JP6538618B2 - 管理装置及び管理方法 - Google Patents

Description

本発明は、管理装置及び管理方法に関する。

通常、ネットワークの管理のために、管理対象の情報システム資産と関連性の高いセキュリティ情報を収集・把握し、重大な脅威が発見された場合は迅速に対応する必要がある。近年、セキュリティ研究機関やセキュリティベンダ等の外部の情報基盤により、インターネット上の情報提供サーバ等を通じて、マルウェアや悪意のある攻撃者に関するセキュリティ分析情報を、脅威情報として配信するサービスが提供されている（例えば、非特許文献１，２参照）

「Palo Alto Networks、サイバー脅威インテリジェンスサービス「AutoFocus」を発表」、［online］、［平成２８年６月１０日検索］、インターネット＜ＵＲＬ：https://www.paloaltonetworks.jp/company/press/2015/2015-0401-palo-alto-networks-unveils-autofocus-cyber-threat-intelligence-service.html＞ 「Virus Total」、［online］、［平成２８年６月１０日検索］、インターネット＜ＵＲＬ：https://www.virustotal.com/ja/＞

この情報基盤の配信する脅威情報は、一般的に、膨大な数である。例えば、不正ＩＰ（Internet Protocol）アドレスやＵＲＬ（Uniform Resource Locator）を示す脅威情報は、１日に数万件以上配信されることもある。このような膨大な脅威情報の配信によって、脅威情報で示された情報量が、ユーザ側の管理装置のキャパシティを大きく超えてしまう場合がある。この場合、ユーザ側の管理装置において脅威情報をそのまま利用することが難しくなり、脅威情報を用いたネットワーク管理の最適化が滞ることがあった。

本発明は、上記に鑑みてなされたものであって、脅威情報を適切に利用し、脅威情報を用いたネットワーク管理の最適化を図ることができる管理装置及び管理方法を提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る管理装置は、情報の出入りを制限するセキュリティ装置を有する管理対象ネットワークを管理する管理装置であって、マルウェアの行動パターン及び外部からの攻撃者による攻撃の行動パターンを示す脅威情報を取得する脅威情報収集部と、管理対象ネットワーク内の端末の行動パターンを示す行動情報を取得するネットワーク行動収集部と、脅威情報収集部が収集した脅威情報の中から、ネットワーク行動収集部が収集した端末の行動情報が示す行動パターンと類似した行動パターンを示す脅威情報を抽出する脅威情報抽出部と、脅威情報抽出部によって抽出された脅威情報を用いて管理対象ネットワーク内の端末の悪性行動の候補を抽出し、該抽出した悪性行動を基にセキュリティ装置に対するセキュリティポリシーを生成するセキュリティポリシー生成部と、を有する。

本発明によれば、脅威情報を適切に利用し、脅威情報を用いたネットワーク管理の最適化を図ることができる。

図１は、実施の形態に係る管理装置の構成の一例を模式的に示す図である。 図２は、図１に示す管理装置が行う管理処理を説明する図である。 図３は、図１に示す管理装置が行う管理処理を説明する図である。 図４は、本実施の形態に係る管理処理の処理手順を示すフローチャートである。 図５は、図１に示す管理装置による管理処理の流れを説明するシーケンス図である。 図６は、プログラムが実行されることにより、管理装置の各装置が実現されるコンピュータの一例を示す図である。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［実施の形態］
本発明の実施の形態に係る管理装置について、管理装置全体の概略構成、管理装置における処理の流れ及び具体例を説明する。なお、以降で説明する端末装置、ネットワーク（ＮＷ）装置、ファイアウォール（ＦＷ）装置の台数等は、あくまで例示であり、これに限定されるものではない。

［管理装置の構成］
図１は、本発明の実施の形態に係る管理装置の構成の一例を模式的に示す図である。図１に示すように、この実施の形態では、例えば、管理ＮＷ３のセキュリティ管理を行う管理装置４について説明する。この管理装置４は、外部の脅威情報基盤群２から、脅威情報の配信サービスの提供を受ける。

脅威情報基盤群２は、複数の脅威情報基盤２１，２２を有し、インターネット上の情報提供サーバ等を通じて、管理装置４に脅威情報を配信する。この脅威情報は、マルウェアや悪意のある外部からの攻撃者に関するセキュリティ分析情報であり、マルウェアや悪意のある外部からの攻撃者による攻撃の識別情報、マルウェアの行動パターン、攻撃の行動パターン、マルウェア或いは攻撃の脅威度等を含む。この脅威情報は、マルウェアごとの一連のネットワーク活動（ネットワーク接続、ＤＮＳ（Domain Name System）参照、ＨＴＴＰ（Hypertext Transfer Protocol）接続等)を示すものである。したがって、脅威情報は、行動パターン或いは攻撃パターンに含まれる行動を示す情報であり、ネットワーク接続先のＩＰ（Internet Protocol）アドレス、ポート番号、ＤＮＳ参照先情報、ＵＲＬ、ＨＴＴＰ接続先等を含む。

管理ＮＷ３は、インターネット５を介して外部装置（不図示）と接続する。管理ＮＷ３は、例えば、複数の端末３１、ＮＷ機器３２、及び、ＦＷ機器３３（セキュリティ装置）を有する。

ＮＷ機器３２は、ルータやスイッチ、プロキシサーバ、複数の利用者がネットワーク上にある資源を共有するＣｌｏｕｄコントローラー等であり、実際には、複数の機器によって構成される。ルータ及びスイッチは、転送するＩＰパケットの情報を、Ｎｅｔｆｌｏｗ、ｓＦｌｏｗ（登録商標）又はＩＰパケットのトラフィック情報として記録する。また、プロキシサーバは、プロキシログを記録する。複数の利用者がネットワーク上にある資源を共有するＣｌｏｕｄコントローラーは、各資源に対するログを記録する。

ＦＷ機器３３は、管理ＮＷ３とインターネット５との接続点に配置され、管理ＮＷ３とインターネット５との間に対する情報の出入りを制限する。ＦＷ機器３３は、管理装置４によって、各端末３１の行動に応じて、ルールが設定される。ＦＷ機器３３に対し、例えば、所定の送信元或いは送信先のパケットを遮断するルールが設定される。ＦＷ機器３３は、ＦＷログを記録する。

管理装置４は、脅威情報基盤群２から配信された脅威情報を用いて、管理ＮＷ３のセキュリティ管理を行う。管理装置４は、制御部４０、入力部４５、出力部４６及び記憶部４７を有する。

制御部４０は、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。例えば、制御部４０は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路である。制御部４０は、脅威情報収集部４１と、ＮＷ行動収集部４２と、脅威情報抽出部４３と、セキュリティポリシー生成部４４と、を有する。

脅威情報収集部４１は、外部の脅威情報基盤群２から配信された脅威情報を受信することによって、マルウェアの行動パターン及び外部からの攻撃者による攻撃の行動パターンを示す脅威情報を取得する。脅威情報収集部４１は、後述する管理ＮＷ３内の端末３１の行動情報と比較可能なように、脅威情報を、収集の過程において適切な形式に変換する。

ＮＷ行動収集部４２は、管理ＮＷ３内の端末３１の行動パターンを示す行動情報を取得する。ＮＷ行動収集部４２は、一つ以上の管理ＮＷ３におけるＮＷ機器３２からユーザである端末３１のネットワーク行動ログを収集する。例えば、ＮＷ行動収集部４２は、ＮＷ機器３２やＦＷ機器３３が記録するｓＦｌｏｗやプロキシログ、ＦＷログ、Ｃｌｏｕｄコントローラーのログ等を参照し、フロー情報を取得することによって、端末３１の行動情報を取得する。なお、行動情報は、端末３１の行動パターンに含まれる行動を示す情報であり、ネットワーク接続先のＩＰアドレス、ポート番号、ＤＮＳ参照先情報、ＵＲＬ、ＨＴＴＰ接続先等を含む。また、ＮＷ行動収集部４２は、脅威情報と比較可能なように、行動情報を、収集の過程において適切な形式に変換する。

脅威情報抽出部４３は、脅威情報収集部４１が収集した脅威情報の中から、ＮＷ行動収集部４２が収集した端末３１の行動情報が示す行動パターンと類似した行動パターンを示す脅威情報を抽出する。脅威情報抽出部４３は、収集した脅威情報と管理ＮＷ３の端末３１の行動情報の一致度を算出する。この一致度については、セキュリティ感度や管理ＮＷ３における設定可能なＦＷルール数等に基づいて設定する。

例えば、脅威情報抽出部４３は、脅威情報収集部４１が収集した脅威情報の中から、脅威情報と端末３１の行動情報との間で一致する行動の数を算出する。そして、脅威情報抽出部４３は、脅威情報収集部４１が収集した脅威情報の中から、脅威情報と端末３１の行動情報との間で一致する行動の数が、所定の閾値を超えた脅威情報を抽出する。

セキュリティポリシー生成部４４は、脅威情報抽出部４３によって抽出された脅威情報を用いて管理ＮＷ３内の端末３１の悪性行動の候補を抽出し、該抽出した悪性行動を基にセキュリティ装置（例えば、ＦＷ機器３３）に対するセキュリティポリシー（ＦＷルール、ＵＲＬフィルタ等）を生成する。なお、セキュリティポリシー生成部４４は、脅威情報抽出部４３によって抽出された脅威情報を参照することによって、管理ＮＷ３内の端末３１が、この脅威情報抽出部４３によって抽出された脅威情報が示すマルウェアに感染している、または、攻撃を受けている疑いがあると判断する。

ここで、セキュリティポリシー生成部４４は、この管理装置４のキャパシティの範囲内となるように、抽出された脅威情報が含む行動の数を一定数に削減する。具体的には、まず、セキュリティポリシー生成部４４は、脅威情報抽出部４３が抽出した脅威情報を、過去に行われた行動、及び、今後行う可能性のある行動に分類する。今後行う可能性のある行動とは、抽出された脅威情報に含まれるが、管理ＮＷ３内においては未観測である行動である。すなわち、今後行う可能性のある行動とは、端末３１が感染している疑いのあるマルウェアまたは端末３１を攻撃している疑いのある攻撃者が、今後行う可能性のある悪性行動と言える。

そして、セキュリティポリシー生成部４４は、この分類された、今後行う可能性のある行動を阻害するセキュリティポリシーを生成し、生成したセキュリティポリシーをセキュリティ機器（例えば、ＦＷ機器３３）に設定する。

ここで、セキュリティポリシー生成部４４による、行動の数の削減処理について説明する。例えば、セキュリティポリシー生成部４４は、脅威情報抽出部４３によって抽出された脅威情報が示す行動とＮＷ行動収集部４２が収集した管理ＮＷ３内の端末３１の行動との一致度を算出する。或いは、セキュリティポリシー生成部４４は、脅威情報抽出部４３によって抽出された脅威情報が含む脅威度に基づいて、端末３１が今後行う可能性のある行動の脅威度のスコアを算出する。或いは、セキュリティポリシー生成部４４は、脅威情報抽出部４３によって抽出された脅威情報の中での出現回数等に基づいて、端末３１が今後行う可能性のある行動の脅威度のスコアを算出する。

続いて、セキュリティポリシー生成部４４は、算出された一致度或いはスコアの上位から一定数の行動を求める。この一定数は、この管理装置４のキャパシティの範囲に応じて設定される。なお、セキュリティポリシー生成部４４は、算出された一致度及びスコアを組み合わせて一定数の行動を求めてもよい。そして、セキュリティポリシー生成部４４は、このように求めた一定数の行動を阻害するセキュリティポリシーを生成する。

入力部４５は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部４０に対して処理開始などの各種指示情報を入力する。出力部４６は、液晶ディスプレイなどの表示装置、プリンタ等の印刷装置、情報通信装置等によって実現される。また、出力部４６は、脅威情報基盤群２、管理ＮＷ３内の各機器等と通信可能である通信インターフェースであってもよい。

記憶部４７は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、管理装置４を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。

このように、管理装置４は、収集した脅威情報の中から、管理ＮＷ３内の端末３１の実際の行動に類似する行動を含む脅威情報のみを抽出し、さらに、この管理装置４のキャパシティの範囲内となるように、抽出された脅威情報が含む行動の数を一定数に削減してから、これらの行動を阻害するセキュリティポリシーを生成する。

［管理装置の処理］
そこで、管理装置４の管理処理について説明する。図２及び図３は、管理装置４が行う管理処理を説明する図である。なお、図２及び図３においては、説明の簡易化のために、管理装置４については、要部のみを示す。

図２に示すように、管理装置４では、まず、脅威情報収集部４１が外部の脅威情報基盤群２より、脅威情報群を収集する（図２の（１）参照）。例えば、脅威情報収集部４１は、脅威情報基盤群２から、脅威情報群（１）（図２の枠Ｃ１参照）を受信する。この脅威情報群（１）は、マルウェアの行動パターン或いは攻撃者による攻撃の行動パターンを示す識別情報と、行動パターンに含まれる行動及び行動の遷移状態を示す。

例えば、脅威情報群（１）には、マルウェアの行動パターン或いは攻撃者による攻撃の行動パターンとして、「Ｘ」，「Ｙ」，「Ｚ」が示す脅威情報が含まれている。行動パターン「Ｘ」は、行動「ａ」、行動「ｂ」、行動「ｃ」の順に遷移するものであり、行動パターン「Ｙ」は、行動「ａ」、行動「ｄ」、行動「ｅ」の順に遷移するものであり、行動パターン「Ｚ」は、行動「ｂ」から行動「ｆ」に遷移するものであることが示されている。

一方、ＮＷ行動収集部４２は、管理ＮＷ３内の端末３１の行動パターンを示す行動情報を取得する（図２の（２）参照）。例えば、ＮＷ行動収集部４２は、管理ＮＷ３のＮＷ機器３２等から、管理ＮＷ３の端末３１の行動情報（２）（図２の枠Ｃ２参照）を取得する。この脅威情報は、端末３１の行動パターンを示す識別情報と、行動パターンに含まれる行動及び行動の遷移状態を示す。例えば、端末３１の行動情報（２）には、端末３１の行動パターンとして、「Ｍ」，「Ｎ」が示されている。そして、行動パターン「Ｍ」は、行動「ａ」を行うものであり、行動パターン「Ｎ」は、行動「ａ」から行動「ｂ」に遷移するものであることが示されている。

続いて、脅威情報抽出部４３は、脅威情報収集部４１が収集した脅威情報の中から、ＮＷ行動収集部４２が収集した端末３１の行動情報が示す行動パターンと類似した行動パターンを示す脅威情報を抽出するために、脅威情報と端末３１の行動情報との間で一致する行動の数を算出する。そして、脅威情報抽出部４３は、脅威情報の中から、脅威情報と端末３１の行動情報との間で一致する行動の数が、所定の閾値を超えた脅威情報を抽出する（図３の（３）参照）。

この場合には、脅威情報抽出部４３は、枠Ｃ３に示すように、脅威情報群（１）と端末３１の行動情報とが示す行動パターンを比較して、脅威情報と端末３１の行動情報との間で一致する行動の数を求める。なお、枠Ｃ３において、脅威情報と端末３１の行動情報との間で一致する行動については、右上に「＊」を付している。

まず、脅威情報抽出部４３は、端末３１の行動情報（２）の行動パターン「Ｍ」と、脅威情報群（１）の各脅威情報が示す行動パターン「Ｘ」，「Ｙ」，「Ｚ」を比較する。この場合、行動パターン「Ｍ」の行動「ａ」は、脅威情報群（１）の行動パターン「Ｘ」の先頭の行動「ａ」と、位置も一致するため、脅威情報の行動パターン「Ｘ」と端末３１の行動パターン「Ｍ」とで一致する行動の数は「１」である。また、行動パターン「Ｍ」の行動「ａ」は、脅威情報群（１）の行動パターン「Ｙ」の先頭の行動「ａ」と位置も一致するため、脅威情報の行動パターン「Ｙ」と端末３１の行動パターン「Ｍ」とで一致する行動の数は「１」である。また、行動パターン「Ｍ」のうち、脅威情報群（１）の行動パターン「Ｚ」と位置も含めて一致する行動はない。

そして、脅威情報抽出部４３は、端末３１の行動情報（２）の行動パターン「Ｎ」と、脅威情報群（１）の行動パターン「Ｘ」，「Ｙ」，「Ｚ」を比較する。この場合、行動パターン「Ｎ」の行動「ａ」から行動「ｂ」への遷移は、脅威情報群（１）の行動パターン「Ｘ」の行動「ａ」から行動「ｂ」への遷移と一致するため、脅威情報の行動パターン「Ｘ」と端末３１の行動パターン「Ｎ」とで一致する行動の数は「２」である。また、行動パターン「Ｎ」の行動「ａ」は、脅威情報群（１）の行動パターン「Ｙ」の行動「ａ」と一致するため、脅威情報の行動パターン「Ｙ」と端末３１の行動パターン「Ｎ」とで一致する行動の数は「１」である（不図示）。また、行動パターン「Ｎ」の行動「ｂ」は、脅威情報群（１）の行動パターン「Ｚ」の行動「ｂ」と一致するため、脅威情報の行動パターン「Ｚ」と端末３１の行動パターン「Ｎ」とで一致する行動の数は「１」である。

そして、所定の閾値を「１」とする。この場合、脅威情報抽出部４３は、脅威情報群（１）の中から、脅威情報群（１）と端末３１の行動情報（２）との間で一致する行動の数が、閾値「１」を超えた脅威情報を抽出する（図３の（３）参照）。図３の例では、脅威情報抽出部４３は、端末３１の行動パターン「Ｎ」との間で一致する行動の数が「２」である行動パターン「Ｘ」を示す脅威情報を抽出して、脅威情報基盤群２から配信された脅威情報の数を削減する。

続いて、セキュリティポリシー生成部４４は、脅威情報抽出部４３が抽出した脅威情報に含まれる行動を阻害するためのセキュリティポリシーを生成する（図３の（４）参照）。この場合、枠Ｃ３に示すように、端末３１の行動パターン「Ｎ」について、行動「ａ」、行動「ｂ」、行動「ｃ」に遷移する行動パターン「Ｘ」が脅威情報として、脅威情報抽出部４３によって抽出されている。図３の例では、端末３１の行動パターン「Ｎ」は、行動「ａ」から行動「ｂ」に既に遷移している。このため、セキュリティポリシー生成部４４は、端末３１の行動パターン「Ｎ」に対して、行動パターン「Ｘ」が示す行動「ｃ」への遷移を阻害するセキュリティポリシーを生成する（図３の枠Ｃ４参照）。そして、セキュリティポリシー生成部４４は、生成したセキュリティポリシーをＦＷ機器３３に設定する。

［管理処理の処理手順］
次に、管理装置４による管理処理の処理手順について説明する。図４は、本実施の形態に係る管理処理の処理手順を示すフローチャートである。

まず、脅威情報収集部４１は、外部の脅威情報基盤群２から配信された脅威情報を受信することによって、マルウェアの行動パターン及び外部からの攻撃者による攻撃の行動パターンを示す複数の脅威情報を取得する（ステップＳ１）。そして、ＮＷ行動収集部４２は、管理ＮＷ３内の端末３１の行動パターンを示す行動情報を取得する（ステップＳ２）。

続いて、脅威情報抽出部４３は、脅威情報収集部４１が収集した脅威情報の中から、ＮＷ行動収集部４２が収集した端末３１の行動情報が示す行動パターンと類似した行動パターンを示す脅威情報を抽出するために、脅威情報と管理ＮＷ３の端末３１の行動情報との間で一致する行動の数をそれぞれ算出する（ステップＳ３）。

そして、脅威情報抽出部４３は、脅威情報と管理ＮＷ３の端末３１の行動情報との間で一致する行動の数が所定の閾値を超える脅威情報があるか否かを判断する（ステップＳ４）。セキュリティポリシー生成部４４は、脅威情報と管理ＮＷ３の端末３１の行動情報との間で一致する行動の数が所定の閾値を超える脅威情報がないと脅威情報抽出部４３が判断した場合（ステップＳ４：Ｎｏ）、管理ＮＷ３は、マルウェアに感染している、または、攻撃を受けている疑いが低いと判断し、管理処理を終了する。

脅威情報抽出部４３は、脅威情報と管理ＮＷ３の端末３１の行動情報との間で一致する行動の数が所定の閾値を超える脅威情報があると判断した場合（ステップＳ４：Ｙｅｓ）、この一致する行動の数が所定の閾値を超える脅威情報を抽出し（ステップＳ５）、抽出した脅威情報をセキュリティポリシー生成部４４に出力する。

セキュリティポリシー生成部４４は、脅威情報抽出部４３が抽出した脅威情報に含まれる行動を阻害するためのセキュリティポリシーを生成する（ステップＳ６）。この場合、セキュリティポリシー生成部４４は、脅威情報抽出部４３が抽出した脅威情報から、端末３１が感染している疑いのあるマルウェアまたは端末３１を攻撃している疑いのある攻撃者が、今後行う可能性のある行動を求める。すなわち、セキュリティポリシー生成部４４は、脅威情報抽出部４３によって抽出された脅威情報が示す行動とＮＷ行動収集部４２が収集した管理ＮＷ３内の端末３１の行動との一致度を算出する。或いは、セキュリティポリシー生成部４４は、脅威情報抽出部４３によって抽出された脅威情報が含む脅威度または脅威情報における出現回数に基づいて、端末３１が行う可能性のある行動の脅威度のスコアを算出する。続いて、セキュリティポリシー生成部４４は、算出された一致度或いはスコアの上位から一定数の行動を求め、該求めた行動を阻害するセキュリティポリシーを生成する。

そして、セキュリティポリシー生成部４４は、生成したセキュリティポリシーをＦＷ機器３３に設定して、管理処理を終了する。

［管理処理の流れ］
次に、管理装置４による管理処理の流れについて説明する。図５は、管理装置４による管理処理の流れを説明するシーケンス図である。

まず、脅威情報収集部４１は、脅威情報基盤群２に脅威情報の配信要求を行い（ステップＳ１１）、脅威情報基盤群２による脅威情報の送信（ステップＳ１２）を受けることによって、複数の脅威情報を取得する。脅威情報収集部４１は、取得した脅威情報を、脅威情報抽出部４３に出力する（ステップＳ１３）。

一方、ＮＷ行動収集部４２は、管理ＮＷ３のＮＷ機器３２等に管理ＮＷ３内の端末３１の行動パターンを示す行動情報の要求を行い（ステップＳ１４）、ＮＷ機器３２等による管理ＮＷ３内の端末３１の行動情報の送信（ステップＳ１５）を受けることによって、端末３１の行動情報を取得する。ＮＷ行動収集部４２は、取得した管理ＮＷ３の端末３１の行動情報を、脅威情報抽出部４３に出力する（ステップＳ１６）。

脅威情報抽出部４３は、脅威情報収集部４１が収集した脅威情報の中から、ＮＷ行動収集部４２が収集した端末３１の行動情報が示す行動パターンと類似した行動パターンを示す脅威情報を抽出する（ステップＳ１７）。脅威情報抽出部４３は、抽出した脅威情報をセキュリティポリシー生成部４４に出力する（ステップＳ１８）。

これによって、セキュリティポリシー生成部４４は、脅威情報抽出部４３が抽出した脅威情報に含まれる行動を阻害するためのセキュリティポリシーを生成する（ステップＳ１９）。この場合、セキュリティポリシー生成部４４は、脅威情報抽出部４３が抽出した脅威情報から、端末３１が感染している疑いのあるマルウェアまたは端末３１を攻撃している疑いのある攻撃者が、今後行う可能性のある行動を求める。すなわち、セキュリティポリシー生成部４４は、脅威情報抽出部４３によって抽出された脅威情報が示す行動とＮＷ行動収集部４２が収集した管理ＮＷ３内の端末３１の行動との一致度を算出する。或いは、セキュリティポリシー生成部４４は、脅威情報抽出部４３によって抽出された脅威情報が含む脅威度または脅威情報における出現回数に基づいて、端末３１が行う可能性のある行動の脅威度のスコアを算出する。続いて、セキュリティポリシー生成部４４は、算出された一致度或いはスコアの上位から一定数の行動を求め、該求めた行動を阻害するセキュリティポリシーを生成する。

そして、セキュリティポリシー生成部４４は、生成したセキュリティポリシーを、例えばＦＷ機器３３に設定する（ステップＳ２０）。

［実施の形態の効果］
このように、本実施の形態に係る管理装置４は、収集した脅威情報の中から、管理ＮＷ３内の端末３１の実際の行動に類似する行動を含む脅威情報のみを抽出することによって、利用する脅威情報の情報量を適切に調整している。

さらに、管理装置４は、この管理装置４のキャパシティの範囲内となるように、抽出された脅威情報が含む行動の数を一定数に削減してから、これらの行動を阻害するセキュリティポリシーを生成する。すなわち、管理装置４は、脅威情報基盤群２により配信される攻撃に関する大量の脅威情報を管理ＮＷ３依存の情報を用いて削減してから、セキュリティポリシーを生成する。このため、実施の形態によれば、セキュリティポリシーを円滑に生成でき、ネットワーク管理の最適化を図ることができる。

したがって、管理装置４によれば、脅威情報を適切に利用し、脅威情報を用いたネットワーク管理の最適化を図ることができる。

［他の実施の形態］
［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部又は一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
図６は、プログラムが実行されることにより、管理装置４が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、管理装置４の各処理を規定するプログラムは、コンピュータ１０００により実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、管理装置４の各装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例及び運用技術等は全て本発明の範疇に含まれる。

２ 脅威情報基盤群
３ 管理ネットワーク（ＮＷ）
４ 管理装置
５ インターネット
２１，２２ 脅威情報基盤
３１ 端末
３２ ＮＷ機器
３３ ファイアウォール（ＦＷ）機器
４０ 制御部
４１ 脅威情報収集部
４２ ＮＷ行動収集部
４３ 脅威情報抽出部
４４ セキュリティポリシー生成部
４５ 入力部
４６ 出力部
４７ 記憶部

Claims (2)

1. 情報の出入りを制限するセキュリティ装置を有する管理対象ネットワークを管理する管理装置であって、
   マルウェアの行動パターン及び外部からの攻撃者による攻撃の行動パターンを示す脅威情報を取得する脅威情報収集部と、
   前記管理対象ネットワーク内の端末の行動パターンを示す行動情報を取得するネットワーク行動収集部と、
   前記脅威情報収集部が収集した脅威情報の中から、前記ネットワーク行動収集部が収集した前記端末の行動情報が示す行動パターンと類似した行動パターンを示す脅威情報であって前記マルウェア或いは前記攻撃の脅威度を含む脅威情報を抽出する脅威情報抽出部と、
   前記脅威情報抽出部によって抽出された脅威情報を用いて前記管理対象ネットワーク内の端末の悪性行動の候補を抽出し、該抽出した悪性行動を基に前記セキュリティ装置に対するセキュリティポリシーを生成するセキュリティポリシー生成部と、
   を有し、
   前記脅威情報抽出部は、前記脅威情報収集部が収集した脅威情報の中から、前記脅威情報と前記ネットワーク行動収集部が収集した前記端末の行動情報との間で一致する行動の数が所定の閾値を超えた脅威情報を抽出し、
   前記セキュリティポリシー生成部は、前記脅威情報抽出部が抽出した脅威情報から、前記端末が感染している疑いのあるマルウェアまたは前記端末を攻撃している疑いのある攻撃者が、今後行う可能性のある行動を求め、該求めた行動を阻害するセキュリティポリシーを生成し、生成したセキュリティポリシーを前記セキュリティ装置に設定し、
   前記セキュリティポリシー生成部は、前記脅威情報抽出部によって抽出された脅威情報が示す行動と前記ネットワーク行動収集部が収集した管理対象ネットワーク内の端末の行動との一致度を算出し、或いは、前記脅威情報抽出部によって抽出された脅威情報が含む脅威度または脅威情報における出現回数に基づいて前記端末が今後行う可能性のある行動の脅威度のスコアを算出し、算出された一致度或いはスコアの上位から一定数の行動を求め、該求めた行動を阻害するセキュリティポリシーを生成することを特徴とする管理装置。
2. 情報の出入りを制限するセキュリティ装置を有する管理対象ネットワークを管理する管理装置が行う管理方法であって、
   マルウェアの行動パターン及び外部からの攻撃者による攻撃の行動パターンを示す脅威情報を取得する脅威情報収集工程と、
   前記管理対象ネットワーク内の端末の行動パターンを示す行動情報を取得するネットワーク行動収集工程と、
   前記脅威情報収集工程において収集された脅威情報の中から、前記ネットワーク行動収集工程において収集された前記端末の行動情報が示す行動パターンと類似した行動パターンを示す脅威情報であって前記マルウェア或いは前記攻撃の脅威度を含む脅威情報を抽出する脅威情報抽出工程と、
   前記脅威情報抽出工程において抽出された脅威情報を用いて前記管理対象ネットワーク内の端末の悪性行動の候補を抽出し、該抽出した悪性行動を基に前記セキュリティ装置に対するセキュリティポリシーを生成するセキュリティポリシー生成工程と、
   を含み、
   前記脅威情報抽出工程は、前記脅威情報収集工程において収集された脅威情報の中から、前記脅威情報と前記ネットワーク行動収集工程において収集された前記端末の行動情報との間で一致する行動の数が所定の閾値を超えた脅威情報を抽出し、
   前記セキュリティポリシー生成工程は、前記脅威情報抽出工程において抽出された脅威情報から、前記端末が感染している疑いのあるマルウェアまたは前記端末を攻撃している疑いのある攻撃者が、今後行う可能性のある行動を求め、該求めた行動を阻害するセキュリティポリシーを生成し、生成したセキュリティポリシーを前記セキュリティ装置に設定し、
   前記セキュリティポリシー生成工程は、前記脅威情報抽出工程において抽出された脅威情報が示す行動と前記ネットワーク行動収集工程において収集された管理対象ネットワーク内の端末の行動との一致度を算出し、或いは、前記脅威情報抽出工程において抽出された脅威情報が含む脅威度または脅威情報における出現回数に基づいて前記端末が今後行う可能性のある行動の脅威度のスコアを算出し、算出された一致度或いはスコアの上位から一定数の行動を求め、該求めた行動を阻害するセキュリティポリシーを生成することを特徴とする管理方法。

Images