JP6933112B2 - サイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置 - Google Patents

サイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置 Download PDF

Info

Publication number
JP6933112B2
JP6933112B2 JP2017230888A JP2017230888A JP6933112B2 JP 6933112 B2 JP6933112 B2 JP 6933112B2 JP 2017230888 A JP2017230888 A JP 2017230888A JP 2017230888 A JP2017230888 A JP 2017230888A JP 6933112 B2 JP6933112 B2 JP 6933112B2
Authority
JP
Japan
Prior art keywords
information
reliability
threat intelligence
cyber
cyber threat
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2017230888A
Other languages
English (en)
Other versions
JP2019101672A (ja
Inventor
幸治 山田
幸治 山田
敏孝 里見
敏孝 里見
竜介 益岡
竜介 益岡
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2017230888A priority Critical patent/JP6933112B2/ja
Priority to US16/190,604 priority patent/US10880337B2/en
Publication of JP2019101672A publication Critical patent/JP2019101672A/ja
Application granted granted Critical
Publication of JP6933112B2 publication Critical patent/JP6933112B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H04L63/302—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information gathering intelligence information for situation awareness or reconnaissance
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/008—Reliability or availability analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/25—Integrating or interfacing systems involving database management systems
    • G06F16/258—Data format conversion from or to a database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/02—Services making use of location information
    • H04W4/021—Services related to particular areas, e.g. point of interest [POI] services, venue services or geofences

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Databases & Information Systems (AREA)
  • Quality & Reliability (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • Evolutionary Computation (AREA)
  • Technology Law (AREA)
  • Data Mining & Analysis (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Information Transfer Between Computers (AREA)

Description

本発明の実施形態は、サイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置に関する。
近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃は多種多様な方法で実施される。よって、サイバー攻撃の対処には、類似するサイバー攻撃にかかるサイバー脅威インテリジェンス（ＣＴＩとも呼ぶ）を見つけて参考とすることが有効である。
サイバー脅威インテリジェンスは、サイバー攻撃に関する攻撃者や目的、攻撃手法・手口などをセンサーなどが自動的に発行するアラートだけではなく、アナリストの分析も含めレポート等にまとめたサイバー攻撃にかかる情報である。このサイバー脅威インテリジェンスについては、標準化やプラットフォームの構築などが進みつつあり、大量のサイバー脅威インテリジェンスを利用するための基盤が整ってきている。
また、近年、特定の業種などのグループにターゲットを絞った標準型攻撃が増加しており、このような攻撃に対応するため、グループごとにコミュニティを形成している。そして、コミュニティにおいては、ＳＮＳ（Social Networking Service）等の投稿情報を利用したサイバー脅威インテリジェンスについての情報共有を行っている。このようなコミュニティにおける投稿情報について、対象物を評価したユーザの信頼度を、その後同じ対象物に他者が付与した評価に連動させる評価装置が知られている。
特開２０１１−１９２１０３号公報 特開２００９−１１０３３４号公報
しかしながら、上記の従来技術では、ＳＮＳにおける投稿情報の信頼度が関連するサイバー脅威インテリジェンスに反映されて互いに共有されるものではなかった。例えば、上記の従来技術では、ＳＮＳにおける投稿でサイバー脅威インテリジェンスに関する評価を行ったとしても、その評価がサイバー脅威インテリジェンスの信頼性には影響されない。このため、サイバー脅威インテリジェンスの分析において、投稿の評価を活かした分析の効率化・高度化を進めることが困難であった。
１つの側面では、ＳＮＳにおける投稿の評価をサイバー脅威インテリジェンスの信頼性に反映させることができるサイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置を提供することを目的とする。
第１の案では、サイバー攻撃情報処理プログラムは、記憶する処理と、更新する処理とをコンピュータに実行させる。記憶する処理は、サイバー攻撃に関する情報を取得した場合、サイバー攻撃に関する情報をサイバー攻撃に関する情報の取得源に基づく信頼度と対応づけて記憶部に記憶する。更新する処理は、サイバー攻撃に関する情報に対応する投稿情報が情報処理端末からアップロードされたことを検知すると、投稿情報にかかる信頼度に応じてサイバー攻撃に関する情報に対応付けられた信頼度を更新する。
本発明の１実施態様によれば、ＳＮＳにおける投稿の評価をサイバー脅威インテリジェンスの信頼性に反映させることができる。
図１は、実施形態にかかるシステム構成例を説明する説明図である。 図２は、ＳＴＩＸにおける自信度の導入例を説明する説明図である。 図３は、ＣＴＩの一例を示す図である。 図４は、投稿情報の登録処理の一例を示すフローチャートである。 図５は、投稿画面例を説明する説明図である。 図６は、投稿情報からＣＴＩへの変換を説明する説明図である。 図７は、投稿に信頼度を付与する処理を示すフローチャートである。 図８は、投稿への信頼度の付与を説明する説明図である。 図９は、ＣＴＩの出力処理の一例を示すフローチャートである。 図１０は、ユーザ端末における表示例を説明する説明図である。 図１１は、ＣＴＩに信頼度を付与する処理を示すフローチャートである。 図１２は、ＣＴＩに信頼度を付与する処理を示すフローチャートである。 図１３は、ＣＴＩごとの重み付けの違いを説明する説明図である。 図１４は、ＣＴＩと情報源への信頼度の付与を説明する説明図である。 図１５は、投稿による信頼度の伝播を説明する説明図である。 図１６は、ＣＴＩの出力画面例を説明する説明図である。 図１７は、分散したシステム構成例を説明する説明図である。 図１８は、実施形態にかかる情報処理装置のハードウエア構成例を示すブロック図である。
以下、図面を参照して、実施形態にかかるサイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するサイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
図１は、実施形態にかかるシステム構成例を説明する説明図である。図１に示すように、実施形態にかかるシステム構成では、投稿システム１と、サイバー脅威インテリジェンスＤＢ２１を格納する記憶装置２と、サイバー脅威インテリジェンス管理システム３とを有する。
投稿システム１は、例えばＳＮＳ等であり、ユーザ端末１０Ａより投稿された情報を他のユーザ端末１０Ｂへ配信するいわゆる人間系のシステムの一例である。なお、ユーザ端末１０Ａ、１０Ｂは、情報処理端末の一例であり、例えばＰＣ（パーソナルコンピュータ）、スマートフォン、タブレット端末などを適用できる。
投稿システム１は、ユーザ端末１０Ａから投稿された情報を受け付ける投稿受付部１１と、投稿された情報をサイバー脅威インテリジェンスＤＢ２１に登録する登録部１２とを有する。また、投稿システム１は、ユーザ（投稿者）ごとの情報を管理するユーザ管理ＤＢ１３と、サイバー脅威インテリジェンスＤＢ２１に登録された情報をユーザ端末１０Ｂへ出力する出力部１４とを有する。
記憶装置２は、サイバー脅威インテリジェンスＤＢ２１を格納する記憶装置であり、例えばＬＡＮ（Local Area Network）やインターネットなどの通信ネットワーク（図示しない）を介して投稿システム１およびサイバー脅威インテリジェンス管理システム３と接続する。
なお、本実施形態では、記憶装置２がサイバー脅威インテリジェンス管理システム３から独立した構成を例示するが、記憶装置２はサイバー脅威インテリジェンス管理システム３内に組み込まれたものであってもよい。すなわち、サイバー脅威インテリジェンスＤＢ２１は、サイバー脅威インテリジェンス管理システム３内に格納されていてもよい。
サイバー脅威インテリジェンスＤＢ２１は、サイバー攻撃のイベントごとのサイバー脅威インテリジェンス（ＣＴＩ）を格納するデータベースである。このサイバー脅威インテリジェンスＤＢ２１が格納するサイバー脅威インテリジェンスは、サイバー攻撃を特徴付ける事象などを取り込んだサイバー攻撃活動に関連する項目を記述するための技術仕様であるＳＴＩＸ（Structured Threat Information eXpression）に沿ったＳＴＩＸ言語などの所定のデータ構造で記述される。なお、以後の説明ではサイバー攻撃インテリジェンスはＳＴＩＸ形式のデータ構造であるものとするが、データ構造についてはＳＴＩＸ形式に限定するものではない。
具体的には、サイバー脅威インテリジェンスは、サイバー攻撃活動（Campaigns）とともに、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の種別ごとのイベント内容などが含まれる。なお、ＴＴＰは、Tactics, Techniques and Proceduresの略である。このサイバー攻撃活動とともに含まれるイベント内容は、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象の一部又は全部の情報であってよい。
また、サイバー脅威インテリジェンスは、記述されたイベント内容についての信頼性を示す自信度が含まれる。図２は、ＳＴＩＸにおける自信度の導入例を説明する説明図である。
図２に示すように、ＳＴＩＸ２．１では、Ｃｏｎｆｉｄｅｎｃｅ（自信度）が導入される。具体的には、ＳＴＩＸ２．１では、イベント内容についての信頼性を０〜１００の値で示す。なお、信頼性については、低い順にＮｏｎｅ／Ｌｏｗ／Ｍｅｄｉｕｍ／Ｈｉｇｈの４段階程度で示してもよい。
また、サイバー脅威インテリジェンスは、ＴＬＰ（Traffic Light Protocol）などで示されたアクセス範囲を示す情報が含まれる。例えば、アクセス範囲は、サイバー脅威インテリジェンスの受取人をアクセス範囲とするＲＥＤ、受取人および特定の人をアクセス範囲とするＡＭＢＥＲで示される。また、アクセス範囲は、所定のコミュニティ（グループ）内をアクセス範囲とするＧＲＥＥＮまたは全世界（誰でも）をアクセス範囲とするＷＨＩＴＥで示される。なお、アクセス対象とする人や共有するグループなどは、ＴＬＰとは別に通知される。これにより、サイバー脅威インテリジェンス管理システム３では、アクセス範囲で示される対象（例えば受取人、グループなど）に対してサイバー脅威インテリジェンスを提供できる。
図３は、ＣＴＩの一例を示す図である。図３に示すように、サイバー脅威インテリジェンス２１Ａは、ＸＭＬ（eXtensible Markup Language）形式により、タグを付けた要素を階層化（入れ子構造）してルートの要素からの木構造で上記の情報を記述する。具体的には、サイバー脅威インテリジェンス２１Ａは、サイバー攻撃イベントにおけるサイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを要素（ノード）とし、各要素内の情報を子要素（配下のノード）とする木構造で記述している。
サイバー脅威インテリジェンス管理システム３は、外部サイト４から取得したサイバー脅威インテリジェンス２１Ａをサイバー脅威インテリジェンスＤＢ２１に登録し、サイバー脅威インテリジェンス２１Ａの管理・活用を行ういわゆるシステム系のシステムの一例である。
サイバー脅威インテリジェンス管理システム３は、米国国土安全保障省（ＤＨＳ）において、サイバー脅威インテリジェンス２１Ａを共有する枠組みであるＡＩＳ（Automated Indicator Sharing）や、サイバー脅威インテリジェンス２１Ａの配信サービスを提供するｉＳＩＧＨＴ Ｐａｒｔｎｅｒｓ等の外部サイト４とインターネット等を介して接続している。サイバー脅威インテリジェンス管理システム３は、これらの外部サイト４からＴＡＸＩＩ(Trusted Automated eXchange of Indicator Information)等を用いて提供されたサイバー脅威インテリジェンス２１Ａをサイバー脅威インテリジェンスＤＢ２１に登録する。
また、サイバー脅威インテリジェンス管理システム３は、サイバー攻撃を分析するアナリスト等がユーザ端末３０より入力したサイバー脅威インテリジェンス２１Ａを、サイバー脅威インテリジェンスＤＢ２１に登録するとともに、ＴＡＸＩＩ等を用いて外部サイト４に提供する。このように、いわゆるシステム系におけるサイバー脅威インテリジェンス管理システム３および外部サイト４は、互いにサイバー脅威インテリジェンス２１Ａを共有する。
また、サイバー脅威インテリジェンス管理システム３は、サイバー脅威インテリジェンスＤＢ２１に格納されたサイバー脅威インテリジェンス２１Ａについて構文解析を行い、サイバー攻撃活動とともに、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などの各種別についての情報を取得する。次いで、サイバー脅威インテリジェンス管理システム３は、取得したサイバー攻撃にかかる情報の集計等の解析を行い、解析結果の情報源管理ＤＢ３１を生成してユーザ端末３０に表示させる。これにより、ユーザ端末３０を利用するアナリスト等は、サイバー脅威インテリジェンスＤＢ２１に格納されたサイバー脅威インテリジェンス２１Ａの解析結果を確認できる。
例えば、サイバー脅威インテリジェンス管理システム３は、サイバー脅威インテリジェンス２１Ａの構文解析結果より、サイバー攻撃イベントにおけるサイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを代表するノードとし、各ノード内の情報を配下のノードとする木構造を解析する。一例として、サイバー脅威インテリジェンス管理システム３は、タグを付けた要素（ノード）の入れ子構造を解析することで、木構造の解析を行う。次いで、サイバー脅威インテリジェンス管理システム３は、木構造の解析結果をもとに、木構造に従ってノード同士を結線で接続したグラフ図として表示画面３５を表示する表示情報を生成し、ユーザ端末３０に出力する。
ここで、投稿システム１における投稿受付部１１、登録部１２、ユーザ管理ＤＢ１３および出力部１４の詳細を説明する。
投稿受付部１１は、インターネット等の通信ネットワークを介して接続するユーザ端末１０Ａに対して投稿用の画面を表示してＳＮＳ等に投稿する投稿情報を受け付ける。投稿受付部１１は、ユーザ端末１０Ａより受け付けた投稿情報を登録部１２へ出力する。
登録部１２は、投稿受付部１１が受け付けた投稿情報を、ＩＤ等の識別情報および投稿日時を示す時刻情報などを付与した上で、サイバー脅威インテリジェンスＤＢ２１に登録する。
具体的には、登録部１２は、投稿情報に含まれるタイトルおよび本文などを解析し、タイトルおよび本文などにサイバー攻撃にかかる単語、フレーズなどが含まれているか否かをもとに、投稿情報がサイバー攻撃に関する情報を含むか否かを判定する。
サイバー攻撃に関する情報を含まない場合、登録部１２は、投稿情報のタイトルを、ＳＴＩＸにおける「ＳＴＩＸ Ｈｅａｄｅｒ Ｔｉｔｌｅ」の要素として抽出する。また、登録部１２は、投稿情報の本文や添付ファイルを、ＳＴＩＸにおける「ＳＴＩＸ Ｈｅａｄｅｒ Ｄｅｓｃｒｉｐｔｉｏｎ」の要素として抽出する。次いで、抽出した要素をもとに、登録部１２は、ＳＴＩＸ等の所定のデータ構造で記述したサイバー脅威インテリジェンス２１Ａを生成してサイバー脅威インテリジェンスＤＢ２１に登録する登録処理を行う。
サイバー攻撃に関する情報を含む場合、登録部１２は、投稿情報よりサイバー攻撃イベントにおけるサイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などの要素を抽出する。次いで、抽出した要素をもとに、登録部１２は、ＳＴＩＸ等の所定のデータ構造で記述したサイバー脅威インテリジェンス２１Ａを生成してサイバー脅威インテリジェンスＤＢ２１に登録する登録処理を行う。
この登録処理において、登録部１２は、ユーザ管理ＤＢ１３を参照し、投稿情報の投稿者（ユーザ）に対応して設定された信頼度をサイバー脅威インテリジェンス２１Ａの信頼度として付与した上で登録する。
具体的には、ユーザ管理ＤＢ１３には、投稿者を識別する識別情報（例えば投稿者ＩＤ）とともに、投稿者の属性の一つとして、投稿者についての基本信頼度が予め設定されている。
登録部１２は、投稿情報における投稿者ＩＤをもとに、投稿者について予め設定された基本信頼度を読み出す。次いで、登録部１２は、読み出した基本信頼度に、投稿情報の含まれる、投稿者の投稿内容に対する自信度を加えた信頼度の値をサイバー脅威インテリジェンス２１Ａの信頼度とした上で、サイバー脅威インテリジェンス２１Ａをサイバー脅威インテリジェンスＤＢ２１に登録する。
また、登録部１２は、登録対象の投稿情報が、サイバー脅威インテリジェンスＤＢ２１に登録済みである他の投稿情報（サイバー脅威インテリジェンス）に対する同意や不同意などのフィードバック（評価情報）である場合、フィードバックの内容をもとに、他の投稿情報の信頼度を更新する。例えば、同意する（ポジティブな）フィードバックには、タイトルやＩＤなどで他の投稿情報を指定した、「いいね」の送信などがある。逆に、不同意の（ネガティブな）フィードバックには、タイトルやＩＤなどで他の投稿情報を指定した、「いいね」と反対する意思の送信などがある。
登録部１２は、このような他の投稿情報に対するフィードバックについては、サイバー脅威インテリジェンスＤＢ２１に登録済みの投稿情報（サイバー脅威インテリジェンス）の中からタイトルやＩＤなどで指定された投稿情報を特定する。次いで、登録部１２は、特定した投稿情報の信頼度について、同意の場合は所定値を加算して信頼度の更新を行う。逆に、不同意の場合、登録部１２は、所定値を減算して信頼度の更新を行う。
図４は、投稿情報の登録処理の一例を示すフローチャートである。図４に示すように、処理が開始されると、投稿受付部１１は、ユーザ端末１０Ａより投稿情報を受け付ける（Ｓ１）。
図５は、投稿画面例を説明する説明図である。図５に示すように、ユーザ端末１０Ａでは、項目４１〜４６等の入力項目と、投稿ボタン４７とが表示された投稿画面４０より投稿情報の入力を行う。
具体的には、項目４１は、投稿情報におけるタイトルの項目である。項目４２は、投稿情報における本文の項目である。項目４３は、投稿情報のアクセス範囲を示す項目である。具体的には、項目４３では、ＲＥＤ、ＡＭＢＥＲ、ＧＲＥＥＮ、ＷＨＩＴＥ等のＴＬＰで示されたアクセス範囲が指示される。
項目４３ａは、投稿者の投稿内容に対する自信度を示す項目である。例えば、図示例では、自信の高い順に「Ｈｉｇｈ」、「Ｍｅｄｉｕｍ」、「Ｌｏｗ」の選択設定を受け付ける。なお、「Ｎｏｎｅ」については、投稿内容は間違っているという意味で用いるものとする。
また、項目４３ａは、タイトルなどで指定された他の投稿へのフィードバックを指示してもよい。例えば、タイトルなどで指定された他の投稿に同意（例えば「いいね」の送信）する場合は、同意度合いについて「Ｈｉｇｈ」、「Ｍｅｄｉｕｍ」、「Ｌｏｗ」でフィードバックする。逆に、タイトルなどで指定された他の投稿に不同意（「いいね」と反対する意思の送信）する場合は、「Ｎｏｎｅ」とともに、不同意度合いについて「Ｈｉｇｈ」、「Ｍｅｄｉｕｍ」、「Ｌｏｗ」でフィードバックする。
項目４４は、ＴＬＰで示されたアクセス範囲で投稿情報を共有するグループや人を示す項目である。項目４５は、投稿情報に添付するファイルを指定する項目である。なお、図示例では項目４５において１つのファイルを添付する場合を例示しているが、項目４５において添付するファイルの指定は複数あってもよい。項目４６は、投稿情報の投稿者を匿名とするか否かを指定する項目である。
ユーザ端末１０Ａのユーザは、項目４１〜４６の各項目を設定した上で投稿ボタン４７を操作することで、項目４１〜４６で設定した内容の投稿情報を投稿システム１へ送ることができる。登録部１２は、ＩＤおよび投稿日時などの情報を付与した上で、項目４１〜４６で設定した内容の投稿情報をサイバー脅威インテリジェンスＤＢ２１に登録する。
図４に戻り、Ｓ１に次いで、登録部１２は、投稿情報に含まれるタイトルおよび本文などにサイバー攻撃にかかる単語、フレーズなどが含まれている投稿情報を得るフィルタ処理を行う（Ｓ２）。このフィルタ処理により、登録部１２は、サイバー脅威インテリジェンス２１Ａとして変換するのに有用な投稿情報を選別する。
次いで、登録部１２は、フィルタ処理後の投稿情報、すなわちサイバー攻撃に関する投稿情報を解析し、サイバー脅威インテリジェンス２１Ａとして記述するための、サイバー攻撃イベントにかかる各種要素およびアクセス範囲を抽出する（Ｓ３）。
例えば、登録部１２は、投稿情報のタイトルを、ＳＴＩＸにおける「ＳＴＩＸ Ｈｅａｄｅｒ Ｔｉｔｌｅ」の要素として抽出する。また、登録部１２は、投稿情報の本文を、ＳＴＩＸにおける「ＳＴＩＸ Ｈｅａｄｅｒ Ｄｅｓｃｒｉｐｔｉｏｎ」の要素として抽出する。
また、登録部１２は、投稿情報のタイトルおよび本文から、正規表現（Regular Expressions）あるいは公知の自然言語処理を用いて、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）等の要素を取り出し、ＳＴＩＸの要素とする。また、投稿情報におけるアクセス範囲の項目からは、ＲＥＤ、ＡＭＢＥＲ、ＧＲＥＥＮ、ＷＨＩＴＥ等のＴＬＰで示された値を抽出する。また、自信度を示す項目からは、「Ｈｉｇｈ」、「Ｍｅｄｉｕｍ」、「Ｌｏｗ」、「Ｎｏｎｅ」で示された値を抽出する。
なお、投稿時のタイトル、本文などに、ＳＴＩＸの要素を示す簡単なマークアップを入れてもらう場合は、マークアップをもとにＳＴＩＸの要素を抽出してもよい。例えば、通常「Ｘ国がサイバー攻撃を仕掛けた…」と書くところ、「＜Ｔｈｒｅａｔ＿Ａｃｔｏｒ：Ｘ国＞がサイバー攻撃を仕掛けた…」とある場合は、「Ｘ国」をＳＴＩＸの攻撃者（Threat_Actors）とする。
また、投稿時のタイトル、本文などに他の投稿を示す内容がある場合（他の投稿のタイトルやＩＤなど）は、他の投稿に対するフィードバックとして抽出する。
また、登録部１２は、投稿情報において添付されたファイル（ＣＳＶファイル、テキストファイル等）は、正規表現あるいは公知の自然言語処理を用いてＳＴＩＸの要素を取り出す。例えば、ＣＳＶファイル等に記述されたアドレス一覧などをもとに、検知指標（Indicators）におけるＩＰ Ａｄｄｒｅｓｓ、Ｄｏｍａｉｎ、Ｎａｍｅ、Ｈａｓｈ値等を取り出す。そして、登録部１２は、取り出した値を、ＳＴＩＸ ＩｎｄｉｃａｔｏｒｓおよびＳＴＩＸ Ｏｂｓｅｒｖａｂｌｅｓの両方またはいずれか一方とする。また、テキストファイル等の文書をもとに、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）等の要素を取り出し、ＳＴＩＸの要素とする。なお、これら添付されたファイルについても同様に、マークアップをもとにＳＴＩＸの要素を抽出してもよい。
次いで、登録部１２は、Ｓ３で抽出した要素にＳＴＩＸに沿ったタグ付けを行うことでサイバー脅威インテリジェンス２１Ａを生成し（Ｓ４）、生成したサイバー脅威インテリジェンス２１Ａをサイバー脅威インテリジェンスＤＢ２１に登録する（Ｓ５）。
図６は、投稿情報からサイバー脅威インテリジェンスへの変換を説明する説明図である。図６に示すように、投稿情報５０におけるタイトルおよび本文は、サイバー攻撃イベントにかかる各種要素を抽出することで、サイバー脅威インテリジェンス５１Ａとして変換される。同様に、投稿情報５０における添付ファイルは、サイバー脅威インテリジェンス５１Ｂ、５１Ｃとして変換される。なお、添付ファイルについては、例えばＢａｓｅ６４等の所定のエンコード方式でエンコードした上でＳＴＩＸの要素として含めてもよい。同様に、投稿情報５０に関連するコメントは、サイバー脅威インテリジェンス５１Ｄ、５１Ｅとして変換される。
サイバー脅威インテリジェンス５１Ａ〜５１Ｅにおいては、投稿情報５０で指定されたアクセス範囲が同一に保ったまま変換される。このため、サイバー脅威インテリジェンス５１Ａ〜５１Ｅについても、投稿情報５０で指定されたアクセス範囲がそのまま保たれることとなる。
また、投稿情報５０から変換したサイバー脅威インテリジェンス５１Ａ〜５１Ｅには、各々を識別するＩＤを付与するとともに、互いに参照する参照先の「ＩＤ」を「Ｒｅｆｅｒｅｎｃｅ」に記載する。これにより、サイバー脅威インテリジェンス５１Ａ〜５１Ｅの関連を特定することができる。
図４に戻り、Ｓ５に次いで、登録部１２は、サイバー脅威インテリジェンスＤＢ２１に登録する投稿（サイバー脅威インテリジェンス２１Ａ）について、信頼度を付与する処理を行う（Ｓ６）。
図７は、投稿に信頼度を付与する処理を示すフローチャートである。具体的には、図７のＳ６ａは、新規投稿時において、サイバー脅威インテリジェンス２１Ａに信頼度を付与する処理を示すフローチャートである。また、図７のＳ６ｂは、サイバー脅威インテリジェンスＤＢ２１に登録済みである他の投稿情報（サイバー脅威インテリジェンス）に対するフィードバック時において、信頼度を付与する処理を示すフローチャートである。
Ｓ６ａのフローチャートに示すように、新規投稿時において、登録部１２は、新規の投稿（サイバー脅威インテリジェンス２１Ａ）対し、投稿者ＩＤをもとにユーザ管理ＤＢ１３より読み出した基本信頼度を設定する（Ｓ６０）。次いで、登録部１２は、投稿者入力（項目４３ａ）に基づく自信度を基本信頼度に加算して反映し、サイバー脅威インテリジェンス２１Ａの信頼度として更新（登録）する（Ｓ６１）。
具体的には、登録部１２は、信頼度（Ｒ）＝Ｒｂ（基本信頼度）＋ｆ（Ｃ：自信度）を計算し、計算した信頼度をサイバー脅威インテリジェンス２１Ａの信頼度とする。なお、ｆ（Ｃ）は、自信度（Ｃ）に応じた関数であり、例えばＣが「Ｈｉｇｈ」の場合「２」、「Ｍｅｄｉｕｍ」の場合「１」、「Ｌｏｗ」の場合「０」、「Ｎｏｎｅ」の場合「×（−１）」などとする。
また、Ｓ６ｂのフローチャートに示すように、フィードバック時において、登録部１２は、フィードバック対象の他の投稿（サイバー脅威インテリジェンス）をタイトルやＩＤなどで特定する。次いで、登録部１２は、特定した他の投稿の信頼度に対し、フィードバック入力に基づくポジティブ／ネガティブ度合いに対応する値を反映した上で、信頼度を更新する（Ｓ６２）。
具体的には、登録部１２は、もとの信頼度（Ｒ）と、フィードバックの内容（Ｆ０）により定まる関数ｆ（Ｆ０）とにより、更新後の信頼度（Ｒｎｅｗ）をＲｎｅｗ＝Ｒ＋ｆ（Ｆ０）として求める。例えば、ｆ（Ｆ０）は、ポジティブ度合いが高いほど高い値が得られ、逆にネガティブ度合いが高いほど低い値が得られる関数であるものとする。
これにより、投稿システム１においてユーザ端末１０Ａより受信した投稿情報（サイバー攻撃に関する情報を含む）は、サイバー脅威インテリジェンスＤＢ２１のサイバー脅威インテリジェンス２１Ａとしてサイバー脅威インテリジェンス管理システム３においても共有することができる。また、投稿情報におけるサイバー脅威インテリジェンス２１Ａには、投稿者（投稿元）に設定された信頼度、投稿者が付与した自信度および投稿情報への他の投稿者が行ったフィードバックのいずれか、またはこれらの組み合わせより算出される信頼度が付与されている。
図８は、投稿への信頼度の付与を説明する説明図である。図８に示すように、投稿（Ｐ１）については、投稿者である山田に設定されたユーザ信頼度が「１０」であり、投稿者が付与した自信度が「Ｈｉｇｈ（＋２）」である。また、投稿（Ｐ１）に対して、佐藤からポジティブなフィードバック「＋１」がある。このような投稿（Ｐ１）のサイバー脅威インテリジェンス２１Ａには、１０＋２＋１＝１３の修正後の信頼度が付与される。
また、投稿（Ｐ２）については、投稿者である山田に設定されたユーザ信頼度が「１０」であり、投稿者が付与した自信度が「Ｌｏｗ（−２）」である。また、投稿（Ｐ２）に対して、佐藤からネガティブなフィードバック「−１」がある。このような投稿（Ｐ２）のサイバー脅威インテリジェンス２１Ａには、１０−２−１＝７の修正後の信頼度が付与される。
また、投稿（Ｐ３）については、投稿者である鈴木に設定されたユーザ信頼度が「１３」であり、投稿者が付与した自信度が「Ｎｏｎｅ（×（−１）」である。また、投稿（Ｐ３）に対して、佐藤、山田からポジティブなフィードバック「＋１」がある。このような投稿（Ｐ３）のサイバー脅威インテリジェンス２１Ａには、−（１３＋１＋１）＝−１５の修正後の信頼度が付与される。
図１に戻り、出力部１４は、ユーザ端末１０Ｂからのアクセス（ユーザを示すユーザＩＤおよび投稿情報５０の参照要求など）に応じてサイバー脅威インテリジェンスＤＢ２１に登録された情報を読み出し、ユーザ端末１０Ｂへ出力する。具体的には、出力部１４は、ユーザ端末１０Ｂからのアクセスがあった場合、ユーザ端末１０Ｂから通知されたユーザＩＤなどをもとに、投稿情報５０のアクセス範囲において該当するものをサイバー脅威インテリジェンスＤＢ２１より読み出す。次いで、出力部１４は、サイバー脅威インテリジェンスＤＢ２１より読み出した投稿情報５０を表示する表示データを生成してユーザ端末１０Ｂへ出力する。これにより、ユーザ端末１０Ｂには、ユーザ端末１０Ｂにおけるユーザのアクセス範囲に該当する投稿情報５０が表示される。
また、出力部１４は、サイバー脅威インテリジェンスＤＢ２１を参照し、サイバー脅威インテリジェンス管理システム３により新たなサイバー脅威インテリジェンス２１Ａが追加されたか否かを監視する。サイバー脅威インテリジェンスＤＢ２１に新たなサイバー脅威インテリジェンス２１Ａが追加された場合、追加されたサイバー脅威インテリジェンス２１Ａを読み出し、投稿情報５０に変換してサイバー脅威インテリジェンスＤＢ２１に格納する出力処理を行う。
図９は、ＣＴＩの出力処理の一例を示すフローチャートである。図９に示すように、処理が開始されると、出力部１４は、サイバー脅威インテリジェンスＤＢ２１を参照して、サイバー脅威インテリジェンス管理システム３により新たなサイバー脅威インテリジェンス２１Ａがサイバー脅威インテリジェンスＤＢ２１に追加されたか否かを判定する。新たなサイバー脅威インテリジェンス２１Ａがサイバー脅威インテリジェンスＤＢ２１に追加された場合、出力部１４は、追加されたサイバー脅威インテリジェンス２１Ａをサイバー脅威インテリジェンスＤＢ２１より取得する（Ｓ１０）。
次いで、出力部１４は、取得したサイバー脅威インテリジェンス２１ＡよりＳＴＩＸの各要素を取り出し、取り出した各要素をもとに投稿情報５０へ変換する（Ｓ１１）。
具体的には、サイバー脅威インテリジェンス２１Ａより取り出したＳＴＩＸの各要素から、人間に判り易い要素をもとに投稿情報５０への変換を行う。例えば、出力部１４は、サイバー脅威インテリジェンス２１Ａにおける「ＳＴＩＸ Ｈｅａｄｅｒ Ｔｉｔｌｅ」を投稿情報５０におけるタイトルに変換する。また、出力部１４は、サイバー脅威インテリジェンス２１Ａにおける「ＳＴＩＸ Ｈｅａｄｅｒ Ｄｅｓｃｒｉｐｔｉｏｎ ａｎｄ／ｏｒ Ｓｈｏｒｔ Ｄｅｓｃｒｉｐｔｉｏｎ」を投稿情報５０における本文に変換する。また、出力部１４は、サイバー脅威インテリジェンス２１Ａの検知指標（Indicators）／観測事象（Observables）の一覧等をＣＳＶファイル等に変換し、投稿情報５０の添付ファイルとしてダウンロードできるようにしてもよい。また、出力部１４は、サイバー脅威インテリジェンス２１Ａにおけるアクセス範囲については同一に保ったままで、アクセス範囲を示す項目（項目４３）として投稿情報５０に変換する。
次いで、出力部１４は、Ｓ１１において変換した投稿情報５０を、ユーザ端末１０Ｂに出力する（Ｓ１２）。このように、サイバー脅威インテリジェンスＤＢ２１に新規追加されたサイバー脅威インテリジェンス２１Ａは、ユーザ端末１０Ａからの投稿と同様に、ユーザ端末１０Ｂよりアクセス可能に変換して出力される。したがって、サイバー脅威インテリジェンスＤＢ２１に新規追加されたサイバー脅威インテリジェンス２１Ａは、投稿システム１においても共有することができる。
次いで、出力部１４は、ユーザ端末１０Ｂによる投稿情報５０へのアクセスの有無を判定する（Ｓ１３）。ユーザ端末１０Ｂからのアクセスがない場合（Ｓ１３：ＮＯ）、Ｓ１０へ処理を戻す。
ユーザ端末１０Ｂからのアクセスがある場合（Ｓ１３：ＹＥＳ）、出力部１４は、サイバー脅威インテリジェンスＤＢ２１より投稿情報５０を読み出す（Ｓ１４）。具体的には、出力部１４は、ユーザ端末１０Ｂから通知されたユーザＩＤなどをもとに、投稿情報５０のアクセス範囲において該当するものをサイバー脅威インテリジェンスＤＢ２１より読み出す。
次いで、出力部１４は、読み出した投稿情報５０を予め設定された条件をもとに選別するフィルタ処理を行う（Ｓ１５）。例えば、読み出した投稿情報５０の中には、サイバー攻撃にかかる情報として投稿システム１のユーザ（人間系）にとって有用な情報の他に、あまり意味のない情報が含まれている場合がある。一例として、タイトルと、検知指標（Indicators）とが記述され、他の要素が無い投稿情報５０は、システム系では意味のある情報であっても、人間系ではあまり意味のある情報ではない。
また、フィルタ処理の一例としては、投稿情報５０におけるフィード毎に、予め設定されたホワイトリストの条件にマッチする場合に透過し、ブラックリストの条件にマッチする場合に遮断するものとしてもよい。また、フィルタ処理の一例としては、投稿情報５０におけるフィード内のＩＰアドレスが所定の範囲内である場合に透過し、範囲外である場合に遮断してもよい。
したがって、出力部１４は、予め設定された選別条件をもとに、人間系において意味のある投稿情報５０を選別する。なお、出力部１４は、同じ内容の投稿情報５０が、単位時間あたりに多量に投稿されている場合は、代表とする１つに圧縮するなどしてもよい。
次いで、出力部１４は、フィルタ処理後の投稿情報５０を、投稿日時が示す時間順序をもとにソートし、例えば直近から過去に向かう順序で投稿情報５０を並べ直す（Ｓ１６）。次いで、出力部１４は、ソート後の投稿情報５０を一覧表示する表示データを生成し、ユーザ端末１０Ｂへ出力する（Ｓ１７）。これにより、ユーザ端末１０Ｂでは、サイバー脅威インテリジェンス２１Ａより変換されたものを含む投稿情報５０の一覧を確認することができる。
図１０は、ユーザ端末における表示例を説明する説明図である。図１０におけるユーザ端末６０は、スマートフォンタイプのユーザ端末１０Ｂの一例である。
図１０に示すように、ユーザ端末６０には、Ｓ１７において出力部１４より出力された表示データに基づく一覧表示画面６１が表示されている。これにより、ユーザ端末６０のユーザは、サイバー脅威インテリジェンス２１Ａより変換されたものを含む投稿情報５０を時間順序に従ってソートした一覧を確認することができる。ここで、ユーザ端末６０のユーザは、一覧表示画面６１におけるボタン操作により投稿画面４０を呼び出すことで、新たな投稿を行ってもよい。
また、一覧表示画面６１に一覧表示された投稿情報５０の中から所定の投稿情報５０が選択された場合、ユーザ端末６０は、選択された投稿情報５０の内容を投稿システム１の出力部１４に問い合わせる。具体的には、ユーザ端末６０は、選択された投稿情報５０を識別するＩＤを投稿システム１の出力部１４へ通知する。
出力部１４は、ユーザ端末６０より通知されたＩＤをもとに、サイバー脅威インテリジェンスＤＢ２１を参照することで、選択された投稿情報５０における各項目の情報を取得する。次いで、出力部１４は、選択された投稿情報５０の各項目を表示する表示データを生成し、ユーザ端末６０へ出力する。これにより、ユーザ端末６０では、選択された投稿情報５０の各項目を表示する投稿出力画面６２が表示される。
図１に戻り、サイバー脅威インテリジェンス管理システム３の詳細を説明する。サイバー脅威インテリジェンス管理システム３は、情報源管理ＤＢ３１、サイバー脅威インテリジェンス登録部３２、信頼度更新部３３および出力部３４を有する。
情報源管理ＤＢ３１は、サイバー脅威インテリジェンス２１Ａの情報源（取得源）である外部サイト４ごとの情報を管理するデータベースである。具体的には、情報源管理ＤＢ３１は、外部サイト４を識別する識別情報（例えばサイトアドレス、サイト名またはサイトＩＤ）とともに、外部サイト４に予め設定された信頼度（情報源信頼度）などの外部サイト４にかかる情報を格納する。
サイバー脅威インテリジェンス登録部３２は、サイバー攻撃を分析するアナリスト等がユーザ端末３０より入力したサイバー脅威インテリジェンス２１Ａや外部サイト４からＴＡＸＩＩ等を用いて提供されたサイバー脅威インテリジェンス２１Ａをサイバー脅威インテリジェンスＤＢ２１に登録する。このとき、サイバー脅威インテリジェンス登録部３２は、外部サイト４から提供されたサイバー脅威インテリジェンス２１Ａについて信頼度の付与を行う。
図１１は、ＣＴＩに信頼度を付与する処理を示すフローチャートであり、より具体的には、外部サイト４から提供された新規のサイバー脅威インテリジェンス２１Ａについて信頼度を付与する処理を説明する図である。
図１１に示すように、処理が開始されると、サイバー脅威インテリジェンス登録部３２は、外部サイト４から提供されたサイバー脅威インテリジェンス２１Ａについては、情報源管理ＤＢ３１を参照し、取得元である情報源に対して予め設定された情報源信頼度をサイバー脅威インテリジェンス２１Ａの基本信頼度として設定する（Ｓ２０）。次いで、サイバー脅威インテリジェンス登録部３２は、サイバー脅威インテリジェンスＤＢ２１を参照し、投稿システム１よりサイバー脅威インテリジェンスＤＢ２１に登録された投稿情報（サイバー脅威インテリジェンス）の中でサイバー脅威インテリジェンス２１Ａに関連するものを検索する。
具体的には、サイバー脅威インテリジェンス登録部３２は、サイバー脅威インテリジェンスＤＢ２１に登録済の投稿情報の構文解析結果と、サイバー脅威インテリジェンス２１Ａの構文解析結果とを比較する。そして、サイバー脅威インテリジェンス登録部３２は、サイバー攻撃イベントにおける事象（サイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象など）が一致するものを互いに関連する情報とする。
検索により、サイバー脅威インテリジェンスＤＢ２１においてサイバー脅威インテリジェンス２１Ａと関連する投稿情報の登録がない場合、サイバー脅威インテリジェンス登録部３２は、設定した基本信頼度をサイバー脅威インテリジェンス２１Ａの信頼度としてサイバー脅威インテリジェンスＤＢ２１に登録する。
検索により、サイバー脅威インテリジェンス２１Ａと関連する投稿情報の登録がある場合、サイバー脅威インテリジェンス登録部３２は、投稿の信頼度に基づきサイバー脅威インテリジェンス２１Ａの信頼度を更新する（Ｓ２２）。具体的には、サイバー脅威インテリジェンス登録部３２は、投稿情報に付与されている信頼度に基づき、設定した基本信頼度の値を更新（例えば（基本信頼度）＋（付与されている信頼度））する。次いで、サイバー脅威インテリジェンス登録部３２は、更新後の信頼度をサイバー脅威インテリジェンス２１Ａの信頼度としてサイバー脅威インテリジェンスＤＢ２１に登録する。
また、サイバー脅威インテリジェンス登録部３２は、ユーザ端末３０よりアナリスト等が入力したサイバー脅威インテリジェンス２１Ａについては、入力時にアナリスト等が設定した信頼度をそのままサイバー脅威インテリジェンス２１Ａに付与してサイバー脅威インテリジェンスＤＢ２１に登録する。
信頼度更新部３３は、ユーザ端末１０Ａ等によりサイバー脅威インテリジェンス２１Ａに対応する投稿情報がサイバー脅威インテリジェンスＤＢ２１にアップロード（登録）されたことを検知すると、投稿情報にかかる信頼度に応じてサイバー脅威インテリジェンス２１Ａに付与されている信頼度を更新する。また、信頼度更新部３３は、この投稿情報にかかる信頼度に応じて、サイバー脅威インテリジェンス２１Ａの取得源（情報源）にかかる情報源管理ＤＢ３１に設定された信頼度を更新する。
図１２は、ＣＴＩに信頼度を付与する処理を示すフローチャートであり、より具体的には、既存のＣＴＩに関連する新規の投稿により信頼度更新部３３が信頼度を更新する処理を説明する図である。
具体的には、信頼度更新部３３は、投稿システム１よりサイバー脅威インテリジェンスＤＢ２１に新規登録された投稿情報（サイバー脅威インテリジェンス）を監視し、新規登録された投稿情報の構文解析結果と、サイバー脅威インテリジェンスＤＢ２１に登録済みのサイバー脅威インテリジェンス２１Ａの構文解析結果とを比較する。そして、信頼度更新部３３は、サイバー攻撃イベントにおける事象（サイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象など）が一致するものを互いに対応する情報とし、対応する投稿情報のアップロードを検知する。すなわち、信頼度更新部３３は、新規の投稿に対し、関連するＣＴＩ（サイバー脅威インテリジェンス２１Ａ）がサイバー脅威インテリジェンスＤＢ２１に存在するか否かを判定する（Ｓ３０）。
対応する投稿情報のアップロードを検知、すなわち投稿情報に対応するサイバー脅威インテリジェンス２１Ａがサイバー脅威インテリジェンスＤＢ２１に存在する場合（Ｓ３０：ＹＥＳ）、信頼度更新部３３は、投稿情報にかかる信頼度に基づき、サイバー脅威インテリジェンスＤＢ２１におけるサイバー脅威インテリジェンス２１Ａの信頼度を更新する（Ｓ３１）。具体的には、信頼度更新部３３は、投稿情報に設定されている信頼度の値を対応するサイバー脅威インテリジェンス２１Ａの信頼度の値に加算して、サイバー脅威インテリジェンス２１Ａの信頼度を更新する。
同様に、信頼度更新部３３は、投稿情報に設定されている信頼度の値を対応するサイバー脅威インテリジェンス２１Ａの取得源（情報源）について情報源管理ＤＢ３１に設定された情報源信頼度の値に加算し、サイバー脅威インテリジェンス２１Ａにかかる情報源信頼度を更新する。すなわち、信頼度更新部３３は、ＣＴＩ信頼度の更新分（投稿情報に設定されている信頼度）に基づき、情報源管理ＤＢ３１に設定されたＣＴＩの情報源信頼度を更新する（Ｓ３２）。
このとき、信頼度更新部３３は、対応するサイバー脅威インテリジェンス２１Ａに含まれるノード数およびリンク種類数の少なくとも一方に基づいて、情報源信頼度の値に加算する際の重みを変更してもよい。具体的には、信頼度更新部３３は、ノード数・リンクの種類数が多いほど、文脈的情報が豊富で情報としての価値が高いことから、フィードバックする重みを重い値とする。
例えば、信頼度更新部３３は、投稿情報に設定されている信頼度の値（Ｆ）、フィードバックの重み（ｗ）、情報源信頼度（Ｒｓ）より、更新後の情報源信頼度（Ｒｓｎｅｗ）を、Ｒｓｎｅｗ＝ＲＳ＋Ｆ＊ｗとして求める。なお、フィードバックの重みｗ＝（対応するサイバー脅威インテリジェンス２１Ａに含まれるノード数・リンク種類数）／（全投稿のノード数・リンク種類数の平均）とする。また、ネガティブなフィードバックの場合はｗの逆数とする。
図１３は、ＣＴＩごとの重み付けの違いを説明する説明図である。図１３に示すように、サイバー脅威インテリジェンス５１Ｆは、ノードの種類が「Ｉｎｄｉｃａｔｏｒｓ」の１つであり、「Ｉｎｄｉｃａｔｏｒｓ」以外とのリンクがない。これに対し、サイバー脅威インテリジェンス５１Ｇは、ノードの種類が４種類、リンクの種類が３種類であり、サイバー脅威インテリジェンス５１Ｆより文脈的情報が豊富で、情報としての価値が高い。よって、信頼度更新部３３は、価値の高いサイバー脅威インテリジェンス５１Ｇの情報源信頼度については、信頼度が上がりやすく、下がりにくいように重み付けを行う。また、信頼度更新部３３は、価値の低いサイバー脅威インテリジェンス５１Ｆの情報源信頼度については、信頼度が上がりにくく、下がりやすいように重み付けを行う。
図１４は、ＣＴＩと情報源への信頼度の付与を説明する説明図である。図１４に示すように、「ＣａｍｐａｉｇｎＡ」のＣＴＩについては、情報源信頼度が「１０」であり、ＣＴＩに対応する投稿情報は投稿Ｐ１（図８参照）である。よって、「ＣａｍｐａｉｇｎＡ」のＣＴＩにおいて、投稿による修正後の信頼度は、１０＋１３＝２３となる。また、情報源信頼度（更新後）は、１０＋１３ｗＡとなる。なお、ｗＡは、「ＣａｍｐａｉｇｎＡ」のＣＴＩのノード数・リンク種類数に対応する重み値である。
また、「ＣａｍｐａｉｇｎＢ」のＣＴＩについては、情報源信頼度が「２０」であり、ＣＴＩに対応する投稿情報は投稿Ｐ３（図８参照）である。よって、「ＣａｍｐａｉｇｎＢ」のＣＴＩにおいて、投稿による修正後の信頼度は、２０−１５＝５となる。また、情報源信頼度（更新後）は、２０−１５ｗｉとなる。なお、ｗｉは、「ＣａｍｐａｉｇｎＢ」のＣＴＩのノード数・リンク種類数に対応する重み値である。
また、「ＣａｍｐａｉｇｎＣ」のＣＴＩについては、情報源信頼度が「３０」であり、ＣＴＩに対応する投稿情報はなしである。よって、「ＣａｍｐａｉｇｎＣ」のＣＴＩにおいて、投稿による修正後の信頼度および情報源信頼度（更新後）は、３０のままである。
図１５は、投稿による信頼度の伝播を説明する説明図である。図１５に示すように、ユーザ端末１０Ａより、基本信頼度が「１０」のユーザ「山田」が投稿Ｐ１（自信度「Ｈｉｇｈ（＋２）」）を行うものとする（Ｓ４０）。また、この投稿に対して、ユーザ端末１０Ｂよりユーザ「佐藤」がポジティブなフィードバック（＋１）を行うものとする（Ｓ４１）。このような投稿Ｐ１については、１０＋２＋１＝１３の信頼度が付与される。
そして、信頼度更新部３３による信頼度の更新によって、投稿Ｐ１の信頼度「１３」が関連するＣＴＩに伝播する（Ｓ４２）。具体的には、関連するＣＴＩの信頼度「１０」に「１３」が加えられ、信頼度が「２３」に更新される。また、信頼度更新部３３により、投稿Ｐ１の信頼度「１３」は関連するＣＴＩの情報源の情報源信頼度にも伝播する（Ｓ４３）。具体的には、関連するＣＴＩの情報源である「オープンコミュニティ」における情報源信頼度「１０」は、投稿Ｐ１の信頼度「１３」により１０＋１３ｗとして更新される。このように、投稿Ｐ１の信頼度（投稿の評価）を、ＣＴＩの信頼度およびＣＩＴの情報源の信頼度に伝播させることで、ＣＴＩにかかる投稿の評価をＣＴＩの信頼度として評価でき、ＣＴＩ分析の効率化・高度化を進めることができる。
出力部３４は、ユーザ端末３０からのアクセス（ユーザを示すユーザＩＤおよびサイバー脅威インテリジェンス２１Ａの参照要求など）に応じてサイバー脅威インテリジェンスＤＢ２１に登録されたサイバー脅威インテリジェンス２１Ａを読み出し、ユーザ端末３０へ出力する。具体的には、出力部３４は、ユーザ端末３０からのアクセスがあった場合、ユーザ端末３０から通知されたユーザＩＤなどをもとに、サイバー脅威インテリジェンス２１Ａのアクセス範囲において該当するものをサイバー脅威インテリジェンスＤＢ２１より読み出す。次いで、出力部３４は、サイバー脅威インテリジェンスＤＢ２１より読み出したサイバー脅威インテリジェンス２１Ａを表示する表示データを生成してユーザ端末３０へ出力する。これにより、ユーザ端末３０には、ユーザ端末３０におけるユーザのアクセス範囲に該当するサイバー脅威インテリジェンス２１Ａが表示される。
また、出力部３４は、表示するサイバー脅威インテリジェンス２１Ａの構文解析結果より、サイバー攻撃イベントにおけるサイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象などを代表するノードとし、各ノード内の情報を配下のノードとする木構造を解析する。そして、出力部３４は、木構造の解析結果をもとに、木構造に従ってノード同士を結線で接続したグラフ図として表示画面３５を表示する表示情報を生成し、ユーザ端末３０に出力する。これにより、ユーザ端末３０には、グラフ図の表示画面３５が表示される。
図１６は、ＣＴＩの出力画面例を説明する説明図である。図１６に示すように、投稿出力画面６２には、選択された投稿情報５０における各項目の内容が項目６２Ａ〜６２Ｆとして表示される。例えば、項目６２Ａには、投稿情報５０の投稿者情報が表示される。また、項目６２Ｂには、投稿情報５０における投稿内容が表示される。また、項目６２Ｃには、投稿情報５０に添付されたファイルが表示される。また、項目６２Ｄには、投稿情報５０に関連するコメントが表示される。また、項目６２Ｅには、投稿情報５０のアクセス範囲を示す共有情報が表示される。また、項目６２Ｆには、信頼度が表示される。この投稿出力画面６２により、ユーザは、サイバー脅威インテリジェンス２１Ａより変換されたものを含む投稿情報５０の詳細を容易に知ることができる。
図１７は、分散したシステム構成例を説明する説明図である。図１７に示すように、投稿システム１、記憶装置２およびサイバー脅威インテリジェンス管理システム３を含むＳＯＣ（Security Operation Center）は、地理的、政治的に分散して配置されてもよい。例えば、投稿システム１、記憶装置２およびサイバー脅威インテリジェンス管理システム３を含むＳＯＣの他に、投稿システム１Ａ、記憶装置２Ａおよびサイバー脅威インテリジェンス管理システム３Ａを含むＳＯＣと、投稿システム１Ｂ、記憶装置２Ｂおよびサイバー脅威インテリジェンス管理システム３Ｂを含むＳＯＣとが分散して配置される。
このＳＯＣ間では、例えば中央のＳＯＣの記憶装置２またはサイバー脅威インテリジェンス管理システム３と、他のＳＯＣにおける記憶装置２Ａまたはサイバー脅威インテリジェンス管理システム３Ａとの間で、例えばＴＡＸＩＩ等、サイバー攻撃にかかる情報を転送する通信手順を用いてサイバー脅威インテリジェンスＤＢ２１に格納された情報が転送（共有）される。これにより、あるＳＯＣの人間系における投稿システム１と、システム系におけるサイバー脅威インテリジェンス管理システム３との間でサイバー脅威インテリジェンス２１Ａを共有することができるとともに、地理的、政治的に分散して配置された他のＳＯＣ間においてもサイバー脅威インテリジェンス２１Ａを共有することができる。
以上のように、サイバー脅威インテリジェンス管理システム３のサイバー脅威インテリジェンス登録部３２は、サイバー攻撃に関する情報（サイバー脅威インテリジェンス２１Ａ）を取得した場合、情報源管理ＤＢ３１を参照し、ＣＴＩの取得源に基づく信頼度と対応づけてＣＴＩをサイバー脅威インテリジェンスＤＢ２１に記憶する。サイバー脅威インテリジェンス管理システム３の信頼度更新部３３は、ＣＴＩに対応する投稿情報がユーザ端末１０Ａから投稿システム１を介してサイバー脅威インテリジェンスＤＢ２１にアップロードされたことを検知すると、投稿情報にかかる信頼度に応じてＣＴＩに対応付けられた信頼度を更新する。
これにより、サイバー脅威インテリジェンス管理システム３では、投稿情報にかかる信頼度を、ＣＴＩの信頼度に反映させることができる。例えば、サイバー脅威インテリジェンス管理システム３では、投稿情報の投稿元としての投稿者に設定された信頼度、投稿者が付与した自信度および投稿情報への他の投稿者が行ったフィードバックのいずれか、またはこれらの組み合わせに基づいてＣＴＩの信頼度を更新する。これにより、投稿情報の投稿者に設定された信頼度、投稿者が付与した自信度および投稿情報への他の投稿者が行ったフィードバックを、ＣＴＩの信頼度に反映させることができる。このように、投稿情報にかかる信頼度をＣＴＩの信頼度に反映させることで、ＣＴＩに対する投稿の評価を活かした、ＣＴＩ分析の効率化・高度化を進めることができる。
また、信頼度更新部３３は、投稿情報にかかる信頼度に応じて、投稿情報に対応するサイバー攻撃に関する情報の取得源（情報源）にかかる情報源管理ＤＢ３１の信頼度を更新する。これにより、サイバー脅威インテリジェンス管理システム３では、投稿情報にかかる信頼度をＣＴＩの取得源の信頼度に反映させることができる。具体的には、投稿情報の投稿者に設定された信頼度、投稿者が付与した自信度および投稿情報への他の投稿者が行ったフィードバックを、ＣＴＩの情報源の信頼度に反映させることができる。
また、信頼度更新部３３は、ＣＴＩに含まれるノード数およびリンク種類数の少なくとも一方に基づいて、ＣＴＩの取得源にかかる信頼度を更新する。これにより、例えば、ノード数およびリンク種類数が多いＣＴＩ（分析対象として価値の高いＣＴＩ）の情報源については、信頼度を上がりやすく（または下がりにくく）することができる。また、ノード数およびリンク種類数が少ないＣＴＩ（分析対象として価値の低いＣＴＩ）の情報源については、信頼度を下がりやすく（または上がりにくく）することができる。
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
また、投稿システム１やサイバー脅威インテリジェンス管理システム３で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、投稿システム１やサイバー脅威インテリジェンス管理システム３で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１８は、実施形態にかかる情報処理装置のハードウエア構成例を示すブロック図である。
図１８に示すように、情報処理装置１００は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、音声等の出力装置１０４とを有する。また、投稿システム１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、投稿システム１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、投稿システム１内の各部（１０１〜１０９）は、バス１１０に接続される。
ハードディスク装置１０９には、上記の実施形態で説明した投稿受付部１１、登録部１２、出力部１４、サイバー脅威インテリジェンス登録部３２、信頼度更新部３３および出力部３４などで各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２（例えばユーザ管理ＤＢ１３、情報源管理ＤＢ３１等）が記憶される。入力装置１０２は、例えば、情報処理装置１００の操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、投稿システム１における投稿受付部１１、登録部１２および出力部１４にかかる各種の処理を行う。また、ＣＰＵ１０１は、プログラム１１１を実行することで、サイバー脅威インテリジェンス管理システム３におけるサイバー脅威インテリジェンス登録部３２、信頼度更新部３３および出力部３４にかかる各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、投稿システム１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。情報処理装置１００が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、情報処理装置１００がこれらからプログラム１１１を読み出して実行するようにしてもよい。
以上の実施形態に関し、さらに以下の付記を開示する。
（付記１）サイバー攻撃に関する情報を取得した場合、前記サイバー攻撃に関する情報を前記サイバー攻撃に関する情報の取得源に基づく信頼度と対応づけて記憶部に記憶し、
前記サイバー攻撃に関する情報に対応する投稿情報が情報処理端末からアップロードされたことを検知すると、前記投稿情報にかかる信頼度に応じて前記サイバー攻撃に関する情報に対応付けられた信頼度を更新する、
処理をコンピュータに実行させることを特徴とするサイバー攻撃情報処理プログラム。
（付記２）前記投稿情報にかかる信頼度は、前記投稿情報の投稿元に対応付けられた信頼度、前記投稿元、または前記投稿情報の出力に応じて前記投稿元以外から受け付けた評価情報のいずれか、またはこれらの組み合わせより算出される信頼度である、
ことを特徴とする付記１に記載のサイバー攻撃情報処理プログラム。
（付記３）前記更新する処理は、前記投稿情報にかかる信頼度に応じて当該投稿情報に対応するサイバー攻撃に関する情報の取得源にかかる信頼度を更新する、
ことを特徴とする付記１または２に記載のサイバー攻撃情報処理プログラム。
（付記４）前記更新する処理は、前記サイバー攻撃に関する情報に含まれるノード数およびリンク種類数の少なくとも一方に基づいて前記取得源にかかる信頼度を更新する、
ことを特徴とする付記３に記載のサイバー攻撃情報処理プログラム。
（付記５）サイバー攻撃に関する情報を取得した場合、前記サイバー攻撃に関する情報を前記サイバー攻撃に関する情報の取得源に基づく信頼度と対応づけて記憶部に記憶し、
前記サイバー攻撃に関する情報に対応する投稿情報が情報処理端末からアップロードされたことを検知すると、前記投稿情報にかかる信頼度に応じて前記サイバー攻撃に関する情報に対応付けられた信頼度を更新する、
処理をコンピュータが実行することを特徴とするサイバー攻撃情報処理方法。
（付記６）前記投稿情報にかかる信頼度は、前記投稿情報の投稿元に対応付けられた信頼度、前記投稿元、または前記投稿情報の出力に応じて前記投稿元以外から受け付けた評価情報のいずれか、またはこれらの組み合わせより算出される信頼度である、
ことを特徴とする付記５に記載のサイバー攻撃情報処理方法。
（付記７）前記更新する処理は、前記投稿情報にかかる信頼度に応じて当該投稿情報に対応するサイバー攻撃に関する情報の取得源にかかる信頼度を更新する、
ことを特徴とする付記５または６に記載のサイバー攻撃情報処理方法。
（付記８）前記更新する処理は、前記サイバー攻撃に関する情報に含まれるノード数およびリンク種類数の少なくとも一方に基づいて前記取得源にかかる信頼度を更新する、
ことを特徴とする付記７に記載のサイバー攻撃情報処理方法。
（付記９）サイバー攻撃に関する情報を取得した場合、前記サイバー攻撃に関する情報を前記サイバー攻撃に関する情報の取得源に基づく信頼度と対応づけて記憶部に記憶するサイバー攻撃インテリジェンス登録部と、
前記サイバー攻撃に関する情報に対応する投稿情報が情報処理端末からアップロードされたことを検知すると、前記投稿情報にかかる信頼度に応じて前記サイバー攻撃に関する情報に対応付けられた信頼度を更新する信頼度更新部と、
を有することを特徴とする情報処理装置。
（付記１０）前記投稿情報にかかる信頼度は、前記投稿情報の投稿元に対応付けられた信頼度、前記投稿元、または前記投稿情報の出力に応じて前記投稿元以外から受け付けた評価情報のいずれか、またはこれらの組み合わせより算出される信頼度である、
ことを特徴とする付記９に記載の情報処理装置。
（付記１１）前記信頼度更新部は、前記投稿情報にかかる信頼度に応じて当該投稿情報に対応するサイバー攻撃に関する情報の取得源にかかる信頼度を更新する、
ことを特徴とする付記９または１０に記載の情報処理装置。
（付記１２）前記信頼度更新部は、前記サイバー攻撃に関する情報に含まれるノード数およびリンク種類数の少なくとも一方に基づいて前記取得源にかかる信頼度を更新する、
ことを特徴とする付記１１に記載の情報処理装置。
１、１Ａ、１Ｂ…投稿システム
２、２Ａ、２Ｂ…記憶装置
３、３Ａ、３Ｂ…サイバー脅威インテリジェンス管理システム
４…外部サイト
１０Ａ、１０Ｂ、３０、６０…ユーザ端末
１１…投稿受付部
１２…登録部
１３…ユーザ管理ＤＢ
１４…出力部
２１…サイバー脅威インテリジェンスＤＢ
２１Ａ、５１Ａ〜５１Ｇ…サイバー脅威インテリジェンス
３１…情報源管理ＤＢ
３２…サイバー脅威インテリジェンス登録部
３３…信頼度更新部
３４…出力部
３５…表示画面
４０…投稿画面
４１〜４６、６２Ａ〜６２Ｆ…項目
４７…投稿ボタン
５０…投稿情報
６１…一覧表示画面
６２…投稿出力画面
１００…情報処理装置
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…出力装置
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ

Claims (6)

  1. サイバー攻撃に関する情報を取得した場合、前記サイバー攻撃に関する情報を前記サイバー攻撃に関する情報の取得源に基づく信頼度と対応づけて記憶部に記憶し、
    前記サイバー攻撃に関する情報に対応する投稿情報が情報処理端末からアップロードされたことを検知すると、前記投稿情報にかかる信頼度に応じて前記サイバー攻撃に関する情報に対応付けられた信頼度を更新する、
    処理をコンピュータに実行させることを特徴とするサイバー攻撃情報処理プログラム。
  2. 前記投稿情報にかかる信頼度は、前記投稿情報の投稿元に対応付けられた信頼度、前記投稿元、または前記投稿情報の出力に応じて前記投稿元以外から受け付けた評価情報のいずれか、またはこれらの組み合わせより算出される信頼度である、
    ことを特徴とする請求項１に記載のサイバー攻撃情報処理プログラム。
  3. 前記更新する処理は、前記投稿情報にかかる信頼度に応じて当該投稿情報に対応するサイバー攻撃に関する情報の取得源にかかる信頼度を更新する、
    ことを特徴とする請求項１または２に記載のサイバー攻撃情報処理プログラム。
  4. 前記更新する処理は、前記サイバー攻撃に関する情報に含まれるノード数およびリンク種類数の少なくとも一方に基づいて前記取得源にかかる信頼度を更新する、
    ことを特徴とする請求項３に記載のサイバー攻撃情報処理プログラム。
  5. サイバー攻撃に関する情報を取得した場合、前記サイバー攻撃に関する情報を前記サイバー攻撃に関する情報の取得源に基づく信頼度と対応づけて記憶部に記憶し、
    前記サイバー攻撃に関する情報に対応する投稿情報が情報処理端末からアップロードされたことを検知すると、前記投稿情報にかかる信頼度に応じて前記サイバー攻撃に関する情報に対応付けられた信頼度を更新する、
    処理をコンピュータが実行することを特徴とするサイバー攻撃情報処理方法。
  6. サイバー攻撃に関する情報を取得した場合、前記サイバー攻撃に関する情報を前記サイバー攻撃に関する情報の取得源に基づく信頼度と対応づけて記憶部に記憶するサイバー攻撃インテリジェンス登録部と、
    前記サイバー攻撃に関する情報に対応する投稿情報が情報処理端末からアップロードされたことを検知すると、前記投稿情報にかかる信頼度に応じて前記サイバー攻撃に関する情報に対応付けられた信頼度を更新する信頼度更新部と、
    を有することを特徴とする情報処理装置。
JP2017230888A 2017-11-30 2017-11-30 サイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置 Active JP6933112B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2017230888A JP6933112B2 (ja) 2017-11-30 2017-11-30 サイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置
US16/190,604 US10880337B2 (en) 2017-11-30 2018-11-14 Social networking service analysis apparatus, social networking service analysis method, and computer-readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2017230888A JP6933112B2 (ja) 2017-11-30 2017-11-30 サイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置

Publications (2)

Publication Number Publication Date
JP2019101672A JP2019101672A (ja) 2019-06-24
JP6933112B2 true JP6933112B2 (ja) 2021-09-08

Family

ID=66634104

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017230888A Active JP6933112B2 (ja) 2017-11-30 2017-11-30 サイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置

Country Status (2)

Country Link
US (1) US10880337B2 (ja)
JP (1) JP6933112B2 (ja)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10902114B1 (en) * 2015-09-09 2021-01-26 ThreatQuotient, Inc. Automated cybersecurity threat detection with aggregation and analysis
US11075935B2 (en) * 2017-12-22 2021-07-27 Kpmg Llp System and method for identifying cybersecurity threats
US11194905B2 (en) * 2019-04-09 2021-12-07 International Business Machines Corporation Affectedness scoring engine for cyber threat intelligence services
US11586739B2 (en) * 2019-12-31 2023-02-21 Proofpoint, Inc. System and method for identifying cyberthreats from unstructured social media content
US11503047B2 (en) * 2020-03-13 2022-11-15 International Business Machines Corporation Relationship-based conversion of cyber threat data into a narrative-like format
US12086261B2 (en) * 2020-03-13 2024-09-10 International Business Machines Corporation Displaying cyber threat data in a narrative-like format
JP7687862B2 (ja) 2021-05-24 2025-06-03 株式会社日立製作所 計算機システム及びサイバーセキュリティ情報の評価方法
JP7685896B2 (ja) * 2021-07-09 2025-05-30 株式会社日立製作所 情報管理システム、情報管理方法、及び情報共有システム
WO2023063392A1 (ja) * 2021-10-13 2023-04-20 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 制御方法、サーバ、プログラム、及び、セキュリティ分析システム

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7530105B2 (en) * 2006-03-21 2009-05-05 21St Century Technologies, Inc. Tactical and strategic attack detection and prediction
US8312536B2 (en) * 2006-12-29 2012-11-13 Symantec Corporation Hygiene-based computer security
JP2009110334A (ja) * 2007-10-31 2009-05-21 Mitsubishi Electric Corp 端末及びセキュリティシステム及び端末プログラム及びセキュリティ情報管理方法
US8595282B2 (en) * 2008-06-30 2013-11-26 Symantec Corporation Simplified communication of a reputation score for an entity
JP5264813B2 (ja) * 2010-03-16 2013-08-14 ヤフー株式会社 評価装置、評価方法及び評価プログラム
US8813228B2 (en) * 2012-06-29 2014-08-19 Deloitte Development Llc Collective threat intelligence gathering system
US9692789B2 (en) * 2013-12-13 2017-06-27 Oracle International Corporation Techniques for cloud security monitoring and threat intelligence
US9886581B2 (en) * 2014-02-25 2018-02-06 Accenture Global Solutions Limited Automated intelligence graph construction and countermeasure deployment
CN104536980A (zh) * 2014-12-05 2015-04-22 百度在线网络技术（北京）有限公司 一种确定候评项的质量信息的方法与装置
US10142353B2 (en) * 2015-06-05 2018-11-27 Cisco Technology, Inc. System for monitoring and managing datacenters
US11689547B2 (en) * 2015-12-14 2023-06-27 Nec Corporation Information analysis system, information analysis method, and recording medium

Also Published As

Publication number Publication date
US10880337B2 (en) 2020-12-29
US20190166164A1 (en) 2019-05-30
JP2019101672A (ja) 2019-06-24

Similar Documents

Publication Publication Date Title
JP6933112B2 (ja) サイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置
US12047396B2 (en) System and method for monitoring security attack chains
US11693958B1 (en) Processing and storing event data in a knowledge graph format for anomaly detection
Mazhar et al. Forensic analysis on internet of things (IoT) device using machine-to-machine (M2M) framework
US10721268B2 (en) Systems and user interfaces for dynamic and interactive investigation based on automatic clustering of related data in various data structures
US20240241752A1 (en) Risk profiling and rating of extended relationships using ontological databases
US10476904B2 (en) Non-transitory recording medium recording cyber-attack analysis supporting program, cyber-attack analysis supporting method, and cyber-attack analysis supporting apparatus
JP6736657B2 (ja) 標準化されたフォーマットでサイバー脅威情報を安全に配送し交換するコンピュータ化されたシステム
US10348747B2 (en) Non-transitory computer-readable recording medium storing cyber attack analysis support program, cyber attack analysis support method, and cyber attack analysis support device
CN113486351A (zh) 一种民航空管网络安全检测预警平台
CN106790008B (zh) 用于在企业网络中检测异常主机的机器学习系统
US11455389B2 (en) Evaluation method, information processing apparatus, and storage medium
US20150067777A1 (en) Systems and methods for authenticating nodes
CN110413908A (zh) 基于网站内容对统一资源定位符进行分类的方法和装置
CN106713332A (zh) 网络数据的处理方法、装置和系统
CN109831459B (zh) 安全访问的方法、装置、存储介质和终端设备
CN109547479A (zh) 一种工业环境中威胁情报整合系统和方法
JP6915457B2 (ja) サイバー攻撃情報処理プログラム、サイバー攻撃情報処理方法および情報処理装置
US20190281075A1 (en) Recording medium on which evaluating program is recorded, evaluating method, and information processing apparatus
Kotenko et al. An approach for stego-insider detection based on a hybrid nosql database
CN109313541A (zh) 用于显示和比较攻击遥测资源的用户界面
Elejla et al. Flow-Based IDS Features Enrichment for ICMPv6-DDoS Attacks Detection
WO2018211835A1 (ja) 評価プログラム、評価方法および情報処理装置
Raulerson et al. A framework to facilitate cyber defense situational awareness modeled in an emulated virtual machine testbed
CN108133046A (zh) 数据分析方法及装置

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200911

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210615

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20210720

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20210802

R150 Certificate of patent or registration of utility model

Ref document number: 6933112

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150