JP6475654B2 - 情報セキュリティシステム、サーバ装置、及び情報セキュリティ支援方法 - Google Patents

Description

本発明は、情報セキュリティシステム、サーバ装置、及び情報セキュリティ支援方法に関する。

特許文献１には、セキュリティログを分析することでサイバー攻撃の検知を行うセキュリティログ分析装置に関して記載されている。セキュリティログ分析装置は、攻撃を検知する検知装置が備えられたコンピュータシステムのログを記憶するログデータベースと、コンピュータシステムを対象とする複数の攻撃と当該複数の攻撃の順番とを定義する攻撃シナリオを記憶する攻撃シナリオデータベースと、攻撃シナリオデータベースに記憶された攻撃シナリオで定義されている複数の攻撃のうち、検知装置により未だ検知されておらず、当該攻撃シナリオで定義されている順番が検知装置により既に検知されている少なくとも１つの攻撃よりも前の攻撃を抽出する関連攻撃抽出部と、ログデータベースに記憶されたログを分析し、コンピュータシステムが関連攻撃抽出部により抽出された攻撃を受けていたかどうかを判定し、受けていたと判定した場合に、攻撃の検知漏れが発生したと判断する攻撃判定部とを備える。

特開２０１５−１２１９６８号公報

昨今、官公庁や企業等の組織を狙ったサイバー攻撃が後を絶たず、手口も大変巧妙になってきている。とくに標的型攻撃と称される、明確な目的を持って組織内の情報を狙う攻撃は、組織の通信ネットワークの奥深くに侵入し、新しい攻撃手法を執拗に繰り返す。このため、官公庁や企業等の組織においては、新しい攻撃手法について迅速にセキュリティ情報を入手し有効なセキュリティ対策を講じることが求められている。尚、特許文献１では攻撃シナリオの定義方法については触れておらず、日々進化する新しい攻撃手法に対して必ずしも迅速かつ有効に対処することができない。

本発明は、こうした背景に鑑みて成されたもので、通信ネットワークを介して行われる攻撃に対して迅速かつ効果的に対処することが可能な、情報セキュリティシステム、サーバ装置、及び情報セキュリティ支援方法を提供することを目的としている。

上記課題を解決するための本発明のうちの一つは、情報セキュリティシステムであって、通信ネットワークに接続され、前記通信ネットワークを介して受けた攻撃に関する情報である攻撃情報を含むセキュリティ情報を有する複数の自律型システムと、前記自律型システムの夫々に設けられ、夫々対応する前記自律型システムと通信可能に接続する複数の情報共有装置と、前記情報共有装置の夫々と通信可能に接続するサーバ装置と、を含み、前記情報共有装置は、夫々に対応する前記自律型システムが有している前記攻撃情報を取得し、取得した前記攻撃情報を前記サーバ装置に送信し、前記サーバ装置は、前記自律型システムの夫々の前記攻撃情報を分析することにより、類似する攻撃を受けている前記自律型システムを特定し、類似すると特定した前記自律型システムの一方である第１の前記自律型システムに対応する第１の前記情報共有装置が有している前記セキュリティ情報のうち、類似すると特定した前記自律型システムの他方である第２の前記自律型システムに
対応する第２の前記情報共有装置が有していないセキュリティ情報である差分の情報を特定し、特定した前記差分の情報に基づく情報である通知情報を、前記第２の情報共有装置に送信し、前記第２の前記情報共有装置が、前記通知情報を受信し、受信した前記通知情報を前記第２の自律型システムに送信し、前記第２の自律型システムが、前記通知情報を受信し、受信した前記通知情報に基づき攻撃に対するセキュリティ対策を実施する。

その他、本願が開示する課題、及びその解決方法は、発明を実施するための形態の欄、及び図面により明らかにされる。

本発明によれば、通信ネットワークを介して行われる攻撃に対して迅速かつ効果的に対処することができる。

情報セキュリティシステム１の概略的な構成を示す図である。 情報セキュリティシステム１を構成する各種装置のハードウェアの一例として示す情報処理装置１００のブロック図である。 対策情報テーブル１３１０の一例である。 攻撃情報テーブル１５１０の一例である。 共有ルール情報テーブル１６１０の一例である。 共有ルール情報テーブル１６１０の一例である。 収集対策情報テーブル２２１０の一例である。 収集攻撃情報テーブル２３１０の一例である。 情報セキュリティ支援処理Ｓ８００を説明するフローチャートである。 前処理テーブル５００の一例である。 セキュリティ情報共有画面６００の一例である。 前処理テーブル７００の一例である。 セキュリティ情報共有画面８００の一例である。

以下、実施形態につき図面を参照しつつ説明する。尚、以下の説明並びに図面において、同一の又は類似する構成に共通の符号を付して説明を省略することがある。また「自律型システム３０Ａ，３０Ｂ，３０Ｃ，・・・」を「自律型システム３０」と表記する等、符号の添字部分（Ａ，Ｂ，Ｃ等）を省略して同一の又は類似する構成を総称することがある。また「データベース」のことを「ＤＢ」と略記することがある。

図１に、実施形態として説明する情報セキュリティシステム１の概略的な構成を示している。同図に示すように、情報セキュリティシステム１は、複数の自律型システム３０Ａ，３０Ｂ，３０Ｃ，・・・、複数の情報共有装置１０Ａ，１０Ｂ，１０Ｃ，・・・、サーバ装置２０、及び対策ＤＢ３を含む。

自律型システム３０は、いずれもインターネット等の不特定多数の者が利用する通信ネットワーク５に接続する情報処理システムである。自律型システム３０は、通信ネットワーク５を介して行われる攻撃に対して所定の対処（予防、防御等）を実施するためのリソース（情報、資源、構成、仕組み）を備えている。自律型システム３０は、上記リソースとしてセキュリティに関する情報（後述する攻撃情報、後述する対策情報等。以下、セキュリティ情報とも称する。）を管理する。尚、「自律的」とは、他の情報処理システムにリソースを依存することなく、夫々に備えられたリソースを利用して攻撃に対処することができる、という意味である。

自律型システム３０は、一つ以上の要素（コンポーネント）を備えて構成されている。以下では、自律型システム３０Ａが複数の要素からなる生産システムである場合を例として説明するが、自律型システム３０は他の種類の情報処理システムであってもよい。

同図に示すように、自律型システム３０Ａは、要素として、制御装置３１、ＭＥＳ３２（MES:Manufacturing Execution System、製造実行システム）、セキュリティ機能部３３、ＥＲＰシステム３４（ERP:Enterprise Resource Planning、企業資源計画）、ファイアウォール３５を備える。これらの要素は、例えば、自律型システム３０Ａに備えられたＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等の有線又は無線の通信手
段を介して互いに通信可能に接続されている。同図に示すように、ＭＥＳ３２は、セキュリティ機能部３３を備える。セキュリティ機能部３３は、前述した「自律的」な機能を実現するリソースとして、例えば、マルウェアの対策機能、ホワイトリスト型のアプリケーションの起動制御機能等を有する。

情報共有装置１０は、ＬＡＮ、ＷＡＮ、インターネット等の有線又は無線の通信手段を介して、夫々、対応する自律型システム３０と通信可能に接続している。本例では、自律型システム３０Ａには情報共有装置１０Ａが、自律型システム３０Ｂには情報共有装置１０Ｂが、自律型システム３０Ｃには情報共有装置１０Ｃが、夫々接続しているものとする。また情報共有装置１０は、いずれもＬＡＮ、ＷＡＮ、インターネット等の有線又は無線の通信手段を介してサーバ装置２０と通信可能に接続している。

同図に示すように、情報共有装置１０は、情報取得部１１、対策適用処理部１２、対策情報ＤＢ１３、ログ情報ＤＢ１４、攻撃情報ＤＢ１５、及び共有ルール情報ＤＢ１６を備える。

情報取得部１１は、自律型システム３０から、自律型システム３０が通信ネットワーク５を介して受けた攻撃に関する情報である攻撃情報を含むログ情報を取得する。情報取得部１１は、例えば、自律型システム３０の各要素が管理する「Syslog」等の履歴情報をログ情報として取得する。情報取得部１１は、取得したログ情報をログ情報ＤＢ１４に管理する。

情報取得部１１は、自律型システム３０から、自律型システム３０において設定されている、通信ネットワーク５を通じて行われる攻撃に対する対策（以下、セキュリティ対策とも称する）に関する情報である対策情報を取得する。対策情報は、例えば、セキュリティに関する各種設定に関する情報、修正プログラム（セキュリティパッチ（security patch））の配布に関する情報等である。情報取得部１１は、対策情報を、例えば、ＡＰＩ（Application Programming Interface）、アドインソフトウェア、コマンドラインツール
等を介して、自律型システム３０の各要素から取得する。

対策適用処理部１２は、自律型システム３０への対策情報の適用や更新を行う。

サーバ装置２０は、情報共有装置１０及び対策ＤＢ３と、ＬＡＮ、ＷＡＮ、インターネット等の通信手段を介して通信可能に接続している。サーバ装置２０は、例えば、クラウドサービスによって提供されるクラウドサーバとして実現されるものであってもよい。

同図に示すように、サーバ装置２０は、通信処理部２１、収集対策情報ＤＢ２２、収集攻撃情報ＤＢ２３、前処理部２４、協調フィルタリング処理部２５、対策通知処理部２６、及び攻撃予測部２７を備える。

通信処理部２１は、サーバ装置２０の、情報共有装置１０や対策ＤＢ３との間の通信を
実現する。

収集対策情報ＤＢ２２には、情報共有装置１０から送られてくる対策情報が管理される。

収集攻撃情報ＤＢ２３には、情報共有装置１０から送られてくる攻撃情報が管理される。

前処理部２４は、後述する協調フィルタリングのための前処理（事前準備処理）を行う。前処理の詳細については後述する。

協調フィルタリング処理部２５は、後述する協調フィルタリングを行う。尚、例えば、「特許庁、標準技術集、協調フィルタリングによるリコメンデーションhttps://www.jpo.go.jp/shiryou/s_sonota/hyoujun_gijutsu/net_koukoku/134.html（２０１６年３月４日
検索）」には、上記協調フィルタリングの事例（相関係数法）記載されている。

対策通知処理部２６は、後述する協調フィルタリングにより得られる類似度を、該当する自律型システム３０ごとに設定される共有ルール情報ＤＢ１６の類似度範囲２２２と対照してセキュリティ情報のユーザ（管理者等）への通知方法２２３（後述）を取得し、取得した上記通知方法とともに対策情報等の後述する差分の情報を情報共有装置１０に通知（送信）する。

攻撃予測部２７は、後述する協調フィルタリングにより得られる類似度を、該当する自律型システム３０ごとに設定される共有ルール情報ＤＢ１６の類似度範囲２２２と対照してセキュリティ情報のユーザ（管理者等）への通知方法２２３（後述）を取得する。また攻撃予測部２７は、自律型システム３０が次に受ける攻撃を予測し、予測した内容（攻撃の種類や予測日時等）を、取得した上記通知方法とともに情報共有装置１０に通知する。

対策ＤＢ３は、自律型システム３０の要素に導入されているソフトウェアやオペレーティングシステムの開発元、セキュリティ情報の提供を行っている情報セキュリティに関する組織等によって公表もしくは提供されるセキュリティ情報を管理する。対策ＤＢ３の内容は、例えば、インターネットを経由して取得される情報によって随時更新される。

情報セキュリティシステム１においては、自律型システム３０間（情報共有装置１０間）で夫々が有しているセキュリティ情報が共有され、自律型システム３０間（情報共有装置１０間）で協調して情報セキュリティが確保される。例えば、攻撃者２が自律型システム３０Ａ〜３０Ｃを標的としている場合、サーバ装置２０は、情報共有装置１０から提供される自律型システム３０Ａ〜３０Ｃの攻撃情報を分析することにより、類似した攻撃を受けている複数の自律型システム３０を特定し、特定した自律型システム３０間（情報共有装置１０間）で上記類似した攻撃に対する夫々の対策情報が共有される。即ち各自律型システム３０間でセキュリティ情報を補完し合うことができる。そして日々進化するサイバー攻撃に対して自律型システム３０間でセキュリティ情報が迅速に共有され、各自律型システム３０において迅速に効果的な対処を行うことができる。またある自律型システム３０における攻撃情報に基づき、他の自律型システム３０に対して行われる攻撃を予測することができ、他の自律型システム３０や当該自律型システム３０の情報共有装置１０において、事前に適切な対策を講じることができる。

図２は、自律型システム３０の各要素、情報共有装置１０、サーバ装置２０、及び対策ＤＢ３を実現するハードウェアの一例として示す情報処理装置１００のブロック図である。情報処理装置１００は、例えば、パーソナルコンピュータ、サーバコンピュータ、ワー
クステーション、ファクトリーコンピュータ、メインフレーム、クラウドシステムが提供するクラウドサーバ等である。

同図に示すように、情報処理装置１００は、プロセッサ１０１、メモリ１０２、記憶装置１０３、入力装置１０４、出力装置１０５、及び通信装置１０６を備える。これらは図示しないバス等の通信手段を介して互いに通信可能に接続されている。

プロセッサ１０１は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）を用いて構成されている。プロセッサ１０１が、メモリ１０２に格納されているプログラムを読み出して実行することにより、情報処理装置１００の様々な機能が実現される。メモリ１０２は、プログラムやデータを記憶する装置であり、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、不揮発性半導体メモリ（ＮＶＲＡＭ（Non Volatile RAM））等である。記憶装置１０３は、例えば、ハードディスクドライブ、ＳＳＤ（Solid State Drive）、光学式記憶装置（ＣＤ（Compact Disc）、
ＤＶＤ(Digital Versatile Disc)等）、ストレージシステム、ＩＣカード、ＳＤメモリカード等の記録媒体の読取／書込装置等である。記憶装置１０３に格納されているプログラムやデータはメモリ１０２に随時ロードされる。

入力装置１０４は、例えば、キーボード、マウス、タッチパネル、カードリーダ、音声入力装置等である。出力装置１０５は、ユーザにフィードバックや演算結果等を提供するユーザインタフェースであり、例えば、画面表示装置（液晶モニタ、ＬＣＤ（Liquid Crystal Display）、グラフィックカード）、音声出力装置（スピーカ）、印字装置等である。尚、入力装置１０４や出力装置１０５は必ずしも必須の構成ではなく、例えば、情報処理装置１００が通信装置１０６を介して他の装置との間で情報の入力や出力を行う構成としてもよい。

通信装置１０６は、他の装置との間やインターネットを介した通信を実現する、有線方式又は無線方式の通信インタフェースであり、例えば、ＮＩＣ（Network Interface Card）、各種無線通信モジュール、ＵＳＢ（Universal Serial Interface）モジュール、シリアル通信（ＲＳ−２３２Ｃ、ＲＳ−４２２、ＲＳ４８５等）モジュールである。

図１に示した、情報共有装置１０、サーバ装置２０、及び自律型システム３０の夫々が備える各種機能部や各種処理部は、例えば、情報処理装置１００のプロセッサ１０１が、メモリ１０２や記憶装置１０３に格納されているプログラムを読み出して実行することにより、もしくは、情報処理装置１００が備えるハードウェアにより実現される。また図１に示した各種データベースは、例えば、情報処理装置１００において動作するＤＢＭＳ（DataBase Management System）により実現される。尚、データベースに格納される情報は、例えば、メモリ１０２や記憶装置１０３に格納されていてもよい。

情報共有装置１０、サーバ装置２０、及び自律型システム３０は、夫々、独立したハードウェアで実現してもよいし、これらのうちの少なくともいずれか（例えば、情報共有装置１０と自律型システム３０）を共通のハードウェアで実現してもよい。また負荷分散や可用性の向上等を目的として、情報共有装置１０、サーバ装置２０、及び自律型システム３０の少なくともいずれかを、協調して動作する複数のハードウェアで構成してもよい。

図３に対策情報ＤＢ１３のテーブル（以下、対策情報テーブル１３１０と称する。）の一例を示している。同図に示すように、対策情報テーブル１３１０は、システムＩＤ２０１、要素ＩＤ２０２、対策ＩＤ２０３、及び対策内容２０４の各項目からなる一つ以上のレコード（エントリ）を含む。一つのレコードは一つの対策情報に対応している。

システムＩＤ２０１には、個々の自律型システム３０を特定する識別子（以下、システムＩＤと称する。）が設定される。例えば、システムＩＤ２０１には、自律型システム３０ＡのシステムＩＤである「Ａ」、自律型システム３０ＢのシステムＩＤである「Ｂ」、自律型システム３０ＣのシステムＩＤである「Ｃ」等が設定される。同図に示す対策情報テーブル１３１０の内容は、情報共有装置１０Ａが自律型システム３０Ａから取得した情報であるので、システムＩＤ２０１には、自律型システム３０ＡのシステムＩＤである「Ａ」が設定されている。

要素ＩＤ２０２には、自律型システム３０の要素を特定する識別子（以下、要素ＩＤと称する。）が設定される。例えば、要素ＩＤ２０２には、ＭＥＳ３２の要素ＩＤである「ＭＥＳ」、制御装置３１の要素ＩＤである「制御装置」、ファイアウォール３５の要素ＩＤである「ファイアウォール」等が設定される。同図に示す対策情報テーブル１３１０の内容は、情報共有装置１０Ａが自律型システム３０Ａから取得した情報であるので、要素ＩＤ２０２には、自律型システム３０Ａが備える要素の要素ＩＤが設定されている。

対策ＩＤ２０３には、対策情報の内容を識別する業界標準の識別子である対策ＩＤが設定される。本実施形態では、対策ＩＤとして、セキュリティ設定項目ごとに付与されるＣＣＥ（Common Configuration Enumeration）の設定項目識別子を用いる。このように、対策情報を業界標準の識別子を用いて管理することで、例えば、異なる自律型システム３０の夫々において実施されているセキュリティ対策が同一か否かを容易に判定することができる。同図に示す対策情報テーブル１３１０の内容は、情報共有装置１０Ａが自律型システム３０Ａから取得した情報であるので、対策ＩＤ２０３には、自律型システム３０Ａにおいて取られている対策の対策ＩＤが設定されている。

対策内容２０４には、対策情報の内容を示す情報が設定される。同図に示す対策情報テーブル１３１０の内容は、情報共有装置１０Ａが自律型システム３０Ａから取得した情報であるので、対策内容２０４には、自律型システム３０Ａにおいて取られている対策の内容が設定されている。

図４に攻撃情報ＤＢ１５のテーブル（以下、攻撃情報テーブル１５１０と称する。）の一例を示している。攻撃情報ＤＢ１５の内容は、情報共有装置１０が、ログ情報ＤＢ１４に基づき生成する。

同図に示すように、攻撃情報テーブル１５１０は、日時２１１、システムＩＤ２１２、要素ＩＤ２１３、攻撃ＩＤ２１４、及び攻撃内容２１５の各項目からなる一つ以上のレコード（エントリ）を含む。一つのレコードは一つの攻撃情報に対応しており、攻撃情報テーブル１５１０のレコード数は、当該情報共有装置１０に対応する自律型システム３０が受けた攻撃の数に対応している。

日時２１１には、システムＩＤ２１２と要素ＩＤ２１３とで特定される自律型システム３０が攻撃を受けた日時が設定される。同図に示す攻撃情報テーブル１５１０の内容は、情報共有装置１０Ａが自律型システム３０Ａから取得した情報であるので、日時２１１には、自律型システム３０Ａが攻撃を受けた日時が設定される。

システムＩＤ２１２には、前述したシステムＩＤが設定される。同図に示す攻撃情報テーブル１５１０の内容は、情報共有装置１０Ａが自律型システム３０Ａから取得した情報であるので、システムＩＤ２１２には、自律型システム３０ＡのシステムＩＤである「Ａ」が設定されている。

要素ＩＤ２１３には、前述した要素ＩＤが設定される。同図に示す攻撃情報テーブル１
５１０の内容は、情報共有装置１０Ａが自律型システム３０Ａから取得した情報であるので、要素ＩＤ２１３には、要素ＩＤ２０２と同様に、自律型システム３０Ａが備える要素の要素ＩＤが設定されている。

攻撃ＩＤ２１４には、攻撃情報の内容を識別する業界標準の識別子である攻撃ＩＤが設定される。本実施形態では、攻撃ＩＤとして、ＣＡＰＥＣ（Common Attack Pattern Enumeration）が攻撃パターンごとに付与している識別子を攻撃ＩＤに用いる。情報共有装置
１０は、自律型システム３０から取得したログ情報に攻撃ＩＤを付与（補完）する。このように、攻撃情報を業界標準の識別子を用いて管理することで、例えば、異なる自律型システム３０の夫々が受けた攻撃が同一か否かを容易に判定することができる。同図に示す攻撃情報テーブル１５１０の内容は、情報共有装置１０Ａが自律型システム３０Ａから取得した情報であるので、攻撃ＩＤ２１４には、自律型システム３０Ａが受けた攻撃の攻撃ＩＤが設定されている。

攻撃内容２１５には、攻撃の具体的な内容を示す情報が設定される。同図に示す攻撃情報テーブル１５１０の内容は、情報共有装置１０Ａが自律型システム３０Ａから取得した情報であるので、攻撃内容２１５には、自律型システム３０Ａが受けた攻撃の具体的な内容を示す情報が設定される。

図５Ａ、図５Ｂに共有ルール情報ＤＢ１６のテーブル（以下、共有ルール情報テーブル１６１０と称する。）の一例を示している。共有ルール情報テーブル１６１０は、共有範囲２２１、類似度範囲２２２、及び通知方法２２３の各項目からなる一つ以上のレコード（エントリ）を含む。一つのレコードは一つのルール（以下、通知方法とも称する。）に対応している。共有ルール情報テーブル１６１０の内容は、例えば、人間系により設定される。サーバ装置２０は、例えば、情報共有装置１０と通信することにより、共有ルール情報テーブル１６１０の内容を適宜取得する。

共有範囲２２１には、自律型システム３０が他の自律型システム３０とセキュリティ情報を共有する範囲を特定する情報（以下、共有範囲とも称する。）が設定される。例えば、サーバ装置２０の管理対象である全ての自律型システム３０間でセキュリティ情報を共有する場合、図５Ａに示すように、共有範囲２２１には「協調場全体」が設定される。

またサーバ装置２０の管理対象である自律型システム３０のうちの一部の自律型システム３０で構成されるグループ内でセキュリティ情報を共有する場合、図５Ｂに示すように、共有範囲２２１には、例えば、上記グループを特定する識別子（「グループａ」、「グループｂ」等。以下、グループＩＤと称する。）を設定する。尚、この場合、サーバ装置２０は、共有範囲２２１に同じグループＩＤが設定されている自律型システム３０間でセキュリティ情報を共有するように動作する。例えば、自律型システム３０Ａ，３０Ｂ，３０Ｃの夫々の共有範囲２２１に「グループａ」が設定されている場合、サーバ装置２０は自律型システム３０Ａ，３０Ｂ，３０Ｃ間でのみセキュリティ情報が共有されるように動作する。このように、セキュリティ情報を共有する範囲をグループ内に制限することで、例えば、対策情報や攻撃情報をグループ外部に知らせたくないといったニーズにも対応することができる。また互いに信頼しているグループ内の自律型システム３０間で安全にセキュリティ情報を共有することができる。

類似度範囲２２２には、後述する協調フィルタリングにより求められた２つの自律型システム３０間の攻撃情報の類似度に基づき、セキュリティ情報のユーザへの通知方法２２３を選択する際の判定基準（以下、類似度範囲と称する。）が設定される。通知方法２２３には、類似度範囲２２２に対応する通知方法を示す情報（「ポップアップ」、「電子メール」、「通知しない」等）が設定される。

図５Ａ又は図５Ｂに示す共有ルール情報テーブル１６１０の例では、２つの自律型システム３０の類似度が８０％以上である場合、少なくともいずれか一方の自律型システム３０のユーザにその旨をポップアップで知らせる旨が設定されている。また２つの自律型システム３０の類似度が５０％以上である場合、少なくともいずれか一方の自律型システム３０のユーザにその旨を電子メールで知らせる旨が設定されている。また２つの自律型システム３０の類似度が５０％未満である場合、とくに通知を行わない旨が設定されている。

図６にサーバ装置２０の収集対策情報ＤＢ２２のテーブル（以下、収集対策情報テーブル２２１０と称する。）の一例を示している。収集対策情報テーブル２２１０には、サーバ装置２０が、情報共有装置１０から受信（収集）した対策情報及び共有範囲が管理される。サーバ装置２０は、随時（毎日、毎週、毎月等）の頻度で情報共有装置１０Ｂから対策情報及び共有範囲を受信する。またサーバ装置２０は、例えば、情報共有装置１０において対策情報又は共有範囲が更新されたことを契機として情報共有装置１０から対策情報及び共有範囲を受信する。

同図に示すように、収集対策情報テーブル２２１０は、システムＩＤ３０１、要素ＩＤ３０２、対策ＩＤ３０３、及び共有範囲３０４の各項目からなる一つ以上のレコード（エントリ）を含む。一つのレコードは一つの対策情報に対応している。システムＩＤ３０１には、前述したシステムＩＤが設定される。要素ＩＤ３０２には、前述した要素ＩＤが設定される。対策ＩＤ３０３には、前述した対策ＩＤが設定される。共有範囲３０４には、前述した共有範囲が設定される。

図７にサーバ装置２０の収集攻撃情報ＤＢ２３のテーブル（以下、収集攻撃情報テーブル２３１０と称する。）の一例を示している。収集攻撃情報テーブル２３１０には、サーバ装置２０が、情報共有装置１０から受信（収集）した攻撃情報及び共有範囲が管理される。サーバ装置２０は、例えば、リアルタイム（分毎等）に情報共有装置１０Ｂから攻撃情報及び共有範囲を受信する。またサーバ装置２０は、例えば、情報共有装置１０において攻撃情報又は共有範囲が更新されたことを契機として情報共有装置１０から攻撃情報及び共有範囲を受信する。

同図に示すように、収集攻撃情報テーブル２３１０は、日時３２１、システムＩＤ３２２、要素ＩＤ３２３、攻撃ＩＤ３２４、及び共有範囲３２５の各項目からなる一つ以上のレコード（エントリ）を含む。一つのレコードは一つの攻撃に対応している。日時３２１には、攻撃を受けた日時が設定される。システムＩＤ３２２には、前述したシステムＩＤが設定される。要素ＩＤ３２３には、前述した要素ＩＤが設定される。攻撃ＩＤ３２４には、前述した攻撃ＩＤが設定される。共有範囲３２５には、前述した共有範囲が設定される。

［処理説明］
続いて、図８に示すフローチャートとともに、情報セキュリティシステム１において行われる処理（以下、情報セキュリティ支援処理Ｓ８００と称する。）について説明する。尚、以下、サーバ装置２０が、情報共有装置１０Ａのセキュリティ情報を利用して、情報共有装置１０Ｂにセキュリティ情報を提供する場合を例として説明する。

サーバ装置２０は、情報共有装置１０Ａ，１０Ｂ，１０Ｃ，・・・の夫々から、自律型システム３０Ａ，３０Ｂ，３０Ｃ，・・・の共有範囲を受信する（Ｓ８１１，Ｓ８３１，Ｓ８５１）。尚、情報共有装置１０Ａ，１０Ｂ，１０Ｃ，・・・からサーバ装置２０への共有範囲の通知（送信）は、例えば、共有ルール情報テーブル１６１０の共有範囲２２１
の内容が更新されたタイミングで行うようにしてもよい。以下、自律型システム３０Ａ，３０Ｂ，３０Ｃ，・・・のいずれについても共有範囲（共有範囲２２１）として「協調場全体」が設定されているものとする。

サーバ装置２０は、情報共有装置１０Ａ，１０Ｂ，１０Ｃ，・・・の夫々から対策情報を受信し、受信した対策情報をＳ８３１で取得した共有範囲とともに、収集対策情報ＤＢ２２に格納する（Ｓ８１２，Ｓ８３２，Ｓ８５２）。尚、情報共有装置１０Ａ，１０Ｂ，１０Ｃ，・・・の夫々が、対策ＩＤのみをサーバ装置２０に送信する構成としてもよい。自律型システム３０のユーザによっては、対策内容の詳細をなるべく外部に出したくないと考えている場合もあり、そのような場合はこのように対策ＩＤのみをサーバ装置２０に送信する構成とすることでユーザニーズに応えることができる。またこのように対策ＩＤのみをサーバ装置２０に送信するようにすることで、サーバ装置２０と情報共有装置１０との間の通信量を軽減する効果も期待できる。

同図に示すように、サーバ装置２０は、情報共有装置１０Ａ，１０Ｂ，１０Ｃ，・・・の夫々から攻撃情報を受信し、受信した攻撃情報をＳ８３１で取得した共有範囲とともに、収集攻撃情報ＤＢ２３に格納する（Ｓ８１４，Ｓ８３３，Ｓ８５４）。尚、前述したように、情報共有装置１０Ａ，１０Ｂ，１０Ｃ，・・・の夫々は、自律型システム３０Ａ，３０Ｂ，３０Ｃ，・・・から取得してログ情報ＤＢ１４に格納したログ情報に攻撃ＩＤを付与（補完）して攻撃情報を生成し、生成した攻撃情報を攻撃情報ＤＢ１５に格納する（Ｓ８１３，Ｓ８５３）。尚、情報共有装置１０Ａ，１０Ｂ，１０Ｃ，・・・の夫々が、攻撃ＩＤのみをサーバ装置２０に送信する構成としてもよい。自律型システム３０のユーザによっては、攻撃内容の詳細なるべく外部に出したくないと考えている場合もあり、そのような場合はこのように攻撃ＩＤのみをサーバ装置２０に送信する構成とすることでユーザニーズに応えることができる。またこのように攻撃ＩＤのみをサーバ装置２０に送信するようにすることで、サーバ装置２０と情報共有装置１０との間の通信量を軽減する効果も期待できる。

続いて、サーバ装置２０の前処理部２４が、後述する協調フィルタリング（Ｓ８３５）のための前処理を行う（Ｓ８３４）。

まず前処理部２４は、図９に示す前処理テーブル５００をメモリ１０２上に生成する。同図に示すように、前処理テーブル５００は、システムＩＤ５０１、要素ＩＤ５０２、受けた攻撃５０３、及び実施済み対策５０４の各項目からなる（システムＩＤと要素ＩＤの組み合わせ毎の）一つ以上のレコード（エントリ）で構成される。

同図において、受けた攻撃５０３の各攻撃ＩＤに対応する欄（符号５１１〜５１３等で示す欄）には、前処理部２４が、収集攻撃情報ＤＢ２３の内容に基づき所定期間内に受けた攻撃の数を、攻撃（攻撃ＩＤで特定される攻撃）ごとに計数した値が設定される。また実施済み対策５０４の各対策ＩＤに対応する欄（符号５２１〜５２４等で示す欄）には、前処理部２４が、収集攻撃情報ＤＢ２３の内容に基づき、各攻撃（攻撃ＩＤで特定される各攻撃）について、実施済みのセキュリティ対策がある場合は「１」を、実施済みのセキュリティ対策が無い場合は「０」を設定する。

図８に戻り、続いて、サーバ装置２０の協調フィルタリング処理部２５は、前処理テーブル５００に基づき協調フィルタリングを行う（Ｓ８３５）。具体的には、協調フィルタリング処理部２５は、前処理テーブル５００の各行（システムＩＤ５０１と要素ＩＤ５０２の組み合わせの夫々）について、受けた攻撃５０３の各攻撃ＩＤの欄の内容を対照することにより類似度を求める。ここでは、一例として、符号５３１で示す行と符号５３２で示す行との類似度Ｓが予め設定された閾値を超えており、両者（自律型システム３０Ａの
制御装置３１と自律型システム３０Ｂの制御装置３１）が受けた攻撃が類似していると判定されたとする。

続いて、協調フィルタリング処理部２５は、符号５３１で示す行と同じ行の符号５４１で示す実施済み対策５０４の行と、符号５３２で示す行と同じ行の符号５４２で示す実施済み対策５０４の行とを対照し、両者の差分を抽出する。この例では、協調フィルタリング処理部２５は、自律型システム３０Ｂの制御装置３１において、自律型システム３０Ａにおいて講じられている対策５２３「ＣＣＥ−３２２９−２」が実施されていないことを差分の情報として抽出する。

図８に戻り、続いて、サーバ装置２０の対策通知処理部２６は、情報共有装置１０Ｂの共有ルール情報テーブル１６１０から類似度範囲２２２と通知方法２２３を取得し、Ｓ８３５で求めた類似度Ｓを取得した類似度範囲２２２と比較してユーザへの通知方法２２３を取得する（Ｓ８３６）。対策通知処理部２６が、通知方法として「ポップアップ」又は「電子メール」を取得した場合（Ｓ８３６：Ｙｅｓ）、処理はＳ８３７に進む。対策通知処理部２６が、通知方法として「通知しない」を取得した場合（Ｓ８３６：Ｎｏ）、処理はＳ８３１に戻る。

続いて、対策通知処理部２６は、Ｓ８３５で抽出した差分の情報を、Ｓ８３６で取得した通知方法とともに情報共有装置１０Ｂに送信する（Ｓ８３７）。尚、対策通知処理部２６は、上記差分の情報に、対策ＤＢ３や自律型システム３０Ａの対策情報ＤＢ１３から収集した情報（後述するＳ８５５においてユーザに提示する情報等）を適宜付加して情報共有装置１０Ｂに送信する。

情報共有装置１０Ｂは、差分の情報や付加された情報及び通知方法等を受信すると、受信した情報等を、上記通知方法によりユーザに提示する（Ｓ８５５）。

図１０は、Ｓ８３６で対策通知処理部２６が通知方法として「ポップアップ」を取得した場合に、上記提示に際して情報共有装置１０Ｂが提供するユーザインタフェース（ポップアップ）の一例（以下、セキュリティ情報共有画面６００と称する。）である。情報共有装置１０Ｂは、対策通知処理部２６から通知された情報や自身が保持している情報（対策情報ＤＢ１３、ログ情報ＤＢ１４、攻撃情報ＤＢ１５等）、自律型システム３０Ｂから取得される情報等に基づき、セキュリティ情報共有画面６００の表示内容を生成する。尚、Ｓ８３６で対策通知処理部２６が通知方法として「電子メール」を取得した場合、情報共有装置１０Ｂは、例えば、セキュリティ情報共有画面６００に表示される内容と同様の内容を記載した電子メールを自律型システムＢのユーザ（管理者等）宛てに送信する。

同図に示すように、セキュリティ情報共有画面６００には、自律型システム３０Ｂが受けた攻撃の内容を示すテーブル６０１、類似する攻撃を受けている他の自律型システム３０の個数６０２、自律型システム３０Ａで実施済みの対策で自律型システム３０Ｂで未実施の対策の一覧を示すテーブル６０３、対策を適用するか否かを選択するチェックボックス６０４、適用を承認するボタン６０５、キャンセルボタン６０６等が表示される。

ユーザが、対策を適用するか否かを選択するチェックボックス６０４をチェックし、適用を承認するボタン６０５を押下すると、情報共有装置１０Ｂの対策適用処理部１２は、自律型システム３０Ｂのチェックされた要素に対して該当する対策（自律型システム３０Ａで実施済みで自律型システム３０Ｂでは未実施の対策）を適用する。

このように、情報セキュリティシステム１は、異なる自律型システム３０間で夫々が受けている攻撃情報を交換し合うので、見落としていたかもしれない対策情報を効果的に補
完し合うことができる。

図８に戻り、Ｓ８４１では、サーバ装置２０の前処理部２４が、後述する協調フィルタリング（Ｓ８４２）のための前処理を行う。

まず前処理部２４は、図１１に示す前処理テーブル７００をメモリ１０２上に生成する。同図に示すように、前処理テーブル７００は、所定の期間内における、第１の攻撃と第２の攻撃の組み合わせの夫々に対応する項目を有する一つ以上のレコード（エントリ）で構成される。

前処理部２４は、例えば、攻撃ＩＤが「ＣＡＰＥＣ−１０」である攻撃を起点として上記組み合わせ（例えば、自律型システム３０が受ける可能性のある攻撃の全ての組み合わせ）を生成する。一つのレコードは一つの自律型システム３０に対応している。上記項目に対応する各欄（符号７０１〜７１０で示す欄等）には、第１の攻撃を受けてから第２の攻撃を受けるまでの時間間隔が設定される。前処理部２４は、例えば、収集攻撃情報ＤＢ２３の日時３２１から上記時間間隔を求める。上記項目に「−」が設定されている場合は、自律型システム３０が上記所定の期間内にその組み合わせに相当する攻撃を受けていないことを示す。

図８に戻り、続いて、サーバ装置２０の協調フィルタリング処理部２５は、前処理テーブル７００に基づき協調フィルタリングを行う（Ｓ８４２）。具体的には、協調フィルタリング処理部２５は、異なる自律型システム３０間（システムＩＤ間）で各項目の内容（時間間隔）を比較することにより類似度を求める。ここでは、自律型システム３０Ａと自律型システム３０Ｂの類似度Ｔが予め設定された閾値を超えており、両者（自律型システム３０Ａと自律型システム３０Ｂ）が所定の期間内に受けた攻撃が類似していると判定されたとする。

続いて、サーバ装置２０の攻撃予測部２７が、情報共有装置１０Ｂから共有ルール情報テーブル１６１０の内容（類似度範囲２２２と通知方法２２３）を取得し、類似度Ｔを類似度範囲２２２と対照してユーザへの通知方法２２３を取得する（Ｓ８４３）。攻撃予測部２７が、通知方法として「ポップアップ」又は「電子メール」を取得した場合（Ｓ８４３：Ｙｅｓ）、処理はＳ８４４に進む。攻撃予測部２７が、通知方法として「通知しない」を取得した場合（Ｓ８４３：Ｎｏ）、処理はＳ８３１に戻る。

続いて、攻撃予測部２７は、自律型システム３０Ａと自律型システム３０Ｂの夫々の上記項目の欄の差分に基づき、自律型システム３０Ｂが次に受ける攻撃を予測する（Ｓ８４４）。図１１の例では、攻撃予測部２７が、「ＣＡＰＥＣ−２０→ＣＡＰＥＣ−３０」の内容（符号７５１）が「６０」であり、自律型システム３０Ｂが「ＣＡＰＥＣ−２０」に後続して「ＣＡＰＥＣ−３０」の攻撃を未だ受けていないことから、自律型システム３０Ｂが６０分後に「ＣＡＰＥＣ−３０」の攻撃を受けると予測する。

続いて、攻撃予測部２７は、予測した内容（攻撃の種類や予測日時等）を、Ｓ８４３で取得した通知方法とともに情報共有装置１０Ｂに送信する（Ｓ８４５）。尚、攻撃予測部２７は、上記予測した内容に、対策ＤＢ３や自律型システム３０Ａの対策情報ＤＢ１３から収集した情報（後述するＳ８５７においてユーザに提示する情報等）を適宜付加して情報共有装置１０Ｂに送信する。

情報共有装置１０Ｂは、上記予測した内容及び通知方法等を受信すると（Ｓ８５６）、上記予測した内容等を、上記通知方法によりユーザに提示する（Ｓ８５７）。

図１２は、Ｓ８４３で攻撃予測部２７が通知方法として「ポップアップ」を取得した場合に、上記提示に際して情報共有装置１０Ｂが提供するユーザインタフェース（ポップアップ）の一例（以下、セキュリティ情報共有画面８００と称する。）である。情報共有装置１０Ｂは、攻撃予測部２７から通知された情報や自身が保持している情報（対策情報ＤＢ１３、ログ情報ＤＢ１４、攻撃情報ＤＢ１５等）、自律型システム３０Ｂから取得される情報等に基づき、セキュリティ情報共有画面８００の表示内容を生成する。尚、Ｓ８４３で攻撃予測部２７が通知方法として「電子メール」を取得した場合、情報共有装置１０Ｂは、例えば、セキュリティ情報共有画面８００に表示される内容と同様の内容を記載した電子メールを自律型システムＢのユーザ（管理者等）宛てに送信する。

同図に示すように、セキュリティ情報共有画面８００には、受けた攻撃内容一覧を示すテーブル８０１、類似する攻撃を受けているほかの自律型システム３０の個数８０２、これから受けることが予想される攻撃の内容と攻撃の予測日時９０３、推奨される対策８０４、業務計画変更ボタン８０５、適用有無を選択するチェックボックス８０６、適用を承認するボタン８０７、キャンセルボタン８０８等が表示される。

ユーザは、セキュリティ情報共有画面８００から、自身が受けた攻撃、類似する攻撃を受けているほかの自律型システム３０の個数、これから受けることが予想される攻撃の内容と攻撃の予測日時、推奨される対策等の情報を得ることができる。

またユーザは、業務計画変更ボタン８０５を押下することで、自律型システム３０Ｂの業務計画を変更することができる。ユーザは、業務計画変更ボタン８０５を押下して業務計画変更のためのソフトウェアを起動し、当該ソフトウェアを利用して、例えば、これから受けることが予想される攻撃の予測日時を含む時間帯に自律型システム３０Ｂが行う処理の全部又は一部を停止（例えば、メンテナンス状態とする）する指示を自律型システム３０に送信する。これにより上記時間帯に自律型システム３０Ｂの全部又は一部が停止し（もしくはメンテナンス状態となり）、通信ネットワーク５から自律型システム３０Ｂへのアクセスが遮断され、自律型システム３０Ｂはこれから受けることが予想される攻撃を回避することができる。

以上に説明したように，本実施形態の情報セキュリティシステム１によれば、進化するサイバー攻撃に対して、自律型システム３０同士で攻撃情報と対策情報とを共有することで、協調して効率よく対処することができ、例えば、同じ攻撃を受けている自律型システム３０同士でセキュリティ情報を共有することで、自律型システム３０間でセキュリティ対策を補完し合うことができる。

また標的型攻撃のようなサイバー攻撃は組織の通信ネットワークに奥深く侵入し、数多くのステップを踏むため、例えば、複数の自律型システム３０の攻撃情報を横断的に収集し分析することで、攻撃者が辿った攻撃手法が把握されることも少なくない。本実施形態の情報セキュリティシステム１によれば、複数の自律型システム３０のセキュリティ情報が共有されるので、こうしたサイバー攻撃に対しても迅速かつ効果的に対処することができる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は上記の実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。例えば、上記の実施の形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、上記実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能部、処理部、処理手段等は、それらの一部または全部を、例えば、集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリやハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、
またはＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、上記の各図において、制御線や情報線は説明上必要と考えられるものを示しており、必ずしも実装上の全ての制御線や情報線を示しているとは限らない。例えば、実際にはほとんど全ての構成が相互に接続されていると考えてもよい。

また、以上に説明した情報セキュリティシステム１における各種機能部、各種処理部、各種データベースの配置形態は一例に過ぎない。各種機能部、各種処理部、各種データベースの配置形態は、情報セキュリティシステム１が備えるハードウェアやソフトウェアの性能、処理効率、通信効率等の観点から最適な配置形態に変更し得る。

また、前述した各種データベース（対策情報ＤＢ１３、ログ情報ＤＢ１４、攻撃情報ＤＢ１５、収集対策情報ＤＢ２２、収集攻撃情報ＤＢ２３、対策ＤＢ３等）の構成（スキーマ（Schema）等）は、リソースの効率的な利用、処理効率向上、アクセス効率向上、検索効率向上等の観点から柔軟に変更し得る。

１ 情報セキュリティシステム、２ 攻撃者、３ 対策ＤＢ、５ 通信ネットワーク、１０ 情報共有装置、１１ 情報取得部、１２ 対策適用処理部、１３ 対策情報ＤＢ、１４ ログ情報ＤＢ、１５ 攻撃情報ＤＢ、１６ 共有ルール情報ＤＢ、２０ サーバ装置、２１ 通信処理部、２２ 収集対策情報ＤＢ、２３ 収集攻撃情報ＤＢ、２４ 前処理部、２５ 協調フィルタリング処理部、２６ 対策通知処理部、２７ 攻撃予測部、３０
自律型システム、３１ 制御装置、３２ ＭＥＳ、３３ セキュリティ機能部、３４ ＥＲＰシステム、３５ ファイアウォール、５００ 前処理テーブル、６００ セキュリティ情報共有画面、７００ 前処理テーブル、８００ セキュリティ情報共有画面、１３１０ 対策情報テーブル、１５１０ 攻撃情報テーブル、１６１０ 共有ルール情報テーブル、２２１０ 収集対策情報テーブル、２３１０ 収集攻撃情報テーブル

Claims (15)

1. 通信ネットワークに接続され、前記通信ネットワークを介して受けた攻撃に関する情報である攻撃情報を含むセキュリティ情報を有する複数の自律型システムと、
   前記自律型システムの夫々に設けられ、夫々対応する前記自律型システムと通信可能に接続する複数の情報共有装置と、
   前記情報共有装置の夫々と通信可能に接続するサーバ装置と、
   を含み、
   前記情報共有装置は、夫々に対応する前記自律型システムが有している前記攻撃情報を取得し、取得した前記攻撃情報を前記サーバ装置に送信し、
   前記サーバ装置は、
   前記自律型システムの夫々の前記攻撃情報を分析することにより、類似する攻撃を受けている前記自律型システムを特定し、
   類似すると特定した前記自律型システムの一方である第１の前記自律型システムに対応する第１の前記情報共有装置が有している前記セキュリティ情報のうち、類似すると特定した前記自律型システムの他方である第２の前記自律型システムに対応する第２の前記情報共有装置が有していないセキュリティ情報である差分の情報を特定し、
   特定した前記差分の情報に基づく情報である通知情報を、前記第２の情報共有装置に送信し、
   前記第２の前記情報共有装置が、前記通知情報を受信し、受信した前記通知情報を前記第２の自律型システムに送信し、
   前記第２の自律型システムが、前記通知情報を受信し、受信した前記通知情報に基づき攻撃に対するセキュリティ対策を実施する、
   情報セキュリティシステム。
2. 請求項１に記載の情報セキュリティシステムであって、
   前記自律型システムは、前記通信ネットワークを通じて行われる攻撃に対するセキュリティ対策に関する情報である対策情報を前記セキュリティ情報として有し、
   前記情報共有装置は、夫々に対応する前記自律型システムが有している前記対策情報を取得し、取得した前記対策情報を前記サーバ装置に送信し、
   前記サーバ装置は、
   類似すると特定した前記自律型システムの一方である第１の前記自律型システムに対応する第１の前記情報共有装置が有している前記類似する攻撃についての前記対策情報のうち、類似すると特定した前記自律型システムの他方である第２の前記自律型システムに対応する第２の前記情報共有装置が有していない前記対策情報である差分の対策情報を特定し、
   特定した前記差分の対策情報を、前記通知情報として前記第２の情報共有装置に送信し、
   前記第２の前記情報共有装置が、前記通知情報を受信し、受信した前記通知情報を前記第２の自律型システムに送信し、
   前記第２の自律型システムが、前記通知情報を受信し、受信した前記通知情報に基づき攻撃に対する対策を実施する、
   情報セキュリティシステム。
3. 請求項１又は２に記載の情報セキュリティシステムであって、
   前記情報共有装置が前記サーバ装置に送信する前記攻撃情報には、前記攻撃情報の内容を識別する業界標準の識別子である攻撃ＩＤが付与されており、
   前記サーバ装置は、前記第１の情報共有装置が有している前記攻撃情報の前記攻撃ＩＤと、前記第２の情報共有装置が有している前記攻撃情報の前記攻撃ＩＤとを比較することにより、類似する攻撃を受けている前記自律型システムを特定する、
   情報セキュリティシステム。
4. 請求項２に記載の情報セキュリティシステムであって、
   前記情報共有装置が前記サーバ装置に送信する前記対策情報には、前記対策情報の内容を識別する業界標準の識別子である対策ＩＤが付与されており、
   前記サーバ装置は、前記第１の情報共有装置が有している前記対策情報の前記対策ＩＤと、前記第２の情報共有装置が有している前記対策情報の前記対策ＩＤとを比較することにより、前記差分の対策情報を特定する、
   情報セキュリティシステム。
5. 請求項１又は２に記載の情報セキュリティシステムであって、
   前記サーバ装置は、
   前記類似する攻撃を受けている前記自律型システムを特定する際の対象とする前記自律型システムの範囲を指定する情報である共有範囲を記憶し、
   前記共有範囲で指定された範囲の前記自律型システムを対象として、前記類似する攻撃を受けている前記自律型システムを特定する、
   情報セキュリティシステム。
6. 請求項１又は２に記載の情報セキュリティシステムであって、
   前記サーバ装置は、前記自律型システムが所定の期間内に受けた攻撃の内容を比較の対象として、異なる前記自律型システム間で協調フィルタリングを行うことにより、類似する攻撃を受けている前記自律型システムを特定する、
   情報セキュリティシステム。
7. 請求項１に記載の情報セキュリティシステムであって、
   前記サーバ装置は、前記自律型システムが所定の期間内に受けた、第１の攻撃の内容と前記第１の攻撃に後続して受けた第２の攻撃の内容との組み合せについて、前記第１の攻撃を受けてから前記第２の攻撃を受けるまでの時間間隔を比較の対象として、異なる前記自律型システム間で協調フィルタリングを行うことにより、類似する攻撃を受けている前記自律型システムを特定する、
   情報セキュリティシステム。
8. 請求項７に記載の情報セキュリティシステムであって、
   前記サーバ装置は、類似する攻撃を受けていると特定した一方の前記自律型システムの前記組み合わせと前記時間間隔とに基づき、類似する攻撃を受けていると特定した他方の前記自律型システムが前記第２の攻撃を受ける時刻を予測し、予測した時刻に前記第２の攻撃を受ける可能性がある旨を前記通知情報として前記第２の情報共有装置に送信し、
   前記第２の前記情報共有装置が、前記通知情報を受信し、受信した前記通知情報を前記第２の自律型システムに送信し、
   前記第２の自律型システムが、前記通知情報を受信し、受信した前記通知情報に基づき前記第２の攻撃に対するセキュリティ対策を実施する、
   情報セキュリティシステム。
9. 請求項８に記載の情報セキュリティシステムであって、
   前記第２の前記情報共有装置が、前記予測した時刻を含む期間に前記第２の自律型システムが行う処理の全部又は一部を停止させる指示を前記第２の自律型システムに送信し、
   前記第２の自律型システムは、前記期間に前記処理の全部又は一部を停止させる、
   情報セキュリティシステム。
10. 請求項１に記載の前記情報セキュリティシステムにおける前記サーバ装置であって、
    前記自律型システムの夫々の前記攻撃情報を分析することにより、類似する攻撃を受けている前記自律型システムを特定し、
    類似すると特定した前記自律型システムの一方である第１の前記自律型システムに対応する第１の前記情報共有装置が有している前記セキュリティ情報のうち、類似すると特定した前記自律型システムの他方である第２の前記自律型システムに対応する第２の前記情報共有装置が有していないセキュリティ情報である差分の情報を特定し、
    特定した前記差分の情報に基づく情報である通知情報を、前記第２の情報共有装置に送信する、
    サーバ装置。
11. 請求項２に記載の前記情報セキュリティシステムにおける前記サーバ装置であって、
    前記自律型システムの夫々の前記攻撃情報を分析することにより、類似する攻撃を受けている前記自律型システムを特定し、
    類似すると特定した前記自律型システムの一方である第１の前記自律型システムに対応する第１の前記情報共有装置が有している前記類似する攻撃についての前記対策情報のうち、類似すると特定した前記自律型システムの他方である第２の前記自律型システムに対応する第２の前記情報共有装置が有していない前記対策情報である差分の対策情報を特定し、
    特定した前記差分の対策情報を、前記通知情報として前記第２の情報共有装置に送信する、
    サーバ装置。
12. 通信ネットワークに接続され、前記通信ネットワークを介して受けた攻撃に関する情報である攻撃情報を含むセキュリティ情報を有する複数の自律型システムと、
    前記自律型システムの夫々に設けられ、夫々対応する前記自律型システムと通信可能に接続する複数の情報共有装置と、
    前記情報共有装置の夫々と通信可能に接続するサーバ装置と、
    を含んで構成される情報セキュリティシステムにおいて行われる情報セキュリティ支援方法であって、
    前記情報共有装置が、夫々に対応する前記自律型システムが有している前記攻撃情報を取得し、取得した前記攻撃情報を前記サーバ装置に送信するステップ、
    前記サーバ装置が、
    前記自律型システムの夫々の前記攻撃情報を分析することにより、類似する攻撃を受けている前記自律型システムを特定し、
    類似すると特定した前記自律型システムの一方である第１の前記自律型システムに対応する第１の前記情報共有装置が有している前記セキュリティ情報のうち、類似すると特定した前記自律型システムの他方である第２の前記自律型システムに対応する第２の前記情報共有装置が有していないセキュリティ情報である差分の情報を特定し、
    特定した前記差分の情報に基づく情報である通知情報を、前記第２の情報共有装置に送信するステップ、
    前記第２の前記情報共有装置が、前記通知情報を受信し、受信した前記通知情報を前記第２の自律型システムに送信するステップ、
    前記第２の自律型システムが、前記通知情報を受信し、受信した前記通知情報に基づき攻撃に対するセキュリティ対策を実施するステップ、
    を含む、情報セキュリティ支援方法。
13. 請求項１２に記載の情報セキュリティ支援方法であって、
    前記自律型システムが、前記通信ネットワークを通じて行われる攻撃に対するセキュリティ対策に関する情報である対策情報を前記セキュリティ情報として有するステップ、
    前記情報共有装置が、夫々に対応する前記自律型システムが有している前記対策情報を取得し、取得した前記対策情報を前記サーバ装置に送信するステップ、
    前記サーバ装置が、
    類似すると特定した前記自律型システムの一方である第１の前記自律型システムに対応する第１の前記情報共有装置が有している前記類似する攻撃についての前記対策情報のうち、類似すると特定した前記自律型システムの他方である第２の前記自律型システムに対応する第２の前記情報共有装置が有していない前記対策情報である差分の対策情報を特定し、
    特定した前記差分の対策情報を、前記通知情報として前記第２の情報共有装置に送信し、
    前記第２の前記情報共有装置が、前記通知情報を受信し、受信した前記通知情報を前記第２の自律型システムに送信し、
    前記第２の自律型システムが、前記通知情報を受信し、受信した前記通知情報に基づき攻撃に対する対策を実施するステップ、
    を更に含む、情報セキュリティ支援方法。
14. 請求項１２又は１３に記載の情報セキュリティ支援方法であって、
    前記情報共有装置が前記サーバ装置に送信する前記攻撃情報には、前記攻撃情報の内容を識別する業界標準の識別子である攻撃ＩＤが付与されており、
    前記サーバ装置が、前記第１の情報共有装置が有している前記攻撃情報の前記攻撃ＩＤと、前記第２の情報共有装置が有している前記攻撃情報の前記攻撃ＩＤとを比較することにより、類似する攻撃を受けている前記自律型システムを特定するステップ、
    を更に含む、情報セキュリティ支援方法。
15. 請求項１３に記載の情報セキュリティ支援方法であって、
    前記情報共有装置が前記サーバ装置に送信する前記対策情報には、前記対策情報の内容を識別する業界標準の識別子である対策ＩＤが付与されており、
    前記サーバ装置が、前記第１の情報共有装置が有している前記対策情報の前記対策ＩＤと、前記第２の情報共有装置が有している前記対策情報の前記対策ＩＤとを比較することにより、前記差分の対策情報を特定するステップ、
    を更に含む、情報セキュリティ支援方法。

Images