JP7202932B2 - サイバー攻撃検知装置 - Google Patents

Description

本願は、サイバー攻撃検知装置に関するものである。

サイバー攻撃は、ＩＴシステムだけでなく、電力制御システム等の制御系システムまたは制御機器等も標的となる。サイバー攻撃による攻撃を受けた機器は、データの改ざんおよび不正なプロセスの実行、サービス停止など、種々の侵害を受けるため、サイバー攻撃は速やかに検知し、対処することが求められる。従来、サイバー攻撃を検知するための手段として、例えば処理ログおよび操作ログなどの各種ログの分析が行われている（例えば、非特許文献１参照）。さらに、ログの分析によるサイバー攻撃検知としては、広域コンピュータネットワークに接続されたコンピュータシステム毎に、ネットワーク構成機器等のインシデントログを収集し、収集したインシデントログから取得されるイベントから不正アクセスのイベントを検知するシステムも提案されている（例えば、特許文献１参照）。また、ログの分析以外の従来のサイバー攻撃検知手段として、対象の機器にリモートログインして調査用コマンドを実行する（例えば、非特許文献２参照）、検査対象のポートに検査パケットを送信して反応を見る（例えば、非特許文献３参照）などの手段が挙げられる。

特開２００８－８３７５１号公報

ＪＰＣＥＲＴコーディネーションセンター、"高度サイバー攻撃への対処におけるログの活用と分析方法"、[online]、最終更新２０１６年１０月１９日、[平成３１年１月２１日検索]、インターネット＜URL:https://www.jpcert.or.jp/research/apt-loganalysis.html＞ 打越浩幸、デジタルアドバンテージ、"WindowsでWMIとwmcコマンドを使ってシステムを管理する（基本編）"、＠ＩＴ、[online]、２０１５年７月１０日、[平成３１年１月２１日検索]、インターネット＜URL: http://www.atmarkit.co.jp/ait/articles/0804/18/news154.html＞ NMAP.ORG、"Nmap Network Scanning ポートスキャンのテクニック"、[online]、 [平成３１年１月２１日検索]、インターネット＜URL:https://nmap.org/man/ja/man-port-scanning-techniques.html＞

しかしながら、ログの分析によるサイバー攻撃の検知は、ログの出力が前提となるため、ログを出力しない機器に対しては非特許文献１の手段を実施できない。これは、ネットワーク構成機器等のインシデントログを収集することにより不正アクセスのイベントを検知する特許文献１の技術についても同様である。また、非特許文献２に記載のリモートログインを行う手段、および非特許文献３に記載の検知パケットを用いる手段は、システムの処理に影響を及ぼす可能性があるため、システムの状況によっては実施不可能であったり、実施時間などに制限があったりする可能性がある。このように、サイバー攻撃を検知するための検知手段の実施には種々の制約があり、各検知手段の実施可能性および実施における制限を考慮しながら適時適切な検知手段を選択し実施することは困難な場合があり、サイバー攻撃の検知を迅速に行うことができない可能性がある。

本願は、上記のような課題を解決するための技術を開示するものであり、攻撃および異常を検知する検知手段を適時適切に選択し実施して、サイバー攻撃の検知を迅速に行うことができるサイバー攻撃検知装置を得ることを目的とする。

本願に開示されるサイバー攻撃検知装置は、システムを構成するそれぞれの構成要素について、構成要素に対する攻撃および構成要素に発生している異常を検知する検知手段を実施し、検知手段を実施した結果に基づいてサイバー攻撃の検知を行うサイバー攻撃検知装置であって、それぞれの構成要素に対する検知手段の実施可能性を示す情報である検知手段実施可能性情報をそれぞれの構成要素および検知手段と紐付けて構成した検知手段リストを保存する構成管理データベースと、構成要素に対して行われている攻撃に関する情報である先行攻撃情報を含む検知アラートを受信し、先行攻撃情報を検知アラートから取得する先行攻撃情報取得部と、先行攻撃情報に基づいて次の攻撃対象を予測し、予測した次の攻撃対象の識別情報を次攻撃対象情報として出力する次攻撃対象予測部と、次攻撃対象情報を検索キーとして構成管理データベースを参照し、次の攻撃対象と予測された構成要素についての検知手段リストを取得する検知手段リスト取得部と、予め定められた検知手段選択条件と、次の攻撃対象と予測された構成要素に紐付けられた検知手段実施可能性情報とに基づいて、次の攻撃対象と予測された構成要素に対して実施可能な検知手段を検知手段リストから選択する検知手段選択部と、検知手段選択部によって選択された検知手段を実施し、得られた検知結果を出力する検知手段実施部と、検知結果および予め定められた判定条件に基づいて、サイバー攻撃を受けているか否かを判定するサイバー攻撃判定部とを備えたものである。

本願に開示されるサイバー攻撃検知装置によれば、攻撃および異常を検知する検知手段を適時適切に選択し実施して、サイバー攻撃の検知を迅速に行うことができる。

実施の形態１におけるサイバー攻撃検知装置を示す機能構成図である。 実施の形態１におけるサイバー攻撃検知装置を示すハードウェア構成図である。 実施の形態１に係る構成管理データベースが保持する情報の例を示す図である。 実施の形態１におけるサイバー攻撃検知装置の動作を示すフロー図である。 実施の形態１に係る検知手段選択処理を示すフロー図である。 実施の形態１に係る検知手段「連携関係のある機器の分析」を示す機能構成図である。 実施の形態１に係る検知手段「連携関係のある機器の分析」の処理の流れを示すフロー図である。 実施の形態２に係る構成管理データベースが保持する情報を示す図である。 実施の形態３におけるサイバー攻撃検知装置を示す機能構成図である。

実施の形態１．
以下に、実施の形態１を図１から図７に基づいて説明する。図１は、実施の形態１におけるサイバー攻撃検知装置を示す機能構成図である。サイバー攻撃検知装置１０は、外部からの攻撃を示す検知アラート１０１を受信し、検知アラート１０１のデータ部分をアラートデータ１０２として取得するアラート受信部１１と、次に攻撃対象となる機器をアラートデータ１０２に基づいて予測し、次に攻撃対象となる機器の識別情報を次攻撃対象１０３として出力する次攻撃対象予測部１２と、例えば制御系システムなどのシステムを構成するそれぞれの機器について、セキュリティに関する情報を含む構成上の情報と、攻撃および異常を検知する検知手段に関する情報を保持する構成管理データベース（以下、構成管理ＤＢ）１０１１と、次攻撃対象１０３に応じた検索キー１０１１ａを用いて構成管理ＤＢ１０１１を参照し、対応する検索結果１０１１ｂを取得するとともに、検索結果１０１１ｂから得られる検知手段リスト１０４を出力する構成管理ＤＢ参照部１３と、実施する検知手段を検知手段リスト１０４から選択し、実施検知手段１０５として出力する検知手段選択部１４とを備えている。

また、サイバー攻撃検知装置１０は、必要に応じて外部の連携セキュリティ装置９１を利用することで実施検知手段１０５を実施し、得られる結果を検知結果１０６として出力する検知手段実施部１５と、検知結果１０６に基づいてサイバー攻撃を受けているか否かを判定し、判定結果１０７として出力するサイバー攻撃判定部１６と、判定結果１０７を出力データ１０８として外部に出力する結果出力部１７を備えている。

図１に示した各機能部等は、図２に一例を示すハードウェア構成により実現される。サイバー攻撃検知装置１０は、主に、プロセッサ７１と、主記憶装置としてのメモリ７２および補助記憶装置７３から構成される。プロセッサ７１は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、メモリ７２はランダムアクセスメモリ等の揮発性記憶装置であり、補助記憶装置７３は、フラッシュメモリ等の不揮発性記憶装置またはハードディスクなどである。補助記憶装置７３には、プロセッサが実行する所定のプログラムが記憶されており、プロセッサ７１は、このプログラムを適宜読み出して実行し、各種演算処理を行う。この際、補助記憶装置７３からメモリ７２に上記所定のプログラムが一時的にメモリ７２に保存され、プロセッサ７１はメモリ７２からプログラムを読み出す。図１に示した各機能部による演算処理は、上記のようにプロセッサ７１が所定のプログラムを実行することで実現される。プロセッサ７１による演算処理の結果は、一旦メモリ７２に記憶され、実行された演算処理の目的に応じて補助記憶装置７３に記憶される。また、構成管理ＤＢ１０１１をサイバー攻撃検知装置１０内で実現する場合、構成管理ＤＢ１０１１のデータは補助記憶装置７３に保存される。

通信インターフェース７４は、検知アラート１０１の通信パケットなどを外部から受信するとともに、連携セキュリティ装置９１に対して実施命令１０１２を送信し、連携セキュリティ装置９１から実施結果１０１３を受信する。また、外部の記憶装置を利用して構成管理ＤＢ１０１１を実現する場合、通信インターフェース７４は検索キー１０１１ａの送信および検索結果１０１１ｂの受信を行う。入出力インターフェース７５は、例えばキーボート、マウス、タッチパネルなどの入力装置（図示なし）と接続され、ユーザーからの入力を受け付けるとともに、液晶ディスプレイなどの表示装置（図示なし）、印刷装置（図示なし）、または外部記憶装置（図示なし）と接続されて、出力データ１０８の出力を行う。

アラート受信部１１は、検知アラート１０１をサイバー攻撃検知装置１０の外部から受信し、必要に応じてデコード行って、検知アラート１０１のデータ部分であるペイロードを抽出する。検知アラート１０１は、例えばネットワーク侵入検知装置のアラートデータであり、通信ヘッダとペイロードから構成されるものである。検知アラート１０１のペイロードは、「ネットワークへの侵入を検知した機器の識別子」「侵入を検知した時刻」「攻撃対象の機器の識別子」「攻撃対象のポートのポート番号」「攻撃元の機器の識別子」「攻撃種別」「攻撃の重要度」「攻撃に関連する脆弱性の識別情報」などのデータを含んでいる。「攻撃に関連する脆弱性の識別情報」としては、例えばＣＶＥ（Ｃｏｍｍｏｎ Ｖｕｎｅｒａｂｉｌｉｔｙ Ｅｎｕｍｅｒａｔｉｏｎ）番号が考えられる。このように、検知アラート１０１のペイロードには、先行する攻撃に関する情報である先行攻撃情報が含まれており、アラート受信部１１は先行攻撃情報取得部に相当する。検知アラート１０１の通信ヘッダは、アラート受信部１１により除去される。アラート受信部１１は、抽出したペイロードをアラートデータ１０２として出力する。なお、実施の形態１では、現在攻撃されている、攻撃対象の機器を機器Ｖ（図示なし）とする。

次攻撃対象予測部１２は、アラートデータ１０２が入力されて、アラートデータ１０２に含まれる先行攻撃情報から、次に攻撃される機器を予測する。また、次攻撃対象予測部１２は、次の攻撃対象と予測した機器の識別情報を次攻撃対象１０３として出力する。次攻撃対象１０３は、次攻撃対象情報に相当し、次に攻撃対象となると予測された機器の識別子を含む、この識別子としては、ＩＰアドレス、ＭＡＣアドレス、およびホスト名などがある。また、次攻撃対象１０３は、攻撃対象のポート番号を含んでもよいし、攻撃に利用されている脆弱性に関する情報を含んでもよい。
なお、実施の形態１では、現在の攻撃対象が同一または他の攻撃手法により続けて攻撃される（次の攻撃対象も機器Ｖである）と予測されたと仮定し、以降の説明もこの仮定の下で行う。

構成管理ＤＢ参照部１３は、次攻撃対象１０３が入力され、次攻撃対象１０３に含まれる識別情報を検索キー１０１１ａとして構成管理ＤＢ１０１１を参照する。構成管理ＤＢ１０１１は検索キー１０１１ａに応じた検索結果１０１１ｂを構成管理ＤＢ参照部１３に返す。構成管理ＤＢ参照部１３は、検索結果１０１１ｂを検知手段リスト１０４として出力する。この検索結果１０１１ｂには検知手段リスト１０４が含まれており、構成管理ＤＢ参照部１３は、検索結果１０１１ｂから検知手段リスト１０４を取得し、出力する。このように、構成管理ＤＢ参照部１３は、検知手段リスト取得部に相当する。なお上述したように、実施の形態１では次の攻撃対象も機器Ｖであるため、機器Ｖの識別情報が検索キー１０１１ａとなり、後述する機器Ｖのエントリが検索結果１０１１ｂとして返される。

構成管理ＤＢ１０１１は、システムを構成するそれぞれの機器の情報を保持する。構成管理ＤＢ１０１１が保持する情報の例として、機器Ｖのエントリを図３に示す。構成管理ＤＢ１０１１が保持するエントリ８１は、機器Ｖの構成に関する情報などを含むインベントリ８２と、機器Ｖに対する攻撃および機器Ｖに発生している異常の検知に関する情報である検知関連情報８３を含む。インベントリ８２は、機器Ｖのハードウェア構成およびＯＳ、インストールされているソフトウェアのソフトウェア構成を含む。なお、これらの構成には製品の型番およびバージョンを含む。さらに、インベントリ８２は、機器Ｖに実施されているセキュリティ対策の情報を含む。具体的には、例えば適用しているパッチの情報、インストールされているアンチウィルス等の情報を含んでいる。また、残存している脆弱性を示す情報として、例えばＣＶＥ番号などの脆弱性識別情報をインベントリ８２に含めてもよい。

検知関連情報８３は、機器Ｖに対する攻撃および機器Ｖに発生している異常を検知する検知手段を示す検知手段項目８３ａと、検知手段項目８３ａが示す検知手段を実施できるか判断するための情報である状況８３ｂと、関連する検知手段の実施の際に連携するセキュリティ装置の情報である連携セキュリティ装置情報８３ｃを含む。機器Ｖに対して実施されうる検知手段が複数ある場合、それぞれの検知手段項目８３ａは図３のようにナンバリングされ、検知手段項目８３ａに示される検知手段と状況８３ｂおよび連携セキュリティ装置情報８３ｃが紐付けられた状態で検知関連情報８３が構成されている。状況８３ｂは、主に検知手段項目８３ａが示す検知手段の実施可能性および実施条件を示し、検知手段実施可能性情報に相当する。連携セキュリティ装置情報８３ｃは、検知手段項目８３ａが示す検知手段を実施する際にサイバー攻撃検知装置１０が連携する連携セキュリティ装置９１に関する情報であり、連携セキュリティ装置９１の識別情報を含む。図３で示す例について具体的に説明する。

（＃１「機器のログの分析」）
＃１「機器のログの分析」は、機器Ｖのログを取得して分析することにより、機器Ｖに対する攻撃および機器Ｖに発生している異常を検知する検知手段である。より具体的には、＃１「機器のログの分析」により、機器Ｖに対する攻撃および機器Ｖに発生している異常が検知される。ここで、機器Ｖにおける異常の発生は、機器Ｖに対する攻撃が成功し、機器Ｖが何らかの侵害を受けている可能性があることを示すので、機器Ｖに発生している異常を検知することは、機器Ｖに対する攻撃を間接的に検知することになる。このように、＃１「機器のログの分析」は、機器Ｖに対する攻撃を直接的または間接的に検知する。このように機器Ｖに対する攻撃を直接的または間接的に検知する点は、後述する＃２から＃５の検知手段でも同様である。

＃１「機器のログの分析」に対応する状況８３ｂは「ログ有り」または「ログ無し」である。状況８３ｂが「ログ有り」の場合は、機器Ｖに対する攻撃および機器Ｖに発生している異常を検知するために機器Ｖのログを利用でき、ログ分析を実施することができる。「ログ無し」の場合は機器Ｖのログを利用できず、ログ分析を実施することができない。また、ログの分析を実施する場合はログ分析装置と連携するため、連携セキュリティ装置情報８３ｃは「ログ分析装置の識別子」となり、図１の連携セキュリティ装置９１は、機器Ｖのログを保存し分析するログ分析装置となる。また、「ログ分析装置の識別子」としては、例えばＨＴＴＰサーバのＵＲＬなど、このログ分析装置で外部から検索を行うために利用される識別子である。

（＃２「接続されているスイッチのログの分析」）
＃２「接続されているスイッチのログの分析」は、機器Ｖに接続されているネットワークスイッチのログを取得して分析することにより、機器Ｖの通信状況から、機器Ｖに対する攻撃および機器Ｖに発生している異常を検知する検知手段である。

＃２「接続されているスイッチのログの分析」に対応する状況８３ｂは「ログ有り」または「ログ無し」である。状況８３ｂが「ログ有り」の場合は、ネットワークスイッチのログの分析することにより機器Ｖに対する攻撃および機器Ｖに発生している異常を検知することができる。「ログ無し」の場合はネットワークスイッチのログを利用できず、ログ分析を実施することができない。また、ログ分析を実施する場合はログ分析装置と連携するため、連携セキュリティ装置情報８３ｃは「ログ分析装置の識別子」となり、図１の連携セキュリティ装置９１は、ネットワークスイッチのログを保存し分析するログ分析装置となる。
なお、ここでは「接続されているスイッチのログ」とし、一例として機器Ｖに接続されているネットワークスイッチのログとしているが、機器Ｖが接続されているネットワークの通信を監視または制御する機器のログであればよい。例えば、機器Ｖが接続されているネットワークの通信を制御するファイアウオール機器のログ、機器Ｖのネットワーク上の振る舞いを監視するセキュリティ機器のログであってもよい。＃２「接続されているスイッチのログの分析」については、以降の説明でも同様である。

（＃３「アクティブ検査」）
＃３「アクティブ検査」は、能動的な検査により機器Ｖに対する攻撃および機器Ｖに発生している異常を検知する検知手段である。「アクティブ検査」の具体例としては、「検査パケットによる検査」「リモートログインによる検査」等がある。
「検査パケットによる検査」は、外部のセキュリティ検査装置から機器Ｖへ検査パケットを送信し、検査パケットに対する応答内容および応答タイミングなどをセキュリティ検査装置側で分析して機器Ｖに対する攻撃および機器Ｖに発生している異常を検知する。例えば、検査パケットに対する応答に異常があれば、先行する攻撃が成功し、機器Ｖに異常が発生しているとみなされる。
「リモートログインによる検査」は、外部のセキュリティ検査装置から機器Ｖにリモートログインして機器Ｖのリソースの消費状況等を調査し、リソース消費の異常の有無から機器Ｖおける攻撃または異常を検知する。また、「リモートログインによる検査」においては、リモートログイン中に検査用のＯＳコマンドを実行して情報を取得、分析することも考えられる。

＃３「アクティブ検査」に対応する状況８３ｂは、アクティブ検査実施の可否（可もしくは不可）、実施可能な検査種別、検査に対する制限の有無および制限の内容などの情報である。制限の内容の例としては、例えば９時から１２時および１３時から１７時はアクティブ検査の実施は不可とし、それ以外の時間帯では実施可とするなどの時間帯の制限が挙げられる。また、８０番ポートのみ検査パケットを受け付けるなどのポート番号の制限も挙げられる。アクティブ検査に対してこのような制限が課されるのは、アクティブ検査の実施が機器Ｖの運用が妨げるような影響を機器Ｖに与え、業務に支障をきたす可能性があるためである。上記のようにアクティブ検査の実施に制限を課すことにより、機器Ｖの運用を妨げることなくアクティブ検査を実施することができる。また、「アクティブ検査」はネットワーク経由でセキュリティ検査を実施できるセキュリティ検査装置と連携するため、連携セキュリティ装置情報８３ｃは、「セキュリティ検査装置の識別子」となり、図１の連携セキュリティ装置９１は、各種のアクティブ検査を実施可能なセキュリティ検査装置となる。

（＃４「常時監視データの分析」）
＃４「常時監視データの分析」は、機器Ｖの常時監視データをログと同様に分析することで機器Ｖに対する攻撃および機器Ｖに発生している異常を検知する検知手段である。ここで「常時監視データ」は、機器Ｖのプロセッサ７１およびメモリ７２などのリソースを外部から定期的に監視することで得られたデータ、または特定のエラーの発生を定期的に監視することで得られたデータである。なお、＃４「常時監視データの分析」を実施できるのは、上記のような監視を行う運用がなされ、常時監視データが蓄積されている場合である。

＃４「常時監視データの分析」に対応する状況８３ｂは「データ有り」または「データ無し」となる。状況８３ｂが「データ有り」の場合は、機器Ｖに対する攻撃および機器Ｖに発生している異常を検知するために機器Ｖの常時監視データを利用でき、分析を実施することができる。「データ無し」の場合は機器Ｖの常時監視データを利用できず、分析を実施することができない。また、常時監視データの分析はログ分析装置で行うため、連携セキュリティ装置情報８３ｃは「ログ分析装置の識別子」となり、図１の連携セキュリティ装置９１は、機器Ｖの常時監視データをログとして保存し分析するログ分析装置となる。

（＃５「連携関係のある機器の分析」）
＃５「連携関係のある機器の分析」は、機器Ｖと連携関係のある機器Ｘの状態を分析することにより、機器Ｖに対する攻撃および機器Ｖに発生している異常を検知する検知手段である。ここで「連携関係」とは、「機器Ｖと機器Ｘがネットワークを介してデータを送受信する」「ＵＳＢメモリを用いて機器Ｖと機器Ｘの間でデータ移動が行われる」「機器Ｖの利用者が機器Ｖの処理結果（例えばオン／オフ指令または数値）を用いて機器Ｘを操作する、あるいは機器Ｖの処理結果を機器Ｘに入力する」など、システム上の通信による連携だけでなく、人手を介した命令及びデータ入力のような業務フロー上の連携も含めた、広い意味での「連携関係」を意味している。「機器Ｘと機器Ｖは連携関係がある」場合、機器Ｖの処理結果および機器Ｖのデータが機器Ｘに影響を与え、機器Ｘの処理結果および機器Ｘのデータが機器Ｖに影響を与える可能性がある。この場合、一方に発生した異常または一方が受けた攻撃は、他方に対しても影響を与える可能性がある。このことを利用し、＃５「連携関係のある機器の分析」は、機器Ｖと連携関係がある機器Ｘの状態から機器Ｖに対する攻撃および機器Ｖに発生している異常を検知する。

＃５「連携関係のある機器の分析」に対応する状況８３ｂは「機器Ｘの識別情報」である。機器Ｘの識別情報は、機器Ｘの識別子、ＩＰアドレス、ＭＡＣアドレスおよびホスト名等を含む。また、連携関係のある機器（機器Ｘ）の分析を行う場合、攻撃または異常の検知自体は機器Ｘについて行い、機器Ｖにおいては機器Ｘについての検知結果を用いることとなるため、対応する連携セキュリティ装置情報８３ｃは必要なく、「無し」でよい。

なお、実施の形態１では連携関係のある機器として分析する機器は機器Ｘのみであるが、「連携関係のある機器」が複数ある場合も同様である。全ての「連携関係のある機器」を分析対象としてもよいし、一部のみを分析対象としてもよい。

以上説明した各検知手段の情報を含む検知関連情報８３が検知手段リスト１０４として構成管理ＤＢ参照部１３から出力される。

検知手段選択部１４は、検知手段リスト１０４および選択パラメータ１０２１が入力され、実施する検知手段を選択パラメータ１０２１に従って選択し、実施検知手段１０５として出力する。選択パラメータ１０２１は、予め定められた検知手段選択条件に相当する。

検知手段実施部１５は、実施検知手段１０５および検知パラメータ１０２３が入力されて、検知パラメータ１０２３に従って実施検知手段１０５を実施する。この際、実施検知手段１０５に含まれる各検知手段について、各検知手段に応じた連携セキュリティ装置９１に対して実施命令１０１２を送信し、実施結果１０１３を連携セキュリティ装置９１から受信する。検知手段実施部１５は、実施した各検知手段の実施結果１０１３を検知結果１０６として出力する。

サイバー攻撃判定部１６は、検知結果１０６および判定パラメータ１０２２が入力されて、機器Ｖがサイバー攻撃を受けているか否かを検知結果１０６および判定パラメータ１０２２に基づいて判定し、判定結果１０７として出力する。判定パラメータ１０２２は、予め定められた判定条件に相当する。なお、実施の形態１における「サイバー攻撃」は、種々の検知手段により検知されたそれぞれの「攻撃または異常」により構成される。ただし、どの程度の「攻撃または異常」を「サイバー攻撃」と判定するかは後述する判定パラメータ１０２２による。１つの「攻撃または異常」のみでも「サイバー攻撃」と判定される可能性はある。

結果出力部１７は、判定結果１０７が入力されて、入力された判定結果１０７を外部出力用にフォーマット化し、出力データ１０８としてサイバー攻撃検知装置１０の外部に出力する。出力データ１０８は、例えば画像データ等の表示用データ、印刷用データ、ログデータなどのデータファイルなどである。また、サイバー攻撃検知装置１０がｓｙｓｌｏｇ機能を備えたＯＳを搭載している場合、出力データ１０８をｓｙｓｌｏｇ通信データとしてもよい。このように、出力データ１０８のデータ形式は特に限られるものではない。

連携セキュリティ装置９１は、検知手段実施部１５からの実施命令１０１２を受け付け、実施結果１０１３を応答として返すインターフェースを備えている。このインターフェースは、例えばＨＴＴＰ通信で実施命令１０１２を受け付け、ＨＴＴＰで応答するようなインターフェースである。検知手段実施部１５のインターフェースは、連携セキュリティ装置９１のインターフェースに合わせて実装される。また、実施の形態１における連携セキュリティ装置９１は、検知手段実施部１５が実施する検知手段に応じて異なる種々のセキュリティ装置を含む。具体的には、ログ分析装置、アクティブ検査を実施可能なセキュリティ検査装置などである。これらの連携セキュリティ装置９１の機能および上記したインターフェースは、各種のツールおよびソフトウェアライブラリにより実現される。

実施結果１０１３は、連携セキュリティ装置９１による検知結果であり、「該当無し」以外の場合は、検知対象の機器に何らかの攻撃または異常が存在することを示す。実施結果１０１３は、検知対象となった機器の識別子、検知時刻、攻撃または異常の区分、重大度、備考等の情報を含むが、いずれの情報を含むかは個別の連携セキュリティ装置に依存する。但し、検知時刻は、共通して実施結果１０１３に含まれる。

次に、動作について説明する。図４は、実施の形態１におけるサイバー攻撃検知装置の動作を示すフロー図である。サイバー攻撃検知装置１０において、まず、アラート受信部１１が検知アラート１０１を受信し、検知アラート１０１からアラートデータ１０２を取得する（ステップＳＴ１０１）。アラート受信部１１は、アラートデータ１０２を次攻撃対象予測部１２に出力する。

次に、次攻撃対象予測部１２は、次に攻撃される機器をアラートデータ１０２の内容から予測する（ステップＳＴ１０２）。上述したように、実施の形態１では、現在の攻撃対象が次の攻撃対象にもなると予測するケースを前提としており、この機器を機器Ｖとしている。次攻撃対象予測部１２は、次の攻撃対象と予測した機器の識別情報である次攻撃対象１０３を構成管理ＤＢ参照部１３に出力する。上述したとおり、実施の形態１では機器Ｖが次に攻撃されると予測するので、次攻撃対象１０３は機器Ｖの識別情報となる。

次に、構成管理ＤＢ参照部１３は、構成管理ＤＢ１０１１を参照して検知手段リスト１０４を取得する（ステップＳＴ１０３）。構成管理ＤＢ参照部１３は、次攻撃対象１０３を検索キー１０１１ａとして構成管理ＤＢ１０１１を参照し、構成管理ＤＢ１０１１から返される検索結果１０１１ｂから検知手段リスト１０４を取得する。実施の形態１において、検索結果１０１１ｂは機器Ｖのエントリ８１であるので、構成管理ＤＢ参照部１３は、機器Ｖのエントリ８１から検知関連情報８３を抽出し、検知手段リスト１０４として検知手段選択部１４に出力する。

次に、検知手段選択部１４は、次の攻撃対象である機器Ｖに対して実施可能な検知手段を選択し（検知手段選択処理、ステップＳＴ１０４）、実施検知手段１０５として検知手段実施部１５に出力する。選択される検知手段は１つの場合もあれば、複数の場合もある。検知手段選択処理の具体的な説明は後述する。

次に、検知手段実施部１５は、実施検知手段１０５に含まれる検知手段を実施し（ステップＳＴ１０５）、得られた結果を検知結果１０６としてサイバー攻撃判定部１６に出力する。検知手段実施部１５により実施される検知手段の例は図３の検知手段項目８３ａに示したとおりである。検知結果１０６は、「実施された検知手段の数（ｎとする）」「実施されたそれぞれの検知手段のうち、実施の結果として攻撃または異常が検知された検知手段の数（ｍとする）」「検知された攻撃または異常の重要度」などの情報を含む。各検知手段の実施について、詳細な説明は後述する。

次に、サイバー攻撃判定部１６は、機器Ｖがサイバー攻撃を受けているか否かを判定し（ステップＳＴ１０６）、得られた結果を判定結果１０７として結果出力部１７に出力する。上述したように、サイバー攻撃判定部１６は、検知結果１０６および判定パラメータ１０２２に基づいてサイバー攻撃を受けているか否かを判定する。例えば、判定パラメータ１０２２として閾値ｔｈを予め設定し、ｍが閾値ｔｈを上回るか否かでサイバー攻撃を受けているか否かを判定する。
なお、実施可能な検知手段は状況により変わるものであり、実施された検知手段の数であるｎも状況により変わることを考慮すると、閾値ｔｈも状況に応じて変えることが考えられる。すなわち、判定パラメータ１０２２としては検出割合αを与えて閾値ｔｈの値をｔｈ＝ｎ×αで算出し、算出された閾値ｔｈを判定に用いることが考えられる。

次に、結果出力部１７は、判定結果１０７を外部出力用にフォーマット化し、出力データ１０８としてサイバー攻撃検知装置１０の外部に出力する（ステップＳＴ１０７）。出力データ１０８は、「サイバー攻撃を検知した時刻」「攻撃対象の機器の識別子」「攻撃元の識別子」「攻撃種別」「攻撃の重要度」「実施した検知手段」などの情報を含む。また、これらの情報の補足情報を含んでもよい。また、上述したとおり、出力データ１０８のデータ形式は特に限られるものではない。

なお、実施の形態１ではｍが閾値ｔｈを上回るか否かでサイバー攻撃を受けているか否かを判定しているが、判定にあたって重要度を考慮し、検知した攻撃または異常の重要度の合計と閾値とを比較することで判定を行ってもよい。また、それぞれの検知手段ごとに異なる「重み」をつけ、攻撃または異常が検知された検知手段の「重み」の合計と閾値とを比較することで判定を行ってもよい。「重み」を定めるにあたり、「機器Ｖを直接分析している＃１から＃４の値を大きく、間接的な検知手段である＃５の重みを小さくする」ことが考えられる。また、機器Ｖとの連携関係の内容を考慮して「重み」を設定してもよい。例えば、機器Ｖから機器Ｘにデータが流れているシステムにおいては、機器Ｘが機器Ｖの影響を受けやすく、機器Ｖに対する攻撃および機器Ｖに発生している異常の原因が機器Ｖにある可能性がより高いと想定されるので、このような場合は＃５の「重み」を大きくし、データの流れが逆の場合は＃５の「重み」小さくすることが考えられる。これは、特に機器Ｖと連携関係のある機器が複数ある場合に、より実態に即した判定を行うことを可能とする。

ステップＳＴ１０４の検知手段選択処理について説明する。図５は、実施の形態１に係る検知手段選択処理を示すフロー図である。検知手段選択処理では、選択パラメータ１０２１に従い、次の攻撃対象である機器Ｖに対して実施する検知手段を検知手段リスト１０４から選択する。なお、検知手段リスト１０４の内容は機器Ｖのエントリ８１から抽出された検知関連情報８３と同じであるので、図３で示した例に基づいて説明を行う。検知手段選択部１４は、＃１から＃５までの検知手段の実施可能性を順に判定し、実施可能と判定した検知手段を選択して実施検知手段１０５に含める。また、実施の形態１では、選択パラメータ１０２１は「ａｌｌ（実施できるもの全て）」であるとし、実施可能と判定した検知手段は全て実施検知手段１０５に含めるとする。以下、＃１から＃５の各検知手段に対する処理について説明する。

（＃１「機器のログの分析」）
検知手段選択部１４は、対応する状況８３ｂより、機器Ｖのログの有無を確認する（ステップＳＴ９０１）。機器Ｖのログがある場合はステップＳＴ９０２に進み、無い場合はステップＳＴ９０３に進む。

機器Ｖのログがあることを確認した検知手段選択部１４は、＃１「機器のログの分析」を実施可能と判定し、実施検知手段１０５として選択する（ステップＳＴ９０２）。

（＃２「接続されているスイッチのログの分析」）
検知手段選択部１４は、対応する状況８３ｂより、機器Ｖに接続されているネットワークスイッチのログの有無を確認する（ステップＳＴ９０３）。このネットワークスイッチのログがある場合はステップＳＴ９０４に進み、無い場合はステップＳＴ９０５に進む。

機器Ｖに接続されているネットワークスイッチのログがあることを確認した検知手段選択部１４は、＃２「接続されているスイッチのログの分析」を実施可能と判定し、実施検知手段１０５として選択する（ステップＳＴ９０４）。なお、＃１の検知手段「機器のログの分析」が選択されている場合は、新たに選択した＃２の検知手段「接続されているスイッチのログの分析」を実施検知手段１０５に追加する。以降についても同様であり、選択済みの検知手段が既にある場合は、新たに選択した検知手段を実施検知手段１０５に追加していく。

（＃３「アクティブ検査」）
検知手段選択部１４は、対応する状況８３ｂより、機器Ｖに対して何らかのアクティブ検査を実施可能であるか否かを判定する（ステップＳＴ９０５）。実施可能である場合はステップＳＴ９０６に進み、実施可能で無い場合はステップＳＴ９０９に進む。

アクティブ検査を実施可能であると判定した検知手段選択部１４は、機器Ｖに対するアクティブ検査について検査種別または検査時間等に制限があるか否かを確認し（ステップＳＴ９０６）、制限がある場合はステップＳＴ９０７に、無い場合はステップＳＴ９０８に進む。

アクティブ検査の実施について検査種別等に制限がある場合、その制限に関する情報を取得する（ステップＳＴ９０７）。その後、検知手段選択部１４は＃３「アクティブ検査」を実施検知手段１０５として選択する（ステップＳＴ９０８）。

（＃４「常時監視データの分析」）
検知手段選択部１４は、対応する状況８３ｂより、機器Ｖの常時監視データの有無を確認する（ステップＳＴ９０９）。機器Ｖの常時監視データがある場合はステップＳＴ９１０に進み、無い場合はステップＳＴ９１１に進む。

機器Ｖの常時監視データがあることを確認した検知手段選択部１４は、＃４「常時監視データの分析」を実施可能と判定し、実施検知手段１０５として選択する（ステップＳＴ９１０）。

（＃５「連携関係のある機器の分析」）
検知手段選択部１４は、対応する状況８３ｂより、機器Ｖと連携関係のある機器の有無を確認する（ステップＳＴ９１１）。連携関係のある機器がある場合はステップＳＴ９１２に進み、無い場合は検知手段選択処理を終了する。

機器Ｖと連携関係のある機器Ｘがあることを確認した検知手段選択部１４は、＃５「連携関係のある機器の分析」を実施可能と判定し、実施検知手段１０５として選択して（ステップＳＴ９１２）、検知手段選択処理を終了する。

上述したように、検知手段選択処理により選択された検知手段は、実施検知手段１０５として検知手段実施部１５に出力される。検知手段実施部１５は、実施検知手段１０５に含まれている検知手段を順次実施する。また、＃１から＃５の検知手段について、過去の一定の期間において攻撃または異常を検知していたかを確認する。具体的には、アラートデータ１０２に含まれる「侵入を検知した時刻」（以下、検知時刻ＤＴ）を基準とし、検知時刻ＤＴから予め定められた遡り時間ΔＴだけ遡るまでの期間（ＤＴ－ΔＴ～ＤＴ）において攻撃または異常を検知していたかを確認する。これは、既にある検知結果１０６を参照してもよい。なお、＃３「アクティブ検査」においては、ＤＴ－ΔＴ～ＤＴの期間の間にアクティブ検査を実施し、かつ、異常を検知しているかを確認する。なお、遡り時間ΔＴは特に限られるものではないが、例えば１０分とすればよい。遡り時間ΔＴは検知パラメータ１０２３の１つとして検知手段実施部１５に入力される。検知手段実施部１５は、検知時刻ＤＴおよび遡り時間ΔＴを実施命令１０１２に含めて連携セキュリティ装置９１に送信する。連携セキュリティ装置９１は、ＤＴ－ΔＴ～ＤＴの期間におけるログ等を検索、分析するなどして、機器Ｖに対する攻撃または機器Ｖに発生している異常の有無を確認し実施結果１０１３として検知手段実施部１５に返す。

また、将来の一定の期間について、予め定められた刻み時間で継続的に検知手段を実施してもよい。検知手段が＃１、＃２、または＃４である（連携セキュリティ装置９１がログ分析装置である）場合、「ＤＴ～ＤＴ＋ΔＴ２」、「ＤＴ＋ΔＴ２～ＤＴ＋２×ΔＴ２」・・・というように、刻み時間ΔＴ２過ぎるまでの時間を指定し、各刻み時間経過の都度、実施命令１０１２を連携セキュリティ装置９１に送信して分析等を実施させる。検知手段が＃３の「アクティブ検査」である場合、ＤＴ、ＤＴ＋ΔＴ２、ＤＴ＋２×ΔＴ２・・・のように、刻み時間ΔＴ２おきに実施命令１０１２をセキュリティ検査装置に送信し、アクティブ検査を実施させる。なお、刻み時間ΔＴ２は特に限られるものではないが、例えば５分とすればよい。刻み時間ΔＴ２は検知パラメータ１０２３の１つとして検知手段実施部１５に入力され、予めスケジューリングを設定することにより、将来の一定の期間において継続的に検知手段が実施される。
上記のように、将来の一定の期間についても検知手段を実施する場合、仮に検知時刻ＤＴにおいて見過ごした攻撃または異常がある場合でも、次回以降の検知手段の実施により攻撃または異常を検知し、サイバー攻撃の検知をより確実に行うことができる

検知手段実施部１５は、実施する検知手段に対応する連携セキュリティ装置情報８３ｃを参照し、種々の連携セキュリティ装置９１のうち、いずれの連携セキュリティ装置９１と連携するかを決定する。
以下、各検知手段の実施処理について説明する。

（＃１「機器のログの分析」）
上述したように、＃１「機器のログの分析」における連携セキュリティ装置９１であるログ分析装置には、処理の状態を記録したログおよび認証エラー等のセキュリティのログ等が保存されている。検知手段実施部１５は、ログ分析装置に対して実施命令１０１２を送信し、上記のログを分析させる。実施命令１０１２は、機器Ｖの識別子、検索期間（「ＤＴ～ＤＴ＋ΔＴ」など）、機器Ｖ上での認証エラー等を検索するための検索式などを含んでいる。ログ分析装置は、実施命令１０１２によってログの分析を行った結果を実施結果１０１３として検知手段実施部１５に返す。実施結果１０１３には、機器Ｖに対する攻撃または機器Ｖに発生している異常が検知されたか否かを示す情報が含まれる。
このように、＃１「機器のログの分析」により、機器Ｖのログに痕跡が残る攻撃または異常を検知することができる。

（＃２「接続されているスイッチのログの分析」）
上述したように、＃２「接続されているスイッチのログの分析」における連携セキュリティ装置９１であるログ分析装置は、機器Ｖの通信先、通信量および通信頻度等の機器Ｖの通信状況に関する情報を含む通信ログが保存されている。検知手段実施部１５は、ログ分析装置に対して実施命令１０１２を送信し、上記の通信ログを分析させる。実施命令１０１２は、機器Ｖの識別子、検索期間（「ＤＴ～ＤＴ＋ΔＴ」など）、機器Ｖが行った異常な通信を検索するための検索式などを含んでいる。なお、異常な通信とは、例えば、機器Ｖに対するポートスキャンまたはＤｏＳ攻撃等がある。すなわち、短期間に複数のサービス（ポート）に接続を試みる通信または大量のパケットを送りつける通信である。ログ分析装置は、実施命令１０１２によって通信ログの分析を行った結果を実施結果１０１３として検知手段実施部１５に返す。実施結果１０１３は、機器Ｖに対する攻撃または機器Ｖに発生している異常が検知されたか否かを示す情報を含んでいる。
このように、検知手段「接続されているスイッチのログの分析」により、機器Ｖに接続されているネットワークスイッチのログに痕跡が残る攻撃または異常を検知することができる。

（＃３「アクティブ検査」）
上述したように、＃３「アクティブ検査」における連携セキュリティ装置９１であるセキュリティ検査装置は、機器Ｖに対してネットワーク経由でアクティブ検査を実施するセキュリティ検査ツールを備えている。「アクティブ検査」には様々な方法があるが、検査パケットを用いる方法では、検査パケットを機器Ｖの特定のポートに送信することにより、ＴＣＰポートまたはＵＤＰポートなどのうち、本来は開いていないはずのポートが開いている、あるいは本来開いているはずのポートが開いていないことなどを、検査パケットに対する応答をみることで確認する。例えば、本来なら開いているはずのＴＣＰポートに対して検査パケットを送ることで接続を試みたが応答が無い場合、攻撃によって発生した異常によりＴＣＰポートが応答しなくなったと判断する。また、リモートログインによる方法では、機器Ｖにリモートログインして起動プロセスを確認し、本来起動しないはずのプロセスが起動しているかなどを確認する。検知手段実施部１５は、セキュリティ検査装置に対して実施命令１０１２を送信し、上記のアクティブ検査を実施させる。実施命令１０１２は、機器Ｖの識別子、状況８３ｂに示された検査種別（検査パケットまたはリモートログイン等）、検査可能な時間帯などの、検査の制限に関する情報を含んでいる。セキュリティ検査装置は、実施命令１０１２によって実施したアクティブ検査の結果を実施結果１０１３として検知手段実施部１５に返す。実施結果１０１３は、機器Ｖに対する攻撃または機器Ｖに発生している異常が検知されたか否かを示す情報を含んでいる。
このように、検知手段「アクティブ検査」により、ネットワーク経由型のセキュリティ検査ツールを用いた能動的な検査により攻撃または異常を検知し、攻撃の検知することができる。

（＃４「常時監視データの分析」）
上述したように、＃４「常時監視データの分析」における連携セキュリティ装置９１であるログ分析装置には、機器Ｖのプロセッサ７１およびメモリ７２などのリソース消費量、または特定のエラーの発生が定期的に記録された常時監視データがログとして保存されている。検知手段実施部１５は、ログ分析装置に対して実施命令１０１２を送信し、上記の常時監視データを分析させる。実施命令１０１２は、機器Ｖの識別子、検索期間（「ＤＴ～ＤＴ＋ΔＴ」など）、リソース消費量の異常値などを検索するための検索式などを含んでいる。ログ分析装置は、実施命令１０１２によって常時監視データ検索を行った結果を実施結果１０１３として検知手段実施部１５に返す。実施結果１０１３は、機器Ｖに対する攻撃または機器Ｖに発生している異常が検知されたか否かを示す情報を含んでいる。機器Ｖが攻撃されてそのリソースが影響を受けると、プロセッサ等のリソースの消費量が異常な値を示す場合がある。実施命令１０１２中の検索式は、所定値のベースラインを上回るリソース消費量を抽出する検索式となっており、検索式を実行することで異常の有無の判定と異常値の抽出が行われる。なお、常時監視データを蓄積する段階で正常／異常の判定を定期的に行い、その結果も合わせて保存してもよく、この場合は異常と判定されたデータを検索すればよい。また、常時監視データとして特定のエラーの発生を記録している場合は、この特定のエラーの発生を示すデータを検索する検索式が用いられる。リソース消費における異常な値および特定のエラーの発生は、機器Ｖの異常を示し、機器Ｖが攻撃を受けていることを示す情報となる。
このように、検知手段「常時監視データの分析」により、機器Ｖのリソース消費に異常を発生させる攻撃および異常、および特定のエラーを発生させる攻撃および異常を検知することができる。

（＃５「連携関係のある機器の分析」）
＃５「連携関係のある機器の分析」について、図６および図７に基づいて説明する。図６は、＃５「連携関係のある機器の分析」を示す機能構成図であり、関連部分を図１から切り出した部分図である。また、図７は、＃５「連携関係のある機器の分析」の処理の流れを示すフロー図である。＃５「連携関係のある機器の分析」を実施する場合、検知手段実施部１５は対応する状況８３ｂを参照して機器Ｘの識別情報１０３１を取得し（ステップＳＴ５０１）、構成管理ＤＢ参照部１３に送る。構成管理ＤＢ参照部１３は、機器Ｘの識別情報１０３１を検索キー５０１１ａとして構成管理ＤＢ１０１１を参照し、検索結果５０１１ｂから、機器Ｘに対する攻撃および機器Ｘに発生している異常を検知するための検知手段リスト５０４を得る（ステップＳＴ５０２）。検知手段選択部１４は、機器Ｖの場合の検知手段選択処理と同様にして、機器Ｘに対して実施する検知手段を検知手段リスト５０４から選択し（ステップＳＴ５０３）、実施検知手段５０５として出力する。検知手段実施部１５は、機器Ｘに対して実施検知手段５０５を実施し（ステップＳＴ５０４）、機器Ｘについての検知結果５０６を得る。

機器Ｘについての検知結果５０６を得た検知手段実施部１５は、機器Ｘについての検知結果５０６を機器Ｖについての検知結果１０６に含め、機器Ｖにおける攻撃または異常を検知する（ステップＳＴ５０５）。機器Ｘに対する攻撃または機器Ｘに発生している異常が検知された場合、これらの攻撃または異常は、機器Ｖへの攻撃または機器Ｖに発生している異常が波及した結果であるとみなし、機器Ｖへの攻撃または機器Ｖに発生している異常が検知されたとする。検知手段実施部１５は、他の検知手段の結果と検知結果５０６を合わせ、検知結果１０６としてサイバー攻撃判定部１６に出力する。

なお、機器Ｘと連携関係がある機器が機器Ｖ以外にもある場合、機器Ｘの分析において＃５「連携関係のある機器の分析」が実施され、さらに別の機器に対しても分析が行われる可能性がある。機器Ｖに対する攻撃および機器Ｖに発生している異常の検知を行うために、互いに連携関係がある機器をどの範囲まで分析するかについては、検知パラメータ１０２３で定めればよい。例えば、「機器Ｖと直接連携関係がある機器のみを分析対象とする」とすればよい。

実施の形態１によれば、攻撃および異常を検知する検知手段を適時適切に選択し実施して、サイバー攻撃の検知を迅速に行うことができる。より具体的には、各検知手段の実施可能性に関する情報である検知手段実施可能性情報を各検知手段と紐付けて検知手段リストを構成し、各機器についての検知手段リストを保存する構成管理ＤＢと、検知手段実施可能性情報を参照して、検知手段リストから実施可能な検知手段を選択する検知手段選択部を備えた。これにより、実施可能な検知手段の選択に時間と手間をかける必要が無くなったので、検知手段を適時適切に選択し実施して、サイバー攻撃の検知を迅速に行うことができる。このことは、必要時にサイバー攻撃の分析および対応をより迅速に実施することを可能としている。

また、サイバー攻撃の検知の実施が検知対象の機器の運用に影響を与えることを抑制することができる。より具体的には、上記した検知手段実施可能性情報は、例えば実施可能な時間帯など、各検知手段の実施における制約を含んでいる。各検知手段は、検知手段実施可能性情報に含まれる制約に従って実施されるため、サイバー攻撃の検知の実施が検知対象の機器の運用に影響を与えることが抑制される。

また、攻撃および異常を検知する検知手段を直接実施することに制約がある機器があっても、サイバー攻撃の検知を効果的に行うことができる。より具体的には、次の攻撃対象と予測される機器について、当該機器に対する攻撃および当該機器に発生している異常を検知するための検知手段を実施して検知結果を得る際に、当該機器と連携関係にある機器に対して検知手段を実施し、その結果を当該機器における検知結果に含める構成とした。当該機器と連携関係にある機器に対する攻撃または当該機器と連携関係にある機器に発生している異常が検知された場合は、当該機器における攻撃または異常が波及した結果であるとして、当該機器における攻撃または異常が間接的に検知されたとし、当該機器がサイバー攻撃を受けているか否かの判定において考慮される。これにより、攻撃および異常を検知する検知手段を直接実施することについて当該機器に制約があっても、当該機器に対するサイバー攻撃の検知を効果的に行うことができる。

実施の形態２．
以下に、実施の形態２を図８に基づいて説明する。なお、図１から図７と同一又は相当部分については同一の符号を付し、その説明を省略する。図８は、実施の形態２に係る構成管理データベースが保持する情報の例を示す図であり、機器Ｖのエントリである。エントリ８１は、各機器の構成および状態を示すインベントリ８２と、各機器に対する攻撃または異常の検知に関する情報である検知関連情報８３１を含む。インベントリ８２については実施の形態１と同様である。

検知関連情報８３１は、機器Ｖへのサイバー攻撃を検知するための検知手段に関する情報であり、実施の形態１の検知関連情報８３に対応している。検知関連情報８３１は、検知手段項目８３１ａ、状況８３１ｂおよび連携セキュリティ装置情報８３１ｃに加え、優先順位情報８３１ｄを有している。優先順位情報８３１ｄは、対応する検知手段を実施する順序を示す。実施の形態１では、実施可能と判定された検知手段を全て実施し、全ての検知手段を実施した後に検知結果１０６をサイバー攻撃判定部１６に出力していた。これに対し、実施の形態２では、１つの検知手段の実施が完了すると、その検知手段による検知結果１０６が検知手段実施部１５からサイバー攻撃判定部１６に出力され、サイバー攻撃を受けているかの否か判定が行われる。すなわち、１つの検知手段の実施が完了する都度、サイバー攻撃判定部１６によりサイバー攻撃を受けているか否かの判定が行われる。サイバー攻撃を受けているとの判定結果１０７が出ない場合は次の検知手段を実施し、サイバー攻撃を受けているとの判定結果１０７が出た場合はその時点で検知手段の実施を終了する。以下、図８の例に基づき、具体的に説明する。なお、図８に示す各実施手段は全て実施可能であるとする。このため、実施検知手段１０５は、＃１から＃５までの全ての検知手段に関する情報を含むとする。

検知手段実施部１５は、優先順位情報８３１ｄが示す順序（図８に示す例の場合、＃２、＃４、＃１、＃３、＃５の順）に従って検知手段を実施していき、１つの検知手段の完了の都度、検知結果１０６としてサイバー攻撃判定部１６に出力する。この検知結果１０６において機器Ｖに対する攻撃および機器Ｖに発生している異常が検知されていた場合、サイバー攻撃判定部１６は、攻撃または異常が検知された検知手段の数であるｍを１増やす。また、ｍが閾値ｔｈを超えた場合、サイバー攻撃判定部１６はその時点で「機器Ｖがサイバー攻撃を受けている」と判定し、判定結果１０７を出力するとともに、判定が終了した旨を知らせる判定終了信号（図示なし）を検知手段実施部１５に送信する。判定終了信号を受信した検知手段実施部１５は、未完了の検知手段が残されていても実施検知手段１０５の実施を終了する。なお、サイバー攻撃判定部１６における判定方法として別の方法を用いた場合も同様であり、サイバー攻撃判定部１６が判定結果１０７を出力した時点で実施検知手段１０５の実施が終了される。

検知手段の優先順位の設定方法は特に限られるものではなく、例えば「攻撃を検知できる可能性が高い検知手段の優先順位を高くする」ことが考えられる。この場合、より早い段階で「サイバー攻撃を受けている」との判定結果１０７が得られ、判定が早期に完了するため、実施する検知手段の数を少なくすることができ、サイバー攻撃の検知をより効率的に行うことができる。また、「機器の運用へ与える影響が小さい検知手段の優先順位を高くする」ことも考えられる。この場合、検知手段の実施によるシステムへの影響をより小さくすることができる。
その他については実施の形態１と同様であるので、その説明を省略する。

実施の形態２によれば、実施の形態１と同様の効果を得ることができる。
また、より効率よくサイバー攻撃の検知を行うことができる。より具体的には、各検知手段に優先順位をつけ、この優先順位に従って検知手段を実施するとともに、１つの検知手段が完了する都度、サイバー攻撃を受けているか否かの判定を行い、判定結果が出た時点で検知手段の実施を終了する構成とした。このため、実施可能と判定された検知手段を全て実施することは必ずしも必要ではなく、より効率良くサイバー攻撃の検知を行うことができる。

実施の形態３．
以下に、実施の形態３を図９に基づいてについて説明する。図１から図８と同一又は相当部分については同一の符号を付し、その説明を省略する。上述した実施の形態１、２では、次の攻撃対象と予測される機器が現在の攻撃対象と同じ機器Ｖであるとしていた。これとは異なり、実施の形態３では、次の攻撃対象と予測される機器が現在の攻撃対象とは異なる機器であるとする。図９は、実施の形態３におけるサイバー攻撃検知装置を示す機能構成図である。サイバー攻撃検知装置３０において、次攻撃対象予測部３２は、アラートデータ１０２が入力されて、先行攻撃情報であるアラートデータ１０２に含まれる情報と構成管理ＤＢに保存されている情報を照合して、次に攻撃される機器を予測する。このため、実施の形態３においては、アラートデータ１０２と照合可能な情報（以下、照合可能情報）が構成管理ＤＢ３０１１に保存されている。照合可能情報は、インベントリ８２に含めればよい（図示省略）。必要な照合可能情報は現在の攻撃の攻撃種別により異なるが、各機器のネットワークアドレス（あるいはＩＰアドレスとサブネットマスク）、残存する脆弱性のＣＶＥ番号、各機器で稼働しているサービスおよびこのサービスの稼働ために開く必要があるポートのポート番号などが考えられる。以下、具体的に説明する。

攻撃種別が「ＩＰスキャンで」である場合、次攻撃対象予測部３２は、現在の攻撃対象の機器の識別子から、現在の攻撃対象の機器が属するネットワークを特定し、同じネットワーク上の他の機器を次の攻撃対象と予測する。次に、次攻撃対象予測部３２は、例えばネットワークアドレスなど、現在の攻撃対象の機器が属するネットワークの識別子を検索キー３０１１ａとして構成管理ＤＢ３０１１を参照する。構成管理ＤＢ３０１１は、検索キー３０１１ａのネットワークアドレスと、各機器のインベントリ８２に含まれているネットワークアドレスを照合し、現在攻撃を受けている機器と同じネットワークに属する機器の識別情報を検索結果３０１１ｂとして次攻撃対象予測部３２に返す。

攻撃種別が「特定の脆弱性を狙った攻撃」である場合、次攻撃対象予測部３２は、現在狙われている脆弱性のＣＶＥ番号をアラートデータ１０２から取得し、現在狙われている脆弱性と同じ脆弱性を持つ他の機器を次の攻撃対象と予測する。次に、次攻撃対象予測部３２は、現在狙われている脆弱性のＣＶＥ番号など、狙われている脆弱性を示す情報を検索キー３０１１ａとして構成管理ＤＢ３０１１を参照する。構成管理ＤＢ３０１１は、検索キー３０１１ａのＣＶＥ番号と、各機器のインベントリ８２に含まれているＣＶＥ番号を照合し、現在狙われている脆弱性と同じ脆弱性を持つ機器の識別情報を検索結果３０１１ｂとして返す。

攻撃種別が「特定のポートへの不正アクセス」である場合、次攻撃対象予測部３２は、不正アクセスされているポートのポート番号をアラートデータ１０２から取得し、同じポート番号のポートを開いている機器を次の攻撃対象と予測する。次に、次攻撃対象予測部３２は、不正アクセスされているポートのポート番号を検索キー３０１１ａとして構成管理ＤＢ３０１１を参照する。構成管理ＤＢ３０１１は、検索キー３０１１ａのポート番号と、各機器のインベントリ８２に含まれている、開いているポートのポート番号を照合し、現在不正アクセスされているポートと同じポート番号のポートを開いている機器の識別情報を検索結果３０１１ｂとして返す。なお、特定のポートへのアクセスが「不正アクセス」であるのか否かの判定は、「当該特定のポートに大量のパケットが送信されていないか」「通常では考えられないほどの異常な大きさのデータが送信されていないか」などを基準に考えればよい。また当該特定のポートに接続する際に認証が必要な場合は、「認証エラーが多発していないか」を基準にしてもよい。

次攻撃対象予測部３２は、検索結果３０１１ｂに含まれる各機器の識別情報を次攻撃対象３０３として出力する。次攻撃対象３０３は構成管理ＤＢ参照部１３に入力され、構成管理ＤＢ参照部１３は、次攻撃対象３０３に含まれる機器の識別情報を検索キー１０１１ａとして構成管理ＤＢ１０１１を参照し、検索結果１０１１ｂを得る。以降の動作については実施の形態１と同様であるので、その説明を省略する。なお、次攻撃対象３０３に複数の機器の識別情報が含まれている場合、全ての機器について処理を実施してもよいし、重要度が高いと判定された攻撃についてのみ処理を行ってもよい。
その他については実施の形態１と同様であるので、その説明を省略する。

実施の形態３によれば、実施の形態１と同様の効果を得ることができる。また、より広い範囲で次の攻撃対象を予測し、より効果的にサイバー攻撃を検知することができる。より具体的には、現在攻撃されている攻撃対象のＩＰアドレス、狙われている脆弱性のＣＶＥ番号など、現在行われている攻撃の特徴を示す情報を検索キーとして参照した結果を次の攻撃対象として予測する。この際、構成管理ＤＢは、現在行われている攻撃の特徴を示す情報と各機器の情報を照合した結果を検索結果として返しているため、現在行われている攻撃の特徴に基づいて次の攻撃対象が予測される構成となっている。これにより、現在の攻撃と同様の攻撃が行われる可能性がある他の機器を網羅的に把握し、より広い範囲で次の攻撃対象を予測することができる。このため、より広い範囲で次の攻撃対象を予測し、より効果的にサイバー攻撃を検知することができる。

実施の形態４．
以下に、実施の形態４について説明する。なお、実施の形態４におけるサイバー攻撃検知装置を示す機能構成図等は実施の形態１と同様であるので、図１および図３に基づいて説明を行う。実施の形態４は、実施可能な検知手段のうち、予め定められた特定の検知手段のみを実施するものである。例えば、＃１「機器のログの分析」のみ、または＃３「アクティブ検査」のみとする。実施する検知手段は、選択パラメータ１０２１で指定すればよい。実施する検知手段を複数した場合は、実施の形態２のように、実施する順序を指定してもよい。
その他については実施の形態１と同様であるので、その説明を省略する。

実施の形態４によれば、実施の形態１と同様の効果を得ることができる。
また、実施する検知手段を予め指定するため、運用上の観点から検知手段を制限したい場合などに柔軟に対応することができる。

なお、上記したそれぞれの実施の形態では、「攻撃対象」がシステムを構成する機器であることを前提としていたが、これに限られるものではなく、サブシステムまたはネットワークなど、システムを構成する構成要素であり、サイバー攻撃を受ける可能性があるものであれば「攻撃対象」として上記の実施の形態を適用することができる。

本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１０、３０ サイバー攻撃検知装置、１１ アラート受信部、１２、３２ 次攻撃対象予測部、１３ 構成管理ＤＢ参照部、１４ 検知手段選択部、１５ 検知手段実施部、１６ サイバー攻撃判定部、１７ 結果出力部、１０１ 検知アラート、１０２ アラートデータ、１０３、３０３ 次攻撃対象、１０４、５０４ 検知手段リスト、１０５、５０５ 実施検知手段、１０６、５０６ 検知結果、１０７ 判定結果、１０１１、３０１１ 構成管理ＤＢ、１０１１ａ、３０１１ａ、５０１１ａ 検索キー、１０１１ｂ、３０１１ｂ、５０１１ｂ 検索結果、 １０２１ 選択パラメータ、１０２２ 判定パラメータ、１０２３ 検知パラメータ、８１ エントリ、８２ インベントリ、８３、８３１ 検知関連情報、８３ａ、８３１ａ 検知手段項目、８３ｂ、８３１ｂ 状況、８３ｃ、８３１ｃ 連携セキュリティ装置情報、８３１ｄ 優先順位情報、９１ 連携セキュリティ装置

Claims (9)

1. システムを構成するそれぞれの構成要素について、前記構成要素に対する攻撃および前記構成要素に発生している異常を検知する検知手段を実施し、前記検知手段を実施した結果に基づいてサイバー攻撃の検知を行うサイバー攻撃検知装置であって、
   前記それぞれの構成要素に対する前記検知手段の実施可能性を示す情報である検知手段実施可能性情報を前記それぞれの構成要素および前記検知手段と紐付けて構成した検知手段リストを保存する構成管理データベースと、
   前記構成要素に対して行われている攻撃に関する情報である先行攻撃情報を含む検知アラートを受信し、前記先行攻撃情報を前記検知アラートから取得する先行攻撃情報取得部と、
   前記先行攻撃情報に基づいて次の攻撃対象を予測し、予測した前記次の攻撃対象の識別情報を次攻撃対象情報として出力する次攻撃対象予測部と、
   前記次攻撃対象情報を検索キーとして前記構成管理データベースを参照し、前記次の攻撃対象と予測された前記構成要素についての前記検知手段リストを取得する検知手段リスト取得部と、
   予め定められた検知手段選択条件と、前記次の攻撃対象と予測された前記構成要素に紐付けられた前記検知手段実施可能性情報とに基づいて、前記次の攻撃対象と予測された前記構成要素に対して実施可能な前記検知手段を前記検知手段リストから選択する検知手段選択部と、
   前記検知手段選択部によって選択された前記検知手段を実施し、得られた検知結果を出力する検知手段実施部と、
   前記検知結果および予め定められた判定条件に基づいて、サイバー攻撃を受けているか否かを判定するサイバー攻撃判定部とを備えたことを特徴とするサイバー攻撃検知装置。
2. 前記次の攻撃対象と予測された前記構成要素と連携関係がある構成要素がある場合に、前記連携関係がある構成要素に対して前記検知手段を実施して得た結果を前記検知結果に含める請求項１に記載のサイバー攻撃検知装置。
3. 前記構成管理データベースは、それぞれの前記構成要素の情報として、前記先行攻撃情報と照合可能な情報を保存し、前記次攻撃対象予測部は、前記先行攻撃情報と前記照合可能な情報とを照合することにより前記次の攻撃対象を予測する請求項１または２に記載のサイバー攻撃検知装置。
4. 前記検知手段リストは、前記検知手段の優先順位を示す優先順位情報を有し、前記検知手段実施部が前記優先順位にしたがって前記検知手段を実施するとともに、１つの前記検知手段の実施が完了する都度、前記サイバー攻撃判定部による前記判定を行い、前記判定の結果が出た時点で前記検知手段の実施を終了させる請求項１から３のいずれか１項に記載のサイバー攻撃検知装置。
5. 前記検知手段選択条件は、予め定められた特定の前記検知手段を指定し、前記検知手段実施部は、前記特定の検知手段のみ実施する請求項１から４のいずれか１項に記載のサイバー攻撃検知装置。
6. 前記検知手段は、それぞれに重みが予め設定され、前記サイバー攻撃判定部は、前記構成要素に対する攻撃または前記構成要素に発生している異常を検知した前記検知手段の前記重みが前記判定条件により定められた閾値を上回った場合に、サイバー攻撃を受けていると判定する請求項１から５のいずれか１項に記載のサイバー攻撃検知装置。
7. 前記サイバー攻撃判定部は、前記構成要素に対する攻撃または前記構成要素に発生している異常を検知した前記検知手段の数が前記判定条件により定められた閾値を上回った場合に、サイバー攻撃を受けていると判定する請求項１から５のいずれか１項に記載のサイバー攻撃検知装置。
8. 前記検知手段実施部は、予め定められた刻み時間で前記検知手段を継続的に実施する請求項１から７のいずれか１項に記載のサイバー攻撃検知装置。
9. 前記検知手段実施部は、前記構成要素に対する攻撃または前記構成要素に発生している異常を、前記先行攻撃情報に含まれる検知時刻から予め定められた遡り時間だけ遡った時刻と前記検知時刻との間の期間において検知していたかを確認する請求項１から８のいずれか１項に記載のサイバー攻撃検知装置。

Images