JP2022089132A - 情報セキュリティ装置及びその方法 - Google Patents

Abstract

【課題】情報セキュリティ装置を提供する。
【解決手段】情報セキュリティ装置は、会社のシナリオ情報を受信するための送受信機と、複数のコマンド及び複数のデータベースを記憶するためのメモリと、送受信機及びメモリに接続されており、複数のデータベースから第１の脆弱性関連情報及び第１のイベント情報を読み取り、第１の脆弱性関連情報及び第１のイベント情報に基づいて少なくとも１つの第１の知識グラフを生成し、シナリオ情報に基づいて第２の知識グラフを生成し、且つ、少なくとも１つの第１の知識グラフと第２の知識グラフとを比較することで、少なくとも１つの第１の知識グラフと第２の知識グラフとの類似度を認識し、更に会社に情報セキュリティの脅威が存在するかを判定するように、複数のコマンドを実行するためのプロセッサと、を含む。
【選択図】図３

Description

本発明は、情報セキュリティ技術に関し、特に、情報セキュリティ装置及びその方法に関する。

一般的には、情報セキュリティの脅威の多様性及び変化性が高く、且つこれらの脅威情報をフィルタリングして消化するには、相当な人力がかかるため、技術の力を借りて関連しない情報をフィルタリングして除去する必要がある。また、オンラインソーシャルメディアが情報セキュリティの脅威情報の豊富な源であるが、ニュース媒体、情報セキュリティ会社、政府組織、情報セキュリティコミュニティ及びネットワークを介して伝搬される情報は、他の情報と混じり合う場合が多く、余分のリソースを消費して処理する必要がある。

従って、如何に情報セキュリティの脅威情報を取得するか、及び如何にこれらの情報をフィルタリングして消化するかは、当業者にとって早急に解決すべき問題となっている。

本発明の実施例は、会社のシナリオ情報を受信するための送受信機と、複数のコマンド及び複数のデータベースを記憶するためのメモリと、送受信機及びメモリに接続されており、複数のデータベースから第１の脆弱性関連情報及び第１のイベント情報を読み取り、第１の脆弱性関連情報及び第１のイベント情報に基づいて少なくとも１つの第１の知識グラフを生成し、シナリオ情報に基づいて第２の知識グラフを生成し、且つ、少なくとも１つの第１の知識グラフと第２の知識グラフとを比較することで、少なくとも１つの第１の知識グラフと第２の知識グラフとの類似度を認識し、更に会社に情報セキュリティの脅威が存在するかを判定するように、複数のコマンドを実行するためのプロセッサと、を含む情報セキュリティ装置を提供する。

本発明の実施例は、複数のデータベースから第１の脆弱性関連情報及び第１のイベント情報を読み取る工程と、第１の脆弱性関連情報及び第１のイベント情報に基づいて少なくとも１つの第１の知識グラフを生成し、シナリオ情報に基づいて第２の知識グラフを生成する工程と、少なくとも１つの第１の知識グラフと第２の知識グラフとの類似度を計算し、更に会社に情報セキュリティの脅威が存在するかを判定する工程と、を含む情報セキュリティ方法を提供する。

上記によれば、本発明の実施例は、シナリオの知識グラフと情報セキュリティイベントの知識グラフとを比較することで、シナリオの情報セキュリティイベントを迅速にフィルタリングすることができる。また、本発明の実施例は、更に、シナリオに対応するインテリジェントグラフィックス及び情報セキュリティイベントに対応するインテリジェントグラフィックスを使用して類似分析を行うことで、潜在的に攻撃される可能性のあるシナリオの脆弱性を認識する。

本発明の上記特徴及び利点をより明確かつ分かりやすくするために、以下、特に実施例を挙げて、添付図面に合わせて以下の通りに詳しく説明する。
本発明の実施例による情報セキュリティ装置のブロック図である。 本発明の実施例による情報セキュリティ方法の模式図である。 本発明の実施例による情報セキュリティ方法のフローチャートである。 本発明の実施例による第１の知識サブグラフの模式図である。 本発明の実施例による第２の知識サブグラフの模式図である。

以下、本発明の現在の実施例を詳しく参照し、その例が添付図面に示されている。添付図面及び明細書において、可能な限り同じ符号を使用して同じ又は類似する部材を表記する。

図１は、本発明の実施例による情報セキュリティ装置のブロック図である。図１を参照すると、情報セキュリティ装置１００は、送受信機１１０と、メモリ１２０と、プロセッサ１３０と、を含んでよい。送受信機１１０は、会社のシナリオ情報を受信するために用いられ得る。詳しくは、送受信機１１０は、会社に関連する多くのタイプの情報をシナリオ情報として受信することができる。いくつかの実施例において、シナリオ情報は、会社の装置及び情報に関連する装置モデル（ｄｅｖｉｃｅ ｍｏｄｅｌ）、データフロー（ｄａｔａ ｆｌｏｗ）、ホストログ（ｈｏｓｔ ｌｏｇｓ）及びファイルログ（ｆｉｌｅ ｌｏｇｓ）等を含んでよい。いくつかの実施例において、上記会社は、企業単位、組織単位、機構単位又は政府単位等であってよい。

また、メモリ１２０は、複数のコマンド及び複数のデータベース１２０（１）～１２０（Ｎ）を記憶するために用いられ、Ｎは、任意の正整数であってよいが、これに限定されない。プロセッサ１３０は、送受信機１１０及びメモリ１２０に接続され、且つ上記複数のコマンドを実行するために用いられ得る。

いくつかの実施例において、送受信機１１０は、無線又は有線で会社のシナリオ情報を受信して、ネットワーク２００からシナリオ情報を取得するように、例えば、低ノイズ増幅、インピーダンス整合、混合、上下周波数変換、フィルタリング、増幅等の操作を実行することができる。

いくつかの実施例において、送受信機１１０は、例えば、送信機回路、アナログ－デジタル（ａｎａｌｏｇ－ｔｏ－ｄｉｇｉｔａｌ；Ａ／Ｄ）コンバータ、デジタル－アナログ（ｄｉｇｉｔａｌ－ｔｏ－ａｎａｌｏｇ；Ｄ／Ａ）コンバータ、低ノイズアンプ、周波数混合器、フィルタ、インピーダンス整合器、伝送回線、パワーアンプ、１つ又は複数のアンテナ回路及びローカル記憶媒体素子の１つ又はその組み合わせである。

いくつかの実施例において、メモリ１２０は、例えば、任意の形態の固定型又は携帯型のランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ；ＲＡＭ）、リードオンリーメモリ（ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ；ＲＯＭ）、フラッシュメモリ（ｆｌａｓｈ ｍｅｍｏｒｙ）、ハードディスクドライブ（ｈａｒｄ ｄｉｓｋ ｄｒｉｖｅ；ＨＤＤ）、ソリッドステートドライブ（ｓｏｌｉｄ ｓｔａｔｅ ｄｒｉｖｅ；ＳＳＤ）又は類似する素子あるいは上記素子の組み合わせであってもよい。

いくつかの実施例において、プロセッサ１３０は、例えば、中央処理ユニット（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ；ＣＰＵ）、又は他のプログラム可能な一般用途又は特定用途のマイクロコントロールユニット（ｍｉｃｒｏ ｃｏｎｔｒｏｌ ｕｎｉｔ；ＭＣＵ）、マイクロプロセッサ（ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）、デジタルシグナルプロセッサ（ｄｉｇｉｔａｌ ｓｉｇｎａｌ ｐｒｏｃｅｓｓｏｒ；ＤＳＰ）、プログラマブルコントローラ、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ；ＡＳＩＣ）、グラフィック処理ユニット（ｇｒａｐｈｉｃｓ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ；ＧＰＵ）、演算論理ユニット（ａｒｉｔｈｍｅｔｉｃ ｌｏｇｉｃ ｕｎｉｔ；ＡＬＵ）、コンプレックスプログラマブルロジックデバイス（ｃｏｍｐｌｅｘ ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ｄｅｖｉｃｅ；ＣＰＬＤ）、フィールドプログラマブルゲートアレイ（ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ；ＦＰＧＡ）又は他の類似する素子あるいは上記素子の組み合わせである。

いくつかの実施例において、プロセッサ１３０は、有線又は無線で送受信機１１０及びメモリ１２０に接続されてよい。

有線形態の場合、上記した接続形態は、ユニバーサルシリアルバス（ｕｎｉｖｅｒｓａｌ ｓｅｒｉａｌ ｂｕｓ；ＵＳＢ）、ＲＳ２３２、汎用非同期送受信機（ｕｎｉｖｅｒｓａｌ ａｓｙｎｃｈｒｏｎｏｕｓ ｒｅｃｅｉｖｅｒ／ｔｒａｎｓｍｉｔｔｅｒ；ＵＡＲＴ）、集積回路間通信（Ｉ２Ｃ）、シリアル・ペリフェラル・インタフェース（ｓｅｒｉａｌ ｐｅｒｉｐｈｅｒａｌ ｉｎｔｅｒｆａｃｅ；ＳＰＩ）、ディスプレイポート（ｄｉｓｐｌａｙ ｐｏｒｔ）、サンダーボルト（ｔｈｕｎｄｅｒｂｏｌｔ）又はローカルエリアネットワーク（ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ；ＬＡＮ）のインタフェースによる接続形態であってよい。

無線形態の場合、上記した接続形態は、ワイヤレスフィデリティ（ｗｉｒｅｌｅｓｓ ｆｉｄｅｌｉｔｙ；Ｗｉ－Ｆｉ（登録商標））モジュール、無線周波数識別（ｒａｄｉｏ ｆｒｅｑｕｅｎｃｙ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ；ＲＦＩＤ）モジュール、ブルートゥース（登録商標）モジュール、赤外線モジュール、近距離無線通信（ｎｅａｒ－ｆｉｅｌｄ ｃｏｍｍｕｎｉｃａｔｉｏｎ；ＮＦＣ）モジュール又は端末間（ｄｅｖｉｃｅ－ｔｏ－ｄｅｖｉｃｅ；Ｄ２Ｄ）モジュールによる接続形態であってよい。

いくつかの実施例において、プロセッサ１３０は、送受信機１１０によって様々なソーシャルメディアウェブサイト（例えば、Ｔｗｉｔｔｅｒ（登録商標）又はＦａｃｅｂｏｏｋ（登録商標））、様々なニュースウェブサイト（例えば、ＣＥＲＴ－ＥＵ）、様々なフォーラムウェブサイト（例えば、０ｄａｙ．ｔｏｄａｙ）又は他の類似するウェブサイトあるいはデータベースからサンプルソーシャルメディアデータをサーチして受信することができる。

いくつかの実施例において、プロセッサ１３０は、送受信機１１０によって様々なオープンソースソフトウェア脆弱性（ｖｕｌｎｅｒａｂｉｌｉｔｙ）情報データベース（例えば、米国脆弱性データベース（Ｎａｔｉｏｎａｌ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅ；ＮＶＤ）、共通脆弱性識別子データベース（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ａｎｄ Ｅｘｐｏｓｕｒｅｓ ｄａｔａｂａｓｅ；ＣＶＥ）、オープンソース脆弱性データベース（Ｏｐｅｎ Ｓｏｕｒｃｅ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅ；ＯＳＶＤＢ）、脆弱性攻撃データベース（Ｅｘｐｌｏｉｔ Ｄａｔａｂａｓｅ；Ｅｘｐｌｏｉｔ－ＤＢ）又は脆弱性データベース（Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅ；ＶｕｌＤＢ）あるいは様々なソーシャルメディアウェブサイトから第１の脆弱性関連情報及び第１のイベント（ｅｖｅｎｔ）情報をサーチして受信することができる。プロセッサ１３０は、更に、過去に発生してユーザにより入力されたソフトウェア脆弱性の情報である第１の脆弱性関連情報を送受信機１１０によって受信することができる。

いくつかの実施例において、プロセッサ１３０は、送受信機１１０によって様々なオープンソース又は商業脅威情報データベースからセキュリティ侵害インジケータ（Ｉｎｄｉｃａｔｏｒ ｏｆ Ｃｏｍｐｒｏｍｉｓｅ；ＩＯＣ）データをサーチして受信することができる。

更なる実施例において、プロセッサ１３０は、サンプルソーシャルメディアデータ、第１の脆弱性関連情報、第１のイベント情報及びＩＯＣデータをデータベース１２０（１）～１２０（Ｎ）に記憶してよい。

更なる実施例において、サンプルソーシャルメディアデータは、ソーシャルメディアに関するテキストを含んでよい（例えば、このテキストは、アカウント、ツイート（ｔｗｅｅｔｓ）、タグ（ｔａｇｓ）、タイトル、作者、コンテンツ及び時間等を含む）。

更なる実施例において、第１の脆弱性関連情報は、異なる脆弱性に対応する攻撃手法（ａｔｔａｃｋ ｍｅｔｈｏｄｓ）、オペレーティングシステム（ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍｓ）、脅威タイプ（ｔｈｒｅａｔ ｔｙｐｅｓ）及び脅威レベル（ｔｈｒｅａｔ ｌｅｖｅｌｓ）等に関連する様々な脆弱性及び情報を含んでよい。

更なる実施例において、第１のイベント情報は、過去に発生したイベントに対応する様々な情報セキュリティログ（ｉｎｆｏｒｍａｔｉｏｎ ｓｅｃｕｒｉｔｙ ｌｏｇｓ）を含んでよく、情報セキュリティログには、攻撃手法（例えば、ＤａｒｋＨｏｔｅｌ ＡＰＴ）、攻撃手法のインフラストラクチャ（ｉｎｆｒａｓｔｒｕｃｔｕｒｅｓ）、攻撃手法に対応する脆弱性（例えば、ＣＶＥ－２０１９－１３６７）及び種々の脆弱性の脆弱性攻撃（ｅｘｐｌｏｉｔａｔｉｏｎｓ）（例えば、野生化脆弱性攻撃におけるＣＶＥ－２０１９－１３６７（ＣＶＥ－２０１９－１３６７ ｉｎ ｔｈｅ ｗｉｌｄ ｅｘｐｌｏｉｔａｔｉｏｎ））が含まれてよい。

更なる実施例において、ＩＯＣデータは、ＩＯＣの種々の初期データを含んでよい。

図２は、本発明の実施例による情報セキュリティ方法の模式図である。図３は、本発明の実施例による情報セキュリティ方法のフローチャートである。図３に示す実施例の方法は、図１における情報セキュリティ装置１００に適用可能であるが、これに限定されない。説明しやすく明確にするために、以下、図１、図２及び図３を同時に参照して、図３に示す情報セキュリティ方法の詳細な工程を説明することができる。

工程Ｓ３０１において、プロセッサ１３０は、データベース１２０（１）～１２０（Ｎ）から第１の脆弱性関連情報及び第１のイベント情報を読み取ることができる。

つまり、プロセッサ１３０は、データベース１２０（１）～１２０（Ｎ）において第１の脆弱性関連情報及び第１のイベント情報をサーチすることができる。

いくつかの実施例において、プロセッサ１３０は、データベース１２０（１）～１２０（Ｎ）から第１の脆弱性関連情報及び第１のイベント情報を読み取る前に、送受信機１１０によってソーシャルメディアデータを受信し、データベース１２０（１）～１２０（Ｎ）のサンプルソーシャルメディアデータに基づいて、ソーシャルメディアデータの複数の関連度スコア（ｒｅｌｅｖａｎｃｙ ｓｃｏｒｅｓ）を計算することができ、これらの関連度スコアは、ソーシャルメディアデータと情報セキュリティとの関連性を指示する。これにより、プロセッサ１３０は、複数の関連度スコアに基づいて、ソーシャルメディアデータからテキストデータ（ｔｅｘｔ ｄａｔａ）を認識することができる。

更なる実施例において、サンプルソーシャルメディアデータは、ソーシャルメディアに関するテキストを含んでよい（例えば、このテキストは、アカウント、ツイート、タグ、タイトル、作者、コンテンツ及び時間等を含んでよい）。また、プロセッサ１３０は、送受信機１１０によって上記した様々なソーシャルメディアデータベースからソーシャルメディアデータを受信することができる。

更なる実施例において、工程Ｓ２０１において、プロセッサ１３０は、ソーシャルメディアデータベース１２０（１）のソーシャルメディアデータからテキストデータを識別することができる。

詳しくは、工程Ｓ２０１１において、プロセッサ１３０は、ソーシャルメディアデータ及びサンプルソーシャルメディアデータに対して、文区切り（ｓｅｎｔｅｎｃｅ ｓｅｇｍｅｎｔａｔｉｏｎ）、単語切り（ｗｏｒｄ ｈｙｐｈｅｎａｔｉｏｎ）、ハイパーリンク（ｈｙｐｅｒｌｉｎｋｓ）の削除及び句読点の削除を実行することで、自然言語処理（ｎａｔｕｒａｌ ｌａｎｇｕａｇｅ ｐｒｏｃｅｓｓｉｎｇ；ＮＬＰ）を実行し、且つ、ＮＬＰ処理されたサンプルソーシャルメディアデータをトレーニングデータとして利用することができ、処理されたサンプルソーシャルメディアデータは、複数の用例語及び複数の用例文を含んでよい。

工程Ｓ２０１３において、プロセッサ１３０は、処理されたサンプルソーシャルメディアデータに対応する用例語及び用例文に、各用例語又は各用例文が情報セキュリティに関連するかを指示するラベル（ｌａｂｅｌｓ）を付けることができる。

工程Ｓ２０１５において、プロセッサ１３０は、ラベリングされた用例語及びラベリングされた用例文によって、相関認識モデル（ｃｏｒｒｅｌａｔｉｏｎ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｍｏｄｅｌ）をトレーニングしてよい。例えば、プロセッサ１３０は、ラベリングされた用例語及びラベリングされた用例文に、長短期記憶（ｌｏｎｇ ｓｈｏｒｔ－ｔｅｒｍ ｍｅｍｏｒｙ；ＬＳＴＭ）アルゴリズムに関連する操作を実行することができる。注意すべきなのは、上記相関認識モデルの生成方法は、任意の分類アルゴリズム（ｃｌａｓｓｉｆｉｃａｔｉｏｎ ａｌｇｏｒｉｔｈｍ）であってよいが、ここで相関認識モデルの生成方法は、特に制限されない。

工程Ｓ２０１７において、プロセッサ１３０は、相関認識モデルによってソーシャルメディアデータの複数の関連度スコアを計算することができる。これにより、プロセッサ１３０は、これらの関連度スコアに基づいて、ソーシャルメディアデータからテキストデータを認識することができる。詳しくは、プロセッサ１３０は、ソーシャルメディアデータからテキストデータを認識することができ、テキストデータの関連度スコアはスコア閾値より大きい。

更なる実施例において、プロセッサ１３０は、サンプルソーシャルメディアデータに基づいて、テキストデータの複数のイベントサブジェクト（ｅｖｅｎｔ ｓｕｂｊｅｃｔｓ）を認識することができ、複数のイベントサブジェクトは、テキストデータの複数のサブジェクトに関連する複数のキーワード（ｋｅｙｗｏｒｄｓ）を指示する。このように、プロセッサ１３０は、複数のイベントサブジェクトによってテキストデータをラベリングし、且つ、ラベリングされたテキストデータ及びイベント情報に基づいて第２のイベント情報を生成してデータベース１２０（１）～１２０（Ｎ）に記憶することができる。

更なる実施例において、工程Ｓ２０３において、プロセッサ１３０は、テキストデータの複数のイベントサブジェクトを認識し、複数のイベントサブジェクトによってテキストデータをラベリングし、更にラベリングされたテキストデータ及び第１のイベント情報に基づいて第２のイベント情報を生成してイベントデータベース１２０（３）に記憶することができる。

詳しくは、工程Ｓ２０３１において、プロセッサ１３０は、ソーシャルメディアデータ及びサンプルソーシャルメディアデータに対して、文区切り、単語切り、ハイパーリンク削除及び句読点の削除を実行することで、ＮＬＰ処理を実行し、且つ、ＮＬＰ処理されたサンプルソーシャルメディアデータをトレーニングデータとして利用することができ、処理されたサンプルソーシャルメディアデータは、複数の用例語及び複数の用例文を含んでよい。

これにより、プロセッサ１３０は、処理されたサンプルソーシャルメディアデータに対応する用例語及び用例文に、各用例語又は各用例文に対応するサンプルイベントサブジェクトを指示するラベルを付けることができる。

工程Ｓ２０３３において、プロセッサ１３０は、ラベリングされた用例語及びラベリングされた用例文によって、サブジェクト認識モデル（ｓｕｂｊｅｃｔ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｍｏｄｅｌ）をトレーニングすることができる。例えば、プロセッサ１３０は、ラベリングされた用例語及びラベリングされた用例文に対して、潜在的ディリクレ配分（ｌａｔｅｎｔ Ｄｉｒｉｃｈｌｅｔ ａｌｌｏｃａｔｉｏｎ；ＬＤＡ）アルゴリズムに関連する操作を実行することができる。注意すべきなのは、上記サブジェクト認識モデルの生成方法は、任意の分類アルゴリズムであってよく、ここでサブジェクト認識モデルの生成方法は、特に制限されない。

工程Ｓ２０３５において、プロセッサ１３０は、サブジェクト認識モデルによってテキストデータの複数のイベントサブジェクトを認識することができる。このように、プロセッサ１３０は、複数のイベントサブジェクトによってテキストデータをラベリングし、且つ、ラベリングされたテキストデータ及び第１のイベント情報に基づいて第２のイベント情報を生成してイベントデータベース１２０（３）に記憶することができる。

詳しくは、プロセッサ１３０は、第１のイベント情報に基づいて複数の攻撃手法、複数の攻撃手法の攻撃工程及び複数の攻撃手法に対応する脆弱性を認識することができ、これらの攻撃手法、攻撃工程及び脆弱性は、ラベリングされたテキストデータの複数のイベントサブジェクトに対応する。このように、プロセッサ１３０は、これらの攻撃手法、攻撃工程及び脆弱性に基づいて第２のイベント情報を生成することができる。従って、プロセッサ１３０は、第２のイベント情報をイベントデータベース１２０（３）に記憶することができる。

いくつかの実施例において、プロセッサ１３０は、データベース１２０（１）～１２０（Ｎ）から第１の脆弱性関連情報及び第１のイベント情報を読み取る前に、送受信機１１０によって脆弱性データを受信し、且つ、第１の脆弱性関連情報に基づいて、脆弱性データの脅威程度を計算することができる。従って、プロセッサ１３０は、脅威程度及び脆弱性データに基づいて第２の脆弱性関連情報を生成してデータベース１２０（１）～１２０（Ｎ）に記憶することができる。

更なる実施例において、脆弱性データは、攻撃手法、オペレーティングシステム及び脅威タイプ等に関連する複数のタイプの複数の脆弱性及び情報を含んでよく、攻撃手法、オペレーティングシステム及び脅威タイプ等は、複数のタイプの複数の脆弱性に対応する。また、プロセッサ１３０は、送受信機１１０によって上記した種々の外部オープンソースソフトウェア脆弱性情報データベース又は上記した種々の外部ソーシャルメディアデータベースから脆弱性に関するデータを受信することができる。

更なる実施例において、プロセッサ１３０は、データベース１２０（１）～１２０（Ｎ）のサンプルソーシャルメディアデータに基づいて第１の脆弱性関連情報に関連する複数のソーシャル人気度を計算することができ、これらのソーシャル人気度は、第１の脆弱性関連情報がサンプルソーシャルメディアデータに出現する頻度を指示する。これにより、プロセッサ１３０は、第１の脆弱性関連情報及び複数のソーシャル人気度に基づいて複数の脆弱性特徴を生成し、且つ、複数の脆弱性特徴に基づいて、脆弱性データの脅威程度を計算することができる。

更なる実施例において、工程Ｓ２０５において、プロセッサ１３０は、脆弱性データベース１２０（２）の第１の脆弱性関連情報に基づいて、受信した脆弱性データの脅威程度を計算し、且つ、脅威程度及び脆弱性データに基づいて第２の脆弱性関連情報を生成して脆弱性データベース１２０（２）に記憶することができる。

詳しくは、工程Ｓ２０５１において、プロセッサ１３０は、第１の脆弱性関連情報から複数の第１の脆弱性特徴（例えば、脆弱性の説明、共通脆弱性評価システム（ｃｏｍｍｏｎ ｖｕｌｎｅｒａｂｉｌｉｔｙ ｓｃｏｒｉｎｇ ｓｙｓｔｅｍ；ＣＶＳＳ）でのスコア、ＣＶＥ詳細（ＣＶＥ ｄｅｔａｉｌｓ）及びゼロディ・アンド・トゥデイ価格（ｚｅｒｏ－ｄａｙ ａｎｄ ｔｏｄａｙ ｐｒｉｃｅ）等）を生成し、サンプルソーシャルメディアデータから第１の脆弱性関連情報の種々の脆弱性の複数のソーシャル人気度を計算し、更にこれらのソーシャル人気度を複数の第２の脆弱性特徴とすることができ、これらのソーシャル人気度は、第１の脆弱性関連情報がサンプルソーシャルメディアデータに出現する頻度を指示する。

工程Ｓ２０５３において、プロセッサ１３０は、複数の第１の脆弱性特徴、複数の第２の脆弱性特徴及び第１の脆弱性関連情報を利用して、脆弱性攻撃予測モデルをトレーニングすることができる。例として、プロセッサ１３０は、複数の第１の脆弱性特徴、複数の第２の脆弱性特徴及び第１の脆弱性関連情報に、ランダムフォレストアルゴリズムに関連する操作を実行することができる。注意すべきなのは、上記脆弱性攻撃予測モデルの生成方法は、任意の分類アルゴリズムであってもよく、ここで脆弱性攻撃予測モデルの生成方法は、特に制限されない。

工程Ｓ２０５５において、プロセッサ１３０は、脆弱性攻撃予測モデルによって脆弱性データの脅威程度を計算し、且つ、脅威程度及び脆弱性データに基づいて第２の脆弱性関連情報を生成し、更に第２の脆弱性関連情報を脆弱性データベース１２０（２）に記憶することができ、脅威程度は、脆弱性データにおける１つの脆弱性が今後利用されて攻撃される確率を指示する。

詳しくは、プロセッサ１３０は、複数の確率閾値に基づいて、脆弱性データの複数の脅威レベルを認識することができる。これに基づいて、プロセッサ１３０は、複数の脅威レベル及び脆弱性データに基づいて第２の脆弱性関連情報を生成することができる。従って、プロセッサ１３０は、第２の脆弱性関連情報を脆弱性データベース１２０（２）に記憶することができる。

工程Ｓ３０３において、プロセッサ１３０は、第１の脆弱性関連情報及び第１のイベント情報に基づいて少なくとも１つの第１の知識グラフ（ｉｎｔｅｌｌｉｇｅｎｔ ｇｒａｐｈ）を生成し、且つ、シナリオ情報に基づいて第２の知識グラフを生成することができる。

つまり、プロセッサ１３０は、第１の脆弱性関連情報に基づいて第１の脆弱性関連情報に対応する少なくとも１つの第１の知識グラフを生成し、且つ、シナリオ情報に基づいて、シナリオ情報に対応する第２の知識グラフを生成することができる。

いくつかの実施例において、プロセッサ１３０は、それぞれイベントデータベース１２０（３）及びセキュリティ侵害インジケータデータベース１２０（５）からシナリオ情報及びＩＯＣデータを読み取り、且つ、シナリオ情報及びＩＯＣデータに基づいて、シナリオ情報に対応する第２の知識グラフを生成することができる。

いくつかの実施例において、プロセッサ１３０は、第１の脆弱性関連情報に基づいて複数の第１の知識サブグラフ（ｉｎｔｅｌｌｉｇｅｎｔ ｓｕｂｇｒａｐｈｓ）を生成し、且つ、第１のイベント情報に基づいて複数の第２の知識サブグラフを生成することができる。このように、プロセッサ１３０は、複数の第１の知識サブグラフの少なくとも１つと複数の第２の知識サブグラフの少なくとも１つとを関連付け（ｌｉｎｋ）、少なくとも１つの第１の知識グラフを生成することができ、複数の第１の知識サブグラフの少なくとも１つと複数の第２の知識サブグラフのうちの少なくとも１つとは、関連する。

更なる実施例において、プロセッサ１３０は、複数の第１の知識サブグラフの少なくとも１つにおける少なくとも１つの第１のノードを複数の第２の知識サブグラフの少なくとも１つにおける少なくとも１つの第２のノードに関連付けることができ、この少なくとも１つの第１のノードとこの少なくとも１つの第２のノードとは同じである。

いくつかの実施例において、工程Ｓ２０７の工程Ｓ２０７１において、プロセッサ１３０は、脆弱性データベース１２０（２）の第１の脆弱性関連情報に対応する複数の第１の知識サブグラフを生成し、且つ、イベントデータベース１２０（３）の第１のイベント情報に対応する複数の第２の知識サブグラフを生成し、複数の第１の知識サブグラフの少なくとも１つと複数の第２の知識サブグラフの少なくとも１つに関連する複数の第２の知識サブグラフの少なくとも１つとを関連付け、少なくとも１つの第１の知識グラフを生成することができる。

詳しくは、プロセッサ１３０は、少なくとも１つの第１のノードをサーチすることができ、この少なくとも１つの第１のノードは、複数の第１の知識サブグラフの少なくとも１つにあり、且つ、複数の第２の知識サブグラフの少なくとも１つにおける少なくとも１つの第２のノードと同じである。これにより、プロセッサ１３０は、全ての第１のノード及び全ての第２のノードを関連付けて、少なくとも１つの第１の知識グラフを生成することができる。

例として、プロセッサ１３０により既に１０個の第２の知識サブグラフから１０個の第２のノードがサーチされ、且つ、この１０個の第２のノードがそれぞれ１０個の第１の知識サブグラフにおける１０個の第１のノードと同じである場合、プロセッサ１３０は、それぞれ１０個の第１のノードと１０個の第２のノードとを関連付けて、１０個の第１の知識グラフを生成することができる。

別の例では、図４は、本発明の実施例による第１の知識サブグラフの模式図である。図４を参照すると、第１の知識サブグラフは、第１の脆弱性関連情報における１つの脆弱性に関連する。更に、第１の知識サブグラフは、１つの脆弱性に関する全ての関連情報を指示する。

別の例では、図５は、本発明の実施例による第２の知識サブグラフの模式図である。図５を参照すると、第２の知識サブグラフは、第１のイベント情報における１つの情報セキュリティイベントに関連する。更に、第２の知識サブグラフは、攻撃手法（即ち、ＤａｒｋＨｏｔｅｌ ＡＰＴ）、攻撃手法のインフラストラクチャ（ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）（４つの要素（即ち、２つの「ドメイン」要素及び２つの「ＩＰ」要素）からなる）、攻撃手法に対応する脆弱性（即ち、ＣＶＥ－２０１９－１３６７）及び脆弱性の脆弱性攻撃（即ち、野生化脆弱性攻撃におけるＣＶＥ ２０１９－１３６７（ＣＶＥ－２０１９－１３６７ ｉｎ ｔｈｅ ｗｉｌｄ ｅｘｐｌｏｉｔａｔｉｏｎ）により配信されたＣＶＥ ２０１９－１３６７にドロップされたマルウェア（ＣＶＥ－２０１９－１３６７ ｄｒｏｐｐｅｄ ｍａｌｗａｒｅ）及びＣＶＥ ２０１９－１３６７脆弱性攻撃（ＣＶＥ－２０１９－１３６７ ｅｘｐｌｏｉｔ）を含み、ＣＶＥ－２０１９－１３６７にドロップされたマルウェア及びＣＶＥ－２０１９－１３６７脆弱性攻撃は、それぞれＣＶＥ ２０１９－１３６７にドロップされたマルウェアのファイルハッシュ（Ｆｉｌｅ ｈａｓｈ ｆｏｒ ＣＶＥ－２０１９－１３６７ ｄｒｏｐｐｅｄ ｍａｌｗａｒｅ）及びＣＶＥ ２０１９－１３６７脆弱性攻撃ペイロードのファイルハッシュ（Ｆｉｌｅ ｈａｓｈ ｆｏｒ ＣＶＥ－２０１９－１３６７ ｅｘｐｌｏｉｔ ｐａｙｌｏａｄ）である。

最後に、図１、図２及び図３を同時に参照すると、工程Ｓ３０５において、プロセッサ１３０は、少なくとも１つの第１の知識グラフと第２の知識グラフとを比較することで、少なくとも１つの第１の知識グラフと第２の知識グラフとの類似度を認識し、更に会社に情報セキュリティの脅威が存在するかを判定することができる。

つまり、プロセッサ１３０は、少なくとも１つの第１の知識グラフと第２の知識グラフとを比較することで、少なくとも１つの第１の知識グラフと第２の知識グラフとの類似度を認識することができる。これにより、プロセッサ１３０は、類似度に基づいて、会社に情報セキュリティの脅威があるかを判定することができる。

いくつかの実施例において、プロセッサ１３０は、少なくとも１つの第１の知識グラフの複数のノードから複数の第１の参照ノードを認識することができる。従って、プロセッサ１３０は、第２の知識グラフに複数の第１の参照ノードの少なくとも１つとマッチングする少なくとも１つの第２の参照ノードが存在するかを判定することができる。

更なる実施例において、第２の知識グラフに複数の第１の参照ノードに対応する少なくとも１つの第２の参照ノードが存在する場合、プロセッサ１３０は、第２の知識グラフから少なくとも１つの第１の参照ノードに対応する少なくとも１つの知識サブグラフを切り取ることができる。これにより、プロセッサ１３０は、少なくとも１つの知識サブグラフと少なくとも１つの第１の知識グラフとの類似度を計算し、類似度が閾値より大きいかを判定することができる。

いくつかの実施例において、工程Ｓ２０７の工程Ｓ２０７３において、プロセッサ１３０は、イベントデータベース１２０（３）におけるシナリオ情報及びＩＯＣデータベース１２０（５）におけるＩＯＣデータに基づいて第２の知識グラフを生成し、且つ、第２の知識グラフに複数の第１の参照ノードの少なくとも１つとマッチングする少なくとも１つの第２の参照ノードが存在するかを判定することができる。注意すべきなのは、第２の知識グラフは、上記第２の知識サブグラフに類似する構造を有する。

詳しくは、プロセッサ１３０は、シナリオ情報とＩＯＣデータとの関係に基づいて、シナリオ情報に対応する複数のノードとＩＯＣデータに対応する複数のノードとを関連付け（例えば、ＩＯＣデータにおけるＩＯＣがシナリオ情報におけるＯＳバージョンに関連する場合、プロセッサ１３０は、ＩＯＣに対応するノードをＯＳバージョンに対応するノードに関連付けることができる）、第２の知識グラフを生成することができる。

なお、プロセッサ１３０は、少なくとも１つの第１の知識グラフの全てのノードの重要度値（ｉｍｐｏｒｔａｎｃｅ ｖａｌｕｅｓ）を計算し、重要度値が重要度の閾値より大きい複数の第１の参照ノードをサーチすることができる。また、プロセッサ１３０は、少なくとも１つの第１の知識グラフにグラフ経路探索（ｇｒａｐｈ ｐａｔｈ ｆｉｎｄｉｎｇ）アルゴリズムに関連する操作を実行し、複数の第１の参照ノードを認識することもできる。また、プロセッサ１３０は、複数の脆弱性に対応する少なくとも１つの第１の知識グラフにおける複数の第１の参照ノードを認識することもできる。従って、少なくとも１つの第１の知識グラフにおける複数の第１の参照ノードを認識する方法は、特に制限されない。

上記に基づいて、プロセッサ１３０は、第２の知識グラフに複数の第１の参照ノードの少なくとも１つとマッチングする第２の参照ノードが存在しないと判定した場合、会社に情報セキュリティの脅威がないと判定してよい。逆に、プロセッサ１３０は、第２の知識グラフに複数の第１の参照ノードの少なくとも１つとマッチングする少なくとも１つの第２の参照ノードが存在すると判定した場合、第２の知識グラフから少なくとも１つの第２の参照ノードに対応する少なくとも１つの知識サブグラフを切り取ってよい。

例えば、プロセッサ１３０は、少なくとも１つの第２の参照ノードにトラストランク（ｔｒｕｓｔ ｒａｎｋ）アルゴリズム、ランダムウォーク（ｒａｎｄｏｍ ｗａｌｋ）アルゴリズム又はページランク（ｐａｇｅ ｒａｎｋ）アルゴリズムを実行することで、第２の知識グラフから少なくとも１つの知識サブグラフを切り取ることができる。従って、第２の知識グラフから少なくとも１つの知識サブグラフを切り取る方法は、特に制限されない。

更に、工程Ｓ２０７５において、プロセッサ１３０は、少なくとも１つの知識サブグラフと少なくとも１つの第１の知識グラフとの類似度を計算することができる。詳しくは、プロセッサ１３０は、少なくとも１つの知識サブグラフと少なくとも１つの第１の知識グラフとの間にグラフマッチング（ｇｒａｐｈ ｍａｔｃｈｉｎｇ）アルゴリズムを実行して、類似度を計算することができる。

いくつかの実施例において、少なくとも１つの類似度の少なくとも１つが閾値より大きい場合、プロセッサ１３０は、少なくとも１つの類似度の少なくとも１つに対応する少なくとも１つの潜在的脆弱性を認識し、会社に情報セキュリティの脅威が存在するかを判定することができる。

いくつかの実施例において、工程Ｓ２０７７において、類似度が閾値より大きい場合、プロセッサ１３０は、対応する潜在的脆弱性を認識し、会社に情報セキュリティの脅威が存在するかを判定することができる。詳しくは、類似度が閾値より大きい場合、プロセッサ１３０は、閾値より大きい類似度に対応する知識サブグラフを認識し、知識サブグラフのノードに対応する脆弱性を潜在的脆弱性として認識することができる。

いくつかの実施例において、プロセッサ１３０は、少なくとも１つの潜在的脆弱性のデータを外部警報装置に伝送することができ、外部警報装置は、少なくとも１つの潜在的脆弱性のデータに基づいて、警報メッセージを生成することができる。このように、外部警報装置により、ユーザは警報メッセージに基づいて会社内のどの脆弱性が攻撃されるかを知ることができ、且つ、警報メッセージに基づいて会社に情報セキュリティの脅威が存在することを知ることができる。

いくつかの実施例において、情報セキュリティ装置１００は、ディスプレイ（図示せず）を更に備える。プロセッサ１３０は、少なくとも１つの潜在的脆弱性のデータに基づいて、警報メッセージを生成し、ディスプレイにより警報メッセージを表示することができる。このように、ディスプレイにより、ユーザは、警報メッセージに基づいて会社内のどの脆弱性が攻撃されるかを知ることができ、且つ、警報メッセージに基づいて会社に情報セキュリティの脅威が存在することを知ることができる。

以上を纏めると、本発明の情報セキュリティ装置及びその方法は、会社シナリオに対応する知識グラフ及びデータベース情報セキュリティイベントに対応する知識グラフを使用して、グラフマッチング分析を行うことで、攻撃されるシナリオの脆弱性を認識する。また、オンラインソーシャルメディア及び脆弱性に関連するデータベースから情報セキュリティに関する有用な情報を更にサーチすることもできる。これにより、本発明の情報セキュリティ装置及びその方法は、如何に情報セキュリティの脅威情報を取得するか、及び如何に脅威情報をフィルタリングして消化するかという問題を解決することができる。

本発明は、実施例により前述の通りに開示されたが、実施例が本発明を限定するものではなく、当業者であれば、本発明の精神と範囲から逸脱しない限り、多様の変更や修飾を加えることができる。従って、本発明の保護範囲は、下記特許請求の範囲で指定した内容を基準とするものである。

１００ 情報セキュリティ装置
１１０ 送受信機
１２０ メモリ
１３０ プロセッサ
１２０（１）～１２０（Ｎ） データベース
２００ ネットワーク
１２０（１） ソーシャルメディアデータベース
１２０（２） 脆弱性データベース
１２０（３） イベントデータベース
１２０（４） シナリオデータベース
１２０（５） セキュリティ侵害インジケータデータベース
Ｓ３０１～Ｓ３０５ 情報セキュリティ方法の工程

Claims (20)

1. 会社のシナリオ情報を受信するための送受信機と、
   複数のコマンド及び複数のデータベースを記憶するためのメモリと、
   前記送受信機及び前記メモリに接続されており、前記複数のデータベースから第１の脆弱性関連情報及び第１のイベント情報を読み取り、前記第１の脆弱性関連情報及び前記第１のイベント情報に基づいて少なくとも１つの第１の知識グラフを生成し、前記シナリオ情報に基づいて第２の知識グラフを生成し、且つ、前記少なくとも１つの第１の知識グラフと前記第２の知識グラフとを比較することで、前記少なくとも１つの第１の知識グラフと前記第２の知識グラフとの類似度を認識し、更に前記会社に情報セキュリティの脅威が存在するかを判定するように、複数のコマンドを実行するためのプロセッサと、
   を含む情報セキュリティ装置。
2. 前記プロセッサは、
   前記送受信機によってソーシャルメディアデータを受信し、且つ、前記複数のデータベースのサンプルソーシャルメディアデータに基づいて、前記ソーシャルメディアデータと情報セキュリティとの関連性を指示する、前記ソーシャルメディアデータの複数の関連度スコアを計算する工程と、
   前記複数の関連度スコアに基づいて前記ソーシャルメディアデータからテキストデータを認識する工程と、に更に用いられる請求項１に記載の情報セキュリティ装置。
3. 前記プロセッサは、
   前記サンプルソーシャルメディアデータに基づいて、前記テキストデータの複数のサブジェクトに関連する複数のキーワードを指示する、前記テキストデータの複数のイベントサブジェクトを認識する工程と、
   前記複数のイベントサブジェクトによって前記テキストデータをラベリングし、且つ、ラベリングされたテキストデータ及び前記第１のイベント情報に基づいて第２のイベント情報を生成して前記複数のデータベースに記憶する工程と、に更に用いられる請求項２に記載の情報セキュリティ装置。
4. 前記プロセッサは、
   前記送受信機によって脆弱性データを受信し、前記第１の脆弱性関連情報に基づいて前記脆弱性データの脅威程度を計算する工程と、
   前記脅威程度及び前記脆弱性データに基づいて第２の脆弱性関連情報を生成して前記複数のデータベースに記憶する工程と、に更に用いられる請求項１に記載の情報セキュリティ装置。
5. 前記プロセッサは、
   前記複数のデータベースのサンプルソーシャルメディアデータに基づいて、前記第１の脆弱性関連情報が前記サンプルソーシャルメディアデータに出現する頻度を指示する、前記第１の脆弱性関連情報に関連する複数のソーシャル人気度を計算する工程と、
   前記第１の脆弱性関連情報及び前記複数のソーシャル人気度に基づいて複数の脆弱性特徴を生成する工程と、
   前記複数の脆弱性特徴に基づいて前記脆弱性データの脅威程度を計算する工程と、に更に用いられる請求項４に記載の情報セキュリティ装置。
6. 前記プロセッサは、
   前記第１の脆弱性関連情報に基づいて複数の第１の知識サブグラフを生成し、且つ、前記第１のイベント情報に基づいて複数の第２の知識サブグラフを生成する工程と、
   前記複数の第１の知識サブグラフの少なくとも１つと前記複数の第２の知識サブグラフの少なくとも１つとを関連付け、前記少なくとも１つの第１の知識グラフを生成する工程と、に更に用いられ、
   前記複数の第１の知識サブグラフの少なくとも１つと前記複数の第２の知識サブグラフの前記少なくとも１つとは関連する請求項１に記載の情報セキュリティ装置。
7. 前記プロセッサは、
   前記複数の第１の知識サブグラフの前記少なくとも１つにおける少なくとも１つの第１のノードを前記複数の第２の知識サブグラフの前記少なくとも１つにおける少なくとも１つの第２のノードに関連付けることに更に用いられ、前記少なくとも１つの第１のノードと前記少なくとも１つの第２のノードとは同じである請求項６に記載の情報セキュリティ装置。
8. 前記プロセッサは、
   前記少なくとも１つの第１の知識グラフの複数の第１のノードから複数の第１の参照ノードを識別する工程と、
   前記第２の知識グラフに前記複数の第１の参照ノードの少なくとも１つとマッチングする少なくとも１つの第２の参照ノードが存在するかを判定する工程と、に更に用いられる請求項１に記載の情報セキュリティ装置。
9. 前記プロセッサは、
   前記第２の知識グラフに、前記複数の第１の参照ノードに対応する前記少なくとも１つの第２の参照ノードが存在する場合、前記第２の知識グラフから前記少なくとも１つの第１の参照ノードに対応する少なくとも１つの知識サブグラフを切り取る工程と、
   前記少なくとも１つの知識サブグラフと前記少なくとも１つの第１の知識グラフとの前記類似度を計算し、閾値より大きいかを判定する工程と、に更に用いられる請求項８に記載の情報セキュリティ装置。
10. 前記プロセッサは、
    前記類似度に対応する少なくとも１つの潜在的脆弱性を認識し、更に、前記類似度が前記閾値より大きい場合、前記会社に前記情報セキュリティの脅威が存在するかを判定することに更に用いられる請求項９に記載の情報セキュリティ装置。
11. 複数のデータベースから第１の脆弱性関連情報及び第１のイベント情報を読み取る工程と、
    前記第１の脆弱性関連情報及び前記第１のイベント情報に基づいて少なくとも１つの第１の知識グラフを生成し、シナリオ情報に基づいて第２の知識グラフを生成する工程と、
    前記少なくとも１つの第１の知識グラフと前記第２の知識グラフとの類似度を計算し、更に会社に情報セキュリティの脅威が存在するかを判定する工程と、
    を含む情報セキュリティ方法。
12. ソーシャルメディアデータを受信し、且つ、前記複数のデータベースのサンプルソーシャルメディアデータに基づいて、前記ソーシャルメディアデータと情報セキュリティとの関連性を指示する、前記ソーシャルメディアデータの複数の関連度スコアを計算する工程と、
    前記複数の関連度スコアに基づいて前記ソーシャルメディアデータからテキストデータを認識する工程と、
    を更に含む請求項１１に記載の情報セキュリティ方法。
13. 前記サンプルソーシャルメディアデータに基づいて、前記テキストデータの複数のサブジェクトに関連する複数のキーワードを指示する、前記テキストデータの複数のイベントサブジェクトを認識する工程と、
    前記複数のイベントサブジェクトによって前記テキストデータをラベリングし、且つ、ラベリングされたテキストデータ及び前記第１のイベント情報に基づいて第２のイベント情報を生成して前記複数のデータベースに記憶する工程と、
    を更に含む請求項１２に記載の情報セキュリティ方法。
14. 脆弱性データを受信し、前記第１の脆弱性関連情報に基づいて前記脆弱性データの脅威程度を計算する工程と、
    前記脅威程度及び前記脆弱性データに基づいて第２の脆弱性関連情報を生成して前記複数のデータベースに記憶する工程と、
    を更に含む請求項１１に記載の情報セキュリティ方法。
15. 前記第１の脆弱性関連情報に基づいて前記脆弱性データの前記脅威程度を計算する工程は、
    前記複数のデータベースのサンプルソーシャルメディアデータに基づいて、前記第１の脆弱性関連情報が前記サンプルソーシャルメディアデータに出現する頻度を指示する、前記第１の脆弱性関連情報に関連する複数のソーシャル人気度を計算する工程と、
    前記第１の脆弱性関連情報及びソーシャル人気度に基づいて複数の脆弱性特徴を生成する工程と、
    前記複数の脆弱性特徴に基づいて前記脆弱性データの前記脅威程度を計算する工程と、
    を含む請求項１４に記載の情報セキュリティ方法。
16. 前記第１の脆弱性関連情報及び前記第１のイベント情報に基づいて前記少なくとも１つの第１の知識グラフを生成する工程は、
    前記第１の脆弱性関連情報に基づいて複数の第１の知識サブグラフを生成し、且つ、前記第１のイベント情報に基づいて複数の第２の知識サブグラフを生成する工程と、
    前記複数の第１の知識サブグラフの少なくとも１つと前記複数の第２の知識サブグラフの少なくとも１つとを関連付け、前記少なくとも１つの第１の知識グラフを生成する工程と、
    を含み、
    前記複数の第１の知識サブグラフの前記少なくとも１つと前記複数の第２の知識サブグラフの前記少なくとも１つとは関連する請求項１１に記載の情報セキュリティ方法。
17. 前記複数の第１の知識サブグラフの前記少なくとも１つと前記複数の第２の知識サブグラフの前記少なくとも１つとを関連付ける工程は、
    前記複数の第１の知識サブグラフの前記少なくとも１つにおける少なくとも１つの第１のノードを前記複数の第２の知識サブグラフの前記少なくとも１つにおける少なくとも１つの第２のノードに関連付けることを含み、前記少なくとも１つの第１のノードと前記少なくとも１つの第２のノードとは同じである請求項１６に記載の情報セキュリティ方法。
18. 前記少なくとも１つの第１の知識グラフと前記第２の知識グラフとの前記類似度を計算する工程は、
    前記少なくとも１つの第１の知識グラフの複数の第１のノードから複数の第１の参照ノードを識別する工程と、
    前記第２の知識グラフに前記複数の第１の参照ノードの少なくとも１つとマッチングする少なくとも１つの第２の参照ノードが存在するかを判定する工程と、
    を含む請求項１１に記載の情報セキュリティ方法。
19. 前記第２の知識グラフに、前記複数の第１の参照ノードに対応する前記少なくとも１つの第２の参照ノードが存在する場合、前記第２の知識グラフから前記少なくとも１つの第１の参照ノードに対応する少なくとも１つの知識サブグラフを切り取る工程と、
    前記少なくとも１つの知識サブグラフと前記少なくとも１つの第１の知識グラフとの前記類似度を計算し、前記類似度が閾値より大きいかを判定する工程と、
    を含む請求項１８に記載の情報セキュリティ方法。
20. 前記類似度に対応する少なくとも１つの潜在的脆弱性を認識し、更に、前記類似度が前記閾値より大きい場合、前記会社に前記情報セキュリティの脅威が存在するかを判定することを含む請求項１９に記載の情報セキュリティ方法。

Images