WO2012053041A1 - セキュリティポリシーに基づくセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラム - Google Patents

セキュリティポリシーに基づくセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラム Download PDF

Info

Publication number
WO2012053041A1
WO2012053041A1 PCT/JP2010/006803 JP2010006803W WO2012053041A1 WO 2012053041 A1 WO2012053041 A1 WO 2012053041A1 JP 2010006803 W JP2010006803 W JP 2010006803W WO 2012053041 A1 WO2012053041 A1 WO 2012053041A1
Authority
WO
WIPO (PCT)
Prior art keywords
policy
security
occurrence
monitoring
program
Prior art date
Application number
PCT/JP2010/006803
Other languages
English (en)
French (fr)
Inventor
小林恵美子
菅内公徳
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to US13/058,122 priority Critical patent/US8539546B2/en
Publication of WO2012053041A1 publication Critical patent/WO2012053041A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action

Definitions

  • the present invention relates to a security monitoring apparatus, a security monitoring method, and a security monitoring program for performing security monitoring of an information system based on a security policy, and is particularly suitable for analyzing security threats and their causes. .
  • the candidate for countermeasures when the candidate for countermeasures is presented as described above, it is the administrator who finally determines the countermeasures to be actually performed and the security policy in the information system.
  • Such information system security threats may be caused by user behavior as well as user behavior, such as information leakage.
  • an administrator may make settings for suppressing operations on a terminal device such as a computer, for example, as a countermeasure against user behavior that may be a cause.
  • the setting for suppressing the operation is not performed in consideration of convenience, or the setting to the terminal device such as taking out the terminal device, the user's action itself cannot be suppressed. There are cases.
  • the present invention has been made in consideration of the above points, and monitors the occurrence of policies that are not subject to security policy development, and outputs the monitoring results at an appropriate timing, so that the administrator recognizes the threat. Therefore, it is intended to propose a security monitoring apparatus, a security monitoring method, and a security monitoring program that can take measures.
  • a security monitoring device that manages at least one terminal device, when applying a security policy to each of the terminal devices, setting items set as items of the security policy;
  • a management program that manages the security policy separately from non-set items that are not set as items of the security policy, and occurrence of a causal event that may cause a threat to the non-set items in each terminal device
  • a collection program that collects information on the occurrence of the causal event, and evaluates changes in the causal event based on the information on the causal event, and outputs a specific output when the change in the causal event exceeds a reference
  • a non-target policy monitoring program in a security monitoring device that manages at least one terminal device, when applying a security policy to each of the terminal devices, setting items set as items of the security policy;
  • a management program that manages the security policy separately from non-set items that are not set as items of the security policy, and occurrence of a causal event that may cause a threat to the non-set items in each terminal device
  • a collection program that collects information on
  • the security policy is set as an item of the security policy.
  • the setting item set as the security policy item and the non-setting item not set as the security policy item A management program that separately manages the security policy, and a collection program that monitors the occurrence of a causal event that may cause a threat to the non-setting item in each terminal device, and collects information related to the occurrence of the causal event
  • a non-target policy monitoring program that evaluates a change in the cause event based on information on the cause event and performs a specific output when the change in the cause event is equal to or greater than a reference.
  • the monitoring module monitors the occurrence of a causal event that may cause a security threat
  • the calculation module Calculating the occurrence probability, calculating the occurrence probability of the affected threat based on the occurrence probability of the causal event
  • the evaluation module evaluates the change of the calculated value over time, and the change A specific output is performed when the reference value is exceeded.
  • the present invention it is possible to provide information on a threat that is not subject to a security policy that is not recognized by an administrator, a threat that is likely to be revealed, a cause thereof, and a countermeasure for the threat. Administrators can recognize threats and take countermeasures at appropriate times.
  • non-setting items are also monitored as follows. That is, for example, even if the settings are made by the administrator, these non-set items (corresponding to the monitor items to be described later) are based on the idea that if they are not set at all, if they are not monitored at all, they are too vulnerable to potential threats. This is to notify the administrator that a potential security risk may occur in the future as a specific output if necessary, as a precautionary measure.
  • a user terminal is used as an example of a terminal device, but other electronic devices such as a computer may be used.
  • this embodiment will be specifically described.
  • the term “propagation rule” is used. This propagation rule refers to a combination of events (corresponding to cause events described later) that may cause a certain threat to occur.
  • the monitoring items are defined for each cause event as will be described later.
  • the same causal event may be included in different threat propagation rules.
  • FIG. 1 shows the hardware and logical configuration of a system 100 according to the first embodiment.
  • the system 100 includes a management server 101, at least one user terminal 102, and a network 1108.
  • the management server 101 is an example of a security risk visualization device.
  • the management server 101 and the user terminal 102 each include one or more central processing units (hereinafter referred to as “CPU”) 103, a memory 104, a secondary storage device 105 such as a hard disk drive, an input / output interface 106, and a network interface 107.
  • CPU central processing units
  • the input / output interface 106 has a function of controlling input information from the keyboard and mouse and output information to the display.
  • the network interface 107 is an interface for connecting to the network 108.
  • a security policy management program 109 On the memory 104 of the management server 101, a security policy management program 109, a non-target policy monitoring program 110, and a collection program 111 are loaded. Programs such as the security policy management program 109, the non-target policy monitoring program 110, and the collection program 111 are executed by the CPU 103.
  • the disk device 105 stores information on the policy management table 112 and the propagation rule management table 113.
  • Each user terminal 102 includes a CPU 122, a memory 121, a disk device 123, a network interface (hereinafter abbreviated as “I / F”) 125, and an input / output interface 124.
  • the agent program 114 is loaded into the memory 121 and executed by the CPU 122.
  • the agent program 114 has a normal function of acquiring operation logs and configuration information by the user of the user terminal 102.
  • FIG. 2 shows the relationship between each program and table in the management server 101.
  • the security policy management program 109 corresponds to an example of a management program, performs input / output from the user, registration to the policy management table 112, reading, and the like, and further transmits a security policy to the agent program 114.
  • the non-target policy monitoring program 110 corresponds to an example of a monitoring program, and refers to the policy management table 112 and the propagation rule management table 113 and outputs to the user.
  • the security policy management program 109 and the non-target policy monitoring program 110 each use information collected by the collection program 111 to evaluate changes in the probability of occurrence of threats over time for the above-described non-set items. This collection program 111 collects information from the agent program 114 of the user terminal 102.
  • the security policy (hereinafter also abbreviated as “policy”) indicates the security policy of the entire system 100 such as the management server 101, the network device, and the user terminal 102.
  • a policy regarding at least one of operation and setting on the user terminal 102 is shown.
  • Such policies include, for example, items related to software installation such as essential software and prohibited software, items related to OS settings such as screen saver enable and firewall enable, control related to terminal devices such as connection inhibition of external storage media and application activation.
  • There are items that stipulate user actions such as items, prohibition of transmission of mail addressed to external addresses, and prohibition of taking out terminal devices.
  • FIG. 3 shows a functional module configuration of the security policy management program 109.
  • the security policy management program 109 includes an input reception module 301, a policy creation module 302, a policy setting module 303, and a policy compliance status evaluation module 304.
  • the input reception module 301 receives input related to policy setting from the user.
  • the policy creation module 302 creates a policy to be applied to at least one of the user terminal 102 and the system.
  • the policy setting module 303 distributes and sets a policy to the user terminal 102 to be managed.
  • the created policy is registered and managed in the policy management table 112.
  • the policy compliance status evaluation module 304 monitors and evaluates whether or not the set policy is observed in each user terminal 102.
  • the policy compliance status evaluation module 304 reads the contents of the policy management table 112 and performs the above-described evaluation based on the contents.
  • the collection program 111 of the management server 101 includes an operation log collection unit 305 and a configuration information acquisition module 306.
  • the operation log collection unit 305 collects operation logs at the user terminal 102 from the agent program 114 of the user terminal 102.
  • the configuration information collection module 306 collects configuration information of the user terminal 102.
  • FIG. 4 shows a functional module configuration of the excluded policy monitoring program 110.
  • the non-target policy monitoring program 110 includes a cause event extraction module 404, an occurrence probability calculation module 403, a history database 405 (probability history DB shown in the figure), a probability variation evaluation module 402, and an output processing module 401.
  • the cause event extraction module 404 extracts whether there is a cause event based on the user operation log and configuration information collected from each agent program 114.
  • the occurrence probability calculation module 403 reads the propagation rule from the propagation rule management table 113, and calculates the probability of occurrence of a threat based on the propagation rule based on the occurrence probability of the cause event.
  • the history database 405 is a database for holding the calculated probability.
  • the probability variation evaluation module 402 has a function of evaluating a history of probability.
  • the output processing module 401 has a function of outputting an evaluation result.
  • FIG. 5 shows a flowchart of the security policy management program 109 of the management server 101.
  • the CPU 103 executes each command of the security policy management program 109
  • the security policy management program 109 executes the following steps under the control of the CPU 311.
  • the security policy management program 109 executes each step, it is expressed in a simplified manner.
  • Management server 101 displays items that can be set as policies.
  • the user selects using an input interface (not shown) (S501) and performs input.
  • the security policy management program 109 receives input from the above-described user (S502), determines a policy to be set, and registers it in the policy management table 112 (S503). Further, the security policy management program 109 distributes the policy set in this way to the agent program 114 of the management server 101 (S504).
  • the input from the user may be in a description format that defines a description method instead of the selection format as described above.
  • the propagation rule management table 113 used by the non-target policy monitoring program 110 holds monitoring items corresponding to the propagation rules.
  • the security policy management program 109 compares the monitoring item in the determined policy with the monitoring item in the propagation rule (S505), and for the matching item, evaluates the status of whether or not the policy is observed ( (Hereinafter referred to as “policy compliance status evaluation”), it is determined that it is not a target item of the non-target policy monitoring program 110 (S506).
  • the security policy management program 109 applies such determination to the monitoring items of all policies to be set (S507).
  • the security policy management program 109 searches the policy management table 112 for a policy corresponding to the monitoring item included in the propagation rule, and outputs it as a selectable policy. May be presented to the administrator.
  • the security policy management program 109 may apply a policy selected by the administrator from the policies output in this way, and manage other policies as exclusion policies.
  • the monitoring item corresponding to this exclusion policy is a target item of the non-target policy monitoring program 110.
  • the security policy management program 109 monitors and evaluates the compliance status for the set policy.
  • the security policy management program 109 evaluates the compliance status by extracting information according to the item from the operation log and configuration information collected from the user terminal 102 (S508) and totaling information on all target terminals.
  • the security policy management program 109 evaluates periodically or when requested by the user, and outputs an evaluation result (S509).
  • the agent program 114 in the user terminal 102 receives a policy from the management server 101, and sets items that need to be set in accordance with the received policy in the OS and the registry. This agent program 114 monitors not only policy setting items but also all monitoring items as monitoring targets. At the same time, the agent program 114 records user operations. Further, the agent program 114 transmits the monitoring information to the management server 101 periodically or according to a request from the management server 101.
  • FIG. 6 shows a table configuration of the security policy management table 112 managed by the management server 101.
  • the security policy management table 112 is a table for managing policies, and includes a policy ID field 601, a content field 602, a target field 603, and a monitoring item field 604.
  • the policy ID field 601 is an identifier for identifying a policy.
  • the content field 602 describes the content of the policy corresponding to the policy ID field 601.
  • a target field 603 indicates whether to apply as a policy.
  • the monitoring item field 604 describes the contents of the monitoring item corresponding to the policy.
  • one or more monitoring items are defined, and the compliance status is evaluated by monitoring the monitoring items.
  • FIG. 7 shows a configuration example of the monitoring item table 108 for managing monitoring items.
  • This monitoring item table 108 has a monitoring content 702 for a monitoring item ID 701 and a target field 703 for managing whether it is a monitoring target as a policy.
  • Monitoring results of policy target items are subject to policy compliance status evaluation, and items not corresponding to policy (corresponding to non-setting items) are subject to the non-target policy monitoring program 110 described later.
  • FIG. 8 shows the configuration of the propagation rule management table 113 managed by the management server 101.
  • the propagation table management table 113 includes a rule ID field 801, a threat field 802, a propagation rule field 803, and a monitoring item field 804.
  • the rule ID field 801 is a field for identifying each propagation rule.
  • the threat field 802 is a field for identifying a plurality of threats from each other.
  • a propagation rule field 803 is a field indicating a propagation rule calculation formula.
  • a monitoring item field 804 is a field indicating a monitoring item corresponding to the propagation rule.
  • the propagation rule is represented by a combination of cause events, and the monitoring items are defined for each cause event.
  • the same causal event may be included in different threat propagation rules.
  • the monitoring items are managed by the monitoring item ID shown in the monitoring item table 108 shown in FIG.
  • FIG. 9 shows an example of a tree showing a mechanism of combinations of threats and their cause events as propagation rules.
  • a cause event is defined for an event that is a security threat, and propagation from a combination of cause events to occurrence is defined. In this example, not all of the cause events for the threat are shown, but a part is shown.
  • Threat Event 1 [The user takes the user terminal and is stolen and information is leaked] (901) ⁇ Cause event A [user terminal is portable] (902) ⁇ Cause event B [Save file in user terminal] (903) Cause event C [the user takes out the user terminal] (904) Cause event D [HDD password is not set on user terminal] (905) Cause event E [HDD password is not set on user terminal] (906) Cause event F [HDD of user terminal is not encrypted] (907)
  • “*” represents a logical product (corresponding to AND in the drawing)
  • “+” represents a logical sum (corresponding to OR in the drawing).
  • the non-target policy monitoring program 110 calculates the occurrence probability of a threat using a logical product or a combination of logical sums of the occurrence probabilities of one or more causal events. That is, the non-target policy monitoring program 110 calculates the occurrence probability of the threat event by obtaining the occurrence probability of each cause event and applying it to the propagation rule.
  • FIG. 10 shows a flowchart of the excluded policy monitoring program 110 of the management server 101.
  • the CPU 103 executes each instruction of the excluded policy monitoring program 110, and the excluded policy monitoring program 110 executes the following steps under the control of the CPU 311.
  • the collection program 111 is expressed in a simplified manner.
  • the non-target policy monitoring program 110 extracts items necessary for monitoring a cause event that is a monitoring target item from the operation log and configuration information collected by the collection program 111 from the user terminal 102 (S1001). For example, for the cause event B, the non-target policy monitoring program 110 extracts the record “save the file” from the operation log.
  • the non-target policy monitoring program 110 stores the calculated value in the history database 405. Thereby, in the history database 405, the monitoring item and its occurrence probability, the threat event and its occurrence probability are stored together with the calculation time. The non-target policy monitoring program 110 performs such processing for all monitoring items (S1005).
  • the non-target policy monitoring program 110 searches the occurrence probability of each cause event for each propagation rule, applies the occurrence probability value of the calculated cause event, and calculates the occurrence probability of the threat (S1006).
  • a monitoring item related to the cause event of the propagation rule is a policy setting target.
  • the non-target policy monitoring program 110 reads the result monitored by the security policy management program 109 and uses it as the threat occurrence probability.
  • the non-target policy monitoring program 110 stores the calculated threat occurrence probability in the history database 405.
  • the non-target policy monitoring program 110 needs to evaluate the occurrence probability history regarding the propagation rule based on the probability history database 405 and perform a specific output to the user based on the evaluation result. It is determined whether or not the output criterion is satisfied (S1007).
  • the output criterion is a predefined threshold value, and a specific output is performed when the occurrence probability is equal to or greater than the threshold value.
  • the non-target policy monitoring program 110 determines a difference in change with time of the calculated value as described above, that is, a difference from the previous time, and the difference is larger than a specific value. Or, when the calculated high value continues for a certain period, a specific output is performed.
  • the non-target policy monitoring program 110 may create a prediction history graph and use it as a reference for performing a specific output even when the prediction history graph does not tend to match the prediction history graph. For these output standards, which standard is used in the program and its standard value are set in advance. A plurality of output standards such as a threshold value and a difference may be used at the same time. *
  • the non-target policy monitoring program 110 executes a specific output when the result of the determination is that it meets the standard (S1008).
  • This excluded policy monitoring program 110 reduces, as a specific output, for example, a specific cause event having a large change in occurrence probability among events that can be a cause, and the occurrence probability for this specific cause event. Output the countermeasures. More specifically, the non-target policy monitoring program 110 displays information on the cause event that is the cause of the change in the threat event and its probability, and the occurrence probability of the threat event, as output information. Note that the numerical value of the occurrence probability may be displayed as it is as illustrated, or may be displayed at a level defined in several stages, for example.
  • the non-target policy monitoring program 110 may search the policy corresponding to the monitoring item from the policy management table 109 and output it together as a countermeasure against the corresponding cause event.
  • the non-target policy monitoring program 110 manages a countermeasure target candidate (for example, a server or a network device) with a propagation rule table (not shown) for a threat that cannot be taken by the user terminal 102 and its cause, In addition, a specific output may be performed.
  • the management server 101 may include a countermeasure implementation module (not shown) that performs the countermeasure output as described above on the user terminal 102 that may cause the cause event.
  • the countermeasure implementation module may implement the countermeasure in another device other than the user terminal 102, such as a mail server or a file server (not shown).
  • the non-target policy monitoring program 110 determines whether or not calculation has been performed for all propagation rules. If there is a propagation rule that has not been calculated, the processing ends when the calculation has been performed in step S1006 described above. (S1009).
  • an event that can cause a threat (corresponding to the causal event described above) is managed, and the administrator generates a threat. Can be notified at an appropriate timing. Therefore, even for potential threats that are not subject to security policies that are not recognized by the administrator, the administrator can provide information on the threats that are likely to be revealed, their causes, and countermeasures. You will be able to recognize threats and take measures at the right time.
  • FIG. 11 shows a flowchart of the non-target policy monitoring program 110.
  • the process in the flowchart is the same as the flowchart described in FIG. 10 up to the process of calculating the occurrence probability of the causal event (corresponding to steps S1001 to S1004).
  • the non-target policy monitoring program 110 stores the calculated result as a history and evaluates the result history. It is determined whether the history matches the output standard (S1101).
  • the output standard here, a pre-defined standard is used, for example, when the latest calculated value is compared with the previous calculated value and the difference is a certain value or more, or when the threshold value or more continues for a certain period. The same standard for all items or the standard for each monitoring item may be used.
  • the non-target policy monitoring program 110 may output the result of the corresponding monitoring item (S1102). Further, the non-target policy monitoring program 110 may calculate the probability of occurrence of a threat event including the corresponding monitoring item, and output it according to the result evaluated in the same manner as described above in the description of FIG. According to this method, a threat whose probability of a causal event does not change can be simplified without being calculated.
  • the value used for the evaluation of the change may be evaluated by the number of extracted total results instead of the occurrence probability.
  • an output criterion for the number of extractions is defined in advance, and it is determined whether or not the output criterion is met.
  • the cause event occurrence probability may be “0” (for example, the HDD password is specified It is set for all user terminals 102 at the time).
  • a method for evaluating whether a change in other cause events affects the probability of occurrence of a threat even when the occurrence probability of a certain cause event is “0” is shown.
  • FIG. 12 shows a flowchart of a part of the processing of the non-target policy monitoring program 110.
  • the same processing is performed until the occurrence probability (S1001 to S1005) for each monitoring item in the flowchart shown in FIG.
  • S1001 to S1005 the occurrence probability for each monitoring item in the flowchart shown in FIG.
  • the probability of occurrence of a threat calculated by a combination of logical products is “0”, and is stored in the first history database 405.
  • the non-target policy monitoring program 110 confirms whether there is a cause event having an occurrence probability of “0” (S1204), and then sets the item of “0” so that the influence of other cause fluctuations can be confirmed.
  • the value is changed to a specific value greater than “0” and less than or equal to “1” (for example, 0.01).
  • the non-target policy monitoring program 110 calculates the probability of occurrence of a threat using the specific value and stores it in the second history database 405 (S1205). In addition, it is managed in a table (not shown) that the probability of the corresponding cause event is a specific value. Then, the non-target policy monitoring program 110 compares the output criteria (S1206), and outputs information about the cause events that have changed and the probability of occurrence of the threat, except for the cause events that use specific values when outputting. (S1207).
  • FIG. 13 shows a flowchart of the non-target policy monitoring program 110 in the second embodiment.
  • the processing up to the evaluation of the probability of occurrence of a threat event (corresponding to steps S1001 to S1008) is the same as that in the first embodiment described above. Omitted.
  • the non-target policy monitoring program 110 determines the item that causes the fluctuation of the occurrence probability of the threat event among the occurrence probabilities of the cause event when the criterion is met as a result of the evaluation. Such a determination may include, for example, the occurrence probability of the causal event itself, a large difference from the previous time, or exceeding a threshold value. Specifically, after the execution of step S1008, the non-target policy monitoring program 110 determines, for example, a policy for an item whose occurrence probability of a causal event is larger than a specified value among non-set items with the passage of time. With reference to the management table 112, for example, the policy setting is automatically changed according to a specific countermeasure (S1301). Note that the command for this automatic setting is represented by an arrow from the non-target policy monitoring program 110 to the security policy management program 109 in FIG.
  • the policy setting change by the non-target policy monitoring program 110 is notified to the security policy management program 109, and the security policy management program 109 distributes the changed policy to the agent program 114. Further, the non-target policy monitoring program 110 outputs to notify the administrator when the policy is automatically changed. In this way, if the potential for potential threats not covered by the policy that the administrator is not aware of has increased, the security risk is constantly ignored even if the administrator is unaware. It becomes possible to suppress.
  • the non-target policy monitoring program 110 may output an interface for selecting whether or not the policy can be changed before automatically changing the policy according to the result of the evaluation described above. In this way, the administrator can be given the opportunity to decide whether or not the policy can really be changed, and can be secured with respect to an action that has a large security impact of changing the policy. .
  • the non-target policy monitoring program 110 changes the policy when “changeable” is selected, and does not change the policy when “deny” is selected.
  • information is output when an out-of-security policy item is detected by monitoring and the output condition is satisfied.
  • Items that are not covered by the security policy may not be managed by the administrator, and notification to the administrator every time an occurrence is detected may increase the burden on the administrator.
  • the burden on the administrator can be reduced.
  • items that are judged unnecessary by the administrator at the time of policy formulation such as an increase in the weight of portable PCs and the number of users who take them out, may increase due to changes in user usage.
  • by monitoring and outputting such changes it is possible for the administrator to determine whether the policy should be set.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

　管理サーバは、セキュリティポリシーの対象外である項目についても、その項目の発生を監視し、監視結果の変動を評価して、必要に応じて特定の出力を行う。セキュリティポリシーに基づく管理において特にセキュリティポリシーの対象外とした項目についても、その発生を監視して、監視結果を適切に管理者に通知し、管理者が脅威を認識して適切なタイミングで対策を取ることができるようにする。

Description

セキュリティポリシーに基づくセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラム
　本発明は、セキュリティポリシーに基づいて、情報システムのセキュリティ監視を行うセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラムに関するものであり、特に、セキュリティへの脅威とその原因の分析に好適なものである。
　近年、情報産業の発達によって、情報システムの果たす役割が重要になるに連れてセキュリティ管理の重要性が高まっている。このような情報システムに関するセキュリティ管理においては、脅威、脆弱性の発見、その発生の確率などに基づいてセキュリティリスクを分析し、セキュリティポリシーを策定して、必要な対策を実施している。セキュリティ対策の実施に関しては、運用中のシステムの状態として脆弱性の有無、脆弱性の発生頻度、資産価値を基にリスクを分析し、優先順位を付けて対策案候補を提示する方法が存在している（特許文献１参照）。また、その他にも情報の資産価値とファイルアクセス情報を基にリスク値を更新し、リスク値が指定された閾値を越えた場合にアクセス制限などの対策処理を行う方法が存在している（特許文献２参照）。
国際公開２００８－００４４９８号公報 特開２００５－１９００６６号公報
　従来の情報システムにおいては、上述のように対策案候補を提示しようとする場合、実際に行う対策及び情報システムにおけるセキュリティポリシーを最終的に決定するのは管理者である。このような情報システムのセキュリティの脅威には、情報漏洩のようにユーザの行動の他、その使用状況を原因とする場合がある。管理者は、セキュリティポリシーを策定する際、原因となり得るユーザの行動に対する対策として、例えば、コンピュータなどの端末装置での操作を抑止する設定などを行う場合もある。しかしながら、従来の情報システムでは、利便性との兼ね合いで操作を抑止する設定を行わない場合や、例えば端末装置の持ち出しなどのように端末装置への設定ではユーザの行動自体を抑止することができない場合が存在する。
　また、従来のセキュリティ管理ツールにおいても、管理者が、セキュリティポリシーとしてある項目を設定した場合、該当項目について遵守されているか否かを監視し、評価を行うことは一般に行われている。しかしながら、セキュリティポリシー策定時に、上記のようにセキュリティポリシーとして設定しない項目については監視も行われないことになってしまう。
　本発明は以上の点を考慮してなされたもので、セキュリティポリシー策定時に対象外としたポリシーについて、その発生を監視し、監視結果を適切なタイミングで出力することで、管理者が脅威を認識し、対策を取ることができるセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラムを提案しようとするものである。
　かかる課題を解決するため、本発明においては、少なくとも１台の端末装置を管理するセキュリティ監視装置において、各前記端末装置にセキュリティポリシーを適用する際に、前記セキュリティポリシーの項目として設定した設定項目と、前記セキュリティポリシーの項目として設定していない非設定項目とに分けて前記セキュリティポリシーを管理する管理プログラムと、各前記端末装置における前記非設定項目について脅威を発生させる可能性のある原因事象の発生を監視し、前記原因事象の発生に関する情報を収集する収集プログラムと、前記原因事象に関する情報に基づいて、前記原因事象の変化を評価し、前記原因事象の変化が基準以上の場合に特定の出力を行う対象外ポリシー監視プログラムとを備えることを特徴とする。
　また、本発明においては、少なくとも１台の端末装置を備えるシステムを管理するためのセキュリティ監視方法において、管理プログラムが、各前記端末装置にセキュリティポリシーを設定する際に、前記セキュリティポリシーの項目として設定した設定項目と、前記セキュリティポリシーの項目として設定していない非設定項目とに分けて前記セキュリティポリシーを管理する管理ステップと、収集プログラムが、各前記端末装置における前記非設定項目について脅威を発生させる可能性のある原因事象の発生を監視し、前記原因事象の発生に関する情報を収集する収集ステップと、対象外ポリシー監視プログラムが、前記原因事象に関する情報に基づいて、前記原因事象の変化を評価し、前記原因事象の変化が基準以上の場合に特定の出力を行う対象外ポリシー監視ステップとを含むことを特徴とする。
　また、本発明においては、少なくとも１台の端末装置に各々セキュリティポリシーを適用する際に、前記セキュリティポリシーの項目として設定した設定項目と、前記セキュリティポリシーの項目として設定していない非設定項目とに分けて前記セキュリティポリシーを管理する管理プログラムと、各前記端末装置における前記非設定項目について脅威を発生させる可能性のある原因事象の発生を監視し、前記原因事象の発生に関する情報を収集する収集プログラムと、前記原因事象に関する情報に基づいて、前記原因事象の変化を評価し、前記原因事象の変化が基準以上の場合に特定の出力を行う対象外ポリシー監視プログラムとをコンピュータにおいて実行させることを特徴とする。
　また、本発明においては、少なくとも１台の端末装置を備えるシステムにおけるセキュリティ監視方法において、監視モジュールが、セキュリティの脅威の原因となる可能性のある原因事象について、その発生を監視し、算出モジュールが、その発生確率を算出するとともに、前記原因事象の発生確率に基づいて影響される脅威の発生確率を算出し、評価モジュールが、前記算出した値の時間経過に伴う変化を評価し、その変化が基準値以上の場合に特定の出力を行うことを特徴とする。
　本発明によれば、管理者が認識していないセキュリティポリシーの対象外の潜在的な脅威についても、顕在化の可能性が高まっている脅威とその原因、それに対する対策について情報を提供することで、管理者が脅威を認識し、適切なタイミングで対策を取ることができる。
第１の実施の形態におけるシステムのハードウェア及び論理構成を示す図である。 管理サーバにおいて実行されるプログラムとテーブルの関係を示すモジュール構成図である。 セキュリティポリシー管理プログラムの機能モジュール構成を示すブロック図である。 対象外ポリシー監視プログラムの機能モジュール構成を示すブロック図である。 セキュリティポリシー管理プログラムが実行する手順の一例を示すフローチャートである。 ポリシー管理テーブルのテーブル構成を示す図である。 監視項目管理テーブルのテーブル構成を示す図である。 伝搬ルール管理テーブルのテーブル構成を示す図である。 伝搬ルールの脅威とその原因事象の組み合わせの仕組みを示すツリーの例を示す図である。 対象外ポリシー監視プログラムが実行する手順の一例を示すフローチャートである。 第１の実施の形態の変形例における対象外ポリシー監視プログラムが実行する手順の一例を示すフローチャートである。 第１の実施の形態の変形例における対象外ポリシー監視プログラムが実行する手順の一例を示すフローチャートである。 第２の実施の形態における対象外ポリシー監視プログラムが実行する手順の一例を示すフローチャートである。
　以下、図面について、本発明の一実施の形態について詳述する。
　（１）本実施の形態の概念
　本実施の形態では、少なくとも１台の端末装置を備えるシステムにおいて、各端末装置にセキュリティポリシーを設定する際に、セキュリティポリシーとして設定した項目と設定していない項目に分けてセキュリティポリシーを管理している。通常のセキュリティポリシーの管理においては、設定した項目（以下「設定項目」と呼ぶ）のみについて監視対象となり、設定していない項目（以下、「非設定項目」と呼ぶ）に関しては監視対象とはならない。
　しかしながら、本実施の形態においては、このような非設定項目についても次のような事情により監視対象としている。即ち、例えば管理者による設定とは云え、非設定項目だからといって、全く監視しないのでは潜在的な脅威に対してあまりにも無防備ではないかとの考えに基づき、こうした非設定項目（後述する監視項目に相当）についても、念のため、監視対象としておき、必要に応じて、特定の出力として、今後潜在的なセキュリティリスクが生じ得るかもしれない旨を、管理者に対して通知するためである。
　本実施の形態では、端末装置の一例として、ユーザ端末を挙げるが、その他の電子機器、例えばコンピュータであっても良い。以下、本実施の形態について具体的に説明する。なお、後述する説明においては、伝搬ルールという用語を用いるが、この伝搬ルールとは、ある脅威が発生する原因となる可能性のある事象（後述する原因事象に相当）の組み合わせをいう。また、監視項目は、後述するように原因事象毎に定義される。なお、同一の原因事象が、異なる脅威の伝搬ルールに含まれることもある。
　（２）第１の実施の形態
　（２－１）ハードウェア及び論理構成
　（２－１－１）システム全体
　図１は、第１の実施の形態におけるシステム１００のハードウェア及び論理構成を示す。本システム１００は、管理サーバ１０１、少なくとも１台のユーザ端末１０２及びネットワーク１１０８を備えている。管理サーバ１０１は、セキュリティリスク可視化装置の一例である。ユーザ端末１０２は、例えば複数台存在し、ユーザが直接操作、使用するとともに、セキュリティポリシーに従って管理対象となる端末装置である。
　管理サーバ１０１及びユーザ端末１０２は、いずれも、１つ以上の中央処理装置（以下「ＣＰＵ」という）１０３、メモリ１０４、ハードディスクドライブなどの二次記憶装置１０５、入出力インタフェース１０６、ネットワークインタフェース１０７を備えている。このうち入出力インタフェース１０６は、キーボード、マウスからの入力情報とディスプレイへの出力情報とを制御する機能を有する。また、ネットワークインタフェース１０７は、ネットワーク１０８に接続するためのインタフェースである。
　管理サーバ１０１のメモリ１０４上には、セキュリティポリシー管理プログラム１０９、対象外ポリシー監視プログラム１１０及び収集プログラム１１１がロードされる。これらセキュリティポリシー管理プログラム１０９、対象外ポリシー監視プログラム１１０及び収集プログラム１１１などのプログラムは、ＣＰＵ１０３により実行される。また、ディスク装置１０５には、ポリシー管理テーブル１１２及び伝搬ルール管理テーブル１１３の情報が保存されている。
　各ユーザ端末１０２は、ＣＰＵ１２２、メモリ１２１、ディスク装置１２３、ネットワークインタフェース（以下「Ｉ／Ｆ」と略す）１２５及び入出力インタフェース１２４を備えている。このうちメモリ１２１には、エージェントプログラム１１４がロードされ、ＣＰＵ１２２により実行される。このエージェントプログラム１１４は、後述するようにユーザ端末１０２のユーザによる操作ログや構成情報を取得する通常の機能を有する。
　（２－１－２）管理サーバにおけるプログラムとテーブルとの関係
　図２は、管理サーバ１０１における各プログラムとテーブルとの関係を示す。セキュリティポリシー管理プログラム１０９は、管理プログラムの一例に相当し、ユーザからの入出力、ポリシー管理テーブル１１２への登録、読み出し等を行い、さらにエージェントプログラム１１４に対し、セキュリティポリシーを送信する。対象外ポリシー監視プログラム１１０は、監視プログラムの一例に相当し、ポリシー管理テーブル１１２、伝搬ルール管理テーブル１１３の参照とユーザへの出力を行う。また、セキュリティポリシー管理プログラム１０９及び対象外ポリシー監視プログラム１１０は、それぞれ、収集プログラム１１１が収集した情報を利用して、上述した非設定項目について脅威の発生確率の時間経過に伴う変化を評価する。この収集プログラム１１１は、ユーザ端末１０２のエージェントプログラム１１４から情報を収集する。
　（２－１－３）セキュリティポリシーの定義
　ここで、セキュリティポリシー（以下「ポリシー」とも略す）とは、管理サーバ１０１やネットワーク機器、ユーザ端末１０２といったシステム１００全体のセキュリティ方針を示すものであるが、ここでは、一例として、ユーザ端末１０２での操作及び設定の少なくとも一方に関する方針を示している。このようなポリシーとしては、例えば、必須ソフトウェアや禁止ソフトウェアといったソフトウェアインストールに関する項目、スクリーンセーバ有効やファイアウォール有効などＯＳの設定に関する項目、外部記憶媒体の接続抑止やアプリケーションの起動抑止など端末装置での制御に関する項目、社外アドレス宛メールの送信禁止、端末装置の持ち出し禁止といったユーザの行動を規定する項目が存在している。
　（２－１－４）対象外ポリシー監視プログラムの機能モジュール構成
　図３は、セキュリティポリシー管理プログラム１０９の機能モジュール構成を示す。セキュリティポリシー管理プログラム１０９は、入力受付モジュール３０１、ポリシー作成モジュール３０２、ポリシー設定モジュール３０３及びポリシー遵守状況評価モジュール３０４を有する。
　入力受付モジュール３０１は、ユーザからのポリシー設定に関する入力を受け付ける。ポリシー作成モジュール３０２は、ユーザ端末１０２など及びシステムの少なくとも一方に適用するポリシーを作成する。ポリシー設定モジュール３０３は、管理対象のユーザ端末１０２へのポリシーの配布及び設定を行う。作成したポリシーは、ポリシー管理テーブル１１２に登録され管理される。ポリシー遵守状況評価モジュール３０４は、設定したポリシーについて、各ユーザ端末１０２において遵守されているか否かを監視して評価する。ポリシー遵守状況評価モジュール３０４は、ポリシー管理テーブル１１２の内容を読み出し、その内容に基づいて上述した評価を行う。
　また、管理サーバ１０１の収集プログラム１１１は、操作ログ収集部３０５及び構成情報取得モジュール３０６を有する。操作ログ収集部３０５は、ユーザ端末１０２のエージェントプログラム１１４から、ユーザ端末１０２での操作ログを収集する。一方、構成情報収集モジュール３０６は、ユーザ端末１０２の構成情報を収集する。
　（２－１－５）対象外ポリシー監視プログラムの機能モジュール構成
　図４は、対象外ポリシー監視プログラム１１０の機能モジュール構成を示す。対象外ポリシー監視プログラム１１０は、原因事象抽出モジュール４０４、発生確率算出モジュール４０３、履歴データベース４０５（図示の確率履歴ＤＢ）、確率変動評価モジュール４０２及び出力処理モジュール４０１を備えている。
　原因事象抽出モジュール４０４は、各エージェントプログラム１１４から収集したユーザの操作ログ及び構成情報に基づいて原因事象がないかどうかを抽出する。発生確率算出モジュール４０３は、伝搬ルール管理テーブル１１３から伝搬ルールを読み出し、原因事象の発生確率を基に伝搬ルールに基づいて脅威発生の確率を算出する。履歴データベース４０５は、算出した確率を保持するためのデータベースである。確率変動評価モジュール４０２は、確率の履歴を評価する機能を有する。出力処理モジュール４０１は、評価結果を出力する機能を有する。
　（２－２）セキュリティ監視方法
　第１の実施の形態におけるシステムは以上のような構成であり、次に、その動作例の一部であるセキュリティ監視方法の一例について説明する。
　（２－２－１）セキュリティポリシー管理プログラムの処理
　図５は、管理サーバ１０１のセキュリティポリシー管理プログラム１０９のフローチャートを示す。なお、この管理サーバ１０１では、ＣＰＵ１０３がセキュリティポリシー管理プログラム１０９の各命令を実行し、このセキュリティポリシー管理プログラム１０９がＣＰＵ３１１の制御によって次のような各ステップを実行するが、以下の説明においては、そのセキュリティポリシー管理プログラム１０９が各ステップを実行すると簡素化して表現する。
　管理サーバ１０１では、ポリシーとして設定できる項目を表示する。これに対し、ユーザは、入力インタフェース（図示せず）を用いて選択し（Ｓ５０１）、入力を行う。セキュリティポリシー管理プログラム１０９は、上述したユーザからの入力を受け付け（Ｓ５０２）、設定するポリシーを決定し、ポリシー管理テーブル１１２に登録する（Ｓ５０３）。さらにセキュリティポリシー管理プログラム１０９は、このように設定されたポリシーを、管理サーバ１０１のエージェントプログラム１１４に配布する（Ｓ５０４）。なお、ユーザからの入力は、上述のような選択形式でなく、記述方法を定義した記述形式であってもよい。
　また、対象外ポリシー監視プログラム１１０が使用する伝搬ルール管理テーブル１１３では、伝搬ルールに対応する監視項目を保持している。セキュリティポリシー管理プログラム１０９は、決定されたポリシーにおける監視項目と、伝搬ルールにおける監視項目とを比較し（Ｓ５０５）、一致する項目については、ポリシーが遵守されているか否かの状況を評価すること（以下「ポリシー遵守状況評価）」と呼ぶ）を行うため、対象外ポリシー監視プログラム１１０の対象項目としないものと判断する（Ｓ５０６）。セキュリティポリシー管理プログラム１０９は、このような判断を、設定する全ポリシーの監視項目について適用する（Ｓ５０７）。
　ここで、管理者がポリシーを決定する別の方法としては、セキュリティポリシー管理プログラム１０９が、伝搬ルールに含まれる監視項目に対応するポリシーをポリシー管理テーブル１１２から検索し、選択できるポリシーとして出力することにより、管理者に提示してもよい。セキュリティポリシー管理プログラム１０９は、このように出力したポリシーのうちから、管理者によって選択されたポリシーを適用し、それ以外のポリシーを除外ポリシーとして管理してもよい。この除外ポリシーに対応する監視項目は、対象外ポリシー監視プログラム１１０の対象項目となる。
　セキュリティポリシー管理プログラム１０９は、設定したポリシーについては遵守状況を監視し、評価する。セキュリティポリシー管理プログラム１０９は、遵守状況は、ユーザ端末１０２から収集した操作ログと構成情報から項目に従った情報を抽出し（Ｓ５０８）、対象の全端末の情報を集計することで評価する。セキュリティポリシー管理プログラム１０９は、定期的に又はユーザからの要求があった時に評価し、評価結果を出力する（Ｓ５０９）。
　ユーザ端末１０２内のエージェントプログラム１１４は、管理サーバ１０１からポリシーを受信し、この受信したポリシーに従って設定が必要な項目については、ＯＳ及びレジストリに設定を行う。このエージェントプログラム１１４は、監視対象として、ポリシー設定項目だけでなく、全ての監視項目について監視する。これとともに、このエージェントプログラム１１４は、ユーザの操作を記録する。また、エージェントプログラム１１４は、監視情報を定期的に、又は、管理サーバ１０１からの要求に従って管理サーバ１０１に送信する。
　（２－２－２）セキュリティポリシー管理テーブルのテーブル構成
　図６は、管理サーバ１０１が管理するセキュリティポリシー管理テーブル１１２のテーブル構成を示す。セキュリティポリシー管理テーブル１１２は、ポリシーを管理するためのテーブルであり、ポリシーＩＤフィールド６０１、内容フィールド６０２、対象フィールド６０３及び監視項目フィールド６０４を有する。
　ポリシーＩＤフィールド６０１は、ポリシーを識別するための識別子である。内容フィールド６０２は、ポリシーＩＤフィールド６０１に対応するポリシーの内容が記述される。対象フィールド６０３は、ポリシーとして適用するかどうかを示す。監視項目フィールド６０４は、ポリシーに対応する監視項目の内容が記述される。
　ポリシーには、１つ以上の監視項目が定義されており、その監視項目が監視されることで、遵守状況が評価される。なお、１つのポリシーに対して２つ以上の監視項目があってもよく、１つの監視項目が別々のポリシーの監視項目となってもよい。
　（２－２－３）監視項目テーブルのテーブル構成
　図７は、監視項目を管理する監視項目テーブル１０８の構成例を示す。この監視項目テーブル１０８は、監視項目ＩＤ７０１に対して、監視内容７０２、それがポリシーとして監視対象となっているかを管理する対象フィールド７０３を有する。ポリシー対象の項目（設定項目に相当）の監視結果は、ポリシー遵守状況評価の対象となり、ポリシー対象外の項目（非設定項目に相当）は、後述する対象外ポリシー監視プログラム１１０による対象となる。
　（２－２－４）伝搬ルール管理テーブル１１３のテーブル構成
　図８は、管理サーバ１０１が管理する伝搬ルール管理テーブル１１３の構成を示す。伝搬テーブル管理テーブル１１３は、ルールＩＤフィールド８０１、脅威フィールド８０２、伝搬ルールフィールド８０３及び監視項目フィールド８０４を有する。
　ルールＩＤフィールド８０１は、各伝搬ルールを識別するためのフィールドである。脅威フィールド８０２は、複数の脅威を互いに識別するためのフィールドである。伝搬ルールフィールド８０３は、伝搬ルールの計算式を示すフィールドである。監視項目フィールド８０４は、伝搬ルールに対応する監視項目を示すフィールドである。
　ここで、伝搬ルールは、原因事象の組み合わせで表され、監視項目は、原因事象毎に定義される。なお、同一の原因事象が、異なる脅威の伝搬ルールに含まれることもある。また、監視項目については、図７に示した監視項目テーブル１０８に示した監視項目ＩＤによって管理される。
　（２－３）原因事象の組み合わせ
　図９は、伝搬ルールとして脅威とその原因事象の組み合わせの仕組みを示すツリーの例を示す。本実施の形態では、セキュリティ上の脅威である事象に対してその原因事象を定義し、さらに原因事象の組み合わせから発生までの伝搬を定義する。なお、この例では、脅威に対する原因事象の全てを示すものではなく、一部を取り出して示している。
・脅威事象１［ユーザがユーザ端末を持ち出して盗難に遭い、情報が漏洩する]（９０１）
・原因事象Ａ［ユーザ端末は可搬型である]（９０２）
・原因事象Ｂ［ユーザ端末にファイルを保存]（９０３）
・原因事象Ｃ［ユーザはユーザ端末を持ち出す]（９０４）
・原因事象Ｄ［ユーザ端末にＨＤＤパスワードが設定されていない]（９０５）
・原因事象Ｅ［ユーザ端末にＨＤＤパスワードが設定されていない]（９０６）
・原因事象Ｆ［ユーザ端末のＨＤＤが暗号化されていない]（９０７）
　なお、原因事象と脅威事象以外の事象９０８～９１０は、状態を示すが、伝搬ルールには関係ないため、説明を省略する。また、ＨＤＤ（Hard Disk Drive）は、上述したディスク装置１２３の一例である。
　この場合、伝搬ルールは、脅威事象＝［原因事象Ａ］＊［原因事象Ｂ］＊［原因事象Ｃ］＊{（［原因事象Ｄ］＋［原因事象Ｅ］）＋［原因事象Ｆ］｝と表される。ここで、「＊」は論理積（図示のＡＮＤに相当）を示し、「＋」は論理和（図示のＯＲに相当）を示す。本実施の形態では、対象外ポリシー監視プログラム１１０は、１つ以上の原因事象の発生確率の論理積又は論理和の組み合わせを用いて脅威の発生確率を算出する。即ち、対象外ポリシー監視プログラム１１０は、各原因事象の発生確率を求め、伝搬ルールに当て嵌めることで、脅威事象の発生確率を算出する。
　（２－４）対象外ポリシー監視プログラムの処理
　図１０は、管理サーバ１０１の対象外ポリシー監視プログラム１１０のフローチャートを示す。なお、この管理サーバ１０１では、ＣＰＵ１０３が対象外ポリシー監視プログラム１１０の各命令を実行し、この対象外ポリシー監視プログラム１１０がＣＰＵ３１１の制御によって次のような各ステップを実行するが、以下の説明においては、その対象外ポリシー監視プログラム１１０が各ステップを実行すると簡素化して表現する。また、収集プログラム１１１に関しても同様に簡素化して表現する。
　対象外ポリシー監視プログラム１１０は、収集プログラム１１１がユーザ端末１０２から収集した操作ログ及び構成情報から監視対象項目である原因事象の監視で必要な項目を抽出する（Ｓ１００１）。対象外ポリシー監視プログラム１１０は、例えば、原因事象Ｂについては、操作ログから「ファイルを保存」した記録を抽出する。
　対象外ポリシー監視プログラム１１０は、このような抽出処理を、全てのエージェントプログラム１１４（図示のエージェントに対応）からの収集情報に対して行い（Ｓ１００２）、監視項目毎に抽出結果を集計する（Ｓ１００３）。さらに、対象外ポリシー監視プログラム１１０は、監視項目に対応する原因事象の発生確率を算出する（Ｓ１００４）。対象外ポリシー監視プログラム１１０は、例えば１０００台のユーザ端末１０２からの構成情報に基づいてＨＤＤパスワードを監視している場合、ＨＤＤパスワードが設定されていないユーザ端末１０２が１０台であれば、原因事象Ｄの発生確率は、１０／１０００＝０．０１と算出する。
　対象外ポリシー監視プログラム１１０は、当該算出した値を履歴データベース４０５に保存しておく。これにより、この履歴データベース４０５には、監視項目とその発生確率、脅威事象とその発生確率が、それぞれ、算出時刻とともに保存される。この対象外ポリシー監視プログラム１１０は、このような処理を、全監視項目について行う（Ｓ１００５）。
　次に対象外ポリシー監視プログラム１１０は、伝搬ルール毎にそれぞれの原因事象の発生確率を検索し、算出原因事象の発生確率値を当て嵌めて、脅威の発生確率を算出する（Ｓ１００６）。ここで、伝搬ルールの原因事象に関連する監視項目がポリシー設定対象になっている場合もある。この場合、対象外ポリシー監視プログラム１１０は、セキュリティポリシー管理プログラム１０９が監視している結果を読み出し、脅威の発生確率として使用する。対象外ポリシー監視プログラム１１０は、算出した脅威の発生確率を履歴データベース４０５に保存する。
　さらに、対象外ポリシー監視プログラム１１０は、その確率履歴データベース４０５に基づいて、当該伝搬ルールに関する発生確率の履歴を評価し、その評価結果に基づいてユーザに対して特定の出力を行う必要があるか否かを出力基準にあてはまるかで判断する（Ｓ１００７）。出力基準は例えば、予め定義された閾値とし、発生確率が閾値以上である場合に特定の出力を行う。
　また別の例として、対象外ポリシー監視プログラム１１０は、上述のように前記算出した値の時間経過に伴う変化の差分、即ち、前回との差分を判断し、当該差分が特定値以上に大きい場合、又は、算出した高い値が一定期間続いている場合に特定の出力を行う。さらに別の例として、対象外ポリシー監視プログラム１１０は、予測履歴グラフを作成しておき、当該予測履歴グラフと一致する傾向にない場合なども特定の出力を行う基準としてもよい。こうした出力基準は、予めプログラムでいずれの基準を使用するかとその基準値を設定しておく。また閾値と、差分といった複数の出力基準を同時に使用するように設定してもよい。　
　対象外ポリシー監視プログラム１１０は、判断の結果、基準にあった場合に特定の出力を実行する（Ｓ１００８）。この対象外ポリシー監視プログラム１１０は、特定の出力として、例えば、原因となる可能性のある事象のうち発生確率の変化が大きい特定の原因事象と、この特定の原因事象について発生確率を減少するための対策とを出力する。具体的には、この対象外ポリシー監視プログラム１１０は、出力情報として、脅威事象とその確率、さらに脅威事象の発生確率を変動させた原因である原因事象についての情報を表示する。なお、発生確率の数値については、図示のように数値そのまま表示するか、例えば数段階に定義したレベルなどで表示してもよい。
　また、対象外ポリシー監視プログラム１１０は、該当する原因事象に対する対策として、監視項目に対応するポリシーをポリシー管理テーブル１０９から検索し、併せて出力してもよい。一方、対象外ポリシー監視プログラム１１０は、ユーザ端末１０２において対策が取れない脅威とその原因については、対策先の候補（例えばサーバやネットワーク機器など）を伝搬ルールテーブル（図示せず）で管理し、併せて特定の出力を行ってもよい。
　ここで、管理サーバ１０１は、上述のように出力された対策を、原因事象が発生する可能性のあるユーザ端末１０２に対して実施する対策実施モジュール（図示しない）を備えていても良い。なお、この場合、この対策実施モジュールは、上記対策を、前記ユーザ端末１０２以外の別の装置、例えば図示しないメールサーバ又はファイルサーバにおいて実施するようにしてもよい。
　対象外ポリシー監視プログラム１１０は、全ての伝搬ルールについて計算したか否かを判断し、計算していない伝搬ルールが存在する場合には、上述したステップＳ１００６に計算済の場合には処理を終了する（Ｓ１００９）。
　以上により、ポリシーとして設定している項目以外の項目（上記非設定項目に相当）でも、脅威の原因となり得る事象（上記原因事象に相当）について、管理を行うことで、管理者に脅威の発生の確率が高くなっていることなどを適切なタイミングで通知することができる。従って、管理者が認識していないセキュリティポリシーの対象外の潜在的な脅威についても、顕在化の可能性が高まっている脅威とその原因、それに対する対策について情報を提供することで、管理者が脅威を認識し、適切なタイミングで対策を取ることができるようになる。
　（２－５）第１の実施の形態の変形例
　（２－５－１）第１の変形例
　次に、監視項目の変動について評価することで、脅威の発生の原因を適切に管理者に知らせるための方法を示す。ここでは、対象外ポリシー監視プログラム１１０は、監視項目毎に変動を評価し、監視項目の発生確率に変動があった場合に、脅威事象の発生確率を算出する方法を説明する。
　図１１は、対象外ポリシー監視プログラム１１０のフローチャートを示す。当該フローチャートにおける処理は、図１０において説明したフローチャートと、原因事象の発生確率を算出する処理（ステップＳ１００１～Ｓ１００４に相当）までは同じ処理である。
　対象外ポリシー監視プログラム１１０は、算出した結果を履歴として保存するとともに、結果の履歴を評価する。履歴が出力基準に当て嵌まるかを判断する（Ｓ１１０１）。ここでの出力基準は、最新の算出値を前回算出値と比較して差分が一定値以上である場合や、閾値以上が一定期間続いている場合など、予め定義した基準を用いる。全項目同一の基準、又は、監視項目毎の基準であってもよい。
　出力基準に当て嵌まる場合、対象外ポリシー監視プログラム１１０は、該当監視項目の結果について出力してもよい（Ｓ１１０２）。また、対象外ポリシー監視プログラム１１０は、該当監視項目が含まれる脅威事象について、発生確率を算出し、図１０の説明において前述した方法と同様に評価した結果に従って出力してもよい。この方法により、原因事象の確率が変動しない脅威については、計算を行わず、処理を簡単にできる。
　また、第１の変形例では、監視項目の発生確率の変動を評価しているところを、変動の評価に使用する値を発生確率でなく、集計結果の抽出数で評価してもよい。この場合、抽出数に対する出力基準を予め定義しておき、出力基準にあてはまるか否かを判断する。
　（２－５－２）第２の変形例
　第１の実施の形態において示した原因事象の監視の結果、原因事象の発生確率が「０」になる場合もある（例えば、ＨＤＤパスワードは、特定時点では全てのユーザ端末１０２に設定されているなど）。ここでは、ある原因事象の発生確率が「０」の場合でも、その他の原因事象の変動が脅威の発生確率に影響するかを評価する方法を示す。
　図１２は、対象外ポリシー監視プログラム１１０の処理の一部のフローチャートを示す。当該フローチャートでは、図１０に示したフローチャートの監視項目毎の発生確率の算出（Ｓ１００１～Ｓ１００５）までは、同じ処理を行う。第１の実施の形態において説明した方法では、監視項目の１つに「０」があってもそのまま伝搬ルールに「０」を当て嵌める。これは、図１２に示すフローチャートのＳ１２０１～Ｓ１２０３でも同様である。ここでは、履歴データベース４０５を２つ保持し、第１の履歴データベース４０５にはそのままの算出値を保存する。例えばＨＤＤパスワードが全てに設定されていれば、論理積の組み合わせで算出される脅威の発生確率は「０」であり、第１の履歴データベース４０５に保存する。
　原因事象の発生確率が「０」では、他の原因事象の確率が変動しても脅威の発生確率は「０」で変動しないことになる。そのため、対象外ポリシー監視プログラム１１０は、発生確率が「０」の原因事象があるかを確認し（Ｓ１２０４）、他の原因の変動の影響を確認できるように、次に「０」の項目を「０」より大きく「１」以下の特定の値（例えば０．０１など）に変更する。対象外ポリシー監視プログラム１１０は、当該特定の値を用いて脅威の発生確率を算出し、第２の履歴データベース４０５に保存する（Ｓ１２０５）。また、該当原因事象の確率は、特定の値であることをテーブル（図示しない）で管理しておく。そして、対象外ポリシー監視プログラム１１０は、出力基準に照らし合わせ（Ｓ１２０６）、出力する際には特定値を使用した原因事象を除いて、変動のあった原因事象と脅威の発生確率について情報を出力する（Ｓ１２０７）。
　このような第２の変形例によれば、特定の時点で、複数ある原因のいずれかが発生の可能性がなくても（発生確率が「０」であっても）、他の原因事象が脅威の発生確率の変動に影響するかを判断することができる。
　（３）第２の実施の形態
　次に、本発明の第２の実施の形態として、脅威事象の発生確率が高まっている時に、自動的にポリシーを変更する方法について説明する。第２の実施の形態では、第１の実施の形態とほぼ同様であるため、以下では異なる点を中心として説明する。
　（３－１）対象外ポリシー監視プログラムの処理
　図１３は、第２の実施の形態における対象外ポリシー監視プログラム１１０のフローチャートを示す。第２の実施の形態では、脅威事象の発生確率を評価するまでの処理（ステップＳ１００１～Ｓ１００８に相当）は、上述した第１の実施の形態と同様であるため、同様の内容については説明を省略する。
　対象外ポリシー監視プログラム１１０は、上記評価の結果、基準に当て嵌まる場合、原因事象の発生確率のうち、脅威事象の発生確率の変動の原因となっている項目について判断する。このような判断しては、例えば、原因事象の発生確率そのものが変動し、前回との差分が大きい、又は、閾値を越えているなどを挙げることができる。具体的には、ステップＳ１００８の実行後、対象外ポリシー監視プログラム１１０は、例えば、時間の経過に伴って、非設定項目のうち原因事象の発生確率の変動が規定値よりも大きい項目について、ポリシー管理テーブル１１２を参照し、例えば特定の対策に応じてポリシーの設定を自動的に変更する（Ｓ１３０１）。なお、この自動設定のための命令は、上述した図２における対象外ポリシー監視プログラム１１０からセキュリティポリシー管理プログラム１０９への矢印によって表されている。
　対象外ポリシー監視プログラム１１０によるポリシーの設定変更は、セキュリティポリシー管理プログラム１０９に通知され、セキュリティポリシー管理プログラム１０９は、変更されたポリシーをエージェントプログラム１１４に配布する。さらに、対象外ポリシー監視プログラム１１０は、ポリシーを自動的に変更する場合、管理者に通知するために出力を行う。以上のようにすると、管理者が認識していないポリシー対象外の潜在的な脅威について潜在的な可能性が高まっている場合に、その管理者が意識しなくても、恒常的にセキュリティリスクを抑制することができるようになる。
　ここで、対象外ポリシー監視プログラム１１０は、上述した評価の結果に従ってポリシーを自動的に変更する前に、変更の可否を選択するインタフェースを出力するようにしても良い。このようにすると、管理者は、ポリシーを本当に変更して良いかどうかについて判断する機会を付与することができ、ポリシーの変更というセキュリティへの大きな影響のある行為に関して安全性を確保することができる。対象外ポリシー監視プログラム１１０は、管理者からの入力に従って、「変更可」が選択された場合にはポリシーを変更し、「否」が選択された場合にはポリシーを変更しない。
　（３－２）別の方法について
　この方法の別の案としては、脅威事象の発生確率が少ない場合の基準値を満たす（閾値より低い）場合、設定しているポリシーを除外する方法もある。これにより、最小限のポリシー設定で運用を開始した場合にも、運用状況を監視し、脅威発生の確率が高まっている場合に必要な操作抑止などのポリシー設定をすることで、運用状況に応じたポリシーの設定が可能となる。
　上述した実施の形態によれば、セキュリティポリシーの対象外の項目についても、監視により発生を検知し、出力条件を満たした場合に、情報が出力される。セキュリティポリシーの対象外である項目は、管理者が管理不要としている可能性もあり、その発生を検知する度に管理者に通知されるのでは、管理者の負担が増大する可能性があり、本発明のように発生頻度の増加や、脅威顕在化の確率が高くなっている場合に出力することで、管理者の負担を減らすことができる。
　また可搬型ＰＣが軽量になり、持ち出すユーザが増加するなど、管理者がポリシー策定時点では不要と判断した項目についても、ユーザ使用状況が変化することで、発生が増加することもある。本実施の形態では、こうした変化を監視し、出力することで、管理者がポリシーの対象とすべきかを判断することができる。
　（４）その他の実施形態
　上記実施形態は、本発明を説明するための例示であり、本発明をこれらの実施形態にのみ限定する趣旨ではない。本発明は、その趣旨を逸脱しない限り、様々な形態で実施することができる。例えば、上記実施形態では、各種プログラムの処理をシーケンシャルに説明したが、特にこれにこだわるものではない。従って、処理結果に矛盾が生じない限り、処理の順序を入れ替え又は並行動作するように構成しても良い。
　１００……システム、１０１……管理サーバ、１０２……ユーザ端末、１０８……監視項目テーブル、１０９……セキュリティポリシー管理プログラム、１１０……対象外ポリシー監視プログラム、１１１……収集プログラム、１１２……ポリシー管理テーブル、１１３……伝搬ルール管理テーブル、１１４……エージェントプログラム

Claims (18)

  1. 　少なくとも１台の端末装置を管理するセキュリティ監視装置において、
    　各前記端末装置にセキュリティポリシーを適用する際に、前記セキュリティポリシーの項目として設定した設定項目と、前記セキュリティポリシーの項目として設定していない非設定項目とに分けて前記セキュリティポリシーを管理する管理プログラムと、
    　各前記端末装置における前記非設定項目について脅威を発生させる可能性のある原因事象の発生を監視し、前記原因事象の発生に関する情報を収集する収集プログラムと、
    　前記原因事象に関する情報に基づいて、前記原因事象の変化を評価し、前記原因事象の変化が基準以上の場合に特定の出力を行う対象外ポリシー監視プログラムとを備える
    　ことを特徴とするセキュリティ監視装置。
  2. 　前記収集プログラムは、
    　各前記端末装置からユーザによる操作に応じた操作ログと、各前記端末装置の構成に関する構成情報とを取得する
    　ことを特徴とする請求項１に記載のセキュリティ監視装置。
  3. 　前記対象外ポリシー監視プログラムは、前記原因事象の変化が基準以上か否かの評価として、前記非設定項目に関する前記原因事象の発生確率を算出し、前記非設定項目に関する前記原因事象の発生確率に基づいて算出される脅威の発生確率を算出し、
    　前記算出した値の時間経過に伴う変化の差分が特定値以上に大きい場合、又は、前記算出した値が予め規定された閾値以上である場合に前記特定の出力を行う
    　ことを特徴とする請求項２に記載のセキュリティ監視装置。
  4. 　前記対象外ポリシー監視プログラムは、
    　１つ以上の原因事象の発生確率の論理積又は論理和の組み合わせを用いて前記脅威の発生確率を算出する
    　ことを特徴とする請求項３に記載のセキュリティ監視装置。
  5. 　前記対象外ポリシー監視プログラムは、
    　前記原因となる可能性のある事象のうち発生確率の変化が大きい特定の原因事象と、
    　前記特定の原因事象について発生確率を減少するための対策と、を前記特定の出力として出力する
    　ことを特徴とする請求項４に記載のセキュリティ監視装置。
  6. 　前記対象外ポリシー監視プログラムは、
    　前記非設定項目のうち前記原因事象の発生確率の変動が規定値よりも大きい項目について、前記セキュリティポリシーを自動的に変更する
    　ことを特徴とする請求項５に記載のセキュリティ監視装置。
  7. 　前記出力された対策を、前記原因事象が発生する可能性のある前記端末装置に対して実施する対策実施モジュールを備える
    　ことを特徴とする請求項６に記載のセキュリティ監視装置。
  8. 　前記対策実施モジュールは、
    　前記対策を、前記端末装置以外の別の装置で実行する
    　ことを特徴とする請求項７に記載のセキュリティ監視装置。
  9. 　少なくとも１台の端末装置を備えるシステムを管理するためのセキュリティ監視方法において、
    　管理プログラムが、各前記端末装置にセキュリティポリシーを設定する際に、前記セキュリティポリシーの項目として設定した設定項目と、前記セキュリティポリシーの項目として設定していない非設定項目とに分けて前記セキュリティポリシーを管理する管理ステップと、
    　収集プログラムが、各前記端末装置における前記非設定項目について脅威を発生させる可能性のある原因事象の発生を監視し、前記原因事象の発生に関する情報を収集する収集ステップと、
    　対象外ポリシー監視プログラムが、前記原因事象に関する情報に基づいて、前記原因事象の変化を評価し、前記原因事象の変化が基準以上の場合に特定の出力を行う対象外ポリシー監視ステップとを含む
    　ことを特徴とするセキュリティ監視方法。
  10. 　前記収集プログラムが、
    　各前記端末装置からユーザによる操作に応じた操作ログと、各前記端末装置の構成に関する構成情報とを取得する
    　ことを特徴とする請求項９に記載のセキュリティ監視方法。
  11. 　前記対象外ポリシー監視プログラムが、
    　前記原因事象の変化が基準以上か否かの評価として、前記非設定項目に関する前記原因事象の発生確率を算出し、前記非設定項目に関する前記原因事象の発生確率に基づいて算出される脅威の発生確率を算出し、
    　前記算出した値の時間経過に伴う変化の差分が特定値以上に大きい場合、又は、前記算出した値が予め規定された閾値以上である場合に前記特定の出力を行う
    　ことを特徴とする請求項１０に記載のセキュリティ監視方法。
  12. 　前記対象外ポリシー監視プログラムが、
    　１つ以上の原因事象の発生確率の論理積又は論理和の組み合わせを用いて前記脅威の発生確率を算出する
    　ことを特徴とする請求項１１に記載のセキュリティ監視方法。
  13. 　前記対象外ポリシー監視プログラムが、
    　前記原因となる可能性のある事象のうち発生確率の変化が大きい特定の原因事象と、
    　前記特定の原因事象について発生確率を減少するための対策と、を前記特定の出力として出力する
    　ことを特徴とする請求項１２に記載のセキュリティ監視方法。
  14. 　前記対象外ポリシー監視プログラムは、
    　前記非設定項目のうち前記原因事象の発生確率の変動が規定値よりも大きい項目について、前記セキュリティポリシーを自動的に変更する
    　ことを特徴とする請求項１３に記載のセキュリティ監視装置。
  15. 　対策実施モジュールが、前記出力された対策を、前記原因事象が発生する可能性のある前記端末装置に対して実施する
    　ことを特徴とする請求項１５に記載のセキュリティ監視方法。
  16. 　前記対策実施モジュールが、
    　前記対策を、前記端末装置以外の別の装置で実行する
    　ことを特徴とする請求項１５に記載のセキュリティ監視方法。
  17. 　少なくとも１台の端末装置に各々セキュリティポリシーを適用する際に、前記セキュリティポリシーの項目として設定した設定項目と、前記セキュリティポリシーの項目として設定していない非設定項目とに分けて前記セキュリティポリシーを管理する管理プログラムと、
    　各前記端末装置における前記非設定項目について脅威を発生させる可能性のある原因事象の発生を監視し、前記原因事象の発生に関する情報を収集する収集プログラムと、
    　前記原因事象に関する情報に基づいて、前記原因事象の変化を評価し、前記原因事象の変化が基準以上の場合に特定の出力を行う対象外ポリシー監視プログラムとをコンピュータにおいて実行させる
    　ことを特徴とするセキュリティ監視プログラム。
  18. 　少なくとも１台の端末装置を備えるシステムにおけるセキュリティ監視方法において、
    　監視モジュールが、セキュリティの脅威の原因となる可能性のある原因事象について、その発生を監視し、
    　算出モジュールが、その発生確率を算出するとともに、前記原因事象の発生確率に基づいて影響される脅威の発生確率を算出し、
    　評価モジュールが、前記算出した値の時間経過に伴う変化を評価し、その変化が基準値以上の場合に特定の出力を行う
    　ことを特徴とするセキュリティ監視方法。
PCT/JP2010/006803 2010-10-22 2010-11-19 セキュリティポリシーに基づくセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラム WO2012053041A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US13/058,122 US8539546B2 (en) 2010-10-22 2010-11-19 Security monitoring apparatus, security monitoring method, and security monitoring program based on a security policy

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2010-237996 2010-10-22
JP2010237996A JP2012093804A (ja) 2010-10-22 2010-10-22 セキュリティポリシーに基づくセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラム

Publications (1)

Publication Number Publication Date
WO2012053041A1 true WO2012053041A1 (ja) 2012-04-26

Family

ID=45974779

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2010/006803 WO2012053041A1 (ja) 2010-10-22 2010-11-19 セキュリティポリシーに基づくセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラム

Country Status (2)

Country Link
JP (1) JP2012093804A (ja)
WO (1) WO2012053041A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112381158A (zh) * 2020-11-18 2021-02-19 山东高速信息集团有限公司 基于人工智能的数据高效训练方法及系统

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017055298A (ja) * 2015-09-10 2017-03-16 富士ゼロックス株式会社 接続制御装置及びプログラム
JP6780326B2 (ja) * 2016-07-04 2020-11-04 富士ゼロックス株式会社 情報処理装置及びプログラム
JP6425865B1 (ja) * 2017-03-07 2018-11-21 三菱電機株式会社 リスク分析装置、リスク分析方法及びリスク分析プログラム

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001101135A (ja) * 1999-09-29 2001-04-13 Hitachi Ltd セキュリティ評価方法および装置、セキュリティ施策の作成支援方法および装置
JP2002352062A (ja) * 2001-05-24 2002-12-06 Hitachi Ltd セキュリティ評価装置
JP2005190066A (ja) * 2003-12-25 2005-07-14 Hitachi Ltd 情報管理システム、情報管理サーバ、情報管理システムの制御方法、及び、プログラム
WO2008149859A1 (ja) * 2007-06-05 2008-12-11 Hitachi Software Engineering Co., Ltd. セキュリティ対策状況の自己点検システム
JP2009048317A (ja) * 2007-08-16 2009-03-05 Konica Minolta Holdings Inc セキュリティ評価方法、セキュリティ評価装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001101135A (ja) * 1999-09-29 2001-04-13 Hitachi Ltd セキュリティ評価方法および装置、セキュリティ施策の作成支援方法および装置
JP2002352062A (ja) * 2001-05-24 2002-12-06 Hitachi Ltd セキュリティ評価装置
JP2005190066A (ja) * 2003-12-25 2005-07-14 Hitachi Ltd 情報管理システム、情報管理サーバ、情報管理システムの制御方法、及び、プログラム
WO2008149859A1 (ja) * 2007-06-05 2008-12-11 Hitachi Software Engineering Co., Ltd. セキュリティ対策状況の自己点検システム
JP2009048317A (ja) * 2007-08-16 2009-03-05 Konica Minolta Holdings Inc セキュリティ評価方法、セキュリティ評価装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112381158A (zh) * 2020-11-18 2021-02-19 山东高速信息集团有限公司 基于人工智能的数据高效训练方法及系统

Also Published As

Publication number Publication date
JP2012093804A (ja) 2012-05-17

Similar Documents

Publication Publication Date Title
US11637854B2 (en) Resource-centric network cyber attack warning system
US8539546B2 (en) Security monitoring apparatus, security monitoring method, and security monitoring program based on a security policy
US10565367B2 (en) Filtering data transfers
US10685109B2 (en) Elimination of false positives in antivirus records
US20220201019A1 (en) Indicator of compromise calculation system
US11061756B2 (en) Enabling symptom verification
US9336388B2 (en) Method and system for thwarting insider attacks through informational network analysis
RU2477929C2 (ru) Система и способ предотвращения инцидентов безопасности на основании рейтингов опасности пользователей
JP5972401B2 (ja) 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム
US20160359884A1 (en) Method and Apparatus for Classifying and Combining Computer Attack Information
US20090327482A1 (en) Reliable and accurate usage detection of a software application
CN109690548B (zh) 基于设备属性和设备风险因素的计算设备保护
JP2008507757A (ja) エンドユーザのリスク管理
US10558810B2 (en) Device monitoring policy
JP2007172221A (ja) 検疫システム、検疫装置、検疫方法、及び、コンピュータプログラム
WO2008012903A1 (fr) Programme de gestion de système, dispositif de gestion de gestion de système, et procédé de gestion de système
JP2017211978A (ja) 業務処理システム監視装置および監視方法
CN114270391A (zh) 量化隐私影响
CN109643349B (zh) 基于症状时长以及端点在环境中的重要性的端点的动态排名和呈现
US20220345469A1 (en) Systems and methods for asset-based severity scoring and protection therefrom
WO2012053041A1 (ja) セキュリティポリシーに基づくセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラム
Nostro et al. A methodology and supporting techniques for the quantitative assessment of insider threats
JP2018160170A (ja) 出力プログラム、情報処理装置、出力方法、生成プログラム、及び生成方法
JP2020017065A (ja) 車両不正アクセス対策装置、及び車両不正アクセス対策方法
Pournouri et al. Improving cyber situational awareness through data mining and predictive analytic techniques

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 13058122

Country of ref document: US

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10858597

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10858597

Country of ref document: EP

Kind code of ref document: A1