JP7465835B2 - セキュリティ対策支援装置、および、セキュリティ対策支援方法 - Google Patents

Description

本発明は、セキュリティ対策支援装置、および、セキュリティ対策支援方法に関わる。

近年、サイバー攻撃による脅威が大きなものとなっており、その範囲は従来の情報システムのみでなく、産業分野の自動制御システムも脅威の対象となっており、サイバーセキュリティ（以後、セキュリティ）対策は喫緊の課題である。
一方で、会社ごとに社内システムの構成が異なるので、セキュリティ診断サービスは、専門家が社内システムごとに脅威を分析して、その結果を踏まえたオーダーメイドの対策を提案することが一般的であった。そのため、セキュリティ対策には手間がかかっていた。そこで、セキュリティ対策を支援するシステムが提案されている。

特許文献１には、社内システムを構成するルータやファイヤーウォールなどの個々の装置について、その属性ごとに脅威一覧表に基づいて脅威を抽出するセキュリティ対策装置が記載されている。
特許文献２には、立案されたセキュリティ対策に対してセキュリティテストを行うことで、セキュリティ対策の費用対効果を検証するリスク評価対策立案システムが記載されている。セキュリティテストでの評価には、どの攻撃起点からどの攻撃経路を経由して攻撃するかの攻撃経路が参照される。

特開２００９－１１０１７７号公報 特開２０２０－１６６６５０号公報

社内の予算が限られていることもあり、セキュリティ対策にも高い費用対効果が求められる。攻撃される機会が少ない装置や、セキュリティで守る資産の価値が低い装置も存在する。それらの装置については、多額の費用をセキュリティ対策に費やすことはセキュリティ強度を高める反面、過剰なコストとなって費用対効果を落としてしまう。

そこで、セキュリティ対策支援システムの重要な役割として、広域の社内システムから、どの装置を重点的に対策するか、また、どの程度の攻撃まで守れればよいかなどのきめ細かな対策度合いの決定を支援することである。
しかし、特許文献１，２などの従来の技術では、脅威事象の洗い出しには効果があるものの、限られた予算内でどの対策を重点的に行うか（またはどの対策は現時点では行わなくてもよいか）という、費用節約の観点での具体的な対策を提案できなかった。

そこで、本発明は、費用対効果の高いセキュリティ対策を提案することを主な課題とする。

上記の課題を解決するため、本発明のセキュリティ対策支援装置は以下の特徴を有する。
本発明は、保護対象である資産ポイントを終点ポイントとし、始点ポイントから前記終点ポイントまでの攻撃パスを生成する攻撃パス生成部と、
前記攻撃パスを構成する各候補ポイントから、攻撃者の攻撃を遮断する箇所であるキルポイントを決定するキルポイント決定部と、
前記キルポイントの保護レベルが事前に設定された攻撃者能力に対処可能か否かを判定するキルポイント評価部と、
前記キルポイント評価部の判定結果として対処不可能な前記攻撃パスについて、前記キルポイントの保護レベルを強化する対策項目を選定する推奨対策選定部と、
前記推奨対策選定部が選定した対策項目を出力する対策内容出力部とを有することを特徴とする。
その他の手段は、後記する。

本発明によれば、費用対効果の高いセキュリティ対策を提案することができる。

本実施形態に関するセキュリティ対策が適用されるネットワークシステムの構成図である。 本実施形態に関する図１のネットワークシステム上の論理パスの説明図である。 本実施形態に関する図１のネットワークシステム上の論物パスの説明図である。 本実施形態に関する攻撃パスに沿って行われる攻撃手順を示すテーブルである。 本実施形態に関するセキュリティ対策支援システムの構成図である。 本実施形態に関するセキュリティ対策支援装置のハードウェア構成図である。 本実施形態に関するポイント一覧テーブルの構成図である。 本実施形態に関する論理構成テーブルおよび物理構成テーブルの構成図である。 本実施形態に関するセキュリティ対策支援装置の処理を示すフローチャートである。 本実施形態に関する対策前の攻撃パスを示す説明図である。 本実施形態に関する図１０の説明図において、攻撃パスの対策を行った後の説明図である。 本実施形態に関するチェックリストDBを示すテーブルである。 本実施形態に関するチェック前の対策有無確認票を示す構成図である。 本実施形態に関する図１３からチェック後の対策有無確認票を示す構成図である。 本実施形態に関するキルポイント評価部による評価結果の一例を示すテーブルである。 本実施形態に関する推奨対策一覧を表示する画面図である。 本実施形態に関する図１５のテーブルに対して、図１６の対策を行った後の状態を示すテーブルである。

以下、本発明の一実施形態を、図面を用いて説明する。

図１は、セキュリティ対策が適用されるネットワークシステムの構成図である。
ネットワークシステムは、インターネットなどのUntrustなOA-NW(Network)と、情報NWと、制御NWと、ラインNWとで各機器を接続している。情報NWおよび制御NWは有線LAN（Local Area Network）であり、ラインNWはシリアルのピア接続である。
情報NWには、監視端末と、セキュリティGW（Gateway）と、監視制御サーバと、情報NWスイッチとが接続されている。制御NWには、監視制御サーバと、制御NWスイッチと、PLC（Programmable Logic Controller）とが接続されている。ラインNWは、PLCとローカルHMI（Human Machine Interface）とを接続する。
監視端末は、監視制御サーバおよびPLCを遠隔操作できる。ローカルHMIは、PLCを操作できる。

図１の波線矢印に示すように、攻撃パスAP11は、セキュリティGW→監視端末→監視制御サーバ→PLCという経路をたどって、PLCを攻撃目標（資産ポイント）とする不正アクセスを示す。このように、攻撃パスは、始点ポイント（セキュリティGW）から終点ポイント（PLC）までの各機器（ポイント、コンポーネントとも呼ばれる）を順に通過する。
また、図１のセキュリティGW[6.44]の「6.44」という各機器に付属する数値は、その機器のポイント重要度を示す。ポイント重要度とは、その数値が高いほど重点的にセキュリティ強度を高める必要があるパラメータであり、事前に機器ごとに管理者が入力しておく。

ポイント重要度は、例えば、業務におけるそのポイントの資産としての重要度であり、顧客の個人情報などの重要な機密情報を保管する機器は数値が高くなる。または、ポイント重要度は、ネットワークシステムのレイアウト（接続構成）から導き出せる攻撃者が攻撃しやすい度合いであり、数値が大きいほど攻撃者からのアクセスが容易な場所に設置されている。

攻撃者からの攻撃を守る側の視点では、攻撃パスAP11「セキュリティGW→監視端末→監視制御サーバ→PLC」のうち、経路途中のセキュリティGWか、監視端末か、監視制御サーバかの少なくとも１つのポイントで、攻撃を遮断（キル）する必要がある。
つまり、攻撃パスを構成する候補ポイントの集合から、少なくとも１つのキルポイントを設定することで、その攻撃パスを経由する攻撃を遮断（キルチェーン）できる。

ここで、攻撃パスAP11に着目すれば、例えば始点ポイントのセキュリティGWをキルポイントとして攻撃の遮断に成功すれば、その後段の監視端末や監視制御サーバには不正アクセスは流れないので、過剰なセキュリティ対策を行わなくてもよいことになる。つまり、キルポイントの選別により費用対効果の高いセキュリティ対策を提案できる。なお、攻撃パスからキルポイントを選別する具体的なアルゴリズムは後記する。

さらに、攻撃パスの分類を説明する。攻撃者の攻撃は、不正アクセスなどの計算機上の論理的な攻撃と、攻撃者自身が敷地へ侵入して機器を破壊するなどの物理的な攻撃とに分類される。よって、図１の攻撃パスAP11などの、始点ポイントから終点ポイントまでの攻撃がすべて論理的な攻撃となる攻撃パスを「論理パス」と呼ぶ。
一方、始点ポイントから終点ポイントまでの攻撃がすべて物理的な攻撃となる攻撃パスを「物理パス」と呼び、物理パスと論理パスとを組み合わせた攻撃パスを「論物パス」と呼ぶ。

図２は、図１のネットワークシステム上の論理パスの説明図である。
同じネットワークシステムでも、重要な資産ポイントが複数個所に分散されていることもある。図２では、監視端末を狙う攻撃パスAP21と、監視制御サーバを狙う攻撃パスAP22と、PLCを狙う攻撃パスAP23とが示される。

ここで、攻撃パスが通過するポイントの「段数」を定義する。
攻撃パスAP21は、OA-NW→セキュリティGW→情報NW→監視端末を順にたどるので、OA-NWより後のポイントは「セキュリティGW、情報NW、監視端末」の合計３つである。よって、攻撃パスAP21の段数は３段である。
攻撃パスAP22は、OA-NW→セキュリティGW→情報NW→監視端末→監視制御サーバを順にたどる。しかし、「監視端末→監視制御サーバ」は遠隔操作が可能なので０段とする。よって、攻撃パスAP22の段数は３段である。
攻撃パスAP23は、OA-NW→セキュリティGW→情報NW→監視端末→監視制御サーバ→制御NW→PLCを順にたどる。よって、攻撃パスAP23の段数は５段である。このように、段数が多い攻撃パスほど資産ポイントまでの攻撃手順を多く必要とするので、攻撃が困難な攻撃パスである。

図３は、図１のネットワークシステム上の論物パスの説明図である。
図１のネットワークシステムは、物理構成として、生産棟３２０に収容されている。生産棟３２０は、管理外区域の玄関３１０との間に、生産棟扉３１１により守られている。
生産棟３２０内の機械室３３０の内部には、ローカルHMIと、PLCと、制御NWスイッチとが収容され、機械室扉３３１により守られている。
生産棟３２０内の監視室３４０の内部には、セキュリティGWと、監視端末と、サーバラック３４２とが収容され、監視室扉３４１により守られている。サーバラック３４２の内部には、監視制御サーバと、情報NWスイッチとが収容され、サーバラック扉３４３により守られている。

攻撃者は、自身で玄関３１０→監視室３４０まで出向き、監視端末を手元で操作する（実線矢印の物理パスAP31）。そして、攻撃者は、手元で操作する監視端末を介して、監視制御サーバ→PLCへと不正アクセスを行う（波線矢印の論理パスAP32）。
このように、論物パスは、物理パスAP31と論理パスAP32とを組み合わせて構成される。

図４は、攻撃パスに沿って行われる攻撃手順を示すテーブルである。
テーブル１１１は、図１の攻撃パスAP11の詳細な攻撃手順を示す。テーブル１１２は、図３の論物パス（物理パスAP31＋論理パスAP32）の詳細な攻撃手順を示す。
ここで、テーブル１１１、１１２の「ID」列は、説明用に各攻撃手順を区別するために付加した。テーブル１１１、１１２を比較すると、監視端末[6.44]の乗っ取り（ID=A06）までは、攻撃手順が異なるものの、ID=A06以降の攻撃手順は共通となる。よって、監視端末[6.44]をキルポイントに設定することで、双方の攻撃パスを１か所で同時に遮断でき、費用対効果が高まる。

このように、費用対効果の高いセキュリティ対策を提案するためには、ネットワークシステムの中から重点的に対策を行うキルポイントを絞り込むことが有効となる。
「パス優先順位」とは、ネットワークシステムで想定される様々な攻撃パスに対して、どの攻撃パスから順に対策すべきかを示す、パス単位での優先順位である。
「ポイント優先順位」とは、攻撃パスを構成する様々な候補ポイントに対して、どの候補ポイントから順にキルポイントとして対策すべきかを示す、ポイント単位での優先順位である。
なお、パス優先順位もポイント優先順位も、第１位、第２位、…の順に数値が小さいほど先に対策されるものとして優先的に選択される。

以下、パス優先順位の計算方法を説明する。パス優先順位は、例えば、以下の（指針１）、（指針２）、（指針３）の順に決定される。
（指針１）「論物パス」よりも「論理パス」を優先させる。物理的な攻撃よりも論理的な攻撃のほうが攻撃者の攻撃コストが低いからである。
（指針２）前記の（指針１）でパス優先順位が同じ場合、その物理パスが通過する経路の物理セキュリティ対策の保護レベルが低いほど、優先させる。物理セキュリティ対策の保護レベルとは、例えばLv.1～3とし、レベルの数値が高いほど現時点ではセキュアであるため、対策を後回しにしてもよい。この保護レベルは、侵入開始位置（図３では生産棟扉３１１）からの距離が長いほど高くしてもよいし、機械室扉３３１や監視室扉３４１などの障壁度合い（扉の素材となる金属の強度や、扉の通過に要する生体認証などの強度）に応じて設定してもよい。
（指針３）前記の（指針１）および（指針２）でパス優先順位が同じ場合、始点ポイントから終点ポイントまでの距離の短さ（段数）が小さいほど、優先させる。段数が小さいほうが攻撃者の攻撃コストが低いからである。

この指針１～３に従い、例えば、図１～図３のネットワークシステムで想定される様々な攻撃パスへのパス優先順位は、以下のように第１位～第８位として順位付けされる。なお、[論理へ]の表記は、この表記より前が物理パスで、この表記より後が論理パスである攻撃の切り替えポイントを示す。まず、同率の第１位は、ともに論理パスであり段数も同じである。
・第１位：［0段(物理)+3段(論理)＝計3段］＝OA-NW→セキュリティGW(6.44)→情報NW(情報NWスイッチ)→監視制御サーバ(9.54)
・第１位：［0段(物理)+3段(論理)＝計3段］＝OA-NW→セキュリティGW(6.44)→情報NW(情報NWスイッチ)→監視端末(6.44)＝監視制御サーバ(9.54)

次に第３位～第６位は、ともに保護レベルLV2の論物パスであり、その段数が少ないほど上位となる。
・第３位：［LV2:4段(物理)+1段(論理)＝計5段］＝(管理外区域)→玄関→生産棟→監視室扉→監視室→[論理へ]→監視端末(6.44)＝監視制御サーバ(9.54)
・第４位：［LV2:4段(物理)+3段(論理)＝計7段］＝(管理外区域)→玄関→生産棟→監視室扉→監視室→[論理へ]→セキュリティGW(6.44)→情報NW→監視制御サーバ(9.54)
・第４位：［LV2:6段(物理)+1段(論理)＝計7段］＝(管理外区域)→玄関→生産棟→監視室扉→監視室→ラック扉→サーバラック→[論理へ]→監視制御サーバ(9.54)
・第６位：［LV2:6段(物理)+2段(論理)＝計8段］＝(管理外区域)→玄関→生産棟→監視室扉→監視室→ラック扉→サーバラック→[論理へ]→情報NWスイッチ(6.44)→監視制御サーバ(9.54)

さらに、第７，８位は、ともに保護レベルLV3の論物パスであり、その段数が少ないほど上位となる。
・第７位：［LV3:4段(物理)+2段(論理)＝計6段］＝(管理外区域)→玄関→生産棟→機械室扉→機械室→[論理へ]→制御NWスイッチ(9.21)→監視制御サーバ(9.54)
・第８位：［LV3:4段(物理)+4段(論理)＝計8段］＝(管理外区域)→玄関→生産棟→機械室扉→機械室→[論理へ]→ローカルHMI(4.94)→PLC(9.21)→制御NW→監視制御サーバ(9.54)

図５は、セキュリティ対策支援システム１００の構成図である。
セキュリティ対策支援システム１００は、図１～図３に示すようなネットワークシステム上で行われるセキュリティ対策の立案を支援する。
セキュリティ対策支援装置１は、セキュリティ対策支援装置１を中心として、そのセキュリティ対策支援装置１への入出力データ（システムプロファイル２１、評価プロファイル２２、対策有無確認票２３、推奨対策一覧２４）を扱う装置（入力装置、出力装置）を有する。

図６は、セキュリティ対策支援装置１のハードウェア構成図である。
セキュリティ対策支援装置１は、ＣＰＵ９０１と、ＲＡＭ９０２と、ＲＯＭ９０３と、ＨＤＤ９０４などの記憶部と、通信Ｉ／Ｆ９０５と、入出力Ｉ／Ｆ９０６と、メディアＩ／Ｆ９０７とを有するコンピュータ９００として構成される。
通信Ｉ／Ｆ９０５は、外部の通信装置９１５と接続される。入出力Ｉ／Ｆ９０６は、入出力装置９１６と接続される。メディアＩ／Ｆ９０７は、記録媒体９１７からデータを読み書きする。さらに、ＣＰＵ９０１は、ＲＡＭ９０２に読み込んだプログラム（アプリケーションや、その略のアプリとも呼ばれる）を実行することにより、各処理部を制御する。そして、このプログラムは、通信回線を介して配布したり、ＣＤ－ＲＯＭ等の記録媒体９１７に記録して配布したりすることも可能である。

図５に戻って、セキュリティ対策支援装置１の処理部は、攻撃パス生成部１１と、キルポイント決定部１２と、キルポイント評価部１３と、推奨対策選定部１４と、対策内容出力部１５とを有する。
セキュリティ対策支援装置１の記憶部には、攻撃パターンDB１６と、チェックリストDB１７と、推奨対策DB１８とが格納される。これらのセキュリティ対策支援装置１の各構成要素は、後記する図９のフローチャートに沿って明らかにする。

図７は、システムプロファイル２１のうちのポイント一覧テーブル２１１の構成図である。
ポイント一覧テーブル２１１は、攻撃パスのポイント名（通過する機器の名称）ごとの属性として、プラットフォーム(HW：HardWare)、プラットフォーム(SW：SoftWare)、属性情報（用途）、および、ポイント重要度を対応付ける。

図８は、システムプロファイル２１のうちの論理構成テーブル２１２および物理構成テーブル２１３の構成図である。
論理構成テーブル２１２は、論理ネットワーク名ごとに、ネットワーク種類、NW制御デバイス、および、接続ポイントを対応付ける。
物理構成テーブル２１３は、物理エリア名ごとに、属性情報、近接する物理エリア、および、エリア内に設置されるポイントを対応付ける。
つまり、セキュリティ対策支援装置１は、システムプロファイル２１を参照することで、図１～図３に示すようなネットワークシステムの物理構成および論理構成を把握できる。

図９は、セキュリティ対策支援装置１の処理を示すフローチャートである。
攻撃パス生成部１１は、図７、図８に示したシステムプロファイル２１および評価プロファイル２２の入力を受け、今回提案するセキュリティ対策の問題を把握する（Ｓ１０１）。評価プロファイル２２は、例えば、資産ポイント判定情報、および、攻撃者能力情報である。

評価プロファイル２２の資産ポイント判定情報とは、ポイント重要度を計算するための情報であり、例えば、以下の甚大が最高値で、中程度、軽微の順にポイント重要度が下がる。
・甚大：攻撃成功時に極めて大きな業務影響を与える（人災・大規模な事業損失）。
・中程度：攻撃成功時に中程度の業務影響を与える（小規模の事業損失）。
・軽微：攻撃成功しても大きな業務影響はない。

評価プロファイル２２の攻撃者能力情報とは、資産ポイントに対して想定される攻撃者の能力を示す。以下では、レベルが高いほど能力が高い攻撃者である。
・レベル3：重度の悪意・高度の攻撃スキルを持つ攻撃者
・レベル2：軽度の悪意・単純な攻撃スキルを持つ攻撃者
・レベル1：誤操作・悪戯レベルの攻撃
例えば、河川などの一般的な地理しか記載されていない地図データの記憶装置を資産ポイントとして守る場合、その資産ポイントをわざわざ攻撃してもメリットが少ないので、レベル3の攻撃者がリスクを冒して攻撃してくる可能性は低い。よって、レベル1の攻撃者だけを防ぐ程度の軽度なセキュリティ対策で済ませることで、対策コストを削減できる。

そして、攻撃パス生成部１１は、ネットワークシステム上に点在する各ポイントのうち、どのポイントを資産ポイントとして保護対象とするかを、評価プロファイル２２（ポイント重要度、攻撃者能力）に従って指定する（Ｓ１０２）。例えば、ポイント重要度が「甚大」に該当するポイントだけを資産ポイントとすることで、対策コストを大きく削減できる。または、管理者は、ネットワークシステム上から個別のポイントを資産ポイントとして、攻撃パス生成部１１に直接入力してもよい。
さらに、攻撃パス生成部１１は、指定された各資産ポイントについて、どの程度の攻撃者能力から守れればよいかの指定も行う。例えば、銀行口座情報の記憶装置を資産ポイントとして守る場合、レベル1,2だけでなく、レベル3の攻撃者からも防げる堅牢なセキュリティ対策を行う必要がある。

攻撃パス生成部１１は、攻撃パターンDB１６を参照し、Ｓ１０２で指定された各資産ポイントまでの攻撃パス（攻撃手順）を生成する（Ｓ１０３）。そのため、攻撃パターンDB１６には、図４のテーブル１１１，１１２に例示されるような攻撃手順のパターンが事前に登録されている。
このＳ１０３の攻撃パスの生成処理は、パス優先順位の順序に従って、Ｓ１０２で指定したすべての資産ポイントを終点ポイントとする攻撃パスを生成するまで（Ｓ１０４,Yes）、資産ポイントごとに実行される。
キルポイント決定部１２は、Ｓ１０３で生成した攻撃パスごとに、クリティカルな（効果的に攻撃パスをキルできる）候補ポイントをキルポイントとして決定する（Ｓ１０５）。

以下、Ｓ１０５でのキルポイントの決定アルゴリズムを、（アルゴリズム１）～（アルゴリズム４）として４つ例示する。一方、Ｓ１０６～Ｓ１１０については、図１２～図１５を参照して後記する。
（アルゴリズム１）として、キルポイント決定部１２は、各攻撃パスの攻撃起点に最も近いポイント（始点ポイント）を、キルポイントとする。これにより、不正アクセスが水際対策により社内システムの入り口で適切に遮断されるので、社内システム内の広範囲をセキュアにできる。

例えば、論理パス「OA-NW→セキュリティGW(6.44)→情報NW(情報NWスイッチ)→監視制御サーバ(9.54)」については、キルポイント決定部１２は、始点ポイントから順に、１位のセキュリティGW、２位の情報NW(情報NWスイッチ)、３位の監視制御サーバの順にポイント優先順位を設定する。そして、キルポイント決定部１２は、ポイント優先順位が１位のセキュリティGWを、キルポイントとする。

また、物理パス→論理パスを接続する論物パスについては、その論物パスに含まれる物理パスの保護レベルが高いほど、その後に続く論理パスがよりセキュアであるとする。よって、図３では、サーバラック３４２を開けずにその外側の監視端末からPLCへの論理パスを開始する第１の論物パスを、サーバラック３４２を開けて監視制御サーバに物理攻撃してからPLCへの論理パスを開始する第２の論物パスよりもパス優先順位を優先させる。
その結果、キルポイント決定部１２は、第１の論物パスの始点ポイント（監視端末）を、第２の論物パスの始点ポイント（監視制御サーバ）よりもポイント優先順位を先の順位としてキルポイントに選ばれやすくする。

（アルゴリズム２）として、キルポイント決定部１２は、複数の攻撃パスが集約するポイント（図４では監視端末[6.44]が該当する）を、キルポイントとする。また、集約するポイントが複数個所存在するときには、集約する攻撃パスの数が多いポイントほど優先的にキルポイントとする。これにより、複数の攻撃パスを一か所で一括して遮断してセキュアにできるので、費用対効果が高まる。
例えば、図２では、以下の３つの攻撃パスを示した。
・攻撃パスAP21「OA-NW→セキュリティGW→情報NW→監視端末」
・攻撃パスAP22「OA-NW→セキュリティGW→情報NW→監視端末→監視制御サーバ」
・攻撃パスAP23「OA-NW→セキュリティGW→情報NW→監視端末→監視制御サーバ→制御NW→PLC」
この場合、ポイント優先順位は、以下の通りである。
［第１位］セキュリティGW,監視端末（攻撃パスAP21,AP22,AP23が使用）
［第２位］監視制御サーバ（攻撃パスAP22,AP23が使用）
［第３位］PLC（攻撃パスAP23が使用）

（アルゴリズム３）として、キルポイント決定部１２は、１つの攻撃パスを構成する候補ポイントの集合について、複数の候補ポイントに対して同じ種類の対策が可能な場合、それらの複数の候補ポイントをキルポイントとする。
同じ種類の対策とは、例えば、同じ種類のネットワークＯＳが稼働している複数のルータに対して、同じセキュリティソフトをインストールする対策である。
これにより、１つの攻撃パスに対して複数個所のキルポイントが設定されるので、１つの攻撃パスを重点的にセキュアにできる。また、同じ種類の対策を複数個所に適用しても、それらに要するコストは一か所の適用からさほど増えないので、費用対効果が高い対策を広範囲に実行できる。

（アルゴリズム４）として、キルポイント決定部１２は、対策有無確認票２３にチェック記入された現在の対策状況を考慮して、キルポイントを選定する。例えば、キルポイント決定部１２は、対策有無確認票２３にチェック記入されたキルポイントの対策状況から攻撃パスごとの保護レベルを求め、保護レベルが低い攻撃パスの候補ポイントから順に、キルポイントとして選択する。
これにより、複数の攻撃パスに対してまんべんなく対策することで、費用対効果を向上させる。

図１０は、（アルゴリズム４）で対策前の攻撃パスを示す説明図である。ポイントNSから分岐する３つの攻撃パスAPA,APB,APCについて、太線で囲ったポイントを終点ポイントとする。
各ポイントに付加された数値について、例えば、攻撃パスAPAの始点ポイント「NA1[LV1,2.86]、NP=1」とは、ポイント名「NA1」には保護レベルLV1がすでに対策されており、ポイント重要度は2.86であり、ポイント優先順位＝第１位（NP=1）が割り当てられているという意味である。

図１０では３つの攻撃パスAPA,APB,APCのパス優先順位は、各攻撃パスの終点ポイントのポイント重要度が高い順に、第１位の攻撃パスAPA（10.0）、第２位の攻撃パスAPC（9.21）、第３位の攻撃パスAPB（7.84）とする。
キルポイント決定部１２は、（アルゴリズム１）に従い、攻撃パスAPAの始点ポイント「NA1」をポイント優先順位（NP=1）とし、その次に接続される候補ポイント「NA2」をポイント優先順位（NP=2）とする。

図１１は、図１０の説明図において、攻撃パスAPAの対策を行った後の説明図である。
キルポイント決定部１２は、第１位の攻撃パスAPAの始点ポイント「NA1」への対策により「NA1」の保護レベルLV1をLV2に上昇させた。その結果、第１位の攻撃パスAPAがセキュアになることで、パス優先順位は、第１位の攻撃パスAPC、第２位の攻撃パスAPB、第３位の攻撃パスAPAというように、順位が入れ替わる。
この順位の入れ替えを反映して、キルポイント決定部１２は、第１位の攻撃パスAPCの候補ポイント「NC」をポイント優先順位＝第１位（NP=1）とする。一方、攻撃パスAPAはパス優先順位が第３位に降格したので、キルポイント決定部１２は、候補ポイント「NA1」をNP=3に降格し、候補ポイント「NA2」をNP=4に降格した。

このように、パス優先順位やポイント優先順位は、現状の対策度合いに応じて動的に変化する。そのため、キルポイント決定部１２は、チェックリストDB１７を用いて、現状の対策度合いを示す情報を把握する。

図１２は、チェックリストDB１７を示すテーブルである。
チェックリストDB１７は、対策項目ごとに、その対策で保護できる攻撃者能力（LV）と、その対策が適用される条件（システムプロファイル２１に登録されたポイントの特定情報）とを対応付ける。
キルポイント評価部１３は、チェックリストDB１７から読み取った対策項目のうち、Ｓ１０５で決定したキルポイントに対する今回の評価に必要な対策項目を選別して、対策有無確認票２３として出力する（図９のＳ１０６）。または、管理者は、システムプロファイル２１の入力に併せて、対策有無確認票２３の対策項目を直接入力しておいてもよい。

例えば、キルポイント評価部１３は、評価プロファイル２２の攻撃者能力情報にて入力された、今回の対策で想定される攻撃者能力のレベルを超過する対策項目は、過剰な対策なので対策有無確認票２３から除外してもよい。
また、キルポイント評価部１３は、Ｓ１０５で決定したどのキルポイントについても、チェックリストDB１７で「対策が適用される条件」に合致しない対策を対策有無確認票２３から除外してもよい。

図１３は、チェック前の対策有無確認票２３を示す構成図である。
チェック前の対策有無確認票２３１は、ネットワークシステムのポイントごとに、そのポイントへの攻撃手順となる攻撃パターンと、その攻撃パターンに対する対策項目とを対応付ける。また、対策項目ごとに、管理者が現時点での対策の有無を入力するためのチェックボックス２３１Ａが、備えられている。
キルポイント評価部１３は、チェック前の対策有無確認票２３１を管理者に提示し（画面出力し）、チェックボックス２３１Ａにクリック入力させることで入力を受け付ける（図９のＳ１０７）。

図１４は、図１３からチェック後の対策有無確認票２３を示す構成図である。
チェック後の対策有無確認票２３２は、チェック前の対策有無確認票２３１から、対策済のチェックボックス２３２Ａにチェックが記入された状態である。そして、キルポイント評価部１３は、同じ攻撃パターン内で所定レベルの対策項目がすべてチェックされている場合、所定レベルの攻撃を防御可能（つまり、保護レベル＝所定レベル）とする。
例えば、１行目の攻撃パターンには、LV1の未チェックの対策項目が存在するので、キルポイント評価部１３は、１行目の攻撃パターンに対しては対策されていない（保護レベル＝LV0）と評価する。
一方、３行目の攻撃パターンには、LV2のチェックがすべてなされているので、キルポイント評価部１３は、３行目の攻撃パターンに対しては保護レベル＝LV2と評価する。

図１５は、キルポイント評価部１３による評価結果の一例を示すテーブルである。
テーブル１２１は、図４のテーブル１１１の各攻撃手順について、キルポイント評価部１３が対策有無確認票２３のチェック結果を参照して評価した現状の保護レベルを示す。キルポイント評価部１３は、ID=A01～A11の各攻撃手順の保護レベルを参照して、攻撃パス全体の評価を以下のように行う。
・LV1の攻撃者に対しては、充分な対策がなされている。例えば、LV1以上の対策箇所が７か所存在し、２か所以上なので充分な対策となる。
・LV2の攻撃者に対しては、対策可能である。しかし、LV2以上の対策箇所が１か所しか存在しないので、充分な対策とはいえない。
・LV3の攻撃者に対しては、対策不可である。LV3以上の対策箇所は存在しない。

キルポイント評価部１３は、評価した攻撃パスの保護レベルが、評価プロファイル２２で想定した攻撃者能力に対して充分か否かを判定する（図９のＳ１０８）。例えば、図１５で例示した攻撃パスの保護レベルLV1は、攻撃者能力LV1に対しては、充分な対策がなされているため、Ｓ１０８,Yesと判断される。この場合、今回判断された攻撃パスを対策済として除外し、パス優先順位が次順位の攻撃パスを再生成してこれから対策するために、Ｓ１０３に戻る。
なお、Ｓ１０８の判定は、充分な対策がなされているか否か（キルポイントが２か所以上か否か）、とする代わりに、対策可能であるか否か（キルポイントが１か所以上存在するか否か）を判定してもよい。

一方、Ｓ１０８,Noと判断された場合、この攻撃パスの保護レベルを強化する必要がある。そこで、推奨対策選定部１４は、対策有無確認票２３のチェック結果で未チェックにより不足する対策項目が存在するか否かを判定する（Ｓ１０９）。Ｓ１０９,Noの場合、現状の機器ではこれ以上の保護レベル強化は望めないため、対策内容出力部１５は、対策困難な旨を表示して処理を終了する。
Ｓ１０９,Yesの場合、推奨対策選定部１４は、対策有無確認票２３の不足するキルポイントの対策項目を抽出する。さらに、対策内容出力部１５は、各対策項目に対応する実践例を推奨対策DB１８から読み込み、対策項目と実践例との組み合わせのリストを推奨対策一覧２４として表示する（Ｓ１１０）。

図１６は、推奨対策一覧２４を表示する画面図である。
推奨対策一覧２４は、図１４の対策有無確認票２３の未チェックの対策項目を抽出し、その対策項目ごとに実践例２４１，２４２を追加したリストである。このリストにより、管理者は、対策漏れが存在するポイントごとに、具体的な対策内容を把握できる。
なお、推奨対策一覧２４のリストの表示順番は、ポイント優先順位に従って（第１位を１番上に、第２位を上から２番目に…）、表示することが望ましい。

図１７は、図１５のテーブル１２１に対して、図１６の対策を行った後の状態を示すテーブルである。
このテーブル１２２では、ID=A05,A06の対策項目について、図１６で表示されたLV1の対策を管理者が行ったものとする。よって、図１５のテーブル１２１ではID=A05,A06の保護レベル＝LV0が、図１７のテーブル１２２では保護レベル＝LV1に強化することができた。

なお、ID=A05,A06の保護レベルをLV0からLV1に強化しても、依然として、攻撃パス全体の評価は変わらない（LV1→充分な対策、LV2→対策可能、LV3→対策不可）。そこで、推奨対策選定部１４は、攻撃者能力LV2に対抗するため（LV2→充分な対策とするため）、保護レベル＝LV1の候補ポイントのうちのいずれか１つを新たなキルポイントとして、LV2に強化する追加対策を提案してもよい。

以上説明した本実施形態では、（アルゴリズム１）～（アルゴリズム４）で例示したように、攻撃パスを構成する候補ポイントのうち、一部のキルポイントに絞り込んで集中的に対策を行う。これにより、攻撃パスの保護レベルが上昇しないにもかかわらず攻撃パスの候補ポイント全部を網羅的に対策するような、無駄な対策を予防できる。
さらに、本実施形態では、キルポイント評価部１３は、評価した攻撃パスの保護レベルが、評価プロファイル２２で想定した攻撃者能力に対して充分か否かを判定する（図９のＳ１０８）。これにより、想定した攻撃者能力を超えた過剰な対策を行う必要が無くなり、費用対効果の高いセキュリティ対策を提案できる。

なお、本発明は前記した実施例に限定されるものではなく、さまざまな変形例が含まれる。例えば、前記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。
また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。
また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。また、上記の各構成、機能、処理部、処理手段などは、それらの一部または全部を、例えば集積回路で設計するなどによりハードウェアで実現してもよい。
また、前記の各構成、機能などは、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイルなどの情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）などの記録装置、または、ＩＣ（Integrated Circuit）カード、ＳＤカード、ＤＶＤ（Digital Versatile Disc）などの記録媒体におくことができる。また、クラウドを活用することもできる。
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際にはほとんど全ての構成が相互に接続されていると考えてもよい。
さらに、各装置を繋ぐ通信手段は、無線ＬＡＮに限定せず、有線ＬＡＮやその他の通信手段に変更してもよい。

１ セキュリティ対策支援装置
１１ 攻撃パス生成部
１２ キルポイント決定部
１３ キルポイント評価部
１４ 推奨対策選定部
１５ 対策内容出力部
１６ 攻撃パターンDB
１７ チェックリストDB
１８ 推奨対策DB
２１ システムプロファイル
２２ 評価プロファイル
２３ 対策有無確認票
２４ 推奨対策一覧
１００ セキュリティ対策支援システム
２１１ ポイント一覧テーブル
２１２ 論理構成テーブル
２１３ 物理構成テーブル

Claims (9)

1. 保護対象である資産ポイントを終点ポイントとし、始点ポイントから前記終点ポイントまでの攻撃パスを生成する攻撃パス生成部と、
   前記攻撃パスを構成する各候補ポイントから、攻撃者の攻撃を遮断する箇所であるキルポイントを決定するキルポイント決定部と、
   前記キルポイントの保護レベルが事前に設定された攻撃者能力に対処可能か否かを判定するキルポイント評価部と、
   前記キルポイント評価部の判定結果として対処不可能な前記攻撃パスについて、前記キルポイントの保護レベルを強化する対策項目を選定する推奨対策選定部と、
   前記推奨対策選定部が選定した対策項目を出力する対策内容出力部とを有することを特徴とする
   セキュリティ対策支援装置。
2. 前記キルポイント決定部は、前記各攻撃パスの前記始点ポイントを前記キルポイントとすることを特徴とする
   請求項１に記載のセキュリティ対策支援装置。
3. 前記キルポイント決定部は、複数の前記攻撃パスが集約するポイントを前記キルポイントとすることを特徴とする
   請求項１に記載のセキュリティ対策支援装置。
4. 前記キルポイント決定部は、１つの前記攻撃パスを構成する前記候補ポイントの集合について、複数の前記候補ポイントに対して同じ種類の対策が可能な場合、それらの複数の前記候補ポイントを前記キルポイントとすることを特徴とする
   請求項１に記載のセキュリティ対策支援装置。
5. 前記キルポイント決定部は、前記攻撃パスごとの保護レベルを求め、保護レベルが低い前記攻撃パスの前記候補ポイントから順に、前記キルポイントとして選択することを特徴とする
   請求項１に記載のセキュリティ対策支援装置。
6. 前記攻撃パス生成部は、物理的な攻撃を含む前記攻撃パスよりも、物理的な攻撃を含まない前記攻撃パスを優先して生成することを特徴とする
   請求項１に記載のセキュリティ対策支援装置。
7. 前記攻撃パス生成部は、物理的な攻撃を含む前記攻撃パスについて、物理的な攻撃に対する保護レベルが低いほど、優先して前記攻撃パスを生成することを特徴とする
   請求項１に記載のセキュリティ対策支援装置。
8. 前記攻撃パス生成部は、前記攻撃パスが通過するポイントの段数が少ない前記攻撃パスを優先して生成することを特徴とする
   請求項１に記載のセキュリティ対策支援装置。
9. セキュリティ対策支援装置は、攻撃パス生成部と、キルポイント決定部と、キルポイント評価部と、推奨対策選定部と、対策内容出力部とを有しており、
   前記攻撃パス生成部は、保護対象である資産ポイントを終点ポイントとし、始点ポイントから前記終点ポイントまでの攻撃パスを生成し、
   前記キルポイント決定部は、前記攻撃パスを構成する各候補ポイントから、攻撃者の攻撃を遮断する箇所であるキルポイントを決定し、
   前記キルポイント評価部は、前記キルポイントの保護レベルが事前に設定された攻撃者能力に対処可能か否かを判定し、
   前記推奨対策選定部は、前記キルポイント評価部の判定結果として対処不可能な前記攻撃パスについて、前記キルポイントの保護レベルを強化する対策項目を選定し、
   前記対策内容出力部は、前記推奨対策選定部が選定した対策項目を出力することを特徴とする
   セキュリティ対策支援方法。

Images