JP7004477B2 - インシデントレスポンス補助システム、インシデントレスポンス補助方法およびインシデントレスポンス補助プログラム - Google Patents
インシデントレスポンス補助システム、インシデントレスポンス補助方法およびインシデントレスポンス補助プログラム Download PDFInfo
- Publication number
- JP7004477B2 JP7004477B2 JP2021561854A JP2021561854A JP7004477B2 JP 7004477 B2 JP7004477 B2 JP 7004477B2 JP 2021561854 A JP2021561854 A JP 2021561854A JP 2021561854 A JP2021561854 A JP 2021561854A JP 7004477 B2 JP7004477 B2 JP 7004477B2
- Authority
- JP
- Japan
- Prior art keywords
- attack
- log data
- normal
- log
- scenario
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Debugging And Monitoring (AREA)
Description
本発明は、インシデントレスポンスの効率化に関するものである。
サイバー攻撃による被害状況は依然深刻であり、サイバー攻撃によって発生するインシデントを完全に防ぐことは困難である。
各企業は、インシデント発生時の対応能力を有することが求められてきている。
各企業は、インシデント発生時の対応能力を有することが求められてきている。
特許文献１には、マルウェアを動的解析して得られたログから、マルウェア本来の挙動を効果的に抽出するための技術が開示されている。
特許文献１の技術では、マルウェア解析ログのうち正規ファイル解析ログに含まれないものがマルウェアに関するブラックログとして抽出される。
特許文献１の技術では、マルウェア解析ログのうち正規ファイル解析ログに含まれないものがマルウェアに関するブラックログとして抽出される。
特許文献１の技術では、正規ファイル解析ログを取得するために、正規ファイルまたは正規ファイルに関係づけられたプログラムが実行される。そのため、ブラックログを得るための処理負荷が大きい。
本発明は、インシデント対応のための情報として、通常時のログデータとサイバー攻撃時のログデータとの差分である痕跡ログデータを効率良く得られるようにすることを目的とする。
本発明のインシデントレスポンス補助システムは、
サイバー攻撃に伴う動作とは異なる通常動作の手順を示す通常シナリオと、サイバー攻撃の手順を示すアタックシナリオと、検証環境システムが指定される検証環境ファイルと、を受け付ける受付部と、
検証環境ファイルと通常シナリオとの組毎に通常ログデータが登録されたログデータベースで、受け付けられた検証環境ファイルと受け付けられた通常シナリオとの組と同じ組に対応する通常ログデータである該当通常ログデータを検索する通常ログ検索部と、
受け付けられたアタックシナリオにしたがって前記サイバー攻撃を前記検証環境システムに対して行う攻撃実行部と、
前記サイバー攻撃が行われている間に前記検証環境システムにおいて記録されたログデータを攻撃ログデータとして取得する攻撃ログ取得部と、
前記攻撃ログデータから前記該当通常ログデータとの差分を痕跡ログデータとして抽出する痕跡ログ抽出部と、を備える。
サイバー攻撃に伴う動作とは異なる通常動作の手順を示す通常シナリオと、サイバー攻撃の手順を示すアタックシナリオと、検証環境システムが指定される検証環境ファイルと、を受け付ける受付部と、
検証環境ファイルと通常シナリオとの組毎に通常ログデータが登録されたログデータベースで、受け付けられた検証環境ファイルと受け付けられた通常シナリオとの組と同じ組に対応する通常ログデータである該当通常ログデータを検索する通常ログ検索部と、
受け付けられたアタックシナリオにしたがって前記サイバー攻撃を前記検証環境システムに対して行う攻撃実行部と、
前記サイバー攻撃が行われている間に前記検証環境システムにおいて記録されたログデータを攻撃ログデータとして取得する攻撃ログ取得部と、
前記攻撃ログデータから前記該当通常ログデータとの差分を痕跡ログデータとして抽出する痕跡ログ抽出部と、を備える。
本発明によれば、過去に行われた通常動作と同じ通常動作を検証対象システムに行わせずに通常ログデータを取得することが可能となる。そして、取得した通常ログデータを利用して痕跡ログデータを抽出することができる。したがって、痕跡ログデータを効率良く得ることができる。
実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。
実施の形態１．
インシデントレスポンスの効率化を図るための形態について、図１から図８に基づいて説明する。
インシデントレスポンスの効率化を図るための形態について、図１から図８に基づいて説明する。
＊＊＊構成の説明＊＊＊
図１に基づいて、インシデントレスポンス補助装置１００の構成を説明する。
インシデントレスポンス補助装置１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と通信装置１０４と入出力インタフェース１０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
図１に基づいて、インシデントレスポンス補助装置１００の構成を説明する。
インシデントレスポンス補助装置１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と通信装置１０４と入出力インタフェース１０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
プロセッサ１０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ１０１は、ＣＰＵ、ＤＳＰまたはＧＰＵである。
ＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
ＤＳＰは、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略称である。
ＧＰＵは、Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
ＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
ＤＳＰは、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略称である。
ＧＰＵは、Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
メモリ１０２は揮発性または不揮発性の記憶装置である。メモリ１０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ１０２はＲＡＭである。メモリ１０２に記憶されたデータは必要に応じて補助記憶装置１０３に保存される。
ＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。
ＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。
補助記憶装置１０３は不揮発性の記憶装置である。例えば、補助記憶装置１０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置１０３に記憶されたデータは必要に応じてメモリ１０２にロードされる。
ＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。
ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。
ＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。
ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。
通信装置１０４はレシーバ及びトランスミッタである。例えば、通信装置１０４は通信チップまたはＮＩＣである。
ＮＩＣは、Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄの略称である。
ＮＩＣは、Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄの略称である。
入出力インタフェース１０５は、入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース１０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。
ＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。
ＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。
インシデントレスポンス補助装置１００は、受付部１１０と痕跡ログ導出部１２０と通常ログ検索部１３０といった要素を備える。痕跡ログ導出部１２０は、検証環境部１２１と通常動作部１２２と通常ログ取得部１２３と攻撃実行部１２４と攻撃ログ取得部１２５と痕跡ログ抽出部１２６といった要素を備える。これらの要素はソフトウェアで実現される。
補助記憶装置１０３には、受付部１１０と痕跡ログ導出部１２０と通常ログ検索部１３０としてコンピュータを機能させるためのインシデントレスポンス補助プログラムが記憶されている。インシデントレスポンス補助プログラムは、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
補助記憶装置１０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
プロセッサ１０１は、ＯＳを実行しながら、インシデントレスポンス補助プログラムを実行する。
ＯＳは、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略称である。
補助記憶装置１０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
プロセッサ１０１は、ＯＳを実行しながら、インシデントレスポンス補助プログラムを実行する。
ＯＳは、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略称である。
インシデントレスポンス補助プログラムの入出力データは記憶部１９０に記憶される。
メモリ１０２は記憶部１９０として機能する。但し、補助記憶装置１０３、プロセッサ１０１内のレジスタおよびプロセッサ１０１内のキャッシュメモリなどの記憶装置が、メモリ１０２の代わりに、又は、メモリ１０２と共に、記憶部１９０として機能してもよい。
メモリ１０２は記憶部１９０として機能する。但し、補助記憶装置１０３、プロセッサ１０１内のレジスタおよびプロセッサ１０１内のキャッシュメモリなどの記憶装置が、メモリ１０２の代わりに、又は、メモリ１０２と共に、記憶部１９０として機能してもよい。
記憶部１９０には、例えば、ログデータベース１８０などが記憶される。
インシデントレスポンス補助装置１００は、プロセッサ１０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ１０１の機能を分担する。
インシデントレスポンス補助プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。
図２に基づいて、ログデータベース１８０の構成を説明する。
ログデータベース１８０には、１つ以上の検証環境ファイル１９１と１つ以上の通常シナリオ１９２と１つ以上のアタックシナリオ１９４といったデータが登録される。
ログデータベース１８０には、１つ以上の通常ログデータ１９３と１つ以上の攻撃ログデータ１９５と１つ以上の痕跡ログデータ１９６といったデータが登録される。
各データは、名称などの識別子によって識別される。
各データの内容については後述する。
ログデータベース１８０には、１つ以上の検証環境ファイル１９１と１つ以上の通常シナリオ１９２と１つ以上のアタックシナリオ１９４といったデータが登録される。
ログデータベース１８０には、１つ以上の通常ログデータ１９３と１つ以上の攻撃ログデータ１９５と１つ以上の痕跡ログデータ１９６といったデータが登録される。
各データは、名称などの識別子によって識別される。
各データの内容については後述する。
ログデータベース１８０には、さらに、通常ログ管理テーブル１８１が登録される。通常ログ管理テーブル１８１は、通常ログデータ１９３を管理するためのテーブルである。
通常ログ管理テーブル１８１は、検証環境ファイル１９１と通常シナリオ１９２との組毎に通常ログデータ１９３を示す。
これにより、ログデータベース１８０には、検証環境ファイル１９１と通常シナリオ１９２との組毎に通常ログデータ１９３が登録されることとなる。
通常ログ管理テーブル１８１は、検証環境ファイル１９１と通常シナリオ１９２との組毎に通常ログデータ１９３を示す。
これにより、ログデータベース１８０には、検証環境ファイル１９１と通常シナリオ１９２との組毎に通常ログデータ１９３が登録されることとなる。
図３に基づいて、インシデントレスポンス補助システム２００の構成を説明する。
インシデントレスポンス補助システム２００は、インシデントレスポンス補助装置１００と、検証環境システム２１０と、を備える。
インシデントレスポンス補助システム２００は、インシデントレスポンス補助装置１００と、検証環境システム２１０と、を備える。
検証環境システム２１０は、監視対象システムを代替するシステムである。監視対象システムは、インシデントの発生を監視する対象となるシステムである。インシデントは、サイバー攻撃によって発生する。
検証環境システム２１０は仮想環境で構築される。例えば、検証環境システム２１０は、クライアント端末とウェブサーバとログサーバとを備える。クライアント端末とウェブサーバとログサーバとのそれぞれは、仮想マシンによって実現される。
検証環境システム２１０は仮想環境で構築される。例えば、検証環境システム２１０は、クライアント端末とウェブサーバとログサーバとを備える。クライアント端末とウェブサーバとログサーバとのそれぞれは、仮想マシンによって実現される。
インシデントレスポンス補助装置１００は、検証環境システム２１０を操作し、検証環境システム２１０から通常ログデータ１９３と攻撃ログデータ１９５とを取得する。
そして、インシデントレスポンス補助装置１００は、通常ログデータ１９３と攻撃ログデータ１９５とに基づいて、痕跡ログデータ１９６を生成する。
そして、インシデントレスポンス補助装置１００は、通常ログデータ１９３と攻撃ログデータ１９５とに基づいて、痕跡ログデータ１９６を生成する。
＊＊＊動作の説明＊＊＊
インシデントレスポンス補助システム２００の動作の手順はインシデントレスポンス補助方法に相当する。また、インシデントレスポンス補助装置１００の動作の手順はインシデントレスポンス補助プログラムによる処理の手順に相当する。
インシデントレスポンス補助システム２００の動作の手順はインシデントレスポンス補助方法に相当する。また、インシデントレスポンス補助装置１００の動作の手順はインシデントレスポンス補助プログラムによる処理の手順に相当する。
図４に基づいて、インシデントレスポンス補助方法を説明する。
利用者は、検証環境システム２１０を予め用意する。
具体的には、利用者は、検証環境システム２１０を仮想化技術によって実現するコンピュータを用意する。このコンピュータを「仮想化コンピュータ」と称する。
利用者は、検証環境システム２１０を予め用意する。
具体的には、利用者は、検証環境システム２１０を仮想化技術によって実現するコンピュータを用意する。このコンピュータを「仮想化コンピュータ」と称する。
利用者は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４をインシデントレスポンス補助装置１００に入力する。
ステップＳ１１０からステップＳ１４０は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４がインシデントレスポンス補助装置１００に入力される毎に実行される。
ステップＳ１１０からステップＳ１４０は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４がインシデントレスポンス補助装置１００に入力される毎に実行される。
ステップＳ１１０において、受付部１１０は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４を受け付ける。
検証環境ファイル１９１は、検証環境システム２１０が指定されるファイルである。検証環境ファイル１９１は、初期状態における検証環境システム２１０のスナップショットを含む。検証環境ファイル１９１は、ａｎｓｉｂｌｅなどのツールを用いて生成される。
通常シナリオ１９２は通常動作の手順を示す。また、通常シナリオ１９２は、通常動作の開始条件と通常動作の終了条件とを示す。通常動作は、サイバー攻撃に伴う動作とは異なる動作である。
アタックシナリオ１９４はサイバー攻撃の手順を示す。また、アタックシナリオ１９４は、サイバー攻撃の開始条件とサイバー攻撃の終了条件とを示す。
検証環境ファイル１９１は、検証環境システム２１０が指定されるファイルである。検証環境ファイル１９１は、初期状態における検証環境システム２１０のスナップショットを含む。検証環境ファイル１９１は、ａｎｓｉｂｌｅなどのツールを用いて生成される。
通常シナリオ１９２は通常動作の手順を示す。また、通常シナリオ１９２は、通常動作の開始条件と通常動作の終了条件とを示す。通常動作は、サイバー攻撃に伴う動作とは異なる動作である。
アタックシナリオ１９４はサイバー攻撃の手順を示す。また、アタックシナリオ１９４は、サイバー攻撃の開始条件とサイバー攻撃の終了条件とを示す。
受付部１１０は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４をログデータベース１８０に登録する。
ステップＳ１１０で受け付けられた検証環境ファイル１９１を「対象検証環境ファイル」と称する。
ステップＳ１１０で受け付けられた通常シナリオ１９２を「対象通常シナリオ」と称する。
ステップＳ１１０で受け付けられた各アタックシナリオ１９４を「対象アタックシナリオ」と称する。
ステップＳ１１０で受け付けられた通常シナリオ１９２を「対象通常シナリオ」と称する。
ステップＳ１１０で受け付けられた各アタックシナリオ１９４を「対象アタックシナリオ」と称する。
ステップＳ１２０において、痕跡ログ導出部１２０は、対象検証環境ファイルと対象通常シナリオとを用いて、通常ログデータ１９３を取得する。
図５に基づいて、ステップＳ１２０の手順を説明する。
ステップＳ１２１において、通常ログ検索部１３０は、ログデータベース１８０で該当通常ログデータを検索する。
該当通常ログデータは、対象検証環境ファイルと対象通常シナリオとの組と同じ組に対応する通常ログデータ１９３である。
ステップＳ１２１において、通常ログ検索部１３０は、ログデータベース１８０で該当通常ログデータを検索する。
該当通常ログデータは、対象検証環境ファイルと対象通常シナリオとの組と同じ組に対応する通常ログデータ１９３である。
該当通常ログデータは以下のように検索される。
通常ログ検索部１３０は、ログデータベース１８０に登録されている各検証環境ファイル１９１と対象検証環境ファイルを比較することによって、該当検証環境ファイルを探す。該当検証環境ファイルは、対象検証環境ファイルと同じ検証環境ファイル１９１である。具体的には、該当検証環境ファイルは、対象検証環境ファイルに含まれるスナップショットと同じスナップショットを含む検証環境ファイル１９１である。
通常ログ検索部１３０は、ログデータベース１８０に登録されている各通常シナリオ１９２と対象通常シナリオを比較することによって、該当通常シナリオを探す。該当通常シナリオは、対象通常シナリオと同じ通常シナリオ１９２である。
該当検証環境ファイルと該当通常シナリオとの両方が見つかった場合、通常ログ検索部１３０は、通常ログ管理テーブル１８１で該当管理レコードを検索する。該当管理レコードは、該当検証環境ファイルと該当通常シナリオとの組を示す通常ログ管理レコードである。
該当管理レコードに示される通常ログデータ１９３が該当通常ログデータである。
通常ログ検索部１３０は、ログデータベース１８０に登録されている各検証環境ファイル１９１と対象検証環境ファイルを比較することによって、該当検証環境ファイルを探す。該当検証環境ファイルは、対象検証環境ファイルと同じ検証環境ファイル１９１である。具体的には、該当検証環境ファイルは、対象検証環境ファイルに含まれるスナップショットと同じスナップショットを含む検証環境ファイル１９１である。
通常ログ検索部１３０は、ログデータベース１８０に登録されている各通常シナリオ１９２と対象通常シナリオを比較することによって、該当通常シナリオを探す。該当通常シナリオは、対象通常シナリオと同じ通常シナリオ１９２である。
該当検証環境ファイルと該当通常シナリオとの両方が見つかった場合、通常ログ検索部１３０は、通常ログ管理テーブル１８１で該当管理レコードを検索する。該当管理レコードは、該当検証環境ファイルと該当通常シナリオとの組を示す通常ログ管理レコードである。
該当管理レコードに示される通常ログデータ１９３が該当通常ログデータである。
該当通常ログデータが見つかった場合、処理はステップＳ１２２に進む。
該当通常ログデータが見つからなかった場合、処理はステップＳ１２３に進む。
該当通常ログデータが見つからなかった場合、処理はステップＳ１２３に進む。
ステップＳ１２２において、攻撃ログ取得部１２５は、ログデータベース１８０から該当通常ログデータを取得する。
ステップＳ１２３において、検証環境部１２１は、対象検証環境ファイルを用いて検証環境システム２１０を初期化する。
具体的には、検証環境部１２１は、検証環境システム２１０を実現する仮想化コンピュータへ対象検証環境ファイルを送信する。そして、仮想化コンピュータが、対象検証環境ファイルに含まれるスナップショットを使用して検証環境システム２１０を初期化する。
具体的には、検証環境部１２１は、検証環境システム２１０を実現する仮想化コンピュータへ対象検証環境ファイルを送信する。そして、仮想化コンピュータが、対象検証環境ファイルに含まれるスナップショットを使用して検証環境システム２１０を初期化する。
ステップＳ１２４において、通常動作部１２２は、対象通常シナリオにしたがって通常動作を検証環境システム２１０に行わせる。
通常動作は以下のように行われる。
通常動作は１つ以上の工程で構成される。通常動作における各工程を通常工程と称する。
通常動作部１２２は、対象通常シナリオに示される手順にしたがって、各通常工程の実行命令を仮想化コンピュータの検証環境システム２１０へ送信する。仮想化コンピュータの検証環境システム２１０は、各実行命令にしたがって通常工程を実行する。
通常動作は１つ以上の工程で構成される。通常動作における各工程を通常工程と称する。
通常動作部１２２は、対象通常シナリオに示される手順にしたがって、各通常工程の実行命令を仮想化コンピュータの検証環境システム２１０へ送信する。仮想化コンピュータの検証環境システム２１０は、各実行命令にしたがって通常工程を実行する。
例えば、以下のような通常動作が行われる。
検証環境システム２１０は、ウェブサーバとクライアント端末を備える。通常動作は、クライアント端末からウェブサーバへの不定期のアクセスである。
検証環境システム２１０は、ウェブサーバとクライアント端末を備える。通常動作は、クライアント端末からウェブサーバへの不定期のアクセスである。
ステップＳ１２５は、通常動作が終了した後に実行される。
ステップＳ１２５において、通常ログ取得部１２３は、検証環境システム２１０から通常ログデータ１９３を取得する。取得される通常ログデータ１９３を「検証通常ログデータ」と称する。
通常ログデータ１９３は、通常動作が行われている間に検証環境システム２１０において記録されるログデータである。
具体的には、通常ログ取得部１２３は、仮想化コンピュータの検証環境システム２１０と通信することによって、検証通常ログデータを取得する。
ステップＳ１２５において、通常ログ取得部１２３は、検証環境システム２１０から通常ログデータ１９３を取得する。取得される通常ログデータ１９３を「検証通常ログデータ」と称する。
通常ログデータ１９３は、通常動作が行われている間に検証環境システム２１０において記録されるログデータである。
具体的には、通常ログ取得部１２３は、仮想化コンピュータの検証環境システム２１０と通信することによって、検証通常ログデータを取得する。
例えば、検証通常ログデータは以下のように取得される。
検証環境システム２１０は、通常ログデータ１９３を記録するログサーバを備える。
例えば、ウェブサーバへのアクセスが発生した場合、ウェブサーバはアクセスログをログサーバへ送信する。アクセスログは、ウェブサーバに対するアクセスの内容を示すログレコードである。ログサーバは、アクセスログを受信し、アクセスログを通常ログデータ１９３に登録する。
通常ログ取得部１２３は、ログサーバから通常ログデータ１９３を取得する。取得される通常ログデータ１９３が検証通常ログデータである。
検証通常ログデータは、ｓｃｐコマンドなどのコマンドによって取得することが可能である。
検証環境システム２１０は、通常ログデータ１９３を記録するログサーバを備える。
例えば、ウェブサーバへのアクセスが発生した場合、ウェブサーバはアクセスログをログサーバへ送信する。アクセスログは、ウェブサーバに対するアクセスの内容を示すログレコードである。ログサーバは、アクセスログを受信し、アクセスログを通常ログデータ１９３に登録する。
通常ログ取得部１２３は、ログサーバから通常ログデータ１９３を取得する。取得される通常ログデータ１９３が検証通常ログデータである。
検証通常ログデータは、ｓｃｐコマンドなどのコマンドによって取得することが可能である。
ステップＳ１２６において、通常ログ取得部１２３は、検証通常ログデータをログデータベース１８０に登録する。
さらに、通常ログ取得部１２３は、検証通常ログデータのための通常ログ管理レコードを通常ログ管理テーブル１８１に登録する。
通常ログ管理レコードは、通常ログデータ１９３を管理するためのレコードである。通常ログ管理レコードには、検証環境ファイル１９１の識別子と通常シナリオ１９２の識別子と通常ログデータ１９３の識別子との組が設定される。通常ログ管理レコードによって、通常ログデータ１９３が検証環境ファイル１９１と通常シナリオ１９２との組に対応付けられる。
さらに、通常ログ取得部１２３は、検証通常ログデータのための通常ログ管理レコードを通常ログ管理テーブル１８１に登録する。
通常ログ管理レコードは、通常ログデータ１９３を管理するためのレコードである。通常ログ管理レコードには、検証環境ファイル１９１の識別子と通常シナリオ１９２の識別子と通常ログデータ１９３の識別子との組が設定される。通常ログ管理レコードによって、通常ログデータ１９３が検証環境ファイル１９１と通常シナリオ１９２との組に対応付けられる。
図４に戻り、ステップＳ１３０を説明する。
ステップＳ１３０において、痕跡ログ導出部１２０は、対象検証環境ファイルと対象通常シナリオと１つ以上の対象アタックシナリオとを用いて、１つ以上の攻撃ログデータ１９５を取得する。
ステップＳ１３０において、痕跡ログ導出部１２０は、対象検証環境ファイルと対象通常シナリオと１つ以上の対象アタックシナリオとを用いて、１つ以上の攻撃ログデータ１９５を取得する。
図６に基づいて、ステップＳ１３０の手順を説明する。
ステップＳ１３１において、攻撃実行部１２４は、未選択のアタックシナリオ１９４を１つ選択する。
ステップＳ１３１において、攻撃実行部１２４は、未選択のアタックシナリオ１９４を１つ選択する。
ステップＳ１３２において、検証環境部１２１は、検証環境ファイル１９１を用いて検証環境システム２１０を初期化する。
ステップＳ１３２は、ステップＳ１２１（図５参照）と同じである。
ステップＳ１３２は、ステップＳ１２１（図５参照）と同じである。
ステップＳ１３３において、通常動作部１２２は、通常シナリオ１９２にしたがって通常動作を検証環境システム２１０に行わせる。
ステップＳ１３３は、ステップＳ１２２（図５参照）と同じである。
ステップＳ１３３は、ステップＳ１２２（図５参照）と同じである。
ステップＳ１３４において、攻撃実行部１２４は、アタックシナリオ１９４にしたがってサイバー攻撃を検証環境システム２１０に対して行う。
サイバー攻撃は以下のように行われる。
サイバー攻撃は、１つ以上の工程で構成される。サイバー攻撃における各工程を攻撃工程と称する。
攻撃実行部１２４は、アタックシナリオ１９４に示される手順にしたがって、各攻撃工程の実行命令を仮想化コンピュータへ送信する。仮想化コンピュータは、各実行命令にしたがって攻撃工程を検証環境システム２１０に対して実行する。
サイバー攻撃は、１つ以上の工程で構成される。サイバー攻撃における各工程を攻撃工程と称する。
攻撃実行部１２４は、アタックシナリオ１９４に示される手順にしたがって、各攻撃工程の実行命令を仮想化コンピュータへ送信する。仮想化コンピュータは、各実行命令にしたがって攻撃工程を検証環境システム２１０に対して実行する。
例えば、以下のようなサイバー攻撃が行われる。
検証環境システム２１０はウェブサーバを備える。サイバー攻撃において、ウェブサーバの脆弱性を突くリクエストが外部からウェブサーバへ送信される。その結果、ウェブサーバは、リクエストを受けて情報を外部へ送信することとなる。
検証環境システム２１０はウェブサーバを備える。サイバー攻撃において、ウェブサーバの脆弱性を突くリクエストが外部からウェブサーバへ送信される。その結果、ウェブサーバは、リクエストを受けて情報を外部へ送信することとなる。
ステップＳ１３５は、通常動作およびサイバー攻撃が終了した後に実行される。
ステップＳ１３５において、攻撃ログ取得部１２５は、検証環境システム２１０から攻撃ログデータ１９５を取得する。
攻撃ログデータ１９５は、通常動作およびサイバー攻撃が行われている間に検証環境システム２１０において記録されるログデータである。
攻撃ログデータ１９５を取得する方法は、ステップＳ１２５（図５参照）において検証通常ログデータを取得する方法と同じである。
ステップＳ１３５において、攻撃ログ取得部１２５は、検証環境システム２１０から攻撃ログデータ１９５を取得する。
攻撃ログデータ１９５は、通常動作およびサイバー攻撃が行われている間に検証環境システム２１０において記録されるログデータである。
攻撃ログデータ１９５を取得する方法は、ステップＳ１２５（図５参照）において検証通常ログデータを取得する方法と同じである。
ステップＳ１３６において、攻撃ログ取得部１２５は、攻撃ログデータ１９５をログデータベース１８０に登録する。
ステップＳ１３７において、攻撃実行部１２４は、未選択のアタックシナリオ１９４があるか判定する。
未選択のアタックシナリオ１９４がある場合、処理はステップＳ１３１に進む。
未選択のアタックシナリオ１９４がない場合、処理は終了する。
未選択のアタックシナリオ１９４がある場合、処理はステップＳ１３１に進む。
未選択のアタックシナリオ１９４がない場合、処理は終了する。
図４に戻り、ステップＳ１４０を説明する。
ステップＳ１４０において、痕跡ログ抽出部１２６は、各攻撃ログデータ１９５から通常ログデータ１９３との差分を抽出する。抽出される差分が痕跡ログデータ１９６となる。
ステップＳ１４０において、痕跡ログ抽出部１２６は、各攻撃ログデータ１９５から通常ログデータ１９３との差分を抽出する。抽出される差分が痕跡ログデータ１９６となる。
具体的には、ステップＳ１２１（図５参照）において該当通常ログデータが見つかった場合、痕跡ログ抽出部１２６は、各攻撃ログデータ１９５から該当通常ログデータとの差分を抽出する。
また、ステップＳ１２１（図５参照）において該当通常ログデータが見つからなかった場合、痕跡ログ抽出部１２６は、各攻撃ログデータ１９５から検証通常ログデータとの差分を抽出する。
また、ステップＳ１２１（図５参照）において該当通常ログデータが見つからなかった場合、痕跡ログ抽出部１２６は、各攻撃ログデータ１９５から検証通常ログデータとの差分を抽出する。
通常ログデータ１９３と各攻撃ログデータ１９５は、１つ以上のログレコードを含む。
各ログレコードは、各時刻に発生した事象を特定する情報を示す。例えば、ログレコードは、日付、時刻、ホスト名およびメッセージなどの情報を示す。
各ログレコードは、各時刻に発生した事象を特定する情報を示す。例えば、ログレコードは、日付、時刻、ホスト名およびメッセージなどの情報を示す。
攻撃ログデータ１９５は、通常ログデータ１９３の各ログレコードと共通するログレコードを含む。
攻撃ログデータ１９５と通常ログデータ１９３の差分は、攻撃ログデータ１９５のログレコードのうち通常ログデータ１９３のいずれのログレコードとも共通しないログレコードである。
攻撃ログデータ１９５と通常ログデータ１９３の差分は、攻撃ログデータ１９５のログレコードのうち通常ログデータ１９３のいずれのログレコードとも共通しないログレコードである。
図７および図８に基づいて、ステップＳ１４０の手順を説明する。
通常ログデータ１９３を「通常ログデータＬＢ」と称する。
通常ログデータＬＢに含まれる各ログレコードを「通常ログレコード」と称する。
ｉ番目の通常ログレコードを「通常ログレコードｌｂｉ」と称する。
「ｉ」は１以上Ｍ以下の整数である。「Ｍ」は通常ログレコードの数である。
通常ログデータＬＢは以下のように定義される。
ＬＢ ＝ ［ｌｂ１，ｌｂ２，・・・，ｌｂＭ］
通常ログデータ１９３を「通常ログデータＬＢ」と称する。
通常ログデータＬＢに含まれる各ログレコードを「通常ログレコード」と称する。
ｉ番目の通常ログレコードを「通常ログレコードｌｂｉ」と称する。
「ｉ」は１以上Ｍ以下の整数である。「Ｍ」は通常ログレコードの数である。
通常ログデータＬＢは以下のように定義される。
ＬＢ ＝ ［ｌｂ１，ｌｂ２，・・・，ｌｂＭ］
攻撃ログデータ１９５を「攻撃ログデータＬＡ」と称する。
攻撃ログデータＬＡに含まれる各ログレコードを「攻撃ログレコード」と称する。
ｊ番目の攻撃ログレコードを「攻撃ログレコードｌａｊ」と称する。
「ｊ」は１以上Ｎ以下の整数である。「Ｎ」は攻撃ログレコードの数である。
通常ログデータＬＢは以下のように定義される。
ＬＡ ＝ ［ｌａ１，ｌａ２，・・・，ｌａＮ］
Ｎ ＞ Ｍ
攻撃ログデータＬＡに含まれる各ログレコードを「攻撃ログレコード」と称する。
ｊ番目の攻撃ログレコードを「攻撃ログレコードｌａｊ」と称する。
「ｊ」は１以上Ｎ以下の整数である。「Ｎ」は攻撃ログレコードの数である。
通常ログデータＬＢは以下のように定義される。
ＬＡ ＝ ［ｌａ１，ｌａ２，・・・，ｌａＮ］
Ｎ ＞ Ｍ
痕跡ログ抽出部１２６は、空の痕跡ログデータ１９６をログデータベース１８０に登録する。
ステップＳ１４１において、痕跡ログ抽出部１２６は、変数ｉと変数ｊを初期化する。
変数ｉと変数ｊとのそれぞれの初期値は「１」である。
変数ｉと変数ｊとのそれぞれの初期値は「１」である。
ステップＳ１４２において、痕跡ログ抽出部１２６は、通常ログ取得部ＬＢから通常ログレコードｌｂｉを抽出する。
ステップＳ１４３において、痕跡ログ抽出部１２６は、攻撃ログ取得部ＬＡから攻撃ログレコードｌａｊを抽出する。
ステップＳ１４４において、痕跡ログ抽出部１２６は、通常ログレコードｌｂｉと攻撃ログレコードｌａｊとの類似度を算出する。類似度は任意の方法で算出することができる。
例えば、通常ログレコードｌｂｉと攻撃ログレコードｌａｊとの類似度は以下のように算出される。
各ログレコードは、日付と時刻とホスト名とメッセージといった情報を示す。
痕跡ログ抽出部１２６は、通常ログレコードｌｂｉと攻撃ログレコードｌａｊとのそれぞれをベクトルに変換する。各ログレコードのベクトルは各ログレコードの各情報を要素とする。各ログレコードのベクトルにおいて、各ログレコードの各情報は、数値、ｏｎｅ－ｈｏｔ表現または分散表現など、データ特性に応じた表現で表される。
痕跡ログ抽出部１２６は、通常ログレコードｌｂｉのベクトルと攻撃ログレコードｌａｊのベクトルとの類似度を算出する。類似度の具体例は、ユークリッド距離またはコサイン類似度などである。
各ログレコードは、日付と時刻とホスト名とメッセージといった情報を示す。
痕跡ログ抽出部１２６は、通常ログレコードｌｂｉと攻撃ログレコードｌａｊとのそれぞれをベクトルに変換する。各ログレコードのベクトルは各ログレコードの各情報を要素とする。各ログレコードのベクトルにおいて、各ログレコードの各情報は、数値、ｏｎｅ－ｈｏｔ表現または分散表現など、データ特性に応じた表現で表される。
痕跡ログ抽出部１２６は、通常ログレコードｌｂｉのベクトルと攻撃ログレコードｌａｊのベクトルとの類似度を算出する。類似度の具体例は、ユークリッド距離またはコサイン類似度などである。
ステップＳ１４５において、痕跡ログ抽出部１２６は、通常ログレコードｌｂｉと攻撃ログレコードｌａｊとの類似度を閾値と比較する。
類似度が閾値以上である場合、処理はステップＳ１４６に進む。
類似度が閾値未満である場合、処理はステップＳ１４９１に進む。
類似度が閾値以上である場合、処理はステップＳ１４６に進む。
類似度が閾値未満である場合、処理はステップＳ１４９１に進む。
ステップＳ１４６において、痕跡ログ抽出部１２６は、変数ｊをインクリメントする。
ステップＳ１４７において、痕跡ログ抽出部１２６は、変数ｊをレコード数Ｎと比較する。
変数ｊがレコード数Ｎ以下である場合、処理はステップＳ１４８に進む。
変数ｊがレコード数Ｎより大きい場合、処理は終了する。
変数ｊがレコード数Ｎ以下である場合、処理はステップＳ１４８に進む。
変数ｊがレコード数Ｎより大きい場合、処理は終了する。
ステップＳ１４８において、痕跡ログ抽出部１２６は、変数ｉをインクリメントする。
ステップＳ１４８の後、処理はステップＳ１４２に進む。
ステップＳ１４８の後、処理はステップＳ１４２に進む。
ステップＳ１４９１において、痕跡ログ抽出部１２６は、攻撃ログレコードｌａｊを痕跡ログデータ１９６に登録する。
ステップＳ１４９２において、痕跡ログ抽出部１２６は、変数ｊをインクリメントする。
ステップＳ１４９３において、痕跡ログ抽出部１２６は、変数ｊをレコード数Ｎと比較する。
変数ｊがレコード数Ｎ以下である場合、処理はステップＳ１４３に進む。
変数ｊがレコード数Ｎより大きい場合、処理は終了する。
変数ｊがレコード数Ｎ以下である場合、処理はステップＳ１４３に進む。
変数ｊがレコード数Ｎより大きい場合、処理は終了する。
＊＊＊実施例の説明＊＊＊
通常、コンピュータ内では、数多くのプロセスが動作している。そして、どのような順番でアプリケーションプログラムが動作するかは、スケジュールに依存する。また、アプリケーションプログラム間に依存関係が存在する場合がある。そのため、同じ環境で同じ処理が行われてもログデータ内のログレコードの順番が同一になるとは限らない。
サイバー攻撃によってログレコードの数が減る場合がある。例えば、サービス停止攻撃が行われた場合、サービスが停止されなければ記録されたはずのログレコードが記録されない。そのため、１つの通常ログレコードと一つの攻撃ログレコードが単純に比較される方法では、適切な痕跡ログデータ１９６を抽出することができない可能性がある。
そこで、痕跡ログ抽出部１２６は、窓関数を用いる方法によって痕跡ログデータ１９６を抽出してもよい。窓関数によって、通常ログデータ１９３から複数の通常ログレコード群が取り出され、攻撃ログデータ１９５から複数の攻撃ログレコード群が取り出される。通常ログレコード群は、連続する複数の通常ログレコードである。攻撃ログレコード群は、連続する複数の攻撃ログレコードである。痕跡ログ抽出部１２６は、各通常ログレコード群を一つの通常ログベクトルとして扱い、各攻撃ログレコード群を一つの攻撃ログベクトルとして扱う。そして、痕跡ログ抽出部１２６は、各通常ログレコード群と各攻撃ログレコード群との類似度を算出し、閾値以下の類似度に対応する各攻撃ログレコード群を痕跡ログデータ１９６に登録する。
痕跡ログ抽出部１２６は、攻撃ログデータ１９５から通常ログデータ１９３との差分（痕跡ログデータ１９６）を別の方法によって抽出してもよい。
通常、コンピュータ内では、数多くのプロセスが動作している。そして、どのような順番でアプリケーションプログラムが動作するかは、スケジュールに依存する。また、アプリケーションプログラム間に依存関係が存在する場合がある。そのため、同じ環境で同じ処理が行われてもログデータ内のログレコードの順番が同一になるとは限らない。
サイバー攻撃によってログレコードの数が減る場合がある。例えば、サービス停止攻撃が行われた場合、サービスが停止されなければ記録されたはずのログレコードが記録されない。そのため、１つの通常ログレコードと一つの攻撃ログレコードが単純に比較される方法では、適切な痕跡ログデータ１９６を抽出することができない可能性がある。
そこで、痕跡ログ抽出部１２６は、窓関数を用いる方法によって痕跡ログデータ１９６を抽出してもよい。窓関数によって、通常ログデータ１９３から複数の通常ログレコード群が取り出され、攻撃ログデータ１９５から複数の攻撃ログレコード群が取り出される。通常ログレコード群は、連続する複数の通常ログレコードである。攻撃ログレコード群は、連続する複数の攻撃ログレコードである。痕跡ログ抽出部１２６は、各通常ログレコード群を一つの通常ログベクトルとして扱い、各攻撃ログレコード群を一つの攻撃ログベクトルとして扱う。そして、痕跡ログ抽出部１２６は、各通常ログレコード群と各攻撃ログレコード群との類似度を算出し、閾値以下の類似度に対応する各攻撃ログレコード群を痕跡ログデータ１９６に登録する。
痕跡ログ抽出部１２６は、攻撃ログデータ１９５から通常ログデータ１９３との差分（痕跡ログデータ１９６）を別の方法によって抽出してもよい。
＊＊＊実施の形態１の効果＊＊＊
実施の形態１により、新たなサイバー攻撃の手順を示すアタックシナリオ１９４に対応する痕跡ログデータ１９６を導出することが可能となる。
そして、痕跡ログデータ１９６は、新たなサイバー攻撃に対するルールを定義するための足掛かりとなる情報として利用することができる。
新たなサイバー攻撃に対するルールが定義されることにより、新たなサイバー攻撃によって発生するインシデントに自動で対応することが可能となる。
したがって、インシデントレスポンスを効率化することが可能となる。
実施の形態１により、新たなサイバー攻撃の手順を示すアタックシナリオ１９４に対応する痕跡ログデータ１９６を導出することが可能となる。
そして、痕跡ログデータ１９６は、新たなサイバー攻撃に対するルールを定義するための足掛かりとなる情報として利用することができる。
新たなサイバー攻撃に対するルールが定義されることにより、新たなサイバー攻撃によって発生するインシデントに自動で対応することが可能となる。
したがって、インシデントレスポンスを効率化することが可能となる。
また、過去に行われた通常動作と同じ通常動作を検証対象システムに行わせずに通常ログデータ１９３を取得することが可能となる。そして、取得した通常ログデータ１９３を利用して痕跡ログデータ１９６を抽出することができる。
したがって、痕跡ログデータ１９６を効率良く得ることができる。
したがって、痕跡ログデータ１９６を効率良く得ることができる。
実施の形態２．
インシデントが発生した監視対象システムのログデータに基づいてアタックシナリオを推測する形態について、主に実施の形態１と異なる点を図９から図１６に基づいて説明する。
インシデントが発生した監視対象システムのログデータに基づいてアタックシナリオを推測する形態について、主に実施の形態１と異なる点を図９から図１６に基づいて説明する。
＊＊＊構成の説明＊＊＊
図９に基づいて、インシデントレスポンス補助装置１００の構成を説明する。
インシデントレスポンス補助装置１００は、さらに、推測シナリオ検索部１４０を備える。
インシデントレスポンス補助プログラムは、さらに、推測シナリオ検索部１４０としてコンピュータを機能させる。
図９に基づいて、インシデントレスポンス補助装置１００の構成を説明する。
インシデントレスポンス補助装置１００は、さらに、推測シナリオ検索部１４０を備える。
インシデントレスポンス補助プログラムは、さらに、推測シナリオ検索部１４０としてコンピュータを機能させる。
図１０に基づいて、ログデータベース１８０の構成を説明する。
ログデータベース１８０には、さらに、アタックシナリオ管理テーブル１８２が登録される。
アタックシナリオ管理テーブル１８２は、アタックシナリオ１９４を管理するためのテーブルであり、痕跡ログデータ１９６毎に、対応するアタックシナリオ１９４を示す。アタックシナリオ管理テーブル１８２によって、各アタックシナリオ１９４が痕跡ログデータ１９６に対応付けられる。つまり、ログデータベース１８０には、痕跡ログデータ１９６毎にアタックシナリオ１９４が登録される。
ログデータベース１８０には、さらに、アタックシナリオ管理テーブル１８２が登録される。
アタックシナリオ管理テーブル１８２は、アタックシナリオ１９４を管理するためのテーブルであり、痕跡ログデータ１９６毎に、対応するアタックシナリオ１９４を示す。アタックシナリオ管理テーブル１８２によって、各アタックシナリオ１９４が痕跡ログデータ１９６に対応付けられる。つまり、ログデータベース１８０には、痕跡ログデータ１９６毎にアタックシナリオ１９４が登録される。
図１１に基づいて、インシデントレスポンス補助システム２００の構成を説明する。
インシデントレスポンス補助システム２００は、さらに、監視対象システム２２０を備える。
監視対象システム２２０は、インシデントの発生を監視する対象となるシステムである。インシデントは、サイバー攻撃によって発生する。
インシデントレスポンス補助システム２００は、さらに、監視対象システム２２０を備える。
監視対象システム２２０は、インシデントの発生を監視する対象となるシステムである。インシデントは、サイバー攻撃によって発生する。
＊＊＊動作の説明＊＊＊
図１２に基づいて、インシデントレスポンス補助方法を説明する。
ステップＳ２０１において、受付部１１０は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４を受け付ける。
ステップＳ２０１は、実施の形態１におけるステップＳ１１０（図４参照）と同じである。
図１２に基づいて、インシデントレスポンス補助方法を説明する。
ステップＳ２０１において、受付部１１０は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４を受け付ける。
ステップＳ２０１は、実施の形態１におけるステップＳ１１０（図４参照）と同じである。
ステップＳ２０１で受け付けられた検証環境ファイル１９１を「対象検証環境ファイル」と称する。
ステップＳ２０１で受け付けられた通常シナリオ１９２を「対象通常シナリオ」と称する。
ステップＳ２０１で受け付けられた各アタックシナリオ１９４を「対象アタックシナリオ」と称する。
ステップＳ２０１で受け付けられた通常シナリオ１９２を「対象通常シナリオ」と称する。
ステップＳ２０１で受け付けられた各アタックシナリオ１９４を「対象アタックシナリオ」と称する。
ステップＳ２０２において、痕跡ログ導出部１２０は、対象検証環境ファイルと対象通常シナリオとを用いて、通常ログデータ１９３を取得する。
ステップＳ２０２は、実施の形態１におけるステップＳ１２０（図４参照）と同じである。
ステップＳ２０２は、実施の形態１におけるステップＳ１２０（図４参照）と同じである。
ステップＳ２０３において、痕跡ログ導出部１２０は、対象検証環境ファイルと対象通常シナリオと１つ以上の対象アタックシナリオとを用いて、１つ以上の攻撃ログデータ１９５を取得する。
ステップＳ２０３は、実施の形態１におけるステップＳ１３０（図４参照）と同じである。
ステップＳ２０３は、実施の形態１におけるステップＳ１３０（図４参照）と同じである。
ステップＳ２０４において、痕跡ログ抽出部１２６は、各攻撃ログデータ１９５から通常ログデータ１９３との差分を抽出する。抽出される差分が痕跡ログデータ１９６となる。
痕跡ログ抽出部１２６は、各痕跡ログデータ１９６をログデータベース１８０に登録する。
ステップＳ２０４は、実施の形態１におけるステップＳ１４０（図４参照）と同じである。
痕跡ログ抽出部１２６は、各痕跡ログデータ１９６をログデータベース１８０に登録する。
ステップＳ２０４は、実施の形態１におけるステップＳ１４０（図４参照）と同じである。
ステップＳ２０５において、痕跡ログ抽出部１２６は、各痕跡ログデータ１９６に対応付けて、各対象アタックシナリオをログデータベース１８０に登録する。
具体的には、痕跡ログ抽出部１２６は、各対象アタックシナリオのためのアタックシナリオ管理レコードをアタックシナリオ管理テーブル１８２に登録する。
アタックシナリオ管理レコードは、アタックシナリオ１９４を管理するためのレコードである。アタックシナリオ管理レコードには、痕跡ログデータ１９６の識別子とアタックシナリオ１９４の識別子との組が設定される。アタックシナリオ管理レコードによって、アタックシナリオ１９４が痕跡ログデータ１９６に対応付けられる。
具体的には、痕跡ログ抽出部１２６は、各対象アタックシナリオのためのアタックシナリオ管理レコードをアタックシナリオ管理テーブル１８２に登録する。
アタックシナリオ管理レコードは、アタックシナリオ１９４を管理するためのレコードである。アタックシナリオ管理レコードには、痕跡ログデータ１９６の識別子とアタックシナリオ１９４の識別子との組が設定される。アタックシナリオ管理レコードによって、アタックシナリオ１９４が痕跡ログデータ１９６に対応付けられる。
図１３に基づいて、アタックシナリオ推測処理を説明する。
アタックシナリオ推測処理は、診断対象ログデータに基づいてアタックシナリオを推測するための処理である。
診断対象ログデータは、インシデントが発生した監視対象システム２２０のログデータである。
利用者は、診断対象ログデータをインシデントレスポンス補助装置１００に入力する。
アタックシナリオ推測処理は、診断対象ログデータに基づいてアタックシナリオを推測するための処理である。
診断対象ログデータは、インシデントが発生した監視対象システム２２０のログデータである。
利用者は、診断対象ログデータをインシデントレスポンス補助装置１００に入力する。
ステップＳ２１０において、受付部１１０は、診断対象ログデータを受け付ける。
ステップＳ２２０において、推測シナリオ検索部１４０は、ログデータベース１８０で、診断対象ログデータと類似する痕跡ログデータ１９６に対応するアタックシナリオ１９４を検索する。検索されるアタックシナリオ１９４を「推測シナリオ」と称する。
具体的には、推測シナリオ検索部１４０は、診断対象ログデータと各痕跡ログデータ１９６との類似度を算出し、各痕跡ログデータ１９６の類似度に基づいて診断対象ログデータに類似する痕跡ログデータ１９６を選択する。そして、推測シナリオ検索部１４０は、選択した痕跡ログデータ１９６に対応するアタックシナリオ１９４をログデータベース１８０から取得する。取得されるアタックシナリオ１９４が推測シナリオである。
具体的には、推測シナリオ検索部１４０は、診断対象ログデータと各痕跡ログデータ１９６との類似度を算出し、各痕跡ログデータ１９６の類似度に基づいて診断対象ログデータに類似する痕跡ログデータ１９６を選択する。そして、推測シナリオ検索部１４０は、選択した痕跡ログデータ１９６に対応するアタックシナリオ１９４をログデータベース１８０から取得する。取得されるアタックシナリオ１９４が推測シナリオである。
図１４に基づいて、ステップＳ２２０の手順の一例を説明する。
ステップＳ２２１Ａにおいて、推測シナリオ検索部１４０は、未選択の痕跡ログデータ１９６を１つ選択する。
具体的には、推測シナリオ検索部１４０は、アタックシナリオ管理テーブル１８２からアタックシナリオ管理レコードを登録順に１つ選択する。選択されたアタックシナリオ管理レコードに示される痕跡ログデータ１９６が、ステップＳ２２１Ａで選択された痕跡ログデータ１９６である。
ステップＳ２２１Ａにおいて、推測シナリオ検索部１４０は、未選択の痕跡ログデータ１９６を１つ選択する。
具体的には、推測シナリオ検索部１４０は、アタックシナリオ管理テーブル１８２からアタックシナリオ管理レコードを登録順に１つ選択する。選択されたアタックシナリオ管理レコードに示される痕跡ログデータ１９６が、ステップＳ２２１Ａで選択された痕跡ログデータ１９６である。
ステップＳ２２２Ａにおいて、推測シナリオ検索部１４０は、診断対象ログデータと痕跡ログデータ１９６との類似度を算出する。類似度は任意の方法で算出することができる。
ステップＳ２２３Ａにおいて、推測シナリオ検索部１４０は、未選択の痕跡ログデータ１９６があるか判定する。
具体的には、推測シナリオ検索部１４０は、未選択のアタックシナリオ管理レコードがあるか判定する。未選択のアタックシナリオ管理レコードがある場合、未選択の痕跡ログデータ１９６がある。
未選択の痕跡ログデータ１９６がある場合、処理はステップＳ２２１Ａに進む。
未選択の痕跡ログデータ１９６がない場合、処理はステップＳ２２４Ａに進む。
具体的には、推測シナリオ検索部１４０は、未選択のアタックシナリオ管理レコードがあるか判定する。未選択のアタックシナリオ管理レコードがある場合、未選択の痕跡ログデータ１９６がある。
未選択の痕跡ログデータ１９６がある場合、処理はステップＳ２２１Ａに進む。
未選択の痕跡ログデータ１９６がない場合、処理はステップＳ２２４Ａに進む。
ステップＳ２２４Ａにおいて、推測シナリオ検索部１４０は、各痕跡ログデータ１９６の類似度に基づいて、該当痕跡ログデータを選択する。
該当痕跡ログデータは、最大の類似度に対応する痕跡ログデータ１９６である。
該当痕跡ログデータは、最大の類似度に対応する痕跡ログデータ１９６である。
ステップＳ２２５Ａにおいて、推測シナリオ検索部１４０は、該当痕跡ログデータに対応するアタックシナリオ１９４をログデータベース１８０から取得する。取得されるアタックシナリオ１９４が推測シナリオである。
具体的には、推測シナリオ検索部１４０は、該当痕跡ログデータを示すアタックシナリオ管理レコードを選択し、選択したアタックシナリオ管理レコードに示されるアタックシナリオ１９４を取得する。
具体的には、推測シナリオ検索部１４０は、該当痕跡ログデータを示すアタックシナリオ管理レコードを選択し、選択したアタックシナリオ管理レコードに示されるアタックシナリオ１９４を取得する。
図１５に基づいて、ステップＳ２２０の手順の一例を説明する。
ステップＳ２２１Ｂにおいて、推測シナリオ検索部１４０は、未選択の痕跡ログデータ１９６を１つ選択する。
ステップＳ２２１Ｂは、ステップＳ２２１Ａ（図１４参照）と同じである。
ステップＳ２２１Ｂにおいて、推測シナリオ検索部１４０は、未選択の痕跡ログデータ１９６を１つ選択する。
ステップＳ２２１Ｂは、ステップＳ２２１Ａ（図１４参照）と同じである。
ステップＳ２２２Ｂにおいて、推測シナリオ検索部１４０は、診断対象ログデータと痕跡ログデータ１９６との類似度を算出する。
ステップＳ２２２Ｂは、ステップＳ２２２Ａ（図１４参照）と同じである。
ステップＳ２２２Ｂは、ステップＳ２２２Ａ（図１４参照）と同じである。
ステップＳ２２３Ｂにおいて、推測シナリオ検索部１４０は、類似度を閾値と比較する。
類似度が閾値より大きい場合、処理はステップＳ２２４Ｂに進む。
類似度が閾値以下である場合、処理はステップＳ２２５Ｂに進む。
類似度が閾値より大きい場合、処理はステップＳ２２４Ｂに進む。
類似度が閾値以下である場合、処理はステップＳ２２５Ｂに進む。
ステップＳ２２４Ｂにおいて、推測シナリオ検索部１４０は、痕跡ログデータ１９６に対応するアタックシナリオ１９４をログデータベース１８０から取得する。取得方法はステップＳ２２５Ａにおける方法と同じである。
ステップＳ２２４Ｂの後、処理は終了する。
ステップＳ２２４Ｂの後、処理は終了する。
ステップＳ２２５Ｂにおいて、推測シナリオ検索部１４０は、未選択の痕跡ログデータ１９６があるか判定する。
ステップＳ２２５Ｂは、ステップＳ２２３Ａ（図１４参照）と同じである。
未選択の痕跡ログデータ１９６がある場合、処理はステップＳ２２１Ｂに進む。
未選択の痕跡ログデータ１９６がない場合、推測シナリオが見つからず、処理は終了する。
ステップＳ２２５Ｂは、ステップＳ２２３Ａ（図１４参照）と同じである。
未選択の痕跡ログデータ１９６がある場合、処理はステップＳ２２１Ｂに進む。
未選択の痕跡ログデータ１９６がない場合、推測シナリオが見つからず、処理は終了する。
図１６に基づいて、ステップＳ２２０の手順の一例を説明する。
ステップＳ２２１ＣからステップＳ２２４Ｃは、ステップＳ２２１ＢからステップＳ２２４Ｂと同じである（図１５参照）。
ステップＳ２２１ＣからステップＳ２２４Ｃは、ステップＳ２２１ＢからステップＳ２２４Ｂと同じである（図１５参照）。
ステップＳ２２５Ｃにおいて、推測シナリオ検索部１４０は、未選択の痕跡ログデータ１９６があるか判定する。
ステップＳ２２５Ｃは、ステップＳ２２３Ｂ（図１５参照）と同じである。
未選択の痕跡ログデータ１９６がある場合、処理はステップＳ２２１Ｃに進む。
未選択の痕跡ログデータ１９６がない場合、処理はステップＳ２２６Ｃに進む。
ステップＳ２２５Ｃは、ステップＳ２２３Ｂ（図１５参照）と同じである。
未選択の痕跡ログデータ１９６がある場合、処理はステップＳ２２１Ｃに進む。
未選択の痕跡ログデータ１９６がない場合、処理はステップＳ２２６Ｃに進む。
ステップＳ２２６Ｃにおいて、推測シナリオ検索部１４０は、各痕跡ログデータ１９６の類似度に基づいて１つ以上の痕跡ログデータ１９６を選択する。
具体的には、推測シナリオ検索部１４０は、類似度が高い順に１つ以上の痕跡ログデータ１９６を選択する。
具体的には、推測シナリオ検索部１４０は、類似度が高い順に１つ以上の痕跡ログデータ１９６を選択する。
ステップＳ２２７Ｃにおいて、推測シナリオ検索部１４０は、１つ以上の痕跡ログデータ１９６に対応する１つ以上のアタックシナリオ１９４を取得する。
各痕跡ログデータ１９６に対応するアタックシナリオ１９４を取得する方法は、ステップＳ２２５Ａ（図１４参照）における方法と同じである。
取得される各アタックシナリオ１９４を「候補シナリオ」と称する。候補シナリオは、推測シナリオの候補である。
各痕跡ログデータ１９６に対応するアタックシナリオ１９４を取得する方法は、ステップＳ２２５Ａ（図１４参照）における方法と同じである。
取得される各アタックシナリオ１９４を「候補シナリオ」と称する。候補シナリオは、推測シナリオの候補である。
図１３に戻り、ステップＳ２３０を説明する。
ステップＳ２３０において、推測シナリオ検索部１４０は検索結果を出力する。例えば、推測シナリオ検索部１４０は、検索結果をディスプレイに表示する。
推測シナリオが見つかった場合、検索結果は推測シナリオを示す。
推測シナリオが見つからなかった場合、検索結果は推測シナリオがないことを示す。但し、１つ以上の候補シナリオが取得された場合、検索結果は、１つ以上の候補シナリオを示す。例えば、１つ以上の候補シナリオは、対応する痕跡ログデータ１９６の類似度が高い順に並べられる。
ステップＳ２３０において、推測シナリオ検索部１４０は検索結果を出力する。例えば、推測シナリオ検索部１４０は、検索結果をディスプレイに表示する。
推測シナリオが見つかった場合、検索結果は推測シナリオを示す。
推測シナリオが見つからなかった場合、検索結果は推測シナリオがないことを示す。但し、１つ以上の候補シナリオが取得された場合、検索結果は、１つ以上の候補シナリオを示す。例えば、１つ以上の候補シナリオは、対応する痕跡ログデータ１９６の類似度が高い順に並べられる。
＊＊＊実施の形態２の効果＊＊＊
実施の形態２により、インシデントが発生した監視対象システム２２０のログデータに基づいてアタックシナリオを推測することができる。その結果、インシデントレスポンスを効率化することが可能となる。
実施の形態２により、インシデントが発生した監視対象システム２２０のログデータに基づいてアタックシナリオを推測することができる。その結果、インシデントレスポンスを効率化することが可能となる。
実施の形態３．
インシデントが発生した監視対象システムのログデータに基づいてアタックシナリオを推測する形態について、主に実施の形態１および実施の形態２と異なる点を図１７から図２０に基づいて説明する。
インシデントが発生した監視対象システムのログデータに基づいてアタックシナリオを推測する形態について、主に実施の形態１および実施の形態２と異なる点を図１７から図２０に基づいて説明する。
＊＊＊構成の説明＊＊＊
図１７に基づいて、インシデントレスポンス補助装置１００の構成を説明する。
インシデントレスポンス補助装置１００は、受付部１１０と痕跡ログ導出部１２０と推測シナリオ検索部１４０とを備えるが、通常ログ検索部１３０を備えない。
インシデントレスポンス補助プログラムは、受付部１１０と痕跡ログ導出部１２０と推測シナリオ検索部１４０としてコンピュータを機能させる。
図１７に基づいて、インシデントレスポンス補助装置１００の構成を説明する。
インシデントレスポンス補助装置１００は、受付部１１０と痕跡ログ導出部１２０と推測シナリオ検索部１４０とを備えるが、通常ログ検索部１３０を備えない。
インシデントレスポンス補助プログラムは、受付部１１０と痕跡ログ導出部１２０と推測シナリオ検索部１４０としてコンピュータを機能させる。
図１８に基づいて、ログデータベース１８０の構成を説明する。
ログデータベース１８０には、アタックシナリオ管理テーブル１８２が登録されるが、通常ログ管理テーブル１８１が登録されない。
ログデータベース１８０には、アタックシナリオ管理テーブル１８２が登録されるが、通常ログ管理テーブル１８１が登録されない。
インシデントレスポンス補助システム２００の構成は、実施の形態２における構成（図１１参照）と同じである。
＊＊＊動作の説明＊＊＊
図１９に基づいて、インシデントレスポンス補助方法を説明する。
ステップＳ３１０において、受付部１１０は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４を受け付ける。
ステップＳ３１０は、実施の形態１におけるステップＳ１１０（図４参照）と同じである。
図１９に基づいて、インシデントレスポンス補助方法を説明する。
ステップＳ３１０において、受付部１１０は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４を受け付ける。
ステップＳ３１０は、実施の形態１におけるステップＳ１１０（図４参照）と同じである。
ステップＳ３１０で受け付けられた検証環境ファイル１９１を「対象検証環境ファイル」と称する。
ステップＳ３１０で受け付けられた通常シナリオ１９２を「対象通常シナリオ」と称する。
ステップＳ３１０で受け付けられた各アタックシナリオ１９４を「対象アタックシナリオ」と称する。
ステップＳ３１０で受け付けられた通常シナリオ１９２を「対象通常シナリオ」と称する。
ステップＳ３１０で受け付けられた各アタックシナリオ１９４を「対象アタックシナリオ」と称する。
ステップＳ３２０において、痕跡ログ導出部１２０は、対象検証環境ファイルと対象通常シナリオとを用いて、通常ログデータ１９３を取得する。取得される通常ログデータ１９３を「検証通常ログデータ」と称する。
図２０に基づいて、ステップＳ３２０の手順を説明する。
ステップＳ３２１において、検証環境部１２１は、対象検証環境ファイルを用いて検証環境システム２１０を初期化する。
ステップＳ３２１は、実施の形態１におけるステップＳ１２３（図５参照）と同じである。
ステップＳ３２１において、検証環境部１２１は、対象検証環境ファイルを用いて検証環境システム２１０を初期化する。
ステップＳ３２１は、実施の形態１におけるステップＳ１２３（図５参照）と同じである。
ステップＳ３２２において、通常動作部１２２は、対象通常シナリオにしたがって通常動作を検証環境システム２１０に行わせる。
ステップＳ３２２は、実施の形態１におけるステップＳ１２４（図５参照）と同じである。
ステップＳ３２２は、実施の形態１におけるステップＳ１２４（図５参照）と同じである。
ステップＳ３２３は、通常動作が終了した後に実行される。
ステップＳ３２３において、通常ログ取得部１２３は、検証環境システム２１０から通常ログデータ１９３を取得する。取得される通常ログデータ１９３が検証通常ログデータである。
ステップＳ３２３は、実施の形態１におけるステップＳ１２５（図５参照）と同じである。
ステップＳ３２３において、通常ログ取得部１２３は、検証環境システム２１０から通常ログデータ１９３を取得する。取得される通常ログデータ１９３が検証通常ログデータである。
ステップＳ３２３は、実施の形態１におけるステップＳ１２５（図５参照）と同じである。
ステップＳ３２４において、通常ログ取得部１２３は、検証通常ログデータをログデータベース１８０に登録する。
図１９に戻り、ステップＳ３３０から説明を続ける。
ステップＳ３３０において、痕跡ログ導出部１２０は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４とを用いて、１つ以上の攻撃ログデータ１９５を取得する。
ステップＳ３３０は、実施の形態１におけるステップＳ１３０（図４参照）と同じである。
ステップＳ３３０において、痕跡ログ導出部１２０は、検証環境ファイル１９１と通常シナリオ１９２と１つ以上のアタックシナリオ１９４とを用いて、１つ以上の攻撃ログデータ１９５を取得する。
ステップＳ３３０は、実施の形態１におけるステップＳ１３０（図４参照）と同じである。
ステップＳ３４０において、痕跡ログ抽出部１２６は、各攻撃ログデータ１９５から検証通常ログデータとの差分を抽出する。抽出される差分が痕跡ログデータ１９６となる。
差分を抽出する方法は、実施の形態１のステップＳ１４０（図４参照）における方法と同じである。
痕跡ログ抽出部１２６は、各痕跡ログデータ１９６をログデータベース１８０に登録する。
差分を抽出する方法は、実施の形態１のステップＳ１４０（図４参照）における方法と同じである。
痕跡ログ抽出部１２６は、各痕跡ログデータ１９６をログデータベース１８０に登録する。
ステップＳ３５０において、痕跡ログ抽出部１２６は、各痕跡ログデータ１９６に対応付けて、各対象アタックシナリオをログデータベース１８０に登録する。
ステップＳ３５０は、実施の形態２におけるステップＳ２０５（図１２参照）と同じである。
ステップＳ３５０は、実施の形態２におけるステップＳ２０５（図１２参照）と同じである。
アタックシナリオ推測処理は、実施の形態２における処理（図１３参照）と同じである。
＊＊＊実施の形態３の効果＊＊＊
実施の形態３により、インシデントが発生した監視対象システム２２０のログデータに基づいてアタックシナリオを推測することができる。その結果、インシデントレスポンスを効率化することが可能となる。
実施の形態３により、インシデントが発生した監視対象システム２２０のログデータに基づいてアタックシナリオを推測することができる。その結果、インシデントレスポンスを効率化することが可能となる。
＊＊＊実施の形態の補足＊＊＊
図２１に基づいて、インシデントレスポンス補助装置１００のハードウェア構成を説明する。
インシデントレスポンス補助装置１００は処理回路１０９を備える。
処理回路１０９は、受付部１１０と痕跡ログ導出部１２０と通常ログ検索部１３０と推測シナリオ検索部１４０とを実現するハードウェアである。
処理回路１０９は、専用のハードウェアであってもよいし、メモリ１０２に格納されるプログラムを実行するプロセッサ１０１であってもよい。
図２１に基づいて、インシデントレスポンス補助装置１００のハードウェア構成を説明する。
インシデントレスポンス補助装置１００は処理回路１０９を備える。
処理回路１０９は、受付部１１０と痕跡ログ導出部１２０と通常ログ検索部１３０と推測シナリオ検索部１４０とを実現するハードウェアである。
処理回路１０９は、専用のハードウェアであってもよいし、メモリ１０２に格納されるプログラムを実行するプロセッサ１０１であってもよい。
処理回路１０９が専用のハードウェアである場合、処理回路１０９は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。
ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＦＰＧＡは、Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略称である。
ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＦＰＧＡは、Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略称である。
インシデントレスポンス補助装置１００は、処理回路１０９を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１０９の機能を分担する。
処理回路１０９おいて、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェアまたはファームウェアで実現されてもよい。
このように、インシデントレスポンス補助装置１００の機能はハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせで実現することができる。
各実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。各実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。
インシデントレスポンス補助装置１００は、複数の装置で実現されてよい。
ログデータベース１８０は、インシデントレスポンス補助装置１００によって管理されずに、外部の装置によって管理されてもよい。
インシデントレスポンス補助装置１００の要素である「部」は「処理」または「工程」と読み替えてもよい。
ログデータベース１８０は、インシデントレスポンス補助装置１００によって管理されずに、外部の装置によって管理されてもよい。
インシデントレスポンス補助装置１００の要素である「部」は「処理」または「工程」と読み替えてもよい。
１００ インシデントレスポンス補助装置、１０１ プロセッサ、１０２ メモリ、１０３ 補助記憶装置、１０４ 通信装置、１０５ 入出力インタフェース、１０９ 処理回路、１１０ 受付部、１２０ 痕跡ログ導出部、１２１ 検証環境部、１２２ 通常動作部、１２３ 通常ログ取得部、１２４ 攻撃実行部、１２５ 攻撃ログ取得部、１２６ 痕跡ログ抽出部、１３０ 通常ログ検索部、１４０ 推測シナリオ検索部、１８０ ログデータベース、１８１ 通常ログ管理テーブル、１８２ アタックシナリオ管理テーブル、１９０ 記憶部、１９１ 検証環境ファイル、１９２ 通常シナリオ、１９３ 通常ログデータ、１９４ アタックシナリオ、１９５ 攻撃ログデータ、１９６ 痕跡ログデータ、２００ インシデントレスポンス補助システム、２１０ 検証環境システム、２２０ 監視対象システム。
Claims (8)
- サイバー攻撃に伴う動作とは異なる通常動作の手順を示す通常シナリオと、サイバー攻撃の手順を示すアタックシナリオと、検証環境システムが指定される検証環境ファイルと、を受け付ける受付部と、
検証環境ファイルと通常シナリオとの組毎に通常ログデータが登録されたログデータベースで、受け付けられた検証環境ファイルと受け付けられた通常シナリオとの組と同じ組に対応する通常ログデータである該当通常ログデータを検索する通常ログ検索部と、
受け付けられたアタックシナリオにしたがって前記サイバー攻撃を前記検証環境システムに対して行う攻撃実行部と、
前記サイバー攻撃が行われている間に前記検証環境システムにおいて記録されたログデータを攻撃ログデータとして取得する攻撃ログ取得部と、
前記攻撃ログデータから前記該当通常ログデータとの差分を痕跡ログデータとして抽出する痕跡ログ抽出部と、
を備えるインシデントレスポンス補助システム。 - 前記インシデントレスポンス補助システムは、
前記該当通常ログデータが見つからなかった場合に、前記受け付けられた通常シナリオにしたがって前記通常動作を前記検証環境システムに行わせる通常動作部と、
前記通常動作が行われている間に前記検証環境システムにおいて記録された通常ログデータを検証通常ログデータとして取得する通常ログ取得部と、
を備え、
前記痕跡ログ抽出部は、前記該当通常ログデータが見つからなかった場合に、前記攻撃ログデータから前記検証通常ログデータとの差分を痕跡ログデータとして抽出する
請求項１に記載のインシデントレスポンス補助システム。 - 前記インシデントレスポンス補助システムは、推測シナリオ検索部を備え、
前記痕跡ログ抽出部は、抽出した痕跡ログデータに対応付けて前記受け付けられたアタックシナリオを前記ログデータベースに登録し、
前記ログデータベースには、痕跡ログデータ毎にアタックシナリオが登録され、
前記受付部は、インシデントが発生した監視対象システムのログデータを診断対象ログデータとして受け付け、
前記推測シナリオ検索部は、前記ログデータベースで、前記診断対象ログデータと類似する痕跡ログデータに対応付けられたアタックシナリオを推測シナリオとして検索する
請求項１または請求項２に記載のインシデントレスポンス補助システム。 - 受付部が、サイバー攻撃に伴う動作とは異なる通常動作の手順を示す通常シナリオと、サイバー攻撃の手順を示すアタックシナリオと、検証環境システムが指定される検証環境ファイルと、を受け付け、
通常ログ検索部が、検証環境ファイルと通常シナリオとの組毎に通常ログデータが登録されたログデータベースで、受け付けられた検証環境ファイルと受け付けられた通常シナリオとの組と同じ組に対応する通常ログデータである該当通常ログデータを検索し、
攻撃実行部が、受け付けられたアタックシナリオにしたがって前記サイバー攻撃を前記検証環境システムに対して行い、
攻撃ログ取得部が、前記サイバー攻撃が行われている間に前記検証環境システムにおいて記録されたログデータを攻撃ログデータとして取得し、
痕跡ログ抽出部が、前記攻撃ログデータから前記該当通常ログデータとの差分を痕跡ログデータとして抽出する
インシデントレスポンス補助方法。 - サイバー攻撃に伴う動作とは異なる通常動作の手順を示す通常シナリオと、サイバー攻撃の手順を示すアタックシナリオと、検証環境システムが指定される検証環境ファイルと、を受け付ける受付処理と、
検証環境ファイルと通常シナリオとの組毎に通常ログデータが登録されたログデータベースで、受け付けられた検証環境ファイルと受け付けられた通常シナリオとの組と同じ組に対応する通常ログデータである該当通常ログデータを検索する通常ログ検索処理と、
受け付けられたアタックシナリオにしたがって前記サイバー攻撃を前記検証環境システムに対して行う攻撃実行処理と、
前記サイバー攻撃が行われている間に前記検証環境システムにおいて記録されたログデータを攻撃ログデータとして取得する攻撃ログ取得処理と、
前記攻撃ログデータから前記該当通常ログデータとの差分を痕跡ログデータとして抽出する痕跡ログ抽出処理と、
をコンピュータに実行させるためのインシデントレスポンス補助プログラム。 - サイバー攻撃に伴う動作とは異なる通常動作の手順を示す通常シナリオと、サイバー攻撃の手順を示すアタックシナリオと、を受け付ける受付部と、
受け付けられた通常シナリオにしたがって前記通常動作を検証環境システムに行わせる通常動作部と、
前記通常動作が行われている間に前記検証環境システムにおいて記録されたログデータを通常ログデータとして取得する通常ログ取得部と、
受け付けられたアタックシナリオにしたがって前記サイバー攻撃を前記検証環境システムに対して行う攻撃実行部と、
前記サイバー攻撃が行われている間に前記検証環境システムにおいて記録されたログデータを攻撃ログデータとして取得する攻撃ログ取得部と、
前記攻撃ログデータから前記通常ログデータとの差分を痕跡ログデータとして抽出する痕跡ログ抽出部と、
を備えるインシデントレスポンス補助システムであって、
前記インシデントレスポンス補助システムは、さらに、推測シナリオ検索部を備え、
前記痕跡ログ抽出部は、抽出した痕跡ログデータに対応付けて前記受け付けられたアタックシナリオをログデータベースに登録し、
前記ログデータベースには、痕跡ログデータ毎にアタックシナリオが登録され、
前記受付部は、インシデントが発生した監視対象システムのログデータを診断対象ログデータとして受け付け、
前記推測シナリオ検索部は、前記ログデータベースで、前記診断対象ログデータと類似する痕跡ログデータに対応付けられたアタックシナリオを推測シナリオとして検索する
インシデントレスポンス補助システム。 - 受付部が、サイバー攻撃に伴う動作とは異なる通常動作の手順を示す通常シナリオと、サイバー攻撃の手順を示すアタックシナリオと、を受け付け、
通常動作部が、受け付けられた通常シナリオにしたがって前記通常動作を検証環境システムに行わせ、
通常ログ取得部が、前記通常動作が行われている間に前記検証環境システムにおいて記録されたログデータを通常ログデータとして取得し、
攻撃実行部が、受け付けられたアタックシナリオにしたがって前記サイバー攻撃を前記検証環境システムに対して行い、
攻撃ログ取得部が、前記サイバー攻撃が行われている間に前記検証環境システムにおいて記録されたログデータを攻撃ログデータとして取得し、
痕跡ログ抽出部が、前記攻撃ログデータから前記通常ログデータとの差分を痕跡ログデータとして抽出し、抽出した痕跡ログデータに対応付けて前記受け付けられたアタックシナリオをログデータベースに登録し、
前記ログデータベースには、痕跡ログデータ毎にアタックシナリオが登録され、
前記受付部が、インシデントが発生した監視対象システムのログデータを診断対象ログデータとして受け付け、
推測シナリオ検索部が、前記ログデータベースで、前記診断対象ログデータと類似する痕跡ログデータに対応付けられたアタックシナリオを推測シナリオとして検索する
インシデントレスポンス補助方法。 - サイバー攻撃に伴う動作とは異なる通常動作の手順を示す通常シナリオと、サイバー攻撃の手順を示すアタックシナリオと、を受け付ける受付処理と、
受け付けられた通常シナリオにしたがって前記通常動作を検証環境システムに行わせる通常動作処理と、
前記通常動作が行われている間に前記検証環境システムにおいて記録されたログデータを通常ログデータとして取得する通常ログ取得処理と、
受け付けられたアタックシナリオにしたがって前記サイバー攻撃を前記検証環境システムに対して行う攻撃実行処理と、
前記サイバー攻撃が行われている間に前記検証環境システムにおいて記録されたログデータを攻撃ログデータとして取得する攻撃ログ取得処理と、
前記攻撃ログデータから前記通常ログデータとの差分を痕跡ログデータとして抽出し、抽出した痕跡ログデータに対応付けて前記受け付けられたアタックシナリオをログデータベースに登録する痕跡ログ抽出処理と、
インシデントが発生した監視対象システムのログデータを診断対象ログデータとして受け付ける受付処理と、
前記ログデータベースで、前記診断対象ログデータと類似する痕跡ログデータに対応付けられたアタックシナリオを推測シナリオとして検索する推測シナリオ検索処理と、
をコンピュータに実行させるためのインシデントレスポンス補助プログラム。
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/JP2019/049946 WO2021124528A1 (ja) | 2019-12-19 | 2019-12-19 | インシデントレスポンス補助システム、インシデントレスポンス補助方法およびインシデントレスポンス補助プログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPWO2021124528A1 JPWO2021124528A1 (ja) | 2021-06-24 |
| JP7004477B2 true JP7004477B2 (ja) | 2022-01-21 |
Family
ID=76477392
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2021561854A Active JP7004477B2 (ja) | 2019-12-19 | 2019-12-19 | インシデントレスポンス補助システム、インシデントレスポンス補助方法およびインシデントレスポンス補助プログラム |
Country Status (2)
| Country | Link |
|---|---|
| JP (1) | JP7004477B2 (ja) |
| WO (1) | WO2021124528A1 (ja) |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20060075490A1 (en) | 2004-10-01 | 2006-04-06 | Boney Matthew L | System and method for actively operating malware to generate a definition |
| JP2013218444A (ja) | 2012-04-06 | 2013-10-24 | Hitachi Ltd | プログラム解析システムおよびプログラム解析方法 |
| JP2015225512A (ja) | 2014-05-28 | 2015-12-14 | 株式会社日立製作所 | マルウェア特徴抽出装置、マルウェア特徴抽出システム、マルウェア特徴方法及び対策指示装置 |
| JP2017123521A (ja) | 2016-01-05 | 2017-07-13 | Kddi株式会社 | 障害原因特定装置、及びプログラム |
-
2019
- 2019-12-19 WO PCT/JP2019/049946 patent/WO2021124528A1/ja active Application Filing
- 2019-12-19 JP JP2021561854A patent/JP7004477B2/ja active Active
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20060075490A1 (en) | 2004-10-01 | 2006-04-06 | Boney Matthew L | System and method for actively operating malware to generate a definition |
| JP2013218444A (ja) | 2012-04-06 | 2013-10-24 | Hitachi Ltd | プログラム解析システムおよびプログラム解析方法 |
| JP2015225512A (ja) | 2014-05-28 | 2015-12-14 | 株式会社日立製作所 | マルウェア特徴抽出装置、マルウェア特徴抽出システム、マルウェア特徴方法及び対策指示装置 |
| JP2017123521A (ja) | 2016-01-05 | 2017-07-13 | Kddi株式会社 | 障害原因特定装置、及びプログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| JPWO2021124528A1 (ja) | 2021-06-24 |
| WO2021124528A1 (ja) | 2021-06-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6048038B2 (ja) | 情報処理装置，プログラム，情報処理方法 | |
| TWI450103B (zh) | 伺服器之遠端管理系統及方法，及其電腦程式產品 | |
| US7917481B1 (en) | File-system-independent malicious content detection | |
| RU2628921C1 (ru) | Система и способ выполнения антивирусной проверки файла на виртуальной машине | |
| US20180357214A1 (en) | Log analysis system, log analysis method, and storage medium | |
| WO2023115999A1 (zh) | 设备状态监控方法、装置、设备及计算机可读存储介质 | |
| JP6473234B2 (ja) | 分析方法、分析装置、および分析プログラム | |
| US8813229B2 (en) | Apparatus, system, and method for preventing infection by malicious code | |
| US20130086683A1 (en) | Selectively scanning objects for infection by malware | |
| US9104448B2 (en) | Restoring a previous version of a virtual machine image | |
| CN110245074B (zh) | 一种日志记录的生成方法、装置、存储介质和服务器 | |
| US20210256073A1 (en) | Edge system, information processing method and computer readable medium | |
| JP7004477B2 (ja) | インシデントレスポンス補助システム、インシデントレスポンス補助方法およびインシデントレスポンス補助プログラム | |
| EP3861433A1 (en) | Upgrades based on analytics from multiple sources | |
| US20220164703A1 (en) | Model acceptance determination support system and model acceptance determination support method | |
| EP4040323A1 (en) | Transaction management device, transaction management program, and transaction management method | |
| US20200412745A1 (en) | Detecting malicious threats via autostart execution point analysis | |
| CN115269288A (zh) | 故障确定方法、装置、设备和存储介质 | |
| US11513884B2 (en) | Information processing apparatus, control method, and program for flexibly managing event history | |
| JP7492839B2 (ja) | 構成管理装置、構成管理方法、及び、構成管理プログラム | |
| JP6340990B2 (ja) | メッセージ表示方法、メッセージ表示装置、およびメッセージ表示プログラム | |
| JP6579995B2 (ja) | 静観候補特定装置、静観候補特定方法及び静観候補特定プログラム | |
| JP6508202B2 (ja) | 情報処理装置、情報処理方法、及び、プログラム | |
| US11797707B2 (en) | Non-transitory computer-readable recording medium having stored therein information processing program, information processing method, and information processing apparatus | |
| US20210224423A1 (en) | Non-transitory computer-readable recording medium having stored therein information processing program, information processing method, and information processing apparatus |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20211015 |
|
| A871 | Explanation of circumstances concerning accelerated examination |
Free format text: JAPANESE INTERMEDIATE CODE: A871 Effective date: 20211015 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20211207 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20211229 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 7004477 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |