JP2019204264A - 信頼度算出装置、信頼度算出方法及びプログラム - Google Patents

Abstract

【課題】信頼度が不明確な脅威情報の信頼度の算出を可能とすること。【解決手段】信頼度算出装置は、入力された第１の脅威情報に関連する情報を収集する第１の収集部と、信頼度が付与されている脅威情報を記憶する記憶部から、前記関連する情報に関連する第２の脅威情報を収集する第２の収集部と、前記第１の脅威情報、前記関連する情報及び前記第２の脅威情報をノードとし、関連を有する情報に係るノード間が接続されたグラフを生成する生成部と、前記グラフに対して確率伝搬法を適用して、前記第２の脅威情報の信頼度に基づいて前記第１の脅威情報の信頼度を算出する算出部と、を有する。【選択図】図２

Description

本発明は、信頼度算出装置、信頼度算出方法及びプログラムに関する。

脅威情報（Cyber Threat Intelligence）とは、サイバー攻撃の検知や対処において必要となるサイバー攻撃や脅威に関連する攻撃者や攻撃目的、攻撃手法や発生した攻撃を検知するための情報をまとめたものである。例えば、攻撃者が利用したＩＰアドレスやドメイン名のブラックリスト情報、攻撃者に関する情報、攻撃に対する対処方法に関する情報などが脅威情報の一例である。これらの脅威情報は、豊富な関連情報と共に流通されており、投稿者又は提供元の情報、更新頻度（情報の登録・追加・修正）、説明文、一連の攻撃に関するＩＰアドレス／ドメイン名間の関係（通信・フロー）などが含まれている。

サイバー攻撃の検知や対処を実施するセキュリティオペレーションでは、取得した脅威情報について、悪性の真偽を判断した上で意思決定を行うことが重要な要素の１つである。特に、アナリストやオペレータは、脅威情報の悪性の真偽を判断するための信頼度を算出するために、データ分析や情報収集によって仮説検証のプロセスを繰り返し実行することで、脅威情報に対する信頼度を算出する。したがって、高い信頼度である脅威情報ならば早期の意思決定が可能である。

なお、信頼度とは、脅威情報の悪性が真である確度を確率で表現したものであり、０≦Ｐ（ｘ）≦１で表すことができる。例えば、脅威情報の悪性が真である確度が高い脅威情報とは、Ｐ（ｘ）が１に近い脅威情報をいい、脅威情報の悪性が偽である確度が高い脅威情報とは、Ｐ（ｘ）が０に近い脅威情報であるといえる。

ネットワークにおける攻撃通信の検出及び脅威情報の抽出では、主な攻撃検知方法としてシグネチャ型又は機械学習型の攻撃検知装置が存在する。

シグネチャ型攻撃検知装置では、シグネチャルールとのパターンマッチングに基づき攻撃を検知するため、既知の攻撃には有効であるが、亜種の攻撃や未知な攻撃の検知には不向きであるといえる。

一方、機械学習型攻撃検知装置は、攻撃通信又は正常通信のトラフィックの特徴を学習し、通信の特徴や振る舞いをもとに攻撃を検知する。したがって、機械学習型攻撃検知装置では、未知な攻撃も検出可能、かつ、早期の攻撃を検知可能であるが、ネットワークから振る舞い検知によって抽出した脅威情報では、ＩＰアドレス・ドメイン名間の関係のみしか得られないため、悪性と疑われるＩＰアドレスやドメイン名の真偽がはっきりしない（信頼度が不明確）、かつ、関連情報を得られない状態である。

従来、悪性の真偽がわからない（信頼度が不明確な）脅威情報に対して、脅威スコアや信頼度を計算する技術が有る。

非特許文献１では、ＤＮＳ（Domain Name System）名前解決結果に基づくＩＰアドレスとドメイン名間の関係、及びその一部に関する確定した信頼度が与えられており、真偽が分からないＩＰアドレス／ドメイン名について、グラフの関係性から脅威情報の信頼度を確率伝搬手法によって計算している。

非特許文献２では、脅威情報とその関連する情報が与えられており、豊富な関連情報から信頼度の特徴量を生成し、機械学習手法（ＤＢＮ）によって脅威情報の信頼度を計算している。

風戸雄太, 福田健介, 菅原俊治. "DNS グラフ上でのグラフ分析と脅威スコア伝搬による悪性ドメイン特定." コンピュータ ソフトウェア 33.3 (2016): 3_16-3_28. Li, Lei, Xiaoyong Li, and Yali Gao. "MTIV: A Trustworthiness Determination Approach for Threat Intelligence." International Conference on Security, Privacy and Anonymity in Computation, Communication and Storage. Springer, Cham, 2017.

しかしながら、非特許文献１及び２では、ネットワークの振る舞い検知から抽出されたような信頼度が不明確な脅威情報、例えば、ＩＰアドレス／ドメイン名間の関係のみの情報では、これらの文献において与えられることが前提とされている関連情報を含まないため、悪性の真偽の判定を行うことは困難である。

本発明は、上記の点に鑑みてなされたものであって、信頼度が不明確な脅威情報の信頼度の算出を可能とすることを目的とする。

そこで上記課題を解決するため、信頼度算出装置は、入力された第１の脅威情報に関連する情報を収集する第１の収集部と、信頼度が付与されている脅威情報を記憶する記憶部から、前記関連する情報に関連する第２の脅威情報を収集する第２の収集部と、前記第１の脅威情報、前記関連する情報及び前記第２の脅威情報をノードとし、関連を有する情報に係るノード間が接続されたグラフを生成する生成部と、前記グラフに対して確率伝搬法を適用して、前記第２の脅威情報の信頼度に基づいて前記第１の脅威情報の信頼度を算出する算出部と、を有する。

信頼度が不明確な脅威情報の信頼度の算出を可能とすることができる。

本発明の実施の形態における信頼度算出装置１０のハードウェア構成例を示す図である。 本発明の実施の形態における信頼度算出装置１０の機能構成例を示す図である。 信頼度算出装置１０が実行する処理手順の一例を説明するためのフローチャートである。 対象脅威情報及び収集された各関連情報に基づくグラフの一例を示す図である。 信頼度の計算を説明するための図である。

以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態における信頼度算出装置１０のハードウェア構成例を示す図である。図１の信頼度算出装置１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、インタフェース装置１０５、表示装置１０６、及び入力装置１０７等を有する。

信頼度算出装置１０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記憶した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従って信頼度算出装置１０に係る機能を実現する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１０６はプログラムによるＧＵＩ（Graphical User Interface）等を表示する。入力装置１０７はキーボード及びマウス等で構成され、様々な操作指示を入力させるために用いられる。

図２は、本発明の実施の形態における信頼度算出装置１０の機能構成例を示す図である。図２において、信頼度算出装置１０は、入力部１１、関連情報収集部１２、グラフ変換部１３、信頼度計算部１４、出力部１５及び格納部１６等を有する。これら各部は、信頼度算出装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。

入力部１１は、信頼度が不明確な脅威情報（以下「対象脅威情報」という。）を信頼度の算出対象として入力する。対象脅威情報には関連情報が含まれない。また、対象脅威情報は、過去の脅威情報として存在しない値である。なお、信頼度とは、脅威情報の悪性が真である確度を確率で表現したものであり、０≦Ｐ（ｘ）≦１で表すことができる。例えば、脅威情報の悪性が真である確度が高い脅威情報とは、Ｐ（ｘ）が１に近い脅威情報をいい、脅威情報の悪性が偽である確度が高いとは、Ｐ（ｘ）が０に近い脅威情報であるといえる。

関連情報収集部１２は、対象脅威情報を構成する値（ＩＰアドレス、ドメイン名等）に対して、対象脅威情報に関連する情報（関連情報）を検索及び収集し、収集結果を一時的に記録する。図２において、関連情報収集部１２は、ＯＳＩＮＴ収集部１２１、ＮＷ観測情報収集部１２２及び蓄積脅威情報収集部１２３等を含む。

ＯＳＩＮＴ収集部１２１は、オープンソースインテリジェンス（ＯＳＩＮＴ）等の公開情報をＯＳＩＮＴサイト２０等に問い合わせて関連情報を収集する。

ＮＷ観測情報収集部１２２は、ネットワークで観測できる情報を関連情報として収集する。例えば、ＮＷ観測情報収集部１２２は、ＤＮＳ名前解決を行うＤＮＳサーバ３０や、ネットワークで収集したフロー情報（ネットワークに存在するフローエクスポータおよびフローコレクタで観測・収集したフロー情報）を格納するフロー観測情報管理装置４０等へ問い合わせを行うことで、関連情報を収集する。

蓄積脅威情報収集部１２３は、過去に利用された、登録された、又は共有された脅威情報（以下、「蓄積脅威情報」という。）を蓄積（記憶）及び管理する脅威情報管理装置５０へ問い合わせて、該当する蓄積脅威情報を関連情報として収集する。蓄積脅威情報は、例えば、ドメイン名やＩＰアドレス、マルウェアのファイルハッシュ値などであり、悪性の信頼度が付与されており、その関連情報も存在する。

グラフ変換部１３は、対象脅威情報及び収集された各関連情報を、ノードとリンクで表されるグラフ構造に変換する。この際、ノードには脅威情報の値または収集した関連情報の値が格納され、関連のあるノード間がリンクによって接続される。

信頼度計算部１４は、確率伝搬法を用いて蓄積脅威情報から信頼度をノード間で伝搬させ、対象脅威情報の信頼度を算出する。

出力部１５は、対象脅威情報の信頼度の算出結果と収集された関連情報とを出力する。出力形態は所定のものに限定されない。表示装置１０６へ表示されてもよいし、補助記憶装置１０２に記憶されてもよいし、ネットワークを介して転送されてもよい。

格納部１６は、対象脅威情報、収集された関連情報、及び算出された信頼度を含む情報を新たな脅威情報として脅威情報管理装置５０へ格納する。

なお、図２において、脅威情報管理装置５０は、過去に利用された、又は共有された脅威情報を蓄積及び管理するデータベースを有するコンピュータである。

フロー観測情報管理装置４０は、ネットワークに存在するフローエクスポータ及びフローコレクタから収集したネットワークのフロー情報を格納及び管理するデータベースを有するコンピュータである。

ＯＳＩＮＴサイト２０は、主にインターネットで公開されているオープンソースインテリジェンスのホームページ又はサービスである。例えば、ＩＰアドレスやドメイン名の所有者情報を提供するＷＨＯＩＳ検索サービスや、ＡＳ（Autonomous System）番号の検索サイトや、ＧｅｏＩＰ検索サイトや、レピュテーションサイト（ＶｉｒｕｓＴｏｔａｌ等）等がＯＳＩＮＴサイト２０の一例として挙げられる。

ＤＮＳサーバ３０は、ドメイン名とＩＰアドレスの対応を管理し、主としてドメイン名からＩＰアドレスへの変換、及びその逆の要求を受け付ける装置である。

以下、信頼度算出装置１０が実行する処理手順について説明する。図３は、信頼度算出装置１０が実行する処理手順の一例を説明するためのフローチャートである。

ステップＳ１０１において、入力部１１は、対象脅威情報を入力する。対象脅威情報は、入力装置１０７を介して入力されてもよいし、ネットワークを介して受信されてもよい。なお、対象脅威情報は、例えば、ＩＰアドレス若しくはドメイン名、又はＩＰアドレス及びドメイン名の双方等を値として含む。

続いて、ＯＳＩＮＴ収集部１２１は、対象脅威情報の値に関するＷＨＯＩＳ登録情報、ＡＳ番号、ＧｅｏＩＰ情報（国名、都市名、ＩＳＰ（Internet Service Provider）名等）を、ＯＳＩＮＴサイト２０から検索し、検索された情報を対象脅威情報に対する関連情報として収集する（Ｓ１０２）。例えば、ＷＨＯＩＳ登録情報の検索では、対象脅威情報のＩＰアドレス又はドメイン名の所有者情報や登録者情報を取得することができ、ＡＳ番号の検索では、対象脅威情報のＩＰアドレスが属するＡＳ番号を取得することができる。なお、対象脅威情報が複数の値（例えば、ＩＰアドレス及びドメイン名）を含む場合、値ごとに関連情報が収集される。

続いて、ＮＷ観測情報収集部１２２は、対象脅威情報に関連するフロー観測情報をフロー観測情報管理装置４０から検索すると共に、対象脅威情報に関するＤＮＳ名前解決結果をＤＮＳサーバ３０から検索し、検索された情報（フロー観測情報、ＤＮＳ名前解決結果）を対象脅威情報に対する関連情報として収集する（Ｓ１０３）。なお、フロー観測情報とは、送信元及び宛先の組ごとに統計情報を含む情報をいう。対象脅威情報に関連するフロー観測情報とは、対象脅威情報の値（ＩＰアドレス又はドメイン名等）を、送信元及び宛先の少なくともいずれか一方を送信元又は宛先等に含むフロー観測情報をいう。また、対象脅威情報に関するＤＮＳ名前解決結果とは、対象脅威情報の値がドメイン名であればＩＰアドレスであり、対象脅威情報の値がＩＰアドレスであればドメイン名（逆引きの結果）である。

続いて、蓄積脅威情報収集部１２３は、ステップＳ１０２又はＳ１０３において収集された関連情報と関連の有る蓄積脅威情報を脅威情報管理装置５０へ問い合わせて、該当する蓄積脅威情報を関連情報として収集する（Ｓ１０４）。関連情報と関連の有る蓄積脅威情報とは、当該関連情報を値として含む蓄積脅威情報をいう。この際、当該関連情報は、値ごと（パラメータごと）の単位とされる。例えば、フロー観測情報であれば、送信元アドレス及び宛先アドレスのそれぞれが、個別の関連情報として扱われる。他の関連情報についても同様である。

続いて、グラフ変換部１３は、対象脅威情報及び収集された各関連情報をノードとし、関連を有するノード間がリンクで接続されたグラフを生成する（Ｓ１０５）。各ノードには、対応する対象脅威情報の値又は関連情報の値が格納される。

図４は、対象脅威情報及び収集された各関連情報に基づくグラフの一例を示す図である。図４の（１）では、対象脅威情報に対応するノードと、対象脅威情報に基づいて収集された各関連情報（すなわち、蓄積脅威情報を除く各関連情報）に対応するノードとがリンクによって接続された状態が示されている。すなわち、図４（１）は、対象脅威情報から、ＷＨＯＩＳ登録情報、ＤＮＳ名前解決結果、フロー観測情報が１つずつ収集された例に対応する。

（２）では、更に、（１）における各関連情報に対応するノードと、当該各関連情報に基づいて収集された各蓄積脅威情報に対応するノードとがリンクによって接続されて、グラフが完成した状態が示されている。すなわち、図４（２）は、ＷＨＯＩＳ登録情報及びＤＮＳ名前解決結果のそれぞれから、２つの蓄積脅威情報が収集され、フロー観測情報から１つの蓄積脅威情報が収集された例に対応する。

なお、グラフにおける各ノードは、対象脅威情報又は関連情報の値ごとに配置される。また、グラフにおける矢印の方向は、関連の方向を示す。すなわち、矢印の元に基づいて、矢印の先が検索された（収集された）ことを示す。

続いて、信頼度計算部１４は、ステップＳ１０５において生成されたグラフに対してグラフ分析手法である確率伝搬法（Belief Propagation）を適用して、蓄積脅威情報のノードに与えられている信頼度をノード間で伝搬することで対象脅威情報の信頼度Ｐ（ｘ）を計算する（Ｓ１０６）。ここで、信頼度計算における信頼度伝搬の伝搬式の一例は、以下の通りである。
Ｐ（ｘ）＝Σ｛１／（ｔ−ｔ０）｝ｗＰ
ｗ：情報源ごとの重み
ｔ：現在の時刻
ｔ０：蓄積脅威情報の登録時刻、
Ｐ：リンクが存在する蓄積脅威情報の各ノードの信頼度
但し、ｔ＝ｔ０の場合、ｔ−ｔ０＝１
ここで、ｗの値は、０以上１未満であり、ユーザによって任意に設定される。

図５は、信頼度の計算を説明するための図である。図５において、太線の矢印が、信頼度の伝搬を示している。なお、信頼度の伝搬については、非特許文献１に詳しい。信頼度の計算では、対象の脅威情報の信頼度Ｐ（ｘ）が収束するまで計算が実施されるため、対象脅威情報と関連情報とからなるグラフ全体の信頼度を伝搬して利用することが可能である。また、信頼度の伝搬式に時刻の差分の逆数（１／（ｔ−ｔ０））を入れることで、相対的に古い蓄積脅威情報の信頼度の影響（対象脅威情報の信頼度に対する影響）を小さくすることができる。

続いて、出力部１５は、対象脅威情報の信頼度の計算結果と収集された関連情報とを出力する（Ｓ１０７）。

続いて、格納部１６は、対象脅威情報、収集された関連情報を含み、算出された信頼度が付与された情報を新たな脅威情報として脅威情報管理装置５０へ格納する（Ｓ１０８）。

上述したように、本実施の形態によれば、信頼度が不明確な脅威情報の信頼度の算出を可能とすることができる。特に、信頼度が不明確な脅威情報の信頼度算出に関して、複数の情報源から収集した関連情報に基づいてグラフ構造を生成し、グラフ分析手法による信頼度の伝搬を用いることで、信頼度の算出の精度及び効率性を高くすることができる。その結果、サイバー攻撃に対し、これまでより早期で、かつ、より精度が高くより網羅性の高い検知・対処が可能となる。

また、信頼度が算出された対象脅威情報を、その関連情報及び信頼度とともに蓄積することで、蓄積脅威情報を拡充することが可能となる。

また、対象脅威情報と関連するネットワーク観測情報とＯＳＩＮＴ情報を収集することで、過去に蓄積した蓄積脅威情報との関連付けと精度の高い信頼度が算出とが可能となる。

また、関連情報の収集・拡充、信頼度の算出によって、多数の脅威情報の選別に要する運用者負担削減や誤検知の削減による、効率的なセキュリティオペレーションを可能とすることができる。

なお、本実施の形態において、ＯＳＩＮＴ収集部１２１及びＮＷ観測情報収集部１２２は、第１の収集部の一例である。蓄積脅威情報収集部１２３は、第２の収集部の一例である。グラフ変換部１３は、生成部の一例である。信頼度計算部１４は、算出部の一例である。脅威情報管理装置５０は、記憶部の一例である。対象脅威情報は、第１の脅威情報の一例である。蓄積脅威情報は、第２の脅威情報の一例である。

以上、本発明の実施の形態について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０ 信頼度算出装置
１１ 入力部
１２ 関連情報収集部
１３ グラフ変換部
１４ 信頼度計算部
１５ 出力部
１６ 格納部
２０ ＯＳＩＮＴサイト
３０ ＤＮＳサーバ
４０ フロー観測情報管理装置
５０ 脅威情報管理装置
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ ＣＰＵ
１０５ インタフェース装置
１０６ 表示装置
１０７ 入力装置
１２１ ＯＳＩＮＴ収集部
１２２ ＮＷ観測情報収集部
１２３ 蓄積脅威情報収集部
Ｂ バス

Claims (6)

1. 入力された第１の脅威情報に関連する情報を収集する第１の収集部と、
   信頼度が付与されている脅威情報を記憶する記憶部から、前記関連する情報に関連する第２の脅威情報を収集する第２の収集部と、
   前記第１の脅威情報、前記関連する情報及び前記第２の脅威情報をノードとし、関連を有する情報に係るノード間が接続されたグラフを生成する生成部と、
   前記グラフに対して確率伝搬法を適用して、前記第２の脅威情報の信頼度に基づいて前記第１の脅威情報の信頼度を算出する算出部と、
   を有することを特徴とする信頼度算出装置。
2. 前記算出部によって算出された信頼度が付与された前記第１の脅威情報を前記記憶部に格納する格納部、
   を有することを特徴とする請求項１記載の信頼度算出装置。
3. 前記算出部は、相対的に古い前記第２の脅威情報の信頼度の影響が小さくなるように前記の脅威情報の信頼度を算出する、
   ことを特徴とする請求項１又は２記載の信頼度算出装置。
4. 前記関連する情報は、オープンソースインテリジェンス又はネットワークの観測情報を含む、
   ことを特徴とする請求項１乃至３いずれか一項記載の信頼度算出装置。
5. 入力された第１の脅威情報に関連する情報を収集する第１の収集手順と、
   信頼度が付与されている脅威情報を記憶する記憶部から、前記関連する情報に関連する第２の脅威情報を収集する第２の収集手順と、
   前記第１の脅威情報、前記関連する情報及び前記第２の脅威情報をノードとし、関連を有する情報に係るノード間が接続されたグラフを生成する生成手順と、
   前記グラフに対して確率伝搬法を適用して、前記第２の脅威情報の信頼度に基づいて前記第１の脅威情報の信頼度を算出する算出手順と、
   をコンピュータが実行することを特徴とする信頼度算出方法。
6. 請求項１乃至４いずれか一項記載の各部としてコンピュータを機能させることを特徴とするプログラム。

Images