JP7245765B2 - 情報セキュリティ支援システム、情報セキュリティ支援方法 - Google Patents

Description

本発明は、情報セキュリティ支援システム、情報セキュリティ支援方法に関する。

近年、情報漏えいや不正アクセスなどの脅威をもたらすコンピュータウイルスやスパイウェア、ボットプログラムといった悪意ある不正プログラム（マルウェア）が増加しており、また、国家や企業を狙った高度標的型攻撃もますます高度化している。このため、これらの攻撃から組織を守るには、常に最新のセキュリティ情報を入手し、率先した対策を講じる必要がある。

通常、脆弱性情報や脅威情報といったセキュリティ情報の多くは、国家や民間が運営する専門のセキュリティ組織や製品ベンダーから提供される。しかしこれらのいわゆる「公式情報」はその質が担保されている一方で、即時性の点でリアルタイム性に欠けるという課題がある。また、昨今では、攻撃者が単なる愉快犯から経済犯・テロリスト・国家主導の軍事行動まで広がっている。このため、効率的・俯瞰的かつ網羅的な対処策を講じるためには、攻撃の技術的詳細に加え、政治・経済・社会的なコンテキストも考慮する必要がある。

このような状況の中で、近年いわゆるＯＳＩＮＴ（Ｏｐｅｎ Ｓｏｕｒｃｅ Ｉｎｔｅｌｌｉｇｅｎｃｅ）を活用した攻撃対策が注目されている。ＯＳＩＮＴは即時性が高く、攻撃の背景など様々なコンテキストを含んでいるため、上述の公式情報を補完し、攻撃対策を一層充実することができる。例えば、インシデント・レスポンスの場においては、セキュリティ機器から発出されたアラート情報との関連性が高いＯＳＩＮＴを入手できれば、アナリストは効果的・大局的な分析・判断を実施できる。

しかし一方でＯＳＩＮＴはその特性上、人間にとっての可読性に優れる一方で、自然言語で記述され非構造的であるため、固有の文体・構造で記述されたアラート情報と比べると検索、分類、共有や分析といった自動処理が難しい。

これらの問題を解決するために、特許文献１では、ユーザから取得したＯＳＩＮＴを別システムや別ユーザが利用可能な形式に変換して共有する技術を開示している。また、特許文献２では、外部から収集したＯＳＩＮＴの格付けを、提供元の信頼度、情報に関する信頼度、情報閲覧者からのフィードバックを基に実施する技術を開示している。

特開２０１９－４０５３３３号公報 特開２０１４－１０１６７２号公報

特許文献１および特許文献２は、複数のシステムやユーザ間でＯＳＩＮＴを円滑かつ高信頼に共有するのに寄与する。しかし開示されている技術は、インシデント・レスポンス発生時のオペレータの分析・判断を支援するものではない。

本発明の一側面としては、インシデント・レスポンス発生時において、情報セキュリティに関する分析・判断を支援することが可能な情報セキュリティ支援システム、情報セキュリティ支援方法を提供することを目的とする。

本発明の一態様にかかる情報セキュリティ支援システムは、ネットワークを介して収集されたＯＳＩＮＴ（Ｏｐｅｎ Ｓｏｕｒｃｅ Ｉｎｔｅｌｌｉｇｅｎｃｅ）から、攻撃に関連する記述を抽出する攻撃記述抽出部と、前記攻撃記述抽出部により抽出された前記記述をサイバー語彙に翻訳するサイバー語彙翻訳部と、前記サイバー語彙翻訳部により変換されたサイバー語彙と、セキュリティ機器から発信されたセキュリティアラートとの類似度を算出し、前記セキュリティアラートに関連性が高い前記ＯＳＩＮＴを特定する語彙類似度算出部と、を有することを特徴とする情報セキュリティ支援システムとして構成される。

本発明の一態様によれば、インシデント・レスポンス発生時において、情報セキュリティに関する分析・判断を支援することができる。

セキュリティ情報関連付け装置、及び関連装置から成るシステムの構成を示す図である。 ＯＳＩＮＴアラート情報、およびＯＳＩＮＴの処理途中データの一例を示す図である。 セキュリティ情報関連付け装置のハードウェア構成を示す図である。 情報保管ＤＢの一例を示す図である。 攻撃記述抽出の際に参照されるデータベース（（ａ）時刻形式ＤＢ、（ｂ）場所形式ＤＢ、（ｃ）事象形式ＤＢ）の一例を示す図である。 攻撃記述からサイバー語彙への変換の際に参照されるデータベース（（ａ）時刻変換ＤＢ、（ｂ）場所変換ＤＢ、（ｃ）事象変換ＤＢ）の一例を示す図である。 攻撃記述抽出の処理手順を示す図である。 サイバー語彙翻訳の処理手順を示す図である。 語彙類似度算出の処理手順を示す図である。 セキュリティ情報関連付け結果の表示の一例を示す図である。

以下、図面を参照して本発明の実施形態を説明する。以下の記載および図面は、本発明を説明するための例示であって、説明の明確化のため、適宜、省略および簡略化がなされている。本発明は、他の種々の形態でも実施する事が可能である。特に限定しない限り、各構成要素は単数でも複数でも構わない。

図面において示す各構成要素の位置、大きさ、形状、範囲などは、発明の理解を容易にするため、実際の位置、大きさ、形状、範囲などを表していない場合がある。このため、本発明は、必ずしも、図面に開示された位置、大きさ、形状、範囲などに限定されない。

以下の説明では、「テーブル」、「リスト」等の表現にて各種情報を説明することがあるが、各種情報は、これら以外のデータ構造で表現されていてもよい。データ構造に依存しないことを示すために「ＸＸテーブル」、「ＸＸリスト」等を「ＸＸ情報」と呼ぶことがある。識別情報について説明する際に、「識別情報」、「識別子」、「名」、「ＩＤ」、「番号」等の表現を用いた場合、これらについてはお互いに置換が可能である。

同一あるいは同様な機能を有する構成要素が複数ある場合には、同一の符号に異なる添字を付して説明する場合がある。ただし、これらの複数の構成要素を区別する必要がない場合には、添字を省略して説明する場合がある。

また、以下の説明では、プログラムを実行して行う処理を説明する場合があるが、プログラムは、プロセッサ（例えばＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit））によって実行されることで、定められた処理を、適宜に記憶資源（例えばメモリ）および／またはインターフェースデバイス（例えば通信ポート）等を用いながら行うため、処理の主体がプロセッサとされてもよい。同様に、プログラムを実行して行う処理の主体が、プロセッサを有するコントローラ、装置、システム、計算機、ノードであってもよい。プログラムを実行して行う処理の主体は、演算部であれば良く、特定の処理を行う専用回路（例えばＦＰＧＡ（Field-Programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit））を含んでいてもよい。

プログラムは、プログラムソースから計算機のような装置にインストールされてもよい。プログラムソースは、例えば、プログラム配布サーバまたは計算機が読み取り可能な記憶メディアであってもよい。プログラムソースがプログラム配布サーバの場合、プログラム配布サーバはプロセッサと配布対象のプログラムを記憶する記憶資源を含み、プログラム配布サーバのプロセッサが配布対象のプログラムを他の計算機に配布してもよい。また、以下の説明において、２以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２以上のプログラムとして実現されてもよい。

本明細書中では、ＯＳＩＮＴをインターネットから収集可能な、ニュース記事やＳＮＳ（Ｓｏｒｃｉａｌ Ｎｅｔｗｏｒｋ Ｓｅｒｖｉｃｅ）といった、自然言語で記述された非構造な公開情報と定義する。

（システム概要）
図１は、本発明を実施する為のシステム構成の概要を示す図である。本システムを構成する要素として、通信ネットワークＮ１、通信ネットワークＮ２、通信ネットワークＮ３、通信ネットワークＮ４、ＷｅｂページＭ１、ＯＳＩＮＴメッセージＭ２、検索リクエストＭ３、検索レスポンスＭ４、アラートＭ５、フィードバックＭ６、セキュリティ情報関連付け装置１０、Ｗｅｂサイト２０、ＯＳＩＮＴ処理装置３０、セキュリティ機器４０、インシデント処理装置５０、とを含む。

通信ネットワークＮ１は、ＷＡＮ（World Area Network）、携帯電話、ＰＨＳなどの公衆回線網でもよい。Ｗｅｂサイト２０、ＯＳＩＮＴ処理装置３０の間の通信は、通信ネットワークＮ１を介して行われる。

通信ネットワークＮ２は、ＷＡＮやＬＡＮ（Local Area Network）、携帯電話、ＰＨＳ等の公衆回線網でもよい。セキュリティ情報関連付け装置１０とＯＳＩＮＴ処理装置３０の間の通信は、通信ネットワークＮ２を介して行われる。

通信ネットワークＮ３は、ＷＡＮやＬＡＮ、携帯電話、ＰＨＳ等の公衆回線網でもよい。セキュリティ情報関連付け装置１０とインシデント処理装置５０の間の通信は、通信ネットワークＮ３を介して行われる。

通信ネットワークＮ４は、ＷＡＮやＬＡＮ、携帯電話、ＰＨＳ等の公衆回線網でもよい。セキュリティ機器４０とインシデント処理装置５０の間の通信は、通信ネットワークＮ４を介して行われる。

通信ネットワークＮ１、通信ネットワークＮ２、通信ネットワークＮ３、通信ネットワークＮ４は異なるネットワークであってもよいし、同一のネットワークであってもよい。ただしＷｅｂサイト２０はインターネット上に存在することを想定するため、ＬＡＮは通信ネットワークＮ１にはなり得ない。

ＷｅｂページＭ１は、Ｗｅｂサイト２０からＯＳＩＮＴ処理装置３０へ送信される電文であり、いわゆるＷｅｂページおよび周辺のコンテンツを含む。検索リクエストＭ３は、インシデント処理装置５０からセキュリティ情報関連付け装置１０に送信される電文であり、関連付け対象となるアラートを含む。検索レスポンスＭ４は、検索リクエストＭ３への返信としてセキュリティ情報関連付け装置１０からインシデント処理装置５０に送信される電文であり、アラートに関連付けられたＯＳＩＮＴメッセージが含まれる。アラートＭ５は、セキュリティ機器４０からインシデント処理装置５０に送信される電文であり、何らかの攻撃を検知したことを示し、その詳細が記載されている。フィードバックＭ６は、検索レスポンスＭ４に対する有用性の評価であり、インシデント処理装置５０からセキュリティ情報関連付け装置１０に送信される。

セキュリティ関連情報関連付け装置１０は、インシデント処理装置５０から受信した検索リクエストＭ３とＯＳＩＮＴ処理装置３０から受信したＯＳＩＮＴメッセージＭ２との関連づけを行うことを主たる処理とする装置である。セキュリティ関連情報関連付け装置１０は、ＯＳＩＮＴ受付部１００、攻撃記述抽出部１１０、サイバー語彙翻訳部１２０、語彙類似度算出１３０、リクエスト受付部１４０、情報保管ＤＢ（Data base）２００、時刻形式ＤＢ３００、場所形式ＤＢ４００、事象形式ＤＢ５００、時刻変換ＤＢ６００、場所変換ＤＢ７００、事象変換ＤＢ８００を有して構成される。なお、以下では、情報セキュリティ支援システムとして、ＯＳＩＮＴ受付部１００、攻撃記述抽出部１１０、サイバー語彙翻訳部１２０、語彙類似度算出１３０、リクエスト受付部１４０といった各機能部、情報保管ＤＢ２００、時刻形式ＤＢ３００、場所形式ＤＢ４００、事象形式ＤＢ５００、時刻変換ＤＢ６００、場所変換ＤＢ７００、事象変換ＤＢ８００といった各記憶部が、ハードウェアとしては一般的なコンピュータであるセキュリティ関連情報関連付け装置１０に設けられているが、これらの全部または一部が、クラウドのような１または複数のコンピュータに分散して設けられ、互いに通信することにより同様の機能を実現してもよい。

ＯＳＩＮＴ受付部１００は、ＯＳＩＮＴ処理装置３０から受信したＯＳＩＮＴメッセージＭ２を情報保管ＤＢ２００に保管する。

攻撃記述抽出部１１０は、ＯＳＩＮＴメッセージＭ２を分析し、サイバー攻撃に関連する可能性がある記述を抽出し、「攻撃記述」として情報保管ＤＢ２００に保管する。具体的には、攻撃に関連する可能性がある場所情報・時刻・事象といった情報が対象となる。

サイバー語彙翻訳部１２０は、「攻撃記述」の記載内容を、サイバー空間における事象を記述する際に使用される語彙に変換し、「サイバー語彙」として、情報保管ＤＢ２００に保管する。具体的には、サイバー語彙翻訳部１２０は、物理的な場所情報をＩＰアドレス空間にマッピングするなどの処理を行う。

語彙類似度算出部１３０は、アラートＭ５の内容と情報保管ＤＢ２００に保存された「サイバー語彙」との間で類似度を計算し、類似性が高い「サイバー語彙」に対応するＯＳＩＮＴメッセージＭ２をインシデント処理装置５０に検索レスポンスＭ４として返信する。

リクエスト受付部１４０は、インシデント処理装置５０より検索リクエストＭ３を受信すると、内包するアラートＭ５を入力として、語彙類似度算出部１３０を実行する。

時刻形式ＤＢ３００、場所形式ＤＢ４００、事象形式ＤＢ５００は、いずれも攻撃記述抽出部１１０が攻撃記述を抽出する際に参照するデータベースである。

時刻変換ＤＢ６００、場所変換ＤＢ７００、事象変換ＤＢ８００は、いずれもサイバー語彙翻訳部１２０が攻撃記述をサイバー語彙へ変換する際に参照するデータベースである。

Ｗｅｂサイト２０は、インターネット上に設置されたＷｅｂサーバでＳＮＳやニュースサイトを扱っているものである。ＯＳＩＮＴ処理装置３０は、Ｗｅｂサイト２０にアクセスしてＯＳＩＮＴを収集する。収集されたＯＳＩＮＴは、ＯＳＩＮＴメッセージＭ２としてセキュリティ情報関連付け装置１０に送信される。本明細書では、ＯＳＩＮＴ処理装置３０について、Ｗｅｂサイト２０にアクセスすることとＯＳＩＮＴメッセージＭ２を送信すること以外の機能には制約を設けない。ＯＳＩＮＴ処理装置３０は、セキュリティ情報関連付け装置１０と同じ組織が運用してもよいし、全く別の組織であってもよい。

セキュリティ機器４０は、ファイアーウォールやＩＤＳ（侵入検知システム）、アンチウイルスソフトといったセキュリティ機器全般を示す。セキュリティ機器４０は、攻撃を検知するとアラートＭ５をインシデント処理装置５０に送信する。インシデント処理装置５０は、インシデント・レスポンスを実施するのに必要な、一般的な機能を擁しているものとする。セキュリティ機器４０とインシデント処理装置５０は、同じ組織が運用していることを想定するが、異なる組織が運用してもよい。インシデント処理装置５０は、アラートＭ５に対応するにあたり、必要なＯＳＩＮＴを入手するために検索リクエストＭ３をセキュリティ情報関連付け装置１０に送信し、その結果として検索レスポンスＭ４を得る。インシデント処理装置５０とセキュリティ情報関連付け装置１０は、同じ組織が運用してもよいし、異なる組織が運用してもよい。異なる組織が運用する場合、セキュリティ情報関連付け装置１０は、ＯＳＩＮＴとアラート情報とを関連付けするサービスを提供する装置と位置付けられる。

（メッセージ例）
図２は、ＯＳＩＮＴメッセージＭ２、アラートＭ５及び、対応する攻撃記述、サイバー語彙の一例を示す。Ｅ１は、ＯＳＩＮＴメッセージＭ２の一例である。自然言語で記述されており、明確な構造を持たない。一方、Ｅ４は、アラートＭ５の一例である。Ｅ４は、攻撃の発生日時として「Ｄａｔｅ：２０１９－０６－０１１ ０１：００：００（ＧＭＴ）」、攻撃の種類として「Ｔｙｐｅ：ＤＤｏＳ Ａｔｔｅｍｐｔ」、攻撃元のＩＰアドレスとして「Ｓｒｃ：ａ．１．１．１」、攻撃先のＩＰアドレスとして「Ｄｓｔ：ｃ．０．０．１」という４種類の属性を持つ。

Ｅ２は、攻撃記述抽出部１１０により、Ｅ１から攻撃記述を抽出したものとなる。Ｅ２は、攻撃に関連する可能性がある事象として「[事象]Ｉｎｔｅｒｎｅｔに繋がりづらい～、対立中、サイバー攻撃」、攻撃発生時刻である可能性として「[日時]令和元年六月十日、昨日から～」攻撃の発生元である可能性がある場所として「[攻撃元場所]Ａ国から、」、攻撃を受けた可能性がある場所として「[攻撃先場所]Ｂ国インフラ企業へ」という４種類の属性を持つ。

Ｅ３は、サイバー語彙翻訳部１２０により、Ｅ２をサイバー語彙に変換したものになる。Ｅ３は、サイバー攻撃の種類として「Ａｔｔａｃｋ Ｖｅｃｔｏｒ：ＤＤｏＳ」、攻撃日時として「Ｄａｔｅ：[2019-0609~10]」、攻撃元ＩＰアドレスとして「ＳｒｃＩＰ：ａ．０．０．０／８」、攻撃先ＩＰアドレスとして「Ｄｓｔ：ｂ．０．０．０／８」という４種類の属性を持つ。なお、ここで述べるａ．０．０．０／８は、「ａ．０．０．０～ａ．２５５．２５５．２５５」となるＩＰアドレスの範囲を示す。ｂ．０．０．０／８に関しても同様である。

図３は、セキュリティ情報関連付け装置１０のハードウェア構成を示している。尚、他の装置のハードウェア構成も同様である。

（ハードウェア構成）
ハードウェアは、ＣＰＵ１、メモリ２、外部記憶装置３、インタフェイス（ＩＦ）４、入出力装置５、バス６から構成される。

ＣＰＵ１は、メモリ内に保存されたプログラムを実行し、各機能の処理ルーチン（ＯＳＩＮＴ受付部１００、攻撃記述抽出部１１０、サイバー語彙翻訳部１２０、語彙類似度算出部１３０、リクエスト受付部１４０）として具現化させる。

メモリ２は、各機能部を実現するのに必要な実行プログラムを含んでいる。

外部記憶装置３は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）などから構成され、データの長期記憶を行うのに用いられる。外部記憶装置３は、セキュリティ情報関連付け装置１０に含まれる各ＤＢを格納する。

ＩＦ４は、セキュリティ情報関連付け装置１０を通信ネットワークＮ３に接続する。

入出力装置５は、セキュリティ情報関連付け装置１０をユーザ及び管理者による各種情報の入力、及び格納されている情報の出力を行う。

バス６は、ＣＰＵ１、メモリ２、外部記憶装置３、ＩＦ４、入出力装置５を接続し、機能間の情報のやりとりを実現する。

（データベース構成）
図４に、情報保管ＤＢ２００の構成例を示す。本ＤＢの各レコードは、ＯＳＩＮＴメッセージＭ２およびこれに対応する攻撃記述、サイバー語彙及びアラートＭ５の記録を示している。

ＩＤ２１０は、各レコードを一意に識別するための識別子である。

元メッセージ２２０には、ＯＳＩＮＴ受付部１００が受信したＯＳＩＮＴメッセージＭ２が入力される。

攻撃記述２３０には、元メッセージ２２０から抽出された攻撃記述の内容が記載される。攻撃記述２３０は、事象２３１、攻撃元場所２３２、攻撃先場所２３３、発生日時２３４に分割されて記録される。

サイバー語彙２４０には、攻撃記述２３０から変換されたサイバー語彙の内容が記載される。サイバー語彙２４０は、ＡｔｔａｃｋＶｅｃｔｏｒ２４１、ＳｒｃＩＰ２４２、ＤｓｔＩＰ２４３、Ｄａｔａ２４４に分割されて記録される。ＳｒｃＩＰ２４２、ＤｓｔＩＰ２４３はＩＰアドレスの形式（ｘｘｘ．ｘｘｘ．ｘｘｘ．ｘｘｘ）をとる。一方、Ｄａｔｅ２４４は、「ＹＹＹＹ―ＭＭ―ＤＤ」といった西暦・月・日からなる形式をとる。

アラート２５０には、サイバー語彙２４０との類似度が高いアラートＭ５が記載される。アラート２５０は、ＡｔｔａｃｋＶｅｃｔｏｒ２５１、ＳｒｃＩＰ２５２，ＤｓｔＩＰ２５３、Ｄａｔｅ２５４に分割されて記録される。ＳｒｃＩＰ２５２、ＤｓｔＩＰ２５３はＩＰアドレスの形式（ｘｘｘ．ｘｘｘ．ｘｘｘ．ｘｘｘ）をとる。一方、Ｄａｔｅ２５４は、「ＹＹＹＹ―ＭＭ―ＤＤ」といった西暦・月・日からなる形式をとる。

なお、アラート２５０に情報が記載される場合は、サイバー語彙２４０との類似度が高いアラートＭ５が存在する場合である。そのようなアラートＭ５がない場合は、アラート２５０は空白のままである。尚、元メッセージ２２０に対して、類似度が高いアラートが２つ存在する場合がある。その場合、アラート２５０と同じ形式を持つアラート２５０－１が作成され、そこにデータは保存される。３つ以上の場合も同様である。

攻撃確度２６０は、元メッセージ２２０に記載された内容がそもそもサイバー攻撃に関連する度合いを定量的に示したものであり、ＩＤ２１０＝１の例では＋１６としている。元メッセージ２２０が直接サイバー攻撃に直接は言及していない場合でも、過去の事例から鑑みてサイバー攻撃との関連性が高い可能性がある社会・政治・外交に関するものであれば、攻撃確度２６０には高い値が記載される。攻撃確度２６０の計算例に関しては後述する。

類似度２７０は、サイバー語彙２４０とアラート２５０との類似度を定量的に示したものであり、ＩＤ２７０＝１の例では１１１としている。類似度２７０の具体的計算方法に関しては後述する。尚、元メッセージ２２０に対して、類似度が高いアラートが２つ存在する場合がある。その場合、類似度２７０と同じ形式を持つ類似度２７０－１が作成され、そこにデータは保存される。３つ以上の場合も同様である。

図５（ａ）に、時刻形式ＤＢ３００の構成例を示す。本ＤＢは、攻撃記述抽出部１１０が、発生日時２３４に相当する文を元メッセージ２２０から抽出するのに使用される。各エントリは、発生日時２３４として抽出されるべき文の表現形式を示している。

ＩＤ３０１は、各レコードを一意に識別するための識別子である。

想定形式３０２は、発生日時２３４に相当する文の形式である。想定形式３０２には、正規表現など、一般的な文字検索アルゴリズムで使用される形式、および「明日」、「昨日」といった相対的な日時指定の形式が用いられることを想定する。

ＩＤ３０１＝１のレコードは、“ＹＹＹＹ／ＭＭ／ＤＤ”の形式で発生日時２３４が記述されている文を抽出する形式である。具体例としては “２０１９／０９／２１”などがある。

ＩＤ３０１＝２のレコードは、“ＭＭ／ＤＤ／ＹＹＹＹ”の形式で発生日時２３４が記述されている文を抽出する形式である。具体例としては “０９／２１／２０１９”などがある。

ＩＤ３０１＝３のレコードは、和暦・月・日の形式で発生日時２３４が記述されている文を抽出する形式である。具体例としては“令和１年９月２１日”などがある。

ＩＤ３０１＝４のレコードは、「昨日から」という形式で発生日時２３４が記述されている文を抽出する形式であり、相対的に発生日時２３４を指定する。この形式はＩＤ２１１＝１～３などで指定された絶対的な発生日時２３４と組み合わせて使用される。

図５（ｂ）に、場所形式ＤＢ４００の構成例を示す。本ＤＢは、攻撃記述抽出部１１０が、攻撃元場所２３２または攻撃先場所２３３に相当する文を元メッセージ２２０から抽出するのに使用される。各エントリは、攻撃元場所２３２または攻撃先場所２３３として抽出されるべき文の表現形式を示している。

ＩＤ４０１は、各レコードを一意に識別するための識別子である。

想定形式４０２には、正規表現など、一般的な文字検索アルゴリズムで使用される形式が用いられることを想定する。

方向４０３は、「攻撃元」または「攻撃先」の値をとり、想定形式２２２に一致する文を攻撃元場所２３２または攻撃先場所２３３のどちらに分類するかを判断するのに使用される。方向４０３＝「攻撃元」である文は攻撃元場所２３２に、方向「４０４」＝「攻撃先」である文は攻撃先場所２３３に分類される。

ＩＤ４０１＝１であるレコードは、想定形式４０２＝「Ａ国＊から」、方向４０３＝「攻撃元」である。このため、「Ａ国から」、「Ａ国ＸＸ地区から」といった文が「攻撃元」として分類される。

ＩＤ４０１＝２であるレコードは、想定形式４０２＝「Ｂ国＊から」、方向４０３＝「攻撃元」である。このため、「Ｂ国から」、「Ｂ国ＸＸ地区から」といった文が「攻撃元」として分類される。

ＩＤ４０１＝３であるレコードは、想定形式４０２＝「Ｃ国＊から」、方向４０３＝「攻撃元」である。このため、「Ｃ国から」、「Ｃ国ＸＸ地区から」といった文が「攻撃元」として分類される。

ＩＤ４０１＝４であるレコードは、想定形式４０２＝「Ａ国＊へ」、方向４０３＝「攻撃先」である。このため、「Ａ国へ」、「Ａ国ＸＸ地区へ」といった文が「攻撃先」として分類される。

ＩＤ４０１＝５であるレコードは、想定形式４０２＝「Ｂ国＊へ」、方向４０３＝「攻撃先」である。このため、「Ｂ国へ」、「Ｂ国ＸＸ地区へ」といった文が「攻撃先」として分類される。

ＩＤ４０１＝６であるレコードは、想定形式４０２＝「Ｃ国＊へ」、方向４０３＝「攻撃先」である。このため、「Ｃ国へ」、「Ｃ国ＸＸ地区へ」といった文が「攻撃先」として分類される。

ＩＤ４０１＝７であるレコードは、想定形式４０２＝「＜ｉｐａｄｒｅｓｓ＞から」、方向４０３＝「攻撃元」である。＜ｉｐａｄｒｅｓｓ＞はＩＰＡｄｒｅｓｓ全般を示す形式である。このため、「１９２．１６８．０．１から」、「１０．０．０．１から」といった文が「攻撃元」として分類される。

ＩＤ４０１＝８であるレコードは、想定形式４０２＝「＜ｉｐａｄｒｅｓｓ＞へ」、方向４０３＝「攻撃先」である。「１９２．１６８．０．１へ」、「１０．０．０．１へ」といった文が「攻撃先」として分類される。

ＩＤ４０１＝９であるレコードは、想定形式４０２＝「＜攻撃グループ＞から」、方向４０３＝「攻撃元」である。＜攻撃グループ＞は、一般的に知られているサイバー攻撃グループの名称全般を示す形式である。このため、「ＡＰＴ２８から」、「ＨｉｄｄｅｎＣｏｂｒａから」といった文が「攻撃元」として分類される。サイバー攻撃グループの名称としては別途、辞書データベースを保持し、変換可能であるものとする。

ＩＤ４０１＝１０であるレコードは、想定形式４０２＝「＜企業名＞へ」、方向４０３＝「攻撃先」である。＜企業名＞は、一般的に知られている企業の名称全般を示す形式である。このため、「△△自動車へ」、「〇〇電機へ」といった文が「企業」として分類される。企業の名称としては別途、辞書データベースを保持し、変換可能であるものとする。

このように、攻撃記述抽出部１１０は、国名・地域名・攻撃グループ名・企業名が記述された場所形式ＤＢ４００を参照し、攻撃場所を抽出する。攻撃記述抽出部１１０の処理手順については図７を用いて後述する。

図５（ｃ）に、事象形式ＤＢ５００の構成例を示す。本ＤＢは、攻撃記述抽出部１１０が、事象２３１に相当する文を元メッセージ２２０から抽出するのに使用される。各エントリは、事象２３１として抽出されるべき文の表現形式を示している。

ＩＤ５０１は、各レコードを一意に識別するための識別子である。

想定形式５０２は、事象として想定するキーワードを指定する。ここでの事象には、直接サイバー攻撃を示唆するものに加えて、過去の経験から、間接的に、サイバー攻撃につながる確度が高いと考えられる社会・政治・外交・軍事の事象も含まれる。

直接／間接５０３は、事象が直接的にサイバー攻撃を示唆するものか間接的に示唆するものかを区別するのに用いられる。

ＩＤ５０１＝１のレコードは、想定形式５０２＝「繋がりづらい」、直接／間接５０３＝「直接」である。

ＩＤ５０１＝２のレコードは、想定形式５０２＝「停止」、直接／間接５０３＝「直接」である。

ＩＤ５０１＝３のレコードは、想定形式５０２＝「個人情報流出」、直接／間接５０３＝「直接」である。

ＩＤ５０１＝４のレコードは、想定形式５０２＝「脅迫」、直接／間接５０３＝「直接」である。

ＩＤ５０１＝５のレコードは、想定形式５０２＝「経済制裁」、直接／間接５０３＝「間接」である。

ＩＤ５０１＝６のレコードは、想定形式５０２＝「武力行使」、直接／間接５０３＝「間接」である。

ＩＤ５０１＝７のレコードは、想定形式５０２＝「テロ予告」、直接／間接５０３＝「間接」である。

ＩＤ５０１＝８のレコードは、想定形式５０２＝「サイバー攻撃」、直接／間接５０３＝「直接」である。

ＩＤ５０１＝９のレコードは、想定形式５０２＝「対立中」、直接／間接５０３＝「間接」である。

このように、攻撃記述抽出部１１０は、サイバー攻撃を直接的に示す事象と、過去の経験に基づいて定められた、サイバー攻撃につながる可能性がある間接的な事象とを含む事象形式ＤＢ５００を参照し、攻撃事象を抽出する。攻撃記述抽出部１１０の処理手順については図７を用いて後述する。

尚、元メッセージ２２０における記述形式は、必ずしも想定形式５０２に一致しない場合が考えられる。例えば、ＩＤ５０１＝１の場合では、元メッセージ２２０には「つながらない」「つながりづらい」「接続ができない」など、意味は近いが異なる文体で記述されている場合が考えられる。このため、攻撃記述抽出部１１０は、Ｗｏｒｄ２Ｖｅｃといった機械学習技術を用いた処理を実行することで、想定形式５０２と類似度が高い文面を元メッセージ２２０から特定し、抽出してもよい。

図６（ａ）に、時刻変換ＤＢ６００の構成例を示す。本ＤＢには、サイバー語彙翻訳部１２０により、発生日時２３４をＤａｔｅ２４４に変換するのに用いられるルールが記述される。Ｄａｔｅ２４４が示す時刻の形式は「ＹＹＹ－ＭＭ－ＤＤ」である。例えば「２０１９－０９－１０」などが該当する。

ＩＤ６０１は各レコードを識別するための識別子である。

個別表現６０２は、発生日時２３４のうちＤａｔｅ２４４への変換対象となる文を示す。

標準表現６０３は、個別表現６０２をどのようにＤａｔｅ２４４へ変換するべきかを指示する演算子もしくは変換の結果を示す。

ＩＤ６０１＝１のレコードは、個別表現６０２として「令和ＹＹ年」、標準表現６０３として「ＹＹ＋２０１８」を持つ。このため、例えば発生日時２３４が「令和１年」の場合、Ｄａｔｅ２４４は２０１９（＝１＋２０１８）となる。

ＩＤ６０１＝２のレコードは、個別表現６０２として「上半期」、標準表現６０３として「０４～０９」を持つ。このため、例えば、発生日時２３４が「２０１９／０４／０９, 上半期」である場合、Ｄａｔｅ２４４は「２０１９／０４～２０１９／０９」となる。

ＩＤ６０１＝３のレコードは、個別表現６０２として「一―三一日」、標準表現６０３として「０１－３１」を持つ。この例えば、発生日時２４５が「三十一日」である場合、Ｄａｔｅ２４４は「３１」となる。

ＩＤ６０１＝４のレコードは、個別表現６０２として「一―十二月」、標準表現６０３として「０１－１２」を持つ。この例えば、発生日時２４５が「３月」である場合、Ｄａｔｅ２４４は「０３」となる。

ＩＤ６０１＝５のレコードは、個別表現６０２として「一昨日から」、標準表現６０３として「－２～０ｄａｙ」を持つ。この例えば、発生日時２４５が「２０１９／０９／１０、一昨日から」である場合、Ｄａｔｅ２４４は「２０１９／０９／０８～２０１９／０９／１０」となる。

ＩＤ６０１＝６のレコードは、個別表現６０２として「昨日から」、標準表現６０３として「－１～０ｄａｙ」を持つ。この例えば、発生日時２４５が「２０１９／０９／１０、昨日から」である場合、Ｄａｔｅ２４４は「２０１９／０９／０９～２０１９／０９／１０」となる。

図６（ｂ）に、場所変換ＤＢ７００の構成例を示す。本ＤＢはサイバー語彙翻訳部１２０により、攻撃元場所２３２および攻撃先場所２３３をＳｒｃＩＰ２４２及びＤｓｔＩＰ２４３に変換するのに用いられる。

ＩＤ７０１は各レコードを識別するための識別子である。

場所７０２は変換対象となる攻撃元場所２３２および攻撃先場所２３３を示す。

ＩＤ７０１＝１のレコードは、場所２５２＝「Ａ国」、ＩＰアドレス空間＝「ａ．０．０．０／８」を持つ。これは、Ａ国に割り当てられたＩＰアドレス空間がａ．０．０．０～ａ．０．０．２５５であることを意味する。

ＩＤ７０１＝２のレコードは、場所２５２＝「Ｂ国」、ＩＰアドレス空間＝「ｂ．０．０．０／８」を持つ。

ＩＤ７０１＝３のレコードは、場所２５２＝「Ｃ国」、ＩＰアドレス空間＝「ｃ．０．０．０／８」を持つ。

ＩＤ７０１＝４のレコードは、場所２５２＝「Ｄ国」、ＩＰアドレス空間＝「ｄ．０．０．０／８」を持つ。

ＩＤ７０１＝５のレコードは、場所２５２＝「＜ＩＰ ａｄｄｒｅｓｓ＞」、ＩＰアドレス空間＝「＜ＩＰ ａｄｄｒｅｓｓ＞」を持つ。これは、元々のＩＰアドレスがそのままの形式でＳｒｃＩＰ２４２またはＤｓｔＩＰ２４３になることを意味する。

ＩＤ７０１＝６のレコードは、場所２５２＝「＜攻撃グループ＞」、ＩＰアドレス空間＝「＜攻撃グループに紐づくＩＰ＞」を持つ。これは、＜攻撃グループ＞が使用していることが明らかになっているＩＰアドレスがＳｒｃＩＰ２４２またはＤｓｔＩＰ２４３になることを意味する。＜攻撃グループ＞が使用するＩＰアドレスは、別途データベースで管理されていることを想定する。

ＩＤ７０１＝７のレコードは、場所２５２＝「＜企業名＞」、ＩＰアドレス空間＝「＜企業に紐づくＩＰ＞」を持つ。これは、＜企業名＞が使用していることが明らかになっているＩＰアドレスがＳｒｃＩＰ２４２またはＤｓｔＩＰ２４３になることを意味する。＜企業名＞が使用するＩＰアドレスは別途データベースで管理されていることを想定する。

このように、サイバー語彙翻訳部１２０は、攻撃場所とＩＰアドレス空間とを対応付ける場所変換ＤＢ７００を参照し、攻撃場所をサイバー語彙上の場所に変換する。サイバー語彙翻訳部１２０の処理手順については図８を用いて後述する。

図６（ｃ）に、事象変換ＤＢ８００の構成例を示す。本ＤＢはサイバー語彙翻訳部１２０により、事象２３１をＡｔｔａｃｋＶｅｃｔｏｒ２４１に変換するのに用いられる。
ＩＤ８０１は各レコードを識別するための識別子である。
事象８０２は変換対象となる事象２３１を示す。

攻撃種類８０３は、事象２３１に対応するサイバー攻撃の種類を示し、この値がＡｔｔａｃｋＶｅｃｔｏｒ２４１に入力される。具体的なサイバー攻撃の種類を特定できない場合は＜Ｕｎｋｎｏｗｎ＞が入力される。

攻撃確度８０４は、事象８０２が攻撃につながる確度を定量的に表現した値である。値が大きいほど確度は高くなる。

ＩＤ＝１は、事象８０２＝「繋がりづらい」、攻撃種類８０２＝「ＤＤｏＳ」、攻撃確度８０４＝「＋５」であるレコードを示す。

ＩＤ＝２は、事象８０２＝「停止」、攻撃種類８０３＝「Ｄｉｓｒｕｐｔｉｖｅ Ｍａｌｗａｒｅ」、攻撃確度８０４＝「＋５」であるレコードを示す。

ＩＤ＝３は、事象８０２＝「個人情報流出」、攻撃種類８０２＝「Ｉｎｆｏｒｍａｔｉｏｎ Ｌｅａｋ」、攻撃確度８０４＝「＋１０」であるレコードを示す。

ＩＤ＝４は、事象８０２＝「脅迫」、攻撃種類８０２＝「Ｒａｎｓｏｍｗａｒｅ」、攻撃確度８０４＝「＋３」であるレコードを示す。

ＩＤ＝５は、事象８０２＝「経済制裁」、攻撃種類８０２＝「＜Ｕｎｋｎｏｗｎ＞」、攻撃確度８０４＝「＋３」であるレコードを示す。

ＩＤ＝６は、事象８０２＝「武力行使」、攻撃種類８０２＝「＜Ｕｎｋｎｏｗｎ＞」、攻撃確度８０４＝「＋５」であるレコードを示す。

ＩＤ＝７は、事象８０２＝「テロ予告」、攻撃種類８０２＝「＜Ｕｎｋｎｏｗｎ＞」、攻撃確度８０４＝「＋３」であるレコードを示す。

ＩＤ＝８は、事象８０２＝「サイバー攻撃」、攻撃種類８０２＝「＜Ｕｎｋｎｏｗｎ＞」、攻撃確度８０４＝「＋１０」であるレコードを示す。

ＩＤ＝９は、事象８０２＝「対立中」、攻撃種類８０２＝「＜Ｕｎｋｎｏｗｎ＞」、攻撃確度８０４＝「＋１」であるレコードを示す。

このように、サイバー語彙翻訳部１２０は、攻撃事象とサイバー攻撃種類と攻撃の発生確度とを対応付ける事象変換ＤＢ８００を参照し、攻撃事象をサイバー語彙上の攻撃事象に変換する。サイバー語彙翻訳部１２０の処理手順については図８を用いて後述する。

尚、事象２３１における記述形式は、必ずしも事象３２１に一致しない場合が考えられる。例えば、ＩＤ８０１＝１の場合では、事象２３１には「つながらない」「つながりづらい」「接続ができない」など、意味は近いが異なる文体で記述されている場合が考えられる。このため、サイバー語彙翻訳部１２０は、Ｗｏｒｄ２Ｖｅｃといった機械学習技術用いた処理を実行することで、事象８０２と類似度が高い事象２３１を特定し、抽出してもよい。

（処理ステップ）
図７は、攻撃記述抽出部１１０の処理ステップを示すフローチャートである。以下に示すように、攻撃記述抽出部１１０は、受信したＯＳＩＮＴから、攻撃に関連する記述として、攻撃場所、攻撃時刻、攻撃事象を含む記述を抽出し、情報保管ＤＢ２００に格納している。

処理ステップＳ１００１において、攻撃記述抽出部１１０は、ＯＳＩＮＴ受付部１１０を介して、ＯＳＩＮＴ処理装置３０より、ＯＳＩＮＴメッセージＭ２を受信する。当該受信においては、ＯＳＩＮＴ処理装置３０が任意のタイミングでＯＳＩＮＴメッセージＭ２を攻撃記述抽出部１１０に送信するいわゆるプッシュ型であっても、攻撃記述抽出部１１０が任意のタイミングでＯＳＩＮＴ処理装置３０からＯＩＳＮＴメッセージＭ２を取得するいわゆるプル型のいずれであってもよい。

処理ステップＳ１００２において、攻撃記述抽出部１１０は、ＯＳＩＮＴメッセージＭ２に対して分かち書きを行う。ここでいう分かち書きとは、文を、言葉の区切りに従って分割する処理を指す。英語のようにあらかじめ語句が空白により分割されている言語においては、本処理ステップは必ずしも実行しなくてもよい。Ｅ１の例では、文は以下の通りに分割される。ここではスラッシュを区切り文字とする。以降では分かち書きにより分割された語句をトークンと呼称する。

／［令和元年六月十日］／昨日から、／外交で／対立中の／Ａ国から／Ｂ国インフラ企業へ／サイバー攻撃／が／発生、／Ｉｎｔｅｒｎｅｔに／繋がりづらい／模様／
次に、全てのトークンに対して処理ステップＳ１００３～処理Ｓ１００５が順々に適用される。ただし、隣り合う連続した複数のトークンを１つのトークンとして処理してもよい。

処理ステップＳ１００３においては、攻撃記述抽出部１１０は、トークンの中から時刻に関する情報を含んでいるものを時刻形式ＤＢ３００に従って抽出する。Ｅ１、Ｅ２の例では、／［令和元年六月十日］／がＩＤ３０１＝３のレコードに一致し、／昨日から、／が、ＩＤ３０１＝４のレコードに一致するため、それぞれ抽出される。

処理ステップＳ１００４においては、攻撃記述抽出部１１０は、トークンの中から場所に関する情報を含んでいるものを場所形式ＤＢ４００に従って抽出する。Ｅ１、Ｅ２の例では、／Ａ国から／がＩＤ４０１＝１のレコードに一致し、／Ｂ国インフラ企業へ／がＩＤ４０１＝５のレコードに一致するため、それぞれ抽出される。

処理ステップＳ１００５においては、攻撃記述抽出部１１０は、トークンの中から事象に関する情報を含んでいるものを事象形式ＤＢ５００に従って抽出する。Ｅ１、Ｅ２の例では、／対立中／がＩＤ５０１＝９のレコードに一致し、／サイバー攻撃／がＩＤ５０１＝８のレコードに一致し、／Ｉｎｔｅｒｎｅｔに／繋がりづらい／がＩＤ５０１＝１のレコードに一致するため、それぞれ抽出される。

処理ステップＳ１００６においては、攻撃記述抽出部１１０は、処理Ｓ１００３～処理Ｓ１００５で抽出したトークンを集約する。

処理ステップＳ１００７においては、攻撃記述抽出部１１０は、処理Ｓ１００５において事象に関連するトークンが１つ以上、抽出されたか否かを判定する。攻撃記述抽出部１１０は、もし事象に関連するトークンが１つ以上されていないと判定した場合（Ｓ１００７；Ｎｏ）、そもそも受信したＯＳＩＮＴメッセージＭ２にはサイバー攻撃に関連しうる情報が記載されていなかったと判断し、処理を終了する。

一方、攻撃記述抽出部１１０は、事象に関連するトークンが１つ以上抽出されていたと判定した場合（Ｓ１００７；Ｙｅｓ）、Ｓ１００８に遷移する。尚、時刻および場所にしては、トークンが抽出されていなくてもよい。

処理ステップＳ１００８においては、攻撃記述抽出部１１０は、受信したＯＳＩＮＴメッセージＭ２および抽出されたトークンを情報保管ＤＢ２００に保存する。まず、受信されたＯＳＩＮＴメッセージＭ２は、情報保管ＤＢ２００に新規レコードとして保管される。このとき、メッセージの内容は元メッセージ２２０として保存される。次に、Ｓ１００３で抽出されたトークンは発生日時２３４として保管される。次に、Ｓ１００４で抽出されたトークンは、方向４００の値に応じて攻撃元場所２３２もしくは攻撃先場所２３３として保管される。次に、Ｓ１００５で抽出されたトークンは事象２３１として保管される。尚、本段階では、サイバー語彙２４０、アラート２５０、攻撃確度２６０、類似度２７０は空白のままである。

図８は、サイバー語彙翻訳部１２０の処理ステップを示すフローチャートである。以下に示すように、サイバー語彙翻訳部１２０は、あらかじめ定められた変換形式にしたがって、攻撃記述抽出部１１０が抽出した攻撃場所、攻撃時刻、攻撃事象を、それぞれサイバー語彙上の場所、サイバー語彙上の攻撃時刻、サイバー語彙上の攻撃事象に変換する。

処理ステップＳ２００１において、サイバー語彙翻訳部１２０は、情報保管ＤＢ２００から攻撃記述２３０を取得する。ここで取得対象となるのはサイバー語彙２４０が空白であるレコードである。

次いで、処理ステップＳ２００２、Ｓ２００３、Ｓ２００４において、攻撃記述２３０の各構成要素がサイバー語彙に変換される。

処理ステップＳ２００２において、サイバー語彙翻訳部１２０は、時刻変換ＤＢ６００を参照に、発生日時２３４をＤａｔｅ２４４に変換する。Ｅ２、Ｅ３の例では、「［令和元年六月十日］」がＩＤ６０１＝１、ＩＤ６０１＝３、ＩＤ６０１＝４のレコードに従って、２０１９―０６―０９に変換される。次いで、「昨日から」がＩＤ６０１＝４に従って「－１～０ｄａｙ」に変換される。最終的には両者を合わせて、「２０１９―０６－０９～２０１９－０６－１０」がサイバー語彙となる。

処理ステップＳ２００３において、サイバー語彙翻訳部１２０は、場所変換ＤＢ７００を参照に、攻撃元場所２３２をＳｒｃＩＰ２４２に、攻撃先場所２３３をＤｓｔＩＰ２４３にそれぞれ変換する。Ｅ２、Ｅ３の例では「Ａ国から」が、ＩＤ７０１＝１のレコードに従って「ａ．０．０．０／８」に変換される。次いで、「Ｂ国インフラ企業へ」が、ＩＤ７０１＝２のレコードに従って「ｂ．０．０．０／８」に変換される。

処理ステップＳ２００４において、サイバー語彙翻訳部１２０は、事象変換ＤＢ８００を参照に、事象２３１をＡｔｔａｃｋＶｅｃｔｏｒ２４１に変換する。Ｅ２、Ｅ３の例では「Ｉｎｔｅｒｎｅｔに繋がりづらい」は、ＩＤ８０１＝１の処理に従って「ＤＤｏＳ」に変換される。一方、ＩＤ８０１＝８の「サイバー攻撃」、ＩＤ８０１＝９の「対立中」に対応するサイバー語彙は「Ｕｎｋｎｏｗｎ」であるため、ＡｔｔａｃｋＶｅｃｔｏｒ２４１には変換されない。

また、処理ステップＳ２００４においては、サイバー語彙翻訳部１２０は、事象８０２を基に攻撃確度２６０を求める。Ｅ２、Ｅ３の例では、ＩＤ８０１＝１、８、９のレコードの攻撃確度８０４の値はそれぞれ「＋５」、「＋１０」、「＋１」である。攻撃確度２６０は、攻撃確度８０４のそれぞれの値の合計値として求めてもよいし、その他、幾何平均、調和平均、重みづけ平均など一般的な算術式を用いてもよい。攻撃確度８０４の値との合計値として攻撃確度２６０を求めると、その値は、１６（＝５＋１０＋１）となる。

処理ステップＳ２００５においては、サイバー語彙翻訳部１２０は、これまでの処理ステップの結果を情報保管ＤＢ２００に保管する。

図９は、語彙類似度算出部１３０の処理ステップを示すフローチャートである。以下に示すように、語彙類似度算出部１３０は、サイバー語彙上の場所、サイバー語彙上の攻撃時刻、サイバー語彙上の攻撃事象と、セキュリティアラートに含まれる場所、時刻、事象とを用いて、サイバー語彙とセキュリティアラートとの類似度を算出する。

処理ステップＳ３００１では、語彙類似度算出部１３０は、リクエスト受付部１４０を介して、インシデント処理装置５０より、検索リクエストＭ３を受信する。検索リクエストＭ３の中に含まれているアラートＭ５を対象に、語彙類似度算出部１３０は対応するＯＳＩＮＴを検索する。

処理ステップＳ３００２では、語彙類似度算出部１３０は、アラートＭ５から必要な情報を抽出する。ここで必要な情報とは、アラートの発生時刻、攻撃の種類、送信元ＩＰアドレス、送信先ＩＰアドレスであり、それぞれ、Ｄａｔｅ２５４、ＡｔｔａｃｋＶｅｃｔｏｒ２５１、ＳｒｃＩＰ２５２、ＤｓｔＩＰ２５３が対応する。以後、アラートＭ５内の情報を指し示す時もＤａｔｅ２５４、ＡｔｔａｃｋＶｅｃｔｏｒ２５１、ＳｒｃＩＰ２５２、ＤｓｔＩＰ２５３を用いる。

処理ステップＳ３００３では、語彙類似度算出部１３０は、情報保管ＤＢ２００の各レコードのサイバー語彙２４０を取得し、レコードごとに、アラートＭ３との間で類似度を計算する。レコードの算出は処理ステップＳ３００４、Ｓ３００５、Ｓ３００６に従う。

尚、時間経過とともに情報保管ＤＢ２００のレコード数は増加するため、類似度算出対象となるレコードは増えていく。処理を効率的に実施するため、算出対象のレコードを、アラートＭ３を受信した日時を起点として過去一定期間以内（たとえば一週間以内）に作成されたものに限定してもよい。

処理ステップＳ３００４では、語彙類似度算出部１３０は、Ｄａｔｅ２４４とＤａｔｅ２５４との類似度を算出する。類似度のスケールはどのような値域を用いてもよいが、ここでは類似度は０から２５までの値をとるものとする。類似度の具体的な算出方法は様々に考えられるが、１つの例としては、Ｄａｔｅ２５４がＤａｔｅ２４４に含まれる場合は、「２５」、一日の相違がある場合は「１５」、二日の相違がある場合は「５」、それ以上の相違がある場合は「０」とする、いったように、日にち間の相違と類似度の値を対応付けることである。Ｅ２、Ｅ３の例では、一日の相違があるため、ここでの類似度は「１５」となる。また、Ｄａｔａ２４４が空白である場合、類似度は「０」となる。

処理ステップＳ３００５では、語彙類似度算出部１３０は、ＳｒｃＩＰ２４２とＳｒｃＩＰ２５２、および、ＤｓｔＩＰ２４３とＤｓｔＩＰ２５３の間の類似度を計算する。類似度のスケールはどのような値域を用いてもよいが、ここでは類似度は０から２５までの値をとるものとする。類似度の具体的な算出方法は様々に考えられるが、１つの例としては、ＳｒｃＩＰ２５２がＳｒｃＩＰ２４２に含まれる場合は「２５」、第一オクテットに１つの相違がある場合は「１５」、２つの相違がある場合は「５」、それ以上の相違がある場合は「０」とする、といったようにアドレス間の値の相違と類似度の値を対応付けることである。Ｅ２、Ｅ３の例では、ＳｒｃＩＰ２５２はＳｒｃＩＰ２４２に含まれ、同様にＤｓｔＩＰ２５３はＤｓｔＩＰ２４３に含まれるため、送信元ＩＰアドレス、送信先ＩＰアドレスの類似度はいずれも「２５」となる。また、ＳｒｃＩＰ２４２が空白である場合、類似度は「０」となる。同様に、ＤｓｔＩＰ２４３が空白である場合、類似度は「０」となる。

また、一方で類似度の比較対象としては、ＳｒｃＩＰ２４２とＤｓｔＩＰ２５３、および、ＤｓｔＩＰ２４３とＳｒｃＩＰ２５２の間で行ってもよい。これは、サイバー攻撃を受けた相手が攻撃側に対して反撃を行う場合などは、送信元と送信先がＯＳＩＮＴとアラートとで逆転する場合があるためである。

処理ステップＳ３００６では、語彙類似度算出部１３０は、ＡｔｔａｃｋＶｅｃｔｏｒ２４１とＡｔｔａｃｋＶｅｃｔｏｒ２５１の間の類似度を計算する。類似度のスケールはどのような値域を用いてもよいが、ここでは類似度は０から２５までの値をとるものとする。類似度の具体的な算出方法は様々に考えられるが、１つの例としては、ＡｔｔａｃｋＶｅｃｔｏｒ２４１とＡｔｔａｃｋＶｅｃｔｏｒ２５１の中に、共通する単語が１つ以上含まれている場合は「２５」、そのほかの場合は「０」とする方法である。Ｅ２、Ｅ３の例では、ＡｔｔａｃｋＶｅｃｔｏｒ２４１とＡｔｔａｃｋＶｅｃｔｏｒ２５１のいずれにも「ＤＤｏＳ」という単語が含まれているため、類似度は「２５」である。ＡｔｔａｃｋＶｅｃｔｏｒ２４１に記載された項目が＜Ｕｎｋｎｏｗｎ＞にしかない場合、類似度は「０」となる。

処理ステップＳ３００７では、語彙類似度算出部１３０は、Ｓ３００４、Ｓ３００５、Ｓ３００６までに求めた類似度及び攻撃確度２６０を基に統合類似度を算出する。統合類似度の具体的な算出方法としては、各類似度の単純な合計値でもよいし、その他、幾何平均、調和平均、重みづけ平均など一般的な算術式を用いてもよい。重みづけ平均を用いる場合、Ｓ３００４、Ｓ３００５、Ｓ３００６で計算された各々の類似度、および攻撃確度２６０に対して一定の重みの値を掛け合わせたのちに、合計値を求めることになる。ここでは、単純な合計値を統合類似度の算出方法として用いることにすると、Ｅ２、Ｅ３の例では統合類似度＝「１１１（１５＋２５＋２５＋２５＋１６）」と定まる。

このように、語彙類似度算出部１３０は、セキュリティアラートに含まれる事象が攻撃につながる確度を定量的に表した攻撃の発生確度を用いて、サイバー語彙とセキュリティアラートとの類似度を算出する。

処理ステップＳ３００８では、語彙類似度算出部１３０は、処理ステップＳ３００７で求めた統合類似度があらかじめ決められた閾値よりも高いか否かを判定する。語彙類似度算出部１３０は、閾値よりも統合類似度が高いと判定した場合（Ｓ３００８；Ｙｅｓ）、Ｓ３００３で処理対象となったサイバー語彙２４０はアラートＭ５との関連性が高いと判断し、Ｓ３００９に進む。

また、別の手段として、Ｓ３００４、Ｓ３００５、Ｓ３００６で計算された各々の類似度、および攻撃確度２６０に対してそれぞれ個別の閾値を設け、全てもしくは一定数以上の値が閾値を超えた場合に、Ｓ３００９に進むという方法をとってもよい。

処理ステップＳ３００９では、語彙類似度算出部１３０は、関連性が高いと判断されたサイバー語彙２４０に対応づく元メッセージ２２０および統合類似度の値を、検索レスポンスＭ４としてインシデント処理装置５０に送信する。関連性が高いと判断されたサイバー語彙２４０が複数ある場合は、その数だけ検索レスポンスＭ４は送信される。

また、語彙類似度算出部１３０は、関連するアラートＭ５をアラート２５０として保存する。すでに、アラート２５０に別のアラートに関する値が保存されている場合は、アラート２５０と同形式をとるアラート２５０－１を作成し、そこに値を保存する。類似度２７０についても同様である。

インシデント処理装置５０は、検索レスポンスＭ４がインシデント・レスポンスを行う際に有用であったかどうかを定量的もしくは定性的に評価して、フィードバックＭ６として、セキュリティ情報関連付け装置１０に送信してもよい。評価値が悪かった場合（例えば、５段階評価で、１、２であった場合）、語彙類似度算出部１０は、サイバー語彙とセキュリティアラートとの類似度を算出するための各種パラメータの変更を行い、類似度算出処理の改善を図ってもよい。具体的には、語彙類似度算出部１０は、統合類似度に対する閾値を高くする、あるいは重みづけ平均を用いている場合は、相対的に高い重みの値を一定量下げるなどの処理が考えられる。

図１０は、インシデント処理装置５０において、検索対象となるアラートＭ５および検索レスポンスＭ４に含まれる元メッセージ２２０をアナリストに提示する方法の一例である。以下に示すように、語彙類似度算出部１３０は、サイバー語彙とセキュリティアラートとの類似度が一定以上であるＯＳＩＮＴを、関連ＯＳＩＮＴとしてセキュリティアラートの送信元となる端末（例えば、インシデント処理装置５０）に送信する。

アナリストが、インシデント処理装置５０を操作して、図１０に示す提示画面に表示された、検索対象とするアラートをアラート一覧Ｕ１のアラート欄から選択し、検索ボタンＵ２を押下する。インシデント処理装置５０は、検索ボタンＵ２が押下されることで、検索リクエストＭ３をセキュリティ情報関連付け装置１０に送信する。セキュリティ情報関連付け装置１０は、検索リクエストＭ３に含まれるアラートとの関連性が高いと判断されたサイバー語彙２４０に対応づく元メッセージ２２０および統合類似度の値を、検索レスポンスＭ４としてインシデント処理装置５０に送信する。

インシデント処理装置５０は、その結果であるＯＳＩＮＴおよび統合類似度を含む検索レスポンスＭ４をセキュリティ情報関連付け装置１０から受信し、当該ＯＳＩＮＴおよび統合類似度を、上記提示画面に含まれるアラート一覧Ｕ１の関連ＯＳＩＮＴ欄、類似度欄にそれぞれ表示する。アナリストは、アラート一覧Ｕ１に提示された関連ＯＳＩＮＴの有用性を評価し、その結果をフィードバックフォームＵ３に入力する。インシデント処理装置５０は、フィードバックフォームＵ３に入力された上記有用性についての評価結果を、フィードバックＭ６としてセキュリティ情報関連付け装置１０に送信することができる。セキュリティ情報関連付け装置１０は、インシデント処理装置５０から上記有用性についての評価結果を受信すると、上記ＯＳＩＮＴおよび統合類似度あるいは図４に示した情報保管ＤＢ２００に記憶されている元メッセージ２２０に対応づけて上記評価結果を記憶する。

そして、語彙類似度算出部１３０は、上記送信元となる端末において入力されたＯＳＩＮＴの有用性を評価したフィードバック値に基づき、サイバー語彙とセキュリティアラートとの類似度の算出に用いたパラメータまたは／および閾値を変更し、セキュリティ情報関連付け装置１０に反映させる等の処理を実行する。

このように、本実施例では、攻撃記述抽出部１１０が、ネットワークを介して収集されたＯＳＩＮＴから、攻撃に関連する記述を抽出し、サイバー語彙翻訳部１２０が、攻撃記述抽出部１１０により抽出された記述をサイバー語彙に翻訳し、語彙類似度算出部１３０が、サイバー語彙翻訳部１２０により変換されたサイバー語彙と、セキュリティ機器４０から発信されたセキュリティアラートとの類似度を算出し、セキュリティアラートに関連性が高いＯＳＩＮＴを特定する。したがって、インシデント・レスポンス発生時に、自然言語で記述され非構造的な公開情報と、固有の文体・構造で記述されたセキュリティアラートとを関連づけることにより、インシデント・レスポンスを実施するオペレータやアナリストは、アラート情報と関連性が高いＯＳＩＮＴを容易に検索することができ、アナリストの効果的・大局的な分析・判断を支援することができる。

Ｎ１・・・通信ネットワーク、Ｎ２・・・通信ネットワーク、Ｎ３・・・通信ネットワーク、Ｎ４・・・通信ネットワーク、Ｍ１・・・Ｗｅｂメッセージ、Ｍ２・・・ＯＳＩＮＴメッセージ、Ｍ３・・・検索リクエスト、Ｍ４・・・検索レスポンス、Ｍ５・・・アラート、Ｍ６・・・フィードバック、１０・・・セキュリティ情報関連付け装置、１００・・・ＯＳＩＮＴ受付部、１１０・・・攻撃記述抽出部、１２０・・・サイバー語彙翻訳部、１３０・・・語彙類似度算出部、１４０・・・リクエスト受付部、２００・・・情報保管ＤＢ，３００・・・時刻形式ＤＢ、４００・・・場所形式ＤＢ、５００・・・事象形式ＤＢ、６００・・・時刻変換ＤＢ、７００・・・場所変換ＤＢ、８００・・・事象変換ＤＢ，２０・・・Ｗｅｂサイト、３０・・・ＯＳＩＮＴ処理装置、４０・・・セキュリティ機器

Claims (12)

1. ネットワークを介して収集されたＯＳＩＮＴ（Ｏｐｅｎ Ｓｏｕｒｃｅ Ｉｎｔｅｌｌｉｇｅｎｃｅ）から、攻撃に関連する記述を抽出する攻撃記述抽出部と、
   前記攻撃記述抽出部により抽出された前記記述をサイバー語彙に翻訳するサイバー語彙翻訳部と、
   前記サイバー語彙翻訳部により変換されたサイバー語彙と、セキュリティ機器から発信されたセキュリティアラートとの類似度を算出し、前記セキュリティアラートに関連性が高い前記ＯＳＩＮＴを特定する語彙類似度算出部と、
   を有することを特徴とする情報セキュリティ支援システム。
2. 前記攻撃記述抽出部は、前記ＯＳＩＮＴから、前記攻撃に関連する記述として、攻撃場所、攻撃時刻、攻撃事象を含む記述を抽出する、
   ことを特徴とする請求項１に記載の情報セキュリティ支援システム。
3. 前記攻撃記述抽出部は、国名・地域名・攻撃グループ名・企業名が記述された場所形式データベースを参照し、前記攻撃場所を抽出する、
   ことを特徴とする請求項２に記載の情報セキュリティ支援システム。
4. 前記攻撃記述抽出部は、サイバー攻撃を直接的に示す事象と、過去の経験に基づいて定められた、サイバー攻撃につながる可能性がある間接的な事象とを含む事象形式データベースを参照し、前記攻撃事象を抽出する、
   ことを特徴とする請求項２に記載の情報セキュリティ支援システム。
5. 前記サイバー語彙翻訳部は、あらかじめ定められた変換形式にしたがって、前記攻撃記述抽出部が抽出した前記攻撃場所、前記攻撃時刻、前記攻撃事象を、それぞれサイバー語彙上の場所、サイバー語彙上の攻撃時刻、サイバー語彙上の攻撃事象に変換する、
   ことを特徴とする請求項２に記載の情報セキュリティ支援システム。
6. 前記サイバー語彙翻訳部は、前記攻撃場所とＩＰアドレス空間とを対応付ける場所変換データベースを参照し、前記攻撃場所を前記サイバー語彙上の場所に変換する、
   ことを特徴とする請求項５に記載の情報セキュリティ支援システム。
7. 前記サイバー語彙翻訳部は、前記攻撃事象とサイバー攻撃種類と攻撃の発生確度とを対応付ける事象変換データベースを参照し、前記攻撃事象を前記サイバー語彙上の攻撃事象に変換する、
   ことを特徴とする請求項５に記載の情報セキュリティ支援システム。
8. 前記語彙類似度算出部は、前記サイバー語彙上の場所、前記サイバー語彙上の攻撃時刻、前記サイバー語彙上の攻撃事象と、前記セキュリティアラートに含まれる場所、時刻、事象とを用いて前記類似度を算出する、
   ことを特徴とする請求項５に記載の情報セキュリティ支援システム。
9. 前記語彙類似度算出部は、前記セキュリティアラートに含まれる事象が攻撃につながる確度を定量的に表した前記攻撃の発生確度を用いて、前記類似度を算出する、
   ことを特徴とする請求項８に記載の情報セキュリティ支援システム。
10. 前記語彙類似度算出部は、前記類似度が一定以上である前記ＯＳＩＮＴを、関連ＯＳＩＮＴとして前記セキュリティアラートの送信元となる端末に送信する、
    ことを特徴とする請求項１に記載の情報セキュリティ支援システム。
11. 前記語彙類似度算出部は、前記送信元となる端末において入力された前記ＯＳＩＮＴの有用性を評価したフィードバック値に基づき、前記類似度の算出に用いたパラメータまたは／および閾値を変更する、
    ことを特徴とする請求項１０に記載の情報セキュリティ支援システム。
12. 攻撃記述抽出部が、ネットワークを介して収集されたＯＳＩＮＴから、攻撃に関連する記述を抽出し、
    サイバー語彙翻訳部が、前記攻撃記述抽出部により抽出された前記記述をサイバー語彙に翻訳し、
    語彙類似度算出部が、前記サイバー語彙翻訳部により変換されたサイバー語彙と、セキュリティ機器から発信されたセキュリティアラートとの類似度を算出し、前記セキュリティアラートに関連性が高い前記ＯＳＩＮＴを特定する、
    ことを特徴とする情報セキュリティ支援方法。

Images