JP6928265B2 - 情報処理装置及び情報処理方法 - Google Patents

Description

本開示は、システムに想定される脅威を分析する手法に関する。

近年、マルウェアのようにシステム内の装置群をまたがって感染していく連鎖的な攻撃が増加している。このような装置群をまたがった連鎖的な攻撃の経路は以下「攻撃パス」と呼称される。このような攻撃に備えていくには、攻撃パスにつながる、各装置で発生しうる個々の攻撃内容を把握し、その対策を実施する必要がある。情報システムのセキュリティを確保するための、各種の脅威分析の手法が知られている（特許文献１）。

特開２０１４−１０６８５５号公報

上記の分析手法は、個々の装置の脅威を分析するものである。よって攻撃パスからすれば断片的なものである。この手法は、断片的な脅威を一連の攻撃パスとしてまとめあげることができない。装置Ａで発生した攻撃が連鎖的に装置Ｂで発生しうる攻撃につながることを把握し、一連の攻撃パスとしてまとめあげるには専門的な知識が必要となる。また、対象システム内でどの装置を起点として攻撃パスが生じうるかを網羅的に抽出する際においても専門的な知識が必要である。

かかる点に鑑みてなされた本開示の目的は、対象システムにおいて想定される攻撃パスを網羅的に抽出することと、各攻撃パスを成り立たせる各装置の攻撃事例（例えば攻撃内容、対策などを含む）を導出することとを実現可能な情報処理装置を提供することにある。

上記課題を解決するため、本開示に係る情報処理装置は、
システムに含まれる装置群のリストと装置間の接続関係のリストとを読み出す入力部と、
前記入力部が読み出した前記装置群のリストと前記接続関係のリストとに基づいて攻撃パスを抽出する攻撃パス抽出部と、
過去の攻撃事例を、当該攻撃事例が発生した際の攻撃用途及びノード条件と対応付けて格納する攻撃事例ＤＢ部と、
前記攻撃パス抽出部によって抽出された攻撃パスを構成する各ノードとなる各装置の攻撃用途とノード条件とを決定し、当該決定した攻撃用途と前記決定したノード条件とを用いて前記攻撃事例ＤＢ部を検索して、前記各装置に対応する攻撃事例を取得する攻撃事例検索部と、
前記検索の結果を出力する出力部と、
を含む。

また上記課題を解決するため、本開示に係る情報処理方法は、
入力部によって、システムに含まれる装置群のリストと装置間の接続関係のリストとを読み出すステップと、
攻撃パス抽出部によって、前記入力部が読み出した前記装置群のリストと前記接続関係のリストとに基づいて攻撃パスを抽出するステップと、
攻撃事例ＤＢ部によって、過去の攻撃事例を、当該攻撃事例が発生する際の攻撃用途及びノード条件と対応付けて格納するステップと、
前記攻撃事例検索部によって、前記攻撃パス抽出部によって抽出された攻撃パスを構成する各装置の攻撃用途とノード条件とを決定し、当該決定した攻撃用途と前記決定したノード条件とを用いて前記攻撃事例ＤＢ部を検索して、前記各装置に対応する攻撃事例を取得するステップと、
出力部によって前記検索の結果を出力するステップと、
を含む。

本開示に係る情報処理装置及び情報処理方法によれば、対象システムにおいて想定される攻撃パスを網羅的に抽出することと、各攻撃パスを成り立たせる各装置の攻撃事例（例えば攻撃内容、対策などを含む）を導出することが可能である。

本実施形態の情報処理装置の機能ブロック図である。 本実施形態のデータフローの概要を示す図である。 本実施形態の情報処理装置が実行するフロー図である。 本実施形態のネットワーク構成情報を示す図である。 本実施形態の装置群のリストと接続関係のリストとを示す図である。 本実施形態の攻撃パスリストを示す図である。 本実施形態の攻撃事例ＤＢ部のデータ構成を示す図である。 本実施形態の攻撃パスを示す図である。 本実施形態の攻撃用途とノード条件とを対応付けた図である。 本実施形態の各ノードの攻撃用途の決定方法を説明する図である。 本実施形態の攻撃事例の検索結果を示す図である。

図１は、本実施形態の情報処理装置Ｄを示す機能ブロック図である。情報処理装置Ｄは入力部１、攻撃パス抽出部２、攻撃事例ＤＢ部３、攻撃事例検索部４及び出力部５を有する。任意のユーザは、脅威分析の対象となる対象システムのＮＷ（ネットワーク）構成図を入力部１へ入力する。任意のユーザは出力部５から、想定される攻撃パスと攻撃事例とを取得する。詳細は後述する。以下、情報処理装置Ｄの各機能を説明するが、情報処理装置Ｄが有する他の機能を排除することを意図したものではない。

入力部１、攻撃パス抽出部２、攻撃事例検索部４及び出力部５が実行する処理は、１又は複数のプロセッサ（図示せず）によって実行される。プロセッサは、種々の処理のためのプログラム及び演算中の情報を記憶する１又は複数のメモリを含んでよい。メモリは揮発性メモリ及び不揮発性メモリを含む。メモリは、プロセッサと独立しているメモリ、及びプロセッサの内蔵メモリを含む。プロセッサは特定のプログラムを読み込ませて特定の機能を実行する汎用のプロセッサ、特定の処理に特化した専用のプロセッサを含む。攻撃事例ＤＢ部３は、半導体メモリ又は磁気メモリなどで構成され、各種情報、及び／又は情報処理装置Ｄを動作させるためのプログラムなどを記憶可能である。攻撃事例ＤＢ部３は、ワークメモリとして機能してもよい。

図２を参照しながら、本実施形態のデータフローの概要を説明する。

入力部１は、ユーザが入力した対象システムのネットワーク構成情報から、対象システムに含まれる装置群のリストと装置間の接続関係のリストとを読み出す。例として入力部１は、対象システムのネットワーク構成図などを読み込み、対象システムに含まれる端末機器、サーバ機器、通信機器などの装置群のリスト、及び装置間の通信路などから装置間の接続関係のリストを抽出する。

攻撃パス抽出部２は、入力部１が読み出した装置群のリストと装置間の接続関係のリストとをグラフ理論におけるグラフデータと見なし、グラフ上の経路探索を実施することで網羅的に攻撃パスを抽出する。

攻撃事例ＤＢ部３は、過去の攻撃事例を、当該攻撃事例が発生した際の攻撃用途及びノード条件と対応付けて格納する。過去の攻撃事例は、任意のユーザによって入力されたものでもよいし、脆弱性レポートなどを提供するサイトからダウンロードされたものでもよい。

攻撃事例検索部４は、攻撃パス抽出部２が抽出した各攻撃パスにつき、攻撃パスを構成する各ノードとなる装置の、攻撃パスにおける位置に基づいて、攻撃用途を決定する。また攻撃事例検索部４は、該当装置の種類、他装置との接続関係などからノード条件を決定する。攻撃事例検索部４は、決定された攻撃用途とノード条件とを含む検索式で攻撃事例ＤＢ部３を検索し、マッチングを実行することによって各装置に対応する攻撃事例を取得する。

出力部５は、攻撃パスと、各ノードとなる装置の攻撃事例とを関連付けた結果を、例えば表などを用いてレポート化して出力する。出力は、例えば情報処理装置Ｄの表示部に表示することである。

以下、図３に示す情報処理方法のフローを参照しながら、本実施形態の情報処理装置Ｄが任意の時点で実行する処理の詳細を説明する。

入力部１は図３のステップＳ１において、対象システムのネットワーク構成情報などの入力を受けて、当該対象システムに含まれる装置群のリストと装置間の接続関係のリストとを読み出す。

図４は、入力部１が入力を受け付けるネットワーク構成情報の一例を示す。図４は装置Ａ、Ｂ及びＣがネットワークＮを介して接続されることを示す。ネットワーク構成情報はユーザによって入力されてよい。ネットワーク構成情報は、例えばドローツールで作成したＸＭＬ文書などを含んでよい。図５は、対象システムに含まれる装置群のリストと装置間の接続関係のリストとを示す。各装置には、各装置を識別するための識別情報が対応付けられる。そのような識別情報と装置に関する任意の情報（例：装置の種類又は資産情報など）とが対応付けられてよい。

情報処理装置Ｄの攻撃パス抽出部２は、図３のステップＳ２において、入力部１が読みだした装置群のリストと装置間の接続関係のリストとをグラフ理論におけるグラフデータとみなし、各装置からネットワークを経由して他の装置へ到達できる経路を全て探索することで網羅的に攻撃パスを抽出する。経路探索では、例えばグラフ理論での各種の経路探索の手法が適用されてよい。当該経路探索は、循環（ループ）を含まない最短経路の探索などを含む。攻撃パスのリストの一例が図６に示される。例えば図６における

との表記は、攻撃者が装置ＡからネットワークＮを経由して装置Ｂに攻撃することを示す。

本実施形態の攻撃パス抽出部２は、ネットワークを経由した装置間の経路として攻撃パスを抽出する。しかし、装置上で動作するソフトウェアにより、当該装置が論理的にネットワークとみなせるケースも考えられる。そこで代替的に攻撃パス抽出部２は、装置上でプロキシーやゲートウェイなどのソフトウェアが動作する場合にはその装置を経由した他装置間の経路として攻撃パスを抽出してよい。

図３のステップＳ３を説明する前に、当該ステップＳ３で参照される情報を格納する攻撃事例ＤＢ部３の構成を説明する。

攻撃事例ＤＢ部３は、図７に例示するように、過去の攻撃事例の攻撃内容が発生した際の攻撃用途をノード条件と対応付けて格納する。攻撃用途は少なくとも侵入口と、攻撃拠点と、攻撃対象との少なくとも１つを含む。これらの用語の内容は次の通りである。
「侵入口」：攻撃者が攻撃を行う際に、侵入の入口となる装置など
「攻撃拠点」：侵入した攻撃者が攻撃対象に到達するまでに経由する装置など、あるいは、攻撃対象に対して攻撃を実行する（コマンドなどを送信する）ことが可能な装置など（例えばマルウェアに感染した、サーバ、ロードバランサ、ファイアウォール、ルータなどの装置）
「攻撃対象」：攻撃が行われ、破壊、情報窃取、改ざんなどが行われる装置など

上記の「ノード条件」は装置に関する任意の情報であってよく、例えば装置の種類、ネットワークへの接続の有無などである。すでに装置に関する構成管理がなされており、各装置の機種、ハードウェアに関する物理資源の情報、使用するアプリケーション又はミドルウェアなどのソフトウェアに関する論理資源の情報などが、ＤＢなどで管理されている場合には、攻撃事例ＤＢ部３はそれらの情報をノード条件として使用してもよい。

図３のステップＳ３の説明に戻る。攻撃事例検索部４は、攻撃パス抽出部２が抽出したすべての攻撃パスについて次の処理を実行する。すなわち攻撃事例検索部４は、攻撃パス抽出部２から、例えば図８に示す攻撃パス情報を受け取ると、各ノードの攻撃用途を、攻撃パス内の各ノードの位置に基づいて決定してよい。具体的には攻撃事例検索部４は、図９に示すように、先頭ノードであるノード１を侵入口として、中間ノードであるノード２〜Ｎ−１を攻撃拠点として、末尾ノードであるノードＮを攻撃対象として決定してよい。次いで攻撃事例検索部４は、図１０に示すように、各ノードの攻撃用途とノード条件を抽出する。次いで攻撃事例検索部４は、抽出した攻撃用途とノード条件とを用いて攻撃事例ＤＢ部３を検索し、各ノードに関連する攻撃事例を検索する。検索結果の例が図１１に示される。

出力部５は図３のステップＳ４において、ステップＳ３での検索結果を、例えば表などを用いてレポート化して出力する。図１１に示す検索結果から、例えば次のような攻撃のシナリオを確認することができる。
・装置Ａのログイン画面で不正ログイン試行によってパスワードを特定し装置に侵入する。
・装置Ａから装置Ｂにマルウェアをダウンロードして感染させる。
・装置Ｂから装置Ｃに不正なコマンドを送信して、不正な検索キュエリ試行のコマンドを送信し、データを窃取・改ざん・削除する。

以上のように本実施形態によれば、情報処理装置Ｄの攻撃パス抽出部２は、入力部１が読み出した装置群のリストと接続関係のリストに基づいて攻撃パスを抽出する。このため、対象システムにおいて想定される攻撃パスを網羅的に抽出することができる。また情報処理装置Ｄの攻撃事例検索部４は、攻撃パス抽出部２によって抽出された攻撃パスを構成する各ノードとなる各装置の攻撃用途とノード条件とを決定し、当該決定した攻撃用途と決定したノード条件とを用いて攻撃事例ＤＢ部３を検索して、各装置に対応する攻撃事例を取得する。このため、攻撃パスにつながる各装置の攻撃事例（攻撃内容と対策とを含んでよい）を把握することが可能である。もってセキュリティの専門家がいなくても、攻撃パスに対して備えることが可能である。

また本実施形態によれば、攻撃事例検索部４は、攻撃用途を、攻撃パスにおける装置の位置に基づいて決定する。このため、各装置の攻撃用途を的確に決定することができる。

また本実施形態によれば、攻撃事例検索部４は、ノード条件を、各装置の種類と、当該各装置の他の装置との関係とに基づいて決定する。このため各装置のノード条件を的確に決定することができる。

また本実施形態によれば、攻撃事例は、攻撃内容と、当該攻撃内容への対策とを含む。このため、攻撃パスに対する備えを一層十分なものにすることができる。

また本実施形態によれば、情報処理装置Ｄは、取得された攻撃事例を、表を含むレポートとして出力する出力部５を更に含む。このため、攻撃パスにどのように備えればよいかを一層理解しやすい。

また本実施形態によれば、攻撃用途は、攻撃の際の侵入口と攻撃拠点と攻撃対象との少なくとも１つを含む。すなわち、攻撃用途が細分化されるため、攻撃パスに対する備えを装置ごとに別々に行うことが可能となり、攻撃パスに対する備えが一層十分である。

また本実施形態によれば、攻撃パス抽出部２は、読み出されたリストをグラフ理論におけるグラフデータとみなし、グラフ上の経路探索を実行することで攻撃パスを抽出する。このため、攻撃パスの把握漏れが低減され、もって攻撃パスに対する備えが一層十分である。

上記した実施形態は一例である。発明の趣旨及び範囲内で、当該実施形態に対して多くの変更及び置換ができることは当業者に明らかである。したがって、本開示は、上述の実施形態によって制限するものと解するべきではなく、特許請求の範囲から逸脱することなく、種々の変形又は変更が可能である。例えば、実施例の構成図に記載の複数の構成ブロックを１つに組み合わせたり、あるいは１つの構成ブロックを分割したりすることが可能である。

情報処理装置Ｄをコンピュータで構成する場合、各機能を実現する処理内容を記述したプログラムを、当該コンピュータの内部又は外部の記憶手段に格納しておき、当該コンピュータの中央演算処理装置（ＣＰＵ）によってこのプログラムを読み出して実行させることでコンピュータを機能させることができる。また、このようなプログラムは、例えばＤＶＤ又はＣＤ−ＲＯＭなどの可搬型記録媒体の販売、譲渡、貸与などにより流通させることができるほか、そのようなプログラムを、例えばネットワーク上にあるサーバの記憶手段に記憶しておき、ネットワークを介してサーバから他のコンピュータにそのプログラムを転送することにより、流通させることができる。また、そのようなプログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラム又はサーバから転送されたプログラムを、一旦、自己の記憶手段に格納することができる。また、このプログラムの別の実施態様として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、更に、このコンピュータにサーバからプログラムが転送される度に、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。

Ｄ 情報処理装置
１ 入力部
２ 攻撃パス抽出部
３ 攻撃事例ＤＢ部
４ 攻撃事例検索部
５ 出力部

Claims (8)

1. システムに含まれる装置群のリストと装置間の接続関係のリストとを読み出す入力部と、
   前記入力部が読み出した前記装置群のリストと前記接続関係のリストとに基づいて攻撃パスを抽出する攻撃パス抽出部と、
   過去の攻撃事例を、当該攻撃事例が発生した際の攻撃用途及びノード条件と対応付けて格納する攻撃事例ＤＢ部と、
   前記攻撃パス抽出部によって抽出された攻撃パスを構成する各ノードとなる各装置の攻撃用途とノード条件とを決定し、当該決定した攻撃用途と前記決定したノード条件とを用いて前記攻撃事例ＤＢ部を検索して、前記各装置に対応する攻撃事例を取得する攻撃事例検索部と、
   前記検索の結果を出力する出力部と、
   を含む情報処理装置。
2. 請求項１に記載の情報処理装置において、
   前記攻撃事例検索部は、前記攻撃用途を、前記攻撃パスにおける装置の位置に基づいて決定する、情報処理装置。
3. 請求項１又は２に記載の情報処理装置において、
   前記攻撃事例検索部は、前記ノード条件を、各装置の種類と、当該各装置の他の装置との関係とに基づいて決定する、情報処理装置。
4. 請求項１乃至３のいずれか１項に記載の情報処理装置において、
   前記攻撃事例は、攻撃内容と、当該攻撃内容への対策とを含む、情報処理装置。
5. 請求項１乃至４のいずれか１項に記載の情報処理装置において、
   前記出力部は、取得された攻撃事例を、表を含むレポートとして出力する、情報処理装置。
6. 請求項１乃至５のいずれか１項に記載の情報処理装置において、
   前記攻撃用途は、攻撃の際の侵入口と攻撃拠点と攻撃対象との少なくとも１つを含む、情報処理装置。
7. 請求項１乃至６のいずれか１項に記載の情報処理装置において、
   前記攻撃パス抽出部は、読み出された前記装置群のリストと前記接続関係のリストとをグラフ理論におけるグラフデータとみなし、グラフ上の経路探索を実行することで前記攻撃パスを抽出する、情報処理装置。
8. 入力部によって、システムに含まれる装置群のリストと装置間の接続関係のリストとを読み出すステップと、
   攻撃パス抽出部によって、前記入力部が読み出した前記装置群のリストと前記接続関係のリストとに基づいて攻撃パスを抽出するステップと、
   攻撃事例ＤＢ部によって、過去の攻撃事例を、当該攻撃事例が発生する際の攻撃用途及びノード条件と対応付けて格納するステップと、
   攻撃事例検索部によって、前記攻撃パス抽出部によって抽出された攻撃パスを構成する各装置の攻撃用途とノード条件とを決定し、当該決定した攻撃用途と前記決定したノード条件とを用いて前記攻撃事例ＤＢ部を検索して、前記各装置に対応する攻撃事例を取得するステップと、
   出力部によって前記検索の結果を出力するステップと、
   を含む情報処理方法。

Images