JP2017004233A - サイバー攻撃対策範囲優先度付けシステム、サイバー攻撃対策範囲優先度付け方法 - Google Patents

Abstract

【課題】ファイル操作を含む様々なマルウェアに対する対策を効率的に行うことを可能とする。【解決手段】複数の構成要素から構成され、マルウェアに感染した構成要素に対する対策範囲を優先付けるサイバー攻撃対策範囲優先度付けシステムであって、構成要素を感染させたマルウェアの特性を示す特性情報を取得し、記憶部に記憶された構成要素同士の関係を示す関係情報と特性情報とに基づいて、特性情報に示されるマルウェアの感染タイプにおける構成要素と感染した構成要素との距離を算出し、算出した距離と対策範囲を示す優先度付けポリシーとを対応付けたポリシー情報とに基づいて、対策範囲の優先度を定める対策範囲優先度付け部、を備える。【選択図】図１

Description

本発明は、企業などの組織内でマルウェア感染を確認した際にマルウェア感染の対策をするにあたり、対策範囲の優先度付けを行うシステムに関するものである。

近年、不審ファイル添付型の攻撃メール（不審メール）などによる、企業を狙ったサイバー攻撃が増加している。この中で、セキュリティ管理者は日々、膨大な数の不審メールや不審検体報告に対応しており、不審メールの検知、解析、対応（マルウェア感染が疑われる対象の特定と感染範囲の特定、注意喚起）に追われている。

マルウェア感染が発覚した際には、セキュリティ管理者は当該感染端末を基点として社内でほかにも感染端末がないかどうかを調査し、感染端末のネットワーク隔離やプロキシのブラックリスト追加などの対処を行う必要がある（これらの調査、対処を総称して対策と呼ぶ）。

しかし、社員数が多く規模の大きい企業全体で上記の対策を行うには、調査対象となる端末の数やファイルのアクセスログ、ネットワークログの数が膨大となり、手間がかかってしまうことが課題となる。

上記の、マルウェア感染の対策範囲の特定に要する手間の軽減に関連する技術として、特許文献１（「ウィルス被害範囲予測システム」）がある。特許文献１は、日々、各クライアント端末の操作ログを記憶し、クライアントの感染が検出されたとき、上記操作ログから当該クライアントが操作したファイルを特定し、当該ファイルにアクセスした別のクライアントを特定することで、ネットワーク・システム全体のなかで感染可能性がある範囲を特定し、対策の優先度を上げる。そして、優先度の高い範囲から調査することで、感染範囲の特定に要する手間を軽減する技術である。

特開２００９−１７６１３７号公報

マルウェアの感染方法には特許文献１で取り上げているファイル操作による感染のほか、メールによる感染、Ｗｅｂサイトの閲覧による感染など、様々な種類がある。しかし、特許文献１に記載の技術ではファイルの操作ログによる対策範囲の特定以外は行っていないため、ファイル操作による感染以外のマルウェアには対応できない。

本発明は、上記に鑑みてなされたものであって、ファイル操作を含む様々なマルウェアに対する対策を効率的に行うことが可能なサイバー攻撃対策範囲優先度付けシステム、サイバー攻撃対策範囲優先度付け方法を提供することを目的とする。

上記課題を解決し、目的を達成するために、本発明にかかるサイバー攻撃対策範囲優先度付けシステムは、複数の構成要素から構成され、マルウェアに感染した構成要素に対する対策範囲を優先付けるサイバー攻撃対策範囲優先度付けシステムであって、前記構成要素を感染させた前記マルウェアの特性を示す特性情報を取得し、記憶部に記憶された前記構成要素同士の関係を示す関係情報と前記特性情報とに基づいて、前記特性情報に示される前記マルウェアの感染タイプにおける前記構成要素と前記感染した構成要素との距離を算出し、算出した前記距離と前記対策範囲を示す優先度付けポリシーとを対応付けたポリシー情報とに基づいて、前記対策範囲の優先度を定める対策範囲優先度付け部、を備えることを特徴とするサイバー攻撃対策範囲優先度付けシステムとして構成される。

また、本発明は、上記サイバー攻撃対策範囲優先度付けシステムで行われるサイバー攻撃対策範囲優先度付け方法としても把握される。

本発明によれば、ファイル操作を含む様々なマルウェアに対する対策を効率的に行うことが可能となる。

システムの全体構成図である。 システムの構成図の例である。 属性情報ＤＢの構成の例である。 関係情報ＤＢのメールのやり取り関係情報テーブルの構成の例である。 関係情報ＤＢのＳＮＳの交流関係情報テーブルの構成の例である。 関係情報ＤＢの事業部署間の交流関係情報テーブルの構成の例である。 対策範囲優先度付けポリシーＤＢの構成の例である。 動作特性情報ＤＢの構成の例である。 対策履歴情報ＤＢの構成の例である。 関係情報ＤＢ作成・更新の全体概要フローの例である。 対策範囲優先度付けの全体概要フローの例である。 関係情報ＤＢ作成・更新の詳細フローの例である。 対策範囲優先度付け詳細フローの例である。 実施例２に該当する対策範囲優先度付けポリシーＤＢの構成の例である。 実施例２に該当する対策範囲優先度付け詳細フローの例である。

以下、本発明の実施形態を、図面に示す実施例を基に説明する。なお、実施形態は下記に限定されるものではない。

まず、本発明を適用したサイバー攻撃対策範囲優先度付けシステムの全体構成図を、図１を用いて説明する。サイバー攻撃対策範囲優先度付けシステム１０１は構成要素として、関係情報ＤＢ（Ｄａｔａ Ｂａｓｅ）１０２、対策範囲優先度付けポリシーＤＢ１０３、属性情報ＤＢ１０４、動作特性情報ＤＢ１０５、対策範囲履歴情報ＤＢ１０６、関係情報作成・更新機能１０７、対策範囲優先度付け機能１０８とを有する。

前記サイバー攻撃対策範囲優先度付けシステム１０１は、ある組織のクライアント端末１０９でマルウェア感染を確認した際、当該感染クライアント端末１０９の構成情報（所有者情報や端末のＩＰ情報など）を取得する。

また、前記クライアント端末１０９で動作したマルウェアの挙動や動作特性をマルウェア解析機能１１０で解析した結果を前記動作特性情報ＤＢ１０５に格納する。前記サイバー攻撃対策範囲優先度付けシステム１０１はまた、当該組織の日頃の業務処理において発生するメールサーバ１１１やネットワーク機器１１２等からの通信ログを取得し、関係情報作成・更新機能１０７で当該組織のクライアント端末１０９間の関係性に関する情報を、前記属性情報ＤＢ１０４と関係情報ＤＢ１０２とを用いて生成し、関係情報ＤＢ１０２に格納する。本処理の内容については下記で説明する。

当該組織のあるクライアント端末１０９でマルウェア感染を確認した際には、前記サイバー攻撃対策範囲優先度付けシステム１０１は感染クライアント端末の構成情報とマルウェアの動作特性情報と、当該組織におけるクライアント端末１０９間の関係情報とを用いて、マルウェア感染の対策範囲の優先度付けを計算し、計算結果のリスト情報を対策実施機能１１３に出力する。前記対策実施機能１１３では、取得した前記リスト情報を基に、対策実施策（感染クライアント端末１０９のほか、感染の可能性が高いクライアント端末に対して注意喚起メールを送信するなど）をセキュリティ担当者端末１１４へ送信する。

前記システムは、図２に示すような通常のコンピュータシステムにより実現することができる。具体的には、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、入力装置２０４、出力装置２０５、通信制御装置２０６、これらを相互に接続するバス２０７からなる。ＣＰＵ２０１は、記憶装置２０３に記憶され、メモリ２０２に展開された各種プログラムを実行する。入力装置２０４は例えばキーボード、マウスなどであり、出力装置２０５は例えばディスプレイである。通信制御装置２０６は、例えば無線ネットワークインターフェース、ネットワークインターフェースカードである。これらは、バス２０７によって相互に接続される。以下に示す各機能（関係情報作成・更新機能１０７、対策範囲優先度付け機能１０８、対策実施機能１１３）は、実際には、例えば、サーバやＰＣ（Personal Computer）等の一般的な情報処理装置にインストールされた、関係情報作成・更新部、対策範囲優先度付け部、対策実施部として動作するプログラムを実行することにより、上記各機能が実現される。 なお、本システムでは属性情報ＤＢ１０４と対策範囲優先度付けポリシーＤＢ１０３は、企業ごとに、予めインプット情報として保持する。属性情報は、当該システムの各構成要素を一意に特定するための情報であって、当該構成要素が人であれば社員ＩＤや氏名、所属部署や職位、メールアドレス情報などで、当該構成要素が部署組織であれば部署名や業務区分、所在地情報などがある。

対策範囲優先度付けポリシー情報は、当該組織のネットワーク・システムにおいてマルウェア感染した構成要素を検知した際に、感染可能性がある範囲をどの範囲に設定し、対策の優先度をどの値に設定するかを定めた情報である。

また、関係情報ＤＢ１０２は、当該組織の日頃の業務などで行われた処理や動作の履歴を示すログ情報から、当該組織の各構成要素間の関係性の情報を保持する。関係性の情報は、構成要素が当該組織の社員で、ログ情報がメールの送受信ログであれば、社員同士のメールのやり取り関係がある。また構成要素が社員で、ログ情報がＳＮＳでのメッセージ送受信ログであれば、社員同士の交流関係などがある。

関係性の情報は、前記メールのやり取りのレイヤであっても良いし、前記ＳＮＳでのレイヤや、構成要素間のパケット通信でのレイヤであってもよい。なお、構成要素は社員のほかに、事業部署やコンピュータ端末、複数の端末から構成される情報システムや、ネットワークセグメントなどであってもよい。また、関係情報ＤＢ１０２は構成要素間の関係性によって複数のテーブル構造をとり得る。たとえば、構成要素間での前記メールのやり取り関係を保持するテーブル構造や、前記ＳＮＳでの社員同士の交流関係を保持するテーブル構造などがある。

そして、動作特性情報ＤＢ１０５、対策履歴情報ＤＢ１０６は、当該組織固有のインプット情報ではなく、当該組織でマルウェア感染対策を実施した際に取得した情報や、当該組織の外部から取得した情報として保持する。マルウェアの動作特性情報は、マルウェアの特徴情報や動作環境の条件に関する情報などがある。また対策履歴情報は、過去のマルウェア対策事例でどういったマルウェアに対してどの範囲まで対策を実施したかや、今後の対策のポリシー情報などがある。

以下では、上記の各ＤＢの内容について説明する。まず、図３を用いて属性情報ＤＢ１０４の構成を示す。属性情報ＤＢ３３０１は、本実施形態のシステムが対象とする企業に所属する全ての社員の個別情報を保持する。具体的には、属性情報ＤＢ３３０１は社員ＩＤ３３０２、メールアドレス３３０３、氏名３３０４、事業所名３３０５、部署名３３０６、部署区分３３０７、職位３３０８、所有端末ＩＰアドレス３３０９、ＯＳ３３１０、ブラウザ３３１２、Ｗｏｒｄ３３１３、最終ログイン日時３３１４からなる。

社員ＩＤ３３０２は、当該企業において各社員を一意に特定する情報を保持する。メールアドレス３３０３は、各社員に個別に割り当てられたメールアドレスの情報を保持する。氏名３３０４は、当該社員の氏名の情報を保持する。事業所名３３０５は、当該社員が所属する事業所名の情報を保持する。部署区分３３０７は、当該社員が所属する部署の業務区分情報を保持する。職位３３０８は、当該社員の職位の情報を保持する。所有端末ＩＰアドレス３３０９は、当該社員が所有する端末のＩＰの情報を保持する。ＯＳ３３１０は、当該社員の所有端末のＯＳの情報を保持する。ブラウザ３３１１は、当該社員の所有端末で使用するブラウザの情報を保持する。Ｗｏｒｄ３３１３は、当該社員の所有端末にインストールされているアプリケーションの例であり、当該アプリケーションの名称やバージョン情報などを保持する。最終ログイン日時３３１４は、当該社員が所有端末からログインした最終日時の情報を保持する。

たとえば、社員ＩＤ３３０２が「００１」で、氏名３３０４が「花子」さんのメールアドレス３３０３は「Ｈａｎａｋｏ＠ａａａ．ｃｏｍ」である。所属している事業所名３３０５は「ＡＡＡ」で、職位３０８が「事業所長」であるため、部署名３０６については「−（該当無し）」、部署区分３０７についても同様に「−（該当無し）」となる。また、所有している端末は１台で、所有端末ＩＰアドレス３０８は「１０．０．０．１」、ＯＳ３１０は「Ｗｉｎ７」、ブラウザ３１１は「ＩＥ９」、インストールされているアプリケーションのうち、Ｗｏｒｄ３１２のバージョンは「Ｏｆｆｉｃｅ２０１３」、所有端末での最終ログイン日時３１３は「２０１５／０１／０１」となる。

なお、属性情報ＤＢ３０１で保持する社員の個別情報は上記に限るものでなく、所属部署の所在地情報やネットワークセグメントの情報、年齢情報などであってもよい。また、本例では構成要素が社員の場合での属性情報ＤＢ１０４について説明したが、構成要素が部署の場合や情報システムの場合ごとに、属性情報ＤＢ１０４の構造は変わるものである。

次に、図４（ａ）〜（ｃ）の各テーブル４０１、４１１、４２１を用いて関係情報ＤＢ１０２の構成を示す。

まず、図４（ａ）に示すメールのやり取り関係情報テーブル４０１について説明する。メールのやり取り関係情報テーブル４０１は、当該組織の各社員について、当該社員が日頃の業務においてメールのやり取りをする関係にある、ほかの社員や社外の人物との関係性の情報を保持する。

具体的には、メールとのやり取り関係情報テーブル４０１は社員ＩＤ４０２、関係者情報４０３からなる。社員ＩＤ４０２は、当該企業の各社員を一意に特定する情報を保持する。関係者情報４０３は、当該社員が日頃の業務でメールのやり取り関係にある人物の、社員であれば社員ＩＤを、社外の人物であればその人物のメールアドレスの情報を保持する。当該社員と関係のある人物として、前記関係者情報４０３に前記人物に関する情報を保持する判定基準には、ある回数以上のメールのやり取りがあったかどうか、または当該社員からメールを送信したことがあるかどうかなどがある。

たとえば、社員ＩＤ４０２が「００２」の社員について、当該社員とメールのやり取り関係にある関係者は、関係者情報４０３から、社員ＩＤ４０２「０２３」、「０３０」を持つ２人の社員と、メールアドレスが「Ｊｉｒｏ＠ａｂｃ．ｃｏｍ」である社外の人物であることが分かる。

図４（ｂ）に示すＳＮＳの交流関係情報テーブル４１１、図４（ｃ）に示す事業部署間の交流関係情報テーブル４２１も同様に、たとえば社員ＩＤ４１２が「００２」の社員について、当該社員とＳＮＳの交流関係にある関係者は、関係者情報４１３から、社員ＩＤ４１２「００１」、「０３０」を持つ２人の社員と、メールアドレスが「Ｔａｒｏ＠ａｂｃ．ｃｏｍ」である社外の人物であることが分かる。また事業部署間の交流関係であれば、たとえば事業部署名４２２が「ＡＡＡ／ＣＣ」（ＡＡＡ事業所のＣＣ部署）と関係のある関係事業部署は、関係事業部署情報４２３から、事業部署名が「ＡＡＡ／ＢＢ」（ＡＡＡ事業部のＢＢ部署）である事業部署であることが分かる。

次に、図６を用いてマルウェアの動作特性情報ＤＢ６０１の構成を示す。動作特性情報ＤＢ６０１は、当該組織で検知されたマルウェアに関する情報、もしくは当該組織外部から提供されたマルウェアに関する情報を保持する。

具体的には、動作特性情報ＤＢ６０１はマルウェアＩＤ６０２、ハッシュ値６０３、ＳＮＳ６０４、メール６０５、ＯＳ６０６、ブラウザ６０７、Ｗｏｒｄ６０８、時限式６０９などからなる。なお、動作特性情報ＤＢ６０１に保持する情報はほかにも、アンチウィルスソフトでのスキャン結果の情報でも良く、マルウェアの表層解析の結果の情報を保持していても良い。

マルウェアＩＤ６０２は、あるマルウェアを一意に識別するための情報を保持する。ハッシュ値６０３は、当該マルウェアのハッシュ値の情報を保持する。ＳＮＳ６０４、メール６０５は、当該マルウェアがＳＮＳやメールを介して感染が拡大するタイプであるかどうかの情報を保持する。すなわち、マルウェアの感染タイプが、構成要素間のやり取りで感染が拡大するか否かにより定められている。図６では、ＳＮＳやメールにより感染が拡大する場合はＹｅｓ、拡大しない場合はＮｏが設定されていることを示している。

ＯＳ６０６やブラウザ６０７、Ｗｏｒｄ６０８は、当該マルウェアが当該項目のアプリ、ＯＳの、どのバージョンの場合に、マルウェアが動作するタイプであるかどうかの情報を保持する。時限式６０９は、当該マルウェアが特定の日時に動作するタイプであるかどうかの情報と、その日時情報とを保持する。

次に、図５を用いて対策範囲優先度付けポリシーＤＢ１０８の構成を示す。対策範囲優先度付けポリシーＤＢ５０１は、当該組織においてマルウェアに感染した構成要素（感染構成要素）を検知した際、優先的に対策すべき範囲の優先度付けのポリシー情報を保持する。

具体的には、対策範囲優先度付けポリシーＤＢ５０１は、対策範囲分類要素５０２、（メールのやり取り関係での）感染構成要素からの距離５０３、職位５０４、最終ログイン日時とマルウェア動作日時との関係５０５、対策範囲優先度付けポリシー５０６などからなる。

対策範囲分類要素５０２は、当該組織でマルウェア感染した構成要素を検知した際に、当該組織の構成要素を分類する軸となる、各分類要素の情報を保持する。以下では、構成要素を当該組織の社員を指すものとして説明する。

前記対策範囲分類要素５０２の一つである、（メールのやり取り関係での）感染構成要素からの距離５０３は、前記関係情報ＤＢ１０２でのメールのやり取り関係情報テーブル４０１において、感染構成要素を基点として関係者情報４０３の関係者の構成要素をたどったとき、最短でいくつの構成要素を介して当該構成要素にたどり着くかを計算した数を保持する。

ここでは、構成要素が「端末」であり、距離を計算する際に「メールのやり取り関係」での感染構成要素と当該構成要素間にある、その他構成要素の数を距離として扱っているが、関係情報ＤＢ１０２の各テーブルで、定義されるものであるとする。また、前記各テーブルにおいて、感染構成要素から当該構成要素へその他構成要素をたどってもたどり着けない場合、感染構成要素と当該構成要素との距離は「∞（無限大）」であるとする。前記距離の定義は、本実施例での一つの例であって、この限りではない。

職位５０４は、当該構成要素である、端末の所有者の職位情報を保持する。最終ログイン日時とマルウェア動作日時との関係５０５は、当該構成要素である社員が所有端末にログインした最終日時と、前記動作特性情報ＤＢ６０１で説明したマルウェアの動作日時情報と時系列で比較したときの関係情報を保持する。対策範囲優先度付けポリシー５０６は、当該構成要素に対して割り当てる、対策の優先度情報を保持する。本実施例では、優先度は感染構成要素からの前記距離が近いほど高い値となり、距離が遠くなるほど低い値となる。距離が「∞（無限大）」の場合には、優先度は「０」となる。ただし、距離が遠い場合でも、前記対策範囲分類要素のほかの要素の情報により、優先度の高さも変化する。さらに、本対策範囲優先度付けポリシーＤＢ５０１は当該組織における全ての構成要素に対して優先度付けを行う際に適用する。なお、上記優先度の設定は一例であって、この限りではない。

たとえば、ある組織において事業所長の端末でマルウェア感染を検知したとき、端末の所有者を構成要素として捉えることができる。また、本事例でのマルウェアの動作日時は「２０１４／１２／１」で、当該事業所長の端末への最終ログイン日時は「２０１４／１２／３１」であるとする。このとき、当該対策範囲優先度付けポリシーＤＢ５０１は以下のように見ることができる。すなわち、当該構成要素が感染構成要素であるため、対策範囲分類要素５０２における（メールのやり取り関係での）感染構成要素からの距離５０３は「０」であり、当該構成要素の職位５０４は「事業所長」、最終ログイン日時とマルウェア動作日時との関係は「マルウェア動作日時≦最終ログイン日時」の行が該当する。このとき、当該構成要素に対する対策の優先度は、対策優先度付けポリシー５０６から、「３」が割り当てられることが分かる。

次に、図７を用いて対策履歴情報ＤＢ１０６の構成を示す。対策履歴情報ＤＢ７０１は、マルウェアの特徴情報や感染範囲に関する情報、今後の対策ポリシー情報などを保持する。具体的には、対策履歴情報ＤＢ７０１は、ハッシュ値７０３、ファイル名７０４などを有するマルウェアの特徴情報７０２と、過去の対策履歴情報⇒今後の対策ポリシー情報７０５などからなる。マルウェアの特徴情報７０２は、マルウェアのハッシュ値７０３やファイル名７０４をはじめとする、マルウェアの特徴情報を保持する。また、過去の対策履歴情報⇒今後の対策ポリシー７０５は、過去にどの範囲でマルウェア感染が確認されたかという情報や、今後どの範囲の構成要素に対して対策の優先度を割り当てるかの情報などを保持する。

以上の各ＤＢを基に、本実施形態のシステムは対象とする組織におけるマルウェア感染対策範囲の優先度付けを行う。

以下では、本発明を適用したサイバー攻撃対策範囲優先度付けシステム１０１の全体の処理概要について、図８（ａ）、（ｂ）で示すような全体の処理フローに従って説明する。本実施形態のシステムではそれぞれ、図８（ａ）に示す関係情報ＤＢ作成・更新処理と図８（ｂ）に示す対策範囲優先度付け処理の２つが独立して動作する。

関係情報ＤＢ作成・更新処理では、メールサーバ１１１やネットワーク機器１１２等のネットワーク通信ログ等を取得し、関係情報ＤＢを作成・更新する。また、対策範囲優先度付け処理では、当該組織で感染構成要素を検知した際に、当該感染構成要素の情報を取得し、属性情報ＤＢ１０４、関係情報ＤＢ１０２、対策範囲優先度付けポリシーＤＢ１０３、動作特性情報ＤＢ１０５、対策履歴情報ＤＢ１０６の情報を基に、当該組織におけるマルウェア感染の対策範囲の優先度付けを行う。以下では、前記２つの処理内容について、それぞれ説明する。

まず、図８（ａ）を用いて関係情報作成・更新機能１０７による、関係情報ＤＢ作成・更新の処理フローの概要について説明する。

関係情報ＤＢ作成・更新の全体概要フローではまず、当該組織の業務のなかで日々発生するログ情報（メールの送受信ログやその他ネットワーク通信ログ等のネットワーク・システムのログ情報、またはファイル・システムのアクセスログ等のログ情報）を取得する（ステップ８０１）。

次に、前記取得したログ情報を基に、どの種別の関係情報ＤＢ１０２に作成・更新処理を行うかを決定する（ステップ８０２）。

そして、前記決定した関係情報ＤＢ１０２に対して作成・更新処理を行う（ステップ８０３）ことで、関係情報ＤＢ作成・更新の全体概要フローを終了する。本処理の詳細については後述する。

次に、図８（ｂ）を用いて対策範囲優先度付け機能１０８による、対策範囲優先度付け処理の処理フローの概要について説明する。

対策範囲優先度付けの全体概要フローではまず、マルウェア感染を検知した構成要素の情報（例えば構成要素が端末所有者であれば所有端末のＩＰアドレスなど）を受信する（ステップ８１１）。

次に、前記取得した構成要素の情報を基に、当該組織における対策範囲の優先度付けを行う（ステップ８１２）。本処理の詳細については後述する。

次に、前記ステップ８１２で得られた対策範囲（たとえば、優先度を上げて調査する端末のＩＰアドレスのリストなど）を、本実施形態のシステムとは別の、対策実施機能へのインプット情報として送信する（ステップ８１３）ことで、対策範囲優先度付けの全体概要フローを終了する。

以上が本実施形態のシステムにおける、関係情報ＤＢ作成・更新処理と対策範囲優先度付け処理のそれぞれの全体の処理概要である。

次に、前記ステップ８０２の関係情報ＤＢ作成・更新処理の詳細について、図９に示すような処理フローに従って説明する。本実施例では取得するログ情報の例として、メールサーバ１１１からのメールの送受信ログに関して説明する。

関係情報ＤＢ作成・更新の詳細フローでは、ある組織において運用されているメールサーバ１１１から取得したメールの送受信ログから、送信元、送信先の人物がそれぞれ社員であるかどうかを判定し、社員同士または社員と社外の人物との関係の度合いを関係情報ＤＢ１０２に記憶させる処理を説明する。なお、本処理フローでは前記メールサーバ１１１のメール受信ログを取得する。

まず、取得したメール受信ログから送信先メールアドレス抽出し（ステップ９０１）、前記送信先メールアドレスをキーにして、当該組織の属性情報ＤＢ１０２から、該当する社員が存在するかどうかを検索する（ステップ９０２）。

上記検索（ステップ９０２）の結果、該当する社員が当該組織において存在しない場合、本詳細フローの関係情報ＤＢ作成・更新処理を終了する。また、該当する社員が当該組織において存在する場合、ステップ９０４の処理に進む（ステップ９０３）。

次に、取得したメール受信ログから送信元メールアドレス抽出し、前記送信元メールアドレスをキーにして、当該組織の属性情報ＤＢ１０２から、該当する社員が存在するかどうかを検索する（ステップ９０４）。

上記検索（ステップ９０４）の結果、該当する社員が当該組織において存在しない場合、ステップ９０６の処理に進む。また、該当する社員が当該組織において存在する場合、ステップ９０８の処理に進む（ステップ９０５）。

上記判定（ステップ９０５）の結果、前記送信元メールアドレスを持つ社員が当該組織において存在しない場合、前記送信元メールアドレスの人物が社外の人物であることが分かる。また、前記送信先メールアドレスを持つ社員の社員ＩＤを属性情報ＤＢ３０１から特定し、関係情報ＤＢ４０１において、前記特定した社員ＩＤに該当する行の関係者情報のうち、前記送信元メールアドレスが記憶されているかどうかを検索する（ステップ９０６）。

上記ステップ９０６の検索の結果、前記送信元メールアドレスが存在する場合、前記送信先メールアドレスを持つ社員と前記送信元メールアドレスを持つ社外の人物は関係者同士の関係にあるということが分かる。このとき、既に関係者情報４０３に前記送信元メールアドレスを持つ人物の固有情報（例えばメールアドレス）が記憶されており、追記の必要がないと判定し、処理を終了する。また、前記送信元メールアドレスが存在しない場合、ステップ９０８の処理に進む（ステップ９０７）。

本処理ステップでは、前記送信先メールアドレスを持つ社員と前記送信元メールアドレスを持つ社外の人物は本処理ステップのタイミングで関係者同士となったと判定し、関係者情報４０３に前記送信元メールアドレスを追記する（ステップ９０８）。

次に、ステップ９０８以降の処理について説明する。

上記ステップ９０５の検索の結果、前記送信元メールアドレスを持つ人物が当該組織の社員であると判定できた場合、当該社員の社員ＩＤを属性情報ＤＢ３０１から特定し、関係情報ＤＢ４０３において、送信先社員の社員ＩＤに該当する行の関係情報のうち、送信元社員の、特定した前記社員ＩＤが記憶されているかどうかを検索する（ステップ９０９）。

上記ステップ９０９の検索の結果、送信元社員の社員ＩＤが存在する場合、前記送信先社員と前記送信元社員とは関係者同士の関係にあるということが分かる。このとき、既に関係者情報４０３に前記送信元社員の固有情報（例えば社員ＩＤ）が記憶されており、追記の必要がないと判定し、処理を終了する。また、送信元社員の前記社員ＩＤが存在しない場合、ステップ９１０の処理に進む（ステップ９１０）。

本処理ステップでは、送信先社員と送信元社員とが本処理ステップのタイミングで関係者同士となったと判定し、関係者情報４０３に送信元社員の前記社員ＩＤを追記する（ステップ９１１）。以上が、関係情報ＤＢ作成・更新処理の詳細である。

次に、前記ステップ８１２の対策範囲優先度付け処理の詳細について、図１０に示すような処理フローに従って説明する。はじめに、実施例１について説明する。

対策範囲優先度付け機能１０８は、動作特性ＤＢ１０５から感染が検知されたマルウェアの動作特性情報を取得する（ステップ１００１）。次に、前記取得した動作特性情報を基に、該当する関係情報テーブルを選択する（ステップ１００２）。例えば、感染が検知されたマルウェアがマルウェアＩＤ「００１」である場合、そのマルウェア「ＳＮＳ」および「メール」により感染するタイプであるため、図４（ａ）に示したメールのやりとり関係情報テーブルおよび図４（ｂ）に示したＳＮＳの交流関係情報テーブルを選択する。

次に、該当する関係情報テーブルに記憶されている当該構成要素と感染構成要素との距離を算出する（ステップ１００３）。例えば、図４（ａ）に示したメールのやりとり関係情報テーブルでは、当該構成要素が社員ＩＤ「００１」、感染構成要素が社員ＩＤ「００３」である場合、両者の距離は「１」となる。 次に、属性情報ＤＢ１０４から当該構成要素の情報を検索し、該当する属性情報（例えば、職位）を取得する（ステップ１００４）。 次に、感染構成要素からの距離と前記取得した属性情報（例えば、職位）を基に、対策範囲優先度付けポリシー情報ＤＢ１０３から該当するポリシー情報を取得し（ステップ１００５）、前記取得したポリシー情報を基に、当該構成要素に優先度を割り当てる（ステップ１００６）。例えば、当該構成要素が感染構成要素から距離「１」だけ離れており、当該構成要素の職位が「事業所長」である場合、図５に示したように、対策範囲優先度付けポリシーとして「３」が取得され、当該構成要素に割り当てられる。

ステップ１００６の処理の結果、全ての構成要素への優先度付け処理が完了していればステップ１００８の処理に進み、完了していなければステップ１００７の処理に進む（ステップ１００７）。

ステップ１００７の処理の結果、全ての構成要素への優先度付け処理が完了していないとき、優先度付け未処理の構成要素を選択し、当該構成要素について、ステップ１０００３の処理に進む（ステップ１００８）。

ステップ１００７の処理の結果、全ての構成要素への優先度付け処理が完了したとき、対策履歴ＤＢ１０６に当該マルウェアの動作特性に類似する事例があるかどうかを検索し、類似する事例が見つかったとき、ステップ１００９の処理に進み、類似する事例が見つからなかったとき、ステップ１０１２の処理に進む（ステップ１００９）。このとき、どういった事例を類似のものであると判定するかについては、マルウェアのファイル名の類似や出力ファイルが同じであるものなどがある。

ステップ１００９の処理の結果、当該マルウェアの動作特性に類似する事例が見つかったとき、該当する過去の対策履歴情報⇒今後の対策ポリシー情報７０５から、対策履歴情報を取得する（ステップ１０１０）。例えば、ファイル名が類似するマルウェアが「ＡＢＣ．ｅｘｅ」である場合、メールのやりとり関係の距離が「１０」の構成要素で感染が確認された場合には、今後上記条件に該当する構成要素に優先度「３」を割り当てるという上記対策履歴情報を取得する。

次に、前記取得した対策履歴情報から、どの概念での距離であるかを判定し、該当する関係情報テーブルを選択する（ステップ１０１１）。例えば、上記例では、距離が「メール」でのやり取りという概念におけるものであることが判定される。

次に、前記取得した対策履歴情報から、該当する構成要素を選択し、該当する優先度を前記選択した構成要素に割り当てて、ステップ１０１３の処理に進む（ステップ１０１２）。例えば、上記対策履歴情報が取得された場合、メールのやりとり関係の距離が「１０」の構成要素に優先度「３」を割り当てる。

つまり、ステップ１００８〜１０１１においては、対策範囲の優先度を定めたマルウェアに類似するマルウェアがあるか否かを判定し、類似するマルウェアがあると判定した場合、類似するマルウェアが感染した構成要素に、マルウェアについて定めた対策範囲の優先度を割り当てている。

最後に、上記のステップで優先度を割り当てた構成要素のリスト情報を出力する（ステップ１０１３）。

以上が、当該組織のある構成要素でサイバー攻撃を検知した際の、対策範囲の優先度付け処理の詳細である。これにより、感染構成要素を基点にして当該組織のどの範囲の構成要素から優先的に対策すべきかを判断する手間が軽減できる。 このように、本システムによれば、対策が必要な当該システムの構成要素の優先度付けを行うことができるため、優先度の高い範囲から対策を実施することで、ネットワーク経由で感染を広げるタイプのマルウェアに対する効率的なマルウェアの対策（感染調査や、感染した当該構成要素への対処）を実施することができる。

次に、実施例２について説明する。本実施例では、実施例１で用いた対策範囲優先度付けポリシーＤＢ５０１の構成を拡張した、図１１の対策範囲優先度付けポリシーＤＢ１１０１を利用する。

具体的には、対策範囲優先度付けポリシーＤＢ１１０１は、対策範囲分類要素１１０２、（メールでのやり取り関係での）感染構成要素からの距離１１０３、職位１１０４、対策範囲優先度付けポリシー１１０５、当該構成要素の優先度１１０６、優先度付け拡張ポリシー１１０７、優先度１１０８、対象範囲１１０９などからなる。

本構成での対策範囲優先度付けポリシーＤＢ１１０１の見方は基本的に、前記対策範囲優先度付けポリシーＤＢ５０１と同様であるため、以下では、前記対策範囲優先度付けポリシーＤＢ５０１の構成に追加した、優先度付け拡張ポリシー１１０７と優先度１１０８、対象範囲１１０９について説明する。具体的には、前記対策範囲優先度付けポリシーＤＢ５０１が、対策範囲分類要素５０２の各分類要素に該当する構成要素に対して割り当てる優先度のポリシー情報を保持していたのに対し、対策範囲優先度付けポリシーＤＢ１１０１は当該構成要素からさらに、優先度を割り当てる対象範囲の情報とその優先度の情報を保持するものである。

たとえば、（メールのやり取り関係での）感染構成要素からの距離１１０３が「２」の構成要素に対し、当該構成要素の職位１１０４が「事業部長」であれば、当該構成要素へ割り当てる優先度は当該構成要素の優先度１１０６から「４」であることが分かり、さらに、優先度付け拡張ポリシー１１０７の優先度１１０８、対象範囲１１０９の情報から、「当該構成要素からの距離３までの構成要素」すべてに対し、優先度「３」を割り当てることが分かる。図１１では、上記職位が「事業部長」であれば、職位「部課長」よりも地位が高く、対策範囲とすべき構成要素（感染によって影響を与えうる構成要素。すなわち当該構成要素を中心としたときに周辺の構成要素から構成される当該構成要素のすそのの範囲。）までの距離の値も大きくなると考えられるため、職位「部課長」の優先度よりも職位「事業部長」の優先度のほうが大きくなっている。 このとき、対象範囲１１０９での距離の概念については、本例では対策範囲分類要素１１０２の要素にある（メールのやり取り関係での）感染構成要素からの距離１１０３であるが、必ずしもこれと一致させる必要はない。また、前記優先度付け拡張ポリシー１１０７を適用することで、各構成要素に対して割り当てることができる優先度に重複が生じる場合には、本実施例ではより高い優先度を適用しているが、優先度の最終的な適用ポリシーについてはこれに限るものではない。

以下では、実施例２の処理について説明する。実施例２ではまず、実施例１でのステップ１００１からステップ１００７までの処理は同じで、ステップ１００６において優先度付け処理が全ての構成要素へ完了した結果を取得する（ステップ１２０２）。

次に、前記取得したすべての構成要素のうち、前記対策範囲優先度付けポリシーＤＢ１１０１から、優先度付け拡張ポリシー１１０７に従った優先度付け処理が未処理の任意の構成要素を選択する（ステップ１２０２）。

次に、前記選択した構成要素に該当する優先度付け拡張ポリシー情報を取得する（１２０３）。

次に、前記取得した優先度付け拡張ポリシーの対象範囲に該当する構成要素を抽出する（ステップ１２０４）。

次に、前記抽出した構成要素に対し、前記取得した優先度付け拡張ポリシーの優先度を割り当てる（ステップ１２０５）。

次に、全ての構成要素への優先度付け処理が完了したかどうかを判定し、完了していればステップ１２０７に進み、完了していなければステップ１２０２の処理に進む（ステップ１２０６）。

ステップ１２０６の処理の結果、全ての構成要素への優先度付け処理が完了したとき、以降の処理は実施例１の処理と同様に、ステップ１００８の処理からステップ１０１１の処理を行う（ステップ１２０７）。

最後に、上記のステップで優先度を割り当てた構成要素のリスト情報を出力する（ステップ１２０８）。

以上が、実施例２における対策範囲優先度付け処理の詳細である。これにより、感染構成要素以外の構成要素が仮に感染していた場合で、かつ前記感染構成要素以外の構成要素とその周囲の構成要素を優先的に対策すべき場合でも、対策の優先度を上げるべきであると判断する手間が軽減できる。

１０１：サイバー攻撃対策範囲優先度付けシステム
１０２：関係情報ＤＢ
１０３：対策範囲優先度付けポリシーＤＢ
１０４：属性情報ＤＢ
１０５：動作特性情報ＤＢ
１０６：対策履歴情報ＤＢ
１０７：関係情報作成・更新機能
１０８：対策範囲優先度付け機能。

Claims (12)

1. 複数の構成要素から構成され、マルウェアに感染した構成要素に対する対策範囲を優先付けるサイバー攻撃対策範囲優先度付けシステムであって、
   前記構成要素を感染させた前記マルウェアの特性を示す特性情報を取得し、記憶部に記憶された前記構成要素同士の関係を示す関係情報と前記特性情報とに基づいて、前記特性情報に示される前記マルウェアの感染タイプにおける前記構成要素と前記感染した構成要素との距離を算出し、算出した前記距離と前記対策範囲を示す優先度付けポリシーとを対応付けたポリシー情報とに基づいて、前記対策範囲の優先度を定める対策範囲優先度付け部、
   を備えることを特徴とするサイバー攻撃対策範囲優先度付けシステム。
2. 請求項１に記載のサイバー攻撃対策範囲優先度付けシステムであって、
   前記対策範囲優先度付け部は、前記記憶部に記憶された前記構成要素の組織上の属性を示す属性情報と算出した前記距離と前記ポリシー情報とに基づいて、前記対策範囲の優先度を定める、
   ことを特徴とするサイバー攻撃対策範囲優先度付けシステム。
3. 請求項１に記載のサイバー攻撃対策範囲優先度付けシステムであって、
   前記構成要素間で行われた履歴情報に基づいて、前記関係情報を生成する関係情報生成部、
   を備えることを特徴とするサイバー攻撃対策範囲優先度付けシステム。
4. 請求項２に記載のサイバー攻撃対策範囲優先度付けシステムであって、
   前記対策範囲優先度付け部は、前記構成要素間のやり取りで感染が拡大するか否かにより定められた前記マルウェアの感染タイプと前記属性情報と算出した前記距離と前記ポリシー情報とに基づいて、前記対策範囲の優先度を定める、
   ことを特徴とするサイバー攻撃対策範囲優先度付けシステム。
5. 請求項１に記載のサイバー攻撃対策範囲優先度付けシステムであって、
   前記記憶部は、前記感染した構成要素に対する過去の対策履歴を記憶し、
   前記対策範囲優先度付け部は、前記過去の対策履歴の中から前記対策範囲の優先度を定めた前記マルウェアに類似するマルウェアがあるか否かを判定し、前記類似するマルウェアがあると判定した場合、前記類似するマルウェアが感染した構成要素に、前記マルウェアについて定めた前記対策範囲の優先度を割り当てる、
   ことを特徴とするサイバー攻撃対策範囲優先度付けシステム。
6. 請求項２に記載のサイバー攻撃対策範囲優先度付けシステムであって、
   前記対策範囲優先度付け部は、前記対策範囲の優先度を定めた前記構成要素の周辺の構成要素について、前記属性情報に応じて定められた前記対策範囲を示す拡張優先度付けポリシーと前記距離とに基づいて、前記対策範囲の優先度を定める、
   ことを特徴とするサイバー攻撃対策範囲優先度付けシステム。
7. 複数の構成要素から構成され、マルウェアに感染した構成要素に対する対策範囲を優先付けるサイバー攻撃対策範囲優先度付け方法であって、
   前記構成要素を感染させた前記マルウェアの特性を示す特性情報を取得する取得ステップと、
   記憶部に記憶された前記構成要素同士の関係を示す関係情報と前記特性情報とに基づいて、前記特性情報に示される前記マルウェアの感染タイプにおける前記構成要素と前記感染した構成要素との距離を算出する算出ステップと、
   算出した前記距離と前記対策範囲を示す優先度付けポリシーとを対応付けたポリシー情報とに基づいて、前記対策範囲の優先度を定める対策範囲優先度付けステップと、
   を含むことを特徴とするサイバー攻撃対策範囲優先度付け方法。
8. 請求項７に記載のサイバー攻撃対策範囲優先度付け方法であって、
   前記対策範囲優先度付けステップでは、前記記憶部に記憶された前記構成要素の組織上の属性を示す属性情報と算出した前記距離と前記ポリシー情報とに基づいて、前記対策範囲の優先度を定める、
   ことを特徴とするサイバー攻撃対策範囲優先度付け方法。
9. 請求項７に記載のサイバー攻撃対策範囲優先度付け方法であって、
   前記構成要素間で行われた履歴情報に基づいて、前記関係情報を生成する関係情報生成ステップ、
   をさらに含むことを特徴とするサイバー攻撃対策範囲優先度付け方法。
10. 請求項８に記載のサイバー攻撃対策範囲優先度付け方法であって、
    前記対策範囲優先度付けステップでは、前記構成要素間のやり取りで感染が拡大するか否かにより定められた前記マルウェアの感染タイプと前記属性情報と算出した前記距離と前記ポリシー情報とに基づいて、前記対策範囲の優先度を定める、
    ことを特徴とするサイバー攻撃対策範囲優先度付け方法。
11. 請求項７に記載のサイバー攻撃対策範囲優先度付け方法であって、
    前記対策範囲優先度付けステップでは、前記記憶部に記憶された前記感染した構成要素に対する過去の対策履歴の中から前記対策範囲の優先度を定めた前記マルウェアに類似するマルウェアがあるか否かを判定し、前記類似するマルウェアがあると判定した場合、前記類似するマルウェアが感染した構成要素に、前記マルウェアについて定めた前記対策範囲の優先度を割り当てる、
    ことを特徴とするサイバー攻撃対策範囲優先度付け方法。
12. 請求項８に記載のサイバー攻撃対策範囲優先度付け方法であって、
    前記対策範囲優先度付けステップでは、前記対策範囲の優先度を定めた前記構成要素の周辺の構成要素について、前記属性情報に応じて定められた前記対策範囲を示す拡張優先度付けポリシーと前記距離とに基づいて、前記対策範囲の優先度を定める、
    ことを特徴とするサイバー攻撃対策範囲優先度付け方法。

Images