JP7175427B2 - 攻撃手段評価装置、攻撃手段評価方法、および、攻撃手段評価プログラム - Google Patents

Description

本開示は、攻撃手段評価装置、攻撃手段評価方法、および、攻撃手段評価プログラムに関する。

セキュリティの弱点である脆弱性は、社会的に問題となっている。近年では、システムのリリース前あるいは製品出荷前に脆弱性検査を実施することが求められている。脆弱性検査の一手法にペネトレーションテストがある。ペネトレーションテストは、テスト対象システムに対して疑似的にサイバー攻撃を行うことで、脆弱性の有無、脆弱性を悪用された時の影響、およびサイバー攻撃が正しく検知できるか、を確かめることができる。ペネトレーションテストは、セキュリティ技術に精通した、ペネトレーションテスターと呼ばれる専門の技術者によって実施される。ペネトレーションテストは、一般にブラックボックステストである。ペネトレーションテスターは、脆弱性を引き起こすような入力を与えたときのシステムの応答および挙動をもとに、内部構造を推定し、次に実施すべき疑似攻撃手段を選択する。

非特許文献１では、作成された攻撃シナリオのうち、不足する攻撃手段を、設定された攻撃手段の依存関係から補完するツールであるＣＡＬＤＥＲＡが示されている。ＣＡＬＤＥＲＡでは、ＡＴＴ＆ＣＫ（登録商標）と呼ばれるサイバー攻撃者の取る戦術を体系的に整理したナレッジを利用している。また、非特許文献１では、過去の攻撃事例から、ある攻撃手段の次に使用されている攻撃手段を、分析し、共起の関係にある攻撃手段を選択する技術も示されている。

特許文献１では、セキュリティホールを診断するために疑似的な攻撃を行う手段が示されている。特許文献１では、攻撃実行に必要な依存関係を満足するための手段を依存関係から推論し、サイバー攻撃を自動的に行う。例えば、特許文献１では、あらかじめ攻撃手段をデータベースに蓄積しておき、攻撃シナリオに従って、ある攻撃手段を実行するための条件がある場合に、その必要な条件を満足するために別の攻撃手段を実行する。

特開２００４－１４５４１３号公報

Ａｎｄｙ Ａｐｐｌｅｂａｕｍ， Ｆｉｎｄｉｎｇ Ｄｅｐｅｎｄｅｎｃｉｅｓ Ｂｅｔｗｅｅｎ Ａｄｖｅｒｓａｒｙ Ｔｅｃｈｎｉｑｕｅｓ， ＦＩＲＳＴ Ａｎｎｕａｌ Ｃｏｎｆｅｒｅｎｃｅ ２０１９， ２０１９－０６－１９， ｈｔｔｐｓ：／／ｗｗｗ．ｆｉｒｓｔ．ｏｒｇ／ｒｅｓｏｕｒｃｅｓ／ｐａｐｅｒｓ／ｃｏｎｆ２０１９／１１００－Ａｐｐｌｅｂａｕｍ．ｐｄｆ

従来技術で紹介した技術には、熟練したペネトレーションテスターが行うようなサイバー攻撃を実行することが出来ない。例えば、非特許文献１の技術では、既に報告されているサイバー攻撃事例に基づいた攻撃手段の列、つまりサイバー攻撃シナリオを生成するに過ぎない。実際に攻撃を実行するには、攻撃ツールのパラメータあるいはオプションをユーザによって設定する必要がある。特許文献１では、攻撃手段を実行するのに必要な依存関係を満たすために、必要な別の攻撃手段を推論して実行する。このため、攻撃手段の見つかりにくさあるいは攻撃ツールのパラメータはユーザによって定義する必要がある。プロのペネトレーションテスターによる攻撃手段の選択のように、サイバー攻撃検知システムをかいくぐるような攻撃手段が選択される保証はない。

本開示では、実行すべき攻撃手段をスコア化することで、熟練したペネトレーションテスターを必要とせずに巧妙なサイバー攻撃を再現することを目的とする。

本開示に係る攻撃手段評価装置は、サイバー攻撃に用いられる攻撃手段を評価する攻撃手段評価装置において、
複数の攻撃手段を取得し、前記複数の攻撃手段の各攻撃手段について、攻撃の対象である攻撃対象システムに対する攻撃の有効性を表すスコア値を算出するスコア値算出部と、
前記スコア値に基づいて、前記複数の攻撃手段から前記攻撃対象システムに対する攻撃を実行する攻撃手段を選択する手段選択部と、
選択された攻撃手段を前記攻撃対象システムに対して実行し、前記選択された攻撃手段の実行結果に基づいて、前記サイバー攻撃の最終目的の達成のための攻撃の可否を判定する手段実行部と
を備える。

本開示に係る攻撃手段評価装置によれば、攻撃手段をスコア化し、スコア値により攻撃手段を選択し、選択された攻撃手段についてサイバー攻撃の最終目的の達成の可否を判定することで、巧妙なサイバー攻撃の再現を自動化することができる。

実施の形態１に係る攻撃手段評価装置の構成例。 実施の形態１に係る攻撃手段評価装置の動作を表すフロー図。 実施の形態１に係るスコア値データベースの設定処理を表す模式図。 実施の形態１に係る攻撃手段評価装置の動作の詳細例を表すフロー図。 実施の形態１に係るスコア値データベースの構成例。 実施の形態１の変形例に係る攻撃手段評価装置の構成例。

以下、本実施の形態について、図を用いて説明する。各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を用いて、本実施の形態に係る攻撃手段評価装置１００の構成例について説明する。
攻撃手段評価装置１００は、コンピュータである。攻撃手段評価装置１００は、プロセッサ９１０を備えるとともに、メモリ９２１、補助記憶装置９２２、入力インタフェース９３０、出力インタフェース９４０、および通信装置９５０といった他のハードウェアを備える。プロセッサ９１０は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

本実施の形態に係る攻撃手段評価装置１００は、攻撃対象システムに対するサイバー攻撃を構成する攻撃手段を評価する。サイバー攻撃を構成する攻撃手段は、１つでもよいし、複数でもよい。具体的には、攻撃手段評価装置１００は、ある状況下における攻撃手段の良さをスコア値として評価する。攻撃手段の良さとは、攻撃の有効性ともいう。例えば、攻撃手段の良さとは、攻撃手段の見つかりにくさ、あるいは、攻撃の確実性といった指標であり、評価軸は問わない。
本実施の形態において、攻撃手段は、サイバー攻撃を構成する。サイバー攻撃を構成する少なくとも１つの攻撃手段の列を攻撃シナリオともいう。また、攻撃手段は、攻撃手法、攻撃ツール、攻撃コード、あるいは、攻撃コマンドともいう。

攻撃手段評価装置１００では、攻撃対象である攻撃対象システムのシステム構成に関する情報が判明するにつれて、攻撃手段のスコア値が精緻化される。そして、攻撃手段評価装置１００は、スコア値が精緻化されることにより、実際の攻撃者に近い攻撃手段を選択することが可能になる。

攻撃手段評価装置１００は、機能要素として、スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０と記憶部１７０とを備える。記憶部１７０には、スコア値データベース１０７とシステム構成データベース１０８と閾値１７３が記憶される。

スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０の機能は、ソフトウェアにより実現される。記憶部１７０は、メモリ９２１に備えられる。なお、記憶部１７０は、補助記憶装置９２２に備えられていてもよいし、メモリ９２１と補助記憶装置９２２に分散して備えられていてもよい。

プロセッサ９１０は、攻撃手段評価プログラムを実行する装置である。攻撃手段評価プログラムは、スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０の機能を実現するプログラムである。
プロセッサ９１０は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ９１０の具体例は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ９２１は、データを一時的に記憶する記憶装置である。メモリ９２１の具体例は、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、あるいはＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
補助記憶装置９２２は、データを保管する記憶装置である。補助記憶装置９２２の具体例は、ＨＤＤである。また、補助記憶装置９２２は、ＳＤ（登録商標）メモリカード、ＣＦ、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった可搬の記憶媒体であってもよい。なお、ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略語である。ＳＤ（登録商標）は、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略語である。ＣＦは、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）の略語である。ＤＶＤは、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋの略語である。

入力インタフェース９３０は、マウス、キーボード、あるいはタッチパネルといった入力装置と接続されるポートである。入力インタフェース９３０は、具体的には、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。なお、入力インタフェース９３０は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）と接続されるポートであってもよい。

出力インタフェース９４０は、ディスプレイといった出力機器のケーブルが接続されるポートである。出力インタフェース９４０は、具体的には、ＵＳＢ端子またはＨＤＭＩ（登録商標）（Ｈｉｇｈ Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）端子である。ディスプレイは、具体的には、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）である。出力インタフェース９４０は、表示器インタフェースともいう。

通信装置９５０は、レシーバとトランスミッタを有する。通信装置９５０は、ＬＡＮ、インターネット、あるいは電話回線といった通信網に接続している。通信装置９５０は、具体的には、通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

攻撃手段評価プログラムは、攻撃手段評価装置１００において実行される。攻撃手段評価プログラムは、プロセッサ９１０に読み込まれ、プロセッサ９１０によって実行される。メモリ９２１には、攻撃手段評価プログラムだけでなく、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。プロセッサ９１０は、ＯＳを実行しながら、攻撃手段評価プログラムを実行する。攻撃手段評価プログラムおよびＯＳは、補助記憶装置９２２に記憶されていてもよい。補助記憶装置９２２に記憶されている攻撃手段評価プログラムおよびＯＳは、メモリ９２１にロードされ、プロセッサ９１０によって実行される。なお、攻撃手段評価プログラムの一部または全部がＯＳに組み込まれていてもよい。

攻撃手段評価装置１００は、プロセッサ９１０を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、攻撃手段評価プログラムの実行を分担する。それぞれのプロセッサは、プロセッサ９１０と同じように、攻撃手段評価プログラムを実行する装置である。

攻撃手段評価プログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ９２１、補助記憶装置９２２、または、プロセッサ９１０内のレジスタあるいはキャッシュメモリに記憶される。

スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０の各部の「部」を「処理」、「手順」あるいは「工程」に読み替えてもよい。攻撃手段評価プログラムは、スコア値算出処理と手段選択処理と手段実行処理と結果収集処理と結果解析処理と条件取得処理を、コンピュータに実行させる。スコア値算出処理と手段選択処理と手段実行処理と結果収集処理と結果解析処理と条件取得処理の「処理」を「プログラム」、「プログラムプロダクト」、「プログラムを記憶したコンピュータ読取可能な記憶媒体」、または「プログラムを記録したコンピュータ読取可能な記録媒体」に読み替えてもよい。また、攻撃手段評価方法は、攻撃手段評価装置１００が攻撃手段評価プログラムを実行することにより行われる方法である。
攻撃手段評価プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、攻撃手段評価プログラムは、プログラムプロダクトとして提供されてもよい。

＊＊＊動作の説明＊＊＊
次に、図２を用いて、本実施の形態に係る攻撃手段評価装置１００の動作概要について説明する。攻撃手段評価装置１００の動作手順は、攻撃手段評価方法に相当する。また、攻撃手段評価装置１００の動作を実現するプログラムは、攻撃手段評価プログラムに相当する。

攻撃手段評価装置１００は、サイバー攻撃に用いられる攻撃手段を評価する。

ステップＳ１１において、条件取得部１６０は、攻撃手段を選択する基準となる閾値１７３を取得する。具体的には、条件取得部１６０は、入力インタフェース９３０を介して、ユーザから閾値１７３を取得する。具体的には、閾値１７３は、攻撃手段を実行したときに、セキュリティ検知装置といった攻撃検知ツールに検知される確率を表す攻撃検知確率といった値である。

例えば、ユーザが、攻撃をセキュリティ検知装置に検知されたくないといったステルス性を重視したい場合、スコア値は攻撃検知確率として算出される。そして、算出された攻撃検知確率が最も低い攻撃手段が、攻撃対象システムに対して最も有効な攻撃手段として選択される。
条件取得部１６０は、入力インタフェース９３０を介して、ユーザから攻撃検知確率の閾値ｐｔｈを取得する。

ステップＳ１２において、スコア値算出部１１０は、複数の攻撃手段を取得し、複数の攻撃手段の各攻撃手段について、攻撃対象システムに対する攻撃の有効性を表すスコア値を算出する。スコア値を算出することを、スコア値を評価するともいう。

システム構成データベース１０８には、攻撃対象となる攻撃対象システムのシステム構成が設定されている。また、システム構成データベース１０８には、攻撃対象システムへの攻撃が成立したとみなす攻撃成立条件といった情報が設定されている。

スコア値算出部１１０は、システム構成データベース１０８に基づいて、複数の攻撃手段の各攻撃手段のスコア値を算出する。スコア値算出部１１０は、システム構成データベース１０８に含まれる攻撃対象システムのシステム構成に基づいて、スコア値を算出する。
例えば、スコア値算出部１１０は、攻撃対象システムにおける検知され易さの度合いを表す上記攻撃検知確率を、スコア値として算出する。

図３は、本実施の形態に係るスコア値データベース１０７の設定処理を示す模式図である。
ステップＳ２１において、スコア値算出部１１０は、例えば、ＡＴＴ＆ＣＫ（登録商標）、あるいは、攻撃ツールのコマンド一覧から攻撃手段をリストアップする。サイバー攻撃には最終目的が設定されている。サイバー攻撃では、その最終目的を達成するための複数の攻撃手段を実施し、最終的にその最終目的の達成のための攻撃を実行する。ＡＴＴ＆ＣＫ（登録商標）、あるいは、攻撃ツールのコマンド一覧からリストアップされる攻撃手段は、１つのサイバー攻撃を構成する攻撃手段に相当する。

ステップＳ２２において、スコア値算出部１１０は、攻撃成立条件に基づいて、各攻撃手段のスコア値を算出し、スコア値データベース１０７に設定する。具体的には、スコア値算出部１１０は、ＡＴＴ＆ＣＫ（登録商標）、あるいは、使用される脆弱性のＣＶＳＳ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍ）値といった攻撃成立条件から、スコア値を算出する。スコア値は固定値ではなく、関数値のようになっている。例えば、Ｗｉｎｄｏｗｓ（登録商標）を対象とした攻撃手段のスコア値は、対象がＬｉｎｕｘ（登録商標）の場合には全く意味が無い攻撃となってしまうため、スコア値が０となる。その他、攻撃の隠密性、あるいは、攻撃の確実性をスコア値として表してもよい。

ステップＳ１３において、手段選択部１２０は、複数の攻撃手段の各攻撃手段のスコア値と閾値１７３とを用いて、複数の攻撃手段から攻撃対象システムに対する攻撃として有効な攻撃手段を選択する。手段選択部１２０は、閾値１７３を用いて、スコア値データベース１０７に設定されている攻撃手段から、実行する攻撃手段を選択する。具体的には、手段選択部１２０は、スコア値データベース１０７に設定されている攻撃手段から、スコア値が攻撃検知確率の閾値ｐｔｈ以下のものを列挙する。そして、手段選択部１２０は、列挙された攻撃手段の中から、スコア値である攻撃検知確率が最も低い攻撃手段を、実行する攻撃手段として選択する。
あるいは、手段選択部１２０は、閾値１７３に基づいて複数の攻撃手段を列挙し、出力インタフェース９４０を介してユーザに提示し、実行する攻撃手段をユーザに選択させてもよい。

次に、ステップＳ１４からステップＳ１５において、手段実行部１３０は、選択された攻撃手段を攻撃対象システムに対して実行することにより、攻撃対象システムに対してサイバー攻撃を実行する。

まず、ステップＳ１４において、手段実行部１３０は、選択された攻撃手段を攻撃対象システムに対して実行する。手段実行部１３０は、実行に必要なパラメータをシステム構成データベース１０８から引用し、選択された攻撃手段を実行する。実行に必要なパラメータは、例えば、攻撃先のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスといった情報である。
手段実行部１３０は、選択された攻撃手段を攻撃対象システムに対して実行し、選択された攻撃手段の実行結果に基づいて、サイバー攻撃の最終目的の達成のための攻撃の可否を判定する。そして、手段実行部１３０は、最終目的の達成のための攻撃が可能と判定すると、最終目的の達成のための攻撃を実行する。手段実行部１３０は、最終目的の達成のための攻撃が不可と判定すると、実行結果を結果収集部１４０に渡す。
結果収集部１４０は、攻撃手段による攻撃の実行結果を収集する。

結果解析部１５０は、最終目的の達成のための攻撃が不可と判定されると、選択された攻撃手段の実行結果に基づいて、攻撃対象システムのシステム構成を解析し、解析結果をシステム構成データベース１０８にフィードバックする。具体的には、結果解析部１５０は、実行結果を取得し、攻撃の成否を判定する。実行した手段が攻撃ではなく、ネットワークスキャンといった偵察活動の場合は、結果解析部１５０は、スキャン結果を実行結果として取得する。結果解析部１５０は、実行結果を解析する。結果解析部１５０は、解析結果をシステム構成データベース１０８にフィードバックする。このように、システム構成データベース１０８は、最終目的の達成のための攻撃が可能となるまで、攻撃対象システムに対する攻撃手段が実行される度に更新される。

手段実行部１３０は、サイバー攻撃を構成する全ての攻撃手段の実行が終了するまで、以上の動作を反復して動作させる。手段実行部１３０は、ユーザが入力するサイバー攻撃の最終目的を実行する条件を満たしたときに、ゴールとなるサイバー攻撃の最終目的を実行する（ステップＳ１５）。実行条件に満たない場合には、実行条件を満たすまで処理を繰り返す。最終目的の実行条件に満たない場合とは、実行に必要な情報が揃わない、あるいは、実行するために必要なネットワーク到達性が確保できていないといった場合である。

図４は、本実施の形態に係る攻撃手段評価装置１００の動作の詳細例を示すフロー図である。図４では、スコア値が攻撃検知確率であるものとして説明する。
また、図４では、サイバー攻撃の最終目的の１つ前の目的であるサブゴールの攻撃手段を実行する場合を説明する。なお、サブゴールがサイバー攻撃の最終目的である場合でも、同様の処理が適用できる。

ステップＳ１０１において、条件取得部１６０は、入力インタフェース９３０を介して、ユーザから攻撃検知確率の閾値ｐｔｈを取得する。

ステップＳ１０２において、スコア値算出部１１０は、複数の攻撃手段を取得し、システム構成データベース１０８に基づいて、各攻撃手段の攻撃検知確率をスコア値として算出する。そして、手段選択部１２０が、スコア値データベース１０７に設定されている攻撃手段から、スコア値が攻撃検知確率の閾値ｐｔｈ以下のものを列挙する。

ステップＳ１０３において、手段選択部１２０は、列挙された攻撃手段の中から、制約事項に沿った攻撃手段を、実行する攻撃手段として選択する。具体的には、手段選択部１２０は、列挙された攻撃手段の中から、攻撃検知確率が最も低い攻撃手段を、実行する攻撃手段として選択する。攻撃検知確率が最も低い攻撃手段とは、最も検知されにくい攻撃手段を意味する。つまり、攻撃対象システムに対する攻撃としては、最も有効な攻撃手段である。選択された攻撃手段は、偵察手段の場合もある。

ステップＳ１０４において、手段実行部１３０は、選択された攻撃手段を攻撃対象システムに対して実行する。

ステップＳ１０５において、結果収集部１４０は、攻撃手段による攻撃の実行結果を収集する。結果収集部１４０は、サブゴールの攻撃手段による攻撃に必要な情報がそろったかを判定する。サブゴールの攻撃手段による攻撃に必要な情報がそろった場合、ステップＳ１０８に進む。サブゴールの攻撃手段による攻撃に必要な情報がそろっていない場合、ステップＳ１０６に進む。

ステップＳ１０６において、結果解析部１５０は、選択された攻撃手段の実行の実行結果を解析し、解析結果をシステム構成データベース１０８にフィードバックする。
ステップＳ１０７において、スコア値算出部１１０は、解析結果がフィードバックされたシステム構成データベース１０８に含まれる攻撃対象システムのシステム構成に基づいて、各攻撃手段のスコア値を再算出する。そして、ステップＳ１０２における攻撃手段の列挙から処理を繰り返す。

システム構成データベース１０８には、攻撃対象システムの情報システムのＩＰアドレスおよびＯＳ、使用しているソフトウェアのバージョン情報、あるいは、ファイアウォールルールといった情報が含まれる。攻撃対象システムに侵入した直後は、これらの情報が未知である。よって、サイバー攻撃では、ネットワークスキャン、あるいは、スニッフィングを行って、攻撃対象システムの情報を収集する。収集した結果をシステム構成データベース１０８に格納していくことで、それを使ったスコア値の算出精度を向上させることができる。

ステップＳ１０８において、手段実行部１３０は、サブゴールの攻撃手段を実行する。

図３で説明したサイバー攻撃の最終目的は、情報の窃取、あるいは、情報システムの破壊といった、攻撃者が達成すべきサイバー攻撃のゴールである。しかし、システムに侵入した直後は、最終目的を達成することができる端末に侵入できているとは限らない。このため、別の端末あるいはサーバを攻撃する必要が生じる。このような、別の端末あるいは別のサーバへの攻撃は、上述したサブゴールの攻撃手段の例である。
一方で「ユーザが入力するサイバー攻撃のゴール」は、上述のように攻撃の最終目的である。「ＸＸシステムのデータを破壊する」というサイバー攻撃のゴールが設定された場合は、「ＸＸシステムに侵入する」というゴールが、最終目的の１つ前の目的であるサブゴールになる。サブゴールには、同様にサブサブゴールが存在する場合がある。このように、サイバー攻撃はいわゆるアタックツリーのような形態を有することが想定される。
図４のステップＳ１０５における「サブゴールの攻撃手段による攻撃に必要な情報がそろった」という状態は、具体的には、別の端末に侵入するための情報として、脆弱なＯＳのバージョンが特定できた状態が想定される。あるいは、別の端末に侵入するための情報として、ｔｅｌｎｅｔのポートが開いているためブルートフォール攻撃ができるといった情報が得られた状態が想定される。

また、ステップＳ１０３では、手段選択部１２０は、列挙された攻撃手段の中から、攻撃検知確率が最も低い攻撃手段を、実行する攻撃手段として選択する。しかし、最も攻撃検知確率が低い攻撃手段を実施したとしても、必要な情報が得られない場合もある。その場合は、次に攻撃検知確率が低い手段を選択して、その攻撃手段を実行する。このように、サブゴールの攻撃手段に必要な情報がそろうまで、攻撃検知確率が低い攻撃手段から順番に実行する。

図５は、本実施の形態に係るスコア値データベース１０７の構成例を示す図である。
図５に示すように、スコア値データベース１０７には、攻撃手段６１と、各攻撃手段のスコア値６２である攻撃検知確率ｐｉと、攻撃成功確率６３とが設定されている。
結果解析部１５０は、攻撃手段６１の実行結果に基づいて、スコア値データベース１０７に攻撃手段６１の攻撃成功確率６３を設定する。例えば、結果解析部１５０は、攻撃対象システムからの応答といった情報によって、攻撃成功確率を再算出し、スコア値データベース１０７に反映することにより、攻撃成功確率６３が精緻化される。

＊＊＊他の構成＊＊＊
本実施の形態では、スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０の機能がソフトウェアで実現される。変形例として、スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０の機能がハードウェアで実現されてもよい。
具体的には、攻撃手段評価装置１００は、プロセッサ９１０に替えて電子回路９０９を備える。

図６は、本実施の形態の変形例に係る攻撃手段評価装置１００の構成を示す図である。
電子回路９０９は、スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０の機能を実現する専用の電子回路である。電子回路９０９は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、または、ＦＰＧＡである。ＧＡは、Ｇａｔｅ Ａｒｒａｙの略語である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。ＦＰＧＡは、Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略語である。

スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０の機能は、１つの電子回路で実現されてもよいし、複数の電子回路に分散して実現されてもよい。

別の変形例として、スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０の一部の機能が電子回路で実現され、残りの機能がソフトウェアで実現されてもよい。また、スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０の一部またはすべての機能がファームウェアで実現されてもよい。

プロセッサと電子回路の各々は、プロセッシングサーキットリとも呼ばれる。つまり、スコア値算出部１１０と手段選択部１２０と手段実行部１３０と結果収集部１４０と結果解析部１５０と条件取得部１６０の機能は、プロセッシングサーキットリにより実現される。

＊＊＊本実施の形態の効果の説明＊＊＊
以上のように、本実施の形態では、以下の機能を備えた攻撃手段評価装置１００を説明した。
（ａ）攻撃手段評価装置１００は、設定された評価軸に基づいて、攻撃手段をスコア化する機能を有する。スコア化とは、数値化、例えば攻撃検知確率を算出することである。
（ｂ）攻撃手段のスコア値は攻撃対象システムといった条件によって変化する。
（ｃ）攻撃手段評価装置１００は、スコア値が最も優れているものを選択し、サイバー攻撃を実行する。
（ｄ）攻撃手段評価装置１００は、攻撃手段の実行時に得られた攻撃対象システムの情報をシステム構成データベースにフィードバックする。これにより、（ａ）および（ｂ）で示されるスコア値が変化し、攻撃手段のスコア値が攻撃実行の度に精緻化される。

本実施の形態に係る攻撃手段評価装置１００によれば、実行すべき攻撃手段をスコア化することで、熟練したペネトレーションテスターを必要とせずに巧妙なサイバー攻撃を再現することができる。

実施の形態２．
本実施の形態では、主に、実施の形態１と異なる点および実施の形態１に追加する点について説明する。
本実施の形態において、実施の形態１と同様の機能を有する構成については同一の符号を付し、その説明を省略する。

実施の形態１では、スコア値の良い攻撃手段から実行するようにした。本実施の形態では、攻撃手段の列である攻撃シナリオとして総合的なスコア値を計算することで、攻撃シナリオ全体のスコア化も実施可能とする態様について説明する。

スコア値算出部１１０は、サイバー攻撃を構成する攻撃手段から成る攻撃シナリオについて、攻撃対象システムに対する攻撃の有効性を表すシナリオスコア値ｐｓを算出する。
手段選択部１２０は、シナリオスコア値ｐｓと閾値ｐｔｈとを用いて、攻撃対象システムに対する攻撃として有効な攻撃シナリオを選択する。
手段実行部１３０は、選択された攻撃シナリオを攻撃対象システムに対して実行することにより、攻撃対象システムに対してサイバー攻撃を実行する。

例えば、各攻撃手段のスコア値を攻撃検知確率ｐｉとすると、実行するサイバー攻撃全体としての攻撃検知確率ｐｓは、ｐｓ＝１－Π（１－ｐｉ）で表すことができる。
例えば、ユーザに攻撃検知確率の閾値ｐｔｈを入力させることで、攻撃シナリオ全体の攻撃検知確率の閾値ｐｔｈを超えないような、攻撃手段の列、すなわち攻撃シナリオを機械的に作成することができる。

実施の形態３．
本実施の形態では、主に、実施の形態１，２と異なる点および実施の形態１，２に追加する点について説明する。
本実施の形態において、実施の形態１，２と同様の機能を有する構成については同一の符号を付し、その説明を省略する。

実施の形態１，２では、各攻撃手段のスコア値は１値である。しかし、攻撃対象システムの構成情報が分からない限り、攻撃検知確率といったスコア値を正確に算出することは難しい。例えば、ある攻撃コードの攻撃検知確率が０．５であり、攻撃成功確率が０．７だとしても、攻撃コードを使用する攻撃対象システムが脆弱性を有していない場合には、攻撃成功確率は０となり、この攻撃コードを使用する攻撃手段を選択することが無駄になってしまう。
これを解決するために、各攻撃手段のスコア値を関数値のように変化するように持たせる。例えば、攻撃対象システムのＯＳがＷｉｎｄｏｗｓ（登録商標）ならば攻撃成功確率は０．５、脆弱性があることが判明すれば１．０、攻撃コードの対象となるＯＳでない、あるいは、脆弱性が修正されている場合は攻撃成功確率を０にする。これにより、成立しない攻撃手段を選択することが防止でき、より巧妙なサイバー攻撃に近づけることができる。また、攻撃の初期段階では、攻撃対象システムの構成に不明な部分が多いため、攻撃検知確率は０．３から０．５のように、スコア値に幅があってもよい。攻撃を進めるごとに、攻撃対象システムの構成が判明し、スコア値の幅を狭めることができる。

本実施の形態に係る攻撃手段評価装置によれば、ユーザが設定した閾値として、実行したすべての攻撃手段を総合した攻撃検知確率を超えないように攻撃手段を順次実行し、サイバー攻撃の自動実行を行うことができる。

以上の実施の形態１から３では、攻撃手段評価装置の各部を独立した機能ブロックとして説明した。しかし、攻撃手段評価装置の構成は、上述した実施の形態のような構成でなくてもよい。攻撃手段評価装置の機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、どのような構成でもよい。また、攻撃手段評価装置は、１つの装置でなく、複数の装置から構成されたシステムでもよい。
また、実施の形態１から３のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これら実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１から３では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。

なお、上述した実施の形態は、本質的に好ましい例示であって、本開示の範囲、本開示の適用物の範囲、および本開示の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。

６１ 攻撃手段、６２ スコア値、６３ 攻撃成功確率、１００ 攻撃手段評価装置、１１０ スコア値算出部、１２０ 手段選択部、１３０ 手段実行部、１４０ 結果収集部、１５０ 結果解析部、１６０ 条件取得部、１７０ 記憶部、１０７ スコア値データベース、１０８ システム構成データベース、１７３ 閾値、９０９ 電子回路、９１０ プロセッサ、９２１ メモリ、９２２ 補助記憶装置、９３０ 入力インタフェース、９４０ 出力インタフェース、９５０ 通信装置。

Claims (8)

1. サイバー攻撃に用いられる攻撃手段を評価する攻撃手段評価装置において、
   複数の攻撃手段を取得し、前記複数の攻撃手段の各攻撃手段について、攻撃の対象である攻撃対象システムに対する攻撃の有効性を表すスコア値を算出するスコア値算出部と、
   前記スコア値に基づいて、前記複数の攻撃手段から前記攻撃対象システムに対する攻撃を実行する攻撃手段を選択する手段選択部と、
   選択された攻撃手段を前記攻撃対象システムに対して実行し、前記選択された攻撃手段の実行結果に基づいて、前記サイバー攻撃の最終目的の達成のための攻撃の可否を判定する手段実行部と
   を備える攻撃手段評価装置。
2. 前記手段実行部は、前記最終目的の達成のための攻撃が可能と判定すると、前記最終目的の達成のための攻撃を実行する請求項１に記載の攻撃手段評価装置。
3. 前記スコア値算出部は、
   前記攻撃対象システムにおける検知され易さの度合いを表す攻撃検知確率を前記スコア値として算出する請求項１または請求項２に記載の攻撃手段評価装置。
4. 前記攻撃手段評価装置は、
   前記攻撃対象システムのシステム構成が設定されたシステム構成データベースを備え、
   前記スコア値算出部は、
   前記システム構成データベースに含まれる前記攻撃対象システムのシステム構成に基づいて、前記スコア値を算出する請求項１から請求項３のいずれか１項に記載の攻撃手段評価装置。
5. 前記攻撃手段評価装置は、
   前記最終目的の達成のための攻撃が不可と判定されると、前記選択された攻撃手段の前記実行結果に基づいて、前記攻撃対象システムのシステム構成を解析し、解析結果を前記システム構成データベースにフィードバックする結果解析部を備え、
   前記スコア値算出部は、
   前記解析結果がフィードバックされた前記システム構成データベースに含まれる前記攻撃対象システムのシステム構成に基づいて、前記スコア値を再算出する請求項４に記載の攻撃手段評価装置。
6. 前記スコア値算出部は、
   前記サイバー攻撃を構成する攻撃手段から成る攻撃シナリオについて、前記攻撃対象システムに対する攻撃の有効性を表すシナリオスコア値を算出し、
   前記手段選択部は、
   前記シナリオスコア値を用いて、前記攻撃対象システムに対する攻撃として有効な攻撃シナリオを選択し、
   前記手段実行部は、
   選択された前記攻撃シナリオを前記攻撃対象システムに対して実行することにより、前記攻撃対象システムに対して前記サイバー攻撃を実行する請求項１から請求項５のいずれか１項に記載の攻撃手段評価装置。
7. サイバー攻撃に用いられる攻撃手段を評価する攻撃手段評価装置の攻撃手段評価方法において、
   スコア値算出部が、複数の攻撃手段を取得し、前記複数の攻撃手段の各攻撃手段について、攻撃の対象である攻撃対象システムに対する攻撃の有効性を表すスコア値を算出し、
   手段選択部が、前記スコア値に基づいて、前記複数の攻撃手段から前記攻撃対象システムに対する攻撃を実行する攻撃手段を選択し、
   手段実行部が、選択された攻撃手段を前記攻撃対象システムに対して実行し、前記選択された攻撃手段の実行結果に基づいて、前記サイバー攻撃の最終目的の達成のための攻撃の可否を判定する攻撃手段評価方法。
8. サイバー攻撃に用いられる攻撃手段を評価する攻撃手段評価装置の攻撃手段評価プログラムにおいて、
   複数の攻撃手段を取得し、前記複数の攻撃手段の各攻撃手段について、攻撃の対象である攻撃対象システムに対する攻撃の有効性を表すスコア値を算出するスコア値算出処理と、
   前記スコア値に基づいて、前記複数の攻撃手段から前記攻撃対象システムに対する攻撃を実行する攻撃手段を選択する手段選択処理と、
   選択された攻撃手段を前記攻撃対象システムに対して実行し、前記選択された攻撃手段の実行結果に基づいて、前記サイバー攻撃の最終目的の達成のための攻撃の可否を判定する手段実行処理と
   をコンピュータに実行させる攻撃手段評価プログラム。

Images