JP2023100542A - シナリオ構築システム、シナリオ構築装置、および、シナリオ構築方法 - Google Patents

Abstract

【課題】実施コストや属人性をより適切に低減して攻撃シナリオを構築することができるシナリオ構築システム、シナリオ構築装置、および、シナリオ構築方法を提供する。【解決手段】シナリオ構築システムは、プロセッサを備えている。そして、プロセッサは、サイバー攻撃における攻撃の手口を定める攻撃技術を含む脅威情報を取得する。プロセッサは、前記脅威情報から前記攻撃技術を抽出する。プロセッサは、抽出した前記攻撃技術に基づいて、前記攻撃技術を実行する手順を定めた攻撃フローを生成する。プロセッサは、攻撃に用いる攻撃コードを前記攻撃フローに紐づけることにより、サイバー攻撃におけるシナリオに関する情報である攻撃シナリオを構築する。【選択図】 図１

Description

本発明は、シナリオ構築システム、シナリオ構築装置、およびシナリオ構築方法に関する。

年々サイバー攻撃が増加、高度化しており、対策の必要性が増加している。この対策の一つの例として、新たな脆弱性や攻撃が報告された際、自組織の環境では、攻撃の被害を受けうるか、また被害を受ける場合はどの程度のものが想定されて対策が必要か否か検討するといった業務が存在する。ここで、計算機環境やネットワーク環境のセキュリティ耐性を評価する手法として、ペネトレーションテストがある。これは、同環境に起こり得る攻撃を策定し、机上あるいは場合によっては仮想的に攻撃を実施し、同攻撃への耐性を有しているか評価するものである。

特開２０２１－５１６５号公報 特表２０２１－５１５９４３号公報

Valentine Legoy, Marco Caselli, Christin Seifert, Andreas Peter: Automated Retrieval of ATT&CK Tactics and Techniques for Cyber Threat Reports, https://arxiv.org/abs/2004.14322 Seungoh Choi, Jeong-Han Yun, and Byung-Gil Min: Probabilistic Attack Sequence Generation and Execution Based on MITRE ATT&CK for ICS Datasets, Cyber Security Experimentation and Test Workshop, https://dl.acm.org/doi/abs/10.1145/3474718.3474722

ペネトレーションテスト等によって計算機環境やネットワーク環境の攻撃耐性を評価することは、セキュリティを保つうえで重要である一方で、その多く（攻撃シナリオ構築、耐性評価、等）が現状は人手かつ高度なスキルが必要なものである。このため、年々攻撃が増加している現状からは、全ての攻撃に対して手動で上記のオペレーションを実施するのは容易ではないと考えられる。

ここで、ペネトレーションテストを実施するに際して、まず攻撃シナリオを構築する必要があり、どのようなテストを行うかはこの攻撃シナリオに依存することから、最も重要な手順であると言える。この攻撃シナリオの構築に際しては、まず脅威情報からの攻撃シナリオの抽出が担当者の知見に依存する部分が大きく、実施コストの大きさや属人性の高さが課題として挙げられる。

特許文献１の技術は発生しうるインシデントのシナリオを生成することに焦点を当てており、実際に発生した攻撃のシナリオの生成や同攻撃の影響有無の評価を目的とした技術とはスコープが別である。特許文献２の技術は、テスト用の環境作成に焦点を当てており、その環境で実施するスキャンやテストについては別途作成する必要がある。非特許文献１の技術は、攻撃技術の抽出に留まっており、攻撃技術を組み合わせての攻撃シナリオの構築までは実施しておらず、別途手動で実施する必要がある。非特許文献２の技術は、攻撃技術の入力が手動である点、人手で攻撃シーケンス生成の条件をチューニングする必要がある点等の制約が存在する。

攻撃シナリオの構築を支援あるいは自動化することで、ペネトレーションテストの実施に係る課題を緩和することが期待できる。そして、それを部分的に達成する既存技術は存在するものの、課題は残存しているという現状にある。

そこで、本発明は、実施コストや属人性をより適切に低減して攻撃シナリオを構築することができるシナリオ構築システム、シナリオ構築装置、および、シナリオ構築方法を提供することを目的とする。

本発明の第１の態様によれば、下記のシナリオ構築システムが提供される。シナリオ構築システムは、プロセッサを備える。プロセッサは、サイバー攻撃における攻撃の手口を定める攻撃技術を含む脅威情報を取得し、脅威情報から攻撃技術を抽出し、抽出した前記攻撃技術に基づいて、攻撃技術を実行する手順を定めた攻撃フローを生成し、攻撃に用いる攻撃コードを攻撃フローに紐づけることにより、サイバー攻撃におけるシナリオに関する情報である攻撃シナリオを構築する。

本発明の第２の態様によれば、下記のシナリオ構築装置が提供される。シナリオ構築装置は、プロセッサを備える。プロセッサは、サイバー攻撃における攻撃の手口を定める攻撃技術を含む脅威情報を取得し、脅威情報から攻撃技術を抽出し、抽出した攻撃技術に基づいて、攻撃技術を実行する手順を定めた攻撃フローを生成し、攻撃に用いる攻撃コードを攻撃フローに紐づけることにより、サイバー攻撃におけるシナリオに関する情報である攻撃シナリオを構築する。

本発明の第３の態様によれば、下記のシナリオ構築方法が提供される。シナリオ構築方法は、プロセッサを用いて行う方法である。この方法は、サイバー攻撃における攻撃の手口を定める攻撃技術を含む脅威情報を取得し、脅威情報から前記攻撃技術を抽出し、抽出した前記攻撃技術に基づいて、攻撃技術を実行する手順を定めた攻撃フローを生成し、攻撃に用いる攻撃コードを攻撃フローに紐づけることにより、サイバー攻撃におけるシナリオに関する情報である攻撃シナリオを構築する。

本発明によれば、実施コストや属人性をより適切に低減して攻撃シナリオを構築することができるシナリオ構築システム、シナリオ構築装置、および、シナリオ構築方法が提供される。なお、上記以外の課題、構成、及び効果は、以下の発明を実施するための形態の説明により明らかにされる。

第１実施形態に係り、システム全体の構成例を示した図である。 情報収集先管理表の一例を示す図である。 脅威情報一覧の一例を示す図である。 攻撃コードデータベースの一例を示す図である。 攻撃シナリオ一覧の一例を示す図である。 攻撃シナリオベースペネトレーションシステムが実行する処理の一例の概要を説明するフローチャートである。 脅威情報収集処理の一例を説明するフローチャートである。 攻撃技術抽出処理の一例を説明するフローチャートである。 欠損項目推定および攻撃フロー生成処理の一例を説明するフローチャートである。 共起性モデルと遷移モデルを用いた処理の一例を説明する図である。 攻撃シーケンス生成処理の一例を説明するフローチャートである。 画面描写処理の一例を説明するフローチャートである。 攻撃シナリオに関する情報の表示の一例である。 第２実施形態に係り、システム全体の構成例を示した図である。 環境一覧の一例を示す図である。 影響一覧の一例を示す図である。 環境情報取得処理の一例を説明するフローチャートである。 模擬環境構築処理の一例を説明するフローチャートである。 攻撃実行、影響評価処理の一例を説明するフローチャートである。 評価結果通知処理の一例を説明するフローチャートである 評価結果描写画面の一例を示す図である。

以下、本発明の実施形態を、図面を用いて説明する。ただし、本発明は以下に示す実施形態の記載内容に限定して解釈されるものではない。本発明の思想ないし趣旨から逸脱しない範囲で、その具体的構成を変更し得ることは当業者であれば容易に理解される。

以下に説明する発明の構成において、同一又は類似する構成又は機能には同一の符号を付し、重複する説明は省略することがある。

本明細書等における「第１」、「第２」、「第３」等の表記は、構成要素を識別するために付するものであり、必ずしも、数又は順序を限定するものではない。

図面等において示す各構成の位置、大きさ、形状、及び範囲等は、発明の理解を容易にするため、実際の位置、大きさ、形状、及び範囲等を表していない場合がある。したがって、本発明では、図面等に開示された位置、大きさ、形状、及び範囲等に限定されない。

＜第１実施形態＞
図１から図１３を参照しながら、第１実施形態について説明する。第１実施形態では、攻撃シナリオを自動生成する場合における攻撃シナリオベースペネトレーションシステム（シナリオ構築装置）の処理について示す。以降の説明において、「攻撃技術」は、例えば、潜伏、情報窃取や横展開等のサイバー攻撃における攻撃の手口を定義する。「攻撃コード」は、各攻撃技術を実行するための具体的なコードやプログラム等を示す。「攻撃シーケンス」は、各攻撃技術や攻撃コードがどのような順番で実行されるかの情報を含むシーケンスを意味する。また、これらをすべて含むものを「攻撃シナリオ」と呼称する。

先ず、図１を参照しながら、攻撃シナリオベースペネトレーションシステムの構成の一例について説明する。図１は、本発明の実施形態に係る攻撃シナリオベースペネトレーションシステムの構成例を示している。攻撃シナリオベースペネトレーションシステム１０１は、ネットワーク１１８ａを介してユーザが操作するユーザ端末（１１７ａ、１１７ｂ、１１７ｃ）に接続される。また、攻撃シナリオベースペネトレーションシステム１０１は、ネットワーク１１８ｂを介してインターネット１１９に接続される。

攻撃シナリオベースペネトレーションシステム１０１は、一例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０３と、ＣＰＵ１０３が処理を実行するデータを一時的に記憶するためのメインメモリ１０４と、プログラムや大量のデータを記憶する容量を持つハードディスクやフラッシュメモリなどの非一時的な記憶装置１０５と、通信を行なうためのインタフェースであるＩＦ（１０２ａ、１０２ｂ）と、ＵＳＢメモリ（ＵＳＢフラッシュドライブ）や外付けのハードディスクなどの入出力インタフェースを構成する入出力装置１０６と、これらの各装置を接続する通信路１０７と、を備えるコンピュータである。なお、通信路１０７は、例えば、バスやケーブルなどの情報伝達媒体である。プログラムやデータは予め記憶装置１０５に格納されていてもよいし、外部の非一時的な記憶媒体を備えた装置からネットワーク経由で、または可搬型の非一時的記憶媒体経由で記憶装置１０５に導入されてもよい。

ＣＰＵ１０３（プロセッサ）は、記憶装置１０５に格納されメインメモリ１０４に読み出された各種のプログラムを実行する。ＣＰＵ１０３は、脅威情報収集プログラム１０８を実行することにより、脅威情報を収集する。ＣＰＵ１０３は、攻撃技術抽出プログラム１０９を実行することにより、脅威情報からの攻撃技術の抽出を行う。ＣＰＵ１０３は、欠損項目推定および攻撃フロー生成プログラム１１０を実行することにより、抽出した攻撃技術の欠損項目の推定と攻撃フロー化を行う。ＣＰＵ１０３は、攻撃シーケンス生成プログラム１１１を実行することにより、攻撃フローと攻撃コードを紐づけ、攻撃シーケンスの生成を行う。ＣＰＵ１０３は、画面描写プログラム１１２を実行することにより、前記プログラム群により構築した攻撃シナリオに関する情報の利用者などへの提示を行う。

記憶装置１０５には、脅威情報収集プログラム１０８による情報収集先を管理する情報収集先管理表１１３、収集した脅威情報を保管する脅威情報一覧１１４、攻撃技術と攻撃コードを紐づけるための知識ベースである攻撃コードデータベース１１５、構築した攻撃シナリオを保管する攻撃シナリオ一覧１１６が格納されている。

なお、上記の各プログラムやデータは、一例として、予めメインメモリ１０４または記憶装置１０５に格納されていてもよいし、必要な時に、入出力装置１０６、または、ＩＦ（１０２ａ、１０２ｂ）を介して、他の装置からインストール（ロード）されても良い。

また、図１を用いて説明した攻撃シナリオベースペネトレーションシステム１０１の構成は、一例であって、これに限定されない。例えば、所定の処理を実行するプロセッサであればよく、ＣＰＵ１０３は、他の半導体デバイスであってもよい。また、入出力装置１０６を介したデータの入出力を行わない場合には、入出力装置１０６が省略されてもよい。また、メインメモリ１０４は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を用いて構成することができる。ユーザ端末（１１７ａ、１１７ｂ、１１７ｃ）は、一例として、適宜の入力装置や出力装置を用いて構成することができ、ユーザ端末（１１７ａ、１１７ｂ、１１７ｃ）は、攻撃シナリオベースペネトレーションシステム１０１（シナリオ構築装置）を備えるシナリオ構築システムにおいて、複数台設けられてもよいし、１台設けられてもよい。

次に、図２から図５を参照しながら、上記した各種のデータ（１１３～１１６）について説明する。先ず、図２を参照しながら、情報収集先管理表１１３の一例について説明する。情報収集先管理表１１３は、上記したように、脅威情報の収集先を適宜にまとめたデータとされる。図２は、情報収集先管理表の一例を示す図である。

図２に示すように、情報収集先管理表１１３は、例えば、ＩＤ２０１と、名称２０２と、ＵＲＬ２０３と、最終収集日時２０４と、収集頻度２０５と、を含んで構成される。

ＩＤ２０１は、脅威情報収集先を一意に識別するための識別情報を格納するフィールドである。情報収集先を示すＩＤ２０１（脅威情報収集先ＩＤと呼ぶことがある）には、一例として、数字が識別情報として格納される。

名称２０２は、脅威情報収集先の名称を格納するフィールドである。例えば、脅威情報収集先ＩＤ２０１が「０」のエントリに対応する収集先の名称は、「セキュリティブログ１」であることを表す。

ＵＲＬ２０３は、脅威情報収集先のＵＲＬを格納するフィールドである。例えば、脅威情報収集先ＩＤ２０１が「０」のエントリに対応する収集先は、「ｂｌｏｇ.ｅｘａｍｐｌｅ.ｃｏｍ」であることを表す。

最終収集日時２０４は、脅威情報収集先から脅威情報を取得した日時を表す。例えば、脅威情報収集先ＩＤ２０１が「０」のエントリは、１９７０年１月１日の００時００分００秒に、該集先から情報収集を行ったことを表す。なお、最終収集日時２０４に格納される時刻のデータ形式は、限定されず、Ｕｎｉｘｔｉｍｅ等、時刻が判別できるデータ形式であれば、どのようなデータ形式であってもよい。

収集頻度２０５は、脅威情報収集先から脅威情報を収集する頻度を表す。例えば、脅威情報収集先ＩＤ２０１が「０」のエントリについては、２４時間ごとに情報収集を試みることを表す。

また、図２で説明した情報収集先管理表１１３は、一例であって、これに限定されない。

次に、図３を参照しながら、脅威情報一覧１１４の一例について説明する。脅威情報一覧１１４は、上記したように、収集した脅威情報に関する情報をまとめたデータである。図３は、脅威情報一覧の一例を示す図である。

図３に示すように、脅威情報一覧１１４は、例えば、ＩＤ３０１と、収集日３０２と、ＵＲＬ３０３と、攻撃シナリオ３０４と、を含んで構成される。

ＩＤ３０１は、脅威情報を一意に識別するための識別情報を格納するフィールドである。脅威情報を示すＩＤ３０１（脅威情報ＩＤと呼ぶことがある）には、一例として、数字が識別情報として格納される。

収集日３０２は、脅威情報を取得した日時を格納するフィールドである。例えば、脅威情報ＩＤ３０１が「０」のエントリの脅威情報は、１９７０年１月１日の００時００分００秒に収集したことを表す。なお、収集日３０２に格納される時刻のデータ形式は、限定されず、Ｕｎｉｘｔｉｍｅ等、時刻が判別できるデータ形式であれば、どのようなデータ形式であってもよい。

ＵＲＬ３０３は、脅威情報のＵＲＬを格納するフィールドである。例えば、脅威情報ＩＤ３０１が「０」のエントリに対応する収集先は、「ｂｌｏｇ.ｅｘａｍｐｌｅ.ｃｏｍ／ａｒｔｉｃｌｅ／１.ｈｔｍｌ」であることを表す。

攻撃シナリオ３０４は、脅威情報に関して、攻撃シナリオが生成済みか否かを表す値を格納するフィールドである。例えば、脅威情報ＩＤ３０１が「０」のエントリの脅威情報は、攻撃シナリオを生成済みであることを表す。攻撃シナリオ３０４に格納されるデータ形式は、限定されず、攻撃シナリオの生成有無が判別できるデータ形式であれば、どのようなデータ形式であってもよい。

また、図３で説明した脅威情報一覧１１４は、一例であって、これに限定されない。

次に、図４を参照しながら、攻撃コードデータベース１１５の一例について説明する。攻撃コードデータベース１１５は、一例として、攻撃技術と攻撃コードの対応に関する情報をまとめたデータベースとされる。図４は、攻撃コードデータベースの一例を示す図である。

図４に示すように、攻撃コードデータベース１１５は、例えば、攻撃技術４０１と、攻撃コード４０２と、を含んで構成される。

攻撃技術４０１は、攻撃技術を一意に識別するための識別情報を格納するフィールドである。例えば、攻撃技術４０１の最上段のエントリの攻撃技術は、「攻撃技術Ａ」であることを表す。なお、攻撃技術４０１に格納されるデータ形式は、限定されず、攻撃技術が判別できるデータ形式であれば、どのようなデータ形式であってもよい。

攻撃コード４０２は、攻撃技術に対応する具体的な攻撃コードを格納するフィールドである。例えば、攻撃コード４０２の最上段のエントリの攻撃コードは、「ｃｄ ＄ＨＯＭＥ ＆＆ ｆｉｎｄ . -ｐｒｉｎｔ ｜ ｓｅｄ …」であることを表す。なお、攻撃コード４０２に格納されるデータ形式は、限定されず、攻撃コードが判別できるデータ形式であれば、どのようなデータ形式であってもよい。

また、図４で説明した攻撃コードデータベース１１５は、一例であって、これに限定されない。

次に、図５を参照しながら、攻撃シナリオ一覧１１６の一例について説明する。攻撃シナリオ一覧１１６は、上記したように、構築した攻撃シナリオの内容に関する情報である。図５は、攻撃シナリオ一覧の一例を示す図である。

図５に示すように、攻撃シナリオ一覧１１６は、例えば、ステップ５０１と、攻撃技術５０２と、攻撃コード５０３と、を含んで構成される。

ステップ５０１は、攻撃技術の実施順（手順）を一意に識別するための識別情報を格納するフィールドである。ステップ５０１には、一例として、数字が識別情報として昇順に格納される。

攻撃技術５０２は、各ステップで実行される攻撃技術を一意に識別するための識別情報を格納するフィールドである。例えば、ステップ５０１が「０」の攻撃技術は、「攻撃技術Ａ」であることを表す。なお、攻撃技術５０２に格納されるデータ形式は、限定されず、攻撃技術が判別できるデータ形式であれば、どのようなデータ形式であってもよい。

攻撃コード５０３は、各ステップで実行される攻撃技術に対応する具体的な攻撃コードを格納するフィールドである。例えば、ステップ５０１が「０」の攻撃コードは、「ｌｓ-ｒｅｃｕｒｓｅ」であることを表す。なお、攻撃コード５０３に格納されるデータ形式は、限定されず、攻撃コードが判別できるデータ形式であれば、どのようなデータ形式であってもよい。

また、図５で説明した攻撃シナリオ一覧１１６は、一例であって、これに限定されない。

次に、攻撃シナリオベースペネトレーションシステム１０１が実行する処理の一例について説明する。図６は、攻撃シナリオベースペネトレーションシステムが実行する処理の一例の概要を説明するフローチャートである。

攻撃シナリオベースペネトレーションシステム１０１のＣＰＵ１０３は、プログラムを適宜に実行することにより、以下で説明する処理を周期的に実行する。

ＣＰＵ１０３は、脅威情報収集プログラム１０８を実行して、外部から脅威情報の収集を行う（ステップ６０１）。なお、脅威情報収集の処理は、後で詳しく説明する。

次に、ＣＰＵ１０３は、収集した情報に新規情報が含まれるか判定する（ステップ６０２）。ＣＰＵ１０３が新規情報を含まないと判定した場合、攻撃シナリオベースペネトレーションシステム１０１は、処理を終了する。その一方で、ＣＰＵ１０３が新規情報を含むと判定した場合、ステップ６０３に処理が進む。

次に、攻撃シナリオベースペネトレーションシステム１０１のＣＰＵ１０３は、脅威情報として取得した全新規情報に対して攻撃シナリオ生成処理を実行する（ステップ６０３）。具体的には、ＣＰＵ１０３は、攻撃技術抽出プログラム１０９を実行して、脅威情報から攻撃技術を抽出する（ステップ６０４）。そして、ステップ６０５に処理が進む。なお、脅威技術抽出の処理は、後で詳しく説明する。

次に、ＣＰＵ１０３は、欠損項目推定および攻撃フロー生成プログラム１１０を実行して、抽出した攻撃技術の欠損項目の推定と攻撃フローの生成を行う（ステップ６０５）。なお、欠損項目の推定と攻撃フローの生成は、後で詳しく説明する。

次に、ＣＰＵ１０３は、攻撃シーケンス生成プログラム１１１を実行して、攻撃フローを基に攻撃シーケンスを生成する（ステップ６０６）。攻撃シーケンスの生成は、後で詳しく説明する。

ＣＰＵ１０３は、全新規情報に対して上記処理（ステップ６０３～ステップ６０６）を実施し、完了後に攻撃シナリオ生成処理を終了する。

なお、図６で説明した攻撃シナリオベースペネトレーションシステムの処理フローは、一例であって、これに限定されない。

次に、図７を参照しながら、攻撃シナリオベースペネトレーションシステム１０１が実行する脅威情報収集の処理の一例について詳しく説明する。図７は、脅威情報収集処理の一例を説明するフローチャートである。

ＣＰＵ１０３によって実行される脅威情報収集プログラム１０８は、実行指示を受け付けた場合、以下で説明する処理を開始する。

脅威情報収集プログラム１０８は、情報収集先管理表１１３から情報収集先の一覧を取得し、一覧に基づいて脅威情報を収集する（ステップ７０１）。ここでは、脅威情報収集先ＩＤ２０１から構成されるエントリを含む一覧が取得されるとする。なお、脅威情報収集プログラム１０８の処理において、ＣＰＵ１０３は、情報収集先管理表１１３の最終収集日時２０４と収集頻度２０５を参照し、脅威情報収集先の最終収集日時２０４からプログラム実行までの経過時間を算出する。そして、ＣＰＵ１０３は、該経過時間が収集頻度２０５を超過していた場合に脅威情報収集処理を実施する。

次に、脅威情報収集プログラム１０８は、収集した脅威情報に新規情報が含まれるか判定する（ステップ７０２）。新規情報が含まれない場合、処理が終了する。新規情報が含まれる場合、ステップ７０３へ処理が進む。

次に、脅威情報収集プログラム１０８は、取得した脅威情報を脅威情報一覧１１４へ保存し（ステップ７０３）、その後、処理を終了する。具体的には、脅威情報収集プログラム１０８は、脅威情報一覧１１４にエントリを追加し、追加されたエントリにＩＤ３０１を付与し、脅威情報の収集日を収集日３０２に、脅威情報のＵＲＬをＵＲＬ３０３に格納する。また、脅威情報収集プログラム１０８は、攻撃シナリオ３０４を「未生成」として作成する。

なお、図７で説明した脅威情報収集の方法は、一例であって、これに限定されない。攻撃シナリオベースペネトレーションシステム１０１は、一例として、インターネット１１９を介して、外部から脅威情報を適宜に収集することができる。この場合、例えば、攻撃シナリオベースペネトレーションシステム１０１は、情報収集先管理表１１３のＵＲＬ２０３などを参照して、所定の収集頻度で脅威情報を自動的に取得してもよい。

その一方で、攻撃シナリオベースペネトレーションシステム１０１には、入出力装置１０６を介して脅威情報が入力されてもよい。この場合、一例として、所定の脅威情報（例えば、ＵＲＬ２０３先の脅威情報）を格納するＵＳＢメモリ等を用いて、脅威情報が入力されてもよい。そして、その脅威情報の入力に応じて、脅威情報一覧１１４等のデータの更新が適宜に行われてもよい。

次に、図８を参照しながら、攻撃シナリオベースペネトレーションシステム１０１が実行する攻撃技術抽出の処理の一例について詳しく説明する。図８は、攻撃技術抽出処理の一例を説明するフローチャートである。

ＣＰＵ１０３によって実行される攻撃技術抽出プログラム１０９は、実行指示を受け付けた場合、以下で説明する処理を開始する。

攻撃技術抽出プログラム１０９は、脅威情報一覧１１４から脅威情報の一覧を取得する（ステップ８０１）。ここでは、ＩＤ３０１から構成されるエントリを含む一覧が取得されるとする。

次に、攻撃技術抽出プログラム１０９は、攻撃シナリオが未生成である脅威情報に対して、ステップ８０３以降の攻撃技術抽出処理を実行する（ステップ８０２）。この際、攻撃シナリオが未生成である脅威情報が存在しない場合、処理が終了する。

攻撃技術抽出プログラム１０９は、文字列を有する脅威情報に対して、適宜の文字列マッチングを行うことにより、脅威情報から攻撃技術を抽出し（ステップ８０３）、ステップ８０４に進む。ここで、ステップ８０３は、例えば、攻撃技術の定型表現を利用し、該表現と一致したものを攻撃技術として抽出する。また、種々のフレームワーク等によって攻撃技術に識別子が付与されている脅威情報もあることが考えられる。そこで、該識別子を利用して攻撃技術が記載されている場合、該識別子と一致した表現が攻撃技術として抽出されてもよい。

次に、攻撃技術抽出プログラム１０９は、機械学習モデルを用いて脅威情報から攻撃技術を抽出し（ステップ８０４）、ステップ８０５に進む。例えば、攻撃技術の記述に利用される表現を機械学習で事前にモデリングしておく。そして、脅威情報中の表現との類似性を取り、類似性の高い表現が見られた場合は、モデリングした攻撃表現が脅威情報に含まれるとして抽出する。これにより、ステップ８０３で行うような処理で漏らしてしまった攻撃技術についても抽出を図る。

次に、攻撃技術抽出プログラム１０９は、ステップ８０４までに抽出した攻撃技術を攻撃シナリオ一覧１１６に反映する（ステップ８０５）。具体的には、脅威情報毎に攻撃シナリオ一覧を用意し、攻撃技術５０２へ攻撃技術を格納する。全ての脅威情報について攻撃技術を抽出した後、処理を終了する。

なお、図８で説明した攻撃技術抽出処理は、一例であって、これに限定されない。例えば、この例では攻撃技術の抽出に焦点を当てた処理を述べたが、脅威情報から攻撃グループ名やマルウェア名を抽出し、攻撃シナリオの補完情報として保持しても良い。また、攻撃技術抽出処理においては、脅威情報から攻撃技術が適切に抽出されればよく、例えば、脅威情報のボリュームなどを考慮して、ステップ８０３およびステップ８０４の一方だけを実行するなどの変更が行われてもよい。

このようにして、攻撃技術抽出処理に基づいて、脅威情報から攻撃技術が抽出されるが、脅威情報に記載されている攻撃技術は必ずしも網羅されているとは限らず、攻撃技術の抜けがある場合があり得る。すなわち、脅威情報において攻撃技術が欠損している場合がある。そこで、実施形態に係る攻撃シナリオベースペネトレーションシステム１０１は、攻撃技術の抜けを推定して攻撃技術を適宜に補完する。次に、図９を参照しながら、攻撃シナリオベースペネトレーションシステム１０１が実行する欠損項目推定および攻撃フロー生成処理の一例について詳しく説明する。図９は、欠損項目推定および攻撃フロー生成処理の一例を説明するフローチャートである。

ＣＰＵ１０３によって実行される欠損項目推定および攻撃フロー生成プログラム１１０は、実行指示を受け付けた場合、以下で説明する処理を開始する。

欠損項目推定および攻撃フロー生成プログラム１１０は、脅威情報一覧１１４から脅威情報の一覧を取得する（ステップ９０１）。ここでは、ＩＤ３０１から構成されるエントリを含む一覧が取得されるとする。

次に、欠損項目推定および攻撃フロー生成プログラム１１０は、該プログラム１１０による処理が未完了な攻撃シナリオに対してステップ９０３以降の処理を行い、その結果を攻撃シナリオに反映させる（ステップ９０２）。この際、処理が未完了な攻撃シナリオが存在しない場合、処理が終了する。

欠損項目推定および攻撃フロー生成プログラム１１０は、攻撃技術同士の共起性を基に欠損項目を抽出し（ステップ９０３）、ステップ９０４に進む。欠損項目推定および攻撃フロー生成１１０は、例えば、事前に知識ベースとして攻撃技術間の共起性を算出しておき、すでに抽出している攻撃技術群と共起性が高いものを欠損項目として抽出する。

次に、欠損項目推定および攻撃フロー生成プログラム１１０は、遷移モデルを基に欠損項目を抽出した後、攻撃フロー化し（ステップ９０４）、ステップ９０５に進む。欠損項目推定および攻撃フロー生成プログラム１１０は、例えば、事前に攻撃技術の遷移モデルを構築しておき，抽出済みの攻撃技術をすべて通過する制約条件の下で経路問題を解いた際に入力に含まれない経路上の攻撃技術を欠損項目として抽出する。また、これにより攻撃技術の遷移が導出されるため、これを攻撃フローとする。

次に、欠損項目推定および攻撃フロー生成プログラム１１０は、ステップ９０４までに抽出した攻撃技術と、遷移情報から成る攻撃フローと、を攻撃シナリオ一覧１１６に反映する（ステップ９０５）。具体的には、攻撃技術抽出プログラム１０９によって、脅威情報毎に記録された攻撃シナリオ一覧１１６に対し、欠損項目として抽出した攻撃技術があれば攻撃技術５０２を更新するとともに、攻撃フローの順番に基づいてステップ５０１を付与する。そして、全ての未完了の攻撃シナリオについて処理を実施した後、処理が終了する。

ここで、図１０を参照しながら、上記したステップ９０３とステップ９０４の処理の一例について具体的に説明する。図１０に示すように、欠損項目推定および攻撃フロー生成プログラム１１０は、脅威情報から抽出された攻撃技術を共起性モデルに入力することで、攻撃技術の抜け（欠損）を推定する。そして、攻撃技術の抜けが推定された場合、この攻撃技術が補完される。ここで、共起性モデルは、攻撃技術の共起関係を示すモデルであり、事前に知識ベースとして攻撃技術間の共起性を算出しておくことで構築される。なお、図１０において、実線のエッジは、共起性が高いことを示しており、点線のエッジは、共起性が低いことを示している。従って、この例では、攻撃技術（Ａ、Ｄ）が入力されることで、共起性が高い攻撃技術Ｅの抜けが推定され、攻撃技術Ｅが補完される。

更に、欠損項目推定および攻撃フロー生成プログラム１１０は、遷移モデルを用いて、攻撃技術の欠損を推定し、攻撃技術を補完する。また、欠損項目推定および攻撃フロー生成プログラム１１０は、攻撃技術の攻撃フローを生成する。ここで、遷移モデルは、攻撃技術の遷移関係を示すモデルであり、ログなどを利用して事前に構築される。

欠損項目推定および攻撃フロー生成プログラム１１０は、脅威情報から抽出された攻撃技術、および、共起性の観点から推定された攻撃技術を制約条件として、遷移モデルを経路問題として解くことで、攻撃技術の欠損を推定して補完し、攻撃フローを生成する。従って、図１０の例では、欠損項目推定および攻撃フロー生成プログラム１１０は、攻撃技術（Ａ、Ｄ、Ｅ）を制約条件として、遷移モデルを経路問題として解くことで、攻撃技術Ｂの欠損を推定し、攻撃技術Ｂを補完した攻撃フロー（Ａ、Ｂ、Ｄ、Ｅ）を生成する。なお、遷移モデルにおける数字は、遷移のし易さ（遷移の確率）を示しており、基本的には遷移のし易い経路に関する攻撃フローが生成されるが、この例では、制約条件により、上記の攻撃フロー（Ａ、Ｂ、Ｄ、Ｅ）が生成される。このように、本実施形態では、ステップ９０３およびステップ９０４の組み合わせにより、脅威情報の欠損を推定し、欠損があった場合には補完した攻撃フローを生成する処理を行う。

なお、図９等で説明した欠損項目推定および攻撃フロー生成処理は、一例であって、これに限定されない。例えば、脅威情報からから抽出した攻撃グループ名やマルウェア名を用いて、それらでよく使われる攻撃技術を補完しても良い。

また、図１０で説明した処理を行うことが、精度の観点から好ましいが、適宜に変更してもよい。例えば、脅威情報のボリュームなどを考慮して、ステップ９０３およびステップ９０４の一方を実行するなどの変更が行われてもよい。ここで、ステップ９０４の処理を省略する場合では、ステップ９０３において攻撃技術の抜け（欠損）を推定して補完し、攻撃フローを生成してもよい。例えば、図１０に示すように、攻撃技術（Ａ、Ｄ）に基づいて攻撃技術Ｅの抜けを推定した場合、攻撃技術Ｅを補完した攻撃フロー（Ａ、Ｅ、Ｄ）を生成してもよい。その一方で、ステップ９０３の処理を省略する場合では、ステップ９０４において、脅威情報から抽出された攻撃技術の制約条件の基で、攻撃技術の欠損を推定して補完し、攻撃フローを生成してもよい。例えば、図１０の場合では、抽出した攻撃技術（Ａ、Ｄ）を制約条件として、攻撃技術（Ｂ、Ｅ）の欠損を推定し、攻撃技術（Ｂ、Ｅ）を補完した攻撃フロー（Ａ、Ｂ、Ｄ、Ｅ）を生成してもよい。

次に、図１１を参照しながら、攻撃シナリオベースペネトレーションシステム１０１が実行する攻撃シーケンス生成処理の一例を説明する。図１１は、攻撃シーケンス生成処理の一例を説明するフローチャートである。攻撃シーケンス生成処理では、生成された攻撃フローにおける攻撃技術に、攻撃コードを紐づける処理が行われる。

ＣＰＵ１０３によって実行される攻撃シーケンス生成プログラム１１１は、実行指示を受け付けた場合、以下で説明する処理を開始する。

攻撃シーケンス生成プログラム１１１は、脅威情報一覧１１４から脅威情報の一覧を取得する（ステップ１１０１）。ここでは、ＩＤ３０１から構成されるエントリを含む一覧が取得されるとする。

次に、攻撃シーケンス生成プログラム１１１は、攻撃シナリオの生成が未完了である脅威情報の攻撃技術に対してステップ１１０３以降の攻撃コードの紐づけ処理を実行する（ステップ１１０２）。この際、攻撃シナリオの生成が未完了である脅威情報が存在しない場合、処理を終了する。

次に、攻撃シーケンス生成プログラム１１１は、脅威情報から攻撃技術に紐づく攻撃コードを抽出し（ステップ１１０３）、ステップ１１０４に進む。例えば、攻撃技術の周辺等に具体的な攻撃コードが記載されている場合、それを抽出する。

次に、攻撃シーケンス生成プログラム１１１は、ステップ１１０３において脅威情報からの攻撃コードの抽出と紐付けに失敗した攻撃技術については、攻撃コードデータベース１１５を用いた攻撃コードとの紐付けを実施し（ステップ１１０４）、ステップ１００５に進む。例えば、上記したように、事前に攻撃技術４０１毎に典型的な攻撃コード４０２を有する攻撃コードデータベース１１５を構築しておき、攻撃技術と攻撃コードの紐付けを行う。

なお、ステップ１１０３およびステップ１１０４の処理では、上記した欠損項目推定および攻撃フロー生成処理において補完した攻撃技術についても攻撃コードの紐づけが行われる。

次に、攻撃シーケンス生成プログラム１１１は、ステップ１１０４までに抽出した攻撃技術に紐づいた攻撃コードを攻撃シナリオ一覧１１６に反映する（ステップ１１０５）。具体的には、攻撃技術抽出プログラム１０９と欠損項目推定および攻撃フロー生成プログラム１１０によって、脅威情報毎に記録された攻撃シナリオ一覧に対し、攻撃技術毎に攻撃コード５０３を更新し、攻撃シナリオとして完成させる。また、脅威情報一覧１１４の攻撃シナリオ３０４を「生成済」と更新する。攻撃シーケンス生成プログラム１１１は、全ての攻撃シナリオの生成が未完了な脅威情報について、攻撃シーケンスの生成と、攻撃シーケンスに基づく攻撃シナリオ化と、を実施した後、処理を終了する。

なお、図１１で説明した攻撃シーケンス生成処理は、一例であって、これに限定されない。例えば、脅威情報から抽出した攻撃グループ名やマルウェア名を用いて、それらでよく使われる攻撃コードを攻撃技術と紐付けても良い。また、攻撃シーケンス生成処理においては、攻撃技術に対応する攻撃コードが適切に取得されればよく、例えば、ステップ１１０３およびステップ１１０４の一方を実行するなどの変更が行われてもよい。

攻撃シナリオベースペネトレーションシステム１０１は、図６で説明した処理とは別に、ユーザに対して各種情報を提示するための画面描写処理を実行する。これにより、攻撃シナリオに関する画面に描写するデータが出力され、各種情報が適宜の表示装置に出力される。次に、図１２を参照しながら、画面描写処理の一例を説明する。図１２は、画面描写処理の一例を説明するフローチャートである。

ＣＰＵ１０３によって実行される画面描写プログラム１１２は、実行指示を受け付けた場合、以下で説明する処理を開始する。

画面描写プログラム１１２は、攻撃シナリオ一覧１１６から描画対象の攻撃シナリオの情報を取得し（ステップ１２０１）、ステップ１２０２へ進む。

次に、画面描写プログラム１１２は、描画対象の攻撃シナリオに関する情報を画面に描写するデータを生成して出力し（ステップ１１０２）、処理を終了する。

なお、図１２で説明した画面描写の方法は、一例であって、これに限定されない。

次に、図１３を参照しながら、情報表示の態様の一例について説明する。図１３は、攻撃シナリオに関する情報の表示の一例である。

図１３に示すように、表示する画面には、情報源１３０１と、攻撃シナリオ１３０２と、が含まれる。情報源１３０１は、攻撃シナリオを生成した際の情報源である脅威情報に関する基本的な情報を示す。情報源１３０１には、例えば、脅威情報のＩＤ、収集日、情報源名称、ＵＲＬが含まれる。攻撃シナリオ１３０２は、攻撃シナリオに関する基本的な情報を示す。攻撃シナリオ１３０２には、例えば、攻撃シナリオにおける攻撃のステップ、当該ステップにおける攻撃技術、攻撃技術に係る攻撃コードが含まれる。

上述のような情報を適宜の表示装置に表示することによって、ユーザの攻撃シナリオに係る情報の視認性を向上し、攻撃シナリオに関する業務の効率を向上させることが期待できる。一例として、ユーザ端末（１１７ａ、１１７ｂ、１１７ｃ）側に表示装置が配置され、この表示装置に表示が行われてもよい。

第１実施形態に係る各プログラムの分析結果を基にした描写画面を例示したが、この描写画面は、一例であって、これに限定されない。例えば、ユーザの攻撃シナリオの構築を支援する情報や攻撃シナリオに関連するものであれば、どのような情報をどのような形式で描写しても良い。

以上の説明によれば、プロセッサを備え、プロセッサは、サイバー攻撃における攻撃の手口を定める攻撃技術を含む脅威情報を取得し、脅威情報から攻撃技術を抽出し、抽出した前記攻撃技術に基づいて、攻撃技術を実行する手順を定めた攻撃フローを生成し、攻撃に用いる攻撃コードを前記攻撃フローに紐づけることにより、サイバー攻撃におけるシナリオに関する情報である攻撃シナリオを構築する、シナリオ構築装置およびシナリオ構築システムが提供される。

これらシナリオ構築装置およびシナリオ構築システムによれば、脅威情報に基づく攻撃技術に攻撃コードを自動で紐づけることにより、実施コストや属人性を低減できる。

なお、脅威情報に記載されている攻撃技術は必ずしも網羅されているとは限らず、抜けがある場合が存在することが知られている。このため、行間や省略する部分を欠損箇所として補完する必要がある。加えて脅威情報の粒度と実際に攻撃するための攻撃コードの間にはギャップがあるため、実際の攻撃コードに紐付け、実際に攻撃が可能な攻撃シナリオへ昇華する必要がある。ここで、ユーザが欠損の補完を実施することが考えられるが、この場合、実施コストや属人性の影響が考えられる。

本実施形態では、これらシナリオ構築装置およびシナリオ構築システムが、脅威情報から抽出した情報を基に、欠損の補完および攻撃コードへの紐付けを自動で実施するので、実施コストや属人性が低減されると共に、脅威情報の欠損を補うことによる攻撃シナリオの真正性や網羅性の向上が期待できる。

＜第２実施形態＞
次に、図１４から図２１を参照しながら、第２実施形態について説明する。第２実施形態では、攻撃シナリオの構築に加えて、実際に攻撃シナリオが計算機環境やネットワーク環境で実行された際の影響の評価も自動で実施し、同環境を有する組織にその結果を通知する攻撃シナリオベースペネトレーションシステムの処理について示す。

具体的には、攻撃シナリオベースペネトレーションシステム１４０１（シナリオ構築装置）は、第１実施形態において述べた処理に加えて、評価対象の環境情報の取得と、攻撃シナリオ実行用の模擬環境の構築と、攻撃の実行及び影響の評価と、評価結果の通知と、を実施する。以下、第１実施形態との差異を中心に第２実施形態について説明する。なお、第１実施形態で説明と同様の内容については、省略する場合がある。

図１４は、第２実施形態に係る攻撃シナリオベースペネトレーションシステム１４０１の構成例を示す図である。第２実施形態の攻撃シナリオベースペネトレーションシステム１４０１の各ハードウェア構成（１４０１～１４０７）は、第１実施形態の場合と同様とすることができる。また、ネットワーク１４２５ａを介してユーザ端末（１４２３ａ、１４２３ｂ、１４２３ｃ）に接続される点、および、ネットワーク１４２５ｂを介してインターネット１４２６に接続可能である点についても同様である。

第２実施形態でのプログラムは、第１実施形態の場合と同様である、脅威情報収集プログラム１４０８と、攻撃技術抽出プログラム１４０９と、欠損項目推定および攻撃フロー生成プログラム１４１０と、攻撃シーケンス生成プログラム１４１１と、画面描写プログラム１４１６と、に加えて、評価対象の環境情報を取得する環境情報取得プログラム１４１２と、攻撃シナリオ実行用の模擬環境を構築する模擬環境構築プログラム１４１３と、攻撃の実行及び影響の評価を行う攻撃実行、影響評価プログラム１４１４と、評価結果を通知する評価結果通知プログラム１４１５と、を含む。

第２実施形態でのデータ構造は、第１実施形態の場合と同様である、情報収集先管理表１４１７と、脅威情報一覧１４１８と、攻撃コードデータベース１４１９と、攻撃シナリオ１４２０と、に加えて、評価対象の環境情報を管理する環境一覧１４２１と、影響有無に係る評価結果を管理する影響一覧１４２２と、を含む。

第２実施形態の脅威情報収集プログラム１４０８、攻撃技術抽出プログラム１４０９、欠損項目推定および攻撃フロー生成プログラム１４１０、攻撃シーケンス生成プログラム１４１１、画面描写プログラム１４１６が実行する処理は、第１実施形態の場合と同様とすることができる。

なお、図１４で説明した攻撃シナリオベースペネトレーションシステム１４０１（シナリオ構築装置）は、一例であって、これに限定されない。また、本実施形態によれば、攻撃シナリオベースペネトレーションシステム１４０１を備えるシナリオ構築システムが提供される。

次に、図１５を参照しながら、環境一覧１４２１の一例について説明する。図１５は、環境一覧の一例を示す図である。

図１５に示すように、環境一覧１４２１は、例えば、組織ＩＤ１５０１と、機器１５０２と、ソフトウェア１５０３と、バージョン１５０４と、を含んで構成される。

組織ＩＤ１５０１は、どの組織に該当するかを一意に識別するための識別情報を格納するフィールドである。例えば、組織ＩＤ１５０１には数字が識別情報として格納される。

機器１５０２は、該組織の環境に存在する機器の情報を表す。例えば、組織ＩＤ１５０１が「０」の組織には、「サーバＡ」をはじめとした複数の機器が存在するということを表す。なお、機器１５０２に格納されるデータ形式は、限定されず、機器が判別できるデータ形式であれば、どのようなデータ形式であってもよい。

ソフトウェア１５０３は、機器に導入されているソフトウェアの種別を表す。例えば、「サーバＡ」には、「ＯＳ Ａ」が導入されているということを表す。なお、ソフトウェア１５０３に格納されるデータ形式は、限定されず、ソフトウェアが判別できるデータ形式であれば、どのようなデータ形式であってもよい。

バージョン１５０４は、機器に導入されているソフトウェアのバージョンを表す。例えば、「サーバＡ」に導入されている「ＯＳ Ａ」のバージョンは、「１１」であることを表す。なお、バージョン１５０４に格納されるデータ形式は、限定されず、バージョンが判別できるデータ形式であれば、どのようなデータ形式であってもよい。

なお、図１５で説明した環境一覧１４２１は、一例であって、これに限定されない。

次に、図１６を参照しながら、影響一覧１４２２の一例について説明する。図１６は、影響一覧の一例を示す図である。図１６に示すように、影響一覧１４２２は、例えば、ステップ１６０１と、攻撃技術１６０２と、攻撃コード１６０３と、影響有無１６０４と、を含んで構成される。

ステップ１６０１は、攻撃シナリオの実施順を一意に識別するための識別情報を格納するフィールドである。ステップ１６０１には、一例として、数字が識別情報として昇順に格納される。

攻撃技術１６０２は、各ステップで実行される攻撃技術を一意に識別するための識別情報を格納するフィールドである。例えば、ステップ１６０１が「０」の攻撃技術は、「攻撃技術Ａ」であることを表す。なお、攻撃技術１６０２に格納されるデータ形式、限定されず、攻撃技術が判別できるデータ形式であれば、どのようなデータ形式であってもよい。

攻撃コード１６０３は、各ステップで実行される攻撃技術に対応する具体的な攻撃コードを格納するフィールドである。例えば、ステップ１６０１が「０」の攻撃コードは、「ｌｓ -ｒｅｃｕｒｓｅ」であることを表す。なお、攻撃コード１６０３に格納されるデータ形式は、限定されず、攻撃コードが判別できるデータ形式であれば、どのようなデータ形式であってもよい。

影響有無１６０４は、各ステップで実行される攻撃技術に、対象とする組織の機器群が影響を受けうるかどうかを表す値を格納するフィールドである。例えば、ステップ１６０１が「０」の攻撃技術に対しては、「有」が格納されており、該攻撃技術に対しては影響を受けうることを表す。なお、影響有無１６０４に格納されるデータ形式は、限定されず、影響有無が判別できるデータ形式であれば、どのようなデータ形式であってもよい。

なお、図１６で説明した影響一覧１４２２は、一例であって、これに限定されない。

次に、図１７から図２０を参照しながら、攻撃シナリオベースペネトレーションシステム１４０１が実行する処理の一例について説明する。第２実施形態の攻撃シナリオベースペネトレーションシステム１４０１は、攻撃シナリオの構築とは別に、実際に攻撃シナリオが計算機環境やネットワーク環境で実行された際の影響の評価を実施するために、一例として、環境情報取得プログラム１４１２と、模擬環境構築プログラム１４１３と、攻撃実行、影響評価プログラム１４１４と、評価結果通知プログラム１４１５と、を連続で実行する。以降では、各プログラムの処理フローの一例について述べる。

図１７を参照しながら、第２実施形態の攻撃シナリオベースペネトレーションシステム１４０１が実行する環境情報取得処理の一例を説明する。図１７は、環境情報取得処理の一例を説明するフローチャートである。

ＣＰＵ１４０３によって実行される環境情報取得プログラム１４１２は、実行指示を受け付けた場合、以下で説明する処理を開始する。

環境情報取得プログラム１４１２は、対象組織の環境情報を取得する（ステップ１７０１）。ここでは、環境一覧１４２１の各エントリに対応する、機器１４０２、ソフトウェア１４０３，バージョン１４０４を取得する。環境情報取得プログラム１４１２は、例えば、対象組織において、該情報を収集するプログラムを動作させ、その結果をオンラインで受領することで環境情報の取得を達成する。

次に、環境情報取得プログラム１４１２は、取得した環境情報を環境一覧１４２１へ保存し（ステップ１７０２）、その後、処理を終了する。

なお、図１７で説明した環境情報取得の方法は、一例であって、これに限定されない。例えば、メールやオフライン等で対象組織の環境情報を取得し、環境一覧１４２１へ反映する方法等が挙げられる。例えば、入出力装置を用いた環境情報の取得が実現されてもよい。

次に、図１８を参照しながら、攻撃シナリオベースペネトレーションシステム１４０１が実行する模擬環境構築処理の一例を説明する。図１８は、模擬環境構築処理の一例を説明するフローチャートである。

ＣＰＵ１４０３によって実行される模擬環境構築プログラム１４１３は、実行指示を受け付けた場合、以下で説明する処理を開始する。

模擬環境構築プログラム１４１３は、環境一覧１４２１から評価対象組織の環境情報を取得し（ステップ１８０１）、ステップ１８０２へ進む。

次に、模擬環境構築プログラム１４１３は、取得した環境情報を基に、模擬環境を構築し（ステップ１８０２）、その後、処理を終了する。模擬環境構築プログラム１４１３は、例えば、仮想環境構築用のフレームワークを活用して、評価対象組織の環境を仮想環境に再現する。

なお、図１８で説明した模擬環境構築の方法は、一例であって、これに限定されない。

次に、図１９を参照しながら、第２実施形態の攻撃シナリオベースペネトレーションシステム１４０１が実行する攻撃実行、影響評価処理の一例を説明する。図１９は、攻撃実行、影響評価処理の一例を説明するフローチャートである。

ＣＰＵ１４０３によって実行される影響評価プログラム１４１４は、実行指示を受け付けた場合、以下で説明する処理を開始する。

攻撃実行、影響評価プログラム１４１４は、攻撃シナリオ一覧１４２０から実行する攻撃シナリオを取得する（ステップ１９０１）。

次に、攻撃実行、影響評価プログラム１４１４は、攻撃シナリオのステップ毎にステップ１９０３以降の処理を実行する（ステップ１９０２）。全ての攻撃ステップを実行し終えた場合、処理を終了する。

攻撃実行、影響評価プログラム１４１４は、模擬環境構築プログラム１４１２で構築した模擬環境に対して、該ステップの攻撃を実行し（ステップ１９０３）、ステップ１９０４に進む。

次に、攻撃実行、影響評価プログラム１４１４は、ステップ１９０３において実行した攻撃が模擬環境において影響を及ぼしたか評価し（ステップ１９０４）、ステップ１９０５に進む。例えば、攻撃コードの実行が正常に完遂したか否か、模擬環境上の機器が停止したか否か等を基に影響有無を判断する。

次に、攻撃実行、影響評価プログラム１４１４は、ステップ１９０４での評価結果を影響一覧１４２２に反映する（ステップ１９０５）。具体的には、影響評価プログラム１４１４は、攻撃シナリオのステップと攻撃技術と攻撃コードを、それぞれステップ１６０１、攻撃技術１６０２、攻撃コード１６０３として記録した後、同エントリの影響有無１６０４に影響有無を記録する。

なお、図１９で説明した影響評価処理は、一例であって、これに限定されない。例えば、攻撃シナリオを環境一覧１４２１に含まれる機器やソフトウェアに応じてカスタマイズやチューニングした上で攻撃を実施し、評価を実施しても良い。

次に、図２０を参照しながら、第２実施形態の攻撃シナリオベースペネトレーションシステム１４０１が実行する評価結果通知処理の一例を説明する。図２０は、評価結果通知処理の一例を説明するフローチャートである。

ＣＰＵ１４０３によって実行される評価結果通知プログラム１４１５は、実行指示を受け付けた場合、以下で説明する処理を開始する。

評価結果通知プログラム１４１５は、影響一覧１４２２から評価対象組織の影響評価結果を取得し（ステップ２００１）、ステップ２００２へ進む。

次に、評価結果通知プログラム１４１５は、取得した影響評価結果を出力する。この例では、評価結果通知プログラム１４１５は、取得した影響評価結果を評価対象組織に通知し（ステップ２００２）、その後、処理を終了する。例えば、評価対象組織が他組織１４２４の場合（すなわち、他組織１４２４が依頼元である場合）、ネットワーク１４２５ｂを介して他組織１４２４の端末（他組織端末）に通知する。なお、他組織１４２４の端末は、適宜に構成される。該端末は、例えば、適宜のコンピュータとして構成することができる。また、該端末側には、入力装置や表示装置等が適宜に設けられてもよく、該端末には、これらの構成が適宜に接続されてもよい。

図２０で説明した評価結果通知の方法は、一例であって、これに限定されない。例えば、ユーザ端末（１４２３ａ、１４２３ｂ、１４２３ｃ）に評価結果が出力され、ユーザ（例えば、結果を分析する分析官）を介して、その評価結果が対象組織に通知されてもよい。また、ユーザが、入出力装置１４０６を介して評価結果を取得し、その評価結果を対象組織に通知するという方法が実現されてもよい。また、評価対象組織が自組織である場合、ユーザ端末（１４２３ａ、１４２３ｂ、１４２３ｃ）や入出力装置１４０６を介して評価結果を通知するという方法が実現されてもよい。

出力される評価結果は、適宜の表示装置に描写されてもよい。ここで、次に、図２１を参照しながら、評価結果の描写の態様の一例について説明する。図２１は、評価結果描写画面の一例を示す図である。

図２１に示すように、表示する画面には、情報源２１０１と、攻撃による影響有無２１０２と、攻撃シナリオと個別の影響有無２１０３と、が含まれる。情報源２１０１は、第１実施形態の場合と同様である。攻撃による影響有無２１０２は、攻撃シナリオの実行に関する影響の有無を示す情報である。ユーザ等は、攻撃による影響有無２１０２を参照することで、該攻撃シナリオを実行した場合において、該攻撃シナリオに影響があったステップが含まれているかどうかを判断することができる。攻撃シナリオと個別の影響有無２１０３は、攻撃シナリオの各ステップについての攻撃技術、攻撃コード、および、影響有無をまとめた情報である。従って、ユーザ等は、攻撃シナリオと個別の影響有無２１０３を参照することで、攻撃シナリオの実行による影響をより細かく判断することができる。

上述のような情報を表示することによって、ユーザの攻撃シナリオに係る情報の視認性を向上し、攻撃シナリオに関する業務の効率を向上させることが期待できる。

なお、第２実施形態に係る各プログラムの分析結果を基にした描写画面を例示したが、この描写画面は、一例であって、これに限定されない。例えば、ユーザの攻撃シナリオの構築を支援する情報や攻撃シナリオに関連するものであれば、どのような情報をどのような形式で描写しても良い。

第２実施形態によれば、攻撃シナリオベースペネトレーションシステム１４０１は、第１実施形態と同様に攻撃シナリオの構築を自動で実施しつつ、該攻撃を模擬環境で実行することにより、該攻撃による影響の有無や、影響がある場合の影響度（すなわち、攻撃シナリオにおけるどのステップに影響が発生するかどうか）を自動で評価する。これにより、ペネトレーションテストに係るコストや属人性をより抑制することを可能とする。

また、影響評価処理の項目で例示したように、評価対象の環境に応じて攻撃シナリオをカスタマイズしたりチューニングすることにより（すなわち、評価対象の環境に応じた攻撃シナリオの変更を行うことにより）、より評価対象に適合したテストや評価を実施することが期待できる。なお、攻撃シナリオのカスタマイズやチューニングは、プロセッサによる適宜のプログラムの実行により実施されてもよいし、ユーザ等により実行されてもよい。

加えて、主に既設の環境へのテストに関して記載したが、製品の出荷前に製品テストとして実施し、攻撃耐性を測る用途等、他の用途に活用しても良い。また、模擬環境に対して実際に攻撃するだけでなく、攻撃シナリオをベースとして、机上での検討やシミュレーションによる影響評価を実施しても良い。

以上実施形態について説明したが、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、実施形態の構成の一部について、他の構成の追加、削除、置換をすることが可能である。

攻撃シナリオベースペネトレーションシステム（シナリオ構築装置）は、ユーザが用いる入力装置や出力装置（表示装置）などを適宜に備えてもよい。この場合、ユーザ端末は省略されてもよい。

攻撃シナリオベースペネトレーションシステム（１０１、１４０１）はクラウド上に配置されてもよい。そして、生成した攻撃シナリオや評価結果に関するデータを、インターネット（１１９、１４２６）を介して通信可能とされるユーザ端末や他組織端末に送信してもよい。

１０１ 攻撃シナリオベースペネトレーションシステム
１０８ 脅威情報収集プログラム
１０９ 攻撃技術抽出プログラム
１１０ 欠損項目推定および攻撃フロー生成プログラム
１１１ 攻撃シーケンス生成プログラム

Claims (15)

1. プロセッサを備え、
   前記プロセッサは、
   サイバー攻撃における攻撃の手口を定める攻撃技術を含む脅威情報を取得し、
   前記脅威情報から前記攻撃技術を抽出し、
   抽出した前記攻撃技術に基づいて、前記攻撃技術を実行する手順を定めた攻撃フローを生成し、
   攻撃に用いる攻撃コードを前記攻撃フローに紐づけることにより、サイバー攻撃におけるシナリオに関する情報である攻撃シナリオを構築する、
   ことを特徴とするシナリオ構築システム。
2. 請求項１に記載のシナリオ構築システムであって、
   前記プロセッサは、
   前記脅威情報において欠損している攻撃技術を推定し、前記攻撃技術を補完した前記攻撃フローを生成する、
   ことを特徴とするシナリオ構築システム。
3. 請求項２に記載のシナリオ構築システムであって、
   前記プロセッサは、
   攻撃技術の共起関係を示す共起性モデル、あるいは、攻撃技術の遷移関係を示す遷移モデルを用いて、攻撃技術の欠損を推定する、
   ことを特徴とするシナリオ構築システム。
4. 請求項１に記載のシナリオ構築システムであって、
   前記プロセッサは、
   前記攻撃シナリオを実行することで、サイバー攻撃の耐性評価を行う、
   ことを特徴とするシナリオ構築システム。
5. 請求項４に記載のシナリオ構築システムであって、
   前記プロセッサは、
   前記攻撃シナリオに含まれる攻撃技術ごとに耐性評価する、
   ことを特徴とするシナリオ構築システム。
6. 請求項５に記載のシナリオ構築システムであって、
   前記プロセッサは、
   前記攻撃シナリオを実行する評価対象に応じた評価用の模擬環境を構築する、
   ことを特徴とするシナリオ構築システム。
7. 請求項６に記載のシナリオ構築システムであって、
   前記プロセッサは、
   前記攻撃シナリオに、評価対象の環境に応じた変更を行う、
   ことを特徴とするシナリオ構築システム。
8. 請求項６に記載のシナリオ構築システムであって、
   システムを運営するユーザが用いるユーザ端末を備え、
   前記ユーザは、前記ユーザ端末を用いて、評価対象の環境に応じた前記攻撃シナリオの変更が可能である、
   ことを特徴とするシナリオ構築システム。
9. 請求項１に記載のシナリオ構築システムであって、
   システムを運営するユーザが用いるユーザ端末を備え、
   前記プロセッサは、
   前記攻撃シナリオを画面に描写するデータを、前記ユーザ端末に出力する、
   ことを特徴とするシナリオ構築システム。
10. 請求項４に記載のシナリオ構築システムであって、
    システムを運営するユーザが用いるユーザ端末を備え、
    前記プロセッサは、
    実行した前記攻撃シナリオの耐性評価に関する結果を画面に描写するデータを、前記ユーザ端末に出力する、
    ことを特徴とするシナリオ構築システム。
11. 請求項９に記載のシナリオ構築システムであって、
    前記プロセッサを有するシナリオ構築装置を備え、
    前記ユーザ端末と前記シナリオ構築装置は、
    それぞれ異なる場所に配置され、
    前記シナリオ構築装置は、
    クラウド上に配置される、
    ことを特徴とするシナリオ構築システム。
12. 請求項１に記載のシナリオ構築システムであって、
    システムを運営する組織とは異なる他組織の端末である他組織端末を備え、
    前記プロセッサは、
    前記攻撃シナリオを画面に描写するデータを、前記他組織端末に出力する、
    ことを特徴とするシナリオ構築システム。
13. 請求項４に記載のシナリオ構築システムであって、
    システムを運営する組織とは異なる他組織の端末である他組織端末を備え、
    前記プロセッサは、
    実行した前記攻撃シナリオの耐性評価に関する結果を画面に描写するデータを、前記他組織端末に出力する、
    ことを特徴とするシナリオ構築システム。
14. プロセッサを備え、
    前記プロセッサは、
    サイバー攻撃における攻撃の手口を定める攻撃技術を含む脅威情報を取得し、
    前記脅威情報から前記攻撃技術を抽出し、
    抽出した前記攻撃技術に基づいて、前記攻撃技術を実行する手順を定めた攻撃フローを生成し、
    攻撃に用いる攻撃コードを前記攻撃フローに紐づけることにより、サイバー攻撃におけるシナリオに関する情報である攻撃シナリオを構築する、
    ことを特徴とするシナリオ構築装置。
15. プロセッサを用いて行うシナリオ構築方法であって、
    サイバー攻撃における攻撃の手口を定める攻撃技術を含む脅威情報を取得し、
    前記脅威情報から前記攻撃技術を抽出し、
    抽出した前記攻撃技術に基づいて、前記攻撃技術を実行する手順を定めた攻撃フローを生成し、
    攻撃に用いる攻撃コードを前記攻撃フローに紐づけることにより、サイバー攻撃におけるシナリオに関する情報である攻撃シナリオを構築する、
    ことを特徴とするシナリオ構築方法。

Images