JP6917934B2 - 特徴選択装置および特徴選択方法 - Google Patents

Description

本発明は、特徴選択装置および特徴選択方法に関する。

近年、ウィルスやスパイウェア等のマルウェアの感染や、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉｅｄ ｏｆ Ｓｅｒｖｉｃｅ）攻撃等のサイバー攻撃に対して、その被害を抑えることを目的としたＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）サービスが普及しつつある。

ＳＯＣサービスでは、攻撃手法の進化等に伴い、セキュリティ製品から得られるログ等をデータ解析基盤で相関分析し、未知の攻撃やマルウェア感染端末の検知等を実施している。

こうしたＳＯＣサービスでは、様々なログからインシデントを分析し、インシデントが悪性か否か、悪性の場合はインシデントの危険度や重要度を判定する。より多くのシステムを監視し、多数のインシデントを迅速に分析するため、判定結果を得るための分析ロジックすなわちインシデントに関するログの着目すべき特徴とその状態はルール化されたりログを機械学習することでモデル化される。

一般に、サイバー攻撃は、日々新たな手法が発生して攻撃内容や攻撃方法が移り変わっており、トレンド変化が激しい。ある時点で最適なインシデントの判定モデルも時間が経つとトレンドと乖離するため判定精度が落ちる。そのため、日々、サイバー攻撃のトレンド変化に沿った判定モデルの更新が必要となる。

判定モデル更新の方法の１つに、インシデントの悪性を判定するためのログの特徴を選択、更新する方法がある。ここで、１つの判定モデルは、数百から数百万以上の特徴を監視し得る。また、サービス利用者（以下、顧客という）毎、顧客のシステム毎にシステムの特性や守るべき対象、受ける攻撃の種類などが異なるため、監視する特徴が異なる。さらに、日々、様々なセキュリティ製品、サービスおよびツールがリリースされ、学会等においては新たなサイバー攻撃検知技術が提案されており、判定モデル更新に向けて追加候補となる新たな特徴（以下、新特徴という場合がある）は多数存在する。

そのため、顧客毎やシステム毎の判定モデルにどの新特徴を追加すれば判定精度が向上するかという判断が難しく、例えば経験に基づいて新特徴を選択して新特徴のデータを収集し、判定モデルを更新して判定精度が維持されたか検証するといった手順を踏むことになる。そうすると、判定モデルを更新し判定精度を維持するための時間やコストが膨大となるため、判定モデルを更新するための特徴を迅速に選択する技術が求められている。

また、一般に、ＳＯＣサービスにおけるインシデントの判定モデルはブラックボックス化しており、顧客は判定モデルの精度をサイバー攻撃のトレンドに追従しているかという観点で判断することは困難である。そのため、判定モデルの精度維持、向上はＳＯＣサービス提供者に委ねることになり、顧客による能動的なセキュリティ確保が難しいという問題がある。顧客毎に、判定モデルとサイバー攻撃のトレンドとの乖離を考慮し、必要なときに必要な特徴の追加による判定モデルの更新を実現する技術が必要となっている。

ここで、特許文献１には、特徴選択装置に関し、「システムは、ファイル内に含まれる情報から抽出した特徴の候補群に対し、実験計画法で用いられる直交表により特徴の試行の組み合わせを作成する。そして、システムは、検証用のファイルの分類結果と、推論データのファイルそれぞれがマルウェアか否かの正解情報とを照合することにより、当該特徴の組み合わせによる分類（判定）精度を算出する。その後、システムは、算出に用いた特徴を説明変数とし、当該特徴を用いた場合の分類精度を目的関数とした回帰分析による候補それぞれの寄与度の大きさ計算する。そして、システムはその寄与度の大きさにより特徴を選択し、その選択結果を出力する。」と記載されている。

特開２０１６−３１６２９号公報

特許文献１に記載の特徴選択装置は、機械学習における特徴選択の試行回数削減に関する手順が開示されている。一方で、同文献の特徴選択装置は、特徴を選択するために特徴の実データを収集し、学習データを作成して判定モデルを作成する。

しかしながら、インシデント判定モデルに追加すべき特徴の選択においては、例えばセキュリティ製品や新技術を導入する前段階のため、実データを収集しておらず、特許文献１の技術を適用することはできない。また、実データを収集するには、セキュリティ製品の購入や新技術のプログラム実装、実データを収集するためのシステム構築、数万以上の検体の実行によるデータ収集が必要となる。また、多種多様の新特徴すべての実データを収集し、判定モデルを構築して精度を比較して、これらの特徴を選択するには膨大な時間とコストがかかる、という問題がある。

本発明は、上記課題に鑑みてなされたものであり、環境の変化に伴うインシデント分析の判定モデルにおける特徴の変更の検討を補助することができる特徴選択装置の提供を目的とする。

本願は、上記課題の少なくとも一部を解決する手段を複数含んでいるが、その例を挙げるならば、以下のとおりである。上記の課題を解決する本発明の一態様に係る特徴選択装置は、インシデント判定モデルへの追加候補となる新特徴の評価値を算出する評価値算出部を備え、前記評価値算出部は、前記新特徴と、前記インシデント判定モデルの現在の特徴であって前記新特徴に類似する現特徴と、の類似度と、前記新特徴と、情報セキュリティ上の流行しているサイバー攻撃の特徴であって前記新特徴に類似する関連トレンド特徴と、の類似度と、前記関連トレンド特徴と、顧客の特性を示す顧客特性と、の類似度と、を算出し、前記新特徴と前記類似現特徴との類似度と、前記新特徴と前記関連トレンド特徴との類似度と、前記関連トレンド特徴と前記顧客特性との合致度と、を用いて前記新特徴の評価値を算出する。

本発明に係る特徴選択装置によれば、環境の変化に伴うインシデント分析の判定モデルにおける特徴の変更の検討を補助することができる。

本発明の一実施形態に係る特徴選択システムの概略構成の一例を示した図である。 本発明の一実施形態に係る特徴選択装置の機能構成の一例を示した機能ブロック図である。 本発明の一実施形態に係る学習データの一例を示した図である。 本発明の一実施形態に係る顧客管理情報の一例を示した図である。 本発明の一実施形態に係る現特徴管理情報の一例を示した図である。 本発明の一実施形態に係るトレンド管理情報の一例を示した図である。 本発明の一実施形態に係る評価値管理情報の一例を示した図である。 本発明の一実施形態に係る特徴選択装置のハードウェア構成の一例を示した図である。 本発明の一実施形態に係る顧客情報管理処理の一例を示したフロー図である。 本発明の一実施形態に係る特徴管理処理の一例を示したフロー図である。 本発明の一実施形態に係るトレンド管理処理の一例を示したフロー図である。 本発明の一実施形態に係る新特徴評価値更新処理の一例を示したフロー図である。 本発明の一実施形態に係る新特徴の評価結果情報を示した画面例である。

以下、本発明の一実施形態に係る特徴選択装置１００について図面を用いて説明する。

図１は、本発明に係る特徴選択装置を含む特徴選択システムの概略構成の一例を示した図である。特徴選択システムは、コンピュータシステム１Ａ、１Ｂと、セキュリティ関連情報１０と、特徴選択装置１００と、ＳＯＣ管理装置４００とを有している。なお、特徴選択装置１００は、ネットワーク３を介してコンピュータシステム１Ａ、１ＢおよびＳＯＣ管理装置４００と相互通信可能に接続されている。なお、特徴選択装置１００に接続されるコンピュータシステムの台数は特に制限されるものではなく、例えば１００台であっても１０００台以上であっても良い。

また、特徴選択装置１００は、ネットワーク４を介して、セキュリティ関連情報１０に接続されている。なお、ネットワーク３、４は、例えばインターネット等の公衆網やＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）などである。

コンピュータシステム１Ａ、１Ｂは、例えばセキュリティ製品を提供するセキュリティ企業あるいはセキュリティに関する情報を収集および公開するセキュリティ機関などが保有し、独自にセキュリティ情報を収集および分析するシステムに設置された物理的なコンピュータハードウェアであるサーバ計算機などである。

コンピュータシステム１Ａ、１Ｂは、セキュリティ脅威情報２Ａ、２Ｂを有している。セキュリティ脅威情報２Ａ、２Ｂは、サイバー攻撃に関する情報である。具体的には、セキュリティ脅威情報２Ａ、２Ｂは、例えばＳＴＩＸ（Ｓｔｒｕｃｔｕｒｅｄ Ｔｈｒｅａｔ Ｉｎｆｏｒｍａｔｉｏｎ ｅＸｐｒｅｓｓｉｏｎ）といったサイバー攻撃を記述するための規格に沿ったサイバー攻撃情報あるいはセキュリティ企業やセキュリティ機関が独自に提供する形式のサイバー攻撃情報である。

より具体的には、セキュリティ脅威情報２Ａ、２Ｂには、流行しているサイバー攻撃の特徴を示すトレンド特徴、危険度、攻撃手法およびシステムなど、後述のトレンド管理情報２２０の各項目に相当する情報と、セキュリティ脅威情報２Ａ、２Ｂの送信元であるコンピュータシステム１Ａ、１Ｂの識別情報とが含まれている。コンピュータシステム１Ａ、１Ｂは、ネットワーク３を介して定期的（例えば、情報の更新時や各日の所定時刻など）にセキュリティ脅威情報２Ａ、２Ｂを特徴選択装置１００に送信する。

セキュリティ関連情報１０は、セキュリティに関する複数の情報を有し、例えばシステム上のデータベースに格納されている。具体的には、セキュリティ関連情報１０は、顧客情報５、学習データ６、判定モデル７、トレンド関連情報８および新特徴情報９を有している。なお、本実施形態では、セキュリティ関連情報１０は、例えば特徴選択装置１００あるいはＳＯＣ管理装置４００を保有する企業と同一の企業により管理されているものとする。

顧客情報５は、ＳＯＣサービスの提供を受ける顧客に関する情報である。顧客情報５には、ＳＯＣサービス契約書や、顧客毎のＳＯＣ運用履歴、攻撃を受けた履歴および統計データなどが含まれる。具体的には、顧客情報５には、「顧客Ａは、業界が金融で、ＳＯＣサービスの対象はＷｅｂシステムで、日本に存在する」、「過去にＤＤｏＳ攻撃を多く受けた」といった情報が含まれる。

このような顧客情報５の内容は、後述の顧客管理情報２００の各項目に対応している。

学習データ６は、インシデントの判定モデル７を作成するために用いられる情報である。例えば、学習データ６は、少なくとも検体と、検体毎の特徴と、実データと、判定結果とに関する情報と、を有している。

図３は、学習データ６の一例を示した図である。図示する例では、学習データ６は、顧客別に生成されている。また、例えば顧客Ａに関する学習データ６において、検体６Ａは、「ａ」、「ｂ」および「ｃ」などのインシデントのトリガとなる検体すなわち不審なＩＰアドレスやＵＲＬおよびファイルなどの検体を識別する情報である。また、「ＨＫＥＹ＿ＣＵＲＲＥＮＴ＿ＵＤＥＲ￥Ｓｏｆｔｗａｒｅ￥Ｍｉｃｒｏｓｏｆｔ￥Ｃｏｍｍａｎｄ Ｐｒｏｃｅｓｓｏｒへのアクセス」６Ｂ、「通信先の国名」６Ｃおよび「ＸｗＣｒｅａｔｅＦｉｌｅの定期的な実行」６Ｄは、検体の特徴を示す情報である。また、「あり」、「なし」、「北朝鮮」、「日本」、「ロシア」は、検体の特徴に対する実データである。また、悪性判定６Ｅは、検体が悪性か否かを示す情報であり、悪性度６Ｆは、検体の悪性度を示す情報である。また、「悪性」および「良性」は、悪性判定６Ｅの結果を示す情報であり、「８」、「０．３」および「４」は、悪性度６Ｆの値を示す情報である。

例えば、図３のレコード６Ｇは、「顧客Ａのシステムにおいては、検体ａは、ＨＫＥＹ＿ＣＵＲＲＥＮＴ＿ＵＤＥＲ￥Ｓｏｆｔｗａｒｅ￥Ｍｉｃｒｏｓｏｆｔ￥Ｃｏｍｍａｎｄ Ｐｒｏｃｅｓｓｏｒへのアクセスへのアクセスがあり、通信先の国名は北朝鮮で、ＺｗＣｒｅａｔｅＦｉｌｅの定期的な実行があり、総合して悪性と判定し、悪性度は８である」ことを示している。

図１に戻って説明する。判定モデル７は、インシデントに関するログを入力とし、インシデントが悪性か否か、悪性の場合は危険度や重要度を出力するモデルである。具体的には、判定モデル７は、インシデントのログに基づいた判定ルールであったり、機械学習で学習したモデルなどである。

トレンド関連情報８は、例えばセキュリティ脅威情報２Ａ、２Ｂの送信元に関する情報である。例えば、セキュリティ脅威情報２Ａ、２Ｂの送信元になり得る日本の金融ＩＳＡＣに関するトレンド関連情報８には、「金融ＩＳＡＣは、業界が金融、場所が日本」といった情報と、セキュリティ脅威情報２Ａ、２Ｂの送信元となるコンピュータシステム１Ａ、１Ｂを識別する情報とが対応付けられている。

新特徴情報９は、セキュリティ製品の監視対象となる特徴や、学会などで発表されたサイバー攻撃の検知技術で着目する特徴などに関する情報である。例えば、新特徴情報９には、「ファイルサイズに対するヘッダサイズが６０％以上」といった情報が含まれている。

ＳＯＣ管理装置４００は、例えばＳＯＣサービスの提供企業や、顧客企業に設置された物理的なコンピュータハードウェアであるサーバ計算機である。ＳＯＣ管理装置４００は、ネットワーク３を介して特徴選択装置１００に相互通信可能に接続されており、特徴選択装置１００から所定情報（例えば、後述の新特徴評価結果の画面情報など）を取得する。また、ＳＯＣ管理装置４００は、取得した情報を表示装置に表示する。

図２は、特徴選択装置１００の機能構成の一例を示した機能ブロック図である。図示するように、特徴選択装置１００は、入力部１１０と、出力部１２０と、記憶部１３０と、演算部１４０と、通信部１５０とを有している。

入力部１１０は、入力情報を受け付ける機能部である。具体的には、入力部１１０は、特徴選択装置１００が備えるキーボードやマウスといった入力装置を介して入力されたユーザの入力情報を受け付ける。また、入力部１１０は、受け付けた入力情報を演算部１４０に出力する。

出力部１２０は、表示装置に表示する画面情報などを生成する機能部である。具体的には、出力部１２０は、特徴選択装置１００が備えるディスプレイといった表示装置に表示する画面情報を生成する。また、出力部１２０は、生成した画面情報を表示装置に出力する。

記憶部１３０は、様々な情報を格納する機能部である。具体的には、記憶部１３０は、顧客管理情報２００と、現特徴管理情報２１０と、トレンド管理情報２２０と、評価値管理情報２３０とを有している。

図４は、顧客管理情報２００の一例を示した図である。顧客管理情報２００には、顧客に関する種々の情報が含まれている。具体的には、顧客管理情報２００は、顧客２００Ａと、業界２００Ｂと、場所２００Ｃと、システム２００Ｄと、頻度が高い被攻撃手法２００Ｅといった情報が対応付けられたレコードを有している。

顧客２００Ａは、顧客を特定する情報である。業界２００Ｂは、顧客が属する業界を示す情報である。場所２００Ｃは、顧客のシステムが存在する場所を示す情報である。システム２００Ｄは、顧客のシステムの内容を示す情報である。頻度が高い被攻撃手法２００Ｅは、顧客が過去に受けた攻撃の中で頻度が高い攻撃手法を示す情報である。なお、以下では、業界２００Ｂ、場所２００Ｃ、システム２００Ｄおよび頻度が高い被攻撃手法２００Ｅを纏めて顧客特性という場合がある。

例えば、図４のレコード２００Ｆは、「顧客Ａは、金融業界の会社であり、ＳＯＣサービスでは日本に構築したＷｅｂシステムを監視しており、過去ＤＤｏＳ攻撃の頻度が高い」ことを示している。

図５は、現特徴管理情報２１０の一例を示した図である。現特徴管理情報２１０には、現在の学習データ６から取得可能な検体の特徴すなわちインシデントの判定モデル７の特徴（現特徴）に関する情報が含まれている。具体的には、現特徴管理情報２１０は、顧客２１０Ａと、現特徴２１０Ｂと、寄与率２１０Ｃとが対応付けられたレコードを有している。

顧客２１０Ａは、顧客を特定する情報である。現特徴２１０Ｂは、判定モデル７を作成するために学習データ６から抽出される検体の特徴を示す情報である。寄与率２１０Ｃは、現特徴に関して判定モデル７の判定への影響度を表す情報である。

例えば、図５のレコード２１０Ｄは、「顧客Ａの判定モデルにおいては、現特徴“ＨＫＥＹ＿ＣＵＲＲＥＮＴ＿ＵＤＥＲ￥Ｓｏｆｔｗａｒｅ￥Ｍｉｃｒｏｓｏｆｔ￥Ｃｏｍｍａｎｄ Ｐｒｏｃｅｓｓｏｒへのアクセス”の寄与率が４０」であることを示している。

図６は、トレンド管理情報２２０の一例を示した図である。トレンド管理情報２２０には、流行しているサイバー攻撃の特徴（検体の特徴）に関する情報が含まれている。具体的には、トレンド管理情報２２０は、トレンド特徴２２０Ａと、危険度２２０Ｂと、攻撃手法２２０Ｃと、業界２２０Ｄと、場所２２０Ｅと、システム２２０Ｆとが対応付けられたレコードを有している。

トレンド特徴２２０Ａは、流行しているサイバー攻撃の特徴（検体の特徴）を示す情報である。危険度２２０Ｂは、サイバー攻撃の危険度を示す情報である。攻撃手法２２０Ｃは、サイバー攻撃の攻撃手法を示す情報である。業界２２０Ｄは、サイバー攻撃が発生した業界または発生し易い業界を示す情報である。場所２２０Ｅは、サイバー攻撃が発生した場所または発生し易い場所を示す情報である。システム２２０Ｆは、サイバー攻撃が発生したシステムまたは発生し易いシステムを示す情報である。なお、以下では、攻撃手法２２０Ｃ、業界２２０Ｄ、場所２２０Ｅおよびシステム２２０Ｆを纏めてトレンド特性という場合がある。

例えば、図６のレコード２２０Ｇは、「トレンド特徴“ＨＫＥＹ＿ＣＵＲＲＥＮＴ＿ＵＳＥＲ￥Ｓｏｆｔｗａｒｅ￥Ｍｉｃｒｏｓｏｆｔ￥Ｗｉｎｄｏｗｓ￥ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ￥Ｅｘｐｌｏｒｅ￥ＳｃｒｅｅｎＳａｖｅｒ￥ｈｏｇｅの作成”を示すサイバー攻撃は、危険度が２で、攻撃手法はトロイの木馬、業界は金融で、日本にあるＷｉｎｄｏｗｓシステムで発生し易い」ことを示している。

図７は、評価値管理情報２３０の一例を示した図である。評価値管理情報２３０には、新特徴の評価値に関する情報が含まれている。具体的には、評価値管理情報２３０は、顧客２３０Ａと、新特徴２３０Ｂと、類似現特徴との類似度２３０Ｃと、新特徴の推定寄与率２３０Ｄと、関連トレンド特徴との類似度２３０Ｅと、推定危険度２３０Ｆと、関連トレンド特徴と顧客特性との合致度２３０Ｇと、評価値２３０Ｈとが対応付けられたレコードを有している。なお、類似現特徴は、新特徴と類似度が高い現特徴のことである。また、関連トレンド特徴は、新特徴と類似度が高いトレンド特徴すなわち後述のトレンド評価値が高いトレンド特徴のことである。

顧客２３０Ａは、顧客を特定する情報である。新特徴２３０Ｂは、新特徴情報９から取得した新特徴であって、インシデント判定モデルへの追加候補となる新特徴を示す情報である。類似現特徴との類似度２３０Ｃは、新特徴と、類似現特徴との類似度を示す情報である。新特徴の推定寄与率２３０Ｄは、新特徴の推定される寄与率すなわち新特徴に関して推定される判定モデル７の判定への影響度を示す情報である。関連トレンド特徴との類似度２３０Ｅは、新特徴と関連トレンド特徴との類似度を示す情報である。推定危険度２３０Ｆは、新特徴を監視することで検出し得る検体の推定される危険度を示す情報である。関連トレンド特徴と顧客特性との合致度２３０Ｇは、関連トレンド特徴のトレンド特性と、顧客特性との合致度を示す情報である。評価値２３０Ｈは、新特徴の評価値を示す情報である。

例えば、図７のレコード２３０Ｉは、「顧客Ａにおいて、新特徴“ＨＫＥＹ＿ＣＵＲＲＥＮＴ＿ＵＳＥＲ￥Ｓｏｆｔｗａｒｅ￥Ｍｉｃｒｏｓｏｆｔ￥Ｗｉｎｄｏｗｓ￥ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ￥Ｒｕｎへの登録”は、類似現特徴との類似度が０．７、推定寄与率が４０、関連トレンド特徴との類似度が０．６、推定危険度が６、関連トレンド特徴のトレンド特性と、顧客特性との合致度が３で、新特徴の評価値が３０２．４」であることを示している。

なお、顧客管理情報２００、現特徴管理情報２１０およびトレンド管理情報２２０は、新特徴評価値更新処理に用いられる情報である。また、評価値管理情報２３０は、新特徴評価値更新処理により生成あるいは更新される情報である。

図２に戻って説明する。演算部１４０は、顧客情報管理部３００と、現特徴管理部３１０と、トレンド管理部３２０と、評価値算出部３３０と、新特徴提示部３４０とを有している。

顧客情報管理部３００は、顧客管理情報２００を更新する機能部である。具体的には、顧客情報管理部３００は、通信部１５０を介して顧客情報５を取得し、取得した顧客情報５を用いて顧客管理情報２００を更新する。顧客管理情報２００を更新する顧客情報管理処理の詳細については後述する。

現特徴管理部３１０は、現特徴管理情報２１０を更新する機能部である。具体的には、現特徴管理部３１０は、通信部１５０を介して学習データ６を取得し、取得した学習データ６を用いて現特徴管理情報２１０を更新する。現特徴管理情報２１０を更新する特徴管理処理の詳細については後述する。

トレンド管理部３２０は、トレンド管理情報２２０を更新する機能部である。具体的には、トレンド管理部３２０は、通信部１５０を介してセキュリティ脅威情報２Ａ、２Ｂおよびトレンド関連情報８を取得し、取得したこれらの情報を用いてトレンド管理情報２２０を更新する。トレンド管理情報２２０を更新するトレンド管理処理の詳細については後述する。

評価値算出部３３０は、評価値管理情報２３０を更新する機能部である。具体的には、評価値算出部３３０は、通信部１５０を介して新特徴情報９を取得する。また、評価値算出部３３０は、記憶部１３０から顧客管理情報２００と、現特徴管理情報２１０と、トレンド管理情報２２０とを取得する。また、評価値算出部３３０は、取得したこれらの情報を用いて新特徴評価値更新処理を行う。新特徴評価値更新処理の詳細については後述する。

新特徴提示部３４０は、新特徴のうち、評価値の高い新特徴を提示する機能部である。具体的には、新特徴提示部３４０は、評価値管理情報２３０を用いて評価値の高い新特徴を特定し、インシデントの判定モデル７への追加候補となる新特徴の順位付けを行う。また、新特徴提示部３４０は、評価値の高い新特徴をユーザに提示する画面情報の生成指示を出力部１２０に対して行う。

通信部１５０は、外部装置との間で情報の送受信を行う機能部である。具体的には、通信部１５０は、コンピュータシステム１Ａ、１Ｂからセキュリティ脅威情報２Ａ、２Ｂを取得する。また、通信部１５０は、セキュリティ関連情報１０に含まれる顧客情報５、学習データ６、判定モデル７、トレンド関連情報８および新特徴情報９を取得する。また、通信部１５０は、生成した新特徴評価結果の画面情報をＳＯＣ管理装置４００に送信する。

以上、特徴選択装置１００の機能ブロックについて説明した。

図８は、特徴選択装置１００のハードウェア構成の一例を示した図である。特徴選択装置１００は、例えば物理的なコンピュータハードウェアであるサーバ計算機により実現される。

特徴選択装置１００は、入力装置５０１と、表示装置５０２と、外部記憶装置５０３と、演算装置５０４と、主記憶装置５０５と、通信装置５０６と、これらを電気的に相互接続するバス５０７とを有している。

入力装置５０１は、キーボードやマウス、タッチパネルなどのポインティングデバイスあるいは音声入力装置であるマイクなどである。表示装置５０２は、ディスプレイや音声出力装置であるスピーカなどである。

外部記憶装置５０３は、デジタル情報を記憶可能ないわゆるハードディスク（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）あるいはフラッシュメモリなどの不揮発性記憶装置である。

演算装置５０４は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。主記憶装置５０５は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）やＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）などのメモリ装置である。

通信装置５０６は、ネットワークケーブルを介して有線通信を行う有線の通信装置、またはアンテナを介して無線通信を行う無線通信装置である。通信装置５０６は、ネットワークに接続されている外部装置との間で情報通信を行う。

なお、特徴選択装置１００の演算部１４０は、演算装置５０４に処理を行わせるプログラムによって実現される。このプログラムは、主記憶装置５０５あるいは外部記憶装置５０３に記憶され、プログラムの実行にあたって主記憶装置５０５上にロードされ、演算装置５０４により実行される。また、記憶部１３０は、主記憶装置５０５または外部記憶装置５０３あるいはこれらの組合せにより実現される。また、通信部１５０は、通信装置５０６により実現される。ただし、特徴選択装置１００のハードウェア構成は、前述の構成に限定されるものではない。

また、特徴選択装置１００の上記の各構成、機能、処理部および処理手段等は、それらの一部または全部を、例えば集積回路で設計する等によりハードウェアで実現しても良い。また、上記構成、機能は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現しても良い。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリやハードディスク、ＳＳＤ等の記憶装置またはＩＣカード、ＳＤカードおよびＤＶＤ等の記録媒体に置くことができる。

また、特徴選択装置１００のハードウェア構成はこれらに限られるものではなく、その他のハードウェアを用いて構成されるものであっても良い。例えば、インターネットを介して入出力を受け付ける装置であっても良い。なお、特徴選択装置１００は、図示しないが、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）、ミドルウェア、アプリケーションなどの公知の要素を有し、特にディスプレイなどの入出力装置にＧＵＩ画面を表示するための既存の処理機能を備える。

以上、特徴選択装置１００のハードウェア構成について説明した。

［動作の説明］
図９は、顧客情報管理処理の一例を示したフロー図である。かかる処理は、例えば入力部１１０を介してユーザから処理の実行指示を受け付けた場合あるいは定期的（例えば、毎分または各日所定の時刻など）に特徴選択装置１００により実行される。

顧客情報管理処理が開始されると、顧客情報管理部３００は、顧客情報５に変更があるか否かを判定する（ステップＳ１１１）。具体的には、顧客情報管理部３００は、通信部１５０を介して顧客情報５を取得する。また、顧客情報管理部３００は、顧客管理情報２００の各項目に相当する顧客情報５の内容と、記憶部１３０に格納されている顧客管理情報２００の顧客２００Ａ、業界２００Ｂ、場所２００Ｃ、システム２００Ｄおよび頻度が高い被攻撃手法２００Ｅとを比較する。そして、顧客情報５に顧客の追加または削除を示す内容がある場合あるいは顧客特性の変更、追加または削除を示す内容が含まれる場合には、顧客情報管理部３００は、顧客情報５に変更があると判定する。

なお、顧客情報管理部３００は、例えば攻撃された履歴を顧客情報５から抽出し、これを用いて攻撃頻度を算出することで、頻度が高い被攻撃手法２００Ｅに変更があるか否かを判定しても良い。

そして、変更がないと判定した場合（ステップＳ１１１でＮｏ）、顧客情報管理部３００は、本フローの処理を終了する。一方で、変更があると判定した場合（ステップＳ１１１でＹｅｓ）、顧客情報管理部３００は、処理をステップＳ１１２に移行する。

ステップＳ１１２では、顧客情報管理部３００は、顧客管理情報２００を更新する。具体的には、顧客情報管理部３００は、変更された顧客情報５の内容を顧客管理情報２００に反映することにより顧客管理情報２００を更新する。また、顧客情報管理部３００は、顧客管理情報２００の更新を行うと、本フローの処理を終了する。

なお、顧客情報５から顧客管理情報２００の各項目に相当する内容を抽出する方法は特に限定されるものではない。例えば、顧客情報管理部３００は、顧客情報５に含まれる情報をそのままの形式で抽出しても良く、形態素解析により文字列を抽出しても良い。また、運用管理者が顧客情報５から任意に抽出しても良い。

以上、顧客情報管理処理について説明した。

図１０は、特徴管理処理の一例を示したフロー図である。かかる処理は、例えば入力部１１０を介してユーザから処理の実行指示を受け付けた場合あるいは定期的（例えば、毎分または各日所定の時刻など）に特徴選択装置１００により実行される。

また、特徴管理処理は、顧客別に実行される。具体的には、現特徴管理部３１０は、例えば顧客Ａについて特徴管理処理を行う場合、顧客Ａに関する学習データ６を用いて所定の処理を行う。また、現特徴管理部３１０は、顧客Ａに関する処理結果については、顧客Ａに対応付けて現特徴管理情報２１０に格納する。また、特徴管理処理は、顧客Ａについての処理を終了した後、他の顧客（例えば、顧客Ｂなど）についても同様に特徴管理処理を行う。なお、現特徴管理部３１０は、入力部１１０を介してユーザから受け付けた対象の顧客についてのみ特徴管理処理を行っても良い。

処理が開始されると、現特徴管理部３１０は、学習データ６に変更があるか否かを判定する（ステップＳ１２１）。具体的には、現特徴管理部３１０は、通信部１５０を介して現在の学習データ６を取得する。また、現特徴管理部３１０は、所定のタイミング（例えば、前回の特徴管理処理の実行時など）で一次的に保存しておいた学習データ６を記憶部１３０から取得する。また、現特徴管理部３１０は、これらの学習データ６同士を比較する。

また、現特徴管理部３１０は、例えば現在の学習データ６における現特徴６Ｂ〜６Ｄに追加または削除がある場合、検体６Ａに追加や削除がある場合および悪性判定６Ｅや悪性度６Ｆに関する判定結果に変更がある場合には、学習データ６に変更があると判定する。

そして、学習データ６に変更がないと判定した場合（ステップＳ１２１でＮｏ）、現特徴管理部３１０は、本フローの処理を終了する。一方で、学習データ６に変更があると判定した場合（ステップＳ１２１でＹｅｓ）、現特徴管理部３１０は、処理をステップＳ１２２に移行する。

ステップＳ１２２では、現特徴管理部３１０は、現特徴を抽出する。例えば、図３に示す学習データ６の例では、現特徴管理部３１０は、“ＨＫＥＹ＿ＣＵＲＲＥＮＴ＿ＵＳＥＲ￥Ｓｏｆｔｗａｒｅ￥Ｍｉｃｒｏｓｏｆｔ￥Ｃｏｍｍａｎｄ Ｐｒｏｃｅｓｓｏｒへのアクセス”や“通信先の国名”などの現特徴６Ｂ〜６Ｄを学習データ６から抽出する。

なお、学習データ６から現特徴を抽出する方法は特に限定されるものではない。また、現特徴管理部３１０は、学習データ６から取得される情報をそのままの形式で抽出しても良く、形態素解析により文字列を抽出しても良い。また、運用管理者が現特徴６Ｂ〜６Ｄを学習データ６から任意に抽出しても良い。

次に、現特徴管理部３１０は、学習データ６を用いて、抽出した現特徴の寄与率を算出する（ステップＳ１２３）。なお、寄与率とは、例えば現特徴の各々が判定モデル７の全体の中でどれだけの変動の割合を占めるかを示し、値が大きいほど相対的に説明力が高い特徴であることを示すものである。現特徴管理部３１０は、寄与率を算出可能な主成分分析といった公知技術を用いて、抽出した現特徴の寄与率を算出する。

次に、現特徴管理部３１０は、算出した寄与率に現特徴を対応付けて現特徴管理情報２１０に格納する（ステップＳ１２４）。また、現特徴管理部３１０は、かかる処理を行うと、本フローの処理を終了する。

以上、特徴管理処理について説明した。

図１１は、トレンド管理処理の一例を示したフロー図である。かかる処理は、例えば入力部１１０を介してユーザから処理の実行指示を受け付けた場合あるいは定期的（例えば、毎分または各日所定の時刻など）に特徴選択装置１００により実行される。

処理が開始されると、トレンド管理部３２０は、通信部１５０を介してコンピュータシステム１Ａ、１Ｂからセキュリティ脅威情報２Ａ、２Ｂを取得する（ステップＳ１３１）。

次に、トレンド管理部３２０は、セキュリティ脅威情報２Ａ、２Ｂからトレンド管理情報２２０におけるトレンド特徴２２０Ａ、危険度２２０Ｂ、攻撃手法２２０Ｃおよびシステム２２０Ｆに関する情報と、セキュリティ脅威情報２Ａ、２Ｂの送信元であるコンピュータシステム１Ａ、１Ｂの識別情報とを抽出する（ステップＳ１３２）。

次に、トレンド管理部３２０は、通信部１５０を介してトレンド関連情報８を取得する（ステップＳ１３３）。また、トレンド管理部３２０は、セキュリティ脅威情報２Ａ、２Ｂの送信元企業の属する業界および場所をトレンド関連情報８から特定する。具体的には、トレンド管理部３２０は、ステップＳ１３２で抽出したセキュリティ脅威情報２Ａ、２Ｂの送信元であるコンピュータシステム１Ａ、１Ｂの識別情報が対応付けられた業界および場所に関する情報をトレンド関連情報８から抽出する（ステップＳ１３４）。

次に、トレンド管理部３２０は、セキュリティ脅威情報２Ａ、２Ｂおよびトレンド管理情報２２０から抽出した情報（トレンド特徴２２０Ａ、危険度２２０Ｂ、攻撃手法２２０Ｃ、システム２２０Ｆ、業界および場所）を対応付けてトレンド管理情報２２０に格納する（ステップＳ１３５）。また、トレンド管理部３２０は、かかる処理を行うと、本フローの処理を終了する。

なお、トレンド管理処理は、例えばセキュリティ脅威情報２Ａ、２Ｂをコンピュータシステム１Ａ、１Ｂから取得したタイミングで開始しても良く、トレンド関連情報８が更新されるたびに実行されても良い。

また、ステップＳ１３２あるいはステップＳ１３４の処理における情報の抽出方法は、例えばセキュリティ脅威情報２Ａ、２Ｂやトレンド関連情報８から取得される情報をそのままの形式で抽出しても良く、形態素解析により文字列を抽出しても良い。また、運用管理者がセキュリティ脅威情報２Ａ、２Ｂあるいはトレンド関連情報８から任意に抽出しても良い。

また、危険度に関する情報は、セキュリティ脅威情報２Ａ、２Ｂに予め含まれていても良く、例えばトレンド特徴がセキュリティ脅威情報２Ａ、２Ｂに含まれる頻度からトレンド管理部３２０が危険度を算出しても良い。

以上、トレンド管理処理について説明した。

図１２は、新特徴評価値更新処理の一例を示したフロー図である。かかる処理は、例えば入力部１１０を介してユーザから処理の実行指示を受け付けた場合あるいは定期的（例えば、毎分または各日所定の時刻など）に特徴選択装置１００により実行される。

また、新特徴評価値更新処理は、顧客別に実行される。具体的には、評価値算出部３３０は、例えば顧客Ａについて新特徴評価値更新処理を行う場合、現特徴管理情報２１０および顧客管理情報２００の顧客Ａが対応付けられている情報を用いて所定の処理を行う。また、評価値算出部３３０は、顧客Ａに関する処理結果については、顧客Ａに対応付けて評価値管理情報２３０に格納する。また、評価値算出部３３０は、顧客Ａについての処理を終了した後、他の顧客（例えば、顧客Ｂなど）についても同様に新特徴評価値更新処理を行う。なお、評価値算出部３３０は、入力部１１０を介してユーザから受け付けた対象の顧客についてのみ新特徴評価値更新処理を行っても良い。

処理が開始されると、評価値算出部３３０は、新特徴情報９、顧客管理情報２００、現特徴管理情報２１０およびトレンド管理情報２２０のうち、少なくともいずれか１つが更新されたか否かを判定する（ステップＳ１４１）。具体的には、評価値算出部３３０は、通信部１５０を介して現在の新特徴情報９を取得する。また、評価値算出部３３０は、記憶部１３０から現在の顧客管理情報２００、現特徴管理情報２１０およびトレンド管理情報２２０を取得する。また、評価値算出部３３０は、所定のタイミング（例えば、前回の新特徴評価値更新処理の実行時など）で一次的に保存しておいた新特徴情報９、顧客管理情報２００、現特徴管理情報２１０およびトレンド管理情報２２０を記憶部１３０から取得する。また、評価値算出部３３０は、現在の新特徴情報９、顧客管理情報２００、現特徴管理情報２１０およびトレンド管理情報２２０と、一次的に保存していた新特徴情報９、顧客管理情報２００、現特徴管理情報２１０およびトレンド管理情報２２０とを比較することにより、これらの情報のうち少なくとも１つが更新されたか否かを判定する。

そして、更新されていないと判定した場合（ステップＳ１４１でＮｏ）、評価値算出部３３０は、本フローの処理を終了する。一方で、更新されたと判定した場合（ステップＳ１４１でＹｅｓ）、評価値算出部３３０は、処理をステップＳ１４２に移行する。

ステップＳ１４２では、評価値算出部３３０は、現特徴管理情報２１０を用いて、新特徴と現特徴の類似度を算出する。具体的には、評価値算出部３３０は、通信部１５０を介して新特徴情報９を取得し、かかる新特徴情報９に含まれる新特徴を抽出する。

また、評価値算出部３３０は、例えばレーベンシュタイン距離といった公知の技術を用いて、新特徴と、現特徴管理情報２１０に格納されている現特徴２１０Ｂとの文字列の類似度を算出する。また、評価値算出部３３０は、例えば類似度が最も高い現特徴あるいは所定の閾値よりも高い類似度の現特徴を類似現特徴として特定する。なお、類似現特徴が複数ある場合、評価値算出部３３０は、複数の類似現特徴と新特徴との類似度の平均値を算出し、これを類似現特徴の類似度として算出する。

なお、類似度の算出方法は特に限定されるものではなく、例えば予め「ＩＰアドレスとＵＲＬとドメインの国名とは、通信先という分類に含まれ、類似度は１」といったように、特徴の分類を示す情報を記憶部１３０に格納しておく。そして、評価値算出部３３０は、例えば「ＩＰアドレスという新特徴は、ＵＲＬやドメインの国名という現特徴が類似現特徴であって、その類似度が１である」というように、新特徴と現特徴との類似度を算出しても良い。

また、新特徴は、新特徴情報９からそのままの形式で抽出しても良いし、形態素解析により文字列を抽出しても良い。また、新特徴は、運用管理者が任意に新特徴情報９から抽出しても良い。

次に、評価値算出部３３０は、新特徴の推定される寄与率を算出する（ステップＳ１４３）。具体的には、評価値算出部３３０は、現特徴管理情報２１０を用いて、類似現特徴の寄与率２１０Ｃを新特徴の寄与率（以下、推定寄与率という場合がある）として推定する。なお、複数の類似現特徴がある場合、評価値算出部３３０は、かかる複数の類似現特徴の寄与率２１０Ｃを現特徴管理情報２１０から特定し、特定した寄与率２１０Ｃの平均値を算出して新特徴の推定寄与率とする。なお、推定寄与率の算出方法はこれらに限定されるものではない。

次に、評価値算出部３３０は、トレンド管理情報２２０を用いて、新特徴と全てのトレンド特徴２２０Ａの類似度を算出する（ステップＳ１４４）。具体的には、評価値算出部３３０は、例えばレーベンシュタイン距離といった公知の技術を用いて、新特徴とトレンド特徴２２０Ａの文字列の類似度を算出する。

なお、新特徴とトレンド特徴の類似度の算出方法は特に限定されるものではない。また、類似度の算出対象となるトレンド特徴２２０Ａは、例えば直近の所定数（例えば、１万件）のトレンド特徴など、運用管理者が任意に設定した範囲のトレンド特徴でも良い。

次に、評価値算出部３３０は、類似度を算出したトレンド特徴に関し、顧客特性との合致度を算出する（ステップＳ１４５）。具体的には、評価値算出部３３０は、類似度を算出したトレンド特徴に対応付けられた業界２２０Ｄ、場所２２０Ｅ、システム２２０Ｆおよび攻撃手法２２０Ｃをトレンド管理情報２２０から特定する。また、評価値算出部３３０は、対象の顧客（例えば、顧客Ａ）が対応付けられた業界２２０Ｂ、場所２２０Ｃ、システム２２０Ｄおよび頻度が高い被攻撃手法２２０Ｅを顧客管理情報２００から特定する。また、評価値算出部３３０は、これら４つの対応する項目のうち、合致した項目数に「１」を加算することにより、かかる合致度を算出する。例えば、４つの対応する項目のうち、２つの項目が合致している場合、評価値算出部３３０は、合致した項目数「２」に「１」を加算した値「３」を合致度として算出する。なお、合致度の算出方法については特に限定されるものではない。

次に、評価値算出部３３０は、新特徴と関連性の高いトレンド特徴を抽出する（ステップＳ１４６）。具体的には、評価値算出部３３０は、ステップＳ１４４で算出した新特徴とトレンド特徴の類似度と、ステップＳ１４５で算出したトレンド特徴に関する顧客特性との合致度と、トレンド管理情報２２０においてトレンド特徴２２０Ａごとに対応付けられた危険度２２０Ｂとを乗算することによりトレンド特徴評価値を算出する。また、評価値算出部３３０は、算出したトレンド特徴評価値が最も高いトレンド特徴を新特徴と関連性の高いトレンド特徴（以下、「関連トレンド特徴」という場合がある）として抽出する。

なお、トレンド特徴評価値の算出方法は、このような方法に限定されるものではなく、例えば所定の閾値以上のトレンド特徴評価値となるトレンド特徴を関連トレンド特徴として抽出しても良い。また、複数の関連トレンド特徴を抽出した場合、評価値算出部３３０は、ステップＳ１４４で算出した各関連トレンド特徴と新特徴の類似度の平均値を算出し、これを関連トレンド特徴の類似度として算出する。

次に、評価値算出部３３０は、新特徴の評価値を算出する（ステップＳ１４７）。具体的には、評価値算出部３３０は、新特徴と類似現特徴との類似度と、新特徴の推定寄与率と、関連トレンド特徴との類似度と、トレンド管理情報２２０において関連トレンド特徴に対応付けられている危険度（推定危険度）と、関連トレンド特徴の顧客特性との合致度とを乗算して得られる値を新特徴の評価値として算出する。

なお、新特徴の評価値の算出方法はこのような方法に限定されるものではなく、例えば、新特徴と類似現特徴との類似度と、新特徴の推定寄与率と、関連トレンド特徴との類似度と、トレンド管理情報２２０において関連トレンド特徴に対応付けられている危険度（推定危険度）と、関連トレンド特徴の顧客特性との合致度と、の中から任意の要素を用いて新特徴の評価値を算出しても良い。例えば、評価値算出部３３０は、少なくとも新特徴と類似現特徴との類似度と、関連トレンド特徴との類似度と、関連トレンド特徴の顧客特性との合致度と、を用いて新特徴の評価値を算出しても良い。

また、例えば複数の関連トレンド特徴がある場合、評価値算出部３３０は、トレンド管理情報２２０の各関連トレンド特徴に対応付けられている危険度２２０Ｂの平均値を推定危険度の値として算出し、新特徴の評価値計算に用いる。また、評価値算出部３３０は、複数の関連トレンド特徴がある場合、各関連トレンド特徴と顧客特性との合致度の平均値を関連トレンド特徴と顧客特性との合致度の値として算出し、新特徴の評価値計算に用いる。

次に、評価値算出部３３０は、評価値管理情報２３０を更新する（ステップＳ１４８）。具体的には、評価値算出部３３０は、ステップＳ１４２〜ステップＳ１４７で算出した「類似現特徴との類似度」と、「推定寄与率」と、「関連トレンド特徴との類似度」と、「関連トレンド特徴と顧客特性との合致度」と、トレンド管理情報２２０において関連トレンド特徴に対応付けられた危険度（推定危険度）」と、「新特徴の評価値」と、を評価値管理情報２３０に格納する。また、評価値算出部３３０は、評価値管理情報２３０を更新すると、本フローの処理を終了する。

以上、新特徴評価値更新処理について説明した。

図１３は、新特徴の評価結果情報を示した画面例６００である。図示するように、かかる画面例６００には、追加すべき新特徴がその理由（備考）と共に順位付けされて表示されている。具体的には、評価結果情報は、顧客、新特徴、評価値、備考および順位が対応付けられたレコードを有しており、例えばレコード６０１は、「顧客Ａでは、新特徴「ＨＫＥＹ＿￥ＣＵＲＲＥＮＴ＿ＵＳＥＲ￥Ｓｏｆｔｗａｒｅ￥Ｍｉｃｒｏｓｏｆｔ￥Ｗｉｎｄｏｗｓ￥ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ￥Ｒｕｎへの登録」の評価値が３０２．４で順位が１位であり、その理由として類似現特徴との類似度と、トレンド特徴評価値が共に高い」ことを示している。

このような評価結果情報は、評価値管理情報２３０と、新特徴評価値更新処理のステップＳ１４２〜ステップＳ１４７で算出した情報とを用いて新特徴提示部３４０により生成される。具体的には、新特徴提示部３４０は、例えば入力部１１０を介してユーザから新特徴の評価結果情報の表示要求を受け付けた場合など、所定のタイミングで評価結果情報を生成する。また、新特徴提示部３４０は、出力部１２０に対して、生成した評価結果情報を表示するための画面情報の生成指示を行う。

評価結果情報の生成にあたり、新特徴提示部３４０は、所定のルールに従って評価値管理情報２３０に含まれる新特徴の順位を求める。例えば新特徴提示部３４０は、「類似現特徴との類似度と、トレンド特徴評価値とが共に高い」という予め記憶部１３０に格納されている運用管理者のポリシ（ルール）に従って、新特徴と類似現特徴との類似度と、トレンド特徴評価値とが所定の閾値以上である新特徴の中から評価値が最も高い新特徴を特定する。

また、新特徴提示部３４０は、例えば「トレンド特徴評価値が高い」という運用管理者のポリシ（ルール）に従い、トレンド特徴評価値が所定の閾値以上である新特徴の中から評価値が最も高い新特徴を特定する。

また、新特徴提示部３４０は、例えば「類似現特徴との類似度が高い」という運用管理者のポリシ（ルール）に従い、新特徴と類似現特徴との類似度が所定の閾値以上である新特徴の中から評価値が最も高い新特徴を特定する。

また、新特徴提示部３４０は、例えば「類似現特徴との類似度と、トレンド特徴評価値とが共に低い」という運用管理者のポリシ（ルール）に従い、類似現特徴との類似度およびトレンド特徴評価値とが所定の閾値未満である新特徴の中から評価値が最も高い新特徴を特定する。また、新特徴提示部３４０は、運用管理者のポリシ（ルール）に応じた順位に基づき、特定したこれらの新特徴について順位付けを行う。

例えば、新特徴提示部３４０は、「類似現特徴との類似度と、トレンド特徴評価値とが共に高い」というルールに従い特定した新特徴に１位の順位を付与する。また、新特徴提示部３４０は、「トレンド特徴評価値が高い」というルールに従い特定した新特徴に２位の順位を付与する。また、新特徴提示部３４０は、「類似現特徴との類似度が高い」というルールに従い特定した新特徴に３位の順位を付与する。また、新特徴提示部３４０は、「類似現特徴との類似度と、トレンド特徴評価値とが共に低い」というルールに従い特定した新特徴に４位の順位を付与する。なお、所定のルール（運用管理者のポリシ）と付与される順位は限定されるものではない。

また、出力部１２０は、対象の顧客と、特定した新特徴と、その評価値とを評価値管理情報２３０から抽出し、これに運用管理者のポリシ（ルール）と、新特徴の順位とを対応付けた新特徴の評価結果情報を生成する。また、新特徴提示部３４０は、出力部１２０に対して評価結果情報を表示するための画面情報の生成指示を出力する。

出力部１２０は、新特徴提示部３４０からの指示に基づき評価結果情報の画面情報を生成し、これを表示装置５０２に出力する。なお、出力部１２０は、通信部１５０を介して評価結果情報の画面情報をＳＯＣ管理装置４００に送信し、ＳＯＣ管理装置４００上にかかる画面情報を表示させても良い。

なお、新特徴の評価結果情報の構成は、上記の構成に限定されるものではなく、新特徴提示部３４０は、例えば評価値管理情報２３０の評価値の高い順に新特徴を抽出し、それらを対応付けた評価結果情報を生成しても良い。

以上のような本実施形態に係る特徴管理装置によれば、環境の変化に伴うインシデント分析の判定モデルにおける特徴の変更の検討を補助することができる。特に、特徴管理装置では、新特徴評価値更新処理の実行により、現在の判定モデル７で寄与率の高い特徴に類似する新特徴の評価値を高くし、顧客特性と関連が深く危険度の高いトレンド特徴に類似する新特徴の評価値を高くすることができる。そのため、特徴選択装置によれば、新特徴の評価値を用いて新特徴を選択することで、実データを収集することなく、顧客毎の特性を踏まえてサイバー攻撃の最新トレンドに沿って判定モデル７の精度向上に向けた新特徴を選択することができるようになる。

また、特徴選択装置は、新特徴の評価結果情報を表示して追加すべき新特徴をユーザに提示することができる。これにより、従来、ブラックボックス化していた判定モデルの精度に関して評価値や備考によってサイバー攻撃のトレンドに追従しているかどうか、追加すべき新特徴が存在するか否か、といった観点でユーザが確認することができる。その結果、例えばＳＯＣサービス提供者は、必要な時に必要な新特徴の追加を顧客に提案することができる。また、例えば顧客が新特徴の追加をＳＯＣサービス提供者に依頼し、判定モデル７精度向上を図ることができる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、置換をすることが可能である。

また、上記説明では、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えて良い。

１Ａ、１Ｂ・・・コンピュータシステム、２Ａ、２Ｂ・・・セキュリティ脅威情報、
３、４・・・ネットワーク、５・・・顧客情報、６・・・学習データ、
７・・・判定モデル、８・・・トレンド関連情報、９・・・新特徴情報、
１０・・・セキュリティ関連情報、１００・・・特徴選択装置、１１０入力部、
１２０・・・出力部、１３０・・・記憶部、１４０・・・演算部、１５０・・・通信部、
２００・・・顧客管理情報、２１０・・・現特徴管理情報、
２２０・・・トレンド管理情報、２３０・・・評価値管理情報、
３００・・・顧客情報管理部、３１０・・・現特徴管理部、３２０・・・トレンド管理部、
３３０・・・評価値算出部、３４０・・・新特徴提示部、４００・・・ＳＯＣ管理装置、
５０１・・・入力装置、５０２・・・表示装置、５０３・・・外部記憶装置、
５０４・・・演算装置、５０５・・・主記憶装置、５０６・・・通信装置、
５０７・・・バス

Claims (9)

1. インシデント判定モデルへの追加候補となる新特徴の評価値を算出する評価値算出部を備え、
   前記評価値算出部は、
   前記新特徴と、前記インシデント判定モデルの現在の特徴であって前記新特徴に類似する類似現特徴と、の類似度と、
   前記新特徴と、情報セキュリティ上の流行しているサイバー攻撃の特徴であって前記新特徴に類似する関連トレンド特徴と、の類似度と、
   前記関連トレンド特徴と、顧客の特性を示す顧客特性と、の合致度と、を算出し、
   前記新特徴と前記類似現特徴との類似度と、前記新特徴と前記関連トレンド特徴との類似度と、前記関連トレンド特徴と前記顧客特性との合致度と、を用いて前記新特徴の評価値を算出する
   ことを特徴とする特徴選択装置。
2. 請求項１に記載の特徴選択装置であって、
   前記評価値算出部は、
   前記新特徴に関して前記判定モデルの判定への推定される影響度を示す前記新特徴の推定寄与率と、
   前記新特徴に関して前記サイバー攻撃の推定される危険度を示す推定危険度と、をさらに用いて前記新特徴の評価値を算出する
   ことを特徴とする特徴選択装置。
3. 請求項１に記載の特徴選択装置であって、
   前記評価値を用いて、前記判定モデルへの追加候補となる前記新特徴の順位を特定し、前記新特徴と、前記評価値と、前記順位とを対応付けた前記新特徴の評価結果情報を生成する新特徴提示部をさらに備える
   ことを特徴とする特徴選択装置。
4. 請求項３に記載の特徴選択装置であって、
   前記新特徴提示部は、
   所定のルールに従って特定した前記新特徴の中から前記評価値に基づき前記新特徴を特定し、
   前記所定のルールに応じた順位を特定した前記新特徴に付与し、
   前記新特徴と、前記評価値と、前記所定のルールと、前記順位とを対応付けた前記評価結果情報を生成する
   ことを特徴とする特徴選択装置。
5. 請求項４に記載の特徴選択装置であって、
   前記評価結果情報を表示装置に表示する画面情報を生成する出力部をさらに備える
   ことを特徴とする特徴選択装置。
6. 請求項５に記載の特徴選択装置であって、
   前記出力部は、
   前記新特徴が特定された理由として前記所定のルールを前記画面情報に表示する
   ことを特徴とする特徴選択装置。
7. インシデント判定モデルへの追加候補となる新特徴の評価を行う特徴選択装置の特徴選択方法であって、
   前記特徴選択装置は、
   前記新特徴と、前記インシデント判定モデルの現在の特徴であって前記新特徴に類似する類似現特徴と、の類似度を算出するステップと、
   前記新特徴と、情報セキュリティ上の流行しているサイバー攻撃の特徴であって前記新特徴に類似する関連トレンド特徴と、の類似度を算出するステップと、
   前記関連トレンド特徴と、顧客の特性を示す顧客特性と、の合致度を算出するステップと、
   前記新特徴と前記類似現特徴との類似度と、前記新特徴と前記関連トレンド特徴との類似度と、前記関連トレンド特徴と前記顧客特性との合致度と、を用いて前記新特徴の評価値を算出するステップと、を行う
   ことを特徴とする特徴選択方法。
8. 請求項７に記載の特徴選択方法であって、
   所定のルールに従って特定した前記新特徴の中から前記評価値に基づき前記新特徴を特定するステップと、
   前記所定のルールに応じた順位を特定した前記新特徴に付与するステップと、
   前記新特徴と、前記評価値と、前記所定のルールと、前記順位とを対応付けた評価結果情報を生成するステップと、を行う
   ことを特徴とする特徴選択方法。
9. 請求項８に記載の特徴選択方法であって、
   前記特徴選択装置は、
   前記評価結果情報を表示装置に表示する画面情報を生成するステップを行う
   ことを特徴とする特徴選択方法。

Images