JP2019129337A - セキュリティ装置、セキュリティプログラム及びセキュリティ方法 - Google Patents

Abstract

【課題】検知指標を重要度に応じて管理することを目的とする。【解決手段】監視対象データベースに登録された検知指標を用いてネットワークにおける通信を監視するセキュリティ装置であって、サイバー攻撃の危険度を示す危険度情報を記憶した危険度データベースを参照して、前記検知指標の警戒期間を設定する警戒期間設定部と、前記検知指標と前記警戒期間とを前記監視対象データベースに登録する登録部と、前記警戒期間を過ぎた前記検知指標を前記監視対象データベースから削除する削除部と、を有するセキュリティ装置が提供される。【選択図】図６

Description

本発明は、セキュリティ装置、セキュリティプログラム及びセキュリティ方法に関する。

ＣＴＩ（Cyber Threat Intelligence、脅威インテリジェンス）を用いたサイバー攻撃対策システムが知られている（例えば、特許文献１参照）。ＣＴＩは、サイバー攻撃に使われたＩＰアドレスやマルウェアのハッシュ値といったIndicatorに加え、攻撃者の手口、攻撃の対象となるシステム・資産・地域・業界のような攻撃者情報をまとめたものである。Indicatorは、サイバー攻撃を検知するための検知指標の一例である。

特許文献１では、サイバー攻撃を検知するための定義情報と有効期限日の組を定義情報データベースに登録しておく。ネットワークにおける通信を監視する際、定義情報データベースに登録された定義情報に基づき、サイバー攻撃に関わる情報を検知する。特許文献１では、一定の有効期限日が過ぎた定義情報は、定義情報データベースから削除され、サイバー攻撃の監視対象から除外される。

特開２０１７−１１７２２４号公報 特開２００６−３３３６０号公報

しかしながら、サイバー攻撃には、危険度の高い攻撃と危険度の低い攻撃が存在する。よって、危険度の高い攻撃に対しては十分な期間警戒を行い、危険度の低い攻撃に対しては警戒期間を短くして余分な監視処理を省くことが望まれる。

そこで、１つの側面では、本発明は、検知指標を重要度に応じて管理することを目的とする。

１つの実施態様では、監視対象データベースに登録された検知指標を用いてネットワークにおける通信を監視するセキュリティ装置であって、サイバー攻撃の危険度を示す危険度情報を記憶した危険度データベースを参照して、前記検知指標の警戒期間を設定する警戒期間設定部と、前記検知指標と前記警戒期間とを前記監視対象データベースに登録する登録部と、前記警戒期間を過ぎた前記検知指標を前記監視対象データベースから削除する削除部と、を有するセキュリティ装置が提供される。

１つの側面では、本発明は、検知指標を重要度に応じて管理することができる。

従来のサイバー攻撃対策システムの一例を示す図。 一実施形態に係るサイバー攻撃対策システムの一例を示す図。 一実施形態に係るセキュリティ装置のハードウェア構成の一例を示す図。 一実施形態に係るセキュリティ装置の機能構成の一例を示す図。 一実施形態に係るＣＴＩの一例を示す図。 一実施形態に係る警戒期間の算出の一例を示す図。 一実施形態に係る警戒期間の設定処理の一例を示すフローチャート。 一実施形態に係る警戒期間の設定を説明するための図。 一実施形態に係る警戒期間の削除処理の一例を示すフローチャート。 一実施形態に係るネットワーク通信の監視処理の一例を示すフローチャート。

以下、本発明の実施形態について添付の図面を参照しながら説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複した説明を省く。

［従来のサイバー攻撃対策システム］
図１に従来のサイバー攻撃対策システム１の一例を示す。従来のサイバー攻撃対策システム１は、ネットワーク３における通信にて発生するサイバー攻撃を監視する。サイバー攻撃対策システム１は、セキュリティ装置２を有する。セキュリティ装置２は、ＣＴＩ（Cyber Threat Intelligence）から得られるIndicatorを用いて、ネットワーク通信におけるサイバー攻撃に対するアクセス制御やマルウェアの検知を行う。マルウェアは、不正かつ有害な動作を行う意図で作成されたソフトウェア（プログラム）やコードの総称であり、ＲＡＴ（トロイの木馬）、ボット、ウィルス等が一例として挙げられる。

ＣＴＩは、攻撃に使われるＩＰアドレス、マルウェアファイルのハッシュ値といったIndicatorや、攻撃の手口、攻撃対象となるシステム・資産・地域といった情報をまとめたものである。ＣＴＩは、誰でも作成及び編集が可能な情報であり、サイバー攻撃の分析から得られた知見を組織間で共有し、サイバー攻撃対策で用いられる情報である。

セキュリティ装置２は、ＣＴＩに基づき監視リストを作成し、監視リストに定義されたIndicator（通信拒否ＩＰアドレスやマルウェアのハッシュ値）に基づき、ネットワーク３における通信を監視する。例えば、図１の例では、セキュリティ装置２は、ＰＣ４に割り当てられたＩＰアドレス「192.168.11.5」が、監視リストに定義された通信拒否ＩＰアドレスに一致すると判定すると、ＰＣ４からのアクセスを拒否する。また、セキュリティ装置２は、メール６の添付ファイルのハッシュ値が監視リストに定義されたマルウェアのハッシュ値に一致すると判定すると、メール６の受信を拒否する。一方、ＰＣ５に割り当てられたＩＰアドレスは、監視リストに定義された通信拒否ＩＰアドレスに含まれないため、ＰＣ５からのアクセスは許可される。

従来のサイバー攻撃対策システム１では、セキュリティ装置２は、ネットワーク３における通信が行われるたびに監視リストのデータと通信情報を比較し、その通信が良性な通信であるかどうかをチェックしている。

監視リストに、永続的にIndicatorの情報が蓄積され、サイバー攻撃対策に使用されると、ＣＴＩから得たIndicatorの増大に伴い、監視リストのサイズが大きくなる。そうすると、セキュリティ装置２がチェックしなければならないIndicatorの数が増え、処理速度に影響が生じる。

サイバー攻撃は沈静化まで長期間かかるケースが多く、特に危険度の高いサイバー攻撃に対しては十分長い期間サイバー攻撃をチェックし続けることが好ましい。一方、危険度の低いサイバー攻撃に対しては監視期間を短くして余分な監視処理を省くことが好ましい。

そこで、本実施形態に係るセキュリティ装置では、サイバー攻撃を検知するための検知指標の警戒期間を適切な期間にする。そして、警戒期間を過ぎた検知指標は、攻撃対策時にチェックする対象から除外することで、サイバー攻撃のチェックにかかる処理量を低減させる。なお、本実施形態に係るＣＴＩに含まれるIndicatorは、サイバー攻撃、すなわちネットワーク通信に含まれる脅威情報を検知するための検知指標の一例であり、以下では、検知指標と表記する。

＜実施形態＞
［サイバー攻撃対策システム］
本発明の一実施形態に係るサイバー攻撃対策システム１０の一例について、図２を参照しながら説明する。図２は、本実施形態に係るサイバー攻撃対策システム１０の全体構成の一例を示す図である。本実施形態に係るサイバー攻撃対策システム１０は、セキュリティ装置２０を有する。

セキュリティ装置２０は、ネットワーク８０における通信を監視する。セキュリティ装置２０は、ＣＴＩデータベース７０から得られる検知指標に基づき、ＰＣ４０、ＰＣ５０、他の機器からのデータやメール６０等の通信パケットを監視し、サイバー攻撃に対するアクセス制御やマルウェアの検知を行う。

セキュリティ装置２０は、セキュリティ機能を有するサーバ、ＰＣ等の情報処理装置によって実現できる。例えば、セキュリティ装置２０は、ファイアウォール装置、ＩＰＳ装置（Intrusion Prevention System）装置、Ｗｅｂコンテンツフィルタリング装置であってもよい。セキュリティ装置２０は、複数の異なるセキュリティ機能を一つのハードウェアに統合したＵＴＭアプライアンスであってもよい。

［セキュリティ装置のハードウェア構成］
次に、本実施形態に係るセキュリティ装置２０のハードウェア構成の一例について、図３を参照しながら説明する。図３（ａ）は、一実施形態に係るセキュリティ装置２０のハードウェア構成の一例を示す図である。

セキュリティ装置２０は、ＣＰＵ２１、メモリ２２、ＨＤＤ２３及びネットワークＩＦ（インターフェース）２４を有し、これらの構成はバスＢを介して互いに接続されている。ＣＰＵ２１は、例えば中央演算装置である。ＣＰＵ２１は、ネットワーク８０における通信を監視する。メモリ２２は、例えば、揮発性メモリであり、主記憶装置として機能する。ＨＤＤ２３は、例えば、ハードディスクドライブ装置であり、不揮発性の記憶装置として、ネットワーク８０における通信を監視するセキュリティプログラムやその他のプログラム及びデータファイルを格納する。ネットワークＩＦ２４は、通信のためのインターフェースであり、ＰＣ４０、ＰＣ５０及び他の機器等との通信を実現する。

［セキュリティ装置の機能構成］
次に、本実施形態に係るセキュリティ装置２０の機能構成の一例について、図４を参照しながら説明する。図４は、一実施形態に係るセキュリティ装置２０の機能構成の一例を示す図である。

セキュリティ装置２０は、解析部２５、警戒期間設定部２６、登録部２７、監視部２８、削除部２９、記憶部３０及び通信部３４を有する。記憶部３０は、危険度データベース３１、監視対象データベース３２、セキュリティプログラム３３を記憶する。

危険度データベース３１は、サイバー攻撃の危険度を示す危険度情報を記憶する。危険度情報の一例としては、サイバー攻撃に対する被害の大きさ、取られたくない情報に対する重要度、攻撃対象の業界、攻撃者の熟練度等を数値化したものが挙げられるが、危険度情報はこれに限らない。

監視対象データベース３２は、サイバー攻撃を検知するための検知指標とその警戒期間とを対応させて登録する。

ＣＴＩには、検知指標と、検知指標に対応する攻撃者情報が含まれる。ＣＴＩの一例を図５に示す。図５のＣＴＩ７１の例は「医療業界を対象に医療情報を狙ったＲＡＴ（Remote Access Trojan）による攻撃」と解釈することができる。

ＣＴＩ７１に含まれるＩＰアドレス、マルウェアにより引き起こされる不正動作に関連するマルウェアのハッシュ値、ドメイン名は、サイバー攻撃を検知するための検知指標の一例である。

ＣＴＩ７１に含まれるＴＴＰ（Tactics, Techniques, and Procedures）に示す攻撃手法、狙う情報、狙う業界及びＴｈｒｅａｔ Ａｃｔｏｒに示す攻撃者の熟練度は、攻撃者情報の一例である。図５の例では、ＴＴＰには、攻撃手法、狙う対象の情報、狙う業界が記憶されている。Ｔｈｒｅａｔ Ａｃｔｏｒには、攻撃者の熟練度が記憶されている。ＣＴＩのデータフォーマットとしてはＸＭＬやＪＳＯＮがある。

図４に戻り、解析部２５は、ＣＴＩを解析し、ＩＰアドレス、マルウェアのハッシュ値、ドメイン名等の検知指標と、ＴＴＰ、Ｔｈｒｅａｔ Ａｃｔｏｒ等の攻撃者情報とを取得する。登録部２７は、ＣＴＩデータベース７０から取得した検知情報を、警戒期間設定部２６が設定する警戒期間に対応付けて監視対象データベース３２に登録する。

警戒期間設定部２６は、危険度データベース３１を参照して、検知指標の警戒期間を設定する。登録部２７は、検知指標と、警戒期間設定部２６が設定した警戒期間とを監視対象データベース３２に登録する。

監視部２８は、監視対象データベース３２に登録された検知指標を用いてネットワーク８０における通信を監視する。削除部２９は、警戒期間を過ぎた検知指標を監視対象データベース３２から削除する。通信部３４は、ＰＣ４０、ＰＣ５０及びその他の機器との通信を制御する。

図４に示す解析部２５、警戒期間設定部２６、登録部２７、監視部２８、削除部２９の各部の機能は、記憶部３０に記憶されたセキュリティプログラム３３が、ＣＰＵ２１に実行させる処理により実現可能である。通信部３４の機能は、ネットワークＩＦ２４により実現可能である。

記憶部３０の機能は、例えば、メモリ２２及びＨＤＤ２３により実現可能である。記憶部３０に記憶される危険度データベース３１及び監視対象データベース３２の各情報は、クラウド上の記憶装置に格納されてもよい。

なお、図４は機能に着目したブロック図を描いており、これらの機能ブロックで示した各部のソフトウェアを実行するプロセッサはハードウェアである。

（警戒期間の設定）
警戒期間は、監視対象データベース３２に記憶されている検知指標によるネットワーク８０における通信の警戒期間であり、本実施形態では警戒期間には警戒日数が設定される。ただし、これに限らず、警戒期間は、月、日、時間の少なくともいずれかにより設定されてもよい。

警戒期間設定部２６は、危険度データベース３１を参照して、ＣＴＩデータベース７０から得た攻撃者情報に基づき、対応する検知指標の警戒期間を設定する。

図６は、一実施形態に係る警戒期間の算出方法の一例を示す図である。図６には、警戒期間の算出に使用する危険度データベース３１の一例が示されている。本例の危険度データベース３１に記憶された危険度情報は、危険度情報に対してサイバー攻撃が成功した場合の世間への影響度合いを数値（例えば１０段階の点数）で評価する。本例では利用者が持っている情報資産に対する点数付けと、利用者にとって脅威となる攻撃手法に着目して点数付けを行っているが、これに限らない。

攻撃からの防衛対象となる利用者については、自身にとって狙われたくない情報、危険と考える攻撃、利用者が所属する組織が属する業界などが利用者毎に異なる。したがって、危険度データベース３１には、利用者毎に危険度情報が記憶されていることが好ましい。ただし、危険度情報は、利用者毎に設定せず、一律に設定してもよい。また、利用者毎とは、一個人に限られず、利用者が属する一組織（官公庁、病院）を単位としてもよいし、利用者が居住する地域を単位としてもよい。

［設定例１］
利用者が病院の場合の危険度データベース３１の危険度情報の設定例１について、図６を参照して説明する。図６の危険度データベース３１には、攻撃手法１３１、狙う情報１３２、狙う業界１３３、攻撃者の熟練度１３４のそれぞれに対して、危険度を数値化した点数が予め設定されている。

例えば、攻撃手法１３１に記載された手法毎に「攻撃の被害の大きさ」を示す点数が設定され、攻撃者が狙う情報１３２に記載された情報毎に「情報の重要度」を示す点数が設定されている。また、攻撃者が狙う業界１３３毎に「組織が属する業界」を示す点数が設定され、攻撃者の熟練度１３４毎に「攻撃者の熟練度」を示す点数が設定される。

病院は、患者の医療データを保持しており、医療データを狙う攻撃によって医療データが流出した場合、信用問題の失墜など被害が非常に大きい。そのため、病院にとって医療データは非常に重要である。よって、組織が属する業界が医療の場合、狙う情報１３２に含まれる医療情報の点数は１０点に設定される。

一方で職員のｗｅｂの閲覧履歴などは医療情報と比べると重要度は低いため、狙う情報１３２に含まれる閲覧履歴の情報は３点に設定される。また、病院ではシステムが２４時間稼働しており、万が一障害が発生すると、患者の生命が脅かされる恐れがある。そのため、システムの稼働を脅かすような攻撃、例えば攻撃手法１３１に含まれるＲａｎｓｏｍｗａｒｅなどは、病院にとっては非常に危険である。そのため、Ｒａｎｓｏｍｗａｒｅによる攻撃の危険度は１０点に設定される。

［設定例２］
次に、図示していないが、利用者がある会社の場合の危険度データベース３１の危険度情報の設定例２について説明する。ある会社は、顧客情報（名前、銀行口座情報等）を大量に保持しており、その会社にとって個人情報を狙うような攻撃は危険度が高い。そのため、顧客情報は１０点に設定される。一方、医療情報を狙う攻撃の対象となる可能性は低いので、その企業にとっての医療情報の重要度は低く１点に設定される。個人情報を狙う攻撃としてRemote Access Trojan（ＲＡＴ）があり、ＲＡＴは従業員の気づかないところでデータを盗み出し、漏洩させる。顧客の信用の低下など損失が大きいため、この会社のＲＡＴ攻撃に対する危険度の点数は１０点に設定される。

警戒期間設定部２６は、危険度データベース３１に記憶された危険度情報を参照して、利用者毎の攻撃者情報に応じた危険度を数値化し、警戒期間を設定する。図６の例では、警戒期間設定部２６は、ＣＴＩ７１から取得した攻撃者情報と、危険度データベース３１との照合を行う。警戒期間設定部２６は、攻撃者情報に含まれる攻撃手法が危険度データベース３１に存在する場合、その攻撃手法に対する点数を記憶部３０に記憶する。この例では攻撃手法がＲＡＴであるとＣＴＩ７１から判断できる。よって、警戒期間設定部２６は、危険度データベース３１からＲＡＴを参照し、ＲＡＴの攻撃の危険度を示す８点を記憶部３０に記憶する。

なお、危険度データベース３１に存在しなかった場合、警戒期間設定部２６は、未知の攻撃手法と判定し、例えば平均点の５点を記憶部３０に記憶する。ただし、危険度データベース３１に存在しなかった場合に加算する点数は、所定のデフォルト値であってもよい。そのほかの情報（狙う情報、狙う業界、熟練度）についても同様に危険度データベース３１に存在するかの判定を行い、対応する点数を得る。

その結果、警戒期間設定部２６は、記憶部３０に記憶した攻撃手法、狙う情報、狙う業界、熟練度の４つの点数を加算し、これを警戒期間とする。図６の例では、警戒期間は、８（ＲＡＴ）＋１０（医療情報）＋１０（医療業界）＋１（Practitioner）＝２９日となる。警戒期間設定部２６は、算出した警戒期間を、ＣＴＩ７１に含まれる検知指標（ＩＰアドレス、マルウェアのハッシュ値、ドメイン名等）の警戒期間とし、監視対象データベース３２に登録する。本実施形態では、単純に点数の加算によって警戒期間を定めているが、算出方法については重みをつけた計算など任意の計算に対応する。

［警戒期間の設定処理］
以上に説明した本実施形態に係る警戒期間の設定処理の一例について図７を参照して説明する。図７は、一実施形態に係る警戒期間の設定処理の一例を示すフローチャートである。本処理が開始されると、通信部３４が、ＣＴＩデータベース７０からＣＴＩを受信し、解析部２５は、取得したＣＴＩを解析し、ＣＴＩに含まれる検知指標と攻撃者情報を取得する（ステップＳ１０）。

次に、警戒期間設定部２６は、取得した攻撃者情報の数をＮに設定する（ステップＳ１２）。次に、警戒期間設定部２６は、変数ｎに１を設定し（ステップＳ１４）、ｎ番目の攻撃者情報と危険度データベース３１とを照合し（ステップＳ１６）、ｎ番目の攻撃者情報が危険度データベース３１に存在するかを判定する（ステップＳ１８）。

警戒期間設定部２６は、ｎ番目の攻撃者情報が危険度データベース３１に存在すると判定すると、危険度データベース３１に設定された、ｎ番目の攻撃者情報に対応する点数を警戒期間に加算し（ステップＳ２０）、ステップＳ２４に進む。

警戒期間設定部２６は、ｎ番目の攻撃者情報が危険度データベース３１に存在しないと判定すると、デフォルト値（例えば、平均点）を加算し（ステップＳ２２）、ステップＳ２４に進む。

ステップＳ２４において、警戒期間設定部２６は、変数ｎに１を加算し（ステップＳ２４）、変数ｎが攻撃者情報の数Ｎよりも大きいか否かを判定する。警戒期間設定部２６は、変数ｎが攻撃者情報の数Ｎ以下であると判定した場合、ステップＳ１６に戻り、ステップＳ１６〜Ｓ２６の処理を繰り返し、各攻撃者情報に対応する点数を警戒期間に加算する。

警戒期間設定部２６は、変数ｎが攻撃者情報の総数Ｎよりも大きいと判定した場合、ステップＳ２８に進み、ＣＴＩに含まれる検知指標と算出した警戒期間とを対応付けて監視対象データベース３２へ登録し、本処理を終了する。

本処理によれば、取得したＣＴＩの攻撃者情報（攻撃手法、狙う情報、狙う業界、攻撃者の熟練度等）毎に危険度データベース３１に設定された危険度を示す数値を加算し、その合計値が警戒期間となる。

警戒期間設定部２６は、取得したＣＴＩ７２の検知指標と対応付けて警戒期間を監視対象データベース３２に記憶する。図８の例では、ＣＴＩ７２から取得した検知指標（ＩＰアドレス、マルウェアのハッシュ値）と警戒期間（この例では３０日）の組の情報３２ｂが記憶されている。また、ＣＴＩ７１から取得した検知指標と警戒期間の組の情報３２ａが記憶されている。

監視対象データベース３２には、ＣＴＩ毎に区別して検知指標と警戒期間の組の情報３２ａ、３２ｂ・・・が記憶されてもよいし、区別せずに検知指標と警戒期間の組の情報が記憶されてもよい。なお、監視対象データベース３２に記憶されている警戒期間は、一日経過すると自動的に一つ減算される。警戒期間が０日になると、対応する検知指標は、監視対象データベース３２から削除される。次に、本実施形態に係る警戒期間の削除処理について以下に説明する。

［警戒期間の削除処理］
図９は、一実施形態に係る警戒期間の削除処理の一例を示すフローチャートである。なお、本実施形態では、本処理は一日に一回実行される。

本処理が開始されると、削除部２９は、監視対象データベース３２に記憶された警戒期間を順次探索する（ステップＳ３０）。そして、削除部２９は、警戒期間が０日かを判定する（ステップＳ３２）。削除部２９は、警戒期間が０日であると判定すると、監視対象データベース３２から警戒期間が０日に対応する検知指標を削除（破棄）し（ステップＳ３４）、ステップＳ３８に進む。一方、削除部２９は、警戒期間が０日でないと判定すると、一日経過毎に警戒期間を１日減らし、監視対象データベース３２を更新し（ステップＳ３６）、ステップＳ３８に進む。

ステップＳ３８において、削除部２９は、監視対象データベース３２に記憶された全ての警戒期間を探索したかを判定し、全ての警戒期間を探索するまで、ステップＳ３０〜Ｓ３８の処理を繰り返す。削除部２９は、監視対象データベース３２に記憶された全ての警戒期間を探索したと判定した場合、本処理を終了する。

本処理では、監視対象データベース３２に含まれる警戒期間のそれぞれに対して警戒期間が過ぎているかどうかの判定が、一定の期間（例えば２４時間毎）繰り返し行われる。監視対象データベース３２内の検知指標と紐づく警戒期間が０日であるかどうか判定を行った結果、警戒期間が０日であれば対応する検知指標と警戒期間とは、監視対象データベース３２から破棄される。警戒期間が０日でない場合、警戒期間を１日減らし、監視対象データベース３２を更新する。

これによれば、警戒期間を過ぎた検知指標を監視対象データベース３２から削除することで、監視対象データベース３２の肥大化を抑制し、攻撃対策時にチェックする検知指標の量を減らすことで次に説明する監視処理にかかる処理量を減らすことができる。

［監視処理］
最後に、本実施形態に係る監視処理の一例について図１０を参照して説明する。図１０は、一実施形態に係るネットワークにおける通信の監視処理の一例を示すフローチャートである。本処理が開始されると、通信部３４は、対象となるネットワーク８０において送受信される通信パケットを受信したかを判定する（ステップＳ４０）。

通信部３４が通信パケットを受信しなかったと判定した場合、本処理を終了する。一方、通信部３４が通信パケットを受信したと判定した場合、監視部２８は、監視対象データベース３２に記憶された検知指標に一致する通信パケットかを判定する（ステップＳ４２）。

監視部２８は、監視対象データベース３２に記憶された検知指標に一致する通信パケットでないと判定した場合、本処理を終了する。一方、監視部２８は、監視対象データベース３２に記憶された検知指標に一致する通信パケットであると判定すると、当該通信パケットをサイバー攻撃の脅威情報と判定し、通信を遮断し（ステップＳ４４）、本処理を終了する。

以上に説明したように、本実施形態に係るセキュリティ装置２０によれば、検知指標の警戒期間を危険度に応じて適切に設定し、検知指標を重要度に応じて管理することができる。つまり、本実施形態に係るセキュリティ装置２０によれば、利用者毎にＣＴＩデータベース７０から得た攻撃者情報によって警戒期間を柔軟に設定することができ、利用者にとって危険な攻撃に関する検知指標に対して十分な期間警戒を付与し、十分な対策を行うことができる。また、比較的危険性の低い攻撃に対しては、短い期間警戒を設定することで余分な処理を省いた最小限の警戒を行うことができる。

また、警戒期間を過ぎた検知指標を監視対象データベース３２から削除することで、監視すべきチェック対象の検知指標を減らし、通信時の検知指標のチェック量を低減することができる。

なお、本実施形態に係るセキュリティ装置２０において、警戒期間設定部２６が、利用者毎に警戒期間を設定した場合、監視対象データベース３２に対する検知指標の登録及び削除は、利用者毎に行われる。

（攻撃者情報）
上記実施形態では、攻撃者情報の一例としてＴＴＰ及びＴｈｒｅａｔ Ａｃｔｏｒを挙げたが、攻撃者情報はこれに限らない。攻撃者情報の一例としては、攻撃手法、攻撃対象の属性情報、攻撃元の地域、インシデントが発生した対象の情報、攻撃対象のシステム、攻撃者情報に対応する検知指標、攻撃者の属性情報、攻撃目的に関する情報及び攻撃に用いられるツールの少なくともいずれかを含む。

攻撃手法の一例としては、ＤｏＳ攻撃，フィッシングメールなどが挙げられる。攻撃対象の属性情報としては、攻撃対象の情報の種類（医療情報，研究情報等）及び攻撃対象の業界（政府、医療機関等）が挙げられる。

攻撃元の地域としては、住所等にて特定される位置に限らず、特定のエリアであってもよい。

インシデントが発生した対象の情報としては、例えばブランドイメージの低下等、サイバー攻撃によって発生した被害に関する情報が挙げられる。

攻撃対象のシステムとしては、ソフトウェアかハードウェアの情報が挙げられる。攻撃者情報に対応する検知指標としては、Ransomware、worm等、攻撃者情報が含まれるＣＴＩと同じＣＴＩに含まれる検知指標が挙げられる。

攻撃者の属性情報としては、攻撃者の熟練度、攻撃者のタイプ（どういう攻撃者か）が挙げられる。攻撃目的に関する情報としては、金銭目的や宗教上の目的、攻撃者の意図，攻撃者の動機等の情報が挙げられる。

攻撃に用いられるツールとしてはマルウェア、パスワードクラッキングツール、トラフィックスキャナー等が挙げられる。

以上、セキュリティ装置、セキュリティプログラム及びセキュリティ方法を上記実施形態により説明したが、本発明に係るセキュリティ装置、セキュリティプログラム及びセキュリティ方法は上記実施形態に限定されるものではなく、本発明の範囲内で種々の変形及び改良が可能である。また、上記実施形態及び変形例が複数存在する場合、矛盾しない範囲で組み合わせることができる。

例えば、上記実施形態に係るサイバー攻撃対策システム１０の構成は一例であり、本発明の範囲を限定するものではなく、用途や目的に応じて様々なシステム構成例があることは言うまでもない。例えば、ＰＣ４０，ＰＣ５０及び他の機器がネットワークを介して互いに接続されているシステム形態は、本実施形態に係るサイバー攻撃対策システム１０の一態様であり、これに限定されない。

また、本実施形態に係るサイバー攻撃対策システム１０では、ＰＣ４０，ＰＣ５０及び他の機器がセキュリティ装置２０に接続されるネットワークは、インターネットや専用線等どのようなネットワークであってもよい。

本発明に係るサイバー攻撃対策システム１０は、例えば、セキュリティ管理センター（ＳＯＣ：Security Operation Center）において利用することができる。

以上の説明に関し、更に以下の項を開示する。
（付記１）
監視対象データベースに登録された検知指標を用いてネットワーク通信を監視するセキュリティ装置であって、
サイバー攻撃の危険度を示す危険度情報を記憶した危険度データベースを参照して、前記検知指標の警戒期間を設定する警戒期間設定部と、
前記検知指標と前記警戒期間とを前記監視対象データベースに登録する登録部と、
前記警戒期間を過ぎた前記検知指標を前記監視対象データベースから削除する削除部と、
を有するセキュリティ装置。
（付記２）
前記警戒期間設定部は、利用者毎の前記危険度情報を記憶した前記危険度データベースを参照して、利用者毎に前記警戒期間を設定し、
前記登録部は、利用者毎に前記警戒期間と検知指標とを前記監視対象データベースに登録し、
前記削除部は、利用者毎に前記警戒期間を過ぎた検知指標を前記監視対象データベースから削除する、
付記１に記載のセキュリティ装置。
（付記３）
前記警戒期間設定部は、前記危険度データベースを参照して、前記検知指標に対応する攻撃者情報に対する危険度情報に基づき警戒期間を設定する、
付記１又は２に記載のセキュリティ装置。
（付記４）
前記攻撃者情報は、攻撃手法、攻撃対象の属性情報、攻撃元の地域、攻撃者の熟練度、インシデントが発生した対象の情報、攻撃対象のシステム、前記攻撃者情報に対応する検知指標、攻撃者の属性情報、攻撃目的に関する情報及び攻撃に用いられるツールの少なくともいずれかを含む、
付記１〜３のいずれか一項に記載のセキュリティ装置。
（付記５）
監視対象データベースに登録された検知指標を用いてネットワーク通信を監視する処理をコンピュータに実行させるセキュリティプログラムであって、
サイバー攻撃の危険度を示す危険度情報を記憶した危険度データベースを参照して、前記検知指標の警戒期間を設定する処理と、
前記検知指標と前記警戒期間とを前記監視対象データベースに登録する処理と、
前記警戒期間を過ぎた前記検知指標を前記監視対象データベースから削除する処理とを含む、セキュリティプログラム。
（付記６）
利用者毎の前記危険度情報を記憶した前記危険度データベースを参照して、利用者毎に前記警戒期間を設定し、
利用者毎に前記警戒期間と検知指標とを前記監視対象データベースに登録し、
前記削除部は、利用者毎に前記警戒期間を過ぎた検知指標を前記監視対象データベースから削除する、
付記５に記載のセキュリティプログラム。
（付記７）
前記危険度データベースを参照して、前記検知指標に対応する攻撃者情報に対する危険度情報に基づき警戒期間を設定する、
付記５又は６に記載のセキュリティプログラム。
（付記８）
前記攻撃者情報は、攻撃手法、攻撃対象の属性情報、攻撃元の地域、攻撃者の熟練度、インシデントが発生した対象の情報、攻撃対象のシステム、前記攻撃者情報に対応する検知指標、攻撃者の属性情報、攻撃目的に関する情報及び攻撃に用いられるツールの少なくともいずれかを含む、
付記５〜７のいずれか一項に記載のセキュリティプログラム。
（付記９）
監視対象データベースに登録された検知指標を用いてネットワーク通信を監視する処理をことをコンピュータが実行するセキュリティ方法であって、
サイバー攻撃の危険度を示す危険度情報を記憶した危険度データベースを参照して、前記検知指標の警戒期間を設定する処理と、
前記検知指標と前記警戒期間とを前記監視対象データベースに登録する処理と、
前記警戒期間を過ぎた前記検知指標を前記監視対象データベースから削除する処理とを含む、セキュリティ方法。
（付記１０）
利用者毎の前記危険度情報を記憶した前記危険度データベースを参照して、利用者毎に前記警戒期間を設定し、
利用者毎に前記警戒期間と検知指標とを前記監視対象データベースに登録し、
前記削除部は、利用者毎に前記警戒期間を過ぎた検知指標を前記監視対象データベースから削除する、
付記９に記載のセキュリティ方法。
（付記１１）
前記危険度データベースを参照して、前記検知指標に対応する攻撃者情報に対する危険度情報に基づき警戒期間を設定する、
付記９又は１０に記載のセキュリティ方法。
（付記１２）
前記攻撃者情報は、攻撃手法、攻撃対象の属性情報、攻撃元の地域、攻撃者の熟練度、インシデントが発生した対象の情報、攻撃対象のシステム、前記攻撃者情報に対応する検知指標、攻撃者の属性情報、攻撃目的に関する情報及び攻撃に用いられるツールの少なくともいずれかを含む、
付記９〜１１のいずれか一項に記載のセキュリティ方法。

１０ サイバー攻撃対策システム
２０ セキュリティ装置
２５ 解析部
２６ 警戒期間設定部
２７ 登録部
２８ 監視部
２９ 削除部
３０ 記憶部
３１ 危険度データベース
３２ 監視対象データベース
３３ セキュリティプログラム
３４ 通信部
８０ ネットワーク

Claims (6)

1. 監視対象データベースに登録された検知指標を用いてネットワークにおける通信を監視するセキュリティ装置であって、
   サイバー攻撃の危険度を示す危険度情報を記憶した危険度データベースを参照して、前記検知指標の警戒期間を設定する警戒期間設定部と、
   前記検知指標と前記警戒期間とを前記監視対象データベースに登録する登録部と、
   前記警戒期間を過ぎた前記検知指標を前記監視対象データベースから削除する削除部と、
   を有するセキュリティ装置。
2. 前記警戒期間設定部は、利用者毎の前記危険度情報を記憶した前記危険度データベースを参照して、利用者毎に前記警戒期間を設定し、
   前記登録部は、利用者毎に前記警戒期間と検知指標とを前記監視対象データベースに登録し、
   前記削除部は、利用者毎に前記警戒期間を過ぎた検知指標を前記監視対象データベースから削除する、
   請求項１に記載のセキュリティ装置。
3. 前記警戒期間設定部は、前記危険度データベースを参照して、前記検知指標に対応する攻撃者情報に対する危険度情報に基づき警戒期間を設定する、
   請求項１又は２に記載のセキュリティ装置。
4. 前記攻撃者情報は、攻撃手法、攻撃対象の属性情報、攻撃元の地域、インシデントが発生した対象の情報、攻撃対象のシステム、前記攻撃者情報に対応する検知指標、攻撃者の属性情報、攻撃目的に関する情報及び攻撃に用いられるツールの少なくともいずれかを含む、
   請求項３に記載のセキュリティ装置。
5. 監視対象データベースに登録された検知指標を用いてネットワークにおける通信を監視する処理をコンピュータに実行させるセキュリティプログラムであって、
   サイバー攻撃の危険度を示す危険度情報を記憶した危険度データベースを参照して、前記検知指標の警戒期間を設定する処理と、
   前記検知指標と前記警戒期間とを前記監視対象データベースに登録する処理と、
   前記警戒期間を過ぎた前記検知指標を前記監視対象データベースから削除する処理とを含む、セキュリティプログラム。
6. 監視対象データベースに登録された検知指標を用いてネットワークにおける通信を監視する処理をことをコンピュータが実行するセキュリティ方法であって、
   サイバー攻撃の危険度を示す危険度情報を記憶した危険度データベースを参照して、前記検知指標の警戒期間を設定する処理と、
   前記検知指標と前記警戒期間とを前記監視対象データベースに登録する処理と、
   前記警戒期間を過ぎた前記検知指標を前記監視対象データベースから削除する処理とを含む、セキュリティ方法。

Images