JP6863290B2 - 診断装置、診断方法、及び、診断プログラム - Google Patents

Description

本発明は、情報処理システムにて生じた異常の程度を診断する診断装置等に関する。

情報処理システムにおいて生じた異常を検知する装置として、たとえば、特許文献１乃至特許文献３に開示された装置が知られている。

特許文献１に開示された異常検知装置は、情報源における複数の情報のうち、異常な情報を検知する。該異常検知装置は、ある情報に対して、複数のアルゴリズムをそれぞれ適用し、算出された各結果を重み付けし、該重み付けに基づき、すべての結果を統合することによって、異常な情報を検知する。

特許文献２に開示された診断装置は、情報処理システムにおける複数の計測対象に関して計測された計測データを受信し、複数の計測対象が分類された分類情報に基づき、該計測データに演算アルゴリズムを適用することによって、該計測データに関する異常値を算出する。該診断装置は、算出した異常値に所定の判定アルゴリズムを適用することによって、該情報処理システムが異常であるか否かを判定する。

特許文献３に開示されたマルウェア検出装置は、ある通信ネットワークに通信接続された内部端末と、該ある通信ネットワークとは異なる通信ネットワークに通信接続された外部端末との間において実行された通信のうち、所定の通信とは異なる通信を特定する。該マルウェア検出装置は、特定した通信の回数が所定の回数以上である場合に、該通信を実行した内部端末が不審な端末であると検知する。該マルウェア検出装置は、複数の不審な端末の間において実行された通信が所定の回数を超えた場合に、該不審な端末がマルウェアに感染していると検知する。

国際公開第２００９／０７５１２８号 国際公開第２０１２／０９０７１８号 特開２０１２−８４９９４号公報

特許文献１に開示された異常検知装置が算出する重みは、所定の演算処理に従って算出される値であり、必ずしも、異常を生じる原因間の推移が反映されている値であるとは限らない。この結果、該異常検知装置によれば、情報処理装置に生じた異常を正確に検知することは難しい。

特許文献２に開示された診断装置が算出する異常値は、計測対象が分類された分類情報に基づき算出される値であり、必ずしも、異常を生じる原因間の推移が反映されている値とは限らない。この結果、該診断装置によれば、情報処理装置に生じた異常を正確に検知することは難しい。

また、特許文献３に開示されたマルウェア検出装置における判定処理が、内部端末と外部端末とが通信した回数、及び、不審な端末同士が通信する回数に基づき実行されるので、該マルウェア検出装置によれば、これらの回数以外の値に関して異常が発生している場合に、不審な端末を検知することができない。

したがって、特許文献１乃至特許文献３に開示された、いずれの装置を用いたとしても、情報処理システムに生じた異常を正確に検知することは難しい。

そこで、本発明の目的の１つは、情報処理システムにて生じた異常の程度を正確に検知することが可能な診断装置等を提供することである。

前述の目的を達成するために、本発明の一態様において、診断装置は、
第１検知装置が第１情報処理装置に関して第１タイミングに出力した出力情報に対して、前記第１検知装置を含む検知装置の順序を表す進行度情報のうち、前記第１検知装置の順番と、その順番より前位の前記検知装置の順序とを特定する判定情報特定手段と、
前記検知装置が情報処理装置に関して第２タイミングに出力情報を出力した履歴を表す履歴情報に基づいて、前記第１タイミング以前の前記第２タイミングにて前記第１情報処理装置に関する前記出力情報を出力した前記検知装置が、前記第２タイミングの順に並べられた順序を表す順序情報を作成する順序情報作成手段と、
前記順序情報において前記検知装置が、前記判定情報特定手段が特定した前記順序に準じて出現している場合には、前記第１情報処理装置にて生じた異常の程度を表す進行度を、前記判定情報特定手段が特定した前記順番に応じて算出する進行度算出手段と
を備える。

また、本発明の他の見地として、診断方法は、
第１検知装置が第１情報処理装置に関して第１タイミングに出力した出力情報に対して、前記第１検知装置を含む検知装置の順序を表す進行度情報のうち、前記第１検知装置の順番と、その順番より前位の前記検知装置の順序とを特定し、
前記検知装置が情報処理装置に関して第２タイミングに出力情報を出力した履歴を表す履歴情報に基づいて、前記第１タイミング以前の前記第２タイミングにて前記第１情報処理装置に関する前記出力情報を出力した前記検知装置が、前記第２タイミングの順に並べられた順序を表す順序情報を作成し、
前記順序情報において前記検知装置が、特定された前記順序に準じて出現している場合には、前記第１情報処理装置にて生じた異常の程度を表す進行度を、特定された前記順番に応じて算出する。

また、本発明の他の見地として、診断プログラムは、
第１検知装置が第１情報処理装置に関して第１タイミングに出力した出力情報に対して、前記第１検知装置を含む検知装置の順序を表す進行度情報のうち、前記第１検知装置の順番と、その順番より前位の前記検知装置の順序とを特定する判定情報特定機能と、
前記検知装置が情報処理装置に関して第２タイミングに出力情報を出力した履歴を表す履歴情報に基づいて、前記第１タイミング以前の前記第２タイミングにて前記第１情報処理装置に関する前記出力情報を出力した前記検知装置が、前記第２タイミングの順に並べられた順序を表す順序情報を作成する順序情報作成機能と、
前記順序情報において前記検知装置が、前記判定情報特定機能によって特定された前記順序に準じて出現している場合には、前記第１情報処理装置にて生じた異常の程度を表す進行度を、前記判定情報特定機能によって特定された前記順番に応じて算出する進行度算出機能と
をコンピュータに実現させる。

さらに、同目的は、係る診断プログラムを記録するコンピュータが読み取り可能な記録媒体によっても実現される。

本発明に係る診断装置等によれば、情報処理システムにて生じた異常の程度を正確に検知することができる。

本発明の第１の実施形態に係る診断装置が有する構成を示すブロック図である。 情報処理システムが有する構成を示すブロック図である。 第１の実施形態に係る診断装置における処理の流れを示すフローチャートである。 履歴情報記憶部に格納された履歴情報の一例を概念的に表す図である。 進行度情報記憶部に格納されている進行度情報の一例を概念的に表す図である。 本発明の第２の実施形態に係る診断装置が有する構成を示すブロック図である。 第２の実施形態に係る診断装置における処理の流れを示すフローチャートである。 進行度情報の一例を概念的に表す図である。 本発明の第３の実施形態に係る診断装置が有する構成を示すブロック図である。 第３の実施形態に係る診断装置における処理の流れを示すフローチャートである。 進行度情報記憶部に格納されている進行度情報の一例を概念的に表す図である。 装置情報記憶部に格納されている装置情報の一例を概念的に表す図である。 更新後の装置情報の一例を概念的に表す図である。 本発明の第４の実施形態に係る診断装置が有する構成を示すブロック図である。 第４の実施形態に係る診断装置における処理の流れを示すフローチャートである。 表示態様の一例を表す図である。 本発明の第５の実施形態に係る診断装置が有する構成を示すブロック図である。 進行度情報記憶部に格納されている進行度情報の一例を概念的に表す図である。 本発明の第６の実施形態に係る診断装置が有する構成を示すブロック図である。 進行度情報記憶部に格納されている進行度情報の一例を概念的に表す図である。 本発明の各実施形態に係る診断装置を実現可能な計算処理装置のハードウェア構成例を、概略的に示すブロック図である。

次に、本発明を実施する実施形態について図面を参照しながら詳細に説明する。

＜第１の実施形態＞
図１を参照しながら、本発明の第１の実施形態に係る診断装置１０１が有する構成について詳細に説明する。図１は、本発明の第１の実施形態に係る診断装置１０１が有する構成を示すブロック図である。

第１の実施形態に係る診断装置１０１は、判定情報特定部１０２と、順序情報作成部１０３と、進行度算出部１０４とを有する。

診断装置１０１は、情報処理システム７０１（詳細は図２を参照して後述する）における情報処理装置に対して実行された処理（たとえば、攻撃）に起因する異常が進行している程度を表す進行度を算出する。たとえば、該処理は、マルウェア等の悪意をもって実行されるソフトウェア（または、攻撃者等）によって実行される。以降、説明の便宜上、マルウェア等の悪意をもって実行されるソフトウェア（または、攻撃者等）によって実行される処理を、「攻撃」と表す。

診断装置１０１は、進行度情報記憶部２０１に格納されている進行度情報（詳細は図５を参照して後述する）と、履歴情報記憶部２０２に格納されている履歴情報（詳細は図４を参照して後述する）とに基づき、情報処理装置に関する進行度を算出する。進行度情報は、必ずしも、進行度情報記憶部２０１に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。また、履歴情報は、必ずしも、履歴情報記憶部２０２に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。

次に、図２を参照しながら、情報処理システム７０１が有する構成について詳細に説明する。図２は、情報処理システム７０１が有する構成を示すブロック図である。

情報処理システム７０１は、監視装置７０２、履歴情報記憶部７０９、及び、１台以上の情報処理装置（図２においては、情報処理装置７０５、及び、情報処理装置７０６）を有する。監視装置７０２は、１台以上の検知装置（図２においては、検知装置７０３、及び、検知装置７０４）を含む。以降の説明においては、説明の便宜上、情報処理装置は、２台であるとする。

監視装置７０２は、情報処理装置７０５、及び、情報処理装置７０６等を含む情報処理システム７０１を監視している。たとえば、監視装置７０２は、情報処理装置において実行されるプロセスや、複数の情報処理装置間において実行される通信等を監視している。

情報処理装置においては、該情報処理装置において動作しているプロセス等の挙動や、該情報処理装置に関する通信等を監視するエージェントが動作している。たとえば、図２に例示された情報処理システム７０１において、エージェント７０７は、情報処理装置７０５において動作しているプロセス等の挙動を監視している。以降、プロセスや情報処理装置を総称して、「処理体」とも表す。

同様に、エージェント７０８は、情報処理装置７０６において動作しているプロセス等の挙動を監視している。言い換えれば、エージェントは、該エージェントを有する情報処理装置に関して、該情報処理装置において動作しているプロセス等を監視することによって、監視した結果を表す監視結果情報（たとえば、プロセスに関する情報、通信に関する情報）を作成する。たとえば、エージェントは、プロセスに関して、該プロセスが通信を実行した場合の通信先（たとえば、通信ポート）、該プロセスが外部通信ネットワークに対して確立した通信のタイミング及び期間、プロセスに関するシグネチャ、及び、該プロセスがアクセスしたファイル等を監視している。

エージェントが監視する対象を表す監視対象は、プロセスだけでなく、たとえば、情報処理装置を使用するユーザや、ユーザによって実行される通信（たとえば、電子メール、ウェブページの参照）等であってもよい。この場合に、エージェントは、たとえば、情報処理装置に設定されるアカウント、ユーザが情報処理装置を使用した期間、ユーザが起動したプロセスの名称等を監視し、監視した結果を表す監視結果情報を作成する。以下に、エージェントが監視する対象の例に関して詳細に説明する。

エージェントは、該エージェントが動作している情報処理装置における処理に関してプロセス、ソケット等の情報を監視する。

エージェントは、作成した監視結果情報を、たとえば、履歴情報記憶部７０９等の記憶部に格納する。

検知装置（たとえば、検知装置７０３、検知装置７０４）は、エージェントが作成した監視結果情報を解析することによって異常を検知した場合に、検知した異常を表す出力情報を含む履歴情報（図４に例示）を作成し、作成した履歴情報を履歴情報記憶部７０９に格納する。ここで、図４を参照しながら、履歴情報について詳細に説明する。図４は、履歴情報記憶部２０２に格納された履歴情報の一例を概念的に表す図である。履歴情報記憶部７０９に格納される履歴情報は、履歴情報記憶部２０２に格納される履歴情報と同様な構成を有する。履歴情報は、必ずしも、履歴情報記憶部２０２に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。

履歴情報は、たとえば、情報処理装置に関する異常を検知する検知装置を表す検知装置ＩＤと、該検知装置が異常を検知したタイミングと、該異常に関して検知された内容を表す出力情報とが関連付けされた情報である。ＩＤは、識別子を表す。出力情報は、たとえば、該検知装置が異常を検知した情報処理装置（または、プロセス、アカウント）等の情報が含まれている。

図４に例示された履歴情報においては、検知装置ＩＤ「Ｄ４」と、タイミング「Ｔ５」と、出力情報「Ｍ１のプロセスＰ１は５つのファイルをアクセスした」とが関連付けされている。これは、検知装置ＩＤ「Ｄ４」が表す検知装置が、タイミング「Ｔ５」に、出力情報「Ｍ１のプロセスＰ１は５つのファイルをアクセスした」を作成したことを表す。該出力情報における「Ｍ１」は、情報処理装置を識別可能な処理装置ＩＤを表す。また、該出力情報における「プロセスＰ１」は、プロセスＩＤ「Ｐ１」が表すプロセスであることを表す。言い換えれば、該出力情報は、「処理装置ＩＤ「Ｍ１」が表す情報処理装置において、プロセスＩＤ「Ｐ１」が表すプロセスが５つのファイルにアクセスした」情報を表す。

検知装置は、エージェント等が作成した監視結果情報に基づき、情報処理装置に関する異常を検知する。図２に例示された情報処理システム７０１において、監視装置７０２が有している検知装置の台数は２台（図２の検知装置７０３、及び、検知装置７０４）である。しかし、監視装置７０２は、さらに、多くの検知装置を有していてもよい。検知装置は、たとえば、以下に説明する第１検知装置、乃至、第１０検知装置である。

第１検知装置：第１検知装置は、情報処理システム７０１における情報処理装置間の通信状況を表すネットワークトポロジー（以降、「トポロジー情報」と表す）に基づき、異常な通信を実行した情報処理装置を検知する。第１検知装置は、たとえば、１台の情報処理装置から他の多数の情報処理装置に対して通信が実行されたこと等を検知する。

第２検知装置：第２検知装置は、情報処理システム７０１内の情報処理装置にて実行されたプロセスと、該プロセスがデータを送信した宛先を表すポート番号とが関連付けされた情報（以降、「プロセスポート情報」と表す）に基づき、異常な通信を実行したプロセスを検知する。

第３検知装置：第３検知装置は、トポロジー情報と、プロセスポート情報とに基づき、情報処理システム７０１において異常な通信を実行した情報処理装置と、異常な通信を実行したプロセスとを検知する。第３検知装置は、トポロジー情報と、プロセスポート情報とに基づき、たとえば、ある情報処理装置におけるあるプロセスが、多数のポートに対して通信を実行したこと等を検知する。

第４検知装置：第４検知装置は、情報処理システム７０１内のある情報処理装置におけるプロセスが実行した通信に関する監視結果情報に基づき、異常な通信を実行した情報処理装置（または、プロセス）等を検知する。第４検知装置は、監視結果情報を参照することによって、ある情報処理装置におけるプロセスがある期間に確立した通信接続の回数を算出し、算出した回数が定常的な通信接続回数と異なっている場合に、該ある情報処理装置（または、該プロセス）が異常であると検知する。

第５検知装置：第５検知装置は、情報処理システム７０１内の情報処理装置に設定されたアカウントと、該アカウントが表すユーザが起動したプロセスを表すプロセスＩＤとが関連付けされた情報（以降、「ユーザプロセス情報」と表す）に基づき、該情報処理装置に関する異常を検知する。第５検知装置は、たとえば、マルウェアである可能性が高いソフトウェアによって起動されたプロセスを実行したアカウント等を検知する。

第６検知装置：第６検知装置は、プロセスＩＤと、該プロセスＩＤがアクセスしたファイルを表すファイルＩＤとが関連付けされた情報（以降、「プロセスファイル情報」と表す）を参照することによって、情報処理システム７０１において異常である情報処理装置（または、プロセス）を検知する。

第７検知装置：第７検知装置は、プロセスＩＤが表すプロセスに関するシグネチャに関する情報（以降、「シグネチャ情報」と表す）を参照することによって、情報処理システム７０１において異常である情報処理装置（または、プロセス）を検知する。シグネチャ情報は、たとえば、プロセスが参照する値の型、該プロセスが出力する値の型、該プロセスを表す名称である。

第８検知装置：第８検知装置は、プロセスＩＤと、該プロセスＩＤが表すプロセスがアクセスしたファイルを表すファイルＩＤとが関連付けされた情報（以降、「プロセスファイル情報」と表す）を参照することによって、情報処理システム７０１において異常である情報処理装置（または、プロセス）を検知する。

第９検知装置：第９検知装置は、情報処理システム７０１内の情報処理装置においてアカウントが作成されたことを表す情報と、該アカウントが作成されたタイミングとが関連付けされた情報（以降、「アカウント情報」と表す）を参照することによって、異常である情報処理装置を検知する。

第１０検知装置：第１０検知装置は、アカウントと、該アカウントが表すユーザが情報処理装置を利用している期間とが関連付けされた情報（以降、「ログイン情報」と表す）に基づき、情報処理システム７０１において異常である情報処理装置を検知する。第１０検知装置は、該ログイン情報に基づき、ある情報処理装置に設定されているアカウントが使用されている時間を特定する。

尚、情報処理装置において、エージェントは、上述した各検知装置が参照した情報（プロセスポート情報、シグネチャ情報、ユーザプロセス情報、ログイン情報等）を作成することができる。

次に、図５を参照しながら、進行度情報について説明する。図５は、進行度情報記憶部２０１に格納されている進行度情報の一例を概念的に表す図である。進行度情報は、必ずしも、進行度情報記憶部２０１に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。

進行度情報は、たとえば、情報処理装置に関する異常を検知する検知装置を表す検知装置ＩＤと、所定の順序に従い、０個以上の検知装置ＩＤを含む判定情報とが関連付けされた情報である。該進行度情報においては、検知装置ＩＤに、さらに、進行度が関連付けされていてもよい。所定の順序は、たとえば、悪意を有するソフトウェアによって情報処理システム７０１に対して影響を受けた場合に、検知装置が検知すると想定される順序を表す。この場合に、所定の順序は、検知装置が検知すると想定されるタイミングの順、または、異常を検知する検知装置の順序を表しているともいうことができる。以降の説明において、所定の順序は、説明の便宜上、タイミングの順であるとするが、タイミングの逆順であってもよく、一定の規則に従って検知装置ＩＤが並べられた順序であればよい。

図５に例示された進行度情報においては、検知装置ＩＤ「Ｄ４」と、進行度「Ｓ３」と、判定情報「Ｄ１，Ｄ２」、及び、判定情報「Ｄ１，Ｄ３」とが関連付けされている。これは、検知装置ＩＤ「Ｄ４」が表す検知装置がある情報処理装置に関する異常を検知した場合に、診断装置１０１が、攻撃によって情報処理システム７０１に生じた（発生した）と推定できる状態（異常な事象、状態、状況）の深刻さがどの程度であるのかを判定する判定条件を表す。この判定処理について詳細に説明する。

診断装置１０１は、たとえば、検知装置ＩＤ「Ｄ４」が表す検知装置がある情報処理装置に関する異常を検知したことを表す情報を入力（受信）する。診断装置１０１は、履歴情報記憶部２０２から履歴情報（図４）を読み取り、該履歴情報が作成されたタイミング順に、該履歴情報を作成した検知装置を表す検知装置ＩＤが並べられた順序情報を作成する。診断装置１０１は、作成した順序情報における検知装置が、判定情報「Ｄ１，Ｄ２」、または、判定情報「Ｄ１，Ｄ３」に準じて出現しているか否かを判定し、順序情報が、いずれかの判定情報に準じている場合に、該ある情報処理装置に関する進行度が「Ｓ３」であると判定する。

「順序情報が判定情報に準ずる」とは、順序情報において出現する検知装置の順序と、判定情報において出現する検知装置の順序とが矛盾していないことを表す。たとえば、順序情報が「Ｄ１、Ｄ２、Ｄ３」であり、判定情報が「Ｄ１、Ｄ３」であるとする。この場合には、いずれの情報においても、「Ｄ１」が「Ｄ３」より先に出現しているので、順序情報における順序と、判定情報における順序とは矛盾しない。たとえば、順序情報が「Ｄ１、Ｄ２、Ｄ３」であり、判定情報が「Ｄ３、Ｄ２」であるとする。この場合に、順序情報においては「Ｄ２」が「Ｄ３」より先に出現し、判定情報においては「Ｄ３」が「Ｄ２」より先に出現しているので、順序情報における順序と、判定情報における順序とは矛盾している。

進行度情報における判定情報が空値である場合には、判定情報が設定されていないことを表す。言い換えると、該判定情報に関連付けされた検知装置ＩＤが表す検知装置が、ある情報処理装置に関する異常を検知した場合に、診断装置１０１は、該ある情報処理装置に関する進行度が、該検知装置ＩＤに関連付けされた進行度であると判定する。たとえば、図５に例示された進行度情報において、検知装置ＩＤ「Ｄ１」は、空値の判定情報に関連付けされている。これは、検知装置ＩＤ「Ｄ１」が表す検知装置が検知した異常が、ある情報処理装置に関する異常である場合に、該ある情報処理装置に関する進行度が「Ｓ１」であると診断装置１０１が診断することを表す。

言い換えれば、図５に例示された進行度情報に含まれている判定情報は、ある情報処理装置が、複数の検知装置によって検知された場合における検知された順序を表す。たとえば、ある情報処理装置が、検知装置ＩＤ「Ｄ１」が表す検知装置によって検知され、次に、検知装置ＩＤ「Ｄ２」が表す検知装置によって検知された場合に、診断装置１０１は、該ある情報処理装置に関する進行度が「Ｓ２」であると判定する（図５の２行目に例示された進行度情報）。たとえば、ある情報処理装置が、検知装置ＩＤ「Ｄ１」が表す検知装置、検知装置ＩＤ「Ｄ２」が表す検知装置、及び、検知装置ＩＤ「Ｄ４」が表す検知装置によって順に検知された場合に、診断装置１０１は、該ある情報処理装置に関する進行度が「Ｓ３」であると判定する（図５の４行目に例示された進行度情報）。あるいは、ある情報処理装置が、検知装置ＩＤ「Ｄ１」が表す検知装置、検知装置ＩＤ「Ｄ３」が表す検知装置、及び、検知装置ＩＤ「Ｄ４」が表す検知装置によって順に検知された場合に、診断装置１０１は、該ある情報処理装置に関する進行度が「Ｓ３」であると判定する（図５の４行目に例示された進行度情報）。

次に、図３を参照しながら、本発明の第１の実施形態に係る診断装置１０１における処理について詳細に説明する。図３は、第１の実施形態に係る診断装置１０１における処理の流れを示すフローチャートである。

説明の便宜上、ある検知装置が、第１情報処理装置に関する異常を検知し、検知した異常を表す履歴情報（たとえば、図４における１つの行）を、第１タイミングにて出力したとする。第１タイミングは、第１検知装置が異常を検知したタイミング、または、ある検知装置が異常を検知した基である監視結果情報を、該情報処理装置におけるエージェントが作成した時刻であってもよい。すなわち、タイミング（この場合、「第１タイミング」）は、上述した例に限定されない。

判定情報特定部１０２は、たとえば、ある検知装置が出力した履歴情報を受信する（ステップＳ１０１）。上述したように、ステップＳ１０１において、判定情報特定部１０２は、たとえば、ある検知装置が履歴情報記憶部２０２に格納した履歴情報を入力してもよい。判定情報特定部１０２は、進行度情報記憶部２０１に格納されている進行度情報（図５）を参照することによって、ある検知装置を表す検知装置ＩＤに関連付けされた進行度と、該検知装置ＩＤに関連付けされた判定情報とを特定する（ステップＳ１０２）。

次に、順序情報作成部１０３は、履歴情報記憶部２０２に格納されている履歴情報（図４）を参照することによって、第１タイミング以前のタイミングにて作成された履歴情報であって、第１情報処理装置に関する出力情報を含む履歴情報を特定する（ステップＳ１０３）。次に、順序情報作成部１０３は、特定した履歴情報に含まれている検知装置ＩＤが、該履歴情報に含まれているタイミングの順に並べられた順序情報を作成する（ステップＳ１０４）。タイミングの順は、必ずしも、履歴情報が作成されたタイミングの順である必要はない。タイミングの順は、たとえば、履歴情報が作成されたタイミングの逆順であってもよいし、所定の順序に応じて検知装置ＩＤが並べられていればよい。

進行度算出部１０４は、順序情報作成部１０３が作成した順序情報に含まれている検知装置ＩＤが、判定情報特定部１０２が特定した判定情報に含まれている検知装置ＩＤの順に出現しているか否かを判定する（ステップＳ１０５）。進行度算出部１０４は、順序情報作成部１０３が作成した順序情報に含まれている検知装置ＩＤが、判定情報特定部１０２が特定した判定情報に含まれている検知装置ＩＤの順に出現していると判定した場合（ステップＳ１０５にてＹＥＳ）には、第１情報処理装置に関する進行度が、判定情報特定部１０２が特定した進行度であると判定する（ステップＳ１０６）。ステップＳ１０５にてＮＯの場合に、進行度算出部１０４は、ステップＳ１０６に示された処理を実行しない。

進行度算出部１０４は、ステップＳ１０５にて、順序情報に含まれている検知装置ＩＤが、判定情報に含まれている検知装置ＩＤの順に出現しているか否かを判定する。進行度算出部１０４は、順序情報が判定情報に含まれている検知装置ＩＤ以外の検知装置ＩＤを含んでいる場合であっても、判定情報に含まれている検知装置ＩＤの順に出現していれば、ステップＳ１０５にてＹＥＳと判定する。たとえば、順序情報が「Ｄ１、Ｄ２、Ｄ３、Ｄ４」であり、判定情報が「Ｄ１、Ｄ４」である場合に、順序情報における検知装置ＩＤは、「Ｄ１」、「Ｄ２」、「Ｄ３」、及び、「Ｄ４」の順である。したがって、判定情報における検知装置ＩＤ「Ｄ１」、及び、検知装置ＩＤ「Ｄ４」は、検知装置ＩＤ「Ｄ２」、及び、検知装置ＩＤ「Ｄ３」を介して、順序情報における検知装置ＩＤに出現している。

より具体的な例を参照しながら、第１の実施形態に係る診断装置１０１における処理について説明する。この例において、検知装置ＩＤ「Ｄ３」が表す検知装置は、タイミング「Ｔ２」にて、出力情報「処理装置ＩＤ「Ｍ１」が表す情報処理装置のユーザ「Ｕ１」は、プロセスＩＤ「Ｐ５」が表すプロセスを起動した」（図４に示す履歴情報における３行目）を出力したとする。

判定情報特定部１０２は、たとえば、検知装置ＩＤ「Ｄ３」が表す検知装置が出力した履歴情報（図４の履歴情報における３行目）を受信する（ステップＳ１０１）。判定情報特定部１０２は、進行度情報記憶部２０１に格納されている進行度情報（図５に例示）を参照することによって、検知装置ＩＤ「Ｄ３」に関連付けされた進行度「Ｓ２」と、該検知装置ＩＤに関連付けされた判定情報「Ｄ１」とを特定する（ステップＳ１０２）。

次に、順序情報作成部１０３は、履歴情報記憶部２０２に格納されている履歴情報（図４に例示）を参照することによって、タイミング「Ｔ２」よりも前のタイミング（たとえば、タイミング「Ｔ１」）にて作成された履歴情報であって、処理装置ＩＤ「Ｍ１」に関する出力情報を含む履歴情報（図４の１行目に示す履歴情報）を特定する（ステップＳ１０３）。次に、順序情報作成部１０３は、特定した履歴情報に含まれている検知装置ＩＤが、該履歴情報に含まれているタイミングの順に並べられた順序情報（この例では、「Ｄ１」）を作成する（ステップＳ１０４）。

進行度算出部１０４は、順序情報作成部１０３が作成した順序情報（この例では、「Ｄ１」）に含まれている検知装置ＩＤが、判定情報特定部１０２が特定した判定情報（この例では、「Ｄ１」）に含まれている検知装置ＩＤの順に出現しているか否かを判定する（ステップＳ１０５）。この例においては、順序情報作成部１０３が作成した順序情報「Ｄ１」に含まれている検知装置ＩＤが、判定情報特定部１０２が特定した判定情報「Ｄ１」に含まれている検知装置ＩＤの順に出現している（ステップＳ１０５にてＹＥＳ）。したがって、進行度算出部１０４は、第１情報処理装置に関する進行度が、判定情報特定部１０２が特定した進行度「Ｓ２」であると判定する（ステップＳ１０６）。

次に、第１の実施形態に係る診断装置１０１に関する効果について説明する。

本実施形態に係る診断装置１０１によれば、情報処理システム７０１にて生じた異常の程度を正確に検知することができる。この理由は、複数の検知装置が検知した結果を、単に、組み合わせることによって、診断装置１０１が進行度を判定するのではなく、さらに、進行度情報の判定情報に含まれている検知装置ＩＤの順序に従って、診断装置１０１が進行度を判定するからである。この理由について詳細に説明する。

本願発明者は、マルウェア等の悪意を有するソフトウェアがある情報処理装置を攻撃する場合の手順には、ある傾向があることを見出した。たとえば、該手順は、後述するような手順である。

（手順１）ある情報処理装置から、他の情報処理装置が有するポートをスキャンする、
（手順２）ある情報処理装置において、強い権限を有するアカウントを作成する、
（手順３）作成したアカウントを用いて、ライブラリ等のプログラムを書き換える、
（手順４）ある情報処理装置にて、感染したプログラムを実行する、
（手順５）ファイルを持ち出す。

したがって、本実施形態に係る診断装置１０１によれば、情報処理装置に関する診断を、上述した傾向が反映された所定の手順に従って段階的に実行することによって、情報処理システム７０１にて生じた異常の程度を正確に検知することができる。

尚、上述した例においては、診断装置１０１は、検知装置が検知した場合に、情報処理装置に関する進行度を算出したが、検知装置が検知した場合に作成した情報を参照することによって、情報処理装置に関する進行度を算出してもよい。診断装置１０１は、上述した例に限定されない。

＜第２の実施形態＞
次に、上述した第１の実施形態を基本とする本発明の第２の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図６を参照しながら、本発明の第２の実施形態に係る診断装置１１１が有する構成について詳細に説明する。図６は、本発明の第２の実施形態に係る診断装置１１１が有する構成を示すブロック図である。

第２の実施形態に係る診断装置１１１は、判定情報特定部１１２と、順序情報作成部１１３と、進行度算出部１１４と、進行度情報記憶部１１５とを有する。

診断装置１１１は、進行度情報記憶部１１５に格納されている進行度情報（図８に例示、後述）と、履歴情報記憶部２０２に格納されている履歴情報（図４に例示）とに基づき、情報処理装置に関する進行度を算出する。進行度情報は、必ずしも、進行度情報記憶部１１５に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。また、履歴情報は、必ずしも、履歴情報記憶部２０２に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。

以降においては、情報処理システム７０１における検知装置が検知した情報に基づき、診断装置１１１が診断する基となる進行度情報（図８に例示）について説明する。その後、図７を参照しながら、診断装置１１１における処理について説明する。

図８を参照しながら、進行度情報について説明する。図８は、進行度情報の一例を、説明の便宜上、テーブルとして概念的に表す図である。進行度情報は、必ずしも、図８に例示されているような態様を有している必要はなく、図４に例示されているような態様を有していてもよい。また、進行度情報は、必ずしも、進行度情報記憶部１１５に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。

進行度情報は、検知装置を表す名称と、該診断装置によって判定される進行度とが関連付けされている。進行度情報は、第１の実施形態にて上述した第１検知装置、乃至、第１０検知装置を、それぞれ表す名称を含んでいる。検知装置の名称は、たとえば、図５に例示された進行度情報における検知装置ＩＤ（「Ｄ１」、「Ｄ２」等）を表す。

進行度情報は、以下に示す９つの進行度を含んでいる。すなわち、
○「ネットワーク探索活動」：ある情報処理装置は、他の情報処理装置が脆弱性を有しているか否かを網羅的に調べる。たとえば、ある情報処理装置は、他の情報処理装置が有するポートが開放されているか否かを網羅的に調べる。すなわち、ある情報処理装置は、通信ネットワークを介して通信接続が可能か否かを調べる。

○「Ｃ＆Ｃ通信」：ある情報処理装置において確立した通信接続の回数は、他の情報処理装置において確立した通信接続の平均的な回数から乖離している。すなわち、該ある情報処理装置において確立した通信接続の回数は異常である。Ｃ＆Ｃは、Ｃｏｍｍａｎｄ＿ａｎｄ＿Ｃｏｎｔｒｏｌの略称を表す。

○「ラテラルムーブメント」：ある情報処理装置が、他の情報処理装置に侵入した場合に、通信ネットワークを介して、侵入した情報処理装置にて実行する処理を含む情報を、該侵入した情報処理装置に送信する。すなわち、ある情報処理装置は、通信ネットワークを介して侵入した侵入先にて実行する処理を含む処理情報を、該侵入先に送信する。

○「新規ユーザを作成し、権限を昇格」：ある情報処理装置においては、アクセス権を有したアカウントが作成され、さらに、該アカウントが使用される期間が、アカウントに関する平均的な使用期間に比べて乖離している。すなわち、ある情報処理装置においては、使用された期間が異常であるアカウントが設定される。

○「重要ファイルを検索」：ある情報処理装置においては、パスワードファイル等の所定のファイルが検索される。

○「プログラム、ＤＬＬ、設定ファイル、ログ等を書き換え」：ある情報処理装置において、ＤＬＬや、パスワードファイル、実行された処理を表す情報（ログ）等のファイルが更新される。ＤＬＬは、Ｄｙｎａｍｉｃ＿Ｌｉｎｋ＿Ｌｉｂｒａｒｙの略称を表す。

○「感染したプログラムを実行」：ある情報処理装置において、マルウェアである可能性が高い特定のプログラムが実行される。

○「重要ファイルにアクセス、破壊」：ある情報処理装置においては、パスワードファイル等の所定のファイルが読み取られる。さらに、該所定のファイルに対して、消去、または、復元不可能な形式に変換される等の処理が実行される。

○「重要ファイルを持ち出し」：ある情報処理装置において、パスワードファイル等の所定のファイルが通信ネットワークを介して送信される。

これらの進行度は、たとえば、図５に例示された進行度情報における検知装置ＩＤ（「Ｓ１」、「Ｓ２」等）を表す。該９つの進行度は、上から順に、マルウェア等の悪意を有するソフトウェアがある情報処理装置を攻撃する場合の手順として、本願発明者が見出した進行度である。

図８におけるテーブル形式に従い例示された進行度情報においては、進行度「ネットワーク探索活動」なる列、及び、名称「第１」、名称「第２」、及び、名称「第３」なる行において関連付けされて格納（マーキング）されている。尚、図８に例示された進行度情報においては、進行度、及び、名称が関連付けされている場合に、関連付けされている状態が丸印にて表されている。これは、たとえば、ある情報処理装置がネットワーク探索活動をしていると、第１検知装置、第２検知装置、及び、第３検知装置が検知した場合に、診断装置１１１が、該ある情報処理装置に関する進行度が進行度「ネットワーク探索活動」であると判定することを表す。

図８に例示された進行度情報においては、「Ｃ＆Ｃ通信」なる列にて、名称「第４」なる行に丸印が格納されている。これは、診断装置１１１によって進行度「ネットワーク探索活動」であると判定された情報処理装置に関して、さらに、第４検知装置が検知した場合に、該診断装置１１１が、該情報処理装置に関する進行度が「Ｃ＆Ｃ通信」であると判定することを表す。すなわち、診断装置１１１は、ある情報処理装置に関して、第１乃至第３検知装置が異常を検知し、その後、第４検知装置が異常を検知した場合に、該ある情報処理装置に関する進行度が進行度「Ｃ＆Ｃ通信」であると判定する。

図８に例示された進行度情報における進行度「ラテラルムーブメント」に関しても、診断装置１１１は、進行度「Ｃ＆Ｃ通信」に関して実行される処理と同様の処理を実行する。すなわち、診断装置１１１は、ある情報処理装置に関して、第１乃至第３検知装置が異常を検知し、その後、第４検知装置が異常を検知し、さらに、第１乃至第３検知装置が異常を検知した場合に、該ある情報処理装置に関する進行度が進行度「ラテラルムーブメント」であると判定する。

図８に例示された進行度情報においては、進行度「新規ユーザを作成し、権限を昇格」なる列にて、名称「第９」、及び、名称「第１０」なる行に丸印が格納されている。これは、診断装置１１１によって進行度「ラテラルムーブメント」であると判定された情報処理装置と通信した第２情報処理装置に関して、さらに、第９検知装置、及び、第１０検知装置が検知した場合の判定処理を表す。すなわち、該判定処理は、診断装置１１１が第２情報処理装置に関する進行度を進行度「新規ユーザを作成し、権限を昇格」と判定する処理である。

図８に例示された進行度情報においては、進行度「重要ファイルを検索」なる列にて、名称「第６」なる行に丸印が格納されている。これは、診断装置１１１によって進行度「新規ユーザを作成し、権限を昇格」であると判定された情報処理装置に関して、さらに、第６検知装置が検知した場合に、該診断装置１１１が、情報処理装置に関する進行度を進行度「重要ファイルを検索」と判定する処理を表す。

図８に例示された進行度情報における進行度「プログラム、ＤＬＬ、設定ファイル、ログ等を書き換え」、進行度「感染したプログラムを実行」、及び、進行度「重要ファイルにアクセス、破壊」に関して、診断装置１１１は、進行度「重要ファイルを検索」に関する処理と同様の処理を実行する。

図８に例示された進行度情報においては、進行度「重要ファイルを持ち出し」なる列にて、名称「第１」、及び、名称「第２」なる行に丸印が記憶されている。これは、診断装置１１１によって進行度「重要ファイルにアクセス、破壊」であると判定された情報処理装置に関して、さらに、第１検知装置、及び、第２検知装置が検知した場合に、該診断装置１１１が、該情報処理装置に関する進行度が進行度「重要ファイルを持ち出し」であると判定することを表す。すなわち、診断装置１１１は、ある情報処理装置（または、ある情報処理装置と通信した情報処理装置）に関して、進行度「ネットワーク探索活動」乃至進行度「重要ファイルにアクセス、破壊」であると順に判定し、さらに、第１検知装置、及び、第２検知装置が該ある情報処理装置を検知した場合に、進行度が「重要ファイルを持ち出し」であると判定する。

言い換えると、図８に例示された進行度情報は、各進行度に関して、検知装置が検知した順序（すなわち、図５に例示された進行度情報における判定情報）に基づき判定される基を表す情報である。診断装置１１１は、図８に例示された進行度情報に基づき情報処理装置がある進行度であるか否かを判定する場合に、該進行度情報から進行度の順に、丸印が付された検知装置の名称（検知装置ＩＤ）を読み取る。診断装置１１１は、読み取った情報（すなわち、図５における判定情報）に基づき、該情報処理装置が該ある進行度であるか否かを判定する。

図８に例示された進行度情報において、進行度「ネットワーク探索活動」、進行度「Ｃ＆Ｃ通信」、進行度「ラテラルムーブメント」、及び、進行度「重要ファイルを持ち出し」に関する判定処理は、通信ネットワークを介した通信処理に関する情報に基づき実行される。また、図８に例示された進行度情報において、進行度「新規ユーザを作成し、権限を昇格」、進行度「重要ファイルを検索」、及び、進行度「プログラム、ＤＬＬ、設定ファイル、ログ等を書き換え」は、情報処理装置（または、情報処理装置において実行されるプロセス）に関する情報に基づき実行される。同様に、進行度「感染したプログラムを実行」、及び、進行度「重要ファイルにアクセス、破壊」に関する判定処理は、情報処理装置（または、情報処理装置において実行されるプロセス）に関する情報に基づき実行される。

次に、図８に例示された進行度情報に関して、複数の検知装置にて検知される場合の処理について説明する。

進行度「ネットワーク探索活動」に関する検知処理について説明する。第１検知装置は、エージェントが作成した通信情報（監視結果情報の一例）に基づき、情報処理システム７０１における情報処理装置間の通信状況を表すトポロジー情報に基づき、多数の情報処理装置に対して通信が実行された情報処理装置（または、プロセス）を検知する。第２検知装置は、エージェントが作成したプロセスポート情報に基づき、情報処理装置において異常な通信を実行しているプロセスを検知する。第３検知装置は、第１検知装置が検知したプロセスと、第２検知装置が検知したプロセスとの間において共通しているプロセスを検知する。

進行度「ラテラルムーブメント」に関する検知処理について説明する。第１検知装置は、エージェントが作成した通信情報（監視結果情報の一例）に基づき、通信状況を表すトポロジー情報に基づき、たとえば、２つの情報処理装置間にて通信が実行される頻度が急激に増大した場合に、該２つの情報処理装置（または、プロセス）を検知する。第２検知装置は、エージェントが作成したプロセスポート情報に基づき、情報処理装置において異常な通信を実行しているプロセスを検知する。第３検知装置は、第１検知装置が検知したプロセスと、第２検知装置が検知したプロセスとの間において共通しているプロセスを検知する。

進行度「新規ユーザを作成し、権限を昇格」に関する検知処理について説明する。第９検知装置は、エージェントが作成したアカウント情報（監視結果情報の一例）を参照することによって、アカウントが使用されている時間が所定の間隔以上であるアカウントを検知する。第１０検知装置は、エージェントが作成したログイン情報を参照することによって、第９検知装置が検知したアカウントが使用されている時間を特定する。第１０検知装置は、特定した時間が、異なるアカウントが使用されている時間の平均値から乖離しており、かつ、該アカウントが広範なアクセス権を有している場合に、該アカウント（または、該情報処理装置）が異常であると検知する。

進行度「感染したプログラムを実行」に関する検知処理について説明する。第７検知装置は、エージェントが作成したシグネチャ情報（監視結果情報の一例）を複数の情報処理装置間に関して比較することによって、異なるシグネチャ情報であるプロセスが、ある情報処理装置にて実行されている場合に、該プロセスを検知する。第８検知装置は、エージェントが作成したプロセスファイル情報（監視結果情報の一例）を参照することによって、第７検知装置が検知したプロセスがアクセスしたファイルの個数が短期間に増大したか否かを判定する。第８検知装置は、ファイルの個数が短期間に増大している場合に、該プロセスを、感染したプログラムに関するプロセスとして検知する。第５検知装置は、エージェントが作成したユーザプロセス情報を参照することによって、第８検知装置が検知したプロセスをユーザが起動したか否かを判定する。第５検知装置は、ユーザが該プロセスを起動したと判定する場合に、該プロセスが起動された情報処理装置を、マルウェアである可能性が高いプログラムが実行された情報処理装置として検知する。

進行度「重要ファイルにアクセス、破壊」に関する検知処理について説明する。第５検知装置は、エージェントが作成したユーザプロセス情報（監視結果情報の一例）を参照することによって、マルウェアである可能性が高いソフトウェアに関して起動されたプロセスを検知する。第６検知装置は、エージェントが作成したプロセスファイル情報（監視結果情報の一例）を参照することによって、第５検知装置が検知したプロセスを表すプロセスＩＤに関連付けされたファイルＩＤを特定する。第６検知装置は、特定したファイルＩＤが、たとえば、ＤＬＬ等のファイルである場合に、該プロセスを検知する。

進行度「重要ファイルを持ち出し」に関する検知処理について説明する。第１検知装置は、エージェントが作成した通信情報（監視結果情報の一例）に基づき、情報処理システム７０１における情報処理装置間の通信状況を表すトポロジー情報を作成する。第１検知装置は、トポロジー情報に基づき、多数の情報処理装置に対して通信を実行した情報処理装置を検知する。さらに、第２検知装置は、エージェントが作成したプロセスポート情報（監視結果情報の一例）に基づき、異常な通信を実行しているプロセスを特定する。診断装置１１１は、進行度「重要ファイルを持ち出し」と判定した情報処理装置が、第１検知装置が検知した情報処理装置であり、さらに、第２検知装置したプロセスが、該情報処理装置において実行されている場合に、該情報処理装置に関する進行度が、進行度「重要ファイルを持ち出し」であると判定する。

尚、各進行度に関して実行される処理は、上述した例に限定されない。

次に、図７を参照しながら、本発明の第２の実施形態に係る診断装置１１１における処理について詳細に説明する。図７は、第２の実施形態に係る診断装置１１１における処理の流れを示すフローチャートである。

判定情報特定部１１２は、検知装置（説明の便宜上、第５検出装置であるとする）が出力した履歴情報を受信する（ステップＳ１１１）。上述したように、ステップＳ１１１において、判定情報特定部１１２は、たとえば、第５検出装置が履歴情報記憶部２０２に格納した履歴情報（図４に例示）を入力してもよい。判定情報特定部１１２は、進行度情報記憶部１１５に格納されている進行度情報（図８）を参照することによって、検知装置（この場合、第５検出装置）を表す検知装置ＩＤに関連付けされた進行度と、該検知装置ＩＤに関連付けされた判定情報とを特定する。

具体的に言い換えると、検知装置ＩＤが「第５」である場合に、判定情報特定部１１２は、履歴情報（図８に例示、丸印が格納されている領域）を参照することによって、「第５」と関連付けされた進行度「プログラム、ＤＬＬ、設定ファイル、ログ等を書き換え」を特定する（ステップＳ１１２）。さらに、判定情報特定部１１２は、進行度「感染したプログラムを実行」、及び、進行度「重要ファイルにアクセス、破壊」を特定する。判定情報特定部１１２は、進行度「プログラム、ＤＬＬ、設定ファイル、ログ等を書き換え」に関して、該進行度よりも前の進行度である進行度「ネットワーク探索活動」乃至進行度「重要ファイルを検索」を特定する（ステップＳ１１３）。判定情報特定部１１２は、さらに、進行度「感染したプログラムを実行」に関して、該進行度よりも前の進行度である進行度「ネットワーク探索活動」乃至進行度「プログラム、ＤＬＬ、設定ファイル、ログ等を書き換え」を特定する。

判定情報特定部１１２は、進行度「重要ファイルにアクセス、破壊」に関しても、進行度「ネットワーク探索活動」乃至進行度「感染したプログラムを実行」を特定する。以降の説明においては、説明の便宜上、進行度「プログラム、ＤＬＬ、設定ファイル、ログ等を書き換え」の場合の例を参照しながら、診断装置１１１における処理について説明する。また、進行度「感染したプログラムを実行」、及び、進行度「重要ファイルにアクセス、破壊」の場合の診断装置１１１における処理については、進行度「プログラム、ＤＬＬ、設定ファイル、ログ等を書き換え」の場合の診断装置１１１における処理と同様であるので、説明を省略する。

次に、判定情報特定部１１２は、特定した進行度を判定する場合に参照される情報を出力する検知装置ＩＤ（すなわち、各進行度に関して丸印が格納されている行における検知装置の名称）を特定し、特定した名称を、進行度の順（図８の左側から右側に向かう順）に特定する（ステップＳ１１４）。たとえば、判定情報特定部１１２は、進行度「ネットワーク探索活動」に関して、検知装置ＩＤ「第１」、検知装置ＩＤ「第２」、及び、検知装置ＩＤ「第３」を特定する。判定情報特定部１１２は、進行度「Ｃ＆Ｃ通信」に関して、検知装置ＩＤ「第４」を特定する。判定情報特定部１１２は、進行度「ラテラルムーブメント」に関して、検知装置ＩＤ「第１」、検知装置ＩＤ「第２」、及び、検知装置ＩＤ「第３」を特定する。判定情報特定部１１２は、進行度「新規ユーザを作成し、権限を昇格」に関して、検知装置ＩＤ「第９」、及び、検知装置ＩＤ「第１０」を特定する。さらに、判定情報特定部１１２は、進行度「重要ファイルを検索」に関して、検知装置ＩＤ「第６」を特定する。

ある進行度に関して複数の検知装置ＩＤが関連付けされている場合に、図５を参照しながら説明したように、各検知装置ＩＤが表す検知装置が処理することによって、ある情報処理装置が検知されるか否かが判定される。以降においては、説明の便宜上、ある進行度に関しては、１台の検知装置の判定結果によって、ある情報処理装置が検知されるか否かが判定されるとする。しかし、必ずしも、１台の検知装置が判定する判定結果によって、ある情報処理装置が検知されるか否かが判定されなくてもよい。

上記のように仮定する場合に、判定情報特定部１１２は、たとえば、検知装置ＩＤ「第１」、検知装置ＩＤ「第４」、検知装置ＩＤ「第１」、検知装置ＩＤ「第９」、及び、検知装置ＩＤ「第６」を順に含む判定情報を作成する（ステップＳ１１５）。

次に、順序情報作成部１１３は、履歴情報記憶部に格納されている履歴情報を参照することによって、第１タイミング以前のタイミングにて作成された履歴情報であって、第１情報処理装置に関する出力情報を含む履歴情報を特定する（ステップＳ１１６）。次に、順序情報作成部１１３は、特定した履歴情報に含まれている検知装置ＩＤが、該履歴情報に含まれているタイミングの順に並べられた順序情報を作成する（ステップＳ１１７）。尚、タイミングの順は、必ずしも、履歴情報が作成されたタイミングの順である必要はない。タイミングの順は、たとえば、履歴情報が作成されたタイミングの逆順であってもよいし、所定の順序に応じて検知装置ＩＤが並べられていればよい。

進行度算出部１１４は、順序情報作成部１１３が作成した順序情報に含まれている検知装置ＩＤが、判定情報特定部１１２が特定した判定情報に含まれている検知装置ＩＤの順に出現しているか否かを判定する（ステップＳ１１８）。進行度算出部１１４は、順序情報作成部１１３が作成した順序情報に含まれている検知装置ＩＤが、判定情報特定部１１２が特定した判定情報に含まれている検知装置ＩＤの順に出現していると判定する場合には（ステップＳ１１８にてＹＥＳ）、第１情報処理装置に関する進行度が、判定情報特定部１１２が特定した進行度であると判定する（ステップＳ１１９）。ステップＳ１１８にてＮＯの場合に、進行度算出部１１４は、ステップＳ１１９に示された処理を実行しない。

たとえば、進行度算出部１１４は、順序情報作成部１１３が作成した順序情報が、検知装置ＩＤ「第１」、検知装置ＩＤ「第４」、検知装置ＩＤ「第１」、検知装置ＩＤ「第９」、及び、検知装置ＩＤ「第６」を順に含んでいるか否かを判定する。進行度算出部１１４は、含んでいると判定する場合に、該情報処理装置の進行度が、進行度「プログラム、ＤＬＬ、設定ファイル、ログ等を書き換え」であると判定する。

次に、第２の実施形態に係る診断装置１１１に関する効果について説明する。

本実施形態に係る診断装置１１１によれば、情報処理システム７０１にて生じた異常の程度を正確に検知することができる。この理由は、第１の実施形態に係る診断装置１０１が該効果を奏した理由と同様である。

さらに、本実施形態に係る診断装置１１１によれば、一層正確に、情報処理システム７０１にて生じた異常の程度を正確に検知することができる。この理由は、本願発明者が見出した攻撃の手順に沿う順序にて進行度情報（図８）が作成されており、さらに、診断装置１１１が、該進行度情報に基づき、情報処理装置に関する異常を検知するからである。

＜第３の実施形態＞
図９を参照しながら、本発明の第３の実施形態に係る診断装置１２１が有する構成について詳細に説明する。図９は、本発明の第３の実施形態に係る診断装置１２１が有する構成を示すブロック図である。

第３の実施形態に係る診断装置１２１は、進行度特定部１２２と、進行度判定部１２３と、進行度更新部１２４とを有する。

診断装置１２１は、進行度情報記憶部２１２に格納されている進行度情報（図１１に例示、後述）を参照することができる。診断装置１２１は、装置情報記憶部２１１に格納されている装置情報（図１２に例示、後述）を、参照、及び、更新することができる。以降の説明においては、説明の便宜上、進行度情報は、進行度情報記憶部２１２に格納されているとするが、外部装置から受信してもよい。同様に、説明の便宜上、装置情報は、装置情報記憶部２１１に格納されているとするが、外部装置から受信してもよい。

図１１を参照しながら、進行度情報について説明する。図１１は、進行度情報記憶部２１２に格納されている進行度情報の一例を概念的に表す図である。進行度情報は、必ずしも、進行度情報記憶部２１２に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。

進行度情報は、検知装置を表す検知装置ＩＤと、情報処理装置に関する進行度と、該情報処理装置が該進行度であり、さらに、該検知装置ＩＤが表す検知装置が該情報処理装置に関する異常を検知した場合に、当該情報処理装置に設定される更新後の進行度（以降、「更新後進行度」）とが関連付けされた情報である。

図１１に例示された進行度情報において、検知装置ＩＤ「Ｄ４」と、進行度「Ｓ２」と、更新後進行度「Ｓ３」とが関連付けされている。これは、検知装置ＩＤ「Ｄ４」が表す検知装置がある情報処理装置に関する異常を検知した場合に、情報処理装置に関する進行度が進行度「Ｓ２」であれば、診断装置１２１が、当該情報処理装置に関する進行度を「Ｓ３」に更新することを表す。

図８に例示されているように、各進行度の前後の進行度が一意に決まっている場合に、進行度情報は、必ずしも、更新後進行度を含んでいる必要はなく、検知装置ＩＤと、情報処理装置に関する進行度とが関連付けされた情報であればよい。たとえば、進行度の順序が、Ｓ１、Ｓ２、Ｓ３、Ｓ４、及び、Ｓ５の順序であるとする。この場合に、診断装置１２１は、検知装置ＩＤ「Ｄ２」の検知装置によって作成された履歴情報に含まれている情報処理装置に関する進行度が進行度「Ｓ１」であれば、該順序に従い、該情報処理装置に関する進行度を進行度「Ｓ２」に更新することができる。

図１２を参照しながら、装置情報について説明する。図１２は、装置情報記憶部２１１に格納されている装置情報の一例を概念的に表す図である。装置情報は、必ずしも、装置情報記憶部２１１に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。

装置情報は、情報処理装置を一意に識別可能な処理装置ＩＤと、該情報処理装置に関する進行度とが関連付けされた情報である。たとえば、図１２に例示された装置情報においては、処理装置ＩＤ「Ｍ６」と、進行度「Ｓ２」とが関連付けされている。これは、処理装置ＩＤ「Ｍ６」が表す情報処理装置に関する進行度が進行度「Ｓ２」であることを表す。

尚、説明の便宜上、装置情報は、進行度が設定されている情報処理装置を表す処理装置ＩＤのみが格納されているとする。しかし、装置情報は、情報処理装置に進行度が設定されていない場合に、該情報処理装置を表す処理装置ＩＤと、進行度が設定されていないことを表す空値「」とが関連付けされた情報を含んでいてもよい。すなわち、装置情報は、図１２に例示された装置情報に限定されない。

次に、図１０を参照しながら、本発明の第３の実施形態に係る診断装置１２１における処理について詳細に説明する。図１０は、第３の実施形態に係る診断装置１２１における処理の流れを示すフローチャートである。

説明の便宜上、ある検知装置が、第１情報処理装置に関する異常を検知し、検知した異常を表す履歴情報（たとえば、図４における１つの行）を、第１タイミングにて出力したとする。第１タイミングは、第１検知装置が異常を検知したタイミング、または、ある検知装置が異常を検知した基である出力情報を、該情報処理装置におけるエージェントが作成した時刻であってもよい。すなわち、タイミング（この場合、「第１タイミング」）は、上述した例に限定されない。

進行度特定部１２２は、たとえば、ある検知装置が出力した履歴情報を受信する（ステップＳ１２１）。上述したように、ステップＳ１２１において、進行度特定部１２２は、たとえば、ある検知装置が履歴情報記憶部（不図示）に格納した履歴情報を入力してもよい。

進行度特定部１２２は、進行度情報記憶部２１２に格納されている進行度情報を参照することによって、ある検知装置を表す検知装置ＩＤに関連付けされた進行度と、該検知装置ＩＤに関連付けされた更新後進行度とを特定する（ステップＳ１２２）。

たとえば、進行度特定部１２２は、検知装置ＩＤ「Ｄ４」が表す検知装置が出力した履歴情報を受信した場合に、進行度情報（図１１に例示）において、検知装置ＩＤ「Ｄ４」に関連付けされた進行度「Ｓ２」と、検知装置ＩＤ「Ｄ４」に関連付けされた更新後進行度「Ｓ３」とを特定する。さらに、進行度特定部１２２は、検知装置ＩＤ「Ｄ４」が表す検知装置が出力した履歴情報を受信した場合に、進行度情報（図１１）において、検知装置ＩＤ「Ｄ４」に関連付けされた進行度「Ｓ３」と、検知装置ＩＤ「Ｄ４」に関連付けされた更新後進行度「Ｓ４」とを特定する。

次に、進行度判定部１２３は、検知装置が出力した履歴情報（たとえば、図４における１つの行）に含まれている出力情報から、処理装置ＩＤを読み取る（ステップＳ１２３）。進行度判定部１２３は、装置情報記憶部２１１に格納されている装置情報（図１２）を参照することによって、読み取った処理装置ＩＤに関連付けされた進行度を特定する（ステップＳ１２４）。

たとえば、履歴情報（図４）における出力情報が処理装置ＩＤ「Ｍ４」を含んでいる（すなわち、処理装置ＩＤ「Ｍ４」が表す情報処理装置に関する情報を検知装置が作成した）場合に、進行度判定部１２３は、装置情報（図１２）において、処理装置ＩＤ「Ｍ４」に関連付けされた進行度「Ｓ２」を特定する（ステップＳ１２４）。

進行度判定部１２３は、進行度情報に基づき特定した進行度と、装置情報に基づき特定した進行度とが一致するか否かを判定する（ステップＳ１２５）。進行度判定部１２３は、進行度情報に基づき特定した進行度と、装置情報に基づき特定した進行度とが一致すると判定する場合に（ステップＳ１２５にてＹＥＳ）、進行度判定部１２３は、読み取った処理装置ＩＤと、更新後進行度とが関連付けされた装置情報を作成する（ステップＳ１２６）。進行度判定部１２３は、作成した装置情報を装置情報記憶部２１１に格納する。進行度判定部１２３は、進行度情報に基づき特定した進行度と、装置情報に基づき特定した進行度とが一致しないと判定する場合に（ステップＳ１２５にてＮＯ）、ステップＳ１２６に示した処理を実行しない。言い換えると、進行度判定部１２３は、読み取った処理装置ＩＤに関する進行度に更新後進行度を設定することによって、装置情報記憶部２１１に格納されている装置情報（図１２）を更新する。

たとえば、進行度判定部１２３は、進行度情報に基づき特定した進行度「Ｓ２」と、処理装置ＩＤ「Ｍ４」に関する進行度「Ｓ２」とが一致するか否かを判定する（ステップＳ１２５）。この場合に該２つの進行度が一致しているので、進行度判定部１２３は、読み取った処理装置ＩＤ「Ｍ４」と、更新後進行度「Ｓ３」とが関連付けされた装置情報を作成する（ステップＳ１２６）。進行度判定部１２３は、作成した装置情報（図１３に例示）を装置情報記憶部２１１に格納する。図１３は、更新後の装置情報の一例を概念的に表す図である。

進行度判定部１２３は、検知装置ＩＤに関連付けされている進行度が複数である場合に、各進行度に関して、ステップＳ１２４乃至ステップＳ１２６に示された処理を実行する。また、装置情報が出力情報に含まれている処理装置ＩＤを含んでいない場合に、進行度判定部１２３は、該処理装置ＩＤに関する進行度が設定されていない（たとえば、進行度が空値「」である）と判定する。進行度判定部１２３は、装置情報に基づき特定した進行度が空値「」である場合に、ステップＳ１２５にて、進行度情報に基づき特定した進行度が空値「」であるか否かを判定する。言い換えれば、この処理は、情報処理装置に関する進行度が設定されていない場合に、進行度判定部１２３が実行する処理を表す。

また、診断装置１２１は、装置情報を表示装置（不図示）に表示してもよい。たとえば、診断装置１２１は、装置情報に含まれている処理装置ＩＤが表す情報処理装置を、丸印等のシンボルを用いて表示し、さらに、該シンボルに付されたラベルとして、該処理装置ＩＤに関連付けされた進行度を表示する表示態様に従い、装置情報を表示装置（不図示）に表示してもよい。表示態様は、上述した例に限定されない。

次に、第３の実施形態に係る診断装置１２１に関する効果について説明する。

本実施形態に係る診断装置１２１によれば、情報処理システム７０１にて生じた異常の程度を正確に検知することができる。この理由は、複数の検知装置が検知した結果を、単に、組み合わせることによって、診断装置１２１が進行度を判定するのではなく、さらに、進行度情報における判定情報に含まれている検知装置ＩＤの順序に従って、診断装置１２１が進行度を判定するからである。この理由について詳細に説明する。

本願発明者は、マルウェア等の悪意を有するソフトウェアがある情報処理装置を攻撃する場合の手順には、ある傾向があることを見出した。たとえば、該手順は、後述するような手順である。

（手順１）ある情報処理装置から、他の情報処理装置が有するポートをスキャンする、
（手順２）ある情報処理装置において、強い権限を有するアカウントを作成する、
（手順３）作成したアカウントを用いて、ライブラリ等のプログラムを書き換える、
（手順４）ある情報処理装置にて、感染したプログラムを実行する、
（手順５）ファイルを持ち出す。

したがって、本実施形態に係る診断装置１２１によれば、情報処理装置に関する診断を、上述した傾向に従い段階的に実行することによって、情報処理システム７０１にて生じた異常の程度を正確に検知することができる。

尚、上述した例においては、診断装置１２１は、検知装置が検知した場合に、情報処理装置に関する進行度を算出したが、検知装置が検知した場合に作成した情報を参照することによって、情報処理装置に関する進行度を算出してもよい。診断装置１２１は、上述した例に限定されない。

＜第４の実施形態＞
次に、上述した第３の実施形態を基本とする本発明の第４の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第３の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図１４を参照しながら、本発明の第４の実施形態に係る診断装置１３１が有する構成について詳細に説明する。図１４は、本発明の第４の実施形態に係る診断装置１３１が有する構成を示すブロック図である。

第４の実施形態に係る診断装置１３１は、進行度特定部１２２と、進行度判定部１２３と、進行度更新部１２４と、通信情報作成部１３２とを有する。

診断装置１３１は、進行度情報記憶部２１２に格納されている進行度情報（図１１に例示）、及び、通信情報記憶部２１３に格納されている通信情報（監視結果情報の一例）を参照することができる。診断装置１３１は、装置情報記憶部２１１に格納されている装置情報（図１２に例示）を、参照、及び、更新することができる。以降の説明においては、説明の便宜上、進行度情報は、進行度情報記憶部２１２に格納されているとするが、外部装置から受信してもよい。同様に、説明の便宜上、装置情報は、装置情報記憶部２１１に格納されているとするが、外部装置から受信してもよい。

本実施形態においては、説明の便宜上、装置情報は、進行度が設定されている情報処理装置を表す処理装置ＩＤと、該処理装置ＩＤに関する進行度とを含む（すなわち、装置情報は、空値を含まない）とする。さらに、進行度は、図８に例示されているように、順序付けされているとする。

次に、図１５を参照しながら、本発明の第４の実施形態に係る診断装置１３１における処理について詳細に説明する。図１５は、第４の実施形態に係る診断装置１３１における処理の流れを示すフローチャートである。

進行度特定部１２２と、進行度判定部１２３と、進行度更新部１２４とは、図１０のステップＳ１２１乃至ステップＳ１２６に示された処理を実行する（ステップＳ１３１）。

通信情報作成部１３２が参照する通信情報は、情報処理システム７０１において実行された通信に関する送信元（情報処理装置）を表す処理装置ＩＤ（以降、「送信元ＩＤ」と表す）と、該通信に関する送信先（情報処理装置）を表す処理装置ＩＤ（以降、「宛先ＩＤ」と表す）とが関連付けされた情報である。通信情報は、さらに、該通信が実行されたタイミング、及び、該通信にて送受信されたデータサイズ等の情報が関連付けされてもよい。

通信情報作成部１３２は、通信情報を参照することによって、送信元ＩＤと、宛先ＩＤとを特定する。通信情報作成部１３２は、該送信元ＩＤ、及び、該宛先ＩＤが、装置情報（図１３に例示）に含まれているか否かを判定する（ステップＳ１３２）。該送信元ＩＤ、及び、該宛先ＩＤが、装置情報に含まれている場合に（ステップＳ１３２にてＹＥＳ）、通信情報作成部１３２は、装置情報（図１３に例示）を参照することによって、送信元ＩＤに関連付けされた進行度（以降、「送信元進行度」と表す）と、宛先ＩＤに関連付けされた進行度（以降、「宛先進行度」と表す）とを特定する（ステップＳ１３３）。すなわち、通信情報作成部１３２は、ステップＳ１３３に示す処理において、送信元に関する進行度と、宛先に関する進行度とを特定する。

通信情報作成部１３２は、送信元進行度が、宛先進行度よりも後の進行度（すなわち、図８においては、より右側の進行度）であるか否かを判定する（ステップＳ１３４）。送信元進行度が宛先進行度よりも後の進行度である場合に（ステップＳ１３４にてＹＥＳ）、通信情報作成部１３２は、該送信元ＩＤと、該宛先ＩＤとが関連付けされた通信情報を作成する（ステップＳ１３５）。送信元進行度が宛先進行度よりも前の進行度である場合に（ステップＳ１３４にてＮＯ）、通信情報作成部１３２は、ステップＳ１３５及びステップＳ１３６に示された処理を実行しない。

通信情報作成部１３２は、各通信情報に関して、ステップＳ１３２乃至ステップＳ１３６に示された処理を実行する。

通信情報作成部１３２は、図１６に例示されているような表示態様１３５に従い、装置情報、及び、通信情報を表示する（ステップＳ１３６）。図１６は、表示態様の一例を表す図である。すなわち、
○装置情報に含まれている処理装置ＩＤが表す情報処理装置を、丸印等のシンボルを用いて表示する。

○該シンボルに付されたラベルとして、該処理装置ＩＤに関連付けされた進行度を表示する、
○作成した通信情報に含まれている送信元ＩＤを表すシンボルから、該送信元ＩＤに関連付けされた宛先ＩＤを表すシンボルに向かう矢印（矢線）を表示する。

すなわち、通信情報作成部１３２は、進行度が設定された装置情報に関して、進行度が後の情報処理装置から、進行度が前の情報処理装置に対してデータが送信されていた場合に、該２つの情報処理装置を表すシンボルと、該シンボル間の関連を表す矢印とを表示装置に表示する。通信情報作成部１３２は、さらに、各シンボルに関して、該シンボルの進行度を表すラベルを表示装置（不図示）に表示する。

図１６に例示された表示態様においては、グラフを用いて、装置情報、及び、通信情報が記述された一例が示されている。図１６に例示されたグラフは、第１節点乃至第７節点と、２つの節点を結ぶ矢印（枝）とを有する。第１節点乃至第７節点は、それぞれ、情報処理装置を表し、該情報処理装置に関する進行度が、当該節点の付近に、ラベルとして付されている（配置されている）。たとえば、第１節点の付近に付された（配置された）ラベルは、「進行度３」であり、第６節点の付近に付された（配置された）ラベルは、「進行度１」である。

矢印は、該矢印の方向に通信が実行されたこと、及び、該矢印の方向に進行度が前（すなわち、図８に例示された進行度情報において、より左側に位置する進行度）であることを表す。たとえば、第１節点から第６節点に向かう矢印は、第１節点が表す情報処理装置から第６節点が表す情報処理装置にデータが送信されたこと、及び、第１節点が表す情報処理装置が、第６節点が表す情報処理装置に比べて進行度が後であることを表す。すなわち、図１６に例示された表示態様においては、第１節点が表す情報処理装置が、第６節点が表す情報処理装置に比べて、一層、異常な状態であることを表す。言い換えれば、該矢印は、複数の異常な情報処理装置の間で、異常であると判定された通信を表す。

次に、第４の実施形態に係る診断装置１３１に関する効果について説明する。

本実施形態に係る診断装置１３１によれば、情報処理システム７０１にて生じた異常の程度を正確に検知することができる。この理由は、第３の実施形態に係る診断装置１２１が該効果を奏した理由と同様である。

さらに、本実施形態に係る診断装置１３１によれば、情報処理システム７０１において生じた異常の発生源である情報処理装置を容易に特定することができる。この理由は、通信情報作成部１３２が作成する通信情報（あるいは、通信情報を表示した表示（図１６に例示））を参照することによって、進行度が最も後である情報処理装置のうち、他の情報処理装置に対してデータを送信した情報処理装置を特定することができるからである。

＜第５の実施形態＞
次に、上述した各実施形態に共通している本発明の第５の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した各実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図１７を参照しながら、本発明の第５の実施形態に係る診断装置１４１が有する構成について詳細に説明する。図１７は、本発明の第５の実施形態に係る診断装置１４１が有する構成を示すブロック図である。

第５の実施形態に係る診断装置１４１は、判定情報特定部１４２と、順序情報作成部１４３と、進行度算出部１４４とを有する。

診断装置１４１は、進行度情報記憶部１４５に格納されている進行度情報（図１８に例示、後述）に基づき、情報処理装置に関する進行度を算出する。進行度情報は、必ずしも、進行度情報記憶部１４５に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。

情報処理システム７０１における第１検知装置は、情報処理システム７０１における第１情報処理装置に関する出力情報を、第１タイミングに診断装置１４１に対して出力する。

判定情報特定部１４２は、検知装置の順序を表す進行度情報（図１８、後述）のうち、第１検知装置の順番と該進行度情報において該順番以前にある検知装置の順序とを特定する。たとえば、進行度情報が図１８に例示された進行度情報であり、第１検知装置を表す検知装置ＩＤが「Ｄ４」である場合に、判定情報特定部１４２は、順番として、左端から数えた順番を表す「４」を特定し、さらに、４番目以前にある順序「Ｄ２、Ｄ１、Ｄ３」を特定する。

順序情報作成部１４３は、情報処理システム７０１における検知装置が、情報処理装置に関する出力情報を第２タイミングに出力した履歴を表す履歴情報（図４に例示）を参照することによって、第１タイミング以前の第２タイミングにて出力された出力情報のうち、第１情報処理装置に関する出力情報を特定する。順序情報作成部１４３は、特定した出力情報を出力した検知装置を表す検知装置ＩＤが、該第２タイミングの順に並べられた態様を表す順序情報を作成する。

進行度算出部１４４は、判定情報特定部１４２が特定した順序（たとえば、順序「Ｄ２、Ｄ１、Ｄ３」）に準じて、順序情報作成部１４３が作成した順序情報における検知装置ＩＤが出現しているか否かを判定する。進行度算出部１４４は、出現していると判定する場合には、第１情報処理装置に関して、異常である程度を表す進行度を、判定情報特定部１４２が特定した順番（たとえば、「４」）に応じて算出する。たとえば、進行度算出部１４４は、順番が「４」である場合に、進行度を「Ｓ４」として算出する。

図１８を参照しながら、進行度情報について詳細に説明する。図１８は、進行度情報記憶部１４５に格納されている進行度情報の一例を概念的に表す図である。進行度情報は、必ずしも、進行度情報記憶部１４５に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。

図１８に例示された進行度情報は、検知装置を表す検知装置ＩＤを複数含む情報である。たとえば、進行度情報は、検知装置ＩＤ「Ｄ２」、検知装置ＩＤ「Ｄ１」、検知装置ＩＤ「Ｄ３」、検知装置ＩＤ「Ｄ４」、及び、検知装置ＩＤ「Ｄ５」等の検知装置ＩＤを含む。各検知装置ＩＤが表す検知装置は、情報処理システム７０１における情報処理装置において発生する異常を検知し、検知した異常に関する出力情報を作成する。

次に、第５の実施形態に係る診断装置１４１に関する効果について説明する。

本実施形態に係る診断装置１４１によれば、情報処理システム７０１にて生じた異常の程度を正確に検知することができる。この理由は、複数の検知装置が検知した結果を、単に、組み合わせることによって、診断装置１４１が進行度を判定するのではなく、さらに、進行度情報に含まれている検知装置ＩＤの順序に従って検知された場合に、診断装置１４１が該順序に基づき進行度を判定するからである。

＜第６の実施形態＞
次に、上述した各実施形態に共通している本発明の第６の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した各実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図１９を参照しながら、本発明の第６の実施形態に係る診断装置１５１が有する構成について詳細に説明する。図１９は、本発明の第６の実施形態に係る診断装置１５１が有する構成を示すブロック図である。

第６の実施形態に係る診断装置１５１は、進行度特定部１５２と、進行度判定部１５３と、進行度更新部１５４とを有する。

診断装置１５１は、進行度情報記憶部１５５に格納されている進行度情報（図２０に例示、後述）を参照することができる。診断装置１５１は、装置情報記憶部２１１に格納されている装置情報（図１２に例示）を、参照、及び、更新することができる。以降の説明においては、説明の便宜上、進行度情報は、進行度情報記憶部１５５に格納されているとするが、外部装置から受信してもよい。同様に、説明の便宜上、装置情報は、装置情報記憶部２１１に格納されているとするが、外部装置から受信してもよい。

情報処理システム７０１における第１検知装置は、情報処理システム７０１における第１情報処理装置に関する出力情報を、第１タイミングに出力する。

進行度特定部１５２は、情報処理システム７０１における情報処理装置に関して、該情報処理装置が異常である程度を表す進行度を表す装置情報（図１２に例示）を参照することによって、第１情報処理装置に関する進行度を特定する。

進行度判定部１５３は、検知装置を識別可能な検知装置ＩＤと、進行度とが関連付けされた進行度情報（図２０に例示、後述）が、第１検知装置を表す検知装置ＩＤと、特定した進行度とが関連付けされた情報を含んでいるか否かを判定する。たとえば、第１検知装置を表す検知装置ＩＤが「Ｄ３」であり、第１情報処理装置に関する進行度が「Ｓ１」である場合には、進行度判定部１５３は、進行度情報が、検知装置ＩＤ「Ｄ３」及び進行度「Ｓ１」が関連付けされた情報を含んでいるか否かを判定する。

関連された情報が進行度情報に含まれている場合に、進行度更新部１５４は、第１情報処理装置に関する進行度を、特定した進行度に応じて算出する。たとえば、特定した進行度が「Ｓ１」である場合に、進行度更新部１５４は、第１情報処理装置に関する進行度として、進行度「Ｓ１」の１つ後の進行度「Ｓ２」を算出する。

図２０を参照しながら、進行度情報について説明する。図２０は、進行度情報記憶部１５５に格納されている進行度情報の一例を概念的に表す図である。進行度情報は、必ずしも、進行度情報記憶部１５５に格納されていなくともよく、たとえば、外部装置（不図示）等から受信されてもよい。

進行度情報は、検知装置を表す検知装置ＩＤと、情報処理装置に関する進行度とが関連付けされた情報である。

図２０に例示された進行度情報において、検知装置ＩＤ「Ｄ４」と、進行度「Ｓ２」とが関連付けされている。これは、検知装置ＩＤ「Ｄ４」が表す検知装置がある情報処理装置に関する異常を検知した場合に、情報処理装置に関する進行度が進行度「Ｓ２」であれば、診断装置１５１が、当該情報処理装置に関する進行度を更新することを表す。

次に、第６の実施形態に係る診断装置１５１に関する効果について説明する。

本実施形態に係る診断装置１５１によれば、情報処理システム７０１にて生じた異常の程度を正確に検知することができる。この理由は、複数の検知装置が検知した結果を、単に、組み合わせることによって、診断装置１５１が進行度を判定するのではなく、さらに、進行度情報における判定情報に含まれている検知装置ＩＤの順序に従って検知された場合に、診断装置１５１が該順序に基づき進行度を判定するからである。

（ハードウェア構成例）
上述した本発明の各実施形態における診断装置を、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、係る診断装置は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現してもよい。また、係る診断装置は、専用の装置として実現してもよい。

図２１は、第１の実施形態乃至第６の実施形態に係る診断装置を実現可能な計算処理装置のハードウェア構成例を概略的に示す図である。計算処理装置２０は、中央処理演算装置（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ、以降「ＣＰＵ」と表す）２１、メモリ２２、ディスク２３、不揮発性記録媒体２４、及び、通信インターフェース（以降、「通信ＩＦ」と表す）２７を有する。計算処理装置２０には、入力装置２５、及び、出力装置２６が接続されていてもよい。計算処理装置２０は、通信ＩＦ２７を介して、他の計算処理装置、及び、通信装置と情報を送受信することができる。

不揮発性記録媒体２４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ）、デジタルバーサタイルディスク（Ｄｉｇｉｔａｌ＿Ｖｅｒｓａｔｉｌｅ＿Ｄｉｓｃ）である。また、不揮発性記録媒体２４は、ユニバーサルシリアルバスメモリ（ＵＳＢメモリ）、ソリッドステートドライブ（Ｓｏｌｉｄ＿Ｓｔａｔｅ＿Ｄｒｉｖｅ）等であってもよい。不揮発性記録媒体２４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。不揮発性記録媒体２４は、上述した媒体に限定されない。また、不揮発性記録媒体２４の代わりに、通信ＩＦ２７、及び、通信ネットワークを介して係るプログラムを持ち運びしてもよい。

すなわち、ＣＰＵ２１は、ディスク２３に記憶されているソフトウェア・プログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際にメモリ２２にコピーし、演算処理を実行する。ＣＰＵ２１は、プログラム実行に必要なデータをメモリ２２から読み取る。表示が必要な場合には、ＣＰＵ２１は、出力装置２６に出力結果を表示する。外部からプログラムを入力する場合、ＣＰＵ２１は、入力装置２５からプログラムを読み取る。ＣＰＵ２１は、上述した図１、図２、図６、図９、図１４、図１７、または、図１９に示す各部が表す機能（処理）に対応するところのメモリ２２にある診断プログラム（図３、図７、図１０、または、図１５）を解釈し実行する。ＣＰＵ２１は、上述した本発明の各実施形態において説明した処理を順次実行する。

すなわち、このような場合、本発明は、係る診断プログラムによっても成し得ると捉えることができる。さらに、係る診断プログラムが記録されたコンピュータが読み取り可能な不揮発性の記録媒体によっても、本発明は成し得ると捉えることができる。

以上、上述した実施形態を模範的な例として本発明を説明した。しかし、本発明は、上述した実施形態には限定されない。すなわち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。

尚、上述した各実施形態の一部又は全部は、以下の付記のようにも記載されうる。しかし、上述した各実施形態により例示的に説明した本発明は、以下には限られない。

（付記１）
第１検知装置が第１情報処理装置に関して第１タイミングに出力した出力情報に対して、前記第１検知装置を含む検知装置の順序を表す進行度情報のうち、前記第１検知装置の順番と、その順番より前位の前記検知装置の順序とを特定する判定情報特定手段と、
前記検知装置が情報処理装置に関して第２タイミングに出力情報を出力した履歴を表す履歴情報に基づいて、前記第１タイミング以前の前記第２タイミングにて前記第１情報処理装置に関する前記出力情報を出力した前記検知装置が、前記第２タイミングの順に並べられた順序を表す順序情報を作成する順序情報作成手段と、
前記順序情報において前記検知装置が、前記判定情報特定手段が特定した前記順序に準じて出現している場合には、前記第１情報処理装置にて生じた異常の程度を表す進行度を、前記判定情報特定手段が特定した前記順番に応じて算出する進行度算出手段と
を備える診断装置。

（付記２）
前記進行度情報を格納している進行度記憶手段
をさらに備え、
前記進行度情報は、前記検知装置を識別可能な検知装置識別子と、前記進行度と、所定の順序に従い０個以上の前記検知装置識別子が並べられた判定情報とが関連付けされた情報であり、
前記判定情報特定手段は、前記第１検知装置を表す前記第１検知装置識別子に関連付けされた前記進行度と、前記第１検知装置を表す前記第１検知装置識別子に関連付けされた前記判定情報とを特定し、
前記進行度算出手段は、前記判定情報特定手段が特定した前記進行度を、前記第１情報処理装置に関する前記進行度として算出する
付記１に記載の診断装置。

（付記３）
前記履歴情報は、前記検知装置識別子と、前記検知装置識別子が表す前記検知装置が情報処理装置に関する出力情報を出力した前記第２タイミングと、前記情報処理装置を表す処理装置識別子とが関連付けされた情報であり、
前記順序情報作成手段は、前記第１情報処理装置を表す第１処理装置識別子に関連付けされた前記タイミングが前記第１タイミング以前である前記履歴情報に関して、前記第１処理装置識別子に関連付けされた前記検知装置識別子が、前記第１処理装置識別子に関連付けされた前記タイミングの順に並べられた前記順序情報を作成する
付記１または付記２に記載の診断装置。

（付記４）
前記進行度情報に格納されている前記所定の順序は、通信ネットワークを介して通信接続が可能か否かを調べる処理体を検知する検知装置の次に、確立した通信接続の回数が異常である処理体を検知する検知装置である順序を含む
付記２に記載の診断装置。

（付記５）
前記進行度情報に格納されている前記所定の順序は、確立した通信接続の回数が異常である処理体を検知する検知装置の次に、通信ネットワークを介して侵入した侵入先にて実行する処理を含む処理情報を該侵入先に送信する処理体を検知する検知装置である順序を含む
付記２に記載の診断装置。

（付記６）
前記進行度情報に格納されている前記所定の順序は、通信ネットワークを介して侵入した侵入先にて実行する処理を含む処理情報を該侵入先に送信する処理体を検知する検知装置の次に、使用された期間が異常であるアカウントが設定された処理体を検知する検知装置である順序を含む
付記２に記載の診断装置。

（付記７）
前記進行度情報に格納されている前記所定の順序は、使用された期間が異常であるアカウントが設定された処理体を検知する検知装置の次に、所定のファイルを検索する処理体を検知する検知装置である順序を含む
付記２に記載の診断装置。

（付記８）
前記進行度情報に格納されている前記所定の順序は、所定のファイルを検索する処理体を検知する検知装置の次に、実行された処理を表す情報を更新する処理体を検知する検知装置の順序を含む
付記２に記載の診断装置。

（付記９）
前記進行度情報に格納されている前記所定の順序は、実行された処理を表す情報を更新する処理体を検知する検知装置の次に、特定のプログラムを実行する処理体を検知する検知装置である順序を含む
付記２に記載の診断装置。

（付記１０）
前記進行度情報に格納されている前記所定の順序は、特定のプログラムを実行する処理体を検知する検知装置の次に、所定のファイルを読み取る処理体を検知する検知装置である順序を含む
付記２に記載の診断装置。

（付記１１）
前記進行度情報に格納されている前記所定の順序は、所定のファイルを読み取る処理体を検知する検知装置の次に、前記所定のファイルを、通信ネットワークを介して送信する処理体を検知する検知装置である順序を含む
付記２に記載の診断装置。

（付記１２）
第１検知装置が第１情報処理装置に関して第１タイミングに出力した出力情報に対して、前記第１検知装置を含む検知装置の順序を表す進行度情報のうち、前記第１検知装置の順番と、その順番より前位の前記検知装置の順序とを特定し、
前記検知装置が情報処理装置に関して第２タイミングに出力情報を出力した履歴を表す履歴情報に基づいて、前記第１タイミング以前の前記第２タイミングにて前記第１情報処理装置に関する前記出力情報を出力した前記検知装置が、前記第２タイミングの順に並べられた順序を表す順序情報を作成し、
前記順序情報において前記検知装置が、特定された前記順序に準じて出現している場合には、前記第１情報処理装置にて生じた異常の程度を表す進行度を、特定された前記順番に応じて算出する
診断方法。

（付記１３）
第１検知装置が第１情報処理装置に関して第１タイミングに出力した出力情報に対して、前記第１検知装置を含む検知装置の順序を表す進行度情報のうち、前記第１検知装置の順番と、その順番より前位の前記検知装置の順序とを特定する判定情報特定機能と、
前記検知装置が情報処理装置に関して第２タイミングに出力情報を出力した履歴を表す履歴情報に基づいて、前記第１タイミング以前の前記第２タイミングにて前記第１情報処理装置に関する前記出力情報を出力した前記検知装置が、前記第２タイミングの順に並べられた順序を表す順序情報を作成する順序情報作成機能と、
前記順序情報において前記検知装置が、前記判定情報特定機能によって特定された前記順序に準じて出現している場合には、前記第１情報処理装置にて生じた異常の程度を表す進行度を、前記判定情報特定機能によって特定された前記順番に応じて算出する進行度算出機能と
をコンピュータに実現させる診断プログラムが記録された記録媒体。

この出願は、２０１５年１２月９日に出願された日本出願特願２０１５−２３９８２８を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１０１ 診断装置
１０２ 判定情報特定部
１０３ 順序情報作成部
１０４ 進行度算出部
２０１ 進行度情報記憶部
２０２ 履歴情報記憶部
７０１ 情報処理システム
７０２ 監視装置
７０３ 検知装置
７０４ 検知装置
７０５ 情報処理装置
７０６ 情報処理装置
７０７ エージェント
７０８ エージェント
７０９ 履歴情報記憶部
１１１ 診断装置
１１２ 判定情報特定部
１１３ 順序情報作成部
１１４ 進行度算出部
１１５ 進行度情報記憶部
１２１ 診断装置
１２２ 進行度特定部
１２３ 進行度判定部
１２４ 進行度更新部
２１１ 装置情報記憶部
２１２ 進行度情報記憶部
１３１ 診断装置
１３２ 通信情報作成部
２１３ 通信情報記憶部
１５１ 診断装置
１５２ 進行度特定部
１５３ 進行度判定部
１５４ 進行度更新部
１５５ 進行度情報記憶部
２０ 計算処理装置
２１ ＣＰＵ
２２ メモリ
２３ ディスク
２４ 不揮発性記録媒体
２５ 入力装置
２６ 出力装置
２７ 通信ＩＦ

Claims (10)

1. 第１検知装置が第１情報処理装置に関して第１タイミングに出力した出力情報に対して、前記第１検知装置を含む検知装置の順序を表す進行度情報のうち、前記第１検知装置の順番と、その順番より前位の前記検知装置の順序とを特定する判定情報特定手段と、
   前記検知装置が情報処理装置に関して第２タイミングに出力情報を出力した履歴を表す履歴情報に基づいて、前記第１タイミング以前の前記第２タイミングにて前記第１情報処理装置に関する前記出力情報を出力した前記検知装置が、前記第２タイミングの順に並べられた順序を表す順序情報を作成する順序情報作成手段と、
   前記順序情報において前記検知装置が、前記判定情報特定手段が特定した前記順序に準じて出現している場合には、前記第１情報処理装置にて生じた異常の程度を表す進行度を、前記判定情報特定手段が特定した前記順番に応じて算出する進行度算出手段と
   を備える診断装置。
2. 前記進行度情報を格納している進行度記憶手段
   をさらに備え、
   前記進行度情報は、前記検知装置を識別可能な検知装置識別子と、前記進行度と、所定の順序に従い０個以上の前記検知装置識別子が並べられた判定情報とが関連付けされた情報であり、
   前記判定情報特定手段は、前記第１検知装置を表す第１検知装置識別子に関連付けされた前記進行度と、前記第１検知装置を表す前記第１検知装置識別子に関連付けされた前記判定情報とを特定し、
   前記進行度算出手段は、前記判定情報特定手段が特定した前記進行度を、前記第１情報処理装置に関する前記進行度として算出する
   請求項１に記載の診断装置。
3. 前記履歴情報は、前記検知装置識別子と、前記検知装置識別子が表す前記検知装置が情報処理装置に関する出力情報を出力した前記第２タイミングと、前記情報処理装置を表す処理装置識別子とが関連付けされた情報であり、
   前記順序情報作成手段は、前記第１情報処理装置を表す第１処理装置識別子に関連付けされたタイミングが前記第１タイミング以前である前記履歴情報に関して、前記第１処理装置識別子に関連付けされた前記検知装置識別子が、前記第１処理装置識別子に関連付けされた前記タイミングの順に並べられた前記順序情報を作成する
   請求項２に記載の診断装置。
   
   
4. 前記進行度情報に格納されている前記所定の順序は、通信ネットワークを介して通信接続が可能か否かを調べる処理体を検知する検知装置の次に、確立した通信接続の回数が異常である処理体を検知する検知装置である順序を含む
   請求項２に記載の診断装置。
5. 前記進行度情報に格納されている前記所定の順序は、確立した通信接続の回数が異常である処理体を検知する検知装置の次に、通信ネットワークを介して侵入した侵入先にて実行する処理を含む処理情報を該侵入先に送信する処理体を検知する検知装置である順序を含む
   請求項２に記載の診断装置。
6. 前記進行度情報に格納されている前記所定の順序は、通信ネットワークを介して侵入した侵入先にて実行する処理を含む処理情報を該侵入先に送信する処理体を検知する検知装置の次に、使用された期間が異常であるアカウントが設定された処理体を検知する検知装置である順序を含む
   請求項２に記載の診断装置。
7. 前記進行度情報に格納されている前記所定の順序は、使用された期間が異常であるアカウントが設定された処理体を検知する検知装置の次に、所定のファイルを検索する処理体を検知する検知装置である順序を含む
   請求項２に記載の診断装置。
8. 前記進行度情報に格納されている前記所定の順序は、所定のファイルを検索する処理体を検知する検知装置の次に、実行された処理を表す情報を更新する処理体を検知する検知装置の順序を含む
   請求項２に記載の診断装置。
9. 情報処理装置によって、第１検知装置が第１情報処理装置に関して第１タイミングに出力した出力情報に対して、前記第１検知装置を含む検知装置の順序を表す進行度情報のうち、前記第１検知装置の順番と、その順番より前位の前記検知装置の順序とを特定し、
   前記検知装置が情報処理装置に関して第２タイミングに出力情報を出力した履歴を表す履歴情報に基づいて、前記第１タイミング以前の前記第２タイミングにて前記第１情報処理装置に関する前記出力情報を出力した前記検知装置が、前記第２タイミングの順に並べられた順序を表す順序情報を作成し、
   前記順序情報において前記検知装置が、特定された前記順序に準じて出現している場合には、前記第１情報処理装置にて生じた異常の程度を表す進行度を、特定された前記順番に応じて算出する
   診断方法。
10. 第１検知装置が第１情報処理装置に関して第１タイミングに出力した出力情報に対して、前記第１検知装置を含む検知装置の順序を表す進行度情報のうち、前記第１検知装置の順番と、その順番より前位の前記検知装置の順序とを特定する判定情報特定機能と、
    前記検知装置が情報処理装置に関して第２タイミングに出力情報を出力した履歴を表す履歴情報に基づいて、前記第１タイミング以前の前記第２タイミングにて前記第１情報処理装置に関する前記出力情報を出力した前記検知装置が、前記第２タイミングの順に並べられた順序を表す順序情報を作成する順序情報作成機能と、
    前記順序情報において前記検知装置が、前記判定情報特定機能によって特定された前記順序に準じて出現している場合には、前記第１情報処理装置にて生じた異常の程度を表す進行度を、前記判定情報特定機能によって特定された前記順番に応じて算出する進行度算出機能と
    をコンピュータに実現させる診断プログラム。

Images