WO2014045827A1 - 情報処理装置及び情報処理方法及びプログラム - Google Patents

情報処理装置及び情報処理方法及びプログラム Download PDF

Info

Publication number
WO2014045827A1
WO2014045827A1 PCT/JP2013/073197 JP2013073197W WO2014045827A1 WO 2014045827 A1 WO2014045827 A1 WO 2014045827A1 JP 2013073197 W JP2013073197 W JP 2013073197W WO 2014045827 A1 WO2014045827 A1 WO 2014045827A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
progress
event
sequence
occurrence
Prior art date
Application number
PCT/JP2013/073197
Other languages
English (en)
French (fr)
Inventor
鐘治 桜井
河内　清人
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to CN201380046779.4A priority Critical patent/CN104620252B/zh
Priority to US14/420,079 priority patent/US20150205956A1/en
Priority to JP2014536717A priority patent/JP5868514B2/ja
Priority to EP13839403.6A priority patent/EP2899665B1/en
Publication of WO2014045827A1 publication Critical patent/WO2014045827A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the occurrence of a threat is judged by a correlation rule that defines the occurrence order of events considered to be a threat, and a group of events matching the correlation rule is displayed on the screen to warn the user.
  • a correlation rule that defines the occurrence order of events considered to be a threat
  • the conventional threat visualization method has a problem that the warning screen is not displayed to the user unless the events defined in the association rule are prepared.
  • the event defined in the association rule is an abnormal event that is considered to be malicious behavior that occurs in computers such as network devices, servers, and PCs (Personal Computers).
  • a sensor detects such an event, and a user notifies the detected event to a device that monitors the screen.
  • detection of these abnormal events by the sensor may cause a detection failure. .
  • the correlation rule is not satisfied due to the detection failure of one event, and the user is warned. There is a problem that it is not displayed.
  • the main object of the present invention is to solve the above-mentioned problems. If there is a possibility that an attack against an information system is being performed without using an association rule, the progress of the attack is visualized.
  • the main purpose is to display a warning to the user.
  • An information processing apparatus includes: An attack event table storage unit for storing an attack event table indicating the degree of progress of an attack when each event occurs, for each of a plurality of events generated by an attack on the information system; An attack event progress column table storage unit that stores an attack event progress column table in which a character string obtained by concatenating the progress of corresponding events according to an event occurrence pattern in an attack sequence is indicated as an attack event progress column When, An occurrence event progress sequence deriving unit that derives an occurrence event progress sequence that is a character string by connecting the progress of corresponding events according to the occurrence pattern of events that have occurred in the information system; A similarity calculation unit that calculates the similarity between the occurrence event progress sequence derived by the occurrence event progress sequence deriving unit and the attack event progress sequence shown in the attack event progress sequence table; An attack situation visualization unit that visualizes the progress of an attack on the information system based on the occurrence event progression degree sequence obtained by the occurrence event progression degree sequence deriving unit and the similarity calculation result by the similar
  • the occurrence event progression sequence is derived according to the occurrence pattern of events that have occurred in the information system, and the similarity between the occurrence event progression sequence and the attack event progression sequence is calculated. Furthermore, in the present invention, the progress of the attack on the information system is visualized based on the occurrence event progression sequence and the similarity calculation result. Therefore, according to the present invention, it is not necessary to use a correlation rule, and it is possible to avoid a situation in which a correlation rule is not satisfied due to omission of detection of one event and a warning is not displayed to the user. If there is a possibility that this has been done, a warning can be displayed to the user.
  • FIG. 2 is a diagram illustrating a configuration example of an information system according to the first embodiment.
  • FIG. 3 is a diagram illustrating a hardware configuration example of the threat visualization system according to the first embodiment. The figure which shows the example of data in the hard disk of the threat visualization system which concerns on Embodiment 1.
  • FIG. The figure which shows the example of data in RAM of the threat visualization system which concerns on Embodiment 1.
  • FIG. 3 is a diagram illustrating a functional configuration example of a threat visualization system according to the first embodiment.
  • FIG. 3 shows an example of an attack event table according to the first embodiment.
  • FIG. 4 is a diagram showing an example of a past case table according to the first embodiment.
  • FIG. 4 shows an example of an attack scenario table according to the first embodiment.
  • FIG. 4 shows an example of an attack phase table according to the first embodiment.
  • FIG. 6 is a diagram showing an example of a security threat distribution screen according to the first embodiment.
  • FIG. 6 shows an example of a security growth process display screen according to the first embodiment.
  • FIG. 3 is a flowchart showing an outline of the operation of the threat visualization system according to the first embodiment.
  • FIG. 3 is a flowchart showing details of the operation of the threat visualization system according to the first embodiment.
  • FIG. 3 is a flowchart showing details of the operation of the threat visualization system according to the first embodiment.
  • FIG. 3 is a flowchart showing details of the operation of the threat visualization system according to the first embodiment.
  • FIG. 3 is a flowchart showing details of the operation of the threat visualization system according to the first embodiment.
  • FIG. 3 is a flowchart showing details of the operation of the threat visualization system according to the first embodiment.
  • FIG. 3 is a flowchart showing details of the operation of the threat visualization system according to the first embodiment.
  • Embodiment 1 FIG. In the present embodiment, a configuration will be described in which a warning is displayed to the user when there is a possibility that an attack is being performed even if an individual abnormal event is missed.
  • FIG. 1 shows a configuration example of an information system according to the present embodiment.
  • the information system according to the present embodiment includes, for example, a threat visualization system 100, a LAN (Local Area Network) 110, a log server 111, a PC 112, an authentication server 113, a file server 114, a mail server 115, an IDS (Intrusion Detection System) / It comprises an IPS (Instruction Prevention System) 116, a network proxy 117, and a firewall 118.
  • the threat visualization system 100 is a computer that visualizes threats to an information system, and corresponds to an example of an information processing apparatus.
  • the threat visualization system 100 is connected to the LAN 110.
  • a log server 111, a PC 112, an authentication server 113, a file server 114, a mail server 115, an IDS / IPS 116, a network proxy 117, and a firewall 118 are connected to the LAN 110.
  • the firewall 118 is connected to the Internet 119.
  • the PC 112 corresponds to an example of a terminal device.
  • the threat visualization system 100 includes a CPU 101, a RAM (Random Access Memory) 102, a ROM (Read Only Memory) 103, a hard disk 104, a display display 105, a keyboard 106, a mouse 107, and a communication board 108. These are connected to the bus 109.
  • a CPU 101 a RAM (Random Access Memory) 102, a ROM (Read Only Memory) 103, a hard disk 104, a display display 105, a keyboard 106, a mouse 107, and a communication board 108.
  • the threat visualization system 100 has a functional configuration shown in FIG.
  • a table storage unit 1001 stores various tables used to visualize threats to the information system. Details of the various tables will be described later.
  • the table storage unit 1001 corresponds to an example of an attack event table storage unit and an attack event progress sequence table storage unit.
  • the table storage unit 1001 is realized by the RAM 102 and the hard disk 104 in FIG.
  • the phase sequence generation unit 1002 generates a phase sequence (occurrence event progress level sequence) by concatenating phase values, which are the progress levels of events, according to the occurrence pattern of events that have occurred in the information system.
  • the phase sequence generation unit 1002 corresponds to an example of an occurrence event progress level sequence deriving unit. Note that the phase sequence generation unit 1002 is configured as a program, for example, and a program for realizing the phase sequence generation unit 1002 is executed by the CPU 101 of FIG.
  • the similarity calculation unit 1003 includes a phase sequence (occurrence event progress sequence) obtained by the phase sequence generation unit 1002 and a phase sequence (attack event progress sequence) indicated in a past case table or attack scenario table described later. Calculate similarity.
  • the similarity calculation unit 1003 is also configured as a program, for example, and a program for realizing the similarity calculation unit 1003 is executed by the CPU 101 of FIG.
  • the attack status visualization unit 1004 visualizes the progress status of the attack on the information system based on the phase sequence obtained by the phase sequence generation unit 1002 and the similarity calculation result by the similarity calculation unit 1003.
  • the attack situation visualization unit 1004 is also configured as a program, for example, and a program for realizing the attack situation visualization unit 1004 is executed by the CPU 101 of FIG.
  • the input unit 1005 inputs various data from the user of the threat visualization system 100.
  • the input unit 1005 is realized by the keyboard 106 and the mouse 107 in FIG.
  • the output unit 1006 displays various data to the user of the threat visualization system 100.
  • the output unit 1006 displays the progress of the attack visualized by the attack status visualization unit 1004 to the user.
  • the output unit 1006 is realized by the display display 105 in FIG.
  • a communication unit 1007 communicates with other devices via the LAN 110.
  • the communication unit 1007 receives log data from the log server 111.
  • the communication unit 1007 is realized by the communication board 108 in FIG.
  • FIG. 3 shows a table stored in the hard disk 104 of FIG.
  • the hard disk 104 stores an attack event table 201, a past case table 202, an attack scenario table 203, and a threat visualization program 204.
  • the threat visualization program 204 is a program that implements the phase sequence generation unit 1002, the similarity calculation unit 1003, and the attack situation visualization unit 1004 in FIG.
  • the threat visualization program 204 is loaded into the RAM 102, and the CPU 101 reads the threat visualization program 204 from the RAM 102 and executes the threat visualization program 204 to execute the phase sequence generation unit 1002, similarity calculation unit 1003, and attack situation visualization unit in FIG. 5.
  • the function 1004 is realized.
  • the hard disk 104 stores an OS (Operating System), and the CPU 101 executes the threat visualization program 204 using the OS.
  • OS Operating System
  • FIG. 4 shows a table generated on the RAM 102.
  • An attack phase table 301 is generated on the RAM 102 by the threat visualization program 204.
  • FIG. 6 shows the structure of the attack event table 201.
  • the attack event table 201 is a table that indicates the degree of progress of an attack when each event occurs for each of a plurality of events that occur due to an attack on the information system.
  • the attack event table 201 includes a device type 401, an event ID 402, an event description 403, and a phase 404 for each event that occurs in an attack.
  • the device type 401 indicates the device (PC 112, authentication server 113, etc.) that is the source of the event.
  • an identifier of each event is shown in the event ID 402 column.
  • the event description 403 column shows an overview of each event.
  • the progress level of the attack and the phase value indicating the stage are shown.
  • an event observed when an attack is in the “intrusion” stage is phase “1”
  • an event observed when the attack is in the “search” stage is phase “2”
  • the attack is “elevation of authority”. It is conceivable that the event observed when the stage is in phase is phase “3”, and the event observed when the attack is in the “information theft” stage is phase “4”.
  • FIG. 7 shows the configuration of the past case table 202.
  • the past case table 202 is a table in which events that occurred in past attack cases (attack sequences) are shown in the order of occurrence.
  • the past case table 202 has a past case ID 501, an event ID column 502, and a phase column 503.
  • past case ID 501 column past case identifiers are shown.
  • event IDs of events that have occurred in past attack cases are shown in the order of occurrence.
  • phase column 503 a character string (phase column) obtained by concatenating the values of phase 404 corresponding to each event ID shown in the column of event ID column 502 in the order of occurrence is shown.
  • the character string shown in the column of the phase column 503 corresponds to an example of the attack event progress level column.
  • the past case table 202 corresponds to an example of an attack event progress degree sequence table.
  • FIG. 8 shows the configuration of the attack scenario table 203.
  • the attack scenario table 203 is a table in which events assumed to occur in an assumed attack (attack sequence) are shown in the order of occurrence.
  • An attack that does not actually occur but is expected to occur is called an attack scenario.
  • the attack scenario table 203 has a scenario ID 601, an event ID column 602, and a phase column 603.
  • scenario ID 601 column an identifier of an attack scenario is shown.
  • event IDs of events that are supposed to occur when an attack is performed are shown in the order of occurrence.
  • phase column 603 a character string (phase column) in which the values of phase 404 corresponding to each event ID shown in the column of event ID column 602 are connected in the order of occurrence is shown.
  • the character string shown in the column of the phase column 603 corresponds to an example of the attack event progress degree column.
  • the attack scenario table 203 also corresponds to an example of an attack event progress degree sequence table.
  • FIG. 9 shows the configuration of the attack phase table 301.
  • the attack phase table 301 is a table that the phase sequence generation unit 1002 analyzes log data from the log server 111 and generates according to an occurrence pattern of an event that has occurred in the information system.
  • the attack phase table 301 includes a device ID 701, a phase column 702, a maximum phase 703, an update date 704, a past case ID 705, a case similarity 706, a scenario ID 707, and a scenario similarity 708.
  • an IP (Internet Protocol) address of the PC 112 is normally indicated (the device ID 701 is not limited to an IP address, and a MAC (Media Access Control) address or the like may be used as long as the PC can be uniquely identified). May be).
  • IP Internet Protocol
  • the column of the phase column 702 shows a character string obtained by concatenating the values of the phase 404 corresponding to each event extracted by analyzing the log data in the order of occurrence.
  • the largest phase 703 column shows the largest value in the phase column 702.
  • the update date and time 704 column shows the date and time described in the log data last referred to by the phase sequence generation unit 1002.
  • the past case ID 705 column the past case ID 501 of the past case from which the similarity shown in the case similarity 706 column is calculated is shown.
  • the column of case similarity 706 shows the maximum similarity among the similarities of past cases calculated by the similarity calculation unit 1003 for the phase column 702.
  • scenario ID 707 column the scenario ID 601 of the attack scenario from which the similarity shown in the scenario similarity 708 column is calculated is shown.
  • scenario similarity 708 column the maximum similarity among the similarities of the attack scenarios calculated by the similarity calculation unit 1003 for the phase column 702 is shown.
  • FIG. 10 shows a screen example of the security threat distribution screen.
  • the security threat distribution screen 801 includes a phase display 802, a total number display 803, a past case display selection box 804, an attack scenario display selection box 805, and a similarity display area 806.
  • the phase display 802 displays the phase name.
  • the total number display 803 displays the total number of devices belonging to the phase.
  • the past case display selection box 804 is a check box for selecting to display the similarity with the past case.
  • the attack scenario display selection box 805 is a check box for selecting to display the similarity with the attack scenario.
  • the similarity display area 806 displays devices belonging to the phase according to the similarity.
  • the security threat distribution screen 801 is generated by the attack status visualization unit 1004 and displayed by the output unit 1006.
  • ⁇ indicates the similarity with the past case
  • ⁇ indicates the similarity with the attack scenario.
  • Each of ⁇ and ⁇ represents the PC 112.
  • the horizontal axis of the similarity display area 806 indicates the similarity value (0.0 to 1.0), and the vertical axis indicates the number of PCs 112.
  • a ⁇ is displayed at a position corresponding to the value of the case similarity 706 in the phase similarity display area 806 corresponding to the value of the maximum phase 703.
  • ⁇ is plotted at a position corresponding to the scenario similarity 708 value. For example, in the record (device ID: ID1) on the first line in FIG.
  • the maximum phase 703 is “3” and the case similarity 706 is “0.57”.
  • the attack scenario display selection box 805 of phase 3 since the attack scenario display selection box 805 of phase 3 is not checked, ⁇ for “0.66” of the scenario similarity 708 is not displayed.
  • the maximum phase 703 is “2” and the case similarity 706 is “0.57”.
  • ⁇ is plotted (in FIG. 10, since the attack scenario display selection box 805 for phase 2 is not checked, ⁇ for “0.5” of the scenario similarity 708 is not displayed).
  • FIG. 11 shows a screen example of the security growth process display screen.
  • the security growth process display screen 901 is a growth process display area 902 that displays an event generation process for a specific device together with a generation process of similar past cases, and a similarity display that displays the similarity of these generation processes. 903.
  • the transition of the phase value in the phase column 702 of the specific PC 112 and the transition of the phase value in the phase column 603 of the past case indicated by the past case ID 705 are displayed.
  • a graph is displayed.
  • the similarity display 903 the value of the case similarity 706 of the PC 112 is shown.
  • FIG. 9 shows an example in which an event generation process for a specific device is displayed together with an occurrence process of a similar past case.
  • an event generation process for a specific device is represented by a similar attack scenario. It may be displayed together with the generation process.
  • the security growth process display screen 901 the progress of the attack on the information system is visualized in such a format.
  • a general user uses the PC 112 to access the authentication server 113, authenticates with a user ID and password, and then accesses the file server 114. Further, the user uses the PC 112 to access the mail server 115 and read / write mail. Further, the user uses the PC 112 to access the Internet 119 through the network proxy 117 and further through the firewall 118.
  • the PC 112, the authentication server 113, the file server 114, the mail server 115, the network proxy 117, and the firewall 118 output predetermined log data (hereinafter also simply referred to as a log) in these general user operations. Further, the IDS / IPS 116 outputs predetermined log data when communication of a packet matching a predetermined condition is observed on the LAN 110. Log data of these devices is sent to the log server 111, and is recorded according to the time series described in the log data in the log server 111.
  • the threat visualization program 204 stored on the hard disk 104 is loaded from the hard disk 104 onto the RAM 102 via the bus 109 and executed by the CPU 101.
  • the threat visualization program 204 sequentially extracts logs recorded in time series on the log server 111 via the LAN 110.
  • the log from the log server 111 includes event occurrence date / time, log type, event ID, device ID, and event description for each occurrence event to be recorded.
  • the event occurrence date and time indicates the date and time when the event recorded in the log occurred.
  • the log type indicates the type of device in which the event recorded in the log has occurred.
  • the event ID indicates an ID that can uniquely identify the type of each occurrence event.
  • the device ID indicates an ID that uniquely identifies a device in which an event has occurred. In the case of a log that records the passage of a packet or the like, the log includes two device IDs, a transmission source device ID and a transmission destination device ID.
  • the event description indicates the details of each event that has occurred.
  • FIG. 12 shows a rough flow of processing executed by the threat visualization system 100 for each occurrence event recorded in the extracted log.
  • the processes in steps S1001 to S1003 shown in FIG. 12 are repeatedly executed at a cycle of, for example, 5 minutes.
  • the 5-minute period is merely an example, and can be set to an arbitrary period according to the scale of the information system and the security policy.
  • processing procedures will be described as operations of the phase sequence generation unit 1002, the similarity calculation unit 1003, and the attack situation visualization unit 1004.
  • the variable values and counter values described in FIGS. 13 to 18 are managed by, for example, the register of the CPU 101 or the RAM 102.
  • step S1001 the phase sequence generation unit 1002 creates an attack phase sequence (details will be described later) for the PC 112 based on the occurrence event recorded in the extracted log.
  • step S1002 the similarity calculation unit 1003 calculates the similarity between the attack phase sequence created in step S1001 and the past case, and the similarity between the attack phase sequence created in step S1001 and the attack scenario.
  • step S1003 the attack situation visualization unit 1004 displays the attack phase sequence created in step S1001 and the similarity calculated in step S1002 on the display 105.
  • FIG. 13 illustrates the processing in step S1001 in detail.
  • step S2001 the phase sequence generation unit 1002 determines whether the maximum phase 703 related to the PC 112 corresponding to the device ID of the occurrence event recorded in the extracted log is 0. When the maximum phase 703 is 0 in step S2001, the phase sequence generation unit 1002 executes step S2004.
  • step S2002 determines whether the difference between the update time 704 related to the event occurrence date and PC112 is above T 1.
  • the difference between the date and time when the above T 1 is the phase sequence generating unit 1002, in step S2003, and initializes a record of PC112 on attack phase table 301.
  • the phase sequence generation unit 1002 updates the phase sequence 702 to 0, the maximum phase 703 to 0, and the update date and time 704 to no record (-).
  • step S2002 if the difference time is less than T 1, the phase sequence generating unit 1002 executes step S2004.
  • step S2004 the phase sequence generation unit 1002 determines from the event ID 402 whether there is an event ID in the attack event table 201 that matches the event ID of the occurrence event recorded in the extracted log.
  • step S2004 if there is no event ID that matches the event ID of the occurrence event recorded in the log in the attack event table 201, the phase sequence generation unit 1002 ends the process.
  • the phase sequence generation unit 1002 returns the phase value of the corresponding event in step S2005. Is added to the end of the phase column 702 of the record relating to the PC 112 on the attack phase table 301.
  • step S2006 the phase sequence generation unit 1002 compares the previous phase value obtained from the attack event table 201 with the maximum phase 703 of the record relating to the PC 112 on the attack phase table 301.
  • the phase sequence generation unit 1002 sets the update date and time 704 of the record relating to the PC 112 on the attack phase table 301 as the event occurrence date and time of the occurrence event in step S2008. Replace and update, and finish the process.
  • step S2006 if the phase value is larger than the maximum phase 703 in step S2006, the phase sequence generation unit 1002 replaces the maximum phase 703 of the record related to the PC 112 on the attack phase table 301 with this phase value in step S2007. After the update, step S2008 is executed.
  • FIG. 14 illustrates the processing in step S1002 in detail.
  • step S3001 the similarity calculation unit 1003 sets the variable A for storing the past case ID 501 in the past case table 202 as the first ID, 0001, and sets the variable B for storing the similarity as 0. Turn into.
  • the similarity calculation unit 1003 calculates the similarity S between the phase sequence 503 of the past case ID of the variable A and the phase sequence 702 of the PC 112 in step S3002. Specifically, the similarity S is calculated by using a Levenshtein edit distance calculation function for calculating an edit distance between two character strings using insertion, deletion, and replacement as one editing operation, and a past case ID of the variable A.
  • the phase sequence 503 of P1 is P1 and the phase sequence 702 of the PC 112 is P2, the following equation is used. In the following equation,
  • the similarity calculation unit 1003 determines whether the similarity S calculated in step S3002 is greater than the similarity of the variable B in step S3003. If the similarity S is greater than the similarity of the variable B in step S3003, the similarity calculation unit 1003 converts the case similarity 706 and the variable B related to the PC 112 in the attack phase table 301 to the similarity S in step S3004. And the past case ID 705 related to the PC 112 in the attack phase table 301 is updated with the variable A. Next, the similarity calculation unit 1003 checks in step S3005 whether the variable A is the last past case ID in the past case table 202. If the similarity A is not the last past case ID, the variable A is set in step S3006. The past case ID is updated to the next past case ID in the past case table 202, and the processes after step S3002 are repeated.
  • step S3007 the similarity calculation unit 1003 initializes the variable C for storing the scenario ID 601 in the attack scenario table 203 with the initial ID 0001 and the variable E for storing the similarity with 0. To do.
  • step S3008 the similarity calculation unit 1003 calculates the similarity S between the phase column 603 of the scenario ID of the variable C and the phase column 702 of the PC 112. The similarity S is calculated by the same formula as in step S3002.
  • the similarity calculation unit 1003 determines whether the similarity S calculated in step S3008 is greater than the similarity of the variable E in step S3009. If the similarity S is greater than the similarity of the variable E in step S3009, the similarity calculation unit 1003 converts the scenario similarity 708 and the variable E related to the PC 112 in the attack phase table 301 to the similarity S in step S3010. And the scenario ID 707 related to the PC 112 in the attack phase table 301 is updated with the value of the variable C.
  • the similarity calculation unit 1003 checks whether the variable A is the last past case ID in the attack scenario table 203 in step S3011, and if it is not the last scenario ID, attacks the variable C in step S3012. The scenario is updated to the next scenario ID in the scenario table 203, and the processes in and after step S3008 are repeated. On the other hand, if the variable C is the last scenario ID in the attack scenario table 203 in step S3011, the process ends.
  • FIG. 15 to FIG. 17 describe the processing in step S1003 in detail.
  • step S4001 the attack status visualization unit 1004 sets 0001 to the device ID variable F and initializes the four counters N1 to N4 to 0 (FIG. 15).
  • the attack situation visualization unit 1004 checks whether the device ID of the variable F is larger than the last device ID in step S4002 (FIG. 15). If the device ID of the variable F is larger than the last device ID in step S4002, the attack status visualization unit 1004 displays the values of the counters N1 to N4 on the total display 803 of phases 1 to 4 in step S4025 ( FIG. 15). If the device ID of the variable F is not larger than the last device ID in step S4002, the next process is changed according to the value of the maximum phase 703 in step S4003.
  • the attack status visualization unit 1004 confirms whether the past case display selection box 804 of phase 1 is checked in step S4004 (FIG. 16). If the past case display selection box 804 is checked in step S4004, the attack situation visualization unit 1004 moves to a position corresponding to the value of the case similarity 706 in the similarity display area 806 of phase 1 in step S4005. “ ⁇ ” is drawn (FIG. 16). Next, the attack status visualization unit 1004 confirms whether or not the attack scenario display selection box 805 of phase 1 is checked in step S4006 (FIG. 16).
  • step S4006 If the attack scenario display selection box 805 is checked in step S4006, the attack status visualization unit 1004 moves to a position corresponding to the value of the scenario similarity 708 in the phase 1 similarity display area 806 in step S4007. “ ⁇ ” is drawn (FIG. 16). Next, the attack situation visualization unit 1004 increments the counter N1 by 1 in step S4008 (FIG. 16). Thereafter, in step S4024, the attack status visualization unit 1004 increments the variable F storing the device ID by 1, and repeats the processing from step S4002 onward.
  • step S4003 When the maximum phase is 2, 3, 4 in step S4003, the same processing is performed as shown in FIGS. Since the operation of the attack status visualization unit 1004 is the same when the maximum phase is 2, 3, or 4, the description thereof is omitted.
  • step S4003 the attack status visualization unit 1004 increments the variable F storing the device ID by 1 in step S4024, and repeats the processing from step S4002 onward.
  • FIG. 18 illustrates a process for displaying the security growth process display screen 901 displayed when the mouse 107 is used to select ⁇ or ⁇ displayed in the security threat distribution display of FIG.
  • step S5001 the attack status visualization unit 1004 acquires a phase column 702 related to the selected device ID from the attack phase table 301.
  • the attack status visualization unit 1004 displays a graph in the growth process display area 902 in accordance with the phase sequence 702 acquired in step S5002.
  • the attack situation visualization unit 1004 checks in step S5003 whether the selected case is a past case. If the item selected in the check in step S5003 is a past case, the attack status visualization unit 1004 acquires a past case ID 705 related to the device ID selected from the attack phase table 301 in step S5004.
  • step S5005 the attack situation visualization unit 1004 acquires a phase column 503 corresponding to the past case ID 705 from the past case table 202.
  • the attack status visualization unit 1004 displays a graph in the growth process display area 902 in accordance with the phase column 503 in step S5006.
  • the attack situation visualization unit 1004 displays the case similarity 706 on the similarity display 903 in step S5007, and ends the process.
  • step S5003 If it is determined in step S5003 that the selected case is not a past case, the attack status visualization unit 1004 executes the processing from step S5008 to step S5011, displays the graph in the growth process display area 902 according to the phase column 603, and the scenario The similarity 708 is displayed on the similarity display 903 (the processing is the same as that in steps S5004 to S5007, and is omitted).
  • the threat visualization system divides the threat growth process into attack phases and visualizes and displays them based on similarities to past cases and attack scenarios. The severity of the threat can be judged based on the similarity. In addition, since the threat visualization system according to the present embodiment visualizes and displays the growth process of the threat, the user can grasp how much the threat is growing.
  • each phase is ongoing based on the similarity to past cases
  • the threat visualization method to display threats As described above, in the present embodiment, Using an attack event table that divides threats into attack phases and a past case table that records events that occurred in past cases divided into attack phases, each phase is ongoing based on the similarity to past cases Explained the threat visualization method to display threats.
  • an attack event table that divides threats into attack phases
  • an attack scenario table that records events that occur based on attack scenarios by dividing them into attack phases. Each phase is ongoing based on the similarity to the attack scenario.
  • 100 threat visualization system 1001 table storage unit, 1002 phase sequence generation unit, 1003 similarity calculation unit, 1004 attack status visualization unit, 1005 input unit, 1006 output unit, 1007 communication unit.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Computer And Data Communications (AREA)

Abstract

　相関ルールを用いることなく、情報システムに対する攻撃が行われている可能性がある場合は、攻撃の進行状況を可視化して、利用者に警告を表示する。テーブル記憶部１００１は、過去事例における事象の発生パターンに従って攻撃の進行度であるフェーズ値を連結して得られたフェーズ列が示される過去事例テーブルを記憶する。フェーズ列生成部１００２は、情報システムにおいて発生した事象の発生パターンに従ってフェーズ値を連結してフェーズ列を得る。類似度算出部１００３は、フェーズ列生成部１００２により得られたフェーズ列と、過去事例テーブルに示されるフェーズ列との類似度を算出する。攻撃状況可視化部１００４は、フェーズ列生成部１００２により得られたフェーズ列と、類似度算出部１００３による類似度の算出結果とに基づき、情報システムに対する攻撃の進行状況を可視化する。

Description

情報処理装置及び情報処理方法及びプログラム
　情報システムに対する脅威を可視化する技術に関する。
　従来の脅威可視化方式は、脅威と考えられる事象の発生順序を規定する相関ルールによって、脅威の発生を判断し、この相関ルールに合致する事象群を画面に表示して利用者に警告を行っている（例えば、特許文献１）。
特表２００４－５３７０７５号公報
　従来の脅威可視化方式は、相関ルールに規定されている事象が揃わないと、利用者に対して警告画面が表示されないという課題がある。
　相関ルールに規定されている事象は、ネットワーク機器や、サーバ及びＰＣ（Ｐｅｒｓｏｎａｌ　Ｃｏｍｐｕｔｅｒ）などの計算機で発生する、悪意のある振舞いと考えられる異常な事象である。
　このような事象を例えばセンサが検知し、利用者が画面を監視する装置に、検知した事象を通知するが、センサでのこれら異常な事象の検知には、検知漏れが発生することが考えられる。
　このため、従来の脅威可視化方式では、実際には情報システムに対して攻撃が行われているにもかかわらず、１つの事象の検知漏れにより、相関ルールが満足されずに、利用者に警告が表示されないという課題がある。
　この発明は上記のような課題を解決することを主な目的としており、相関ルールを用いることなく、情報システムに対する攻撃が行われている可能性がある場合は、攻撃の進行状況を可視化して、利用者に警告を表示することを主な目的とする。
　本発明に係る情報処理装置は、
　情報システムに対する攻撃によって発生する複数の事象の各々に対して、各事象が発生したときの攻撃の進行度が示される攻撃事象テーブルを記憶する攻撃事象テーブル記憶部と、
　攻撃シーケンスにおける事象の発生パターンに従って対応する事象の進行度を連結して得られた文字列が、攻撃事象進行度列として示される攻撃事象進行度列テーブルを記憶する攻撃事象進行度列テーブル記憶部と、
　前記情報システムにおいて発生した事象の発生パターンに従って対応する事象の進行度を連結し、文字列である発生事象進行度列を導出する発生事象進行度列導出部と、
　前記発生事象進行度列導出部により導出された発生事象進行度列と、前記攻撃事象進行度列テーブルに示される攻撃事象進行度列との類似度を算出する類似度算出部と、
　前記発生事象進行度列導出部により得られた発生事象進行度列と、前記類似度算出部による類似度の算出結果とに基づき、前記情報システムに対する攻撃の進行状況を可視化する攻撃状況可視化部とを有することを特徴とする。
　本発明では、情報システムにおいて発生した事象の発生パターンに従って発生事象進行度列を導出し、また、発生事象進行度列と攻撃事象進行度列との類似度を算出する。
　更に、本発明では、発生事象進行度列と類似度の算出結果とに基づき、情報システムに対する攻撃の進行状況を可視化する。
　このため、本発明によれば、相関ルールを用いる必要がなく、１つの事象の検知漏れにより相関ルールが満足されずに、利用者に警告が表示されないという事態を回避することができ、攻撃が行われている可能性がある場合は、利用者に警告を表示することができる。
実施の形態１に係る情報システムの構成例を示す図。 実施の形態１に係る脅威可視化システムのハードウェア構成例を示す図。 実施の形態１に係る脅威可視化システムのハードディスク内のデータ例を示す図。 実施の形態１に係る脅威可視化システムのＲＡＭ内のデータ例を示す図。 実施の形態１に係る脅威可視化システムの機能構成例を示す図。 実施の形態１に係る攻撃事象テーブルの例を示す図。 実施の形態１に係る過去事例テーブルの例を示す図。 実施の形態１に係る攻撃シナリオテーブルの例を示す図。 実施の形態１に係る攻撃フェーズテーブルの例を示す図。 実施の形態１に係るセキュリティ脅威分布画面の例を示す図。 実施の形態１に係るセキュリティ成長過程表示画面の例を示す図。 実施の形態１に係る脅威可視化システムの動作の概要を示すフローチャート図。 実施の形態１に係る脅威可視化システムの動作の詳細を示すフローチャート図。 実施の形態１に係る脅威可視化システムの動作の詳細を示すフローチャート図。 実施の形態１に係る脅威可視化システムの動作の詳細を示すフローチャート図。 実施の形態１に係る脅威可視化システムの動作の詳細を示すフローチャート図。 実施の形態１に係る脅威可視化システムの動作の詳細を示すフローチャート図。 実施の形態１に係る脅威可視化システムの動作の詳細を示すフローチャート図。
　実施の形態１．
　本実施の形態では、個々の異常な事象の検知漏れが発生した場合でも、攻撃が行われている可能性がある場合は、利用者に警告を表示する構成を説明する。
　図１は、本実施の形態に係る情報システムの構成例を示す。
　本実施の形態に係る情報システムは、例えば、脅威可視化システム１００、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）１１０、ログサーバ１１１、ＰＣ１１２、認証サーバ１１３、ファイルサーバ１１４、メールサーバ１１５、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）／ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ　Ｐｒｅｖｅｎｔｉｏｎ　Ｓｙｓｔｅｍ）１１６、ネットワークプロキシ１１７、ファイアウォール１１８で構成される。
　脅威可視化システム１００は、情報システムに対する脅威を可視化するコンピュータであり、情報処理装置の例に相当する。
　脅威可視化システム１００は、ＬＡＮ１１０に接続されている。
　ＬＡＮ１１０には、ログサーバ１１１、ＰＣ１１２、認証サーバ１１３、ファイルサーバ１１４、メールサーバ１１５、ＩＤＳ／ＩＰＳ１１６、ネットワークプロキシ１１７、ファイアウォール１１８が接続されている。
　ファイアウォール１１８は、インターネット１１９に接続されている。
　ＰＣ１１２は、通常複数台存在する。
　ＰＣ１１２は、端末装置の例に相当する。
　脅威可視化システム１００は、図２に示すように、ＣＰＵ１０１、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）１０２、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）１０３、ハードディスク１０４、表示ディスプレイ１０５、キーボード１０６、マウス１０７、通信ボード１０８を備え、これらはバス１０９に接続されている。
　また、脅威可視化システム１００は、図５に示す機能構成を有する。
　図５において、テーブル記憶部１００１は、情報システムに対する脅威を可視化するために用いられる各種のテーブルを記憶する。
　各種テーブルの詳細は後述する。
　テーブル記憶部１００１は、攻撃事象テーブル記憶部及び攻撃事象進行度列テーブル記憶部の例に相当する。
　なお、テーブル記憶部１００１は、図２のＲＡＭ１０２及びハードディスク１０４により実現される。
　フェーズ列生成部１００２は、情報システムにおいて発生した事象の発生パターンに従って、事象の進行度であるフェーズ値を連結して、フェーズ列（発生事象進行度列）を生成する。
　フェーズ列生成部１００２は、発生事象進行度列導出部の例に相当する。
　なお、フェーズ列生成部１００２は、例えばプログラムとして構成され、図２のＣＰＵ１０１によりフェーズ列生成部１００２を実現するプログラムが実行される。
　類似度算出部１００３は、フェーズ列生成部１００２により得られたフェーズ列（発生事象進行度列）と、後述する過去事例テーブル又は攻撃シナリオテーブルに示されるフェーズ列（攻撃事象進行度列）との類似度を算出する。
　類似度算出部１００３も、例えばプログラムとして構成され、図２のＣＰＵ１０１により類似度算出部１００３を実現するプログラムが実行される。
　攻撃状況可視化部１００４は、フェーズ列生成部１００２により得られたフェーズ列と、類似度算出部１００３よる類似度の算出結果とに基づき、情報システムに対する攻撃の進行状況を可視化する。
　攻撃状況可視化部１００４も、例えばプログラムとして構成され、図２のＣＰＵ１０１により攻撃状況可視化部１００４を実現するプログラムが実行される。
　入力部１００５は、脅威可視化システム１００のユーザから各種データを入力する。
　入力部１００５は、図２のキーボード１０６及びマウス１０７により実現される。
　出力部１００６は、脅威可視化システム１００のユーザに対して各種データを表示する。
　例えば、出力部１００６は、攻撃状況可視化部１００４により可視化された攻撃の進行状況をユーザに対して表示する。
　出力部１００６は、図２の表示ディスプレイ１０５により実現される。
　通信部１００７は、ＬＡＮ１１０を通じて他の装置と通信を行う。
　例えば、通信部１００７は、ログサーバ１１１からログデータを受信する。
　通信部１００７は、図２の通信ボード１０８により実現される。
　図３に、図２のハードディスク１０４に格納するテーブルを示す。
　ハードディスク１０４には、攻撃事象テーブル２０１、過去事例テーブル２０２、攻撃シナリオテーブル２０３、脅威可視化プログラム２０４が格納されている。
　脅威可視化プログラム２０４は、図５のフェーズ列生成部１００２、類似度算出部１００３及び攻撃状況可視化部１００４を実現するプログラムである。
　脅威可視化プログラム２０４はＲＡＭ１０２にロードされ、ＣＰＵ１０１が、ＲＡＭ１０２から脅威可視化プログラム２０４を読み出し、脅威可視化プログラム２０４を実行して、図５のフェーズ列生成部１００２、類似度算出部１００３及び攻撃状況可視化部１００４の機能を実現する。
　また、図３では図示を省略しているが、ハードディスク１０４はＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）を格納しており、ＣＰＵ１０１はＯＳを利用して脅威可視化プログラム２０４を実行する。
　図４に、ＲＡＭ１０２上に生成されるテーブルを示す。
　ＲＡＭ１０２上には、脅威可視化プログラム２０４により、攻撃フェーズテーブル３０１が生成される。
　図６に、攻撃事象テーブル２０１の構成を示す。
　攻撃事象テーブル２０１は、情報システムに対する攻撃によって発生する複数の事象の各々に対して、各事象が発生したときの攻撃の進行度が示されるテーブルである。
　図６に示すように、攻撃事象テーブル２０１は、攻撃で発生する各事象について、機器種別４０１、事象ＩＤ４０２、事象説明４０３、フェーズ４０４を有する。
　機器種別４０１には、事象の発生元の機器（ＰＣ１１２、認証サーバ１１３等）が示される。
　事象ＩＤ４０２の欄には、各事象の識別子が示される。
　事象説明４０３の欄には、各事象の概要が示される。
　フェーズ４０４の欄には、攻撃の進行度、段階を表すフェーズの値が示される。
　例えば、攻撃が「侵入」段階にあるときに観測される事象をフェーズ「１」とし、攻撃が「探索」段階にあるときに観測される事象をフェーズ「２」とし、攻撃が「権限昇格」段階にあるときに観測される事象をフェーズ「３」とし、攻撃が「情報窃取」段階にあるときに観測される事象をフェーズ「４」とすることが考えられる。
　図７に、過去事例テーブル２０２の構成を示す。
　過去事例テーブル２０２は、過去の攻撃事例（攻撃シーケンス）で発生した事象が発生順に示されるテーブルである。
　過去事例テーブル２０２は、過去事例ＩＤ５０１、事象ＩＤ列５０２、フェーズ列５０３を有する。
　過去事例ＩＤ５０１の欄には、過去事例の識別子が示される。
　事象ＩＤ列５０２の欄には、過去の攻撃事例で発生した事象の事象ＩＤが発生順に示される。
　フェーズ列５０３の欄には、事象ＩＤ列５０２の欄に示される各事象ＩＤに対応するフェーズ４０４の値を発生順に連結した文字列（フェーズ列）が示される。
　フェーズ列５０３の欄に示される文字列は、攻撃事象進行度列の例に相当する。
　過去事例テーブル２０２は、攻撃事象進行度列テーブルの例に相当する。
　図８に、攻撃シナリオテーブル２０３の構成を示す。
　攻撃シナリオテーブル２０３は、想定される攻撃（攻撃シーケンス）で発生すると想定される事象が発生順に示されるテーブルである。
　実際には発生していないが、発生が想定される攻撃を攻撃シナリオという。
　例えば、過去に実際に発生した攻撃の一部を変形させた攻撃を攻撃シナリオとして用いることが考えられる。
　攻撃シナリオテーブル２０３は、シナリオＩＤ６０１、事象ＩＤ列６０２、フェーズ列６０３を有する。
　シナリオＩＤ６０１の欄には、攻撃シナリオの識別子が示される。
　事象ＩＤ列６０２の欄には、攻撃が行われた場合に発生が想定される事象の事象ＩＤが発生順に示される。
　フェーズ列６０３の欄には、事象ＩＤ列６０２の欄に示される各事象ＩＤに対応するフェーズ４０４の値を発生順に連結した文字列（フェーズ列）が示される。
　フェーズ列６０３の欄に示される文字列は、攻撃事象進行度列の例に相当する。
　攻撃シナリオテーブル２０３も、攻撃事象進行度列テーブルの例に相当する。
　図９に、攻撃フェーズテーブル３０１の構成を示す。
　攻撃フェーズテーブル３０１は、フェーズ列生成部１００２がログサーバ１１１からのログデータを解析し、情報システムにおいて発生した事象の発生パターンに従って生成するテーブルである。
　攻撃フェーズテーブル３０１は、デバイスＩＤ７０１、フェーズ列７０２、最大フェーズ７０３、更新日時７０４、過去事例ＩＤ７０５、事例類似度７０６、シナリオＩＤ７０７、シナリオ類似度７０８を有する。
　デバイスＩＤ７０１の欄には、ＰＣ１１２のＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレスが通常示される（デバイスＩＤ７０１は、ＩＰアドレスに限らず、ＰＣを一意に識別できるものであれば、ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスなどであってもよい）。
　フェーズ列７０２の欄には、ログデータの解析によって抽出された各事象に対応するフェーズ４０４の値を発生順に連結した文字列が示される。
　最大フェーズ７０３の欄には、フェーズ列７０２の中の最も大きな値が示される。
　更新日時７０４の欄には、フェーズ列生成部１００２が最後に参照したログデータに記述されている日時が示される。
　過去事例ＩＤ７０５の欄には、事例類似度７０６の欄に示される類似度の算出元となった過去事例の過去事例ＩＤ５０１が示される。
　事例類似度７０６の欄には、フェーズ列７０２に対して類似度算出部１００３が算出した過去事例の類似度のうち最大の類似度が示される。
　シナリオＩＤ７０７の欄には、シナリオ類似度７０８の欄に示される類似度の算出元となった攻撃シナリオのシナリオＩＤ６０１が示される。
　シナリオ類似度７０８の欄には、フェーズ列７０２に対して類似度算出部１００３が算出した攻撃シナリオの類似度のうち最大の類似度が示される。
　図１０に、セキュリティ脅威分布画面の画面例を示す。
　セキュリティ脅威分布画面８０１は、フェーズ表示８０２、合計数表示８０３、過去事例表示選択ボックス８０４、攻撃シナリオ表示選択ボックス８０５、類似度表示領域８０６を有する。
　フェーズ表示８０２は、フェーズ名を表示する。
　合計数表示８０３は、フェーズに属するデバイスの合計数を表示する。
　過去事例表示選択ボックス８０４は、過去事例との類似性を表示することを選択するためのチェックボックスである。
　攻撃シナリオ表示選択ボックス８０５は、攻撃シナリオとの類似性を表示することを選択するためのチェックボックスである。
　類似度表示領域８０６は、フェーズに属するデバイスを類似度に従って表示する。
　セキュリティ脅威分布画面８０１は、攻撃状況可視化部１００４により生成され、出力部１００６により表示される。
　類似度表示領域８０６において、△は過去事例との類似度を示し、□は攻撃シナリオとの類似度を示す。
　△及び□のそれぞれは、ＰＣ１１２を表している。
　類似度表示領域８０６の横軸は、類似度の値（０．０～１．０）を示し、縦軸は、ＰＣ１１２の個数を示す。
　セキュリティ脅威分布画面８０１では、攻撃フェーズテーブル（図９）のデバイスＩＤごとに、最大フェーズ７０３の値に対応するフェーズの類似度表示領域８０６内に、事例類似度７０６の値に対応する位置に△がプロットされ、シナリオ類似度７０８の値に対応する位置に□がプロットされている。
　例えば、図９の一行目のレコード（デバイスＩＤ：ＩＤ１）では、最大フェーズ７０３が「３」であり、事例類似度７０６が「０．５７」なので、例えば、図１０の符号８０７の位置に△がプロットされる（図１０では、フェーズ３の攻撃シナリオ表示選択ボックス８０５はチェックされていないので、シナリオ類似度７０８の「０．６６」に対する□は表示されない）。
　同様に、図９の二行目のレコード（デバイスＩＤ：ＩＤ２）では、最大フェーズ７０３が「２」であり、事例類似度７０６が「０．５７」なので、例えば、図１０の符号８０８の位置に△がプロットされる（図１０では、フェーズ２の攻撃シナリオ表示選択ボックス８０５はチェックされていないので、シナリオ類似度７０８の「０．５」に対する□は表示されない）。
　このように、セキュリティ脅威分布画面８０１において、ＰＣ１１２ごとに抽出した最大フェーズ７０３と最大の類似度（事例類似度７０６、シナリオ類似度７０８）との関係をプロットし、複数のＰＣ１１２における最大フェーズ７０３と最大の類似度の分布が示されるグラフを表示することで、情報システムに対する攻撃の進行状況を可視化することができる。
　図１１に、セキュリティ成長過程表示画面の画面例を示す。
　セキュリティ成長過程表示画面９０１は、特定のデバイスについての事象の発生過程を、類似する過去事例の発生過程とあわせて表示する成長過程表示領域９０２、これらの発生過程の類似度を表示する類似度表示９０３を有する。
　つまり、セキュリティ成長過程表示画面９０１では、成長過程表示領域９０２において、特定のＰＣ１１２のフェーズ列７０２におけるフェーズ値の遷移と、過去事例ＩＤ７０５に示される過去事例のフェーズ列６０３におけるフェーズ値の遷移とがグラフ表示される。
　また、類似度表示９０３において、当該ＰＣ１１２の事例類似度７０６の値が示される。
　図９では、特定のデバイスについての事象の発生過程を、類似する過去事例の発生過程とあわせて表示する例を示しているが、特定のデバイスについての事象の発生過程を、類似する攻撃シナリオの発生過程とあわせて表示するようにしてもよい。
　セキュリティ成長過程表示画面９０１では、このような形式により、情報システムに対する攻撃の進行状況が可視化される。
　次に動作について説明する。
　一般の利用者は、ＰＣ１１２を使用して、認証サーバ１１３にアクセスし、ユーザＩＤとパスワードによる認証を行ったあと、ファイルサーバ１１４にアクセスする。
　また、当該利用者は、ＰＣ１１２を使用して、メールサーバ１１５にアクセスし、メールの読み書きを行う。
　また、当該利用者は、ＰＣ１１２を使用して、ネットワークプロキシ１１７を介して、さらに、ファイアウォール１１８を介して、インターネット１１９にアクセスする。
　ＰＣ１１２、認証サーバ１１３、ファイルサーバ１１４、メールサーバ１１５、ネットワークプロキシ１１７、ファイアウォール１１８は、一般の利用者のこれら操作において、所定のログデータ（以下、単にログともいう）を出力する。
　また、ＩＤＳ／ＩＰＳ１１６は、ＬＡＮ１１０上に所定の条件に合致するパケットの通信が観測された場合に所定のログデータを出力する。
　これら機器のログデータは、ログサーバ１１１に送られ、ログサーバ１１１において、ログデータに記述されている時刻の時系列に従って記録される。
　脅威可視化システム１００では、ハードディスク１０４上に格納されている脅威可視化プログラム２０４が、ハードディスク１０４からバス１０９を経由してＲＡＭ１０２上にロードされ、ＣＰＵ１０１で実行される。
　脅威可視化プログラム２０４は、ＬＡＮ１１０を経由してログサーバ１１１に時系列で記録されているログを順次取り出す。
　ログサーバ１１１からのログは、記録する個々の発生事象についての、事象発生日時、ログ種別、事象ＩＤ、装置ＩＤ、事象説明が含まれている。
　事象発生日時は、ログに記録されている事象が発生した日時を示す。
　ログ種別は、ログに記録されている事象が発生した機器の種別を示す。
　事象ＩＤは、個々の発生事象の種別を一意に識別できるＩＤを示す。
　装置ＩＤは、事象の発生した装置を一意に識別するＩＤを示す。
　また、パケットなどの通過を記録したログの場合には、送信元の装置ＩＤと送信先の装置ＩＤの２つの装置ＩＤを含む。
　事象説明は、発生した個々の事象の詳細についての説明を示す。
　図１２は、取り出したログに記録されている発生事象の一つ一つについて、脅威可視化システム１００が実行する処理の大まかな流れを示したものである。
　図１２に示すステップＳ１００１～Ｓ１００３の処理は、例えば、５分周期で繰り返し実行される。
　なお、５分周期は単なる例示であり、情報システムの規模やセキュリティポリシーに応じて任意の周期とすることが可能である。
　なお、図１２～図１８のフローチャートでは、フェーズ列生成部１００２、類似度算出部１００３及び攻撃状況可視化部１００４の動作として処理手順を説明する。
　また、図１３～図１８で説明する変数値やカウンタ値は、例えば、ＣＰＵ１０１のレジスタやＲＡＭ１０２で管理される。
　ステップＳ１００１では、フェーズ列生成部１００２が、取り出したログに記録されている発生事象を元にＰＣ１１２についての攻撃フェーズ列（詳細は後述）を作成する。
　次に、ステップＳ１００２において、類似度算出部１００３が、ステップＳ１００１で作成した攻撃フェーズ列と過去事例との類似度、ステップＳ１００１で作成した攻撃フェーズ列と攻撃シナリオとの類似度を算出する。
　さらに、ステップＳ１００３で、攻撃状況可視化部１００４が、ステップＳ１００１で作成した攻撃フェーズ列とステップＳ１００２で算出した類似度を表示ディスプレイ１０５上に表示する。
　図１３は、ステップＳ１００１の処理を詳しく説明したものである。
　ステップＳ２００１では、フェーズ列生成部１００２は、取り出したログに記録されている発生事象の装置ＩＤに該当するＰＣ１１２に関する最大フェーズ７０３が０かを判定する。
　ステップＳ２００１で最大フェーズ７０３が０の場合には、フェーズ列生成部１００２は、ステップＳ２００４を実行する。
　ステップＳ２００１で最大フェーズ７０３が０でない場合には、フェーズ列生成部１００２は、ステップＳ２００２で、事象発生日時とＰＣ１１２に関する更新日時７０４との差がＴ１以上かを判定する。
　ステップＳ２００２で、日時の差がＴ１以上の場合には、フェーズ列生成部１００２は、ステップＳ２００３で、攻撃フェーズテーブル３０１上のＰＣ１１２に関する記録を初期化する。
　具体的には、フェーズ列生成部１００２は、フェーズ列７０２を０に、最大フェーズ７０３を０に、更新日時７０４を記録なし（―）に更新する。
　ステップＳ２００２で、日時の差がＴ１に満たない場合には、フェーズ列生成部１００２は、ステップＳ２００４を実行する。
　ステップＳ２００４では、フェーズ列生成部１００２は、取り出したログに記録されている発生事象の事象ＩＤと一致する事象ＩＤが攻撃事象テーブル２０１にあるかを事象ＩＤ４０２により判定する。
　ステップＳ２００４で、ログに記録されている発生事象の事象ＩＤに一致する事象ＩＤが攻撃事象テーブル２０１にない場合には、フェーズ列生成部１００２は処理を終了する。
　一方、ステップＳ２００４で、ログに記録されている発生事象の事象ＩＤと一致する事象ＩＤが攻撃事象テーブル２０１にある場合には、フェーズ列生成部１００２は、ステップＳ２００５で、該当する事象のフェーズ値を、攻撃フェーズテーブル３０１上のＰＣ１１２に関する記録のフェーズ列７０２の最後に追加する。
　次に、フェーズ列生成部１００２は、ステップＳ２００６で、攻撃事象テーブル２０１から得られた先のフェーズ値と、攻撃フェーズテーブル３０１上のＰＣ１１２に関する記録の最大フェーズ７０３と比較する。
　ステップＳ２００６で、フェーズ値が最大フェーズ７０３より大きくない場合には、フェーズ列生成部１００２は、ステップＳ２００８で、攻撃フェーズテーブル３０１上のＰＣ１１２に関する記録の、更新日時７０４を発生事象の事象発生日時で置き換えて更新し、処理を終了する。
　一方、ステップＳ２００６で、フェーズ値が最大フェーズ７０３より大きい場合には、フェーズ列生成部１００２は、ステップＳ２００７で、攻撃フェーズテーブル３０１上のＰＣ１１２に関する記録の最大フェーズ７０３を、このフェーズ値で置き換えて更新したあと、ステップＳ２００８を実行する。
　図１４は、ステップＳ１００２の処理を詳しく説明したものである。
　ステップＳ３００１では、類似度算出部１００３は、過去事例テーブル２０２の過去事例ＩＤ５０１を記憶するための変数Ａを最初のＩＤである０００１で、類似度を記憶するための変数Ｂを０で、それぞれ初期化する。
　次に、類似度算出部１００３は、ステップＳ３００２で、変数Ａの過去事例ＩＤのフェーズ列５０３とＰＣ１１２のフェーズ列７０２との類似度Ｓを算出する。
　類似度Ｓの算出は、具体的には、挿入、削除、置換を１つの編集操作として２つの文字列間の編集距離を算出するレーベンシュタイン編集距離算出関数をＤとし、変数Ａの過去事例ＩＤのフェーズ列５０３をＰ１、ＰＣ１１２のフェーズ列７０２をＰ２とした場合に、次の式により行う。
　なお次式において、｜ｘ｜は、文字列ｘの長さ、Ｍａｘ（）は、複数の引数のうち、引数の値が大きい方を返す関数である。
Figure JPOXMLDOC01-appb-M000001
　次に、類似度算出部１００３は、ステップＳ３００３で、ステップＳ３００２で算出した類似度Ｓが、変数Ｂの類似度より大きいかを判定する。
　ステップＳ３００３で、類似度Ｓの方が変数Ｂの類似度より大きい場合には、類似度算出部１００３は、ステップＳ３００４で、攻撃フェーズテーブル３０１のＰＣ１１２に関する事例類似度７０６と変数Ｂを類似度Ｓで更新し、攻撃フェーズテーブル３０１のＰＣ１１２に関する過去事例ＩＤ７０５を変数Ａで更新する。
　次に、類似度算出部１００３は、ステップＳ３００５で、変数Ａが過去事例テーブル２０２の最後の過去事例ＩＤであるかをチェックし、最後の過去事例ＩＤでない場合には、ステップＳ３００６で変数Ａを過去事例テーブル２０２の次の過去事例ＩＤに更新し、ステップＳ３００２以降の処理を繰り返す。
　一方、ステップＳ３００５で、変数Ａが過去事例テーブル２０２の最後の過去事例ＩＤの場合には、次にステップＳ３００７を実行する。
　類似度算出部１００３は、ステップＳ３００７では、攻撃シナリオテーブル２０３のシナリオＩＤ６０１を記憶するための変数Ｃを最初のＩＤである０００１で、類似度を記憶するための変数Ｅを０で、それぞれ初期化する。
　次に、類似度算出部１００３は、ステップＳ３００８で、変数ＣのシナリオＩＤのフェーズ列６０３とＰＣ１１２のフェーズ列７０２との類似度Ｓを算出する。
　類似度Ｓの算出は、ステップＳ３００２と同じ式により算出する。
　次に、類似度算出部１００３は、ステップＳ３００９で、ステップＳ３００８で算出した類似度Ｓが、変数Ｅの類似度より大きいかを判定する。
　ステップＳ３００９で、類似度Ｓの方が変数Ｅの類似度より大きい場合には、類似度算出部１００３は、ステップＳ３０１０で、攻撃フェーズテーブル３０１のＰＣ１１２に関するシナリオ類似度７０８と変数Ｅを類似度Ｓで更新し、攻撃フェーズテーブル３０１のＰＣ１１２に関するシナリオＩＤ７０７を変数Ｃの値で更新する。
　次に、類似度算出部１００３は、ステップＳ３０１１で、変数Ａが攻撃シナリオテーブル２０３の最後の過去事例ＩＤであるかをチェックし、最後のシナリオＩＤでない場合には、ステップＳ３０１２で変数Ｃを攻撃シナリオテーブル２０３の次のシナリオＩＤに更新し、ステップＳ３００８以降の処理を繰り返す。
　一方、ステップＳ３０１１で、変数Ｃが攻撃シナリオテーブル２０３の最後のシナリオＩＤの場合には、処理を終了する。
　図１５～図１７は、ステップＳ１００３の処理を詳しく説明したものである。
　ステップＳ４００１では、攻撃状況可視化部１００４は、デバイスＩＤ用変数Ｆに０００１をセットし、４つのカウンタＮ１～Ｎ４を０に初期化する（図１５）。
　次に、攻撃状況可視化部１００４は、ステップＳ４００２で、変数ＦのデバイスＩＤが最後のデバイスＩＤより大きいかをチェックする（図１５）。
　ステップＳ４００２で、変数ＦのデバイスＩＤが最後のデバイスＩＤより大きい場合には、攻撃状況可視化部１００４は、ステップＳ４０２５で、カウンタＮ１からＮ４の値をフェーズ１から４の合計表示８０３に表示する（図１５）。
　ステップＳ４００２で変数ＦのデバイスＩＤが最後のデバイスＩＤより大きくない場合には、ステップＳ４００３で最大フェーズ７０３の値により、次の処理を変える。
　最大フェーズ７０３が１の場合には、攻撃状況可視化部１００４は、ステップＳ４００４で、フェーズ１の過去事例表示選択ボックス８０４がチェックされているか確認する（図１６）。
　ステップＳ４００４で過去事例表示選択ボックス８０４がチェックされている場合には、攻撃状況可視化部１００４は、ステップＳ４００５で、フェーズ１の類似度表示領域８０６内の事例類似度７０６の値に対応する位置に‘△’を描画する（図１６）。
　次に、攻撃状況可視化部１００４は、ステップＳ４００６で、フェーズ１の攻撃シナリオ表示選択ボックス８０５がチェックされているか確認する（図１６）。
　ステップＳ４００６で攻撃シナリオ表示選択ボックス８０５がチェックされている場合には、攻撃状況可視化部１００４は、ステップＳ４００７で、フェーズ１の類似度表示領域８０６内のシナリオ類似度７０８の値に対応する位置に‘□’を描画する（図１６）。
　次に、攻撃状況可視化部１００４は、ステップＳ４００８でカウンタＮ１を１増加する（図１６）。
　この後、攻撃状況可視化部１００４は、ステップＳ４０２４で、デバイスＩＤを記憶している変数Ｆを１増加し、ステップＳ４００２以降の処理を繰り返す。
　ステップＳ４００３で最大フェーズが、２、３、４の場合も、図１６及び図１７に示すように同様の処理を行う。
　最大フェーズが、２、３、４の場合も、攻撃状況可視化部１００４の動作は同じなので、説明は省略する。
　一方で、ステップＳ４００３で最大フェーズが０の場合には、攻撃状況可視化部１００４は、ステップＳ４０２４で、デバイスＩＤを記憶している変数Ｆを１増加し、ステップＳ４００２以降の処理を繰り返す。
　図１８は、図１０のセキュリティ脅威分布表示に表示されている△または□をマウス１０７で選択した際に表示されるセキュリティ成長過程表示画面９０１を表示する際の処理を説明したものである。
　攻撃状況可視化部１００４は、ステップＳ５００１で、攻撃フェーズテーブル３０１から、選択されたデバイスＩＤに関するフェーズ列７０２を取得する。
　次に、攻撃状況可視化部１００４は、ステップＳ５００２で、先に取得したフェーズ列７０２に従いグラフを成長過程表示領域９０２に表示する。
　次に、攻撃状況可視化部１００４は、ステップＳ５００３で、選択されたのが過去事例かをチェックする。
　ステップＳ５００３のチェックで選択されたものが過去事例の場合には、攻撃状況可視化部１００４は、ステップＳ５００４で、攻撃フェーズテーブル３０１から選択されたデバイスＩＤに関する過去事例ＩＤ７０５を取得する。
　次に、ステップＳ５００５で、攻撃状況可視化部１００４は、過去事例テーブル２０２から過去事例ＩＤ７０５に対応するフェーズ列５０３を取得する。
　次に、攻撃状況可視化部１００４は、ステップＳ５００６で、フェーズ列５０３に従いグラフを成長過程表示領域９０２に表示する。
　次に、攻撃状況可視化部１００４は、ステップＳ５００７で、事例類似度７０６を類似度表示９０３に表示し、処理を終了する。
　ステップＳ５００３で、選択されたのが過去事例でない場合には、攻撃状況可視化部１００４は、ステップＳ５００８からステップＳ５０１１の処理を実行し、フェーズ列６０３に従いグラフを成長過程表示領域９０２に表示し、シナリオ類似度７０８を類似度表示９０３に表示する（処理はステップＳ５００４からＳ５００７と同様のため、省略する。）。
　以上のように、本実施の形態に係る脅威可視化システムは、脅威の成長過程を攻撃のフェーズに分けて、過去の事例や攻撃シナリオとの類似性に基づいて可視化して表示するので、ユーザは、脅威の重大さを類似性を元に判断することができる。
　また、本実施の形態に係る脅威可視化システムは、脅威の成長過程を可視化して表示するので、ユーザは、脅威がどの程度成長しているのかを把握することが可能である。
　以上、本実施の形態では、
　脅威を攻撃のフェーズに分けた攻撃事象テーブルと、過去事例で発生した事象を攻撃のフェーズに分けて記録した過去事例テーブルとを用い、フェーズ毎に過去事例との類似度に基づいて進行中の脅威を表示する脅威可視化方式を説明した。
　また、本実施の形態では、
　脅威を攻撃のフェーズに分けた攻撃事象テーブルと、攻撃シナリオに基づき発生する事象を攻撃のフェーズに分けて記録する攻撃シナリオテーブルとを用い、フェーズ毎に攻撃シナリオとの類似度に基づいて進行中の脅威を表示する脅威可視化方法を説明した。
　また、本実施の形態では、
　進行中の脅威の発生しているデバイスを、侵攻した攻撃のフェーズ毎に合計して表示する、脅威可視化方法を説明した。
　また、本実施の形態では、
　脅威の成長過程を、類似する過去事例の成長過程とあわせてグラフで表示する、脅威可視化方法を説明した。
　また、本実施の形態では、
　脅威の成長過程を、類似する攻撃シナリオの成長過程とあわせてグラフで表示する、脅威可視化方法を説明した。
　１００　脅威可視化システム、１００１　テーブル記憶部、１００２　フェーズ列生成部、１００３　類似度算出部、１００４　攻撃状況可視化部、１００５　入力部、１００６　出力部、１００７　通信部。

Claims (10)

  1. 　情報システムに対する攻撃によって発生する複数の事象の各々に対して、各事象が発生したときの攻撃の進行度が示される攻撃事象テーブルを記憶する攻撃事象テーブル記憶部と、
    　攻撃シーケンスにおける事象の発生パターンに従って対応する事象の進行度を連結して得られた文字列が、攻撃事象進行度列として示される攻撃事象進行度列テーブルを記憶する攻撃事象進行度列テーブル記憶部と、
    　前記情報システムにおいて発生した事象の発生パターンに従って対応する事象の進行度を連結し、文字列である発生事象進行度列を導出する発生事象進行度列導出部と、
    　前記発生事象進行度列導出部により導出された発生事象進行度列と、前記攻撃事象進行度列テーブルに示される攻撃事象進行度列との類似度を算出する類似度算出部と、
    　前記発生事象進行度列導出部により得られた発生事象進行度列と、前記類似度算出部による類似度の算出結果とに基づき、前記情報システムに対する攻撃の進行状況を可視化する攻撃状況可視化部とを有することを特徴とする情報処理装置。
  2. 　前記攻撃事象進行度列テーブル記憶部は、
    　複数の攻撃シーケンスの各々に対して、各攻撃シーケンスにおける事象の発生パターンに従って対応する事象の進行度を連結して得られた文字列が、攻撃事象進行度列として示される攻撃事象進行度列テーブルを記憶し、
    　前記類似度算出部は、
    　前記発生事象進行度列導出部により導出された発生事象進行度列と、前記攻撃事象進行度列テーブルに示される複数の攻撃事象進行度列の各々との類似度を算出し、
    　前記攻撃状況可視化部は、
    　前記発生事象進行度列導出部により導出された発生事象進行度列に含まれる進行度の中から最大の進行度を抽出し、
    　前記類似度算出部により算出された複数の類似度の中から最大の類似度を抽出し、
    　抽出した最大進行度と最大類似度とを用いて、前記情報システムに対する攻撃の進行状況を可視化することを特徴とする請求項１に記載の情報処理装置。
  3. 　前記情報処理装置は、
    　複数の端末装置が含まれる情報システムを対象とし、
    　前記発生事象進行度列導出部は、
    　前記情報システムに含まれる端末装置ごとに、各端末装置において発生した事象の発生パターンに従って対応する事象の進行度を連結し、文字列である発生事象進行度列を導出し、
    　前記類似度算出部は、
    　端末装置ごとに、前記発生事象進行度列導出部により導出された発生事象進行度列と、前記攻撃事象進行度列テーブルに示される複数の攻撃事象進行度列の各々との類似度を算出し、
    　前記攻撃状況可視化部は、
    　端末装置ごとに、前記発生事象進行度列導出部により導出された発生事象進行度列に含まれる進行度の中から最大の進行度を抽出し、
    　端末装置ごとに、前記類似度算出部により算出された複数の類似度の中から最大の類似度を抽出し、
    　端末装置ごとに抽出した最大進行度と最大類似度とを用いて、前記情報システムに対する攻撃の進行状況を可視化することを特徴とする請求項２に記載の情報処理装置。
  4. 　前記攻撃状況可視化部は、
    　端末装置ごとに抽出した最大進行度と最大類似度との関係をプロットし、前記複数の端末装置における最大進行度と最大類似度の分布が示されるグラフを表示して、前記情報システムに対する攻撃の進行状況を可視化することを特徴とする請求項３に記載の情報処理装置。
  5. 　前記攻撃状況可視化部は、
    　進行度ごとに、その進行度が最大進行度となっている端末装置の数を表示して、前記情報システムに対する攻撃の進行状況を可視化することを特徴とする請求項４に記載の情報処理装置。
  6. 　前記情報処理装置は、
    　複数の端末装置が含まれる情報システムを対象とし、
    　前記攻撃事象進行度列テーブル記憶部は、
    　複数の攻撃シーケンスの各々に対して、各攻撃シーケンスにおける事象の発生パターンに従って対応する事象の進行度を連結して得られた文字列が、攻撃事象進行度列として示される攻撃事象進行度列テーブルを記憶し、
    　前記発生事象進行度列導出部は、
    　前記情報システムに含まれる端末装置ごとに、各端末装置において発生した事象の発生パターンに従って対応する事象の進行度を連結し、文字列である発生事象進行度列を導出し、
    　前記類似度算出部は、
    　端末装置ごとに、前記発生事象進行度列導出部により得られた発生事象進行度列と、前記攻撃事象進行度列テーブルに示される複数の攻撃事象進行度列の各々との類似度を算出し、
    　前記攻撃状況可視化部は、
    　特定の端末装置に対して算出された複数の類似度の中で最大の類似度の算出に用いられた攻撃事象進行度列を選択し、
    　前記特定の端末装置の発生事象進行度列における進行度の遷移と、選択した攻撃事象進行度列における進行度の遷移とを示すグラフを表示して、前記情報システムに対する攻撃の進行状況を可視化することを特徴とする請求項１～５のいずれかに記載の情報処理装置。
  7. 　前記攻撃事象進行度列テーブル記憶部は、
    　過去の攻撃の攻撃シーケンスに対して、攻撃事象進行度列が示される攻撃事象進行度列テーブルを記憶することを特徴とする請求項１～６のいずれかに記載の情報処理装置。
  8. 　前記攻撃事象進行度列テーブル記憶部は、
    　想定される攻撃の攻撃シーケンスに対して、攻撃事象進行度列が示される攻撃事象進行度列テーブルを記憶することを特徴とする請求項１～７のいずれかに記載の情報処理装置。
  9. 　情報システムに対する攻撃によって発生する複数の事象の各々に対して、各事象が発生したときの攻撃の進行度が示される攻撃事象テーブルを記憶する攻撃事象テーブル記憶部と、
    　攻撃シーケンスにおける事象の発生パターンに従って対応する事象の進行度を連結して得られた文字列が、攻撃事象進行度列として示される攻撃事象進行度列テーブルを記憶する攻撃事象進行度列テーブル記憶部とを有するコンピュータが行う情報処理方法であって、
    　前記コンピュータが、前記情報システムにおいて発生した事象の発生パターンに従って対応する事象の進行度を連結し、文字列である発生事象進行度列を導出し、
    　前記コンピュータが、導出された発生事象進行度列と、前記攻撃事象進行度列テーブルに示される攻撃事象進行度列との類似度を算出し、
    　前記コンピュータが、導出された発生事象進行度列と、類似度の算出結果とに基づき、前記情報システムに対する攻撃の進行状況を可視化する攻撃状況可視化ステップとを有することを特徴とする情報処理方法。
  10. 　コンピュータを、請求項１に記載された情報処理装置として機能させることを特徴とするプログラム。
PCT/JP2013/073197 2012-09-19 2013-08-29 情報処理装置及び情報処理方法及びプログラム WO2014045827A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201380046779.4A CN104620252B (zh) 2012-09-19 2013-08-29 信息处理装置及信息处理方法
US14/420,079 US20150205956A1 (en) 2012-09-19 2013-08-29 Information processing apparatus, information processing method, and program
JP2014536717A JP5868514B2 (ja) 2012-09-19 2013-08-29 情報処理装置及び情報処理方法及びプログラム
EP13839403.6A EP2899665B1 (en) 2012-09-19 2013-08-29 Information processing device, information processing method, and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2012205836 2012-09-19
JP2012-205836 2012-09-19

Publications (1)

Publication Number Publication Date
WO2014045827A1 true WO2014045827A1 (ja) 2014-03-27

Family

ID=50341149

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/073197 WO2014045827A1 (ja) 2012-09-19 2013-08-29 情報処理装置及び情報処理方法及びプログラム

Country Status (5)

Country Link
US (1) US20150205956A1 (ja)
EP (1) EP2899665B1 (ja)
JP (1) JP5868514B2 (ja)
CN (1) CN104620252B (ja)
WO (1) WO2014045827A1 (ja)

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016092834A1 (ja) * 2014-12-10 2016-06-16 日本電気株式会社 通信監視システム、重要度算出装置及びその算出方法、提示装置、並びにコンピュータ・プログラムが格納された記録媒体
JP2016119061A (ja) * 2014-12-19 2016-06-30 ザ・ボーイング・カンパニーＴｈｅ Ｂｏｅｉｎｇ Ｃｏｍｐａｎｙ ポリシベースのネットワーク・セキュリティ
WO2016171243A1 (ja) * 2015-04-22 2016-10-27 株式会社日立製作所 サイバー攻撃分析装置及びサイバー攻撃分析方法
WO2017099062A1 (ja) * 2015-12-09 2017-06-15 日本電気株式会社 診断装置、診断方法、及び、診断プログラムが記録された記録媒体
WO2017099066A1 (ja) * 2015-12-09 2017-06-15 日本電気株式会社 診断装置、診断方法、及び、診断プログラムが記録された記録媒体
JP2017129894A (ja) * 2016-01-18 2017-07-27 三菱電機株式会社 サイバー攻撃検知システム
WO2019058489A1 (ja) * 2017-09-21 2019-03-28 三菱電機株式会社 アラート頻度制御装置およびアラート頻度制御プログラム
WO2020075333A1 (ja) * 2018-10-10 2020-04-16 日本電信電話株式会社 情報処理装置及び情報処理プログラム
JPWO2021084567A1 (ja) * 2019-10-28 2021-05-06
WO2023228399A1 (ja) * 2022-05-27 2023-11-30 三菱電機株式会社 セキュリティ分析装置、セキュリティ分析方法及びセキュリティ分析プログラム

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017161018A1 (en) * 2016-03-15 2017-09-21 DataVisor Inc. User interface for displaying network analytics
US9973522B2 (en) * 2016-07-08 2018-05-15 Accenture Global Solutions Limited Identifying network security risks
JP6786959B2 (ja) 2016-08-26 2020-11-18 富士通株式会社 サイバー攻撃分析支援プログラム、サイバー攻撃分析支援方法およびサイバー攻撃分析支援装置
CN110383264B (zh) * 2016-12-16 2022-12-30 三菱电机株式会社 检索系统
GB201812171D0 (en) * 2018-07-26 2018-09-12 Senseon Tech Ltd Cyber defence system
JP7283315B2 (ja) * 2019-09-10 2023-05-30 沖電気工業株式会社 異常検知装置、異常検知プログラム、及び異常検知方法
JP7347521B2 (ja) * 2019-09-27 2023-09-20 日本電気株式会社 分析システム、方法およびプログラム
US20240061937A1 (en) * 2022-08-16 2024-02-22 Upsight Security Inc. Anti-malware behavioral graph engines, systems and methods

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003216577A (ja) * 2002-01-18 2003-07-31 Komu Square:Kk セキュリティレベル情報提供方法及びシステム
JP2004054706A (ja) * 2002-07-22 2004-02-19 Sofutekku:Kk セキュリティリスク管理システム、そのプログラムおよび記録媒体
JP2004537075A (ja) 2000-04-28 2004-12-09 インターネット セキュリティ システムズ インコーポレーテッド コンピュータのセキュリティ情報を管理するための方法およびシステム
JP2005136526A (ja) * 2003-10-28 2005-05-26 Fujitsu Ltd 不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラム
JP2013232716A (ja) * 2012-04-27 2013-11-14 Nippon Telegr & Teleph Corp <Ntt> 攻撃判定装置、攻撃判定方法及び攻撃判定プログラム

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE69817176T2 (de) * 1998-09-09 2004-06-24 International Business Machines Corp. Verfahren und Vorrichtung zur Eindringdetektion in Rechnern und Rechnernetzen
US6681331B1 (en) * 1999-05-11 2004-01-20 Cylant, Inc. Dynamic software system intrusion detection
US7324108B2 (en) * 2003-03-12 2008-01-29 International Business Machines Corporation Monitoring events in a computer network
US8539546B2 (en) * 2010-10-22 2013-09-17 Hitachi, Ltd. Security monitoring apparatus, security monitoring method, and security monitoring program based on a security policy
CN102236764B (zh) * 2011-06-30 2013-10-30 北京邮电大学 用于Android系统的抵御桌面信息攻击的方法和监控系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004537075A (ja) 2000-04-28 2004-12-09 インターネット セキュリティ システムズ インコーポレーテッド コンピュータのセキュリティ情報を管理するための方法およびシステム
JP2003216577A (ja) * 2002-01-18 2003-07-31 Komu Square:Kk セキュリティレベル情報提供方法及びシステム
JP2004054706A (ja) * 2002-07-22 2004-02-19 Sofutekku:Kk セキュリティリスク管理システム、そのプログラムおよび記録媒体
JP2005136526A (ja) * 2003-10-28 2005-05-26 Fujitsu Ltd 不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラム
JP2013232716A (ja) * 2012-04-27 2013-11-14 Nippon Telegr & Teleph Corp <Ntt> 攻撃判定装置、攻撃判定方法及び攻撃判定プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2899665A4

Cited By (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2016092834A1 (ja) * 2014-12-10 2017-09-21 日本電気株式会社 通信監視システム、重要度算出装置及びその算出方法、提示装置、並びにコンピュータ・プログラムが格納された記録媒体
WO2016092834A1 (ja) * 2014-12-10 2016-06-16 日本電気株式会社 通信監視システム、重要度算出装置及びその算出方法、提示装置、並びにコンピュータ・プログラムが格納された記録媒体
US10454959B2 (en) 2014-12-10 2019-10-22 Nec Corporation Importance-level calculation device, output device, and recording medium in which computer program is stored
JP2016119061A (ja) * 2014-12-19 2016-06-30 ザ・ボーイング・カンパニーＴｈｅ Ｂｏｅｉｎｇ Ｃｏｍｐａｎｙ ポリシベースのネットワーク・セキュリティ
US10805337B2 (en) 2014-12-19 2020-10-13 The Boeing Company Policy-based network security
WO2016171243A1 (ja) * 2015-04-22 2016-10-27 株式会社日立製作所 サイバー攻撃分析装置及びサイバー攻撃分析方法
JP2016206943A (ja) * 2015-04-22 2016-12-08 株式会社日立製作所 サイバー攻撃分析装置及びサイバー攻撃分析方法
WO2017099066A1 (ja) * 2015-12-09 2017-06-15 日本電気株式会社 診断装置、診断方法、及び、診断プログラムが記録された記録媒体
US10754719B2 (en) 2015-12-09 2020-08-25 Nec Corporation Diagnosis device, diagnosis method, and non-volatile recording medium
JPWO2017099062A1 (ja) * 2015-12-09 2018-10-04 日本電気株式会社 診断装置、診断方法、及び、診断プログラム
WO2017099062A1 (ja) * 2015-12-09 2017-06-15 日本電気株式会社 診断装置、診断方法、及び、診断プログラムが記録された記録媒体
JPWO2017099066A1 (ja) * 2015-12-09 2018-09-27 日本電気株式会社 診断装置、診断方法、及び、診断プログラムが記録された記録媒体
JP2017129894A (ja) * 2016-01-18 2017-07-27 三菱電機株式会社 サイバー攻撃検知システム
JPWO2019058489A1 (ja) * 2017-09-21 2019-12-26 三菱電機株式会社 アラート頻度制御装置およびアラート頻度制御プログラム
WO2019058489A1 (ja) * 2017-09-21 2019-03-28 三菱電機株式会社 アラート頻度制御装置およびアラート頻度制御プログラム
WO2020075333A1 (ja) * 2018-10-10 2020-04-16 日本電信電話株式会社 情報処理装置及び情報処理プログラム
JPWO2020075333A1 (ja) * 2018-10-10 2021-04-30 日本電信電話株式会社 情報処理装置及び情報処理プログラム
JPWO2021084567A1 (ja) * 2019-10-28 2021-05-06
WO2021084567A1 (ja) * 2019-10-28 2021-05-06 日本電気株式会社 情報処理装置、表示方法、及び非一時的なコンピュータ可読媒体
JP7287484B2 (ja) 2019-10-28 2023-06-06 日本電気株式会社 情報処理装置、表示方法、及びプログラム
WO2023228399A1 (ja) * 2022-05-27 2023-11-30 三菱電機株式会社 セキュリティ分析装置、セキュリティ分析方法及びセキュリティ分析プログラム

Also Published As

Publication number Publication date
EP2899665A4 (en) 2016-05-25
EP2899665B1 (en) 2020-03-04
EP2899665A1 (en) 2015-07-29
US20150205956A1 (en) 2015-07-23
JPWO2014045827A1 (ja) 2016-08-18
CN104620252A (zh) 2015-05-13
CN104620252B (zh) 2017-06-23
JP5868514B2 (ja) 2016-02-24

Similar Documents

Publication Publication Date Title
JP5868514B2 (ja) 情報処理装置及び情報処理方法及びプログラム
CN109155774A (zh) 用于检测安全威胁的系统和方法
US11824883B2 (en) Variable DCF security scores and data threat portfolio views
Jeyaraj et al. Institutional isomorphism in organizational cybersecurity: A text analytics approach
EP3625682A2 (en) Systems and methods for cyber security risk assessment
CN111183620B (zh) 入侵调查
Elshoush et al. Intrusion alert correlation framework: An innovative approach
JP2015026182A (ja) セキュリティサービス効果表示システム、セキュリティサービス効果表示方法、及びセキュリティサービス効果表示プログラム
JPWO2016092834A1 (ja) 通信監視システム、重要度算出装置及びその算出方法、提示装置、並びにコンピュータ・プログラムが格納された記録媒体
JP6663700B2 (ja) セキュリティ対策立案支援方式
CN105912927B (zh) 用于生成应用控制规则的系统和方法
KR101940512B1 (ko) 공격특성 dna 분석 장치 및 그 방법
Pinguelo et al. Virtual crimes, real damages part II: What businesses can do today to protect themselves from cybercrime, and what public-private partnerships are attempting to achieve for the nation of tomorrow
Altulaihan et al. Email Security Issues, Tools, and Techniques Used in Investigation
Johansen Digital Forensics and Incident Response: Incident response tools and techniques for effective cyber threat response
JP7384208B2 (ja) セキュリティリスク分析支援装置、方法、及びプログラム
Haggerty et al. Visualization of system log files for post-incident analysis and response
JP7078562B2 (ja) 計算機システム、インシデントによる業務システムへの影響の分析方法、及び分析装置
JP5117555B2 (ja) 脅威分析支援装置及び脅威分析支援プログラム
JP4620138B2 (ja) 脅威分析支援装置および脅威分析支援処理プログラム
Khan et al. Secure distributed big data storage using cloud computing
Hakkala et al. Personal data protection in the age of mass surveillance
Colorossi Cyber security
Garcia Information and security in cyberspace: The influence of globalization on the intensification of risks and threats in the last decade
Kumar et al. Secure provenance-based communication using visual encryption

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13839403

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2014536717

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14420079

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE