WO2022201307A1 - 情報分析装置、情報分析方法、及びコンピュータ読み取り可能な記録媒体 - Google Patents

情報分析装置、情報分析方法、及びコンピュータ読み取り可能な記録媒体 Download PDF

Info

Publication number
WO2022201307A1
WO2022201307A1 PCT/JP2021/011985 JP2021011985W WO2022201307A1 WO 2022201307 A1 WO2022201307 A1 WO 2022201307A1 JP 2021011985 W JP2021011985 W JP 2021011985W WO 2022201307 A1 WO2022201307 A1 WO 2022201307A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
damage
specialized
similarity
computer
Prior art date
Application number
PCT/JP2021/011985
Other languages
English (en)
French (fr)
Inventor
将 川北
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to PCT/JP2021/011985 priority Critical patent/WO2022201307A1/ja
Priority to JP2023508216A priority patent/JPWO2022201307A5/ja
Publication of WO2022201307A1 publication Critical patent/WO2022201307A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/30—Information retrieval; Database structures therefor; File system structures therefor of unstructured textual data
    • G06F16/33—Querying

Definitions

  • the present invention relates to an information analysis device and an information analysis method for analyzing information related to cyberattacks, and furthermore, to a computer-readable recording medium recording a program for realizing these.
  • US Pat. No. 6,200,000 discloses a system for extracting specific information from recent news articles.
  • the system disclosed in Patent Document 1 calculates the degree of similarity between feature words extracted from the latest news article and feature words extracted from existing past news articles. Attach tags to high-level feature words. According to the system disclosed in Patent Literature 1, tags are added to feature words related to cyberattacks, making it possible to collect information related to cyberattacks.
  • Non-Patent Document 1 discloses a technique for extracting information (event information) on cyberattacks from security reports.
  • security reports are mainly reports provided by security vendors who develop software related to security measures and provide related services.
  • security reports contain specialized information about cyberattacks, such as the names of software used in attacks, Common Vulnerabilities and Exposures (CVE) IDs, attack methods, etc. can be provided in a structured state.
  • CVE Common Vulnerabilities and Exposures
  • Patent Document 1 provides specialized information about cyberattacks, such as the method of cyberattacks, the IP address of the server that performed the cyberattacks, the name of malware, and information identifying vulnerabilities. is impossible. Therefore, it is difficult to take necessary measures against cyberattacks only with the information provided by the system disclosed in Patent Document 1.
  • Non-Patent Document 1 it is impossible to obtain information characteristic of cyberattacks, such as victims and damage amounts. For this reason, it is difficult to make the above-mentioned business decisions based only on the information obtained by the technology disclosed in Non-Patent Document 1.
  • One example of the purpose of the present invention is to provide an information analysis device, an information analysis method, and a computer-readable recording medium that can supplement missing information for news articles about cyberattacks.
  • an information analysis device includes: Extracting specialized information related to information on cyberattack damage contained in news articles from a database storing specialized information on cyberattacks, based on the time of occurrence of the damage caused by the cyberattack; an information extractor; a similarity calculation unit that calculates a similarity between the damage information and the extracted specialized information; information supplementation, wherein the specialized information corresponding to the damage information is specified based on the calculated similarity, and the specified specialized information is supplemented for the news article containing the damage information; Department and is equipped with It is characterized by
  • the information analysis method in one aspect of the present invention includes: Extracting specialized information related to information on cyberattack damage contained in news articles from a database storing specialized information on cyberattacks, based on the time of occurrence of the damage caused by the cyberattack; an information extraction step; a similarity calculation step of calculating a similarity between the damage information and the extracted specialized information; information supplementation, wherein the specialized information corresponding to the damage information is specified based on the calculated similarity, and the specified specialized information is supplemented for the news article containing the damage information; a step; having It is characterized by
  • a computer-readable recording medium in one aspect of the present invention comprises: to the computer, Extracting specialized information related to information on cyberattack damage contained in news articles from a database storing specialized information on cyberattacks, based on the time of occurrence of the damage caused by the cyberattack; an information extraction step; a similarity calculation step of calculating a similarity between the damage information and the extracted specialized information; information supplementation, wherein the specialized information corresponding to the damage information is specified based on the calculated similarity, and the specified specialized information is supplemented for the news article containing the damage information; a step; A program is recorded that includes instructions for executing
  • missing information can be supplemented for news articles about cyberattacks.
  • FIG. 1 is a configuration diagram showing a schematic configuration of an information analysis device according to an embodiment.
  • FIG. 2 is a configuration diagram specifically showing the configuration of the information analysis device according to the embodiment.
  • FIG. 3 is a diagram illustrating extraction processing of damage information and specialized information and preprocessing for similarity calculation in the embodiment.
  • FIG. 4 is a diagram for explaining similarity calculation processing according to the embodiment.
  • FIG. 5 is a flowchart showing the operation of the information analysis device according to the embodiment.
  • FIG. 6 is a diagram showing an example of a news article supplemented with specialized information in the embodiment.
  • FIG. 7 is a configuration diagram showing the configuration of Modification 1 of the information analysis device according to the embodiment.
  • FIG. 8 is a configuration diagram showing the configuration of Modification 2 of the information analysis apparatus according to the embodiment.
  • FIG. 9 is a block diagram showing an example of a computer that implements the information analysis device according to the embodiment.
  • FIG. 1 An information analysis device, an information analysis method, and a program according to embodiments will be described below with reference to FIGS. 1 to 9.
  • FIG. 1 An information analysis device, an information analysis method, and a program according to embodiments will be described below with reference to FIGS. 1 to 9.
  • FIG. 1 An information analysis device, an information analysis method, and a program according to embodiments will be described below with reference to FIGS. 1 to 9.
  • FIG. 1 An information analysis device, an information analysis method, and a program according to embodiments will be described below with reference to FIGS. 1 to 9.
  • FIG. 1 is a configuration diagram showing a schematic configuration of an information analysis device according to an embodiment.
  • the information analysis device 10 in the embodiment shown in FIG. 1 is a device that analyzes information on cyberattacks. As shown in FIG. 1, the information analysis device 10 includes a specialized information extraction unit 11, a similarity calculation unit 12, and an information complementation unit 13.
  • the specialized information extracting unit 11 extracts information about cyberattacks contained in news articles from a database that stores specialized information (hereinafter referred to as “specialized information”) about cyberattacks, based on the timing of damage caused by cyberattacks. Extract specialized information related to attack damage information.
  • the similarity calculation unit 12 calculates the similarity between the damage information and the extracted specialized information.
  • the information complementing unit 13 identifies specialized information corresponding to the damage information based on the calculated degree of similarity, and complements news articles containing the damage information with the identified specialized information.
  • news articles are supplemented with similar specialized information.
  • missing information is supplemented for news articles about cyberattacks.
  • FIG. 2 is a configuration diagram specifically showing the configuration of the information analysis device according to the embodiment.
  • FIG. 3 is a diagram illustrating extraction processing of damage information and specialized information and preprocessing for similarity calculation in the embodiment.
  • FIG. 4 is a diagram for explaining similarity calculation processing according to the embodiment.
  • the information analysis device 10 is connected to a news database 20 and a specialized information database 30 via a network 40 such as the Internet so that data communication is possible.
  • the news database 20 is a database that accumulates news articles provided on the Internet. The accumulated news articles are retrieved by the web server and presented on the web site. Although only a single news database 20 is shown in the example of FIG. 2, a large number of news databases 20 actually exist.
  • the specialized information database 30 is a database storing specialized information as described above.
  • the specialized information is, for example, trace information of cyber attack (IOC: Indicator of Compromise).
  • the IOC includes information on the vulnerability of the system under cyberattack (Common Vulnerability Identifier: CVE), the name of the software used in the cyberattack, the method of the cyberattack, and so on.
  • the IOC may be provided by public institutions, vendors, etc., may be generated from the above-mentioned security report by an existing tool (for example, Threat Report ATT&CK Mapper: TRAM), or may be manually generated It may be described. Furthermore, the IOC may be expressed in STIX (Structured Threat Information eXpression) format, and may include MITER ATT&CK Technique ID as attack tactics (TTPs: Tactics, Techniques and Procedures). (Reference: https://www.ipa.go.jp/security/vuln/STIX.html).
  • specialized information includes cyberattack activities (Campaigns), attackers (Threat_Actors), attack techniques (TTPs), detection indicators (Indicators), observables (Observables), incidents (Incidents), countermeasures (Courses_Of_Action), It is represented by eight information groups of attack targets (Exploit_Targets). These information groups are associated with each other to represent threat information.
  • the information analysis device 10 includes, in addition to the specialized information extraction unit 11, the similarity calculation unit 12, and the information complementation unit 13 described above, a damage information extraction unit 14 and a search processing unit 15. , and an information storage unit 16 .
  • the damage information extraction unit 14 accesses the news database 20, acquires accumulated news articles, and extracts damage information related to cyber attack damage from the acquired news articles.
  • the damage information includes at least the time of occurrence T of the damage, the organization O that suffered the damage, and the details of the damage D1, which are information related to cyberattack activities (Campaigns).
  • damage information corresponds to the STIX format, and includes attackers (Threat Actors), attack techniques (TTPs), detection indicators (Indicators), observables (observables), incidents (Incidents), and countermeasures (Courses Of Action). , and Exploit Targets, respectively.
  • the damage information extraction unit 14 extracts damage A word or clause representing the time of occurrence T of the attack, the organization O that suffered the damage, and the content of the damage D1, etc., is extracted.
  • the damage information extraction unit 14 uses a machine learning model to extract, as damage information, words or phrases representing the time T of the damage, the organization O that suffered the damage, and the content of the damage D1, etc., from news articles.
  • the machine learning model is constructed by performing machine learning using, as pre-created training data, documents in which labels indicating whether words or phrases are to be extracted are given.
  • the damage information extracting unit 14 extracts details of the damage caused by the vulnerability indicated in the diagnosis result based on the diagnosis result of the vulnerability present in the computer system targeted for information analysis. can be specified.
  • the damage information extraction unit 14 extracts damage information including the content of the identified damage from the news article.
  • the specifics of the damage caused by the vulnerability can be specified by using preset rules.
  • the specialized information extraction unit 11 first accesses the specialized information database 30 to acquire accumulated specialized information. Then, the specialized information extraction unit 11 obtains the difference between the damage occurrence time included in the acquired specialized information and the damage occurrence time T included in the previously extracted damage information. Extract specialized information within (for example, within 2 days).
  • the specialized information database 30 stores IOCs generated in the STIX format as specialized information.
  • the specialized information extraction unit 11 extracts information groups related to the damage information according to the STIX format.
  • the similarity calculation unit 12 calculates cosine similarity as similarity using words included in damage information and words included in specialized information corresponding to the damage information.
  • the similarity calculation unit 12 sets combinations of assumed damage information and specialized information, and calculates the similarity for each combination.
  • the similarity calculation unit 12 first identifies words included in the damage information and words included in the extracted specialized information, and among the identified words, Duplicate words are integrated into one and an ID (Identifier) number is set for each word. Next, the similarity calculation unit 12 uses Equations 1 to 3 below for each word with an ID set in each of the damage information and the specialized information to calculate tf-idf, which indicates the importance of the word. calculate.
  • the similarity calculation unit 12 sets the number of words for which IDs are set as the number of dimensions (12 in the example of FIG. 3) in each of the damage information and the specialized information, and the calculated tf-idf of each word as an element Generate a vector that In the example of FIG. 3, since there are two pieces of damage information and one piece of specialized information, two vectors V1 of damage information and one vector V2 of specialized information, a total of three vectors, are generated.
  • the similarity calculation unit 12 obtains the weight wi from the preset weight for each word, and applies the weight w to the damage information vector V1 and the specialized information vector V2 as shown in FIG. Then, the degree of similarity between the two is calculated. Specifically, the calculation of the degree of similarity is performed by Equation 4 below.
  • the similarity is expressed as similarity(a,b,w).
  • a and b indicate the elements of the vector of the document for which similarity is to be calculated
  • wi indicates the weight of each word.
  • two vectors are generated as the vector V1, so two values are calculated as the degree of similarity.
  • the weight wi for each word is stored in the information storage unit 16 as the weight information 17, as shown in FIG.
  • a value manually set in advance may be used, or an output value of a neural network may be used.
  • the machine learning of the neural network is performed by inputting vectors of two documents as training data and updating the parameters of the neural network so that the output value at that time has an appropriate weight w.
  • the similarity calculation unit 12 calculates similarity relationships between words included in the damage information and words included in the specialized information corresponding to the damage information, and the words indicating the damage of cyberattacks and the words included in the specialized information. It is also possible to input to a learning model subjected to machine learning and calculate the similarity based on the output result from the learning model. In this case, the learning model is constructed through machine learning using training data with a degree of similarity that is the correct answer for combinations of word groups that indicate cyberattack damage and word groups included in specialized information. be done.
  • the information complementing unit 13 identifies specialized information with the highest degree of similarity for each piece of damage information, and complements the identified specialized information to the news article (from which the damage information is extracted) containing the damage information. do. Specifically, the information complementing unit 13 compares the specified specialized information with the damage information, and further specifies missing information in the damage information from among the specified specialized information. For example, if the missing information is the CVE ID, which is information about the vulnerability of a system that has been subjected to a cyber attack, the information complementing unit 13 complements the news article with the CVE ID.
  • the information complementing unit 13 stores the news article with the specialized information complemented as the complemented news information 18 in the information storage unit 16 .
  • the search processing unit 15 receives a search query input via an input device such as a keyboard or an external terminal device, and based on the received search query, complemented news information stored in the information storage unit 16. 18 searches are performed.
  • the search processing unit 15 identifies news articles that include damage information that matches or is similar to the search query from the complemented news information stored in the information storage unit 16 . After that, the search processing unit 15 displays the specified news article as a result of the search on the screen of an external display device, the screen of the terminal device, or the like in a state in which the specialized information is complemented.
  • FIG. 5 is a flowchart showing the operation of the information analysis device according to the embodiment. 1 to 4 will be referred to as needed in the following description. Further, in the embodiment, the information analysis method is implemented by operating the information analysis device 10 . Therefore, the description of the information analysis method in the embodiment is replaced with the description of the operation of the information analysis apparatus 10 below.
  • the damage information extraction unit 14 accesses the news database 20, acquires accumulated news articles, and extracts damage information related to cyber attack damage from the acquired news articles. (Step A1).
  • the specialized information extracting unit 11 extracts specialized information related to the cyber attack damage information included in the news article from the specialized information database 30 that stores specialized information, based on the time of occurrence of the cyber attack damage. is extracted (step A2).
  • the specialized information extraction unit 11 obtains the difference between the damage occurrence time included in the acquired specialized information and the damage occurrence time T included in the previously extracted damage information. , extracts specialized information whose difference is within a set range (for example, within two days).
  • the similarity calculation unit 12 first sets a combination of assumed damage information and specialized information. Then, for each combination, the similarity calculation unit 12 calculates the tf-idf of each word for each of the damage information and the specialized information to generate a vector, and converts the generated vector and the weight information 17 into the above equation 4. Then, the degree of similarity between the two is calculated (step A3).
  • the information complementing unit 13 identifies specialized information with the highest degree of similarity for each piece of damage information (step A4).
  • the information complementing unit 13 compares the specialized information identified in step A4 with the damage information, further identifies missing information in the damage information from among the identified specialized information, The information is supplemented to the news article from which the damage information is extracted (step A5).
  • the information complementing unit 13 stores the news article whose specialized information was complemented in step A5 in the information storage unit 16 as complemented news information 18 (step A6).
  • the search processing unit 15 accepts a search query input via an input device such as a keyboard or an external terminal device. Then, the search processing unit 15 identifies news articles including damage information matching or similar to the search query from the complemented news information 18 stored in the information storage unit 16 . Identified news articles are supplemented with specialized information. After that, the search processing unit 15 displays news articles supplemented with specialized information as search results on the screen of an external display device, the screen of a terminal device, or the like.
  • FIG. 6 is a diagram showing an example of a news article supplemented with specialized information in the embodiment.
  • the part surrounded by a frame in the news article is the damage information.
  • damage information is labeled with corresponding attributes.
  • the specialized information shown below the news article shown in FIG. 6 is the specialized information to be complemented. Of this specialized information, only the "CVE" ID, which is information about vulnerability, is missing in the damage information. Therefore, in the example of FIG. 6, the information complementing unit 13 complements the news article with "CVE-2012-0611".
  • FIG. 7 is a configuration diagram showing the configuration of Modification 1 of the information analysis device according to the embodiment.
  • the information analysis device 10 in Modification 1 differs from the example shown in FIG.
  • a specialized information generation unit 19 is provided in addition to the processing unit 15 and the information storage unit 16, a specialized information generation unit 19 is provided.
  • the information analysis device 10 is also connected to a computer system 50 to be analyzed so that data communication is possible.
  • the specialized information generation unit 19 acquires log information generated by the computer system 50 and generates specialized information from the acquired log information. Further, the specialized information generating unit 19 newly accumulates the generated specialized information in the specialized information database 30 .
  • Modification 1 it is possible to create new specialized information based on events that have newly occurred in the computer system, and to update the information stored in the specialized information database 30 . Therefore, according to Modification 1, the news article can be complemented more appropriately.
  • the newly generated specialized information may be a database other than the specialized information database 30 .
  • FIG. 8 is a configuration diagram showing the configuration of Modification 2 of the information analysis apparatus according to the embodiment.
  • the information analysis device 10 is configured without a search processing unit. Other than this, the information analysis device 10 is the same as the example shown in FIG.
  • the information analysis device 10 is connected via the network 40 to the terminal device 60 used by the searcher.
  • the terminal device 60 includes a search processing section 61 similar to the search processing section 15 shown in FIG. 2 and an information storage section 62 .
  • the information analysis device 10 transmits the supplemented news article 18 to the terminal device 60 via the network 40 .
  • the terminal device 60 stores them in the information storage section 62 .
  • the searcher can enter a search query on the terminal device 60.
  • the search processing unit 61 accesses the information storage unit 62 of the terminal device 60 and identifies news articles that match or are similar to the search query from the complemented news articles 18 stored in the information storage unit 62. do. After that, the search processing unit 61 displays the identified news article on the screen of the terminal device 60 .
  • the information analysis device 10 itself does not need to have a search function, and the cost of the information analysis device 10 can be reduced. Further, since the search query is not transmitted from the terminal device 60 to the information analysis device 10, according to the modified example, the possibility that the search query is known to the administrator of the information analysis device 10 is eliminated.
  • the program in the embodiment may be any program that causes a computer to execute steps A1 to A6 shown in FIG.
  • the processor of the computer functions as a specialized information extraction unit 11, a similarity calculation unit 12, an information complementation unit 13, and a damage information extraction unit 14, and performs processing.
  • Examples of computers include general-purpose PCs, smartphones, and tablet-type terminal devices.
  • the information storage unit 16 may be realized by storing the data files constituting these in a storage device such as a hard disk provided in the computer, or may be realized by storing the data files in a storage device of another computer. It may be realized by
  • the program in the embodiment may be executed by a computer system constructed by multiple computers.
  • each computer may function as one of the specialized information extraction unit 11, the similarity calculation unit 12, the information complementation unit 13, and the damage information extraction unit 14, respectively.
  • FIG. 9 is a block diagram showing an example of a computer that implements the information analysis device according to the embodiment.
  • a computer 110 includes a CPU (Central Processing Unit) 111, a main memory 112, a storage device 113, an input interface 114, a display controller 115, a data reader/writer 116, and a communication interface 117. and These units are connected to each other via a bus 121 so as to be able to communicate with each other.
  • CPU Central Processing Unit
  • the computer 110 may include a GPU (Graphics Processing Unit) or an FPGA (Field-Programmable Gate Array) in addition to the CPU 111 or instead of the CPU 111 .
  • a GPU or FPGA can execute the programs in the embodiments.
  • the CPU 111 expands the program in the embodiment, which is composed of a code group stored in the storage device 113, into the main memory 112 and executes various operations by executing each code in a predetermined order.
  • the main memory 112 is typically a volatile storage device such as DRAM (Dynamic Random Access Memory).
  • the program in the embodiment is provided in a state stored in a computer-readable recording medium 120. It should be noted that the program in this embodiment may be distributed on the Internet connected via communication interface 117 .
  • Input interface 114 mediates data transmission between CPU 111 and input devices 118 such as a keyboard and mouse.
  • the display controller 115 is connected to the display device 119 and controls display on the display device 119 .
  • the data reader/writer 116 mediates data transmission between the CPU 111 and the recording medium 120, reads programs from the recording medium 120, and writes processing results in the computer 110 to the recording medium 120.
  • Communication interface 117 mediates data transmission between CPU 111 and other computers.
  • the recording medium 120 include general-purpose semiconductor storage devices such as CF (Compact Flash (registered trademark)) and SD (Secure Digital), magnetic recording media such as flexible disks, and CD- Optical recording media such as ROM (Compact Disk Read Only Memory) can be mentioned.
  • CF Compact Flash
  • SD Secure Digital
  • magnetic recording media such as flexible disks
  • CD- Optical recording media such as ROM (Compact Disk Read Only Memory) can be mentioned.
  • the information analysis apparatus 10 in the embodiment can also be realized by using hardware corresponding to each part instead of a computer in which a program is installed. Furthermore, the information analysis device 10 may be partly implemented by a program and the rest by hardware.
  • the damage information includes at least the time of occurrence of the damage, the organization that suffered damage, and details of the damage;
  • the specialized information extracting unit obtains a difference between the time of occurrence of damage included in the specialized information and the time of occurrence of damage included in the damage information. to extract relevant information,
  • An information analysis device characterized by:
  • the information analysis device (Appendix 4) The information analysis device according to appendix 1 or 2, The similarity calculation unit determines whether the words included in the damage information and the words included in the technical information corresponding to the damage information are combined into words indicating cyber attack damage and words included in the technical information. Input the similarity relationship with the machine learning learning model, and calculate the similarity based on the output result from the learning model,
  • An information analysis device characterized by:
  • Appendix 5 The information analysis device according to any one of Appendices 1 to 4, a specialized information generation unit that generates the specialized information from log information generated by a computer system and stores the generated specialized information in the database; is further equipped with An information analysis device characterized by:
  • Appendix 6 The information analysis device according to any one of Appendices 1 to 5, further comprising a damage information extraction unit that extracts damage information related to cyberattack damage from news articles, The damage information extracting unit identifies details of damage caused by the vulnerability indicated in the diagnosis result based on the result of diagnosing vulnerabilities existing in the computer system, and extracts the identified damage from the news article. extracting the damage information including the contents of An information analysis device characterized by:
  • the damage information includes at least the time of occurrence of the damage, the organization that suffered damage, and details of the damage;
  • the specialized information extracting step a difference between the time of occurrence of damage contained in the specialized information and the time of occurrence of damage contained in the damage information is obtained, and the specialized information obtained is within a set range.
  • Appendix 11 The information analysis method according to any one of Appendices 7 to 10, a specialized information generating step of generating the specialized information from log information generated by a computer system and storing the generated specialized information in the database; further have An information analysis method characterized by:
  • Appendix 12 The information analysis method according to any one of Appendices 7 to 11, further comprising a damage information extracting step of extracting damage information related to cyber attack damage from news articles;
  • the damage information extracting step based on the results of diagnosing the vulnerabilities present in the computer system, the details of the damage caused by the vulnerabilities indicated in the results of the diagnosis are identified, and the identified damage is extracted from the news article. extracting the damage information including the contents of An information analysis method characterized by:
  • the damage information includes at least the time of occurrence of the damage, the organization that suffered damage, and details of the damage;
  • the specialized information extracting step a difference between the time of occurrence of damage contained in the specialized information and the time of occurrence of damage contained in the damage information is obtained, and the specialized information obtained is within a set range.
  • Appendix 16 15. The computer-readable recording medium according to Appendix 13 or 14, In the similarity calculation step, the words included in the damage information and the words included in the technical information corresponding to the damage information are separated from the words indicating the damage of the cyber attack and the words included in the technical information. Input the similarity relationship with the machine learning learning model, and calculate the similarity based on the output result from the learning model,
  • a computer-readable recording medium characterized by:
  • Appendix 17 The computer-readable recording medium according to any one of Appendices 13 to 16, The program causes the computer to: a specialized information generating step of generating the specialized information from log information generated by a computer system and storing the generated specialized information in the database; further comprising instructions to be executed;
  • a computer-readable recording medium characterized by:
  • the computer-readable recording medium according to any one of Appendices 13 to 17,
  • the program causes the computer to:
  • the damage information extraction step for extracting damage information related to cyberattack damage from news articles, further comprising instructions to be executed;
  • the damage information extracting step based on the results of diagnosing the vulnerabilities present in the computer system, the details of the damage caused by the vulnerabilities indicated in the results of the diagnosis are identified, and the identified damage is extracted from the news article. extracting the damage information including the contents of A computer-readable recording medium characterized by:
  • missing information can be supplemented for news articles about cyberattacks.
  • INDUSTRIAL APPLICABILITY The present invention is useful in various fields where analysis of cyberattacks is required.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computational Linguistics (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

情報分析装置（１０）は、サイバー攻撃に関する専門的な情報を蓄積しているデータベース（３０）から、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、専門的な情報を抽出する、専門情報抽出部（１１）と、被害情報と抽出された専門的な情報との類似度を算出する、類似度算出部（１２）と、算出された類似度に基づいて、被害情報に対応する専門的な情報を特定し、被害情報を含むニュース記事に対して、特定した専門的な情報を補完する、情報補完部（１３）と、を備えている。

Description

情報分析装置、情報分析方法、及びコンピュータ読み取り可能な記録媒体
　本発明は、サイバー攻撃に関する情報の分析を行うための、情報分析装置、及び情報分析方法に関し、更には、これらを実現するためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
　近年、官公庁、企業等においては、システムがサイバー攻撃の対象となることが多く、システムのセキュリティを確保することが極めて重要となっている。このため、システムの運用においては、システムの脆弱性の情報、更には、攻撃の手口に関する情報といった、サイバー攻撃に関する情報を収集し、これらを用いて、必要な対策を施す必要がある。また、セキュリティの確保を図るための対策を施すためには、システムへの投資が伴うことから、サイバー攻撃に関する情報の収集は経営判断においても必要となる。
　このため、最新のニュース記事から、被害組織、業種、時期、被害内容といった、サイバー攻撃に関する情報を収集することが行われている。特許文献１は、最新のニュース記事から特定の情報を抽出するシステムを開示している。特許文献１に開示されたシステムは、最新のニュース記事から抽出した特徴語と、既存の過去のニュース記事から抽出した特徴語と、の類似度を算出し、前者の特徴語のうち類似度が上位の特徴語にタグを付与する。特許文献１に開示されたシステムによれば、サイバー攻撃に関する特徴語にタグが付与され、サイバー攻撃に関する情報の収集が可能となる。
　また、非特許文献１は、セキュリティレポートから、サイバー攻撃に関する情報（イベント情報）を抽出するための、技術を開示している。ここで、セキュリティレポートは、主に、セキュリティ対策に関するソフトウェアの開発及び関連サービスを提供するセキュリティベンダーによって提供されているレポートである。セキュリティレポートは、一般的な自然言語で記述されたニュースとは異なり、攻撃に用いられたソフトの名称、共通脆弱性識別子（ＣＶＥ）のＩＤ、攻撃の手口等のといったサイバー攻撃に関する専門的な情報を、構造化された状態で提供することができる。
特開２０１０－２２４６２２号公報
中川舜太、永井達也、金原秀明、古本啓祐、瀧田愼、白石善明、高橋健志、毛利公美、高野泰洋、森井昌克、「脅威情報のモデル化のためのセキュリティレポートからのイベント情報の抽出」、信学技報, vol. 118, no. 486, ICSS2018-78, pp. 89-94, 2019年3月
　しかしながら、特許文献１に開示されたシステムでは、サイバー攻撃の手口、サイバー攻撃を行ったサーバのＩＰアドレス、マルウェアの名前、脆弱性を特定する情報、といったサイバー攻撃についての専門的な情報を提供することは不可能である。このため、特許文献１に開示されたシステムから提供される情報だけでは、サイバー攻撃に対して必要な施策をとることは困難である。
　一方、非特許文献１に開示された技術では、被害者及び被害額といったサイバー攻撃における特徴的な情報を取得することが不可能である。このため、非特許文献１に開示された技術によって得られる情報だけでは、上述の経営判断を行うことが困難である。
　本発明の目的の一例は、サイバー攻撃に関するニュース記事に対して、不足している情報を補完し得る、情報分析装置、情報分析方法、及びコンピュータ読み取り可能な記録媒体を提供することにある。
　上記目的を達成するため、本発明の一側面における情報分析装置は、
　サイバー攻撃に関する専門的な情報を蓄積しているデータベースから、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、前記専門的な情報を抽出する、専門情報抽出部と、
　前記被害情報と抽出された前記専門的な情報との類似度を算出する、類似度算出部と、
　算出された前記類似度に基づいて、前記被害情報に対応する前記専門的な情報を特定し、前記被害情報を含む前記ニュース記事に対して、特定した前記専門的な情報を補完する、情報補完部と、
を備えている、
ことを特徴とする。
　また、上記目的を達成するため、本発明の一側面における情報分析方法は、
　サイバー攻撃に関する専門的な情報を蓄積しているデータベースから、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、前記専門的な情報を抽出する、専門情報抽出ステップと、
　前記被害情報と抽出された前記専門的な情報との類似度を算出する、類似度算出ステップと、
　算出された前記類似度に基づいて、前記被害情報に対応する前記専門的な情報を特定し、前記被害情報を含む前記ニュース記事に対して、特定した前記専門的な情報を補完する、情報補完ステップと、
を有する、
ことを特徴とする。
　更に、上記目的を達成するため、本発明の一側面におけるコンピュータ読み取り可能な記録媒体は、
コンピュータに、
　サイバー攻撃に関する専門的な情報を蓄積しているデータベースから、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、前記専門的な情報を抽出する、専門情報抽出ステップと、
　前記被害情報と抽出された前記専門的な情報との類似度を算出する、類似度算出ステップと、
　算出された前記類似度に基づいて、前記被害情報に対応する前記専門的な情報を特定し、前記被害情報を含む前記ニュース記事に対して、特定した前記専門的な情報を補完する、情報補完ステップと、
を実行させる命令を含む、プログラムを記録していることを特徴とする。
　以上のように本発明によれば、サイバー攻撃に関するニュース記事に対して、不足している情報を補完することができる。
図１は、実施の形態における情報分析装置の概略構成を示す構成図である。 図２は、実施の形態における情報分析装置の構成を具体的に示す構成図である。 図３は、実施の形態における被害情報及び専門情報の抽出処理と類似度算出のための前処理とを説明する図である。 図４は、実施の形態における類似度算出処理を説明する図である。 図５は、実施の形態における情報分析装置の動作を示すフロー図である。 図６は、実施の形態において専門情報が補完されたニュース記事の一例を示す図である。 図７は、実施の形態における情報分析装置の変形例１の構成を示す構成図である。 図８は、実施の形態における情報分析装置の変形例２の構成を示す構成図である。 図９は、実施の形態における情報分析装置を実現するコンピュータの一例を示すブロック図である。
（実施の形態）
　以下、実施の形態における、情報分析装置、情報分析方法、及びプログラムについて、図１～図９を参照しながら説明する。
［装置構成］
　最初に、実施の形態における情報分析装置の概略構成について図１を用いて説明する。図１は、実施の形態における情報分析装置の概略構成を示す構成図である。
　図１に示す実施の形態における情報分析装置１０は、サイバー攻撃に関する情報の分析を行う装置である。図１に示すように、情報分析装置１０は、専門情報抽出部１１と、類似度算出部１２と、情報補完部１３とを備えている。
　専門情報抽出部１１は、サイバー攻撃に関する専門的な情報（以下「専門情報」と表記する。）を蓄積しているデータベースから、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、専門情報を抽出する。
　類似度算出部１２は、被害情報と抽出された専門情報との類似度を算出する。情報補完部１３は、算出された類似度に基づいて、被害情報に対応する専門情報を特定し、被害情報を含むニュース記事に対して、特定した専門情報を補完する。
　このように、実施の形態では、ニュース記事に対して、類似する専門情報が補完される。つまり、実施の形態では、サイバー攻撃に関するニュース記事に対して、不足している情報が補完される。
　続いて、図２～図４を用いて、実施の形態における情報分析装置１０の構成及び機能について具体的に説明する。図２は、実施の形態における情報分析装置の構成を具体的に示す構成図である。図３は、実施の形態における被害情報及び専門情報の抽出処理と類似度算出のための前処理とを説明する図である。図４は、実施の形態における類似度算出処理を説明する図である。
　図２に示すように、実施の形態において、情報分析装置１０は、インターネット等のネットワーク４０を介して、ニュースデータベース２０と、専門情報データベース３０とに、データ通信可能に接続される。
　ニュースデータベース２０は、インターネット上で提供されるニュース記事を蓄積しているデータベースである。蓄積されているニュース記事は、Ｗｅｂサーバによって読み出され、Ｗｅｂサイト上に提示される。なお、図２の例では、単一のニュースデータベース２０のみが示されているが、実際には、多数のニュースデータベース２０が存在している。
　専門情報データベース３０は、上述した、専門情報を蓄積しているデータベースである。専門情報は、実施の形態では、例えば、サイバー攻撃の痕跡情報（ＩＯＣ：Indicator of Compromise）である。ＩＯＣは、サイバー攻撃を受けたシステムの脆弱性に関する情報（共通脆弱性識別子：ＣＶＥ）、サイバー攻撃で用いられたソフトウェアの名称、サイバー攻撃の手口等を含む。
　ＩＯＣは、公的機関、ベンダー等から提供されていても良いし、上述したセキュリティレポートから既存のツール（例えば、Threat Report ATT&CK Mapper：TRAM）によって生成されていても良いし、更には、人手によって記述されていても良い。更に、ＩＯＣは、ＳＴＩＸ（脅威情報構造化：Structured Threat Information eXpression）形式で表現されていても良いし、攻撃手口（TTPs：Tactics, Techniques and Procedures）として、MITRE ATT&CK Technique IDを含んでいても良い（参照：https://www.ipa.go.jp/security/vuln/STIX.html）。
　ＳＴＩＸ形式では、専門情報は、サイバー攻撃活動(Campaigns)、攻撃者(Threat_Actors)、攻撃手口(TTPs)、検知指標(Indicators)、観測事象(Observables)、インシデント(Incidents)、対処措置(Courses_Of_Action)、攻撃対象(Exploit_Targets)の８つの情報群で表現されている。これらの情報群は、相互に関連付けられて、脅威情報を表現している。
　また、図２に示すように、情報分析装置１０は、上述した専門情報抽出部１１、類似度算出部１２、及び情報補完部１３に加えて、被害情報抽出部１４と、検索処理部１５と、情報格納部１６とを備えている。
　被害情報抽出部１４は、ニュースデータベース２０にアクセスして、蓄積されているニュース記事を取得し、取得したニュース記事からサイバー攻撃の被害に関する被害情報を抽出する。
　実施の形態において、被害情報は、サイバー攻撃活動（Campaigns）に関する情報である、被害の発生時期T、被害を受けた組織O、及び被害の内容D1を少なくとも含む。また、被害情報は、ＳＴＩＸ形式に対応して、攻撃者（Threat Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（observables）、インシデント（Incidents）、対処措置（Courses Of Action）、攻撃対象（Exploit Targets）、それぞれに関する情報を含んでいても良い。
　具体的には、図３に示すように、被害情報抽出部１４は、ニュース記事から、抽出対象となる被害情報に該当する単語または文節を登録している辞書を用いて、被害情報として、被害の発生時期T、被害を受けた組織O、及び被害の内容D１等を表す単語又は文節を抽出する。
　また、被害情報抽出部１４は、機械学習モデルを用いて、ニュース記事から、被害情報として、被害の発生時期T、被害を受けた組織O、及び被害の内容D１等を表す単語又は文節を抽出することもできる。この場合、機械学習モデルは、予め作成された訓練データとして、単語又は文節に対して抽出対象になるかどうかを示すラベルが付与された文書を用いて機械学習することで、構築される。
　更に、被害情報抽出部１４は、実施の形態では、情報分析の対象となるコンピュータシステムに存在する脆弱性の診断の結果に基づいて、診断の結果に示された脆弱性によって引き起こされる被害の内容を特定することができる。この場合、被害情報抽出部１４は、ニュース記事から、特定した被害の内容を含む被害情報を抽出する。脆弱性によって引き起こされる被害の内容の特定は、予め設定されたルールを用いることによって行うことができる。
　専門情報抽出部１１は、実施の形態では、まず、専門情報データベース３０にアクセスして、蓄積されている専門情報を取得する。そして、専門情報抽出部１１は、取得した専門情報に含まれる被害の発生時期と、先に抽出された被害情報に含まれる被害の発生時期Tと、の差分を求め、求めた差分が設定範囲内（例えば２日以内等）にある専門情報を抽出する。
　例えば、専門情報データベース３０が、専門情報として、ＳＴＩＸ形式で生成されたＩＯＣを格納しているとする。この場合、図３に示すように、専門情報抽出部１１は、ＳＴＩＸ形式に沿って、被害情報に関連する情報群を抽出する。
　類似度算出部１２は、実施の形態では、例えば、被害情報に含まれる単語と、被害情報に対応する専門情報に含まれる単語とを用いて、類似度として、コサイン類似度を算出する。また、被害情報及び専門情報の少なくとも一方が複数ある場合は、類似度算出部１２は、想定される被害情報と専門情報との組合せを設定し、組合せ毎に類似度を算出する。
　具体的には、図３に示すように、類似度算出部１２は、まず、被害情報に含まれる単語と、抽出された専門情報に含まれる単語とを特定し、特定された単語の中で重複する単語は１つに統合して、単語毎にＩＤ（Identifier）番号を設定する。次に、類似度算出部１２は、被害情報、専門情報それぞれおいて、ＩＤが設定された単語毎に、下記の数１～数３を用いて、当該単語の重要度を示すｔｆ－ｉｄｆを算出する。
Figure JPOXMLDOC01-appb-M000001
Figure JPOXMLDOC01-appb-M000002
Figure JPOXMLDOC01-appb-M000003
　続いて、類似度算出部１２は、被害情報及び専門情報それぞれにおいて、ＩＤが設定された単語の数を次元数（図３の例では１２）とし、算出された各単語のｔｆ－ｉｄｆを要素とするベクトルを生成する。図３の例では、被害情報が２つ、専門情報が１つであるので、被害情報のベクトルＶ１が２つ、専門情報のベクトルＶ２が１つ、合計３つのベクトルが生成されている。
　そして、類似度算出部１２は、予め設定されている単語毎の重みから重みｗｉを求め、図４に示すように、被害情報のベクトルＶ１と専門情報のベクトルＶ２とに重みｗを適用して、両者の類似度を算出する。具体的には、類似度の算出は、下記の数４によって行われる。数４において、類似度はsimilarity(a,b,w)と表されている。また、数４において、ａ、ｂは、類似度の算出対象となる文書のベクトルの要素を示し、ｗｉは単語毎の重みを示している。また、図４においては、ベクトルＶ１として２つのベクトルが生成されているので、類似度として２つの値が算出されている。
Figure JPOXMLDOC01-appb-M000004
　また、実施の形態では、図２に示すように、単語毎の重みｗｉは、重み情報１７として、情報格納部１６に格納されている。各重みｗｉとしては、予め人手によって設定された値が用いられていても良いが、ニューラルネットワークの出力値が用いられていても良い。この場合、ニューラルネットワークの機械学習は、訓練データとなる２つの文書のベクトルを入力し、そのときの出力値が適正な重みｗとなるように、ニューラルネットワークのパラメータを更新することによって行われる。
　また、類似度算出部１２は、被害情報に含まれる単語と、被害情報に対応する専門情報に含まれる単語とを、サイバー攻撃の被害を示す単語と専門情報に含まれる単語との類似関係を機械学習した学習モデルに入力し、学習モデルからの出力結果に基づいて、類似度を算出することもできる。この場合の学習モデルは、サイバー攻撃の被害を示す単語群と専門情報に含まれる単語群との組合せに、正解データとなる類似度が付与された訓練データを用いて、機械学習することによって構築される。
　情報補完部１３は、実施の形態では、被害情報毎に、類似度が最大となる専門情報を特定し、特定した専門情報を、被害情報を含む（被害情報の抽出元の）ニュース記事に補完する。具体的には、情報補完部１３は、特定した専門情報と、被害情報とを対比して、特定した専門情報の中から、被害情報において不足している情報を更に特定する。例えば、不足している情報が、サイバー攻撃を受けたシステムの脆弱性に関する情報であるＣＶＥのＩＤである場合は、情報補完部１３は、ニュース記事にＣＶＥのＩＤを補完する。
　また、情報補完部１３は、専門情報を補完したニュース記事を、補完済ニュース情報１８として、情報格納部１６に格納する。
　検索処理部１５は、キーボード等の入力装置、又は外部の端末装置を介して入力された、検索クエリを受け付け、受け付けた検索クエリに基づいて、情報格納部１６に格納されている補完済ニュース情報１８の検索を実行する。
　具体的には、検索処理部１５は、情報格納部１６に格納されている補完済ニュース情報の中から、検索クエリと一致又は類似する被害情報を含む、ニュース記事を特定する。その後、検索処理部１５は、検索の結果として、特定したニュース記事を、専門情報が補完された状態で、外部の表示装置の画面、端末装置の画面等に表示する。
［装置動作］
　次に、実施の形態における情報分析装置１０の動作について図５を用いて説明する。図５は、実施の形態における情報分析装置の動作を示すフロー図である。以下の説明においては、適宜図１～図４を参照する。また、実施の形態では、情報分析装置１０を動作させることによって、情報分析方法が実施される。よって、実施の形態における情報分析方法の説明は、以下の情報分析装置１０の動作説明に代える。
　図５に示すように、最初に、被害情報抽出部１４は、ニュースデータベース２０にアクセスして、蓄積されているニュース記事を取得し、取得したニュース記事からサイバー攻撃の被害に関する被害情報を抽出する（ステップＡ１）。
　次に、専門情報抽出部１１は、専門情報を蓄積している専門情報データベース３０から、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、専門情報を抽出する（ステップＡ２）。
　具体的には、ステップＡ２では、専門情報抽出部１１は、取得した専門情報に含まれる被害の発生時期と、先に抽出された被害情報に含まれる被害の発生時期Tと、の差分を求め、求めた差分が設定範囲内（例えば２日以内等）にある専門情報を抽出する。
　次に、類似度算出部１２は、まず、想定される被害情報と専門情報との組合せを設定する。そして、類似度算出部１２は、組合せ毎に、被害情報及び専門情報それぞれについて、各単語のｔｆ－ｉｄｆの算出を行ってベクトルを生成し、生成したベクトルと重み情報１７とを上記数４に適用して、両者の類似度を算出する（ステップＡ３）。
　次に、情報補完部１３は、被害情報毎に、類似度が最大となる専門情報を特定する（ステップＡ４）。
　次に、情報補完部１３は、ステップＡ４で特定した専門情報と、被害情報とを対比して、特定した専門情報の中から、被害情報において不足している情報を更に特定し、不足している情報を、被害情報の抽出元のニュース記事に補完する（ステップＡ５）。
　その後、情報補完部１３は、ステップＡ５で専門情報が補完されたニュース記事を、補完済ニュース情報１８として情報格納部１６に格納する（ステップＡ６）。
　ステップＡ６の終了後、検索処理部１５は、キーボード等の入力装置、又は外部の端末装置を介して、検索クエリが入力されると、それを受け付ける。そして、検索処理部１５は、情報格納部１６に格納されている補完済ニュース情報１８の中から、検索クエリと一致又は類似する被害情報を含む、ニュース記事を特定する。特定されたニュース記事には専門情報が補完されている。その後、検索処理部１５は、検索の結果として、専門情報が補完されているニュース記事を、外部の表示装置の画面、端末装置の画面等に表示する。
　ここで、図６を用いて、専門情報が補完されたニュース記事の具体例について説明する。図６は、実施の形態において専門情報が補完されたニュース記事の一例を示す図である。
　図６の例では、ニュース記事において枠線で囲まれた部分は、被害情報である。また、ニュース記事においては、被害情報には、対応する属性を示すラベルが付与されている。図６に示すニュース記事の下に示される専門情報が補完対象となる専門情報である。この専門情報のうち、脆弱性に関する情報である「ＣＶＥ」のＩＤだけが、被害情報において不足している。このため、図６の例では、情報補完部１３は、ニュース記事に対して、「ＣＶＥ－２０１２－０６１１」を補完する。
　以上のように、実施の形態では、サイバー攻撃に関するニュース記事に対して、不足している専門情報が補完される。このため、通常のニュース記事のみでは、サイバー攻撃についての専門情報が取得できないため、システムの管理者は、どういう流れでサイバー攻撃が発生したのかを把握することはできないが、実施の形態によれば、このような把握が可能となる。
［変形例１］
　続いて、図７を用いて、実施の形態における情報分析装置の変形例１について説明する。図７は、実施の形態における情報分析装置の変形例１の構成を示す構成図である。
　図７に示すように、変形例１における情報分析装置１０は、図２に示した例と異なり、専門情報抽出部１１、類似度算出部１２、情報補完部１３、被害情報抽出部１４、検索処理部１５、及び情報格納部１６に加えて、専門情報生成部１９を備えている。また、情報分析装置１０は、分析対象となるコンピュータシステム５０に、データ通信可能に接続されている。
　専門情報生成部１９は、コンピュータシステム５０で生成されたログ情報を取得し、取得したログ情報から専門情報を生成する。また、専門情報生成部１９は、生成した専門情報を専門情報データベース３０に新たに蓄積する。
　このように、変形例１では、コンピュータシステムで新たに発生した事象から、新たな専門情報を作成して、専門情報データベース３０に格納されている情報を更新することができる。このため、変形例１によれば、ニュース記事への補完をより適切に行うことができる。なお、新たに生成した専門情報は、専門情報データベース３０以外のデータベースであっても良い。
［変形例２］
　図８を用いて、実施の形態における情報分析装置１０の変形例２について説明する。図８は、実施の形態における情報分析装置の変形例２の構成を示す構成図である。
　図８に示すように、変形例２においては、図２に示した例と異なり、情報分析装置１０は、検索処理部を備えていない構成となっている。これ以外の点においては、情報分析装置１０は、図２に示した例と同様である。
　変形例２においては、情報分析装置１０は、検索者が使用する端末装置６０に、ネットワーク４０を介して接続されている。そして、端末装置６０は、図２に示した検索処理部１５と同様の検索処理部６１と、情報格納部６２とを備えている。
　そして、変形例２においては、情報分析装置１０は、ニュース記事への専門情報の補完が行われると、ネットワーク４０を介して、補完済ニュース記事１８を、端末装置６０に送信する。端末装置６０は補完済ニュース記事１８が送信されてくると、これらを、情報格納部６２に格納する。
　この構成により、検索者は、端末装置６０上で、検索クエリを入力することができる。この場合、検索処理部６１は、端末装置６０の情報格納部６２にアクセスし、情報格納部６２に格納されている補完済ニュース記事１８の中から、検索クエリと一致又は類似するニュース記事を特定する。その後、検索処理部６１は、特定したニュース記事を、端末装置６０の画面に表示する。
　変形例２によれば、情報分析装置１０自体に検索機能を備えさせる必要がなく、情報分析装置１０におけるコストの低減が図られる。また、検索クエリが端末装置６０から情報分析装置１０に送信されることがないため、変形例によれば、検索クエリが、情報分析装置１０の管理者に知られてしまう可能性が排除される
［プログラム］
　実施の形態におけるプログラムは、コンピュータに、図５に示すステップＡ１～Ａ６を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報分析装置１０と情報分析方法とを実現することができる。この場合、コンピュータのプロセッサは、専門情報抽出部１１、類似度算出部１２、情報補完部１３、及び被害情報抽出部１４として機能し、処理を行なう。コンピュータとしては、汎用のＰＣの他に、スマートフォン、タブレット型端末装置が挙げられる。
　また、実施の形態では、情報格納部１６は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現されていても良いし、別のコンピュータの記憶装置によって実現されていても良い。
　実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、専門情報抽出部１１、類似度算出部１２、情報補完部１３、及び被害情報抽出部１４のいずれかとして機能しても良い。
［物理構成］
　ここで、実施の形態におけるプログラムを実行することによって、情報分析装置１０を実現するコンピュータについて図９を用いて説明する。図９は、実施の形態における情報分析装置を実現するコンピュータの一例を示すブロック図である。
　図９に示すように、コンピュータ１１０は、ＣＰＵ（Central Processing Unit）１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。
　また、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていても良い。この態様では、ＧＰＵ又はＦＰＧＡが、実施の形態におけるプログラムを実行することができる。
　ＣＰＵ１１１は、記憶装置１１３に格納された、コード群で構成された実施の形態におけるプログラムをメインメモリ１１２に展開し、各コードを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。
　また、実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
　また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
　データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
　また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体が挙げられる。
　なお、実施の形態における情報分析装置１０は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、情報分析装置１０は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
　上述した実施の形態の一部又は全部は、以下に記載する（付記１）～（付記１８）によって表現することができるが、以下の記載に限定されるものではない。
（付記１）
　サイバー攻撃に関する専門的な情報を蓄積しているデータベースから、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、前記専門的な情報を抽出する、専門情報抽出部と、
　前記被害情報と抽出された前記専門的な情報との類似度を算出する、類似度算出部と、
　算出された前記類似度に基づいて、前記被害情報に対応する前記専門的な情報を特定し、前記被害情報を含む前記ニュース記事に対して、特定した前記専門的な情報を補完する、情報補完部と、
を備えている、
ことを特徴とする情報分析装置。
（付記２）
付記１に記載の情報分析装置であって、
　前記被害情報が、前記被害の発生時期、被害を受けた組織、及び被害の内容を少なくとも含み、
　前記専門情報抽出部が、前記専門的な情報に含まれる被害の発生時期と、前記被害情報に含まれる前記被害の発生時期と、の差分を求め、求めた差分が設定範囲内にある前記専門的な情報を抽出する、
ことを特徴とする情報分析装置。
（付記３）
　付記１または２に記載の情報分析装置であって、
　前記類似度算出部が、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを用いて、前記類似度として、コサイン類似度を算出する、
ことを特徴とする情報分析装置。
（付記４）
　付記１または２に記載の情報分析装置であって、
　前記類似度算出部が、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを、サイバー攻撃の被害を示す単語と専門的な情報に含まれる単語との類似関係を機械学習している学習モデルに入力し、前記学習モデルからの出力結果に基づいて、前記類似度を算出する、
ことを特徴とする情報分析装置。
（付記５）
付記１～４のいずれかに記載の情報分析装置であって、
　コンピュータシステムで生成されたログ情報から前記専門的な情報を生成し、生成した前記専門的な情報を前記データベースに蓄積する、専門情報生成部を、
更に備えている、
ことを特徴とする情報分析装置。
（付記６）
付記１～５のいずれかに記載の情報分析装置であって、
　ニュース記事からサイバー攻撃の被害に関する被害情報を抽出する、被害情報抽出部を更に備え、
　前記被害情報抽出部は、コンピュータシステムに存在する脆弱性の診断の結果に基づいて、診断の結果に示された脆弱性によって引き起こされる被害の内容を特定し、前記ニュース記事から、特定した前記被害の内容を含む前記被害情報を抽出する、
ことを特徴とする情報分析装置。
（付記７）
　サイバー攻撃に関する専門的な情報を蓄積しているデータベースから、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、前記専門的な情報を抽出する、専門情報抽出ステップと、
　前記被害情報と抽出された前記専門的な情報との類似度を算出する、類似度算出ステップと、
　算出された前記類似度に基づいて、前記被害情報に対応する前記専門的な情報を特定し、前記被害情報を含む前記ニュース記事に対して、特定した前記専門的な情報を補完する、情報補完ステップと、
を有する、
ことを特徴とする情報分析方法。
（付記８）
付記７に記載の情報分析方法であって、
　前記被害情報が、前記被害の発生時期、被害を受けた組織、及び被害の内容を少なくとも含み、
　前記専門情報抽出ステップにおいて、前記専門的な情報に含まれる被害の発生時期と、前記被害情報に含まれる前記被害の発生時期と、の差分を求め、求めた差分が設定範囲内にある前記専門的な情報を抽出する、
ことを特徴とする情報分析方法。
（付記９）
　付記７または８に記載の情報分析方法であって、
　前記類似度算出ステップにおいて、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを用いて、前記類似度として、コサイン類似度を算出する、
ことを特徴とする情報分析方法。
（付記１０）
　付記７または８に記載の情報分析方法であって、
　前記類似度算出ステップにおいて、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを、サイバー攻撃の被害を示す単語と専門的な情報に含まれる単語との類似関係を機械学習している学習モデルに入力し、前記学習モデルからの出力結果に基づいて、前記類似度を算出する、
ことを特徴とする情報分析方法。
（付記１１）
付記７～１０のいずれかに記載の情報分析方法であって、
　コンピュータシステムで生成されたログ情報から前記専門的な情報を生成し、生成した前記専門的な情報を前記データベースに蓄積する、専門情報生成ステップを、
更に有する、
ことを特徴とする情報分析方法。
（付記１２）
付記７～１１のいずれかに記載の情報分析方法であって、
　ニュース記事からサイバー攻撃の被害に関する被害情報を抽出する、被害情報抽出ステップを更に有し、
　前記被害情報抽出ステップにおいて、コンピュータシステムに存在する脆弱性の診断の結果に基づいて、診断の結果に示された脆弱性によって引き起こされる被害の内容を特定し、前記ニュース記事から、特定した前記被害の内容を含む前記被害情報を抽出する、
ことを特徴とする情報分析方法。
（付記１３）
コンピュータに、
　サイバー攻撃に関する専門的な情報を蓄積しているデータベースから、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、前記専門的な情報を抽出する、専門情報抽出ステップと、
　前記被害情報と抽出された前記専門的な情報との類似度を算出する、類似度算出ステップと、
　算出された前記類似度に基づいて、前記被害情報に対応する前記専門的な情報を特定し、前記被害情報を含む前記ニュース記事に対して、特定した前記専門的な情報を補完する、情報補完ステップと、
を実行させる命令を含む、プログラムを記録している、コンピュータ読み取り可能な記録媒体。
（付記１４）
付記１３に記載のコンピュータ読み取り可能な記録媒体であって、
　前記被害情報が、前記被害の発生時期、被害を受けた組織、及び被害の内容を少なくとも含み、
　前記専門情報抽出ステップにおいて、前記専門的な情報に含まれる被害の発生時期と、前記被害情報に含まれる前記被害の発生時期と、の差分を求め、求めた差分が設定範囲内にある前記専門的な情報を抽出する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１５）
　付記１３または１４に記載のコンピュータ読み取り可能な記録媒体であって、
　前記類似度算出ステップにおいて、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを用いて、前記類似度として、コサイン類似度を算出する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１６）
　付記１３または１４に記載のコンピュータ読み取り可能な記録媒体であって、
　前記類似度算出ステップにおいて、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを、サイバー攻撃の被害を示す単語と専門的な情報に含まれる単語との類似関係を機械学習している学習モデルに入力し、前記学習モデルからの出力結果に基づいて、前記類似度を算出する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１７）
付記１３～１６のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
　コンピュータシステムで生成されたログ情報から前記専門的な情報を生成し、生成した前記専門的な情報を前記データベースに蓄積する、専門情報生成ステップを、
実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１８）
付記１３～１７のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
　ニュース記事からサイバー攻撃の被害に関する被害情報を抽出する、被害情報抽出ステップを、
実行させる命令を更に含み、
　前記被害情報抽出ステップにおいて、コンピュータシステムに存在する脆弱性の診断の結果に基づいて、診断の結果に示された脆弱性によって引き起こされる被害の内容を特定し、前記ニュース記事から、特定した前記被害の内容を含む前記被害情報を抽出する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　以上のように本発明によれば、サイバー攻撃に関するニュース記事に対して、不足している情報を補完することができる。本発明は、サイバー攻撃についての分析が必要な種々の分野において有用である。
　１０　情報分析装置
　１１　専門情報抽出部
　１２　類似度算出部
　１３　情報補完部
　１４　被害情報抽出部
　１５　検索処理部
　１６　情報格納部
　１７　重み情報
　１８　補完済ニュース情報
　１９　専門情報生成部
　２０　ニュースデータベース
　３０　専門情報データベース
　４０　ネットワーク
　５０　コンピュータシステム
　６０　端末装置
　６１　検索処理部
　６２　情報格納部
　１１０　コンピュータ
　１１１　ＣＰＵ
　１１２　メインメモリ
　１１３　記憶装置
　１１４　入力インターフェイス
　１１５　表示コントローラ
　１１６　データリーダ／ライタ
　１１７　通信インターフェイス
　１１８　入力機器
　１１９　ディスプレイ装置
　１２０　記録媒体
　１２１　バス

Claims (18)

  1. 　サイバー攻撃に関する専門的な情報を蓄積しているデータベースから、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、前記専門的な情報を抽出する、専門情報抽出手段と、
    　前記被害情報と抽出された前記専門的な情報との類似度を算出する、類似度算出手段と、
    　算出された前記類似度に基づいて、前記被害情報に対応する前記専門的な情報を特定し、前記被害情報を含む前記ニュース記事に対して、特定した前記専門的な情報を補完する、情報補完手段と、
    を備えている、
    ことを特徴とする情報分析装置。
  2. 請求項１に記載の情報分析装置であって、
    　前記被害情報が、前記被害の発生時期、被害を受けた組織、及び被害の内容を少なくとも含み、
    　前記専門情報抽出手段が、前記専門的な情報に含まれる被害の発生時期と、前記被害情報に含まれる前記被害の発生時期と、の差分を求め、求めた差分が設定範囲内にある前記専門的な情報を抽出する、
    ことを特徴とする情報分析装置。
  3. 　請求項１または２に記載の情報分析装置であって、
    　前記類似度算出手段が、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを用いて、前記類似度として、コサイン類似度を算出する、
    ことを特徴とする情報分析装置。
  4. 　請求項１または２に記載の情報分析装置であって、
    　前記類似度算出手段が、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを、サイバー攻撃の被害を示す単語と専門的な情報に含まれる単語との類似関係を機械学習している学習モデルに入力し、前記学習モデルからの出力結果に基づいて、前記類似度を算出する、
    ことを特徴とする情報分析装置。
  5. 請求項１～４のいずれかに記載の情報分析装置であって、
    　コンピュータシステムで生成されたログ情報から前記専門的な情報を生成し、生成した前記専門的な情報を前記データベースに蓄積する、専門情報生成手段を、
    更に備えている、
    ことを特徴とする情報分析装置。
  6. 請求項１～５のいずれかに記載の情報分析装置であって、
    　ニュース記事からサイバー攻撃の被害に関する被害情報を抽出する、被害情報抽出手段を更に備え、
    　前記被害情報抽出手段は、コンピュータシステムに存在する脆弱性の診断の結果に基づいて、診断の結果に示された脆弱性によって引き起こされる被害の内容を特定し、前記ニュース記事から、特定した前記被害の内容を含む前記被害情報を抽出する、
    ことを特徴とする情報分析装置。
  7. 　サイバー攻撃に関する専門的な情報を蓄積しているデータベースから、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、前記専門的な情報を抽出し、
    　前記被害情報と抽出された前記専門的な情報との類似度を算出し、
    　算出された前記類似度に基づいて、前記被害情報に対応する前記専門的な情報を特定し、前記被害情報を含む前記ニュース記事に対して、特定した前記専門的な情報を補完する、
    ことを特徴とする情報分析方法。
  8. 請求項７に記載の情報分析方法であって、
    　前記被害情報が、前記被害の発生時期、被害を受けた組織、及び被害の内容を少なくとも含み、
    　前記専門情報の抽出において、前記専門的な情報に含まれる被害の発生時期と、前記被害情報に含まれる前記被害の発生時期と、の差分を求め、求めた差分が設定範囲内にある前記専門的な情報を抽出する、
    ことを特徴とする情報分析方法。
  9. 　請求項７または８に記載の情報分析方法であって、
    　前記類似度の算出において、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを用いて、前記類似度として、コサイン類似度を算出する、
    ことを特徴とする情報分析方法。
  10. 　請求項７または８に記載の情報分析方法であって、
    　前記類似度の算出において、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを、サイバー攻撃の被害を示す単語と専門的な情報に含まれる単語との類似関係を機械学習している学習モデルに入力し、前記学習モデルからの出力結果に基づいて、前記類似度を算出する、
    ことを特徴とする情報分析方法。
  11. 請求項７～１０のいずれかに記載の情報分析方法であって、
    　更に、コンピュータシステムで生成されたログ情報から前記専門的な情報を生成し、生成した前記専門的な情報を前記データベースに蓄積する、
    ことを特徴とする情報分析方法。
  12. 請求項７～１１のいずれかに記載の情報分析方法であって、
    　更に、ニュース記事からサイバー攻撃の被害に関する被害情報を抽出し、
    　前記被害情報の抽出において、コンピュータシステムに存在する脆弱性の診断の結果に基づいて、診断の結果に示された脆弱性によって引き起こされる被害の内容を特定し、前記ニュース記事から、特定した前記被害の内容を含む前記被害情報を抽出する、
    ことを特徴とする情報分析方法。
  13. コンピュータに、
    　サイバー攻撃に関する専門的な情報を蓄積しているデータベースから、サイバー攻撃の被害の発生時期に基づいて、ニュース記事に含まれるサイバー攻撃の被害情報に関連する、前記専門的な情報を抽出させ、
    　前記被害情報と抽出された前記専門的な情報との類似度を算出させ、
    　算出された前記類似度に基づいて、前記被害情報に対応する前記専門的な情報を特定し、前記被害情報を含む前記ニュース記事に対して、特定した前記専門的な情報を補完させる、
    命令を含む、プログラムを記録している、コンピュータ読み取り可能な記録媒体。
  14. 請求項１３に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記被害情報が、前記被害の発生時期、被害を受けた組織、及び被害の内容を少なくとも含み、
    　前記専門情報の抽出において、前記専門的な情報に含まれる被害の発生時期と、前記被害情報に含まれる前記被害の発生時期と、の差分を求め、求めた差分が設定範囲内にある前記専門的な情報を抽出する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  15. 　請求項１３または１４に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記類似度の算出において、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを用いて、前記類似度として、コサイン類似度を算出する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  16. 　請求項１３または１４に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記類似度の算出において、前記被害情報に含まれる単語と、前記被害情報に対応する前記専門的な情報に含まれる単語とを、サイバー攻撃の被害を示す単語と専門的な情報に含まれる単語との類似関係を機械学習している学習モデルに入力し、前記学習モデルからの出力結果に基づいて、前記類似度を算出する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  17. 請求項１３～１６のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
    前記プログラムが、前記コンピュータに、
    　コンピュータシステムで生成されたログ情報から前記専門的な情報を生成し、生成した前記専門的な情報を前記データベースに蓄積させる、
    命令を更に含む、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  18. 請求項１３～１７のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
    前記プログラムが、前記コンピュータに、
    　ニュース記事からサイバー攻撃の被害に関する被害情報を抽出させる、
    命令を更に含み、
    　前記被害情報の抽出において、コンピュータシステムに存在する脆弱性の診断の結果に基づいて、診断の結果に示された脆弱性によって引き起こされる被害の内容を特定し、前記ニュース記事から、特定した前記被害の内容を含む前記被害情報を抽出する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
PCT/JP2021/011985 2021-03-23 2021-03-23 情報分析装置、情報分析方法、及びコンピュータ読み取り可能な記録媒体 WO2022201307A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/JP2021/011985 WO2022201307A1 (ja) 2021-03-23 2021-03-23 情報分析装置、情報分析方法、及びコンピュータ読み取り可能な記録媒体
JP2023508216A JPWO2022201307A5 (ja) 2021-03-23 情報分析装置、情報分析方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/011985 WO2022201307A1 (ja) 2021-03-23 2021-03-23 情報分析装置、情報分析方法、及びコンピュータ読み取り可能な記録媒体

Publications (1)

Publication Number Publication Date
WO2022201307A1 true WO2022201307A1 (ja) 2022-09-29

Family

ID=83396509

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/011985 WO2022201307A1 (ja) 2021-03-23 2021-03-23 情報分析装置、情報分析方法、及びコンピュータ読み取り可能な記録媒体

Country Status (1)

Country Link
WO (1) WO2022201307A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008140313A (ja) * 2006-12-05 2008-06-19 Nec Corp セキュリティ被害予測システム、セキュリティ被害予測方法及びセキュリティ被害予測プログラム
JP2011204106A (ja) * 2010-03-26 2011-10-13 Nomura Research Institute Ltd リスク情報生成システム及びプログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008140313A (ja) * 2006-12-05 2008-06-19 Nec Corp セキュリティ被害予測システム、セキュリティ被害予測方法及びセキュリティ被害予測プログラム
JP2011204106A (ja) * 2010-03-26 2011-10-13 Nomura Research Institute Ltd リスク情報生成システム及びプログラム

Also Published As

Publication number Publication date
JPWO2022201307A1 (ja) 2022-09-29

Similar Documents

Publication Publication Date Title
EP2560120B1 (en) Systems and methods for identifying associations between malware samples
JP7120350B2 (ja) セキュリティ情報分析方法、セキュリティ情報分析システム、及び、プログラム
US10885185B2 (en) Graph model for alert interpretation in enterprise security system
CN111953697B (zh) 一种apt攻击识别及防御方法
CN107368592B (zh) 一种用于网络安全报告的文本特征模型建模方法及装置
US20210133742A1 (en) Detection of security threats in a network environment
NL2029110B1 (en) Method and system for static analysis of executable files
Pont et al. A roadmap for improving the impact of anti-ransomware research
CN112685771A (zh) 日志脱敏方法、装置、设备及存储介质
Kumar Raju et al. Event correlation in cloud: a forensic perspective
Alam et al. Looking beyond IoCs: Automatically extracting attack patterns from external CTI
Gao et al. Malware detection using LightGBM with a custom logistic loss function
US20200372085A1 (en) Classification apparatus, classification method, and classification program
US20220237302A1 (en) Rule generation apparatus, rule generation method, and computer-readable recording medium
McClanahan et al. Automatically locating mitigation information for security vulnerabilities
CN115361182B (zh) 一种僵尸网络行为分析方法、装置、电子设备及介质
WO2022201307A1 (ja) 情報分析装置、情報分析方法、及びコンピュータ読み取り可能な記録媒体
Fawaz et al. Learning process behavioral baselines for anomaly detection
Lakhno et al. A model and algorithm for detecting spyware in medical information systems
WO2021144895A1 (ja) 情報分析装置、情報分析方法、及びコンピュータ読み取り可能な記録媒体
US20240169070A1 (en) Information analysis apparatus, information analysis method, and computer-readable recording medium
WO2023175954A1 (ja) 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体
WO2022201309A1 (ja) 情報補完装置、情報補完方法、及びコンピュータ読み取り可能な記録媒体
Ghosh et al. OSTINATO: Cross-host Attack Correlation Through Attack Activity Similarity Detection
JP7408530B2 (ja) セキュリティ管理システム、及びセキュリティ管理方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21932917

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2023508216

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21932917

Country of ref document: EP

Kind code of ref document: A1