WO2016147403A1 - 情報処理装置及び情報処理方法及び情報処理プログラム - Google Patents

情報処理装置及び情報処理方法及び情報処理プログラム Download PDF

Info

Publication number
WO2016147403A1
WO2016147403A1 PCT/JP2015/058335 JP2015058335W WO2016147403A1 WO 2016147403 A1 WO2016147403 A1 WO 2016147403A1 JP 2015058335 W JP2015058335 W JP 2015058335W WO 2016147403 A1 WO2016147403 A1 WO 2016147403A1
Authority
WO
WIPO (PCT)
Prior art keywords
incident information
information
past
incident
new
Prior art date
Application number
PCT/JP2015/058335
Other languages
English (en)
French (fr)
Inventor
裕美 小野
田中　学
Original Assignee
三菱電機株式会社
三菱電機インフォメーションシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社, 三菱電機インフォメーションシステムズ株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2015/058335 priority Critical patent/WO2016147403A1/ja
Publication of WO2016147403A1 publication Critical patent/WO2016147403A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor

Definitions

  • the present invention relates to a technique for managing incident information.
  • the operator When the security device newly detects a security incident (hereinafter also simply referred to as an incident), the operator generates incident information describing the contents of the security incident. Then, the operator searches for past incident information related to newly generated incident information (hereinafter referred to as new incident information) from past incident information (hereinafter referred to as past incident information) already registered in the database. To do. Then, the operator selects a response action for the security incident newly detected by the security device with reference to the response action for the past security incident described in the retrieved past incident information.
  • new incident information past incident information related to newly generated incident information
  • past incident information past incident information
  • Patent Document 1 As a technique related to the search for incident information, there is a technique described in Patent Document 1.
  • the incident monitoring apparatus described in Patent Literature 1 generates analysis information for analyzing an incident for each incident name.
  • the present invention has been made in view of such circumstances, and a main object of the present invention is to make it possible to acquire past incident information related to new incident information without collating incident names.
  • An information processing apparatus includes: An information processing apparatus connected to a past incident information storage device for storing past incident information in which a plurality of attribute values of security incidents detected in the past are described, An information acquisition unit for acquiring new incident information in which a plurality of attribute values of newly detected security incidents are described; The past incident information is read from the past incident information storage device, the attribute value matching status between the past incident information and the new incident information is evaluated including partial matching, and the attribute value matching status evaluation result And an incident information evaluation unit for calculating the degree of association between the past incident information and the new incident information.
  • the present invention it is possible to evaluate the matching status of a plurality of attribute values including incident names between past incident information and new incident information, including partial matching. Based on the evaluation result, past incident information and new incident information can be evaluated. The degree of association with information can be calculated. For this reason, according to the present invention, even if the incident name is different for the security device vendor, the past of the incident related to the new incident information is absorbed by absorbing the difference of the incident name for each vendor without performing the identification of the incident name. Incident information can be acquired.
  • FIG. 3 is a diagram illustrating an example of a system configuration according to the first embodiment.
  • FIG. 6 is a diagram showing an example of new incident information according to the first embodiment.
  • FIG. 4 is a diagram illustrating an example of parameter information according to the first embodiment.
  • FIG. 5 shows an example of past incident information according to the first embodiment.
  • FIG. 3 is a flowchart showing an example of incident extraction processing according to the first embodiment.
  • FIG. 4 is a flowchart showing an example of input processing according to the first embodiment.
  • FIG. 3 is a flowchart showing an example of parameter setting processing according to the first embodiment.
  • FIG. 3 is a flowchart showing an example of calculation processing according to the first embodiment.
  • FIG. 4 is a flowchart showing an example of relevance calculation processing according to the first embodiment.
  • FIG. 3 is a flowchart showing an example of a degree of coincidence evaluation process according to the first embodiment.
  • FIG. 4 is a diagram illustrating an example of a system configuration according to a second embodiment.
  • FIG. 6 shows an example of learning data according to the second embodiment.
  • FIG. 9 is a flowchart showing an example of parameter setting processing according to the second embodiment.
  • 3 is a diagram illustrating a hardware configuration example of the information processing apparatus according to Embodiments 1 and 2.
  • an input device 110 is used when an operator generates new incident information.
  • the new incident information is information for notifying a newly generated security incident (hereinafter also referred to as a new incident).
  • the information processing apparatus 120 manages new incident information and past incident information.
  • the past incident information is incident information regarding security incidents (also referred to as past incidents) that have occurred in the past. More specifically, the information processing device 120 acquires new incident information from the input device 110, calculates the degree of association between the new incident information and each of the plurality of past incident information, and stores the past incident information in the order of the degree of association. Generate a list of past incident information to enumerate. In addition, when it is not necessary to distinguish new incident information and past incident information, both are called incident information.
  • the information processing device 120 is connected to the input device 110, the output device 180, the new incident information storage device T1, the parameter storage device T2, and the past incident information storage device T3.
  • the output device 180 outputs the past incident information list generated by the information processing device 120.
  • the new incident information storage device T1 temporarily stores new incident information illustrated in FIG.
  • the new incident information includes basic information and log information.
  • the basic information is the vendor name and product name of the security device.
  • the log information is information related to the incident detected by the security device, and specifically includes a signature ID (Identifier), an alert type, an external IP (Internet Protocol) address, an internal IP address, and a time.
  • the time is described up to the year, month, and day, but may be described up to the hour, minute, and second.
  • the signature ID and the alert type correspond to the incident name.
  • the past incident information storage device T3 stores a plurality of past incident information as illustrated in FIG.
  • past incident information a plurality of past incident attribute values are described.
  • past incident information ID is an identifier of past incident information.
  • the past incident information includes items up to the item N included in the new incident information, and further includes a countermeasure action item.
  • response action item a response action taken by the operator for a past incident is described.
  • the item N is not shown for reasons of drawing, but the past incident information includes the item N as with the new incident information.
  • the parameter storage device T2 stores parameter information illustrated in FIG.
  • the parameter information a plurality of parameters for calculating the degree of association between new incident information and past incident information are defined.
  • the parameter information matches the importance as a parameter for each of the items included in the incident information (signature ID, alert type, external IP address, internal IP address, time, vendor name, product name, item N, etc.).
  • a degree is defined.
  • the degree of coincidence is classified into complete coincidence, partial coincidence, and disagreement.
  • the evaluation score described in the complete match column is an evaluation score used when the attribute values completely match between the new incident information and the past incident information.
  • the evaluation points described in the partial match column are evaluation points used when attribute values partially match between new incident information and past incident information.
  • the information acquisition unit 130 acquires new incident information from the input device 110. Then, the information acquisition unit 130 stores the new incident information in the new incident information storage device T1.
  • the related incident extraction unit 140 includes a parameter setting unit 150, an incident information evaluation unit 160, and a list generation unit 170.
  • the parameter setting unit 150 generates the parameter information illustrated in FIG. That is, the parameter information is generated by setting the importance and the coincidence for each item.
  • the parameter setting unit 150 stores the generated parameter information in the parameter storage device T2.
  • the incident information evaluation unit 160 reads a plurality of past incident information from the past incident information storage device T3. Then, the incident information evaluation unit 160 uses the parameter information to evaluate the attribute value match status between each of the plurality of past incident information and the new incident information, including the partial match, and the attribute value match status. Based on the evaluation result, the degree of association between each of the plurality of past incident information and new incident information is calculated.
  • the list generation unit 170 generates a past incident information list.
  • the past incident information list is a list in which a plurality of past incident information is listed in the order of the relevance calculated by the incident information evaluation unit 160.
  • FIG. 5 is a flowchart showing the incident extraction process.
  • the information acquisition unit 130 acquires new incident information from the input device 110 (information acquisition process).
  • the information acquisition unit 130 stores the new incident information in the new incident information storage device T1.
  • the necessity of parameter setting is confirmed. If parameter information is not stored in the parameter storage device T2, parameter setting is necessary (YES in S151). If parameter information is already stored in the parameter storage device T2, parameter setting is not necessary ( NO in S151).
  • the parameter setting unit 150 sets parameters (importance and coincidence) in item units, and generates and generates parameter information illustrated in FIG. The parameter information thus obtained is stored in the parameter storage device T2.
  • the incident information evaluation unit 160 performs a calculation process (incident information evaluation process) in S160. Specifically, the incident information evaluation unit 160 reads new incident information from the new incident information storage device T1, reads parameter information from the parameter storage device T2, and reads a plurality of past incident information from the past incident information storage device T3. Based on the parameter information, the degree of association between each new incident information and past incident information is calculated. Next, in S170, the list generation unit 170 generates a past incident information list by rearranging a plurality of past incident information in the order of the relevance calculated by the incident information evaluation unit 160. Finally, in S180, the list generation unit 170 outputs a past incident information list.
  • the operator selects a countermeasure for the new incident with reference to the countermeasure for the higher-order past incident information, and executes the selected countermeasure. Then, the operator adds a corresponding action column to the new incident information, and describes the executed corresponding action using the input device 110 in the added corresponding action column. Then, the new incident information after the countermeasure is described is stored in the past incident information storage device T3 as past incident information.
  • FIG. 6 is a flowchart showing details of the input process (S110) of FIG.
  • the information acquisition unit 130 displays an input screen on the output device 180.
  • the input screen is a screen for the operator to input new incident information.
  • the operator inputs basic information of the security device that has detected the new incident on the input screen using the input device 110.
  • the output device 180 acquires basic information of the security device from the input device 110.
  • the operator inputs log information related to the new incident detected by the security device on the input screen using the input device 110.
  • the output device 180 acquires log information from the input device 110.
  • the output device 180 combines the basic information input in S112 and the log information input in S113 to obtain new incident information illustrated in FIG.
  • FIG. 7 is a flowchart showing details of the parameter setting process (S152) of FIG.
  • the parameter setting unit 150 displays a parameter setting screen on the output device 180.
  • the parameter setting screen is a screen for the operator to set parameters.
  • the operator selects an item for setting a parameter from among a plurality of items of incident information.
  • the administrator inputs the importance value and the coincidence value of the item selected in S1522.
  • the parameter setting unit 150 acquires the importance value and the coincidence value of each item input by the administrator from the input device 110, and generates the parameter information illustrated in FIG.
  • the parameter setting unit 150 stores the generated parameter information in the parameter storage device T2.
  • FIG. 8 is a flowchart showing details of the calculation process (S160) of FIG.
  • the incident information evaluation unit 160 calculates the degree of association between new incident information and one past incident information. And incident information evaluation part 160 repeats the process of S161 until the relevance degree with new incident information is calculated about all the past incident information memorize
  • FIG. 9 is a flowchart showing details of the relevance calculation process (S161) in FIG.
  • the incident information evaluation unit 160 reads new incident information from the new incident information storage device T1.
  • the incident information evaluation unit 160 only needs to cache the new incident information read from the new incident information storage device T1 in the cache area, so once the new incident information is read, there is no need to read it again.
  • the incident information evaluation unit 160 reads past incident information that has not yet been read from the past incident information storage device T3.
  • the incident information evaluation unit 160 reads parameter information from the parameter storage device T2.
  • the incident information evaluation unit 160 only needs to cache the parameter information read from the parameter storage device T2 in the cache area. Therefore, once the parameter information is read, there is no need to read it again.
  • the incident information evaluation unit 160 evaluates the degree of coincidence between the new incident information and the past incident information for each item.
  • the incident information evaluation unit 160 calculates the product of the evaluation score obtained in the evaluation of S1614 and the importance for each item. For example, if the value of the signature ID completely matches between the new incident information and the past incident information, an evaluation score of “1.0” is obtained in S1614, and the incident information evaluation unit 160 Then, the product of the evaluation score “1.0” of the degree of coincidence and the importance “0.95” of the signature ID is calculated.
  • the incident information evaluation unit 160 determines whether or not the processes of S1614 and S1615 are performed for all items included in the incident information. When there is an item for which the processing of S1614 and S1615 is not performed (NO in S1616), the incident information evaluation unit 160 performs the processing of S1614 and S1615 on the item. When the processing of S1614 and S1615 is performed for all items (YES in S1616), the incident information evaluation unit 160 proceeds to S1617.
  • the incident information evaluation unit 160 calculates the sum total of all items of the product value obtained in S1615.
  • FIG. 10 is a flowchart showing details of the matching score evaluation process (S1614) of FIG.
  • the incident information evaluation unit 160 compares the attribute value of the new incident information with the attribute value of the past incident information in the target item.
  • the incident information evaluation unit 160 obtains evaluation points corresponding to the comparison result (complete match, partial match, mismatch) in S16141 from the parameter information.
  • the new incident information of FIG. 2 is read in S1611 of FIG. 9, the past incident information of the record “# IMS001” of FIG. 4 is read in S1612 of FIG. 9, and the FIG. Assume that parameter information has been read. Since the value of the signature ID (# 1932) completely matches between the new incident information and the past incident information, the incident information evaluation unit 160 sets “1.0” as the evaluation score for the degree of coincidence of the signature ID as parameter information. Get from. Since the alert type value (XSS) also completely matches, the incident information evaluation unit 160 obtains “1.0” as the evaluation score of the degree of coincidence of the alert type from the parameter information. The incident information evaluation unit 160 performs the same evaluation for other items.
  • the incident information evaluation unit 160 evaluates the external IP address and the internal IP address as a perfect match if the network address and the host address completely match, and if the network address only matches, Evaluate as a match. In addition, the incident information evaluation unit 160 evaluates the time as a perfect match if the difference between the time of the new incident information and the time of the past incident information is equal to or less than a first threshold (for example, one day or less), If it is less than or equal to the second threshold (for example, within 5 days), it is evaluated as a partial match.
  • a first threshold for example, one day or less
  • the second threshold for example, within 5 days
  • the matching level of attribute values is evaluated including partial matching to calculate the degree of association, and based on the degree of association, it is related to new incident information. Extract past incident information. For this reason, it is possible to minimize the difference in response due to the search skill of the operator, and the work efficiency of incident response can be expected. Further, the operator can estimate the work of the countermeasure for the new incident by referring to the related past incident information.
  • Embodiment 2 FIG. In the first embodiment described above, it is assumed that the administrator manually sets parameters (importance and coincidence) as shown in FIG. For this reason, there is a possibility that the parameter value is biased by the administrator. In the present embodiment, an example will be described in which parameters are automatically set by machine learning instead of manual parameter setting by an administrator.
  • FIG. 11 shows a system configuration example according to the present embodiment.
  • a learning data storage device T4 is added in FIG.
  • the learning data storage device T4 stores learning data.
  • the learning data is data used for setting importance.
  • Elements other than the learning data storage device T4 are the same as those in FIG. 1, but in the present embodiment, the parameter setting unit 150 functions as an importance specifying unit.
  • differences from the first embodiment will be mainly described. Note that matters not described below are the same as those in the first embodiment.
  • FIG. 12 shows an example of learning data stored in the learning data storage device T4.
  • the past incident information stored in the parameter storage device T2 is stored as learning data.
  • the parameter setting unit 150 acquires learning data from the learning data storage device T4.
  • the parameter setting unit 150 sets the importance of the learning data item.
  • the parameter setting unit 150 evaluates the importance set in S15220. If the evaluation value in S15230 has converged (YES in S15240), the parameter setting unit 150 ends the parameter setting process S152. If the expected learning result is not obtained (NO in S1540), the parameter setting unit 150 returns to the processing of S15220 and redoes the importance setting.
  • the information processing apparatus 120 is a computer.
  • the information processing apparatus 120 includes hardware such as a processor 901, an auxiliary storage device 902, a memory 903, a communication device 904, an input interface 905, and a display interface 906.
  • the processor 901 is connected to other hardware via the signal line 910, and controls these other hardware.
  • the input interface 905 is connected to the input device 907.
  • the display interface 906 is connected to the display 908.
  • the processor 901 is an IC (Integrated Circuit) that performs processing.
  • the processor 901 is, for example, a CPU (Central Processing Unit), a DSP (Digital Signal Processor), or a GPU (Graphics Processing Unit).
  • the auxiliary storage device 902 is, for example, a ROM (Read Only Memory), a flash memory, or an HDD (Hard Disk Drive).
  • the memory 903 is, for example, a RAM (Random Access Memory).
  • the communication device 904 includes a receiver 9041 that receives data and a transmitter 9042 that transmits data.
  • the communication device 904 is, for example, a communication chip or a NIC (Network Interface Card).
  • the input interface 905 is a port to which the cable 911 of the input device 907 is connected.
  • the input interface 905 is, for example, a USB (Universal Serial Bus) terminal.
  • the display interface 906 is a port to which the cable 912 of the display 908 is connected.
  • the display interface 906 is, for example, a USB terminal or an HDMI (registered trademark) (High Definition Multimedia Interface) terminal.
  • the input device 907 is, for example, a mouse, a keyboard, or a touch panel.
  • the display 908 is, for example, an LCD (Liquid Crystal Display).
  • the auxiliary storage device 902 includes the information acquisition unit 130, the related incident extraction unit 140, the parameter setting unit 150, the incident information evaluation unit 160, and the list generation unit 170 (hereinafter, the information acquisition unit 130, the related incident shown in FIGS. 1 and 11).
  • a program that realizes the function of the extraction unit 140, the parameter setting unit 150, the incident information evaluation unit 160, and the list generation unit 170 is collectively described as “part”) is stored.
  • This program is loaded into the memory 903, read into the processor 901, and executed by the processor 901.
  • the auxiliary storage device 902 also stores an OS (Operating System). Then, at least a part of the OS is loaded into the memory 903, and the processor 901 executes a program that realizes the function of “unit” while executing the OS.
  • OS Operating System
  • the information processing apparatus 120 may include a plurality of processors 901.
  • a plurality of processors 901 may execute a program for realizing the function of “unit” in cooperation with each other.
  • information, data, signal values, and variable values indicating the processing results of “unit” are stored in the memory 903, the auxiliary storage device 902, or a register or cache memory in the processor 901.
  • circuitry may be provided as “circuitry”. Further, “part” may be read as “circuit”, “process”, “procedure”, or “processing”. “Circuit” and “Circuitry” include not only the processor 901 but also other types of processing circuits such as a logic IC or GA (Gate Array) or ASIC (Application Specific Integrated Circuit) or FPGA (Field-Programmable Gate Array). It is a concept to include.
  • GA Gate Array
  • ASIC Application Specific Integrated Circuit
  • FPGA Field-Programmable Gate Array

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Computer Hardware Design (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

　情報処理装置（１２０）は、過去に検出されたセキュリティインシデントの属性値が複数記述される過去インシデント情報を記憶する過去インシデント情報記憶装置（Ｔ３）に接続されている。情報取得部（１３０）は、新たに検出されたセキュリティインシデントの属性値が複数記述される新規インシデント情報を取得する。インシデント情報評価部（１６０）は、過去インシデント情報記憶装置（Ｔ３）から過去インシデント情報を読み出し、過去インシデント情報と新規インシデント情報との間で属性値の一致状況を、部分一致を含めて評価し、属性値の一致状況の評価結果に基づき、過去インシデント情報と新規インシデント情報との関連度を算出する。

Description

情報処理装置及び情報処理方法及び情報処理プログラム
　本発明は、インシデント情報を管理する技術に関する。
　セキュリティ機器が新たにセキュリティインシデント（以下、単にインシデントともいう）を検知した場合に、オペレータが、当該セキュリティインシデントの内容が記述されるインシデント情報を生成する。
　そして、オペレータは、既にデータベースに登録されている過去のインシデント情報（以下、過去インシデント情報という）の中から、新たに生成したインシデント情報（以下、新規インシデント情報という）に関連する過去インシデント情報を検索する。
　そして、オペレータは、検索した過去インシデント情報に記述される、過去のセキュリティインシデントに対する対応処置を参考にして、セキュリティ機器が新たに検知したセキュリティインシデントに対する対応処置を選択する。
　インシデント情報の検索に関連する技術として特許文献１に記載の技術がある。
　特許文献１に記載のインシデント監視装置は、インシデント名ごとにインシデントの分析のための分析用情報を生成する。
特開２０１０－２３７９７５号公報
　前述のように、セキュリティ機器が新たなセキュリティインシデントを検知した場合に、オペレータは、新規インシデント情報に関連する過去インシデント情報を検索する。
　このため、オペレータの検索スキルの差異によって検索結果に差異が生じる。
　特許文献１で得られる分析用情報を過去インシデント情報の検索に用いることで、オペレータごとの検索スキルの差異に起因する検索結果の差異を吸収することが可能である。
　しかしながら、特許文献１のインシデント監視装置は、インシデント名ごとに分析用情報を生成する。
　一般的に、セキュリティ機器のベンダごとにインシデント名が異なる。
　このため、特許文献１の技術では、複数のベンダのセキュリティ機器を利用する場合は、分析用情報の生成ために、インシデント名の名寄せが必要である。
　本発明は、このような事情に鑑みたものであり、インシデント名の名寄せを伴わずに、新規インシデント情報に関連する過去のインシデント情報を取得可能にすることを主な目的とする。
　本発明に係る情報処理装置は、
　過去に検出されたセキュリティインシデントの属性値が複数記述される過去インシデント情報を記憶する過去インシデント情報記憶装置に接続されている情報処理装置であって、
　新たに検出されたセキュリティインシデントの属性値が複数記述される新規インシデント情報を取得する情報取得部と、
　前記過去インシデント情報記憶装置から前記過去インシデント情報を読み出し、前記過去インシデント情報と前記新規インシデント情報との間で属性値の一致状況を、部分一致を含めて評価し、属性値の一致状況の評価結果に基づき、前記過去インシデント情報と前記新規インシデント情報との関連度を算出するインシデント情報評価部とを有する。
　本発明では、過去インシデント情報と新規インシデント情報との間でインシデント名を含む複数の属性値の一致状況を、部分一致を含めて評価することができ、評価結果に基づき、過去インシデント情報と新規インシデント情報との関連度を算出することができる。
　このため、本発明によれば、セキュリティ機器のベンダことにインシデント名が異なっていても、インシデント名の名寄せを行わずに、ベンダごとのインシデント名の違いを吸収して新規インシデント情報に関連する過去インシデント情報を取得することができる。
実施の形態１に係るシステム構成例を示す図。 実施の形態１に係る新規インシデント情報の例を示す図。 実施の形態１に係るパラメータ情報の例を示す図。 実施の形態１に係る過去インシデント情報の例を示す図。 実施の形態１に係るインシデント抽出処理の例を示すフローチャート図。 実施の形態１に係る入力処理の例を示すフローチャート図。 実施の形態１に係るパラメータ設定処理の例を示すフローチャート図。 実施の形態１に係る計算処理の例を示すフローチャート図。 実施の形態１に係る関連度の計算処理の例を示すフローチャート図。 実施の形態１に係る一致度評価処理の例を示すフローチャート図。 実施の形態２に係るシステム構成例を示す図。 実施の形態２に係る学習データの例を示す図。 実施の形態２に係るパラメータ設定処理の例を示すフローチャート図。 実施の形態１及び２に係る情報処理装置のハードウェア構成例を示す図。
　実施の形態１．
＊＊＊構成の説明＊＊＊
　図１は、本実施の形態に係るシステム構成例を示す。
　図１において、入力装置１１０は、オペレータが新規インシデント情報を生成する際に用いられる。
　新規インシデント情報は、新たに発生したセキュリティインシデント（以下、新規インシデントともいう）を通知する情報である。
　情報処理装置１２０は、新規インシデント情報と過去インシデント情報とを管理する。
　過去インシデント情報は、過去に発生したセキュリティインシデント（過去インシデントともいう）についてのインシデント情報である。
　より具体的には、情報処理装置１２０は、入力装置１１０から新規インシデント情報を取得し、新規インシデント情報と複数の過去インシデント情報の各々との関連度を算出し、関連度の順に過去インシデント情報を列挙する過去インシデント情報リストを生成する。
　なお、新規インシデント情報と過去インシデント情報とを区別する必要がない場合は、両者を合わせてインシデント情報という。
　情報処理装置１２０は、入力装置１１０、出力装置１８０、新規インシデント情報記憶装置Ｔ１、パラメータ記憶装置Ｔ２及び過去インシデント情報記憶装置Ｔ３に接続されている。
　出力装置１８０は、情報処理装置１２０により生成された過去インシデント情報リストを出力する。
　新規インシデント情報記憶装置Ｔ１は、図２に例示する新規インシデント情報を一時的に記憶する。
　新規インシデント情報には、新たに検出されたセキュリティインシデントの属性値が複数記述される。
　新規インシデント情報には、基本情報とログ情報が含まれる。
　基本情報は、セキュリティ機器のベンダ名、製品名である。
　ログ情報は、セキュリティ機器が検出したインシデントに関する情報であり、具体的には、シグニチャＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）、アラート種別、外部ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレス、内部ＩＰアドレス、時刻である。
　なお、図２では、簡明化のため、時刻は年月日までの記載となっているが、時分秒まで記載するようにしてもよい。
　また、シグニチャＩＤ及びアラート種別が、インシデント名に相当する。
　過去インシデント情報記憶装置Ｔ３は、図４に例示するように、複数の過去インシデント情報を記憶する。
　過去インシデント情報には、過去インシデントの属性値が複数記述される。
　過去インシデント情報において、過去インシデント情報ＩＤは、過去インシデント情報の識別子である。
　過去インシデント情報には、新規インシデント情報に含まれる項目Ｎまでの項目が含まれ、更に、対応処置の項目が含まれる。
　対応処置の項目には、オペレータが過去インシデントに対して実施した対応処置が記述される。
　なお、図４では、作図上の理由により、項目Ｎの図示が省略されているが、過去インシデント情報には、新規インシデント情報と同様に、項目Ｎが含まれている。
　パラメータ記憶装置Ｔ２は、図３に例示するパラメータ情報を記憶する。
　パラメータ情報では、新規インシデント情報と過去インシデント情報との関連度を算出するための複数のパラメータが定義される。
　パラメータ情報では、インシデント情報に含まれる複数の項目（シグニチャＩＤ、アラート種別、外部ＩＰアドレス、内部ＩＰアドレス、時刻、ベンダ名、製品名、項目Ｎ等）の項目ごとに、パラメータとして重要度と一致度とが定義されている。
　一致度は、完全一致、部分一致、不一致に区分される。
　完全一致の欄に記述されている評価点は、新規インシデント情報と過去インシデント情報との間で属性値が完全に一致する場合に用いられる評価点である。
　部分一致の欄に記述されている評価点は、新規インシデント情報と過去インシデント情報との間で属性値が部分的に一致する場合に用いられる評価点である。
　不一致の欄に記述されている評価点は、新規インシデント情報と過去インシデント情報との間で属性値が一致しない場合に用いられる評価点である。
　一部の項目では、部分一致の評価点が設定されていない。
　部分一致の評価点が設定されていない項目では「－」が記述される。
　重要度は、一致度の評価点に加重される係数である。
　例えば、新規インシデント情報と過去インシデント情報との間で、シグニチャＩＤの値が完全に一致していた場合は、１．０×０．９５＝０．９５という計算が行われる。
　他の項目においても同様の計算が行われて、全ての項目の積値が加算されて、新規インシデント情報と過去インシデント情報との関連度の値が得られる。
　次に、情報処理装置１２０の内部構成を説明する。
　情報処理装置１２０において、情報取得部１３０は、入力装置１１０から、新規インシデント情報を取得する。
　そして、情報取得部１３０は、新規インシデント情報を新規インシデント情報記憶装置Ｔ１に格納する。
　関連インシデント抽出部１４０は、パラメータ設定部１５０、インシデント情報評価部１６０、リスト生成部１７０で構成される。
　パラメータ設定部１５０は、図３に例示したパラメータ情報を生成する。
　つまり、項目ごとに重要度及び一致度を設定してパラメータ情報を生成する。
　パラメータ設定部１５０は、生成したパラメータ情報をパラメータ記憶装置Ｔ２に格納する。
　インシデント情報評価部１６０は、過去インシデント情報記憶装置Ｔ３から複数の過去インシデント情報を読み出す。
　そして、インシデント情報評価部１６０は、パラメータ情報を用いて、複数の過去インシデント情報の各々と新規インシデント情報との間で属性値の一致状況を、部分一致を含めて評価し、属性値の一致状況の評価結果に基づき、複数の過去インシデント情報の各々と新規インシデント情報との関連度を算出する。
　リスト生成部１７０は、過去インシデント情報リストを生成する。
　過去インシデント情報リストは、インシデント情報評価部１６０により算出された関連度の順に、複数の過去インシデント情報が列挙されるリストである。
＊＊＊動作の説明＊＊＊
　次に、本実施の形態に係る情報処理装置１２０の動作例を説明する。
　なお、以下で説明する情報処理装置１２０の動作例は、本願の情報処理方法及び情報処理プログラムの処理例に相当する。
　図５は、インシデント抽出処理を示すフローチャートである。
　まず、Ｓ１１０で、情報取得部１３０が入力装置１１０から新規インシデント情報を取得する（情報取得処理）。
　次に、Ｓ１３０で、情報取得部１３０が、新規インシデント情報を新規インシデント情報記憶装置Ｔ１に格納する。
　次に、Ｓ１５１で、パラメータの設定の要否が確認される。
　パラメータ記憶装置Ｔ２にパラメータ情報が記憶されていなければ、パラメータの設定が必要であり（Ｓ１５１でＹＥＳ）、パラメータ記憶装置Ｔ２にパラメータ情報が既に記憶されていれば、パラメータの設定は不要である（Ｓ１５１でＮＯ）。
　パラメータの設定が必要な場合（Ｓ１５１でＹＥＳ）は、Ｓ１５２で、パラメータ設定部１５０が項目単位でパラメータ（重要度、一致度）を設定して、図３に例示したパラメータ情報を生成し、生成したパラメータ情報をパラメータ記憶装置Ｔ２に格納する。
　一方、パラメータの設定が不要な場合（Ｓ１５１でＮＯ）は、Ｓ１６０で、インシデント情報評価部１６０が、計算処理を行う（インシデント情報評価処理）。
　具体的には、インシデント情報評価部１６０は、新規インシデント情報記憶装置Ｔ１から新規インシデント情報を読み出し、パラメータ記憶装置Ｔ２からパラメータ情報を読み出し、過去インシデント情報記憶装置Ｔ３から複数の過去インシデント情報を読み出し、パラメータ情報に基づいて、新規インシデント情報と過去インシデント情報の各々との関連度を計算する。
　次に、Ｓ１７０において、リスト生成部１７０が、インシデント情報評価部１６０により計算された関連度の順に複数の過去インシデント情報を並べ替えて過去インシデント情報リストを生成する。
　最後に、Ｓ１８０において、リスト生成部１７０が、過去インシデント情報リストを出力する。
　過去インシデント情報リストが出力されると、オペレータは、例えば、上位の過去インシデント情報の対応処置を参考にして、新規インシデントに対する対応処置を選択し、選択した対応処置を実施する。
　そして、オペレータは、新規インシデント情報に対応処置のカラムを追加し、追加した対応処置のカラムに、入力装置１１０を用いて、実施した対応処置を記述する。
　そして、対応処置が記述された後の新規インシデント情報が、過去インシデント情報として過去インシデント情報記憶装置Ｔ３に格納される。
　図６は、図５の入力処理（Ｓ１１０）の詳細を示すフローチャートである。
　先ず、Ｓ１１１で、情報取得部１３０が出力装置１８０に入力画面を表示する。
　入力画面は、オペレータが新規インシデント情報を入力するための画面である。
　次に、Ｓ１１２で、オペレータが、新規インシデントを検知したセキュリティ機器の基本情報を入力装置１１０を用いて入力画面に入力する。
　出力装置１８０は、入力装置１１０からセキュリティ機器の基本情報を取得する。
　次に、Ｓ１１３で、オペレータが、セキュリティ機器が検知した新規インシデントに関するログ情報を入力装置１１０を用いて入力画面に入力する。
　出力装置１８０は、入力装置１１０からログ情報を取得する。
　出力装置１８０は、Ｓ１１２で入力された基本情報とＳ１１３で入力されたログ情報とを組み合わせて図２に例示した新規インシデント情報を得る。
　図７は、図５のパラメータ設定処理（Ｓ１５２）の詳細を示すフローチャートである。
　先ず、Ｓ１５２１で、パラメータ設定部１５０が出力装置１８０にパラメータ設定画面を表示する。
　パラメータ設定画面は、オペレータがパラメータを設定するための画面である。
　次に、Ｓ１５２２で、オペレータは、インシデント情報の複数の項目のうちパラメータを設定する項目を選択する。
　次に、Ｓ１５２３で、管理者は、Ｓ１５２２で選択した項目の重要度の値と一致度の値を入力する。
　パラメータ設定部１５０は、入力装置１１０から管理者が入力した各項目の重要度の値と一致度の値を取得し、図３に例示したパラメータ情報を生成する。
　そして、パラメータ設定部１５０は、生成したパラメータ情報をパラメータ記憶装置Ｔ２に格納する。
　図８は、図５の計算処理（Ｓ１６０）の詳細を示すフローチャートである。
　先ず、Ｓ１６１で、インシデント情報評価部１６０が、新規インシデント情報と１つの過去インシデント情報との関連度を計算する。
　そして、過去インシデント情報記憶装置Ｔ３で記憶されている全ての過去インシデント情報について、新規インシデント情報との関連度を計算するまで、インシデント情報評価部１６０は、Ｓ１６１の処理を繰り返す（Ｓ１６２）。
　図９は、図８の関連度の計算処理（Ｓ１６１）の詳細を示すフローチャートである。
　先ず、Ｓ１６１１で、インシデント情報評価部１６０は、新規インシデント情報記憶装置Ｔ１から新規インシデント情報を読み出す。
　なお、インシデント情報評価部１６０は、新規インシデント情報記憶装置Ｔ１から読み出した新規インシデント情報をキャッシュエリアにキャッシュすればよいので、一度新規インシデント情報を読み出せば、再度読み出す必要はない。
　次に、Ｓ１６１２で、インシデント情報評価部１６０は、過去インシデント情報記憶装置Ｔ３から、まだ読み出していない過去インシデント情報を読み出す。
　次に、Ｓ１６１３で、インシデント情報評価部１６０は、パラメータ記憶装置Ｔ２からパラメータ情報を読み出す。
　なお、インシデント情報評価部１６０は、パラメータ記憶装置Ｔ２から読み出したパラメータ情報をキャッシュエリアにキャッシュすればよいので、一度パラメータ情報を読み出せば、再度読み出す必要はない。
　次に、Ｓ１６１４で、インシデント情報評価部１６０は、項目ごとに、新規インシデント情報と過去インシデント情報の一致度を評価する。
　次に、Ｓ１６１５で、インシデント情報評価部１６０は、項目ごとに、Ｓ１６１４の評価で得られた評価点と、重要度との積を計算する。
　例えば、新規インシデント情報と過去インシデント情報との間でシグニチャＩＤの値が完全に一致している場合は、Ｓ１６１４で「１．０」との評価点が得られており、インシデント情報評価部１６０は、一致度の評価点「１．０」とシグニチャＩＤの重要度「０．９５」との積を計算する。
　次に、Ｓ１６１６で、インシデント情報評価部１６０は、インシデント情報に含まれる全ての項目についてＳ１６１４とＳ１６１５の処理を行っているか否かを判定する。
　Ｓ１６１４とＳ１６１５の処理が行われていない項目がある場合（Ｓ１６１６でＮＯ）は、インシデント情報評価部１６０は、当該項目に対してＳ１６１４とＳ１６１５の処理を行う。
　全ての項目に対してＳ１６１４とＳ１６１５の処理が行われている場合（Ｓ１６１６でＹＥＳ）は、インシデント情報評価部１６０は、Ｓ１６１７に進む。
　Ｓ１６１７では、インシデント情報評価部１６０は、Ｓ１６１５で得られた積値の全項目分の総和を計算する。
　図１０は、図９の一致度評価処理（Ｓ１６１４）の詳細を示すフローチャートである。
　Ｓ１６１４１では、インシデント情報評価部１６０は、対象となる項目での新規インシデント情報の属性値と過去インシデント情報の属性値とを比較する。
　Ｓ１６１４２では、インシデント情報評価部１６０は、Ｓ１６１４１での比較結果（完全一致、部分一致、不一致）に対応する評価点をパラメータ情報から得る。
　ここで、図９のＳ１６１１で図２の新規インシデント情報が読み出され、図９のＳ１６１２で図４の「＃ＩＭＳ００１」のレコードの過去インシデント情報が読み出され、図９のＳ１６１３で図３のパラメータ情報が読み出されたと想定する。
　新規インシデント情報と過去インシデント情報の間で、シグニチャＩＤの値（＃１９３２）は完全に一致するので、インシデント情報評価部１６０は、シグニチャＩＤの一致度の評価点として「１．０」をパラメータ情報から得る。
　また、アラート種別の値（ＸＳＳ）も完全に一致するので、インシデント情報評価部１６０は、アラート種別の一致度の評価点として「１．０」をパラメータ情報から得る。
　インシデント情報評価部１６０は、他の項目についても、同様の評価を行う。
　なお、インシデント情報評価部１６０は、外部ＩＰアドレス、内部ＩＰアドレスについては、ネットワークアドレスとホストアドレスとが完全に一致していれば完全一致と評価し、ネットワークアドレスのみが一致していれば、部分一致と評価する。
　また、インシデント情報評価部１６０は、時刻については、新規インシデント情報の時刻と過去インシデント情報の時刻との差が第１の閾値以下（例えば、１日以下）であれば、完全一致と評価し、第２の閾値以下（例えば、５日以内）であれば、部分一致と評価する。
＊＊＊効果の説明＊＊＊
　以上のように、本実施の形態によれば、インシデント情報の項目ごとに属性値の一致状況を部分一致を含めて評価して関連度を算出し、関連度に基づき、新規インシデント情報に関連する過去インシデント情報を抽出する。
　このため、オペレータの検索スキルによる対応の差を最小限にすることが可能であり、インシデント対応の作業効率化が見込める。
　また、オペレータは、関連する過去インシデント情報を参照することで、新規インシデントに対する対応処置の作業見積もりを行うことが可能になる。
　実施の形態２．
　以上の実施の形態１では、図７に示すように、管理者が手動でパラメータ（重要度、一致度）の設定を行うことを前提としている。
　このため、管理者によってパラメータの値に偏りが生じる可能性がある。
　本実施の形態では、管理者の手動によるパラメータ設定ではなく、機械学習によってパラメータを自動で設定する例を説明する。
＊＊＊構成の説明＊＊＊
　図１１は、本実施の形態に係るシステム構成例を示す。
　図１と比較して、図１１では、学習データ記憶装置Ｔ４が追加されている。
　学習データ記憶装置Ｔ４は、学習データを記憶する。
　学習データは、重要度の設定に用いられるデータである。
　学習データ記憶装置Ｔ４以外の要素は、図１と同じであるが、本実施の形態では、パラメータ設定部１５０は重要度指定部として機能する。
　以下は、主に実施の形態１との差異を説明する。
　なお、以下で説明していない事項は実施の形態１と同じである。
　図１２は、学習データ記憶装置Ｔ４で記憶されている学習データの例を示す。
　図１２の例では、パラメータ記憶装置Ｔ２で記憶されている過去インシデント情報が学習データとして記憶されている。
＊＊＊動作の説明＊＊＊
　本実施の形態では、図５のパラメータ設定処理（Ｓ１５２）として、図７の手順ではなく、図１３の手順が実施される。
　図１３は、パラメータ設定部１５０が、機械学習によって重要度を算出する手順を示す。
　Ｓ１５２１０で、パラメータ設定部１５０は、学習データ記憶装置Ｔ４から学習データを取得する。
　Ｓ１５２２０で、パラメータ設定部１５０は、学習データの項目の重要度を設定する。
　Ｓ１５２３０で、パラメータ設定部１５０は、Ｓ１５２２０で設定した重要度を評価する。
　パラメータ設定部１５０は、Ｓ１５２３０の評価値が収束した場合（Ｓ１５２４０でＹＥＳ）に、パラメータ設定処理Ｓ１５２を終了する。
　期待した学習結果が得られなかった場合（Ｓ１５４０でＮＯ）は、パラメータ設定部１５０は、Ｓ１５２２０の処理に戻り重要度の設定をやり直す。
＊＊＊効果の説明＊＊＊
　以上のように、本実施の形態によれば、重要度を自動的に求めることによって、管理者による重要度の偏りをなくす効果がある。
　以上、本発明の実施の形態について説明したが、これら２つの実施の形態を組み合わせて実施しても構わない。
　あるいは、これら２つの実施の形態のうち、１つを部分的に実施しても構わない。
　あるいは、これら２つの実施の形態を部分的に組み合わせて実施しても構わない。
　なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
＊＊＊ハードウェア構成の説明＊＊＊
　最後に、情報処理装置１２０のハードウェア構成例を図１４を参照して説明する。
　情報処理装置１２０はコンピュータである。
　情報処理装置１２０は、プロセッサ９０１、補助記憶装置９０２、メモリ９０３、通信装置９０４、入力インタフェース９０５、ディスプレイインタフェース９０６といったハードウェアを備える。
　プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
　入力インタフェース９０５は、入力装置９０７に接続されている。
　ディスプレイインタフェース９０６は、ディスプレイ９０８に接続されている。
　プロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）である。
　プロセッサ９０１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　補助記憶装置９０２は、例えば、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）である。
　メモリ９０３は、例えば、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。
　通信装置９０４は、データを受信するレシーバー９０４１及びデータを送信するトランスミッター９０４２を含む。
　通信装置９０４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　入力インタフェース９０５は、入力装置９０７のケーブル９１１が接続されるポートである。
　入力インタフェース９０５は、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）端子である。
　ディスプレイインタフェース９０６は、ディスプレイ９０８のケーブル９１２が接続されるポートである。
　ディスプレイインタフェース９０６は、例えば、ＵＳＢ端子又はＨＤＭＩ（登録商標）（Ｈｉｇｈ　Ｄｅｆｉｎｉｔｉｏｎ　Ｍｕｌｔｉｍｅｄｉａ　Ｉｎｔｅｒｆａｃｅ）端子である。
　入力装置９０７は、例えば、マウス、キーボード又はタッチパネルである。
　ディスプレイ９０８は、例えば、ＬＣＤ（Ｌｉｑｕｉｄ　Ｃｒｙｓｔａｌ　Ｄｉｓｐｌａｙ）である。
　補助記憶装置９０２には、図１及び図１１に示す情報取得部１３０、関連インシデント抽出部１４０、パラメータ設定部１５０、インシデント情報評価部１６０、リスト生成部１７０（以下、情報取得部１３０、関連インシデント抽出部１４０、パラメータ設定部１５０、インシデント情報評価部１６０、リスト生成部１７０をまとめて「部」と表記する）の機能を実現するプログラムが記憶されている。
　このプログラムは、メモリ９０３にロードされ、プロセッサ９０１に読み込まれ、プロセッサ９０１によって実行される。
　更に、補助記憶装置９０２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）も記憶されている。
　そして、ＯＳの少なくとも一部がメモリ９０３にロードされ、プロセッサ９０１はＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。
　図１４では、１つのプロセッサ９０１が図示されているが、情報処理装置１２０が複数のプロセッサ９０１を備えていてもよい。
　そして、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。
　また、「部」の処理の結果を示す情報やデータや信号値や変数値が、メモリ９０３、補助記憶装置９０２、又は、プロセッサ９０１内のレジスタ又はキャッシュメモリに記憶される。
　「部」を「サーキットリー」で提供してもよい。
　また、「部」を「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
　「回路」及び「サーキットリー」は、プロセッサ９０１だけでなく、ロジックＩＣ又はＧＡ（Ｇａｔｅ　Ａｒｒａｙ）又はＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）又はＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）といった他の種類の処理回路をも包含する概念である。
　１１０　入力装置、１２０　情報処理装置、１３０　情報取得部、１４０　関連インシデント抽出部、１５０　パラメータ設定部、１６０　インシデント情報評価部、１７０　リスト生成部、１８０　出力装置、Ｔ１　新規インシデント情報記憶装置、Ｔ２　パラメータ記憶装置、Ｔ３　過去インシデント情報記憶装置、Ｔ４　学習データ記憶装置。

Claims (9)

  1. 　過去に検出されたセキュリティインシデントの属性値が複数記述される過去インシデント情報を記憶する過去インシデント情報記憶装置に接続されている情報処理装置であって、
    　新たに検出されたセキュリティインシデントの属性値が複数記述される新規インシデント情報を取得する情報取得部と、
    　前記過去インシデント情報記憶装置から前記過去インシデント情報を読み出し、前記過去インシデント情報と前記新規インシデント情報との間で属性値の一致状況を、部分一致を含めて評価し、属性値の一致状況の評価結果に基づき、前記過去インシデント情報と前記新規インシデント情報との関連度を算出するインシデント情報評価部とを有する情報処理装置。
  2. 　前記情報処理装置は、
    　属性値として、過去に検出されたセキュリティインシデントのインシデント名が記述される過去インシデント情報を記憶する過去インシデント情報記憶装置に接続されており、
    　前記情報取得部は、
    　属性値として、新たに検出されたセキュリティインシデントのインシデント名が記述される新規インシデント情報を取得し、
    　前記インシデント情報評価部は、
    　前記過去インシデント情報と前記新規インシデント情報との間で、インシデント名を含む属性値の一致状況を評価する請求項１に記載の情報処理装置。
  3. 　前記情報処理装置は、
    　前記過去インシデント情報を複数記憶する過去インシデント情報記憶装置に接続されており、
    　前記インシデント情報評価部は、
    　前記過去インシデント情報記憶装置から複数の過去インシデント情報を読み出し、前記複数の過去インシデント情報の各々と前記新規インシデント情報との間で属性値の一致状況を、部分一致を含めて評価し、属性値の一致状況の評価結果に基づき、前記複数の過去インシデント情報の各々と前記新規インシデント情報との関連度を算出する請求項１に記載の情報処理装置。
  4. 　前記情報処理装置は、更に、
    　前記インシデント情報評価部により算出された関連度の順に、前記複数の過去インシデント情報が列挙される過去インシデント情報リストを生成するリスト生成部を有する請求項３に記載の情報処理装置。
  5. 　前記情報処理装置は、
    　複数の属性値が複数の項目に記述されている過去インシデント情報を記憶する過去インシデント情報記憶装置に接続されており、
    　前記情報取得部は、
    　複数の属性値が複数の項目に記述されている新規インシデント情報を取得し、
    　前記インシデント情報評価部は、
    　前記過去インシデント情報と前記新規インシデント情報との間で項目単位で属性値の一致状況を、部分一致を含めて評価し、属性値の一致状況の評価結果と、項目単位で指定されている重要度とに基づき、前記過去インシデント情報と前記新規インシデント情報との関連度を算出する請求項１に記載の情報処理装置。
  6. 　前記インシデント情報評価部は、
    　属性値の一致状況に基づき、項目単位で指定されている完全一致の場合の評価点と部分一致の場合の評価点と不一致の場合の評価点のうちのいずれかを項目単位で選択し、選択した評価点と前記重要度とを用いた計算を項目単位で行って、前記過去インシデント情報と前記新規インシデント情報との関連度を算出する請求項５に記載の情報処理装置。
  7. 　前記情報処理装置は、更に、
    　学習データを用いた学習により、項目単位で前記重要度を指定する重要度指定部を有し、
    　前記インシデント情報評価部は、
    　前記重要度指定部により指定された前記重要度と、属性値の一致状況の評価結果とに基づき、前記過去インシデント情報と前記新規インシデント情報との関連度を算出する請求項５に記載の情報処理装置。
  8. 　過去に検出されたセキュリティインシデントの属性値が複数記述される過去インシデント情報を記憶する過去インシデント情報記憶装置に接続されているコンピュータが、
    　新たに検出されたセキュリティインシデントの属性値が複数記述される新規インシデント情報を取得し、
    　前記インシデント情報記憶装置から前記過去インシデント情報を読み出し、前記過去インシデント情報と前記新規インシデント情報との間で属性値の一致状況を、部分一致を含めて評価し、属性値の一致状況の評価結果に基づき、前記過去インシデント情報と前記新規インシデント情報との関連度を算出する情報処理方法。
  9. 　過去に検出されたセキュリティインシデントの属性値が複数記述される過去インシデント情報を記憶する過去インシデント情報記憶装置に接続されているコンピュータに、
    　新たに検出されたセキュリティインシデントの属性値が複数記述される新規インシデント情報を取得する情報取得処理と、
    　前記インシデント情報記憶装置から前記過去インシデント情報を読み出し、前記過去インシデント情報と前記新規インシデント情報との間で属性値の一致状況を、部分一致を含めて評価し、属性値の一致状況の評価結果に基づき、前記過去インシデント情報と前記新規インシデント情報との関連度を算出するインシデント情報評価処理とを実行させる情報処理プログラム。
PCT/JP2015/058335 2015-03-19 2015-03-19 情報処理装置及び情報処理方法及び情報処理プログラム WO2016147403A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2015/058335 WO2016147403A1 (ja) 2015-03-19 2015-03-19 情報処理装置及び情報処理方法及び情報処理プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2015/058335 WO2016147403A1 (ja) 2015-03-19 2015-03-19 情報処理装置及び情報処理方法及び情報処理プログラム

Publications (1)

Publication Number Publication Date
WO2016147403A1 true WO2016147403A1 (ja) 2016-09-22

Family

ID=56918769

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/058335 WO2016147403A1 (ja) 2015-03-19 2015-03-19 情報処理装置及び情報処理方法及び情報処理プログラム

Country Status (1)

Country Link
WO (1) WO2016147403A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019026310A1 (ja) * 2017-08-02 2019-02-07 三菱電機株式会社 情報処理装置、情報処理方法及び情報処理プログラム
JP2019168796A (ja) * 2018-03-22 2019-10-03 株式会社日立システムズ 特徴選択装置および特徴選択方法
US20200275278A1 (en) * 2019-02-26 2020-08-27 Hitachi, Ltd. Unauthorized Communication Detection Apparatus and Recording Medium
JP2021099589A (ja) * 2019-12-20 2021-07-01 株式会社日立製作所 情報セキュリティ支援システム、情報セキュリティ支援方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002197116A (ja) * 2000-12-26 2002-07-12 Fujitsu Ltd 検索装置
JP2004021729A (ja) * 2002-06-18 2004-01-22 Fujitsu Ltd プロファイルデータ検索装置及びプログラム
JP2008140313A (ja) * 2006-12-05 2008-06-19 Nec Corp セキュリティ被害予測システム、セキュリティ被害予測方法及びセキュリティ被害予測プログラム
JP2011076161A (ja) * 2009-09-29 2011-04-14 Nomura Research Institute Ltd インシデント管理システム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002197116A (ja) * 2000-12-26 2002-07-12 Fujitsu Ltd 検索装置
JP2004021729A (ja) * 2002-06-18 2004-01-22 Fujitsu Ltd プロファイルデータ検索装置及びプログラム
JP2008140313A (ja) * 2006-12-05 2008-06-19 Nec Corp セキュリティ被害予測システム、セキュリティ被害予測方法及びセキュリティ被害予測プログラム
JP2011076161A (ja) * 2009-09-29 2011-04-14 Nomura Research Institute Ltd インシデント管理システム

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019026310A1 (ja) * 2017-08-02 2019-02-07 三菱電機株式会社 情報処理装置、情報処理方法及び情報処理プログラム
JP2019028891A (ja) * 2017-08-02 2019-02-21 三菱電機株式会社 情報処理装置、情報処理方法及び情報処理プログラム
JP2019168796A (ja) * 2018-03-22 2019-10-03 株式会社日立システムズ 特徴選択装置および特徴選択方法
US20200275278A1 (en) * 2019-02-26 2020-08-27 Hitachi, Ltd. Unauthorized Communication Detection Apparatus and Recording Medium
JP2020135816A (ja) * 2019-02-26 2020-08-31 株式会社日立製作所 不正通信検知装置および不正通信検知プログラム
JP7109391B2 (ja) 2019-02-26 2022-07-29 株式会社日立製作所 不正通信検知装置および不正通信検知プログラム
US11792650B2 (en) 2019-02-26 2023-10-17 Hitachi, Ltd. Unauthorized communication detection apparatus and recording medium
JP2021099589A (ja) * 2019-12-20 2021-07-01 株式会社日立製作所 情報セキュリティ支援システム、情報セキュリティ支援方法
JP7245765B2 (ja) 2019-12-20 2023-03-24 株式会社日立製作所 情報セキュリティ支援システム、情報セキュリティ支援方法

Similar Documents

Publication Publication Date Title
CN109690548B (zh) 基于设备属性和设备风险因素的计算设备保护
WO2014208427A1 (ja) セキュリティ情報管理システム及びセキュリティ情報管理方法
US11093461B2 (en) Method for computing distinct values in analytical databases
US11710330B2 (en) Revealing content reuse using coarse analysis
WO2016147403A1 (ja) 情報処理装置及び情報処理方法及び情報処理プログラム
US20160098390A1 (en) Command history analysis apparatus and command history analysis method
US11200244B2 (en) Keyword reporting for mobile applications
WO2016073765A1 (en) Method and system for behavior query construction in temporal graphs using discriminative sub-trace mining
EP4020284A1 (en) Systems and methods for cross-referencing forensic snapshot over time for root-cause analysis
US20190129781A1 (en) Event investigation assist method and event investigation assist device
JP6575080B2 (ja) 画像検索装置及びプログラム
US20180173787A1 (en) Data search method and device
JP6579995B2 (ja) 静観候補特定装置、静観候補特定方法及び静観候補特定プログラム
JP7031735B2 (ja) 情報処理装置、制御方法、及びプログラム
JP6425865B1 (ja) リスク分析装置、リスク分析方法及びリスク分析プログラム
US8302045B2 (en) Electronic device and method for inspecting electrical rules of circuit boards
US20230367884A1 (en) Cyber attack scenario generation method and device
CN114666136A (zh) 一种网络攻击行为的检测方法和装置
US9900331B2 (en) Log tracing apparatus and non-transitory computer-readable medium storing a log tracing program
US20150286488A1 (en) Verification support method, verification supporting device, and storage medium
US11899793B2 (en) Information processing apparatus, control method, and program
JP6351545B2 (ja) パラメータ管理装置およびパラメータ管理プログラム
JP2017156916A (ja) 類似文書検索装置
JPWO2020100186A1 (ja) 情報処理装置、制御方法、及びプログラム
JP2020005234A (ja) 生成装置、生成方法及び生成プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15885499

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15885499

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP