JPWO2017103974A1 - 情報処理装置、情報処理方法及び情報処理プログラム - Google Patents

Abstract

監視イベント指定部（１３１）は、複数のシステム構成要素が含まれる情報システムを攻撃する攻撃イベントが検知され、検知された攻撃イベントである検知イベントと検知イベントの発生に関与したシステム構成要素であるイベント関与要素とが通知された場合に、検知イベントの次に、イベント関与要素の関与により発生し得る攻撃イベントを監視イベントとして指定する。関与候補要素指定部（１４３）は、複数のシステム構成要素のうちイベント関与要素以外に監視イベントの発生に関与し得るシステム構成要素を関与候補要素として指定する。

Description

本発明は、情報システムへの攻撃を検知する技術に関する。

情報システムへの攻撃として、例えば標的型攻撃がある。標的型攻撃においては、攻撃者は正規のユーザに成りすまして活動を行うため、正規の活動と攻撃活動とを区別することが難しい。正規の活動と攻撃活動とを正しく区別するためには、攻撃検知のための検知ルールをチューニングすることが必要である。
しかし、従来の統合ログ監視では、攻撃の検知漏れと誤検知とのバランスをとれるように検知ルールをチューニングすることが困難であった。
これに対し、攻撃者が行う活動によって観測されるイベントの推移をシナリオとして定義しておき、シナリオにそったイベントの発生が観測された場合に攻撃が発生したとみなす手法が提案されている（例えば、特許文献１）。
具体的には、特許文献１の手法では、標的型攻撃において発生すると考えられる複数のイベントのそれぞれに対して、攻撃活動定義情報が定義される。攻撃活動定義情報には、イベントの内容やイベントが発生するための事前条件、イベントの発生によって攻撃者が得ると期待される新たな知識や状態を示す達成状態等が定義される。標的型攻撃の検知は、標的型攻撃検知Ｓ／Ｗ（Ｓｏｆｔｗａｒｅ）が、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ）等のセキュリティ機器から送られてくるイベントを受信し、標的型攻撃の確度が高いと判断した場合に管理者へ警報を行う。
警報を行う程の確度に達していなかった場合は、標的型攻撃検知Ｓ／Ｗは、受信したイベントに対応する攻撃活動定義情報を活用して次に発生するイベントの予測を行う。また、標的型攻撃検知Ｓ／Ｗは、予測したイベントを必要に応じて用い、より詳細な監視が行えるようＳＩＥＭや監視対象ネットワーク上の機器に対して監視設定を変更する。

攻撃者の情報システムへの攻撃活動は、攻撃活動定義情報に、攻撃が発生した端末装置のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスや端末識別番号といった束縛済み変数情報を追記し管理している。これにより、情報システムのシステム構成要素（例えば計算機端末Ａ）に侵入することで発生した一連の攻撃活動と、他のシステム構成要素（例えば計算機端末Ｂ）に侵入することで発生した一連の攻撃活動をそれぞれ別のシナリオとして管理することができる。
また、次に発生するイベントの予測を行う際も、束縛済み変数情報と併せて条件付きの監視を行うことで、正常なユーザの活動を攻撃活動と誤検知することを防いでいる。

国際公開ＷＯ２０１５／０５９７９１号

しかし、特許文献１の手法では、攻撃者が複数のシステム構成要素に侵入し、複数のシステム構成要素から攻撃活動を実施した場合に検知漏れが発生する場合がある。
例えば、攻撃者がある計算機端末２台に不正に侵入した場合を想定する。このとき、攻撃者が一方の計算機端末Ａからファイルサーバのログインパスワードを取得したことを検知できた場合に、特許文献１の手法では攻撃活動定義情報と束縛済み変数情報を用いて、次に攻撃者が計算機端末Ａからファイルサーバへログインすることを予測し、計算機端末Ａからファイルサーバへログインを監視することができる。
しかし、このとき、他方の計算機端末Ｂにも侵入している攻撃者は、計算機端末Ａで不正に取得したパスワードを用いて計算機端末Ｂからファイルサーバに不正にログインすることも可能である。
特許文献１の手法では計算機端末Ａからのログインのみを予測し監視しているため、計算機端末Ｂからのファイルサーバへの攻撃の検知漏れが発生し得る。
このように、特許文献１の手法では、検知された攻撃イベントの発生に関与したシステム構成要素のみを監視対象とするため、他のシステム構成要素を介した攻撃を検知できないという課題がある。

本発明は、このような課題を解決することを主な目的としており、検知された攻撃イベントの発生に関与したシステム構成要素以外のシステム構成要素を介した攻撃を検知できるようにすることを主な目的とする。

本発明に係る情報処理装置は、
複数のシステム構成要素が含まれる情報システムを攻撃する攻撃イベントが検知され、検知された攻撃イベントである検知イベントと前記検知イベントの発生に関与したシステム構成要素であるイベント関与要素とが通知された場合に、前記検知イベントの次に、前記イベント関与要素の関与により発生し得る攻撃イベントを監視イベントとして指定する監視イベント指定部と、
前記複数のシステム構成要素のうち前記イベント関与要素以外に前記監視イベントの発生に関与し得るシステム構成要素を関与候補要素として指定する関与候補要素指定部とを有する。

本発明によれば、検知された攻撃イベントの発生に関与したシステム構成要素であるイベント関与要素以外に監視イベントの発生に関与し得るシステム構成要素を関与候補要素として指定するため、関与候補要素に対する監視を行うことで、イベント関与要素以外のシステム構成要素を介した攻撃を検知することができる。

実施の形態１に係るシステム構成例を示す図。 実施の形態１に係る情報処理装置の機能構成例を示す図。 実施の形態１に係るシナリオ管理部及びシナリオ制御部の内部構成例を示す図。 実施の形態１に係る情報処理装置のハードウェア構成例を示す図。 実施の形態１に係る情報処理方法を示すフローチャート図。 実施の形態１に係る検知アラート受信後のイベント属性情報の例を示す図。 実施の形態１に係るシナリオの例を示す図。 実施の形態１に係る監視イベント情報の例を示す図。 実施の形態１に係る連携予測条件が記述される監視イベント情報の例を示す図。 実施の形態１に係る情報処理装置の動作の概要を示すフローチャート図。 実施の形態１に係る情報処理装置の動作の概要を示すフローチャート図。 実施の形態１に係るシナリオ管理部及びシナリオ制御部の動作例を示すフローチャート図。 実施の形態１に係るシナリオ管理部及びシナリオ制御部の動作例を示すフローチャート図。 実施の形態１に係るシナリオ管理部及びシナリオ制御部の動作例を示すフローチャート図。 実施の形態１に係るシナリオ管理部及びシナリオ制御部の動作例を示すフローチャート図。 実施の形態１に係るシナリオ検索部の動作例を示すフローチャート図。 実施の形態１に係るシナリオ検索部の動作例を示すフローチャート図。 実施の形態１に係るシナリオ検索部の動作例を示すフローチャート図。 実施の形態２に係るシナリオ管理部及びシナリオ制御部の内部構成例を示す図。 実施の形態２に係るシナリオ管理部及びシナリオ制御部の動作例を示すフローチャート図。 実施の形態２に係るシナリオ管理部及びシナリオ制御部の動作例を示すフローチャート図。 実施の形態２に係る連携予測ＩＤが記述される監視イベント情報の例を示す図。 実施の形態２に係るシナリオ制御部の動作例を示すフローチャート図。 実施の形態２に係る集約後のイベント属性情報の例を示す図。 実施の形態３に係るシナリオ管理部及びシナリオ制御部の内部構成例を示す図。 実施の形態３に係るシナリオ統合除外識別子が記述されるイベント属性情報の例を示す図。 実施の形態３に係るシナリオ管理部及びシナリオ制御部の動作例を示すフローチャート図。 実施の形態３に係るシナリオ管理部及びシナリオ制御部の動作例を示すフローチャート図。 実施の形態４に係るシナリオ管理部及びシナリオ制御部の内部構成例を示す図。 実施の形態４に係るシナリオ管理部及びシナリオ制御部の動作例を示すフローチャート図。 実施の形態４に係るシナリオ管理部及びシナリオ制御部の動作例を示すフローチャート図。 実施の形態１に係る検知アラート受信前のイベント属性情報の例を示す図。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係るシステム構成例を示す。
本実施の形態では、情報システム２００と監視装置５００と情報処理装置１００がネットワーク６００で接続されている。
情報システム２００には、複数のシステム構成要素３００が含まれる。
システム構成要素３００には、端末装置、サーバ装置といった計算機要素が含まれる。
また、システム構成要素３００には、端末装置を利用するユーザ、情報システム２００を管理するシステム管理者といった人的要素が含まれる。
更に、システム構成要素３００には、ファイル、テーブル、関数、変数、定数といったデータ要素が含まれる。
また、情報システム２００ではイベントが発生し、監視装置５００により情報システム２００への攻撃又は攻撃の兆候となるイベント（以下、攻撃イベントという）が検知される。
図１では、監視装置５００は情報システム２００外に配置されているが、監視装置５００が情報システム２００内に配置されていてもよい。
監視装置５００は、情報システム２００を監視する。
なお、監視装置５００における「監視」とは、情報システム２００への攻撃の進展度合いを解析するためにイベントの発生有無を定期的又は不定期にログ検索等により調査することである。
監視装置５００は、例えばＳＩＥＭ等のセキュリティ機器である。
監視装置５００によって検知された攻撃イベントは、検知アラート４００として、情報処理装置１００に通知される。

図２は、情報処理装置１００の機能構成例を示す。
情報処理装置１００は、アラート受信部１０１、イベント属性情報検索部１０２、シナリオ管理部１０３、シナリオ制御部１０４、イベント属性情報記憶部１０５、シナリオ記憶部１０６が含まれる。
また、図３に示すように、シナリオ管理部１０３には、監視イベント指定部１３１、攻撃イベント登録部１３２、監視指示部１３３が含まれ、シナリオ制御部１０４には、シナリオ検索部１４１、シナリオ更新部１４２、関与候補要素指定部１４３が含まれる。

情報処理装置１００には、図４に示すように、プロセッサ９０１、記憶装置９０２、レシーバー９０３及びトランスミッター９０４というハードウェアが含まれる。
記憶装置９０２には、アラート受信部１０１、イベント属性情報検索部１０２、シナリオ管理部１０３、シナリオ制御部１０４の機能を実現するプログラムが記憶されている。
そして、プロセッサ９０１がこれらプログラムを実行して、後述するアラート受信部１０１、イベント属性情報検索部１０２、シナリオ管理部１０３、シナリオ制御部１０４の動作を行う。
図４では、プロセッサ９０１がアラート受信部１０１、イベント属性情報検索部１０２、シナリオ管理部１０３、シナリオ制御部１０４の機能を実現するプログラムを実行している状態を模式的に表している。
また、イベント属性情報記憶部１０５及びシナリオ記憶部１０６は、記憶装置９０２により実現される。
レシーバー９０３及びトランスミッター９０４は、監視装置５００との間で通信を行う。

＊＊＊動作の説明＊＊＊
まず、本実施の形態に係る情報処理装置１００の動作の詳細を説明する前に、図５を参照して、情報処理装置１００により行われる動作の概要を説明する。
なお、図５に示される手順は、情報処理方法及び情報処理プログラムの例に相当する。

情報システム２００を攻撃する攻撃イベントが監視装置５００で検知された場合に、ステップＳ１１において、アラート受信部１０１が、レシーバー９０３を介して監視装置５００から検知アラート４００を受信する。
検知アラート４００では、監視装置５００で検知された攻撃イベント（以下、検知イベントという）と、検知イベントの発生に関与したシステム構成要素３００（以下、イベント関与要素という）とが通知される。
なお、「関与」とは、検知イベントの発生主体になること、検知イベントの客体となること、検知イベントでパラメータとして利用されること等を含む意味である。従って、「検知イベントの発生に関与したシステム構成要素３００」は、検知イベントの発生主体のシステム構成要素３００、検知イベントの客体となるシステム構成要素３００、検知イベントでパラメータとして利用されているシステム構成要素３００等を意味する。

次に、ステップＳ１２において、シナリオ管理部１０３内の監視イベント指定部１３１が、検知イベントの次に、イベント関与要素の関与により発生し得る攻撃イベントを監視イベントとして指定する（監視イベント指定処理）。
より具体的には、監視イベント指定部１３１は、検知アラート４００で通知された検知イベントとイベント関与要素とに基づき、シナリオ検索部１４１を用いて、シナリオ記憶部１０６内のシナリオを検索して、監視イベントを指定する。

シナリオは、システム構成要素別にシナリオ記憶部１０６で記憶されている。
シナリオ記憶部１０６は、監視装置５００で検知された攻撃イベントのイベント属性情報を、検知された攻撃イベントの発生に関与したシステム構成要素と対応付けて、シナリオとして記憶する。
イベント属性情報は、攻撃イベントの属性値が示される情報であり、イベント属性情報記憶部１０５で記憶されている。
イベント属性情報記憶部１０５は、複数の攻撃イベントについて、攻撃イベントごとに、イベント属性情報を記憶している。
なお、シナリオ及びイベント属性情報の詳細は後述する。

次に、ステップＳ１３において、シナリオ制御部１０４内の関与候補要素指定部１４３が、監視イベントと関連する攻撃イベントが発生しているシステム構成要素を関与候補要素として指定する（関与候補要素指定処理）。
関与候補要素は、複数のシステム構成要素のうちイベント関与要素以外に監視イベントの発生に関与し得るシステム構成要素である。

次に、ステップＳ１４において、シナリオ制御部１０４内のシナリオ更新部１１４がシナリオを更新する。
より具体的には、シナリオ更新部１１４は、監視イベントのイベント属性情報（以下、監視イベント情報という）を、イベント関与要素のシナリオと関与候補要素のシナリオに追加する。
なお、シナリオ更新部１１４は、監視イベント情報のイベント関与要素のシナリオへの追加は、ステップＳ１２とステップＳ１３との間で行うようにしてもよい。

最後に、シナリオ管理部１０３内の監視指示部１３３が、監視装置５００に、イベント関与要素での監視イベントの監視と関与候補要素での監視イベントの監視を指示する。
監視装置５００では、監視指示部１３３からの指示に基づき、イベント関与要素及び関与候補要素について、定期的又は不定期にログを検索することで監視イベントが発生したか否かを判定する。

次に、本実施の形態に係る情報処理装置１００の動作の詳細を説明する。

イベント属性情報記憶部１０５は、複数の攻撃イベントについて、攻撃イベントごとに、イベント属性情報を記憶する。

図６及び図３２は、イベント属性情報８の例である。
図６は検知アラート受信後のイベント属性情報８の例であり、図３２は検知アラート受信前のイベント属性情報の例である。
以下、図６を参照してイベント属性情報８の詳細を説明する。
図６に示すように、イベント属性情報８は、事前条件９、イベント１０、達成状態１１、束縛済み変数情報１２で構成されている。
事前条件９には、攻撃イベントが発生するための前提条件が述語論理の形式で記述されている。
つまり、事前条件９には、攻撃イベントが観測される前の攻撃の進展段階（イベント前段階）が記述されている。
例えば、図６の符号１３で示す述語論理「ｌｏｇｉｎ（Ａ，Ｈ）」は、攻撃イベントの発生のための事前条件として、「ＡがＨにログインしている」状態が必要であることを表している。なお、符号１３で示される「Ａ」及び「Ｈ」は変数であり、検知アラート４００から得られた具体的な値などは束縛済み変数情報１２の欄に保持される。
イベント１０は、情報システム２００に対する攻撃が行われる過程において情報システム２００で観測される攻撃イベントを表す。
イベント１０には、イベント発生源１４、イベント種別１５、イベントパラメータ１６が含まれる。
イベント発生源１４は、イベント属性情報８が対象とする攻撃イベントのイベント発生源を示している。
符号１７は、イベント発生源として許される値を示しており、図６の例では、イベント発生源１４が変数Ｈによって事前条件１３と関連付けられている（「＄Ｈ」の冒頭にあるドルマーク（＄）は、Ｈが変数であることを示している）。
イベント種別１５は、イベント属性情報８が対象としている攻撃イベントの種別を示す。
具体的には、イベント種別１５は、符号１８のように指定される。
イベント種別１５の具体値（符号１８）は、イベント種別情報ともいう。
イベントパラメータ１６は、イベントのパラメータを示す。
イベントパラメータ１６では、イベント属性情報８が対象とする値が指定されている。
図６の例では、符号１９で、「ＵＳＥＲ」という名称のパラメータが符号１３で示されている変数Ａと同じ値をとることが求められている。
達成状態１１は、イベント属性情報８の符号１４〜１６の項目に合致する攻撃イベントが発生した時に、攻撃者が達成した状態を述語論理で示している。
つまり、達成状態１１には、符号１４〜１６の項目に合致する攻撃イベントが検知された後の攻撃の進展段階（イベント後段階）が記述されている。
達成状態１１は、進展状態ともいう。
図６の例では、符号２０の「ｈａｓＳｅｃｒｅｔ（Ａ，Ｈ）」は、「ユーザＡがホストＨの機密情報を入手した」段階であることを示している。
前述したように検知アラートの受信前、すなわち、イベント属性情報記憶部１０５で記憶されているイベント属性情報では、図３２のように、束縛済み変数情報１２には、値が記述されていない（束縛済み変数情報１２は空欄である）。
アラート受信部１０１が検知アラート４００を受信した際に、アラート受信部１０１が、検知アラート４００に記述されている変数の値を束縛済み変数情報１２に追記し、図６のイベント属性情報８が得られる。

検知アラート４００では、図６のイベント属性情報８と同様に、イベント発生源、イベント種別、イベントパラメータが通知される。
図６のイベント属性情報８では、イベント発生源１７、イベントパラメータ１９の各変数の値は特定されていないが、検知アラート４００では、イベント発生源、イベントパラメータの各変数の値が特定されている。
図６は、アラート受信部１０１が、変数「Ａ」の具体値として「ＵＳＥＲ１」が記述され、変数「Ｈ」の具体値として「Ｈ＿１」が記述されている検知アラート４００を受信した場合に生成される束縛済み変数情報１２を表している。
つまり、図６の例では、アラート受信部１０１は、変数「Ａ」の具体値である「ＵＳＥＲ１」を束縛済み変数情報１２の変数名「Ａ」に対する束縛値に記述し、変数「Ｈ」の具体値である「Ｈ＿１」を束縛済み変数情報１２の変数名「Ｈ」に対する束縛値に記述している。

以上述べたイベント属性情報８は、標的型攻撃で発生すると考えられる複数の攻撃イベントに対して予め定義されており、イベント属性情報記憶部１０５内に検索可能な状態で格納されている。
なお、束縛済み変数情報１２の欄に記載されている束縛値である「ＵＳＥＲ１」、「Ｈ＿１」は、情報システム２００に含まれるシステム構成要素３００である。

シナリオ記憶部１０６は、検知アラート４００が受信される度に、検知アラート４００で通知された検知イベントのイベント属性情報を、検知アラート４００で通知されたイベント関与要素と対応付けて、シナリオとして記憶する。
つまり、シナリオは、システム構成要素３００別にグルーピングされた、検知イベントのイベント属性情報の集合である。

図７は、シナリオの例を示す。図７では、シナリオ記憶部１０６に、シナリオＡとシナリオＢとが記憶されている例を示す。
シナリオＡについては、イベント種別が「ＡＮＯＭＡＬＯＵＳ＿ＦＩＬＥ＿ＡＣＣＥＳＳ」であるイベント属性情報８とイベント種別が「ＳＥＮＤ＿ＬＡＲＧＥ＿ＦＩＬＥＳ」であるイベント属性情報８とが格納されている。
これらのイベント属性情報８は、ともに変数Ａの束縛値が「ＵＳＥＲ１」であり、変数Ｈの束縛値が「Ｈ＿１」であるため、攻撃者による一連の攻撃活動として同じシナリオに格納されている。
一方で、シナリオＢにはイベント種別が「ＡＮＯＭＡＬＯＵＳ＿ＦＩＬＥ＿ＡＣＣＥＳＳ」であるイベント属性情報８が格納されている。
イベント種別が「ＡＮＯＭＡＬＯＵＳ＿ＦＩＬＥ＿ＡＣＣＥＳＳ」であるイベント属性情報８はシナリオＡにも格納されているが、格納されている束縛済み変数情報１２が異なっているため、異なるシナリオＢに格納されている。

アラート受信部１０１は、情報システム２００を攻撃する攻撃イベントが監視装置５００で検知された場合に、レシーバー９０３を介して、監視装置５００から検知アラート４００を受信する。
検知アラート４００には、情報システム２００への攻撃の一環として送信された可能性のあるパケットの送信元の識別子（ＩＰアドレス及びポート番号等）、送信先の識別子（ＩＰアドレス及びポート番号等）が含まれる。
更に、検知アラート４００には、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ
Ｐｒｏｔｏｃｏｌ）やＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）などのプロトコル、検知された攻撃イベント（ログイン、ポートスキャン等）のイベント種別情報が含まれている。
前述したように、検知アラート４００で通知された、検知された攻撃イベントが検知イベントであり、攻撃の一環として送信された可能性のあるパケットの送信元のシステム構成要素及び送信先のシステム構成要素は、イベント関与要素である。
検知アラート４００の一例として、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ
Ｓｙｓｔｅｍ）アラートがある。
また、アラート受信部１０１は、検知アラート４００で通知された検知イベントのイベント種別情報をイベント属性情報検索部１０２に出力し、検知イベントに対応するイベント属性情報８をイベント属性情報検索部１０２を介してイベント属性情報記憶部１０５から受信する。
また、アラート受信部１０１は、検知アラート４００から得られた変数の具体値を、イベント属性情報記憶部１０５から受信した検知イベントのイベント属性情報４０２の束縛済み変数情報１２に記述する。
また、アラート受信部１０１は、変数の具体値が束縛済み変数情報１２に記述された検知イベントのイベント属性情報４０２をシナリオ管理部１０３内の攻撃イベント登録部１３２に出力する。

イベント属性情報検索部１０２は、アラート受信部１０１から検知イベントのイベント種別情報を受信し、受信したイベント種別情報に対応するイベント属性情報４０２を、イベント属性情報記憶部１０５から受信する。
そして、イベント属性情報検索部１０２は、イベント属性情報記憶部１０５から受信したイベント属性情報４０２を、アラート受信部１０１に出力する。

シナリオ管理部１０３において、攻撃イベント登録部１３２は、検知イベントのイベント属性情報４０２をアラート受信部１０１から受信する。
そして、攻撃イベント登録部１３２は、受信した検知イベントのイベント属性情報４０２をシナリオ制御部１０４内のシナリオ検索部１４１に送信する。
シナリオ検索部１４１は、後述するように、検知イベントのイベント属性情報４０２をシナリオ記憶部１０６内のシナリオに追加する。

監視イベント指定部１３１は、イベント関与要素が関与して検知イベントの次に発生し得る攻撃イベントの候補を監視イベントとして指定する。
より具体的には、監視イベント指定部１３１は、シナリオ更新部１４２から検知イベントのイベント属性情報を受信し、受信した検知イベントのイベント属性情報から達成状態の述語論理を抽出する。そして、監視イベント指定部１３１は、検知イベントのイベント属性情報から抽出した述語論理が事前条件に記述されているイベント属性情報を、イベント属性情報検索部１０２を介して、イベント属性情報記憶部１０５から取得する。該当するイベント属性情報が複数ある場合は、監視イベント指定部１３１は、複数のイベント属性情報を取得する。
次に、監視イベント指定部１３１は、取得したイベント属性情報がシナリオに追加されているか否か、更に、取得したイベント属性情報の事前条件が、検知イベントのイベント属性情報の達成状態によって満たされているか否かを確認する。
取得したイベント属性情報がシナリオに未だ追加されておらず、かつ、取得したイベント属性情報の事前条件が、検知イベントのイベント属性情報の達成状態によって満たされている場合に、取得したイベント属性情報が対象としている攻撃イベントを監視イベントに指定する。
更に、監視イベント指定部１３１は、監視イベントのイベント属性情報の束縛済み変数情報１２に、検知イベントのイベント属性情報の束縛済み変数情報１２の具体値を格納する。
以降、束縛済み変数情報１２に具体値が記述された後の監視イベントのイベント属性情報を、監視イベント情報という。
監視イベント情報には、イベント関与要素のシナリオに追加する監視イベント情報と、関与候補要素のシナリオに追加する監視イベント情報の二種類がある。以下では、イベント関与要素のシナリオに追加する監視イベント情報をイベント関与要素の監視イベント情報といい、関与候補要素のシナリオに追加する監視イベント情報を関与候補要素の監視イベント情報という。
監視イベント指定部１３１は、イベント関与要素の監視イベント情報を関与候補要素指定部１４３に送信する。
また、監視イベント指定部１３１は、関与候補要素指定部１４３から関与候補要素の監視イベント情報と関与候補要素のシナリオを受信する。
また、監視イベント指定部１３１は、関与候補要素指定部１４３から受信した関与候補要素の監視イベント情報と関与候補要素のシナリオをシナリオ更新部１４２に送信する。
シナリオ更新部１４２は、関与候補要素のシナリオを更新する。具体的には、シナリオ更新部１４２は、関与候補要素のシナリオに関与候補要素の監視イベント情報を追加する。
なお、監視イベント指定部１３１により行われる処理は、監視イベント指定処理という。

図８は監視イベント情報２７の例を示す。
図８に示すように、監視イベント情報２７は、図６のイベント属性情報８に含まれる項目に加え、符号２８に示される「状態」属性が含まれる。
符号２９に示されるように、「状態」属性は「監視中」となっており、検知アラート４００で通知された検知イベントのイベント属性情報と区別される。
なお、イベント関与要素の監視イベント情報２７と、関与候補要素の監視イベント情報２７では、束縛済み変数情報の束縛値が異なっている。
つまり、イベント関与要素の監視イベント情報２７の束縛済み変数情報には、検知アラート４００に記述されている具体値が記述されている。
一方、関与候補要素の監視イベント情報２７の束縛済み変数情報には、関与候補要素のシナリオ内のイベント属性情報の束縛済み変数情報の束縛値が記述されている。

監視指示部１３３は、監視装置５００に、イベント関与要素での監視イベントの監視と関与候補要素での監視イベントの監視を指示する。
より具体的には、監視指示部１３３は、監視イベント指定部１３１から、イベント関与要素の監視イベント情報２７と関与候補要素の監視イベント情報２７を取得し、取得したイベント関与要素の監視イベント情報２７と関与候補要素の監視イベント情報２７をトランスミッター９０４を介して監視装置５００に送信する。

シナリオ制御部１０４において、シナリオ検索部１４１は、攻撃イベント登録部１３２から検知イベントのイベント属性情報４０２を取得し、イベント関与要素のシナリオをシナリオ記憶部１０６から取得する。また、シナリオ検索部１４１は、検知イベントのイベント属性情報４０２と、イベント関与要素のシナリオをシナリオ更新部１４２に出力する。
更に、シナリオ検索部１４１は、関与候補要素指定部１４３からイベント関与要素の監視イベント情報２７を取得し、イベント関与要素の監視イベント情報２７に基づき、関与候補要素のシナリオをシナリオ記憶部１０６から取得する。また、シナリオ検索部１４１は、関与候補要素のシナリオを関与候補要素指定部１４３に出力する。

シナリオ更新部１４２は、シナリオ検索部１４１から検知イベントのイベント属性情報４０２とイベント関与要素のシナリオを取得した場合に、検知イベントのイベント属性情報４０２をイベント関与要素のシナリオに追加して、イベント関与要素のシナリオを更新する。そして、シナリオ更新部１４２は、更新後のイベント関与要素のシナリオをシナリオ記憶部１０６に格納する。
また、シナリオ更新部１４２はシナリオ検索部１４１から検知イベントのイベント属性情報４０２のみを受信した場合は、イベント関与要素のシナリオを新規に生成する。そして、シナリオ更新部１４２は新規に生成したイベント関与要素のシナリオに検知イベントのイベント属性情報４０２を追加し、イベント関与要素のシナリオをシナリオ記憶部１０６に格納する。
更に、シナリオ更新部１４２は、監視イベント指定部１３１からイベント関与要素の監視イベント情報２７とイベント関与要素のシナリオを取得した場合に、イベント関与要素の監視イベント情報２７をイベント関与要素のシナリオに追加して、イベント関与要素のシナリオを更新する。そして、シナリオ更新部１４２は、更新後のイベント関与要素のシナリオをシナリオ記憶部１０６に格納する。
また、シナリオ更新部１４２は、監視イベント指定部１３１から関与候補要素の監視イベント情報２７と関与候補要素のシナリオを取得した場合に、関与候補要素の監視イベント情報２７を関与候補要素のシナリオに追加して、関与候補要素のシナリオを更新する。そして、シナリオ更新部１４２は、更新後の関与候補要素のシナリオをシナリオ記憶部１０６に格納する。

関与候補要素指定部１４３は、監視イベント指定部１１３からイベント関与要素の監視イベント情報２７を取得し、取得したイベント関与要素の監視イベント２７に連携予測条件が含まれているかどうかを確認する。イベント関与要素の監視イベント情報２７に連携予測条件が含まれていた場合は、関与候補要素指定部１４３は、シナリオ検索部１４１にイベント関与要素の監視イベント情報２７を送信する。そして、関与候補要素指定部１４３は、シナリオ検索部１４１から連携予測条件を達成状態に持つイベント属性情報を含むシナリオを関与候補要素のシナリオとして取得する。
また、関与候補要素指定部１４３は、取得した関与候補要素のシナリオ内の、連携予測条件を達成状態に持つイベント属性情報の束縛済み変数情報の束縛値で、イベント関与要素の監視イベント情報２７の束縛済み変数情報を書き換えて、関与候補要素の監視イベント情報２７を得る。
そして、関与候補要素指定部１４３は、関与候補要素の監視イベント情報２７と関与候補要素のシナリオを、監視イベント指定部１３１に送信する。
なお、関与候補要素指定部１４３により行われる処理は、関与候補要素指定処理という。

図９は連携予測条件が含まれている監視イベント情報２７の例を示す。
図９の監視イベント情報２７には連携予測条件３０として、符号３１に示される「ｓｕｓｐｉｃｉｏｕｓＣｏｎｎｅｃｔｉｏｎ（Ｈ）」が記述されている。連携予測条件３０は、監視イベントに関連する攻撃イベントの属性値である。
前述したように、関与候補要素指定部１４３は、イベント関与要素の監視イベント情報２７に連携予測条件３０が含まれる場合は、イベント関与要素の監視イベント情報２７をシナリオ検索部１４１に送信する。そして、シナリオ検索部１４１は、達成状態に連携予測条件３０の述語論理が記述されているイベント属性情報が含まれるシナリオを関与候補要素のシナリオとして抽出する。図９の例では、シナリオ検索部１４１は、達成条件に「ｓｕｓｐｉｃｉｏｕｓＣｏｎｎｅｃｔｉｏｎ（Ｈ）」が記述されているイベント属性情報が含まれるシナリオを関与候補要素のシナリオとして抽出する。
また、前述したように、関与候補要素指定部１４３は、関与候補要素のシナリオ内のイベント属性情報のうち、連携予測条件３０と同じ述語論理が達成状態に記述されているイベント属性情報の束縛済み変数情報の束縛値を用いて、関与候補要素の監視イベント情報２７を生成する。図９の例では、関与候補要素指定部１４３は、達成条件に「ｓｕｓｐｉｃｉｏｕｓＣｏｎｎｅｃｔｉｏｎ（Ｈ）」が記述されているイベント属性情報の束縛済み変数情報の束縛値を用いて、関与候補要素の監視イベント情報２７を生成する。

次に、本実施の形態に係る情報処理装置１００の動作を、図１０及び図１１を参照して説明する。
図１０及び図１１は、本実施の形態に係る情報処理装置１００の全体の処理の流れを示すフローチャートである。

まず、ステップＳ１０１において、アラート受信部１０１が検知アラート４００を受信する。
検知アラート４００は、前述のとおり、監視装置５００から送信される警告メッセージである。
次に、ステップＳ１０２において、アラート受信部１０１は、検知アラート４００のイベント種別情報（例えば、ＡＮＯＭＡＬＯＵＳ＿ＦＩＬＥ＿ＡＣＣＥＳＳ）をイベント属性情報検索部１０２に入力する。
次に、ステップＳ１０３において、イベント属性情報検索部１０２がイベント種別情報に該当するイベント属性情報をイベント属性情報記憶部１０５から取得し、アラート受信部１０１に入力する。
具体的には、イベント属性情報検索部１０２は、イベント種別情報のイベント種別と同じイベント種別が記述されているイベント属性情報を取得する。
次に、ステップＳ１０４において、アラート受信部１０１はイベント属性情報の束縛済み変数情報に具体値を代入する。具体的には、アラート受信部１０１は、検知アラート４００から得られたイベント発生源の具体値、イベントパラメータの具体値を、イベント属性情報検索部１０２から得られたイベント属性情報の束縛済み変数情報に代入する。

次に、ステップＳ１０５において、アラート受信部１０１は束縛済み変数情報に具体値が記述されたイベント属性情報をシナリオ管理部１０３に入力する。
次に、ステップＳ１０６において、シナリオ管理部１０３はシナリオ制御部１０４を用いて、シナリオ記憶部１０６内のシナリオの更新またはシナリオの生成を行う。
次に、ステップＳ１０７において、シナリオ管理部１０３はシナリオ制御部１０４及びイベント属性情報検索部１０２を用いて監視イベントを指定し、監視イベント情報４０１を生成する。
次に、ステップＳ１０８において、シナリオ管理部１０３は監視イベント情報４０１を監視装置５００に送信する。

次に、図３に示した、情報処理装置１００におけるシナリオ管理部１０３及びシナリオ制御部１０４の詳細な構成を用いて、ステップＳ１０５〜Ｓ１０８の動作の詳細を説明する。
動作の流れは、図１２、図１３、図１４及び図１５を参照して説明する。
図１２、図１３、図１４及び図１５は、本実施の形態に係る情報処理装置１００におけるシナリオ管理部１０３及びシナリオ制御部１０４の詳細な構成の動作の流れを示すフローチャートである。
図１２、図１３、図１４及び図１５では、ステップＳ２０１がステップＳ１０５に、ステップＳ２０２〜Ｓ２０６がステップＳ１０６に、ステップＳ２０７〜Ｓ２１７がステップＳ１０７に、ステップＳ２１８がステップＳ１０８に対応している。

まず、ステップＳ２０１において、攻撃イベント登録部１３２は、束縛済み変数情報に具体値が記述されたイベント属性情報をアラート受信部１０１から受信する。
次に、ステップＳ２０２において、攻撃イベント登録部１３２は、受信したイベント属性情報をシナリオ検索部１４１に入力する。
次に、ステップＳ２０３において、シナリオ検索部１４１はシナリオ記憶部１０６から条件に合ったシナリオを検索し、検索により得られたシナリオをシナリオ更新部１４２に出力する。
具体的な処理の流れは、図１６及び図１７を参照して説明する。
図１６及び図１７は、シナリオ検索部１４１が攻撃イベント登録部１３２からイベント属性情報を受信した場合に、シナリオ記憶部１０６から条件に合ったシナリオを取得する動作の流れを説明したフローチャートである。

まず、ステップＳ３０１において、シナリオ検索部１４１はイベント属性情報を攻撃イベント登録部１３２から受信する。
次に、ステップＳ３０２において、シナリオ検索部１４１は、受信したイベント属性情報とイベント種別が共通する監視イベント情報が含まれるシナリオを、シナリオ記憶部１０６から検索する。
次に、ステップＳ３０３において、ステップＳ３０２の結果、シナリオ検索部１４１がシナリオを取得したかどうかで処理が分かれる。シナリオ検索部１４１がシナリオを取得した場合はＳ３０４が実施される。一方、シナリオ検索部１４１がシナリオを取得しない場合はＳ３０６が実施される。

ステップＳ３０４では、シナリオ検索部１４１は、Ｓ３０２で得られたシナリオに含まれる監視イベント情報の束縛済み変数情報と、受信したイベント属性情報の束縛済み変数情報を比較する。
次に、ステップＳ３０５において、シナリオ検索部１４１は、受信したイベント属性情報と束縛済み変数情報が共通する監視イベント情報が含まれるシナリオをシナリオ更新部１４２に出力し、処理を終了する。
ステップＳ３０６では、シナリオ検索部１４１は、受信したイベント属性情報に記述されている事前条件の述語論理と同じ述語論理が達成状態に記述されるイベント属性情報が含まれるシナリオを、シナリオ記憶部１０６から検索する。
次に、ステップＳ３０７において、Ｓ３０６の結果、シナリオ検索部１４１がシナリオを取得したかどうかで処理が分かれる。シナリオ検索部１４１がシナリオを取得した場合はＳ３０８が実施される。一方、シナリオ検索部１４１がシナリオを取得しない場合は処理が終了する。
ステップＳ３０８では、シナリオ検索部１４１は、Ｓ３０６で得られたシナリオに含まれる該当するイベント属性情報と、受信したイベント属性情報の束縛済み変数情報を比較する。
次に、ステップＳ３０９において、シナリオ検索部１４１は、受信したイベント属性情報と束縛済み変数情報が共通するイベント属性情報が含まれるシナリオをシナリオ更新部１４２に出力し、処理を終了する。

次に、図１２のステップＳ２０４において、Ｓ２０３においてシナリオ検索部１４１がシナリオ記憶部１０６からシナリオを取得できたかどうかによって処理が分かれる。シナリオ検索部１４１がシナリオを取得できた場合はＳ２０５が実施され、シナリオ検索部１４１がシナリオを取得できない場合はＳ２０６が実施される。
ステップＳ２０５では、シナリオ更新部１４２がシナリオを更新する。より具体的には、シナリオ検索部１４１が、取得したシナリオ及びステップＳ２０１で受信したイベント属性情報をシナリオ更新部１４２に入力し、シナリオ更新部１４２が、入力されたイベント属性情報を入力されたシナリオに追加する。このとき、追加するイベント属性情報と同じイベント種別情報をもつ監視イベント情報がシナリオに含まれている場合は、監視イベント情報を削除し、入力されたイベント属性情報をシナリオに追加する。そして、シナリオ更新部１４２は、イベント属性情報が追加されたシナリオでシナリオ記憶部１０６のシナリオを更新する。
ステップＳ２０６では、シナリオ更新部１４２がシナリオを生成し、入力されたイベント属性情報をシナリオに追加する。より具体的には、シナリオ検索部１４１が、ステップＳ２０１で受信されたイベント属性情報をシナリオ更新部１４２に入力し、シナリオ更新部１４２がシナリオを新規に生成し、入力されたイベント属性情報を生成したシナリオに追加する。そして、シナリオ更新部１４２は、イベント属性情報が追加されたシナリオをシナリオ記憶部１０６に登録する。

ステップＳ２０７では、シナリオ更新部１４２は、ステップＳ２０１で受信された検知イベントのイベント属性情報を監視イベント指定部１３１に入力する。
次に、ステップＳ２０８において、監視イベント指定部１３１は、シナリオ更新部１４２により入力されたイベント属性情報の達成状態を抽出し、抽出した達成状態をイベント属性情報検索部１０２に入力する。
次に、ステップＳ２０９において、監視イベント指定部１３１はイベント属性情報検索部１０２から、イベント属性情報検索部１０２に入力した達成状態を事前条件に持つイベント属性情報を取得する。
次に、ステップＳ２１０において、監視イベント指定部１３１は取得したイベント属性情報から未だシナリオに追加されていないイベント属性情報を監視イベント情報の候補として抽出する。
次に、ステップＳ２１１において、監視イベント指定部１３１は監視イベント情報の候補のうち、事前条件がすべて満たされているものをイベント関与要素の監視イベント情報として選択し、イベント関与要素の監視イベント情報を関与候補要素指定部１４３に入力する。
なお、イベント関与要素の監視イベント情報のイベント種別の欄に記述されているイベントが監視イベントである。

次に、ステップＳ２１２において、関与候補要素指定部１４３は入力されたイベント関与要素の監視イベント情報に、連携予測条件が記述されている監視イベント情報が含まれているかどうかを確認する。
連携予測条件が記述されている監視イベント情報が存在するか否かによって、以降の処理が分かれる。連携予測条件が記述されている監視イベント情報が存在する場合はステップＳ２１３が実施され、連携予測条件が記述されている監視イベント情報が存在しない場合はＳ２１８が実施される。
ステップＳ２１３では、関与候補要素指定部１４３は、連携予測条件が記述されている監視イベント情報をシナリオ検索部１４１に入力する。シナリオ検索部１４１は監視イベント情報に含まれる連携予測条件に基づいてシナリオを検索する。
シナリオ検索部１４の具体的な処理の流れを、図１８を参照して説明する。
図１８は、シナリオ検索部１４１が関与候補要素指定部１４３から監視イベント情報を受信した場合に、シナリオ記憶部１０６から条件に合ったシナリオを取得する動作の流れを説明したフローチャートである。

まず、ステップＳ４０１において、シナリオ検索部１４１は、連携予測条件が記述されている監視イベント情報を関与候補要素指定部１４３から受信する。
次に、ステップＳ４０２において、シナリオ検索部１４１は、監視イベント情報に含まれる連携予測条件の述語論理と同じ述語論理を達成状態に持つイベント属性情報が含まれるシナリオをシナリオ記憶部１０６から検索する。シナリオ検索部１４１は、束縛済み変数情報は考慮せずに、監視イベント情報に含まれる連携予測条件の述語論理と同じ述語論理を達成状態に持つイベント属性情報が含まれるシナリオを検索する。
次に、ステップＳ４０３において、Ｓ４０２の検索の結果、該当するシナリオを取得したかどうかで処理が分かれる。シナリオ検索部１４１がシナリオを取得した場合は、Ｓ４０４が実施され、シナリオ検索部１４１がシナリオを取得しなかった場合は、処理が終了する。
ステップＳ４０４では、シナリオ検索部１４１は、取得したシナリオ（関与候補要素のシナリオ）を関与候補要素指定部１４３に出力し、処理を終了する。

次に、図１４のステップＳ２１４において、関与候補要素指定部１４３がシナリオ検索部１４１から関与候補要素のシナリオを取得したかどうかによって処理が分かれる。関与候補要素指定部１４３がシナリオ検索部１４１から関与候補要素のシナリオを取得した場合は処理Ｓ２１５が実施され、関与候補要素指定部１４３がシナリオ検索部１４１から関与候補要素のシナリオを取得しなかった場合は、Ｓ２１８が実施される。
ステップＳ２１５では、関与候補要素指定部１４３は取得結果のシナリオごとに束縛済み変数情報を設定した関与候補要素の監視イベント情報を生成し、生成した関与候補要素の監視イベント情報と関与候補要素のシナリオを監視イベント指定部１３１に出力する。より具体的には、関与候補要素指定部１４３は、ステップＳ２１４で取得したシナリオから、連携予測条件の述語論理が達成状態に記述されているイベント属性情報を抽出し、抽出したイベント属性情報の束縛済み変数情報の具体値を、ステップＳ２１２で取得したイベント関与要素の監視イベントの束縛済み変数情報に設定して、関与候補要素の監視イベント情報を生成する。そして、関与候補要素指定部１４３は、生成した関与候補要素の監視イベント情報と、関与候補要素のシナリオを監視イベント指定部１３１に出力する。
なお、ステップＳ２１４で関与候補要素指定部１４３が取得したシナリオが対象としているシステム構成要素が関与候補要素に相当する。

次に、ステップＳ２１６において、監視イベント指定部１３１は、取得した関与候補要素のシナリオ及び関与候補要素の監視イベント情報の対をシナリオ更新部１４２に入力する。
次に、ステップＳ２１７において、シナリオ更新部１４２は関与候補要素のシナリオに関与候補要素の監視イベント情報を追加し、関与候補要素の監視イベント情報が追加された関与候補要素のシナリオでシナリオ記憶部１０６の関与候補要素のシナリオを更新する。
次に、ステップＳ２１８において、監視指示部１３３が監視イベント情報４０１を監視装置５００に送信する。具体的には、監視イベント指定部１３１がイベント関与要素の監視イベント情報４０１と関与候補要素の監視イベント情報４０１を監視指示部１３３に入力し、監視指示部１３３がイベント関与要素の監視イベント情報４０１と関与候補要素の監視イベント情報４０１を監視装置５００に送信する。
なお、ステップＳ２１２でＮＯの場合、ステップＳ２１４でＮＯの場合は、関与候補要素の監視イベント情報４０１は生成されないので、監視指示部１３３はイベント関与要素の監視イベント情報４０１のみを監視装置５００に送信する。

＊＊＊実施の形態の効果の説明＊＊＊
このように、本実施の形態では、関与候補要素指定部は、イベント関与要素の監視イベント情報に、連携予測条件として、監視イベントに関連する攻撃イベントの属性値が記述されている場合に、イベント関与要素以外のシステム構成要素のうち、イベント関与要素の監視イベント情報に記述されている属性値と同じ属性値が達成状態の状態値に記述されているイベント属性情報がシナリオに含まれるシステム構成要素を、関与候補要素として指定する。
つまり、本実施の形態では、関与候補要素指定部が、イベント関与要素以外に監視イベントの発生に関与し得るシステム構成要素を関与候補要素として指定するため、関与候補要素での監視イベントの監視を可能にする。
例えば、攻撃者が計算機端末Ａからファイルサーバのログインパスワードを取得したことが検知イベントとして検知された場合を想定する。本実施の形態に係る情報処理装置は、次に攻撃者が計算機端末Ａからファイルサーバへログインすることを監視イベントとして予測し、計算機端末Ａ以外に監視イベントの発生に関与する可能性のある計算機端末Ｂを関与候補要素として指定し、計算機端末Ａからファイルサーバへのログインと、計算機端末Ｂからのファイルサーバへのログインとを監視装置に監視させることができる。
このように、本実施の形態によれば、イベント関与要素以外のシステム構成要素を介した攻撃を検知することができ、検知漏れを防ぐことができる。

実施の形態２．
＊＊＊構成の説明＊＊＊
本実施の形態では、イベント関与要素のシナリオと関与候補要素のシナリオとを統合する構成を説明する。
以下では、主に実施の形態１との差異を説明する。以下で説明していない事項は、実施の形態１と同様である。
本実施の形態においても、システム構成例は図１に示す通りである。
また、本実施の形態においても、情報処理装置１００の機能構成例は図２に示す通りであるが、シナリオ制御部１０４の内部構成例が実施の形態１とは異なる。
図１９は、本実施の形態に係るシナリオ管理部１０３及びシナリオ制御部１０４の詳細な構成の例を示す。
図１９に示すように、シナリオ管理部１０３は実施の形態１と同様の構成であり、シナリオ制御部１０４には実施の形態１の構成に加え、シナリオ統合部１４４が配置されている。
シナリオ統合部１４４は、シナリオ記憶部１０６のイベント関与要素のシナリオと関与候補要素のシナリオとを統合する。
より具体的には、シナリオ統合部１４４は、シナリオ記憶部１０６にイベント関与要素のシナリオと、関与候補要素のシナリオが記憶されており、監視装置５００からの検知アラート４００において、新たに検知された攻撃イベントとして監視イベントが通知され、監視イベントの発生に関与したシステム構成要素として関与候補要素が通知された場合に、イベント関与要素のシナリオと関与候補要素のシナリオとを統合する。
なお、本実施の形態でも、情報処理装置１００は、図４に示すように、例えばプロセッサ９０１、記憶装置９０２、レシーバー９０３、トランスミッター９０４というハードウェアで構成される。

＊＊＊動作の説明＊＊＊
次に、実施の形態２に係る情報処理装置１００の動作例を図２０及び図２１を参照して説明する。
図２０及び図２１は、実施の形態２に係る情報処理装置１００のシナリオ管理部１０３及びシナリオ制御部１０４の詳細動作の流れを示すフローチャートである。
まず、ステップＳ２０１〜Ｓ２０３が行われる。なお、Ｓ２０１〜Ｓ２０３は図１２に示したものと同様であるため、説明を省略する。
次に、ステップＳ５０１では、Ｓ２０３においてシナリオ検索部１４１がシナリオ記憶部１０６からシナリオを取得できたかどうかによって処理が分かれる。シナリオ検索部１４１がシナリオを取得できた場合はＳ５０２が実施され、シナリオ検索部１４１がシナリオを取得できない場合はＳ２０６が実施される。
ステップＳ５０２では、シナリオ更新部１４２がシナリオ検索部１４１から得られたシナリオ及び攻撃イベント登録部１３２から入力されたイベント属性情報をシナリオ統合部１４４に入力する。
次に、ステップＳ５０３において、シナリオ検索部１４１が取得したシナリオに関与候補要素の監視イベント情報が含まれるか否かで処理が分かれる。シナリオ検索部１４１が取得したシナリオに関与候補要素の監視イベント情報が含まれる場合、すなわち、検知アラート４００で通知された検知イベントが監視イベントであり、検知アラート４００で通知された検知イベントの発生に関与したシステム構成要素が関与候補要素である場合には、ステップＳ５０４が実施される。一方、シナリオ検索部１４１が取得したシナリオに関与候補要素の監視イベント情報が含まれない場合は、ステップＳ２０５が実施される。
なお、シナリオ統合部１４４は、連携予測ＩＤが記述される監視イベント情報がシナリオに含まれるか否かを確認することでＳ５０４の判定を行うことができる。
図２２に連携予測ＩＤを含む監視イベント情報の例を示す。

図２２の監視イベント情報３３には符号３４に示すように「連携予測ＩＤ」が含まれており、符号３５に示されるように、連携予測ＩＤの要素として主ＩＤと子ＩＤがある。
符号３５の主ＩＤは、関与候補要素のシナリオへの関与候補要素の監視イベント情報の追加の起点となった監視イベント情報（イベント関与要素の監視イベント情報）のＩＤである。主ＩＤは、関与候補要素指定部１４３が、他のシナリオ（関与候補要素のシナリオ）に監視イベント情報を追加可能となった際に、起点となった監視イベント情報（イベント関与要素の監視イベント情報）に付与する。なお、主ＩＤに付与する値は、主ＩＤごとに個別の値とする。
符号３５の子ＩＤは、主ＩＤが付与された監視イベント情報（イベント関与要素の監視イベント情報）から派生した監視イベント情報（関与候補要素の監視イベント情報）のＩＤである。
子ＩＤは、関与候補要素指定部１４３が、関与候補要素の監視イベント情報を関与要素のシナリオに追加する際に、関与候補要素の監視イベント情報に付与する。なお、子ＩＤに付与する値は、子ＩＤごとに個別の値とする。
以下では、主ＩＤが付与されている監視イベント情報（イベント関与要素の監視イベント情報）を派生元の監視イベント情報ともいい、子ＩＤが付与されている監視イベント情報（関与候補要素の監視イベント情報）を派生先の監視イベント情報ともいう。

シナリオ統合部１４４は、シナリオ検索部１４１が取得したシナリオに連携予測ＩＤ３４が記述されている監視イベント情報が含まれ、連携予測ＩＤ３４に主ＩＤと子ＩＤが記述されている場合に、ステップＳ５０３でＹＥＳと判定する。
一方、連携予測ＩＤ３４に主ＩＤのみであれば、シナリオ統合部１４４はステップＳ５０３でＮＯと判定する。

ステップＳ５０４では、シナリオ統合部１４４は、シナリオ検索部１４１から、関与候補要素の監視イベント情報の派生元の監視イベント情報（イベント関与要素の監視イベント情報）が含まれるシナリオ（イベント関与情報のシナリオ）を取得する。
ステップＳ５０４の具体的な処理の流れは、図２３を参照して説明する。
図２３は、シナリオ統合部１４４が関与候補要素の監視イベント情報の派生元の監視イベント情報（イベント関与要素の監視イベント情報）が含まれるシナリオ（イベント関与情報のシナリオ）を検索する動作の流れを示す。

まず、ステップＳ６０１において、シナリオ統合部１４４は、シナリオ更新部１４２から入力されたシナリオから関与候補要素の監視イベント情報を取得し、取得した関与候補要素の監視イベント情報をシナリオ検索部１４１に入力する。
次に、ステップＳ６０２において、シナリオ検索部１４１は、関与候補要素の監視イベント情報内の連携予測ＩＤの主ＩＤと同じ主ＩＤが記述されるが、子ＩＤは記述されていない監視イベント情報を含むシナリオを検索する。
次に、ステップＳ６０３において、Ｓ６０２の検索の結果、シナリオ検索部１４１がシナリオを取得したかどうかで処理が分かれる。シナリオ検索部１４１がシナリオを取得した場合は、Ｓ６０４が実行され、シナリオ検索部１４１がシナリオを取得しなかった場合は、処理が終了する。
ステップＳ６０４において、シナリオ検索部１４１は、Ｓ６０２の検索で取得したシナリオをシナリオ統合部１４４に出力し、処理を終了する。

次に、図２１のステップＳ５０５において、シナリオ統合部１４４はＳ５０４で取得した派生元のシナリオと、シナリオ更新部１４２から入力されたシナリオとを統合する。
シナリオ統合部１４４は、２つのシナリオ内のイベント属性情報を１つのシナリオに集約させてシナリオを統合する。このとき、２つのシナリオに同じイベント種別情報が含まれている場合は、シナリオ統合部１４４は、イベント属性情報の束縛済み変数情報を集約させ、１つのイベント属性情報とする。

図２４に、集約後のイベント属性情報の例を示す。
図２４の例では、イベント属性情報３６のうち、符号３７に示される束縛変数情報において、符号３８に示されるように、変数名Ａ及び変数名Ｈの要素がそれぞれ「ＵＳＥＲ１
ＯＲ ＵＳＥＲ２」、「Ｈ＿１ ＯＲ Ｈ＿２」となっている。図２４は、イベント種別として「ＡＮＯＭＡＬＯＵＳ＿ＦＩＬＥ＿ＡＣＣＥＳＳ」が記述されており、束縛済み変数情報に変数Ａの束縛値として「ＵＳＥＲ１」が記述され、変数Ｈの束縛値として「Ｈ＿１」が記述されているイベント属性情報と、イベント種別として「ＡＮＯＭＡＬＯＵＳ＿ＦＩＬＥ＿ＡＣＣＥＳＳ」が記述されており、束縛済み変数情報に変数Ａの束縛値として「ＵＳＥＲ２」が記述され、変数Ｈの束縛値として「Ｈ＿２」が記述されているイベント属性情報とを集約させた例を示す。シナリオ統合部１４４は、図２４のように、束縛済み変数の異なる要素はＯＲで統合する。

なお、図２０及び図２１において、ステップＳ２０５〜Ｓ２１８の処理は図１２〜図１５と同様であり、説明を省略する。

＊＊＊実施の形態の効果の説明＊＊＊
以上のように、本実施の形態では、実施の形態１によって新たに監視を開始した攻撃イベントを検知した際に、派生元のシナリオと、検知された攻撃イベントについてのシナリオとを統合することで、攻撃者の一連の攻撃活動を１つのシナリオで管理することができる。
これにより、例えば１つのシナリオ上で一定個数の攻撃イベントを検知した場合にサイバー攻撃が発生したとみなす検知システムでは、２以上のシナリオで管理していた攻撃者の活動が１つのシナリオに集約され、管理されることで、サイバー攻撃の検知精度を向上させることができる。

実施の形態３．
＊＊＊構成の説明＊＊＊
本実施の形態では、シナリオ統合部１４４によるシナリオの統合を許可するか否かを判定する構成を説明する。
以下では、主に実施の形態１及び実施の形態２との差異を説明する。以下で説明していない事項は、実施の形態１及び実施の形態２と同様である。
本実施の形態においても、システム構成例は図１に示す通りである。
また、本実施の形態においても、情報処理装置１００の機能構成例は図２に示す通りであるが、シナリオ制御部１０４の内部構成例が実施の形態１及び実施の形態２とは異なる。
図２５は、本実施の形態に係るシナリオ管理部１０３及びシナリオ制御部１０４の詳細な構成の例を示す。
図２５に示すように、シナリオ管理部１０３は実施の形態１及び実施の形態２と同様の構成であり、シナリオ制御部１０４には実施の形態２の構成に加え、シナリオ統合判定部１４５が配置されている。
シナリオ統合判定部１４５は、シナリオ統合部１４４によるイベント関与要素のシナリオと関与候補要素のシナリオとの統合を許可するか否かを判定する。
なお、本実施の形態でも、情報処理装置１００は、図４に示すように、例えばプロセッサ９０１、記憶装置９０２、レシーバー９０３、トランスミッター９０４というハードウェアで構成される。

＊＊＊動作の説明＊＊＊
実施の形態３に係る情報処理装置１００の動作例を図２７及び図２８を参照して説明する。
図２７及び図２８は、実施の形態３に係る情報処理装置１００のシナリオ管理部１０３及びシナリオ制御部１０４の詳細動作の流れを示すフローチャートである。
まず、図２０におけるステップＳ５０３までの処理が行われ、更に、図２１のＳ５０４の処理が行われて、シナリオ統合部１４４が派生元のシナリオを取得する。
次に、ステップＳ８０１において、シナリオ統合部１４４が、Ｓ５０２で取得したシナリオとＳ５０４で取得したシナリオを、シナリオ統合判定部１４５に入力する。
次に、ステップＳ８０２において、シナリオ統合判定部１４５は、双方のシナリオにおいて、共通するイベント属性情報にシナリオ統合除外識別子が記述されているかどうかを確認する。
双方のシナリオにおいて、共通するイベント属性情報にシナリオ統合除外識別子が記述されている場合は、ステップＳ２０５が実施される。つまり、シナリオ統合判定部１４５は、イベント関与要素のシナリオと関与候補要素のシナリオとの統合を許可せず、このため、シナリオ統合部１４４は、イベント関与要素のシナリオと関与候補要素のシナリオとを統合しない。
一方、共通するイベント属性情報にシナリオ統合除外識別子が記述されていない場合は、Ｓ５０５が実施される。つまり、シナリオ統合判定部１４５は、イベント関与要素のシナリオと関与候補要素のシナリオとの統合を許可し、このため、シナリオ統合部１４４は、イベント関与要素のシナリオと関与候補要素のシナリオとを統合する。
以降の処理は実施の形態２と同様である。

図２６にシナリオ統合除外識別子が記述されるイベント属性情報の例を示す。
図２６が示すように、イベント属性情報４０には、符号４１に示されるように、シナリオ統合除外識別子が含まれている。
前述したように、シナリオ統合判定部１４５は、２つのシナリオにおいて、共通するイベント属性情報にシナリオ統合除外識別子が記述されているかどうかを確認する。そして、共通するイベント属性情報にシナリオ統合除外識別子が記述されていなければ、シナリオ統合判定部１４５は、シナリオの統合を許可し、記述されていればシナリオの統合を許可しない。
なお、シナリオ統合判定部１４５は、共通するイベント属性情報にシナリオ統合除外識別子が記述されているか否かを確認する際は、イベント属性情報に含まれる束縛済み変数情報の違いは考慮せず、イベント種別のみを比較する。

＊＊＊実施の形態の効果の説明＊＊＊
以上のように、本実施の形態では、シナリオの統合を行わないことで、複数の攻撃者が存在した場合に攻撃者ごとのシナリオで攻撃活動を監視することが可能である。これにより、複数の攻撃活動を１人の攻撃者による攻撃活動と誤認してしまうことによる被害を防ぐことができる。複数の攻撃活動を１人の攻撃者による攻撃活動と誤認すると、各攻撃活動を有効に検知することができずに、被害が拡大してしまうが、本実施の形態ではこうした被害を未然に防止することができる。

実施の形態４．
＊＊＊構成の説明＊＊＊
本実施の形態では、シナリオ更新部１４２による関与候補要素の監視イベント情報の関与候補要素のシナリオへの追加を許可するか否かを判定する構成を説明する。
以下では、主に実施の形態１〜３との差異を説明する。以下で説明していない事項は、実施の形態１〜３と同様である。
本実施の形態においても、システム構成例は図１に示す通りである。
また、本実施の形態においても、情報処理装置１００の機能構成例は図２に示す通りであるが、シナリオ制御部１０４の内部構成例が実施の形態１〜３とは異なる。
図２９は、本実施の形態に係るシナリオ管理部１０３及びシナリオ制御部１０４の詳細な構成の例を示す。
図２９に示すように、シナリオ管理部１０３は実施の形態１〜３と同様の構成であり、シナリオ制御部１０４には実施の形態３の構成に加え、シナリオ追加判定部１４６が配置されている。
シナリオ追加判定部１４６は、シナリオ更新部１４２による関与候補要素の監視イベント情報の関与候補要素のシナリオへの追加を許可するか否かを判定する。
なお、本実施の形態でも、情報処理装置１００は、図４に示すように、例えばプロセッサ９０１、記憶装置９０２、レシーバー９０３、トランスミッター９０４というハードウェアで構成される。

＊＊＊動作の説明＊＊＊
実施の形態４に係る情報処理装置１００の動作例を図３０及び図３１を参照して説明する。
図３０及び図３１は、実施の形態４に係る情報処理装置１００のシナリオ管理部１０３及びシナリオ制御部１０４の詳細動作の流れを示すフローチャートである。
まず、図１４におけるステップＳ２１３までの処理が行われ、更に、図１４におけるステップＳ２１４の処理が行われる。
ステップＳ２１４において関与候補要素指定部１４３が検索結果のシナリオを取得した場合は、Ｓ７０１が実施され、関与候補要素指定部１４３が検索結果のシナリオを取得しない場合は、Ｓ２１５が実施される。
ステップＳ７０１では、関与候補要素指定部１４３が、シナリオ追加判定部１４６に、イベント関与要素のシナリオと関与候補要素のシナリオを入力する。
次に、ステップＳ７０２において、シナリオ追加判定部１４６は、双方のシナリオにおいて、共通するイベント属性情報にシナリオ統合除外識別子が記述されているかどうかを確認する。シナリオ統合除外識別子は、実施の形態３で説明したものと同様である。
双方のシナリオにおいて、共通するイベント属性情報にシナリオ統合除外識別子が記述されている場合は、ステップＳ７０３が実施される。つまり、シナリオ追加判定部１４６は、監視イベント情報の関与候補要素のシナリオへの追加を許可せず、このため、シナリオ更新部１４２は、関与候補要素のシナリオを破棄する。
一方、共通するイベント属性情報にシナリオ統合除外識別子が記述されていない場合は、Ｓ２１５が実施される。つまり、シナリオ追加判定部１４６は、監視イベント情報の関与候補要素のシナリオへの追加を許可し、このため、関与候補要素指定部１４３は、関与候補要素のシナリオごとに、監視イベント情報を生成し、監視イベント情報とシナリオを監視イベント指定部１３１に出力する。
以降の処理は実施の形態１と同様であり、シナリオ更新部１４２は関与候補要素の監視イベント情報を関与候補要素のシナリオに追加して、関与候補要素のシナリオを更新する。

＊＊＊実施の形態の効果の説明＊＊＊
以上のように、本実施の形態では、監視イベント情報の生成前に、監視イベント情報を関与候補要素のシナリオに追加するか否かを判定するため、不要な監視イベント情報の生成を削減することが可能である。
これにより、情報処理装置１００の演算負荷を低減することができる。

＊＊＊付記＊＊＊

以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。

＊＊＊ハードウェア構成の説明＊＊＊
最後に、情報処理装置１００のハードウェア構成の補足説明を行う。
情報処理装置１００はコンピュータである。
図４に示すプロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。
プロセッサ９０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。
図４に示す記憶装置９０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ
Ｄｉｓｋ Ｄｒｉｖｅ）等である。
図４に示すレシーバー９０３はデータを受信し、トランスミッター９０４はデータを送信する。レシーバー９０３及びトランスミッター９０４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

また、記憶装置９０２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がプロセッサ９０１により実行される。
プロセッサ９０１はＯＳの少なくとも一部を実行しながら、アラート受信部１０１、イベント属性情報検索部１０２、シナリオ管理部１０３及びシナリオ制御部１０４（以下、これらをまとめて「部」という）の機能を実現するプログラムを実行する。
図４では、１つのプロセッサが図示されているが、情報処理装置１００が複数のプロセッサを備えていてもよい。
また、「部」の処理の結果を示す情報やデータや信号値や変数値が、記憶装置９０２、又は、プロセッサ９０１内のレジスタ又はキャッシュメモリに記憶される。
また、「部」の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。

また、「部」を「プロセッシングサーキットリー」又は「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
「プロセッシングサーキットリー」又は「回路」は、プロセッサ９０１だけでなく、ロジックＩＣ又はＧＡ（Ｇａｔｅ Ａｒｒａｙ）又はＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）又はＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）といった他の種類の処理回路をも包含する概念である。

なお、図４の構成は、あくまでも情報処理装置１００のハードウェア構成の一例を示すものであり、情報処理装置１００のハードウェア構成は図４に記載の構成に限らず、他の構成であってもよい。

１００ 情報処理装置、１０１ アラート受信部、１０２ イベント属性情報検索部、１０３ シナリオ管理部、１０４ シナリオ制御部、１０５ イベント属性情報記憶部、１０６ シナリオ記憶部、１３１ 監視イベント指定部、１３２ 攻撃イベント登録部、１３３ 監視指示部、１４１ シナリオ検索部、１４２ シナリオ更新部、１４３ 関与候補要素指定部、１４４ シナリオ統合部、１４５ シナリオ統合判定部、１４６ シナリオ追加判定部、２００ 情報システム、３００ システム構成要素、４００ 検知アラート、４０１ 監視イベント情報、４０２ イベント属性情報、５００ 監視装置、６００ ネットワーク。

Claims (11)

1. 複数のシステム構成要素が含まれる情報システムを攻撃する攻撃イベントが検知され、検知された攻撃イベントである検知イベントと前記検知イベントの発生に関与したシステム構成要素であるイベント関与要素とが通知された場合に、前記検知イベントの次に、前記イベント関与要素の関与により発生し得る攻撃イベントを監視イベントとして指定する監視イベント指定部と、
   前記複数のシステム構成要素のうち前記イベント関与要素以外に前記監視イベントの発生に関与し得るシステム構成要素を関与候補要素として指定する関与候補要素指定部とを有する情報処理装置。
2. 前記関与候補要素指定部は、
   前記イベント関与要素以外のシステム構成要素のうち、前記監視イベントと関連する攻撃イベントが発生しているシステム構成要素を、前記関与候補要素として指定する請求項１に記載の情報処理装置。
3. 前記情報処理装置は、更に、
   複数の攻撃イベントについて、攻撃イベントごとに、攻撃イベントの属性値が示されるイベント属性情報を記憶するイベント属性情報記憶部と、
   検知された攻撃イベントのイベント属性情報を、検知された攻撃イベントの発生に関与したシステム構成要素と対応付けて、シナリオとして記憶するシナリオ記憶部とを有し、
   前記関与候補要素指定部は、
   前記イベント属性情報記憶部に記憶されている複数のイベント属性情報のうち前記監視イベントのイベント属性情報を取得し、取得した前記監視イベントのイベント属性情報に前記監視イベントに関連する攻撃イベントの属性値が記述されている場合に、前記イベント関与要素以外のシステム構成要素のうち、前記監視イベントのイベント属性情報に記述されている属性値と同じ属性値が記述されているイベント属性情報がシナリオに含まれるシステム構成要素を、前記関与候補要素として指定する請求項２に記載の情報処理装置。
4. 前記イベント属性情報記憶部は、
   攻撃イベントの属性値として、攻撃イベントの発生後の状態を表す状態値が少なくとも示されるイベント属性情報を記憶しており、
   前記関与候補要素指定部は、
   前記監視イベントのイベント属性情報に前記状態値以外に前記監視イベントに関連する攻撃イベントの属性値が記述されている場合に、前記イベント関与要素以外のシステム構成要素のうち、前記監視イベントのイベント属性情報に記述されている属性値と同じ状態値が記述されているイベント属性情報がシナリオに含まれるシステム構成要素を、前記関与候補要素として指定する請求項３に記載の情報処理装置。
5. 前記情報処理装置は、
   前記監視イベントのイベント属性情報を、前記イベント関与要素のシナリオと前記関与候補要素のシナリオに追加するシナリオ更新部を有し、
   前記シナリオ記憶部は、
   前記監視イベントのイベント属性情報が追加された前記イベント関与要素のシナリオと、前記監視イベントのイベント属性情報が追加された前記関与候補要素のシナリオを記憶する請求項３に記載の情報処理装置。
6. 前記情報処理装置は、更に、
   前記シナリオ更新部による前記監視イベントのイベント属性情報の前記関与候補要素のシナリオへの追加を許可するか否かを判定するシナリオ追加判定部を有し、
   前記シナリオ更新部は、
   前記シナリオ追加判定部により前記監視イベントのイベント属性情報の前記関与候補要素のシナリオへの追加が許可された場合に、前記監視イベントのイベント属性情報を前記イベント関与要素のシナリオと前記関与候補要素のシナリオに追加し、
   前記シナリオ追加判定部により前記監視イベントのイベント属性情報の前記関与候補要素のシナリオへの追加が許可されない場合に、前記監視イベントのイベント属性情報を前記イベント関与要素のシナリオにのみ追加する請求項５に記載の情報処理装置。
7. 前記情報処理装置は、更に、
   前記シナリオ記憶部に前記監視イベントのイベント属性情報が追加された前記イベント関与要素のシナリオと、前記監視イベントのイベント属性情報が追加された前記関与候補要素のシナリオが記憶されており、新たに検知された攻撃イベントとして前記監視イベントが通知され、前記監視イベントの発生に関与したシステム構成要素として前記関与候補要素が通知された場合に、前記シナリオ記憶部の前記イベント関与要素のシナリオと前記関与候補要素のシナリオとを統合するシナリオ統合部を有する請求項５に記載の情報処理装置。
8. 前記情報処理装置は、更に、
   前記シナリオ統合部による前記イベント関与要素のシナリオと前記関与候補要素のシナリオとの統合を許可するか否かを判定するシナリオ統合判定部を有し、
   前記シナリオ統合部は、
   前記シナリオ統合判定部により前記イベント関与要素のシナリオと前記関与候補要素のシナリオとの統合が許可された場合に、前記イベント関与要素のシナリオと前記関与候補要素のシナリオとを統合し、
   前記シナリオ統合判定部により前記イベント関与要素のシナリオと前記関与候補要素のシナリオとの統合が許可されない場合に、前記イベント関与要素のシナリオと前記関与候補要素のシナリオとを統合しない請求項７に記載の情報処理装置。
9. 前記情報処理装置は、更に、
   前記情報システムを監視する監視装置に、前記イベント関与要素での前記監視イベントの監視と前記関与候補要素での前記監視イベントの監視を指示する監視指示部を有する請求項１に記載の情報処理装置。
10. 複数のシステム構成要素が含まれる情報システムを攻撃する攻撃イベントが検知され、検知された攻撃イベントである検知イベントと前記検知イベントの発生に関与したシステム構成要素であるイベント関与要素とが通知された場合に、コンピュータが、前記検知イベントの次に、前記イベント関与要素の関与により発生し得る攻撃イベントを監視イベントとして指定し、
    前記コンピュータが、前記複数のシステム構成要素のうち前記イベント関与要素以外に前記監視イベントの発生に関与し得るシステム構成要素を関与候補要素として指定する情報処理方法。
11. 複数のシステム構成要素が含まれる情報システムを攻撃する攻撃イベントが検知され、検知された攻撃イベントである検知イベントと前記検知イベントの発生に関与したシステム構成要素であるイベント関与要素とが通知された場合に、前記検知イベントの次に、前記イベント関与要素の関与により発生し得る攻撃イベントを監視イベントとして指定する監視イベント指定処理と、
    前記複数のシステム構成要素のうち前記イベント関与要素以外に前記監視イベントの発生に関与し得るシステム構成要素を関与候補要素として指定する関与候補要素指定処理とをコンピュータに実行させる情報処理プログラム。

Images