JP6987332B1 - 汚染範囲特定装置および汚染範囲特定プログラム - Google Patents

汚染範囲特定装置および汚染範囲特定プログラム Download PDF

Info

Publication number
JP6987332B1
JP6987332B1 JP2021559725A JP2021559725A JP6987332B1 JP 6987332 B1 JP6987332 B1 JP 6987332B1 JP 2021559725 A JP2021559725 A JP 2021559725A JP 2021559725 A JP2021559725 A JP 2021559725A JP 6987332 B1 JP6987332 B1 JP 6987332B1
Authority
JP
Japan
Prior art keywords
node
data
relationship
software
edge
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2021559725A
Other languages
English (en)
Other versions
JPWO2021186683A1 (ja
Inventor
悠太 跡部
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Publication of JPWO2021186683A1 publication Critical patent/JPWO2021186683A1/ja
Application granted granted Critical
Publication of JP6987332B1 publication Critical patent/JP6987332B1/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G06F11/3604—Software analysis for verifying properties of programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Quality & Reliability (AREA)
  • Debugging And Monitoring (AREA)

Abstract

関係構築部（１２０）は、ソフトウェア動作の動作タイプと前記ソフトウェア動作で使用された複数のソフトウェアオブジェクトを示す動作オブジェクト情報とをそれぞれが含む複数のソフトウェア動作データに基づいて、前記複数のソフトウェアオブジェクトの関係を示すオブジェクト関係データを生成する。汚染範囲特定部（１３０）は、前記オブジェクト関係データと、サイバー攻撃の発生を知らせるアラートデータと、に基づいて、サイバー攻撃の影響を受ける汚染範囲を示す汚染範囲データを生成する。

Description

本開示は、サイバー攻撃による汚染の再発防止に関するものである。
サイバー攻撃に対して次のような対処がされる。
まず、監視対象に対するサイバー攻撃が検知される。
次に、サイバー攻撃の影響が判断される。
そして、サイバー攻撃の影響に応じて監視対象の縮退動作が決定される。例えば、縮退動作において、機能の切替えまたは機能の再配置が行われる。
また、サイバー攻撃の影響に対して、汚染部分の除去および再発防止の対応を実施する必要がある。
汚染部分の除去は、汚染部分の削除、復元または初期化などを意味する。汚染部分は、サイバー攻撃によって改変された部分である。例えば、汚染部分は、改変されたコードおよび改変されたデータである。汚染部分の除去のためには、汚染部分を特定する必要がある。
再発防止の対応は、汚染部分を除去しただけではサイバー攻撃を再び受ける恐れがあるため、実施する必要がある。再発防止の具体的な対応は、サイバー攻撃の侵入経路を遮断することである。サイバー攻撃の侵入経路を遮断するためにはサイバー攻撃の侵入経路を特定する必要がある。
特許文献１は、車載システムにおいてセキュリティ攻撃に起因する異常が発生した場合であっても自動車の走行制御を安全な状態に保つための技術を開示している。
特開２０１８−１９４９０９号公報
特許文献１には、異常内容および異常個所に基づいて縮退動作を一意に決定することが開示されている。しかし、汚染部分の除去および再発防止の対応を実施するための方法は開示されていない。特に、侵入経路を特定する方法および汚染部分を特定する方法は開示されていない。
本開示は、侵入経路および汚染部分を特定できるようにすることを目的とする。
本開示の汚染範囲特定装置は、
ソフトウェア動作の動作タイプと前記ソフトウェア動作で使用された複数のソフトウェアオブジェクトを示す動作オブジェクト情報とをそれぞれが含む複数のソフトウェア動作データに基づいて、前記複数のソフトウェアオブジェクトの関係を示すオブジェクト関係データを生成する関係構築部と、
前記オブジェクト関係データと、サイバー攻撃の発生を知らせるアラートデータと、に基づいて、サイバー攻撃の影響を受ける汚染範囲を示す汚染範囲データを生成する汚染範囲特定部と、を備える。
本開示によれば、侵入経路および汚染部分といった汚染範囲を特定することが可能となる。
実施の形態１における汚染範囲特定装置１００の構成図。 実施の形態１における汚染範囲特定方法のフローチャート。 実施の形態１におけるオブジェクト関係データ１９１を示す図。 実施の形態１における侵入経路データ１９２を示す図。 実施の形態１における汚染オブジェクトデータ１９３を示す図。 実施の形態１における関係構築（Ｓ１１０）のフローチャート。 実施の形態１における汚染範囲特定（Ｓ１２０）のフローチャート。 実施の形態２におけるオブジェクト関係データ１９４を示す図。 実施の形態３におけるオブジェクト関係データ１９５Ａを示す図。 実施の形態３におけるオブジェクト関係データ１９５Ｄを示す図。 実施の形態３におけるオブジェクト関係データ１９５Ｇを示す図。 実施の形態における汚染範囲特定装置１００のハードウェア構成図。
実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。
実施の形態１．
汚染範囲特定装置１００について、図１から図７に基づいて説明する。
＊＊＊構成の説明＊＊＊
図１に基づいて、汚染範囲特定装置１００の構成を説明する。
汚染範囲特定装置１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と通信装置１０４と入出力インタフェース１０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
プロセッサ１０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ１０１は、ＣＰＵ、ＤＳＰまたはＧＰＵである。
ＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
ＤＳＰは、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略称である。
ＧＰＵは、Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
メモリ１０２は揮発性または不揮発性の記憶装置である。メモリ１０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ１０２はＲＡＭである。メモリ１０２に記憶されたデータは必要に応じて補助記憶装置１０３に保存される。
ＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。
補助記憶装置１０３は不揮発性の記憶装置である。例えば、補助記憶装置１０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置１０３に記憶されたデータは必要に応じてメモリ１０２にロードされる。
ＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。
ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。
通信装置１０４はレシーバ及びトランスミッタである。例えば、通信装置１０４は通信チップまたはＮＩＣである。
ＮＩＣは、Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄの略称である。
入出力インタフェース１０５は、入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース１０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。
ＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。
汚染範囲特定装置１００は、受付部１１０と関係構築部１２０と汚染範囲特定部１３０と出力部１４０といった要素を備える。これらの要素はソフトウェアで実現される。
補助記憶装置１０３には、受付部１１０と関係構築部１２０と汚染範囲特定部１３０と出力部１４０としてコンピュータを機能させるための汚染範囲特定プログラムが記憶されている。汚染範囲特定プログラムは、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
補助記憶装置１０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
プロセッサ１０１は、ＯＳを実行しながら、汚染範囲特定プログラムを実行する。
ＯＳは、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略称である。
汚染範囲特定プログラムの入出力データは記憶部１９０に記憶される。
メモリ１０２は記憶部１９０として機能する。但し、補助記憶装置１０３、プロセッサ１０１内のレジスタおよびプロセッサ１０１内のキャッシュメモリなどの記憶装置が、メモリ１０２の代わりに、又は、メモリ１０２と共に、記憶部１９０として機能してもよい。
汚染範囲特定装置１００は、プロセッサ１０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ１０１の機能を分担する。
汚染範囲特定プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。
＊＊＊動作の説明＊＊＊
汚染範囲特定装置１００の動作の手順は汚染範囲特定方法に相当する。また、汚染範囲特定装置１００の動作の手順は汚染範囲特定プログラムによる処理の手順に相当する。
図２に基づいて、汚染範囲特定方法を説明する。
ステップＳ１１０において、関係構築部１２０は、複数のソフトウェア動作データに基づいて、オブジェクト関係データを生成する。
ソフトウェア動作データは、ソフトウェア動作を示すデータである。
ソフトウェア動作は、ソフトウェアの実行によって発生した動作である。以下に、ソフトウェア動作の例を示す。
（１）プロセス起動。
（２）プロセス終了。
（３）通信。
（４）ファイル書き込み。
（５）ファイル読み込み。
（６）ファイル権限変更。
（７）システムコール。
（８）アプリケーション動作。
（９）認証（成功）。
（１０）認証（失敗）。
（１１）ポリシー違反
ソフトウェア動作データの具体例は、通信ログ、ＯＳログ、ファイル操作ログ、アプリケーションログまたはメモリ操作ログなどのログデータである。ログデータは、例えば、ＯＳまたはアプリケーションから出力される。
ソフトウェア動作データは、動作タイプと動作オブジェクト情報と動作時刻とを含む。
動作タイプは、ソフトウェア動作の種類である。
動作オブジェクト情報は、ソフトウェア動作で使用された複数のソフトウェアオブジェクトを示す。
ソフトウェアオブジェクトは、ソフトウェアの実行時に使用される要素である。以下に、ソフトウェアオブジェクトの例を示す。
（１）データファイルまたはプログラムファイルなどのファイル。
（２）データファイルの中の各データ。各データはプロセスで使用される。
（３）プロセス。プロセスは、プログラムファイルが実行された後の各インスタンスである。
具体的には、動作オブジェクト情報は、動作オブジェクトと対象オブジェクトとを示す。
動作オブジェクトは、ソフトウェア動作を行うソフトウェアオブジェクトである。つまり、動作オブジェクトは、ソフトウェア動作の主体となるソフトウェアオブジェクトである。動作オブジェクトの具体例はプロセスである。
対象オブジェクトは、ソフトウェア動作の対象となるソフトウェアオブジェクトである。つまり、対象オブジェクトはソフトウェア動作の客体となるソフトウェアオブジェクトである。対象オブジェクトの具体例はファイルである。
動作時刻は、ソフトウェア動作が発生した時刻である。
オブジェクト関係データは、複数のソフトウェアオブジェクトの関係を示すデータである。具体的には、オブジェクト関係データは、オブジェクト関係グラフを表す。
オブジェクト関係グラフは、ソフトウェアオブジェクト毎にノードを有し、ノードの組毎にエッジを有する。
ノードは、ソフトウェアオブジェクトを表す。
エッジは、ソフトウェアオブジェクト間の関係を表す。
図３に、オブジェクト関係データ１９１を示す。オブジェクト関係データ１９１は、オブジェクト関係データの一例である。
オブジェクト関係データ１９１は、オブジェクト関係グラフ１９１Ｇを表す。
オブジェクト関係グラフ１９１Ｇにおいて、プロセス名、ファイル名またはログ名が記されている要素がノードである。ノードを結ぶ線がエッジである。矢印線で表されたエッジは、動作タイプに応じた有向関係性を表す有向エッジである。エッジに付された用語は動作タイプに応じた関係性を示す。
図２に戻り、説明を続ける。
関係構築（Ｓ１１０）の手順について後述する。
ステップＳ１２０において、汚染範囲特定部１３０は、オブジェクト関係データとアラートデータとに基づいて、汚染範囲データを生成する。
アラートデータは、サイバー攻撃の発生を知らせるデータであり、異常オブジェクト情報を含む。
異常オブジェクト情報は、異常オブジェクトを示す。
異常オブジェクトは、サイバー攻撃が検知されたソフトウェアオブジェクトである。
汚染範囲データは、汚染範囲を示すデータであり、侵入経路データと汚染オブジェクトデータとを含む。汚染範囲は、サイバー攻撃の影響を受ける範囲である。
侵入経路データは、サイバー攻撃の侵入経路を示す。サイバー攻撃の侵入経路は、汚染範囲に含まれる。
汚染オブジェクトデータは、汚染オブジェクトを示す。
汚染オブジェクトは、サイバー攻撃の影響を受けるソフトウェアオブジェクトである。
図４に、侵入経路データ１９２を示す。侵入経路データ１９２は、侵入経路データの一例である。
侵入経路データ１９２は、外部プロセスからプロセス２までの侵入経路を示す。プロセス２が異常オブジェクトである。
図５に、汚染オブジェクトデータ１９３を示す。汚染オブジェクトデータ１９３は、汚染オブジェクトデータの一例である。
汚染オブジェクトデータ１９３は、侵入経路上の各ソフトウェアオブジェクトの他に、プロセス２から影響を受ける各ソフトウェアオブジェクトを示す。
図２に戻り、説明を続ける。
汚染範囲特定（Ｓ１３０）の手順について後述する。
ステップＳ１３０において、出力部１４０は、汚染範囲データを出力する。
つまり、出力部１４０は、侵入経路データと汚染オブジェクトデータとを出力する。
図６に基づいて、関係構築（Ｓ１１０）の手順を説明する。
空のオブジェクト関係データが予め用意される。
ステップＳ１１１からステップＳ１１３は、ソフトウェア動作データごとに実行される。
ステップＳ１１１において、受付部１１０は、ソフトウェア動作データを受け付ける。
具体的には、ソフトウェア動作データが汚染範囲特定装置１００に入力される。そして、受付部１１０は、入力されたソフトウェア動作データを受け付けて記憶部１９０に記憶する。
ソフトウェア動作データは、利用者によって入力されてもよいし、監視対象との通信で入力されてもよいし、その他の方法で入力されてもよい。
ステップＳ１１２において、関係構築部１２０は、ソフトウェア動作データから、動作タイプと動作オブジェクト情報とを抽出する。
ステップＳ１１３において、関係構築部１２０は、動作タイプと動作オブジェクト情報とに基づいて、オブジェクト関係データを更新する。
オブジェクト関係データは以下のように更新される。オブジェクト関係データはオブジェクト関係グラフを表す。動作オブジェクト情報は、動作オブジェクトと対象オブジェクトとの２つのソフトウェアオブジェクトを示す。
関係構築部１２０は、オブジェクト関係グラフの中から、動作オブジェクト情報に示される各ソフトウェアオブジェクトを表すノードを探す。
関係構築部１２０は、見つからなかったノードを新規に生成し、生成したノードをオブジェクト関係グラフに追加する。
関係構築部１２０は、オブジェクト関係グラフから、動作オブジェクトノードと対象オブジェクトノードを選択する。動作オブジェクトノードは動作オブジェクトを表すノードであり、対象オブジェクトノードは対象オブジェクトを表すノードである。
関係構築部１２０は、選択した２つのノードを結ぶエッジを生成し、生成したエッジをオブジェクト関係グラフに追加する。具体的には、関係構築部１２０は、動作オブジェクトと対象オブジェクトの有向関係性を動作タイプに応じて特定し、動作オブジェクトノードから対象オブジェクトノードへの有向エッジを追加する。有向エッジは、特定された有向関係性を表す向きを有する。
複数のソフトウェア動作データのそれぞれに対して関係構築（Ｓ１１０）が実行されることにより、例えば、オブジェクト関係データ１９１（図３参照）が生成される。
図７に基づいて、汚染範囲特定（Ｓ１２０）の手順を説明する。
ステップＳ１２１において、受付部１１０は、アラートデータを受け付ける。
具体的には、アラートデータが汚染範囲特定装置１００に入力される。そして、受付部１１０は、入力されたアラートデータを受け付けて記憶部１９０に記憶する。
アラートデータは、利用者によって入力されてもよいし、攻撃検知装置との通信で入力されてもよいし、その他の方法で入力されてもよい。攻撃検知装置は、監視対象を監視し、発生したサイバー攻撃を検知し、アラートデータを出力する装置である。
ステップＳ１２２において、汚染範囲特定部１３０は、アラートデータから、異常オブジェクト情報を抽出する。
ステップＳ１２３において、汚染範囲特定部１３０は、オブジェクト関係グラフを用いて、異常オブジェクトノードから外部プロセスノードまでの侵入経路を特定する。
侵入経路は以下のように特定される。オブジェクト関係グラフの中の各エッジは有向エッジである。
まず、汚染範囲特定部１３０は、オブジェクト関係グラフの中から異常オブジェクトノードを選択する。異常オブジェクトノードは、異常オブジェクトを表すノードである。
そして、汚染範囲特定部１３０は、異常オブジェクトノードから外部プロセスノードまで各有向エッジを逆方向に辿る。外部プロセスノードは、外部プロセスを表すノードである。外部プロセスは、監視対象の外部で生成されたプロセスである。
異常オブジェクトノードから外部プロセスノードまでの経路が侵入経路である。
ステップＳ１２４において、汚染範囲特定部１３０は、オブジェクト関係グラフを用いて、汚染オブジェクトを特定する。
汚染オブジェクトは以下のように特定される。
汚染範囲特定部１３０は、オブジェクト関係グラフから、侵入経路に位置する各ノードを選択する。選択される各ノードによって表されるソフトウェアオブジェクトは汚染オブジェクトである。
さらに、汚染範囲特定部１３０は、侵入経路に位置する各ノードから各有向エッジを順方向に辿る。辿った先の各ノードで表されるソフトウェアオブジェクトは汚染オブジェクトである。
ステップＳ１２５において、汚染範囲特定部１３０は、汚染範囲データを生成する。
つまり、汚染範囲特定部１３０は、侵入経路データと汚染オブジェクトデータとを生成する。
侵入経路データは以下のように生成される。
汚染範囲特定部１３０は、ステップＳ１２３で特定された侵入経路を示すデータを生成する。生成されるデータが侵入経路データである。
汚染オブジェクトデータは以下のように生成される。
汚染範囲特定部１３０は、ステップＳ１２４で特定された汚染オブジェクトを示すデータを生成する。生成されるデータが汚染オブジェクトデータである。
オブジェクト関係データ１９１（図３参照）を用いて汚染範囲特定（Ｓ１２０）が実行されることにより、侵入経路データ１９２（図４参照）および汚染オブジェクトデータ１９３（図５参照）が生成される。異常オブジェクトはプロセス２である。
＊＊＊実施例の説明＊＊＊
関係構築（Ｓ１１０）（図６を参照）の実施例を以下に示す。
＜実施例１＞
ステップＳ１１１において、受付部１１０は、プロセス終了を示すログデータを受け取る。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報を抽出する。動作タイプはプロセス終了である。動作オブジェクトは指示プロセスであり、対象オブジェクトは終了プロセスである。
ステップＳ１１３において、関係構築部１２０は、オブジェクト関係グラフに動作オブジェクトノードがなければ、動作オブジェクトノードをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに対象オブジェクトノードがなければ、対象オブジェクトノードをオブジェクト関係グラフに追加する。そして、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへのエッジをオブジェクト関係グラフに追加する。エッジには動作タイプに応じた関係性が付記される。
＜実施例２＞
ステップＳ１１１において、受付部１１０は、通信を示すログデータを受け取る。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報を抽出する。動作タイプは通信である。動作オブジェクトは通信元プロセスであり、対象オブジェクトは通信先プロセスである。通信元プロセスと通信先プロセスとの各プロセスが外部プロセスである場合、各プロセスは外部アドレスで識別される。外部アドレスは、監視対象の外部の装置を識別するアドレスである。
ステップＳ１１３において、関係構築部１２０は、オブジェクト関係グラフに動作オブジェクトノードがなければ、動作オブジェクトノードをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに対象オブジェクトノードがなければ、対象オブジェクトノードをオブジェクト関係グラフに追加する。つまり、動作オブジェクト情報が動作オブジェクトまたは対象オブジェクトの識別子として外部アドレスを示す場合、外部プロセスを表すノードが生成される。そして、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへのエッジをオブジェクト関係グラフに追加する。エッジには動作タイプに応じた関係性が付記される。
＜実施例３＞
ステップＳ１１１において、受付部１１０は、ファイル操作（ｗｒｉｔｅ）を示すログデータを受け取る。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報を抽出する。動作タイプはファイル書込みである。動作オブジェクトはプロセスであり、対象オブジェクトはファイルである。
ステップＳ１１３において、関係構築部１２０は、オブジェクト関係グラフに動作オブジェクトノードがなければ、動作オブジェクトノードをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに対象オブジェクトノードがなければ、対象オブジェクトノードをオブジェクト関係グラフに追加する。そして、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへのエッジをオブジェクト関係グラフに追加する。エッジには動作タイプに応じた関係性が付記される。
＜実施例４＞
ステップＳ１１１において、受付部１１０は、ファイル操作（ｒｅａｄ）を示すログデータを受け取る。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報を抽出する。動作タイプはファイル読込みである。動作オブジェクトはプロセスであり、対象オブジェクトはファイルである。
ステップＳ１１３において、関係構築部１２０は、オブジェクト関係グラフに動作オブジェクトノードがなければ、動作オブジェクトノードをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに対象オブジェクトノードがなければ、対象オブジェクトノードをオブジェクト関係グラフに追加する。そして、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへのエッジをオブジェクト関係グラフに追加する。エッジには動作タイプに応じた関係性が付記される。
＜実施例５＞
ステップＳ１１１において、受付部１１０は、ファイル操作（権限変更）を示すログデータを受け取る。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報を抽出する。動作タイプはファイル権限変更である。動作オブジェクトはプロセスであり、対象オブジェクトはファイルである。
ステップＳ１１３において、関係構築部１２０は、オブジェクト関係グラフに動作オブジェクトノードがなければ、動作オブジェクトノードをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに対象オブジェクトノードがなければ、対象オブジェクトノードをオブジェクト関係グラフに追加する。そして、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへのエッジをオブジェクト関係グラフに追加する。エッジには動作タイプに応じた関係性が付記される。
＜実施例６＞
ステップＳ１１１において、受付部１１０は、ＯＳシステムコールを示すログデータを受け取る。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報を抽出する。動作タイプはシステムコールである。システムコールの種類は例えば名称で識別される。動作オブジェクトはプロセスであり、対象オブジェクトはプロセスまたはファイルである。
ステップＳ１１３において、関係構築部１２０は、オブジェクト関係グラフに動作オブジェクトノードがなければ、動作オブジェクトノードをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに対象オブジェクトノードがなければ、対象オブジェクトノードをオブジェクト関係グラフに追加する。そして、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへのエッジをオブジェクト関係グラフに追加する。エッジには動作タイプに応じた関係性が付記される。
＜実施例７＞
ステップＳ１１１において、受付部１１０は、アプリケーション動作を示すログデータを受け取る。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報を抽出する。動作タイプはアプリケーション動作である。アプリケーション動作の種類は例えば名称で識別される。動作オブジェクトはプロセスであり、対象オブジェクトはプロセスまたはファイルである。
ステップＳ１１３において、関係構築部１２０は、オブジェクト関係グラフに動作オブジェクトノードがなければ、動作オブジェクトノードをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに対象オブジェクトノードがなければ、対象オブジェクトノードをオブジェクト関係グラフに追加する。そして、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへのエッジをオブジェクト関係グラフに追加する。エッジには動作タイプに応じた関係性が付記される。
＜実施例８＞
ステップＳ１１１において、受付部１１０は、セキュリティを示すログデータを受け取る。セキュリティの具体例は認証である。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報を抽出する。動作タイプは認証成功、認証失敗またはポリシー違反である。動作オブジェクトはプロセスであり、対象オブジェクトはプロセスである。
ステップＳ１１３において、関係構築部１２０は、オブジェクト関係グラフに動作オブジェクトノードがなければ、動作オブジェクトノードをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに対象オブジェクトノードがなければ、対象オブジェクトノードをオブジェクト関係グラフに追加する。そして、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへのエッジをオブジェクト関係グラフに追加する。エッジには動作タイプに応じた関係性が付記される。
＊＊＊実施の形態１の効果＊＊＊
汚染範囲特定装置１００は、侵入経路および汚染部分（汚染オブジェクト）を特定することができる。
汚染範囲特定装置１００は、複数のソフトウェアオブジェクトの関係をオブジェクト関係グラフによって一元的に管理することができる。これにより、侵入経路および汚染部分が迅速に特定される。
侵入経路および汚染部分が特定されることにより、汚染部分の除去および再発防止の対応が可能となる。
実施の形態２．
３つのソフトウェアオブジェクト間の関係を含むオブジェクト関係データを生成する形態について、主に実施の形態１と異なる点を図８に基づいて説明する。
＊＊＊構成の説明＊＊＊
汚染範囲特定装置１００の構成は、実施の形態１における構成（図１参照）と同じである。
＊＊＊動作の説明＊＊＊
汚染範囲特定方法は、実施の形態１における方法（図２参照）と同じである。
但し、関係構築（Ｓ１１０）によって、３つのソフトウェアオブジェクト間の関係を含むオブジェクト関係データが生成される。
図６に基づいて、関係構築（Ｓ１１０）の手順を説明する。
ステップＳ１１１において、受付部１１０は、ソフトウェア動作データを受け付ける。
ソフトウェア動作データは、動作タイプと動作オブジェクト情報を含む。動作オブジェクト情報は、動作タイプで識別されるソフトウェア動作で使用される３つのソフトウェアオブジェクトを示す。
ステップＳ１１２において、関係構築部１２０は、ソフトウェア動作データから、動作タイプと動作オブジェクト情報を抽出する。
ステップＳ１１３において、関係構築部１２０は、動作タイプとオブジェクト情報とに基づいて、オブジェクト関係データを更新する。
オブジェクト関係データは以下のように更新される。オブジェクト関係データはオブジェクト関係グラフを表す。動作オブジェクト情報は、第１オブジェクトと第２オブジェクトと第３オブジェクトとの３つのソフトウェアオブジェクトを示す。
関係構築部１２０は、オブジェクト関係グラフの中から、動作オブジェクト情報に示される各ソフトウェアオブジェクトを表すノードを探す。
関係構築部１２０は、見つからなかったノードをオブジェクト関係グラフに追加する。
関係構築部１２０は、オブジェクト関係グラフから、第１オブジェクトノードと第３オブジェクトノードを選択する。第１オブジェクトノードは第１オブジェクトを表すノードであり、第３オブジェクトノードは第３オブジェクトを表すノードである。関係構築部１２０は、選択した２つのノードを結ぶエッジをオブジェクト関係グラフに追加する。具体的には、関係構築部１２０は、第１オブジェクトノードから第３オブジェクトノードへの有向エッジを追加する。
関係構築部１２０は、オブジェクト関係グラフから、第２オブジェクトノードと第３オブジェクトノードを選択する。第２オブジェクトノードは第２オブジェクトを表すノードである。関係構築部１２０は、選択した２つのノードを結ぶエッジをオブジェクト関係グラフに追加する。具体的には、関係構築部１２０は、第３オブジェクトノードから第２オブジェクトノードへの有向エッジを追加する。
＊＊＊実施例の説明＊＊＊
図８に基づいて、関係構築（Ｓ１１０）（図６参照）の実施例を説明する。
図８は、オブジェクト関係データ１９４を示す。オブジェクト関係データ１９４はオブジェクト関係グラフ１９４Ｇを表す。
ステップＳ１１１において、受付部１１０は、プロセス起動を示すログデータを受け取る。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報を抽出する。動作タイプはプロセス起動である。第１オブジェクトは親プロセスであり、第２オブジェクトは子プロセスであり、第３オブジェクトはプログラムファイルである。
ステップＳ１１３において、関係構築部１２０は、オブジェクト関係グラフに第１オブジェクトノードがなければ、第１オブジェクトノードをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに第２オブジェクトノードがなければ、第２オブジェクトノードをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに第３オブジェクトノードがなければ、第３オブジェクトノードをオブジェクト関係グラフに追加する。そして、関係構築部１２０は、第１オブジェクトノードから第３オブジェクトノードへのエッジをオブジェクト関係グラフに追加する。さらに、関係構築部１２０は、第３オブジェクトノードから第２オブジェクトノードへのエッジをオブジェクト関係グラフに追加する。各エッジには動作タイプに応じた関係性が付記される。
＊＊＊実施の形態２の効果＊＊＊
汚染範囲特定装置１００は、２つのソフトウェアオブジェクト間の関係だけでなく３つのソフトウェアオブジェクト間の関係も管理することができる。
実施の形態３．
オブジェクト関係グラフの中の各ノードと各エッジにプロファイルを付加する形態について、主に実施の形態１と異なる点を図９から図１１に基づいて説明する。
＊＊＊構成の説明＊＊＊
汚染範囲特定装置１００の構成は、実施の形態１における構成（図１参照）と同じである。
＊＊＊動作の説明＊＊＊
汚染範囲特定方法は、実施の形態１における方法（図２参照）と同じである。
但し、関係構築（Ｓ１１０）によって、オブジェクト関係グラフの中の各ノードと各エッジにプロファイルが付加される。
図６に基づいて、関係構築（Ｓ１１０）の手順を説明する。
ステップＳ１１１において、受付部１１０は、ソフトウェア動作データを受け付ける。
ステップＳ１１２において、関係構築部１２０は、ソフトウェア動作データから、動作タイプと動作オブジェクト情報と動作時刻とを抽出する。
ステップＳ１１３において、関係構築部１２０は、動作タイプとオブジェクト情報と動作時刻とに基づいて、オブジェクト関係データを更新する。
オブジェクト関係データは以下のように更新される。オブジェクト関係データはオブジェクト関係グラフを表す。動作オブジェクト情報は、動作オブジェクトと対象オブジェクトとの２つのソフトウェアオブジェクトを示す。
関係構築部１２０は、オブジェクト関係グラフの中から、動作オブジェクト情報に示される各ソフトウェアオブジェクトを表すノードを探す。
関係構築部１２０は、見つかったノードに付加されているプロファイルを更新する。具体的には、プロファイルの中の更新時刻を今回の動作時刻すなわち最新の動作時刻に更新する。
関係構築部１２０は、見つからなかったノードをオブジェクト関係グラフに追加する。さらに、関係構築部１２０は、追加されたノードに対するプロファイルを生成し、生成されたプロファイルを追加されたノードに付加する。ノード用のプロファイルは、ノード識別子とノードタイプと更新時刻とを含む。ノード識別子はノードを識別する。ノードタイプはノードによって表されるソフトウェアオブジェクトの種類を識別する。ノードタイプの具体例は、プロセス、データファイル、プログラムファイルおよびログファイルである。更新時刻は今回の動作時刻すなわち最新の動作時刻である。
関係構築部１２０は、オブジェクト関係グラフから、動作オブジェクトノードと対象オブジェクトノードを選択する。関係構築部１２０は、選択した２つのノードを結ぶエッジをオブジェクト関係グラフに追加する。具体的には、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへの有向エッジを追加する。さらに、関係構築部１２０は、追加されたエッジに対するプロファイルを生成し、生成されたプロファイルを追加されたエッジに付加する。エッジ用のプロファイルは、エッジ識別子とエッジタイプと更新時刻とを含む。エッジタイプは、動作タイプに応じた関係性を識別する。つまり、エッジタイプは、エッジによって結ばれる２つのソフトウェアオブジェクトの関係性を識別する。更新時刻は今回の動作時刻すなわち最新の動作時刻である。
＊＊＊実施例の説明＊＊＊
関係構築（Ｓ１１０）（図６参照）の実施例を以下に示す。
ステップＳ１１１において、受付部１１０は、通信を示すログデータを受け取る。ログデータは通信データ情報を含んでもよい。通信データ情報は、通信データおよび通信データ量などを示す。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報と動作時刻とを抽出する。動作タイプは通信である。動作オブジェクトは通信元プロセスであり、対象オブジェクトは通信先プロセスである。通信先プロセスまたは通信先プロセスが外部アドレスで識別される場合、そのプロセスは外部プロセスである。関係構築部１２０は、ログデータから通信データ情報を抽出してもよい。
ステップＳ１１３において、関係構築部１２０は、オブジェクト関係グラフに動作オブジェクトノードがなければ、動作オブジェクトノードと動作オブジェクトノード用のプロファイルをオブジェクト関係グラフに追加する。また、関係構築部１２０は、オブジェクト関係グラフに対象オブジェクトノードがなければ、対象オブジェクトノードと対象オブジェクトノード用のプロファイルをオブジェクト関係グラフに追加する。追加される各プロファイルは、ノード識別子とノードタイプと生成時刻と更新時刻とを含む。ノードタイプはプロセスである。生成時刻と更新時刻とのそれぞれは、ログデータから抽出された動作時刻と同じである。また、関係構築部１２０は、動作オブジェクトノードまたは対象オブジェクトノードがオブジェクト関係グラフにあれば、そのノード用のプロファイルの中の更新時刻を、ログデータから抽出された動作時刻に更新する。
さらに、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへのエッジとそのエッジプロファイルをオブジェクト関係グラフに追加する。エッジには動作タイプに応じた関係性が付記される。エッジプロファイルは、エッジ用のプロファイルであり、エッジ識別子とエッジタイプと生成時刻と更新時刻とを含む。生成時刻と更新時刻とのそれぞれは、ログデータから抽出された動作時刻と同じである。
関係構築部１２０は、各プロファイルに通信データ情報を含めてもよい。
図９、図１０および図１１に、エッジプロファイルを含むオブジェクト関係グラフの例を示す。「Ｅｄｇｅ ＩＤ」はエッジ識別子を意味する。「Ｔｙｐｅ」はエッジタイプを意味する。「Ｏｒｉｇｉｎ」は生成時刻を意味する。「Ｕｐｄａｔｅ」は更新時刻を意味する。
図９は、オブジェクト関係データ１９５Ａを示す。オブジェクト関係データ１９５Ａはオブジェクト関係グラフ１９５Ｂを表す。オブジェクト関係グラフ１９５Ｂはエッジプロファイル１９５Ｃを含む。エッジプロファイル１９５Ｃは、通信元プロセスから通信ログへのエッジ用のプロファイルである。
図１０は、オブジェクト関係データ１９５Ｄを示す。オブジェクト関係データ１９５Ｄはオブジェクト関係グラフ１９５Ｅを表す。オブジェクト関係グラフ１９５Ｅはエッジプロファイル１９５Ｆを含む。エッジプロファイル１９５Ｆは、通信先プロセスから通信ログへのエッジ用のプロファイルである。
図１１は、オブジェクト関係データ１９５Ｇを示す。オブジェクト関係データ１９５Ｇはオブジェクト関係グラフ１９５Ｈを表す。オブジェクト関係グラフ１９５Ｈはエッジプロファイル１９５Ｉを含む。エッジプロファイル１９５Ｉは、通信元プロセスから通信先プロセスへのエッジ用のプロファイルである。
＊＊＊実施の形態３の効果＊＊＊
汚染範囲特定装置１００は、各ノードおよび各エッジにプロファイルを付加することができる。つまり、各ソフトウェアオブジェクトおよびソフトウェアオブジェクト間の関係をより詳細に管理することができる。
各プロファイルは時刻情報を有する。これにより、時系列の矛盾をなくして侵入経路および汚染部分を高精度に特定することが可能となる。
＊＊＊実施の形態３の補足＊＊＊
実施の形態３に実施の形態２が適用されてもよい。つまり、実施の形態３におけるオブジェクト関係データは、実施の形態２におけるオブジェクト関係グラフと同様に、３つのソフトウェアオブジェクト間の関係を含んでもよい。
実施の形態４．
各ノードプロファイルに有効フラグが追加される形態について、主に実施の形態３と異なる点を説明する。
＊＊＊構成の説明＊＊＊
汚染範囲特定装置１００の構成は、実施の形態１における構成（図１参照）と同じである。
＊＊＊動作の説明＊＊＊
汚染範囲特定方法は、実施の形態１における方法（図２参照）と同じである。
但し、関係構築（Ｓ１１０）によって、オブジェクト関係グラフの中の各ノードと各エッジにプロファイルが付加される。そして、各ノード用のプロファイルは有効フラグを含む。有効フラグは、ソフトウェアオブジェクトが有効であるか否かを示す。
図６に基づいて、関係構築（Ｓ１１０）の手順を説明する。
ステップＳ１１１において、受付部１１０は、ソフトウェア動作データを受け付ける。
ステップＳ１１２において、関係構築部１２０は、ソフトウェア動作データから、動作タイプと動作オブジェクト情報と動作時刻とを抽出する。
ステップＳ１１３において、関係構築部１２０は、動作タイプとオブジェクト情報と動作時刻とに基づいて、オブジェクト関係データを更新する。
オブジェクト関係データは以下のように更新される。
オブジェクト関係データはオブジェクト関係グラフを表す。動作オブジェクト情報は、動作オブジェクトと対象オブジェクトとの２つのソフトウェアオブジェクトを示す。
関係構築部１２０は、オブジェクト関係グラフの中から、動作オブジェクト情報に示される各ソフトウェアオブジェクトを表すノードを探す。
関係構築部１２０は、見つかったノードに付加されているプロファイルを更新する。具体的には、プロファイルの中の更新時刻を今回の動作時刻に更新する。さらに、関係構築部１２０は、動作タイプがオブジェクト無効動作を識別するか判定する。オブジェクト無効動作は、ソフトウェアオブジェクトが無効になるソフトウェア動作である。例えば、オブジェクト無効動作は、プロセス終了またはファイル削除などである。動作タイプがオブジェクト無効動作を識別する場合、関係構築部１２０は、プロファイルの中の有効フラグの値を無効値に更新する。無効値は無効を意味する値である。
関係構築部１２０は、見つからなかったノードをオブジェクト関係グラフに追加する。さらに、関係構築部１２０は、追加されたノード用のプロファイルを生成し、生成されたプロファイルを追加されたノードに付加する。ノード用のプロファイルは、ノード識別子とノードタイプと更新時刻と有効フラグとを含む。有効フラグの初期値は有効値である。有効値は有効を意味する値である。
関係構築部１２０は、オブジェクト関係グラフから、動作オブジェクトノードと対象オブジェクトノードを選択する。関係構築部１２０は、選択した２つのノードを結ぶエッジをオブジェクト関係グラフに追加する。具体的には、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへの有向エッジを追加する。さらに、関係構築部１２０は、追加されたエッジ用のプロファイルを生成し、生成されたプロファイルを追加されたエッジに付加する。エッジ用のプロファイルは、エッジ識別子とエッジタイプと更新時刻とを含む。
＊＊＊実施例の説明＊＊＊
関係構築（Ｓ１１０）（図６参照）の実施例を以下に示す。
ステップＳ１１１において、受付部１１０は、プロセス終了を示すログデータを受け取る。
ステップＳ１１２において、関係構築部１２０は、ログデータから、動作タイプと動作オブジェクト情報と動作時刻とを抽出する。動作タイプはプロセス終了である。動作オブジェクトは指示プロセスであり、対象オブジェクトは終了プロセスである。
ステップＳ１１３において、動作オブジェクトノードがオブジェクト関係グラフになく、対象オブジェクトノードがオブジェクト関係グラフにある。関係構築部１２０は、動作オブジェクトノードと動作オブジェクトノード用のプロファイルをオブジェクト関係グラフに追加する。追加されるプロファイルは、ノード識別子とノードタイプと生成時刻と更新時刻と有効フラグとを含む。ノードタイプはプロセスである。生成時刻と更新時刻とのそれぞれは、ログデータから抽出された動作時刻と同じである。有効フラグは有効値を示す。また、関係構築部１２０は、対象オブジェクトノード用のプロファイルの中の更新時刻を、ログデータから抽出された動作時刻に更新する。さらに、関係構築部１２０は、対象オブジェクトノード用のプロファイルの中の有効フラグの値を無効値に更新する。
さらに、関係構築部１２０は、動作オブジェクトノードから対象オブジェクトノードへのエッジとそのエッジプロファイルをオブジェクト関係グラフに追加する。エッジには動作タイプに応じた関係性が付記される。エッジプロファイルは、エッジ用のプロファイルであり、エッジ識別子とエッジタイプと生成時刻と更新時刻とを含む。生成時刻と更新時刻とのそれぞれは、ログデータから抽出された動作時刻と同じである。
＊＊＊実施の形態４の効果＊＊＊
汚染範囲特定装置１００は、各ノード用のプロファイルに有効フラグを含めることができる。これにより、侵入経路および汚染部分をより高精度に特定することが可能となる。
＊＊＊実施の形態の補足＊＊＊
図１２に基づいて、汚染範囲特定装置１００のハードウェア構成を説明する。
汚染範囲特定装置１００は処理回路１０９を備える。
処理回路１０９は、受付部１１０と関係構築部１２０と汚染範囲特定部１３０と出力部１４０とを実現するハードウェアである。
処理回路１０９は、専用のハードウェアであってもよいし、メモリ１０２に格納されるプログラムを実行するプロセッサ１０１であってもよい。
処理回路１０９が専用のハードウェアである場合、処理回路１０９は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。
ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＦＰＧＡは、Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略称である。
汚染範囲特定装置１００は、処理回路１０９を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１０９の機能を分担する。
処理回路１０９において、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェアまたはファームウェアで実現されてもよい。
このように、汚染範囲特定装置１００の機能はハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせで実現することができる。
各実施の形態は、好ましい形態の例示であり、本開示の技術的範囲を制限することを意図するものではない。各実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。
汚染範囲特定装置１００の要素である「部」は、「処理」または「工程」と読み替えてもよい。
１００ 汚染範囲特定装置、１０１ プロセッサ、１０２ メモリ、１０３ 補助記憶装置、１０４ 通信装置、１０５ 入出力インタフェース、１０９ 処理回路、１１０ 受付部、１２０ 関係構築部、１３０ 汚染範囲特定部、１４０ 出力部、１９０ 記憶部、１９１ オブジェクト関係データ、１９１Ｇ オブジェクト関係グラフ、１９２ 侵入経路データ、１９３ 汚染オブジェクトデータ、１９４ オブジェクト関係データ、１９４Ｇ オブジェクト関係グラフ、１９５Ａ オブジェクト関係データ、１９５Ｂ オブジェクト関係グラフ、１９５Ｃ エッジプロファイル。

Claims (6)

  1. ソフトウェア動作の動作タイプと前記ソフトウェア動作で使用された複数のソフトウェアオブジェクトを示す動作オブジェクト情報と前記ソフトウェア動作が発生した動作時刻とをそれぞれが含む複数のソフトウェア動作データに基づいて、前記複数のソフトウェアオブジェクトの関係を示すオブジェクト関係データを生成する関係構築部と、
    前記オブジェクト関係データと、サイバー攻撃の発生を知らせるアラートデータと、に基づいて、サイバー攻撃の影響を受ける汚染範囲を示す汚染範囲データを生成する汚染範囲特定部と、
    を備え、
    前記関係構築部は、各ソフトウェア動作データから動作タイプと動作オブジェクト情報とを抽出し、抽出された動作オブジェクト情報に示される複数のソフトウェアオブジェクトを表す複数のノードと、抽出された動作タイプに応じた向きを有して前記複数のノードを結ぶ有向エッジと、を含むオブジェクト関係グラフを表すデータを前記オブジェクト関係データとして生成し、各ノードに対して、ノードを識別するノード識別子と、ノードによって表されるソフトウェアオブジェクトの種類を識別するノードタイプと、最新の動作時刻を示す更新時刻と、を含むプロファイルを付加する
    汚染範囲特定装置。
  2. 前記関係構築部は、各エッジに対して、エッジを識別するエッジ識別子と、エッジによって結ばれる２つのソフトウェアオブジェクトの関係性を識別するエッジタイプと、最新の動作時刻を示す更新時刻と、を含むプロファイルを付加する
    請求項１に記載の汚染範囲特定装置。
  3. 前記関係構築部は、各ノードに付加されるプロファイルに、ノードによって表されるソフトウェアオブジェクトが有効であるか否かを示す有効フラグを含める
    請求項１または請求項２に記載の汚染範囲特定装置。
  4. 前記汚染範囲データは、侵入経路データを含み、
    前記汚染範囲特定部は、前記アラートデータから前記サイバー攻撃が検知されたソフトウェアオブジェクトである異常オブジェクトを示す異常オブジェクト情報を抽出し、前記オブジェクト関係グラフを用いて前記異常オブジェクトのノードから外部プロセスのノードまで各有向エッジを逆方向に辿り、前記異常オブジェクトのノードから前記外部プロセスのノードまでの経路である侵入経路を示すデータを前記侵入経路データとして生成する
    請求項１から請求項３のいずれか１項に記載の汚染範囲特定装置。
  5. 前記汚染範囲データは、汚染オブジェクトデータを含み、
    前記汚染範囲特定部は、前記オブジェクト関係グラフから前記侵入経路に位置する各ノードを選択し、選択された各ノードから各有向エッジを順方向に辿り、選択された各ノードで表されるソフトウェアオブジェクトと辿った先の各ノードで表されるソフトウェアオブジェクトとを示すデータを前記汚染オブジェクトデータとして生成する
    請求項４に記載の汚染範囲特定装置。
  6. ソフトウェア動作の動作タイプと前記ソフトウェア動作で使用された複数のソフトウェアオブジェクトを示す動作オブジェクト情報と前記ソフトウェア動作が発生した動作時刻とをそれぞれが含む複数のソフトウェア動作データに基づいて、前記複数のソフトウェアオブジェクトの関係を示すオブジェクト関係データを生成する関係構築処理と、
    前記オブジェクト関係データと、サイバー攻撃の発生を知らせるアラートデータと、に基づいて、サイバー攻撃の影響を受ける汚染範囲を示す汚染範囲データを生成する汚染範囲特定処理と、
    をコンピュータに実行させるための汚染範囲特定プログラムであって、
    前記関係構築処理は、各ソフトウェア動作データから動作タイプと動作オブジェクト情報とを抽出し、抽出された動作オブジェクト情報に示される複数のソフトウェアオブジェクトを表す複数のノードと、抽出された動作タイプに応じた向きを有して前記複数のノードを結ぶ有向エッジと、を含むオブジェクト関係グラフを表すデータを前記オブジェクト関係データとして生成し、各ノードに対して、ノードを識別するノード識別子と、ノードによって表されるソフトウェアオブジェクトの種類を識別するノードタイプと、最新の動作時刻を示す更新時刻と、を含むプロファイルを付加する
    汚染範囲特定プログラム。
JP2021559725A 2020-03-19 2020-03-19 汚染範囲特定装置および汚染範囲特定プログラム Active JP6987332B1 (ja)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/012365 WO2021186683A1 (ja) 2020-03-19 2020-03-19 汚染範囲特定装置および汚染範囲特定プログラム

Publications (2)

Publication Number Publication Date
JPWO2021186683A1 JPWO2021186683A1 (ja) 2021-09-23
JP6987332B1 true JP6987332B1 (ja) 2021-12-22

Family

ID=77771993

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021559725A Active JP6987332B1 (ja) 2020-03-19 2020-03-19 汚染範囲特定装置および汚染範囲特定プログラム

Country Status (5)

Country Link
US (1) US20220358218A1 (ja)
JP (1) JP6987332B1 (ja)
CN (1) CN115349123A (ja)
DE (1) DE112020006558T5 (ja)
WO (1) WO2021186683A1 (ja)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11259331A (ja) * 1998-03-13 1999-09-24 Nippon Telegr & Teleph Corp <Ntt> ネットワークにおける障害箇所検出方法及び装置及びネットワークにおける障害箇所検出プログラムを格納した記憶媒体
WO2015140843A1 (ja) * 2014-03-20 2015-09-24 日本電気株式会社 情報処理装置、影響過程抽出方法および記録媒体
WO2015140842A1 (ja) * 2014-03-20 2015-09-24 日本電気株式会社 システムを監視する情報処理装置及び監視方法
WO2016072310A1 (ja) * 2014-11-05 2016-05-12 キヤノン電子株式会社 特定装置、その制御方法、及びプログラム
WO2017175283A1 (ja) * 2016-04-04 2017-10-12 三菱電機株式会社 プロセス探索装置およびプロセス探索プログラム
WO2019186777A1 (ja) * 2018-03-28 2019-10-03 日本電気株式会社 情報処理装置、制御方法、及びプログラム

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6723955B2 (ja) 2017-05-12 2020-07-15 日立オートモティブシステムズ株式会社 情報処理装置及び異常対処方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11259331A (ja) * 1998-03-13 1999-09-24 Nippon Telegr & Teleph Corp <Ntt> ネットワークにおける障害箇所検出方法及び装置及びネットワークにおける障害箇所検出プログラムを格納した記憶媒体
WO2015140843A1 (ja) * 2014-03-20 2015-09-24 日本電気株式会社 情報処理装置、影響過程抽出方法および記録媒体
WO2015140842A1 (ja) * 2014-03-20 2015-09-24 日本電気株式会社 システムを監視する情報処理装置及び監視方法
WO2016072310A1 (ja) * 2014-11-05 2016-05-12 キヤノン電子株式会社 特定装置、その制御方法、及びプログラム
WO2017175283A1 (ja) * 2016-04-04 2017-10-12 三菱電機株式会社 プロセス探索装置およびプロセス探索プログラム
WO2019186777A1 (ja) * 2018-03-28 2019-10-03 日本電気株式会社 情報処理装置、制御方法、及びプログラム

Also Published As

Publication number Publication date
US20220358218A1 (en) 2022-11-10
DE112020006558T5 (de) 2022-12-29
WO2021186683A1 (ja) 2021-09-23
JPWO2021186683A1 (ja) 2021-09-23
CN115349123A (zh) 2022-11-15

Similar Documents

Publication Publication Date Title
US10025931B1 (en) Method and system for malware detection
EP3779745B1 (en) Code pointer authentication for hardware flow control
US11403180B2 (en) Auxiliary storage device having independent recovery area, and device applied with same
KR101828600B1 (ko) 상황 인식 기반의 랜섬웨어 탐지
JP2009505295A (ja) 情報保護方法およびシステム
KR101995944B1 (ko) 랜섬웨어를 방지하는 방법
RU2583714C2 (ru) Агент безопасности, функционирующий на уровне встроенного программного обеспечения, с поддержкой безопасности уровня операционной системы
US9104876B1 (en) Virtual file-based tamper resistant repository
JP6987332B1 (ja) 汚染範囲特定装置および汚染範囲特定プログラム
US11216559B1 (en) Systems and methods for automatically recovering from malware attacks
CN112463287A (zh) 基于插桩的访问请求处理方法及系统
CN112463286A (zh) 用于虚拟机操作系统的异常事件监控方法及系统
JP2017204173A (ja) データ保護プログラム、データ保護方法及びデータ保護装置
KR101872605B1 (ko) 지능형 지속위협 환경의 네트워크 복구 시스템
JP7168010B2 (ja) 行動計画推定装置、行動計画推定方法、及びプログラム
JPH11282673A (ja) コンピュータウィルスの感染経路検出方法とその方法に用いるトレースウィルスを記録する記録媒体
KR101904415B1 (ko) 지능형 지속위협 환경에서의 시스템 복구 방법
JP2006048719A (ja) ウィルス対応型記憶装置及び情報処理装置
JP2006134352A (ja) 装置、記憶装置及びファイル処理方法
Ma et al. Travelling the hypervisor and ssd: A tag-based approach against crypto ransomware with fine-grained data recovery
Dafoe et al. Enabling Real-Time Restoration of Compromised ECU Firmware in Connected and Autonomous Vehicles
JP2005148814A (ja) ファイルアクセス監視装置、方法、プログラムおよび記録媒体
US20240111865A1 (en) Cyber recovery forensics kit configured to send return malware
US20240111866A1 (en) A cyber recovery forensics kit configured to maintain communication and send return malware
US20240111867A1 (en) Cyber recovery forensics kit - experimentation automation

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20211008

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20211008

A871 Explanation of circumstances concerning accelerated examination

Free format text: JAPANESE INTERMEDIATE CODE: A871

Effective date: 20211008

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20211102

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20211130

R150 Certificate of patent or registration of utility model

Ref document number: 6987332

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150