WO2021064773A1 - 管理装置、ネットワーク監視システム、判定方法、通信方法、及び非一時的なコンピュータ可読媒体 - Google Patents

管理装置、ネットワーク監視システム、判定方法、通信方法、及び非一時的なコンピュータ可読媒体 Download PDF

Info

Publication number
WO2021064773A1
WO2021064773A1 PCT/JP2019/038463 JP2019038463W WO2021064773A1 WO 2021064773 A1 WO2021064773 A1 WO 2021064773A1 JP 2019038463 W JP2019038463 W JP 2019038463W WO 2021064773 A1 WO2021064773 A1 WO 2021064773A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
insurance
management device
cyber
security
Prior art date
Application number
PCT/JP2019/038463
Other languages
English (en)
French (fr)
Inventor
英尚 外山
祥光 和田
雅彦 本多
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US17/763,361 priority Critical patent/US20220337605A1/en
Priority to JP2021550737A priority patent/JP7290168B2/ja
Priority to PCT/JP2019/038463 priority patent/WO2021064773A1/ja
Publication of WO2021064773A1 publication Critical patent/WO2021064773A1/ja
Priority to JP2023087716A priority patent/JP2023111938A/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • This disclosure relates to a management device, a network monitoring system, a judgment method, a communication method, and a non-temporary computer-readable medium.
  • Patent Document 1 compensates for damages caused by fraudulent acts in the event of fraudulent acts including data theft, falsification, and destruction due to unauthorized intrusion into the network of a user protected by a firewall.
  • the configuration of the system to be used is disclosed.
  • the system disclosed in Patent Document 1 includes a database in which user identification information and insurance premiums for data on the user's network are registered.
  • the system disclosed in Patent Document 1 uses information indicating fraudulent data, user identification information, and a database when it is found that fraudulent activity has occurred in the user's network. , Automatically determine the amount of insurance to be paid to the user.
  • the management device is data indicating the suspicion of the occurrence of a cyber attack from a security device that monitors a network managed by a cyber insurance policyholder, and is detected based on a predetermined communication pattern.
  • a judgment unit that determines whether or not the security information meets the insurance activation conditions by using a data collection unit that collects security information related to the data and a database that manages insurance activation conditions that determine application standards for cyber insurance. And.
  • the network monitoring system is a security device that monitors a network managed by a cyber policyholder and detects data indicating a suspicion of the occurrence of a cyber attack based on a predetermined communication pattern. It is determined whether or not the security information satisfies the insurance activation condition by collecting security information regarding the detected data from the security device and using a network that manages the insurance activation condition that determines the application standard of cyber insurance. It is equipped with a management device to be used.
  • the determination method is data indicating the suspicion of the occurrence of a cyber attack from a security device that monitors a network managed by a cyber insurance policyholder, and is detected based on a predetermined communication pattern. It is determined whether or not the security information satisfies the insurance activation condition by using a database that collects security information related to the data and manages the insurance activation condition that determines the application standard of cyber insurance.
  • the communication method according to the fourth aspect of the present disclosure is a communication method executed in a security device that monitors a network managed by a cyber policyholder, and data indicating the occurrence of a cyber attack is used as a predetermined communication pattern.
  • the security information related to the data that satisfies the detection condition specified by the management device that determines whether or not the security information related to the data satisfies the insurance activation condition that defines the application standard of cyber insurance is managed. Send to the device.
  • the program according to the fifth aspect of the present disclosure is data indicating the suspicion of the occurrence of a cyber attack from a security device that monitors a network managed by a cyber policyholder, and is detected based on a predetermined communication pattern.
  • a computer is made to determine whether or not the security information satisfies the insurance activation conditions.
  • FIG. It is a block diagram of the management apparatus which concerns on Embodiment 1.
  • FIG. It is a block diagram of the network monitoring system which concerns on Embodiment 2.
  • FIG. It is a figure of the management apparatus which concerns on Embodiment 2.
  • FIG. It is a block diagram of the security device which concerns on Embodiment 2.
  • FIG. It is a figure which shows the flow of the determination process about the insurance activation which concerns on Embodiment 2.
  • FIG. It is a figure which shows the flow of the determination process about the insurance activation which concerns on Embodiment 4.
  • the management device 10 may be a computer device operated by the processor executing a program stored in the memory.
  • the management device 10 may be, for example, a server device.
  • the management device 10 has a data collection unit 11 and a determination unit 12.
  • the data collection unit 11 and the determination unit 12 may be software or modules whose processing is executed by the processor executing a program stored in the memory.
  • the data collection unit 11 and the determination unit 12 may be hardware such as a circuit or a chip.
  • the data collection unit 11 is data indicating the suspicion of the occurrence of a cyber attack from a security device that monitors a network managed by a cyber insurance policyholder (hereinafter referred to as a management network), and detects it based on a predetermined communication pattern. Collect security information about the data.
  • Cyber insurance is a service that pays insurance money in response to a cyber attack on the network.
  • the cyber attack may be, for example, data theft, falsification, or destruction.
  • the management network may be, for example, a LAN (Local Area Network) in a home or a company, or an intranet which is a closed network in the company.
  • LAN Local Area Network
  • the security device may be installed in the management network, for example. Specifically, the security device may be installed at a position that serves as an exit for data transmitted from the management network to the Internet or an entrance from the Internet to the management network.
  • Security devices monitor cyber attacks on the management network. In other words, the security device monitors cyber attacks on communication devices and the like in the management network.
  • the communication pattern may be a communication pattern indicating normal communication or a communication pattern indicating abnormal communication.
  • the data indicating the suspicion of the occurrence of a cyber attack may be, for example, data indicating a communication pattern that does not correspond to a communication pattern indicating normal communication.
  • the data indicating the suspicion of the occurrence of a cyber attack may be data indicating a communication pattern corresponding to a communication pattern indicating abnormal communication.
  • the security information may be information for identifying data indicating the suspicion of the occurrence of a cyber attack.
  • the security information may be information indicating at least one of a destination and a source of data indicating the suspicion of the occurrence of a cyber attack.
  • the security information may be parameter information shown in a header or the like of data indicating the suspicion of the occurrence of a cyber attack.
  • the determination unit 12 determines whether or not the security information satisfies the insurance activation condition by using the database that manages the insurance activation condition that determines the application standard of cyber insurance.
  • security information and insurance triggering conditions may be managed in association with each other.
  • the database may be managed in association with statistical information of security information determined based on a plurality of security information and insurance activation conditions.
  • the database may be stored in a memory or the like in the management device 10, or may be stored in a memory or the like externally attached to the management device 10. Alternatively, the database may be stored in a memory or the like of a device different from the management device 10.
  • the management device 10 can collect data that is detected based on the communication pattern of the data and that is suspected of causing a cyber attack. Further, the management device 10 can determine whether or not the security information satisfies the insurance activation condition by using the security information regarding the collected data and the insurance activation condition.
  • the management device 10 can determine whether or not to apply insurance based on the data detected before the actual damage occurs in the network managed by the cyber policyholder. As a result, the management device 10 can determine whether or not to apply insurance at an early stage, so that it is possible to reduce the omission of insurance application by the cyber policyholder.
  • the network monitoring system of FIG. 2 includes a management device 20, a security device 30, and terminal devices 40 to 42. Further, the security device 30 and the management device 20 are connected via the Internet 50.
  • the connected state may be a state in which the security device 30 and the management device 20 can communicate with each other.
  • an intranet which is a closed network within the enterprise, may be used.
  • the management device 20 corresponds to the management device 10 of FIG.
  • the management device 20, the security device 30, and the terminal devices 40 to 42 may be computer devices that are operated by the processor executing a program stored in the memory.
  • the terminal devices 40 to 42 may be, for example, computer devices connected to an in-house LAN which is a management network.
  • an in-house LAN for example, Ethernet (registered trademark) may be used.
  • the terminal devices 40 to 42 may be computer devices capable of communicating via a network such as a personal computer, a server device, and a printer device.
  • the terminal devices 40 to 42 may be connected to the in-house LAN via a wireless communication line.
  • the terminal devices 40 to 42 may be smartphone terminals, notebook-type personal computers, or the like.
  • the terminal devices 40 to 42 may use a wireless LAN as wireless communication, or may use a mobile line such as LTE (Long Term Evolution) or 5G.
  • LTE Long Term Evolution
  • the security device 30 is arranged between the terminal devices 40 to 42 and the Internet 50.
  • an optical communication line or the like may be used between the security device 30 and the Internet 50.
  • an optical communication line or the like may be used between the management device 20 and the Internet 50.
  • the security device 30 may be a device provided to a cyber insurance policyholder by an insurance company that provides cyber insurance or a business operator entrusted by a company that provides cyber insurance.
  • the management device 20 has a configuration in which the database 21 is added to the management device 10 of FIG.
  • the configurations and functions different from those of the management device 10 of FIG. 1 will be mainly described.
  • the database 21 may be stored in a memory or the like inside the management device 20, or may be stored in a memory or the like externally attached to the management device 20.
  • the data collection unit 11 collects security information from the terminal devices 40 to 42.
  • the security information may be, for example, information indicating at least one of a data transmission source and a data transmission destination detected by the security device 30.
  • the information indicating the data transmission source and transmission destination may be, for example, an IP (Internet Protocol) address, a MAC (Media Access Control) address, or the like.
  • the security information may be information indicating a data communication pattern.
  • the communication pattern may be a pattern obtained by analyzing various information or parameters obtained from the data.
  • the information obtained from the data is, for example, the source address, destination address, port number, data size, etc. shown in the IP header of the data or the TCP (Transmission Control Protocol) / UDP (User Datagram Protocol) header. You may.
  • the analysis may be performed, for example, by machine learning or the like.
  • the data collection unit 11 may collect the communication pattern specified by the security device 30. Alternatively, when the security device 30 detects data using a plurality of communication patterns indicating abnormal communication, the data collection unit 11 collects identification information indicating the communication pattern used when the security device 30 detects the data. You may.
  • the communication pattern indicating abnormal communication may be, for example, a data pattern suspected of being an attack such as a DOS (Denial Of Service) attack or a SYN flood attack.
  • DOS Denial Of Service
  • the security information may be information indicating the name of a cyber attack predicted when the security device 30 detects the data.
  • information indicating the name of the DOS attack may be used as the security information.
  • the security information may be information indicating the time when the security device 30 receives or transmits the data.
  • the security information may be information indicating the time when the device of the data transmission source transmits the data, or information indicating the time when the device of the data transmission destination receives the data.
  • the security information may be information indicating the protocol applied to the data. For example, when the detected data is communicating using http (HyperText Transfer Protocol), information indicating http may be used as security information.
  • http HyperText Transfer Protocol
  • the database 21 is associated with security information and insurance activation conditions. Specifically, the database 21 defines the conditions that the security information must meet in order to activate the insurance. In other words, the database 21 may be provided with predetermined security information as insurance activation conditions. For example, at least one of the source address and the destination address may be defined as the insurance activation condition. In this case, the insurance is activated to the cyber policyholder who manages the management network in which the data corresponding to the source address or the destination address specified in the insurance activation conditions is detected.
  • the source address indicates any of the terminal devices 40 to 42 and the destination address indicates a device outside the management network.
  • the data source is a device in the management network
  • a so-called phishing scam is executed in which important information is stolen by a third-party device that accesses the device in the management network via the Internet 50. It may be.
  • a communication pattern may be defined as an insurance activation condition.
  • the communication pattern of the data transmitted as security information corresponds to the communication pattern stipulated in the insurance activation conditions, the insurance is activated by the cyber policyholder who manages the management network in which the data is detected.
  • a threshold value of data occurrence frequency or occurrence cycle may be set as an insurance activation condition.
  • the data occurrence frequency and the occurrence cycle threshold value may be determined based on the security information indicating the time of the data. If the frequency or cycle of data generation exceeds a predetermined threshold as an insurance activation condition, insurance is activated.
  • the frequency and cycle of data occurrence are specified using a plurality of data.
  • the frequency or cycle of occurrence of data determined by combining a plurality of data may be referred to as statistical information.
  • the detection unit 31 detects data suspected of being a cyber attack based on a predetermined communication pattern. For example, the detection unit 31 may detect data showing a communication pattern similar to or similar to a predetermined communication pattern as a communication pattern suspected of being a cyber attack. Alternatively, the detection unit 31 may detect data indicating a communication pattern that does not correspond to a normal communication pattern that is not a cyber attack. For example, the detection unit 31 may detect data that can be detected by IDS or IPS.
  • the detection unit 31 transmits the security information regarding the detected data to the management device 20 via the communication unit 32.
  • the security device 30 detects data by executing IPS or IDS (S11).
  • the security device 30 transmits security information regarding the detected data to the management device 20 (S12).
  • the security information regarding the detected data may be, for example, address information indicating either a data transmission destination or a data transmission source, or may be a parameter indicated in a data header or the like.
  • the management device 20 determines whether or not the security information received from the security device 30 satisfies the insurance activation condition defined in the database 21 (S13).
  • the management device 20 outputs the determination result (S14).
  • the determination result may be, for example, information indicating whether or not the received security information satisfies the insurance activation condition.
  • the management device 20 may output the determination result to a display or the like used integrally with the management device 20 and display the determination result on the display or the like.
  • the management device 20 may transmit the determination result to the terminal device held by the manager of the management device 20.
  • the management device 20 may notify the determination result by transmitting an e-mail to a terminal device held by the administrator via the Internet 50, an intranet, or the like.
  • the management device 20 may transmit the determination result to the terminal device managed by the insurance company.
  • the management device 20 may notify the determination result by transmitting an e-mail to a terminal device managed by the insurance company via the Internet 50.
  • the management device 20 may generate a Web page for displaying the determination result.
  • the management device 20 may transmit the address information of the Web page to the terminal device held by the administrator or the insurance company. The manager or the person in charge of the insurance company can browse the Web page showing the determination result by accessing the designated address using the terminal device.
  • the management device 20 can determine whether or not to activate insurance by using data suspected of causing a cyber attack. As a result, the management device 20 can determine whether or not to apply the insurance at an early stage, so that it is possible to reduce the omission of insurance application by the cyber policyholder.
  • the determination unit 12 receives security information from the security device 30 via the data collection unit 11 (S21). Next, the determination unit 12 determines whether or not the security information received from the security device 30 satisfies the insurance activation condition stored in the database 21 (S22).
  • the determination unit 12 determines that the security information does not satisfy the insurance activation condition
  • the determination unit 12 accepts the input of the determination result from the administrator (S23). If the security information does not satisfy the insurance activation condition, it means that the security information does not correspond to the insurance activation condition stored in the database 21. In other words, the fact that the security information does not meet the insurance triggering conditions means that a new cyber attack that is not set in the database 21 is suspected to occur in the management network. Therefore, in such a case, the administrator of the management device 20 examines in detail whether or not insurance should be activated for the event suspected of being a cyber attack found from the security information, and whether or not insurance should be activated. It is necessary to judge.
  • the determination unit 12 may accept input of the determination result from the administrator via an input device such as a keyboard or a touch panel attached to the management device 20. Alternatively, the determination unit 12 may receive the determination result from the terminal device operated by the administrator via the data collection unit 11.
  • the determination unit 12 determines whether or not the determination result received from the administrator indicates that the insurance will be activated (S24).
  • the determination unit 12 updates the insurance activation condition of the database 21 when the determination result received from the administrator is the content of invoking insurance (S25). Specifically, the determination unit 12 adds the security information that caused the insurance to be activated to the database 21 as a new insurance activation condition. In this way, the contents related to the threat of newly occurring cyber attacks are added to the database 21.
  • step S22 If the security information satisfies the insurance activation condition in step S22, or if the determination result that the insurance is not activated is received in step S24, the process ends.
  • the determination unit 12 may add security information that causes the insurance to not be activated to the database.
  • the determination unit 12 can prevent the administrator from examining whether or not to activate the insurance based on the same security information. it can. That is, if the received security information matches the security information managed in the database that manages the determination result that the insurance is not activated, the determination unit 12 does not accept the input from the administrator and insures the insurance. May be determined not to activate.
  • the management device 20 transmits a detection condition for data suspected of causing a cyber attack to the security device 30 (S31).
  • the management device 20 may set the detection condition to detect data that satisfies the insurance activation condition managed in the database 21.
  • the security device 30 detects data corresponding to a predetermined communication pattern set by the security device 30, but in FIG. 7, data corresponding to the detection conditions set by the management device 20 is detected. The point to detect is different.
  • steps S32 to S35 are the same as steps S11 to S14 in FIG. 5, detailed description thereof will be omitted.
  • the management device 20 determines the detection condition of the data suspected of causing a cyber attack and transmits it to the security device 30.
  • the data detected by the security device 30 becomes the data that satisfies the insurance activation condition managed by the management device 20.
  • the security device 30 detects data only for data that satisfies the detection conditions defined in the management device 20.
  • the amount of security information data transmitted from the security device 30 to the management device 20 in step S33 can be reduced.
  • step S32 an example in which the security device 30 detects data satisfying the detection condition received from the management device 20 in step S32 has been described, but the security device 30 has the same data as in step S11 in FIG. May be detected. After that, when the security device 30 transmits the security information to the management device 20, only the security information satisfying the detection condition may be transmitted to the management device 20. Even in this way, the amount of security information data transmitted from the security device 30 to the management device 20 can be reduced.
  • FIG. 8 is a block diagram showing a configuration example of the management device 10, the management device 20, and the security device 30 (hereinafter referred to as the management device 10 and the like).
  • the management device 10 and the like include a network interface 1201, a processor 1202, and a memory 1203.
  • Network interface 1201 is used to communicate with network nodes (e.g., eNB, MME, P-GW,).
  • the network interface 1201 may include, for example, a network interface card (NIC) compliant with the IEEE 802.3 series.
  • NIC network interface card
  • the processor 1202 reads the software (computer program) from the memory 1203 and executes it to perform the processing of the management device 10 and the like described using the flowchart in the above-described embodiment.
  • Processor 1202 may be, for example, a microprocessor, MPU, or CPU.
  • Processor 1202 may include a plurality of processors.
  • Memory 1203 is composed of a combination of volatile memory and non-volatile memory. Memory 1203 may include storage located away from processor 1202. In this case, processor 1202 may access memory 1203 via an I / O interface (not shown).
  • the memory 1203 is used to store the software module group. By reading these software modules from the memory 1203 and executing the processor 1202, the processor 1202 can perform the processing of the management device 10 and the like described in the above-described embodiment.
  • each of the processors included in the management device 10 and the like in the above-described embodiment is one or a plurality of programs including an instruction group for causing the computer to perform the algorithm described with reference to the drawings. To execute.
  • Non-temporary computer-readable media include various types of tangible storage media.
  • Examples of non-temporary computer-readable media include magnetic recording media (eg, flexible disks, magnetic tapes, hard disk drives), magneto-optical recording media (eg, magneto-optical disks), CD-ROMs (Read Only Memory), CD-Rs, Includes CD-R / W, semiconductor memory (for example, mask ROM, PROM (Programmable ROM), EPROM (Erasable PROM), flash ROM, RAM (RandomAccessMemory)).
  • the program may also be supplied to the computer by various types of temporary computer readable media. Examples of temporary computer-readable media include electrical, optical, and electromagnetic waves.
  • the temporary computer-readable medium can supply the program to the computer via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.
  • (Appendix 1) A data collection unit that collects security information related to the data detected based on a predetermined communication pattern, which is data indicating the suspicion of the occurrence of a cyber attack from a security device that monitors a network managed by a cyber insurance policyholder.
  • a management device including a determination unit for determining whether or not the security information satisfies the insurance activation condition by using a database for managing the insurance activation condition that determines the application standard of cyber insurance.
  • the security information is It has information indicating the source of the data indicating the suspicion of the occurrence of a cyber attack, and has information indicating the source of the data.
  • the determination unit The management device according to Appendix 1, wherein when the communication source of the data is a communication device in the network, it is determined that the security information satisfies the insurance activation condition.
  • the security information is It has information indicating the generation timing of the data, and has information.
  • the determination unit The management device according to Appendix 1 or 2, wherein when the occurrence frequency or occurrence cycle of the data exceeds a threshold value, it is determined that the security information satisfies the insurance activation condition.
  • the determination unit The management device according to any one of Supplementary note 1 to 3, which collects data that satisfies a predetermined detection condition among the data detected by the security device.
  • the determination unit Item 1 of Appendix 1 to 4, wherein the determination result of whether or not the insurance activation condition is satisfied is output to the display unit used integrally with the management device, or transmitted to a terminal device different from the management device.
  • the management device described in. (Appendix 6) A security device that monitors networks managed by cyber policyholders. A detector that detects data indicating the suspicion of a cyber attack based on a predetermined communication pattern, A communication unit that transmits security information related to data that meets the detection conditions specified by the management device that determines whether or not the security information related to the data meets the insurance activation conditions that determine the application standards for cyber insurance. And equipped with a security device.
  • Appendix 7 The security device according to Appendix 6, further comprising a display unit that displays a determination result indicating whether or not the security information transmitted to the management device satisfies the insurance activation condition.
  • Appendix 8 A security device that monitors the network managed by cyber policyholders and detects data indicating the suspicion of a cyber attack based on a predetermined communication pattern. It is determined whether or not the security information satisfies the insurance activation condition by collecting security information regarding the detected data from the security device and using a database that manages the insurance activation condition that determines the application standard of cyber insurance.
  • the security information is It has information indicating the source of the data indicating the suspicion of the occurrence of a cyber attack, and has information indicating the source of the data.
  • the management device is The network monitoring system according to Appendix 8, wherein when the communication source of the data is a communication device in the network, it is determined that the security information satisfies the insurance activation condition.
  • the security information is It has information indicating the generation timing of the data, and has information.
  • the management device is The network monitoring system according to Appendix 8 or 9, wherein when the occurrence frequency or occurrence cycle of the data exceeds a threshold value, it is determined that the security information satisfies the insurance activation condition.
  • the management device is The network monitoring system according to any one of Supplementary note 8 to 10, which collects data that satisfies a predetermined detection condition among the data detected by the security device.
  • the management device is Item 1 of Appendix 8 to 11, wherein the determination result of whether or not the insurance activation condition is satisfied is output to the display unit used integrally with the management device, or transmitted to a terminal device different from the management device.
  • the network monitoring system described in. From a security device that monitors a network managed by a cyber insurance policyholder, security information related to the data, which is data indicating the suspicion of the occurrence of a cyber attack and is detected based on a predetermined communication pattern, is collected.
  • Appendix 14 A communication method performed by a security device that monitors a network managed by a cyber policyholder. Data indicating the suspicion of the occurrence of a cyber attack is detected based on a predetermined communication pattern, Communication that transmits security information related to data that satisfies the detection condition specified by the management device that determines whether or not the security information related to the data satisfies the insurance activation condition that defines the application standard of cyber insurance. Method.
  • Data indicating the suspicion of the occurrence of a cyber attack is detected based on a predetermined communication pattern,
  • the security information related to the data satisfying the detection condition determined by the management device for determining whether or not the security information related to the data satisfies the insurance activation condition that defines the application standard of cyber insurance is transmitted to the management device.
  • Management device 11 Data collection unit 12 Judgment unit 20 Management device 21 Database 30 Security device 31 Detection unit 32 Communication unit 40 Terminal device 41 Terminal device 42 Terminal device 50 Internet

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

サイバー攻撃に対する保険の申請漏れを減少させる管理装置を提供することを目的とする。本開示の第１の態様にかかる管理装置（１０）は、サイバー保険契約者が管理するネットワークを監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出されるデータに関するセキュリティ情報を収集するデータ収集部（１１）と、サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、セキュリティ情報が保険発動条件を満たすか否かを判定する判定部（１２）と、を備える。

Description

管理装置、ネットワーク監視システム、判定方法、通信方法、及び非一時的なコンピュータ可読媒体
　本開示は管理装置、ネットワーク監視システム、判定方法、通信方法、及び非一時的なコンピュータ可読媒体に関する。
　近年、家庭等の個人ネットワークもしくは企業ネットワーク（以下、企業等のネットワーク）に対するサイバー攻撃の脅威に対して様々な対策が行われている。例えば、企業等のネットワークへの不正侵入の検出及び企業等のネットワークへの不正侵入の防止等の対策が行われている。
　さらに、企業等のネットワークに対するサイバー攻撃によって生じた損害を、保険を用いて補償するサービスも普及している。特許文献１には、ファイアウォールを用いて保護されている利用者のネットワークへの不正侵入により、データの窃盗、改ざん、及び破壊を含む不正行為があった場合に、不正行為に起因する損害を補償するシステムの構成が開示されている。特許文献１に開示されたシステムは、利用者の識別情報及び利用者のネットワーク上におけるデータの保険料が登録されたデータベースを含む。特許文献１に開示されたシステムは、利用者のネットワークにおいて不正行為があったことが判明した場合に、不正行為されたデータを示す情報と、利用者の識別情報と、データベースとを用いることによって、利用者に支払う保険額を自動的に決定する。
特開２００３－３４５９８９号公報
　しかし、特許文献１に開示されたシステムを用いる場合、利用者のネットワークに実際に損害が発生した後でなければ、保険額が自動的に決定されない。そのため、損害の特定に時間がかかる、もしくは、損害を把握できない場合、利用者から保険会社に対して、発生した損害に関する保険の申請漏れが発生する可能性が高くなるという問題がある。
　本開示の目的は、サイバー攻撃に対する保険の申請漏れを減少させる管理装置、ネットワーク監視システム、判定方法、通信方法、及び非一時的なコンピュータ可読媒体を提供することにある。
　本開示の第１の態様にかかる管理装置は、サイバー保険契約者が管理するネットワークを監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出される前記データに関するセキュリティ情報を収集するデータ収集部と、サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定する判定部と、を備える。
　本開示の第２の態様にかかるネットワーク監視システムは、サイバー保険契約者が管理するネットワークを監視し、所定の通信パターンに基づいて、サイバー攻撃の発生の疑いを示すデータを検出するセキュリティ装置と、前記セキュリティ装置から、検出された前記データに関するセキュリティ情報を収集し、サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定する管理装置と、を備える。
　本開示の第３の態様にかかる判定方法は、サイバー保険契約者が管理するネットワークを監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出される前記データに関するセキュリティ情報を収集し、サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定する。
　本開示の第４の態様にかかる通信方法は、サイバー保険契約者が管理するネットワークを監視するセキュリティ装置において実行される通信方法であって、サイバー攻撃の発生の疑いを示すデータを所定の通信パターンに基づいて検出し、前記データのうち、前記データに関するセキュリティ情報がサイバー保険の適用基準を定める保険発動条件を満たすか否かを判定する管理装置が定める検出条件を満たすデータに関するセキュリティ情報を前記管理装置へ送信する。
　本開示の第５の態様にかかるプログラムは、サイバー保険契約者が管理するネットワークを監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出される前記データに関するセキュリティ情報を収集し、サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定することをコンピュータに実行させる。
　本開示により、サイバー攻撃に対する保険の申請漏れを減少させる管理装置、ネットワーク監視システム、及び判定方法を提供することができる。
実施の形態１にかかる管理装置の構成図である。 実施の形態２にかかるネットワーク監視システムの構成図である。 実施の形態２にかかる管理装置の図である。 実施の形態２にかかるセキュリティ装置の構成図である。 実施の形態２にかかる保険発動に関する判定処理の流れを示す図である。 実施の形態３にかかる管理装置におけるデータベースの更新処理の流れを示す図である。 実施の形態４にかかる保険発動に関する判定処理の流れを示す図である。 それぞれの実施の形態にかかる装置の構成図である。
　（実施の形態１）
　以下、図面を参照して本開示の実施の形態について説明する。図１を用いて実施の形態１にかかる管理装置１０の構成例について説明する。管理装置１０は、プロセッサがメモリに格納されたプログラムを実行することによって動作するコンピュータ装置であってもよい。管理装置１０は、例えば、サーバ装置であってもよい。
　管理装置１０は、データ収集部１１及び判定部１２を有している。データ収集部１１及び判定部１２は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。もしくは、データ収集部１１及び判定部１２は、回路もしくはチップ等のハードウェアであってもよい。
　データ収集部１１は、サイバー保険契約者が管理するネットワーク（以下、管理ネットワークと称する）を監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出される前記データに関するセキュリティ情報を収集する。
　サイバー保険は、ネットワークに対するサイバー攻撃に応じて保険金を支払うサービスである。サイバー攻撃は、例えば、データの窃盗、改ざん、もしくは破壊等であってもよい。管理ネットワークは、例えば、家庭もしくは企業内におけるＬＡＮ（Local Area Network）であってもよく、企業内に閉じたネットワークであるイントラネットであってもよい。
　セキュリティ装置は、例えば、管理ネットワークに設置されてもよい。具体的には、セキュリティ装置は、管理ネットワークからインターネットへ送信されるデータの出口、もしくは、インターネットから管理ネットワークへの入り口となる位置に設置されてもよい。セキュリティ装置は、管理ネットワークに対するサイバー攻撃を監視する。言い換えると、セキュリティ装置は、管理ネットワーク内の通信装置等に対するサイバー攻撃を監視する。
　セキュリティ装置は、例えば、ファイアウォール、ＩＰＳ（Intrusion Prevention System）、ＩＤＳ（Intrusion Detection System）等を実行する装置であってもよい。サイバー攻撃の発生の疑いを示すデータとは、例えば、管理ネットワークへの不正侵入もしくは不正アクセスを示すデータであってもよい。管理ネットワークへの不正侵入もしくは不正アクセスを示すデータは、例えば、管理ネットワークへのアクセスが許可されていない第三者もしくは通信装置から管理ネットワーク内の通信装置へ送信されたデータであってもよい。具体的には、サイバー攻撃の発生の疑いを示すデータは、ＩＤＳもしくはＩＰＳを実行することによって検出されるデータであってもよい。
　通信パターンは、正常な通信を示す通信パターンであってもよく、異常な通信を示す通信パターンであってもよい。サイバー攻撃の発生の疑いを示すデータは、例えば、正常な通信を示す通信パターンに該当しない通信パターンを示すデータであってもよい。もしくは、サイバー攻撃の発生の疑いを示すデータは、異常な通信を示す通信パターンに該当する通信パターンを示すデータであってもよい。
　セキュリティ情報は、サイバー攻撃の発生の疑いを示すデータを特定するための情報であってもよい。例えば、セキュリティ情報は、サイバー攻撃の発生の疑いを示すデータの送信先及び送信元の少なくとも一方を示す情報であってもよい。もしくは、セキュリティ情報は、サイバー攻撃の発生の疑いを示すデータのヘッダ等に示されているパラメータ情報であってもよい。
　判定部１２は、サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、セキュリティ情報が保険発動条件を満たすか否かを判定する。データベースには、例えば、セキュリティ情報と、保険発動条件とが関連付けて管理されていてもよい。もしくは、データベースには、複数のセキュリティ情報に基づいて定まるセキュリティ情報の統計情報等と、保険発動条件とが関連付けて管理されていてもよい。データベースは、管理装置１０内のメモリ等に格納されていてもよく、管理装置１０へ外付けされるメモリ等に格納されていてもよい。または、データベースは、管理装置１０とは異なる装置のメモリ等に格納されていてもよい。
　以上説明したように、管理装置１０は、データの通信パターンに基づいて検出されるデータであて、サイバー攻撃の発生が疑われるデータ、を収集することができる。さらに、管理装置１０は、収集したデータに関するセキュリティ情報と、保険発動条件とを用いて、セキュリティ情報が保険発動条件を満たすか否かを判定することができる。
　つまり、管理装置１０は、サイバー保険契約者が管理するネットワークにおいて実際に損害が発生する前に検出されたデータに基づいて、保険を適用するか否かを判定することができる。これより、管理装置１０は、早期に保険を適用するか否かを判定することができるため、サイバー保険契約者による保険の申請漏れを減少させることができる。
　（実施の形態２）
　続いて、図２を用いて実施の形態２にかかるネットワーク監視システムの構成例について説明する。図２のネットワーク監視システムは、管理装置２０、セキュリティ装置３０、及び端末装置４０乃至４２を有している。また、セキュリティ装置３０と管理装置２０とは、インターネット５０を介して接続されている。接続された状態とは、セキュリティ装置３０と管理装置２０とが通信可能な状態であることであってもよい。また、インターネット５０の代わりに、企業内に閉じたネットワークであるイントラネットが用いられてもよい。管理装置２０は、図１の管理装置１０に相当する。
　管理装置２０、セキュリティ装置３０、及び端末装置４０乃至４２は、プロセッサがメモリに格納されたプログラムを実行することによって動作するコンピュータ装置であってもよい。
　端末装置４０乃至４２は、例えば、管理ネットワークである社内ＬＡＮに接続されるコンピュータ装置であってもよい。社内ＬＡＮは、例えば、イーサネット（登録商標）が用いられてもよい。例えば、端末装置４０乃至４２は、パーソナルコンピュータ、サーバ装置、プリンタ装置等のネットワークを介した通信が可能なコンピュータ装置であってもよい。または、端末装置４０乃至４２は、無線通信回線を介して社内ＬＡＮに接続してもよい。この場合、端末装置４０乃至４２は、スマートフォン端末、ノートブック型パーソナルコンピュータ等であってもよい。端末装置４０乃至４２は、無線通信として、無線ＬＡＮを使用してもよく、ＬＴＥ（Long Term Evolution）もしくは５Ｇ等のモバイル回線を使用してもよい。
　セキュリティ装置３０は、端末装置４０乃至４２と、インターネット５０との間に配置される。セキュリティ装置３０とインターネット５０との間は、例えば、光通信回線等が用いられてもよい。また、管理装置２０とインターネット５０との間にも、光通信回線等が用いられてもよい。セキュリティ装置３０は、サイバー保険を提供する保険会社もしくはサイバー保険を提供する会社から委託を受けた事業者等が、サイバー保険契約者へ提供する装置であってもよい。
　続いて、図３を用いて実施の形態２にかかる管理装置２０の構成例について説明する。管理装置２０は、図１の管理装置１０に、データベース２１が追加された構成である。以下においては、図１の管理装置１０と異なる構成及び機能について主に説明する。
　データベース２１は、管理装置２０の内部のメモリ等に格納されていてもよく、管理装置２０に外付けされるメモリ等に格納されていてもよい。
　データ収集部１１は、端末装置４０乃至４２から、セキュリティ情報を収集する。セキュリティ情報は、例えば、セキュリティ装置３０において検出されたデータの送信元及びデータの送信先の少なくとも一方を示す情報であってもよい。データの送信元及び送信先を示す情報は、例えば、ＩＰ（Internet Protocol）アドレス、ＭＡＣ（Media Access Control）アドレス等であってもよい。
　または、セキュリティ情報は、データの通信パターンを示す情報であってもよい。通信パターンは、データから得られる様々な情報もしくはパラメータ等を分析することによって得られるパターンであってもよい。データから得られる情報は、例えば、データのＩＰヘッダもしくはＴＣＰ（Transmission Control Protocol）／ＵＤＰ（User Datagram Protocol）ヘッダに示されている送信元アドレス、送信先アドレス、ポート番号、データサイズ等、であってもよい。分析は、例えば、機械学習等によって実行されてもよい。データ収集部１１は、セキュリティ装置３０が特定した通信パターンを収集してもよい。または、セキュリティ装置３０が、異常な通信を示す通信パターンを複数用いてデータを検出する場合、データ収集部１１は、セキュリティ装置３０がデータを検出した際に用いた通信パターンを示す識別情報を収集してもよい。異常な通信を示す通信パターンは、例えば、ＤＯＳ（Denial Of Service）攻撃、ＳＹＮフラッド攻撃等の攻撃が疑われるデータのパターンであってもよい。
　または、セキュリティ情報は、セキュリティ装置３０がデータを検出した際に予測したサイバー攻撃の名称等を示す情報であってもよい。例えば、セキュリティ装置３０が、ＤＯＳ攻撃が疑われるデータを検出した場合、セキュリティ情報としてＤＯＳ攻撃との名称を示す情報が用いられてもよい。
　または、セキュリティ情報は、セキュリティ装置３０がデータを受信もしくは送信した時刻を示す情報であってもよい。または、セキュリティ情報は、データの送信元の装置がデータを送信した時刻を示す情報であってもよく、データの送信先の装置がデータを受信した時刻を示す情報であってもよい。
　または、セキュリティ情報は、データに適用されているプロトコルを示す情報であってもよい。例えば、検出したデータがｈｔｔｐ（HyperText Transfer Protocol）を用いた通信を行っていた場合、セキュリティ情報として、ｈｔｔｐを示す情報が用いられてもよい。
　データベース２１には、セキュリティ情報と、保険発動条件とが関連付けられている。具体的には、データベース２１には、保険を発動するためにセキュリティ情報が満たすべき条件が定められている。言い換えると、データベース２１には、保険発動条件として、予め定められたセキュリティ情報が定められていてもよい。例えば、保険発動条件として、送信元アドレスおよび送信先アドレスの少なくとも一方が定められていてもよい。この場合、保険発動条件に定められた送信元アドレスもしくは送信先アドレスに該当するデータが検出された管理ネットワークを管理するサイバー保険契約者に、保険が発動される。
　また、保険発動条件として、送信元アドレスが端末装置４０乃至４２のいずれかを示し、送信先のアドレスが管理ネットワーク外の装置を示すことが定められてもよい。このように、データの送信元が管理ネットワーク内の装置である場合、インターネット５０を介して管理ネットワーク内の装置へアクセスした第三者の装置により、重要情報が奪われる、いわゆるフィッシング詐欺が実行されている可能性がある。
　または、保険発動条件として、通信パターンが定められていてもよい。この場合、セキュリティ情報として送信されたデータの通信パターンが、保険発動条件に定められた通信パターンに該当する場合、そのデータが検出された管理ネットワークを管理するサイバー保険契約者に、保険が発動される。
　または、保険発動条件として、データの発生頻度もしくは発生周期の閾値が定められてもよい。例えば、データの発生頻度及び発生周期お閾値は、データの時刻を示すセキュリティ情報に基づいて、定められてもよい。データの発生頻度もしくは発生周期が、保険発動条件として予め定められた閾値を超えている場合、保険が発動される。データの発生頻度及び発生周期は、複数のデータを用いて特定される。複数のデータを組み合わせて決定されるデータの発生頻度もしくは発生周期等は、統計情報と称されてもよい。
　続いて、図４を用いて実施の形態２にかかるセキュリティ装置３０の構成例について説明する。セキュリティ装置３０は、検出部３１及び通信部３２を有している。検出部３１及び通信部３２は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。または、検出部３１及び通信部３２は、回路もしくはチップ等のハードウェアであってもよい。
　検出部３１は、所定の通信パターンに基づいて、サイバー攻撃が疑われるデータを検出する。例えば、検出部３１は、サイバー攻撃が疑われる通信パターンとして予め定められた通信パターンと同様もしくは類似の通信パターンを示すデータを検出してもよい。もしくは、検出部３１は、サイバー攻撃ではない通常の通信パターンに該当しない通信パターンを示すデータを検出してもよい。例えば、検出部３１は、ＩＤＳもしくはＩＰＳによって検出することができるデータを検出してもよい。
　さらに、検出部３１は、検出したデータに関するセキュリティ情報を、通信部３２を介して管理装置２０へ送信する。
　通信部３２は、インターネット５０から受信したデータ及び端末装置４０乃至４２から受信したデータを検出部３１へ出力する。さらに、通信部３２は、検出部３１においてサイバー攻撃が疑われるデータとして検出されなかったデータをインターネット５０もしくは端末装置４０乃至４２のいずれかに送信する。もしくは、通信部３２は、インターネット５０から受信したデータ及び端末装置４０乃至４２から受信したすべてのデータを、データに設定されているあて先へ送信してもよい。
　続いて、図５を用いて実施の形態２にかかる保険発動に関する判定処理の流れについて説明する。はじめに、セキュリティ装置３０は、ＩＰＳもしくはＩＤＳを実行することによってデータを検出する（Ｓ１１）。次に、セキュリティ装置３０は、検出したデータに関するセキュリティ情報を管理装置２０へ送信する（Ｓ１２）。検出したデータに関するセキュリティ情報は、例えば、データの送信先及び送信元のいずれかを示すアドレス情報であってもよく、データのヘッダ等に示されるパラメータであってもよい。
　次に、管理装置２０は、セキュリティ装置３０から受信したセキュリティ情報が、データベース２１に定められている保険発動条件を満たすか否かを判定する（Ｓ１３）。次に、管理装置２０は、判定結果を出力する（Ｓ１４）。判定結果は、例えば、受信したセキュリティ情報が、保険発動条件を満たすか否かを示す情報であってもよい。具体的には、管理装置２０は、判定結果を、管理装置２０と一体として用いられるディスプレイ等へ出力し、判定結果をディスプレイ等へ表示させてもよい。もしくは、管理装置２０は、管理装置２０の管理者が保持する端末装置へ判定結果を送信してもよい。例えば、管理装置２０は、インターネット５０もしくはイントラネット等を介して、ｅメールを管理者が保持する端末装置へ送信することによって、判定結果を通知してもよい。もしくは、管理装置２０は、保険会社が管理する端末装置へ判定結果を送信してもよい。例えば、管理装置２０は、インターネット５０を介して、ｅメールを保険会社が管理する端末装置へ送信することによって、判定結果を通知してもよい。もしくは、管理装置２０は、判定結果を表示するＷｅｂページを生成してもよい。この場合、管理装置２０は、管理者もしくは保険会社が保持する端末装置へ、Ｗｅｂページのアドレス情報を送信してもよい。管理者もしくは保険会社の担当者は、端末装置を用いて指定されたアドレスへアクセスすることによって、判定結果が示されたＷｅｂページを閲覧することができる。
　以上説明したように、管理装置２０は、サイバー攻撃の発生が疑われるデータを用いて、保険を発動するか否かを判定することができる。その結果、管理装置２０は、早期に保険を適用するか否かを判定することができるため、サイバー保険契約者による保険の申請漏れを減少させることができる。
　（実施の形態３）
　続いて、図６を用いて実施の形態３にかかる管理装置２０におけるデータベースの更新処理の流れについて説明する。はじめに、判定部１２は、データ収集部１１を介してセキュリティ装置３０からセキュリティ情報を受信する（Ｓ２１）。次に、判定部１２は、セキュリティ装置３０から受信したセキュリティ情報が、データベース２１に格納されている保険発動条件を満たすか否かを判定する（Ｓ２２）。
　判定部１２は、セキュリティ情報が保険発動条件を満たさないと判定した場合、管理者から判定結果の入力を受け付ける（Ｓ２３）。セキュリティ情報が保険発動条件を満たさないとは、セキュリティ情報がデータベース２１に格納されている保険発動条件に該当しないことを意味する。言い換えると、セキュリティ情報が保険発動条件を満たさないとは、管理ネットワークにおいて、データベース２１に設定されていない新たなサイバー攻撃の発生が疑われることを意味する。そのため、このような場合、管理装置２０の管理者が、セキュリティ情報から判明したサイバー攻撃が疑われる事象に対して保険を発動すべきか否かを詳細に検討し、保険を発動すべきか否かを判定する必要がある。ステップＳ２３においては、判定部１２は、管理装置２０に付属するキーボード、タッチパネル等の入力機器を介して管理者から判定結果の入力を受け付けてもよい。もしくは、判定部１２は、データ収集部１１を介して、管理者が操作する端末装置から判定結果を受信してもよい。
　次に、判定部１２は、管理者から受け付けた判定結果が、保険を発動するとの内容を示すか否かを判定する（Ｓ２４）。判定部１２は、管理者から受け付けた判定結果が、保険を発動するとの内容である場合、データベース２１の保険発動条件を更新する（Ｓ２５）。具体的には、判定部１２は、データベース２１に、保険を発動するとの要因となったセキュリティ情報を新たな保険発動条件として追加する。データベース２１には、このように、新たに発生するサイバー攻撃の脅威に関する内容が追加されていく。
　ステップＳ２２においてセキュリティ情報が保険発動条件を満たす場合、及び、ステップＳ２４において保険を発動しないとの判定結果を受け付けた場合、処理を終了する。
　以上説明したように、データベース２１を更新することによって、管理ネットワークにおいて発生する新たなサイバー攻撃の脅威が疑われるデータについても、保険を発動するか否かを判定することができる。
　また、図６においては、保険を発動するとの判定結果を受け付けた場合に、データベース２１を更新する処理について説明したが、保険を発動しないとの判定結果についてもデータベース２１もしくは新たなデータベースに追加してもよい。具体的には、判定部１２は、保険を発動しない要因となったセキュリティ情報をデータベースに追加してもよい。判定部１２は、保険を発動しないとの判定結果についてもデータベースにて管理することによって、管理者が同じセキュリティ情報に基づいて、保険を発動するか否かの検討を行うことを回避することができる。つまり、判定部１２は、受信したセキュリティ情報が、すでに保険を発動しないとの判定結果を管理するデータベースにて管理されているセキュリティ情報と一致する場合、管理者からの入力を受け付けることなく、保険を発動しないと判定してもよい。
　（実施の形態４）
　続いて、図７を用いて実施の形態４にかかる保険発動に関する判定処理の流れについて説明する。はじめに、管理装置２０は、セキュリティ装置３０へ、サイバー攻撃の発生が疑われるデータの検出条件を送信する（Ｓ３１）。例えば、管理装置２０は、データベース２１において管理している保険発動条件を満たすデータを検出することを検出条件として定めてもよい。図５のステップＳ１１においては、セキュリティ装置３０は、セキュリティ装置３０が設定した所定の通信パターンに該当するデータを検出したが、図７においては、管理装置２０が設定した検出条件に該当するデータを検出する点が異なる。
　ステップＳ３２乃至ステップＳ３５は、図５のステップＳ１１乃至Ｓ１４と同様であるため詳細な説明を省略する。
　以上説明したように、実施の形態４にかかる保険発動条件に関する判定処理においては、管理装置２０が、サイバー攻撃の発生が疑われるデータの検出条件を定め、セキュリティ装置３０へ送信する。これにより、セキュリティ装置３０において検出されるデータは、管理装置２０において管理されている保険発動条件を満たすデータとなる。言い換えると、セキュリティ装置３０は、管理装置２０において定められた検出条件を満たすデータに絞ってデータを検出する。その結果、ステップＳ３３においてセキュリティ装置３０から管理装置２０へ送信されるセキュリティ情報のデータ量を減少させることができる。
　また、図７においては、ステップＳ３２において、セキュリティ装置３０が、管理装置２０から受信した検出条件を満たすデータを検出する例について説明したが、セキュリティ装置３０は、図５のステップＳ１１と同様にデータを検出してもよい。その後、セキュリティ装置３０は、セキュリティ情報を管理装置２０へ送信する際に、検出条件を満たすセキュリティ情報のみを管理装置２０へ送信してもよい。このようにしても、セキュリティ装置３０から管理装置２０へ送信するセキュリティ情報のデータ量を減少させることができる。
　図８は、管理装置１０、管理装置２０、及びセキュリティ装置３０（以下、管理装置１０等とする）の構成例を示すブロック図である。図８を参照すると、管理装置１０等は、ネットワークインタフェース１２０１、プロセッサ１２０２、及びメモリ１２０３を含む。ネットワークインタフェース１２０１は、ネットワークノード（e.g., eNB、MME、P-GW、）と通信するために使用される。ネットワークインタフェース１２０１は、例えば、IEEE 802.3 seriesに準拠したネットワークインタフェースカード（NIC）を含んでもよい。
　プロセッサ１２０２は、メモリ１２０３からソフトウェア（コンピュータプログラム）を読み出して実行することで、上述の実施形態においてフローチャートを用いて説明された管理装置１０等の処理を行う。プロセッサ１２０２は、例えば、マイクロプロセッサ、MPU、又はCPUであってもよい。プロセッサ１２０２は、複数のプロセッサを含んでもよい。
　メモリ１２０３は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１２０３は、プロセッサ１２０２から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１２０２は、図示されていないI/Oインタフェースを介してメモリ１２０３にアクセスしてもよい。
　図８の例では、メモリ１２０３は、ソフトウェアモジュール群を格納するために使用される。プロセッサ１２０２は、これらのソフトウェアモジュール群をメモリ１２０３から読み出して実行することで、上述の実施形態において説明された管理装置１０等の処理を行うことができる。
　図８を用いて説明したように、上述の実施形態における管理装置１０等が有するプロセッサの各々は、図面を用いて説明されたアルゴリズムをコンピュータに行わせるための命令群を含む１又は複数のプログラムを実行する。
　上述の例において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
　なお、本開示は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。
　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
　（付記１）
　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出される前記データに関するセキュリティ情報を収集するデータ収集部と、
　サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定する判定部と、を備える管理装置。
　（付記２）
　前記セキュリティ情報は、
　サイバー攻撃の発生の疑いを示す前記データの送信元を示す情報を有し、
　前記判定部は、
　前記データの通信元が、前記ネットワーク内の通信装置である場合に、前記セキュリティ情報が前記保険発動条件を満たすと判定する、付記１に記載の管理装置。
　（付記３）
　前記セキュリティ情報は、
　前記データの発生タイミングを示す情報を有し、
　前記判定部は、
　前記データの発生頻度もしくは発生周期が、閾値を超える場合に、前記セキュリティ情報が前記保険発動条件を満たすと判定する、付記１又は２に記載の管理装置。
　（付記４）
　前記判定部は、
　前記セキュリティ装置において検出された前記データのうち、予め定められた検出条件を満たすデータを収集する、付記１乃至３のいずれか１項に記載の管理装置。
　（付記５）
　前記判定部は、
　前記保険発動条件を満たすか否かの判定結果を、前記管理装置と一体として用いられる表示部へ出力する、または、前記管理装置と異なる端末装置へ送信する、付記１乃至４のいずれか１項に記載の管理装置。
　（付記６）
　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置であって、
　サイバー攻撃の発生の疑いを示すデータを所定の通信パターンに基づいて検出する検出部と、
　前記データのうち、前記データに関するセキュリティ情報がサイバー保険の適用基準を定める保険発動条件を満たすか否かを判定する管理装置が定める検出条件を満たすデータに関するセキュリティ情報を前記管理装置へ送信する通信部と、を備えるセキュリティ装置。
　（付記７）
　前記管理装置へ送信したセキュリティ情報が、前記保険発動条件を満たすか否かを示す判定結果を表示する表示部をさらに備える、付記６に記載のセキュリティ装置。
　（付記８）
　サイバー保険契約者が管理するネットワークを監視し、所定の通信パターンに基づいて、サイバー攻撃の発生の疑いを示すデータを検出するセキュリティ装置と、
　前記セキュリティ装置から、検出された前記データに関するセキュリティ情報を収集し、サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定する管理装置と、を備えるネットワーク監視システム。
　（付記９）
　前記セキュリティ情報は、
　サイバー攻撃の発生の疑いを示す前記データの送信元を示す情報を有し、
　前記管理装置は、
　前記データの通信元が、前記ネットワーク内の通信装置である場合に、前記セキュリティ情報が前記保険発動条件を満たすと判定する、付記８に記載のネットワーク監視システム。
　（付記１０）
　前記セキュリティ情報は、
　前記データの発生タイミングを示す情報を有し、
　前記管理装置は、
　前記データの発生頻度もしくは発生周期が、閾値を超える場合に、前記セキュリティ情報が前記保険発動条件を満たすと判定する、付記８又は９に記載のネットワーク監視システム。
　（付記１１）
　前記管理装置は、
　前記セキュリティ装置において検出された前記データのうち、予め定められた検出条件を満たすデータを収集する、付記８乃至１０のいずれか１項に記載のネットワーク監視システム。
　（付記１２）
　前記管理装置は、
　前記保険発動条件を満たすか否かの判定結果を、前記管理装置と一体として用いられる表示部へ出力する、または、前記管理装置と異なる端末装置へ送信する、付記８乃至１１のいずれか１項に記載のネットワーク監視システム。
　（付記１３）
　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出される前記データに関するセキュリティ情報を収集し、
　サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定する、判定方法。
　（付記１４）
　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置において実行される通信方法であって、
　サイバー攻撃の発生の疑いを示すデータを所定の通信パターンに基づいて検出し、
　前記データのうち、前記データに関するセキュリティ情報がサイバー保険の適用基準を定める保険発動条件を満たすか否かを判定する管理装置が定める検出条件を満たすデータに関するセキュリティ情報を前記管理装置へ送信する、通信方法。
　（付記１５）
　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出される前記データに関するセキュリティ情報を収集し、
　サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定することをコンピュータに実行させるプログラム。
　（付記１６）
　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置において実行される通信方法であって、
　サイバー攻撃の発生の疑いを示すデータを所定の通信パターンに基づいて検出し、
　前記データのうち、前記データに関するセキュリティ情報がサイバー保険の適用基準を定める保険発動条件を満たすか否かを判定する管理装置が定める検出条件を満たすデータに関するセキュリティ情報を前記管理装置へ送信することをコンピュータに実行させるプログラム。
　１０　管理装置
　１１　データ収集部
　１２　判定部
　２０　管理装置
　２１　データベース
　３０　セキュリティ装置
　３１　検出部
　３２　通信部
　４０　端末装置
　４１　端末装置
　４２　端末装置
　５０　インターネット

Claims (16)

  1. 　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出される前記データに関するセキュリティ情報を収集するデータ収集手段と、
    　サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定する判定手段と、を備える管理装置。
  2. 　前記セキュリティ情報は、
    　サイバー攻撃の発生の疑いを示す前記データの送信元を示す情報を有し、
    　前記判定手段は、
    　前記データの通信元が、前記ネットワーク内の通信装置である場合に、前記セキュリティ情報が前記保険発動条件を満たすと判定する、請求項１に記載の管理装置。
  3. 　前記セキュリティ情報は、
    　前記データの発生タイミングを示す情報を有し、
    　前記判定手段は、
    　前記データの発生頻度もしくは発生周期が、閾値を超える場合に、前記セキュリティ情報が前記保険発動条件を満たすと判定する、請求項１又は２に記載の管理装置。
  4. 　前記判定手段は、
    　前記セキュリティ装置において検出された前記データのうち、予め定められた検出条件を満たすデータを収集する、請求項１乃至３のいずれか１項に記載の管理装置。
  5. 　前記判定手段は、
    　前記保険発動条件を満たすか否かの判定結果を、前記管理装置と一体として用いられる表示手段へ出力する、または、前記管理装置と異なる端末装置へ送信する、請求項１乃至４のいずれか１項に記載の管理装置。
  6. 　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置であって、
    　サイバー攻撃の発生の疑いを示すデータを所定の通信パターンに基づいて検出する検出手段と、
    　前記データのうち、前記データに関するセキュリティ情報がサイバー保険の適用基準を定める保険発動条件を満たすか否かを判定する管理装置が定める検出条件を満たすデータに関するセキュリティ情報を前記管理装置へ送信する通信手段と、を備えるセキュリティ装置。
  7. 　前記管理装置へ送信したセキュリティ情報が、前記保険発動条件を満たすか否かを示す判定結果を表示する表示手段をさらに備える、請求項６に記載のセキュリティ装置。
  8. 　サイバー保険契約者が管理するネットワークを監視し、所定の通信パターンに基づいて、サイバー攻撃の発生の疑いを示すデータを検出するセキュリティ装置と、
    　前記セキュリティ装置から、検出された前記データに関するセキュリティ情報を収集し、サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定する管理装置と、を備えるネットワーク監視システム。
  9. 　前記セキュリティ情報は、
    　サイバー攻撃の発生の疑いを示す前記データの送信元を示す情報を有し、
    　前記管理装置は、
    　前記データの通信元が、前記ネットワーク内の通信装置である場合に、前記セキュリティ情報が前記保険発動条件を満たすと判定する、請求項８に記載のネットワーク監視システム。
  10. 　前記セキュリティ情報は、
    　前記データの発生タイミングを示す情報を有し、
    　前記管理装置は、
    　前記データの発生頻度もしくは発生周期が、閾値を超える場合に、前記セキュリティ情報が前記保険発動条件を満たすと判定する、請求項８又は９に記載のネットワーク監視システム。
  11. 　前記管理装置は、
    　前記セキュリティ装置において検出された前記データのうち、予め定められた検出条件を満たすデータを収集する、請求項８乃至１０のいずれか１項に記載のネットワーク監視システム。
  12. 　前記管理装置は、
    　前記保険発動条件を満たすか否かの判定結果を、前記管理装置と一体として用いられる表示手段へ出力する、または、前記管理装置と異なる端末装置へ送信する、請求項８乃至１１のいずれか１項に記載のネットワーク監視システム。
  13. 　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出される前記データに関するセキュリティ情報を収集し、
    　サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定する、判定方法。
  14. 　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置において実行される通信方法であって、
    　サイバー攻撃の発生の疑いを示すデータを所定の通信パターンに基づいて検出し、
    　前記データのうち、前記データに関するセキュリティ情報がサイバー保険の適用基準を定める保険発動条件を満たすか否かを判定する管理装置が定める検出条件を満たすデータに関するセキュリティ情報を前記管理装置へ送信する、通信方法。
  15. 　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置から、サイバー攻撃の発生の疑いを示すデータであって、所定の通信パターンに基づいて検出される前記データに関するセキュリティ情報を収集し、
    　サイバー保険の適用基準を定める保険発動条件を管理するデータベースを用いて、前記セキュリティ情報が前記保険発動条件を満たすか否かを判定することをコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
  16. 　サイバー保険契約者が管理するネットワークを監視するセキュリティ装置において実行される通信方法であって、
    　サイバー攻撃の発生の疑いを示すデータを所定の通信パターンに基づいて検出し、
    　前記データのうち、前記データに関するセキュリティ情報がサイバー保険の適用基準を定める保険発動条件を満たすか否かを判定する管理装置が定める検出条件を満たすデータに関するセキュリティ情報を前記管理装置へ送信することをコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
PCT/JP2019/038463 2019-09-30 2019-09-30 管理装置、ネットワーク監視システム、判定方法、通信方法、及び非一時的なコンピュータ可読媒体 WO2021064773A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
US17/763,361 US20220337605A1 (en) 2019-09-30 2019-09-30 Management apparatus, network monitoring system, determination method, communication method, and non-transitory computer readable medium
JP2021550737A JP7290168B2 (ja) 2019-09-30 2019-09-30 管理装置、ネットワーク監視システム、判定方法、通信方法、及びプログラム
PCT/JP2019/038463 WO2021064773A1 (ja) 2019-09-30 2019-09-30 管理装置、ネットワーク監視システム、判定方法、通信方法、及び非一時的なコンピュータ可読媒体
JP2023087716A JP2023111938A (ja) 2019-09-30 2023-05-29 管理装置、セキュリティ装置、ネットワーク監視システム、判定方法、通信方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/038463 WO2021064773A1 (ja) 2019-09-30 2019-09-30 管理装置、ネットワーク監視システム、判定方法、通信方法、及び非一時的なコンピュータ可読媒体

Publications (1)

Publication Number Publication Date
WO2021064773A1 true WO2021064773A1 (ja) 2021-04-08

Family

ID=75337024

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/038463 WO2021064773A1 (ja) 2019-09-30 2019-09-30 管理装置、ネットワーク監視システム、判定方法、通信方法、及び非一時的なコンピュータ可読媒体

Country Status (3)

Country Link
US (1) US20220337605A1 (ja)
JP (2) JP7290168B2 (ja)
WO (1) WO2021064773A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003345989A (ja) * 2002-05-24 2003-12-05 Blest:Kk ネットワーク損害保険システム、通話料損害保険システム、電話回線網選択装置
WO2014207919A1 (ja) * 2013-06-28 2014-12-31 株式会社 東芝 電子機器
JP2017216664A (ja) * 2016-06-02 2017-12-07 アラクサラネットワークス株式会社 パケット中継装置

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9392010B2 (en) * 2011-11-07 2016-07-12 Netflow Logic Corporation Streaming method and system for processing network metadata
WO2015087333A1 (en) * 2013-12-13 2015-06-18 Comilion Mobile Ltd. Collaborative system for cyber security analysis
CN106415576B (zh) * 2014-03-26 2019-11-08 瑞士再保险有限公司 用于离散网络风险的测量和自动化累积的系统以及其对应的方法
US9680855B2 (en) * 2014-06-30 2017-06-13 Neo Prime, LLC Probabilistic model for cyber risk forecasting
WO2016064919A1 (en) * 2014-10-21 2016-04-28 Abramowitz Marc Lauren Dynamic security rating for cyber insurance products
US10050990B2 (en) * 2014-12-29 2018-08-14 Guidewire Software, Inc. Disaster scenario based inferential analysis using feedback for extracting and combining cyber risk information
EP3545418A4 (en) * 2016-11-22 2020-08-12 AON Global Operations PLC, Singapore Branch SYSTEMS AND PROCEDURES FOR RISK ASSESSMENT OF CYBERSECURITY
US10904282B2 (en) * 2017-08-08 2021-01-26 American International Group, Inc. System and method for assessing cybersecurity risk of computer network
CN111971658B (zh) * 2018-01-31 2021-08-10 怡安风险顾问股份有限公司 用于高效风险抑制的脆弱性评估和提供相关服务和产品的系统和方法
US10438001B1 (en) * 2018-12-31 2019-10-08 Arceo Labs Inc. Identification, prediction, and assessment of cyber security risk

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003345989A (ja) * 2002-05-24 2003-12-05 Blest:Kk ネットワーク損害保険システム、通話料損害保険システム、電話回線網選択装置
WO2014207919A1 (ja) * 2013-06-28 2014-12-31 株式会社 東芝 電子機器
JP2017216664A (ja) * 2016-06-02 2017-12-07 アラクサラネットワークス株式会社 パケット中継装置

Also Published As

Publication number Publication date
JP2023111938A (ja) 2023-08-10
JPWO2021064773A1 (ja) 2021-04-08
US20220337605A1 (en) 2022-10-20
JP7290168B2 (ja) 2023-06-13

Similar Documents

Publication Publication Date Title
US11265350B2 (en) Cyber risk analysis and remediation using network monitored sensors and methods of use
JP6334069B2 (ja) 悪意のあるコードの検出の精度保証のためのシステムおよび方法
US10432650B2 (en) System and method to protect a webserver against application exploits and attacks
CN107809433B (zh) 资产管理方法及装置
TWI627553B (zh) 於專用電腦網路上對進階持續性威脅攻擊之偵測
JP5248612B2 (ja) 侵入検知の方法およびシステム
US9282114B1 (en) Generation of alerts in an event management system based upon risk
US7237267B2 (en) Policy-based network security management
JP4373779B2 (ja) ステイトフル分散型イベント処理及び適応保全
US7526806B2 (en) Method and system for addressing intrusion attacks on a computer system
US20060037077A1 (en) Network intrusion detection system having application inspection and anomaly detection characteristics
US11283810B2 (en) Communication control method and communication control device for substituting security function of communication device
EP2835948B1 (en) Method for processing a signature rule, server and intrusion prevention system
EP3410671A1 (en) Systems and methods for automatically selecting an access control entity to mitigate attack traffic
US11258812B2 (en) Automatic characterization of malicious data flows
US20230403296A1 (en) Analyses and aggregation of domain behavior for email threat detection by a cyber security system
KR20220081145A (ko) Ai 기반 이상징후 침입 탐지 및 대응 시스템
US10367835B1 (en) Methods and apparatus for detecting suspicious network activity by new devices
JP4328679B2 (ja) コンピュータネットワークの運用監視方法及び装置並びにプログラム
WO2021064773A1 (ja) 管理装置、ネットワーク監視システム、判定方法、通信方法、及び非一時的なコンピュータ可読媒体
KR101551537B1 (ko) 정보유출방지장치
JP2006295232A (ja) セキュリティ監視装置、セキュリティ監視方法、及びプログラム
Allan Intrusion Detection Systems (IDSs): Perspective
CN117614694B (zh) 一种基于身份认证的招标方法
CN116436686A (zh) 分布式拒绝服务攻击的动态防护方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19947595

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021550737

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19947595

Country of ref document: EP

Kind code of ref document: A1