WO2020194449A1 - 警告装置、制御方法、及びプログラム - Google Patents

警告装置、制御方法、及びプログラム Download PDF

Info

Publication number
WO2020194449A1
WO2020194449A1 PCT/JP2019/012496 JP2019012496W WO2020194449A1 WO 2020194449 A1 WO2020194449 A1 WO 2020194449A1 JP 2019012496 W JP2019012496 W JP 2019012496W WO 2020194449 A1 WO2020194449 A1 WO 2020194449A1
Authority
WO
WIPO (PCT)
Prior art keywords
event
information
threat
event information
detection
Prior art date
Application number
PCT/JP2019/012496
Other languages
English (en)
French (fr)
Inventor
淳 西岡
純明 榮
和彦 磯山
悦子 市原
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US17/439,509 priority Critical patent/US12001551B2/en
Priority to PCT/JP2019/012496 priority patent/WO2020194449A1/ja
Priority to JP2021508423A priority patent/JP7140268B2/ja
Publication of WO2020194449A1 publication Critical patent/WO2020194449A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to the detection of threats in computer systems.
  • Patent Document 1 extracts a threat expected in the target system from the threat case database based on the result of analyzing the mode of data transmission / reception in the target system.
  • the present invention states that "a general user impersonates a user” about the process of "sending an ID and password in plain text to a server via the Internet without encryption”. Output information that a threat is expected.
  • Patent Document 1 targets only threats that occur in connection with the transmission and reception of data. Therefore, it is not possible to detect threats caused by anything other than sending and receiving data.
  • the present invention has been made in view of the above-mentioned problems, and one of the purposes thereof is to provide a technique capable of detecting the occurrence of various threats.
  • the warning device of the present invention 1) acquires the first detection event information representing the event set which is the set of events generated in the target system at the first abstract level, and is represented by the acquired first detection event information.
  • the first detection event information and the first detection event information from the first generation unit that generates the second detection event information that represents the event set at the second abstraction level, and 2) the plurality of threat information that each represents the threat activity.
  • the control method of the present invention is executed by a computer.
  • the control method is as follows: 1) Acquire the first detection event information representing the event set which is the set of events generated in the target system at the first abstract level, and the event represented by the acquired first detection event information.
  • the first generation step to generate the second detection event information representing the set at the second abstraction level, and 2) the first detection event information and the second detection event information from a plurality of threat information each representing a threat activity.
  • a specific step to identify threat information that is highly relevant to at least one of the detected event information, and 3) at an abstract level that corresponds to the identified threat information and the detected event information that is highly relevant to that threat information. It has a second generation step that generates warning information about threats occurring in the target system based on a certain match level.
  • the program of the present invention causes a computer to execute each step of the control method of the present invention.
  • a technique capable of detecting the occurrence of various threats is provided.
  • FIG. 1 It is a figure which shows the outline of the operation of the information processing apparatus of Embodiment 1. It is a figure which illustrates the structure of the warning device of Embodiment 1. It is a figure which illustrates the computer for realizing the warning device. It is a flowchart which illustrates the flow of the process executed by the warning apparatus of Embodiment 1.
  • FIG. It is a figure which illustrates the structure of the information which represents an event in a table format. It is a figure which illustrates the method of constructing an event set. It is a figure which illustrates the method of constructing an event set.
  • each block diagram represents a configuration of a functional unit, not a configuration of a hardware unit.
  • FIG. 1 is a diagram showing an outline of the operation of the information processing apparatus according to the first embodiment.
  • FIG. 1 is a conceptual diagram for facilitating an understanding of the operation of the warning device 2000, and does not specifically limit the operation of the warning device 2000.
  • the warning device 2000 represents a set of events (a group of one or more events related to each other) generated in the monitored system (hereinafter referred to as the target system), and the event set represents some threat occurring in the target system. Identify if or not. As an event, various things such as reading and writing data by a process and starting another process can be handled. Then, when the threat represented by the event set is identified, the warning device 2000 outputs warning information 40 regarding the threat.
  • the threat in the target system means an unauthorized operation on the system or information leakage due to unauthorized access.
  • the fact that malware is active in the target system is an example of a threat.
  • the warning device 2000 operates as follows.
  • the warning device 2000 acquires the first detection event information 10.
  • the first detection event information 10 represents a set of events (each event) generated in the target system at the first abstraction level (degree of abstraction).
  • the warning device 2000 generates the second detection event information 20 by using the first detection event information 10.
  • the second detection event information 20 represents the event set (each event) represented by the first detection event information 10 at a second abstraction level.
  • the abstract level of how to represent an event means the degree of how abstract the event is represented.
  • the lower the level of abstraction the more concrete the event will be.
  • the former can be said to represent the event more concretely. .. Therefore, the former expression has a lower level of abstraction than the latter expression.
  • the second level of abstraction has a higher degree of abstraction than the first level of abstraction. That is, the second detection event information 20 is information expressing the event set represented by the first detection event information 10 with a higher degree of abstraction.
  • the first detection event information 10 represents the subject or object of the event by its identification information (for example, the body and extension of the file name), while the second detection event information 20 represents the subject or object of the event by their types. It is represented by the information (for example, extension) to be represented.
  • the first detection event information 10 and the second detection event information 20 are collectively referred to as detection event information.
  • the warning device 2000 uses the threat information 30 predetermined for each of the various threats.
  • the threat represented by the threat information 30 (the threat corresponding to the threat information 30) is represented by an event set.
  • the threat information 30 includes the first threat event information 32 and the second threat event information 34.
  • the first threat event information 32 a set of events representing a threat is represented at the first abstract level.
  • the second threat event information 34 the event set representing the threat is represented at the second abstract level. That is, the first threat event information 32 and the second threat event information 34 included in one threat information 30 represent event sets representing the same threat with different levels of abstraction.
  • the first threat event information 32 and the second threat event information 34 are collectively referred to as threat event information.
  • the warning device 2000 identifies the threat event information having a high degree of relevance to the detection event information from among the plurality of threat information 30. Specifically, threat information indicating the first threat event information 32 having a high degree of relevance to the first detection event information 10 or the second threat event information 34 having a high relevance to the second detection event information 20. 30 is identified.
  • the warning device 2000 occurs in the target system based on the identified threat information 30 and the abstract level of the detection event information (hereinafter referred to as the match level) identified as having a high degree of relevance to the threat information 30. Generates warning information 40 regarding the threat.
  • the matching level becomes the first abstract level.
  • the second detection event information 20 and the second threat event information 34 of the certain threat information 30 are highly related. Then, the warning device 2000 outputs the generated warning information 40.
  • the warning device 2000 of the present embodiment by comparing the detected event information (information indicating a set of events actually occurring in the target system) and the threat information 30 (information indicating a set of events representing threat activity). , Threat information 30 having a high degree of relevance to the detected event information is identified. This makes it possible to identify the threat information 30 that represents a threat that is highly likely to occur in the target system. Then, the warning device 2000 generates and outputs warning information regarding the identified threat information 30. Therefore, the user of the warning device 2000 (administrator or user of the target system) can easily grasp the threat that may occur in the target system.
  • warning device 2000 of the present embodiment it is possible to detect the occurrence of a threat not only for sending and receiving data but also for various activities in the target system.
  • the same event set is represented by a plurality of abstract levels having different levels of abstraction. Specifically, for a set of events that actually occur in the target system, the first detection event information 10 that represents the set of events at the first abstract level can be obtained. Further, the second detection event information 20 representing the event set represented by the first detection event information 10 at the second abstraction level is generated. Further, in the threat information 30, the event set representing the threat activity is represented in advance at a plurality of different abstract levels (first threat event information 32 and second threat event information 34).
  • the warning device 2000 compares the first detection event information 10 with the first threat event information 32, and compares the second detection event information 20 with the second threat event information 34. As a result, not only the threat information 30 that matches the event set representing the threat activity can be specified, but also the degree of abstraction that these match can be specified. Then, the warning device 2000 generates the warning information 40 in consideration of the point of "how much abstraction level the match is made". Therefore, the user of the warning device 2000 can grasp not only the threat that may have occurred in the target system but also the certainty that the threat has occurred.
  • warning device 2000 of the present embodiment will be described in more detail.
  • FIG. 2 is a diagram illustrating the configuration of the warning device 2000 of the first embodiment.
  • the warning device 2000 includes a first generation unit 2020, a specific unit 2040, a second generation unit 2060, and an output unit 2080.
  • the first generation unit 2020 acquires the first detection event information 10 and generates the second detection event information 20 that represents the event set represented by the first detection event information 10 at the second abstract level.
  • the identification unit 2040 identifies the threat information 30 having a high degree of relevance to at least one of the first detection event information 10 and the second detection event information 20 from the plurality of threat information 30.
  • the second generation unit 2060 generates the warning information 40 based on the identified threat information 30 and the abstract level corresponding to the event information having a high degree of relevance to the threat information 30.
  • the output unit 2080 outputs the warning information 40.
  • Each functional component of the warning device 2000 may be realized by hardware (eg, a hard-wired electronic circuit) that realizes each functional component, or a combination of hardware and software (eg, electronic). It may be realized by a combination of a circuit and a program that controls it).
  • hardware eg, a hard-wired electronic circuit
  • software eg, electronic
  • It may be realized by a combination of a circuit and a program that controls it).
  • a case where each functional component of the warning device 2000 is realized by a combination of hardware and software will be further described.
  • FIG. 3 is a diagram illustrating a computer 1000 for realizing the warning device 2000.
  • the computer 1000 is an arbitrary computer.
  • the computer 1000 is a stationary computer such as a personal computer (PC) or a server machine.
  • the computer 1000 is a portable computer such as a smartphone or a tablet terminal.
  • the computer 1000 may be a dedicated computer designed to realize the warning device 2000, or may be a general-purpose computer.
  • the computer 1000 has a bus 1020, a processor 1040, a memory 1060, a storage device 1080, an input / output interface 1100, and a network interface 1120.
  • the bus 1020 is a data transmission line for the processor 1040, the memory 1060, the storage device 1080, the input / output interface 1100, and the network interface 1120 to transmit and receive data to and from each other.
  • the method of connecting the processors 1040 and the like to each other is not limited to the bus connection.
  • the processor 1040 is various processors such as a CPU (Central Processing Unit), a GPU (Graphics Processing Unit), and an FPGA (Field-Programmable Gate Array).
  • the memory 1060 is a main storage device realized by using RAM (Random Access Memory) or the like.
  • the storage device 1080 is an auxiliary storage device realized by using a hard disk, an SSD (Solid State Drive), a memory card, a ROM (Read Only Memory), or the like.
  • the input / output interface 1100 is an interface for connecting the computer 1000 and the input / output device.
  • an input device such as a keyboard and an output device such as a display device are connected to the input / output interface 1100.
  • the network interface 1120 is an interface for connecting the computer 1000 to the communication network.
  • This communication network is, for example, LAN (Local Area Network) or WAN (Wide Area Network).
  • the method of connecting the network interface 1120 to the communication network may be a wireless connection or a wired connection.
  • the storage device 1080 stores a program module that realizes each functional component of the warning device 2000.
  • the processor 1040 realizes the function corresponding to each program module by reading each of these program modules into the memory 1060 and executing the program module.
  • FIG. 4 is a flowchart illustrating a flow of processing executed by the warning device 2000 of the first embodiment.
  • the first generation unit 2020 acquires the first detection event information 10 (S102).
  • the first generation unit 2020 generates the second detection event information 20 by using the first detection event information 10 (S104).
  • the specific unit 2040 has a high degree of relevance to the detection event information from the plurality of threat information 30 (highly relevance to at least one of the first detection event information 10 and the second detection event information 20).
  • Information 30 is specified (S106).
  • the second generation unit 2060 generates warning information 40 based on the identified threat information 30 and its matching level (S108).
  • the output unit 2080 outputs the generated warning information 40 (S110).
  • the processing flow executed by the warning device 2000 is not limited to that shown in FIG.
  • the warning device 2000 compares the first threat event information 32 included in each threat information 30 with the first detection event information 10 before generating the second detection event information 20, and compares the first threat event information 32 with the first detection event information 10.
  • the second detection event information 20 may be generated when the threat information 30 including the first threat event information 32 having a high degree of relevance does not exist.
  • the warning device 2000 compares the generated second detection event information 20 with the second threat event information 34 included in each threat information 30, so that the second detection event information 20 is highly related to the second detection event information 20.
  • the threat information 30 including the threat event information 34 is specified.
  • the warning device 2000 does not find a highly relevant information between the nth abstraction level detection event information and the nth abstraction level threat event information, the first (n + 1) abstraction Generate level detection event information.
  • Events are various events that occur on the target system.
  • an event represents the activity of a process running on the target system (on any terminal included in the target system).
  • process activity is recorded on a system call basis.
  • the terminal constituting the target system may be a physical machine or a virtual machine.
  • the event is represented by, for example, information indicating five elements: the identification information of the terminal where the event occurred, the subject of the event, the object of the event, the content of the activity performed by the subject on the object, and the time of occurrence. Therefore, for example, the information representing an event is roughly classified into five items: terminal identification information, subject information representing a subject, object information representing an object, content information representing the content of an activity, and an occurrence time.
  • the terminal identification information is arbitrary information that can identify the terminal.
  • the network address (IP address or MAC address) or UUID (Universally Unique Identifier) of the terminal can be used as the identification information of the terminal.
  • the subject information is arbitrary identification information that can identify the process that is the subject.
  • the information that identifies the process is referred to as the process identification information.
  • the process identification information includes a process ID (Identifier).
  • the process identification information about the process in which the plurality of threads operate includes the thread ID in addition to the process ID.
  • the process identification information further includes information about the process executable file.
  • the information about the executable file of the process is, for example, the name and path of the executable file, the hash value of the executable file, the digital signature of the executable file, or the name of the application realized by the executable file.
  • the object information is, for example, the type and identification information of the object.
  • the type of object is, for example, a process, file, or socket. If the object is a process, the object information includes process identification information for that process.
  • the object information When the object is a file, the object information includes information for identifying the file (hereinafter, file identification information).
  • file identification information is, for example, a file name or path.
  • the object information includes the hash value of the file and the combination of the file system identifier and the disk block identifier (inode number or object ID) that constitutes the file on the file system. It may be included.
  • the object information includes the identifier assigned to the socket.
  • the content information is, for example, identification information assigned to various activity contents. For example, different identifiers are assigned to the contents of activities such as “start”, “stop”, “open”, “read data”, and “write data”. Note that access to a socket means access to another device associated with the socket.
  • FIG. 5 is a diagram illustrating the structure of information representing an event in a table format.
  • the table of FIG. 5 is referred to as an event table 200.
  • Each record in the event table 200 represents one event.
  • the event table 200 includes five items, which are roughly classified into terminal identification information 201, subject information 202, object information 204, content information 206, and occurrence time 207.
  • the subject information 202 includes three items, a process ID 208, a thread ID 209, and a path 210.
  • the object information 204 includes two items, the type 212 and the identification information 214.
  • Occurrence time 207 indicates the time when the event occurred.
  • each event is generated by recording the activity of the process on the target system.
  • Existing technology can be used as the technology for recording process activity.
  • An event set is a collection of one or more events that are related to each other. For example, a plurality of events linked by the operation "when the object of one event is the subject in another event, these events are concatenated" are included in the same event set.
  • the events that occurred on the system may be connected and represented in a graph.
  • the event set can be composed of a plurality of events that constitute one graph when the events are concatenated and represented by a graph in this way. For example, in FIG. 1, a group of events constituting one graph is treated as an event set.
  • the method of constructing an event set is not limited to the method of including the concatenated events in the same event set. That is, when the connection of events is represented by a graph, each event included in a plurality of graphs that are not connected to each other may be included in the same event set.
  • 6 to 8 are diagrams illustrating a method of constructing an event set.
  • a plurality of events related to the generation of the scheduled task and a plurality of events related to the execution of the scheduled task are included in one event set. That is, the process that generates the schedule task (the process represented by the dot pattern) is treated as the "process of interest”, and the process that executes the schedule task and the process that is generated by executing the schedule task are the "process of interest”. It is treated as a "process derived from”.
  • a threat realized by the event set represented as shown in FIG. 6, for example, a threat of "execution of the malware after a predetermined time after generating the malware" can be considered.
  • an event for uploading a file from terminal A to terminal B and an event for accessing the file are included in the same event set. That is, the process of uploading a file to another terminal (process represented by a dot pattern) is treated as the "process of interest”, and the file uploaded by that process (file represented by diagonal lines) is "derived from the process of interest”. It is treated as a "file”.
  • an event for storing a file in an external storage device and an event for reading the file from the external storage device and using the file are included in the same event set. That is, the process of storing the file in the external storage device (process represented by the dot pattern) is treated as the "process of interest”, and the file stored in the external storage device (file represented by the diagonal line) is the "process of interest”. It is treated as a "file derived from”.
  • the process of reading the file stored in the external storage device and the process of using the read file may be different (example in the upper part of FIG. 8) or may be the same (lower part of FIG. 8). Example).
  • the external storage device may be a portable storage device such as a USB memory or an SD card, or may be a stationary storage device such as a NAS (Network Attached Storage) (example of FIG. 8). Then USB memory).
  • a portable storage device such as a USB memory or an SD card
  • a stationary storage device such as a NAS (Network Attached Storage) (example of FIG. 8). Then USB memory).
  • the process of interest For example, the process of the subject or the object of the event in which some abnormality is detected by the abnormality detection system provided inside or outside the warning device 2000 is treated as a process of interest.
  • An existing system can be used for this abnormality detection system.
  • an anomaly detection system is used that performs an operation of "determining the activity of a process that does not normally occur as a rule and detecting an event that matches such a rule as an abnormal event”.
  • the first detection event information 10 is information expressing an event set with a first degree of abstraction.
  • the first detection event information 10 indicates identification information that can uniquely identify the subject and the object of the event.
  • the process identification information is a process ID or the name or path of an executable file of a program that realizes the process.
  • the file identification information is, for example, the name or path of the file.
  • the second detection event information 20 is information that expresses the event set represented by the first detection event information 10 with a higher degree of abstraction than the first detection event information 10.
  • the second detection event information 20 indicates information representing their types, instead of the identification information of the subject or the object of the event.
  • the type of process can be represented by the type of program (browser, document creation software, spreadsheet software, etc.) being executed as the process.
  • the file type includes, for example, an HTML file, a PDF file, or a spreadsheet file.
  • the activity contents may be represented by different abstractions.
  • the activity content is writing (transmission) of data via the network
  • the first detection event information 10 indicates that the writing is performed using a specific communication protocol
  • the second detection event information 20 indicates communication. It is possible to adopt a method of simply indicating that it is a write without indicating the protocol.
  • At least one of the event subject, the object, and the activity content may be represented by a higher degree of abstraction than the first detection event information 10.
  • the first generation unit 2020 acquires the first detection event information 10 (S102). There are various methods for the first generation unit 2020 to acquire the first detection event information 10. For example, the first generation unit 2020 acquires the first detection event information 10 transmitted from another device. In addition, for example, the first generation unit 2020 may acquire the first detection event information 10 by reading the first detection event information 10 from the storage device.
  • the first generation unit 2020 acquires one or more first detection event information 10 by acquiring information indicating each event generated in the target system (for example, the event table 200 shown in FIG. 5) and grouping the events. It may be generated.
  • An existing method can be used as a method of recording an event generated in the system and a method of acquiring the recorded information. Further, the method of grouping the events generated in the target system and grouping them into an event set (collecting a plurality of events into one event set) is as described above.
  • the first generation unit 2020 may generate the first detection event information 10 for all the events generated in the target system, or generate the first detection event information 10 focusing on a specific event. You may.
  • the above-mentioned anomaly detection system may be introduced to detect anomalous events, and an event set may be generated only for anomalous events. That is, the first detection event information 10 is not generated for an event that is not related to the abnormal event.
  • the event of interest may be a predefined event.
  • the information defining the event of interest is stored in a storage device accessible from the first generation unit 2020.
  • the first generation unit 2020 generates the second detection event information 20 from the first detection event information 10 (S104).
  • the rule for generating the second detection event information 20 from the first detection event information 10 is predetermined. ..
  • the subject of the event is represented by identification information
  • the subject of the event is represented by the type information indicating the type.
  • the conversion rule defines the conversion of the identification information of the subject into the seed report information and the conversion method. For example, suppose that the identification information of the subject is represented by the executable file name of the process, and the type of the subject is represented by the extension. In this case, the identification information of the subject can be converted into the type information of the subject by the conversion method of extracting the extension portion from the executable file name.
  • the first generation unit 2020 generates detection event information in which the event set represented by the first detection event information 10 is expressed with a higher abstraction level than the second abstraction level. May be good.
  • the first generation unit 2020 generates the third detection event information in which the event set represented by the first detection event information 10 is represented by a third abstract level higher than the second abstract level.
  • abstraction may be performed at the fourth abstract level or the fifth abstract level. That is, the first generation unit 2020 uses the first detection event information 10 and expresses the event set represented by the first detection event information 10 at different abstract levels from the second detection event information to the nth detection event information ( n is an integer greater than or equal to 2).
  • n is an integer greater than or equal to 2.
  • FIG. 9 is a diagram illustrating a case where three or more abstract levels are used.
  • the process, the file, and the communication destination terminal are all represented by uniquely possible identification information.
  • the type information is used instead of the identification information.
  • the third detection event information in the event representing communication, information representing the communication protocol is shown as an object instead of the identification information of the communication destination. Then, in the fourth detection event information, the information representing the subject is omitted. That is, the subject is not specified.
  • the communication protocol is not limited to the communication protocol of the transport layer, but also a protocol of another layer (for example, a protocol of a network layer such as IP or an application layer such as HTTP). Etc.).
  • the content may not change before and after the abstraction.
  • the event set does not change before and after the abstraction unless the event representing the communication is included in the event set.
  • the threat information 30 is information indicating a set of events representing a threat activity, which is an activity that poses a threat to a computer system.
  • the threat information 30 is information that expresses the activities of specific malware, intrusion activities that pierce a specific security hole, and the like as a set of events that constitute those activities.
  • the threat information 30 can be generated as a source of information on a threat activity actually found in a certain computer system or a threat activity discovered by a researcher or the like that can occur in principle.
  • the information that is the source of the threat information 30 (hereinafter referred to as source information) is, for example, posted on a paper, a report on research activities related to security, a Web page of a security-related company, or an SNS (Social Networking Service).
  • source information may be manually collected by a person who generates the threat information 30, or may be automatically collected from the network using a crawler or the like.
  • the threat information 30 representing a certain threat activity is composed of a plurality of threat event information expressing the event set (hereinafter, threat event set) constituting the threat activity at different abstract levels.
  • the threat information 30 includes at least the first threat event information 32 in which the corresponding threat event set is represented by the first abstraction level, and the second threat event information in which the threat event set is represented by the second abstract level. Further, as with the detection event information, threat event information having a higher abstraction level than the second abstraction level may be included.
  • the third threat event information in which the threat event set is represented by the third abstract level, the fourth threat event information in which the threat event set is represented by the fourth abstract level, and the like may be included. That is, the threat information 30 corresponding to one threat activity can include the nth threat event information from the first threat event information in which the event sets representing the threat activity are expressed at different abstract levels (n is 2). Any integer above).
  • the threat information 30 may include information other than the threat event information.
  • the threat information 30 includes a description of the threat activity represented by the threat information 30. Descriptions of threat activity include, for example, information about the nature of the attack, the target of the attack, and the vulnerabilities of the system that the attack exploits.
  • the threat information 30 may include an IOC (Indicator of Compromise).
  • the IOC is data that represents traces of activities such as malware acquired from a system that has been damaged by malware.
  • the IOC includes a hash value of malware or the like, an IP address or domain name of the communication destination of the communication performed by the malware or the like.
  • the generation of the threat information 30 using the source information may be performed manually or automatically by a computer (for example, the warning device 2000).
  • a computer for example, the warning device 2000.
  • the latter case will be described assuming that the threat information 30 is generated by the warning device 2000 in order to facilitate the explanation.
  • the warning device 2000 generates an event set by extracting an event from a sentence constituting the source information according to a predetermined rule. Then, the warning device 2000 generates the nth threat information from the first threat information for the extracted event set. For example, the warning device 2000 generates information representing an event set at an abstract level represented in the source information as the first threat event information. Then, another abstract level threat event information is generated from the generated first threat event information.
  • an existing technique used in the field of natural language processing or the like can be used.
  • an event extraction rule that associates a set of words or a sentence with an event represented by them is defined.
  • the warning device 2000 extracts one or more events from the source information by using this extraction rule, and defines a set of the extracted events as a threat event set.
  • the rules for converting the first threat event information to the second threat event information and the rules for converting to higher threat event information include the rule for converting the detection event information to the detection event information with a higher degree of abstraction. Similar rules can be used.
  • warning device 2000 also extracts explanations about threat activities and IOCs from source information.
  • the rules for realizing these extractions are also defined in advance in the same manner as the rules for extracting events from the source information.
  • the identification unit 2040 identifies the threat information 30 having a high degree of relevance to the detection event information (S106). Therefore, the identification unit 2040 calculates the degree of association between the event set represented by the detection event information and the threat event set represented by the threat information 30. Specifically, the specific unit 2040 calculates the degree of relevance between the detection event information and the threat event information at the same abstraction level.
  • the specific unit 2040 compares the nth detection event information and the nth threat event information included in the threat information 30 for each n. That is, the relevance of the first detection event information 10 to the first threat event information 32 included in the threat information 30 is calculated, and the second detection event information 20 is included in the threat information 30. The degree of association with the threat event information 34 is calculated.
  • the degree of relevance between the nth threat event information and the nth detection event information included in the threat information 30 is referred to as the nth relevance degree.
  • the specific unit 2040 uses the threat information 30 having a higher (or higher than a predetermined threshold value) of any one or more of the nth relevance calculated for the threat information 30 as the detection event information. It is specified as threat information 30 having a high degree of relevance.
  • event data is data obtained by concatenating a character string representing the subject of an event, a character string representing an object of an event, and a character string representing an activity content.
  • the character string obtained by concatenating the character string x and the character string y is expressed as x + y
  • the same event is represented by different event data.
  • the event data e1 indicated by the first detection event information 10 is the character string "" xyz.exe “+” abc.txt "+” read "”.
  • the event data e2 indicated by the second detection event information 20 is a character string of "" xyz.exe “+” txt “+” read "”.
  • the specific unit 2040 calculates the degree of relevance between the detected event information and the threat event information based on the degree of overlap (matching degree) between the set of event data in the detected event information and the set of event data in the threat event information. To do.
  • the degree of relevance is calculated using the following equation (1) or equation (2).
  • x represents the degree of relevance.
  • E is a set of event data shown in the threat event information.
  • S is a set of event data that matches the threat event information and the detection event information.
  • w is the weight attached to the event data. The weight attached to each event data is predetermined in the threat information 30.
  • the degree of relevance is defined as the value obtained by dividing the number of matching event data between the threat event information and the detected event information by the total number of events shown in the threat event information.
  • the sum of the weights attached to each event data that matches between the threat event information and the detection event information is the sum of the weights attached to each event data shown in the threat event information.
  • the degree of relevance is defined as the value divided by the sum.
  • the specific unit 2040 specifies one or more duplicate event data in which the order matches between the threat event information and the detected event information.
  • an event set whose order needs to be considered is also referred to as an event permutation.
  • the detection event information shows an event permutation set of ⁇ a, b, c, d ⁇
  • the threat event information shows an event permutation of ⁇ b, d, c ⁇ .
  • these event permutations have duplicates of ⁇ b, d ⁇ and ⁇ b, c ⁇ . This is because d and c occur after b in any event permutation.
  • the identification unit 2040 calculates the degree of association between the detected event information and the threat event information based on the overlapping event permutations ( ⁇ b, d ⁇ and ⁇ b, c ⁇ in the above example). Specifically, the degree of relevance is calculated using the following formula (3) or (4).
  • P is a set of event permutations that overlap between the detected event information and the threat event information (a set composed of ⁇ b, d ⁇ and ⁇ b, c ⁇ in the above example). Other symbols are the same as those in equations (1) and (2).
  • the relevance is calculated by dividing the maximum number of elements in each event permutation that overlap between the detected event information and the threat event information by the total number of events shown in the threat event information. It is fixed.
  • the sum of the weights of the event data included in each event sequence that overlaps between the detected event information and the threat event information is calculated, and the maximum value of the sum is used as the threat event information.
  • the degree of relevance is defined as the value divided by the sum of the weights attached to each of the event data shown.
  • Whether or not to consider the event occurrence order may be determined for each threat information, or may be fixed regardless of the threat information.
  • the threat information is provided with a flag indicating whether or not to consider the order in which events occur.
  • whether or not to consider the event occurrence order may be determined for each threat event information.
  • the threat event information may define the order of occurrence of some events instead of the order of occurrence of all events. That is, in the threat event information, the order is specified for a part of the event set (the event permutation is shown). For example, in the threat event information including four events a, b, c, and d, it is conceivable to define only the order of occurrence that "a always occurs before b".
  • the specific unit 2040 is shown in 1) the degree of relevance between the event set shown in the threat event information and the event set shown in the detection event information, and 2) the threat event information.
  • Two degrees of relevance are calculated: the relevance of the event permutation and the relevance of the event permutation shown in the detected event information.
  • the former is the degree of relevance in the case where the event occurrence order is not considered, and the latter is the relevance degree in the case where the event occurrence order is considered.
  • the specific unit 2040 treats the calculated statistical values of the two relevance degrees (average value, maximum value, minimum value, etc.) as the relevance degree between the threat event information and the detection event information.
  • Whether or not the event data match each other may be determined by comparing the event data as it is (for example, performing a match determination between character strings), or converting the event data into other data that can be easily compared. It may be done after doing. In the latter case, for example, the specific unit 2040 converts the event data into a numerical value (event value) according to an arbitrary rule. For example, a hash value can be used as the event value.
  • the specific unit 2040 calculates the event value of the event data shown in each of the event information and the threat event information to be compared, and compares the set of event values with each other to obtain the difference between the event information and the threat event information. Identify the event data that matches with.
  • the event data shown in the threat event information is converted into an event value in advance and included in the threat event information.
  • the specific unit 2040 may determine whether or not the detected event information and the threat event information match by using other additional information in addition to the event set.
  • FIG. 10 is a diagram illustrating a case where a threat activity is determined based on the size of data read / written in addition to the event set.
  • the upper part of FIG. 10 shows the file download.
  • To download a file for example, 1) read from a communication destination on the network, 2) write the read data to a temporary file, and 3) finally change the name of the temporary file to the original name. Will be done.
  • you look only at the event you cannot tell whether the data read in 1) and the data written in 2) are the same. For example, there is a possibility that the write to the file in 2) has nothing to do with the read of the file in 1).
  • the size of the data is compared. That is, whether or not the above-mentioned read event and write event constitute an event set representing file download is determined by comparing the size of the read data and the size of the written data.
  • the size of the read data is smaller than the size of the written data, it is considered that the read event and the write event do not form an event set representing file download.
  • the size of the read data is greater than or equal to the size of the written data, it is considered that the read event and the write event form an event set representing file download. The same can be said for uploading data.
  • comparing the data size instead of the data content has the advantage that the time required for the comparison process is short and that it is not necessary to record the data content for comparison. ..
  • process B mediates the transmission and reception of data between processes A and C.
  • process B mediates the transmission and reception of data between processes A and C.
  • the condition that "the data that process A wrote to process B is the same as the data that process B wrote to process C" is satisfied, data transmission from process A to process C is performed.
  • Process B has mediated. The same applies to the reverse flow.
  • the specific unit 2040 determines whether or not the above-mentioned condition regarding the data size is satisfied.
  • the specific unit 2040 associates the threat information 30 with the detection event information regardless of the degree of matching between the event sets. Do not identify it as a high degree.
  • the specific unit 2040 corrects the value of the degree of relevance calculated based on the degree of matching between the event sets, depending on whether or not the condition regarding the data size is satisfied. For example, when the above-mentioned data size condition is not satisfied, the specific unit 2040 multiplies the degree of relevance calculated based on the degree of matching between event sets by a predetermined correction coefficient greater than 0 and less than 1. Then, the degree of relevance is corrected to a smaller value.
  • the second generation unit 2060 generates the warning information 40 based on the threat information 30 specified by the specific unit 2040 and the matching level thereof (S108). For example, when the first threat event information 32 included in a certain threat information 30 is specified to have a high degree of relevance to the first detection event information 10, the warning information 40 is the threat information 30 and the "first abstraction". It is generated based on the matching level called "level". Here, the specific usage of the match level will be described later.
  • the second generation unit 2060 includes an explanation about the threat represented by the threat information 30 and a countermeasure against the threat in the warning information 40. Explanations and countermeasures regarding threats are included in the threat information 30 in advance.
  • the second generation unit 2060 may include information representing an event that matches between the detection event information and the threat information 30 in the warning information 40.
  • the graph representation of the event set represented by the detected event information is included in the warning information 40, and the events that match the threat information 30 are highlighted in the graph.
  • FIG. 11 is a diagram illustrating warning information 40.
  • the warning information 40 of FIG. 11 includes a name (summary) of the threat information 30, a match level, a graph representation of the event represented by the first detection event information 10, a description of the threat, and a description of the countermeasure method. .. Further, in the event graph, the event that matches the threat information 30 is surrounded by a frame painted with a dot pattern.
  • the match level can be used to determine the mode of emphasis when emphasizing a threat description or event graph. That is, the second generation unit 2060 makes the emphasis method different depending on the matching level. For example, the lower the match level, the stronger the threat description and event graph emphasis.
  • the strength of emphasis can be increased, for example, by making the color more conspicuous or by making the thickness of the underline or border thicker.
  • the second generation unit 2060 may generate warning information 40 for all the identified threat information 30, or may generate warning information 40 for some threat information 30.
  • the second generation unit 2060 first considers the matching level for each threat information 30. That is, the second generation unit 2060 generates the warning information 40 by giving priority to the threat information 30 having a low matching level among the threat information 30 identified to have a high degree of relevance to the detection event information. For example, the second generation unit 2060 generates warning information 40 only for those that fall within a predetermined order when the identified threat information 30 is sorted in ascending order of matching levels.
  • the second generation unit 2060 may consider the high degree of relevance in addition to the matching level. That is, when the identified threat information 30 is sorted in ascending order of the matching level and the threat information 30 of the same matching level is sorted in descending order of the degree of relevance, the second generation unit 2060 is within a predetermined order. Warning information 40 is generated only for threat information 30.
  • the "predetermined order" is stored in advance in a storage device accessible from the specific unit 2040.
  • the output unit 2080 outputs the warning information 40 (S110).
  • the output mode of the warning information 40 is arbitrary.
  • the output unit 2080 causes the display device connected to the warning device 2000 to display the output unit 2080.
  • the output unit 2080 may store the warning information 40 in an arbitrary storage device.
  • the output unit 2080 may transmit the warning information 40 to a device other than the warning device 2000.
  • the warning information 40 is transmitted to a terminal such as an administrator of the target system. By operating the terminal, the administrator or the like of the target system browses the warning information 40 on the display device connected to the terminal.
  • the warning device 2000 may receive feedback from the user regarding the output warning information 40.
  • the warning information 40 includes information (such as an event graph in FIG. 11) representing an event that matches between the detected event information and the threat information 30.
  • the user determines that the detected event does not represent a threat.
  • the user inputs to the warning device 2000 indicating that the detected event does not represent a threat (ie, the warning is incorrect).
  • the warning device 2000 performs a process of reducing the importance of the detected event (for example, updating the importance of the event to a value obtained by multiplying the current value by a predetermined coefficient less than 1). Do. By doing so, the warning device 2000 can generate more accurate warning information 40 by utilizing the knowledge of the user.
  • the warning device 2000 may accept an input from the user indicating that the warning is correct. In this case, the warning device 2000 increases the importance of the event included in the detection event information included in the warning information 40 (for example, the importance of the event multiplied by a predetermined coefficient greater than 1 by the current value. (Update to) Perform the process.
  • the warning device 2000 may further utilize information indicating the normal activity of the target system.
  • This information is called normal information.
  • Normal information represents the normal activity of the target system as a set of events. More specifically, the normal information has a plurality of normal event information representing the same event set at different abstract levels.
  • the normal event set that expresses the event set corresponding to the normal information at the nth abstract level is referred to as the nth normal event set.
  • the identification unit 2040 calculates the degree of association between the detected event information and the threat event information, and also calculates the degree of association between the detected event information and the normal event information. Specifically, for each normal information, the degree of association between the nth normal event information included in the normal information and the nth detection event information is calculated. As a method for calculating the degree of association between the detected event information and the normal event information, the same method as the method for calculating the degree of association between the detected event information and the threat event information can be used.
  • the warning device 2000 controls the generation and output of the warning information 40 based on the degree of association between the detection event information and the normal information.
  • the second generation unit 2060 includes information about normal information having a high degree of relevance to the detection event information in the warning information.
  • the warning information should include information about normal information only if the detection event information is more likely to represent normal activity than the detection event information is likely to represent normal activity. It may be.
  • the second generation unit 2060 warns when it is considered that the detection event information is more likely to represent a normal activity than the detection event information is likely to represent a threat activity.
  • the information 40 may not be generated.
  • the second generation unit 2060 identifies the normal event information having the minimum abstraction level among the normal event information specified to have a degree of association with the detection event information of a predetermined value or more. Similarly, the second generation unit 2060 identifies the threat event information having the minimum abstraction level among the threat event information specified to have a degree of association with the detection event information of a predetermined value or more. By doing so, the normal event information that matches the detected event information at the lowest level of abstraction (in the most specific expression), and the threat event that matches the detected event information at the lowest level of abstraction (in the most specific expression). Information is identified.
  • the second generation unit 2060 compares the abstract level of the identified normal event information and the threat event information. If the abstraction level of the identified normal event information is lower than the abstraction level of the identified threat event information, the second generation unit 2060 determines that it is more probable that the detected event information represents normal activity. To do. On the other hand, if the abstraction level of the identified normal event information is higher than the abstraction level of the identified threat event information, the second generation unit 2060 is more likely that the detection event information represents a threat activity. judge.
  • the second generation unit 2060 compares the relevance calculated for these. When the relevance calculated for the normal event information is greater than the relevance calculated for the threat event information, the second generation unit 2060 determines that the probability that the detected event information represents a normal activity is higher. On the other hand, if the relevance calculated for the normal event information is less than or equal to the relevance calculated for the threat event information, the second generation unit 2060 determines that the probability that the detected event information represents the threat activity is higher. To do.
  • the first detection event information that represents the event set that is the set of events that occurred in the target system at the first abstract level is acquired, and the event set represented by the acquired first detection event information is the second.
  • the first generator that generates the second detection event information expressed at the abstract level
  • a specific unit that identifies the threat information having a high degree of relevance to at least one of the first detection event information and the second detection event information from a plurality of threat information, each of which represents a threat activity.
  • warning information regarding the threat occurring in the target system is generated.
  • a warning device having a second generation unit.
  • the event represents the activity of a process operating on the target system.
  • the warning device described in. 3. In the event set represented by the first abstraction level, the identification information of the executable file of the process that is the subject of the event or the file that is the object of the event is shown. In the event set represented by the second abstraction level, the types of the executable file of the process that is the subject of the event or the file that is the object of the event are shown. Or 2.
  • the threat information includes a first threat event information in which the event set represented by the threat information is represented by a first abstraction level and a second threat event information in which the event set represented by the threat information is represented by a second abstraction level.
  • the first degree of relevance is calculated between the first detection event information and the first threat event information of each of the threat information.
  • a second degree of relevance is calculated between the second detection event information and the second threat event information of each threat information.
  • 1. Identify the threat information in which at least one of the first relevance degree and the second relevance degree is equal to or higher than the threshold value.
  • the warning device according to any one. 5.
  • 3. The first generation unit generates the second detection event information when the threat information whose first relevance degree is equal to or higher than the threshold value does not exist.
  • the warning device described in. 6 sets the total number of matching events between the event set shown in the detected event information and the event set shown in the threat event information as the total number of events included in the event set shown in the threat event information. 3.
  • the warning device described in. 7. The specific unit sets the sum of the weights attached to each event that matches between the event set shown in the detection event information and the event set shown in the threat event information, and the event set shown in the threat event information. 3. The degree of relevance between the detected event information and the threat event information is calculated by dividing by the sum of the weights attached to each event included in. Or 5.
  • the warning device described in. 8. The threat event information indicates an event value that represents the event numerically for each event. The specific part is For each event shown in the detection event information, an event value representing the event numerically is calculated.
  • the warning device By comparing each event value shown in the detected event information with each event value shown in the threat event information, the event shown in the detected event information and the threat event information are shown. 4. Determine whether or not the event is matched.
  • the warning device according to any one. 9.
  • the threat event information indicates a condition regarding the size of data handled by the event included in the event set.
  • the specific unit determines the degree of relevance between the detected event information and the threat event information, and the degree to which the events match between the event set shown in the detected event information and the event set shown in the threat event information. , And the event indicated by the detection event information is calculated based on the result of determination as to whether or not the condition indicated in the threat event information is satisfied.
  • the warning device according to any one. 10.
  • the warning information includes information in which matching events between the detected event information and the identified threat information are emphasized to a degree corresponding to the matching level.
  • a control method performed by a computer The first detection event information that represents the event set that is the set of events that occurred in the target system at the first abstract level is acquired, and the event set represented by the acquired first detection event information is the second.
  • the first generation step to generate the second detection event information represented at the abstract level,
  • warning information regarding the threat occurring in the target system is generated.
  • a control method comprising a second generation step. 12.
  • the event represents the activity of a process operating on the target system.
  • the control method described in. 13 In the event set represented by the first abstraction level, the identification information of the executable file of the process that is the subject of the event or the file that is the object of the event is shown. In the event set represented by the second abstraction level, the types of the executable file of the process that is the subject of the event or the file that is the object of the event are shown. Or 12.
  • the threat information includes a first threat event information in which the event set represented by the threat information is represented by a first abstraction level and a second threat event information in which the event set represented by the threat information is represented by a second abstraction level.
  • the first degree of relevance is calculated between the first detection event information and the first threat event information of each of the threat information.
  • a second degree of relevance is calculated between the second detection event information and the second threat event information of each threat information. Identify the threat information for which at least one of the first or second relevance is greater than or equal to the threshold value.
  • the control method according to any one. 15.
  • the first generation step when the threat information whose first relevance degree is equal to or higher than the threshold value does not exist, the second detection event information is generated.
  • the control method described in. 16 the total number of events that match between the event set shown in the detected event information and the event set shown in the threat event information is the total number of events included in the event set shown in the threat event information.
  • the degree of association between the detected event information and the threat event information is calculated. Or 15.
  • the sum of the weights attached to each event that matches between the event set shown in the detected event information and the event set shown in the threat event information is the event set shown in the threat event information.
  • the degree of association between the detected event information and the threat event information is calculated by dividing by the sum of the weights attached to each event included in. Or 15.
  • the threat event information indicates an event value that represents the event numerically for each event.
  • an event value representing the event numerically is calculated.
  • the threat event information indicates a condition regarding the size of data handled by the event included in the event set.
  • the degree of relevance between the detected event information and the threat event information is the degree to which the events match between the event set shown in the detected event information and the event set shown in the threat event information.
  • the event indicated by the detection event information calculated based on the result of determination as to whether or not the condition indicated in the threat event information is satisfied.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Debugging And Monitoring (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

警告装置（２０００）は、対象システムにおいて発生したイベントの集合であるイベント集合を第１の抽象レベルで表す第１検出イベント情報（１０）を取得する。警告装置（２０００）は、第１検出イベント情報（１０）から第２検出イベント情報（２０）を生成する。第２検出イベント情報（２０）は、第１検出イベント情報（１０）によって表されるイベント集合を第２の抽象レベルで表す。警告装置（２０００）は、それぞれが脅威活動を表す複数の脅威情報（３０）の中から、第１検出イベント情報（１０）及び第２検出イベント情報（２０）のうちの少なくとも一方との関連度が高い脅威情報（３０）を特定する。警告装置（２０００）は、特定された脅威情報（３０）と、その脅威情報（３０）との関連度が高い検出イベント情報に対応する抽象レベルである合致レベルとに基づいて、対象システムで発生している脅威に関する警告情報（４０）を生成する。

Description

警告装置、制御方法、及びプログラム
　本発明はコンピュータシステムにおける脅威の検出に関する。
　コンピュータシステムでは、マルウエアなどといった脅威が発生しうる。そこで、このような脅威に関してコンピュータシステムを監視する技術が開発されている。
　例えば特許文献１の技術は、対象システムにおけるデータの送受信の態様を解析した結果に基づいて、脅威事例データベースから、対象システムに想定される脅威を抽出する。例えばこの発明は、「一般利用者が、インターネットを介し、ＩＤやパスワードを暗号化せずに平文でサーバへ送信する」という処理が行われていることについて、「利用者になりすまされる」という脅威が想定されるという情報を出力する。
特開２００８－１５２５５６号公報
　特許文献１では、データの送受信に関連して発生する脅威のみが対象となっている。そのため、データの送受信以外によって生じる脅威を検出することはできない。
　本発明は、上述の課題に鑑みてなされたものであり、その目的の一つは、様々な脅威の発生を検出できる技術を提供することである。
　本発明の警告装置は、１）対象システムにおいて発生したイベントの集合であるイベント集合を第１の抽象レベルで表す第１の検出イベント情報を取得し、取得した第１の検出イベント情報によって表されるイベント集合を第２の抽象レベルで表す第２の検出イベント情報を生成する第１生成部と、２）それぞれが脅威活動を表す複数の脅威情報の中から、第１の検出イベント情報及び第２の検出イベント情報のうちの少なくとも一方との関連度が高い脅威情報を特定する特定部と、３）特定された脅威情報と、その脅威情報との関連度が高い検出イベント情報に対応する抽象レベルである合致レベルとに基づいて、対象システムで発生している脅威に関する警告情報を生成する第２生成部と、を有する。
　本発明の制御方法は、コンピュータによって実行される。当該制御方法は、１）対象システムにおいて発生したイベントの集合であるイベント集合を第１の抽象レベルで表す第１の検出イベント情報を取得し、取得した第１の検出イベント情報によって表されるイベント集合を第２の抽象レベルで表す第２の検出イベント情報を生成する第１生成ステップと、２）それぞれが脅威活動を表す複数の脅威情報の中から、第１の検出イベント情報及び第２の検出イベント情報のうちの少なくとも一方との関連度が高い脅威情報を特定する特定ステップと、３）特定された脅威情報と、その脅威情報との関連度が高い検出イベント情報に対応する抽象レベルである合致レベルとに基づいて、対象システムで発生している脅威に関する警告情報を生成する第２生成ステップと、を有する。
　本発明のプログラムは、本発明の制御方法が有する各ステップをコンピュータに実行させる。
　本発明によれば、様々な脅威の発生を検出できる技術が提供される。
　上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
実施形態１の情報処理装置の動作の概要を表す図である。 実施形態１の警告装置の構成を例示する図である。 警告装置を実現するための計算機を例示する図である。 実施形態１の警告装置によって実行される処理の流れを例示するフローチャートである。 イベントを表す情報の構造をテーブル形式で例示する図である。 イベント集合を構成する方法を例示する図である。 イベント集合を構成する方法を例示する図である。 イベント集合を構成する方法を例示する図である。 ３つ以上の抽象レベルを利用するケースを例示する図である。 イベント集合に加え、読み書きされるデータのサイズに基づいて、脅威活動を定めるケースを例示する図である。 警告情報を例示する図である。
　以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。また、特に説明する場合を除き、各ブロック図において、各ブロックは、ハードウエア単位の構成ではなく、機能単位の構成を表している。
［実施形態１］
＜概要＞
　図１は、実施形態１の情報処理装置の動作の概要を表す図である。図１は警告装置２０００の動作についての理解を容易にするための概念的な図であり、警告装置２０００の動作を具体的に限定するものではない。
　警告装置２０００は、監視対象のシステム（以下、対象システム）で発生したイベントの集合（互いに関連する１つ以上のイベントのまとまり）について、そのイベント集合が対象システムで生じている何らかの脅威を表しているか否かを特定する。イベントとしては、例えば、プロセスによるデータの読み書きや他のプロセスの起動などといった様々なものを扱うことができる。そして、イベント集合が表している脅威が特定されたら、警告装置２０００は、その脅威に関する警告情報４０を出力する。
　ここで、対象システムにおける脅威とは、不正アクセスによるシステムへの不正操作や情報漏洩などを意味する。例えば、対象システムの中でマルウエアが活動しているといったことが、脅威の一例である。
　上述した機能を実現するために、例えば警告装置２０００は以下のように動作する。警告装置２０００は、第１検出イベント情報１０を取得する。第１検出イベント情報１０は、対象システムで発生したイベント集合を（各イベントを）、第１の抽象レベル（抽象度合い）で表す。さらに警告装置２０００は、第１検出イベント情報１０を用いて第２検出イベント情報２０を生成する。第２検出イベント情報２０は、第１検出イベント情報１０によって表されるイベント集合を（各イベントを）、第２の抽象レベルで表す。
　ここで、イベントの表し方の抽象レベルとは、イベントをどの程度抽象的に表すかの度合いを意味する。イベントは、より低い抽象レベルで表すほど、より具体的に表されることになる。例えば、イベントの主体のプロセスを実行ファイルの名称で表すケースと、実行ファイルの種類（ブラウザなどといったアプリケーションの種類）で表すケースとでは、前者の方がイベントをより具体的に表しているといえる。そのため、前者の表現の方が後者の表現よりも抽象レベルが低い。
　ここで、第２の抽象レベルは、第１の抽象レベルよりも抽象度が高い。すなわち、第２検出イベント情報２０は、第１検出イベント情報１０によって表されているイベント集合を、より高い抽象度で表現した情報である。例えば第１検出イベント情報１０はイベントの主体や客体をその識別情報（例えば、ファイル名の本体及び拡張子）で表す一方で、第２検出イベント情報２０はイベントの主体や客体をそれらの種類を表す情報（例えば拡張子）で表す。以下、第１検出イベント情報１０と第２検出イベント情報２０を総称して検出イベント情報とも表記する。
　さらに警告装置２０００は、様々な脅威それぞれについて予め定められている脅威情報３０を利用する。脅威情報３０では、その脅威情報３０で表す脅威（その脅威情報３０に対応する脅威）がイベント集合で表されている。
　より具体的には、脅威情報３０は、第１脅威イベント情報３２及び第２脅威イベント情報３４を含む。第１脅威イベント情報３２では、脅威を表すイベント集合が第１の抽象レベルで表されている。一方、第２脅威イベント情報３４では、脅威を表すイベント集合が第２の抽象レベルで表されている。すなわち、１つの脅威情報３０に含まれる第１脅威イベント情報３２と第２脅威イベント情報３４は、同一の脅威を表すイベント集合を互いに異なる抽象度で表す。以下、第１脅威イベント情報３２と第２脅威イベント情報３４を総称して脅威イベント情報とも表記する。
　警告装置２０００は、複数の脅威情報３０の中から、検出イベント情報との関連度が高い脅威イベント情報を示すものを特定する。具体的には、第１検出イベント情報１０との関連度が高い第１脅威イベント情報３２を示すか、又は第２検出イベント情報２０との関連度が高い第２脅威イベント情報３４を示す脅威情報３０が特定される。
　さらに警告装置２０００は、特定した脅威情報３０と、その脅威情報３０との関連度が高いものとして特定された検出イベント情報の抽象レベル（以下、合致レベル）とに基づいて、対象システムにおいて発生している脅威に関する警告情報４０を生成する。第１検出イベント情報１０と或る脅威情報３０の第１脅威イベント情報３２との関連度が高いと特定された場合には、合致レベルは第１の抽象レベルとなる。一方、第２検出イベント情報２０と或る脅威情報３０の第２脅威イベント情報３４との関連度が高いと特定された場合には、合致レベルは第２の抽象レベルとなる。そして警告装置２０００は、生成した警告情報４０を出力する。
＜作用効果＞
　本実施形態の警告装置２０００によれば、検出イベント情報（対象システムで実際に発生したイベントの集合を示す情報）と脅威情報３０（脅威活動を表すイベント集合を示す情報）とを比較することにより、検出イベント情報と関連度の高い脅威情報３０が特定される。これにより、対象システムで発生している蓋然性が高い脅威を表す脅威情報３０を特定することができる。そして警告装置２０００は、特定した脅威情報３０に関する警告情報を生成・出力する。よって、警告装置２０００のユーザ（対象システムの管理者やユーザ）は、対象システムで発生している可能性がある脅威を容易に把握することができる。
　ここで、イベントとしては、プロセスによるデータの読み書きや他のプロセスの起動などといった種々のイベントを扱うことができる。そのため、本実施形態の警告装置２０００によれば、データの送受信に限らず、対象システムにおける様々な活動に関して、脅威の発生を検出することができる。
　さらに、本実施形態の警告装置２０００では、同一のイベント集合が、それぞれ抽象度の異なる複数の抽象レベルで表現される。具体的には、対象システムで実際に発生したイベントの集合について、そのイベント集合を第１の抽象レベルで表す第１検出イベント情報１０が得られる。さらに、第１検出イベント情報１０によって表されるイベント集合を第２の抽象レベルで表す第２検出イベント情報２０が生成される。また、脅威情報３０では、予め、脅威活動を表すイベント集合がそれぞれ異なる複数の抽象レベルで表現されている（第１脅威イベント情報３２及び第２脅威イベント情報３４）。
　警告装置２０００は、第１検出イベント情報１０と第１脅威イベント情報３２との比較、及び第２検出イベント情報２０と第２脅威イベント情報３４との比較を行う。これにより、脅威活動を表すイベント集合と合致する脅威情報３０が特定できるだけでなく、これらがどの程度の抽象度で合致するのかについても特定できる。そして、警告装置２０００は、この「どの程度の抽象レベルで合致するのか」という点も考慮して、警告情報４０の生成を行う。よって、警告装置２０００のユーザは、対象システムで発生している可能性がある脅威を把握できることに加え、その脅威がどの程度の確からしさで発生しているのかについても把握することができる。
　以下、本実施形態の警告装置２０００についてさらに詳細に説明する。
＜警告装置２０００の機能構成の例＞
　図２は、実施形態１の警告装置２０００の構成を例示する図である。警告装置２０００は、第１生成部２０２０、特定部２０４０、第２生成部２０６０、及び出力部２０８０を有する。第１生成部２０２０は、第１検出イベント情報１０を取得し、第１検出イベント情報１０によって表されるイベント集合を第２の抽象レベルで表す第２検出イベント情報２０を生成する。特定部２０４０は、複数の脅威情報３０の中から、第１検出イベント情報１０及び第２検出イベント情報２０のうちの少なくとも一方との関連度が高い脅威情報３０を特定する。第２生成部２０６０は、特定された脅威情報３０、及び脅威情報３０との関連度が高いイベント情報に対応する抽象レベルに基づいて、警告情報４０を生成する。出力部２０８０は、警告情報４０を出力する。
＜警告装置２０００のハードウエア構成＞
　警告装置２０００の各機能構成部は、各機能構成部を実現するハードウエア（例：ハードワイヤードされた電子回路など）で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ（例：電子回路とそれを制御するプログラムの組み合わせなど）で実現されてもよい。以下、警告装置２０００の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。
　図３は、警告装置２０００を実現するための計算機１０００を例示する図である。計算機１０００は任意の計算機である。例えば計算機１０００は、Personal Computer（PC）やサーバマシンなどの据え置き型の計算機である。その他にも例えば、計算機１０００は、スマートフォンやタブレット端末などの可搬型の計算機である。計算機１０００は、警告装置２０００を実現するために設計された専用の計算機であってもよいし、汎用の計算機であってもよい。
　計算機１０００は、バス１０２０、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０を有する。バス１０２０は、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０が、相互にデータを送受信するためのデータ伝送路である。ただし、プロセッサ１０４０などを互いに接続する方法は、バス接続に限定されない。
　プロセッサ１０４０は、CPU（Central Processing Unit）、GPU（Graphics Processing Unit）、FPGA（Field－Programmable Gate Array）などの種々のプロセッサである。メモリ１０６０は、RAM（Random Access Memory）などを用いて実現される主記憶装置である。ストレージデバイス１０８０は、ハードディスク、SSD（Solid State Drive）、メモリカード、又は ROM（Read Only Memory）などを用いて実現される補助記憶装置である。
　入出力インタフェース１１００は、計算機１０００と入出力デバイスとを接続するためのインタフェースである。例えば入出力インタフェース１１００には、キーボードなどの入力装置や、ディスプレイ装置などの出力装置が接続される。
　ネットワークインタフェース１１２０は、計算機１０００を通信網に接続するためのインタフェースである。この通信網は、例えば LAN（Local Area Network）や WAN（Wide Area Network）である。ネットワークインタフェース１１２０が通信網に接続する方法は、無線接続であってもよいし、有線接続であってもよい。
　ストレージデバイス１０８０は、警告装置２０００の各機能構成部を実現するプログラムモジュールを記憶している。プロセッサ１０４０は、これら各プログラムモジュールをメモリ１０６０に読み出して実行することで、各プログラムモジュールに対応する機能を実現する。
＜処理の流れ＞
　図４は、実施形態１の警告装置２０００によって実行される処理の流れを例示するフローチャートである。第１生成部２０２０は、第１検出イベント情報１０を取得する（Ｓ１０２）。第１生成部２０２０は、第１検出イベント情報１０を用いて第２検出イベント情報２０を生成する（Ｓ１０４）。特定部２０４０は、複数の脅威情報３０の中から、検出イベント情報との関連度が高い（第１検出イベント情報１０及び第２検出イベント情報２０のうちの少なくとも一方との関連度が高い）脅威情報３０を特定する（Ｓ１０６）。第２生成部２０６０は、特定された脅威情報３０及びその合致レベルに基づいて、警告情報４０を生成する（Ｓ１０８）。出力部２０８０は、生成された警告情報４０を出力する（Ｓ１１０）。
　なお、警告装置２０００によって実行される処理の流れは、図４に示すものに限定されない。例えば警告装置２０００は、第２検出イベント情報２０を生成する前に、各脅威情報３０に含まれる第１脅威イベント情報３２を第１検出イベント情報１０と比較し、第１検出イベント情報１０との関連度が高い第１脅威イベント情報３２を含む脅威情報３０が存在しなかった場合に、第２検出イベント情報２０を生成してもよい。そして、警告装置２０００は、生成した第２検出イベント情報２０と各脅威情報３０に含まれる第２脅威イベント情報３４とを比較することで、第２検出イベント情報２０との関連度が高い第２脅威イベント情報３４を含む脅威情報３０を特定する。
　この点については、後述するように第２の抽象レベル以上の抽象度の情報を扱う場合についても同様である。すなわち、警告装置２０００は、第 n の抽象レベルの検出イベント情報と第 n の抽象レベルの脅威イベント情報との間に関連度の高いものが見つからなかった場合に、第 (n+1) の抽象レベルの検出イベント情報を生成するようにする。
＜イベントについて＞
　イベントは、対象システム上で発生する種々の事象である。例えばイベントは、対象システム上で（対象システムに含まれるいずれかの端末上で）動作するプロセスの活動を表す。例えばプロセスの活動は、システムコール単位で記録される。なお、対象システムを構成する端末は、物理マシンであってもよいし、仮想マシンであってもよい。
　イベントは、例えば、イベントが発生した端末の識別情報、イベントの主体、イベントの客体、主体が客体について行った活動の内容、及び発生時刻という５つの要素を示す情報によって表される。そこで例えば、イベントを表す情報は、大別して、端末の識別情報、主体を表す主体情報、客体を表す客体情報、活動の内容を表す内容情報、及び発生時刻という５つの項目で構成される。
　端末の識別情報は、端末を識別できる任意の情報である。例えば、端末のネットワークアドレス（IP アドレスや MAC アドレス）や UUID（Universally Unique Identifier）などを端末の識別情報として利用できる。
　主体情報は、主体であるプロセスを識別できる任意の識別情報である。以下、プロセスを識別する情報をプロセス識別情報と呼ぶ。具体的には、プロセス識別情報は、プロセスＩＤ（Identifier）を含む。ただし、複数のスレッドが動作するプロセスについてのプロセス識別情報は、プロセスＩＤに加え、スレッドＩＤをさらに含む。
　また、プロセス識別情報は、プロセスの実行ファイルに関する情報をさらに含む。プロセスの実行ファイルに関する情報とは、例えば、実行ファイルの名称やパス、実行ファイルのハッシュ値、実行ファイルのデジタル署名、又は実行ファイルで実現されるアプリケーションの名称などである。
　客体情報は、例えば、その客体の種類及び識別情報である。客体の種類は、例えば、プロセス、ファイル、又はソケットなどである。客体がプロセスである場合、客体情報にはそのプロセスのプロセス識別情報が含まれる。
　客体がファイルである場合、客体情報には、そのファイルを識別する情報（以下、ファイル識別情報）が含まれる。ファイル識別情報は、例えばファイルの名称やパスなどである。また、客体がファイルである場合、客体情報には、そのファイルのハッシュ値や、ファイルシステムの識別子とファイルシステム上でのファイルを構成するディスクブロックの識別子（inode 番号やオブジェクトID）の組み合わせなどが含まれていてもよい。
　客体がソケットである場合、例えば客体情報には、ソケットに割り当てられた識別子が含まれる。
　内容情報は、例えば、種々ある活動内容に割り当てられた識別情報である。例えば、「起動する」、「停止する」、「オープンする」、「データを読み込む」、及び「データを書き込む」などといった活動の内容に、互いに異なる識別子を割り当てておく。なお、ソケットに対するアクセスは、そのソケットに対応づけられた他の装置へのアクセスを意味する。
　図５は、イベントを表す情報の構造をテーブル形式で例示する図である。以下、図５のテーブルをイベントテーブル２００と呼ぶ。イベントテーブル２００の各レコードは、１つのイベントを表す。イベントテーブル２００は、大別して、端末識別情報２０１、主体情報２０２、客体情報２０４、内容情報２０６、及び発生時刻２０７という５つの項目を含む。主体情報２０２は、プロセスＩＤ２０８、スレッドＩＤ２０９、及びパス２１０という３つの項目を含む。客体情報２０４は、種類２１２及び識別情報２１４という２つの項目を含む。発生時刻２０７は、イベントが発生した時刻を示す。
　ここで、各イベントは、対象システム上におけるプロセスの活動を記録することで生成される。プロセスの活動を記録する技術には、既存の技術を利用することができる。
＜イベント集合について＞
　イベント集合は、互いに関連する１つ以上のイベントのまとまりである。例えば、「或るイベントの客体が別のイベントにおいて主体となっている場合に、これらのイベントを連結する」という操作によって連結される複数のイベントを、同一のイベント集合に含めるようにする。
　ここで、システム上で発生したイベントを連結してグラフで表現することがある。イベント集合は、このようにイベントを連結してグラフで表現する場合に１つのグラフを構成する複数のイベントで構成することができる。例えば図１では、１つのグラフを構成するイベント群をイベント集合として扱っている。
　なお、或るイベントの客体が別のイベントにおいて主体となっていたとしても、これらのイベントが関連していないと考えられることもある。例えば、これらのイベントの発生時刻が大きく異なる場合には、これらのイベントは関連していない蓋然性が高い。そこで、イベント同士を連結する条件として、これらのイベントの発生時刻の差が所定値以下であるという条件をさらに設けてもよい。なお、このようにイベントの連結について設ける具体的な条件については、イベント同士を連結してグラフを生成する既存手法において利用されている種々の条件を利用することができる。
　ここで、イベント集合を構成する方法（複数のイベントを同一のイベント集合に含める方法）は、連結されるイベントを同一のイベント集合に含めるという方法だけに限定されない。すなわち、イベントのつながりをグラフで表現した場合において互いに連結されない複数のグラフに含まれる各イベントが、同一のイベント集合に含まれるようにしてもよい。
　例えば、「着目するプロセスから派生したプロセスやファイルに関係したイベントを、まとめて１つのイベント集合に含める」という方法を採用することができる。図６から図８は、イベント集合を構成する方法を例示する図である。図６では、スケジュールタスクの生成に関連する複数のイベント、及びそのスケジュールタスクの実行に関連する複数のイベントが、１つのイベント集合に含められている。すなわち、スケジュールタスクを生成するプロセス（ドット柄で表したプロセス）が「着目するプロセス」として扱われ、スケジュールタスクを実行するプロセス、及びそのスケジュールタスクの実行によって生成されるプロセスが、「着目するプロセスから派生したプロセス」として扱われている。図６のように表されるイベント集合によって実現される脅威としては、例えば、「マルウエアを生成した後、所定の時間後にそのマルウエアの実行を行う」という脅威が考えられる。
　図７では、端末Ａから端末Ｂへファイルをアップロードするイベント、及びそのファイルに対するアクセスするイベントが、同一のイベント集合に含められている。すなわち、ファイルを他の端末にアップロードするプロセス（ドット柄で表したプロセス）が「着目するプロセス」として扱われ、そのプロセスによってアップロードされたファイル（斜線で表したファイル）が「着目するプロセスから派生したファイル」として扱われている。
　図８では、外部記憶装置にファイルを格納するイベント、及びその外部記憶装置からそのファイルを読み出して利用するイベントが、同一のイベント集合に含められている。すなわち、外部記憶装置にファイルを格納するプロセス（ドット柄で表したプロセス）が「着目するプロセス」として扱われ、その外部記憶装置に格納されたファイル（斜線で表したファイル）が「着目するプロセスから派生したファイル」として扱われている。なお、外部記憶装置に格納されたファイルを読み出すプロセスと、読み出したファイルを利用するプロセスとは、異なっていてもよいし（図８上段の例）、同一であってもよい（図８下段の例）。
　ここで、外部記憶装置は、USB メモリや SD カードなどといった可搬型の記憶装置であってもよいし、NAS（Network Attached Storage）などの据え置き型の記憶装置であってもよい（図８の例では USB メモリ）。
　なお、「着目するプロセス」には、様々なものを採用できる。例えば、警告装置２０００の内部又は外部に設けられた異常検知システムによって何らかの異常が検知されたイベントの主体又は客体のプロセスを、着目するプロセスとして扱う。この異常検知システムには、既存のシステムを利用することができる。例えば、「通常では発生しないプロセスの活動をルールとして定めておき、そのようなルールに合致するイベントを異常なイベントとして検知する」という動作を行う異常検知システムを利用する。
＜第１検出イベント情報１０と第２検出イベント情報２０について＞
　第１検出イベント情報１０は、第１の抽象度でイベント集合を表現した情報である。例えば第１検出イベント情報１０は、イベントの主体及び客体それぞれについて、それらを一意に特定可能な識別情報を示す。例えばプロセスの識別情報は、プロセスＩＤやそのプロセスを実現するプログラムの実行ファイルの名前やパスなどである。また、ファイルの識別情報は、例えば、ファイルの名前やパスである。
　第２検出イベント情報２０は、第１検出イベント情報１０によって表されているイベント集合を、第１検出イベント情報１０よりも高い抽象度で表現する情報である。例えば、第２検出イベント情報２０は、イベントの主体や客体の識別情報の代わりに、それらの種類を表す情報を示す。例えばプロセスの種類は、そのプロセスとして実行されているプログラムの種類（ブラウザ、文書作成ソフト、又は表計算ソフトなど）で表すことができる。ファイルの種類は、例えば、HTML ファイル、PDF ファイル、又は表計算ファイルなどがある。
　また、第１検出イベント情報１０と第２検出イベント情報２０において、活動内容が異なる抽象度で表されていてもよい。例えば、活動内容がネットワークを介したデータの書き込み（送信）である場合において、第１検出イベント情報１０では特定の通信プロトコルを利用した書き込みであることを示す一方、第２検出イベント情報２０では通信プロトコルを示さずに単に書き込みであることのみを示すという方法を採用しうる。
　なお、第２検出イベント情報２０は、イベントの主体、客体、及び活動内容の少なくとも１つが第１検出イベント情報１０よりも高い抽象度で表されていればよい。
＜第１検出イベント情報１０の取得：Ｓ１０２＞
　第１生成部２０２０は、第１検出イベント情報１０を取得する（Ｓ１０２）。第１生成部２０２０が第１検出イベント情報１０を取得する方法は様々である。例えば第１生成部２０２０は、他の装置から送信される第１検出イベント情報１０を取得する。その他にも例えば、第１生成部２０２０は、記憶装置から第１検出イベント情報１０を読み出すことで、第１検出イベント情報１０を取得してもよい。
　さらに第１生成部２０２０は、対象システムで発生した各イベントを示す情報（例えば図５に示すイベントテーブル２００）を取得してイベントをグルーピングすることにより、１つ以上の第１検出イベント情報１０を生成してもよい。なお、システムで発生したイベントを記録する方法、及びその記録された情報を取得する方法には、既存の方法を利用することができる。また、対象システムで発生したイベントをグルーピングしてイベント集合にまとめる（複数のイベントを１つのイベント集合にまとめる）方法については、前述した通りである。
　第１生成部２０２０は、対象システムで発生した全てのイベントを対象として第１検出イベント情報１０の生成を行ってもよいし、特定のイベントに着目して第１検出イベント情報１０の生成を行ってもよい。例えば前述した異常検知システムを導入して異常なイベントの検知を行い、異常なイベントについてのみイベント集合を生成するようにしてもよい。すなわち、異常なイベントと関連を持たないイベントについては、第１検出イベント情報１０の生成が行われない。
　その他にも例えば、着目するイベントは、予め定義されたイベントであってもよい。着目するイベントを定義した情報は、第１生成部２０２０からアクセス可能な記憶装置に記憶させておく。
＜第２検出イベント情報２０の生成：Ｓ１０４＞
　第１生成部２０２０は、第１検出イベント情報１０から第２検出イベント情報２０を生成する（Ｓ１０４）。ここで、第１検出イベント情報１０から第２検出イベント情報２０を生成するルール（すなわち、イベント集合の表現を第１の抽象度から第２の抽象度に変換するルール）は、予め定めておく。
　例えば、第１検出イベント情報１０においてはイベントの主体を識別情報で表し、第２検出イベント情報２０においてはイベントの主体をその種類を表す種類情報で表すとする。この場合、変換ルールには、主体の識別情報を種報情報に変換すること、及びその変換方法を定めておく。例えば、主体の識別情報をプロセスの実行ファイル名で表し、主体の種類を拡張子で表すとする。この場合、実行ファイル名から拡張子部分を抽出するという変換方法により、主体の識別情報を主体の種類情報に変換できる。
＜＜第２の抽象レベルよりも高い抽象度のイベント情報の生成＞＞
　第１生成部２０２０は、第２検出イベント情報２０に加え、第１検出イベント情報１０によって表されるイベント集合を第２の抽象レベルよりもさらに高い抽象度で表現した検出イベント情報を生成してもよい。例えば第１生成部２０２０は、第１検出イベント情報１０によって表されるイベント集合を、第２の抽象レベルよりも高い第３の抽象レベルで表現した第３検出イベント情報を生成する。同様に、第４の抽象レベルや第５の抽象レベルでの抽象化を行ってもよい。すなわち、第１生成部２０２０は、第１検出イベント情報１０を用い、第１検出イベント情報１０によって表されるイベント集合をそれぞれ異なる抽象レベルで表現した第２検出イベント情報から第 n 検出イベント情報（n は２以上の整数）を生成する。ここで、n の値が大きいほど抽象度が高くなるものとする。
　図９は、３つ以上の抽象レベルを利用するケースを例示する図である。第１検出イベント情報１０では、プロセス、ファイル、及び通信先の端末がいずれも一意に可能な識別情報で表されている。これに対し、第２検出イベント情報２０では、客体がプロセス又はファイルである場合に、識別情報の代わりに種類情報が用いられている。さらに、第３検出イベント情報では、通信を表すイベントにおいて、客体として、通信先の識別情報の代わりに通信プロトコルを表す情報が示されている。そして、第４検出イベント情報では、主体を表す情報が省略される。すなわち、主体が特定されなくなる。
　なお、図９に例示する第３の抽象レベルにおいて、通信プロトコルは、トランスポート層の通信プロトコルだけでなく、他の層のプロトコル（例えば、IP などのネットワーク層のプロトコルや、HTTP などのアプリケーション層等のプロトコルなど）であってもよい。
　また、図９に示すように、抽象化の内容によっては、抽象化の前後でその内容が変化しないこともある。例えば「通信先を通信プロトコルで表す」という抽象化を行う場合、イベント集合の中に通信を表すイベント含まれていなければ、抽象化の前後でイベント集合が変化しない。
＜脅威情報３０について＞
　脅威情報３０は、コンピュータシステムにとって脅威となる活動である脅威活動を表すイベント集合を示す情報である。例えば脅威情報３０は、特定のマルウエアの活動や、特定のセキュリティホールを突いた侵入活動などを、それらの活動を構成するイベント集合で表現した情報である。例えば脅威情報３０は、実際に或るコンピュータシステムで発見された脅威活動や原理的に発生しうることが研究者等によって発見された脅威活動に関する情報をソースとして生成することができる。このように脅威情報３０のソースとなる情報（以下、ソース情報）としては、例えば、論文、セキュリティに関する研究活動のレポート、セキュリティ関連企業等のWeb ページ、又は SNS（Social Networking Service）に投稿された記事などといった様々な形態の情報を利用することができる。なお、ソース情報は、脅威情報３０を生成する人によって手動で収集されてもよいし、クローラなどを使ってネットワーク上から自動で収集されてもよい。
　或る脅威活動を表す脅威情報３０は、その脅威活動を構成するイベント集合（以下、脅威イベント集合）をそれぞれ異なる抽象レベルで表現した複数の脅威イベント情報で構成される。脅威情報３０は、少なくとも、対応する脅威イベント集合を第１の抽象レベルで表現した第１脅威イベント情報３２、及びその脅威イベント集合を第２の抽象レベルで表現した第２脅威イベント情報を含む。さらに、検出イベント情報と同様に、第２の抽象レベルよりも高い抽象度の脅威イベント情報が含まれてもよい。具体的には、脅威イベント集合を第３の抽象レベルで表した第３脅威イベント情報や、脅威イベント集合を第４の抽象レベルで表した第４脅威イベント情報などが含まれてもよい。すなわち、１つの脅威活動に対応する脅威情報３０は、その脅威活動を表すイベント集合がそれぞれ異なる抽象レベルで表現された第１脅威イベント情報から第 n 脅威イベント情報を含むことができる（n は２以上の任意の整数）。
　脅威情報３０は、脅威イベント情報以外の情報を含んでもよい。例えば、脅威情報３０は、その脅威情報３０が表す脅威活動に関する説明を含む。脅威活動に関する説明は、例えば、攻撃の内容、攻撃の対象、及び攻撃が突くシステムの脆弱性などに関する情報を含む。さらに脅威情報３０は、IOC（Indicator of Compromise）を含んでもよい。IOC とは、マルウエア等の被害を受けたシステムから取得された、マルウエア等の活動の痕跡を表すデータである。例えば IOC には、マルウエア等のハッシュ値や、マルウエア等が行った通信の通信先の IP アドレスやドメイン名などが含まれる。
　ここで、ソース情報を用いた脅威情報３０の生成は、人手で行われてもよいし、コンピュータ（例えば警告装置２０００）によって自動で行われてもよい。以下、後者の場合について、説明を容易にするために脅威情報３０が警告装置２０００によって生成されるものとして説明を行う。
　例えば、警告装置２０００は、ソース情報を構成する文章から所定のルールに従ってイベントを抽出することで、イベント集合を生成する。そして、警告装置２０００は、抽出されたイベント集合について、第１脅威情報から第 n 脅威情報を生成する。例えば、警告装置２０００は、ソース情報に表されている抽象レベルでイベント集合を表した情報を、第１脅威イベント情報として生成する。そして、生成した第１脅威イベント情報から、他の抽象レベルの脅威イベント情報を生成する。
　ここで、ソース情報を構成する文章から所定のルールに従ってイベントを抽出する技術には、自然言語処理の分野などで利用されている既存の技術を利用することができる。例えば、単語の集合や文章と、それらによって表されるイベントとを対応づけたイベント抽出ルールを定めておく。そして警告装置２０００は、この抽出ルールを用いてソース情報から１つ以上のイベントを抽出し、抽出されたイベントの集合を脅威イベント集合として定義する。
　なお、第１脅威イベント情報を第２脅威イベント情報に変換するルールなど、より高い脅威イベント情報への変換を行うルールには、検出イベント情報をより高い抽象度の検出イベント情報に変換するルールと同様のルールを利用することができる。
　さらに、警告装置２０００は、ソース情報から、脅威活動に関する説明や IOC などの抽出も行う。これらの抽出を実現するルールも、ソース情報からイベントを抽出するルールと同様に予め定めておく。
＜検出イベント情報と脅威情報３０の比較：Ｓ１０６＞
　特定部２０４０は、検出イベント情報との関連度が高い脅威情報３０を特定する（Ｓ１０６）。そのために、特定部２０４０は、検出イベント情報によって表されているイベント集合と、脅威情報３０によって表されている脅威イベント集合との間の関連度を算出する。具体的には、特定部２０４０は、同一の抽象レベルの検出イベント情報と脅威イベント情報との間で関連度を算出する。
　例えば、或る脅威情報３０を検出イベント情報と比較する場合、特定部２０４０は、第 n 検出イベント情報とその脅威情報３０に含まれる第 n 脅威イベント情報とを、各 n についてそれぞれ比較する。すなわち、第１検出イベント情報１０については、その脅威情報３０に含まれる第１脅威イベント情報３２との関連度が算出され、第２検出イベント情報２０については、その脅威情報３０に含まれる第２脅威イベント情報３４との関連度が算出される。以下、脅威情報３０に含まれる第 n 脅威イベント情報と第 n 検出イベント情報との関連度を、第 n 関連度と表記する。
　特定部２０４０は、脅威情報３０の中から、その脅威情報３０について算出された各第 n 関連度のいずれか一つ以上が高い（所定の閾値以上である）脅威情報３０を、検出イベント情報との関連度が高い脅威情報３０として特定する。
＜＜関連度の算出方法＞＞
　以下、検出イベント情報と脅威イベント情報との間で関連度を算出する方法について説明する。例えば、検出イベント情報と脅威イベント情報との関連度は、以下のようにして算出することができる。
　まず、検出イベント情報と脅威イベント情報において各イベントを表すデータを、イベントデータと呼ぶ。例えばイベントデータは、イベントの主体を表す文字列、イベントの客体を表す文字列、及び活動内容を表す文字列を連結したデータである。ここで、文字列 x と文字列 y を連結した文字列を x+y と表記する場合、主体が s1 であり、客体が o1 であり、活動内容が d1 であるイベント１のイベントデータ e1 は、e1=s1+o1+d1 で表される。
　第１検出イベント情報１０と第２検出イベント情報２０とでは、これらによって表されるイベント集合は同じであっても、その表現の抽象度が異なる。そのため、これらの情報では、同一のイベントが互いに異なるイベントデータで表される。例えば、xyz.exe という実行ファイルのプロセスが主体であり、abc.txt というファイルが客体であり、活動内容が read であるイベント１があるとする。そして、第１検出イベント情報１０では客体を識別情報で表し、第２検出イベント情報２０では客体を種類情報で表すとする。この場合、第１検出イベント情報１０が示すイベントデータ e1 は 「"xyz.exe"+"abc.txt"+"read"」という文字列になる。一方、第２検出イベント情報２０が示すイベントデータ e2 は、「"xyz.exe"+"txt"+"read"」という文字列となる。
　特定部２０４０は、検出イベント情報におけるイベントデータの集合と、脅威イベント情報におけるイベントデータの集合との重複度合い（合致度合い）に基づいて、検出イベント情報と脅威イベント情報との間の関連度を算出する。イベントの発生順序を考慮せずに関連度を算出する場合、例えば関連度は、以下の式（１）又は式（２）を用いて算出される。
Figure JPOXMLDOC01-appb-M000001
 　ここで、x は関連度を表す。E は、脅威イベント情報に示されているイベントデータの集合である。S は、脅威イベント情報と検出イベント情報とで互いに合致するイベントデータの集合である。|| は、集合の要素数を表す。w はイベントデータに付されている重みである。各イベントデータに付す重みは、脅威情報３０で予め定めておく。
　式（１）では、脅威イベント情報と検出イベント情報との間で合致するイベントデータの数を、脅威イベント情報に示されているイベントの総数で割った値として、関連度が定められている。一方、式（２）では、脅威イベント情報と検出イベント情報との間で合致する各イベントデータに付された重みの総和を、脅威イベント情報に示されている各イベントデータに付された重みの総和で割った値として、関連度が定められている。ここで、イベントデータ同士の合致を判定する方法については後述する。
　イベントの発生順序を考慮して関連度を算出する場合、例えば特定部２０４０は、脅威イベント情報と検出イベント情報との間で、順序が合致しているイベントデータの重複を１つ以上特定する。以下、説明を容易にするため、順序を考慮する必要があるイベント集合を、イベント順列とも呼ぶ。
　例えば、検出イベント情報に {a,b,c,d} というイベント順列集合が示されており、脅威イベント情報に {b,d,c} というイベント順列が示されているとする。この場合、これらのイベント順列には、{b,d} 及び {b,c} という重複がある。いずれのイベント順列においても、d と c は b の後に発生しているためである。
　特定部２０４０は、検出イベント情報と脅威イベント情報との間で重複するイベント順列（前述の例における {b,d} 及び {b,c}）に基づいて、これらの関連度を算出する。具体的には、以下の式（３）又は（４）を用いて関連度が算出される。
Figure JPOXMLDOC01-appb-M000002
 　ここで、P は検出イベント情報と脅威イベント情報との間で重複するイベント順列の集合（前述の例における {b,d} 及び {b,c} で構成される集合）である。その他の記号については、式（１）及び式（２）と同様である。
　式（３）では、検出イベント情報と脅威イベント情報との間で重複する各イベント順列の要素数の最大値を、脅威イベント情報に示されているイベントの総数で割った値として、関連度が定められている。一方、式（４）では、検出イベント情報と脅威イベント情報との間で重複する各イベント順列についてその中に含まれるイベントデータの重みの総和が算出され、その総和の最大値を脅威イベント情報に示されている各イベントデータに付された重みの総和で割った値として、関連度が定められている。
　イベントの発生順序を考慮するか否かは、脅威情報ごとに定められていてもよいし、脅威情報にかかわらず固定で定められていてもよい。例えば脅威情報に、イベントの発生順序を考慮するか否かを示すフラグを設けておく。また、イベントの発生順序を考慮するか否かは、脅威イベント情報ごとに定められていてもよい。
　なお、脅威イベント情報において、全てのイベントの発生順序ではなく、一部のイベントの発生順序が定められていてもよい。すなわち、脅威イベント情報において、イベント集合の一部について順序が指定されている（イベント順列が示されている）ケースである。例えば、４つのイベント a, b, c, d が含まれる脅威イベント情報において、「a は必ず b の前に発生する」という発生順序のみを定めておくといったことが考えられる。
　この場合、例えば特定部２０４０は、１）脅威イベント情報に示されているイベント集合と検出イベント情報に示されているイベント集合との間の関連度、及び２）脅威イベント情報に示されているイベント順列と検出イベント情報に示されているイベント順列との関連度という２つの関連度を算出する。前者はイベントの発生順序を考慮しないケースにおける関連度であり、後者はイベントの発生順序を考慮するケースにおける関連度である。そして特定部２０４０は、算出した２つの関連度の統計値（平均値、最大値、又は最小値など）を、脅威イベント情報と検出イベント情報との関連度として扱う。
＜＜イベントデータ同士の合致を判定する方法＞＞
　イベントデータ同士が合致するかどうかの判定は、イベントデータをそのまま比較する（例えば文字列同士の合致判定を行う）ことで行われてもよいし、イベントデータを比較が容易な他のデータに変換した上で行われてもよい。後者の場合、例えば、特定部２０４０は、イベントデータを任意の規則で数値（イベント値）に変換する。例えばイベント値としては、ハッシュ値を用いることができる。
　例えば特定部２０４０は、対比するイベント情報と脅威イベント情報それぞれに示されているイベントデータについてそのイベント値を算出し、イベント値の集合同士を比較することで、イベント情報と脅威イベント情報との間で一致しているイベントデータを特定する。ただし、脅威イベント情報に示されているイベントデータについては、予めイベント値に変換して脅威イベント情報に含めておくことが好適である。
＜＜付加情報をさらに利用した一致判定＞＞
　脅威活動の種類によっては、イベントの集合だけではなく、その他の付加的な情報を用いることにより、対象システムにおいてその脅威活動が発生しているか否かをより正確に判定できるものがある。そこで、特定部２０４０は、イベント集合に加え、他の付加的な情報を利用して、検出イベント情報と脅威イベント情報とが合致するか否かを判定してもよい。
　付加的な情報としては、例えば、読み書きされるデータのサイズを用いることができる。図１０は、イベント集合に加え、読み書きされるデータのサイズに基づいて、脅威活動を定めるケースを例示する図である。図１０の上段は、ファイルのダウンロードを表している。ファイルのダウンロードは、例えば、１）ネットワーク上の通信先から read する、２）read したデータを一時ファイルに write する、３）最後に一時ファイルの名前を本来の名称に変更するというイベント集合で表される。ここで、イベントだけを見ると、１）で read されたデータと、２）で write されるデータが同じものであるかが分からない。例えば、２）におけるファイルへの write が、１）におけるファイルの read とは無関係である可能性もある。
　この例では、１）で read されるデータの内容と２）で write されるデータの内容が同じであれば、ファイルのダウンロードを表すイベント集合であると考えられる。ただし図１０では、このようにデータの内容を比較する代わりに、データのサイズを比較している。すなわち、上述した read のイベントと write のイベントがファイルのダウンロードを表すイベント集合を構成するか否かが、read されたデータのサイズと write されたデータのサイズとを比較することで判断される。
　具体的には、read されたデータのサイズが write されたデータのサイズより小さければ、read のイベントと write のイベントがファイルのダウンロードを表すイベント集合を構成しないと考えられる。一方で、read されたデータのサイズが write されたデータのサイズ以上であれば、read のイベントと write のイベントがファイルのダウンロードを表すイベント集合を構成すると考えられる。なお、データのアップロードについても同様のことがいえる。
　このように、データの内容の代わりにデータサイズを比較することには、比較処理に要する時間が短いというメリットや、比較のためにデータの内容を記録しておくという必要がないといったメリットがある。
　図１０の下段は、中間者によるデータ転送を表している。具体的には、プロセスＢが、プロセスＡとＣの間におけるデータの送受信を仲介している。この例では、「プロセスＡがプロセスＢに対して write したデータが、プロセスＢがプロセスＣに対して write したデータと同じである」という条件を満たせば、プロセスＡからプロセスＣへのデータ送信をプロセスＢが仲介したことになる。逆の流れについても同様である。
　ただし実際には、ダウンロードの例と同様に、プロセスＢがデータの送信を仲介しているかどうかを判定する条件として、「プロセスＡがプロセスＢに対して write したデータのサイズが、プロセスＢがプロセスＣに対して write したデータのサイズとほぼ同じである」というデータサイズに関する条件を用いることが好適である。
　以上のように、図１０で例示したような脅威活動についての脅威情報３０では、イベント集合に加え、データの読み書きにおけるデータサイズについての条件を定めておく。さらに、第１検出イベント情報１０においても、読み書きされたデータのサイズが示されているようにする。そして、特定部２０４０は、前述した方法でイベント集合同士の合致度合いを算出することに加え、上述したデータサイズに関する条件が満たされているか否かを判定する。
　ここで、データサイズの条件に関する判定の結果を利用する方法は様々である。例えば特定部２０４０は、脅威情報３０と検出イベント情報とについて、前述したデータサイズに関する条件が満たされていなければ、イベント集合同士の合致度合いにかかわらず、その脅威情報３０を、検出イベント情報と関連度が高いものとして特定しないようにする。
　その他にも例えば、特定部２０４０は、データサイズに関する条件が満たされているか否かに応じて、イベント集合同士の合致度合いに基づいて算出された関連度の値を補正する。例えば、上述したデータサイズに関する条件が満たされていない場合、特定部２０４０は、イベント集合同士の合致度合いに基づいて算出された関連度に対し、０より大きく１より小さい所定の補正係数を掛けることで、その関連度をより小さい値に補正する。
＜警告情報の生成：Ｓ１０８＞
　第２生成部２０６０は、特定部２０４０によって特定された脅威情報３０及びその合致レベルに基づいて、警告情報４０を生成する（Ｓ１０８）。例えば、或る脅威情報３０に含まれる第１脅威イベント情報３２が第１検出イベント情報１０と高い関連度を持つと特定された場合、警告情報４０は、その脅威情報３０及び「第１の抽象レベル」という合致レベルに基づいて生成される。ここで、合致レベルの具体的な利用方法については後述する。
　例えば第２生成部２０６０は、脅威情報３０によって表される脅威に関する説明やその脅威に対する対応策を、警告情報４０に含める。脅威に関する説明や対応策は、予め脅威情報３０に含めておく。
　ここで、脅威に関する説明のうち、検出イベント情報と脅威情報３０との間で合致したイベントについての記述を強調することが好ましい。強調の方法としては、例えば、他の記述とは異なる文字色にしたり、下線や枠線などを付したりする方法がある。
　その他にも例えば、第２生成部２０６０は、検出イベント情報と脅威情報３０との間で合致したイベントを表す情報を警告情報４０に含めてもよい。具体的には、検出イベント情報によって表されるイベント集合のグラフ表現を警告情報４０に含め、そのグラフにおいて、脅威情報３０と合致したイベントを強調表示するようにする。
　図１１は、警告情報４０を例示する図である。図１１の警告情報４０には、脅威情報３０の名称（概要）、合致レベル、第１検出イベント情報１０によって表されるイベントのグラフ表現、脅威に関する説明、及び対策手法の説明が含まれている。また、イベントのグラフにおいて、脅威情報３０と合致したイベントが、ドット柄で塗られた枠で囲まれている。
　合致レベルは、脅威に関する説明やイベントのグラフを強調する際において、その強調の態様を決定するために利用できる。すなわち、第２生成部２０６０は、合致レベルに応じて、強調の方法を異ならせる。例えば、合致レベルが低いほど、脅威に関する説明やイベントのグラフにおける強調が、より強く行われるようにする。強調の強さは、例えば、色をより目立つに色にしたり、下線や枠線などの太さをより太くしたりすることなどによって、強くすることができる。
　ここで、特定部２０４０によって特定される脅威情報３０は、１つではなく、複数である可能性もある。この場合、第２生成部２０６０は、特定された全ての脅威情報３０について警告情報４０を生成してもよいし、一部の脅威情報３０について警告情報４０を生成してもよい。
　後者の場合、まず第２生成部２０６０は、各脅威情報３０についての合致レベルを考慮する。すなわち、第２生成部２０６０は、検出イベント情報との関連度が高いと特定された脅威情報３０のうち、その合致レベルが低いものを優先して、警告情報４０を生成する。例えば第２生成部２０６０は、特定された脅威情報３０を合致レベルの昇順でソートした場合に所定の順位以内に入るものについてのみ、警告情報４０を生成する。
　また、第２生成部２０６０は、合致レベルに加え、関連度の高さを考慮してもよい。すなわち、第２生成部２０６０は、特定された脅威情報３０を合致レベルの昇順でソートし、さらに同一の合致レベルの脅威情報３０について関連度の降順でソートした場合において、所定の順位以内に入る脅威情報３０についてのみ、警告情報４０を生成する。なお、「所定の順位」については、特定部２０４０からアクセス可能な記憶装置に予め記憶させておく。
＜警告情報４０の出力：Ｓ１１０＞
　出力部２０８０は警告情報４０を出力する（Ｓ１１０）。ここで、警告情報４０の出力態様は任意である。例えば出力部２０８０は、警告装置２０００に接続されているディスプレイ装置に出力部２０８０を表示させる。その他にも例えば、出力部２０８０は、任意の記憶装置に警告情報４０を格納してもよい。その他にも例えば、出力部２０８０は、警告装置２０００以外の装置に警告情報４０を送信してもよい。例えば警告情報４０は、対象システムの管理者等の端末に送信される。対象システムの管理者等は、その端末を操作することで、その端末に接続されているディスプレイ装置で、警告情報４０を閲覧する。
＜ユーザからのフィードバック＞
　警告装置２０００は、出力した警告情報４０について、ユーザからフィードバックを受け付けてもよい。具体的には、警告情報４０に、検出イベント情報と脅威情報３０との間で合致したイベントを表す情報（図１１におけるイベントのグラフなど）が含まれているとする。この場合において、ユーザが、検出されたイベントは脅威を表すものではないと判断したとする。この場合、ユーザは、検出されたイベントが脅威を表していない（すなわち、警告に誤りがある）ことを示す入力を、警告装置２０００に対して行う。警告装置２０００は、この入力に基づいて、検出されたイベントの重要度を下げる（例えば、そのイベントの重要度を、現在の値に１より小さい所定の係数を掛けた値に更新する）処理を行う。このようにすることで、ユーザの知識を活かして警告装置２０００がより正確な警告情報４０を生成できるようになる。
　同様に、警告装置２０００は、警告が正しいことを示す入力を、ユーザから受け付けてもよい。この場合、警告装置２０００は、警告情報４０に含めた検出イベント情報に含まれるイベントの重要度を上げる（例えば、そのイベントの重要度を、現在の値に１より大きい所定の係数を掛けた値に更新する）処理を行う。
＜変形例＞
　警告装置２０００は、対象システムの正常な活動を表す情報をさらに利用してもよい。この情報を正常情報と呼ぶ。正常情報は、対象システムの正常な活動をイベント集合で表す。より具体的には、正常情報は、同一のイベント集合をそれぞれ異なる抽象レベルで表す複数の正常イベント情報を有する。以下、正常情報に対応するイベント集合を第 n の抽象レベルで表現する正常イベント集合を、第 n 正常イベント集合と表記する。
　特定部２０４０は、検出イベント情報と脅威イベント情報との関連度を算出することに加え、検出イベント情報と正常イベント情報との関連度を算出する。具体的には、各正常情報について、その正常情報に含まれる第 n 正常イベント情報と、第 n 検出イベント情報との関連度を算出する。なお、検出イベント情報と正常イベント情報とについて関連度を算出する方法には、検出イベント情報と脅威イベント情報とについて関連度を算出する方法と同じ方法を利用できる。
　警告装置２０００は、検出イベント情報と正常情報との関連度に基づいて、警告情報４０の生成や出力を制御する。例えば第２生成部２０６０は、検出イベント情報との関連度が高い正常情報についての情報を警告情報に含める。ただし、警告情報に正常情報についての情報を含めるのは、検出イベント情報が脅威活動を表している蓋然性よりも、検出イベント情報が正常な活動を表している蓋然性の方が高いと考えられる場合のみであってもよい。その他にもたとえば、第２生成部２０６０は、検出イベント情報が脅威活動を表している蓋然性よりも、検出イベント情報が正常な活動を表している蓋然性の方が高いと考えられる場合には、警告情報４０を生成しないようにしてもよい。
　ここで、検出イベント情報が脅威活動を表している蓋然性よりも、検出イベント情報が正常な活動を表している蓋然性の方が高いか否かを判定する方法は様々である。例えば第２生成部２０６０は、検出イベント情報との関連度が所定値以上であると特定された正常イベント情報のうち、抽象レベルが最小であるものを特定する。同様に、第２生成部２０６０は、検出イベント情報との関連度が所定値以上であると特定された脅威イベント情報のうち、抽象レベルが最小であるものを特定する。こうすることで、最も低い抽象度で（最も具体的な表現で）検出イベント情報と合致する正常イベント情報、及び最も低い抽象度で（最も具体的な表現で）検出イベント情報と合致する脅威イベント情報が特定される。
　まず第２生成部２０６０は、特定された正常イベント情報と脅威イベント情報の抽象レベルを比較する。特定された正常イベント情報の抽象レベルが、特定された脅威イベント情報の抽象レベルよりも低ければ、第２生成部２０６０は、検出イベント情報が正常な活動を表している蓋然性の方が高いと判定する。一方、特定された正常イベント情報の抽象レベルが、特定された脅威イベント情報の抽象レベルよりも高ければ、第２生成部２０６０は、検出イベント情報が脅威活動を表している蓋然性の方が高いと判定する。
　特定された正常イベント情報の抽象レベルと、特定された脅威イベント情報の抽象レベルとが等しい場合、第２生成部２０６０は、これらについて算出された関連度を比較する。正常イベント情報について算出された関連度が脅威イベント情報について算出された関連度より大きい場合、第２生成部２０６０は、検出イベント情報が正常な活動を表している蓋然性の方が高いと判定する。一方、正常イベント情報について算出された関連度が脅威イベント情報について算出された関連度以下であれば、第２生成部２０６０は、検出イベント情報が脅威活動を表している蓋然性の方が高いと判定する。
　以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記各実施形態の組み合わせ、又は上記以外の様々な構成を採用することもできる。
　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
１．　対象システムにおいて発生したイベントの集合であるイベント集合を第１の抽象レベルで表す第１の検出イベント情報を取得し、前記取得した第１の検出イベント情報によって表される前記イベント集合を第２の抽象レベルで表す第２の検出イベント情報を生成する第１生成部と、
　それぞれが脅威活動を表す複数の脅威情報の中から、第１の前記検出イベント情報及び第２の前記検出イベント情報のうちの少なくとも一方との関連度が高い前記脅威情報を特定する特定部と、
　前記特定された脅威情報と、その脅威情報との関連度が高い前記検出イベント情報に対応する抽象レベルである合致レベルとに基づいて、前記対象システムで発生している脅威に関する警告情報を生成する第２生成部と、を有する警告装置。
２．　前記イベントは、前記対象システム上で動作するプロセスの活動を表す、１．に記載の警告装置。
３．　前記第１の抽象レベルで表されたイベント集合では、イベントの主体であるプロセスの実行ファイル又はイベントの客体であるファイルについて、その識別情報が示され、
　前記第２の抽象レベルで表されたイベント集合では、イベントの主体であるプロセスの実行ファイル又はイベントの客体であるファイルについて、その種類が示される、１．又は２．に記載の警告装置。
４．　前記脅威情報は、その脅威情報が表すイベント集合を第１の抽象度で表す第１の脅威イベント情報と、その脅威情報が表すイベント集合を第２の抽象度で表す第２の脅威イベント情報とを含み、
　前記特定部は、
　　第１の前記検出イベント情報と各前記脅威情報の第１の脅威イベント情報との間で第１関連度を算出し、
　　第２の前記検出イベント情報と各前記脅威情報の第２の脅威イベント情報との間で第２関連度を算出し、
　　第１関連度又は第２関連度の少なくとも一方が閾値以上である前記脅威情報を特定する、１．乃至３．いずれか一つに記載の警告装置。
５．　前記第１生成部は、前記第１関連度が閾値以上である前記脅威情報が存在しない場合に、前記第２の検出イベント情報の生成を行う、４．に記載の警告装置。
６．　前記特定部は、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間で合致するイベントの総数を、前記脅威イベント情報に示されるイベント集合に含まれるイベントの総数で割ることで、前記検出イベント情報と前記脅威イベント情報との間の関連度を算出する、４．又は５．に記載の警告装置。
７．　前記特定部は、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間で合致する各イベントに付された重みの総和を、前記脅威イベント情報に示されるイベント集合に含まれる各イベントに付された重みの総和で割ることで、前記検出イベント情報と前記脅威イベント情報との間の関連度を算出する、４．又は５．に記載の警告装置。
８．　前記脅威イベント情報は、各イベントについてそのイベントを数値で表したイベント値を示し、
　前記特定部は、
　　前記検出イベント情報に示されている各イベントについて、そのイベントを数値で表したイベント値を算出し、
　　前記検出イベント情報に示されている各イベント値と、前記脅威イベント情報に示されている各イベント値とを比較することで、前記検出イベント情報に示されているイベントと前記脅威イベント情報に示されているイベントとが合致するか否かを判定する、４．乃至７．いずれか一つに記載の警告装置。
９．　前記脅威イベント情報は、前記イベント集合に含まれるイベントで扱われるデータのサイズに関する条件を示し、
　前記特定部は、前記検出イベント情報と前記脅威イベント情報との間の関連度を、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間でイベントが合致する度合い、及び前記検出イベント情報によって示されるイベントにおいて前記脅威イベント情報に示される前記条件が満たされるか否かの判定の結果に基づいて算出する、４．乃至８．いずれか一つに記載の警告装置。
１０．　前記警告情報は、前記検出イベント情報と前記特定された脅威情報との間で合致するイベントが前記合致レベルに応じた度合いで強調されている情報を含む、１．乃至９．いずれか一つに記載の警告装置。
１１．　コンピュータによって実行される制御方法であって、
　対象システムにおいて発生したイベントの集合であるイベント集合を第１の抽象レベルで表す第１の検出イベント情報を取得し、前記取得した第１の検出イベント情報によって表される前記イベント集合を第２の抽象レベルで表す第２の検出イベント情報を生成する第１生成ステップと、
　それぞれが脅威活動を表す複数の脅威情報の中から、第１の前記検出イベント情報及び第２の前記検出イベント情報のうちの少なくとも一方との関連度が高い前記脅威情報を特定する特定ステップと、
　前記特定された脅威情報と、その脅威情報との関連度が高い前記検出イベント情報に対応する抽象レベルである合致レベルとに基づいて、前記対象システムで発生している脅威に関する警告情報を生成する第２生成ステップと、を有する制御方法。
１２．　前記イベントは、前記対象システム上で動作するプロセスの活動を表す、１１．に記載の制御方法。
１３．　前記第１の抽象レベルで表されたイベント集合では、イベントの主体であるプロセスの実行ファイル又はイベントの客体であるファイルについて、その識別情報が示され、
　前記第２の抽象レベルで表されたイベント集合では、イベントの主体であるプロセスの実行ファイル又はイベントの客体であるファイルについて、その種類が示される、１１．又は１２．に記載の制御方法。
１４．　前記脅威情報は、その脅威情報が表すイベント集合を第１の抽象度で表す第１の脅威イベント情報と、その脅威情報が表すイベント集合を第２の抽象度で表す第２の脅威イベント情報とを含み、
　前記特定ステップにおいて、
　　第１の前記検出イベント情報と各前記脅威情報の第１の脅威イベント情報との間で第１関連度を算出し、
　　第２の前記検出イベント情報と各前記脅威情報の第２の脅威イベント情報との間で第２関連度を算出し、
　　第１関連度又は第２関連度の少なくとも一方が閾値以上である前記脅威情報を特定する、１１．乃至１３．いずれか一つに記載の制御方法。
１５．　前記第１生成ステップにおいて、前記第１関連度が閾値以上である前記脅威情報が存在しない場合に、前記第２の検出イベント情報の生成を行う、１４．に記載の制御方法。
１６．　前記特定ステップにおいて、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間で合致するイベントの総数を、前記脅威イベント情報に示されるイベント集合に含まれるイベントの総数で割ることで、前記検出イベント情報と前記脅威イベント情報との間の関連度を算出する、１４．又は１５．に記載の制御方法。
１７．　前記特定ステップにおいて、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間で合致する各イベントに付された重みの総和を、前記脅威イベント情報に示されるイベント集合に含まれる各イベントに付された重みの総和で割ることで、前記検出イベント情報と前記脅威イベント情報との間の関連度を算出する、１４．又は１５．に記載の制御方法。
１８．　前記脅威イベント情報は、各イベントについてそのイベントを数値で表したイベント値を示し、
　前記特定ステップにおいて、
　　前記検出イベント情報に示されている各イベントについて、そのイベントを数値で表したイベント値を算出し、
　　前記検出イベント情報に示されている各イベント値と、前記脅威イベント情報に示されている各イベント値とを比較することで、前記検出イベント情報に示されているイベントと前記脅威イベント情報に示されているイベントとが合致するか否かを判定する、１４．乃至１７．いずれか一つに記載の制御方法。
１９．　前記脅威イベント情報は、前記イベント集合に含まれるイベントで扱われるデータのサイズに関する条件を示し、
　前記特定ステップにおいて、前記検出イベント情報と前記脅威イベント情報との間の関連度を、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間でイベントが合致する度合い、及び前記検出イベント情報によって示されるイベントにおいて前記脅威イベント情報に示される前記条件が満たされるか否かの判定の結果に基づいて算出する、１４．乃至１８．いずれか一つに記載の制御方法。
２０．　前記警告情報は、前記検出イベント情報と前記特定された脅威情報との間で合致するイベントが前記合致レベルに応じた度合いで強調されている情報を含む、１１．乃至１９．いずれか一つに記載の制御方法。
２１．　１１．乃至２０．いずれか一つに記載の制御方法の各ステップをコンピュータに実行させるプログラム。

Claims (21)

  1. 　対象システムにおいて発生したイベントの集合であるイベント集合を第１の抽象レベルで表す第１の検出イベント情報を取得し、前記取得した第１の検出イベント情報によって表される前記イベント集合を第２の抽象レベルで表す第２の検出イベント情報を生成する第１生成部と、
    　それぞれが脅威活動を表す複数の脅威情報の中から、第１の前記検出イベント情報及び第２の前記検出イベント情報のうちの少なくとも一方との関連度が高い前記脅威情報を特定する特定部と、
    　前記特定された脅威情報と、その脅威情報との関連度が高い前記検出イベント情報に対応する抽象レベルである合致レベルとに基づいて、前記対象システムで発生している脅威に関する警告情報を生成する第２生成部と、を有する警告装置。
  2. 　前記イベントは、前記対象システム上で動作するプロセスの活動を表す、請求項１に記載の警告装置。
  3. 　前記第１の抽象レベルで表されたイベント集合では、イベントの主体であるプロセスの実行ファイル又はイベントの客体であるファイルについて、その識別情報が示され、
    　前記第２の抽象レベルで表されたイベント集合では、イベントの主体であるプロセスの実行ファイル又はイベントの客体であるファイルについて、その種類が示される、請求項１又は２に記載の警告装置。
  4. 　前記脅威情報は、その脅威情報が表すイベント集合を第１の抽象度で表す第１の脅威イベント情報と、その脅威情報が表すイベント集合を第２の抽象度で表す第２の脅威イベント情報とを含み、
    　前記特定部は、
    　　第１の前記検出イベント情報と各前記脅威情報の第１の脅威イベント情報との間で第１関連度を算出し、
    　　第２の前記検出イベント情報と各前記脅威情報の第２の脅威イベント情報との間で第２関連度を算出し、
    　　第１関連度又は第２関連度の少なくとも一方が閾値以上である前記脅威情報を特定する、請求項１乃至３いずれか一項に記載の警告装置。
  5. 　前記第１生成部は、前記第１関連度が閾値以上である前記脅威情報が存在しない場合に、前記第２の検出イベント情報の生成を行う、請求項４に記載の警告装置。
  6. 　前記特定部は、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間で合致するイベントの総数を、前記脅威イベント情報に示されるイベント集合に含まれるイベントの総数で割ることで、前記検出イベント情報と前記脅威イベント情報との間の関連度を算出する、請求項４又は５に記載の警告装置。
  7. 　前記特定部は、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間で合致する各イベントに付された重みの総和を、前記脅威イベント情報に示されるイベント集合に含まれる各イベントに付された重みの総和で割ることで、前記検出イベント情報と前記脅威イベント情報との間の関連度を算出する、請求項４又は５に記載の警告装置。
  8. 　前記脅威イベント情報は、各イベントについてそのイベントを数値で表したイベント値を示し、
    　前記特定部は、
    　　前記検出イベント情報に示されている各イベントについて、そのイベントを数値で表したイベント値を算出し、
    　　前記検出イベント情報に示されている各イベント値と、前記脅威イベント情報に示されている各イベント値とを比較することで、前記検出イベント情報に示されているイベントと前記脅威イベント情報に示されているイベントとが合致するか否かを判定する、請求項４乃至７いずれか一項に記載の警告装置。
  9. 　前記脅威イベント情報は、前記イベント集合に含まれるイベントで扱われるデータのサイズに関する条件を示し、
    　前記特定部は、前記検出イベント情報と前記脅威イベント情報との間の関連度を、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間でイベントが合致する度合い、及び前記検出イベント情報によって示されるイベントにおいて前記脅威イベント情報に示される前記条件が満たされるか否かの判定の結果に基づいて算出する、請求項４乃至８いずれか一項に記載の警告装置。
  10. 　前記警告情報は、前記検出イベント情報と前記特定された脅威情報との間で合致するイベントが前記合致レベルに応じた度合いで強調されている情報を含む、請求項１乃至９いずれか一項に記載の警告装置。
  11. 　コンピュータによって実行される制御方法であって、
    　対象システムにおいて発生したイベントの集合であるイベント集合を第１の抽象レベルで表す第１の検出イベント情報を取得し、前記取得した第１の検出イベント情報によって表される前記イベント集合を第２の抽象レベルで表す第２の検出イベント情報を生成する第１生成ステップと、
    　それぞれが脅威活動を表す複数の脅威情報の中から、第１の前記検出イベント情報及び第２の前記検出イベント情報のうちの少なくとも一方との関連度が高い前記脅威情報を特定する特定ステップと、
    　前記特定された脅威情報と、その脅威情報との関連度が高い前記検出イベント情報に対応する抽象レベルである合致レベルとに基づいて、前記対象システムで発生している脅威に関する警告情報を生成する第２生成ステップと、を有する制御方法。
  12. 　前記イベントは、前記対象システム上で動作するプロセスの活動を表す、請求項１１に記載の制御方法。
  13. 　前記第１の抽象レベルで表されたイベント集合では、イベントの主体であるプロセスの実行ファイル又はイベントの客体であるファイルについて、その識別情報が示され、
    　前記第２の抽象レベルで表されたイベント集合では、イベントの主体であるプロセスの実行ファイル又はイベントの客体であるファイルについて、その種類が示される、請求項１１又は１２に記載の制御方法。
  14. 　前記脅威情報は、その脅威情報が表すイベント集合を第１の抽象度で表す第１の脅威イベント情報と、その脅威情報が表すイベント集合を第２の抽象度で表す第２の脅威イベント情報とを含み、
    　前記特定ステップにおいて、
    　　第１の前記検出イベント情報と各前記脅威情報の第１の脅威イベント情報との間で第１関連度を算出し、
    　　第２の前記検出イベント情報と各前記脅威情報の第２の脅威イベント情報との間で第２関連度を算出し、
    　　第１関連度又は第２関連度の少なくとも一方が閾値以上である前記脅威情報を特定する、請求項１１乃至１３いずれか一項に記載の制御方法。
  15. 　前記第１生成ステップにおいて、前記第１関連度が閾値以上である前記脅威情報が存在しない場合に、前記第２の検出イベント情報の生成を行う、請求項１４に記載の制御方法。
  16. 　前記特定ステップにおいて、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間で合致するイベントの総数を、前記脅威イベント情報に示されるイベント集合に含まれるイベントの総数で割ることで、前記検出イベント情報と前記脅威イベント情報との間の関連度を算出する、請求項１４又は１５に記載の制御方法。
  17. 　前記特定ステップにおいて、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間で合致する各イベントに付された重みの総和を、前記脅威イベント情報に示されるイベント集合に含まれる各イベントに付された重みの総和で割ることで、前記検出イベント情報と前記脅威イベント情報との間の関連度を算出する、請求項１４又は１５に記載の制御方法。
  18. 　前記脅威イベント情報は、各イベントについてそのイベントを数値で表したイベント値を示し、
    　前記特定ステップにおいて、
    　　前記検出イベント情報に示されている各イベントについて、そのイベントを数値で表したイベント値を算出し、
    　　前記検出イベント情報に示されている各イベント値と、前記脅威イベント情報に示されている各イベント値とを比較することで、前記検出イベント情報に示されているイベントと前記脅威イベント情報に示されているイベントとが合致するか否かを判定する、請求項１４乃至１７いずれか一項に記載の制御方法。
  19. 　前記脅威イベント情報は、前記イベント集合に含まれるイベントで扱われるデータのサイズに関する条件を示し、
    　前記特定ステップにおいて、前記検出イベント情報と前記脅威イベント情報との間の関連度を、前記検出イベント情報に示されるイベント集合と前記脅威イベント情報に示されるイベント集合との間でイベントが合致する度合い、及び前記検出イベント情報によって示されるイベントにおいて前記脅威イベント情報に示される前記条件が満たされるか否かの判定の結果に基づいて算出する、請求項１４乃至１８いずれか一項に記載の制御方法。
  20. 　前記警告情報は、前記検出イベント情報と前記特定された脅威情報との間で合致するイベントが前記合致レベルに応じた度合いで強調されている情報を含む、請求項１１乃至１９いずれか一項に記載の制御方法。
  21. 　請求項１１乃至２０いずれか一項に記載の制御方法の各ステップをコンピュータに実行させるプログラム。
PCT/JP2019/012496 2019-03-25 2019-03-25 警告装置、制御方法、及びプログラム WO2020194449A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/439,509 US12001551B2 (en) 2019-03-25 2019-03-25 Warning apparatus, control method, and program
PCT/JP2019/012496 WO2020194449A1 (ja) 2019-03-25 2019-03-25 警告装置、制御方法、及びプログラム
JP2021508423A JP7140268B2 (ja) 2019-03-25 2019-03-25 警告装置、制御方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/012496 WO2020194449A1 (ja) 2019-03-25 2019-03-25 警告装置、制御方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2020194449A1 true WO2020194449A1 (ja) 2020-10-01

Family

ID=72609267

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/012496 WO2020194449A1 (ja) 2019-03-25 2019-03-25 警告装置、制御方法、及びプログラム

Country Status (3)

Country Link
US (1) US12001551B2 (ja)
JP (1) JP7140268B2 (ja)
WO (1) WO2020194449A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113949621A (zh) * 2021-12-22 2022-01-18 北京微步在线科技有限公司 入侵事件的告警关联方法、装置、电子设备及存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013098915A1 (ja) * 2011-12-26 2013-07-04 株式会社日立製作所 管理サーバ、管理システム、および、管理方法
WO2018070404A1 (ja) * 2016-10-14 2018-04-19 日本電気株式会社 マルウェア解析装置、マルウェア解析方法、及び、マルウェア解析プログラムが格納された記録媒体

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008152556A (ja) 2006-12-18 2008-07-03 Nec Corp 証拠資料作成支援システム、証拠資料作成支援方法、証拠資料作成支援プログラム
JP5794113B2 (ja) 2011-11-04 2015-10-14 オムロン株式会社 ソリッドステートリレー及び負荷駆動回路
IL219597A0 (en) * 2012-05-03 2012-10-31 Syndrome X Ltd Malicious threat detection, malicious threat prevention, and a learning systems and methods for malicious threat detection and prevention
US8752178B2 (en) * 2013-07-31 2014-06-10 Splunk Inc. Blacklisting and whitelisting of security-related events
US9710648B2 (en) * 2014-08-11 2017-07-18 Sentinel Labs Israel Ltd. Method of malware detection and system thereof
JP2016053956A (ja) * 2014-09-02 2016-04-14 エスケー インフォセック カンパニー リミテッドＳＫ ＩＮＦＯＳＥＣ Ｃｏ．，Ｌｔｄ． ウェブ基盤の悪性コード探知システムおよび方法
WO2019049243A1 (ja) * 2017-09-06 2019-03-14 日本電気株式会社 端末装置、端末装置による動作情報の報告制御方法、及び、端末装置による動作情報の報告制御プログラムが格納された記録媒体
GB2574209B (en) * 2018-05-30 2020-12-16 F Secure Corp Controlling Threats on a Computer System by Searching for Matching Events on other Endpoints
US11184374B2 (en) * 2018-10-12 2021-11-23 International Business Machines Corporation Endpoint inter-process activity extraction and pattern matching
US11941054B2 (en) * 2018-10-12 2024-03-26 International Business Machines Corporation Iterative constraint solving in abstract graph matching for cyber incident reasoning
US10956566B2 (en) * 2018-10-12 2021-03-23 International Business Machines Corporation Multi-point causality tracking in cyber incident reasoning

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013098915A1 (ja) * 2011-12-26 2013-07-04 株式会社日立製作所 管理サーバ、管理システム、および、管理方法
WO2018070404A1 (ja) * 2016-10-14 2018-04-19 日本電気株式会社 マルウェア解析装置、マルウェア解析方法、及び、マルウェア解析プログラムが格納された記録媒体

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SHIBATA HITOSHI; YOSHIOKA KATSUNARI; SHIKATA JUNJI; MATSUMOTO TSUTOMU: "A design of user-interface for manual network access controlof Malware Sandbox analysis.", RESEARCH REPORT OF INFORMATION PROCESSING SOCIETY OF JAPAN, vol. 138, no. 20(2009-DPS-138), 30 November 2008 (2008-11-30), JP, pages 277 - 279, XP009523779, ISSN: 0919-6072 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113949621A (zh) * 2021-12-22 2022-01-18 北京微步在线科技有限公司 入侵事件的告警关联方法、装置、电子设备及存储介质
CN113949621B (zh) * 2021-12-22 2022-03-29 北京微步在线科技有限公司 入侵事件的告警关联方法、装置、电子设备及存储介质

Also Published As

Publication number Publication date
JPWO2020194449A1 (ja) 2020-10-01
JP7140268B2 (ja) 2022-09-21
US12001551B2 (en) 2024-06-04
US20220156371A1 (en) 2022-05-19

Similar Documents

Publication Publication Date Title
US20210256127A1 (en) System and method for automated machine-learning, zero-day malware detection
US11188650B2 (en) Detection of malware using feature hashing
EP2946331B1 (en) Classifying samples using clustering
US8701192B1 (en) Behavior based signatures
US8955133B2 (en) Applying antimalware logic without revealing the antimalware logic to adversaries
CN110177114B (zh) 网络安全威胁指标识别方法、设备、装置以及计算机可读存储介质
CN112866023B (zh) 网络检测、模型训练方法、装置、设备及存储介质
JP6697123B2 (ja) プロファイル生成装置、攻撃検知装置、プロファイル生成方法、および、プロファイル生成プログラム
US11797668B2 (en) Sample data generation apparatus, sample data generation method, and computer readable medium
US20120311709A1 (en) Automatic management system for group and mutant information of malicious codes
EP3531329A1 (en) Anomaly-based-malicious-behavior detection
EP2977928B1 (en) Malicious code detection
JP5656266B2 (ja) ブラックリスト抽出装置、抽出方法および抽出プログラム
US11423099B2 (en) Classification apparatus, classification method, and classification program
JP5441043B2 (ja) プログラム、情報処理装置、及び情報処理方法
WO2020194449A1 (ja) 警告装置、制御方法、及びプログラム
JP2018022248A (ja) ログ分析システム、ログ分析方法及びログ分析装置
EP3361405B1 (en) Enhancement of intrusion detection systems
JP2016525750A (ja) 合法的オブジェクトの誤用の識別
EP3799367B1 (en) Generation device, generation method, and generation program
JP7131621B2 (ja) 情報処理装置、制御方法、及びプログラム
US20220210186A1 (en) Systems and methods for protection against theft of user credentials by email phishing attacks
US20240214396A1 (en) Cyber threat information processing apparatus, cyber threat information processing method, and storage medium storing cyber threat information processing program
KR20240019740A (ko) 사이버 위협 정보 처리 장치, 사이버 위협 정보 처리방법 및 사이버 위협 정보 처리하는 프로그램을 저장하는 저장매체
Gundoor Identification Of Dominant Features in Non-Portable Executable Malicious File

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19920979

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021508423

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19920979

Country of ref document: EP

Kind code of ref document: A1