(57)【要約】  ルール学習部８１は、脅威事象を表わす複数の説明変数を含む脅威情報と、その脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、その説明変数の組合せに応じた判別結果を規定した決定ルールを学習する。入力部８２は、分析対象の脅威情報を入力する。分析部８３は、入力された脅威情報を決定ルールに適用して、その脅威情報の判別結果および判別結果の根拠とする説明変数を特定する。
2020039646.tif 000002
【特許請求の範囲】
【請求項１】
脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、当該説明変数の組合せに応じた判別結果を規定した決定ルールを学習するルール学習部と、
分析対象の脅威情報を入力する入力部と、
入力された脅威情報を前記決定ルールに適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定する分析部とを備えた
ことを特徴とする脅威分析システム。
【請求項２】
説明変数に基づいて特定される関連情報を教師データに補充する補充部を備え、
ルール学習部は、補充された教師データを用いてラフ集合分析を行い、
入力部は、前記関連情報を補充した脅威情報を入力する
請求項１記載の脅威分析システム。
【請求項３】
補充部は、教師データに含まれる説明変数と関連情報の少なくとも一方を、予め定めた変換規則に基づいて、真偽値、文字列、数値、範囲またはバイナリ値のいずれかに変換し、
ルール学習部は、変換された教師データを用いてラフ集合分析を行い、
入力部は、前記変換規則に基づいて変換した脅威情報を入力する
請求項２記載の脅威分析システム。
【請求項４】
ルール学習部は、脅威情報に含まれる予め定めた説明変数の種類ごとに決定ルールを学習し、
分析部は、入力された脅威情報に含まれる説明変数に応じて決定ルールを選択し、選択された決定ルールに当該脅威情報を適用する
請求項１から請求項３のうちのいずれか１項に記載の脅威分析システム。
【請求項５】
ルール学習部は、脅威の有無または可能性を示す判別結果を含む教師データを用いて決定ルールを学習し、
分析部は、入力された脅威情報を決定ルールに適用して、脅威の有無または可能性を示す判別結果を特定する
請求項１から請求項４のうちのいずれか１項に記載の脅威分析システム。
【請求項６】
ルール学習部は、脅威事象の性質に応じた分類である脅威カテゴリごとに、当該脅威カテゴリの該当有無を示す判別結果を含む教師データを用いて決定ルールを学習し、
分析部は、入力された脅威情報を前記脅威カテゴリごとの決定ルールにそれぞれ適用して、前記脅威カテゴリごとの該当有無を示す判別結果を特定する
請求項１から請求項５のうちのいずれか１項に記載の脅威分析システム。
【請求項７】
分析部は、判別結果を特定する元になった判定条件に含まれる説明変数を判別結果の根拠として特定する
請求項１から請求項６のうちのいずれか１項に記載の脅威分析システム。
【請求項８】
分析部は、決定ルールの中から、判別結果が一致する判定条件のうち、当該判別結果の導出に用いられた説明変数を少なくとも１つ以上含む判定条件を抽出し、抽出された判定条件に含まれる説明変数の数を分母とし、説明変数の値が一致する数を分子として、説明変数ごとにスコアを算出し、当該スコアが最も大きい説明変数を、前記判別結果に最も影響を及ぼした説明変数として特定する
請求項１から請求項７のうちのいずれか１項に記載の脅威分析システム。
【請求項９】
分析対象の脅威情報を入力する入力部と、
脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いて行われたラフ集合分析の結果生成された、当該説明変数の組合せに応じた判別結果を規定した決定ルールに、入力された脅威情報を適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定する分析部とを備えた
ことを特徴とする脅威分析装置。
【請求項１０】
脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、当該説明変数の組合せに応じた判別結果を規定した決定ルールを学習し、
分析対象の脅威情報を前記決定ルールに適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定する
ことを特徴とする脅威分析方法。
【請求項１１】
説明変数に基づいて特定される関連情報を教師データに補充し、
補充された教師データを用いてラフ集合分析を行う
請求項１０記載の脅威分析方法。
【請求項１２】
分析対象の脅威情報を入力し、
脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いて行われたラフ集合分析の結果生成された、当該説明変数の組合せに応じた判別結果を規定した決定ルールに、入力された脅威情報を適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定する
ことを特徴とする分析方法。
【請求項１３】
コンピュータに、
脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、当該説明変数の組合せに応じた判別結果を規定した決定ルールを学習するルール学習処理、
分析対象の脅威情報を入力する入力処理、および、
入力された脅威情報を前記決定ルールに適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定する分析処理
を実行させるための脅威分析プログラム。
【請求項１４】
コンピュータに、
説明変数に基づいて特定される関連情報を教師データに補充する補充処理を実行させ、
ルール学習処理で、補充された教師データを用いてラフ集合分析を行わせ、
入力処理で、前記関連情報を補充した脅威情報を入力させる
請求項１３記載の脅威分析プログラム。
【請求項１５】
コンピュータに、
分析対象の脅威情報を入力する入力処理、および、
脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いて行われたラフ集合分析の結果生成された、当該説明変数の組合せに応じた判別結果を規定した決定ルールに、入力された脅威情報を適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定する分析処理
を実行させるための分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サイバー攻撃に関する脅威情報を分析する脅威分析システム、脅威分析装置、脅威分析方法および脅威分析プログラムに関する。
【背景技術】
【０００２】
サイバー攻撃による被害の増加に伴い、サイバー攻撃を受ける企業等では、セキュリティ検知機や分析官を配置し、外部脅威の侵入や実行の有無、脅威情報について監視することが行われている。分析官は、過去の経験等に基づいて、脅威情報を既知の脅威候補と比較することで、必要な対策の判断、脅威分析、廃棄、などの対応を行う。【０００３】
一方、観測される脅威情報は、数が膨大であり、しかもノイズが多いため、全ての情報を人手で選別（スクリーニング）することは困難である。そこで、脅威情報を効率よく処理する方法が各種提案されている。例えば、特許文献１には、ユーザの意図に反した動作を行う不正プログラムであるか否かを解析するプログラム解析方法が記載されている。特許文献１に記載された方法では、解析推奨条件と解析推奨度との組合せを含む解析推奨情報に基づいて、どのような順序で解析対象検体を解析すべきか決定する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１４−８９６０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
攻撃者は、重大性の異なる多種多様な攻撃を仕掛けてくる。そのため、分析官は、感性的な評価に基づいて脅威情報の特徴を抽出することも多く、情報のトリアージは、攻撃（情報）に対する分析官の能力に大きく依存すると言える。トリアージが不十分な場合、雑多な脅威情報に埋もれて重大な事象が見逃されることや、正常な通信が阻害されて業務に支障をきたすおそれもある。【０００６】
特許文献１に記載された解析方法によって、優先すべき検体（脅威情報）の解析順序を決定することは可能である。しかし、特許文献１に記載された解析方法では、そもそも、大量の検体の中から解析すべき検体を決定することについては記載されていない。そのため、特許文献１に記載された解析方法では、解析すべき検体の候補が膨大になった場合、解析の候補を絞り込むことが難しいという問題がある。【０００７】
脅威情報は、多種多様に変化する情報である。そのため、分析官が行うような、いわゆる感性的な観点での分析処理を自動化し、脅威情報を柔軟に分析できることが好ましい。【０００８】
そこで、本発明は、分析官の観点による脅威情報の分析を自動化できる脅威分析システム、脅威分析装置、脅威分析方法および脅威分析プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明による脅威分析システムは、脅威事象を表わす複数の説明変数を含む脅威情報とその脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、その説明変数の組合せに応じた判別結果を規定した決定ルールを学習するルール学習部と、分析対象の脅威情報を入力する入力部と、入力された脅威情報を決定ルールに適用して、その脅威情報の判別結果およびその判別結果の根拠とする説明変数を特定する分析部とを備えたことを特徴とする。【００１０】
本発明による脅威分析装置は、分析対象の脅威情報を入力する入力部と、脅威事象を表わす複数の説明変数を含む脅威情報とその脅威情報の判別結果とを含む教師データを用いて行われたラフ集合分析の結果生成された、その説明変数の組合せに応じた判別結果を規定した決定ルールに、入力された脅威情報を適用して、その脅威情報の判別結果およびその判別結果の根拠とする説明変数を特定する分析部とを備えたことを特徴とする。【００１１】
本発明による脅威分析方法は、脅威事象を表わす複数の説明変数を含む脅威情報とその脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、その説明変数の組合せに応じた判別結果を規定した決定ルールを学習し、分析対象の脅威情報を決定ルールに適用して、その脅威情報の判別結果およびその判別結果の根拠とする説明変数を特定することを特徴とする。【００１２】
本発明による脅威分析プログラムは、コンピュータに、脅威事象を表わす複数の説明変数を含む脅威情報とその脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、その説明変数の組合せに応じた判別結果を規定した決定ルールを学習するルール学習処理、分析対象の脅威情報を入力する入力処理、および、入力された脅威情報を決定ルールに適用して、その脅威情報の判別結果およびその判別結果の根拠とする説明変数を特定する分析処理を実行させることを特徴とする。
【発明の効果】
【００１３】
本発明によれば、分析官の観点による脅威情報の分析を自動化できる。
【図面の簡単な説明】
【００１４】
【図１】本発明による脅威分析システムの一実施形態を示すブロック図である。
【図２】補充を行う処理の例を示す説明図である。
【図３】情報変換（離散化）を行う規則の例を示す説明図である。
【図４】決定ルールの例を示す説明図である。
【図５】決定ルールを生成する処理の例を示す説明図である。
【図６】決定ルールを生成する処理の他の例を示す説明図である。
【図７】決定ルールを生成する処理の他の例を示す説明図である。
【図８】根拠とする説明変数を特定する方法の例を示す説明図である。
【図９】判別結果の出力例を示す説明図である。
【図１０】判別結果の根拠とする説明変数を表示する例を示す説明図である。
【図１１】決定ルール学習装置の動作例を示すフローチャートである。
【図１２】脅威分析装置の動作例を示すフローチャートである。
【図１３】本発明による脅威分析システムの概要を示すブロック図である。
【図１４】本発明による脅威分析装置の概要を示すブロック図である。
【図１５】少なくとも１つの実施形態に係るコンピュータの構成を示す概略ブロック図である。
【発明を実施するための形態】
【００１５】
以下、本発明の実施形態を図面を参照して説明する。
本発明では、分析官が行うような、いわゆる感性的な観点での分析をコンピュータで自動処理できるように、ラフ集合分析を利用して脅威分析を行う。ラフ集合分析は、人間の考える構造を分析できる分析手法の一つで、分析官が判断する根拠を示すことができる分析手法である。一般に、ラフ集合分析は、人間の感性をデータマイニングするための分析手法であるが、本発明者は、ラフ集合分析を、サイバーセキュリティの分野である脅威分析に適用するという着想を得た。
【００１６】
図１は、本発明による脅威分析システムの一実施形態を示すブロック図である。本実施形態の脅威分析システム１は、記憶部１０と、決定ルール学習装置１００と、脅威分析装置２００とを備えている。記憶部１０と、決定ルール学習装置１００と、脅威分析装置２００とは、通信可能に接続される。なお、決定ルール学習装置１００と脅威分析装置２００とが一つの装置で実現されていてもよく、記憶部１０が、決定ルール学習装置１００または脅威分析装置２００に含まれる構成であってもよい。
【００１７】
記憶部１０は、脅威情報を記憶する。脅威情報は、脅威事象を表わす複数の説明変数を含む情報であり、例えば、セキュリティ検知機等により検出される情報である。説明変数の内容は任意であり、例えば、情報源を示すＩＰ（Internet Protocol ）アドレスやドメイン名、脅威情報に含まれる文字列の長さや、脅威情報のサイズなどが挙げられる。
【００１８】
具体的には、記憶部１０は、後述する決定ルール学習部３０が学習に用いる教師データとして、脅威情報とその脅威情報の判別結果とを含むデータを記憶する。また、記憶部１０は、後述する脅威分析装置２００の分析対象になる脅威情報を記憶する。なお、脅威情報には、後述する教師データ入力部２０によって付加された情報が含まれていてもよい。
【００１９】
教師データに含まれる判別結果は、例えば、分析者等により設定される。なお、判別結果に、後述する脅威分析装置２００によって判別された結果が用いられてもよい。判別結果は、例えば、脅威事象である（黒）、脅威事象の可能性がある（グレー）、脅威事象でない（白）のような、脅威の有無を示す情報であってもよい。また、判別結果は、脅威事象の性質に応じた分類（以下、脅威カテゴリと記すこともある。）に該当するか否か（例えば、マルウェアに該当するか否か、標的型に該当するか否か、など）を示す情報であってもよい。
【００２０】
決定ルール学習装置１００は、教師データ入力部２０と、決定ルール学習部３０と、決定ルール記憶部４０とを含む。
【００２１】
教師データ入力部２０は、記憶部１０に記憶された教師データを取得し、決定ルール学習部３０に入力する。教師データ入力部２０は、記憶部１０から取得した教師データを、そのまま決定ルール学習部３０に入力してもよい。
【００２２】
また、教師データ入力部２０は、記憶部１０から取得した教師データに対して補充を行い、補充された教師データを決定ルール学習部３０に入力してもよい。具体的には、教師データ入力部２０は、記憶部１０から取得した教師データに対して新たな情報を付加するエンリッチ化や、予め定めた規則に基づいて、ある情報から新たな情報を生成する情報変換（離散化と言うこともある。）を行ってもよい。
【００２３】
図２は、教師データに対して補充を行う処理の例を示す説明図である。例えば、図２に例示するように、ＩＰアドレスが“１０３．１４．ｘｘｘ．ｙｙｙ”である情報Ｄ１１およびドメイン名が“ｚｚｚ．ｓｐｏｒｔｓ．ｃｏｍ”である情報Ｄ１２が、いずれも脅威情報（ｂｌａｃｋ）を示す教師データとして存在しているとする。
【００２４】
これらの情報に対して、教師データ入力部２０は、各説明変数（ＩＰアドレス、ドメイン名）に基づいて特定される関連情報（属性情報と記すこともある。）を教師データに補充する。教師データ入力部２０が関連情報を取得する方法は任意である。教師データ入力部２０は、例えば、説明変数に対応する各種情報を記憶する記憶部（図示せず）から、関連情報を取得してもよいし、ファイルやウェブサイトの検査を行う外部サーバ（図示せず）にアクセスして、関連する情報を取得してもよい。
【００２５】
例えば、ファイルやウェブサイトのマルウェア検査を行うウェブサイトとして、ＶｉｒｕｓＴｏｔａｌ（米国における登録商標）が知られている。他にも、ＩＰアドレスやドメイン名の登録者などに関する情報を検索するプロトコルとして、Ｗｈｏｉｓ（登録商標）が知られている。また、インターネット上の情報を蓄積するプラットフォームとして、Ｐａｓｓｉｖｅ  Ｔｏｔａｌも知られている。教師データ入力部２０は、これらの機能を利用して関連情報を取得してもよい。
【００２６】
また、教師データ入力部２０は、１つの教師データに異なる種類の関連情報を補充して複数種類の教師データを生成してもよい。図２に示す例では、情報Ｄ１１に対して２種類のエンリッチ化を行った結果、情報Ｄ１３およびＤ１４に示す教師データが生成され、情報Ｄ１２に対して２種類のエンリッチ化を行った結果、情報Ｄ１５およびＤ１６に示す教師データが生成されたことを示す。
【００２７】
図３は、情報変換（離散化）を行う規則の例を示す説明図である。図３に示す例では、観測値に対して、複数のウェブサイトから取得した各関連情報に対して、情報変換を行う規則を示している。例えば、Ｎｏ．２に示す規則は、ウェブサイトＡから取得された関連情報に対して、“Ｐａｔｈ”で示される情報にｅｘｅ等の拡張子が含まれているか否かに応じて真偽値（０または１の二値）を決定することを示す。他にも、教師データ入力部２０は、予め定めた変換規則に基づいて、既存の説明変数または関連情報のいずれか一方、または、両方に対して、数値や文字列への情報変換を行ってもよい。また、教師データ入力部２０は、真偽値、数値、文字列以外にも、範囲やバイナリ値への情報変換を行ってもよい。
【００２８】
さらに、教師データ入力部２０は、上記説明変数と関連情報の少なくとも一方を、予め定めた変換規則に基づいて、多値から多値への離散化を行ってもよい。多値から多値への離散化の例として、国の情報を地域（北米、ヨーロッパ、アジア…、など）に変換することが挙げられる。なお、離散化の方法は、上記に例示する内容に限定されない。
【００２９】
なお、図３では、一部の情報変換のみ例示しているが、条件属性に基づく変換ルールは、図３に例示する内容に限定されない。条件属性が分析官の感性的な観点に近ければ近いほど、より好ましいと言える。図３に例示するように、外部情報を利用して得られる関連情報は、そのまま利用しにくい情報も存在する。教師データ入力部２０が、このような関連情報に対して変換を行うことで、外部情報をラフ集合分析に有益な説明変数として用いることが可能になる。
【００３０】
また、説明変数に応じて取得できる関連情報が異なることから、教師データ入力部２０は、脅威情報に含まれる説明変数の種類ごとに補充する関連情報を変えて教師データを生成してもよい。例えば、脅威情報のソースとして、ＩＰアドレスとドメイン名が存在する場合、教師データ入力部２０は、ＩＰアドレスを含む教師データと、ドメイン名を含む教師データに、それぞれ異なる関連情報を補充してもよい。
【００３１】
教師データ入力部２０が、１つの教師データに、取得可能な全ての関連情報を補充してもよい。多くの関連情報を補充することで、分析精度を向上させることが可能になる。一方、関連情報を全て１つの教師データに含めてしまうと、ある脅威事象を判定する際に不要な情報が含まれてしまう可能性がある。例えば、ドメイン名およびＩＰアドレスから取得可能な全ての関連情報を１つの教師データに含めたとする。この場合、後述する決定ルール学習部３０が生成する決定ルールに、ドメイン名またはＩＰアドレスのいずれか一方に基づいて脅威を判定する際に必要のない関連情報が説明変数として含まれてしまう可能性がある。
【００３２】
教師データ入力部２０が、脅威情報に含まれる説明変数の種類ごとに教師データに補充する関連情報を変えることで、判定に有益な情報のみ付加することが可能になる。すなわち、判別に影響しない、または、影響が極めて小さい説明変数を決定ルールから除外することが可能になるため、分析精度を維持しつつ、生成される決定ルールの量を低減でき、判定にかかる処理時間を低減できる。例えば、上述の例では、教師データ入力部２０は、ＩＰアドレス、ドメイン名ごとに、それぞれ、関連情報を補充した教師データを生成することが好ましい。
【００３３】
決定ルール学習部３０は、教師データ入力部２０が入力した教師データを用いてラフ集合分析を行い、説明変数の組合せに応じた判別結果を規定した決定ルールを学習する。ここで入力される教師データは、脅威事象を表わす複数の説明変数を含む脅威情報と、その脅威情報の判別結果とを含むデータである。教師データには、教師データ入力部２０によって補充された関連情報が含まれていてもよい。また、関連情報は、離散化されていてもよい。
【００３４】
以下、決定ルール学習部３０が行うラフ集合分析の一具体例を説明する。決定ルール学習部３０は、教師データを判別結果（目的変数）ごとに分類する。例えば、判別結果が、黒、白、グレーの３種類存在する場合、決定ルール学習部３０は、３種類のグループに教師データを分類する。
【００３５】
次に、決定ルール学習部３０は、それぞれの教師データについて、その教師データと判別結果が異なる教師データの説明変数をそれぞれ比較する。例えば、判別結果が「黒」である１つの教師データを抽出し、判別結果が「白」または「グレー」の全ての教師データと説明変数を比較して、異なっている説明変数を特定する。決定ルール学習部３０は、グループごとに比較結果をまとめ、頻度の少ない説明変数（異なっているとして特定された数が少ない説明変数）を除外する。なお、この頻度については、予め定めておけばよい。決定ルール学習部３０は、論理演算を用いて比較結果を集約する。
【００３６】
図４は、決定ルールの例を示す説明図である。図４に示す例では、説明変数の論理演算（組合せ）に応じた判別結果が判定条件として決定ルールに定義されたことを示す。例えば、１つ目の判定条件は、「ドメイン名が１４文字で、ドメインに関する技術者情報が８個以下であり、登録者情報が１個以上」である情報については、黒（脅威情報）と判定することを示す。また、例えば、２つ目の判定条件は、「ドメイン名が１１文字で、所定のウェブサイトで検出されたＵＲＬ（uniform resource locator）の最も短い長さが３２〜３３文字であって、ドメインの有効期限日が登録されている」情報については、白（脅威情報ではない）と判定することを示す。また、３つ目の判定条件のように、グレーと判定する条件が設けられていてもよい。
【００３７】
決定ルール学習部３０がラフ集合分析により生成する決定ルールは、入力される教師データの内容に応じて特性が異なる。以下、教師データの内容に応じて決定される個々の決定ルールの内容を説明する。
【００３８】
図５は、決定ルールを生成する処理の例を示す説明図である。教師データに含まれる目的変数が、脅威の有無または可能性（グレー）を示すものである場合、決定ルール学習部３０は、脅威の有無または可能性（グレー）を決定する１つの決定ルールを学習してもよい。ここで、１つの決定ルールとは、個々の判定条件の集合体を意味する。
【００３９】
図６は、決定ルールを生成する処理の他の例を示す説明図である。教師データに含まれる目的変数が、脅威の有無または可能性（グレー）を示すものである場合、決定ルール学習部３０は、脅威情報に含まれる予め定めた説明変数の種類ごとに決定ルールを学習してもよい。図６に示す例の場合、決定ルール学習部３０は、説明変数にＩＰアドレスを含む脅威情報を分析するための決定ルールと、説明変数にドメイン名を含む脅威情報を分析するための決定ルールとを、それぞれ分けて学習してもよい。
【００４０】
図７は、決定ルールを生成する処理のさらに他の例を示す説明図である。教師データに含まれる目的変数が、特定の脅威カテゴリの該当有無を示すものである場合、決定ルール学習部３０は、その脅威カテゴリに該当するか否かを決定するための決定ルールを学習してもよい。この場合、分析対象とする脅威カテゴリの数だけ、決定ルールが生成される。なお、この場合も、決定ルール学習部３０は、予め定めた説明変数の種類ごとに決定ルールを学習してもよい。例えば、図７に例示するように、説明変数にＩＰアドレスを含む脅威情報の分析と、説明変数にドメインを含む脅威情報の分析の２種類行う場合、脅威カテゴリごとに、それぞれ２種類ずつ決定ルールが生成される。
【００４１】
また、図７に例示するように、脅威なし（白）と判断されるデータは、脅威カテゴリごとに分類することが困難なため、全ての脅威カテゴリで共通に利用されればよい。また、脅威カテゴリごとにグレーと判断することは稀であるため、グレーの教師データは、悪性全般のカテゴリの教師データとして利用される。ここで、悪性全般とは、脅威カテゴリの区分なくまとめた教師データ群である。
【００４２】
なお、複数の観点で決定ルールを生成する場合、学習に用いる教師データによっては、異なる判定条件が生成される場合がある。例えば、複数のカテゴリで黒判定がされる場合や、悪性全般と脅威カテゴリごとの判定で異なる結果が出る場合もある。決定ルール学習部３０が、このような、複数の観点での決定ルールを生成することで、複数の観点に基づく脅威情報の判定が可能になる。
【００４３】
決定ルール記憶部４０は、決定ルール学習部３０が生成した決定ルールを記憶する。
【００４４】
脅威分析装置２００は、分析情報入力部５０と、分析部６０と、出力部７０とを含む。
【００４５】
分析情報入力部５０は、分析対象の脅威情報を分析部６０に入力する。分析情報入力部５０は、記憶部１０に記憶された脅威情報を取得して分析部６０に入力してもよいし、通信ネットワークを介して他のシステムや装置（図示せず）から脅威情報を取得して、分析部６０に入力してもよい。
【００４６】
また、決定ルール学習部３０がエンリッチ化（補充）された関連情報を用いて決定ルールを生成している場合、分析情報入力部５０は、脅威情報に対して関連情報を補充し、補充された脅威情報を分析部６０に入力してもよい。また、決定ルール学習部３０が変換規則に基づいて、教師データに含まれる説明変数または関連情報に対して離散化（情報変換）している場合、分析情報入力部５０は、その変換規則に基づいて、脅威情報の該当する情報を変換し、変換された脅威情報を分析部６０に入力してもよい。
【００４７】
分析部６０は、分析情報入力部５０から入力された脅威情報を、決定ルール学習部３０によって決定された決定ルールに適用して、脅威情報の判別結果、および、その判別結果の根拠とする説明変数を特定する。分析部６０は、例えば、図４に例示する決定ルールに脅威情報を適用し、脅威情報に含まれる説明変数に一致する判定条件を用いて、脅威情報の判別結果を特定する。図４に例示するように、脅威の有無または可能性を示す判別結果を含む教師データを用いて決定ルールが学習されている場合、分析部６０は、入力された脅威情報を決定ルールに適用して、脅威の有無または可能性を示す判別結果を特定する。
【００４８】
また、脅威情報に含まれる説明変数の種類ごとに決定ルールが学習されている場合、分析部６０は、入力された脅威情報に含まれる説明変数に応じて決定ルールを選択し、選択された決定ルールに脅威情報を適用する。例えば、脅威情報にＩＰアドレスが含まれている場合、分析部６０は、ＩＰアドレスを含む脅威情報を分析するための決定ルールを選択し、その決定ルールに脅威情報を適用すればよい。
【００４９】
さらに、脅威カテゴリごとに決定ルールが学習されている場合、分析部６０は、入力された脅威情報を脅威カテゴリごとの決定ルールにそれぞれ適用して、脅威カテゴリごとの該当有無を示す判別結果を特定してもよい。なお、決定ルールに一致する判定条件が存在しなかった場合、分析部６０は、判別結果を「判別不可」と特定してもよい。
【００５０】
なお、「判別不可」と判定された脅威情報を、教師データとして利用することが可能である。「判別不可」と判定された脅威情報に対して、白、黒、グレーの３種類の判別結果を設定した教師データを生成し、その教師データを用いて決定ルールを生成する実験を行った。生成された決定ルールでは、教師データで設定した判別結果が特定された。そのため、判別不可のデータを、「グレー」の判定として用いることが可能であると言える。
【００５１】
分析部６０は、判別結果を特定する元になった判定条件に含まれる説明変数をそのまま根拠として特定してもよい。例えば、図４に例示する１つめの判定条件に基づいて判別結果が決定された場合、分析部６０は、「ドメイン名」、「技術者情報の数」および「登録者情報の数」の３つの説明変数を特定してもよい。また、このとき、分析部６０は、それぞれの説明変数が示す値を特定してもよい。本実施形態では、決定ルールを用いて判別を行っているため、根拠を示すことが容易になる。
【００５２】
また、分析部６０は、判別結果に最も影響を及ぼした説明変数を根拠として特定してもよい。以下、分析部６０が判別結果の根拠とする説明変数を特定する方法を、具体例を用いて説明する。
【００５３】
図８は、根拠とする説明変数を特定する方法の例を示す説明図である。分析情報入力部５０が、図８に例示する脅威情報Ｄ２１を入力したとする。ここで、図８に例示する決定ルールＤ２２が決定ルール記憶部４０に記憶されており、分析部６０は、この決定ルールＤ２２に基づいて分析を行うとする。脅威情報Ｄ２１は、決定ルールＤ２２の１行目の判定条件に一致しているため、分析部６０は、脅威情報Ｄ２１を「黒」と判別する。
【００５４】
次に、分析部６０は、決定ルールの中から、判別結果が一致する判定条件のうち、判別結果の導出に用いられた説明変数を少なくとも１つ以上含む判定条件を抽出する。図８に例示する決定ルールでは、判別結果の導出に、属性Ａ、属性Ｂ、属性Ｃおよび属性Ｄを示す説明変数が用いられている。このうち、判別結果が「黒」で一致する判定条件は、４行目および５行目の判定条件である。そこで、分析部６０は、判別結果の導出に用いられた１行目の判定条件以外に、４行目および５行目の判定条件を抽出する。
【００５５】
次に、分析部６０は、抽出された判定条件に含まれる説明変数の数を分母とし、説明変数の値が一致する数を分子として、説明変数ごとにスコアを算出する。図８に示す例では、例えば、属性Ａについて、判定条件に含まれる説明変数の数は３つであり、そのうち、属性Ａ＝“１”に一致する判定条件は１つである。そこで、分析部６０は、属性Ａについてのスコアを１／３と算出する。同様に、分析部６０は、属性Ｂについてのスコアを１／３、属性Ｃについてのスコアを２／２、属性Ｄについてのスコアを１／２と算出する。
【００５６】
なお、図８に例示する各決定ルールが、全教師データに対する決定ルールの出現割合（出現頻度）を属性として含んでいてもよい。例えば、各決定ルールが出現割合（出現頻度）でソートされており、分析部６０が、その出現割合（出現頻度）を係数として重み付けすることによりスコアを算出してもよい。このようにすることで、より出現割合（出現頻度）の高い決定ルールを優先的に適用することが可能になる。
【００５７】
そして、分析部６０は、算出したスコアが最も大きい説明変数を、判別結果に最も影響を及ぼした説明変数として特定する。図８に示す例では、属性Ｃのスコアが最も大きいため、分析部６０は、判別結果に最も影響を及ぼした説明変数を属性Ｃと特定する。
【００５８】
出力部７０は、特定された判別結果を出力する。また、出力部７０は、特定された判別結果の根拠とする説明変数を出力する。出力部７０が判別結果を出力する方法は任意である。出力部７０は、例えば、「白」、「黒」、「グレー」の結果を、脅威情報を合わせて出力してもよい。また、分析部６０が、複数の決定ルールを用いて分析を行った場合、出力部７０は、決定ルールごとに判別結果を出力してもよい。また、出力部７０は、判別結果だけでなく、分析に関連する情報を合わせて出力してもよい。
【００５９】
図９は、判別結果の出力例を示す説明図である。図９に例示する判別結果は、ＪＳＯＮ（JavaScript Object Notation）形式による判別結果である。なお、JavaScriptは、登録商標である。図９に示す例では、３種類の決定ルール（悪性全般、カテゴリＡおよびカテゴリＢ）を用いた判別結果を示しており、悪性全般における判定およびカテゴリＡにおける判定が、それぞれ「黒」（１）であったことを示す。また、図９に示す例では、判別結果に、分析の方法や、分析を完了した日時が含まれることを示す。なお、ここでは、「白」判定を０、「黒」判定を１、「グレー」判定を２と想定している。
【００６０】
また、判別結果に分析手法を特定可能な識別子が含まれていてもよい。図９に示す例では、判別手法（“ａｎａｌｙｚｅｍｅｔｈｏｄ”）である“ｘｘｘｘｙｙｙｙ”によって判別が行われたことを示す。このように、判別手法を判別結果に含めることで、例えば、ラフ集合分析以外の分析手法を混在させて活用することも可能になる。
【００６１】
また、出力部７０は、分析部６０によって特定された判別結果の根拠とする説明変数を出力してもよい。図１０は、判別結果の根拠とする説明変数を表示する例を示す説明図である。図１０に示す例では、出力部７０は、画面７１において、脅威情報に含まれる脅威事象（ここでは、ＩＰアドレス）と、その判別結果とを一覧で表示している。
【００６２】
さらに、図１０に示す例では、脅威情報が選択（例えば、ポインティングデバイス等によるクリック操作）されると、出力部７０は、画面７２において、その判別結果の根拠とする説明変数を出力する。また、図１０に示す例では、出力部７０は、図８で例示する説明変数ごとの影響度（スコア）と、最も影響を与えた属性とをそれぞれ出力している。なお、図１０に示すスコアの出力方法は一例であり、出力部７０は、表形式でなく、グラフなどを用いてスコアを出力してもよい。
【００６３】
また、出力部７０は、根拠とする説明変数だけでなく、全ての説明変数を出力してもよい。このとき、出力部７０は、根拠とする説明変数と、それ以外の説明変数とを区別可能な態様で表示してもよい。このように、関連する説明変数を表示して、脅威情報の全体的な傾向を把握できるようにすることで、分析官による分析を効果的に実施させることが可能になる。
【００６４】
教師データ入力部２０と、決定ルール学習部３０とは、プログラム（決定ルール学習プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、記憶部１０に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、教師データ入力部２０とおよび決定ルール学習部３０として動作してもよい。
【００６５】
また、分析情報入力部５０と、分析部６０と、出力部７０とは、プログラム（脅威分析プログラム、分析プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、記憶部１０に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、分析情報入力部５０、分析部６０および出力部７０として動作してもよい。
【００６６】
また、教師データ入力部２０と、決定ルール学習部３０と、分析情報入力部５０と、分析部６０と、出力部７０とは、それぞれが専用のハードウェアで実現されていてもよい。また、記憶部１０および決定ルール記憶部４０は、磁気ディスク装置等により実現される。
【００６７】
次に、本実施形態の脅威分析システムの動作を説明する。図１１は、本実施形態の決定ルール学習装置１００の動作例を示すフローチャートである。ここでは、目的変数の設定された脅威情報（すなわち、教師データ）が、すでに記憶部１０に記憶されているものとする。
【００６８】
教師データ入力部２０は、記憶部１０に記憶された教師データを取得し（ステップＳ１１）、取得した教師データに対して補充（エンリッチ化）を行う（ステップＳ１２）。さらに、教師データ入力部２０は、補充した教師データに含まれる情報の離散化を行う（ステップＳ１３）。決定ルール学習部３０は、教師データを用いてラフ集合分析を行い、決定ルールを学習する（ステップＳ１４）。決定ルール学習部３０は、生成した決定ルールを決定ルール記憶部４０に登録する（ステップＳ１５）。
【００６９】
図１２は、本実施形態の脅威分析装置２００の動作例を示すフローチャートである。分析情報入力部５０は、分析対象の脅威情報を分析部６０に入力する（ステップＳ２１）。分析情報入力部５０は、決定ルールに合わせて、脅威情報のエンリッチ化や離散化を行ってもよい。分析部６０は、入力された脅威情報を決定ルールに適用して、脅威情報の判別結果を特定する（ステップＳ２２）。また、分析部６０は、判別結果の根拠とする説明変数を特定する（ステップＳ２３）。出力部７０は、特定された判別結果および判別結果の根拠とする説明変数を出力する（ステップＳ２４）。
【００７０】
以上のように、本実施形態では、決定ルール学習部３０が、教師データを用いてラフ集合分析を行って決定ルールを学習する。そして、分析情報入力部５０が、分析対象の脅威情報を入力し、分析部６０が、入力された脅威情報を決定ルールに適用して、脅威情報の判別結果および判別結果の根拠とする説明変数を特定する。よって、分析官の観点による脅威情報の分析を自動化できる。
【００７１】
例えば、本実施形態の脅威分析システム１を用いて脅威情報の判別処理を支援することで、重要度の低い脅威情報を自動的に破棄することができる。これにより、分析者の負荷が軽減されるため、分析者による新たな攻撃への気付きや、迅速な対処および柔軟な制御が可能になる。
【００７２】
また、脅威情報は、時間の経過とともに変化する情報である。例えば、過去に脅威のおそれがあると判断されたウェブサイトであっても、時間の経過とともに修復され、脅威がなくなる場合も存在する。一般的な学習アルゴリズムでは、このような頻繁に変化する環境に追従することが困難な場合も存在する。
【００７３】
一方、本実施形態では、決定ルール学習部３０が、ラフ集合分析により決定ルールを学習する。ラフ集合分析は、学習データが曖昧でも一定の分析が可能な方法であり、頻度が低いものは除去される分析方法である。そのため、仮に環境の変化に伴って、目的変数（判別結果）が変化したとしても、新たな教師データを随時追加することによって、古いデータは淘汰されていく結果、決定ルールを環境の変化に追従させることが可能になる。
【００７４】
次に、本発明の概要を説明する。図１３は、本発明による脅威分析システムの概要を示すブロック図である。本発明による脅威分析システム８０（例えば、脅威分析システム１）は、脅威事象を表わす複数の説明変数を含む脅威情報と、その脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、その説明変数の組合せに応じた判別結果を規定した決定ルールを学習するルール学習部８１（例えば、決定ルール学習部３０）と、分析対象の脅威情報を入力する入力部８２（例えば、分析情報入力部５０）と、入力された脅威情報を決定ルールに適用して、その脅威情報の判別結果および判別結果の根拠とする説明変数を特定する分析部８３（例えば、分析部６０）とを備えている。
【００７５】
そのような構成により、分析官の観点による脅威情報の分析を自動化できる。
【００７６】
また、脅威分析システム８０は、説明変数に基づいて特定される関連情報を教師データに補充する（エンリッチ化する）補充部（例えば、教師データ入力部２０）を備えていてもよい。そして、ルール学習部８１は、補充された教師データを用いてラフ集合分析を行い、入力部８２は、関連情報を補充した脅威情報を入力してもよい。
【００７７】
そのような構成により、セキュリティ検知機等では直接観測できない情報を教師データに補充することができるため、脅威情報の分析精度を向上させることが可能になる。
【００７８】
さらに、補充部は、教師データに含まれる説明変数と関連情報の少なくとも一方を、予め定めた変換規則に基づいて、真偽値、文字列、数値、範囲またはバイナリ値のいずれかに変換（離散化）してもよい。そして、ルール学習部８１は、変換された教師データを用いてラフ集合分析を行い、入力部８２は、変換規則に基づいて変換した脅威情報を入力してもよい。そのような構成により、異なる内容を示す説明変数を共通の情報に集約できるため、脅威情報の分析に用いる条件を共通化でき、分析精度を向上させることが可能になる。
【００７９】
また、ルール学習部８１は、脅威情報に含まれる予め定めた説明変数の種類（例えば、ＩＰアドレス、ドメイン名）ごとに決定ルールを学習してもよい。そして、分析部８３は、入力された脅威情報に含まれる説明変数に応じて決定ルールを選択し、選択された決定ルールに脅威情報を適用してもよい。
【００８０】
そのような構成により、脅威情報に含まれる説明変数の種類ごとに教師データに補充する関連情報を変えることができるため、判定に有益な情報のみ付加することが可能になる。すなわち、判別に影響しない、または、影響が極めて小さい説明変数を決定ルールから除外することが可能になるため、分析精度を維持しつつ、生成される決定ルールの量を低減でき、判定にかかる処理時間を低減できる。
【００８１】
また、ルール学習部８１は、脅威の有無（「黒」または「白」）または可能性（「グレー」）を示す判別結果を含む教師データを用いて決定ルールを学習してもよい。そして、分析部８３は、入力された脅威情報を決定ルールに適用して、脅威の有無または可能性を示す判別結果を特定してもよい。
【００８２】
また、ルール学習部８１は、脅威事象の性質に応じた分類である脅威カテゴリごとに、その脅威カテゴリの該当有無を示す判別結果を含む教師データを用いて決定ルールを学習してもよい。そして、分析部８３は、入力された脅威情報を脅威カテゴリごとの決定ルールにそれぞれ適用して、脅威カテゴリごとの該当有無を示す判別結果を特定してもよい。
【００８３】
また、分析部８３は、判別結果を特定する元になった判定条件に含まれる説明変数を判別結果の根拠として特定してもよい。
【００８４】
また、分析部８３は、決定ルールの中から、判別結果が一致する判定条件のうち、その判別結果の導出に用いられた説明変数を少なくとも１つ以上含む判定条件を抽出し、抽出された判定条件に含まれる説明変数の数を分母とし、説明変数の値が一致する数を分子として、説明変数ごとにスコアを算出し、そのスコアが最も大きい説明変数を、判別結果に最も影響を及ぼした説明変数として特定してもよい。
【００８５】
図１４は、本発明による脅威分析装置の概要を示すブロック図である。本発明による脅威分析装置９０は、分析対象の脅威情報を入力する入力部９１（例えば、分析情報入力部５０）と、脅威事象を表わす複数の説明変数を含む脅威情報とその脅威情報の判別結果とを含む教師データを用いて行われたラフ集合分析の結果生成された、その説明変数の組合せに応じた判別結果を規定した決定ルールに、入力された脅威情報を適用して、その脅威情報の判別結果および判別結果の根拠とする説明変数を特定する分析部９２（例えば、分析部６０）とを備えている。
【００８６】
そのような構成によっても、分析官の観点による脅威情報の分析を自動化できる。
【００８７】
図１５は、少なくとも１つの実施形態に係るコンピュータの構成を示す概略ブロック図である。コンピュータ１０００は、プロセッサ１００１、主記憶装置１００２、補助記憶装置１００３、インタフェース１００４を備える。
【００８８】
上述の脅威分析システムは、コンピュータ１０００に実装される。そして、上述した各処理部の動作は、プログラム（脅威分析プログラム、分析プログラム）の形式で補助記憶装置１００３に記憶されている。プロセッサ１００１は、プログラムを補助記憶装置１００３から読み出して主記憶装置１００２に展開し、当該プログラムに従って上記処理を実行する。
【００８９】
なお、少なくとも１つの実施形態において、補助記憶装置１００３は、一時的でない有形の媒体の一例である。一時的でない有形の媒体の他の例としては、インタフェース１００４を介して接続される磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ（Compact Disc Read-only memory ）、ＤＶＤ−ＲＯＭ（Read-only memory）、半導体メモリ等が挙げられる。また、このプログラムが通信回線によってコンピュータ１０００に配信される場合、配信を受けたコンピュータ１０００が当該プログラムを主記憶装置１００２に展開し、上記処理を実行しても良い。
【００９０】
また、当該プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、当該プログラムは、前述した機能を補助記憶装置１００３に既に記憶されている他のプログラムとの組み合わせで実現するもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００９１】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【００９２】
（付記１）脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、当該説明変数の組合せに応じた判別結果を規定した決定ルールを学習するルール学習部と、分析対象の脅威情報を入力する入力部と、入力された脅威情報を前記決定ルールに適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定する分析部とを備えたことを特徴とする脅威分析システム。
【００９３】
（付記２）説明変数に基づいて特定される関連情報を教師データに補充する補充部を備え、ルール学習部は、補充された教師データを用いてラフ集合分析を行い、入力部は、前記関連情報を補充した脅威情報を入力する付記１記載の脅威分析システム。
【００９４】
（付記３）補充部は、教師データに含まれる説明変数と関連情報の少なくとも一方を、予め定めた変換規則に基づいて、真偽値、文字列、数値、範囲またはバイナリ値のいずれかに変換し、ルール学習部は、変換された教師データを用いてラフ集合分析を行い、入力部は、前記変換規則に基づいて変換した脅威情報を入力する付記２記載の脅威分析システム。
【００９５】
（付記４）ルール学習部は、脅威情報に含まれる予め定めた説明変数の種類ごとに決定ルールを学習し、分析部は、入力された脅威情報に含まれる説明変数に応じて決定ルールを選択し、選択された決定ルールに当該脅威情報を適用する付記１から付記３のうちのいずれか１つに記載の脅威分析システム。
【００９６】
（付記５）ルール学習部は、脅威の有無または可能性を示す判別結果を含む教師データを用いて決定ルールを学習し、分析部は、入力された脅威情報を決定ルールに適用して、脅威の有無または可能性を示す判別結果を特定する付記１から付記４のうちのいずれか１つに記載の脅威分析システム。
【００９７】
（付記６）ルール学習部は、脅威事象の性質に応じた分類である脅威カテゴリごとに、当該脅威カテゴリの該当有無を示す判別結果を含む教師データを用いて決定ルールを学習し、分析部は、入力された脅威情報を前記脅威カテゴリごとの決定ルールにそれぞれ適用して、前記脅威カテゴリごとの該当有無を示す判別結果を特定する付記１から付記５のうちのいずれか１つに記載の脅威分析システム。
【００９８】
（付記７）分析部は、判別結果を特定する元になった判定条件に含まれる説明変数を判別結果の根拠として特定する付記１から付記６のうちのいずれか１つに記載の脅威分析システム。
【００９９】
（付記８）分析部は、決定ルールの中から、判別結果が一致する判定条件のうち、当該判別結果の導出に用いられた説明変数を少なくとも１つ以上含む判定条件を抽出し、抽出された判定条件に含まれる説明変数の数を分母とし、説明変数の値が一致する数を分子として、説明変数ごとにスコアを算出し、当該スコアが最も大きい説明変数を、前記判別結果に最も影響を及ぼした説明変数として特定する付記１から付記７のうちのいずれか１つに記載の脅威分析システム。
【０１００】
（付記９）分析対象の脅威情報を入力する入力部と、脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いて行われたラフ集合分析の結果生成された、当該説明変数の組合せに応じた判別結果を規定した決定ルールに、入力された脅威情報を適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定する分析部とを備えたことを特徴とする脅威分析装置。
【０１０１】
（付記１０）脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、当該説明変数の組合せに応じた判別結果を規定した決定ルールを学習し、分析対象の脅威情報を前記決定ルールに適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定することを特徴とする脅威分析方法。
【０１０２】
（付記１１）説明変数に基づいて特定される関連情報を教師データに補充し、補充された教師データを用いてラフ集合分析を行う付記１０記載の脅威分析方法。
【０１０３】
（付記１２）分析対象の脅威情報を入力し、脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いて行われたラフ集合分析の結果生成された、当該説明変数の組合せに応じた判別結果を規定した決定ルールに、入力された脅威情報を適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定することを特徴とする分析方法。
【０１０４】
（付記１３）コンピュータに、脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いてラフ集合分析を行い、当該説明変数の組合せに応じた判別結果を規定した決定ルールを学習するルール学習処理、分析対象の脅威情報を入力する入力処理、および、入力された脅威情報を前記決定ルールに適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定する分析処理を実行させるための脅威分析プログラム。
【０１０５】
（付記１４）コンピュータに、説明変数に基づいて特定される関連情報を教師データに補充する補充処理を実行させ、ルール学習処理で、補充された教師データを用いてラフ集合分析を行わせ、入力処理で、前記関連情報を補充した脅威情報を入力させる付記１３記載の脅威分析プログラム。
【０１０６】
（付記１５）コンピュータに、分析対象の脅威情報を入力する入力処理、脅威事象を表わす複数の説明変数を含む脅威情報と当該脅威情報の判別結果とを含む教師データを用いて行われたラフ集合分析の結果生成された、当該説明変数の組合せに応じた判別結果を規定した決定ルールに、入力された脅威情報を適用して、当該脅威情報の判別結果および当該判別結果の根拠とする説明変数を特定する分析処理を実行させるための分析プログラム。
【０１０７】
以上、実施形態及び実施例を参照して本願発明を説明したが、本願発明は上記実施形態および実施例に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０１０８】
この出願は、２０１８年８月２１日に出願された日本特許出願２０１８−１５４６７４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０１０９】
１  脅威分析システム
１０  記憶部
２０  教師データ入力部
３０  決定ルール学習部
４０  決定ルール記憶部
５０  分析情報入力部
６０  分析部
７０  出力部
１００  決定ルール学習装置
２００  脅威分析装置
【図１】
2020039646.tif 000003
【図２】
2020039646.tif 000004
【図３】
2020039646.tif 000005
【図４】
2020039646.tif 000006
【図５】
2020039646.tif 000007
【図６】
2020039646.tif 000008
【図７】
2020039646.tif 000009
【図８】
2020039646.tif 000010
【図９】
2020039646.tif 000011
【図１０】
2020039646.tif 000012
【図１１】
2020039646.tif 000013
【図１２】
2020039646.tif 000014
【図１３】
2020039646.tif 000015
【図１４】
2020039646.tif 000016
【図１５】
2020039646.tif 000017
【国際調査報告】
2020039646.tif 000018
2020039646.tif 000019
2020039646.tif 000020
2020039646.tif 000021