JP2020136949A - 検知ルール群調整装置および検知ルール群調整プログラム - Google Patents

Abstract

【課題】攻撃の進行度に応じて誤検知数を調整できるようにする。【解決手段】誤検知量取得部１１０が、一連の攻撃活動を構成する全体フェーズ群に対応する全体検知ルール群を用いて攻撃検知が行われた場合の各フェーズの誤検知量を取得する。終盤判定部１２１が、前記終盤フェーズ群の誤検知量が終盤制約を満たすか判定する。全体判定部１２３が、前記全体フェーズ群の誤検知量が全体制約を満たすか判定する。前記終盤フェーズ群の誤検知量が前記終盤制約を満たさない場合、終盤調整部１２２が、終盤検知ルール群の各検知ルールのパラメータ値を調整する。前記終盤フェーズ群の誤検知量が前記終盤制約を満たし、且つ、前記全体フェーズ群の誤検知量が前記全体制約を満たさない場合、全体調整部１２４が、前記終盤検知ルール群以外の各検知ルールのパラメータ値を調整する。【選択図】図２

Description

本発明は、サイバー攻撃を検知するための検知ルールの調整に関するものである。

従来、サイバー攻撃を検知するために、通信ログおよび端末ログなどを基に検知ルールが作成されていた。攻撃の検知結果は、検知ルールに適用するパラメータまたは閾値によって左右される。検知漏れを防ぎつつ誤検知を抑制するには、適正なパラメータおよび適正な閾値を設定する必要がある。

特許文献１には、検知ルールの閾値を決定する技術が開示されている。
この技術では、監視対象ネットワークの通信ログとマルウェア発生時の通信ログが分析ルールとチューニング条件とに基づいて分析される。そして、誤検知率および攻撃検知率の制約に従って、検知ルールの閾値が決定される。

国際公開２０１５／１４１６３０号

マルウェアなどによる攻撃のログは、監視対象のシステムが実際に攻撃を受ける、または、攻撃が模擬環境などを用いて再現されることで入手できる。しかし、監視対象のシステムで実際に収集されるログのほとんどは正常なログである。また、網羅的に既存の攻撃を再現することは難しい。また、未知の攻撃に関しては攻撃のログが存在しない。
攻撃のログが用意できない場合であっても、セキュリティ・オペレーション・センター（ＳＯＣ）などで監視を行う監視員が１日で許容可能な誤検知数を基準に、閾値を設定することはできる。しかし、複数の検知ルールを併用して監視が行われる場合、誤検知数を許容可能な範囲に収めるために、どの検知ルールをどのように修正すればよいのかを決める際の基準を決めることができない。

ＳＯＣなどで監視を行う監視員には、オペレータと呼ばれる人とアナリストと呼ばれる人がいる。オペレータとアナリストでは、検知されたアラートに対して対応できる能力および範囲が異なる。
攻撃者による一連の攻撃活動の中で、最初のフェーズはよく知られた攻撃手口である。そして、最初のフェーズの多くは対応が手順化されている。そのため、オペレータでも、最初のフェーズに対応することが可能である。一方、攻撃が進行した終盤のフェーズは、判断および対応が難しい。そのため、アナリストが終盤のフェーズに対応する。つまり、攻撃の進行度に合わせて、対応する人員が変わる。そのため、オペレータが対応可能な誤検知数とアナリストが対応可能な誤検知数を分けて考える必要がある。特に、終盤のフェーズでアナリストが対応可能な誤検知数、を考慮する必要がある。

本発明は、攻撃の進行度に応じて誤検知数を調整できるようにすることを目的とする。

本発明の検知ルール群調整装置は、
一連の攻撃活動を構成する全体フェーズ群に対応する全体検知ルール群を用いて攻撃検知が行われた場合の各フェーズの誤検知量を取得する誤検知量取得部と、
前記全体フェーズ群のうちの終盤フェーズ群の各フェーズの誤検知量に基づいて、前記終盤フェーズ群の誤検知量が終盤制約を満たすか判定する終盤判定部と、
前記全体フェーズ群の各フェーズの誤検知量に基づいて、前記全体フェーズ群の誤検知量が全体制約を満たすか判定する全体判定部と、
前記終盤フェーズ群の誤検知量が前記終盤制約を満たさない場合、前記全体検知ルール群のうちの終盤検知ルール群の各検知ルールのパラメータ値を調整する終盤調整部と、
前記終盤フェーズ群の誤検知量が前記終盤制約を満たし、且つ、前記全体フェーズ群の誤検知量が前記全体制約を満たさない場合、前記全体検知ルール群のうちの前記終盤検知ルール群以外の各検知ルールのパラメータ値を調整する全体調整部と、を備える。

本発明によれば、攻撃の進行度に応じて各フェーズの検知ルールを調整することができる。したがって、攻撃の進行度に応じて誤検知量を調整することが可能となる。

実施の形態１における検知ルール群調整システム２００の構成図。 実施の形態１における検知ルール群調整装置１００の構成図。 実施の形態１における検知ルール群調整方法のフローチャート。 実施の形態１における誤検知量取得処理（Ｓ１１０）のフローチャート。 実施の形態１における全体検知ルール群データ１９１を示す図。 実施の形態１における終盤判定処理（Ｓ１２０）のフローチャート。 実施の形態１における制約データ１９２を示す図。 実施の形態１における終盤調整処理（Ｓ１３０）のフローチャート。 実施の形態１における調整ルールデータ１９３を示す図。 実施の形態１における調整データ１９４を示す図。 実施の形態１における全体判定処理（Ｓ１４０）のフローチャート。 実施の形態１における全体調整処理（Ｓ１５０）のフローチャート。 実施の形態１における調整データ１９４を示す図。 実施の形態１における検知ルール群調整システム２００の構成例を示す図。 実施の形態２における検知ルール群調整装置１００の構成図。 実施の形態２における検知ルール群調整方法のフローチャート。 実施の形態２における終盤調整処理（Ｓ２３０）のフローチャート。 実施の形態２における全体検知ルール群データ１９１を示す図。 実施の形態２における調整パターンデータ１９５を示す図。 実施の形態２における制約データ１９２を示す図。 実施の形態２における調整データ１９４を示す図。 実施の形態２における全体調整処理（Ｓ２５０）のフローチャート。 実施の形態２における調整データ１９４を示す図。 実施の形態における検知ルール群調整装置１００のハードウェア構成図。

実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。

実施の形態１．
検知ルール群調整システム２００について、図１から図１４に基づいて説明する。

＊＊＊構成の説明＊＊＊
図１に基づいて、検知ルール群調整システム２００の構成を説明する。
検知ルール群調整システム２００は、対象システム２１０と検知ルール群調整装置１００とを備える。
対象システム２１０と検知ルール群調整装置１００は、ネットワークを介して互いに通信を行う。

対象システム２１０は、攻撃監視の対象となるコンピュータシステムである。
対象システム２１０は、ログ採取装置２１１を備える。
ログ採取装置２１１は、対象システム２１０のシステムログを採取する。つまり、ログ採取装置２１１は、対象システム２１０のシステムログを記録する。
システムログは、対象システム２１０で発生したイベントの情報を示す。システムログの一例は、通信ログおよび端末ログである。通信ログは、対象システム２１０で行われた通信の情報を示す。端末ログは、対象システム２１０に含まれる端末の動作を示す。

検知ルール群調整装置１００は、対象システム２１０の正常時のシステムログを用いて、攻撃検知に用いられる検知ルール群を調整する。

図２に基づいて、検知ルール群調整装置１００の構成を説明する。
検知ルール群調整装置１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と通信装置１０４と入出力インタフェース１０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ１０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ１０１は、ＣＰＵ、ＤＳＰまたはＧＰＵである。
ＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
ＤＳＰは、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略称である。
ＧＰＵは、Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。

メモリ１０２は揮発性の記憶装置である。メモリ１０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ１０２はＲＡＭである。メモリ１０２に記憶されたデータは必要に応じて補助記憶装置１０３に保存される。
ＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。

補助記憶装置１０３は不揮発性の記憶装置である。例えば、補助記憶装置１０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置１０３に記憶されたデータは必要に応じてメモリ１０２にロードされる。
ＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。
ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。

通信装置１０４はレシーバ及びトランスミッタである。例えば、通信装置１０４は通信チップまたはＮＩＣである。
ＮＩＣは、Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄの略称である。

入出力インタフェース１０５は、入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース１０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。
ＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。

検知ルール群調整装置１００は、誤検知量取得部１１０と誤検知数最適化部１２０と調整案提示部１３０といった要素を備える。これらの要素はソフトウェアで実現される。
誤検知数最適化部１２０は、終盤判定部１２１と終盤調整部１２２と全体判定部１２３と全体調整部１２４とを備える。

補助記憶装置１０３には、誤検知量取得部１１０と誤検知数最適化部１２０と調整案提示部１３０としてコンピュータを機能させるための検知ルール群調整プログラムが記憶されている。検知ルール群調整プログラムは、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
補助記憶装置１０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
プロセッサ１０１は、ＯＳを実行しながら、検知ルール群調整プログラムを実行する。
ＯＳは、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略称である。

検知ルール群調整プログラムの入出力データは記憶部１９０に記憶される。
メモリ１０２は記憶部１９０として機能する。但し、補助記憶装置１０３、プロセッサ１０１内のレジスタおよびプロセッサ１０１内のキャッシュメモリなどの記憶装置が、メモリ１０２の代わりに、又は、メモリ１０２と共に、記憶部１９０として機能してもよい。

検知ルール群調整装置１００は、プロセッサ１０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ１０１の役割を分担する。

検知ルール群調整プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。

＊＊＊動作の説明＊＊＊
検知ルール群調整システム２００（特に、検知ルール群調整装置１００）の動作は検知ルール群調整方法に相当する。また、検知ルール群調整方法の手順は検知ルール群調整プログラムの手順に相当する。

図３に基づいて、検知ルール群調整方法を説明する。
一連の攻撃活動を構成する複数の攻撃フェーズを「全体フェーズ群」と称する。
全体フェーズ群に対応する検知ルール群を「全体検知ルール群」と称する。全体検知ルール群は、複数の攻撃フェーズに対応する複数の検知ルールである。

ステップＳ１１０において、誤検知量取得部１１０は、全体検知ルール群を用いて攻撃検知が行われた場合の各フェーズの誤検知量を取得する。

図４に基づいて、誤検知量取得処理（Ｓ１１０）の手順を説明する。
ステップＳ１１１において、ログ採取装置２１１が対象システム２１０の正常なシステムログを採取する。
そして、誤検知量取得部１１０は、対象システム２１０と通信することによって、正常なシステムログを取得する。
正常なシステムログは、対象システム２１０が攻撃を受けていないときに発生した複数のログデータである。

ステップＳ１１２において、誤検知量取得部１１０は、正常なシステムログを用いて、全体検知ルール群の検知ルール毎に、検知ルールの誤検知数を算出する。検知ルールの誤検知数が、検知ルールに対応するフェーズの誤検知量として扱われる。
検知ルールの誤検知数は、検知ルールに合致するログデータの数であり、従来の攻撃検知ツールによって算出することができる。

図５に、全体検知ルール群データ１９１の具体例を示す。
全体検知ルール群データ１９１は、全体検知ルール群を示すデータであり、記憶部１９０に予め記憶される。
例えば、全体フェーズ群は、第１フェーズと第２フェーズである。そして、全体検知ルール群は、第１フェーズに対応する検知ルールＡと第２フェーズに対応する検知ルールＢである。
各検知ルールは、パラメータ値を有する。パラメータ値は閾値として用いられる。例えば、検知ルールＡはイベント数というパラメータを有し、検知ルールＡにおけるイベント数の閾値は「Ｘ回」である。また、検知ルールＢは時間というパラメータを有し、検知ルールＢにおける時間の閾値は「Ｖ分」である。閾値「Ｘ回」および閾値「Ｖ分」は初期値である。

図３に戻り、ステップＳ１２０から説明を続ける。
ステップＳ１２０において、終盤判定部１２１は、全体フェーズ群のうちの終盤フェーズ群の各フェーズの誤検知量に基づいて、終盤フェーズ群の誤検知量が終盤制約を満たすか判定する。
終盤フェーズ群は、最終フェーズを含む終盤の１つ以上のフェーズである。終盤フェーズ群は予め決められているものとする。
終盤制約は、終盤フェーズ群における誤検知量の制約である。

図６に基づいて、終盤判定処理（Ｓ１２０）の手順を説明する。
ステップＳ１２１において、終盤判定部１２１は、全体フェーズ群の各フェーズの誤検知量から、終盤フェーズ群の各フェーズの誤検知量を抽出する。
そして、終盤判定部１２１は、終盤フェーズ群の各フェーズの誤検知量を合計する。算出される合計が、終盤フェーズ群の誤検知量である。
例えば、図５において、第２フェーズが終盤フェーズ群である。この場合、第２フェーズの誤検知量が終盤フェーズ群の誤検知量となる。

ステップＳ１２２において、終盤調整部１２２は、制約データ１９２から、終盤制約を取得する。

図７に、制約データ１９２の具体例を示す。
制約データ１９２は、全体制約と終盤制約とを示すデータであり、記憶部１９０に予め記憶されている。
全体制約は全体フェーズ群における誤検知量の制約であり、終盤制約は終盤フェーズ群における誤検知量の制約である。
許容数「１００件」が全体制約である。許容数「１００件」は、全体フェーズ群において許容される誤検知量の上限が「１００件」であることを意味する。
分析可能数「２０件」が終盤制約である。分析可能数「２０件」は、終盤フェーズ群について分析可能な誤検知量の上限が「２０件」であることを意味する。

図６に戻り、ステップＳ１２３を説明する。
ステップＳ１２３において、終盤判定部１２１は、終盤フェーズ群の誤検知量が終盤制約を満たすか判定する。
例えば、第２フェーズが終盤フェーズ群であり、終盤制約が分析可能数「２０件」であると仮定する（図５および図７を参照）。この場合、終盤判定部１２１は、第２フェーズの誤検知量を分析可能数「２０件」と比較する。第２フェーズの誤検知量が分析可能数「２０件」以下である場合、終盤判定部１２１は、終盤フェーズ群の誤検知量が終盤制約を満たすと判定する。

図３に戻り、ステップＳ１２０の説明を続ける。
終盤フェーズ群の誤検知量が終盤制約を満たす場合、処理はステップＳ１４０に進む。
終盤フェーズ群の誤検知量が終盤制約を満たさない場合、処理はステップＳ１３０に進む。

ステップＳ１３０において、終盤調整部１２２は、全体検知ルール群のうちの終盤検知ルール群の各検知ルールのパラメータ値を調整する。
終盤検知ルール群は、終盤フェーズ群に対応する１つ以上の検知ルールである。

図８に基づいて、終盤調整処理（Ｓ１３０）の手順を説明する。
ステップＳ１３１において、終盤調整部１２２は、終盤検知ルール群の各検知ルールのパラメータ値を変更する。
具体的には、終盤調整部１２２は、調整ルールに従って、各検知ルールのパラメータ値を変更する。
終盤調整部１２２は、一部の検知ルールのそれぞれのパラメータ値を変更してもよいし、全ての検知ルールのそれぞれのパラメータ値を変更してもよい。

図９に、調整ルールデータ１９３の具体例を示す。
調整ルールデータ１９３は、パラメータ値の調整ルールを示すデータであり、記憶部１９０に予め記憶されている。
具体的には、調整ルールデータ１９３は、パラメータの種類毎に、パラメータ値の変更量を示す。例えば、「時間」パラメータの変更量は「１０％」であり、「イベント数」パラメータの変更量は「２０％」である。「％」はパーセントを意味する。

例えば、終盤調整部１２２は、終盤検知ルール群の各検知ルールを以下のように変更する。
終盤フェーズ群は第２フェーズであり、終盤検知ルール群は検知ルールＢである（図５参照）。検知ルールＢにおいて、「時間」パラメータの値は「Ｖ分」である。「時間」パラメータの変更量は「１０％」である（図９参照）。
この場合、終盤調整部１２２は、検知ルールＢのパラメータ値「Ｖ分」を「（０．９×Ｖ）分」に変更する。「（０．９×Ｖ）分」は「Ｖ分」を１０パーセント減少させた時間である。

図８に戻り、ステップＳ１３１の説明を続ける。
終盤調整部１２２は、各検知ルールの変更後のパラメータ値を記録する。

図１０に、調整データ１９４の具体例を示す。
調整データ１９４は、各検知ルールの変更後のパラメータ値を示すデータであり、記憶部１９０に予め記憶される。
調整データ１９４は、「フェーズ」欄と「検知ルール」欄と「変更前」欄と「変更後」欄とを有する。これらの欄は互いに対応付けられている。
「フェーズ」欄は、フェーズを特定する。
「検知ルール」欄は、検知ルールを特定する。
「変更前」欄は、変更前のパラメータ値を示す。具体的には、「変更前」欄は、初期のパラメータ値または現在のパラメータ値を示す。
「変更後」欄は、変更後のパラメータ値を示す。

検知ルールＢのパラメータ値が「Ｖ分」から「（０．９×Ｖ）分」に変更される場合、終盤調整部１２２は、検知ルールＢに対応付けられた「変更後」欄に「（０．９×Ｖ）分」を登録する。

図８に戻り、ステップＳ１３２から説明を続ける。
ステップＳ１３２において、誤検知量取得部１１０は、正常なシステムログを用いて、終盤フェーズ群の各フェーズの誤検知量を算出する。算出方法はステップＳ１１２における方法と同じである（図４参照）。

ステップＳ１３３において、終盤判定部１２１は、終盤フェーズ群の誤検知量を算出する。算出方法はステップＳ１２１における方法と同じである（図６参照）。

ステップＳ１３４において、終盤判定部１２１は、終盤フェーズ群の誤検知量が終盤制約を満たすか判定する。判定方法はステップＳ１２３における方法と同じである（図６参照）。
終盤フェーズ群の誤検知量が終盤制約を満たす場合、終盤調整処理（Ｓ１３０）は終了する。
終盤フェーズ群の誤検知量が終盤制約を満たさない場合、処理はステップＳ１３１に進む。

図３に戻り、ステップＳ１４０から説明を続ける。
ステップＳ１４０において、全体判定部１２３は、全体フェーズ群の各フェーズの誤検知量に基づいて、全体フェーズ群の誤検知量が全体制約を満たすか判定する。

図１１に基づいて、全体判定処理（Ｓ１４０）の手順を説明する。
ステップＳ１４１において、全体判定部１２３は、全体フェーズ群の各フェーズの誤検知量を合計する。算出される合計が全体フェーズ群の誤検知量である。
終盤検知ルール群の各検知ルールのパラメータ値が調整された場合、終盤フェーズ群の各フェーズの誤検知量は、調整後の誤検知量である。

ステップＳ１４２において、全体判定部１２３は、制約データ１９２から、全体制約を取得する。

ステップＳ１４３において、全体判定部１２３は、全体フェーズ群の誤検知量が全体制約を満たすか判定する。
例えば、第１フェーズおよび第２フェーズが全体フェーズ群であり、全体制約が許容数「１００件」であると仮定する（図５および図７を参照）。この場合、全体判定部１２３は、全体フェーズ群の誤検知量を許容数「１００件」と比較する。全体フェーズ群の誤検知量が許容数「１００件」以下である場合、全体判定部１２３は、全体フェーズ群の誤検知量が全体制約を満たすと判定する。

図３に戻り、ステップＳ１４０の説明を続ける。
全体フェーズ群の誤検知量が全体制約を満たす場合、処理はステップＳ１５０に進む。
全体フェーズ群の誤検知量が全体制約を満たさない場合、処理はステップＳ１６０に進む。

ステップＳ１５０において、全体調整部１２４は、全体検知ルール群のうちの終盤検知ルール群以外の各検知ルールのパラメータ値を調整する。

図１２に基づいて、全体調整処理（Ｓ１５０）の手順を説明する。
ステップＳ１５１において、全体調整部１２４は、終盤検知ルール群以外の各検知ルールのパラメータ値を変更する。変更方法はステップＳ１３１における方法と同じである（図８参照）。
全体調整部１２４は、一部の検知ルールのそれぞれのパラメータ値を変更してもよいし、全ての検知ルールのそれぞれのパラメータ値を変更してもよい。

例えば、全体調整部１２４は、終盤検知ルール群以外の各検知ルールを以下のように変更する。
終盤フェーズ群以外のフェーズは第２フェーズであり、終盤検知ルール群以外の検知ルールは検知ルールＡである（図５参照）。検知ルールＡのパラメータは「イベント数」であり、検知ルールＡのパラメータ値は「Ｘ回」である。「イベント数」パラメータの変更量は「２０％」である（図９参照）。
この場合、全体調整部１２４は、検知ルールＡのパラメータ値「Ｘ回」を「（０．８×Ｘ）回」に変更する。「（０．８×Ｘ）回」は「Ｘ回」を２０パーセント減少させた回数である。

ステップＳ１５１の説明を続ける。
全体調整部１２４は、各検知ルールの変更後のパラメータ値を記録する。

図１３に、調整データ１９４の具体例を示す。
検知ルールＡのパラメータ値が「Ｘ回」から「（０．８×Ｘ）回」に変更される場合、全体調整部１２４は、検知ルールＡに対応付けられた「変更後」欄に「（０．８×Ｘ）回」を登録する。

図１２に戻り、ステップＳ１５２から説明を続ける。
ステップＳ１５２において、誤検知量取得部１１０は、正常なシステムログを用いて、全体フェーズ群の各フェーズの誤検知量を算出する。算出方法はステップＳ１１２における方法と同じである（図４参照）。

ステップＳ１５３において、全体判定部１２３は、全体フェーズ群の誤検知量を算出する。算出方法はステップＳ１４１における方法と同じである（図１１参照）。

ステップＳ１５４において、全体判定部１２３は、全体フェーズ群の誤検知量が全体制約を満たすか判定する。判定方法はステップＳ１４３における方法と同じである（図１１参照）。
全体フェーズ群の誤検知量が全体制約を満たす場合、全体調整処理（Ｓ１５０）は終了する。
全体フェーズ群の誤検知量が全体制約を満たさない場合、処理はステップＳ１５１に進む。

図３に戻り、ステップＳ１６０を説明する。
ステップＳ１６０において、調整案提示部１３０は、全体検知ルール群の各検知ルールのパラメータ値を提示する。
具体的には、調整案提示部１３０は、全体検知ルール群の各検知ルールのパラメータ値をディスプレイに表示する。但し、調整案提示部１３０は、表示以外の方法（記録媒体への保存、外部への送信またはプリンタによる印刷など）によって提示を行ってもよい。
例えば、調整案提示部１３０は、調整データ１９４（図１３参照）をディスプレイに表示する。

＊＊＊実施例の説明＊＊＊
図１４に、検知ルール群調整システム２００の構成例を示す。
検知ルール群調整システム２００は、対象システム２１０と検知ルール群調整装置１００との他に、ログ分析装置２２０を備える。
ログ分析装置２２０は、システムログを分析するコンピュータである。
ログ分析装置２２０は、誤検知量取得部１１０の代わりに、各フェーズの誤検知量を算出する。
誤検知量取得部１１０は、ログ分析装置２２０と通信することにより、各フェーズの誤検知量を取得する。

＊＊＊実施の形態１の効果＊＊＊
実施の形態１では、監視員全体での誤検知の許容数に加えて、終盤のフェーズでアナリストが対応可能な誤検知数を用いて、全体検知ルール群の調整箇所が特定される。
つまり、監視員全体での許容数とアナリストの分析可能数とを用いて、各検知ルールの閾値の調整が行われる。これにより、正常なシステムログのみを用いて、終盤検知ルール群と終盤検知ルール群以外の検知ルール群とを調整することができる。

実施の形態２．
検知漏れを抑制する形態について、主に実施の形態１と異なる点を図１５から図２３に基づいて説明する。

＊＊＊構成の説明＊＊＊
検知ルール群調整システム２００の構成は、実施の形態１における構成と同じである（図１および図１４を参照）。

図１５に基づいて、検知ルール群調整装置１００の構成を説明する。
誤検知数最適化部１２０は、さらに、検知ルール群選択部１２５を備える。
他の構成は、実施の形態１における構成と同じである（図２参照）。

＊＊＊動作の説明＊＊＊
図１６に基づいて、検知ルール群調整装置１００を説明する。
ステップＳ２１０において、誤検知量取得部１１０は、全体検知ルール群を用いて攻撃が行われた場合の各フェーズの誤検知量を取得する。
ステップＳ２１０は、実施の形態１におけるステップＳ１１０と同じである（図３参照）。

ステップＳ２２０において、終盤判定部１２１は、全体フェーズ群のうちの終盤フェーズ群の各フェーズの誤検知量に基づいて、終盤フェーズ群の誤検知量が終盤制約を満たすか判定する。
ステップＳ２２０は、実施の形態１におけるステップＳ１２０と同じである（図３参照）。
終盤フェーズ群の誤検知量が終盤制約を満たす場合、処理はステップＳ２４０に進む。
終盤フェーズ群の誤検知量が終盤制約を満たさない場合、処理はステップＳ２３０に進む。

ステップＳ２３０において、終盤調整部１２２は、終盤検知ルール群の各検知ルールのパラメータ値を複数のパターンで調整する。これにより、複数の終盤検知ルール群が生成される。複数の終盤検知ルール群は、パラメータ値の組み合わせが互いに異なる。
誤検知量取得部１１０は、終盤検知ルール群毎に、終盤検知ルール群を用いて攻撃検知が行われた場合の誤検知量を取得する。
検知ルール群選択部１２５は、終盤制約を満たす終盤検知ルール群を選択する。

図１７に基づいて、終盤調整処理（Ｓ２３０）の手順を説明する。
ステップＳ２３１において、終盤調整部１２２は、終盤検知ルール群から、未選択の検知ルールを１つ選択する。

図１８に、全体検知ルール群データ１９１の具体例を示す。
全体検知ルール群データ１９１は、第１フェーズから第３フェーズまでの全体フェーズ群に対応する全体検知ルール群を示している。
第１フェーズに対応する検知ルールは検知ルールＡである。検知ルールＡは時間というパラメータを有し、検知ルールＡにおける時間の閾値は「Ｘ秒」である。
第２フェーズに対応する検知ルールは検知ルールＢである。検知ルールＢは時間というパラメータを有し、検知ルールＢにおける時間の閾値は「Ｖ分」である。
第３フェーズに対応する検知ルールは検知ルールＣである。検知ルールＣはイベント数というパラメータを有し、検知ルールＣにおけるイベント数の閾値は「Ｙ回」である。

終盤フェーズ群は、第３フェーズである。
終盤調整部１２２は、第３フェーズに対応する検知ルールＣを選択する。

図１７に戻り、ステップＳ２３２から説明を続ける。
ステップＳ２３２において、終盤調整部１２２は、複数の調整パターンから、未選択の調整パターンを１つ選択する。

図１９に、調整パターンデータ１９５の具体例を示す。
調整パターンデータ１９５は、複数の調整パターンを示すデータであり、記憶部１９０に予め記憶されている。
具体的には、調整パターンデータ１９５は、検知ルール毎に、パラメータ値の複数の変更量を示す。

終盤調整部１２２は、第３フェーズ（終盤フェーズ群）に対応する検知ルールＣの３つの変更量（１０％、２０％、３０％）から、未選択の変更量を１つ選択する。

図１７に戻り、ステップＳ２３３から説明を続ける。
ステップＳ２３３において、終盤調整部１２２は、選択された調整パターンに従って、選択された検知ルールのパラメータ値を変更する。
例えば、検知ルールＣのパラメータ値が「Ｙ回」であり、検知ルールＣの調整量が「１０％」である。この場合、終盤調整部１２２は、検知ルールＣのパラメータ値「Ｙ回」を「（０．９×Ｙ）回」に変更する。「（０．９×Ｙ）回」は「Ｙ回」を１０パーセント減少させた回数である。

ステップＳ２３４において、誤検知量取得部１１０は、正常なシステムログを用いて、選択された検知ルールの誤検知量を算出する。検知ルールの誤検知量が、検知ルールに対応するフェーズの誤検知量として扱われる。
検知ルールの誤検知量には、検知ルールの誤検知数と検知ルールの誤検知率とが含まれる。検知ルールの誤検知数は、検知ルールに合致するログデータの数である。検知ルールの誤検知率は、検知ルールに合致するログデータの割合である。検知ルールの誤検知量は、従来の攻撃検知ツールによって算出することができる。

ステップＳ２３５において、終盤調整部１２２は、未選択の調整パターンがあるか判定する。
未選択の調整パターンがある場合、処理はステップＳ２３２に進む。
未選択の調整パターンがない場合、処理はステップＳ２３６に進む。

ステップＳ２３６において、終盤調整部１２２は、未選択の検知ルールがあるか判定する。
未選択の検知ルールがある場合、処理はステップＳ２３１に進む。
未選択の検知ルールがない場合、処理はステップＳ２３７に進む。

ステップＳ２３１からステップＳ２３６までの処理によって、パラメータ値の組み合わせが互いに異なる複数の終盤検知ルール群が得られる。

ステップＳ２３７において、誤検知量取得部１１０は、終盤検知ルール群毎に、終盤フェーズ群の誤検知量を算出する。
終盤フェーズ群の誤検知量には、終盤フェーズ群の誤検知数と終盤フェーズ群の誤検知率とが含まれる。
終盤フェーズ群の誤検知数は、終盤フェーズ群の各フェーズの誤検知数を合計した値である。
終盤フェーズ群の誤検知率は、終盤フェーズ群における誤検知率の代表値である。代表値の具体例は、最小値、最大値、平均値または合計値である。

終盤判定部１２１は、終盤検知ルール毎に、終盤フェーズ群の誤検知量が終盤制約を満たすか判定する。判定方法は実施の形態１におけるステップＳ１２３の方法と同じである（図６参照）。
検知ルール群選択部１２５は、複数の終盤検知ルール群から、終盤制約を満たす終盤検知ルール群を選択する。

図２０に、制約データ１９２の具体例を示す。
許容数「１００件」が全体制約である。つまり、第１フェーズから第３フェーズまでの全体フェーズ群において許容される誤検知量の上限は「１００件」である。
分析可能数「２０件」が終盤制約である。つまり、終盤フェーズ群である第３フェーズについて分析可能な誤検知量の上限は「２０件」である。

図１７に戻り、ステップＳ２３８を説明する。
ステップＳ２３８において、検知ルール群選択部１２５は、ステップＳ２３７で選択された終盤検知ルール群から、誤検知量が最も多い終盤検知ルール群を選択する。
具体的には、検知ルール群選択部１２５は、誤検知率が最も高い終盤検知ルール群を選択する。

そして、検知ルール群選択部１２５は、選択した終盤検知ルール群の各検知ルールのパラメータ値を記録する。

図２１に、調整データ１９４の具体例を示す。
パラメータ値が（０．９×Ｙ）回に変更された検知ルールＣが選択された場合、検知ルール群選択部１２５は、検知ルールＣに対応付けられた「変更後」欄に「（０．９×Ｙ）回」を登録する。

図１６に戻り、ステップＳ２４０から説明を続ける。
ステップＳ２４０において、全体判定部１２３は、全体フェーズ群の各フェーズの誤検知量に基づいて、全体フェーズ群の誤検知量が全体制約を満たすか判定する。判定方法は、実施の形態１におけるステップＳ１４０の方法と同じである（図３参照）。
全体フェーズ群の誤検知量が全体制約を満たす場合、処理はステップＳ２５０に進む。
全体フェーズ群の誤検知量が全体制約を満たさない場合、処理はステップＳ２６０に進む。

ステップＳ２５０において、全体調整部１２４は、全体検知ルール群のうちの終盤検知ルール群以外の各検知ルールのパラメータ値を複数のパターンで調整する。これにより、複数の全体検知ルール群が生成される。複数の全体検知ルール群は、パラメータ値の組み合わせが互いに異なる

誤検知量取得部１１０は、全体検知ルール群毎に、全体検知ルール群を用いて攻撃検知が行われた場合の誤検知量を取得する。
検知ルール群選択部１２５は、各全体検知ルール群の誤検知量に基づいて、複数の全体検知ルール群から全体検知ルール群を選択する。

図２２に基づいて、全体調整処理（Ｓ２５０）の手順を説明する。
ステップＳ２５１において、全体調整部１２４は、終盤検知ルール群を除く全体検知ルール群から、未選択の検知ルールを１つ選択する。
例えば、検知ルールＡ、検知ルールＢおよび検知ルールＣが全体検知ルール群であり、検知ルールＣが終盤検知ルール群である（図１８参照）。この場合、全体調整部１２４は、検知ルールＡと検知ルールＢとのうちの未選択の検知ルールを１つ選択する。

ステップＳ２５２において、全体調整部１２４は、複数の調整パターンから、未選択の調整パターンを１つ選択する。
例えば、ステップＳ２５１で選択された検知ルールは検知ルールＡである。この場合、全体調整部１２４は、検知ルールＡの３つの変更量（１０％、２０％、３０％）から、未選択の変更量を１つ選択する（図１９参照）。

ステップＳ２５３において、全体調整部１２４は、選択された調整パターンに従って、選択された検知ルールのパラメータ値を変更する。
例えば、検知ルールＡのパラメータ値が「Ｘ秒」であり、検知ルールＡの調整量が「１０％」である。この場合、全体調整部１２４は、検知ルールＡのパラメータ値「Ｘ秒」を「（０．９×Ｘ）秒」に変更する。「（０．９×Ｘ）秒」は「Ｘ秒」を１０パーセント減少させた秒数である。

ステップＳ２５４において、誤検知量取得部１１０は、正常なシステムログを用いて、選択された検知ルールの誤検知量を算出する。検知ルールの誤検知量が、検知ルールに対応するフェーズの誤検知量として扱われる。
検知ルールの誤検知量には、検知ルールの誤検知数と検知ルールの誤検知率とが含まれる。検知ルールの誤検知数は、検知ルールに合致するログデータの数である。検知ルールの誤検知率は、検知ルールに合致するログデータの割合である。検知ルールの誤検知量は、従来の攻撃検知ツールによって算出することができる。

ステップＳ２５５において、終盤調整部１２２は、未選択の調整パターンがあるか判定する。
未選択の調整パターンがある場合、処理はステップＳ２５２に進む。
未選択の調整パターンがない場合、処理はステップＳ２５６に進む。

ステップＳ２５６において、終盤調整部１２２は、未選択の検知ルールがあるか判定する。
未選択の検知ルールがある場合、処理はステップＳ２５１に進む。
未選択の検知ルールがない場合、処理はステップＳ２５７に進む。

ステップＳ２５１からステップＳ２５６までの処理によって、パラメータ値の組み合わせが互いに異なる複数の全体検知ルール群が得られる。

ステップＳ２５７において、誤検知量取得部１１０は、全体検知ルール群毎に、全体フェーズ群の誤検知量を算出する。
全体フェーズ群の誤検知量には、全体フェーズ群の誤検知数と全体フェーズ群の誤検知率とが含まれる。
全体フェーズ群の誤検知数は、全体フェーズ群の各フェーズの誤検知数を合計した値である。
全体フェーズ群の誤検知率は、全体フェーズ群における誤検知率の代表値である。代表値の具体例は、最小値、最大値、平均値または合計値である。

全体判定部１２３は、全体検知ルール毎に、全体フェーズ群の誤検知量が全体制約を満たすか判定する。判定方法は実施の形態１におけるステップＳ１４３の方法と同じである（図１１参照）。
検知ルール群選択部１２５は、複数の全体検知ルール群から、全体制約を満たす全体検知ルール群を選択する。

ステップＳ２５８において、検知ルール群選択部１２５は、ステップＳ２５７で選択された全体検知ルール群から、誤検知量が最も多い全体検知ルール群を選択する。
具体的には、検知ルール群選択部１２５は、誤検知率が最も高い全体検知ルール群を選択する。

そして、検知ルール群選択部１２５は、選択した全体検知ルール群の各検知ルールのパラメータ値を記録する。

図２３に、調整データ１９４の具体例を示す。
選択された全体検知ルール群において、検知ルールＡのパラメータ値は（０．９×Ｘ）秒に変更され、検知ルールＢのパラメータ値は（０．９×Ｖ）分に変更された。この場合、検知ルール群選択部１２５は、検知ルールＡに対応付けられた「変更後」欄に「（０．９×Ｘ）秒」を登録する。また、検知ルール群選択部１２５は、検知ルールＢに対応付けられた「変更後」欄に「（０．９×Ｖ）分」を登録する。

図１６に戻り、ステップＳ２６０を説明する。
ステップＳ２６０において、調整案提示部１３０は、ステップＳ２５０で選択された全体検知ルール群の各検知ルールのパラメータ値を提示する。提示方法は、実施の形態１のステップＳ１６０における方法と同じである（図３参照）。
例えば、調整案提示部１３０は、調整データ１９４（図２３参照）をディスプレイに表示する。

＊＊＊実施の形態２の効果＊＊＊
実施の形態２では、各検知ルールを調整するための基準として、誤検知率も用いられる。誤検知率が高い検知ルール群が用いられる場合、発生するイベントの多くが異常とみなされて検知される。そのため、攻撃によって発生したイベントが漏れなく検知される確率は高い。つまり、誤検知率が高い検知ルール群が用いられる場合、攻撃の検知率が高く、検知漏れが少ない。そこで、誤検知数が許容可能な範囲に収まるように閾値の調整を行う際に、一連の攻撃活動を検知するための検知ルール群のうち誤検知率が最も高い検知ルール群に適用する閾値の調整を行う。
つまり、監視員全体での許容数とアナリストの分析可能数とに加えて、誤検知率を用いて閾値の調整が行われる。これにより、正常なシステムログのみを用いて、オペレータが対応する検知ルールが複数ある場合でも複数の検知ルールの調整を行うことができる。

＊＊＊実施の形態の補足＊＊＊
図２４に基づいて、検知ルール群調整装置１００のハードウェア構成を説明する。
検知ルール群調整装置１００は処理回路１０９を備える。
処理回路１０９は、誤検知量取得部１１０と誤検知数最適化部１２０と調整案提示部１３０とを実現するハードウェアである。
処理回路１０９は、専用のハードウェアであってもよいし、メモリ１０２に格納されるプログラムを実行する処理回路１０９であってもよい。

処理回路１０９が専用のハードウェアである場合、処理回路１０９は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。
ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＦＰＧＡは、Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略称である。

検知ルール群調整装置１００は、処理回路１０９を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１０９の役割を分担する。

処理回路１０９において、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェアまたはファームウェアで実現されてもよい。
このように、処理回路１０９はハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせで実現することができる。

実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。

ログ採取装置２１１は「ログ採取部」と読み替えてもよい。ログ分析装置２２０は「ログ分析部」と読み替えてもよい。
検知ルール群調整装置１００は、複数の装置で実現されてもよい。
検知ルール群調整システム２００の要素である「部」は、「処理」または「工程」と読み替えてもよい。

１００ 検知ルール群調整装置、１０１ プロセッサ、１０２ メモリ、１０３ 補助記憶装置、１０４ 通信装置、１０５ 入出力インタフェース、１０９ 処理回路、１１０ 誤検知量取得部、１２０ 誤検知数最適化部、１２１ 終盤判定部、１２２ 終盤調整部、１２３ 全体判定部、１２４ 全体調整部、１２５ 検知ルール群選択部、１３０ 調整案提示部、１９０ 記憶部、１９１ 全体検知ルール群データ、１９２ 制約データ、１９３ 調整ルールデータ、１９４ 調整データ、１９５ 調整パターンデータ、２００ 検知ルール群調整システム、２１０ 対象システム、２１１ ログ採取装置、２２０ ログ分析装置。

Claims (8)

1. 一連の攻撃活動を構成する全体フェーズ群に対応する全体検知ルール群を用いて攻撃検知が行われた場合の各フェーズの誤検知量を取得する誤検知量取得部と、
   前記全体フェーズ群のうちの終盤フェーズ群の各フェーズの誤検知量に基づいて、前記終盤フェーズ群の誤検知量が終盤制約を満たすか判定する終盤判定部と、
   前記全体フェーズ群の各フェーズの誤検知量に基づいて、前記全体フェーズ群の誤検知量が全体制約を満たすか判定する全体判定部と、
   前記終盤フェーズ群の誤検知量が前記終盤制約を満たさない場合、前記全体検知ルール群のうちの終盤検知ルール群の各検知ルールのパラメータ値を調整する終盤調整部と、
   前記終盤フェーズ群の誤検知量が前記終盤制約を満たし、且つ、前記全体フェーズ群の誤検知量が前記全体制約を満たさない場合、前記全体検知ルール群のうちの前記終盤検知ルール群以外の各検知ルールのパラメータ値を調整する全体調整部と、
   を備える検知ルール群調整装置。
2. 前記全体検知ルール群の各検知ルールのパラメータ値が調整された場合に各検知ルールの調整後のパラメータ値を提示する調整案提示部を備える
   請求項１に記載の検知ルール群調整装置。
3. 前記検知ルール群調整装置は、検知ルール群選択部を備え、
   前記全体調整部は、前記終盤検知ルール群以外の各検知ルールのパラメータ値を複数のパターンで調整することにより、複数の全体検知ルール群を生成し、
   前記誤検知量取得部は、全体検知ルール群毎に、全体検知ルール群を用いて攻撃検知が行われた場合の誤検知量を取得し、
   前記検知ルール群選択部は、各全体検知ルール群の誤検知量に基づいて、前記複数の全体検知ルール群から全体検知ルール群を選択する
   請求項１に記載の検知ルール群調整装置。
4. 前記検知ルール群選択部は、前記全体制約を満たす全体検知ルール群の中で誤検知量が最も多い全体検知ルール群を選択する
   請求項３に記載の検知ルール群調整装置。
5. 選択された全体検知ルール群の各検知ルールのパラメータ値を提示する調整案提示部を備える
   請求項３または請求項４に記載の検知ルール群調整装置。
6. 前記誤検知量取得部は、対象システムが攻撃を受けていないときに発生した複数のログデータを用いて、検知ルールに合致するログデータの数を、検知ルールに対応するフェーズの誤検知量として算出する
   請求項１から請求項５のいずれか１項に記載の検知ルール群調整装置。
7. 前記誤検知量取得部は、各フェーズの誤検知量をログ分析装置から取得し、
   前記ログ分析装置は、対象システムが攻撃を受けていないときに発生した複数のログデータを用いて、検知ルールに合致するログデータの数を、検知ルールに対応するフェーズの誤検知量として算出する
   請求項１から請求項５のいずれか１項に記載の検知ルール群調整装置。
8. 一連の攻撃活動を構成する全体フェーズ群に対応する全体検知ルール群を用いて攻撃検知が行われた場合の各フェーズの誤検知量を取得する誤検知量取得処理と、
   前記全体フェーズ群のうちの終盤フェーズ群の各フェーズの誤検知量に基づいて、前記終盤フェーズ群の誤検知量が終盤制約を満たすか判定する終盤判定処理と、
   前記全体フェーズ群の各フェーズの誤検知量に基づいて、前記全体フェーズ群の誤検知量が全体制約を満たすか判定する全体判定処理と、
   前記終盤フェーズ群の誤検知量が前記終盤制約を満たさない場合、前記全体検知ルール群のうちの終盤検知ルール群の各検知ルールのパラメータ値を調整する終盤調整処理と、
   前記終盤フェーズ群の誤検知量が前記終盤制約を満たし、且つ、前記全体フェーズ群の誤検知量が前記全体制約を満たさない場合、前記全体検知ルール群のうちの前記終盤検知ルール群以外の各検知ルールのパラメータ値を調整する全体調整処理と、
   をコンピュータに実行させるための検知ルール群調整プログラム。

Images