JP2021005165A - インシデントシナリオ生成装置及びインシデントシナリオ生成システム - Google Patents

Abstract

【課題】情報システムに対してサイバー攻撃がどのように進行するかを表すインシデントシナリオを自動的に生成することができるインシデントシナリオ生成装置及びインシデントシナリオ生成システムを提供する。【解決手段】インシデントシナリオ生成装置１０１は、シナリオ生成機能３０１、攻撃パーツＤＢ３０２、シナリオＤＢ３０３、システム構成ＤＢ３０４及びシナリオ表示機能３０５を有する。シナリオ生成機能３０１は、ユーザ端末１０２からの指示を受け、攻撃パーツＤＢ３０２に格納された攻撃パーツ情報とシステム構成ＤＢ３０４に格納されたシステム構成情報とに基づいてインシデントシナリオを生成する。シナリオＤＢ３０３は、シナリオ生成機能３０１が生成したインシデントシナリオを格納する。【選択図】図３

Description

本発明は、インシデントシナリオ生成装置及びインシデントシナリオ生成システムに関する。

新しい脆弱性の発見や新しい攻撃手法の発生などサイバー攻撃は年々進化し続けている。このような状況の下、情報システムがサイバー攻撃に対する防御機能を備えているか、サイバー攻撃を受けた際に被害がどこまで広がるか、という問題は組織において重要な関心ごととなっている。

情報システムに対してサイバー攻撃がどのように進行するかを表すインシデントシナリオの生成には、実システムに対するペネトレーションテスト、システム構成情報を元にした机上でのリスクアセスメント等の手段がある。

しかしながら、いずれも現状は経験を持った技術者が手動で実施している。ペネトレーションテストでは、実際に情報システムに対して攻撃を実施する関係上、正確性は高いがシステムに悪影響を与える可能性を考慮すると十分な分析が実施できないことがある。また、机上でのリスクアセスメントは、十分な時間をかけて行われるものである。

このように、インシデントシナリオを生成しようとした場合、迅速な分析、幅広い分析が困難である。このような問題を解決する技術として、特許文献１に記載されているような技術がある。特許文献１では、基本攻撃シナリオを定義しておき、それを元にシステム構成に合った個別攻撃シナリオを生成する。

ＷＯ２０１７−１２６０４号公報

特許文献１では、基本攻撃シナリオを事前に定義しなくてはならない。このため、新しいシナリオを作成する際には手動で基本シナリオを作成する必要がある。また、新しい攻撃手法等が出現した場合、基本シナリオとして定義しなくてはその攻撃手法を用いたシナリオを生成することはできない。

本発明の目的は、インシデントシナリオ生成装置において、インシデントシナリオを自動的に生成することにある。

本発明の一態様のインシデントシナリオ生成装置は、演算装置と記憶装置を有し、情報システムに対して攻撃がどのように進行するかを表すインシデントシナリオを生成するインシデントシナリオ生成装置であって、前記記憶装置は、攻撃パーツ情報を格納する攻撃パーツデータベースと前記情報システムのシステム構成情報を格納するシステム構成データベースとを有し、前記演算装置は、前記攻撃パーツデータベースに格納された前記攻撃パーツ情報と前記システム構成データベースに格納された前記システム構成情報とに基づいて前記インシデントシナリオを生成することを特徴とする。

本発明の一態様のインシデントシナリオ生成システムは、インシデントシナリオ生成装置と、攻撃パーツデータベース記憶装置と、システム構成データベース記憶装置とがネットワークを介して接続されたインシデントシナリオ生成システムであって、前記攻撃パーツデータベース記憶装置は、攻撃パーツ情報を格納する攻撃パーツデータベースを記憶し、前記システム構成データベース記憶装置は、情報システムのシステム構成情報を格納するシステム構成データベースを記憶し、前記インシデントシナリオ生成装置は、前記攻撃パーツデータベースに格納された前記攻撃パーツ情報と前記システム構成データベースに格納された前記システム構成情報とに基づいて、前記情報システムに対して攻撃がどのように進行するかを表すインシデントシナリオを生成することを特徴とする。

本発明の一態様によれば、インシデントシナリオ生成装置において、インシデントシナリオを自動的に生成することができる。

インシデントシナリオ生成装置、ユーザ端末及びインターネットを含むネットワークシステムを示すブロック図である。 インシデントシナリオ生成装置のハードウェアを示すブロック図である。 インシデントシナリオ生成装置の論理的な構成を示すブロック図である。 インシデントシナリオ生成機能の処理を示すフロー図である。 ネットワーク到達可能端末取得処理のフロー図である。 実施可能な攻撃パーツピックアップ処理のフロー図である。 攻撃パーツデータベース（ＤＢ）を示す説明図である。 シナリオＤＢを示す説明図である。 システム構成ＤＢの機器テーブルを示す説明図である。 システム構成ＤＢのネットワーク接続テーブルを示す説明図である。 システム構成ＤＢのネットワークフィルタテーブルを示す説明図である。 シナリオ表示機能の画面を示す説明図である。 インシデントシナリオ生成システムの構成を示す図である。

以下、図面を用いて、実施例について説明する。尚、図面および明細書においてデータベースを「ＤＢ」と省略する場合がある。

図１は、インシデントシナリオ生成装置１０１、ユーザ端末１０２、ネットワーク１０３を含むネットワークシステム１００を示すブロック図である。
ネットワークシステム１００は、インシデントシナリオ生成装置１０１、組織の従業員が利用するユーザ端末１０２が組織内ネットワーク１０３を介して接続されている。ユーザ端末１０２はネットワークシステム１００内に複数存在していてもよい。また、図示していないが、インシデントシナリオ生成装置１０１を運用する組織内のその他のコンピュータ機器やネットワーク装置、インシデントシナリオ生成装置１０１を管理する管理者が利用するコンピュータなどがネットワーク１０３に接続されていてもよい。

図２を参照して、インシデントシナリオ生成装置１０１のハードウェアの構成について説明する。
インシデントシナリオ生成装置１０１は、通信装置２０１、入力装置２０２、表示装置２０３、演算装置２０４、メモリ２０５及び記憶装置２０６を有する。

通信装置２０１は、ネットワークカードなどのネットワークインタフェースである。通信装置２０１は、ネットワーク１０３を介して他の装置からデータを受信し、受信したデータを演算装置２０４へ送る。そして、通信装置２０１は、演算装置２０４によって生成されたデータを、ネットワーク１０３を介して他の装置へ送信する。

入力装置２０２は、キーボードまたはマウス等の装置であり、ユーザによる情報の入力を受け付けるための装置である。表示装置２０３は、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）等の装置であり、管理者に情報を出力するための装置である。

記憶装置２０６は、ハードディスク等の装置であり、演算装置２０４が実行するプログラムおよび演算装置２０４が使用するデータ等を格納する。メモリ２０５は、一時的にデータ等が読み出される記憶領域である。

演算装置２０４は、記憶装置２０６に格納されたプログラムを実行して各装置を制御する。演算装置２０４は、入力装置２０２および表示装置２０３を制御し、入力装置２０２から入力されたデータを受け付け、表示装置２０３へデータを出力する。記憶装置２０６に格納されるプログラムは、演算装置２０４によって、記憶装置２０６からメモリ２０５に読み出され、メモリ２０５において実行される。

演算装置２０４は、プログラムを記憶装置２０６から読み出すが、他の例として、ＣＤもしくはＤＶＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、磁気記録媒体、または、半導体メモリ等の記録媒体からプログラムを読み出してもよい。また他の例として、他の装置から、通信媒体を介して、プログラムを読み出してもよい。通信媒体とは、ネットワークまたはこれらを伝搬するディジタル信号または搬送波を示す。

図１に示すユーザ端末１０２のハードウェア構成は、図２に示すインシデントシナリオ生成装置１０１と同じハードウェア構成であるか、それに相当する構成を有する。このため、ユーザ端末１０２のハードウェア構成は図示しない。

図３を参照して、インシデントシナリオ生成装置１０１の論理的な構成について説明する。
インシデントシナリオ生成装置１０１は、シナリオ生成機能３０１、攻撃パーツＤＢ３０２、シナリオＤＢ３０３、システム構成ＤＢ３０４及びシナリオ表示機能を有する。シナリオ生成機能３０１は、ユーザ端末１０２からの指示を受け、インシデントシナリオ生成処理を実施する。攻撃パーツＤＢ３０２は、インシデントシナリオの構成要素である攻撃パーツを格納するデータベースである。シナリオＤＢ３０３は、シナリオ生成機能３０１が生成したインシデントシナリオを格納するデータベースである。

システム構成ＤＢ３０４は、インシデントシナリオを生成する対象となる情報システムのシステム構成情報（機器テーブル、ネットワーク接続テーブル、ネットワークフィルタテーブル）を格納するデータベースである。シナリオ表示機能３０５は、ユーザ端末１０２からの支持を受け、生成したインシデントシナリオをシナリオＤＢ３０３から読み出し、ユーザ端末１０２の画面に表示するためのデータを返送する。

図４のフローチャートを参照して、シナリオ生成機能３０１の処理について説明する。
まず、ステップＳ４０１で、初期攻撃パーツと初期攻撃対象を取得する。当該情報は、例えば、ユーザ端末１０２から指示され入力として与えられる。その他、開始時にローカルファイルシステムもしくはリモートサービスにアクセスして初期攻撃パーツと初期攻撃対象を取得する方式にしてもよい。

続いてステップＳ４０２で、初期攻撃対象を現在の位置およびアクセス済みとして記憶する。現在の位置とは、インシデントシナリオの中でどのコンピュータまで攻撃が進行しているかを表す情報である。

続いてステップＳ４０３に進み、現在の位置から到達可能な端末で未アクセスのものを取得する。以降、そのような端末を標的端末と呼ぶ。ステップＳ４０３の詳細は後述する。

続いてステップＳ４０４で、ステップＳ４０３の結果標的端末があるかどうかをチェックする。標的端末がある場合、ステップＳ４０５に進み、現在の位置から標的端末に対して実施可能な攻撃パーツをピックアップする。ステップＳ４０５の詳細は後述する。ステップＳ４０６に進み、ステップＳ４０５で攻撃パーツをピックアップできたかどうかチェックする。ピックアップできていた場合、ステップＳ４０７に進み、標的端末を現在の位置として記憶する。これは、攻撃の結果、標的端末まで攻撃が進行した、ということを意味する。

続いてステップＳ４０８で、標的端末をアクセス済みとして記憶する。続いてステップＳ４０９で、現状記憶しているシナリオにピックアップした攻撃パーツを追加し、ステップＳ４０３に戻る。

ステップＳ４０６で、攻撃パーツがピックアップできていなかった場合、ステップＳ４１０でローカルに対して実施可能な攻撃パーツをピックアップする。ステップＳ４１０の詳細については後述する。その後ステップＳ４０９に進む。ステップＳ４０４で標的端末がなかった場合、現状記憶しているシナリオをシナリオＤＢ３０３に出力し、処理を終了する。

図５は、本実施例１のシナリオ生成機能３０１のフローチャート内ステップＳ４０３のネットワーク到達可能端末取得処理を示すフローチャートである。
処理が開始されると、ステップＳ５０１で現在の位置（以下Ａ）とアクセス済み情報を取得する。続いてステップＳ５０２で、システム構成ＤＢ３０４から機器リストを取得する。

続いてステップＳ５０３で、システム構成ＤＢ３０４からネットワーク接続情報を取得する。続いてステップＳ５０４で、機器リストから一つ選択し、Ｂとする。続いてステップＳ５０５で、ＡとＢがネットワーク的に接続されているかどうかをチェックする。この時、ステップＳ５０３で取得したネットワーク接続情報を用いる。ステップＳ５０５でＡとＢがネットワーク的に接続されている場合、ステップＳ５０６に進み、Ｂがアクセス済みかどうかチェックする。

Ｂがアクセス済みでなかった場合、ステップＳ５０７に進み、Ｂを標的端末として返却し、処理を終了する。ステップＳ５０５でＡとＢがネットワーク的に接続されていない場合、もしくはステップＳ５０６でＢがアクセス済みであった場合、ステップＳ５０８に進み、機器リストに残りがあるかどうかチェックする。残りがある場合、ステップＳ５０９に進み、機器リストの残りから１つ選択し、新たなＢとし、ステップＳ５０５に戻る。ステップＳ５０８で機器リストに残りがなかった場合、ステップＳ５１０に進み、標的端末なしという結果を返却し、処理を終了する。

図６は、シナリオ生成機能３０１のフローチャート内ステップＳ４０５の実施可能な攻撃パーツピックアップ処理を示すフローチャートである。
まず、ステップＳ６０１で現在の位置（以下Ａ）と標的端末（以下Ｂ）を取得する。続いてステップＳ６０２で、システム構成ＤＢ３０４からネットワーク接続情報を取得する。続いてステップＳ６０３で、システム構成ＤＢ３０４から、ネットワークフィルタ情報を取得する。続いてステップＳ６０４で、攻撃パーツＤＢ３０２から種別がリモート（Ｒｅｍｏｔｅ）な攻撃パーツリストを取得する。続いてステップＳ６０５で取得した攻撃パーツリストから１つ選択する。

続いてステップＳ６０６で、ＡからＢへの当該攻撃が成功するかどうかをチェックする。当該攻撃が成功する、とは、当該攻撃の前提条件が満たされており、当該攻撃の攻撃内容の通信がネットワーク上でフィルタされない場合を示す。攻撃が成功する場合、ステップＳ６０７に進み当該攻撃を出力リストに追加する。続いてステップＳ６０８で攻撃パーツリストに残りがあるかどうかチェックする。残りがある場合、ステップＳ６０９に進み、攻撃パーツリストの残りから１つ選択し、ステップＳ６０６に戻る。

ステップＳ６０６で攻撃が成功しない場合、ステップＳ６０８に進む。ステップＳ６０８で、攻撃パーツリストに残りがない場合、ステップＳ６１０に進み、出力リストを返却し、処理を終了する。

シナリオ生成機能３０１のフローチャート内ステップＳ４１０の実施可能な攻撃パーツピックアップ処理は、図６に示したステップＳ４０５の処理フローと類似のため、図示を省略する。図６との違いは、ＡとＢが同一の端末でありネットワーク関連の処理が不要である点、ステップＳ６０４で取得する攻撃が、種別がＬｏｃａｌであるもの、という点である。

図７を参照して、は、攻撃パーツＤＢ３０２の内容について説明する。
攻撃パーツＤＢ３０２は、攻撃パーツ識別子７０１、攻撃前提条件７０２、攻撃種別７０３、攻撃内容７０４、得られる情報７０５から構成される。攻撃パーツ識別子７０１は、攻撃パーツを一意に定める識別子である。攻撃前提条件７０２は、当該攻撃パーツによる攻撃が成功するために満たしておかなくてはならない条件を示すものである。攻撃種別７０３は、当該攻撃パーツの攻撃対象が、あるコンピュータを起点としたときに、当該コンピュータ自身（Ｌｏｃａｌ）か当該コンピュータとは異なるコンピュータ（Ｒｅｍｏｔｅ）かを示す情報である。攻撃内容７０４は、当該攻撃パーツによる攻撃の際に行われる攻撃内容を示すものである。得られる情報７０５は、当該攻撃パーツによる攻撃が成功した場合に得られる情報である。

図８を参照して、シナリオＤＢ３０３の内容について説明する。
シナリオＤＢ３０３は、シナリオ識別子８０１、シナリオ内順番８０２、攻撃起点８０３、攻撃内容８０４、攻撃対象８０５、取得情報８０６から構成される。シナリオ識別子８０１は、シナリオを一意に識別するための識別子である。シナリオ内順番８０２は、シナリオ識別子８０１で識別されるシナリオの中で当該エントリが何番目に実行される攻撃であるかを示す情報である。攻撃起点８０３は、当該エントリで攻撃の起点となる端末の情報を示す。

攻撃内容８０４は、当該エントリで実行される攻撃の内容を示すものであり、攻撃パーツＤＢ３０２の攻撃内容７０４の情報が格納される。本実施例では、攻撃内容を具体的に表現しているが、この箇所に攻撃パーツＤＢ３０２の攻撃パーツ識別子７０１を格納する、すなわち、具体的な情報は格納せず、攻撃パーツＤＢ３０２への参照情報を格納するような構成になっていてもよい。攻撃対象８０５は当該エントリで攻撃の対象となる端末の情報を示す。攻撃対象が自分自身（攻撃パーツの攻撃種別がＬｏｃａｌ）の場合は、Ｌｏｃａｌとなる。取得情報８０６は、当該エントリで実行される攻撃により得られる情報を示す。

図９を参照して、システム構成ＤＢ３０４の機器テーブルの内容について説明する。
システム構成ＤＢ３０４の機器テーブルは、機器ＩＤ９０１、機器名称９０２、ハードウェア情報９０３、ソフトウェア情報９０４、ＩＰアドレス９０５、保持情報９０６から構成される。機器ＩＤ９０１は、機器を一意に示す識別子である。機器名称９０２は、機器の名称である。ハードウェア情報９０３は、当該機器がどのようなハードウェア上のものであるかを表す情報である。ソフトウェア情報９０４は、当該機器に導入されているソフトウェアとそのバージョンを含んだ情報である。ＩＰアドレス９０５は、当該機器に割り当てられているＩＰアドレスの情報である。保持情報９０６は、当該機器に保持されている情報であり、当該機器の権限を取得することで得られる情報である。

図１０を参照して、システム構成ＤＢ３０４のネットワーク接続テーブルの内容について説明する。
システム構成ＤＢ３０４のネットワーク接続テーブルは、ネットワーク上のどのＩＰアドレス（ネットワークアドレス）とＩＰアドレス（ネットワークアドレス）が通信可能であるか、といった接続情報を格納するものである。システム構成ＤＢ３０４のネットワーク接続テーブルは、接続情報ＩＤ１００１、第１のネットワーク要素１００２、第２のネットワーク要素１００３から構成される。接続情報ＩＤ１００１は、ネットワーク接続情報を一意に識別するための識別子である。第１のネットワーク要素１００２と第２のネットワーク要素１００３は、それぞれＩＰアドレスもしくはネットワークアドレスであり、第１のネットワーク要素１００２と第２のネットワーク要素１００３で示されたＩＰアドレス（ネットワークアドレス）間の通信が可能であるという意味になる。

図１１を参照して、システム構成ＤＢ３０４のネットワークフィルタテーブルの内容について説明する。
システム構成ＤＢ３０４のネットワーク接続テーブルは、ネットワーク間にＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）やＦＷ（ＦｉｒｅＷａｌｌ）などの装置があり、通信の一部がフィルタされる場合にその情報を示すものである。システム構成ＤＢ３０４のネットワークフィルタテーブルは、フィルタＩＤ１１０１、第１のネットワーク要素１１０２、第２のネットワーク要素１１０３、フィルタ内容１１０４から構成される。フィルタＩＤ１１０１は、ネットワークフィルタ情報を一意に識別するための識別子である。

第１のネットワーク要素１１０２と第２のネットワーク要素１１０３は、それぞれＩＰアドレスもしくはネットワークアドレスであり、第１のネットワーク要素１１０２と第２のネットワーク要素１１０３で示されたＩＰアドレス（ネットワークアドレス）間の通信に対してフィルタ内容１１０４のフィルタが適用される、という意味になる。フィルタ内容１１０４は、通信を許可する条件を設定し、それ以外の通信をブロックするホワイトリスト型のフィルタでもよいし、通信をブロックする条件を設定し、それ以外の通信を許可するブラックリスト型のフィルタでもよい。

図１２を参照して、シナリオ表示機能３０５の表示する画面について説明する。
シナリオ表示機能３０５は、シナリオＤＢ３０３に格納されたシナリオのうち１つの内容を表示するシナリオ表示画面１２００を出力する。シナリオＤＢ３０３に格納されたシナリオのうちどれを表示対象とするかは、例えばユーザからの指示によって決定する。シナリオ表示画面１２００は、シナリオのサマリ１２０１、シナリオの内容１２０２、ネットワークマップ上でのシナリオ表示１２０３を有する。シナリオ表示機能３０５は、攻撃パーツＤＢ３０２、シナリオＤＢ３０３、システム構成ＤＢ３０４から情報を取得し、シナリオのサマリ１２０１、シナリオの内容１２０２、シナリオ表示１２０３を描画する。

シナリオの内容１２０２には、表示対象となったシナリオの内容が時系列順に列挙される。これは図１２の例では次の通りである。

順番１として、コンピュータＸを起点として「マルウェア実行」という攻撃内容をＬｏｃａｌ（コンピュータＸ自身）を対象に実行し、取得情報としてコンピュータＸのユーザ権限を得る。

続いて順番２として、コンピュータＸを起点として「ＩＤ／Ｐａｓｓｗｏｒｄを窃取」という攻撃内容をＬｏｃａｌ（コンピュータＸ自身）を対象に実行し、取得情報としてコンピュータＸのユーザのＩＤ／Ｐａｓｓｗｏｒｄを得る。

続いて順番３として、コンピュータＸを起点として「ログイン」という攻撃内容をコンピュータＹを対象に実行し、取得情報としてコンピュータＹのユーザ権限を得る。

続いて順番４として、コンピュータＹを起点として「ＣＶＥ−２０１９−ＸＸＸＸの脆弱性を攻略して権限昇格」をＬｏｃａｌ（コンピュータＹ自身）を対象に実行し、取得情報としてコンピュータＹの管理者権限を得る。

続いて順番５として、コンピュータＹを起点として「ＡｃｔｉｖｅＤｉｒｅｃｔｏｒｙから権限取得」という攻撃内容をＬｏｃａｌ（コンピュータＹ自身）を対象に実行し、取得情報としてコンピュータＺの管理者の認証情報を得る。

続いて順番６として、コンピュータＹを起点として「ログイン」という攻撃内容をコンピュータＺを対象に実行し、取得情報としてコンピュータＺの管理者権限を得る。続いて順番７として、コンピュータＺを起点として「情報探索」という攻撃内容をＬｏｃａｌ（コンピュータＺ自身）を対象に実行し、取得情報として社外秘情報を取得する。このようにして、コンピュータＸから侵入し、最終的にコンピュータＺで社外秘情報を窃取するというシナリオ内容が表現される。

実施例１のインシデントシナリオ生成装置１０１では、シナリオの起点となる攻撃パーツを指定し、そこから実施可能な攻撃パーツを追加していくことでシナリオを拡張している。一方、シナリオの生成方法としては、最終的な結果を定義し、そこに至る過程を導出することでシナリオを拡張する方法も考えられ、実施例２では、そのような方法でシナリオを生成する構成とする。

実施例２では、シナリオ生成機能３０１の処理フローが、実施例１の場合とは逆の順序となったようになる。すなわち、最終的な到達点（取得情報など）を最初に定め、そこに至る攻撃パーツをピックアップし、攻撃可能な端末を取得することで最終的な到達点の一歩前の地点を導出し、これを繰り返す事でシナリオを生成する。

実施例２の構成とすることで、最終的な事象からシナリオを生成することができるようになり、サイバー攻撃対応訓練のシナリオ作成に活用することが出来る。

実施例２においても実施例１と同様に、インシデントシナリオ生成装置１０１はシナリオ表示機能３０５を有し、シナリオ表示機能３０５は図１２に示す画面を表示する。シナリオ表示機能３０５は、シナリオＤＢ３０３に格納されたシナリオのうち１つの内容を表示するシナリオ表示画面１２００を出力する。シナリオＤＢ３０３に格納されたシナリオのうちどれを表示対象とするかは、例えばユーザからの指示によって決定する。

シナリオ表示画面１２００は、シナリオのサマリ１２０１、シナリオの内容１２０２、ネットワークマップ上でのシナリオ表示１２０３を有する。シナリオ表示機能３０５は、攻撃パーツＤＢ３０２、シナリオＤＢ３０３、システム構成ＤＢ３０４から情報を取得し、シナリオのサマリ１２０１、シナリオの内容１２０２、シナリオ表示１２０３を描画する。

シナリオの内容１２０２には、表示対象となったシナリオの内容が時系列順に列挙される。これは図１２の例では次の通りである。

順番１として、コンピュータＸを起点として「マルウェア実行」という攻撃内容をＬｏｃａｌ（コンピュータＸ自身）を対象に実行し、取得情報としてコンピュータＸのユーザ権限を得る。

続いて順番２として、コンピュータＸを起点として「ＩＤ／Ｐａｓｓｗｏｒｄを窃取」という攻撃内容をＬｏｃａｌ（コンピュータＸ自身）を対象に実行し、取得情報としてコンピュータＸのユーザのＩＤ／Ｐａｓｓｗｏｒｄを得る。

続いて順番３として、コンピュータＸを起点として「ログイン」という攻撃内容をコンピュータＹを対象に実行し、取得情報としてコンピュータＹのユーザ権限を得る。

続いて順番４として、コンピュータＹを起点として「ＣＶＥ−２０１９−ＸＸＸＸの脆弱性を攻略して権限昇格」をＬｏｃａｌ（コンピュータＹ自身）を対象に実行し、取得情報としてコンピュータＹの管理者権限を得る。

続いて順番５として、コンピュータＹを起点として「ＡｃｔｉｖｅＤｉｒｅｃｔｏｒｙから権限取得」という攻撃内容をＬｏｃａｌ（コンピュータＹ自身）を対象に実行し、取得情報としてコンピュータＺの管理者の認証情報を得る。

続いて順番６として、コンピュータＹを起点として「ログイン」という攻撃内容をコンピュータＺを対象に実行し、取得情報としてコンピュータＺの管理者権限を得る。

続いて順番７として、コンピュータＺを起点として「情報探索」という攻撃内容をＬｏｃａｌ（コンピュータＺ自身）を対象に実行し、取得情報として社外秘情報を取得する。このようにして、コンピュータＸから侵入し、最終的にコンピュータＺで社外秘情報を窃取するというシナリオ内容が表現される。

実施例１および実施例２では、１台の装置でインシデントシナリオを生成していた。しかし、インシデントシナリオ生成装置１０１が有するシナリオ生成機能３０１、攻撃パーツＤＢ３０２、シナリオＤＢ３０３、システム構成ＤＢ３０４、シナリオ表示機能３０５を、それぞれ１台の装置による機能とし、各機能をネットワークを介して接続するような構成としていてもよい。

実施例３によるインシデントシナリオ生成システム１３００の構成図を図１３に示す。
インシデントシナリオ生成システム１３００は、複数の装置がネットワークを介して接続されているネットワークシステムであり、シナリオ生成装置１３０１、攻撃パーツＤＢ記憶装置１３０２、シナリオＤＢ記憶装置１３０３、システム構成ＤＢ記憶装置１３０４、シナリオ表示装置１３０５、およびそれらを接続するネットワーク１３０６から構成される。

シナリオ生成装置１３０１は、通信装置２０１、入力装置２０２、表示装置２０３、演算装置２０４、メモリ２０５、および、記憶装置２０６を備える。通信装置２０１は、ネットワークカードなどのネットワークインタフェースである。通信装置２０１は、ネットワーク１３０６を介して他の装置からデータを受信し、受信したデータを演算装置２０４へ送る。そして、通信装置２０１は、演算装置２０４によって生成されたデータを、ネットワーク１３０６を介して他の装置へ送信する。

入力装置２０２は、キーボードまたはマウス等の装置であり、ユーザによる情報の入力を受け付けるための装置である。表示装置２０３は、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）等の装置であり、管理者に情報を出力するための装置である。

記憶装置２０６は、ハードディスク等の装置であり、演算装置２０４が実行するプログラムおよび演算装置２０４が使用するデータ等を格納する。メモリ２０５は、一時的にデータ等が読み出される記憶領域である。

演算装置２０４は、記憶装置２０６に格納されたプログラムを実行し、振分装置１０５に備わる各装置を制御する。演算装置２０４は、入力装置２０２および表示装置２０３を制御し、入力装置２０２から入力されたデータを受け付け、表示装置２０３へデータを出力する。記憶装置２０６に格納されるプログラムは、演算装置２０４によって、記憶装置２０６からメモリ２０５に読み出され、メモリ２０５において実行される。

演算装置２０４は、プログラムを記憶装置２０６から読み出すが、他の例として、ＣＤもしくはＤＶＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、磁気記録媒体、または、半導体メモリ等の記録媒体からプログラムを読み出してもよい。また、他の例として、他の装置から、通信媒体を介して、プログラムを読み出してもよい。通信媒体とは、ネットワークまたはこれらを伝搬するディジタル信号または搬送波を示す。

攻撃パーツＤＢ記憶装置１３０２、シナリオＤＢ記憶装置１３０３、システム構成ＤＢ記憶装置１３０４、シナリオ表示装置１３０５のハードウェア構成は、シナリオ生成装置１３０１のハードウェア構成と同一である。各装置のハードウェア構成は、前述の構成に限定するものではなく、各装置がそれぞれの機能を実現可能な範囲内において異なっていてもよい。

上記実施例によれば、ある情報システムに対するサイバー攻撃の経路を洗い出すことができ、サイバー攻撃を受けた際の影響範囲を特定することができる。

また、最終的に発生させる事象を選択し、そこに至るサイバー攻撃の経路を導出することで、予測される攻撃に対する防御の検討やサイバー攻撃対応訓練のシナリオ作成に活用できる。

１０１ インシデントシナリオ生成装置
３０１ シナリオ生成機能
３０２ 攻撃パーツＤＢ
３０３ シナリオＤＢ
３０４ システム構成ＤＢ
３０５ シナリオ表示機能
１３００ インシデントシナリオ生成システム
１３０１ シナリオ生成装置
１３０２ 攻撃パーツＤＢ記憶装置
１３０３ シナリオＤＢ記憶装置
１３０４ システム構成ＤＢ記憶装置
１３０５ シナリオ表示装置
１３０６ ネットワーク

Claims (12)

1. 演算装置と記憶装置を有し、情報システムに対して攻撃がどのように進行するかを表すインシデントシナリオを生成するインシデントシナリオ生成装置であって、
   前記記憶装置は、
   攻撃パーツ情報を格納する攻撃パーツデータベースと、
   前記情報システムのシステム構成情報を格納するシステム構成データベースと、を有し、
   前記演算装置は、
   前記攻撃パーツデータベースに格納された前記攻撃パーツ情報と前記システム構成データベースに格納された前記システム構成情報とに基づいて、前記インシデントシナリオを生成することを特徴とするインシデントシナリオ生成装置。
2. 前記演算装置は、
   前記攻撃パーツ情報と前記システム構成情報に基づいて、１番目の攻撃を起点として、前記１番目の攻撃の第１の攻撃内容と第１の攻撃対象を定め、
   前記第１の攻撃対象を起点として、２番目の攻撃の第２の攻撃内容と第２の攻撃対象を定めることにより、実施可能な前記攻撃の前記攻撃パーツ情報を順序追加することを特徴とするインシデントシナリオ生成装置。
3. 前記演算装置は、
   前記攻撃パーツ情報と前記システム構成情報に基づいて、最終的な起点に至るための第１の攻撃内容と第１の攻撃対象を定め、
   前記第１の攻撃対象を起点として、前記最終的な起点に至るための第２の攻撃内容と第２の攻撃対象を定めることにより、実施可能な前記攻撃の前記攻撃パーツ情報を順序追加することを特徴とする請求項１に記載のインシデントシナリオ生成装置。
4. 前記システム構成データベースは、
   前記システム構成情報として、ネットワーク上で通信可能なＩＰアドレスを規定する接続情報と、通信の一部がフィルタされていることを示すネットワークフィルタ情報とを格納することを特徴とする請求項１に記載のインシデントシナリオ生成装置。
5. 前記演算装置は、
   前記ネットワークフィルタ情報を用いて、実施可能な前記攻撃を絞り込むことを特徴とする請求項４に記載のインシデントシナリオ生成装置。
6. 前記攻撃パーツデータベースは、
   前記攻撃パーツ情報として、前記攻撃が成功するために満たすべき条件を規定した攻撃前提条件と、攻撃対象が一つの端末を起点としたときに、前記端末自身か前記端末とは異なる端末かを示す情報である攻撃種別と、前記攻撃の際に行われる攻撃内容と、前記攻撃が成功した場合に得られる情報とを格納することを特徴とする請求項１に記載のインシデントシナリオ生成装置。
7. 前記演算装置は、
   前記攻撃前提条件が満たされている前記攻撃を攻撃候補として抽出することを特徴とする請求項６に記載のインシデントシナリオ生成装置。
8. 前記記憶装置は、
   前記インシデントシナリオを格納するシナリオデータベースを更に有し、
   前記シナリオデータベースは、
   前記インシデントシナリオとして、前記攻撃の起点となる端末の情報を示す攻撃起点と、実行される前記攻撃の内容を示す攻撃内容と、実行される前記攻撃の対象を示す攻撃対象とを格納し、
   前記シナリオデータベースに格納された前記インシデントシナリオは、端末の画面に表示されることを特徴とする請求項１に記載のインシデントシナリオ生成装置。
9. 前記インシデントシナリのサマリと、前記インシデントシナリオの内容と、ネットワークマップ上での前記インシデントシナリオとが前記端末の画面に表示されることを特徴とする請求項８に記載のインシデントシナリオ生成装置。
10. インシデントシナリオ生成装置と、攻撃パーツデータベース記憶装置と、システム構成データベース記憶装置とがネットワークを介して接続されたインシデントシナリオ生成システムであって、
    前記攻撃パーツデータベース記憶装置は、
    攻撃パーツ情報を格納する攻撃パーツデータベースを記憶し、
    前記システム構成データベース記憶装置は、
    情報システムのシステム構成情報を格納するシステム構成データベースを記憶し、
    前記インシデントシナリオ生成装置は、
    前記攻撃パーツデータベースに格納された前記攻撃パーツ情報と前記システム構成データベースに格納された前記システム構成情報とに基づいて、前記情報システムに対して攻撃がどのように進行するかを表すインシデントシナリオを生成することを特徴とするインシデントシナリオ生成システム。
11. シナリオ表示装置と、シナリオデータベース記憶装置とが更にネットワークを介して接続され、
    前記シナリオデータベース記憶装置は、
    前記インシデントシナリオを格納するシナリオデータベースを記憶し、
    前記シナリオデータベースは、
    前記インシデントシナリオとして、前記攻撃の起点となる端末の情報を示す攻撃起点と、実行される前記攻撃の内容を示す攻撃内容と、実行される前記攻撃の対象を示す攻撃対象とを格納し、
    前記シナリオ表示装置は、
    前記シナリオデータベースに格納された前記インシデントシナリオを表示することを特徴とする請求項１０に記載のインシデントシナリオ生成システム。
12. 前記シナリオ表示装置は、
    前記インシデントシナリのサマリと、前記インシデントシナリオの内容と、ネットワークマップ上での前記インシデントシナリオを表示することを特徴とする請求項１１に記載のインシデントシナリオ生成システム。

Images