JP2022038148A - 配信処理装置、配信処理プログラム及び配信処理方法 - Google Patents

Abstract

【課題】インシデント検出装置から通知されるインシデント詳細情報とインシデント対応手順とをセキュリティ関係者に連絡する時間を短縮できる配信処理装置を提供する。【解決手段】配信処理装置は、ネットワークに接続された監視対象装置に関係するセキュリティインシデントの通知を出力するインシデント検出装置から受付けた当該通知に基づいて、当該通知の詳細情報である第１情報を生成して、第１情報を音声情報として音声パケットを用いて通信端末装置に通知する第１配信処理部と、第１情報からセキュリティインシデントに対応するための対応手順の情報である第２情報を生成して、第２情報を可視情報として通信端末装置に通知する第２配信処理部と、を有する。【選択図】図１

Description

本発明は、インシデントに対応する手順情報を配信できるインシデント対応手順配信システムの配信処理装置、配信処理プログラム及び配信処理方法に関する。

情報セキュリティインシデントは、事業運営を危うくする確率および情報セキュリティを脅かす確率が高い、望まない又は予期しない単独若しくは一連の情報セキュリティ事象である（ISO/IEC 17799）。情報セキュリティインシデント（ここでは単にインシデント又はセキュリティインシデントともいう）はコンピュータの利用や情報管理、情報システム運用に関して保安（セキュリティ）上の脅威となる事象として知られている。インシデントの例としては、コンピュータウイルス等のマルウェア感染、不正アクセス、アカウント乗っ取り（なりすまし）、Webサイトの改竄、情報漏洩、迷惑メール送信、サービス拒否攻撃（DoS攻撃）、情報機器や記憶媒体の紛失や盗難等が含まれる。さらに、コンピュータの機器やシステムにおけるサービスや施設の停止、システム動作の不良、過負荷等もインシデントに含まれる。

企業内外にて構築されている各種コンピュータシステム等の監視対象装置に対するサイバー攻撃がなされた場合や顧客情報や機密情報を外部に流出させてしまう等のインシデントに対する有効な対策として、インシデントの相関と標準化を行うセキュリティ情報管理（SIM:Security Information Management)の技術や、インシデントの収集と集約を行うセキュリティ事象管理SEM（SEM:Security Event Management)の技術や、これら技術を統合したセキュリティ情報事象管理（SIEM:Security Information and Event Management）の技術がある。

特許文献１には、インシデント検出装置であるセキュリティ情報事象管理用の装置又はシステム（以下、ＳＩＥＭ装置ともいう）と共に使用される、ログデータを処理するためのロギングシステム装置が記載されている。また、ＳＩＥＭ装置が、ログ情報を収集して、インシデントに関わるインシデント検査および報告を行うことを開示している。

特表２０１０－５１５１７２号公報

一般的に、ＳＩＥＭ装置は、コンピュータシステム内の接続されている種々のネットワーク装置のログデータを一元管理して、ログデータに基づいてリアルタイムに相関分析を実施し、脅威となりうる事象に対してセキュリティインシデント情報を担当者（オペレータ）の情報端末にて表示する。担当者は、表示されたセキュリティインシデント情報に基づいて、関係各所にインシデントの連絡を実施して各セキュリティ担当者がインシデント対応を当該コンピュータシステムに施す。

従来のロギングシステム装置をＳＩＥＭ装置に導入しても、ＳＩＥＭ装置はリアルタイムに相関分析を実施し、インシデントを通知するけれども、インシデントの通知を知るためには、ＳＩＥＭ装置の管理画面を関係者が見る必要がある。よって、基本的にＳＩＥＭ装置の管理画面は定期的に確認するため、リアルタイムにインシデントの確認ができない問題があった。さらにインシデントの内容を精査し、関係各所に連絡するまで時間が掛かる問題があった。

本発明は、上記した従来の問題に鑑みなされたものであり、ＳＩＥＭ装置等のインシデント検出装置から通知されるインシデント詳細情報とインシデント対応手順とをセキュリティ関係者に連絡する時間を短縮できるインシデント対応手順配信システムの配信処理装置を提供することを目的とする。

本発明の配信処理装置は、ネットワークに接続された監視対象装置に関係するセキュリティインシデントの通知を出力するインシデント検出装置から受付けた当該通知に基づいて、当該通知の詳細情報である第１情報を生成して、前記第１情報を音声情報として音声パケットを用いて通信端末装置に通知する第１配信処理部と、前記第１情報から前記セキュリティインシデントに対応するための対応手順の情報である第２情報を生成して、前記第２情報を可視情報として前記通信端末装置に通知する第２配信処理部と、を有することを特徴とする。

本発明の配信処理プログラムは、コンピュータを、
ネットワークに接続された監視対象装置に関係するセキュリティインシデントの通知を出力するインシデント検出装置から受付けた当該通知に基づいて、当該通知の詳細情報である第１情報を生成して、前記第１情報を音声情報として音声パケットを用いて通信端末装置に通知する第１配信処理部と、
前記第１情報から前記セキュリティインシデントに対応するための対応手順の情報である第２情報を生成して、前記第２情報を可視情報として前記通信端末装置に通知する第２配信処理部と、
して機能として機能させることを特徴とする。

本発明の配信処理装置の配信処理方法は、前記配信処理装置において、ネットワークに接続された監視対象装置に関係するセキュリティインシデントの通知を出力するインシデント検出装置から受付けた当該通知に基づいて、当該通知の詳細情報である第１情報を生成して、前記第１情報を音声情報として音声パケットを用いて通信端末装置に通知する第１配信処理ステップと、前記第１情報から前記セキュリティインシデントに対応するための対応手順の情報である第２情報を生成して、前記第２情報を可視情報として前記通信端末装置に通知する第２配信処理ステップと、を有することを特徴とする。

本発明によれば、ＳＩＥＭ装置からのインシデントの調査に必要な情報をピックアップし、インシデントの詳細情報の作成から該詳細情報を基にしたインシデントの対応手順の作成までを自動化し、それらインシデントの詳細情報と対応手順を自動配信しているので、インシデント対応処理時間を短縮できるインシデント対応手順配信システムを実現できる。

本発明の実施例のインシデント対応手順配信システムを示すシステム構成例の概略説明図である。 本実施例のインシデント対応手順配信システムにおけるＳＩＥＭ装置１０１とインシデント可視化装置１０２とＶｏＩＰ（Voice over Internet Protocol）装置１０３の構成を説明する概略説明図である。 本実施例のインシデント対応手順配信システムの動作フロー図である。 本実施例のインシデント対応手順配信システムにおけるインシデント詳細情報の一例のイメージを説明する概略説明図である。

以下、図面を参照しつつ本発明による実施例のインシデント対応手順配信システムの例について説明する。なお、本発明は以下の実施例に限定されるものではない。

［システム構成例］
図１は、ネットワークＩＰに接続された監視対象装置ＷＤに関係するインシデントに対応する手順情報を配信する本実施例のインシデント対応手順配信システム１００を示すシステム構成例の一例の概略説明図である。図２は、当該インシデント対応手順配信システムにおけるＳＩＥＭ装置１０１とインシデント可視化装置１０２とＶｏＩＰ（Voice over Internet Protocol）装置１０３の構成を示す。

図２に示すように、このインシデント対応手順配信システム１００は、ＳＩＥＭ装置１０１とインシデント可視化装置１０２とＶｏＩＰ装置１０３を含む。

インシデント対応手順配信システム１００は、ＩＰネットワークＩＰに接続され、このネットワークを介して複数の監視対象装置ＷＤおよびオペレータ端末１０８と、複数のセキュリティ関係者１０４、１０５、１０６、１０７の通信端末装置１０４ａ、１０５ａ、１０６ａ、１０７ａに有線又は無線で接続されている。ＩＰネットワークＩＰの接続形態は、インターネットの他、例えば電話回線網、衛星通信網等の公衆回線網や、各種のＬＡＮ（Local Area Network)、ＷＡＮ(Wide Area Network）、ＶｏＰＮ（Voice over Packet Network）のような専用回線網を含むものであってもよい。ＩＰネットワークＩＰは、通信端末装置である、固定電話機、携帯電話機、ＰＨＳ電話機、携帯通信端末およびパーソナルコンピュータに接続可能であるものである。なお、インシデント対応手順配信システム１００とＩＰネットワークＩＰとの接続には図示しないがファイアウォールを介している。

［ＳＩＥＭ装置］
ＳＩＥＭ装置１０１は、複数の監視対象装置ＷＤから出力されるログデータを、ネットワークを介して収集し、これらを一元管理する。また、ＳＩＥＭ装置１０１は、収集したログデータを相関分析してインシデント検査して、ログデータの関分析の結果から脅威がある事象がある場合にインシデント情報のインシデント通知２０１をインシデント可視化装置１０２に発出する。インシデント通知２０１は、ＳＩＥＭ装置１０１が相関分析を実施した結果から脅威となる事象の警告情報である。ＳＩＥＭ装置１０１は、オペレータ端末１０８からのユーザの操作により監視対象装置ＷＤを監視し、保守し、操作する機能を備えている。

監視対象装置ＷＤは、ログ管理がなされるＳＩＥＭ装置１０１の対象機器であり、例えば、ファイアウォールやＩＰＳ（Intrusion Prevention System）等のネットワーク機器や認証サーバ、Ｗｅｂプロキシサーバ、システム機器の権限を管理するサーバ（ＬＤＡＰ（Lightweight Directory Access Protocol）サーバ、ＲＡＤＩＵＳ（Remote Authentication Dial-in User Serviceサーバ（ダイヤルアップ接続ユーザ認証））等）、メールサーバ、データベースサーバ、ファイルサーバ、クライアントのＰＣ（Personal Computer）が含まれ、例えばサーバやスイッチやルータ等や侵入防止システム（IPS:Intrusion Prevention System）等も含まれる。

なお、ＳＩＥＭ装置１０１のハードウエアは、ソフトウエアのオペレーティングシステム（Operating System）で制御されるＳＩＥＭプログラムをインストールしたコンピュータ装置で実現することができる。ＳＩＥＭ装置１０１は、図示しないが、ＣＰＵ（Central Processing Unit）と、ＲＡＭ（Random Access Memory）、ハードディスク装置やＳＳＤ（solid state drive）等の記憶部を含み、記憶部に格納された所定のプログラムに従い、ＣＰＵがＲＡＭを一次記憶用ワークメモリとして利用して、ＳＩＥＭ処理を実行するコンピュータ装置である。ＳＩＥＭ装置１０１は、キーボード、モニター等の入出力装置や、ＵＳＢ（Universal Serial Bus）や、ネットワーク接続部（NIC:Network Interface Card）をも含む。なお、ＳＩＥＭ装置１０１は、インシデント可視化装置１０２に直接接続されていてもよい。

［インシデント可視化装置］
インシデント可視化装置１０２は、ＳＩＥＭ装置１０１から通知されたインシデント通知２０１を受信して受付ける機能（受付部１０２ａ）を有する。インシデント可視化装置１０２は、インシデント情報を受付けてインシデント通知内容を自動分析し、インシデント詳細情報２０３等を可読な言語情報の結果として出力する通知機能（音声配信部１０２ｂ）を有する。音声配信部１０２ｂは、事前登録してある連絡先に、後述のインシデント詳細情報を、ＶｏＩＰ装置１０３を介してパケット発信（プッシュ通知）できるように音声データに変換し、インシデント可視化装置１０２に接続されているＶｏＩＰ装置１０３に送信する。ＶｏＩＰ装置１０３は、音声パケットをネットワークＩＰに中継するＶｏＩＰルータである。

更に、インシデント可視化装置１０２は、インシデントの詳細情報を生成する詳細化モジュール２０２と、該インシデントの詳細情報からインシデントに対応する手順（インシデント対応手順情報２０５）を生成するインシデント対応手順作成モジュール２０４と、事前登録してある連絡先に電子メールでインシデント対応手順情報２０５を配信（プッシュ通知）するメール配信モジュール２０６と、過去にインシデント対応した手順を登録、保管するためのインシデント対応手順登録モジュール２０８とを有する。

かかるインシデント可視化装置１０２のハードウエアは、ソフトウエアのオペレーティングシステムで制御されるインシデント可視化プログラムをインストールしたコンピュータ装置で実現することができる。インシデント可視化装置１０２は、図示しないが、ＣＰＵと、ＲＡＭ、ハードディスク装置やＳＳＤ等の記憶部を含み、記憶部に格納された配信処理プログラムに従い、ＣＰＵがＲＡＭを一次記憶用ワークメモリとして利用して、インシデント可視化処理を実行するコンピュータ装置である。インシデント可視化装置１０２は、キーボード、モニター等の入出力装置や、ＵＳＢや、ネットワーク接続部をも含む。なお、インシデント可視化装置１０２はＶｏＩＰ装置１０３に直接接続されている。

［詳細化モジュール２０２］
詳細化モジュール２０２は、入力されたインシデント通知２０１に記載されている項目から事前に登録しているピックアップ項目を元にインシデント詳細情報２０３を作成する。

詳細化モジュール２０２は、ＳＩＥＭ装置１０１から発報された一次データのインシデント通知２０１のインシデント情報からインシデント調査に必要な情報をピックアップし解析して二次データのインシデント詳細情報２０３を作成する。インシデント詳細情報２０３は、インシデント可視化装置１０２で調査に必要なインシデント情報をピックアップしたインシデントの詳細情報である。

このように、インシデント情報の詳細化モジュール２０２は、インシデント詳細情報２０３にまとめる機能を有する。インシデント詳細情報２０３は、音声配信部１０２ｂとインシデント対応手順作成モジュール２０４に入力される。

音声配信部１０２ｂは、入力されたインシデント情報２０３を、ＶｏＩＰ装置１０３を介して発信できるように音声データに変換し、これを連絡先データと共にインシデント可視化装置１０２に接続されているＶｏＩＰ装置１０３に送信する。ＶｏＩＰ装置１０３は、インシデント情報２０３を、ＩＰネットワークＩＰを介して連絡先の通信端末装置１０４ａ、１０５ａ、１０６ａ、１０７ａ等へプッシュ通知する。

［ＶｏＩＰシステム］
このように、ＶｏＩＰ装置１０３は、インシデント可視化装置１０２の音声配信部１０２ｂから出力されるインシデント詳細情報２０３を音声データとして音声パケット化して、セキュリティ関係者１０４、１０５、１０６、１０７に対応する通信端末装置１０５ａ、１０６ａ、１０７ａにＶｏＩＰ配信する。すなわち、ＶｏＩＰ装置１０３は、事前に登録している複数のセキュリティ担当者１０５、１０６、１０７、さらに登録されたインシデント管理者１０４にインシデント詳細情報２０３を自動配信する。

詳細化モジュール２０２と音声配信部１０２ｂとＶｏＩＰ装置１０３は、インシデント通知２０１に基づいて、当該通知のインシデント詳細情報２０３（第１情報）を生成して、インシデント詳細情報２０３を音声情報として音声パケットを用いて連絡先の通信端末装置１０４ａ、１０５ａ、１０６ａ、１０７ａに通知する第１配信処理部として機能する。

連絡先の複数のセキュリティ関係者は、複数のセキュリティ担当者１０５、１０６、１０７と、システムのインシデントを管理する少なくとも１人のインシデント管理者１０４とで構成されてもよい。インシデント管理者１０４は、セキュリティ担当者等を管理する管理者で会って、発生したインシデントに対応処理するだけでなく、インシデントが発生した都度に、インシデント対応手順登録モジュール２０８に新規インシデント情報、手順の追加やインシデント詳細情報、手順の更新情報を登録する。セキュリティ担当者１０５、１０６、１０７は、発生したインシデントに対応して、問題となった監視対象装置ＷＤに対応手順により復旧等を実施する担当者である。インシデント管理者１０４を含めキュリティ関係者１０４、１０５、１０６、１０７全員に音声配信を行う。これにより、インシデント管理者１０４がインシデント可視化装置１０２の近くに居なくとも、インシデント知見やインシデント対応できるようになる。

セキュリティ関係者１０４、１０５、１０６、１０７（通信端末装置１０４ａ、１０５ａ、１０６ａ、１０７ａ）の情報は、インシデント可視化装置１０２において、インシデント対応スキルレベルに応じて事前登録され、該担当者の連絡先も事前登録されている。音声配信部１０２ｂとメール配信モジュール２０６とで共用する記憶部には、担当者情報ファイルが構築されている。セキュリティ担当者情報には、セキュリティ担当者ＩＤ、セキュリティ担当者名、担当システムやサーバのＩＤ、スキルレベルの程度評価、担当者を追跡できる連絡先として、電話番号、および、Ｅ－Ｍａｉｌアドレスが対応づけて登録されている。その他、Twitter（登録商標）、Facebook（登録商標）、Ｌｉｎｅ（登録商標）等のＳＮＳ（social networking service）の担当者通知先（プッシュ通知の設定がなされている通信端末装置）が担当者情報ファイルに登録されていてもよい。

［インシデント対応手順作成モジュール２０４］
インシデント対応手順作成モジュール２０４は、入力されたインシデント詳細情報２０３からインシデント対応手順情報２０５を作成する。インシデント対応手順情報２０５は、インシデント詳細情報２０３から作成したインシデントに対応するため対応手順情報である。

インシデント対応手順作成モジュール２０４は、インシデント詳細情報２０３を元に後述のインシデント対応手順登録モジュール２０８に保管されている過去のインシデント対応手順を参照しつつインシデント対応手順情報２０５を作成する。インシデント対応手順作成モジュール２０４の参照は、図２の矢印２１０に示す。

インシデント対応手順作成モジュール２０４は、インシデント対応手順登録モジュール２０８を参照し、インシデント詳細情報２０３(第１情報)に応じて過去のインシデントに対応する過去のインシデント対応項目の有無を判断して、過去のインシデント対応項目があればそれを選択し、選択した過去のインシデント対応項目を含むインシデント対応手順情報２０５（第２情報）として生成し、これをメール配信モジュール２０６へ入力する。

［インシデント対応手順登録モジュール２０８］
インシデント対応手順登録モジュール２０８は、登録された過去のインシデントおよびこれに対応した過去の対応手順を保持する。インシデント対応手順登録モジュール２０８への過去データ（過去にインシデントに対応した手順等）の登録は、図２の矢印２０９に示すように、入出力装置と受付部１０２ａを介して、インシデント管理者１０４により事前又は事後に行われる。

［メール配信モジュール２０６］
メール配信モジュール２０６は、入力されたインシデント対応手順情報２０５を含むメール２０７を、事前登録してある連絡先の通信端末装置１０４ａ、１０５ａ、１０６ａ、１０７ａ（セキュリティ関係者１０４、１０５、１０６、１０７）に対して自動でメール配信する。

このように、インシデント対応手順作成モジュール２０４とメール配信モジュール２０６とインシデント対応手順登録モジュール２０８は、過去のインシデントおよびこれに対応した過去の対応項目を保持（インシデント対応手順登録モジュール２０８）し、インシデント詳細情報２０３（第１情報）に応じて過去のインシデントに対応する過去のインシデント対応項目の有無を判断して、過去のインシデント対応項目があればそれを選択し、選択した過去のインシデント対応項目を含むインシデント対応手順情報２０５（第２情報）として生成（インシデント対応手順作成モジュール２０４）して、これを通信端末装置１０４ａ、１０５ａ、１０６ａ、１０７ａに通知する第２配信処理部として機能する。前記第２配信処理部は、ＶｏＩＰ装置を介さないために、これら通信端末装置に対して、第１配信処理部で用いる音声パケットと異なるパケットを用いてインシデント対応手順情報２０５（第２情報）を通知する。当該メールは、電子メールの他、Twitter（登録商標）、Facebook（登録商標）、Ｌｉｎｅ（登録商標）等の音声パケットと異なるパケットを用い可読、可視情報として配信することもできる。

（動作の説明）
図１、図２の構成図を踏まえて、インシデント対応手順配信システム１００の動作を説明する。本実施例のインシデント対応手順配信システムの動作フロー図を図３に示す。

図３に示すように、ＳＩＥＭ装置１０１は、保持しているログデータから相関分析を実施する（Ｓ１）。ＳＩＥＭ装置１０１は、相関分析で脅威となる事象のインシデントを検知（Ｓ２）するとインシデントの通知（インシデント通知２０１）を実施する（Ｓ３）。

インシデント通知２０１は、インシデント可視化装置１０２の受付部１０２ａに入力される。受付部１０２ａは、インシデント通知２０１を受付けて、インシデント通知２０１を、インシデント可視化装置１０２の内部にあるインシデント情報の詳細化モジュール２０２に入力する。

当該詳細化モジュール２０２は、インシデント情報からインシデント調査に必要な情報をピックアップし、インシデント詳細情報の作成を行う（Ｓ４）。ピックアップするインシデント詳細情報は、カスタマイズ可能とする。詳細化モジュール２０２で作成されたインシデント詳細情報２０３は、インシデント対応手順作成モジュール２０４に入力される。

インシデント詳細情報２０３の一例のイメージを図４に示す。なお、インシデント詳細情報２０３の項目は、複数のセキュリティ担当者１０５、１０６、１０７、インシデント管理者１０４がインシデント可視化装置１０２にアクセスして、ＳＩＥＭ装置１０１から出力されたインシデント項目からピックアップする項目をカスタマイズ可能とする。

インシデント詳細情報２０３は、ＶｏＩＰ装置１０３とインシデント対応手順作成モジュール２０４に送信される。

ＶｏＩＰ装置１０３は、インシデント詳細情報２０３を事前に登録している複数のセキュリティ担当者にメールで自動音声配信する（Ｓ５）。

かかる自動音声配信は、例えばプッシュ通知技術を用いてセキュリティ関係者１０４、１０５、１０６、１０７の通信端末装置１０４ａ、１０５ａ、１０６ａ、１０７ａに直接行う。これら通信端末装置は、スマートフォン、固定電話機、携帯電話機、ＰＨＳ電話機、携帯通信端末又はパーソナルコンピュータであってもよい。

自動音声配信を受けたインシデント管理者１０４は、インシデントが発生した都度、インシデント対応手順登録モジュール２０８に新規インシデント情報、手順の追加やインシデント詳細情報、手順の更新情報を登録する（Ｓ６：矢印２０９）。なお、インシデント対応手順登録モジュール２０８への各種情報登録は、図４に示すように、インシデント管理者１０４により、インシデント対応手順配信システムの配信動作の事前（Ｓ６ａ）又は事後（Ｓ６ｂ）に行われてもよい。

次に、インシデント対応手順作成モジュール２０４は、インシデント詳細情報２０３からインシデント対応手順を作成する（Ｓ７）。インシデント対応手順は、インシデント対応手順登録モジュール２０８に過去のデータとして保管されている。

インシデント対応手順は、図４のインシデント詳細情報２０３の説明（すなわちインシデント）の項目に対してまとめられているので、インシデント対応手順作成モジュール２０４は、図４のインシデント詳細情報２０３の説明の項目を参照し、類似している順に登録されている手順を絞り込む。

その後、インシデント対応手順作成モジュール２０４は、送信元ＩＰアドレス、宛先ＩＰアドレス、ユーザ名、ホスト名、発生時間等の情報を元に対応手順を決める。

例えば、図４に示しているインシデント詳細情報２０３の説明（インシデント）の項目に「ログイン失敗」の結果が表示されている場合は、ログイン失敗の関連するインシデント対応手順を検索する。送信元ＩＰアドレス、宛先ＩＰアドレス、ユーザ名、ホスト名が内部ネットワークであれば、ユーザ名に確認する手順になる。もし外部ネットワークであれば、詳細調査の手順になる。

インシデント対応手順作成モジュール２０４は、インシデント詳細情報２０３に応じて過去のインシデントに対応する過去のインシデント対応項目の有無を判断して（Ｓ８）、過去のインシデント対応項目があれば（Ｓ８：Ｙ）、それを選択し（Ｓ９）、選択した過去のインシデント対応項目を含むインシデント対応手順情報２０５として生成し、これをメール配信モジュール２０６に入力する。

メール配信モジュール２０６は、入力されたインシデント対応手順情報２０５を含むメール２０７を事前に登録している複数のセキュリティ担当者１０５、１０６、１０７に自動配信する（Ｓ１０）。

インシデント対応手順登録モジュール２０８に同一又は類似のインシデントの対応手順が登録されていない場合（Ｓ８：Ｎ）は、インシデント対応手順作成モジュール２０４からインシデント対応手順が無い情報をメール配信モジュール２０６に送信する。メール配信モジュール２０６は、インシデント対応手順が無い情報を受信すると、インシデント対応手順が無い情報を含むメール２０７を複数のセキュリティ担当者１０５、１０６、１０７に送信する（Ｓ１１）。

（効果の説明）
このように、本実施例によれば、ＳＩＥＭ装置１０１から出力されるインシデント通知２０１をインシデント可視化装置１０２やＶｏＩＰ装置１０３を使用して自動配信することにより、セキュリティ関係者１０４、１０５、１０６、１０７に連絡するまでの時間と、複数のセキュリティ担当者１０５、１０６、１０７の一次対応時間を大幅に短縮することができる。

以上のように、本実施例により、インシデント発生後に、ＶｏＩＰシステムでインシデント連絡を行うことでメールより早くセキュリティ関係者がインシデントに気づくことができ、インシデント対応に着手する時間を削減することが可能になる。また、ＳＩＥＭ装置１０１のインシデントから調査に必要な情報作成と対応手順作成を自動化することで、情報セキュリティ関係者がインシデントを調査する時間を削除できる。なお、本発明は、上記実施例に限定されず、インシデントを出力している全ての装置や、運用監視しているコンピュータシステムに適応可能である。

１００ インシデント対応手順配信システム
１０１ ＳＩＥＭ装置
１０２ インシデント可視化装置
１０２ａ 受付部
１０２ｂ 音声配信部
１０３ ＶｏＩＰ装置
１０４、１０５、１０６、１０７ セキュリティ関係者
１０４ａ、１０５ａ、１０６ａ、１０７ａ 通信端末装置
１０８ ペレータ端末
２０１ インシデント通知
２０２ 詳細化モジュール
２０３ インシデント詳細情報
２０４ インシデント対応手順作成モジュール
２０５ インシデント対応手順情報
２０６ メール配信モジュール
２０７ メール
２０８ インシデント対応手順登録モジュール
ＷＤ 監視対象装置
ＩＰ ネットワーク

Claims (8)

1. ネットワークに接続された監視対象装置に関係するセキュリティインシデントの通知を出力するインシデント検出装置から受付けた当該通知に基づいて、当該通知の詳細情報である第１情報を生成して、前記第１情報を音声情報として音声パケットを用いて通信端末装置に通知する第１配信処理部と、
   前記第１情報から前記セキュリティインシデントに対応するための対応手順の情報である第２情報を生成して、前記第２情報を可視情報として前記通信端末装置に通知する第２配信処理部と、
   を有することを特徴とする配信処理装置。
2. 前記第２配信処理部は、過去のセキュリティインシデントおよびこれに対応した過去の対応項目を保持し、前記第１情報に応じて前記過去のセキュリティインシデントに対応する前記過去の対応項目の有無を判断して、前記過去の対応項目があればそれを選択し、前記選択した過去の対応項目を含む前記第２情報として生成する対応手順作成部を有する
   ことを特徴とする請求項１に記載の配信処理装置。
3. 前記第２配信処理部は、前記通信端末装置に対して、音声パケットと異なるパケットを用いて前記第２情報を通知する
   ことを特徴とする請求項１又は２に記載の配信処理装置。
4. 前記音声パケットと異なるパケットは、電子メールを含むプッシュ通知である
   ことを特徴とする請求項３に記載の配信処理装置。
5. 前記第１配信処理部は、前記第１情報を前記音声パケットに変換する変換部と、前記音声パケットを前記ネットワークに中継するＶｏＩＰルータと、を有する
   ことを特徴とする請求項１乃至４のいずれか一項に記載の配信処理装置。
6. 前記通信端末装置は、スマートフォン、固定電話機、携帯電話機、ＰＨＳ電話機、携帯通信端末又はパーソナルコンピュータである
   ことを特徴とする請求項１乃至５のいずれか一項に記載の配信処理装置。
7. コンピュータを、
   ネットワークに接続された監視対象装置に関係するセキュリティインシデントの通知を出力するインシデント検出装置から受付けた当該通知に基づいて、当該通知の詳細情報である第１情報を生成して、前記第１情報を音声情報として音声パケットを用いて通信端末装置に通知する第１配信処理部として、
   前記第１情報から前記セキュリティインシデントに対応するための対応手順の情報である第２情報を生成して、前記第２情報を可視情報として前記通信端末装置に通知する第２配信処理部として、
   機能させるための配信処理プログラム。
8. 配信処理装置の配信処理方法であって、
   前記配信処理装置において、ネットワークに接続された監視対象装置に関係するセキュリティインシデントの通知を出力するインシデント検出装置から受付けた当該通知に基づいて、当該通知の詳細情報である第１情報を生成して、前記第１情報を音声情報として音声パケットを用いて通信端末装置に通知する第１配信処理ステップと、
   前記第１情報から前記セキュリティインシデントに対応するための対応手順の情報である第２情報を生成して、前記第２情報を可視情報として前記通信端末装置に通知する第２配信処理ステップと、
   を有することを特徴とする配信処理方法。

Images