JP2006504178A - Ｉｔインフラにおける総合侵害事故対応システムおよびその動作方法 - Google Patents

Abstract

本発明は，コンピュータシステムおよびネットワーク，アプリケーション，インターネットサービスなどからなる全国的，または，全社的なＩＴインフラ(Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ )における総合侵害事故対応システムおよびその動作方法に関するものであって，保護対象にとって脅威となる広範囲な侵害事故要素(ハッキング，ウイルス，ウォーム，サイバーテロ，ネットワークスパイ，情報戦などの侵害事故および脆弱性情報)を自動的に収集／分類し，該組織別に必要な方式で情報を加工／分析して用いることができ，蓄積された情報保護関連情報の安全な共有システムおよびネットワーク提供，各侵害事故に対する攻撃評価と早期警報が可能であり，新しい侵害事故に対するテスト(シミュレーション)を遂行する。本発明を用いると，ハッキング，ウイルス，サイバーテロなどのような様々な侵害事故に対する情報を安全に共有できるだけでなく，各侵害事故に対する攻撃評価と早期予報／警報を通じて被害を最小化することができ，各侵害事故に対する攻撃評価とテスト(シミュレーション)とを遂行することにより効率のよい侵害対応が可能である。さらに，コンピュータフォレンジックＤＢを運営することにより，刑事／民事訴訟など，法的対応が必要な侵害事故発生時，証拠確保が可能になり，資産情報を管理して侵害事故による被害と復旧順位および復旧期間を自動的に算定することにより，事後管理が容易になる。

Description

本発明は，ＩＴサイバー上における総合侵害事故対応システムおよびその動作方法に関し，より詳細には，システムに脅威となる広範囲な侵害事故要素（ハッキング，ウイルス，ウォーム，サイバーテロ，ネットワークスパイおよび情報戦などの侵害事故および脆弱性情報）に関する情報を自動的に収集／分類し，該組織別に適した方式で情報を加工／分析して利用でき，蓄積された情報保護関連情報の安全な共有および提供，各侵害事故に対する攻撃評価と早期警報が可能であり，また，新たな侵害事故および攻撃方法に対するテスト（シミュレーション）を遂行することにより，効率のよい侵害事故対応が可能な総合的な侵害事故対応システムとその動作方法に関する。

インターネットの拡散により，個人のインターネットバンキング，電子商取引の利用が急速に増加しており，また，企業，政府，銀行のサービスおよびマーケッティングがインターネットショッピングモール，ホームページなどを中心として急速に増加している。

このような状況において，個人情報やクレジットカードなど，金融信用情報や企業のマーケッティング，新製品開発情報を不当に取得したり，大規模インターネットサービスの中断，または，サービス不能事態を誘発したりするための各種不法な行為が漫然している。このような不法な行為，例えば，不法なハッキングや不特定多数を狙ったウォーム／ウイルスの流布などを防止し，これからのシステムを防御するための多数の侵入遮断システム，侵入探知システム，ウイルスワクチンなど，各種の情報保護システムが設けられている。しかし，このような各種情報保護システムにおいては，様々な不法行為に対する対応方法，パッチなどを互いに共有できず，各々，機関／会社毎に別途に独立して運営されている。

また，不当に金銭を受けた内部者や外部の不法ハッカーが会社の会員情報，新製品開発情報，金融取引情報などをシステムに不法接続して，ディスケット，ハードディスク，ＣＤ−ＲＯＭ等の格納媒体に販売して流出させる事件が頻繁に発生している。

このような企業において，企業情報は，企業運営に必要であって，社内のみで制限的に使用され，企業情報を対外的に公開することは現実的に制限されている。即ち，企業が自ら選択して公開する情報の内容は，大部分，企業のイメージ向上に寄与できる宣伝性内容程度に制限されているが，企業の新製品，サービス，マーケッティング情報をハッキングして競業他社に販売したり，会社のイメージ損傷を狙ってサービスの中止や障害を起こしたり，また，ホームページなどをハッキングし，悪性ウイルス／ウォームなどを伝播する不法な事例が増加している。従って，これに対処する人材の確保，必要な情報保護製品の購買，情報保護組織運営などの措置を並行して行わなければならないが，経済的な理由で遂行できない場合が多い。

従って，大部分，少数の精鋭を投入することで，不法行為に対して効率よく対処できる全社的な，または，全国的な総合侵害事故対応システム（統合保安管制示ステム）を構築し，運営する必要がある。

本発明は，このような必要性によって着目したものであって，情報共有および分析センター（ＩＳＡＣ／Ｓ：Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ ＆ Ａｎａｌｙｓｉｓ Ｃｅｎｔｅｒ／Ｓｙｓｔｅｍ；以下，“ＩＳＡＣ”という）形態で実現された全社的総合侵害事故対応システム（または，統合保安管制システム）を構築する方法を提案し，これらのシステムと他のＩＳＡＣシステムや“企業統合情報保護管理システム（Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｃｕｒｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ；
以下，“ＥＳＭ”という）”等とが互いに連携して対応するネットワークを構築しようとする際，ＩＳＡＣとＩＳＡＣ，ＥＳＭとＥＳＭ，ＩＳＡＣとＭｕｌｔｉ−ＥＳＭなどの方式で“信頼情報共有ネットワーク（Ｔｒｕｓｔｅｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ Ｎｅｔｗｏｒｋ）”を構築することにより，ハッキング／サイバーテロなどに対抗する情報の共有を可能にする方法に関する。

より詳細には，個人や民間のＩＴ情報，会社の情報保護関連脆弱性情報などを遠隔地で相互間に共有すると共に，ハッキング，ウイルス，サイバーテロなどの認可されていない接続を含む侵害事故に総合的に対応できるように構成された情報共有および分析センター（ＩＳＡＣ／Ｓ：Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ ＆ Ａｎａｌｙｓｉｓ Ｃｅｎｔｅｒ／Ｓｙｓｔｅｍ）形態の全社的総合侵害事故対応システム（統合保安管制ステム），および，これらのＩＳＡＣおよびＥＳＭ間の情報共有のための信頼情報共有ネットワーク（Ｔｒｕｓｔｅｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ Ｎｅｔｗｏｒｋ）の構築方法に関するものである。

図１は，個人情報やクレジットカード番号のような金融信用情報が流通される，一般的なインターネットサービスシステムの構成図である。

図１に示すように，一般的なインターネットサービスシステムは，使用者コンピュータ１１０，インターネット１２０，ＩＳＰ１２２，ルータ１２４，スイッチングハブ１２６，ＷＡＰサーバ１４０，ウェブサーバ１５０，メールサーバ１６０，情報共有サーバ１７０，データベースサーバ１８０などからなる。

即ち，１人以上の使用者が使用者コンピュータ１１０を通じてインターネット１２０に物理的に接続し，会員加入や購買のための金融情報などの取得を要請すると，要請された情報の提供経路を最適化するルータ１２４と，情報の伝送速度を向上させるために受信されたパケットデータを解析し，データの最終の目的地を選別して送信するスイッチングハブ１２６と，使用者コンピュータ１１０のウェブブラウザーにより物理的に接続された状態で，１人以上の使用者が選択された投合情報ウェブページを使用者コンピュータ１１０に表示するウェブサーバ１５０と，投合情報ウェブページ上でなされる情報交換を通じて使用者相互間で情報を共有できるように支援する情報共有サーバ１７０と，使用者および使用者の投合行為に該当する情報を格納するデータベースサーバ１８０と，使用者相互間に結ばれた投合要請および投合結果の内容を，メールを通じて自動的に伝送するメールサーバ１６０と，使用者が移動通信端末機を通じて投合情報を要請すると，無線通信網を通じて伝送されるデータのプロトコルをインターネット１２０での情報伝送プロトコルに変換するワァプ（ＷＡＰ：Ｗｉｒｅｌｅｓｓ Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ，
以下，ＷＡＰという）ゲートウェイ１３０と，ＷＡＰゲートウェイ１３０を通じて伝送された情報要請データを受信してＣＧＩ（Ｃｏｍｍｏｎ Ｇａｔｅｗａｙ Ｉｎｔｅｒｆａｃｅ）スクリップトを通じてコンテンツデータベースに格納された１つ以上のコンテンツデータを検索して移動通信端末機に表示するＷＡＰサーバ１４０などを含む。

使用者コンピュータ１１０は，インターネットサービス提供者（ＩＳＰ : Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）１２２を通じてインターネット１２０に接続することもでき，ＬＡＮを通じて接続することもできる。ウェブサーバ１５０は，１つ以上の投合情報ウェブページを使用者コンピュータ１１０に提供するウェブページ呼出モジュールを含む。

情報共有サーバ１７０は，ウェブページを通じて使用者の会員加入およびインターネット購買などを処理する会員加入モジュールと，会員加入した使用者のセクションおよびグループ設定を支援する会員セクション／グループモジュールと，使用者の投合要請情報を受信して投合を希望する使用者との情報共有および購買情報を処理する投合要請処理モジュールと，１人以上の使用者に対する投合要請内訳を検索する投合検索モジュールと，投合した使用者相互間にホームページを同時に共有できるように支援するホームページ共有モジュールとを含む。

データベースサーバ１８０は，会員に加入した１人以上の会員および使用者に対する詳細情報を格納する会員データベースと，会員に登録された使用者のセクションおよびグループ設定内訳情報を格納するセクション／グループデータベースと，使用者相互間に決定された投合結果情報を格納する投合データベースと，使用者により選択可能なホームページ製作データと，使用者の選択により完成したホームページデータを格納するホームページデータベースとを含む。

上記のように構成された個人間，部署間および組織間のインターネットサービスシステムにおいては，使用者に対して個人の関心分野の情報を分類した後，セクション別およびグループ別に情報を共有できるように，共有しようとする情報のセクションおよびグループを設定する。そして，１つ以上の使用者端末機に１つ以上の情報を表示して，情報の共有を希望する使用者と意気投合がなされるようにして，使用者の相互間に意気投合がなされると，上記使用者端末機を通じて各々の情報を共有し活用するように構成される。

上記のように，インターネット１２０上に情報共有サーバ１７０を構築し，多数の使用者が接続して情報を共有できるようにしているが，加入していない未加入者が悪意に侵入して，個人情報やクレジットカードおよびインターネットバンキングに使われる公認認証体系の情報など，金融信用情報の流通におけるシステム情報を獲得し，その後，不法に使用する場合が頻繁に発生しており，これに適切に対処できていない。また，この他にも悪意を有する者がコンピュータウイルスやウォームなどを拡散させて情報を破壊したり，重要サービスを麻痺させて情報通信基盤保護法に規定された重要施設に対するサイバーテロやサイバー犯罪などを起こしている。

従来，このようなハッキングなどの侵害事故を処理するためには，被害者が，個々に，該システムに対する被害程度や管理者，ブラックリスト（ＩＰ住所のような），事故発生時点までの該システムに対するログ／パッチ情報，履歴管理，そして，バックアップなどに関する情報等を，侵害事故対応チーム（ＣＥＲＴ：Ｃｏｍｐｕｔｅｒ Ｅｍｅｒｇｅｎｃｙ Ｒｅｓｐｏｎｓｅ Ｔｅａｍ）等の情報保護専門機関に電話やＥメールで相談し，該専門機関では，各々の相談内容を受信，自己のシステムに入力し，これに基づいて，侵害事故の内容を分析して判断する。従って，侵害事故分析に幾日，または，幾週もかかっていた。

また，企業体や会社において，電算担当者らがこのようなハッキングなどの攻撃にあった後，責任から逃れるためコンピュータに残っているログ等の侵入記録をフォーマットしてしまう，または，サービスの早急な再開のためにログを残しておかない状態で復旧することのみに関心を有することがある。従って，後になって侵害事故対応チーム（ＣＥＲＴ：Ｃｏｍｐｕｔｅｒ Ｅｍｅｒｇｅｎｃｙ Ｒｅｓｐｏｎｓｅ Ｔｅａｍ ; 以下，“ＣＥＲＴ”という）およびサイバー犯罪を担当する警察および国家情報院など，関係機関が事故事実を知ったとしても，被害状況および攻撃者の情報等証拠の大部分が残っていないので，犯人を索出することが困難な場合が多い。また，ＣＥＲＴ，警察システムなどの関係機関システム間に，情報共有のための信頼性のあるネットワークが形成されていないので，自動化した総合的な共助体系を揃えて対応することは困難であった。

一方，現在は，個人や会社などの情報保護担当者が国内外のＣＥＲＴ，または，ＩＢＭ（登録商標）やＳＵＮ（登録商標）などのハードウェア製作社，マイクロソフト（Ｍｉｃｒｏｓｏｆｔ）（登録商標）などの運営体制製作社から，脆弱点が公式に認定されたシステム／ネットワーク関連項目を，Ｅメールを通じて個々に受信格納した後，事故発生に対応している。しかし，このようにして伝えられる脆弱点情報メールがあまり多く，システム運営者やネットワーク管理者がその都度格納／管理することが困難であるだけでなく，その脆弱点と関連する事故が発生しても，これに適切に対応することが困難である。従って，一部の有料／無料サービスを受けたとしても量が多く，各組織の情報保護担当者が必要なシステムに対する情報をフィルタリングするのは一層困難であり，現状では適切に対応し難い。

また，同一な脆弱点項目であることにも拘わらず，分類体系，内容および形式の相異により，互いに区分し難いので，パッチに困難を経ている。

また，上記ＣＥＲＴ機関，ハードウェア製作社，または，運営体制製作社などのホームページに接続して，現在運営中のシステムに対する脆弱性を点検して，これを受動的にパッチする方法もある。しかし，このようなパッチ業務は，サービスが遂行されている間には遂行することが困難であって，主にサービスが終了した夜間や休日に脆弱性点検を遂行せざるを得ない。また，毎日発表される新たな脆弱点ＤＢなどの発表資料および内容があまり膨大で，機関や会社において，少数の情報保護人力だけでは充実な脆弱性点検を遂行することができなかった。従って，ハッキングなどの要因となるシステム脆弱性の発生を十分防止できず放置する場合が多くなり，実際に，システムがハッキングされたり，サービスを中断されたりする場合が多くなっている。

また，各組織の情報保護担当者が，自己の保有したシステムの脆弱性および履歴を詳細に把握して，新しく生じる脆弱点を毎日パッチし，これと連携して侵入探知システムから得られる攻撃情報に效果的に対応することは一層困難であり，随時に発生する悪性ウイルスおよびウォームにリアルタイム対応もできないことが現実的な問題点である。

このように，会社の重要情報システムおよび電算センター／電算システム，そして，金融，通信など，情報通信基盤保護法（大韓民国法律６３８３号）上に定義された主要情報通信基盤施設（ＣＩＰ：Ｃｒｉｔｉｃａｌ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ Ｐｒｏｔｅｃｔｉｏｎ）のような，重要なシステムをハッキングやサイバーテロから保護しなければならない必要が生じているにも拘わらず，それに対する効率の良い，一括的な方法が提示されていない。

このような現状に対応する目的で，前述のＥＳＭ（企業統合情報保護管理システム; Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｃｕｒｉｔｙ Ｍａｎａｇｅｍｅｎｔ）が開発され，一部使われている。このようなＥＳＭは，初期１段階製品ではネットワークやシステムリソース等の各種危険要素を分析し，モニタリングする一種の“管理ツール”であって，侵入遮断システム（Ｆ／Ｗ），侵入探知システム（ＩＤＳ），アンチウイルス製品など，既存の多様な会社で生産された（Ｍｕｌｔｉ Ｖｅｎｄｏｒ）情報保護ソリューションを統合して，１つの画面でモニタリングする方法を提供している。

しかし，ＥＳＭにおいても，あまり多くのイベントが発生するので，イベントを一定の方法でフィルタリングしたとしても管理者が連携関係や事故対応などの業務を処理するには，原始的で，不便である。ＥＳＭを効率良く運営するためには，多くの情報保護専門担当者を投入して分析しなければならないが，大部分の会社や組織は，人員不足により放置されている。

一方，２段階のＥＳＭでは，保安情報（イベント）間連携分析，相関関係分析，分析結果の伝播と対応を遂行しているが，今でもなお，多量のデータと分析根拠の不足により侵害事故対応，攻撃評価，早期予報／警報等に対する即時対応はできないでいる。

３段階では，まだ製品として市場には発表されていないが，データマイニング（Ｄａｔａ Ｍｉｎｉｎｇ）等を通じた情報相関分析，侵害事故分析システム構築，事故予防機能強化を目標としているが，発注者が要求する一部の部分的な構成のみが実現されている。

従って，このようなサイバー上における効率のよい侵害対応が可能な“総合的な侵害事故対応システムとその動作方法”が提示される必要がある。

図２は，従来方式による侵害事故対応システムの一例であって，ＥＳＭ２１０は，侵入探知システム（ＩＤＳ），侵入防止システム（Ｆ／Ｗ；Ｆｉｒｅ Ｗａｌｌ），ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ），ウイルスワクチンおよび情報保護のための保安ＯＳなどを含むエージェント／情報保護製品群２１２と，ＩＤＳ，Ｆ／Ｗなどを含むＥＳＭ自体の情報保護のためのＥＳＭ情報保護体系部２１３と，カード門（ＲＦカードシステムのような），指紋／虹彩／掌形認識／重量感知などの生体認識手段およびＣＣＴＶなどを含む接続統制部２１４と，これらの各構成要素を制御するＥＳＭ管理システム部２１１とからなる。このようなＥＳＭは，企業などに含まれている各種システムに発生する事故事実を感知し，それをデータベースに格納する役割を担っている。

ＥＳＭ管理システム部２１１は，エージェント／情報保護製品群２１３から発生する各種イベントに関する情報を総合的に集めて見るといった，一種のモニタリングシステムの機能も有する。即ち，各々のエージェント／情報保護製品群が収集した情報をモニタリングシステムに送ると，モニタ上で４等分，６等分など，必要なだけウィンドウが分割され，一度に見ることができるように情報が表示される。

しかし，従来方式では，このようなＥＳＭが各々の情報保護システムに分けられているので，総合的な対応が困難であっただけでなく，ＥＳＭにおいて，各製品別にあまり多くの情報を生成するので，それを完全に把握して対応することは容易でなかった。また，事故に対する軽重が把握されていないので不便であり，かつ，事故が発生する前に感知することが困難であったため実効性が劣っていた。

また，３段階のＥＳＭにより，事故に対する対応力がある程度向上することを期待したが，３段階のＥＳＭによっても統合されたサイバー事故に対する早期警報，コンピュータフォレンジックＤＢの活用，事故履歴管理，資産評価および復旧期間算定などの拡張された機能と他の外部ＩＳＡＣシステムおよび他のＥＳＭとの間の安全な情報共有を通じた統合侵害事故対応は不可能な状況である。

一方，インターネットの利用者の爆発的な増加により，ＥＳＭおよびＥＳＭに関連した下部情報保護システムに対するイベントおよびログは，その政策によって，一日数十メガからギガ単位の多くのデータを出しているので，国内情報保護の現実上，１〜２人の管理者がこのようなイベントに正確に対応可能な限界を超過している。従って，最近では，このようなイベントを本当に危険な攻撃とに区別して，脅威要素を除去する研究が始まっている。しかし，現実的には困難を経ており，特別な助けを受けていない状況である。即ち，危険度が高い攻撃が発生した場合，これを警報，または，アラームで知らせているが，後で受動的に過去の情報保護および事故履歴などを調べるので，既に被害を受けた状態において復旧しなければならないことが多い。

近年，重要情報の保護のためのＥＳＭに対する関心が高まるにつれて，米国，ヨーロッパなど先進国はこのような問題を政府レベルで対処しており，特に，米国は，金融，通信，電力，輸送などの重要情報通信基盤構造分野において，いろいろなＥＳＭおよびＣＥＲＴシステム間のＩＳＡＣ（情報共有および分析センター; Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ ＆ Ａｎａｌｙｓｉｓ Ｃｅｎｔｅｒ）を１７個も運営している。また，これを運営する知識およびノウハウを全て国家機密として取扱うので，内容が公開されていない。韓国でも情報通信基盤保護法第１６条に，金融，通信などのＩＳＡＣセンターを設立することを定義しており，民間情報保護専門会社等もこれに対応するために，侵入遮断システムや侵入探知システム，アンチウイルスなど，従来の単純な情報保護製品のイベントおよびログなどを管理することを統合したＥＳＭとＩＳＡＣモデルを加味して総合侵害事故対応システム（統合保安管制システム）を構築することを目標として技術開発と人材確保を推進しているが，全体的な資金と技術人力不足により困難を経ている。

情報保護実態に関する研究結果報告書によると，最近の研究趨勢は，次のような４つの実態に基づいてなされている。
１）組織が内・外部からサイバー攻撃を受けている。
２）広範囲なサイバー攻撃が探知されている。
３）サイバー攻撃は深刻な経済損失をもたらし得る。
４）成功的な攻撃防御は，情報保護技術使用以上のものを要求する。

このような実態に対応するために，類似しているサイバーテロおよびハッキング危険に露出可能な同種産業別，または，同種機関／グループ／会社別に，共通対応するＥＳＭの構築や，ハッキング，ウォームウイルス，サイバーテロなど，侵害事故に対応する侵害事故対応チーム（ＣＥＲＴ : Ｃｏｍｐｕｔｅｒ Ｅｍｅｒｇｅｎｃｙ Ｒｅｓｐｏｎｓｅ Ｔｅａｍ）構築／運営，および，様々なＥＳＭやＣＥＲＴを統合管理する情報共有／分析手段としてのＩＳＡＣ，を設立し運営する目的で，法令に明示した各分野に対するセンター設立が具体化されているが，これに適用した技術モデルがない。従って，夫々推進されている実状である。

本発明は，様々な機関システムと連動して，全国的，または，全社的なシステムおよびネットワーク，アプリケーション，インターネットサービスに関連した情報保護情報を収集し，それを加工／分析してデータベースに管理し，必要な場合，加工／分析された情報を関連機関システムに提供し，実際システムに対する攻撃事故が予想される場合，攻撃評価を通じた早期警報を発令して予防活動を遂行するだけでなく，自己的な情報保護手段を備える，総合侵害事故対応システムと動作方法を提供することを目的とする。

本発明の他の目的は，テストベッドを用いて，新しい侵害事故に対し，システムと同一な条件でシミュレーションし，その結果をデータベースに格納するだけでなく，保護対象システムの資産を評価し，それに基づいて，事故による被害と復旧期間を算定し，事故発生時，コンピュータフォレンジック技法により格納した過去の事故履歴などを根拠として，告訴／告発措置により経済的な被害補償を受けることができる総合侵害事故対応システムを提供することにある。

本発明の他の目的は，システム情報保護情報の共有を必要とする他の機関システムとの連動のための他機関連動部を提供することにより，信頼性のある情報保護情報の共有が可能な総合侵害事故対応システムを提供することにある。

上記課題を解決するために，本発明による総合侵害事故対応システムは，所定の通信網を介して，保護を必要とする，保護対象となるコンピュータシステムおよびネットワーク，アプリケーション，インターネットサービスなどと関連した保安情報を収集し，ソースデータを格納する情報収集／管理部と，分析アルゴリズムを用いて収集された保安情報を加工および分析し，分析結果を格納・管理する情報加工／分析部と，加工／分析された保安情報を１つ以上の保護対象システム，または，外部システムに伝達する情報共有／検索／伝播部と，必要に応じて保安情報を所定の形式で出力するディスプレー部を含む運営システム部と，システム自体の情報保護のためのシステム自己情報保護部と，脆弱性情報を格納する脆弱性データベースとソース保安情報および加工／分析された情報を格納するソース／加工ＤＢを含むデータベース部と，外部システムとの信頼性のある情報共有のための他機関連動部とを含む。

情報収集／管理部は，国内外のいろいろな機関，または，システムハードウェア製作社，運営体制（ＯＳ）製作社から脆弱点と公式に認定されて提供される項目を収集／分類／加工する脆弱点目録収集部と，脆弱点を周期的に点検し，それから発生した結果を収集する脆弱点スキャニング結果収集部と，ウェブロボットおよび検索エンジンを含む自動化した収集ツールを用いてハッキングを含む事故に対する情報と対処方法に対し，大学，研究所および政府機関らが発表した情報保護資料や参考文献を収集して格納する情報保護資料収集部と，ウイルス警報システム，エージェントおよび検索エンジンを含む自動化した収集ツールを用いて，コンピュータウイルスと関連した情報を収集して格納するウイルス情報収集部と，電話，ファックス，メールおよびウェブを含む通信手段を用いて侵害事故を申告受けて，侵害事故情報を受付／格納する侵害事故申告収集部と，総合侵害事故対応システムに関連しているシステムおよびネットワーク装備のシステム情報と，その重要度(資産価値)に関する資産情報を収集した後，定形化して格納するシステム資産情報収集部と，総合侵害事故対応システムに含まれている統合管理対象である侵入遮断システム(Ｆ／Ｗ)，侵入探知システム(ＩＤＳ)，政策管理システム，ウイルスワクチンシステム，ＰＣ情報保護システム，逆追跡システム，認証システム，ネットワーク装備，仮想私設ネットワーク(ＶＰＮ)等，１つ以上の情報保護関連製品から発生する情報保護関連イベントをリアルタイムで収集／格納する情報保護関連イベント収集部のうち，１つ以上を含む。

情報加工／分析部は，情報収集／管理部で収集された各種保安情報を様々な分類で検索および加工できるように正規化し，データベースとして構築するデータウェアハウジング部(Ｄａｔａｗａｒｅ Ｈｏｕｓｉｎｇ Ｐａｒｔ)と，データウェアハウジング部で構築されたデータベースに格納された情報にデータマイニング，または，知識基盤の分析アルゴリズムを適用して侵害事故および脆弱点，主要資産情報との相関関係，認識可能なパターンおよび事故／脆弱点を予防するための分類方法を含む分析アルゴリズムを管理し，該分析アルゴリズムにより分析を行う分析部とを含む。

運営システム部は，一種の総合状況室（Ｃｙｂｅｒ Ｗａｒｒｏｏｍ）であり，加工／分析された情報保護情報を管理し，１つ以上の，保護対象システム，または，外部システムに伝達する情報共有／検索／伝播部と，必要とする情報保護情報を所定の形式で出力するディスプレー部の他に，侵害事故の水準を評価する侵害攻撃評価部と，新しく発見された侵害事故の場合，同一なシステム条件で侵害事故に対する結果をシミュレーションするテストベッド（Ｔｅｓｔ−Ｂｅｄ）の中，１つ以上を更に備えることができる。

また，上記運営システム部は，テストベッド，または，侵害攻撃評価部の結果によって保護対象システム，または，外部システムに侵害事故に対する警報を伝達する早期予報／警報部（または，予報／警報システム; Ｅａｒｌｙ Ｗａｒｎｉｎｇ Ｓｙｓｔｅｍ）を更に含むことができる。

また，運営システム部は，保護対象システムを含むシステムの重要度または資産価値を評価し，評価されたシステムの重要度に基づいて，侵害事故発生時，被害程度と復旧期間を予測する資産評価／復旧期間算定部を更に含むことができる。

また，上記運営システムは，テストベッドにおいて，シミュレーションされた侵害事故結果情報から教育情報を算出して格納／管理し，教育を必要とする外部端末機に伝送して教育を遂行するオンライン自動教育／訓練部を更に備えることができる。

システム自己情報保護部は，本発明により構築された総合侵害事故対応システム自体の情報保護のための構成要素であって，カード認証，パスワード，そして，虹彩認識，指紋認識，掌形認識，重量感知システムなどの二重化した生体認識器のうち，いずれかの１つ以上を含む物理的情報保護部と，認証システム，侵入遮断システム，ウイルス遮断システム，逆追跡システムおよびウォーターマーキング手段のうち，いずれかの１つ以上を含み，内部情報を保護するネットワーク／システム／文書情報保護部とを含む。

他機関連動部は，外部のシステムと相互交換される情報の管理機能を提供する機関情報管理部と，実際に外部システムとのデータ送受信を行うための暗号化，接続統制およびプロトコル変換を遂行するインターフェース部とを含む。

以上，全ての構成要素は，適切なハードウェアとソフトウェアで具現されることができ，全ての過程が自動的になされるようにする。

以上説明したように本発明によれば，ハッキング，ウイルス，サイバーテロなどのような様々な侵害事故に対して，自動的かつ体系的な対応が可能である。

具体的に考察すると，システムに対して脅威となる広範囲な脅威要素（脆弱性）を自動的に収集／分類し，該組織別に，必要な方式で情報を加工／分析して用いることができる。

また，蓄積された保安情報（侵害事故対応，脆弱点情報等）を効率よく共有することにより，必要な場合，容易に検索／提供を受けることができ，各侵害事故に対する攻撃評価と早期警報とを通じて被害を最小化することができる。また，各侵害事故に対する攻撃評価とテスト（シミュレーション）とを遂行することにより，効率のよい侵害対応が可能である。

更に，コンピュータフォレンジックＤＢを運営することにより，法的対応を必要とする侵害事故発生時に，証拠確保が可能であり，資産情報を管理して侵害事故による被害と復旧順位および復旧期間を自動的に算定するようにすることにより，事後管理が容易になる。

また，他機関連動機能を用いて侵害事故に対する情報を外部関連機関と信頼性のある方法で共有することにより，侵害事故に対する全体的な共同対応が可能である。

結果的に，本発明によると，サイバー上で発生する各種侵害事故や脆弱性に対する探知，分析および対応を自動化することにより，専門組織を別途に運営することによる業務および費用を低減でき，情報収集および適用，技術確保，人材および組織運営など，全ての要素に対する問題を低減できる環境を提供することができる。

本発明における“保安情報（Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ）”とは，保護されなければならない情報と関連した全ての保護情報，即ち，“情報保護情報（Ｉｎｆｏｒｍａｔｉｏｎ ｒｅｑｕｉｒｅｄ ｆｏｒ ｐｒｏｔｅｃｔｉｎｇ ｓｐｅｃｉｆｉｃ ｉｎｆｏｒｍａｔｉｏｎ ｔｏ ｂｅ ｐｒｏｔｅｃｔｅｄ）”を意味する広い概念で理解されなければならない。また，“保安情報”という用語と“情報保護情報”，“保安”という用語と“情報保護”とは同等な意味で使われる。

以下，添付の図面を参考にしつつ本発明の実施の形態に対して詳細に説明する。各図面の構成要素に参照符号を与えることにおいて，同一な構成要素に対しては，たとえ，別の図面上に表示されても，できる限り，同一な符号を与えていることに留意しなければならない。また，本発明の説明において，関連した公知構成，または，機能に対する具体的な説明が本発明の要旨を外れると判断される場合にはその詳細な説明は省略する。

図３は，本発明に係る総合侵害事故対応システムの全体構成を概略的に示すブロック図である。

本発明に係る総合侵害事故対応システムは，図示のように，ウェブ，電話，電子メール，ファックスなどの通信網を通じて保護を必要とする保護対象となるコンピュータシステムおよびネットワーク，アプリケーション，インターネットサービスなどに関連した保安情報を収集し，ソースデータを格納する情報収集／管理部１０００と，知識基盤の分析アルゴリズムを用いて収集された保安情報を加工および分析し，分析結果を格納・管理する情報加工／分析部２０００と，加工／分析された保安情報を等級別に分類／管理し，１つ以上の保護対象システム，または，外部システムに伝達する情報共有／検索／伝播部３１００と必要な保安情報を所定の形式で出力するディスプレー部（Ｗａｌｌｓｃｒｅｅｎ，または，多量のモニタセットを意味）とを含む運営システム部３０００と，総合侵害事故対応システムの自己の情報保護のためのシステム自己情報保護部４０００と，脆弱性情報を格納する脆弱性データベース６１００とソース保安情報および加工／分析された情報を格納するソース／加工ＤＢ６２００とを含むデータベース部６０００と，外部システムとの信頼性のある情報共有のための他機関連動部５０００と，を含む。

図５に示すように，上記情報収集／管理部は，国内外のいろいろな機関，または，システムハードウェア製作社，運営体制（ＯＳ）製作社から脆弱点と公式認定されて提供される項目（脆弱点目録）を収集／分類／加工する脆弱点目録収集部１１００と，システム，または，ネットワークの脆弱点を周期的に点検（スキャニング）し，それから発生した結果を収集する脆弱点点検スキャニング結果収集部１２００と，ウェブロボットおよび検索エンジンのような自動化した収集ツールを用いて，ハッキングおよびサイバーテロのような侵害事故に対する情報と対処方法について情報保護会社，大学，研究所および政府機関らが発表した情報保護資料や参考文献を収集して格納する情報保護資料収集部１３００と，ウイルス警報システム，エージェント，検索エンジンのような自動化した収集ツールを用いて，コンピュータウイルスとウォームと関連した情報を収集して格納するウイルス情報収集部１４００と，電話，ファックス，メールおよびウェブのような通信手段を用いて，侵害事故を申告受け，侵害事故情報を事故受付ＤＢ６３００に格納する侵害事故申告収集部１５００と，総合侵害事故対応システムに関連しているシステムおよびネットワーク装備のシステム情報と，その重要度（資産価値）に関する資産情報を収集した後，定形化して格納するシステム資産情報収集部１６００と，総合侵害事故対応システムに含まれている統合管理対象である侵入遮断システム（Ｆ／Ｗ），侵入探知システム（ＩＤＳ），政策管理システム，コンピュータワクチンシステム，ＰＣ情報保護システム，逆追跡システム，認証システム，ネットワーク装備および仮想私設ネットワーク（ＶＰＮ）のうち，いずれかの１つ以上の情報保護関連製品から発生するイベントをリアルタイムで収集／格納する情報保護関連イベント収集部１７００と，を更に含むことができる。しかし，ここに限るのではない。

情報収集／管理部を構成する各々の細部構成要素の機能については図５〜図１１を参考しながらより詳細に説明する。

情報加工／分析部２０００は，情報収集／管理部１０００で収集された各種情報を検索および加工できるように，いろいろな分類で正規化して，データベースで構築するデータウェアハウジング部（Ｄａｔａｗａｒｅ Ｈｏｕｓｉｎｇ Ｐａｒｔ; 図１２の ２１００）と，上記データウェアハウジング部２１００で構築されたデータベースに格納された情報にデータマイニング，または，知識基盤の分析アルゴリズムを適用して，および，侵害事故および脆弱点，主要資産情報との相関関係，認識可能なパターン，事故／脆弱点を予防するための分類方法などのような分析アルゴリズムを適用して分析を行う情報分析部２２００とを含む。

情報分析部２２００は，また，特異ウォーム，ウイルスの伝播経路分析，主要分布時間，主要攻撃者，重要資産に分類された対象システム情報，攻撃種類，分析可能なパターン情報，危険度別対応措置および前もって設けられたセンサー位置などを検索および自動的に分析する機能を更に備えることができる。

このようなデータウェアハウジング部および情報分析部については図１２および図１３を参考しながらより詳細に説明する。

運営システム３０００は，基本的に，加工／分析された保安情報を管理し，１つ以上の保護対象システムまたは外部システムに伝達する情報共有／検索／伝播部３１００と，必要とする保安情報を所定の形式で出力するディスプレー部（
Ｗａｌｌｓｃｒｅｅｎ，または，多量のモニタセットを意味する）とを備え，その以外に，侵害事故の水準を評価する侵害攻撃評価部３２００，および／または，新しく発見された侵害事故に対して，同一なシステム条件で侵害事故に対する結果をシミュレーションするテストベッド（Ｔｅｓｔ−Ｂｅｄ; ３３００）のうち，１つ以上を更に備えることができる。

また，運営システム３０００は，テストベッド，または，侵害攻撃評価部の結果によって，保護対象システムもしくは外部システムに発生した，または今後発生する可能性のある侵害事故に対する警報を伝達する早期予報／警報部（または，予報／警報システム; Ｅａｒｌｙ Ｗａｒｎｉｎｇ Ｓｙｓｔｅｍ）３４００;および／または保護対象システムを含むシステムの重要度もしくは資産価値を評価し，評価されたシステム重要度に基づいて，侵害事故発生時，被害程度と復旧期間を予測する資産評価／復旧期間算定部３５００とを更に含むことができる。このような攻撃評価部および資産評価／復旧期間算定部については図２０および図２２を参考しながらより詳細に説明する。

攻撃評価部は，情報加工／分析部と連動して侵害事故申告受付部が受けたサイバーテロ事故に対し，その攻撃内容を評価し，過去の攻撃技法および回数などで攻撃を分類し，予測可能なシナリオを構成して，テストベッドで実際にシミュレーションした結果を算出する。また，高い水準であると評価された攻撃技法および回数を記録したブラックリストＩＰ抽出およびそれに対する対応現況管理（図２３参考），事故発生時にコンピュータフォレンジックＤＢを自動的に生成（図２１参考）する機能を有している。

早期予報／警報部３４００は，更に，予報システムと警報システムとに区分でき，予報システムでは，脆弱点分析後，ＤＢ化した侵害事故情報，または，脆弱性目録を参照して，前もって定義された重要度により，攻撃行為のリアルタイム分析，重要パケット収集分析，予報／警報発令および伝播の機能を遂行し，警報システムは，重要トラヒック変動推移，前もって定義された脅威の増加趨勢，攻撃情報の総合，リアルタイム対応措置別ステップ決定／警報方法選択，事故および警報履歴管理を遂行する。

運営システムのディスプレー部（Ｗａｌｌｓｃｒｅｅｎ，または，多量のモニタセットを意味する）には，総合侵害事故対応システムに関連した各機関，支店や各会員社別に分析した後，ＤＢ化した脆弱点目録，リアルタイム分析された重要攻撃情報，収集／分析された重要パケット情報，予報／警報発令および伝播情報，重要トラヒック，脅威，攻撃情報の総合情報，リアルタイムステップ決定／警報情報，事故および警報履歴管理情報，特異（ウォーム）ウイルス伝播経路情報，時間情報，攻撃者情報，対象情報，種類，パターン情報，危険度情報，センサー位置情報などの（これに限るのではない）サイバーテロやハッキング／ウイルスやウォームの伝播などの事故現況および対応水準情報がディスプレーされる。

また，侵害事故申告受付内訳，侵害事故処理結果と予報／警報発送情報などを出力することができ，該機関システムのディスプレー部には未処理された侵害事故受付現況と新規脆弱性目録，予報／警報現況（予報／警報発送日付，脆弱性題目，状態，処理完了状態表示）などが出力され，該機関システムのディスプレーに含まれている侵害事故受付ウィンドウには受け付けられた侵害事故申告内容と侵害事故が受け付けられたホストの情報保護履歴（Ｈｉｓｔｏｒｙ）（即ち，解決された脆弱性と未解決された脆弱性，そして，侵害事故履歴）を出力することができる。

また，総合侵害事故処理システムの運営システム部は，脆弱点分析評価遂行の際，商用／フリースキャナを動作して出た結果を適切に抽出し，ＤＢに格納された内容とスキャンされた結果とを比較／分析しなければならない。また，特定のＥＳＭの侵入探知システム（ＩＤＳ）ログを重要度および優先順位別に表示できなければならない。更に，該ホストのＯＳやアプリケーションのようなホストの過去／現在の侵害事故受付履歴を算出して出力できなければならない。

運営システム部は，全体機関，または，当該機関のホストの侵害事故履歴を管理するべきであり，侵害事故に対する全ての関連内容がファイルに格納されて内部，または，外部の報告書作成時に反映されるべきである。また，脆弱性予報／警報関連ウィンドウでは，新規脆弱性の内容と該機関の関連ホストおよび運営体制などのリストを確認できることにより，ホスト別関連脆弱性，侵害事故履歴，スキャン結果が比較・管理されるべきである。

ＥＳＭは，企業統合情報保護管理システムであって，大企業，銀行，保険，通信会社など，大部分の電算システムやセンターを保有した機関／企業等が情報保護製品（Ｆｉｒｅｗａｌｌ，ＩＤＳ，Ｖｉｒｕｓ等）を統合的に管理するシステムである。これは，主要情報保護製品らを１ケ所にまとめるコンソールのような役割のみを提供している。

本発明による情報収集／管理部，情報加工／分析部および運営システムは，このようなＥＳＭ部の多くの機能を拡大自動化して，取り替えるものであり，従来のＥＳＭ機能の他に，更に，詳細データ分析を遂行することができ，侵害事故に対する早期予報／警報，攻撃評価，コンピュータフォレンジックＤＢ生成・管理，脅威管理，機関／会社／組織間に，信頼情報共有ネットワークの運営で，ハッキングなどの攻撃情報が交換できる機能の上位プログラムを更に備える。

運営システムの一部門であるテストベッド３３００は，遠隔地から使用者がシミュレーションを通じてハッカーやサイバーテロなどを実行し得る環境を提供するものであって，新規に導入される情報保護製品およびサービスの試験／評価を遂行する機能を更に備え得る。

また，図示してはいないが，運営システムは，テストベッドにおいて，シミュレーションされた侵害事故結果情報から教育情報を算出して格納／管理し，教育を必要とする外部端末機に伝送して教育を遂行するオンライン自動教育／訓練部を更に備えることができる。

本発明により構築された総合侵害事故対応システム自体の情報保護を担当するシステム自己情報保護部は，カード認証部，パスワード認証部，生体（指紋，虹彩，掌形）認識部，ＣＣＴＶ，重量感知部などを含む物理的情報保護部（図１６の４１００）と，認証システム，侵入遮断システム，ウイルス遮断システム，逆追跡システム，ウォーターマーキングなどを含むネットワーク／システム／文書情報保護部（図１６の４２００）とを含むことができる。

他機関連動部５０００は，外部のシステムと相互交換される情報の管理と実際の外部システムとのデータ送受信のために暗号化された標準フォーマットによって交換される情報に対して加工／分析／統計などの機能を遂行し，各機関の使用者等級によって接続統制を遂行し，外部の関連機関と必要な情報を安全に共有する構成要素である。

データベース部６０００は，本発明による総合侵害事故対応方法の実施に必要な各種情報を種類別に格納する多様な下位データベースを含んでも良い。下位データベースの例としては，関連システムに対する各種脆弱点目録および脆弱点点検目録を格納している脆弱性ＤＢ６１００（図１８参考），収集された保安情報のソースデータおよび加工データが格納されているソース／加工ＤＢ６２００，侵害事故申告受付部を通じて入力された侵害事故情報を格納する事故受付ＤＢ６３００，脆弱性目録および侵害事故情報のうち，常習して発生するイベントを選別・格納するブラックリストＤＢ６４００（図２３参考），侵害事故，または，脆弱性目録の中，関連者に早期予報／警報を必要とするイベントだけを選別・格納する警報ＤＢ６５００，関連システムと使用者などに対する身上情報を格納するプロファイルＤＢ６６００，過去に発生した各種侵害事故や脆弱点とそれに対する対処方法と各種ログファイルなどを格納する事故履歴ＤＢ６７００，侵害事故，または，脆弱点中，犯罪の対象となるイベントと関連した情報を抽出して格納するコンピュータフォレンジックＤＢ６８００（図２１参考）などがあるが，これに限るのではない。また，このような下位データベースは必要によって２つ以上が１つのデータベースで実現されることもできる。

脆弱性ＤＢ６１００には，脆弱点目録および脆弱点点検目録の他に，研究所，ＣＥＲＴ，ハードウェア，ＯＳ製作社らが提供するパッチおよび勧告文（Ａｄｖｉｓｏｒｙ），そして，攻撃および防禦技法，各種ツール（ユーティリティ）などを重要度および大衆性程度なども追加に格納されていることができる。（図１８参考）

収集された保安情報のソースデータおよび加工データが格納されているソース／加工ＤＢ６２００は，更に，原始ＤＢ（または，ソースＤＢ）と加工ＤＢとに分けることができる。原始ＤＢは，ネットワークから独立して別途に電算室に位置するサーバに格納されなければならず，各機関／会社の実際的な侵害事故被害状況，復旧方法および対応記録，ハッキング経由地記録，被害程度，過去履歴など，保安情報のソースデータを格納するＤＢである。加工ＤＢは，ソースデータが政府機関／言論／他機関／会社に伝播される時，実際に避害にあった会社を推定可能であり，信頼性が喪失される可能性のある全ての情報を匿名で変換した加工データを格納するデータベースである。

事故受付ＤＢ６３００に格納される具体的なデータは，侵害事故の発生時間，出発ＩＰ，経由地ＩＰ，最終目標ＩＰおよびシステム情報，申告者／受付者情報，被害程度，関連ログのバックアップ情報などであっても良いが，これに限るのではない。

ブラックリストＤＢ６４００（図２３参考）は，脆弱性目録および侵害事故情報のうち，同一な攻撃技法，類似する類型，一定期間一定回数以上の繰り返し，同一国家，同一ＩＳＰ，攻撃対象ポート（Ｐｏｒｔ）の一致などの基準を適用して分析した後，重要資産別優先順位，主要攻撃技法および被害などを考慮して，程度が酷い侵害事故，または，脆弱性と関連した情報を選別・格納するデータベースである。

予報／警報ＤＢ６５００は，全国的システムや関連会員社，加入会社のシステム，ネットワークおよび情報保護関連者に，重要資産別，期間別，発令等級別，措置事項およびパッチ情報，優先順位など，早期予報／警報機能を遂行しながら，必要なイベントのみを選定してそのイベントに関する情報を格納する。

プロファイルＤＢ６６００は，全国的，または，全社的に保護しなければならない対象に登載された関連システムの導入情報，ハードウェア，ＯＳ，各種パッチ履歴，メインテナンス情報，類似事故およびサービス中断履歴などと，このようなシステムおよびネットワーク関連装備を運営した使用者，パスワード管理台帳などに対する各種情報を格納している。

事故履歴ＤＢ６７００は，深刻な侵害事故発生時，過去に発生した各種侵害事故，脆弱点と対処方法，各種ログファイルなどをブラックリストＤＢと警報ＤＢ，そして，実際のソース／加工ＤＢと比較し，総合的な履歴管理遂行結果である履歴内容を整理して格納し，自動メール発送および対応結果を報告書として作成および格納することに用いられる。

コンピュータフォレンジックＤＢ６８００（図２１参考）は，ブラックリストＤＢおよび早期予報／警報システムと連携して，重要な侵害事故が予想されたり実際攻撃を遂行したりした対象者およびＩＰに対する関連記録から，被害程度によって犯罪対象となるイベントと関連した情報を抽出して，今後侵害事故で刑事告発したり経済的な被害および損失を補償受けようとする民事訴訟を提起する際，関連記録として提出されて法的証拠能力を表す基礎的な情報を格納する。

その他，本発明に係る総合侵害事故対応システムを構成する各構成要素の細部的な機能および構成は，図５〜図２３を参考しながらより詳細に説明する。

図４a
および 図4bは，本発明に係る総合侵害事故対応システムの動作過程を示すものである。

本発明による侵害事故対応方式は，保安情報の収集（情報収集），保安情報のテスト／分析および攻撃評価，予報／警報および情報共有（他機関連動）のステップに大別される。

情報収集ステップでは，国内／海外情報保護ホームページにおいて，ウェブ（Ｗｅｂ）ロボットなどの検索エンジンを用いて，情報保護動向，論文，報告書，パッチおよびアップデートプログラムなどを収集して活用し，企業統合情報保護管理システム（ＥＳＭ）間には重要侵害者に対するブラックリスト（攻撃技法，類型，回数，国家，ＩＳＰ，Ｐｏｒｔ別等）を共有し，国内／海外ＣＥＲＴ，ＩＳＡＣは侵害事故に対する協力（ハッキング事故受付／支援および新規ハッキング技術共有／伝播）を遂行し，ウイルスワクチン業体とはウイルス予報・警報（新規ウイルス，ウォーム情報ワクチンアップデートおよびパッチ）を行い，主要ＩＳＰとは，ネットワークトラヒック情報（トラヒック異常徴候情報，有害トラヒック分析情報等）を共有し，管制対象情報保護製品とは，Ｌｏｇ分析／変換情報（ＩＤＳ，Ｆｉｒｅｗａｌｌログ情報，主要攻撃類型情報等）を共有する機能を有する。

多様なチャネルからの情報収集後，これをテストベッドで分析したり所定の分析アルゴリズムを用いて分析したりした後，そのデータを格納／管理する。このような一連の過程は本発明による総合侵害事故対応システムを構成する情報加工／分析部および運営システムにより遂行され，大きく，脅威分析，テスト，攻撃評価，警報および事故分析／対応の過程で遂行される。

テスト／分析／攻撃評価ステップでは，脆弱点分析後にＤＢ化，重要攻撃リアルタイム分析，重要パケット収集分析，予報／警報発令および伝播などの攻撃評価を遂行し，重要トラヒック，脅威，攻撃情報の総合，リアルタイムステップ決定／警報，事故および警報履歴管理などのような早期警報準備過程と，特異ウォーム，ウイルス伝播経路分析，時間，攻撃者，対象，種類，パターン，危険度，センサー位置の検索および分析環境提供のような分析過程を遂行する。

また，本発明による運営システムのディスプレー部には脅威分析，攻撃評価，予報／警報（前もって準備された安全な伝播経路で，ＳＭＳ（ＵＭＳ），メッセンジャー，Ｓｅｃｕｒｅ Ｅ−ｍａｉｌ等），事故分析および対応を各々のウィンドウで構成してリアルタイムに出力する。情報分析の際，必要ならば（例えば，新しい侵害事故である場合），テストベッド（Ｔｅｓｔ−Ｂｅｄ）を通じて前もって大型侵害事故，サービス中断およびネットワーク不能事態を予測し分析できるシミュレーション環境を並行して運営し，攻撃被害／復旧期間予測などの業務を遂行することが可能である。

その後，早期予報／警報部を用いて，一般使用者，管制要員，ＣＥＲＴ関係者，システム管理者など，関連者の端末機に予報／警報信号を伝達する（警報ステップ）。

他機関連動部５０００では，信頼情報共有ネットワーク（Ｔｒｕｓｔｅｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ Ｎｅｔｗｏｒｋ）および関連システムを用いて本発明による侵害事故対応システムと個人や民間のＩＴインフラ（Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ），会社の重要電算施設，情報通信基盤保護法上の主要情報共有および分析センター（ＩＳＡＣ：Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ ＆ Ａｎａｌｙｓｉｓ Ｃｅｎｔｅｒ），大規模管制センター，主要政府／公共機関のシステム，通信事業者，ＩＳＰなどの連動機関／会社／組織と必要な侵害事故，または，脆弱性情報を共有する。この際，このような情報共有過程は，運営システムのディスプレー部（Ｗａｌｌｓｃｒｅｅｎ，または，多量のモニターセットを意味する）に表示され，これに基づいて，利用者，管制要員，主要ＩＳＡＣ，ＣＥＲＴ要員およびシステム（ネットワーク管理者）に予報／警報を発令しなければならない。

信頼情報共有ネットワーク（Ｔｒｕｓｔｅｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｈａｒｉｎｇ Ｎｅｔｗｏｒｋ）およびサイバー状況室（Ｃｙｂｅｒ Ｗａｒｒｏｏｍ）の関連システムは，自己と連結した全てのＥＳＭ，ＣＥＲＴ／ＩＳＡＣ，ウイルスワクチン業体，ＩＳＰ，そして，該機関／会社および情報収集チャネルに連動した管制対象情報保護製品のログを暗号化した標準フォーマットで加工および分析し，統計を算出し，収集データの自動分類およびＤＢ管理を行い，参加機関／会社／センター間に暗号化したファイル／画像／マルチメディア通信などの方法により必要な保安情報を共有できるシステム的環境を提供する。

図５は，本発明に係る情報収集／管理部の細部構成を図示する。

情報収集／管理部は，いかなる全ての通信網を通じてシステム情報保護と関連した情報を収集する機能を有するものであって，前述のように，国内外のいろいろな機関，または，システムハードウェア製作社，運営体制（ＯＳ）製作社から脆弱点と公式認定されて，提供される項目（脆弱点目録）を収集／分類／加工する脆弱点目録収集部１１００と，システム，または，ネットワークの脆弱点を周期的に点検（スキャニング）し，それから発生した結果を収集する脆弱点スキャニング結果収集部１２００と，ウェブロボット，検索エンジンのような自動化した収集ツールを用いてハッキング，サイバーテロのような侵害事故に対する情報と対処方法に対し，大学，研究所および政府機関らが発表した情報保護資料や参考文献を収集して格納する情報保護資料収集部１３００と，ウイルス警報システム，エージェント，検索エンジンのような自動化した収集ツールを用いてコンピュータウイルスと関連した情報を収集して格納するウイルス情報収集部１４００と，電話，ファックス，メールおよびウェブのような通信手段を用いて侵害事故を申告受け，侵害事故情報を事故受付ＤＢ６３００に格納する侵害事故申告収集部１５００と，総合侵害事故対応システムに関連しているシステムおよびネットワーク装備のシステム情報と，その重要度（資産価値）に関する資産情報を収集した後，定形化して格納するシステム資産情報収集部１６００と，総合侵害事故対応システムに含まれている統合管理対象である侵入遮断システム（Ｆ／Ｗ），侵入探知システム（ＩＤＳ），政策管理システム，コンピュータ防疫システム，ＰＣ情報保護システム，逆追跡システム，認証システム，ネットワーク装備，仮想私設ネットワーク（ＶＰＮ）等，１つ以上の情報保護関連製品から発生する情報保護関連イベントをリアルタイムで収集／格納する情報保護関連イベント収集部１７００などを含むとしても良い。

本実施の形態では，全ての構成要素を個別的に実現したが，必要の場合，１つ以上の構成要素機能を統合して実現することもできる。

図６は，情報収集／管理部を構成する細部構成要素である脆弱点目録収集部，情報保護資料収集部およびウイルス情報収集部の機能を説明する図面である。

脆弱点目録収集部１１００は，国内／外のいろいろな機関システム，システムハードウェア製作社，運営体制製作社から脆弱点と公式認定された項目を，ＤＢ管理器を通じて分類加工し入力受ける機能を遂行する。入力方式は，ウェブを通じて自動に遂行することが好ましいが，所定の他の通信網を介する入力方式，または，管理者が直接入力する方式であるとしてもよい。

より詳細に説明すると，ハードウェア製作社からハードウェアと関連した一般情報やパッチ情報を収集し，運営体制製作社からは運営体制（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ；ＯＳ）のバージョン情報，パッチ情報，脆弱点（問題点，措置方法），対策などの情報を収集し，アプリケーション製作社からはアプリケーションプログラムのバージョン情報，パッチ情報および脆弱点／対策情報を収集する。このように収集した脆弱点情報は，脆弱性ＤＢに格納／管理される。

情報保護資料収集部１３００は，ウェブロボット，検索エンジンのような自動化した収集ツールを用いて，ハッキング，サイバーテロのような侵害事故に対する情報と対処方法（例えば，ＣＶＥ／ＣＡＮ情報，バグトラック（Ｂｕｇｔｒａｃｋ）情報等）に対し，大学，研究所および政府機関らが発表した情報保護資料や参考文献を収集して格納し，ウイルス情報収集部１４００は，やはりウイルス警報システム，エージェントおよび検索エンジンのような自動化した収集ツールを用いてコンピュータウイルスとウォームと関連した情報を収集して格納する。

図７は，情報収集／管理部を構成する細部構成要素である脆弱点スキャニング結果収集部の機能を説明する図面である。

脆弱点スキャニング結果収集部１２００は，ネットワーク，または，関連システムが有する脆弱点を周期的に点検し，その結果を収集する部分であって，ネットワーク基盤のスキャナとシステムホスト基盤のスキャナ，分散スキャナ，ウイルススキャナなどを用いて使用管理者が設定された時間に周期的に点検し，必要に応じて，随時に点検された結果を収集する過程である。収集された脆弱点点検結果データは脆弱点ＤＢに格納される。

“脆弱性”とは，コンピュータＤＢ，ＯＳ，ネットワーク装備などを統制するソフトウェアが保有している，ハッカー接続可能なホールおよびソフトウェア的な欠陥を意味するものであって，国内外の数多い情報保護会社，ＩＢＭ，ＭＳ，ＨＰのようなシステム関連会社システム，国内外の他のＣＥＲＴ，または，ＩＳＡＣで毎日新しく発見されたり，提供されたり，自己システムのスキャニングを通じて発見されたりするものであって，通常，平均的に一日に約１０-１００余件が発生することと知られている。

図８は，脆弱点目録収集部，情報保護資料収集部およびウイルス情報収集部が遂行するウェブロボットを用いた脆弱点自動化収集を示すブロック図である。

脆弱点目録収集部，情報保護資料収集部およびウイルス情報収集部は，ウェブ（Ｗｅｂ）ロボット（Ｒｏｂｏｔ）のような自動化した収集ツールを用いて関連ホームページ，ＦＴＰ，ＴＥＬＮＥＴ，会員加入有料／無料サイトおよびＥメールグループなどをサーチしたり，参考文献などを通じて周期的に脆弱点情報（情報保護資料およびウイルス情報含み）を収集したりして脆弱点ＤＢに格納する。また，収集したデータに基づいて，自動に報告書を生成し，これを配布する機能を遂行でき，必要に応じて，添付ファイルを有する報告書ファイルなどをロボットが持ってくることができ，自動的に関連サイトやリンクサイトを通じて情報を収集する。英語，日本語等，多国語サイトの場合，これを自動翻訳サイトを通じてハングルや英文で提供する学習機能を備えることができる。

図９は，情報収集／管理部を構成する細部構成要素である侵害事故申告受付部の機能を説明する図面である。

侵害事故申告受付部は，本発明による侵害事故対応システムに参加する機関の構成員らからハッキング，ウイルスおよびその他のサイバーテロなどによる侵害事故を，電話，ファックス（ＦＡＸ），電子メール（Ｍａｉｌ）などの通信手段とウェブ（Ｗｅｂ）を通じて直接に申告を受ける機能を遂行する。

このように接収された侵害事故情報は事故受付ＤＢに格納され，所定の侵害の可否の判断規則によって事故の攻撃性を評価（攻撃評価部）し，新しい侵害事故である場合，テストベッドを用いてシミュレーション（テストベッド）し，事故による被害や復旧期間の算定（資産評価／復旧期間算定部）の基礎資料として用いられる。

図１０は，システムの資産情報を収集する資産情報収集部の機能を説明するブロック図である。

資産情報収集部は，保護しようとするシステムの主要資産に対する情報を収集する部分であって，対象は参加機関の主要システム，ネットワーク装備などを含む。評価対象の情報とその資産の重要度（資産価値）などを自動化して収集し，正規化（Ｎｏｒｍａｌｉｚａｔｉｏｎ）して，プロファイルＤＢのような所定のデータベースに格納する。このような資料は，今後，攻撃評価と被害程度算定および復旧期間算定などに活用される。

図１１は，情報収集／管理部を構成する細部構成要素である情報保護関連イベント収集部の機能を示すブロック図である。

情報保護関連イベント収集部は，統合管理対象である侵入遮断システム（Ｆｉｒｅｗａｌｌ；Ｆ／Ｗ），侵入探知システム（ＩＤＳ），仮想私設網（ＶＰＮ），ウイルスシステム，ＰＣ情報保護システム，逆追跡システム，認証システム（ＰＫＩ基盤），ネットワーク装備などから発生するイベントの中，情報保護と関連したイベントをリアルタイムで収集して格納する機能をする。

情報保護関連イベント収集部の対象となる装置は，上記に列挙したものに限るのではなく，その他の情報保護装置を含むことができる。収集された各情報保護関連イベント情報は，所定のフィルタリング過程を経た後，データベース６０００に格納される。

図１２は，本発明による総合侵害事故対応システムに用いられる情報加工／分析部の細部構成を示すブロック図である。

情報加工／分析部２０００は，情報収集／管理部で収集された大容量の保安情報を効率良く構築するためのデータウェアハウジング部２１００とデータマイニング，または，知識基盤の分析アルゴリズムを適用して保安情報を分析する情報分析部２２００とからなるとしても良い。

分析対象となる保安情報は，前述の脆弱点情報（脆弱点点検結果含み），ウイルス情報，情報保護関連情報，侵害事故申告情報などを全て含む概念であり，分析部で加工・分析されたデータはソース／加工ＤＢに格納されて管理される。

図１３は，情報加工／分析部におけるデータウェアハウジング構築過程を示すブロック図である。

大容量の収集された情報をデータベース化するデータウェアハウジング部は，収集される各種資料の形態をいろいろな分類で検索および加工可能に正規化しデータベースで構築する過程である。

詳細な過程を考察すると，まず，保安情報を入力受けた後（Ｓ２１１０），データをデータ類型別に分類する（Ｓ２１２０）。その後，該データに対し，要約／加工を加える必要があるかどうかを判断（Ｓ２１３０）した後，必要によって検索類型別に要約（Ｓ２１５０）したり，データフィールドを追加（Ｓ２１４０）したりして，データベースを生成（Ｓ２１６０）する。

図示してはいないが，情報分析部２２００は，図１３のように構築されたデータベースから各種侵害事故および脆弱点，そして，図１０で収集された主要資産情報らとの相関関係，認識可能なパターン，これを予防するための分類方法など，各種分析のためのアルゴリズムを管理（アルゴリズムＤＢに追加，変更および削除含み）し，分析を遂行する機能を遂行する。

勿論，新しく発見される脆弱性情報，または，侵害事故に対しては，分析と別に，同一な環境下でテストした後，その重要度や攻撃程度および特性を把握し，重要度，または，特性によって，脆弱性ＤＢ，ソース／加工ＤＢ，侵害事故ＤＢなどに格納される。

図１４および図１５は，運営システムに含まれる情報共有／検索／伝播部の機能を示すものであって，図１４は，プロファイル管理機能を，図１５は，早期予報／警報システムの分析結果によって情報の検索／伝播機能を説明している。

運営システムは，共有されるべき情報を類型別，または，等級別に分類するだけでなく，使用者／機関を等級別に分類し，参加機関使用者情報に基づいて情報への等級別接近制限を遂行する（プロファイル管理機能）。また，必要の場合，使用者の認証のために使用者の公認認証書情報を提供する部分を更に含むことができる。

このような情報加工／分析部のプロファイル管理機能は，該管制対象情報保護システム，主要サーバ，ＰＣ，ネットワーク装備などに対する各種ＯＳバージョン，メインテナンス，事故履歴，パッチの可否，ＩＤＳ履歴等，侵害事故処理のための最も基本的な要素の情報を対象とし，このようなプロファイル情報はプロファイルＤＢ６６００，または，ソース／加工ＤＢ６２００に格納・管理される。

図１５は，共有された情報の検索／伝播機能を説明するためのものであって，各種利用可能な伝送手段と媒体を用いて情報を提供する部分は，図１４において使用者の検索要請を受信し，該使用者の分類等級と検索情報の等級によって要請された情報を有／無線伝送媒体（電話，ＦＡＸ，Ｍａｉｌ，文字メッセージ等）とウェブ（Ｗｅｂ）を用いて該使用者に提供する。

図１６は，本発明により構築された総合侵害事故対応システムの自己保護のためのシステム自己情報保護部の細部構成を図示する。

本発明により構築された総合侵害事故対応システムは，それ自体が１つの重要なシステムであるから，外部の認可されていない接続に対する保護やシステム／ネットワークエラーに対し，回避するための手段が必要である。このために，図１６のようなシステム自己情報保護部を用いる。

自己情報保護部は，構築された総合侵害事故対応システムの物理的な情報保護のための物理的情報保護手段と，システム／ネットワークの保護のためのネットワークおよびシステム保護手段とを含む。

物理的情報保護手段は，カード認証方式，パスワード認証方式，指紋／虹彩などのような生体認識方式，ＣＣＴＶなどとなることができるが，これに限られず，実施可能な全ての物理的情報保護手段を含む。ネットワークおよびシステム保護手段は，公認認証書基盤の認証システム，侵入遮断システム（防火壁），侵入探知システム（ＩＤＳ）および事故ソースの逆追跡システムを含むネットワーク情報保護部（外部ネットワーク接近に対する情報保護手段）と，生成したファイルや文書のウォーターマーキング暗号化システムおよびＰＫＩ基盤のキー情報保護手段のような文書情報保護部（内部資料接近に対する情報保護手段）と，サーバ情報保護，運営体制情報保護（Ｓｅｃｕｒｅ ＯＳ）などのようなシステム情報保護部（内外部システム接近に対する情報保護手段）とを含む。このような物理的情報保護手段と，ネットワークおよびシステム保護手段は，従来の技術を用いて容易に実現できるので，その詳細な説明は省略する。

図１７は，本発明による総合侵害事故対応システムが備える他の外部システムとの情報共有などのための他機関連動部を示すブロック図である。

他機関連動部５０００は，外部の他のＣＥＲＴシステム，情報共有／分析システム（ＩＳＡＣ），警察コンピュータ犯罪／サイバーテロシステム，重要基盤構造保護の総合保安管制システム（ＥＳＭ）などの関連機関システムなどと連動して必要な情報を互いに共有するために導入されるものであって，相互交換される要約情報の連動機能を提供する機関／使用者情報管理部および交換情報管理部と実際に他機関システムとのデータ送受信のためのプロトコル変換を遂行するインターフェース部からなる。

このような他機関連動部は，まず，共有，または，交換する情報を分類して管理し，連動した他機関の情報を管理し，交換するべき情報が発生された場合，該情報を該他機関インターフェースと互換の形態でプロトコル変換した後，他機関に，接続統制および使用者等級別に区分されて伝送する機能を遂行する。

図１８は，本発明に使われる脆弱性ＤＢ６１００の細部構成を図示する。

本発明に係るシステムに使われるデータベース６０００の中で，脆弱性ＤＢは，ハッカー，ウイルスおよびウォーム製作者が全てのコンピュータ，データベース，運営体制（ＯＳ）およびネットワーク装備のソフトウェアで，外部や内部から攻撃して不法に接続できる脆弱点および対応方法を体系的に区分した部分をデータとして格納する所であって，新しく発見された全ての脆弱性情報は，同一な環境を揃えたテストベッドで試験をたどった後，その重要性および特性によって脆弱性ＤＢに格納される。このような脆弱性ＤＢは，一般情報フィールド，ソースデータフィールド，プロファイルデータフィールド，パッチ（Ｐａｔｃｈ）データフィールド，ツール（Ｔｏｏｌ）データフィールド，諮問（Ａｄｖｉｓｏｒｙ）データフィールド，攻撃（Ａｔｔａｃｋ）データフィールド，防禦（Ｄｅｆｅｎｓｅ）データフィールドなどに分類され，格納され得るが，これに限るのではない。

一方，図示してはいないが，ソース／加工ＤＢ６２００は，会員および加入機関に対する詳細情報を格納した１つのソースＤＢと事故履歴などを整理して加工された加工ＤＢからなっている。

図１９は，本発明に係るシステムを用いた情報保護および警報メカニズムを示すブロック図である。

情報保護製品，例えば，侵入探知システム（ＩＤＳ）のイベントの中，危険度，目的地（Ｄｅｓｔｉｎａｔｉｏｎ）ＩＰ，特定ソース（Ｓｏｕｒｃｅ）ＩＰ，特定ポートなどを把握し，該当するイベントをブラックリスト（Ｂｌａｃｋ Ｌｉｓｔ）ＤＢ，ＩＤＳ事故履歴（Ｈｉｓｔｏｒｙ）ＤＢなどに分けて格納し，各ＤＢから抽出されたデータを用いて，更に攻撃評価アルゴリズムを適用して攻撃程度を評価し，これによる早期予報／警報（Ａｌｔｅｒ）ＤＢを構築する。

この他にも，侵入遮断システム（Ｆｉｒｅｗａｌｌ），ウイルスワクチンサーバ，仮想私設網（ＶＰＮ）等，情報保護製品から入る各種情報保護関連データを総合して攻撃を評価し，警報を発令することもできる。また，主要ホストに発生した，等，発生が予想される事故のシナリオを予想してテストベッドを通じてシミュレーションすることもでき，データを分析して同一類型攻撃回数，同一ＩＰおよび攻撃時間帯などを把握してＤＢに格納・管理することもできる。また，このように格納されたデータに基づいて，予防レベルの教育／訓練データを生成でき，法的証拠として使われることができる情報のみを抽出してコンピュータフォレンジックＤＢで構築することもできる。

図２０は，本発明による攻撃評価部の機能を図示する。

運営システムに含まれる‘攻撃評価部’は，侵入探知システムからのデータのうち，代表的なもののみを格納した侵入パターンＤＢと，脆弱性ＤＢおよび国際ＤＢ（ＣＶＥ）のような外部ＤＢなどから出る情報を分析して，各侵害事故，または，脆弱点の攻撃類型，攻撃方法，攻撃ステップおよび予想される被害結果をネットワーク露出，システム露出，特定システム，サービス遅延，ネットワークサービス遅延，特定サービス遅延，管理者（Ｒｏｏｔ）権限獲得，データの流出偽造／変造およびその他の項目などで把握する。次に，各侵害事故，または，脆弱点を侵入準備ステップ，攻撃ステップ，事後進行ステップなどに，時間によって再分類し，攻撃水準（ステップ）を算出した後，ソース（Ｓｏｕｒｃｅ）ＩＰ別，インターネットサービス提供事業者（ＩＳＰ）別，国家別，攻撃手法別，期間別等に分類・格納する。また，攻撃類型別に加重値を設定し，攻撃の反復性や地域性，ブラックリストに分類された攻撃地での攻撃であるかどうかを把握した後，これを事故履歴ＤＢに格納し，警報を必要とする場合，該データを警報ＤＢに格納する。運営システムの早期予報／警報部は，このような情報に基づいてステップ別の警報を発令する。

図２１は，本発明に係るデータベースの中，コンピュータフォレンジックＤＢの構築方法について説明するための図面である。

図１９のような情報保護警報メカニズムに使われる各ＤＢから抽出されたデータを定形化し，同一手法，同一ＩＰ，国家，回数，攻撃ツールなどによって分類した後，各々の侵害事故，または，脆弱性情報に所定の法的侵害事故判断規則を適用する。適用した結果，今後，法的問題にすることができる（即ち，犯罪の対象となる）イベント（侵害事故，または，脆弱性）を決定し，そのイベントに関する情報を１つのデータベースに格納するのに，これをコンピュータフォレンジックＤＢという。

コンピュータフォレンジックＤＢは，システムに重大な危機が発生したり，システムダウンなど，莫大な被害を受けたりした場合，法的な措置のための根拠資料として用いられるところ，侵害事故発生時，コンピュータフォレンジックＤＢに基づいて，証拠を提示して，民／刑事裁判上の証拠として提示できるものである。

即ち，コンピュータフォレンジックＤＢは，ホスト別に法的な問題となる侵害事故と判明された等，そういう疑問がある情報の証拠確保および管理を遂行するものであって，具体的なフィールドとしては，侵害事故発生日時，発見者名前，侵害事故による被害結果，予想される被害結果などであることができ，具体的な証拠として，侵入防止システム（Ｆｉｒｅｗａｌｌ），または，侵入探知システム（ＩＤＳ
Ｓｙｓｔｅｍ）のログ，ファイル，または，メールに添付されたウイルスファイルなどが共に格納され得る。

また，このようなコンピュータフォレンジックＤＢは，プロファイルＤＢに基づいて，ホスト分類，ホスト名前，ホストの位置に従う危険に露出される等級別程度，ホストの資産価値，ホストの使用用途，ホストを表す代表ＩＰ住所，使用するアプリケーション名と使われるポート番号などを格納・管理する機能を更に備えることができ，ホストの作業履歴が，作業日時，作業者名前，作業の種類（ＯＳ設置，ＯＳパッチ，アプリケーション設置／パッチ，メインテナンス，障害確認等），システム管理部署名，作業開始時間，作業終了時間などで記述されて管理されることが好ましい。

図２２は，本発明で使われる資産評価と復旧期間算定方式を示すブロック図である。
平常時に資産情報収集部は，システムと関連した全ての資産情報を収集し，重要度とデータの価値などを定形化して，等級別分類を遂行してプロファイルＤＢなどに格納しておく。このような資産情報に基づいて，重大な侵害事故，ウイルス感染およびサイバーテロによるサービス中断時，復旧の優先順位を見分けて，復旧期間を自動に算定できるようにする。

資産情報は，各システムおよびその構成要素の使用用途，資産価値などで構成されたテーブルとして整理され，資産評価／復旧期間算定部は，各資産に対する脆弱点ＤＢ，侵害事故履歴ＤＢ，プロファイルＤＢなどを参照し，復旧期間を予測する。復旧期間算定は，自動に遂行されることが好ましいが，手動で行うこともできる。また，復旧期間は，バックアップセンターやシステムを用いた復旧方法を考慮して決定され，システムの重要度によって復旧を二重化して構成することができる。

図２３は，本発明のシステムに係るブラックリストＤＢ構築および履歴管理方式を示すブロック図である。

ブラックリストＤＢは，平常時に侵入探知システム（ＩＤＳ）などから抽出された履歴データに基づいて，警報発令時に参照されるデータベースであって，コンピュータフォレンジックＤＢと連動して定形化した侵害事故データから同一手法，同一ＩＰ，攻撃国家，攻撃回数，攻撃ツールなどに基づいて，ブラックリスト対象イベントを決定した後，格納・管理するものである。このようなブラックリストの抽出は，プロファイルＤＢと連携して侵害事故（Ｉｎｃｉｄｅｎｔ）シナリオの種類，上位攻撃水準別および予想される被害結果別に，各項目別オプションによって条件に合うイベントのみをブラックリスト対象と決定する。

運営システムは，総合履歴管理マネジャーを用いて全てのイベントに対する履歴（Ｈｉｓｔｏｒｙ）を管理し，各侵害事故，または，脆弱点発生時，その水準を把握してどのように対応するかを決定する（対応履歴プロセス）。このため，過去の侵害事故および脆弱性に対応した履歴，即ち，対応履歴（例：対応しない，注意要望，電話警告，公文発送，申告／告発，Ｅメール警告等）を整理することが好ましい。決定された対応方法によって，侵害事故，または，脆弱性ソースで所定のメール（警告メール，抗議メール，主義要求メール等）を伝送し，その対応結果を報告書として作成して置く。

以上のような総合侵害事故対応システムを用いた侵害事故対応方法は，１）情報収集／管理部が所定の通信網を通じて侵害事故および脆弱性情報のような保安情報を収集する情報収集ステップと，２）情報加工／管理部が収集された保安情報をデータベース化し，所定の分析アルゴリズムを用いて分析する情報加工／分析ステップと，３）加工／分析された保安情報を共有できるように管理し，外部の要請時に検索・提供する情報共有／検索／伝播ステップと，４）侵害事故および脆弱性情報の中，警報を必要とする場合，所定の早期警報情報を１つ以上の内外部システムに伝送する警報ステップとからなることができる。また，所定のシステム自己情報保護部を用いて構築された総合侵害事故対応システムの自己情報保護を遂行するステップ（自己情報保護ステップ）と，総合侵害事故対応システムが発生した情報の中，他機関と共有するべき情報を管理し，必要な他機関システムに伝送する他機関共有ステップも更に含むとしても良い。

また，攻撃評価部を用いて，各々の侵害事故および脆弱性目録に対し，攻撃程度を自動に評価し，その結果によって，警報の可否，コンピュータフォレンジックＤＢ化の可否，ブラックリストＤＢ化の可否などを決定する攻撃評価ステップを更に備えることもできる。

また，新しい侵害事故および脆弱性目録に対し，同一なシステム環境でその結果をシミュレーションし，その結果を格納するテスト（シミュレーション）ステップと，システムの資産評価と侵害事故発生時，復旧期間を自動に算定して提供する資産評価／復旧期間算定ステップとを更に備えることもできるものである。

以上の説明は，本発明の技術事象を例示的に説明したに過ぎず，本発明が属する技術分野で通常の知識を有する者であれば本発明の本質的な特性から外れない範囲で多様な修正および変形が可能である。従って，本発明に開示された実施の形態らは本発明の技術事象を限るのではなく，説明するためのものであって，このような実施の形態により本発明の技術事象の範囲が限るのではない。本発明の保護範囲は，下記の請求範囲により解析されるべきであり，それと同等な範囲内にある全ての技術事象は本発明の権利範囲に含まれるものと解析されるべきである。

一般的な金融信用情報が流通されるインターネット会員情報および購買システムを示すブロック構成図である。 従来の企業統合情報保護管理システム（ＥＳＭ）の構成を示すブロック図である。 本発明の実施の形態に係る総合侵害事故対応システムの全体構成を概略的に示すブロック構成図である。 本発明に係る総合侵害事故対応システムの動作過程を示す図面である。 本発明に係る総合侵害事故対応システムの動作過程を示す図面である。 本発明に係る情報収集／管理部の細部構成を示す図面である。 情報収集／管理部を構成する細部構成要素である脆弱点目録収集部，情報保護資料収集部およびウイルス情報収集部の機能を説明する図面である。 情報収集／管理部を構成する細部構成要素である脆弱点スキャニング結果収集部の機能を説明する図面である。 脆弱点目録収集部，情報保護資料収集部およびウイルス情報収集部が遂行するウェブロボットを用いた脆弱点自動化収集を示すブロック図である。 情報収集／管理部を構成する細部構成要素である侵害事故申告受付部の機能を説明する図面である。 システムの資産情報を収集する資産情報収集部の機能を説明するブロック図である。 情報収集／管理部を構成する細部構成要素である情報保護関連イベント収集部の機能を示すブロック図である。 本発明に係る総合侵害事故対応システムに用いられる情報加工／分析部の細部構成を示すブロック図である。 情報加工／分析部におけるデータウェアハウジング構築過程を示すブロック図である。 運営システムに含まれる情報共有／検索／伝播部の機能を示すものであって，特に，プロファイル管理機能を説明する図面である。 運営システムに含まれる情報共有／検索／伝播部の機能を示すものであって，特に，情報の検索／伝播機能を説明する図面である。 本発明により構築された総合侵害事故対応システムの自己保護のためのシステム自己情報保護部の細部構成を示す図面である。 本発明に係る総合侵害事故対応システムが備える他の外部システムとの情報共有などのための他機関連動部を示すブロック図である。 本発明に使われる脆弱性ＤＢ６１００の細部構成を示す図面である。 本発明に係るシステムを用いた情報保護および警報メカニズムを示すブロック図である。 本発明に係る攻撃評価部の機能を示す図面である。 本発明に係るデータベースの中，コンピュータフォレンジックＤＢの構築方法について説明するための図面である。 本発明で使われる資産評価と復旧期間算定方式を示すブロック図である。 本発明のシステムによるブラックリストＤＢ構築および履歴管理方式を示すブロック図である。

符号の説明

１１０ 使用者コンピュータ
１２０ インターネット
１２２ ＩＳＰ
１２４ ルータ
１２６ スイッチングハブ
１３０ ＷＡＰゲートウェイ
１４０ ＷＡＰサーバ
１５０ ウェブサーバ
１６０ メールサーバ
１７０ 情報共有サーバ
１８０ データベースサーバ
２１０ 企業統合情報保護管理システム（ＥＳＭ）
１０００ 情報収集／管理部
２０００ 情報加工／分析部
２１００ データウェアハウジング部
２２００ 情報分析部
３０００ 運営システム部
３１００ 情報共有／検索／伝播部
３２００ 攻撃評価部
３３００ テストベッド（Ｔｅｓｔ−Ｂｅｄ）
３４００ 早期予報／警報部
３５００ 資産評価／復旧期間算定部
４０００ システム自己情報保護部
５０００ 他機関連動部
６０００ データベース

Claims (27)

1. コンピュータシステム，ネットワーク，アプリケーション，インターネットサービスを含む，全国的，または，全社的なＩＴインフラ(Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ)を介し，特定の保護対象にとって脅威となる広範囲な侵害事故および脆弱点を含む保安情報を収集し，ソースデータを格納する情報収集／管理部と；
   所定の分析アルゴリズムを用いて，前記収集された保安情報を加工および分析し，分析結果を格納・管理する情報加工／分析部と；
   前記加工／分析された保安情報を１つ以上の，保護対象システム，または，外部システムに伝達する情報共有／検索／伝播部と，必要に応じて保安情報を所定の形式で出力するディスプレー部とを含む運営システム部と；
   自己における情報保護のためのシステム自己情報保護部と；
   脆弱性情報を格納する脆弱性データベースとソース保安情報および加工／分析された情報を格納するソース／加工ＤＢを含むデータベース部と；
   を含むことを特徴とする，コンピュータシステム上における総合侵害事故対応システム。
2. ＩＳＡＣ，ＣＥＲＴおよびＥＳＭのいずれかを含む他の外部システムとの信頼性のある情報共有のための機関連動部を更に含むことを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
3. 前記情報収集／管理部は，国内外の様々な機関，または，システムハードウェア製作社，運営体制(ＯＳ)製作社から脆弱点と公式に認定されて提供される項目を収集／分類／加工する脆弱点目録収集部を含むことを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
4. 前記情報収集／管理部は，脆弱点を周期的に点検し，それから発生した結果を収集する脆弱点スキャニング結果収集部を含むことを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
5. 前記情報収集／管理部は，ウェブロボットおよび検索エンジンを含む自動化した収集ツールを用いて，ハッキングを含む事故に対する情報と対処方法に対し，ＣＥＲＴ／ＩＳＡＣ，大学，研究所および政府機関らが発表した情報保護資料や参考文献を収集して格納する情報保護資料収集部を含むことを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
6. 前記情報収集／管理部は，ウイルス警報システム，エージェントおよび検索エンジンを含む自動化した収集ツールを用い，コンピュータウイルス／ウォームと関連した情報を収集して格納するウイルス情報収集部を含むことを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
7. 前記情報収集／管理部は，電話，ファックス，メールおよびウェブを含む通信手段を用いて侵害事故の申告を受け，侵害事故情報を受付／格納する侵害事故申告収集部を含むことを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
8. 前記情報収集／管理部は，総合侵害事故対応システムに関連しているシステムおよびネットワーク装備のシステム情報とその重要度(資産価値)に関する資産情報とを収集した後，定形化して格納するシステム資産情報収集部を含むことを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
9. 前記情報収集／管理部は，総合侵害事故対応システムに含まれている統合管理対象である侵入遮断システム(Ｆ／Ｗ)，侵入探知システム(ＩＤＳ)，政策管理システム，コンピュータ防疫システム，ＰＣ情報保護システム，逆追跡システム，認証システム，ネットワーク装備，仮想私設ネットワーク(ＶＰＮ)からなる群から選択される１以上の情報保護関連製品から発生する情報保護関連イベントをリアルタイムで収集／格納する情報保護関連イベント収集部を更に含むことを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
10. 前記情報加工／分析部は，情報収集／管理部で収集された各種保安情報を様々な分類で検索および加工できるように正規化してデータベースを構築するデータウェアハウジング部(Ｄａｔａｗａｒｅ Ｈｏｕｓｉｎｇ Ｐａｒｔ)と；
    該データウェアハウジング部で構築されたデータベースに格納された情報に，データマイニング，または，知識基盤の分析アルゴリズムを適用して侵害事故および脆弱点，主要資産情報との相関関係，認識可能なパターンおよび事故／脆弱点を予防するための分類方法を含む分析アルゴリズムを管理し，分析アルゴリズムによって分析を行う分析部と；
    を含むことを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
11. 前記データウェアハウジング部は，保安情報を受信して類型別に分類した後，該データに対して要約／加工を加える必要があるかどうかを判断し，必要に応じて検索類型別に要約し，または，データフィールドを追加してデータベースを生成することを特徴とする，請求項１０に記載のコンピュータシステム上における総合侵害事故対応システム。
12. 前記情報共有／検索／伝播部は，共有すべき情報を類型別，または，等級別に分類し，情報を共有する使用者／機関を等級別に分類して管理するプロファイル管理機能と，使用者の検索要請信号が受け付けられたとき，該情報を抽出して該使用者システムに伝送する機能と，を備えることを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
13. ハッキングおよびサイバーテロを含む前記侵害事故各々に対し，その攻撃内容を評価し，過去の攻撃技法および回数で攻撃を分類し，予測可能なシナリオを構成し，ステップ別には，脆弱点分析後のＤＢ化，重要攻撃リアルタイム分析，重要パケット収集分析ならびに予報／警報発令および伝播過程を含む所定の攻撃評価機能を前もって定義された基準に自動的に遂行する攻撃評価部を更に含むことを特徴とする，請求項２に記載のコンピュータシステム上における総合侵害事故対応システム。
14. 新しく発見した侵害事故，または，脆弱点を感知した場合，同一なシステム条件で該侵害事故，または，脆弱性に対する結果を予測可能なシナリオを構成して，攻撃の強度と被害予測および対応措置を算定できるようにシミュレーションするテストベッド(Ｔｅｓｔ−Ｂｅｄ)を更に含むことを特徴とする，請求項１３に記載のコンピュータシステム上における総合侵害事故対応システム。
15. また，前記運営システムは，前記テストベッドおよび侵害攻撃評価部中，１つ以上の結果によって警報信号を発生し，保護対象システム，または，外部システムに侵害事故，または，脆弱点に対する警報信号を伝達する早期予報／警報部(または，予報／警報システム; Ｅａｒｌｙ Ｗａｒｎｉｎｇ Ｓｙｓｔｅｍ)を更に含むことを特徴とする，請求項１４に記載のコンピュータシステム上における総合侵害事故対応システム。
16. 前記保護対象システムを含むシステム構成要素の重要度，または，資産価値を評価し，評価されたシステム重要度に基づいて，侵害事故発生時，被害程度と復旧期間を予測する資産評価／復旧期間算定部を更に含むことを特徴とする，請求項２に記載のコンピュータシステム上における総合侵害事故対応システム。
17. 前記テストベッドにおいて，シミュレーションされた侵害事故結果情報から教育情報を算出して格納／管理し，教育を必要とする外部端末機に伝送して教育を遂行するオンライン自動教育／訓練部を更に備えることを特徴とする，請求項１４に記載のコンピュータシステム上における総合侵害事故対応システム。
18. 前記システム自己情報保護部は，前記総合侵害事故対応システム自体の情報保護のための構成要素であり，
    カード認証部，パスワード認証部，生体認識システム認証部およびＣＣＴＶの中，１つ以上を含む物理的情報保護部と；
    認証システム，侵入遮断システム，ウイルス遮断システム，逆追跡システムオおよびウォーターマーキング手段のうち，１つ以上を含むネットワーク／システム／文書情報保護部と；
    を含むことを特徴とする，請求項１に記載のコンピュータシステム上における総合侵害事故対応システム。
19. 前記他機関連動部は，
    外部のシステムと相互交換される情報の管理と実際の外部システムとのデータ送受信を行うために，暗号化した標準フォーマットで前記交換される情報の加工／分析／統計機能を遂行し，各機関の使用者等級を分類／管理する機能を遂行し，前記外部システムと必要な情報を安全に共有する機能を提供する情報管理部と；
    実際に，外部システムとのデータ送受信を行うための接続統制(使用者等級に従うデータ提供)およびプロトコル変換を遂行するインターフェース部と；
    を含むことを特徴とする，請求項２に記載のコンピュータシステム上における総合侵害事故対応システム。
20. 前記データベースは，関連システムに対する各種脆弱点目録および脆弱点点検目録を格納している脆弱性ＤＢ，収集された保安情報のソースデータおよび加工データが格納されているソース／加工ＤＢ，侵害事故申告受付部を通じて入力された侵害事故情報を格納する事故受付ＤＢ，脆弱性目録および侵害事故情報のうち，周期的に発生するイベントを選別・格納するブラックリストＤＢ，侵害事故，または，脆弱性目録中，関連者に早期予報／警報が必要なイベントのみを選別・格納する予報／警報ＤＢ，関連システムおよび使用者等に対する履歴情報を格納するプロファイルＤＢ，および過去に発生した各種侵害事故や脆弱点とそれに対する対処方法と各種ログファイルなどを格納する事故履歴ＤＢからなる群から選択された１以上を含むことを特徴とする，請求項３に記載のコンピュータシステム上における総合侵害事故対応システム。
21. 重要な侵害事故を予想し，または，実際の攻撃を遂行した対象者およびＩＰに対する関連記録から，被害程度によって犯罪対象になるイベントと関連した情報を抽出し，事後的に侵害事故により刑事告発するか経済的な被害および損失補償を受けようとする民事訴訟を提起する際，関連記録として提出され法的証拠能力を表す基礎的な情報を格納するコンピュータフォレンジックＤＢを含むことを特徴とする，請求項３，または，請求項２０に記載のコンピュータシステム上における総合侵害事故対応システム。
22. コンピュータシステム上における侵害事故対応のための自動化した総合侵害事故対応システムを用いた方法であって：
    情報収集／管理部が所定の通信網を通じて侵害事故および脆弱性情報を含む保安情報を自動的に収集する情報収集ステップと；
    情報収集／管理部が収集した情報をデータベース化し，所定の分析アルゴリズムを用いて自動的に分析する情報加工／分析ステップと；
    前記加工／分析された保安情報を共有できるように管理し，外部からの要請時，検索／提供する情報共有／検索／伝播ステップと；
    侵害事故および脆弱性情報のうち，警報が必要な場合，所定の早期警報情報を生成して１つ以上の内外部システムに伝送する予報／警報ステップと；
    を含むことを特徴とする，コンピュータシステムウ上における総合侵害事故対応方法。
23. 所定のシステム自己情報保護部を用いて構築された総合侵害事故対応システムの自己情報保護を自動的に遂行する自己情報保護ステップを更に含むことを特徴とする，請求項２２に記載のコンピュータシステム上における総合侵害事故対応方法。
24. 総合侵害事故対応システムで生成された情報のうち，他機関と共有しなければならない情報を管理し，必要な他機関システムに伝送する他機関共有ステップを更に含むことを特徴とする，請求項２２に記載のコンピュータシステム上における総合侵害事故対応方法。
25. 予報／警報の可否，コンピュータフォレンジックＤＢ化の可否，ブラックリストＤＢ化の可否を決定するため，前記各々の侵害事故および脆弱性目録に対し，攻撃程度を自動的に評価する攻撃評価ステップを更に備えることを特徴とする，請求項２２に記載のコンピュータシステム上における総合侵害事故対応方法。
26. 新たな侵害事故および脆弱性目録発生の際，同一なシステム環境で該侵害事故，または，脆弱性に対する結果を自動的にシミュレーションし，その結果を格納するテスト(シミュレーション)ステップを更に備えることを特徴とする，請求項２２に記載のコンピュータシステム上における総合侵害事故対応方法。
27. 保護対象システムを含む関連システムの資産(重要度)を予め入力している基準で自動評価し，侵害事故発生時の被害程度および復旧期間のうち，１つ以上を自動的に算定して提供する資産評価／復旧期間算定ステップを更に備えることを特徴とする，請求項２２に記載のコンピュータシステム上における総合侵害事故対応方法。
    

Images