JP7384743B2 - 攻撃シナリオの危険度評価装置およびその方法 - Google Patents

Description

本発明は、サイバー攻撃シナリオの危険度を評価するための技術に関する。

現在、不正アクセスなどのシステムに対するサイバー攻撃は深刻な問題となっている。システムは、互いに接続される複数の構成要素により構成されている。このため、サイバー攻撃については、最終目標となる構成要素やそこへ至る経路を含む行動パターンにより、その内容を特定することができる。そこで、サイバー攻撃への対策において、攻撃者の最終目標やその目標に至るまでの行動パターンを規定した攻撃シナリオを利用することで、対策箇所や内容の具体化が可能となる。その際、より有効な対策を行うためには、攻撃者が実際に仕掛けてくる可能性や攻撃された際の影響の観点から、防御者にとって危険度の高いと判断された攻撃シナリオを対策に利用する必要がある。そのため、各攻撃シナリオの危険度で評価を行う方法、および、装置が必要である。
シナリオの危険度を評価する技術である特許文献１では、攻撃者が最終目標に至った際の攻撃対象システムの状態により攻撃シナリオの危険度を評価している。

特許第６１０６７６７号公報

しかしながら、特許文献1を含め、一般の攻撃シナリオの危険度評価方法では、最終目標に至る攻撃の過程を考慮することができておらず、攻撃が仕掛けられる可能性の高い過程とその効率性といった攻撃者の行動習癖が反映されない課題がある。

そこで、本発明は、攻撃者が最終目標に至るまでの過程とその効率を含めた攻撃シナリオの危険度評価方法を提供する。

上記課題を解決するために、本発明は、複数の構成要素からなるシステムに対するサイバー攻撃の危険度の評価において、攻撃対象を構成する構成要素と少なくともその攻撃順序や通過構成要素数が規定された攻撃シナリオを生成し、作成された攻撃シナリオに含まれる構成要素毎の危険度評価点の合算値に基づいて、危険度を評価する。

より具体的には、複数の構成要素からなるシステムに対するサイバー攻撃シナリオの危険度を評価するための攻撃シナリオの危険度評価装置において、前記システムの構成を示すシステム構成情報を記憶するシステム構成情報記憶部と、前記システム構成情報を用いて、前記複数の構成要素の少なくとも一部を含む攻撃順序を示すサイバー攻撃の攻撃シナリオを生成する攻撃シナリオ演算部と、生成された前記攻撃シナリオに含まれる各構成要素の危険度を示す構成要素危険評価点を、攻撃シナリオ毎に合算して、危険度合算値を算出する危険度合算値演算部と、前記危険度合算値に基づいて、シナリオ毎の危険度を示すシナリオ危険度評価点を算出するシナリオ危険度評価点演算部とを有し、前記シナリオ危険度評価点演算部は、前記危険度合算値を、該当する攻撃シナリオの攻撃順序に含まれる構成要素の数で除算する除算値演算部である攻撃シナリオの危険度評価装置である。また、本発明には、複数の構成要素からなるシステムに対するサイバー攻撃シナリオの危険度を評価するためのコンピュータである攻撃シナリオの危険度評価装置において、前記システムの構成を示すシステム構成情報を記憶するシステム構成情報記憶部と、前記システム構成情報を用いて、前記複数の構成要素の少なくとも一部を含む攻撃順序を示すサイバー攻撃の攻撃シナリオを生成する攻撃シナリオ演算部と、生成された前記攻撃シナリオに含まれる各構成要素の危険度を示す構成要素危険評価点を、攻撃シナリオ毎に合算して、危険度合算値を算出する危険度合算値演算部と、前記危険度合算値に基づいて、シナリオ毎の危険度を示すシナリオ危険度評価点を算出するシナリオ危険度評価点演算部とを有し、前記シナリオ危険度評価点演算部は、前記危険度合算値を、該当する攻撃シナリオの攻撃順序に含まれる構成要素遷移の回数で除算する除算値演算部であることを特徴とする攻撃シナリオの危険度評価装置も含まれる。

また、本発明には、この攻撃シナリオの危険度評価装置を用いた方法や、攻撃シナリオの危険度評価装置をコンピュータとして機能させるためのプログラム製品も含まれる。

この発明によれば、構成要素毎の構成要素危険度評価点の合算値を用いることで過程に対する攻撃が仕掛けられる可能性の高さを評価することが可能になる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

実施例１に係る攻撃シナリオの危険度評価装置の機能構成の例を示す機能ブロック図である。 実施例１～３で用いられるシステム構成情報の例を示す図である。 実施例１～３で用いられる攻撃内容情報例を示す図のである。 実施例１～３での攻撃対象のシステム構成の例を表す図である。 実施例１に係る危険度評価方法を説明するフローチャートの一例である。 実施例１に係る図５のステップＳ５０２の構成要素危険度評価点の付与を説明するフローチャートの一例である。 実施例１に係る攻撃対象のシステム構成を抽象化したグラフ図の例である。 実施例１に係る構成要素危険度評価点の一例を示す図である。 実施例１に係る攻撃シナリオの一例を示す図である。 実施例１に係る図５のステップＳ５０５のシナリオ危険度評価点の付与を説明するフローチャートの一例である。 実施例１に係るシナリオ危険度評価点の例を示す図である。 実施例１に係るシナリオ危険度評価点を含む危険度評価結果の画面表示の例を示す図である。 実施例２に係る攻撃シナリオの危険度評価装置の機能構成の例を示す機能ブロック図である。 実施例２に係る脆弱性情報の一例を示す図である。 実施例２に係る図５のステップＳ５０２の構成要素危険度評価点の付与を説明するフローチャートの一例である。 実施例２に係る構成要素危険度評価点の一例を示す図である。 実施例３に係る攻撃シナリオの一例を示す図である。 実施例３に係る図５のステップＳ５０５のシナリオ危険度評価点の付与を説明するフローチャートの一例である。 各実施例に係る攻撃シナリオの危険度評価装置のシステム構成図である。

以下、本発明の各実施例を、図面を用いて説明する。各実施例においては、図４に示すような複数の構成要素がそれぞれ接続されているシステムに対するサイバー攻撃の危険度を評価する。なお、構成要素としては、ノートPC４０１等が挙げられるが、具体的なシステムの構成については、後述する。

以下、本発明の実施例１について図面を用いて説明する。

図１は、本実施例態の攻撃シナリオの危険度評価装置１０の機能構成を示す機能ブロック図である。以下、各ブロック（機能）について説明する。攻撃対象のシステム構成記憶部１０１には、攻撃対象のシステム構成情報２００が記憶されている。サイバー攻撃方法記憶部１０２には、サイバー攻撃技術やそれを実現する方法を示す攻撃内容情報３００が記憶されている。攻撃シナリオ演算部１０３では、攻撃対象のシステム構成記憶部１０１のシステム構成情報２００を基に、攻撃対象である構成要素とその攻撃順序と、当該攻撃順序に含まれる通過構成要素数が規定された攻撃シナリオを生成する。攻撃順序に含まれるとは、当該攻撃シナリオで通過することを意味する。攻撃シナリオ演算部１０３で生成された攻撃シナリオ９００は、攻撃シナリオ記憶部１０４に記憶される。

構成要素危険度演算部１０５では、システム構成記憶部１０１、および、サイバー攻撃方法記憶部１０２の情報を基に、構成要素毎の構成要素危険度評価点を算出する。危険度合算値演算部１０６では、システム構成要素危険度演算部１０５で算出した構成要素毎の危険度を用い、攻撃シナリオ記憶部１０４に記憶された各攻撃シナリオに含まれる構成要素毎の構成要素危険度評価点の合算値を算出する。

除算値演算部１０７では、危険度合算値演算部１０６で算出した危険度合算値を攻撃シナリオ記憶部１０４に記憶した攻撃順序に含まれる通過構成要素数での除算値を算出する。そして、表示部１０８では、除算値演算部１０７で算出した除算値を攻撃シナリオの危険度を示すシナリオ危険度評価点として表示する。なお、各記憶部や演算部は、CPUやPCそのものであることもある。

なお、本実施例では、除算値をシナリオ危険度評価点として用いているが、これに限定されない。つまり、除算値演算部１０７にて、合算値に基づいてシナリオ危険度評価点を特定できればよい。つまり、除算値は、シナリオ危険度評価点の一例である。シナリオ危険度評価点としては、他に、合算値そのもの、各構成要素危険度評価点の中央値、相乗平均、対数平均などの代表値が含まれる。

さらに、危険度合算値演算部１０６での構成要素危険度評価点の合算には、加算の他、乗算など、個々の構成要素危険度評価点からシナリオ全体に対する総合的な数値を算出することも含まれる。

また、合算値および除算値の利用の他、シナリオ毎の構成要素危険度評価点の最頻値、最大値などを、シナリオ危険度評価点として用いてもよい。

以上の危険度評価装置１０の機能構成をコンピュータで実現したシステム構成を、図１９に示す。危険度評価装置１０は、バスなどで互いに接続されたCPUのような処理部１１、メモリ１２、入出力I/F１３で構成される。ここで、処理部１１は、攻撃シナリオ演算部１０３、構成要素危険度演算部１０５、危険度合算値演算部１０６、除算値演算部１０７を有しており、これらはプログラムで実現可能である。つまり、本実施例では、プログラムをメモリ１２に展開し、これらの各機能、演算を処理部１１で実行する。

また、危険度評価装置１０は、入出力I/F１３を介して記憶装置１４と接続する。記憶装置１４は、システム構成情報２００、攻撃内容情報３００、攻撃シナリオ９００および脆弱性情報１４００を記憶する。つまり、記憶装置１４は、図１のシステム構成記憶部１０１、サイバー攻撃方法記憶部１０２、攻撃シナリオ記憶部１０４として機能する。さらに、記憶装置１４には、危険度評価装置１０で算出された構成要素危険度評価点情報８００およびシナリオ危険度評価点情報１１００も記憶する。また、記憶装置１４は、危険度評価装置１０内部に設けてもよい。

なお、脆弱性情報１４００は、実施例２で用いられる情報であり、本実施例では記憶装置１４に格納されていなくともよい。さらに、後述する実施例２においては、記憶装置１４に、構成要素危険度評価点情報８００の代わりに、構成要素危険度評価点情報１６００が記憶される。また、記憶装置１４に、攻撃シナリオ９００の代わりに、攻撃シナリオ１７００が記憶される。

また、危険度評価装置１０は、入出力I/F１３を介して、各種端末装置１６－１、２と接続する。端末装置１６－１、２は、それぞれコンピュータで実現され、利用者からの入力を受け付けたり、危険度評価装置１０の処理結果を表示する機能を有する。つまり、端末装置１６－１、２は、図１の表示部１０８として機能する。また、端末装置１６－２は、ネットワーク１５を介して、危険度評価装置１０と接続する。なお、端末装置１６－１、２は、危険度評価装置１０と一体化してもよい。つまり、危険度評価装置１０に表示装置や入出力装置を設けてもよい。

図２は、システム構成記憶部１０１に記憶されているシステム構成情報２００を示す図である。システム構成情報２００は、攻撃対象のシステムを構成する各構成要素についての各種情報が含まれる。システム構成情報２００は、構成要素ごとに、構成要素番号２１０、機器名称２２０、機器種類２３０、接続ネットワーク２４０、搭載OS２５０、マルウェア対策２６０、権限管理２７０を対応付けた情報である。

要素番号２１０は、システムの構成要素を一意に表す識別子である。機器名称２２０は、機器、つまり、構成要素の名称であり、図２に示す例であれば、ノートPC１、ノートPC2、デスクトップPC１、デスクトップPC２、データサーバ１などがある。機器種類２３０は、機器、つまり、システムを構成する構成要素の種類を示す。図２の例であれば、ノートPC、デスクトップPC、データサーバである。接続ネットワーク２４０は、各構成要素が接続されているネットワークであり、図２の例であれば、ネットワーク１、ネットワーク２の二つのネットワークがある。

OS（基本ソフト）２５０は、各構成要素が搭載するOS（基本ソフト）の種類およびそのバージョンであり、図２の例であれば、OS1 ver．1、OS1 ver.2、OS2 ver.1、 OS3などがある。マルウェア対策２６０は、各構成要素におけるマルウェアの対策の有無を示す。つまり、図２の例であれば、ありの場合はそのシステムの構成要素は対策が施されている、なしの場合はその構成要素は未対策であることを示している。権限管理２７０は、各構成要素内での権限管理の有無を示し、図２の例であれば、ありの場合は管理がされている、なしの場合は管理されていないことを示している。

ここで、OS（基本ソフト）２５０、マルウェア対策２６０および権限管理２７０は、サイバー攻撃に対する対策状況を示す情報である。このため、後述するように、構成要素危険度演算部１０５は、構成要素危険度評価点の算出処理（ステップＳ５０２）で、対策状況を示す情報を用いることになる。

図３は、サイバー攻撃方法記憶部１０２に記憶されている攻撃内容情報３００を示す図である。攻撃内容情報３００は、目的３１０、技術３２０、攻撃方法３３０を対応づけた情報である。目的３１０は、想定する攻撃の目的であり、図３の例の場合、攻撃コードの実行、他要素への移動、認証情報アクセスがある。技術３２０は、目的３１０を達成するための技術である。図３の例の場合、コマンドラインの利用やApplication Programing Interface(API)の利用、管理共有、遠隔ファイルコピー、総当たり攻撃やアカウントの操作が含まれる。攻撃方法３３０は、技術３２０を実現するための方法であり、図３の例の場合、コマンド、マルウェア、ツールなどが含まれる。

次に、本実施例による危険度評価の内容を、具体例を用いて説明する。まず、攻撃対象、つまり、危険度の評価対象となるシステム構成の具体例を、図４に示す。このシステムは、構成要素として、ノートPC４０１、ノートPC４０２、デスクトップPC４０３、デスクトップPC４０４とデータサーバ４０５、スイッチ４０６、スイッチ４０７で構成されている。

そして、各構成要素は、他の構成要素と、以下のように接続されている。ノートPC４０１は、ノートPC４０２とデスクトップPC４０３とデスクトップPC４０４とスイッチ４０６と接続されている。ノートPC４０２は、ノートPC４０１とデスクトップPC４０３とデスクトップPC４０４、スイッチ４０６と接続されている。デスクトップPC４０３は、ノートPC４０１とノートPC４０２とデスクトップPC４０４とデータサーバ４０５とスイッチ４０６とスイッチ４０７と接続されている。デスクトップPC４０４は、ノートPC４０１とノートPC４０２とデスクトップPC４０３とデータサーバ４０５とスイッチ４０６とスイッチ４０７と接続されている。データサーバ４０５は、デスクトップPC４０４とデスクトップPC４０５とスイッチ４０７と接続されている。

なお、以上の４０１から４０５は、図２の要素番号２１０の１から５に対応している。スイッチ４０６は、ノートPC４０１とノートPC４０２とデスクトップPC４０３とデスクトップPC４０４と接続されている。スイッチ４０７は、デスクトップPC４０３とデスクトップPC４０４とデータサーバ４０５と接続されている。

また、危険度評価装置１０は、本システムと接続してもよいし、本システムの一構成要素として実現してもよい。

図５は、本実施例における危険度評価方法の全体フローである。以下、全体フローについて、図１に示す機能ブロック図も用いて説明する。

まず、ステップＳ５０１において、攻撃シナリオ演算部１０３は、システム構成記憶部１０１より、システム構成情報２００を読み込む。そして、ステップＳ５０２において、構成要素危険度演算部１０５は、システムの構成要素危険度評価点を付与する。このステップＳ５０２の詳細について、図６を参照して説明する。

図６は、構成要素危険度評価点を付与するフローを示すフローチャートである。まず、ステップＳ６０１において、構成要素危険度演算部１０５は、攻撃内容情報３００に含まれる攻撃方法３３０をサイバー攻撃方法記憶部１０２より読み込む。

そして、ステップＳ６０２において、構成要素危険度演算部１０５は、攻撃対象のシステムを構成する構成要素の内、構成要素危険度評価点を付与する構成要素を選定する。ここで、攻撃シナリオ演算部１０３は、予め定められた基準に従った選定の他、利用者からの指定、乱数の利用で選定してもよい。なお、予め定められた基準としては、構成要素の重要性、攻撃に対する耐性などの性質、攻撃履歴を用いることが可能である。

そして、ステップＳ６０３において、構成要素危険度演算部１０５は、選定した各構成要素に対して、有効なサイバー攻撃方法の数に基づき、その構成要素の構成要素危険度評価点として付与する。つまり、構成要素危険度演算部１０５は、各構成要素の構成要素危険度評価点を算出する。

そして、ステップＳ６０４において、構成要素危険度演算部１０５は、選定した構成要素に対して構成要素危険度評価点を付与したか否かを判定する。選定した各構成要素に対して、構成要素危険度評価点を付与していないと判定した場合には（ステップＳ６４０：Ｎｏ）、次の構成要素に付与すべくステップＳ６０２に移行する。一方、選定した各構成要素に対して構成要素危険度評価点を付与したと判定した場合には（ステップＳ６０４：Ｙｅｓ）、構成要素危険度評価点の付与は終了する。

ここで、図６での構成要素危険度評価点の付与の一具体例を、説明する。

まず、ステップＳ６０１において、構成要素危険度演算部１０５は、攻撃内容情報３００の攻撃方法３３０を読み込む。つまり、図３に示されるコマンド１、ツール１、マルウェア１などを特定する。

次のステップＳ６０２について、図７を参照して説明する。図７は、図４の攻撃対象のシステム構成を抽象化したグラフ図である。つまり、図７では、対象のシステムの各構成要素の接続状況を示すトポロジーを示している。

図７において、構成要素番号１のノード７０１は、図４のノートPC４０１に対応している。構成要素番号２のノード７０２は、図４のノートPC４０２に対応している。構成要素番号３のノード７０３は、図４のデスクトップPC４０３に対応している。構成要素番号４のノード７０４は、図４のデスクトップPC４０４に対応している。構成要素番号５のノード７０５は、図４のデータサーバ４０５に対応している。なお、本実施形態では、図４のスイッチ４０６、および、スイッチ４０７は、図７には含めていない。

つまり、構成要素危険度演算部１０５は、以下の処理を行う。ステップＳ６０２において、構成要素危険度演算部１０５は、ノートPC４０１、ノートPC４０２、デスクトップPC４０３、デスクトップPC４０４、データサーバ４０５を選定する。そして、構成要素危険度演算部１０５は、これらの接続関係を加味して、図７に示すトポロジーを生成する。このために、構成要素危険度演算部１０５は、トポロジーで示される各構成要素を、ノード７０１（構成要素番号１）のように、名付ける。

次に、ステップＳ６０３において、構成要素危険度演算部１０５は、有効なサイバー攻撃方法の数を、システム構成情報２００の対策状況を示す情報を用いて算出する。このために、構成要素危険度演算部１０５は、まず、ステップＳ６０２で選定した構成要素の対策状況と、ステップＳ６０１で読み込んだ攻撃方法３３０とを突合せる。

この突合せのために、構成要素危険度演算部１０５は、選定した構成要素の対策状況を特定する。例えば、構成要素番号１のノード７０１がステップＳ６０２で選定されているので、構成要素危険度演算部１０５は、図２の構成要素番号２１０が「１」でレコードを特定する。そして、構成要素危険度演算部１０５は、特定されたレコードのOS（基本ソフト）２５０、マルウェア対策２６０および権限管理２７０の内容を特定する。本例では、ノード７０１のOS（基本ソフト）２５０が「OS1 ver.1」、マルウェア対策２６０が「なし」、権限管理２７０が「なし」と特定される。

そして、構成要素危険度演算部１０５では、この特定された内容と、ステップＳ６０１で特定された攻撃方法を比較する。この際、構成要素危険度演算部１０５、それぞれ対応するもの同士を比較する。具体的には、構成要素危険度演算部１０５は、以下のもの同士で比較する。
（１）「コマンド１」：権限管理２７０「なし」
（２）「ツール１」：OS（基本ソフト）２５０「OS1 ver.1」
（３）「マルウェア１」：マルウェア対策２６０「なし」
ここで、構成要素危険度演算部１０５は、ノード７０１（構成要素番号１）については、（１）（３）についてコマンド１の攻撃が有効と判断する。また、構成要素危険度演算部１０５は、（２）については、OS1 ver.1が、別途記録されている基準に基づき、ツール１に対する攻撃は有効でないと判断する。

この結果、構成要素危険度演算部１０５は、ノード７０１（構成要素番号１）に対する有効な攻撃方法の数を「２」と算出する。

このように、構成要素危険度演算部１０５は、それぞれ対応する攻撃方法と対策状況を突合せ、比較することで、有効な攻撃方法の数を算出する。そして、構成要素危険度演算部１０５は、算出した有効な攻撃方法の数に基づく構成要素危険度評価点を、当該ノード７０１に付与する。ここで、構成要素危険度演算部１０５は、構成要素危険度評価点として、有効な攻撃方法の数の値そのものを用いてもよいし、何からの変換を施した値を用いてもよい。

図８は、上記の処理に付与された、図７の各ノードに対する構成要素危険度評価点情報８００を示す図である。構成要素危険度評価点情報８００は、各ノード、つまり、システムの構成要素を一意に識別する要素番号８１０と各ノードの構成要素危険度評価点８２０を対応付けた例である。

次に、図５に戻り、ステップＳ５０３以降の説明を続ける。

ステップＳ５０３において、攻撃シナリオ演算部１０３は、想定する攻撃シナリオにおける攻撃を開始する構成要素と最終目標とする構成要素を設定する。例えば、攻撃シナリオ演算部１０３は、ステップＳ６０２で選定された各構成要素から設定する。この場合、選定された各構成要素の想定可能な組合せを設定することになる。

そして、ステップＳ５０４において、攻撃シナリオ演算部１０３は、図７に示すトポロジーに基づき、攻撃シナリオを生成する。この結果、攻撃シナリオ演算部１０３は、攻撃を開始する構成要素から最終目標とする構成要素まで到達するまでの攻撃対象である構成要素、その数である通過構成要素数、および攻撃順序を規定した攻撃シナリオ９００を複数生成する。そして、攻撃シナリオ演算部１０３は、攻撃シナリオ９００を攻撃シナリオ記憶部１０４に記憶する。

このステップＳ５０４では、攻撃シナリオ９００の生成を、攻撃シナリオ演算部１０３は、予め定められた制約条件に従って行う。制約条件には、トポロジーにおいて、各構成要素を２度以上通過しないようないわゆる一筆書きや、予め定めた構成要素数といった規模を示す制約条件が含まれる。特に、特に、シナリオ危険度評価点として、合算値そのものを用いる場合、生成する攻撃シナリオ９００の構成要素数を揃えることが望ましい。

ここで、ステップＳ５０４での生成結果の一例を、図９を参照して説明する。図９は、生成された攻撃シナリオ９００示す図である。攻撃シナリオ９００は、シナリオを一意に識別するシナリオ番号９１０と攻撃順序９２０と通過構成要素数９３０を対応付ける。

なお、本実施例では、ステップＳ５０２の構成要素危険度算出の後に、ステップＳ５０４の攻撃シナリオの生成を行っているが、この順序は逆であってもよい。つまり、ステップＳ５０１の次に、ステップＳ５０３を実行する。そして、ステップＳ５０４において、攻撃シナリオ演算部１０３が、攻撃シナリオを生成する。そして、ステップＳ５０２において、構成要素危険度演算部１０５が、生成された攻撃シナリオに含まれる構成要素の構成要素危険度を算出する。

次に、ステップＳ５０５において、危険度合算値演算部１０６は、生成した各攻撃シナリオ９００のシナリオ危険度評価点を付与す。つまり、ステップＳ５０５では、除算値演算部１０７は、シナリオ危険度評価点を算出する。
ここで、ステップＳ５０５の詳細な処理を、図１０を参照して説明する。

図１０は、各攻撃シナリオ９００の危険度を評価し、シナリオ危険度評価点を付与するフローである。まず、ステップＳ１００１において、危険度合算値演算部１０６は、ステップＳ５０４で生成した攻撃シナリオ９００の内、シナリオ危険度評価点が未付与であるシナリオを１つ選出する。

そして、ステップＳ１００２において、危険度合算値演算部１０６は、選出したシナリオで通過する構成要素毎の構成要素危険度評価点を合算して合算値を算出する。なお、合算値の算出には、上述のとおり、単なる加算以外の演算も含まれる。

そして、ステップＳ１００３において、除算値演算部１０７は、合算値を通過構成要素数９３０で除算する。この除算により、攻撃の効率性を評価へ反映することが可能となっている。つまり、各攻撃シナリオに対して、通過構成要素あたりの危険度を評価できることになる。なお、上述のとおり、この除算処理には様々な変形例が考えられる。

次に、ステップＳ１００４において、除算値演算部１０７は、ステップＳ１００３での除算値を、ステップＳ１００１で選出したシナリオにシナリオ危険度評価点として付与する。つまり、除算値演算部１０７は、図１１に示すシナリオ危険度評価点情報１１００を、記憶装置に記憶する。

そして、ステップＳ１００５において、除算値演算部１０７は、ステップＳ５０４で生成した攻撃シナリオ９００に対して、シナリオ危険度評価点が付与されたか否かを判定する。この結果、全ての攻撃シナリオ９００に対して付与していない場合には（ステップＳ１００５：Ｎｏ）、残りの攻撃シナリオ９００に対して付与すべくステップＳ１００１へ移行する。一方、全ての攻撃シナリオ９００に対してシナリオ危険度評価点が付与されていた場合には（ステップＳ１００５：Ｙｅｓ）、シナリオ危険度評価点の付与は終了する。

図１１は、図９に示す攻撃シナリオ９００に対して、ステップＳ５０５により付与されたシナリオ危険度評価点情報１１００を示す図である。シナリオ危険度評価点情報１１００は、シナリオを一意に識別するシナリオ番号１１１０、攻撃順序１１２０、攻撃順序１１２０の各構成要素の構成要素危険度評価点の合算値１１３０およびシナリオ危険度評価点（除算値）１１４０が対応付けられた情報である。

次に、図５に戻り、ステップＳ５０６を説明する。ステップＳ５０６において、表示部１０８は、シナリオ危険度評価点の一覧を表示する。図１２に、攻撃シナリオ毎のシナリオ危険度評価点を含む危険度評価結果の表示例１２００を示す。この危険度評価結果の表示例１２００は、表１２５０を含む。そして、表１２５０は、シナリオ番号１２１０、攻撃順序１２２０、合算値１２３０、および、シナリオ危険度評価点（除算値）１２４０を対応付ける。また、表１２５０の表示内容をシナリオ番号１２１０、攻撃順序１２２０、合算値１２３０、および、シナリオ危険度評価点（除算値）１２４０で並び変える、並び替えボタン１２０１を含む。

また、表１２５０の表示内容をシナリオ番号１２１０、攻撃順序１２２０、合算値１２３０、および、シナリオ危険度評価点（除算値）１２４０で変更する、表示範囲切替ボタン１２０２を持つ。また、表示１２５０をファイルとして出力する、ファイル出力ボタン１２０３を持つ。図１２の例では、シナリオ危険度評価点（除算値）を降順で並び替え、表示範囲をシナリオ危険度評価点（除算値）６.５以上に変更した例を示している。なお、表示内容としては、シナリオ危険度評価点が所定値以上のものを選択的に表示してもよいし、上述した例との組み合わせで表示してもよい。

以上で、本実施例の説明を完了する。本実施例のサイバーの危険度評価によれば、構成要素危険度評価点の合算値を用いることで過程に対する攻撃が仕掛けられる可能性の高さを評価し、通過構成要素数による除算で攻撃の効率を評価する。このため、攻撃者の行動習癖に基づく攻撃シナリオの危険度評価が可能になる。

以下、本発明の実施例２について図面を用いて説明する。

この実施例では、実施例１で述べた図１の危険度評価装置のサイバー攻撃方法記憶部１０２の代わりに、脆弱性情報記憶部１３０２を用いる点が異なる。図１３に実施例２の攻撃シナリオの危険度評価装置の機能ブロック図を示す。図１３において、符号１０１、１０３～１０８は図１と同一のものである。このため、本実施例では、脆弱性情報記憶部１３０２の他、脆弱性情報記憶部１３０２の脆弱性情報１４００を用いる構成要素危険度演算部１０５での構成要素危険度評価点の算出方法が、実施例１と異なる。このため、図１３に示す機能構成をコンピュータで実現したシステム構成は、実施例１と同様に、図１９で実現できる。ここで、実施例１と異なり、実施例２では攻撃内容情報が不要になる。

図１４は、脆弱性情報１４００一例を示す図である。脆弱性情報１４００は、脆弱性種類１４１０、脆弱性番号１４２０、脆弱性１４３０、脆弱性の危険度１４４０を対応づけた情報である。脆弱性種類１４１０は、脆弱性の種類であり、図１４に示す例の場合、バッファエラー、SQOインジェクション、証明書・パスワード管理がある。脆弱性番号１４２０は、脆弱性を一意に識別するための番号である。脆弱性１４３０は、脆弱性の名前を表している。危険度１４４０は、各脆弱性の危険度を表しており、CVSS（Common Vulnerability Scoring System）等を用いて設定される。
本実施形態における危険度評価方法の全体フローは、実施形態１で示した図５と同様であるため説明は省略する。しかし、図５のステップＳ５０２の処理が異なるため、図１５を用いて説明する。

図１５に、本実施例におけるステップＳ５０２の構成要素危険度評価点の付与を説明するフローチャートの一例を示す。つまり、本図は、実施例１の図６に対応するフローチャートである。

まず、ステップＳ１５０１において、構成要素危険度演算部１０５は、脆弱性情報１４００を脆弱性情報記憶部１３０２より読み込む。

そして、ステップＳ１５０２において、構成要素危険度演算部１０５は、攻撃対象のシステムを構成する構成要素の内、構成要素危険度評価点を付与する構成要素を選定する。つまり、本ステップでは、ステップＳ６０２と同様の処理を実行する。

そして、ステップＳ１５０３において、構成要素危険度演算部１０５は、選定した構成要素が持つ脆弱性の危険度１４４０を、各構成要素で合算する。このために、構成要素危険度演算部１０５は、各構成要素の有する脆弱性を特定する。この特定の一例を、以下に示す。構成要素危険度演算部１０５は、予め記憶されている各構成要素の脆弱性に関する履歴情報を用いる。履歴情報は、各構成要素により生じた脆弱性１４３０を記録した情報である。構成要素危険度演算部１０５は、履歴情報が示す脆弱性の示す危険度１４４０を、各構成要素で合算する。なお、合算として、実施例１と同様に、加算以外の演算も含まれる。

次に、ステップＳ１５０４において、構成要素危険度演算部１０５は、ステップＳ１５０３における合算の結果である合算値を、選定した構成要素の構成要素危険度評価点として付与する。つまり、構成要素危険度演算部１０５は、構成要素危険度評価点を含む構成要素危険度評価点情報１６００を記憶装置に記憶する。

そして、ステップＳ１５０５において、構成要素危険度演算部１０５は、全ての構成要素に対して構成要素危険度評価点を付与したか否かを判定する。つまり、構成要素危険度演算部１０５は、図６のステップＳ６０４と同様の処理を実行する。すべての項目、つまり、各構成要素に構成要素危険度評価点を付与していないと判定した場合には（ステップＳ１５０５：Ｎｏ）、次の構成要素に付与すべくステップＳ１５０１に移行する。一方、全ての構成要素に構成要素危険度評価点を付与したと判定した場合には（ステップＳ１５０５：Ｙｅｓ）、構成要素危険度評価点の付与は終了する。

図１６に、本実施例における図７の各ノード、つまり、各構成要素に対する構成要素危険度評価点情報１６００の一例を示す。図１６に示す構成要素危険度評価点情報１６００は、各ノード、つまり、構成要素を一意に識別する構成要素番号１６１０と各ノードが有する脆弱性の番号１６２０、各ノードの構成要素危険度評価点１６３０を対応付けた情報である。

なお、構成要素危険度評価点１６３０を用い、ステップＳ５０５で各攻撃シナリオのシナリオ危険度評価点を付与し、ステップＳ５０６で攻撃シナリオのシナリオ危険度評価点を表示することで、本実施例の危険度評価は完了する。

以下、本発明の実施例３について図面を用いて説明する。

この実施例では、実施例１と、図５のステップＳ５０４の生成内容が異なる。このため、ステップＳ５０４と、ステップＳ５０４の結果を用いるステップＳ５０５が、実施例１と本実施例では異なる。他の部分は、機能ブロック図を含め実施例１で示した図５と同様であるため説明は省略する。

図１７は、本実施形態におけるステップＳ５０４の生成結果である攻撃シナリオ１７００の一例を示す図である。攻撃シナリオ１７００は、シナリオを一意に識別するシナリオ番号１７１０と攻撃順序１７２０と構成要素遷移回数１７３０を対応付ける情報である。図９の攻撃シナリオ９００と異なるのは、通過構成要素数９３０ではなく、構成要素遷移回数１７３０を用いる点である。ここで、本実施例の構成要素遷移回数１７３０とは、攻撃順序１７２０において、該当の攻撃シナリオが構成要素に対して遷移した回数を示す情報である。通常、構成要素遷移回数は、通過構成要素数から１減算した値となる。

次に、本実施例におけるステップＳ５０４およびＳ５０５について、説明する。まず、ステップＳ５０４において、攻撃シナリオ演算部１０３は、図７に示すトポロジーに基づき、攻撃シナリオ１７００を作成する。この際、上述のとおり、攻撃シナリオ演算部１０３は、通過構成要素数９３０の代わりに、構成要素遷移回数１７３０を特定する。

次に、ステップＳ５０５の詳細な処理を、図１８を参照して説明する。図１８は、本実施例におけるシナリオ危険度評価点を付与するフローを示すフローチャートである。つまり、実施例１の図１０に対応するものである。

まず、ステップＳ１００１において、危険度合算値演算部１０６は、ステップＳ５０４で生成したシナリオの内、シナリオ危険度評価点が未付与であるシナリオを１つ選出する。つまり、ステップＳ１８０１では、ステップＳ１００１と同じ処理を行う。

そして、ステップＳ１８０２において、危険度合算値演算部１０６は、選出したシナリオでの攻撃順序に含まれる構成要素毎の構成要素危険度評価点を合算する。このステップＳ１８０２もステップＳ１００２と同じ処理である。

そして、ステップＳ１８０３において、除算値演算部１０７は、合算値を１７０３の構成要素遷移回数で除算する。この除算により、攻撃の効率性を評価へ反映することが可能となっている。なお、このステップＳ１８０３の処理は、何を用いて除算するかがステップＳ１００３と異なる。このため、このステップＳ１８０３の処理においても、ステップＳ１００１と同様に様々な変形例を用いることが可能になる。

次に、ステップＳ１８０４において、除算値演算部１０７は、ステップＳ１８０３での除算値を、ステップＳ１８０１で選出したシナリオにシナリオ危険度評価点として付与する。つまり、除算値演算部１０７は、図１１に示すようなシナリオ危険度評価点情報１１００を、記憶装置に記憶する。つまり、ステップＳ１８０４は、ステップＳ１００４と同様の処理を実行する。

そして、ステップＳ１８０５において、除算値演算部１０７は、ステップＳ５０４で生成した攻撃シナリオ１７００に対して、シナリオ危険度評価点が付与されたか否かを判定する。この結果、全ての攻撃シナリオ１７００に対して付与していない場合には（ステップＳ１８０５：Ｎｏ）、残りの攻撃シナリオ１７００に対して付与すべくステップＳ１００１へ移行する。一方、全ての攻撃シナリオ１７００に対してシナリオ危険度評価点が付与されていた場合には（ステップＳ１８０５：Ｙｅｓ）、シナリオ危険度評価点の付与は終了する。このフローにより各攻撃シナリオにシナリオ危険度評価点が付与され、そのシナリオ危険度評価点をステップＳ５０６で表示することで、本実施形態の危険度評価は完了する。つまり、ステップＳ１８０５以降においても、図１０と同様の処理を実行する。

以上で、本発明の実施形態についての説明を終了する。なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。上記の実施形態は本発明を分かりやすく説明するために詳細に説明したものである。このため、例えば、各記憶部に記憶されている情報の内容、構成要素毎の構成要素危険度評価点の付与処理、攻撃シナリオの抽出結果、評価結果等、必ずしも説明した全ての構成、処理、情報、数値、に限定されるものではない。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、図１９に示すように処理部１１がそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、SSD（Solid State Drive）等の記録装置、または、IC カード、SD カード、DVD 等の記録媒体に置くことができる。

１０１…システム構成記憶部
１０２…サイバー攻撃方法記憶部
１０３…攻撃シナリオ演算部
１０４…攻撃シナリオ記憶部
１０５…構成要素危険度演算部
１０６…危険度合算値演算部
１０７…除算値演算部
１０８…表示部
２００…システム構成情報
３００…攻撃内容情報
８００…構成要素危険度評価点情報
９００…攻撃シナリオ
１１００…シナリオ危険度評価点情報
１２００…危険度評価結果の表示例

Claims (8)

1. 複数の構成要素からなるシステムに対するサイバー攻撃シナリオの危険度を評価するための攻撃シナリオの危険度評価装置において、
   前記システムの構成を示すシステム構成情報を記憶するシステム構成情報記憶部と、
   前記システム構成情報を用いて、前記複数の構成要素の少なくとも一部を含む攻撃順序を示すサイバー攻撃の攻撃シナリオを生成する攻撃シナリオ演算部と、
   生成された前記攻撃シナリオに含まれる各構成要素の危険度を示す構成要素危険評価点を、攻撃シナリオ毎に合算して、危険度合算値を算出する危険度合算値演算部と、
   前記危険度合算値に基づいて、シナリオ毎の危険度を示すシナリオ危険度評価点を算出するシナリオ危険度評価点演算部とを有し、
   前記シナリオ危険度評価点演算部は、前記危険度合算値を、該当する攻撃シナリオの攻撃順序に含まれる構成要素の数で除算する除算値演算部であることを特徴とする攻撃シナリオの危険度評価装置。
2. 複数の構成要素からなるシステムに対するサイバー攻撃シナリオの危険度を評価するための攻撃シナリオの危険度評価装置において、
   前記システムの構成を示すシステム構成情報を記憶するシステム構成情報記憶部と、
   前記システム構成情報を用いて、前記複数の構成要素の少なくとも一部を含む攻撃順序を示すサイバー攻撃の攻撃シナリオを生成する攻撃シナリオ演算部と、
   生成された前記攻撃シナリオに含まれる各構成要素の危険度を示す構成要素危険評価点を、攻撃シナリオ毎に合算して、危険度合算値を算出する危険度合算値演算部と、
   前記危険度合算値に基づいて、シナリオ毎の危険度を示すシナリオ危険度評価点を算出するシナリオ危険度評価点演算部とを有し、
   前記シナリオ危険度評価点演算部は、前記危険度合算値を、該当する攻撃シナリオの攻撃順序に含まれる構成要素遷移の回数で除算する除算値演算部であることを特徴とする攻撃シナリオの危険度評価装置。
3. 請求項１または２のいずれかに記載の攻撃シナリオの危険度評価装置において、
   前記攻撃シナリオ演算部は、前記システムを構成する前記複数の構成要素から攻撃対象となる構成要素を抽出し、抽出された前記構成要素に対する攻撃順序および当該攻撃順序に含まれる構成要素数を規定した複数の攻撃シナリオを生成することを特徴する攻撃シナリオの危険度評価装置。
4. 請求項３に記載の攻撃シナリオの危険度評価装置において、
   前記攻撃シナリオ演算部は、予め定められた規模に関する制約条件に従って、前記構成要素の抽出を実行することを特徴とする攻撃シナリオの危険度評価装置。
5. 請求項１または２のいずれかに記載の攻撃シナリオの危険度評価装置において、
   さらに、生成された前記攻撃シナリオに含まれる構成要素の構成要素危険度評価点を算出する構成要素危険度演算部を有し、
   前記構成要素危険度演算部は、前記システムに含まれる各構成要素に定められた前記攻撃シナリオの種類ごとのサイバー攻撃への対策状況を示す情報を用いて、前記構成要素危険度評価点を算出することを特徴とする攻撃シナリオの危険度評価装置。
6. 請求項１または２のいずれかに記載の攻撃シナリオの危険度評価装置において、
   さらに、生成された前記攻撃シナリオに含まれる構成要素の構成要素危険度評価点を算出する構成要素危険度演算部を有し、
   前記構成要素危険度演算部は、前記システムに含まれる各構成要素に定められた脆弱性示す情報を用いて、前記構成要素危険度評価点を算出することを特徴とする攻撃シナリオの危険度評価装置。
7. 複数の構成要素からなるシステムに対するサイバー攻撃シナリオの危険度を評価するためのコンピュータである攻撃シナリオの危険度評価装置による、攻撃シナリオの危険度評価方法において、
   システム構成情報記憶部に、前記システムの構成を示すシステム構成情報を記憶し、
   攻撃シナリオ演算部により、前記システム構成情報を用いて、前記複数の構成要素の少なくとも一部を含む攻撃順序を示すサイバー攻撃の攻撃シナリオを生成し、
   危険度合算値演算部により、生成された前記攻撃シナリオに含まれる各構成要素の危険度を示す構成要素危険評価点を、攻撃シナリオ毎に合算して、危険度合算値を算出し、
   除算値演算部により、前記危険度合算値に基づいて算出されるシナリオ毎の危険度を示すシナリオ危険度評価点を、前記危険度合算値に対して、該当する攻撃シナリオの攻撃順序に含まれる構成要素の数で除算して算出することを特徴とする攻撃シナリオの危険度評価方法。
8. 複数の構成要素からなるシステムに対するサイバー攻撃シナリオの危険度を評価するためのコンピュータである攻撃シナリオの危険度評価装置による、攻撃シナリオの危険度評価方法において、
   システム構成情報記憶部に、前記システムの構成を示すシステム構成情報を記憶し、
   攻撃シナリオ演算部により、前記システム構成情報を用いて、前記複数の構成要素の少なくとも一部を含む攻撃順序を示すサイバー攻撃の攻撃シナリオを生成し、
   危険度合算値演算部により、生成された前記攻撃シナリオに含まれる各構成要素の危険度を示す構成要素危険評価点を、攻撃シナリオ毎に合算して、危険度合算値を算出し、
   除算値演算部により、前記危険度合算値に基づいて算出されるシナリオ毎の危険度を示すシナリオ危険度評価点を、前記危険度合算値に対して、該当する攻撃シナリオの攻撃順序に含まれる構成要素遷移の回数で除算して算出することを特徴とする攻撃シナリオの危険度評価方法。

Images