WO2021059521A1 - 分析システム、方法およびプログラム - Google Patents

分析システム、方法およびプログラム Download PDF

Info

Publication number
WO2021059521A1
WO2021059521A1 PCT/JP2019/038326 JP2019038326W WO2021059521A1 WO 2021059521 A1 WO2021059521 A1 WO 2021059521A1 JP 2019038326 W JP2019038326 W JP 2019038326W WO 2021059521 A1 WO2021059521 A1 WO 2021059521A1
Authority
WO
WIPO (PCT)
Prior art keywords
fact
attack
analysis
point
end point
Prior art date
Application number
PCT/JP2019/038326
Other languages
English (en)
French (fr)
Inventor
太田　和伸
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2021548293A priority Critical patent/JP7298701B2/ja
Priority to PCT/JP2019/038326 priority patent/WO2021059521A1/ja
Priority to US17/641,515 priority patent/US12034761B2/en
Publication of WO2021059521A1 publication Critical patent/WO2021059521A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present invention relates to an analysis system, an analysis method, and an analysis program for analyzing an attack on a system to be diagnosed.
  • Security measures include diagnosing vulnerabilities in the target system and removing the vulnerabilities as necessary.
  • Patent Document 1 describes a system that evaluates vulnerability risk based on the system configuration and topology in addition to the technical characteristics of each vulnerability, and performs risk evaluation corresponding to the actual system situation.
  • graph theory is applied to each information of device, network, vulnerability and security setting, and these relationships are modeled (graphed). Furthermore, the risk of the system is evaluated by applying an inference algorithm to the model.
  • an object of the present invention is to provide an analysis system, an analysis method, and an analysis program that can reduce the amount of calculation for risk analysis.
  • the analysis system has a fact generator that generates facts that are data representing the security status of the system to be diagnosed based on information about each device included in the system to be diagnosed, and the possibility of an attack on the device as a starting point.
  • facts that are data representing the security status of the system to be diagnosed based on information about each device included in the system to be diagnosed, and the possibility of an attack on the device as a starting point.
  • One or more pairs of a start point fact, which is a fact representing the above, and an end point fact, which is a fact indicating the possibility of an attack on the end device are generated, and for each set, either the start device or the end device Facts that represent the state of the device generated based on the information about the starting device and the information about the ending device, without using the facts that represent the state of the device generated based on the information about the device that does not correspond to
  • it is analyzed whether the end facts can be derived from the origin facts, and if the end facts can be derived from the origin facts. It is characterized by including an
  • the computer generates facts, which are data representing the security status of the system to be diagnosed, based on the information about each device included in the system to be diagnosed, and the possibility of an attack on the device as the starting point is determined.
  • facts which are data representing the security status of the system to be diagnosed, based on the information about each device included in the system to be diagnosed, and the possibility of an attack on the device as the starting point is determined.
  • it is analyzed whether the end point fact can be derived from the start fact, and if the end fact can be derived from the start fact, the start point. It is characterized by
  • the analysis program performs a fact generation process in which a computer generates facts, which are data representing the security status of the system to be diagnosed, based on information about each device included in the system to be diagnosed, and a device as a starting point.
  • facts which are data representing the security status of the system to be diagnosed, based on information about each device included in the system to be diagnosed, and a device as a starting point.
  • One or more pairs of a start point fact, which is a fact indicating the possibility of attack, and an end point fact, which is a fact indicating the possibility of attack in the end device, are generated, and the start device and the end point are generated for each set.
  • the state of the device generated based on the information about the starting device and the information about the ending device, without using facts that represent the state of the device generated based on the information about the device that does not correspond to any of the devices.
  • the amount of calculation for risk analysis can be reduced.
  • the analysis system described in each of the following embodiments is a system for analyzing cyber attacks in the system to be diagnosed.
  • the diagnosis target system is a system that is the target of security diagnosis.
  • Examples of the system to be diagnosed include an IT (Information Technology) system in a company, a so-called OT (Operational Technology) system for controlling a factory, a plant, and the like.
  • IT Information Technology
  • OT Operaational Technology
  • the system to be diagnosed is not limited to these systems.
  • a system in which a plurality of devices are connected via a communication network can be a system to be diagnosed.
  • Each device included in the system to be diagnosed is connected via a communication network.
  • Examples of devices included in the system to be diagnosed include personal computers, servers, switches, routers, machine tools installed in factories, control devices for machine tools, and the like.
  • the device is not limited to the above example. Further, the device may be a physical device or a virtual device.
  • the attack graph is a graph that can show the status of the presence or absence of vulnerabilities in a certain device, and the relationship between an attack that can be executed in a certain device and an attack that can be executed in another device.
  • the attack graph is represented as a directed graph that defines some security-related states (devices, networks, vulnerabilities, security settings, etc.) as facts, and uses them as nodes and the relationships between the facts as edges.
  • the fact is data representing the security status of the system to be diagnosed.
  • a fact represents some condition that may be primarily security related to the system being diagnosed or the equipment included in the system being diagnosed.
  • facts represent possible attacks on each device included in the system under diagnosis. The facts in this case are represented in the form of a set of equipment and attack state, or in the form of a set of device, attack state, and authority, as described later.
  • attack analysis it is assumed that some kind of attack can be performed on the device included in the system to be diagnosed. Such assumptions may be treated as facts.
  • Facts can be determined from the information obtained from each device included in the system to be diagnosed. Further, a new fact can be derived from one or more existing facts by a rule for deriving a new fact from an existing fact (hereinafter referred to as an analysis rule). For example, new facts can be derived using analysis rules based on facts determined from the information obtained from each device included in the system to be diagnosed. Furthermore, new facts can be derived based on the facts determined from the information obtained from each device and the newly obtained facts. This operation is repeated until a new fact cannot be derived by the analysis rule.
  • an analysis rule for deriving a new fact from an existing fact
  • each of the facts is used as a node, and the nodes corresponding to the facts are connected at the edge from the node corresponding to the fact that is the basis of the newly obtained fact to the node corresponding to the newly obtained fact.
  • FIG. 1 is a schematic diagram showing an example of a general attack graph thus obtained.
  • the node represented by the rectangle marked “fact” represents a fact determined from the information obtained from each device.
  • the node represented by a circle and the node represented by a rectangle marked “goal” represent a fact newly derived using an analysis rule.
  • the "goal” in FIG. 1 is a part of the facts newly derived using the analysis rule, and represents the fact that is the end point of the derivation of the fact using the analysis rule.
  • the analysis system of each embodiment described below generates an attack graph that can be used to analyze an attack on the system to be diagnosed. However, the analysis system of each embodiment generates one or more sets of facts as starting points and ending points, and generates an attack graph for each set.
  • FIG. 2 is a block diagram showing an example of an analysis system according to an embodiment of the present invention.
  • the analysis system 1 of the present embodiment includes a data collection unit 2, a data storage unit 3, a fact generation unit 4, an analysis rule storage unit 5, an analysis unit 6, an attack graph storage unit 7, and a display control unit 8. And a display device 9.
  • the data collection unit 2 collects information about each device included in the system to be diagnosed.
  • Information about the device is information that can be related to the security of the device.
  • Examples of information about the device collected by the data collection unit 2 include, for example, the OS (Operating System) installed in the device, its version information, the configuration information of the hardware installed in the device, and the device installed in the device.
  • the communication data includes information on the source and destination of the communication data.
  • the data collection unit 2 collects this information.
  • the example of the information collected by the data collecting unit 2 is not limited to the above example.
  • the data collection unit 2 may collect other information that may be related to the security of the device as information about the device.
  • the data collection unit 2 may collect information about the device directly from each device included in the system to be diagnosed.
  • the analysis system 1 is connected to each device via a communication network, and the data collection unit 2 may collect information from each device via the communication network.
  • the data collection unit 2 may acquire information about each device from an information collection server that collects information about each device.
  • the analysis system 1 is connected to the information collection server via a communication network, and the data collection unit 2 may collect information about each device from the information collection server via the communication network.
  • the data collection unit 2 may collect information on each device via the agent. That is, the data collection unit 2 may acquire information about each device from the information collection server that collects information about each device via the agent.
  • Each of the agents mounted on each device may send information about the device to the information collection server, and the data collection unit 2 may collect information about each device included in the system to be diagnosed from the information collection server. ..
  • the analysis system 1 may be connected to the information collection server via a communication network, and the data collection unit 2 may collect information about each device from the information collection server via the communication network. ..
  • the data collection unit 2 When the data collection unit 2 collects information about each device included in the diagnosis target system, the data collection unit 2 stores the information in the data storage unit 3.
  • the data storage unit 3 is a storage device that stores information about each device collected by the data collection unit 2.
  • the fact generation unit 4 generates one or more facts based on the information about each device collected by the data collection unit 2. As described above, the fact represents the security status of the system to be diagnosed. The fact generated by the fact generation unit 4 represents some state mainly related to security of one or more devices included in the system to be diagnosed, which is derived from specific information obtained from each device.
  • the fact generation unit 4 refers to, for example, a fact generation rule prepared in advance, which includes one or more templates representing the fact to be generated, and whether or not the information about each device matches each template. Generate one or more facts by determining. Information about each device is appropriately applied to the parameters of the generated facts.
  • FIG. 3 shows an example of the generated facts. Although three facts are illustrated in FIG. 3, the facts are not limited to the three facts shown in FIG. 3, and the facts necessary for processing in the analysis unit 6 may be appropriately generated.
  • Example 1 in FIG. 3 represents the matter that "HTTP (HyperText Transfer Protocol) communication is possible from the device'host A'to the device'host B'.”
  • HTTP HyperText Transfer Protocol
  • Example 2 in FIG. 3 represents the matter that "software 1 installed in device'host B'is vulnerable, and administrator authority can be obtained by attacking the vulnerabilities.” ing.
  • Example 3 in FIG. 3 represents the matter that "the attacker has administrator authority on the device'host A'.”
  • the fact description format is not limited to the example shown in FIG. 3, and may be another format as long as the processing in the analysis unit 6 can be executed.
  • the analysis rule storage unit 5 is a storage device that stores analysis rules. Analysis rules are rules for deriving new facts from existing facts. The facts derived using the analysis rules are mainly facts representing attacks that can be performed on each device included in the system to be diagnosed. The analysis rule storage unit 5 stores one or more analysis rules according to the system to be diagnosed.
  • FIG. 4 shows an example of analysis rules.
  • the analysis rule includes at least an element representing the new fact to be derived and an element corresponding to the condition. That is, the analysis rule indicates that a new fact is derived when there is a fact that matches the condition.
  • the element on the first line is an element representing a new fact to be derived.
  • each element from the second line to the fourth line is an element corresponding to the condition.
  • the analysis rule shown in FIG. 4 when a fact that matches all three conditions exists, a new fact represented by the first line is derived.
  • the analysis rule may include an element representing a label uniquely defined for the analysis rule.
  • the element on the fifth line is an element representing a label uniquely defined in the analysis rule.
  • the element on the fifth line indicates that the label of the analysis rule shown in FIG. 4 is "arbitrary code execution (exec01)".
  • parameters starting with a capital letter are variables.
  • the variable parameter indicates that it may change depending on the fact to be matched.
  • "SrcHost” and "DstHost” are variables.
  • Various information contained in the information collected from the device is applied to the parameter as a variable.
  • common values are applied to variables described with the same parameters. For example, a common specific device ID is applied to the variable “SrcHost” described in the second and fourth lines in FIG. Similarly, a common specific device ID is applied to the variable “DstHost” described in the second and third lines in FIG.
  • the same information about the device is applied to the same variable included in the condition. That is, in the analysis rule shown in FIG. 4, the same information about the device is applied to each of the parameters of “SrcHost” and “DstHost”. Then, in the example shown in FIG. 4, when the information about the device is applied to the variable as described above and each fact that matches each condition exists, a new fact shown in the first line is displayed. Is derived. In addition, as a new fact shown in the first line, a fact in which information about the device is applied to a variable is derived.
  • the description format of the analysis rule is not limited to the example shown in FIG.
  • the analysis unit 6 generates an attack graph for each of one or more sets of facts that are the starting point and the ending point, for which the fact that is the ending point can be derived from the fact that is the starting point.
  • the analysis unit 6 analyzes whether or not the fact that is the end point can be derived from the fact that is the start point. Then, the analysis unit 6 generates an attack graph when the fact that is the end point can be derived from the fact that is the start point.
  • the analysis unit 6 analyzes and analyzes using the facts generated from the information on the starting device and the information on the ending device, the facts as the starting point, and the analysis rules stored in the analysis rule storage unit 5. Generate an attack graph. At this time, the analysis unit 6 does not use the fact generated from the information about the device that does not correspond to either the device as the starting point or the device as the ending point.
  • the starting fact may be simply referred to as the starting fact.
  • the fact that becomes the end point may be simply referred to as the end point fact.
  • each of the facts that serve as the starting point and the ending point is usually a fact that represents an attack that can be performed on each device included in the system to be diagnosed (a fact that represents the possibility of an attack). That is, the fact that the fact that is the end point can be derived from the fact that is the start point indicates that if some attack is possible in the device that is the start point, another attack is possible in the device that is the end point.
  • the fact that the fact that is the end point cannot be derived from the fact that is the start point means that even if some attack is possible on the device that is the start point, another attack represented by the fact that is the end point cannot be executed on the device that is the end point. Shown.
  • the analysis unit 6 generates one or more sets of a fact that is the starting point of the attack graph and a fact that is the ending point of the attack graph.
  • Each of the starting and ending facts is a fact that represents an attack that can be performed on the starting device and the ending device.
  • the analysis unit 6 has, for each set of the fact that is the starting point of the attack graph and the fact that is the ending point of the attack graph, the fact that is generated from the information about the starting device and the information about the ending device, and the fact that is the starting point. Then, based on the analysis rule stored in the analysis rule storage unit 5, it is analyzed whether or not the fact that is the end point can be derived from the fact that is the start point. At this time, the analysis unit 6 does not use the fact generated from the information about the device that does not correspond to either the device as the starting point or the device as the ending point.
  • the state of the device that may be attacked by the vulnerability is defined as the attack state.
  • examples of the attack state include "a state in which code can be executed (hereinafter referred to as arbitrary code execution)" and "a state in which data can be tampered with (hereinafter referred to as data tampering)".
  • arbitrary code execution a state in which code can be executed
  • data tampering a state in which data can be tampered with
  • an example is taken when two types of attack states, "arbitrary code execution” and "data tampering”
  • the attack state is not limited to the above two types.
  • Other types of attack conditions may be defined depending on the attacks that can occur in the system to be diagnosed.
  • an attack state including a plurality of attack states may be defined.
  • the analysis unit 6 corresponds to one of the device IDs of each device included in the system to be diagnosed, one of a plurality of predetermined attack states, and the attack state as the starting point of the attack graph. Generate a combination with one of the possible permissions.
  • the analysis unit 6 uses one of the device IDs of each device included in the system to be diagnosed, one of a plurality of predetermined attack states, and an attack as facts that are the end points of the attack graph. Generate a combination of a state and one of the possible permissions.
  • authority includes the authority when performing an attack indicated by the attack state.
  • the authority in this case is, for example, either administrator authority or general authority.
  • the "authority” may include a matter that the authority is not related when performing an attack indicated by the attack state (hereinafter, referred to as "authority-related"). Therefore, the plurality of predetermined types of authority are, for example, “administrator authority”, “general authority”, and “unrelated authority”.
  • attack status and authority is appropriately determined according to the specific content of the attack status.
  • each attack indicated by "arbitrary code execution” and “data tampering” can be performed under some authority such as administrator authority or general authority. Therefore, for each attack state of "arbitrary code execution” and “data tampering”, appropriate authority such as “administrator authority” and “general authority” is combined according to the specific content of each attack state. ..
  • there are two types of attack states “arbitrary code execution” and "data tampering”, so there is no attack state combined with "authority-related”.
  • the analysis unit 6 Based on such a combination of attack state and authority, the analysis unit 6 has a device corresponding to one of the devices included in the system to be diagnosed and a plurality of types of facts as the starting point of the attack graph. Generates a combination of one of the attack states and one of the privileges that can respond to the attack state. Similarly, under such a combination of attack state and authority, the analysis unit 6 sets the device corresponding to one of the devices included in the diagnosis target system as a fact that becomes the end point of the attack graph. Generates a combination of one of a plurality of types of attack states and one of the privileges that can respond to the attack state.
  • the combination of "device, attack state, authority" is treated as a fact that is the starting point of the attack graph and a fact that is the ending point of the attack graph.
  • the device included in the fact is represented by, for example, the device ID. That is, each of the facts that serve as the starting point and the ending point is a fact that indicates that the device represented by the device ID may be attacked as an attack state.
  • the analysis unit 6 sets a set of a fact (combination of "device, attack state, authority") that is the starting point of the attack graph and a fact (combination of "device, attack state, authority”) that is the ending point of the attack graph. To determine. In this case, the analysis unit 6 may comprehensively determine all the sets of the facts as the starting point and the facts as the ending points in the system to be diagnosed, or may determine some sets. When defining a part of the set, the analysis unit 6 targets some of the devices included in the system to be diagnosed, such as devices included in a specific subnet in the system to be diagnosed, and the facts to be the starting point and the facts to be the ending point. You may decide the pair with.
  • the analysis unit 6 when the analysis unit 6 generates a fact that is a starting point and a fact that is an ending point based on some of the devices included in the diagnosis target system, the devices included in the same subnet of the diagnosis target system. May be a part of the device. Further, the analysis unit 6 excludes a set of devices that need to pass through another device during communication, that is, a set of devices that cannot directly communicate, and determines a set of a fact that is the starting point and a fact that is the ending point. You may. In other words, when the analysis unit 6 generates a fact that is a starting point and a fact that is an ending point based on some of the devices included in the system to be diagnosed, a part of the devices that can directly communicate with each other. It may be used as a device of.
  • the analysis unit 6 determines the combination of the device on the starting point side and the device on the ending point side, and based on the combination of each device, the fact that becomes the starting point (combination of "device, attack state, authority"). And the fact that is the end point (combination of "device, attack state, authority”) may be defined.
  • the device included in the fact that is the starting point and the device included in the fact that is the ending point may be the same device. That is, the analysis unit 6 can reach another attack state from one attack state of a certain device, or in other words, when a certain attack is possible in a certain device, another attack is possible in that device. It is also possible to analyze whether or not it will be.
  • the analysis unit 6 uses the information about the starting device and the information about the ending device for each set. Analyze whether it is possible to derive the end point fact from the start point fact based on the generated facts representing the state of each device, the start point facts, and one or more predetermined analysis rules. To do. In this case, the analysis unit 6 may apply the inference algorithm based on the analysis rule stored in the analysis rule storage unit 5, for example.
  • the analysis unit 6 may analyze whether the fact that is the end point can be derived from the fact that is the start point by using another method. In this case, the analysis unit 6 may end the analysis on the set when it can determine that the fact that is the end point cannot be derived from the fact that is the start point.
  • the analysis unit 6 generates an attack graph from the fact that is the starting point to the fact that is the ending point in the group of interest.
  • the analysis unit 6 uses each fact as a node in each fact from the starting fact to the ending fact, and newly derives the fact from the fact that is the basis of the fact. Connect the facts at the edge towards the derived fact.
  • FIG. 5 is a schematic diagram showing an example of an attack graph in which one node corresponds to the fact that is the end point.
  • FIG. 6 is a schematic diagram showing an example of an attack graph in which there are two nodes corresponding to the fact that is the end point.
  • S represents a fact that is a starting point
  • E is a fact that is a ending point.
  • the contents of the two facts “E” shown in FIG. 6 are the same.
  • Two facts "E” with the same content are facts derived based on different analysis rules. That is, even if the analysis rules used for deriving the facts are different, a plurality of facts having the same content as the end points can be derived.
  • FIG. 6 illustrates such a case.
  • the analysis unit 6 analyzes whether or not the fact that is the end point can be derived from the fact that is the start point for each set of facts that is the start point and the end point, and generates an attack graph if the fact that is the end point can be derived. Then, the analysis unit 6 stores each generated attack graph in the attack graph storage unit 7.
  • the attack graph storage unit 7 is a storage device that stores the attack graph.
  • the display control unit 8 displays each attack graph generated by the analysis unit 6 on the display device 9.
  • the display control unit 8 may read each attack graph from the attack graph storage unit 7 and display each attack graph on the display device 9.
  • the display control unit 8 may display other information on the display device 9 together with the attack graph.
  • the display control unit 8 determines whether the fact that is the starting point, the fact that is the ending point, and those facts are established (for example, whether the attack assumed in the fact that is the starting point can actually occur in the device that is the starting point). Etc.) may be displayed.
  • the display control unit 8 may display information on each fact or device used in the analysis.
  • the display control unit 8 may display the generation process of the attack graph for each attack graph.
  • the display control unit 8 may display that the fact that is the end point could not be derived with respect to the set in which the fact that is the end point could not be derived from the fact that is the start point.
  • the display control unit 8 may display that the attack graph was not generated for the set.
  • the information exemplified above makes it easier for the administrator to manage the system to be diagnosed and to formulate countermeasures against attacks.
  • the display device 9 is a device that displays information, and may be a general display device. When the analysis system 1 exists on the cloud, the display device 9 may be a display device or the like of a terminal connected to the cloud.
  • the data collection unit 2 is realized by, for example, a CPU (Central Processing Unit) of a computer that operates according to an analysis program, and a communication interface of the computer.
  • the CPU may read an analysis program from a program recording medium such as a program storage device of a computer, and operate as a data collection unit 2 using a communication interface according to the analysis program.
  • the fact generation unit 4, the analysis unit 6, and the display control unit 8 are realized by, for example, a CPU of a computer that operates according to an analysis program.
  • the CPU may read the analysis program from the program recording medium as described above, and operate as the fact generation unit 4, the analysis unit 6, and the display control unit 8 according to the analysis program.
  • the data storage unit 3, the analysis rule storage unit 5, and the attack graph storage unit 7 are realized by, for example, a storage device provided in a computer.
  • FIG. 7 and 8 are flowcharts showing an example of the processing progress of the analysis system according to the embodiment of the present invention. The matters already explained will be omitted.
  • the data collection unit 2 collects information about each device included in the system to be diagnosed (step S1).
  • the data collecting unit 2 stores the collected data in the data storage unit 3.
  • the fact generation unit 4 generates one or more facts based on the information about each device (step S2).
  • the analysis unit 6 sets a combination of one of the devices, one of the plurality of types of attack states, and one of the authorities that can respond to the attack state as a fact that becomes the starting point of the attack graph. Generate. Similarly, the analysis unit 6 uses a combination of one of the devices, one of the plurality of types of attack states, and one of the authorities that can respond to the attack state as a fact that is the end point of the attack graph. Generate (step S3).
  • the analysis unit 6 generates one or more pairs of the fact that is the starting point of the attack graph and the fact that is the ending point of the attack graph (step S4).
  • step S5 determines whether or not all the sets generated in step S4 have been selected in step S6 (step S5). If there is an unselected set (No in step S5), the process proceeds to step S6. When the process first shifts from step S4 to step S5, no set is selected. Therefore, in this case, the process proceeds to step S6.
  • step S6 the analysis unit 6 selects one set that has not yet been selected from the sets generated in step S4.
  • step S6a the analysis unit 6 selects facts (step S6a).
  • step S6a the analysis unit 6 selects the facts used in the analysis in step S7, and does not select the facts not used in the analysis in step S7. Specifically, the analysis unit 6 selects a fact generated from the information about the device as the starting point and the information about the device as the ending point, and the fact as the starting point. Further, the analysis unit 6 does not select a fact generated based on the information about the device that does not correspond to either the device as the starting point or the device as the ending point. Facts generated based on information about devices that do not fall under either the starting device or the ending device are not used in the analysis in step S7.
  • step S6a the analysis unit 6 analyzes whether or not the fact that is the ending point can be derived from the fact that is the starting point for the selected set (step S7).
  • the analysis unit 6 already has a fact generated from the information about the starting device and the information about the ending device, and the fact that is the starting point (that is, the fact selected in step S6a). Fact (fact to be referred to). Then, when the analysis unit 6 derives a new fact based on the analysis rule, the analysis unit 6 adds the new fact to the above-mentioned existing fact (fact to be referred to).
  • the analysis unit 6 analyzes whether or not the fact that is the end point can be derived by repeating the derivation of a new fact based on the existing fact (fact to be referred to) and the analysis rule. If a fact that is the end point in the selected set is not obtained even if the derivation of the new fact is repeated until a new fact cannot be derived, the analysis unit 6 changes from the fact that is the start point to the end point. Judge that the fact cannot be derived.
  • step S8 If the fact that is the end point cannot be derived from the fact that is the start point (No in step S8), the analysis unit 6 repeats the processes after step S5.
  • step S8 When the fact that is the end point can be derived from the fact that is the start point (Yes in step S8), the analysis unit 6 sets the fact as a node in the selected set, and plots the attack graph from the fact that is the start point to the fact that is the end point.
  • the attack graph is generated and stored in the attack graph storage unit 7 (step S9). After step S9, the analysis unit 6 repeats the processes after step S5.
  • step S5 determines each attack stored in the attack graph storage unit 7. The graphs are read and each attack graph is displayed on the display device 9 (see step S10 and FIG. 8).
  • the analysis unit 6 generates one or more sets of a fact that is the starting point of the attack graph and a fact that is the ending point of the attack graph. Further, when the analysis unit 6 selects one set in step S6 and analyzes whether or not the fact that is the end point can be derived for the set (step S7), the starting point and the starting point are set at the start of step S7.
  • the fact generated from the information about the device to be the device and the information about the device to be the end point, and the fact to be the starting point are set as existing facts. That is, at that time, these existing facts are the facts to be referenced by the analysis unit 6.
  • step S7 the facts generated from the information about the device as the starting point and the information about the device as the ending point are referred to in step S7.
  • Facts other than these are excluded from the reference target in step S7.
  • the selection of the facts excluded from the reference target and the facts that become existing facts at the start of step S7 is performed in step S6a. That is, in step S6a, the analysis unit 6 selects a fact generated from the information about the device as the starting point and the information about the device as the ending point, and the fact as the starting point. These facts become existing facts at the start of step S7.
  • step S6a the analysis unit 6 does not select the fact generated based on the information about the device that does not correspond to either the device as the starting point or the device as the ending point. As a result, these facts are excluded from the reference target in step S7. As a result, when analyzing whether the fact that is the end point can be derived from the fact that is the start point, it is analyzed whether the fact that is the end point can be derived from the fact that is the start point without deriving redundant facts. Will be done. Therefore, it is possible to reduce the amount of calculation when generating an attack graph for each group. That is, in the present embodiment, it is possible to analyze the attack on the system to be diagnosed while suppressing the amount of calculation.
  • the analysis unit 6 generates an attack graph for one or more sets of a fact that is the starting point of the attack graph and a fact that is the ending point of the attack graph. Then, as described above, at the time of starting the analysis of whether or not the fact that is the ending point can be derived from the fact that is the starting point for each set, the facts to be referred to are limited. That is, in this case, the fact generated from the information about the device as the starting point and the information about the device as the ending point, and the fact as the starting point are the facts to be referred to. Facts generated based on information about devices that do not correspond to either the starting device or the ending device are excluded from the reference target in step S7.
  • FIG. 9 is a schematic diagram showing an example of an attack graph including overlapping paths.
  • the possibility of overlapping paths can be reduced.
  • the analysis unit 6 has the authority to deal with one of the devices, one of the plurality of types of attack states, and the attack target as the facts that are the starting point and the ending point of the attack graph.
  • the case of generating a combination with one of the above has been described.
  • the analysis unit 6 does not include the authority in the combination, but combines one of the devices and one of the plurality of types of attack states. May be generated as a fact that becomes a starting point or a fact that becomes an ending point. That is, the fact that becomes the starting point or the ending point may be at least a pair of a device and an attacking state.
  • the analysis unit 6 generates a combination of one of the devices and one of the plurality of types of attack states as the fact that becomes the starting point of the attack graph, and serves as the fact that becomes the ending point of the attack graph.
  • a combination of one of the devices and one of a plurality of types of attack states may be generated.
  • the authority is excluded from the combinations corresponding to the facts that are the starting point and the ending point, so that the analysis unit 6 can execute the process at a higher speed. That is, the analysis unit 6 can generate an attack graph at a higher speed.
  • the analysis unit 6 first generates a combination excluding authority as a fact that becomes the starting point and the ending point, analyzes whether or not the fact that becomes the ending point can be derived from the fact that becomes the starting point, and the fact that becomes the starting point.
  • a combination including the device, the attack state, and the authority may be generated again as the fact that becomes the start point or the end point.
  • the analysis unit 6 may analyze whether or not the fact that is the end point can be derived from the fact that is the start point again.
  • Embodiment 2 The analysis system of the second embodiment of the present invention can also be represented as illustrated in FIG. 2, similarly to the first embodiment. Therefore, the second embodiment will be described with reference to FIG.
  • the analysis system 1 of the second embodiment of the present invention performs the same operation as that of the first embodiment.
  • the description of the same operation as that of the first embodiment will be omitted.
  • the analysis unit 6 further performs a process of connecting the generated plurality of attack graphs.
  • the operation of the analysis unit 6 connecting the attack graph will be described.
  • the analysis unit 6 connects a plurality of attack graphs when a plurality of attack graphs obtained in the loop processing of steps S5 to S9 can be connected.
  • the condition for connecting the attack graph is that the fact that is the end point of one attack graph and the fact that is the start point of another attack graph match. In this way, when the fact that is the end point of one attack graph and the fact that is the start point of another attack graph match, the analysis unit 6 determines that the two attack graphs can be connected. Then, the analysis unit 6 connects the two attack graphs by making the node corresponding to the fact that is the end point of a certain attack graph and the node corresponding to the fact that is the starting point of another attack graph the same node. To do.
  • Another condition for connecting the attack graph is that the fact that is the starting point of one attack graph and the fact that is the starting point of another attack graph match. That is, when the fact that is the starting point of one attack graph and the fact that is the starting point of another attack graph match, the analysis unit 6 determines that the two attack graphs can be connected. Then, the analysis unit 6 connects the two graphs by making the node corresponding to the fact that is the starting point of a certain attack graph and the node corresponding to the fact that is the starting point of another attack graph the same node. ..
  • FIG. 9 An example of a schematic diagram of an attack graph relating to the entire system to be diagnosed, which was generated without narrowing down the facts to be referred to, can be represented as shown in FIG. 9 above.
  • the schematic diagram of the attack graph generated by the analysis unit 6 for each set of the fact that is the starting point and the fact that is the ending point can be represented as the attack graphs 51 to 56 illustrated in FIG. ..
  • the fact that is the end point of the attack graph 51 and the fact that is the start point of the attack graphs 54 and 55 are the same.
  • the analysis unit 6 connects the attack graphs 51 and 54 by making the node corresponding to the fact that is the end point of the attack graph 51 and the node corresponding to the fact that is the starting point of the attack graph 54 the same node. .. Similarly, the analysis unit 6 connects the attack graphs 51 and 54. Similarly, the analysis unit 6 connects connectable attack graphs to each other. In addition, the facts that are the starting points of the attack graphs 51, 52, and 53 are the same. Therefore, the analysis unit 6 connects the attack graphs 51, 52, and 53 by setting the nodes corresponding to the facts that are the starting points of the attack graphs 51, 52, and 53 to the same node.
  • the display control unit 8 may display the attack graph after being connected on the display device 9.
  • the amount of calculation required to generate the attack graph generated for each set of the fact that is the starting point and the fact that is the ending point can be small. Therefore, according to the second embodiment, it is possible to generate an attack graph for the entire diagnosis target system with a smaller amount of calculation as compared with the case where the attack graph for the entire diagnosis target system is directly generated.
  • the administrator can grasp the attack status in the entire diagnosis target system. As a result, the administrator can easily determine the vulnerabilities of the entire system to be diagnosed and formulate countermeasures against attacks against the vulnerabilities.
  • FIG. 11 is a schematic block diagram showing a configuration example of a computer according to the analysis system 1 of each embodiment of the present invention.
  • the computer 1000 includes a CPU 1001, a main storage device 1002, an auxiliary storage device 1003, an interface 1004, a display device 1005, and a communication interface 1006.
  • the analysis system 1 of each embodiment of the present invention is realized by the computer 1000.
  • the operation of the analysis system 1 is stored in the auxiliary storage device 1003 in the form of an analysis program.
  • the CPU 1001 reads the analysis program from the auxiliary storage device 1003, deploys it to the main storage device 1002, and executes the processes described in each of the above embodiments according to the analysis program.
  • Auxiliary storage 1003 is an example of a non-temporary tangible medium.
  • Other examples of non-temporary tangible media include magnetic disks, magneto-optical disks, CD-ROMs (Compact Disk Read Only Memory), DVD-ROMs (Digital Versatile Disk Read Only Memory), which are connected via interface 1004. Examples include semiconductor memory. Further, when the program is distributed to the computer 1000 by the communication line, even if the distributed computer 1000 expands the program to the main storage device 1002 and executes the processing described in each of the above embodiments according to the program. Good.
  • each component may be realized by a general-purpose or dedicated circuit (circuitry), a processor, or a combination thereof. These may be composed of a single chip or may be composed of a plurality of chips connected via a bus. A part or all of each component may be realized by a combination of the above-mentioned circuit or the like and a program.
  • the plurality of information processing devices and circuits may be centrally arranged or distributed.
  • the information processing device, the circuit, and the like may be realized as a form in which each is connected via a communication network, such as a client-and-server system and a cloud computing system.
  • FIG. 12 is a block diagram showing an outline of the analysis system of the present invention.
  • the analysis system of the present invention includes a fact generation unit 4 and an analysis unit 6.
  • the fact generation unit 4 generates a fact that is data indicating the security status of the diagnosis target system based on the information about each device included in the diagnosis target system.
  • the analysis unit 6 generates one or more sets of a start point fact which is a fact indicating the possibility of attack in the device which is the start point and an end point fact which is a fact which shows the possibility of attack in the device which is the end point. For each, information about the starting device and the information about the ending device, without using facts that represent the state of the device generated based on the information about the device that does not correspond to either the starting device or the ending device. Analyze whether it is possible to derive end point facts from start point facts based on one or more analysis rules for analyzing informed device state facts, origin facts, and attacks. , When the end point fact can be derived from the start point fact, an attack graph from the node corresponding to the start point fact to the node corresponding to the end point fact is generated.
  • a fact generation unit that generates facts that are data representing the security status of the diagnosis target system based on information about each device included in the diagnosis target system.
  • One or more pairs of a starting point fact, which is a fact indicating the possibility of an attack on the starting device, and an ending fact, which is a fact indicating the possibility of an attack on the ending device, are generated, and the starting point is generated for each pair.
  • Information about the device that is the starting point and information about the device that is the ending point without using facts that represent the state of the device generated based on the information about the device that does not correspond to either the device that becomes the device and the device that is the end point.
  • the end point fact can be derived from the start point fact based on the fact representing the state of the device generated based on, the start fact, and one or more analysis rules for analyzing the attack. It is characterized by including an analysis unit that generates an attack graph from a node corresponding to the start point fact to a node corresponding to the end point fact when the end point fact can be derived from the start point fact by analysis. Analysis system to do.
  • Appendix 2 The analysis department The analysis system according to Appendix 1, which connects the attack graphs to each other when the generated attack graphs can be connected to each other.
  • Appendix 3 The analysis department The analysis system according to Appendix 2, which determines that the one attack graph and the other attack graph can be connected when the end point fact of one attack graph and the start point fact of another attack graph match. ..
  • Appendix 5 The analysis department As a starting fact, a combination of one of the devices, one of a plurality of predetermined attack states, and one of the privileges that can respond to the attack state is generated. Any one of Appendix 1 to Appendix 4 that generates a combination of one of the devices, one of the plurality of types of attack states, and one of the privileges that can respond to the attack state as the end point fact.
  • the analysis rule includes elements that meet the conditions and elements that represent new facts.
  • the analysis department When there is an existing fact that matches the element that meets the above conditions, a new fact is derived based on the analysis rule, and the operation of adding the new fact to the existing fact is repeated, and a new fact is generated.
  • the analysis system according to any one of Appendix 1 to Appendix 5, which determines that the end point fact can be derived from the start point fact when it corresponds to the end point fact.
  • Appendix 7 The analysis department The analysis system according to any one of Appendix 1 to Appendix 6, which generates start point facts and end point facts based on some of the devices included in the system to be diagnosed.
  • Appendix 8 The analysis system according to Appendix 7, wherein some of the devices included in the diagnosis target system are devices included in the same subnet of the diagnosis target system.
  • Appendix 9 The analysis system according to Appendix 7, wherein some of the devices included in the system to be diagnosed are devices capable of direct communication.
  • Appendix 10 The analysis system according to any one of Appendix 1 to Appendix 9, further comprising a display control unit that displays an attack graph generated by the analysis unit on a display device.
  • An analysis method characterized by generating an attack graph from a node corresponding to the start point fact to a node corresponding to the end point fact when the end point fact can be derived from the start point fact by analysis.
  • a fact generation process that generates a fact that is data representing the security status of the diagnosis target system based on information about each device included in the diagnosis target system, and a fact generation process.
  • One or more pairs of a starting point fact, which is a fact indicating the possibility of an attack on the starting device, and an ending fact, which is a fact indicating the possibility of an attack on the ending device, are generated, and the starting point is generated for each pair.
  • the end point fact can be derived from the start point fact based on the fact representing the state of the device generated based on, the start fact, and one or more analysis rules for analyzing the attack.
  • An analysis program for executing an analysis process that analyzes and generates an attack graph from the node corresponding to the starting point fact to the node corresponding to the ending point fact when the ending point fact can be derived from the starting point fact. ..
  • the present invention is suitably applied to an analysis system that analyzes an attack on a system to be diagnosed.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Debugging And Monitoring (AREA)

Abstract

リスク分析の計算量を削減することができる分析システムを提供する。分析部６は、起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成する。分析部６は、組毎に、起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成されたファクトを用いることなく、起点となる機器に関する情報および終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、起点ファクトから終点ファクトを導出可能であるか否かを分析し、起点ファクトから終点ファクトを導出可能である場合に、起点ファクトに対応するノードから、終点ファクトに対応するノードに至る攻撃グラフを生成する。

Description

分析システム、方法およびプログラム
　本発明は、診断対象システムへの攻撃の分析を行う分析システム、分析方法および分析プログラムに関する。
　複数のコンピュータ等を含む情報処理システムにおいて、情報資産をサイバー攻撃等から守るためのセキュリティ対策をとることが求められている。セキュリティ対策としては、対象となるシステムの脆弱性等を診断し、必要に応じて脆弱性を取り除くこと等が挙げられる。
　特許文献１には、脆弱性個々の技術的な特性に加え、システム構成やトポロジに基づいて脆弱性リスクを評価し、現実のシステム状況に対応したリスク評価を行うシステムが記載されている。特許文献１に記載の技術では、機器、ネットワーク、脆弱性およびセキュリティ設定の各情報に対しグラフ理論を適用して、これらの関係をモデル化（グラフ化）している。さらに、当該モデルに推論アルゴリズムを適用することでシステムのリスクを評価している。
特開２０１６－１４３２９９号公報
　しかしながら、大規模なシステムを対象とすると、機器、ネットワーク、脆弱性およびセキュリティ設定の各情報が膨大になり、特許文献１に記載の技術で用いられるモデル（グラフ）は大規模なものになる。その結果、その大規模なモデル（グラフ）に推論アルゴリズムを適用すると、計算量が指数的に増加するという課題がある。
　そこで、本発明は、リスク分析の計算量を削減することができる分析システム、分析方法および分析プログラムを提供することを目的とする。
　本発明による分析システムは、診断対象システムに含まれる各機器に関する情報に基づいて、診断対象システムのセキュリティ状況を表わすデータであるファクトを生成するファクト生成部と、起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成し、組毎に、起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成された機器の状態を表わすファクトを用いることなく、起点となる機器に関する情報および終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、起点ファクトから終点ファクトを導出可能であるか否かを分析し、起点ファクトから終点ファクトを導出可能である場合に、起点ファクトに対応するノードから、終点ファクトに対応するノードに至る攻撃グラフを生成する分析部とを備えることを特徴とする。
　本発明による分析方法は、コンピュータが、診断対象システムに含まれる各機器に関する情報に基づいて、診断対象システムのセキュリティ状況を表わすデータであるファクトを生成し、起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成し、組毎に、起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成された機器の状態を表わすファクトを用いることなく、起点となる機器に関する情報および終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、起点ファクトから終点ファクトを導出可能であるか否かを分析し、起点ファクトから終点ファクトを導出可能である場合に、起点ファクトに対応するノードから、終点ファクトに対応するノードに至る攻撃グラフを生成することを特徴とする。
　本発明による分析プログラムは、コンピュータに、診断対象システムに含まれる各機器に関する情報に基づいて、診断対象システムのセキュリティ状況を表わすデータであるファクトを生成するファクト生成処理、および、起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成し、組毎に、起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成された機器の状態を表わすファクトを用いることなく、起点となる機器に関する情報および終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、起点ファクトから終点ファクトを導出可能であるか否かを分析し、起点ファクトから終点ファクトを導出可能である場合に、起点ファクトに対応するノードから、終点ファクトに対応するノードに至る攻撃グラフを生成する分析処理を実行させることを特徴とする。
　本発明によれば、リスク分析の計算量を削減することができる。
一般的な攻撃グラフの例を示す模式図である。 本発明の実施形態の分析システムの例を示すブロック図である。 生成されるファクトの例を示す図である。 分析ルールの一例を示す図である。 終点となるファクトに該当するノードが１つである攻撃グラフの例を示す模式図である。 終点となるファクトに該当するノードが２つである攻撃グラフの例を示す模式図である。 本発明の実施形態の分析システムの処理経過の例を示すフローチャートである。 本発明の実施形態の分析システムの処理経過の例を示すフローチャートである。 重複するパスを含む攻撃グラフの例を示す概略図である。 起点となるファクトと終点となるファクトとの組毎に生成される攻撃グラフの概略図である。 本発明の実施形態の分析システムに係るコンピュータの構成例を示す概略ブロック図である。 本発明の分析システムの概要を示すブロック図である。
　以下の各実施形態にて説明する分析システムは、診断対象システムにおけるサイバー攻撃を分析するためのシステムである。診断対象システムは、セキュリティ診断の対象となるシステムである。診断対象システムの例として、例えば、企業内のＩＴ（Information Technology）システムや、工場やプラント等を制御するためのいわゆるＯＴ（Operational Technology）システム等が挙げられる。ただし、診断対象システムは、これらのシステムに限られない。複数の機器が通信ネットワークを介して接続されたシステムが、診断対象システムとなり得る。
　診断対象システムに含まれる各機器は、通信ネットワークを介して接続されている。診断対象システムに含まれる機器の例として、例えば、パーソナルコンピュータ、サーバ、スイッチ、ルータ、工場に設置される工作機器、工作機器の制御装置等が挙げられる。ただし、機器は、上記の例に限定されない。また、機器は、物理的な機器であっても、仮想的な機器であってもよい。
　診断対象システムへの攻撃の分析の一態様として、攻撃グラフを用いた分析が挙げられる。攻撃グラフは、ある機器の脆弱性の有無等の状態や、ある機器において実行可能な攻撃から、他の機器において実行可能になる攻撃の関係を表わすことができるグラフである。攻撃グラフは、セキュリティに関連し得る何らかの状態（機器、ネットワーク、脆弱性およびセキュリティ設定等）をファクトとして定義し、それらをノードとし、ファクト間の関係をエッジとする有向グラフでとして表される。
　ここで、ファクトとは、診断対象システムのセキュリティ状況を表わすデータである。より詳細な一例として、ファクトは、診断対象システム、または、診断対象システムに含まれる機器における、主にセキュリティに関連し得る何らかの状態を表わす。別の詳細な一例として、ファクトは、診断対象システムに含まれる各機器において行われ得る攻撃を表わす。この場合のファクトは、後述のように、機器と攻撃状態との組という形式や、機器、攻撃状態および権限の組という形式で表される。なお、攻撃の分析において、診断対象システムに含まれる機器にて何らかの攻撃が行われ得ることを仮定する場合が想定される。このような仮定がファクトとして扱われてもよい。
　ファクトは、診断対象システムに含まれる各機器から得られた情報から定めることができる。さらに、既存のファクトから新たなファクトを導出するためのルール（以下、分析ルールと記す。）によって、１つ以上の既存のファクトから新たなファクトを導出することができる。例えば、診断対象システムに含まれる各機器から得られた情報から定まるファクトを基にして、分析ルールを用いて新たなファクトを導出することができる。さらに、各機器から得られた情報から定まるファクトや新たに得られたファクトを基にしてまた新たなファクトを導出することができる。分析ルールによって新たなファクトが導出できなくなるまで、この動作を繰り返す。そして、ファクトのそれぞれをノードとし、新たに得られたファクトの基になるファクトに対応するノードからその新たに得られたファクトに対応するノードに向かうエッジでファクトに対応するノード同士を接続することで攻撃グラフを生成することができる。
　図１は、このようにして得られた一般的な攻撃グラフの例を示す模式図である。図１において、「ファクト」と記した矩形で表されるノードは、各機器から得られた情報から定まるファクトを表わしている。また、図１において、円で表されるノードおよび「ゴール」と記した矩形で表されるノードは、分析ルールを用いて新たに導出されたファクトを表わしている。なお、図１における「ゴール」は、分析ルールを用いて新たに導出されたファクトの一部であり、分析ルールを用いたファクトの導出の終点としたファクトを表わす。
　以下に説明する各実施形態の分析システムは、診断対象システムへの攻撃の分析に用いられ得る攻撃グラフを生成する。ただし、各実施形態の分析システムは、起点および終点となるファクトの組を１つ以上生成し、組毎に、それぞれ攻撃グラフを生成する。
　以下、本発明の実施形態を図面を参照して説明する。
実施形態１．
　図２は、本発明の実施形態の分析システムの例を示すブロック図である。本実施形態の分析システム１は、データ収集部２と、データ記憶部３と、ファクト生成部４と、分析ルール記憶部５と、分析部６と、攻撃グラフ記憶部７と、表示制御部８と、ディスプレイ装置９とを備える。
　データ収集部２は、診断対象システムに含まれる各機器に関する情報を収集する。
　機器に関する情報は、機器のセキュリティに関連し得る情報である。データ収集部２が収集する機器に関する情報の例として、例えば、機器に搭載されているＯＳ（Operating System）やそのバージョン情報、機器に搭載されているハードウェアの構成情報、機器に搭載されているソフトウェアやそのバージョン情報、機器が他の機器との間で授受する通信データやその通信データの授受に用いた通信プロトコルの情報、機器のポートの状態を示す情報（どのポートが開いているか）等が挙げられる。通信データには、その通信データの送信元や送信先の情報が含まれている。データ収集部２は、これらの情報を収集する。ただし、データ収集部２が収集する情報の例は、上記の例に限定されない。データ収集部２は、機器に関する情報として、機器のセキュリティに関連し得る他の情報を収集してもよい。
　データ収集部２は、診断対象システムに含まれる各機器から、直接、機器に関する情報を収集してもよい。この場合、分析システム１は、各機器と通信ネットワークを介して接続されていて、データ収集部２は、通信ネットワークを介して、各機器から情報を収集すればよい。
　あるいは、データ収集部２は、各機器の情報を収集する情報収集サーバから、各機器に関する情報を取得してもよい。この場合、分析システム１は、情報収集サーバと通信ネットワークを介して接続されていて、データ収集部２は、通信ネットワークを介して、情報収集サーバから各機器に関する情報を収集すればよい。
　また、各機器にエージェントが搭載されている場合には、データ収集部２は、エージェントを介して各機器に関する情報を収集してもよい。すなわち、データ収集部２は、エージェントを介して各機器の情報を収集した情報収集サーバから各機器に関する情報を取得してもよい。
　各機器に搭載されたエージェントのそれぞれが、機器に関する情報を情報収集サーバに送信し、データ収集部２は、その情報収集サーバから、診断対象システムに含まれる各機器に関する情報を収集してもよい。この場合、例えば、分析システム１は、情報収集サーバと通信ネットワークを介して接続されていて、データ収集部２は、通信ネットワークを介して、その情報収集サーバから各機器に関する情報を収集すればよい。
　データ収集部２は、診断対象システムに含まれる各機器に関する情報を収集すると、その情報を、データ記憶部３に記憶させる。
　データ記憶部３は、データ収集部２が収集した各機器に関する情報を記憶する記憶装置である。
　ファクト生成部４は、データ収集部２が収集した各機器に関する情報に基づいて、１つ以上のファクトを生成する。既に説明したように、ファクトとは、診断対象システムのセキュリティ状況を表わす。ファクト生成部４で生成されるファクトは、各機器から得られた具体的な情報から導き出される、診断対象システムに含まれる１つ以上の機器の主にセキュリティに関連する何らかの状態を表わす。
　ファクト生成部４は、例えば、事前に用意された、生成しようとするファクトを表わす１つ以上のテンプレートが含まれるファクト生成用ルールを参照し、それぞれのテンプレートに各機器に関する情報が合致するか否かを判断することで１つ以上のファクトを生成する。生成されたファクトのパラメータには、各機器に関する情報が適宜当てはめられる。
　図３は、生成されるファクトの例を示す。図３では、３つのファクトを例示しているが、ファクトは、図３に示す３つのファクトに限定されず、分析部６における処理に必要なファクトが適宜生成されればよい。
　図３において例１として示したファクトは、「機器‘ホストＡ’から機器‘ホストＢ’にＨＴＴＰ（HyperText Transfer Protocol ）の通信が可能である。」という事項を表わしている。
　図３において例２として示したファクトは、「機器‘ホストＢ’に搭載されたソフトウェア１に脆弱性があり、その脆弱性を攻撃することによって、管理者権限を取得できる。」という事項を表わしている。
　図３において例３として示したファクトは、「攻撃者が、機器‘ホストＡ’において管理者権限を有している。」という事項を表わしている。
　なお、ファクトの記述形式は、図３に示す例に限定されず、分析部６における処理が実行可能であれば他の形式であってもよい。
　分析ルール記憶部５は、分析ルールを記憶する記憶装置である。分析ルールは、既存のファクトから新たなファクトを導出するためのルールである。なお、分析ルールを用いて導出されるファクトは、主に、診断対象システムに含まれる各機器において行われ得る攻撃を表わすファクトである。分析ルール記憶部５は、診断対象システムに応じた１つ以上の分析ルールを記憶する。
　図４は、分析ルールの一例を示す。分析ルールは、導出される新たなファクトを表わす要素と、条件に該当する要素とを少なくとも含む。すなわち、分析ルールは、条件と合致するファクトが存在する場合に、新たなファクトが導出されることを表わす。図４に示す例では、１行目の要素が、導出される新たなファクトを表わす要素である。また、２行目から４行目までの各要素が、条件に該当する要素である。図４に示す分析ルールでは、３つの条件の全てにそれぞれ合致するファクトが存在する場合に、１行目に表される新たなファクトが導出される。また、分析ルールには、その分析ルールに対して一意に定められたラベルを表わす要素が含まれてもよい。図４に示す例では、５行目の要素が、分析ルールに一意に定められたラベルを表わす要素である。５行目の要素は、図４に示す分析ルールのラベルが「任意コード実行（exec01）」であることを表わしている。
　図４において、大文字で始まるパラメータは、変数である。変数となるパラメータは、合致させるファクトに応じて変化してよいことを表わす。図４に示す例では、「SrcHost 」および「DstHost 」が変数である。変数となるパラメータには、機器から収集された情報に含まれる種々の情報が当てはめられる。１つの分析ルールにおいて、同じパラメータで記述される変数には、共通の値が当てはめられる。例えば、図４における２行目および４行目に記述された変数「SrcHost 」には、共通の具体的な機器ＩＤが当てはめられる。同様に、図４における２行目および３行目に記述された変数「DstHost 」には、共通の具体的な機器ＩＤが当てはめられる。
　図４に示す分析ルールでは、条件に含まれる同じ変数に対しては、機器に関する同じ情報が当てはめられる。すなわち、図４に示す分析ルールでは、「SrcHost 」および「DstHost 」のパラメータそれぞれについて、機器に関する同一の情報が当てはめられる。そして、図４に示す例では、変数に対して上述のように機器に関する情報が当てはめられ、かつ、それぞれの条件に合致するそれぞれのファクトが存在する場合、１行目に表される新たなファクトが導出される。また、１行目に表される新たなファクトとして、機器に関する情報が変数に当てはめられたファクトが導出される。
　なお、分析ルールの記述形式は、図４に示す例に限定されない。
　分析部６は、起点および終点となるファクトの１つ以上の組のそれぞれのうち、起点となるファクトから終点となるファクトを導出可能である組について、攻撃グラフを生成する。分析部６は、一例として、起点となるファクトから終点となるファクトを導出可能か否かを分析する。そして、分析部６は、起点となるファクトから終点となるファクトを導出可能である場合に、攻撃グラフを生成する。分析部６は、起点となる機器に関する情報および終点となる機器に関する情報から生成されたファクト、起点となるファクト、および、分析ルール記憶部５に記憶された分析ルールを用いて、分析、および、攻撃グラフの生成を行う。このとき、分析部６は、起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報から生成されたファクトは用いない。
　起点となるファクトを、単に、起点ファクトと称する場合がある。同様に、終点となるファクトを、単に、終点ファクトと称する場合がある。
　なお、起点および終点となるファクトのそれぞれは、通常、診断対象システムに含まれる各機器において行われ得る攻撃を表わすファクト（攻撃可能性を表わすファクト）である。すなわち、起点となるファクトから終点となるファクトを導出可能であることは、起点となる機器において何らかの攻撃が可能な場合に、終点となる機器において別の攻撃が可能であることを示す。起点となるファクトから終点となるファクトを導出できないということは、起点となる機器において何らかの攻撃が可能であっても、終点となる機器において、終点となるファクトが表わす別の攻撃を実行できないことを示す。
　より具体的な動作例を説明する。分析部６は、攻撃グラフの起点となるファクトと、攻撃グラフの終点となるファクトとの１つ以上の組を生成する。起点および終点となるファクトのそれぞれは、起点となる機器および終点となる機器において行われ得る攻撃を表わすファクトである。
　分析部６は、攻撃グラフの起点となるファクトと攻撃グラフの終点となるファクトとの組毎に、起点となる機器に関する情報および終点となる機器に関する情報から生成されたファクト、起点となるファクト、および、分析ルール記憶部５に記憶された分析ルールに基づいて、起点となるファクトから終点となるファクトを導出可能であるか否かを分析する。このとき、分析部６は、起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報から生成されたファクトを用いない。
　ここで、攻撃グラフの起点となるファクト、および、攻撃グラフの終点となるファクトについて説明する。
　攻撃には複数の種類があり、機器の有する脆弱性に応じて、受ける可能性がある攻撃が異なる。そこで、本発明の実施形態では、脆弱性によって攻撃を受ける可能性がある機器の状態を攻撃状態と定義する。例えば、攻撃状態として、「コードを実行できる状態（以下、任意コード実行と記す。）」、「データを改ざんできる状態（以下、データ改ざんと記す。）」等が挙げられる。本実施形態では、「任意コード実行」、「データ改ざん」という２種類の攻撃状態が定められている場合を例にする。ただし、攻撃状態は、上記の２種類に限定されない。診断対象システムで起こり得る攻撃に応じて、この他の種類の攻撃状態が定められていてもよい。また、複数の攻撃状態を包含する攻撃状態が定められていてもよい。
　分析部６は、攻撃グラフの起点となるファクトとして、診断対象システムに含まれる各機器の機器ＩＤのうちの１つと、予め定められた複数種類の攻撃状態のうちの１つと、攻撃状態と対応し得る権限のうちの１つとの組み合わせを生成する。
　同様に、分析部６は、攻撃グラフの終点となるファクトとして、診断対象システムに含まれる各機器の機器ＩＤのうちの１つと、予め定められた複数種類の攻撃状態のうちの１つと、攻撃状態と対応し得る権限のうちの１つとの組み合わせを生成する。
　ここで、「権限」は、攻撃状態が示す攻撃を行う際の権限を含む。この場合の権限は、例えば、管理者権限または一般権限のいずれかである。また、「権限」には、攻撃状態が示す攻撃を行う際に権限が関連しないという事項（以下、「権限関連なし」と記す。）が含まれ得る。従って、予め定められた複数種類の権限は、一例として、「管理者権限」、「一般権限」および「権限関連なし」である。
　攻撃状態と権限との組み合わせは、攻撃状態の具体的な内容に応じて適宜定められる。例えば、「任意コード実行」、「データ改ざん」が示す各攻撃は、管理者権限または一般権限等の何らかの権限の下で行われ得る。従って、「任意コード実行」、「データ改ざん」の各攻撃状態に対しては、各攻撃状態の具体的内容に応じて、「管理者権限」や「一般権限」等の適当な権限が組み合わせられる。なお、本例では、攻撃状態は、「任意コード実行」、「データ改ざん」の２種類であるので、「権限関連なし」と組み合わされる攻撃状態はない。
　分析部６は、このような攻撃状態と権限との組み合わせのもとで、攻撃グラフの起点となるファクトとして、診断対象システムに含まれる機器のうちの１つに対応する機器と、複数種類の攻撃状態のうちの１つと、攻撃状態と対応し得る権限のうちの１つとの組み合わせを生成する。同様に、分析部６は、このような攻撃状態と権限との組み合わせのもとで、攻撃グラフの終点となるファクトとして、診断対象システムに含まれる機器のうちの１つに対応する機器と、複数種類の攻撃状態のうちの１つと、攻撃状態と対応し得る権限のうちの１つとの組み合わせを生成する。
　このように、本実施形態では、「機器、攻撃状態、権限」の組み合わせを、攻撃グラフの起点となるファクトや、攻撃グラフの終点となるファクトとして扱う。なお、攻撃グラフの生成において、ファクトに含まれる機器は、例えば、機器ＩＤによって表される。すなわち、起点および終点となるファクトのそれぞれは、機器ＩＤによって表される機器において、攻撃状態として表される攻撃を受ける可能性があることを表わすファクトである。
　さらに、分析部６は、攻撃グラフの起点となるファクト（「機器、攻撃状態、権限」の組み合わせ）と、攻撃グラフの終点となるファクト（「機器、攻撃状態、権限」の組み合わせ）との組を定める。分析部６は、この場合に、診断対象システムにおける、起点となるファクトと終点となるファクトとの全ての組を網羅的に定めてもよいし、一部の組を定めてもよい。一部の組を定める場合、分析部６は、診断対象システム内の特定のサブネットに含まれる機器等、診断対象システムに含まれる機器の一部を対象として、起点となるファクトと終点となるファクトとの組を定めてもよい。すなわち、分析部６は、起点となるファクトおよび終点となるファクトを、診断対象システムに含まれる機器のうちの一部の機器に基づいて生成する場合、診断対象システムの同一のサブネットに含まれる機器を、その一部の機器としてもよい。また、分析部６は、通信の際に他の機器を介する必要がある機器の組、すなわち、直接通信できない機器の組を除外して、起点となるファクトと終点となるファクトとの組を定めてもよい。換言すれば、分析部６は、起点となるファクトおよび終点となるファクトを、診断対象システムに含まれる機器のうちの一部の機器に基づいて生成する場合、直接通信できる機器を、その一部の機器としてもよい。
　このとき、分析部６は、起点側の機器と終点側の機器との組み合わせをそれぞれ定め、それぞれの機器の組み合わせのもとで、起点となるファクト（「機器、攻撃状態、権限」の組み合わせ）と、終点となるファクト（「機器、攻撃状態、権限」の組み合わせ）との組を定めてもよい。
　なお、起点となるファクトに含まれる機器と、終点となるファクトに含まれる機器とが、同じ機器であってもよい。すなわち、分析部６は、ある機器の１つの攻撃状態から、別の攻撃状態へ到達可能であるか、換言すると、ある機器においてある攻撃が可能な場合に、その機器で他の攻撃が可能になるかの分析も行うことができる。
　上記のように、起点となるファクトと終点となるファクトとの１つ以上の組を定めた後、分析部６は、その組毎に、起点となる機器に関する情報および終点となる機器に関する情報から生成された各々の機器の状態を表わすファクト、起点となるファクト、および、予め定められた１つ以上の分析ルールに基づいて、起点となるファクトから終点となるファクトを導出可能か否かを分析する。この場合、分析部６は、例えば、分析ルール記憶部５に記憶された分析ルールを基に推論アルゴリズムを適用すればよい。
　なお、分析部６は、他の手法を用いて、起点となるファクトから終点となるファクトを導出可能かを分析してもよい。この場合、分析部６は、起点となるファクトから終点となるファクトを導出できないと判定できた場合に、その組に対する分析を終了してもよい。
　そして、分析部６は、着目している組における起点となるファクトから終点となるファクトまでの攻撃グラフを生成する。攻撃グラフを生成する場合、分析部６は、起点となるファクトから終点となるファクトに至るまでの各ファクトにおいて、各ファクトをノードとして、新たに導出されたファクトの基になるファクトからその新たに導出されたファクトに向かうエッジでファクト同士を接続する。
　生成される攻撃グラフにおいて、終点となるファクトに該当するノードは１つとは限らない。終点となるファクトに該当するノードが複数存在する攻撃グラフが生成されてもよい。図５は、終点となるファクトに該当するノードが１つである攻撃グラフの例を示す模式図である。図６は、終点となるファクトに該当するノードが２つである攻撃グラフの例を示す模式図である。図５および図６において、“Ｓ”は起点となるファクトを表わし、“Ｅ”は終点となるファクトを表わす。図６に示す２つのファクト“Ｅ”の内容は同一である。同一の内容の２つのファクト“Ｅ”は、それぞれ異なる分析ルールに基づいて導出されたファクトである。すなわち、ファクトの導出に用いた分析ルールが異なっていても、終点となる同一内容のファクトが複数個、導出され得る。図６は、このような場合を例示している。
　分析部６は、起点および終点となるファクトの組毎に、起点となるファクトから終点となるファクトを導出可能か否かを分析し、終点となるファクトを導出できる場合に攻撃グラフを生成する。そして、分析部６は、生成した各攻撃グラフを攻撃グラフ記憶部７に記憶させる。攻撃グラフ記憶部７は、攻撃グラフを記憶する記憶装置である。
　表示制御部８は、分析部６によって生成された各攻撃グラフをディスプレイ装置９上に表示する。表示制御部８は、攻撃グラフ記憶部７から各攻撃グラフを読み込み、各攻撃グラフをディスプレイ装置９上に表示すればよい。
　また、表示制御部８は、攻撃グラフとともに、他の情報をディスプレイ装置９上に表示してもよい。
　例えば、表示制御部８は、起点となるファクト、終点となるファクト、および、それらのファクトが成立するか（例えば、起点となるファクトで仮定した攻撃が、起点となる機器で実際に起こり得るか等）を表示してもよい。
　また、例えば、表示制御部８は、分析で用いた各ファクトや機器の情報を表示してもよい。
　また、例えば、表示制御部８は、攻撃グラフ毎に、攻撃グラフの生成過程を表示してもよい。
　また、例えば、表示制御部８は、起点となるファクトから終点となるファクトを導出できなかった組に関して、終点となるファクトを導出できなかったことを表示してもよい。換言すれば、表示制御部８は、その組に関して、攻撃グラフが生成されなかったことを表示してもよい。この表示により、セキュリティ管理者（以下、単に管理者と記す。）は、起点となる機器である攻撃が可能であっても、そのことが起因となって、終点となる機器で別の攻撃が可能になるわけではないという、有用な情報を把握できる。
　上記のように例示した情報によって、管理者にとって、診断対象システムの管理や、攻撃に対する対策立案が容易になる。
　ディスプレイ装置９は、情報を表示する装置であり、一般的なディスプレイ装置でよい。なお、分析システム１がクラウド上に存在する場合には、ディスプレイ装置９は、クラウドに接続される端末のディスプレイ装置等であってもよい。
　データ収集部２は、例えば、分析プログラムに従って動作するコンピュータのＣＰＵ（Central Processing Unit ）、および、そのコンピュータの通信インタフェースによって実現される。例えば、ＣＰＵが、コンピュータのプログラム記憶装置等のプログラム記録媒体から分析プログラムを読み込み、その分析プログラムに従って、通信インタフェースを用いて、データ収集部２として動作すればよい。また、ファクト生成部４、分析部６および表示制御部８は、例えば、分析プログラムに従って動作するコンピュータのＣＰＵによって実現される。例えば、ＣＰＵが上記のようにプログラム記録媒体から分析プログラムを読み込み、その分析プログラムに従って、ファクト生成部４、分析部６および表示制御部８として動作すればよい。データ記憶部３、分析ルール記憶部５および攻撃グラフ記憶部７は、例えば、コンピュータが備える記憶装置によって実現される。
　次に、処理経過について説明する。図７および図８は、本発明の実施形態の分析システムの処理経過の例を示すフローチャートである。既に説明した事項については説明を省略する。
　まず、データ収集部２が、診断対象システムに含まれる各機器に関する情報を収集する（ステップＳ１）。データ収集部２は、収集したデータをデータ記憶部３に記憶させる。
　次に、ファクト生成部４が、各機器に関する情報に基づいて、１つ以上のファクトを生成する（ステップＳ２）。
　次に、分析部６が、攻撃グラフの起点となるファクトとして、機器のうちの１つと、複数種類の攻撃状態のうちの１つと、攻撃状態と対応し得る権限のうちの１つとの組み合わせを生成する。同様に、分析部６は、攻撃グラフの終点となるファクトとして、機器のうちの１つと、複数種類の攻撃状態のうちの１つと、攻撃状態と対応し得る権限のうちの１つとの組み合わせを生成する（ステップＳ３）。
　次に、分析部６が、攻撃グラフの起点となるファクトと、攻撃グラフの終点となるファクトとの組を１つ以上、生成する（ステップＳ４）。
　次に、分析部６は、ステップＳ４で生成された組が全てステップＳ６で選択済みであるか否かを判定する（ステップＳ５）。未選択の組がある場合（ステップＳ５のＮｏ）、ステップＳ６に移行する。最初にステップＳ４からステップＳ５に移行した場合、１つの組も選択されていない。従って、この場合、ステップＳ６に移行する。
　ステップＳ６において、分析部６は、ステップＳ４で生成された組のうち、まだ選択されていない組を１つ選択する。
　ステップＳ６に続いて、分析部６は、ファクトを取捨選択する（ステップＳ６ａ）。ステップＳ６ａにおいて、分析部６は、ステップＳ７の分析で用いるファクトを選択し、ステップＳ７の分析で用いないファクトについては選択しない。具体的には、分析部６は、起点となる機器に関する情報および終点となる機器に関する情報から生成されたファクトと、起点となるファクトとを選択する。また、分析部６は、起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成されたファクトについては選択しない。起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成されたファクトは、ステップＳ７の分析で用いられない。
　ステップＳ６ａの後、分析部６は、選択した組に関して、起点となるファクトから終点となるファクトを導出可能か否かを分析する（ステップＳ７）。ステップＳ７の開始時点では、分析部６は、起点となる機器に関する情報および終点となる機器に関する情報から生成されたファクト、および、起点となるファクト（すなわち、ステップＳ６ａで選択したファクト）とを既存のファクト（参照対象のファクト）とする。そして、分析部６は、分析ルールに基づいて新たなファクトを導出した場合、その新たなファクトを上記の既存のファクト（参照対象のファクト）に追加する。分析部６は、既存のファクト（参照対象のファクト）と分析ルールに基づいて、新たなファクトの導出を繰り返すことによって、終点となるファクトを導出可能か否かを分析する。新たなファクトを導出できなくなるまで新たなファクトの導出を繰り返しても、選択している組における終点となるファクトが得られなかった場合には、分析部６は、起点となるファクトから終点となるファクトを導出できないと判断する。
　起点となるファクトから終点となるファクトを導出できなかった場合（ステップＳ８のＮｏ）、分析部６はステップＳ５以降の処理を繰り返す。
　起点となるファクトから終点となるファクトを導出できた場合（ステップＳ８のＹｅｓ）、分析部６は、選択した組における、ファクトをノードとし、起点となるファクトから終点となるファクトまでの攻撃グラフを生成し、その攻撃グラフを攻撃グラフ記憶部７に記憶させる（ステップＳ９）。ステップＳ９の後、分析部６はステップＳ５以降の処理を繰り返す。
　分析部６が、ステップＳ４で生成された組が全てステップＳ６で選択済みであると判定した場合（ステップＳ５のＹｅｓ）、表示制御部８は、攻撃グラフ記憶部７に記憶されている各攻撃グラフを読み込み、各攻撃グラフをディスプレイ装置９上に表示する（ステップＳ１０、図８参照）。
　本実施形態によれば、分析部６は、攻撃グラフの起点となるファクトと、攻撃グラフの終点となるファクトとの１つ以上の組を生成する。さらに、分析部６は、ステップＳ６で１つの組を選択し、その組に関して、終点となるファクトを導出可能か否かの分析（ステップＳ７）を行う場合、ステップＳ７の開始時点で、起点となる機器に関する情報および終点となる機器に関する情報から生成されたファクトと、起点となるファクトとを既存のファクトとする。つまり、その時点では、これらの既存のファクトが分析部６による参照対象のファクトとなる。従って、ファクト生成部４によって生成されたファクトのうち、起点となる機器に関する情報および終点となる機器に関する情報から生成されたファクトが、ステップＳ７において参照対象とされる。これら以外のファクトは、ステップＳ７における参照対象から除外される。参照対象から除外されるファクトと、ステップＳ７の開始時点で既存のファクトとなるファクトとの選別は、ステップＳ６ａで行われる。すなわち、ステップＳ６ａで、分析部６は、起点となる機器に関する情報および終点となる機器に関する情報から生成されたファクトと、起点となるファクトとを選択する。これらのファクトは、ステップＳ７の開始時点で既存のファクトとなる。また、ステップＳ６ａで、分析部６は、起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成されたファクトについては選択しない。この結果、これらのファクトは、ステップＳ７における参照対象から除外される。これにより、起点となるファクトから終点となるファクトを導出可能かを分析する際に、冗長なファクトを導出することなく、起点となるファクトから終点となるファクトを導出可能であるか否かが分析される。従って、組毎に攻撃グラフを生成する際の計算量を抑えることができる。すなわち、本実施形態では、計算量を抑えて、診断対象システムへの攻撃を分析することができる。
　参照対象とするファクトを制限せずに攻撃グラフを生成する場合と、本実施形態における攻撃グラフの生成とを比較する。参照対象とするファクトを制限せずに攻撃グラフを生成する場合には、診断対象システムに含まれる機器の数が増加するほど、機器の状態を表わすファクトが増加するため、結果として、分析ルールから新たに生成されるファクトも増加する。そのため、攻撃グラフ生成に要する計算時間が増加していく。
　一方、本実施形態では、分析部６が、攻撃グラフの起点となるファクトと、攻撃グラフの終点となるファクトとの１つ以上の組について攻撃グラフを生成する。そして、前述のように、各々の組に関して起点となるファクトから終点となるファクトを導出可能か否かの分析を開始する時点で、参照対象となるファクトが制限される。すなわち、この場合においては、起点となる機器に関する情報および終点となる機器に関する情報から生成されたファクトと、起点となるファクトとが参照対象のファクトとなる。起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成されたファクトは、ステップＳ７における参照対象から除外される。これにより、起点となる機器および終点となる機器以外の機器に関連するファクトの導出等を行わずに、起点となるファクトから終点となるファクトを導出可能か否かの分析が行われる。換言すると、参照対象となるファクトが制限されることで、起点となるファクトから終点となるファクトを直接的に導出するような一連のファクトが導出され、その他の冗長なファクトの導出が抑制される。従って、起点となるファクトから終点となるファクトに至る攻撃グラフの生成に必要な計算量の削減が可能となる。すなわち、リスク分析の計算量を削減することができる。
　また、１つの攻撃グラフには、重複するパスが複数存在する場合がある。図９は、重複するパスを含む攻撃グラフの例を示す概略図である。図９に示す例では、ファクトＣからファクトＤに至るパスや、ファクトＢからファクトＤに至るパスが複数存在する。本発明の実施形態では、参照対象となるファクトを、起点となる機器および終点となる機器に関連するファクトに絞り込むことで、重複するパスが生じる可能性を削減することができる。
　次に、本発明の実施形態の変形例について説明する。
　上記の実施形態では、分析部６が、攻撃グラフの起点となるファクトや終点となるファクトとして、機器のうちの１つと、複数種類の攻撃状態のうちの１つと、攻撃対象と対応し得る権限のうちの１つとの組み合わせを生成する場合を説明した。攻撃グラフの起点となるファクトや終点となるファクトを生成する場合に、分析部６は、権限を組み合わせに含めずに、機器のうちの１つと、複数種類の攻撃状態のうちの１つとの組み合わせを、起点となるファクトや終点となるファクトとして生成してもよい。すなわち、起点または終点となるファクトは、少なくとも、機器と攻撃状態の組であればよい。この場合に、分析部６は、攻撃グラフの起点となるファクトとして、機器のうちの１つと、複数種類の攻撃状態のうちの１つとの組み合わせを生成し、攻撃グラフの終点となるファクトとして、機器のうちの１つと、複数種類の攻撃状態のうちの１つとの組み合わせを生成してもよい。
　本変形例によれば、起点や終点となるファクトに該当する組合せから、権限が除外されるので、分析部６は、より高速に処理を実行することができる。すなわち、分析部６は、より高速に攻撃グラフを生成することができる。
　また、分析部６は、最初に、起点や終点となるファクトとして、権限を除外した組み合わせを生成し、起点となるファクトから終点となるファクトを導出可能か否かを分析し、起点となるファクトから終点となるファクトを導出可能と判断した場合に、起点や終点となるファクトとして、機器と攻撃状態と権限とを含む組み合わせを改めて生成してもよい。そして、分析部６は、その上で、再度、起点となるファクトから終点となるファクトを導出可能か否かを分析してもよい。このように処理によって、起点や終点となるファクトとして権限を除外した組み合わせを生成する場合に生じ得る冗長な分析を防ぎつつ、効率よく攻撃グラフを生成することができる。
実施形態２．
　本発明の第２の実施形態の分析システムも、第１の実施形態と同様に、図２に例示するように表すことができる。よって、図２を参照して、第２の実施形態を説明する。
　本発明の第２の実施形態の分析システム１は、第１の実施形態と同様の動作を実施する。第１の実施形態と同様の動作については、説明を省略する。第２の実施形態では、分析部６が、生成した複数の攻撃グラフを接続する処理を、さらに行う。以下、分析部６が攻撃グラフを接続する動作について説明する。
　第２の実施形態では、分析部６は、ステップＳ５～Ｓ９のループ処理で得られた複数の攻撃グラフを接続できる場合に、複数の攻撃グラフを接続する。攻撃グラフを接続する条件は、ある攻撃グラフの終点となるファクトと、別の攻撃グラフの起点となるファクトとが一致することである。このように、ある攻撃グラフの終点となるファクトと、別の攻撃グラフの起点となるファクトとが一致する場合、分析部６は、その２つの攻撃グラフが接続可能であると判断する。そして、分析部６は、ある攻撃グラフの終点となるファクトに対応するノードと、別の攻撃グラフの起点となるファクトに対応するノードとを同一ノードとすることによって、その２つの攻撃グラフを接続する。また、攻撃グラフを接続する条件として、ある攻撃グラフの起点となるファクトと、別の攻撃グラフの起点となるファクトとが一致することも挙げられる。すなわち、ある攻撃グラフの起点となるファクトと、別の攻撃グラフの起点となるファクトとが一致する場合に、分析部６は、その２つの攻撃グラフが接続可能であると判断する。そして、分析部６は、ある攻撃グラフの起点となるファクトに対応するノードと、別の攻撃グラフの起点となるファクトに対応するノードとを同一ノードとすることによって、その２つのグラフを接続する。
　参照するファクトを絞り込まずに生成された、診断対象システム全体に関する攻撃グラフの概略図の一例は、前述の図９のように表すことができる。それに対して、分析部６が、起点となるファクトと終点となるファクトとの組毎に生成される攻撃グラフの概略図は、図１０に例示する攻撃グラフ５１～５６のように表すことができる。例えば、攻撃グラフ５１の終点となるファクトと、攻撃グラフ５４，５５の始点となるファクトとは一致している。従って、分析部６は、攻撃グラフ５１の終点となるファクトに対応するノードと、攻撃グラフ５４の起点となるファクトに対応するノードとを同一ノードとすることによって、攻撃グラフ５１，５４を接続する。同様に、分析部６は、攻撃グラフ５１，５４を接続する。分析部６は、同様に、接続可能な攻撃グラフ同士を接続する。また、攻撃グラフ５１，５２，５３それぞれの起点となるファクトは、一致している。従って、分析部６は、攻撃グラフ５１，５２，５３それぞれの起点となるファクトに対応するノードを同一ノードとすることによって、攻撃グラフ５１，５２，５３を接続する。
　なお、表示制御部８は、第１の実施形態の動作に加え、接続された後の攻撃グラフをディスプレイ装置９上に表示させてもよい。
　前述のように接続可能な攻撃グラフ同士を接続する処理を繰り返すことで、診断対象システム全体に関する攻撃グラフを生成することができる。第１の実施形態で説明したように、起点となるファクトと終点となるファクトとの組毎に生成する攻撃グラフの生成に要する計算量は少なくて済む。従って、第２の実施形態によれば、診断対象システム全体に対する攻撃グラフを直接生成する場合と比較して、少ない計算量で、診断対象システム全体に関する攻撃グラフを生成することができる。
　また、第２の実施形態によれば、診断対象システム全体に関する攻撃グラフを生成することができるので、管理者は、診断対象システム全体における攻撃の状況を把握することができる。そして、その結果として、管理者は、診断対象システム全体の脆弱性の判断や、その脆弱性に対する攻撃への対策の立案を容易に行うことができる。
　図１１は、本発明の各実施形態の分析システム１に係るコンピュータの構成例を示す概略ブロック図である。コンピュータ１０００は、ＣＰＵ１００１と、主記憶装置１００２と、補助記憶装置１００３と、インタフェース１００４と、ディスプレイ装置１００５と、通信インタフェース１００６とを備える。
　本発明の各実施形態の分析システム１は、コンピュータ１０００によって実現される。分析システム１の動作は、分析プログラムの形式で補助記憶装置１００３に記憶されている。ＣＰＵ１００１は、その分析プログラムを補助記憶装置１００３から読み出して主記憶装置１００２に展開し、その分析プログラムに従って、上記の各実施形態で説明した処理を実行する。
　補助記憶装置１００３は、一時的でない有形の媒体の例である。一時的でない有形の媒体の他の例として、インタフェース１００４を介して接続される磁気ディスク、光磁気ディスク、ＣＤ－ＲＯＭ（Compact Disk Read Only Memory ）、ＤＶＤ－ＲＯＭ（Digital Versatile Disk Read Only Memory ）、半導体メモリ等が挙げられる。また、プログラムが通信回線によってコンピュータ１０００に配信される場合、配信を受けたコンピュータ１０００がそのプログラムを主記憶装置１００２に展開し、そのプログラムに従って上記の各実施形態で説明した処理を実行してもよい。
　また、各構成要素の一部または全部は、汎用または専用の回路（circuitry ）、プロセッサ等やこれらの組み合わせによって実現されてもよい。これらは、単一のチップによって構成されてもよいし、バスを介して接続される複数のチップによって構成されてもよい。各構成要素の一部または全部は、上述した回路等とプログラムとの組み合わせによって実現されてもよい。
　各構成要素の一部または全部が複数の情報処理装置や回路等により実現される場合には、複数の情報処理装置や回路等は集中配置されてもよいし、分散配置されてもよい。例えば、情報処理装置や回路等は、クライアントアンドサーバシステム、クラウドコンピューティングシステム等、各々が通信ネットワークを介して接続される形態として実現されてもよい。
　次に、本発明の概要について説明する。図１２は、本発明の分析システムの概要を示すブロック図である。本発明の分析システムは、ファクト生成部４と、分析部６とを備える。
　ファクト生成部４は、診断対象システムに含まれる各機器に関する情報に基づいて、診断対象システムのセキュリティ状況を表わすデータであるファクトを生成する。
　分析部６は、起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成し、組毎に、起点となる機器と終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成された機器の状態を表わすファクトを用いることなく、起点となる機器に関する情報および終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、起点ファクトから終点ファクトを導出可能であるか否かを分析し、起点ファクトから終点ファクトを導出可能である場合に、起点ファクトに対応するノードから、終点ファクトに対応するノードに至る攻撃グラフを生成する。
　そのような構成によって、リスク分析の計算量を削減することができる。
　上記の本発明の実施形態は、以下の付記のようにも記載され得るが、以下に限定されるわけではない。
（付記１）
　診断対象システムに含まれる各機器に関する情報に基づいて、前記診断対象システムのセキュリティ状況を表わすデータであるファクトを生成するファクト生成部と、
　起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成し、組毎に、前記起点となる機器と前記終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成された機器の状態を表わすファクトを用いることなく、前記起点となる機器に関する情報および前記終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、前記起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、前記起点ファクトから前記終点ファクトを導出可能であるか否かを分析し、前記起点ファクトから前記終点ファクトを導出可能である場合に、前記起点ファクトに対応するノードから、前記終点ファクトに対応するノードに至る攻撃グラフを生成する分析部とを備える
　ことを特徴とする分析システム。
（付記２）
　分析部は、
　生成した攻撃グラフ同士が接続可能である場合に、前記攻撃グラフ同士を接続する
　付記１に記載の分析システム。
（付記３）
　分析部は、
　一の攻撃グラフの終点ファクトと、別の攻撃グラフの起点ファクトとが一致する場合に、前記一の攻撃グラフと前記別の攻撃グラフとが接続可能であると判断する
　付記２に記載の分析システム。
（付記４）
　分析部は、
　一の攻撃グラフの終点ファクトと、別の攻撃グラフの起点ファクトとが一致する場合に、前記終点ファクトに対応するノードと、前記起点ファクトに対応するノードとを同一ノードとすることによって、前記一の攻撃グラフと前記別の攻撃グラフとを接続する
　付記２または付記３に記載の分析システム。
（付記５）
　分析部は、
　起点ファクトとして、機器のうちの１つと、予め定められた複数種類の攻撃状態のうちの１つと、攻撃状態と対応し得る権限のうちの１つとの組み合わせを生成し、
　終点ファクトとして、機器のうちの１つと、前記複数種類の攻撃状態のうちの１つと、攻撃状態と対応し得る権限のうちの１つとの組み合わせを生成する
　付記１から付記４のうちのいずれかに記載の分析システム。
（付記６）
　分析ルールは、条件に該当する要素と、新たなファクトを表わす要素とを含み、
　分析部は、
　前記条件に該当する要素に合致する既存のファクトが存在する場合に、前記分析ルールに基づいて新たなファクトを導出し、当該新たなファクトを既存のファクトに追加する動作を繰り返し、新たなファクトが終点ファクトに該当する場合に、起点ファクトから前記終点ファクトを導出可能であると判断する
　付記１から付記５のうちのいずれかに記載の分析システム。
（付記７）
　分析部は、
　起点ファクトおよび終点ファクトを、診断対象システムに含まれる機器のうちの一部の機器に基づいて生成する
　付記１から付記６のうちのいずれかに記載の分析システム。
（付記８）
　診断対象システムに含まれる機器のうちの一部の機器は、前記診断対象システムの同一のサブネットに含まれる機器である
　付記７に記載の分析システム。
（付記９）
　診断対象システムに含まれる機器のうちの一部の機器は、直接通信できる機器である
　付記７に記載の分析システム。
（付記１０）
　分析部によって生成された攻撃グラフをディスプレイ装置上に表示する表示制御部を備える
　付記１から付記９のうちのいずれかに記載の分析システム。
（付記１１）
　コンピュータが、
　診断対象システムに含まれる各機器に関する情報に基づいて、前記診断対象システムのセキュリティ状況を表わすデータであるファクトを生成し、
　起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成し、組毎に、前記起点となる機器と前記終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成された機器の状態を表わすファクトを用いることなく、前記起点となる機器に関する情報および前記終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、前記起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、前記起点ファクトから前記終点ファクトを導出可能であるか否かを分析し、前記起点ファクトから前記終点ファクトを導出可能である場合に、前記起点ファクトに対応するノードから、前記終点ファクトに対応するノードに至る攻撃グラフを生成する
　ことを特徴とする分析方法。
（付記１２）
　コンピュータに、
　診断対象システムに含まれる各機器に関する情報に基づいて、前記診断対象システムのセキュリティ状況を表わすデータであるファクトを生成するファクト生成処理、および、
　起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成し、組毎に、前記起点となる機器と前記終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成された機器の状態を表わすファクトを用いることなく、前記起点となる機器に関する情報および前記終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、前記起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、前記起点ファクトから前記終点ファクトを導出可能であるか否かを分析し、前記起点ファクトから前記終点ファクトを導出可能である場合に、前記起点ファクトに対応するノードから、前記終点ファクトに対応するノードに至る攻撃グラフを生成する分析処理
　を実行させるための分析プログラム。
　以上、実施形態を参照して本願発明を説明したが、本願発明は上記の実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
産業上の利用の可能性
　本発明は、診断対象システムへの攻撃の分析を行う分析システムに好適に適用される。
　１　分析システム
　２　データ収集部
　３　データ記憶部
　４　ファクト生成部
　５　分析ルール記憶部
　６　分析部
　７　攻撃グラフ記憶部
　８　表示制御部
　９　ディスプレイ装置

Claims (12)

  1. 　診断対象システムに含まれる各機器に関する情報に基づいて、前記診断対象システムのセキュリティ状況を表わすデータであるファクトを生成するファクト生成部と、
    　起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成し、組毎に、前記起点となる機器と前記終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成された機器の状態を表わすファクトを用いることなく、前記起点となる機器に関する情報および前記終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、前記起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、前記起点ファクトから前記終点ファクトを導出可能であるか否かを分析し、前記起点ファクトから前記終点ファクトを導出可能である場合に、前記起点ファクトに対応するノードから、前記終点ファクトに対応するノードに至る攻撃グラフを生成する分析部とを備える
    　ことを特徴とする分析システム。
  2. 　分析部は、
    　生成した攻撃グラフ同士が接続可能である場合に、前記攻撃グラフ同士を接続する
    　請求項１に記載の分析システム。
  3. 　分析部は、
    　一の攻撃グラフの終点ファクトと、別の攻撃グラフの起点ファクトとが一致する場合に、前記一の攻撃グラフと前記別の攻撃グラフとが接続可能であると判断する
    　請求項２に記載の分析システム。
  4. 　分析部は、
    　一の攻撃グラフの終点ファクトと、別の攻撃グラフの起点ファクトとが一致する場合に、前記終点ファクトに対応するノードと、前記起点ファクトに対応するノードとを同一ノードとすることによって、前記一の攻撃グラフと前記別の攻撃グラフとを接続する
    　請求項２または請求項３に記載の分析システム。
  5. 　分析部は、
    　起点ファクトとして、機器のうちの１つと、予め定められた複数種類の攻撃状態のうちの１つと、攻撃状態と対応し得る権限のうちの１つとの組み合わせを生成し、
    　終点ファクトとして、機器のうちの１つと、前記複数種類の攻撃状態のうちの１つと、攻撃状態と対応し得る権限のうちの１つとの組み合わせを生成する
    　請求項１から請求項４のうちのいずれか１項に記載の分析システム。
  6. 　分析ルールは、条件に該当する要素と、新たなファクトを表わす要素とを含み、
    　分析部は、
    　前記条件に該当する要素に合致する既存のファクトが存在する場合に、前記分析ルールに基づいて新たなファクトを導出し、当該新たなファクトを既存のファクトに追加する動作を繰り返し、新たなファクトが終点ファクトに該当する場合に、起点ファクトから前記終点ファクトを導出可能であると判断する
    　請求項１から請求項５のうちのいずれか１項に記載の分析システム。
  7. 　分析部は、
    　起点ファクトおよび終点ファクトを、診断対象システムに含まれる機器のうちの一部の機器に基づいて生成する
    　請求項１から請求項６のうちのいずれか１項に記載の分析システム。
  8. 　診断対象システムに含まれる機器のうちの一部の機器は、前記診断対象システムの同一のサブネットに含まれる機器である
    　請求項７に記載の分析システム。
  9. 　診断対象システムに含まれる機器のうちの一部の機器は、直接通信できる機器である
    　請求項７に記載の分析システム。
  10. 　分析部によって生成された攻撃グラフをディスプレイ装置上に表示する表示制御部を備える
    　請求項１から請求項９のうちのいずれか１項に記載の分析システム。
  11. 　コンピュータが、
    　診断対象システムに含まれる各機器に関する情報に基づいて、前記診断対象システムのセキュリティ状況を表わすデータであるファクトを生成し、
    　起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成し、組毎に、前記起点となる機器と前記終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成された機器の状態を表わすファクトを用いることなく、前記起点となる機器に関する情報および前記終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、前記起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、前記起点ファクトから前記終点ファクトを導出可能であるか否かを分析し、前記起点ファクトから前記終点ファクトを導出可能である場合に、前記起点ファクトに対応するノードから、前記終点ファクトに対応するノードに至る攻撃グラフを生成する
    　ことを特徴とする分析方法。
  12. 　コンピュータに、
    　診断対象システムに含まれる各機器に関する情報に基づいて、前記診断対象システムのセキュリティ状況を表わすデータであるファクトを生成するファクト生成処理、および、
    　起点となる機器における攻撃の可能性を表わすファクトである起点ファクトと、終点となる機器における攻撃の可能性を表わすファクトである終点ファクトとの組を１つ以上生成し、組毎に、前記起点となる機器と前記終点となる機器のいずれにも該当しない機器に関する情報に基づいて生成された機器の状態を表わすファクトを用いることなく、前記起点となる機器に関する情報および前記終点となる機器に関する情報に基づいて生成された機器の状態を表わすファクト、前記起点ファクト、および攻撃を分析するための１つ以上の分析ルールに基づいて、前記起点ファクトから前記終点ファクトを導出可能であるか否かを分析し、前記起点ファクトから前記終点ファクトを導出可能である場合に、前記起点ファクトに対応するノードから、前記終点ファクトに対応するノードに至る攻撃グラフを生成する分析処理
    　を実行させるための分析プログラム。
PCT/JP2019/038326 2019-09-27 2019-09-27 分析システム、方法およびプログラム WO2021059521A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2021548293A JP7298701B2 (ja) 2019-09-27 2019-09-27 分析システム、方法およびプログラム
PCT/JP2019/038326 WO2021059521A1 (ja) 2019-09-27 2019-09-27 分析システム、方法およびプログラム
US17/641,515 US12034761B2 (en) 2019-09-27 2019-09-27 Analysis system, method, and program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/038326 WO2021059521A1 (ja) 2019-09-27 2019-09-27 分析システム、方法およびプログラム

Publications (1)

Publication Number Publication Date
WO2021059521A1 true WO2021059521A1 (ja) 2021-04-01

Family

ID=75165198

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/038326 WO2021059521A1 (ja) 2019-09-27 2019-09-27 分析システム、方法およびプログラム

Country Status (3)

Country Link
US (1) US12034761B2 (ja)
JP (1) JP7298701B2 (ja)
WO (1) WO2021059521A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022264265A1 (ja) * 2021-06-15 2022-12-22 日本電気株式会社 リスク分析装置、仮想モデル生成装置、方法、及びコンピュータ可読媒体

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230275913A1 (en) * 2022-02-25 2023-08-31 Microsoft Technology Licensing, Llc Using graph enrichment to detect a potentially malicious access attempt

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007257291A (ja) * 2006-03-23 2007-10-04 Fujitsu Ltd シナリオ生成方法、シナリオ生成プログラム、シナリオ生成装置
JP2018097569A (ja) * 2016-12-13 2018-06-21 株式会社豊田中央研究所 人工知能システム及び記憶装置
US20190052663A1 (en) * 2017-08-10 2019-02-14 Electronics And Telecommunications Research Institute Apparatus for enhancing network security and method for the same

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6307453B2 (ja) 2015-02-04 2018-04-04 株式会社日立製作所 リスク評価システムおよびリスク評価方法
US9438634B1 (en) * 2015-03-13 2016-09-06 Varmour Networks, Inc. Microsegmented networks that implement vulnerability scanning
JP6676480B2 (ja) 2016-06-13 2020-04-08 株式会社日立製作所 脆弱性リスク評価システム
CN106411576B (zh) * 2016-08-30 2019-10-22 河南理工大学 基于状态转移网络攻击模型的攻击图生成方法
US11444974B1 (en) * 2019-10-23 2022-09-13 Architecture Technology Corporation Systems and methods for cyber-physical threat modeling
US11159556B2 (en) * 2019-10-25 2021-10-26 EMC IP Holding Company LLC Predicting vulnerabilities affecting assets of an enterprise system

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007257291A (ja) * 2006-03-23 2007-10-04 Fujitsu Ltd シナリオ生成方法、シナリオ生成プログラム、シナリオ生成装置
JP2018097569A (ja) * 2016-12-13 2018-06-21 株式会社豊田中央研究所 人工知能システム及び記憶装置
US20190052663A1 (en) * 2017-08-10 2019-02-14 Electronics And Telecommunications Research Institute Apparatus for enhancing network security and method for the same

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
ANONYMOUS: "Cyber ​​Attack Risk Automatic Diagnosis Technology: NEC's State-of-the-art Technology", NEC, 5 November 2018 (2018-11-05), pages 1 - 4, XP055809118, Retrieved from the Internet <URL:https://jpn.nec.com/rd/technologies/201804/index.html> [retrieved on 20191202] *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022264265A1 (ja) * 2021-06-15 2022-12-22 日本電気株式会社 リスク分析装置、仮想モデル生成装置、方法、及びコンピュータ可読媒体
JP7574928B2 (ja) 2021-06-15 2024-10-29 日本電気株式会社 リスク分析装置、仮想モデル生成装置、方法、及びプログラム

Also Published As

Publication number Publication date
JPWO2021059521A1 (ja) 2021-04-01
JP7298701B2 (ja) 2023-06-27
US12034761B2 (en) 2024-07-09
US20220337619A1 (en) 2022-10-20

Similar Documents

Publication Publication Date Title
US10812499B2 (en) Detection of adversary lateral movement in multi-domain IIOT environments
JP5972401B2 (ja) 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム
JP6656211B2 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
US12124589B2 (en) Anticipatory cybersecurity
WO2021059521A1 (ja) 分析システム、方法およびプログラム
WO2020195228A1 (ja) 分析システム、方法およびプログラム
Jajodia et al. An integrated framework for cyber situation awareness
JP7424470B2 (ja) 分析システム、方法およびプログラム
JP7283545B2 (ja) 分析システム、方法およびプログラム
JP7334794B2 (ja) 分析システム、方法およびプログラム
JP7424395B2 (ja) 分析システム、方法およびプログラム
Lee et al. A framework for policy inconsistency detection in software-defined networks
WO2020195229A1 (ja) 分析システム、方法およびプログラム
WO2020195230A1 (ja) 分析システム、方法およびプログラム
JP7347521B2 (ja) 分析システム、方法およびプログラム
JP7302665B2 (ja) 分析システム、方法およびプログラム
JP7302666B2 (ja) 分析システム、方法およびプログラム
US12137106B2 (en) Analysis system, method, and program
JP7405162B2 (ja) 分析システム、方法およびプログラム
Bopche et al. Extending attack graph-based metrics for enterprise network security management

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19946741

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021548293

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19946741

Country of ref document: EP

Kind code of ref document: A1