JP7105096B2 - 複数組織間の脅威情報共有システム及び方法 - Google Patents

Description

本発明は、コンピュータやネットワークのセキュリティを脅かすセキュリティ脅威情報を複数の組織などの間で共有可能な複数組織間の脅威情報共有システム及び方法に関する。

様々なモノがネットワークにつながるデジタル化が進展する中、セキュリティ脅威に対する対応は益々重要度が高まっている。
係るセキュリティ脅威に対して、従来は、各セキュリティベンダが個別に観測したネット攻撃内容について、専門家のセキュリティアナリストによる手作業や自動的な脅威評価技術を用いて攻撃を分析し、各社の脅威情報（セキュリティインテリジェンス情報）を利用者に対してサービスとして提供し、対応している。

また、セキュリティ脅威情報を複数の製品の間で共有するものとして、特表２０１０－５２１７４９号公報（特許文献１）、に記載された技術があり、また、組織を横断したグループなどの間で共有するものとして、特表２０１５－５２４５８５号公報（特許文献２）に記載された技術がある。 この特許文献１には、「企業セキュリティ環境内の複数のエンドポイント間でセキュリティ関連情報を共有可能にするセキュリティ関連情報共有モデルであって、エンドポイントに使用できるセキュリティ関連情報の意味抽象を使用して前記環境内のオブジェクトを説明するステップであって、前記意味抽象はｉ）タイプ別に分類され、ｉｉ）前記エンドポイントによって共通に使用可能であるステップと、公開及び同意モデルを使用するステップであって、その公開及び同意モデルによって、公開する側のエンドポイントは、同意する側のエンドポイントが同意する前記意味抽象を、前記意味抽象タイプに基づく同意に従って公開するステップを含む方法を使用しやすくすることを特徴とするモデル」という記載があり、 特許文献２には、「コンピュータによって実行される方法であって、セキュリティ・サービスが、クライアント・エンティティから成るグループを形成するための１つまたは複数のセキュア機構を提供するステップであって、各クライアント・エンティティは異なるセキュリティ組織に関連付けられている、ステップと、 前記セキュリティ・サービスが、前記グループ内のクライアント・エンティティのセキュリティ情報を前記グループ内の１つまたは複数の他のクライアント・エンティティと自動的に共有するステップと、を含むことを特徴とする方法。」という記載がある。

特表２０１０－５２１７４９号公報 特表２０１５－５２４５８５号公報

特許文献１及び特許文献２では、セキュリティ脅威情報を共有しているので、セキュリティ脅威への対処とセキュリティ分野の健全な発展に寄与することができるが、複数のセキュリティ組織、製品間でのセキュリティ脅威情報の共有に留まる。
つまり、上記従来技術を含め、現状、以下のような課題がある。
（１）攻撃を受けた企業が情報を共有するモチベーションとなるインセンティブが存在しない。
（２）企業は、契約先のセキュリティベンダから攻撃を観測したセキュリティ脅威情報の提供を受けることができるが、様々な攻撃情報を網羅するためには、複数のセキュリティベンダと契約し、脅威情報を購入する必要がある。

そこで、本発明では、セキュリティ脅威情報の提供者のモチベーション向上につなげることができ、セキュリティ脅威情報の共有をスピーディに進めることができ、インシデント防止に貢献できる技術を提供することにある。

上記課題を解決するために、代表的な本発明の複数組織間の脅威情報共有システム及び方法の一つは、
セキュリティ脅威情報の報告を受付けるセキュリティ脅威情報受付手段と、
前記セキュリティ脅威情報受付手段により報告を受け付けた前記セキュリティ脅威情報を特定の製品に依存するフォーマットから汎用化されたセキュリティ脅威情報へ変換し保管する記憶手段と、
前記セキュリティ脅威情報に対し、評価関数を用いて有用度の評価を実施する評価実施手段と、
前記有用度の評価を実施する評価実施手段により評価された前記セキュリティ脅威情報を情報購入者へ提供するセキュリティ脅威情報提供手段と、
前記有用度の評価を実施する評価実施手段により評価された前記セキュリティ脅威情報を用いて、セキュリティアプライアンス向けの設定ファイルを自動的に生成し、出力する出力手段と、
を有する複数組織間の脅威情報共有システムであって、
前記有用度の評価を実施する評価実施手段は、前記セキュリティ脅威情報の価値を評価する価値評価装置からなり、以下（１）～（６）の判定・評価指標の一つ以上、および以下の（７）の判定・評価指標からなる価値・評価部を含み、
（１）攻撃元の新規性：
攻撃元を特定できる情報が、他の攻撃で既に報告されているかを判定し、評価するものであって、既に評価されていない場合は、評価価値を高く評価する攻撃元新規性価値・評価部
（２）攻撃手段の新規性：
これまでに報告されていない攻撃手段が用いられているかを判定し、評価するものであって、報告されていない攻撃手段が用いられていない場合は、評価価値を高く評価する攻撃元新規性価値・評価部
（３）攻撃内容の重要度：
攻撃内容が組織内・組織外にどの程度の影響をもたらすものか判定し、評価するものであって、攻撃内容の確認可能な情報が含まれる場合は、評価価値を高く評価する攻撃内容重要度価値・評価部
（４）同一手段による多組織に対する後続攻撃の報告有無：
同一の手法を用いて他の組織にも攻撃が行われたか判定し、評価するものであって、同一の手法を用いて他の組織にも攻撃が行われている場合は、評価価値を高く評価する後続攻撃報告有無価値・評価部
（５）攻撃内容の確認が可能な資料：
攻撃時に発生したログや、マルウェア(malware)のハッシュ値（hash values）、検体等、攻撃内容の確認可能な情報が含まれるか判定し、評価するものであって、攻撃内容が組織内・組織外に所定以上の影響をもたらす場合は、評価価値を高く評価する攻撃内容確認可否価値・評価部
（６）他の報告者によるアップデート：
提供情報の不足や誤りに対する、他の報告者からのアップデートの有無を判定し、評価するものであって、他の報告者からのアップデートが無い場合は、評価価値を高く評価する他の報告者によるアップデート有無価値・評価部
（７）情報購入者による点数評価のフィードバック：
情報購入者による役に立ったかのフィードバックを判定し、評価するものであって、フィードバックを踏まえて随時更新される情報購入者による点数評価のフィードバック価値・評価部
前記評価は、セキュリティアナリストによる報告時の一時的なものに加え、その後、他の組織で観測・報告された関連する事象および利用者からのフィードバックを踏まえて随時、更新可能とする
ことを特徴とする。

本発明によれば、セキュリティ脅威情報の提供者のモチベーション向上につなげることができ、セキュリティ脅威情報の共有をスピーディに進めることができ、インシデント防止に貢献できる。
上記以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

複数組織間の脅威情報共有システムの構成例を示すブロック図。 図１の脅威情報の価値評価装置（セキュリティ脅威情報価値評価装置）における演算装置（制御装置）の処理手順の実施の形態を示すフローチャート。 図１のセキュリティアプライアンス設定情報自動生成装置の動作を説明する図。

図１は、複数組織間の脅威情報共有システム３の構成例を示すブロック図である。
複数組織間の脅威情報共有システム３はサーバ３０からなる。サーバ３０は、脅威情報報告プラットフォーム３１、記憶装置３２、価値評価装置３３、脅威情報提供プラットフォーム３４、セキュリティアプライアンス設定ファイル自動生成装置３５、を有する。

脅威情報報告プラットフォーム３１は、攻撃観測者端末１から提供されるセキュリティ脅威情報（例えば、ランサムウェア、標的型メール攻撃、内部不正、ウェブサイト改善）の報告を受け付け、当該報告されたセキュリティ脅威情報を、特定の製品に依存するフォーマットから汎用化されたセキュリティ脅威情報へ変換し、記憶装置３２のセキュリティ脅威情報データベースに保管する。その変換例としては、例えば、STIX言語、OpenIOCといった標準規格を利用するとよい。STIX言語(データに記録される内容は、例えば、「https://www.ipa.go.jp/security/vuln/STIX.htmlの2. STIX言語」に記載されている。

キュリティ脅威情報の報告は、特定のセキュリティ製品により生成された観測結果や、被害環境の調査により発見された痕跡から、攻撃を観測したセキュリティアナリストによりなされるものであり、攻撃観測者端末１を介して脅威情報報告プラットフォーム３１に報告される。

価値評価装置３３は、脅威情報に対する評価を行うものであり、演算装置（制御装置）３３１（図２参照）を含み、攻撃観測者端末１を介して報告されたセキュリティ脅威情報に対し、所望の評価関数ｆ（ｘ）を用いて、提供された脅威情報に対する有用度の評価を実施し、その結果を脅威情報提供プラットフォーム３４へ出力する。
「評価関数」は、各「指標」を数値化するための関数と、数値化された各「指標」に重みづけした上で採点するための関数の２種類があり、以下のような考え方である。なお、算出のための以下の計算式は一例として提示しているものであり、他の計算方法も可能である。
「指標」数値化のための関数
攻撃の新規性を算出する関数をf_１、同一攻撃の報告数をx_１と置いて、以下のように表す。
[式１]
f_１(x_１) = 10 / (log_２(x_１)+1)
初めて報告された攻撃の場合は、以下のようになる。
[式２]
f_１(1) = 10 / (log_２(1)+1) = 10
同様に、複数回報告された攻撃の場合(きりが良い結果となるようx_１=16)以下のようになる。
[式３]
f_１(16) = 10 / (log_２(16)+1) = 2
各「指標」に対して、同様にf_１(x_１), f_２(x_２), f_３(x_３), …, ｆ_N(x_N)として数値化する。
数値化された指標がどの程度脅威情報の有用度に影響があるかに応じて重みw(w_１, w_２, w_３, …, w_N)を定義する。
これらの数値化した指標及び重みを用いて、脅威情報の有用度評価関数f(x)を以下のように表す。
[式４]
f(x) = f₁(x_１) × w_１ + f_２(x_２) × w_２ + f_３(x_３) × w_３ + …ｆ_N(x_N) × w_N

有用度の評価は、例えば、以下の（１）～（７）に示す指標のうち一つ以上を用いて、攻撃観測者端末１から報告されるセキュリティ脅威情報に対する評価を行い、攻撃観測者端末１からの報告者（提供者）に対する報酬の算出に利用できるようにする。
セキュリティ脅威情報の各評価は、記憶装置３２に記憶した各指標情報（攻撃元アドレス）例えば、攻撃元の新規性、攻撃手段の新規性、攻撃内容の重要度、同一手段による多組織に対する後続攻撃の報告有無、攻撃内容の確認が可能な資料を参照する。価値評価装置３３の演算装置（制御装置）３３１は、内部に格納されたプログラムに従って、価値評価の処理を実行する。

（１）攻撃元の新規性：
攻撃元を特定できる情報、例えば、ＩＰアドレス、メールアドレス等が、他の攻撃で既に報告されているかを評価する。既に報告されていない場合は、評価価値を高くする。

（２）攻撃手段の新規性：
これまでに報告されていない攻撃手段（攻撃に用いられたマルウェア(malware)、攻撃に利用された正規のソフトウェアやハードウェアに存在する脆弱性、など）が用いられているかを評価する。マルウェアとは、不正かつ有害に動作させる意図で作成された悪意のあるソフトウェアや悪質なコードの総称で、コンピュータウイルスやワームなどである。報告されていない攻撃手段が用いられた場合は、評価価値を高くする。

（３）攻撃内容の重要度：
攻撃内容が組織内・組織外にどの程度の影響をもたらすものか評価する。攻撃内容が組織内・組織外に所定以上の影響をもたらす場合は、評価価値を高くする。

（４）同一手段による多組織に対する後続攻撃の報告有無：
同一の手法を用いて他の組織にも攻撃が行われたかを評価する。同一の手法を用いて他の組織にも攻撃が行われている場合は、評価価値を高くする。

（５）攻撃内容の確認が可能な資料：
攻撃時に発生したログや、マルウェアのハッシュ値（hash values）、検体等、攻撃内容の確認可能な情報が含まれるか評価する。攻撃内容の確認可能な情報が含まれる場合は、評価価値を高くする。

（６）他の報告者によるアップデート：
提供情報の不足や誤りに対する、他の報告者からのアップデートの有無を評価する。他の報告者からのアップデートが無い場合は、評価価値を高くする。

（７）情報購入者による点数評価のフィードバック：
情報購入者による役に立ったかのフィードバックの評価点数を評価する。フィードバックの評価点数が高い場合は、評価価値を高くする。

これらの評価は、セキュリティアナリストによる報告時の一時的なものに加え、その後、他の組織で観測・報告された関連する事象、利用者からのフィードバックを踏まえて随時更新される。

脅威情報提供プラットフォーム３４は、セキュリティアナリストにより報告され、価値評価装置３３にて評価されたセキュリティ脅威情報を情報購入者端末２へ提供する。

セキュリティアプライアンス設定ファイル自動生成装置３５は、図３に示すように特定セキュリティアプライアンス製品向け設定ファイルを生成する設定ファイル生成部３５１と、特定セキュリティアプライアンス製品向けコマンドを生成するコマンド生成部３５２を含む。そして、セキュリティアナリストにより報告され、価値評価装置３３にて評価されたセキュリティ脅威情報を受信し、当該セキュリティ脅威情報を用いて、所定の手法により、セキュリティアプライアンス向けの設定情報を含む設定ファイル及びコマンドを自動生成し、当該設定ファイル及びコマンドをセキュリティアプライアンスへ出力する機能を有する。セキュリティアプライアンスとは、セキュリティ機能に特化した機器である。

すなわち、セキュリティアプライアンス設定ファイル自動生成装置３５は、脅威情報提供プラットフォーム３４からの情報をもとに、特定のセキュリティアプライアンス製品（ファイアウォール、ＶＰＮゲートウェイ、ＩＤＳ／ＩＰＳ、アンチウイルス等）向けの設定に用いる情報、つまり、設定ファイル、設定コマンドを自動的に生成する。この情報を用いて、チェック・ポイントのセキュリティアプライアンスの設定を更新することを可能とする。
具体例を挙げて説明すれば、マルウェアを配布しているＩＰアドレスの脅威情報を受け取った際、ファイアウォール等のセキュリティアプライアンスで、当該ＩＰアドレスとの通信を行わないようブラックリストに登録するといった動作が考えられる。設定方法としては、コンピュータプログラムとして設定変更の命令が可能なインタフェースを呼び出す、設定内容が記録されたテキスト形式の設定ファイルを生成し、そのファイルをセキュリティアプライアンスに読み込ませて設定変更を行うといった手段がある。

図２は、図１の脅威情報の価値評価装置３３における演算装置（制御装置）３３１の処理手順の実施の形態を示すフローチャートである。
図２のフローチャートに基づく動作は以下のとおりである。

ステップＳ３３１１：価値評価装置３３における演算装置（制御装置）３３１は、まず、脅威情報報告プラットフォームからセキュリティ脅威情報を取得し、記憶装置３２に記憶し、保管する。

ステップＳ３３１２：演算装置（制御装置）３３１、取得したセキュリティ脅威情報から記憶装置の攻撃元特定情報を検索し、攻撃元を特定できる情報、例えば、ＩＰアドレス、メールアドレス等が、他の攻撃で既に報告されているかを評価する。

ステップＳ３３１３：演算装置（制御装置）３３１、記憶装置３２の攻撃手段報告情報を検索し、これまでに報告されていない攻撃手段が用いられているかを評価する。

ステップＳ３３１４：演算装置（制御装置）３３１、記憶装置３２の「重要度評価情報を検索し、攻撃内容が組織内・組織外にどの程度の影響をもたらすものか評価する。

ステップＳ：３３１４演算装置（制御装置）３３１、記憶装置の後続攻撃報告有無情報を検索し、同一の手法を用いて他の組織にも攻撃が行われたか評価する。

ステップＳ３３１５：演算装置（制御装置）３３１、記憶装置３２の攻撃内容確認情報を検索し、攻撃時に発生したログや、マルウェア(malware)のハッシュ値（hash values）、検体等、攻撃内容の確認可能な情報が含まれるか評価する。

ステップＳ３３１６：演算装置（制御装置）３３１、記憶装置３２のセキュリティ脅威情報を検索し、提供情報の不足や誤りに対する、他の報告者からのアップデートの有無を評価する。

ステップＳ３３１７：演算装置（制御装置）３３１、記憶装置３２のセキュリティ脅威情報を検索し、情報購入者による役に立ったかのフィードバックを評価する。

以上述べた実施例によれば、報告されたセキュリティ脅威情報を評価し、評価結果を用いて脅威情報報告者（提供者）の報酬に結び付けることができ、それに対する価値で報酬を支払うことができる。その結果として、提供者のセキュリティ脅威情報の共有に対するモチベーション向上につなげることができ、早期セキュア情報の共有、インシデント防止に貢献できる。

なお、本発明は、上述した実施例に限定されるものではなく、本発明に開示される技術的思考の範囲内において当業者による様々な変更および修正が可能であり、様々な変形例が含まれる。また、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

１ 攻撃観測者端末
２ 情報購入者端末
３ 脅威情報共有システム（サーバ）
３１ 脅威情報報告プラットフォーム
３２ 記憶装置（セキュリティ脅威情報データベース、他）
３３ 価値評価装置
３３１ 演算装置（制御装置）
３４ 脅威情報提供プラットフォーム
３５ セキュリティアプライアンス設定ファイル自動生成装置
４ セキュリティアプライアンス

Claims (4)

1. セキュリティ脅威情報の報告を受付けるセキュリティ脅威情報受付手段と、
   前記セキュリティ脅威情報受付手段により報告を受け付けた前記セキュリティ脅威情報を特定の製品に依存するフォーマットから汎用化されたセキュリティ脅威情報へ変換し保管する記憶手段と、
   前記セキュリティ脅威情報に対し、評価関数を用いて有用度の評価を実施する評価実施手段と、
   前記有用度の評価を実施する評価実施手段により評価された前記セキュリティ脅威情報を情報購入者へ提供するセキュリティ脅威情報提供手段と、
   前記有用度の評価を実施する評価実施手段により評価された前記セキュリティ脅威情報を用いて、セキュリティアプライアンス向けの設定ファイルを自動的に生成し、出力する出力手段と、
   を有する 複数組織間の脅威情報共有システムであって、
   前記有用度の評価を実施する評価実施手段は、前記セキュリティ脅威情報の価値を評価する価値評価装置からなり、以下（１）～（６）の判定・評価指標の一つ以上、および以下の（７）の判定・評価指標からなる価値・評価部を含み、
   （１）攻撃元の新規性：
   攻撃元を特定できる情報が、他の攻撃で既に報告されているかを判定し、評価するものであって、既に評価されていない場合は、評価価値を高く評価する攻撃元新規性価値・評価部
   （２）攻撃手段の新規性：
   これまでに報告されていない攻撃手段が用いられているかを判定し、評価するものであって、報告されていない攻撃手段が用いられていない場合は、評価価値を高く評価する攻撃元新規性価値・評価部
   （３）攻撃内容の重要度：
   攻撃内容が組織内・組織外にどの程度の影響をもたらすものか判定し、評価するものであって、攻撃内容の確認可能な情報が含まれる場合は、評価価値を高く評価する攻撃内容重要度価値・評価部
   （４）同一手段による多組織に対する後続攻撃の報告有無：
   同一の手法を用いて他の組織にも攻撃が行われたか判定し、評価するものであって、同一の手法を用いて他の組織にも攻撃が行われている場合は、評価価値を高く評価する後続攻撃報告有無価値・評価部
   （５）攻撃内容の確認が可能な資料：
   攻撃時に発生したログや、マルウェア(malware)のハッシュ値（hash values）、検体等、攻撃内容の確認可能な情報が含まれるか判定し、評価するものであって、攻撃内容が組織内・組織外に所定以上の影響をもたらす場合は、評価価値を高く評価する攻撃内容確認可否価値・評価部
   （６）他の報告者によるアップデート：
   提供情報の不足や誤りに対する、他の報告者からのアップデートの有無を判定し、評価するものであって、他の報告者からのアップデートが無い場合は、評価価値を高く評価する他の報告者によるアップデート有無価値・評価部
   （７）情報購入者による点数評価のフィードバック：
   情報購入者による役に立ったかのフィードバックを判定し、評価するものであって、フィードバックを踏まえて随時更新される情報購入者による点数評価のフィードバック価値・評価部
   前記評価は、セキュリティアナリストによる報告時の一時的なものに加え、その後、他の組織で観測・報告された関連する事象および利用者からのフィードバックを踏まえて随時、更新可能とする
   ことを特徴とする複数組織間の脅威情報共有システム。
2. 請求項１に記載された複数組織間の脅威情報共有システムにおいて、
   前記セキュリティアプライアンス向けの設定ファイルを自動的に生成し、出力する出力手段は、前記セキュリティ脅威情報をもとに、特定セキュリティアプライアンス製品向け設定情報である設定ファイル及び設定コマンドを生成し、チェック・ポイントのセキュリティアプライアンスの設定を更新する生成部を含む、
   ことを特徴とする複数組織間の脅威情報共有システム。
3. セキュリティ脅威情報の報告を受付けるステップと、
   前記セキュリティ脅威情報の報告を受付けるステップにより報告を受け付けたセキュリティ脅威情報に対し、評価関数を用いて有用度の評価を実施するステップと、
   前記有用度の評価を実施するステップにより評価された前記セキュリティ脅威情報を情報購入者へ提供するステップと、
   前記有用度の評価を実施するステップにより評価された前記セキュリティ脅威情報を用いて、セキュリティアプライアンス向けの設定ファイルを自動的に生成し、出力するステップと、
   を有する複数組織間の脅威情報共有システムにおける方法であって、
   前記有用度の評価を実施するステップは、前記セキュリティ脅威情報の価値を評価し、以下（１）～（６）の価値・評価指標の一つ以上、および以下の（７）の価値・評価指標からなる価値・評価ステップを含み、
   （１）攻撃元の新規性：
   攻撃元を特定できる情報が、他の攻撃で既に報告されているかを判定し、評価するものであって、既に評価されていない場合は、評価価値を高く評価する価値・評価ステップ
   （２）攻撃手段の新規性：
   これまでに報告されていない攻撃手段が用いられているかを判定し、評価するものであって、報告されていない攻撃手段が用いられていない場合は、評価価値を高く評価する価値・評価ステップ
   （３）攻撃内容の重要度：
   攻撃内容が組織内・組織外にどの程度の影響をもたらすものか判定し、評価するものであって、攻撃内容の確認可能な情報が含まれる場合は、評価価値を高く評価する価値・評価ステップ
   （４）同一手段による多組織に対する後続攻撃の報告有無：
   同一の手法を用いて他の組織にも攻撃が行われたか判定し、評価するものであって、同一の手法を用いて他の組織にも攻撃が行われている場合は、評価価値を高く評価する価値・評価ステップ
   （５）攻撃内容の確認が可能な資料：
   攻撃時に発生したログや、マルウェア(malware)のハッシュ値（hash values）、検体等、攻撃内容の確認可能な情報が含まれるか判定し、評価するものであって、攻撃内容が組織内・組織外に所定以上の影響をもたらす場合は、評価価値を高く評価する価値・評価ステップ
   （６）他の報告者によるアップデート：
   提供情報の不足や誤りに対する、他の報告者からのアップデートの有無を判定し、評価するものであって、他の報告者からのアップデートが無い場合は、評価価値を高く評価する価値・評価ステップ
   （７）情報購入者による点数評価のフィードバック：
   情報購入者による役に立ったかのフィードバックを判定し、評価するものであって、フィードバックを踏まえて随時更新される価値・評価ステップ
   前記価値・評価は、セキュリティアナリストによる報告時の一時的なものに加え、その後、他の組織で観測・報告された関連する事象および利用者からのフィードバックを踏まえて随時、更新可能と する
   ことを特徴とする複数組織間の脅威情報共有システムにおける方法。
4. 請求項３に記載された複数組織間の脅威情報共有システムにおける方法において、
   前記セキュリティアプライアンス向けの設定ファイルを自動的に生成し、出力するステップは、前記セキュリティ脅威情報をもとに、特定セキュリティアプライアンス製品向け設定情報である設定ファイル及び設定コマンドを生成し、チェック・ポイントのセキュリティアプライアンスの設定を更新するステップを含む、
   ことを特徴とする複数組織間の脅威情報共有システムにおける方法。

Images