JPWO2022137883A5

JPWO2022137883A5 - 攻撃情報生成装置、制御方法、及びプログラム

Info

Publication number: JPWO2022137883A5
Application number: JP2022571953A
Authority: JP
Filing date: 2021-11-15
Publication date: 2023-09-05

Description

＜ログ１０について＞
前述したように、ログ１０は、対象攻撃が実行される環境のログである。例えばログ１０は、１）対象攻撃を受けるマシン（以下、対象マシン）上で取得されるログと、２）他対象マシンと他のマシンとの間の通信経路上で取得されるログとに大別される。以下、１）のログをエンドポイントログと呼び、２）のログをネットワークログと呼ぶ。なお、対象マシンは物理マシンであってもよいし、仮想マシンであってもよい。

Claims

対象攻撃の複数回の実行それぞれについて、その実行期間におけるログを用いて、１つ以上のイベントそれぞれの出現数を特定する特定手段と、
前記イベントごとに、前記対象攻撃の複数回の実行それぞれについて特定されたそのイベントの出現数が、所定条件を満たすか否かを判定する判定手段と、
前記対象攻撃と、出現数が前記所定条件を満たすと判定された前記イベントとを対応づけた攻撃情報を生成する生成手段と、を有する攻撃情報生成装置。
前記所定条件は、前記対象攻撃の複数回の実行それぞれについて特定された前記イベントの出現数の統計値が閾値以上であることである、請求項１に記載の攻撃情報生成装置。
前記特定手段は、
前記対象攻撃の実行期間における前記ログの中に対応するエントリが存在する前記イベントの出現数を１とし、
前記対象攻撃の実行期間における前記ログの中に対応するエントリが存在しない前記イベントの出現数を０とする、請求項１又は２に記載の攻撃情報生成装置。
前記特定手段は、
前記ログにおいて前記対象攻撃の実行期間に記録されている複数のエントリのうち、１つ以上の所定の項目において互いに一致又は類似する値が示されている各前記エントリを、互いに同一の前記イベントを表す前記エントリとして特定し、
各前記イベントについて、そのイベントを表すものとして特定された前記エントリの数に基づいて、そのイベントの出現数を特定する、請求項１から３いずれか一項に記載の攻撃情報生成装置。
前記生成手段は、前記対象攻撃の実行期間の長さを特定し、当該実行期間の長さを前記攻撃情報に含める、請求項１から４いずれか一項に記載の攻撃情報生成装置。
前記攻撃情報に含める前記対象攻撃の実行期間の長さは、複数回実行された前記対象攻撃それぞれの実行期間の長さの統計値である、請求項５に記載の攻撃情報生成装置。
前記対象攻撃の複数回の実行のうち、少なくとも２回の実行は、互いに異なるテスト環境で行われる、請求項１から６いずれか一項に記載の攻撃情報生成装置。
前記特定手段は、複数種類の前記ログそれぞれについて、各前記イベントの出現数の特定を行い、
前記生成手段は、前記攻撃情報に、前記イベントを表すエントリが抽出された前記ログの種類を含める、請求項１から７いずれか一項に記載の攻撃情報生成装置。
コンピュータによって実行される制御方法であって、
対象攻撃の複数回の実行それぞれについて、その実行期間におけるログを用いて、１つ以上のイベントそれぞれの出現数を特定する特定ステップと、
前記イベントごとに、前記対象攻撃の複数回の実行それぞれについて特定されたそのイベントの出現数が、所定条件を満たすか否かを判定する判定ステップと、
前記対象攻撃と、出現数が前記所定条件を満たすと判定された前記イベントとを対応づけた攻撃情報を生成する生成ステップと、を有する制御方法。
前記所定条件は、前記対象攻撃の複数回の実行それぞれについて特定された前記イベントの出現数の統計値が閾値以上であることである、請求項９に記載の制御方法。
前記特定ステップにおいて、
前記対象攻撃の実行期間における前記ログの中に対応するエントリが存在する前記イベントの出現数を１とし、
前記対象攻撃の実行期間における前記ログの中に対応するエントリが存在しない前記イベントの出現数を０とする、請求項９又は１０に記載の制御方法。
前記特定ステップにおいて、
前記ログにおいて前記対象攻撃の実行期間に記録されている複数のエントリのうち、１つ以上の所定の項目において互いに一致又は類似する値が示されている各前記エントリを、互いに同一の前記イベントを表す前記エントリとして特定し、
各前記イベントについて、そのイベントを表すものとして特定された前記エントリの数に基づいて、そのイベントの出現数を特定する、請求項９から１１いずれか一項に記載の制御方法。
前記生成ステップにおいて、前記対象攻撃の実行期間の長さを特定し、当該実行期間の長さを前記攻撃情報に含める、請求項９から１２いずれか一項に記載の制御方法。
前記攻撃情報に含める前記対象攻撃の実行期間の長さは、複数回実行された前記対象攻撃それぞれの実行期間の長さの統計値である、請求項１３に記載の制御方法。
前記対象攻撃の複数回の実行のうち、少なくとも２回の実行は、互いに異なるテスト環境で行われる、請求項９から１３いずれか一項に記載の制御方法。
前記特定ステップにおいて、複数種類の前記ログそれぞれについて、各前記イベントの出現数の特定を行い、
前記生成ステップにおいて、前記攻撃情報に、前記イベントを表すエントリが抽出された前記ログの種類を含める、請求項９から１５いずれか一項に記載の制御方法。
対象攻撃の複数回の実行それぞれについて、その実行期間におけるログを用いて、１つ以上のイベントそれぞれの出現数を特定する特定ステップと、
前記イベントごとに、前記対象攻撃の複数回の実行それぞれについて特定されたそのイベントの出現数が、所定条件を満たすか否かを判定する判定ステップと、
前記対象攻撃と、出現数が前記所定条件を満たすと判定された前記イベントとを対応づけた攻撃情報を生成する生成ステップと、をコンピュータに実行させるプログラム。
前記所定条件は、前記対象攻撃の複数回の実行それぞれについて特定された前記イベントの出現数の統計値が閾値以上であることである、請求項１７に記載のプログラム。
前記特定ステップにおいて、
前記対象攻撃の実行期間における前記ログの中に対応するエントリが存在する前記イベントの出現数を１とし、
前記対象攻撃の実行期間における前記ログの中に対応するエントリが存在しない前記イベントの出現数を０とする、請求項１７又は１８に記載のプログラム。
前記特定ステップにおいて、
前記ログにおいて前記対象攻撃の実行期間に記録されている複数のエントリのうち、１つ以上の所定の項目において互いに一致又は類似する値が示されている前記エントリを、互いに同一の前記イベントを表す前記エントリとして特定し、
各前記イベントについて、そのイベントを表すものとして特定された前記エントリの数に基づいて、そのイベントの出現数を特定する、請求項１７から１９いずれか一項に記載のプログラム。
前記生成ステップにおいて、前記対象攻撃の実行期間の長さを特定し、当該実行期間の長さを前記攻撃情報に含める、請求項１７から２０いずれか一項に記載のプログラム。
前記攻撃情報に含める前記対象攻撃の実行期間の長さは、複数回実行された前記対象攻撃それぞれの実行期間の長さの統計値である、請求項２１に記載のプログラム。
前記対象攻撃の複数回の実行のうち、少なくとも２回の実行は、互いに異なるテスト環境で行われる、請求項１７から２２いずれか一項に記載のプログラム。
前記特定ステップにおいて、複数種類の前記ログそれぞれについて、各前記イベントの出現数の特定を行い、
前記生成ステップにおいて、前記攻撃情報に、前記イベントを表すエントリが抽出された前記ログの種類を含める、請求項１７から２３いずれか一項に記載のプログラム。