JP2016122273A - アラート発信方法、プログラム、及び装置 - Google Patents

アラート発信方法、プログラム、及び装置 Download PDF

Info

Publication number
JP2016122273A
JP2016122273A JP2014260785A JP2014260785A JP2016122273A JP 2016122273 A JP2016122273 A JP 2016122273A JP 2014260785 A JP2014260785 A JP 2014260785A JP 2014260785 A JP2014260785 A JP 2014260785A JP 2016122273 A JP2016122273 A JP 2016122273A
Authority
JP
Japan
Prior art keywords
user
action log
terminal
users
report
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
JP2014260785A
Other languages
English (en)
Inventor
芽生恵 牛田
Mebae Ushida
芽生恵 牛田
片山　佳則
Yoshinori Katayama
佳則 片山
剛陽 寺田
Takeaki Terada
剛陽 寺田
津田　宏
Hiroshi Tsuda
宏 津田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2014260785A priority Critical patent/JP2016122273A/ja
Priority to EP15201574.9A priority patent/EP3038005A1/en
Priority to US14/977,311 priority patent/US20160191553A1/en
Publication of JP2016122273A publication Critical patent/JP2016122273A/ja
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/535—Tracking the activity of the user

Abstract

【課題】サイバー攻撃を知らせるユーザを適切に判断して迅速に警告を発信する。
【解決手段】複数の端末３から各ユーザの行動ログを収集し、前記行動ログの類似性が高いユーザ同士をグループ化し、前記端末３ａからサイバー攻撃の報告８ａを受信すると、該報告８ａで示されるユーザ（ユーザＡ）と同一グループに属する他のユーザ（ユーザＢ、ユーザＸ）の端末に警告８ｂを発信する処理をコンピュータ１００が行う。
【選択図】図２

Description

本発明は、アラート発信方法、プログラム、及び装置に関する。
近年、ある特定の企業や職種につく人物を狙った、特殊なサイバー攻撃、いわゆる標的型攻撃が激化している。ネットワークシステムのコンピュータウイルスに対する耐性を強化する取り組みが行われている。
例えば、中継するフレームにウイルスを検出すると、ウイルス入りフレームの送り元とその宛先に対して、ウイルス検出警告メッセージを送信してウイルス検出の通知を行う技術等が知られている。
特開平９−２６９９３０号公報 特許第５３８５２５３号公報
ネットワークシステムに対する標的型攻撃において、サイバー攻撃の被害に合う人物は、業務内容や性格などに特徴があるのではないかと予想される。例えば、攻撃者は、特定の業務内容に従事している社員（営業、公報業務など）をターゲットにしたり、特定のＷｅｂサイトに水飲み場攻撃をしかけるなどの戦略をもっている場合がある。
この場合は、標的型攻撃のターゲットになるユーザに特徴がでる。また、攻撃は不特定多数の人に行われ、注意力が散漫など、特定の人物だけが攻撃にひっかかる場合がある。このように、標的型攻撃の被害にあうユーザに特徴がでる可能性がある。
しかしながら、上述した技術では、検出したウイルス入りフレームの宛先の人物と類似する特徴をもつ他の人物への被害を未然に防止する仕組みがないため、標的型のサイバー攻撃を完全に防ぐことは難しく、サイバー攻撃を未然に防ぐだけでなく、サイバー攻撃を受けてしまった場合に、同様の被害が起こらないように事後の対応を行うことができない。
したがって、１つの側面では、本発明は、サイバー攻撃を知らせるユーザを適切に判断して警告を発信することを目的とする。
一態様によれば、複数の端末から各ユーザの行動ログを収集し、前記行動ログの類似性が高いユーザ同士をグループ化し、前記端末対するサイバー攻撃の報告を受信すると、該報告で示されるユーザと同一グループに属する他のユーザの端末に警告を発信する処理をコンピュータが行うアラート発信方法が提供される。
また、上記課題を解決するための手段として、上記方法を行う装置、コンピュータに上記処理を実行させるためのプログラム、及び、そのプログラムを記憶した記憶媒体とすることもできる。
サイバー攻撃を知らせるユーザを適切に判断して警告を発信することができる。
通常時の動作例を示す図である。 サイバー攻撃を受けた際の動作例を示す図である。 アラート発信装置のハードウェア構成を示す図である。 端末のハードウェア構成を示す図である。 アラート発信装置の機能構成例を示す図である。 端末の機能構成例を示す図である。 通常運用例を説明するための図である。 サイバー攻撃を受けた際の運用例を説明するための図である。 実施例１における行動ログＤＢのデータ例を示す図である。 実施例１における行動ログ分析処理の第一の例を説明するためのフローチャート図である。 実施例１における行動ログ分析処理の第二の例を説明するためのフローチャート図である。 実施例１における類似度判定結果テーブルのデータ例を示す図である。 実施例２における行動ログＤＢのデータ例を示す図である。 実施例２における行動ログ分析処理の第一の例を説明するためのフローチャート図である。 実施例２における行動ログ分析処理の第二の例を説明するためのフローチャート図である。 実施例１又は実施例２における行動ログの他の例を示す図である。 実施例３における行動ログＤＢのデータ例を示す図である。 実施例３における行動ログ分析処理を説明するためのフローチャート図である。 階層的クラスタリングの結果例を示す図である。 実施例３における類似度判定結果テーブルのデータ例を示す図である。 実施例４における通常時の動作例を示す図である。 実施例４におけるサイバー攻撃を受けた際の動作例を示す図である。
以下、本発明の実施の形態を図面に基づいて説明する。先ず、サイバー攻撃を受けたユーザが、通常、行う対策について考察する。サイバー攻撃による被害が発生した場合、通常、以下のような対策が行われる場合が多い。
（対策１）
あるユーザがサイバー攻撃を受けた際、その被害報告を他のユーザに発信し警告することで、更なる被害が発生することを予防する。
（対策２）
企業等の組織において、サイバー攻撃を受けたユーザは、上長に被害を報告する。
上述したような対策には、以下の課題がある。
（対策１の課題）
すべての被害報告をすべてのユーザに即座に配信することは、情報の配信コストや、ユーザが情報を逐一確認するためのコストを考慮すると望ましくない。また、ユーザによる誤解などで、誤った情報が流れる可能性もある。
しかし、情報システム管理者などによって被害内容の精査後、関連するユーザを選択し警告をしていたのでは、迅速な対応ができず、さらなる被害の発生を予防することは難しい。
（対策２の課題）
上長が被害報告をされても、真に必要なユーザに迅速な情報共有、警告等を行えない可能性がある。
従って、本実施形態では、あるユーザがサイバー攻撃の被害に合ったときに、適切な他のユーザにのみ、直ちに警告を送信する仕組みを提供する。
本実施形態に係るシステムについて図１及び図２で説明する。図１は、通常時の動作例を示す図である。図１に示すシステム１０００は、アラート発信装置１００と、複数の端末３とを有する。アラート発信装置１００は、ネットワーク２を介して複数の端末３に接続される。
図１において、システム１０００は企業内に構築され、アラート発信装置１００に接続される複数の端末３は、１又は２以上の部門の夫々に属するユーザによって利用される。
例えば、部門は、営業部４、技術部５等である。営業部４には、ユーザＡ、ユーザＢ、ユーザＣ等が所属している。また、技術部５には、ユーザＸ、ユーザＹ、ユーザＺ等が所属している。複数の端末３は、ユーザＡの端末３ａ、ユーザＢの端末３ｂ、ユーザＣの端末３ｃ、ユーザＸの端末３ｘ、ユーザＹの端末３ｙ、及びユーザＺの端末３ｚを含む。
アラート発信装置１００は、通常運用時には、各端末３から行動ログ７を収集して、蓄積されたログに基づいて、標的型のサイバー攻撃に備え、ユーザの行動特性を解析する。各端末３は、ユーザの操作に応じて、操作に係るログを行動ログ７としてアラート発信装置１００へ送信する。
行動ログ７は、例えば、ユーザが送信メールの宛先、ユーザがアクセスしたＷｅｂ閲覧先、受信メールに対するユーザの操作を示す行動特性等を示す。本実施例では、インターネットの利用に関連する操作を示す情報が、行動ログ７としてアラート発信装置１００に収集される。
アラート発信装置１００は、収集した行動ログ７を分析して、ユーザ毎に、サイバー攻撃の被害に合った場合に報告する他ユーザとの対応付けを管理する。アラート発信装置１００は、分析の結果、例えば、
ユーザＡが被害にあった場合、ユーザＢとユーザＸとに報告する（第１対応策）
ユーザＢが被害にあった場合、ユーザＡとユーザＺとに報告する（第２対応策）
等の対応を行うためのリストを作成する。
この例では、第１対応策では、営業部４に所属するユーザＡが被害にあった場合、同じ営業部４に所属するユーザＢと、異なる所属部門の技術部５に所属するユーザＸが、警告対象となるユーザであることを示している。
また、第２対応策では、営業部４に所属するユーザＢが被害にあった場合、同じ営業部４に所属するユーザＡと、異なる所属部門の技術部５に所属するユーザＺが、警告対象となるユーザであることを示している。
本実施形態では、サイバー攻撃の被害に合ったユーザの所属部門内の他のユーザを警告対象のユーザとして、必ずしも認識しない。他部門との連携を行う業務に関わるユーザである場合、同一部門内にサイバー攻撃に対する予防を周知するよりも、業務上関連の強い他部門のユーザに即時に報告することで、サイバー攻撃の被害があった場合に適切なユーザに絞って迅速に周知させることができ、従って、被害を最小限にすることができる。
図２は、サイバー攻撃を受けた際の動作例を示す図である。図２において、ユーザＡが利用する端末３でサイバー攻撃を受けると、ユーザＡの端末３は、端末３のウィルスチェック機能によるウィルス検出に応じて、被害報告８ａをアラート発信装置１００へ送信する。
アラート発信装置１００は、上述したような複数の対応策から、被害報告８ａの送信元に基づいて、警告８ｂを行う警告対象を特定して、特定した警告対象へサイバー攻撃を受ける可能性がある旨の警告８ｂを行う。
図２の例では、ユーザＡがサイバー攻撃６を受けた場合のアラート発信装置１００の動作例が示されている。アラート発信装置１００は、被害報告８ａを受けると、被害報告８ａの送信元からユーザＡを特定する。
アラート発信装置１００は、特定した送信元に基づく対応策で指定される警告対象に警告８ｂを行う。警告８ｂは、アラート発信装置１００から電子メール（以下、単に「メール」という）で、警告対象となるユーザ宛てに通知されてもよい。或いは、警告８ｂは、警告対象のユーザが利用する端末３に通知され、端末３が通知に応じて警告８ｂを表示するようにしてもよい。
上述したような、アラート発信装置１００は、図３に示すようなハードウェア構成を有する。図３は、アラート発信装置のハードウェア構成を示す図である。図３において、アラート発信装置１００は、コンピュータによって制御されるサーバ装置であって、ＣＰＵ（Central Processing Unit）１１ａと、主記憶装置１２ａと、補助記憶装置１３ａと、入力装置１４ａと、表示装置１５ａと、通信Ｉ／Ｆ（インターフェース）１７ａと、ドライブ装置１８ａとを有し、バスＢ１に接続される。
ＣＰＵ１１ａは、主記憶装置１２ａに格納されたプログラムに従ってアラート発信装置１００を制御する。主記憶装置１２ａには、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等が用いられ、ＣＰＵ１１ａにて実行されるプログラム、ＣＰＵ１１ａでの処理に必要なデータ、ＣＰＵ１１ａでの処理にて得られたデータ等を記憶又は一時保存する。
補助記憶装置１３ａには、ＨＤＤ（Hard Disk Drive）等が用いられ、各種処理を実行するためのプログラム等のデータを格納する。補助記憶装置１３ａに格納されているプログラムの一部が主記憶装置１２ａにロードされ、ＣＰＵ１１ａに実行されることによって、各種処理が実現される。
入力装置１４ａは、マウス、キーボード等を有し、管理者がアラート発信装置１００による処理に必要な各種情報を入力するために用いられる。表示装置１５ａは、ＣＰＵ１１ａの制御のもとに必要な各種情報を表示する。通信Ｉ／Ｆ１７ａは、有線又は無線などのネットワーク２を通じて通信を行う。通信Ｉ／Ｆ１７ａによる通信は無線又は有線に限定されるものではない。
アラート発信装置１００によって行われる処理を実現するプログラムは、例えば、ＣＤ−ＲＯＭ（Compact Disc Read-Only Memory）等の記憶媒体１９によってアラート発信装置１００に提供される。
ドライブ装置１８ａは、ドライブ装置１８ａにセットされた記憶媒体１９ａ（例えば、ＣＤ−ＲＯＭ等）とアラート発信装置１００とのインターフェースを行う。
また、記憶媒体１９ａに、後述される本実施の形態に係る種々の処理を実現するプログラムを格納し、この記憶媒体１９ａに格納されたプログラムは、ドライブ装置１８ａを介してアラート発信装置１００にインストールされる。インストールされたプログラムは、アラート発信装置１００により実行可能となる。
尚、プログラムを格納する記憶媒体１９ａはＣＤ−ＲＯＭに限定されず、コンピュータが読み取り可能な、構造（structure）を有する１つ以上の非一時的（non-transitory）な、有形（tangible）な媒体であればよい。コンピュータ読取可能な記憶媒体として、ＣＤ−ＲＯＭの他に、ＤＶＤディスク、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリであっても良い。
また、プログラムは、外部提供サーバから通信Ｉ／Ｆ１７ａを介してダウンロードしインストールされてもよい。インストールされたプログラムは、補助記憶装置１３ａに格納される。
端末３は、図４に示すようなハードウェア構成を有する。図４は、端末のハードウェア構成を示す図である。図４において、端末３は、コンピュータによって制御されるノートブック型、ラップトップ型、タブレット型等の情報処理端末であって、ＣＰＵ（Central Processing Unit）１１ｂと、主記憶装置１２ｂと、ユーザＩ／Ｆ（インターフェース）１６ｂと、通信Ｉ／Ｆ１７ｂと、ドライブ装置１８ｂとを有し、バスＢ２に接続される。
ＣＰＵ１１ｂは、主記憶装置１２ｂに格納されたプログラムに従って端末３を制御する。主記憶装置１２ｂには、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等が用いられ、ＣＰＵ１１ｂにて実行されるプログラム、ＣＰＵ１１ｂでの処理に必要なデータ、ＣＰＵ１１ｂでの処理にて得られたデータ等を記憶又は一時保存する。主記憶装置１２ｂに格納されているプログラムが、ＣＰＵ１１ｂに実行されることによって、各種処理が実現される。
ユーザＩ／Ｆ１６ｂは、ＣＰＵ１１ｂの制御のもとに必要な各種情報を表示し、また、ユーザによる操作入力を可能とするタッチパネル等である。通信Ｉ／Ｆ１７ｂによる通信は無線又は有線に限定されるものではない。ドライブ装置１８ｂは、ドライブ装置１８ｂにセットされた記憶媒体１９ｂ（例えば、ＳＤ（Secure Digital）メモリカード等）と端末３とのインターフェースを行う。
端末３によって行われる処理を実現するプログラムは、ネットワーク２等を介して、外部装置からダウンロードされる。又は、予め端末３の主記憶装置１２ｂに記憶されていても良い。或いは、ＳＤメモリカード等の記憶媒体１９ｂからインストールされてもよい。
端末３は、デスクトップ型等の情報処理端末であっても良く、そのハードウェア構成は、図３のハードウェア構成と同様であるので、その説明を省略する。
図５は、アラート発信装置の機能構成例を示す図である。図５において、アラート発信装置１００は、行動ログ収集部４１と、行動ログ分析部４２と、被害受信部４３と、警告配信部４４とを有する。補助記憶装置１３ａは、行動ログＤＢ４６、類似度判定結果テーブル４７等を記憶する。
行動ログ収集部４１は、各端末３から行動ログ７を受信し、行動ログＤＢ４６に蓄積する。行動ログ分析部４２は、行動ログＤＢ４６を用いて、ユーザ間の特性の類似度を判定し、類似度判定結果テーブル４７を作成し、補助記憶装置１３ａに記憶する。類似度判定結果テーブル４７は、所定間隔で更新されるようにする。
被害受信部４３は、端末３から被害報告８ａを受信すると、警告配信部４４に被害報告８ａを通知する。警告配信部４４は、類似度判定結果テーブル４７を参照し、被害報告８ａによって示されるユーザがサイバー攻撃を受けた場合の警告対象を取得して、警告８ｂを通知する。
図６は、端末の機能構成例を示す図である。図６において、端末３は、行動ログ抽出部３１と、被害報告部３２と、警告受信部３３とを有する。補助記憶装置１３ｂの一部が、行動ログ記憶部３７として利用される。行動ログ記憶部３７は、行動ログ７を一時的に蓄積する。
行動ログ抽出部３１は、ユーザＩ／Ｆ１６ｂの操作イベント、操作イベントに起因して発生した所定アプリケーションの動作イベント等に応じてログを作成し、作成したログのうち、本実施例において対象となる行動ログ７を抽出して、行動ログ記憶部３７に記憶する。
行動ログ７は、ユーザ間の特性の類似度を判断するための情報を含む。行動ログ７の詳細は、実施例１、実施例２、及び実施例３において後述される。
被害報告部３２は、端末３がサイバー攻撃の被害に合った場合、アラート発信装置１００に被害報告８ａを行う。被害報告８ａは、被害のあった端末３のユーザ名を含む。ユーザ名は、ユーザＩＤを示す場合を含む。警告受信部３３は、アラート発信装置１００から警告８ｂを受けた場合、ユーザＩ／Ｆ１６ｂに警告８ｂを表示し、ユーザに通知する。
次に、システム１０００における運用例について図７及び図８で説明する。図７は、通常運用例を説明するための図である。図７において、通常運用時には、端末３ａ及び３ｂを含む夫々の端末３から行動ログ７が定期的に送信される。
端末３ａにおいて、行動ログ抽出部３１は、ユーザＩ／Ｆ１６ｂの操作イベント、操作イベントに起因して発生した所定アプリケーションの動作イベント等に応じて作成したログから行動ログ７を抽出して、行動ログ記憶部３７に記憶する。
端末３ａの行動ログ抽出部３１は、行動ログ記憶部３７に記憶された行動ログ７を、定期的にアラート発信装置１００へ送信する。
一方、端末３ｂにおいても、同様に、行動ログ抽出部３１は、ユーザＩ／Ｆ１６ｂの操作イベント、操作イベントに起因して発生した所定アプリケーションの動作イベント等に応じて作成したログから行動ログ７を抽出して、行動ログ記憶部３７に記憶する。
端末３ｂの行動ログ抽出部３１は、行動ログ記憶部３７に記憶された行動ログ７を、定期的にアラート発信装置１００へ送信する。
他の端末３においても、上記同様に行動ログ７を定期的にアラート発信装置１００へ送信する。
アラート発信装置１００では、端末３ａ及び３ｂを含む複数の端末３から行動ログ７を受信し、行動ログ分析部４１は、複数の端末３の行動ログ７を用いて、ユーザ間の特性の類似度を分析する。類似度判定結果テーブル４７が作成される。行動ログ分析部４１は、定期的に、類似度判定結果テーブル４７を更新する。
図８は、サイバー攻撃を受けた際の運用例を説明するための図である。図８において、ユーザＡの端末３ａがサイバー攻撃を受けると、被害にあったユーザ名をアラート発信装置１００に送信する。
本実施形態では、被害の検知方法を限定しない。ユーザ自身が被害にあったと判断した又はその可能性があると判断した場合に、被害報告８ａを送信してもよい。或いは、被害報告部３２が、端末３ａで動作するウイルスチェック機能を有するソフトウェア等がマルウェアを検知した際に自動的に、アラート発信装置１００に被害報告８ａを送信してもよい。
アラート発信装置１００では、被害受信部４２が、端末３ａからの被害報告８ａを受信すると、被害報告８ａからユーザ名を取得し、警告配信部４４に通知する。この例では、被害報告８ａから、ユーザＡのユーザ名が取得され、警告配信部４４に通知される。
警告配信部４４は、被害受信部４２から通知されたユーザ名に係る類似度判定結果を、類似度判定結果テーブル４７から取得して、取得した類似度判定結果で示される特性が類似すると判定された他のユーザに警告８ｂを送信する。
この例では、ユーザＡに係る類似度判定結果により少なくともユーザＢが示されていたとする。警告配信部４４は、ユーザＢを宛先とした警告８ｂを送信する。
端末３ｂでは、警告受信部４４がアラート発信装置１００の警告配信部４４から警告８ｂを受信すると、ユーザＩ／Ｆ１６ｂに警告８ｂの通知を表示する。
このように、被害を受けた各人が通知する対象者を判断する必要がなく、速やかに被害を受けた関係者等に警告８ｂを通知することができる。
次に、本実施形態を適用した種々の実施例について説明する。
・実施例１
メールの宛先を行動ログ７として収集し、相手先に基づいて、ユーザ間の類似度を判断する。２人のユーザが類似しているか否かはＪａｃｃａｒｄ係数を用いて判定する。Ｊａｃｃａｒｄ係数は、０又は１を取る２つのｎ次元ベクトルの類似度を算出する指標の一つであり、２つのベクトルＡ、Ｂに対して、以下のように計算する。
Figure 2016122273
すべてのメールの宛先の夫々に対して、ユーザ毎に、メールを送信した場合は１、そうでない場合は０を示すベクトルを作成し、このベクトルに基づいて、Ｊａｃｃａｒｄ係数を計算し、Ｊａｃｃａｒｄ係数が与えられた閾値以下のユーザ同士を類似度の高いユーザ同士と判断する。Ｊａｃｃａａｒｄ係数を計算するために、実際には、取りうるすべてのメールの宛先を取得する必要はない。
・実施例２
閲覧したＷｅｂサイトのＵＲＬ（Uniform Resource Locator）を行動ログ７として収取し、ユーザ間の類似度を判断する。２人のユーザが類似しているか否かは、実施例２と同様にＪａｃｃａｒｄ係数を用いて判定できる。
この場合、すべてのＷｅｂ閲覧先の夫々に対して、ユーザ毎に、Ｗｅｂをアクセスした場合は１、そうでない場合は０を示すベクトルを作成し、このベクトルに基づいて、Ｊａｃｃａｒｄ係数を計算し、Ｊａｃｃａｒｄ係数が与えられた閾値以下のユーザ同士を類似度の高いユーザ同士と判断する。Ｊａｃｃａａｒｄ係数を計算するために、実際には、取りうるすべてのＷｅｂ閲覧先を取得する必要はない。
・実施例３
行動特性（ｎ次元ベクトル）を行動ログ７として収集し、ユーザ間の類似度を判断する。行動特性は、打鍵記録などから判断してもよい。また、行動特性の判断は、各端末３で判断してもよいし、打鍵記録などのＰＣ操作ログを行動ログ７として、アラート発信装置１００に送信し、アラート発信装置１００で行動特性を作成してもよい。
先ず、実施例１について説明する。図９は、実施例１における行動ログＤＢのデータ例を示す図である。図９に示す行動ログＤＢ４６−１では、ユーザ毎に、送信メールの宛先が行動ログ７として一覧で示される。
図９の例では、行動ログＤＢ４６−１において、ユーザＡの送信メールの宛先が、「neko@jp.housewife.co.jp」、「sasaki@pmail.com」等のように一覧で示される。他のユーザについても同様である。
次に、実施例１における行動ログ分析部４２による行動ログ分析処理について説明する。図１０は、実施例１における行動ログ分析処理の第一の例を説明するためのフローチャート図である。図１０において、行動ログ分析部４２は、全てのユーザの行動ログ７を含む行動ログＤＢ４６−１と、閾値ｔ１とを読み込む（ステップＳ１０）。
閾値ｔ１は、類似していると判定するための基準値を示す。類似度は、１に近い値程、類似していることを示し、０に近い程、類似していないことを示す。閾値ｔ１は、例えば、０．９５等の値を示す。また、閾値ｔ１は、管理者等によって必要に応じて変更可能であってもよい。
行動ログＤＢ４６−１で管理される全てのユーザに対して、ステップＳ１２からＳ２２までの処理を行う（ステップＳ１１）。行動ログ分析部４２は、行動ログＤＢ４６−１から順にユーザ名を１つ取得して、ユーザＡとする（ステップＳ１２）。
そして、行動ログ分析部４２は、ユーザＡに対して、ユーザＡを除く全てのユーザに対して、ステップＳ１４からＳ２１までの処理を行う（ステップＳ１３）。行動ログ分析部４２は、行動ログＤＢ４６−１から順にユーザＡ以外のユーザ名を１つ取得して、ユーザＢとする（ステップＳ１４）。
行動ログ分析部４２は、行動ログＤＢ４６−１を参照して、ユーザＡが送信メールの宛先の総数ｎＡを取得し（ステップＳ１５）、同様にして、ユーザＢが送信メールの宛先の総数ｎＢを取得する（ステップＳ１６）。更に、ユーザＡとユーザＢとに共通する送信メールの宛先の総数ｎＡＢを取得する（ステップＳ１７）。
そして、行動ログ分析部４２は、判定指数ｉを求める（ステップＳ１８）。判定指数ｉは、ユーザＡとユーザＢとの類似度を表すＪａｃｃａａｒｄ係数として、上述した数１で算出される。
行動ログ分析部４２は、判定指数ｉが閾値ｔ１より大きいか否かを判断する（ステップＳ１９）。判定指数ｉが閾値ｔ１以下の場合、行動ログ分析部４２は、ユーザＢは、ユーザＡとに類似度がないと判断し、次のユーザとの類似度を判断するためにステップＳ２１を介してステップＳ１３へと戻り、上述した同様の処理を繰り返す。
一方、判定指数ｉが閾値ｔ１より大きい場合、行動ログ分析部４２は、類似度判定結果テーブル４７−１（図１２）の「被害対象」がユーザＡであるレコードの「警告対象」にユーザＢを追加して（ステップＳ２１）、次のユーザとの類似度を判断するためにステップＳ２１を介してステップＳ１３へと戻り、上述した同様の処理を繰り返す。
ユーザＡ以外の全てのユーザに対して、類似度判定を行ったら、行動ログ分析部４２は、ユーザＡとする次のユーザ名を選択するため、ステップＳ２２を介してステップＳ１１へと戻り、上述同様の処理を繰り返す。そして、全てのユーザの組み合せに対して類似度を判定したら、行動ログ分析部４２は、この行動ログ分析処理を終了する。
図１１は、実施例１における行動ログ分析処理の第二の例を説明するためのフローチャート図である。行動ログ分析処理の第二の例では、ユーザＡとユーザＢとで共通する送信メールの宛先の総数ｎＡＢが与えられた閾値ｔ２との比較により、ユーザＡとユーザＢとの間で特性の類似度を判断する。
図１１において、行動ログ分析部４２は、全てのユーザの行動ログ７を含む行動ログＤＢ４６−１（図９）と、閾値ｔ２とを読み込む（ステップＳ３０）。
閾値ｔ２は、類似していると判定するための基準値を示す。閾値ｔ２は、正の整数値を示す。また、閾値ｔ２は、管理者等によって必要に応じて変更可能であってもよい。
行動ログＤＢ４６−１で管理される全てのユーザに対して、ステップＳ２２からＳ２９までの処理を行う（ステップＳ３１）。行動ログ分析部４２は、行動ログＤＢ４６−１から順にユーザ名を１つ取得して、ユーザＡとする（ステップＳ３２）。
そして、行動ログ分析部４２は、ユーザＡに対して、ユーザＡを除く全てのユーザに対して、ステップＳ１４からＳ２１までの処理を行う（ステップＳ３３）。行動ログ分析部４２は、行動ログＤＢ４６−１から順にユーザＡ以外のユーザ名を１つ取得して、ユーザＢとする（ステップＳ３４）。
行動ログ分析部４２は、行動ログＤＢ４６−１を参照して、ユーザＡとユーザＢとに共通する送信メールの宛先の総数ｎＡＢを取得して（ステップＳ３５）、共通する送信メールの宛先の総数ｎＡＢが閾値ｔ２より多いか否かを判断する（ステップＳ３６）。
総数ｎＡＢが閾値ｔ２以下の場合、行動ログ分析部４２は、ユーザＢは、ユーザＡとに類似度がないと判断し、次のユーザとの類似度を判断するためにステップＳ３８を介してステップＳ３３へと戻り、上述した同様の処理を繰り返す。
一方、総数ｎＡＢが閾値ｔ２より大きい場合、行動ログ分析部４２は、類似度判定結果テーブル４７−１（図１２）の「被害対象」がユーザＡであるレコードの「警告対象」にユーザＢを追加して（ステップＳ３７）、次のユーザとの類似度を判断するためにステップＳ３８を介してステップＳ３３へと戻り、上述した同様の処理を繰り返す。
ユーザＡ以外の全てのユーザに対して、類似度判定を行ったら、行動ログ分析部４２は、ユーザＡとする次のユーザ名を選択するため、ステップＳ３９を介してステップＳ３１へと戻り、上述同様の処理を繰り返す。そして、全てのユーザの組み合せに対して類似度を判定したら、行動ログ分析部４２は、この行動ログ分析処理を終了する。
行動ログ分析処理の第一の例（図１０）により、類似度判定結果テーブル４７−１が図１２のように作成される。また、行動ログ分析処理の第二の例（図１１）においても、同様の類似度判定結果テーブル４７−１が作成される。
図１２は、実施例１における類似度判定結果テーブルのデータ例を示す図である。図１２において、類似度判定結果テーブル４７−１は、被害対象毎に警告対象を対応付けたテーブルであり、被害対象、警告対象等の項目を有する。
被害対象は、サイバー攻撃の被害を受けた側のユーザ名を示す。被害対象となるユーザ名は、端末３から受信した被害報告８ａから取得される。警告対象は、被害対象と特性に関連性のあると判断したユーザ名を１つ以上示す。被害対象のユーザ名が被害報告８ａで示された場合、警告対象で示される１以上のユーザ名に基づいて、警告８ｂを送信するユーザを特定することができる。
この例では、被害対象がユーザＡのレコードにおいて、ユーザＡに対応付けられる警告対象は、ユーザＢ及びユーザＸであることが分かる。ユーザＡがサイバー攻撃の被害を受けた場合、ユーザＢとユーザＸとに警告８ｂが送信される。他のユーザに対しても同様である。
次に、実施例２について説明する。図１３は、実施例２における行動ログＤＢのデータ例を示す図である。図１３に示す行動ログＤＢ４６−２では、ユーザ毎に、Ｗｅｂ閲覧先のＵＲＬを行動ログ７として一覧で示されている。
図１３の例では、行動ログＤＢ４６−２において、ユーザＡのＷｅｂ閲覧先が「http://www.neko/housewife/index.html」、「http://www.sample/test/index.html」等のように一覧で示される。他のユーザについても同様である。
次に、実施例２における行動ログ分析部４２による行動ログ分析処理について説明する。実施例１における行動ログ分析処理と略同様であるので、同様の処理には同一のステップ番号を付し、その説明を省略し、異なる部分のみ以下に説明する。
図１４は、実施例２における行動ログ分析処理の第一の例を説明するためのフローチャート図である。図１４において、図１０と同様に、行動ログ分析部４２は、ステップＳ１０からＳ１４までの処理を行う。
ユーザＡに対するユーザＢのユーザ名を取得すると、行動ログ分析部４２は、行動ログＤＢ４６−１を参照して、ユーザＡのＷｅｂ閲覧先の総数ｎＡを取得し（ステップＳ１５−２）、同様にして、ユーザＢのＷｅｂ閲覧先の総数ｎＢを取得する（ステップＳ１６−２）。更に、ユーザＡとユーザＢの共通するＷｅｂ閲覧先の総数ｎＡＢを取得する（ステップＳ１７−２）。
そして、行動ログ分析部４２は、判定指数ｉを求める（ステップＳ１８）。判定指数ｉは、上述した数１で算出される。
行動ログ分析部４２は、判定指数ｉと閾値ｔ１との比較より、ユーザＢが、ユーザＡと類似度があるか否かを判断することで、類似度判定結果テーブル４７−１（図１２）を作成する（ステップＳ１９〜Ｓ２０）。
そして、全てのユーザの組み合せに対して類似度を判定したら、行動ログ分析部４２は、この行動ログ分析処理を終了する。
図１５は、実施例２における行動ログ分析処理の第二の例を説明するためのフローチャート図である。図１５において、図１１と同様に、行動ログ分析部４２は、ステップＳ３０からＳ３４までの処理を行う。
ユーザＡに対するユーザＢのユーザ名を取得すると、行動ログ分析部４２は、行動ログＤＢ４６−１を参照して、ユーザＡとユーザＢの共通するＷｅｂ閲覧先の総数ｎＡＢを取得して（ステップＳ３５−２）、共通するＷｅｂ閲覧先の総数ｎＡＢが閾値ｔ２より多いか否かを判断する（ステップＳ３６）。
行動ログ分析部４２は、Ｗｅｂ閲覧先の総数ｎＡＢと閾値ｔ２との比較より、ユーザＢが、ユーザＡと類似度があるか否かを判断することで、類似度判定結果テーブル４７−１（図１２）を作成する（ステップＳ３７）。
そして、全てのユーザの組み合せに対して類似度を判定したら、行動ログ分析部４２は、この行動ログ分析処理を終了する。
実施例１及び実施例２の変形例として、ユーザが送信メールの文面等を形態素解析し、抽出した固有名詞を行動ログ７としてもよい。図１６は、実施例１又は実施例２における行動ログの他の例を示す図である。
図１６に示す行動ログＤＢ４６ａでは、ユーザ毎に、送信メールの宛先が行動ログ７として一覧で示される。図１６の例では、行動ログＤＢ４６ａにおいて、ユーザＡの利用する固有名詞が、「○×商事」、「△□商品」等のように一覧で示される。他のユーザについても同様である。
また、図１６に示すような行動ログＤＢ４６ａを用いた場合、行動ログ分析部４２による行動ログ分析処理は、実施例１又は実施例２と同様の処理となる。実施例１のフローチャート（図１０及び図１１）において、行動ログＤＢ４６−１の代わりに行動ログＤＢ４６ａを読み込み、「送信メールの宛先」を「固有名詞」と置き換えるのみで同様の処理となる。又は、実施例２のフローチャート（図１４及び図１５）において、行動ログＤＢ４６−２の代わりに行動ログＤＢ４６ａを読み込み、「Ｗｅｂ閲覧先」を「固有名詞」と置き換えるのみで同様の処理となる。従って、その詳細な説明を省略する。
次に、実施例３について説明する。実施例３では、行動ログ７に、ユーザ名とそのユーザが端末３を利用して行った行動項目とを含めるようにする。行動項目には、送受信メール数／日、パッチ適用間隔（日）などを含めてもよい。各端末３において、メールの送受信の日時、パッチ適用の日時等のログデータを蓄積しておき、行動ログ抽出部３１は、所定日数間隔で、ログデータから行動ログ７を作成して、アラート発信装置１００に送信する。
先ず、実施例３における行動特性について説明する。図１７は、実施例３における行動ログＤＢのデータ例を示す図である。図１７において、行動ログＤＢ４６−３は、ユーザ毎に、端末３を利用して行った行動のログを記憶し、送受信メール数／日、パッチ適用間隔（日）等の項目を有する。
送受信メール数／日は、端末３において、直近の所定日数期間における１日当たりの送受信メール数の平均値を示す。パッチ適用間隔（日）は、端末３において、直近の所定日数期間におけるパッチ適用間隔の平均値を示す。
アラート発信装置１００は、行動ログＤＢ４６−３を参照して、各ユーザの直近の行動ログ７を用いて、階層的クラスタリングのアルゴリズムにより、ユーザをグループ化してもよい。行動ログ７の各項目値を示すｎ次元ベクトルとして、行動ログ分析部４２による行動ログ分析処理（図１８）を行う。ここで、ｎは項目の総数に相当する。
アラート発信装置１００は、また、ユーザ毎に、蓄積された行動ログ７を用いて、各項目値の平均値、標準偏差等を求めて、ｎ次元ベクトルとしてもよい。
図１８は、実施例３における行動ログ分析処理を説明するためのフローチャート図である。図１８において、行動ログ分析部４２は、行動ログＤＢ４６−３及び閾値ｔ３を読み込む（ステップＳ５０）。
行動ログ分析部４２は、階層的クラスタリングのアルゴリズムを利用して、行動ログ７に基づいて、ユーザをクラスタに分類する（ステップＳ５１）。
そして、行動ログ分析部４２は、クラスタ間の距離が閾値ｔ３以下の各クラスタを１つ１つのグループとした類似度判定結果テーブル４７−３（図２０）を作成する（ステップＳ５２）。類似度判定結果テーブル４７は、補助記憶装置１３ａに記憶される。その後、行動ログ分析部４２は、この行動ログ分析処理を終了する。
図１９は、階層的クラスタリングの結果例を示す図である。図１９では、縦軸にユーザ間の距離を示して、行動ログＤＢ４６−３を用いたクラスタリングの結果例を示す。この例では、閾値ｔ３において、まず、ユーザＡは、距離ｄ１で最も近いユーザＢと１つのクラスタに分類され、更に、次に近い距離はｄ３のユーザＸを含めて、ユーザＡ、Ｂ、及びＸとが１つのクラスタに分類される。
一方、ユーザＹは、距離ｄ２で最も近いユーザＺと１つのクラスタに分類される。ユーザＡ、Ｂ、及びＸを含むクラスタは、ユーザＹ及びＺを含むクラスタとの距離が閾値ｔ３より通り距離ｄ４であるため、１つのクラスタに分類されない。同様に、ユーザＣは、他ユーザとで１つのクラスタを形成する。
グループ化は、閾値ｔ３の距離以内で形成されるクラスタをグループとみなす。つまり、ユーザＡ、Ｂ、及びＸを含むクラスタが１グループ、ユーザＹ及びＺを含むクラスタが１グループ、少なくともユーザＣを含むクラスタが１グループ等となる。
上述に基づいて、実施例３で作成される類似度判定結果テーブル４７−３は、図２０に示されるように作成される。図２０は、実施例３における類似度判定結果テーブルのデータ例を示す図である。
図２０において、類似度判定結果テーブル４７−３は、グループＩＤ、グループメンバ等の項目を有し、同一グループ内に分類されたユーザを示す。グループＩＤは、グループを一意に識別するための情報を示す。グループメンバは、同一グループ内に分類されたユーザ名を示す。
この例では、少なくとも、グループ１には、ユーザＡ、ユーザＢ、及びユーザＸが分類され、グループ２には、ユーザＹ及びユーザＺが分類されていることが示される。
警告配信部４４は、被害受信部４３から受信したユーザ名を含むグループ内の他のユーザ名を取得して、警告８ｂを送信する。
次に、本実施形態において、更に、ユーザ毎の行動ログ７に基づく状況を、管理者等に可視化して提示する場合を、実施例４として図２１及び図２２で説明する。
図２１は、実施例４における通常時の動作例を示す図である。図２１に示すシステム１００２では、アラート発信装置１００は、行動ログ分析部４２による行動ログ分析結果を管理者６０の管理者端末６１に表示する。行動ログ分析結果として、類似度判定結果テーブル４７を少なくとも表示可能とする。
図２２は、実施例４におけるサイバー攻撃を受けた際の動作例を示す図である。図２２に示すシステム１００２では、アラート発信装置１００は、被害報告８ａを受信すると、管理者６０宛てに被害報告８ａを必ず送信する。管理者６０は、管理者端末６１にて、被害報告８ａを精査した後に、必要と判断したユーザに警告８ｂを送信してもよい。
又は、アラート発信装置１００は、全ユーザが閲覧可能なように、被害報告８ａの通知があったことを公開するようにしてもよい。
更に、被害報告８ａを受信すると、アラート発信装置１００は、サイバー攻撃の被害にあいやすいユーザには常に警告を出すようにしてもよい。サイバー攻撃の被害にあいやすいユーザを予測するために、被害にあいやすい特徴的な行動特性に関する行動ログ７を収集して分析する。
例えば、図１７に示すような行動ログＤＢ４６−３で管理する項目のように送受信メール数／日、パッチ適用期間（日）等の項目を予め定めておき、各端末３から行動ログ７として収集する。
送受信メール数／日、パッチ適用期間（日）等の項目において、それぞれの所定値以上となる項目数が多いほど、サイバー攻撃の被害にあいやすいユーザであると判断できる。
上述したように、本実施形態によれば、サイバー攻撃に対して、端末３から収集したユーザの行動ログでユーザをグループ化し、攻撃の報告に応じて、報告したユーザのグループ内の他ユーザに警告発信することで、報知するユーザに適切に警告できる。
本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、主々の変形や変更が可能である。
以上の実施例１〜４を含む実施形態に関し、更に以下の付記を開示する。
（付記１）
複数の端末から各ユーザの行動ログを収集し、
前記行動ログの類似性が高いユーザ同士をグループ化し、
前記端末に対するサイバー攻撃の報告を受信すると、該報告で示されるユーザと同一グループに属する他のユーザの端末に警告を発信する
処理をコンピュータが行うアラート発信方法。
（付記２）
前記行動ログは、メールの宛先を示し、
前記コンピュータは、前記メールの宛先に基づいて前記ユーザをグループ化する
ことを特徴とする付記１記載のアラート発信方法。
（付記３）
前記行動ログは、Ｗｅｂサイトの閲覧先を示し、
前記コンピュータは、前記Ｗｅｂサイトの閲覧先の共通性に基づいて、前記ユーザをグループ化する
ことを特徴とする付記１記載のアラート発信方法。
（付記４）
前記行動ログは、前記ユーザの前記端末の操作に係る行動特性を示し、
前記コンピュータは、前記行動特性の類似度に基づいて、前記ユーザをグループ化する
ことを特徴とする付記１記載のアラート発信方法。
（付記５）
前記行動ログに係る分析結果を、管理者の端末にて表示可能とする
ことを特徴とする付記１記載のアラート発信方法。
（付記６）
前記サイバー攻撃の報告を受信すると、前記管理者に通知する
ことを特徴とする付記５記載のアラート発信方法。
（付記７）
前記サイバー攻撃の報告を精査した前記管理者による判断に基づくユーザへ前記警告を発信する
ことを特徴とする付記６記載のアラート発信方法。
（付記８）
前記サイバー攻撃の報告を前記ユーザの前記端末で閲覧可能とする
ことを特徴とする付記６記載のアラート発信方法。
（付記９）
複数の端末から各ユーザの行動ログを収集し、
前記行動ログの類似性が高いユーザ同士をグループ化し、
前記端末に対するサイバー攻撃の報告を受信すると、該報告で示されるユーザと同一グループに属する他のユーザの端末に警告を発信する
処理をコンピュータに行わせるアラート発信プログラム。
（付記１０）
複数の端末から各ユーザの行動ログを収集する収集部と、
前記行動ログを分析して、類似性が高いユーザ同士をグループ化する分析部と、
前記端末に対するサイバー攻撃の報告を受信する被害受信部と、
前記報告で示されるユーザと同一グループに属する他のユーザの端末に警告を配信する配信部と
を有することを特徴とするアラート発信装置。
３、３ａ、３ｂ、３ｃ、３ｘ、３ｙ、３ｚ 端末
７ 行動ログ
８ａ 被害報告、 ８ｂ 警告
９ａ グループの階層構造、 ９ｂ グループ化閾値
１１ａ ＣＰＵ、 １２ａ 主記憶装置
１３ａ 補助記憶装置、 １４ａ 入力装置
１５ａ 表示装置、 １６ａ 出力装置
１７ａ 通信Ｉ／Ｆ、 １８ａ ドライブ
１９ａ 記憶媒体
１１ｂ ＣＰＵ、 １２ｂ 主記憶装置
１６ｂ ユーザＩ／Ｆ、 １７ｂ 通信Ｉ／Ｆ
１８ｂ ドライブ、 １９ｂ 記憶媒体
３１ 行動ログ抽出部
３２ 被害報告部
３３ 警告受信部
３７ 行動ログ記憶部
４１ 行動ログ収集部
４２ 行動ログ分析部
４３ 被害受信部
４４ 警告配信部
４６ 行動ログＤＢ
４７ 類似度判定結果テーブル

Claims (6)

  1. 複数の端末から各ユーザの行動ログを収集し、
    前記行動ログの類似性が高いユーザ同士をグループ化し、
    前記端末に対するサイバー攻撃の報告を受信すると、該報告で示されるユーザと同一グループに属する他のユーザの端末に警告を発信する
    処理をコンピュータが行うアラート発信方法。
  2. 前記行動ログは、メールの宛先を示し、
    前記コンピュータは、前記メールの宛先に基づいて前記ユーザをグループ化する
    ことを特徴とする請求項１記載のアラート発信方法。
  3. 前記行動ログは、Ｗｅｂサイトの閲覧先を示し、
    前記コンピュータは、前記Ｗｅｂサイトの閲覧先の共通性に基づいて、前記ユーザをグループ化する
    ことを特徴とする請求項１記載のアラート発信方法。
  4. 前記行動ログは、前記ユーザの前記端末の操作に係る行動特性を示し、
    前記コンピュータは、前記行動特性の類似度に基づいて、前記ユーザをグループ化する
    ことを特徴とする請求項１記載のアラート発信方法。
  5. 複数の端末から各ユーザの行動ログを収集し、
    前記行動ログの類似性が高いユーザ同士をグループ化し、
    前記端末に対するサイバー攻撃の報告を受信すると、該報告で示されるユーザと同一グループに属する他のユーザの端末に警告を発信する
    処理をコンピュータに行わせるアラート発信プログラム。
  6. 複数の端末から各ユーザの行動ログを収集する収集部と、
    前記行動ログを分析して、類似性が高いユーザ同士をグループ化する分析部と、
    前記端末に対するサイバー攻撃の報告を受信する被害受信部と、
    前記報告で示されるユーザと同一グループに属する他のユーザの端末に警告を配信する配信部と
    を有することを特徴とするアラート発信装置。
JP2014260785A 2014-12-24 2014-12-24 アラート発信方法、プログラム、及び装置 Withdrawn JP2016122273A (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2014260785A JP2016122273A (ja) 2014-12-24 2014-12-24 アラート発信方法、プログラム、及び装置
EP15201574.9A EP3038005A1 (en) 2014-12-24 2015-12-21 Alert transmission program, alert transmission method, and alert transmission apparatus
US14/977,311 US20160191553A1 (en) 2014-12-24 2015-12-21 Alert transmission method, computer-readable recording medium, and alert transmission apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2014260785A JP2016122273A (ja) 2014-12-24 2014-12-24 アラート発信方法、プログラム、及び装置

Publications (1)

Publication Number Publication Date
JP2016122273A true JP2016122273A (ja) 2016-07-07

Family

ID=55024879

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2014260785A Withdrawn JP2016122273A (ja) 2014-12-24 2014-12-24 アラート発信方法、プログラム、及び装置

Country Status (3)

Country Link
US (1) US20160191553A1 (ja)
EP (1) EP3038005A1 (ja)
JP (1) JP2016122273A (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018157344A (ja) * 2017-03-16 2018-10-04 日本電信電話株式会社 対処指示装置、対処指示方法、対処指示プログラム
JP2019145995A (ja) * 2018-02-20 2019-08-29 Kddi株式会社 攻撃予測装置、攻撃予測方法及び攻撃予測プログラム
JP2019220126A (ja) * 2018-06-19 2019-12-26 エーオー カスペルスキー ラボＡＯ Ｋａｓｐｅｒｓｋｙ Ｌａｂ ユーザのコンピュータ装置への攻撃に対抗するシステムおよび方法
JP2020510926A (ja) * 2017-02-27 2020-04-09 アマゾン・テクノロジーズ、インコーポレイテッド インテリジェントセキュリティ管理

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6690469B2 (ja) * 2016-08-26 2020-04-28 富士通株式会社 制御プログラム、制御方法および情報処理装置
CN110032597B (zh) * 2018-11-30 2023-04-11 创新先进技术有限公司 应用程序操作行为的可视化处理方法及装置

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH09269930A (ja) 1996-04-03 1997-10-14 Hitachi Ltd ネットワークシステムの防疫方法及びその装置
US7028338B1 (en) * 2001-12-18 2006-04-11 Sprint Spectrum L.P. System, computer program, and method of cooperative response to threat to domain security
US7293290B2 (en) * 2003-02-06 2007-11-06 Symantec Corporation Dynamic detection of computer worms
US20040205419A1 (en) * 2003-04-10 2004-10-14 Trend Micro Incorporated Multilevel virus outbreak alert based on collaborative behavior
US7779463B2 (en) * 2004-05-11 2010-08-17 The Trustees Of Columbia University In The City Of New York Systems and methods for correlating and distributing intrusion alert information among collaborating computer systems
CA2531410A1 (en) * 2005-12-23 2007-06-23 Snipe Network Security Corporation Behavioural-based network anomaly detection based on user and group profiling
US7301450B2 (en) * 2006-03-14 2007-11-27 John Carrino Citizen communication center
US9336178B2 (en) * 2008-12-19 2016-05-10 Velocee Ltd. Optimizing content and communication in multiaccess mobile device exhibiting communication functionalities responsive of tempo spatial parameters
JP5385253B2 (ja) 2010-12-27 2014-01-08 ヤフー株式会社 複数人格維持・強化補助装置及び方法
US20130054433A1 (en) * 2011-08-25 2013-02-28 T-Mobile Usa, Inc. Multi-Factor Identity Fingerprinting with User Behavior
US9516039B1 (en) * 2013-11-12 2016-12-06 EMC IP Holding Company LLC Behavioral detection of suspicious host activities in an enterprise

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020510926A (ja) * 2017-02-27 2020-04-09 アマゾン・テクノロジーズ、インコーポレイテッド インテリジェントセキュリティ管理
US11102221B2 (en) 2017-02-27 2021-08-24 Amazon Technologies, Inc. Intelligent security management
JP2018157344A (ja) * 2017-03-16 2018-10-04 日本電信電話株式会社 対処指示装置、対処指示方法、対処指示プログラム
JP2019145995A (ja) * 2018-02-20 2019-08-29 Kddi株式会社 攻撃予測装置、攻撃予測方法及び攻撃予測プログラム
JP2019220126A (ja) * 2018-06-19 2019-12-26 エーオー カスペルスキー ラボＡＯ Ｋａｓｐｅｒｓｋｙ Ｌａｂ ユーザのコンピュータ装置への攻撃に対抗するシステムおよび方法

Also Published As

Publication number Publication date
EP3038005A1 (en) 2016-06-29
US20160191553A1 (en) 2016-06-30

Similar Documents

Publication Publication Date Title
CN108780479B (zh) 用于对异常进行检测和评分的系统和方法
US9832214B2 (en) Method and apparatus for classifying and combining computer attack information
US9237161B2 (en) Malware detection and identification
US20210173924A1 (en) Automated Cybersecurity Threat Detection with Aggregation and Analysis
CN108933785B (zh) 网络风险监控方法、装置、计算机设备及存储介质
JP2016122273A (ja) アラート発信方法、プログラム、及び装置
US9507936B2 (en) Systems, methods, apparatuses, and computer program products for forensic monitoring
Sarabi et al. Risky business: Fine-grained data breach prediction using business profiles
JP5990284B2 (ja) キャラクター・ヒストグラムを用いるスパム検出のシステムおよび方法
JP2015511340A (ja) オンライン不正行為の検出の動的採点集計のシステムおよび方法
CN110366845A (zh) 基于云中内容、活动、和元数据的安全性和合规性警报
US8347381B1 (en) Detecting malicious social networking profiles
CN111786950A (zh) 基于态势感知的网络安全监控方法、装置、设备及介质
US20220156372A1 (en) Cybersecurity system evaluation and configuration
JP7005936B2 (ja) 評価プログラム、評価方法および情報処理装置
Thonnard et al. Are you at risk? Profiling organizations and individuals subject to targeted attacks
US20230328097A1 (en) Method And Apparatus For Measuring Information System Device Integrity And Evaluating Endpoint Posture
Haupt et al. Robust identification of email tracking: A machine learning approach
CA3078261A1 (en) Systems and methods for cybersecurity risk assessment of users of a computer network
US10560473B2 (en) Method of network monitoring and device
EP3479279B1 (en) Dynamic ranking and presentation of endpoints based on age of symptoms and importance of the endpoint in the environment
Sarabi et al. Prioritizing Security Spending: A Quantitative Analysis of Risk Distributions for Different Business Profiles.
KR102366637B1 (ko) 전자 장치의 사이버 위협 탐지 방법
JP6623128B2 (ja) ログ分析システム、ログ分析方法及びログ分析装置
US11575702B2 (en) Systems, devices, and methods for observing and/or securing data access to a computer network

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20170605

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20180222

A761 Written withdrawal of application

Free format text: JAPANESE INTERMEDIATE CODE: A761

Effective date: 20180226