JPWO2020065943A1 - セキュリティ評価装置、セキュリティ評価方法およびセキュリティ評価プログラム - Google Patents

Abstract

公開特徴生成部（１１０）は、公開されている公開情報から、セキュリティリスクを評価する対象である評価対象に関連する情報を公開対象情報として収集し、前記公開対象情報の特徴を表す公開特徴情報（Ｆ１）を生成する。メール特徴生成部（１２０）は、評価対象のメールボックスに含まれる評価対象メールの特徴を表すメール特徴情報Ｆ２を生成する。評価部（１３０）は、公開特徴情報（Ｆ１）とメール特徴情報（Ｆ２）との類似度を算出する。評価部（１３０）は、類似度に基づいて、評価対象のセキュリティリスクを評価した評価結果３１を出力する。

Description

本発明は、セキュリティ評価装置、セキュリティ評価方法およびセキュリティ評価プログラムに関する。特に、個人のセキュリティリスクを評価するセキュリティ評価装置、セキュリティ評価方法およびセキュリティ評価プログラムに関する。

近年、標的型攻撃の被害が増加している。標的型攻撃の多くは、攻撃者からのメールが起点となる。攻撃者は、標的となる組織あるいはそのスタッフの情報を入念に調べ、標的に特化した質の高い攻撃メールを用意する。ここで「質の高い攻撃メール」とは、「標的にとって本物の正規メールと区別がつかない非正規メール」と定義できる。すなわち、標的が受信する正規メールと良く似たメールを作ることができれば、攻撃者は「質の高い攻撃メール」を用意することができたと言える。
また、昨今、ソーシャルネットワークをはじめ、インターネット上のいたるところで個人に関する情報が公開されている。攻撃者は、標的とする組織の名前あるいは人物の名前をキーワードとして、インターネット上に公開された情報を収集することで、標的に特化した「質の高い攻撃メール」を作成する。よって、個人について「質の高い攻撃メール」による攻撃の受け易さを判定することは、セキュリティ対策を行うために有効である。

非特許文献１では、心理特性とユーザのＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）利用時の行動特性との関係を導き出す。そして、通常のＰＣ利用時の行動特性をモニタリングし、被害に遭い易い心理状態のユーザを判定する。

片山 佳則，寺田 剛陽，鳥居 悟，津田 宏，ユーザ行動特性分析による個人と組織のＩＴリスク見える化の試み，ＳＣＩＳ２０１５ 暗号と情報セキュリティシンポジウム，４Ｄ１−３

非特許文献１では、心理状態という定量化の難しい情報を利用するため、得られた因果関係に対する根拠のある解釈が難しいという課題がある。

本発明は、個人のセキュリティリスク、すなわち標的型攻撃メールの受け易さを定量的かつ自動的に評価し、セキュリティリスクの高い人物を早期に特定することを目的とする。

本発明に係るセキュリティ評価装置は、
公開されている公開情報から、セキュリティリスクを評価する対象である評価対象に関連する情報を公開対象情報として収集し、前記公開対象情報の特徴を表す公開特徴情報を生成する公開特徴生成部と、
前記評価対象のメールボックスに含まれる評価対象メールの特徴を表すメール特徴情報を生成するメール特徴生成部と、
前記公開特徴情報と前記メール特徴情報との類似度を算出し、前記類似度に基づいて、前記評価対象のセキュリティリスクを評価した評価結果を出力する評価部とを備えた。

本発明に係るセキュリティ評価装置では、評価対象のメールボックスに含まれる評価対象メールの特徴と、公開情報から得られる評価対象に関連する情報の特徴との類似度に基づいて、評価対象のセキュリティリスクを評価する。よって、本発明に係るセキュリティ評価装置によれば、標的型攻撃メールの受け易さを定量的かつ自動的に評価することができる。

実施の形態１に係るセキュリティ評価装置の構成図。 実施の形態１に係るセキュリティ評価装置の動作のフロー図。 実施の形態１の変形例に係るセキュリティ評価装置の構成図。 実施の形態２に係るセキュリティ評価装置の構成図。 実施の形態２に係るテンプレートの例を示す図。 実施の形態２に係るセキュリティ評価装置の動作のフロー図。 実施の形態２に係るカテゴリごとに分類された公開対象情報の例を示す図。 実施の形態２に係るテンプレートメールの例を示す図。 実施の形態３に係るセキュリティ評価装置の構成図。 実施の形態３に係る脆弱性特定部の動作のフロー図。

以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を用いて、本実施の形態に係るセキュリティ評価装置１００の構成を説明する。
セキュリティ評価装置１００は、人物あるいは組織といった評価対象について、セキュリティリスクを評価する装置である。本実施の形態では、評価対象は個人を想定している。しかし、評価対象は、組織あるいは地域のようにセキュリティリスクを評価することができる対象であればその他でもよい。

セキュリティ評価装置１００は、コンピュータである。セキュリティ評価装置１００は、プロセッサ９１０を備えるとともに、メモリ９２１、補助記憶装置９２２、入力インタフェース９３０、出力インタフェース９４０、および通信装置９５０といった他のハードウェアを備える。プロセッサ９１０は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

セキュリティ評価装置１００は、機能要素として、公開特徴生成部１１０とメール特徴生成部１２０と評価部１３０と記憶部１４０とを備える。記憶部１４０には、コーパス１４１が記憶されている。

公開特徴生成部１１０とメール特徴生成部１２０と評価部１３０の機能は、ソフトウェアにより実現される。記憶部１４０は、メモリ９２１に備えられる。

プロセッサ９１０は、セキュリティ評価プログラムを実行する装置である。セキュリティ評価プログラムは、公開特徴生成部１１０とメール特徴生成部１２０と評価部１３０の機能を実現するプログラムである。
プロセッサ９１０は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ９１０の具体例は、ＣＰＵ、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ９２１は、データを一時的に記憶する記憶装置である。メモリ９２１の具体例は、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、あるいはＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
補助記憶装置９２２は、データを保管する記憶装置である。補助記憶装置９２２の具体例は、ＨＤＤである。また、補助記憶装置９２２は、ＳＤ（登録商標）メモリカード、ＣＦ、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった記憶媒体であってもよい。なお、ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略語である。ＳＤ（登録商標）は、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略語である。ＣＦは、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）の略語である。ＤＶＤは、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋの略語である。

入力インタフェース９３０は、マウス、キーボード、あるいはタッチパネルといった入力装置と接続されるポートである。入力インタフェース９３０は、具体的には、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。なお、入力インタフェース９３０は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）と接続されるポートであってもよい。
出力インタフェース９４０は、ディスプレイといった出力機器のケーブルが接続されるポートである。出力インタフェース９４０は、具体的には、ＵＳＢ端子またはＨＤＭＩ（登録商標）（Ｈｉｇｈ Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）端子である。ディスプレイは、具体的には、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）である。

通信装置９５０は、レシーバとトランスミッタを有する。通信装置９５０は、ＬＡＮ、インターネット、あるいは電話回線といった通信網に接続している。通信装置９５０は、具体的には、通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

セキュリティ評価プログラムは、プロセッサ９１０に読み込まれ、プロセッサ９１０によって実行される。メモリ９２１には、セキュリティ評価プログラムだけでなく、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。プロセッサ９１０は、ＯＳを実行しながら、セキュリティ評価プログラムを実行する。セキュリティ評価プログラムおよびＯＳは、補助記憶装置に記憶されていてもよい。補助記憶装置に記憶されているセキュリティ評価プログラムおよびＯＳは、メモリ９２１にロードされ、プロセッサ９１０によって実行される。なお、セキュリティ評価プログラムの一部または全部がＯＳに組み込まれていてもよい。

セキュリティ評価装置１００は、プロセッサ９１０を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、セキュリティ評価プログラムの実行を分担する。それぞれのプロセッサは、プロセッサ９１０と同じように、セキュリティ評価プログラムを実行する装置である。

セキュリティ評価プログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ９２１、補助記憶装置９２２、または、プロセッサ９１０内のレジスタあるいはキャッシュメモリに記憶される。

公開特徴生成部１１０とメール特徴生成部１２０と評価部１３０の各部の「部」を「処理」、「手順」あるいは「工程」に読み替えてもよい。また公開特徴生成処理とメール特徴生成処理と評価処理の「処理」を「プログラム」、「プログラムプロダクト」、「プログラムを記録したコンピュータ読取可能な記憶媒体」、または「プログラムを記録したコンピュータ読取可能な記録媒体」に読み替えてもよい。
セキュリティ評価プログラムは、上記の各部の「部」を「処理」、「手順」あるいは「工程」に読み替えた各処理、各手順あるいは各工程を、コンピュータに実行させる。また、セキュリティ評価方法は、セキュリティ評価装置１００がセキュリティ評価プログラムを実行することにより行われる方法である。
セキュリティ評価プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、セキュリティ評価プログラムは、プログラムプロダクトとして提供されてもよい。

＊＊＊動作の説明＊＊＊
図２を用いて、本実施の形態に係るセキュリティ評価装置１００の動作について説明する。

＜公開特徴生成処理：ステップＳ１０１からステップＳ１０３＞
公開特徴生成処理において、公開特徴生成部１１０は、公開されている公開情報から、セキュリティリスクを評価する対象である評価対象に関連する情報を公開対象情報として収集する。そして、公開特徴生成部１１０は、公開対象情報の特徴を表す公開特徴情報Ｆ１を生成する。具体的には、以下の通りである。

ステップＳ１０１において、公開特徴生成部１１０は、セキュリティリスクの評価対象である人物ｘに関連する情報を公開情報から検索する。ソーシャルネットワークをはじめ、インターネット上に公開されている公開情報から情報を収集する活動をＯＳＩＮＴ（Ｏｐｅｎ Ｓｏｕｒｃｅ Ｉｎｔｅｌｌｉｇｅｎｃｅ）という。公開特徴生成部１１０は、ＯＳＩＮＴを用いて、人物ｘに関連する情報を公開情報から検索する。公開特徴生成部１１０は、具体的には、ＯＳＩＮＴ専用の既存のツール、あるいは、検索エンジンを利用して、評価対象である人物ｘに関連する公開情報を収集する。ＯＳＩＮＴ専用の既存のツールの具体例として、ＭａｌｔｅｇｏおよびＯｎｌｉｎｅ Ｉｎｔｅｒｎｅｔ Ｓｅａｒｃｈ Ｔｏｏｌといったツールがある。

ステップＳ１０２において、公開特徴生成部１１０は、公開情報から評価対象に関連する単語を公開対象情報として収集する。具体的には、まず、公開特徴生成部１１０は、公開情報から人物ｘに特有のキーワードを抽出する。このとき、公開特徴生成部１１０は、人物ｘに関連する公開情報から一般的な文書に良く利用されるような単語は除去する。つまり、ＴＦ−ＩＤＦ値の高い単語を抽出する。このように、ＴＦ−ＩＤＦ値の高い単語を抽出することで、一般的な文書には少なく、重要度の高い単語のみを得ることができる。ＴＦ−ＩＤＦは、Ｔｅｒｍ Ｆｒｅｑｕｅｎｃｙ−Ｉｎｖｅｒｓｅ Ｄｏｃｕｍｅｎｔ Ｆｒｅｑｕｅｎｃｙの略である。ＴＦ−ＩＤＦは、文書中に含まれる単語の重要度を評価する手法の１つである。文書から意味のある情報を抽出する手法には、ＴＦ−ＩＤＦの他に、Ｄｏｃ２ＶｅｃあるいはＬＤＡ（Ｌａｔｅｎｔ Ｄｉｒｉｃｈｌｅｔ Ａｌｌｏｃａｔｉｏｎ）といった手法がある。また、公開特徴生成部１１０は、特定の品詞、例えば名詞に限って単語を抽出する。このとき、公開特徴生成部１１０は、一般的な単語および品詞といった情報を含むコーパス１４１を用いて単語を抽出する。公開特徴生成部１１０は、Ｍｅｃａｂといった形態素解析技術を利用して、特定の品詞に限って単語を抽出する。以上のように、公開特徴生成部１１０は、重要度の高い特定の品詞の単語のリストを公開対象情報Ｗ１として取得する。

ステップＳ１０３において、公開特徴生成部１１０は、公開対象情報Ｗ１に含まれる単語の傾向に基づいて、公開対象情報Ｗ１の特徴を表す公開特徴情報Ｆ１を生成する。具体的には、公開特徴生成部１１０は、単語のリストである公開対象情報Ｗ１の単語の傾向を抽出する。傾向とは、単語の頻度、あるいは、例えばｎ−ｇｒａｍといった単語間の共起性である。公開特徴生成部１１０は、これらの単語の傾向を特徴ベクトルに変換することにより、公開特徴情報Ｆ１を生成する。

＜メール特徴生成処理：ステップＳ１０４からステップＳ１０６＞
メール特徴生成処理において、メール特徴生成部１２０は、評価対象のメールボックスに含まれる評価対象メールの特徴を表すメール特徴情報を生成する。具体的には、以下の通りである。

ステップＳ１０４において、メール特徴生成部１２０は、評価対象の人物ｘのメールボックスを分析する。
ステップＳ１０５において、メール特徴生成部１２０は、評価対象のメールボックスに含まれる評価対象メールから、評価対象に関連する単語をメール単語情報として収集する。メール特徴生成部１２０は、人物ｘのメールシステムのメールボックスから１つずつ評価対象メールを取り出し、単語を抽出する。メール特徴生成部１２０は、公開特徴生成部１１０と同様に、一般的な文書に良く利用されるような単語は除去する。また、メール特徴生成部１２０は、公開特徴生成部１１０と同様に、特定の品詞、例えば名詞に限って単語を抽出する。このとき、メール特徴生成部１２０は、一般的な単語および品詞といった情報を含むコーパス１４１を用いて単語を抽出する。以上のように、メール特徴生成部１２０は、重要度の高い特定の品詞の単語のリストをメール単語情報Ｗ２として取得する。

ステップＳ１０６において、メール特徴生成部１２０は、メール単語情報Ｗ２に含まれる単語の傾向に基づいて、評価対象メールの特徴を表すメール特徴情報Ｆ２を生成する。具体的には、メール特徴生成部１２０は、単語のリストであるメール単語情報Ｗ２の単語の傾向を抽出する。傾向とは、単語の頻度、あるいは、例えばｎ−ｇｒａｍといった単語間の共起性である。メール特徴生成部１２０は、これらの単語の傾向を特徴ベクトルに変換することにより、メール特徴情報Ｆ２を生成する。

＜評価処理：ステップＳ１０７からステップＳ１０８＞
評価処理において、評価部１３０は、公開特徴情報Ｆ１とメール特徴情報Ｆ２との類似度を算出する。評価部１３０は、類似度に基づいて、評価対象のセキュリティリスクを評価した評価結果３１を出力する。具体的には、以下の通りである。

ステップＳ１０７において、評価部１３０は、公開特徴情報Ｆ１とメール特徴情報Ｆ２との類似度を求める。具体的には、評価部１３０は、コサイン類似度あるいは特徴ベクトルのユークリッド距離といった尺度を利用して、公開特徴情報Ｆ１とメール特徴情報Ｆ２との類似度を求める。
ステップＳ１０８において、評価部１３０は、類似度に基づいて、評価対象におけるセキュリティリスクの存否を判定し、判定結果を評価結果３１として出力する。具体的には、評価部１３０は、類似度が閾値以上であれば、人物ｘはセキュリティリスクが高い、すなわちセキュリティリスク有りと判定し、人物ｘについてセキュリティリスク有りとの評価結果３１を出力する。評価部１３０は、類似度が閾値より小さければ、人物ｘはセキュリティリスクが低い、すなわちセキュリティリスク無しと判定し、人物ｘについてセキュリティリスク無しとの評価結果３１を出力する。

本実施の形態に係るセキュリティ評価処理では、人物ｘの正規メールにおける単語の傾向に良く似た情報を、公開情報からどの程度精度よく得ることができるかを判定している。言い換えると、本実施の形態に係るセキュリティ評価処理では、攻撃者がＯＳＩＮＴでどの程度、人物ｘが本物の正規メールと区別がつかない非正規メール、すなわち標的型攻撃メールを作成できるかを判定している。

＊＊＊他の構成＊＊＊
＜変形例１＞
本実施の形態では、メール特徴生成部１２０は、評価対象の人物ｘのメールボックス内のメール全体から、メール特徴情報Ｆ２を生成している。しかし、メール特徴生成部１２０は、メールボックス内のメール全体からではなく、メール単位でメール特徴情報を生成してもよい。その場合、メール特徴生成部１２０は、類似度が閾値以上のメールが、メールボックス全体で一定数以上含まれていたら、評価対象の人物ｘのセキュリティリスク有りと判定する。

＜変形例２＞
本実施の形態では、公開特徴生成部１１０とメール特徴生成部１２０と評価部１３０の機能がソフトウェアで実現される。変形例として、公開特徴生成部１１０とメール特徴生成部１２０と評価部１３０の機能がハードウェアで実現されてもよい。

図３は、本実施の形態の変形例に係るセキュリティ評価装置１００の構成を示す図である。
セキュリティ評価装置１００は、電子回路９０９、メモリ９２１、補助記憶装置９２２、入力インタフェース９３０、出力インタフェース９４０、および通信装置９５０を備える。

電子回路９０９は、公開特徴生成部１１０とメール特徴生成部１２０と評価部１３０の機能を実現する専用の電子回路である。
電子回路９０９は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、または、ＦＰＧＡである。ＧＡは、Ｇａｔｅ Ａｒｒａｙの略語である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。ＦＰＧＡは、Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略語である。
公開特徴生成部１１０とメール特徴生成部１２０と評価部１３０の機能は、１つの電子回路で実現されてもよいし、複数の電子回路に分散して実現されてもよい。
別の変形例として、公開特徴生成部１１０とメール特徴生成部１２０と評価部１３０の一部の機能が電子回路で実現され、残りの機能がソフトウェアで実現されてもよい。

プロセッサと電子回路の各々は、プロセッシングサーキットリとも呼ばれる。つまり、セキュリティ評価装置１００において、公開特徴生成部１１０とメール特徴生成部１２０と評価部１３０の機能は、プロセッシングサーキットリにより実現される。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係るセキュリティ評価装置１００では、評価対象のメールボックスに含まれる評価対象メールの特徴と、公開情報から得られる評価対象に関連する情報の特徴との類似度を算出する。本実施の形態に係るセキュリティ評価装置１００では、評価対象の人物に対して、攻撃者がどの程度本物らしい標的型攻撃メールを作り易いかを、この類似度として定量化することができる。よって、本実施の形態に係るセキュリティ評価装置１００よれば、この類似度をセキュリティリスクと定義することで、個人のセキュリティリスクを定量的および自動的に算出することができる。

実施の形態２．
本実施の形態では、主に、実施の形態１と異なる点について説明する。なお、実施の形態１と同様の構成には同一の符号を付し、その説明を省略する場合がある。

実施の形態１では、単語の傾向の類似度のみを確認して、本物らしい標的型攻撃メールを作り易いかどうかを判断していた。しかしメールには単語の並び方のパターンが存在する。そこで、本実施の形態に係るセキュリティ評価装置１００ａでは、標的型攻撃メールのテンプレートを用意し、評価対象の人物に対してＯＳＩＮＴで得られた情報をテンプレートに適用してテンプレートメールを生成する。そして、セキュリティ評価装置１００ａは、そのテンプレートメールと評価対象のメールボックスの評価対象メールとの類似度を算出する。セキュリティ評価装置１００ａは、類似度を用いて、本物らしい標的型攻撃メールの作り易さを判定する。

＊＊＊構成の説明＊＊＊
図４を用いて、本実施の形態に係るセキュリティ評価装置１００ａの構成を説明する。
本実施の形態に係るセキュリティ評価装置１００ａは、実施の形態１で説明したセキュリティ評価装置１００の構成に加え、記憶部１４０にテンプレート１４２を備える。テンプレート１４２は、メールのフォーマットを表している。

図５は、本実施の形態に係るテンプレート１４２の例を示す図である。
図５では、記憶部１４０に３つのテンプレート１４２が記憶されている。テンプレート１４２は、公開されている標的型攻撃メールの事例などを参考にあらかじめ用意される。テンプレート１４２は、ところどころにカテゴリに対応する変数が設定されたメールである。カテゴリに対応する変数は、具体的には、＜組織＞、＜人名＞、＜技術＞、＜ドキュメント＞、および＜イベント＞といった形式で、メールに設定されている。

＊＊＊動作の説明＊＊＊
図６を用いて、本実施の形態に係るセキュリティ評価装置１００ａの動作について説明する。

＜公開特徴生成処理：ステップＳ２０１からステップＳ２０６＞
公開特徴生成処理において、公開特徴生成部１１０は、公開情報から評価対象に関連する単語を公開対象情報として収集する。そして、公開特徴生成部１１０は、テンプレートに公開対象情報に含まれる単語を適用してテンプレートメールを生成する。公開特徴生成部１１０は、テンプレートメールの特徴を公開特徴情報Ｆ１ａとして生成する。具体的には、以下の通りである。

ステップＳ２０１において、公開特徴生成部１１０は、評価対象である人物ｘに関する情報を公開情報から検索する。ステップＳ２０２において、公開特徴生成部１１０は、公開情報から評価対象に関連する単語を公開対象情報として収集する。ステップＳ２０３において、公開特徴生成部１１０は、特定の品詞、例えば名詞に限って単語を抽出する。ステップＳ２０１からステップＳ２０３の処理は、実施の形態１のステップＳ１０１およびステップＳ１０２の処理と同様である。
ステップＳ２０４において、公開特徴生成部１１０は、シソーラスといった単語の辞書を利用して、公開対象情報に含まれる単語をカテゴリごとに分類する。

図７は、本実施の形態に係るカテゴリごとに分類された公開対象情報２１ａの例である。
例えば名詞を分類する場合、単語は、人名、組織名、地名、イベント、ドキュメント、趣味、および技術といったカテゴリに分類される。名詞のカテゴリ分類については公開されているシソーラスといった単語の辞書を利用する。図７の表中のＰｅ、Ｏｒ、Ｐｌ、Ｅｖ、Ｄｃ、Ｈｂ、およびＴｅには、実際には具体的な単語が定義される。カテゴリの種類は適宜変更される。

ステップＳ２０５において、公開特徴生成部１１０は、テンプレート１４２に公開対象情報２１ａに含まれる単語を適用して複数のテンプレートメール４２ａを生成する。

図８は、本実施の形態に係るテンプレートメール４２ａの例である。
公開特徴生成部１１０は、具体的には、テンプレート１４２ごと対応するカテゴリの単語の全ての組合せの数だけテンプレートメール４２ａを生成する。このテンプレートメール４２ａをＧＭ_１，１，ＧＭ_１，２，…，ＧＭ_１，Ｎ１，…，ＧＭ_２，１，ＧＭ_２，２，…，ＧＭ_２，Ｎ２，…，ＧＭ_Ｔ，１，ＧＭ_Ｔ，２，…，ＧＭ_Ｔ，ＮＴとする。このとき、Ｔはテンプレートの数、Ｎ_１〜Ｎ_Ｔはテンプレートごと生成されたメールの総数である。

ステップＳ２０６において、公開特徴生成部１１０は、複数のテンプレートメール４２ａの各々の特徴を表す複数の公開特徴ベクトルを公開特徴情報Ｆ１ａとして生成する。具体的には、公開特徴生成部１１０は、テンプレートＧＭ_１，１，ＧＭ_１，２，…，ＧＭ_１，Ｎ１，…，ＧＭ_２，１，ＧＭ_２，２，…，ＧＭ_２，Ｎ２，…，ＧＭ_Ｔ，１，ＧＭ_Ｔ，２，…，ＧＭ_Ｔ，ＮＴから特徴ベクトルを公開特徴ベクトルとして抽出する。公開特徴生成部１１０は、公開特徴ベクトルのそれぞれをＦＧＭ_１，１，ＦＧＭ_１，２，…，ＦＧＭ_１，Ｎ１，…，ＦＧＭ_２，１，ＦＧＭ_２，２，…，ＦＧＭ_２，Ｎ２，…，ＦＧＭ_Ｔ，１，ＦＧＭ_Ｔ，２，…，ＦＧＭ_Ｔ，ＮＴとする。公開特徴生成部１１０は、例えばＤｏｃ２Ｖｅｃ文書のベクトル表現、あるいは文書中の単語の傾向などを利用して、公開特徴ベクトルを生成する。文書中の単語の傾向には、例えば、単語の頻度、あるいは単語のｎ−ｇｒａｍがある。公開特徴生成部１１０は、文書中の単語のベクトル表現、例えばＷｏｒｄ２Ｖｅｃの平均を利用して、公開特徴ベクトルを生成してもよい。

＜メール特徴生成処理：ステップＳ２０７＞
メール特徴生成処理において、メール特徴生成部１２０は、評価対象のメールボックスに含まれる評価対象メールの特徴をメール特徴情報Ｆ２ａとして生成する。具体的には、以下の通りである。

ステップＳ２０７において、メール特徴生成部１２０は、評価対象のメールボックスに含まれる複数の評価対象メールの各々の特徴を表す複数のメール特徴ベクトルをメール特徴情報Ｆ２ａとして生成する。
Ｎは評価対象のメールボックスの評価対象メールの総数である。人物ｘのメールボックスにある正規のメール、すなわち評価対象メールＭ_１，…，Ｍ_Ｎから特徴ベクトルをメール特徴ベクトルとして抽出する。メール特徴生成部１２０は、メール特徴ベクトルのそれぞれをＦＭ_１，…，ＦＭ_Ｎとする。メール特徴生成部１２０は、公開特徴生成部１１０と同様に、例えばＤｏｃ２Ｖｅｃ文書のベクトル表現、あるいは文書中の単語の傾向などを利用して、メール特徴ベクトルを生成する。文書中の単語の傾向には、例えば、単語の頻度、あるいは単語のｎ−ｇｒａｍがある。メール特徴生成部１２０は、文書中の単語のベクトル表現、例えばＷｏｒｄ２Ｖｅｃの平均を利用して、メール特徴ベクトルを生成してもよい。

＜評価処理：ステップＳ２０８およびステップＳ２０９＞
評価処理において、評価部１３０は、公開特徴情報Ｆ１ａとメール特徴情報Ｆ２ａとの類似度に基づいて評価対象のセキュリティリスクを示すリスク値Ｒを算出する。そして、評価部１３０は、リスク値Ｒを評価結果３１として出力する。具体的には、以下の通りである。

ステップＳ２０８において、評価部１３０は、複数の評価対象メールの各々と複数のテンプレートメールの各々との類似度を算出する。具体的には、評価部１３０は、評価対象メールのメール特徴ベクトルＦＭ_１，…，ＦＭ_Ｎと、テンプレートメール４２ａのメール特徴ベクトルＦＧＭ_１，１，ＦＧＭ_１，２，…，ＦＧＭ_１，Ｎ１，…，ＦＧＭ_２，１，ＦＧＭ_２，２，…，ＦＧＭ_２，Ｎ２，…，ＦＧＭ_Ｔ，１，ＦＧＭ_Ｔ，２，…，ＦＧＭ_Ｔ，ＮＴを１つずつ比較し、類似度を算出する。評価部１３０は、コサイン類似度あるいはベクトルのユークリッド距離といった尺度を用いて類似度を算出する。

ステップＳ２０９において、評価部１３０は、類似度が閾値以上となる評価対象メールとテンプレートメールとの組み合わせの数に基づいて、リスク値Ｒを算出する。具体的には、評価部１３０は、下記の数１に示す計算式で、セキュリティリスクを示すリスク値Ｒを算出する。

なお、数１に示す計算式において、ｍ_ｉ，ｊは、ｉ番目のテンプレートＴ_ｉから生成されたｊ番目のメールとの類似度が閾値以上の正規の評価対象メールの数である。Ｎは、メールボックス中のメールの総数である。Ｎ_ｉは、テンプレートＴ_ｉから生成されたメールの数である。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係るセキュリティ評価装置１００ａでは、評価対象の人物に対して、攻撃者がどの程度本物らしい標的型攻撃メールを作り易いかを、より的確に定量化することができる。また、本実施の形態に係るセキュリティ評価装置１００ａでは、リスク値Ｒをセキュリティリスクと定義することで、個人のセキュリティリスクを算出することが可能となる。

実施の形態３．
本実施の形態では、主に、実施の形態１および２と異なる点について説明する。なお、実施の形態１および２と同様の構成には同一の符号を付し、その説明を省略する場合がある。

実施の形態１および２は、特定の人物のセキュリティリスクを評価する技術である。本実施の形態では、実施の形態１および２のいずれかの形態を利用しながら、組織の中でセキュリティの弱い人物、すなわち脆弱性のある人物を特定する技術について説明する。

＊＊＊構成の説明＊＊＊
図９を用いて、本実施の形態に係るセキュリティ評価装置１００ｂの構成を説明する。
本実施の形態に係るセキュリティ評価装置１００ｂは、複数の評価対象をリスト化した評価対象リスト１４３を記憶部１４０に備える。また、本実施の形態に係るセキュリティ評価装置１００ｂは、複数の評価対象の各々の評価結果３１に基づいて、複数の評価対象のうち脆弱な評価対象を特定する脆弱性特定部１５０を備える。
評価対象リスト１４３は、アドレス帳といったディレクトリ情報から生成される。ディレクトリ情報には、人物名、連絡先、および所属あるいは役職の情報といった連絡先に関する情報が含まれる。

＊＊＊動作の説明＊＊＊
図１０を用いて、本実施の形態に係るセキュリティ評価装置１００ｂの脆弱性特定部１５０の動作について説明する。
なお、脆弱性特定部１５０以外の処理は、実施の形態１あるいは２と同様である。

ステップＳ３０１において、脆弱性特定部１５０は、ディレクトリ情報から、セキュリティリスクを評価したい人物を評価対象リスト１４３として抽出する。例えば、評価対象リスト１４３は、会社全体、部、あるいは課といった単位で、人物を抽出したリストである。

ステップＳ３０２において、脆弱性特定部１５０は、評価対象リスト１４３から１人ずつ人物名を取り出し、実施の形態１および２のいずれかの方法で、セキュリティリスクを評価する。実施の形態１の方法では、評価対象ごとに、セキュリティリスクの存否が評価結果３１として得られる。また、実施の形態２の方法では、評価対象ごとに、リスク値が評価結果３１として得られる。このとき、ディレクトリ情報からの名前、所属、あるいは役職といった情報を活用してもよい。脆弱性特定部１５０は、評価対象リスト１４３の全ての評価対象について、評価結果３１を得る。

ステップＳ３０３において、脆弱性特定部１５０は、規定の閾値を超える評価対象をリストアップする。実施の形態１の方法で評価した場合は、セキュリティリスク有りの人物をリストアップする。また、実施の形態２の方法で評価した場合は、リスク値が閾値以上の人物をリストアップする。このように、評価対象リスト１４３においてセキュリティリスクの高い人物一覧が作成される。よって、この人物達に適切な教育あるいはセキュリティ対策を実施することで、セキュリティリスクを効果的に下げることができる。

＊＊＊本実施の形態に係る効果の説明＊＊＊
本実施の形態に係るセキュリティ評価装置１００ｂでは、組織の中でセキュリティリスクの高い、すなわち脆弱な人物を効率よく特定することができる。よって、本実施の形態に係るセキュリティ評価装置１００ｂによれば、セキュリティリスクの高い人物一覧に適切な教育あるいは対策を実施することで、組織全体のセキュリティリスクを下げることが可能となる。

以上の実施の形態１から３では、セキュリティ評価装置の各部を独立した機能ブロックとして説明した。しかし、セキュリティ評価装置の構成は、上述した実施の形態のような構成でなくてもよい。セキュリティ評価装置の機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、どのような構成でもよい。また、セキュリティ評価装置は、１つの装置でなく、複数の装置から構成されたシステムでもよい。
また、実施の形態１から３のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これら実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１から３では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。

なお、上述した実施の形態は、本質的に好ましい例示であって、本発明の範囲、本発明の適用物の範囲、および本発明の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。

１００，１００ａ，１００ｂ セキュリティ評価装置、１１０ 公開特徴生成部、２１ａ 公開対象情報、１２０ メール特徴生成部、１３０ 評価部、３１ 評価結果、１４０ 記憶部、１４１ コーパス、１４２ テンプレート、４２ａ テンプレートメール、１４３ 評価対象リスト、１５０ 脆弱性特定部、９０９ 電子回路、９１０ プロセッサ、９２１ メモリ、９２２ 補助記憶装置、９３０ 入力インタフェース、９４０ 出力インタフェース、９５０ 通信装置、Ｒ リスク値、Ｆ１，Ｆ１ａ 公開特徴情報、Ｆ２，Ｆ２ａ メール特徴情報。

Claims (7)

1. 公開されている公開情報から、セキュリティリスクを評価する対象である評価対象に関連する情報を公開対象情報として収集し、前記公開対象情報の特徴を表す公開特徴情報を生成する公開特徴生成部と、
   前記評価対象のメールボックスに含まれる評価対象メールの特徴を表すメール特徴情報を生成するメール特徴生成部と、
   前記公開特徴情報と前記メール特徴情報との類似度を算出し、前記類似度に基づいて、前記評価対象のセキュリティリスクを評価した評価結果を出力する評価部と
   を備えたセキュリティ評価装置。
2. 前記公開特徴生成部は、
   前記公開情報から前記評価対象に関連する単語を前記公開対象情報として収集し、前記公開対象情報に含まれる単語の傾向に基づいて前記公開特徴情報を生成し、
   前記メール特徴生成部は、
   前記評価対象のメールボックスに含まれる評価対象メールから、前記評価対象に関連する単語をメール単語情報として収集し、前記メール単語情報に含まれる単語の傾向に基づいて前記メール特徴情報を生成し、
   前記評価部は、
   前記類似度に基づいて、前記評価対象におけるセキュリティリスクの存否を判定し、判定結果を前記評価結果として出力する請求項１に記載のセキュリティ評価装置。
3. 前記セキュリティ評価装置は、メールのフォーマットを表すテンプレートを備え、
   前記公開特徴生成部は、
   前記公開情報から前記評価対象に関連する単語を前記公開対象情報として収集し、前記テンプレートに前記公開対象情報に含まれる単語を適用してテンプレートメールを生成し、前記テンプレートメールの特徴を前記公開特徴情報として生成し、
   前記メール特徴生成部は、
   前記評価対象のメールボックスに含まれる評価対象メールの特徴を前記メール特徴情報として生成し、
   前記評価部は、
   前記類似度に基づいて前記評価対象のセキュリティリスクを示すリスク値を算出し、前記リスク値を前記評価結果として出力する請求項１に記載のセキュリティ評価装置。
4. 前記公開特徴生成部は、
   前記テンプレートに前記公開対象情報に含まれる単語を適用して複数のテンプレートメールを生成し、前記複数のテンプレートメールの各々の特徴を表す複数の公開特徴ベクトルを前記公開特徴情報として生成し、
   前記メール特徴生成部は、
   前記評価対象のメールボックスに含まれる複数の評価対象メールの各々の特徴を表す複数のメール特徴ベクトルを前記メール特徴情報として生成し、
   前記評価部は、
   前記複数の評価対象メールの各々と前記複数のテンプレートメールの各々との類似度を算出し、前記類似度が閾値以上の前記複数の評価対象メールと前記複数のテンプレートメールとの組み合わせの数に基づいて、前記リスク値を算出する請求項３に記載のセキュリティ評価装置。
5. 前記セキュリティ評価装置は、
   複数の評価対象をリスト化した評価対象リストと、
   前記複数の評価対象の各々の評価結果に基づいて、前記複数の評価対象のうち脆弱な評価対象を特定する脆弱性特定部と
   を備えた請求項１から請求項４のいずれか１項に記載のセキュリティ評価装置。
6. 公開特徴生成部が、公開されている公開情報から、セキュリティリスクを評価する対象である評価対象に関連する情報を公開対象情報として収集し、前記公開対象情報の特徴を表す公開特徴情報を生成し、
   メール特徴生成部が、前記評価対象のメールボックスに含まれる評価対象メールの特徴を表すメール特徴情報を生成し、
   評価部が、前記公開特徴情報と前記メール特徴情報との類似度を算出し、前記類似度に基づいて、前記評価対象のセキュリティリスクを評価した評価結果を出力するセキュリティ評価方法。
7. 公開されている公開情報から、セキュリティリスクを評価する対象である評価対象に関連する情報を公開対象情報として収集し、前記公開対象情報の特徴を表す公開特徴情報を生成する公開特徴生成処理と、
   前記評価対象のメールボックスに含まれる評価対象メールの特徴を表すメール特徴情報を生成するメール特徴生成処理と、
   前記公開特徴情報と前記メール特徴情報との類似度を算出し、前記類似度に基づいて、前記評価対象のセキュリティリスクを評価した評価結果を出力する評価処理と
   をコンピュータであるセキュリティ評価装置に実行させるセキュリティ評価プログラム。

Images