JP2019219898A - セキュリティ対策検討ツール - Google Patents

Abstract

【課題】脅威を達成するサイバー攻撃の手順を分析して、これに対応するセキュリティ対策を検討するセキュリティ対策検討ツールを提供する。【解決手段】セキュリティ対策検討ツール１は、サイバー攻撃される脅威を定義した脅威データベースと、上記脅威について、分析対象システムにおけるリスク値を算出するリスク値算出部と、このリスク値算出部により算出された上記リスク値が、予め決められた基準値を超えるかどうかを判定するリスク値判定処理部と、上記基準値を超えるリスク値を発生させる脅威について、サイバー攻撃の攻撃手順を分析して作成された攻撃シナリオに対し、セキュリティ対策を検討するセキュリティ対策検討部を備える。【選択図】図１

Description

本願は、分析対象システムへのサイバー攻撃の脅威に対するセキュリティ対策を検討するセキュリティ対策検討ツールに関するものである。

社会インフラの制御システムの構成機器である制御装置、計算機、ネットワーク機器は、従来の「独自プロトコル」、「外部から隔離されたシステム」という特性から、近年は「汎用ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）」、「汎用プロトコル」等という特性に変化している。
それに伴い、データ収集または他社製品・システムとの連携など、利便性あるいは効率が向上するメリットが得られた。一方で、サイバー攻撃の脅威に晒される可能性が生じているというデメリットも発生し、セキュリティ対策が欠かせなくなっている。

このような背景を踏まえ、セキュリティ対策検討を支援するツール、方法およびプログラム（以下、セキュリティ対策検討手段）を用いた装置に関する様々な技術が公開されている。
例えば、社会インフラの制御システムにおける従来のセキュリティ対策検討手段を用いた装置においては、セキュリティ対策の検討箇所を抽出する目的で、リスク分析手法（詳細リスク分析、ベースラインアプローチ等）を用いて、制御システムに内在するセキュリティ上のリスク値を算出し、あらかじめ設定した閾値以上のセキュリティ対策が必要な項目に対して優先順位を付与して制御システム構成上にマッピングをしている（特許文献１）。
この特許文献１で開示されている技術を従来技術１とする。

また、情報システムにおける従来のセキュリティ対策検討手段を用いた装置においては、運用中の情報システムの状態に対して、リスク分析手法を用いて、リスクを軽減するための対策候補から、運用中の情報システムに生じる各種制約を考慮した上で、最適な対策方法を提示するものがある（特許文献２）。
この特許文献２で記載されている技術を従来技術２とする。

また、情報システムに対して行われる不正アクセス行為手順をモデル化し、情報システム構造、構成要素などに左右されないセキュリティ・イベント遷移モデルにより、不正アクセスに関係する各脅威を洗い出し、洗い出した脅威に対する有効な対策を提示するものがある（特許文献３）。
この特許文献３で記載されている技術を従来技術３とする。

特開２０１６−１９２１７６号公報（第７〜１１頁、第１図） ＷＯ２００８／００４４９８号公報（第６〜１１頁、第１図） 特開２００９−１１０１７７号公報（第６〜８頁、第２図）

従来技術１は、社会インフラの制御システムに内在するリスクを分析し、セキュリティ対策が必要なリスクに対して、業務の重要度と業務数によって優先順位を付与して、システム構成図上にマッピングすることを実現している。
しかしながら、従来技術１のセキュリティ対策の優先順位の評価項目は、規制適合、既存装置への影響、およびセキュリティ対策導入にかかるコスト等の観点がないため、実運用を考慮したセキュリティ対策検討をすることにおいて問題があった。

また、従来技術２は、情報システムのセキュリティ対策の判定は、セキュリティリスクを判定するためのリスクモデルと、対策手段を決定するための対策モデルによりセキュリティリスクを低減させるための複数の対策案生成部と、実施する対策を決定する対策順位決定方針の組合せにより、内在リスクのリスク値を許容値内に低減するようにしている。
この技術の対策順位決定方針は、コスト、運用上の制約、目標とする内在リスクのリスク値の許容値を設定でき、システムの運用を考慮することができる。
しかしながら、従来技術２は、対策案生成部と対策順位決定方針の組合せで、セキュリティ対策を検討しているが、本手法で検討したセキュリティ対策が、過剰なセキュリティ対策なのか、または過少なセキュリティ対策なのかを判断できない問題点があった。
何故なら、攻撃者がどのようにして情報システムを攻撃してくるのか、攻撃に対応するセキュリティ対策検討まで考慮できていないためである。

従来技術３は、情報システムに対する不正アクセス行為手順を分析することで、情報システム構造、構成要素などに左右されないセキュリティ・イベント遷移モデルを構築し、攻撃の各フェーズに対応する各脅威を洗い出し、洗い出された脅威に対する最適なセキュリティ対策を検討している。
しかしながら、リスク分析を実施していないため、分析対象としたシステムに内在するリスクを網羅的に抽出できないこと、不正アクセス行為に関連する脅威以外のサイバー攻撃に対応するセキュリティ対策の最適解を検討できないこと、分析対象モデルを適用できるのは不正アクセスを脅威とした情報システムのみであることなどの問題があった。

本願は、上記のような課題を解決するための技術を開示するものであり、分析対象システムへのサイバー攻撃の攻撃手順を分析して、これに対応するセキュリティ対策を検討するセキュリティ対策検討ツールを提供することを目的とする。

本願に開示されるセキュリティ対策検討ツールは、サイバー攻撃される脅威を定義した脅威データベース、脅威について、分析対象システムにおけるリスク値を算出するリスク値算出部、このリスク値算出部により算出されたリスク値が、予め決められた基準値を超えるかどうかを判定するリスク値判定処理部、および基準値を超えるリスク値を発生させる脅威について、サイバー攻撃の攻撃手順を分析して作成された攻撃シナリオに対し、セキュリティ対策を検討するセキュリティ対策検討部を備えたようにしたものである。

本願に開示されるセキュリティ対策検討ツールによれば、分析対象システムへのサイバー攻撃の攻撃手順を分析して、これに対応するセキュリティ対策を検討することができる。

実施の形態１による制御システム向けセキュリティ対策検討ツールの概略構成を示すブロック図である。 実施の形態１による制御システム向けセキュリティ対策検討ツールの制御動作を示すフローチャートである。 実施の形態１による制御システム向けセキュリティ対策検討ツールのセキュリティ対策の検討に用いるデータベース間の関係を示す図である。 実施の形態１による制御システム向けセキュリティ対策検討ツールの複数の脅威が同一の対策で緩和することができる例を示す図である。 実施の形態１による制御システム向けセキュリティ対策検討ツールの対策必要脅威ＤＢの一例を示す図である。 実施の形態１による制御システム向けセキュリティ対策検討ツールの攻撃シナリオＤＢの一例を示す図である。 実施の形態１による制御システム向けセキュリティ対策検討ツールの対策ＤＢの一例を示す図である。 実施の形態１による制御システム向けセキュリティ対策検討ツールの攻撃手順と対策の一例を示す図である。 実施の形態１による制御システム向けセキュリティ対策検討ツールの対策優先順位ルールの一例を示す図である。 実施の形態１による制御システム向けセキュリティ対策検討ツールの対策の優先順位付けの処理動作の一例を示すフローチャートである。 実施の形態２による制御システム向けセキュリティ対策検討ツールの概略構成を示すブロック図である。 実施の形態２による制御システム向けセキュリティ対策検討ツールのセキュリティ対策の検討に用いるデータベース間の関係を示す図である。 実施の形態３による制御システム向けセキュリティ対策検討ツールの概略構成を示すブロック図である。 実施の形態３による制御システム向けセキュリティ対策検討ツールのサイバー攻撃シナリオ生成の一例を示すフローチャートである。

実施の形態１．
以下、実施の形態１を図に基づいて説明する。
図１は、実施の形態１による制御システム向けセキュリティ対策検討ツールの概略構成を示すブロック図である。
図１において、制御システム向けセキュリティ対策検討ツール１（セキュリティ対策検討ツール）は、制御システムに内在する脅威を基にサイバー攻撃を想定し、想定したサイバー攻撃に対処するためのセキュリティ対策を検討するシステムである。

制御システム向けセキュリティ対策検討ツール１のシステム構成として、メモリ３０、ハードディスク装置４０、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１５、入出力装置１６、マウス・キーボード１７、メモリ３０、ハードディスク装置４０を有している。
制御システム向けセキュリティ対策検討ツール１は、ＣＰＵ１５からの動作命令により、メモリ３０に実装されている、後述するリスク値自動算出部２（リスク値算出部）、リスク値判定処理部３、セキュリティ対策検討部４の機能が実行される。

ハードディスク装置４０（記憶装置）には、次の情報が格納されている。
データフロー５は、分析対象システム（制御システムを含む）のデータフローの情報である。情報資産６は、分析対象システムで扱う情報資産であり、例えば、プラントデータ、制御信号等である。リスク分析結果７は、後述する脅威ＤＢ（ｄａｔａｂａｓｅ）１４（脅威データベース）の情報から算出した、脅威に対するリスク値等のリスク分析結果である。
システム構成８は、分析対象システムのシステム構成を示す図である。管理情報９は、現在の管理状況を分析した結果（施錠管理等）の情報であり、装置、部屋、人の情報である。
対策ＤＢ１０（対策データベース）は、脅威に対する対策（セキュリティ対策）を格納している。対策必要脅威ＤＢ１１（脅威対策対応データベース）は、対策検討が必要な脅威について、この脅威への対策とともに格納している。攻撃シナリオＤＢ１２（攻撃シナリオデータベース）は、各脅威への攻撃シナリオとその攻撃シナリオを展開した各ステップを格納している。対策優先順位ルール１３（対策優先順位ルールデータベース）は、脅威に対する対策の優先順位を格納している。脅威ＤＢ１４は、サイバー攻撃される各脅威を定義して、格納している。

リスク値自動算出部２は、ハードディスク装置４０に格納されている分析対象システムのデータフロー５、分析対象システムで扱う情報資産６、分析対象システムのシステム構成８、現在の管理状況を分析した結果（施錠管理等）の管理情報９、脅威ＤＢ１４の情報から、分析対象システムにおける脅威に対するリスク値等のリスク分析結果を算出する。
そして、算出結果を、ハードディスク装置４０上のリスク分析結果７に保存する。

リスク値判定処理部３は、ハードディスク装置４０上に格納されたリスク分析結果７のうち、基準値を超える分析結果を判定する処理を実行する。

セキュリティ対策検討部４は、リスク値自動算出部２により算出されたリスク分析結果７の情報を入力として、セキュリティ対策検討部４で、分析対象システムに内在する脅威に対して、どのようなサイバー攻撃が想定し得るかの分析を行なう。
また、ハードディスク装置４０上に格納されている対策ＤＢ１０、対策必要脅威ＤＢ１１、攻撃シナリオＤＢ１２および対策優先順位ルール１３を参照して、サイバー攻撃の踏み台となる脅威、および攻撃者が目標としている脅威を防止するセキュリティ対策の検討を行なう。

図３は、実施の形態１による制御システム向けセキュリティ対策検討ツールのセキュリティ対策の検討に用いるデータベース間の関係を示す図である。
図３において、対策ＤＢ１０は、対策ＩＤ（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）ごとに、対策名、対策内容を有する。対策必要脅威ＤＢ１１は、対策の検討が必要な脅威の脅威ＩＤごとに、脅威名、脅威内容、対策ＩＤを有する。攻撃シナリオＤＢ１２は、シナリオＩＤごとに、攻撃シナリオの内容、この攻撃シナリオに関連する脅威ＩＤを有する。
攻撃シナリオＤＢ１２は、対策必要脅威ＤＢ１１と脅威ＩＤで紐付けされ、対策必要脅威ＤＢ１１は、対策ＤＢ１０と対策ＩＤで紐付けされている。
なお、図中、ＦＫは、他のＤＢを参照する場合の外部キーとなるものを表わしている。

図４は、実施の形態１による制御システム向けセキュリティ対策検討ツールの複数の脅威が同一の対策で緩和することができる例を示す図である。
図４において、複数の脅威の内容と、これらの脅威を緩和する対策の内容を示している。これらの内容は、対策必要脅威ＤＢ１１で管理される。
脅威の一例として、脅威Ａ「ネットワークに接続した不正端末からの装置内情報への不正アクセスによりデータが盗まれる」、脅威Ｂ「データが改ざんされる」、脅威Ｃ「ネットワークの通信経路上でデータが盗聴される」を挙げ、これらの脅威Ａ〜Ｃは、同一の対策である「ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）／ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）通信（証明書）を使用した暗号化通信を実施」で緩和されることを示している。

図５は、実施の形態１による制御システム向けセキュリティ対策検討ツールの対策必要脅威ＤＢの一例を示す図である。
図５において、図４で示した情報以外に、対策必要脅威ＤＢ１１で管理している情報を示している。図５では、脅威ＩＤ、脅威名、脅威内容、対策ＩＤについて、その内容を示している。
対策必要脅威ＤＢ１１で、外部キーになる脅威ＩＤは、脅威内容が特定できるようにＩＤ番号を一意に付番し、同一の対策で脅威を緩和することができるものは同じ対策ＩＤを付番した情報を管理する。
また、同一の対策で脅威を緩和できないものは、対策ＩＤを一意に付番した情報を管理している。

図６は、実施の形態１による制御システム向けセキュリティ対策検討ツールの攻撃シナリオＤＢの一例を示す図である。
図６においては、攻撃シナリオＤＢ１２の管理する情報である。シナリオＩＤ、攻撃内容、攻撃シナリオの各情報をもっている。ここで、攻撃シナリオは、脅威ＩＤを用いて攻撃ステップ（手順）が示されている。
対策必要脅威ＤＢ１１で管理している脅威Ａ「ネットワークに接続した不正端末からの装置内情報への不正アクセスによりデータが盗まれる」等の脅威が、どのような攻撃手順で、どのような時系列で実施されるかについて、脅威ＩＤを用いて示されている。

図７は、実施の形態１による制御システム向けセキュリティ対策検討ツールの対策ＤＢの一例を示す図である。
図７において、対策ＤＢ１０は、対策ＩＤごとに、対策名、対策内容を有している。
この例では、攻撃シナリオＤＢ１２で管理している「脅威Ａ：ネットワークに接続した不正な端末からの装置内情報への不正アクセスによりデータが盗まれる」を用いた攻撃シナリオの各ステップに対する対策が示されている。

図８は、実施の形態１による制御システム向けセキュリティ対策検討ツールの攻撃手順と対策の一例を示す図である。
図８において、攻撃シナリオの各ステップを緩和させる有効な対策を示している。
すなわち、各攻撃ステップについて、項目、詳細を示し、これに有効な対策を〇で示している。

図９は、実施の形態１による制御システム向けセキュリティ対策検討ツールの対策優先順位ルールの一例を示す図である。
図９において、対策ＤＢ１０で管理しているセキュリティ対策に関する優先順位を示している。対策α、β、γ、δ、ε・・のうちどの対策を実施するかの優先順位付けを示しており、予め分析者が記入しておく。
優先順位、機能（対策）、説明（対策の説明）、規制適合、既存装置への影響、工事コスト、直接的対策、スコアの欄がある。ただし、
規制適合は、該当を１００とし、非該当を０とする。
既存装置への影響は、最大を１、大を２、中を３、小を４、最小を５とする。
工事コストは、最大を１、大を２、中を３、小を４、最小を５とする。
直接的対策は、非該当を０、該当を５とする。
スコアは、スコアの値が高いほど優先順位が高いものとする。

次に、動作について説明する。
図２を用いて、制御システム向けセキュリティ対策検討ツール１の動作について説明する。
ハードディスク装置４０上に記録されているデータフロー５、システム構成８、情報資産６、管理情報９、脅威ＤＢ１４を、メモリ３０上にあるリスク値自動算出部２に入力する。リスク値自動算出部２は、分析対象システムに内在する脅威のリスク値を算出する。メモリ３０上で演算した結果を、ハードディスク装置４０上のリスク分析結果７として保存する。
リスク値判定処理部３は、リスク分析結果７を取込む（ステップＳ１００）。

リスク値判定処理部３は、取り込んだリスク分析結果７について、基準値を超えるリスク値かどうかを判定する（ステップＳ１０１）。なお、分析対象システムに応じて、リスク値判定処理部３で設定される基準値は、分析者が必要に応じて最小値１から最大値９までの間で変更できるようにしてもよい。

ステップＳ１０１で、基準値を超えるリスクの場合、そのリスクに対する各脅威の攻撃シナリオの内容、脅威ＩＤ、シナリオＩＤを、攻撃シナリオＤＢ１２にあらかじめ作成しておく（ステップＳ１０２）。

次いで、セキュリティ対策検討部４が、ステップＳ１０２で作成された攻撃シナリオＤＢ１２で保管している脅威ＩＤを外部キーとして、対策必要脅威ＤＢ１１上で保管している脅威名、脅威内容、対策ＩＤを呼び出す。
次いで、対策ＩＤを外部キーとして、対策ＤＢ１０に格納されている対策名、対策内容を呼び出す。そして、ステップＳ１０２において作成された攻撃シナリオの最終目的とする脅威、最終目的を実現するための踏み台となる脅威（攻撃シナリオの各ステップに対応する脅威）に対して、有効なセキュリティ対策を攻撃シナリオの各ステップごとに展開する（ステップＳ１０３）。

次いで、セキュリティ対策検討部４は、ステップＳ１０３で展開したセキュリティ対策の候補と、ハードディスク装置４０上に保存してある対策優先順位ルール１３に基づいて、どのセキュリティ対策から実施すべきかの優先順位付けを行う（ステップＳ１０４）。

次に、セキュリティ対策検討部４は、ステップＳ１０４で優先順位付けしたセキュリティ対策のうち、どれを採用するかを判定する。
近年サイバー攻撃が高度化しており、攻撃シナリオの複数のステップを実施する可能性が高いことから、最低２つの攻撃ステップに対応できるようにセキュリティ対策を選定する（ステップＳ１０５）。

ステップＳ１０１で判定したリスク値が基準値以下の場合、内在リスクとして、リスク分析結果７に記録しておく（ステップＳ１０６）。
ステップＳ１０５またはステップＳ１０６のどちらかの処理が行われた後、処理を終了する。

次に、脅威例を交えて制御システム向けセキュリティ対策検討ツール１の支援方法の具体的な処理内容について説明する。
図４は、ステップＳ１０１で基準値を超えたリスク値をもつ脅威の一例と、これらの脅威を緩和する対策例を示したものである。これらの情報は、対策必要脅威ＤＢ１１で管理している。
また、図５は、図４で示した情報以外に対策必要脅威ＤＢ１１で管理している情報を示している。なお、対策必要脅威ＤＢ１１が、図５以外の情報を管理してもよいのは言うまでもない。

次に、図４を用いて説明する。
脅威の一例として、脅威Ａ「ネットワークに接続した不正端末からの装置内情報への不正アクセスによりデータが盗まれる」、脅威Ｂ「データが改ざんされる」、脅威Ｃ「ネットワークの通信経路上でデータが盗聴される」があるとすると、これらの脅威Ａから脅威Ｃは、同一の対策である「ＳＳＬ・ＴＬＳ通信（証明書）を使用した暗号化通信を実施」で緩和される。
このため、対策必要脅威ＤＢ１１は、図５に示すように、外部キーになる脅威ＩＤは、脅威内容が特定できるようにＩＤ番号を一意に付番するとともに、同一の対策で脅威を緩和することができるものは同じ対策ＩＤを付番した情報を、対策必要脅威ＤＢ１１で管理している。
また、同一の対策で脅威を緩和できないものは、対策ＩＤを一意に付番した情報を対策必要脅威ＤＢ１１で管理するようにしている。

次に、図６について説明する。
図６は、ステップＳ１０１で、リスク値が基準値を超えたため、対策が必要となった脅威について、攻撃シナリオを展開している。すなわち、対策必要脅威ＤＢ１１で管理している脅威Ａ「ネットワークに接続した不正端末からの装置内情報への不正アクセスによりデータが盗まれる」等の脅威が、どのような攻撃手順で、どのような時系列で実施されるかについて、脅威ＩＤを用いて示したものであり、この情報は、攻撃シナリオＤＢ１２で管理される。

実施の形態１では、攻撃手順の分析は、攻撃者目線で攻撃のステージを定義して、それに対して何を行う必要があるかを分析するためのフレームワークであるキルチェーンの考え方を、大きく４つの分類（準備、潜入、横断的侵害、活動）に分けて実施する。
「脅威Ａ：ネットワークに接続した不正な端末からの装置内情報への不正アクセスによりデータが盗まれる」の目的を実現するためには、踏み台となる分析対象システムに内在する複数の脅威を使用して攻撃を行う必要がある。
この攻撃手順は、攻撃手法、および分析対象システムに内在する複数の脅威を使用するため、リスク分析結果の知見が必要であり、予め分析者がステップＳ１０２で、図６のような管理情報を用意する。

次に、図７、図８について説明する。
図７の例は、攻撃シナリオＤＢ１２で管理している「脅威Ａ：ネットワークに接続した不正な端末からの装置内情報への不正アクセスによりデータが盗まれる」を用いた攻撃シナリオの各ステップに対する対策を示したものである。
図７の例は、ステップＳ１０３で実行される、攻撃シナリオの各ステップにセキュリティ対策を展開した結果である。
この図７の情報を得るためには、図６の外部キーである脅威ＩＤを基に、対策必要脅威ＤＢ１１を参照して、図５で示した脅威名、脅威内容、対策ＩＤを取得する。さらに、対策ＩＤを外部キーとして、セキュリティ対策内容を管理している対策ＤＢ１０を参照して、（図７に示す）対策名、対策内容を取得することで得られる。

上記の手順を実施した結果が、図８に示され、対策α、β等に「○」が付いている対策が、攻撃シナリオの各ステップを緩和させる有効な対策であることを示している。

図９は、対策ＤＢ１０で管理しているセキュリティ対策に関する優先順位をまとめたものである。
図８の攻撃ステップを、準備、潜入、横断的侵害、活動の４つに分類した項目ごとに考えられる対策α、β、γ、δ、ε・・のうち、どの対策を実施するかの優先順位付けを、図９に示している。この優先順位は、予め分析者が記入しておく。

次に、対策の優先順位付けの処理動作の一例について、図１０を用いて説明する。
なお、今回記載したルールは一例であり、規制適合の重み付けをしない方法、または各評価項目の最大値、最小値は５段階とせず、３段階等の方法で判定しても良い。

まず、図９に示した規制適合に該当するかどうかを判定する（ステップＳ２０１）。
ステップＳ２０１で、規制適合のセキュリティ対策と不一致の場合、図９に示した既存装置への影響、工事コスト、直接的対策の各評価項目の評価点の合計値を算出する（ステップＳ２０２）。

ステップＳ２０１で、規制適合のセキュリティ対策と一致した場合、そのセキュリティ対策は、実施するものと判定する（ステップＳ２０３）。
ステップＳ２０２で評価項目に従って算出した合計値の高い順にソートを行い、並び替える（ステップＳ２０４）。

図２のステップＳ１０５でのセキュリティ対策の決定において、優先順位付けのルールを適用した対策のうち、どれを採用するかの判定は、近年サイバー攻撃が高度化して、攻撃シナリオの複数の攻撃ステップを実施する可能性が高いことから、最低２つの攻撃ステップに対応できるようにする。
このため、図４の「脅威Ａ：ネットワークに接続した不正な端末からの装置内情報への不正アクセスによりデータが盗まれる」に対しては、対策α、βが選定される。

実施の形態１では、制御システム向けセキュリティ対策検討ツールは、固有の制御システムのみではなく、分析対象とした制御システムに基づいた脅威に対して、リスク値を算出し、許容値（基準値）を超えるリスク値の脅威に対し、複数あるセキュリティ対策の中から選択したセキュリティ対策を提示することができる。
また、許容するリスクの基準値を可変なパラメータとしたことで、セキュリティ対策を講じる脅威を取捨選択することができる。
また、制御システムに対するサイバー攻撃は、高度化しており、複数の攻撃手順を駆使して実施される可能性が高いため、最低でも２つの攻撃手順に対応できるようにすることで、強固なセキュリティ対策を検討することができる。

さらに、セキュリティ対策の検討で、実運用を考慮する際、実施の形態１で検討した項目以外の項目の追加・削除・変更、評価指標の段階を３段階、５段階等の可変に設定できるようにしたため、実運用に即して重み付けをしながら、セキュリティ対策を検討することができる。
また、制御システム向けセキュリティ対策検討ツールを用いることで、分析者の技量、知識に依存せず、セキュリティ対策の検討の分析を行うことが可能であるとともに、分析作業の効率化を図ることができる効果がある。

実施の形態２．
以下、実施の形態２を図に基づいて説明する。
図１１は、実施の形態２による制御システム向けセキュリティ対策検討ツールの概略構成を示すブロック図である。
図１１において、符号１〜１７、３０、４０は図１におけるものと同一のものである。図１１では、ハードディスク装置４０に、設備ＤＢ１８（設備データベース）と設備攻撃シナリオ対応ＤＢ１９（設備攻撃シナリオ対応データベース）とを設けている。設備ＤＢ１８には、一例として、装置ＩＤごとに、装置名、装置種別、および装置が扱っている情報資産に応じた重要度である装置重要度が、格納されている。設備攻撃シナリオ対応ＤＢ１９には、一例として、シナリオＩＤごとに、シナリオ名、この攻撃シナリオに関連する設備の装置ＩＤが格納されている。

図１２は、実施の形態２による制御システム向けセキュリティ対策検討ツールのセキュリティ対策の検討に用いるデータベース間の関係を示す図である。
図１２において、符号１０〜１２は図３におけるものと同一のものである。設備ＤＢ１８は、装置ＩＤごとに装置名、装置種別、装置重要度を格納し、設備攻撃シナリオ対応ＤＢ１９は、シナリオＩＤごとに、シナリオ名、この攻撃シナリオに関連する設備の装置ＩＤを格納している。
設備攻撃シナリオ対応ＤＢ１９は、シナリオＩＤで攻撃シナリオＤＢ１２に紐付けされ、装置ＩＤで設備ＤＢ１８に紐付けされている。

実施の形態２は、セキュリティ対策を選定する際、設備の装置種別と装置重要度に応じて、対応する攻撃シナリオを変化させるようにしたものである。
実施の形態２では、制御システム向けセキュリティ対策検討ツール１のハードディスク装置４０上に、設備ＤＢ１８、設備攻撃シナリオ対応ＤＢ１９が追加されている。

次に、動作について説明する。
実施の形態２の制御システム向けセキュリティ対策検討ツール１の処理について、図２を援用して説明する。
実施の形態２では、ステップＳ１０５以外の各ステップは、図２の処理と同じであるので、以下に、ステップＳ１０５について説明する。

ステップＳ１０５で、セキュリティ対策の決定を行う際、攻撃シナリオＤＢ１２のシナリオＩＤを外部キーとして、設備攻撃シナリオ対応ＤＢ１９で管理しているシナリオ名、装置ＩＤを参照する。さらに装置ＩＤを外部キーとして、設備ＤＢ１８で管理している装置名、装置種別、装置が扱っている情報資産に応じた装置重要度を参照する。

装置重要度が高い場合、攻撃シナリオの各ステップに対応する対策数を２から３に変更し、「脅威Ａ：ネットワークに接続した不正な端末からの装置内情報への不正アクセスによりデータが盗まれる」に対しては、対策α、β、γが選定される。
一方で、設備の重要度が低い場合、攻撃シナリオの各ステップに対応する対策数を２から１に変更し、「脅威Ａ：ネットワークに接続した不正な端末からの装置内情報への不正アクセスによりデータが盗まれる」に対しては、対策αが選定される。

実施の形態２によれば、実施の形態１のシステム構成に加えて、設備ＤＢ１８、設備攻撃シナリオ対応ＤＢ１９を追加したことで、装置種別、装置が扱っている情報資産に応じた装置重要度を参照できる構成とすることができ、実施の形態１で述べた効果に加えて、装置重要度に応じて、セキュリティ対策の実施内容を変更することができる。

実施の形態３．
以下、実施の形態３を図に基づいて説明する。
図１３は、実施の形態３による制御システム向けセキュリティ対策検討ツールの概略構成を示すブロック図である。
図１３において、符号１〜１９、３０、４０は図１１におけるものと同一のものである。図１３では、ハードディスク装置４０に、各脅威への攻撃シナリオを作成するサイバー攻撃シナリオ生成ＡＩ（ａｒｔｉｆｉｃｉａｌ ｉｎｔｅｌｌｉｇｅｎｃｅ）２０を設けている。

実施の形態３は、攻撃手順の分析を行う際、人工知能ＡＩを活用して攻撃ステップを生成するようにしたものである。
実施の形態３では、制御システム向けセキュリティ対策検討ツール１のハードディスク装置４０上に、サイバー攻撃シナリオ生成ＡＩ２０が追加されている。

次に、実施の形態３の制御システム向けセキュリティ対策検討ツール１の処理について、図２、図１４を用いて説明する。
実施の形態３の制御システム向けセキュリティ対策検討ツール１の処理は、ステップＳ１０２以外は、図２に示すものと同じであり、その説明を省略する。
図２のステップＳ１０２の処理は、基準値を超えるリスクの場合、そのリスクに対する各脅威の攻撃シナリオ、脅威ＩＤ、シナリオＩＤを、攻撃シナリオＤＢ１２にあらかじめ作成しておく処理であった。
実施の形態３では、この図２のステップＳ１０２の処理を、サイバー攻撃シナリオ生成ＡＩ２０により、図１４のフローチャートのように行なう。

まず、図６に示した攻撃シナリオを、サイバー攻撃シナリオ生成ＡＩ２０にティーチングを行なう（ステップＳ３００）。このティーチングでは、ニューラルネットワークによるディープラーニングにより攻撃シナリオを学習させる。

次に、ティーチングを行った攻撃シナリオ以外のサイバー攻撃がないかどうかを、公開情報（インターネット、文献等）から調べ、有れば、サイバー攻撃の攻撃シナリオの強化学習を行う（ステップＳ３０１）。
これらの情報を基に、サイバー攻撃シナリオ生成ＡＩ２０が、各脅威の攻撃シナリオを生成する（ステップＳ３０２）。

ステップＳ３０２で生成された各脅威の攻撃シナリオの踏み台となる脅威、および攻撃者が目標としている脅威となる攻撃シナリオに対して、脅威ＩＤを付番する処理が終了するまで、ステップＳ３０３からステップＳ３０９までの処理を繰り返し行う。
具体的な処理内容は、以下の通りである。
サイバー攻撃シナリオ生成ＡＩ２０により生成された各脅威の攻撃シナリオの各ステップに対して、脅威ＤＢ１４を参照する（ステップＳ３０４）。次いで、脅威ＤＢ１４上に存在する脅威かどうかの判定を行う（ステップＳ３０５）。

ステップＳ３０５で判定を行った結果、各脅威の攻撃シナリオの各ステップが、脅威ＤＢ１４に存在する場合、サイバー攻撃シナリオ生成ＡＩ２０で生成された攻撃シナリオに対して、脅威ＩＤを付番する（ステップＳ３０６）。
一方、脅威ＤＢ１４に存在しない脅威の場合、サイバー攻撃シナリオ生成ＡＩ２０により、脅威ＩＤの新規付番を行なう（ステップＳ３０７）。次いで、新規付番した脅威ＩＤを、サイバー攻撃シナリオ生成ＡＩ２０で生成された攻撃シナリオに対して付番する（ステップＳ３０８）。
最後に、攻撃シナリオを、時系列の順に脅威ＩＤで記述を行う（ステップＳ３１０）。

サイバー攻撃シナリオ生成ＡＩ２０が、新規付番した脅威ＩＤの脅威に対するセキュリティ対策を対策ＤＢ１０から参照することはできないため、分析者が新規付番した脅威ＩＤの脅威に対するセキュリティ対策の内容を対策ＤＢ１０に追加する。

実施の形態３では、サイバー攻撃シナリオ生成ＡＩ２０で新規付番した脅威ＩＤの脅威に対するセキュリティ対策の内容を、対策ＤＢ１０に反映するようにした。
これと同様に、上述のサイバー攻撃シナリオ生成ＡＩ２０と同様の手法で、セキュリティ対策用のＡＩを作成するようにしてもよい。すなわち、サイバー攻撃シナリオ生成ＡＩ２０が新規付番した脅威ＩＤに対するセキュリティ対策を、新たに作成したセキュリティ対策用のＡＩで生成する構成としても良い。

実施の形態３によれば、実施の形態２のシステム構成に加えて、サイバー攻撃シナリオ生成ＡＩ２０を追加したことで、今まで分析者が行っていた攻撃シナリオの生成をＡＩで実施する構成にすることができる。
これにより、実施の形態１、２で述べた効果に加えて、攻撃シナリオの生成を分析者の力量に応じず自動化することができる。
また、ＡＩで攻撃シナリオを検討する構成としたことで、顕在化していないサイバー攻撃に対するセキュリティ対策の検討を行なうことができる。

なお、上記説明では、制御システムのセキュリティ対策を検討する場合について述べたが、その他の情報システムにも利用できることは言うまでもない。

本開示は、様々な例示的な実施の形態および実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、および機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１ 制御システム向けセキュリティ対策検討ツール、２ リスク値自動算出部、
３ リスク値判定処理部、４ セキュリティ対策検討部、５ データフロー、
６ 情報資産、７ リスク分析結果、８ システム構成、９ 管理情報、１０ 対策ＤＢ、
１１ 対策必要脅威ＤＢ、１２ 攻撃シナリオＤＢ、１３ 対策優先順位ルール、
１４ 脅威ＤＢ、１５ ＣＰＵ、１６ 入出力装置、１７ マウス・キーボード、
１８ 設備ＤＢ、１９ 設備攻撃シナリオ対応ＤＢ、
２０ サイバー攻撃シナリオ生成ＡＩ、３０ メモリ、４０ ハードディスク装置

Claims (7)

1. サイバー攻撃される脅威を定義した脅威データベース、
   上記脅威について、分析対象システムにおけるリスク値を算出するリスク値算出部、
   このリスク値算出部により算出された上記リスク値が、予め決められた基準値を超えるかどうかを判定するリスク値判定処理部、
   および上記基準値を超えるリスク値を発生させる脅威について、サイバー攻撃の攻撃手順を分析して作成された攻撃シナリオに対し、セキュリティ対策を検討するセキュリティ対策検討部を備えたことを特徴とするセキュリティ対策検討ツール。
2. 脅威ごとに、サイバー攻撃の攻撃手順を分析して作成された攻撃シナリオを記憶した攻撃シナリオデータベース、
   脅威を緩和させるためのセキュリティ対策を記憶した対策データベース、
   および上記攻撃シナリオデータベースに記憶された上記攻撃シナリオにより攻撃される脅威と、上記対策データベースに記憶されたセキュリティ対策とを対応させて記憶した脅威対策対応データベースを備え、
   上記セキュリティ対策検討部は、上記基準値を超えるリスク値を発生させる脅威について、上記攻撃シナリオデータベース、上記対策データベースおよび上記脅威対策対応データベースを参照して、上記攻撃シナリオに対する複数のセキュリティ対策を検討することを特徴とする請求項１に記載のセキュリティ対策検討ツール。
3. 上記セキュリティ対策検討部により検討された複数のセキュリティ対策の実施順に優先順位を付けるためのルールを有する対策優先順位ルールデータベースを備えたことを特徴とする請求項２に記載のセキュリティ対策検討ツール。
4. 上記分析対象システムを構成する設備について、重要度を予め定義した設備データベース、
   およびこの設備データベースの設備と、この設備に関連する上記攻撃シナリオデータベースの攻撃シナリオとを対応付けた設備攻撃シナリオ対応データベースを備え、
   上記セキュリティ対策検討部は、上記設備攻撃シナリオ対応データベースおよび上記設備データベースを参照して、上記設備の重要度に応じた数の上記セキュリティ対策を検討することを特徴とする請求項２または請求項３に記載のセキュリティ対策検討ツール。
5. 上記攻撃シナリオおよび当該攻撃シナリオの各攻撃手順を生成するサイバー攻撃シナリオ生成ＡＩを備えたことを特徴とする請求項２から請求項４のいずれか一項に記載のセキュリティ対策検討ツール。
6. 上記サイバー攻撃シナリオ生成ＡＩは、予め作成された上記攻撃シナリオデータベースを用いて、上記攻撃シナリオを学習することを特徴とする請求項５に記載のセキュリティ対策検討ツール。
7. 上記リスク値算出部は、上記脅威に対するリスク値が、上記基準値以内である場合には、内在リスクとして記憶装置に記憶することを特徴とする請求項１から請求項６のいずれか一項に記載のセキュリティ対策検討ツール。

Images