WO2021033506A1 - ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラムが記録された記憶媒体 - Google Patents

ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラムが記録された記憶媒体 Download PDF

Info

Publication number
WO2021033506A1
WO2021033506A1 PCT/JP2020/028939 JP2020028939W WO2021033506A1 WO 2021033506 A1 WO2021033506 A1 WO 2021033506A1 JP 2020028939 W JP2020028939 W JP 2020028939W WO 2021033506 A1 WO2021033506 A1 WO 2021033506A1
Authority
WO
WIPO (PCT)
Prior art keywords
darknet
traffic
organization
network monitoring
data
Prior art date
Application number
PCT/JP2020/028939
Other languages
English (en)
French (fr)
Inventor
克哉 西嶋
倫宏 重本
哲郎 鬼頭
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to EP20855709.0A priority Critical patent/EP4020906A4/en
Priority to US17/631,126 priority patent/US20220279008A1/en
Publication of WO2021033506A1 publication Critical patent/WO2021033506A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • the present invention relates to a technique for monitoring cyber attacks on a network.
  • Patent Document 1 in order to make it possible to easily analyze a cyber attack, a plurality of types of cyber attack information are collected, and as for the characteristic information of the cyber attack, the characteristic information of the cyber attack appears.
  • a system is disclosed that evaluates the type of attack.
  • Patent Document 1 By using the technology of Patent Document 1, it is possible to grasp the number of types of cyber attacks in which characteristic information (elements) of cyber attacks are observed. However, in the technique of Patent Document 1, there is a possibility of being attacked by the time information organized by STIX (Structured Threat Information eXpression) or the like is shared. In addition, it is not possible to easily grasp which of the obtained cyber attack information should be prioritized.
  • STIX Structured Threat Information eXpression
  • the present invention has been made in view of the above circumstances, and an object of the present invention is to provide a technique capable of appropriately detecting a sign of a cyber attack and appropriately calculating the priority of countermeasures against the detected cyber attack. To do.
  • the network monitoring device is a network monitoring device that includes a processor unit and monitors cyber attacks in the network, and the processor unit detects an increase point of darknet traffic in the network.
  • the darknet traffic is detected within the own organization to which the network monitoring device belongs, and the observation point where the darknet traffic corresponding to the increase point was observed.
  • the correlation score indicating the relevance of darknet traffic to your organization is above the threshold, the source IP address is on the blacklist, it is present as attack information in threat intelligence, and it responds to access.
  • the honeypot configured to do so has a log corresponding to darknet traffic, the honeypot in which the log resides is a honeypot within your organization, and the CVSS for vulnerabilities to darknet traffic targets.
  • Cyber attacks based on whether or not at least one of the following conditions is met: the score is above the threshold, and the product with the target vulnerability exists in the own organization. Calculate an evaluation value that indicates the priority of countermeasures against.
  • a sign of a cyber attack can be appropriately detected, and the priority of countermeasures against the detected cyber attack can be appropriately calculated.
  • FIG. 1 is a diagram showing an overall configuration example of a computer system according to an embodiment.
  • FIG. 2 is a diagram showing an example of change point detection data according to one embodiment.
  • FIG. 3 is a diagram showing an example of product port data according to one embodiment.
  • FIG. 4 is a diagram showing an example of honeypot log data according to one embodiment.
  • FIG. 5 is a diagram showing an example of cyber threat intelligence data according to one embodiment.
  • FIG. 6 is a diagram showing an example of vulnerability data according to one embodiment.
  • FIG. 7 is a diagram showing an example of configuration data according to an embodiment.
  • FIG. 8 is a diagram showing an example of IP blacklist data according to one embodiment.
  • FIG. 9 is a diagram showing an example of correlation score data according to one embodiment.
  • FIG. 1 is a diagram showing an overall configuration example of a computer system according to an embodiment.
  • FIG. 2 is a diagram showing an example of change point detection data according to one embodiment.
  • FIG. 3 is a diagram showing an example of product port data
  • FIG. 10 is an example of a flowchart of the measure priority score presentation process according to the embodiment.
  • FIG. 11 is an example of a sequence diagram of the change point score calculation process according to the embodiment.
  • FIG. 12 is an example of a flowchart of the measure priority score calculation process according to the embodiment.
  • FIG. 13 is a diagram showing an example of a countermeasure priority score presentation screen according to an embodiment.
  • FIG. 14 is a diagram showing an example of a score breakdown screen according to an embodiment.
  • FIG. 15 is a diagram showing an example of a detailed information presentation screen according to an embodiment.
  • AAA data may be expressed by any data structure. That is, "AAA data” can be called “AAA information” to show that the information does not depend on the data structure.
  • the "processor unit” includes one or more processors.
  • the at least one processor is typically a microprocessor such as a CPU (Central Processing Unit).
  • CPU Central Processing Unit
  • Each of the one or more processors may be single core or multi-core.
  • the processing may be described with the "program" as the main operating body, but the program is executed by the processor unit, and the specified processing is appropriately performed in the storage unit and the interface unit.
  • the subject of the process may be a processor unit (or a computer or a computer system having a processor unit).
  • the program may be installed on the computer from the program source.
  • the program source may be, for example, a program distribution server or a computer-readable storage medium.
  • two or more programs may be realized as one program, or one program may be realized as two or more programs.
  • at least a part of the processing realized by executing the program may be realized by a hardware circuit (for example, an ASIC (Application Specific Integrated Circuit) or an FPGA (Field-Programmable Gate Array)).
  • FIG. 1 is a diagram showing an overall configuration example of a computer system according to an embodiment.
  • the computer system 1 includes a network monitoring device 100, a darknet observation device 131, a honeypot 132, a darknet observation device 135, and a honeypot 136.
  • the network monitoring device 100, the darknet observation device 131, and the honeypot 132 are installed in a certain organization and are connected to each other via the network 130 in the organization.
  • the network 130 is, for example, a wired LAN (Local Area Network), a wireless LAN, or the like.
  • the darknet observation device 135 and the honeypot 136 are installed outside the organization to which the network monitoring device 100 belongs (outside the organization), and are connected via the network 134.
  • the network 134 is, for example, a wired LAN or a wireless LAN.
  • the network 130 and the network 134 are connected via the Internet 133. Therefore, the network monitoring device 100 can communicate with the darknet observation device 135 and the honeypot 136 via the network 130, the Internet 133, and the network 134.
  • Various computers (not shown) are connected to the Internet 133.
  • the darknet observation device 131 observes, for example, traffic (darknet traffic) to a darknet in which an IP packet can reach its own device.
  • the darknet refers to an address space in which a specific host is not assigned among the IP addresses reachable on the Internet.
  • the darknet observation device 131 can receive IP packets for the address space in the organization within the darknet.
  • the darknet observation device 135 observes, for example, traffic to a darknet in which an IP packet can reach its own device.
  • the darknet observation device 135 can receive IP packets for the address space in the organization to which the darknet observation device 135 belongs in the darknet existing on the Internet.
  • the honeypot 132 and the honeypot 136 are devices for decoy of cyber attacks, receive IP packets addressed to their own devices, and return a response to the IP packets.
  • the network monitoring device 100 includes a communication interface (communication IF) 101, a CPU 102 as an example of a processor unit, an input / output interface (input / output IF) 103, a main memory 104, a storage device 105, and each unit 101 to 105. It is provided with a communication path 107 to be connected.
  • communication IF communication interface
  • CPU 102 as an example of a processor unit
  • input / output interface input / output interface
  • main memory 104 main memory
  • storage device 105 main memory
  • each unit 101 to 105 It is provided with a communication path 107 to be connected.
  • the communication path 107 is an information transmission medium such as a bus or a cable.
  • the communication IF 101 is an interface such as a wired LAN card or a wireless LAN card, and is another device (for example, honeypot 132, 136, darknet observation device 131, 135) via the network 130, the Internet 133, and the network 134. ) To communicate.
  • the input / output IF 103 is connected to an input / output device 106 for input / output such as a keyboard and a display, and mediates the input / output of data.
  • the main memory 104 is, for example, a RAM (Random Access Memory), and stores a program executed by the CPU 102 and necessary data.
  • the main memory 104 presents the information collection program 108, the change point detection program 109, the correlation score calculation program 110, the data filtering program 111, the countermeasure priority score calculation program 112, and the countermeasure priority score. Store the program 113.
  • the CPU 102 executes various processes according to a program stored in the main memory 104 and / or the storage device 105.
  • the CPU 102 By executing the information collection program 108, the CPU 102 collects data on dark net traffic data, honeypot log data, cyber threat intelligence data, vulnerability data, product port data, configuration data, and IP blacklist data. A process of storing in the storage device 105 is performed. The CPU 102 performs a process of detecting the change point of the darknet traffic data by executing the change point detection program 109.
  • the CPU 102 executes the correlation score calculation program 110 to calculate the correlation score of the darknet traffic of the other organization and the own organization.
  • the CPU 102 executes a matching process between the change point detection data and various data.
  • the CPU 102 performs a process of calculating the countermeasure priority score (countermeasure priority score calculation process: see FIG. 12).
  • the countermeasure priority score presenting program 113 the CPU 102 performs a process of presenting the countermeasure priority score to the observer who uses the network monitoring device 100.
  • the storage device 105 is, for example, an HDD (hard disk drive) or SSD (solid state drive), and stores a program executed by the CPU 102 and data used by the CPU 102.
  • HDD hard disk drive
  • SSD solid state drive
  • the storage unit 105 comprises dark net traffic data 114, correlation score data 115, honeypot log data 116, cyber threat intelligence data 117, vulnerability data 118, and product port data 119.
  • the data 120, the IP blacklist data 121, and the change point detection data 122 are stored.
  • the darknet traffic data 114 is data obtained from the darknet observation device 131 inside the organization and the darknet observation device 135 outside the organization.
  • the correlation score data 115 is the correlation score data of the darknet traffic data inside and outside the organization calculated by the correlation score calculation program 110.
  • the honeypot log data 116 is data obtained from the honeypot 132 inside the tissue and the honeypot 136 outside the tissue.
  • Cyber threat intelligence data 117 is data provided by security researchers and the like.
  • Vulnerability data 118 is data provided by a public institution or the like.
  • the product port data 119 is data indicating the correspondence between the product name and the port used by the product.
  • the configuration data 120 is data of a product name in the organization and a version of the product.
  • the IP blacklist data 121 is data in which high-risk IP addresses are listed (blacklisted).
  • the change point detection data 122 is data that lists the events that detected the change point of the darknet traffic.
  • the above-mentioned programs and data may be stored in the main memory 104 or the storage device 105 in advance, and when necessary, another device may be stored from the input / output device 106 via the input / output IF 103 or via the communication IF 101. It may be installed (or loaded) from.
  • the darknet traffic data 114 includes an entry corresponding to an IP packet received (observed) by each of the darknet observation devices 131 and 135.
  • the entry of the darknet traffic data 114 includes, for example, a darknet observation device ID, a destination Port / protocol, a detection time, and a source IP.
  • the darknet observation device ID is the ID of the darknet observation device that has received the IP packet corresponding to the entry.
  • a destination port / protocol is a destination port and protocol that is the target of an IP packet.
  • the detection time is the time when the IP packet is received.
  • the source IP is the IP address of the source of the IP packet.
  • FIG. 2 is a diagram showing an example of change point detection data according to one embodiment.
  • the change point detection data 122 includes an entry summarizing the event (event: attack or sign of attack) that detected the change point of darknet traffic.
  • the entry of the change point detection data 122 includes ID 201, country name 202, industry 203, organization size 204, inside / outside organization 205, destination port / protocol 206, detection time 207, and source IP 208.
  • the ID201 is an identifier that can uniquely identify one entry of change point detection data 122.
  • the country name 202 is the name of the country where the darknet observation device that detects the change point is installed.
  • Industry 203 is an industry corresponding to an organization in which a darknet observation device that detects a change point is installed.
  • the organization scale 204 is the scale (organization scale) of the organization in which the darknet observation device that detects the change point is installed.
  • the inside and outside of the organization 205 indicates whether the darknet observation device that has detected the change point is installed inside or outside the organization with respect to the organization to which the network monitoring device 100 belongs.
  • Destination port / protocol 206 is a destination port number and protocol in darknet traffic.
  • the detection time 207 is the time when the change point is detected.
  • the source IP 208 is an IP address of the source of darknet traffic (source IP address: may also be referred to as source IP).
  • the source IP208 may be the source IP address of all the IP packets of the darknet traffic, or may be some of the top source IP addresses in the result of sorting the number of accesses in descending order.
  • the change point detection data 122 is used in a process in which the correlation score calculation program 110 calculates the correlation score and a process in which the countermeasure priority score calculation program 112 calculates the countermeasure priority score.
  • the specific processing of the countermeasure priority score calculation program 112 will be described later with reference to FIG.
  • FIG. 3 is a diagram showing an example of product port data according to one embodiment.
  • the product port data 119 is data for determining the product name from the port number and the protocol, and the entry of the product port data 119 includes the port / protocol 301 and the product name 302.
  • the port / protocol 301 is a port number and protocol information.
  • the product name 302 is a product name that uses the port / protocol 301 in the entry.
  • product port data 119 a plurality of product names may be associated with the same port / protocol. Each entry of product port data 119 may be collected / updated periodically by the information gathering program 108, or may be entered or updated as needed by the observer.
  • the product port data 119 is used in the process of calculating the countermeasure priority score by the countermeasure priority score calculation program 112 executed by the CPU 102.
  • the specific processing of the countermeasure priority calculation program 112 will be described later with reference to FIG.
  • FIG. 4 is a diagram showing an example of honeypot log data according to one embodiment.
  • the entry of the honeypot log data 116 includes the inside and outside of the organization 401, the time 402, the destination port / protocol 403, the source IP404, and the attack name 405.
  • Inside and outside the organization 401 indicates whether the honeypot is installed inside or outside the organization.
  • Time 402 is the time stamp when the honeypot log was generated.
  • Destination port / protocol 403 is the destination port and protocol of the IP packet sent to the honeypot.
  • the source IP404 is the source IP address in the honeypot log, that is, the source IP address of the IP packet to the honeypot.
  • the attack name 405 is a specific attack name against the honeypot.
  • the honeypot log data 116 is periodically collected / updated by the information collection program 108.
  • the honeypot log data 116 is used by the countermeasure priority score calculation program 112 in the process of calculating the countermeasure priority score.
  • the specific processing of the countermeasure priority calculation program 112 will be described later with reference to FIG.
  • FIG. 5 is a diagram showing an example of cyber threat intelligence data according to one embodiment.
  • the entry of cyber threat intelligence data 117 includes registration time 501, product name 502, source IP 503, destination port / protocol 504, and CVE (Common Vulnerabilities and Exposures) 505.
  • CVE Common Vulnerabilities and Exposures
  • the registration time 501 is the time when the data corresponding to the entry is registered.
  • Product name 502 is the product name that is the target of the attack.
  • the source IP 503 is the IP address of the connection source of the attack.
  • the destination port / protocol 504 is the port number and protocol of the attack target.
  • CVE505 is the CVE number of the vulnerability used in the attack.
  • each entry of cyber threat intelligence data 117 may be periodically collected / updated by the information collection program 108, and may be input or updated by the observer as necessary.
  • the cyber threat intelligence data 117 is used by the countermeasure priority score calculation program 112 in the process of calculating the countermeasure priority score.
  • the specific processing of the countermeasure priority calculation program 112 will be described later with reference to FIG.
  • FIG. 6 is a diagram showing an example of vulnerability data according to one embodiment.
  • the entry of the vulnerability data 118 includes CVE601, CVSS score 602, registration time 603, product name 604, and corresponding version 605.
  • CVE601 is CVE.
  • the CVSS score 602 is the CVSS score corresponding to the entry CVE601.
  • the registration time 603 is the time when the CVE was registered.
  • the product name 604 is the name (product name) of the product corresponding to CVE601.
  • the corresponding version 605 is a version of the product corresponding to CVE601.
  • Each entry of the vulnerability data 118 may be collected / updated periodically by the information collection program 108, or may be input or updated as needed by the observer.
  • the vulnerability data 118 is used by the countermeasure priority score calculation program 112 in the process of calculating the countermeasure priority score.
  • the specific processing of the countermeasure priority score calculation program 112 will be described later with reference to FIG.
  • FIG. 7 is a diagram showing an example of configuration data according to one embodiment.
  • Each entry of configuration data 120 includes product name 701 and version 702.
  • Product name 701 is the product name of the product introduced in the organization.
  • Version 702 is the version of the entry product name 701.
  • each entry of the configuration data 120 may be periodically collected / updated by the information collection program 108, or may be input or updated as needed by the observer.
  • the configuration data 120 is used by the countermeasure priority score calculation program 112 in the process of calculating the countermeasure priority score.
  • the specific processing of the countermeasure priority score calculation program 112 will be described later with reference to FIG.
  • FIG. 8 is a diagram showing an example of IP blacklist data according to one embodiment.
  • the entry of the IP blacklist data 121 includes the IP address 801.
  • the IP address 801 is an IP address having a high risk of attacking.
  • each entry of the IP blacklist data 121 may be periodically collected / updated by the information collection program 108, or may be input or updated by the observer as necessary.
  • the IP blacklist data 121 is used by the countermeasure priority score calculation program 112 in the process of calculating the countermeasure priority score.
  • the specific processing of the countermeasure priority score calculation program 112 will be described later with reference to FIG.
  • FIG. 9 is a diagram showing an example of correlation score data according to one embodiment.
  • the entry of the correlation score data 115 includes the country name 901, the industry 902, the organization size 903, and the correlation score 904.
  • the country name 901 is the country name of the country in which the darknet observation device for which the correlation score is calculated exists.
  • the industry 902 is the industry of the organization that installs the darknet observation device for which the correlation score is calculated.
  • the organization scale 903 is the scale of the organization in which the darknet observation device for which the correlation score is calculated is installed.
  • the correlation score 904 is a score (correlation score) indicating the correlation with the darknet traffic of the darknet observation device corresponding to the entry. This correlation score is calculated by the correlation score calculation program 110.
  • the entry of the correlation score data 115 may be input or updated as needed by the observer.
  • the correlation score data 115 is used by the countermeasure priority score calculation program 112 in the process of calculating the countermeasure priority score.
  • the specific processing of the countermeasure priority score calculation program 112 will be described later with reference to FIG.
  • FIG. 10 is a flowchart of the measure priority score presentation process according to the embodiment.
  • the change point detection program 109 (strictly speaking, the CPU 102 that executes the change point detection program 109) executes a change point score calculation process (see FIG. 11) for calculating the change point score of darknet traffic (step 1001). ).
  • steps 1002 to 1011 are executed for each target of the darknet traffic for which the change point score was calculated in step 1001.
  • the change point detection program 109 determines whether or not the change point score calculated by the change point score calculation process exceeds a preset threshold value (step 1002).
  • step 1002 when the change point score does not exceed the threshold value (step 1002: No), it indicates that it is not the increase point of the darknet traffic, so the change point detection program 109 ends the process.
  • step 1002 when the change point score exceeds the threshold value (step 1002: Yes), the change point detection program 109 is based on the darknet traffic data 114 in which the change point score exceeds the threshold value, and the change point detection data 122. Is generated and stored in the storage device 105 (step 1003).
  • the change point detection program 109 activates the correlation score calculation program 110, and the activated correlation score calculation program 110 observes the darknet traffic in the own organization and the observation point for the generated change point detection data 122 entry.
  • the correlation score with the darknet traffic of (darknet observation device: called the target observation point) is calculated, and the correlation score of the entry of the correlation score data 115 corresponding to the target observation point is updated to the calculated correlation score ( Step 1004).
  • the correlation score calculation program 110 calculates the correlation score according to the following equation (1).
  • Correlation score M / N ...
  • N is the number of unique values (values without duplication) of the destination port / protocol detected in the past (for example, within a predetermined period (for example, one year) in the past) at the target observation point.
  • M is a unique value of the destination port / protocol detected in the past (for example, within a predetermined period (for example, one year) in the past) in the own organization, and the destination port / protocol detected in the past at the target observation point. It is the number of unique values of the destination port / protocol common to the unique value.
  • This correlation score shows the correlation between the darknet traffic generated at the target observation point and the darknet traffic generated at the own organization. The higher the correlation score, the more the same attack as the target observation point is applied to the own organization. It means that it is likely to be done against.
  • the data filtering program 111 narrows down the product names that are assumed to be the targets of darknet traffic by collating the change point detection data 122 with the product port data 119 (step 1005). Specifically, the data filtering program 111 collates the destination port / protocol 206 of the entry of the change point detection data 122 with the destination port / protocol 301 of the entry of the product port data 119.
  • the data filtering program 111 narrows down the CVE related to darknet traffic by collating the change point detection data 122 with the cyber threat intelligence data 117 (step 1006). Specifically, the data filtering program 111 collates the destination port / protocol 206 of the entry of the change point detection data 122 with the destination port / protocol 504 of the entry of the cyber threat intelligence data 117, and enters the change point detection data 122. Matching the source IP208 of the cyber threat intelligence data 117 with the source IP503 of the entry of cyber threat intelligence data 117, or matching the product name obtained in step 1005 with the product name 502 of the entry of cyber threat intelligence data 117. Alternatively, they are combined.
  • the data filtering program 111 collates the change point detection data 122 with the honeypot log data 116 to correspond to an entry corresponding to a sign of an attack on the increasing point of dark net traffic in the honeypot log data 116 ( (Honeypot log) is narrowed down (step 1007). Specifically, the data filtering program 111 collates the destination port / protocol 206 of the entry of the change point detection data 122 with the destination port / protocol 403 of the entry of the honeypot log data 116, and sets the entry of the change point detection data 122. Either the source IP 208 and the source IP 404 of the entry in the honeypot log data 116 are matched, or a combination thereof. Entries for which the attack name 405 of the honeypot log data 116 is unknown are excluded from the narrowing down.
  • the data filtering program 111 narrows down the entries corresponding to the products to be accessed at the increasing points of the vulnerability data 118 by collating the change point detection data 122 with the vulnerability data 118 (step 1008). Specifically, the data filtering program 111 matches the product name obtained in step 1005 with the product name 604 of the entry of the vulnerability data 118.
  • the data filtering program 111 narrows down the products containing the vulnerabilities in its own organization by collating the change point detection data 122 with the configuration data 120 (step 1009). Specifically, the data filtering program 111 matches the combination of the product name 604 of the entry obtained in step 1008 and the corresponding version 605 with the combination of the product name 701 and the version 702 of the entry of the vulnerability data 118. To.
  • the countermeasure priority score calculation program 112 receives the results obtained in the processes of steps 1003 to 1009, and executes the countermeasure priority score calculation process (see FIG. 12) for calculating the countermeasure priority score. (Step 1010).
  • the countermeasure priority score presentation program 113 receives the result obtained in the countermeasure priority score calculation process, and inputs / outputs the countermeasure priority score presentation screen 1300 (see FIG. 13) including information on the countermeasure priority score. It is displayed on the device 106 or the like (step 1011), and the process ends.
  • step 1001 the change point score calculation process (step 1001) will be described in detail.
  • FIG. 11 is a sequence diagram of the change point score calculation process according to the embodiment.
  • the information collection program 108 (strictly speaking, the CPU 102 that executes the information collection program 108) transmits an observation result transmission request (observation result request) to the darknet observation device 135 outside the organization (step 1101a).
  • the darknet observation device 135 receives the observation result request, it transmits the darknet traffic data observed by itself to the information collection program 108 (step 1102a).
  • the information collection program 108 writes the darknet traffic data received from the darknet observation device 135 to the storage device 105 (step 1103a).
  • the change point detection program 109 sends a transmission request for darknet traffic data to the storage device 105 (step 1104a).
  • the storage device 105 that has received the transmission request transmits the recorded darknet traffic data to the change point detection program 109 (step 1105a).
  • the change point detection program 109 aggregates the received darknet traffic data for each destination port / protocol, and calculates a change point score, which is an index showing how much the aggregated result has changed compared to the past data.
  • the change point score may be, for example, the ratio of the current aggregation result (aggregation number) to the aggregation result (aggregation number) of the past data.
  • steps 1101a to 1106a the same processing as the processing starting from the processing for the darknet observation device 135 outside the organization.
  • step 1011 the countermeasure priority score calculation process
  • FIG. 12 is a flowchart of the measure priority score calculation process according to the embodiment.
  • the countermeasure priority score calculation program 112 executes the countermeasure priority score calculation process for each entry of the change point detection data 122.
  • the entry to be processed in the change point detection data 122 is referred to as a target entry.
  • the countermeasure priority score calculation program 112 determines whether the target entry inside or outside the organization 205 is inside or outside the organization (step 1202). As a result of the determination, when 205 inside and outside the organization is inside the organization (step 1202: Yes), the countermeasure priority score calculation program 112 determines the score of the darknet index within the own organization indicating that the access is to the darknet within the organization. The measure priority score for the target entry is increased (for example, 1 addition) (step 1201a), and the process proceeds to step 1203. On the other hand, as a result of the determination, when the inside / outside 205 of the organization is not inside the organization (step 1202: No), the countermeasure priority score calculation program 112 advances the process to step 1203.
  • step 1203 the countermeasure priority score calculation program 112 determines whether or not the correlation score 904 of the entry of the correlation score data 115 corresponding to the target entry is equal to or higher than a predetermined threshold value. As a result of the determination, when the correlation score 904 is equal to or higher than the threshold value (step 1203: Yes), the countermeasure priority score calculation program 112 increases the score of the correlation index indicating that the correlation score is equal to or higher than the threshold value (for example, 1 addition). ), The countermeasure priority score for the target entry is increased (for example, 1 addition) (step 1201b), and the process proceeds to step 1204. On the other hand, when the correlation score 904 is not equal to or higher than the threshold value (step 1203: No), the countermeasure priority score calculation program 112 advances the process to step 1204.
  • step 1204 the countermeasure priority score calculation program 112 determines whether or not the source IP 208 of the target entry is included in the IP address 801 of the entry of the IP blacklist data 121. As a result of the determination, when the source IP 208 is included in the IP address 801 (step 1204: Yes), the countermeasure priority score calculation program 112 is the score of the IP blacklist index indicating that the source IP 208 is included in the IP blacklist. Is increased (for example, 1 addition), the countermeasure priority score for the target entry is increased (for example, 1 addition) (step 1201c), and the process proceeds to step 1205. On the other hand, when the source IP 208 is not included in the IP address 801 (step 1204: No), the countermeasure priority score calculation program 112 advances the process to step 1205.
  • step 1205 the countermeasure priority score calculation program 112 determines whether or not there is an entry of cyber threat intelligence data 117 corresponding to the target entry by narrowing down in step 1006. As a result of the determination, if there is an entry for the relevant cyber threat intelligence data 117 (step 1205: Yes), the countermeasure priority score calculation program 112 determines the score of the threat intelligence index indicating that there is an entry for cyber threat intelligence. The measure priority score for the target entry is increased (for example, 1 addition) (for example, 1 addition) (step 1201d), and the process proceeds to step 1206. On the other hand, if there is no entry for the relevant cyber threat intelligence data (step 1205: No), the countermeasure priority score calculation program 112 proceeds to step 1206.
  • step 1206 the countermeasure priority score calculation program 112 determines whether or not there is an entry of honeypot log data 116 related to the target entry based on the result of narrowing down in step 1007. If, as a result of the determination, there is an entry for the related honeypot log data 116 (step 1206: Yes), the countermeasure priority score calculation program 112 indicates that there is an entry for the related honeypot log data. (For example, 1 addition), the countermeasure priority score for the target entry is increased (for example, 1 addition) (step 1201e), and the process proceeds to step 1207. On the other hand, if there is no related honeypot log data entry (step 1206: No), the countermeasure priority score calculation program 112 advances the process to step 1208.
  • step 1207 the countermeasure priority score calculation program 112 determines whether or not the entry of the honeypot log data 116 related to the target entry is the data of the honeypot 132 in the own organization. As a result of the determination, when the entry of the related honeypot log data 116 is the data of the honeypot 132 in the own organization (step 1207: Yes), the countermeasure priority score calculation program 112 of the related honeypot log data Increases the score of the honeypot index in the own organization (for example, 1 addition) indicating that the entry is the data of the honeypot 132 in the own organization, and increases the countermeasure priority score for the target entry (for example, 1 addition). (Step 1201f), the process proceeds to step 1208. On the other hand, when the related honeypot log data entry is not the data of the honeypot 132 in the own organization (step 1207: No), the countermeasure priority score calculation program 112 advances the process to step 1208.
  • step 1208 the countermeasure priority score calculation program 112 determines whether or not the CVSS score 602 of the entry of the vulnerability data 118 related to the target entry is equal to or higher than a predetermined threshold value. As a result of the determination, when the CVSS score 602 is equal to or higher than the threshold value (step 1208: Yes), the countermeasure priority score calculation program 112 increases the score of the CVSS index indicating that the CVSS score is equal to or higher than the threshold value (for example, 1 addition). ), The countermeasure priority score for the target entry is increased (for example, 1 addition) (step 1201 g), and the process proceeds to step 1209. On the other hand, when the CVSS score 602 is not equal to or higher than the threshold value (step 1208: No), the countermeasure priority score calculation program 112 advances the process to step 1209.
  • step 1209 the countermeasure priority score calculation program 112 determines whether or not a product having a vulnerability exists in its own organization based on the result of narrowing down in step 1009. As a result of the determination, when a product with a vulnerability exists in the own organization (step 1209: Yes), the countermeasure priority score calculation program 112 indicates that the product with the vulnerability exists in the own organization. The score of the index is increased (for example, 1 addition), the countermeasure priority score for the target entry is increased (for example, 1 addition) (step 1201h), and the process is terminated. On the other hand, when the product having the vulnerability does not exist in the own organization (step 1209: No), the countermeasure priority score calculation program 112 ends the process.
  • the countermeasure priority score for the event (attack or sign of attack) corresponding to each entry of the change point detection data 122 can be appropriately calculated.
  • FIG. 13 is a diagram showing an example of a countermeasure priority score presentation screen according to one embodiment.
  • ID 1301 for each event (attack or sign of attack) in which a change point of darknet traffic is detected country name 1302, industry 1303, organization size 1304, inside and outside the organization
  • the 1305, destination port / protocol 1306, detection time 1307, spark line 1308, and correspondence priority score 1309 are displayed.
  • ID 1301, country name 1302, industry 1303, organization size 1304, organization inside and outside 1305, destination port / protocol 1306, and detection time 1307 are ID 201 of the entry of the change point detection data 122 corresponding to the event, respectively.
  • ID 201 corresponds to the country name 202, the industry 203, the organization size 204, the inside and outside of the organization 205, the destination port / protocol 206, and the detection time 207.
  • Sparkline 1308 is a graph (eg, line graph) of observed darknet traffic transitions corresponding to entries.
  • the response priority score 1309 is a countermeasure priority score calculated by the countermeasure priority score calculation process for the entry event.
  • the score breakdown screen 1400 (see FIG. 14) is performed by performing a selection operation (for example, a click operation with the mouse of the input / output device 106) on the displayed countermeasure priority score 1309. ) And the detailed information presentation screen 1500 (see FIG. 15) can be further displayed.
  • the observer can easily grasp the countermeasure priority score for each event in which the change point is detected, and appropriately determine which event should be dealt with. Can be done.
  • FIG. 14 is a diagram showing an example of a score breakdown screen according to one embodiment.
  • the score breakdown screen 1400 is a screen that displays the breakdown of the countermeasure priority score of the event selected by the selection operation on the countermeasure priority score presentation screen 1300.
  • Each index 1401 and the score 1402 are displayed on the score breakdown screen 1400.
  • the index 1401 is each index for calculating the countermeasure priority score.
  • the score 1402 is a score for each index 1401.
  • the score breakdown screen 1400 it is possible to confirm the score for each index, which is the breakdown of the countermeasure priority score.
  • FIG. 15 is a diagram showing an example of a detailed information presentation screen according to an embodiment.
  • the detailed information presentation screen 1500 displays the traffic transition 1501, the connection source IP top 1502, the darknet correlation score 1503, the honeypot log 1504, the cyber threat intelligence 1505, and the CVE candidate 1506.
  • Traffic transition 1501 is a graph showing the transition of observed darknet traffic for the selected event.
  • the connection source IP top 1502 is information about the IP address of the source whose access count is high for the selected event.
  • the connection source IP top 1502 includes, for example, information on the date and time, the total number, the source IP, the IP blacklist, and the number of accesses.
  • the date and time is the start time of counting the number of accesses.
  • the total number is the total number of darknet traffic observed.
  • the source IP is the IP address of the source.
  • the IP blacklist is information on whether or not the source IP is registered in the IP blacklist data 121.
  • the number of accesses is the number of traffic for each source IP.
  • the darknet correlation score 1503 is information regarding the correlation score for the selected event.
  • the information regarding the correlation score may include the information contained in the entry of the correlation score data 115 and the inside and outside of the organization 205 of the entry of the change point detection data 122 corresponding to the event.
  • Honeypot log 1504 is a log of honeypots corresponding to the selected event. The honeypot log is similar to the information contained in the entry in the honeypot log data 116.
  • Cyber threat intelligence 1505 is information on cyber threat intelligence corresponding to a selected event. The information on cyber threat intelligence is similar to the information contained in the entry for cyber threat intelligence data 117.
  • CVE candidate 1506 is information on the CVE candidate corresponding to the selected attack. The CVE candidate 1506 includes information contained in the entry of the vulnerability data 118 and information indicating whether or not the configuration corresponding to CVE is included in the own organization.
  • the product name 302 is narrowed down to two, "product AAA” and "product BBB”.
  • the entry whose attack name 405 is "attack A" is extracted from the honeypot log data 116.
  • the correlation score is 1, and for example, if the threshold value of the correlation score is set to 0.8, the correlation score is equal to or higher than the threshold value, so that it is determined to be true (Yes). Then, in step 1201b, the countermeasure priority score is increased.
  • step 1205 since the entry of the threat intelligence data was not extracted in step 1006, it is determined as false (No), and step 1201d is not executed, and the process proceeds to step 1206.
  • step 1011 the countermeasure priority score presentation screen 1300 including the countermeasure priority score is presented.
  • the traffic transition of the destination port / protocol that detected the change point the number of accesses for each source IP, the darknet correlation score with the own organization, the related honeypot log, the related cyber threat intelligence,
  • the relevant CVEs are presented in a list. In this example, the value is not displayed because there is no related cyber threat intelligence.
  • the present invention is not limited to the above-described embodiment as it is, and at the implementation stage, the components can be modified and embodied within a range that does not deviate from the gist thereof.
  • various inventions can be formed by an appropriate combination of the plurality of components disclosed in the above-described embodiment. For example, some components may be removed from all the components shown in the embodiments. In addition, components across different embodiments may be combined as appropriate.
  • the countermeasure priority score is calculated based on the determination of the eight conditions of steps 1202 to 1209, but the present invention is not limited to this, and one or more of these conditions. May be used to calculate the countermeasure priority score.
  • the increase in the countermeasure priority score when one condition is satisfied is set to the same value, but the present invention is not limited to this, and the increase range may be different depending on the condition.
  • the darknet traffic data is aggregated for each port and protocol to detect the increase point, but the present invention is not limited to this, and for example, even if the darknet traffic data is aggregated for each port. It may be aggregated in units of IP addresses.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

ネットワーク監視装置１００において、ＣＰＵ１０２は、ダークネットトラフィックの増加点を検出し、増加点に対応するダークネットトラフィックに関して、自組織内での検知であること、観測地点と自組織との間のダークネットトラフィックの相関スコアが閾値以上であること、送信元ＩＰアドレスがブラックリストに存在すること、脅威インテリジェンスに攻撃情報として存在すること、ハニーポットに対応するログが存在すること、ログが存在するハニーポットが自組織内にあること、対象についてのＣＶＳＳスコアが閾値以上であること、脆弱性を持つ製品が自組織内に存在すること、の内の少なくとも１つの条件に該当するか否かに基づいて、サイバー攻撃への対策の優先度を示す評価値を算出する。

Description

ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラムが記録された記憶媒体
　本発明は、ネットワーク上におけるサイバー攻撃を監視する技術に関する。
　近年、ランサムウェアやＩｏＴ（Ｉｎｔｅｒｎｅｔ　ｏｆ　ｔｈｉｎｇｓ）ボットによる大規模感染に代表される、大規模かつ高度なサイバー攻撃が、企業や国家にとって大きな脅威となっている。サイバー攻撃を事前に防ぐためには、サイバー攻撃の予兆を掴み、自組織がサイバー攻撃を受ける前に防止策を施すことが重要となる。以上の背景から、脆弱性のスキャンや感染活動といった攻撃情報を収集／分析し、事前に対策を施すことが求められている。
　例えば、特許文献１には、サイバー攻撃の分析を容易に行うことを可能とするため、複数種類のサイバー攻撃情報を収集して、サイバー攻撃の特徴情報について、サイバー攻撃の特徴情報が出現するサイバー攻撃の種類の多少を評価するシステムが開示されている。
特開２０１８－１９６０５４号公報
　特許文献１の技術を用いることで、サイバー攻撃の特徴情報（要素）が観測されたサイバー攻撃の種類の数を把握できる。しかし、特許文献１の技術ではＳＴＩＸ（Ｓｔｒｕｃｔｕｒｅｄ　Ｔｈｒｅａｔ　Ｉｎｆｏｒｍａｔｉｏｎ　ｅＸｐｒｅｓｓｉｏｎ）等で整理された情報が共有されるまでに攻撃される可能性がある。また、得られたサイバー攻撃情報のいずれに対する対策を優先すればよいかを容易に把握することができない。
　本発明は、上記事情に鑑みなされたものであり、その目的は、サイバー攻撃の予兆を適切に検出でき、検出されたサイバー攻撃への対策の優先度を適切に算出することのできる技術を提供することにある。
　上記目的を達成するため、一観点に係るネットワーク監視装置は、プロセッサ部を備え、ネットワークにおけるサイバー攻撃を監視するネットワーク監視装置であって、プロセッサ部は、ネットワークにおけるダークネットトラフィックの増加点を検出し、検出された増加点に対応するダークネットトラフィックに関して、ダークネットトラフィックがネットワーク監視装置の所属する組織である自組織内での検知であること、増加点に対応するダークネットトラフィックを観測した観測地点と、自組織との間のダークネットトラフィックの関連性を示す相関スコアが閾値以上であること、送信元ＩＰアドレスがブラックリストに存在すること、脅威インテリジェンスに攻撃情報として存在すること、アクセスに応答するように構成されたハニーポットにダークネットトラフィックと対応するログが存在すること、前記ログが存在するハニーポットが自組織内のハニーポットであること、ダークネットトラフィックの対象についての脆弱性のＣＶＳＳ（Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｓｃｏｒｉｎｇ　Ｓｙｓｔｅｍ）スコアが閾値以上であること、対象となる脆弱性を持つ製品が自組織内に存在すること、の内の少なくとも１つの条件に該当するか否かに基づいて、サイバー攻撃への対策の優先度を示す評価値を算出する。
　本明細書において開示される主題の、少なくとも一つの実施の詳細は、添付されている図面と以下の記述の中で述べられる。開示される主題のその他の特徴、態様、効果は、以下の開示、図面、請求項により明らかにされる。
　本発明によれば、サイバー攻撃の予兆を適切に検出でき、検出されたサイバー攻撃への対策の優先度を適切に算出することができる。
図１は、一実施形態に係る計算機システムの全体構成例を示す図である。 図２は、一実施形態に係る変化点検出データの一例を示す図である。 図３は、一実施形態に係る製品ポートデータの一例を示す図である。 図４は、一実施形態に係るハニーポットログデータの一例を示す図である。 図５は、一実施形態に係るサイバー脅威インテリジェンスデータの一例を示す図である。 図６は、一実施形態に係る脆弱性データの一例を示す図である。 図７は、一実施形態に係る構成データの一例を示す図である。 図８は、一実施形態に係るＩＰブラックリストデータの一例を示す図である。 図９は、一実施形態に係る相関スコアデータの一例を示す図ある。 図１０は、一実施形態に係る対策優先度スコア提示処理のフローチャートの一例である。 図１１は、一実施形態に係る変化点スコア算出処理のシーケンス図の一例である。 図１２は、一実施形態に係る対策優先度スコア算出処理のフローチャートの一例である。 図１３は、一実施形態に係る対策優先度スコア提示画面の一例を示す図である。 図１４は、一実施形態に係るスコア内訳画面の一例を示す図である。 図１５は、一実施形態に係る詳細情報提示画面の一例を示す図である。
　ランサムウェアやＩｏＴボットの脅威に対応するためには、ダークネットトラフィックを分析し、攻撃の予兆をつかみ、自組織がサイバー攻撃を受ける前に防止策を施すことが重要である。しかし、ダークネットトラフィックだけでは攻撃の原因や影響がわからず、どのイベントから優先して対応すべきかが判断できない。そこで、本実施形態では、事前に収集した各種情報と、検知した攻撃の予兆を突合せることにより、攻撃の早期発見、および、攻撃の対策における優先度（対策優先度）の算出を行う。これにより、監視者は、重要なイベントから優先的に対策を行うことが可能となる。
　以下において、実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。
　以下の説明では、「ＡＡＡデータ」の表現にて情報を説明することがあるが、情報は、どのようなデータ構造で表現されていてもよい。すなわち、情報がデータ構造に依存しないことを示すために、「ＡＡＡデータ」を「ＡＡＡ情報」と呼ぶことができる。
　また、以下の説明では、「プロセッサ部」は、１以上のプロセッサを含む。少なくとも１つのプロセッサは、典型的には、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）のようなマイクロプロセッサである。１以上のプロセッサの各々は、シングルコアでもよいしマルチコアでもよい。
　また、以下の説明では、「プログラム」を動作主体として処理を説明する場合があるが、プログラムは、プロセッサ部によって実行されることで、定められた処理を、適宜に記憶部及びインターフェース部のうちの少なくとも１つを用いながら行うため、処理の主語が、プロセッサ部（或いは、プロセッサ部を有する計算機又は計算機システム）とされてもよい。プログラムは、プログラムソースから計算機にインストールされてもよい。プログラムソースは、例えば、プログラム配布サーバ又は計算機が読み取り可能な記憶メディアであってもよい。また、以下の説明において、２以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２以上のプログラムとして実現されてもよい。また、プログラムが実行されることによって実現される処理のうちの少なくとも一部が、ハードウェア回路（例えばＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）又はＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ））によって実現されてもよい。
　図１は、一実施形態に係る計算機システムの全体構成例を示す図である。
　計算機システム１は、ネットワーク監視装置１００と、ダークネット観測装置１３１と、ハニーポット１３２と、ダークネット観測装置１３５と、ハニーポット１３６とを有する。
　ネットワーク監視装置１００と、ダークネット観測装置１３１と、ハニーポット１３２とは、或る組織内に設置されており、組織内のネットワーク１３０を介して接続されている。ネットワーク１３０は、例えば、有線ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）や無線ＬＡＮなどである。
　ダークネット観測装置１３５と、ハニーポット１３６とは、ネットワーク監視装置１００が所属する組織の外（組織外）に設置されており、ネットワーク１３４を介して接続されている。ネットワーク１３４は、例えば、有線ＬＡＮや無線ＬＡＮなどである。
　ネットワーク１３０と、ネットワーク１３４とは、インターネット１３３を介して接続されている。したがって、ネットワーク監視装置１００は、ネットワーク１３０、インターネット１３３、及びネットワーク１３４を介して、ダークネット観測装置１３５及びハニーポット１３６と通信可能となっている。なお、インターネット１３３には、図示しない種々の計算機が接続されている。
　ダークネット観測装置１３１は、例えば、自装置にＩＰパケットが到達可能なダークネットに対するトラフィック（ダークネットトラフィック）を観測する。ここで、ダークネットとは、インターネット上で到達可能なＩＰアドレスのうち、特定のホストが割り当てられていないアドレス空間のことをいう。ダークネット観測装置１３１は、ダークネットの内の組織内のアドレス空間に対するＩＰパケットを受信可能である。
　ダークネット観測装置１３５は、例えば、自装置にＩＰパケットが到達可能なダークネットに対するトラフィックを観測する。ダークネット観測装置１３５は、インターネット上に存在するダークネットの内のダークネット観測装置１３５が所属する組織内のアドレス空間に対するＩＰパケットを受信可能である。
　ハニーポット１３２、ハニーポット１３６は、サイバー攻撃のおとり用の装置であり、自装置宛のＩＰパケットを受信し、ＩＰパケットに対して応答を返す。
　ネットワーク監視装置１００は、通信インターフェース（通信ＩＦ）１０１と、プロセッサ部の一例としてのＣＰＵ１０２と、入出力インターフェース（入出力ＩＦ）１０３と、メインメモリ１０４と、記憶装置１０５と、各部１０１～１０５を接続する通信路１０７とを備える。
　通信路１０７は、例えば、バスやケーブルなどの情報伝達媒体である。
　通信ＩＦ１０１は、例えば、有線ＬＡＮカードや無線ＬＡＮカードなどのインターフェースであり、ネットワーク１３０、インターネット１３３、及びネットワーク１３４を介して他の装置（例えば、ハニーポット１３２，１３６、ダークネット観測装置１３１，１３５）と通信する。入出力ＩＦ１０３は、キーボード、ディスプレイなどの入出力を行うための入出力装置１０６と接続され、データの入出力を仲介する。
　メインメモリ１０４は、例えば、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）であり、ＣＰＵ１０２で実行されるプログラムや、必要なデータを記憶する。本実施形態では、メインメモリ１０４は、情報収集プログラム１０８と、変化点検出プログラム１０９と、相関スコア算出プログラム１１０と、データフィルタリングプログラム１１１と、対策優先度スコア算出プログラム１１２と、対策優先度スコア提示プログラム１１３とを記憶する。
　ＣＰＵ１０２は、メインメモリ１０４及び／又は記憶装置１０５に格納されているプログラムに従って各種処理を実行する。
　ＣＰＵ１０２は、情報収集プログラム１０８を実行することにより、ダークネットトラフィックデータ、ハニーポットログデータ、サイバー脅威インテリジェンスデータ、脆弱性データ、製品ポートデータ、構成データ、ＩＰブラックリストデータについてのデータを収集し、記憶装置１０５へ保存する処理を行う。ＣＰＵ１０２は、変化点検出プログラム１０９を実行することによりダークネットトラフィックデータの変化点を検出する処理を行う。
　ＣＰＵ１０２は、相関スコア算出プログラム１１０を実行することにより、他組織と自組織のダークネットトラフィックの相関スコアを算出する処理を行う。ＣＰＵ１０２は、データフィルタリングプログラム１１１を実行することにより、変化点検出データと各種データとの突合せ処理を行う。ＣＰＵ１０２は、対策優先度スコア算出プログラム１１２を実行することにより、対策優先度スコアを算出する処理（対策優先度スコア算出処理：図１２参照）を行う。ＣＰＵ１０２は、対策優先度スコア提示プログラム１１３を実行することにより、対策優先度スコアをネットワーク監視装置１００を使用する監視者に提示する処理を行う。
　記憶装置１０５は、例えば、ＨＤＤ（ハードディスクドライブ）やＳＳＤ（ソリッドステートドライブ）などであり、ＣＰＵ１０２で実行されるプログラムや、ＣＰＵ１０２に利用されるデータを記憶する。
　本実施形態では、記憶部１０５は、ダークネットトラフィックデータ１１４と、相関スコアデータ１１５と、ハニーポットログデータ１１６と、サイバー脅威インテリジェンスデータ１１７と、脆弱性データ１１８と、製品ポートデータ１１９と、構成データ１２０と、ＩＰブラックリストデータ１２１と、変化点検出データ１２２とを記憶する。
　ダークネットトラフィックデータ１１４は、組織内のダークネット観測装置１３１及び組織外のダークネット観測装置１３５から得られるデータである。相関スコアデータ１１５は、相関スコア算出プログラム１１０により算出される組織内外のダークネットトラフィックデータの相関スコアのデータである。ハニーポットログデータ１１６は、組織内のハニーポット１３２及び組織外のハニーポット１３６から得られるデータである。サイバー脅威インテリジェンスデータ１１７は、セキュリティ研究者などにより提供されるデータである。脆弱性データ１１８は、公的機関などが提供しているデータである。製品ポートデータ１１９は、製品名とその製品の利用ポートとの対応を示すデータである。構成データ１２０は、組織内にある製品名とその製品のバージョンとのデータである。ＩＰブラックリストデータ１２１は、リスクの高いＩＰアドレスをリスト（ブラックリスト）化したデータである。変化点検出データ１２２は、ダークネットトラフィックの変化点を検出したイベントをリスト化したデータである。
　上記したプログラムやデータは、予めメインメモリ１０４または記憶装置１０５に格納されていてもよいし、必要な時に、入出力ＩＦ１０３を介して入出力装置１０６から、または、通信ＩＦ１０１を介して他の装置からインストール（又はロード）されてもよい。
　次に、記憶装置１０５に格納されている各種データについて詳細に説明する。
　ダークネットトラフィックデータ１１４は、各ダークネット観測装置１３１，１３５において受信（観測）されたＩＰパケットに対応するエントリを含む。ダークネットトラフィックデータ１１４のエントリは、例えば、ダークネット観測装置ＩＤと、宛先Ｐｏｒｔ／プロトコルと、検出時刻と、送信元ＩＰとを含む。ダークネット観測装置ＩＤは、エントリに対応するＩＰパケットを受信したダークネット観測装置のＩＤである。宛先Ｐｏｒｔ／プロトコルは、ＩＰパケットの対象とする宛先のポート及びプロトコルである。検出時刻は、ＩＰパケットを受信した時刻である。送信元ＩＰは、ＩＰパケットの送信元のＩＰアドレスである。
　図２は、一実施形態に係る変化点検出データの一例を示す図である。
　変化点検出データ１２２は、ダークネットトラフィックの変化点を検出したイベント（事象：攻撃又は攻撃の予兆）を要約したエントリを含む。変化点検出データ１２２のエントリは、ＩＤ２０１と、国名２０２と、業界２０３と、組織規模２０４と、組織内外２０５と、宛先ｐｏｒｔ／プロトコル２０６と、検出時刻２０７と、送信元ＩＰ２０８と、を含む。
　ＩＤ２０１は、変化点検出データ１２２の１つのエントリを一意に識別できる識別子である。国名２０２は、変化点を検出したダークネット観測装置が設置されている国名である。業界２０３は、変化点を検出したダークネット観測装置が設置されている組織に対応する業界である。組織規模２０４は、変化点を検出したダークネット観測装置が設置されている組織の規模（組織規模）である。組織内外２０５は、変化点を検出したダークネット観測装置が設置されているのが、ネットワーク監視装置１００の属する組織に対して組織内外のいずれであるかを表す。宛先ｐｏｒｔ／プロトコル２０６は、ダークネットトラフィックにおける宛先ｐｏｒｔ番号及びプロトコルである。検出時刻２０７は、変化点を検出した時刻である。送信元ＩＰ２０８は、ダークネットトラフィックの送信元のＩＰアドレス（送信元ＩＰアドレス：送信元ＩＰということもある）である。
　なお、送信元ＩＰ２０８は、ダークネットトラフィックのすべてのＩＰパケットの送信元ＩＰアドレスでもよいし、アクセス数を降順にソートした結果での上位のいくつかの送信元ＩＰアドレスであってよい。
　変化点検出データ１２２は、相関スコア算出プログラム１１０が相関スコアを算出する処理や、対策優先度スコア算出プログラム１１２が対策優先度スコアを算出する処理で利用される。対策優先度スコア算出プログラム１１２の具体的な処理については、図１２を用いて後述する。
　図３は、一実施形態に係る製品ポートデータの一例を示す図である。
　製品ポートデータ１１９は、ｐｏｒｔ番号及びプロトコルから製品名を判断するためのデータであり、製品ポートデータ１１９のエントリは、ｐｏｒｔ／プロトコル３０１と、製品名３０２と、を含む。ｐｏｒｔ／プロトコル３０１は、ｐｏｒｔ番号及びプロトコル情報である。製品名３０２は、エントリにおけるｐｏｒｔ／プロトコル３０１を利用する製品名である。
　製品ポートデータ１１９において、同一のｐｏｒｔ／プロトコルに対して複数の製品名が対応付けられていてもよい。製品ポートデータ１１９の各エントリは、情報収集プログラム１０８により定期的に収集／更新されてもよく、または、監視者により必要に応じて、入力または更新されてもよい。
　製品ポートデータ１１９は、ＣＰＵ１０２により実行される対策優先度スコア算出プログラム１１２が、対策優先度スコアを算出する処理で使用される。対策優先度算出プログラム１１２の具体的な処理については、図１２を用いて後述する。
　図４は、一実施形態に係るハニーポットログデータの一例を示す図である。
　ハニーポットログデータ１１６のエントリは、組織内外４０１と、時刻４０２と、宛先ｐｏｒｔ／プロトコル４０３と、送信元ＩＰ４０４と、攻撃名４０５とを含む。組織内外４０１は、ハニーポットが設置されているのが組織内外のいずれであるかを表す。時刻４０２は、ハニーポットログが生成された際のタイムスタンプである。宛先ｐｏｒｔ／プロトコル４０３は、ハニーポットへ送信されたＩＰパケットの宛先ｐｏｒｔ及びプロトコルである。送信元ＩＰ４０４は、ハニーポットログにおける送信元ＩＰアドレス、すなわち、ハニーポットへのＩＰパケットの送信元のＩＰアドレスである。攻撃名４０５は、ハニーポットに対する具体的な攻撃名である。なお、ハニーポットログデータ１１６は、情報収集プログラム１０８により定期的に収集／更新される。
　ハニーポットログデータ１１６は、対策優先度スコア算出プログラム１１２が、対策優先度スコアを算出する処理で使用される。対策優先度算出プログラム１１２の具体的な処理については、図１２を用いて後述する。
　図５は、一実施形態に係るサイバー脅威インテリジェンスデータの一例を示す図である。
　サイバー脅威インテリジェンスデータ１１７のエントリは、登録時刻５０１と、製品名５０２と、送信元ＩＰ５０３と、宛先ｐｏｒｔ／プロトコル５０４と、ＣＶＥ（Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ　ａｎｄ　Ｅｘｐｏｓｕｒｅｓ）５０５とを含む。
　登録時刻５０１は、エントリに対応するデータが登録された時刻である。製品名５０２は、攻撃の対象である製品名である。送信元ＩＰ５０３は、攻撃の接続元のＩＰアドレスである。宛先ｐｏｒｔ／プロトコル５０４は、攻撃対象のポート番号及びプロトコルである。ＣＶＥ５０５は、攻撃に利用された脆弱性のＣＶＥ番号である。
　なお、サイバー脅威インテリジェンスデータ１１７の各エントリは、情報収集プログラム１０８により定期的に収集／更新されてもよく、監視者により必要に応じて入力または更新されてもよい。
　サイバー脅威インテリジェンスデータ１１７は、対策優先度スコア算出プログラム１１２が、対策優先度スコアを算出する処理で使用される。対策優先度算出プログラム１１２の具体的な処理については、図１２を用いて後述する。
　図６は、一実施形態に係る脆弱性データの一例を示す図である。
　脆弱性データ１１８のエントリは、ＣＶＥ６０１と、ＣＶＳＳスコア６０２と、登録時刻６０３と、製品名６０４と、該当バージョン６０５とを含む。
　ＣＶＥ６０１は、ＣＶＥである。ＣＶＳＳスコア６０２は、エントリのＣＶＥ６０１に対応するＣＶＳＳスコアである。登録時刻６０３は、ＣＶＥが登録された時刻である。製品名６０４は、ＣＶＥ６０１に該当する製品の名前（製品名）である。該当バージョン６０５は、ＣＶＥ６０１に該当する製品のバージョンである。
　なお、脆弱性データ１１８の各エントリは、情報収集プログラム１０８により定期的に収集／更新されてもよく、または、監視者により必要に応じて、入力または更新されてもよい。
　脆弱性データ１１８は、対策優先度スコア算出プログラム１１２が、対策優先度スコアを算出する処理で使用される。対策優先度スコア算出プログラム１１２の具体的な処理については、図１２を用いて後述する。
　図７は、一実施形態に係る構成データの一例を示す図である。
　構成データ１２０の各エントリは、製品名７０１と、バージョン７０２と、を含む。製品名７０１は、組織内に導入されている製品の製品名である。バージョン７０２は、エントリの製品名７０１のバージョンである。
　なお、構成データ１２０の各エントリは、情報収集プログラム１０８により定期的に収集／更新されてもよく、または、監視者により必要に応じて、入力または更新されてもよい。
　構成データ１２０は、対策優先度スコア算出プログラム１１２が、対策優先度スコアを算出する処理で利用される。対策優先度スコア算出プログラム１１２の具体的な処理については、図１２を用いて後述する。
　図８は、一実施形態に係るＩＰブラックリストデータの一例を示す図である。
　ＩＰブラックリストデータ１２１のエントリは、ＩＰアドレス８０１を含む。ＩＰアドレス８０１は、攻撃を行うリスクの高いＩＰアドレスである。
　なお、ＩＰブラックリストデータ１２１の各エントリは、情報収集プログラム１０８により定期的に収集／更新されてもよく、または、監視者により必要に応じて、入力または更新されてもよい。
　ＩＰブラックリストデータ１２１は、対策優先度スコア算出プログラム１１２が、対策優先度スコアを算出する処理で使用される。対策優先度スコア算出プログラム１１２の具体的な処理については、図１２を用いて後述する。
　図９は、一実施形態に係る相関スコアデータの一例を示す図ある。
　相関スコアデータ１１５のエントリは、国名９０１と、業界９０２と、組織規模９０３と、相関スコア９０４とを含む。国名９０１は、相関スコアの算出対象であるダークネット観測装置が存在する国の国名である。業界９０２は、相関スコアの算出対象であるダークネット観測装置を設置している組織の業界である。組織規模９０３は、相関スコアの算出対象であるダークネット観測装置を設置している組織の規模である。相関スコア９０４は、エントリに対応するダークネット観測装置のダークネットトラフィックとの相関を示すスコア（相関スコア）である。この相関スコアは、相関スコア算出プログラム１１０により算出される。
　なお、相関スコアデータ１１５のエントリは、監視者により必要に応じて、入力または更新されてもよい。
　相関スコアデータ１１５は、対策優先度スコア算出プログラム１１２が、対策優先度スコアを算出する処理で使用される。対策優先度スコア算出プログラム１１２の具体的な処理については、図１２を用いて後述する。
　次に、一実施形態に係る計算機システム１における対策優先度スコア提示処理について説明する。
　図１０は、一実施形態に係る対策優先度スコア提示処理のフローチャートである。
　まず、変化点検出プログラム１０９（厳密には、変化点検出プログラム１０９を実行するＣＰＵ１０２）は、ダークネットトラフィックの変化点スコアを算出する変化点スコア算出処理（図１１参照）を実行する（ステップ１００１）。
　次に、ステップ１００１で変化点スコアが算出されたダークネットトラフィックの対象ごとに、以下のステップ１００２～ステップ１０１１の処理を実行する。
　変化点検出プログラム１０９は、変化点スコア算出処理により算出された変化点スコアが、予め設定されている閾値を超えているか否かを判定する（ステップ１００２）。
　この結果、変化点スコアが閾値を超えていない場合（ステップ１００２：Ｎｏ）には、ダークネットトラフィックの増加点ではないことを示しているので、変化点検出プログラム１０９は、処理を終了する。
　一方、変化点スコアが閾値を超えている場合（ステップ１００２：Ｙｅｓ）は、変化点検出プログラム１０９は、変化点スコアが閾値を超えているダークネットトラフィックデータ１１４に基づいて、変化点検出データ１２２のエントリを生成し、記憶装置１０５に格納する（ステップ１００３）。
　次いで、変化点検出プログラム１０９は、相関スコア算出プログラム１１０を起動し、起動された相関スコア算出プログラム１１０は、自組織内のダークネットトラフィックと、生成した変化点検出データ１２２のエントリについての観測地点（ダークネット観測装置：対象観測地点という）のダークネットトラフィックとの間の相関スコアを算出し、対象観測地点に対応する相関スコアデータ１１５のエントリの相関スコアを、算出した相関スコアに更新する（ステップ１００４）。
　具体的には、相関スコア算出プログラム１１０は、以下の式（１）に従って相関スコアを算出する。
　　　　相関スコア＝Ｍ／Ｎ・・・（１）
　ここで、Ｎは、対象観測地点において、過去（例えば、過去の所定の期間（例えば１年）以内）に検出された宛先ｐｏｒｔ／プロトコルのユニーク値（重複を排除した値）の数であり、Ｍは、自組織内で過去（例えば、過去の所定の期間（例えば１年）以内）に検出された宛先ｐｏｒｔ／プロトコルのユニーク値と、対象観測地点で過去に検出された宛先ｐｏｒｔ／プロトコルのユニーク値とで共通する宛先ｐｏｒｔ／プロトコルのユニーク値の数である。
　この相関スコアは、対象観測地点で発生するダークネットトラフィックと、自組織で発生するダークネットトラフィックとの相関関係を示しており、相関スコアが高いほど、対象観測地点と同じ攻撃が、自組織に対して行われる可能性が高いことを意味している。
　次に、データフィルタリングプログラム１１１が、変化点検出データ１２２と製品ポートデータ１１９を突合せることにより、ダークネットトラフィックの対象と想定される製品名の絞り込みを行う（ステップ１００５）。具体的には、データフィルタリングプログラム１１１は、変化点検出データ１２２のエントリの宛先ｐｏｒｔ／プロトコル２０６と、製品ポートデータ１１９のエントリの宛先ｐｏｒｔ／プロトコル３０１とを突合わせる。
　次に、データフィルタリングプログラム１１１は、変化点検出データ１２２とサイバー脅威インテリジェンスデータ１１７とを突合せることにより、ダークネットトラフィックに関するＣＶＥの絞り込みを行う（ステップ１００６）。具体的には、データフィルタリングプログラム１１１は、変化点検出データ１２２のエントリの宛先ｐｏｒｔ／プロトコル２０６と、サイバー脅威インテリジェンスデータ１１７のエントリの宛先ｐｏｒｔ／プロトコル５０４との突合せ、変化点検出データ１２２のエントリの送信元ＩＰ２０８とサイバー脅威インテリジェンスデータ１１７のエントリの送信元ＩＰ５０３との突合せ、ステップ１００５で得られた製品名とサイバー脅威インテリジェンスデータ１１７のエントリの製品名５０２との突合せのいずれかを行うか、あるいはそれらを組み合わせて行う。
　次に、データフィルタリングプログラム１１１は、変化点検出データ１２２とハニーポットログデータ１１６を突合せることにより、ハニーポットログデータ１１６のうちのダークネットトラフィックの増加点への攻撃の予兆に対応するエントリ（ハニーポットログ）の絞り込みを行う（ステップ１００７）。具体的には、データフィルタリングプログラム１１１は、変化点検出データ１２２のエントリの宛先ｐｏｒｔ／プロトコル２０６とハニーポットログデータ１１６のエントリの宛先ｐｏｒｔ／プロトコル４０３との突合せ、変化点検出データ１２２のエントリの送信元ＩＰ２０８とハニーポットログデータ１１６のエントリの送信元ＩＰ４０４の突合せのいずれかを行うか、あるいはそれらを組み合わせて行う。なお、ハニーポットログデータ１１６の攻撃名４０５が不明なエントリについては、絞り込みの対象から除外する。
　次に、データフィルタリングプログラム１１１は、変化点検出データ１２２と脆弱性データ１１８を突合せることにより、脆弱性データ１１８の増加点におけるアクセス対象の製品に対応するエントリの絞り込みを行う（ステップ１００８）。具体的には、データフィルタリングプログラム１１１は、ステップ１００５で得られた製品名と、脆弱性データ１１８のエントリの製品名６０４とを突き合わせる。
　次に、データフィルタリングプログラム１１１は、変化点検出データ１２２と構成データ１２０を突合せることにより、自組織における脆弱性が含まれる製品の絞り込みを行う（ステップ１００９）。具体的には、データフィルタリングプログラム１１１は、ステップ１００８で得られたエントリの製品名６０４と該当バージョン６０５との組み合わせと、脆弱性データ１１８のエントリの製品名７０１とバージョン７０２との組み合わせとを突き合わせる。
　次に、対策優先度スコア算出プログラム１１２は、ステップ１００３からステップ１００９の処理で得られた結果を受信して、対策優先度スコアを算出する対策優先度スコア算出処理（図１２参照）を実行する（ステップ１０１０）。
　次に、対策優先度スコア提示プログラム１１３は、対策優先度スコア算出処理で得られた結果を受信し、対策優先度スコアに関する情報を含む対策優先度スコア提示画面１３００（図１３参照）を入出力装置１０６等に表示し（ステップ１０１１）、処理を終了する。
　次に、変化点スコア算出処理（ステップ１００１）について詳細に説明する。
　図１１は、一実施形態に係る変化点スコア算出処理のシーケンス図である。
　まず、情報収集プログラム１０８（厳密には、情報収集プログラム１０８を実行するＣＰＵ１０２）は、組織外のダークネット観測装置１３５に対して、観測結果の送信要求（観測結果要求）を送信する（ステップ１１０１ａ）。次に、ダークネット観測装置１３５は、観測結果要求を受信すると、自身が観測したダークネットトラフィックデータを情報収集プログラム１０８に送信する（ステップ１１０２ａ）。次に、情報収集プログラム１０８は、ダークネット観測装置１３５から受信したダークネットトラフィックデータを記憶装置１０５に書き込む（ステップ１１０３ａ）。
　次に、変化点検出プログラム１０９は、記憶装置１０５に対して、ダークネットトラフィックデータの送信要求を送る（ステップ１１０４ａ）。次に、送信要求を受け取った記憶装置１０５は、記録したダークネットトラフィックデータを変化点検出プログラム１０９に送信する（ステップ１１０５ａ）。
　次に、変化点検出プログラム１０９は、受信したダークネットトラフィックデータを宛先ポート／プロトコル毎に集計し、集計結果が過去データと比較してどれほど変化したのかを示す指標である変化点スコアを算出する（ステップ１１０６ａ）。ここで、変化点スコアは、例えば、過去データの集計結果（集計数）に対する、今回の集計結果（集計数）の割合でもよい。
　次に、組織内のダークネット観測装置１３１を対象として、組織外のダークネット観測装置１３５に対する処理から始まる処理（ステップ１１０１ａ～１１０６ａ）と同様な処理を行う（ステップ１１０１ｂ～１１０６ｂ）。
　次に、対策優先度スコア算出処理（ステップ１０１１）について詳細に説明する。
　図１２は、一実施形態に係る対策優先度スコア算出処理のフローチャートである。
　対策優先度スコア算出プログラム１１２は、変化点検出データ１２２の各エントリを対象に、対策優先度スコア算出処理を実行する。ここで、変化点検出データ１２２の処理対象のエントリを対象エントリということとする。
　まず、対策優先度スコア算出プログラム１１２（厳密には、対策優先度スコア算出プログラム１１２を実行するＣＰＵ１０２）は、対象エントリの組織内外２０５が組織内外のいずれであるかを判定する（ステップ１２０２）。判定の結果、組織内外２０５が組織内である場合（ステップ１２０２：Ｙｅｓ）、対策優先度スコア算出プログラム１１２は、組織内のダークネットに対するアクセスであることを示す自組織内ダークネット指標のスコアを上昇（１加算）させ、対象エントリに対する対策優先度スコアを上昇（例えば、１加算）させ（ステップ１２０１ａ）、処理をステップ１２０３に進める。一方、判定の結果、組織内外２０５が組織内でない場合（ステップ１２０２：Ｎｏ）、対策優先度スコア算出プログラム１１２は、処理をステップ１２０３に進める。
　ステップ１２０３では、対策優先度スコア算出プログラム１１２は、対象エントリに対応する相関スコアデータ１１５のエントリの相関スコア９０４が予め定めた所定の閾値以上であるか否かを判定する。判定の結果、相関スコア９０４が閾値以上である場合（ステップ１２０３：Ｙｅｓ）、対策優先度スコア算出プログラム１１２は、相関スコアが閾値以上であることを示す相関指標のスコアを上昇（例えば、１加算）させ、対象エントリに対する対策優先度スコアを上昇（例えば、１加算）させ（ステップ１２０１ｂ）、処理をステップ１２０４に進める。一方、相関スコア９０４が閾値以上でない場合（ステップ１２０３：Ｎｏ）、対策優先度スコア算出プログラム１１２は、処理をステップ１２０４に進める。
　ステップ１２０４では、対策優先度スコア算出プログラム１１２は、対象エントリの送信元ＩＰ２０８が、ＩＰブラックリストデータ１２１のエントリのＩＰアドレス８０１に含まれているか否かを判定する。判定の結果、送信元ＩＰ２０８がＩＰアドレス８０１に含まれている場合（ステップ１２０４：Ｙｅｓ）、対策優先度スコア算出プログラム１１２は、ＩＰブラックリストに含まれていることを示すＩＰブラックリスト指標のスコアを上昇（例えば、１加算）させ、対象エントリに対する対策優先度スコアを上昇（例えば、１加算）させ（ステップ１２０１ｃ）、処理をステップ１２０５に進める。一方、送信元ＩＰ２０８がＩＰアドレス８０１に含まれていない場合（ステップ１２０４：Ｎｏ）、対策優先度スコア算出プログラム１１２は、処理をステップ１２０５に進める。
　ステップ１２０５では、対策優先度スコア算出プログラム１１２は、ステップ１００６における絞り込みによって、対象エントリに対応するサイバー脅威インテリジェンスデータ１１７のエントリが存在するか否かを判定する。判定の結果、関連するサイバー脅威インテリジェンスデータ１１７のエントリが存在する場合（ステップ１２０５：Ｙｅｓ）、対策優先度スコア算出プログラム１１２は、サイバー脅威インテリジェンスのエントリが存在することを示す脅威インテリジェンス指標のスコアを上昇（例えば、１加算）させ、対象エントリに対する対策優先度スコアを上昇（例えば、１加算）させ（ステップ１２０１ｄ）、処理をステップ１２０６に進める。一方、関連するサイバー脅威インテリジェンスデータのエントリが存在しない場合（ステップ１２０５：Ｎｏ）、対策優先度スコア算出プログラム１１２は、処理をステップ１２０６に進める。
　ステップ１２０６では、対策優先度スコア算出プログラム１１２は、ステップ１００７における絞り込みの結果に基づいて、対象エントリに関連するハニーポットログデータ１１６のエントリが存在するか否かを判定する。判定の結果、関連するハニーポットログデータ１１６のエントリが存在する場合（ステップ１２０６：Ｙｅｓ）、対策優先度スコア算出プログラム１１２は、関連するハニーポットログデータのエントリが存在することを示すハニーポット指標のスコアを上昇（例えば、１加算）させ、対象エントリに対する対策優先度スコアを上昇（例えば、１加算）させ（ステップ１２０１ｅ）、処理をステップ１２０７に進める。一方、関連するハニーポットログデータのエントリが存在しない場合（ステップ１２０６：Ｎｏ）、対策優先度スコア算出プログラム１１２は、処理をステップ１２０８に進める。
　ステップ１２０７では、対策優先度スコア算出プログラム１１２は、対象エントリに関連するハニーポットログデータ１１６のエントリが、自組織内のハニーポット１３２のデータであるか否かを判定する。判定の結果、関連するハニーポットログデータ１１６のエントリが、自組織内のハニーポット１３２のデータである場合（ステップ１２０７：Ｙｅｓ）、対策優先度スコア算出プログラム１１２は、関連するハニーポットログデータのエントリが自組織内のハニーポット１３２のデータであることを示す自組織内ハニーポット指標のスコアを上昇（例えば、１加算）させ、対象エントリに対する対策優先度スコアを上昇（例えば、１加算）させ（ステップ１２０１ｆ）、処理をステップ１２０８に進める。一方、関連するハニーポットログデータのエントリが自組織内のハニーポット１３２のデータでない場合（ステップ１２０７：Ｎｏ）、対策優先度スコア算出プログラム１１２は、処理をステップ１２０８に進める。
　ステップ１２０８では、対策優先度スコア算出プログラム１１２は、対象エントリに関連する脆弱性データ１１８のエントリのＣＶＳＳスコアの６０２が予め定められた閾値以上であるか否かを判定する。判定の結果、ＣＶＳＳスコア６０２が閾値以上である場合（ステップ１２０８：Ｙｅｓ）、対策優先度スコア算出プログラム１１２は、ＣＶＳＳスコアが閾値以上であることを示すＣＶＳＳ指標のスコアを上昇（例えば、１加算）させ、対象エントリに対する対策優先度スコアを上昇（例えば、１加算）させ（ステップ１２０１ｇ）、処理をステップ１２０９に進める。一方、ＣＶＳＳスコア６０２が閾値以上でない場合（ステップ１２０８：Ｎｏ）、対策優先度スコア算出プログラム１１２は、処理をステップ１２０９に進める。
　ステップ１２０９では、対策優先度スコア算出プログラム１１２は、ステップ１００９での絞り込みの結果に基づいて、脆弱性を持つ製品が自組織内に存在するか否かを判定する。判定の結果、脆弱性を持つ製品が自組織内に存在する場合（ステップ１２０９：Ｙｅｓ）、対策優先度スコア算出プログラム１１２は、脆弱性を持つ製品が自組織内に存在することを示す構成情報指標のスコアを上昇（例えば、１加算）させ、対象エントリに対する対策優先度スコアを上昇（例えば、１加算）させ（ステップ１２０１ｈ）、処理を終了する。一方、脆弱性を持つ製品が自組織内に存在しない場合（ステップ１２０９：Ｎｏ）、対策優先度スコア算出プログラム１１２は、処理を終了する。
　この対策優先度スコア算出処理によると、変化点検出データ１２２の各エントリに対応する事象（攻撃又は攻撃の予兆）についての対策優先度スコアを適切に算出することができる。
　次に、対策優先度スコア提示画面１３００について説明する。
　図１３は、一実施形態に係る対策優先度スコア提示画面の一例を示す図である。
　対策優先度スコア提示画面１３００には、ダークネットトラフィックの変化点が検出されたそれぞれの事象（攻撃又は攻撃の予兆）についてのＩＤ１３０１と、国名１３０２と、業界１３０３と、組織規模１３０４と、組織内外１３０５と、宛先ｐｏｒｔ／プロトコル１３０６と、検出時刻１３０７と、スパークライン１３０８と、対応優先度スコア１３０９とが表示される。
　ＩＤ１３０１と、国名１３０２と、業界１３０３と、組織規模１３０４と、組織内外１３０５と、宛先ｐｏｒｔ／プロトコル１３０６と、検出時刻１３０７とは、それぞれ、その事象に対応する変化点検出データ１２２のエントリのＩＤ２０１と、国名２０２と、業界２０３と、組織規模２０４と、組織内外２０５と、宛先ｐｏｒｔ／プロトコル２０６と、検出時刻２０７と対応する。スパークライン１３０８は、エントリに対応する観測したダークネットトラフィックの推移のグラフ（例えば、折れ線グラフ）である。対応優先度スコア１３０９は、エントリの事象に対して対策優先度スコア算出処理により算出された対策優先度スコアである。
　対策優先度スコア提示画面１３００においては、表示されている対策優先度スコア１３０９に対して選択操作（例えば、入出力装置１０６のマウスによるクリック操作）を行うことにより、スコア内訳画面１４００（図１４参照）や詳細情報提示画面１５００（図１５参照）をさらに表示させることができる。
　対策優先度スコア提示画面１３００によると、監視者は、変化点が検出された各事象についての対策優先度スコアを容易に把握することができ、いずれの事象から対応すべきかを適切に判断することができる。
　次に、スコア内訳画面１４００について説明する。
　図１４は、一実施形態に係るスコア内訳画面の一例を示す図である。
　スコア内訳画面１４００は、対策優先度スコア提示画面１３００において選択操作により選択された事象の対策優先度スコアの内訳を表示する画面である。スコア内訳画面１４００には、各指標１４０１と、スコア１４０２とが表示される。指標１４０１は、対策優先度スコアを算出するための各指標である。スコア１４０２は、各指標１４０１に対するスコアである。
　スコア内訳画面１４００によると、対策優先度スコアについての内訳である各指標に対するスコアを確認することができる。
　次に、詳細情報提示画面１５００について説明する。
　図１５は、一実施形態に係る詳細情報提示画面の一例を示す図である。
　詳細情報提示画面１５００には、トラフィック推移１５０１と、接続元ＩＰ上位１５０２と、ダークネット相関スコア１５０３と、ハニーポットログ１５０４と、サイバー脅威インテリジェンス１５０５と、ＣＶＥ候補１５０６とが表示される。
　トラフィック推移１５０１は、選択された事象についての観測されたダークネットトラフィックの推移を示すグラフである。接続元ＩＰ上位１５０２は、選択された事象についてのアクセス数が上位の送信元のＩＰアドレスについての情報である。接続元ＩＰ上位１５０２には、例えば、日時、総数、送信元ＩＰ、ＩＰブラックリスト、アクセス数の情報が含まれる。日時は、アクセス数の集計開始時刻である。総数は、観測したダークネットトラフィックの総数である。送信元ＩＰは、送信元のＩＰアドレスである。ＩＰブラックリストは、送信元ＩＰがＩＰブラックリストデータ１２１に登録されているか否かの情報である。アクセス数は、送信元ＩＰ毎のトラフィック数である。
　ダークネット相関スコア１５０３は、選択された事象についての相関スコアに関する情報である。相関スコアに関する情報は、相関スコアデータ１１５のエントリに含まれる情報と、事象に対応する変化点検出データ１２２のエントリの組織内外２０５とを含んでもよい。ハニーポットログ１５０４は、選択された事象に対応するハニーポットのログである。ハニーポットのログは、ハニーポットログデータ１１６のエントリに含まれる情報と同様である。サイバー脅威インテリジェンス１５０５は、選択された事象に対応するサイバー脅威インテリジェンスの情報である。サイバー脅威インテリジェンスの情報は、サイバー脅威インテリジェンスデータ１１７のエントリに含まれる情報と同様である。ＣＶＥ候補１５０６は、選択された攻撃に対応するＣＶＥ候補の情報である。ＣＶＥ候補１５０６は、脆弱性データ１１８のエントリに含まれる情報や、ＣＶＥに対応する構成が自組織内に含まれているか否かを示す情報を含んでいる。
　次に、図１０から図１２に示す処理について具体的な例を挙げて説明する。
　例えば、組織内のダークネット観測装置１３１のｐｏｒｔ４４５／ＴＣＰに対するアクセス数が急変し、ステップ１００１の処理により算出された変化点スコアが閾値以上となった場合には、ステップ１００３において、図２の変化点検出データ１２２のＩＤ２０１＝「１」のエントリが生成される。以下、変化点検出データ１２２のＩＤ２０１＝「１」のエントリが生成された場合の後続の処理について説明する。
　ステップ１００４では、変化点検出データ１２２のＩＤ２０１＝「１」のエントリについては、変化点を検出した観測地点が自組織であるため、相関スコアは１となる。
　ステップ１００５では、変化点検出データ１２２のＩＤ２０１＝「１」のエントリの宛先ｐｏｒｔ／プロトコル２０６の「４４５／ＴＣＰ」と、製品ポートデータ１１９のエントリのｐｏｒｔ／プロトコル３０１とが突合される。この結果、製品名３０２として「製品ＡＡＡ」と「製品ＢＢＢ」との２つに絞り込まれる。
　ステップ１００６では、サイバー脅威インテリジェンスデータ１１７の製品名５０２、送信元ＩＰ５０３、及び宛先ｐｏｒｔ／プロトコル５０４と、ステップ１００５で得られた製品名３０２＝「製品ＡＡＡ」，「製品ＢＢＢ」、変化点検出データ１２２のエントリの送信元ＩＰ２０８＝「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」，「ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ」，「ＣＣＣ．ＣＣＣ．ＣＣＣ．ＣＣＣ」、宛先ｐｏｒｔ／プロトコル２０６＝「４４５／ＴＣＰ」、のそれぞれ、あるいは組み合わせと、が突合される。この結果、該当するものがないため、この例では何も抽出されない。
　ステップ１００７では、ハニーポットログデータ１１６のエントリの宛先ｐｏｒｔ／プロトコル４０３及び送信元ＩＰ４０４と、変化点検出データ１２２のエントリの送信元ＩＰ２０８＝「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」，「ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ」，「ＣＣＣ．ＣＣＣ．ＣＣＣ．ＣＣＣ」、宛先ｐｏｒｔ／プロトコル２０６＝「４４５／ＴＣＰ」、のそれぞれ、あるいは組み合わせとが突合される。この結果、ハニーポットログデータ１１６からは、攻撃名４０５が「攻撃Ａ」のエントリが抽出される。
　ステップ１００８では、脆弱性データ１１８のエントリの製品名６０４と、ステップ１００５で得られた製品名３０２＝「製品ＡＡＡ」，「製品ＢＢＢ」とが突合される。この結果、ＣＶＥ６０１が「ＣＶＥ－２０ＸＸ－ＡＡＡＡ」と、「ＣＶＤ－２０ＸＸ－ＢＢＢＢ」との２つのエントリが抽出される。
　ステップ１００９では、構成データ１２０のエントリの製品名７０１とバージョン７０２の組み合わせと、ステップ１００８で抽出されたエントリの製品名６０４＝「製品ＢＢＢ」と該当バージョン６０５＝「１．Ｘ」，「２．Ｘ」との組み合わせとが突合される。この結果、製品名７０１が「製品ＢＢＢ」である構成データ１２０のエントリが抽出される。
　次に、ステップ１０１０で対策優先度スコア算出処理（図１２）が実行され、ステップ１２０２では、変化点検出データ１２２のＩＤ２０１＝「１」のエントリは、自組織内のダークネット観測装置１３１により検知されたイベントに対応するため、真（Ｙｅｓ）と判定されて、ステップ１２０１ａで対策優先度スコアの上昇が行われる。
　次に、ステップ１２０３では、相関スコアは１であり、例えば、相関スコアの閾値が０．８と設定されているとした場合、相関スコアは、閾値以上であるため、真（Ｙｅｓ）と判定されて、ステップ１２０１ｂで対策優先度スコアの上昇が行われる。
　次に、ステップ１２０４では、変化点検出データ１２２のＩＤ２０１＝「１」のエントリの接続元ＩＰ２０８＝「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」，「ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ」が、ＩＰアドレス８０１に含まれるため、真（Ｙｅｓ）と判定されて、ステップ１２０１ｃで対策優先度スコアの上昇が行われる。
　次に、ステップ１２０５では、ステップ１００６において脅威インテリジェンスデータのエントリが抽出されなかったため、偽（Ｎｏ）と判定されて、ステップ１２０１ｄは実施されずに、処理がステップ１２０６に進む。
　次に、ステップ１２０６では、ステップ１００７においてハニーポットログデータ１１６の攻撃名４０５＝「攻撃Ａ」のエントリが抽出されているため、真（Ｙｅｓ）と判定されて、ステップ１２０１ｅで対策優先度スコアの上昇が行われる。
　次に、ステップ１２０７では、抽出されたハニーポットログデータ１１６のエントリの組織内外４０１＝「組織内」であるため、真（Ｙｅｓ）と判定されて、ステップ１２０１ｆで対策優先度スコアの上昇が行われる。
　次に、ステップ１２０８では、ステップ１００８で抽出されたエントリのＣＶＥ６０１＝「ＣＶＥ－２０ＸＸ－ＡＡＡＡ」が９であり、例えばＣＶＳＳスコアの閾値が８と設定されている場合、ＣＶＳＳスコアが閾値以上であるため、真（Ｙｅｓ）と判定されて、ステップ１２０１ｇで対策優先度スコアの上昇が行われる。
　次に、ステップ１２０９では、構成データ１２０に、脆弱性を含む製品である、製品名６０４＝「製品ＢＢＢ」と該当バージョン６０５＝「１．Ｘ」に対応するエントリが存在する、すなわち、脆弱性を含む製品が自組織内に存在するため、真（Ｙｅｓ）と判定されて、ステップ１２０１ｈで対策優先度スコアの上昇が行われる。この結果、対策優先度スコアは、７となる。これにより、対策優先度スコア算出処理が終了する。
　次に、ステップ１０１１において、対策優先度スコアを含む対策優先度スコア提示画面１３００が提示される。ステップ１０１１においては、対策優先度スコア提示画面１３００において、ＩＤ１３０１＝「１」の行が新たに追加される。
　この対策優先度スコア提示画面１３００において、ＩＤ１３０１＝「１」の行における対策優先度スコアの表示領域が選択指示されると、スコア内訳画面１４００と、詳細情報提示画面１５００とが提示される。
　詳細情報提示画面１５００では、変化点を検出した宛先ｐｏｒｔ／プロトコルのトラフィック推移や、送信元ＩＰ毎のアクセス数、自組織とのダークネット相関スコア、関連するハニーポットログ、関連するサイバー脅威インテリジェンス、関連するＣＶＥが一覧で提示される。なお、本例では、関連するサイバー脅威インテリジェンスが無いため、値が表示されていない。
　なお、組織外のダークネット観測装置１３５で変化点を検出した場合には、上記した組織内のダークネット観測装置１３１で変化点を検出した場合と同様な処理を行う。
　ここで、組織外のダークネット観測装置１３５に対する処理におけるステップ１００４のダークネットトラフィック相関データを更新する処理について、宛先ｐｏｒｔ／プロトコル＝「８０／ＴＣＰ」のダークネットトラフィックが増加し、変化点スコアが閾値以上となった場合を例に説明する。なお、ダークネットトラフィックの観測地点は、国２０２＝「アメリカ」、業界２０３＝「鉄道」、組織規模２０５＝「中」であるとする。また、観測地点では、例えば過去一年間に変化が検出された宛先ｐｏｒｔ／プロトコルが「２３／ＴＣＰ，４４５／ＴＣＰ，７００１／ＴＣＰ，１２３４５／ＴＣＰ」であるとする。
　この例においては、過去一年間に変化が検出された宛先ｐｏｒｔ／プロトコルに対して、今回検出された「８０／ＴＣＰ」を加えたリストが、観測地点における検出リストとなる。したがって、要素数Ｎ＝「５」となる。また、過去一年間に自組織と他組織で共通して検出された宛先ｐｏｒｔ／プロトコルが、「２３／ＴＣＰ，４４５／ＴＣＰ」であるとする。この場合には、要素数Ｍ＝「２」となる。これにより、観測地点と、自組織との相関スコアは、式（１）により、０．４と算出される。
　なお、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
　例えば、上記実施形態では、対策優先度スコアを、ステップ１２０２～ステップ１２０９の８つの条件の判定に基づいて算出するようにしていたが、本発明はこれに限られず、これらの条件の１つ以上を用いて対策優先度スコアを算出するようにしてもよい。また、上記実施形態では、１つの条件を満たした場合の対策優先度スコアの上昇を同一の値としていたが、本発明はこれに限られず、条件に応じて上昇幅を異ならせてもよい。
　また、上記実施形態では、ダークネットトラフィックデータをポート及びプロトコルを単位として集計して、増加点を検出するようにしていたが、本発明はこれに限られず、例えば、ポート単位で集計してもよく、また、ＩＰアドレス単位で集計してもよい。
　１…計算機システム、１００…ネットワーク監視装置、１０２…ＣＰＵ、１０４…メインメモリ、１０５…記憶装置、１３１，１３５…ダークネット観測装置、１３２，１３６…ハニーポット   

 

Claims (13)

  1. 　プロセッサ部を備え、ネットワークにおけるサイバー攻撃を監視するネットワーク監視装置であって、
    　前記プロセッサ部は、
    　ネットワークにおけるダークネットトラフィックの増加点を検出し、
    　検出された増加点に対応するダークネットトラフィックに関して、
    　　ダークネットトラフィックがネットワーク監視装置の所属する組織である自組織内での検知であること、
    　　増加点に対応するダークネットトラフィックを観測した観測地点と、自組織との間のダークネットトラフィックの関連性を示す相関スコアが閾値以上であること、
    　　送信元ＩＰアドレスがブラックリストに存在すること、
    　　脅威インテリジェンスに攻撃情報として存在すること、
    　　アクセスに応答するように構成されたハニーポットに前記ダークネットトラフィックと対応するログが存在すること、
    　　前記ログが存在するハニーポットが自組織内のハニーポットであること、
    　　前記ダークネットトラフィックの対象についての脆弱性のＣＶＳＳスコアが閾値以上であること、
    　　対象となる脆弱性を持つ製品が自組織内に存在すること、の内の少なくとも１つの条件に該当するか否かに基づいて、サイバー攻撃への対策の優先度を示す評価値を算出する、ネットワーク監視装置。
  2. 　前記プロセッサ部は、
    　複数の条件に該当するか否かに基づいて、前記評価値を算出する請求項１に記載のネットワーク監視装置。
  3. 　前記プロセッサ部は、
    　前記相関スコアが閾値以上であることを含む１つ以上の条件に該当するか否かに基づいて、前記評価値を算出する請求項１に記載のネットワーク監視装置。
  4. 　前記プロセッサ部は、
    　前記増加点に対応するダークネットトラフィックの観測地点における過去の対象の種類の数に対する、当該観測地点と前記自組織内とで共通する対象の種類の数に基づいて、前記相関スコアを算出する請求項３に記載のネットワーク監視装置。
  5. 　前記プロセッサ部は、
    　前記ダークネットトラフィックが前記自組織内での検知であることを含む１つ以上の条件に該当するか否かに基づいて、前記評価値を算出する請求項１に記載のネットワーク監視装置。
  6. 　前記プロセッサ部は、
    　脆弱性のＣＶＳＳスコアが閾値以上であること及び脆弱性を持つ製品が自組織内に存在することを含む複数の条件に該当するか否かに基づいて、前記評価値を算出する請求項１に記載のネットワーク監視装置。
  7. 　前記プロセッサ部は、
    　ポート毎に対するダークネットトラフィックの増加点を検出し、ポート毎のダークネットトラフィックに対して、前記１つ以上の条件に該当する否かに基づいて、前記評価値を算出する請求項１に記載のネットワーク監視装置。
  8. 　前記プロセッサ部は、
    　算出した前記評価値を表示させる請求項１に記載のネットワーク監視装置。
  9. 　前記プロセッサ部は、
    　前記評価値の内訳を示す情報を表示させる請求項８に記載のネットワーク監視装置。
  10. 　前記プロセッサ部は、
    　前記ダークネットトラフィックの送信元の情報を表示させる請求項８に記載のネットワーク監視装置。
  11. 　前記プロセッサ部は、
    　複数の前記条件の全てに基づいて前記評価値を算出する請求項１に記載のネットワーク監視装置。
  12. 　ネットワークにおけるサイバー攻撃を監視するネットワーク監視装置によるネットワーク監視方法であって、
    　ネットワークにおけるダークネットトラフィックの増加点を検出し、
    　検出された増加点に対応するダークネットトラフィックに関して、
    　　ダークネットトラフィックがネットワーク監視装置の所属する組織である自組織内での検知であること、
    　　増加点に対応するダークネットトラフィックを観測した観測地点と、自組織との間のダークネットトラフィックの関連性を示す相関スコアが閾値以上であること、
    　　送信元ＩＰアドレスがブラックリストに存在すること、
    　　脅威インテリジェンスに攻撃情報として存在すること、
    　　アクセスに応答するように構成されたハニーポットに前記ダークネットトラフィックと対応するログが存在すること、
    　　前記ログが存在するハニーポットが自組織内のハニーポットであること、
    　　前記ダークネットトラフィックの攻撃対象についての脆弱性のＣＶＳＳスコアが閾値以上であること、
    　　対象となる脆弱性を持つ製品が自組織内に存在すること、の内の少なくとも１つの条件に該当するか否かに基づいて、サイバー攻撃への対策の優先度を示す評価値を算出する、ネットワーク監視方法。
  13. 　プロセッサ部を備え、ネットワークにおけるサイバー攻撃を監視する計算機に実行させるネットワーク監視プログラムが記録された記憶媒体であって、
    　前記計算機に、
    　ネットワークにおけるダークネットトラフィックの増加点を検出させ、
    　検出された増加点に対応するダークネットトラフィックに関して、
    　　ダークネットトラフィックがネットワーク監視装置の所属する組織である自組織内での検知であること、
    　　増加点に対応するダークネットトラフィックを観測した観測地点と、自組織との間のダークネットトラフィックの関連性を示す相関スコアが閾値以上であること、
    　　送信元ＩＰアドレスがブラックリストに存在すること、
    　　脅威インテリジェンスに攻撃情報として存在すること、
    　　アクセスに応答するように構成されたハニーポットに前記ダークネットトラフィックと対応するログが存在すること、
    　　前記ログが存在するハニーポットが自組織内のハニーポットであること、
    　　前記ダークネットトラフィックの対象についての脆弱性のＣＶＳＳスコアが閾値以上であること、
    　　対象となる脆弱性を持つ製品が自組織内に存在すること、の内の少なくとも１つの条件に該当するか否かに基づいて、サイバー攻撃への対策の優先度を示す評価値を算出させる、ネットワーク監視プログラムが記録された記憶媒体。

     
PCT/JP2020/028939 2019-08-21 2020-07-28 ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラムが記録された記憶媒体 WO2021033506A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP20855709.0A EP4020906A4 (en) 2019-08-21 2020-07-28 NETWORK MONITORING DEVICE, NETWORK MONITORING METHOD, AND STORAGE MEDIUM ON WHICH NETWORK MONITORING PROGRAM IS STORED
US17/631,126 US20220279008A1 (en) 2019-08-21 2020-07-28 Network monitoring device, network monitoring method, and storage medium having recorded thereon network monitoring program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019150912A JP7311354B2 (ja) 2019-08-21 2019-08-21 ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラム
JP2019-150912 2019-08-21

Publications (1)

Publication Number Publication Date
WO2021033506A1 true WO2021033506A1 (ja) 2021-02-25

Family

ID=74660797

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/028939 WO2021033506A1 (ja) 2019-08-21 2020-07-28 ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラムが記録された記憶媒体

Country Status (4)

Country Link
US (1) US20220279008A1 (ja)
EP (1) EP4020906A4 (ja)
JP (1) JP7311354B2 (ja)
WO (1) WO2021033506A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114491533A (zh) * 2022-01-24 2022-05-13 烽台科技（北京）有限公司 数据处理方法、装置、服务器及存储介质
CN114598512A (zh) * 2022-02-24 2022-06-07 烽台科技（北京）有限公司 一种基于蜜罐的网络安全保障方法、装置及终端设备

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210344690A1 (en) * 2020-05-01 2021-11-04 Amazon Technologies, Inc. Distributed threat sensor analysis and correlation
KR20230095351A (ko) 2021-12-22 2023-06-29 남서울대학교 산학협력단 보안 이벤트를 스케줄링하는 장치, 방법 및 컴퓨터 프로그램

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20180032736A1 (en) * 2016-07-29 2018-02-01 Jpmorgan Chase Bank, N.A. Cybersecurity Vulnerability Management System and Method
US20180083988A1 (en) * 2016-09-19 2018-03-22 Ntt Innovation Institute, Inc. Threat scoring system and method
US20180191765A1 (en) * 2017-01-03 2018-07-05 Korea Internet & Security Agency Method and apparatus for calculating risk of cyber attack
WO2018143097A1 (ja) * 2017-01-31 2018-08-09 日本電信電話株式会社 判定装置、判定方法、および、判定プログラム
JP2018196054A (ja) 2017-05-19 2018-12-06 富士通株式会社 評価プログラム、評価方法および情報処理装置

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7644026B2 (en) * 2006-10-25 2010-01-05 Hewlett-Packard Development Company, L.P. Ranking systems based on a risk
CN101803305B (zh) * 2007-09-28 2014-06-11 日本电信电话株式会社 网络监视装置、网络监视方法
US8413238B1 (en) * 2008-07-21 2013-04-02 Zscaler, Inc. Monitoring darknet access to identify malicious activity
US9489497B2 (en) * 2012-12-28 2016-11-08 Equifax, Inc. Systems and methods for network risk reduction
US20160036837A1 (en) * 2014-08-04 2016-02-04 Microsoft Corporation Detecting attacks on data centers
US9942250B2 (en) * 2014-08-06 2018-04-10 Norse Networks, Inc. Network appliance for dynamic protection from risky network activities
US10425432B1 (en) * 2016-06-24 2019-09-24 EMC IP Holding Company LLC Methods and apparatus for detecting suspicious network activity
KR20200007931A (ko) * 2017-05-18 2020-01-22 익스팬스 인코포레이티드 상관관계 중심 위협 평가 및 치료
JP6977625B2 (ja) * 2018-03-07 2021-12-08 富士通株式会社 評価プログラム、評価方法および評価装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20180032736A1 (en) * 2016-07-29 2018-02-01 Jpmorgan Chase Bank, N.A. Cybersecurity Vulnerability Management System and Method
US20180083988A1 (en) * 2016-09-19 2018-03-22 Ntt Innovation Institute, Inc. Threat scoring system and method
US20180191765A1 (en) * 2017-01-03 2018-07-05 Korea Internet & Security Agency Method and apparatus for calculating risk of cyber attack
WO2018143097A1 (ja) * 2017-01-31 2018-08-09 日本電信電話株式会社 判定装置、判定方法、および、判定プログラム
JP2018196054A (ja) 2017-05-19 2018-12-06 富士通株式会社 評価プログラム、評価方法および情報処理装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
AKIYOSHI MAKOTO, KOTANI DAISUKE, OKABE YASUO: "Investigation of A Method for Detecting New Scanning Activities by Correlating Low-Interaction Honeypots with Darknet", IEICE TECHNICAL REPORT, vol. 117, no. 294, 11 December 2017 (2017-12-11), pages 13 - 18, XP009533725 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114491533A (zh) * 2022-01-24 2022-05-13 烽台科技（北京）有限公司 数据处理方法、装置、服务器及存储介质
CN114598512A (zh) * 2022-02-24 2022-06-07 烽台科技（北京）有限公司 一种基于蜜罐的网络安全保障方法、装置及终端设备
CN114598512B (zh) * 2022-02-24 2024-02-06 烽台科技（北京）有限公司 一种基于蜜罐的网络安全保障方法、装置及终端设备

Also Published As

Publication number Publication date
US20220279008A1 (en) 2022-09-01
JP2021034807A (ja) 2021-03-01
EP4020906A1 (en) 2022-06-29
JP7311354B2 (ja) 2023-07-19
EP4020906A4 (en) 2023-09-06

Similar Documents

Publication Publication Date Title
WO2021033506A1 (ja) ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラムが記録された記憶媒体
US11212306B2 (en) Graph database analysis for network anomaly detection systems
US11068588B2 (en) Detecting irregularities on a device
EP3068095B1 (en) Monitoring apparatus and method
US11882137B2 (en) Network security blacklist derived from honeypot statistics
US8312536B2 (en) Hygiene-based computer security
US20120311708A1 (en) System and method for non-signature based detection of malicious processes
US11057411B2 (en) Log analysis device, log analysis method, and log analysis program
US10972490B2 (en) Specifying system, specifying device, and specifying method
JP2019021294A (ja) ＤＤｏＳ攻撃判定システムおよび方法
CN109495521B (zh) 一种异常流量检测方法及装置
CN108369541B (zh) 用于安全威胁的威胁风险评分的系统和方法
JP7204247B2 (ja) 脅威対応自動化方法
CN114615016A (zh) 一种企业网络安全评估方法、装置、移动终端及存储介质
JP6106861B1 (ja) ネットワークセキュリティ装置、セキュリティシステム、ネットワークセキュリティ方法、及びプログラム
JP6407184B2 (ja) 攻撃対策判定システム、攻撃対策判定方法及び攻撃対策判定プログラム
KR20100074480A (ko) 네트워크 기반의 ｈｔｔｐ 봇넷 탐지 방법
KR102347525B1 (ko) 악성 트래픽 탐지 방법 및 그 장치
CN114172707B (zh) Fast-Flux僵尸网络检测方法、装置、设备及存储介质
CN110830518B (zh) 溯源分析方法、装置、电子设备及存储介质
CN113055362A (zh) 异常行为的预防方法、装置、设备及存储介质
KR101045556B1 (ko) 네트워크 기반의 ｉｒｃ 봇넷 탐지 방법
Condon et al. Using Population Characteristics to Build Forecasting Models for Computer Security Incidents
CN115426132A (zh) 基于拟态防御机制的入侵防御方法及入侵防御装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20855709

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020855709

Country of ref document: EP

Effective date: 20220321