JP2019125267A - サイバー脅威評価装置、サイバー脅威評価プログラムおよびサイバー脅威評価方法 - Google Patents

Abstract

【課題】攻撃者の動機、目的、特徴や手口等を整理した攻撃情報であるサイバースレットインテリジェンス（ＣＴＩ）の情報を利用する組織に応じた攻撃情報の重要度を判別する。【解決手段】サイバー脅威評価装置１は、サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるキャンペーン情報３３を取得する第１の取得部１１を有する。サイバー脅威評価装置１は、取得されたキャンペーン情報３３と、サイバー攻撃を防衛する側の組織の組織情報２１との共通性を抽出する共通キーワード抽出部１３を有する。サイバー脅威評価装置１は、抽出された共通性に基づいて、サイバー攻撃の事象についての組織への影響度を算出する脅威度算出部１４を有する。【選択図】図１

Description

本発明は、サイバー脅威評価装置等に関する。

近年のサイバー攻撃は、巧妙且つ高度化している。かかるサイバー攻撃に対して備えるためには、攻撃者の動機、目的、特徴や手口等をより深く理解する必要がある。

サイバー攻撃の分析には、例えば、１つの攻撃パターンを１つのシグネチャとしたシグネチャ分析が知られている。しかしながら、かかるシグネチャ分析に基づく脅威情報のデータ蓄積では、攻撃者に関する情報は得られない。

このため、近年では、セキュリティベンダーが、サイバー攻撃の巧妙且つ高度化に対処するため、サイバースレットインテリジェンス（ＣＴＩ：Cyber Threat Intelligence）の提供や情報共有を展開し始めている。ＣＴＩとは、攻撃者の動機、目的、特徴や手口等を整理した攻撃情報のことをいう。

特開２０１５−１０３０７８号公報 国際公開第２０１５／１１４７９１号 特開２０１５−１９１３９０号公報 特開２００５−２９３２６７号公報

しかしながら、ＣＴＩの処理や分析を各種セキュリティベンダーが進めているが、現状では、ＣＴＩの情報が共有化されたに過ぎず、個々のサイバー攻撃に対して比較する指標がない。すなわち、ＣＴＩの情報を利用する組織側が個々のインテリジェンス（攻撃情報）を比較する材料が提供されていない。したがって、ＣＴＩの情報を利用する組織側は、基本的には、提供される個々のサイバー攻撃のインテリジェンス（攻撃情報）を同じレベルでチェックするしかない。

１つの側面では、組織に応じたインテリジェンス（攻撃情報）の重要度を判別することを目的とする。

１つの案では、サイバー脅威評価装置は、サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるサイバー脅威情報を取得する取得部と、前記取得部によって取得されたサイバー脅威情報と、サイバー攻撃を防衛する側の組織の組織情報との共通性を抽出する抽出部と、前記抽出部によって抽出された共通性に基づいて、前記サイバー攻撃の事象についての前記組織への影響度を算出する算出部と、を有する。

１つの態様によれば、組織に応じたインテリジェンス（攻撃情報）の重要度を判別できる。

図１は、実施例に係るサイバー脅威評価装置の構成を示す機能ブロック図である。 図２は、ＣＴＩ情報を説明する図である。 図３は、実施例に係るキャンペーン情報の一例を示す図である。 図４は、実施例に係る組織情報の一例を示す図である。 図５は、実施例に係る共通キーワード抽出の一例を示す図である。 図６は、実施例に係る共通キーワードの一例を示す図である。 図７は、実施例に係る脅威度算出の一例を示す図である。 図８は、実施例に係るサイバー脅威評価処理のフローチャートの一例を示す図である。 図９は、実施例に係る評価結果の一例を示す図である。 図１０は、実施例に係る評価結果の別の例を示す図である。 図１１は、サイバー脅威評価プログラムを実行するコンピュータの一例を示す図である。

以下に、本願の開示するサイバー脅威評価装置、サイバー脅威評価プログラムおよびサイバー脅威評価方法の実施例を図面に基づいて詳細に説明する。なお、実施例によりこの発明が限定されるものではない。

［サイバー脅威評価装置の構成］
図１は、実施例に係るサイバー脅威評価装置の構成を示すブロック図である。図１に示すサイバー脅威評価装置１は、サイバー攻撃の事象ごとに、サイバースレットインテリジェンス（ＣＴＩ）として提供されるサイバー脅威情報を取得する。そして、サイバー脅威評価装置１は、取得されたサイバー脅威情報と、サイバー攻撃を防衛する側の組織の組織情報２１との共通性を抽出し、この共通性に基づいて、サイバー攻撃の事象について組織に与える影響度を算出する。ここでいうサイバー脅威情報とは、サイバー攻撃の攻撃者の動機、目的、特徴や手口等を整理した攻撃情報を示すサイバースレットインテリジェンス（ＣＴＩ）のことをいう。実施例では、サイバー脅威情報は、複数のサイバー攻撃の事象ごとに生成されるキャンペーン情報を複数含む。また、ここでいう組織情報２１とは、組織固有の拠点情報、活動内容、業種情報等を整理した情報のことをいう。

サイバー脅威評価装置１は、ネットワークを介して、ＣＴＩ提供側装置２から提供されるキャンペーン情報を取得する。

ＣＴＩ提供側装置２は、ＣＴＩ ＤＢ３１、インテリジェンス解析部３２およびキャンペーン情報３３を有する。

ＣＴＩ ＤＢ３１は、サイバースレットインテリジェンス（ＣＴＩ）を記憶する。ＣＴＩは、サイバー攻撃の事象ごとに、サイバー攻撃の攻撃者の動機、目的、特徴や手口等を整理した攻撃情報を示す。

ここで、ＣＴＩ情報について、図２を参照して説明する。図２は、ＣＴＩ情報を説明する図である。図２に示すように、サイバー攻撃がされた場合に、アナリストがサイバー攻撃の攻撃情報を解析し、サイバー脅威情報（ＣＴＩ情報）に加える。ＣＴＩ情報は、ＣＴＩ ＤＢ３１に対応する。ＣＴＩ情報には、複数のキャンペーン情報３３_１，３３_２，・・・，３３_ｎが設定される。各キャンペーン情報３３_１，３３_２，・・・，３３_ｎは、サイバー攻撃の各事象に対するインテリジェンスである。

各キャンペーン情報３３には、それぞれインジケータ部分およびインテリジェンス部分が存在する。インジケータ部分には、例えば、ＩＰアドレス、ドメイン、ファイル名、ハッシュ値が含まれる。インテリジェンス部分には、例えば、攻撃地域、攻撃手口、狙い、動機、業界、アクターが含まれる。

図１に戻って、インテリジェンス解析部３２は、ＣＴＩ ＤＢ３１に記憶されたＣＴＩを解析して、サイバー攻撃の事象ごとにキャンペーン情報３３を生成し、図示しない記憶部に格納する。

キャンペーン情報３３は、サイバー脅威に関する複数の項目それぞれに対する複数のキーワードを含む情報である。キャンペーン情報３３は、サイバー攻撃の事象ごとに生成される。

ここで、キャンペーン情報３３について、図３を参照して説明する。図３は、実施例に係るキャンペーン情報の一例を示す図である。図３に示すように、キャンペーン情報３３は、Ｎｏ３３ａ、項目３３ｂ、キーワード３３ｃおよびキーワード個数３３ｄを対応付けた情報である。Ｎｏ３３ａは、項目を一意に表す識別子である。

項目３３ｂは、ＣＴＩ情報における関連項目である。項目３３ｂには、例えば、マルウェア情報（Malware Family）、攻撃者名（Actor）、攻撃対象情報（Targeted Information）、攻撃先（Target Geography）、攻撃元（Source Geography）、攻撃意図（Motivation）が含まれる。加えて、影響される産業（Affected Industry）、戦術、技術と手順（Tactics，Techniques And Procedures（TTPs））等が含まれる。マルウェア情報（Malware Family）は、対象の事象について、サイバー攻撃した悪意のあるソフトウェアを示すマルウェアを識別する情報である。攻撃者名（Actor）は、対象の事象について、サイバー攻撃者の名称である。攻撃対象情報（Targeted Information）は、対象の事象について、サイバー攻撃の攻撃者がターゲットにしている情報である。攻撃先（Target Geography）は、対象の事象について、サイバー攻撃の攻撃先の地域である。攻撃元（Source Geography）は、対象の事象について、サイバー攻撃の攻撃元の地域である。影響される産業（Affected Industry）は、対象の事象について、サイバー攻撃で影響される産業を示す。戦術、技術と手順（Tactics，Techniques And Procedures（TTPs））は、対象の事象について、サイバー攻撃の戦術、技術と手順を示す。

キーワード３３ｃは、対象の事象について、サイバー攻撃側の項目３３ｂに対するキーワードである。キーワード３３ｃは、項目３３ｂに対して１つであっても良いし、複数であっても良い。キーワード個数３３ｄは、キーワードの個数を示す。

一例として、Ｎｏ３３ａが「１」である場合に、項目３３ｂとして「マルウェア情報」、キーワード３３ｃとして「FOCUSFJORD，WannaCry，Stampado，BlackEnergy，・・・」、キーワード個数３３ｄとして「１０」を記憶している。

図１に戻って、サイバー脅威評価装置１は、制御部１０および記憶部２０を有する。制御部１０は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、これらによって種々の処理を実行する。そして、制御部１０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路の電子回路に対応する。または、制御部１０は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の電子回路に対応する。さらに、制御部１０は、第１の取得部１１、第２の取得部１２、共通キーワード抽出部１３、脅威度算出部１４、脅威度設定部１５および評価部１６を有する。

記憶部２０は、例えばフラッシュメモリ（Flash Memory）やＦＲＡＭ（登録商標）（Ferroelectric Random Access Memory）等の不揮発性の半導体メモリ素子等の記憶装置に対応する。また、記憶部２０は、例えばＲＡＭ（Random Access Memory）等の揮発性の半導体メモリ素子を利用した記憶装置に対応しても良い。この場合、記憶部２０は、不揮発性の半導体メモリ素子等の記憶装置からデータを適宜ロードするようにすれば良い。記憶部２０は、組織情報２１および脅威度付きＣＴＩ ＤＢ（DataBase）２２を含む。

組織情報２１は、組織固有の情報である。組織情報２１は、サイバー脅威に関する複数の項目それぞれに対する組織固有のキーワードを含む情報である。この複数の項目は、ＣＴＩ提供側装置２から提供されるＣＴＩを構成する個々の項目と同じものである。また、組織情報２１には、複数の項目それぞれに重みが対応付けられる。この重みは、組織がサイバー脅威として重要と思われる項目が高くなるように設定される。一例として、重みは、項目のキーワードの数に基づいて設定されても良い。別の例として、重みは、項目の、組織の過去のサイバー攻撃に関する分布を含む情報に基づいて設定されても良い。なお、組織情報２１の一例は、後述する。

ここで、組織情報２１について、図４を参照して説明する。図４は、実施例に係る組織情報の一例を示す図である。図４に示すように、組織情報２１は、Ｎｏ２１ａ、項目２１ｂ、重み２１ｃおよびキーワード２１ｄを対応付けた情報である。Ｎｏ２１ａは、項目を一意に表す番号である。

項目２１ｂは、ＣＴＩ情報における関連項目である。項目２１ｂには、キャンペーン情報３３における項目３３ｂと同じ項目が設定される。すなわち、項目２１ｂには、例えば、マルウェア情報（Malware Family）、攻撃者名（Actor）、攻撃対象情報（Targeted Information）、攻撃先（Target Geography）、攻撃元（Source Geography）、攻撃意図（Motivation）が含まれる。加えて、影響される産業（Affected Industry）、戦術、技術と手順（Tactics，Techniques And Procedures（TTPs））等が含まれる。組織側からのマルウェア情報（Malware Family）は、過去に攻撃を受けたマルウェアを識別する情報である。攻撃者名（Actor）は、これまでにサイバー攻撃を受けた攻撃者の名称である。攻撃対象情報（Targeted Information）は、ターゲットにされる対象情報であり、例えば、事業方針、事業内容、技術トピックス、プレスリリース、最新情報、製品＆サービス情報、イベント情報、ＩＲ情報が含まれる。攻撃先（Target Geography）は、これまでにサイバー攻撃がされた地域であり、例えば、海外拠点・海外グループ会社、拠点情報、国内グループ会社、販売パートナーが含まれる。攻撃元（Source Geography）は、これまでのサイバー攻撃の攻撃元の地域である。影響される産業（Affected Industry）は、これまでのサイバー攻撃で影響した産業を示す。戦術、技術と手順（Tactics，Techniques And Procedures（TTPs））は、これまでのサイバー攻撃の戦術、技術と手順を示す。

重み２１ｃは、組織ごとに設定される項目２１ｂ間の重みであり、組織がサイバー脅威として重要と思われる項目２１ｂが高くなるように設定される。

キーワード２１ｄは、過去に攻撃を受けた組織側の項目２１ｂに対するキーワードである。キーワード２１ｄは、項目２１ｂに対して１つであっても良いし、複数であっても良い。

一例として、Ｎｏ２１ａが「１」である場合に、項目２１ｂとして「マルウェア情報」、重み２１ｃとして「２」、キーワード２１ｄとして「xxx，yyy，WannaCry，・・・」を記憶している。

脅威度付きＣＴＩ ＤＢ２２は、キャンペーン情報３３ごとに脅威度を付加した情報の集まりである。なお、キャンペーン情報３３に付加される脅威度は、後述する脅威度算出部１４によって算出される。

第１の取得部１１は、取得部の一例であり、サイバー攻撃の事象に対するキャンペーン情報３３をＣＴＩ提供側装置２から取得する。

第２の取得部１２は、サイバー攻撃を防衛する側の組織に対応する組織情報２１を記憶部２０から取得する。なお、第２の取得部１２は、組織情報２１を記憶部２０から取得すると説明したが、これに限定されず、組織情報２１を、ネットワークを介して取得しても良い。

共通キーワード抽出部１３は、抽出部の一例であり、第１の取得部１１によって取得されたキャンペーン情報３３と、第２の取得部１２によって取得された組織情報２１との共通するキーワードを抽出する。すなわち、共通キーワード抽出部１３は、キャンペーン情報３３と、組織情報２１との共通性を抽出する。例えば、共通キーワード抽出部１３は、サイバー攻撃の事象に対するキャンペーン情報３３に含まれる、サイバー脅威に関する複数の項目それぞれに対する複数のキーワードを抽出する。共通キーワード抽出部１３は、組織情報２１に含まれるキャンペーン情報３３と同じ複数の項目それぞれに対する複数のキーワードを抽出する。そして、共通キーワード抽出部１３は、項目ごとに、キャンペーン情報３３のキーワードと、組織情報２１のキーワードとを照合し、共通するキーワードを抽出する。なお、共通するキーワードの抽出は、全部一致のみならず、一部一致でも良いし、関連する用語としての一致でも良い。共通するキーワードの抽出は、いかなるキーワード抽出の方法を用いても構わない。

脅威度算出部１４は、算出部の一例であり、共通キーワード抽出部１３によって抽出された共通性に基づいて、サイバー攻撃の事象についての組織への脅威度を算出する。例えば、脅威度算出部１４は、サイバー脅威に関する複数の項目ごとの重みと、共通するキーワードの数とを用いて、サイバー攻撃の事象についての組織への脅威度を算出する。一例として、脅威度算出部１４は、複数の項目ごとに、重みと、共通するキーワードの数とを用いて、脅威度を算出し、複数の項目ごとの脅威度を合算して、サイバー攻撃の事象についての組織への脅威度を算出する。これにより、脅威度算出部１４は、組織によって設定される重みおよび組織と事象との共通性を用いることで、事象ごとの組織への脅威度を算出することができ、組織に応じたサイバー攻撃事象の重要度を判別することができる。なお、脅威度は、影響度の一例である。

脅威度設定部１５は、サイバー攻撃の事象に対応するキャンペーン情報３３に、脅威度を付けて、脅威度付きＣＴＩ ＤＢ２２に設定する。

評価部１６は、分析部の一例であり、脅威度付きＣＴＩ ＤＢ２２を用いて、組織に対して、複数の事象の中でサイバー脅威に関する重要な事象を評価する。例えば、評価部１６は、同じ組織に対して、脅威度が大きい順に事象を並べ替える。評価部１６は、脅威度が大きい事象程、サイバー脅威に関する重要な事象と評価する。

［共通キーワード抽出の一例］
次に、共通キーワード抽出の一例を、図５を参照して説明する。図５は、実施例に係る共通キーワード抽出の一例を示す図である。サイバー攻撃の１つの事象におけるキャンペーン情報を符号３３_１で表わす。また、サイバー攻撃の別の事象におけるキャンペーン情報を符号３３_ｍで表わす。なお、図５では、共通キーワード抽出部１３は、キャンペーン情報３３_１と組織情報２１との同じ項目に対する共通するキーワードを抽出する場合を説明する。図５のそれぞれの項目ｉ１〜ｉ６は、図３で示した複数の項目のうちのいずれかの項目であるとする。

図５に示すように、共通キーワード抽出部１３は、サイバー攻撃の事象におけるキャンペーン情報３３_１に含まれるサイバー脅威に関する複数の項目それぞれに対する複数のキーワードを抽出する。ここでは、項目ｉ１に対するキーワードとして、値ｋ１_１、・・・値ｋ１_１０が抽出される。項目ｉ２に対するキーワードとして、値ｋ２_１、・・・値ｋ２_６が抽出される。項目ｉ３に対するキーワードとして、値ｋ３_１、・・・値ｋ３_３が抽出される。項目ｉ４に対するキーワードとして、値ｋ４_１、・・・値ｋ４_４が抽出される。項目ｉ５に対するキーワードとして、値ｋ５_１、・・・値ｋ５_６が抽出される。項目ｉ６に対するキーワードとして、値ｋ６_１、・・・値ｋ６_５が抽出される。

このような状況の下、共通キーワード抽出部１３は、組織情報２１に含まれるキャンペーン情報３３と同じ複数の項目それぞれに対する複数のキーワードを抽出する。そして、共通キーワード抽出部１３は、項目ごとに、キャンペーン情報３３_１のキーワードと、組織情報２１のキーワードとを照合し、共通するキーワードを抽出する。ここでは、項目ｉ１について、共通キーワードは、何も抽出されない。項目ｉ２について、共通キーワードとして、ｋ２_２およびｋ２_５が抽出される。項目ｉ３について、共通キーワードとして、ｋ３_２が抽出される。項目ｉ４について、共通キーワードとして、ｋ４_２が抽出される。項目ｉ５について、共通キーワードとして、ｋ５_４が抽出される。項目ｉ６について、共通キーワードは、何も抽出されない。

［共通キーワードの一例］
次に、共通キーワードの一例を、図６を参照して説明する。図６は、実施例に係る共通キーワードの一例を示す図である。図６に示すように、項目ごとの共通キーワードＫ０が表わされている。ここでは、例えば、項目が「マルウェア情報」である場合には、共通キーワードが「WannaCry」であることが示されている。項目が「攻撃者名」である場合には、共通キーワードが「Menupass Team」であることが示されている。項目が「攻撃先」である場合には、共通キーワードが「Japan、United Kingdom,Singapore」であることが示されている。項目が「攻撃元」である場合には、共通キーワードが「China」であることが示されている。

［脅威度算出の一例］
次に、脅威度算出の一例を、図７を参照して説明する。図７は、実施例に係る脅威度算出の一例を示す図である。図７で示す表は、例えば、１つのキャンペーン情報３３である「２０１７−１０７９」の、項目に対する項目内個数、値のリストが表わされている。加えて、項目に対する、組織側の重みが表わされている。図７では、１つのキャンペーン情報３３である「２０１７−１０７９」と防衛側のある組織Ａの組織情報２１との脅威度の算出について説明する。

ここで、組織Ａの攻撃先（Target Geography）が示す拠点は、例えば、「Japan，United Kingdom，Singapore，Germany」であるとする。組織Ａの攻撃意図（Motivation）は、例えば、「Financial，banking，Financial Services，Social Engineering，Financial Data」であるとする。すると、共通キーワード抽出部１３は、「２０１７−１０７９」のキャンペーン情報３３と、組織Ａの組織情報２１との項目ごとの共通キーワードを抽出する。図７では、キャンペーン情報３３と組織Ａの組織情報２１との項目ごとの共通キーワードが網掛けで表わされている。

脅威度算出部１４は、共通キーワードが存在する項目ごとに、組織情報２１の重み２１ｃと、共通するキーワードの数とを用いて、組織個別の脅威度を算出する。ここでは、共通キーワードが存在する項目は、攻撃対象情報（Targeted Information）、攻撃先（Target Geography）、攻撃意図（Motivation）、影響される産業（Affected Industry）である。

そして、項目が攻撃対象情報（Targeted Information）である場合に、キャンペーン情報３３側の重みは、項目内個数「４」と共通するキーワードの数「１」とから得られる「１／４」であり、組織情報２１側の重みは、「１」であるとする。すると、脅威度算出部１４は、この項目についての脅威度として、「１×１／４」を算出する。

そして、項目が攻撃先（Target Geography）である場合に、キャンペーン情報３３側の重みは、項目内個数「９」と共通するキーワードの数「１」とから得られる「１／９」であり、組織情報２１側の重みは、「２」であるとする。すると、脅威度算出部１４は、この項目についての脅威度として、「２×１／９」を算出する。

そして、項目が攻撃意図（Motivation）である場合に、キャンペーン情報３３側の重みは、項目内個数「６」と共通するキーワードの数「１」とから得られる「１／６」であり、組織情報２１側の重みは、「１」であるとする。すると、脅威度算出部１４は、この項目についての脅威度として、「１×１／６」を算出する。

そして、項目が影響される産業（Affected Industry）である場合に、キャンペーン情報３３側の重みは、項目内個数が「７」であり、共通するキーワードの数が「１」であるが、共通するキーワードが存在するので「１」であり、組織情報２１側の重みは、「１」であるとする。すると、脅威度算出部１４は、この項目についての脅威度として、「１×１」を算出する。

そして、脅威度算出部１４は、項目ごとの脅威度を加算して、組織個別の脅威度を算出する。脅威度算出結果は、「１／４」と、「２／９」と、「１／６」と、「１」とを加算して得られる「１．６３８８８・・・」と算出される。すなわち、キャンペーン情報３３「２０１７−１０７９」の組織Ａ個別の脅威度は、「１．６３８８８・・・」である。つまり、脅威度算出部１４は、防衛側の組織Ａに特化した、脅威度を提供することができる。

これにより、評価部１６は、項目ごとの、組織個別の重みおよび、キャンペーン側と組織側との共通するキーワードの数を用いることで、サイバー脅威情報（キャンペーン情報３３）の脅威を比較する指標として脅威度を使用することができる。このような脅威度があれば、組織側の管理者が、サイバー脅威情報（キャンペーン情報３３）ごとの脅威度を用いて、複数のサイバー脅威情報の対策についての優先度や順序付けを行うことができ、サイバー脅威に関する対策検討をスムーズに移行できる。

［サイバー脅威評価処理のフローチャート］
次に、実施例に係るサイバー脅威評価処理のフローチャートを、図８を参照して説明する。図８は、実施例に係るサイバー脅威評価処理のフローチャートの一例を示す図である。なお、個々のキャンペーン情報３３は、インテリジェンス解析部３２によって生成されたものとする。

第１の取得部１１は、ＣＴＩ提供側装置２からキャンペーン情報３３を取得する（ステップＳ１１）。そして、第２の取得部１２は、記憶部２０から組織情報２１を取得する（ステップＳ１２）。

そして、共通キーワード抽出部１３は、キャンペーン情報３３の項目欄３３ｂから項目を選択する（ステップＳ１３）。共通キーワード抽出部１３は、キャンペーン情報３３の、選択した項目に対応するキーワードを抽出する（ステップＳ１４）。共通キーワード抽出部１３は、組織情報２１の、選択した項目に対応するキーワードを抽出する（ステップＳ１５）。

そして、共通キーワード抽出部１３は、選択した項目について、キャペーン情報３３のキーワードと、組織情報２１のキーワードとを照合し、共通するキーワードを抽出する（ステップＳ１６）。そして、脅威度算出部１４は、選択した項目について、共通するキーワードの数と、項目内個数と、組織情報２１側の重みとを用いて、選択した項目の重みを算出する（ステップＳ１７）。

そして、脅威度算出部１４は、全ての項目を選択したか否かを判定する（ステップＳ１８）。全ての項目を選択していないと判定した場合には（ステップＳ１８；Ｎｏ）、脅威度算出部１４は、次の項目を選択すべく、ステップＳ１３に移行する。

一方、全ての項目を選択したと判定した場合には（ステップＳ１８；Ｙｅｓ）、脅威度算出部１４は、キャンペーン情報３３における組織への脅威度を算出する（ステップＳ１９）。例えば、脅威度算出部１４は、項目ごとに、算出した重みと、組織情報２１側の重みとを乗算して、項目ごとの脅威度を算出する。そして、脅威度算出部１４は、項目ごとの脅威度を合算して、組織への脅威度を算出する。

そして、脅威度設定部１５は、キャンペーン情報３３に、算出した脅威度を付けて、脅威度付きＣＴＩ ＤＢ２２に保存する（ステップＳ２０）。そして、サイバー脅威評価処理が終了する。

［評価結果の一例］
図９は、実施例に係る評価結果の一例を示す図である。図９では、自組織とサイバー脅威との活動内容レベルでの関連が評価結果として表されている。ここでは、１つの組織情報２１について、キャンペーン情報３３である「２０１７−１６７９」，「２０１７−１０７９」および「２０１７−１７１３」と活動内容レベルで関連する項目に対するキーワードが表わされている。図９では、網掛けの右下がり斜線が１つのキャンペーン情報３３のＩＤを示す。網掛けの網点が１つの項目を示す。網掛けの右左下がり斜線が１つのキーワードを示す。

例えば、活動内容レベルの項目である「Targeted Information（攻撃対象情報）」について、「２０１７−１６７９」および「２０１７−１０７９」は、「Financial Data」で関連している。また、活動内容レベルの項目である「Affected Industries（影響される産業）」について、「２０１７−１６７９」および「２０１７−１０７９」は、「Financial Services」、「Civil Society」で関連している。加えて、活動内容レベルの項目である「Affected Industries（影響される産業）」について、「２０１７−１６７９」、「２０１７−１０７９」および「２０１７−１７１３」は、「Governments」で関連している。また、活動内容レベルの項目である「Motivation（攻撃意図）」について、「２０１７−１６７９」および「２０１７−１７１３」は、「Financial or Economic」で関連している。

このようにして、例えば、評価部１６が、防衛側組織とサイバー脅威との活動内容レベルでの関連を評価結果として表示することで、防衛側組織について、活動内容レベルから、対処をすべきサイバー脅威の順序付けを視覚的に行わせることができる。

［評価結果の別の例］
図１０は、実施例に係る評価結果の別の例を示す図である。図１０では、自組織とサイバー脅威との拠点情報での関連が評価結果として表されている。ここでは、１つの組織情報２１について、キャンペーン情報３３である「２０１７−１６７９」，「２０１７−１０７９」および「２０１７−１７１３」と拠点情報で関連する項目に対するキーワードが表わされている。図１０では、網掛けの右下がり斜線が１つのキャンペーン情報３３のＩＤを示す。網掛けの網点が１つの項目を示す。網掛けの右左下がり斜線が１つのキーワードを示す。

例えば、活動内容レベルの項目である「Targeted Geography（攻撃先）」について、「２０１７−１６７９」，「２０１７−１０７９」および「２０１７−１７１３」は、「United States」，「Germany」で関連している。加えて、活動内容レベルの項目である「Targeted Geography（攻撃先）」について、「２０１７−１０７９」および「２０１７−１７１３」は、「United Kingdom」で関連している。

このようにして、例えば、評価部１６が、防衛側組織とサイバー脅威との拠点情報での関連を評価結果として表示することで、防衛側組織について、拠点情報から、対処をすべきサイバー脅威の順序付けを視覚的に行わせることができる。

［実施例の効果］
上記実施例によれば、サイバー脅威評価装置１は、サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるサイバー脅威情報（キャンペーン情報３３）を取得する。サイバー脅威評価装置１は、取得されたキャンペーン情報３と、サイバー攻撃を防衛する側の組織の組織情報２１との共通性を抽出する。サイバー脅威評価装置１は、抽出された共通性に基づいて、サイバー攻撃の事象についての組織への影響度を算出する。かかる構成によれば、サイバー脅威評価装置１は、サイバー攻撃を防衛する側の組織に応じたサイバー脅威情報の重要度を判別することができる。

また、上記実施例によれば、サイバー脅威評価装置１は、組織について、サイバー攻撃の事象ごとに算出された影響度を用いてサイバー攻撃の重要度を分析する。かかる構成によれば、サイバー脅威評価装置１は、組織に、必要な対策状況の確認や対策検討を迅速に進めさせることができる。

また、上記実施例によれば、サイバー脅威評価装置１は、サイバー攻撃の事象のサイバー脅威に関する複数の項目それぞれに対する複数のキーワードを含むキャンペーン情報３３を取得する。そして、サイバー脅威評価装置１は、複数の項目それぞれに対する組織固有のキーワードを含む組織情報２１を取得し、複数の項目ごとに、キャンペーン情報３３と、組織情報２１との共通するキーワードを抽出する。かかる構成によれば、サイバー脅威評価装置１は、複数の項目ごとのキーワードを用いることで、組織情報２１とキャンペーン情報３３とのキーワードの対応をとることができる。

また、上記実施例によれば、サイバー脅威評価装置１は、複数の項目ごとの、項目間の重みと、共通するキーワードの数とを用いて、サイバー攻撃の事象についての組織への影響度を算出する。かかる構成によれば、サイバー脅威評価装置１は、項目間の重みと、共通するキーワードの数とを用いてサイバー攻撃の事象の組織への影響度を算出することで、組織に特化した影響度を提供できる。

また、上記実施例によれば、重みは、組織ごとに、複数の項目における各項目のキーワードの数および組織の過去のサイバー攻撃に関する分布のいずれか一方または双方を含む情報に基づいて規定される。これにより、サイバー脅威評価装置１は、組織ごとに規定された項目間の重みを用いることで、組織ごとに特化した影響度を提供できる。

［その他］
なお、実施例では、第２の取得部１２は、サイバー攻撃を防衛する側の組織に対応する組織情報２１を記憶部２０から取得すると説明した。しかしながら、組織情報２１は、組織に対応する情報に限定されず、組織が属する業界や業種に対応する情報であっても良い。すなわち、第２の取得部１２は、サイバー攻撃を防衛する側の組織が属する業界や業種に対応する組織情報２１を記憶部２０から取得しても良い。これにより、評価部１６は、業界や業種単位で、個々の防御側組織の脅威度を集計して整理することが可能となり、業界や業種での脅威度を定めることができる。この結果、個々の防衛側の組織が、個別に脅威度を算出することなく、組織が属する業界や業種等のグループでの脅威度を指標とすることができる。

また、実施例では、組織情報２１の重みは、項目の、組織の過去のサイバー攻撃に関する分布を含む情報に基づいて設定されても良いと説明した。ここでは、分布に基づく重みについて説明する。例えば、項目が「Target Geography（攻撃先）」である場合に、攻撃先地域の量をこの項目の重みとして過去の統計量（分布）から算出する。すなわち、サイバー脅威評価装置１は、攻撃先地域について、攻撃先地域の過去の統計量から分布を算出し、算出した分布に応じて段階分類を行い、段階分類を攻撃先地域の量のレベル分けに活用すれば良い。一例として、分布が［０，１］であれば、攻撃先地域の量を１とする。分布が［２，３］であれば、攻撃先地域の量を２とする。分布が［４−５］であれば、攻撃先地域の量を３とする。分布が［６−１５］であれば、攻撃先地域の量を４とする。分布が［１６以上］であれば、攻撃先地域の量を５とする。なお、段階分類は、分布によって変更すれば良く、３段階であっても良いし、５段階であっても良いし、１０段階であっても良い。なお、サイバー脅威評価装置１は、組織の場合だけなく、業界や業種の場合であっても、同様の方法で重みを算出すれば良い。

また、サイバー脅威評価装置１は、既知のパーソナルコンピュータ、ワークステーション等の装置に、上記した共通キーワード抽出部１３、脅威度算出部１４、脅威度設定部１５および評価部１６等の各機能を搭載することによって実現することができる。

また、図示した装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、装置の分散・統合の具体的態様は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、第１の取得部１１と第２の取得部１２とをそれぞれ１個の部として統合しても良い。一方、評価部１６を、脅威度を用いた評価を行う第１の評価部と、脅威度を用いない評価を行う第２の評価部とに分散しても良い。ここでいう脅威度を用いない評価とは、図９、図１０で示した、自組織とサイバー脅威との特定の項目における関連の評価を行うことである。また、記憶部２０をサイバー脅威評価装置１の外部装置としてネットワーク経由で接続するようにしても良い。

また、上記実施例で説明した各種の処理は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーション等のコンピュータで実行することによって実現することができる。そこで、以下では、図１に示したサイバー脅威評価装置１と同様の機能を実現するサイバー脅威評価プログラムを実行するコンピュータの一例を説明する。図１１は、サイバー脅威評価プログラムを実行するコンピュータの一例を示す図である。

図１１に示すように、コンピュータ２００は、各種演算処理を実行するＣＰＵ（Central Processing Unit）２０３と、ユーザからのデータの入力を受け付ける入力装置２１５と、表示装置２０９を制御する表示制御部２０７とを有する。また、コンピュータ２００は、記憶媒体からプログラム等を読取るドライブ装置２１３と、ネットワークを介して他のコンピュータとの間でデータの授受を行う通信制御部２１７とを有する。また、コンピュータ２００は、各種情報を一時記憶するメモリ２０１と、ＨＤＤ（Hard Disk Drive）２０５を有する。そして、メモリ２０１、ＣＰＵ２０３、ＨＤＤ２０５、表示制御部２０７、ドライブ装置２１３、入力装置２１５、通信制御部２１７は、バス２１９で接続されている。

ドライブ装置２１３は、例えばリムーバブルディスク２１１用の装置である。ＨＤＤ２０５は、サイバー脅威評価プログラム２０５ａおよびサイバー脅威評価関連情報２０５ｂを記憶する。

ＣＰＵ２０３は、サイバー脅威評価プログラム２０５ａを読み出して、メモリ２０１に展開し、プロセスとして実行する。かかるプロセスは、サイバー脅威評価装置１の各機能部に対応する。サイバー脅威評価関連情報２０５ｂは、組織情報２１、脅威度付きＣＴＩ ＤＢ２２に対応する。そして、例えばリムーバブルディスク２１１が、サイバー脅威評価プログラム２０５ａ等の各情報を記憶する。

なお、サイバー脅威評価プログラム２０５ａについては、必ずしも最初からＨＤＤ２０５に記憶させておかなくても良い。例えば、コンピュータ２００に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、ＤＶＤ（Digital Versatile Disk）、光磁気ディスク、ＩＣ（Integrated Circuit）カード等の「可搬用の物理媒体」に当該プログラムを記憶させておく。そして、コンピュータ２００がこれらからサイバー脅威評価プログラム２０５ａを読み出して実行するようにしても良い。

１ サイバー脅威評価装置
１０ 制御部
１１ 第１の取得部
１２ 第２の取得部
１３ 共通キーワード抽出部
１４ 脅威度算出部
１５ 脅威度設定部
１６ 評価部
２０ 記憶部
２１ 組織情報
２２ 脅威度付きＣＴＩ ＤＢ

Claims (7)

1. サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるサイバー脅威情報を取得する取得部と、
   前記取得部によって取得されたサイバー脅威情報と、サイバー攻撃を防衛する側の組織の組織情報との共通性を抽出する抽出部と、
   前記抽出部によって抽出された共通性に基づいて、前記サイバー攻撃の事象についての前記組織への影響度を算出する算出部と、
   を有することを特徴とするサイバー脅威評価装置。
2. 前記組織について、前記サイバー攻撃の事象ごとに算出された影響度を用いて前記サイバー攻撃の重要度を分析する分析部
   をさらに有することを特徴とする請求項１に記載のサイバー脅威評価装置。
3. 前記取得部は、前記サイバー攻撃の事象のサイバー脅威に関する複数の項目それぞれに対する複数のキーワードを含む前記サイバー脅威情報を取得し、
   前記抽出部は、前記複数の項目それぞれに対する前記組織の固有のキーワードを含む前記組織情報を取得し、前記複数の項目ごとに、前記サイバー脅威情報と、前記組織情報との共通するキーワードを抽出する
   ことを特徴とする請求項１に記載のサイバー脅威評価装置。
4. 前記算出部は、前記複数の項目ごとの、項目間の重みと、共通するキーワードの数とを用いて、前記サイバー攻撃の事象についての前記組織への影響度を算出する
   ことを特徴とする請求項３に記載のサイバー脅威評価装置。
5. 前記重みは、組織ごとに、前記複数の項目における各項目のキーワードの数および前記組織の過去のサイバー攻撃に関する分布のいずれか一方または双方を含む情報に基づいて規定される
   ことを特徴とする請求項４に記載のサイバー脅威評価装置。
6. サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるサイバー脅威情報を取得し、
   該取得したサイバー脅威情報と、サイバー攻撃を防衛する側の組織の組織情報との共通性を抽出し、
   該抽出した共通性に基づいて、前記サイバー攻撃の事象についての前記組織への影響度を算出する
   処理をコンピュータに実行させることを特徴とするサイバー脅威評価プログラム。
7. サイバー攻撃の事象ごとに、サイバースレットインテリジェンスとして提供されるサイバー脅威情報を取得し、
   該取得したサイバー脅威情報と、サイバー攻撃を防衛する側の組織の組織情報との共通性を抽出し、
   該抽出した共通性に基づいて、前記サイバー攻撃の事象についての前記組織への影響度を算出する
   処理をコンピュータが実行することを特徴とするサイバー脅威評価方法。

Images