JP6407184B2 - 攻撃対策判定システム、攻撃対策判定方法及び攻撃対策判定プログラム - Google Patents

Description

本発明は、組織の情報システムに対するサイバー攻撃対策における不足や補強を判定する攻撃対策判定システム、攻撃対策判定方法及び攻撃対策判定プログラムに関する。

近年、マルウェアが機密情報を組織外に漏洩させる事故が問題となっている。マルウェアを用いたサイバー攻撃は高度化されつつあり、具体例として、非特許文献１に示されるＡＰＴ（高度かつ継続的な脅威：Ａｄｖａｎｃｅｄ・Ｐｅｒｓｉｓｔｅｎｔ・Ｔｈｒｅａｔ）と呼ばれる攻撃等がある。

ＡＰＴでは、添付メールなどで組織に侵入したマルウェアが、計算機に感染し、さらに、攻撃者が運用するインターネット上のＣ＆Ｃ（Ｃｏｍｍａｎｄ＆Ｃｏｎｔｒｏｌ）サーバと通信し、新しいマルウェアや攻撃ツールをダウンロードしたり自身をアップデートする。そして、マルウェアはＣ＆Ｃサーバから命令を受信して、組織内を偵察し、ファイルサーバを見つけ、機密ファイルをＣ＆Ｃサーバへ通信で漏洩する。これらの各活動を、攻撃とみなした場合、各攻撃は、長時間かけて段階的に行われる。具体例として、計算機に感染したマルウェアは、感染後、１ヶ月は活動せず身を潜め、１ヵ月後にＣ＆Ｃサーバと通信を開始する。

ＡＰＴ対策の既存技術として、不審なＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ・Ｔｒａｎｓｆｅｒ・Ｐｒｏｔｏｃｏｌ）通信を検知する技術、パターンファイルによるウィルス検知技術など様々なものがある。この様なＡＰＴ対策の例として非特許文献１がある。

また、サイバー攻撃対策を行うにあたり、対策する攻撃手段は多数あり、情報システムを安全に守るためには、網羅的な攻撃手段の情報に対して、どの攻撃手段を対策すべきか調べた上で、攻撃を検知・対策するセキュリティ施策を行う必要がある。網羅的な攻撃手段の情報の例として非特許文献２がある。この文献に示される攻撃手段のリストには、攻撃手段の概要、攻撃方法、影響、検知や対策の方法が示されている。

また、サイバー攻撃について、どの様な攻撃が発生したかを情報共有するためのフォーマットとして、非特許文献３がある。

また、特許文献１には、セキュリティ監視サービスにおいて、サービス利用者が契約しているセキュリティサービスメニューや対策を変更することにより、現在起きている攻撃手段を回避可能か表示する機能が開示されている。

特開２０１５−０２６１８２号公報

「新しいタイプの攻撃」の対策に向けた設計・運用ガイド改訂第２版、ＩＰＡ、２０１１年１１月、ｈｔｔｐｓ：／／ｗｗｗ．ｉｐａ．ｇｏ．ｊｐ／ｆｉｌｅｓ／００００１７３０８．ｐｄｆ 攻撃手段のリストの例、ＣＡＰＥＣ：Ｃｏｍｍｏｎ Ａｔｔａｃｋ Ｐａｔｔｅｒｎ Ｅｎｕｍｅｒａｔｉｏｎ ａｎｄ Ｃｌａｓｓｉｆｉｃａｔｉｏｎ，ｈｔｔｐｓ：／／ｃａｐｅｃ．ｍｉｔｒｅ．ｏｒｇ／ 攻撃手段のリストの例、ＳＴＩＸ：Ｓｔｒｕｃｔｕｒｅｄ Ｔｈｒｅａｔ Ｉｎｆｏｒｍａｔｉｏｎ ｅＸｐｒｅｓｓｉｏｎ，ｈｔｔｐｓ：／／ｓｔｉｘ．ｍｉｔｒｅ．ｏｒｇ／

サイバー攻撃は様々な攻撃手段を用いて行われるため、情報システムにおけるサイバー攻撃対策を確実に行うためには、ＣＡＰＥＣ（Ｃｏｍｍｏｎ・Ａｔｔａｃｋ・Ｐａｔｔｅｒｎ・Ｅｎｕｍｅｒａｔｉｏｎ・ａｎｄ・Ｃｌａｓｓｉｆｉｃａｔｉｏｎ：共通攻撃パターン一覧）などで示される網羅的な攻撃手段のリストを参照し、１つ１つの攻撃手段についてどの様な検知・対策を行うか検討する必要がある。
ここで、検知と対策について説明する。
検知は攻撃手段を見つけることである。具体例として、攻撃パケットをＩＤＳ（Ｉｎｔｒｕｓｉｏｎ・Ｄｅｔｅｃｔｉｏｎ・Ｓｙｓｔｅｍ）で検知することが該当する。
対策は、実施することでその攻撃手段が実行されても被害を受けない施策である。具体例として、ソフトウェアの脆弱性修正パッチを適用することで、その脆弱性への攻撃が発生しても影響を受けないような、パッチ適用が該当する。
また、マルウェアについては、アンチマルウェアソフトで検知して駆除する場合がある。この施策は検知と対策の両方を含んだものである。
以後、検知、対策という文言は、上記の様な意味で使用するものとする。

また、検知・対策の導入に伴う費用や運用負荷の増加などの理由で、全ての攻撃手段について検知・対策を行うことができない場合があり、優先的に対策する攻撃手段を抽出する必要がある。
さらに、ある攻撃手段について、その攻撃手段を検知する機能があるセキュリティ製品や検知技術を検知・対策として適用したとしても、その方法によっては、検知漏れが発生する場合がある。具体例として、プログラムの不審な振る舞いを検知することでウィルスなどの不正プログラムを検知する製品があったとしても、不正プログラムが正常なプログラムに似た振る舞いの範囲で不正な活動をすれば検知漏れすることがある。また、誤検知が多い製品の場合は、一定時間内に同じ検知アラートが閾値回数以上発生した場合にのみ、攻撃を検知したと判断する運用があり、この条件を満たさない攻撃は検知漏れすることになる。従って、攻撃手段について、検知・対策を実施していても、検知漏れする場合があるため、検知を強化する必要がある。

しかし、従来は、攻撃手段に対し実施済の検知・対策について、他の検知・対策による強化をすべきか、強化する場合はどの様に実施したらよいかを示す技術が無かった。
特許文献１では、現在発生している攻撃手段について、契約している検知・対策サービスメニューを、予め用意された別の検知・対策サービスメニューの中から適切なものに変更することで、対応することが示されている。しかし、用意している検知・対策サービスメニューについて、検知漏れや誤検知を考慮したうえでこれらを強化する方式については示されていない。

本発明は、検知手段の検知漏れや誤検知を考慮した検知精度に基づいて、攻撃手段に対する組織の対策をより的確に判定することができる攻撃対策判定システムを提供することを目的とする。

本発明に係る攻撃対策判定システムは、
サイバー攻撃の攻撃手段と、前記攻撃手段を検知する検知手段と、前記攻撃手段に対する前記検知手段の検知精度とを含む攻撃検知情報を生成する検知情報生成部と、
前記攻撃検知情報と、前記サイバー攻撃の対象となる組織において前記攻撃手段に対する対策として実施されている検知手段を組織検知手段として含む組織対策情報とを取得し、前記攻撃検知情報に含まれる前記検知精度と前記組織対策情報とに基づいて、前記組織における前記対策の効果の程度を表す効果度を判定する対策状況判定部と
を備えた。

本発明に係る攻撃対策判定システムでは、検知情報生成部が、攻撃手段に対する検知手段の検知精度を含む攻撃検知情報を生成し、対策状況判定部が、攻撃検知情報と、組織において攻撃手段に対する対策として実施されている検知手段を組織検知手段として含む組織対策情報とを取得し、検知精度と組織対策情報とに基づいて、組織における対策の効果の程度を表す効果度を判定する。このように、本発明に係る攻撃対策判定システムによれば、検知精度に基づいて攻撃手段に対する組織の対策を判定することができ、より的確に組織の対策を判定することができるという効果を奏する。

実施の形態１に係る対策状況生成装置１、攻撃事例判定装置２、対策候補抽出装置３の関係を示す図。 実施の形態１に係る対策状況生成装置１の構成図。 実施の形態１に係る攻撃対策判定方法５１０及び攻撃対策判定プログラム５２０の攻撃対策判定処理Ｓ１００のフロー図。 実施の形態１に係る攻撃情報生成処理Ｓ１１０の入出力の構成図。 実施の形態１に係る攻撃情報生成処理Ｓ１１０のフロー図。 実施の形態１に係る検知情報生成処理Ｓ１２０の入出力の構成図。 実施の形態１に係る検知対策手段情報１２の例を示す図。 実施の形態１に係る検知対策手段情報１２の別例を示す図。 実施の形態１に係るキーワード変換表の例を示す図。 実施の形態１に係る検知情報生成処理Ｓ１２０のフロー図。 実施の形態１に係る検知情報生成処理Ｓ１２０で用いる判定表１２０１を示す図。 実施の形態１に係る危険度判定処理Ｓ１３０の入出力の構成図。 実施の形態１に係る攻撃事例情報１３の一例を示す図。 実施の形態１に係る重みづけ情報１４の一例を示す図。 実施の形態１に係る危険度判定処理Ｓ１３０のフロー図。 実施の形態１に係る攻撃対策状況判定処理Ｓ１４０の入出力の構成図。 実施の形態１に係る組織対策情報１５の一例を示す図。 実施の形態１に係る攻撃対策状況判定処理Ｓ１４０のフロー図。 実施の形態１の変形例に係る対策状況生成装置１の構成図。 実施の形態２に係る攻撃事例判定装置２の構成及び入出力を示す図。 実施の形態２に係る攻撃事例判定部２０１による攻撃事例判定処理Ｓ２００のフロー図。 実施の形態３に係る対策候補抽出装置３の構成及び入出力を示す図。 実施の形態３に係る対策候補抽出装置３の構成及び入出力の別例を示す図。 実施の形態３に係る対策候補抽出処理Ｓ３００のフロー図。 実施の形態４に係る対策候補抽出装置３の構成及び入出力を示す図。 実施の形態１０に係る組織対策情報１５ａの構成図。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を用いて、本実施の形態に係る対策状況生成装置１、攻撃事例判定装置２、対策候補抽出装置３の関係について説明する。
対策状況生成装置１は、攻撃情報１１に対して、検知対策手段情報１２、組織対策情報１５、攻撃事例情報１３、及び重みづけ情報１４を用いて、対策状況情報１６を出力する。攻撃情報１１は、攻撃手段に関する情報である。検知対策手段情報１２は、検知漏れ、誤検知可能性の情報を含む検知・対策の情報である。組織対策情報１５は、対策状況生成装置１により攻撃への対策状況を調査する対象の組織における実施済の対策情報である。攻撃事例情報１３は、サイバー攻撃の事例情報である。重みづけ情報１４は、危険度を判定するための情報である。対策状況情報１６は、攻撃情報１１に含まれる攻撃手段に対する組織の対策状況に対する評価判定を含む情報である。

攻撃事例判定装置２は、対策状況情報１６を用いて、ある攻撃事例情報１３ａに対して対策できているかを判定し、攻撃事例対応情報１７を出力する。

対策候補抽出装置３は、攻撃事例対応情報１７において、誤検知あり、あるいは回避可能として判定された攻撃手段について対策を強化するための情報である強化対策情報１８を出力する。

図２を用いて、本実施の形態に係る対策状況生成装置１の構成について説明する。
本実施の形態において、対策状況生成装置１は、コンピュータである。対策状況生成装置１は、プロセッサ９１０、記憶装置９２０、入力インタフェース９３０、出力インタフェース９４０といったハードウェアを備える。
また、対策状況生成装置１は、機能構成として、攻撃情報生成部１０１と、検知情報生成部１０２と、危険度判定部１０３と、対策状況判定部１０４と、対策状況出力部１０５、記憶部１５０とを備える。以下の説明では、対策状況生成装置１における攻撃情報生成部１０１と、検知情報生成部１０２と、危険度判定部１０３と、対策状況判定部１０４と、対策状況出力部１０５との機能を、対策状況生成装置１の「部」の機能という。対策状況生成装置１の「部」の機能は、ソフトウェアで実現される。
また、記憶部１５０は、記憶装置９２０で実現される。記憶部１５０には、攻撃手段情報１１１と、攻撃検知情報１２１と、攻撃検知危険度情報１３１とが記憶される。対策状況出力部１０５により出力される対策状況情報１６が記憶されていてもよい。

プロセッサ９１０は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
プロセッサ９１０は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ・Ｃｉｒｃｕｉｔ）である。プロセッサ９１０は、具体的には、ＣＰＵ（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ）である。

記憶装置９２０は、補助記憶装置９２１及びメモリ９２２を含む。補助記憶装置９２１は、具体的には、ＲＯＭ（Ｒｅａｄ・Ｏｎｌｙ・Ｍｅｍｏｒｙ）、フラッシュメモリ、又は、ＨＤＤ（Ｈａｒｄ・Ｄｉｓｋ・Ｄｒｉｖｅ）である。メモリ９２２は、具体的には、ＲＡＭ（Ｒａｎｄｏｍ・Ａｃｃｅｓｓ・Ｍｅｍｏｒｙ）である。記憶部１５０は、メモリ９２２により実現される。なお、記憶部１５０は、補助記憶装置９２１により実現されていてもよいし、補助記憶装置９２１とメモリ９２２の両方により実現されてもよい。

入力インタフェース９３０は、マウス、キーボード、タッチパネルといった入力装置と接続されるポートである。入力インタフェース９３０は、攻撃情報１１、検知対策手段情報１２、攻撃事例情報１３、重みづけ情報１４、組織対策情報１５を対策状況生成装置１に取り込む。入力インタフェース９３０は、具体的には、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ・Ｓｅｒｉａｌ・Ｂｕｓ）端子、ＲＳ−２３２Ｃといったシリアルインタフェースである。なお、入力インタフェース９３０は、ＬＡＮ（Ｌｏｃａｌ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）と接続されるポートであってもよい。

出力インタフェース９４０は、ディスプレイといった表示機器のケーブルが接続されるポートである。出力インタフェース９４０は、具体例として、ＵＳＢ端子、ＨＤＭＩ（登録商標）（Ｈｉｇｈ・Ｄｅｆｉｎｉｔｉｏｎ・Ｍｕｌｔｉｍｅｄｉａ・Ｉｎｔｅｒｆａｃｅ）端子、ＲＳ−２３２Ｃといったシリアルインタフェースである。ディスプレイは、具体的には、ＬＣＤ（Ｌｉｑｕｉｄ・Ｃｒｙｓｔａｌ・Ｄｉｓｐｌａｙ）である。

補助記憶装置９２１には、「部」の機能を実現するプログラムが記憶されている。このプログラムは、メモリ９２２にロードされ、プロセッサ９１０に読み込まれ、プロセッサ９１０によって実行される。補助記憶装置９２１には、ＯＳ（Ｏｐｅｒａｔｉｎｇ・Ｓｙｓｔｅｍ）も記憶されている。ＯＳの少なくとも一部がメモリ９２２にロードされ、プロセッサ９１０はＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。

対策状況生成装置１は、１つのプロセッサ９１０のみを備えていてもよいし、複数のプロセッサ９１０を備えていてもよい。複数のプロセッサ９１０が「部」の機能を実現するプログラムを連携して実行してもよい。

「部」の機能による処理の結果を示す情報、データ、信号値、及び、変数値は、補助記憶装置９２１、メモリ９２２、又は、プロセッサ９１０内のレジスタ又はキャッシュメモリに記憶される。なお、図２において、「部」の各部と記憶部１５０とを結ぶ矢印は、各部による処理の結果を記憶部１５０に記憶する、あるいは、記憶部１５０から情報を各部が読み出すことを表している。また、各部同士を結ぶ矢印は、制御の流れを表している。なお、情報が各部同士でメモリ９２２を介して授受されることを表すメモリ９２２と各部間の矢印については省略する。

「部」の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）といった可搬記録媒体に記憶されてもよい。
なお、「部」の機能を実現するプログラムを攻撃対策判定プログラム５２０ともいう。攻撃対策判定プログラムは、「部」として説明している機能を実現するプログラムである。また、攻撃対策判定プログラムプロダクトと称されるものは、攻撃対策判定プログラムが記録された記憶媒体及び記憶装置であり、見た目の形式に関わらず、コンピュータ読み取り可能なプログラムをロードしているものである。

＊＊＊動作の説明＊＊＊
図３は、本実施の形態に係る攻撃対策判定方法５１０及び攻撃対策判定プログラム５２０の攻撃対策判定処理Ｓ１００のフロー図である。
図３に示すように、攻撃対策判定処理Ｓ１００は、攻撃情報生成処理Ｓ１１０と、検知情報生成処理Ｓ１２０と、危険度判定処理Ｓ１３０と、対策状況判定処理Ｓ１４０と、対策状況出力処理Ｓ１５０とを有する。

＜攻撃情報生成処理Ｓ１１０＞
図４を用いて、本実施の形態に係る攻撃情報生成処理Ｓ１１０の入出力の構成について説明する。
攻撃情報生成部１０１は、サイバー攻撃の攻撃手段を表現したＣＡＰＥＣなどの複数の攻撃情報１１を入力とし、攻撃手段情報１１１を出力する。攻撃情報１１は、攻撃手段ＩＤ、攻撃名称、説明文、重大度、検知・対策、影響を受けるソフトウェア名の情報などで構成される。本実施の形態では、攻撃情報生成部１０１は、１つの攻撃情報１１から、攻撃手段ＩＤ、攻撃名称、説明文を抽出して、攻撃手段情報１１１において１行の情報として記録する。１行の情報をエントリともいう。この処理を全ての攻撃情報１１について行う。この結果、攻撃情報生成部１０１は図４に示す攻撃手段情報１１１を出力する。図４では、攻撃手段情報１１１を表として表現している。なお、少なくとも攻撃手段ＩＤ或いは攻撃名称のいずれかからサイバー攻撃の攻撃手段２１が特定されるものとする。説明文は単に説明ともいう。

次に、図５を用いて、本実施の形態に係る攻撃情報生成処理Ｓ１１０の流れについて説明する。
ステップＳ１１１において、攻撃情報生成部１０１は、ａという変数に攻撃情報１１の数、すなわち幾つの攻撃情報１１が存在するかを設定する。さらに、攻撃情報生成部１０１は、攻撃情報１１から、攻撃情報ｉを選択する。ここで、ｉは１から攻撃情報１１の数までの自然数をとる。
ステップＳ１１２において、攻撃情報生成部１０１は、ｉ＞ａである場合は、処理を終わる。ｉ＞ａで無い場合は、ステップＳ１１３へ進む。
ステップＳ１１３において、攻撃情報生成部１０１は、攻撃情報ｉから、攻撃手段ＩＤ、攻撃名称、説明を抽出して、攻撃手段情報１１１に１行の情報として加える。
ステップＳ１１４において、攻撃情報生成部１０１は、ｉをインクリメントする。

以上で、攻撃情報生成処理Ｓ１１０についての説明を終わる。

＜検知情報生成処理Ｓ１２０＞
図６を用いて、本実施の形態に係る検知情報生成処理Ｓ１２０の入出力の構成について説明する。
検知情報生成部１０２は、サイバー攻撃の攻撃手段２１と、攻撃手段２１を検知する検知手段２２と、攻撃手段２１に対する検知手段２２の検知精度２３とを含む攻撃検知情報１２１を生成する。

具体的には、検知情報生成部１０２は、攻撃手段２１を含む攻撃手段情報１１１と、検知・対策の技術・製品に関する検知対策手段情報１２とを入力し、攻撃検知情報１２１を出力する。ここで、検知・対策の技術・製品を攻撃手段２１に対して検知・対策する検知手段２２とする。検知手段２２は、検知・対策、あるいは検知・対策手段ともいう。攻撃検知情報１２１は、攻撃手段情報１１１における、攻撃手段ＩＤで識別される攻撃手段２１について、検知手段２２の情報をマッピングしたものである。また、攻撃検知情報１２１には、検知手段２２が攻撃手段２１に対し、どの程度有効であるかを示す検知精度２３が設定される。攻撃検知情報１２１は、攻撃手段・検知対策手段情報ともいう。

具体例として、検知対策手段情報１２は、ＩＤＳ／ＦＷ（ＦｉｒｅＷａｌｌ）／メールフィルタなどの検知・対策の技術や製品の情報と、プロキシログを分析／ＦＷログを分析などのログ分析の情報との検知手段２２から構成される。この場合、検知精度２３とは、どの検知・対策の技術や製品／ログ分析が、攻撃手段２１への対策として有効かを、○：検知可能、×：検知不可能、△：誤検知の可能性あり、□：検知漏れの可能性あり、◇：検知可能・検知不可能・誤検知ありという表現で表したものである。すなわち、検知精度２３は、検知手段２２が攻撃手段２１を検知できない第１検知精度（×：検知不可能）と、検知手段２２による攻撃手段２１の検知漏れの場合がある第２検知精度（□：検知漏れの可能性あり）と、検知手段２２が攻撃手段２１を誤検知する場合がある第３検知精度（△：誤検知の可能性あり）と、検知手段２２が攻撃手段２１を誤検知せず、かつ、検知手段２２による攻撃手段２１の検知漏れがない第４検知精度（○：検知可能）と、検知手段２２が攻撃手段２１を検知できる場合と、検知手段２２が攻撃手段２１を検知できない場合と、検知手段２２が攻撃手段２１を誤検知する場合とがある第５検知精度（◇：検知可能・検知不可能・誤検知あり）とを有する。なお、検知精度２３は、第１検知精度（×：検知不可能）と、第２検知精度（□：検知漏れの可能性あり）と、第３検知精度（△：誤検知の可能性あり）と、第４検知精度（○：検知可能）と、第５検知精度（◇：検知可能・検知不可能・誤検知あり）との少なくともいずれかを有していてもよい。
ここで、「検知手段２２が、攻撃手段２１を誤検知する」とは、検知手段２２が攻撃手段２１以外の正常な通信／処理、攻撃手段２１以外の攻撃を誤って攻撃手段２１として検知してしまうことを意味する。

図７は、本実施の形態に係る検知対策手段情報１２の例を示す図である。図７では、検知対策手段情報１２にセキュリティ製品が示される例を示している。また、図７では、検知対策手段情報１２を表として表現する。以下に、表のカラムの意味を説明する。
「ＣＭ＿ＩＤ」は、１つの検知・対策情報を区別するためのＩＤである。
「製品カテゴリ」は、ＦＷ、振る舞い検知などの、セキュリティ製品のカテゴリを示す。ここで、製品カテゴリには、ハードウェア、ソフトウェア、システムなどの製品のカテゴリ、無償で公開されているハードウェア、ソフトウェア、システムなどのカテゴリ、セキュリティ技術のカテゴリなどが含まれる。
「検知可能」は、当製品で検知できる攻撃手段を示す。
「検知不可能」は、当製品で検知できない攻撃手段を示す。
「誤検知」は、当製品で誤って検知する処理や通信を示す。

具体例として、図７の検知対策手段情報１２の１行目を用いて説明する。
「ＣＭ＿ＩＤ」がＣＭ＿ＩＤ＿１のセキュリティ製品である。
「製品カテゴリ」は次世代ＦＷであり、「製品カテゴリ」を示す名称“次世代ＦＷ”と、この「製品カテゴリ」を示すキーワードとして、［ＮＧＦＷ］（Ｎｅｘｔ・Ｇｅｎｅｒａｔｉｏｎ・Ｆｉｒｅ・Ｗａｌｌ）が設定される。当製品は、レピュテーション機能と、大量のＨＴＴＰ通信量が発生した場合に不審なＨＴＴＰ通信として検知する製品である。ここで、レピュテーション機能とは、様々なＷｅｂサイトについて悪性か否かを判定した情報を蓄積したデータベースを用いて、ＨＴＴＰ通信しているＷｅｂサイトが不正か否か判断し、不正であると判断した場合は、不審なＨＴＴＰ通信が行われていると検知する機能である。
「検知可能」は、“不審なＨＴＴＰ通信”であり、当製品に備わっているレピュテーション機能や大量のＨＴＴＰ通信の検知機能により不審なＨＴＴＰ通信として検知可能、という意味である。“不審なＨＴＴＰ通信”を示すキーワードとして［ＵＲＬ，Ｓｕｓｐｉｃｉｏｕｓ，ＨＴＴＰ］が設定される。
「検知不可能」は、“改ざんされた正規サイトとのＨＴＴＰ通信”である。レピュテーション機能は、改ざんされた正規サイトについて、改ざんされてすぐの場合は、データベースに「改ざんされており悪性のＷｅｂサイトである」という情報が反映されない場合があり、その場合このＷｅｂサイトとの通信を不審として検知しない。“改ざんされた正規サイトとのＨＴＴＰ通信”を示すキーワードとして［ＵＲＬ，ｌｅｇｉｔｉｍａｔｅ，ＨＴＴＰ］が設定される。
「誤検知」は、“正規の大量のＨＴＴＰ通信”である。正規Ｗｅｂサイトとの通信が、偶然に大量に発生した場合に、不審な通信として誤検知する。“正規の大量のＨＴＴＰ通信”を示すキーワードとして［ＵＲＬ，Ｌｅｇｉｔｉｍａｔｅ，ＨＴＴＰ］が設定される。
なお、２行目のＣＭ＿ＩＤ＿２は振る舞い検知（ＡＰ：Ａｐｐｌｉａｎｃｅ）、３行目のＣＭ＿ＩＤ＿３はＩＤＳ（シグネチャ型）についての例である。なお、ＣＭ＿ＩＤ＿３の誤検知の様に該当する事項が無い場合は無と記述している。
また、キーワードについては、後で使い方を詳しく説明する。
以上のように、図７の検知対策手段情報１２では、セキュリティ製品の種類ごとに、検知可能、検知不可能、誤検知可能性の情報を格納する。

図８は、本実施の形態に係る検知対策手段情報１２の別例を示す図である。図８では、検知対策手段情報１２に、ログ分析が示される例を示している。以下に図８の表のカラムの意味を説明する。
「ＣＭ＿ＩＤ」は、１つの検知・対策を区別するためのＩＤである。
「ログ種類」は、攻撃手段を検知するために分析するログの種類を示す。
「検知可能」は、当ログ分析で検知できる攻撃手段を示す。
「検知不可能」は、当ログ分析で検知できない攻撃手段を示す。
「誤検知」は、当ログ分析で誤って検知する処理や通信を示す。

具体例として、図８の検知対策手段情報１２の１行目を用いて説明する。
「ＣＭ＿ＩＤ」がＣＭ＿ＩＤ＿１１のログ分析である。
「ログ種類」はプロキシログであり、「ログ種類」を示す名称“プロキシログ”と、この「製品カテゴリ」を示すキーワードとして、［ＰＲＯＸＹ］が設定される。
当ログ分析は、１つのＷｅｂサイトと１つの端末が、単位時間あたりに通信する回数が閾値以上である場合にであって定期的（Ｐｅｒｉｏｄｉｃ）に通信している場合に攻撃（不審な通信）として検知する。
「検知可能」は、“定期的なＣ＆Ｃ通信”であり、１つのＷｅｂサイト（Ｃ＆Ｃサーバ）と１つの端末が、単位時間あたりに通信する回数が閾値以上である場合、Ｃ＆Ｃサーバと通信していると検知する。“定期的なＣ＆Ｃ通信”を示すキーワードとして［ＨＴＴＰ，Ｐｅｒｉｏｄｉｃ］が設定される。
「検知不可能」は、“不定期なＣ＆Ｃ通信”である。具体例として、１つのＷｅｂサイト（Ｃ＆Ｃサーバ）と１つの端末がランダムな間隔で通信した場合、１つのＷｅｂサイトと１つの端末が、単位時間あたりに通信する回数が閾値以上にならないことがあり、この場合は検知できない。“不定期なＣ＆Ｃ通信”を示すキーワードとして［ＨＴＴＰ，ｕｎｐｅｒｉｏｄｉｃ］が設定される。
「誤検知」は、“正規のＨＴＴＰ通信”である。１つの正規Ｗｅｂサイトと１つの端末が、単位時間あたりに通信する回数が閾値以上であった場合に誤検知する。“正規のＨＴＴＰ通信”を示すキーワードとして［ＨＴＴＰ，ｕｎｉｎｔｅｎｔｉｏｎａｌ，ｐｅｒｉｏｄｉｃ］が設定される。
なお、２行目のＣＭ＿ＩＤ＿１２はＯＳなどの監査ログで認証エラーなどのイベントが記録されるものであり、３行目のＣＭ＿ＩＤ＿１３はＦＷ（Ｆｉｒｅ・Ｗａｌｌ）で、ポリシー違反の通信などが記録される例である。
以上のように、図８の検知対策手段情報１２では、分析するログと分析内容ごとに、検知可能、検知不可能、誤検知可能性の情報を格納する。

上記のようなキーワードは、予め、攻撃情報１１、攻撃事例情報１３において共通に現れる文言を使用する。攻撃情報１１、攻撃事例情報１３について、公開情報を利用する場合、これらの間で、攻撃手段を表現する文言や、検知手段（製品カテゴリ、ログ種類などの検知・対策）を示す文言は同じになる可能性が高いので、まず、これらに共通の文言を抽出する。次に、検知対策手段情報１２を生成する際に、抽出した文言をキーワードとして設定することで、攻撃情報１１、検知対策手段情報１２、攻撃事例情報１３において攻撃手段、検知手段（検知・対策）を表す文言を共有できる。
検知対策手段情報１２は、製品カテゴリ、技術カテゴリから、上記のような手法を用いて、対策状況生成装置１の外で予め作成される。なお、検知対策手段情報１２は、製品カテゴリ、技術カテゴリから、上記のような手法を用いて予め手動で作成されてもよい。

図９は、本実施の形態に係るキーワード変換表の例を示す図である。
もし、攻撃情報１１、攻撃事例情報１３、検知対策手段情報１２において、攻撃手段を表現する文言、検知手段（製品カテゴリ、ログ種類などの検知・対策）を共通化できない場合は、これらの文言間でキーワード変換表を作成し、対策状況生成装置１に保存する。
図９のキーワード変換表の例では、Ｎｏ１の行において、検知対策手段情報１２における“Ｖｉｒｕｓ”というキーワードは、攻撃情報１１における「説明文」内の該当する文言である“Ｍａｌｗａｒｅ”と同一とみなす。攻撃情報１１は複数の攻撃情報１１を含むが、これらの「説明文」においては一般的に用語が統一されているため、この様な１つの変換を定義すればよい。同様にＮｏ２において、検知対策手段情報１２おける“Ｗｅｂ”は、攻撃事例情報１３における「説明文」では“ＵＲＬ”、又は、“Ｗｅｂ ｓｉｔｅ”と変換される。Ｎｏ３では、“Ｍａｌｉｃｉｏｕｓ”は“Ｓｕｓｐｉｃｉｏｕｓ”に変換される。Ｎｏ４では、“ＨＴＴＰ”は同一の“ＨＴＴＰ”に変換される。Ｎｏ５では、攻撃情報１１における「説明文」内の該当する文言には存在する“ＨＴＴＰＳ”は、検知対策手段情報１２では該当するキーワードは無いため斜線で表している。

同じようなキーワード変換表を、攻撃情報１１と攻撃事例情報１３間、検知対策手段情報１２と攻撃事例情報１３間で作成しても良い。
この様なキーワード変換表の作成は、対策状況生成装置１の外で行う。

次に、図１０を用いて、本実施の形態に係る検知情報生成処理Ｓ１２０の流れについて説明する。
まず、以下に、検知情報生成処理Ｓ１２０の概要について説明する。
検知情報生成部１０２は、サイバー攻撃の攻撃手段２１と、攻撃手段２１を検知する検知手段２２と、攻撃手段２１に対する検知手段２２の検知精度２３とを含む攻撃検知情報１２１を生成する。検知情報生成部１０２は、攻撃手段２１を説明する説明文を含む攻撃手段情報１１１と、検知手段２２が検知する攻撃手段２１を検知精度２３に応じて取得するためのキーワードを含む検知対策手段情報１２とを取得する。そして、検知情報生成部１０２は、キーワードを用いて攻撃手段情報１１１に含まれる説明文を検索し、検知手段２２が検知する攻撃手段２１を検知精度２３に応じて検出する。そして、検知情報生成部１０２は、検知精度２３に応じて検出した攻撃手段２１の情報を用いて攻撃検知情報１２１を生成する。

以下に、図１０を用いて検知情報生成処理Ｓ１２０について詳しく説明する。
検知情報生成部１０２は、入力された攻撃手段情報１１１の１つの行を抽出する。抽出した行に対応する攻撃手段ＩＤを攻撃手段ＩＤ＿ｊで示す。ここで、ｊは１から攻撃手段ＩＤの数（すなわち攻撃手段情報１１１の行の数）までの自然数をとる。検知対策手段情報１２は、ＣＭ＿ＩＤ＿ｉで構成されるとする。ここで、ｉは１から検知対策手段情報１２の行の数までの自然数をとる。ここで、検知対策手段情報１２の行の数をｎとする。

ステップＳ１２１において、検知情報生成部１０２は、変数に、初期値を設定する。検知情報生成部１０２は、ｉ＝１、ｄｅｔｅｃｔ＿ｆｌａｇ＝Ｆａｌｓｅ、ｕｎｄｅｔｅｃｔ＿ｆｌａｇ＝Ｆａｌｓｅ、ｆａｌｓｅｄｅｔｅｃｔ＿ｆｌａｇ＝Ｆａｌｓｅを設定する。
ステップＳ１２２において、検知情報生成部１０２は、攻撃手段ＩＤ＿ｊに該当する、攻撃手段情報１１１のエントリにおける「説明文」を抽出する。具体例として、「説明文」が「Ａ ｍａｌｗａｒｅ ｍａｌｉｃｉｏｕｓｌｙ ａｃｃｅｓｓｅｓ ｄａｔａ ｆｉｌｅｓ ｏｎ ａｎ ｉｎｆｅｃｔｅｄ ｃｏｍｐｕｔｅｒ， ｔｈｅｎ ｌｅａｋｓ
ｔｈｅｍ ｔｏ ａ Ｃ＆Ｃ ｓｅｒｖｅｒ ｂｙ ＨＴＴＰ． ＵＲＬｓ ｏｆ ｔｈｅ Ｃ＆Ｃ ｓｅｒｖｅｒ ｃｏｕｌｄ ｂｅ ｓｕｓｐｉｃｉｏｕｓ．」という記述であったとする。
ステップＳ１２３において、検知情報生成部１０２は、ｉ＞ｎか否かを判定する。「はい」の場合、処理を終了する。「いいえ」の場合、ステップＳ１２４に進む。
ステップＳ１２４において、検知情報生成部１０２は、検知対策手段情報１２から、ＣＭ＿ＩＤ＿ｉのエントリを取り出す。

ステップＳ１２５において、検知情報生成部１０２は、ＣＭ＿ＩＤ＿ｉのエントリにおける「検知可能」のキーワードが、攻撃手段ＩＤ＿ｊに該当する「説明文」に含まれるか検索する。「説明文」＝「Ａ ｍａｌｗａｒｅ ｍａｌｉｃｉｏｕｓｌｙ ａｃｃｅｓｓｅｓ ｄａｔａ ｆｉｌｅｓ ｏｎ ａｎ ｉｎｆｅｃｔｅｄ ｃｏｍｐｕｔｅｒ， ｔｈｅｎ ｌｅａｋｓ ｔｈｅｍ ｔｏ ａ Ｃ＆Ｃ ｓｅｒｖｅｒ ｂｙ ＨＴＴＰ． ＵＲＬｓ ｏｆ ｔｈｅ Ｃ＆Ｃ ｓｅｒｖｅｒ ｃｏｕｌｄ ｂｅ ｓｕｓｐｉｃｉｏｕｓ．」である。図７のＣＭ＿ＩＤ＿１が現在参照しているＣＭ＿ＩＤ＿ｉ（ｉ＝１）であったとすると、「検知可能」のキーワードは、“ＵＲＬ”、“ｓｕｓｐｉｃｉｏｕｓ”、“ＨＴＴＰ”であり、これらは、「説明文」に含まれる。
また、検知対策手段情報１２のキーワードと、攻撃情報１１の「説明文」における文言を共通にできない場合は、キーワード変換表を用いる。この場合、ＣＭ＿ＩＤ＿ｉのエントリにおける「検知可能」のキーワードについて、キーワード変換表を用いて文言を変換して、変換した文言が、「説明文」に含まれるか検索する。
また、キーワード変換表を用いない場合は、「検知可能」のキーワードと「説明文」に含まれる文言間の類似度を、既存の技術を使用して調べ、類似している場合に、「検知可能」のキーワードが含まれると判定することで、「検知可能」のキーワードが含まれるかの検索処理としても良い。ここで、文言間の類似度を調べる既存の技術とは、文字列の類似度、長さなどから同じ意味を持つキーワードを特定してマッピングする技術である。具体例としては、レーベンシュタイン距離を利用する技術がある。

ステップＳ１２６において、検知情報生成部１０２は、ステップＳ１２５における検索結果が、「含まれる」の場合は、ステップＳ１２７に進み、「含まれる」でない場合は、ステップＳ１２８に進む。
ステップＳ１２７において、検知情報生成部１０２は、攻撃手段ＩＤ＿ｊで識別される攻撃手段について、ＣＭ＿ＩＤ＿ｉで検知可能と判定し、ｄｅｔｅｃｔ＿ｆｌａｇ＝Ｔｒｕｅに設定する。

ステップＳ１２８において、検知情報生成部１０２は、ＣＭ＿ＩＤ＿ｉのエントリにおける「検知不可能」を参照する。
ステップＳ１２９において、検知情報生成部１０２は、「検知不可能」が空の場合、ステップＳ１２１１に進む。ステップＳ１２９において、検知情報生成部１０２は、「検知不可能」が空ではない場合、「検知不可能」となることがあるので、ステップＳ１２１０において、ｕｎｄｅｔｅｃｔ＿ｆｌａｇ＝Ｔｒｕｅに設定する。
なお、図７において、「検知不可能」にもキーワードが設定されているが、本実施の形態では、このキーワードが「説明文」に有るかを調べずに、フラグをＴｒｕｅに設定している。これは、「検知不可能」がある、と製品カテゴリやログ分析の機能の制限が図７で示されているためである。一方、ステップＳ１２５における「検知可能」については、攻撃手段に対し、検知対策手段情報１２に列挙された検知対策の手段が該当するかは必ず調べなくてはならないため、キーワードによる検索は必須となる。つまり、「検知可能」のキーワードが「説明文」に含まれるかを調べて、検知対策の手段が攻撃手段への検知・対策として該当するか判断する。その後、場合によって検知不可能であったり（誤検知であったり）の制限があるかを調べる。

ステップＳ１２１１において、検知情報生成部１０２は、ＣＭ＿ＩＤ＿ｉのエントリにおける「誤検知」を参照する。
ステップＳ１２１２において、検知情報生成部１０２は、「誤検知」が空の場合、ステップＳ１２１４に進む。ステップＳ１２１２において、検知情報生成部１０２は、「誤検知」が空ではない場合、「誤検知」となることがあるので、ステップＳ１２１３において、検知情報生成部１０２は、ｆａｌｓｅｄｅｔｅｃｔ＿ｆｌａｇ＝Ｔｒｕｅに設定する。
なお、図７において、「誤検知」にもキーワードが設定されているが、本実施の形態では、このキーワードが「説明文」に有るかを調べずに、フラグをＴｒｕｅに設定している。これは、「誤検知」がある、と製品カテゴリやログ分析の機能の制限が図７で示されているためである。

図１１は、本実施の形態に係る検知情報生成処理Ｓ１２０で用いる判定表１２０１を示す図である。
ステップＳ１２１４において、検知情報生成部１０２は、図１１の判定表１２０１を参照し、ｄｅｔｅｃｔ＿ｆｌａｇ、ｕｎｄｅｔｅｃｔ＿ｆｌａｇ、ｆａｌｓｅｄｅｔｅｃｔ＿ｆｌａｇの値から、ＣＭ＿ＩＤ＿ｉで識別される検知・対策の効果において、○、△、□、◇、×を判定する。これらの記号は以下の意味である。
○：検知可能
×：検知不可能
△：誤検知の可能性あり
□：検知漏れの可能性あり
◇：検知可能・検知不可能・誤検知あり
検知漏れについては、ＣＭ＿ＩＤ＿ｉで識別される検知・対策を用いた場合、この攻撃手段を検知可能であるが、その検知・対策の方法の機能や性能の制限により検知・対策を回避されてしまい、検知漏れが生じる可能性があることを示す。

ステップＳ１２１５において、検知情報生成部１０２は、攻撃手段ＩＤ＿ｊに対して、ＣＭ＿ＩＤ＿ｉによる対策の可否について、ステップＳ１２１４で取得した判定結果を割り当てる。この結果、図６における、攻撃検知情報１２１における、１つの攻撃手段ＩＤに対する１つの検知・対策手段情報について、対応の可否が割り当てられる。具体的には、攻撃手段ＩＤ＿ｊがＡｄｄ＿０００１、ＣＭ＿ＩＤ＿ｉが製品カテゴリ＝ＩＤＳであれば、攻撃手段ＩＤがＡｄｄ＿０００１の行における、列がＩＤＳの検知手段情報１６２のマスにおいて、ステップＳ１２１４の判定結果が割り当てられる。図６においては×が割り当てられている。
ステップＳ１２１６において、検知情報生成部１０２は、ｉをインクリメントし、Ｓ１２３に戻る。

検知対策手段情報１２が、図８のようなログ分析であった場合も、図１０と同じ処理を行うことで、図６の検知手段情報１６２のログ分析の列の様に検知・対策の効果について、○、△、□、◇、×の判定結果を設定できる。

図４に示す攻撃手段情報１１１について、全ての攻撃手段ＩＤごとに、図７、図８に示すような１つ以上の検知対策手段情報１２の対策の可否を、図１０に従い判定することで図６の攻撃検知情報１２１の様な情報を作成できる。図６における攻撃検知情報１２１は、攻撃手段情報１１１に対し、図１０による検知対策手段情報１２の対策可否の判定を対応づけ表として表現したものである。すなわち、攻撃検知情報１２１は、サイバー攻撃の攻撃手段２１と、攻撃手段を検知する検知手段２２と、攻撃手段２１に対する検知手段２２の検知精度２３とを含む情報である。攻撃検知情報１２１において、攻撃手段情報１１１は攻撃手段情報１６１として、検知対策手段情報１２は検知手段情報１６２として表現される。
また、図６には図示していないが、攻撃検知情報１２１における検知手段情報１６２の要素（ＩＤＳやＦＷなど）には、該当するＣＭ＿ＩＤ＿ｉが紐づけられている。

＜危険度判定処理Ｓ１３０＞
図１２を用いて、本実施の形態に係る危険度判定処理Ｓ１３０の入出力の構成について説明する。
危険度判定部１０３は、攻撃検知情報１２１と、攻撃事例情報１３と、重みづけ情報１４とを入力とし、攻撃検知危険度情報１３１を出力する。危険度判定部１０３は、検知手段２２の検知精度２３に基づいて、攻撃手段２１の危険度１６３を判定する。また、危険度判定部１０３は、検知手段２２の検知精度２３と、攻撃手段２１が実施されるサイバー攻撃における攻撃フェーズとに基づいて、危険度１６３を判定する。
図１２において、攻撃事例情報１３は、サイバー攻撃の事例を表現したデータであり、どの様な攻撃手段がどの様な順番で、すなわち、どの攻撃フェーズで活動したかを示した情報である。

図１３は、本実施の形態に係る攻撃事例情報１３の一例を示す図である。
サイバー攻撃は複数の攻撃フェーズで行われるが、一般的には、攻撃相手を調査してメールアドレスを入手するなどの“事前調査”フェーズ、マルウェアを添付したメールなどで侵入する“侵入”フェーズ、攻撃者がマルウェアと通信しながら攻撃を送受信して活動を行う“バックドア通信”フェーズ、侵入した組織内にどの様なサーバが存在するかを調べる“内部偵察”フェーズ、情報漏えいを行う“情報漏えい”フェーズで構成される。この様な複数の攻撃フェーズ３１で構成された一連の流れをキルチェーンという。また、各々の攻撃フェーズを実現するために、各攻撃フェーズにおいて１つ以上の攻撃手段を用いて攻撃が行われる。攻撃事例情報１３は、エントリを識別するＮｏと、キルチェーンにおける攻撃フェーズと、各攻撃フェーズで実施される攻撃手段の攻撃手段ＩＤ及び攻撃名称で構成される。

具体的には、図１３において、“事前調査”フェーズでは、攻撃手段ＩＤ＝４０５・攻撃名称＝Ｓｏｃｉａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｇａｔｈｅｒｉｎｇ ｖｉａ Ｒｅｓｅａｒｃｈで識別される攻撃が行われる。“侵入”フェーズでは、攻撃手段ＩＤ＝１６３・攻撃名称＝Ｓｐｅａｒ Ｐｈｉｓｈｉｎｇ、攻撃手段ＩＤ＝５４２・攻撃名称＝Ｔａｒｇｅｔｅｄ Ｍａｌｗａｒｅで攻撃される。この場合、Ｓｐｅａｒ Ｐｈｉｓｉｎｇは狙った相手に絞ったメール送付などの詐欺行為を意味し、Ｔａｒｇｅｔｅｄ Ｍａｌｗａｒｅは標的に特化したマルウェアを用いることを意味する。つまり、標的に特化したマルウェアを、標的のみに添付メール（詐欺メール）で送付したり、Ｗｅｂアクセス（詐欺で誘導）により標的のみにダウンロードさせることを意味する。
図１３における以降の攻撃フェーズについては、同様の情報構成なので説明を省略する。

図１２において、重みづけ情報１４は、危険度判定を行うための情報である。
図１４は、本実施の形態に係る重みづけ情報１４の一例を示す図である。
上述したように、危険度判定部１０３は、検知手段２２の検知精度２３と、攻撃手段２１が実施されるサイバー攻撃における攻撃フェーズとに基づいて、危険度１６３を判定する。本実施の形態における重みづけ情報１４は、攻撃手段２１がどの攻撃フェーズで使用されるかにより、重みを定義したものである。図１４は、事前調査に用いられる攻撃手段の場合、事前調査自体は未だ攻撃が始まってないため、重みは５と低いが、情報漏えいは最も被害が大きくなるため１００と高くなっており、攻撃フェーズが進むにつれて重みが大きくなる例である。図１４における重みの値の設定は一例であり、侵入やバックドア通信などの攻撃フェーズの初期から中期について重みを大きくしてもよい。各々のエントリには通し番号がＮｏとして付与される。

次に、図１５を用いて、本実施の形態に係る危険度判定処理Ｓ１３０の流れについて説明する。
ステップＳ１３１において、危険度判定部１０３は、攻撃検知情報１２１の攻撃手段情報１６１における攻撃手段ＩＤを１つ選択し攻撃手段ＩＤ＿ｉとする。ここで、ｉは１から攻撃手段情報１６１における攻撃手段ＩＤの数までの自然数をとる。
ステップＳ１３２において、危険度判定部１０３は、攻撃事例情報１３におけるＮｏをｊとして参照するため、ｊ＝１とする。ここで、ｊは１からｎまでの自然数をとる。ｎは、攻撃事例情報１３におけるＮｏの最大値とする。

ステップＳ１３３において、危険度判定部１０３は、ｊ＞ｎか調べる。ｊ＞ｎであれば、処理を終わる。ｊ＞ｎでなければ、ステップＳ１３４に進む。
ステップＳ１３４において、危険度判定部１０３は、攻撃事例情報１３からＮｏ＝ｊに該当するエントリを取り出す。
ステップＳ１３５において、危険度判定部１０３は、攻撃事例情報１３のＮｏ＝ｊのエントリにおける攻撃手段ＩＤ、すなわち攻撃手段ＩＤ＿ｊを取り出す。
ステップＳ１３６において、危険度判定部１０３は、攻撃手段ＩＤ＿ｉと攻撃手段ＩＤ＿ｊとが同じか調べる。同じであれば、ステップＳ１３７に進み、同じでなければ、ステップＳ１３１３に進む。

ステップＳ１３７において、危険度判定部１０３は、重みづけ情報１４におけるＮｏをｋとして参照するためｋ＝１とする。ここで、ｋは１からｍまでの自然数をとる。ｍは、重みづけ情報１４におけるＮｏの最大値とする。
ステップＳ１３８において、危険度判定部１０３は、ｋ＞ｍか調べる。ｋ＞ｍであれば、ステップＳ１３１３に進み、ｋ＞ｍでなければ、ステップＳ１３９に進む。
ステップＳ１３９において、危険度判定部１０３は、攻撃事例情報１３のＮｏ＝ｊのエントリにおける「攻撃フェーズ」が、重みづけ情報１４のＮｏ＝ｋのエントリにおける「攻撃手段が用いられるキルチェーンの攻撃フェーズ」と同じかを調べる。ステップＳ１３１０において、危険度判定部１０３は、同じであればＳ１３１１に進み、同じでなければＳ１３１４に進む。

ステップＳ１３１１において、危険度判定部１０３は、重みづけ情報１４のＮｏ＝ｋのエントリにおける「重み」を取得する。
ステップＳ１３１２において、危険度判定部１０３は、攻撃手段ＩＤ＿ｉの危険度を、取得した「重み」に設定し、ステップＳ１３１３に進む。
ステップＳ１３１３において、危険度判定部１０３は、ｊをインクリメントし、ステップＳ１３３へ進む。
ステップＳ１３１４において、危険度判定部１０３は、ｋをインクリメントし、ステップＳ１３８へ進む。

以上のように、ステップＳ１３１２において、攻撃手段ＩＤ＿ｉに危険度１６３が付与される。攻撃手段情報１６１の攻撃手段ＩＤ全てについて、図１５の危険度判定処理Ｓ１３０を行うことで、攻撃手段情報１６１に危険度１６３を付与する。この結果、図１２に示す攻撃検知危険度情報１３１が生成される。

＜攻撃対策状況判定処理Ｓ１４０＞
図１６を用いて、本実施の形態に係る攻撃対策状況判定処理Ｓ１４０の入出力の構成について説明する。
図１６に示すように、対策状況判定部１０４は、危険度判定部１０３により生成された攻撃検知危険度情報１３１と組織対策情報１５とを入力とし、攻撃手段に対する組織の対策の効果度を含む対策状況情報１６を出力する。

図１７は、本実施の形態に係る組織対策情報１５の一例を示す図である。
組織対策情報１５では、各エントリ（各行）を識別するＩＤとしてＣＭＡ＿ＩＤが付与され、各エントリにおける検知手段のＩＤに該当する情報を「対応するＣＭ＿ＩＤ」とする。さらに、各エントリに対して「運用上の制限」の情報が付与される。「運用上の制限」は、「閾値抑制（回数）」と、「閾値抑制（重大度）」と、「ホワイトリスト」とにより構成される。「閾値抑制（回数）」は、同じ検知が閾値回数以上発生した場合に検知として通報する運用を示す。「閾値抑制（重大度）」は、一定の重大度以上の検知のみを通報する運用を示す。「ホワイトリスト」は、検知が発生してもホワイトリストに記載されたプログラムの処理であれば通報しない運用を示す。或いは、「ホワイトリスト」は、ホワイトリストに記載された端末からの通信は検知しても通報しないなどの運用でもよい。組織対策情報１５において、組織において対応する運用を適用している場合は「適用」、組織において対応する運用を適用していない場合は「未適用」が設定される。

次に、図１８を用いて、本実施の形態に係る攻撃対策状況判定処理Ｓ１４０の流れについて説明する。攻撃検知危険度情報１３１を、表で表現された情報として処理を説明する。

ステップＳ１４１において、対策状況判定部１０４は、攻撃検知危険度情報１３１において、検知手段情報１６２と同様の表を危険度１６３の列の隣に追加する。対策状況判定部１０４は、追加した表において、検知手段２２以外の内容、すなわち検知精度２３の欄をクリアにすると共に、検知精度２３の情報はメモリに一時記憶しておく。ここで、メモリに記憶する検知精度２３の情報には、攻撃手段２１と検知手段２２とが紐付られているものとする。この追加した表を組織対策状況情報１６４とする。図１６に示すように、組織対策状況情報１６４は、検知手段情報１６２の表と同様に、ＩＤＳ、ＦＷ，メールフィルタ、・・・、振る舞い検知（端末）、振舞い検知（ＡＰ）、各種ログ分析などの検知手段２２から構成される。
ステップＳ１４２において、対策状況判定部１０４は、攻撃検知危険度情報１３１のエントリ、すなわち行を１つ選択し、該当する攻撃手段情報１６１の攻撃手段ＩＤ＿ｉと、組織対策状況情報１６４＿ｉを取得する。ここで、ｉは１から攻撃手段情報１６１の攻撃手段ＩＤの数までの自然数をとる。
ステップＳ１４３において、対策状況判定部１０４は、組織対策情報１５におけるＣＭＡ＿ＩＤを１つ選択し、ＣＭＡ＿ＩＤ＿ｊとする。また、ＣＭＡ＿ＩＤ＿ｊに「対応するＣＭ＿ＩＤ」を、ＣＭ＿ＩＤ＿ｊとする。ここで、ｊは、１からｐまでの自然数をとる。ｐは、組織対策情報１５におけるＣＭＡ＿ＩＤの数、すなわち組織対策情報１５のエントリ数である。
ステップＳ１４４において、対策状況判定部１０４は、ｊ＞ｐか確認し、ｊ＞ｐである場合、処理を終了する。また、ｊ＞ｐでない場合、Ｓ１４５に進む。

ステップＳ１４５において、対策状況判定部１０４は、ｋ＝１とする。
ステップＳ１４６において、対策状況判定部１０４は、組織対策状況情報１６４＿ｉを構成する要素に紐づけられたＣＭ＿ＩＤを、ＣＭ＿ＩＤ＿ｉ＿ｋとする。組織対策状況情報１６４はステップＳ１４１において、検知手段情報１６２のコピーとして生成されており、検知手段情報１６２に紐づいているＣＭ＿ＩＤも同様にコピーされている。具体的には、組織対策状況情報１６４＿ｉは、図１６においてはＩＤＳ（ｋ＝１）やＦＷ（ｋ＝２）などの要素で構成されており、各々に識別子であるＣＭ＿ＩＤが付与されている。なお、ｉが変化しても、ｋが同じであれば同じＣＭ＿ＩＤである。つまり、組織対策状況情報１６４の１つの列（ｋで参照）で見た場合、攻撃手段ＩＤ（ｉで参照）が何であっても、同じＣＭ＿ＩＤである。具体的には、図１６の組織対策状況情報１６４のｋ＝１はＩＤＳであり、攻撃手段ＩＤが何であっても、列として見るのでＩＤＳのＣＭ＿ＩＤが参照される。また、上述したように、組織対策状況情報１６４では、検知手段情報１６２の攻撃手段ＩＤごとの○△□◇×の判定、すなわち検知精度２３は、メモリに記憶されている。したがって、検知手段情報１６２の攻撃手段ＩＤごとの○△□◇×の判定は、メモリに記憶されている情報から取得するものとする。

ステップＳ１４７において、対策状況判定部１０４は、組織対策状況情報１６４＿ｉの構成要素数（ＩＤＳやＦＷなどの要素数）をｑとし、ｋ＞ｑか確認する。ｋ＞ｑである場合、対策状況判定部１０４は、ステップＳ１４１１へ進む。ｋ＞ｑでない場合、対策状況判定部１０４は、ステップＳ１４８へ進む。
ステップＳ１４８において、対策状況判定部１０４は、ＣＭ＿ＩＤ＿ｉ＿ｋはＣＭ＿ＩＤ＿ｊと同じかを調べる。同じ場合、対策状況判定部１０４は、ステップＳ１４９に進み、ＣＭ＿ＩＤ＿ｉ＿ｋに該当する組織対策状況情報１６４＿ｉのマスに値を設定する。同じでない場合、対策状況判定部１０４は、ステップＳ１４１０に進む。

ステップＳ１４９において、対策状況判定部１０４は、ＣＭ＿ＩＤ＿ｉ＿ｋに該当する検知手段情報１６２の要素が、○△□◇であればＣＭ＿ＩＤ＿ｉ＿ｋに該当する組織対策状況情報１６４＿ｉの欄に「済」を設定する。×の場合は「−（ハイフン）」を設定する。具体的には、攻撃手段ＩＤ＝５４２の行において、組織対策状況情報１６４のＩＤＳは「済」である。これは、該当する検知手段情報１６２のＩＤＳが□だからである。同様に、同行の組織対策状況情報１６４のＦＷは、「−」であるが、これは、該当する検知手段情報１６２のＦＷが×だからである。
ステップＳ１４１０において、対策状況判定部１０４は、ｋをインクリメントしてＳ１４７へ進む。

ステップＳ１４１１において、対策状況判定部１０４は、組織対策状況情報１６４＿ｉにおいて、「済」か「−」に設定されていないマスを「未」に設定する。これは、検知対策手段情報１２においては、○△□◇の何れかであるが、組織において実施されていない検知手段２２であることを示す。対策状況判定部１０４は、ｊをインクリメントしてステップＳ１４４に進む。

以上のように、対策状況判定部１０４は、攻撃手段ＩＤ＿ｉの全てについて図１８の処理を実行することで、図１６の組織対策状況情報１６４に示すように、組織における対策について「済」「未」「−」を設定する。この結果、各攻撃手段ＩＤに対する組織の対策状況がどの様な状態であるかを図１６に示す対策状況情報１６の様に示すことができる。

対策状況判定部１０４は、図１６に示す対策状況情報１６の組織対策状況情報１６４の設定が完了すると、対策状況情報１６の判定情報１６５に判定結果を設定する。判定情報１６５は、効果度１６５１と優先的対策項目１６５２とから構成される。
以上のように、対策状況判定部１０４は、攻撃検知情報１２１と、サイバー攻撃の対象となる組織においてサイバー攻撃に対する対策として実施されている検知手段２２を組織検知手段として含む組織対策情報１５とを取得し、攻撃検知情報１２１に含まれる検知精度２３と組織対策情報１５とに基づいて、組織における対策の効果の程度を表す効果度１６５１を判定する。また、対策状況判定部１０４は、検知手段２２の検知精度２３と、検知手段２２が組織において実施されているか否かを示す情報（組織対策状況情報１６４）とに基づいて、効果度１６５１を判定する。

以下に、対策状況判定部１０４による効果度１６５１を設定する処理について説明する。
対策状況判定部１０４は、図１６の対策状況情報１６における１つの攻撃手段ＩＤについて、組織対策状況情報１６４が「済」である構成要素に該当する検知手段情報１６２の値を全て抽出する。対策状況判定部１０４は、抽出した値に基づいて以下（ａ１）から（ａ５）のように「効果度１６５１」を設定する。
（ａ１）抽出した値の中に○が含まれていれば効果度１６５１に○を設定する。
（ａ２）（ａ１）に当てはまらない場合、抽出した値の中に△が含まれていれば△を効果度１６５１に設定する。
（ａ３）（ａ２）に当てはまらない場合、抽出した値の中に□が含まれていれば□を効果度１６５１に設定する。
（ａ４）（ａ３）に当てはまらない場合、抽出した値の中に◇が含まれていれば◇を効果度１６５１に設定する。
（ａ５）（ａ４）に当てはまらない場合、×を効果度１６５１に設定する。
図１６の対策状況情報１６では、組織対策状況情報１６４が「済」である構成要素が複数ある場合は、該当する検知手段情報１６２も複数になる。従って、複数の検知手段情報１６２において、全て○であったり、○、△、□、◇が混在することがありうるが、上記の処理（ａ１）から（ａ５）に従えば、「効果度１６５１」は１つに決定される。
具体例として、図１６の攻撃手段ＩＤ＝５４２においては、ＩＤＳ、メールフィルタ、振る舞い検知（端末）が「済」であり、上記の処理に従えば、振る舞い検知（端末）が△なので、効果度１６５１は△が設定される。

次に、対策状況判定部１０４による「優先的対策項目１６５２」を設定する処理について説明する。
図１６の対策状況情報１６における１つの攻撃手段ＩＤについて、「効果度１６５１」が○以外の項目を、「優先的対策項目１６５２」として判定し、「該当」を設定する。

＜対策状況出力処理Ｓ１５０＞
対策状況出力処理Ｓ１５０において、対策状況出力部１０５は、攻撃検知情報１２１（攻撃手段情報１６１及び検知手段情報１６２）と効果度１６５１とを含む対策状況情報１６を出力する。対策状況情報１６には、危険度１６３が含まれる。
対策状況出力部１０５は、出力インタフェース９４０を介して対策状況情報１６を表示装置などに表示する。

以上で、本実施の形態に係る攻撃対策判定処理Ｓ１００についての説明を終わる。

＊＊＊他の構成＊＊＊
本実施の形態では、対策状況生成装置１は、入力インタフェース９３０を介して情報を取得し、出力インタフェース９４０を介して情報を出力する構成であった。しかし、対策状況生成装置１が通信装置を備え、通信装置を介して情報を受信してもよい。また、対策状況生成装置１は、通信装置を介して情報を送信してもよい。この場合、通信装置はレシーバとトランスミッタとを備える。具体的には、通信装置は通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ・Ｉｎｔｅｒｆａｃｅ・Ｃａｒｄ）である。通信装置はデータを通信する通信部として機能する。レシーバはデータを受信する受信部として機能し、トランスミッタはデータを送信する送信部として機能する。

本実施の形態では、対策状況出力部１０５は、図１６に示す対策状況情報１６を出力するものとしたが、その他の構成の対策状況情報１６を出力してもよい。具体例を以下に示す。
第１に、対策状況出力部１０５は、攻撃手段２１と効果度１６３とからなる対策状況情報１６を出力する。すなわち、図１６に示す攻撃手段情報１６１と効果度１６５１とを対策状況情報１６として出力してもよい。
第２に、対策状況出力部１０５は、攻撃手段２１と効果度１６３とからなる対策状況情報１６に、攻撃手段２１を検知する検知手段２２と、検知手段２２の検知精度２３とを含めて出力する。すなわち、図１６に示す攻撃手段情報１６１と検知手段情報１６２と効果度１６５１とを対策状況情報１６として出力してもよい。
第３に、対策状況出力部１０５は、攻撃手段２１と効果度１６３と検知手段２２と検知精度２３とからなる対策状況情報１６に、組織対策状況情報１６４を含めて出力する。すなわち、図１６に示す攻撃手段情報１６１と検知手段情報１６２と組織対策状況情報１６４と効果度１６５１とを対策状況情報１６として出力してもよい。

また、本実施の形態では、対策状況生成装置１の「部」の機能がソフトウェアで実現されるが、変形例として、対策状況生成装置１の「部」の機能がハードウェアで実現されてもよい。
図１９を用いて、本実施の形態の変形例に係る対策状況生成装置１の構成について説明する。
図１９に示すように、変形例の対策状況生成装置１では、図２のプロセッサ９１０及び記憶装置９２０に替えて、処理回路９０９を備える。

処理回路９０９は、前述した「部」の機能及び記憶部１５０を実現する専用の電子回路である。処理回路９０９は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ・Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ・Ｓｐｅｃｉｆｉｃ・Ｉｎｔｅｇｒａｔｅｄ・Ｃｉｒｃｕｉｔ）、又は、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ・Ｇａｔｅ・Ａｒｒａｙ）である。

「部」の機能は、１つの処理回路９０９で実現されてもよいし、複数の処理回路９０９に分散して実現されてもよい。

別の変形例として、対策状況生成装置１の機能がソフトウェアとハードウェアとの組合せで実現されてもよい。すなわち、対策状況生成装置１の一部の機能が専用のハードウェアで実現され、残りの機能がソフトウェアで実現されてもよい。

プロセッサ９１０、記憶装置９２０、及び、処理回路９０９を、総称して「プロセッシングサーキットリ」という。つまり、対策状況生成装置１の構成が図２及び図１９のいずれに示した構成であっても、「部」の機能及び記憶部１５０は、プロセッシングサーキットリにより実現される。

「部」を「工程」又は「手順」又は「処理」に読み替えてもよい。また、「部」の機能をファームウェアで実現してもよい。

＊＊＊本実施の形態の効果の説明＊＊＊
以上の様にして、対策状況生成装置１の対策状況判定部１０４は、図１６に示す対策状況情報１６を生成し、表示装置に表示する。
本実施の形態における対策状況生成装置１は、攻撃情報に対して、検知・対策情報のマッピングを示し、さらに、攻撃事例情報から危険度を付与し、さらに、組織の攻撃対策実施の状況から攻撃情報への対策状況を図示できる効果がある。さらに、検知・対策手段情報から効果度１６５１を判定するとともに、優先的対策項目１６５２を図示できる効果がある。
本実施の形態における対策状況生成装置１の利用者は、自組織のセキュリティ対策が、様々な攻撃情報（手段）に対して有効であるか無効であるか効果度１６５１で確認でき、さらに、対策を強化すべき攻撃手段について優先的対策項目１６５２を確認できる。

実施の形態２．
本実施の形態では、主に、実施の形態１に追加する部分あるいは実施の形態１と異なる部分について説明する。本実施の形態において、実施の形態１と同様の構成には同一の符号を付し、その説明を省略する。また、実施の形態１と同様の機能についてもその説明を省略する。
本実施の形態では、図１に示す攻撃事例判定装置２が、個別の攻撃事例情報１３ａを用いて、組織の対策状況の判定を行う処理について説明する。

＊＊＊構成の説明＊＊＊
図２０を用いて、本実施の形態に係る攻撃事例判定装置２の構成及び入出力について説明する。
攻撃事例判定装置２は、コンピュータであり、図示はないが実施の形態１の図１で説明した対策状況生成装置１と同様のハードウェアを備える。また、攻撃事例判定装置２は、機能構成として攻撃事例判定部２０１を備える。すなわち、攻撃事例判定装置２の「部」の機能とは、攻撃事例判定部２０１の機能である。対策状況生成装置１と同様に、「部」の機能は、ソフトウェアで実現される。また、対策状況生成装置１と同様に、「部」の機能が処理回路９０９等のハードウェアで実現されていてもよい。

攻撃事例判定装置２は、対策状況情報１６と攻撃事例情報１３ａとを入力とし、攻撃事例対応情報１７を出力する。
本実施の形態では、攻撃事例判定装置２は、対策状況情報１６を用いて、攻撃事例情報１３ａへの対策状況を攻撃事例対応情報１７として出力する。本実施の形態では攻撃事例対応情報１７を表で表現する。

＊＊＊動作の説明＊＊＊
図２１を用いて、本実施の形態に係る攻撃事例判定部２０１による攻撃事例判定処理Ｓ２００について説明する。
攻撃事例判定処理Ｓ２００において、攻撃事例判定部２０１は、対策状況情報１６と、攻撃事例情報１３ａとを入力とし、図２１に示す以下の処理を行う。攻撃事例情報１３ａは、図１３の攻撃事例情報１３の１つの例である。
攻撃事例判定部２０１は、サイバー攻撃の攻撃フェーズと攻撃フェーズにおいて実施される攻撃手段とを含む攻撃事例情報１３ａと、対策状況情報１６とを取得し、対策状況情報１６を用いて、攻撃事例情報１３ａについて攻撃フェーズの攻撃手段ごとに組織の対策状況を判定する。また、攻撃事例判定部２０１は、攻撃事例情報１３ａと、判定した組織の対策状況とを攻撃事例対応情報１７として出力する。

ステップＳ２１１において、攻撃事例判定部２０１は、攻撃事例情報１３ａにおける最初の攻撃手段ＩＤを参照する。この攻撃手段ＩＤは、攻撃事例情報１３ａにおいて、一番初めの攻撃フェーズの先頭（一連の攻撃の最初の攻撃）を示すものである。
ステップＳ２１２において、攻撃事例判定部２０１は、攻撃事例情報１３ａの一連の攻撃における最後の攻撃手段ＩＤまで参照した場合は、Ｓ２１１１に進む。そうで無い場合はＳ２１３に進む。
ステップＳ２１３において、攻撃事例判定部２０１は、攻撃事例情報１３ａにおける攻撃フェーズに含まれる攻撃手段ＩＤを抽出する。これを、参照攻撃手段ＩＤとする。
ステップＳ２１４において、攻撃事例判定部２０１は、参照攻撃手段ＩＤを、対策状況情報１６から検索する。
ステップＳ２１５において、攻撃事例判定部２０１は、対策状況情報１６における検索された攻撃手段ＩＤ、すなわち参照攻撃手段ＩＤについて、その行の情報を参照する。この行には、検知手段情報１６２の情報などが含まれる。
ステップＳ２１６において、攻撃事例判定部２０１は、対策状況情報１６における、参照攻撃手段ＩＤに該当する検知手段情報１６２において、「×」が付いている構成要素（ＦＷやＩＤＳなどの検知・対策）以外を選択し、名称を抽出する。つまり、攻撃事例判定部２０１は、何かしらの効果がある構成要素の名称を抽出する。
ステップＳ２１７において、攻撃事例判定部２０１は、攻撃事例情報１３ａにおいて、参照攻撃手段ＩＤに該当する行に「検知・対策の手段」（列）を追加し、ステップＳ２１６で抽出した構成要素の名称を設定する。ステップＳ２１６において複数抽出されている場合はそれらを全て設定する。
具体例を用いて説明する。図２０に示すように、攻撃手段ＩＤ＝１６３であれば、メールフィルタが該当する。また、攻撃手段ＩＤ＝５４２であれば、ＩＤＳ、メールフィルタ、振る舞い検知（端末）、振る舞い検知（ＡＰ）、ログ分析（端末）が該当する。検知手段情報１６２で「×」しかない場合は、「無」を設定する。

ステップＳ２１８において、攻撃事例判定部２０１は、対策状況情報１６において、参照攻撃手段ＩＤの「効果度１６５１」を抽出する。
ステップＳ２１９において、攻撃事例判定部２０１は、攻撃事例情報１３ａにおける参照攻撃手段ＩＤについて「組織の対策状況」（列）を追加し、ステップＳ２１８で抽出した「効果度１６５１」を設定する。具体例として、攻撃手段ＩＤ＝５４２であれば、図１６及び図２０に示すように△が該当する。上述したように、この「効果度１６５１」（□や△など）の意味は、図１１の判定表１２０１のとおりである。
ステップＳ２１１０において、攻撃事例判定部２０１は、攻撃事例情報１３ａにおける次の攻撃手段ＩＤを参照し、ステップＳ２１２に戻る。

ステップＳ２１１１において、攻撃事例判定部２０１は、攻撃事例情報１３ａについて「総合判定」（列）を追加して、以下の様に値を設定する。
侵入など、初期の攻撃フェーズについて、組織の対策状況が○であれば、「優」とする。
バックドア通信など、初期の次の攻撃フェーズについて組織の対策状況が○であれば、「良」とする。これは、侵入は許すが次の段階で検知できるためである。
さらに後続の攻撃フェーズについて組織の対策状況が○であれば、「可」とする。
初期や、初期の次の攻撃フェーズについて組織の対策状況が△であれば、「可」とする。
これらに当てはまらなければ、「不可」とする。
なお、「総合判定」は、攻撃事例情報１３ａに付与するもので、攻撃手段ＩＤごとに付与するものではない。
また、本実施の形態における総合判定の方法（優、良、可、不可の判定方法）は、上記に限らない。具体例として、初期と初期の次の攻撃フェーズの何れかに○が付かなければ全て不可、としても良いし、情報漏えいの攻撃フェーズに○が付いていれば、良、としても良い。

以上で、本実施の形態に係る攻撃事例判定処理Ｓ２００についての説明を終わる。
この様に、攻撃事例判定部２０１は、攻撃事例情報１３ａに対して、対策状況情報１６を用いて組織の対策状況を判定し、総合判定の情報を付与した攻撃事例対応情報１７を出力する。

＊＊＊本実施の形態の効果の説明＊＊＊
以上のように、本実施の形態に係る攻撃事例判定装置２によれば、攻撃事例対応情報１７を参照することで、攻撃事例情報１３ａにおける攻撃手段ＩＤごとの組織の対策状況を確認できる。具体例として、組織の対策状況が□や◇の攻撃手段ＩＤについては、対策しているが検知漏れ（回避）が発生する場合があることを意味し、△や◇の攻撃手段ＩＤについては、対策しているが誤検知が発生する場合があることを意味する。また、この攻撃事例情報に対する総合判定も確認できる。
また、本実施の形態に係る攻撃事例判定装置２によれば、攻撃事例情報１３ａに対して、対策状況情報１６を用いて組織の対策状況を攻撃事例対応情報１７として図示できる効果がある。本実施の形態に係る攻撃事例判定装置２の利用者は、攻撃事例対応情報１７の総合判定を確認することで、優・良であれば組織の対策はできていると判断し、可・不可であれば追加対策を検討する、といった判断が可能である。

実施の形態３．
本実施の形態では、主に、実施の形態１及び２に追加する部分あるいは実施の形態１及び２と異なる部分について説明する。本実施の形態において、実施の形態１及び２と同様の構成には同一の符号を付し、その説明を省略する。また、実施の形態１及び２と同様の機能についてその説明を省略する。
本実施の形態では、図１に示す対策候補抽出装置３が、追加対策を判定する処理について説明する。

＊＊＊構成の説明＊＊＊
図２２及び図２３を用いて、本実施の形態に係る対策候補抽出装置３の構成及び入出力について説明する。
対策候補抽出装置３は、コンピュータであり、図示はないが実施の形態１の対策状況生成装置１及び実施の形態２の攻撃事例判定装置２と同様のハードウェアを備える。また、対策候補抽出装置３は、機能構成として対策候補抽出部３０１を備える。すなわち、対策候補抽出装置３の「部」の機能とは、対策候補抽出部３０１の機能である。対策状況生成装置１及び攻撃事例判定装置２と同様に、「部」の機能は、ソフトウェアで実現される。また、対策状況生成装置１及び攻撃事例判定装置２と同様に、「部」の機能が処理回路９０９等のハードウェアで実現されていてもよい。

対策候補抽出部３０１は、組織の対策状況に基づいて選択された選択攻撃手段１７１と、選択攻撃手段１７１以外の攻撃手段と含む攻撃事例情報１３３を取得し、選択攻撃手段１７１と組み合わせて使用される攻撃手段を攻撃事例情報１３３から判定する。また、対策候補抽出部３０１は、選択攻撃手段１７１と組み合わせて使用される攻撃手段を強化対策情報１８として出力する。このとき、攻撃事例情報１３３は、少なくとも選択攻撃手段１７１と、選択攻撃手段１７１以外の攻撃手段とを含む。また、攻撃事例情報１３３は１つでもよく、複数あってもよい。

具体的には、対策候補抽出装置３は、１つ又は複数の攻撃事例情報１３３と、攻撃事例対応情報１７において組織の対策状況で△か◇がついた誤検知の多い攻撃手段Ｘ（選択攻撃手段１７１）とを入力とする。具体例としては、図２２の（ａ）に示す攻撃手段Ｘである。攻撃手段Ｘは、攻撃事例対応情報１７において組織の対策状況で誤検知の多いと判定された攻撃手段である。対策候補抽出装置３は、攻撃手段Ｘの誤検知を低減するために、併せて検知すべき攻撃手段Ｙを抽出する。
なお、「誤検知の多い攻撃手段Ｘ」とは、攻撃手段Ｘに対する組織の対策では、攻撃手段Ｘ以外を誤って攻撃手段Ｘとして検知してしまうことが多い、という意味である。

＊＊＊動作の説明＊＊＊
対策候補抽出装置３による対策候補抽出処理Ｓ３００を以下に説明する。
まず、対策候補抽出装置３は、攻撃手段Ｘの攻撃手段ＩＤ＿Ｘを抽出する。
次に、対策候補抽出装置３は、攻撃手段ＩＤ＿Ｘを含む攻撃事例情報１３を、１つ又は複数の攻撃事例情報１３３から抽出する。ここで、対策候補抽出装置３は、攻撃事例情報１３を１つ以上抽出する。抽出結果を、攻撃事例情報１３＿ｉとする。

次に、対策候補抽出装置３は、攻撃事例情報１３＿ｉにおいて、攻撃手段ＩＤ＿Ｘ以外に、共通する攻撃手段ＩＤを抽出し、その数を数える。具体例として、攻撃事例情報１３＿ｉが、以下であったとする。ここで、ｉ＝１，２，３とする。
攻撃事例情報１３＿１＝｛攻撃手段ＩＤ＿Ｘ、攻撃手段ＩＤ＿ｅ、攻撃手段ＩＤ＿ｆ、攻撃手段ＩＤ＿ｇ｝
攻撃事例情報１３＿２＝｛攻撃手段ＩＤ＿Ｘ、攻撃手段ＩＤ＿ｅ、攻撃手段ＩＤ＿ｇ、攻撃手段ＩＤ＿ｈ｝
攻撃事例情報１３＿３＝｛攻撃手段ＩＤ＿Ｘ、攻撃手段ＩＤ＿ｅ、攻撃手段ＩＤ＿ｉ、攻撃手段ＩＤ＿ｊ｝
この時、攻撃手段ＩＤ＿ｅは攻撃事例情報１３＿１、攻撃事例情報１３＿２、攻撃事例情報１３＿３の全てに含まれるため、出現数は３である。同様に、攻撃手段ＩＤ＿ｇの出現数は２、攻撃手段ＩＤ＿ｆ、攻撃手段ＩＤ＿ｈ、攻撃手段ＩＤ＿ｉ、攻撃手段ＩＤ＿ｊの出現数は１である。
すなわち、攻撃手段ＩＤ＿Ｘが含まれる上記３つの攻撃事例情報１３＿ｉでは、攻撃手段ＩＤ＿Ｘ以外に、攻撃手段ＩＤ＿ｅが全てに含まれ、攻撃手段ＩＤ＿ｇが２つに含まれている。従って、これらの攻撃事例情報１３においては、攻撃手段ＩＤ＿Ｘと攻撃手段ＩＤ＿ｅは常に併用されており、次に、攻撃手段ＩＤ＿ｇが併用されていることが分かる。
対策候補抽出装置３は、この様に抽出した攻撃手段ＩＤ＿ｅ、攻撃手段ＩＤ＿ｇを攻撃手段ＩＤ＿Ｘと組み合わせて検知すべき攻撃手段Ｙを強化対策情報１８として出力する。

図２４を用いて、本実施の形態に係る対策候補抽出処理Ｓ３００について説明する。
ステップＳ３１１において、対策候補抽出部３０１は、攻撃事例情報１３＿ｉから攻撃手段ＩＤ＿Ｘを含むものを抽出する。ここで、ｉは１からｒまでの自然数とする。ｒは攻撃事例情報１３の数である。
ステップＳ３１２において、対策候補抽出部３０１は、続く処理のために、抽出した攻撃事例情報を、抽出攻撃事例情報ｊとする。ここで、ｊは１からｓまでの自然数とする。ｓは、ステップＳ３１１において抽出された攻撃事例情報１３の数である。
ステップＳ３１３において、対策候補抽出部３０１は、変数ｊを１に設定し、空の攻撃手段ＩＤリストを用意する。
ステップＳ３１４において、対策候補抽出部３０１は、ｊ＞ｓか調べ、ｊ＞ｓである場合は処理を終了し、ｊ＞ｓでない場合はステップＳ３１５へ進む。

ステップＳ３１５において、対策候補抽出部３０１は、抽出攻撃事例情報ｊに含まれる攻撃手段ＩＤの数をｔとする。
ステップＳ３１６において、対策候補抽出部３０１は、変数ｋを１に設定する。
ステップＳ３１７において、対策候補抽出部３０１は、ｋ＞ｔか調べ、ｋ＞ｔである場合はステップＳ３１１３へ進み、ｋ＞ｔでない場合はステップＳ３１８へ進む。

ステップＳ３１８において、対策候補抽出部３０１は、抽出攻撃事例情報ｊに含まれる攻撃手段ＩＤの１つである攻撃手段ＩＤ＿ｋを取得する。
ステップＳ３１９において、対策候補抽出部３０１は、攻撃手段ＩＤ＿ｋが、攻撃手段ＩＤリストに存在するか調べ、存在すればステップＳ３１１１に進み、存在しなければ、ステップＳ３１１０へ進む。
ステップＳ３１１０において、対策候補抽出部３０１は、攻撃手段ＩＤリストの末尾に攻撃手段ＩＤ＿ｋを追加し、そのｃｏｕｎｔを１に設定する。ここで、攻撃手段ＩＤリストは以下のような構造の情報である。
攻撃手段ＩＤリスト＝｛（攻撃手段ＩＤ＿１、ｃｏｕｎｔ＿１）、（攻撃手段ＩＤ＿２、ｃｏｕｎｔ＿２）、…｝
ここで、中カッコは情報の並びである。小カッコの中は攻撃手段ＩＤの値と、その攻撃手段ＩＤが複数の攻撃事例情報に渡って出現した回数を表している。

ステップＳ３１１１において、対策候補抽出部３０１は、攻撃手段ＩＤリスト上の攻撃手段ＩＤ＿ｋの要素のｃｏｕｎｔ（ｃｏｕｎｔ＿ｋ）をインクリメントする。
ステップＳ３１１２において、対策候補抽出部３０１は、ｋをインクリメントする。
ステップＳ３１１３において、対策候補抽出部３０１は、ｊをインクリメントする。

以上で、本実施の形態に係る対策候補抽出処理Ｓ３００についての説明を終わる。

＊＊＊他の構成＊＊＊
また、図２２の（ｂ）に示すように、対策候補抽出装置３は、攻撃事例情報１３３と、攻撃事例対応情報１７における組織の対策状況で□か◇のついた攻撃手段（攻撃手段Ｘ１）（選択攻撃手段１７１）とを入力としてもよい。□か◇のついた攻撃手段（攻撃手段Ｘ１）とは、検知漏れ（回避）する可能性がある攻撃手段（攻撃手段Ｘ１）である。そして、対策候補抽出装置３は、攻撃手段Ｘ１の検知漏れを低減するために、併せて検知すべき攻撃手段を抽出する。
ここで、対策候補抽出装置３の処理は、攻撃手段Ｘの場合（図２２の（ａ））と同じである。処理の結果、対策候補抽出装置３は、この様に抽出した攻撃手段ＩＤ＿ｅ、攻撃手段ＩＤ＿ｇを攻撃手段ＩＤ＿Ｘ１と組み合わせて検知すべき攻撃手段攻Ｙ１として出力する。

また、図２３に示すように、対策候補抽出装置３は、攻撃事例情報１３３と、対策状況情報１６における優先的対策項目１６５２が「該当」である攻撃手段Ｕ（選択攻撃手段１７１）とを入力としてもよい。そして、対策候補抽出装置３は、攻撃手段Ｕと組み合わせて検知すべき攻撃手段を抽出し、攻撃手段Ｖとして出力してもよい。この場合も対策候補抽出装置３の処理は攻撃手段Ｘの場合（図２２の（ａ））と同様の処理である。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る対策候補抽出装置３は、誤検知や検知漏れがある攻撃手段について、攻撃事例情報からの統計により、併用して使用される頻度の高い攻撃手段を抽出する。そして、抽出した攻撃手段を、誤検知や検知漏れがある攻撃手段と併せて検知を試みる候補となる攻撃手段として提示することができる。この結果、本実施の形態に係る対策候補抽出装置３によれば、提示された攻撃手段と、誤検知や検知漏れがある攻撃手段とを併せて検知することで、誤検知や検知漏れを低減することが可能となる効果がある。

実施の形態４．
本実施の形態では、主に、実施の形態３と異なる点について説明する。本実施の形態において、実施の形態１から３と同様の構成には同一の符号を付し、その説明を省略する。また、実施の形態１から３と同様の機能についてその説明を省略する。
本実施の形態では、実施の形態３で説明した対策候補抽出装置３による追加対策を提示する処理が実施の形態３と異なる。

図２５は、本実施の形態に係る対策候補抽出装置３の構成及び入出力を示す図である。
図２５に示すように、対策候補抽出装置３は、１つ又は複数の攻撃事例情報１３３と、攻撃事例対応情報１７における組織の対策状況で△か◇のついた、誤検知の多い攻撃手段Ｘ、又は、攻撃事例対応情報１７における組織の対策状況で□か◇のついた、検知漏れする可能性がある攻撃手段Ｘ１、又は、対策状況情報１６における優先的対策項目１６５２が「該当」である攻撃手段Ｕを入力とする。さらに、対策状況情報１６を入力する。

誤検知の多い攻撃手段Ｘ、又は、検知漏れする可能性がある攻撃手段Ｘ１、又は、対策状況情報１６における優先的対策項目１６５２が「該当」である攻撃手段Ｕに対して、組み合わせて検知すべき攻撃手段を抽出する方法は、実施の形態３と同じである。
本実施の形態では、組み合わせて検知すべき攻撃手段のうち、対策状況情報１６を利用して既に組織で対策しているものに絞り提示する。
具体例として、組み合わせて検知すべき攻撃手段が、図１６の対策状況情報１６における攻撃手段ＩＤ＝５４２であった場合、組織対策状況情報１６４において「済」になっているＩＤＳ／メールフィルタ／振る舞い検知（端末）を抽出し、この攻撃手段ＩＤ＝５４２の情報に加えて攻撃手段Ｗを強化対策情報１８として出力する。
もし、組み合わせて検知すべき攻撃手段について、対策状況情報１６において、組織対策状況情報１６４に「済」が付くものが無い場合は、該当する攻撃手段Ｗは無い。よって、攻撃手段Ｗを出力しない、あるいは、強化対策情報１８がないとの警告を出力してもよい。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態における対策候補抽出装置３は、実施の形態３の、入力された攻撃手段と組み合わせて検知すべき攻撃手段について、組織対策状況情報１６４を参照して既に組織で対策済みの攻撃手段に限定して提示することで、組織で既に適用している対策を利用し、検知を強化することが可能となる効果がある。

実施の形態５．
本実施の形態では、主に、実施の形態１と異なる点について説明する。本実施の形態において、実施の形態１から４と同様の構成には同一の符号を付し、その説明を省略する。また、実施の形態１から４と同様の機能についてその説明を省略する。

実施の形態１では、検知情報生成部１０２は、図１０のＳ１２５において、攻撃手段ＩＤ＿ｊの「説明文」に、検知対策手段情報１２のＣＭ＿ＩＤ＿ｉのエントリにおける「検知可能」のキーワードが含まれるかを調べることで、ＣＭ＿ＩＤ＿ｉの「検知可能」な攻撃を攻撃手段ＩＤ＿ｊを紐づけていた。
本実施の形態では、検知対策手段情報１２のＣＭ＿ＩＤ＿ｉのエントリにおける「検知可能」において、キーワードの代わりに「検知可能」な攻撃手段ＩＤが含まれているものについて説明する。「検知不可能」「誤検知」の項目についても同様である。すなわち、検知情報生成部１０２は、検知手段により検知される攻撃手段であって検知手段の検知精度に応じた攻撃手段を含む検知対策手段情報１２を取得し、この検知対策手段情報１２に基づいて、検知手段が検知する攻撃手段を検知精度に応じて検出する。

上記の検知対策手段情報１２を用いる場合、ステップＳ１２５の処理を、「ＣＭ＿ＩＤ＿ｉのエントリにおける「検知可能」の攻撃手段ＩＤが、攻撃手段ＩＤ＿ｊに一致するかを確認する」と置き換えればよい。ステップＳ１２６は、この確認が、一致する場合にステップＳ１２７へ進み、一致しない場合はステップＳ１２８へ進むように変更すればよい。
本実施の形態においては、上記の検知対策手段情報１２を生成する際に、キーワードの代わりに攻撃手段ＩＤを設定することを前提としている。なお、実施の形態１で説明したように、キーワードの代わりに攻撃手段ＩＤを含む検知対策手段情報１２の生成は、対策状況生成装置１の外で行う。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態における対策状況生成装置１は、実施の形態１に係る検知対策手段情報１２の「検知可能」において、キーワードを用いる代わりに、攻撃手段ＩＤを用いることにより、実施の形態１と同じ効果が得られる。

実施の形態６．
本実施の形態では、主に、実施の形態１と異なる点について説明する。本実施の形態において、実施の形態１から５と同様の構成には同一の符号を付し、その説明を省略する。また、実施の形態１から５と同様の機能についてその説明を省略する。

実施の形態１では、危険度判定部１０３は、攻撃事例情報１３と重みづけ情報１４とを用いて危険度１６３を攻撃手段ＩＤに付与していた。攻撃情報１１には、図３で図示していないが、危険度レベル＝１、２、３、４、５（大きいほど危険）などの、危険度の情報が含まれる場合がある。その場合、本実施の形態では、危険度判定部１０３は、攻撃事例情報１３と重みづけ情報１４とを用いずに、攻撃情報１１において攻撃手段ＩＤごとに付与されている危険度レベルを参照し、その危険度レベルの値を、対策状況情報１６における攻撃手段ＩＤの危険度１６３に設定する。すなわち、危険度判定部１０３は、攻撃手段の危険度（危険度レベル）を含む攻撃手段情報１１１を取得し、対策状況出力部１０５は、攻撃手段の危険度（危険度レベル）を含む対策状況情報１６を出力する。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態における対策状況生成装置１は、攻撃情報１１に危険度（危険度レベル）の情報が含まれる場合、これを、対策状況情報１６における、危険度１６３に設定できる効果がある。

実施の形態７．
本実施の形態では、主に、実施の形態１と異なる点について説明する。本実施の形態において、実施の形態１から６と同様の構成には同一の符号を付し、その説明を省略する。また、実施の形態１から６と同様の機能についてその説明を省略する。

実施の形態１では、対策状況生成装置１は、対策状況情報１６において、対策済の組織対策状況情報１６４の要素において、「済」「未」「−」の３種類しか設定しなかった。本実施の形態では、検知対策手段情報１２に記載されている「検知不可能」「誤検知」の情報を、対策状況情報１６における組織対策状況情報１６４の情報として、追加設定する。

本実施の形態では、検知情報生成部１０２は、図１０のステップＳ１２１０において、ｕｎｄｅｔｅｃｔ＿ｆｌａｇ＝Ｔｒｕｅの設定に加えて、参照しているＣＭ＿ＩＤ＿ｉの「検知不可能」の情報を、攻撃手段ＩＤ＿ｊに紐づける。さらに、ステップＳ１２１３において、参照しているＣＭ＿ＩＤ＿ｉの「誤検知」の情報を、攻撃手段ＩＤ＿ｊに紐づける。さらに、ステップＳ１２１５において、攻撃手段ＩＤ＿ｊに対して、ＣＭ＿ＩＤ＿ｉによる対策可否を設定することに加えて、攻撃手段ＩＤ＿ｊに紐づけたＣＭ＿ＩＤ＿ｉの「検知不可能」「誤検知」の情報を、追加設定する。

さらに、本実施の形態では、対策状況判定部１０４の処理を示した図１８のステップＳ１４９において、ＣＭ＿ＩＤ＿ｉ＿ｋに該当する組織対策状況情報１６４＿ｉの欄に「済」を設定する処理に加えて、ＣＭ＿ＩＤ＿ｉ＿ｋのＩＤに上記の様に紐づけて設定された「検知不可能」「誤検知」を設定する。具体例として、同欄に「済」を設定することに加えて、以下の様に紐づいた「検知不可能」「誤検知」を設定する。
対策状況情報１６の攻撃手段ＩＤ＝Ａｄｄ＿０００１における組織対策状況情報１６４のログ分析・プロキシログのマスの設定例を以下に示す。
・済
・検知不可能：改ざんされた正規サイトとのＨＴＴＰ通信
・誤検知：正規のＨＴＴＰ通信

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態における対策状況生成装置１は、対策状況情報１６において、攻撃手段の対策状況を確認できるとともに、対策済みであった場合の、検知不可能（検知漏れ）や誤検知の発生の可能性について含めることができる。このため、対策状況生成装置１の利用者は、ある攻撃手段が対策済みであっても、検知不可能（検知漏れ）や誤検知のリスクについて把握することが可能となる。

実施の形態８．
本実施の形態では、主に、実施の形態３及び４と異なる点について説明する。本実施の形態において、実施の形態１から７と同様の構成には同一の符号を付し、その説明を省略する。また、実施の形態１から７と同様の機能についてその説明を省略する。

本実施の形態では、対策候補抽出装置３は、追加対策の提示の処理において、実施の形態３及び４と異なる処理を行う。実施の形態３では、対策候補抽出装置３は、攻撃事例情報１３において、攻撃手段Ｘや攻撃手段Ｘ１や攻撃手段Ｕと併用される攻撃手段の統計を取り、例えば、攻撃手段Ｘと最も多く併用される攻撃手段Ｙを抽出し、強化対策情報１８として出力した。

本実施の形態では、さらに、攻撃手段Ｘや攻撃手段Ｘ１と併用される攻撃手段の統計を取り、さらに、対策状況情報１６を参照して、併用されることが多い攻撃手段について有効な検知手段情報１６２を併せて出力する。
実施の形態３で説明した以下の３つの攻撃事例情報を用いて説明する。ここでは攻撃手段Ｘについて併せて検知する他の攻撃手段を抽出する場合を挙げる。
攻撃事例情報１３＿１＝｛攻撃手段ＩＤ＿Ｘ、攻撃手段ＩＤ＿ｅ、攻撃手段ＩＤ＿ｆ、攻撃手段ＩＤ＿ｇ｝
攻撃事例情報１３＿２＝｛攻撃手段ＩＤ＿Ｘ、攻撃手段ＩＤ＿ｅ、攻撃手段ＩＤ＿ｇ、攻撃手段ＩＤ＿ｈ｝
攻撃事例情報１３＿３＝｛攻撃手段ＩＤ＿Ｘ、攻撃手段ＩＤ＿ｅ、攻撃手段ＩＤ＿ｉ、攻撃手段ＩＤ＿ｊ｝
これらの攻撃事例情報に対して図１８の処理を実行すると、攻撃手段ＩＤリスト＝｛（攻撃手段ＩＤ＿ｅ、ｃｏｕｎｔ＿ｅ＝３）、（攻撃手段ＩＤ＿ｇ、ｃｏｕｎｔ＿ｇ＝２）｝となる。

この結果、攻撃手段ＩＤ＿ｅ、又は攻撃手段ＩＤ＿ｅと攻撃手段ＩＤ＿ｇとの両方を攻撃手段Ｙとして出力する。本実施の形態では、この出力において、以下の（ｂ１）から（ｂ３）の判定を行う。
（ｂ１）攻撃手段ＩＤリストに記録された攻撃手段ＩＤで、対策状況情報１６の検知手段情報１６２において、○がつく検知・対策手段情報があるものを抽出し、この様に抽出された攻撃手段ＩＤを攻撃手段Ｙとして出力する。攻撃手段ＩＤリスト上にこの条件に該当する攻撃手段ＩＤが複数あれば、これらを攻撃手段Ｙとして出力する。具体例として、攻撃手段ＩＤ＿ｅについて、対策状況情報１６の検知手段情報１６２において振る舞い検知（端末）に○が設定されていた場合は、攻撃手段ＩＤ＿ｅを攻撃手段Ｙとして出力する。（ｂ２）（ｂ１）の処理において○が付く攻撃手段が無い場合は、対策状況情報１６の検知手段情報１６２において△がつく攻撃手段ＩＤを抽出する。抽出された攻撃手段ＩＤを攻撃手段Ｙとして出力する。
（ｂ３）（ｂ２）の処理において△が付く攻撃手段が無い場合は、対策状況情報１６の検知手段情報１６２において□がつく攻撃手段ＩＤを抽出する。抽出された攻撃手段ＩＤを攻撃手段Ｙとして出力する。
なお、（ｂ１）のみを処理しても良いし、（ｂ１）と（ｂ２）のみを処理しても良いし、（ｂ１）と（ｂ２）と（ｂ３）とを処理してもよい。
さらに、（ｂ１）の処理で抽出した攻撃手段ＩＤについて、○が示される検知手段情報１６２（具体例として、ＩＤＳ）を、攻撃手段ＩＤと併せて攻撃手段Ｙとして出力しても良い。同様に（ｂ２）では△である検知手段情報１６２を、（ｂ３）では□である検知手段情報１６２を攻撃手段ＩＤと併せて攻撃手段Ｙとして出力しても良い。

対策候補抽出装置３は、攻撃手段Ｘ１についても同様の処理で、同様の攻撃手段Ｙ１を出力できる。
実施の形態４では、攻撃手段Ｘや攻撃手段Ｘ１や攻撃手段Ｕについて、組み合わせて検知すべき攻撃手段のうち、対策状況情報１６を利用して既に組織で検知手段を実施しているものに絞り提示した。本実施の形態では、さらに、これらについて、（ｂ１）（ｂ２）（ｂ３）の様に、○がつくもの、△がつくもの、□が付くものを抽出して、攻撃手段Ｗ１として出力する。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態における対策候補抽出装置３は、実施の形態３及び４の効果に加えて、併せて対策すべき攻撃手段について、具体的にどのような検知手段を適用すればよいか判断できる効果がある。

実施の形態９．
本実施の形態では、主に、実施の形態１と異なる点について説明する。本実施の形態において、実施の形態１から８と同様の構成には同一の符号を付し、その説明を省略する。また、実施の形態１から８と同様の機能についてもその説明を省略する。

本実施の形態は、実施の形態１において、組織対策情報１５における、運用上の制限を参照して、図１８のステップＳ１４９の処理を変更したものである。
実施の形態１のステップＳ１４９のでは、実施の形態１においてＣＭ＿ＩＤ＿ｉ＿ｋに該当する組織対策状況情報１６４＿ｉの欄の設定について「済」と判定した場合、さらに、ＣＭ＿ＩＤ＿ｊ（ＣＭ＿ＩＤ＿ｉ＿ｋに等しい）に該当する組織対策情報１５のエントリを参照し、該当する運用上の制限を参照する。この運用上の制限において、閾値抑制（回数）、閾値抑制（重大度）、ホワイトリストにおいて適用がある場合は、組織対策状況情報１６４＿ｉの欄に「済」の代わりに「済・回避」を設定する。
併せて、閾値抑制（回数）、閾値抑制（重大度）、ホワイトリストなど運用上の抑制措置について、その内容（組織対策情報１５上の項目名）を追加情報として設定しても良い。対策状況生成装置１の利用者は、この追加情報を参照することで、検知手段は行っているが回避可能である理由を知ることができる（例：閾値抑制（回数））。

対策状況判定部１０４が、対策状況情報１６に効果度１６５１を付与する処理について説明する。図６の対策状況情報１６における１つの攻撃手段ＩＤについて、組織対策状況情報１６４が「済」の場合は、該当する検知手段情報１６２の構成要素の設定値（○△□◇×）をそのまま抽出して、実施検知手段情報１６２１として対策状況判定部１０４に保存する。
組織対策状況情報１６４が「済・回避」の場合は、該当する検知手段情報１６２の構成要素の設定値（○△□◇×）を抽出し、○は□に、△は□に変換して実施検知手段情報１６２１として対策状況判定部１０４に保存する。対策状況判定部１０４は、この様に抽出・変換した、実施検知手段情報１６２１について以下の様に処理する。
（ｃ１）実施検知手段情報１６２１に○が含まれていれば効果度１６５１に○を設定する。
（ｃ２）（ｃ１）に当てはまらない場合、△が含まれていれば△を効果度１６５１に設定する。
（ｃ３）（ｃ２）に当てはまらない場合、□が含まれていれば□を効果度１６５１に設定する。
（ｃ４）（ｃ３）に当てはまらない場合、◇が含まれていれば◇を効果度１６５１に設定する。
（ｃ５）（ｃ４）に当てはまらない場合、×を効果度１６５１に設定する。
具体例として、ある攻撃手段ＩＤについて、組織対策状況情報１６４の振る舞い検知（ＡＰ）が「済・回避」であり、検知手段情報１６２の振る舞い検知（ＡＰ）が△であったとする。この場合は、振る舞い検知（ＡＰ）の検知手段情報１６２を△から□にして、実施検知手段情報１６２１に保存する。同じ攻撃手段ＩＤについて、組織対策状況情報１６４のＩＤＳが「済」であり、検知手段情報１６２のＩＤＳが□であったとする。この場合は、ＩＤＳの検知手段情報１６２は変換せず□として実施検知手段情報１６２１に保存する。このとき、実施検知手段情報１６２１は□（振る舞い検知（ＡＰ））、□（ＩＤＳ）であり、上記（ｃ３）に該当するので、効果度１６５１に□を設定する。

この様に、組織において検知・対策に運用制限をかけている場合、その検知・対策の製品やログ分析が攻撃手段を検知できるとしても、運用制限によってその検知能力が下がる可能性があるため、効果度１６５１については、検知漏れ（回避）の可能性がある評価を付与する。（ｃ３）（ｃ４）についてはもともと検知漏れ（回避）があるという評価であるが、（ｃ３）については、□＋、◇＋として効果度１６５１に設定しても良い。この“＋”は、通常の□、◇よりも検知漏れ（回避）が起こる可能性があるという意味である。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態における対策状況生成装置１は、組織対策情報１５を参照することで、攻撃手段への対策として実施している検知・対策が、運用上の制限により、検知漏れ（回避）を起こすことを、対策状況情報１６に示すことが可能となり、利用者は、運用制限による検知漏れのリスクを認識できる。

実施の形態１０．
本実施の形態では、主に、実施の形態１と異なる点について説明する。本実施の形態において、実施の形態１から９と同様の構成には同一の符号を付し、その説明を省略する。また、実施の形態１から９と同様の機能についてもその説明を省略する。

実施の形態１において、検知対策手段情報１２と組織対策情報１５を分けて処理したが、本実施の形態においては、組織対策情報１５に検知対策手段情報１２の該当する検知手段をマージして、組織対策情報１５ａとして使用する。
本実施の形態において、対策状況生成装置１における、攻撃情報生成部１０１の処理は、実施の形態１と同じである。

本実施の形態において、検知情報生成部１０２における処理は、検知対策手段情報１２の代わりに組織対策情報１５ａを使用する。それ以外の処理は、実施の形態１に同じである。この結果、攻撃検知情報１２１の検知手段情報１６２には、組織対策情報１５ａにおけるＣＭ＿ＩＤで区別される検知手段が設定される。

本実施の形態において、危険度判定部１０３の処理は、実施の形態１と同じである。

本実施の形態において、対策状況判定部１０４の処理では、組織対策情報１５の代わりに組織対策情報１５ａを参照する。本実施の形態では、まず、図１８のＳ１４１の処理を実施する。次に、対策状況情報１６において、攻撃手段ＩＤごとに検知手段情報１６２を参照し、○△□◇が設定されている構成要素について、組織対策状況情報１６４の同じ構成要素について「済」を設定する。最後に、全ての攻撃手段ＩＤごとに、組織対策状況情報１６４において「済」が設定されていない箇所は「−」を設定する。本実施の形態では、検知手段情報１６２は全て実施済みであり、攻撃手段について検知手段が可能な場合に○△□◇が付与される。それ以外の場合は付与されない。
その他の対策状況生成装置１の処理は実施の形態１に同じである。
図２６は、本実施の形態に係る組織対策情報１５ａの構成の一例を示す図である。組織対策情報１５ａの各行は、組織で実施済の検知手段の情報と、その運用上の制限で構成される。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態における対策状況生成装置１は、検知対策手段情報１２に代わりに、実施済の検知・対策手段情報と運用上の制限の情報を組み合わせた組織対策情報１５ａを参照することで、実施済の検知・対策について、効果の状況を出力することができる。

以上、実施の形態１から１０では、対策状況生成装置１と、攻撃事例判定装置２と、対策候補抽出装置３とを別装置として説明したが、１つのコンピュータに対策状況生成装置１と、攻撃事例判定装置２と、対策候補抽出装置３との機能が搭載されていてもよい。また、攻撃対策判定システム５００は、図１に示した装置構成でなくてもよく、上述した機能を実現することができればどのような装置構成でも構わない。

また、実施の形態１から１０の説明において「部」として説明するもののうち、いずれか１つのみを採用してもよいし、いくつかの任意の組合せを採用してもよい。つまり、対策状況生成装置１と攻撃事例判定装置２と対策候補抽出装置３との各々の機能構成は、上記の実施の形態で説明した機能を実現することができれば、任意である。機能構成を、どのような組合せ、あるいは任意の機能構成で攻撃対策判定システム５００を構成しても構わない。

また、これらの実施の形態１から１０のうち、複数を部分的に組合せて実施しても構わない。あるいは、これらの実施の形態のうち、１つの実施の形態を部分的に実施しても構わない。その他、これらの実施の形態を、全体としてあるいは部分的に、どの様に組合せて実施しても構わない。
なお、上記の実施の形態は、本質的に好ましい例示であって、本発明、その適用物や用途の範囲を制限することを意図するものではなく、必要に応じて種々の変更が可能である。

１ 対策状況生成装置、１１ 攻撃情報、１２ 検知対策手段情報、１３，１３ａ 攻撃事例情報、１４ 重みづけ情報、１５，１５ａ 組織対策情報、１６ 対策状況情報、１７ 攻撃事例対応情報、１８ 強化対策情報、２１，Ｘ，Ｘ１，Ｕ 攻撃手段、２２ 検知手段、２３ 検知精度、２４ 説明文、３１ 攻撃フェーズ、１０１ 攻撃情報生成部、１０２ 検知情報生成部、１０３ 危険度判定部、１０４ 対策状況判定部、１０５
対策状況出力部、１５０ 記憶部、１１１，１６１ 攻撃手段情報、１２１ 攻撃検知情報、１３１ 攻撃検知危険度情報、１３３ 攻撃事例情報、１６２ 検知手段情報、１６２１ 実施検知手段情報、１６３ 危険度、１６４ 組織対策状況情報、１６５ 判定情報、１６５１ 効果度、１６５２ 優先的対策項目、１７１ 選択攻撃手段、２ 攻撃事例判定装置、２０１ 攻撃事例判定部、３ 対策候補抽出装置、３０１ 対策候補抽出部、５００ 攻撃対策判定システム、５１０ 攻撃対策判定方法、５２０ 攻撃対策判定プログラム、９０９ 処理回路、９１０ プロセッサ、９２０ 記憶装置、９２１ 補助記憶装置、９２２ メモリ、９３０ 入力インタフェース、９４０ 出力インタフェース、Ｓ１００ 攻撃対策判定処理、Ｓ１１０ 攻撃情報生成処理、Ｓ１２０ 検知情報生成処理、Ｓ１３０ 危険度判定処理、Ｓ１４０ 対策状況判定処理、Ｓ１５０ 対策状況出力処理。

Claims (17)

1. サイバー攻撃の攻撃手段と、前記攻撃手段を検知する検知手段と、前記攻撃手段に対する前記検知手段の検知精度とを含む攻撃検知情報を生成する検知情報生成部と、
   前記攻撃検知情報と、前記サイバー攻撃の対象となる組織において前記攻撃手段に対する対策として実施されている検知手段を組織検知手段として含む組織対策情報とを取得し、前記攻撃検知情報に含まれる前記検知精度と前記組織対策情報とに基づいて、前記組織における前記対策の効果の程度を表す効果度を判定する対策状況判定部と、
   前記検知手段の前記検知精度と前記攻撃手段が実施される前記サイバー攻撃における攻撃フェーズとに基づいて、前記攻撃手段の危険度を判定する危険度判定部と
   を備えた攻撃対策判定システム。
2. 前記攻撃対策判定システムは、さらに、
   前記攻撃手段と前記効果度とを対策状況情報として出力する対策状況出力部を備えた請求項１に記載の攻撃対策判定システム。
3. 前記対策状況出力部は、
   前記攻撃手段を検知する前記検知手段と、前記検知手段の前記検知精度とを前記対策状況情報に含める請求項２に記載の攻撃対策判定システム。
4. 前記対策状況判定部は、
   前記検知精度と前記組織対策情報とに基づいて、前記検知手段が前記組織において実施されているか否かを示す組織対策状況情報を生成し、前記組織対策状況情報に基づいて前記効果度を判定する請求項２又は３に記載の攻撃対策判定システム。
5. 前記対策状況出力部は、
   前記組織対策状況情報を前記対策状況情報に含める請求項４に記載の攻撃対策判定システム。
6. 前記対策状況出力部は、
   前記攻撃手段の危険度を前記対策状況情報に含める請求項２から５のいずれか１項に記載の攻撃対策判定システム。
7. 前記検知情報生成部は、
   前記攻撃手段を説明する説明文を含む攻撃手段情報と、前記検知手段が検知する攻撃手段を前記検知精度に応じて取得するためのキーワードを含む検知対策手段情報とを取得し、前記キーワードを用いて前記攻撃手段情報に含まれる前記説明文を検索し、前記検知手段が検知する攻撃手段を前記検知精度に応じて検出する請求項１から６のいずれか１項に記載の攻撃対策判定システム。
8. 前記検知情報生成部は、
   前記検知手段により検知される攻撃手段であって前記検知手段の前記検知精度に応じた攻撃手段を含む検知対策手段情報を取得し、前記検知対策手段情報に基づいて、前記検知手段が検知する攻撃手段を前記検知精度に応じて検出する請求項１から６のいずれか１項に記載の攻撃対策判定システム。
9. 前記検知情報生成部は、
   前記検知精度として、前記検知手段が前記攻撃手段を検知できない第１検知精度と、前記検知手段による前記攻撃手段の検知漏れの場合がある第２検知精度と、前記検知手段が前記攻撃手段を誤検知する場合がある第３検知精度と、前記検知手段が前記攻撃手段を誤検知せず、かつ、前記検知手段による前記攻撃手段の検知漏れがない第４検知精度と、前記検知手段が前記攻撃手段を検知できる場合と、前記検知手段が前記攻撃手段を検知できない場合と、前記検知手段が前記攻撃手段を誤検知する場合とがある第５検知精度との少なくともいずれかを有する請求項１から８のいずれか１項に記載の攻撃対策判定システム。
10. サイバー攻撃の攻撃手段と、前記攻撃手段を検知する検知手段と、前記攻撃手段に対する前記検知手段の検知精度とを含む攻撃検知情報を生成する検知情報生成部と、
    前記攻撃検知情報と、前記サイバー攻撃の対象となる組織において前記攻撃手段に対する対策として実施されている検知手段を組織検知手段として含む組織対策情報とを取得し、前記攻撃検知情報に含まれる前記検知精度と前記組織対策情報とに基づいて、前記組織における前記対策の効果の程度を表す効果度を判定する対策状況判定部と
    を備え、
    前記検知情報生成部は、
    前記攻撃手段を説明する説明文を含む攻撃手段情報と、前記検知手段が検知する攻撃手段を前記検知精度に応じて取得するためのキーワードを含む検知対策手段情報とを取得し、前記キーワードを用いて前記攻撃手段情報に含まれる前記説明文を検索し、前記検知手段が検知する攻撃手段を前記検知精度に応じて検出する攻撃対策判定システム。
11. 前記検知情報生成部は、
    前記検知精度として、前記検知手段が前記攻撃手段を検知できない第１検知精度と、前記検知手段による前記攻撃手段の検知漏れの場合がある第２検知精度と、前記検知手段が前記攻撃手段を誤検知する場合がある第３検知精度と、前記検知手段が前記攻撃手段を誤検知せず、かつ、前記検知手段による前記攻撃手段の検知漏れがない第４検知精度と、前記検知手段が前記攻撃手段を検知できる場合と、前記検知手段が前記攻撃手段を検知できない場合と、前記検知手段が前記攻撃手段を誤検知する場合とがある第５検知精度との少なくともいずれかを有する請求項１０に記載の攻撃対策判定システム。
12. サイバー攻撃の攻撃手段と、前記攻撃手段を検知する検知手段と、前記攻撃手段に対する前記検知手段の検知精度とを含む攻撃検知情報を生成する検知情報生成部と、
    前記攻撃検知情報と、前記サイバー攻撃の対象となる組織において前記攻撃手段に対する対策として実施されている検知手段を組織検知手段として含む組織対策情報とを取得し、前記攻撃検知情報に含まれる前記検知精度と前記組織対策情報とに基づいて、前記組織における前記対策の効果の程度を表す効果度を判定する対策状況判定部と、
    前記攻撃手段と前記効果度とを対策状況情報として出力する対策状況出力部と、
    前記サイバー攻撃の攻撃フェーズと前記攻撃フェーズにおいて実施される攻撃手段とを含む攻撃事例情報と、前記対策状況情報とを取得し、前記対策状況情報を用いて、前記攻撃事例情報について前記攻撃フェーズの攻撃手段ごとに前記組織の対策状況を判定する攻撃事例判定部と
    を備えた攻撃対策判定システム。
13. 前記攻撃事例判定部は、
    前記攻撃事例情報と前記組織の対策状況とを攻撃事例対応情報として出力する請求項１２に記載の攻撃対策判定システム。
14. 前記攻撃対策判定システムは、さらに、
    前記組織の対策状況に基づいて選択された選択攻撃手段と前記選択攻撃手段以外の攻撃手段とを含む前記攻撃事例情報を取得し、前記選択攻撃手段と組み合わせて使用される攻撃手段を前記攻撃事例情報から判定する対策候補抽出部を備えた請求項１２または１３に記載の攻撃対策判定システム。
15. 前記対策候補抽出部は、
    前記選択攻撃手段と組み合わせて使用される攻撃手段を強化対策情報として出力する請求項１４に記載の攻撃対策判定システム。
16. 検知情報生成部が、サイバー攻撃の攻撃手段と、前記攻撃手段を検知する検知手段と、前記攻撃手段に対する前記検知手段の検知精度とを含む攻撃検知情報を生成し、
    対策状況判定部が、前記攻撃検知情報と、前記サイバー攻撃の対象となる組織において前記攻撃手段に対する対策として実施されている検知手段を組織検知手段として含む組織対策情報とを取得し、前記攻撃検知情報に含まれる前記検知精度と前記組織対策情報とに基づいて、前記組織における前記対策の効果の程度を表す効果度を判定し、
    危険度判定部が、前記検知手段の前記検知精度と前記攻撃手段が実施される前記サイバー攻撃における攻撃フェーズとに基づいて、前記攻撃手段の危険度を判定する攻撃対策判定方法。
17. サイバー攻撃の攻撃手段と、前記攻撃手段を検知する検知手段と、前記攻撃手段に対する前記検知手段の検知精度とを含む攻撃検知情報を生成する検知情報生成処理と、
    前記攻撃検知情報と、前記サイバー攻撃の対象となる組織において前記攻撃手段に対する対策として実施されている検知手段を組織検知手段として含む組織対策情報とを取得し、前記攻撃検知情報に含まれる前記検知精度と前記組織対策情報とに基づいて、前記組織における前記対策の効果の程度を表す効果度を判定する対策状況判定処理と、
    前記検知手段の前記検知精度と前記攻撃手段が実施される前記サイバー攻撃における攻撃フェーズとに基づいて、前記攻撃手段の危険度を判定する危険度判定処理とをコンピュータに実行させる攻撃対策判定プログラム。

Images