JP2019050477A - インシデント分析装置およびその分析方法 - Google Patents

Abstract

【課題】複数の推定される攻撃が見つかっても、推定攻撃を特定できるインシデント分析装置を提供する。【解決手段】ネットワークで接続された複数のノードが通信する制御システムのインシデント分析装置であって、推定攻撃経路と対処回数を対応付けた対処情報テーブルが格納され、ＣＰＵにより実行されるプログラムが格納されたメモリと、を備える。ＣＰＵは、攻撃元ノードと攻撃先ノードの情報を含むアラートを受信し、受信されたアラートの情報に基づいて、攻撃元ノードと攻撃先ノードを含む攻撃経路を特定し、特定された攻撃経路を含む推定攻撃経路を、対処情報テーブルで検索し、検索結果の１以上の推定攻撃経路それぞれと対応付けられた１以上の対処回数を、対処情報テーブルから取得し、取得された１以上の対処回数に基づいて、優先度を設定し、設定された優先度に基づいて、検索結果の１以上の推定攻撃経路の中から推定攻撃経路を選択する。【選択図】図４

Description

本発明は、インシデント分析装置およびその分析方法に関するものである。

近年増加している制御システムを狙ったサイバー攻撃により、工場の生産設備の破壊や操業停止といった被害が発生している。そのため、制御システムに対するセキュリティ対策は信頼性確保の観点から重要視されている。現在、制御システム向けにサイバー攻撃進行前の対策を実施するためのセキュリティ製品がリリースされており、制御システムのネットワークへの不正接続を検知・遮断したり、攻撃の侵入を検知・遮断したりする事が行われている。

一方、サイバー攻撃の高度化により、完全に防御するのは困難となりつつあるため、サイバー攻撃進行前の対策だけではなく、サイバー攻撃進行直後の対策も必要となっている。サイバー攻撃進行直後の対策として、情報システム分野ではサイバー攻撃の初期段階を検知し、発生した大量のログやアラートを収集・分析する技術として、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ）が利用されている。

しかしながら、制御システム内部ではセキュリティ対策が十分になされていない場合が多く、サイバー攻撃の発生から機器の誤作動や破壊までが非常に短時間で行われてしまう可能性がある。そのため、多大なリソースと時間が必要なＳＩＥＭによるログ分析は、サイバー攻撃が発生しても即座に影響が広がらない情報システムでは有効であるが、検知から対処までの迅速性が求められる制御システムには適さない 。

特許文献１には、情報システムに対する標的型攻撃において、ログ分析のＳＩＥＭから発行された警告情報を基に、将来発生が予想される攻撃パターンを攻撃シナリオとして事前定義し、将来になった時点で事前定義された攻撃シナリオと合致するログを特定することで、ログ解析を効率化する技術が開示されている。

特許第５９７２４０１号（国際公開第２０１４／１１２１８５号）

しかしながら、特許文献１に開示の技術では、複数の攻撃シナリオがログと合致した場合の技術までは見当たらず、詳細にログを分析するオペレータが必要になる可能性がある。これに対して、制御システムの現場担当者はセキュリティの専門家ではない可能性が高い。

本発明は、上記の課題を解決するためになされたものであり、複数の推定（予想）される攻撃が見つかっても、推定攻撃を特定できるインシデント分析装置を提供することを一つの目的としている。

上記の目的を達成するために開示するインシデント分析装置は、ネットワークで接続された複数のノードが通信する制御システムのインシデント分析装置であって、ＣＰＵと、推定攻撃経路と対処回数を対応付けた対処情報テーブルが格納され、前記ＣＰＵにより実行されるプログラムが格納されたメモリと、を備え、前記ＣＰＵは、攻撃元ノードと攻撃先ノードの情報を含むアラートを受信し、受信されたアラートの情報に基づいて、攻撃元ノードと攻撃先ノードを含む攻撃経路を特定し、特定された攻撃経路を含む推定攻撃経路を、前記対処情報テーブルで検索し、検索結果の１以上の推定攻撃経路それぞれと対応付けられた１以上の対処回数を、前記対処情報テーブルから取得し、取得された１以上の対処回数に基づいて、優先度を設定し、設定された優先度に基づいて、検索結果の１以上の推定攻撃経路の中から推定攻撃経路を選択することを特徴とする。

本発明によれば、複数の推定される攻撃が見つかっても、推定攻撃を特定できるインシデント分析装置を提供することが可能になる。

実施例１におけるシステムの構成の例を示す図である。 各装置のハードウェア構成の例を示す図である。 実施例１におけるサイバー攻撃対処のシナリオの例を示すシーケンス図である。 実施例１における攻撃経路推定の処理の例を示すフローチャートである。 対処情報テーブルの例を示す図である。 構成情報テーブルの例を示す図である。 監視装置が収集したアラートのデータの例を示す図である。 監視装置の第１の表示画面の例を示す図である。 監視装置の第２の表示画面の例を示す図である。 監視装置の第３の表示画面の例を示す図である。 実施例２におけるシステム構成の例を示す図である。 対処情報生成の処理の例を示すフローチャートである。 実施例３におけるシステム構成の例を示す図である。 実施例３におけるサイバー攻撃対処のシナリオの例を示すシーケンス図である。

以下、本発明の実施形態を、図面に示す実施例を基に説明する。以下の実施例では、制御システム内の装置がＵＳＢメモリ経由でマルウェアに感染し、制御装置を狙ってサイバー攻撃が進行する場合に、攻撃経路を推定し対処を実施する例について説明する。なお、以下の実施例において、対処の実施によってその後のサイバー攻撃の進行が止まったケースを対処成功と定義する。

（システム構成）
図１は実施例１におけるシステム構成の例を示す図である。図１に示すシステムは、監視装置１００、不正接続検知装置１１０、フィルタリング装置１２０、不正侵入検知装置１３０、制御装置１４０、および装置１５０によって構成される。

なお、装置１５０は、装置（Ａ）１５０−１から装置（Ｉ）１５０−９の中の１つを、いずれかを特定することなく表現したものであり、いずれかを特定する場合は、符号に枝番を付けて表記する。ここで「Ａ」から「Ｉ」は装置１５０それぞれの名称である。

また、不正接続検知装置１１０、フィルタリング装置１２０、および不正侵入検知装置１３０の中の１つを、いずれかを特定することなく、検知装置１８０と称し、不正接続検知装置１１０とフィルタリング装置１２０の中の１つを、いずれかを特定することなく、対処先装置１９０と称する。

監視装置１００、不正接続検知装置１１０、フィルタリング装置１２０、および装置（Ａ）１５０−１から装置（Ｄ）１５０−４は、ネットワーク（Ｊ）１６０に接続し、フィルタリング装置１２０、制御装置１４０、および装置（Ｅ）１５０−５から装置（Ｉ）１５０−９はネットワーク（Ｋ）１７０に接続している。ここで「Ｊ」と「Ｋ」はネットワークの名称である。

監視装置１００は、検知装置１８０から取得するアラートを基に今後（アラートを取得して以降）予想されサイバー攻撃の経路を推定（推定経路を特定）し、対処先装置１９０へ対処を指示する装置である。

監視装置１００は、攻撃経路推定部１０１、対処情報表示部１０２、および対処情報更新部１０３の三種類の部（モジュール）と、対処情報テーブル１０４および構成情報テーブル１０５の二種類のテーブルとから構成される。

攻撃経路推定部１０１は、検知装置１８０から取得したアラートを基に対処情報テーブル１０４から合致する対処情報を取得し、攻撃経路を推定するモジュールである。対処情報表示部１０２は、攻撃経路推定部１０１から推定結果を取得し、対処情報と共に画面上に表示するモジュールである。また、対処実施完了の旨を入力する画面も表示する。対処情報更新部１０３は、対処情報表示部１０２から対処実施完了が入力された旨を受け取り、対処情報テーブル１０４に格納された対処回数を更新するモジュールである。

対処情報テーブル１０４は、サイバー攻撃の攻撃経路、対処内容、対処先装置、および対処回数の情報を含む対処情報を格納するテーブルである。構成情報テーブル１０５は、システムを構成する装置のＩＰアドレスと装置名を含むテーブルであり、攻撃経路推定部１０１がアラートと合致する対処情報を対処情報テーブル１０４から取得する際、アラートに含まれる検知装置１８０のＩＰアドレスを装置名に変換するために使用される。

検知装置１８０は、ネットワーク（Ｊ）１６０およびネットワーク（Ｋ）１７０経由でやり取りされる通信内容を基にシステム内の異常を検知し、アラートを生成する装置である。

不正接続検知装置１１０は、ネットワーク（Ｊ）１６０に接続された装置を検疫し、許可されていない装置をネットワーク（Ｊ）１６０から遮断すると共にアラートを生成する装置である。図１の例で不正接続検知装置１１０は、ネットワーク（Ｊ）１６０に接続しているが、ネットワーク（Ｋ）１７０に接続しても良い。

この検疫については、例えばネットワーク（Ｊ）１６０への接続許可リストを不正接続検知装置１１０内に保持し、ある装置がネットワーク（Ｊ）１６０に接続された際に、その装置から発信されるパケットの内容を基に判定を実施しても良い。

フィルタリング装置１２０は、ネットワーク（Ｊ）１６０とネットワーク（Ｋ）１７０との間を行き来し、フィルタリング装置１２０を通過するパケットを判定し、許可されていないパケットを遮断すると共にアラートを生成する装置である。パケットの通過許可の判定は、ファイアウォールなどで実施されるホワイトリストを用いた判定などでも良い。

不正侵入検知装置１３０は、フィルタリング装置１２０と制御装置１４０との間の通信を監視し、不審な挙動を検知するとアラートを生成する装置である。不審な挙動の検知は、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）などで実施されているように、通信の回数や周期性、データサイズやペイロードの内容などを分析して検知しても良い。

なお、不正侵入検知装置１３０は、図１に示すようにフィルタリング装置１２０に接続する形態を取る他、フィルタリング装置１２０のようにネットワーク（Ｊ）１６０とネットワーク（Ｋ）１７０の間に接続する形態を取っても良い。

制御装置１４０は、図示を省略したフィールド機器であって多数接続されたフィールド機器から、フィールド機器の稼動情報やセンシング情報を取得したり、フィールド機器へ動作を指示したりするといったフィードバック制御を実施する装置である。

制御装置１４０は主にＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）などのコントローラを指すが、通信インタフェースを有するセンサ装置や駆動装置などのフィールド機器そのものであっても良い。

装置１５０は、ネットワーク（Ｊ）１６０またはネットワーク（Ｋ）１７０に接続され、他の装置１５０または制御装置１４０との通信を実施する装置である。このため、装置１５０のそれぞれは、ネットワーク（Ｊ）１６０またはネットワーク（Ｋ）１７０の（ネットワーク）ノードである。

装置１５０の例としては、産業用コンピュータやＨＭＩ（Ｈｕｍａｎ Ｍａｃｈｉｎｅ Ｉｎｔｅｒｆａｃｅ）、生産管理サーバ、開発・保守用サーバ、あるいは制御サーバなどの、生産現場などで稼働する装置であっても良い。また、装置１５０の例としては、制御装置１４０を制御するためのデータを加工したり変換したりする装置であってもよい。

この制御するためのデータを加工しあり変換したりするために、データが複数の装置１５０を経由しても良い。例えば、制御するための元となるデータのデータフォーマットが第１の装置１５０で変換され、データフォーマットの変換されたデータに含まれる値が第２の装置１５０で変換されるなどしても良く、複数のデータフォーマットと複数の値がそれぞれ変換されるために、データはさらに多くの装置１５０を経由しても良い。

このようにデータが複数の装置１５０を経由すると、ネットワーク（Ｊ）１６０あるいはネットワーク（Ｋ）１７０にデータの通過する経路が生じる。データの通過する経路は、ネットワーク（Ｊ）１６０とネットワーク（Ｋ）１７０をまたがっても良い。

ネットワーク（Ｊ）１６０とネットワーク（Ｋ）１７０は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）や光ネットワークなどの専用線など、ＴＣＰ／ＩＰの通信を実現するネットワークであっても良い。

ネットワーク（Ｊ）１６０とネットワーク（Ｋ）１７０のそれぞれは、ネットワークスイッチとネットワークケーブル、あるいはそれらの集合であってもよく、ネットワークスイッチは不正接続検知装置１１０から指示に基づきネットワークスイッチのポートを遮断しても良い。

（システムを構成する装置のハードウェア構成）
図２は、システムを構成する各装置のハードウェア構成の例を示す図である。ここでの装置は、監視装置１００、不正接続検知装置１１０、フィルタリング装置１２０、不正侵入検知装置１３０、および装置１５０である。

装置のハードウェアは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０１と、メモリ２０２と、外部記憶部２０３、通信部２０４、表示部２０５、入力部２０６、および外部媒体入出力部２０７の各部（デバイス）と、から構成され、バス２０８によって互いに接続されている。

ＣＰＵ２０１は、メモリ２０２内に格納されたプログラムを実行する。特に、監視装置１００におけるＣＰＵ２０１は、各モジュールに対応するプログラムを実行することにより、攻撃経路推定部１０１、対処情報表示部１０２、対処情報更新部１０３を実現する。

メモリ２０２は、ＣＰＵ２０１により実行されるプログラムとデータが格納される。監視装置１００におけるメモリ２０２は、各モジュールを実現するためのプログラムが格納され、検知装置１８０におけるメモリ２０２は、検知を実現するためのプログラムが格納される。攻撃経路推定部１０１などをハードウェアモジュールとみなし、攻撃経路推定部１０１などを実現するためのプログラムをソフトウェアモジュールとみなしても良い。

外部記憶部２０３は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）などから構成され、データの長期記憶に用いられる。監視装置１００における外部記憶部２０３は、対処情報テーブル１０４と構成情報テーブル１０５が記憶され、検知装置１８０における外部記憶部２０３は、生成したアラートが記憶される。

通信部２０４は、ネットワーク（Ｊ）１６０またはネットワーク（Ｋ）１７０に接続し、ネットワーク（Ｊ）１６０またはネットワーク（Ｋ）１７０を介してパケットを送受信する。表示部２０５は、ＣＰＵ２０１がプログラムを実行した結果として得られた情報を表示する、例えばディスプレイである。

入力部２０６は。操作員が実施した操作内容をＣＰＵ２０１が実行するプログラムへ入力する、例えばマウスとキーボードである。外部媒体入出力部２０７は、メモリ２０２か外部記憶部２０３との間で情報をやりとりする、例えばＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリやフラッシュメモリである。バス２０８は、以上で説明した各部を接続し、各部間の情報のやりとりを実現する。

（サイバー攻撃対処のシナリオ）
図３に、実施例１におけるサイバー攻撃対処のシナリオの例をシーケンス図で示す。図３に示すシーケンスでは、装置（Ａ）１５０−１，装置（Ｂ）１５０−２、あるいは装置（Ｃ）１５０−３への不正アクセスが検知された状態で、攻撃経路推定部１０１が今後予測される攻撃を推定する。

このために、不正アクセスを検知装置１８０が検知してアラートを生成し、このアラートを取得した監視装置１００は、取得したアラートを基に今後予測される攻撃を推定する。そして、監視装置１００は、対処先装置１９０へ対処を指示する。攻撃経路推定部１０１による今後予測される攻撃を推定については、図４を用いて後で説明する。以下では、まずシナリオで使用されるテーブルおよびデータの例を説明する。

（テーブルの構成）
図５に対処情報テーブル１０４の例を示す。対処情報テーブル１０４の各レコードは、攻撃経路５０１、対処内容５０２、対処先装置５０３、および対処回数５０４の各フィールドで構成される。図５の例においては、テーブルの行がレコード、列がフィールドである。

攻撃経路５０１は、サイバー攻撃が経由する装置１５０をその装置１５０の順序で示すフィールドである。図５に示すように、装置１５０の名称が順序付けられて列をなす。既に説明したように、制御装置１４０を制御するためのデータが複数の装置１５０を経由する場合があり、例えば複数の装置１５０を経由するデータをサイバー攻撃に利用されると、そのデータの経路にしたがって、サイバー攻撃が進行する。

また、サイバー攻撃を受けた装置１５０に他の装置１５０のＩＰアドレスがアドレス帳のように格納されていると、サイバー攻撃を受けた装置１５０を起点としてアドレス帳に格納されたＩＰアドレスの装置１５０へサイバー攻撃が進行する可能性もある。

攻撃経路５０１のフィールドは、予め設定されてもよい。予め設定されない場合の例については、実施例２で説明する。予め設定される場合と予め設定されない場合も含めて、攻撃経路５０１のフィールドの情報は、その情報が使用（参照）される時点においては、既に存在していて推定された情報であるので、推定攻撃経路と称しても良い。

対処内容５０２は、攻撃経路５０１で示されたサイバー攻撃に対し、実施する動作を示すフィールドである。対処先装置５０３は、対処内容５０２を実施する装置を示すフィールドである。対処内容５０２と対処先装置５０３のフィールドは、予め設定されてもよく、その設定はサイバー攻撃を初期段階で阻止するインシデント対応が望ましい。

攻撃経路５０１の「Ａ、Ｂ、Ｃ、Ｄ」の場合、サイバー攻撃の最後の行き先が制御装置１４０であるとしても、例えば装置（Ａ）１５０−１から装置（Ｂ）１５０−２へのサイバー攻撃が、制御装置１４０へのサイバー攻撃の予兆（インシデント）であり、この予兆に対してサイバー攻撃の進行を阻止する情報が対処内容５０２と対処先装置５０３のフィールドに設定されることが望ましい。予め設定されない場合の例については、実施例２で説明する。

対処回数５０４は、対処先装置５０３で示される装置に対して、対処内容５０２の動作を実施した回数を示すフィールドである。この回数は、実施回数を示す以外に、対処成功の回数を示しても良い。対処内容５０２の動作を実施した回数がカウントされる期間は予め設定されて良く、図７を用いて後で説明する。

なお、以上のような攻撃経路５０１を用いてサイバー攻撃の推定攻撃経路の処理を行う攻撃経路推定部１０１は、インシデントの分析とみなしても良く、監視装置１００はインシデント分析装置と称しても良い。

図６に構成情報テーブル１０５の例を示す。構成情報テーブル１０５の各レコードは、ＩＰアドレス６０１、装置名６０２、および接続ネットワーク６０３の各フィールドで構成される。ＩＰアドレス６０１は、ネットワーク（Ｊ）１６０またはネットワーク（Ｋ）１７０に接続している装置のＩＰアドレスを示すフィールドである。

装置名６０２は、ＩＰアドレス６０１で示されるＩＰアドレスを有する装置の名称を示すフィールドである。接続ネットワーク６０３は、ＩＰアドレス６０１で示されるＩＰアドレスを有する装置が接続しているネットワーク（名称）を示すフィールドである。図６では、説明を理解しやすくするために、「Ａ」と「Ｊ」などの名称に加えて「装置」と「ネットワーク」も記載している。

フィルタリング装置１２０は、ネットワーク（Ｊ）１６０とネットワーク（Ｋ）１７０のそれぞれに接続しているため、レコード６０８とレコード６１４のように、各ネットワークのＩＰアドレスごとに分けて登録されている。

（データの構成）
図７に監視装置１００が収集したアラートのデータの例を示す。アラートは、アラートの発生時刻を表す「ＴＩＭＥ」、アラートの検知メッセージを表す「ＭＳＧ」、アラートの検知対象となった通信パケットの送信元ＩＰアドレスを表す「ＳＲＣ」と送信先ＩＰアドレスを表す「ＤＳＴ」、およびアラートを検知した検知装置１８０のＩＰアドレスを表す「ＳＩＰ」で構成される。

図７に示した例では、行７０１から行７０５までのアラートが時刻的にまとまって発生し、行７０１より時刻的に前には、行７０７に示すようにアラートが発生しておらず、行７０７より時刻的に前には行７０６のようにアラートが時刻的にまとまって発生している。図７に示した例のようにアラートは発生する場合があるため、対処回数５０４のためにカウントされる期間は行７０６と行７０７を含む期間であることが望ましい。

なお、この期間は、行７０６より時刻的にさらに前の時刻からの期間であっても良い。装置１５０の追加、取り外し、あるいは交換などのシステムの構成が変更された場合は、対処回数５０４のフィールドの値が０回にリセットされても良いし、監視装置１００の外からの設定によりリセットされても良く、リセットされた時刻からの期間が開始されても良い。

期間を説明するために、図７に行７０６と行７０７を示したが、行７０６は削除されて無くても良いし、行７０６は処理済みを示すマークが付けられても良く、これらにより行７０６の検知メッセージなどが複数回処理対象とならないようにしても良い。

図３に説明を戻し、図３で、検知装置１８０は、不正接続検知装置１１０、フィルタリング装置１２０、または不正侵入検知装置１３０であり、対処先装置１９０は、不正接続検知装置１１０またはフィルタリング装置１２０である。

検知装置１８０は、ステップＳ３０４でネットワーク（Ｊ）１６０またはネットワーク（Ｋ）１７０経由でやり取りされる通信の内容を基にシステム内の異常を検知し、ステップＳ３０５で、検知した内容をアラートとして生成する。ステップＳ３０６は、検知装置１８０で生成されたアラートが、監視装置１００へ送信される。

このステップＳ３０４で検知装置１８０は、ネットワーク（Ｊ）１６０への装置の不正接続、許可されていない通信、あるいは、その他数秒間で数百アクセスから数千アクセスといったアクセスを試みるＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）攻撃などの不審な挙動を異常として検知する。

監視装置１００は、ステップＳ３０７で検知装置１８０からのアラートを取得し、ステップＳ３０８で、取得したアラートに基づき、予想されるサイバー攻撃の経路を推定する。ステップＳ３０９で監視装置１００は、推定結果としてサイバー攻撃の経路および対処内容、対処先装置、対処回数といった情報を表示部２０５の画面上に表示する。

ステップＳ３１０は、ステップＳ３０８で推定された対処先装置１９０に対して対処内容が送信されて、対処の実施が指示される。対処実施の指示は、対処先装置の設定変更コマンドを送信するなどであっても良い。監視装置１００は、ステップＳ３１１で送信された対処先装置１９０からの実施結果の応答を受け取り、ステップＳ３１２で対処情報に含まれる対処回数を更新する。

対処先装置１９０は、ステップＳ３１０で指示された対処内容に応じて対処の処理を実行する。ステップＳ３１１の実施結果応答は、ステップＳ３１０の対象実施指示の正常な受信を示す応答、対処先装置１９０の処理の単なる終了を示す応答、あるいは対処先装置１９０の処理が対処成功を示す応答であっても良い。

ここで、ステップＳ３０８で推定した結果は、推定されるサイバー攻撃に対する対処情報を対処情報テーブル１０４から取得したものである。すなわち、ここでの推定は、実際には発生途中の現象を特定し、その特定された現象に基づいた結果であることを意味する。また、ステップＳ３１２の対処回数の更新は、実施結果が対処完了であればステップＳ３０８で取得した対処情報に含まれる対処回数が値１を加算されて更新されても良い。

以上の一連のシナリオにおいて、ステップＳ３０８は攻撃経路推定部１０１が実行し、ステップＳ３０９およびステップＳ３１０は対処情報表示部１０２が実行し、ステップＳ３１２は対処情報更新部１０３が実行する。

図４に、実施例１における攻撃経路推定部１０１の処理の例をフローチャートで示す。図４に示すフローチャートは、図３のステップＳ３０８を詳細に説明するためのものである。ステップＳ４０１で攻撃経路推定部１０１は、取得したアラートから攻撃元情報、攻撃先情報、発生時刻を抽出する。図７におけるアラートの例では、攻撃元情報が「ＳＲＣ」から抽出され、攻撃先情報が「ＤＳＴ」から抽出され、発生時刻が「ＴＩＭＥ」から抽出される。

ステップＳ４０２で攻撃経路推定部１０１は、ステップＳ４０１で抽出された情報に含まれるＩＰアドレスを装置名へ変換する。この変換では、ＩＰアドレスをキーとして構成情報テーブル１０５を検索して、装置名を取得する。

図７に示したアラートの例では、「ＳＲＣ」および「ＤＳＴ」に含まれるＩＰアドレスは「１９２．１６８．０．１」、「１９２．１６８．０．２」、「１９２．１６８．０．３」であり、これらのＩＰアドレスがステップＳ４０２の実行によりそれぞれ装置名へ変換される。

図６に示した構成情報テーブル１０５を参照すると、ＩＰアドレスの「１９２．１６８．０．１」はレコード６０４が検索でヒットするため、「Ａ」（「装置（Ａ）」）の装置名へ変換され、「１９２．１６８．０．２」はレコード６０５がヒットするため「Ｂ」へ変換され、「１９２．１６８．０．３」はレコード６０６がヒットするため「Ｃ」へ変換される。

その結果、図７に示した行７０１、行７０２、および行７０３の攻撃元情報は装置（Ａ）１５０−１となって、攻撃先情報は装置（Ｂ）１５０−２となり、行７０４および行７０５の攻撃元情報は装置（Ｂ）１５０−２となって、攻撃先情報は装置（Ｃ）１５０−３となる。

ステップＳ４０３で攻撃経路推定部１０１は、ステップＳ４０２で変換された情報を基に、アラートの基となったサイバー攻撃が通過した攻撃経路を生成する。ステップＳ４０３は、２つのサブステップにより構成される。第１のサブステップは、攻撃元情報と攻撃先情報の組から重複する組を排除するサブステップである。

第２のサブステップは、攻撃元情報と攻撃先情報の組を発生時刻順に一列に並べ、ある発生時刻の攻撃先情報とその発生時刻の次の発生時刻の攻撃元情報で一致する情報は一つにまとめて、攻撃経路を生成する。

図７に示したアラートの例では、第１のサブステップで、いずれの行も攻撃元情報が装置（Ａ）１５０−１であって攻撃先情報が装置（Ｂ）１５０−２であるため、行７０１と重複する行７０２と行７０３が排除される。また、いずれの行も攻撃元情報は装置（Ｂ）１５０−２であって攻撃先情報は装置（Ｃ）１５０−３であるため、行７０４と重複する行７０５が排除される。

その結果、行７０１の攻撃元情報である装置Ａ１５０−１と攻撃先情報である装置Ｂ１５０−２、および行７０４の攻撃元情報である装置Ｂ１５０−２と攻撃先情報である装置Ｃ１５０−３が得られる。

そして、第２のサブステップで、攻撃元情報と攻撃先情報の組を発生時刻順に一列に並べると、装置（Ａ）１５０−１と装置（Ｂ）１５０−２の組（行７０１の発生時刻が０６：５７）の後に、装置（Ｂ）１５０−２と装置（Ｃ）１５０−３の組（行７０４の発生時刻が７：５５）が並べられるため、装置（Ａ）１５０−１、装置（Ｂ）１５０−２、装置（Ｂ）１５０−２、装置（Ｃ）１５０−３、という列が得られる。

ここで、行７０１の攻撃先情報と行７０４の攻撃元情報が装置（Ｂ）１５０−２で一致するため、一つにまとめられる。その結果、装置（Ａ）１５０−１、装置（Ｂ）１５０−２、装置（Ｃ）１５０−３という列となり、サイバー攻撃で通過した装置の攻撃経路が得られる。

ステップＳ４０４で攻撃経路推定部１０１は、ステップＳ４０３で生成された攻撃経路を含む対処情報について対処情報テーブル１０４を検索する。この検索は、対処情報テーブル１０４の攻撃経路５０１のフィールドに含まれる装置名とその順番が、ステップＳ４０３で生成された攻撃経路の装置名とその順番と一致するレコードの検索である。この一致は、攻撃経路５０１のフィールドに含まれる複数の装置名の一部の一致であっても、その順番が一致すれば良い。

この検索の結果、ヒットする対処情報が存在するか否かを判定する。ヒットする対処情報が存在すると判定した場合は、ステップＳ４０５へ進み、対処情報を取得する。ヒットする対処情報が存在しないと判定した場合は、推定処理を終了する。

ステップＳ４０６で攻撃経路推定部１０１は、ステップＳ４０５で取得した対処情報のそれぞれについて、対処回数および割合が予め設定された閾値を超えたものが存在するか否かを判定する。ここで、割合は、ステップＳ４０５で取得された対処情報の対処回数の合計で、それぞれの対処情報の対処回数を除算した値である。

閾値は攻撃経路推定部１０１の設定情報として予め設定された値であり、この例では対処回数の閾値が１０回、対処割合の閾値が５０％と設定されている。なお、ステップＳ４０６は、対処回数または割合のいずれか一方が予め設定された閾値を超えたものが存在するか否かを判定するステップであっても良いし、対処回数または割合の特定の一方が予め設定された閾値を超えたものが存在するか否かを判定するステップであっても良い。

ステップＳ４０６の判定の結果として閾値を超える対処情報が存在する場合、ステップウＳ４０７で攻撃経路推定部１０１は、閾値を超える対処情報の中で対処回数の最も多い対処情報の優先度を高く設定する。ステップＳ４０８で攻撃経路推定部１０１は、優先度が高い対処情報に含まれる攻撃経路を、今後予想されるサイバー攻撃の経路として推定する。すなわち、推定された今後予想されるサイバー攻撃の経路として設定（選択）する。

一方、閾値を超える対処情報が存在しないと判定した場合、ステップＳ４０９で攻撃経路推定部１０１は、ステップＳ４０５で取得した対処情報が一つであるか否かを判定する。対処情報が一つであると判定した場合、ステップＳ４１０で攻撃経路推定部１０１は、その対処情報に含まれる攻撃経路を今後予想されるサイバー攻撃の経路として推定（設定）し、対処情報が複数存在すると判定した場合は、推定処理を終了する。

図５の例では、ステップＳ４０４において対処情報テーブル１０４が検索され、ステップＳ４０５において、ステップＳ４０３で生成された攻撃経路「Ａ、Ｂ、Ｃ」に合致する対処情報が取得されるため、攻撃経路５０１が「Ａ、Ｂ、Ｃ、Ｅ、Ｆ、Ｇ」のレコード５０５、「Ａ、Ｂ、Ｃ、Ｄ」のレコード５０６、「Ａ、Ｂ、Ｃ、Ｅ、Ｈ、Ｉ」のレコード５０７が、対処情報として取得される。

取得されたレコード５０５〜５０７の対処回数５０４の回数の合計は４９回であり、レコード５０５〜５０７の中で閾値の対処回数１０回と割合５０％を超える対処回数を実施しているものはレコード５０５（２７回、５５％）であるので、ステップＳ４０６において対処情報が存在すると判定される。

図５の例では、レコード５０６〜５０７は対処回数および割合が閾値を超えるものではないため、ステップＳ４０７において、レコード５０５の２７回が最も多い対処回数となり、レコード５０５の優先度が高く設定される。

そして、ステップＳ４０８において、レコード５０５の対処情報に含まれる攻撃経路５０１の「Ａ、Ｂ、Ｃ、Ｅ、Ｆ、Ｇ」が、推定された今後予想されるサイバー攻撃の経路として設定される。なお、推定された今後予想されるサイバー攻撃の経路としては、このような意味合いまたは名称の変数であっても良い。

そして、図３のシーケンス図において、ステップＳ３０８を実行した後、ステップＳ３０９では、レコード５０５の対処情報が表示部２０５の画面上に表示され、ステップＳ３１１で取得された実施結果の応答が対処完了であれば、ステップＳ３１２の対処回数更新においてレコード５０５の対処回数５０４の値が１回加算されて２８回に更新される。

（表示画面）
図８Ａから図８Ｃは、監視装置１００がステップＳ３０９において表示する画面の例を示す図である。図８Ａに示す画面８０１は、ステップＳ４０４にて対処情報が存在すると判定された後、ステップＳ４０６にて閾値を超えていると判定されるか、あるいはステップＳ４０９にて対処情報が一つであると判定された場合の例である。

画面８０１には、ステップＳ４０８またはステップＳ４１０で推定された経路を含む対処情報テーブル１０４のレコードにおける攻撃経路５０１と対処内容５０２と対処先装置５０３のフィールドに含まれる情報が表示される。

図８Ｂに示す画面８０２は、ステップＳ４０４にて対処情報が存在すると判定された後、ステップＳ４０６にて閾値を超えていないと判定され、かつステップＳ４０９にて対処情報は一つではないと判定された場合の例である。このように判定された場合、対処情報テーブル１０４の特定のレコードすなわち対処情報に絞れないため、画面８０２には、ステップＳ４０３で生成された攻撃経路が表示される。

この後、サイバー攻撃が進行するにつれて対処情報テーブル１０４の対処回数５０４の値が増え、ステップＳ４０６にて閾値を超えていると判定されれば、画面８０１が表示される。

図８Ｃに示す画面８０３は、ステップＳ４０４にて対処情報が存在しないと判定された場合の例である。このように判定された場合、対処情報テーブル１０４の特定のレコードすなわち対処情報に絞れないため、画面８０３は、ステップＳ４０３で生成された攻撃経路が表示され、新規のサイバー攻撃が発生している可能性がある旨が表示される。

以上が、実施例１においてサイバー攻撃対処のシナリオを実現するシーケンスの例である。本実施例では、対処情報に含まれる攻撃経路を装置名の列で示したが、構成情報テーブル１０５を用いたステップＳ４０２の変換を実施せず、ＩＰアドレスの列で攻撃経路を表示しても良い。しかしながら、操作員がサイバー攻撃の状況を把握しやすく表示するという観点では、装置名で攻撃経路や対処先装置を表示する方が望ましい。

また、ステップＳ３１０およびステップＳ３１１では監視装置１００が、対処先装置１９０に対して対処実施を指示し、実施結果の応答を受け取っているが、ステップＳ３１０およびステップＳ３１１は無くても良く、操作員が、図８Ａの画面８０１に表示された推定攻撃経路、対象内容、および対処先装置の情報を基に対処の操作をしても良い。

この場合、ステップＳ３１１の代わりに、画面８０１において、監視装置１００へ対策実施完了を指示するためのボタンが配置されても良く、操作員によりこのボタンが操作されたことが検出されてステップＳ３１２が実行され、対処回数が更新されても良い。

更に、画面８０１において、ステップＳ４０５で複数の対処情報が取得された場合の複数の対処情報、あるいはステップ４０６で閾値を超えた対処情報が複数存在すると判定された場合の複数の対処情報が表示され、推定された攻撃経路がレコード５０５である旨も表示されることで、複数の対処を操作員が選択できるようにしても良い。

この場合、対策実施完了を指示するためのボタンに加えて、各対処内容の横にチェックボックスが設けられ、チェックボックスにチェックが入れられてボタンが操作されたことが検出されてステップＳ３１２が実行され、チェックに対応する対処回数が更新されても良い。

本システムが導入直後であり、サイバー攻撃が発生せず対処が行なわれていない場合、事前に本システムに対して脅威分析などのリスクアセスメントが実施されても良い。これにより発生が予想される、もしくは影響が大きく対処が必要とされるサイバー攻撃と侵入経路、対処先装置および対処内容が策定され、対処回数が０回として対処情報テーブル１０４へ事前に登録されても良い。

その後サイバー攻撃が発生した場合、ステップＳ４１０により今後予想されるサイバー攻撃の経路が推定されれば、ステップＳ３１２により０回の対処回数も更新され、ステップＳ４０６で閾値を超えた対象情報が存在すると判定されることも可能である。

また、本実施例では、対象回数および割合が閾値を超えたと判定された場合に優先度が決定されているが、これ以外にも、閾値を設けずに対処回数の多いものから優先度が決定されても良い。

以上で説明したように、制御システムで特徴的な複数の装置１５０を経由するデータがある場合、そのデータを利用したサイバー攻撃に対して、サイバー攻撃の経路の初期段階で、サイバー攻撃の予兆（インシデント）を分析して、分析の時点以降に進行する推定攻撃経路を特定することができ、また対処の実施を指示することができる。

また、サイバー攻撃の経路の初期段階では攻撃経路が短く、複数の経路と合致してしまう場合であっても、優先度にしたがって推定攻撃経路を特定することができる。そして、サイバー攻撃の経路の初期段階で対処の実施を指示することができるため、先回りで早期対処を実現できるとともに、制御装置１４０を最後の行き先とするサイバー攻撃に対しては、制御装置１４０へのサイバー攻撃を事前に対処することが可能になる。

なお、制御システムにおいては、社会サイバー攻撃の対処により制御システム内の通信性能や機器性能に影響を与え、業務効率の低下を招く恐れがある。そのため、現場作業員はサイバー攻撃を受けた時の被害の大きさに加え、対処による業務への影響を考慮した上で、最も対処効果が大きい対処策を実施すると想定される。

このような対処策、すなわち対処内容と対処先装置と対処回数を対処情報テーブル１０４へ反映することにより、最も対処効果が大きくなるような攻撃経路を選定することが可能となる。

（システム構成）
実施例１では対処情報テーブル１０４に対処情報が登録されている例を説明したが、実施例２では対処情報を生成する例を説明する。図９は実施例２におけるシステム構成の例を示す図である。

図９に示すシステムは、監視装置１００に対処情報生成部９０４が追加され、対処情報表示部１０２が対処情報表示部９０２に変更されて、監視装置１００が監視装置９００となった以外は、図１などを用いて説明した構成と同じである。

また、図４に示したフローチャートのステップＳ４０４において、アラートから生成された攻撃経路を含む対処情報が、対処情報テーブル１０４内に存在しないと判定された場合の処理が異なる。これら以外は実施例１の説明と同じであるので、実施例１と同じ説明は省略する。

対処情報生成部９０４は、対処情報テーブル１０４に存在しないサイバー攻撃が発生した場合、動的に攻撃経路および対処内容、対処先装置を含む対処情報を生成し、対処情報テーブル１０４へ登録するものである。

対処情報表示部９０２は、対処情報テーブル１０４に存在しないサイバー攻撃が発生した場合にも、対処情報生成部９０４が生成した対処内容および対処先装置を表示するものである。

（サイバー攻撃対処のシナリオ）
図１０に、対処情報生成部９０４の処理の例をフローチャートで示す。図１０に示すフローチャートは、図４のステップＳ４０４において、アラートから生成された攻撃経路を含む対処情報が対処情報テーブル１０４内に存在しないと判定された場合に実行される処理である。

ステップＳ１００１で対処情報生成部９０４は、構成情報テーブル１０５の接続ネットワーク６０３の情報を取得し、アラートを基にした攻撃元情報と攻撃先情報すなわちステップＳ４０３で生成された攻撃経路が、どのネットワークを経由しているかを判定する。具体的には、攻撃経路が単一ネットワーク内で閉じているか、ネットワークをまたいでいるかを判定する。

その判定の結果、攻撃経路が単一ネットワーク内で閉じていると判定した場合、Ｓ１００２で対処情報生成部９０４は、単一ネットワーク内の対策を実施する不正接続検知装置１１０を対処先装置に決定し、Ｓ１００３で装置隔離を対処内容に決定する。

例えばステップＳ４０３で生成された攻撃経路が、装置（Ａ）１５０−１、装置（Ｄ）１５０−４、装置（Ｂ）１５０−２の順番の場合、単一ネットワーク内に閉じていると判定され、ステップＳ１００２とステップＳ１００３が順次実行されて、装置（Ａ）１５０−１、装置（Ｄ）１５０−４、および装置（Ｂ）１５０−２が隔離されても良い。

一方、攻撃経路がネットワークをまたいでいると判定した場合、ステップＳ１００４で対処情報生成部９０４は、フィルタリング装置１２０を対処先装置に決定する。その後、ステップＳ１００５で対処内容を決定するため、ステップＳ４０３で生成された攻撃経路の最後の攻撃先を基に、対処情報を対処情報テーブル１０４から取得する。

例えば、最初の攻撃元が装置（Ｄ）１５０−４、最後の攻撃先が装置（Ｅ）１５０−５の場合、対処情報生成部９０４は、攻撃経路５０１に「Ｅ」を含み、対処先装置５０３に「フィルタリング装置」を含む対処情報を対処情報テーブル１０４から取得する。そして、ステップＳ１００６で対処情報生成部９０４は、取得した対処情報のうち、対処回数５０４の数が多い対処内容５０２の情報を対処内容に決定する。

ステップＳ１００７で対処情報生成部９０４は、ステップＳ１００２からステップＳ１００６でそれぞれ決定した対処先装置および対処内容と、ステップＳ４０３で生成された攻撃経路を新たな対処情報として、対処情報テーブル１０４へ登録する。

また、その後更にサイバー攻撃が進行してアラートが発生した場合、ステップＳ１００８で対処情報生成部９０４は、進行した攻撃経路をアラートから抽出し、対処情報テーブル１０４を更新する。攻撃経路をアラートから抽出する処理の内容は、ステップＳ４０３で説明したとおりである。

以上が、対処情報生成部９０４が実施する対処情報生成処理の例である。この後、図３に示したステップＳ３０９で対処情報表示部９０２は、対処情報生成部９０４が生成した対処情報を画面に表示する。この場合、推定された今後予想されるサイバー攻撃の経路は存在しないため、表示する画面は図８Ａに示した画面８０１において、今後予想される経路に関する表示を省いたものになる。

以上で説明したように、対処情報テーブル１０４に存在しないサイバー攻撃が発生しても、発生したサイバー攻撃に基づいて、対処の実施を指示できるとともに、対処情報テーブル１０４に対処情報を登録することが可能となる。

（システム構成）
実施例１、２ではアラートから抽出された攻撃経路が１つの例を説明したが、実施例３ではアラートから抽出された攻撃経路が複数の例を説明する。図１１は実施例３におけるシステム構成の例を示す図である。

図１１に示すシステムは、監視装置９００に対処順序決定部１１０５が追加され、対処情報表示部９０２が対処情報表示部１１０２に変更されて、監視装置９００が監視装置１１００になった以外は、図９などを用いて説明した構成と同じである。

また、図３に示したステップＳ３０８、ステップＳ３０９、およびステップＳ３１２の処理が異なる。これら以外は実施例１、２の説明と同じであるので、実施例１、２と同じ説明は省略する。

対処順序決定部１１０５は、複数のサイバー攻撃が発生した場合、対処回数を基にどのサイバー攻撃から順に対処するかを決定するモジュールであり、対処情報表示部１１０２は、複数のサイバー攻撃が発生した場合にも、対処順序決定部１１０５が生成した攻撃経路および対処回数を表示するモジュールである。

（サイバー攻撃対処のシナリオ）
図１２に、実施例３におけるサイバー攻撃対処のシナリオの例をシーケンス図で示す。図１２に示すシーケンスでは、二種類のサイバー攻撃すなわち第１のサイバー攻撃と第２のサイバー攻撃が発生したものとする。これらのサイバー攻撃により異常が検知され、図１２に示したステップＳ３０４、ステップＳ３０５、ステップＳ３０６と進む。

そしてステップＳ３０７において、アラートから第１のサイバー攻撃の攻撃経路として装置（Ａ）１５０−１、装置（Ｂ）１５０−２、装置（Ｃ）１５０−３、装置（Ｅ）１５０−５、装置（Ｆ）１５０−６が取得され、第２のサイバー攻撃の攻撃経路として装置（Ａ）１５０−１、装置（Ｂ）１５０−２、装置（Ｃ）１５０−３、装置（Ｅ）１５０−５、装置（Ｈ）１５０−８が取得されたものとする。

ステップＳ３０８で攻撃経路推定部１０１は、第１のサイバー攻撃に対し推定された攻撃経路としてレコード５０５の「Ａ、Ｂ、Ｃ、Ｅ、Ｆ、Ｇ」が特定され、第２のサイバー攻撃に対し推定された攻撃経路としてレコード５０７の「Ａ、Ｂ、Ｃ、Ｅ、Ｈ、Ｉ」が特定される。

ステップＳ１２１２で対処順序決定部１１０５は、対処回数５０４のフィールドにおけるレコード５０５の「２７回」とレコード５０７の「７回」を取得し、対処回数の多い方の優先度を高くするように、対処優先度を決定する。このため、第１のサイバー攻撃の対処優先度が第２のサイバー攻撃の対処優先度よりも高い優先度に決定される。

ステップＳ１２１２で決定された対処の優先度順に対処情報が画面上に表示される。このために、ステップＳ１２１３で対処情報表示部１１０２は、まだ表示されていない対処情報の中で最も対処優先度の高い対処情報を画面上に表示し、ステップＳ３１０とステップＳ３１１が実行された後、ステップＳ１２１４で、画面上に表示された対処情報の対処回数が更新されて、ステップＳ１２１３に戻り、まだ表示されていない次の対処優先度の対処情報が画面上に表示される。

例えばステップＳ１２１３で第１のサイバー攻撃の対処情報が表示され、処理がステップＳ１２１４まで進んでステップＳ１２１３に戻り、ステップＳ１２１３で第２のサイバー攻撃の対処情報が表示され、処理がステップＳ１２１４まで進むことにより、二種類のサイバー攻撃の対処が実現される。以上が、実施例３においてサイバー攻撃対処のシナリオを実現するシーケンスの例である。

以上で説明したように、アラートから抽出された攻撃経路が複数の場合であっても、複数の攻撃経路のそれぞれに対して対処優先度を設定し、対処優先度にしたがって対処することが可能になる。

１００、９００、１１００・・・監視装置、
１０１・・・攻撃経路推定部、
９０４・・・対処情報生成部、
１１０５・・・対処順序決定部

Claims (15)

1. ネットワークで接続された複数のノードが通信する制御システムのインシデント分析装置であって、
   ＣＰＵと、
   推定攻撃経路と対処回数を対応付けた対処情報テーブルが格納され、前記ＣＰＵにより実行されるプログラムが格納されたメモリと、
   を備え、
   前記ＣＰＵは、
   攻撃元ノードと攻撃先ノードの情報を含むアラートを受信し、
   受信されたアラートの情報に基づいて、攻撃元ノードと攻撃先ノードを含む攻撃経路を特定し、
   特定された攻撃経路を含む推定攻撃経路を、前記対処情報テーブルで検索し、
   検索結果の１以上の推定攻撃経路それぞれと対応付けられた１以上の対処回数を、前記対処情報テーブルから取得し、
   取得された１以上の対処回数に基づいて、優先度を設定し、
   設定された優先度に基づいて、検索結果の１以上の推定攻撃経路の中から推定攻撃経路を選択すること
   を特徴とするインシデント分析装置。
2. 請求項１に記載のインシデント分析装置であって、
   前記ＣＰＵは、
   取得された１以上の対処回数の合計に対する各対処回数の割合を算出し、
   取得された１以上の対処回数のそれぞれ、および算出された割合のそれぞれに基づいて、優先度を設定すること
   を特徴とするインシデント分析装置。
3. 請求項２に記載のインシデント分析装置であって、
   前記ＣＰＵは、
   取得された１以上の対処回数の中の第１の対処回数が第１の閾値を超え、前記第１の対処回数の算出された割合が第２の閾値を超えると判定すると、前記第１の対処回数と対応付けられた推定攻撃経路の優先度を設定すること
   を特徴とするインシデント分析装置。
4. 請求項３に記載のインシデント分析装置であって、
   前記ＣＰＵは、
   特定された攻撃経路を含む複数の推定攻撃経路を検索結果として得て、
   検索結果の複数の推定攻撃経路それぞれと対応付けられた複数の対処回数を、前記対処情報テーブルから取得し、
   取得された複数の対処回数の中の第２の対処回数と前記第１の対処回数が第１の閾値を超え、前記第２の対処回数の算出された割合と前記第１の対処回数の算出された割合が第２の閾値を超えると判定し、前記第１の対処回数が前記第２の対処回数より多いと判定すると、前記第１の対処回数と対応付けられた推定攻撃経路の優先度を、前記第２の対処回数と対応付けられた推定攻撃経路の優先度より高く設定すること
   を特徴とするインシデント分析装置。
5. 請求項４に記載のインシデント分析装置であって、
   前記メモリは、
   推定攻撃経路と対処回数へ対処内容がさらに対応付けられた対処情報テーブルが格納され、
   前記ＣＰＵは、
   優先度が高く設定された推定攻撃経路に対応付けられた対処内容を送信するように制御し、
   送信された対処内容に対する応答を受信するように制御し、
   応答を受信すると、優先度が高く設定された推定攻撃経路に対応付けられた対処回数を増やすこと
   を特徴とするインシデント分析装置。
6. 請求項１に記載のインシデント分析装置であって、
   前記ＣＰＵは、
   選択された推定攻撃経路を表示するように制御すること
   を特徴とするインシデント分析装置。
7. 請求項６に記載のインシデント分析装置であって、
   前記ＣＰＵは、
   特定された攻撃経路を含む１つの推定攻撃経路を検索結果として得て、
   検索結果である１つの推定攻撃経路と対応付けられた１つの対処回数を、前記対処情報テーブルから取得し、
   取得された１つの対処回数が第１の閾値を超えないと判定すると、選択された推定攻撃経路の代わりに、検索結果である１つの推定攻撃経路を表示するように制御すること
   を特徴とするインシデント分析装置。
8. 請求項７に記載のインシデント分析装置であって、
   前記メモリは、
   推定攻撃経路と対処回数へ対処内容がさらに対応付けられた対処情報テーブルが格納され、
   前記ＣＰＵは、
   検索結果である１つの推定攻撃経路に対応付けられた対処内容を送信するように制御し、
   送信された対処内容に対する応答を受信するように制御し、
   応答を受信すると、検索結果である１つの推定攻撃経路に対応付けられた対処回数を増やすこと
   を特徴とするインシデント分析装置。
9. 請求項１に記載のインシデント分析装置であって、
   前記メモリは、
   推定攻撃経路として複数のノードの情報が順番に格納され、
   前記ＣＰＵは、
   受信されたアラートの情報から、第１の攻撃元ノード、第１の攻撃先ノード、第２の攻撃元ノード、および第２の攻撃先ノードの情報を取得し、
   前記第１の攻撃先ノードと前記第２の攻撃元ノードの情報が同じノードである場合、攻撃経路を、前記第１の攻撃元ノード、前記第１の攻撃先ノード、および前記第２の攻撃先ノードの３つのノードのこの順番であると特定し、
   前記第１の攻撃元ノード、前記第１の攻撃先ノード、および前記第２の攻撃先ノードの３つのノードのこの順番が、複数のノードの情報の順番に含まれる推定攻撃経路を、前記対処情報テーブルで検索すること
   を特徴とするインシデント分析装置。
10. 請求項１に記載のインシデント分析装置であって、
    前記メモリは、
    推定攻撃経路として複数のノードの情報が順番に格納され、
    推定攻撃経路と対処回数へ対処内容がさらに対応付けられた対処情報テーブルが格納され、
    前記ＣＰＵは、
    検索結果として、特定された攻撃経路が前記対処情報テーブルの推定攻撃経路に含まれない場合、受信されたアラートに含まれる攻撃先ノードの情報を取得し、取得された攻撃先ノードの情報を含む推定攻撃経路を、前記対処情報テーブルで検索すること
    を特徴とするインシデント分析装置。
11. 請求項１０に記載のインシデント分析装置であって、
    前記ＣＰＵは、
    取得された攻撃先ノードの情報を含む推定攻撃経路を、前記対処情報テーブルで検索した結果の１以上の推定攻撃経路それぞれと対応付けられた１以上の対処回数を、前記対処情報テーブルから取得し、
    取得された１以上の対処回数の中で他の対処回数より多い対処回数に対応付けられた対処内容を選択すること
    を特徴とするインシデント分析装置。
12. 請求項１に記載のインシデント分析装置であって、
    前記ＣＰＵは、
    前記対処情報テーブルから取得された１以上の対処回数に基づいて、対処優先度を設定し、
    設定された対処優先度に基づいて、検索結果の１以上の推定攻撃経路を順番に表示するように制御すること
    を特徴とするインシデント分析装置。
13. 請求項１２に記載のインシデント分析装置であって、
    前記ＣＰＵは、
    取得された１以上の対処回数の中で他の対処回数より多い対処回数に対応付けられた推定攻撃経路の対処優先度を、他の対処回数に対応付けられた推定攻撃経路の対処優先度より高く設定すること
    を特徴とするインシデント分析装置。
14. ネットワークで接続された複数のノードが通信する制御システムのインシデント分析方法であって、
    ＣＰＵと、
    推定攻撃経路と対処回数を対応付けた対処情報テーブルが格納され、前記ＣＰＵにより実行されるプログラムが格納されたメモリと、
    を備えたコンピュータが前記ネットワークに接続され、
    前記ＣＰＵは、
    攻撃元ノードと攻撃先ノードの情報を含むアラートを受信し、
    受信されたアラートの情報に基づいて、攻撃元ノードと攻撃先ノードを含む攻撃経路を特定し、
    特定された攻撃経路を含む推定攻撃経路を、前記対処情報テーブルで検索し、
    検索結果の１以上の推定攻撃経路それぞれと対応付けられた１以上の対処回数を、前記対処情報テーブルから取得し、
    取得された１以上の対処回数に基づいて、優先度を設定し、
    設定された優先度に基づいて、検索結果の１以上の推定攻撃経路の中から推定攻撃経路を選択すること
    を特徴とするインシデント分析方法。
15. 請求項１４に記載のインシデント分析方法であって、
    前記ＣＰＵは、
    取得された１以上の対処回数の合計に対する各対処回数の割合を算出し、
    取得された１以上の対処回数のそれぞれ、および算出された割合のそれぞれに基づいて、優先度を設定すること
    を特徴とするインシデント分析方法。

Images