FIT2018（第 17 回情報科学技術フォーラム）L-015

モデル化した攻撃活動のグラフ表現による分析の検討
A Graph Representation for Analyzing Modeled Attack Activity
中川 舜太† 永井 達也† 伊藤 大貴‡ 野村 健太‡ 神薗 雅紀‡
白石 善明† 瀧田 愼† 髙野 泰洋† 毛利 公美§ 森井 昌克†
Shunta Nakagawa Tatsuya Nagai Daiki Ito Kenta Nomura Masaki Kamizono
Yoshiaki Shiraishi Makoto Takita Yasuhiro Takano Masami Mohri Masakatu Morii
1. はじめに
特定の標的を狙って，長期間にわたり攻撃活動を行う
Advanced Persistent Threat(APT) 攻 撃 が 増 加 傾 向 に あ る ．
APT 攻撃は，検知を回避するために複数の侵入経路や攻撃経路を用いる．多様化する攻撃活動に対抗するため，脅威情報や脆弱性情報などを収集し，活用できるように分析・整理した脅威インテリジェンス（Threat Intelligence）という考え方が注目されている．脅威インテリジェンスを活用することで，過去の事例から次の攻撃の予測や，異なる攻撃間の関連性や背景に存在する攻撃者の推定ができると期待される．
脅威情報を脅威インテリジェンスとして活用するためには複数の事例から攻撃手法の特徴を把握したり，不足している項目を補完し合ったりするような複数の脅威情報を統合的に分析する必要がある．我々は，異なるフォーマットで書かれた脅威情報を統一的に扱い，統合的に分析を行うことを目標としている．本研究は脅威情報をダイアモンドモデルでモデル化し，サイバーキルチェーンに対応付け，共通項を持つ脅威情報の検索や比較するといったアプロー
チをとる中で，本論文では攻撃活動のグラフ表現と頻出部分グラフマイニングの適用について検討する．

対して用いられる攻撃者のツールや技術，Infrastructure はIP アドレスやドメイン名，メールアドレスなどの配送や制御等のための通信構造を示している．

2.3 Activity Thread
各イベントは Cyber Kill Chain の定義に則って，それぞれのフェーズに分類される．一つの攻撃活動に内包されているイベントの連鎖を，有向グラフで表したものを Activity
Thread と呼ぶ．攻撃活動におけるイベントの起こった順序を表現するため，遷移元のイベントと遷移先のイベント間を矢印で繋いでいく．そうすることで図 2 のような Activity
Thread を形成していく．Activity Thread を生成し，ActivityThread 単位の分析を行うことによってイベントの因果関係を明確にできる．

2.4 ダイアモンドモデルとサイバーキルチェーンに基づく攻撃活動の分析
著者らは様々な形式でまとめられた脅威情報をサイバーキルチェーンとダイアモンドモデルに基づいてモデル化す

2. 関連研究2.1 Cyber Kill Chain

攻撃を行うハッカー または侵入活動によって恩恵を受ける人物やグループ

Adversary

Infrastructure

サイバーキルチェーン[1]は，攻撃者の攻撃を段階（フェーズ）に分解する考え方である．フェーズは，Reconnaissance, Weaponization, Delivery, Exploitation,Installation, Command&Controll（C2）, Action on Objectivesの七段階である．これは，できるだけ早い段階において攻撃を検知し，脅威を断ち切ることで，攻撃の最終目的を防ぐために用いられる．

2.2 Diamond Model

Diamond Model例）IPアドレス, ドメイン名
EメールアドレスVictim

図1例）マルウェア，
エクスプロイトハッカーツール，盗難された証明書

Capability

被害者及び組織 または被害者の資産（メールアカウントやデータ）

Diamond Model

exampledate

攻撃者の段階的なアプローチを統合し，サイバーキルチ
ェ ー ン 分 析 を 補 完 す る こ と を 目 的 と し て ， Diamond
Model[2]が提案されている．Diamond Model は図 1 のように攻撃活動の最小単位であるイベントをダイアモンドで表し，ダイアモンドの各頂点にイベントが持つデータを配置するモデルである．イベントは攻撃(Adversary)，被害者(Victim)，機能(Capability)，インフラストラクチャー(Infrastructure)と呼ばれるコア特徴のデータを持つ．Adversary と Victim はイベントにおける攻撃者と被害者，Capability はイベントに†神戸大学, Kobe University‡PwC サイバーサービス合同会社, PwC Cyber Services LLC§岐阜大学, Gifu University

161
第 4 分冊AdversaryA

Reconnaissance
Weaponization
Delivery
Exploitation*DownLoader.
LiftohInstallation
C2Action on Objectives

Victim

図2*SmokeLoader*Securevpnalarm.net*Hssvpn.net*Victim‘s contacts

B

Activity Thread

Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.

FIT2018（第 17 回情報科学技術フォーラム）る手法を提案している[3]．また，脅威情報を適切に比較するため，統一された形式で脅威情報をモデル化してデータベースに格納する登録機能とデータの検索機能を備えた脅
威情報分析システムを開発している[4]．また，脅威情報構造 化 記 述 形式 で あ る STIX（ Structured Threat InformationeXpression）[5] 形式の脅威情報をダイアモンドモデルへモデル化する手法[6]を示している．

3. 頻出部分グラフマイニング
グラフマイニングはグラフデータの中から特徴的なグラフ構造を発見する手法である．グラフ集合から頻出する部分構造を発見する頻出部分グラフマイニングアルゴリズムがある．例えば，図 3 のように，三つのグラフが与えられたとき，共通して持つ部分グラフを発見する．頻出部分グラフマイニングアルゴリズムの代表的なものとして，Yanと Han によって提案された gSpan[7]があげられる．

グラフデータ

頻出部分グラフ
エッジ1
エッジ2

A

C

A

A

B

A

B

AB

ACA

BAB

ACACA

B

A

B

れを繰り返すことで頻出する部分グラフを生成し，これらが出力される．

3.2 特徴的な攻撃活動を捉えるアプローチ
我々の手法によりモデル化した攻撃活動は有向グラフで表されている．複数の攻撃活動から頻出するパターンを抽出することにより攻撃手法等を分析することができれば，組織に応じた対策をとることができると考えられる．頻出するグラフ構造を調べるために，頻出部分グラフマイニンアルゴリズムである gSpan を用いる．これにより頻出する攻撃パターンを発見することができる．

4. 提案手法
4.1 攻撃活動のグラフ表現
攻撃活動を図 4 に示すようにグラフで表現する．イベン
トをフェーズノードとして配置する．フェーズノードは，所属するフェーズをラベルとして持つ（図中では，Reconnaissance, Weaponization, Delivery, Exploitation,Installation, Command&Controll（C2）, Action on Objectives をそれぞれ P1～P7 と表記する) ．また，イベントが持つコア特徴をコア特徴ノードとして配置する．コア特徴ノードは，コア特徴の種類（Adversary, Victim, Capability, Infrastructure）とデータをラベルとして持つ．コア特徴ノードは自身を持つイベントのフェーズノードに接続する．このエッジにラベルとして CORE を与える（図中では C と表記する）．そして，イベント間の遷移は，フェーズノード間を接続し，このエッジにラベルとして RELATION を与える（図中ではR と表記する）．

図 3 頻出部分グラフマイニング

AdversaryInfrastructure

A1CCapability

3.1 gSpan
グラフ集合 D が与えられたとき，グラフgを部分グラフとして持つ D 中のグラフの数を支持度（support(g)）とする．最小支持度(minSup )がsupport(g) ≥ minSup満たすとき，g は頻出部分グラフであるという．gSpan は，グラフデータセット D と最小支持度minSup を入力として与えると，D の頻出部分グラフをすべて出力する．
gSpan は，DFS コードでグラフ構造を表現する． DFS コードは，深さ優先探索（DFS）によって生成され，ノードとエッジのラベルと探索する順番を持つ．しかし，始点ノードの選び方やエッジのたどり方により，一つのグラフから複数の DFS コードが生成される．これを防ぐために，
DFS コードに大小関係を定義し，一つのグラフに対して，最小 DFS コードを一つ定める．これをもとに頻出部分グラフマイニングを行う．
まず，頻出するノードとエッジをすべて抽出する．これをもとに，二つのノードとそれらを結ぶ一つのエッジを持つグラフを作成し，これらのうち頻出グラフを抽出する．
これをもとにノードとエッジを追加することで次の候補を生成する．これらのうち頻出であるものについて，さらにノードとエッジを追加することで次の候補を生成する．こI1CP3 C C1Victim

R

I2

C

P4

C

C2

Adversary
当該イベントが起こっている
フェーズ

A1
C
Infrastructure

I1

C

P3

C

C1 Capability

A1
C

I3

C
V1

C

P6

R
C

C1

C
V1

Victim(a) ダイアモンドモデルとグラフの対応関係(b) 攻撃活動のグラフ表現例

図 4 攻撃活動のグラフ表現

4.2 gSpan の適用収集した脅威情報の中で，頻出する攻撃パターンがわかれば，頻出する脅威が進行されやすいものであるかどうかがわかる．また，その攻撃で起こっているイベントがわかれば，その中でも早期に起こっているイベントを対策することで，攻撃が進行する前にその脅威を防ぐことができる．
4.1 節で述べたように，攻撃活動をグラフ構造で表す．
そのグラフ集合を gSpan に入力すると，頻出部分グラフと162
第 4 分冊Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.

FIT2018（第 17 回情報科学技術フォーラム）その支持度が出力される．出力される部分グラフをフェーズノード数，支持度によって分類する．
このとき，フェーズノード間の関係のみのグラフ（CORE は含まないが，RELATION を含む）はコア特徴を持たず，フェーズのみの情報は脅威対策に利用することができないので出力から除外する．また，gSpan から出力されている部分グラフは部分グラフを持つことがあり，同じまたは高い支持度として出力される．同じ支持度においては，部分グラフが部分グラフを持っている場合，これらは包含関係にあり，情報が最も多いものだけを見ればよいので，部分グラフを持つ部分グラフの中で最も大きいグラフを出力し，最も大きいグラフ以外は除外する．

4.3 出力の分析
4.3.1 フェーズノード数が多いグラフに着目した場合出力されたグラフの中でフェーズノード数が多いグラフに着目すれば，頻出する脅威の進行する様子を知ることができる．フェーズノード数が少ないグラフと比べて支持度が低いものが多くなる傾向があり，頻出する脅威が進行されやすいものであるかどうかがわかる．
出力例を図 5(a)に示す．これは，Exploitation フェーズにおける機能 1（C1）を持ったイベントと Installation フェー
ズにおけるインフラストラクチャー1（I1）を持ったイベントと C2 フェーズにおける機能 2（C2）を持ったイベントと Installation フェーズにおけるイベント間の遷移である．
これにより，この脅威は進行しやすいことがわかる．分析者は機能 1（C1）やインフラストラクチャー1（I1）の対策をとることになる．
4.3.2 フェーズノード数が少ないグラフに着目した場合出力されたグラフの中でフェーズノード数が少ないグラ
フに着目すれば，より多くの脅威に頻出するイベントを知ることができる．フェーズノード数が多いグラフと比べて支持度が高いものが多くなる傾向があり，脅威情報に頻出するイベントがわかる．
出力の例を図 5(b)に示す．これは，Delivery フェーズにおけるインフラストラクチャー2（I2）と機能 3（C3）が含まれたイベントである．分析者はこれが頻出することがわかるのでそのイベントの対策をとることになる．

P4

C

C1

R
l1

C

P5R
P6C

C2

l2

C

P3

C

C3

R

5. 検証
5.1 検証の概要
ケーススタディでは脅威情報の具体例として，実際に公開されている六つのインシデントレポートを使用する．六つのインシデントのモデル化を行ったものを図 6 に示す．
これらのインシデントレポートに関して，提案手法を適用する．これによって，頻出類似イベントと頻出攻撃パターンを発見する．この情報から注意すべき脅威を発見し，これを基にした以後の脅威への対策ができることを示す．
イ ン シ デ ン ト レ ポ ー ト の 内容 は 以 下 の 通 り で あ る ．
Symantec が 2012 年 10 月 10 日及び 2013 年 5 月 23 日に公開
した二つのレポート[8][9]，Secure Works が 2013 年 12 月 12日に公開した一つのレポート[10]及び Palo Alto Networks,
Malwarebytes LABS, Proofpoint がそれぞれ 2015 年 8 月 25 日，2016 年 8 月 5 日，2016 年 11 月 15 日に発行したレポート[11]-[13]を比較する．以下ではこれらのレポートで報告されているインシデントを Sy121010，Sy130523，SW131212，
PA150825，ML160805，Pp161115 と表す．
Sy121010, Sy130523 は Skype などのインスタントメッセージアプリケーションに対するソーシャルエンジニアリン
グ攻撃の事例を報告している．ユーザに対してメッセージとともに短縮 URL が送られ，ユーザがそのリンクを開くと攻撃者側のサイトにリダイレクトされる．そこで.zip ファ
イルをダウンロードするように指示され，正規のファイルを偽ったマルウェアが含まれている．このファイルを実行
するとマルウェアが侵入し，更に新しいマルウェアをダウンロードする．
SW131212 はスパムメールによる攻撃の事例を報告している．メールには.doc ファイルとして偽装された悪質なリッチテキスト(RTF)ファイルが添付されている．この RTF
ファイルには特定の脆弱性に対する攻撃が含まれ，それが成功するとマルウェアが被害者のシステムに侵入する．そしてそのマルウェアは 2 次的ペイロードとして別のマルウ
ェアをダウンロードする．
PA150825 は西欧州と日本を標的としたトロイの木馬を配信する標的型メール攻撃の事例を報告している．領収書を偽ったメールに Retefe と呼ばれるマルウェアを含んだ偽造ファイルが添付されている．そのマルウェアは偽造証明書を用い，最終的に攻撃者のプロキシサーバーが中間者攻撃を実行する．Retefe は上記の行動以外にも別のマルウェアである Smoke Loader をダウンロードすることも報告されている．ML160805 はその Smoke Loader の挙動を分析したレポートであり，特定の C2 アドレスを経由して別のマルウ ェ アを ダウ ンロ ード し てい る こと を報 告し てい る ．
Pp161115 は Kronos と呼ばれるマルウェアが引き起こす攻撃の事例を報告している．Kronos も 2 次的に別のマルウェアをダウンロードし，そのうちの一つが Smoke Loader である．

5.2 検証結果

P5(a)フェーズノード数が多いグラフの例(b)フェーズノード数が少ないグラフの例

図 5 出力の分析例

gSpan が出力したすべてのグラフを図 7 に示す．ただし，「×」印が付加されたものは，フェーズノード間の関係のみを表すグラフ，「 \ 」印が付加されたものは，そのグラフを部分グラフとして持つグラフが存在するグラフであり，それぞれ除外する．除外されずに残ったグラフを枠で囲ん

163
第 4 分冊Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.

FIT2018（第 17 回情報科学技術フォーラム）date

Sy121010

Sy130523

SW131212

PA150825

ML160805

Pp161115

2012/10/10

2013/5/23

2013/12/12

2015/8/25

2016/8/5

2016/11/15

Adversary
Reconnaissance
Weaponization
Delivery

I1

C1

Exploitation

C3

Installation

C4

C2
Action on
Objectives
Victim

C2

I2

C5

I1
etc.

C1

I3

C8C9

C2 I4
I5C6C10C11C7C7I12C8C21I7C14C15C16C12C13C17C17I9, I10
I11I7I8I6I2C8,C21,C22C8C20 I13

C23 I14

C17I15C24I14I16C18V1V3,V4,V5V2

Spanish –speakingcountries in Latin
America

EU and NorthAmerica

EU and North America

I1: goo.gl Link, I2: a URL on Hotfile.com, I3: a URL on 4shared.com, I4: auto-notify@ups.com, I5: auto@ups.com,
I6: feed404.dnsquerys.com (Host), I7: securevpnalarm.net, I8: hsshvpn.net I9: smoktruefalse.com, I10: prince-of-persia24.ru,
I11: med-global-fox.com, I12: hxxp://intranet.excelsharepoint[.]com, I13: hxxp://info.docs-sharepoint[.]com/,
I14: hxxp://networkupdate[.]online/, I15: hxxp://webfeed.updatesnetwork[.]com/, I16: hxxp://invoicesharepoint[.]com/
C1: Skype, C2: .zip Files, C3: a legitimate instant messaging file., C4: W32.IRCBot.NG, C5: W32.Phopifas, C6: .exe file,C7: Downloader.Liftoh, C8: Spear-phish email, C9: a RTF file disguised as a .doc file., C10: CVE-2012-0158, C11: CVE-2010-3333,
C12: Bitcoin miner, C13: a variant of Zeus/Zbot (version 2.1.1.2), C14: Retefe, C15: Windows RowerShell,
C16: a fake “thawte Inc.” certificate, C17: Smoke Loader, C18: man-in-the-middle attack, C20:IRC bot, C21: .doc file, C22: Web Link,
C23: Kronos, C24: ScanPOS
V1: Victim’s contacts, V2: the data for the bank, V3: The stolen track data, V4: The process in which the data was found, V5:The username

図 6 モデル化したインシデントレポート
でいる．以下では，フェーズノード数が 6 個，5 個，3 個，1 個であるグラフについて考察する．
5.2.1 フェーズノード数が 6 個であるとき
支持度 2 のグラフとして，Delivery フェーズにある goo.glLink（I1）と Skype（C1）を含むイベントと Delivery フェーズにある.zip Files（C2）を含むイベントと Exploitation フ
ェーズにあるイベントと Installation フェーズにあるイベン
トと C2 フェーズにあるイベントと Installation フェーズにあるイベント間の遷移が 2 件のインシデントレポート（Sy121010，Sy130523）に含まれる．これにより，イベン
トが C2 フェーズまで達しており，非常に進行されやすい攻撃であることがわかる．分析者は攻撃を防ぐために，初期のフェーズで対策をとることで，攻撃の進行を止めることができる．
5.2.2 フェーズノード数が 5 個であるとき支持度が 2 のグラフとして， Delivery フェーズにあるイベントと Exploitation フェーズにあるイベントと Installation
フェーズにある Downloader.liftoh（C7）を含むイベントとC2 フェーズにあるイベントと Installation フェーズにあるイベント間の遷移が 2 件のインシデントレポート（Sy130523，
SW131212）に含まれる．これにより，イベントが C2 フェーズまで達しており，Downloader.liftoh が用いられる攻撃は進行しやすいことがわかる．分析者は，これの対策をすることで攻撃の進行を止めることができる．
また，支持度 2 のグラフとして，Delivery フェーズにある Spear-phish email（C8）を含むイベントと Exploitation フ
ェーズにあるイベントと Installation フェーズにあるイベン
トと C2 フェーズにあるイベントと Installation フェーズにあるイベント間の遷移が 2 件のインシデントレポート（SW131212，Pp161115）に含まれる．これにより，イベントが C2 フェーズまで達しており，Spear-phish email を含むイベントは進行しやすいことがわかる．分析者は，これの対策をすることで，早期に攻撃の進行を止めることができる．
5.2.3 フェーズノード数が 3 個であるとき支持度が 3 のグラフとして，Installation フェーズにあるイベントと C2 フェーズにあるイベントと Installation フェーズにある Smoke Loader（C17）を含むイベントの遷移が 3
件 の イ ン シ デ ン ト レ ポ ー ト （ PA150825 ， ML160805 ，Pp161115）に含まれる． また，支持度が 2 のグラフとして，Installation フェーズにある Smoke Loader（C17）を含むイベ
ントと C2 フェーズにあるイベントと Action on Objectives フ
ェーズにあるイベント間の遷移が 2 件のインシデントレポート（PA150825，Pp161115）に含まれる．
しかし，無向グラフによる取扱いのため，反対の遷移のものもカウントされてしまい，本来以上の支持度を持って出力されている．有向グラフを用いて，無向グラフと同様に簡単に分析を行う方法を作成することが課題である．
5.2.4 フェーズノード数が 1 個であるとき
支持度 3 のグラフとして，Delivery フェーズにある Spearphish email（C8）を含むイベントが 3 件のインシデントレポート（SW131212，PA150825，Pp161115）に含まれる．
これにより，Spear-phish email が攻撃によく用いられていることがわかる．分析者は，これに特化した対策をとることで多くの脅威を防ぐことができる．

164
第 4 分冊Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.

FIT2018（第 17 回情報科学技術フォーラム）支持度
6543P31P5P3P5P5RR
P4P62P6P53P3P3P5C
C17

l1CCP4C

l1P5P4P3C
C1P3RC
C2P3P3CP3RP3P5CC

l1P3C1CP3C2P4P5l1RCP3R

R
P3P5R

R
P5R
CP6R

R

l1CP3P3P3P4C2l1CP3P3P5P3l1CP3C2R
P5R
P5R

R
P6P6R

P5R

R
P5R
P6R

R

R

R
P6P4P5P6R
P5R

R
P4R

R
P5P3 C C2P3P5R
P4P3R

R

R

R
P6R
P3P3R

R

CC1R

P4P5P5P3P3R

R

R

P3 C C1C P3R
P4P6R

P4P6R

R

l1R
P3 C C2P5P6R

R

P5C1P3P4R

R

P5P6R

CCC2R

P5R

RCP3R

R

P4R

R

P5P3P3P5P6C1R

R

R

R

C2P4P5P6CC1P4P6R

R

R

R

P3CRCP3C2P5RCP3R

P6l1RCP4P5P6C1R

R
P5P5RCR
P5P4R

R

P4P3P5C2R

RC2RCR

R

P6R

R

P46CRCP3R

P5P4R

R

P7P3l1 C P3 C C1P3P3P5P5R

CC1P4P5l1CP3R

R

RRRP4R

R

P4P6P3P4CC1P3R
P6C2CC8P3C2RCP3C2P5P5P3CR

R

R

R

C7l1 C P3P5P4P6R

R

l1C1P4R

P4P4P6R

RR
P5P3 C C8RCR
P6RCP5P3P5P6CP4RC7R

P5P3P3R

P5P3C2P4R

P5P3RCR

P4R

P4P3C2R

P3P4C1P4RCR

R
P5R

P6P5C1CRCR

P4C7CP3P3R

P6R

C1P3P3P3R

R

R

P6P3P4P4RCP3R

C2CP5P3R

RP3P3C2R

P5P3Cl1R

P5l1C8P4R

P4R

P5CRCCR
P7C2R

P6P6C C1P3P3P3RC7RCP3P5 C C7RCP6P3P3R
C7C1R

P3C2P5RCCP3R

P4R

P5P4P5CRCR
CP3P4P4R

R

P5P3R
P3 C C2P4R

5l1R

R

R

C1P4C

l1P3P5R

P6R

R

P4P6C2CC8P3R

P3R

P4l1l1C2CR

P3P5CP3P3RCP4R

P4CC1CC7P5R

P7CP4RCP5C7Rl1C2RR

P3P4R

P3P5 C C17CCC7P5P4P3P3P3CP3P3RR

C1C2P3P6RCP5C17P3P6CCRP6R

l1C1CP3C1RRR

P54P3CP3RR

フェーズノード数C17P3P5RCC

l1RRR

C C8P6P4P52P5

図 7 出力された頻出部分グラフ

165
第 4 分冊Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.

FIT2018（第 17 回情報科学技術フォーラム）6. まとめ
本論文では攻撃活動を統合的な分析に向けて，モデル化した脅威情報をグラフで表現する方法と頻出部分グラフマイニングを用いる手法を提案した．頻出部分グラフマイニ
ングアルゴリズムの出力結果に対して，頻出する脅威の進行する様子と脅威情報に頻出するイベントをフェーズノード数の大小により確認できることをケーススタディにより示した．
本論文での無向グラフによる攻撃活動の表現で有用な情報が得られることを確認できたが，有向グラフで同様の分析を行う方法を示すことが課題である．
謝辞
本研究の一部は JSPS 科研費 16K00184 の助成を受けたものである．
参考文献[1] M.E. Hutchins, J.M. Cloppert, and R.M. Amin, “Intelligence-driven
computer network defense informed by analysis of adversary
campaigns and intrusion kill chains,” Leading Issues in Information
Warfare & Security Research, Vol.1, pp.80-106, 2011.
[2] S. Caltagirone, P. Andrew, and B. Christopher, “The Diamond Modelof Intrusion Analysis,” Center for Cyber Threat Intelligence and Threat
Research, Hanover, MD, 2013.
[3] 野村健太，伊藤大貴，神薗雅紀，白石善明，高野泰洋，毛利公美，星澤裕二，森井昌克，“脅威情報の統合的分析に向けた攻撃活動のモデル化”，電子情報通信学会技術研究報告（情報通信システムセキュリティ），ICSS2016-47， pp.7-12，2017 年 3月．
[4] 伊藤大貴，永井達也，野村健太，近藤秀紀，神薗雅紀，白石善明，古本啓祐，瀧田愼，毛利公美，高野泰洋，森井昌克，“スレットインテリジェンスのためのダイアモンドモデルに基づく脅威情報分析システム”，電子情報通信学会論文誌（D），
Vol.J101-D，No.10，2018 年 10 月．
[5] 情報処理推進機構,“脅威情報構造化記述形式 STIX 概説,”
https://www.ipa.go.jp/security/vuln/ STIX.html, 2015 年 7 月 22 日.
[6] 近藤秀紀，永井達也，伊藤大貴，野村健太，神薗雅紀，白石善明，古本啓祐，瀧田愼，高野泰洋，毛利公美，森井昌克，“Structured Threat Information eXpression で記述された情報のモデル化”，電子情報通信学会技術研究報告（情報通信システムセキュリティ），ICSS2017-75, pp.145-150, 2018 年 3 月．
[7] X. Yan and J. Han, “gSpan: Graph-Based Substructure Pattern Mining,”
Proc. 2002 of Int. Conf. on Data Mining (ICDM'02), (ExpandedVersion, UIUC Technical Report, UIUCDCS-R-2002-2296).
[8] K. Savage, “W32.Phopifas Cons Over 2.5 Million Clicks with LOLLinks,” [Online] http://www.symantec.com/connect/blogs/
w32phopifas-cons-over-25-million-clicks-lol-links, Oct.10, 2012.
[9] R. Calvo, “Downloader.LiftohcousintoW32. Phopifas?,” [Online]
https://www.symantec.com/connect/blogs/downloaderliftohcousinw32phopifas, May 23, 2013.
[10] E. Kumar, “Spam Campaign Delivers Liftoh Downloader,” [Online]
https://www.secureworks.com/research/spamcampaign-deliversliftoh-downloader, Dec. 23, 2013.
[11] B. Levene, R. Falcone, J. Grunzweig, B. Lee, and R. Olson, “RetefeBanking Trojan Targets Sweden, Switzerland and Japan,” [Online]
http://researchcenter.paloaltonetworks.com/2015/08/retefe-bankingtrojan-targets-sweden-switzerlandand-japan/, Aug. 20, 2015.
[12] MalwarebytesLabs, “SmokeLoader downloader with assmokescreen still alive,” [Online] https://blog.malwarebytes.com/
threatanalysis/2016/08/smoke-loader-downloader-with-asmokescreen-alive/, Aug. 5, 2016.
[13] Proofpoint Staff, “Kronos Banking Trojan Used to Deliver New
Point-of-Sale Malware,” [Online] https://www.proofpoint.com/us/
threatinsight/post/kronos-banking-trojan-used-to-delivernew-point-ofsale-malware, Nov. 5, 2016.

166
第 4 分冊Copyright © 2018 by
The Institute of Electronics, Information and Communication Engineers andInformation Processing Society of Japan All rights reserved.