JP7309098B2 - 攻撃進捗評価装置、攻撃進捗評価方法、及び、攻撃進捗評価プログラム - Google Patents

Description

本開示は、攻撃進捗評価装置、攻撃進捗評価方法、及び、攻撃進捗評価プログラムに関する。

セキュリティの弱点である脆弱性は社会的に問題となっており、近年では、システムのリリース前又は製品出荷前等に脆弱性の有無及び脆弱性の深刻度等を調査する脆弱性検査を実施することが求められている。脆弱性検査の一手法として知られているペネトレーションテストでは、対象システムに対して疑似的にサイバー攻撃を行うことにより、脆弱性の有無及び脆弱性を悪用されたときの深刻度、さらにはサイバー攻撃を検知することができるか否かを調査する。従来のペネトレーションテストは、専門的知識のあるペネトレーションテスターによって手動で行われていた。しかしながら、セキュリティ人材の不足が続いているために専門的知識がない人でもペネトレーションテストが行えるよう、ペネトレーションテストを自動実行する技術の開発が進んでいる。

特許文献１は、システムが持つ脆弱性に基づいてセキュリティ診断を実施する技術を開示している。本技術では、システムが脆弱性を持ち得るポイントに対して脆弱性を持つか否かを判断し、脆弱性を持つポイントから攻撃ルートを探索し、探索して発見された攻撃ルートにおいて到達することができる資産情報の重要度に応じてサイバー攻撃の被害規模を判定することによりセキュリティ診断を行う。

特開２００８－２５７５７７号公報

実際のサイバー攻撃では脆弱性を示す脆弱性情報だけでなく資産情報も活用して攻撃ルートが探索されることが多いものの、特許文献１の技術では、攻撃ルートを探索する際に、脆弱性情報を活用しているものの資産情報を活用していないという課題がある。

本開示は、脆弱性情報だけでなく資産情報も活用して攻撃ルートを探索することを目的とする。

本開示に係る攻撃進捗評価装置は、
情報を窃取するサイバー攻撃を模擬実行する攻撃進捗評価装置であって、
前記サイバー攻撃における目標を達成した度合いを示す目標達成度を、前記攻撃進捗評価装置が窃取した情報に基づいて算出する目標達成度演算部と、
前記目標達成度に応じて前記サイバー攻撃の攻撃ルートを変更するか否かを判断する攻撃ルート変更判断部と
を備える。

本開示によれば、攻撃ルート変更判断部が目標達成度に応じてサイバー攻撃の攻撃ルートを変更するか否かを判断する。目標達成度はサイバー攻撃における目標を達成した度合いを示すため、典型的には資産情報に基づいて定まる。そのため、本開示によれば、脆弱性情報だけでなく資産情報も活用して攻撃ルートを探索することができる。

実施の形態１に係る攻撃進捗評価装置１００の構成例を示す図。 実施の形態１に係る攻撃目標ＤＢ（Ｄａｔａｂａｓｅ）１０７を説明する図。 実施の形態１に係る脆弱性スコアＤＢ１１０を説明する図。 実施の形態１に係る攻撃進捗評価装置１００のハードウェア構成例を示す図。 実施の形態１に係る攻撃進捗評価装置１００のハードウェア構成例を示す図。 実施の形態１に係る攻撃進捗評価装置１００の動作を示すフローチャート。 攻撃ルート変更を説明する図。 実施の形態１の変形例に係るコンピュータ１０のハードウェア構成例を示す図。

実施の形態の説明及び図面において、同じ要素及び対応する要素には同じ符号を付している。同じ符号が付された要素の説明は、適宜に省略又は簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。また、「部」を、「回路」、「工程」、「手順」、「処理」又は「サーキットリー」に適宜読み替えてもよい。

実施の形態１．
以下、本実施の形態について、図面を参照しながら詳細に説明する。

＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る攻撃進捗評価装置１００の構成例を示している。攻撃進捗評価装置１００はサイバー攻撃進捗評価装置とも呼ばれる。攻撃進捗評価装置１００は、情報を窃取するサイバー攻撃を模擬実行する。
攻撃進捗評価装置１００は、攻撃実行部１０１と、攻撃結果収集部１０２と、関連情報収集部１０３と、攻撃進行度演算部１０４と、目標達成度演算部１０５と、攻撃ルート変更判断部１０６と、攻撃目標ＤＢ１０７と、関連情報ＤＢ１０８と、攻撃成果ＤＢ１０９と、脆弱性スコアＤＢ１１０と、攻撃進行度スコアＤＢ１１１と、目標達成度スコアＤＢ１１２とから構成される。サイバー攻撃は、典型的には疑似的な又は模擬的なサイバー攻撃を指す。サイバー攻撃を単に攻撃と表記することもある。サイバー攻撃実行部１０１はサイバー攻撃実行部とも呼ばれる。攻撃結果収集部１０２はサイバー攻撃結果収集部とも呼ばれる。関連情報収集部１０３は攻撃目標関連情報収集部とも呼ばれる。関連情報ＤＢ１０８は攻撃目標関連情報ＤＢとも呼ばれる。

攻撃実行部１０１は、現在取得している周囲の状況からサイバー攻撃の手段を選択し、選択した手段を実行することにより攻撃対象に対してサイバー攻撃を実行する。周囲の状況は、具体例として、発見した脆弱性又は攻撃対象のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の種類である。

攻撃結果収集部１０２は、サイバー攻撃を実行した際に得られる情報を収集する。当該情報は、具体例として、発見した脆弱性情報、発見した開放ポートの情報、又は、窃取した認証情報である。攻撃結果収集部１０２が収集した情報は、攻撃成果ＤＢ１０９に格納される。

関連情報収集部１０３は、事前に定義された攻撃の目標に関連する情報を収集する。具体例として、攻撃の目標が「機密情報の奪取」であるとき、関連情報収集部１０３は、侵入した端末においてファイル又はメール等の情報を収集する。関連情報収集部１０３が収集した情報は、関連情報ＤＢ１０８に格納される。ここで、侵入した端末において関連情報収集部１０３が窃取する情報であって、ファイル又はメール等の情報は資産情報である。

攻撃進行度演算部１０４は、攻撃成果ＤＢ１０９が示す情報と、脆弱性スコアＤＢ１１０が示す情報とを入力とし、サイバー攻撃の進行状況を示す攻撃進行度を算出する。攻撃進行度演算部１０４は、サイバー攻撃の対象である端末等における脆弱性を示す脆弱性情報に基づいて攻撃進行度を算出する。また、攻撃進行度演算部１０４は、攻撃成果情報に基づいて攻撃進行度を算出する。攻撃進行度は、ペネトレーションテスターに提示され、ペネトレーションテスターが攻撃の進行の度合いを確認することに活用される。攻撃成果情報は、攻撃進捗評価装置１００が窃取した情報であって、サイバー攻撃の成果に相当する情報である
攻撃進行度の算出方法を以下に示す。まず、攻撃進行度演算部１０４は、ＡＴＴ＆ＣＫ（Ａｄｖｅｒｓａｒｉａｌ Ｔａｃｔｉｃｓ， Ｔｅｃｈｎｉｑｕｅｓ， ａｎｄ Ｃｏｍｍｏｎ Ｋｎｏｗｌｅｄｇｅ）又はサイバーキルチェーン等を参考に攻撃の要素を抽出し、抽出した攻撃の要素を組み合わせて攻撃進行度の算出式を構築する。ここで、攻撃の目標が「機密情報の奪取」である場合における攻撃進行度の算出式の具体例を［数式１］に示す。

［数式１］
（攻撃進行度）＝ｍａｘ（ｃｏｎ＿１，…，ｃｏｎ＿ｎ，ｏｔｈｅｒ＿１，…，ｏｔｈｅｒ＿ｎ）＊（（１）＋（２）＋（３）＋（４））
（１）＝（ｐ＿１＋ｖ＿１＋ｓｅｒ＿１）＋…＋（ｐ＿（ｎ＋ｍ）＋ｖ＿（ｎ＋ｍ）＋ｓｅｒ＿（ｎ＋ｍ））＋ｉｐ＋ｏｓ
（２）＝ｃｖｓｓ＿１＋…＋ｃｖｓｓ＿ａｔ
（３）＝ｆ＋（ｌ＿１＊ｍａｘ（ｃｏｎ＿１，ｏｔｈｅｒ＿１））＋…＋（ｌ＿ｎ＊ｍａｘ（ｃｏｎ＿ｎ，ｏｔｈｅｒ＿ｎ））
（４）＝（ａｕ＿１＋…＋ａｕ＿ｘ）－（ｄａｕ＿１＋…＋ｄａｕ＿ｙ）

今回の目標は「機密情報の奪取」であるため、攻撃実行部１０１はファイルを攻撃対象の外部へ持ち出す必要がある。ｃｏｎ＿１からｃｏｎ＿ｎの各々はＣ＆Ｃ（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）サーバと呼ばれるマルウェアに指令を出したりするサーバであって攻撃者が用意したサーバとの接続を表す二値変数である。ｏｔｈｅｒ＿１からｏｔｈｅｒ＿ｎの各々はＣ＆Ｃサーバ以外の外部接続を表す二値変数である。これら二値変数の値は、外部のサーバ等と接続していないときに０であり、外部のサーバ等と接続しているときに１である。ｎは攻撃実行部１０１が侵入した端末の数を表しており、一旦は侵入した全ての端末において外部接続が途切れた場合、攻撃進行度のスコア値は０となる。攻撃進行度のスコア値が０となった場合、攻撃実行部１０１は攻撃を終了してもよい。
（１）から（４）の各々は、攻撃成果情報に対応し、攻撃実行部１０１が攻撃手段を実行した際の攻撃の成果を表している。ここで、ｐ＿１からｐ＿（ｎ＋ｍ）の各々は各端末で発見された開放ポートの数を表す。ｖ＿１からｖ＿（ｎ＋ｍ）の各々は各端末で発見された脆弱性の数を表す。ｓｅｒ＿１からｓｅｒ＿（ｎ＋ｍ）の各々は各端末で稼働しているサービスの数を表す。ｍは次の攻撃対象候補の数を表す。ｉｐはＩＰアドレスが判明した端末の数を表す。ｏｓはＯＳのバージョンが判明した端末の数を表す。ｃｖｓｓ＿１からｃｖｓｓ＿ａｔの各々は攻撃が成功した脆弱性のスコアを表す。ａｔは攻撃の成功数を表す。ｆは窃取したファイル数を表す。ｌ＿１からｌ＿ｎの各々は端末ごとの権限のレベルを表す。ａｕ＿１からａｕ＿ｘの各々は、窃取した認証情報に対応する値であって、認証情報が一時的なものであるか恒久的なものであるかによって勾配がつけられた値を表す。ｘは窃取した認証情報の数を表す。ｄａｕ＿１からｄａｕ＿ｙの各々は、窃取した認証情報に対応する値であって、窃取した認証情報のうち使えなくなった認証情報に対して勾配がつけられた値を表す。ｙは、窃取した認証情報のうち使えなくなった認証情報の数を表す。攻撃進行度演算部１０４は、ｃｖｓｓ＿１からｃｖｓｓ＿ａｔの各々の値を、攻撃の目標に応じてＣＶＳＳ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍ）環境値を使用して再計算する。

目標達成度演算部１０５は、攻撃目標ＤＢ１０７が示す情報と、関連情報ＤＢ１０８が示す情報とを入力とし、サイバー攻撃における目標を達成した度合いを示す目標達成度を関連情報に基づいて算出する。関連情報は、攻撃進捗評価装置が窃取した情報であって、目標を達成することに関連する情報である。関連情報はアクセス権を示す情報を含んでもよい。
目標達成度の算出方法を以下に示す。目標達成度は、事前に定義した目標に基づき、現在までに取得している目標に関連する情報と、現在までに取得している目標に関する権限又は認証等とから算出される。

攻撃目標ＤＢ１０７に格納される攻撃の目標は、取得した情報が攻撃目標に関連する情報であるか否かを判定することができるようにテキストベースで事前に定義する。具体例として、攻撃の目標が「機密情報の奪取」である場合、まず、ペネトレーションテスターは目的である機密情報に関連するキーワードを抽出し、抽出したキーワードを単語リストに登録する。次に、ペネトレーションテスターは当該単語リストを攻撃の目標として攻撃目標ＤＢ１０７に格納しておく。
攻撃の目標が「機密情報の奪取」である場合における目標達成度の算出式の具体例を［数式２］に示す。

［数式２］
（目標達成度）＝ｋｅｙ＿ｆ＋α＊ｋｅｙ＿ｍ＋ｆｓ＋ｌｆ＋α＊ｍｓ

ここで、ｋｅｙ＿ｆは、窃取したファイルであってキーワードが出現したファイルの数を表す。ｋｅｙ＿ｍは、窃取したメールであってキーワードが出現したメールの数を表す。ｋｅｙ＿ｆ及びｋｅｙ＿ｍの各々は、資産情報の一部、又は窃取した資産情報の量を示す情報である。ｆｓは窃取したファイルサーバのアクセス権の種類を表す。ｌｆは窃取したローカルファイルのアクセス権の種類を表す。ｍｓは窃取したメールサーバのアクセス権の種類を表す。αは０以上１以下の値を取る重みづけ変数である。メールに関する項目に重みづけ変数αを乗算している理由は、目標に関連するメールを発見するよりも目標に関連するファイルを発見する方がより目標に近づくと考えられるためである。

攻撃ルート変更判断部１０６は、目標達成度に応じてサイバー攻撃の攻撃ルートを変更するか否かを判断し、典型的には、目標達成度が増加するように攻撃ルートの変更を判断する。攻撃ルート変更判断部１０６は、攻撃進行度に応じてサイバー攻撃の攻撃ルートを変更するか否かを判断してもよい。

攻撃目標ＤＢ１０７は、事前に定義された攻撃の目標を格納する。
関連情報ＤＢ１０８は、攻撃の目標に関連して収集した情報を格納する。
攻撃成果ＤＢ１０９は、サイバー攻撃によって得られた情報である攻撃成果情報を格納する。
脆弱性スコアＤＢ１１０は、脆弱性の危険度のスコア値を格納する。
攻撃進行度スコアＤＢ１１１は、攻撃進行度のスコア値を格納する。
目標達成度スコアＤＢ１１２は、目標達成度のスコア値を格納する。
図２は、攻撃目標ＤＢ１０７に攻撃目標情報１１３を格納する様子を示している。
図３は、脆弱性スコアＤＢ１１０に脆弱性スコア情報１１４を格納する様子を示している。脆弱性スコア情報１１４は、各脆弱性の脅威度のスコア値でもある。

図４及び図５の各々は、攻撃進捗評価装置１００のハードウェア構成例を示している。
図４に示すコンピュータ１０は、演算手段であるプロセッサ１０ａと、主記憶装置１０ｂと、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）接続等を用いるキーボード１０ｃ及びマウス１０ｄと、ユーザに対して表示出力を行う画面１０ｅと、補助記憶装置１０ｆと、外部との通信を行うために用いられるネットワークインターフェース１０ｇとから構成される。コンピュータ１０は複数のコンピュータから成ってもよい。
プロセッサ１０ａは、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、かつ、コンピュータが備えるハードウェアを制御する。コンピュータ１０は、プロセッサ１０ａを代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ１０ａの役割を分担する。
主記憶装置１０ｂは、典型的には揮発性の記憶装置であり、具体例としてＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
画面１０ｅは、具体例として、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）である。
補助記憶装置１０ｆは、典型的には不揮発性の記憶装置である。補助記憶装置１０ｆは、具体例として、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、又はフラッシュメモリである。補助記憶装置１０ｆに記憶されたデータは、必要に応じて主記憶装置１０ｂにロードされる。補助記憶装置１０ｆは、攻撃進捗評価プログラムを記憶している。攻撃進捗評価プログラムは、攻撃進捗評価装置１００が備える各部の機能をコンピュータに実現させるプログラムである。攻撃進捗評価プログラムは、主記憶装置１０ｂにロードされて、プロセッサ１０ａによって実行される。攻撃進捗評価装置１００が備える各部の機能は、ソフトウェアにより実現される。攻撃進捗評価プログラムは、コンピュータが読み取り可能な不揮発性の記録媒体に記録されていてもよい。不揮発性の記録媒体は、具体例として、光ディスク又はフラッシュメモリである。攻撃進捗評価プログラムは、プログラムプロダクトとして提供されてもよい。
ネットワークインターフェース１０ｇは、具体例として、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
攻撃進捗評価装置１００が図４に示すハードウェア構成で実現される場合、プログラム制御されたプロセッサ１０ａにおいて、攻撃実行部１０１と、攻撃結果収集部１０２と、関連情報収集部１０３と、攻撃進行度演算部１０４と、目標達成度演算部１０５と、攻撃ルート変更判断部１０６との各々が実現される。また、主記憶装置１０ｂ及び補助記憶装置１０ｆにおいて、攻撃目標ＤＢ１０７と、関連情報ＤＢ１０８と、攻撃成果ＤＢ１０９と、脆弱性スコアＤＢ１１０と、攻撃進行度スコアＤＢ１１１と、目標達成度スコアＤＢ１１２との各々が実現される。

図５に示すコンピュータ２０は、プログラムを内蔵するメモリ２０ａと、演算手段であるＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０ｂと、主記憶装置２０ｃと、キーボード１０ｃと、マウス１０ｄと、画面１０ｅと、補助記憶装置１０ｆと、ネットワークインターフェース１０ｇとから構成される。コンピュータ２０は、基本的にはコンピュータ１０と同じである。
攻撃進捗評価装置１００が図５に示すハードウェア構成で実現される場合、メモリ２０ａ及びＣＰＵ２０ｂにおいて、攻撃実行部１０１と、攻撃結果収集部１０２と、関連情報収集部１０３と、攻撃進行度演算部１０４と、目標達成度演算部１０５と、攻撃ルート変更判断部１０６との各々が実現される。また、主記憶装置２０ｃ及び補助記憶装置２０ｇにおいて、攻撃目標ＤＢ１０７と、関連情報ＤＢ１０８と、攻撃成果ＤＢ１０９と、脆弱性スコアＤＢ１１０と、攻撃進行度スコアＤＢ１１１と、目標達成度スコアＤＢ１１２との各々が実現される。

＊＊＊動作の説明＊＊＊
攻撃進捗評価装置１００の動作手順は、攻撃進捗評価方法に相当する。また、攻撃進捗評価装置１００の動作を実現するプログラムは、攻撃進捗評価プログラムに相当する。

図６は、攻撃進捗評価装置１００によるサイバー攻撃の全体像の一例を示すフローチャートである。本図を用いて攻撃進捗評価装置１００の動作を説明する。

（ステップＳ２０１）
攻撃実行部１０１は、現在侵入している端末又はネットワークセグメントの周囲の状況を調査する。周囲の状況の調査は、具体例として、Ｎｍａｐ（Ｎｅｔｗｏｒｋ Ｍａｐｐｅｒ）又はＮｅｓｓｕｓ（登録商標）等のツールを用いて行われる。

（ステップＳ２０２）
攻撃実行部１０１は、現在侵入している端末とは別の端末への侵入を実施する。

（ステップＳ２０３）
攻撃実行部１０１は、ステップＳ２０２における侵入が成功したか否かを判断する。侵入が成功した場合、攻撃進捗評価装置１００はステップＳ２０４に進む。それ以外の場合、攻撃進捗評価装置１００はステップＳ２０２に戻る。
なお、攻撃実行部１０１が別の端末への侵入を実施する際、攻撃実行部１０１は、侵入が成功するまで侵入することができそうな端末への侵入を試みる。このとき、攻撃実行部１０１は、侵入を試みる端末を、現在侵入しているネットワークセグメント内の別の端末に途中で変更してもよい。

（ステップＳ２０４）
関連情報収集部１０３は、侵入した端末内の情報を調査し、調査した結果に基づいて情報を収集する。

（ステップＳ２０５）
攻撃進行度演算部１０４は、攻撃結果収集部１０２がこれまでに収集した情報と、事前に設定された算出式とに基づいて攻撃進行度を算出する。

（ステップＳ２０６）
目標達成度演算部１０５は、関連情報収集部１０３がこれまでに収集した情報と、事前に設定された算出式とに基づいて目標達成度を算出する。

（ステップＳ２０７）
攻撃ルート変更判断部１０６は、算出された目標達成度のスコア値に基づいて、現在侵入している端末のネットワークセグメントへの攻撃を継続するか否かを判断する。
当該ネットワークセグメントへの攻撃を継続する場合、攻撃進捗評価装置１００はステップＳ２０８に進む。それ以外の場合、攻撃進捗評価装置１００はステップＳ２１０に進む。
なお、攻撃ルート変更判断部１０６がペネトレーションテスターに目標達成度を提示し、攻撃ルート変更判断部１０６の代わりにペネトレーションテスターが攻撃を継続するか否かを判断してもよい。

（ステップＳ２０８）
攻撃実行部１０１は目的を実行する。具体例として、攻撃の目標が「機密情報の奪取」である場合、攻撃実行部１０１は権限の昇格又は認証情報の窃取等を実行する。

（ステップＳ２０９）
攻撃実行部１０１は、目的の実行が成功したか否かを判定する。
目的の実行に成功した場合、攻撃進捗評価装置１００は本フローチャートの処理を終了する、即ち、攻撃進捗評価装置１００はサイバー攻撃を終了する。目的の実行に失敗した場合、攻撃進捗評価装置１００はステップＳ２０１に戻る。

（ステップＳ２１０）
攻撃ルート変更判断部１０６は攻撃のルートを変更する。
以後、攻撃実行部１０１は、別のネットワークセグメントの端末への侵入を試みる。

図７は、攻撃ルート変更の具体例を示している。図７に示すように、攻撃実行部１０１が端末Ａから端末Ｂへと横展開した後、攻撃ルート変更判断部１０６が攻撃ルートの変更を判断した場合、攻撃実行部１０１は、別のネットワークセグメント内の端末である端末Ｃへの侵入を試みる。このとき、攻撃進捗評価装置１００は、侵入した端末と通信を行い動作してもよく、ハードウェア構成を持たずプログラムのみで構成され、侵入した端末のリソースを使って動作してもよい。

＊＊＊実施の形態１の効果の説明＊＊＊
以上のように、本実施の形態に係る攻撃進捗評価装置１００は、サイバー攻撃の進行度を設定された算出式に従ってスコア化する攻撃進行度演算部１０４と、サイバー攻撃の目標達成度を設定された算出式に従ってスコア化する目標達成度演算部１０５と、目標達成度が増加するように攻撃ルートを修正する攻撃ルート変更判断部１０６とを備える。そのため、攻撃進捗評価装置１００は、より目標に近づく攻撃ルートを選択することができる。
また、本実施の形態によれば、熟練したペネトレーションテスターが参照する資産情報を考慮することもでき、実際のサイバー攻撃により即した攻撃を自動的に行うことができる。

＊＊＊他の構成＊＊＊
＜変形例１＞
攻撃進捗評価装置１００は、目標達成度に基づき攻撃の目標に近づくように攻撃ルートを修正する代わりに、攻撃進行度のスコア値がある閾値を超えたら攻撃ルートを修正してもよい。具体例として、攻撃進行度のスコア値の閾値として９０と、１８０と、２７０と、…を設定する。攻撃進行度が最初の閾値である９０を超えた後における目標達成度のスコア値が上がる速度が一定値に達しなかった場合、攻撃ルート変更判断部１０６は別のネットワークセグメントの端末へ横展開を実行する。また、攻撃進行度が次の閾値である１８０を超えた後における目標達成度のスコア値が上がる速度が一定値に達しなかった場合、攻撃ルート変更判断部１０６は別のネットワークセグメントの端末へ横展開を実行する。即ち、攻撃ルート変更判断部１０６は、攻撃進行度が進行度閾値以上であり、かつ、過去単位時間における目標達成度の変化量が変化量閾値未満である場合に攻撃ルートを変更してもよい。
攻撃ルート変更判断部１０６は、本変形例に示すように、攻撃ルートの修正をアルゴリズム的に実施してもよい。

＜変形例２＞
攻撃実行部１０１は、複数の端末への侵入を並列に実施してもよい。

＜変形例３＞
図８は、本変形例に係る攻撃進捗評価装置１００のハードウェア構成例を示している。
攻撃進捗評価装置１００は、プロセッサ１０ａ、プロセッサ１０ａと主記憶装置１０ｂ、プロセッサ１０ａと補助記憶装置１０ｆ、あるいはプロセッサ１０ａと主記憶装置１０ｂと補助記憶装置１０ｆとに代えて、処理回路１８を備える。
処理回路１８は、攻撃進捗評価装置１００が備える各部の少なくとも一部を実現するハードウェアである。
処理回路１８は、専用のハードウェアであってもよく、また、主記憶装置１０ｂに格納されるプログラムを実行するプロセッサであってもよい。

処理回路１８が専用のハードウェアである場合、処理回路１８は、具体例として、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）又はこれらの組み合わせである。
攻撃進捗評価装置１００は、処理回路１８を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１８の役割を分担する。

攻撃進捗評価装置１００において、一部の機能が専用のハードウェアによって実現されて、残りの機能がソフトウェア又はファームウェアによって実現されてもよい。

処理回路１８は、具体例として、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせにより実現される。
プロセッサ１０ａと主記憶装置１０ｂと補助記憶装置１０ｆと処理回路１８とを、総称して「プロセッシングサーキットリー」という。つまり、攻撃進捗評価装置１００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。
コンピュータ２０も本変形例と同様の構成であってもよい。

＊＊＊他の実施の形態＊＊＊
実施の形態１について説明したが、本実施の形態のうち、複数の部分を組み合わせて実施しても構わない。あるいは、本実施の形態を部分的に実施しても構わない。その他、本実施の形態は、必要に応じて種々の変更がなされても構わず、全体としてあるいは部分的に、どのように組み合わせて実施されても構わない。
なお、前述した実施の形態は、本質的に好ましい例示であって、本開示と、その適用物と、用途の範囲とを制限することを意図するものではない。フローチャート等を用いて説明した手順は、適宜変更されてもよい。

１０ コンピュータ、１０ａ プロセッサ、１０ｂ 主記憶装置、１０ｃ キーボード、１０ｄ マウス、１０ｅ 画面、１０ｆ 補助記憶装置、１０ｇ ネットワークインターフェース、１８ 処理回路、２０ コンピュータ、２０ａ メモリ、２０ｂ ＣＰＵ、２０ｃ 主記憶装置、２０ｇ 補助記憶装置、１００ 攻撃進捗評価装置、１０１ 攻撃実行部、１０２ 攻撃結果収集部、１０３ 関連情報収集部、１０４ 攻撃進行度演算部、１０５ 目標達成度演算部、１０６ 攻撃ルート変更判断部、１０７ 攻撃目標ＤＢ、１０８ 関連情報ＤＢ、１０９ 攻撃成果ＤＢ、１１０ 脆弱性スコアＤＢ、１１１ 攻撃進行度スコアＤＢ、１１２ 目標達成度スコアＤＢ、１１３ 攻撃目標情報、１１４ 脆弱性スコア情報。

Claims (8)

1. 情報を窃取するサイバー攻撃を模擬実行する攻撃進捗評価装置であって、
   前記サイバー攻撃における目標を達成した度合いを示す目標達成度を、前記攻撃進捗評価装置が窃取した情報に基づいて算出する目標達成度演算部と、
   前記目標達成度に応じて前記サイバー攻撃の攻撃ルートを変更するか否かを判断する攻撃ルート変更判断部と
   を備える攻撃進捗評価装置。
2. 前記目標達成度演算部は、前記目標達成度を、前記攻撃進捗評価装置が窃取した情報であって、前記目標を達成することに関連する情報である関連情報に基づいて算出する請求項１に記載の攻撃進捗評価装置。
3. 前記関連情報は、アクセス権を示す情報を含み、
   前記目標達成度演算部は、前記目標達成度を、前記関連情報が含むアクセス権の種類に応じて算出する請求項２に記載の攻撃進捗評価装置。
4. 前記攻撃進捗評価装置は、さらに、
   前記サイバー攻撃の対象における脆弱性を示す脆弱性情報に基づいて前記サイバー攻撃の進行状況を示す攻撃進行度を算出する攻撃進行度演算部
   を備え、
   前記攻撃ルート変更判断部は、前記攻撃進行度に応じて前記サイバー攻撃の攻撃ルートを変更するか否かを判断する請求項１から３のいずれか１項に記載の攻撃進捗評価装置。
5. 前記攻撃進行度演算部は、前記攻撃進捗評価装置が窃取した情報であって前記サイバー攻撃の成果に相当する情報である攻撃成果情報に基づいて前記攻撃進行度を算出する請求項４に記載の攻撃進捗評価装置。
6. 前記攻撃ルート変更判断部は、前記攻撃進行度が進行度閾値以上であり、かつ、過去単位時間における前記目標達成度の変化量が変化量閾値未満である場合に前記攻撃ルートを変更する請求項５に記載の攻撃進捗評価装置。
7. 情報を窃取するサイバー攻撃を模擬実行する攻撃進捗評価装置が実行する攻撃進捗評価方法であって、
   前記サイバー攻撃における目標を達成した度合いを示す目標達成度を、前記攻撃進捗評価装置が窃取した情報に基づいて算出し、
   前記目標達成度に応じて前記サイバー攻撃の攻撃ルートを変更するか否かを判断する攻撃進捗評価方法。
8. 情報を窃取するサイバー攻撃を模擬実行するコンピュータである攻撃進捗評価装置が実行する攻撃進捗評価プログラムであって、
   前記サイバー攻撃における目標を達成した度合いを示す目標達成度を、前記攻撃進捗評価装置が窃取した情報に基づいて算出する目標達成度演算処理と、
   前記目標達成度に応じて前記サイバー攻撃の攻撃ルートを変更するか否かを判断する攻撃ルート変更判断処理と
   を前記攻撃進捗評価装置に実行させる攻撃進捗評価プログラム。

Images