JP2021093176A - セキュリティ情報分析方法、セキュリティ情報分析システム、及び、プログラム - Google Patents

Abstract

【課題】セキュリティにおける脅威に関連する情報の出現傾向を分析することにより、脅威となる情報を適切に検出する情報分析システムを提供する。【解決手段】情報分析システム１００において、コンピュータが、セキュリティに関する複数の検索語を含む検索語群を記憶し、検索語群の中の第１の検索語を含む参照情報を、時刻情報とともに情報源から複数取得し、第１の検索語の出現数を、時刻情報を用いて計数する。【選択図】図１

Description

本発明は、セキュリティにおける脅威に関する情報を検出可能な、情報分析システム等に関する。

昨今、情報処理装置（コンピュータ等）に不正な指令を与える不正プログラム（以下、マルウェアと記載する）等の脅威が社会問題となっている。係る脅威による被害を低減するためには、可能な限り迅速にマルウェア等を検出し、情報処理装置から取り除くことが望ましい。

多くの場合、マルウェア等を用いたサイバー攻撃の兆候や手法に関する情報は、各種情報源から発信される。係る情報源には、例えば、ソーシャルメディアやブログなどの公開情報、セキュリティベンダや研究機関からの通知、及び、特定の個人又は組織の間で共有される非公開情報等が含まれる。各種情報源から提供されるセキュリティに関する情報を利用する技術が、下記特許文献に開示されている。

特許文献１は、あるセキュリティ情報に関連する他のセキュリティ情報を収集するシステムに関する技術を開示する。特許文献１に開示されたシステムは、端末から入力された参照元セキュリティ情報と、サーバから収集したセキュリティ情報とからそれぞれ抽出したキーワードを用いて、これらの情報の関連度を算出する。係るシステムは、関連性の高いセキュリティ情報を収集することを目的とする。

特許文献２は、受信した通信データが、公開されたセキュリティ情報に含まれる特徴と同様の特徴を含む場合に、当該セキュリティ情報の信頼度に応じて所定の処理（通信の遮断等）を実行するシステムを開示する。特許文献２に開示されたシステムは、特定の特徴を含む通信データを受信した際、その通信を継続するか否かを判定することより、セキュリティインシデントの発生を予防することを目的とする。

特許文献３は、Ｗｅｂ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）クローリングにより収集したＷｅｂページのうち、脆弱性情報を含むページを特定し、脆弱性情報を含むＷｅｂページ間の参照関係を特定するシステムに関する技術を開示する。係るシステムは、脆弱性情報を含むＷｅｂページの参照回数及び被参照回数を計数することにより、当該Ｗｅｂページの重要度を判定する。

なお、セキュリティに関する情報を利用する技術ではないが、特許文献４には、情報源から提供された情報に対して、ドメイン固有の意味論的な情報を付加する技術が開示されている。

国際公開第２０１４／２０８４２７号 特開２００９−１１０３３４号公報 特開２００８−１９７８７７号公報 特表２００５−５１４６７３号公報

サイバー攻撃に適切に対処するには、セキュリティの脅威に関する情報を適時に入手することが求められる。即ち、脅威（例えば、サイバー攻撃等）の発生に関する兆候を表す情報を適切に検出するとともに、当該脅威に関する各種情報を適宜入手することが求められる。サイバー攻撃等の脅威の発生から脅威に関する情報の入手までに時間を要するほど、被害が拡大する可能性があるからである。

しかしながら、例えば、情報システムの管理者等、情報システムを防護する側の担当者（以下、防護側担当者と記載する）の知識や経験が十分でない場合、脅威の発生等の兆候を適時に検出し、その脅威に関連する情報を収集することは、必ずしも容易ではない。このため、防護側担当者が、脅威に関する適切な情報を適時に検出できない場合がある、とういう課題があった。これに対して、上記した関連技術は、いずれも脅威の発生等を適時に検知する技術ではなく、脅威に関する情報を適時に入手可能であるとは限らない。

本発明は上記事情を鑑みてなされたものである。即ち本発明は、セキュリティにおける脅威に関連する情報の出現傾向から、脅威となり得る情報を適切に検出可能なシステム等を提供することを主たる目的の一つとする。

上記の目的を達成すべく、本発明の一態様に係るセキュリティ情報分析方法は、コンピュータが、セキュリティに関する複数の検索語を含む検索語群を記憶し、前記検索語群の中の第１の検索語を含む参照情報を、時刻情報とともに情報源から複数取得し、前記第１の検索語の出現数を、前記時刻情報を用いて計数する。

また、本発明の一態様に係るセキュリティ情報分析システムは、セキュリティに関する複数の検索語を含む検索語群を記憶する、記憶手段と、前記検索語群の中の第１の検索語を含む参照情報を、時刻情報とともに情報源から複数取得する、取得手段と、前記第１の検索語の出現数を、前記時刻情報を用いて計数する、計数手段と、を備える。

また、本発明の他の一態様に係るプログラムは、コンピュータに、セキュリティに関する複数の検索語を含む検索語群を記憶し、前記検索語群の中の第１の検索語を含む参照情報を、時刻情報とともに情報源から複数取得し、前記第１の検索語の出現数を、前記時刻情報を用いて計数する、処理を実行させる。

本発明によれば、セキュリティにおける脅威に関連する情報の出現傾向から、当該脅威に関する情報を適切に検出することが可能である。

図１は、本発明の第１の実施形態における情報分析システムの機能的な構成を例示するブロック図である。 図２は、本発明の第１の実施形態における情報分析システムの他の機能的な構成を例示するブロック図である。 図３は、本発明の第１の実施形態において、辞書データベースに登録される情報の具体例を示す説明図である。 図４は、本発明の第１の実施形態において、参照情報に含まれる文言を概念的に示す説明図である。 図５は、本発明の第１の実施形態における情報分析システムが生成するユーザインタフェースの具体例を示す説明図である。 図６は、本発明の第１の実施形態における情報分析システムが生成するユーザインタフェースの他の具体例を示す説明図である。 図７は、本発明の第１の実施形態における情報分析システムの動作を例示するフローチャート（１／５）である。 図８は、本発明の第１の実施形態における情報分析システムの動作を例示するフローチャート（２／５）である。 図９は、本発明の第１の実施形態における情報分析システムの動作を例示するフローチャート（３／５）である。 図１０は、本発明の第１の実施形態における情報分析システムの動作を例示するフローチャート（４／５）である。 図１１は、本発明の第１の実施形態における情報分析システムの動作を例示するフローチャート（５／５）である。 図１２は、本発明の第１の実施形態に記載された具体例において、情報データベースに登録される情報の具体例を示す説明図である。 図１３は、本発明の第１の実施形態に記載された具体例において、ある検索語の出現数について算出されたテクニカル分析の結果を示すグラフ（その１）である。 図１４は、本発明の第１の実施形態に記載された具体例において、ある検索語の出現数の推移を示すグラフである。 図１５は、本発明の第１の実施形態に記載された具体例において、ある検索語の出現数について算出されたテクニカル分析の結果を示すグラフ（その２）である。 図１６は、本発明の第１の実施形態に記載された具体例において、情報分析システムが生成したユーザインタフェースの具体例を示す説明図である。 図１７は、本発明の第１の実施形態に記載された具体例において、情報分析システムが生成する脅威記述データの一部の具体例を示す説明図（その１）である。 図１８は、本発明の第１の実施形態に記載された具体例において、情報分析システムが生成する脅威記述データの一部の具体例を示す説明図（その２）である。 図１９は、本発明の第２の実施形態における情報分析システムの機能的な構成を例示するブロック図である。 図２０は、本発明の第３の実施形態における情報分析システムの機能的な構成を例示するブロック図である。 図２１は、本発明の第４の実施形態における情報分析システムの機能的な構成を例示するブロック図である。 図２２は、本発明の第４の実施形態の変形例における情報分析システムの機能的な構成を例示するブロック図である。 図２３は、本発明の各実施形態における情報分析システムの構成要素を実現可能なハードウェア装置の構成を例示する図面である。

本発明の実施形態に関する説明に先立って、本発明に関する技術的な検討事項等についてより詳細に説明する。

上記したように、防護側担当者がサイバー攻撃等の脅威に適切に対処するには、当該脅威に関する情報（以下「脅威情報」と記載する場合がある）を適時入手することが求められる。サイバー攻撃の兆候や手法に関する脅威情報は、上記したような各種情報源から、時間の経過とともに徐々に広がる特性がある。即ち、脅威情報が発生（あるいは拡散）してから早期の段階で当該情報を検出可能であれば、例えば、防護側担当者は、サイバー攻撃等に対して迅速に対応することが可能である。

防護側担当者が、例えば、攻撃者の視点と、防護側の視点との双方から、上記のようなサイバー攻撃に関する情報を収集し、その情報を随時更新することが可能であれば、脅威情報を迅速に検出できると考えられる。攻撃者の視点からは、例えば、攻撃者の行動や手口、あるいは、ターゲットシステムの脆弱性等の情報が得られる。また、情報システムを防護する視点からは、例えば、サイバー攻撃を検出するための兆候、サイバー攻撃によって引き起こされる問題、及び、サイバー攻撃に対する対処方法等の情報が得られる。

一般的に、多くの攻撃者は、セキュリティに関する高い水準の知識を有する。係る攻撃者は、入手した攻撃手法に関する情報を理解して、当該攻撃手法を模倣あるいは応用することにより、攻撃を実行する。また、攻撃者は、利用可能な脅威情報を、随時整理あるいは保管していると考えられる。

一方、防護側担当者は、例えば、企業の情報システム部門の担当者等、セキュリティに関する専門家ではない場合もある。よって、防護側担当者のセキュリティに関する知識水準、あるいは、脅威情報の入手能力にはバラつきがある。即ち、防護側担当者が、上記したような各視点から脅威情報を適時に入手して理解し、係る情報を適切に管理することは、容易ではない場合がある。これより、防護側担当者による脅威情報の検出及び対処に関連して、以下のような、システムが求められている。

第１に、攻撃者によりサイバー攻撃等の脅威が生成された後、適切な時期（例えば、なるべく早い時期）に当該脅威に関する脅威情報を検出可能なシステムが求められている。近年、脅威の増加、あるいは、脅威情報の入手経路の多様化等に起因して、脅威が生成されてから検出されるまでの時間が長引く傾向がある。よって、防護側担当者が適時に脅威情報を検出し、関連する情報を入手することが可能なシステムが求められている。

第２に、サイバー攻撃等の脅威が検知された際、防護側担当者が当該脅威に関する情報を適切に確認できるように補助するシステムが求められている。防護側担当者の実務経験が乏しい場合、脅威に関する情報を適切に取得及び確認することが困難であることが多い。この場合、攻撃者に攻撃の機会をより多く与え、被害が拡大する可能性がある。よって、当該脅威に対する対処も含め、関連する情報を簡便かつ適切に確認可能なシステムが求められている。

第３に、サイバー攻撃等の脅威が発生した際、防護側担当者が確認した情報に基づいて、セキュリティ対策を容易に実行可能なシステムが求められている。例えば、情報システムに配置されたセキュリティ機器毎に設定データ（設定ファイル）が異なる場合、防護側担当者が手動でそれらを調整する必要がある。この場合、設定に時間と工数とを要する。そこで、各セキュリティ機器に対するセキュリティ対策を迅速かつ容易に実行可能なシステムが求められる。

以下、各実施形態を用いて、上記した技術的検討事項を考慮した情報分析システムについて具体的に説明する。係る情報分析システムは、例えば、セキュリティに関連するデータの出現傾向（トレンド）に基づいて、脅威情報の発生、拡散、収束等を、適時に検出することができる。当該情報分析システムは、例えば、ある脅威に関連する情報を、まとめて防護側担当者に対して提供することが可能であり、防護側担当者が脅威情報を適切かつ容易に確認することを可能とする。また、当該情報分析システムは、セキュリティ機器に対して特定のセキュリティ設定を適用可能な、標準化されたデータを提供することができる。

なお、以下の各実施形態に記載されている情報分析システムの構成は例示であり、本発明の技術範囲はそれらには限定されない。以下の各実施形態における情報分析システムを構成する構成要素の区分け（例えば、機能的な単位による分割）は、当該情報分析システムを実現可能な一例である。当該情報分析システムの実装に際しては、以下の例示に限定されず、様々な構成が想定される。即ち、以下の各実施形態における情報分析システムを構成する構成要素は、更に分割されてもよく、１以上の構成要素が統合されてもよい。

以下において説明する情報分析システムは、単体の装置（物理的あるいは仮想的な装置）を用いて構成されてもよく、複数の離間した装置（物理的あるいは仮想的な装置）を用いて実現されてもよい。情報分析システムが複数の装置により構成される場合、各装置の間は有線、無線、又はそれらを適切に組合せた通信ネットワーク（通信回線）により通信可能に接続されてもよい。係る通信ネットワークは、物理的な通信ネットワークであってもよく、仮想的な通信ネットワークであってもよい。以下において説明する情報分析システム、あるいは、その構成要素を実現可能なハードウェア構成については、後述する。

＜第１の実施形態＞
［構成の説明］
以下、発明を実施するための形態について図面を参照して詳細に説明する。図１は、本実施形態における情報分析システム１００の機能的な構成を例示するブロック図である。

図１に例示するように、第１の実施形態に係る情報分析システム１００は、通信ネットワーク２００に通信可能に接続される。

通信ネットワーク２００は、例えばインターネット等の広域ネットワークであってもよく、構内ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などの狭域ネットワークでもよく、これらを適宜組み合わせたネットワークであってもよい。また、係る通信ネットワーク２００は、周知の仮想化基盤により提供される仮想的な通信ネットワークであってもよい。

以下、本実施形態における情報分析システム１００の構成について説明する。図１に例示するように、情報分析システム１００は、情報収集部１０１と、情報保持部１０２と、情報集約部１０３と、情報分析部１０４と、を含む。また、情報分析システム１００は、検索情報入力部１０５と、情報提示部１０６と、脅威情報出力部１０７と、を含んでもよい。情報分析システム１００を構成するこれらの構成要素の間は、適切な通信方法を用いて通信可能に接続されていてもよい。以下、それぞれの構成要素について説明する。

情報収集部１０１は、通信ネットワーク２００を介して接続された各種情報源において提供される情報（データ）を取得する。情報収集部１０１が各種情報を取得する情報源は、例えば、設定等により予め定められていてもよい。また、情報収集部１０１は、ある情報源から取得した情報に含まれるリンク情報（例えば、ハイパーリンク等）を用いて、更に他の情報源から情報を取得してもよい。

情報収集部１０１が情報源から収集する情報（データ）は、例えば、ＨＴＭＬ（Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）、ＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）等のテキストデータであってもよい。また、情報源から収集するデータは、上記に限定されず、画像（図面）データ、動画データ、音声データ、実行ファイル（例えば、マルウェアの実行ファイル等）等のバイナリデータであってもよい。

情報収集部１０１は、情報源から提供される情報を全て取得してもよく、その一部を取得してもよい。また、情報収集部１０１は、情報源から、特定の文言（例えば、後述する辞書データベースに登録された検索語）を含む情報のみを取得してもよい。また、情報収集部１０１は、例えば、通信ネットワーク２００において公開された情報を検索可能な検索エンジン等を用いて特定の文言を含む情報を検索し、その検索結果を用いて各種情報を収集してもよい。以下、本実施形態における情報収集部１０１の構成例について説明する。

情報収集部１０１は、公開情報収集部１０１ａと、非公開情報収集部１０１ｂとを含む。公開情報収集部１０１ａは、通信ネットワーク２００を介して、公開された情報（データ）を取得する。公開情報収集部１０１ａは、例えば、ブログ（ｗｅｂｌｏｇ）、ソーシャルネットワーキングサービス（ＳＮＳ、Ｓｏｃｉａｌ Ｎｅｔｗｏｒｋｉｎｇ Ｓｅｒｖｉｃｅ）、電子掲示板、等のソーシャルメディアを情報源として、それらの情報源から各種情報を取得する。あるいは、公開情報収集部１０１ａは、例えば、セキュリティベンダ、研究機関等が提供するＷｅｂサイト等を情報源として、それらの情報源から各種情報を取得する。具体的には、公開情報収集部１０１ａは、例えば上記各種サービスを提供するサーバ等の情報処理装置から、上記各種情報を取得する。なお、公開情報収集部１０１ａが情報を取得する情報源は上記に限定されず、その他のソーシャルメディア等が含まれてもよい。

公開情報収集部１０１ａが各種情報源から各種情報を取得するタイミングは、適宜設定可能である。例えば、公開情報収集部１０１ａは、定期的なタイミングで上記情報源から各種情報を取得してもよい。また、公開情報収集部１０１ａは、情報分析システム１００のユーザ等により設定されたタイミングで上記情報源から各種情報を取得してもよい。

公開情報収集部１０１ａは、取得した各種情報を、後述する情報保持部１０２（情報データベース１０２ａ）に提供する。公開情報収集部１０１ａは、情報源から取得した各種情報のうち、後述する辞書データベース１０２ｂに登録された検索語を含む情報を、脅威情報として情報保持部１０２に提供してもよい。公開情報収集部１０１ａは、情報源を特定可能な情報と、取得した各種情報に関する時刻（日時）を表す情報とを、併せて情報データベース１０２ａに登録してもよい。上記各種情報に関する時刻は、例えば、当該情報を取得した時刻を表してもよく、当該情報が作成された時刻を表してもよく、当該情報が公開された時刻を表してもよい。

非公開情報収集部１０１ｂは、通信ネットワーク２００を介して、非公開の情報源（プライベート情報源）から、各種情報を取得する。非公開情報収集部１０１ｂは、例えば、非公開の情報源として、信頼関係にある相手と共有した特定の場所（例えば、通信ネットワーク２００に接続された共有フォルダ、Ｗｅｂサイト等）から、各種情報を取得してもよい。具体的には、非公開情報収集部１０１ｂは、例えば、上記各種サービス（共有フォルダ、Ｗｅｂサイト等）を提供するサーバ等の情報処理装置から、上記各種情報を取得する。

非公開情報収集部１０１ｂが各種情報源から各種情報を取得するタイミングは、適宜設定可能である。非公開情報収集部１０１ｂは、例えば、定期的なタイミングで非公開情報源から各種情報を取得してもよい。また、非公開情報収集部１０１ｂは、例えば、情報分析システム１００のユーザ等により設定されたタイミングで上記情報源から各種情報を取得してもよい。

非公開情報収集部１０１ｂは、取得した各種情報を、後述する情報保持部１０２（情報データベース１０２ａ）に格納する。非公開情報収集部１０１ｂは、取得した各種情報のうち、後述する辞書データベース１０２ｂに登録された検索語を含む情報を、脅威情報として情報保持部１０２に提供してもよい。この際、非公開情報収集部１０１ｂは、情報源を特定可能な情報と、当該情報源から取得した各種情報に関する時刻を表す情報とを、情報データベース１０２ａに登録してもよい。各種情報に関する時刻を表す情報は、例えば、当該情報を取得した時刻を表してもよく、当該情報が作成された時刻を表してもよく、当該情報が公開された時刻を表してもよい。

情報保持部１０２は、情報収集部１０１が情報源から取得した各種情報（以下、「参照情報」と記載する）を、物理的あるいは仮想的な記憶装置等を用いて保持（記憶）する。情報保持部１０２は、例えば、周知のファイルシステム、あるいは各種データベース等を用いて構成されてもよい。情報保持部１０２がファイルシステムにより構成される場合、情報保持部１０２が保持する参照情報は、ファイルとして保持される。情報保持部１０２が各種データベースにより構成される場合、情報保持部１０２が保持する参照情報は、データベースに登録されたレコードとして保持される。

情報保持部１０２は、情報データベース１０２ａと、辞書データベース１０２ｂとを含む。なお、情報データベース１０２ａ、辞書データベース１０２ｂは、特定のデータベースの形式に限定されず、例えば、ファイル等を用いて構成されてもよい。

情報データベース１０２ａは、上記公開情報収集部１０１ａ、非公開情報収集部１０１ｂから提供された参照情報を保持する。情報データベース１０２ａは、参照情報と、当該参照情報の情報源と、当該参照情報を取得した時刻とを関連付けて、それらを保持してもよい。

情報データベース１０２ａは、例えば、各情報源の種類を表す情報、各情報源を特定可能な情報、参照情報に関する時刻（日時）を表す情報、及び、参照情報の内容等を関連付けて、それらを保持してもよい。各情報源を特定可能な情報は、例えば、通信ネットワークにおけるアドレス（例えばＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス）、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）、ソーシャルメディアの発信者を特定可能な情報等であってもよい。情報データベース１０２ａは、上記以外の情報を更に保持してもよい。情報データベース１０２ａは、上記に加え、後述する情報分析部１０４における分析結果を保持してもよい。

辞書データベース１０２ｂは、セキュリティに関連する文言である１以上の検索語（以下、「第１の文言情報」と記載する場合がある）を保持する。辞書データベース１０２ｂに登録される検索語には、例えば、セキュリティ用語だけではなく、セキュリティ用語に関連するその他の文言（例えば、各種技術用語、製品あるいはアプリケーションの名称等）等、幅広い文言が含まれ得る。

辞書データベース１０２ｂには、後述する情報集約部１０３により参照情報から抽出された文言が、新たに検索語として登録される。また、辞書データベース１０２ｂには、情報分析システム１００のユーザ等により、予め１以上の検索語が登録されていてもよい（例えば、図３）。

情報集約部１０３は、情報データベース１０２ａに格納された１以上の参照情報を解析し、辞書データベース１０２ｂに登録されたいずれかの検索語を含む参照情報を抽出する。具体的には、情報集約部１０３は、参照情報を解析し、当該参照情報（当該参照情報に含まれるテキストデータ）を品詞毎に単語に分解する。参照情報がテキストデータである場合、情報集約部１０３は、例えば、係るテキストデータに対して形態素解析を実行することにより、当該テキストデータを単語に分解してもよい。参照情報が画像、動画、音声などの非テキストデータである場合、情報集約部１０３は、例えば、当該非テキストデータに含まれる文字列を抽出し、抽出した文字列に対して形態素解析等を実行してもよい。この場合、情報集約部１０３は、非テキストデータにメタデータとして含まれる文字列（例えば、キャプションや字幕等）を抽出してもよい。また、情報集約部１０３は、非テキストデータに対して各種処理（画像認識、音声認識、バイナリ解析等）を実行することにより、非テキストデータに含まれる文字列を抽出してもよい。非テキストデータから文字列を抽出する具体的な方法は、周知技術を採用可能である。情報集約部１０３は、例えば、各参照情報の分析結果を情報データベース１０２ａに登録してもよい。

情報集約部１０３は、例えば、参照情報から抽出され、品詞毎に分解された単語の集合に、辞書データベース１０２ｂに登録された検索語が含まれるか否かを確認してもよい。これにより、情報集約部１０３は、辞書データベース１０２ｂに登録された検索語を含む参照情報を特定（抽出）可能である。

情報集約部１０３は、抽出した参照情報に含まれる、検索語と関連する他の単語（以下「関連語」と記載する場合がある）を抽出する。以下において、関連語を表す情報を、「第２の文言情報」と記載する場合がある。

以下、情報集約部１０３による、関連語の抽出処理について説明する。まず、情報集約部１０３は、ある検索語（仮に検索語「Ｘ」と記載する）について、当該検索語「Ｘ」を含む参照情報に含まれる他の単語（以下「関連語候補」と記載する）を抽出する。この際、情報集約部１０３は、参照情報に含まれる他の単語のうち、関連語候補として抽出しない単語を、所定のルールに基づいて排除してもよい。

情報集約部１０３は、例えば、ある検索語「Ｘ」と同じ参照情報に含まれる関連語候補に関する統計量を用いて、関連語候補の中から、検索語「Ｘ」と関連性を有する関連語を抽出する。情報集約部１０３は、例えば、ある関連語候補に関する統計量として、当該関連語候補の出現数を用いてもよい。この場合、情報集約部１０３は、ある検索語「Ｘ」と同じ参照情報に含まれる関連語候補を計数する。この際、情報集約部１０３は、検索語「Ｘ」を含む複数の参照情報について、当該参照情報に含まれる関連語候補を計数してもよい。

情報集約部１０３は、係る計数結果から、検索語「Ｘ」と同じ参照情報に含まれる関連語候補の出現数のランキングを作成する。情報集約部１０３は、例えば、当該ランキングにおける最上位から特定順位までの関連語候補を、検索語「Ｘ」と関連性を有する関連語として抽出する。なお、係る特定順位は、例えば、設定パラメータとして適宜設定されてよい。関連語として抽出する個数が多くなるよう特定順位が設定された場合、情報集約部１０３は、検索語が表すセキュリティ情報に関連する単語を、幅広く関連語として抽出可能である。また、例えば、関連語として抽出する個数が少なくなるよう特定順位が設定された場合、情報集約部１０３は、抽出される関連語を、検索語と関連性が高い単語に限定することが可能である。

図４に示す具体例を用いて説明する。図４の具体例では、公開情報収集部１０１ａにより取得され参照情報「Ｓ１」と、「Ｓ２」とが情報データベース１０２ａに登録されており、それぞれに、検索語「Ｘ」が含まれることを想定する。また、それぞれの参照情報には「Ｘ」と共に、単語「Ａ」、「Ｂ」、「Ｃ」、「Ｄ」が含まれることを想定する。この場合、情報集約部１０３は、例えば、検索語「Ｘ」と同じ参照情報に含まれる単語「Ａ」、「Ｂ」、「Ｃ」、「Ｄ」を抽出してその個数を計数し、ランキングを作成する。そして、情報集約部１０３は、例えば、当該ランキングの上位３個（この場合は「Ａ」、「Ｂ」、「Ｃ」）を、関連語として抽出する。

なお、情報集約部１０３が関連語を抽出する方法は、上記には限定されない。例えば、情報集約部１０３は、出現数がある基準値以上の関連語候補を、関連語として抽出してもよい。また、情報集約部１０３は、例えば、ある検索語「Ｘ」が含まれる参照情報における、関連語候補の出現確率を算出し、当該出現確率に基づいて、関連語を抽出してもよい。また、例えば、情報集約部１０３は、１以上の参照情報に含まれる検索語と、関連語候補との間の相関係数を算出し、当該相関係数に基づいて、関連語を抽出してもよい。

情報集約部１０３は、抽出した関連語を、辞書データベース１０２ｂに追加する。これより、辞書データベース１０２ｂには、予め登録された検索語だけではなく、各情報源から取得した参照情報に含まれる関連語も登録される。即ち、辞書データベース１０２ｂには、情報集約部１０３によって抽出された関連語が、新たな検索語として登録される。

これにより、例えば、情報分析システム１００においては、ユーザが明示的に検索語を追加しなくとも、セキュリティ用語、あるいはセキュリティ用語に関連する単語が辞書データベース１０２ｂに登録される。即ち、情報分析システム１００は、情報分析システム１００のユーザの知識レベル等に依らず、脅威情報の検出に用いられるデータを拡充することが可能である。なお、以下の説明では、検索語と新たに検索語として登録された関連語とをまとめて、単に検索語と記載する場合がある。

情報分析部１０４は、辞書データベース１０２ｂに登録された検索語（関連語を含む）の時系列における出現傾向（以下「トレンド」あるいは「出現トレンド」と記載する）を分析し、出現傾向が変化した検索語を抽出する。情報分析部１０４は、例えば、後述する情報提示部１０６に、抽出した検索語を提供してもよい。また、情報分析部１０４は、後述する検索情報入力部１０５から受け付けた、特定の検索語を含む参照情報を出力する。この際、情報分析部１０４は、特定された検索語と、当該特定された検索語を含む参照情報とを、情報提示部１０６及び脅威情報出力部１０７に提供してもよい。以下、情報分析部１０４の具体的な構成について説明する。

情報分析部１０４は、トレンド検出部１０４ａと、検索部１０４ｂとを含む。トレンド検出部１０４ａは、辞書データベース１０２ｂに保持された検索語（関連語を含む）と、情報データベース１０２ａに保持された参照情報とに基づいて、各参照情報に含まれる検索語の出現トレンドを分析する。以下、係る出現トレンドの分析処理について説明する。

トレンド検出部１０４ａは、金融工学分野等で用いられるテクニカル分析手法を用いて、検索語の時系列における出現トレンドを表すデータを算出し、その算出したデータに基づいて、検索語の出現トレンドを判定する。

トレンド検出部１０４ａは、例えば、係るテクニカル分析手法のうち、ＭＡＣＤ手法（Ｍｏｖｉｎｇ Ａｖｅｒａｇｅ Ｃｏｎｖｅｒｇｅｎｃｅ Ｄｉｖｅｒｇｅｎｃｅ（移動平均収束拡散法））を用いて、検索語の出現トレンドを判定してもよい。ＭＡＣＤ手法は、一般的には、時系列における株価のトレンドを判定する際に用いられる手法である。以下、ＭＡＣＤ手法において算出される指標を、単にＭＡＣＤと記載する場合がある。本実施形態におけるトレンド検出部１０４ａは、株価の代わりに検索語の時系列における出現数を用いることで、検索語の出現トレンドを判定する。トレンド検出部１０４ａは、例えば、ある検索語について、複数（例えば二つ）のタイミングにおけるＭＡＣＤを算出し、算出したデータの間の関係性に基づいて、当該検索語の出現トレンドを判定する。以下、ＭＡＣＤを用いて検索語の出現トレンドを判定する方法について説明する。

ＭＡＣＤは、二つの異なる期間における検索語の出現数の指数平滑移動平均の差分に基づいて算出される。トレンド検出部１０４ａは、例えば下式により、あるタイミング（Ｔ）における検索語の出現数に関する指数平滑移動平均（ＥＭＡ：Ｅｘｐｏｎｅｎｔｉａｌ
Ｍｏｖｉｎｇ Ａｖｅｒａｇｅ）を算出可能である。

式（１）のＥＭＡ（Ｔ）は、あるタイミング（Ｔ）における、ある検索語（仮に「ＳＷ」と記載する）のＥＭＡを表す。また、ＥＭＡ（Ｔ−１）は、あるタイミングに対する直前のタイミング（Ｔ−１）における検索語ＳＷのＥＭＡを表す。係るタイミングＴは、例えば、「１日」等の日単位、「１時間」等の時間単位等、適切な時間の単位で指定される。なお、一般的な株価に関するＥＭＡを算出する場合、ＥＭＡ（Ｔ）は、特定日（Ｔ）のＥＭＡを表し、ＥＭＡ（Ｔ−１）は、当該特定日の前日のＥＭＡを表すことが多い。本実施形態においては、ＥＭＡ（Ｔ）は、例えば、特定時刻におけるＥＭＡを表し、ＥＭＡ（Ｔ−１）は、当該特定時刻の１時間前の時刻におけるＥＭＡを表してもよい。

式（１）においてＰ（Ｔ）は、あるタイミング（Ｔ）における、検索語ＳＷの出現数を表す。より具体的には、例えば、Ｐ（Ｔ）は、タイミング（Ｔ−１）から、タイミング（Ｔ）までの間に出現した検索語の数を表す。なお、一般的な株価に関するＥＭＡを算出する場合、Ｐ（Ｔ）は、特定日におけるある銘柄の株価の終値を表すことが多い。

式（１）において、ｎは、移動平均を算出する期間（例えば、「ｎ日」あるいは「ｎ時間」など）を表す。

トレンド検出部１０４ａは、例えば、出現日時（あるいは、作成日時もしくは取得日時）がタイミング（ｔ−１）からタイミング（ｔ）の間に含まれる参照情報について、辞書データベース１０２ｂに保持された各検索語の出現回数Ｐ（ｔ）を算出する。トレンド検出部１０４ａは、式（１）を用いて、ｔ＝１からｔ＝Ｔ−１までの各タイミングについて、Ｐ（ｔ）と、ＥＭＡ（ｔ）とを算出することにより、ＥＭＡ（Ｔ）を算出可能である。

次に、トレンド検出部１０４ａは、下式により、ＭＡＣＤを算出する。

上式（２）において、ＥＭＡｓｈｏｒｔは、例えば、短期間のＥＭＡを表す。また、ＥＭＡｌｏｎｇは長期間のＥＭＡを表す。例えば、周知の株価に関するＭＡＣＤの場合、ＥＭＡｓｈｏｒｔとして１２日間（ｎ＝１２日）の株価のＥＭＡが用いられることが多く、ＥＭＡｌｏｎｇとして２６日間（ｎ＝２６日）の株価のＥＭＡが用いられることが多い。本実施形態における、ＥＭＡｓｈｏｒｔあるいは、ＥＭＡｌｏｎｇの期間は、情報分析システム１００のユーザ等により適宜設定可能である。なお、これらの期間は、例えば、事前実験等に基づいて調整されてもよく、トレンド検出部１０４ａの検出結果に基づいて適宜調整されてもよい。例えば、トレンド検出部１０４ａは、ＥＭＡｓｈｏｒｔとして、１２時間（ｎ＝１２時間）の検索語出現数のＥＭＡを用いてもよい。また、トレンド検出部１０４ａは、ＥＭＡｌｏｎｇとして、２４時間（ｎ＝２４時間）の検索語出現数のＥＭＡを用いてもよい。

トレンド検出部１０４ａは、更に、ＭＡＣＤシグナルを算出する。ＭＡＣＤシグナルは、ある期間のＭＡＣＤの指数平滑移動平均（ＥＭＡ）として求められる。あるいは、ＭＡＣＤシグナルは、ある期間のＭＡＣＤの単純平均として求められてもよい。

トレンド検出部１０４ａは、例えば、下式を用いて、ＭＡＣＤシグナル（ＳＩＧＮＡＬ（Ｔ））を算出することができる。

トレンド検出部１０４ａは、上記算出したＭＡＣＤと、ＭＡＣＤシグナルとを用いて、ＭＡＣＤヒストグラムを算出する。トレンド検出部１０４ａは、下式によりＭＡＣＤヒストグラム（ＨＩＳＴＯＧＲＡＭ（Ｔ））を算出する。

トレンド検出部１０４ａは、上記各式を用いて、異なる２つのタイミングにおけるＭＡＣＤヒストグラムを算出するとともに、算出したＭＡＣＤヒストグラムの積を計算する。より具体的には、トレンド検出部１０４ａは、例えば、隣接する２つのタイミングにおけるＭＡＣＤヒストグラムの積を計算する。

トレンド検出部１０４ａは、例えば、上記積の計算結果に基づいて、検索語の出現トレンドが変化（転換）したか否かを判定する。トレンド検出部１０４ａは、上記積の結果が正の値である場合、検索語の出現トレンドが転換していないと判定する。また、トレンド検出部１０４ａは、上記積の結果が負の値である場合、検索語の出現トレンドが転換したと判定する。換言すると、トレンド検出部１０４ａは、時系列におけるＭＡＣＤシグナルの値と、基準データ（この場合は基準値”０”）との間の関係性に基づいて、検索語のトレンドを判定する。”０”を基準値（基準データ）と考えた場合、トレンド検出部１０４ａは、ＭＡＣＤシグナルの値が、時系列において基準値”０”以上の値から基準値”０”未満の値に変化した際、検索語のトレンドが転換したと判定する。また、トレンド検出部１０４ａは、ＭＡＣＤシグナルの値が、時系列において基準値”０”未満の値から基準値”０”以上の値に変化した際、検索語のトレンドが転換したと判定する。

なお、上記したようなＭＡＣＤ及びＭＡＣＤシグナルの時系列における推移をグラフを用いて表した場合、ＭＡＣＤを表すグラフと、ＭＡＣＤシグナルを表すグラフとの交点において、検索語のトレンドが転換したと判定される。

例えば、タイミング（Ｔ−１）におけるＭＡＣＤヒストグラムが負の値であり、タイミング（Ｔ）におけるＭＡＣＤヒストグラムが正の値である場合を想定する。この場合、トレンド検出部１０４ａは、検索語の出現数が増加トレンドに転換したと判定する。係るトレンドの転換は、例えば、当該検索語に関連する何らかのセキュリティ事象が発生（あるいは拡大）している兆候を示すと考えられる。例えば、何らかの脆弱性、あるいは、攻撃手法に関する検索語の出現数が増加トレンドに転換した場合、係るトレンドの転換は、当該脆弱性を攻撃する攻撃手法の発生あるいは拡大の兆候を示すと考えられる。

また、例えば、タイミング（Ｔ−１）におけるＭＡＣＤヒストグラムが正の値であり、タイミング（Ｔ）におけるＭＡＣＤヒストグラムが負の値である場合を想定する。この場合、トレンド検出部１０４ａは、検索語の出現数が減少トレンドに転換したと判定する。これは、当該検索語に関連する何らかのセキュリティ事象が収束する傾向にあることを示す兆候であると考えられる。例えば、何らかの脆弱性、あるいは、攻撃手法に関する検索語の出現数が減少トレンドに転換した場合、係るトレンドの転換は、当該脆弱性に対する攻撃が収束する傾向にあることを示すと考えられる。

例えば、サイバー攻撃等の脅威が発生した場合、防護側担当者は、当該脅威を早期に検知可能であることが望ましい。加えて、防護側担当者は、当該脅威が収束したことを適時に判定可能であることが望ましい。なぜならば、サイバー攻撃に対して、システムの可用性に影響がある対策（例えば、通信遮断、サービス停止等）が実施される場合があり、この場合、適切なタイミングで係る対策を終了することが望ましいからである。上記のようなトレンド検出部１０４ａの処理により、情報分析システム１００のユーザは、ある検索語の増加トレンドに基づいて、当該検索語に関連する脅威の発生を適時に検出可能である。また、情報分析システム１００のユーザは、ある検索語の減少トレンドに基づいて、当該検索語に関連する脅威の収束を適時に判定可能である。

なお、上記に限定されず、トレンド検出部１０４ａは、例えば、ＭＡＣＤの算出結果が基準値（例えば”０”）以上の値から、基準値より小さい値になったタイミングにおいて、検索語の出現傾向が転換したと判定してもよい。同様に、ＭＡＣＤの算出結果が基準値（例えば”０”）より小さい値から、基準値以上の値になったタイミングにおいて、検索語の出現傾向が転換したと判定してもよい。

また、トレンド検出部１０４ａは、例えば、異なるタイミングにおけるＭＡＣＤ（あるいはＭＡＣＤシグナル）同士を比較した結果に基づいて、検索語の出現傾向が転換したか否かを判定してもよい。具体的には、トレンド検出部１０４ａは、例えば、時系列に算出した各ＭＡＣＤ（あるいはＭＡＣＤシグナル）の間の大小関係を比較し、ＭＡＣＤ（あるいはＭＡＣＤシグナル）の値が減少から増加に変わったタイミングで、検索語の出現傾向が転換したと判定してもよい。同様に、トレンド検出部１０４ａは、ＭＡＣＤ（あるいはＭＡＣＤシグナル）の値が増加から減少に変わったタイミングで、検索語の出現傾向が転換したと判定してもよい。

更に、トレンド検出部１０４ａはテクニカル分析手法のうち、ＭＡＣＤ以外の手法を用いて、検索語のトレンドを判定してもよい。例えば、トレンド検出部１０４ａは、ヒストリカルボラティリティ（ＨＶ：Ｈｉｓｔｏｒｉｃａｌ Ｖｏｌａｔｉｌｉｔｙ）を用いて、検索語のトレンドを判定してもよい。この場合、トレンド検出部１０４ａは、ある検索語について、複数（例えば二つ）の異なる期間のＨＶを算出し、算出したデータの間の関係性に基づいて、当該検索語の出現トレンドを判定することができる。

トレンド検出部１０４ａは、ＨＶを用いる場合、過去のある期間における検索語の出現数の変化率の標準偏差を算出する。トレンド検出部１０４ａは、異なる二つのタイミング（例えば、タイミング（Ｔ）とタイミング（Ｔ−１））の検索語の出現数の比率を計算することで、変化率を求めることができる。

トレンド検出部１０４ａは、あるタイミング（Ｔ）から、過去ｎ時点までの変化率の標準偏差を算出することにより、あるタイミング（Ｔ）におけるＨＶを求める。ＨＶの値が大きい場合、検索語の出現回数の変動が大きいことを表し、ＨＶの値が小さい場合、検索語の出現回数の変動が小さいことを表す。

トレンド検出部１０４ａは、例えば、比較的長期間（例えばｎ＝２４時間）のＨＶｌｏｎｇと、短期間（例えばｎ＝１２時間）のＨＶｓｈｏｒｔとを算出し、それらの間の関係性に基づいて、検索語のトレンドを判定する。具体的には、トレンド検出部１０４ａは、各タイミングにおいて算出したＨＶｌｏｎｇをプロットしたグラフと、ＨＶｓｈｏｒｔをプロットしたグラフとの交点において、検索語のトレンドが転換したと判定してもよい。即ち、トレンド検出部１０４ａは、検索語の出現傾向を表す２種類の異なるデータ（ＨＶｌｏｎｇと、ＨＶｓｈｏｒｔ）を算出し、それらを比較した結果に基づいて、当該検索語の出現傾向が転換したか否かを判定する。

また、トレンド検出部１０４ａは、あるタイミングにおける検索語の出現数の変化率と、ＨＶとを比較することで、当該タイミングにおける検索語の出現数の変化率がどの程度大きく変動したのかを判定することが可能である。トレンド検出部１０４ａは、例えば、あるタイミングにおける検索語の出現数の変化率と、ＨＶとの比率が、所定の基準値を超過した場合に、検索語の出現トレンドが転換したと判定してもよい。

上記に限定されず、トレンド検出部１０４ａは、他のテクニカル分析手法を用いて、検索語のトレンドを判定してもよい。トレンド検出部１０４ａは、例えば、ＲＳＩ（Ｒｅｌａｔｉｖｅ Ｓｔｒｅｎｇｔｈ Ｉｎｄｅｘ）を用いる方法、移動平均乖離率を用いる方法、ＶＲ（Ｖｏｌｕｍｅ Ｒａｔｉｏ）を用いる方法、等を採用してもよい。これらの手法は、一般的に株価の分析等に用いられることが多いが、株価の代わりに、検索語の出現数を用いることで、検索語の出現トレンドの転換を検出することができる。

以下、トレンドが転換したと判定された検索語を、「トレンド転換語」と記載する場合がある。トレンド検出部１０４ａは、トレンド転換語を、後述する情報提示部１０６に提供する。なお、トレンド検出部１０４ａは、各検索語に関するテクニカル分析の結果（出現トレンド）を、情報提示部１０６に提供してもよい。

検索部１０４ｂは、後述する検索情報入力部１０５から指定された特定の検索語を含む参照情報を、情報データベース１０２ａにおいて検索し、抽出する。検索部１０４ｂは、抽出した参照情報を、情報提示部１０６に提供する。検索部１０４ｂは、指定検索語と、抽出した参照情報とを、後述する脅威情報出力部１０７に提供してもよい。

検索情報入力部１０５は、特定の検索語（指定検索語）を指定する入力を受け付ける。例えば、検索情報入力部１０５は、情報提示部１０６により提示された検索語の中から、情報分析システム１００のユーザが指定した検索語を表す情報を、入力として受け付けてもよい。検索情報入力部１０５は、例えば、情報提示部１０６により提示されたユーザインタフェース画面（後述）を介して、指定検索語を指定する入力を受け付けてもよい。検索情報入力部１０５は、ユーザが指定した検索語を表す文字列を受け付けてもよく、ユーザが指定した検索語を識別可能な識別情報を受け付けてもよい。検索情報入力部１０５は、指定された検索語（あるいは指定された検索語を特定可能な情報）を、検索部１０４ｂに提供する。

情報提示部１０６は、トレンド検出部１０４ａにより提供されたトレンド転換語を、適切な表示方法を用いて表示する。情報提示部１０６は、例えば、辞書データベース１０２ｂを参照し、トレンド転換語以外の検索語を表示してもよい。また、情報提示部１０６は、検索部１０４ｂから提供された、指定検索語に関する参照情報を表示する。

情報提示部１０６は、例えば、各種表示装置（例えば、各種液晶モニタ、プロジェクタ、タッチパネル、その他表示機能を有するデバイス）の画面の少なくとも一部に表示可能なユーザインタフェース画面（具体的には、画面データ）を生成してもよい。なお、表示装置は、情報提示部１０６に含まれてもよく、情報分析システム１００に接続されてもよい。

情報提示部１０６が生成するユーザインタフェース画面は、少なくともトレンド転換語を表示する領域を含む。情報提示部１０６は、トレンド転換語と、トレンド転換語ではない検索語とを、それぞれを識別可能な形式でユーザインタフェース画面に表示してもよい。

図５及び図６は、情報提示部１０６により生成されるユーザインタフェース画面の一例を示す説明図である。図５に例示するユーザインタフェース画面５００は、検索語を表示可能な領域（表示領域５０１、「第１の表示領域」と記載する場合がある）を有する。ユーザインタフェース画面５００は、参照情報を表示する領域（表示領域５０２）を有してもよい。ユーザインタフェース画面５００は、検索語を入力可能な入力領域５０３を有してもよい。

表示領域５０１には、トレンド検出部１０４ａから提供されたトレンド転換語が少なくとも表示される。表示領域５０１には、トレンド転換語以外の他の検索語が表示されてもよい。図５に示す具体例では、トレンド転換語（トレンド転換語１乃至トレンド転換語６）を表す描画要素（円形状）が実線により描画され、その他の検索語（例えば、検索語７等）を表す描画要素が破線により描画される。上記に限定されず、情報提示部１０６は、例えば、トレンド転換語とその他の検索語を表す描画要素とを異なる大きさや形状を用いて描画してもよく、異なる配色を用いて描画してもよい。また、情報提示部１０６は、それぞれを識別可能な識別符号（あるいはアイコン等の識別画像）を描画してもよい。情報分析システム１００のユーザが、表示領域５０１に表示された検索語を選択（例えば、クリックや画面のタッチ等）した際、当該選択された検索語を指定する情報が、検索情報入力部１０５に提供されてもよい。

表示領域５０２には、例えば、情報データベース１０２ａに登録された参照情報が表示される。係る参照情報は、例えば、表示領域５０１に表示されたトレンド転換語、あるいは、その他の検索語を含む参照情報であってもよい。

入力領域５０３は、情報分析システム１００のユーザが、検索語を直接入力可能な領域である。情報分析システム１００のユーザは、例えば、適切な入力方法（例えば、キーボードや音声認識等）を用いて、入力領域５０３に検索語を入力してもよい。入力領域５０３に入力された検索語は、検索情報入力部１０５に提供されてもよい。

また、情報提示部１０６は、検索部１０４ｂにより抽出された、指定検索語に関連する参照情報を表示可能なユーザインタフェース画面を生成してもよい。図６に例示するユーザインタフェース画面６００は、指定検索語に関する参照情報を表示する領域（表示領域６０１、「第２の表示領域」と記載する場合がある）を有する。また、ユーザインタフェース画面６００は、指定検索語に関するテクニカル分析の結果を表示する領域（表示領域６０２、「第３の表示領域」と記載する場合がある）を有する。なお、ユーザインタフェース画面６００は、指定検索語を表示する領域（表示領域６０３）を有してもよい。更に、ユーザインタフェース画面６００は、操作領域（操作領域６０４）を有してもよい。

表示領域６０１には、指定検索語に関連する参照情報が表示される。係る参照情報は、例えば、指定検索語を含むＷｅｂページ、ＳＮＳデータ等である。なお、表示領域６０１には、参照情報そのものが表示されてもよく、参照情報に対するリンク等が表示されてもよい。あるいは表示領域６０１には、参照情報の一部が表示され、情報分析システム１００のユーザが参照情報を選択（例えば画面タッチやクリック等）した際に、当該参照情報の全体が表示されてもよい。

表示領域６０２には、例えば、トレンド検出部１０４ａから取得された指定検索語に関するテクニカル分析の結果が、グラフ等の形式（例えば、指定検索語に関するトレンドを表すグラフ、指定検索語の出現数を表すグラフ等）により表示されてもよい。なお、トレンドを表すグラフにおいて、トレンドが転換したタイミング（トレンド転換点）が強調表示されてもよい。これにより、情報分析システム１００のユーザは、トレンドが転換したタイミングを容易に把握することができる。

上記のような情報提示部１０６により、情報分析システム１００のユーザは、トレンドが転換した検索語（トレンド転換語）と、当該トレンド転換語に関連する参照情報と、当該トレンド転換語に関するテクニカル分析の結果とを、関連付けて確認可能である。例えば、ある検索語（トレンド転換語）が、ある脆弱性に関する単語である場合を想定する。この場合、情報分析システムのユーザは、当該検索語に関するテクニカル分析の結果を用いて、当該脆弱性に関する情報の出現数の推移（増加するか減少するか）を確認することができる。情報分析システム１００のユーザは、当該検索語を含む参照情報を確認することにより、当該検索語に関連する脆弱性あるいはその攻撃手法に関する情報を入手可能である。

操作領域６０４は、例えば、プッシュボタン、クリック可能なアイコン、あるはメニューなどのユーザインタフェース部品により構成される。例えば、情報分析システム１００のユーザが操作領域６０４を操作した際、後述する脅威情報出力部１０７が、指定検索語に関連する脅威を記述したデータ（後述）を生成してもよい。

脅威情報出力部１０７は、情報分析部１０４（検索部１０４ｂ）から提供された指定検索語を含む参照情報に基づいて、当該指定検索語に関連する脅威と、当該脅威に関する対処措置とを記述したデータ（脅威記述データ）を生成する。この際、脅威情報出力部１０７は、標準化された脅威情報構造化形式を用いて、当該脅威記述データを生成する。具体的には、脅威情報出力部１０７は、例えば、ＳＴＩＸ（Ｓｔｒｕｃｔｕｒｅｄ Ｔｈｒｅａｔ Ｉｎｆｏｒｍａｔｉｏｎ ｅＸｐｒｅｓｓｉｏｎ）、ＣｙｂＯＸ（Ｃｙｂｅｒ Ｏｂｓｅｒｖａｂｌｅ ｅＸｐｒｅｓｓｉｏｎ）、ＯｐｅｎＩＯＣ（Ｏｐｅｎ Ｉｎｄｉｃａｔｏｒ ｏｆ Ｃｏｍｐｒｏｍｉｓｅ）等の標準形式を用いて記述された脅威記述データを生成する。なお、これらの標準形式は、周知の技術であることから、具体的な説明を省略する。

脅威情報出力部１０７は、例えば、検索部１０４ｂから提供された参照情報から、所定の形式に適合するデータを抽出する。所定の書式に適合するデータは、例えば、何らかのリソース又はオブジェクトを特定可能なデータであり、予め定められた書式に従って記述される。具体的には、係るデータは、例えば、通信ネットワークにおけるアドレス（例えばＩＰアドレス）、ＵＲＬ、ファイル名、ファイルのハッシュ値、ドメイン名等であってもよい。

脅威情報出力部１０７が抽出するＵＲＬには、例えば、攻撃者が用意した攻撃用サイトのＵＲＬ、攻撃対象であるサイトのＵＲＬ、マルウェアに含まれるＵＲＬ、あるいは、攻撃方法を記載したＵＲＬ等が含まれてもよい。

また、脅威情報出力部１０７が抽出するアドレス情報には、例えば、攻撃者が用意した攻撃用サイトのアドレス、マルウェアが接続する接続先アドレス、マルウェアを提供しているサイトのアドレス等が含まれてもよい。

また、脅威情報出力部１０７が抽出するファイルを特定可能な情報には、例えば、ファイル名、ファイルのハッシュ値等が含まれてもよい。

脅威情報出力部１０７は、抽出した情報を用いて、脅威記述データを生成する。例えば、脅威情報出力部１０７は、ＳＴＩＸ形式の脅威記述データを生成してもよい。脅威情報出力部１０７は、例えば、抽出したファイル名と、ファイルのハッシュ値とを用いて、ＣｙｂＯＸにおいて規定された方式で、ファイルを特定する記述を生成してもよい。また、脅威情報出力部１０７は、例えば、抽出したアドレス情報を用いて、ＣｙｂＯＸにおいて規定された方式で、ネットワーク接続先を特定する記述を生成してもよい。また、例えば、脅威情報出力部１０７は、例えば、ＳＴＩＸにおいて規定された「Ｃｏｕｒｓｅ＿Ｏｆ＿Ａｃｔｉｏｎ」を表す記述を生成してもよい。これにより、脅威情報出力部１０７は、例えば、後述するセキュリティ機器３００に対して、特定の処理の実行（例えば、通信の遮断等）を通知することができる。

脅威情報出力部１０７は、生成した脅威記述データを、セキュリティ機器３００に提供する。脅威情報出力部１０７は、脅威記述データをファイルの形式で生成し、当該ファイルをセキュリティ機器３００に提供してもよい。なお、セキュリティ機器３００が、複数存在する場合、脅威情報出力部１０７は、それぞれのセキュリティ機器３００に対して、適切な脅威記述データを提供する。

セキュリティ機器３００は、情報システムにおける各種セキュリティ対策を実行可能な装置である。セキュリティ機器３００は、物理的な装置であってもよく、仮想的な装置であってもよい。セキュリティ機器３００は、例えば、ルータ、ファイアウォール、ＩＤＳ（Ｉｎｔｒｕｔｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）等のネットワーク機器であってもよく、Ｐｒｏｘｙサーバ、ウェブアプリケーションサーバ、ファイルサーバ、ディレクトリサーバ等の機能を提供可能な情報処理装置であってもよい。

セキュリティ機器３００は、例えば、ＳＴＩＸ、ＣｙｂＯＸ、ＯｐｅｎＩＯＣ等の標準形式により記述されたデータを解釈可能であり、当該脅威記述データを解釈した結果に基づいて適切な処理を実行する。例えば、セキュリティ機器３００は、脅威記述データを解釈して、特定の通信対象（例えば、攻撃者が用意したボットネットの制御サーバ等）との間の通信を遮断してもよい。また、セキュリティ機器３００は、脅威記述データを解釈して、特定のファイルの実行を抑制してもよい。セキュリティ機器３００が実行する処理は、上記に限定されず、適宜設定可能である。

［動作の説明］
次に、上記のように構成された情報分析システム１００の動作について、図７乃至図１１に例示するフローチャートを参照して説明する。なお、図７乃至図１１に例示するフローチャートは、情報分析システム１００の動作の一例であり、本実施形態はこれに限定されるものではない。各フローチャートにおける処理ステップは、処理結果に影響がない範囲で実行順序が変更されてもよく、１以上の処理ステップが並列に実行されてもよい。

まず、情報分析システム１００における情報収集部１０１が、通信ネットワークを介して、情報源から参照情報を取得する。具体的には、公開情報収集部１０１ａが、通信ネットワーク２００を介して接続された情報源（Ｗｅｂサイト、ソーシャルメディア等）から、参照情報を収集（ダウンロード）する（ステップＳ７０１）。係る参照情報は、上記したように、各種テキストデータであってもよく、画像、映像、音声などのデータであってもよい。

公開情報収集部１０１ａは、ステップＳ７０１において取得した参照情報を、情報保持部１０２（具体的には、情報データベース１０２ａ）に提供する。情報データベース１０２ａは、提供された参照情報を登録する（ステップＳ７０２）。この際、参照情報を取得したタイミング（時刻等）を表す情報が、情報データベース１０２ａに併せて登録されてもよい。また、情報データベース１０２ａは、提供された参照情報を、当該参照情報を取得したタイミング毎に、時系列に登録してもよい。

非公開情報収集部１０１ｂは、通信ネットワーク２００を介して、非公開の情報源から、参照情報を収集（ダウンロード）する（ステップＳ８０１）。非公開の情報源は、例えば、信頼できる相手と共有した場所（例えば、通信ネットワーク２００に接続された共有フォルダ、Ｗｅｂサイト等）である。係る参照情報は、上記したように、各種テキストデータであってもよく、画像、映像、音声などのデータであってもよい。

非公開情報収集部１０１ｂは、ステップＳ８０１において取得した参照情報を、情報保持部１０２（具体的には、情報データベース１０２ａ）に提供する。情報データベース１０２ａは、提供された参照情報を登録する（ステップＳ８０２）。この際、参照情報を取得したタイミング（時刻等）を表す情報が、情報データベース１０２ａに併せて登録されてもよい。また、情報データベース１０２ａは、提供された参照情報を、当該参照情報を取得したタイミング毎に、時系列に登録してもよい。

上記説明した公開情報収集部１０１ａあるいは非公開情報収集部１０１ｂによる処理は、定期的（例えば、一定時間毎）に実行されてもよく、他の適切なタイミングで実行されてもよい。また、上記説明した公開情報収集部１０１ａあるいは非公開情報収集部１０１ｂによる処理は、逐次的に実行されてもよく、並列的に実行されてもよい。

次に、情報集約部１０３が、上記のように情報データベース１０２ａに登録された各参照情報を解析する（ステップＳ９０１）。具体的には、情報集約部１０３は、例えば、形態素解析等を用いて、各参照情報を品詞毎に単語に分解する。情報集約部１０３は、各参照情報の解析結果を情報データベース１０２ａに登録してもよい。

次に、情報集約部１０３は、辞書データベース１０２ｂに登録された検索語を１以上含む参照情報を抽出する（ステップＳ９０２）。情報集約部１０３は、例えば、各参照情報の解析結果である単語の集合に、辞書データベース１０２ｂに登録された検索語が含まれるか否かを確認する。れにより、情報集約部１０３は、辞書データベース１０２ｂに登録された検索語を含む参照情報を抽出可能である。情報集約部１０３は、上記処理を、情報データベース１０２ａに登録された各参照情報と、辞書データベース１０２ｂに登録された各検索語とについて実行してもよい。

次に、情報集約部１０３は、ステップＳ９０２において抽出した参照情報から、検索語と関連する関連語を抽出する（ステップＳ９０３）。情報集約部１０３は、上記したように、例えば、ある検索語を含む参照情報に含まれる関連語候補に関する統計量（例えば、関連語候補の出現回数等）に基づいて関連語を抽出してもよい。

次に、情報集約部１０３は、抽出した関連語を、辞書データベース１０２ｂに登録する（ステップＳ９０４）。例えば、ある検索語がセキュリティ用語（例えば、なんらかの脆弱性を表す単語等）である場合、情報集約部１０３は、当該セキュリティ用語に関連する関連語を辞書データベース１０２ｂに追加可能である。即ち、情報集約部１０３は、情報分析システム１００のユーザ等の知識あるいは経験等に依らず、セキュリティに関連する単語と関連性が高い単語を収集可能である。

次に、情報分析部１０４（具体的には、トレンド検出部１０４ａ）が、各検索語のトレンドを分析する（ステップＳ１００１）。

以下、トレンド検出部１０４ａにおける処理について、図１１に例示するフローチャートを用いて説明する。トレンド検出部１０４ａは、以下の処理（ステップＳ１１０１乃至Ｓ１１０６）を定期的なタイミングで実行してもよい。

まず、トレンド検出部１０４ａは、辞書データベース１０２ｂに登録された検索語を選択する（ステップＳ１１０１）。

次に、トレンド検出部１０４ａは、選択した検索語の出現数について、ＭＡＣＤ、ＭＡＣＤシグナル、ＭＡＣＤヒストグラムを算出する（ステップＳ１１０２）。トレンド検出部１０４ａは、例えば、所定期間（例えば１時間）毎のタイミングにおけるＭＡＣＤ、ＭＡＣＤシグナル、ＭＡＣＤヒストグラムを算出してもよい。トレンド検出部１０４ａは、算出したＭＡＣＤ、ＭＡＣＤシグナル、及び、ＭＡＣＤヒストグラムを保持しておいてもよい。

次に、トレンド検出部１０４ａは、２つの異なるタイミングにおけるＭＡＣＤヒストグラムの積を算出する（ステップＳ１１０３）。トレンド検出部１０４ａは、例えば、あるタイミング（Ｔ）におけるＭＡＣＤシグナルと、その直前のタイミング（Ｔ−１）におけるＭＡＣＤシグナルとの積を算出する。

トレンド検出部１０４ａは、上記積を計算した結果の符号を確認し（ステップＳ１１０４）、その符号が負の場合、当該検索語の出現トレンドが転換したと判定する（ステップＳ１１０５）。また、上記積を計算した結果の符号が正の場合、トレンド検出部１０４ａは、当該検索語の出現トレンドが転換していないと判定する（ステップＳ１１０６）。

次に、トレンド検出部１０４ａは、上記ステップＳ１１０７において、出現トレンドが転換したと判定された検索語を、情報提示部１０６に提供する（ステップＳ１００２）。

情報提示部１０６は、適切な表示方法を用いて、情報分析システム１００のユーザに対して、出現トレンドが転換した検索語を表示する（ステップＳ１００３）。情報提示部１０６は、例えば、図５に例示するようなユーザインタフェース画面の画面データを生成、表示装置に対して当該画面データを送信してもよい。

検索情報入力部１０５は、特定の検索語（指定検索語）を指定する情報の入力を受け付ける（ステップＳ１００４）。例えば、情報分析システム１００のユーザが、ステップＳ１００３において表示された検索語から、ある検索語を選択した際、選択された検索語を指定する情報が、上記ユーザインタフェース画面を介して検索情報入力部１０５に提供される。検索情報入力部１０５は、指定された検索語（指定検索語）を、検索部１０４ｂに提供する。検索情報入力部１０５は、例えば、検索語を表す文字列を検索部１０４ｂに提供してもよく、検索語を特定可能な識別情報を検索部１０４ｂに提供してもよい。

検索部１０４ｂは、ステップＳ１００４において提供された指定検索語を含む参照情報を、情報データベース１０２ａから抽出する（ステップＳ１００５）。検索部１０４ｂは、抽出した参照情報を、情報提示部１０６と及び脅威情報出力部１０７に提供する。

情報提示部１０６は、指定検索語を含む参照情報を、情報分析システム１００のユーザに提示する（ステップＳ１００５）。この際、情報提示部１０６は、例えば図６に例示するような、指定検索語に関するテクニカル分析の結果（出現トレンド）を表示するユーザインタフェース画面の画面データを生成してもよい。

脅威情報出力部１０７は、指定検索語を含む参照情報に基づいて、脅威記述データを生成する（ステップＳ１００６）。脅威情報出力部１０７は、具体的には、ＳＴＩＸ、ＣｙｂＯＸ、ＯｐｅｎＩＯＣ等の標準形式により記述された脅威記述データを生成する。

脅威情報出力部１０７は、ステップＳ１００６において生成した脅威記述データを、セキュリティ機器３００に提供する（ステップＳ１００７）。

上記のように構成された本実施形態における情報分析システム１００は、例えば、セキュリティにおける脅威に関する情報を、適時に検出可能である。その理由は、トレンド検出部１０４ａが、各種情報源から収集した参照情報に基づいて、セキュリティ用語（あるいはセキュリティ用語と関連する単語）を含む検索語の出現トレンドを判定するからである。検索語の出現トレンドは、あるセキュリティ事象の発生、拡大、収束等に関連すると考えられる。よって、情報分析システム１００は、係る検索語のトレンドを確認することにより、セキュリティにおける脅威に関する情報を、適時に検出することができる。

また、情報分析システム１００は、例えば、当該情報分析システム１００のユーザが、脅威情報を適切かつ容易に確認することを可能とする。その理由は、情報提示部１０６が、指定検索語と、当該指定検索語に関連する参照情報とを、ユーザに対して表示するからである。

また、当該情報分析システム１００は、ある検索語（例えばセキュリティ用語）と関連性を有する関連語を、新たな検索語として辞書データベース１０２ｂに登録することができる。これにより、情報分析システム１００のユーザが明示的に検索語を追加しなくとも、セキュリティ用語、あるいはセキュリティ用語に関連する関連語がトレンド分析の対象として登録される。トレンド検出部１０４ａが当該関連語について出現傾向を分析した結果、当該関連語の出現トレンドが転換している場合には、情報提示部１０６により、当該関連語に関する参照情報が表示される。これにより、ユーザは、例えば、ある脅威（サイバー攻撃等）に関連して時間の経過とともに出現傾向が変化した検索語及び関連語に関する参照情報を、まとめて確認することが可能である。即ち、情報分析システム１００のユーザは、当該ユーザの知識あるいは経験に依らず、ある脅威に関連して時間の経過とともに変化する情報を、まとめて確認することができる。

また、当該情報分析システム１００は、セキュリティ機器３００に対して、適切なセキュリティ対策を適用可能な標準化された脅威記述データを提供することができる。これにより、例えば、外部サイトに対するアクセス制限、あるいは、ファイルに対するアクセス又は実行の抑制等のセキュリティ対策が実施される。標準化された形式で記述された脅威記述データを解釈可能なセキュリティ機器３００は、ユーザ等が手動で設定を調整せずとも、脅威記述データの記述に基づいて、適切な対策を実施可能である。したがって、情報分析システム１００によれば、情報漏洩の危険性、マルウェア感染の危険性、その他有害サイトへの接続に起因する危険性等を低減することが可能である。

［具体例］
以下、具体例を用いて、情報分析システム１００の動作について説明する。以下の具体例は、説明のための一例であり、本実施形態はこれには限定されない。以下の具体例においては、公開情報収集部１０１ａが、ソーシャルメディア（具体的にはＴｗｉｔｔｅｒ（登録商標））から、参照情報を取得することを想定する。また、辞書データベース１０２ｂには、セキュリティ用語である（「ｖｕｌｎｅｒａｂｉｌｉｔｙ」）が検索語として登録されていることを想定する。

情報収集部１０１（公開情報収集部１０１ａ）は、通信ネットワーク２００を介して、ソーシャルメディア（本具体例の場合は、例えば、Ｔｗｉｔｔｅｒ（登録商標））から各種情報を収集する。本具体例においては、公開情報収集部１０１ａは、例えば、収集した各種情報のうち、「ｖｕｌｎｅｒａｂｉｌｉｔｙ」が含まれる情報を、脅威情報として情報データベース１０２ａに提供する。公開情報収集部１０１ａは、上記したソーシャルメディア以外の公開情報を収集してもよい。また、非公開情報収集部１０１ｂが、辞書データベース１０２ｂに登録された検索語を含む各種情報を取得し、脅威情報として情報データベース１０２ａに提供してもよい。

情報データベース１０２ａは、例えば、図１２に例示するような形式により、情報収集部１０１が取得した参照情報（脅威情報）を保持する。なお、図１２においては、一部のデータが伏せ字（”＊”）を用いて表されている。また、図１２に例示されるＵＲＬは、説明のため仮のＵＲＬである。

情報集約部１０３は、情報データベース１０２ａに格納された１以上の参照情報を解析し、例えば、「ｖｕｌｎｅｒａｂｉｌｉｔｙ」が含まれる参照情報を抽出する。そして、情報集約部１０３は、抽出した参照情報に含まれる単語「ｖｕｌｎｅｒａｂｉｌｉｔｙ」と関連性を有する文言（単語）を、関連語として抽出する。本具体例においては、例えば、関連語として、「Ｄｙｒｅｚａ」が抽出されることを想定する。なお、「Ｄｙｒｅｚａ」は、周知のマルウェアを表す単語である。

情報集約部１０３は、抽出した関連語（本具体例の場合は、「Ｄｙｒｅｚａ」）を、新たに検索語として辞書データベース１０２ｂに登録する。情報収集部１０１は、例えば、追加された検索語「Ｄｙｒｅｚａ」を含む情報を情報源から収集し、参照情報として情報データベース１０２ａに登録してもよい。

トレンド検出部１０４ａが、辞書データベース１０２ｂに登録された検索語の出現トレンドを、テクニカル分析手法を用いて解析する。トレンド検出部１０４ａは、例えば、各検索語について、定期的（例えば１時間ごと）に、特定のタイミング（例えば現在時刻）におけるＭＡＣＤヒストグラムの値と、当該特定のタイミングより前のタイミング（例えば１時間前）におけるＭＡＣＤヒストグラムの値と、の積を算出する。この際、トレンド検出部１０４ａは、各検索語の出現数（カウント）、ＭＡＣＤ、ＭＡＣＤシグナルを算出してもよい。また、トレンド検出部１０４ａは、検索語の出現トレンドの判定にＨＶを用いる場合には、各検索語に関するＨＶを算出してもよい。

図１３は、検索語「ｖｕｌｎｅｒａｂｉｌｉｔｙ」について、各タイミングにおいて算出されたＭＡＣＤ、ＭＡＣＤシグナル（図１３における「ＭＡＣＤ（ｓｉｇｎａｌ）」）、ＭＡＣＤヒストグラム（図１３における「ＭＡＣＤ（ｈｉｓｔｏｇｒａｍ）」）の具体例を示すグラフである。また、図１４は、検索語「ｖｕｌｎｅｒａｂｉｌｉｔｙ」の各タイミングにおける出現数の具体例を示すグラフである。また、図１５は、検索語「ｖｕｌｎｅｒａｂｉｌｉｔｙ」について、各タイミングにおいて算出された長期のＨＶと、短期のＨＶとの具体例を示すグラフである。

図１３の場合、１３０１Ａ、１３０１Ｂ、１３０１Ｃのそれぞれに示された２つのタイミングにおいて、ＭＡＣＤヒストグラムの積が負になる。なお、本具体例においては、辞書データベース１２０２ｂに登録された検索語「Ｄｙｒｅｚａ」についても、あるタイミングにおいてＭＡＣＤヒストグラムの積が負になることを想定する。この場合、トレンド検出部１０４ａは、検索語「ｖｕｌｎｅｒａｂｉｌｉｔｙ」及び「Ｄｙｒｅｚａ」の出現傾向が転換したと判定し、情報提示部１０６に、これらの検索語を提供する。この際、トレンド検出部１０４ａは、当該検索語に関する参照情報、当該検索語に関するテクニカル分析の結果等を、情報提示部１０６に提供してもよい。

情報提示部１０６は、例えば、図１６に例示するようなユーザインタフェース画面を生成してもよい。表示領域５０１には、トレンド転換語（「ｖｕｌｎｅｒａｂｉｌｉｔｙ」及び「Ｄｙｒｅｚａ」）が表示される。表示領域５０１には、例えば、その他の検索語（例えば「Ｂｏｔｎｅｔ」等）が表示されてもよい。表示領域５０１には、情報データベース１０２ａに登録された参照情報が表示される。情報提示部１０６は、例えば、生成したユーザインタフェース画面の画面データを適切な表示装置に提供し、当該表示装置を介して情報分析システム１００のユーザに当該画面を表示する。

情報分析システム１００のユーザは、例えば、ユーザインタフェース画面に表示された検索語から、ある検索語を指定する。本具体例においては、情報分析システム１００のユーザが、検索語として、「Ｄｙｒｅｚａ」を指定することを想定する。この場合、「Ｄｙｒｅｚａ」が指定検索語となる。情報分析システム１００のユーザは、例えば、図１６に示す表示領域５０１において、「Ｄｙｒｅｚａ」を選択（クリックあるいはタッチ等）してもよい。また、情報分析システム１００のユーザは、例えば、入力領域５０３に、検索語「Ｄｙｒｅｚａ」を直接入力してもよい。上記ユーザの操作に応じて、検索語「Ｄｙｒｅｚａ」を表す情報が検索情報入力部１０５に入力される。検索情報入力部１０５は、ユーザにより指定された検索語（「Ｄｙｒｅｚａ」）を、検索部１０４ｂに提供する。

検索部１０４ｂは、情報データベース１０２ａから、検索語（「Ｄｙｒｅｚａ」）を含む参照情報を検索する。検索部１０４ｂは、検索語（「Ｄｙｒｅｚａ」）と、検索した参照情報とを情報提示部１０６に提供する。また、検索部１０４ｂは、検索語と、検索した参照情報とを、脅威情報出力部１０７に提供してもよい。

検索部１０４ｂにより検索された参照情報を受け付けた情報提示部１０６は、例えば、図６に例示するような形式のユーザインタフェース画面を生成してもよい。この場合、表示領域６０１には、検索語（「Ｄｙｒｅｚａ」）を含む参照情報が表示される。また、表示領域６０２には、検索語（「Ｄｙｒｅｚａ」）に関するテクニカル分析の結果が表示されてもよい。情報提示部１０６は、生成したユーザインタフェース画面のデータを表示装置に提供し、当該表示装置を介して情報分析システム１００のユーザに当該画面を表示する。

脅威情報出力部１０７は、提供された参照情報を解析し、標準化された脅威情報構造化形式を用いて、当該指定検索語に関連する脅威記述データを生成する。

脅威情報出力部１０７は、例えば、「Ｄｙｒｅｚａ」を含む参照情報から、アドレス情報と、ファイルを特定可能な情報とを抽出する。アドレス情報は、例えば、マルウェア「Ｄｙｒｅｚａ」が接続するサーバ（攻撃者が用意した制御サーバ）のアドレスを含む。ファイルを特定可能な情報は、例えば、マルウェア「Ｄｙｒｅｚａ」の実行可能ファイル及び実行可能ファイルから呼び出されるライブラリファイルのファイル名、あるいは、そのハッシュ値を含む。

脅威情報出力部１０７は、例えば、上記抽出した情報を用いて、脅威記述データを生成する。本具体例においては、脅威情報出力部１０７は、例えば、ＳＴＩＸ形式の脅威記述データを生成する。この場合、脅威情報出力部１０７は、例えば、図１７に例示するような形式で、あるＩＰアドレスを有する通信先（例えば、マルウェアが通信するサーバ）を特定する記述を生成する。また、脅威情報出力部１０７は、例えば、図１８に例示するような形式で、あるファイル名を有するファイル（例えば、マルウェアの実行ファイル）を特定する記述を生成する。

脅威情報出力部１０７は、生成した脅威記述データをセキュリティ機器３００（例えば、ファイアウォールやウェブアプリケーションフィルター）に提供する。セキュリティ機器３００は、例えば、脅威情報出力部１０７から受け付けた脅威記述データに基づいて、各種アクセス制御を実行してもよい。具体的には、セキュリティ機器３００は、特定されたＩＰアドレスに対する通信を遮断してもよい。また、セキュリティ機器３００は、特定されたファイルに対するアクセスあるいは実行を抑制してもよい。

以上より、情報分析システム１００は、セキュリティにおける脅威に関する情報を、適時に検出可能である。なぜならば、トレンド検出部１０４ａが、テクニカル分析の手法を用いて、セキュリティ用語（例えば「ｖｕｌｎｅｒａｂｉｌｉｔｙ」、「Ｄｙｒｅｚａ」）の出現トレンドを判定可能だからである。

また、情報集約部１０３が、セキュリティ用語（例えば「ｖｕｌｎｅｒａｂｉｌｉｔｙ」）と関連性が高い他の単語（「Ｄｙｒｅｚａ」）を抽出し、辞書データベース１０２ｂに新たな検索語として追加する。これより、辞書データベース１０２ｂに登録されていない、新たな脅威を表す文言（単語）についても、トレンド検出部１０４ａが当該文言の出現トレンドを判定する。即ち、ユーザは、明示的に検索語を追加することなく、新たに発生した脅威を表す情報を適時に確認可能である。

また、脅威情報出力部１０７が、標準形式により記述された脅威記述データをセキュリティ機器３００に提供する。これより、情報分析システム１００のユーザが各セキュリティ機器３００を直接設定せずとも、各セキュリティ機器３００は、当該脅威記述データに基づいて適切なセキュリティ対策を実行可能である。

＜第２の実施形態＞
次に、本発明の基本的な実施形態である、第２の実施形態について説明する。以下、上記第１の実施形態と同様の構成については、同一の参照符号を付すことにより説明を省略する。

図１９は、本実施形態における情報分析システム１９００の機能的な構成を例示するブロック図である。図１９に例示するように、情報分析システム１９００は、情報保持部１９０１（情報保持手段）と、情報分析部１９０２（情報分析手段）と、を備える。情報分析システム１９００を構成するこれらの構成要素の間は、適切な通信方法を用いて通信可能に接続されている。なお、情報分析システム１９００は、通信ネットワークを介して、各種情報源（不図示）と接続されていてもよい。以下、情報分析システム１９００の各構成要素について説明する。

情報保持部１９０１は、情報源から取得された参照情報を保持する。情報保持部１９０１は、例えば、物理的あるいは仮想的な記憶装置を用いて、参照情報を保持してもよい。情報保持部が保持する参照情報は、上記第１の実施形態と同様、テキストデータであってもよく、音声、画像、動画、実行ファイル等のバイナリデータであってもよい。情報保持部１９０１は、例えば、上記第１の実施形態における情報保持部１０２と同様の構成を備えてもよい。また、係る情報保持部１９０１は、例えば、上記第１の実施形態における情報保持部１０２と同様の処理を実行可能であってもよい。

情報分析部１９０２は、時系列において異なるタイミングで取得された参照情報に含まれるセキュリティに関連する文言を表す第１の文言情報の出現傾向が変化したか否かを判定する。情報分析部１９０２は、第１の文言情報の出現傾向が変化したと判定した場合、当該第１の文言情報を含む参照情報を抽出する。上記第１の文言情報には、例えば、セキュリティの分野で使用されるセキュリティ用語、あるいは、セキュリティ用語と関連性がある文言等、幅広い文言が含まれ得る。第１の文言情報は、例えば、上記第１の実施形態における検索語を表す情報であってもよい。

係る情報分析部１９０２は、例えば、上記第１の実施形態における情報分析部１０４と同様の構成を備えてもよい。また、情報分析部１９０２は、例えば、上記第１の実施形態における情報分析部１０４と同様の処理を実行可能であってもよい。

上記のように構成された本実施形態における情報分析システム１９００によれば、例えば、セキュリティにおける脅威に関する情報を、適時に検出可能である。その理由は、情報分析部１９０２が、各種情報源から収集した参照情報に基づいて、セキュリティに関連する文言（例えば、セキュリティ用語、あるいはセキュリティ用語と関連する文言）を表す第１の文言情報の出現傾向を分析するからである。また、情報分析部１９０２が、当該分析結果に基づいて、出現傾向が変化した第１の文言情報を含む参照情報を抽出するからである。第１の文言情報の出現傾向は、あるセキュリティ事象の発生、拡大、収束等に関連すると考えられることから、係る出現傾向を確認することにより、セキュリティにおける脅威に関する情報を、適時に検出することができる。

以上より、上記のように構成された本実施形態における情報分析システム１９００によれば、セキュリティにおける脅威に関連する情報（例えば、第１の文言情報）の出現傾向を分析することにより、当該脅威に関する情報を適切に検出することが可能である。

＜第２の実施形態の変形例＞
以下、上記第２の実施形態の変形例について説明する。本変形例における情報分析システム１９００の構成は、上記第２の実施形態と同様としてよい。

本変形例において、情報分析部１９０２は、例えば、テクニカル分析手法を用いて、参照情報に含まれる第１の文言情報の時系列における出現数を分析し、第１の文言情報の出現傾向を表すデータを１以上算出する。情報分析部１９０２は、例えば、算出したデータの間の関係性に基づいて、第１の文言情報の出現傾向が変化したか否かを判定する。或いは、情報分析部１９０２は、例えば、算出したデータと、基準データ（例えば、何らかの基準値）との間の関係性に基づいて、第１の文言情報の出現傾向が変化したか否かを判定する。

情報分析部１９０２は、例えば、テクニカル分析の手法として、適切な方法（例えば、上記第１の実施形態において説明したＭＡＣＤを用いる方法、ＨＶを用いる方法、ＲＳＩを用いる方法、移動平均乖離率を用いる方法、ＶＲを用いる方法等）を採用してよい。

これにより、本変形例における情報分析システムは、例えば、金融工学等の分野で使用される各種テクニカル分析手法を用いて、第１の文言情報の出現傾向を判定可能である。

また、本変形例において、情報分析部１９０２は、例えば、少なくとも２つの異なるタイミングにおける第１の文言情報の出現傾向を表すデータを算出してもよい。情報分析部１９０２は、算出したデータのうち少なくとも一部のデータ同士を比較した結果に基づいて、第１の文言情報の出現傾向が変化したか否かを判定してもよい。また、情報分析部１９０２は、算出したデータのうち少なくとも一部のデータを基準データ（例えば、何らかの基準値）と比較した結果に基づいて、前記第１の文言情報の出現傾向が変化したか否かを判定してもよい。

具体的には、情報分析部１９０２は、第１の文言情報について、タイミング（Ｔ）における出現傾向を表すデータと、タイミング（Ｔ）の一つ前のタイミング（Ｔ−１）における出現傾向を表すデータとの間の大小関係、あるいは符号の変化に基づいて、当該第１の文言情報の出現傾向が変化したか否か判定してもよい。また、情報分析部１９０２は、第１の文言情報の出現傾向を表すデータと、基準データ（例えば基準値”０”）との間の、時系列における大小関係の変化に基づいて、当該第１の文言情報の出現傾向が変化したか否か判定してもよい。この場合、情報分析部１９０２は、第１の文言情報の出現傾向を表すデータとして、例えば、当該第１の文言情報のＭＡＣＤ、ＭＡＣＤシグナル、又は、ＭＡＣＤヒストグラム等を算出してもよい。

本変形例において、情報分析部１９０２は、例えば１つの第１の文言情報に関して、当該第１の文言情報の出現傾向を表す異なる２以上の種類のデータを算出してもよい。情報分析部１９０２は、算出した異なる種類のデータのうち少なくとも一部のデータ同士を比較した結果に基づいて、第１の文言情報の出現傾向が変化したか否かを判定してもよい。また、情報分析部１９０２は、算出した異なる種類のデータのうち少なくとも一部のデータと基準データとを比較した結果に基づいて、前記第１の文言情報の出現傾向が変化したか否かを判定してもよい。

第１の文言情報の出現傾向を表す異なる２以上の種類のデータは、例えば、第１の文言情報の出現傾向を算出する期間が異なるデータであってもよい。より具体的には、係るデータは、例えば、所定の期間における第１の文言情報の出現傾向を表すデータと、当該所定の期間よりも長い期間における第１の文言情報の出現傾向を表すデータとを含んでもよい。なお、情報分析部１９０２は、所定の期間における第１の文言情報の出現傾向を表すデータとして、例えば、当該第１の文言情報のＨＶを算出してもよい。

上記のように構成された本変形例における情報分析システム１９００は、各種テクニカル分析手法を用いて、第１の文言情報の出現傾向を分析可能である。

＜第３の実施形態＞
次に、本発明の第３の実施形態について説明する。以下、上記第各実施形態と同様の構成については、同一の参照符号を付すことにより説明を省略する。

図２０は、本実施形態における情報分析システム２０００の機能的な構成を例示するブロック図である。図２０に例示するように、本実施形態における情報分析システム２０００は、情報保持部１９０１と、情報分析部２００２と、情報集約部２００１（情報集約手段）と、を備える。情報分析システム２０００を構成するこれらの構成要素の間は、適切な通信方法を用いて通信可能に接続されていてもよい。なお、情報保持部１９０１は、上記第２の実施形態あるいは第２の実施形態の変形例と同様としてよいので、詳細な説明を省略する。

情報集約部２００１は、第１の文言情報を含む参照情報に含まれる、第１の文言情報と関連性を有する他の文言を表す第２の文言情報を抽出する。第１の文言情報、及び、参照情報は、上記第２の実施形態と同様である。

情報集約部２００１は、例えば、上記第１の実施形態における情報集約部１０３と同様に構成されてもよい。また、係る情報集約部２００１は、例えば、上記第１の実施形態における情報集約部１０３と同様の処理を実行してもよい。

情報集約部２００１は、例えば、第１の文言情報を含む参照情報に含まれる、他の文言を表す情報を抽出し、当該他の文言を表す情報に関する統計量を算出してもよい。情報集約部２００１は、係る統計量に基づいて、抽出した他の文言を表す情報のうち、少なくとも一部を、第２の文言情報として選択してもよい。具体的には、情報集約部２００１は、例えば、第１の文言情報を含む１以上の参照情報に含まれるテキストデータを品詞毎に１以上の単語に分解するとともに、当該１以上の単語のうち少なくとも一部の単語の出現数を計数してもよい。この場合、係る単語の出現数が、上記統計量に相当する。この場合、情報集約部２００１は、算出した出現数が多い順に、所定の数の単語を第２の文言情報として抽出してもよい。また、情報集約部２００１は、出現数が所定の基準値以上の単語を第２の文言情報として抽出してもよい。

情報分析部２００２は、情報集約部２００１により抽出された第２の文言情報を、新たな第１の文言情報として、当該第１の文言情報の出現傾向を分析する。なお、情報分析部２００２は、上記第２の実施形態における情報分析部１９０２と同様の処理を実行可能である。

上記のように構成された情報分析システム２０００によれば、第１の文言情報と関連性を有する第２の文言情報についても、その出現傾向が分析される。そして、情報分析システム２０００は、係る分析結果に基づいて、当該第２の文言情報を含む参照情報を情報保持部１９０１から抽出することができる。これにより、情報分析システム２０００によれば、例えば、あるセキュリティ事象に関連して出現傾向が変化したセキュリティ用語、あるいは、当該セキュリティ用語に関連する文言を含む参照情報を、まとめて抽出することが可能である。以上より、情報分析システム２０００のユーザは、あるセキュリティ事象に関連する事前知識あるいは経験が少ない場合であっても、当該セキュリティ事象に関連する参照情報をまとめて確認することができる。

＜第４の実施形態＞
次に、本発明の第４の実施形態について説明する。以下、上記第各実施形態と同様の構成については、同一の参照符号を付すことにより説明を省略する。

図２１は、本実施形態における情報分析システム２１００の機能的な構成を例示するブロック図である。図２１に例示するように本実施形態における情報分析システム２１００は、情報保持部１９０１と、情報分析部１９０２と、情報提示部２１０１（情報提示手段）と、を備える。情報分析システム２０００を構成するこれらの構成要素の間は、適切な通信方法を用いて通信可能に接続されていてもよい。なお、情報保持部１９０１、情報分析部１９０２は、上記第２の実施形態あるいは第２の実施形態の変形例と同様としてよいので、詳細な説明を省略する。

情報提示部２１０１は、第１の表示領域（後述）と、第２の表示領域（後述）との少なくともいずれかを含む画面データを生成する。第１の表示領域は、情報分析部１９０２により出現傾向が変化したと判定された第１の文言情報を表示可能な領域である。また、第２の表示領域は、第１の表示領域に表示された第１の文言情報の少なくとも一部を含む参照情報の少なくとも一部を表示可能な領域である。第１の文言情報、及び、参照情報は、上記第２の実施形態と同様である。

また、情報提示部２１０１は、上記第１の表示領域と、上記第２の表示領域と、第３の表示領域（後述）との、少なくともいずれかを含む画面データを生成してもよい。第３の表示領域は、情報分析部１９０２が、テクニカル分析手法を用いて第１の文言情報の時系列における出現数を分析した結果を表示可能な領域である。

上記第１乃至第３の表示領域は、例えば、それぞれ、上記第１の実施形態における第１乃至第３の表示領域と同様の表示形式を採用してもよい。また、情報提示部２１０１は、上記第１の実施形態における情報提示部１０６と同様に構成されてもよい。また、情報提示部２１０１は、上記第１の実施形態における情報提示部１０６と同様の処理を実行してもよい。

上記のように構成された情報分析システム２１００によれば、情報分析システム２１００のユーザが、出現傾向が変化した第１の文言情報と、当該第１の文言情報に関連する各種情報（参照情報）とを容易に確認可能である。その理由は、情報提示部２１０１が、情報分析部１９０２による分析結果を表示可能な表示領域を含む画面データを生成するからである。情報提示部２１０１により、出現傾向が変化した第１の文言情報がユーザに提示されることから、情報分析システムのユーザは、例えば、何らかのセキュリティ事象が発生した際、当該セキュリティ事象に関する情報を適時に確認することが可能である。

＜第４の実施形態の変形例＞
次に、上記説明した第４の実施形態の変形例について説明する。以下、上記第各実施形態と同様の構成については、同一の参照符号を付すことにより説明を省略する。

図２２は、本変形例における情報分析システム２２００の機能的な構成を例示するブロック図である。本変形例における情報分析システム２２００の機能的な構成は、上記第４の実施形態における情報分析システム２１００に対して、情報集約部２００１を追加し、情報分析部１９０２を情報分析部２００２に変更した構成と同様である。

本変形例における情報保持部１９０１、情報集約部２００１、情報分析部２００２、及び、情報提示部２１０１は、それぞれ上記各実施形態と同様としてよいので、詳細な説明を省略する。

上記のように構成された本変形例によれば、情報分析システム２２００のユーザは、例えば、何らかのセキュリティ事象に関連する情報をまとめて確認することができる。その理由は、情報集約部２００１が、第１の文言情報と関連性を有する第２の文言情報を抽出し、情報分析部２００２が、当該第２の文言情報を新たな第１の文言情報として、その出現傾向を分析するからである。情報提示部２１０１により、第１及び第２の文言情報に関する参照情報あるいは分析結果を含む画面データが生成されることから、情報分析システム２２００のユーザは、これらの情報をまとめて確認することが可能である。

＜ハードウェア及びソフトウェア・プログラム（コンピュータ・プログラム）の構成＞
以下、上記説明した各実施形態を実現可能なハードウェア構成について説明する。

以下の説明においては、上記各実施形態において説明した情報分析システム（１００、１９００、２０００、２１００、２２００）をまとめて、単に「情報分析システム」と記載する。また、これら情報分析システムの各構成要素を、単に「情報分析システムの構成要素」と記載する場合がある。

上記各実施形態において説明した情報分析システムは、１つ又は複数の専用のハードウェア装置により構成されてもよい。その場合、上記各図（図１、図１９、図２０、図２１、図２２）に示した各構成要素は、その一部又は全部を統合したハードウェア（処理ロジックを実装した集積回路あるいは記憶デバイス等）を用いて実現されてもよい。

情報分析システムが専用のハードウェアにより実現される場合、係る情報分析システムの構成要素は、例えば、それぞれの機能を提供可能な回路構成（ｃｉｒｃｕｉｔｒｙ）により実現されてもよい。係る回路構成は、例えば、ＳｏＣ（Ｓｙｓｔｅｍ ｏｎ ａ Ｃｈｉｐ）等の集積回路や、当該集積回路を用いて実現されたチップセット等を含む。この場合、情報分析システムの構成要素が保持するデータは、例えば、ＳｏＣとして統合されたＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）領域やフラッシュメモリ領域、あるいは、当該ＳｏＣに接続された記憶デバイス（半導体記憶装置等）に記憶されてもよい。また、この場合、情報分析システムの各構成要素を接続する通信回線としては、周知の通信ネットワークを採用してもよい。また、各構成要素を接続する通信回線は、それぞれの構成要素間をピアツーピアで接続してもよい。

また、上述した情報分析システムは、図２３に例示するような汎用のハードウェアと、係るハードウェアによって実行される各種ソフトウェア・プログラム（コンピュータ・プログラム）とによって構成されてもよい。この場合、情報分析システムは、任意の数の、汎用のハードウェア装置及びソフトウェア・プログラムにより構成されてもよい。即ち、情報分析システムを構成する構成要素毎に、個別のハードウェア装置が割当てられてもよく、複数の構成要素が、一つのハードウェア装置を用いて実現されてもよい。

図２３における演算装置２３０１は、汎用のＣＰＵ（中央処理装置：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やマイクロプロセッサ等の演算処理装置である。演算装置２３０１は、例えば後述する不揮発性記憶装置２３０３に記憶された各種ソフトウェア・プログラムを記憶装置２３０２に読み出し、係るソフトウェア・プログラムに従って処理を実行してもよい。例えば、上記各実施形態における情報分析システムの構成要素の機能は、演算装置２３０１により実行されるソフトウェア・プログラムを用いて実現されてもよい。

記憶装置２３０２は、演算装置２３０１から参照可能な、ＲＡＭ等のメモリ装置であり、ソフトウェア・プログラムや各種データ等を記憶する。なお、記憶装置２３０２は、揮発性のメモリ装置であってもよい。

不揮発性記憶装置２３０３は、例えば磁気ディスクドライブや、フラッシュメモリによる半導体記憶装置等の、不揮発性の記憶装置である。不揮発性記憶装置２３０３は、各種ソフトウェア・プログラムやデータ等を記憶可能である。例えば、情報保持部１０２における情報データベース１０２ａ、辞書データベース１０２ｂは、不揮発性記憶装置２３０３に記憶されてもよい。

ネットワークインタフェース２３０６は、通信ネットワークに接続するインタフェース装置であり、例えば有線及び無線のＬＡＮ接続用インタフェース装置を採用してもよい。例えば、情報分析システムは、ネットワークインタフェース２３０６を介して、各種通信ネットワーク２００に接続可能である。また、例えば、セキュリティ機器３００が通信ネットワークに接続されている場合、脅威情報出力部１０７は、ネットワークインタフェース２３０６を介して、セキュリティ機器３００に脅威記述データを送信してもよい。

ドライブ装置２３０４は、例えば、後述する記録媒体２３０５に対するデータの読み込みや書き込みを処理する装置である。

記録媒体２３０５は、例えば光ディスク、光磁気ディスク、半導体フラッシュメモリ等、データを記録可能な任意の記録媒体である。

入出力インタフェース２３０７は、外部装置との間の入出力を制御する装置である。例えば、情報提示部（１０６、２１０１）は、入出力インタフェース２３０７を介して接続された表示装置に、画面データを提供してもよい。

上述した各実施形態を例に説明した本発明における情報分析システム、あるいはその構成要素は、例えば、図２３に例示するハードウェア装置に対して、上記各実施形態において説明した機能を実現可能なソフトウェア・プログラムを供給することにより、実現されてもよい。より具体的には、例えば、係るハードウェア装置に対して供給したソフトウェア・プログラムを、演算装置２３０１が実行することによって、本発明が実現されてもよい。この場合、係るハードウェア装置で稼働しているオペレーティングシステムや、データベース管理ソフト、ネットワークソフト、仮想環境基盤等のミドルウェアなどが各処理の一部を実行してもよい。

上述した各実施形態において、上記各図に示した各部は、上述したハードウェアにより実行されるソフトウェア・プログラムの機能（処理）単位である、ソフトウェアモジュールとして実現することができる。ただし、これらの図面に示した各ソフトウェアモジュールの区分けは、説明の便宜上の構成であり、実装に際しては、様々な構成が想定され得る。

図１、図１９、図２０、図２１、及び、図２２に例示した情報分析システムの各構成要素をソフトウェアモジュールとして実現する場合、例えば、これらのソフトウェアモジュールが不揮発性記憶装置２３０３に記憶される。そして、演算装置２３０１がそれぞれの処理を実行する際に、これらのソフトウェアモジュールを記憶装置２３０２に読み出す。

また、これらのソフトウェアモジュールは、共有メモリやプロセス間通信等の適宜の方法により、相互に各種データを伝達できるように構成されてもよい。このような構成により、これらのソフトウェアモジュールは、相互に通信可能に接続される。

更に、上記ソフトウェア・プログラムは記録媒体２３０５に記録されてもよい。この場合、上記ソフトウェア・プログラムは、上記情報分析システムの構成要素の出荷段階、あるいは運用段階等において、適宜ドライブ装置２３０４を通じて不揮発性記憶装置２３０３に格納されるよう構成されてもよい。

なお、上記の場合において、上記ハードウェアへの各種ソフトウェア・プログラムの供給方法は、出荷前の製造段階、あるいは出荷後のメンテナンス段階等において、適当な治具を利用して当該装置内にインストールする方法を採用してもよい。また、各種ソフトウェア・プログラムの供給方法は、インターネット等の通信回線を介して外部からダウンロードする方法等のように、現在では一般的な手順を採用してもよい。

そして、このような場合において、本発明は、係るソフトウェア・プログラムを構成するコード、あるいは係るコードが記録されたところの、コンピュータ読み取り可能な記録媒体によって構成されると捉えることができる。この場合、係る記録媒体は、ハードウェア装置と独立した媒体に限らず、ＬＡＮやインターネットなどにより伝送されたソフトウェア・プログラムをダウンロードして記憶又は一時記憶した記録媒体を含む。

また、上述した情報分析システムの構成要素は、図２３に例示するハードウェア装置を仮想化した仮想化環境と、当該仮想化環境において実行される各種ソフトウェア・プログラム（コンピュータ・プログラム）とによって構成されてもよい。この場合、図２３に例示するハードウェア装置の構成要素は、当該仮想化環境における仮想デバイスとして提供される。なお、この場合も、図２３に例示するハードウェア装置を物理的な装置として構成した場合と同様の構成にて、本発明を実現可能である。上記の実施形態の一部又は全部
は、以下の付記のようにも記載されうるが、以下には限られない。
［付記１］
情報源から取得した参照情報を保持する情報保持手段と、
時系列において異なるタイミングで取得された前記参照情報に含まれるセキュリティに関連する文言を表す第１の文言情報の出現傾向を分析し、出現傾向が変化した前記第１の文言情報を含む前記参照情報を、前記情報保持手段から抽出する情報分析手段と、を備える情報分析システム。
［付記２］
前記情報分析手段は、テクニカル分析手法を用いて、前記参照情報に含まれる前記第１の文言情報の時系列における出現数を分析することにより、前記第１の文言情報の出現傾向を表すデータを１以上算出し、その算出したデータの間の関係性に基づいて、前記第１の文言情報の出現傾向が変化したか否かを判定する付記１に記載の情報分析システム。
［付記３］
前記情報分析手段は、テクニカル分析手法を用いて、前記参照情報に含まれる前記第１の文言情報の時系列における出現数を分析することにより、前記第１の文言情報の出現傾向を表すデータを１以上算出し、その算出したデータと、基準データとの間の関係性に基づいて、前記第１の文言情報の出現傾向が変化したか否かを判定する付記１に記載の情報分析システム。
［付記４］
前記情報分析手段は、少なくとも２つの異なるタイミングにおける前記第１の文言情報の出現傾向を表すデータを算出し、算出したデータのうち少なくとも一部のデータ同士を比較した結果、及び、算出したデータのうち少なくとも一部のデータを基準データと比較した結果の少なくともいずれかに基づいて、前記第１の文言情報の出現傾向が変化したか否かを判定する付記２又は付記３に記載の情報分析システム。
［付記５］
前記情報分析手段は、前記第１の文言情報の時系列における出現数のＭＡＣＤ（Ｍｏｖｉｎｇ Ａｖｅｒａｇｅ Ｃｏｎｖｅｒｇｅｎｃｅ Ｄｉｖｅｒｇｅｎｃｅ）と、ＭＡＣＤシグナルと、ＭＡＣＤヒストグラムとのいずれかを用いて、異なるタイミングにおける前記第１の文言情報の出現傾向を表すデータを算出する、
付記４に記載の情報分析システム。
［付記６］
前記情報分析手段は、２つの異なるタイミングにおける前記第１の文言情報のＭＡＣＤヒストグラムをそれぞれ算出し、算出したＭＡＣＤヒストグラム同士の積の符号が負である場合に、前記第１の文言情報の出現傾向が変化したと判定する付記５に記載の情報分析システム。
［付記７］
前記情報分析手段は、１つの前記第１の文言情報に関して、当該第１の文言情報の出現傾向を表す２以上の異なる種類のデータを算出し、算出したデータのうち少なくとも一部のデータ同士を比較した結果、及び、算出したデータのうち少なくとも一部のデータと基準データとを比較した結果の少なくともいずれかに基づいて、前記第１の文言情報の出現傾向が変化したか否かを判定する付記２又は付記３に記載の情報分析システム。
［付記８］
前記情報分析手段は、前記第１の文言情報について、所定の期間内における当該第１の文言情報の出現数の変化率の標準偏差を求めることにより、前記第１の文言情報の出現傾向を表すデータを算出する、付記７に記載の情報分析システム。
［付記９］
前記第１の文言情報を含む前記参照情報に含まれる、前記第１の文言情報と関連性を有する他の文言を表す第２の文言情報を抽出する情報集約手段を更に備え、
前記情報分析手段は、前記第２の文言情報を新たな前記第１の文言情報として、当該第１の文言情報の出現傾向を分析する付記２乃至付記８のいずれか一項に記載の情報分析システム。
［付記１０］
前記情報集約手段は、前記第１の文言情報を含む前記参照情報に含まれる、１以上の他の文言を表す情報を抽出し、当該他の文言を表す情報に関する統計量に基づいて、当該他の文言を表す情報のうちの少なくとも一部を、前記第２の文言情報として選択する付記９に記載の情報分析システム。
［付記１１］
前記情報集約手段は、
前記第１の文言情報を含む１以上の前記参照情報に含まれるテキストデータを品詞毎に１以上の単語を表す情報に分解するとともに、当該単語を表す情報の出現数を計数し、 出現数が多い順に、所定の数の前記単語を表す情報を前記第２の文言情報として抽出するか、又は、出現数が所定の基準値以上の前記単語を表す情報を前記第２の文言情報として抽出する付記１０に記載の情報分析システム。
［付記１２］
前記情報分析手段により出現傾向が変化したと判定された前記第１の文言情報を表示可能な第１の表示領域と、当該第１の表示領域に表示された前記第１の文言情報の少なくとも一部を含む前記参照情報の少なくとも一部を表示可能な第２の表示領域と、の少なくともいずれかを含む画面データを生成する情報提示部を更に備える付記２乃至付記１１のいずれか一項に記載の情報分析システム。
［付記１３］
前記情報提示部は、前記情報分析手段により前記テクニカル分析手法を用いて分析された、前記第１の文言情報の時系列における出現傾向の分析結果を表示可能な第３の表示領域と、前記第１の表示領域と、前記第２の表示領域と、の少なくともいずれかを含む前記画面データを生成する、付記１２に記載の情報分析システム。
［付記１４］
前記情報分析手段により出現傾向が変化したと判定された前記第１の文言情報を含む前記参照情報から抽出した、所定の書式に適合するデータを用いて、前記第１の文言情報に関連するセキュリティの脅威と、当該脅威に関する対処措置とを所定の構造化された形式を用いて記述した脅威記述データを生成する脅威情報出力部を更に備える、付記２乃至付記１３のいずれか一項に記載の情報分析システム。
［付記１５］
前記脅威情報出力部は、前記参照情報から、前記所定の書式に適合するデータとして、通信ネットワークにおけるリソースを特定可能なデータを抽出し、抽出した当該データにより特定されるリソースに対するアクセスを制限する対処措置を記述した前記脅威記述データを生成する、付記１４に記載の情報分析システム。
［付記１６］
時系列において異なるタイミングで情報源から取得した参照情報に含まれる、セキュリティに関連する文言を表す第１の文言情報の出現傾向を分析し、
出現傾向が変化した前記第１の文言情報を含む前記参照情報を抽出する情報分析方法。
［付記１７］
情報源から取得した参照情報を保持する処理と、
時系列において異なるタイミングで取得された前記参照情報に含まれるセキュリティに関連する文言を表す第１の文言情報の出現傾向を分析する処理と、
出現傾向が変化した前記第１の文言情報を含む前記参照情報を抽出する処理と、をコンピュータに実行させるコンピュータ・プログラムが記憶された、記録媒体。
［付記１８］
付記１乃至付記１５のいずれか一項に記載の情報分析システムを、単体の装置として実現する情報分析装置。
［付記１９］
時系列において異なるタイミングで情報源から取得した参照情報に含まれる、セキュリティに関連する文言を表す第１の文言情報の出現傾向を分析し、
出現傾向が変化した前記第１の文言情報と、出現傾向が変化した前記第１の文言情報を含む前記参照情報と、前記第１の文言情報に関する出現傾向の分析結果と、の少なくともいずれかを表示する情報分析方法。
［付記２０］
時系列において異なるタイミングで情報源から取得した参照情報に含まれる、セキュリティに関連する文言を表す第１の文言情報の出現傾向を分析し、
前記参照情報に含まれる、前記第１の文言情報と関連性を有する第２の文言情報を抽出するとともに、当該第２の文言情報の出現傾向を分析し、
出現傾向が変化した前記第１又は前記第２の文言情報と、出現傾向が変化した前記第１又は前記第２の文言情報を含む前記参照情報と、前記第１又は前記第２の文言情報に関する出現傾向の分析結果と、の少なくともいずれかを表示する情報分析方法。

以上、本発明を、上述した模範的な実施形態に適用した例として説明した。しかしながら、本発明の技術的範囲は、上述した各実施形態に記載した範囲には限定されない。当業者には、係る実施形態に対して多様な変更又は改良を加えることが可能であることは明らかである。そのような場合、係る変更又は改良を加えた新たな実施形態も、本発明の技術的範囲に含まれ得る。更に、上述した各実施形態、あるいは、係る変更又は改良を加えた新たな実施形態を組合せた実施形態も、本発明の技術的範囲に含まれ得る。そしてこのことは、請求の範囲に記載した事項から明らかである。
この出願は、２０１５年１２月１４日に出願された日本出願特願２０１５−２４３２０８を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１００ 情報分析システム
１０１ 情報収集部
１０２ 情報保持部
１０３ 情報集約部
１０４ 情報分析部
１０５ 検索情報入力部
１０６ 情報提示部
１０７ 脅威情報出力部
２００ 通信ネットワーク
３００ セキュリティ機器
１９００ 情報分析システム
１９０１ 情報保持部
１９０２ 情報分析部
２０００ 情報分析システム
２００１ 情報集約部
２００２ 情報分析部
２１００ 情報分析システム
２１０１ 情報提示部
２２００ 情報分析システム
２３０１ 演算装置
２３０２ 記憶装置
２３０３ 不揮発性記憶装置
２３０４ ドライブ装置
２３０５ 記録媒体
２３０６ ネットワークインタフェース
２３０７ 入出力インタフェース

Claims (13)

1. コンピュータが、
   セキュリティに関する複数の検索語を含む検索語群を記憶し、
   前記検索語群の中の第１の検索語を含む参照情報を、時刻情報とともに情報源から複数取得し、
   前記第１の検索語の出現数を、前記時刻情報を用いて計数する、
   セキュリティ情報分析方法。
2. 前記コンピュータが、
   さらに、前記計数の結果に基づき、前記第１の検索語の出現数の時系列における推移情報を生成する、
   請求項１に記載のセキュリティ情報分析方法。
3. 前記コンピュータが、
   さらに、前記推移情報に基づき、所定の条件により前記推移情報の時系列的傾向の変化を判定する、
   請求項２に記載のセキュリティ情報分析方法。
4. 前記コンピュータが、
   さらに、
   前記参照情報に含まれるセキュリティに関する文言を第２の検索語として抽出し、
   前記第２の検索語を、前記検索語群に追加する、
   請求項１乃至３のいずれか１項に記載のセキュリティ情報分析方法。
5. 前記コンピュータが、
   前記第２の検索語の出現数が所定の閾値以上である場合に、前記第２の検索語を追加する、
   請求項４に記載のセキュリティ情報分析方法。
6. 前記コンピュータが、
   さらに、
   前記第２の検索語の抽出において所定の排除語を抽出しない、
   請求項４または５に記載のセキュリティ情報分析方法。
7. セキュリティに関する複数の検索語を含む検索語群を記憶する、記憶手段と、
   前記検索語群の中の第１の検索語を含む参照情報を、時刻情報とともに情報源から複数取得する、取得手段と、
   前記第１の検索語の出現数を、前記時刻情報を用いて計数する、計数手段と、
   を備える、セキュリティ情報分析システム。
8. 前記計数手段は、さらに、前記計数の結果に基づき、前記第１の検索語の出現数の時系列における推移情報を生成する、
   請求項７に記載のセキュリティ情報分析システム。
9. 前記計数手段は、さらに、前記推移情報に基づき、所定の条件により前記推移情報の時系列的傾向の変化を判定する、
   請求項８に記載のセキュリティ情報分析システム。
10. 前記取得手段は、さらに、
    前記参照情報に含まれるセキュリティに関する文言を第２の検索語として抽出し、
    前記第２の検索語を、前記検索語群に追加する、
    請求項７乃至９のいずれか１項に記載のセキュリティ情報分析システム。
11. 前記取得手段は、前記第２の検索語の出現数が所定の閾値以上である場合に、前記第２の検索語を追加する、
    請求項１０に記載のセキュリティ情報分析システム。
12. 前記取得手段は、さらに、
    前記第２の検索語の抽出において、所定の排除語を抽出しない、
    請求項１０または１１に記載のセキュリティ情報分析システム。
13. コンピュータに、
    セキュリティに関する複数の検索語を含む検索語群を記憶し、
    前記検索語群の中の第１の検索語を含む参照情報を、時刻情報とともに情報源から複数取得し、
    前記第１の検索語の出現数を、前記時刻情報を用いて計数する、
    処理を実行させるプログラム。

Images