JP6280236B2 - 最適化装置、最適化方法および最適化プログラム - Google Patents

Description

本発明は、最適化装置、最適化方法および最適化プログラムに関する。

従来、サイバー攻撃を防御するために、ファイアウォールやＷＡＦ（Web Application Firewall）などの機器を静的に設置し、そのポイントにおいて事前に設定したブラックリストやシグネチャなどのルールに基づいて対処することが行われていた。

ここで、図１２の例を用いて、従来の対処ポイントを決定する処理について説明する。図１２の例では、攻撃者は、外部ＮＷ（NetWork）４０Ａ、ＤＣ（Data Center）ＮＷ４０Ｂ、仮想ＦＷ（FireWall）４０Ｃ、仮想ＮＷ４０Ｄ、仮想ＬＢ（Load Balancer）４０Ｅ、仮想ＮＷ４０Ｆ、仮想ＷＡＦ４０Ｇを経由して、Ｗｅｂ Ｓｅｒｖｅｒ４０Ｈを攻撃しているものとする。なお、ＤＣＮＷ４０Ｂは、仮想ＦＷ４０Ｃだけでなく、仮想ＮＷ４０Ｉおよび仮想ＮＷ４０Ｊにも接続されている。

図１２に例示するように、例えば、攻撃に対処するために事前に定められた個別ルールとして、複数のルール１〜３が定められている。そして、サイバー攻撃があった場合には、攻撃者、被害者、攻撃種別、有効な対処機能等に関する情報（図１２では、サイバー攻撃情報と記載）にマッチするルール３を特定する。そして、ルール３に対応する対処ポイントとして対処ポイント３を選択し、該対処ポイントの対処機能を実行することを決定する。

また、サイバー攻撃に対する対処ポイントを決定して防御する技術として、攻撃トラフィックをトレースすることにより攻撃者に近いファイアウォールを探索して上流で攻撃を防御する技術が知られている。例えば、ＤｏＳ（Denial of Service）攻撃等発生時の一次対処として検出場所で専用ＦＷを用いて攻撃をブロックし、二次対処としてトラフィックをトレースすることにより、攻撃者に近い専用ＦＷを探索し、トラフィックの上流で攻撃者に近い対処ポイントにて攻撃をブロックする技術が知られている（例えば、非特許文献１参照）。

なお、サイバー攻撃に対する防御方法として、機器の中のセキュリティポリシを動的に変更し、Bayesian spam filtersやレンジに対する動的なアクセス制御を行うことで、サイバー攻撃を防御する技術が知られている（例えば、非特許文献２参照）。

Eric Y. Chen, "AEGIS: An Active-Network-Powered Defense Mechanism against DDoS Attacks", IWAN '01 Proceedings of the IFIP-TC6 Third International Working Conference on Active Networks, P.1-15 W. Keith Edwards, Erika Shehan Poole, Jennifer Stoll, "Security Automation Considered Harmful?", NSPW '07 Proceedings of the 2007 Workshop on New Security Paradigms, P.33-42

しかしながら、上記の従来技術では、ネットワーク上の機器の負荷状態やネットワーク構成の動的な変更に対応できず、最適な対処ポイントにおいて最適な対処機能を用いてサイバー攻撃を適切に防御できない場合があるという課題があった。

例えば、サイバー攻撃が多数発生し、セキュリティ対処が特定の対処ポイントに集中した場合に、対象機器のＣＰＵ（Central Processing Unit）やメモリなどのリソースが枯渇し、対処機能が動作せず、サイバー攻撃を適切に防御できない場合がある。

また、例えば、仮想ファイアウォールなどの仮想機器の動的追加等によりネットワーク構成が動的に変更された場合に、新たな対処ポイントの増加を考慮していないため、新たなネットワーク構成上で最適な対処ポイントに変更することができない場合がある。

なお、上記した攻撃者に近いファイアウォールを探索して上流で攻撃を防御する技術では、攻撃者のＩＰアドレスをトレースして、より攻撃者に近い対処ポイントを選択できるが、専用装置のみを対象とするため、仮想ファイアウォールやＩＰＳなどの異なる種類のセキュリティ機器からなるネットワーク構成に対して最適な対処ポイントを動的に選択できない。また、上記した動的なアクセス制御を行うことでサイバー攻撃を防御する技術も同様に、複数のセキュリティ機器から最適な対処ポイントを動的に選択できない。

上述した課題を解決し、目的を達成するために、本発明の最適化装置は、サイバー攻撃に関する情報であるサイバー攻撃情報と、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報とを収集する収集部と、前記収集部によって収集されたサイバー攻撃情報およびシステム情報に基づき、前記サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、前記サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する抽出部と、前記抽出部によって抽出された対処ポイントの候補のなかから、設定された最適化ロジックを用いて、対処ポイントを選択する選択部とを備えることを特徴とする。

また、本発明の最適化方法は、最適化装置で実行される最適化方法であって、サイバー攻撃に関する情報であるサイバー攻撃情報と、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報とを収集する収集工程と、前記収集工程によって収集されたサイバー攻撃情報およびシステム情報に基づき、前記サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、前記サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する抽出工程と、前記抽出工程によって抽出された対処ポイントの候補のなかから、設定された最適化ロジックを用いて、対処ポイントを選択する選択工程とを含んだことを特徴とする。

また、本発明の最適化プログラムは、サイバー攻撃に関する情報であるサイバー攻撃情報と、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報とを収集する収集ステップと、前記収集ステップによって収集されたサイバー攻撃情報およびシステム情報に基づき、前記サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、前記サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する抽出ステップと、前記抽出ステップによって抽出された対処ポイントの候補のなかから、設定された最適化ロジックを用いて、対処ポイントを選択する選択ステップとをコンピュータに実行させることを特徴とする。

本発明によれば、ネットワーク上の機器の負荷状態やネットワーク構成の動的な変更に対応して、最適な対処ポイントにおいて最適な対処機能を用いてサイバー攻撃を適切に防御することができるという効果を奏する。

図１は、第一の実施の形態に係る最適化装置を含むシステムの構成を示す図である。 図２は、第一の実施の形態に係る最適化装置の構成を示すブロック図である。 図３は、サイバー攻撃情報記憶部に記憶されるテーブルの一例を示す図である。 図４は、システム情報記憶部に記憶されるテーブルの一例を示す図である。 図５は、サイバー攻撃の攻撃経路を特定する処理を説明する図である。 図６は、対処ポイントの候補を抽出する処理を説明する図である。 図７は、対処ポイントの候補のなかから最適化ロジックを用いて対処ポイントを選択する処理を説明する図である。 図８は、対処ポイントでの対処機能を実行させるために必要なパラメータを取得する処理を説明する図である。 図９は、最適化装置が最適な対処ポイントを決定する処理の流れを説明する図である。 図１０は、第一の実施の形態に係る最適化装置における対処ポイント最適化処理の流れを示すフローチャートである。 図１１は、最適化プログラムを実行するコンピュータを示す図である。 図１２は、従来の対処ポイントを決定する処理の流れの一例を説明する図である。

以下に、本願に係る最適化装置、最適化方法および最適化プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本願に係る最適化装置、最適化方法および最適化プログラムが限定されるものではない。

［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係るシステムの構成、最適化装置の構成および最適化装置の処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。

［システムの構成］
図１は、第一の実施形態に係る最適化装置を含むシステムの構成を示す図である。図１に示すシステムは、最適化装置１０と、セキュリティ分析システム２０と、対処機能制御装置３０と、サイバー攻撃の攻撃経路上にある機器やＮＷ（外部ＮＷ４０Ａ、ＤＣＮＷ４０Ｂ、仮想ＦＷ４０Ｃ、仮想ＮＷ４０Ｄ、仮想ＬＢ４０Ｅ、仮想ＮＷ４０Ｆおよび仮想ＷＡＦ４０Ｇ）と、攻撃被害を受けているＷｅｂ Ｓｅｒｖｅｒ４０Ｈとを有する。

また、図１の例では、攻撃者は、外部ＮＷ４０Ａ、ＤＣＮＷ４０Ｂ、仮想ＦＷ４０Ｃ、仮想ＮＷ４０Ｄ、仮想ＬＢ４０Ｅ、仮想ＮＷ４０Ｆ、仮想ＷＡＦ４０Ｇを順に経由して、Ｗｅｂ Ｓｅｒｖｅｒ４０Ｈを攻撃しているものとする。なお、ＤＣＮＷ４０Ｂは、仮想ＦＷ４０Ｃだけでなく、仮想ＮＷ４０Ｉおよび仮想ＮＷ４０Ｊにも接続されている。

最適化装置１０は、攻撃者、攻撃種別、対処機能などのサイバー攻撃情報とネットワーク構成情報やリソース利用状況情報等のシステム情報を収集して、最適化ロジックを用いて、最適な対処ポイントと対処機能を動的に選択する。

具体的には、最適化装置１０は、セキュリティ分析システム２０から、サイバー攻撃に関する情報であるサイバー攻撃情報と、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報とを収集する。ここで、サイバー攻撃情報およびシステム情報をセキュリティ分析システム２０から収集する契機については、最適化装置１０がセキュリティ分析システム２０へポーリングしてもよいし、セキュリティ分析システム２０が最適化装置１０に対してプッシュで入力してもよい。なお、サイバー攻撃情報とシステム情報については、セキュリティ分析システム２０から収集せずに、人間（セキュリティオペレータ）の判断結果をサイバー攻撃情報およびシステム情報としてユーザインターフェース経由で手動的に入力してもよい。

続いて、最適化装置１０は、収集されたサイバー攻撃情報およびシステム情報に基づき、サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する。そして、最適化装置１０は、抽出した対処ポイントの候補のなかから、設定された最適化ロジックを用いて、対処ポイントを選択する。その後、最適化装置１０は、選択した対処ポイントと有効な対処機能を対処機能制御装置３０に出力し、対処機能制御装置３０に対処機能を実行させる。

セキュリティ分析システム２０は、ＳＩＥＭ（Security Information and Event Management）分析などのセキュリティ分析を行うシステムである。例えば、セキュリティ分析システム２０では、サイバー攻撃があった場合に、該サイバー攻撃についてのサイバー攻撃情報として、サイバー攻撃の種別、攻撃者の識別子となるＩＰアドレス、被害者の識別子となるＩＰアドレス、有効な対処機能の情報を管理する。また、セキュリティ分析システム２０では、システム情報として、サービス毎の利用経路とセキュリティ対処ポイントを表せるネットワーク構成情報、ネットワーク上の対処ポイント毎の対処機能情報、対処ポイントのリソース利用状況情報を管理する。ここでの管理されるシステム情報とは、最新のシステム情報であり、システム構成等の変更があった場合には、随時更新されるものである。

対処機能制御装置３０は、最適化装置１０から対処機能を実行させる対処ポイントの通知を受け付け、該対処ポイントとなる機器に対処機能の実行を指示することで、対処機能の実行を制御する。図１の例では、仮想ＦＷ４０Ｃ、仮想ＮＷ４０Ｄおよび仮想ＮＷ４０Ｉに対処機能の実行を指示している。なお、対処機能の実行制御については、対処機能制御装置３０を設けずに、最適化装置１０が対処ポイントとなる機器に対処機能の実行を直接指示するようにしてもよい。

［最適化装置１０の構成］
次に、図２を用いて、図１に示した最適化装置１０の構成を説明する。図２は、第一の実施の形態に係る最適化装置１０の構成を示すブロック図である。図２に示すように、この最適化装置１０は、通信処理部１１、制御部１２、記憶部１３を有する。以下にこれらの各部の処理を説明する。

通信処理部１１は、セキュリティ分析システム２０や対処機能制御装置３０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、セキュリティ分析システム２０からサイバー攻撃情報およびシステム情報を受信する。また、例えば、通信処理部１１は、サイバー攻撃に対する対処ポイントや対処機能を示す情報等を対処機能制御装置３０に送信する。

記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、サイバー攻撃情報記憶部１３ａおよびシステム情報記憶部１３ｂを有する。例えば、記憶部１３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

サイバー攻撃情報記憶部１３ａは、サイバー攻撃に関する情報であるサイバー攻撃情報を記憶する。例えば、サイバー攻撃情報記憶部１３ａは、図３に示すように、サイバー攻撃情報として、サイバー攻撃の種別を示す「攻撃の種別」と、攻撃者の端末の識別子となる「攻撃者ＩＰアドレス」と、被害者の端末の識別子となる「被害者ＩＰアドレス」と、サイバー攻撃に対する有効な対処機能を示す「有効な対処機能」とを対応付けて記憶する。

図３の例を挙げて具体的に説明すると、サイバー攻撃情報記憶部１３ａは、攻撃の種別「ＤｏＳ」と、攻撃者ＩＰアドレス「Ａ．Ａ．Ａ．Ａ」と、被害者ＩＰアドレス「Ｂ．Ｂ．Ｂ．Ｂ」と、有効な対処機能「Ｌａｙｅｒ４遮断」とを対応付けて記憶する。

システム情報記憶部１３ｂは、サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報を記憶する。具体的には、システム情報記憶部１３ｂは、サービス毎の利用経路と対処ポイントとを表せるネットワーク構成情報と、対処ポイントごとに、対処ポイントが有する対処機能を示す対処機能情報と、対処ポイントのリソース利用状況を示すリソース利用状況情報とを記憶する。

ここで、システム情報記憶部１３ｂは、ネットワーク構成情報の具体的な例として、例えば、「Internet->GW->FW->{VM1(Web),VM2(Web)}->VM3(DB)」を記憶するとともに、「ＧＷ」および「ＦＷ」が対処ポイントであることを記憶する。また、この例では、保護対象であるＶＭ１およびＶＭ２がｗｅｂ層で動作する仮想マシンであり、ＶＭ３がＤＢ（Data Base）層で動作する仮想マシンであることを示している。

また、システム情報記憶部１３ｂは、例えば、図４に示すように、システム情報として、対処ポイントごとに、攻撃経路上にある対処ポイントの機器を示す「対処ポイント」と、対処ポイントが有する対処機能を示す「対処機能」と、対処ポイントのリソース利用状況を示す「リソース利用状況情報」とを対応付けて記憶する。

図４の例を挙げて具体的に説明すると、システム情報記憶部１３ｂは、対処ポイント「ＦＷ」と、対処機能「Ｌａｙｅｒ４遮断」と、リソース利用状況情報「ＣＰＵ使用率：１０％」とを対応付けて記憶する。これは、対処ポイントである機器「ＦＷ」が対処機能として「Ｌａｙｅｒ４遮断」を有し、リソースの利用状況としてＣＰＵの使用率が「１０％」であることを意味している。なお、図４の例では、対処ポイントであるＦＷについての情報のみを示しているが、実際には、システム情報記憶部１３ｂは、その他の対処ポイントである機器についての同様のシステム情報を記憶している。また、上記した各種データは、あくまで一例であり、任意に変更することができる。例えば、リソース利用状況情報は、ＣＰＵ使用率ではなく、メモリ使用率であってもよい。

制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、収集部１２ａ、抽出部１２ｂ、選択部１２ｃ、取得部１２ｄおよび出力部１２ｅを有する。

収集部１２ａは、サイバー攻撃に関する情報であるサイバー攻撃情報と、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報とを収集する。そして、収集部１２ａは、収集したサイバー攻撃情報をサイバー攻撃情報記憶部１３ａに格納し、システム情報をシステム情報記憶部１３ｂに格納する。ここで、収集部１２ａは、システム上でサイバー攻撃が検知されるたびにサイバー攻撃情報およびシステム情報を収集してもよいし、所定の間隔で定期的にサイバー攻撃情報およびシステム情報を収集してもよい。また、システム情報については、システム構成等に変更があった場合にのみ、収集するようにしてもよい。

例えば、収集部１２ａは、サイバー攻撃情報として、サイバー攻撃の種別を示す「攻撃の種別」と、攻撃者の端末の識別子となる「攻撃者ＩＰアドレス」と、被害者の端末の識別子となる「被害者ＩＰアドレス」と、サイバー攻撃に対する有効な対処機能を示す「有効な対処機能」とをセキュリティ分析システム２０から収集する。また、例えば、収集部１２ａは、システム情報として、サービス毎の利用経路とセキュリティ対処ポイントを表せる「ネットワーク構成情報」、ネットワーク上の対処ポイント毎の「対処機能情報」、対処ポイントの「リソース利用状況情報」をセキュリティ分析システム２０から収集する。

抽出部１２ｂは、収集部１２ａによって収集されたサイバー攻撃情報およびシステム情報に基づき、サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する。

例えば、抽出部１２ｂは、収集部１２ａによって収集された攻撃者ＩＰアドレス、被害者ＩＰアドレス及び攻撃の種別をネットワーク構成情報へ対応付け、サイバー攻撃の攻撃経路を特定し、該攻撃経路上の対処ポイントを抽出し、該対処ポイント毎の対処機能情報と該サイバー攻撃に有効な対処機能を照合し、該サイバー攻撃に有効な対処機能を有する機器を対処ポイントの候補として抽出する。

ここで、攻撃経路の特定処理として、例えば、抽出部１２ｂは、収集部１２ａで収集されたサービス毎の利用経路とセキュリティ対処ポイントとを表せるネットワーク構成情報に基づいて、収集された攻撃者ＩＰアドレスと被害者ＩＰアドレスを探索し、攻撃者の端末から被害者の端末までの経路を攻撃経路として特定した上で、攻撃者の端末から被害者の端末までの攻撃経路が通過する対処ポイントである通信機器やセキュリティ機器を対処ポイントとして抽出する。

ここで、図５の例を用いて、サイバー攻撃の攻撃経路を特定する処理を説明する。例えば、抽出部１２ｂは、サイバー攻撃情報（攻撃者ＩＰアドレス、被害者ＩＰアドレス、攻撃の種別）をネットワーク構成情報となるグラフ情報へマッピングし、攻撃経路を分析し、攻撃経路上の対処ポイントを抽出する。

つまり、図５の例では、「インターネット４１->ゲートウェイ４２->サブネット４３->ルータ（仮想ファイアウォール）４４->サブネット４５->ＶＭ（ＷＡＦ）４６->ＶＭ（Ｗｅｂ）４７->ＶＭ（ＤＢ）４８」というサービス利用経路を表すグラフ情報が用いられている。これに対して、収集された攻撃者ＩＰアドレス「Ａ.Ａ.Ａ.Ａ」と被害者ＩＰアドレス「１０．１.０．４０」のノードを探索し、サービス利用経路に従ってグラフ上で攻撃者ノードから被害者ノードまで辿り着く経路「インターネット４１->ゲートウェイ４２->サブネット４３->ルータ（仮想ファイアウォール）４４->サブネット４５->ＶＭ（ＷＡＦ）４６->ＶＭ（Ｗｅｂ）４７」を特定する。

そして、抽出部１２ｂは、図５の例では、攻撃経路が通過する対処ポイントとして「サブネット４３」、「ルータ（仮想ファイアウォール）４４」、「サブネット４５」、「ＶＭ（ＷＡＦ）４６」を抽出する。なお、図５の例では、インターネット４１やゲートウェイ４２は、対処ポイントではないものとする。

その後、抽出部１２ｂは、抽出した対処ポイントに対して、収集されたネットワーク上の対処ポイント毎の対処機能と、サイバー攻撃に対して要求される有効な対処機能の情報とを比較し、今回のサイバー攻撃に有効な対処機能を持つ対処ポイントを、対処ポイントの候補として特定する。

ここで、図６の例を用いて、対処ポイントの候補を抽出する処理を説明する。図６は、対処ポイントの候補を抽出する処理を説明する図である。図６の例では、サイバー攻撃情報に対して有効な対処機能が「レイヤ４（Ｌ４）遮断」であるものとする。そして、図６に例示するように、システム情報記憶部１３ｂに記憶された対処ポイント毎の対処機能を参照することで、対処ポイントのサブネット４３がＬ４遮断とポート遮断の対処機能を持ち、ルータ（仮想ファイアウォール）４４がＬ４遮断とＬ７遮断の対処機能を持ち、サブネット４５がＬ４遮断とポート遮断の対処機能を持ち、ＶＭ（ＷＡＦ）４６がＬ４遮断とＬ７遮断と追加認証の対処機能を持っていることが把握できる。

抽出部１２ｂは、サイバー攻撃情報記憶部１３ａに記憶されたサイバー攻撃に対する有効な対処機能と、システム情報記憶部１３ｂに記憶された各対処ポイントが持つ対処機能とを比較することで、対処ポイント「サブネット４３」、「ルータ（仮想ファイアウォール）４４」、「サブネット４５」および「ＶＭ（ＷＡＦ）４６」すべてがＬ４遮断の対処機能を持つことが判別され、「サブネット４３」、「ルータ（仮想ファイアウォール）４４」、「サブネット４５」および「ＶＭ（ＷＡＦ）４６」の全てが対処ポイントの候補として抽出される。

選択部１２ｃは、抽出部１２ｂによって抽出された対処ポイントの候補のなかから、設定された最適化ロジックを用いて、対処ポイントを選択する。具体的には、選択部１２ｃは、サイバー攻撃の起点である攻撃者の端末に最寄りの対処ポイントを選定する最適化ロジック、または、最もリソース使用率が低い対処ポイントを選定する最適化ロジックを用いて、対処ポイントを選択する。なお、かかる最適化ロジックについて、使用する最適化ロジックを事前に設定してもよいし、攻撃の種別等に応じて、動的に使用する最適化ロジックを選択して設定するようにしてもよい。

つまり、最適化ロジックとして、対処ポイント毎のリソースの使用率を判断し、リソースの観点で最も空きリソースが多い対処ポイントを選ぶことができ、また、対処ポイント毎の場所を判断し、最も攻撃者に近い対処ポイントを選ぶこともできる。なお、二つの最適化ロジックのうち、いずれのロジックを用いるかは選択することができる。また、攻撃の種別に応じて、自動的に最適化ロジックを選択するようにしてもよいし、攻撃者との距離およびリソース使用率の両方を総合的に判断して、対処ポイントを選択するようにしてもよい。

例えば、選択部１２ｃは、抽出部１２ｂによって抽出された対処ポイントの候補に対して、サイバー攻撃の起点である攻撃者の端末に最寄りの対処ポイントを選定する最適化ロジックを用いて、攻撃経路を参照し、対処ポイント候補毎に攻撃者の端末とのネットワーク上の距離を分析し、対処ポイントの候補のなかで最も距離が短い対処ポイントを選択する。

ここで、図７の例を用いて、対処ポイントの候補のなかから最適化ロジックを用いて対処ポイントを選択する処理を説明する。図７は、対処ポイントの候補のなかから最適化ロジックを用いて対処ポイントを選択する処理を説明する図である。図７に示すように、選択部１２ｃでは、サイバー攻撃の起点である攻撃者の端末に最寄りの対処ポイントを選定する最適化ロジックを用いて、攻撃経路を参照し、「サブネット４３」、「ルータ（仮想ファイアウォール）４４」、「サブネット４５」および「ＶＭ（ＷＡＦ）４６」の四つそれぞれの攻撃者の端末とのネットワーク上の距離を分析し、対処ポイント候補のなかから最も攻撃者との距離が短い「サブネット４３」を選択する。なお、サブネット４３でＬ４遮断等の対処機能を実行する場合には、実際にはサブネット４３に含まれる仮想スイッチ等が実行することとなる。

また、例えば、選択部１２ｃは、抽出部１２ｂによって抽出された対処ポイントの候補に対して、最もリソース使用率が低い対処ポイントを選定する最適化ロジックを用いて、対処ポイント候補毎のリソース利用状況情報を参照し、対処ポイントの候補のなかで最もリソース使用率が低い対処ポイントを選択する。

取得部１２ｄは、選択部１２ｃによって選択された対処ポイントが対処機能を実行するために必要なパラメータを取得する。出力部１２ｅは、選択部１２ｃによって選択された対処ポイントおよび有効な対処機能を示す情報とともに、取得部１２ｄによって取得されたパラメータを外部の対処機能制御装置３０に出力する。

ここで、図８の例を用いて、対処ポイントでの対処機能を実行させるために必要なパラメータを取得する処理を説明する。図８は、対処ポイントでの対処機能を実行させるために必要なパラメータを取得する処理を説明する図である。例えば、ＮＡＴ（Network Address Translation）などを理由として、検出された被害者のＩＰアドレスと対処ポイントで制御するための被害者のＩＰアドレスが異なる場合もある。図８の例では、検出された被害者のＩＰアドレスが「１０．１.０．４０」となり、対処ポイントでの制御用パラメータとなるＩＰアドレスが「Ｂ.Ｂ.Ｂ.Ｂ」となる。このＩＰアドレスの違いに対して、対処ポイント毎に、保護対象となるＶＭのＩＤ（例えば、図８の例ではＶＭ４７のＶＭ名「ＶＭ２」など）を統一な検索キーとする。そして、ＶＭ４７に対して各対処ポイントが制御を行う場合のＩＰアドレスをそれぞれ保持させる。

図８の例を用いて説明すると、例えば、取得部１２ｄは、サブネット４３が対処ポイントとして選択された場合には、サブネット４３でのＶＭ４７のＩＰアドレス「Ｂ.Ｂ.Ｂ.Ｂ」を取得する。そして、出力部１２ｅは、サブネット４３の仮想スイッチ等がＬ４遮断を実行できるように、必要なパラメータとして、ＶＭ４７のＩＰアドレス「Ｂ.Ｂ.Ｂ.Ｂ」を対処機能制御装置３０に出力する。

次に、図９を用いて、最適化装置１０が最適な対処ポイントを決定する処理の流れを説明する。図９は、最適化装置が最適な対処ポイントを決定する処理の流れを説明する図である。図９に示すように、最適化装置１０は、サイバー攻撃情報とシステム情報で攻撃経路上の対処ポイントを抽出する（図９の（１）参照）。図９の例では、仮想ＦＷ４０Ｃ、仮想ＮＷ４０Ｄ、仮想ＮＷ４０Ｆ、仮想ＷＡＦ４０Ｇが対処ポイントとして抽出されたものとする。

続いて、最適化装置１０は、抽出した対処ポイントのなかから有効な対処機能を有する対処ポイントの候補を絞り込む（図９の（２）参照）。図９の例では、対処ポイントである仮想ＦＷ４０Ｃ、仮想ＮＷ４０Ｄ、仮想ＮＷ４０Ｆおよび仮想ＷＡＦ４０Ｇすべてが有効な対処機能「Ｌ４遮断」を有していることから、仮想ＦＷ４０Ｃ、仮想ＮＷ４０Ｄ、仮想ＮＷ４０Ｆおよび仮想ＷＡＦ４０Ｇすべてが対処ポイントの候補となる。

そして、最適化装置１０は、最適化ロジックにより対処ポイントの候補から最適解を選定する（図９の（３）参照）。例えば、図９に例示するように、最適化装置１０が、サイバー攻撃の起点である攻撃者の端末に最寄りの対処ポイントを選定する最適化ロジックを用いて、仮想ＦＷ４０Ｃを攻撃者に最寄な対処ポイントに選定し、仮想ＦＷ４０ＣでＬ４遮断を実行できるようにする。

このように、最適化装置１０では、攻撃者、攻撃種別、対処機能などのサイバー攻撃情報とネットワーク構成情報やリソース利用状況情報等のシステム情報とを収集して、最適化ロジックを用いて、最適な対処ポイントと対処機能を動的に特定することで、最も攻撃者に近いポイントや、ネットワークやノードの負荷が低いポイントなど、最適なポイントにおいて最適な対処機能を用いてサイバー攻撃を防御できるという効果を奏する。

つまり、最適化装置１０は、例えば、サイバー攻撃毎に最新のトポロジ情報を分析し、発生攻撃に有効な対処機能を有する対処ポイントの候補を抽出して、多様な最適化観点で対処候補から最適解を決定し、適切かつ効率的なセキュリティ対処を実現することが可能である。

［最適化装置の処理の一例］
次に、図１０を用いて、最適化装置１０の処理について説明する。図１０は、第一の実施の形態に係る最適化装置における対処ポイント最適化処理の流れを示すフローチャートである。

図１０に示すように、最適化装置１０の収集部１２ａは、例えば、システム上でサイバー攻撃があった場合に、サイバー攻撃情報とシステム情報をセキュリティ分析システム２０から収集する（ステップＳ１０１）。そして、最適化装置１０の抽出部１２ｂは、サイバー攻撃情報（攻撃者ＩＰアドレス、被害者ＩＰアドレス、攻撃の種別）をシステム情報へマッピングし、攻撃経路を分析し、攻撃経路上の対処ポイントを抽出する（ステップＳ１０２）。

続いて、最適化装置１０の抽出部１２ｂは、対処ポイント毎に、実行可能な対処機能と要求された有効な対処機能を照合し、対処ポイントの候補を抽出する（ステップＳ１０３）。そして、最適化装置１０の選択部１２ｃは、最適化ロジックにより、最適な対処ポイントと対処機能を選択する（ステップＳ１０４）。例えば、選択部１２ｃは、サイバー攻撃の起点である攻撃者の端末に最寄りの対処ポイントを選定する最適化ロジック、または、最もリソース使用率が低い対処ポイントを選定する最適化ロジックを用いて、対処ポイントを選択する。

その後、最適化装置１０の出力部１２ｅは、最適な対処ポイントと対処機能を外部の対処機能制御装置３０へ出力する（ステップＳ１０５）。例えば、出力部１２ｅは、選択部１２ｃによって選択された対処ポイントおよび有効な対処機能を示す情報とともに、取得部１２ｄによって取得されたパラメータを外部に出力する。

［第一の実施形態の効果］
このように、第一の実施の形態に係るシステムの最適化装置１０は、サイバー攻撃に関する情報であるサイバー攻撃情報と、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報とを収集する。そして、最適化装置１０は、収集されたサイバー攻撃情報およびシステム情報に基づき、サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する。続いて、最適化装置１０は、抽出された対処ポイントの候補のなかから、設定された最適化ロジックを用いて、対処ポイントを選択する。これにより、ネットワーク上の機器の負荷状態やネットワーク構成の動的な変更に対応して、最適な対処ポイントにおいて最適な対処機能を用いてサイバー攻撃を適切に防御することができる。

つまり、最適化装置１０では、攻撃者、攻撃種別、対処機能などのサイバー攻撃情報とネットワーク構成情報やリソース利用状況情報等のシステム情報とを収集して、最適化ロジックを用いて、最適な対処ポイントと対処機能を動的に特定することで、最も攻撃者に近いポイントや、ネットワークやノードの負荷が低いポイントなど、最適なポイントにおいて最適な対処機能を用いてサイバー攻撃を防御できるという効果を奏する。例えば、最適化装置１０は、サイバー攻撃毎に最新のトポロジ情報を分析し、発生攻撃に有効な対処機能を有する対処ポイントの候補を抽出して、多様な最適化観点で対処候補から最適解を決定し、適切かつ効率的なセキュリティ対処を実現することが可能である。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。例えば、収集部１２ａと抽出部１２ｂとを統合してもよい。

また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
また、上記実施形態に係る最適化装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、最適化装置１０と同様の機能を実現する最適化プログラムを実行するコンピュータの一例を説明する。

図１１は、最適化プログラムを実行するコンピュータを示す図である。図１１に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。

ここで、図１１に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。

また、最適化プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明した最適化装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。

また、最適化プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、最適化プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、最適化プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０ 最適化装置
１１ 通信処理部
１２ 制御部
１２ａ 収集部
１２ｂ 抽出部
１２ｃ 選択部
１２ｄ 取得部
１２ｅ 出力部
１３ 記憶部
１３ａ サイバー攻撃情報記憶部
１３ｂ システム情報記憶部
２０ セキュリティ分析システム
３０ 対処機能制御装置

Claims (9)

1. サイバー攻撃に関する情報であるサイバー攻撃情報として、前記サイバー攻撃の種別を示す攻撃種別情報と、攻撃者の端末を識別する攻撃者識別子と、被害者の端末を識別する被害者識別子と、前記サイバー攻撃に対する有効な対処機能を示す対処機能情報とを収集し、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報として、サービス毎の利用経路と対処ポイントの候補となり得る機器とを表せるネットワーク構成情報と、前記対処ポイントの候補ごとの対処機能の情報と、前記対処ポイントの候補のリソース利用状況を示すリソース利用状況情報とを収集する収集部と、
   前記収集部によって収集されたサイバー攻撃情報およびシステム情報に基づき、前記サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、前記サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する抽出部と、
   前記抽出部によって抽出された対処ポイントの候補のなかから、設定された最適化ロジックを用いて、対処ポイントを選択する選択部と
   を備えることを特徴とする最適化装置。
2. 前記抽出部は、前記収集部によって収集された攻撃者識別子、被害者識別子及び攻撃種別情報を前記ネットワーク構成情報へ対応付け、前記サイバー攻撃の攻撃経路を特定し、該攻撃経路上の対処ポイントの候補を抽出し、該対処ポイントの候補毎の対処機能情報と該サイバー攻撃に有効な対処機能を照合し、該サイバー攻撃に有効な対処機能を有する機器を対処ポイントの候補として抽出することを特徴とする請求項１に記載の最適化装置。
3. 前記選択部は、前記抽出部によって抽出された対処ポイントの候補に対して、前記サイバー攻撃の起点である攻撃者の端末に最寄りの対処ポイントを選定する最適化ロジックを用いて、前記攻撃経路を参照し、前記対処ポイントの候補毎に攻撃者の端末とのネットワーク上の距離を分析し、前記対処ポイントの候補のなかで最も距離が短い対処ポイントを選択することを特徴とする請求項１または２に記載の最適化装置。
4. サイバー攻撃に関する情報であるサイバー攻撃情報と、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報とを収集する収集部と、
   前記収集部によって収集されたサイバー攻撃情報およびシステム情報に基づき、前記サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、前記サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する抽出部と、
   前記抽出部によって抽出された対処ポイントの候補に対して、最もリソース使用率が低い対処ポイントを選定する最適化ロジックを用いて、前記対処ポイントの候補毎のリソース利用状況を示すリソース利用状況情報を参照し、前記対処ポイントの候補のなかで最もリソース使用率が低い対処ポイントを選択する選択部と
   を備えることを特徴とする最適化装置。
5. 前記選択部によって選択された対処ポイントが対処機能を実行するために必要なパラメータを取得する取得部と、
   前記選択部によって選択された対処ポイントおよび前記有効な対処機能を示す情報とともに、前記取得部によって取得されたパラメータを外部に出力する出力部と
   をさらに備えることを特徴とする請求項１〜４のいずれか一つに記載の最適化装置。
6. 最適化装置で実行される最適化方法であって、
   サイバー攻撃に関する情報であるサイバー攻撃情報として、前記サイバー攻撃の種別を示す攻撃種別情報と、攻撃者の端末を識別する攻撃者識別子と、被害者の端末を識別する被害者識別子と、前記サイバー攻撃に対する有効な対処機能を示す対処機能情報とを収集し、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報として、サービス毎の利用経路と対処ポイントの候補となり得る機器とを表せるネットワーク構成情報と、前記対処ポイントの候補ごとの対処機能の情報と、前記対処ポイントの候補のリソース利用状況を示すリソース利用状況情報とを収集する収集工程と、
   前記収集工程によって収集されたサイバー攻撃情報およびシステム情報に基づき、前記サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、前記サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する抽出工程と、
   前記抽出工程によって抽出された対処ポイントの候補のなかから、設定された最適化ロジックを用いて、対処ポイントを選択する選択工程と
   を含んだことを特徴とする最適化方法。
7. 最適化装置で実行される最適化方法であって、
   サイバー攻撃に関する情報であるサイバー攻撃情報と、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報とを収集する収集工程と、
   前記収集工程によって収集されたサイバー攻撃情報およびシステム情報に基づき、前記サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、前記サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する抽出工程と、
   前記抽出工程によって抽出された対処ポイントの候補に対して、最もリソース使用率が低い対処ポイントを選定する最適化ロジックを用いて、前記対処ポイントの候補毎のリソース利用状況を示すリソース利用状況情報を参照し、前記対処ポイントの候補のなかで最もリソース使用率が低い対処ポイントを選択する選択工程と
   を含んだことを特徴とする最適化方法。
8. サイバー攻撃に関する情報であるサイバー攻撃情報として、前記サイバー攻撃の種別を示す攻撃種別情報と、攻撃者の端末を識別する攻撃者識別子と、被害者の端末を識別する被害者識別子と、前記サイバー攻撃に対する有効な対処機能を示す対処機能情報とを収集し、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報として、サービス毎の利用経路と対処ポイントの候補となり得る機器とを表せるネットワーク構成情報と、前記対処ポイントの候補ごとの対処機能の情報と、前記対処ポイントの候補のリソース利用状況を示すリソース利用状況情報とを収集する収集ステップと、
   前記収集ステップによって収集されたサイバー攻撃情報およびシステム情報に基づき、前記サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、前記サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する抽出ステップと、
   前記抽出ステップによって抽出された対処ポイントの候補のなかから、設定された最適化ロジックを用いて、対処ポイントを選択する選択ステップと
   をコンピュータに実行させるための最適化プログラム。
9. サイバー攻撃に関する情報であるサイバー攻撃情報と、該サイバー攻撃を受けた機器を含むシステム全体に関する情報であるシステム情報とを収集する収集ステップと、
   前記収集ステップによって収集されたサイバー攻撃情報およびシステム情報に基づき、前記サイバー攻撃の攻撃経路を特定し、該攻撃経路上にある機器であって、前記サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する抽出ステップと、
   前記抽出ステップによって抽出された対処ポイントの候補に対して、最もリソース使用率が低い対処ポイントを選定する最適化ロジックを用いて、前記対処ポイントの候補毎のリソース利用状況を示すリソース利用状況情報を参照し、前記対処ポイントの候補のなかで最もリソース使用率が低い対処ポイントを選択する選択ステップと
   をコンピュータに実行させるための最適化プログラム。

Images