JP2018196054A - 評価プログラム、評価方法および情報処理装置 - Google Patents

Abstract

【課題】サイバー攻撃の分析を容易に行うことを可能とする。【解決手段】実施形態のサイバー攻撃に関する評価プログラムは、評価する処理と、応答する処理とをコンピュータに実行させる。評価する処理は、複数種類のサイバー攻撃情報を収集して、サイバー攻撃の特徴情報について、サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少を評価する。応答する処理は、サイバー攻撃の特徴情報の指定を受けると、指定されたサイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少の評価結果を応答する。【選択図】図１

Description

本発明の実施形態は、評価プログラム、評価方法および情報処理装置に関する。

近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃については、監視対象である通信装置に対するアクセス履歴を取得し、取得したアクセス履歴に基いてネットワーク攻撃を判断する従来技術が知られている。

また、サイバー攻撃を行う攻撃者は、ターゲットを絞ってより洗練された攻撃を行ってくる。このような洗練されたサイバー攻撃には、他組織が受けたサイバー攻撃の情報を共有し、新たな攻撃へ備えておかないと、対処することが難しい。サイバー攻撃に関する攻撃者や目的、攻撃手法・手口などをセンサーなどが自動的に発行するアラートだけではなく、アナリストの分析も含めレポート等にまとめたサイバー攻撃にかかる情報をサイバー脅威インテリジェンスという。このサイバー脅威インテリジェンスについては、共有を行うための標準化やプラットフォームの構築などが進みつつあり、大量のサイバー脅威インテリジェンスを利用するための基盤が整ってきている。

特開２０１６−１５２５９４号公報 特開２００５−１２８９４６号公報 特開２００７−２０８８６１号公報 特開２００１−１５５０２０号公報

しかしながら、より洗練されたサイバー攻撃に対応するために、サイバー脅威インテリジェンスからサイバー攻撃の分析を行うことは容易なことではない。例えば、単純に１つのサイバー脅威インテリジェンスを見ているだけでは、そのサイバー攻撃で観測された事象が、よく使われている手法により使いまわされているような観測事象であるか否かを区別することは困難である。また、サイバー攻撃は日々発生し、また進化しているため、大量のサイバー脅威インテリジェンスを人間が読んで分析するのは容易ではない。

１つの側面では、サイバー攻撃の分析を容易に行うことを可能とする評価プログラム、評価方法および情報処理装置を提供することを目的とする。

第１の案では、サイバー攻撃に関する評価プログラムは、評価する処理と、応答する処理とをコンピュータに実行させる。評価する処理は、複数種類のサイバー攻撃情報を収集して、サイバー攻撃の特徴情報について、サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少を評価する。応答する処理は、サイバー攻撃の特徴情報の指定を受けると、指定されたサイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少の評価結果を応答する。

１つの側面では、サイバー攻撃の分析を容易に行うことができる。

図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。 図２は、サイバー脅威インテリジェンスを説明する説明図である。 図３は、サイバー脅威インテリジェンスの要素の組み合わせの重み付けを説明する説明図である。 図４は、要素の抽出処理を例示するフローチャートである。 図５は、要素の抽出例を説明する説明図である。 図６は、サブグループの構築処理を例示するフローチャートである。 図７は、要素の評価処理を例示するフローチャートである。 図８は、サブグループに対する要素の組み合わせの重み情報を説明する説明図である。 図９は、重みの計算例を説明する説明図である。 図１０は、要素の評価処理の変形例を示すフローチャートである。 図１１は、重みの計算例を説明する説明図である。 図１２は、実施形態にかかる情報処理装置のハードウエア構成の一例を示すブロック図である。

以下、図面を参照して、実施形態にかかる評価プログラム、評価方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する評価プログラム、評価方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。

図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。実施形態にかかる情報処理装置１は、例えば、ＰＣ（パーソナルコンピュータ）などのコンピュータである。図１に示すように、情報処理装置１は、サイバー脅威インテリジェンス収集部１０、サイバー脅威インテリジェンスＤＢ２０、評価部３０、入力部４０および出力部５０を有する。

サイバー脅威インテリジェンス収集部１０は、インターネットなどを介してアナリストなどが提供している各種のサイバー脅威インテリジェンスを収集し、収集したサイバー脅威インテリジェンスをサイバー脅威インテリジェンスＤＢ２０に格納する。サイバー脅威インテリジェンスＤＢ２０は、サイバー脅威インテリジェンス収集部１０により収集されたサイバー脅威インテリジェンスを格納するデータベースである。

例えば、サイバー脅威インテリジェンス収集部１０は、予め設定されたインターネット上のサイトを巡回（クロール）することで、各種のサイバー脅威インテリジェンスを収集する。次いで、サイバー脅威インテリジェンス収集部１０は、収集したサイバー脅威インテリジェンスを、サイバー脅威インテリジェンスごとに識別情報（例えばＩＤ）や収集時刻などの付加情報を加えた上でサイバー脅威インテリジェンスＤＢ２０に格納する。

図２は、サイバー脅威インテリジェンスを説明する説明図である。図２に示すように、サイバー脅威インテリジェンス１１では、ＳＴＩＸ（Structured Threat Information eXpression）などの形式でサイバー攻撃の情報が記述される。例えば、ＳＴＩＸは、サイバー攻撃活動（Campaigns）、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の８つの情報群から構成される。

すなわち、サイバー脅威インテリジェンス１１は、サイバー攻撃情報の一例である。また、ＳＴＩＸバージョン１．１．１時点では、図２のように、ＸＭＬ（eXtensible Markup Language）形式で記述される。

例えば、「Observables」のタグで囲まれた領域１１ａには、観測されたＩＰやｄｏｍａｉｎマルウェアのハッシュ値などが記述される。「Indicators」のタグで囲まれた領域１１ｂには、サイバー攻撃イベントを特徴づける指標を示す情報が個別に記述される。具体的には、領域１１ｂでは、検知指標のタイプ、検知指標に関連する観測事象、攻撃段階フェーズ、痕跡などから検知指標を作成するために使用したツールと共に、サイバー攻撃を特徴づける指標について記述される。

また、「TTPs」のタグで囲まれた領域１１ｃには、利用された攻撃手法、例えばスパムメールやマルウェア、水飲み場攻撃などが記述される。また、「Exploit_Targets」のタグで囲まれた領域１１ｄには、脆弱性、脆弱性の種類、設定や構成などの視点から、攻撃の対象となりうるソフトウェアやシステムの弱点など、サイバー攻撃イベントにおいて攻撃の対象となる資産の弱点を示す情報が個別に記述される。

また、「Campaigns」のタグで囲まれた領域１１ｅには、一連の攻撃につけられる名前などが記述される。すなわち、領域１１ｅには、サイバー攻撃の種類にかかる情報が記述される。

また、「Threat_Actors」のタグで囲まれた領域１１ｆには、サイバー攻撃の攻撃者のタイプ、攻撃者の同期、攻撃者の熟練度、攻撃者の意図などの視点からサイバー攻撃に寄与している人／組織についての情報が個別に記述される。具体的には、領域１１ｆでは、不正アクセス元（送信元）のＩＰアドレス、またはメールアドレス、ソーシャルネットワークサービスのアカウントの情報が記述される。

このように、サイバー脅威インテリジェンス１１の領域１１ａ〜１１ｆには、サイバー攻撃の観測事象（ＩＰ、ｄｏｍａｉｎ、ハッシュ値等）やＴＴＰ等のサイバー攻撃の特徴を示す情報、すなわちサイバー攻撃の特徴情報が記述される。なお、サイバー脅威インテリジェンス１１を共有するためのソースとしては、ＡｌｉｅｎＶａｕｌｔが提供するフリーで利用可能なＯＴＸ（Open Threat Exchange）やＦｉｒｅＥｙｅが提供するｉＳＩＧＨＴ Ｐａｒｔｎｅｒｓなどが存在する。また、一般に公開されているプラットフォームを利用すれば、サイバー脅威インテリジェンス１１の内容を確認したり、サイバー脅威インテリジェンス１１間の関連を見たりすることも可能である。

評価部３０は、要素抽出部３１、サブグループ構築部３２および要素評価部３３を有する。評価部３０は、サイバー脅威インテリジェンスＤＢ２０を参照し、サイバー攻撃の観測事象（ＩＰ、ｄｏｍａｉｎ、ハッシュ値等）やＴＴＰ等のサイバー攻撃の特徴を示す各要素について、要素が出現するサイバー攻撃の種類（キャンペーンやマルウェア）の多少を評価する。

具体的には、評価部３０は、入力部４０からのユーザ入力により要素の指定を受け付けると、指定された要素が出現するサイバー攻撃の種類の多少の評価結果を出力部５０に出力する。一例として、評価部３０は、キャンペーンやマルウェアなどのサイバー攻撃の種類を示すサブグループごとに、サブグループに対する要素の組み合わせの重み（Ｗ）、すなわち、要素の出現の多少に応じた重み値Ｗ（出現が多いほど重い値とする）を出力する。

ここで、評価部３０の詳細について説明する。図３は、サイバー脅威インテリジェンスの要素の組み合わせの重み付けを説明する説明図である。

要素抽出部３１は、抽出対象とする要素のリストを入力部４０より受け付ける。そして、要素抽出部３１は、図３に示すように、入力されたリストに含まれる抽出対象の要素をサイバー脅威インテリジェンスＤＢ２０より検索して抽出する。次いで、要素抽出部３１は、サイバー脅威インテリジェンスＤＢ２０より抽出された要素の項目を示す要素リスト３１ａを要素評価部３３に出力する。これにより、要素抽出部３１は、入力されたリストに含まれる、サイバー攻撃の観測事象（ＩＰ、ｄｏｍａｉｎ、ハッシュ値等）やＴＴＰ等のサイバー攻撃の特徴を示す各要素を抽出し、要素リスト３１ａを要素評価部３３に出力する。

図４は、要素の抽出処理を例示するフローチャートである。図４に示すように、抽出処理が開始されると、要素抽出部３１は、サイバー脅威インテリジェンスＤＢ２０に格納された各サイバー脅威インテリジェンス１１に出現する観測事象（ＩＰ、ｄｏｍａｉｎ、ハッシュ値等）やＴＴＰ等を要素として抽出する（Ｓ１）。次いで、要素抽出部３１は、抽出した要素を要素リスト３１ａとして格納し（Ｓ２）、要素リスト３１ａを要素評価部３３へ出力する。

例えば、要素抽出部３１は、要素を抽出する際に、図２のようなＳＴＩＸなどの標準規格でサイバー脅威インテリジェンス１１が構造化されている場合には、ＸＭＬパーサなどを利用してパースした後に、入力されたリストに含まれる抽出対象の要素を抽出する。

図５は、要素の抽出例を説明する説明図である。なお、入力されたリストには、抽出対象の要素として観測事象のＩＰ ａｄｄｒｅｓｓの記述があるものとする。

図５に示すように、ＳＴＩＸ形式のサイバー脅威インテリジェンス１１の場合、要素抽出部３１は、パーサによってＸＭＬ形式で記述されたサイバー脅威インテリジェンス１１の内容をパースする。これにより、要素抽出部３１は、「ＡｄｄｒｅｓｓＯｂｊ：Ａｄｄｒｅｓｓ＿Ｖａｌｕｅ」というタグで囲まれた部分から、「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」、「ＹＹＹ．ＹＹＹ．ＹＹＹ．ＹＹＹ」などのＩＰ ａｄｄｒｅｓｓ値を抽出する。次いで、要素抽出部３１は、抽出したＩＰ ａｄｄｒｅｓｓ値を重複のないようにリストにして要素リスト３１ａに記述する。

また、要素抽出部３１は、Ｄｏｍａｉｎの他、ＭＤ５、ＳＨＡ１、ＳＨＡ２５６といったマルウェアのハッシュ値に関してもＩＰ ａｄｄｒｅｓｓ値と同様に抽出し、要素リスト３１ａに格納する。

なお、要素抽出部３１は、サイバー脅威インテリジェンス１１が標準規格などで構造化されておらず、テキストによるレポート形式などである場合は、既存の自然言語処理ツールを用いて抽出対象の要素を抽出する。次いで、要素抽出部３１は、抽出した要素を要素リスト３１ａに格納する。

図３に戻り、サブグループ構築部３２は、キャンペーンやマルウェアなどのサイバー攻撃の種類を示すサブグループとして構築するグループのリストを入力部４０より受け付ける。次いで、サブグループ構築部３２は、図３に示すように、サイバー脅威インテリジェンスＤＢ２０を参照し、受け付けたリストに含まれるサブグループについて、サイバー脅威インテリジェンスＤＢ２０に格納されたサイバー脅威インテリジェンス１１に該当するものを構築する。次いで、サブグループ構築部３２は、構築したサブグループ３２ａ（サブグループ（１）、サブグループ（２）…サブグループ（ｉ））を要素評価部３３に出力する。

図６は、サブグループの構築処理を例示するフローチャートである。図６に示すように、構築処理が開始されると、サブグループ構築部３２は、構築するサブグループのリストに記述されているキャンペーンやマルウェアを１つ選択する。次いで、サブグループ構築部３２は、サイバー脅威インテリジェンスＤＢ２０を参照し、選択したキャンペーン等に関連するサイバー脅威インテリジェンス１１を収集する（Ｓ１１）。

例えばリストから「Ｃａｍｐａｉｇｎ１」を選択したものとする。この場合、サブグループ構築部３２は、サイバー脅威インテリジェンスＤＢ２０を参照し、図５に示すような、「ｃａｍｐａｉｇｎ：Ｔｉｔｌｅ」というタグに囲まれた部分に「Ｃａｍｐａｉｇｎ１」という記述があるサイバー脅威インテリジェンス１１を、条件に合うものとして収集する。

次いで、サブグループ構築部３２は、収集したサイバー脅威インテリジェンス１１をサブグループ３２ａとして格納し（Ｓ１２）、構築するサブグループのリストにおいて未選択のキャンペーン等が存在するか否かを判定する（Ｓ１３）。未選択のキャンペーン等が存在する場合（Ｓ１３：ＹＥＳ）、サブグループ構築部３２は、Ｓ１１へ処理を戻す。未選択のキャンペーン等が存在しない場合（Ｓ１３：ＮＯ）、サブグループ構築部３２は、サブグループ３２ａを要素評価部３３へ出力して処理を終了する。

図３に戻り、要素評価部３３は、要素抽出部３１から出力された要素リスト３１ａおよびサブグループ構築部３２より出力されたサブグループ３２ａを受け付け、サブグループに対する要素の組み合わせの重み（Ｗ）を評価して出力する。

図７は、要素の評価処理を例示するフローチャートである。図７に示すように、評価処理が開始されると、要素評価部３３は、要素リスト３１ａに含まれる要素の中から未選択の要素の組み合わせを生成する（Ｓ２１）。ここでいう要素の組み合わせとは、例えば単独のＩＰであってもよいし、複数のＩＰの組み合わせであってもよい。

次いで、要素評価部３３は、Ｓ２１で生成した要素の組み合わせに対し、その要素の組み合わせが記述されているサイバー脅威インテリジェンス１１を最も多く含むサブグループ３２ａを選択する（Ｓ２２）。例えば、要素評価部３３は、ＳＴＩＸ形式のサイバー脅威インテリジェンス１１においては、パーサなどを用いて要素の組み合わせに該当するタグの値を抽出してマッチング処理を行う。これにより、要素評価部３３は、例えばＩＰの組み合わせがサイバー脅威インテリジェンス１１に含まれるか否かを調べることができる。次いで、要素評価部３３は、要素の組み合わせを含むサイバー脅威インテリジェンス１１数の多いサブグループ３２ａを選択する。

次いで、要素評価部３３は、Ｓ２２で選択したサブグループに対し、その要素の組み合わせが含まれるサイバー脅威インテリジェンス１１の数（Ｎ）をカウントする（Ｓ２３）。次いで、要素評価部３３は、選択したサブグループ以外の全てのサブグループに対し、その要素の組み合わせが含まれるサイバー脅威インテリジェンス１１の数（Ｍ）をカウントする（Ｓ２４）。

次いで、要素評価部３３は、Ｓ２３、Ｓ２４でカウントした値（Ｎ、Ｍ）を用いて、サブグループに対する要素の組み合わせの重み（Ｗ）を計算し、計算結果を出力データとしてメモリなどに格納する（Ｓ２５）。

具体的には、要素評価部３３は、サブグループに対する要素の組み合わせの重み（Ｗ）を、以下の式（１）のように評価（計算）する。
式（１）：重み（Ｗ）＝Ｎ／（Ｎ＋Ｍ）

この式（１）では、限られたサブグループで観測（出現）された観測事象（要素の組み合わせ）のほうが、重みが１に近づく。また、様々なサブグループに出現し、Ｍが大きくなるほど、重み（Ｗ）は１から離れて小さくなっていく。

次いで、要素評価部３３は、要素リスト３１ａに含まれる要素の中から未選択の要素の組み合わせが存在するか否かを判定する（Ｓ２６）。存在する場合（Ｓ２６：ＹＥＳ）、要素評価部３３は、Ｓ２１へ処理を戻す。存在しない場合（Ｓ２６：ＮＯ）、要素評価部３３は、処理を終了する。

図８は、サブグループに対する要素の組み合わせの重み情報を説明する説明図である。上記の評価処理を要素評価部３３が行うことで、図８に示すような、サブグループごとの、サブグループに対する要素の組み合わせの重み（Ｗ）を計算した出力データ３４がメモリなどに格納され、出力部５０へ渡される。

図１に戻り、入力部４０は、ファイル入力やキーボードなどによる操作入力をユーザから受け付ける。具体的には、入力部４０は、要素抽出部３１が抽出する要素の項目リストや、サブグループ構築部３２が構築するキャンペーンやマルウェアなどのサブグループのリストの入力を受け付ける。入力部４０は、入力された要素の項目リストを要素抽出部３１へ出力する。また、入力部４０は、入力されたサブグループのリストをサブグループ構築部３２へ出力する。

出力部５０は、評価部３０により出力された評価結果、すなわち、サブグループに対する要素の組み合わせの重み（Ｗ）を計算した出力データ３４をファイルやディスプレイなどへ出力する。例えば、出力部５０は、評価部３０により出力された評価結果の表示画面をディスプレイなどへ表示する。これにより、ユーザは、評価結果の内容を確認することができる。

図９は、重みの計算例を説明する説明図である。図９に示すように、ケースＣ１では、「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」のＩＰが記述されたサイバー脅威インテリジェンス１１がＤＧＡ（Domain Generation Algorithm）関連で５件、ＤＧＡ以外で６件カウントされている。この場合、重み（Ｗ）は、式（１）により、５／（５＋６）＝０．４５５となる。

また、ケースＣ２では、「ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ」のＩＰが記述されたサイバー脅威インテリジェンス１１がＫｅｌｉｈｏｓ関連で３８件カウントされ、Ｋｅｌｉｈｏｓ以外ではカウントされなかった。この場合、重み（Ｗ）は、式（１）により、３８／（３８＋０）＝１．０００となる。

このように、本実施形態では、限られたサブグループで観測された観測事象の方が、重みが１に近づき、様々なサブグループに出現する観測事象の方が、重みが１から離れて小さくなっていく。よって、ユーザは、重み値を確認することで、サイバー攻撃で観測された事象が、よく使われている手法により使いまわされているような観測事象であるか否かを区別することができる。

（変形例）
なお、重み付けについては、上記の方法に限定されるものではなく、ＴＦ−ＩＤＦのような指標を用いてもよい。しかしながら、サイバー脅威インテリジェンス１１では（ＳＴＩＸ形式などで構造化されている場合は特に）、文書の中の重要なキーワードのように、各要素が同じ文書で繰り返し出現されることは少ない。例えば、１つのサイバー脅威インテリジェンス１１には、１つの要素が登録される。したがって、ＴＦ−ＩＤＦのような指標ではそもそも頻度が低くて評価が高くならない要素も、上記の方法では重みを高く評価できる場合がある。

上記のような観点に基づく、要素の評価処理の変形例を説明する。図１０は、要素の評価処理の変形例を示すフローチャートである。

図１０に示すように、評価処理が開始されると、要素評価部３３は、要素リスト３１ａに含まれる要素の中から未選択の要素の組み合わせを生成する（Ｓ３１）。次いで、要素評価部３３は、各サブグループ３２ａに対し、その要素の組み合わせが含まれるサイバー脅威インテリジェンス１１が存在するか否かを確認する（Ｓ３２）。

次いで、要素評価部３３は、要素の組み合わせが含まれるサブグループの数（Ｓ）をもとに要素の組み合わせの重みを計算し、計算結果を出力データ３４としてメモリなどに格納する（Ｓ３３）。

具体的には、要素評価部３３は、要素評価部３３は、重み（Ｗ）を、以下の式（２）のように評価（計算）する。
式（２）：重み（Ｗ）＝１／Ｓ

次いで、要素評価部３３は、要素リスト３１ａに含まれる要素の中から未選択の要素の組み合わせが存在するか否かを判定する（Ｓ３４）。存在する場合（Ｓ３４：ＹＥＳ）、要素評価部３３は、Ｓ３１へ処理を戻す。存在しない場合（Ｓ３４：ＮＯ）、要素評価部３３は、処理を終了する。

図１１は、重みの計算例を説明する説明図である。図１１に示すように、例えば、ケースＣ３におけるＩＰ「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」は、「Ｋｅｌｉｈｏｓ」のサブグループに含まれ、他のサブグループには含まれない。よって、ＩＰ「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」における重みは１．０００となる。

これに対し、ケースＣ４におけるＩＰ「YＹＹＹ．ＹＹＹ．ＹＹＹ．ＹＹＹ」は、３種類のサブグループに含まれるため、重みは１／３＝０．３３３と評価する。また、ケースＣ５におけるＩＰ「ＺＺＺ．ＺＺＺ．ＺＺＺ．ＺＺＺ」のように、より多くのサブグループに含まれる要素ほど重みが低くなる。よって、ユーザは、変形例のように算出された重み値を確認することで、サイバー攻撃の特徴情報（要素）が観測されたサイバー攻撃の種類の数を把握することができる。

以上のように、情報処理装置１のサイバー脅威インテリジェンス収集部１０は、インターネット等よりサイバー脅威インテリジェンス１１を収集してサイバー脅威インテリジェンスＤＢ２０に格納する。情報処理装置１の評価部３０は、サイバー脅威インテリジェンスＤＢ２０を参照し、サイバー攻撃の特徴情報について、サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少を評価する。また、評価部３０は、入力部４０よりサイバー攻撃の特徴情報の指定を受けると、指定されたサイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少の評価結果を応答する。情報処理装置１の出力部５０は、評価部３０により応答された評価結果をファイルやディスプレイなどに出力する。

これにより、ユーザは、例えば、サイバー攻撃で観測された事象が、よく使われている手法により使いまわされているような観測事象であるか否かを区別することができ、サイバー攻撃の分析を容易に行うことができる。

また、情報処理装置１は、評価結果の応答の際に、指定されたサイバー攻撃の特徴情報が出現するサイバー攻撃の種類をあわせて応答する。例えば、図９の例では、「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」、「ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ」などのサイバー攻撃の特徴を示すＩＰとともに、「ＤＧＡ関連」、「ｋｅｌｉｈｏｓ関連」などのサイバー攻撃の種類に対応するサブグループも合わせて出力されている。これにより、ユーザは、サイバー攻撃の特徴情報と、その特徴情報が出現するサイバー攻撃の種類との関係を容易に確認することができる。

また、情報処理装置１は、サイバー攻撃の種類ごとの、指定されたサイバー攻撃の特徴情報が出現する度合いを示す重み値を応答する。例えば、図１１のケースＣ４では、「ＤＧＡ」、「Ａｎｇｌｅｒ」、「Ｐｏｎｙ」などのサイバー攻撃の種類に対応するサブグループごとに、サイバー攻撃の特徴を示す「ＹＹＹ．ＹＹＹ．ＹＹＹ．ＹＹＹ」などのＩＰの出現度合いを示す重みが出力されている。これにより、ユーザは、サイバー攻撃の種類ごとの、サイバー攻撃の特徴情報が出現する度合いを容易に確認することができる。

なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

また、情報処理装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、情報処理装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。

ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１２は、実施形態にかかる情報処理装置１のハードウエア構成の一例を示すブロック図である。

図１２に示すように、情報処理装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、情報処理装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、情報処理装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、情報処理装置１内の各部（１０１〜１０９）は、バス１１０に接続される。

ハードディスク装置１０９には、上記の実施形態で説明した各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local Area Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。

ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、情報処理装置１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。情報処理装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、情報処理装置１がこれらからプログラム１１１を読み出して実行するようにしてもよい。

以上の実施形態に関し、さらに以下の付記を開示する。

（付記１）複数種類のサイバー攻撃情報を収集して、サイバー攻撃の特徴情報について、該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少を評価し、
サイバー攻撃の特徴情報の指定を受けると、指定された該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少の評価結果を応答する、
処理をコンピュータに実行させることを特徴とするサイバー攻撃に関する評価プログラム。

（付記２）前記評価結果の応答の際に、指定された前記サイバー攻撃の特徴情報が出現するサイバー攻撃の種類をあわせて応答する、
ことを特徴とする付記１記載のサイバー攻撃に関する評価プログラム。

（付記３）前記応答する処理は、前記サイバー攻撃の種類ごとの、指定された該サイバー攻撃の特徴情報が出現する度合いを示す重み値を応答する、
ことを特徴とする付記１または２に記載のサイバー攻撃に関する評価プログラム。

（付記４）前記応答する処理は、前記サイバー攻撃の特徴情報の組み合わせの指定を受け付けると、指定された該サイバー攻撃の特徴情報の組み合わせが出現するサイバー攻撃の種類の多少の評価結果を応答する、
ことを特徴とする付記１乃至３のいずれか一に記載のサイバー攻撃に関する評価プログラム。

（付記５）複数種類のサイバー攻撃情報を収集して、サイバー攻撃の特徴情報について、該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少を評価し、
サイバー攻撃の特徴情報の指定を受けると、指定された該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少の評価結果を応答する、
処理をコンピュータが実行することを特徴とするサイバー攻撃に関する評価方法。

（付記６）前記評価結果の応答の際に、指定された前記サイバー攻撃の特徴情報が出現するサイバー攻撃の種類をあわせて応答する、
ことを特徴とする付記５記載のサイバー攻撃に関する評価方法。

（付記７）前記応答する処理は、前記サイバー攻撃の種類ごとの、指定された該サイバー攻撃の特徴情報が出現する度合いを示す重み値を応答する、
ことを特徴とする付記５または６に記載のサイバー攻撃に関する評価方法。

（付記８）前記応答する処理は、前記サイバー攻撃の特徴情報の組み合わせの指定を受け付けると、指定された該サイバー攻撃の特徴情報の組み合わせが出現するサイバー攻撃の種類の多少の評価結果を応答する、
ことを特徴とする付記５乃至７のいずれか一に記載のサイバー攻撃に関する評価方法。

（付記９）複数種類のサイバー攻撃情報を収集して、サイバー攻撃の特徴情報について、該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少を評価する評価部と、
サイバー攻撃の特徴情報の指定を受けると、指定された該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少の評価結果を出力する出力部と、
を有することを特徴とする情報処理装置。

（付記１０）前記出力部は、指定された前記サイバー攻撃の特徴情報が出現するサイバー攻撃の種類をあわせて出力する、
ことを特徴とする付記９記載の情報処理装置。

（付記１１）前記出力部は、前記サイバー攻撃の種類ごとの、指定された該サイバー攻撃の特徴情報が出現する度合いを示す重み値を出力する、
ことを特徴とする付記９または１０に記載の情報処理装置。

（付記１２）前記出力部は、前記サイバー攻撃の特徴情報の組み合わせの指定を受け付けると、指定された該サイバー攻撃の特徴情報の組み合わせが出現するサイバー攻撃の種類の多少の評価結果を出力する、
ことを特徴とする付記９乃至１１のいずれか一に記載の情報処理装置。

１…情報処理装置
１０…サイバー脅威インテリジェンス収集部
１１…サイバー脅威インテリジェンス
１１ａ〜１１ｆ…領域
２０…サイバー脅威インテリジェンスＤＢ
３０…評価部
３１…要素抽出部
３１ａ…要素リスト
３２…サブグループ構築部
３２ａ…サブグループ
３３…要素評価部
３４…出力データ
４０…入力部
５０…出力部
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ
Ｃ１〜Ｃ５…ケース

Claims (6)

1. 複数種類のサイバー攻撃情報を収集して、サイバー攻撃の特徴情報について、該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少を評価し、
   サイバー攻撃の特徴情報の指定を受けると、指定された該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少の評価結果を応答する、
   処理をコンピュータに実行させることを特徴とするサイバー攻撃に関する評価プログラム。
2. 前記評価結果の応答の際に、指定された前記サイバー攻撃の特徴情報が出現するサイバー攻撃の種類をあわせて応答する、
   ことを特徴とする請求項１記載のサイバー攻撃に関する評価プログラム。
3. 前記応答する処理は、前記サイバー攻撃の種類ごとの、指定された該サイバー攻撃の特徴情報が出現する度合いを示す重み値を応答する、
   ことを特徴とする請求項１または２に記載のサイバー攻撃に関する評価プログラム。
4. 前記応答する処理は、前記サイバー攻撃の特徴情報の組み合わせの指定を受け付けると、指定された該サイバー攻撃の特徴情報の組み合わせが出現するサイバー攻撃の種類の多少の評価結果を応答する、
   ことを特徴とする請求項１乃至３のいずれか一項に記載のサイバー攻撃に関する評価プログラム。
5. 複数種類のサイバー攻撃情報を収集して、サイバー攻撃の特徴情報について、該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少を評価し、
   サイバー攻撃の特徴情報の指定を受けると、指定された該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少の評価結果を応答する、
   処理をコンピュータが実行することを特徴とするサイバー攻撃に関する評価方法。
6. 複数種類のサイバー攻撃情報を収集して、サイバー攻撃の特徴情報について、該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少を評価する評価部と、
   サイバー攻撃の特徴情報の指定を受けると、指定された該サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少の評価結果を出力する出力部と、
   を有することを特徴とする情報処理装置。

Images