WO2014208427A1 - セキュリティ情報管理システム及びセキュリティ情報管理方法 - Google Patents

セキュリティ情報管理システム及びセキュリティ情報管理方法 Download PDF

Info

Publication number
WO2014208427A1
WO2014208427A1 PCT/JP2014/066193 JP2014066193W WO2014208427A1 WO 2014208427 A1 WO2014208427 A1 WO 2014208427A1 JP 2014066193 W JP2014066193 W JP 2014066193W WO 2014208427 A1 WO2014208427 A1 WO 2014208427A1
Authority
WO
WIPO (PCT)
Prior art keywords
security information
security
keyword
calculation unit
type
Prior art date
Application number
PCT/JP2014/066193
Other languages
English (en)
French (fr)
Inventor
佐藤　徹
靖 岡野
浩志 朝倉
慎吾 折原
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to EP14816872.7A priority Critical patent/EP2998884B1/en
Priority to US14/898,388 priority patent/US10789366B2/en
Priority to JP2015524004A priority patent/JP6042541B2/ja
Priority to CN201480035891.2A priority patent/CN105359139B/zh
Publication of WO2014208427A1 publication Critical patent/WO2014208427A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2115—Third party
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2151—Time stamp

Definitions

  • the present invention relates to a security information management system and a security information management method.
  • system managers information system asset managers
  • Such security information is being released one after another by security research institutes and security vendors through information providing servers on the Internet.
  • security information published on the Internet for example, information on security defects of software and hardware constituting an information system and countermeasures for the same are known.
  • a technique for collecting and providing security information for example, a technique for collecting vulnerability information among security information, which is disclosed on an information providing server on the Internet, is known (patent document) 1).
  • system management is performed by determining the relevance between aggregated vulnerability information and information system assets managed by the system administrator based on the relationship such as the reference relationship of collected multiple vulnerability information. Aggregate and provide vulnerability information that should be viewed by users.
  • an object of the present invention is to easily collect security information highly relevant to the reference source security information.
  • the security information management system refers to a collection unit that collects security information that is information related to security, and a security dictionary that stores the security-related keywords for each attribute.
  • a keyword is extracted from reference source security information that is a source for comparing relevance with the security information, the extracted keyword is compared with a keyword included in the security information collected by the collection unit, and the reference
  • a calculation unit that calculates a degree of association between the original security information and the security information, and an output unit that preferentially outputs security information having a higher degree of association calculated by the calculation unit.
  • the security information management method is a security information management method executed by a security information management device, and includes a collection step of collecting security information that is information related to security, and a security dictionary that stores the security keywords for each attribute. And extracting a keyword from reference source security information that is a source for comparing relevance with the security information, and comparing the extracted keyword with a keyword included in the security information collected by the collecting step And a calculation step for calculating the degree of association between the reference source security information and the security information, and an output step for preferentially outputting the security information having a higher degree of association calculated by the calculation step. It is characterized by.
  • the security information management system and the security information management method disclosed in the present application can easily collect security information highly relevant to the reference source security information.
  • FIG. 1 is a diagram illustrating an example of a configuration of a security information management system according to the first embodiment.
  • FIG. 2 is a diagram illustrating an example of information extracted by the security dictionary of the security dictionary storage unit according to the first embodiment.
  • FIG. 3 is a diagram illustrating an example of information stored by the security information storage unit according to the first embodiment.
  • FIG. 4 is a diagram illustrating an example of vulnerability score calculation processing by the security information relevance calculation unit.
  • FIG. 5 is a flowchart for explaining the flow of security information provision processing in the security information management device according to the first embodiment.
  • FIG. 6 is a diagram illustrating a computer that executes a security information management program.
  • FIG. 1 is a diagram illustrating an example of a configuration of a security information management system according to the first embodiment.
  • a security information management system 100 to which a security information management apparatus 10 according to the first embodiment is applied includes a security information management apparatus 10, a security information providing server 20, and a client terminal 30.
  • the security information management apparatus 10 and the security information providing server 20 are connected via the Internet 40.
  • the security information management device 10 is connected to the client terminal 30 via the input / output interface unit 15.
  • the security information providing server 20 is a server that publishes security information.
  • the security information providing server 20 includes, as security information, software or hardware security defects (for example, expressed as “vulnerability” or “security hole”) that constitute the information system, Publish text information on countermeasures (hereinafter referred to as vulnerability information).
  • the security information providing server 20 uses, as security information, techniques for exploiting the above-described security flaws (sometimes expressed as “PoC (Proof of Concept)”, “exploit”, etc.), and countermeasures therefor Publish text information about.
  • the security information providing server 20 uses a malicious program (“(computer)” for the purpose of causing damage to a third-party information system created using the above-described exploitation technology as security information. (It may be expressed as “virus”, “malware”, etc.) and text information on the countermeasures.
  • the security information providing server 20 uses the above-mentioned malicious program as security information to attack information systems of other organizations (“targeted attack” “APT (Advanced Persistent Threat) attack”). (It may be expressed as “Cyber Attack” etc.)
  • the client terminal 30 is an information processing apparatus such as a PC equipped with a standard Web browser that is used by the system administrator to use the security information management system 100. Further, the client terminal 30 receives security information highly relevant to the security information of the reference source from the security information management apparatus 10, and displays the security information.
  • the security information management apparatus 10 includes a security information collection unit 11, a security information storage unit 12, a security dictionary storage unit 13, a security dictionary management unit 14, an input / output interface unit 15, and a security information relevance calculation unit. 16
  • the security information collection unit 11 collects security information that is information related to security. Specifically, the security information collection unit 11 periodically accesses the security information providing server 20 at predetermined time intervals to acquire security information. These are acquired as general document files such as HTML and PDF. Then, the security information collection unit 11 processes the acquired file into a predetermined format, adds additional information, and stores it in the security information storage unit 12. The security information collection unit 11 refers to the security dictionary storage unit 13 when processing the acquired file into a predetermined format.
  • the security information collection unit 11 extracts the title and body of the document file, refers to the security dictionary stored in the security dictionary storage unit 13, and extracts keywords included in the title and body.
  • the security information collection unit 11 requires the system administrator as setting information from the “URL list” of the security information providing server 20 to be collected and the security information provided in a different format for each security information providing server 20.
  • “Cutout position information” for extracting “title” and “text” and “information indicating time and interval” indicating the timing of collection to the security information providing server 20 are set.
  • the security information collection unit 11 operates based on these setting information.
  • “Cutout position information” is information defined for each URL list.
  • the security information collection unit 11 acquires a document file such as an HTML file or a PDF in which security information is described from the security information providing server 20 specified by the URL list at the time specified by the setting information. Then, the security information collection unit 11 extracts the “title” and “text” of the security information from the acquired file based on “cutout position information”.
  • the security information collection unit 11 extracts the keywords included in the extracted “title” and “text” by comparison with the security dictionary, the URL of the information providing server, the time when the file was collected, and the extracted “title”. ”And“ text ”and all extracted keywords are stored in the security information storage unit 12 (to be described in detail later with reference to FIG. 2). Thereafter, the security information collection unit 11 repeats the above processing until the processing is completed for all URL lists.
  • the security information storage unit 12 stores the security information and additional information received from the security information collection unit 11. Further, the security information storage unit 12 transmits the security information requested from the security information relevance calculation unit 16 to the security information relevance calculation unit 16. Further, the security information storage unit 12 includes, as security information attributes, a vulnerability type, a product or service type, a product provider or service provider type, a country or organization type, or a cyber attack type. For each, keywords related to security are registered.
  • FIG. 3 is a diagram illustrating an example of information stored by the security information storage unit according to the first embodiment.
  • the security information storage unit 12 assigns, for each security information, keywords extracted by the security information collection unit 11 to “vulnerability”, “product / service”, “product / service provider”, Memorize by category of “country / organization name” and “cyber attack”.
  • the security dictionary storage unit 13 stores a set of keywords related to the security field that are referred to when determining the relevance of security information.
  • the security dictionary storage unit 13 stores a security dictionary that stores security-related keywords for each attribute. For example, a vulnerability dictionary, a product / service dictionary, and a product / service offer as a set of keywords representing the characteristics of security information A person's dictionary, country / organization name dictionary, and cyber attack dictionary.
  • the security dictionary storage unit 13 stores, for example, buffer overflow, cross-site scripting, etc. as a vulnerability dictionary (including synonyms), and as a product / service dictionary (including synonyms), for example, Windows (registered trademark) 7, Windows Server 2012, Twitter (registered trademark), etc. are stored, and Microsoft (registered trademark), Google (registered trademark), etc. are stored as product / service provider dictionaries (including synonyms), As organization name dictionary (including synonym support), for example, China, Korea, House of Representatives, company name, etc. are stored, and as cyber attack dictionary (including synonym support), for example, cyber attack, targeted attack, targeted email, Information leaks, alterations, etc. are stored.
  • each dictionary set keywords posted on domestic and foreign sites explaining vulnerabilities are collected and registered by a dedicated crawler.
  • the product / service provider dictionary is collected and registered by a dedicated crawler or the like using the names of the products / service providers registered in domestic and foreign sites that provide vulnerability information as keywords.
  • the product / service dictionary is collected and registered by a dedicated crawler or the like using the name or version of the product / service registered as a keyword in the product introduction site operated by the product / service provider.
  • the country / organization name dictionary collects and registers a list of domestic and foreign government offices and listed companies by a dedicated crawler.
  • keywords posted on domestic and foreign sites that explain various techniques and methods of cyber attacks are collected and registered by dedicated crawlers.
  • the system administrator may manually register from the security dictionary management unit 14.
  • FIG. 2 is a diagram illustrating an example of information extracted by the security dictionary of the security dictionary storage unit according to the first embodiment.
  • the security information storage unit 12 includes, as security information, “URL of the security information file acquired from the information providing server (security information providing server 20)”, “Security information file from the information providing server” "Time collected", “Title”, “Body” and “Keyword” are stored. “Title”, “text”, and “keyword” are information extracted from a security information file by referring to the security dictionary stored in the security dictionary storage unit 13. Further, all extracted keywords are stored based on the classification of each security dictionary. If no keyword is extracted, the “content” corresponding to the keyword is stored empty.
  • the security dictionary management unit 14 adds and deletes keywords related to the security field included in the dictionary. For example, the security dictionary management unit 14 receives an operation instruction from the system administrator, and adds or deletes keywords related to the security field.
  • the input / output interface unit 15 receives a request from the client terminal 30 and transmits a relevance determination result to the client terminal 30 as a response to the request. Specifically, the input / output interface unit 15 receives the reference source security information, the vulnerability score threshold, the product / service score threshold, the product / service provider score threshold, the country / The organization name score threshold value and the cyber attack score threshold value are received and transmitted to the security information relevance calculation unit 16.
  • the vulnerability score is a numerical value representing the relevance when the reference source security information and each security information stored in the security information storage unit 12 are compared using a “vulnerability dictionary”.
  • the product / service score is a numerical value representing the relevance when the reference source security information and each security information stored in the security information storage unit 12 are compared using a “product / service dictionary”.
  • the product / service provider score is a numerical value representing the relevance when the reference source security information and the security information stored in the security information storage unit 12 are compared using the “product / service provider dictionary”.
  • the country / organization name score is a numerical value representing the relevance when the reference source security information and the security information stored in the security information storage unit 12 are compared using the “country / organization name dictionary”.
  • the cyber attack score is a numerical value representing the relevance when the reference source security information and each security information stored in the security information storage unit 12 are compared using a “cyber attack dictionary”.
  • the vulnerability score threshold, the product / service score threshold, the product / service provider score threshold, the country / organization name score threshold, and the cyber attack score threshold are stored in the reference source security information and the security information storage unit 12.
  • Each stored security information is an index value for determining relevance based on the above five types of scores.
  • security information having a score exceeding the threshold is determined to be “relevant to the reference source security information”.
  • Each threshold is individually set by the system administrator for each of the five types of scores. For example, the system administrator transmits each threshold value from the client terminal 30 to the security information relevance calculation unit 16 through the input / output interface 15.
  • a text box in which arbitrary text can be input may be displayed, and a function for allowing the system administrator to input may be installed.
  • a button for performing an operation of transmitting the displayed security information to the security information relevance calculation unit 16 with one click may be displayed on the browser screen of the client terminal 30.
  • Each threshold value may be input with a function that allows the system administrator to select a value that can be taken by the score calculation formula as an option.
  • a standard value is set in advance, and when there is no threshold value input from the system administrator, the standard value is used.
  • a function for reducing the burden of an operation of inputting a threshold value may be installed.
  • the input / output interface unit 15 receives the total score value from the security information relevance calculation unit 16, and exceeds the threshold value transmitted for all of the five types of scores representing the relevance with the reference source security information.
  • “URL of security information file acquired from information providing server”, “Time when security information file was collected from information providing server”, “Title” and “Body of security information” A function that further narrows down the security information to be displayed may be installed by a filter using the keyword included in “”.
  • a function of exporting the displayed result to the outside in the form of a document file such as a text file or PDF after displaying the security information highly relevant to the reference source security information may be installed.
  • the security information relevance calculation unit 16 refers to the security dictionary storage unit 13 that stores security-related keywords for each attribute, extracts the keywords from the reference source security information from which the relevance with the security information is compared, The extracted keyword and the keyword included in the security information collected by the security information collection unit 11 are compared to calculate the degree of association between the reference source security information and the security information.
  • the security information relevance calculation unit 16 acquires security information stored in the security information storage unit 12 based on a request from the input / output interface unit 15 and performs relevance determination.
  • the security information relevance calculation unit 16 transmits the relevance determination result to the client terminal 30 via the input / output interface unit 15.
  • the input / output interface unit 15 outputs the security information having a higher relevance calculated by the security information relevance calculation unit 16 to the client terminal 30 preferentially.
  • the security information relevance calculation unit 16 uses the source security information from which the relevance with the security information of the security information storage unit 12 is compared as setting information via the input / output interface unit 15 from the client terminal 30. , A vulnerability score threshold, a product / service score threshold, a product / service provider score threshold, a country / organization name score threshold, and a cyber attack score threshold.
  • the security information relevance calculation unit 16 refers to the security dictionary, refers to a vulnerability type, a product or service type, a product provider or service provider type, a country or organization type, or a cyber attack type. Each keyword is extracted from the reference source security information.
  • the security information relevance calculation unit 16 compares the keyword extracted from the reference source security information with the vulnerability keyword of each security information stored in the security information storage unit 12, and calculates a vulnerability score.
  • the security information relevance calculation unit 16 refers to the security dictionary and determines the type of vulnerability, the type of product or service, the type of product provider or service provider, the type of country or organization, or For each type of cyber attack, keywords are extracted from the reference source security information, and the keywords extracted from the reference source security information are compared with the keywords included in the security information collected by the collection unit, respectively. The degree of association between security information and security information is calculated.
  • FIG. 4 is a diagram illustrating an example of vulnerability score calculation processing by the security information relevance calculation unit.
  • the security information relevance calculation unit 16 receives the reference source security information including the text and the body from the client terminal 30 via the input / output interface unit 15.
  • the security information relevance calculation unit 16 extracts “buffer overflow” as a keyword included in the vulnerability dictionary from the reference source security information. Then, the security information relevance calculation unit 16 compares the keyword “buffer overflow” extracted from the reference source security information with the vulnerability keywords of the security information A and B stored in the security information storage unit 12 and calculates the vulnerability score. calculate.
  • the vulnerability score “a” of security information A is calculated.
  • the vulnerability keyword of the security information B is “cross-site scripting” and does not match the keyword extracted from the reference source security information.
  • the vulnerability score “b” of the security information B is calculated.
  • the vulnerability score “a” of the security information A is higher than the vulnerability score “b” of the security information B.
  • the score may be calculated based on the number of matched keywords. For example, the vulnerability score of security information A is “1”, and the vulnerability score of security information B is “0”.
  • a score may be calculated using a commercial / free machine learning library, each of which can be converted into a feature vector, and the similarity between the feature vectors can be obtained numerically.
  • the security information relevance calculation unit 16 similarly calculates a product / service score for the “product / service dictionary”. Then, the security information relevance calculation unit 16 similarly calculates a product / service provider score for the “product / service provider dictionary”.
  • the security information relevance calculation unit 16 similarly calculates a country / organization name score for the “country / organization name dictionary”. Then, the security information relevance calculation unit 16 similarly calculates a cyber attack score for the “cyber attack dictionary”. A weight may be set for each score.
  • the security information relevance calculation unit 16 adds the scores. Then, the security information relevance calculation unit 16 sorts the security information in the security information storage unit 12 in descending order of the total score value. However, when sorting, security information having a score that falls below even one of the above five thresholds is excluded from sorting.
  • the security information relevance calculation unit 16 transmits the security information to the input / output interface unit 15 in the sorted order.
  • a systematic upper limit may be set for the number of pieces of security information transmitted at this time.
  • FIG. 5 is a flowchart for explaining the flow of security information provision processing in the security information management device according to the first embodiment.
  • step S101 when the security information relevance calculation unit 16 of the security information management apparatus 10 receives the reference source security information from the client terminal 30 via the input / output interface unit 15 (step S101), the security information relevance calculation unit 16 The sex calculation unit 16 extracts keywords included in the security dictionary from the reference source security information (step S102).
  • the security information relevance calculation unit 16 compares the keyword extracted from the reference source security information with the vulnerability keyword of each security information stored in the security information storage unit 12, and calculates a vulnerability score (step S103). .
  • the security information relevance calculation unit 16 calculates a product / service score for the “product / service dictionary” in the same manner as in step S103 (step S104). Then, the security information relevance calculation unit 16 calculates a product / service provider score for the “product / service provider dictionary” in the same manner as in step S103 (step S105).
  • the security information relevance calculation unit 16 calculates a country / organization name score for the “country / organization name dictionary” in the same manner as in step S103 (step S106). Then, the security information relevance calculation unit 16 calculates a cyber attack score for the “cyber attack dictionary” as in step S103 (step S107).
  • the security information relevance calculation unit 16 adds the scores (step S108). Then, the security information relevance calculation unit 16 sorts the security information stored in the security information storage unit 12 in descending order of the total score (step S109). However, when sorting, security information having a score that falls below even one of the above five thresholds is excluded from sorting.
  • the security information relevance calculation unit 16 transmits the security information to the input / output interface unit 15 in the sorted order (step S110).
  • the security information management apparatus 10 collects security information that is information related to security. Then, the security information management device 10 refers to a security dictionary that stores security-related keywords for each attribute, extracts the keywords from the reference source security information that is the basis for comparing the relevance with the security information, and extracts the keywords. The degree of relevance between the reference source security information and the security information is calculated by comparing the acquired keyword and the keyword included in the collected security information. Then, the security information management apparatus 10 preferentially outputs security information having a higher calculated degree of association. Thereby, it is possible to easily output security information highly relevant to the reference source security information.
  • the security information management apparatus 10 collects file information including security information from the security information providing server 20 at predetermined time intervals, extracts the title and text of the file information, and includes them in the title and text. Extract keywords.
  • the security information management device 10 compares the keyword included in the extracted title and text with the keyword extracted from the reference source security information to calculate the degree of association. For this reason, it is possible to appropriately calculate the degree of association by comparing the keyword included in the title and body of the security information with the keyword extracted from the reference source security information.
  • the security information management apparatus 10 determines whether or not the keyword extracted from the reference source security information matches the keyword included in the collected security information. Calculate relevance high. For this reason, it is possible to easily calculate the degree of association.
  • the security information management apparatus 10 sorts the security information whose relevance is calculated in descending order of relevance, and outputs the security information in the sorted order. For this reason, it is possible to easily output security information highly relevant to the reference source security information.
  • the security information management apparatus 10 as security information attributes, the type of vulnerability, the type of product or service, the type of product provider or service provider, the type of country or organization, or the type of cyber attack Each time, a keyword related to security is registered in the security dictionary. Then, the security information management device 10 refers to the security dictionary, refers to the type of vulnerability, the type of product or service, the type of product provider or service provider, the type of country or organization, or the type of cyber attack. Each keyword is extracted from the reference source security information. For this reason, it is possible to extract a keyword appropriately.
  • the security information management apparatus 10 refers to the security dictionary, refers to the type of vulnerability, the type of product or service, the type of product provider or service provider, the type of country or organization, or the type of cyber attack.
  • Each keyword is extracted from the reference source security information, the keyword extracted from the reference source security information is compared with the keyword included in the collected security information, and the relationship between the reference source security information and the security information is determined. Calculate the degree. For this reason, the degree of association can be easily calculated.
  • each component of each illustrated apparatus is functionally conceptual, and does not necessarily need to be physically configured as illustrated.
  • the specific form of distribution / integration of each device is not limited to that shown in the figure, and all or a part thereof may be functionally or physically distributed or arbitrarily distributed in arbitrary units according to various loads or usage conditions. Can be integrated and configured.
  • the security information collection unit 11 and the security information relevance calculation unit 16 may be integrated.
  • all or any part of each processing function performed in each device may be realized by a CPU and a program analyzed and executed by the CPU, or may be realized as hardware by wired logic.
  • FIG. 6 is a diagram illustrating a computer 1000 that executes a security information management program.
  • the computer 1000 includes, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012 as illustrated in FIG.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1031 as illustrated in FIG.
  • the disk drive interface 1040 is connected to the disk drive 1041 as illustrated in FIG.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1041.
  • the serial port interface 1050 is connected to a mouse 1051 and a keyboard 1052, for example, as illustrated in FIG.
  • the video adapter 1060 is connected to a display 1061, for example, as illustrated in FIG.
  • the hard disk drive 1031 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. That is, the security information management program is stored in, for example, the hard disk drive 1031 as a program module in which a command executed by the computer 1000 is described.
  • various data described in the above embodiment is stored as program data in, for example, the memory 1010 or the hard disk drive 1031.
  • the CPU 1020 reads the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1031 to the RAM 1012 as necessary, and executes various processing procedures.
  • program module 1093 and the program data 1094 related to the security information management program are not limited to being stored in the hard disk drive 1031, but are stored in a removable storage medium, for example, and read out by the CPU 1020 via the disk drive or the like. May be.
  • the program module 1093 and the program data 1094 related to the security information management program are stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020 via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020 via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020 via LAN (Local Area Network), WAN (Wide Area Network), etc.), and the network interface 1070 is stored. It may be read by the CPU 1020
  • Security information management apparatus 11 Security information collection part 12 Security information storage part 13 Security dictionary memory

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)

Abstract

　セキュリティ情報管理装置（１０）では、セキュリティに関する情報であるセキュリティ情報を収集する。そして、セキュリティ情報管理装置（１０）は、セキュリティに関するキーワードを属性ごとに記憶するセキュリティ辞書を参照して、セキュリティ情報との関連性を比較する元となる参照元セキュリティ情報からキーワードを抽出し、該抽出されたキーワードと収集されたセキュリティ情報に含まれるキーワードとを比較して、参照元セキュリティ情報とセキュリティ情報との関連度を算出する。そして、セキュリティ情報管理装置（１０）は、算出された関連度が高いセキュリティ情報ほど優先的に出力する。

Description

セキュリティ情報管理システム及びセキュリティ情報管理方法
　本発明は、セキュリティ情報管理システム及びセキュリティ情報管理方法に関する。
　従来、情報システム資産を有する組織において、安定的な組織活動を継続するために、情報システム資産の管理者（以下、システム管理者と記載する）が、所属組織や管理対象の情報システム資産と関連性の高いセキュリティ情報を収集・把握し、重大な脅威が発見された場合は迅速に対応している。
　このようなセキュリティ情報は、セキュリティ研究機関やセキュリティベンダ等により、インターネット上の情報提供サーバ等を通じて、新しい情報が次々に公開されている。インターネット上で公開されているセキュリティ情報としては、例えば、情報システムを構成するソフトウェアやハードウェアのセキュリティ上の欠陥と、その対策方法に関する情報等が知られている。
　例えば、セキュリティ情報を収集・提供する手法として、例えば、セキュリティ情報のうち、脆弱性情報について、インターネット上の情報提供サーバで公開されている脆弱性情報を収集する手法が知られている（特許文献１参照）。この手法では、収集した複数の脆弱性情報の参照関係等の関係性に基づく集約、集約した脆弱性情報と、システム管理者が管理する情報システム資産の関連性の判定を行うことにより、システム管理者が優先的に閲覧すべき脆弱性情報を集約して提供する。
特許第４９３５３９９号公報
　しかしながら、上述したセキュリティ情報を収集・提供する手法では、システム管理者に対して、脆弱性情報以外のセキュリティ情報について、関連性を判定し提供することができない。このため、システム管理者が参照元とする参照元セキュリティ情報と関連性の高いセキュリティ情報を、容易に収集することができない場合があるという課題があった。
　例えば、あるセキュリティ情報を参照元セキュリティ情報として、該参照元セキュリティ情報に含まれるキーワードを手掛かりに、インターネット上で提供されている検索エンジン等を用いて収集する場合、システム管理者がセキュリティに関する知識を有していないと、適切なキーワードを選択することができず、関連性の高いセキュリティ情報を収集することができない。
　また、参照元セキュリティ情報に含まれるキーワードを手掛かりにインターネット上で提供されている検索エンジン等を用いて収集する際に、システム管理者がセキュリティに関する知識を有している場合であっても、検索エンジンに入力したキーワードによっては、関連性の低いセキュリティ情報や、セキュリティ情報以外の一般的な情報が、多数混在した状態で検索結果として提示され、関連性の高いセキュリティ情報を判別することに多大な労力を要する。
　そこで、この発明は、参照元セキュリティ情報と関連性の高いセキュリティ情報を、容易に収集することを目的とする。
　上述した課題を解決し、目的を達成するため、セキュリティ情報管理システムは、セキュリティに関する情報であるセキュリティ情報を収集する収集部と、前記セキュリティに関するキーワードを属性ごとに記憶するセキュリティ辞書を参照して、前記セキュリティ情報との関連性を比較する元となる参照元セキュリティ情報からキーワードを抽出し、該抽出されたキーワードと前記収集部によって収集されたセキュリティ情報に含まれるキーワードとを比較して、前記参照元セキュリティ情報と前記セキュリティ情報との関連度を算出する算出部と、前記算出部によって算出された関連度が高いセキュリティ情報ほど優先的に出力する出力部と、を備えたことを特徴とする。
　また、セキュリティ情報管理方法は、セキュリティ情報管理装置によって実行されるセキュリティ情報管理方法であって、セキュリティに関する情報であるセキュリティ情報を収集する収集工程と、前記セキュリティに関するキーワードを属性ごとに記憶するセキュリティ辞書を参照して、前記セキュリティ情報との関連性を比較する元となる参照元セキュリティ情報からキーワードを抽出し、該抽出されたキーワードと前記収集工程によって収集されたセキュリティ情報に含まれるキーワードとを比較して、前記参照元セキュリティ情報と前記セキュリティ情報との関連度を算出する算出工程と、前記算出工程によって算出された関連度が高いセキュリティ情報ほど優先的に出力する出力工程と、を含んだことを特徴とする。
　本願に開示するセキュリティ情報管理システム及びセキュリティ情報管理方法は、参照元セキュリティ情報と関連性の高いセキュリティ情報を、容易に収集することが可能である。
図１は、第一の実施形態に係るセキュリティ情報管理システムの構成の一例を示す図である。 図２は、第一の実施形態に係るセキュリティ辞書記憶部のセキュリティ辞書によって抽出される情報の一例を示す図である。 図３は、第一の実施形態に係るセキュリティ情報蓄積部によって記憶される情報の一例を示す図である。 図４は、セキュリティ情報関連性算出部による脆弱性スコア計算処理の一例について説明する図である。 図５は、第一の実施形態に係るセキュリティ情報管理装置におけるセキュリティ情報提供処理の流れを説明するためのフローチャートである。 図６は、セキュリティ情報管理プログラムを実行するコンピュータを示す図である。
　以下に添付図面を参照して、この発明に係るセキュリティ情報管理システム及びセキュリティ情報管理方法の実施形態を詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。
［第一の実施形態］
　以下の実施形態では、第一の実施形態に係るセキュリティ情報管理システム及びセキュリティ情報管理方法による処理の流れを順に説明し、最後に第一の実施形態による効果を説明する。
［システムの構成］
　まず、第一の実施形態に係るセキュリティ情報管理装置が適用されるセキュリティ情報管理システム１００の構成の一例を説明する。図１は、第一の実施形態に係るセキュリティ情報管理システムの構成の一例を示す図である。図１に示すように、第一の実施形態に係るセキュリティ情報管理装置１０が適用されるセキュリティ情報管理システム１００は、セキュリティ情報管理装置１０と、セキュリティ情報提供サーバ２０と、クライアント端末３０とを有する。また、セキュリティ情報管理システム１００では、セキュリティ情報管理装置１０とセキュリティ情報提供サーバ２０とは、インターネット４０を介して接続される。また、セキュリティ情報管理装置１０は、入出力インターフェース部１５を介してクライアント端末３０と接続される。
　セキュリティ情報提供サーバ２０は、セキュリティ情報を公開するサーバである。例えば、セキュリティ情報提供サーバ２０は、セキュリティ情報として、情報システムを構成するソフトウェアやハードウェアのセキュリティ上の欠陥(例えば、『脆弱性』『セキュリティホール』などと表現される場合がある）と、その対策方法に関するテキスト情報（以下、脆弱性情報とする）を公開する。
　また、例えば、セキュリティ情報提供サーバ２０は、セキュリティ情報として、上記したセキュリティ上の欠陥の悪用技術（『PoC(Proof　of　Concept)』『エクスプロイト』などと表現される場合がある）と、その対策方法に関するテキスト情報を公開する。
　また、例えば、セキュリティ情報提供サーバ２０は、セキュリティ情報として、上記の悪用技術を利用して作成された、第三者の情報システムに被害を与えることを目的とした、悪性プログラム（『（コンピュータ）ウイルス』『マルウェア』などと表現される場合がある）と、その対策方法に関するテキスト情報を公開する。
　また、例えば、セキュリティ情報提供サーバ２０は、セキュリティ情報として、上記した悪性プログラムを利用して実行された、他組織の情報システムへの攻撃（『標的型攻撃』『APT(Advanced　Persistent　Threat)攻撃』『サイバー攻撃』などと表現される場合がある）のニュースや事例に関するテキスト情報を公開する。
　クライアント端末３０は、システム管理者がセキュリティ情報管理システム１００を利用するために用いる、標準的なＷｅｂブラウザを搭載したＰＣ等の情報処理装置である。また、クライアント端末３０は、セキュリティ情報管理装置１０から、参照元のセキュリティ情報と関連性の高いセキュリティ情報を受信し、該セキュリティ情報を表示する。
［セキュリティ情報管理装置の構成］
　次に、図１に示したセキュリティ情報管理装置１０の構成を説明する。図１に示すように、セキュリティ情報管理装置１０は、セキュリティ情報収集部１１、セキュリティ情報蓄積部１２、セキュリティ辞書記憶部１３、セキュリティ辞書管理部１４、入出力インターフェース部１５およびセキュリティ情報関連性算出部１６を有する。
　セキュリティ情報収集部１１は、セキュリティに関する情報であるセキュリティ情報を収集する。具体的には、セキュリティ情報収集部１１は、セキュリティ情報提供サーバ２０に対して、所定の時間間隔で定期的にアクセスし、セキュリティ情報を取得する。これらは、ＨＴＭＬやＰＤＦなどの一般的なドキュメントファイルとして取得する。そして、セキュリティ情報収集部１１は、取得したファイルを、所定の形式に加工し、追加情報を付与し、セキュリティ情報蓄積部１２に格納する。なお、セキュリティ情報収集部１１は、取得したファイルを、所定の形式に加工する際は、セキュリティ辞書記憶部１３を参照する。
　例えば、セキュリティ情報収集部１１は、ドキュメントファイルのタイトルおよび本文を抽出し、セキュリティ辞書記憶部１３に記憶されたセキュリティ辞書を参照して、該タイトルおよび本文に含まれるキーワードを抽出する。セキュリティ情報収集部１１は、設定情報として、収集対象とするセキュリティ情報提供サーバ２０の「ＵＲＬリスト」と、セキュリティ情報提供サーバ２０ごとに異なるフォーマットで提供されるセキュリティ情報からシステム管理者が必要とする「タイトル」および「本文」を抽出するための「切り出し位置情報」と、セキュリティ情報提供サーバ２０に対して収集を行うタイミングを示す「時刻や間隔を示す情報」とが設定されている。セキュリティ情報収集部１１は、これらの設定情報に基づいて、動作する。なお、「切り出し位置情報」は、ＵＲＬリストごとに定義される情報である。
　例えば、セキュリティ情報収集部１１は、設定情報で指定された時刻に、ＵＲＬリストで指定されたセキュリティ情報提供サーバ２０から、セキュリティ情報が記載されたＨＴＭＬファイルやＰＤＦ等のドキュメントファイルを取得する。そして、セキュリティ情報収集部１１は、取得したファイルから、『切り出し位置情報』に基づき、当該セキュリティ情報の「タイトル」および「本文」を抽出する。
　続いて、セキュリティ情報収集部１１は、抽出した「タイトル」および「本文」に含まれるキーワードを、セキュリティ辞書との比較により抽出し、情報提供サーバのＵＲＬ、ファイルを収集した時刻、抽出した「タイトル」および「本文」、抽出したすべてのキーワードをセキュリティ情報蓄積部１２に格納する（後に、図２を用いて詳述）。その後、セキュリティ情報収集部１１は、全てのＵＲＬリストについて処理が終了するまで、上記の処理を繰り返し行う。
　セキュリティ情報蓄積部１２は、セキュリティ情報収集部１１から受信したセキュリティ情報および追加情報を保存する。また、セキュリティ情報蓄積部１２は、セキュリティ情報関連性算出部１６から要求されたセキュリティ情報を、セキュリティ情報関連性算出部１６に送信する。また、セキュリティ情報蓄積部１２では、セキュリティ情報の属性として、脆弱性の種別、製品またはサービスの種別、製品の提供者またはサービスの提供者の種別、国または組織の種別、もしくは、サイバー攻撃の種別ごとに、セキュリティに関するキーワードが登録されている。
　ここで、図３の例を用いて、セキュリティ情報蓄積部１２が記憶する情報例について説明する。図３は、第一の実施形態に係るセキュリティ情報蓄積部によって記憶される情報の一例を示す図である。図３に示すように、セキュリティ情報蓄積部１２は、セキュリティ情報ごとに、セキュリティ情報収集部１１により抽出されたキーワードを、「脆弱性」、「製品／サービス」、「製品／サービス提供者」、「国／組織名」および「サイバー攻撃」のカテゴリ別に記憶する。
　セキュリティ辞書記憶部１３は、セキュリティ情報の関連性を判定する際に参照する、セキュリティ分野に関するキーワードの集合を記憶する。セキュリティ辞書記憶部１３では、セキュリティに関するキーワードを属性ごとに記憶するセキュリティ辞書を記憶しており、例えば、セキュリティ情報の特徴を表すキーワードの集合として、脆弱性辞書、製品／サービス辞書、製品／サービス提供者辞書、国／組織名辞書、サイバー攻撃辞書を記憶する。
　セキュリティ辞書記憶部１３は、脆弱性辞書（同義語対応含む）として、例えば、バッファオーバーフロー、クロスサイトスクリプティング等を記憶し、製品／サービス辞書（同義語対応含む）として、例えば、Windows（登録商標）　7、Windows　Server　2012、Twitter（登録商標）等を記憶し、製品／サービス提供者辞書（同義語対応含む）として、例えば、Microsoft（登録商標）、Google（登録商標）等を記憶し、国／組織名辞書（同義語対応含む）として、例えば、中国、韓国、衆議院、企業名等を記憶し、サイバー攻撃辞書（同義語対応含む）として、例えば、サイバー攻撃、標的型攻撃、標的型メール、情報漏えい、改ざん等を記憶する。
　また、各辞書集合の作成例について説明する。脆弱性辞書は、脆弱性について解説している国内外のサイトに掲載されたキーワードが、専用のクローラ等によって収集され、登録される。また、製品／サービス提供者辞書は、脆弱性情報を提供している国内外のサイトに登録された製品／サービス提供者の名称をキーワードとして、専用のクローラ等によって収集され、登録される。また、製品／サービス辞書は、製品／サービス提供者が運営する製品紹介サイトに登録された、製品／サービスの名称やバージョンをキーワードとして、専用のクローラ等によって収集され、登録される。また、国／組織名辞書は、国内外の官公庁、上場企業等のリストを、専用のクローラ等によって収集され、登録される。また、サイバー攻撃辞書は、サイバー攻撃の各種手口や方法について解説している国内外のサイトに掲載されたキーワードが、専用のクローラ等によって収集され、登録される。上記に加え、システム管理者がセキュリティ辞書管理部１４より手動で登録してもよい。
　ここで、図２を用いて、セキュリティ辞書記憶部１３のセキュリティ辞書によって抽出される情報の例を説明する。図２は、第一の実施形態に係るセキュリティ辞書記憶部のセキュリティ辞書によって抽出される情報の一例を示す図である。図２に例示するように、セキュリティ情報蓄積部１２は、セキュリティ情報として、「情報提供サーバ（セキュリティ情報提供サーバ２０）から取得したセキュリティ情報のファイルのＵＲＬ」、「情報提供サーバからセキュリティ情報のファイルを収集した時刻」、「タイトル」、「本文」および「キーワード」を記憶する。「タイトル」、「本文」および「キーワード」は、セキュリティ辞書記憶部１３に記憶されたセキュリティ辞書が参照され、セキュリティ情報のファイルから抽出された情報である。また、抽出したすべてのキーワードは、各セキュリティ辞書の分類に基づいて格納される。なお、一つもキーワードが抽出されなかった場合は、キーワードに対応する「内容」は空で格納される。
　セキュリティ辞書管理部１４は、辞書に含まれる、セキュリティ分野に関するキーワードについて、追加、削除を行う。例えば、セキュリティ辞書管理部１４は、システム管理者の操作指示を受け付けて、セキュリティ分野に関するキーワードについて、追加、削除を行う。
　入出力インターフェース部１５は、クライアント端末３０からの要求を受信し、要求に対する応答として、関連性判定の結果をクライアント端末３０へ送信する。具体的には、入出力インターフェース部１５は、システム管理者のクライアント端末３０から、参照元セキュリティ情報、脆弱性スコアの閾値、製品／サービススコアの閾値、製品／サービス提供者スコアの閾値、国／組織名スコアの閾値およびサイバー攻撃スコアの閾値を受け取り、セキュリティ情報関連性算出部１６へ送信する。
　ここで、脆弱性スコアとは、参照元セキュリティ情報とセキュリティ情報蓄積部１２に蓄積された各セキュリティ情報を、「脆弱性辞書」を用いて比較した場合の関連性を表す数値である。製品／サービススコアとは、参照元セキュリティ情報とセキュリティ情報蓄積部１２に蓄積された各セキュリティ情報を、「製品／サービス辞書」を用いて比較した場合の関連性を表す数値である。製品／サービス提供者スコアとは、参照元セキュリティ情報とセキュリティ情報蓄積部１２に蓄積された各セキュリティ情報を、「製品／サービス提供者辞書」を用いて比較した場合の関連性を表す数値である。国／組織名スコアとは、参照元セキュリティ情報とセキュリティ情報蓄積部１２に蓄積された各セキュリティ情報を、「国／組織名辞書」を用いて比較した場合の関連性を表す数値である。サイバー攻撃スコアとは、参照元セキュリティ情報とセキュリティ情報蓄積部１２に蓄積された各セキュリティ情報を、「サイバー攻撃辞書」を用いて比較した場合の関連性を表す数値である。
　また、脆弱性スコアの閾値、製品／サービススコアの閾値、製品／サービス提供者スコアの閾値、国／組織名スコアの閾値およびサイバー攻撃スコアの閾値は、参照元セキュリティ情報とセキュリティ情報蓄積部１２に蓄積された各セキュリティ情報を、上記５種のスコアに基づき関連性を判定するための指標値である。セキュリティ情報蓄積部１２に蓄積されたセキュリティ情報のうち、閾値を上回るスコアを持つセキュリティ情報を、「参照元セキュリティ情報との関連性がある」と判断する。また、各閾値は、上記５種のスコアの各々に対して、システム管理者が個別に設定する。例えば、システム管理者が、クライアント端末３０から、入出力インターフェース１５を通じて、セキュリティ情報関連性算出部１６に各閾値を送信する。
　参照元セキュリティ情報の入力には、任意のテキストを入力できるテキストボックスを表示しておき、システム管理者に入力させる機能を搭載してもよい。参照元セキュリティ情報の入力には、表示中のセキュリティ情報をワンクリックでセキュリティ情報関連性算出部１６に送信する操作を行うボタンをクライアント端末３０のブラウザ画面に表示してもよい。各閾値の入力には、スコア計算式でとりえる値を選択肢として表示しておき、システム管理者に選択させる機能を搭載してもよい。
　また、各閾値の入力には、あらかじめ標準的な値を設定しておき、システム管理者からの閾値の入力がない場合は、その標準的な値を使用するようにし、システム管理者が、都度、閾値を入力する操作の負担を軽減する機能を搭載してもよい。
　また、入出力インターフェース部１５は、セキュリティ情報関連性算出部１６から、スコア合計値を受け取り、参照元セキュリティ情報との関連性を表す５種のスコアの全てについて送信した閾値を超えているセキュリティ情報を、合計値が高い順にクライアント端末３０に表示する。なお、表示する際、セキュリティ情報が持つ「情報提供サーバから取得したセキュリティ情報のファイルのＵＲＬ」、「情報提供サーバからセキュリティ情報のファイルを収集した時刻」、「セキュリティ情報の『タイトル』および『本文』に含まれるキーワード」を用いたフィルタによって、表示するセキュリティ情報をさらに絞り込む機能を搭載してもよい。参照元セキュリティ情報との関連性の高いセキュリティ情報の表示後、表示された結果を、テキストファイルやＰＤＦ等のドキュメントファイルの形式で外部にエクスポートする機能を搭載してもよい。
　セキュリティ情報関連性算出部１６は、セキュリティに関するキーワードを属性ごとに記憶するセキュリティ辞書記憶部１３を参照して、セキュリティ情報との関連性を比較する元となる参照元セキュリティ情報からキーワードを抽出し、該抽出されたキーワードとセキュリティ情報収集部１１によって収集されたセキュリティ情報に含まれるキーワードとを比較して、参照元セキュリティ情報とセキュリティ情報との関連度を算出する。
　セキュリティ情報関連性算出部１６は、入出力インターフェース部１５からの要求に基づき、セキュリティ情報蓄積部１２に格納されたセキュリティ情報を取得し、関連性判定を行う。そして、セキュリティ情報関連性算出部１６は、関連性判定の結果を入出力インターフェース部１５を介してクライアント端末３０に送信する。入出力インターフェース部１５は、セキュリティ情報関連性算出部１６によって算出された関連度が高いセキュリティ情報ほど優先的にクライアント端末３０へ出力する。
　例えば、セキュリティ情報関連性算出部１６は、設定情報として、クライアント端末３０から入出力インターフェース部１５を介して、セキュリティ情報蓄積部１２のセキュリティ情報との関連性を比較する元となる参照元セキュリティ情報、脆弱性スコアの閾値、製品／サービススコアの閾値、製品／サービス提供者スコアの閾値、国／組織名スコアの閾値およびサイバー攻撃スコアの閾値を受信する。
　以下では、セキュリティ情報関連性算出部１６による具体的な処理の流れを説明する。セキュリティ情報関連性算出部１６は、セキュリティ辞書を参照し、脆弱性の種別、製品またはサービスの種別、製品の提供者またはサービスの提供者の種別、国または組織の種別、もしくは、サイバー攻撃の種別ごとに、参照元セキュリティ情報からキーワードをそれぞれ抽出する。
　そして、セキュリティ情報関連性算出部１６は、参照元セキュリティ情報から抽出したキーワードと、セキュリティ情報蓄積部１２に蓄積した各セキュリティ情報の脆弱性キーワードを比較し、脆弱性スコアを計算する。具体的には、セキュリティ情報関連性算出部１６は、セキュリティ辞書を参照し、脆弱性の種別、製品またはサービスの種別、製品の提供者またはサービスの提供者の種別、国または組織の種別、もしくは、サイバー攻撃の種別ごとに、参照元セキュリティ情報からキーワードをそれぞれ抽出し、参照元セキュリティ情報から抽出されたキーワードと収集部によって収集されたセキュリティ情報に含まれるキーワードとをそれぞれ比較して、参照元セキュリティ情報とセキュリティ情報との関連度を算出する。
　ここで、図４の例を用いて、セキュリティ情報関連性算出部１６による脆弱性スコア計算処理の一例について説明する。図４は、セキュリティ情報関連性算出部による脆弱性スコア計算処理の一例について説明する図である。図４に示すように、まず、セキュリティ情報関連性算出部１６は、入出力インターフェース部１５を介して、テキストおよび本文を含む参照元セキュリティ情報をクライアント端末３０から受信する。
　そして、セキュリティ情報関連性算出部１６は、例えば、参照元セキュリティ情報から、脆弱性辞書に含まれるキーワードとして、「バッファオーバーフロー」を抽出する。そして、セキュリティ情報関連性算出部１６は、参照元セキュリティ情報から抽出したキーワード「バッファオーバーフロー」と、セキュリティ情報蓄積部１２に蓄積したセキュリティ情報Ａ、Ｂの脆弱性キーワードを比較し、脆弱性スコアを計算する。
　図４の例では、セキュリティ情報Ａの脆弱性キーワードが「バッファオーバーフロー」であり、参照元セキュリティ情報から抽出したキーワードと一致しているため、セキュリティ情報Ａの脆弱性スコア「ａ」と計算する。また、セキュリティ情報Ｂの脆弱性キーワードが「クロスサイトスクリプティング」であり、参照元セキュリティ情報から抽出したキーワードと一致しないため、セキュリティ情報Ｂの脆弱性スコア「ｂ」と計算する。セキュリティ情報Ａの脆弱性スコア「ａ」の方が、セキュリティ情報Ｂの脆弱性スコア「ｂ」よりも高いスコアである。例えば、一致したキーワード数に基づいて、スコアを算出してもよい。例えば、セキュリティ情報Ａの脆弱性スコアを「１」とし、セキュリティ情報Ｂの脆弱性スコアを「０」とする。
　また、商用／フリーの機械学習ライブラリを用いて、スコアを算出してもよく、それぞれ特徴ベクトル化し、特徴ベクトル間の類似度を、数値で求めることができる。この方法を用いることで、キーワードが完全一致しないような類似のキーワードを持つセキュリティ情報同士の類似度も判定が可能となる。
　続いて、セキュリティ情報関連性算出部１６は、「製品／サービス辞書」について、同様に、製品／サービススコアを計算する。そして、セキュリティ情報関連性算出部１６は、「製品／サービス提供者辞書」について、同様に、製品／サービス提供者スコアを計算する。
　その後、セキュリティ情報関連性算出部１６は、「国／組織名辞書」について、同様に、国／組織名スコアを計算する。そして、セキュリティ情報関連性算出部１６は、「サイバー攻撃辞書」について、同様に、サイバー攻撃スコアを計算する。なお、各スコアについて重み付けを設定してもよい。
　そして、セキュリティ情報関連性算出部１６は、スコアを合算する。そして、セキュリティ情報関連性算出部１６は、スコアの合算値が高い順に、セキュリティ情報蓄積部１２のセキュリティ情報をソートする。ただし、ソートする際、上記した５種の閾値を一つでも下回るスコアを持つセキュリティ情報は、ソートの対象から除外する。
　そして、セキュリティ情報関連性算出部１６は、ソートされた順番で、セキュリティ情報を入出力インターフェース部１５に送信する。なお、処理の速度を向上するため、この際に送信されるセキュリティ情報の件数には、システム的な上限を設定してもよい。
［セキュリティ情報管理装置による処理］
　次に、図５を用いて、第一の実施形態に係るセキュリティ情報管理装置１０による処理を説明する。図５は、第一の実施形態に係るセキュリティ情報管理装置におけるセキュリティ情報提供処理の流れを説明するためのフローチャートである。
　まず、図５を用いて、第一の実施形態に係るセキュリティ情報管理装置におけるセキュリティ情報提供処理の流れを説明する。図５に示すように、セキュリティ情報管理装置１０のセキュリティ情報関連性算出部１６は、クライアント端末３０から入出力インターフェース部１５を介して、参照元セキュリティ情報を受信すると（ステップＳ１０１）、セキュリティ情報関連性算出部１６は、参照元セキュリティ情報から、セキュリティ辞書に含まれるキーワードを抽出する（ステップＳ１０２）。
　そして、セキュリティ情報関連性算出部１６は、参照元セキュリティ情報から抽出したキーワードと、セキュリティ情報蓄積部１２に蓄積した各セキュリティ情報の脆弱性キーワードを比較し、脆弱性スコアを計算する（ステップＳ１０３）。
　セキュリティ情報関連性算出部１６は、「製品／サービス辞書」について、ステップＳ１０３と同様に、製品／サービススコアを計算する（ステップＳ１０４）。そして、セキュリティ情報関連性算出部１６は、「製品／サービス提供者辞書」について、ステップＳ１０３と同様に、製品／サービス提供者スコアを計算する（ステップＳ１０５）。
　その後、セキュリティ情報関連性算出部１６は、「国／組織名辞書」について、ステップＳ１０３と同様に、国／組織名スコアを計算する（ステップＳ１０６）。そして、セキュリティ情報関連性算出部１６は、「サイバー攻撃辞書」について、ステップＳ１０３と同様に、サイバー攻撃スコアを計算する（ステップＳ１０７）。
　そして、セキュリティ情報関連性算出部１６は、各スコアを合算する（ステップＳ１０８）。そして、セキュリティ情報関連性算出部１６は、スコアの合算値が高い順に、セキュリティ情報蓄積部１２のセキュリティ情報をソートする（ステップＳ１０９）。ただし、ソートする際、上記した５種の閾値を一つでも下回るスコアを持つセキュリティ情報は、ソートの対象から除外する。
　そして、セキュリティ情報関連性算出部１６は、ソートされた順番で、セキュリティ情報を入出力インターフェース部１５に送信する（ステップＳ１１０）。
［第一の実施形態の効果］
　上述してきたように、第一の実施形態にかかるセキュリティ情報管理装置１０では、セキュリティに関する情報であるセキュリティ情報を収集する。そして、セキュリティ情報管理装置１０は、セキュリティに関するキーワードを属性ごとに記憶するセキュリティ辞書を参照して、セキュリティ情報との関連性を比較する元となる参照元セキュリティ情報からキーワードを抽出し、該抽出されたキーワードと収集されたセキュリティ情報に含まれるキーワードとを比較して、参照元セキュリティ情報とセキュリティ情報との関連度を算出する。そして、セキュリティ情報管理装置１０は、算出された関連度が高いセキュリティ情報ほど優先的に出力する。これにより、参照元セキュリティ情報と関連性の高いセキュリティ情報を、容易に出力することが可能である。
　また、セキュリティ情報管理装置１０では、セキュリティ情報提供サーバ２０から、所定の時間間隔で、セキュリティ情報を含むファイル情報を収集し、該ファイル情報のタイトルおよび本文を抽出し、該タイトルおよび本文に含まれるキーワードを抽出する。セキュリティ情報管理装置１０は、抽出されたタイトルおよび本文に含まれるキーワードと、参照元セキュリティ情報から抽出されたキーワードとを比較して関連度を算出する。このため、セキュリティ情報のタイトルおよび本文に含まれるキーワードと、参照元セキュリティ情報から抽出されたキーワードとを比較して関連度を適切に算出することが可能である。
　また、セキュリティ情報管理装置１０では、参照元セキュリティ情報から抽出されたキーワードと収集されたセキュリティ情報に含まれるキーワードとが一致するか否かを判定し、一致する場合には、一致しない場合よりも関連度を高く算出する。このため、関連度を容易に算出することが可能である。
　また、セキュリティ情報管理装置１０では、関連度を算出したセキュリティ情報について、関連度が高い順にソートし、ソートされた順番で、セキュリティ情報を出力する。このため、参照元セキュリティ情報と関連性の高いセキュリティ情報を分かりやすく出力することが可能である。
　また、セキュリティ情報管理装置１０では、セキュリティ情報の属性として、脆弱性の種別、製品またはサービスの種別、製品の提供者またはサービスの提供者の種別、国または組織の種別、もしくは、サイバー攻撃の種別ごとに、セキュリティに関するキーワードがセキュリティ辞書に登録される。そして、セキュリティ情報管理装置１０は、セキュリティ辞書を参照し、脆弱性の種別、製品またはサービスの種別、製品の提供者またはサービスの提供者の種別、国または組織の種別、もしくは、サイバー攻撃の種別ごとに、参照元セキュリティ情報からキーワードをそれぞれ抽出する。このため、キーワードを適切に抽出することが可能である。
　また、セキュリティ情報管理装置１０では、セキュリティ辞書を参照し、脆弱性の種別、製品またはサービスの種別、製品の提供者またはサービスの提供者の種別、国または組織の種別、もしくは、サイバー攻撃の種別ごとに、参照元セキュリティ情報からキーワードをそれぞれ抽出し、参照元セキュリティ情報から抽出されたキーワードと収集されたセキュリティ情報に含まれるキーワードとをそれぞれ比較して、参照元セキュリティ情報とセキュリティ情報との関連度を算出する。このため、関連度を容易に算出することが可能である。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、セキュリティ情報収集部１１とセキュリティ情報関連性算出部１６とを統合してもよい。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　また、上記実施形態において説明したセキュリティ情報管理装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第一の実施形態に係るセキュリティ情報管理装置１０が実行する処理をコンピュータが実行可能な言語で記述したセキュリティ情報管理プログラムを作成することもできる。この場合、コンピュータがセキュリティ情報管理プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるセキュリティ情報管理プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたセキュリティ情報管理プログラムをコンピュータに読み込ませて実行することにより上記第一の実施形態と同様の処理を実現してもよい。以下に、図１に示したセキュリティ情報管理装置１０と同様の機能を実現するセキュリティ情報管理プログラムを実行するコンピュータの一例を説明する。
　図６は、セキュリティ情報管理プログラムを実行するコンピュータ１０００を示す図である。図６に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインターフェース１０３０と、ディスクドライブインターフェース１０４０と、シリアルポートインターフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインターフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
　メモリ１０１０は、図６に例示するように、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインターフェース１０３０は、図６に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインターフェース１０４０は、図６に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインターフェース１０５０は、図６に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図６に例示するように、例えばディスプレイ１０６１に接続される。
　ここで、図６に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のセキュリティ情報管理プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。
　また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
　なお、セキュリティ情報管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、セキュリティ情報管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインターフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１０　セキュリティ情報管理装置
　１１　セキュリティ情報収集部
　１２　セキュリティ情報蓄積部
　１３　セキュリティ辞書記憶部
　１４　セキュリティ辞書管理部
　１５　入出力インターフェース部
　１６　セキュリティ情報関連性算出部
　２０　セキュリティ情報提供サーバ
　３０　クライアント端末
　４０　インターネット
　１００　セキュリティ情報管理システム

Claims (12)

  1. 　セキュリティに関する情報であるセキュリティ情報を収集する収集部と、
    　前記セキュリティに関するキーワードを属性ごとに記憶するセキュリティ辞書を参照して、前記セキュリティ情報との関連性を比較する元となる参照元セキュリティ情報からキーワードを抽出し、該抽出されたキーワードと前記収集部によって収集されたセキュリティ情報に含まれるキーワードとを比較して、前記参照元セキュリティ情報と前記セキュリティ情報との関連度を算出する算出部と、
    　前記算出部によって算出された関連度が高いセキュリティ情報ほど優先的に出力する出力部と、
    　を備えたことを特徴とするセキュリティ情報管理システム。
  2. 　前記収集部は、外部の装置から、所定の時間間隔で、セキュリティ情報を含むファイル情報を収集し、該ファイル情報のタイトルおよび本文を抽出し、該タイトルおよび本文に含まれるキーワードを抽出し、
    　前記算出部は、前記収集部によって抽出されたタイトルおよび本文に含まれるキーワードと、前記参照元セキュリティ情報から抽出されたキーワードとを比較して関連度を算出することを特徴とする請求項１に記載のセキュリティ情報管理システム。
  3. 　前記算出部は、前記参照元セキュリティ情報から抽出されたキーワードと前記収集部によって収集されたセキュリティ情報に含まれるキーワードとが一致するか否かを判定し、一致する場合には、一致しない場合よりも関連度を高く算出することを特徴とする請求項１に記載のセキュリティ情報管理システム。
  4. 　前記算出部は、前記参照元セキュリティ情報から抽出されたキーワードと前記収集部によって収集されたセキュリティ情報に含まれるキーワードとが一致するか否かを判定し、一致する場合には、一致しない場合よりも関連度を高く算出することを特徴とする請求項２に記載のセキュリティ情報管理システム。
  5. 　前記算出部は、関連度を算出したセキュリティ情報について、関連度が高い順にソートし、
    　前記出力部は、前記算出部によってソートされた順番で、前記セキュリティ情報を出力することを特徴とする請求項１に記載のセキュリティ情報管理システム。
  6. 　前記算出部は、関連度を算出したセキュリティ情報について、関連度が高い順にソートし、
    　前記出力部は、前記算出部によってソートされた順番で、前記セキュリティ情報を出力することを特徴とする請求項２に記載のセキュリティ情報管理システム。
  7. 　前記算出部は、関連度を算出したセキュリティ情報について、関連度が高い順にソートし、
    　前記出力部は、前記算出部によってソートされた順番で、前記セキュリティ情報を出力することを特徴とする請求項３に記載のセキュリティ情報管理システム。
  8. 　前記算出部は、関連度を算出したセキュリティ情報について、関連度が高い順にソートし、
    　前記出力部は、前記算出部によってソートされた順番で、前記セキュリティ情報を出力することを特徴とする請求項４に記載のセキュリティ情報管理システム。
  9. 　前記セキュリティ情報の属性として、脆弱性の種別、製品またはサービスの種別、製品の提供者またはサービスの提供者の種別、国または組織の種別、もしくは、サイバー攻撃の種別ごとに、セキュリティに関するキーワードが前記セキュリティ辞書に登録され、
    　前記算出部は、前記セキュリティ辞書を参照し、前記脆弱性の種別、前記製品またはサービスの種別、前記製品の提供者またはサービスの提供者の種別、前記国または組織の種別、もしくは、前記サイバー攻撃の種別ごとに、前記参照元セキュリティ情報からキーワードをそれぞれ抽出することを特徴とする請求項１～８のいずれか一つに記載のセキュリティ情報管理システム。
  10. 　前記算出部は、前記セキュリティ辞書を参照し、前記脆弱性の種別、前記製品またはサービスの種別、前記製品の提供者またはサービスの提供者の種別、前記国または組織の種別、もしくは、前記サイバー攻撃の種別ごとに、前記参照元セキュリティ情報からキーワードをそれぞれ抽出し、前記参照元セキュリティ情報から抽出されたキーワードと前記収集部によって収集されたセキュリティ情報に含まれるキーワードとをそれぞれ比較して、前記参照元セキュリティ情報と前記セキュリティ情報との関連度を算出することを特徴とする請求項９に記載のセキュリティ情報管理システム。
  11. 　前記算出部は、前記セキュリティ辞書を参照し、前記脆弱性の種別、前記製品またはサービスの種別、前記製品の提供者またはサービスの提供者の種別、前記国または組織の種別、もしくは、前記サイバー攻撃の種別ごとに、前記参照元セキュリティ情報からキーワードをそれぞれ抽出し、前記参照元セキュリティ情報から抽出されたキーワードと前記収集部によって収集されたセキュリティ情報に含まれるキーワードとをそれぞれ比較して関連度を算出し、各関連度を合算してスコアを算出し、
    　前記出力部は、前記算出部によって算出されたスコアが高いセキュリティ情報ほど優先的に出力することを特徴とする請求項１０に記載のセキュリティ情報管理システム。
  12. 　セキュリティ情報管理装置によって実行されるセキュリティ情報管理方法であって、
    　セキュリティに関する情報であるセキュリティ情報を収集する収集工程と、
    　前記セキュリティに関するキーワードを属性ごとに記憶するセキュリティ辞書を参照して、前記セキュリティ情報との関連性を比較する元となる参照元セキュリティ情報からキーワードを抽出し、該抽出されたキーワードと前記収集工程によって収集されたセキュリティ情報に含まれるキーワードとを比較して、前記参照元セキュリティ情報と前記セキュリティ情報との関連度を算出する算出工程と、
    　前記算出工程によって算出された関連度が高いセキュリティ情報ほど優先的に出力する出力工程と、
    　を含んだことを特徴とするセキュリティ情報管理方法。
PCT/JP2014/066193 2013-06-24 2014-06-18 セキュリティ情報管理システム及びセキュリティ情報管理方法 WO2014208427A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP14816872.7A EP2998884B1 (en) 2013-06-24 2014-06-18 Security information management system and security information management method
US14/898,388 US10789366B2 (en) 2013-06-24 2014-06-18 Security information management system and security information management method
JP2015524004A JP6042541B2 (ja) 2013-06-24 2014-06-18 セキュリティ情報管理システム、セキュリティ情報管理方法及びセキュリティ情報管理プログラム
CN201480035891.2A CN105359139B (zh) 2013-06-24 2014-06-18 安全信息管理系统及安全信息管理方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2013132057 2013-06-24
JP2013-132057 2013-06-24

Publications (1)

Publication Number Publication Date
WO2014208427A1 true WO2014208427A1 (ja) 2014-12-31

Family

ID=52141767

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/066193 WO2014208427A1 (ja) 2013-06-24 2014-06-18 セキュリティ情報管理システム及びセキュリティ情報管理方法

Country Status (5)

Country Link
US (1) US10789366B2 (ja)
EP (1) EP2998884B1 (ja)
JP (1) JP6042541B2 (ja)
CN (1) CN105359139B (ja)
WO (1) WO2014208427A1 (ja)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019125267A (ja) * 2018-01-18 2019-07-25 富士通株式会社 サイバー脅威評価装置、サイバー脅威評価プログラムおよびサイバー脅威評価方法
JP2019145091A (ja) * 2018-01-12 2019-08-29 ザ・ボーイング・カンパニーＴｈｅ Ｂｏｅｉｎｇ Ｃｏｍｐａｎｙ 予測されるサイバー防御
JP2019197389A (ja) * 2018-05-10 2019-11-14 株式会社日立製作所 構造化支援システム及び構造化支援方法
JP2020052767A (ja) * 2018-09-27 2020-04-02 Kddi株式会社 脆弱性推定装置及び脆弱性推定方法
JP2021093176A (ja) * 2015-12-14 2021-06-17 日本電気株式会社 セキュリティ情報分析方法、セキュリティ情報分析システム、及び、プログラム
WO2021144954A1 (en) * 2020-01-17 2021-07-22 Nec Corporation Attack information processing apparatus, attack information processing method, and computer readable medium
WO2022185576A1 (ja) 2021-03-02 2022-09-09 株式会社日立製作所 不正侵害分析支援装置、及び不正侵害分析支援方法
WO2023181145A1 (ja) * 2022-03-23 2023-09-28 三菱電機株式会社 リスク抽出装置、リスク抽出方法、リスク抽出プログラム

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11550920B2 (en) * 2017-01-31 2023-01-10 Nippon Telegraph And Telephone Corporation Determination apparatus, determination method, and determination program
DE102017202002A1 (de) 2017-02-08 2018-08-09 Siemens Aktiengesellschaft Verfahren und Computer zum kryptografischen Schützen von Steuerungskommunikation in und/oder Service-Zugang zu IT-Systemen, insbesondere im Zusammenhang mit der Diagnose und Konfiguration in einem Automatisierungs-, Steuerungs- oder Kontrollsystem
CN107038381A (zh) * 2017-04-14 2017-08-11 济南浪潮高新科技投资发展有限公司 一种基于绑定机制的管理固件保护方法
GB2563618B (en) * 2017-06-20 2020-09-16 Arm Ip Ltd Electronic system vulnerability assessment
CN110851826B (zh) * 2018-08-01 2023-07-11 深信服科技股份有限公司 一种篡改页面的检测方法、装置、设备及可读存储介质
CN112152964A (zh) * 2019-06-26 2020-12-29 中兴通讯股份有限公司 网络攻击防御方法、装置、接收设备及计算机存储介质
KR20210081156A (ko) * 2019-12-23 2021-07-01 삼성전자주식회사 전자 장치 및 그 제어 방법
KR102287394B1 (ko) * 2020-12-21 2021-08-06 한국인터넷진흥원 익스플로잇 공격 유형 분류 방법 및 그 장치

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007058514A (ja) * 2005-08-24 2007-03-08 Mitsubishi Electric Corp 情報処理装置及び情報処理方法及びプログラム
JP2009015570A (ja) * 2007-07-04 2009-01-22 Nippon Telegr & Teleph Corp <Ntt> 脆弱性情報流通システムおよび方法
JP4935399B2 (ja) 2007-02-13 2012-05-23 日本電気株式会社 セキュリティ運用管理システム、方法およびプログラム
JP2012243268A (ja) * 2011-05-24 2012-12-10 Nec Corp 業務フロー検索装置、業務フロー検索方法、およびプログラム

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001043236A (ja) * 1999-07-30 2001-02-16 Matsushita Electric Ind Co Ltd 類似語抽出方法、文書検索方法及びこれらに用いる装置
US6807569B1 (en) * 2000-09-12 2004-10-19 Science Applications International Corporation Trusted and anonymous system and method for sharing threat data to industry assets
US20020038430A1 (en) * 2000-09-13 2002-03-28 Charles Edwards System and method of data collection, processing, analysis, and annotation for monitoring cyber-threats and the notification thereof to subscribers
JP4363868B2 (ja) 2002-08-23 2009-11-11 株式会社東芝 検索キーワード分析プログラム及びシステム並びに方法
US7941491B2 (en) * 2004-06-04 2011-05-10 Messagemind, Inc. System and method for dynamic adaptive user-based prioritization and display of electronic messages
JP4581520B2 (ja) * 2004-07-09 2010-11-17 富士ゼロックス株式会社 ドキュメント管理プログラム、ドキュメント管理方法、及びドキュメント管理装置
US8544098B2 (en) * 2005-09-22 2013-09-24 Alcatel Lucent Security vulnerability information aggregation
US7624103B2 (en) * 2006-07-21 2009-11-24 Aol Llc Culturally relevant search results
US8302197B2 (en) * 2007-06-28 2012-10-30 Microsoft Corporation Identifying data associated with security issue attributes
US8166551B2 (en) * 2007-07-17 2012-04-24 Oracle International Corporation Automated security manager
JP5079019B2 (ja) 2008-01-08 2012-11-21 三菱電機株式会社 情報フィルタリングシステム、情報フィルタリング方法および情報フィルタリングプログラム
US8886728B2 (en) * 2008-12-12 2014-11-11 At&T Intellectual Property I, L.P. Method and apparatus for reclassifying e-mail or modifying a spam filter based on users' input
US8041729B2 (en) * 2009-02-20 2011-10-18 Yahoo! Inc. Categorizing queries and expanding keywords with a coreference graph
JP2011003182A (ja) * 2009-05-19 2011-01-06 Studio Ousia Inc キーワード表示方法およびそのシステム
JP2011141840A (ja) * 2010-01-08 2011-07-21 Toshiba Corp イベント通知装置およびイベント通知方法
JP5776169B2 (ja) * 2010-11-30 2015-09-09 アイシン・エィ・ダブリュ株式会社 交通環境情報辞書作成装置、交通環境情報辞書作成方法、及び交通環境情報辞書作成プログラム
CN103299304B (zh) * 2011-01-13 2016-09-28 三菱电机株式会社 分类规则生成装置和分类规则生成方法
JP5638590B2 (ja) * 2012-11-22 2014-12-10 株式会社東芝 コンテンツ出力装置、コンテンツ出力方法及びプログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007058514A (ja) * 2005-08-24 2007-03-08 Mitsubishi Electric Corp 情報処理装置及び情報処理方法及びプログラム
JP4935399B2 (ja) 2007-02-13 2012-05-23 日本電気株式会社 セキュリティ運用管理システム、方法およびプログラム
JP2009015570A (ja) * 2007-07-04 2009-01-22 Nippon Telegr & Teleph Corp <Ntt> 脆弱性情報流通システムおよび方法
JP2012243268A (ja) * 2011-05-24 2012-12-10 Nec Corp 業務フロー検索装置、業務フロー検索方法、およびプログラム

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11689547B2 (en) 2015-12-14 2023-06-27 Nec Corporation Information analysis system, information analysis method, and recording medium
JP2021093176A (ja) * 2015-12-14 2021-06-17 日本電気株式会社 セキュリティ情報分析方法、セキュリティ情報分析システム、及び、プログラム
JP7120350B2 (ja) 2015-12-14 2022-08-17 日本電気株式会社 セキュリティ情報分析方法、セキュリティ情報分析システム、及び、プログラム
JP2019145091A (ja) * 2018-01-12 2019-08-29 ザ・ボーイング・カンパニーＴｈｅ Ｂｏｅｉｎｇ Ｃｏｍｐａｎｙ 予測されるサイバー防御
JP7223579B2 (ja) 2018-01-12 2023-02-16 ザ・ボーイング・カンパニー 予測されるサイバー防御
JP2019125267A (ja) * 2018-01-18 2019-07-25 富士通株式会社 サイバー脅威評価装置、サイバー脅威評価プログラムおよびサイバー脅威評価方法
JP2019197389A (ja) * 2018-05-10 2019-11-14 株式会社日立製作所 構造化支援システム及び構造化支援方法
JP2020052767A (ja) * 2018-09-27 2020-04-02 Kddi株式会社 脆弱性推定装置及び脆弱性推定方法
WO2021144954A1 (en) * 2020-01-17 2021-07-22 Nec Corporation Attack information processing apparatus, attack information processing method, and computer readable medium
JP7473246B2 (ja) 2020-01-17 2024-04-23 日本電気株式会社 攻撃情報処理装置、攻撃情報処理方法及び攻撃情報処理プログラム
WO2022185576A1 (ja) 2021-03-02 2022-09-09 株式会社日立製作所 不正侵害分析支援装置、及び不正侵害分析支援方法
WO2023181145A1 (ja) * 2022-03-23 2023-09-28 三菱電機株式会社 リスク抽出装置、リスク抽出方法、リスク抽出プログラム
JP7433551B1 (ja) 2022-03-23 2024-02-19 三菱電機株式会社 リスク抽出装置、リスク抽出方法、リスク抽出プログラム

Also Published As

Publication number Publication date
US10789366B2 (en) 2020-09-29
EP2998884B1 (en) 2017-11-01
JPWO2014208427A1 (ja) 2017-02-23
JP6042541B2 (ja) 2016-12-14
CN105359139B (zh) 2019-04-09
CN105359139A (zh) 2016-02-24
EP2998884A4 (en) 2016-12-28
US20160140344A1 (en) 2016-05-19
EP2998884A1 (en) 2016-03-23

Similar Documents

Publication Publication Date Title
JP6042541B2 (ja) セキュリティ情報管理システム、セキュリティ情報管理方法及びセキュリティ情報管理プログラム
US9300682B2 (en) Composite analysis of executable content across enterprise network
US9614862B2 (en) System and method for webpage analysis
Namanya et al. Similarity hash based scoring of portable executable files for efficient malware detection in IoT
US8412696B2 (en) Real time searching and reporting
US20140052791A1 (en) Task Based Filtering of Unwanted Electronic Communications
US20120197934A1 (en) Real time searching and reporting
CN104956376A (zh) 虚拟化环境中应用和设备控制的方法和技术
RU2658878C1 (ru) Способ и сервер для классификации веб-ресурса
US10454967B1 (en) Clustering computer security attacks by threat actor based on attack features
CN111753171B (zh) 一种恶意网站的识别方法和装置
US20130198240A1 (en) Social Network Analysis
Kurogome et al. EIGER: automated IOC generation for accurate and interpretable endpoint malware detection
EA038063B1 (ru) Система интеллектуального управления киберугрозами
WO2017104655A1 (ja) 情報分析システム、情報分析方法、及び、記録媒体
US8676791B2 (en) Apparatus and methods for providing assistance in detecting mistranslation
US20140365571A1 (en) Automatically Determining Veracity of Documents Posted in a Public Forum
CN110417751B (zh) 一种网络安全预警方法、装置和存储介质
Negoita et al. Enhanced security using elasticsearch and machine learning
US11151308B2 (en) Electronic document processing system
US20190166142A1 (en) Method for analysing cyber threat intelligence data and apparatus thereof
JP6823205B2 (ja) 収集装置、収集方法及び収集プログラム
Bo et al. Tom: A threat operating model for early warning of cyber security threats
JP7408530B2 (ja) セキュリティ管理システム、及びセキュリティ管理方法
KR102022984B1 (ko) 웹 기반의 sso 서비스 방법

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201480035891.2

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14816872

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015524004

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14898388

Country of ref document: US

REEP Request for entry into the european phase

Ref document number: 2014816872

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2014816872

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE