JP7207536B2 - ルール生成装置、ルール生成方法、及びプログラム - Google Patents

Description

本発明は、セキュリティ業務に用いるルールを生成する、ルール生成装置、ルール生成方法に関し、更には、これらを実現するためのプログラムに関する。

サイバー攻撃による脅威へのセキュリティ対策として、ＳＯＣ（Security Operation Center）、ＣＳＩＲＴ（Computer Security Incident Response Team）などの必要性が高まっている。ところが、ＳＯＣ、ＣＳＩＲＴなどでは、分析官の経験、知識に基づいて、セキュリティ業務が行われているため、分析官の経験、知識が、セキュリティ業務の精度に影響を与える。

そこで、セキュリティ業務を支援する提案がされている。特許文献１によれば、互いに類似するサイバー攻撃の情報を、運用者、分析官に分かり易く提示することで、セキュリティ業務を支援する技術が開示されている。その技術によれば、監視対象の情報処理システム内におけるマルウェアの検出に応じて、マルウェアの情報を含むサイバー攻撃イベントの情報が登録されると、過去のサイバー攻撃イベントに関する情報を記憶した記憶部を参照して、登録されたサイバー攻撃イベントと所定の類似関係を有する他のサイバー攻撃イベントの検索を実行する。

特開２０１８－０３２３５４号公報

しかしながら、特許文献１に開示の技術を用いても、なお分析官の経験、知識に基づく部分が多いため、セキュリティ業務の精度を向上させることは困難である。また、運用者、分析官が、すべてのアラートをチェックすることは困難である。

そこで、セキュリティ業務を支援するエキスパートシステムを用いることで、セキュリティ業務の精度を向上させる提案がされている。ところが、現状ではエキスパートシステムで使用するルールは、エキスパートシステムを保守、管理する運用者（技術者、管理者）が手動で作成しているため、実用的なルールを生成することは困難である。

一つの側面として、セキュリティ業務に用いるルールを生成する、ルール生成装置、ルール生成方法、及びプログラムを提供することを目的とする。

上記目的を達成するため、一つの側面におけるルール生成装置は、
攻撃対象のシステムを模擬した模擬システムから、前記模擬システムに構築された環境を表す環境情報と、前記模擬システムに記録された履歴情報と、前記模擬システムに対して実行された攻撃の有無及び成功失敗を表す攻撃情報とを収集する、収集部と、
前記攻撃情報を用いて前記環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出し、前記攻撃成功時の環境情報をすべて含む前記攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求め、前記差分に攻撃に失敗したことを表す除外情報を付し、前記除外情報を付した差分を前記攻撃成功時の環境情報に追加して、攻撃成功条件を生成する、攻撃成功条件生成部と、
同じ前記攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた前記攻撃成功時の前記差分に共通する攻撃成功時共通履歴情報、及び、同じ前記攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を求め、求めた前記攻撃失敗時の前記差分に共通する攻撃失敗時共通履歴情報を抽出し、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報と用いて、攻撃時履歴情報を生成する、攻撃時履歴生成部と、
前記攻撃成功条件と前記履歴情報とを用いてルールを生成する、ルール生成部と、
を有することを特徴とする。

また、上記目的を達成するため、一側面におけるルール生成方法は、
攻撃対象のシステムを模擬した模擬システムから、前記模擬システムに構築された環境を表す環境情報と、前記模擬システムに記録された履歴情報と、前記模擬システムに対して実行された攻撃の有無及び成功失敗を表す攻撃情報とを収集する、収集ステップと、
前記攻撃情報を用いて前記環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出し、前記攻撃成功時の環境情報をすべて含む前記攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求め、前記差分に攻撃に失敗したことを表す除外情報を付し、前記除外情報を付した差分を前記攻撃成功時の環境情報に追加して、攻撃成功条件を生成する、攻撃成功条件生成ステップと、
同じ前記攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた前記攻撃成功時の前記差分に共通する攻撃成功時共通履歴情報、及び、同じ前記攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を求め、求めた前記攻撃失敗時の前記差分に共通する攻撃失敗時共通履歴情報を抽出し、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報と用いて、攻撃時履歴情報を生成する、攻撃時履歴生成ステップと、
前記攻撃成功条件と前記履歴情報とを用いてルールを生成する、ルール生成ステップと、
を有することを特徴とする方法。

さらに、上記目的を達成するため、一側面におけるプログラムは、
コンピュータに、
攻撃対象のシステムを模擬した模擬システムから、前記模擬システムに構築された環境を表す環境情報と、前記模擬システムに記録された履歴情報と、前記模擬システムに対して実行された攻撃の有無及び成功失敗を表す攻撃情報とを収集する、収集ステップと、
前記攻撃情報を用いて前記環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出し、前記攻撃成功時の環境情報をすべて含む前記攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求め、前記差分に攻撃に失敗したことを表す除外情報を付し、前記除外情報を付した差分を前記攻撃成功時の環境情報に追加して、攻撃成功条件を生成する、攻撃成功条件生成ステップと、
同じ前記攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた前記攻撃成功時の前記差分に共通する攻撃成功時共通履歴情報、及び、同じ前記攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を求め、求めた前記攻撃失敗時の前記差分に共通する攻撃失敗時共通履歴情報を抽出し、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報と用いて、攻撃時履歴情報を生成する、攻撃時履歴生成ステップと、
前記攻撃成功条件と前記履歴情報とを用いてルールを生成する、ルール生成ステップと、
を実行させることを特徴とする。

一つの側面として、セキュリティ業務に用いるルールを生成することができる。

図１は、ルール生成装置の一例を示す図である。 図２は、ルール生成装置を有するシステムの一例を示す図である。 図３は、環境情報のデータ構造の一例を示す図である。 図４は、攻撃成功情報のデータ構造の一例を示す図である。 図５は、二分決定グラフの一例を示す図である。 図６は、変形例１のシステムの一例を示す図である。 図７は、ルール生成装置の動作の一例を示す図である。 図８は、ルール生成装置の一例を示す図である。 図９は、ルールの生成を説明するための図である。 図１０は、攻撃時履歴情報の生成を説明するための図である。 図１１は、ルール生成装置を有するシステムの一例を示す図である。 図１２は、ルール生成装置の動作の一例を示す図である。 図１３は、ルール生成装置、分析支援装置を実現するコンピュータの一例を示す図である。

以下、図面を参照して実施形態について説明する。なお、以下で説明する図面において、同一の機能又は対応する機能を有する要素には同一の符号を付し、その繰り返しの説明は省略することもある。

（実施形態１）
最初に、図１を用いて、実施形態１におけるルール生成装置１の構成について説明する。図１は、ルール生成装置の一例を示す図である。

実施形態１においては、攻撃シナリオを用いて模擬システムに攻撃を実行し、攻撃が実行された模擬システムから環境情報と履歴情報と攻撃情報とを収集し、収集したこれらの情報に基づいて、攻撃の分析（セキュリティ業務）に用いるルールを自動で生成する。すなわち、実施形態１においては、ドメイン知識を十分にカバーした実用的なルールを自動生成する。

攻撃シナリオとは、攻撃の始点となる機器から、攻撃の目標となる機器に対して攻撃を実行するために用いる攻撃手順を表す情報である。

模擬システムは、攻撃を再現するための環境を構築したシステムである。模擬システムは、攻撃の標的となる組織の被害環境を模擬したシステムである。また、模擬システムは、例えば、被害環境を模擬したシステムと、攻撃の標的となる組織へ攻撃をするための攻撃環境を模擬したシステムとを有してもよい。さらに、模擬システムは、攻撃を再現するための環境を仮想環境に実現してもよい。

なお、模擬システムを用いる理由は、稼働中の実システムに攻撃ができないため、模擬システムに攻撃を実行する。

環境（被害環境、又は攻撃環境、又は両方）を構成する要素は、例えば、コンピュータ（サーバ、端末）、０Ｓ（Operating System）、ソフトウェア、ネットワーク、通信、設定などである。

［装置構成］
図１に示すルール生成装置１は、セキュリティ業務に用いるルールを生成する装置である。また、図１に示すように、ルール生成装置１は、収集部２と、生成部３とを有する。

このうち、収集部２は、攻撃が実行された模擬システムの環境情報と履歴情報と攻撃情報とを収集する。生成部３は、模擬システムに対する攻撃を分析するために用いるルールを生成する。

環境情報は、模擬システムに構築された環境を表す情報である。履歴情報は、模擬システムで用いられた情報などである。攻撃情報は、模擬システムに対して実行した攻撃に関する情報である。

実施形態１においては、攻撃シナリオを用いて模擬システムに攻撃を実行し、攻撃が実行された模擬システムから環境情報と履歴情報と攻撃情報とを収集し、収集したこれらの情報に基づいて、攻撃の分析（セキュリティ業務）に用いるルールが生成できる。すなわち、実施形態１においては、ドメイン知識を十分にカバーした実用的なルールを自動生成することができる。

なお、攻撃シナリオとは、攻撃の始点となる機器から、攻撃の目標となる機器に対して攻撃を実行するために用いる攻撃手順を表す情報である。

［システム構成］
続いて、図２を用いて、実施形態１におけるルール生成装置１の構成をより具体的に説明する。図２は、ルール生成装置を有するシステムの一例を示す図である。

図２に示すように、実施形態１におけるルール生成装置１は、収集部２、生成部３に加えて、分析部４、出力情報生成部５を有する。また、図２に示すように、ルール生成装置１を有するシステムは、攻撃実行環境部２０、構築部２１、攻撃部２２、出力装置２３、実システム２４を有する。

なお、図２に示すシステムにおいて、ルール生成装置１、攻撃実行環境部２０、構築部２１、攻撃部２２それぞれを別々の装置としたが、これらのうち二つ以上を組み合わせて同じ装置としてもよい。

また、生成部３は、図２に示すように、攻撃成功ルール生成部３ａ、攻撃失敗ルール（攻撃対策ルール）生成部３ｂ、攻撃時観測ルール生成部３ｃ、攻撃成功時観測ルール生成部３ｄ、攻撃失敗時観測ルール生成部３ｅ、攻撃成功時結果ルール生成部３ｆを有する。

攻撃実行環境部２０は、模擬システム２０ａを構築するために用いられる装置である。具体的には、攻撃実行環境部２０は、一つ以上の物理サーバコンピュータなどの情報処理装置から構成される。

模擬システム２０ａは、例えば、フィジカルレイヤ、エミュレーションレイヤ、シミュレーションレイヤ、スタブレイヤなどから構築されるシステムが考えられる。また、レイヤそれぞれには、ＯＳ、ソフトウェア、ハードウェア、ネットワーク、仮想マシンなどが構築される。

構築部２１は、模擬システム２０ａを攻撃実行環境部２０に構築する。具体的には、構築部２１は、環境を変更することにより、種類の異なる模擬システム２０ａを、攻撃実行環境部２０に構築する。このように、構築部２１を用いることにより、想定可能な仮想環境を網羅的に再現できる。

攻撃部２２は、攻撃シナリオに基づいて、模擬システム２０ａに対して攻撃を実行する。具体的には、攻撃部２２は、複数の異なる攻撃シナリオを用いて、模擬システム２０ａの一部又は全体を対象として、攻撃を実行する。このように、攻撃部２２は、攻撃シナリオを変更して、模擬システム２０ａに対して、想定される様々な攻撃を試行できるので、想定される攻撃を網羅できる。

出力装置２３は、出力情報生成部５により、出力可能な形式に変換された、出力情報を取得し、その出力情報に基づいて、生成した画像及び音声などを出力する。出力装置２３は、例えば、液晶、有機ＥＬ（Electro Luminescence）、ＣＲＴ（Cathode Ray Tube）を用いた画像表示装置などである。更に、画像表示装置は、スピーカなどの音声出力装置などを備えていてもよい。なお、出力装置２３は、プリンタなどの印刷装置でもよい。出力情報の詳細は後述する。

ルール生成装置について具体的に説明する。
収集部２は、攻撃シナリオに基づいて攻撃された、攻撃実行環境部２０に構築された模擬システム２０ａなどから情報を収集し、不図示の記憶部に記憶する。

具体的には、収集部２は、攻撃無しの状態において、環境ごとに、環境情報と履歴情報とを収集する。また、収集部２は、攻撃有の状態において、環境ごとに、環境情報と履歴情報と攻撃情報とを収集する。そして、収集部２は、収集したこれらの情報を収集情報として記憶部に記憶する。

記憶部は、例えば、ルール生成装置１に設けられてもよいし、ルール生成装置１以外に設けてもよい。更に、記憶部は、複数の記憶部を用いて構成されていてもよい。

環境情報は、例えば、模擬システム２０ａに構築される、ネットワーク、ホストコンピュータ、ＯＳ、アプリケーション、ログイン権限などの環境に関する情報である。なお、環境情報には、実システム２４に対する攻撃の可否に影響するその他の要素が含まれてもよい。

履歴情報は、例えば、ログ情報、パケット情報、設定情報、プロセス情報、イベント情報、サービスポート情報、ファイル情報などの模擬システムで用いられた情報である。

また、履歴情報は、例えば、攻撃情報の内容に基づいて、（１）攻撃無しの状態において収集した履歴情報の集合（攻撃無しの履歴集合）と、以下に示す攻撃有りの状態において収集した履歴情報の集合（攻撃有りの履歴集合）とに分類し、記憶部に記憶してもよい。

攻撃有りの履歴集合とは、例えば、（２）攻撃成功実行前履歴集合、（３）攻撃失敗実行前履歴集合、（４）攻撃成功実行中履歴集合、（５）攻撃失敗実行中履歴集合、（６）攻撃成功実行後履歴集合、（７）攻撃失敗実行後履歴集合などである。

（２）攻撃成功実行前履歴集合は、攻撃情報が有する攻撃結果が攻撃の成功を示し、履歴情報が有する日時情報が攻撃開始前の日時を示している場合に、分類される履歴情報の集合である。（３）攻撃失敗実行前履歴集合は、攻撃情報が有する攻撃結果が攻撃の失敗を示し、履歴情報が有する日時情報が攻撃開始前の日時を示している場合に、分類される履歴情報の集合である。

（４）攻撃成功実行中履歴集合は、攻撃情報が有する攻撃結果が攻撃の成功を示し、履歴情報が有する日時情報が攻撃実行中の日時を示している場合に、分類される履歴情報の集合である。（５）攻撃失敗実行中履歴集合は、攻撃情報が有する攻撃結果が攻撃の失敗を示し、履歴情報が有する日時情報が攻撃実行中の日時を示している場合に、分類される履歴情報の集合である。

（６）攻撃成功実行後履歴集合は、攻撃情報が有する攻撃結果が攻撃の成功を示し、履歴情報が有する日時情報が攻撃終了後の日時を示している場合に、分類される履歴情報の集合である。（７）攻撃失敗実行後履歴集合は、攻撃情報が有する攻撃結果が攻撃の失敗を示し、履歴情報が有する日時情報が攻撃終了後の日時を示している場合に、分類される履歴情報の集合である。

分類方法について具体的に説明する。収集部２は、まず、履歴情報に既知の技術であるマスク処理を実行する。マスク処理とは、例えば、履歴情報に含まれる、日時情報、プロセスＩＤ、動的割当ポート番号などを表す情報のうち、実行ごとに変化するような部分に対して行う処理である。

続いて、収集部２は、マスク処理をした履歴情報を、（１）攻撃無しの履歴集合と、攻撃有り履歴集合とに分類する。続いて、生成部３は、履歴情報に含まれる日時情報を参照して、攻撃情報に含まれる攻撃時間、攻撃結果を表す情報に基づいて、履歴情報を、（２）から（７）に示した集合に分類する。

なお、攻撃が成功した場合については、あらかじめ定義した結果（例えば、プログラムの実行、ファイル内容の書き換え、ファイルの読込、削除、運用者権限の取得など）に基づいて、更に分類してもよい。

攻撃情報は、例えば、攻撃種類、攻撃時間、攻撃結果などの情報を有する、模擬システムに対して実行した攻撃に関する情報である。

攻撃種類は、例えば、攻撃の手順、攻撃に利用した脆弱性、モジュールなどを表す情報である。攻撃時間は、例えば、攻撃開始日時、攻撃終了日時などを表す情報である。

攻撃結果は、例えば、攻撃の成功又は失敗を表す情報である。攻撃が成功したか、失敗したかは、あらかじめ定義した結果が実現されたか否かで判断する。あらかじめ定義された結果とは、例えば、プログラムの実行、ファイル内容の書き換え、ファイルの読込、削除、運用者権限の取得などである。

また、攻撃情報に攻撃確率を含めてもよい。その理由は、攻撃は１回の試行で成功しない場合もあるためである。攻撃確率は、攻撃を複数回試行した成功確率とする。例えば、同一環境において攻撃を１０回試行し８回成功した場合、成功確率は０．８となる。

生成部３は、攻撃シナリオを用いて攻撃した模擬システム２０ａに関する環境情報と、履歴情報と、攻撃情報とを用いて、攻撃知識ベースを生成して、記憶部に記憶する。

攻撃知識ベースは、例えば、攻撃を分析するために用いるルールなどである。ルールとは、例えば、（Ａ）攻撃成功ルール、（Ｂ）攻撃失敗ルール、（Ｃ）攻撃時観測ルール、（Ｄ）攻撃成功時観測ルール、（Ｅ）攻撃失敗時観測ルール、（Ｆ）攻撃成功時結果ルールなどのルールである。

具体的には、生成部３は、まず、攻撃シナリオに基づいて攻撃した模擬システム２０ａに関する環境情報と、履歴情報と、攻撃情報とを用いて、攻撃シナリオごとに、成立条件を抽出する。

成立条件は、例えば、（ａ）攻撃成功条件、（ｂ）攻撃可能条件、（ｃ）攻撃失敗条件、（ｄ）攻撃時の痕跡、（ｅ）攻撃成功時の痕跡、（ｆ）攻撃失敗時の痕跡、（ｇ）攻撃成功による環境変化などの条件である。

（ａ）攻撃成功条件とは、例えば、どの攻撃シナリオが成功するのかを表す条件である。（ｂ）攻撃可能条件とは、例えば、攻撃を実行するために最低限必要な環境を表す条件である。（ｃ）攻撃失敗条件とは、例えば、どの攻撃シナリオが失敗するのかを表す条件である。

（ｄ）攻撃時の痕跡とは、例えば、環境ごとに、攻撃シナリオが実行した場合、どのような痕跡が残るかを表す情報である。（ｅ）攻撃成功時の痕跡とは、例えば、環境ごとに、攻撃シナリオが成功した場合、どのような痕跡が残るかを表す情報である。（ｆ）攻撃失敗時の痕跡とは、例えば、環境ごとに、攻撃シナリオが失敗した場合、どのような痕跡が残るかを表す情報である。

（ｇ）攻撃成功による環境変化とは、例えば、環境ごとに、攻撃シナリオが成功した場合、システムに起こる環境の変化を表す情報である。

成立条件の抽出について説明をする。生成部３は、（ａ）攻撃成功条件、及び、（ｃ）攻撃失敗条件を、攻撃成功時と攻撃失敗時の環境情報の差分から抽出する。また、生成部３は、（ｂ）攻撃可能条件を、攻撃成功時と攻撃失敗時の環境情報の共通部から抽出する。

また、生成部３は、（ｄ）攻撃時の痕跡を、攻撃無し時と攻撃成功時、攻撃無し時と攻撃失敗時の履歴情報（例えば、ログ情報、パケット情報など）の差分から抽出する。また、生成部３は、（ｅ）攻撃成功時の痕跡、及び、（ｆ）攻撃失敗時の痕跡を、攻撃成功時と攻撃失敗時の履歴情報の差分から抽出する。

また、生成部３は、（ｇ）攻撃成功による環境変化を、攻撃無し時と攻撃成功時の環境情報の差分から抽出する。

続いて、生成部３は、（Ａ）から（Ｆ）に示したルールを生成する。攻撃成功ルール生成部３ａは、模擬システム２０ａに対して攻撃が成功した場合、（ａ）攻撃成功条件と（ｂ）攻撃可能条件とを用いて、（Ａ）攻撃成功ルールを生成する。

攻撃成功ルール生成部３ａについて、図３を用いて具体的に説明をする。図３は、環境情報のデータ構造の一例を示す図である。図３の例は、環境情報を二値化した例を示している。すなわち、図３の例では、「Login」はログイン権限を表している。「user」は分析官などの利用者権限を表し、「admin」は運用者（技術者、管理者）などの運用者権限を表している。

なお、ホストコンピュータに対する利用者権限「user」を用いて、ログインする場合には「１」とし、ログインしない場合には「０」とする。また、ホストコンピュータに対する運用者権限「admin」を用いて、ログインする場合には「１」とし、ログインしない場合には「０」とする。

また、「wds7」「wds10」は、ホストコンピュータにインストールされるオペレーションシステム「OS」を表している。オペレーションシステム「OS」として「wds7」を用いる場合には「１」とし、「wds7」を用いない場合には「０」とする。オペレーションシステムＯＳとして「wds10」を用いる場合には「１」とし、「wds10」を用いない場合には「０」とする。

また、「ofc10」は、ホストコンピュータにインストールされるアプリケーション「Application」を表している。アプリケーション「Application」として「ofc10」を用いる場合には「１」とする。なお、アプリケーション「Application」として「ofc10」を用いない場合には「０」とする。

また、「KB12345」は、ホストコンピュータにインストールされるセキュリティパッチ「Security Patch」を表している。セキュリティパッチ「Security Patch」として「KB12345」を用いる場合には「１」とし、「KB12345」を用いない場合には「０」とする。

具体的には、攻撃成功ルール生成部３ａは、まず、攻撃部２２が模擬システム２０ａに対して攻撃ｘを試行した場合に、攻撃ｘが成功した環境を抽出する。図４は、攻撃成功情報のデータ構造の一例を示す図である。図４に示す「Attack Succeed」の情報は、模擬システム２０ａの環境に対して、攻撃ｘを試行した場合に、攻撃ｘが成功したか否かを表す。図４の例では、攻撃成功ルール生成部３ａは、攻撃ｘが成功した場合には「１」とし、攻撃ｘが失敗した場合には「０」とする。

続いて、攻撃成功ルール生成部３ａは、図４に示す攻撃成功情報などを用いて、攻撃が成功した環境（「攻撃成功」が「１」の環境）を抽出する。その後、攻撃成功ルール生成部３ａは、その環境に基づいて、攻撃ｘが実行可能な（ｂ）攻撃可能条件と、攻撃ｘが成功する（ａ）攻撃成功条件とを抽出する。

（ｂ）攻撃可能条件については、攻撃が成功したか失敗したかに関わらず、実行できた場合をすべて「１」と表し、攻撃が実行できた環境を抽出する。そうすると、図４の例では、（ｂ）攻撃可能条件として、「wds7」が「１」で、かつ「ofc10」が「１」の環境、及び、「wds10」が「１」で、かつ「ofc10」が「１」の環境が抽出される。

また、図４の例では、（ａ）攻撃成功条件として、「wds7」が「１」で「ofc10」が「１」で「KB12345」が「０」の環境、及び、「wds10」が「１」で「ofc10」が「１」で「KB12345」が「０」の環境が抽出される。

更に、攻撃成功ルール生成部３ａは、図５に示すような二分決定グラフを用いて、（ｂ）攻撃可能条件と（ａ）攻撃成功条件とを抽出してもよい。図５は、二分決定グラフの一例を示す図である。なお、（ａ）攻撃成功条件は、ＺＤＤ（Zero-suppressed Binary Decision Diagram）などの既知のアルゴリズムを用いてもよい。

続いて、攻撃成功ルール生成部３ａは、抽出した（ｂ）攻撃可能条件と（ａ）攻撃成功条件とを用いて、（Ａ）攻撃成功ルールを生成する。例えば、数１に示す（ｂ）攻撃可能条件と（ａ）攻撃成功条件とに対応する論理式を、攻撃成功ルール生成部３ａに入力して、数２に示すような（Ａ）攻撃成功ルールを生成する。なお、数３は攻撃可能ルールを示す。

（数１）
（ｂ）攻撃可能条件の論理式：
(wds7 or wds10) & ofc10 & (Login(user) or Login(admin))
（ａ）攻撃成功条件の論理式：
￢KB12345

（数２）
（Ａ）攻撃成功ルール
AttackSucceed (attacker, _host, _privilege, x) :-
NotSatisfy (_host, software, “KB12345”)
ExecuteAttack (_attacker, _host, _privilege, x)

（数３）
攻撃可能ルール
ExecuteAttack (_attacker, _host, _privilege, x) :-
Satisfy (_host, software, “wds7”)
Satisfy (_host, software, “ofc10”)
LoginSucceed (_attacker, _host、_privilege)

ここで、Satisfy (_host, software, “wds7”)は、_hostにおいて”wds7”というソフトウェアがインストールされているという条件を満たしていることを表している。LoginSucceed (_attacker, _host, _privilege)は、_attackerが_hostに_privilegeの権限でログインできることを表している。NotSatisfyは、Satisfyの否定を表している。ExecuteAttack (_attacker, _host, _privilege, x)は、_attackerが_hostに対して_privilegeの権限で攻撃ｘを行ったことを表している。AttackSucceed (_attacker, _host, _privilege, x)は、_attackerが_hostで_privilegeの権限で行った攻撃ｘが成功することを表している。

攻撃失敗ルール生成部３ｂは、模擬システム２０ａに対して攻撃が失敗した場合、（ｃ）攻撃失敗条件から（Ｂ）攻撃失敗ルールを生成する。

具体的には、攻撃失敗ルール生成部３ｂは、攻撃ｘが、セキュリティパッチ「KB12345」が適用されている環境において、攻撃が失敗する場合、数４に示す（Ｂ）攻撃失敗ルールを生成する。

（数４）
（Ｂ）攻撃失敗ルール
AttackFail (_attacker, _host, _privilege, x) :-
Satisfy (_host, software, KB12345)
ExecuteAttack (_attacker, _privilege, _host, x)

攻撃時観測ルール生成部３ｃは、模擬システム２０ａに対して攻撃が観測された場合、（ｄ）攻撃時の痕跡から（Ｃ）攻撃時観測ルールを生成する。

具体的には、攻撃時観測ルール生成部３ｃは、攻撃ｘを実行した場合、履歴情報としてログ情報「z1」が観測された場合、数５に示す（Ｃ）攻撃時観測ルールを生成する。

（数５）
（Ｃ）攻撃時観測ルール
Observe (_host, log, z1) :-
ExecuteAttack (_attacker, _host, _privilege, x)

攻撃成功時観測ルール生成部３ｄは、模擬システム２０ａに対して攻撃の成功が観測された場合、（ｅ）攻撃成功時の痕跡から（Ｄ）攻撃成功時観測ルールを生成する。

具体的には、攻撃成功時観測ルール生成部３ｄは、ホストコンピュータＡからホストコンピュータＢへの攻撃ｘが成功した場合、ネットワークでホストコンピュータＡからホストコンピュータＢへのパケット情報「z2」が観測された場合、数６に示す（Ｄ）攻撃成功時観測ルールを生成する。

（数６）
（Ｄ）攻撃成功時観測ルール
Observe (_subnetA, _hostA, _hostB, z2) :-
AttackSucceed (_attacker, _hostA, _hostB, x)
BelongTo (_hostA, _subnetA)

Observe (_subnetB, _hostA, _hostB, z2) :-
AttackSucceed (_attacker, _hostA, _hostB, x)
BelongTo (_hostB, _subnetB)

攻撃失敗時観測ルール生成部３ｅは、模擬システム２０ａに対して攻撃の失敗が観測された場合、（ｆ）攻撃失敗時の痕跡から（Ｅ）攻撃失敗時観測ルールを生成する。

具体的には、攻撃失敗時観測ルール生成部３ｅは、攻撃ｘが失敗した場合、履歴情報としてログ情報「z3」が観測された場合、数７に示す（Ｅ）攻撃失敗時観測ルールを生成する。

（数７）
（Ｅ）攻撃失敗時観測ルール
Observe (_host, log, z3) :-
AttackFail (_attacker, _host, _privilege, x)

なお、履歴情報（痕跡）を二値化する場合には、例えば、ホストコンピュータＡからホストコンピュータＢへＴＣＰ（Transmission Control Protocol）を用いて宛先ポート番号へパケットが送信されていれば「１」とし、それ以外は「０」とする。また、例えば、ホストコンピュータＡのイベントログに「ＸＸＸ」というログがあれば「１」とし、そうでなければ「０」とする。

攻撃成功時結果ルール生成部３ｆは、模擬システム２０ａに対して攻撃が成功し、環境に生じた変化を抽出した場合、（ｇ）攻撃成功による環境変化から（Ｆ）攻撃成功時結果ルールを生成する。

具体的には、攻撃成功時結果ルール生成部３ｆは、攻撃ｘが成功した場合、リモートデスクトップサービス（ＴＣＰ:3389）が立ち上がるという環境変化が現れた場合、数８に示す（Ｆ）攻撃成功時結果ルールを生成する。

（数８）
（Ｆ）攻撃成功時結果ルール
Satisfy (_host, service, rdp, tcp, 3389) :-
AttackSucceed (_attacker, _host, _privilege, x)

なお、例えば、環境変化を二値化する場合には、例えば、ホストコンピュータＡにおいて、所定のＴＣＰポートでサービスが立ち上がれば「１」とし、そうでなければ「０」とする。

攻撃の成功確率が判明している場合、その確率をルールの属性情報として付与することもできる。なお、上記のルールは簡略化した一例であり、これに限定されるものではない。

このように、実施形態１においては、攻撃シナリオを用いて模擬システム２０ａに攻撃を実行し、攻撃が実行された模擬システム２０ａに関する環境情報と履歴情報と攻撃情報とを収集し、収集したこれらの情報に基づいて、攻撃の分析（セキュリティ業務）に用いるルールが生成できる。すなわち、実施形態１においては、ドメイン知識を十分にカバーした実用的なルールを自動生成することができる。

分析部４は、対象のシステム（実システム２４）から収集した環境情報と履歴情報と攻撃情報、及び、攻撃成功ルール、又は攻撃失敗ルール、又は攻撃時観測ルール、又は攻撃成功時観測ルール、又は攻撃失敗時観測ルール、又は攻撃成功時結果ルール、又はこれらのうち二つ以上を用いて、攻撃を分析する。

具体的には、分析部４は、実システム２４から、環境情報と履歴情報と攻撃情報とを収集する。また、分析部４は、不図示の記憶部から、攻撃成功ルール、又は攻撃失敗ルール、又は攻撃時観測ルール、又は攻撃成功時観測ルール、又は攻撃失敗時観測ルール、又は攻撃成功時結果ルール、又はこれらのうち二つ以上を収集する。

続いて、分析部４は、収集した情報を用いて、攻撃を分析する。分析とは、例えば、リスク評価、リスク対策、攻撃推定、追跡、緩和対処、監視強化などある。

リスク評価の分析とは、例えば、実システム２４に存在するリスクを評価するための分析である。リスク対策の分析とは、例えば、攻撃に対するリスクを最小化するために効果的な対策を分析することである。攻撃推定（攻撃の分析）とは、例えば、攻撃シナリオを推定するための分析である。

追跡の分析とは、例えば、特定された攻撃から、次に続く攻撃行動を予測し、どこまで攻撃が進行しているか判断する分析である。緩和対処の分析とは、例えば、攻撃がこれ以上進行しないために実施すべき緩和対処を分析することである。すなわち、次に起こりうる攻撃を未然に防止するため、攻撃を成立させる条件に対して効果的な防御を分析することである。監視強化の分析とは、例えば、攻撃が発生した場合、攻撃において観測される痕跡を用いて、監視場所となる環境と、監視対象となる履歴情報を推定するための分析である。

出力情報生成部５は、分析結果を用いて、出力装置２３に出力するために用いる出力情報を生成する。出力情報は、例えば、運用者、分析官が、上述したリスク評価、リスク対策、攻撃推定、追跡、緩和対処、監視強化などの分析作業をする場合に、運用者、分析官の作業を支援するために用いる情報である。

具体的には、出力情報生成部５は、リスク評価の分析を支援するために、リスク評価の分析結果を、出力装置２３に出力するために用いる出力情報を生成する。例えば、出力情報生成部５は、成立条件と攻撃結果とを組み合わせて攻撃グラフに関する出力情報を生成し、出力装置２３に出力する。

また、出力情報生成部５は、リスク対策の分析を支援するために、攻撃リスクを最小化する効果的なリスク対策の分析結果を、出力装置２３に出力するために用いる出力情報を生成する。

また、出力情報生成部５は、攻撃推定（攻撃の分析）を支援するために、痕跡と現在の環境に基づいて推定した攻撃シナリオを、出力装置２３に出力するために用いる出力情報を生成する。

また、出力情報生成部５は、追跡の分析を支援するために、特定された攻撃から、次に続く攻撃行動を予測した結果を、出力装置２３に出力するために用いる出力情報を生成する。

また、出力情報生成部５は、緩和対処を支援するために、攻撃がこれ以上進行しないために実施すべき緩和対処（次に起こりうる攻撃を未然に防止するため、攻撃を成立させる条件に対して効果的な防御手段）を、出力装置２３に出力するために用いる出力情報を生成する。

また、出力情報生成部５は、監視強化を支援するために、攻撃において観測される痕跡を用いて推定された、監視場所となる環境と、監視対象となる履歴情報とを、出力装置２３に出力するために用いる出力情報を生成する。

このように、実施形態１においては、攻撃を分析する、運用者、分析官に、分析結果を提示することで、セキュリティ業務を支援することができる。

［変形例１］
変形例１について説明する。図２の例においては、分析部４と出力情報生成部５とを有するルール生成装置１について説明したが、変形例１では、分析部４と出力情報生成部５とをルール生成装置１から分離したシステムについて説明する。変形例１のシステムとしては、例えば、図６に示すような構成としてもよい。

図６は、変形例１のシステムの一例を示す図である。図６の例では、ルール生成装置１は、収集部２と生成部３とを有し、分析支援装置６１は、分析部４と出力情報生成部５とを有している。

図６の例においては、ルール生成装置１は、上述した攻撃シナリオを用いて攻撃した模擬システム２０ａに関する環境情報と、履歴情報と、攻撃情報とを用いて、（Ａ）攻撃成功ルール、（Ｂ）攻撃失敗ルール、（Ｃ）攻撃時観測ルール、（Ｄ）攻撃成功時観測ルール、（Ｅ）攻撃失敗時観測ルール、（Ｆ）攻撃成功時結果ルールなどの攻撃知識ベースを生成して、記憶部６２に記憶する。

また、図６の例においては、分析支援装置６１が有する分析部４は、対象のシステム（実システム２４）から、収集した環境情報と履歴情報と攻撃情報とを取得する。また、分析支援装置６１が有する分析部４は、記憶部６２から、模擬システム２０ａの攻撃成功ルール、又は攻撃失敗ルール、又は攻撃時観測ルール、又は攻撃成功時観測ルール、又は攻撃失敗時観測ルール、又は攻撃成功時結果ルール、又はこれらのうち二つ以上を収集する。

図６の例においては、分析支援装置６１が有する分析部４は、収集した情報を用いて攻撃を分析する。例えば、分析部４は、リスク評価、リスク対策、攻撃推定、追跡、緩和対処、監視強化などの分析をする。

分析支援装置６１が有する出力情報生成部５は、分析部４が生成した分析結果を用いて、出力装置２３に出力するために用いる出力情報を生成する。出力情報は、例えば、運用者、分析官が、上述したリスク評価、リスク対策、攻撃推定、追跡、緩和対処、監視強化などの作業をする場合に、運用者、分析官の作業を支援するために用いる情報である。

このように、変形例１よれば、攻撃シナリオを用いて模擬システム２０ａに攻撃を実行し、攻撃が実行された模擬システムから環境情報と履歴情報と攻撃情報とを収集し、収集したこれらの情報に基づいて、攻撃の分析（セキュリティ業務）に用いるルールが生成できる。すなわち、実施形態１においては、ドメイン知識を十分にカバーした実用的なルールを自動生成することができる。

また、変形例１よれば、攻撃を分析する、運用者、分析官に、分析結果を提示することで、セキュリティ業務を支援することができる。

［装置動作］
次に、実施形態１におけるルール生成装置１の動作について図７を用いて説明する。図７は、ルール生成装置の動作の一例を示す図である。以下の説明においては、適宜図２から図６を参照する。また、実施形態１では、ルール生成装置１を動作させることによって、ルール生成方法が実施される。よって、実施形態１におけるルール生成方法の説明は、以下のルール生成装置の動作説明に代える。

収集処理について説明する。
図７に示すように、最初に、収集部２は、攻撃シナリオに基づいて攻撃された、攻撃実行環境部２０に構築された模擬システム２０ａの環境情報と履歴情報と攻撃情報とを収集し、不図示の記憶部に記憶する（ステップＡ１）。

具体的には、ステップＡ１において、収集部２は、攻撃無しの状態において、環境ごとに、環境情報と履歴情報とを収集する。また、ステップＡ１において、収集部２は、攻撃有の状態において、環境ごとに、環境情報と履歴情報と攻撃情報とを収集する。そして、ステップＡ１において、収集部２は、収集したこれらの情報を収集情報として記憶部に記憶する。

なお、ステップＡ１において、収集部２は、収集した履歴情報を、攻撃情報の内容に基づいて、集合ごとに分類してもよい。

続いて、生成部３は、攻撃シナリオを用いて攻撃した模擬システム２０ａに関する環境情報と、履歴情報と、攻撃情報とを用いて、攻撃知識ベースを生成して、記憶部に記憶する（ステップＡ２）。ステップＡ２において、生成部３は、（Ａ）攻撃成功ルール、（Ｂ）攻撃失敗ルール、（Ｃ）攻撃時観測ルール、（Ｄ）攻撃成功時観測ルール、（Ｅ）攻撃失敗時観測ルール、（Ｆ）攻撃成功時結果ルールなどのルールを生成する。

具体的には、ステップＡ２において、生成部３は、まず、攻撃シナリオに基づいて攻撃した模擬システム２０ａに関する環境情報と、履歴情報と、攻撃情報とを用いて、攻撃シナリオごとに、例えば、（ａ）攻撃成功条件、（ｂ）攻撃可能条件、（ｃ）攻撃失敗条件、（ｄ）攻撃時の痕跡、（ｅ）攻撃成功時の痕跡、（ｆ）攻撃失敗時の痕跡、（ｇ）攻撃成功による環境変化などの条件を抽出する。

生成部３は、例えば、（ａ）攻撃成功条件、及び、（ｃ）攻撃失敗条件を、攻撃成功時と攻撃失敗時の環境情報の差分から抽出する。また、生成部３は、（ｂ）攻撃可能条件を、攻撃成功時と攻撃失敗時の環境情報の共通部から抽出する。

また、生成部３は、（ｄ）攻撃時の痕跡を、攻撃無し時と攻撃成功時、攻撃無し時と攻撃失敗時の履歴情報（例えば、ログ情報、パケット情報など）の差分から抽出する。また、生成部３は、（ｅ）攻撃成功時の痕跡、及び、（ｆ）攻撃失敗時の痕跡を、攻撃成功時と攻撃失敗時の履歴情報の差分から抽出する。

また、生成部３は、（ｇ）攻撃成功による環境変化を、攻撃無し時と攻撃成功時の環境情報の差分から抽出する。

続いて、ステップＡ２において、攻撃成功ルール生成部３ａは、模擬システム２０ａに対して攻撃が成功した場合、（ａ）攻撃成功条件と（ｂ）攻撃可能条件とを用いて、（Ａ）攻撃成功ルールを生成する。

また、ステップＡ２において、攻撃失敗ルール生成部３ｂは、模擬システム２０ａに対して攻撃が失敗した場合、（ｃ）攻撃失敗条件から（Ｂ）攻撃失敗ルールを生成する。

また、ステップＡ２において、攻撃時観測ルール生成部３ｃは、模擬システム２０ａに対して攻撃が観測された場合、（ｄ）攻撃時の痕跡から（Ｃ）攻撃時観測ルールを生成する。

また、ステップＡ２において、攻撃成功時観測ルール生成部３ｄは、模擬システム２０ａに対して攻撃の成功が観測された場合、（ｅ）攻撃成功時の痕跡から（Ｄ）攻撃成功時観測ルールを生成する。

また、ステップＡ２において、攻撃失敗時観測ルール生成部３ｅは、模擬システム２０ａに対して攻撃の失敗が観測された場合、（ｆ）攻撃失敗時の痕跡から（Ｅ）攻撃失敗時観測ルールを生成する。

また、ステップＡ２において、攻撃成功時結果ルール生成部３ｆは、模擬システム２０ａに対して攻撃が成功し、環境に生じた変化を抽出した場合、（ｇ）攻撃成功による環境変化から（Ｆ）攻撃成功時結果ルールを生成する。

続いて、ルール生成装置１は、ルール生成の処理を終了する指示を取得した場合（Ａ３：Ｙｅｓ）には、ルール生成の処理を終了し、ルール生成の処理を継続する場合（Ａ３：Ｎｏ）には、ステップＡ１に移行する。

続いて、分析部４は、対象のシステム（実システム２４）から収集した環境情報と履歴情報と攻撃情報、及び、模擬システム２０ａの攻撃成功ルール、又は攻撃失敗ルール、又は攻撃時観測ルール、又は攻撃成功時観測ルール、又は攻撃失敗時観測ルール、又は攻撃成功時結果ルール、又はこれらのうち二つ以上を用いて、攻撃を分析する（ステップＡ４）。

具体的には、ステップＡ４において、分析部４は、実システム２４から、環境情報と履歴情報と攻撃情報とを収集する。また、分析部４は、記憶部から、攻撃成功ルール、又は攻撃失敗ルール、又は攻撃時観測ルール、又は攻撃成功時観測ルール、又は攻撃失敗時観測ルール、又は攻撃成功時結果ルール、又はこれらのうち二つ以上を収集する。

続いて、ステップＡ４において、分析部４は、収集した情報を用いて、攻撃を分析する。分析とは、例えば、リスク評価、リスク対策、攻撃推定、追跡、緩和対処、監視強化などある。

続いて、出力情報生成部５は、分析結果を用いて、出力装置２３に出力するために用いる出力情報を生成する（ステップＡ５）。

具体的には、ステップＡ５において、出力情報生成部５は、リスク評価の分析を支援するために、すなわちリスク評価の分析結果を運用者、分析官に提示するために、出力装置２３に出力するために用いる出力情報を生成する。出力情報生成部５は、例えば、成立条件と攻撃結果とを組み合わせて、リスク評価で用いる攻撃グラフに関する出力情報を生成する。

また、ステップＡ５において、出力情報生成部５は、リスク対策の分析を支援するために、すなわち攻撃リスクを最小化する効果的なリスク対策の分析結果を運用者、分析官に提示するために、出力装置２３に出力するために用いる出力情報を生成する。

また、ステップＡ５において、出力情報生成部５は、攻撃推定（攻撃の分析）を支援するために、すなわち痕跡と現在の環境に基づいて推定した攻撃シナリオを運用者、分析官に提示するために、出力装置２３に出力するために用いる出力情報を生成する。

また、ステップＡ５において、出力情報生成部５は、追跡の分析を支援するために、すなわち特定された攻撃から、次に続く攻撃行動を予測した結果を運用者、分析官に提示するために、出力装置２３に出力するために用いる出力情報を生成する。

また、ステップＡ５において、出力情報生成部５は、監視強化を支援するために、すなわち攻撃において観測された痕跡を用いて推定された、監視場所となる環境と、監視対象となる履歴情報とを運用者、分析官に提示するために、出力装置２３に出力するために用いる出力情報を生成する。

また、ステップＡ５において、出力情報生成部５は、緩和対処を支援するために、すなわち攻撃がこれ以上進行しないために実施すべき緩和対処（次に起こりうる攻撃を未然に防止するため、攻撃を成立させる条件に対して効果的な防御手段）を運用者、分析官に提示するために、出力装置２３に出力するために用いる出力情報を生成する。

また、ステップＡ５において、出力情報生成部５は、監視強化を支援するために、すなわち攻撃において観測される痕跡を用いて推定された、監視場所となる環境と、監視対象となる履歴情報とを運用者、分析官に提示するために、出力装置２３に出力するために用いる出力情報を生成する。

続いて、出力情報生成部５は、生成した出力情報を出力装置２３に出力する（ステップＡ６）。続いて、ルール生成装置１は、分析支援の処理を終了する指示を取得した場合（Ａ７：Ｙｅｓ）には、分析支援の処理を終了し、分析支援の処理を継続する場合（Ａ７：Ｎｏ）には、ステップＡ４に移行する。

［変形例１の動作］
変形例１の動作について説明する。変形例１においては、ステップＡ４からＡ６の処理を、分析支援装置６１の分析部４及び出力情報生成部５を用いて実行させる。また、変形例１においては、ステップＡ７の処理は、分析支援装置６１を用いて、分析支援の処理を終了させる。

［実施形態１の効果］
以上のように実施形態１によれば、攻撃シナリオを用いて模擬システムに攻撃を実行し、攻撃が実行された模擬システムから環境情報と履歴情報と攻撃情報とを収集し、収集したこれらの情報に基づいて、攻撃の分析（セキュリティ業務）に用いるルールが生成できる。すなわち、実施形態１においては、ドメイン知識を十分にカバーした実用的なルールを自動生成することができる。

また、攻撃を分析する、運用者、分析官に、分析結果を提示することで、セキュリティ業務を支援することができる。

［プログラム］
実施形態１におけるプログラムは、コンピュータに、図７に示すステップＡ１からＡ７を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、実施形態１におけるルール生成装置とルール生成方法とを実現することができる。この場合、コンピュータのプロセッサは、収集部２、生成部３（攻撃成功ルール生成部３ａ、攻撃失敗ルール生成部３ｂ、攻撃時観測ルール生成部３ｃ、攻撃成功時観測ルール生成部３ｄ、攻撃失敗時観測ルール生成部３ｅ、攻撃成功時結果ルール生成部３ｆ）、分析部４、出力情報生成部５として機能し、処理を行なう。

また、実施形態１におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、収集部２、生成部３（攻撃成功ルール生成部３ａ、攻撃失敗ルール生成部３ｂ、攻撃時観測ルール生成部３ｃ、攻撃成功時観測ルール生成部３ｄ、攻撃失敗時観測ルール生成部３ｅ、攻撃成功時結果ルール生成部３ｆ）、分析部４、出力情報生成部５のいずれかとして機能してもよい。

（実施形態２）
図８を用いて、実施形態２におけるルール生成装置１００の構成について説明する。図８は、ルール生成装置の一例を示す図である。

実施形態２においては、攻撃シナリオを用いて模擬システムに攻撃を実行し、攻撃が実行された模擬システムから環境情報と履歴情報と攻撃情報とを収集し、収集したこれらの情報に基づいて、攻撃の分析（セキュリティ業務）に用いるルールを自動で生成する。すなわち、実施形態２においては、ドメイン知識を十分にカバーした実用的なルールを自動生成する。

模擬システムは、攻撃を再現するための環境を構築したシステムである。模擬システムは、攻撃の標的となる組織の被害環境を模擬したシステムである。また、模擬システムは、例えば、被害環境を模擬したシステムと、攻撃の標的となる組織へ攻撃をするための攻撃環境を模擬したシステムとを有してもよい。さらに、模擬システムは、攻撃を再現するための環境を仮想環境に実現してもよい。

環境（被害環境、又は攻撃環境、又は両方）を構成する要素は、例えば、コンピュータ（サーバ、端末）、０Ｓ（Operating System）、ソフトウェア、ネットワーク、通信、設定などである。

［装置構成］
ルール生成装置１００は、攻撃を分析するために用いるルールを自動で生成する装置である。また、図８に示すように、ルール生成装置１００は、収集部２００と、攻撃成功条件生成部３００と、攻撃時履歴生成部４００と、ルール生成部５００とを有する。ルール生成装置１００は、例えば、サーバコンピュータなどの情報処理装置である。

収集部２００は、攻撃対象のシステムを模擬した模擬システムから、模擬システムに構築された環境を表す環境情報と、模擬システムに記録された履歴情報と、模擬システムに対して実行された攻撃の有無及び成功失敗とを表す攻撃情報とを収集する。

環境情報は、環境を構成する要素を表す情報である。環境情報は、例えば、コンピュータ、０Ｓ、ソフトウェア、起動サービス、ネットワーク通信の可否などの要素を表す情報である。

履歴情報は、模擬システムに記録されたログなどを表す情報である。履歴情報は、例えば、ＯＳ、プログラム、通信、プロセス起動停止、コマンド実行、ファイルアクセスなどのログを表す情報である。

攻撃情報は、模擬システムに対して実行された攻撃に関する情報である。攻撃情報は、例えば、攻撃の種類、攻撃の有無、攻撃の成功失敗などを表す情報を有する。

攻撃成功条件生成部３００は、まず、攻撃情報を用いて環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出する。続いて、攻撃成功条件生成部３００は、攻撃成功時の環境情報の要素をすべて含む攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求める。続いて、攻撃成功条件生成部３００は、求めた差分に、攻撃に失敗したことを表す除外情報を付する。続いて、攻撃成功条件生成部３００は、除外情報を付した差分を攻撃成功時の環境情報に追加する。続いて、攻撃成功条件生成部３００は、追加した環境情報を用いて攻撃成功条件を生成する。

攻撃成功条件生成部３００について、図９を用いて、具体的に説明をする。図９は、ルールの生成を説明するための図である。

数９に示した攻撃情報が上述した収集部２００により収集された場合、攻撃成功条件生成部３００は、攻撃Ｍに成功したことを表す攻撃情報＃１－１、＃２－１に基づいて、図９に示した、攻撃成功時の環境情報＃１（ａ，ｂ，ｃ，ｄ）、環境情報＃２（ａ，ｃ，ｆ）を抽出する。すなわち、攻撃Ｍが成功した環境を抽出する。

（数９）
攻撃情報＃１－０ ：攻撃Ｍ、攻撃無し
攻撃情報＃１－１ ：攻撃Ｍ、攻撃有り、攻撃成功＃１
攻撃情報＃２－０ ：攻撃Ｍ、攻撃無し
攻撃情報＃２－１ ：攻撃Ｍ、攻撃有り、攻撃成功＃２
攻撃情報＃３－０ ：攻撃Ｍ、攻撃無し
攻撃情報＃３－１ ：攻撃Ｍ、攻撃有り、攻撃失敗＃１
攻撃情報＃４－０ ：攻撃Ｍ、攻撃無し
攻撃情報＃４－１ ：攻撃Ｍ、攻撃有り、攻撃失敗＃２

また、攻撃成功条件生成部３００は、攻撃Ｍに失敗したことを表す攻撃情報＃３－１、＃４－１に基づいて、図９に示した、攻撃失敗時の環境情報＃３（ａ，ｂ，ｃ，ｄ，ｆ）、＃４（ａ，ｃ，ｆ，ｇ）を抽出する。すなわち、攻撃Ｍが失敗した環境を抽出する。

上述した環境情報の要素（ａ，ｂ，ｃ，ｄ，ｅ，ｆ，ｇ）は、上述したＯＳ、ソフトウェア、起動サービス、ネットワーク通信の可否などを表す。

次に、攻撃成功条件生成部３００は、攻撃Ｍに成功した時の環境情報＃１、＃２それぞれと、攻撃Ｍに失敗した時の環境情報＃３、＃４と比較し、攻撃成功時の環境情報の要素が、攻撃失敗時の環境情報の要素にすべて含まれているか否かを判定する。

比較した結果、図９の例では、攻撃成功時の環境情報＃１の要素が、攻撃失敗時の環境情報＃３の要素にすべて含まれているので、環境情報＃１と環境情報＃３との差分を求める。攻撃失敗時の環境情報＃３の要素（ａ，ｂ，ｃ，ｄ，ｆ）に、攻撃成功時の環境情報＃１の要素（ａ，ｂ，ｃ，ｄ）がすべて含まれているので、差分は要素（ｆ）となる。

また、比較した結果、図９の例では、攻撃成功時の環境情報＃２の要素が、攻撃失敗時の環境情報＃４の要素にすべて含まれているので、環境情報＃２の要素と環境情報＃４との差分を求める。攻撃失敗時の環境情報＃４の要素（ａ，ｃ，ｆ，ｇ）に、攻撃成功時の環境情報＃２の要素（ａ，ｃ，ｆ）がすべて含まれているので、差分は要素（ｇ）となる。

次に、攻撃成功条件生成部３００は、差分に攻撃に失敗したことを表す除外情報を付す。図９の例では、攻撃Ｍ＃１に対する差分を示す要素ｆに除外情報ｎｏｔを付している（ｎｏｔ ｆ）。また、攻撃Ｍ＃２に対する差分を示す要素ｇに除外情報ｎｏｔを付している（ｎｏｔ ｇ）。

次に、攻撃成功条件生成部３００は、除外情報を付した差分を攻撃成功時の環境情報に追加する。図９の例では、環境情報＃１の要素（ａ，ｂ，ｃ，ｄ）に除外情報を付した要素（ｎｏｔ ｆ）を追加する（ａ，ｂ，ｃ，ｄ，ｎｏｔ ｆ）。また、環境情報＃２の要素（ａ，ｃ，ｆ）に除外情報を付した要素（ｎｏｔ ｇ）を追加する（ａ，ｃ，ｆ，ｎｏｔ ｇ）。

次に、攻撃成功条件生成部３００は、追加した環境情報を用いて攻撃成功条件を生成する。図９の例では、除外情報を付した要素を追加した環境情報＃１と環境情報＃２を用いて、図９に示す攻撃成功条件（ａ，ｂ，ｃ，ｄ，ｎｏｔ ｆ）ｏｒ（ａ，ｃ，ｆ，ｎｏｔ ｇ）を生成する。

攻撃時履歴生成部４００は、同じ攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた差分に共通する攻撃成功時共通履歴情報を抽出する。また、攻撃時履歴生成部４００は、同じ攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を抽出し、攻撃失敗時の環境情報すべてに共通する攻撃失敗時共通履歴情報を抽出する。続いて、攻撃時履歴生成部４００は、攻撃成功時共通履歴情報と攻撃失敗時共通履歴情報と用いて、攻撃時履歴を生成する。

攻撃時履歴生成部４００について、図１０を用いて、具体的な説明をする。図１０は、攻撃時履歴の生成を説明するための図である。

数９に示した環境情報及び攻撃情報が、上述した収集部２００により収集された場合、攻撃時履歴生成部４００は、攻撃Ｍが成功した環境を表す環境情報＃１に対応する、攻撃情報♯１－０（ｘ，ｙ）に関連した攻撃無し時の履歴情報＃１－０と、攻撃情報♯１－１に関連した攻撃成功時の履歴情報＃１－１（ｘ，ｙ，ｗ，ｐ）とを抽出する。

また、攻撃時履歴生成部４００は、攻撃Ｍが成功した環境情報＃２に対応する、攻撃情報♯２－０に関連する攻撃無し時の履歴情報＃２－０（ｘ，ｙ）と、攻撃情報♯２－１（攻撃成功）に関連する攻撃成功時の履歴情報＃２－１（ｘ，ｙ，ｗ，ｐ，ｚ）とを抽出する。

なお、上述した履歴情報の要素（ｘ，ｙ，ｗ，ｐ，ｚ）は、上述したＯＳ、プログラム、通信、プロセス起動停止、コマンド実行、ファイルアクセスなどのログを表す。

次に、攻撃時履歴生成部４００は、抽出した攻撃無し時の履歴情報＃１－０と攻撃成功時の履歴情報＃１－１との差分（ｗ，ｐ）と、攻撃無し時の履歴情報＃２－０と攻撃成功時の履歴情報＃２－１との差分（ｗ，ｐ，ｚ）とを求める。

次に、攻撃時履歴生成部４００は、攻撃成功時の差分（ｗ，ｐ）と（ｗ，ｐ，ｚ）に共通する要素を抽出して、攻撃成功時共通履歴情報（ｗ，ｐ）を生成する。

攻撃時履歴生成部４００は、攻撃Ｍが失敗した環境を表す環境情報＃３に対応する、攻撃情報♯３－０（ｘ，ｚ）に関連した攻撃無し時の履歴情報＃３－０と、攻撃情報♯３－１に関連した攻撃成功時の履歴情報＃３－１（ｘ，ｚ，ｗ，ｑ）とを抽出する。

また、攻撃時履歴生成部４００は、攻撃Ｍが失敗した環境を表す環境情報＃４に対応する、攻撃情報♯４－０に関連した攻撃無し時の履歴情報＃４－０（ｘ，ｚ）と、攻撃情報♯４－１（攻撃失敗）に関連した攻撃失敗時の履歴情報＃４－１（ｘ，ｚ，ｑ）とを抽出する。

次に、攻撃時履歴生成部４００は、抽出した攻撃無し時の履歴情報＃３－０と攻撃失敗時の履歴情報＃３－１との差分（ｗ，ｑ）と、攻撃無し時の履歴情報＃４－０と攻撃失敗時の履歴情報＃４－１との差分（ｗ，ｑ）とを求める。

次に、攻撃時履歴生成部４００は、攻撃失敗時の差分（ｗ，ｑ）と（ｗ，ｑ）に共通する要素を抽出し、攻撃失敗時共通履歴情報（ｗ，ｑ）を生成する。

次に、攻撃時履歴生成部４００は、攻撃成功時共通履歴情報（ｗ、ｐ）と攻撃失敗時共通履歴情報（ｗ，ｑ）と用いて、攻撃成功時共通履歴情報と攻撃失敗時共通履歴情報とに共通する要素（ｗ）、攻撃成功時だけに現れる要素（ｐ）、攻撃失敗時だけに現れる要素（ｑ）を抽出して、図１０の攻撃時履歴に示すような攻撃時履歴情報を生成する。

ルール生成部５００は、模擬システムに対する攻撃を分析するためのルールを生成する。具体的には、ルール生成部５００は、攻撃成功時観測ルール、攻撃成功時結果ルール、攻撃時観測ルール、攻撃失敗時観測ルールを生成する。

攻撃成功時観測ルールの生成について説明する。
ルール生成部５００は、攻撃成功時共通履歴情報のうち、攻撃成功時のみに収集される履歴情報の要素を用いて攻撃成功時観測ルールを生成する。ルール生成部５００は、例えば、数１０に示すような攻撃成功時観測ルールを生成する。

（数１０）
SuccessAttack(_host, attack M):-
Observe(_host, network, p):-

SuccessAttack(_host, attack M)は、ホストコンピュータ（_host）に対して、攻撃Ｍが成功したことを表している。Observe(_host, network, p)は、ホストコンピュータ（_host）に対して、攻撃Ｍが成功したときに収集（観測）された履歴情報の要素（ｐ）を表している。数１０の「network」は、要素（ｐ）の種類が、ネットワークに関するログであることを表している。要素の種類は、ネットワークに関するログ「network」以外にも、例えば、ログ「log」、ファイルに関するログ「file」、メモリに関するログ「memory」などがある。

攻撃成功時結果ルールの生成について説明する。
ルール生成部５００は、攻撃成功時において収集された履歴情報の要素がプロセスの挙動に関す要素である場合、攻撃成功条件を用いて攻撃成功時結果ルールを生成する。ルール生成部５００は、例えば、数１１に示すような攻撃成功時結果ルールを生成する。

（数１１）
ExecCode(_attacker, _host, p):-
Satisfy(_host, os, a)
Satisfy(_host, service, b)
Satisfy(_attacker, privilege, c)
Satisfy(_host, network, d)
NotSatisfy(_host, software, f)

ExecCode(_attacker, _host, p)は、攻撃成功時において収集された履歴情報の要素（ｐ）がプロセスの挙動に関す要素である場合に、攻撃者（_attacker）が、ホストコンピュータ（host）に対してコマンド実行したことを表している。

なお、数１１の例では、ルール生成部５００は、要素（ｐ）がコマンド実行ログであるので、コマンド実行を表すルール「ExecCode」を選択している。

また、ルール生成部５００は、プロセスの挙動に関す要素の種類に応じて、「ExecCode」以外にも、例えば、データ改ざんに関する「DataTamper」、又はデータアクセスに関する「DataAccess」などを選択する。

Satisfy(_host, os, a)、Satisfy(_host, service, b)、Satisfy(_attacker, privilege, c)、Satisfy(_host, network, d)、NotSatisfy(_host, software, f)は、攻撃Ｍが成功した場合の攻撃成功条件（ａ，ｂ，ｃ，ｄ，ｎｏｔ ｆ）を表している。

攻撃Ｍが成功する条件は、環境情報の要素（ａ，ｂ，ｃ，ｄ）が表す環境があり、要素（ｆ）が表す環境がない場合なので、環境情報の要素があることを表すSatisfy()に要素（ａ，ｂ，ｃ，ｄ）を付し、環境情報の要素がないことを表すNotSatisfy()に要素（ｆ）を付す。

数１１では、要素（ａ）はＯＳ「os」を表し、要素（ｂ）はサービス「service」を表し、要素（ｃ）は権限「privilege」を表し、要素（ｄ）はネットワーク「network」を表し、要素（ｆ）はソフトウェア「software」を表している。

攻撃成功時結果ルールの生成について説明する。
ルール生成部５００は、攻撃成功時共通履歴情報と攻撃失敗時共通履歴情報とに共通する履歴情報の要素を用いて攻撃時観測ルールを生成する。ルール生成部５００は、例えば、数１２に示すような攻撃成功時観測ルールを生成する。

（数１２）
ExecuteAttack(_host, attack M):-
Observe(_host, log, w):-

ExecuteAttack(_host, attack M)は、ホストコンピュータ（_host）に対して、攻撃Ｍを実行した場合を表している。Observe(_host, network, p)は、ホストコンピュータ（_host）に対して攻撃Ｍを実行したときに、成功時と失敗時に共通して観測される要素（ｗ）を表している。数１２の「log」は、要素（ｗ）の種類が、ログに関することを表している。

攻撃失敗時観測ルールの生成について説明する。
ルール生成部５００は、攻撃失敗時共通履歴情報のうち、攻撃失敗時のみに収集される履歴情報の要素を用いて攻撃失敗時観測ルールを生成する。ルール生成部５００は、例えば、数１３に示すような攻撃失敗時観測ルールを生成する。

（数１３）
FailedAttack(_host, attack M):-
Observe(_host, log, q):-

FailedAttack (_host, attack M)は、ホストコンピュータ（_host）に対して、攻撃Ｍが失敗したことを表している。Observe(_host, log, q)は、ホストコンピュータ（_host）に対して、攻撃Ｍが失敗したときに収集（観測）された履歴情報の要素（ｑ）を表している。数５の「log」は、要素（ｑ）の種類が、ログに関することを表している。

［システム構成］
図１１を用いて、実施形態２におけるシステムの構成を説明する。図１１は、ルール生成装置を有するシステムの一例を示す図である。ただし、出力装置２３、実システム２４については、実施形態１で説明をしたので、説明を省略する。

図１１に示すように、実施形態２におけるルール生成装置１００は、収集部２００、生成部３、分析部４、出力情報生成部５を有する。また、図１１に示すように、ルール生成装置１００を有するシステムは、攻撃部２２、出力装置２３、実システム２４、模擬システム６００を有する。

実施形態２では、図１１に示すように、生成部３は、上述した攻撃成功条件生成部３００と攻撃時履歴生成部４００とルール生成部５００とを有する。

模擬システム６００は、攻撃対象となる実システム２４を模擬したシステムである。模擬システム６００は、攻撃を再現するための環境を構築したシステムである。

模擬システム６００は、攻撃の標的となる組織の被害環境を模擬したシステムである。また、模擬システム６００は、例えば、被害環境を模擬したシステムと、攻撃の標的となる組織へ攻撃をするための攻撃環境を模擬したシステムとを有してもよい。さらに、模擬システム６００は、攻撃を再現するための環境を仮想環境に実現してもよい。

実施形態２の攻撃部２２は、攻撃シナリオに基づいて、模擬システム６００に対して攻撃を実行する。具体的には、攻撃部２２は、複数の異なる攻撃シナリオを用いて、模擬システム６００の一部又は全体を対象として、攻撃を実行する。このように、攻撃部２２は、攻撃シナリオを変更して、模擬システム６００に対して、想定される様々な攻撃を試行できるので、想定される攻撃を網羅できる。

実施形態２の分析部４は、対象のシステム（実システム２４）から収集した環境情報と履歴情報と攻撃情報、及び、攻撃成功時観測ルール、又は攻撃成功時結果ルール、又は攻撃時観測ルール、又は攻撃失敗時観測ルール、又はこれらのうち二つ以上を用いて、攻撃を分析する。

［装置動作］
次に、実施形態２におけるルール生成装置１００の動作について図１２を用いて説明する。以下の説明においては、適宜図８から図１１を参照する。また、実施形態２では、ルール生成装置１００を動作させることによって、ルール生成方法が実施される。よって、実施形態２におけるルール生成方法の説明は、以下のルール生成装置の動作説明に代える。

実施形態２の収集処理について説明する。
図１２に示すように、最初に、収集部２００は、攻撃シナリオに基づいて攻撃された、模擬システム６００の環境情報と履歴情報と攻撃情報とを収集し、不図示の記憶部に記憶する（ステップＢ１）。

具体的には、ステップＢ１において、収集部２００は、攻撃無しの状態において、環境ごとに、環境情報と履歴情報とを収集する。また、ステップＢ１において、収集部２００は、攻撃有の状態において、環境ごとに、環境情報と履歴情報と攻撃情報とを収集する。そして、ステップＢ１において、収集部２００は、収集したこれらの情報を収集情報として記憶部に記憶する。

続いて、生成部３は、攻撃シナリオを用いて攻撃した模擬システム６００に関する環境情報と、履歴情報と、攻撃情報とを用いて、攻撃知識ベースを生成して、記憶部に記憶する（ステップＢ２）。ステップＢ２において、生成部３は、攻撃成功時観測ルール、又は攻撃成功時結果ルール、又は攻撃時観測ルール、又は攻撃失敗時観測ルールなどのルールを生成する。

具体的には、ステップＢ２において、攻撃成功条件生成部３００は、まず、攻撃情報を用いて環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出する。続いて、攻撃成功条件生成部３００は、攻撃成功時の環境情報の要素をすべて含む攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求める。

続いて、ステップＢ２において、攻撃成功条件生成部３００は、求めた差分に、攻撃に失敗したことを表す除外情報を付する。続いて、攻撃成功条件生成部３００は、除外情報を付した差分を攻撃成功時の環境情報に追加する。続いて、攻撃成功条件生成部３００は、追加した環境情報を用いて攻撃成功条件を生成する。

次に、ステップＢ２において、攻撃時履歴生成部４００は、同じ攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた差分に共通する攻撃成功時共通履歴情報を抽出する。

また、攻撃時履歴生成部４００は、同じ攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を抽出し、攻撃失敗時の環境情報すべてに共通する攻撃失敗時共通履歴情報を抽出する。続いて、攻撃時履歴生成部４００は、攻撃成功時共通履歴情報と攻撃失敗時共通履歴情報と用いて、攻撃時履歴を生成する。

次に、ステップＢ２において、ルール生成部５００は、模擬システムに対する攻撃を分析するためのルールを生成する。具体的には、ルール生成部５００は、攻撃成功時観測ルール、攻撃成功時結果ルール、攻撃時観測ルール、攻撃失敗時観測ルールを生成する。

続いて、ルール生成装置１００は、ルール生成の処理を終了する指示を取得した場合（Ａ３：Ｙｅｓ）、ルール生成の処理を終了し、ルール生成の処理を継続する場合（Ａ３：Ｎｏ）には、ステップＢ１に移行する。

続いて、分析部４は、対象のシステム（実システム２４）から収集した環境情報と履歴情報と攻撃情報、及び、攻撃成功時観測ルール、又は攻撃成功時結果ルール、又は攻撃時観測ルール、又は攻撃失敗時観測ルール、又はこれらのうち二つ以上を用いて、攻撃を分析する（ステップＢ４）。

続いて、出力情報生成部５は、分析結果を用いて、出力装置２３に出力するために用いる出力情報を生成する（ステップＡ５）。

続いて、出力情報生成部５は、生成した出力情報を出力装置２３に出力する（ステップＡ６）。続いて、ルール生成装置１は、分析支援の処理を終了する指示を取得した場合（Ａ７：Ｙｅｓ）には、分析支援の処理を終了し、分析支援の処理を継続する場合（Ａ７：Ｎｏ）には、ステップＢ４に移行する。

［実施形態２の効果］
以上のように実施形態２によれば、攻撃シナリオを用いて模擬システムに攻撃を実行し、攻撃が実行された模擬システムから環境情報と履歴情報と攻撃情報とを収集し、収集したこれらの情報に基づいて、攻撃の分析（セキュリティ業務）に用いるルールが生成できる。すなわち、実施形態２においては、ドメイン知識を十分にカバーした実用的なルールを自動生成することができる。

また、攻撃を分析する、運用者、分析官に、分析結果を提示することで、セキュリティ業務を支援することができる。

［プログラム］
実施形態２におけるプログラムは、コンピュータに、図１２に示すステップＢ１、Ｂ２、Ａ３、Ｂ４、Ａ５からＡ７を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、実施形態２におけるルール生成装置とルール生成方法とを実現することができる。この場合、コンピュータのプロセッサは、収集部２００、生成部３（攻撃成功条件生成部３００、攻撃時履歴生成部４００、ルール生成部５００）、分析部４、出力情報生成部５として機能し、処理を行なう。

また、実施形態２におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、収集部２００、生成部３（攻撃成功条件生成部３００、攻撃時履歴生成部４００、ルール生成部５００）、分析部４、出力情報生成部５のいずれかとして機能してもよい。

［物理構成］
ここで、実施形態におけるプログラムを実行することによって、ルール生成装置、分析支援装置を実現するコンピュータについて図１３を用いて説明する。図１３は、実施形態における、ルール生成装置、分析支援装置を実現するコンピュータの一例を示すブロック図である。

図１３に示すように、コンピュータ１５０は、ＣＰＵ１５１と、メインメモリ１５２と、記憶装置１５３と、入力インターフェイス１５４と、表示コントローラ１５５と、データリーダ／ライタ１５６と、通信インターフェイス１５７とを備える。これらの各部は、バス１６１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１５０は、ＣＰＵ１５１に加えて、又はＣＰＵ１５１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていてもよい。

ＣＰＵ１５１は、記憶装置１５３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１５２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１５２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１６０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１５７を介して接続されたインターネット上で流通するものであってもよい。

また、記憶装置１５３の具体例としては、ハードディスクドライブの他、フラッシュメモリなどの半導体記憶装置があげられる。入力インターフェイス１５４は、ＣＰＵ１５１と、キーボード及びマウスといった入力機器１５８との間のデータ伝送を仲介する。表示コントローラ１５５は、ディスプレイ装置１５９と接続され、ディスプレイ装置１５９での表示を制御する。

データリーダ／ライタ１５６は、ＣＰＵ１５１と記録媒体１６０との間のデータ伝送を仲介し、記録媒体１６０からのプログラムの読み出し、及びコンピュータ１５０における処理結果の記録媒体１６０への書き込みを実行する。通信インターフェイス１５７は、ＣＰＵ１５１と、他のコンピュータとの間のデータ伝送を仲介する。

また、記録媒体１６０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）などの汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）などの磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体があげられる。

なお、本実施の形態におけるルール生成装置は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。さらに、ルール生成装置は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。

［付記］
以上の実施の形態に関し、更に以下の付記を開示する。上述した実施の形態の一部又は全部は、以下に記載する（付記１）から（付記１５）により表現することができるが、以下の記載に限定されるものではない。

（付記１）
攻撃対象のシステムを模擬した模擬システムから、前記模擬システムに構築された環境を表す環境情報と、前記模擬システムに記録された履歴情報と、前記模擬システムに対して実行された攻撃の有無及び成功失敗を表す攻撃情報とを収集する、収集部と、
前記攻撃情報を用いて前記環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出し、前記攻撃成功時の環境情報をすべて含む前記攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求め、前記差分に攻撃に失敗したことを表す除外情報を付し、前記除外情報を付した差分を前記攻撃成功時の環境情報に追加して、攻撃成功条件を生成する、攻撃成功条件生成部と、
同じ前記攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた前記攻撃成功時の前記差分に共通する攻撃成功時共通履歴情報、及び、同じ前記攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を求め、求めた前記攻撃失敗時の前記差分に共通する攻撃失敗時共通履歴情報を抽出し、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報と用いて、攻撃時履歴情報を生成する、攻撃時履歴生成部と、
前記攻撃成功条件と前記履歴情報とを用いてルールを生成する、ルール生成部と、
を有することを特徴とするルール生成装置。

（付記２）
付記１に記載のルール生成装置であって、
前記ルール生成部は、前記攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素を用いて攻撃成功時観測ルールを生成する
ことを特徴とするルール生成装置。

（付記３）
付記１又は２に記載のルール生成装置であって、
前記ルール生成部は、前記攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素がプロセスの挙動に関す要素である場合、前記攻撃成功条件を用いて攻撃成功時結果ルールを生成する
ことを特徴とするルール生成装置。

（付記４）
付記１から３のいずれか一つに記載のルール生成装置であって、
前記ルール生成部は、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報とに共通する履歴情報の要素を用いて攻撃時観測ルールを生成する
ことを特徴とするルール生成装置。

（付記５）
付記１から４のいずれか一つに記載のルール生成装置であって、
前記ルール生成部は、前記攻撃成功時共通履歴情報のうち攻撃失敗時のみに収集される履歴情報の要素を用いて攻撃失敗時観測ルールを生成する
ことを特徴とするルール生成装置。

（付記６）
攻撃対象のシステムを模擬した模擬システムから、前記模擬システムに構築された環境を表す環境情報と、前記模擬システムに記録された履歴情報と、前記模擬システムに対して実行された攻撃の有無及び成功失敗を表す攻撃情報とを収集する、収集ステップと、
前記攻撃情報を用いて前記環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出し、前記攻撃成功時の環境情報をすべて含む前記攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求め、前記差分に攻撃に失敗したことを表す除外情報を付し、前記除外情報を付した差分を前記攻撃成功時の環境情報に追加して、攻撃成功条件を生成する、攻撃成功条件生成ステップと、
同じ前記攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた前記攻撃成功時の前記差分に共通する攻撃成功時共通履歴情報、及び、同じ前記攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を求め、求めた前記攻撃失敗時の前記差分に共通する攻撃失敗時共通履歴情報を抽出し、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報と用いて、攻撃時履歴情報を生成する、攻撃時履歴生成ステップと、
前記攻撃成功条件と前記履歴情報とを用いてルールを生成する、ルール生成ステップと、
ことを特徴とするルール生成方法。

（付記７）
付記６に記載のルール生成方法であって、
前記ルール生成ステップにおいて、攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素を用いて攻撃成功時観測ルールを生成する
ことを特徴とするルール生成方法。

（付記８）
付記６又は７に記載のルール生成方法であって、
前記ルール生成ステップにおいて、前記攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素がプロセスの挙動に関す要素である場合、前記攻撃成功条件を用いて攻撃成功時結果ルールを生成する
ことを特徴とするルール生成方法。

（付記９）
付記６から８のいずれか一つに記載のルール生成方法であって、
前記ルール生成ステップにおいて、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報とに共通する履歴情報の要素を用いて攻撃時観測ルールを生成する
ことを特徴とするルール生成方法。

（付記１０）
付記６から９のいずれか一つに記載のルール生成方法であって、
前記ルール生成ステップにおいて、前記攻撃成功時共通履歴情報のうち攻撃失敗時のみに収集される履歴情報の要素を用いて攻撃失敗時観測ルールを生成する
ことを特徴とするルール生成方法。

（付記１１）
コンピュータに、
攻撃対象のシステムを模擬した模擬システムから、前記模擬システムに構築された環境を表す環境情報と、前記模擬システムに記録された履歴情報と、前記模擬システムに対して実行された攻撃の有無及び成功失敗を表す攻撃情報とを収集する、収集ステップと、
前記攻撃情報を用いて前記環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出し、前記攻撃成功時の環境情報をすべて含む前記攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求め、前記差分に攻撃に失敗したことを表す除外情報を付し、前記除外情報を付した差分を前記攻撃成功時の環境情報に追加して、攻撃成功条件を生成する、攻撃成功条件生成ステップと、
同じ前記攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた前記攻撃成功時の前記差分に共通する攻撃成功時共通履歴情報、及び、同じ前記攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を求め、求めた前記攻撃失敗時の前記差分に共通する攻撃失敗時共通履歴情報を抽出し、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報と用いて、攻撃時履歴情報を生成する、攻撃時履歴生成ステップと、
前記攻撃成功条件と前記履歴情報とを用いてルールを生成する、ルール生成ステップと、
を実行させるプログラム。

（付記１２）
付記１１に記載のプログラムであって、
前記ルール生成ステップにおいて、攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素を用いて攻撃成功時観測ルールを生成する
ことを特徴とするプログラム。

（付記１３）
付記１１又は１２に記載のプログラムであって、
前記ルール生成ステップにおいて、前記攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素がプロセスの挙動に関す要素である場合、前記攻撃成功条件を用いて攻撃成功時結果ルールを生成する
ことを特徴とするプログラム。

（付記１４）
付記１１から１３のいずれか一つに記載のプログラムであって、
前記ルール生成ステップにおいて、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報とに共通する履歴情報の要素を用いて攻撃時観測ルールを生成する
ことを特徴とするプログラム。

（付記１５）
付記１１から１４のいずれか一つに記載のプログラムであって、
前記ルール生成ステップにおいて、前記攻撃成功時共通履歴情報のうち攻撃失敗時のみに収集される履歴情報の要素を用いて攻撃失敗時観測ルールを生成する
ことを特徴とするプログラム。

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１９年６月６日に国際出願されたＰＣＴ／ＪＰ２０１９／０２２６４３を基礎とする優先権を主張し、その開示の全てをここに取り込む。

以上のように本発明によれば、セキュリティ業務に用いる実用的なルールを自動生成することができる。本発明は、ドメイン知識を十分にカバーした実用的なルールが必要な分野において有用である。

１、１００ ルール生成装置
２、２００ 収集部
３ 生成部
３ａ 攻撃成功ルール生成部
３ｂ 攻撃失敗ルール生成部
３ｃ 攻撃時観測ルール生成部
３ｄ 攻撃成功時観測ルール生成部
３ｅ 攻撃失敗時観測ルール生成部
３ｆ 攻撃成功時結果ルール生成部
４ 分析部
５ 出力情報生成部
２０ 攻撃実行環境部
２０ａ 模擬システム
２１ 構築部
２２ 攻撃部
２３ 出力装置
２４ 実システム
６１ 分析支援装置
６２ 記憶部
１５０ コンピュータ
１５１ ＣＰＵ
１５２ メインメモリ
１５３ 記憶装置
１５４ 入力インターフェイス
１５５ 表示コントローラ
１５６ データリーダ／ライタ
１５７ 通信インターフェイス
１５８ 入力機器
１５９ ディスプレイ装置
１６０ 記録媒体
１６１ バス
３００ 攻撃成功条件生成部
４００ 攻撃時履歴生成部
５００ ルール生成部
６００ 模擬システム

Claims (15)

1. 攻撃対象のシステムを模擬した模擬システムから、前記模擬システムに構築された環境を表す環境情報と、前記模擬システムに記録された履歴情報と、前記模擬システムに対して実行された攻撃の有無及び成功失敗を表す攻撃情報とを収集する、収集手段と、
   前記攻撃情報を用いて前記環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出し、前記攻撃成功時の環境情報をすべて含む前記攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求め、前記差分に攻撃に失敗したことを表す除外情報を付し、前記除外情報を付した差分を前記攻撃成功時の環境情報に追加して、攻撃成功条件を生成する、攻撃成功条件生成手段と、
   同じ前記攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた前記攻撃成功時の前記差分に共通する攻撃成功時共通履歴情報、及び、同じ前記攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を求め、求めた前記攻撃失敗時の前記差分に共通する攻撃失敗時共通履歴情報を抽出し、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報と用いて、攻撃時履歴情報を生成する、攻撃時履歴生成手段と、
   前記攻撃成功条件と前記攻撃時履歴情報とを用いてルールを生成する、ルール生成手段と、
   を有するルール生成装置。
2. 請求項１に記載のルール生成装置であって、
   前記ルール生成手段は、前記攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素を用いて攻撃成功時観測ルールを生成する
   ルール生成装置。
3. 請求項１又は２に記載のルール生成装置であって、
   前記ルール生成手段は、前記攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素がプロセスの挙動に関す要素である場合、前記攻撃成功条件を用いて攻撃成功時結果ルールを生成する
   ルール生成装置。
4. 請求項１から３のいずれか一つに記載のルール生成装置であって、
   前記ルール生成手段は、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報とに共通する履歴情報の要素を用いて攻撃時観測ルールを生成する
   ルール生成装置。
5. 請求項１から４のいずれか一つに記載のルール生成装置であって、
   前記ルール生成手段は、前記攻撃成功時共通履歴情報のうち攻撃失敗時のみに収集される履歴情報の要素を用いて攻撃失敗時観測ルールを生成する
   ルール生成装置。
6. コンピュータが、
   攻撃対象のシステムを模擬した模擬システムから、前記模擬システムに構築された環境を表す環境情報と、前記模擬システムに記録された履歴情報と、前記模擬システムに対して実行された攻撃の有無及び成功失敗を表す攻撃情報とを収集し、
   前記攻撃情報を用いて前記環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出し、前記攻撃成功時の環境情報をすべて含む前記攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求め、前記差分に攻撃に失敗したことを表す除外情報を付し、前記除外情報を付した差分を前記攻撃成功時の環境情報に追加して、攻撃成功条件を生成し、
   同じ前記攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた前記攻撃成功時の前記差分に共通する攻撃成功時共通履歴情報、及び、同じ前記攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を求め、求めた前記攻撃失敗時の前記差分に共通する攻撃失敗時共通履歴情報を抽出し、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報と用いて、攻撃時履歴情報を生成し、
   前記攻撃成功条件と前記攻撃時履歴情報とを用いてルールを生成する
   ルール生成方法。
7. 請求項６に記載のルール生成方法であって、
   前記ルールの生成において、攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素を用いて攻撃成功時観測ルールを生成する
   ルール生成方法。
8. 請求項６又は７に記載のルール生成方法であって、
   前記ルールの生成において、前記攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素がプロセスの挙動に関す要素である場合、前記攻撃成功条件を用いて攻撃成功時結果ルールを生成する
   ルール生成方法。
9. 請求項６から８のいずれか一つに記載のルール生成方法であって、
   前記ルールの生成において、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報とに共通する履歴情報の要素を用いて攻撃時観測ルールを生成する
   ルール生成方法。
10. 請求項６から９のいずれか一つに記載のルール生成方法であって、
    前記ルールの生成において、前記攻撃成功時共通履歴情報のうち攻撃失敗時のみに収集される履歴情報の要素を用いて攻撃失敗時観測ルールを生成する
    ルール生成方法。
11. 攻撃対象のシステムを模擬した模擬システムから、前記模擬システムに構築された環境を表す環境情報と、前記模擬システムに記録された履歴情報と、前記模擬システムに対して実行された攻撃の有無及び成功失敗を表す攻撃情報とを収集し、
    前記攻撃情報を用いて前記環境情報から、攻撃成功時の環境情報と攻撃失敗時の環境情報とを抽出し、前記攻撃成功時の環境情報をすべて含む前記攻撃失敗時の環境情報と、当該攻撃成功時の環境情報との差分を求め、前記差分に攻撃に失敗したことを表す除外情報を付し、前記除外情報を付した差分を前記攻撃成功時の環境情報に追加して、攻撃成功条件を生成し、
    同じ前記攻撃成功時の環境情報ごとに、攻撃無し時の履歴情報と攻撃成功時の履歴情報との差分を求め、求めた前記攻撃成功時の前記差分に共通する攻撃成功時共通履歴情報、及び、同じ前記攻撃失敗時の環境情報ごとに、攻撃無し時の履歴情報と攻撃失敗時の履歴情報との差分を求め、求めた前記攻撃失敗時の前記差分に共通する攻撃失敗時共通履歴情報を抽出し、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報と用いて、攻撃時履歴情報を生成し、
    前記攻撃成功条件と前記攻撃時履歴情報とを用いてルールを生成する
    処理をコンピュータに実行させるプログラム。
12. 請求項１１に記載のプログラムであって、
    前記ルールの生成において、攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素を用いて攻撃成功時観測ルールを生成する
    プログラム。
13. 請求項１１又は１２に記載のプログラムであって、
    前記ルールの生成において、前記攻撃成功時共通履歴情報のうち攻撃成功時のみに収集される履歴情報の要素がプロセスの挙動に関す要素である場合、前記攻撃成功条件を用いて攻撃成功時結果ルールを生成する
    プログラム。
14. 請求項１１から１３のいずれか一つに記載のプログラムであって、
    前記ルールの生成において、前記攻撃成功時共通履歴情報と前記攻撃失敗時共通履歴情報とに共通する履歴情報の要素を用いて攻撃時観測ルールを生成させる
    プログラム。
15. 請求項１１から１４のいずれか一つに記載のプログラムであって、
    前記ルールの生成において、前記攻撃成功時共通履歴情報のうち攻撃失敗時のみに収集される履歴情報の要素を用いて攻撃失敗時観測ルールを生成させる
    プログラム。

Images