JP2018195197A - 評価プログラム、評価方法および情報処理装置 - Google Patents

Abstract

【課題】サイバー攻撃を適切に評価することを可能とする評価プログラム、評価方法および情報処理装置を提供する。
【解決手段】サイバー攻撃に関する評価プログラムは、収集する処理と、特定する処理と、評価する処理とをコンピュータに実行させる。収集する処理は、複数のサイバー攻撃情報を収集する。特定する処理は、収集した複数のサイバー攻撃情報を分析して、複数のサイバー攻撃情報から取得可能なサイバー攻撃の特徴情報が出現する時系列パターンを特定する。評価する処理は、特定した特徴情報の時系列パターンに基づいて、特徴情報に対応するサイバー攻撃を評価する。
【選択図】図１

Description

本発明の実施形態は、評価プログラム、評価方法および情報処理装置に関する。

近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。サイバー攻撃を行う攻撃者は、ターゲットを絞ってより洗練された攻撃を行ってくる。このような洗練されたサイバー攻撃には、他組織が受けたサイバー攻撃の情報を共有して評価し、新たな攻撃へ備えておかないと、対処することが難しい。

サイバー攻撃に関する攻撃者や目的、攻撃手法・手口などをセンサーなどが自動的に発行するアラートだけではなく、アナリストの分析も含めレポート等にまとめたものをサイバー脅威インテリジェンスという。このサイバー脅威インテリジェンスについては、共有を行うための標準化やプラットフォームの構築などが進みつつあり、大量のサイバー脅威インテリジェンスを利用するための基盤が整ってきている。

サイバー攻撃に備えるためにサイバー攻撃の情報を評価する従来技術としては、検知ログ情報データベースに蓄積された検知ログ情報の侵入行為パターンに対する相関度を求め、この相関度及びパターン評価用パラメータに基いて、侵入行為パターンを評価するものが知られている。

特開２００４−２２０３７３号公報 特開２００７−１１６４０５号公報 国際公開第２０１４／１１２１８５号

しかしながら、上記の従来技術では、サイバー攻撃に関して不要な情報が多く含まれ、サイバー攻撃を適切に評価することが困難な場合がある。

例えば、サイバー攻撃に利用されるＩＰアドレスの大半は、早ければ１分以内にいくつかのオペレーション（例えば攻撃）を実施した後に、観測されなくなる。また、サイバー脅威インテリジェンスは、作成時点に得られた情報に基づき作成される。よって、サイバー脅威インテリジェンスに記述されている大半のＩＰアドレスは既に利用されていない場合がある。

一方で、同じＩＰアドレスや手法を長期間にわたって使い続ける攻撃者も存在する。サイバー脅威インテリジェンスは状況に応じて情報がアップデートされていくため、長期間にわたって使用されるＩＰアドレスは、アップデートされるサイバー脅威インテリジェンスに継続的に出現する。

このように、サイバー脅威インテリジェンスに記述されるＩＰアドレスなどについては、即に使用されなくなる不要な情報となる場合もあれば、長期間にわたって使用される有用な情報となる場合もある。しかしながら、大量のサイバー脅威インテリジェンスより、継続的に出現する有用な情報を区別してサイバー攻撃を評価することは、容易なことではない。同様のことは、ＩＰアドレスだけでなく、他の検知指標であるｄｏｍａｉｎなどでも言える。

１つの側面では、サイバー攻撃を適切に評価することを可能とする評価プログラム、評価方法および情報処理装置を提供することを目的とする。

第１の案では、サイバー攻撃に関する評価プログラムは、収集する処理と、特定する処理と、評価する処理とをコンピュータに実行させる。収集する処理は、複数のサイバー攻撃情報を収集する。特定する処理は、収集した複数のサイバー攻撃情報を分析して、複数のサイバー攻撃情報から取得可能なサイバー攻撃の特徴情報が出現する時系列パターンを特定する。評価する処理は、特定した特徴情報の時系列パターンに基づいて、特徴情報に対応するサイバー攻撃を評価する。

本発明の１実施態様によれば、サイバー攻撃を適切に評価することができる。

図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。 図２は、サイバー脅威インテリジェンスを説明する説明図である。 図３は、サイバー脅威インテリジェンスの前処理を例示するフローチャートである。 図４は、要素の抽出例を説明する説明図である。 図５は、変換処理を例示するフローチャートである。 図６は、検知指標リストを説明する説明図である。 図７は、検知指標毎の生存状況データを説明する説明図である。 図８は、選別処理を例示するフローチャートである。 図９は、知識抽出処理を例示するフローチャートである。 図１０は、出力されたデータ例を説明する説明図である。 図１１は、検知指標ごとの表示例を説明する説明図である。 図１２は、実施形態にかかる情報処理装置のハードウエア構成の一例を示すブロック図である。

以下、図面を参照して、実施形態にかかる評価プログラム、評価方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する評価プログラム、評価方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。

図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。実施形態にかかる情報処理装置１は、例えば、ＰＣ（パーソナルコンピュータ）などのコンピュータである。

情報処理装置１は、サイバー脅威インテリジェンスＤＢ１０に格納された複数のサイバー脅威インテリジェンスに含まれるＩＰアドレスなどの検知指標について、ある一定期間以上観測された検知指標（生存検知指標）と、短期間で観測されなくなった検知指標（消滅検知指標）とを区別して出力する。このように、情報処理装置１は、複数のサイバー脅威インテリジェンスに含まれる検知指標から長期間にわたって使用される有用な情報である生存検知指標を区別することで、サイバー攻撃を適切に評価することを可能とする。

具体的には、情報処理装置１は、マルウェアやキャンペーンなどのサブブループを基準に検知指標と、検知指標のタイムスタンプなどの時系列のデータをサイバー脅威インテリジェンスより抽出する前処理を行う。そして、情報処理装置１は、前処理により抽出した検知指標毎に、時系列のデータに書かれている検知指標が時系列に沿ってどのように出現するかを示す生存状況データとして、前処理で抽出したデータを変換する。つまり、情報処理装置１は、サイバー脅威インテリジェンスを基に、検知指標毎の時系列に沿った生存状況を横串に調べて変換した検知指標毎の生存状況データ３２を生成する。

次いで、情報処理装置１は、検知指標毎の生存状況データ３２に基いて、サイバー攻撃を評価する。具体的には、検知指標毎の生存状況データ３２には、直ぐに消滅してしまう検知指標のデータが大量に含まれるので、ある程度の生存期間がある生存検知指標と、直ぐに観測されなくなった消滅検知指標とに選別する。そして、情報処理装置１は、生存検知指標について、時系列に沿った生存状況を出力する。

継続的に利用される生存検知指標には、サイバー攻撃における攻撃者のパターンや好みが出やすい。したがって、生存検知指標の時系列に沿った生存状況は、サイバー攻撃の防御に活用することができる。例えば、サイバー脅威インテリジェンスを利用して自動対処する際には、生存検知指標を優先的に対処すればよい。また、継続利用されている生存検知指標は、最新のサイバー脅威インテリジェンスには記述がなくても、潜在的に潜伏している検知指標として、注意することができる。そして、既に利用されていない検知指標に対しては、対処の優先度を下げ、対処へのコストを下げることができる。さらに、キャンペーンやマルウェアなどのサブグループによっては、検知指標の利用サイクルが極めて短いものが多い場合もあり、そのような短サイクルの対応が必要な状況も明らかにすることができる。

図１に示すように、情報処理装置１は、サイバー脅威インテリジェンスＤＢ１０、サイバー脅威インテリジェンス前処理部２０、サイバー脅威インテリジェンス変換部３０、変換データ選別部４０、知識抽出部５０、入力部６０および出力部７０を有する。

サイバー脅威インテリジェンスＤＢ１０は、インターネットなどを介してアナリストなどが提供している各種のサイバー脅威インテリジェンスを格納するデータベースである。サイバー脅威インテリジェンスＤＢ１０には、予め設定されたインターネット上のサイトを巡回（クロール）して得られた各種のサイバー脅威インテリジェンスが、識別情報（例えばＩＤ）や収集時刻などの付加情報を加えた上で格納されている。

図２は、サイバー脅威インテリジェンスを説明する説明図である。図２に示すように、サイバー脅威インテリジェンス１１では、ＳＴＩＸ（Structured Threat Information eXpression）などの形式でサイバー攻撃の情報が記述される。例えば、ＳＴＩＸは、サイバー攻撃活動（Campaigns）、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の８つの情報群から構成される。

すなわち、サイバー脅威インテリジェンス１１は、サイバー攻撃情報の一例である。また、ＳＴＩＸバージョン１．１．１時点では、図２のように、ＸＭＬ（eXtensible Markup Language）形式で記述される。

例えば、「Observables」のタグで囲まれた領域１１ａには、観測されたＩＰやｄｏｍａｉｎマルウェアのハッシュ値などが記述される。「Indicators」のタグで囲まれた領域１１ｂには、サイバー攻撃イベントを特徴づける指標を示す情報が個別に記述される。具体的には、領域１１ｂでは、検知指標のタイプ、検知指標に関連する観測事象、攻撃段階フェーズ、痕跡などから検知指標を作成するために使用したツールと共に、サイバー攻撃を特徴づける指標について記述される。

また、「TTPs」のタグで囲まれた領域１１ｃには、利用された攻撃手法、例えばスパムメールやマルウェア、水飲み場攻撃などが記述される。また、「Exploit_Targets」のタグで囲まれた領域１１ｄには、脆弱性、脆弱性の種類、設定や構成などの視点から、攻撃の対象となりうるソフトウェアやシステムの弱点など、サイバー攻撃イベントにおいて攻撃の対象となる資産の弱点を示す情報が個別に記述される。

また、「Campaigns」のタグで囲まれた領域１１ｅには、一連の攻撃につけられる名前などが記述される。すなわち、領域１１ｅには、サイバー攻撃の種類にかかる情報が記述される。

また、「Threat_Actors」のタグで囲まれた領域１１ｆには、サイバー攻撃の攻撃者のタイプ、攻撃者の動機、攻撃者の熟練度、攻撃者の意図などの視点からサイバー攻撃に寄与している人／組織についての情報が個別に記述される。具体的には、領域１１ｆでは、不正アクセス元（送信元）のＩＰアドレス、またはメールアドレス、ソーシャルネットワークサービスのアカウントの情報が記述される。

このように、サイバー脅威インテリジェンス１１の領域１１ａ〜１１ｆには、サイバー攻撃の観測事象（ＩＰ、ｄｏｍａｉｎ、ハッシュ値等）やＴＴＰ等のサイバー攻撃の特徴を示す情報、すなわちサイバー攻撃の特徴情報（検知指標）が記述される。なお、サイバー脅威インテリジェンス１１を共有するためのソースとしては、ＡｌｉｅｎＶａｕｌｔが提供するフリーで利用可能なＯＴＸ（Open Threat Exchange）やＦｉｒｅＥｙｅが提供するｉＳＩＧＨＴ Ｐａｒｔｎｅｒｓなどが存在する。また、サイバー脅威インテリジェンス１１を管理するために公開されている所定のプラットフォームを利用すれば、サイバー脅威インテリジェンス１１の内容を確認したり、サイバー脅威インテリジェンス１１間の関連を見たりすることも可能である。

サイバー脅威インテリジェンス前処理部２０は、サイバー脅威インテリジェンスＤＢ１０を参照し、入力部６０により入力されるサイバー脅威インテリジェンス１１の抽出条件をもとに、サイバー脅威インテリジェンス１１のサブグループを抽出する。サイバー脅威インテリジェンス前処理部２０は、抽出したサブグループのデータをサブグループ情報２１としてサイバー脅威インテリジェンス変換部３０に出力する。

図３は、サイバー脅威インテリジェンスの前処理を例示するフローチャートである。図３に示すように、前処理が開始されると、サイバー脅威インテリジェンス前処理部２０は、サイバー脅威インテリジェンスＤＢ１０を参照し、サイバー脅威インテリジェンス１１を選択する（Ｓ１）。次いで、サイバー脅威インテリジェンス前処理部２０は、選択したサイバー脅威インテリジェンス１１に含まれるデータ（要素）、例えば上述した８つの情報群をパース処理または自然言語処理を行うことで抽出する（Ｓ２）。

図４は、要素の抽出例を説明する説明図である。図４に示すように、ＳＴＩＸ形式のサイバー脅威インテリジェンス１１の場合、サイバー脅威インテリジェンス前処理部２０は、パーサによってＸＭＬ形式で記述されたサイバー脅威インテリジェンス１１の内容をパースする。これにより、サイバー脅威インテリジェンス前処理部２０は、サイバー脅威インテリジェンス１１に含まれる各要素を抽出する。

例えば、サイバー脅威インテリジェンス前処理部２０は、「ＡｄｄｒｅｓｓＯｂｊ：Ａｄｄｒｅｓｓ＿Ｖａｌｕｅ」というタグで囲まれた部分から、「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」、「ＹＹＹ．ＹＹＹ．ＹＹＹ．ＹＹＹ」などのＩＰ ａｄｄｒｅｓｓ値を抽出する。また、サイバー脅威インテリジェンス１１のタイトルが「あるマルウェアに対するレポート、期間」のように期間（又は時刻）の情報を含む場合、サイバー脅威インテリジェンス前処理部２０は、その期間（又は時刻）の情報も各要素のタイムスタンプのデータとして抽出する。

次いで、サイバー脅威インテリジェンス前処理部２０は、Ｓ２で抽出したデータを基に、抽出したデータが入力部６０より入力された抽出条件を満たすか否かを判定する（Ｓ３）。入力される抽出条件は、例えば、マルウェアやキャンペーンの名前などがある。

抽出条件を満たす場合（Ｓ３：ＹＥＳ）、サイバー脅威インテリジェンス前処理部２０は、例えばＩＰ ａｄｄｒｅｓｓ値およびタイムスタンプなどの抽出したデータをサイバー脅威インテリジェンス１１のＩＤと関連付けてサブグループ情報２１に格納する（Ｓ４）。これにより、マルウェアやキャンペーンなどのサブブループを基準に抽出した検知指標と、検知指標のタイムスタンプのデータがサブグループ情報２１に格納される。

次いで、サイバー脅威インテリジェンス前処理部２０は、サイバー脅威インテリジェンスＤＢ１０において未選択のサイバー脅威インテリジェンス１１が存在するか否かを判定する（Ｓ５）。未選択のサイバー脅威インテリジェンス１１が存在する場合（Ｓ５：ＹＥＳ）、サイバー脅威インテリジェンス前処理部２０は、Ｓ１へ処理を戻す。未選択のサイバー脅威インテリジェンス１１が存在しない場合（Ｓ５：ＮＯ）、サイバー脅威インテリジェンス前処理部２０は処理を終了する。

図１に戻り、サイバー脅威インテリジェンス変換部３０は、サイバー脅威インテリジェンス前処理部２０より出力されたサブグループ情報２１を入力として、サブグループ情報２１に含まれる検知指標をリストアップした検知指標リスト３１と、検知指標毎の生存状況を示す生存状況データ３２とに変換する。

図５は、変換処理を例示するフローチャートである。図５に示すように、変換処理が開始されると、サイバー脅威インテリジェンス変換部３０は、サイバー脅威インテリジェンス１１のＩＤと、ＩＰアドレスなどの検知指標やタイムスタンプとを関連付けて格納するサブグループ情報２１から、所定のサイバー脅威インテリジェンス１１を選択して検知指標を抽出する（Ｓ１１）。

次いで、サイバー脅威インテリジェンス変換部３０は、検知指標リスト３１に重複がないものを検知指標リスト３１に記述し（Ｓ１２）、未選択のサイバー脅威インテリジェンス１１がサブグループ情報２１に存在するか否かを判定する（Ｓ１３）。未選択のサイバー脅威インテリジェンス１１がサブグループ情報２１に存在する場合（Ｓ１３：ＹＥＳ）、サイバー脅威インテリジェンス変換部３０はＳ１１へ処理を戻す。

図６は、検知指標リスト３１を説明する説明図である。図６に示すように、検知指標リスト３１には、「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」、「ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ」、「ＣＣＣ．ＣＣＣ．ＣＣＣ．ＣＣＣ」のようなＩＰアドレスや、ｄｏｍａｉｎ、マルウェアのハッシュ値などの検知指標が重複なく列挙される。なお、検知指標リスト３１のデータ構造は、図示例ではリスト形式としているが、配列形式であってもよく、特に限定しない。

未選択のサイバー脅威インテリジェンス１１が存在しない場合（Ｓ１３：ＮＯ）、サイバー脅威インテリジェンス変換部３０は、検知指標リスト３１から未選択の検知指標を選択し（Ｓ１４）、選択した検知指標の生存状況を示す生存状況データ３２を生成する。具体的には、サイバー脅威インテリジェンス変換部３０は、選択した検知指標がサブグループ情報２１のサイバー脅威インテリジェンス１１に存在するなら生存を示す「１」、存在しないならば生存していないことを示す「０」として、時系列順に「１」／「０」を並べる（Ｓ１５）。

次いで、サイバー脅威インテリジェンス変換部３０は、検知指標リスト３１に未選択の検知指標が存在するか否かを判定し（Ｓ１６）、未選択の検知指標が存在する場合（Ｓ１６：ＹＥＳ）、Ｓ１４へ処理を戻す。未選択の検知指標が存在しない場合（Ｓ１６：ＮＯ）、サイバー脅威インテリジェンス変換部３０は処理を終了する。これにより、サイバー脅威インテリジェンス変換部３０は、検知指標毎の生存状況データ３２を生成する。

図７は、検知指標毎の生存状況データ３２を説明する説明図である。図７に示すように、検知指標毎の生存状況データ３２は、例えば、検知指標毎に、所定の時間間隔における検知指標の生存の有無を表形式で記述したデータである。図７の例では、週間間隔で区切り、各時間間隔のサイバー脅威インテリジェンス１１に「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」が記述されている（生存あり）場合「１」、記述されていない（生存なし）場合「０」としている。なお、時間間隔については、ユーザが任意に設定可能である。

図１に戻り、変換データ選別部４０は、検知指標リスト３１、生存状況データ３２および入力部６０からの即時消滅条件を入力とし、ある程度の生存期間がある生存検知指標と、直ぐに観測されなくなった消滅検知指標とに選別する。変換データ選別部４０は、選別結果を生存検知指標リスト４１と、消滅検知指標リスト４２として出力する。

図８は、選別処理を例示するフローチャートである。図８に示すように、選別処理が開始されると、変換データ選別部４０は、入力された検知指標リスト３１から選別処理を行っていない検知指標を選択する（Ｓ２１）。次いで、変換データ選別部４０は、入力された生存状況データ３２より、選択した検知指標に対応する時系列の生存状況から１の個数（生存期間）をカウントする（Ｓ２２）。

次いで、変換データ選別部４０は、カウントした生存期間が入力部６０より入力された即時消滅条件を満たすか否かを判定する（Ｓ２３）。即時消滅条件は、検知指標が直ぐに観測されなくなったことを評価するため、ユーザが入力部６０より入力して設定する値である。例えば、即時消滅条件には、１日や１週間など、データを変換した際の時間間隔に対応して、検知指標を除外できるような時間間隔を設定する。

即時消滅条件を満たす場合（Ｓ２３：ＹＥＳ）、変換データ選別部４０は、選択した検知指標を消滅検知指標リスト４２に記述する（Ｓ２４）。即時消滅条件を満たさない場合（Ｓ２３：ＮＯ）、変換データ選別部４０は、選択した検知指標を生存検知指標リスト４１に記述する（Ｓ２５）。

例えば、図６の検知指標リスト３１における「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」が即時消滅条件を満たさない場合、「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」は生存検知指標リスト４１に記述される。また、図６の検知指標リスト３１における「ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ」が即時消滅条件を満たす場合、「ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ」は消滅検知指標リスト４２に記述される。

次いで、変換データ選別部４０は、検知指標リスト３１に未選択の検知指標が存在するか否かを判定し（Ｓ２６）、未選択の検知指標が存在する場合（Ｓ２６：ＹＥＳ）、Ｓ２１へ処理を戻す。未選択の検知指標が存在しない場合（Ｓ２６：ＮＯ）、変換データ選別部４０は処理を終了する。

図１に戻り、知識抽出部５０は、生存検知指標リスト４１、検知指標毎の生存状況データ３２および入力部６０からの評価期間・定義条件を入力とし、定義条件を満たした検知指標の生存期間と、時系列の生存状況を出力部７０に出力する。

図９は、知識抽出処理を例示するフローチャートである。図９に示すように知識抽出処理が開始されると、知識抽出部５０は、入力された生存検知指標リスト４１から所定の検知指標を選択する（Ｓ３１）。次いで、知識抽出部５０は、検知指標毎の生存状況データ３２を基に、選択した検知指標の時系列の生存状況に対し、入力した評価期間における生存期間を計算する（Ｓ３２）。

ここで、評価期間は、時系列のある連続した期間を表す。例えば、評価期間は、１ヶ月や半年といった所定の連続した期間がユーザにより入力される。知識抽出部５０は、評価期間内で検知指標がサイバー脅威インテリジェンス１１に記述された期間（生存ありの期間）の合計で生存期間を計算する。

次いで、知識抽出部５０は、計算した生存期間が定義条件を満たすか否かを判定する（Ｓ３３）。定義条件は、生存期間の評価を行うために入力部６０よりユーザが入力する評価条件であり、例えば有用な情報として評価できる最小の生存期間（最小生存期間）などが設定される。

定義条件を満たす場合（Ｓ３３：ＹＥＳ）、知識抽出部５０は、選択した検知指標を、生存期間と、生存状況データ３２における時系列の生存状況とともに出力する（Ｓ３４）。定義条件を満たさない場合（Ｓ３３：ＮＯ）、知識抽出部５０は、Ｓ３４の処理をスキップする。

次いで、知識抽出部５０は、生存検知指標リスト４１に未選択の検知指標が存在するか否かを判定し（Ｓ３５）、未選択の検知指標が存在する場合（Ｓ３５：ＹＥＳ）、Ｓ３１へ処理を戻す。未選択の検知指標が存在しない場合（Ｓ３５：ＮＯ）、知識抽出部５０は処理を終了する。

図１０は、出力されたデータ例を説明する説明図である。図１０に示すように、知識抽出部５０は、定義条件を満たした検知指標毎の生存期間と、時系列の生存状況とを、例えば表形式の出力データ７１として出力する。図示例では、「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」、「ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ」…「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」について、生存期間と、評価期間内における時間間隔ごとの生存状況（「１」または「０」）とが格納されている。

入力部６０は、ファイル入力やキーボードなどによる操作入力をユーザから受け付ける。具体的には、入力部６０は、サイバー脅威インテリジェンス前処理部２０におけるサイバー脅威インテリジェンス１１の抽出条件、知識抽出部５０における評価期間・定義条件（例えば最小生存期間）などの入力を受け付ける。入力部６０は、入力された抽出条件をサイバー脅威インテリジェンス前処理部２０へ出力する。また、入力部６０は、入力された生存期間・定義条件を知識抽出部５０へ出力する。

出力部７０は、知識抽出部５０により出力された評価結果、すなわち、定義条件を満たす検知指標ごとの生存期間、生存状況をファイルやディスプレイなどへ出力する。例えば、出力部７０は、知識抽出部５０により出力された評価結果の表示画面をディスプレイなどへ表示する。これにより、ユーザは、評価結果の内容を確認することができる。

図１１は、検知指標ごとの表示例を説明する説明図である。図１１に示すように、出力部７０は、知識抽出部５０により出力された評価結果、すなわち、定義条件を満たす検知指標ごとの生存期間、生存状況を表示画面７２ａ〜７２ｃに表示する。なお、図１１の表示例では、評価期間を２０１５年１月６日〜２０１６年３月２日、最小生存期間を１２（約３ヶ月）に設定している。

表示画面７２ａには、「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」の生存期間、生存状況が、縦軸を生存の有無（「１」または「０」）、横軸を時間軸として示されている。この表示画面７２ａからは、「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」が、１年以上サイバー脅威インテリジェンス１１で観測されていることが判る。同様に、表示画面７２ｂからは、「ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ」が、評価期間の前半から中盤には観測されなかったが、後半から観測され始めたことが判る。また、表示画面７２ｃからは、「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」が、評価期間の全般にわたり観測されているが、後半からは観測される期間が減っていることが判る。

このように、情報処理装置１では、評価期間と最小生存期間の設定により、様々な知見を得ることが可能である。例えば、最小生存期間を長い期間に設定すれば、半年や１年にわたって観察され続けている検知指標を出力できる。また、評価期間をある特定の期間に設定し、最小生存期間をその期間に近い値に設定すれば、同時期に高頻度で観察された検知指標群を出力できる。別の観点としては、現在は利用されていない検知指標であっても、過去に長く使われた実績があれば再度使われる可能性がある。よって、少し過去に評価期間を設定して、生存期間が長い検知指標に対して、注意を要する検知指標として抽出してもよい。また、ほとんど生存検知指標リストに検知指標が残らない、あるいは、生存検知指標リストの検知指標の生存期間が短い場合には、検知指標のサイクルが短いキャンペーンやマルウェアであると認識し、リアルタイム系の検知指標を共有する仕組みの導入基準として利用してもよい。

以上のように、情報処理装置１のサイバー脅威インテリジェンス前処理部２０は、サイバー脅威インテリジェンスＤＢ１０より複数のサイバー攻撃情報、すなわち複数のサイバー脅威インテリジェンス１１を収集する。次いで、情報処理装置１のサイバー脅威インテリジェンス変換部３０は、収集したサイバー脅威インテリジェンス１１を分析し、複数のサイバー脅威インテリジェンス１１から取得可能なサイバー攻撃の特徴情報、すなわち検知指標が出現する時系列パターンを特定して検知指標リスト３１および生存状況データ３２を出力する。情報処理装置１の知識抽出部５０は、検知指標が出現する時系列パターンを示す生存状況データ３２に基いて、検知指標に対応するサイバー攻撃を評価し、評価結果を出力部７０に出力する。情報処理装置１の出力部７０は、知識抽出部５０により出力された評価結果をファイルやディスプレイなどに出力する。

これにより、ユーザは、検知指標が出現する時系列パターンに基づくサイバー攻撃の評価結果より、例えば、サイバー脅威インテリジェンス１１に記述される検知指標が即に使用されなくなる不要な情報であるか、長期間にわたって使用される有用な情報であるかを容易に区別できる。このように、サイバー脅威インテリジェンス１１に記述される検知指標について、不要な情報または有用な情報を容易に区別できることから、ユーザは、サイバー攻撃を適切に評価することができる。

なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

また、情報処理装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、情報処理装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。

ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１２は、実施形態にかかる情報処理装置１のハードウエア構成の一例を示すブロック図である。

図１２に示すように、情報処理装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、情報処理装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、情報処理装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、情報処理装置１内の各部（１０１〜１０９）は、バス１１０に接続される。

ハードディスク装置１０９には、上記の実施形態で説明した各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local Area Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。

ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、情報処理装置１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。情報処理装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、情報処理装置１がこれらからプログラム１１１を読み出して実行するようにしてもよい。

以上の実施形態に関し、さらに以下の付記を開示する。

（付記１）複数のサイバー攻撃情報を収集し、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報から取得可能なサイバー攻撃の特徴情報が出現する時系列パターンを特定し、
特定した前記特徴情報の時系列パターンに基づいて、前記特徴情報に対応するサイバー攻撃を評価する、
処理をコンピュータに実行させることを特徴とするサイバー攻撃に関する評価プログラム。

（付記２）特定した前記特徴情報の時系列パターンに基いて、所定の期間以上の生存を示す特徴情報を選別する処理をさらにコンピュータに実行させ、
前記評価する処理は、選別した前記特徴情報の時系列パターンに基づいて、前記特徴情報に対応するサイバー攻撃を評価する、
ことを特徴とする付記１に記載のサイバー攻撃に関する評価プログラム。

（付記３）前記評価する処理は、前記時系列パターンが所定の定義条件を満たす特徴情報に対応するサイバー攻撃を評価する、
ことを特徴とする付記１または２に記載のサイバー攻撃に関する評価プログラム。

（付記４）複数のサイバー攻撃情報を収集し、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報から取得可能なサイバー攻撃の特徴情報が出現する時系列パターンを特定し、
特定した前記特徴情報の時系列パターンに基づいて、前記特徴情報に対応するサイバー攻撃を評価する、
処理をコンピュータが実行することを特徴とするサイバー攻撃に関する評価方法。

（付記５）特定した前記特徴情報の時系列パターンに基いて、所定の期間以上の生存を示す特徴情報を選別する処理をさらにコンピュータに実行させ、
前記評価する処理は、選別した前記特徴情報の時系列パターンに基づいて、前記特徴情報に対応するサイバー攻撃を評価する、
ことを特徴とする付記４に記載のサイバー攻撃に関する評価方法。

（付記６）前記評価する処理は、前記時系列パターンが所定の定義条件を満たす特徴情報に対応するサイバー攻撃を評価する、
ことを特徴とする付記４または５に記載のサイバー攻撃に関する評価方法。

（付記７）複数のサイバー攻撃情報を収集する収集部と、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報から取得可能なサイバー攻撃の特徴情報が出現する時系列パターンを特定する特定部と、
特定した前記特徴情報の時系列パターンに基づいて、前記特徴情報に対応するサイバー攻撃を評価する評価部と、
を有することを特徴とする情報処理装置。

（付記８）特定した前記特徴情報の時系列パターンに基いて、所定の期間以上の生存を示す特徴情報を選別する選別部をさらに有し、
前記評価部は、選別した前記特徴情報の時系列パターンに基づいて、前記特徴情報に対応するサイバー攻撃を評価する、
ことを特徴とする付記７に記載の情報処理装置。

（付記９）前記評価部は、前記時系列パターンが所定の定義条件を満たす特徴情報に対応するサイバー攻撃を評価する、
ことを特徴とする付記７または８に記載の情報処理装置。

１…情報処理装置
１０…サイバー脅威インテリジェンスＤＢ
１１…サイバー脅威インテリジェンス
１１ａ〜１１ｆ…領域
２０…サイバー脅威インテリジェンス前処理部
２１…サブグループ情報
３０…サイバー脅威インテリジェンス変換部
３１…検知指標リスト
３２…生存状況データ
４０…変換データ選別部
４１…生存検知指標リスト
４２…消滅検知指標リスト
５０…知識抽出部
６０…入力部
７０…出力部
７１…出力データ
７２ａ〜７２ｃ…表示画面
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ

Claims (5)

1. 複数のサイバー攻撃情報を収集し、
   収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報から取得可能なサイバー攻撃の特徴情報が出現する時系列パターンを特定し、
   特定した前記特徴情報の時系列パターンに基づいて、前記特徴情報に対応するサイバー攻撃を評価する、
   処理をコンピュータに実行させることを特徴とするサイバー攻撃に関する評価プログラム。
2. 特定した前記特徴情報の時系列パターンに基いて、所定の期間以上の生存を示す特徴情報を選別する処理をさらにコンピュータに実行させ、
   前記評価する処理は、選別した前記特徴情報の時系列パターンに基づいて、前記特徴情報に対応するサイバー攻撃を評価する、
   ことを特徴とする請求項１に記載のサイバー攻撃に関する評価プログラム。
3. 前記評価する処理は、前記時系列パターンが所定の定義条件を満たす特徴情報に対応するサイバー攻撃を評価する、
   ことを特徴とする請求項１または２に記載のサイバー攻撃に関する評価プログラム。
4. 複数のサイバー攻撃情報を収集し、
   収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報から取得可能なサイバー攻撃の特徴情報が出現する時系列パターンを特定し、
   特定した前記特徴情報の時系列パターンに基づいて、前記特徴情報に対応するサイバー攻撃を評価する、
   処理をコンピュータが実行することを特徴とするサイバー攻撃に関する評価方法。
5. 複数のサイバー攻撃情報を収集する収集部と、
   収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報から取得可能なサイバー攻撃の特徴情報が出現する時系列パターンを特定する特定部と、
   特定した前記特徴情報の時系列パターンに基づいて、前記特徴情報に対応するサイバー攻撃を評価する評価部と、
   を有することを特徴とする情報処理装置。

Images