JP2017211978A - 業務処理システム監視装置および監視方法 - Google Patents

Abstract

【課題】複数のコンピュータを含む業務処理システムに対する攻撃を検出し、その攻撃による影響を分析できるようにすること。【解決手段】業務処理システム監視装置１０は、複数のコンピュータ５１Ａ〜５１Ｆを含む業務処理システム５０を監視する。本装置１０は、業務処理に関連して複数のコンピュータで実行される活動およびその活動の重要度を管理する活動管理部２００と、各コンピュータに対する攻撃を検知する検知部２１０と、各コンピュータで実行される情報処理活動の重要度１００と、各コンピュータのシステム構成１３０と、検知部による検知結果１１０とに基づいて、一つ以上のコンピュータに対する攻撃の影響を分析する影響分析部２２０とを備える。【選択図】図１

Description

本発明は、業務処理システム監視装置および監視方法に関する。

情報漏洩や不正アクセス等の脅威をもたらすコンピュータウイルスやスパイウェア、ボットプログラムといった悪意ある不正プログラム（マルウェア）が増加している。マルウェアの脅威からシステムやネットワークを守るには、最初に、マルウェアを検知する必要がある。

ここで、マルウェア検知には様々な方式があるが、方式によっては検知に時間がかかるという課題がある。また、高度なマルウェアに対しては検知精度が低下するという課題がある。さらに近年、高度なマルウェアを巧みに活用して特定の官庁や企業、組織のネットワークへ侵入し、機密情報の窃取やシステム破壊を行う「標的型攻撃」が、セキュリティ上の大きな脅威となっている。

これらのマルウェアや標的型攻撃による被害を最小化するには、感染を抑制する仕組みが必要である。つまり、ソフトウェアの脆弱性等を悪用して初期感染端末からネットワーク内の他端末へ感染する活動を検知し、攻撃の影響範囲を分析し、分析結果を基に対処を決定し、決定した対処を実施する、といった仕組みが必要となる。

特に、影響範囲の分析は、効果的、効率的な攻撃対処の実現に必要である。影響範囲の分析とは、検知結果やシステムで行われているミッション（業務内容）を基に、攻撃被害を受けている可能性がある端末や今後被害を受ける可能性がある端末を特定する、ことである。

特許文献１では、サイバー攻撃を実行する複数の攻撃シーケンスを攻撃シナリオとして保持し、現状のイベントが攻撃シナリオに一致するか否かを分析することで、検知装置により未だ検知されていない攻撃や被害を受けている端末を抽出する。そして、特許文献１では、抽出した攻撃に対して、対策データベースに格納されている対策を実施する。

特許文献２では、攻撃されていることが検知された端末を基準に、その端末から影響を受けている可能性のある端末を特定する。特許文献２では、ネットワークを通じて基準端末へアクセスした履歴を持つ端末や、その基準端末からアクセスされた履歴を持つ端末を、影響を受けている可能性がある端末として特定する。

非特許文献１では、マルウェアに感染した端末において、どのリソース（ファイル・プロセス）が汚染されているのかを、ベイジアンネットワークにより推定する。非特許文献１では、汚染が確定しているリソースと、推定対象リソース間とのインタラクション（ファイルのリード／ライト等）のタイミング等を基に、汚染されたかを推定する。

特開２０１５−１２１９６８号公報 国際公開第２０１５／１４０８４３号

Yuan Yang, et al, "Identifying Intrusion Infections via Probabilistic Inference on Bayesian Network," In Proc. of DIMVA2015, July, 2015.

従来技術では、複数の端末を含む業務処理システムにおいて、複数の端末をまたがった任意の攻撃により被害を受ける端末を正確に特定するのは難しい。

特許文献１では、攻撃シナリオに従って影響範囲を特定するため、攻撃シナリオに含まれない攻撃に対しては対応できない。特許文献２では、通信状況のみを用いて影響の有無を分析しており、各端末の活動状況やシステム構成、防衛対象の業務システムのミッションを全く考慮していない。したがって、特許文献２も、高精度に影響範囲を特定することは難しい。

なお、非特許文献１は、単一の端末内において、被害を受けているリソースを特定する技術であり、複数の端末を含む業務処理システムに対応していない。

本発明は、上述の課題に鑑みてなされたもので、その目的は、複数のコンピュータを含む業務処理システムに対する攻撃を検出し、その攻撃による影響を分析できるようにした業務処理システム監視装置および監視方法を提供することにある。

上記課題を解決すべく、本発明の一つの観点に従う業務処理システム監視装置は、複数のコンピュータを含む業務処理システムを監視する装置であって、業務処理に関連して複数のコンピュータで実行される活動およびその活動の重要度を管理する活動管理部と、各コンピュータに対する攻撃を検知する検知部と、各コンピュータで実行される情報処理活動の重要度と、各コンピュータのシステム構成と、検知部による検知結果とに基づいて、各コンピュータのうちいずれか一つ以上のコンピュータに対する攻撃の影響を分析する影響分析部と、を備える。

影響分析部は、各コンピュータのうち、攻撃が検知された第１コンピュータと、未だ検知されていないが攻撃されている可能性のある第２コンピュータを検出し、第２コンピュータが攻撃されている確率を算出することもできる。

本発明によれば、各コンピュータで実行される情報処理活動の重要度と、各コンピュータのシステム構成と、攻撃の検知結果とに基づいて、コンピュータに対する攻撃の影響を分析することができる。

業務処理システムと「業務処理システム監視装置」としてのミッション保証装置とを含む全体システムの概要を示す説明図である。 ミッション保証装置の構成を示す図である。 影響分析のシナリオを示す図である。 ミッション関連活動データベースのレコード例を示す図である。 検知データベースのレコード例を示す図である。 活動内容データベースのレコード例を示す図である。 システム構成データベースのレコード例を示す図である。 脆弱性情報データベースのレコード例を示す図である。 ネットワーク接続性データベースのレコード例を示す図である。 攻撃パターンデータベースのレコード例を示す図である。 関係ネットワークデータベースのレコード例を示す図である。 被害推定・被害予測データベースのレコード例を示す図である。 影響分析部の処理概要を示す図である。 被害推定関係ネットワーク構築部の処理手順を示す図である。 被害予測関係ネットワーク構築部の処理手順を示す図である。 影響分析結果を表示する画面の例を示す図である。 不審活動の同期性についての説明図である。

以下、図面に基づいて、本発明の実施の形態を説明する。本実施形態に係る業務処理システム監視装置は、防衛対象の業務処理システム５０におけるミッションと、各端末５１の活動状況と、各端末のシステム構成に関する情報とに基づいて、攻撃対象となりやすい端末や攻撃被害を受けている端末との共通項が多い端末を特定する。

本実施形態の業務処理システム監視装置は、攻撃が業務処理システムに及ぼす影響を分析する影響分析部を持つ。影響分析部は、業務処理システムに含まれる複数の端末の中から、攻撃被害を受けている可能性がある被害推定端末と、現在は攻撃されていないが将来攻撃される可能性のある被害予測端末とを特定する。さらに、本実施形態の業務処理システム監視装置は、攻撃を検知する機能、攻撃への対処を導出する機能、対処を実施する機能を備える。

本実施形態の業務処理システム監視装置は、業務処理システムで行われるミッション（業務内容）を把握し、攻撃発生時の影響を分析することで、攻撃に対する効果的な対策を実現する。本実施形態の業務処理システム監視装置によれば、標的型攻撃やマルウェア活動の影響を適切に分析でき、効果的な対処へ繋げることができる。

図１〜図１７を用いて第１実施例を説明する。図１は、「業務処理システム監視装置」の一例としてのミッション保証装置１０と、防衛対象の業務処理システム５０とを含む全体システムの概略図である。図２は、ミッション保証装置１０の構成例を示す。

ミッション保証装置１０は、通信ネットワーク４０を介して、業務処理システム５０内の各端末５１Ａ〜５１Ｆと接続されている。さらに、ミッション保証装置１０は、通信ネットワーク４０を監視するネットワークセンサ２０とも接続されている。ミッション保証装置１０は、通信ネットワーク４０およびシステム端末５１Ａ〜５１Ｆを介して、システム端末５１Ａ〜５１Ｆをそれぞれ監視する端末センサ３０と接続されている。

本実施例では、６台のシステム端末５１Ａ〜５１Ｆから構成される業務処理システム５０において、３台のシステム端末５１Ａ〜５１Ｃにおいて攻撃が検知された場合の、分析および対処について述べる。残りの３台のシステム端末５１Ｄ〜５１Ｆに対する攻撃の影響を分析する方法について詳述する。システム端末５１Ａ〜５１Ｆは、「コンピュータ」の例である。以下、システム端末を「端末」と略記する。

なお、以下では、攻撃による被害が確定的である端末を被害確定端末５１Ａ〜５１Ｃと、攻撃による被害を受けている可能性がある端末を被害推定端末５１Ｄと、今後被害を受ける可能性がある端末を被害予測端末５１Ｅと、呼ぶ。端末５１Ｆは、攻撃とは無関係の端末である。各端末５１Ａ〜５１Ｆを特に区別しない場合は、端末５１と呼ぶ。

（システム概要）

ミッション保証装置１０は、例えば、ミッション関連活動の導出（２００）、攻撃の検知（２１０）、攻撃による影響の分析（２２０）、分析結果に基づく対処の導出（２３０）、対処の実施（２４０）という５つの処理を担う。

さらに、ミッション保証装置１０は、ミッション関連活動ＤＢ１００、検知ＤＢ１１０、活動内容ＤＢ１２０、システム構成ＤＢ１３０、脆弱性情報ＤＢ１４０、ネットワーク接続性情報ＤＢ１５０、攻撃パターンＤＢ１６０、ナレッジＤＢ１７０、関係ネットワークＤＢ１８０、および被害推定・被害予測ＤＢ１９０を備える。図中では、「ＤＢ」という語句を省略して表示する場合がある。

ミッション保証装置１０は、２つの動作フェイズを持つ。一つは、ミッション関連活動を導出するフェイズである。ミッション関連活動導出フェイズでは、業務処理システム５０でのミッション関連活動を導出する。他の一つは、攻撃へ対処するフェイズである。攻撃対処フェイズは、ミッション関連活動導出フェイズの完了後に実施され、攻撃の検知および攻撃への対処を行う。

ミッション関連活動の導出は、ミッション関連活動導出部２００で行う。ここで、ミッション関連活動とは、業務処理システム５０で実施する業務に関連する端末５１の挙動である。

図２に示すように、ミッション関連活動導出部２００は、例えば、ミッション関連活動入力支援部２０１と、通常プロファイル作成部２０２を備える。ミッション関連活動入力支援部２１０は、ミッション関連活動に関する情報を業務処理システム５０の管理者Ｈ１が入力するためのインターフェースである。

通常プロファイル作成部２２０は、ネットワークセンサ２０および各端末センサ３０からの情報を基に、業務処理システム５０における端末５１の平常時の挙動を習得する。ミッション関連活動入力支援部２１０と通常プロファイル作成部２２０とで定義されたミッション関連活動は、ミッション関連活動データベース１００へ格納される。以下、データベースをＤＢと略記する場合がある。

端末５１への攻撃の検知は、検知部２１０で行う。検知部２１０は、ネットワークセンサ２０および端末センサ３０からの情報に基づいて、端末５１への攻撃を検知する。具体的な検知方法の一例を挙げる。例えば、検知部２１０は、両センサ２０，３０から受信する端末挙動情報のうち、ミッション関連活動ＤＢ１００に格納されていない挙動を不審活動と見做す。検知部２１０は、例えば一定時間内に一定数以上の不審活動を行う端末５１を不審端末と見做す。検知部２１０は、不審端末の間で通信が発生しているとき、攻撃を検知する。以上の検知方法は一例であり、検知部２１０は、他の方法により、攻撃を検知してもよい。検知部２１０の検知結果は、検知ＤＢ１１０に格納される。

攻撃の影響分析は、影響分析部２２０で行う。影響分析部２２０は、ある端末５１が被害推定端末である確率と、被害予測端末である確率とをそれぞれ導出する。影響分析部２２０は、後述のように、ミッション関連活動ＤＢ１００、検知ＤＢ１１０、活動内容ＤＢ１２０、システム構成ＤＢ１３０、脆弱性情報ＤＢ１４０、ネットワーク接続性ＤＢ１５０、攻撃パターンＤＢ１６０、ナレッジＤＢ１７０を入力として用いる。

活動内容ＤＢ１２０には、ネットワークセンサ２０および各端末センサ３０から収集した情報が格納される。システム構成ＤＢ１３０には、業務処理システム５０内の各端末５１のシステム構成が格納される。脆弱性情報ＤＢ１４０には、外部から収集した脆弱性に関する情報が格納される。ネットワーク接続性ＤＢ１５０には、端末５１間の通信可否に関する情報が格納される。攻撃パターンＤＢ１６０には、業務処理システム５０で過去に発生した攻撃パターンが格納される。例えば、或る端末が攻撃された場合に、その後、他の特定の端末が攻撃された割合が攻撃パターンとして、攻撃パターンＤＢ１６０へ格納される。ナレッジＤＢ１７０には、影響分析に資する情報が格納される。例えば、最近の攻撃のトレンドに関する情報等がナレッジＤＢ１７０へ格納される。

影響分析部２２０は、被害推定関係ネットワーク構築部２２１と、被害予測関係ネットワーク構築部２２２と、影響分析ユーザインタラクション部２２３と、確率算出部２２４とを含む。

被害推定関係ネットワーク構築部２２１は、或る端末５１が被害推定端末である確率を他端末との関係性の観点から分析して、ベイジアンネットワークの形式で関係ネットワークＤＢ１８０へ格納する。

被害予測関係ネットワーク構築部２２２は、或る端末５１が被害予測端末である確率を他端末との関係性の観点から分析して、ベイジアンネットワークの形式で関係ネットワークＤＢ１８０へ格納する。

影響分析ユーザインタラクション部２２３は、関係ネットワークＤＢ１８０に格納されたベイジアンネットワークを可視化し、ミッション保証装置１０を管理する管理者Ｈ２に提示する。管理者Ｈ２は、影響分析ユーザインタラクション部２２３を介して、ベイジアンネットワークの要素に修正を加える。

確率算出部２２４は、修正が加えられたベイジアンネットワークを基に、各端末５１が被害推定端末である確率と被害予測端末である確率とをそれぞれ算出し、算出結果を被害推定・被害予測ＤＢ１９０へ格納する。

攻撃に対する対処の導出は、対処導出部２３０で行う。対処導出部２３０は、被害推定・被害予測ＤＢ１９０の内容を基に、各端末５１に対する対処策と対処策を実施する優先度とを決定する。例えば、被害推定端末・被害予測端末である確率が高い端末や、ミッションへの影響が高い端末には、高い優先度が設定される。各端末での対処策は、予め作成されている対処策候補の一覧表等を基に決めてもよい。対処策としては、例えば、端末５１のネットワーク４０からの遮断、端末５１の強制シャットダウン、端末５１が通信可能な相手端末の限定等が挙げられる。さらには、被害予測端末の場合、攻撃される前に、予め用意してあるバックアップ用端末へ切り替えてもよい。

対処の実施は、対処実施部２４０で行う。対処実施部２４０は、対処導出部２３０の決定に従って、通信ネットワーク４０や端末センサ３０に働きかけて、選択された対処策を実施する。

ネットワークセンサ２０は、通信ネットワーク４０の通信を監視し、どの端末５１がどの端末と通信しているのかを記録する。ミッション保証装置１０がミッション関連活動導出フェイズの場合、ネットワークセンサ２０の記録を通常ミッション作成部２２０へ送信する。ミッション保証装置１０が攻撃検知フェイズの場合、ネットワークセンサ２０の記録を活動内容ＤＢ１２０へ格納する。

端末センサ３０は、各端末５１にインストールされており、各端末５１の挙動を検出して記録する。端末センサ３０は、例えば、各端末５１のファイルアクセス、通信、プロセス起動等を記録する。ミッション保証装置１０がミッション関連活動導出フェイズの場合は、端末センサ３０の記録を通常ミッション作成部２２０へ送信する。ミッション保証装置１０が攻撃検知フェイズの場合は、端末センサ３０の記録を活動内容ＤＢ１２０へ格納する。

通信ネットワーク４０は、例えば、インターネット、ＷＡＮ（World Area Network）、ＬＡＮ（Local Area Network）、携帯電話、ＰＨＳ等の公衆回線網である。通信ネットワーク４０は、ミッション保証装置１０と、業務処理システム５０内の各端末５１と、ネットワークセンサ２０を接続する。

（ハードウェア構成）

図２は、ミッション保証装置１０のハードウェア構成を示している。ミッション保証装置１０は、例えば、ＣＰＵ（Central Processing Unit）１１、メモリ１２、外部記憶装置１３、ユーザインターフェース部１４、通信インターフェース１５、バス１６を備えるコンピュータとして構成される。なお、各端末５１およびネットワークセンサ２０も同様に、ＣＰＵやメモリ等を備えるコンピュータとして構成される。

ＣＰＵ１１は、メモリ１２内に保存されたコンピュータプログラムを実行することで、所定の各機能を実現する。所定の各機能とは、ミッション関連活動動導出部２００、検知部２１０、影響分析部２２０、対処導出部２３０、対処実施部２４０である。

メモリ１２は、上述の各機能を実現するのに必要なコンピュータプログラムを記憶している。コンピュータプログラムを外部記憶装置１３に記憶しておき、外部記憶装置１３からメモリ１２へコンピュータプログラムを読み出して、ＣＰＵ１１がそのコンピュータプログラムを実行してもよい。

外部記憶装置１３は、例えば、ＨＤＤ（Hard Disk Drive）やフラッシュメモリデバイス等の比較的大容量の不揮発性記憶媒体から構成される。外部記憶装置１３は、ミッション保証装置１０で使用する各ＤＢ１００〜１９０を格納する。

ユーザインターフェース部１４は、管理者Ｈ２とミッション保証装置１０が情報を交換する装置であり、情報入力部と情報出力部を備える。情報入力部には、例えば、キーボード、マウス、タッチパネル、音声入力装置等がある。情報出力部には、例えば、ディスプレイ、プリンタ、音声合成装置がある。

なお、ミッション保証装置１０は、ＵＳＢ（Universal Serial Bus）メモリ等の記録媒体との間で情報を入出力するためのインターフェースを備えることもできる。

通信インターフェース１５は、ミッション保証装置１０を通信ネットワーク４０に接続する。

バス１６は、ＣＰＵ１１、メモリ１２、外部記憶装置１３、ユーザインターフェース部１４、インターフェース１５を相互に接続し、それら各装置１１〜１５間での双方向通信を実現する。

（影響分析のシナリオ）

図３に影響分析のシナリオを示す。図３では、端末５１Ａ〜５１Ｆの頭の符号「５１」を省略して示す。本シナリオでは、標的型攻撃により端末５１Ａ，５１Ｂ，５１Ｃ，５１Ｄが被害を受けた時点で、端末５１Ａ，５１Ｂ，５１Ｃが検知部２１０によって検知されたケースを想定する。この時点では、端末５１Ｄへの攻撃は未だ検知されていない。攻撃が検知された端末５１Ａ〜５１Ｃを、被害確定端末５２と分類できる。攻撃されているが検知されていない端末５１Ｄを、被害推定端末５３と分類できる。

本シナリオでは、今後、標的型攻撃の被害は端末５１Ｅにも及ぶものとする。現在は攻撃されていないが将来攻撃される可能性のある端末５１Ｅは、被害予測端末５４と呼ぶことができる。影響分析部２２０は、業務処理システム５０の

さらに、本シナリオでは、端末５１Ｆは現在被害を受けておらず、今後も被害を受けないものとする。現在も将来も攻撃を受ける可能性のない端末５１Ｆは、無関係端末５５と分類できる。

影響分析部２２０は、業務処理システム５０を構成する各端末５１から、被害確定端末５２、被害推定端末５３、被害予測端末５４、無関係端末５５をそれぞれ識別する。

（各種ＤＢの構成）

図４は、ミッションに関連する活動を管理するミッション関連活動ＤＢ１００の構成例を示す。このＤＢ１００の各レコードは、ミッション内容とその重要度を示す。このＤＢ１００は、例えば、識別子（ＩＤ）１０１、活動端末１０２、活動タイプ１０３、活動内容１０４、ミッション重要度１０５を管理する。

ここで、ＩＤ１０１は、各ミッションを一意に識別する識別子である。活動端末１０２は、ミッションを実行する端末の識別子である。活動タイプ１０３は、ミッションの種類を示す。活動内容１０４は、具体的な活動内容を示す。ミッション重要度１０５は、ミッションの重要度を示す。ミッション重要度は、例えば、Ｌ（Low）、Ｍ（Middle）、Ｈ（High）の３段階で管理することができる。これに限らず、２段階、４段階以上で、ミッションの重要性を管理してもよいし、数値で表現してもよい。

活動タイプ１０３および活動内容１０４には、「Ｎ／Ａ」という値を設定できる。活動タイプ１０３、活動内容１０４に「Ｎ／Ａ」が設定された場合、活動端末１０２で指定された全ての活動に対して、ミッション重要度１０５の値が設定される。

以下、図４に示した例を説明する。ＤＢ１００の最上段に示す「ＩＤ＝１」のレコードには、活動端末１０２に「端末５１Ａ」が、活動タイプ１０３に「内部通信」が、活動内容１０４に「端末５１Ａ→端末５１Ｂ：80」（「80」は通信先のポート番号）が、ミッション重要度１０５に「Ｍ」が、それぞれ設定される。

「ＩＤ＝２」のレコードには、活動端末１０２に「端末Ａ」、活動タイプ１０３に「ＷＥＢ通信」、活動内容１０４に「端末Ａ→a.b.c.d」、ミッション重要度１０５に「Ｍ」が設定される。

「ＩＤ＝３」のレコードには、活動端末１０２に「端末Ｂ」、活動タイプ１０３に「プロセス」、活動内容１０４に「a.exe」、ミッション重要度１０５に「Ｍ」が設定されている。

「ＩＤ＝４」のレコードには、活動端末１０２に「端末Ｂ」、活動タイプ１０３に「プロセス」、活動内容１０４に「b.exe」、ミッション重要度１０５に「Ｍ」が設定されている。

「ＩＤ＝５」のレコードには、活動端末１０２に「端末Ｂ」、活動タイプ１０３に「ポートオープン」、活動内容１０４に「b.exe:80」（b.exeが80番ポートでリスニングを行うことを示す）、ミッション重要度１０５に「Ｈ」が設定される。

「ＩＤ＝６」のレコードには、活動端末１０２に「端末Ｃ」、活動タイプ１０３に「プロセス」、活動内容１０４に「c.exe」、ミッション重要度１０５に「Ｌ」が設定されている。

「ＩＤ＝７」のレコードには、活動端末１０２に「端末Ｄ」、活動タイプ１０３に「Ｎ／Ａ」、活動内容１０４に「Ｎ／Ａ」、ミッション重要度１０５に「Ｈ」が設定されている。

「ＩＤ＝８」のレコードには、活動端末１０２に「端末Ｅ」、活動タイプ１０３に「ポートオープン」、活動内容１０４に「b.exe:80」、ミッション重要度１０５に「Ｈ」が設定される。

「ＩＤ＝９」のレコードには、活動端末１０２に「端末Ｆ」、活動タイプ１０３に「Ｎ／Ａ」、活動内容１０４に「Ｎ／Ａ」、ミッション重要度１０５に「Ｌ」が設定されている。

図５は、検知された攻撃を管理する検知ＤＢ１１０の構成例である。このＤＢ１１０の各レコードは、ＩＤ１１１と、検知時刻１１２と、検知端末１１３、および検知理由１１４を記録する。

ＩＤ１１１は、ＤＢ１１０内のレコードを一意に識別する識別子である。検知時刻１１２は、攻撃が検知された時刻である。検知端末１１３は、検知対象の端末を特定する識別子である。一度に複数の端末５１が検知された場合は、全ての端末の識別子が検知端末１１３に記載される。検知理由１１４は、攻撃を検知した理由である。

以下、図５のレコード例を幾つか説明する。「ＩＤ＝１」のレコードでは、検知時刻１１２に「2015/12/16 10:00:00」、検知端末１１３に「端末Ａ，Ｂ，Ｃ」、検知理由１１４に「Ａ，Ｂ，Ｃ、３つの端末の不審活動数が閾値を超える」が設定されている。なお、この検知レコードは図３に示すシナリオと一致する。

「ＩＤ＝２」のレコードには、検知時刻１１２に「2016/12/16 10:00:00」、検知端末１１３に「端末Ｄ」、検知理由１１４に「既知のマルウェア起動」が設定される。「ＩＤ＝３」のレコードには、検知時刻１１２に「2017/12/16 10:00:00」、検知端末１１３に「端末Ｅ」、検知理由１１４に「既知のマルウェア起動」が設定される。

図６は、各端末５１の活動を管理する活動内容ＤＢ１２０の構成例を示す。このＤＢ１２０の各レコードは、ネットワークセンサ２０もしくは端末センサ３０が検知した、各端末５１の活動内容を記録している。すなわち各レコードは、ＩＤ１２１、記録時刻１２２、活動端末１２３、活動種類１２４、活動内容１２５、非ミッション活動フラグ１２６を記録する。

ＩＤ１２１は、ＤＢ１２０内のレコードを一意に識別する識別子である。記録時刻１２２は、端末５１の活動を記録した時刻である。活動端末１２３は、活動の主体となった端末の識別子である。活動種類１２４は、活動の種類である。活動内容１２５は、実施された活動内容である。

非ミッション活動フラグ１２６は、検知された活動がミッション関連活動ＤＢ１００に含まれない活動であるかを示すフラグである。活動内容１２５がミッション関連活動ＤＢ１００に記載されていない活動である場合、フラグ値には「Ｙ」が設定される。これに対し、活動内容１２５がミッション関連活動ＤＢ１００に記載されている活動である場合、フラグ値には「Ｎ」が設定される。フラグ値に「Ｙ」が設定された活動は、通常時には行われない活動であること、を示す。

図６のレコード例を説明する。「ＩＤ＝１」のレコードには、記録時刻１２２に「2015/12/16 09:00:00」、活動端末１２３に「端末Ａ」、活動種類１２４に「プロセス」、活動内容１２５に「mal.exe」、非ミッション活動フラグ１２６に「Ｙ」が設定される。

「ＩＤ＝２」のレコードには、記録時刻１２２に「2015/12/16 09:10:00」、活動端末１２３に「端末Ａ」、活動種類１２４に「内部通信」、活動内容１２５に「端末Ａ→端末Ｂ：80」、非ミッション活動フラグ１２６に「Ｎ」が設定されている。

「ＩＤ＝３」のレコードには、記録時刻１２２に「2015/12/16 09:10:00」、活動端末１２３に「端末Ａ」、活動種類１２４に「内部通信」、活動内容１２５に「端末Ａ→端末Ｄ：80」、非ミッション活動フラグ１２６に「Ｎ」が設定されている。

「ＩＤ＝４」のレコードには、記録時刻１２２に「2015/12/16 09:10:00」、活動端末１２３に「端末Ａ」、活動種類１２４に「ポートオープン」、活動内容１２５に「mal.exe:100」、非ミッション活動フラグ１２６に「Ｙ」が設定されている。

「ＩＤ＝５」のレコードには、記録時刻１２２に「2015/12/16 09:20:00」、活動端末１２３に「端末Ｂ」、活動種類１２４に「プロセス」、活動内容１２５に「mal.exe」、非ミッション活動フラグ１２６に「Ｙ」が設定されている。

「ＩＤ＝６」のレコードには、記録時刻１２２に「2015/12/16 09:30:00」、活動端末１２３に「端末Ｂ」、活動種類１２４に「内部通信」、活動内容１２５に「端末Ｂ→端末Ｃ：80」、非ミッション活動フラグ１２６に「Ｎ」が設定されている。

「ＩＤ＝７」のレコードには、記録時刻１２２に「2015/12/16 09:30:00」、活動端末１２３に「端末Ｂ」、活動種類１２４に「ポートオープン」、活動内容１２５に「mal.exe:100」、非ミッション活動フラグ１２６に「Ｙ」が設定されている。

「ＩＤ＝８」のレコードには、記録時刻１２２に「2015/12/16 09:40:00」、活動端末１２３に「端末Ｃ」、活動種類１２４に「プロセス」、活動内容１２５に「mal.exe」、非ミッション活動フラグ１２６に「Ｙ」が設定されている。

「ＩＤ＝９」のレコードには、記録時刻１２２に「2015/12/16 09:50:00」、活動端末１２３に「端末Ｃ」、活動種類１２４に「内部通信」、活動内容１２５に「端末Ｃ→端末Ｄ:80」、非ミッション活動フラグ１２６に「Ｎ」が設定されている。

「ＩＤ＝１０」のレコードは、記録時刻１２２に「2015/12/16 10:00:00」、活動端末１２３に「端末Ｃ」、活動種類１２４に「ポートオープン」、活動内容１２５に「mal.exe:100」、非ミッション活動フラグ１２６に「Ｙ」が設定されている。

「ＩＤ＝１１」のレコードには、記録時刻１２２に「2015/12/16 09:30:00」、活動端末１２３に「端末Ｄ」、活動種類１２４に「プロセス」、活動内容１２５に「mal.exe」、非ミッション活動フラグ１２６に「Ｙ」が設定されている。

「ＩＤ＝１２」のレコードには、記録時刻１２２に「2015/12/16 09:40:00」、活動端末１２３に「端末Ｅ」、活動種類１２４に「ポートオープン」、活動内容１２５に「b.exe:80」、非ミッション活動フラグ１２６に「Ｎ」が設定されている。

図７は、端末５１の構成を管理するシステム構成ＤＢ１３０の構成例を示す。このＤＢ１３０の各レコードは、端末５１にインストールされているＯＳ（オペレーティングシステム）やＡＰＰ（アプリケーション）を記録している。本ＤＢ１３０は、管理者Ｈ２によって管理される。管理者Ｈ２が、各端末５１のシステム構成の情報をＤＢ１３０へ手入力することができる。または、構成を自動的に管理してミッション保証装置１０へ報告する構成管理プログラムを各端末５１にインストールしておき、システム構成ＤＢ１３０の内容を自動的に更新する構成としてもよい。なお、端末センサ３０内に構成管理プログラムを設けてもよい。

システム構成ＤＢ１３０は、ＩＤ１３１と、端末１３２と、資産タイプ１３３と、資産内容１３４を記録する。

ＩＤ１３１は、各レコードを一意に識別する識別子である。端末１３２は、対象となる端末の識別子である。資産タイプ１３３は、資産の種類である。資産内容１３４は、資産の内容を示す。図７のレコード例を説明する。

「ＩＤ＝１」のレコードには、端末１３２に「端末Ａ」、資産タイプ１３３に「ＯＳ」、資産内容１３４に「ＯＳ−１」が設定されている。

「ＩＤ＝２」のレコードには、端末１３２に「端末Ａ」、資産タイプ１３３に「ＡＰＰ」、資産内容１３４に「ＡＰＰ−１」が設定されている。

「ＩＤ＝３」のレコードには、端末１３２に「端末Ｂ」、資産タイプ１３３に「ＯＳ」、資産内容１３４に「ＯＳ−２」が設定されている。

「ＩＤ＝４」のレコードには、端末１３２に「端末Ｂ」、資産タイプ１３３に「ＡＰＰ」、資産内容１３４に「ＡＰＰ−１」が設定されている。

「ＩＤ＝５」のレコードには、端末１３２に「端末Ｃ」、資産タイプ１３３に「ＯＳ」、資産内容１３４に「ＯＳ−３」が設定されている。

「ＩＤ＝６」のレコードには、端末１３２に「端末Ｃ」、資産タイプ１３３に「ＡＰＰ」、資産内容１３４に「ＡＰＰ−１」が設定されている。

「ＩＤ＝７」のレコードには、端末１３２に「端末Ｄ」、資産タイプ１３３に「ＯＳ」、資産内容１３４に「ＯＳ−１」が設定されている。

「ＩＤ＝８」のレコードには、端末１３２に「端末Ｄ」、資産タイプ１３３に「ＡＰＰ」、資産内容１３４に「ＡＰＰ−１」が設定されている。

「ＩＤ＝９」のレコードには、端末１３２に「端末Ｅ」、資産タイプ１３３に「ＯＳ」、資産内容１３４に「ＯＳ−２」が設定されている。

「ＩＤ＝１０」のレコードには、端末１３２に「端末Ｅ」、資産タイプ１３３に「ＡＰＰ」、資産内容１３４に「ＡＰＰ−１」が設定されている。

「ＩＤ＝１１」のレコードには、端末１３２に「端末Ｆ」、資産タイプ１３３に「ＯＳ」、資産内容１３４に「ＯＳ−４」が設定されている。

「ＩＤ＝１２」のレコードには、端末１３２に「端末Ｆ」、資産タイプ１３３に「ＡＰＰ」、資産内容１３４に「ＡＰＰ−４」が設定されている。

図８は、脆弱性情報を管理する脆弱性情報ＤＢ１４０の構成例である。このＤＢ１４０の各レコードは、様々なセキュリティベンダや公的機関等から公開された脆弱性に関する情報を記録する。脆弱性情報ＤＢ１４０は、ＩＤ１４１と、脆弱性ＩＤ１４２と、公開日時１４３と、影響を受けるＡＰＰ／ＯＳ１４４を記録する。

ＩＤ１４１は、各レコードを一意に識別する識別子である。脆弱性ＩＤ１４２は、脆弱性を公開された機関により付与された、脆弱性の識別子である。公開日時１４３は、脆弱性が公開された日時を示す。影響を受けるＡＰＰ／ＯＳ１４４は、脆弱性により影響を受けるオペレーティングシステムやアプリケーションプログラムを示す。

図８のレコード例を説明する。「ＩＤ＝１」のレコードには、脆弱性ＩＤ１４２に「CVE-2015-9999」、公開日時に「2015/12/10」、影響を受けるＡＰＰ／ＯＳに「APP-1」が設定されている。

「ＩＤ＝２」のレコードには、脆弱性ＩＤ１４２に「CVE-2016-9999」、公開日時に「2015/12/11」、影響を受けるＡＰＰ／ＯＳに「OS-4」が設定されている。

図９は、端末５１間のネットワーク接続関係を管理するネットワーク接続性ＤＢ１５０の構成例である。ネットワーク接続性ＤＢ１５０の各レコードは、或る端末から他の端末への通信の可否を示す。通信の可否は、通信経路上のファイアーウォールや端末上で、通信が許可されているかによって決定される。本ＤＢ１５０は、管理者Ｈ１または管理者Ｈ２によって管理される。

ネットワーク接続性ＤＢ１５０は、例えば、ＩＤ１５１と、通信元端末１５２と、通信先端末１５３と、状態１５４を含む。

ＩＤ１５１は、各レコードを一意に識別するための識別子である。通信元端末１５２は、通信を開始する端末を示す。通信先端末１５３は、通信の宛先である端末を示す。状態１５４は、通信元端末１５２から通信先端末１５３への通信が許可されているか否かの状態を示す。

図９のレコード例を説明する。「ＩＤ＝１」のレコードには、通信元端末１５２に「端末Ａ」、通信先端末１５３に「端末Ｅ」、状態１５４に「可」が設定されている。

「ＩＤ＝２」のレコードには、通信元端末１５２に「端末Ａ」、通信先端末１５３に「端末Ｆ」、状態１５４に「非」が設定されている。

「ＩＤ＝３」のレコードには、通信元端末１５２に「端末Ｃ」、通信先端末１５３に「端末Ｆ」、状態１５４に「可」が設定されている。

図１０は、業務処理システム５０への攻撃パターンを管理する攻撃パターンＤＢ１６０の構成例を示す。このＤＢ１６０の各レコードは、業務処理システム５０における過去の事例から得られた攻撃パターンを記録している。ここでの攻撃パターンは、ある端末が攻撃された後に他の特定の端末が攻撃された割合を示す。攻撃パターンＤＢ１６０のレコードは、管理者Ｈ２が手動で入力することができる。管理者Ｈ２は、攻撃が業務処理システム５０に起きるたびに、被害動向を分析し、その分析結果を攻撃パターンＤＢ１６０へ入力する。管理者Ｈ２は、検知ＤＢ１１０の情報を基にして攻撃パターンＤＢ１６０に情報を入力してもよい。

攻撃パターンＤＢ１６０は、ＩＤ１６１と、初期被害端末１６２と、継続被害端末１６３と、確率１６４とを含む。

ＩＤ１６１は、各レコードを一意に識別するための識別子である。初期被害端末１６２は、過去の攻撃において、相対的に先に攻撃された端末を示す。継続被害端末１６３は、過去の攻撃において、相対的に後に攻撃された端末を示す。確率１６４は、過去の攻撃において、初期被害端末１６２が攻撃された後に、継続被害端末１６３が攻撃された割合を示す。

図１０のレコード例を説明する。「ＩＤ＝１」のレコードには、初期被害端末１６２に「端末Ａ」が、継続被害端末１６３に「端末Ｃ」が、確率１６４に「０．２」が設定されている。

「ＩＤ＝２」のレコードには、初期被害端末１６２に「端末Ｃ」が、継続被害端末１６３に「端末Ｅ」が、確率１６４に「０．４」が設定されている。

「ＩＤ＝３」のレコードには、初期被害端末１６２に「端末Ａ」が、継続被害端末１６３に「端末Ｆ」が、確率１６４に「０．０」が設定されている。

図１１に関係ネットワークＤＢ１８０の構成例を示す。関係ネットワークＤＢ１８０は、被害推定端末に関する端末間の関係を示すネットワークと、被害予測端末に関する端末間の関係を示すネットワークと管理する。関係ネットワークＤＢ１８０の各レコードは、被害推定関係ネットワーク構築部２２１の算出結果、または、被害予測関係ネットワーク構築部２２２の算出結果のいずれかを記録する。

被害推定関係ネットワーク構築部２２１は、被害推定端末に関する関係ネットワークを算出する。被害予測関係ネットワーク構築部２２２は、被害予測端末に関する関係ネットワークを算出する。

関係ネットワークＤＢ１８０は、ＩＤ１８１と、タイプ１８２と、関係ネットワーク１８３を含む。

ＩＤ１８１は、各レコードを一意に識別するための識別子である。タイプ１８２は、格納されている関係ネットワークの種類を示す。タイプ１８２には、被害推定端末を導出するネットワーク、または、被害予測端末を導出するネットワークのいずれであるかを特定するための値が記録される。関係ネットワーク１８３は、端末間の関係ネットワークの詳細をグラフ形式で保存する。なお、保存形式はグラフ形式に限定しない。表形式等の他の形態でもよい。

図１１のレコード例を説明する。「ＩＤ＝１」のレコードは、タイプ１８２が「被害推定端末」であるレコードである。

関係ネットワーク１８３中の各ノード１８４は、端末５１を示す。ノード１８４を示す円の中には、端末５１を区別するアルファベットと、数値とが記載されている。

ノード１８４内の数値は、各端末５１が被害推定端末である「事前確率」、または被害確定端末である「事前確率」のいずれかを示す。ここで「ＩＤ＝１」のレコードは、被害推定端末に関するレコードであるから、そのレコードに含まれるノード１８４内の数値は、被害推定端末である事前確率を示している。

ここで、事前確率とは、他の端末の関係性を一切排した状況下において、或る端末が被害を受けている確率である。ここで、端末Ａ，Ｂ，Ｃ（つまり５１Ａ，５１Ｂ，５１Ｃである）は、既に攻撃による被害が検出されれている被害確定端末であるので、それら端末Ａ，Ｂ，Ｃの事前確率は１．０となっている。他の端末Ｄ，Ｅ，Ｆ（つまり５１Ｄ，５１Ｅ，５１Ｆである）が被害推定端末である確率は、それぞれ、０．６，０．４，０．１となっている。

アーク１８５は、アークの基端にある端末が被害を受けていると仮定した場合に、アークの先端にある端末が被害を受けている確率である「条件付き確率」を表現する。例えば、端末Ａから端末Ｄへ向かうアーク１８５に着目する。このアーク１８５では、端末Ａが被害を受けていると仮定した場合、端末Ｄが被害を受けている確率は０．８となる。

なお端末Ａ〜Ｃは、被害を受けていることが判明している被害確定端末であるため、端末Ａ〜Ｃ間では条件付き確率は存在しない。

「ＩＤ＝２」のレコードは、タイプ１８２が「被害予測端末」であるレコードを示している。関係ネットワーク１８３中の各ノード１８７は、端末５１を示す。ノード１８７内の数値は、各端末が被害予測端末である「事前確率」を示す。「ＩＤ＝２」のレコードにおいて、事前確率とは、他の端末の関係性を一切排した状況下で、或る端末が今後被害をうける確率を示す。

端末Ａ〜Ｃは被害確定端末であるので、事前確率は１．０となる。端末Ｄ，Ｅ，Ｆが被害予測端末である確率は、それぞれ、０．４、０．６、０．１となる。

アーク１８８は、アークの基端にある端末が被害を受けていると仮定した場合に、アークの先端にある端末が今後被害を受ける確率である「条件付き確率」を表現する。端末Ａから端末Ｄへ向かうアーク１８８では、端末Ａが被害を受けていると仮定した場合、今後端末Ｄが被害を受ける確率は０．８となる。なお、被害確定端末であるＡ〜Ｃ間では、条件付き確率は存在しない。

図１２に、被害推定・被害予測ＤＢ１９０の構成例を示す。このＤＢ１９０の各レコードは、或る端末が、被害確定端末である確率と、被害推定端末である確率と、被害予測端末である確率とを示す。確率は０．０から１．０までの間を取る。３種類の確率はそれぞれ独立して算出されるため、３つの確率の合計値が１．０を超えてもよい。各レコードは、確率算出部２２４によって算出される。

被害推定・被害予測ＤＢ１９０は、端末１９１と、被害確定端末１９２と、被害推定端末１９３と、被害予測端末１９４を含む。

端末１９１は、確率算出の対象となる端末を示す。被害確定端末１９２は、端末１９１で特定される端末が被害確定端末である確率を示す。被害推定端末１９３は、端末１９１で特定される端末が被害推定端末である確率を示す。被害予測端末１９４は、端末１９１で特定される端末が被害予測端末である確率を示す。

図１２のレコード例を説明する。端末１９１が「端末Ａ」であるレコードでは、被害確定端末１９２に「１．０」、被害推定端末１９３に「０．０」、被害予測端末１９４に「０．０」が設定されている。

端末１９１が「端末Ｂ」であるレコードでは、被害確定端末１９２に「１．０」、被害推定端末１９３に「０．０」、被害予測端末１９４に「０．０」が設定されている。

端末１９１が「端末Ｃ」であるレコードでは、被害確定端末１９２に「１．０」、被害推定端末１９３に「０．０」、被害予測端末１９４に「０．０」が設定されている。

端末１９１が「端末Ｄ」であるレコードでは、被害確定端末１９２に「０．０」、被害推定端末１９３に「０．８」、被害予測端末１９４に「０．７」が設定されている。

端末１９１が「端末Ｅ」であるレコードでは、被害確定端末１９２に「０．０」、被害推定端末１９３に「０．３」、被害予測端末１９４に「０．９」が設定されている。

端末１９１が「端末Ｆ」であるレコードでは、被害確定端末１９２に「０．０」、被害推定端末１９３に「０．１」、被害予測端末１９４に「０．１」が設定されている。

被害推定・被害予測ＤＢ１９０に格納されたこれらの情報は、対処導出部２３０が、各端末５１に対する対処を実施する際に用いられる。

図１３に影響分析部２２０の構成例を示す。影響分析部２２０の入力は、ミッション関連活動ＤＢ１００、検知ＤＢ１１０、活動内容ＤＢ１２０、システム構成ＤＢ１３０、脆弱性情報ＤＢ１４０、ネットワーク接続性ＤＢ１５０、攻撃パターンＤＢ１６０、および外部ナレッジＤＢ１７０の８種類のＤＢである。

被害推定関係ネットワーク構築部２２１および被害予測関係ネットワーク構築部２２２は、それらＤＢ１００〜１７０の入力を基に、関係ネットワーク１８３を算出する。上述の通り、関係ネットワーク１８３には、被害推定端末に関する関係ネットワークと被害予測端末に関する関係ネットワークを含むことができる。なお、関係ネットワーク１８３を算出する際は、各ＤＢ１００〜１７０を必ずしも全て用いる必要はない。

管理者Ｈ２は、影響分析ユーザインタラクション部２２３を用いることで、算出された関係ネットワーク１８３を閲覧したり、操作したりすることができる。

管理者Ｈ２の可能な操作には、例えば、分析対象端末であることを示すノードの追加および削除、各ノードの事前確率の修正、ノード間の条件付き確率の修正が含まれる。このような操作処理を可能としているのは、管理者Ｈ２が持つ、攻撃に対する知見や業務処理システム５０に対する知見を、関係ネットワーク１８３に反映するためである。

確率算出部２２４は、関係ネットワーク１８３を入力として、各端末が被害推定端末である事後確率と、被害予測端末である事後確率とをそれぞれ算出して、被害推定・被害予測ＤＢ１９０に格納する。「事後確率」は、「第２コンピュータが攻撃されている確率」に該当する。

事後確率の算出では、確率伝搬法等、既存のアルゴリズムを用いてもよい。事前確率と条件付き確率とを任意の方法で組み合わせることで、事後確率を求めてもよい。例えば、或る端末Ｘの事前確率がＰ＿ＰＲＥ（Ｘ）、端末Ａから端末Ｘへの条件付き確率がＰ＿Ａ（Ｘ）、端末Ｂから端末Ｘへの条件付き確率がＰ＿Ｂ（Ｘ）であるとき、端末Ｘの事後確率Ｐ＿ＰＯＳＴ（Ｘ）は、以下のように求めてもよい。

Ｐ＿ＰＯＳＴ（Ｘ）＝Ｗ０＊Ｐ＿ＰＲＥ（Ｘ）＋Ｗ１＊Ｐ＿Ａ（Ｘ）＋Ｗ２＊Ｐ＿Ｂ（Ｘ）・・・（式１）

ここで、上記の式１中、Ｗ０、Ｗ１、Ｗ２は、各確率の重み付け係数である。重み付け係数の値は、任意の手段によって決定される。例えば、重み付け係数の値を予めＤＢ等に保持しておいてもよい。

上記の式１から、より一般的な下記の式２を得ることもできる。式２を満たす任意の関数Ｆｘを定義すればよい。

Ｐ＿ＰＯＳＴ（Ｘ）＝Ｆｘ（Ｐ＿ＰＲＥ（Ｘ）、Ｐ＿Ａ（Ｘ）、Ｐ＿Ｂ（Ｘ））・・・（式２）

図１４に、被害推定関係ネットワーク構築部２２１の処理手順の一例を示す。本例では、被害推定関係ネットワーク構築部２２１は、ミッション関係活動ＤＢ１００、検知ＤＢ１１０、活動内容ＤＢ１２０、システム構成ＤＢ１３０、脆弱性情報ＤＢ１４０、攻撃パターンＤＢ１６０、外部ナレッジＤＢ１７０を基に、被害推定端末の関係ネットワークを構築する。以下、図面中のＤＢの名称は適宜簡略化して示す。

被害推定端末の関係ネットワークを構築するための処理手順は、以下に述べるように、大きく４つの処理Ｓ１０，Ｓ１１，Ｓ１２，Ｓ１３に分かれている。

処理Ｓ１０では、各端末５１が被害推定端末である事前確率を算出する。処理Ｓ１１では、被害確定端末と被害確定端末以外の他の端末との間の条件付き確率を算出する。処理Ｓ１２では、被害確定端末以外の他の端末間における条件付き確率を求める。処理Ｓ１３では、外部ナレッジを関係ネットワークに反映させる。

処理Ｓ１０における事前確率算出では、ミッションの重要性Ｓ１０１と、脆弱性の有無Ｓ１０２という２つの点から事前確率を算出する。処理Ｓ１０では、それらＳ１０１およびＳ１０２の結果を統合することで、被害推定端末である事前確率を算出する。

ミッションの重要性を算出する処理Ｓ１０１では、先ず、ミッション関連ＤＢ１００を参照し、各端末５１のミッションにおける重要度を算出する。端末５１の重要度には、その端末５１が関わる活動内容１０４のうち、最もミッション重要度１０５が高い値が設定される。図４の例では、端末Ａの重要度はＭ、端末Ｂの重要度はＨ、端末Ｃの重要度はＬ、端末Ｄの重要度はＨ、端末Ｅの重要度はＨ、端末Ｆの重要度はＬとなる。

脆弱性の有無を算出する処理Ｓ１０２では、システム構成ＤＢ１３０および脆弱性情報ＤＢ１４０を参照して、各端末５１における脆弱性の有無を２値で算出する。図７および図８に示す例では、端末Ａおよび端末Ｆでは「脆弱性有り」、他の端末Ｂ〜Ｅでは「脆弱性無し」となる。但し、脆弱性の有無を２値で評価することに代えて、３値以上で評価してもよい。例えば、処理Ｓ１０２では、脆弱性の深刻度合いや、端末の持つ脆弱性の個数等に応じて、３値以上で評価することもできる。

処理Ｓ１０は、端末の重要性（Ｓ１０１）と脆弱性の有無（Ｓ１０２）とを、被害推定端末の関係ネットワークにおける事前確率の値にマッピングするための任意の関数Ｆ＿Ｓ１０を持つ。例えば、下記の式３を用いる。

Ｐ＿ＰＲＥ（Ｄ）＝Ｆ＿Ｓ１０（重要度＝Ｈ、脆弱性＝無）・・・（式３）

処理Ｓ１１は、アクセス有無を求める処理Ｓ１０３と、不審活動の類似性を求める処理Ｓ１０４と、被アクセスパターンの類似性を求める処理Ｓ１０５と、システム構成の類似性を求める処理Ｓ１０６、攻撃パターンの確率を算出する処理Ｓ１０７とを基に、或る被害確定端末から或る被害推定端末への条件付き確率を算出する。

アクセス有無を求める処理Ｓ１０３では、或る端末から他の端末への過去一定時間以内の通信アクセスの有無を、検知ＤＢ１１０および活動内容ＤＢ１２０を基に求める。図６では、例えば、端末Ａから端末Ｄへのアクセスと、端末Ｃから端末Ｄへのアクセスとが、いずれも「アクセス有り」となる。ここで、端末Ａから端末Ｄへのアクセスの有無は、Ｆ＿Ｓ１０３（Ａ，Ｄ）と表記する。

不審活動の類似性を求める処理Ｓ１０４では、ある２つの端末が過去一定時間に行った不審活動の類似度を、検知ＤＢ１１０および活動内容ＤＢ１２０を基に求める。例えば、図６において、端末Ｄと端末Ａ（あるいは端末Ｂと端末Ｃ）は、同一のプロセス「mal.exe」を起動しているので、不審活動の類似度が高いと判断できる。プロセス「mal.exe」は、端末Ａ，Ｄにおいて、ミッション活動に該当しない不審な活動である。

不審活動の類似度は、各端末で行われた不審活動の記録を集合と見做して、例えばＪａｃｃａｒｄ係数等の既存のアルゴリズムを用いて求めてもよいし、または、任意の関数を定義して求めてもよい。例えば、端末Ａと端末Ｄの類似度は、Ｆ＿Ｓ１０４（Ａ，Ｄ）として表記する。Ｊａｃｃａｒｄに基づく算出式は、計算量が少なく、全く同じ活動を複数端末に対して行う攻撃を確実に捉えることができる。

不審活動の類似度（類似性）を求める別の手段として、ある２つの端末が過去一定時間に行った不審活動の発生時刻の同期性を求める方法がある。同期性算出では、２つの端末で、種類が同一である活動を行った時刻の最小差の総和を基に、活動の同期性を算出する。この方法では、活動の種類と時間のみが注目され、活動内容（どのプロセスを起動したのか、どのＷＥＢサイトにアクセスしたのかは）は問われない。図１７（ａ）の例では、端末Ｂは時刻ｔ０，ｔ２に不審プロセスの起動を行い、端末Ｄは時刻ｔ０‘、時刻ｔ２’に不審プロセスの起動を行う。また、端末Ｂは時刻ｔ１に不審ＷＥＢ通信を行い、端末Ｄは時刻ｔ１‘に不審ＷＥＢ通信を行う。このため、両端末における時刻の最小差の総和は、｜ｔ０−ｔ０’｜＋｜ｔ１−ｔ１’｜＋｜ｔ２−ｔ２’｜となり、この値が小さい程、両端末の不審活動の類似性は高いことになる。このため、総和値の逆数などを、類似度として用いることができる。

よりフォーマルには、発生時刻の同期性に基づく不審活動の類似度は、ｓｐｉｋｅＴｒａｉｎという、複数の点過程の類似性を求める既存アルゴリズムの応用により求めてもよい。具体的な算出式の１つは図１７（ｂ）に示されるような数式となる。同期性に基づく算出式は、端末に応じて活動内容を変える攻撃であっても、類似度を算出することができる。

また、２つの端末間で攻撃が行われる時間にズレがあると、必然的に不審活動の発生時刻の差が多くなるため、図１７（ｂ）に基づく算出式の値が小さくなる。この課題に対する解決策として、キャリブレーションを行ってもよい。即ち、算出式において、一方の端末における不審活動の発生時刻を、一定時間（例えば５分）刻みでシフトさせ、最大の類似度を両端末の類似度とする。この場合、シフト時間を算出式に反映させてもよい。例えば、ｅｘｐ（−１×シフト時間／ＴＨ）を図１７（ｂ）の式に掛け合わせる。

また、Ｊａｃｃａｒｄ係数で求めた類似度と図１７（ｂ）で求めた類似度とを組み合わせるなど、複数の観点で算出された類似度を統合して、類似度を算出してもよい。複数の類似度を組み合わせることで、より精度が高い類似度算出が可能となる。組み合わせ式には、加重和など、複数の説明変数から１つの目的変数を算出ための一般的な方法を適用できる。

また、誤検知を防ぐために、類似度が一定の閾値を超える端末が一定数を超えた場合に、それらの端末を一括して被害推定端末と判断してもよい。この方法は、想定脅威が、複数の端末を同時に攻撃する攻撃者である場合に特に有効である。

また、前述の通り、類似度算出は、攻撃が検知された時点（被害確定端末が検知された時点）で行う。このため、攻撃が早期に検知された場合、検知時点での攻撃の活動量（攻撃に起因する不審活動の数）が少なく、類似度判定の性能に影響が出る可能性がある。しかし、攻撃活動の記録のために、被害確定端末を無対策のまま放置しておくことは好ましくない。この問題の解決策として、攻撃者をおびき寄せる囮端末（ハニーポット端末）を予めネットワークに設置し、囮端末への攻撃の活動を記録することで、類似度判定に必要な量の不審活動を取得するという方法がある。

被アクセスパターンの類似性を求める処理Ｓ１０５では、或る端末が被害確定端末からアクセスされた際に用いられた通信ポートと、他の端末が他の被害確定端末からアクセスされた際に用いられた通信ポートとが一致する割合を、検知ＤＢ１１０および活動内容ＤＢ１２０を基に判断する。

図６の例では、端末Ｂと端末Ｅを比べると、端末Ｂが端末Ａからアクセスされた８０番ポートは、端末Ｄにおいてもアクセスされている。端末Ｄも端末Ａから８０番ポートを介してアクセスされている。したがって、端末Ｂと端末Ｄとでは、被アクセスパターンの類似度は高い。ここで、端末Ｂの被アクセスパターンと端末Ｄの被アクセスパターンとの類似性は、Ｆ＿Ｓ１０５（Ｂ，Ｄ）と表記する。

システム構成の類似性を求める処理Ｓ１０６では、２つの端末間のシステム構成の類似度を、検知ＤＢ１１０およびシステム構成ＤＢ１３０を基に求める。例えば、図７において、端末Ａと端末Ｄは、同一のオペレーティングシステム（ＯＳ−１）および同一のアプリケーション（ＡＰＰ−１）を用いている。このため、両端末Ａ，Ｄのシステム構成の類似度は高い。システム構成の類似度は、各端末のシステム構成を集合と見做して、Ｊａｃｃａｒｄ係数等の既存のアルゴリズムを用いて求めてもよいし、または、任意の関数を定義して求めてもよい。例えば、端末Ａと端末Ｄのシステム構成の類似度は、Ｆ＿Ｓ１０６（Ａ，Ｄ）として表記する。

攻撃パターンの確率を算出する処理Ｓ１０７では、端末間の攻撃パターンに基づき、或る端末が攻撃された場合に、その後に、他の端末が攻撃される確率を求める。確率算出には、検知ＤＢ１１０および攻撃パターンＤＢを用いる。図１０の例では、端末Ｃが攻撃された場合、その後に、他の端末Ｅが攻撃される確率は、０．４となる。これを、Ｆ＿Ｓ１０７を関数として定義し、Ｆ＿Ｓ１０７（Ａ，Ｄ）＝０．４と表記する。

処理Ｓ１１では、上述した各処理Ｓ１０３，Ｓ１０４，Ｓ１０５，Ｓ１０６，Ｓ１０７での算出結果を基に、被害確定端末Ｘと被害推定端末Ｙの間の条件付き確率Ｐ＿Ｘ（Ｙ）を、任意の関数Ｆ＿Ｃｏｎｄ１を用いて以下の通り求める。

Ｐ＿Ｘ（Ｙ）＝Ｆ＿Ｃｏｎｄ１（Ｆ＿Ｓ１０３（Ｘ，Ｙ）、Ｆ＿Ｓ１０４（Ｘ，Ｙ）、Ｆ＿Ｓ１０５（Ｘ，Ｙ）、Ｆ＿Ｓ１０６（Ｘ，Ｙ）、Ｆ＿Ｓ１０７（Ｘ，Ｙ））・・・（式４）

Ｆ＿ｃｏｎｄ１は例えば、以下のような線形関数でもよい。

Ｆ＿ｃｏｎｄ１＝Ｗｃ＊Ｆ＿Ｓ１０３（Ｘ，Ｙ）＋Ｗｄ＊Ｆ＿Ｓ１０４（Ｘ，Ｙ）＋Ｗｅ＊Ｆ＿Ｓ１０５（Ｘ，Ｙ）＋Ｗｆ＊Ｆ＿Ｓ１０６（Ｘ，Ｙ）＋Ｗｇ＊Ｆ＿Ｓ１０７（Ｘ，Ｙ）・・・（式５）

ここで、Ｗｃ，Ｗｄ，Ｗｅ、Ｗｆ，Ｗｇは各要素の重み付け係数であり、任意の手段によって決定する。

処理Ｓ１２は、アクセス有無を求める処理Ｓ１０３、不審活動の類似性を求める処理Ｓ１０４、被アクセスパターンの類似性を求める処理Ｓ１０５、システム構成の類似性を求める処理Ｓ１０６、攻撃パターンの確率を求める処理Ｓ１０７を基に、或る被害推定端末から他の或る被害推定端末への条件付き確率Ｐ＿Ｘ（Ｙ）を、任意の関数Ｆ＿Ｃｏｎｄ２を用いて以下の通り求める。

Ｐ＿Ｘ（Ｙ）＝Ｆ＿Ｃｏｎｄ２（Ｆ＿Ｓ１０３（Ｘ，Ｙ）、Ｆ＿Ｓ１０４（Ｘ，Ｙ）、Ｆ＿Ｓ１０５（Ｘ，Ｙ）、Ｆ＿Ｓ１０６（Ｘ，Ｙ）、Ｆ＿Ｓ１０７（Ｘ，Ｙ））・・・（式６）

Ｆ＿ｃｏｎｄ２は例えば、以下のような線形関数でもよい。

Ｆ＿ｃｏｎｄ１＝Ｗｃ＊Ｆ＿Ｓ１０３（Ｘ，Ｙ）＋Ｗｄ＊Ｆ＿Ｓ１０４（Ｘ，Ｙ）＋Ｗｅ＊Ｆ＿Ｓ１０５（Ｘ，Ｙ）＋Ｗｆ＊Ｆ＿Ｓ１０６（Ｘ，Ｙ）＋Ｗｇ＊Ｆ＿Ｓ１０７（Ｘ，Ｙ）・・・（式７）

Ｗｃ，Ｗｄ，Ｗｅ、Ｗｆ，Ｗｇは各要素の重み付け係数であり、任意の手段によって決定する（以下同様）。

処理Ｓ１３では、外部ナレッジを反映する処理Ｓ１０８が、外部ナレッジＤＢ１７０を参照して、処理Ｓ１２までに求めた事前確率および条件付き確率を修正する。例えば「端末Ａを攻撃した端末は、その後に端末Ｄを攻撃する確度が高い」といった専門家の知見がある場合、処理Ｓ１０８では端末Ａから端末Ｄへの条件付き確率の値を増加等する。

図１５に、被害予測関係ネットワーク構築部２２２の処理手順の一例を示す。本例では、被害予測関係ネットワーク構築部２２２は、ミッション関係活動ＤＢ１００、検知ＤＢ１１０、活動内容ＤＢ１２０、システム構成ＤＢ１３０、脆弱性情報ＤＢ１４０、ネットワーク接続性ＤＢ１５０、攻撃パターンＤＢ１６０および外部ナレッジＤＢ１７０を基に、被害推定端末の関係ネットワークを構築する。

処理手順は、以下に述べるように大きく４つに分かれている。処理Ｓ２０では、各端末が被害予測端末である事前確率を算出する。処理Ｓ２１では、被害確定端末と被害確定端末以外の他の端末との間の条件付き確率を算出する。処理Ｓ２２では、被害確定端末以外の他の端末間における条件付き確率を求める。処理Ｓ２３では、外部ナレッジを関係ネットワークに反映させる。

処理Ｓ２０での事前確率の算出は、図１４で述べた処理Ｓ１０と同様のため、説明を割愛する。図１５では、処理Ｓ１０１の符号をＳ２０１と、処理Ｓ１０２の符号をＳ２０２と変更しているが、その内容は同一である。さらに、処理Ｓ１０６，Ｓ１０７，Ｓ１０８の符号もＳ２０６，Ｓ２０７，Ｓ２０８と変更しているが、その内容は同一である。

処理Ｓ２１は、接続性の有無を求める処理Ｓ２０３と、推定アクセス手段の存在を求める処理Ｓ２０４と、システム構成の類似性を求めるＳ２０６と、攻撃パターンの確率を算出する処理Ｓ２０７とを基に、或る被害確定端末から或る被害予測端末への条件付き確率を算出する。

接続性の有無を求める処理Ｓ２０３は、ある２つの端末間で通信が可能かどうかを、ネットワーク接続性ＤＢ１５０を用いて判断する。図９の例では、端末Ａから端末Ｅへの通信は可能であるため、Ｆ＿Ｓ２０３（端末Ａ，端末Ｅ）＝「有」と表記できる。関数は、１．０等の任意の数値を返す形でもよい。

推定アクセス手段の存在を求める処理Ｓ２０４では、ミッション関連ＤＢ１００、検知ＤＢ１１０、活動内容１２０を参照して、攻撃検知の時刻から一定時間内の過去に、被害確定端末に対して発生したアクセス手段と類似のアクセス手段を、被害予測端末がミッション関連活動として有しているかを判断する。

図６の例では、被害確定端末である端末Ｂが８０番ポートにアクセスされているのに対し、図４の例では、被害予測端末である端末Ｅもミッションとして８０番ポートを開いている。このため、関数Ｆ＿Ｓ２０３を用いて、Ｆ＿Ｓ２０３（端末Ａ，端末Ｅ）＝「有」と表記できる。関数は、１．０等の任意の数値を返す形でもよい。

処理Ｓ２１では、Ｓ２０３（接続性の有無），Ｓ２０４（推定アクセス手段の存在），Ｓ２０６（システム構成の類似性）、Ｓ２０７（攻撃パターンの確率）での算出結果を基に、被害確定端末Ｘと被害予測端末Ｙの間の条件付き確率Ｐ＿Ｘ（Ｙ）を、任意の関数Ｆ＿Ｃｏｎｄ３を用いて以下の通り求める。

Ｐ＿Ｘ（Ｙ）＝Ｆ＿Ｃｏｎｄ３（Ｆ＿Ｓ２０３（Ｘ，Ｙ）、Ｆ＿Ｓ２０４（Ｘ，Ｙ）、Ｆ＿Ｓ２０６（Ｘ，Ｙ）、Ｆ＿Ｓ２０７（Ｘ，Ｙ））・・・（式８）

Ｆ＿ｃｏｎｄ３は例えば、以下のような線形関数でもよい。

Ｆ＿ｃｏｎｄ３＝Ｗｉ＊Ｆ＿Ｓ２０３（Ｘ，Ｙ）＋Ｗｊ＊Ｆ＿Ｓ２０４（Ｘ，Ｙ）＋Ｗｆ＊Ｆ＿Ｓ２０６（Ｘ，Ｙ）＋Ｗｇ＊Ｆ＿Ｓ２０７（Ｘ，Ｙ）・・・（式９）

処理Ｓ２２は、接続性の有無を求める処理Ｓ２０３、推定アクセス手段の存在を求める処理Ｓ２０４、システム構成の類似性を求める処理Ｓ２０６、攻撃パターンの確率を求める処理Ｓ２０７を基に、或る被害予測端末から他の被害予測端末への条件付き確率を算出する。

類似アクセス手段の存在を求める処理Ｓ２０５は、ミッション関連活動ＤＢ１００および検知ＤＢ１１０を参照し、２つの被害予測端末の間に類似のアクセス手段があるかどうかを判断する。

図４の例では、８０番ポートを開いている端末Ｅと同様のアクセス手段を提供している被害予測端末は無いため、Ｆ＿Ｓ２０５（端末Ｅ，端末Ｄ）＝Ｆ＿Ｓ２０５（端末Ｅ，端末Ｆ）＝「無」となる。関数は、１．０等の任意の数値を返す形でもよい。

処理Ｓ２２においては、Ｓ２０３，Ｓ２０５、Ｓ２０６、Ｓ２０７での算出結果を基に、被害予測端末Ｘと他の被害予測端末Ｙの間の条件付き確率Ｐ＿Ｘ（Ｙ）を、任意の関数Ｆ＿Ｃｏｎｄ４を用いて以下の通り求める。

Ｐ＿Ｘ（Ｙ）＝Ｆ＿Ｃｏｎｄ４（Ｆ＿Ｓ２０３（Ｘ，Ｙ）、Ｆ＿Ｓ２０５（Ｘ，Ｙ）、Ｆ＿Ｓ２０６（Ｘ，Ｙ）、Ｆ＿Ｓ２０７（Ｘ，Ｙ））・・・（式１０）

Ｆ＿ｃｏｎｄ３は例えば、以下のような線形関数でもよい。

Ｆ＿ｃｏｎｄ３＝Ｗい＊Ｆ＿Ｓ２０３（Ｘ，Ｙ）＋Ｗｋ＊Ｆ＿Ｓ２０５（Ｘ，Ｙ）＋Ｗｆ＊Ｆ＿Ｓ２０６（Ｘ，Ｙ）＋Ｗｇ＊Ｆ＿Ｓ２０７（Ｘ，Ｙ）・・・（式１１）

処理Ｓ２３における外部ナレッジの反映は、処理Ｓ１３と同様のため、割愛する。

図１６は、影響分析部２２０の演算結果を提供する画面Ｇ１の例である。影響分析結果画面Ｇ１は、業務処理システム５０に存在する被害推定端末と被害予測端末に関する情報を管理者Ｈ２等へ提供する。管理者Ｈ２は、画面Ｇ１を通じて、影響分析ユーザインタラクション部２２３から影響分析部２２０の演算結果の一部を操作することもできる。

被害推定端末に関する情報の提供部は、被害推定端末の関係ネットワークについての詳細情報を表示する表示部ＧＰ１１と、被害推定端末の関係ネットワークをグラフとして表示する表示部ＧＰ１２を有する。

被害予測端末に関する情報の提供部は、被害予測端末の関係ネットワークについての詳細情報を表示する表示部ＧＰ１３と、被害予測端末の関係ネットワークをグラフとして表示する表示部ＧＰ１４を有する。

管理者Ｈ２は、ポインタ１８６に示すように、条件付き確率の値を手動で変更することもできる。さらに、管理者Ｈ２は、ポインタ１８９に示すように、ノード内の事前確率の値を手動で変更することもできる。ただし、管理者Ｈ２は、被害確定端末の確率を変更することはできない。

このように構成される本実施例によれば、複数の端末５１を含む業務処理システム５０において、複数の端末をまたがる攻撃により被害を受ける範囲を従来よりも精度良く分析することができ、業務処理システムの管理効率を向上できる。

さらに本実施例によれば、いわゆる標的型攻撃やマルウェアの活動による影響を分析でき、それら攻撃や活動への対処方法を導出して実施することができる。したがって、業務処理システム５０の信頼性を高めることができる。

さらに本実施例によれば、業務処理システム５０を構成する各端末５１について、業務処理上のミッションの重要度を定義するため、攻撃による影響範囲をミッションの重要性に応じて分析することができ、ミッションの重要性を考慮した対処方法を導出し、実施することができる。

なお、本発明は、上述した実施形態に限定されない。当業者であれば、本発明の範囲内で、種々の追加や変更等を行うことができる。上述の実施形態において、添付図面に図示した構成例に限定されない。本発明の目的を達成する範囲内で、実施形態の構成や処理方法は適宜変更することが可能である。

また、本発明の各構成要素は、任意に取捨選択することができ、取捨選択した構成を具備する発明も本発明に含まれる。さらに特許請求の範囲に記載された構成は、特許請求の範囲で明示している組合せ以外にも組み合わせることができる。

１０：ミッション保証装置、２０：ネットワークセンサ、３０：端末センサ、４０：通信ネットワーク、５０：業務処理システム、５１：端末、２００：ミッション関連活動導出部、２１０：検知部、２２０：影響分析部、２２１：被害推定関係ネットワーク構築部、２２２：被害予測関係ネットワーク構築部、２２３：影響分析ユーザインタラクション部、２２４：確率算出部、２３０：対処導出部、２４０：対処実施部、２２１

Claims (14)

1. 複数のコンピュータを含む業務処理システムを監視する業務処理システム監視装置であって、
   業務処理に関連して前記複数のコンピュータで実行される活動およびその活動の重要度を管理する活動管理部と、
   前記各コンピュータに対する攻撃を検知する検知部と、
   前記各コンピュータで実行される情報処理活動の重要度と、前記各コンピュータのシステム構成と、前記検知部による検知結果とに基づいて、前記各コンピュータのうちいずれか一つ以上のコンピュータに対する攻撃の影響を分析する影響分析部と、
   を備える業務処理システム監視装置。
2. 前記影響分析部は、前記各コンピュータのうち、攻撃が検知された第１コンピュータと、未だ検知されていないが攻撃されている可能性のある第２コンピュータを検出し、前記第２コンピュータが攻撃されている確率を算出する、
   請求項１に記載の業務処理システム監視装置。
3. 前記影響分析部は、
   前記情報処理活動の重要度に基づいて、前記各コンピュータが前記第２コンピュータである事前確率を算出し、さらに、
   前記第１コンピュータのシステム構成との類似度に基づいて、前記各コンピュータが前記第２コンピュータである条件付き確率を算出し、
   前記事前確率と前記条件付き確率とから前記第２コンピュータが攻撃されている確率を算出する、
   請求項２に記載の業務処理システム監視装置。
4. 前記影響分析部は、前記第１コンピュータの挙動を示す情報との類似度にも基づいて、前記各コンピュータが前記第２コンピュータである前記条件付き確率を算出する、
   請求項３に記載の業務処理システム監視装置。
5. 前記影響分析部は、コンピュータのシステム構成と脆弱性との関係を示す脆弱性情報と、前記各コンピュータのシステム構成とを比較することで、前記各コンピュータの脆弱性の有無を判定し、その脆弱性の有無についての判定結果にも基づいて、前記各コンピュータが前記第２コンピュータである前記条件付き確率を算出する、
   請求項４に記載の業務処理システム監視装置。
6. 前記影響分析部は、前記各コンピュータ間での通信アクセスの有無に関する情報を用いて、前記各コンピュータ間での通信アクセスの有無を判定し、その判定結果にも基づいて、前記各コンピュータが前記第２コンピュータである前記条件付き確率を算出する、
   請求項５に記載の業務処理システム監視装置。
7. 前記影響分析部は、前記各コンピュータ間での攻撃パターンを示す情報にも基づいて、前記各コンピュータが前記第２コンピュータである前記条件付き確率を算出する、
   請求項６に記載の業務処理システム監視装置。
8. 前記影響分析部は、前記事前確率と前記条件付き確率とを基に確率伝搬法を用いることで、前記各コンピュータが前記第２コンピュータである事後確率を算出する、
   請求項３に記載の業務処理システム監視装置。
9. 前記影響分析部は、前記各コンピュータのうち、将来攻撃される可能性のある第３コンピュータをさらに検出し、前記第３コンピュータが将来攻撃される確率を算出する、
   請求項８に記載の業務処理システム監視装置。
10. 前記影響分析部は、
    前記情報処理活動の重要度に基づいて、前記各コンピュータが前記第３コンピュータとなる事前確率を算出し、
    前記各コンピュータ間での通信アクセスの有無に関する情報を用いて、前記各コンピュータ間での通信アクセスの有無を判定し、
    前記通信アクセスの有無についての判定結果と、前記第１コンピュータとのシステム構成との類似度とに基づいて、前記各コンピュータが前記第３コンピュータとなる条件付き確率を算出し、
    前記事前確率と前記条件付き確率とから前記第３コンピュータが将来攻撃される確率を算出する、
    請求項９に記載の業務処理システム監視装置。
11. 前記影響分析部は、影響分析の結果を表示する影響分析結果画面を生成し、
    前記影響分析結果画面には、
    前記第１、第２、第３コンピュータに対応する図形要素と、
    関係するコンピュータであることを示す線と、
    前記第１、第２、第３コンピュータに関する確率の値と、
    前記線に関する確率の値と、
    が表示され、
    前記図形要素、前記線、前記確率の値の少なくともいずれか一つは、ユーザの指示で変更可能である、
    請求項１０に記載の業務処理システム監視装置。
12. さらに、前記第２コンピュータおよび前記第３コンピュータを保護するための対処方法を判断する対処導出部を備え、
    前記対処導出部は、
    前記第２コンピュータが攻撃されている確率に基づいて、前記第２コンピュータへの攻撃に対処する方法を判断し、
    前記第３コンピュータが将来攻撃される確率に基づいて、前記第３コンピュータへの攻撃に対処する方法を判断する、
    請求項１１に記載の業務処理システム監視装置。
13. 複数のコンピュータを含む業務処理システムを監視装置により監視する業務処理システム監視方法であって、
    前記監視装置は、
    業務処理に関連して前記複数のコンピュータで実行される活動およびその活動の重要度を管理しており、
    前記各コンピュータに対する攻撃を検知する検知ステップと、
    前記各コンピュータで実行される情報処理活動の重要度と、前記各コンピュータのシステム構成と、前記検知ステップによる検知結果とに基づいて、前記各コンピュータのうちいずれか一つ以上のコンピュータに対する攻撃の影響を分析する影響分析ステップと、を備える、
    業務処理システム監視方法。
14. 複数のコンピュータを含む業務処理システムを監視する業務処理システム監視装置を実現するためのコンピュータプログラムであって、
    業務処理に関連して前記複数のコンピュータで実行される活動およびその活動の重要度を管理する重要度管理機能と、
    前記各コンピュータに対する攻撃を検知する検知機能と、
    前記各コンピュータで実行される情報処理活動の重要度と、前記各コンピュータのシステム構成と、前記検知機能による検知結果とに基づいて、前記各コンピュータのうちいずれか一つ以上のコンピュータに対する攻撃の影響を分析する影響分析機能とを、
    コンピュータ上に実現するためのコンピュータプログラム。

Images