WO2020017000A1 - サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置 - Google Patents

サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置 Download PDF

Info

Publication number
WO2020017000A1
WO2020017000A1 PCT/JP2018/027140 JP2018027140W WO2020017000A1 WO 2020017000 A1 WO2020017000 A1 WO 2020017000A1 JP 2018027140 W JP2018027140 W JP 2018027140W WO 2020017000 A1 WO2020017000 A1 WO 2020017000A1
Authority
WO
WIPO (PCT)
Prior art keywords
address
cyber attack
addresses
information
period
Prior art date
Application number
PCT/JP2018/027140
Other languages
English (en)
French (fr)
Inventor
谷口　剛
Original Assignee
富士通株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 富士通株式会社 filed Critical 富士通株式会社
Priority to PCT/JP2018/027140 priority Critical patent/WO2020017000A1/ja
Priority to EP18926933.5A priority patent/EP3826242B1/en
Priority to JP2020530819A priority patent/JP6984754B2/ja
Publication of WO2020017000A1 publication Critical patent/WO2020017000A1/ja
Priority to US17/130,467 priority patent/US20210152573A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/121—Timestamp
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks

Definitions

  • the embodiments of the present invention relate to a cyber attack information analysis program, a cyber attack information analysis method, and an information processing device.
  • Techniques for identifying the source of an attack from a vast amount of cyberattack information include multiple attackees with the same attack source communication device during the period of the attack, including the detection time and detection time when the network device detected the attack.
  • a device that extracts a combination of communication devices is known.
  • One object of the present invention is to provide a cyber attack information analysis program, a cyber attack information analysis method, and an information processing device that can support identification of information that is significant in analyzing a cyber attack.
  • the cyber attack information analysis program causes a computer to execute a process of collecting, a process of specifying, a process of determining, and a process of outputting.
  • the collecting process collects a plurality of pieces of cyber attack information.
  • the identification process analyzes the collected multiple cyber attack information, identifies the multiple addresses of the cyber attack sources included in the multiple cyber attack information, and observes the addresses of the identified multiple cyber attack sources. Identify the time period.
  • the determining process is performed in accordance with a result of comparing the first period distribution of the observed period corresponding to the specified plurality of addresses with the second period distribution of the period observed for each address band, Alternatively, some addresses included in the address band are determined as monitoring targets.
  • the output process outputs information on the determined address band or a part of addresses included in the address band.
  • FIG. 1 is a block diagram illustrating an example of a functional configuration of the information processing apparatus according to the embodiment.
  • FIG. 2 is an explanatory diagram for explaining cyber threat intelligence.
  • FIG. 3 is a flowchart illustrating an example of the pre-processing.
  • FIG. 4 is an explanatory diagram illustrating an example of element extraction.
  • FIG. 5A is an explanatory diagram of an example of the IP address group information.
  • FIG. 5-2 is an explanatory diagram of an example of the cyber threat intelligence-IP address group information.
  • FIG. 6 is a flowchart illustrating an example of the lifetime learning process.
  • FIG. 7A is an explanatory diagram of an example of the IP address group information.
  • FIG. 7B is an explanatory diagram of an example of the cyber threat intelligence-IP address group information.
  • FIG. 1 is a block diagram illustrating an example of a functional configuration of the information processing apparatus according to the embodiment.
  • FIG. 2 is an explanatory diagram for explaining cyber threat intelligence.
  • FIG. 3 is
  • FIG. 8 is a flowchart illustrating an example of the detection process.
  • FIG. 9 is an explanatory diagram illustrating an example of the lifetime information.
  • FIG. 10 is an explanatory diagram illustrating an example of the output list.
  • FIG. 11A is an explanatory diagram for explaining the distribution of the lifetime.
  • FIG. 11B is an explanatory diagram for explaining the distribution of the lifetime.
  • FIG. 12 is a block diagram illustrating an example of a hardware configuration of the information processing apparatus according to the embodiment.
  • FIG. 1 is a block diagram illustrating an example of a functional configuration of the information processing apparatus according to the embodiment.
  • the information processing device 1 according to the embodiment is, for example, a computer such as a PC (personal computer).
  • the information processing device 1 receives an input of a target campaign 12 to be processed in a campaign related to a cyber attack. Next, the information processing device 1 collects cyber threat intelligence corresponding to the target campaign 12 from among a plurality of cyber threat intelligences stored in the cyber threat intelligence DB 10.
  • FIG. 2 is an explanatory diagram for explaining cyber threat intelligence.
  • the cyber threat intelligence 11 describes information on a cyber attack in a format such as STIX (Structured @ Threat @ Information @ eXpression).
  • STIX includes cyber attack activities (Campaigns), attackers (Threat_Actors), attack tactics (TTPs), detection indices (Indicators), observation events (Observables), incidents (Incidents), response measures (Courses_Of_Action), attack targets ( Exploit_Targets).
  • cyber threat intelligence 11 is an example of cyber attack information.
  • STIX version 1.1.1 As shown in FIG. 2, it is described in an XML (eXtensible @ Markup @ Language) format.
  • the observed IP, domain, hash value of malware, and the like are described.
  • Information indicating an index characterizing a cyber attack event is individually described in an area 11b surrounded by a tag of “Indicators”.
  • the area 11b describes an index characterizing a cyber attack, together with a tool used to create the index from the type of the index, an observation event related to the index, an attack phase, a trace, and the like.
  • the area 11f surrounded by the tag “Threat_Actors” contributes to the cyber attack from the viewpoint of the type of the attacker of the cyber attack, the motive of the attacker, the skill of the attacker, the intention of the attacker, and the like. Information about people / organizations is described individually. Specifically, in the area 11f, an IP address or an email address of an unauthorized access source (attack source) and information of an account of a social network service are described.
  • the characteristics of the cyber attack such as the observation event (IP, domain, hash value, etc.) of the cyber attack and the TTP. , That is, cyber attack characteristic information (detection index) is described.
  • OTX Open Threat Exchange
  • the information processing apparatus 1 analyzes the collected cyber threat intelligence 11 and specifies a plurality of addresses (for example, IP addresses) of the cyber attack source related to the target campaign 12. In addition, the information processing apparatus 1 specifies a period (hereinafter, referred to as a lifetime) during which each of the specified addresses is observed by analyzing the collected cyber threat intelligence 11.
  • a plurality of addresses for example, IP addresses
  • the information processing apparatus 1 specifies a period (hereinafter, referred to as a lifetime) during which each of the specified addresses is observed by analyzing the collected cyber threat intelligence 11.
  • the information processing device 1 compares the entire distribution of the lifetime corresponding to the specified plurality of addresses with the distribution of the lifetime for each address band.
  • the information processing apparatus 1 determines an address band or a part of addresses included in the address band as a monitoring target according to a comparison result between the overall distribution and the distribution for each address band.
  • the information processing device 1 outputs the determined address band or information on a part of the addresses included in the address band as, for example, an output list 51 in a list format. For example, the information processing device 1 outputs the output list 51 to the monitor 103 (see FIG. 12).
  • the analyst can easily know, as a monitoring target, an address band in which the lifetime of the address of the attack source differs from the entire distribution, or a part of addresses included in the address band. it can.
  • the information processing device 1 includes a pre-processing unit 20, a lifetime learning unit 30, a detection unit 40, and an output unit 50.
  • the pre-processing unit 20 receives the input of the target campaign 12, collects the cyber threat intelligence 11 corresponding to the target campaign 12 from the plurality of cyber threat intelligences 11 stored in the cyber threat intelligence DB 10, and performs the pre-processing. That is, the preprocessing unit 20 is an example of a collection unit.
  • the pre-processing unit 20 collects data corresponding to the target campaign 12 from a plurality of cyber threat intelligences 11 stored in the cyber threat intelligence DB 10, performs pre-processing, and stores the data after the pre-processing to an IP address.
  • the group information 21 and the cyber threat intelligence-IP address group information 22 are stored.
  • FIG. 3 is a flowchart showing an example of the pre-processing.
  • the pre-processing unit 20 parses or performs natural language processing on the cyber threat intelligence 11 stored in the cyber threat intelligence DB 10. Then, necessary data (elements) are extracted (S10).
  • FIG. 4 is an explanatory diagram illustrating an example of element extraction.
  • the preprocessing unit 20 parses the content of the cyber threat intelligence 11 described in the XML format by the parser. Thus, the preprocessing unit 20 extracts each element included in the cyber threat intelligence 11. If the cyber threat intelligence 11 is not structured according to a standard or the like but is in a text report format or the like, the preprocessing unit 20 extracts an element to be extracted using an existing natural language processing tool. You may.
  • the preprocessing unit 20 extracts the IP addresses such as “XXX.XXX.XX.XX” and “YYY.YYY.YYYYYY” from the portion surrounded by the tag “AddressObj: Address_Value”. Similarly, the preprocessing unit 20 extracts an attack technique from a portion surrounded by tags related to the attack technique (TTPs). Further, the preprocessing unit 20 extracts a coping measure from a portion surrounded by a tag related to the coping measure (Courses_Of_Action). In addition, the preprocessing unit 20 extracts a vulnerability to be used from a portion surrounded by tags related to attack targets (Exploit_Targets).
  • the preprocessing unit 20 extracts the name of the campaign from the portion surrounded by the tags related to the campaign. If there is no data, it is treated as no information. If the title of the cyber threat intelligence 11 includes a time stamp (time information), such as “report for a certain malware, period”, the time information is extracted.
  • time information time information
  • the preprocessing unit 20 determines whether or not the target campaign 12 is related to the cyber threat intelligence 11 based on the elements extracted from the cyber threat intelligence 11 (S11). Specifically, the preprocessing unit 20 is the cyber threat intelligence 11 for the target campaign 12 based on whether the campaign name in the element extracted from the cyber threat intelligence 11 matches the campaign name of the target campaign 12. It is determined whether or not.
  • the preprocessing unit 20 stores the IP address indicating the attack source extracted from the cyber threat intelligence 11 if it is not stored in the IP address group information 21. . Further, the preprocessing unit 20 stores the IP address extracted from the cyber threat intelligence 11 in association with the ID indicating the cyber threat intelligence 11 in the cyber threat intelligence-IP address group information 22 (S12).
  • FIG. 5-1 is an explanatory diagram showing an example of the IP address group information 21.
  • the IP address group information 21 includes an IP address extracted from the cyber threat intelligence 11 such as “xx.1.1” and information related to the IP address (for example, “lifetime”). ) Is stored in the data table.
  • FIG. 5-2 is an explanatory diagram showing an example of the cyber threat intelligence-IP address group information 22.
  • the cyber threat intelligence-IP address group information 22 includes, for each ID indicating the cyber threat intelligence 11, a data table that stores information on an IP address indicating an attack source extracted from the cyber threat intelligence 11. And so on.
  • the cyber threat intelligence-IP address group information 22 is associated with the cyber threat intelligence 11 whose ID is “1”, and “xx.1.1” and “yy” extracted from the cyber threat intelligence 11. .101.101 ",” xx.2.2 “, and” xx3.3 ".
  • the preprocessing unit 20 skips the processing of S12 and proceeds to S13.
  • the preprocessing unit 20 determines whether there is a cyber threat intelligence 11 that has not been selected as an element extraction in the cyber threat intelligence DB 10 (S13). If it exists (S13: YES), the preprocessing unit 20 selects an unselected cyber threat intelligence 11 as an element extraction target, and returns the processing to S10. If there is no such information (S13: NO), the pre-processing unit 20 ends the pre-processing because the processing has been completed for all the cyber threat intelligences 11.
  • the lifetime learning unit 30 specifies a plurality of addresses (for example, IP addresses) of a cyber attack source based on the pre-processed cyber threat intelligence-IP address group information 22 and the IP address group information 21. I do. Then, the lifetime learning unit 30 identifies the lifetime of each of the identified addresses by the lifetime learning process, and stores the identified result in the lifetime information 32 and the IP address group information 31. That is, the survival period learning unit 30 is an example of a specifying unit.
  • FIG. 6 is a flowchart showing an example of the lifetime learning process.
  • the lifetime learning unit 30 selects an unselected IP address from the input IP address group information 21 (S20). Specifically, the lifetime learning unit 30 selects, from the IP address group information 21, an IP address for which data is not stored in “lifetime”.
  • the lifetime learning unit 30 refers to the WHOIS record of the selected IP address and stores subnet data, which is the address band of the IP address, in the lifetime information 32 (S21).
  • the IP address band (subnet) is a group of several IP addresses, for example, a group of addresses (CIDR block) in CIDR notation such as “AAA.AAA.AAA.0 / 22”. is there.
  • the CIDR block is exemplified as the IP address band (subnet), but the IP addresses may be grouped for each domain, and the present invention is not particularly limited to the CIDR block.
  • the lifetime learning unit 30 collects, based on the data of the IP address band, if there is an IP address in the same band as the IP address selected from the unselected IP addresses in the IP address group information 21. (S22).
  • the lifetime learning unit 30 refers to the cyber threat intelligence-IP address group information 22 and counts the number of the cyber threat intelligence 11 in which the IP address selected in S20 and the respective IP addresses collected in S22 appear. Next, based on the counted number, the lifetime learning unit 30 calculates a lifetime at each IP address, and stores it in the IP address group information 21 and the lifetime information 32 (S23).
  • the cyber threat intelligence 11 is issued at a predetermined cycle, for example, as a weekly report. Therefore, the IP address described in the cyber threat intelligence 11 is an address that is alive (observed) as an attack source in the week of the cyber threat intelligence 11. Therefore, the lifetime learning unit 30 can calculate the lifetime (life week) of the IP address by counting the number of cyber threat intelligences 11 in which the IP address appears.
  • the number of cyber threat intelligences 11 in which an IP address exists corresponds to the week in which the IP address has survived, but the calculation of the lifetime is not limited to the above method.
  • the number of surviving days can be obtained as the surviving period by counting the number of cyber threat intelligences 11.
  • the cyber threat intelligence 11 is accompanied by date information
  • the cyber threat intelligence 11 in which the IP address appears is arranged in chronological order, and the first (2018/1/1) and last (2018/1/31/31) Based on the information, a lifetime such as “2018/1/1 to 2018/1/31” may be calculated.
  • the lifetime learning unit 30 determines whether an unselected IP address exists in the IP address group information 21 (S24). If the IP address exists (S24: YES), the lifetime learning unit 30 selects an unselected IP address and returns the processing to S20. If the IP address does not exist (S24: NO), the processing for all the IP addresses has been completed, and the lifetime learning unit 30 ends the lifetime learning processing.
  • FIG. 7-1 is an explanatory diagram of an example of the IP address group information 31.
  • the IP address group information 31 stores information on the lifetime of each IP address in the IP address group information 21. For example, as for “xx.1.1”, the lifetime “1 (week)” specified by the lifetime learning unit 30 is stored.
  • FIG. 7B is an explanatory diagram of an example of the lifetime information 32.
  • the lifetime information 32 is a data table or the like that stores information for each IP address band (such as an IP address and a lifetime included in the band).
  • the lifetime information 32 includes the IP addresses “xxx.1.1” and “xx” specified by the lifetime learning unit 30 for the IP address band “xx0.0 / 16”. ..2.2 “,” xx.3.3 “,” xx.4.4 “...
  • the life time specified by the life time learning unit 30 is stored for each IP address. For example, “1.1.1 (week)” for "xx.1.1”, “50 (week)” for "xx.2.2”, and “1 (week)” for "xx3.3” “1 (week)” is stored in “25 (week)” and “xx.4.4”.
  • the detection unit 40 performs a detection process based on the IP address group information 31 and the lifetime information 32, and sets an address band or an address band to be monitored as significant for analysis of a cyber attack. Detect some included addresses. Specifically, the detection unit 40 compares the distribution of the lifetime corresponding to the plurality of IP addresses specified by the lifetime learning unit 30 with the distribution of the lifetime for each address band. Next, the detection unit 40 determines an address band or a part of addresses included in the address band as a monitoring target according to the distribution comparison result. That is, the detection unit 40 is an example of a determination unit.
  • FIG. 8 is a flowchart showing an example of the detection process. As shown in FIG. 8, when the detection process is started, the detection unit 40 refers to the IP address group information 31 and refers to the lifetimes of all IP addresses, and creates overall statistical information (S30). .
  • a long-life threshold for identifying a long-life IP address is obtained.
  • the detection unit 40 calculates a lifetime that is the highest 5% of the lifetime from the entire statistical information, and sets a value obtained by the calculation as a long life threshold.
  • the detection unit 40 selects an unselected IP address band from the lifetime information 32 (S31).
  • the detection unit 40 refers to the lifetime of the IP address belonging to the selected IP address band from the lifetime information 32 and creates statistical information on the selected IP address band.
  • the detection unit 40 calculates the ratio (long life rate) of the long-life IP address in the IP address band based on the calculated long-life threshold using the following equation (1), and calculates the surviving result. It is stored in the period information 32 (S32).
  • FIG. 9 is an explanatory diagram showing an example of the lifetime information 32. More specifically, FIG. 9 is a diagram showing an example of the lifetime information 32 storing the calculation result of the long life rate. As shown in FIG. 9, the lifetime information 32 stores, for each IP address band, the ratio (long life rate) of the long-life IP address calculated by the equation (1).
  • the detection unit 40 determines whether or not there is an unselected IP address band in the lifetime information 32 (S33). If the IP address band exists (S33: YES), the detecting unit 40 selects an unselected IP address band, and returns the processing to S31. If not (S33: NO), the detection unit 40 proceeds to S34.
  • the detection unit 40 registers the IP address band to be monitored and the long-lived IP address in the band in the output list 51 based on the long life rate of each IP address band in the lifetime information 32. I do. Specifically, the detection unit 40 registers in the output list 51 as an IP address band whose long life rate exceeds a predetermined threshold and an IP address exceeding the long life threshold (called a long life IP address) to be monitored (S34). ), And terminate the process.
  • a long life IP address IP address exceeding the long life threshold
  • the detection unit 40 can obtain an IP address band having a high long life ratio and a long life IP address in the IP address band as compared with the distribution of the entire lifetime.
  • a long life threshold based on the top 5% value in the distribution is calculated as statistical information, and the overall distribution and the IP address band are calculated based on the threshold in which the long life ratio of the IP address band exceeds 5%. Comparison with each distribution was performed. Then, an IP address band whose long life ratio exceeds 5% with respect to the entire distribution, and a long life IP address in the IP address band were monitored.
  • other statistical information for comparing distributions may be used. For example, the average of the lifetime may be calculated, and the IP address band to be monitored and the IP address in the IP address band may be obtained based on the difference between the overall average and the average in the IP address band. .
  • the output unit 50 outputs the detection result (output list 51) of the detection unit 40 to a display on a display or a file.
  • FIG. 10 is an explanatory diagram showing an example of the output list 51.
  • the output list 51 includes an IP address band to be monitored and a long life rate of the band, and a long life IP address in the band and its life time.
  • the output list 51 stores a long life rate of “72%” for an IP address band of “xxx.0.0 / 16” to be monitored.
  • a long-lived IP address and a lifetime within the IP address band of “xx.0.0 / 16” are stored.
  • "xxx.2.2" is "50 (week)”
  • "xxx20.20” is "40 (week)”
  • "xxx30.30” is " 30 (week) "is stored.
  • the user can easily know, as a monitoring target, an IP address band in which the lifetime of the attack source address differs from the entire distribution, or a long-lived IP address included in the address band.
  • FIGS. 11A and 11B are explanatory diagrams for explaining the distribution of the lifetime.
  • a graph G10 shown in FIG. 11A is a histogram for all IPs of the cyber threat intelligence 11 for the botnet. In the graph G10, 90% or more of IPs have disappeared from the cyber threat intelligence 11 within two weeks. In other words, most of the cyber threat intelligence 11 is a disposable IP address.
  • a graph G11 shown in FIG. 11A is a histogram for an IP having an IP address band of “xx.0.0 / 16”.
  • the graph G12 is a histogram for an IP whose IP address band is “yy0.0 / 16”.
  • “xx0.0 / 16” having a different distribution is to be monitored by comparing the entire distribution with the distribution of the IP address band.
  • the long life ratio becomes higher than the whole.
  • the IP becomes a long-life IP, so that the long-life rate of “xx.0.0 / 16” is greatly increased. ing. Since such an IP address band means that an attacker has used each IP address for a long time, there is a high possibility that the intention of the attacker is reflected as compared with other bands. Therefore, by setting “xxx.0.0 / 16” as a monitoring target in the graph G11 having a high long life rate, a cyber attack can be analyzed efficiently.
  • a graph G20 shown in FIG. 11B is a histogram for all IPs of the cyber threat intelligence 11 for the downloader.
  • the graph G21 is a histogram for an IP whose IP address band is “aa0.0 / 16”.
  • Graph G22 is a histogram for an IP having an IP address band of “bb.0.0 / 16”.
  • Nearly 40% of downloaders have a lifetime of 12 weeks or more, and most of them are used for a certain period in any IP address band. Therefore, the ratio of disposable IP addresses is not very high, and the value of long-used IP addresses is not relatively high compared to long-lived IP addresses of botnets.
  • the lifetime learning unit 30 accesses a predetermined information processing server that manages a DNS (Domain Name System), and specifies a domain corresponding to at least a part of addresses of the plurality of specified cyber attack sources. Is also good.
  • DNS Domain Name System
  • the output unit 50 determines whether the address corresponding to the domain specified by accessing the DNS again at a time different from the time when the lifetime learning unit 30 specifies the domain or the time when the DNS is accessed is different from the previous time. Determine whether or not. Next, when the address corresponding to the specified domain is different from the previous address, the output unit 50 includes information of the newly specified address in the output list 51 and outputs it.
  • the information processing apparatus 1 may specify the domain corresponding to the address of the cyber attack source and track the address corresponding to the domain. This allows the user to easily track another IP address related to the domain, which is different from the previous address, for the domain corresponding to the plurality of cyber attack source addresses specified by the cyber threat intelligence 11.
  • the information processing apparatus 1 includes the preprocessing unit 20, the life span learning unit 30, the detection unit 40, and the output unit 50.
  • the preprocessing unit 20 collects a plurality of cyber threat intelligences 11.
  • the lifetime learning unit 30 analyzes the plurality of collected cyber threat intelligences 11 and specifies a plurality of addresses of cyber attack sources included in the plurality of cyber threat intelligences 11. Further, the lifetime learning unit 30 identifies a period (survival period) in which each of the plurality of identified cyber attack source addresses is observed.
  • the detection unit 40 compares the distribution of the lifetime corresponding to the specified plurality of addresses with the distribution of the lifetime for each address band.
  • the detection unit 40 determines the address band or a part of the addresses included in the address band as the monitoring target according to the result of the comparison of the distribution.
  • the output unit 50 outputs information on the address band determined by the detection unit 40 or information on some addresses included in the address band.
  • This monitoring target is different from the entire distribution in which the distribution of the lifetime is extremely high, for example, in which the ratio of disposable IP addresses is extremely high. Therefore, the user can easily know a monitoring target that is significant for the analysis of the cyber attack.
  • the lifetime learning unit 30 accesses a predetermined information processing server (DNS) and specifies a domain corresponding to at least a part of addresses of the plurality of specified cyber attack sources. If the address corresponding to the domain specified by accessing the DNS again at a time different from the time when the domain is specified or the time when the DNS is accessed is different from the previous time, the output unit 50 outputs information on the newly specified address. Is output. As a result, the user can track another IP address related to the domain, which is different from the previous address, for the domain corresponding to the plurality of cyber attack source addresses specified by the cyber threat intelligence 11 and analyzed. Quality can be improved.
  • DNS information processing server
  • the detection unit 40 determines that the distribution of the lifetime for each address band is longer than the distribution of the lifetime corresponding to the plurality of specified addresses, and the distribution of the lifetime (long-lived address) observed for a longer period than the predetermined threshold. It is determined whether the ratio is large. Next, the detection unit 40 determines an address band determined to have a high ratio or a part of addresses included in the address band to be monitored. Thereby, the user can easily know the address band in which the ratio of the long-lived addresses is large or a part of the addresses included in the address band as the monitoring target.
  • ⁇ Detection unit 40 also determines, as addresses to be monitored, addresses (long-life addresses) that have been observed for a longer period than a predetermined threshold among addresses included in the address band. Thus, the user can easily know the long-lived address as a monitoring target.
  • the preprocessing unit 20 collects the cyber threat intelligence 11 relating to the predetermined campaign such as the target campaign 12 from the cyber threat intelligence DB 10, so that the user can perform the address band relating to the predetermined campaign or the one included in the address band.
  • the address of the department can be easily known.
  • the lifetime learning unit 30 identifies the lifetime by counting the cyber threat intelligences 11 including the identified addresses of the plurality of cyber attack sources in chronological order. As a result, the information processing apparatus 1 counts the number of cyber threat intelligence 11 in which the address of the cyber attack source is posted from the regularly issued cyber threat intelligence 11 such as a weekly report or a monthly report, and specifies the lifetime. It can be done easily.
  • each component of each device illustrated in the drawings does not necessarily need to be physically configured as illustrated. That is, the specific form of distribution / integration of each device is not limited to the one shown in the figure, and all or a part thereof may be functionally or physically distributed / arbitrarily divided into arbitrary units according to various loads and usage conditions. Can be integrated and configured.
  • the various processing functions performed by the information processing apparatus 1 may be entirely or arbitrarily executed on a CPU (or a microcomputer such as an MPU or MCU (Micro Controller Unit)).
  • the various processing functions may be entirely or arbitrarily executed on a program analyzed and executed by a CPU (or a microcomputer such as an MPU or an MCU) or on hardware by wired logic. It goes without saying that it is good.
  • various processing functions performed by the information processing apparatus 1 may be executed by a plurality of computers in cooperation with each other by cloud computing.
  • FIG. 12 is a block diagram illustrating an example of a hardware configuration of the information processing apparatus 1 according to the embodiment.
  • the information processing device 1 includes a CPU 101 that executes various arithmetic processes, an input device 102 that receives data input, a monitor 103, and a speaker 104. Further, the information processing apparatus 1 includes a medium reading device 105 that reads a program or the like from a storage medium, an interface device 106 for connecting to various devices, and a communication device 107 for communicating and connecting to an external device by wire or wirelessly. Have. Further, the information processing apparatus 1 includes a RAM 108 for temporarily storing various information, and a hard disk device 109. Each unit (501 to 509) in the information processing apparatus 1 is connected to the bus 110.
  • the hard disk device 109 stores a program 111 for executing various processes in the pre-processing unit 20, the life span learning unit 30, the detection unit 40, the output unit 50, and the like described in the above embodiment.
  • the hard disk device 109 stores various data 112 referred to by the program 111.
  • the input device 102 receives input of operation information from an operator, for example.
  • the monitor 103 displays, for example, various screens operated by the operator.
  • the interface device 106 is connected to, for example, a printing device.
  • the communication device 107 is connected to a communication network such as a LAN (Local Area Network) or the like, and exchanges various types of information with external devices via the communication network.
  • LAN Local Area Network
  • the CPU 101 reads out the program 111 stored in the hard disk device 109, expands the program 111 in the RAM 108, and executes the read out program 111.
  • various processes related to the pre-processing unit 20, the lifetime learning unit 30, the detection unit 40, the output unit 50, and the like are performed. I do.
  • the program 111 need not be stored in the hard disk device 109.
  • the program 111 stored in a storage medium readable by the information processing apparatus 1 may be read and executed.
  • the storage medium readable by the information processing device 1 corresponds to, for example, a portable recording medium such as a CD-ROM, a DVD disk, a USB (Universal Serial Bus) memory, a semiconductor memory such as a flash memory, a hard disk drive, and the like.
  • the program 111 may be stored in a device connected to a public line, the Internet, a LAN, or the like, and the information processing device 1 may read out the program 111 from the device and execute the program.
  • Information processing device 10 Cyber threat intelligence DB 11 cyber threat intelligence 11a to 11f area 12 target campaign 20 preprocessing unit 21 IP address group information 22 cyber threat intelligence-IP address group information 30 lifetime learning unit 31 IP address group information 32 survival Period information 40 ... Detection unit 50 ... Output unit 51 ... Output list 101 ... CPU 102 input device 103 monitor 104 speaker 105 medium reading device 106 interface device 107 communication device 108 RAM 109 hard disk device 110 bus 111 program 112 various data G10 to G22 graph

Abstract

実施形態のサイバー攻撃情報分析プログラムは、収集する処理と、特定する処理と、決定する処理と、出力する処理とをコンピュータに実行させる。収集する処理は、複数のサイバー攻撃情報を収集する。特定する処理は、収集した複数のサイバー攻撃情報を分析して、複数のサイバー攻撃情報に含まれるサイバー攻撃元の複数のアドレスを特定するとともに、特定した複数のサイバー攻撃元のアドレスそれぞれが観測された期間を特定する。決定する処理は、特定した複数のアドレスに対応する観測された期間の第１の期間分布と、アドレス帯域毎に観測された期間の第２の期間分布を比較した結果に応じて、アドレス帯域、またはアドレス帯域に含まれる一部のアドレスを監視対象として決定する。出力する処理は、決定したアドレス帯域、またはアドレス帯域に含まれる一部のアドレスの情報を出力する。

Description

サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置
　本発明の実施形態は、サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置に関する。
　近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃の対処には、日々観測される膨大なサイバー攻撃情報を分析して攻撃元を特定し、攻撃元の監視を行うことが重要である。
　膨大なサイバー攻撃情報から攻撃元を特定する技術としては、攻撃をネットワーク機器が検知した検知時刻および検知時間を含む攻撃が行われた期間において、攻撃元通信装置が同一である複数の被攻撃先通信装置の組み合わせを抽出するものが知られている。
特開２０１５－７６８６３号公報
　しかしながら、サイバー攻撃に用いられるＩＰアドレスなどは、使い捨てＩＰアドレスの割合が極めて高い。このような使い捨てＩＰアドレスについては、分析したとしても労力の無駄となる場合がある。したがって、サイバー攻撃に用いられる多くのＩＰアドレスから分析を行うのに有意なものを特定する作業を要し、日々の多忙な業務の中で作業時間が限られる分析者においては、分析にかかる手間がかかるものであった。
　１つの側面では、サイバー攻撃の分析に有意な情報の特定を支援可能とするサイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置を提供することを目的とする。
　第１の案では、サイバー攻撃情報分析プログラムは、収集する処理と、特定する処理と、決定する処理と、出力する処理とをコンピュータに実行させる。収集する処理は、複数のサイバー攻撃情報を収集する。特定する処理は、収集した複数のサイバー攻撃情報を分析して、複数のサイバー攻撃情報に含まれるサイバー攻撃元の複数のアドレスを特定するとともに、特定した複数のサイバー攻撃元のアドレスそれぞれが観測された期間を特定する。決定する処理は、特定した複数のアドレスに対応する観測された期間の第１の期間分布と、アドレス帯域毎に観測された期間の第２の期間分布を比較した結果に応じて、アドレス帯域、またはアドレス帯域に含まれる一部のアドレスを監視対象として決定する。出力する処理は、決定したアドレス帯域、またはアドレス帯域に含まれる一部のアドレスの情報を出力する。
　本発明の１実施態様によれば、サイバー攻撃の分析に有意な情報の特定を支援することができる。
図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。 図２は、サイバー脅威インテリジェンスを説明する説明図である。 図３は、前処理の一例を示すフローチャートである。 図４は、要素の抽出例を説明する説明図である。 図５－１は、ＩＰアドレス群情報の一例を示す説明図である。 図５－２は、サイバー脅威インテリジェンス－ＩＰアドレス群情報の一例を示す説明図である。 図６は、生存期間学習処理の一例を示すフローチャートである。 図７－１は、ＩＰアドレス群情報の一例を示す説明図である。 図７－２は、サイバー脅威インテリジェンス－ＩＰアドレス群情報の一例を示す説明図である。 図８は、検出処理の一例を示すフローチャートである。 図９は、生存期間情報の一例を示す説明図である。 図１０は、出力リストの一例を示す説明図である。 図１１－１は、生存期間の分布を説明する説明図である。 図１１－２は、生存期間の分布を説明する説明図である。 図１２は、実施形態にかかる情報処理装置のハードウエア構成の一例を示すブロック図である。
　以下、図面を参照して、実施形態にかかるサイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するサイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
　図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。実施形態にかかる情報処理装置１は、例えば、ＰＣ（パーソナルコンピュータ）などのコンピュータである。
　図１に示すように、情報処理装置１は、サイバー攻撃にかかるキャンペーンの中で処理の対象とする対象キャンペーン１２の入力を受け付ける。次いで、情報処理装置１は、サイバー脅威インテリジェンスＤＢ１０に格納された複数のサイバー脅威インテリジェンスの中で対象キャンペーン１２に該当するサイバー脅威インテリジェンスを収集する。
　なお、キャンペーンとは、同じ攻撃者、同じ攻撃部隊または同じ攻撃作戦による一連のサイバー攻撃の活動（複数のサイバー攻撃の集合体）について付与された呼称である。例えば、ユーザ（分析者）は、対象キャンペーン１２として、分析したいキャンペーンに対応するキャンペーン名やマルウエア名を入力する。また、対象キャンペーン１２については、例えば処理の対象とするキャンペーン名をリストとしてまとめたものを入力してもよい。
　図２は、サイバー脅威インテリジェンスを説明する説明図である。図２に示すように、サイバー脅威インテリジェンス１１では、ＳＴＩＸ（Structured　Threat　Information　eXpression）などの形式でサイバー攻撃の情報が記述される。例えば、ＳＴＩＸは、サイバー攻撃活動（Campaigns）、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の８つの情報群から構成される。
　すなわち、サイバー脅威インテリジェンス１１は、サイバー攻撃情報の一例である。また、ＳＴＩＸバージョン１．１．１時点では、図２のように、ＸＭＬ（eXtensible　Markup　Language）形式で記述される。
　例えば、「Observables」のタグで囲まれた領域１１ａには、観測されたＩＰ、ｄｏｍａｉｎ、マルウエアのハッシュ値などが記述される。「Indicators」のタグで囲まれた領域１１ｂには、サイバー攻撃イベントを特徴づける指標を示す情報が個別に記述される。具体的には、領域１１ｂでは、検知指標のタイプ、検知指標に関連する観測事象、攻撃段階フェーズ、痕跡などから検知指標を作成するために使用したツールと共に、サイバー攻撃を特徴づける指標について記述される。
　また、「TTPs」のタグで囲まれた領域１１ｃには、利用された攻撃手法、例えばスパムメールやマルウエア、水飲み場攻撃などが記述される。また、「Exploit_Targets」のタグで囲まれた領域１１ｄには、脆弱性、脆弱性の種類、設定や構成などの視点から、攻撃の対象となりうるソフトウェアやシステムの弱点など、サイバー攻撃イベントにおいて攻撃の対象となる資産の弱点を示す情報が個別に記述される。
　また、「Campaigns」のタグで囲まれた領域１１ｅには、一連の攻撃（キャンペーン）につけられる名前などが記述される。すなわち、領域１１ｅには、サイバー攻撃にかかるキャンペーンの情報が記述される。領域１１ｅにおけるキャンペーンの名前を参照することで、サイバー脅威インテリジェンス１１にかかるサイバー攻撃がどのキャンペーンに属するかを識別できる。
　また、「Threat_Actors」のタグで囲まれた領域１１ｆには、サイバー攻撃の攻撃者のタイプ、攻撃者の動機、攻撃者の熟練度、攻撃者の意図などの視点からサイバー攻撃に寄与している人／組織についての情報が個別に記述される。具体的には、領域１１ｆでは、不正アクセス元（攻撃元）のＩＰアドレス、またはメールアドレス、ソーシャルネットワークサービスのアカウントの情報が記述される。
　このように、サイバー脅威インテリジェンス１１の領域１１ａ～１１ｆには、サイバー攻撃にかかるキャンペーンを示すキャンペーンの名前とともに、サイバー攻撃の観測事象（ＩＰ、ｄｏｍａｉｎ、ハッシュ値等）やＴＴＰ等のサイバー攻撃の特徴を示す情報、すなわちサイバー攻撃の特徴情報（検知指標）が記述される。なお、サイバー脅威インテリジェンス１１を共有するためのソースとしては、ＡｌｉｅｎＶａｕｌｔが提供するフリーで利用可能なＯＴＸ（Open　Threat　Exchange）などが存在する。また、サイバー脅威インテリジェンス１１を管理するためのプラットフォームを利用すれば、サイバー脅威インテリジェンス１１の内容を確認する、または、サイバー脅威インテリジェンス１１間の関連を見ることも可能である。
　次いで、情報処理装置１は、収集したサイバー脅威インテリジェンス１１を分析して、対象キャンペーン１２にかかるサイバー攻撃元の複数のアドレス（例えばＩＰアドレス）を特定する。また、情報処理装置１は、収集したサイバー脅威インテリジェンス１１の分析により、特定したアドレスそれぞれが観測された期間（以下、生存期間と呼ぶ）を特定する。
　次いで、情報処理装置１は、特定した複数のアドレスに対応する生存期間の全体分布と、アドレス帯域毎の生存期間の分布とを比較する。次いで、情報処理装置１は、全体分布と、アドレス帯域毎の分布との比較結果に応じて、アドレス帯域、またはアドレス帯域に含まれる一部のアドレスを監視対象として決定する。
　次いで、情報処理装置１は、決定したアドレス帯域、またはアドレス帯域に含まれる一部のアドレスの情報を、例えばリスト形式の出力リスト５１として出力する。例えば、情報処理装置１は、出力リスト５１をモニタ１０３（図１２参照）などに出力する。
　出力された出力リスト５１より、分析者（ユーザ）は、攻撃元のアドレスの生存期間が全体の分布と異なるアドレス帯域、またはアドレス帯域に含まれる一部のアドレスを監視対象として容易に知ることができる。
　次に、情報処理装置１の詳細を説明する。情報処理装置１は、前処理部２０、生存期間学習部３０、検出部４０および出力部５０を有する。
　前処理部２０は、対象キャンペーン１２の入力を受け付け、サイバー脅威インテリジェンスＤＢ１０に格納された複数のサイバー脅威インテリジェンス１１の中で対象キャンペーン１２に該当するサイバー脅威インテリジェンス１１を収集して前処理を行う。すなわち、前処理部２０は、収集部の一例である。
　具体的には、前処理部２０は、サイバー脅威インテリジェンスＤＢ１０に格納された複数のサイバー脅威インテリジェンス１１より対象キャンペーン１２に該当するものを収集して前処理を行い、前処理後のデータをＩＰアドレス群情報２１およびサイバー脅威インテリジェンス－ＩＰアドレス群情報２２に格納する。
　図３は、前処理の一例を示すフローチャートである。図３に示すように、対象キャンペーン１２の入力を受け付けて前処理が開始されると、前処理部２０は、サイバー脅威インテリジェンスＤＢ１０に格納されたサイバー脅威インテリジェンス１１をパース、あるいは自然言語処理して、必要なデータ（要素）を抽出する（Ｓ１０）。
　図４は、要素の抽出例を説明する説明図である。図４に示すように、ＳＴＩＸ形式のサイバー脅威インテリジェンス１１の場合、前処理部２０は、パーサによってＸＭＬ形式で記述されたサイバー脅威インテリジェンス１１の内容をパースする。これにより、前処理部２０は、サイバー脅威インテリジェンス１１に含まれる各要素を抽出する。なお、サイバー脅威インテリジェンス１１が標準規格などで構造化されておらず、テキストによるレポート形式などである場合は、前処理部２０は、既存の自然言語処理ツールを用いて抽出対象の要素を抽出してもよい。
　例えば、前処理部２０は、「ＡｄｄｒｅｓｓＯｂｊ：Ａｄｄｒｅｓｓ＿Ｖａｌｕｅ」というタグで囲まれた部分から、「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」、「ＹＹＹ．ＹＹＹ．ＹＹＹ．ＹＹＹ」などのＩＰアドレスを抽出する。同様に、前処理部２０は、攻撃手口（TTPｓ）にかかるタグに囲まれた部分からは攻撃手口を抽出する。また、前処理部２０は、対処措置（Courses_Of_Action）にかかるタグに囲まれた部分からは対処措置を抽出する。また、前処理部２０は、攻撃対象（Exploit_Targets）にかかるタグに囲まれた部分から利用する脆弱性を抽出する。また、前処理部２０は、キャンペーンにかかるタグに囲まれた部分からキャンペーンの名称を抽出する。なお、データが存在しない場合には、情報なしという扱いにする。また、サイバー脅威インテリジェンス１１のタイトルが、「あるマルウェアに対するレポート，期間」のように、タイムスタンプ（時間情報）を含む場合にはその時間情報を抽出する。
　次いで、前処理部２０は、サイバー脅威インテリジェンス１１より抽出した要素をもとに、対象キャンペーン１２に対して関連するサイバー脅威インテリジェンス１１であるか否かを判定する（Ｓ１１）。具体的には、前処理部２０は、サイバー脅威インテリジェンス１１より抽出した要素におけるキャンペーン名が対象キャンペーン１２のキャンペーン名に一致するか否かをもとに、対象キャンペーン１２に対するサイバー脅威インテリジェンス１１であるか否かを判定する。
　対象キャンペーン１２に対するサイバー脅威インテリジェンス１１である場合（Ｓ１１：ＹＥＳ）、前処理部２０は、サイバー脅威インテリジェンス１１より抽出した攻撃元を示すＩＰアドレスがＩＰアドレス群情報２１に格納されていなければ格納する。また、前処理部２０は、サイバー脅威インテリジェンス１１を示すＩＤと関連付けてサイバー脅威インテリジェンス１１より抽出したＩＰアドレスをサイバー脅威インテリジェンス－ＩＰアドレス群情報２２に格納する（Ｓ１２）。
　図５－１は、ＩＰアドレス群情報２１の一例を示す説明図である。図５－１に示すように、ＩＰアドレス群情報２１は、「ｘ．ｘ．１．１」などのサイバー脅威インテリジェンス１１より抽出したＩＰアドレスと、ＩＰアドレスに関連する情報（例えば「生存期間」）とを格納するデータテーブルなどである。
　図５－２は、サイバー脅威インテリジェンス－ＩＰアドレス群情報２２の一例を示す説明図である。図５－２に示すように、サイバー脅威インテリジェンス－ＩＰアドレス群情報２２は、サイバー脅威インテリジェンス１１を示すＩＤごとに、サイバー脅威インテリジェンス１１より抽出した攻撃元を示すＩＰアドレスの情報を格納するデータテーブルなどである。例えば、サイバー脅威インテリジェンス－ＩＰアドレス群情報２２には、ＩＤが「１」のサイバー脅威インテリジェンス１１に紐づけて、サイバー脅威インテリジェンス１１より抽出した「ｘ．ｘ．１．１」、「ｙ．ｙ．１０１．１０１」、「ｘ．ｘ．２．２」、「ｘ．ｘ．３．３」などのＩＰアドレスが格納されている。
　なお、対象キャンペーン１２に対するサイバー脅威インテリジェンス１１でない場合（Ｓ１１：ＮＯ）、前処理部２０は、Ｓ１２の処理をスキップしてＳ１３へ進む。
　次いで、前処理部２０は、サイバー脅威インテリジェンスＤＢ１０の中で要素の抽出として未選択のサイバー脅威インテリジェンス１１が存在するか否かを判定する（Ｓ１３）。存在する場合（Ｓ１３：ＹＥＳ）、前処理部２０は、未選択のサイバー脅威インテリジェンス１１を要素の抽出対象として選択し、Ｓ１０へ処理を戻す。存在しない場合（Ｓ１３：ＮＯ）、全てのサイバー脅威インテリジェンス１１について処理が終了したことから、前処理部２０は、前処理を終了する。
　図１に戻り、生存期間学習部３０は、前処理済みのサイバー脅威インテリジェンス－ＩＰアドレス群情報２２及びＩＰアドレス群情報２１をもとに、サイバー攻撃元の複数のアドレス（例えばＩＰアドレス）を特定する。そして、生存期間学習部３０は、生存期間学習処理により、特定したアドレスそれぞれの生存期間を特定し、特定した結果を生存期間情報３２およびＩＰアドレス群情報３１に格納する。すなわち、生存期間学習部３０は、特定部の一例である。
　図６は、生存期間学習処理の一例を示すフローチャートである。図６に示すように、生存期間学習処理が開始されると、生存期間学習部３０は、入力されたＩＰアドレス群情報２１から未選択のＩＰアドレスを選択する（Ｓ２０）。具体的には、生存期間学習部３０は、ＩＰアドレス群情報２１の中から「生存期間」にデータが格納されていないＩＰアドレスを選択する。
　次いで、生存期間学習部３０は、選択したＩＰアドレスのＷＨＯＩＳレコードを参照し、ＩＰアドレスのアドレス帯域であるサブネットのデータを生存期間情報３２に格納する（Ｓ２１）。
　なお、ＩＰアドレス帯域（サブネット）は、幾つかのＩＰアドレスをグループとしてまとめたものであり、例えば「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等のＣＩＤＲ記法によるアドレスのグループ（ＣＩＤＲブロック）などがある。本実施形態では、ＩＰアドレス帯域（サブネット）としてＣＩＤＲブロックを例示するが、ドメインごとにＩＰアドレスをグループ分けしてもよく、ＣＩＤＲブロックに特に限定するものではない。
　次いで、生存期間学習部３０は、ＩＰアドレス帯域のデータをもとに、ＩＰアドレス群情報２１の未選択のＩＰアドレスの中から選択したＩＰアドレスと同じ帯域内のＩＰアドレスが存在すれば収集する（Ｓ２２）。
　次いで、生存期間学習部３０は、サイバー脅威インテリジェンス－ＩＰアドレス群情報２２を参照し、Ｓ２０で選択したＩＰアドレス、Ｓ２２で収集したそれぞれのＩＰアドレスが出現するサイバー脅威インテリジェンス１１の数を数える。次いで、カウントした数をもとに、生存期間学習部３０は、それぞれのＩＰアドレスにおける生存期間を求め、ＩＰアドレス群情報２１および生存期間情報３２に格納する（Ｓ２３）。
　サイバー脅威インテリジェンス１１は、例えば週報などとして所定の周期で発行される。よって、サイバー脅威インテリジェンス１１に記述されたＩＰアドレスは、そのサイバー脅威インテリジェンス１１における週において攻撃元として生存している（観測された）アドレスということとなる。したがって、生存期間学習部３０は、ＩＰアドレスが出現するサイバー脅威インテリジェンス１１の数を数えることでＩＰアドレスの生存期間（生存週）を求めることができる。
　なお、本実施形態ではＩＰアドレスが存在するサイバー脅威インテリジェンス１１の数がそのＩＰアドレスが生存した週に相当するものとしているが、生存期間の算出は上記の手法に限定しない。例えば日報を前提とする場合は、サイバー脅威インテリジェンス１１の数をカウントすることで、生存日数を生存期間として求めることができる。また、サイバー脅威インテリジェンス１１が日付情報を伴っている場合は、ＩＰアドレスが出現するサイバー脅威インテリジェンス１１を時系列順に並べ、最初（２０１８／１／１）と最後（２０１８／１／３１）の日付情報をもとに、「２０１８／１／１～２０１８／１／３１」のような生存期間を算出してもよい。
　次いで、生存期間学習部３０は、ＩＰアドレス群情報２１の中で未選択のＩＰアドレスが存在するか否かを判定する（Ｓ２４）。存在する場合（Ｓ２４：ＹＥＳ）、生存期間学習部３０は、未選択のＩＰアドレスを選択し、Ｓ２０へ処理を戻す。存在しない場合（Ｓ２４：ＮＯ）、全てのＩＰアドレスについて処理が終了したことから、生存期間学習部３０は、生存期間学習処理を終了する。
　図７－１は、ＩＰアドレス群情報３１の一例を示す説明図である。図７－１に示すように、ＩＰアドレス群情報３１は、ＩＰアドレス群情報２１において各ＩＰアドレスの生存期間の情報を格納したものである。例えば、「ｘ．ｘ．１．１」については、生存期間学習部３０が特定した生存期間「１（週）」が格納されている。
　図７－２は、生存期間情報３２の一例を示す説明図である。生存期間情報３２は、ＩＰアドレス帯域ごとの情報（帯域に含まれるＩＰアドレスおよび生存期間など）を格納するデータテーブルなどである。例えば、生存期間情報３２には、「ｘ．ｘ．０．０／１６」のＩＰアドレス帯域について、生存期間学習部３０が特定したＩＰアドレス「ｘ．ｘ．１．１」、「ｘ．ｘ．２．２」、「ｘ．ｘ．３．３」、「ｘ．ｘ．４．４」…が格納されている。また、各ＩＰアドレスについて、生存期間学習部３０が特定した生存期間が格納されている。例えば、「ｘ．ｘ．１．１」には「１（週）」、「ｘ．ｘ．２．２」には「５０（週）」、「ｘ．ｘ．３．３」には「２５（週）」、「ｘ．ｘ．４．４」には「１（週）」が格納されている。
　図１に戻り、検出部４０は、ＩＰアドレス群情報３１及び生存期間情報３２をもとに検出処理を行い、サイバー攻撃の分析に有意なものとして監視対象とする、アドレス帯域、またはアドレス帯域に含まれる一部のアドレスを検出する。具体的には、検出部４０は、生存期間学習部３０が特定した複数のＩＰアドレスに対応する生存期間の分布と、アドレス帯域毎の生存期間の分布とを比較する。次いで、検出部４０は、分布の比較結果に応じて、アドレス帯域、またはアドレス帯域に含まれる一部のアドレスを監視対象として決定する。すなわち、検出部４０は、決定部の一例である。
　図８は、検出処理の一例を示すフローチャートである。図８に示すように、検出処理が開始されると、検出部４０は、ＩＰアドレス群情報３１を参照してすべてのＩＰアドレスの生存期間を参照し、全体の統計情報を作成する（Ｓ３０）。
　ここで、本実施形態では、使い捨てＩＰアドレスとなっていない長寿命なＩＰアドレスに注目することから、長寿命なＩＰアドレスを識別するための長寿命閾値を求める。例えば、検出部４０は、全体の統計情報から生存期間の上位５％となる生存期間を計算し、計算して得られた値を長寿命閾値とする。
　次いで、検出部４０は、生存期間情報３２から未選択のＩＰアドレス帯域を選択する（Ｓ３１）。次いで、検出部４０は、選択したＩＰアドレス帯域に属するＩＰアドレスの生存期間を生存期間情報３２より参照し、選択したＩＰアドレス帯域についての統計情報を作成する。ここでは、検出部４０は、計算済みの長寿命閾値をもとに、ＩＰアドレス帯域内の長寿命ＩＰアドレスの割合（長寿命率）を以下の式（１）で計算し、計算結果を生存期間情報３２に格納する（Ｓ３２）。
　長寿命率＝（ＩＰアドレス帯域内で長寿命閾値を上回る生存期間を持つＩＰアドレスの数）／（ＩＰアドレス帯域内のＩＰアドレスの数）…（１）
　図９は、生存期間情報３２の一例を示す説明図であり、より具体的には、長寿命率の計算結果を格納した生存期間情報３２の一例を示す図である。図９に示すように、生存期間情報３２には、各ＩＰアドレス帯域について、式（１）により計算した長寿命ＩＰアドレスの割合（長寿命率）が格納される。
　次いで、検出部４０は、生存期間情報３２の中で未選択のＩＰアドレス帯域が存在するか否かを判定する（Ｓ３３）。存在する場合（Ｓ３３：ＹＥＳ）、検出部４０は、未選択のＩＰアドレス帯域を選択し、Ｓ３１へ処理を戻す。存在しない場合（Ｓ３３：ＮＯ）、検出部４０はＳ３４へ処理を進める。
　Ｓ３４において、検出部４０は、生存期間情報３２における各ＩＰアドレス帯域の長寿命率をもとに、監視対象とするＩＰアドレス帯域と、帯域内の長寿命なＩＰアドレスとを出力リスト５１に登録する。具体的には、検出部４０は、長寿命率が所定の閾値を超えるＩＰアドレス帯域と、長寿命閾値を上回るＩＰアドレス（長寿命ＩＰアドレスと呼ぶ）監視対象として出力リスト５１に登録し（Ｓ３４）、処理を終了する。
　この閾値は、全体分布については５％を基準に長寿命閾値を設定したので、例えば５％よりも高くなるように設定する。これにより、検出部４０は、全体の生存期間の分布と比較して、長寿命比率が高いＩＰアドレス帯域と、そのＩＰアドレス帯域における長寿命ＩＰアドレスとを得ることができる。
　なお、本実施形態では、統計情報として分布における上位５％値をもとにした長寿命閾値を計算し、ＩＰアドレス帯域の長寿命比率が５％を超える閾値によって、全体分布と、ＩＰアドレス帯域毎の分布との比較をおこなった。そして、全体分布に対して長寿命比率が５％を超えるＩＰアドレス帯域と、そのＩＰアドレス帯域における長寿命ＩＰアドレスを監視対象とした。しかしながら、分布の比較を行う統計情報は、別のものを用いても構わない。例えば、生存期間の平均を計算し、全体の平均と、ＩＰアドレス帯域における平均との違いをもとに、監視対象とするＩＰアドレス帯域と、そのＩＰアドレス帯域におけるＩＰアドレスとを求めてもよい。
　図１に戻り、出力部５０は、検出部４０における検出結果（出力リスト５１）を、ディスプレイへの表示やファイルなどに出力する。
　図１０は、出力リスト５１の一例を示す説明図である。図１０に示すように、出力リスト５１は、監視対象とするＩＰアドレス帯域とその帯域の長寿命率、および、帯域内の長寿命ＩＰアドレスとその生存期間を有する。例えば、出力リスト５１には、監視対象とする「ｘ．ｘ．０．０／１６」のＩＰアドレス帯域について、「７２％」の長寿命率が格納されている。また、「ｘ．ｘ．０．０／１６」のＩＰアドレス帯域内の長寿命ＩＰアドレスおよび生存期間が格納されている。例えば、「ｘ．ｘ．２．２」には「５０（週）」、「ｘ．ｘ．２０．２０」には「４０（週）」、「ｘ．ｘ．３０．３０」には「３０（週）」が格納されている。
　この出力リスト５１より、ユーザは、攻撃元のアドレスの生存期間が全体の分布と異なるＩＰアドレス帯域、またはアドレス帯域に含まれる長寿命ＩＰアドレスを監視対象として容易に知ることができる。
　図１１－１、図１１－２は、生存期間の分布を説明する説明図である。
　図１１－１に示すグラフＧ１０は、ボットネットに対するサイバー脅威インテリジェンス１１の全てのＩＰに対するヒストグラムである。グラフＧ１０では、９０％以上のＩＰが２週以内にサイバー脅威インテリジェンス１１から消滅している。つまり，サイバー脅威インテリジェンス１１の全体で見ると、大半は使い捨てＩＰアドレスである。
　図１１－１に示すグラフＧ１１は、ＩＰアドレス帯域が「ｘ．ｘ．０．０／１６」のＩＰに対するヒストグラムである。また、グラフＧ１２は、ＩＰアドレス帯域が「ｙ．ｙ．０．０／１６」のＩＰに対するヒストグラムである。本実施形態では、全体分布とＩＰアドレス帯域の分布との比較により、分布の異なる「ｘ．ｘ．０．０／１６」が監視対象とされる。
　したがって、グラフＧ１１に示すようなヒストグラムの「ｘ．ｘ．０．０／１６」を監視対象とすることで、長寿命比率が全体よりも高くなる。この例では、分布における上位５％値との兼ね合いで生存期間が３週以上であれば長寿命ＩＰとなるので、「ｘ．ｘ．０．０／１６」の長寿命率は大幅に高くなっている。このようなＩＰアドレス帯域は、攻撃者がそれぞれのＩＰアドレスを長く使っていることを意味するので、他の帯域と比較して攻撃者の意図が反映される可能性が高い。したがって、長寿命率が高いグラフＧ１１のような「ｘ．ｘ．０．０／１６」を監視対象とするとすることで、サイバー攻撃を効率よく分析できる。
　図１１－２に示すグラフＧ２０は、ダウンローダに対するサイバー脅威インテリジェンス１１の全てのＩＰに対するヒストグラムである。グラフＧ２１は、ＩＰアドレス帯域が「ａ．ａ．０．０／１６」のＩＰに対するヒストグラムである。また、グラフＧ２２は、ＩＰアドレス帯域が「ｂ．ｂ．０．０／１６」のＩＰに対するヒストグラムである。ダウンローダでは、４割近くが１２週以上の生存期間であり、どのＩＰアドレス帯域においても大半がある程度の期間利用される。したがって、使い捨てＩＰアドレスの比率はそれほど高くなく、ボットネットの長寿命ＩＰアドレスと比較して、長く利用されるＩＰアドレスの価値は比較的高くない。
（変形例）
　なお、生存期間学習部３０は、ＤＮＳ（Domain　Name　System）を管理する所定の情報処理サーバへアクセスし、特定した複数のサイバー攻撃元のアドレスの少なくとも一部のアドレスに対応するドメインを特定してもよい。
　また、出力部５０は、生存期間学習部３０がドメインを特定した時刻、またはＤＮＳにアクセスした時刻とは異なる時刻にＤＮＳに再度アクセスすることによって特定したドメインに対応するアドレスが前とは異なるか否かを判定する。次いで、出力部５０は、特定したドメインに対応するアドレスが前とは異なる場合、新たに特定したアドレスの情報を出力リスト５１に含めて出力する。
　このように、情報処理装置１は、サイバー攻撃元のアドレスに対応するドメインを特定し、そのドメインに対応するアドレスを追跡するようにしてもよい。これにより、ユーザは、サイバー脅威インテリジェンス１１より特定した複数のサイバー攻撃元のアドレスに対応するドメインについて、前回のアドレスとは異なる、ドメインに関連づいた別のＩＰアドレスを容易に追跡できる。
　以上のように、情報処理装置１は、前処理部２０と、生存期間学習部３０と、検出部４０と、出力部５０とを有する。前処理部２０は、複数のサイバー脅威インテリジェンス１１を収集する。生存期間学習部３０は、収集した複数のサイバー脅威インテリジェンス１１を分析して、複数のサイバー脅威インテリジェンス１１に含まれるサイバー攻撃元の複数のアドレスを特定する。また、生存期間学習部３０は、特定した複数のサイバー攻撃元のアドレスそれぞれが観測された期間（生存期間）を特定する。検出部４０は、特定した複数のアドレスに対応する生存期間の分布と、アドレス帯域毎の生存期間の分布を比較する。次いで、検出部４０は、分布を比較した結果に応じて、アドレス帯域、またはアドレス帯域に含まれる一部のアドレスを監視対象として決定する。出力部５０は、検出部４０が決定したアドレス帯域、またはアドレス帯域に含まれる一部のアドレスの情報を出力する。
　これにより、ユーザは、複数のサイバー攻撃元のアドレスそれぞれの生存期間の分布と、アドレス帯域毎の生存期間の分布とが異なるアドレス帯域、またはアドレス帯域に含まれる一部のアドレスを監視対象として容易に知ることができる。この監視対象は、生存期間の分布が例えば使い捨てＩＰアドレスの割合が極めて高い全体分布とは異なり、攻撃者が意図をもって利用している可能性が高い。したがって、ユーザは、サイバー攻撃の分析に有意な監視対象を容易に知ることができる。
　また、生存期間学習部３０は、所定の情報処理サーバ（ＤＮＳ）へアクセスして、特定した複数のサイバー攻撃元のアドレスの少なくとも一部のアドレスに対応するドメインを特定する。出力部５０は、ドメインを特定した時刻、またはＤＮＳにアクセスした時刻とは異なる時刻にＤＮＳに再度アクセスすることによって特定したドメインに対応するアドレスが前とは異なる場合、新たに特定したアドレスの情報を出力する。これにより、ユーザは、サイバー脅威インテリジェンス１１より特定した複数のサイバー攻撃元のアドレスに対応するドメインについて、前回のアドレスとは異なる、ドメインに関連づいた別のＩＰアドレスを追跡することができ、分析の質を高めることが可能となる。
　また、検出部４０は、特定した複数のアドレスに対応する生存期間の分布よりも、アドレス帯域毎の生存期間の分布の方が、所定の閾値より長い期間観測されたアドレス（長寿命アドレス）の割合が多いか否かを判定する。次いで、検出部４０は、割合が多いと判定したアドレス帯域、またはアドレス帯域に含まれる一部のアドレスを監視対象として決定する。これにより、ユーザは、長寿命アドレスの割合が多いアドレス帯域、またはアドレス帯域に含まれる一部のアドレスを監視対象として容易に知ることができる。
　また、検出部４０は、アドレス帯域に含まれるアドレスの中で所定の閾値より長い期間観測されたアドレス（長寿命アドレス）を監視対象として決定する。これにより、ユーザは、長寿命アドレスを監視対象として容易に知ることができる。
　また、前処理部２０が対象キャンペーン１２などの所定のキャンペーンにかかるサイバー脅威インテリジェンス１１をサイバー脅威インテリジェンスＤＢ１０より収集することで、ユーザは、所定のキャンペーンにかかるアドレス帯域、またはアドレス帯域に含まれる一部のアドレスを容易に知ることができる。
　また、生存期間学習部３０は、特定した複数のサイバー攻撃元のアドレスそれぞれが含まれるサイバー脅威インテリジェンス１１を時系列順にカウントして生存期間を特定する。これにより、情報処理装置１は、週報または月報などの定期的に発行されるサイバー脅威インテリジェンス１１より、サイバー攻撃元のアドレスが掲載されたサイバー脅威インテリジェンス１１の数をカウントし、生存期間の特定を容易に行うことができる。
　なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
　また、情報処理装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro　Controller　Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、情報処理装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
　ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１２は、実施形態にかかる情報処理装置１のハードウエア構成の一例を示すブロック図である。
　図１２に示すように、情報処理装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、情報処理装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、情報処理装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、情報処理装置１内の各部（５０１～５０９）は、バス１１０に接続される。
　ハードディスク装置１０９には、上記の実施形態で説明した前処理部２０、生存期間学習部３０、検出部４０および出力部５０等における各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local　Area　Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
　ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、前処理部２０、生存期間学習部３０、検出部４０および出力部５０等にかかる各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、情報処理装置１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。情報処理装置１が読み取り可能な記憶媒体は、例えば、ＣＤ－ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal　Serial　Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、情報処理装置１がこれらからプログラム１１１を読み出して実行するようにしてもよい。
１…情報処理装置
１０…サイバー脅威インテリジェンスＤＢ
１１…サイバー脅威インテリジェンス
１１ａ～１１ｆ…領域
１２…対象キャンペーン
２０…前処理部
２１…ＩＰアドレス群情報
２２…サイバー脅威インテリジェンス－ＩＰアドレス群情報
３０…生存期間学習部
３１…ＩＰアドレス群情報
３２…生存期間情報
４０…検出部
５０…出力部
５１…出力リスト
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ
Ｇ１０～Ｇ２２…グラフ

Claims (18)

  1. 　複数のサイバー攻撃情報を収集し、
    　収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元の複数のアドレスを特定するとともに、特定した前記複数のサイバー攻撃元のアドレスそれぞれが観測された期間を特定し、
    　特定した前記複数のアドレスに対応する観測された期間の第１の期間分布と、アドレス帯域毎に観測された期間の第２の期間分布を比較した結果に応じて、アドレス帯域、または前記アドレス帯域に含まれる一部のアドレスを監視対象として決定し、
    　決定した前記アドレス帯域、または前記アドレス帯域に含まれる一部のアドレスの情報を出力する、
    　処理をコンピュータに実行させることを特徴とするサイバー攻撃情報分析プログラム。
  2. 　前記特定する処理は、所定の情報処理サーバへアクセスして、特定した前記複数のサイバー攻撃元のアドレスの少なくとも一部のアドレスに対応するドメインを特定し、
    　前記出力する処理は、前記ドメインを特定した時刻、または前記情報処理サーバにアクセスした時刻とは異なる時刻に前記情報処理サーバに再度アクセスすることによって特定した前記ドメインに対応するアドレスが前記アドレスと異なる場合には、新たに特定した前記アドレスの情報も出力する、
    　ことを特徴とする請求項１に記載のサイバー攻撃情報分析プログラム。
  3. 　前記決定する処理は、前記第１の期間分布と前記第２の期間分布を比較して、前記第１の期間分布よりも前記第２の期間分布のほうが、所定の閾値より長い期間観測されたアドレスの割合が多い場合に、前記第２の期間分布に対応するアドレス帯域、または前記アドレス帯域に含まれる一部のアドレスを監視対象として決定する、
    　ことを特徴とする請求項１に記載のサイバー攻撃情報分析プログラム。
  4. 　前記決定する処理は、前記アドレス帯域に含まれるアドレスの中で所定の閾値より長い期間観測されたアドレスを監視対象として決定する、
    　ことを特徴とする請求項１に記載のサイバー攻撃情報分析プログラム。
  5. 　前記収集する処理は、所定のキャンペーンにかかるサイバー攻撃情報を収集する、
    　ことを特徴とする請求項１に記載のサイバー攻撃情報分析プログラム。
  6. 　前記特定する処理は、所定の周期で発行されるサイバー攻撃情報の中から、特定した前記複数のサイバー攻撃元のアドレスそれぞれが含まれるサイバー攻撃情報をカウントして前記観測された期間を特定する、
    　ことを特徴とする請求項１に記載のサイバー攻撃情報分析プログラム。
  7. 　複数のサイバー攻撃情報を収集し、
    　収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元の複数のアドレスを特定するとともに、特定した前記複数のサイバー攻撃元のアドレスそれぞれが観測された期間を特定し、
    　特定した前記複数のアドレスに対応する観測された期間の第１の期間分布と、アドレス帯域毎に観測された期間の第２の期間分布を比較した結果に応じて、アドレス帯域、または前記アドレス帯域に含まれる一部のアドレスを監視対象として決定し、
    　決定した前記アドレス帯域、または前記アドレス帯域に含まれる一部のアドレスの情報を出力する、
    　処理をコンピュータが実行することを特徴とするサイバー攻撃情報分析方法。
  8. 　前記特定する処理は、所定の情報処理サーバへアクセスして、特定した前記複数のサイバー攻撃元のアドレスの少なくとも一部のアドレスに対応するドメインを特定し、
    　前記出力する処理は、前記ドメインを特定した時刻、または前記情報処理サーバにアクセスした時刻とは異なる時刻に前記情報処理サーバに再度アクセスすることによって特定した前記ドメインに対応するアドレスが前記アドレスと異なる場合には、新たに特定した前記アドレスの情報も出力する、
    　ことを特徴とする請求項７に記載のサイバー攻撃情報分析方法。
  9. 　前記決定する処理は、前記第１の期間分布と前記第２の期間分布を比較して、前記第１の期間分布よりも前記第２の期間分布のほうが、所定の閾値より長い期間観測されたアドレスの割合が多い場合に、前記第２の期間分布に対応するアドレス帯域、または前記アドレス帯域に含まれる一部のアドレスを監視対象として決定する、
    　ことを特徴とする請求項７に記載のサイバー攻撃情報分析方法。
  10. 　前記決定する処理は、前記アドレス帯域に含まれるアドレスの中で所定の閾値より長い期間観測されたアドレスを監視対象として決定する、
    　ことを特徴とする請求項７に記載のサイバー攻撃情報分析方法。
  11. 　前記収集する処理は、所定のキャンペーンにかかるサイバー攻撃情報を収集する、
    　ことを特徴とする請求項７に記載のサイバー攻撃情報分析方法。
  12. 　前記特定する処理は、特定した前記複数のサイバー攻撃元のアドレスそれぞれが含まれるサイバー攻撃情報を時系列順にカウントして前記観測された期間を特定する、
    　ことを特徴とする請求項７に記載のサイバー攻撃情報分析方法。
  13. 　複数のサイバー攻撃情報を収集する収集部と、
    　収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元の複数のアドレスを特定するとともに、特定した前記複数のサイバー攻撃元のアドレスそれぞれが観測された期間を特定する特定部と、
    　特定した前記複数のアドレスに対応する観測された期間の第１の期間分布と、アドレス帯域毎に観測された期間の第２の期間分布を比較した結果に応じて、アドレス帯域、または前記アドレス帯域に含まれる一部のアドレスを監視対象として決定する決定部と、
    　決定した前記アドレス帯域、または前記アドレス帯域に含まれる一部のアドレスの情報を出力する出力部と、
    　を有することを特徴とする情報処理装置。
  14. 　前記特定部は、所定の情報処理サーバへアクセスして、特定した前記複数のサイバー攻撃元のアドレスの少なくとも一部のアドレスに対応するドメインを特定し、
    　前記出力部は、前記ドメインを特定した時刻、または前記情報処理サーバにアクセスした時刻とは異なる時刻に前記情報処理サーバに再度アクセスすることによって特定した前記ドメインに対応するアドレスが前記アドレスと異なる場合には、新たに特定した前記アドレスの情報も出力する、
    　ことを特徴とする請求項１３に記載の情報処理装置。
  15. 　前記決定部は、前記第１の期間分布と前記第２の期間分布を比較して、前記第１の期間分布よりも前記第２の期間分布のほうが、所定の閾値より長い期間観測されたアドレスの割合が多い場合に、前記第２の期間分布に対応するアドレス帯域、または前記アドレス帯域に含まれる一部のアドレスを監視対象として決定する、
    　ことを特徴とする請求項１３に記載の情報処理装置。
  16. 　前記決定部は、前記アドレス帯域に含まれるアドレスの中で所定の閾値より長い期間観測されたアドレスを監視対象として決定する、
    　ことを特徴とする請求項１３に記載の情報処理装置。
  17. 　前記収集部は、所定のキャンペーンにかかるサイバー攻撃情報を収集する、
    　ことを特徴とする請求項１３に記載の情報処理装置。
  18. 　前記特定部は、特定した前記複数のサイバー攻撃元のアドレスそれぞれが含まれるサイバー攻撃情報を時系列順にカウントして前記観測された期間を特定する、
    　ことを特徴とする請求項１３に記載の情報処理装置。
PCT/JP2018/027140 2018-07-19 2018-07-19 サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置 WO2020017000A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
PCT/JP2018/027140 WO2020017000A1 (ja) 2018-07-19 2018-07-19 サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置
EP18926933.5A EP3826242B1 (en) 2018-07-19 2018-07-19 Cyber attack information analyzing program, cyber attack information analyzing method, and information processing device
JP2020530819A JP6984754B2 (ja) 2018-07-19 2018-07-19 サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置
US17/130,467 US20210152573A1 (en) 2018-07-19 2020-12-22 Cyberattack information analysis program, cyberattack information analysis method, and information processing apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/027140 WO2020017000A1 (ja) 2018-07-19 2018-07-19 サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/130,467 Continuation US20210152573A1 (en) 2018-07-19 2020-12-22 Cyberattack information analysis program, cyberattack information analysis method, and information processing apparatus

Publications (1)

Publication Number Publication Date
WO2020017000A1 true WO2020017000A1 (ja) 2020-01-23

Family

ID=69163797

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/027140 WO2020017000A1 (ja) 2018-07-19 2018-07-19 サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置

Country Status (4)

Country Link
US (1) US20210152573A1 (ja)
EP (1) EP3826242B1 (ja)
JP (1) JP6984754B2 (ja)
WO (1) WO2020017000A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7468298B2 (ja) 2020-10-28 2024-04-16 富士通株式会社 情報処理プログラム、情報処理方法、および情報処理装置

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113438103B (zh) * 2021-06-08 2023-08-22 博智安全科技股份有限公司 一种大规模网络靶场及其构建方法、构建装置、构建设备

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015076863A (ja) 2013-10-11 2015-04-20 富士通株式会社 ログ分析装置、方法およびプログラム
JP2018032356A (ja) * 2016-08-26 2018-03-01 富士通株式会社 制御プログラム、制御方法および情報処理装置

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050249214A1 (en) * 2004-05-07 2005-11-10 Tao Peng System and process for managing network traffic
US20100138919A1 (en) * 2006-11-03 2010-06-03 Tao Peng System and process for detecting anomalous network traffic
JP5011234B2 (ja) * 2008-08-25 2012-08-29 株式会社日立情報システムズ 攻撃ノード群判定装置およびその方法、ならびに情報処理装置および攻撃対処方法、およびプログラム
KR101219538B1 (ko) * 2009-07-29 2013-01-08 한국전자통신연구원 비주얼 데이터 분석 기반의 네트워크 공격 탐지 장치 및 그 방법
US8874763B2 (en) * 2010-11-05 2014-10-28 At&T Intellectual Property I, L.P. Methods, devices and computer program products for actionable alerting of malevolent network addresses based on generalized traffic anomaly analysis of IP address aggregates
US9038177B1 (en) * 2010-11-30 2015-05-19 Jpmorgan Chase Bank, N.A. Method and system for implementing multi-level data fusion
AU2013302297B2 (en) * 2012-08-13 2020-04-30 Mts Consulting Pty Limited Analysis of time series data
US9197657B2 (en) * 2012-09-27 2015-11-24 Hewlett-Packard Development Company, L.P. Internet protocol address distribution summary
US10902114B1 (en) * 2015-09-09 2021-01-26 ThreatQuotient, Inc. Automated cybersecurity threat detection with aggregation and analysis

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015076863A (ja) 2013-10-11 2015-04-20 富士通株式会社 ログ分析装置、方法およびプログラム
JP2018032356A (ja) * 2016-08-26 2018-03-01 富士通株式会社 制御プログラム、制御方法および情報処理装置

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
MASAKI ISHIGURO; HIRONOBU SUZUKI; TOMOHARU SHIMIZU; ICHIRO MURASE: "Analysis of Distribution of Sender IP Addresses of Unauthorized Packets on the Internet", IPSJ SYMPOSIUM SERIES, vol. 2006, no. 11, 25 October 2006 (2006-10-25), pages 507 - 512, XP009524883, ISSN: 1344-0640 *
See also references of EP3826242A4
TSUTSUMI TSUTSUMI; SHUTA MORISHIMA; SHOGO SUZUKI; KENICHI SHIBAHARA; KATSUNARI YOSHIOKA; TSUTOMU MATSUMOTO: "Finding Network Address Blocks Intensively Used for Cyber Attacks", IEICE TECHNICAL REPORT, vol. 114, no. 489, 24 February 2015 (2015-02-24), pages 1 - 2, XP055677103 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7468298B2 (ja) 2020-10-28 2024-04-16 富士通株式会社 情報処理プログラム、情報処理方法、および情報処理装置

Also Published As

Publication number Publication date
EP3826242A1 (en) 2021-05-26
JPWO2020017000A1 (ja) 2021-05-20
US20210152573A1 (en) 2021-05-20
EP3826242A4 (en) 2021-07-21
JP6984754B2 (ja) 2021-12-22
EP3826242B1 (en) 2022-08-10

Similar Documents

Publication Publication Date Title
US11025674B2 (en) Cybersecurity profiling and rating using active and passive external reconnaissance
US20220014560A1 (en) Correlating network event anomalies using active and passive external reconnaissance to identify attack information
Perdisci et al. Alarm clustering for intrusion detection systems in computer networks
US11336663B2 (en) Recording medium on which evaluating program is recorded, evaluating method, and information processing apparatus
US20230362200A1 (en) Dynamic cybersecurity scoring and operational risk reduction assessment
JP6030272B2 (ja) ウェブサイト情報抽出装置、システム、ウェブサイト情報抽出方法、および、ウェブサイト情報抽出プログラム
CN111786950A (zh) 基于态势感知的网络安全监控方法、装置、设备及介质
Vaarandi et al. Using security logs for collecting and reporting technical security metrics
JP7005936B2 (ja) 評価プログラム、評価方法および情報処理装置
CN110149319B (zh) Apt组织的追踪方法及装置、存储介质、电子装置
EP3913888A1 (en) Detection method for malicious domain name in domain name system and detection device
CN110188538B (zh) 采用沙箱集群检测数据的方法及装置
JP2019028891A (ja) 情報処理装置、情報処理方法及び情報処理プログラム
US20210152573A1 (en) Cyberattack information analysis program, cyberattack information analysis method, and information processing apparatus
US10560473B2 (en) Method of network monitoring and device
CN114301659A (zh) 网络攻击预警方法、系统、设备及存储介质
US11588678B2 (en) Generating incident response action recommendations using anonymized action implementation data
JP2018195197A (ja) 評価プログラム、評価方法および情報処理装置
JP7424395B2 (ja) 分析システム、方法およびプログラム
JP2021111802A (ja) 検知プログラム、検知方法および情報処理装置
JP7405162B2 (ja) 分析システム、方法およびプログラム
CN116582371B (zh) 扫描器的检测方法及装置、存储介质、电子设备
US20220131884A1 (en) Non-transitory computer-readable recording medium, information processing method, and information processing device
Beramendi Higueras Detection of cryptocurrency mining malware from network measurements
JP2020119376A (ja) サイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18926933

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020530819

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2018926933

Country of ref document: EP