FIT2018（第 17 回情報科学技術フォーラム）L-015

モデル化した攻撃活動のグラフ表現による分析の検討
A Graph Representation for Analyzing Modeled Attack Activity
中川 舜太† 永井 達也† 伊藤 大貴‡ 野村 健太‡ 神薗 雅紀‡
白石 善明† 瀧田 愼† 髙野 泰洋† 毛利 公美§ 森井 昌克†
Shunta Nakagawa Tatsuya Nagai Daiki Ito Kenta Nomura Masaki Kamizono
Yoshiaki Shiraishi Makoto Takita Yasuhiro Takano Masami Mohri Masakatu Morii
1. はじめに
特定の標的を狙って，長期間にわたり攻撃活動を行う
Advanced Persistent Threat(APT) 攻 撃 が 増 加 傾 向 に あ る ．
APT 攻撃は，検知を回避するために複数の侵入経路や攻撃経路を用いる．多様化する攻撃活動に対抗するため，脅威情報や脆弱性情報などを収集し，活用できるように分析・整理した脅威インテリジェンス（Threat Intelligence）という考え方が注目されている．脅威インテリジェンスを活用することで，過去の事例から次の攻撃の予測や，異なる攻撃間の関連性や背景に存在する攻撃者の推定ができると期待される．
脅威情報を脅威インテリジェンスとして活用するためには複数の事例から攻撃手法の特徴を把握したり，不足している項目を補完し合ったりするような複数の脅威情報を統合的に分析する必要がある．我々は，異なるフォーマット
で書かれた脅威情報を統一的に扱い，統合的に分析を行うことを目標としている．本研究は脅威情報をダイアモンド
モデルでモデル化し，サイバーキルチェーンに対応付け，共通項を持つ脅威情報の検索や比較するといったアプロー
チをとる中で，本論文では攻撃活動のグラフ表現と頻出部
分グラフマイニングの適用について検討する．

対して用いられる攻撃者のツールや技術，Infrastructure は
IP アドレスやドメイン名，メールアドレスなどの配送や制御等のための通信構造を示している．

2.3 Activity Thread
各イベントは Cyber Kill Chain の定義に則って，それぞれのフェーズに分類される．一つの攻撃活動に内包されているイベントの連鎖を，有向グラフで表したものを Activity
Thread と呼ぶ．攻撃活動におけるイベントの起こった順序を表現するため，遷移元のイベントと遷移先のイベント間を矢印で繋いでいく．そうすることで図 2 のような Activity
Thread を形成していく．Activity Thread を生成し，Activity
Thread 単位の分析を行うことによってイベントの因果関係を明確にできる．

2.4 ダイアモンドモデルとサイバーキルチェーンに基づく攻撃活動の分析
著者らは様々な形式でまとめられた脅威情報をサイバー
キルチェーンとダイアモンドモデルに基づいてモデル化す

2. 関連研究2.1 Cyber Kill Chain

攻撃を行うハッカー または侵入活動によって恩恵を受ける人物やグループ

Adversary

Infrastructure

サイバーキルチェーン[1]は，攻撃者の攻撃を段階（フェーズ）に分解する考え方である．フェーズは，Reconnaissance, Weaponization, Delivery, Exploitation,
Installation, Command&Controll（C2）, Action on Objectivesの七段階である．これは，できるだけ早い段階において攻撃を検知し，脅威を断ち切ることで，攻撃の最終目的を防ぐために用いられる．

2.2 Diamond Model

Diamond Model

例）IPアドレス, ドメイン名
EメールアドレスVictim

図1例）マルウェア，エクスプロイトハッカーツール，
盗難された証明書

Capability

被害者及び組織 または被害者の資産（メールアカウントやデータ）

Diamond Model

exampledate

攻撃者の段階的なアプローチを統合し，サイバーキルチ
ェ ー ン 分 析 を 補 完 す る こ と を 目 的 と し て ， Diamond
Model[2]が提案されている．Diamond Model は図 1 のように攻撃活動の最小単位であるイベントをダイアモンドで表し，ダイアモンドの各頂点にイベントが持つデータを配置するモデルである．イベントは攻撃(Adversary)，被害者(Victim)，
機能(Capability)，インフラストラクチャー(Infrastructure)と呼ばれるコア特徴のデータを持つ．Adversary と Victim はイベントにおける攻撃者と被害者，Capability はイベントに†神戸大学, Kobe University‡PwC サイバーサービス合同会社, PwC Cyber Services LLC§岐阜大学, Gifu University

161
第 4 分冊Adversary

A

Reconnaissance
Weaponization
Delivery
Exploitation*DownLoader.
LiftohInstallation
C2
Action on Objectives

Victim

図2*SmokeLoader*Securevpnalarm.net*Hssvpn.net*Victim‘s contacts

B

Activity Thread

Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.

FIT2018（第 17 回情報科学技術フォーラム）る手法を提案している[3]．また，脅威情報を適切に比較するため，統一された形式で脅威情報をモデル化してデータベースに格納する登録機能とデータの検索機能を備えた脅
威情報分析システムを開発している[4]．また，脅威情報構造 化 記 述 形式 で あ る STIX（ Structured Threat Information
eXpression）[5] 形式の脅威情報をダイアモンドモデルへモデル化する手法[6]を示している．

3. 頻出部分グラフマイニング
グラフマイニングはグラフデータの中から特徴的なグラフ構造を発見する手法である．グラフ集合から頻出する部
分構造を発見する頻出部分グラフマイニングアルゴリズムがある．例えば，図 3 のように，三つのグラフが与えられたとき，共通して持つ部分グラフを発見する．頻出部分グラフマイニングアルゴリズムの代表的なものとして，Yanと Han によって提案された gSpan[7]があげられる．

グラフデータ

頻出部分グラフ
エッジ1
エッジ2

A

C

A

A

B

A

B

A

B

A

C

A

B

A

B

A

C

A

C

A

B

A

B

れを繰り返すことで頻出する部分グラフを生成し，これらが出力される．

3.2 特徴的な攻撃活動を捉えるアプローチ
我々の手法によりモデル化した攻撃活動は有向グラフで表されている．複数の攻撃活動から頻出するパターンを抽出することにより攻撃手法等を分析することができれば，組織に応じた対策をとることができると考えられる．頻出するグラフ構造を調べるために，頻出部分グラフマイニン
アルゴリズムである gSpan を用いる．これにより頻出する
攻撃パターンを発見することができる．

4. 提案手法
4.1 攻撃活動のグラフ表現
攻撃活動を図 4 に示すようにグラフで表現する．イベン
トをフェーズノードとして配置する．フェーズノードは，所属するフェーズをラベルとして持つ（図中では，Reconnaissance, Weaponization, Delivery, Exploitation,
Installation, Command&Controll（C2）, Action on Objectives をそれぞれ P1～P7 と表記する) ．また，イベントが持つコア
特徴をコア特徴ノードとして配置する．コア特徴ノードは，
コア特徴の種類（Adversary, Victim, Capability, Infrastructure）とデータをラベルとして持つ．コア特徴ノードは自身を持つイベントのフェーズノードに接続する．このエッジにラベルとして CORE を与える（図中では C と表記する）．そして，イベント間の遷移は，フェーズノード間を接続し，このエッジにラベルとして RELATION を与える（図中では
R と表記する）．

図 3 頻出部分グラフマイニング

Adversary

Infrastructure

A1
C
Capability

3.1 gSpan
グラフ集合 D が与えられたとき，グラフgを部分グラフとして持つ D 中のグラフの数を支持度（support(g)）とす
る．最小支持度(minSup )がsupport(g) ≥ minSup満たすとき，g は頻出部分グラフであるという．gSpan は，
グラフデータセット D と最小支持度minSup を入力として与えると，D の頻出部分グラフをすべて出力する．
gSpan は，DFS コードでグラフ構造を表現する． DFS コ
ードは，深さ優先探索（DFS）によって生成され，ノードとエッジのラベルと探索する順番を持つ．しかし，始点ノードの選び方やエッジのたどり方により，一つのグラフか
ら複数の DFS コードが生成される．これを防ぐために，
DFS コードに大小関係を定義し，一つのグラフに対して，
最小 DFS コードを一つ定める．これをもとに頻出部分グラ
フマイニングを行う．
まず，頻出するノードとエッジをすべて抽出する．これをもとに，二つのノードとそれらを結ぶ一つのエッジを持つグラフを作成し，これらのうち頻出グラフを抽出する．
これをもとにノードとエッジを追加することで次の候補を生成する．これらのうち頻出であるものについて，さらにノードとエッジを追加することで次の候補を生成する．こI1CP3 C C1

Victim

R

I2

C

P4

C

C2

Adversary
当該イベントが起こっているフェーズ

A1
C
Infrastructure

I1

C

P3

C

C1 Capability

A1
C

I3

C
V1

C

P6

R
C

C1

C
V1

Victim(a) ダイアモンドモデルとグラフの対応関係(b) 攻撃活動のグラフ表現例

図 4 攻撃活動のグラフ表現

4.2 gSpan の適用収集した脅威情報の中で，頻出する攻撃パターンがわかれば，頻出する脅威が進行されやすいものであるかどうかがわかる．また，その攻撃で起こっているイベントがわかれば，その中でも早期に起こっているイベントを対策することで，攻撃が進行する前にその脅威を防ぐことができる．
4.1 節で述べたように，攻撃活動をグラフ構造で表す．
そのグラフ集合を gSpan に入力すると，頻出部分グラフと162
第 4 分冊Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.

FIT2018（第 17 回情報科学技術フォーラム）その支持度が出力される．出力される部分グラフをフェー
ズノード数，支持度によって分類する．
このとき，フェーズノード間の関係のみのグラフ（CORE は含まないが，RELATION を含む）はコア特徴を持たず，フェーズのみの情報は脅威対策に利用することができないので出力から除外する．また，gSpan から出力されている部分グラフは部分グラフを持つことがあり，同じまたは高い支持度として出力される．同じ支持度においては，部分グラフが部分グラフを持っている場合，これらは包含関係にあり，情報が最も多いものだけを見ればよいので，部分グラフを持つ部分グラフの中で最も大きいグラフを出力し，最も大きいグラフ以外は除外する．

4.3 出力の分析
4.3.1 フェーズノード数が多いグラフに着目した場合出力されたグラフの中でフェーズノード数が多いグラフに着目すれば，頻出する脅威の進行する様子を知ることができる．フェーズノード数が少ないグラフと比べて支持度が低いものが多くなる傾向があり，頻出する脅威が進行されやすいものであるかどうかがわかる．
出力例を図 5(a)に示す．これは，Exploitation フェーズにおける機能 1（C1）を持ったイベントと Installation フェー
ズにおけるインフラストラクチャー1（I1）を持ったイベ
ントと C2 フェーズにおける機能 2（C2）を持ったイベントと Installation フェーズにおけるイベント間の遷移である．
これにより，この脅威は進行しやすいことがわかる．分析者は機能 1（C1）やインフラストラクチャー1（I1）の対策をとることになる．
4.3.2 フェーズノード数が少ないグラフに着目した場合出力されたグラフの中でフェーズノード数が少ないグラ
フに着目すれば，より多くの脅威に頻出するイベントを知ることができる．フェーズノード数が多いグラフと比べて支持度が高いものが多くなる傾向があり，脅威情報に頻出するイベントがわかる．
出力の例を図 5(b)に示す．これは，Delivery フェーズにおけるインフラストラクチャー2（I2）と機能 3（C3）が含まれたイベントである．分析者はこれが頻出することがわかるのでそのイベントの対策をとることになる．

P4

C

C1

R
l1

C

P5
R
P6

C

C2

l2

C

P3

C

C3

R

5. 検証
5.1 検証の概要
ケーススタディでは脅威情報の具体例として，実際に公開されている六つのインシデントレポートを使用する．六
つのインシデントのモデル化を行ったものを図 6 に示す．
これらのインシデントレポートに関して，提案手法を適用する．これによって，頻出類似イベントと頻出攻撃パター
ンを発見する．この情報から注意すべき脅威を発見し，これを基にした以後の脅威への対策ができることを示す．
イ ン シ デ ン ト レ ポ ー ト の 内容 は 以 下 の 通 り で あ る ．
Symantec が 2012 年 10 月 10 日及び 2013 年 5 月 23 日に公開
した二つのレポート[8][9]，Secure Works が 2013 年 12 月 12日に公開した一つのレポート[10]及び Palo Alto Networks,
Malwarebytes LABS, Proofpoint がそれぞれ 2015 年 8 月 25 日，
2016 年 8 月 5 日，2016 年 11 月 15 日に発行したレポート[11]-[13]を比較する．以下ではこれらのレポートで報告されているインシデントを Sy121010，Sy130523，SW131212，
PA150825，ML160805，Pp161115 と表す．
Sy121010, Sy130523 は Skype などのインスタントメッセ
ージアプリケーションに対するソーシャルエンジニアリン
グ攻撃の事例を報告している．ユーザに対してメッセージ
とともに短縮 URL が送られ，ユーザがそのリンクを開くと攻撃者側のサイトにリダイレクトされる．そこで.zip ファ
イルをダウンロードするように指示され，正規のファイルを偽ったマルウェアが含まれている．このファイルを実行
するとマルウェアが侵入し，更に新しいマルウェアをダウ
ンロードする．
SW131212 はスパムメールによる攻撃の事例を報告している．メールには.doc ファイルとして偽装された悪質なリ
ッチテキスト(RTF)ファイルが添付されている．この RTF
ファイルには特定の脆弱性に対する攻撃が含まれ，それが成功するとマルウェアが被害者のシステムに侵入する．そしてそのマルウェアは 2 次的ペイロードとして別のマルウ
ェアをダウンロードする．
PA150825 は西欧州と日本を標的としたトロイの木馬を配信する標的型メール攻撃の事例を報告している．領収書を偽ったメールに Retefe と呼ばれるマルウェアを含んだ偽造ファイルが添付されている．そのマルウェアは偽造証明書を用い，最終的に攻撃者のプロキシサーバーが中間者攻撃を実行する．Retefe は上記の行動以外にも別のマルウェアである Smoke Loader をダウンロードすることも報告されている．ML160805 はその Smoke Loader の挙動を分析したレポートであり，特定の C2 アドレスを経由して別のマル
ウ ェ アを ダウ ンロ ード し てい る こと を報 告し てい る ．
Pp161115 は Kronos と呼ばれるマルウェアが引き起こす攻撃の事例を報告している．Kronos も 2 次的に別のマルウェ
アをダウンロードし，そのうちの一つが Smoke Loader である．

5.2 検証結果

P5(a)フェーズノード数が多いグラフの例(b)フェーズノード数が少ないグラフの例

図 5 出力の分析例

gSpan が出力したすべてのグラフを図 7 に示す．ただし，「×」印が付加されたものは，フェーズノード間の関係のみを表すグラフ，「 \ 」印が付加されたものは，そのグラフを部分グラフとして持つグラフが存在するグラフであり，それぞれ除外する．除外されずに残ったグラフを枠で囲ん

163
第 4 分冊Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.

FIT2018（第 17 回情報科学技術フォーラム）date

Sy121010

Sy130523

SW131212

PA150825

ML160805

Pp161115

2012/10/10

2013/5/23

2013/12/12

2015/8/25

2016/8/5

2016/11/15

Adversary
Reconnaissance
Weaponization
Delivery

I1

C1

Exploitation

C3

Installation

C4

C2
Action on
Objectives
Victim

C2

I2

C5

I1
etc.

C1

I3

C8
C9

C2 I4
I5

C6

C10
C11

C7

C7

I12

C8
C21

I7
C14
C15
C16

C12
C13

C17

C17
I9, I10
I11

I7
I8

I6

I2

C8,C21,C22

C8

C20 I13

C23 I14

C17

I15

C24
I14

I16

C18
V1

V3,V4,V5

V2

Spanish –speaking
countries in Latin
America

EU and North
America

EU and North America

I1: goo.gl Link, I2: a URL on Hotfile.com, I3: a URL on 4shared.com, I4: auto-notify@ups.com, I5: auto@ups.com,
I6: feed404.dnsquerys.com (Host), I7: securevpnalarm.net, I8: hsshvpn.net I9: smoktruefalse.com, I10: prince-of-persia24.ru,
I11: med-global-fox.com, I12: hxxp://intranet.excelsharepoint[.]com, I13: hxxp://info.docs-sharepoint[.]com/,
I14: hxxp://networkupdate[.]online/, I15: hxxp://webfeed.updatesnetwork[.]com/, I16: hxxp://invoicesharepoint[.]com/
C1: Skype, C2: .zip Files, C3: a legitimate instant messaging file., C4: W32.IRCBot.NG, C5: W32.Phopifas, C6: .exe file,C7: Downloader.Liftoh, C8: Spear-phish email, C9: a RTF file disguised as a .doc file., C10: CVE-2012-0158, C11: CVE-2010-3333,
C12: Bitcoin miner, C13: a variant of Zeus/Zbot (version 2.1.1.2), C14: Retefe, C15: Windows RowerShell,
C16: a fake “thawte Inc.” certificate, C17: Smoke Loader, C18: man-in-the-middle attack, C20:IRC bot, C21: .doc file, C22: Web Link,
C23: Kronos, C24: ScanPOS
V1: Victim’s contacts, V2: the data for the bank, V3: The stolen track data, V4: The process in which the data was found, V5:The username

図 6 モデル化したインシデントレポート
でいる．以下では，フェーズノード数が 6 個，5 個，3 個，
1 個であるグラフについて考察する．
5.2.1 フェーズノード数が 6 個であるとき
支持度 2 のグラフとして，Delivery フェーズにある goo.gl
Link（I1）と Skype（C1）を含むイベントと Delivery フェーズにある.zip Files（C2）を含むイベントと Exploitation フ
ェーズにあるイベントと Installation フェーズにあるイベン
トと C2 フェーズにあるイベントと Installation フェーズにあるイベント間の遷移が 2 件のインシデントレポート（Sy121010，Sy130523）に含まれる．これにより，イベン
トが C2 フェーズまで達しており，非常に進行されやすい攻撃であることがわかる．分析者は攻撃を防ぐために，初期のフェーズで対策をとることで，攻撃の進行を止めることができる．
5.2.2 フェーズノード数が 5 個であるとき支持度が 2 のグラフとして， Delivery フェーズにあるイベントと Exploitation フェーズにあるイベントと Installation
フェーズにある Downloader.liftoh（C7）を含むイベントとC2 フェーズにあるイベントと Installation フェーズにあるイベント間の遷移が 2 件のインシデントレポート（Sy130523，
SW131212）に含まれる．これにより，イベントが C2 フェーズまで達しており，Downloader.liftoh が用いられる攻撃
は進行しやすいことがわかる．分析者は，これの対策をすることで攻撃の進行を止めることができる．
また，支持度 2 のグラフとして，Delivery フェーズにある Spear-phish email（C8）を含むイベントと Exploitation フ
ェーズにあるイベントと Installation フェーズにあるイベン
トと C2 フェーズにあるイベントと Installation フェーズにあるイベント間の遷移が 2 件のインシデントレポート（SW131212，Pp161115）に含まれる．これにより，イベ
ントが C2 フェーズまで達しており，Spear-phish email を含むイベントは進行しやすいことがわかる．分析者は，これの対策をすることで，早期に攻撃の進行を止めることができる．
5.2.3 フェーズノード数が 3 個であるとき支持度が 3 のグラフとして，Installation フェーズにあるイベントと C2 フェーズにあるイベントと Installation フェーズにある Smoke Loader（C17）を含むイベントの遷移が 3
件 の イ ン シ デ ン ト レ ポ ー ト （ PA150825 ， ML160805 ，Pp161115）に含まれる． また，支持度が 2 のグラフとして，
Installation フェーズにある Smoke Loader（C17）を含むイベ
ントと C2 フェーズにあるイベントと Action on Objectives フ
ェーズにあるイベント間の遷移が 2 件のインシデントレポート（PA150825，Pp161115）に含まれる．
しかし，無向グラフによる取扱いのため，反対の遷移のものもカウントされてしまい，本来以上の支持度を持って出力されている．有向グラフを用いて，無向グラフと同様に簡単に分析を行う方法を作成することが課題である．
5.2.4 フェーズノード数が 1 個であるとき
支持度 3 のグラフとして，Delivery フェーズにある Spearphish email（C8）を含むイベントが 3 件のインシデントレ
ポート（SW131212，PA150825，Pp161115）に含まれる．
これにより，Spear-phish email が攻撃によく用いられていることがわかる．分析者は，これに特化した対策をとること
で多くの脅威を防ぐことができる．

164
第 4 分冊Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.

FIT2018（第 17 回情報科学技術フォーラム）

支持度
6

5

4

3
P3

1

P5
P3

P5

P5
R

R
P4

P6

2

P6

P5

3

P3

P3

P5

C
C17

l1

C

C

P4

C

l1

P5

P4

P3

C
C1

P3

R
C
C2

P3

P3

C

P3

R
P3

P5

C

C

l1

P3

C1

C

P3

C2

P4

P5

l1

R

C

P3

R

R
P3

P5
R

R
P5

R
C

P6

R

R

l1

C

P3

P3

P3

P4

C2

l1

C

P3

P3

P5

P3

l1

C

P3

C2

R
P5

R
P5
R

R
P6

P6
R

P5

R

R
P5

R
P6

R

R

R

R
P6

P4

P5

P6

R
P5

R

R
P4

R

R
P5

P3 C C2

P3

P5

R
P4

P3

R

R

R

R
P6

R
P3

P3

R

R

C
C1

R

P4

P5

P5

P3

P3

R

R

R

P3 C C1

C P3

R
P4

P6

R

P4

P6

R

R

l1

R
P3 C C2

P5

P6

R

R

P5

C1

P3

P4

R

R

P5

P6
R

C

C
C2
R

P5
R

R
C

P3

R

R

P4
R

R

P5

P3

P3

P5

P6

C1

R

R

R

R

C2

P4

P5

P6

C

C1

P4

P6

R

R

R

R

P3

C

R
C
P3
C2

P5
R

C

P3

R

P6

l1
R
C

P4

P5

P6

C1

R

R
P5

P5

R
C

R
P5

P4
R

R

P4

P3

P5

C2

R

R
C2

R
C

R

R

P6

R

R

P4

6

C

R
C

P3

R

P5

P4
R

R

P7

P3

l1 C P3 C C1

P3

P3

P5

P5

R

C

C1

P4

P5

l1

C

P3

R

R

R

R

R
P4

R

R

P4

P6

P3

P4

C
C1

P3

R
P6

C2

C
C8

P3

C2

R
C
P3
C2

P5

P5

P3

C

R

R

R

R

C7

l1 C P3

P5

P4

P6
R

R

l1

C1

P4

R

P4

P4

P6

R

R

R
P5

P3 C C8

R
C

R
P6

R
C

P5

P3

P5

P6

C

P4

R
C7

R

P5

P3

P3

R

P5

P3

C2

P4
R

P5

P3
R
C
R

P4
R

P4

P3

C2

R

P3

P4

C1

P4
R
C
R

R
P5

R

P6

P5

C1

C
R
C

R

P4

C7

C

P3

P3
R

P6
R

C1

P3

P3

P3

R

R

R

P6

P3

P4

P4
R
C

P3
R

C2

C

P5

P3

R

R

P3

P3

C2

R

P5

P3

C

l1

R

P5

l1

C8

P4
R

P4

R

P5

C

R
C

C

R
P7

C2

R

P6

P6
C C1

P3

P3

P3

R
C7

R
C

P3

P5 C C7
R
C

P6

P3

P3

R
C7

C1

R

P3

C2

P5
R
C

C

P3
R

P4

R

P5

P4

P5

C
R
C

R
C

P3

P4

P4

R

R

P5

P3

R
P3 C C2

P4

R

5

l1

R

R

R

C1

P4

C

l1

P3

P5

R

P6

R

R

P4

P6

C2

CC8

P3

R

P3

R

P4

l1

l1

C2

C

R

P3

P5

C

P3

P3

R

C

P4

R

P4

C

C1

C
C7

P5

R

P7
C

P4
R
C
P5
C7

R

l1

C2

R

R

P3

P4

R

P3

P5 C C17

C

C
C7

P5

P4

P3

P3

P3

C

P3

P3

R

R

C1

C2

P3

P6

R
C
P5
C17

P3

P6

C

C

R

P6
R

l1

C1

C

P3

C1

R

R

R

P5

4

P3

C

P3

R

R

フ
ェ
ー
ズ
ノ
ー
ド
数

C17

P3

P5

R

C

C

l1

R

R

R

C C8

P6

P4

P5

2

P5

図 7 出力された頻出部分グラフ

165
第 4 分冊Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.

FIT2018（第 17 回情報科学技術フォーラム）6. まとめ
本論文では攻撃活動を統合的な分析に向けて，モデル化
した脅威情報をグラフで表現する方法と頻出部分グラフマ
イニングを用いる手法を提案した．頻出部分グラフマイニ
ングアルゴリズムの出力結果に対して，頻出する脅威の進行する様子と脅威情報に頻出するイベントをフェーズノー
ド数の大小により確認できることをケーススタディにより示した．
本論文での無向グラフによる攻撃活動の表現で有用な情報が得られることを確認できたが，有向グラフで同様の分析を行う方法を示すことが課題である．
謝辞
本研究の一部は JSPS 科研費 16K00184 の助成を受けたも
のである．
参考文献
[1] M.E. Hutchins, J.M. Cloppert, and R.M. Amin, “Intelligence-driven
computer network defense informed by analysis of adversary
campaigns and intrusion kill chains,” Leading Issues in Information
Warfare & Security Research, Vol.1, pp.80-106, 2011.
[2] S. Caltagirone, P. Andrew, and B. Christopher, “The Diamond Modelof Intrusion Analysis,” Center for Cyber Threat Intelligence and Threat
Research, Hanover, MD, 2013.
[3] 野村健太，伊藤大貴，神薗雅紀，白石善明，高野泰洋，毛利公美，星澤裕二，森井昌克，“脅威情報の統合的分析に向けた攻撃活動のモデル化”，電子情報通信学会技術研究報告（情報通信システムセキュリティ），ICSS2016-47， pp.7-12，2017 年 3月．
[4] 伊藤大貴，永井達也，野村健太，近藤秀紀，神薗雅紀，白石善明，古本啓祐，瀧田愼，毛利公美，高野泰洋，森井昌克，“スレットインテリジェンスのためのダイアモンドモデルに基づく
脅威情報分析システム”，電子情報通信学会論文誌（D），
Vol.J101-D，No.10，2018 年 10 月．
[5] 情報処理推進機構,“脅威情報構造化記述形式 STIX 概説,”
https://www.ipa.go.jp/security/vuln/ STIX.html, 2015 年 7 月 22 日.
[6] 近藤秀紀，永井達也，伊藤大貴，野村健太，神薗雅紀，白石善明，古本啓祐，瀧田愼，高野泰洋，毛利公美，森井昌克，“Structured Threat Information eXpression で記述された情報のモデル化”，電子情報通信学会技術研究報告（情報通信システム
セキュリティ），ICSS2017-75, pp.145-150, 2018 年 3 月．
[7] X. Yan and J. Han, “gSpan: Graph-Based Substructure Pattern Mining,”
Proc. 2002 of Int. Conf. on Data Mining (ICDM'02), (Expanded
Version, UIUC Technical Report, UIUCDCS-R-2002-2296).
[8] K. Savage, “W32.Phopifas Cons Over 2.5 Million Clicks with LOL
Links,” [Online] http://www.symantec.com/connect/blogs/
w32phopifas-cons-over-25-million-clicks-lol-links, Oct.10, 2012.
[9] R. Calvo, “Downloader.LiftohcousintoW32. Phopifas?,” [Online]
https://www.symantec.com/connect/blogs/downloaderliftohcousinw32phopifas, May 23, 2013.
[10] E. Kumar, “Spam Campaign Delivers Liftoh Downloader,” [Online]
https://www.secureworks.com/research/spamcampaign-deliversliftoh-downloader, Dec. 23, 2013.
[11] B. Levene, R. Falcone, J. Grunzweig, B. Lee, and R. Olson, “Retefe
Banking Trojan Targets Sweden, Switzerland and Japan,” [Online]
http://researchcenter.paloaltonetworks.com/2015/08/retefe-bankingtrojan-targets-sweden-switzerlandand-japan/, Aug. 20, 2015.
[12] MalwarebytesLabs, “SmokeLoader downloader with assmokescreen still alive,” [Online] https://blog.malwarebytes.com/
threatanalysis/2016/08/smoke-loader-downloader-with-asmokescreen-alive/, Aug. 5, 2016.
[13] Proofpoint Staff, “Kronos Banking Trojan Used to Deliver New
Point-of-Sale Malware,” [Online] https://www.proofpoint.com/us/
threatinsight/post/kronos-banking-trojan-used-to-delivernew-point-ofsale-malware, Nov. 5, 2016.

166
第 4 分冊Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.