WO2022239162A1

WO2022239162A1 - 決定方法、決定装置及び決定プログラム

Info

Publication number: WO2022239162A1
Application number: PCT/JP2021/018118
Authority: WO
Inventors: 大紀千葉; 満昭秋山
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: NTT Inc
Priority date: 2021-05-12
Filing date: 2021-05-12
Publication date: 2022-11-17
Anticipated expiration: 2023-11-12
Also published as: JP7513205B2; JPWO2022239162A1; US20240248986A1

Abstract

特徴情報抽出部（２１）は、サイバーセキュリティに関する情報に含まれるＩＯＣから特徴情報を抽出する。ラベル付与部（２２）は、ＩＯＣのそれぞれについて、関連するアラートの対応に要した稼働量の実績に応じたラベルを付与する。学習部（２３）は、特徴情報抽出部（２１）によって抽出された特徴情報及びラベル付与部（２２）によって付与されたラベルを組み合わせた学習データを用いて、ＩＯＣの特徴情報からラベルを出力するモデルの学習を行う。

Description

決定方法、決定装置及び決定プログラム

　本発明は、決定方法、決定装置及び決定プログラムに関する。

　企業や組織ではサイバーセキュリティを担保するために、セキュリティ管理や脅威を検知するためのシステムが導入されている。セキュリティオペレーションセンタ（ＳＯＣ：Security　Operation　Center）は、このようなシステムの運用を行う組織である。ＳＯＣのアナリスト（分析者）は、システムから出力される大量のログやアラートを監視、分析し、必要な対処を行う。

　一方で、下記の参考文献１、２によると、日々大量に発生するアラートを処理するアナリストが、アラート疲労と呼ばれる状況を起こし、アナリストの燃え尽きにつながることが問題視されている。
　参考文献１：S.　C.　Sundaramurthy,　A.　G.　Bardas,　J.　Case,　X.　Ou,　M.　Wesch,　J.　McHugh,　and　S.　R.　Rajagopalan,　“A　human　capital　model　for　mitigating　security　analyst　burnout,”　Proc.　SOUPS,　2015.
　参考文献２：Ponemon　Institute,　“Improving　the　Effectiveness　of　the　Security　Operations　Center,”　2019.

　また、上記の問題を解決するために必要なことは、よりすぐれた自動化を実現してアナリストの稼働を削減することである。実際、参考文献３によると、多くのＳＯＣのマネージャは、ＳＯＣコンポーネントの自動化レベルが不十分であることが現在のＳＯＣ組織における最重要課題であるととらえている。
　参考文献３：F.　B.　Kokulu,　A.　Soneji,　T.　Bao,　Y.　Shoshitaishvili,　Z.　Zhao,　A.　Doupe,　and　G.-J.　Ahn,　“Matched　and　Mismatched　SOCs:　A　Qualitative　Study　on　Security　Operations　Center　Issues,”　Proc.　ACM　CCS,　2019.

　これに対し、例えば、セキュリティに関する各アラートの異常スコアや悪性度スコアを過去のアラートから推定することで、真に悪性なアラートと誤検知となる本来非悪性のアラートとを識別する技術が提案されている（例えば、非特許文献１から５を参照）。

　また、セキュリティに関する各アラートと最も関連性の高い情報を抽出してくることで、アナリストのその後のプロセスをサポートする技術が知られている（例えば、非特許文献６から８を参照）。

W.　U.　Hassan,　S.　Guo,　D.　Li,　Z.　Chen,　K.　Jee,　Z.　Li,　and　A.　Bates,　"NoDoze:　Combatting　Threat　Alert　Fatigue　with　Automated　Provenance　Triage,"　Proc.　NDSS,　2019. A.　Oprea,　Z.　Li,　R.　Norris,　and　K.　Bowers,　"MADE:　Security　Analytics　for　Enterprise　Threat　Detection,"　Proc.　ACSAC,　2018. K.　A.　Roundy,　A.　Tamersoy,　M.　Spertus,　M.　Hart,　D.　Kats,　M.　Dell’Amico,　and　R.　Scott,　"Smoke　Detector:　Cross-Product　Intrusion　Detection　With　Weak　Indicators,"　Proc.　ACSAC,　2017. Y.　Liu,　M.　Zhang,　D.　Li,　K.　Jee,　Z.　Li,　Z.　Wu,　J.　Rhee,　and　P.　Mittal,　"Towards　a　Timely　Causality　Analysis　for　Enterprise　Security,"　Proc.　NDSS,　2018. P.　Najafi,　A.　Muhle,　W.　Punter,　F.　Cheng,　and　C.　Meinel,　"MalRank:　a　measure　of　maliciousness　in　SIEM-based　knowledge　graphs,"　Proc.　ACSAC,　2019. C.　Zhong,　J.　Yen,　P.　Liu,　and　R.　F.　Erbacher,　"Automate　Cybersecurity　Data　Triage　by　Leveraging　Human　Analysts’　Cognitive　Process,"　Proc.　IEEE　IDS,　2016. C.　Zhong,　T.　Lin,　P.　Liu,　J.　Yen,　and　K.　Chen,　"A　cyber　security　data　triage　operation　retrieval　system,"　Comput.　Secur.,　vol.76,　pp.12-31,　2018. S.　T.　Chen,　Y.　Han,　D.　H.　Chau,　C.　Gates,　M.　Hart,　and　K.　A.　Roundy,　"Predicting　Cyber　Threats　with　Virtual　Security　Products,"　Proc.　ACSAC,　2017.

　しかしながら、従来の技術には、ＳＯＣのアナリストの稼働量を十分に減らすことができない場合があるという問題がある。

　例えば、上記の先行技術文献に記載された技術は、いずれもアナリストが個々のアラートを分析することを前提としている点で共通している。

　ここで、複数のアナリストを擁するＳＯＣ拠点では、各アナリストが異なった観点から分析を行う場合がある。この場合、個々のアラートに関する情報が得られる従来の技術では、個々のアラートに対する分析処理を効率化できるものの、分析回数自体を減らすことはできず、ＳＯＣ拠点全体として十分に稼働量を削減することは困難な場合がある。

　上述した課題を解決し、目的を達成するために、決定方法は、決定装置によって実行される決定方法であって、サイバーセキュリティに関する情報に含まれるＩＯＣ（Indicator　of　Compromise）から特徴情報を抽出する特徴情報抽出工程と、前記ＩＯＣのそれぞれについて、関連するアラートの対応に要した稼働量の実績に応じたラベルを付与するラベル付与工程と、前記特徴情報抽出部によって抽出された特徴情報及び前記ラベル付与工程によって付与されたラベルを組み合わせた学習データを用いて、ＩＯＣの特徴情報からラベルを出力するモデルの学習を行う学習工程と、を含むことを特徴とする。

　本発明によれば、ＳＯＣのアナリストの稼働量を十分に減らすことができる。

図１は、セキュリティシステムについて説明する図である。図２は、アラートモニタの画面の例を示す図である。図３は、ＩＯＣチェッカーの画面の例を示す図である。図４は、第１の実施形態に係る決定装置の構成例を示す図である。図５は、特徴情報の抽出及びラベルの付与を行う期間を説明する図である。図６は、学習処理の流れを示すフローチャートである。図７は、ラベルを付与する処理の流れを示すフローチャートである。図８は、予測処理の流れを示すフローチャートである。図９は、決定プログラムを実行するコンピュータの一例を示す図である。

　以下に、本願に係る決定方法、決定装置及び決定プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

［第１の実施形態の構成］
　まず、図１を用いて、第１の実施形態に係る決定装置を含むセキュリティシステムについて説明する。図１は、セキュリティシステムについて説明する図である。

　セキュリティシステム１は、顧客組織のセキュリティプライアンスにおいて生じた所定の情報を基に、分析エンジンによる自動分析、又は分析者による分析が行われる。

　セキュリティプライアンスは、例えば侵入防御システム（ＩＰＳ：Intrusion　Prevention　System）、プロキシ、サンドボックス、統合脅威管理（ＵＴＭ：Unified　Threat　Management）等である。

　ＳＯＣでは、セキュリティアプライアンスから取得したセキュリティに関する情報をリアルタイムに分析する。例えば、セキュリティに関する情報にはセキュリティログ及びアラートが含まれる。

　図１の例では、ＳＯＣは大規模なＭＳＳＰ（Managed　Security　Service　Provider）で提供されるアウトソースＳＯＣとして利用されている。一方で、本実施形態は、インハウスＳＯＣにも適用可能である。

　アウトソースＳＯＣとインハウスＳＯＣは組織的な違いはあるが、全体的なワークフローは類似している。このため、スケールメリットを十分に発揮できる規模の組織のインハウスＳＯＣであれば、本実施形態の効果が得られやすい。

　セキュリティシステム１における処理の流れを説明する。図１に示すように、まず、顧客組織のセキュリティアプライアンスは、アラート及びセキュリティログをＳＯＣの分析エンジン１０に送信する（ステップＳ１）。

　以下、アラートについて処理を行う場合の例を説明する。セキュリティシステム１は、セキュリティログについても、アラートと同様に処理することができる。

　分析エンジン１０は自動分析を行う（ステップＳ２）。分析エンジン１０は、既知の悪意のある特性や、事前に定義されたルールやブラックリストに基づいて分析を行うことで、アラートに対応する。

　分析エンジン１０は、ＳＯＡＲ（Security　Orchestration,　Automation,　and　Response）と呼ばれる機能を用いて分析を行ってもよい。

　分析エンジン１０は、所定の条件を満たすアラートを決定装置２０、アラートモニタ３０又はＩＯＣチェッカー４０に送信する（ステップＳ３）。

　このとき、図２に示すように、アラートモニタ３０は、アラートに関する情報を表示する。図２は、アラートモニタの画面の例を示す図である。

　例えば、アラートモニタ３０には、アラートの原因となったイベントの日付（Date）、顧客名（Customer）、アラートを送信したデバイス（Device）、アラートの名前（Alert　Name）、アラートのトリガーとなった状況の概要等が表示される。

　また、図３に示すように、ＩＯＣチェッカー４０は、アラートに含まれるＩＯＣ（Indicator　of　Compromise）に関する情報を表示する。図３は、ＩＯＣチェッカーの画面の例を示す図である。

　例えば、ＩＯＣには、ドメイン名、ＩＰアドレス、ＵＲＬ、ファイルハッシュ値等が含まれる。

　図３に示すように、例えば、ＩＯＣチェッカー４０は、ＳＯＣでの調査状況（Status）、ＩＯＣの悪性度に関するＳＯＣの直近の判断（ＳＯＣ　Last　Decision）、そのＩＯＣの最新の脅威インテリジェンス結果（Detection　in　TI）等を表示する。

　例えば、分析者は、アラートモニタ３０及びＩＯＣチェッカー４０といった、ＩＯＣ評価専用のツールを使って、分析エンジン１０によって処理できなかったアラートについてＩＯＣのトリアージ（評価）を行う。

　ＳＯＣの分析者は日頃のＳＯＣワークフローで大量のアラートを処理する。そこで、決定装置２０は、優先度が高いＩＯＣを決定し、分析者に通知する。これにより、ＳＯＣにおいて複数の分析者が同じＩＯＣを手動で評価することを防止することができる。

　また、決定装置２０によれば、優先度が高いＩＯＣを優先して分析することができるため、分析者の稼働量に対する効果を向上させることができる。

　決定装置２０は、モデルの学習、又はモデルを用いてＩＯＣの優先度の予測を行う（ステップＳ４）。そして、決定装置２０は、予測結果に基づき優先度が高いＩＯＣを決定し、当該決定したＩＯＣを通知する（ステップＳ５）。

　例えば、決定装置２０は、決定したＩＯＣを、ＩＯＣチェッカー４０を介して分析者に通知する。

　分析者は、通知された優先度に基づき分析を実施する（ステップＳ６）。また、分析者は、分析の過程で脅威インテリジェンスサービス（例えば、Virus　Total）の検索を行ってもよい（ステップＳ７）。

　脅威インテリジェンスサービスの中には、脅威のレベルや悪性度に関するスコアを提供するものがある。しかしながら、本来そのようなスコアは必ずしも分析者の次のアクションを決定するものではない。

　例えば、既にパッチが展開されている脆弱性を利用した攻撃に関連したＩＯＣは、悪性であるスコアが高いかもしれないが、顧客組織を守るという観点では差し迫った脅威ではない。

　このように、ＳＯＣにおけるアラート分析は単純ではないため、アラート分析を完全自動化することは難しく、分析者による判断が必要になる場合がある。

　このため、決定装置２０による優先度が高いＩＯＣの決定は、分析者の判断の時間を確保し、また各ＩＯＣの調査稼働を削減するために有用であるということができる。

　分析者は、最終的に分析対象のアラート及び当該アラートに含まれたＩＯＣが悪性か非悪性かを判断し、さらに顧客への報告が必要かどうかを判断し、顧客への報告が必要な場合、顧客組織のシステム管理者等に報告を行う（ステップＳ８）。

　例えば、分析者があるＩＯＣの評価を完了すると、その結果に基づいて、分析エンジン１０におけるアラートのトリガーされる条件を変更することができる。

　例えば、分析者による評価で明らかに悪性のＩＯＣが特定された場合、カスタムブラックリスト又はカスタムシグネチャとして当該ＩＯＣを分析エンジン１０において使用することができる。

　その場合、同一ＩＯＣを含むログをＳＯＣの他の顧客でも自動的に検知できるようにすることができる。また、評価で誤検知や脅威レベルが少ないＩＯＣが特定された場合、アラートをトリガーするＳＩＥＭロジックが変更され、同じ誤検知アラートが再び発生するのを防ぐことができ、分析者の稼働削減につながる。

　以降、決定装置２０が優先度の高いＩＯＣを決定する処理について、決定装置２０の構成とともに詳細に説明する。

　図４は、第１の実施形態に係る決定装置の構成例を示す図である。図４に示すように、決定装置２０は、特徴情報抽出部２１、ラベル付与部２２、学習部２３、予測部２４及びモデル情報２５を有する。

　決定装置２０は、機械学習手法によるモデルの学習処理、及び学習済みのモデルを使った予測処理を行う。

　学習処理では、特徴情報抽出部２１、ラベル付与部２２及び学習部２３が用いられる。また、予測処理では、特徴情報抽出部２１及び予測部２４が用いられる。

　特徴情報抽出部２１は、サイバーセキュリティに関する情報に含まれるＩＯＣから特徴情報を抽出する。例えば、サイバーセキュリティに関する情報は、分析エンジン１０から取得するアラートである。

　特徴情報抽出部２１は、分析エンジン１０から入手した過去のアラートに含まれるＩＯＣから、当該ＩＯＣの特性を特徴づける情報（以後、特徴情報）を抽出する。

　特徴情報は、ＩＯＣに含まれるドメイン名、ＩＰアドレス、ＵＲＬ、ファイルハッシュ値等であってもよい。

　例えば、特徴情報抽出部２１は、あらかじめ定められた一定の日数の間に発生したアラートから特徴情報を抽出する。

　ラベル付与部２２は、ＩＯＣのそれぞれについて、関連するアラートの対応に要した稼働量の実績に応じたラベルを付与する。

　ここでは、ラベルは優先度が高いか否かを表す二値データであるものとする。例えば、ラベル付与部２２は、過去に分析者の稼働を多く消費したＩＯＣについては、優先度が高いことを示すラベルを付与し、そうでないものについては優先度が高くないことを示すラベルを付与する。

　なお、従来技術（例えば、非特許文献４から８に記載の技術）では、ＩＯＣが悪性のもの（又は悪意があるもの）であるか否かを示すラベルが付与されていた。一方で、本実施形態では、分析者の稼働量に基づきラベルが付与される。

　ラベル付与部２２は、ＩＯＣのうち、関連するアラートに対して一定期間内に発生した手動調査の回数が所定値以上であるＩＯＣについて、優先度が高いことを示すラベルを付与し、手動調査の回数が所定値未満であるＩＯＣについて、優先度が高くないことを示すラベルを付与する。

　以降の説明では、優先度が高いことを示すラベルを「優先」、優先度が高くないことを示すラベルを「非優先」と表記する。

　例えば、ラベル付与部２２は、ラベル付与時点の前のＬ日間にＫ回以上の分析者による手動調査が発生したＩＯＣを「優先」とラベル付けし、それ以外は「非優先」とラベル付けする（ただし、Ｋ及びＬは整数）。

　図５に示す学習処理のタイムラインは、ラベル付与部２２がいつのデータをラベルの付与に利用するかを示している。図５は、特徴情報の抽出及びラベルの付与を行う期間を説明する図である。

　例えば、ラベル付与時点が「現在」と表記した時点である場合、ラベル付与部２２は、その直近Ｌ日間に当該ＩＯＣが分析者によってＫ回以上調査されたか否かを判定する。

　これにより、ラベル付与部２２は、過去から直近までのＳＯＣのデータを使って自動的にラベルを付与することができる。

　さらに、ラベル付与部２２は、ラベル付与の動作を一定の期間が経過するたびに繰り返すことで、教師あり機械学習に必要な正解ラベルつきのデータを追加し続けることができる。

　また、ラベル付与部２２は、分析者による作業を要求することなく自動的にラベルの付与を行うことができるため、分析者の日頃の業務を妨げることがない。

　この点について、ＳＯＣやセキュリティ現場で追加される新たなツールは、そのメンテナンスに分析者の追加作業を要求するような個別のソリューションになりがちであることが、参考文献４で指摘されている。
　参考文献４：M.　Vielberth,　F.　Bohm,　I.　Fichtinger,　and　G.　Pernul,　“Security　Operations　Center:　A　Systematic　Study　and　Open　Challenges,”　IEEE　Access,　vol.8,　pp.227756-227779,　2020.

　本実施形態のラベル付与機能は、自動的に処理を実行し、メンテナンスフリーであるため、ツールの追加による分析者の稼働量の増加という問題を解決しているということができる。

　なお、ラベル付与部２２は、手動調査の回数ではなく、手動調査に要した時間を基にラベルを付与してもよい。

　その場合、ラベル付与部２２は、ＩＯＣのうち、関連するアラートに対して一定期間内に発生した手動調査に要した時間が所定値以上であるＩＯＣについて、優先度が高いことを示すラベルを付与し、時間が所定値未満であるＩＯＣについて、優先度が高くないことを示すラベルを付与するようにしてもよい。

　例えば、ラベル付与部２２は、ラベル付与時点の前のＬ日間にＴ時間以上の分析者による手動調査が発生したＩＯＣを「優先」とラベル付けし、それ以外は「非優先」とラベル付けする（ただし、Ｔは実数）。

　学習部２３は、特徴情報抽出部２１によって抽出された特徴情報及びラベル付与部２２によって付与されたラベルを組み合わせた学習データを用いて、ＩＯＣの特徴情報からラベルを出力するモデルの学習を行う。

　学習部２３は、教師あり機械学習により、モデルの作成及び更新を行う。モデル情報２５は、モデルを構築するためのパラメータ等を含む情報である。学習部２３は、モデル情報２５の作成及び更新を行う。

　学習部２３は、既知の任意の教師あり機械学習のアルゴリズムを採用することが可能である。本実施形態では、学習部２３は標準的なロジスティック回帰を採用するものとする。

　ロジスティック回帰は、スケーラブルで高速なので、ＳＯＣ環境のように多くの顧客からの大量のアラートに含まれるＩＯＣを予測するのに適している。

　また、ロジスティック回帰は解釈可能性が高いことが知られている。ロジスティック回帰の出力は、その性質上、入力されたＩＯＣが優先される確率として解釈でき、さらに各ＩＯＣに対応する特徴情報のうちどの特徴が結果に貢献しているかを示すことができる。このように、ロジスティック回帰には解釈可能性が高いという利点がある。

　ここでは、学習部２３は、特にＬ１正則化つきロジスティック回帰を利用するものとする。

　まず、学習部２３は、特徴情報抽出部２１によって抽出された特徴情報を表すベクトルｘが与えられたとき、（１）式に示すラベルの条件付き確率ｙを、（２）式のようにモデル化する。

　ここで、θはロジスティック回帰モデルのパラメータである。また、σはシグモイド関数である。また、ｘの全ての特徴は、［０，１］の範囲に正規化されるものとする。

　学習部２３は、正則化の度合いを決定するハイパーパラメータλを導入した（４）式の目的関数を最小化する際のパラメータθを求めるために、（３）式に示すｎ個のラベル付きの学習用データの集合を使用する。

　（４）式のうち、Ｌ１正則化部分λ｜｜θ｜｜_１は、目的関数にペナルティを加えており、有意に寄与しない特徴情報を識別して削減する効果がある。

　このような特徴量の削減は必要以上に学習データに合わせてしまうオーバーフィッティングの防止に寄与するだけでなく、メモリ使用量の削減や、ＳＯＣアナリストに提示する結果をより簡潔で解釈しやすいものにする効果がある。

　予測部２４は、学習部２３による学習が行われたモデルを用いて、ＩＯＣの特徴情報からラベルを予測する。

　予測部２４は、学習部２３によって学習が行われたモデルを利用して、新たにリアルタイムで発生したアラートに含まれるＩＯＣと対応する特徴情報を入力し、どのＩＯＣが将来的に分析者の稼働を多く消費することになるのかを予測する。

　例えば、予測部２４は、モデル情報２５を基に構築したロジスティック回帰モデルを使って予測を行う。

　例えば、予測部２４は、分析者が対象のＩＯＣをＰ日以内にＫ回以上手動で分析する確率を予測することである（ただし、Ｐは整数）。

　予測部２４は、学習部２３によって決定されたパラメータθを用いて、ＩＯＣに対応する特徴情報のベクトルｘが「優先」である確率ｐ求め、予測するラベル＾ｙ（ｙの直上に＾）を（５）式で定義する。

　決定装置２０は、予測部２４によって予測されたラベルを基に、ＳＯＣの分析者による繰り返しの調査につながると考えられるＩＯＣ、すなわち「優先」ラベルが予測されたＩＯＣを、確率ｐが高い順に出力し、分析者に提示する。

　このとき、分析者は、決定装置２０によって提示された情報を利用して、調査対象の優先順位付けを行い、効率的にトリアージや詳細分析を行うことができる。

　ＳＯＣの分析者は、ＩＯＣに対してどのようなアクションを取るべきかを可能な限り決定し記録することが求められる。

　本実施形態によれば、分析者は優先度が高いＩＯＣを調査し、その結果を分析エンジン１０に反映させることができる。それによって、分析エンジン１０は同じＩＯＣを含むアラートを自動処理できるようになるため、分析者が毎回当該ＩＯＣを手動で調査することを回避し、ＳＯＣ全体としての稼働量の削減を図ることができる。

　例えば、分析者は優先度が高いと決定されたＩＯＣを調査し、その結果を基に分析エンジン１０に当該ＩＯＣを自動分析させるようにする。これにより、当該ＩＯＣは他の分析者に受け渡されることがなくなるため、稼働量が削減される。

　なお、決定装置２０は、学習処理をオフラインで定期的（例えば１日に１回）に再実行し、モデル情報２５を更新する。決定装置２０は、図５に示すように、Ｆ＋Ｌ日間のデータを利用して学習処理を行う。

　一方、決定装置２０が、顧客組織からのアラートに含まれるＩＯＣをリアルタイムに処理する際、すなわち予測処理を行う際には、当該ＩＯＣに対して、過去Ｆ日間分のデータを利用して特徴情報を抽出する。

　そして、決定装置２０は、抽出した特徴情報から、未来のＰ日間に分析者によるＫ回以上の手動調査が実施される確率ｐを計算する。

　決定装置２０は、上記の予測処理をリアルタイムに受信するＩＯＣごとに繰り返す。その結果、分析者が優先的に調査するべきＩＯＣのリストが、図３のようにＩＯＣチェッカー４０の画面に表示され継続的に更新される。

［第１の実施形態の処理］
　図６は、学習処理の流れを示すフローチャートである。図６に示すように、まず、決定装置２０は、過去のアラートの入力を受け付ける（ステップＳ１０１）。

　次に、決定装置２０は、入力されたアラートに含まれるＩＯＣから特徴情報を抽出する（ステップＳ１０２）。続いて、決定装置２０は、各ＩＯＣに対する分析者の稼働量に基づいて優先度に関する正解ラベルを付与する（ステップＳ１０３）。

　そして、決定装置２０は、正解ラベルを用いて、特徴情報から優先度に関するラベルを出力するモデルを学習する（ステップＳ１０４）。

　図７は、ラベルを付与する処理の流れを示すフローチャートである。図７の処理は、図６のステップＳ１０３に相当する。

　まず、図７に示すように、決定装置２０は、ｋに現在からＬ日前までの調査回数を代入する（ステップＳ１０３ａ）。

　ここで、ｋが定数Ｋ以上であれば（ステップＳ１０３ｂ、Ｙｅｓ）、決定装置２０は正解ラベル「優先」を付与する（ステップＳ１０３ｃ）。

　一方、ｋが定数Ｋ未満であれば（ステップＳ１０３ｂ、Ｎｏ）、決定装置２０は正解ラベル「非優先」を付与する（ステップＳ１０３ｄ）。

　図８は、予測処理の流れを示すフローチャートである。図８に示すように、まず、決定装置２０は、直近のアラートの入力を受け付ける（ステップＳ２０１）。

　次に、決定装置２０は、入力されたアラートに含まれるＩＯＣから特徴情報を抽出する（ステップＳ２０２）。続いて、決定装置２０は、各ＩＯＣに対する分析者の稼働量に基づいて正解ラベルを抽出する（ステップＳ２０３）。

　そして、決定装置２０は、特徴情報を学習済みのモデルに入力して、優先度に関するラベルを予測する（ステップＳ２０４）。

　決定装置２０は、予測したラベルに基づき優先度の高いＩＯＣをＳＯＣの分析者に通知することができる。

［第１の実施形態の効果］
　これまで説明してきたように、特徴情報抽出部２１は、サイバーセキュリティに関する情報に含まれるＩＯＣから特徴情報を抽出する。ラベル付与部２２は、ＩＯＣのそれぞれについて、関連するアラートの対応に要した稼働量の実績に応じたラベルを付与する。学習部２３は、特徴情報抽出部２１によって抽出された特徴情報及びラベル付与部２２によって付与されたラベルを組み合わせた学習データを用いて、ＩＯＣの特徴情報からラベルを出力するモデルの学習を行う。

　これにより、決定装置２０によって学習が行われたモデルを用いることで、優先度の高いＩＯＣを分析者に通知し、ＳＯＣ全体の稼働量を減らすことができる。

　これにより、決定装置２０は、学習済みのモデルを用いて、手動調査の回数に基づく優先度を予測し分析者に知らせることができる。

　ラベル付与部２２は、ＩＯＣのうち、関連するアラートに対して一定期間内に発生した手動調査に要した時間が所定値以上であるＩＯＣについて、優先度が高いことを示すラベルを付与し、時間が所定値未満であるＩＯＣについて、優先度が高くないことを示すラベルを付与する。

　これにより、決定装置２０は、学習済みのモデルを用いて、手動調査の時間に基づく優先度を予測し分析者に知らせることができる。

　予測部２４は、学習部２３による学習が行われたモデルを用いて、ＩＯＣの特徴情報からラベルを予測する。また、予測部２４は、優先度が高いことを示すラベルが予測されたＩＯＣに関する情報を分析者に通知する。

　これにより、決定装置２０は、優先度の高いＩＯＣを分析者に通知し、ＳＯＣ全体の稼働量を減らすことができる。

［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ（Central　Processing　Unit）及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。なお、プログラムは、ＣＰＵだけでなく、ＧＰＵ等の他のプロセッサによって実行されてもよい。

　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
　一実施形態として、決定装置２０は、パッケージソフトウェアやオンラインソフトウェアとして上記の決定処理を実行する決定プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の決定プログラムを情報処理装置に実行させることにより、情報処理装置を決定装置２０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。

　また、決定装置２０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の決定処理に関するサービスを提供する決定サーバ装置として実装することもできる。例えば、決定サーバ装置は、セキュリティに関するアラートを入力とし、優先度の高いＩＯＣを出力とする決定サービスを提供するサーバ装置として実装される。この場合、決定サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の決定処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。

　図９は、決定プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ（Random　Access　Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

　ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、決定装置２０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、決定装置２０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid　State　Drive）により代替されてもよい。

　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。

　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

　１　セキュリティシステム
　１０　分析エンジン
　２０　決定装置
　２１　特徴情報抽出部
　２２　ラベル付与部
　２３　学習部
　２４　予測部
　２５　モデル情報
　３０　アラートモニタ
　４０　ＩＯＣチェッカー

Claims

　決定装置によって実行される決定方法であって、
　サイバーセキュリティに関する情報に含まれるＩＯＣ（Indicator　of　Compromise）から特徴情報を抽出する特徴情報抽出工程と、
　前記ＩＯＣのそれぞれについて、関連するアラートの対応に要した稼働量の実績に応じたラベルを付与するラベル付与工程と、
　前記特徴情報抽出工程によって抽出された特徴情報及び前記ラベル付与工程によって付与されたラベルを組み合わせた学習データを用いて、ＩＯＣの特徴情報からラベルを出力するモデルの学習を行う学習工程と、
　を含むことを特徴とする決定方法。
　前記ラベル付与工程は、前記ＩＯＣのうち、関連するアラートに対して一定期間内に発生した手動調査の回数が所定値以上であるＩＯＣについて、優先度が高いことを示すラベルを付与し、前記手動調査の回数が前記所定値未満であるＩＯＣについて、優先度が高くないことを示すラベルを付与することを特徴とする請求項１に記載の決定方法。
　前記ラベル付与工程は、前記ＩＯＣのうち、関連するアラートに対して一定期間内に発生した手動調査に要した時間が所定値以上であるＩＯＣについて、優先度が高いことを示すラベルを付与し、前記時間が前記所定値未満であるＩＯＣについて、優先度が高くないことを示すラベルを付与することを特徴とする請求項１に記載の決定方法。
　前記学習工程による学習が行われたモデルを用いて、ＩＯＣの特徴情報からラベルを予測する予測工程をさらに含むことを特徴とする請求項１から３のいずれか１項に記載の決定方法。
　前記予測工程において、優先度が高いことを示すラベルが予測されたＩＯＣに関する情報を通知する通知工程をさらに含むことを特徴とする請求項４に記載の決定方法。
　サイバーセキュリティに関する情報に含まれるＩＯＣ（Indicator　of　Compromise）から特徴情報を抽出する特徴情報抽出部と、
　前記ＩＯＣのそれぞれについて、関連するアラートの対応に要した稼働量の実績に応じたラベルを付与するラベル付与部と、
　前記特徴情報抽出部によって抽出された特徴情報及び前記ラベル付与部によって付与されたラベルを組み合わせた学習データを用いて、ＩＯＣの特徴情報からラベルを出力するモデルの学習を行う学習部と、
　を有することを特徴とする決定装置。
　コンピュータに、
　サイバーセキュリティに関する情報に含まれるＩＯＣ（Indicator　of　Compromise）から特徴情報を抽出する特徴情報抽出手順と、
　前記ＩＯＣのそれぞれについて、関連するアラートの対応に要した稼働量の実績に応じたラベルを付与するラベル付与手順と、
　前記特徴情報抽出手順によって抽出された特徴情報及び前記ラベル付与手順によって付与されたラベルを組み合わせた学習データを用いて、ＩＯＣの特徴情報からラベルを出力するモデルの学習を行う学習手順と、
　を実行させることを特徴とする決定プログラム。