の攻撃のパターンに適合する可能性を、シナリオ適合スコアとして算出し、
算出した前記シナリオ適合スコアが最も高いシナリオを選択する、シナリオ選択部を更に備え、
前記逆伝搬確率算出部及び前記伝搬確率算出部が、選択された前記シナリオを用いる、
ことを特徴とする影響範囲推定装置。
【請求項５】
請求項１〜４のいずれかに記載の影響範囲推定装置であって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターンとして、前記マルウェアに感染したノードの送信先ポートを特定している、
ことを特徴とする影響範囲推定装置。
【請求項６】
複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための方法であって、
（ａ）特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、ステップと、
（ｂ）算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、ステップと、
を有する、
ことを特徴とする影響範囲推定方法。
【請求項７】
請求項６に記載の影響範囲推定方法であって、
（ｃ）前記特定のノードが前記マルウェアに感染した場合に、前記シナリオ情報と、前記マルウェアの感染後の前記通信ログとに基づいて、前記他のノード毎に、当該他のノードに前記マルウェアが伝搬する第２の確率を算出する、ステップと、
（ｄ）算出された前記第２の確率を用いて、前記特定のノードから前記他のノードに前記マルウェアが伝搬するシミュレーションを複数回実行して、前記第２の確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬先となる回数を算出する、ステップと、
を更に有する、
ことを特徴とする影響範囲推定方法。
【請求項８】
請求項７に記載の影響範囲推定方法であって、
（ｅ）前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数と、当該他のノードが前記マルウェアの伝搬先となる回数とを用いて、スコアを算出する、ステップを更に有している、
ことを特徴とする影響範囲推定方法。
【請求項９】
請求項７または８に記載の影響範囲推定方法であって、
（ｆ）前記シナリオ情報が、前記マルウェアによる攻撃のパターン毎の複数のシナリオを含む場合に、前記マルウェアに感染しているノードを特定する情報を取得し、
取得した前記情報を用いて、複数の前記シナリオそれぞれ毎に、当該シナリオが、前記マルウェアによる現実の攻撃のパターンに適合する可能性を、シナリオ適合スコアとして算出し、
算出した前記シナリオ適合スコアが最も高いシナリオを選択する、ステップを更に有し、
前記（ａ）のステップ及び前記（ｃ）のステップにおいて、選択された前記シナリオを用いる、
ことを特徴とする影響範囲推定方法。
【請求項１０】
請求項６〜９のいずれかに記載の影響範囲推定方法であって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターンとして、前記マルウェアに感染したノードの送信先ポートを特定している、
ことを特徴とする影響範囲推定方法。
【請求項１１】
コンピュータによって、複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための、プログラムを記録したコンピュータ読み取り可能な記録媒体であって、
前記コンピュータに、
（ａ）特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、ステップと、
（ｂ）算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、ステップと、
実行させる命令を含む、プログラムを記録している、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項１２】
請求項１１に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｃ）前記特定のノードが前記マルウェアに感染した場合に、前記シナリオ情報と、前記マルウェアの感染後の前記通信ログとに基づいて、前記他のノード毎に、当該他のノードに前記マルウェアが伝搬する第２の確率を算出する、ステップと、
（ｄ）算出された前記第２の確率を用いて、前記特定のノードから前記他のノードに前記マルウェアが伝搬するシミュレーションを複数回実行して、前記第２の確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬先となる回数を算出する、ステップと、
を実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項１３】
請求項１２に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｅ）前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数と、当該他のノードが前記マルウェアの伝搬先となる回数とを用いて、スコアを算出する、ステップを実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項１４】
請求項１２または１３に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｆ）前記シナリオ情報が、前記マルウェアによる攻撃のパターン毎の複数のシナリオを含む場合に、前記マルウェアに感染しているノードを特定する情報を取得し、
取得した前記情報を用いて、複数の前記シナリオそれぞれ毎に、当該シナリオが、前記マルウェアによる現実の攻撃のパターンに適合する可能性を、シナリオ適合スコアとして算出し、
算出した前記シナリオ適合スコアが最も高いシナリオを選択する、ステップを実行させる命令を更に含み、
前記（ａ）のステップ及び前記（ｃ）のステップにおいて、選択された前記シナリオを用いる、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項１５】
請求項１１〜１４のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターンとして、前記マルウェアに感染したノードの送信先ポートを特定している、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークシステムにマルウェアが侵入した際に、それによってネットワークシステムが受ける影響の範囲を推定する、影響範囲推定装置、及び影響範囲推定方法に関し、更には、これらを実現するためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
【背景技術】
【０００２】
近年、企業、官庁等のネットワークシステムに、マルウェアと呼ばれる不正なプログラムを侵入させて、技術情報、個人情報等の秘密情報を不正に取得する、標準型攻撃が増加している。標準型攻撃を受けると、企業、官庁等においては、多大な損害が生じたり、コンピュータシステムの運用が妨害されたりする。【０００３】
このような場合においては、一旦、コンピュータシステムを停止させれば、簡単に、マルウェアの感染を止めることができると共に、マルウェアを完全に除去することができる。しかし、企業、官庁等において、コンピュータシステムを停止させることは、現実的には不可能である。このため、マルウェアの感染によって影響を受ける範囲を正確に推定することが求められている。【０００４】
このような求めに対応するため、例えば、特許文献１は、マルウェアの二次感染に対するリスクを評価する装置を開示している。具体的には、特許文献１に開示された装置は、マルウェアに感染したとされる端末から、マルウェアが別の端末へと感染する際の感染経路を特定し、そして、ネットワーク上の各機器のセキュリティ機能の情報に基づいて、特定した感染経路のリスクを評価する。特許文献１に開示された装置によれば、システムを止めることなく、マルウェアの影響を受けた範囲の推定が可能となる。【０００５】
また、特許文献２は、ネットワークシステムにマルウェアが侵入した際のマルウェアの影響範囲を特定するための装置を開示している。特許文献２に開示された装置は、ネットワークの構成情報を時系列に沿って記録し、それを保持する。また、特許文献２に開示された装置は、特定の端末がマルウェアに侵入されると、侵入された時点を特定し、更に、特定した時点に対応する構成情報を抽出し、抽出した構成情報を、ネットワークシステムの管理者に提示する。【０００６】
特許文献２に開示された装置によれば、対象となるネットワークシステムのネットワーク構成が変更されても、管理者は、マルウェアが侵入された時点のネットワーク構成を知ることができるので、その影響範囲を特定できる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１５−０９５１５９号公報
【特許文献２】特開２０１６−１８４８７０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、特許文献１に開示された装置は、マルウェアに感染している端末からの感染先のルートについては評価を行っているが、当該端末の感染元のルートについては評価を行っていない。このため、特許文献１に開示された装置では、マルウェアの影響を受けた範囲を推定する際の精度は低いと考えられる。【０００９】
また、特許文献２に開示された装置では、ネットワークシステムの管理者が、マルウェアの感染当時のネットワーク構成に基づいて、人手でマルウェアの影響範囲を特定する必要があり、管理者の負担が大きいという問題がある。【００１０】
本発明の目的の一例は、上記問題を解消し、ネットワークシステムにマルウェアが侵入した際に、管理者に負担をかけることなく、マルウェアの影響を受けた範囲を推定する際の精度の向上を図り得る、影響範囲推定装置、影響範囲推定方法、及びコンピュータ読み取り可能な記録媒体を提供することにある。
【課題を解決するための手段】
【００１１】
上記目的を達成するため、本発明の一側面における影響範囲推定装置は、複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための装置であって、
特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、逆伝搬確率算出部と、
算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、シミュレーション実行部と、
を備えている、ことを特徴とする。【００１２】
また、上記目的を達成するため、本発明の一側面における影響範囲推定方法は、複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための方法であって、
（ａ）特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、ステップと、
（ｂ）算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、ステップと、
を有する、
ことを特徴とする。【００１３】
更に、上記目的を達成するため、本発明の一側面におけるコンピュータ読み取り可能な記録媒体は、コンピュータによって、複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための、プログラムを記録したコンピュータ読み取り可能な記録媒体であって、
前記コンピュータに、
（ａ）特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、ステップと、
（ｂ）算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、ステップと、
実行させる命令を含む、プログラムを記録している、
ことを特徴とする。
【発明の効果】
【００１４】
以上のように、本発明によれば、ネットワークシステムにマルウェアが侵入した際に、管理者に負担をかけることなく、マルウェアの影響を受けた範囲を推定する際の精度の向上を図ることができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、本発明の実施の形態１における影響範囲推定装置の概略構成を示すブロック図である。
【図２】図２は、本発明の実施の形態１における影響範囲推定装置１０が推定対象とするネットワークシステムの一例を示す図である。
【図３】図３は、本発明の実施の形態１における影響範囲推定装置の構成をより具体的に示すブロック図である。
【図４】図４は、本発明の実施の形態１で用いられるシナリオ情報の一例を示す図である。
【図５】図５は、本発明の実施の形態１で用いられる通信履歴の一例を示す図である。
【図６】図６（ａ）〜（ｄ）は、本発明の実施の形態１における逆伝搬確率及び逆伝搬回数の算出処理の一例を説明する図であり、それぞれ、一連の主なステップを示している。
【図７】図７は、本発明の実施の形態１における影響範囲推定装置の動作を示すフロー図である。
【図８】図８は、本発明の実施の形態２における影響範囲推定装置の構成を示すブロック図である。
【図９】図９（ａ）〜（ｄ）は、本発明の実施の形態２における伝搬確率及び伝搬回数の算出処理の一例を説明する図であり、それぞれ、一連の主なステップを示している。
【図１０】図１０は、本発明の実施の形態２における影響範囲推定装置の動作を示すフロー図である。
【図１１】図１１は、本発明の実施の形態３における影響範囲推定装置の構成を示すブロック図である。
【図１２】図１２は、本実施の形態３においてシナリオの選択処理を説明するための図である。
【図１３】図１３は、本発明の実施の形態３における影響範囲推定装置の動作を示すフロー図である。
【図１４】図１４は、本発明の実施の形態１〜３における影響範囲推定装置を実現するコンピュータの一例を示すブロック図である。
【発明を実施するための形態】
【００１６】
（実施の形態１）
以下、本発明の実施の形態１における、影響範囲推定装置、影響範囲推定方法、及びコンピュータ読み取り可能な記録媒体について、図１〜図７を参照しながら説明する。
【００１７】
［装置構成］
最初に、本実施の形態１における影響範囲推定装置１０の概略構成について説明する。図１は、本発明の実施の形態１における影響範囲推定装置の概略構成を示すブロック図である。
【００１８】
図１に示す、本実施の形態１における影響範囲推定装置１０は、複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための装置である。図１に示すように、影響範囲推定装置１０は、逆伝搬確率算出部１１と、シミュレーション実行部１２とを備えている。
【００１９】
逆伝搬確率算出部１１は、特定のノードがマルウェアに感染した場合に、シナリオ情報と、通信ログとに基づいて、特定のノード以外の他のノード毎に、他のノードから特定のノードにマルウェアが伝搬する確率（以下「逆伝搬確率」と表記する。）を算出する。また、シナリオ情報は、マルウェアによる攻撃のパターンを特定する情報である。更に、通信ログは、マルウェアの感染前のネットワークシステムにおける通信ログである。
【００２０】
シミュレーション実行部１２は、逆伝搬確率算出部１１によって算出された確率を用いて、特定のノードにマルウェアが伝搬されるシミュレーションを複数回実行して、確率が算出された他のノード毎に、各他のノードがマルウェアの伝搬元となる回数を算出する。
【００２１】
このように、本実施の形態では、影響範囲推定装置１０は、特定のノードがマルウェアに感染すると、それ以外の他のノードが、マルウェアの伝搬元になる可能性を示す指標として、伝搬元になり得る「回数」を算出する。このため、本実施の形態によれば、ネットワークシステムにマルウェアが侵入した際に、管理者に負担をかけることなく、管理者がマルウェアの影響を受けた範囲を推定する際の精度の向上を図ることができる。
【００２２】
続いて、図２〜図６を用いて、本実施の形態１における影響範囲推定装置１０の具体的構成について説明する。図２は、本発明の実施の形態１における影響範囲推定装置１０が推定対象とするネットワークシステムの一例を示す図である。図３は、本発明の実施の形態１における影響範囲推定装置の構成をより具体的に示すブロック図である。
【００２３】
図２に示すように、本実施の形態では、ネットワークシステム２０は、複数のスイッチ２１と、複数のノード（端末装置）２２と、管理装置２３と、これらを接続するＬＡＮ（Local Area Network）等のネットワーク２４とを備えている。影響範囲推定装置１０は、ネットワーク２４に接続されている。ネットワークシステム２０において、各ノード２２は、スイッチ２１を経由してネットワーク２４に接続されている。また、管理装置２３は、各ノード２２のマルウェアの感染状況を管理している。
【００２４】
具体的には、管理装置２３は、各ノード２２に組み込まれているセキュリティソフトウェアから送られてくる情報を収集し、収集した情報に基づいて、各ノード２２がマルウェアに感染していないかどうかを判定する。そして、管理装置２３は、いずれかのノード２２がマルウェアに感染していると判定した場合は、マルウェアに感染したノードを特定する情報（以下「感染情報」と表記する。）を、ネットワーク２４を解して、影響範囲推定装置１０に送信する。
【００２５】
また、図３に示すように、本実施の形態１における影響範囲推定装置１０は、上述した逆伝搬確率算出部１１及びシミュレーション実行部１２に加えて、シナリオ情報データベース１３と、通信履歴データベース１４とを備えている。
【００２６】
シナリオ情報データベース１３は、例えば、図４に示すシナリオ情報を格納している。図４は、本発明の実施の形態１で用いられるシナリオ情報の一例を示す図である。図４に示すように、シナリオ情報は、マルウェアの攻撃のパターン毎に設定された複数のシナリオで構成されており、各シナリオは、名称、潜在時間、重み付けルールセットを含んでいる。
【００２７】
図４の例では、各シナリオにおいて、名称は、マルウェアの名称と、マルウェアの潜在時間の傾向（長期又は短期）と、マルウェアに対応する重み付けルールセットの番号とを組み合わせて構成されている。また、潜在時間は、マルウェアが感染してから活動を開始するまでの時間を示している。
【００２８】
重み付けルールセットは、マルウェアによる攻撃のパターンに応じて、逆伝搬確率を計算するためのルールである。また、重み付けルールセットは、マルウェアによる攻撃のパターンとして、マルウェアに感染したノードの送信先ポートを特定している。
【００２９】
通信履歴データベース１４は、例えば、図５に示す通信ログの履歴（以下「通信履歴」と表記する。）を格納している。図５は、本発明の実施の形態１で用いられる通信履歴の一例を示す図である。図５に示すように、通信履歴は、通信ログ毎に、セッション開始時刻（Time）、セッション持続時間（Duration）、送り元IP（Src IP）、送り元ポート（Src Port）、送信先IP（Dst IP）、送信先ポート（Dst Port）、プロトコル番号（Protocol）、パケット数（Packet Number）、送信バイト（Sent Byte）、及び受信バイト（Receive Byte）で構成されている。
【００３０】
逆伝搬確率算出部１１は、本実施の形態では、まず、管理装置２３から送信されてきた感染情報を取得し、取得した感染情報から、マルウェアに感染したノード（以下「感染ノード」と表記する。）と、そのノードが感染した時刻（以下「感染時刻」と表記する。）とを特定する。
【００３１】
続いて、逆伝搬確率算出部１１は、通信履歴データベース１４に格納されている通信履歴から、感染時刻より過去の通信ログを抽出する。また、逆伝搬確率算出部１１は、抽出した通信ログにおける通信の方向、即ち、sourceとdestinationとを特定する。
【００３２】
そして、逆伝搬確率算出部１１は、通信の方向の入れ替え、つまりsourceとdestinationとの入れ替えを行う。更に、逆伝搬確率算出部１１は、この状態で、シナリオ情報データベース１３に格納されているシナリオ情報の重み付けルールセットを適用して、感染ノード以外の他のノード毎に、逆伝搬確率を算出する。算出された逆伝搬確率は、他のノードが感染ノードにマルウェアを伝搬させた確率を示している。なお、本実施の形態１では、シナリオ情報に含まれる複数のシナリオの中から、予め使用されるシナリオが指定されているものとする。
【００３３】
シミュレーション実行部１２は、本実施の形態では、感染ノード以外の他のノード毎に、算出された逆伝搬確率を用いて、感染ノードにマルウェアが伝搬されるシミュレーションを設定回数実行し、他のノードが感染ノードにマルウェアを伝搬させた回数（以下「逆伝搬回数」と表記する。）を算出する。
【００３４】
ここで、図６を用いて、逆伝搬確率算出部１１及びシミュレーション実行部１２による処理を具体的に説明する。図６（ａ）〜（ｄ）は、本発明の実施の形態１における逆伝搬確率及び逆伝搬回数の算出処理の一例を説明する図であり、それぞれ、一連の主なステップを示している。また、図６（ａ）〜（ｄ）において、円形の図形は、各ノードを示している。
【００３５】
図６（ａ）に示すように、管理装置２３が感染情報を送信すると、逆伝搬確率算出部１１は、送信されてきた感染情報に基づいて、マルウェアに感染している感染ノード及び感染時刻を特定する。
【００３６】
次に、図６（ｂ）に示すように、逆伝搬確率算出部１１は、通信履歴データベース１４に格納されている通信履歴に基づいて、感染ノードが感染した時刻より過去における通信ログを抽出する。図６（ｂ）において、矢印の向きは通信の方向を示している。
【００３７】
次に、逆伝搬確率算出部１１は、シナリオ情報データベース１３から、指定されているシナリオを取得する。そして、逆伝搬確率算出部１１は、抽出した通信ログ毎に、sourceとdestinationとを入れ替え、入れ替えた状態の通信ログを、取得したシナリオの重み付けルールセットに適用して、逆伝搬確率を算出する。これにより、図６（ｃ）に示すように、感染ノードが感染した時刻より過去において、感染ノードと通信を行った他のノード毎に、逆伝搬確率が算出される。
【００３８】
例えば、シナリオとして、「WinRM / 短期 / ルール1」が指定されているとする。このシナリオにおいて、潜在時間は１時間であり、重み付けルールセットは「if session dst port = 5985 || = 5986 ; edge weight = 0.7;else edge weight=0.2」である。
【００３９】
この場合、逆伝搬確率算出部１１は、感染ノードがマルウェアに感染した時刻Ｔから過去１時間以内の通信ログを抽出し、抽出した通信ログにおいて、受信ノードと送信ノードとの情報を入れ替える。具体的には、逆伝搬確率算出部１１は、「SrcIP」と「DstIP」とを入れ替え、更に、「SrcPort」と「DstPort」とを入れ替える。なお、通信ログに、仮に、オペレーティングシステム、機器、ソフトウェアの情報が含まれている場合は、これらの情報も入れ替えられる。
【００４０】
そして、逆伝搬確率算出部１１は、入れ替えが済んだ通信ログを、シナリオ「WinRM / 短期 / ルール1」の重み付けルールセットに当てはめて、逆伝搬確率を算出する。結果、「DstPort」が5985又は5986となるノードの逆伝搬確率は0.7と算出され、そうでないノードの逆伝搬確率は0.2と算出される。この結果、図６（ｃ）に示すように、情報伝搬モデルが構築される。
【００４１】
次に、図６（ｄ）に示すように、シミュレーション実行部１２は、感染ノード以外の他のノード毎に、図６（ｃ）に示す情報伝搬モデルを用いて、例えば１００回のシミュレーションを実行し、シミュレーションにおいて、他のノードが感染ノードにマルウェアを伝搬させた逆伝搬回数を算出する。
【００４２】
具体的には、シミュレーションの実行回数が１００であるので、シミュレーション実行部１２は、ｔ＝０，１，２，・・１００までのそれぞれ毎に、各ノードの逆伝搬確率に基づいて、各ノードが感染ノードをマルウェアに感染させたかどうかを判定し、マルウェアに感染させたと判定した回数を逆伝搬回数とする。
【００４３】
また、シミュレーション実行部１２は、算出されたノード毎の逆伝搬回数を、例えば、ネットワークシステム２０の管理者が使用する端末装置の画面上に表示する。この結果、ネットワークシステム２０の管理者は、表示された各ノードの結果から、マルウェアの影響を受けた範囲を推定することができる。
【００４４】
［装置動作］
次に、本発明の実施の形態１における影響範囲推定装置１０の動作について図７を用いて説明する。図７は、本発明の実施の形態１における影響範囲推定装置の動作を示すフロー図である。以下の説明においては、適宜図１〜図６を参酌する。また、本実施の形態１では、影響範囲推定装置１０を動作させることによって、影響範囲推定方法が実施される。よって、本実施の形態１における影響範囲推定方法の説明は、以下の影響範囲推定装置１０の動作説明に代える。
【００４５】
図７に示すように、最初に、逆伝搬確率算出部１１は、管理装置２３から送信されてきた感染情報を取得し、取得した感染情報から、マルウェアに感染した感染ノードを特定する（ステップＡ１）。また、ステップＡ１では、逆伝搬確率算出部１１は、感染ノードがマルウェアに感染した感染時刻も特定する。
【００４６】
次に、逆伝搬確率算出部１１は、通信履歴データベース１４に格納されている通信履歴に基づいて、感染時刻より過去の通信ログを抽出する（ステップＡ２）。また、ステップＡ２では、逆伝搬確率算出部１１は、抽出した通信ログにおける通信の方向、即ち、sourceとdestinationとを特定する。
【００４７】
次に、逆伝搬確率算出部１１は、ステップＡ２で抽出した通信ログにおける通信の方向を入れ替え、その状態で、指定されているシナリオの重み付けルールセットを適用して、感染ノード以外の他のノード毎に、逆伝搬確率を算出する（ステップＡ３）。
【００４８】
次に、シミュレーション実行部１２は、感染ノード以外の他のノード毎に、ステップＡ３で算出された逆伝搬確率を用いて、感染ノードにマルウェアが伝搬されるシミュレーションを設定回数実行する。そして、シミュレーション実行部１２は、シミュレーションの結果から、他のノード毎に、シミュレーションにおいて、そのノードが感染ノードにマルウェアを伝搬させた逆伝搬回数を算出する（ステップＡ４）。
【００４９】
その後、シミュレーション実行部１２は、ステップＡ４で算出されたノード毎の逆伝搬回数を、例えば、ネットワークシステム２０の管理者が使用する端末装置の画面上に表示する（ステップＡ５）。ステップＡ５の実行により、影響範囲推定装置１０における処理は一旦終了するが、新たに別のノードがマルウェアに感染すると、再度ステップＡ１が実行される。
【００５０】
［実施の形態１における効果］
以上のように、本実施の形態１では、影響範囲推定装置１０は、あるノードが感染ノードになると、シミュレーションを実行して、それ以外の他のノード毎に逆伝搬回数を算出し、算出した逆伝搬回数を、ネットワークシステム２０の管理者に提示する。このため、ネットワークシステム２０の管理者は、表示された回数から、マルウェアの影響を受けた範囲を推定することができる。本実施の形態によれば、ネットワークシステムにマルウェアが侵入した際に、管理者に負担をかけることなく、管理者がマルウェアの影響を受けた範囲を推定する際の精度の向上を図ることができる。
【００５１】
［プログラム］
本実施の形態に１おけるプログラムは、コンピュータに、図７に示すステップＡ１〜Ａ５を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態１における影響範囲推定装置１０と影響範囲推定方法とを実現することができる。この場合、コンピュータのプロセッサは、逆伝搬確率算出部１１、及びシミュレーション実行部１２として機能し、処理を行なう。
【００５２】
また、本実施の形態１では、シナリオ情報データベース１３及び通信履歴データベース１４は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現できる。
【００５３】
更に、本実施の形態１におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、逆伝搬確率算出部１１、及びシミュレーション実行部１２のいずれかとして機能しても良い。また、シナリオ情報データベース１３及び通信履歴データベース１４は、本実施の形態１におけるプログラムを実行するコンピュータとは別のコンピュータ上に構築されていても良い。
【００５４】
（実施の形態２）
次に、本発明の実施の形態２における、影響範囲推定装置、影響範囲推定方法、及びコンピュータ読み取り可能な記録媒体について、図８〜図１０を参照しながら説明する。
【００５５】
［装置構成］
最初に、本実施の形態２における影響範囲推定装置３０の構成について説明する。図８は、本発明の実施の形態２における影響範囲推定装置の構成を示すブロック図である。
【００５６】
図８に示すように、本実施の形態２における影響範囲推定装置３０は、逆伝搬確率算出部３１と、シミュレーション実行部３２と、シナリオ情報データベース３３と、通信履歴データベース３４とを備えている。これらは、実施の形態１において図３に示した、逆伝搬確率算出部１１、シミュレーション実行部１２、シナリオ情報データベース１３、及び通信履歴データベース１４と同様の機能を備えている。本実施の形態２における影響範囲推定装置３０は、上記の点で、図３に示した実施の形態１における影響範囲推定装置１０と同様である。
【００５７】
但し、本実施の形態２においては、影響範囲推定装置３０は、上述の構成に加えて、伝搬確率算出部３５と、スコア算出部３６とを更に備えており、この点で、実施の形態１における影響範囲推定装置１０と異なっている。以下、実施の形態１との相違点を中心に説明する。
【００５８】
伝搬確率算出部３５は、特定のノードがマルウェアに感染した場合に、シナリオ情報と、マルウェアの感染後の通信ログとに基づいて、感染ノード以外の他のノード毎に、そのノードにマルウェアが伝搬する確率（以下「伝搬確率」と表記する。）を算出する。
【００５９】
具体的には、伝搬確率算出部３５は、まず、管理装置２３から送信されてきた感染情報を取得し、取得した感染情報から、マルウェアに感染したノード（以下「感染ノード」と表記する。）と、そのノードが感染した時刻（以下「感染時刻」と表記する。）とを特定する。
【００６０】
続いて、伝搬確率算出部３５は、通信履歴データベース１４に格納されている通信履歴から、感染時刻より未来の通信ログを抽出する。そして、伝搬確率算出部３５は、抽出した通信ログに、シナリオ情報データベース１３に格納されているシナリオ情報の重み付けルールセットを適用して、感染ノード以外の他のノード毎に、伝搬確率を算出する。算出された伝搬確率は、感染ノードがノード群にマルウェアを伝搬させた確率を示している。なお、本実施の形態２においても、シナリオ情報に含まれる複数のシナリオの中から、予め使用されるシナリオが指定されているものとする。
【００６１】
シミュレーション実行部３２は、本実施の形態２では、逆伝搬回数の算出に加えて、感染ノード以外の他のノードがマルウェアの伝搬先となる回数（以下「伝搬回数」と表記する。）の算出も実行する。具体的には、シミュレーション実行部３２は、算出された伝搬確率を用いて、感染ノードから他のノードにマルウェアが伝搬するシミュレーションを複数回実行し、伝搬確率が算出された他のノード毎に、伝搬回数を算出する。
【００６２】
ここで、図９を用いて、伝搬確率算出部３５及びシミュレーション実行部３２による処理を具体的に説明する。図９（ａ）〜（ｄ）は、本発明の実施の形態２における伝搬確率及び伝搬回数の算出処理の一例を説明する図であり、それぞれ、一連の主なステップを示している。また、図９（ａ）〜（ｄ）において、円形の図形は、各ノードを示している。
【００６３】
図９（ａ）に示すように、管理装置２３が感染情報を送信すると、伝搬確率算出部３５は、逆伝搬確率算出部３１と同様に、送信されてきた感染情報に基づいて、マルウェアに感染している感染ノード及び感染時刻を特定する。なお、感染ノード及び感染時刻の特定は、逆伝搬確率算出部３１と伝搬確率算出部３５とのうち一方のみが実行し、他方は、一方から、特定された感染ノード及び感染時刻の情報を取得しても良い。
【００６４】
次に、図９（ｂ）に示すように、伝搬確率算出部３５は、通信履歴データベース３４に格納されている通信履歴に基づいて、感染ノードの感染時刻より未来における通信ログを抽出する。図９（ｂ）においても、矢印の向きは通信の方向を示している。
【００６５】
次に、伝搬確率算出部３５は、シナリオ情報データベース３３から、指定されているシナリオを取得する。そして、伝搬確率算出部３５は、抽出した通信ログ毎に、取得したシナリオの重み付けルールセットに適用して、伝搬確率を算出する。これにより、図９（ｃ）に示すように、感染ノードが感染した時刻より未来において、感染ノードと通信を行った他のノード毎に、伝搬確率が算出される。
【００６６】
例えば、シナリオとして、実施の形態１の図６の例と同様に、「WinRM / 短期 / ルール1」が指定されているとする。このシナリオにおいて、潜在時間は１時間であり、重み付けルールセットは「if session dst port = 5985 || = 5986 ; edge weight = 0.7;else edge weight=0.2」である。
【００６７】
この場合、伝搬確率算出部３５は、感染ノードがマルウェアに感染した時刻Ｔから１時間以降の通信ログを抽出する。そして、伝搬確率算出部３５は、抽出した通信ログを、シナリオ「WinRM / 短期 / ルール1」の重み付けルールセットに当てはめて、伝搬確率を算出する。結果、「DstPort」が5985又は5986となるノードの伝搬確率は0.7と算出され、そうでないノードの逆伝搬確率は0.2と算出される。この結果、図９（ｃ）に示すように、情報伝搬モデルが構築される。
【００６８】
次に、図９（ｄ）に示すように、シミュレーション実行部３２は、感染ノード以外の他のノード毎に、図９（ｃ）に示す情報伝搬モデルを用いて、例えば１００回のシミュレーションを実行し、シミュレーションにおいて、感染ノードが他のノードにマルウェアを伝搬させた伝搬回数を算出する。
【００６９】
具体的には、シミュレーションの実行回数が１００であるので、シミュレーション実行部３２は、ｔ＝０，１，２，・・１００までのそれぞれ毎に、各ノードの伝搬確率に基づいて、各ノードに感染ノードがマルウェアを感染させたかどうかを判定し、マルウェアに感染させたと判定した回数を伝搬回数とする。
【００７０】
スコア算出部３６は、感染ノード以外の他のノード毎に、逆伝搬回数と伝搬回数とを用いて、スコアＳｔを算出する。具体的には、ノードの識別子をｉ（ｉは任意の自然数）、「逆伝搬回数／シミュレーション実行回数」をＳｒ（ｉ）、「伝搬回数／シミュレーション実行回数」をＳｐ（ｉ）とすると、スコア算出部３６は、下記の数１又は数２を用いて、スコアＳｔを算出する。なお、数１は、逆伝搬回数と伝搬回数との平均値に基づいてスコアを算出する場合に用いられる。数２は、重みα（∈［０，１］）を付与してスコアを算出する場合に用いられる。
【００７１】
【数１】
2020065737.tif 000003
【００７２】
【数２】
2020065737.tif 000004
【００７３】
［装置動作］
次に、本発明の実施の形態２における影響範囲推定装置３０の動作について図１０を用いて説明する。図１０は、本発明の実施の形態２における影響範囲推定装置の動作を示すフロー図である。以下の説明においては、適宜図８及び９を参酌する。また、本実施の形態２では、影響範囲推定装置３０を動作させることによって、影響範囲推定方法が実施される。よって、本実施の形態２における影響範囲推定方法の説明は、以下の影響範囲推定装置３０の動作説明に代える。
【００７４】
図１０に示すように、最初に、逆伝搬確率算出部３１は、管理装置２３から送信されてきた感染情報を取得し、取得した感染情報から、マルウェアに感染した感染ノードを特定する（ステップＢ１）。また、ステップＢ１では、逆伝搬確率算出部３１は、感染ノードがマルウェアに感染した感染時刻も特定する。ステップＢ１は、図７に示したステップＡ１と同様のステップである。
【００７５】
次に、逆伝搬確率算出部３１は、通信履歴データベース３４に格納されている通信履歴に基づいて、感染時刻より過去の通信ログを抽出する（ステップＢ２）。また、ステップＢ２では、逆伝搬確率算出部３１は、抽出した通信ログにおける通信の方向、即ち、sourceとdestinationとを特定する。ステップＢ２は、図７に示したステップＡ２と同様のステップである。
【００７６】
次に、逆伝搬確率算出部３１は、ステップＢ２で抽出した通信ログにおける通信の方向を入れ替え、その状態で、指定されているシナリオの重み付けルールセットを適用して、感染ノード以外の他のノード毎に、逆伝搬確率を算出する（ステップＢ３）。ステップＢ３は、図７に示したステップＡ３と同様のステップである。
【００７７】
次に、シミュレーション実行部３２は、感染ノード以外の他のノード毎に、ステップＢ３で算出された逆伝搬確率を用いて、感染ノードにマルウェアが伝搬されるシミュレーションを設定回数実行する。そして、シミュレーション実行部３２は、シミュレーションの結果から、他のノード毎に、シミュレーションにおいて、そのノードが感染ノードにマルウェアを伝搬させた逆伝搬回数を算出する（ステップＢ４）。ステップＢ４は、図７に示したステップＡ４と同様のステップである。
【００７８】
次に、伝搬確率算出部３５は、ステップＢ１で特定された感染ノード及び感染時刻の情報を受け取り、通信履歴データベース３４に格納されている通信履歴に基づいて、感染時刻より未来の通信ログを抽出する（ステップＢ５）。
【００７９】
次に、伝搬確率算出部３５は、ステップＢ５で抽出した通信ログに、指定されているシナリオの重み付けルールセットを適用して、感染ノード以外の他のノード毎に、伝搬確率を算出する（ステップＢ６）。
【００８０】
次に、シミュレーション実行部３２は、感染ノード以外の他のノード毎に、ステップＢ６で算出された伝搬確率を用いて、感染ノードから他のノードにマルウェアが伝搬されるシミュレーションを設定回数実行する。そして、シミュレーション実行部３２は、シミュレーションの結果から、他のノード毎に、シミュレーションにおいて、そのノードに感染ノードからマルウェアが伝搬した伝搬回数を算出する（ステップＢ７）。
【００８１】
次に、スコア算出部３６は、感染ノード以外の他のノード毎に、ステップＢ４で算出した逆伝搬回数とステップＢ７で算出した伝搬回数とを用いて、スコアＳｔを算出する（ステップＢ８）。
【００８２】
その後、スコア算出部３６は、ステップＢ８で算出されたノード毎のスコアを、例えば、ネットワークシステム２０の管理者が使用する端末装置の画面上に表示する（ステップＢ９）。ステップＢ９の実行により、影響範囲推定装置１０における処理は一旦終了するが、新たに別のノードがマルウェアに感染すると、再度ステップＢ１が実行される。
【００８３】
［実施の形態２における効果］
以上のように、本実施の形態２では、影響範囲推定装置３０は、あるノードが感染ノードになると、シミュレーションを実行して逆伝搬回数と伝搬回数とを算出し、更に、これらからスコアを算出して、ネットワークシステム２０の管理者に提示する。このため、ネットワークシステム２０の管理者は、表示された各スコアから、マルウェアの影響を受けた範囲を推定することができる。従って、本実施の形態２を用いた場合も、実施の形態１と同様に、ネットワークシステムにマルウェアが侵入した際に、管理者に負担をかけることなく、管理者がマルウェアの影響を受けた範囲を推定する際の精度の向上を図ることができる。
【００８４】
［プログラム］
本実施の形態に２おけるプログラムは、コンピュータに、図１０に示すステップＢ１〜Ｂ９を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態２における影響範囲推定装置３０と影響範囲推定方法とを実現することができる。この場合、コンピュータのプロセッサは、逆伝搬確率算出部３１、シミュレーション実行部３２、伝搬確率算出部３５、及びスコア算出部３６として機能し、処理を行なう。
【００８５】
また、本実施の形態２では、シナリオ情報データベース３３及び通信履歴データベース３４は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現できる。
【００８６】
更に、本実施の形態２におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、逆伝搬確率算出部３１、シミュレーション実行部３２、伝搬確率算出部３５、及びスコア算出部３６のいずれかとして機能しても良い。また、シナリオ情報データベース３３及び通信履歴データベース３４は、本実施の形態２におけるプログラムを実行するコンピュータとは別のコンピュータ上に構築されていても良い。
【００８７】
（実施の形態３）
次に、本発明の実施の形態３における、影響範囲推定装置、影響範囲推定方法、及びコンピュータ読み取り可能な記録媒体について、図１１〜図１３を参照しながら説明する。
【００８８】
［装置構成］
最初に、本実施の形態３における影響範囲推定装置４０の構成について説明する。図１１は、本発明の実施の形態３における影響範囲推定装置の構成を示すブロック図である。
【００８９】
図１１に示すように、本実施の形態３における影響範囲推定装置４０は、逆伝搬確率算出部４１と、シミュレーション実行部４２と、シナリオ情報データベース４３と、通信履歴データベース４４と、伝搬確率算出部４５と、スコア算出部４６とを備えている。これらは、実施の形態２において、図８に示した、逆伝搬確率算出部３１、シミュレーション実行部３２、シナリオ情報データベース３３、通信履歴データベース３４、伝搬確率算出部３５、及びスコア算出部３６と同様の機能を備えている。本実施の形態３における影響範囲推定装置４０は、上記の点で、図８に示した実施の形態２における影響範囲推定装置３０と同様である。
【００９０】
但し、本実施の形態３においては、影響範囲推定装置４０は、上述の構成に加えて、シナリオ選択部４７を更に備えており、この点で、実施の形態２における影響範囲推定装置３０と異なっている。以下、実施の形態２との相違点を中心に説明する。
【００９１】
まず、図４に示すように、本実施の形態３においても、シナリオ情報は、マルウェアによる攻撃のパターン毎の複数のシナリオを含んでいる。シナリオ選択部４７は、この場合において機能する。
【００９２】
シナリオ選択部４７は、まず、管理装置２３から、マルウェアに感染している感染ノードを特定する感染情報を取得する。次いで、シナリオ選択部４７は、取得した感染情報を用いて、シナリオ毎に、それがマルウェアによる現実の攻撃のパターンに適合する可能性を、シナリオ適合スコアとして算出する。
【００９３】
そして、シナリオ選択部４７は、算出したシナリオ適合スコアが最も高いシナリオを適合シナリオとして選択する。また、本実施の形態３では、逆伝搬確率算出部４１及び伝搬確率算出部４５は、シナリオ選択部４７によって選択されたシナリオを用いて算出処理を実行する。
【００９４】
ここで、図１２を用いて、シナリオ選択部４７による処理を具体的に説明する。図１２は、本実施の形態３においてシナリオの選択処理を説明するための図である。図１２においては、ネットワークシステム２０を構成するノードのうち、一部については管理装置２３によって観測が行われ、マルウェアに感染しているかどうかが判定されている。この場合、管理装置２３は、観測を行った各ノードにおけるマルウェアの感染の有無を示す感染情報を、影響範囲推定装置４０に送信する。
【００９５】
シナリオ選択部４７は、感染情報が送信されてくると、まず、用意されている複数のシナリオのうちの１つを選択する。次に、シナリオ選択部４７は、観測されているノードの範囲内で、選択されたシナリオ用いて、逆伝搬確率算出部４１、伝搬確率算出部４５、シミュレーション実行部４２、及びスコア算出部４６に処理を実行させて、各ノードのスコアを算出させる。また、この場合、シナリオ選択部４７は、ランダムに観測されたノードを選択し、選択したノードについてのみスコアを算出させることもできる。更に、シナリオ選択部４７は、未だ選択していない残りのシナリオについても同様の処理を行ってスコアを算出する。
【００９６】
次に、シナリオ選択部４７は、シナリオ毎に、各ノードのスコアを下記の数３に適用して、シナリオ適合スコアＤＣＧＰを算出する。そして、シナリオ選択部４７は、シナリオ適合スコアＤＣＧＰが最も高いシナリオを適合シナリオとして選択する。なお、Ｐは、観測されているノードの数を示している。「ｒｅｌｉ」は、感染しているノードの場合は「１」となり、感染していないノードの場合は「０」となる。
【００９７】
【数３】
2020065737.tif 000005
【００９８】
［装置動作］
次に、本発明の実施の形態３における影響範囲推定装置４０の動作について図１３を用いて説明する。図１３は、本発明の実施の形態３における影響範囲推定装置の動作を示すフロー図である。以下の説明においては、適宜図１１及び１２を参酌する。また、本実施の形態３では、影響範囲推定装置４０を動作させることによって、影響範囲推定方法が実施される。よって、本実施の形態３における影響範囲推定方法の説明は、以下の影響範囲推定装置４０の動作説明に代える。
【００９９】
図１３に示すように、最初に、シナリオ選択部４７は、管理装置２３から、マルウェアに感染している感染ノードを特定する感染情報を取得する（ステップＣ１）。次に、シナリオ選択部４７は、シナリオ情報データベースに格納されているシナリオ情報から、１つのシナリオを選択する（ステップＣ２）。
【０１００】
次に、シナリオ選択部４７は、ステップＣ２で選択したシナリオと、ステップＣ１で取得した感染情報とを用いて、シナリオ適合スコアを算出する（ステップＣ３）。具体的には、ステップＣ３では、シナリオ選択部４７は、観測されているノードの範囲内で、ステップＣ２で選択したシナリオ用いて、逆伝搬確率算出部４１、伝搬確率算出部４５、シミュレーション実行部４２、及びスコア算出部４６に処理を実行させて、各ノードのスコアを算出させる。更に、シナリオ選択部４７は、各ノードのスコアを上記数３に適用して、シナリオ適合スコアを算出する。
【０１０１】
次に、シナリオ選択部４７は、シナリオ情報データベースに格納されている全シナリオについて処理が終了しているかどうかを判定する（ステップＣ４）。ステップＣ４の判定の結果、シナリオ情報データベースに格納されている全シナリオについて処理が終了していない場合は、シナリオ選択部４７は、再度ステップＣ２を実行する。
【０１０２】
一方、ステップＣ４の判定の結果、シナリオ情報データベースに格納されている全シナリオについて処理が終了している場合は、シナリオ適合スコアが最も高いシナリオを特定し、特定したシナリオを適合シナリオとして選択する（ステップＣ５）。
【０１０３】
ステップＣ５が終了すると、逆伝搬確率算出部４１、シミュレーション実行部４２、伝搬確率算出部４５、及びスコア算出部４６によって、上記ステップＣ５で選択された適合シナリオを用いて、実施の形態２において図１０に示したステップＢ１〜Ｂ９が実行される。
【０１０４】
［実施の形態３における効果］
以上のように、本実施の形態３では、適切なシナリオが自動的に選択されるので、ネットワークシステムの管理者における負担がよりいっそう軽減される。また、本実施の形態３においても、実施の形態２と同様の効果を得ることができる。
【０１０５】
［プログラム］
本実施の形態に３おけるプログラムは、コンピュータに、図１０に示すステップＢ１〜Ｂ９、図１３に示すステップＣ１〜Ｃ５を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態３における影響範囲推定装置４０と影響範囲推定方法とを実現することができる。この場合、コンピュータのプロセッサは、逆伝搬確率算出部４１、シミュレーション実行部４２、伝搬確率算出部４５、スコア算出部４６、及びシナリオ選択部４７として機能し、処理を行なう。
【０１０６】
また、本実施の形態３では、シナリオ情報データベース４３及び通信履歴データベース４４は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現できる。
【０１０７】
更に、本実施の形態３におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、逆伝搬確率算出部４１、シミュレーション実行部４２、伝搬確率算出部４５、スコア算出部４６、及びシナリオ選択部４７のいずれかとして機能しても良い。また、シナリオ情報データベース４３及び通信履歴データベース４４は、本実施の形態３におけるプログラムを実行するコンピュータとは別のコンピュータ上に構築されていても良い。
【０１０８】
（物理構成）
ここで、実施の形態１〜３におけるプログラムを実行することによって、影響範囲推定装置を実現するコンピュータについて図１４を用いて説明する。図１４は、本発明の実施の形態１〜３における影響範囲推定装置を実現するコンピュータの一例を示すブロック図である。
【０１０９】
図１４に示すように、コンピュータ１１０は、ＣＰＵ（Central Processing Unit）１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていても良い。
【０１１０】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
【０１１１】
また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
【０１１２】
データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【０１１３】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体が挙げられる。
【０１１４】
なお、本実施の形態１〜３における影響範囲推定装置は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、影響範囲推定装置は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
【０１１５】
上述した実施の形態の一部又は全部は、以下に記載する（付記１）〜（付記１５）によって表現することができるが、以下の記載に限定されるものではない。
【０１１６】
（付記１）
複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための装置であって、
特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、逆伝搬確率算出部と、
算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、シミュレーション実行部と、
を備えている、
ことを特徴とする影響範囲推定装置。
【０１１７】
（付記２）
付記１に記載の影響範囲推定装置であって、
前記特定のノードが前記マルウェアに感染した場合に、前記シナリオ情報と、前記マルウェアの感染後の前記通信ログとに基づいて、前記他のノード毎に、当該他のノードに前記マルウェアが伝搬する第２の確率を算出する、伝搬確率算出部を更に備え、
前記シミュレーション実行部が、更に、算出された前記第２の確率を用いて、前記特定のノードから前記他のノードに前記マルウェアが伝搬するシミュレーションを複数回実行して、前記第２の確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬先となる回数を算出する、
ことを特徴とする影響範囲推定装置。
【０１１８】
（付記３）
付記２に記載の影響範囲推定装置であって、
前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数と、当該他のノードが前記マルウェアの伝搬先となる回数とを用いて、スコアを算出する、スコア算出部を更に備えている、
ことを特徴とする影響範囲推定装置。
【０１１９】
（付記４）
付記２または３に記載の影響範囲推定装置であって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターン毎の複数のシナリオを含む場合に、前記マルウェアに感染しているノードを特定する情報を取得し、
取得した前記情報を用いて、複数の前記シナリオそれぞれ毎に、当該シナリオが、前記マルウェアによる現実の攻撃のパターンに適合する可能性を、シナリオ適合スコアとして算出し、
算出した前記シナリオ適合スコアが最も高いシナリオを選択する、シナリオ選択部を更に備え、
前記逆伝搬確率算出部及び前記伝搬確率算出部が、選択された前記シナリオを用いる、
ことを特徴とする影響範囲推定装置。
【０１２０】
（付記５）
付記１〜４のいずれかに記載の影響範囲推定装置であって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターンとして、前記マルウェアに感染したノードの送信先ポートを特定している、
ことを特徴とする影響範囲推定装置。
【０１２１】
（付記６）
複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための方法であって、
（ａ）特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、ステップと、
（ｂ）算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、ステップと、
を有する、
ことを特徴とする影響範囲推定方法。
【０１２２】
（付記７）
付記６に記載の影響範囲推定方法であって、
（ｃ）前記特定のノードが前記マルウェアに感染した場合に、前記シナリオ情報と、前記マルウェアの感染後の前記通信ログとに基づいて、前記他のノード毎に、当該他のノードに前記マルウェアが伝搬する第２の確率を算出する、ステップと、
（ｄ）算出された前記第２の確率を用いて、前記特定のノードから前記他のノードに前記マルウェアが伝搬するシミュレーションを複数回実行して、前記第２の確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬先となる回数を算出する、ステップと、
を更に有する、
ことを特徴とする影響範囲推定方法。
【０１２３】
（付記８）
付記７に記載の影響範囲推定方法であって、
（ｅ）前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数と、当該他のノードが前記マルウェアの伝搬先となる回数とを用いて、スコアを算出する、ステップを更に有している、
ことを特徴とする影響範囲推定方法。
【０１２４】
（付記９）
付記７または８に記載の影響範囲推定方法であって、
（ｆ）前記シナリオ情報が、前記マルウェアによる攻撃のパターン毎の複数のシナリオを含む場合に、前記マルウェアに感染しているノードを特定する情報を取得し、
取得した前記情報を用いて、複数の前記シナリオそれぞれ毎に、当該シナリオが、前記マルウェアによる現実の攻撃のパターンに適合する可能性を、シナリオ適合スコアとして算出し、
算出した前記シナリオ適合スコアが最も高いシナリオを選択する、ステップを更に有し、
前記（ａ）のステップ及び前記（ｃ）のステップにおいて、選択された前記シナリオを用いる、
ことを特徴とする影響範囲推定方法。
【０１２５】
（付記１０）
付記６〜９のいずれかに記載の影響範囲推定方法であって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターンとして、前記マルウェアに感染したノードの送信先ポートを特定している、
ことを特徴とする影響範囲推定方法。
【０１２６】
（付記１１）
コンピュータによって、複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための、プログラムを記録したコンピュータ読み取り可能な記録媒体であって、
前記コンピュータに、
（ａ）特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、ステップと、
（ｂ）算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、ステップと、
実行させる命令を含む、プログラムを記録している、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【０１２７】
（付記１２）
付記１１に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｃ）前記特定のノードが前記マルウェアに感染した場合に、前記シナリオ情報と、前記マルウェアの感染後の前記通信ログとに基づいて、前記他のノード毎に、当該他のノードに前記マルウェアが伝搬する第２の確率を算出する、ステップと、
（ｄ）算出された前記第２の確率を用いて、前記特定のノードから前記他のノードに前記マルウェアが伝搬するシミュレーションを複数回実行して、前記第２の確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬先となる回数を算出する、ステップと、
を実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【０１２８】
（付記１３）
付記１２に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｅ）前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数と、当該他のノードが前記マルウェアの伝搬先となる回数とを用いて、スコアを算出する、ステップを実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【０１２９】
（付記１４）
付記１２または１３に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｆ）前記シナリオ情報が、前記マルウェアによる攻撃のパターン毎の複数のシナリオを含む場合に、前記マルウェアに感染しているノードを特定する情報を取得し、
取得した前記情報を用いて、複数の前記シナリオそれぞれ毎に、当該シナリオが、前記マルウェアによる現実の攻撃のパターンに適合する可能性を、シナリオ適合スコアとして算出し、
算出した前記シナリオ適合スコアが最も高いシナリオを選択する、ステップを実行させる命令を更に含み、
前記（ａ）のステップ及び前記（ｃ）のステップにおいて、選択された前記シナリオを用いる、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【０１３０】
（付記１５）
付記１１〜１４のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターンとして、前記マルウェアに感染したノードの送信先ポートを特定している、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【０１３１】
以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【産業上の利用可能性】
【０１３２】
以上のように、本発明によれば、ネットワークシステムにマルウェアが侵入した際に、管理者に負担をかけることなく、マルウェアの影響を受けた範囲を推定する際の精度の向上を図ることができる。本発明は、種々のネットワークシステムに有用である。
【符号の説明】
【０１３３】
１０  影響範囲推定装置（実施の形態１）
１１  逆伝搬確率算出部
１２  シミュレーション実行部
１３  シナリオ情報データベース
１４  通信履歴データベース
２０  ネットワークシステム
２１  スイッチ
２２  ノード
２３  管理装置
３０  影響範囲推定装置（実施の形態２）
３１  逆伝搬確率算出部
３２  シミュレーション実行部
３３  シナリオ情報データベース
３４  通信履歴データベース
３５  伝搬確率算出部
３６  スコア算出部
４０  影響範囲推定装置（実施の形態３）
４１  逆伝搬確率算出部
４２  シミュレーション実行部
４３  シナリオ情報データベース
４４  通信履歴データベース
４５  伝搬確率算出部
４６  スコア算出部
４７  シナリオ選択部
１１０  コンピュータ
１１１  ＣＰＵ
１１２  メインメモリ
１１３  記憶装置
１１４  入力インターフェイス
１１５  表示コントローラ
１１６  データリーダ／ライタ
１１７  通信インターフェイス
１１８  入力機器
１１９  ディスプレイ装置
１２０  記録媒体
１２１  バス
【図１】
2020065737.tif 000006
【図２】
2020065737.tif 000007
【図３】
2020065737.tif 000008
【図４】
2020065737.tif 000009
【図５】
2020065737.tif 000010
【図６】
2020065737.tif 000011
【図７】
2020065737.tif 000012
【図８】
2020065737.tif 000013
【図９】
2020065737.tif 000014
【図１０】
2020065737.tif 000015
【図１１】
2020065737.tif 000016
【図１２】
2020065737.tif 000017
【図１３】
2020065737.tif 000018
【図１４】
2020065737.tif 000019
【手続補正書】
【提出日】令和3年3月15日(2021.3.15)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための装置であって、
特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、逆伝搬確率算出部と、
算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、シミュレーション実行部と、
を備えている、
ことを特徴とする影響範囲推定装置。
【請求項２】
請求項１に記載の影響範囲推定装置であって、
前記特定のノードが前記マルウェアに感染した場合に、前記シナリオ情報と、前記マルウェアの感染後の前記通信ログとに基づいて、前記他のノード毎に、当該他のノードに前記マルウェアが伝搬する第２の確率を算出する、伝搬確率算出部を更に備え、
前記シミュレーション実行部が、更に、算出された前記第２の確率を用いて、前記特定のノードから前記他のノードに前記マルウェアが伝搬するシミュレーションを複数回実行して、前記第２の確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬先となる回数を算出する、
ことを特徴とする影響範囲推定装置。
【請求項３】
請求項２に記載の影響範囲推定装置であって、
前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数と、当該他のノードが前記マルウェアの伝搬先となる回数とを用いて、スコアを算出する、スコア算出部を更に備えている、
ことを特徴とする影響範囲推定装置。
【請求項４】
請求項２または３に記載の影響範囲推定装置であって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターン毎の複数のシナリオを含む場合に、前記マルウェアに感染しているノードを特定する情報を取得し、
取得した前記情報を用いて、複数の前記シナリオそれぞれ毎に、当該シナリオが、前記マルウェアによる現実の攻撃のパターンに適合する可能性を、シナリオ適合スコアとして算出し、
算出した前記シナリオ適合スコアが最も高いシナリオを選択する、シナリオ選択部を更に備え、
前記逆伝搬確率算出部及び前記伝搬確率算出部が、選択された前記シナリオを用いる、
ことを特徴とする影響範囲推定装置。
【請求項５】
請求項１〜４のいずれかに記載の影響範囲推定装置であって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターンとして、前記マルウェアに感染したノードの送信先ポートを特定している、
ことを特徴とする影響範囲推定装置。
【請求項６】
複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための方法であって、
（ａ）特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、ステップと、
（ｂ）算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、ステップと、
を有する、
ことを特徴とする影響範囲推定方法。
【請求項７】
コンピュータによって、複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための、プログラムであって、
前記コンピュータに、
（ａ）特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、ステップと、
（ｂ）算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、ステップと、
実行させる、プログラム。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
本発明は、ネットワークシステムにマルウェアが侵入した際に、それによってネットワークシステムが受ける影響の範囲を推定する、影響範囲推定装置、及び影響範囲推定方法に関し、更には、これらを実現するためのプログラムに関する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００１０
【補正方法】変更
【補正の内容】
【００１０】
本発明の目的の一例は、上記問題を解消し、ネットワークシステムにマルウェアが侵入した際に、管理者に負担をかけることなく、マルウェアの影響を受けた範囲を推定する際の精度の向上を図り得る、影響範囲推定装置、影響範囲推定方法、及びプログラムを提供することにある。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１３
【補正方法】変更
【補正の内容】
【００１３】
更に、上記目的を達成するため、本発明の一側面におけるプログラムは、コンピュータによって、複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための、プログラムであって、
前記コンピュータに、
（ａ）特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、ステップと、
（ｂ）算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、ステップと、
実行させる、
ことを特徴とする。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００２４
【補正方法】変更
【補正の内容】
【００２４】
具体的には、管理装置２３は、各ノード２２に組み込まれているセキュリティソフトウェアから送られてくる情報を収集し、収集した情報に基づいて、各ノード２２がマルウェアに感染していないかどうかを判定する。そして、管理装置２３は、いずれかのノード２２がマルウェアに感染していると判定した場合は、マルウェアに感染したノードを特定する情報（以下「感染情報」と表記する。）を、ネットワーク２４を介して、影響範囲推定装置１０に送信する。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】０１２６
【補正方法】変更
【補正の内容】
【０１２６】
（付記１１）
コンピュータによって、複数のノードを有するネットワークシステムおいて、マルウェアの感染による影響の範囲を推定するための、プログラムであって、
前記コンピュータに、
（ａ）特定のノードが前記マルウェアに感染した場合に、前記マルウェアによる攻撃のパターンを特定するシナリオ情報と、前記マルウェアの感染前の前記ネットワークシステムにおける通信ログとに基づいて、前記特定のノード以外の他のノード毎に、当該他のノードから前記特定のノードに前記マルウェアが伝搬する確率を算出する、ステップと、
（ｂ）算出された前記確率を用いて、前記特定のノードに前記マルウェアが伝搬されるシミュレーションを複数回実行して、前記確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数を算出する、ステップと、
実行させる、プログラム。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】０１２７
【補正方法】変更
【補正の内容】
【０１２７】
（付記１２）
付記１１に記載のプログラムであって、
前記コンピュータに、
（ｃ）前記特定のノードが前記マルウェアに感染した場合に、前記シナリオ情報と、前記マルウェアの感染後の前記通信ログとに基づいて、前記他のノード毎に、当該他のノードに前記マルウェアが伝搬する第２の確率を算出する、ステップと、
（ｄ）算出された前記第２の確率を用いて、前記特定のノードから前記他のノードに前記マルウェアが伝搬するシミュレーションを複数回実行して、前記第２の確率が算出された前記他のノード毎に、当該他のノードが前記マルウェアの伝搬先となる回数を算出する、ステップと、
を更に実行させる、
ことを特徴とするプログラム。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】０１２８
【補正方法】変更
【補正の内容】
【０１２８】
（付記１３）
付記１２に記載のプログラムであって、
前記コンピュータに、
（ｅ）前記他のノード毎に、当該他のノードが前記マルウェアの伝搬元となる回数と、当該他のノードが前記マルウェアの伝搬先となる回数とを用いて、スコアを算出する、ステップを更に実行させる、
ことを特徴とするプログラム。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】０１２９
【補正方法】変更
【補正の内容】
【０１２９】
（付記１４）
付記１２または１３に記載のプログラムであって、
前記コンピュータに、
（ｆ）前記シナリオ情報が、前記マルウェアによる攻撃のパターン毎の複数のシナリオを含む場合に、前記マルウェアに感染しているノードを特定する情報を取得し、
取得した前記情報を用いて、複数の前記シナリオそれぞれ毎に、当該シナリオが、前記マルウェアによる現実の攻撃のパターンに適合する可能性を、シナリオ適合スコアとして算出し、
算出した前記シナリオ適合スコアが最も高いシナリオを選択する、ステップを更に実行させ、
前記（ａ）のステップ及び前記（ｃ）のステップにおいて、選択された前記シナリオを用いる、
ことを特徴とするプログラム。
【手続補正１１】
【補正対象書類名】明細書
【補正対象項目名】０１３０
【補正方法】変更
【補正の内容】
【０１３０】
（付記１５）
付記１１〜１４のいずれかに記載のプログラムであって、
前記シナリオ情報が、前記マルウェアによる攻撃のパターンとして、前記マルウェアに感染したノードの送信先ポートを特定している、
ことを特徴とするプログラム。
【手続補正１２】
【補正対象書類名】図面
【補正対象項目名】図８
【補正方法】変更
【補正の内容】
【図８】
2020065737.tif 000020
【国際調査報告】
2020065737.tif 000021
2020065737.tif 000022