WO2022091207A1 - リスク分析装置、分析対象要素決定装置、方法、及びコンピュータ可読媒体 - Google Patents

リスク分析装置、分析対象要素決定装置、方法、及びコンピュータ可読媒体 Download PDF

Info

Publication number
WO2022091207A1
WO2022091207A1 PCT/JP2020/040219 JP2020040219W WO2022091207A1 WO 2022091207 A1 WO2022091207 A1 WO 2022091207A1 JP 2020040219 W JP2020040219 W JP 2020040219W WO 2022091207 A1 WO2022091207 A1 WO 2022091207A1
Authority
WO
WIPO (PCT)
Prior art keywords
analysis
host
attack
virtual
hosts
Prior art date
Application number
PCT/JP2020/040219
Other languages
English (en)
French (fr)
Inventor
真樹 井ノ口
智彦 柳生
峻一 木下
啓文 植田
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2022558638A priority Critical patent/JPWO2022091207A5/ja
Priority to PCT/JP2020/040219 priority patent/WO2022091207A1/ja
Priority to US18/032,632 priority patent/US20240022589A1/en
Publication of WO2022091207A1 publication Critical patent/WO2022091207A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • This disclosure relates to a risk analyzer, an analysis target element determination device, a risk analysis method, an analysis target element determination method, and a computer-readable medium.
  • Patent Document 1 discloses a system including a security analysis system, an optimization device, and a coping function control device.
  • the optimization device collects cyber attack information and system information from the security analysis system.
  • the cyber attack information includes information on the type of cyber attack, the identifier of the attacker, the identifier of the victim, and the effective countermeasure function.
  • System information is information about the entire system, including devices that have been attacked by cyber attacks.
  • the system information includes network configuration information, coping function information for each coping point on the network, and resource usage status information of the coping point.
  • the optimization device identifies the attack route of the cyber attack based on the collected cyber attack information and system information. More specifically, the optimizer searches for the collected IP (Internet Protocol) address of the attacker's terminal and the IP address of the victim's terminal based on the network configuration information, and damages from the attacker's terminal. The route to the user's terminal is specified as an attack route.
  • the optimization device extracts devices on the attack path that have an effective coping function against cyber attacks as candidates for coping points.
  • the optimization device selects a coping point from the extracted coping point candidates. After that, the optimization device outputs the selected coping point and the effective coping function to the coping function control device, and causes the coping function control device to execute the coping function.
  • Attack scenarios include, for example, the entry point used for the attack, the final attack target, and the type of final attack.
  • the security risk analysis device deductively infers the attack procedure based on the attack conditions for the attack scenario by referring to the system configuration information and searches for the attack route.
  • a graph showing the attack procedure in the attack route and the conditions of each attack procedure in a graph format is called an "attack graph" or an "attack tree”.
  • Patent Document 1 In the above case, if the number of hosts included in the system to be analyzed is large, there is a problem that the calculation cost required to generate the attack graph becomes enormous.
  • the optimizing device simply specifies the route from the attacker's terminal to the victim's terminal as the attack route, and does not infer the attack procedure. Therefore, Patent Document 1 does not provide a means for solving the above-mentioned problem. Even if the system includes a large number of hosts, it is desired that risk analysis can be performed without increasing the calculation cost.
  • the analysis target element determination device is a grouping means for grouping a plurality of hosts included in the analysis target system into a plurality of groups each including one or more hosts, and one or more for each of the plurality of groups. From the virtual analysis element of the group to which the host that is the start point of the attack belongs to the group to which the host that is the end point of the attack belongs, using the virtual analysis element generation means that generates the virtual analysis element and the virtual analysis element.
  • the analysis means for analyzing whether or not an attack on the virtual analysis element is possible and the analysis result of the analysis means are included in the route where the attack is performed. It has an analysis target element determination means for determining a host corresponding to a virtual analysis element as a target of risk analysis.
  • the present disclosure provides a risk analyzer as a second aspect.
  • the risk analyzer is a grouping means for grouping a plurality of hosts included in the system to be analyzed into a plurality of groups each including one or more hosts, and one or more virtual groups for each of the plurality of groups.
  • the virtual analysis element generation means for generating an analysis element and the virtual analysis element of the group to which the host that is the start point of the attack belongs
  • the virtual analysis element of the group to which the host that is the end point of the attack belongs is used.
  • the attack is performed among the hosts included in the analysis target system.
  • the analysis target element determination means for determining the host corresponding to the virtual analysis element included in the route as the target of the risk analysis, and the host determined by the analysis target element determination means as the target of the risk analysis are used as the starting point of the attack. It has a second analysis means for analyzing whether or not it is possible to attack the host which is the end point of the attack from the host.
  • the present disclosure provides, as a third aspect, a method for determining an element to be analyzed.
  • a plurality of hosts included in the analysis target system are grouped into a plurality of groups each including one or more hosts, and one or more virtual analysis elements are set for each of the plurality of groups.
  • the host corresponding to the virtual analysis element included in the route where the attack is performed is determined as the target of the risk analysis. Including that.
  • the present disclosure provides a risk analysis method as a fourth aspect.
  • a plurality of hosts included in the system to be analyzed are grouped into a plurality of groups each including one or more hosts, and one or more virtual analysis elements are generated for each of the plurality of groups.
  • the virtual analysis element determines whether or not it is possible to attack the virtual analysis element of the group to which the host that is the end point of the attack belongs from the virtual analysis element of the group to which the host that is the start point of the attack belongs.
  • Analysis is performed, and among the hosts included in the system to be analyzed, the host corresponding to the virtual analysis element included in the route on which the attack is performed is determined as the target of risk analysis based on the result of the analysis.
  • the host determined as the target of the risk analysis it is included to analyze whether or not it is possible to attack the host which is the end point of the attack from the host which is the start point of the attack.
  • the present disclosure provides a computer-readable medium as a fifth aspect.
  • the computer-readable medium groups a plurality of hosts included in the system to be analyzed into a plurality of groups each including one or more hosts, and generates one or more virtual analysis elements for each of the plurality of groups.
  • the virtual analysis element Using the virtual analysis element, whether or not it is possible to attack the virtual analysis element of the group to which the host that is the end point of the attack belongs from the virtual analysis element of the group to which the host that is the start point of the attack belongs.
  • the present disclosure provides a computer-readable medium as a sixth aspect.
  • the computer-readable medium groups a plurality of hosts included in the system to be analyzed into a plurality of groups each including one or more hosts, and generates one or more virtual analysis elements for each of the plurality of groups.
  • the analysis is performed, and based on the result of the analysis, among the hosts included in the system to be analyzed, the host corresponding to the virtual analysis element included in the route in which the attack is performed is determined as the target of the risk analysis.
  • a program for causing the computer to execute a process of analyzing whether or not an attack on the host which is the end point of the attack is possible from the host which is the start point of the attack is stored.
  • the risk analysis device and method, the analysis target element determination device and method, and the computer-readable medium according to the present disclosure can perform risk analysis even for a complicated system without increasing the calculation cost.
  • FIG. 1 shows a schematic configuration of a risk analyzer according to the present disclosure.
  • the risk analysis device 10 includes a grouping means 11, a virtual analysis element generation means 12, an analysis means 13, an analysis target element determination means 14, and an analysis means 15.
  • the grouping means 11, the virtual analysis element generation means 12, the analysis means 13, and the analysis target element determination means 14 constitute the analysis target element determination device 20.
  • the grouping means 11 groups a plurality of hosts included in the system to be analyzed into a plurality of groups each including one or more hosts.
  • the virtual analysis element generation means 12 generates one or more virtual analysis elements for each of the plurality of groups.
  • the analysis means (first analysis means) 13 uses the generated virtual analysis element to change the virtual analysis element of the group to which the host that is the start point of the attack belongs to the virtual analysis element of the group to which the host that is the end point of the attack belongs. Analyze whether it is possible to attack the analysis elements of.
  • the analysis target element determining means 14 targets the host included in the analysis target system, which corresponds to the virtual analysis element included in the attack route, as the target of risk analysis. To be determined as.
  • the analysis means (second analysis means) 15 determines whether or not the host determined by the analysis target element determination means 14 as the target of the risk analysis can be attacked from the host at the start point of the attack to the host at the end point of the attack. To analyze.
  • the virtual analysis element generation means 12 generates a virtual analysis element in each group.
  • the analysis means 13 searches for an attack route from the start point of the attack to the end point of the attack by using a virtual analysis element.
  • the analysis target element determining means 14 determines the host corresponding to the virtual analysis element included in the attack route as the target of the risk analysis in the analysis means 15. By doing so, the present disclosure can reduce the calculation cost in the analysis means 15 as compared with the case where the risk analysis is performed for the entire system.
  • FIG. 2 shows a risk analyzer according to an embodiment of the present disclosure.
  • the risk analysis device 100 has a grouping unit 101, a representative host generation unit 102, a first risk analysis unit 103, an analysis target element determination unit 104, and a second risk analysis unit 105.
  • the grouping unit 101, the representative host generation unit 102, the first risk analysis unit 103, and the analysis target element determination unit 104 constitute the analysis target element determination device 110.
  • the risk analyzer 100 corresponds to the risk analyzer 10 shown in FIG.
  • the analysis target element determination device 110 corresponds to the analysis target element determination device 20 shown in FIG.
  • the risk analysis device 100 analyzes the security risk in the system to be analyzed by using the method of division analysis.
  • the division analysis is to analyze the risk of the entire system by dividing the entire system into predetermined units, performing risk analysis for each division unit, and combining the risk division results of each division unit. Point to that.
  • FIG. 3 shows a system analyzed by divisional analysis.
  • This system has a host (host A) 200A, a host (host B) 200B, and a host (host C) 200C.
  • the host 200A is the host of the attack entrance and the host 200C is the host of the attack target.
  • the split analysis it is analyzed whether an attack from the host 200A to the host 200B is possible, and whether an attack from the host 200B to the host 200C is possible.
  • the risk analysis device 100 analyzes whether an attack from the host 200A to the host 200C is possible by combining the analysis results of the host 200A and the host 200B and the analysis results of the host 200B and the host 200C.
  • FIG. 4 shows the analysis target analyzed by the division analysis.
  • the host (host X) 200X is the host that is the starting point of the division analysis
  • the host (host Y) 200Y is the host that is the end point of the division analysis.
  • the hosts 200X and 200Y have three states, "code execution possible”, “data stealing possible”, and “data tampering possible", respectively.
  • each of the plurality of straight lines connecting each state of the host 200X and each state of the host 200Y represents an analysis unit (analysis target element).
  • the host that is the starting point and the host that is the ending point are the same host. In that case, for example, it is analyzed whether or not each state of the host 200X can be transitioned to another state of the host 200X.
  • FIG. 5 shows an example of the result of the division analysis.
  • the risk analysis device 100 assumes that "the code can be executed by the host A" as a precondition.
  • the risk analysis device 100 has information that "network service X is operating on host B", “reachable from host A to host B", and "the vulnerability of RCE (Remote code execution) in network service X" from the system configuration information. To get.
  • the risk analysis device 100 derives an inference result that "code can be executed by host B” based on the state that "code can be executed by host A” and the acquired information.
  • the risk analysis device 100 assumes that "code can be executed by host B" as a precondition in the split analysis between host 200B and host 200C.
  • the risk analysis device 100 acquires information such as "network service X is operating on host C", "reachable from host B to host C", and "RCE vulnerability in network service X" from the system configuration information.
  • the risk analysis device 100 derives an inference result that "code can be executed by host C” based on the state that "code can be executed by host B" and the acquired information. By connecting the analysis results of the two division analyzes, the analysis result that the code can be executed on the host 200C can be obtained when the code can be executed on the host 200A.
  • FIG. 6 shows an example of the system to be analyzed.
  • the network includes four subnets. More specifically, the network includes subnet (subnet A) 250A, subnet (subnet B) 250B, subnet (subnet C) 250C, and subnet (subnet D) 250D.
  • Subnet 250A includes the host at the entry point (initial position), and subnet 250D includes the host at the final attack target.
  • the analysis starts from the host in the subnet 250A and ends in the host in the subnet 250B (analysis between AB), and the analysis starts from the host in the subnet 250A and ends in the host in the subnet 250C (analysis between A and B). Analysis between AC and C) is carried out. Further, an analysis (analysis between BC) is performed starting from the host in the subnet 250B and ending at the host in the subnet 250C. Further, an analysis starting from a host in subnet 250B and ending in a host in subnet 250D (analysis between BD) and an analysis starting from a host in subnet 250C and ending in a host in subnet 250D (C). -Analysis between D) is carried out.
  • the subnet 250C is not connected to the subnet 250D. Therefore, it is considered that the attack route from the attack on the host in the subnet 250A to the host in the subnet 250D does not include the host in the subnet 250C. Therefore, the division analysis starting from or ending at the host in the subnet 250C is essentially unnecessary. In the division analysis, the calculation cost increases by analyzing unnecessary parts. In one aspect, the present embodiment provides a risk analysis device 100 capable of reducing unnecessary calculation costs in divisional analysis.
  • the grouping unit 101 refers to the system configuration information 150 and groups a plurality of hosts included in the system into a plurality of groups each including one or more hosts.
  • System configuration information includes, for example, information about hosts and information about connections between hosts.
  • Information about the host includes, for example, IP address, subnet mask, host firewall settings, installed software, OS (Operating System) (including version), operating service, free port number, presence / absence of USB (Universal Serial Bus) port, etc. And contains information such as vulnerability information.
  • the information about the host further includes information such as the host type, the presence / absence of user operation, and the credential information held.
  • the "host type” includes, for example, a general PC (Personal Computer), a router, a firewall, a file server, an active directory server, and a DSN (Domain Name Server) server.
  • Information about connections between hosts includes information such as network firewall settings and data flow information.
  • the "data flow information” includes, for example, "file sharing is performed by SMB between hosts A and B", “files are moved from host C to D using a USB memory”, and the like. Contains information.
  • the grouping unit 101 groups the hosts for each subnet network.
  • the subnetwork to which each host belongs can be determined based on the address information.
  • the grouping unit 101 acquires the IP address of each host from the system configuration information 150, and determines that the hosts having the same network address belong to the same subnetwork.
  • the grouping unit 101 groups hosts belonging to the same subnetwork into the same group.
  • the grouping unit 101 may group the hosts according to a range delimited by a predetermined boundary, for example, a security boundary in the network.
  • the grouping unit 101 may group the hosts according to the network range divided by the firewall.
  • the grouping unit 101 groups the hosts based on the IP address and the host type included in the system configuration information 150.
  • the grouping unit 101 determines, for example, that hosts having the same network address as the IP address belong to the same subnetwork.
  • the grouping unit 101 extracts hosts having a plurality of IP addresses, and uses the same host in a subnetwork connected by a host whose host type is not a firewall, for example, a router or a host having a plurality of NICs (Network Interface Cards). Divide into groups.
  • the grouping unit 101 groups the hosts according to the roles assigned to the hosts such as the office PC, the file server, the log server, the stepping server, the control server, or the HMI (Human Machine Interface). You may.
  • the grouping unit 101 acquires the host type of each host from the system configuration information 150.
  • the grouping unit 101 may group hosts having the same host type into the same group.
  • the grouping unit 101 may group the hosts based on the configuration of each host.
  • the grouping unit 101 may group the hosts based on, for example, a combination of arbitrary information included in the system configuration information 150.
  • the grouping unit 101 may group a plurality of hosts having the same installed OS and software into the same group.
  • the grouping unit 101 may group the hosts according to the information manually input by the user. The above grouping methods may be combined as appropriate.
  • the grouping unit 101 corresponds to the grouping means 11 shown in FIG.
  • the representative host generation unit 102 generates one or more virtual analysis elements for each of the plurality of groups grouped by the grouping unit 101.
  • the representative host generation unit 102 generates a representative host, which is a virtual host, corresponding to one or more of the hosts belonging to the group as a virtual analysis element.
  • the representative host generation unit 102 corresponds to the virtual analysis element generation means 12 shown in FIG.
  • the representative host generation unit 102 merges the attackable elements included in the system configuration information 150 of one or more hosts belonging to the same group, and the merged attackable elements are attacked by the representative host. It may be an element to be obtained.
  • the elements that can be attacked included in the system configuration information 150 include, for example, an operating service (free port number), the presence / absence of a USB port, vulnerability information, presence / absence of user operation, possessed credential information, and data flow information.
  • the "operating service” includes, for example, network services such as SSH (Secure Shell), FTP (File Transfer Protocol), telnet (Teletype network), and SMB (Server Message Block).
  • the representative host generation unit 102 can appropriately rewrite the host information into the representative host information.
  • the representative host generation unit 102 can rewrite each host to the representative host of the group to which each host belongs in the data flow information.
  • the information that "file sharing by SMB is performed between hosts A and B" means that "file sharing by SMB is performed between the representative host of the group to which host A belongs and the representative host of the group to which host B belongs”. It may be rewritten with the information "I am doing".
  • the representative host generation unit 102 can rewrite the information of each host in the host firewall information and the network firewall information to the information of the representative host of the group to which each host belongs. For example, it is assumed that the IP address of the host A is "192.168.10.1" and the IP address of the host B is "192.168.20.1". It is assumed that the firewall information has the content of "permitting communication on TCP port 22 from 192.168.10.1 to 192.168.20.1". It is assumed that the IP address of the representative host of the group to which the host A belongs is "192.168.10.100" and the IP address of the representative host of the group to which the host B belongs is "192.168.20.100". In that case, the representative host generation unit 102 can rewrite the firewall information as "permit communication on TCP port 22 from 192.168.10.100 to 192.168.20.100".
  • the representative host generation unit 102 may use the IP address and host type of a host arbitrarily selected from a plurality of hosts belonging to the same group as the IP address and host type of the representative host. Alternatively, the representative host generation unit 102 may use the dummy value as the IP address and host type of the representative host. The representative host generation unit 102 may merge the IP addresses and host types of the hosts in the group.
  • the representative host generation unit 102 may acquire elements that can be attacked by each host from the system configuration information 150 and generate a representative host based on the number of elements that can be attacked.
  • the representative host generation unit 102 may select one or more hosts belonging to the same group and having a large number of elements that can be attacked, and generate a host having the same configuration as the selected host as the representative host.
  • the representative host generation unit 102 may select, for example, the host having the largest number of elements that can be attacked in each group.
  • the representative host generation unit 102 may select one or more hosts in each group in which the number of elements that can be attacked is a predetermined number or more.
  • the representative host generation unit 102 may generate a representative host based on the number of elements that can be attacked, such as the number of vulnerability information or the number of services in operation.
  • the representative host generation unit 102 selects a host having an element that can be attacked by a host of another group from one or more hosts belonging to the same group, and selects a host having the same configuration as the selected host. It may be generated as a representative host.
  • the representative host generation unit 102 may identify a host having an element that can be attacked by a host of another group based on, for example, the data flow information included in the system configuration information 150, the host firewall information, and the network firewall information. can.
  • the representative host generation unit 102 may generate a representative host for each host having an element that can be attacked to reach each end point state of the division analysis.
  • the representative host generation unit 102 holds, for example, for each analysis element, as a table which end state of the division analysis is reached.
  • the representative host generation unit 102 refers to the table to be held and the system configuration information 150, and determines which end point state each host has an element to reach.
  • FIG. 7 shows a specific example of a table showing the correspondence between the operating service and the end point state.
  • the representative host generation unit 102 holds, for example, a table in which a protocol used in the service and an end point state that can be transitioned by an attack using the protocol are associated with each other.
  • the representative host generation unit 102 determines that, for example, when "telnet” is used in a certain host, that host has an element that can be attacked leading to "code execution”.
  • the representative host generation unit 102 is an element that can be attacked, for example, when "RDP (Remote Desktop Protocol)" is used in a certain host, the host can be attacked to "code execution", "data tampering", and "data theft”. Judge to have.
  • RDP Remote Desktop Protocol
  • the three states of "code execution”, "data tampering”, and “data theft” are considered as end point states, but the end point state is not limited to these.
  • the representative host generation unit 102 creates a table in which those states are associated with an element that can be attacked. You just have to hold it.
  • the representative host generation unit 102 holds a table in which the vulnerability and the end point state that can be transitioned by an attack using the vulnerability are associated with each other.
  • the representative host generation unit 102 may determine that the data flow information reaches the final state of "data falsification” or "data theft” for the related host.
  • the representative host generation unit 102 may, for example, merge the elements in the group that can be attacked to reach the same final state to generate the representative host corresponding to each final state.
  • the representative host generation unit 102 merges the configurable elements of the selected plurality of hosts according to the first method or the second method.
  • a host with many elements that can be attacked may be further selected.
  • the first risk analysis unit 103 analyzes the potential risks included in the system by using the representative host generated by the representative host generation unit 102.
  • the first risk analysis unit 103 deductively infers the attack procedure for each of several possible attack scenarios and searches for the attack route.
  • Attack scenarios include the entry point used for the attack, the final target of the attack, and the type of final attack.
  • the first risk analysis unit 103 indicates the type of the final attack on the representative host of the group to which the attack target host belongs when the attack is started from the representative host of the group to which the entrance host used for the attack belongs. Analyze whether an attack is possible.
  • the first risk analysis unit 103 corresponds to the analysis means 13 shown in FIG.
  • the first risk analysis unit 103 performs risk analysis using the method of division analysis.
  • the first risk analysis unit 103 refers to the system configuration information 150, and for the pair of representative hosts generated by the representative host generation unit 102, from each state of the representative host as the starting point to each state of the representative host as the ending point. Analyze whether or not it is possible to transition to.
  • the first risk analysis unit 103 combines the results of the division analysis, and when the attack is started from the representative host corresponding to the entrance used for the attack, the final risk analysis unit 103 is finalized at the representative host corresponding to the final attack target. Analyze whether or not the attack indicated by the type of attack is possible.
  • the analysis target element determination unit 104 determines the analysis target element to be analyzed by the second risk analysis unit 105 based on the result of the risk analysis carried out by the first risk analysis unit 103. Based on the analysis result of the first risk analysis unit 103, the analysis target element determination unit 104 selects the host included in the analysis target system corresponding to the virtual analysis element included in the attack route. Determine for risk analysis.
  • the analysis target element determination unit 104 corresponds to the analysis target element determination means 14 shown in FIG.
  • the analysis target element determination unit 104 excludes the host in the group of the representative host from the analysis target.
  • the analysis target element determination unit 104 determines the state of the hosts in the group by the division analysis when the specific state of the representative host is not used as the attack start point or end point state. Exclude from the analysis target of.
  • the analysis target element determination unit 104 checks whether or not there is a representative host that is not used in the attack. The analysis target element determination unit 104 identifies a representative host that is not used in the attack, and excludes the end point state corresponding to the identified representative host from the analysis target for the hosts in the group.
  • the second risk analysis unit 105 refers to the system configuration information 150 for the analysis target element determined by the analysis target element determination unit 104, and analyzes the potential risk contained in the system.
  • the risk analysis performed by the second risk analysis unit 105 may be the same as the risk analysis performed by the first risk analysis unit 103, except that the target of analysis changes from the representative host of each group to each host.
  • the second risk analysis unit 105 does not necessarily have to be arranged separately from the first risk analysis unit 103, and the first risk analysis unit 103 and the second risk analysis unit 105 are the same functional units. You may.
  • the second risk analysis unit 105 refers to the system configuration information 150 and analyzes whether or not each state of the host to be analyzed can be changed from each state of the host as the starting point to each state of the host as the ending point. ..
  • the second risk analysis unit 105 combines the results of the division analysis, and when the attack is started from the host of the entrance used for the attack, it is shown in the final attack type in the host of the final attack target. Analyze whether an attack is possible.
  • the second risk analysis unit 105 corresponds to the analysis means 15 shown in FIG.
  • FIG. 8 shows a part of the system to be analyzed.
  • the subnet (subnet X) 250X includes a host 200A, a host 200B, a host 200C, a host (host D) 200D, a host (host E) 200E, and a host (host F) 200F.
  • the subnet (subnet Y) 250Y includes a host (host G) 200G.
  • the subnet 250X is connected to the subnet 250Y via a firewall (FW: FireWall) 210.
  • the firewall 210 shall only allow communication from the host 200E to the host 200G.
  • Host 200A of subnet 250X has "FTP” as an element that can be attacked to reach the state of "data tampering possible”.
  • the host 200B has "RDP Login” as an element that can be attacked to reach the "code executable” state.
  • the host 200C has a vulnerability identified by "CVE (Common Vulnerabilities and Exposures) -2020-YYYY” as an element that can be attacked to reach the state of "data tampering possible”.
  • the host 200D has a vulnerability identified by "CVE-2020-ZZZZ” as an element that can be attacked leading to data tampering.
  • the host 200E has "SSH Login” as an element that can be attacked leading to "code execution”.
  • the host 200F has "SMB” as an element that can be attacked leading to "data tampering possible”.
  • Host 200G on subnet 250Y has a vulnerability identified by "CVE-2020-XXXX” as an attackable element leading to "code executable”.
  • FIG. 9 shows a representative host generated in each subnetwork.
  • the representative host generation unit 102 groups the hosts in each subnet for each state.
  • the representative host generation unit 102 generates a representative host (representative host A) 220A corresponding to “data tampering possible” for the subnet 250X.
  • the representative host 220A has vulnerabilities identified by "FTP”, "SMB”, and "CVE-2020-YYYY” as elements that can be attacked.
  • the representative host generation unit 102 generates a representative host (representative host B) 220B corresponding to "data stealing possible".
  • the representative host 220B has a vulnerability identified by "CVE-2020-ZZZZ” as an element that can be attacked.
  • the representative host generation unit 102 generates the representative host (representative host C) 220C corresponding to the “code executable”.
  • the representative host 220C has "RDP Login” and "SSH Login” as elements that can be attacked.
  • the representative host generation unit 102 generates the representative host (representative host D) 220D for the subnet 250Y.
  • the representative host 220A is a representative host corresponding to the hosts 200A, 200C, and 200F shown in FIG.
  • the representative host 220B is a representative host corresponding to the host 200D shown in FIG.
  • the representative host 220C is a representative host corresponding to the hosts 200B and 200E shown in FIG.
  • the representative host 220D is a representative host corresponding to the host 200G shown in FIG.
  • the first risk analysis unit 103 performs risk analysis using the representative host shown in FIG. As a result of the risk analysis, it is analyzed that an attack from the representative host 220C to the representative host 220D is possible. On the other hand, since the communication from the representative hosts 220A and 220B to the representative host 220D is blocked by the firewall 210, it is analyzed that there is no attack from the representative hosts 220A and 220B to the representative host 220D. In that case, the analysis target element determination unit 104 excludes "data tampering possible" and "data stealing possible” from the analysis target for the subnet 250X. The second risk analysis unit 105 performs a risk analysis on "code executable" for the host on the subnet 250X. By doing so, it is possible to reduce the analysis of unnecessary parts in the division analysis.
  • FIG. 10 shows an operation procedure (risk analysis method) in the risk analysis device 100.
  • the grouping unit 101 divides a plurality of hosts included in the analysis target system into a plurality of groups based on the system configuration information 150 (step S1).
  • the representative host generation unit 102 generates one or more representative hosts in each group (step S2).
  • the first risk analysis unit 103 analyzes the risk in the system to be analyzed using the representative host generated in step S2 (step S3).
  • the analysis target element determination unit 104 determines the analysis target element (host and its state) based on the risk analysis result in step S3 (step S4).
  • the analysis target element determination unit 104 excludes the representative host that is not used for the attack, the host corresponding to the state, and the state thereof from the analysis target element, for example, in the risk analysis using the representative host.
  • Steps S1 to S4 correspond to the operation procedure (analysis target element determination method) of the analysis target element determination device 110.
  • the second risk analysis unit 105 performs a detailed risk analysis on the analysis target element determined in step S4 with reference to the system configuration information 150 (step S5).
  • step S4 when the representative host not used for the attack, the host corresponding to the state, and the state are excluded from the analysis target elements, the unnecessary part is not analyzed in step S5. Therefore, the calculation cost can be reduced as compared with the case where the risk analysis is performed for all the hosts included in the system to be analyzed and their states.
  • the grouping unit 101 groups a plurality of hosts into several groups.
  • the representative host generation unit 102 generates a representative host for each group.
  • the first risk analysis unit 103 performs risk analysis using the representative host generated for each group.
  • the analysis target element determination unit 104 determines the representative host that can be used for an attack based on the result of the risk analysis in the first risk analysis unit 103, and the analysis target element of the risk analysis performed by the second risk analysis unit 105. To be determined as.
  • the risk analysis carried out by the second risk analysis unit 105 it is possible to suppress the analysis of unnecessary parts, and the calculation cost can be reduced as compared with the case where the risk analysis is performed for the entire system.
  • FIG. 2 has described an example in which the risk analysis device 100 includes the analysis target element determination device 110.
  • the risk analysis device 100 and the analysis target element determination device 110 do not necessarily have to be configured as the same device, and they may be configured as separate devices.
  • an example in which the method of divisional analysis is mainly used has been described, but the present disclosure is not limited to this.
  • the first risk analysis unit 103 and the second risk analysis unit 105 may perform risk analysis without dividing the entire system into predetermined division units. Even in that case, the calculation cost can be reduced by excluding the parts that are not used for the attack from the analysis target.
  • FIG. 11 shows a configuration example of a computer device that can be used as the risk analysis device 100 and the analysis target element determination device 110.
  • the computer device 500 includes a control unit (CPU: Central Processing Unit) 510, a storage unit 520, a ROM (ReadOnlyMemory) 530, a RAM (RandomAccessMemory) 540, a communication interface (IF: Interface) 550, and a user interface (IF). ) Has 560.
  • the communication IF 550 is an interface for connecting the computer device 500 and the communication network via a wired communication means, a wireless communication means, or the like.
  • the user IF 560 includes a display unit such as a display. Further, the user IF 560 includes an input unit such as a keyboard, a mouse, and a touch panel.
  • the storage unit 520 is an auxiliary storage device that can hold various types of data.
  • the storage unit 520 does not necessarily have to be a part of the computer device 500, and may be an external storage device or a cloud storage connected to the computer device 500 via a network.
  • the storage unit 520 stores, for example, the system configuration information 150 shown in FIG.
  • ROM 530 is a non-volatile storage device.
  • a semiconductor storage device such as a flash memory having a relatively small capacity is used.
  • the program executed by the CPU 510 may be stored in the storage unit 520 or the ROM 530.
  • the storage unit 520 or ROM 530 stores, for example, various programs for realizing the functions of each unit in the risk analysis device 100 or the analysis target element determination device 110.
  • Non-temporary computer-readable media include various types of tangible storage media.
  • Examples of non-temporary computer-readable media are magnetic recording media such as flexible disks, magnetic tapes, or hard disks, such as magneto-optical recording media such as magneto-optical disks, CDs (compact discs), or DVDs (digital versatile disks).
  • Includes optical disk media such as, and semiconductor memory such as mask ROM, PROM (programmable ROM), EPROM (erasable PROM), flash ROM, or RAM.
  • the program may also be supplied to the computer using various types of temporary computer-readable media. Examples of temporary computer readable media include electrical, optical, and electromagnetic waves.
  • the temporary computer-readable medium can supply the program to the computer via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.
  • RAM 540 is a volatile storage device.
  • various semiconductor memory devices such as DRAM (Dynamic Random Access Memory) or SRAM (Static Random Access Memory) are used.
  • the RAM 540 can be used as an internal buffer for temporarily storing data and the like.
  • the CPU 510 expands the program stored in the storage unit 520 or the ROM 530 into the RAM 540 and executes the program. By executing the program by the CPU 510, the functions of each part in the risk analysis device 100 or the analysis target element determination device 110 can be realized.
  • the CPU 510 may have an internal buffer that can temporarily store data and the like.
  • Grouping means for grouping multiple hosts included in the system to be analyzed into multiple groups, each containing one or more hosts.
  • a virtual analysis element generation means for generating one or more virtual analysis elements for each of the plurality of groups, Using the virtual analysis element, it is analyzed whether or not it is possible to attack the virtual analysis element of the group to which the host that is the end point of the attack belongs from the virtual analysis element of the group to which the host that is the start point of the attack belongs.
  • Analytical means to do Based on the analysis result of the analysis means, among the hosts included in the system to be analyzed, the host corresponding to the virtual analysis element included in the route where the attack is performed is determined as the target of risk analysis.
  • An analysis target element determination device including a determination means.
  • Appendix 2 The analysis target element determination according to Appendix 1 in which the virtual analysis element generation means generates a representative host, which is a virtual host, corresponding to one or more of the hosts belonging to the group as the virtual analysis element. Device.
  • Appendix 3 The analysis target element determination according to Appendix 2, wherein the virtual analysis element generation means merges the attackable elements of the hosts belonging to the group and sets the merged attackable elements as the attackable elements of the representative host. Device.
  • the virtual analysis element generation means selects, among the hosts belonging to the group, the host having the largest number of elements that can be attacked, or one or more hosts having a predetermined number or more of elements that can be attacked, and the selection.
  • the analysis target element determination device according to Appendix 2 or 3, wherein the element that can be attacked by the host is the element that can be attacked by the representative host.
  • the virtual analysis element generation means selects a host having an element that can be attacked by a host of another group from the hosts belonging to the group, and representatives the element that can be attacked by the selected host.
  • the analysis target element determination device according to any one of Supplementary note 2 to 4, which is an element that can be attacked by the host.
  • the analysis target element determining means excludes the host corresponding to the representative host not included in the route on which the attack is performed from the hosts included in the analysis target system from the target of the risk analysis.
  • the analysis target element determination device according to any one.
  • each division unit in which the system to be analyzed is divided into predetermined units the analysis means changes from each state of the representative host, which is the starting point of the division unit, to each state of the representative host, which is the end point of the division unit.
  • the analysis target element determination device according to any one of Supplementary note 2 to 6, which analyzes whether or not it is possible.
  • the analysis target element determining means excludes the state of the representative host as the starting point and the state of the representative host as the ending point, which are not included in the route in which the attack is performed, from the target of the risk analysis.
  • Appendix 10 The analysis target according to Appendix 9, wherein the analysis target element determining means identifies a representative host that is not used in the attack and excludes the state of the host that is the end point corresponding to the specified representative host from the target of the risk analysis. Element determination device.
  • the grouping means is the analysis target element determination device according to any one of Supplementary note 1 to 12, which groups the hosts according to the role of the host.
  • the grouping means is the analysis target element determination device according to any one of Supplementary note 1 to 13 for grouping the hosts according to the configuration of the hosts.
  • Grouping means for grouping multiple hosts included in the system to be analyzed into multiple groups, each containing one or more hosts.
  • a virtual analysis element generation means for generating one or more virtual analysis elements for each of the plurality of groups, Using the virtual analysis element, it is analyzed whether or not it is possible to attack the virtual analysis element of the group to which the host that is the end point of the attack belongs from the virtual analysis element of the group to which the host that is the start point of the attack belongs.
  • Analysis target element determination means and With respect to the host determined by the analysis target element determining means as the target of the risk analysis, a second analysis means for analyzing whether or not an attack from the host that is the start point of the attack to the host that is the end point of the attack is possible.
  • Appendix 16 The risk analysis device according to Appendix 15, wherein the virtual analysis element generation means generates a representative host, which is a virtual host, corresponding to one or more of the hosts belonging to the group as the virtual analysis element.
  • Appendix 17 The risk analysis device according to Appendix 16, wherein the virtual analysis element generation means merges the attackable elements of the hosts belonging to the group, and the merged attackable elements are used as the attackable elements of the representative host.
  • the analysis target element determining means excludes the host corresponding to the representative host not included in the route on which the attack is performed from the hosts included in the analysis target system from the target of the risk analysis.
  • the first analysis means changes from each state of the representative host, which is the starting point of the division unit, to each state of the representative host, which is the end point of the division unit, in each division unit in which the system to be analyzed is divided into predetermined units. Analyze whether or not the transition is possible,
  • the second analysis means is a transition from each state of the host which is the starting point of the division unit to each state of the host which is the end point of the division unit in each division unit in which the system to be analyzed is divided into predetermined units.
  • the risk analyzer according to any one of the appendices 16 to 18 for analyzing whether or not the risk is possible.
  • the second analysis means is a transition from each state of the host that is the starting point of the division unit to each state of the host that is the end point of the division unit in each division unit in which the system to be analyzed is divided into predetermined units. Analyze whether it is possible and The risk analysis device according to Appendix 16, wherein the virtual analysis element generation means generates the representative host for each host having an element that can be attacked to reach each state of the host that is the end point of the division unit.
  • Appendix 21 The risk analysis according to Appendix 20, wherein the analysis target element determining means identifies a representative host that is not used in the attack, and excludes the state of the host that is the end point corresponding to the specified representative host from the target of the risk analysis. Device.
  • Multiple hosts included in the system to be analyzed are grouped into multiple groups, each containing one or more hosts.
  • one or more virtual analytical elements are generated.
  • the virtual analysis element it is analyzed whether or not it is possible to attack the virtual analysis element of the group to which the host that is the end point of the attack belongs from the virtual analysis element of the group to which the host that is the start point of the attack belongs. death,
  • the computer executes a process of determining the host included in the system to be analyzed that corresponds to the virtual analysis element included in the route where the attack is performed as the target of the risk analysis.
  • a non-temporary computer-readable medium that stores a program to make it.
  • Non-temporary computer readable medium Stores a program for causing a computer to execute a process of analyzing whether or not an attack on a host that is the end point of the attack is possible from the host that is the start point of the attack for the host determined as the target of the risk analysis.
  • Risk analysis device 11 Grouping means 12: Virtual analysis element generation means 13: Analysis means 14: Analysis target element determination means 15: Analysis means 20: Analysis target element determination device 100: Risk analysis device 101: Grouping unit 102 : Representative host generation unit 103: First risk analysis unit 104: Analysis target element determination unit 105: Second risk analysis unit 110: Analysis target element determination device 150: System configuration information 200A-G, X, Y: Host 210 : Firewall 220A-D: Representative host 250A-D, X, Y: Subzone 500: Computer device 510: CPU 520: Storage unit 530: ROM 540: RAM 550: Communication IF 560: User IF

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

計算コストを増大させずにリスク分析を実施可能とする。グループ化手段（１１）は、分析対象のシステムに含まれる複数のホストを複数のグループにグループ化する。仮想分析要素生成手段（１２）は、複数のグループのそれぞれについて、１以上の仮想の分析要素を生成する。分析手段（１３）は、仮想の分析要素を用いて、攻撃の終点となる仮想の分析要素に対する攻撃が可能か否かを分析する。分析対象要素決定手段（１４）は、分析対象のシステムに含まれるホストのうち、攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する。分析手段（１５）は、リスク分析の対象として決定されたホストについて、攻撃の終点となるホストに対する攻撃が可能か否かを分析する。

Description

リスク分析装置、分析対象要素決定装置、方法、及びコンピュータ可読媒体
　本開示は、リスク分析装置、分析対象要素決定装置、リスク分析方法、分析対象要素決定方法、及びコンピュータ可読媒体に関する。
　関連技術として、特許文献１は、セキュリティ分析システム、最適化装置、及び対処機能制御装置を含むシステムを開示する。特許文献１に記載のシステムにおいて、最適化装置は、セキュリティ分析システムから、サイバー攻撃情報と、システム情報とを収集する。サイバー攻撃情報は、サイバー攻撃の種別、攻撃者の識別子、被害者の識別子、及び有効な対処機能の情報を含む。システム情報は、サイバー攻撃を受けた機器を含むシステム全体に関する情報である。システム情報は、ネットワーク構成情報、ネットワーク上の対処ポイントごとの対処機能情報、及び対処ポイントのリソース利用状況情報を含む。
　最適化装置は、収集したサイバー攻撃情報及びシステム情報に基づいて、サイバー攻撃の攻撃経路を特定する。より詳細には、最適化装置は、ネットワーク構成情報に基づいて、収集された攻撃者の端末のＩＰ（Internet Protocol）アドレスと被害者の端末のＩＰアドレスとを探索し、攻撃者の端末から被害者の端末までの経路を攻撃経路として特定する。最適化装置は、攻撃経路上にある機器であって、サイバー攻撃に対して有効な対処機能を有する機器を対処ポイントの候補として抽出する。最適化装置は、抽出した対処ポイントの候補の中から、対処ポイントを選択する。その後、最適化装置は、選択した対処ポイントと有効な対処機能とを対処機能制御装置に出力し、対処機能制御装置に対処機能を実行させる。
国際公開第２０１６／０７６２０７号
　近年、サイバー攻撃の脅威は、ＩＣＴ（Information and Communication Technology）分野にとどまらず、制御システムやＩｏＴ（Internet of Things）の分野でも被害事例が発生している。特に、制御システムにおいては、電力システムや工場の停止など、重要インフラの稼働を脅かす事案も起こっている。サイバー攻撃の脅威に対しては、システムが持つセキュリティリスクを明確化し、対策を実施し、リスクを下げることが重要である。
　セキュリティリスクの分析では、いくつかの攻撃シナリオが想定される。攻撃シナリオは、例えば、攻撃に利用される侵入口、最終的な攻撃対象、及び最終攻撃の種別を含む。セキュリティリスク分析装置は、システムの構成情報などを参照し、攻撃シナリオに対して、攻撃条件に基づいて攻撃手順を演繹的に推論し、攻撃経路を探索する。攻撃経路における攻撃手順や各攻撃手順の条件をグラフ形式で表したグラフは、「攻撃グラフ」や「攻撃ツリー」と呼ばれる。
　上記の場合、分析対象のシステムに含まれるホストの数が多い場合、攻撃グラフの生成に要する計算コストが膨大となるという問題がある。特許文献１では、最適化装置は、単に攻撃者の端末から被害者の端末までの経路を攻撃経路として特定しているだけであり、攻撃手順を推論していない。このため、特許文献１は、上記した問題に対する解決手段を提供しない。システムに多数のホストが含まれる場合でも、計算コストを増大させずにリスク分析が可能であることが要望される。
　本開示は、上記に鑑み、複雑なシステムについても、計算コストを増大させずにリスク分析を実施できるリスク分析装置及び方法、分析対象要素決定装置及び方法、並びにコンピュータ可読媒体を提供することを目的とする。
　上記目的を達成するために、本開示は、第１の態様として、分析対象要素決定装置を提供する。分析対象要素決定装置は、分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化するグループ化手段と、前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成する仮想分析要素生成手段と、前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析する分析手段と、前記分析手段の分析結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する分析対象要素決定手段とを有する。
　本開示は、第２の態様として、リスク分析装置を提供する。リスク分析装置は、分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化するグループ化手段と、前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成する仮想分析要素生成手段と、前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析する第１の分析手段と、前記第１の分析手段の分析結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する分析対象要素決定手段と、前記分析対象要素決定手段が前記リスク分析の対象として決定したホストについて、前記攻撃の始点となるホストから、前記攻撃の終点となるホストに対する攻撃が可能か否かを分析する第２の分析手段とを有する。
　本開示は、第３の態様として、分析対象要素決定方法を提供する。分析対象要素決定方法は、分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定することを含む。
　本開示は、第４の態様として、リスク分析方法を提供する。リスク分析方法は、分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定し、前記リスク分析の対象として決定されたホストについて、前記攻撃の始点となるホストから、前記攻撃の終点となるホストに対する攻撃が可能か否かを分析することを含む。
　本開示は、第５の態様として、コンピュータ可読媒体を提供する。コンピュータ可読媒体は、分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する処理をコンピュータに実行させるためのプログラムを格納する。
　本開示は、第６の態様として、コンピュータ可読媒体を提供する。コンピュータ可読媒体は、分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定し、前記リスク分析の対象として決定されたホストについて、前記攻撃の始点となるホストから、前記攻撃の終点となるホストに対する攻撃が可能か否かを分析する処理をコンピュータに実行させるためのプログラムを格納する。
　本開示に係るリスク分析装置及び方法、分析対象要素決定装置及び方法、並びにコンピュータ可読媒体は、複雑なシステムについても、計算コストを増大させずにリスク分析を実施できる。
本開示に係るリスク分析装置の概略的な構成を示すブロック図。 本開示の一実施形態に係るリスク分析装置を示すブロック図。 分割分析で分析されるシステムを示すブロック図。 分割分析で分析される分析対象を示すブロック図。 分割分析の結果の一例を示す図。 分析対象のシステムの一例を示すブロック図。 稼働サービスと終点状態との対応関係を示すテーブルの具体例を示す図。 分析対象のシステムの一部を示すブロック図。 各サブネットワークに生成される代表ホストを示すブロック図。 リスク分析装置における動作手順を示すフローチャート。 コンピュータ装置の構成例を示すブロック図。
　本開示の実施の形態の説明に先立って、本開示の概要を説明する。図１は、本開示に係るリスク分析装置の概略的な構成を示す。リスク分析装置１０は、グループ化手段１１、仮想分析要素生成手段１２、分析手段１３、分析対象要素決定手段１４、及び分析手段１５を有する。リスク分析装置１０において、グループ化手段１１、仮想分析要素生成手段１２、分析手段１３、及び分析対象要素決定手段１４は、分析対象要素決定装置２０を構成する。
　グループ化手段１１は、分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化する。仮想分析要素生成手段１２は、複数のグループのそれぞれについて、１以上の仮想の分析要素を生成する。分析手段（第１の分析手段）１３は、生成された仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの仮想の分析要素から、攻撃の終点となるホストが属するグループの仮想の分析要素に対する攻撃が可能か否かを分析する。
　分析対象要素決定手段１４は、分析手段１３の分析結果に基づいて、分析対象のシステムに含まれるホストのうち、攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する。分析手段（第２の分析手段）１５は、分析対象要素決定手段１４がリスク分析の対象として決定したホストについて、攻撃の始点となるホストから、攻撃の終点となるホストに対する攻撃が可能か否かを分析する。
　本開示では、仮想分析要素生成手段１２は、各グループに、仮想の分析要素を生成する。分析手段１３は、仮想の分析要素を用いて、攻撃の始点から攻撃の終点までの攻撃経路を検索する。分析対象要素決定手段１４は、攻撃経路に含まれる仮想の分析要素に対応するホストを、分析手段１５におけるリスク分析の対象として決定する。このようにすることで、本開示は、システム全体に対してリスク分析を行う場合に比べて、分析手段１５における計算コストを軽減することができる。
　以下、本開示の実施の形態を詳細に説明する。図２は、本開示の一実施形態に係るリスク分析装置を示す。リスク分析装置１００は、グループ化部１０１、代表ホスト生成部１０２、第１のリスク分析部１０３、分析対象要素決定部１０４、及び第２のリスク分析部１０５を有する。リスク分析装置１００において、グループ化部１０１、代表ホスト生成部１０２、第１のリスク分析部１０３、及び分析対象要素決定部１０４は、分析対象要素決定装置１１０を構成する。リスク分析装置１００は、図１に示されるリスク分析装置１０に対応する。分析対象要素決定装置１１０は、図１に示される分析対象要素決定装置２０に対応する。
　ここで、本実施形態では、リスク分析装置１００は、分割分析の手法を用いて、分析対象のシステムにおけるセキュリティリスクを分析するものとする。本実施形態において、分割分析とは、システム全体を所定単位で分割し、各分割単位に対してリスク分析を行い、各分割単位のリスク分割結果を結合することで、システム全体のリスクを分析することを指す。
　図３は、分割分析で分析されるシステムを示す。このシステムは、ホスト（ホストＡ）２００Ａ、ホスト（ホストＢ）２００Ｂ、及びホスト（ホストＣ）２００Ｃを有する。ここでは、ホスト２００Ａが攻撃の侵入口のホストであり、ホスト２００Ｃが攻撃目標のホストであるとする。分割分析では、ホスト２００Ａからホスト２００Ｂへの攻撃が可能であるかが分析され、ホスト２００Ｂからホスト２００Ｃへの攻撃が可能であるかが分析される。リスク分析装置１００は、ホスト２００Ａ及びホスト２００Ｂの分析結果と、ホスト２００Ｂ及びホスト２００Ｃの分析結果を結合することで、ホスト２００Ａからホスト２００Ｃへの攻撃が可能であるかを分析する。
　図４は、分割分析で分析される分析対象を示す。この例において、ホスト（ホストＸ）２００Ｘは分割分析の起点となるホストであり、ホスト（ホストＹ）２００Ｙは分割分析の終点となるホストであるとする。ホスト２００Ｘ及び２００Ｙは、それぞれ「コード実行可能」、「データ窃取可能」、及び「データ改ざん可能」という３つの状態を有する。分割分析では、起点となるホスト２００Ｘの各状態から、終点となるホスト２００Ｙの各状態に遷移可能か否かが分析される。図４において、ホスト２００Ｘの各状態とホスト２００Ｙの各状態とを結ぶ複数の直線のそれぞれは分析単位（分析対象要素）を表す。なお、起点となるホストと終点となるホストとが同一のホストである場合もある。その場合、例えばホスト２００Ｘの各状態から、ホスト２００Ｘの他の状態へ遷移可能か否かが分析される。
　図５は、分割分析の結果の一例を示す。リスク分析装置１００は、ホスト２００Ａとホスト２００Ｂとの分割分析では、前提条件として、「ホストＡでコード実行可能」と仮定する。リスク分析装置１００は、システム構成情報から「ホストＢでネットワークサービスＸが稼働」、「ホストＡからホストＢに到達可能」、「及びネットワークサービスＸにＲＣＥ（Remote code execution）の脆弱性」という情報を取得する。リスク分析装置１００は、「ホストＡでコード実行可能」という状態と、取得した情報とに基づいて、「ホストＢでコード実行可能」という推論結果を導出する。
　リスク分析装置１００は、ホスト２００Ｂとホスト２００Ｃとの分割分析では、前提条件として、「ホストＢでコード実行可能」と仮定する。リスク分析装置１００は、システム構成情報から「ホストＣでネットワークサービスＸが稼働」、「ホストＢからホストＣに到達可能」、「及びネットワークサービスＸにＲＣＥの脆弱性」という情報を取得する。リスク分析装置１００は、「ホストＢでコード実行可能」という状態と、取得した情報とに基づいて、「ホストＣでコード実行可能」という推論結果を導出する。２つの分割分析の分析結果をつなげることで、ホスト２００Ａでコード実行可能の場合、ホスト２００Ｃでコード実行可能であるという分析結果が得られる。
　分割分析では、分割された範囲で分析が行われるため、システム全体を分析する場合に比べて、１つ１つの分析の負荷を軽くすることができる利点がある。また、複数の分割単位の分析を並列に実施することができる利点がある。一方で、各分割単位の分析では、侵入口ホストから最終攻撃目標のホストまで攻撃がつながるか否かは不明であるため、不要な箇所に対して分析が行われる場合があるというデメリットがある。
　図６は、分析対象のシステムの一例を示す。この例において、ネットワークは、４つのサブネットワーク（サブネット）を含む。より詳細には、ネットワークは、サブネット（サブネットＡ）２５０Ａ、サブネット（サブネットＢ）２５０Ｂ、サブネット（サブネットＣ）２５０Ｃ、及びサブネット（サブネットＤ）２５０Ｄを含む。サブネット２５０Ａは侵入口（初期位置）のホストを含み、サブネット２５０Ｄは最終攻撃目標のホストを含むものとする。
　分割分析では、サブネット２５０Ａ内のホストを起点としサブネット２５０Ｂ内のホストを終点とする分析（Ａ－Ｂ間の分析）、サブネット２５０Ａ内のホストを起点としサブネット２５０Ｃ内のホストを終点とする分析（Ａ－Ｃ間の分析）が実施される。また、サブネット２５０Ｂ内のホストを起点としサブネット２５０Ｃ内のホストを終点とする分析（Ｂ－Ｃ間の分析）が実施される。さらに、サブネット２５０Ｂ内のホストを起点としサブネット２５０Ｄ内のホストを終点とする分析（Ｂ－Ｄ間の分析）、及びサブネット２５０Ｃ内のホストを起点としサブネット２５０Ｄ内のホストを終点とする分析（Ｃ－Ｄ間の分析）が実施される。
　しかしながら、上記ネットワークにおいて、サブネット２５０Ｃはサブネット２５０Ｄに接続されていない。従って、サブネット２５０Ａ内のホストに対する攻撃からサブネット２５０Ｄ内のホストへの攻撃経路に、サブネット２５０Ｃ内のホストは含まれないと考えられる。このため、サブネット２５０Ｃ内のホストを起点又は終点とする分割分析は本来不要である。分割分析では、不要な箇所が分析されることで、計算コストが増加する。本実施形態は、一側面において、分割分析における不要な計算コストを削減可能なリスク分析装置１００を提供する。
　図２に戻り、グループ化部１０１は、システム構成情報１５０を参照し、システムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化する。システム構成情報は、例えば、ホストに関する情報、及びホスト間の接続に関する情報を含む。ホストに関する情報は、例えばＩＰアドレス、サブネットマスク、ホストファイアウォール設定、インストールされているソフトウェア、ＯＳ（Operating System）（バージョンを含む）、稼働サービス、空きポート番号、ＵＳＢ（Universal Serial Bus）ポートの有無、及び脆弱性情報をなどの情報を含む。ホストに関する情報は、更に、ホスト種別、ユーザ操作の有無、及び保有するクレデンシャル情報などの情報を含む。「ホスト種別」は、例えば一般ＰＣ（Personal Computer）、ルータ、ファイアウォール、ファイルサーバ、アクティブディレクトリサーバ、及びＤＮＳ（Domain Name Server）サーバを含む。ホスト間の接続に関する情報は、ネットワークファイアウォールの設定、及びデータフロー情報などの情報を含む。「データフロー情報」は、例えば、「ホストＡ、Ｂ間でＳＭＢによるファイル共有を行っている」、「ホストＣからＤにＵＳＢメモリを利用してファイルを移動させる運用となっている」などの情報を含む。
　グループ化部１０１は、例えば、サブネットワークごとに、ホストをグループ分けする。各ホストが属するサブネットワークは、アドレス情報に基づいて判別できる。グループ化部１０１は、システム構成情報１５０から、各ホストのＩＰアドレスを取得し、ネットワークアドレスが一致するホストは同じサブネットワークに属すると判断する。グループ化部１０１は、同じサブネットワークに属するホストを、同じグループにグループ分けする。
　あるいは、グループ化部１０１は、ネットワークにおいて、所定の境界、例えばセキュリティの境界で区切られた範囲ごとに、ホストをグループ分けしてもよい。例えば、グループ化部１０１は、ファイアウォールを用いて区切られたネットワーク範囲ごとに、ホストをグループ分けしてもよい。例えば、グループ化部１０１は、システム構成情報１５０に含まれるＩＰアドレスとホスト種別とに基づいて、ホストをグループ分けする。グループ化部１０１は、例えば、ＩＰアドレスのネットワークアドレスが一致するホストは同じサブネットワークに属すると判断する。グループ化部１０１は、複数のＩＰアドレスを持つホストを抽出し、ホスト種別がファイアウォールでないホスト、例えばルータや複数のＮＩＣ（Network Interface Card）を持つホストによって接続されるサブネットワーク内のホストを、同じグループにグループ分けする。
　さらに、グループ化部１０１は、事務用ＰＣ、ファイルサーバ、ログサーバ、踏み台サーバ、制御用サーバ、又はＨＭＩ（Human Machine Interface）などの、ホストに割り当てられている役割ごとに、ホストをグループ分けしてもよい。例えば、グループ化部１０１は、システム構成情報１５０から、各ホストのホスト種別を取得する。グループ化部１０１は、ホスト種別が同じホストを、同じグループにグループ分けしてもよい。
　グループ化部１０１は、各ホストの構成に基づいて、ホストをグループ分けしてもよい。グループ化部１０１は、例えば、システム構成情報１５０に含まれる任意の情報の組み合わせに基づいて、ホストをグループ分けしてもよい。例えば、グループ化部１０１は、インストールされているＯＳ及びソフトウェアが同じ複数のホストを、同じグループにグループ分けしてもよい。グループ化部１０１は、ユーザが手動で入力した情報に従って、ホストをグループ分けしてもよい。上記グループ分けの手法は、適宜組み合わせられてもよい。グループ化部１０１は、図１に示されるグループ化手段１１に対応する。
　代表ホスト生成部１０２は、グループ化部１０１でグループ化された複数のグループのそれぞれについて、１以上の仮想の分析要素を生成する。本実施形態では、代表ホスト生成部１０２は、グループに属するホストのうちの１以上のホストに対応する、仮想のホストである代表ホストを、仮想の分析要素として生成する。代表ホスト生成部１０２は、図１に示される仮想分析要素生成手段１２に対応する。
　代表ホストの生成方法には、いくつかの方法が考えられる。代表ホスト生成部１０２は、第１の方法として、同じグループに属する１以上のホストのシステム構成情報１５０に含まれる攻撃され得る要素をマージし、マージされた攻撃され得る要素を代表ホストの攻撃され得る要素としてもよい。システム構成情報１５０に含まれる攻撃され得る要素は、例えば、稼働サービス（空きポート番号）、ＵＳＢポートの有無、脆弱性情報、ユーザ操作の有無、保有クレデンシャル情報、及びデータフロー情報を含む。「稼働サービス」は、例えば、ＳＳＨ（Secure Shell）、ＦＴＰ（File Transfer Protocol）、ｔｅｌｎｅｔ（Teletype network）、及びＳＭＢ（Server Message Block）などのネットワークサービスを含む。
　なお、代表ホスト生成部１０２は、代表ホストの生成では、ホストの情報を代表ホストの情報に適宜書き換えることができる。例えば、代表ホスト生成部１０２は、データフローの情報において、各ホストを、各ホストが属するグループの代表ホストに書き換えることができる。例えば、「ホストＡとＢとの間でＳＭＢによるファイル共有を行っている」という情報は、「ホストＡが属するグループの代表ホストとホストＢが属するグループの代表ホストの間でＳＭＢによるファイル共有を行っている」という情報に書き換えられてもよい。
　同様に、代表ホスト生成部１０２は、ホストファイアウォール情報及びネットワークファイアウォール情報において、各ホストの情報を、各ホストが属するグループの代表ホストの情報に書き換えることができる。例えば、ホストＡのＩＰアドレスが「１９２．１６８．１０．１」であり、ホストＢのＩＰアドレスが「１９２．１６８．２０．１」であったとする。ファイアウォール情報は、「１９２．１６８．１０．１から１９２．１６８．２０．１へのＴＣＰポート２２番での通信を許可」という内容であったとする。ホストＡが属するグループの代表ホストのＩＰアドレスは「１９２．１６８．１０．１００」であり、ホストＢが属するグループの代表ホストのＩＰアドレスは「１９２．１６８．２０．１００」であったとする。その場合、代表ホスト生成部１０２は、上記ファイアウォール情報を、「１９２．１６８．１０．１００から１９２．１６８．２０．１００へのＴＣＰポート２２番での通信を許可」と書き換えることができる。
　代表ホスト生成部１０２は、ＩＰアドレス及びホスト種別について、同じグループに属する複数のホストから任意に選択されたホストのＩＰアドレス及びホスト種別を、代表ホストのＩＰアドレス及びホスト種別としてもよい。あるいは、代表ホスト生成部１０２は、ダミーの値を代表ホストのＩＰアドレス及びホスト種別としてもよい。代表ホスト生成部１０２は、グループ内のホストのＩＰアドレス及びホスト種別をマージしてもよい。
　代表ホスト生成部１０２は、第２の方法として、システム構成情報１５０から各ホストの攻撃され得る要素を取得し、攻撃され得る要素の数に基づいて代表ホストを生成してもよい。代表ホスト生成部１０２は、同じグループに属するホストのうち、攻撃され得る要素の数が多いホストを１台以上選択し、選択したホストと同じ構成のホストを代表ホストとして生成してもよい。代表ホスト生成部１０２は、例えば、各グループにおいて、攻撃され得る要素の数が最も多いホストを選択してもよい。あるいは、代表ホスト生成部１０２は、各グループにおいて、攻撃され得る要素の数が所定の数以上の１以上のホストを選択してもよい。代表ホスト生成部１０２は、脆弱性情報の数、或いは稼働しているサービスの数など、特定の攻撃され得る要素の数に基づいて、代表ホストを生成してもよい。
　代表ホスト生成部１０２は、第３の方法として、同じグループに属する１以上のホストのうち、他のグループのホストから攻撃され得る要素を持つホストを選択し、選択したホストと同じ構成のホストを代表ホストとして生成してもよい。代表ホスト生成部１０２は、例えばシステム構成情報１５０に含まれるデータフロー情報や、ホストファイアウォール情報、及びネットワークファイアウォール情報に基づいて、他のグループのホストから攻撃され得る要素を持つホストを特定することができる。
　代表ホスト生成部１０２は、第４の方法として、分割分析の各終点状態に至る攻撃され得る要素を持つホストごとに、代表ホストを生成してもよい。代表ホスト生成部１０２は、例えば分析要素ごとに、分割分析のどの終点状態に至るかをテーブルとして保持する。代表ホスト生成部１０２は、保持するテーブルと、システム構成情報１５０とを参照し、各ホストが、どの終点状態に至る要素を持つかを判断する。
　図７は、稼働サービスと終点状態との対応関係を示すテーブルの具体例を示す。代表ホスト生成部１０２は、例えば、サービスで使用されるプロトコルと、そのプロトコルを用いた攻撃で遷移可能な終点状態とを対応付けたテーブルを保持する。代表ホスト生成部１０２は、例えばあるホストにおいて「ｔｅｌｎｅｔ」が使用されている場合、そのホストは「コード実行」に至る攻撃され得る要素を持つと判断する。代表ホスト生成部１０２は、例えばあるホストにおいて「ＲＤＰ（Remote Desktop Protocol）」が使用されている場合、そのホストは「コード実行」、「データ改ざん」、及び「データ窃取」に至る攻撃され得る要素を持つと判断する。
　なお、図７では、「コード実行」、「データ改ざん」、及び「データ窃取」の３つの状態が終点状態として考えられているが、終点状態はこれらには限定されない。例えば、分割分析の終点状態として、「認証情報の窃取」、又は「機能停止」などの状態が考えられる場合、代表ホスト生成部１０２は、それら状態と攻撃され得る要素とを対応付けたテーブルを保持していればよい。
　代表ホスト生成部１０２は、脆弱性についても、同様に、脆弱性と、その脆弱性を用いた攻撃で遷移可能な終点状態とを対応付けたテーブルを保持する。代表ホスト生成部１０２は、データフロー情報については、関連するホストについて、「データ改ざん」又は「データ窃取」の最終状態に至ると判断してもよい。代表ホスト生成部１０２は、例えば、グループ内のホストのうち、同じ最終状態に至る攻撃され得る要素をマージし、各最終状態に対応した代表ホストを生成してもよい。
　なお、上記した代表ホストの生成方法は、適宜組み合わせることができる。例えば、代表ホスト生成部１０２は、第３の方法において複数のホストが選択された場合は、第１の方法又は第２の方法に従って、選択された複数のホストの構成され得る要素をマージしてもよいし、攻撃され得る要素が多いホストを更に選択してもよい。
　第１のリスク分析部１０３は、代表ホスト生成部１０２が生成した代表ホストを使用して、システムに含まれる潜在的なリスクを分析する。第１のリスク分析部１０３は、想定される、いくつかの攻撃シナリオのそれぞれについて、攻撃手順を演繹的に推論し、攻撃経路を探索する。攻撃シナリオは、攻撃に利用される侵入口、最終的な攻撃対象、及び最終攻撃の種別を含む。第１のリスク分析部１０３は、攻撃に利用される侵入口のホストが属するグループの代表ホストから攻撃が開始された場合に、攻撃対象のホストが属するグループの代表ホストにおいて最終攻撃の種別が示す攻撃が可能であるか否かを分析する。第１のリスク分析部１０３は、図１に示される分析手段１３に対応する。
　本実施形態において、第１のリスク分析部１０３は、分割分析の手法を用いてリスク分析を行う。第１のリスク分析部１０３は、システム構成情報１５０を参照し、代表ホスト生成部１０２が生成した代表ホストのペアに対し、起点となる代表ホストの各状態から、終点となる代表ホストの各状態に遷移可能か否かを分析する。第１のリスク分析部１０３は、分割分析の結果を結合し、攻撃に利用される侵入口に対応する代表ホストから攻撃が開始された場合に、最終的な攻撃対象に対応する代表ホストにおいて最終攻撃の種別に示される攻撃が可能な否かを分析する。
　分析対象要素決定部１０４は、第１のリスク分析部１０３が実施したリスク分析の結果に基づいて、第２のリスク分析部１０５で分析される分析対象要素を決定する。分析対象要素決定部１０４は、第１のリスク分析部１０３の分析結果に基づいて、分析対象のシステムに含まれるホストのうち、攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する。分析対象要素決定部１０４は、図１に示される分析対象要素決定手段１４に対応する。
　例えば、分析対象要素決定部１０４は、代表ホストが攻撃に利用されない場合、その代表ホストのグループ内のホストを分析対象から除外する。あるいは、分析対象要素決定部１０４は、代表ホストを用いた分割分析で、代表ホストの特定の状態が攻撃起点として又は終点状態として利用されない場合、グループ内のホストについて、その状態を、分割分析での分析対象から除外する。分析対象要素決定部１０４は、代表ホストが終点状態に対応して生成されている場合、攻撃に利用されない代表ホストがあるか否かを調べる。分析対象要素決定部１０４は、攻撃に利用されない代表ホストを特定し、グループ内のホストについて、特定した代表ホストに対応する終点状態を、分析対象から除外する。
　第２のリスク分析部１０５は、分析対象要素決定部１０４が決定した分析対象要素について、システム構成情報１５０を参照し、システムに含まれる潜在的なリスクを分析する。第２のリスク分析部１０５が行うリスク分析は、分析の対象が各グループの代表ホストから各ホストに変わる点を除けば、第１のリスク分析部１０３が行うリスク分析と同様であってよい。第２のリスク分析部１０５は、必ずしも第１のリスク分析部１０３は別に配置されている必要はなく、第１のリスク分析部１０３と第２のリスク分析部１０５とは同一の機能部であってもよい。
　第２のリスク分析部１０５は、システム構成情報１５０を参照し、分析対象のホスト及び状態について、起点となるホストの各状態から、終点となるホストの各状態に遷移可能か否かを分析する。第２のリスク分析部１０５は、分割分析の結果を結合し、攻撃に利用される侵入口のホストから攻撃が開始された場合に、最終的な攻撃対象のホストにおいて最終攻撃の種別に示される攻撃が可能な否かを分析する。第２のリスク分析部１０５は、図１に示される分析手段１５に対応する。
　図８は、分析対象のシステムの一部を示す。サブネット（サブネットＸ）２５０Ｘは、ホスト２００Ａ、ホスト２００Ｂ、ホスト２００Ｃ、ホスト（ホストＤ）２００Ｄ、ホスト（ホストＥ）２００Ｅ、及びホスト（ホストＦ）２００Ｆを含む。サブネット（サブネットＹ）２５０Ｙは、ホスト（ホストＧ）２００Ｇを含む。サブネット２５０Ｘは、ファイアウォール（ＦＷ：Fire Wall）２１０を介してサブネット２５０Ｙに接続される。ファイアウォール２１０は、ホスト２００Ｅからホスト２００Ｇへの通信のみを許可するものとする。
　サブネット２５０Ｘのホスト２００Ａは、「データ改ざん可能」の状態に至る攻撃され得る要素として「ＦＴＰ」を有する。ホスト２００Ｂは、「コード実行可能」の状態に至る攻撃され得る要素として「ＲＤＰ　Ｌｏｇｉｎ」を有する。ホスト２００Ｃは、「データ改ざん可能」の状態に至る攻撃され得る要素として、「ＣＶＥ（Common Vulnerabilities and Exposures）－２０２０－ＹＹＹＹ」で識別される脆弱性を有する。ホスト２００Ｄは、「データ改ざんに至る攻撃され得る要素として、「ＣＶＥ－２０２０－ＺＺＺＺ」で識別される脆弱性を有する。ホスト２００Ｅは、「コード実行可能」に至る攻撃され得る要素として、「ＳＳＨ　Ｌｏｇｉｎ」を有する。ホスト２００Ｆは、「データ改ざん可能」に至る攻撃され得る要素として「ＳＭＢ」を有する。サブネット２５０Ｙのホスト２００Ｇは、「コード実行可能」に至る攻撃され得る要素として、「ＣＶＥ－２０２０－ＸＸＸＸ」で識別される脆弱性を有する。
　図９は、各サブネットワークに生成される代表ホストを示す。代表ホスト生成部１０２は、各サブネット内のホストについて、状態ごとにホストをまとめる。代表ホスト生成部１０２は、サブネット２５０Ｘについて、「データ改ざん可能」に対応した代表ホスト（代表ホストＡ）２２０Ａを生成する。代表ホスト２２０Ａは、攻撃され得る要素として、「ＦＴＰ」、「ＳＭＢ」、及び「ＣＶＥ－２０２０－ＹＹＹＹ」で識別される脆弱性を有する。
　また、代表ホスト生成部１０２は、「データ窃取可能」に対応した代表ホスト（代表ホストＢ）２２０Ｂを生成する。代表ホスト２２０Ｂは、攻撃され得る要素として「ＣＶＥ－２０２０－ＺＺＺＺ」で識別される脆弱性を有する。さらに、代表ホスト生成部１０２は、「コード実行可能」に対応した代表ホスト（代表ホストＣ）２２０Ｃを生成する。代表ホスト２２０Ｃは、攻撃され得る要素として、「ＲＤＰ　Ｌｏｇｉｎ」と「ＳＳＨ　Ｌｏｇｉｎ」とを有する。代表ホスト生成部１０２は、サブネット２５０Ｙについては、代表ホスト（代表ホストＤ）２２０Ｄを生成する。
　代表ホスト２２０Ａは、図８に示されるホスト２００Ａ、２００Ｃ、及び２００Ｆに対応した代表ホストである。代表ホスト２２０Ｂは、図８に示されるホスト２００Ｄに対応した代表ホストである。代表ホスト２２０Ｃは、図８に示されるホスト２００Ｂ、及び２００Ｅに対応した代表ホストである。代表ホスト２２０Ｄは、図８に示されるホスト２００Ｇに対応した代表ホストである。
　第１のリスク分析部１０３は、図９に示される代表ホストを用いて、リスク分析を行う。リスク分析の結果、代表ホスト２２０Ｃから代表ホスト２２０Ｄへの攻撃は可能であることが分析される。一方、代表ホスト２２０Ａ及び２２０Ｂから代表ホスト２２０Ｄへの通信はファイアウォール２１０によって遮断されるため、代表ホスト２２０Ａ及び２２０Ｂから代表ホスト２２０Ｄへの攻撃はないことが分析される。その場合、分析対象要素決定部１０４は、サブネット２５０Ｘについて、「データ改ざん可能」及び「データ窃取可能」を分析対象から除外する。第２のリスク分析部１０５は、サブネット２５０Ｘのホストについては、「コード実行可能」についてリスク分析を行う。このようにすることで、分割分析において、不要な箇所の分析を削減できる。
　続いて、動作手順を説明する。図１０は、リスク分析装置１００における動作手順（リスク分析方法）を示す。グループ化部１０１は、システム構成情報１５０に基づいて、分析対象のシステムに含まれる複数のホストを、複数のグループに分ける（ステップＳ１）。代表ホスト生成部１０２は、各グループに１以上の代表ホストを生成する（ステップＳ２）。
　第１のリスク分析部１０３は、ステップＳ２で生成された代表ホストを用いて、分析対象のシステムにおけるリスクを分析する（ステップＳ３）。分析対象要素決定部１０４は、ステップＳ３のリスクの分析結果に基づいて、分析対象要素（ホスト及びその状態）を決定する（ステップＳ４）。分析対象要素決定部１０４は、ステップＳ４では、例えば代表ホストを用いたリスク分析において、攻撃に利用されない代表ホスト及びその状態に対応するホスト及びその状態を、分析対象要素から除外する。ステップＳ１からＳ４は、分析対象要素決定装置１１０の動作手順（分析対象要素決定方法）に対応する。
　第２のリスク分析部１０５は、ステップＳ４で決定された分析対象要素について、システム構成情報１５０を参照し、詳細なリスク分析を行う（ステップＳ５）。ステップＳ４において、攻撃に利用されない代表ホスト及びその状態に対応するホスト及びその状態が分析対象要素から除外される場合、ステップＳ５において、不要な箇所が分析されない。このため、分析対象のシステムに含まれる全てのホスト及びその状態に対してリスク分析が行われる場合に比べて、計算コストを軽減できる。
　本実施形態では、グループ化部１０１は、複数のホストをいくつかのグループにグループ分けする。代表ホスト生成部１０２は、グループごとに代表ホストを生成する。第１のリスク分析部１０３は、グループごとに生成された代表ホストを用いてリスク分析を行う。分析対象要素決定部１０４は、第１のリスク分析部１０３にリスク分析の結果に基づいて、攻撃に利用され得る代表ホストを、第２のリスク分析部１０５で実施されるリスク分析の分析対象要素として決定する。第２のリスク分析部１０５で実施されるリスク分析において、不要な箇所の分析を抑制することができ、システム全体に対してリスク分析を行う場合に比べて、計算コストを軽減できる。
　なお、図２では、リスク分析装置１００が分析対象要素決定装置１１０を含む例を説明した。しかしながら、本開示はこれには限定されない。リスク分析装置１００と分析対象要素決定装置１１０とは、必ずしも同一の装置として構成されている必要はなく、これらは別々の装置として構成されていてもよい。また、上記実施形態では、主に分割分析の手法が用いられる例を説明したが、本開示はこれには限定されない。第１のリスク分析部１０３及び第２のリスク分析部１０５は、システム全体を所定の分割単位で分割せずに、リスク分析を行ってもよい。その場合でも、攻撃に利用されない箇所を分析対象から除外することで、計算コストを軽減できる。
　続いて、リスク分析装置の物理構成を説明する。図１１は、リスク分析装置１００及び分析対象要素決定装置１１０として用いられ得るコンピュータ装置の構成例を示す。コンピュータ装置５００は、制御部（ＣＰＵ：Central Processing Unit）５１０、記憶部５２０、ＲＯＭ（Read Only Memory）５３０、ＲＡＭ（Random Access Memory）５４０、通信インタフェース（ＩＦ：Interface）５５０、及びユーザインタフェース（ＩＦ）５６０を有する。
　通信ＩＦ５５０は、有線通信手段又は無線通信手段などを介して、コンピュータ装置５００と通信ネットワークとを接続するためのインタフェースである。ユーザＩＦ５６０は、例えばディスプレイなどの表示部を含む。また、ユーザＩＦ５６０は、キーボード、マウス、及びタッチパネルなどの入力部を含む。
　記憶部５２０は、各種のデータを保持できる補助記憶装置である。記憶部５２０は、必ずしもコンピュータ装置５００の一部である必要はなく、外部記憶装置であってもよいし、ネットワークを介してコンピュータ装置５００に接続されたクラウドストレージであってもよい。記憶部５２０は、例えば図２に示されるシステム構成情報１５０を記憶する。
　ＲＯＭ５３０は、不揮発性の記憶装置である。ＲＯＭ５３０には、例えば比較的容量が少ないフラッシュメモリなどの半導体記憶装置が用いられる。ＣＰＵ５１０が実行するプログラムは、記憶部５２０又はＲＯＭ５３０に格納され得る。記憶部５２０又はＲＯＭ５３０は、例えばリスク分析装置１００又は分析対象要素決定装置１１０内の各部の機能を実現するための各種プログラムを記憶する。
　上記プログラムは、様々なタイプの非一時的なコンピュータ可読媒体を用いて格納され、コンピュータ装置５００に供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記憶媒体を含む。非一時的なコンピュータ可読媒体の例は、例えばフレキシブルディスク、磁気テープ、又はハードディスクなどの磁気記録媒体、例えば光磁気ディスクなどの光磁気記録媒体、ＣＤ（compact disc）、又はＤＶＤ（digital versatile disk）などの光ディスク媒体、及び、マスクＲＯＭ、ＰＲＯＭ（programmable ROM）、ＥＰＲＯＭ（erasable PROM）、フラッシュＲＯＭ、又はＲＡＭなどの半導体メモリを含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体を用いてコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバなどの有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
　ＲＡＭ５４０は、揮発性の記憶装置である。ＲＡＭ５４０には、ＤＲＡＭ（Dynamic Random Access Memory）又はＳＲＡＭ（Static Random Access Memory）などの各種半導体メモリデバイスが用いられる。ＲＡＭ５４０は、データなどを一時的に格納する内部バッファとして用いられ得る。ＣＰＵ５１０は、記憶部５２０又はＲＯＭ５３０に格納されたプログラムをＲＡＭ５４０に展開し、実行する。ＣＰＵ５１０がプログラムを実行することで、リスク分析装置１００又は分析対象要素決定装置１１０内の各部の機能が実現され得る。ＣＰＵ５１０は、データなどを一時的に格納できる内部バッファを有してもよい。
　以上、本開示の実施形態を詳細に説明したが、本開示は、上記した実施形態に限定されるものではなく、本開示の趣旨を逸脱しない範囲で上記実施形態に対して変更や修正を加えたものも、本開示に含まれる。
　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
［付記１］
　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化するグループ化手段と、
　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成する仮想分析要素生成手段と、
　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析する分析手段と、
　前記分析手段の分析結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する分析対象要素決定手段とを備える分析対象要素決定装置。
［付記２］
　前記仮想分析要素生成手段は、前記グループに属するホストのうちの１以上のホストに対応する、仮想のホストである代表ホストを、前記仮想の分析要素として生成する付記１に記載の分析対象要素決定装置。
［付記３］
　前記仮想分析要素生成手段は、前記グループに属するホストの攻撃され得る要素をマージし、該マージした攻撃され得る要素を、前記代表ホストの攻撃され得る要素とする付記２に記載の分析対象要素決定装置。
［付記４］
　前記仮想分析要素生成手段は、前記グループに属するホストのうち、攻撃され得る要素の数が最も多いホスト、又は攻撃され得る要素の数が所定の値以上の１以上のホストを選択し、該選択したホストが持つ攻撃され得る要素を、前記代表ホストの攻撃され得る要素とする付記２又は３に記載の分析対象要素決定装置。
［付記５］
　前記仮想分析要素生成手段は、前記グループに属するホストのうち、他のグループのホストから攻撃可能な攻撃され得る要素を持つホストを選択し、該選択したホストが持つ攻撃され得る要素を、前記代表ホストの攻撃され得る要素とする付記２から４何れか１つに記載の分析対象要素決定装置。
［付記６］
　前記分析対象要素決定手段は、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれない前記代表ホストに対応するホストを前記リスク分析の対象から除外する付記２から５何れか１つに記載の分析対象要素決定装置。
［付記７］
　前記分析手段は、前記分析対象のシステムを所定単位で分割した各分割単位において、前記分割単位の起点となる代表ホストの各状態から前記分割単位の終点となる代表ホストの各状態への遷移が可能であるか否かを分析する付記２から６何れか１つに記載の分析対象要素決定装置。
［付記８］
　前記分析対象要素決定手段は、前記攻撃が行われる経路に含まれない、前記起点となる代表ホストの状態と、前記終点となる代表ホストの状態とを、前記リスク分析の対象から除外する付記７に記載の分析対象要素決定装置。
［付記９］
　前記リスク分析では、前記分析対象のシステムを所定単位で分割した各分割単位において、前記分割単位の起点となるホストの各状態から前記分割単位の終点となるホストの各状態への遷移が可能であるか否かが分析され、
　前記仮想分析要素生成手段は、前記分割単位の終点となるホストの各状態に至る攻撃され得る要素を持つホストごとに、前記代表ホストを生成する付記２に記載の分析対象要素決定装置。
［付記１０］
　前記分析対象要素決定手段は、前記攻撃に利用されない代表ホストを特定し、該特定した代表ホストに対応する終点となるホストの状態を、前記リスク分析の対象から除外する付記９に記載の分析対象要素決定装置。
［付記１１］
　前記グループ化手段は、前記ホストを、前記ホストが属するサブネットワークごとにグループ分けする付記１から１０何れか１つに記載の分析対象要素決定装置。
［付記１２］
　前記グループ化手段は、前記ホストを、所定の境界で区切られた範囲ごとにグループ分けする付記１から１１何れか１つに記載の分析対象要素決定装置。
［付記１３］
　前記グループ化手段は、前記ホストを、前記ホストの役割ごとにグループ分けする付記１から１２何れか１つに記載の分析対象要素決定装置。
［付記１４］
　前記グループ化手段は、前記ホストを、前記ホストの構成ごとにグループ分けする付記１から１３何れか１つに記載の分析対象要素決定装置。
［付記１５］
　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化するグループ化手段と、
　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成する仮想分析要素生成手段と、
　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析する第１の分析手段と、
　前記第１の分析手段の分析結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する分析対象要素決定手段と、
　前記分析対象要素決定手段が前記リスク分析の対象として決定したホストについて、前記攻撃の始点となるホストから、前記攻撃の終点となるホストに対する攻撃が可能か否かを分析する第２の分析手段とを備えるリスク分析装置。
［付記１６］
　前記仮想分析要素生成手段は、前記グループに属するホストのうちの１以上のホストに対応する、仮想のホストである代表ホストを、前記仮想の分析要素として生成する付記１５に記載のリスク分析装置。
［付記１７］
　前記仮想分析要素生成手段は、前記グループに属するホストの攻撃され得る要素をマージし、該マージした攻撃され得る要素を、前記代表ホストの攻撃され得る要素とする付記１６に記載のリスク分析装置。
［付記１８］
　前記分析対象要素決定手段は、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれない前記代表ホストに対応するホストを前記リスク分析の対象から除外する付記１６又は１７に記載のリスク分析装置。
［付記１９］
　前記第１の分析手段は、前記分析対象のシステムを所定単位で分割した各分割単位において、前記分割単位の起点となる代表ホストの各状態から前記分割単位の終点となる代表ホストの各状態への遷移が可能であるか否かを分析し、
　前記第２の分析手段は、前記分析対象のシステムを所定単位で分割した各分割単位において、前記分割単位の起点となるホストの各状態から前記分割単位の終点となるホストの各状態への遷移が可能であるか否かを分析する付記１６から１８何れか１つに記載のリスク分析装置。
［付記２０］
　前記第２の分析手段は、前記分析対象のシステムを所定単位で分割した各分割単位において、前記分割単位の起点となるホストの各状態から前記分割単位の終点となるホストの各状態への遷移が可能であるか否かを分析し、
　前記仮想分析要素生成手段は、前記分割単位の終点となるホストの各状態に至る攻撃され得る要素を持つホストごとに、前記代表ホストを生成する付記１６に記載のリスク分析装置。
［付記２１］
　前記分析対象要素決定手段は、前記攻撃に利用されない代表ホストを特定し、該特定した代表ホストに対応する終点となるホストの状態を、前記リスク分析の対象から除外する付記２０に記載のリスク分析装置。
［付記２２］
　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、
　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、
　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、
　前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する分析対象要素決定方法。
［付記２３］
　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、
　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、
　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、
　前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定し、
　前記リスク分析の対象として決定されたホストについて、前記攻撃の始点となるホストから、前記攻撃の終点となるホストに対する攻撃が可能か否かを分析するリスク分析方法。
［付記２４］
　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、
　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、
　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、
　前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する処理をコンピュータに実行させるためのプログラムを格納する非一時的なコンピュータ可読媒体。
［付記２５］
　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、
　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、
　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、
　前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定し、
　前記リスク分析の対象として決定されたホストについて、前記攻撃の始点となるホストから、前記攻撃の終点となるホストに対する攻撃が可能か否かを分析する処理をコンピュータに実行させるためのプログラムを格納する非一時的なコンピュータ可読媒体。
１０：リスク分析装置
１１：グループ化手段
１２：仮想分析要素生成手段
１３：分析手段
１４：分析対象要素決定手段
１５：分析手段
２０：分析対象要素決定装置
１００：リスク分析装置
１０１：グループ化部
１０２：代表ホスト生成部
１０３：第１のリスク分析部
１０４：分析対象要素決定部
１０５：第２のリスク分析部
１１０：分析対象要素決定装置
１５０：システム構成情報
２００Ａ－Ｇ，Ｘ，Ｙ：ホスト
２１０：ファイアウォール
２２０Ａ－Ｄ：代表ホスト
２５０Ａ－Ｄ，Ｘ，Ｙ：サブネット
５００：コンピュータ装置
５１０：ＣＰＵ
５２０：記憶部
５３０：ＲＯＭ
５４０：ＲＡＭ
５５０：通信ＩＦ
５６０：ユーザＩＦ

Claims (25)

  1. 　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化するグループ化手段と、
    　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成する仮想分析要素生成手段と、
    　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析する分析手段と、
    　前記分析手段の分析結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する分析対象要素決定手段とを備える分析対象要素決定装置。
  2. 　前記仮想分析要素生成手段は、前記グループに属するホストのうちの１以上のホストに対応する、仮想のホストである代表ホストを、前記仮想の分析要素として生成する請求項１に記載の分析対象要素決定装置。
  3. 　前記仮想分析要素生成手段は、前記グループに属するホストの攻撃され得る要素をマージし、該マージした攻撃され得る要素を、前記代表ホストの攻撃され得る要素とする請求項２に記載の分析対象要素決定装置。
  4. 　前記仮想分析要素生成手段は、前記グループに属するホストのうち、攻撃され得る要素の数が最も多いホスト、又は攻撃され得る要素の数が所定の値以上の１以上のホストを選択し、該選択したホストが持つ攻撃され得る要素を、前記代表ホストの攻撃され得る要素とする請求項２又は３に記載の分析対象要素決定装置。
  5. 　前記仮想分析要素生成手段は、前記グループに属するホストのうち、他のグループのホストから攻撃可能な攻撃され得る要素を持つホストを選択し、該選択したホストが持つ攻撃され得る要素を、前記代表ホストの攻撃され得る要素とする請求項２から４何れか１項に記載の分析対象要素決定装置。
  6. 　前記分析対象要素決定手段は、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれない前記代表ホストに対応するホストを前記リスク分析の対象から除外する請求項２から５何れか１項に記載の分析対象要素決定装置。
  7. 　前記分析手段は、前記分析対象のシステムを所定単位で分割した各分割単位において、前記分割単位の起点となる代表ホストの各状態から前記分割単位の終点となる代表ホストの各状態への遷移が可能であるか否かを分析する請求項２から６何れか１項に記載の分析対象要素決定装置。
  8. 　前記分析対象要素決定手段は、前記攻撃が行われる経路に含まれない、前記起点となる代表ホストの状態と、前記終点となる代表ホストの状態とを、前記リスク分析の対象から除外する請求項７に記載の分析対象要素決定装置。
  9. 　前記リスク分析では、前記分析対象のシステムを所定単位で分割した各分割単位において、前記分割単位の起点となるホストの各状態から前記分割単位の終点となるホストの各状態への遷移が可能であるか否かが分析され、
    　前記仮想分析要素生成手段は、前記分割単位の終点となるホストの各状態に至る攻撃され得る要素を持つホストごとに、前記代表ホストを生成する請求項２に記載の分析対象要素決定装置。
  10. 　前記分析対象要素決定手段は、前記攻撃に利用されない代表ホストを特定し、該特定した代表ホストに対応する終点となるホストの状態を、前記リスク分析の対象から除外する請求項９に記載の分析対象要素決定装置。
  11. 　前記グループ化手段は、前記ホストを、前記ホストが属するサブネットワークごとにグループ分けする請求項１から１０何れか１項に記載の分析対象要素決定装置。
  12. 　前記グループ化手段は、前記ホストを、所定の境界で区切られた範囲ごとにグループ分けする請求項１から１１何れか１項に記載の分析対象要素決定装置。
  13. 　前記グループ化手段は、前記ホストを、前記ホストの役割ごとにグループ分けする請求項１から１２何れか１項に記載の分析対象要素決定装置。
  14. 　前記グループ化手段は、前記ホストを、前記ホストの構成ごとにグループ分けする請求項１から１３何れか１項に記載の分析対象要素決定装置。
  15. 　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化するグループ化手段と、
    　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成する仮想分析要素生成手段と、
    　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析する第１の分析手段と、
    　前記第１の分析手段の分析結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する分析対象要素決定手段と、
    　前記分析対象要素決定手段が前記リスク分析の対象として決定したホストについて、前記攻撃の始点となるホストから、前記攻撃の終点となるホストに対する攻撃が可能か否かを分析する第２の分析手段とを備えるリスク分析装置。
  16. 　前記仮想分析要素生成手段は、前記グループに属するホストのうちの１以上のホストに対応する、仮想のホストである代表ホストを、前記仮想の分析要素として生成する請求項１５に記載のリスク分析装置。
  17. 　前記仮想分析要素生成手段は、前記グループに属するホストの攻撃され得る要素をマージし、該マージした攻撃され得る要素を、前記代表ホストの攻撃され得る要素とする請求項１６に記載のリスク分析装置。
  18. 　前記分析対象要素決定手段は、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれない前記代表ホストに対応するホストを前記リスク分析の対象から除外する請求項１６又は１７に記載のリスク分析装置。
  19. 　前記第１の分析手段は、前記分析対象のシステムを所定単位で分割した各分割単位において、前記分割単位の起点となる代表ホストの各状態から前記分割単位の終点となる代表ホストの各状態への遷移が可能であるか否かを分析し、
    　前記第２の分析手段は、前記分析対象のシステムを所定単位で分割した各分割単位において、前記分割単位の起点となるホストの各状態から前記分割単位の終点となるホストの各状態への遷移が可能であるか否かを分析する請求項１６から１８何れか１項に記載のリスク分析装置。
  20. 　前記第２の分析手段は、前記分析対象のシステムを所定単位で分割した各分割単位において、前記分割単位の起点となるホストの各状態から前記分割単位の終点となるホストの各状態への遷移が可能であるか否かを分析し、
    　前記仮想分析要素生成手段は、前記分割単位の終点となるホストの各状態に至る攻撃され得る要素を持つホストごとに、前記代表ホストを生成する請求項１６に記載のリスク分析装置。
  21. 　前記分析対象要素決定手段は、前記攻撃に利用されない代表ホストを特定し、該特定した代表ホストに対応する終点となるホストの状態を、前記リスク分析の対象から除外する請求項２０に記載のリスク分析装置。
  22. 　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、
    　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、
    　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、
    　前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する分析対象要素決定方法。
  23. 　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、
    　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、
    　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、
    　前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定し、
    　前記リスク分析の対象として決定されたホストについて、前記攻撃の始点となるホストから、前記攻撃の終点となるホストに対する攻撃が可能か否かを分析するリスク分析方法。
  24. 　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、
    　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、
    　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、
    　前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定する処理をコンピュータに実行させるためのプログラムを格納する非一時的なコンピュータ可読媒体。
  25. 　分析対象のシステムに含まれる複数のホストを、それぞれが１以上のホストを含む複数のグループにグループ化し、
    　前記複数のグループのそれぞれについて、１以上の仮想の分析要素を生成し、
    　前記仮想の分析要素を用いて、攻撃の始点となるホストが属するグループの前記仮想の分析要素から、攻撃の終点となるホストが属するグループの前記仮想の分析要素に対する攻撃が可能か否かを分析し、
    　前記分析の結果に基づいて、前記分析対象のシステムに含まれるホストのうち、前記攻撃が行われる経路に含まれる仮想の分析要素に対応するホストをリスク分析の対象として決定し、
    　前記リスク分析の対象として決定されたホストについて、前記攻撃の始点となるホストから、前記攻撃の終点となるホストに対する攻撃が可能か否かを分析する処理をコンピュータに実行させるためのプログラムを格納する非一時的なコンピュータ可読媒体。
PCT/JP2020/040219 2020-10-27 2020-10-27 リスク分析装置、分析対象要素決定装置、方法、及びコンピュータ可読媒体 WO2022091207A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2022558638A JPWO2022091207A5 (ja) 2020-10-27 リスク分析装置、分析対象要素決定装置、方法、及びプログラム
PCT/JP2020/040219 WO2022091207A1 (ja) 2020-10-27 2020-10-27 リスク分析装置、分析対象要素決定装置、方法、及びコンピュータ可読媒体
US18/032,632 US20240022589A1 (en) 2020-10-27 2020-10-27 Risk analysis device, analysis target element determination device, and method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/040219 WO2022091207A1 (ja) 2020-10-27 2020-10-27 リスク分析装置、分析対象要素決定装置、方法、及びコンピュータ可読媒体

Publications (1)

Publication Number Publication Date
WO2022091207A1 true WO2022091207A1 (ja) 2022-05-05

Family

ID=81382216

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/040219 WO2022091207A1 (ja) 2020-10-27 2020-10-27 リスク分析装置、分析対象要素決定装置、方法、及びコンピュータ可読媒体

Country Status (2)

Country Link
US (1) US20240022589A1 (ja)
WO (1) WO2022091207A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019186722A1 (ja) * 2018-03-27 2019-10-03 日本電気株式会社 セキュリティ評価システム、セキュリティ評価方法及びプログラム
WO2020136837A1 (ja) * 2018-12-27 2020-07-02 三菱電機株式会社 アタックツリー生成装置、アタックツリー生成方法およびアタックツリー生成プログラム
WO2020189669A1 (ja) * 2019-03-20 2020-09-24 パナソニックＩｐマネジメント株式会社 リスク分析装置及びリスク分析方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019186722A1 (ja) * 2018-03-27 2019-10-03 日本電気株式会社 セキュリティ評価システム、セキュリティ評価方法及びプログラム
WO2020136837A1 (ja) * 2018-12-27 2020-07-02 三菱電機株式会社 アタックツリー生成装置、アタックツリー生成方法およびアタックツリー生成プログラム
WO2020189669A1 (ja) * 2019-03-20 2020-09-24 パナソニックＩｐマネジメント株式会社 リスク分析装置及びリスク分析方法

Also Published As

Publication number Publication date
JPWO2022091207A1 (ja) 2022-05-05
US20240022589A1 (en) 2024-01-18

Similar Documents

Publication Publication Date Title
US11265288B2 (en) Using network configuration analysis to improve server grouping in migration
US10193929B2 (en) Methods and systems for improving analytics in distributed networks
US10778645B2 (en) Firewall configuration manager
US11263266B2 (en) Traffic anomaly sensing device, traffic anomaly sensing method, and traffic anomaly sensing program
US20210243216A1 (en) Penetration tests of systems under test
US11431792B2 (en) Determining contextual information for alerts
US11481478B2 (en) Anomalous user session detector
Zhang et al. Effective network vulnerability assessment through model abstraction
US20230283641A1 (en) Dynamic cybersecurity scoring using traffic fingerprinting and risk score improvement
CN112073437A (zh) 多维度的安全威胁事件分析方法、装置、设备及存储介质
Dowling et al. Using analysis of temporal variances within a honeypot dataset to better predict attack type probability
US9111092B2 (en) Security event management apparatus, systems, and methods
WO2019067049A1 (en) DETECTION OF INTRUSION
WO2022091207A1 (ja) リスク分析装置、分析対象要素決定装置、方法、及びコンピュータ可読媒体
WO2021130943A1 (ja) リスク分析結果表示装置、方法、及びコンピュータ可読媒体
CN116048718A (zh) 一种基于容器提高云托管Web应用程序安全性的方法及装置
US11960623B2 (en) Intelligent and reversible data masking of computing environment information shared with external systems
WO2021156966A1 (ja) 分析システム、方法およびプログラム
US11133977B2 (en) Anonymizing action implementation data obtained from incident analysis systems
US11297086B2 (en) Correlation-based network security
WO2020255185A1 (ja) 攻撃グラフ加工装置、方法およびプログラム
WO2021059471A1 (ja) セキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体
WO2022264265A1 (ja) リスク分析装置、仮想モデル生成装置、方法、及びコンピュータ可読媒体
JP6286314B2 (ja) マルウェア通信制御装置
Mohamed et al. The migration of the university IT infrastructure toward a secure IaaS Cloud

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20959725

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022558638

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 18032632

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20959725

Country of ref document: EP

Kind code of ref document: A1