WO2022264650A1 - サイバーセキュリティ管理装置、サイバーセキュリティ管理方法及びサイバーセキュリティ管理システム - Google Patents

サイバーセキュリティ管理装置、サイバーセキュリティ管理方法及びサイバーセキュリティ管理システム Download PDF

Info

Publication number
WO2022264650A1
WO2022264650A1 PCT/JP2022/016507 JP2022016507W WO2022264650A1 WO 2022264650 A1 WO2022264650 A1 WO 2022264650A1 JP 2022016507 W JP2022016507 W JP 2022016507W WO 2022264650 A1 WO2022264650 A1 WO 2022264650A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
cyber
parameter
information
priority
Prior art date
Application number
PCT/JP2022/016507
Other languages
English (en)
French (fr)
Inventor
サルベッシュ スディル ヒーレ
洋子 熊谷
宏樹 内山
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Publication of WO2022264650A1 publication Critical patent/WO2022264650A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures

Definitions

  • This disclosure relates to a cybersecurity management device, a cybersecurity management method, and a cybersecurity management system.
  • a method of operating an advice system to recommend actions in a computing environment includes identifying security incidents in the computing environment, identifying asset criticality, and one or Obtaining enrichment information about the security incident from multiple internal or external sources, the method also includes identifying a severity of the security incident based on the enrichment information, one or more Determining a plurality of security actions is provided, and the method identifies an effect of the one or more security actions on operation of the computing environment based on the importance and severity; identifying a subset of one or more security actions for responding to a security incident.' technology is described.
  • Patent Document 1 describes means for determining security actions for responding to cyberattacks according to the importance of assets targeted by cyberattacks and the degree of severity based on the type of cyberattack.
  • security actions for responding to cyberattacks are static information that does not change over time, such as the importance of assets targeted for attack and the types of cyberattacks (hereafter referred to as "non- It is difficult to take countermeasures against cyberattacks based on the situation of cyberattacks evolving in real time. As a result, the execution of measures to suppress cyberattacks may be delayed, and the damage caused by cyberattacks may increase.
  • the present disclosure minimizes the damage of cyberattacks by determining the priority of cyberattacks using not only non-time-dependent parameters but also time-dependent parameters that indicate the real-time progress of cyberattacks.
  • the purpose is to provide a cyber security management tool that facilitates real-time judgment of the optimal countermeasures for
  • one of the typical cybersecurity management devices of the present disclosure includes an information acquisition unit that acquires attack evaluation information for evaluating cyberattacks against attack targets that are targets of cyberattacks.
  • a parameter determination unit that determines a time-dependent parameter and a non-time-dependent parameter as evaluation criteria for evaluating the cyber attack based on the attack evaluation information; and the time-dependent parameter and , and a priority calculator that calculates a priority for the cyber attack based on the non-time dependent parameters.
  • non-time-dependent parameters but also time-dependent parameters that indicate the real-time progress of cyber-attacks are used to determine the priority of cyber-attacks, thereby minimizing the damage caused by cyber-attacks. It is possible to provide a cyber security management tool that facilitates real-time determination of the optimal countermeasures for Problems, configurations, and effects other than the above will be clarified by the description in the following modes for carrying out the invention.
  • FIG. 1 is a diagram illustrating a computer system for implementing embodiments of the present disclosure.
  • FIG. 2 is a diagram illustrating an example configuration of a cybersecurity management system according to an embodiment of the present disclosure.
  • FIG. 3 is a flow chart illustrating data flow in a cybersecurity management system according to an embodiment of the present disclosure.
  • FIG. 4 is a diagram illustrating an example data configuration of an attack technique table according to the embodiment of the present disclosure.
  • FIG. 5 is a diagram illustrating an example of calculation of time intervals between security events in cyberattacks.
  • FIG. 6 is a diagram illustrating an example data configuration of an attack speed table according to the embodiment of the present disclosure.
  • FIG. 7 is a diagram showing a specific example of an attack speed table according to the embodiment of the present disclosure.
  • FIG. 1 is a diagram illustrating a computer system for implementing embodiments of the present disclosure.
  • FIG. 2 is a diagram illustrating an example configuration of a cybersecurity management system according to an embodiment of the present disclosure.
  • FIG. 3 is
  • FIG. 8 is a diagram illustrating an example data configuration of an asset information table according to the embodiment of the present disclosure.
  • FIG. 9 is a diagram illustrating an example data configuration of a priority evaluation table according to the embodiment of the present disclosure.
  • FIG. 10 is a flowchart showing the flow of priority determination processing according to the embodiment of the present disclosure.
  • FIG. 11 is a diagram showing an asset importance confirmation screen for confirming asset importance according to the embodiment of the present disclosure.
  • FIG. 12 is a diagram showing an attack progress confirmation screen for confirming the degree of progress of a cyber attack according to the embodiment of the present disclosure.
  • FIG. 13 is a diagram showing an attack speed confirmation screen for confirming the speed of cyberattacks according to the embodiment of the present disclosure.
  • FIG. 14 is a diagram showing a priority confirmation screen for confirming the priority of cyberattacks according to the embodiment of the present disclosure.
  • the cyberattack means extracting data, falsifying data, destroying a system, etc., and may include indiscriminate attacks and targeted attacks aimed at specific assets.
  • the present disclosure determines the priority of cyberattacks using not only non-time-dependent parameters but also time-dependent parameters that indicate the real-time progression of cyberattacks.
  • time-dependent parameters such as an asset importance parameter that indicates the importance of the attack target
  • an attack progression parameter that indicates the degree of progress of a cyber attack
  • a time-dependent parameter such as a security event velocity parameter that indicates velocity, may be used to determine cyber-attack priority. This priority determination may be made in real-time, for example, before the cyberattack ends. This makes it possible to determine in real time the optimal measures to minimize damage from cyberattacks.
  • the mechanisms and apparatus of various embodiments disclosed herein may be applied to any suitable computing system.
  • the major components of computer system 100 include one or more processors 102 , memory 104 , terminal interfaces 112 , storage interfaces 113 , I/O (input/output) device interfaces 114 , and network interfaces 115 . These components may be interconnected via memory bus 106 , I/O bus 108 , bus interface unit 109 and I/O bus interface unit 110 .
  • Computer system 100 may include one or more general-purpose programmable central processing units (CPUs) 102A and 102B, collectively referred to as processors 102. In some embodiments, computer system 100 may include multiple processors, and in other embodiments, computer system 100 may be a single CPU system. Each processor 102 executes instructions stored in memory 104 and may include an on-board cache.
  • CPUs general-purpose programmable central processing units
  • memory 104 may include random access semiconductor memory, storage devices, or storage media (either volatile or non-volatile) for storing data and programs. Memory 104 may store all or part of the programs, modules, and data structures that implement the functions described herein. For example, memory 104 may store cybersecurity management application 150 . In some embodiments, cybersecurity management application 150 may include instructions or descriptions that perform the functions described below on processor 102 .
  • cybersecurity management application 150 may be implemented in semiconductor devices, chips, logic gates, circuits, circuit cards, and/or other physical hardware instead of or in addition to processor-based systems. It may be implemented in hardware via a device. In some embodiments, cybersecurity management application 150 may include data other than instructions or descriptions. In some embodiments, a camera, sensor, or other data input device (not shown) may be provided in direct communication with bus interface unit 109, processor 102, or other hardware of computer system 100. .
  • Computer system 100 may include bus interface unit 109 that provides communication between processor 102 , memory 104 , display system 124 , and I/O bus interface unit 110 .
  • I/O bus interface unit 110 may be coupled to I/O bus 108 for transferring data to and from various I/O units.
  • I/O bus interface unit 110 connects via I/O bus 108 a plurality of I/O interface units 112, 113, 114, also known as I/O processors (IOPs) or I/O adapters (IOAs); and 115.
  • IOPs I/O processors
  • IOAs I/O adapters
  • the display system 124 may include a display controller, display memory, or both.
  • the display controller can provide video, audio, or both data to display device 126 .
  • Computer system 100 may also include devices such as one or more sensors configured to collect data and provide such data to processor 102 .
  • the computer system 100 may include a biometric sensor that collects heart rate data, stress level data, etc., an environmental sensor that collects humidity data, temperature data, pressure data, etc., and a motion sensor that collects acceleration data, motion data, etc. may include Other types of sensors can also be used.
  • the display system 124 may be connected to a display device 126 such as a single display screen, television, tablet, or handheld device.
  • the I/O interface unit has the function of communicating with various storage or I/O devices.
  • the terminal interface unit 112 may be a user output device such as a video display, speaker television, or user input device such as a keyboard, mouse, keypad, touchpad, trackball, button, light pen, or other pointing device.
  • user I/O devices 116 can be attached.
  • the user interface uses the user interface, the user inputs input data and instructions to the user I/O device 116 and the computer system 100 by manipulating the user input devices, and receives output data from the computer system 100. good too.
  • the user interface may be displayed on a display device, played by speakers, or printed via a printer, for example, via user I/O device 116 .
  • Storage interface 113 connects to one or more disk drives or direct access storage devices 117 (typically magnetic disk drive storage devices, but arrays of disk drives or other storage devices configured to appear as a single disk drive). ) can be attached.
  • storage device 117 may be implemented as any secondary storage device.
  • the contents of memory 104 may be stored in storage device 117 and read from storage device 117 as needed.
  • I/O device interface 114 may provide an interface to other I/O devices such as printers, fax machines, and the like.
  • Network interface 115 may provide a communication pathway to allow computer system 100 and other devices to communicate with each other. This communication path may be, for example, network 130 .
  • computer system 100 is a device that receives requests from other computer systems (clients) that do not have a direct user interface, such as multi-user mainframe computer systems, single-user systems, or server computers. There may be. In other embodiments, computer system 100 may be a desktop computer, handheld computer, laptop, tablet computer, pocket computer, phone, smart phone, or any other suitable electronic device.
  • FIG. 2 is a diagram showing an example of the configuration of the cybersecurity management system 200 according to the embodiment of the present disclosure.
  • cybersecurity management system 200 includes security agency 210, client environment 220 including a plurality of client devices 221-223, communication network 230, and cybersecurity management device 250.
  • security authority 210 client environment 220 and cybersecurity manager 250 are interconnected via communications network 230 .
  • the communication network 230 here may include, for example, the Internet, LAN (Local Area Network), MAN (Metropolitan Area Network), WAN (Wide Area Network), and the like.
  • Security agency 210 is a third-party organization whose purpose is to promote cybersecurity.
  • Security agency 210 may be a governmental or private organization that develops strategies to combat cyber-attacks and provides various information and tools to identify and mitigate cyber-attacks.
  • the security agency 210 may create and provide attack technique information for identifying attack techniques of cyberattacks.
  • security authority 210 may include server device 212 .
  • Server device 212 is a device for communicating information between security agency 210 , client environment 220 , and cybersecurity management device 250 via communication network 230 .
  • the security agency 210 may transmit attack technique information for specifying the attack technique of a cyber attack to the cyber security management device 250 via the communication network 230 .
  • Client environment 220 is a private network containing computing assets that are targeted by cyberattacks.
  • attack target means any device, network, or data subject to a cyberattack.
  • client environment 220 includes a plurality of client devices 221-223 as computing assets. These client devices 221-223 are computing devices included in the private network of the client environment 220, and may include any computing device such as servers, personal computers, storage units, smart phones, and the like. Also, in the present disclosure, an example will be described in which some or all of the client devices 221 to 223 included in the client environment 220 are targeted for cyberattacks. For convenience of explanation, the client environment 220 including three client devices is shown as an example, but the present disclosure is not limited to this, and the number of client devices and the network configuration of the client environment 220 are arbitrary.
  • the cybersecurity management device 250 is a device for determining the priority of cyberattacks (for example, cyberattacks against the client environment 220). As shown in FIG. 2, the cybersecurity management device 250 includes an information acquisition unit 252, a parameter determination unit 254, a priority determination unit 256, and a storage unit 258.
  • the information acquisition unit 252 is a functional unit that acquires attack evaluation information for evaluating cyberattacks against attack targets in the client environment 220 .
  • the information acquisition unit 252 acquires data log information indicating security events related to attack targets, attack method information for identifying attack methods of cyber attacks, attack target information related to attack targets, and network structures including attack targets. You may acquire the network structure information shown as attack evaluation information. As described below, this information may be obtained, for example, from the security agency 210 or from the attacked client environment 220 .
  • the parameter determination unit 254 determines time-dependent parameters and non-time-dependent parameters as evaluation criteria for evaluating cyberattacks. It is a functional part that Here, a time-dependent parameter means information that changes with time during the period in which a cyberattack is being carried out. On the other hand, time-independent parameters refer to information that does not change with time during the period in which the cyberattack is being carried out.
  • the parameter determination unit 254 may determine an asset importance level parameter indicating the importance level of an attack target as a non-time-dependent parameter.
  • the importance of an attack target according to embodiments of the present disclosure is determined according to the rank of the attack target in the network structure and does not change during an attack, so it is one of the time-independent parameters.
  • the parameter determination unit 254 may determine a progress parameter indicating the degree of progress of a cyber attack or a speed parameter indicating the progress speed of a cyber attack as time-dependent parameters.
  • the degree and speed of cyber-attack progress are time-dependent parameters, as they can fluctuate in real-time during an attack.
  • the asset importance parameter indicating the importance of the attack target is a non-time-dependent parameter
  • the progress parameter indicating the degree of progress of the cyber attack and the speed parameter indicating the progress speed of the cyber attack are time-dependent.
  • the priority determination unit 256 is a functional unit that calculates the priority regarding cyberattacks based on the time-dependent parameters determined by the parameter determination unit 254 and the non-time-dependent parameters. This priority is an indicator of the relative importance of cyberattacks. This priority may be expressed as one of three levels such as “high”, “medium”, and “low”, for example, and expressed as a value selected from a numerical range such as "0 to 10". You may In the present disclosure, for convenience of explanation, a case where the priority is expressed in three levels such as "high”, “middle”, and "low” will be described as an example.
  • the priority determination unit 256 uses the time-dependent parameters determined by the parameter determination unit 254, non-time-dependent parameters, and a priority evaluation table 260 described later to determine a cyber attack. For example, the priority determination unit 256 can determine the priority regarding cyberattacks by comparing the speed parameter, progress parameter, and asset importance parameter to the priority evaluation table 260 .
  • the storage unit 258 is a storage unit for storing various information used by the cybersecurity management device 250 .
  • the storage unit 258 may be any storage medium such as flash memory, hard disk drive, or the like.
  • the storage unit 258 stores a priority evaluation table 260.
  • FIG. This priority evaluation table 260 is a table that associates each non-time-dependent parameter and time-dependent parameter with a predetermined priority, and is used to determine the priority of a particular cyberattack.
  • the priority evaluation table 260 may be created in advance and stored in the storage unit 258, for example.
  • the functional units of the cybersecurity management device 250 described above may be implemented as independent hardware, or may be implemented as software modules in the cybersecurity management application 150 shown in FIG. 1, for example.
  • the priority of cyberattacks is determined using not only non-time-dependent parameters but also time-dependent parameters that indicate the real-time progress of cyberattacks. Real-time determination of the optimal countermeasures for minimizing damage can be facilitated.
  • FIG. 3 is a flow chart illustrating data flow 300 in cybersecurity management system 200 in accordance with an embodiment of the present disclosure.
  • information is communicated between client environment 220 , cybersecurity management device 250 and security agency 210 .
  • the data flow 300 shown in FIG. 3 may occur during a cyberattack. This allows the priority to be determined dynamically as the cyberattack progresses in real time.
  • the client environment 220 transmits attack target information, network structure information, and data log information to the cybersecurity management device 250 .
  • the attack target information, network structure information, and data log information here may be sent from any of the client devices 221 , 222 , and 223 in the client environment 220 .
  • client environment 220 may send attack surface information, network structure information, and data log information to cybersecurity manager 250 upon detection of a cyberattack.
  • cybersecurity manager 250 may also request network configuration information and datalog information from client environment 220 .
  • Attack target information is information that designates computing assets such as devices, networks, or data that are affected by cyberattacks as attack targets in the client environment 220 .
  • this attack target information may designate some or all of the client devices 221, 222, and 223 as attack targets.
  • the network structure information is information that indicates the network configuration of the client environment 220.
  • this network structure information is information indicating each node (for example, computing devices such as client devices 221, 222, and 223) on the network of the client environment 220 and connection routes between the nodes (so-called network topology). good too.
  • This network structure information may also include information indicating the role of each node on the network of client environment 220 .
  • this network structure information indicates that the role of sensor devices in the network of client environment 220 is "raw data collection,” “raw data preprocessing,” “data aggregation,” or “data analysis.” can be shown.
  • Data log information is information indicating security events related to targets of cyberattacks.
  • data log information may include the detection time of each security event, the computing assets affected, the type, severity, and the like.
  • a security event here is a process for achieving the purpose of a cyberattack, such as network intrusion, data collection, and system modification.
  • one cyber-attack consists of one or more security events. For example, if the cyber attack is a DDoS attack, each data sent to cause server overload is detected as a different "security event" and recorded in the data log information.
  • step S ⁇ b>304 the security agency 210 transmits attack technique information to the cybersecurity management device 250 .
  • the attack method information here may be transmitted from the server device 212 of the security organization 210 .
  • security agency 210 may send attack technique information to cybersecurity manager 250 in response to a request from cybersecurity manager 250 .
  • the attack method information here is information for identifying the attack methods of cyber attacks. More specifically, this attack technique information indicates an attack technique that an attacker may use at each stage of a particular type of cyber-attack. As an example, this attack method information includes "Active Scanning, Gather Victim Host Information, Gather Victim Identity, Gather Victim Identity, Gather Victim Identity, Gather Victim Identity, Gather Victim Identity, Gather Victim "Network Information" may be indicated. By using this attack method information and attack target data log information, a cyber attack method can be specified.
  • step S306 the information acquisition unit of the cybersecurity management device 250 receives the attack target information, network structure information, and data log information transmitted from the client environment 220, and also receives the attack technique transmitted from the security organization 210. receive information;
  • the cybersecurity management device 250 spontaneously transmits various types of information. may be obtained.
  • the parameter determination unit of the cybersecurity management device 250 creates each table used when determining the priority of cyberattacks based on the various information received in step S306.
  • the cyber security parameter determination unit includes an attack method table (see FIG. 4), an attack speed table (see FIG. 6), an asset information table (see FIG. 8), and a priority evaluation table (see FIG. 9). may be created. The details of each table created here will be described later.
  • the parameter determination unit of the cybersecurity management device 250 uses time-dependent parameters and time-dependent Determine non-time-dependent parameters that do not
  • the cybersecurity parameter determination unit may determine an asset importance parameter indicating the importance of an attack target as a non-time-dependent parameter based on an asset information table. Further, the cybersecurity parameter determination unit may create a progress parameter indicating the degree of progress of the cyberattack as a time-dependent parameter based on the attack technique table. Further, the cybersecurity parameter determination unit may create a speed parameter indicating the progress speed of the cyberattack as a time-dependent parameter based on the attack speed table.
  • step S312 the priority determination unit of the cybersecurity management device 250 calculates the priority of cyberattacks based on the time-dependent parameters and non-time-dependent parameters determined in step S310. More specifically, the cybersecurity manager 250 may calculate the priority of cyberattacks by comparing the velocity parameter, the progress parameter, and the asset importance parameter to a priority rating table.
  • step S314 the priority determination unit of the cybersecurity management device 250 transmits priority information indicating the priority of the cyber attack calculated in step S312 to the client environment 220.
  • This priority information may be sent in real-time, for example before the cyber-attack is finished. This makes it possible to determine and implement optimal cyberattack countermeasures as cyberattacks progress in real time.
  • step S316 when the information acquisition unit of the cybersecurity management device 250 receives additional information (for example, the latest data log information, updated attack target information, network structure information, or attack method information), this process returns to step S306 and additional information is processed in steps S308-S312.
  • additional information for example, the latest data log information, updated attack target information, network structure information, or attack method information
  • the cybersecurity management device 250 can acquire various types of information for determining the priority of cyberattacks. This allows the priority to be determined dynamically as the cyberattack progresses in real time.
  • a progression parameter that indicates the degree of progress of a cyberattack (that is, how far the cyberattack has progressed at the present time) Use
  • This progression parameter is determined based on the attack techniques used in security events in cyberattacks.
  • this attack method is identified based on the attack method table 400 created based on the attack method information obtained from the security agency and the data log information obtained from the client environment.
  • the attack methods used in the most recent security events should be identified. By doing so, it is possible to estimate the degree of progress of the cyberattack at the present time.
  • FIG. 4 is a diagram illustrating an example of an attack technique table 400 according to an embodiment of the present disclosure.
  • this attack technique table 400 is created based on the attack technique information obtained from the security agency.
  • the attack technique table 400 stores information on progression parameters 410 , attack technique objectives 412 , and attack technique 414 .
  • Each attack technique 414 is classified according to purpose. For example, "Reconnaissance” and "Defense Evasion" are classified into the same category because they are attack techniques for the purpose of network intrusion.
  • FIG. 4 shows an example of the attack method table 400, the present disclosure is not limited to this, and the configuration of the attack method table 400 (purpose of attack method, information on attack method, etc.) may be changed as appropriate. may be
  • the purpose of security events in cyberattacks changes in the order of network intrusion, data collection, and system modification. Therefore, since the attack technique whose purpose is network intrusion is carried out at the beginning of the cyberattack, that is, when the degree of progress of the cyberattack is low, it is associated with the progress parameter of "low". In addition, since the attack method whose objective is data collection is carried out in the middle stage of the cyberattack, that is, when the cyberattack is progressing moderately, it is associated with the progress parameter of "medium”. In addition, the attack method whose purpose is to change the system is carried out at the end of the cyber attack, that is, when the cyber attack is progressing to a high degree, so it is associated with the progress parameter of "high".
  • the parameter determination unit of the cybersecurity management device uses the data log information acquired from the client environment and the attack method table 400 shown in FIG. 4 to identify the attack method of a specific security event in the cyber attack, Progression parameters associated with the technique can be determined. More specifically, the parameter determination unit identifies an attack method of a specific security event in data log information obtained from the client environment.
  • the specific security event here can be any security event that has been detected, but in order to determine the current degree of progress of a cyberattack, the most recent security event should be used.
  • existing means may be used to identify the attack technique of the security event, and the present disclosure is not particularly limited.
  • the parameter determination unit refers to the attack technique table 400 to determine progression parameters associated with the identified attack technique. As an example, if the attack method of the security event is "Exfiltration", the parameter determination unit determines the progress parameter as "high” because the purpose of the cyber attack has progressed to the stage of system change, so the degree of progress is high. do.
  • the degree of progress of the cyber attack at the present time can be estimated. Determining progression parameters can be determined. By using this progress parameter, it becomes possible to determine the priority of cyberattacks by taking into account the current progress of cyberattacks, facilitating real-time determination of the optimal countermeasures for minimizing damage caused by cyberattacks.
  • a speed parameter indicating the progress speed of cyberattacks is used as one of the time-dependent parameters for determining the priority of cyberattacks. This velocity parameter is determined based on the time interval between each security event detected in a cyberattack.
  • the parameter determination unit calculates the time interval between security events based on the detection time of each security event recorded in the data log information obtained from the client environment.
  • the parameter determination unit may calculate the time intervals between all security events recorded in the data log information, or may calculate the time intervals between security events within a specific period.
  • the parameter determination unit calculates the weighted average of the time intervals between security events in cyberattacks. By comparing the weighted average of the time intervals between security events calculated in this way to a pre-created attack speed table, a speed parameter indicating the progress speed of a cyber-attack can be determined.
  • FIG. 5 is a diagram showing an example of calculation of the time intervals between security events in cyberattacks.
  • FIG. 5 shows a timeline 500 of chronological security events in a particular cyber-attack. As shown in FIG. 5, this timeline 500 shows five security events: event 0, event 1, event 2, event 3, event 4 and event 5.
  • FIG. 5 As mentioned above, these security events are steps to achieve the objectives of a cyberattack (network intrusion, data collection, system modification, etc.). Each security event is performed by the same or different attack techniques.
  • the parameter determination unit defines an analysis target period ATW that includes the target security event.
  • This analysis target period ATW may be defined as appropriate based on, for example, the time when a cyberattack is detected. For example, as shown in FIG. 5, the analysis target period ATW may be defined as a period including event 1 to event 5, excluding event 0. FIG.
  • the parameter determination unit calculates the time interval (Time Between Incidents; TBI) of each security event in the analysis target period ATW. For example, the parameter determination unit determines the time interval TBI 12 between event 1 and event 2, the time interval TBI 23 between event 2 and event 3, the time interval TBI 34 between event 3 and event 4, and the time interval TBI between event 4 and event 5. 45 may be calculated.
  • TBI Time Between Incidents
  • the parameter determination unit calculates the weighted mean WMTBI (Weighted Mean Time Between Incidents) of the time intervals between security events in cyberattacks using Equation 1 below.
  • WMTBI Weighted Mean Time Between Incidents
  • weight w used to calculate the weighted average WMTBI of the time intervals between security events in cyberattacks may be determined by a so-called MCDM (Multiple-criteria decision analysis) algorithm, and is not particularly limited in the present disclosure.
  • MCDM Multiple-criteria decision analysis
  • FIG. 6 is a diagram showing an example of an attack speed table 600 according to the embodiment of the present disclosure.
  • Attack velocity table 600 is a table for determining the velocity parameter of a cyberattack based on the weighted average WMTBI of the time intervals between security events in the cyberattack.
  • attack velocity table 600 three different ranges are defined by minimum and maximum values for the weighted average WMTBI of the time interval between security events in a cyberattack. Also, each range is associated with a different velocity parameter. More specifically, the range from “0" to "ATW/3-MTBI” is associated with the “high” speed parameter. Also, the range from “ATW/3-MTBI” to “ATW/3+MTBI” is associated with the “medium” speed parameter. Also, the range from "ATW/3+MTBI” to “ATW” is associated with the "low” speed parameter.
  • a speed parameter of "high” means that the speed of cyberattacks is relatively fast, and a speed parameter of "low” means that it is relatively aggressive.
  • ATW is the above-described analysis target period
  • MTBI Mel Time Between Incidents
  • This MTBI is obtained by setting the weight w to 1 in Equation 1, for example.
  • the A speed parameter of the attack can be determined.
  • FIG. 7 is a diagram showing a specific example of an attack speed table 700 according to an embodiment of the present disclosure.
  • attack velocity table 700 three different ranges are defined by minimum and maximum values for the weighted average WMTBI of the time interval between each security event in a cyberattack. More specifically, the range of "0" to "24 hours” is associated with the "high” speed parameter. The range of “24 hours” to “48 hours” is associated with the “medium” speed parameter. The range of "48 hours” to “72 hours” is associated with the "low” speed parameter.
  • the speed parameter of the cyber attack is determined to be 'high'.
  • the speed parameter of the cyberattack is determined as 'medium'. If the value of WMTBI is within the range of '48' to '72 hours', the speed parameter of the cyberattack is determined to be 'low'.
  • the time interval between security events is calculated based on the detection time of each security event recorded in the data log information obtained from the client environment, and the calculated time interval between security events is used in the attack speed table.
  • a speed parameter that indicates the progress speed of the cyberattack.
  • this speed parameter it becomes possible to determine the priority taking into consideration the speed at which cyberattacks are progressing, facilitating real-time determination of the optimal countermeasures for minimizing the damage of cyberattacks.
  • an asset importance parameter indicating the importance of the attack target is used as one of the non-time-dependent parameters for determining the priority of cyberattacks.
  • This asset importance parameter is determined based on the asset information table 800 created from the network structure information obtained from the client environment.
  • FIG. 8 is a diagram illustrating an example of an asset information table 800 according to an embodiment of the present disclosure.
  • the asset information table 800 is created based on the network structure information acquired from the client environment, and as shown in FIG. , asset name 802 indicating the name of the computing asset, asset ID 804 indicating the identifier of the computing asset, IP address 806 indicating the IP address of the computing asset, MAC address 808 indicating the MAC address of the computing asset, It may also include gateway 810, which indicates a gateway address, and network class 812, which indicates a network class of the computing asset.
  • This network class 812 is information indicating the logical position of a particular computing asset in the network, and is determined based on the role of the computing asset, for example.
  • the network tier of computing assets may be divided into five levels as follows.
  • Level 0 Devices with physical interfaces such as sensors, relays, connectors, etc.
  • Level 1 Devices for controlling Level 1 devices such as RTU (Remote Terminal Unit), PLC (Programmable Logic Controller), etc.
  • Level 2 Devices for controlling level 2 devices, such as HMI (Human Machine Interface), Supervisory Control Unit, Communication Processor, Real Time Database, etc.
  • Level 3 Devices such as web service servers, firewalls, application databases, etc.
  • Level 4 Devices for managing application business planning and logistics information, such as ICS (Integrated Computer Solutions) web clients and ICS business application clients
  • the parameter determination unit can determine an importance parameter indicating the importance of the attack target based on the network class of the attack target computing asset.
  • the parameter determination unit compares the attack target information acquired from the client environment with the asset information table 800 created based on the network structure information acquired from the client environment, and determines whether the target has been attacked. Determine the network class of a computing asset. After that, the parameter determination unit determines, based on a predetermined standard, that the network class of the computing asset targeted for attack is one of the three importance parameter levels of "high”, “medium”, and “low”. Decide which one to go with.
  • an attack target with a network class of level 1 has an asset importance parameter of "low”
  • an attack target with a network class of level 2 or 3 has an asset importance parameter of "medium”
  • An attack target whose network rank is level 4 may be set as a "high” asset importance parameter.
  • an asset importance parameter of "low” means that the computing asset has relatively low importance in the network
  • an asset importance parameter of "high” means that the computing asset has a relatively low importance in the network. It means that the importance in is relatively high.
  • the network of computing assets targeted for attack can be determined.
  • an importance parameter can be determined that indicates the importance of the network asset.
  • the cyberattack priority is determined based on the speed parameter, the progress parameter, the asset importance parameter, and the priority evaluation table 260 determined by the parameter determination unit described above. determined by This priority evaluation table 260 is a table that associates the speed parameter, progress parameter, and asset importance parameter with the priority of cyberattacks, and is used to determine the priority of a specific cyberattack.
  • the priority evaluation table 260 may be created in advance based on, for example, the criteria of the administrator of the client environment, and stored in the storage unit of the cybersecurity management device.
  • FIG. 9 is a diagram showing an example of a priority evaluation table 260 according to an embodiment of the present disclosure.
  • priority rating table 260 stores progress parameter 262, speed parameter 264, asset importance parameter 266 and priority 268 information. More specifically, in the priority evaluation table 260, for each of the progress parameter 262, speed parameter 264, and asset importance parameter 266, the corresponding priority 268 degrees.
  • FIG. 9 shows an example of the priority evaluation table 260, the present disclosure is not limited to this. It may be changed as appropriate.
  • the priority determination unit of the cybersecurity management device uses these parameters and the priority evaluation table 260 to: A priority of the cyber attack can be determined. More specifically, the priority determination unit identifies elements corresponding to the determined values of the speed parameter, the progress parameter, and the asset importance parameter in the priority evaluation table 260, and applies the values described in the identified elements to the cyber Determined as attack priority. As an example, if it is determined that the progress parameter 262 is “medium”, the speed parameter 264 is “low”, and the asset importance parameter 266 is “high” for a particular cyber attack, the priority 268 of the cyber attack is “medium”. ” is determined.
  • the priority of the cyberattack can be determined not only by the non-time-dependent parameters, but also by the real-time progress of the cyberattack. is determined using a time-dependent parameter that indicates Using the velocity parameter, progress parameter, and asset criticality parameter, we can determine the current progress of the cyberattack, how fast the cyberattack is progressing, and the network criticality of the attacked computing assets. This makes it possible to make priority judgments that take account of cyberattacks, making it easier to make real-time judgments about the optimal measures to minimize damage from cyberattacks.
  • FIG. 10 is a flowchart showing the flow of priority determination processing 1000 according to the embodiment of the present disclosure.
  • the priority determination process 1000 is a process for determining the priority of cyberattacks, and is performed by each functional unit of the cybersecurity management apparatus shown in FIG. 2, for example.
  • the information acquisition unit of the cybersecurity management device receives data log information.
  • the information acquisition unit Datalog information may be obtained from the client environment described above.
  • This datalog information is Information indicating a security event related to a target of a cyberattack.
  • data log information may include the detection time of each security event, the computing device affected, type, severity, and the like.
  • step S1006 the parameter determination unit of the cybersecurity management device (for example, the parameter determination unit 254 shown in FIG. 2) analyzes the data log information received in step S1004 and detects security events corresponding to cyberattacks. do.
  • a security event here is a process for achieving the purpose of a cyberattack.
  • one cyber-attack consists of one or more security events. For example, if the cyber attack is a DDoS attack, each data sent to cause server overload is detected as a different "security event" and recorded in the data log information.
  • step S1008 the parameter determination unit uses the data log information obtained from the client environment and the attack method table created based on the attack method information 1005 obtained from the security agency to determine the current state of the cyber attack.
  • a progress parameter is determined that indicates the degree of progress in . Since the details of determining the progress parameter have been described with reference to FIG. 4, the description thereof will be omitted here.
  • step S1010 the parameter determination unit determines an importance parameter indicating the importance of the attack target based on the attack target information and the network structure information 1015 acquired from the client environment. Since the details of determining the importance parameter have been described with reference to FIG. 8, the description thereof will be omitted here.
  • step S1012 the parameter determination unit calculates the time interval between security events based on the detection time of each security event recorded in the data log information acquired from the client environment in step S1004. Since the details of calculating the time interval between security events have been described with reference to FIG. 5, the description thereof will be omitted here.
  • step S ⁇ b>1014 the parameter determination unit determines a speed parameter indicating the speed of the cyberattack based on the time interval between security events calculated in step S ⁇ b>1012 and the attack speed table 600 . Since the details of determining the speed parameter have already been described with reference to FIGS. 6 and 7, the description thereof will be omitted here.
  • step S1016 the priority determination unit of the cybersecurity management device (for example, the priority determination unit 256 shown in FIG. 2) determines the progress parameter determined in step S1008 and the asset importance parameter determined in step S1010. , the speed parameter determined in step S1014 and the priority evaluation table 260 created in advance are used to determine the priority of the cyberattack.
  • the details of determining the priority of a cyberattack using the progress parameter, the asset importance parameter, the speed parameter, and the priority evaluation table 260 have been described with reference to FIG. Description is omitted.
  • step S1018 the priority determination unit transmits priority information indicating the cyber attack priority calculated in step S1016 to the client environment.
  • This priority information may be sent in real-time, for example before the cyber-attack is finished. This makes it possible to determine and implement optimal cyberattack countermeasures as cyberattacks progress in real time.
  • step S1020 if the information acquisition unit receives additional information (for example, the latest data log information, updated attack target information, network structure information, or attack method information), the process returns to step S1004, Additional information is processed in steps S1006-S1016.
  • additional information for example, the latest data log information, updated attack target information, network structure information, or attack method information
  • the priority of a cyber attack is determined using not only non-time-dependent parameters but also time-dependent parameters that indicate the real-time progress of a cyber attack. It is possible to facilitate the determination of the optimum countermeasures for minimizing the damage.
  • FIG. 11-14 Each of the screens shown in FIGS. 11-14 may be displayed on a display (not shown in FIG. 2) or the like connected to cybersecurity management device 250 or client environment 220 .
  • FIG. 11 is a diagram showing an asset importance confirmation screen 1100 for confirming asset importance according to the embodiment of the present disclosure.
  • asset importance confirmation screen 1100 includes network configuration window 1110 , screen switching window 1120 , and data log information table 1130 .
  • the network configuration window 1110 displays the network configuration of the network (eg, the client environment 220 shown in FIG. 2) that includes the computing assets targeted by the cyber attack.
  • the network configuration of this network is displayed divided into network tiers of varying relative importance.
  • the network configuration of this network may be divided into three classes of importance: "high”, “medium”, and "low”. Assets that have been attacked may then be highlighted in the network configuration divided by importance.
  • a user who browses the asset importance confirmation screen 1100 can easily confirm the importance of the attack target computing asset.
  • the screen switching window 1120 displays buttons for switching to the asset importance confirmation screen, attack speed confirmation screen, attack progress confirmation screen, and attack priority confirmation screen. The user can switch to a desired confirmation screen by pressing any button.
  • the data log information table 1130 displays data log information acquired for computing assets that have been targeted by cyberattacks.
  • this data log information table 1130 includes the detection time of each security event in a cyberattack, target device, type of data log, attack method, and target computing assets. may include information such as the importance of According to the data log information table 1130, the user can check the information about the ongoing cyber attack in real time.
  • FIG. 12 is a diagram showing an attack progress confirmation screen 1200 for confirming the degree of progress of a cyber attack according to the embodiment of the present disclosure.
  • the attack progress confirmation screen 1200 includes an attack method information display window 1210 , a screen switching window 1120 and a data log information table 1130 .
  • the attack method information display window 1210 displays attack method information for specifying the attack methods of cyber attacks.
  • the attack method information displayed in this attack method information display window 1210 is information acquired from, for example, the above-described security agency (for example, the security agency 210 shown in FIG. 2), and is substantially similar to the attack method table 400 shown in FIG. may be similar information to As shown in FIG. 12, in the attack technique information display window 1210, the attack technique used in the ongoing cyberattack may be highlighted. As described above, these attack techniques are one of the indicators of the progress of cyberattacks. Therefore, the user viewing the attack progress confirmation screen 1200 can easily confirm the degree of progress of the cyber attack.
  • FIG. 13 is a diagram showing an attack speed confirmation screen 1300 for confirming the speed of cyberattacks according to the embodiment of the present disclosure.
  • attack speed confirmation screen 1300 includes cyber attack speed window 1310 , screen switching window 1120 , and data log information table 1130 .
  • the cyber-attack speed window 1310 changes in security event time intervals in cyber-attacks are displayed in graph format. As described above, the time interval between security events in cyberattacks is one of the indicators of the progress speed of cyberattacks.
  • the graph displayed in the cyberattack velocity window 1310 may be divided into three tiers of cyberattack velocity: "high”, “medium”, and "low”. These stages may be separated by color. In this way, the user viewing the attack speed confirmation screen 1300 can easily confirm the speed of the cyber attack.
  • FIG. 14 is a diagram showing a priority confirmation screen 1400 for confirming the priority of cyberattacks according to the embodiment of the present disclosure.
  • the priority confirmation screen 1400 includes a priority evaluation window 1410 showing a priority evaluation table, a screen switching window 1120, and a data log information table 1130.
  • FIG. 14 is a diagram showing a priority confirmation screen 1400 for confirming the priority of cyberattacks according to the embodiment of the present disclosure.
  • the priority confirmation screen 1400 includes a priority evaluation window 1410 showing a priority evaluation table, a screen switching window 1120, and a data log information table 1130.
  • a priority evaluation table is displayed in the priority evaluation window 1410 .
  • This priority evaluation table is, for example, a table used to determine the priority of cyberattacks, as described above.
  • the cyberattack evaluation result (that is, priority information indicating priority) may be reflected in a priority evaluation table.
  • the user viewing the priority confirmation screen 1400 can confirm the priority determination results for each time-dependent parameter and non-time-dependent parameter.
  • the user can confirm in real time the respective time-dependent parameters and non-time-dependent parameters that characterize cyberattacks.
  • aspects of the present invention may be embodied in any form such as an apparatus, method, system, or program.
  • the present invention may be implemented as a program that is installed in any computing environment from a storage medium of an external device, via a communication network, or via a portable storage medium.
  • one aspect of the present invention provides, as attack evaluation information for evaluating a cyberattack against an attack target that is a target of a cyberattack, data log information indicating a security event in the cyberattack, and an attack method of the cyberattack.
  • attack method information for identifying the attack target, attack target information about the attack target, and network structure information indicating a network structure including the attack target; and based on the data log information, the security event calculating a time interval; determining, based on the security event time interval, a speed parameter indicating the progress speed of the cyber attack; and determining the attack method of the cyber attack, based on the attack method information. determining a progression parameter indicating the degree of progress of the cyber attack based on the determined attack technique; attack target information about the attack target; and a network structure indicating a network structure including the attack target.
  • a priority evaluation table that associates the speed of progress of the cyber attack, the degree of progress of the cyber attack, and the importance of the attack target with the priority of the cyber attack; the speed parameter, the progress parameter, and the asset importance; determining the priority of the cyberattack based on a degree parameter; and generating and outputting priority information indicating the determined priority before the cyberattack ends. It may also include a storage medium storing a computer program for causing.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)

Abstract

リアルタイムで進化するサイバー攻撃の状況を踏まえて、サイバー攻撃の優先度をリアルタイムで判定し、サイバー攻撃の被害を最小限に抑えるための最適な対策の判断を容易にすること。サイバー攻撃の対象である攻撃対象に対するサイバー攻撃を評価するための攻撃評価情報を取得する情報取得部と、攻撃評価情報に基づいて、サイバー攻撃を評価する評価基準として、時間に依存する時間依存パラメータと、時間に依存しない非時間依存パラメータとを判定するパラメータ判定部と、時間依存パラメータと、非時間依存パラメータとに基づいて、サイバー攻撃に関する優先度を判定する優先度判定部とを含むサイバーセキュリティ管理装置。

Description

サイバーセキュリティ管理装置、サイバーセキュリティ管理方法及びサイバーセキュリティ管理システム
　本開示は、サイバーセキュリティ管理装置、サイバーセキュリティ管理方法及びサイバーセキュリティ管理システムに関する。
　近年、新たな脆弱性の発見や新たな攻撃手法の出現などにより、サイバー攻撃は年々進化し続けている。このような状況の下、情報システムがサイバー攻撃に対する防御機能を備えているか、サイバー攻撃を受けた際に被害がどこまで広がるか、という問題は社会や組織において重要な関心事項となっている。
　サイバー攻撃の被害を抑制するために、まずサイバー攻撃の深刻度を評価し、この深刻度に応じた対策を実行する手段が知られている。
　例えば、米国特許出願公開第２０２０／０００７５７４号明細書（特許文献１）には、「本明細書で説明されるシステム、方法、およびソフトウェアは、コンピューティング環境でセキュリティアクションを実施するための拡張機能を提供する。一例では、コンピューティング環境でアクションを推奨するためのアドバイスシステムを操作する方法は、コンピューティング環境でのセキュリティインシデントを識別すること、資産の重要度を識別すること、及び１つ又は複数の内部又は外部ソースからセキュリティインシデントに関するエンリッチメント情報を取得することを含む。この方法はまた、エンリッチメント情報に基づいてセキュリティインシデントの深刻度を識別すること、エンリッチメント情報に基づいて１つまたは複数のセキュリティアクションを決定することを提供する。更に、この方法は、重要度及び深刻度に基づいてコンピューティング環境の動作に対する１つまたは複数のセキュリティアクションの効果を識別し、この効果に基づいてセキュリティインシデントに対応するための１つまたは複数のセキュリティアクションのサブセットを識別することを含む。」技術が記載されている。
米国特許出願公開第２０２０／０００７５７４号明細書
　特許文献１には、サイバー攻撃の攻撃対象となる資産の重要度と、サイバー攻撃の種類に基づいた深刻度とに応じて、サイバー攻撃に対応するためのセキュリティアクションを決定する手段が記載されている。
　しかし、特許文献１の手段では、サイバー攻撃に対応するためのセキュリティアクションは、攻撃対象となる資産の重要度やサイバー攻撃の種類等が時間の経過によって変化しない静的な情報（以下、「非時間依存のパラメータ」という）のみに基づいて決定されるため、リアルタイムで進化するサイバー攻撃の状況を踏まえたサイバー攻撃対策を講じることが困難である。このため、サイバー攻撃を抑制するための対策の実行が遅れ、サイバー攻撃の被害が大きくなってしまうことがある。
　そこで、本開示は、非時間依存のパラメータのみならず、サイバー攻撃のリアルタイムの進行状況を示す時間依存パラメータを用いてサイバー攻撃の優先度を判定することで、サイバー攻撃の被害を最小限に抑えるための最適な対策のリアルタイム判断を容易にするサイバーセキュリティ管理手段を提供することを目的とする。
　上記の課題を解決するために、代表的な本開示のサイバーセキュリティ管理装置の一つは、サイバー攻撃の対象である攻撃対象に対するサイバー攻撃を評価するための攻撃評価情報を取得する情報取得部と、前記攻撃評価情報に基づいて、前記サイバー攻撃を評価する評価基準として、時間に依存する時間依存パラメータと、時間に依存しない非時間依存パラメータとを判定するパラメータ判定部と、前記時間依存パラメータと、前記非時間依存パラメータとに基づいて、前記サイバー攻撃に関する優先度を計算する優先度計算部とを含む。
　本開示によれば、非時間依存のパラメータのみならず、サイバー攻撃のリアルタイムの進行を示す時間依存のパラメータを用いてサイバー攻撃の優先度を判定することで、サイバー攻撃の被害を最小限に抑えるための最適な対策のリアルタイム判断を容易にするサイバーセキュリティ管理手段を提供することができる。
　上記以外の課題、構成及び効果は、以下の発明を実施するための形態における説明により明らかにされる。
図１は、本開示の実施形態を実施するためのコンピュータシステムを示す図である。 図２は、本開示の実施形態に係るサイバーセキュリティ管理システムの構成の一例を示す図である。 図３は、本開示の実施形態に係るサイバーセキュリティ管理システムにおけるデータの流れを示すフローチャートである。 図４は、本開示の実施形態に係る攻撃手法テーブルのデータ構成一例を示す図である。 図５は、サイバー攻撃におけるセキュリティイベント間の時間間隔の計算の一例を示す図である。 図６は、本開示の実施形態に係る攻撃速度テーブルのデータ構成の一例を示す図である。 図７は、本開示の実施形態に係る攻撃速度テーブルの具体例を示す図である。 図８は、本開示の実施形態に係る資産情報テーブルのデータ構成の一例を示す図である。 図９は、本開示の実施形態に係る優先度評価テーブルのデータ構成の一例を示す図である。 図１０は、本開示の実施形態に係る優先度判定処理の流れを示すフローチャートである。 図１１は、本開示の実施形態に係る資産重要度を確認するための資産重要度確認画面を示す図である。 図１２は、本開示の実施形態に係るサイバー攻撃の進行の度合いを確認するための攻撃進行確認画面を示す図である。 図１３は、本開示の実施形態に係るサイバー攻撃の速度を確認するための攻撃速度確認画面を示す図である。 図１４は、本開示の実施形態に係るサイバー攻撃の優先度を確認するための優先度確認画面を示す図である。
　上述したように、近年、新たな脆弱性の発見や新たな攻撃手法の出現などにより、サイバー攻撃は年々進化し続けている。このような状況の下、情報システムがサイバー攻撃に対する防御機能を備えているか、サイバー攻撃を受けた際に被害がどこまで広がるか、という問題は社会や組織において重要な関心事項となっている。
　なお、ここでのサイバー攻撃とは、データを抜き取る、改ざんする、システムを破壊すること等を意味し、無差別攻撃や、特定の資産を狙った標的型攻撃を含んでもよい。
　従来のサイバー攻撃に対する対応策の多くは、サイバー攻撃を予防する手段や、サイバー攻撃の終了後に被害を抑える手段に向けられている。サイバー攻撃の最中に、当該サイバー攻撃の深刻度を評価する手段として、上述した特許文献１が存在するが、特許文献１では、攻撃対象となる資産の重要度やサイバー攻撃の種類等の、時間の経過に変動しないしない非時間依存のパラメータのみに基づいて深刻度の評価が行われる。このため、リアルタイムで進化するサイバー攻撃の状況を踏まえたサイバー攻撃対策を講じることが困難であり、サイバー攻撃を抑えるための対策の実行が遅れてしまい、サイバー攻撃の被害が大きくなってしまうことがある。
　そこで、本開示は、非時間依存のパラメータのみならず、サイバー攻撃のリアルタイムの進行を示す時間依存のパラメータを用いてサイバー攻撃の優先度を判定する。例えば、本開示のある実施形態では、攻撃対象の重要度を示す資産重要度パラメータのような非時間依存のパラメータに加えて、サイバー攻撃の進行の度合いを示す攻撃進行パラメータや、サイバー攻撃の進行速度を示すセキュリティイベント速度パラメータのような時間依存のパラメータを用いてサイバー攻撃の優先度を判定してもよい。この優先度の判定は、例えばサイバー攻撃が終了する前にリアルタイムで行われてもよい。
　これにより、サイバー攻撃の被害を最小限に抑えるための最適な対策をリアルタイムで判断することが可能となる。
　以下、図面を参照して、本発明の実施形態について説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
　まず、図１を参照して、本開示の実施形態を実施するためのコンピュータシステム１００について説明する。本明細書で開示される様々な実施形態の機構及び装置は、任意の適切なコンピューティングシステムに適用されてもよい。コンピュータシステム１００の主要コンポーネントは、１つ以上のプロセッサ１０２、メモリ１０４、端末インターフェース１１２、ストレージインタフェース１１３、Ｉ／Ｏ（入出力）デバイスインタフェース１１４、及びネットワークインターフェース１１５を含む。これらのコンポーネントは、メモリバス１０６、Ｉ／Ｏバス１０８、バスインターフェースユニット１０９、及びＩ／Ｏバスインターフェースユニット１１０を介して、相互的に接続されてもよい。
　コンピュータシステム１００は、プロセッサ１０２と総称される１つ又は複数の汎用プログラマブル中央処理装置（ＣＰＵ）１０２Ａ及び１０２Ｂを含んでもよい。ある実施形態では、コンピュータシステム１００は複数のプロセッサを備えてもよく、また別の実施形態では、コンピュータシステム１００は単一のＣＰＵシステムであってもよい。各プロセッサ１０２は、メモリ１０４に格納された命令を実行し、オンボードキャッシュを含んでもよい。
　ある実施形態では、メモリ１０４は、データ及びプログラムを記憶するためのランダムアクセス半導体メモリ、記憶装置、又は記憶媒体（揮発性又は不揮発性のいずれか）を含んでもよい。メモリ１０４は、本明細書で説明する機能を実施するプログラム、モジュール、及びデータ構造のすべて又は一部を格納してもよい。例えば、メモリ１０４は、サイバーセキュリティ管理アプリケーション１５０を格納していてもよい。ある実施形態では、サイバーセキュリティ管理アプリケーション１５０は、後述する機能をプロセッサ１０２上で実行する命令又は記述を含んでもよい。
　ある実施形態では、サイバーセキュリティ管理アプリケーション１５０は、プロセッサベースのシステムの代わりに、またはプロセッサベースのシステムに加えて、半導体デバイス、チップ、論理ゲート、回路、回路カード、および/または他の物理ハードウェアデバイスを介してハードウェアで実施されてもよい。ある実施形態では、サイバーセキュリティ管理アプリケーション１５０は、命令又は記述以外のデータを含んでもよい。ある実施形態では、カメラ、センサ、または他のデータ入力デバイス（図示せず）が、バスインターフェースユニット１０９、プロセッサ１０２、またはコンピュータシステム１００の他のハードウェアと直接通信するように提供されてもよい。
　コンピュータシステム１００は、プロセッサ１０２、メモリ１０４、表示システム１２４、及びＩ／Ｏバスインターフェースユニット１１０間の通信を行うバスインターフェースユニット１０９を含んでもよい。Ｉ／Ｏバスインターフェースユニット１１０は、様々なＩ／Ｏユニットとの間でデータを転送するためのＩ／Ｏバス１０８と連結していてもよい。Ｉ／Ｏバスインターフェースユニット１１０は、Ｉ／Ｏバス１０８を介して、Ｉ／Ｏプロセッサ（ＩＯＰ）又はＩ／Ｏアダプタ（ＩＯＡ）としても知られる複数のＩ／Ｏインタフェースユニット１１２，１１３，１１４、及び１１５と通信してもよい。
　表示システム１２４は、表示コントローラ、表示メモリ、又はその両方を含んでもよい。表示コントローラは、ビデオ、オーディオ、又はその両方のデータを表示装置１２６に提供することができる。また、コンピュータシステム１００は、データを収集し、プロセッサ１０２に当該データを提供するように構成された1つまたは複数のセンサ等のデバイスを含んでもよい。
　例えば、コンピュータシステム１００は、心拍数データやストレスレベルデータ等を収集するバイオメトリックセンサ、湿度データ、温度データ、圧力データ等を収集する環境センサ、及び加速度データ、運動データ等を収集するモーションセンサ等を含んでもよい。これ以外のタイプのセンサも使用可能である。表示システム１２４は、単独のディスプレイ画面、テレビ、タブレット、又は携帯型デバイスなどの表示装置１２６に接続されてもよい。
　Ｉ／Ｏインタフェースユニットは、様々なストレージ又はＩ／Ｏデバイスと通信する機能を備える。例えば、端末インタフェースユニット１１２は、ビデオ表示装置、スピーカテレビ等のユーザ出力デバイスや、キーボード、マウス、キーパッド、タッチパッド、トラックボール、ボタン、ライトペン、又は他のポインティングデバイス等のユーザ入力デバイスのようなユーザＩ／Ｏデバイス１１６の取り付けが可能である。ユーザは、ユーザインターフェースを使用して、ユーザ入力デバイスを操作することで、ユーザＩ／Ｏデバイス１１６及びコンピュータシステム１００に対して入力データや指示を入力し、コンピュータシステム１００からの出力データを受け取ってもよい。ユーザインターフェースは例えば、ユーザＩ／Ｏデバイス１１６を介して、表示装置に表示されたり、スピーカによって再生されたり、プリンタを介して印刷されたりしてもよい。
　ストレージインタフェース１１３は、１つ又は複数のディスクドライブや直接アクセスストレージ装置１１７（通常は磁気ディスクドライブストレージ装置であるが、単一のディスクドライブとして見えるように構成されたディスクドライブのアレイ又は他のストレージ装置であってもよい）の取り付けが可能である。ある実施形態では、ストレージ装置１１７は、任意の二次記憶装置として実装されてもよい。メモリ１０４の内容は、ストレージ装置１１７に記憶され、必要に応じてストレージ装置１１７から読み出されてもよい。Ｉ／Ｏデバイスインタフェース１１４は、プリンタ、ファックスマシン等の他のＩ／Ｏデバイスに対するインターフェースを提供してもよい。ネットワークインターフェース１１５は、コンピュータシステム１００と他のデバイスが相互的に通信できるように、通信経路を提供してもよい。この通信経路は、例えば、ネットワーク１３０であってもよい。
　ある実施形態では、コンピュータシステム１００は、マルチユーザメインフレームコンピュータシステム、シングルユーザシステム、又はサーバコンピュータ等の、直接的ユーザインターフェースを有しない、他のコンピュータシステム（クライアント）からの要求を受信するデバイスであってもよい。他の実施形態では、コンピュータシステム１００は、デスクトップコンピュータ、携帯型コンピュータ、ノートパソコン、タブレットコンピュータ、ポケットコンピュータ、電話、スマートフォン、又は任意の他の適切な電子機器であってもよい。
　次に、図２を参照して、本開示の実施形態に係るサイバーセキュリティ管理システムの構成について説明する。
　図２は、本開示の実施形態に係るサイバーセキュリティ管理システム２００の構成の一例を示す図である。図２に示すように、サイバーセキュリティ管理システム２００は、セキュリティ機関２１０、複数のクライアント装置２２１～２２３を含むクライアント環境２２０、通信ネットワーク２３０及びサイバーセキュリティ管理装置２５０を含む。セキュリティ機関２１０、クライアント環境２２０及びサイバーセキュリティ管理装置２５０は、通信ネットワーク２３０を介して相互的に接続される。ここでの通信ネットワーク２３０は、例えばインターネット、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、ＭＡＮ(Ｍｅｔｒｏｐｏｌｉｔａｎ　Ａｒｅａ　Ｎｅｔｗｏｒｋ)、ＷＡＮ(Ｗｉｄｅ　Ａｒｅａ　Ｎｅｔｗｏｒｋ)等を含んでもよい。
　セキュリティ機関２１０は、サイバーセキュリティを推進することを目的とする第三者組織である。セキュリティ機関２１０は、サイバー攻撃に対抗する戦略を講じたり、サイバー攻撃を識別し、抑制する様々な情報やツールを提供したりする政府又は民間の組織であってもよい。例えば、セキュリティ機関２１０は、サイバー攻撃の攻撃手法を特定するための攻撃手法情報を作成し、提供してもよい。
　図２に示すように、セキュリティ機関２１０は、サーバ装置２１２を含んでもよい。サーバ装置２１２は、通信ネットワーク２３０を介して、セキュリティ機関２１０、クライアント環境２２０、及びサイバーセキュリティ管理装置２５０間の情報通信を行うための装置である。例えば、セキュリティ機関２１０は、サイバー攻撃の攻撃手法を特定するための攻撃手法情報を、通信ネットワーク２３０を介してサイバーセキュリティ管理装置２５０に送信してもよい。
　クライアント環境２２０は、サイバー攻撃の攻撃対象となるコンピューティング資産（ｃｏｍｐｕｔｉｎｇ　ａｓｓｅｔ）を含むプライベートネットワークである。ここでの「攻撃対象」とは、サイバー攻撃の影響を受けるデバイス、ネットワーク、又はデータを意味する。
　図２に示すように、クライアント環境２２０は、コンピューティング資産として、複数のクライアント装置２２１～２２３を含む。これらのクライアント装置２２１～２２３は、クライアント環境２２０のプライベートネットワークに含まれるコンピューティングデバイスであり、例えばサーバ、パソコン、ストレージ部、スマートフォン等、任意のコンピューティングデバイスを含んでもよい。また、本開示では、クライアント環境２２０に含まれるクライアント装置２２１～２２３の一部又は全てがサイバー攻撃の攻撃対象となった場合を例として説明する。
　なお、説明の便宜上、クライアント装置を３つ含むクライアント環境２２０を一例として示しているが、本開示はこれに限定されず、クライアント装置の数や、クライアント環境２２０のネットワーク構成は任意である。
　サイバーセキュリティ管理装置２５０は、サイバー攻撃（例えば、クライアント環境２２０に対するサイバー攻撃）の優先度を判定するための装置である。図２に示すように、サイバーセキュリティ管理装置２５０は情報取得部２５２、パラメータ判定部２５４、優先度判定部２５６及び記憶部２５８を含む。
　情報取得部２５２は、クライアント環境２２０の攻撃対象に対するサイバー攻撃を評価するための攻撃評価情報を取得する機能部である。例えば、情報取得部２５２は、攻撃対象に関するセキュリティイベントを示すデータログ情報と、サイバー攻撃の攻撃手法を特定するための攻撃手法情報と、攻撃対象に関する攻撃対象情報と、攻撃対象を含むネットワーク構造を示すネットワーク構造情報とを攻撃評価情報として取得してもよい。後述するように、これらの情報は、例えばセキュリティ機関２１０や、攻撃対象となるクライアント環境２２０から取得されてもよい。
　パラメータ判定部２５４は、情報取得部２５２によって取得された攻撃評価情報に基づいて、サイバー攻撃を評価する評価基準として、時間に依存する時間依存パラメータと、時間に依存しない非時間依存パラメータとを判定する機能部である。ここでは、時間依存パラメータとは、サイバー攻撃が実行されている期間において、時間と共に変化する情報を意味する。一方、非時間依存パラメータとは、サイバー攻撃が実行されている期間において、時間と共に変化しない情報を意味する。
　例えば、パラメータ判定部２５４は、攻撃対象の重要度を示す資産重要度パラメータを非時間依存のパラメータとして判定してもよい。本開示の実施形態に係る攻撃対象の重要度は、当該攻撃対象のネットワーク構造における階級に応じて定められ、攻撃の最中には変化しないため、非時間依存のパラメータの１つである。
　また、パラメータ判定部２５４は、サイバー攻撃の進行の度合いを示す進行パラメータや、サイバー攻撃の進行速度を示す速度パラメータを時間依存のパラメータとして判定してもよい。サイバー攻撃の進行の度合いや速度は、攻撃の最中にリアルタイムで変動し得るため、時間依存のパラメータである。
　なお、本開示では、攻撃対象の重要度を示す資産重要度パラメータを非時間依存のパラメータとし、サイバー攻撃の進行の度合いを示す進行パラメータや、サイバー攻撃の進行速度を示す速度パラメータを時間依存のパラメータとした場合を一例として説明するが、本開示はこれに限定されず、非時間依存のパラメータ及び時間依存のパラメータは、攻撃対象の構成やサイバー攻撃の性質等に基づいて適宜に選択されてもよい。
　優先度判定部２５６は、パラメータ判定部２５４によって判定された時間依存パラメータと、非時間依存パラメータとに基づいて、サイバー攻撃に関する優先度を計算する機能部である。この優先度とは、サイバー攻撃の相対的な重要度を示す指標である。この優先度は、例えば「高」、「中」、「低」等の３段階の内の一つとして表現してもよく、例えば「０～１０」等の数字の範囲から選択した値として表現してもよい。
　本開示では、説明の便宜上、優先度を「高」、「中」、「低」等の３段階で表現する場合を一例として説明する。
　優先度判定部２５６は、サイバー攻撃を判定するためには、パラメータ判定部２５４によって判定された時間依存パラメータと、非時間依存パラメータと、後述する優先度評価テーブル２６０を用いる。例えば、優先度判定部２５６は、速度パラメータと、進行パラメータと、資産重要度パラメータとを、優先度評価テーブル２６０に比較することで、サイバー攻撃に関する優先度を判定することができる。
　記憶部２５８は、サイバーセキュリティ管理装置２５０に用いられる各種情報を格納するためのストレージ部である。この記憶部２５８は、例えばフラッシュメモリ、ハードディスクドライブ等、任意の記憶媒体であってもよい。
　図２に示すように、記憶部２５８は、優先度評価テーブル２６０を格納する。この優先度評価テーブル２６０は、それぞれの非時間依存のパラメータ及び時間依存パラメータを所定の優先度に対応付けるテーブルであり、特定のサイバー攻撃の優先度を判定するために用いられる。優先度評価テーブル２６０は、例えば事前に作成され、記憶部２５８に格納されてもよい。
　上述したサイバーセキュリティ管理装置２５０の機能部は、独立したハードウェアで実現されてもよく、例えば図１に示すサイバーセキュリティ管理アプリケーション１５０におけるソフトウェアモジュールとして実現されてもよい。
　以上説明したサイバーセキュリティ管理システム２００によれば、非時間依存のパラメータのみならず、サイバー攻撃のリアルタイムの進行を示す時間依存のパラメータを用いてサイバー攻撃の優先度を判定することで、サイバー攻撃の被害を最小限に抑えるための最適な対策のリアルタイム判断を容易にすることができる。
　次に、図３を参照して、本開示の実施形態に係るサイバーセキュリティ管理システムにおけるデータの流れについて説明する。
　図３は、本開示の実施形態に係るサイバーセキュリティ管理システム２００におけるデータの流れ３００を示すフローチャートである。図３に示すように、サイバーセキュリティ管理システム２００において、情報がクライアント環境２２０、サイバーセキュリティ管理装置２５０及びセキュリティ機関２１０の間で通信される。
　なお、図３に示すデータの流れ３００は、サイバー攻撃の最中に行われてもよい。これにより、サイバー攻撃がリアルタイムで進行するにつれて、優先度を動的に判定することができる。
　まず、ステップＳ３０２では、クライアント環境２２０は、攻撃対象情報、ネットワーク構造情報、及びデータログ情報をサイバーセキュリティ管理装置２５０に送信する。ここでの攻撃対象情報、ネットワーク構造情報、及びデータログ情報は、クライアント環境２２０におけるクライアント装置２２１、２２２、２２３のいずれかから送信されてもよい。
　ある実施形態では、クライアント環境２２０は、サイバー攻撃を検出した際に攻撃対象情報、ネットワーク構造情報、及びデータログ情報をサイバーセキュリティ管理装置２５０に送信してもよい。また、ある実施形態では、サイバーセキュリティ管理装置２５０は、ネットワーク構造情報、及びデータログ情報をクライアント環境２２０から要求してもよい。
　攻撃対象情報は、クライアント環境２２０において、サイバー攻撃の影響を受けるデバイス、ネットワーク、又はデータ等のコンピューティング資産を攻撃対象として指定する情報である。例えば、この攻撃対象情報は、クライアント装置２２１、２２２、２２３の一部又は全部を攻撃対象として指定してもよい。
　ネットワーク構造情報は、クライアント環境２２０のネットワーク構成を示す情報である。例えば、このネットワーク構造情報は、クライアント環境２２０のネットワーク上の各ノード（例えば、クライアント装置２２１、２２２、２２３等のコンピューティングデバイス）及びノード間の接続経路を示す情報（いわゆるネットワークトポロジー）であってもよい。また、このネットワーク構造情報は、クライアント環境２２０のネットワーク上の各ノードの役割を示す情報を含んでもよい。例えば、ある実施形態では、このネットワーク構造情報は、クライアント環境２２０のネットワークにおけるセンサ装置の役割が「生データ収集」、「生データの前処理」、「データ集積」、又は「データ解析」であることを示してもよい。
　データログ情報は、サイバー攻撃の攻撃対象に関するセキュリティイベントを示す情報である。例えば、データログ情報は、各セキュリティイベントの検出時刻、影響を受けたコンピューティング資産、種類、深刻度等を含んでもよい。
　ここでのセキュリティイベントとは、ネットワーク侵入、データ収集、システム変更等といったサイバー攻撃の目的を達成するための工程である。一般に、一つのサイバー攻撃は、１つ又は複数のセキュリティイベントからなる。例えば、サイバー攻撃がＤＤｏＳ攻撃の場合、サーバの過剰負荷を引き起こすために送信される各データは異なる「セキュリティイベント」として検出され、データログ情報に記録される。
　次に、ステップＳ３０４では、セキュリティ機関２１０は、攻撃手法情報をサイバーセキュリティ管理装置２５０に送信する。ここでの攻撃手法情報は、セキュリティ機関２１０のサーバ装置２１２から送信されてもよい。
　ある実施形態では、セキュリティ機関２１０は、サイバーセキュリティ管理装置２５０からの要求に応じて攻撃手法情報をサイバーセキュリティ管理装置２５０に送信してもよい。
　ここでの攻撃手法情報は、サイバー攻撃の攻撃手法を特定するための情報である。より具体的には、この攻撃手法情報は、特定の種類のサイバー攻撃の各段階において、攻撃者が用いる可能性がある攻撃手法を示す。一例として、この攻撃手法情報は、サイバー攻撃が「Ｒｅｃｏｎｎａｉｓｓａｎｃｅ」段階（偵察段階）の場合、攻撃者が用いる可能性がある攻撃手法として、「Ａｃｔｉｖｅ　Ｓｃａｎｎｉｎｇ，　Ｇａｔｈｅｒ　Ｖｉｃｔｉｍ　Ｈｏｓｔ　Ｉｎｆｏｒｍａｔｉｏｎ，　Ｇａｔｈｅｒ　Ｖｉｃｔｉｍ　Ｉｄｅｎｔｉｔｙ，　Ｇａｔｈｅｒ　Ｖｉｃｔｉｍ　Ｎｅｔｗｏｒｋ　Ｉｎｆｏｒｍａｔｉｏｎ」を示してもよい。この攻撃手法情報及び攻撃対象のデータログ情報を用いることで、サイバー攻撃の攻撃手法を特定することができる。
　次に、ステップＳ３０６では、サイバーセキュリティ管理装置２５０の情報取得部は、クライアント環境２２０から送信された攻撃対象情報、ネットワーク構造情報及びデータログ情報を受信すると共に、セキュリティ機関２１０から送信された攻撃手法情報を受信する。
　なお、ここでは、各種情報がサイバーセキュリティ管理装置２５０に対して送信される場合を一例として説明しているが、本開示はこれに限定されず、サイバーセキュリティ管理装置２５０は各種情報を自発的に取得してもよい。
　次に、ステップＳ３０８では、サイバーセキュリティ管理装置２５０のパラメータ判定部は、ステップＳ３０６で受信した各種情報に基づいて、サイバー攻撃の優先度を判定する際に用いられる各テーブルを作成する。例えば、ここでは、サイバーセキュリティのパラメータ判定部は、攻撃手法テーブル（図４参照）、攻撃速度テーブル（図６参照）、資産情報テーブル（図８参照）、及び優先度評価テーブル（図９参照）を作成してもよい。
　なお、ここで作成される各テーブルの詳細については後述する。
　次に、ステップＳ３１０では、サイバーセキュリティ管理装置２５０のパラメータ判定部は、ステップＳ３０８で作成した各テーブルに基づいて、サイバー攻撃を評価する評価基準として、時間に依存する時間依存パラメータと、時間に依存しない非時間依存パラメータとを判定する。例えば、ここでは、サイバーセキュリティのパラメータ判定部は、資産情報テーブルに基づいて、攻撃対象の重要度を示す資産重要度パラメータを非時間依存のパラメータとして判定してもよい。また、サイバーセキュリティのパラメータ判定部は、攻撃手法テーブルに基づいて、サイバー攻撃の進行の度合いを示す進行パラメータを時間依存のパラメータとして作成してもよい。また、サイバーセキュリティのパラメータ判定部は、攻撃速度テーブルに基づいて、サイバー攻撃の進行速度を示す速度パラメータを時間依存のパラメータとして作成してもよい。
　次に、ステップＳ３１２では、サイバーセキュリティ管理装置２５０の優先度判定部は、ステップＳ３１０で判定した時間依存パラメータと、非時間依存パラメータとに基づいて、サイバー攻撃の優先度を計算する。より具体的には、サイバーセキュリティ管理装置２５０は、速度パラメータと、進行パラメータと、資産重要度パラメータとを、優先度評価テーブルに比較することで、サイバー攻撃の優先度を計算してもよい。
　次に、ステップＳ３１４では、サイバーセキュリティ管理装置２５０の優先度判定部は、ステップＳ３１２で計算したサイバー攻撃の優先度を示す優先度情報をクライアント環境２２０に送信する。この優先度情報は、例えばサイバー攻撃が終了する前にリアルタイムで送信されてもよい。これにより、サイバー攻撃がリアルタイムで進行するにつれて、最適なサイバー攻撃対策を判断し、実行することができる。
　次に、ステップＳ３１６では、サイバーセキュリティ管理装置２５０の情報取得部が追加の情報（例えば、最新のデータログ情報、更新した攻撃対象情報、ネットワーク構造情報又は攻撃手法情報）を受信した場合、本処理はステップＳ３０６へ戻り、追加の情報がステップＳ３０８～Ｓ３１２で処理される。
　以上説明したデータの流れによれば、サイバーセキュリティ管理装置２５０は、サイバー攻撃の優先度を判定するための各種情報を取得することができる。これにより、サイバー攻撃がリアルタイムで進行するにつれて、優先度を動的に判定することが可能となる。
　次に、図４を参照して、本開示の実施形態に係る攻撃手法テーブルについて説明する。
　上述したように、本開示では、サイバー攻撃の優先度を判定するための時間依存パラメータの１つとして、サイバー攻撃の進行の度合い（つまり、サイバー攻撃が現時点でどこまで進んでいるか）を示す進行パラメータを用いる。この進行パラメータは、サイバー攻撃におけるセキュリティイベントで用いられている攻撃手法に基づいて判定される。また、この攻撃手法は、セキュリティ機関から取得した攻撃手法情報に基づいて作成された攻撃手法テーブル４００と、クライアント環境から取得したデータログ情報とに基づいて識別される。
　原則として、サイバー攻撃が進むにつれて、サイバー攻撃の目的及び攻撃手法が予測可能なパターン（ネットワーク侵入、データ収集、システム変更）に従って変化するため、最も最近のセキュリティイベントで用いられた攻撃手法を識別することで、サイバー攻撃の現時点での進行の度合いを推定することができる。
　図４は、本開示の実施形態に係る攻撃手法テーブル４００の一例を示す図である。上述したように、この攻撃手法テーブル４００は、セキュリティ機関から取得した攻撃手法情報に基づいて作成される。図４に示すように、攻撃手法テーブル４００は、進行パラメータ４１０、攻撃手法の目的４１２及び攻撃手法４１４の情報を格納する。それぞれの攻撃手法４１４は、目的毎に分類されている。例えば、「Ｒｅｃｏｎｎａｉｓｓａｎｃｅ」や「Ｄｅｆｅｎｓｅ　Ｅｖａｓｉｏｎ」はネットワーク侵入との目的のための攻撃手法であるため、同一のカテゴリーに分類される。
　なお、図４では、攻撃手法テーブル４００の一例を示しているが、本開示はこれに限定されず、攻撃手法テーブル４００の構成（攻撃手法の目的や攻撃手法の情報等）は、適宜に変更されてもよい。
　一般に、サイバー攻撃におけるセキュリティイベントの目的は、ネットワーク侵入、データ収集、システム変更の順番で変化する。従って、目的がネットワーク侵入の攻撃手法は、サイバー攻撃の序盤、つまり、サイバー攻撃の進行の度合いが低い時に行われるため、「低」との進行パラメータに対応付けられている。また、目的がデータ収集の攻撃手法は、サイバー攻撃の中盤、つまり、サイバー攻撃が中程度に進んでいる時に行われるため、「中」との進行パラメータに対応付けられている。また、目的がシステムの変更の攻撃手法は、サイバー攻撃の終盤、つまり、サイバー攻撃が高程度に進んでいる時に行われるため、「高」との進行パラメータに対応付けられている。
　サイバーセキュリティ管理装置のパラメータ判定部は、クライアント環境から取得したデータログ情報と、図４に示す攻撃手法テーブル４００とを用いて、サイバー攻撃における特定のセキュリティイベントの攻撃手法を識別すると共に、当該攻撃手法に対応付けられている進行パラメータを判定することができる。より具体的には、パラメータ判定部は、クライアント環境から取得したデータログ情報の特定のセキュリティイベントの攻撃手法を識別する。ここでの特定のセキュリティイベントは、検出されているセキュリティイベントの内、任意のセキュリティイベントであってもよいが、サイバー攻撃の現時点での進行の度合いを判定するためには、最も最近のセキュリティイベントを用いることが望ましい。ここで、セキュリティイベントの攻撃手法を特定するためには、既存の手段を使用してもよく、本開示では特定に限定されない。
　セキュリティイベントの攻撃手法が識別された後、パラメータ判定部は、攻撃手法テーブル４００を参照することで、識別した攻撃手法に対応付けられている進行パラメータを判定する。一例として、セキュリティイベントの攻撃手法が「Ｅｘｆｉｌｔｒａｔｉｏｎ」の場合、パラメータ判定部は、サイバー攻撃の目的がシステム変更の段階まで進んでいるため、進行の度合いが高く、「高」との進行パラメータを判定する。
　以上説明したように、クライアント環境から取得したデータログ情報と、セキュリティ機関から取得した攻撃手法情報に基づいて作成された攻撃手法テーブル４００とを用いることで、サイバー攻撃の現時点での進行の度合いを示す進行パラメータを判定することができる。この進行パラメータを用いることにより、サイバー攻撃の現時点での進行の度合いを考慮した優先度判定が可能となり、サイバー攻撃の被害を最小限に抑えるための最適な対策のリアルタイム判断が容易となる。
　次に、図５～図７を参照して、本開示の実施形態に係る速度パラメータについて説明する。
　上述したように、本開示では、サイバー攻撃の優先度を判定するための時間依存パラメータの１つとして、サイバー攻撃の進行速度を示す速度パラメータを用いる。この速度パラメータは、サイバー攻撃において検出された各セキュリティイベント間の時間間隔に基づいて判定される。
　まず、パラメータ判定部は、クライアント環境から取得したデータログ情報に記録されている各セキュリティイベントの検出時刻に基づいて、セキュリティイベント間の時間間隔を計算する。ここで、パラメータ判定部は、データログ情報に記録されている全てのセキュリティイベント間の時間間隔を計算してもよく、特定の期間内のセキュリティイベント間の時間間隔を計算してもよい。
　次に、パラメータ判定部は、サイバー攻撃における各セキュリティイベント間の時間間隔の加重平均を計算する。このように計算したセキュリティイベント間の時間間隔の加重平均を、予め作成された攻撃速度テーブルに比較することで、サイバー攻撃の進行速度を示す速度パラメータを判定することができる。
　図５は、サイバー攻撃におけるセキュリティイベント間の時間間隔の計算の一例を示す図である。図５には、特定のサイバー攻撃における各セキュリティイベントを時系列に並べたタイムライン５００が示される。図５に示すように、このタイムライン５００には、イベント０，イベント１，イベント２、イベント３、イベント４及びイベント５との５つのセキュリティイベントが示されている。上述したように、これらのセキュリティイベントは、サイバー攻撃の目的（ネットワーク侵入、データ収集、システム変更等）を達成するための工程である。各セキュリティイベントは、同じ又は異なる攻撃手法によって行われる。
　まず、パラメータ判定部は、対象のセキュリティイベントを含む解析対象期間ＡＴＷを規定する。この解析対象期間ＡＴＷは、例えばサイバー攻撃が検出された時間等に基づいて適宜に規定されてもよい。例えば、図５に示すように、解析対象期間ＡＴＷは、イベント０を除き、イベント１からイベント５までを含む期間として規定されてもよい。
　次に、パラメータ判定部は、解析対象期間ＡＴＷにおける各セキュリティイベントの時間間隔（Ｔｉｍｅ　Ｂｅｔｗｅｅｎ　Ｉｎｃｉｄｅｎｔｓ；ＴＢＩ）を計算する。例えば、パラメータ判定部は、イベント１とイベント２の時間間隔ＴＢＩ１２、イベント２とイベント３の時間間隔ＴＢＩ２３、イベント３とイベント４の時間間隔ＴＢＩ３４、及びイベント４とイベント５の時間間隔ＴＢＩ４５を計算してもよい。
　その後、パラメータ判定部は、以下の数式１を用いて、サイバー攻撃における各セキュリティイベント間の時間間隔の加重平均ＷＭＴＢＩ（Ｗｅｉｇｈｔｅｄ　Ｍｅａｎ　Ｔｉｍｅ　Ｂｅｔｗｅｅｎ　Ｉｎｃｉｄｅｎｔｓ）を計算する。
Figure JPOXMLDOC01-appb-M000001
　なお、サイバー攻撃における各セキュリティイベント間の時間間隔の加重平均ＷＭＴＢＩの計算に用いられる重み付けｗは、いわゆるＭＣＤＭ（Ｍｕｌｔｉｐｌｅ－ｃｒｉｔｅｒｉａ　ｄｅｃｉｓｉｏｎ　ａｎａｌｙｓｉｓ）アルゴリズムによって定められてもよく、本開示では特に限定されない。
　図６は、本開示の実施形態に係る攻撃速度テーブル６００の一例を示す図である。攻撃速度テーブル６００は、サイバー攻撃における各セキュリティイベント間の時間間隔の加重平均ＷＭＴＢＩに基づいて、サイバー攻撃の速度パラメータを判定するためのテーブルである。
　図６に示すように、攻撃速度テーブル６００では、サイバー攻撃における各セキュリティイベント間の時間間隔の加重平均ＷＭＴＢＩについて、３つの異なる範囲が最小値及び最大値によって規定されている。また、各範囲は、異なる速度パラメータに対応付けられている。
　より具体的には、「０」～「ATW/3-MTBI」の範囲は、「高」との速度パラメータに対応付けられている。また、「ATW/3-MTBI」～「ATW/3+MTBI」の範囲は、「中」との速度パラメータに対応付けられている。また、「ATW/3+MTBI」～「ATW」の範囲は、「低」との速度パラメータに対応付けられている。ここでは、「高」との速度パラメータは、サイバー攻撃の速度が比較的に速いことを意味し、「低」との速度パラメータは比較的に襲いことを意味する。
　ここでの「ATW」は、上述した解析対象期間であり、MTBI（Ｍｅａｎ　Ｔｉｍｅ　Ｂｅｔｗｅｅｎ　Ｉｎｃｉｄｅｎｔｓ）は、サイバー攻撃における各セキュリティイベント間の時間間隔の平均である。このMTBIは、例えば数式１において、重み付けｗを１とすることで求められる。
　数式１によって計算したサイバー攻撃における各セキュリティイベント間の時間間隔の加重平均ＷＭＴＢＩの値を、攻撃速度テーブル６００において規定されている範囲に比較し、どの範囲に属するかを判定することで、当該サイバー攻撃の速度パラメータを判定することができる。
　図７は、本開示の実施形態に係る攻撃速度テーブル７００の具体例を示す図である。図７に示すように、攻撃速度テーブル７００では、サイバー攻撃における各セキュリティイベント間の時間間隔の加重平均ＷＭＴＢＩについて、３つの異なる範囲が最小値及び最大値によって規定されている。
　より具体的には、「０」～「２４時間」の範囲は、「高」との速度パラメータに対応付けられている。また、「２４時間」～「４８時間」の範囲は、「中」との速度パラメータに対応付けられている。また、「４８時間」～「７２時間」の範囲は、「低」との速度パラメータに対応付けられている。
　数式１によって計算したサイバー攻撃における各セキュリティイベント間の時間間隔の加重平均ＷＭＴＢＩの値が「０」～「２４時間」の範囲内の場合、当該サイバー攻撃の速度パラメータが「高」と判定される。ＷＭＴＢＩの値が「２４」～「４８時間」の範囲内の場合、当該サイバー攻撃の速度パラメータが「中」と判定される。ＷＭＴＢＩの値が「４８」～「７２時間」の範囲内の場合、当該サイバー攻撃の速度パラメータが「低」と判定される。
　以上説明したように、クライアント環境から取得したデータログ情報に記録されている各セキュリティイベントの検出時刻に基づいてセキュリティイベント間の時間間隔を計算し、計算したセキュリティイベント間の時間間隔を攻撃速度テーブルに比較することで、サイバー攻撃の進行速度を示す速度パラメータを判定することができる。この速度パラメータを用いることにより、サイバー攻撃が進んでいる速さを考慮した優先度判定が可能となり、サイバー攻撃の被害を最小限に抑えるための最適な対策のリアルタイム判断が容易となる。
　次に、図８を参照して、本開示の実施形態に係る資産情報テーブルについて説明する。
　上述したように、本開示では、サイバー攻撃の優先度を判定するための非時間依存パラメータの１つとして、攻撃対象の重要度を示す資産重要度パラメータを用いる。この資産重要度パラメータは、クライアント環境から取得したネットワーク構造情報から作成された資産情報テーブル８００に基づいて判定される。図８は、本開示の実施形態に係る資産情報テーブル８００の一例を示す図である。
　上述したように、資産情報テーブル８００は、クライアント環境から取得したネットワーク構造情報に基づいて作成され、図８に示すように、ネットワークを構成する各コンピューティング資産（コンピューティングデバイス、記憶装置等）について、コンピューティング資産の名所を示す資産名８０２、コンピューティング資産の識別子を示す資産ＩＤ８０４、コンピューティング資産のＩＰアドレスを示すＩＰアドレス８０６、コンピューティング資産のＭＡＣアドレスを示すＭＡＣアドレス８０８、コンピューティング資産のゲートウェイアドレスを示すゲートウェイ８１０及びコンピューティング資産のネットワーク階級を示すネットワーク階級８１２を含んでもよい。
　このネットワーク階級８１２は、特定のコンピューティング資産のネットワークにおける論理的な地位を示す情報であり、例えば当該コンピューティング資産の役割に基づいて定められる。ある実施形態では、コンピューティング資産のネットワーク階級は、以下のように、５つのレベルに分けられてもよい。
　レベル０：センサ、リレー、コネクター等のような物理的なインターフェースを有するデバイス
　レベル１：ＲＴＵ（Ｒｅｍｏｔｅ　Ｔｅｒｍｉｎａｌ　Ｕｎｉｔ）、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｃｏｎｔｒｏｌｌｅｒ）等のような、レベル１のデバイスを制御するためのデバイス
　レベル２：ＨＭＩ(Ｈｕｍａｎ　Ｍａｃｈｉｎｅ　Ｉｎｔｅｒｆａｃｅ)、Ｓｕｐｅｒｖｉｓｏｒｙ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ、Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｐｒｏｃｅｓｓｏｒ、Ｒｅａｌ　Ｔｉｍｅ　Ｄａｔａｂａｓｅ等のような、レベル２のデバイスを制御するためのデバイス
　レベル３：ウエブサービスサーバ、ファイアウォール、アプリケーションデータベースのような、ＩＴ管理、オペレーション管理、システム管理を行うためのデバイス
　レベル４：ＩＣＳ(Ｉｎｔｅｇｒａｔｅｄ　Ｃｏｍｐｕｔｅｒ　Ｓｏｌｕｔｉｏｎｓ)ウエブクライアント、ＩＣＳビジネスアプリケーションクライアント等の、アプリケーション事業計画やロジスティクスの情報を管理するためのデバイス
　原則として、ネットワーク階級のレベルが高ければ高い程、コンピューティング資産のネットワークにおける重要度が高くなる。従って、本開示では、パラメータ判定部は、攻撃対象となったコンピューティング資産のネットワーク階級に基づいて、当該攻撃対象の重要度を示す重要度パラメータを判定することができる。
　より具体的には、パラメータ判定部は、クライアント環境から取得した攻撃対象情報を、クライアント環境から取得したネットワーク構造情報に基づいて作成された資産情報テーブル８００に比較することで、攻撃対象となったコンピューティング資産のネットワーク階級を判定する。その後、パラメータ判定部は、予め定めた基準に基づいて、攻撃対象となったコンピューティング資産のネットワーク階級が、「高」、「中」、「低」の３つの重要度パラメータのレベルの内、どれに対応するかを判定する。
　一例として、ある実施形態では、ネットワーク階級がレベル１の攻撃対象を「低」との資産重要度パラメータとし、ネットワーク階級がレベル２又は３の攻撃対象を「中」との資産重要度パラメータとし、ネットワーク階級がレベル４の攻撃対象を「高」との資産重要度パラメータとしてもよい。ここでは、「低」との資産重要度パラメータは、当該コンピューティング資産のネットワークにおける重要度が比較的に低いことを意味し、「高」との資産重要度パラメータは、当該コンピューティング資産のネットワークにおける重要度が比較的に高いことを意味する。
　以上説明したように、クライアント環境から取得した攻撃対象情報を、クライアント環境から取得したネットワーク構造情報に基づいて作成された資産情報テーブル８００に比較することで、攻撃対象となったコンピューティング資産のネットワーク階級に応じて、当該ネットワーク資産の重要度を示す重要度パラメータを判定することができる。この資産重要度パラメータを用いることにより、攻撃対象となったコンピューティング資産のネットワークにおける重要性を考慮した優先度判定が可能となり、サイバー攻撃の被害を最小限に抑えるための最適な対策のリアルタイム判断が容易となる。
　次に、図９を参照して、本開示の実施形態に係る優先度評価テーブルについて説明する。
　上述したように、本開示の実施形態では、サイバー攻撃の優先度は、上述したパラメータ判定部によって判定された速度パラメータと、進行パラメータと、資産重要度パラメータと、優先度評価テーブル２６０とに基づいて判定される。この優先度評価テーブル２６０は、速度パラメータと、進行パラメータと、資産重要度パラメータとをサイバー攻撃の優先度に対応付けるテーブルであり、特定のサイバー攻撃の優先度を判定するために用いられる。優先度評価テーブル２６０は、例えばクライアント環境の管理者の基準等に基づいて事前に作成され、サイバーセキュリティ管理装置の記憶部に格納されてもよい。
　図９は、本開示の実施形態に係る優先度評価テーブル２６０の一例を示す図である。図９に示すように、優先度評価テーブル２６０は、進行パラメータ２６２、速度パラメータ２６４、資産重要度パラメータ２６６及び優先度２６８の情報を格納する。より具体的には、優先度評価テーブル２６０において、進行パラメータ２６２、速度パラメータ２６４、資産重要度パラメータ２６６の各パラメータの「高い」、「中」、「低」の３つの段階について、対応する優先度２６８を示している。
　なお、図９では、優先度評価テーブル２６０の一例を示しているが、本開示はこれに限定されず、優先度評価テーブル２６０の構成（各種パラメータや優先度の段階の対応関係等）は、適宜に変更されてもよい。
　特定のサイバー攻撃について、速度パラメータ、進行パラメータ及び資産重要度パラメータが全て判定された後、サイバーセキュリティ管理装置の優先度判定部は、これらのパラメータと、優先度評価テーブル２６０とを用いることで、当該サイバー攻撃の優先度を判定することができる。より具体的には、優先度判定部は、優先度評価テーブル２６０において、判定した速度パラメータ、進行パラメータ及び資産重要度パラメータの値に対応する要素を特定し、特定した要素に記載の値をサイバー攻撃の優先度として判定する。
　一例として、特定のサイバー攻撃について、進行パラメータ２６２が「中」、速度パラメータ２６４が「低」、資産重要度パラメータ２６６が「高い」と判定された場合、当該サイバー攻撃の優先度２６８が「中」と判定される。
　このように、速度パラメータと、進行パラメータと、資産重要度パラメータと、優先度評価テーブルとを用いることで、サイバー攻撃の優先度は、非時間依存のパラメータのみならず、サイバー攻撃のリアルタイムの進行を示す時間依存のパラメータを用いて判定される。速度パラメータと、進行パラメータと、資産重要度パラメータとを用いることにより、サイバー攻撃の現時点での進行の度合い、サイバー攻撃が進んでいる速さ及び攻撃対象となったコンピューティング資産のネットワークにおける重要性を考慮した優先度判定が可能となり、サイバー攻撃の被害を最小限に抑えるための最適な対策のリアルタイム判断が容易となる。
　次に、図１０を参照して、本開示の実施形態に係る優先度判定処理の流れについて説明する。
　図１０は、本開示の実施形態に係る優先度判定処理１０００の流れを示すフローチャートである。優先度判定処理１０００は、サイバー攻撃の優先度を判定するための処理であり、例えば図２に示すサイバーセキュリティ管理装置の各機能部によって行われる。
　まず、ステップＳ１００４では、サイバーセキュリティ管理装置の情報取得部（例えば、図２に示す情報取得部２５２）は、データログ情報を受信する。ここでは、情報取得部は、
データログ情報を上述したクライアント環境から取得してもよい。このデータログ情報は、
サイバー攻撃の攻撃対象に関するセキュリティイベントを示す情報である。例えば、データログ情報は、各セキュリティイベントの検出時刻、影響を受けたコンピューティングデバイス、種類、重要度等を含んでもよい。
　次に、ステップＳ１００６では、サイバーセキュリティ管理装置のパラメータ判定部（例えば、図２に示すパラメータ判定部２５４）は、ステップＳ１００４で受信したデータログ情報を解析し、サイバー攻撃に対応するセキュリティイベントを検出する。上述したように、ここでのセキュリティイベントとは、サイバー攻撃の目的を達成するための工程である。一般に、一つのサイバー攻撃は、１つ又は複数のセキュリティイベントからなる。例えば、サイバー攻撃がＤＤｏＳ攻撃の場合、サーバの過剰負荷を引き起こすために送信される各データは異なる「セキュリティイベント」として検出され、データログ情報に記録される。
　次に、ステップＳ１００８では、パラメータ判定部は、クライアント環境から取得したデータログ情報と、セキュリティ機関から取得した攻撃手法情報１００５に基づいて作成された攻撃手法テーブルとを用いることで、サイバー攻撃の現時点での進行の度合いを示す進行パラメータを判定する。
　なお、進行パラメータを判定する場合の詳細は図４を参照して説明したため、ここではその説明を省略する。
　次に、ステップＳ１０１０では、パラメータ判定部は、クライアント環境から取得した攻撃対象情報及びネットワーク構造情報１０１５に基づいて、攻撃対象の重要度を示す重要度パラメータを判定する。
　なお、重要度パラメータを判定する場合の詳細は図８を参照して説明したため、ここではその説明を省略する。
　次に、ステップＳ１０１２では、パラメータ判定部は、ステップＳ１００４でクライアント環境から取得したデータログ情報に記録されている各セキュリティイベントの検出時刻に基づいてセキュリティイベント間の時間間隔を計算する。
　なお、このセキュリティイベント間の時間間隔を計算する場合の詳細は図５を参照して説明したため、ここではその説明を省略する。
　次に、ステップＳ１０１４では、パラメータ判定部は、ステップＳ１０１２で計算したセキュリティイベント間の時間間隔と、攻撃速度テーブル６００とに基づいて、サイバー攻撃の速度を示す速度パラメータを判定する。
　なお、速度パラメータを判定する場合の詳細は既に図６～図７を参照して説明したため、ここではその説明を省略する。
　次に、ステップＳ１０１６では、サイバーセキュリティ管理装置の優先度判定部（例えば、図２に示す優先度判定部２５６）は、ステップＳ１００８で判定した進行パラメータと、ステップＳ１０１０で判定した資産重要度パラメータと、ステップＳ１０１４で判定した速度パラメータと、事前に作成された優先度評価テーブル２６０とを用いて、サイバー攻撃の優先度を判定する。
　なお、進行パラメータと、資産重要度パラメータと、速度パラメータと、優先度評価テーブル２６０とを用いてサイバー攻撃の優先度を判定する場合の詳細は、図９を参照して説明したため、ここではその説明を省略する。
　次に、ステップＳ１０１８では、優先度判定部は、ステップＳ１０１６で計算したサイバー攻撃の優先度を示す優先度情報をクライアント環境に送信する。この優先度情報は、例えばサイバー攻撃が終了する前にリアルタイムで送信されてもよい。これにより、サイバー攻撃がリアルタイムで進行するにつれて、最適なサイバー攻撃対策を判断し、実行することができる。
　次に、ステップＳ１０２０では、情報取得部が追加の情報（例えば、最新のデータログ情報、更新した攻撃対象情報、ネットワーク構造情報又は攻撃手法情報）を受信した場合、本処理はステップＳ１００４へ戻り、追加の情報がステップＳ１００６～Ｓ１０１６で処理される。
　以上説明した優先度判定処理１０００によれば、非時間依存のパラメータのみならず、サイバー攻撃のリアルタイムの進行を示す時間依存のパラメータを用いてサイバー攻撃の優先度を判定することで、サイバー攻撃の被害を最小限に抑えるための最適な対策の判断を容易にすることができる。
　次に、図１１～図１４を参照して、本開示の実施形態に係るユーザインターフェースについて説明する。図１１～図１４に示す画面のそれぞれは、サイバーセキュリティ管理装置２５０又はクライアント環境２２０に接続されているディスプレイ（図２に図示せず）等に表示されてもよい。
　図１１は、本開示の実施形態に係る資産重要度を確認するための資産重要度確認画面１１００を示す図である。図１１に示すように、資産重要度確認画面１１００は、ネットワーク構成ウインドウ１１１０と、画面切り替えウインドウ１１２０と、データログ情報テーブル１１３０とを含む。
　ネットワーク構成ウインドウ１１１０では、サイバー攻撃の攻撃対象となったコンピューティング資産を含むネットワーク（例えば、図２に示すクライアント環境２２０）のネットワーク構成が表示される。上述したように、ある実施形態では、このネットワークのネットワーク構成は、相対的な重要度が異なるネットワーク階級に分けられて表示される。一例として、このネットワークのネットワーク構成は、重要度が「高」、「中」、「低」との３つの階級に分けられてもよい。そして、攻撃対象となった資産は、この重要度毎に分けられたネットワーク構成において、強調表示されてもよい。これにより、資産重要度確認画面１１００を閲覧するユーザは、攻撃対象となったコンピューティング資産の重要度を容易に確認することができる。
　画面切り替えウインドウ１１２０では、資産重要度確認画面、攻撃速度確認画面、攻撃進行確認画面及び攻撃優先度確認画面のそれぞれの画面に切り替えるためのボタンが表示される。ユーザは、いずれかのボタンを押すことにより、所望の確認画面に切り替えることができる。
　データログ情報テーブル１１３０では、サイバー攻撃の攻撃対象となったコンピューティング資産について取得されたデータログ情報が表示される。例えば、図１１に示すように、このデータログ情報テーブル１１３０は、サイバー攻撃における各セキュリティイベントの検出時刻、対象となった装置、データログの種類、攻撃手法、及び攻撃対象となったコンピューティング資産の重要度等の情報を含んでもよい。データログ情報テーブル１１３０によれば、ユーザは、現在進行中のサイバー攻撃に関する情報をリアルタイムで確認することができる。
　図１２は、本開示の実施形態に係るサイバー攻撃の進行の度合いを確認するための攻撃進行確認画面１２００を示す図である。図１２に示すように、攻撃進行確認画面１２００は、攻撃手法情報表示ウインドウ１２１０と、画面切り替えウインドウ１１２０と、データログ情報テーブル１１３０とを含む。
　攻撃手法情報表示ウインドウ１２１０では、サイバー攻撃の攻撃手法を特定するための攻撃手法情報が表示される。この攻撃手法情報表示ウインドウ１２１０で表示される攻撃手法情報は、例えば上述したセキュリティ機関（例えば、図２に示すセキュリティ機関２１０）から取得した情報であり、図４に示す攻撃手法テーブル４００と実質的に同様の情報であってもよい。図１２に示すように、攻撃手法情報表示ウインドウ１２１０では、現在進行中のサイバー攻撃において使用された攻撃手法は、強調表示されてもよい。上述したように、これらの攻撃手法は、サイバー攻撃の進行の度合いを示す指標の一つである。従って、このように、攻撃進行確認画面１２００を閲覧するユーザは、サイバー攻撃の進行の度合いを容易に確認することができる。
　図１３は、本開示の実施形態に係るサイバー攻撃の速度を確認するための攻撃速度確認画面１３００を示す図である。図１３に示すように、攻撃速度確認画面１３００は、サイバー攻撃速度ウインドウ１３１０と、画面切り替えウインドウ１１２０と、データログ情報テーブル１１３０とを含む。
　サイバー攻撃速度ウインドウ１３１０では、サイバー攻撃におけるセキュリティイベントの時間間隔の推移がグラフ形式で表示される。上述したように、サイバー攻撃におけるセキュリティイベントの時間間隔は、サイバー攻撃の進行の速度を示す指標の一つである。ある実施形態では、サイバー攻撃速度ウインドウ１３１０に表示されるグラフは、サイバー攻撃の速度が「高」、「中」、「低」との３つの階級に分けられてもよい。これらの段階は色別に分けられてもよい。このように、攻撃速度確認画面１３００を閲覧するユーザは、サイバー攻撃の速度を容易に確認することができる。
　図１４は、本開示の実施形態に係るサイバー攻撃の優先度を確認するための優先度確認画面１４００を示す図である。図１４に示すように、優先度確認画面１４００は、優先度評価テーブルを示す優先度評価ウインドウ１４１０と、画面切り替えウインドウ１１２０と、データログ情報テーブル１１３０とを含む。
　優先度評価ウインドウ１４１０では、優先度評価テーブルが表示される。この優先度評価テーブルは、例えば、上述したように、サイバー攻撃の優先度を判定するために用いられたテーブルである。図１４に示すように、ある実施形態では、サイバー攻撃の評価結果（つまり、優先度を示す優先度情報）は、優先度評価テーブルにおいて反映されてもよい。これにより、優先度確認画面１４００を閲覧するユーザは、それぞれの時間依存パラメータ及び非時間依存のパラメータについて、優先度の判定結果を確認することができる。
　以上説明した図１１～図１４に示すユーザインターフェースによれば、ユーザは、サイバー攻撃を特徴付けるそれぞれの時間依存パラメータ及び非時間依存のパラメータをリアルタイムで確認することができる。
　本発明の態様は、装置、方法、システム、プログラム等、任意の形態で実施されてもよい。ある実施形態では、本発明は、外部装置の記憶媒体から通信ネットワーク経由、又は可搬型記憶媒体経由で任意のコンピューティング環境において導入されるプログラムとして実施されてもよい。
　この場合、本発明の一態様は、サイバー攻撃の対象である攻撃対象に対するサイバー攻撃を評価するための攻撃評価情報として、前記サイバー攻撃におけるセキュリティイベントを示すデータログ情報と、前記サイバー攻撃の攻撃手法を特定するための攻撃手法情報と、前記攻撃対象に関する攻撃対象情報と、前記攻撃対象を含むネットワーク構造を示すネットワーク構造情報とを取得する工程と、前記データログ情報に基づいて、前記セキュリティイベントの時間間隔を計算する工程と、前記セキュリティイベントの時間間隔に基づいて、前記サイバー攻撃の進行速度を示す速度パラメータを判定する工程と、前記攻撃手法情報に基づいて、前記サイバー攻撃の攻撃手法を判定する工程と、判定した前記攻撃手法に基づいて、前記サイバー攻撃の進行の度合いを示す進行パラメータを判定する工程と、前記攻撃対象に関する攻撃対象情報と、前記攻撃対象を含むネットワーク構造を示すネットワーク構造情報とに基づいて、前記攻撃対象のネットワーク構造におけるネットワーク階級を判定する工程と、判定した前記攻撃対象のネットワーク階級に基づいて、前記攻撃対象の重要度を示す資産重要度パラメータを判定する工程と、前記サイバー攻撃の進行速度、前記サイバー攻撃の進行の度合い及び前記攻撃対象の重要度を前記サイバー攻撃の優先度に対応付ける優先度評価テーブルと、前記速度パラメータと、前記進行パラメータと、前記資産重要度パラメータとに基づいて、前記サイバー攻撃の優先度を判定する工程と、判定した前記優先度を示す優先度情報を、前記サイバー攻撃が終了する前に生成し、出力する工程とをコンピュータに実施させるためのコンピュータープログラムを記憶した記憶媒体を含んでもよい。
　以上、本発明の実施の形態について説明したが、本発明は、上述した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更が可能である。
２００...サイバーセキュリティ管理システム、２１０...セキュリティ機関、２１２...サーバ装置、２２０...クライアント環境、２２１、２２２、２２３...クライアント装置、２３０...通信ネットワーク、２５０...サイバーセキュリティ管理装置、２５２...情報取得部、２５４...パラメータ判定部、２５６...優先度判定部、２５８...記憶部、２６０...優先度評価テーブル

Claims (9)

  1. 　サイバーセキュリティ管理装置であって、
    　サイバー攻撃の対象である攻撃対象に対するサイバー攻撃を評価するための攻撃評価情報を取得する情報取得部と、
    　前記攻撃評価情報に基づいて、前記サイバー攻撃を評価する評価基準として、時間に依存する時間依存パラメータと、時間に依存しない非時間依存パラメータとを判定するパラメータ判定部と、
    　前記時間依存パラメータと、前記非時間依存パラメータとに基づいて、前記サイバー攻撃に関する優先度を判定する優先度判定部と、
    　を含むことを特徴とするサイバーセキュリティ管理装置。
  2. 　前記情報取得部は、
    　前記攻撃評価情報として、
    　前記攻撃対象に対する前記サイバー攻撃におけるセキュリティイベントを示すデータログ情報と、
    　前記サイバー攻撃の攻撃手法を特定するための攻撃手法情報と、
    　前記攻撃対象に関する攻撃対象情報と、前記攻撃対象を含むネットワーク構造を示すネットワーク構造情報と、
    　を取得することを特徴とする、請求項１に記載のサイバーセキュリティ管理装置。
  3. 　前記パラメータ判定部は、
    　前記データログ情報に基づいて、前記セキュリティイベントの時間間隔を計算し、
    　前記セキュリティイベントの時間間隔に基づいて、前記サイバー攻撃の進行速度を示す速度パラメータを、前記時間依存パラメータとして判定する、
    　ことを特徴とする、請求項２に記載のサイバーセキュリティ管理装置。
  4. 　前記パラメータ判定部は、
    　前記攻撃手法情報に基づいて、前記サイバー攻撃の攻撃手法を判定し、
    　判定した前記攻撃手法に基づいて、前記サイバー攻撃の進行の度合いを示す進行パラメータを、前記時間依存パラメータとして判定する、
    　ことを特徴とする、請求項３に記載のサイバーセキュリティ管理装置。
  5. 　前記パラメータ判定部は、
    　前記攻撃対象に関する攻撃対象情報と、前記攻撃対象を含むネットワーク構造を示すネットワーク構造情報とに基づいて、前記攻撃対象のネットワーク構造におけるネットワーク階級を判定し、
    　判定した前記攻撃対象のネットワーク階級に基づいて、前記攻撃対象の重要度を示す資産重要度パラメータを前記非時間依存パラメータとして判定する、
    　ことを特徴とする、請求項４に記載のサイバーセキュリティ管理装置。
  6. 　前記サイバーセキュリティ管理装置は、
    　前記サイバー攻撃の進行速度と、前記サイバー攻撃の進行の度合いと、前記攻撃対象の重要度とを、前記サイバー攻撃の優先度に対応付ける優先度評価テーブルを格納する記憶部を更に含み、
    　前記優先度判定部は、
    　前記速度パラメータと、前記進行パラメータと、前記資産重要度パラメータとを、前記優先度評価テーブルに比較することで、前記サイバー攻撃の優先度を判定する、
    　ことを特徴とする、請求項５に記載のサイバーセキュリティ管理装置。
  7. 　前記優先度判定部は、
    　前記サイバー攻撃の優先度を示す優先度情報を、前記サイバー攻撃が終了する前に生成し、出力する、
    　ことを特徴とする、請求項１に記載のサイバーセキュリティ管理装置。
  8. 　サイバーセキュリティ管理方法であって、
    　サイバー攻撃の対象である攻撃対象に対するサイバー攻撃を評価するための攻撃評価情報として、前記サイバー攻撃におけるセキュリティイベントを示すデータログ情報と、前記サイバー攻撃の攻撃手法を特定するための攻撃手法情報と、前記攻撃対象に関する攻撃対象情報と、前記攻撃対象を含むネットワーク構造を示すネットワーク構造情報とを取得する工程と、
    　前記データログ情報に基づいて、前記セキュリティイベントの時間間隔を計算する工程と、
    　前記セキュリティイベントの時間間隔に基づいて、前記サイバー攻撃の進行速度を示す速度パラメータを判定する工程と、
    　前記攻撃手法情報に基づいて、前記サイバー攻撃の攻撃手法を判定する工程と、
    　判定した前記攻撃手法に基づいて、前記サイバー攻撃の進行の度合いを示す進行パラメータを判定する工程と、
    　前記攻撃対象に関する攻撃対象情報と、前記攻撃対象を含むネットワーク構造を示すネットワーク構造情報とに基づいて、前記攻撃対象のネットワーク構造におけるネットワーク階級を判定する工程と、
    　判定した前記攻撃対象のネットワーク階級に基づいて、前記攻撃対象の重要度を示す資産重要度パラメータを判定する工程と、
    　前記サイバー攻撃の進行速度、前記サイバー攻撃の進行の度合い及び前記攻撃対象の重要度を前記サイバー攻撃の優先度に対応付ける優先度評価テーブルと、前記速度パラメータと、前記進行パラメータと、前記資産重要度パラメータとに基づいて、前記サイバー攻撃の優先度を判定する工程と、
    　判定した前記優先度を示す優先度情報を、前記サイバー攻撃が終了する前に生成し、出力する工程と、
    　を含むことを特徴とするサイバーセキュリティ管理方法。
  9. 　サイバーセキュリティ管理システムであって、
    　サイバー攻撃に対抗するための情報を提供するセキュリティ機関サーバ装置と、
    　サイバー攻撃の攻撃対象となるクライアント装置と、
    　サイバー攻撃の優先度を判定するためのサイバーセキュリティ管理装置と、
    　を含み、
    　前記サイバーセキュリティ管理装置は、
    　サイバー攻撃の対象である攻撃対象に対するサイバー攻撃を評価するための攻撃評価情報として、前記サイバー攻撃におけるセキュリティイベントを示すデータログ情報を前記クライアント装置から取得し、
    　前記サイバー攻撃の攻撃手法を特定するための攻撃手法情報を前記セキュリティ機関サーバ装置から取得し、
    　前記攻撃対象に関する攻撃対象情報と、前記攻撃対象を含むネットワーク構造を示すネットワーク構造情報と前記クライアント装置から取得する情報取得部と、
    　前記データログ情報に基づいて、前記セキュリティイベントの時間間隔を計算し、前記セキュリティイベントの時間間隔に基づいて、前記サイバー攻撃の進行速度を示す速度パラメータを判定し、
    　前記攻撃手法情報に基づいて、前記サイバー攻撃の攻撃手法を判定し、判定した前記攻撃手法に基づいて、前記サイバー攻撃の進行の度合いを示す進行パラメータを判定し、
    　前記攻撃対象に関する攻撃対象情報と、前記攻撃対象を含むネットワーク構造を示すネットワーク構造情報とに基づいて、前記攻撃対象のネットワーク構造におけるネットワーク階級を判定し、判定した前記攻撃対象のネットワーク階級に基づいて、前記攻撃対象の重要度を示す資産重要度パラメータを判定するパラメータ判定部と、
    　前記サイバー攻撃の進行速度、前記サイバー攻撃の進行の度合い及び前記攻撃対象の重要度を前記サイバー攻撃の優先度に対応付ける優先度評価テーブルと、前記速度パラメータと、前記進行パラメータと、前記資産重要度パラメータとに基づいて、前記サイバー攻撃の優先度を判定し、
    　判定した前記優先度を示す優先度情報を、前記サイバー攻撃が終了する前に生成し、前記クライアント装置に送信する優先度判定部と、
    　を含むことを特徴とするサイバーセキュリティ管理システム。
PCT/JP2022/016507 2021-06-16 2022-03-31 サイバーセキュリティ管理装置、サイバーセキュリティ管理方法及びサイバーセキュリティ管理システム WO2022264650A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021-099991 2021-06-16
JP2021099991A JP2022191649A (ja) 2021-06-16 2021-06-16 サイバーセキュリティ管理装置、サイバーセキュリティ管理方法及びサイバーセキュリティ管理システム

Publications (1)

Publication Number Publication Date
WO2022264650A1 true WO2022264650A1 (ja) 2022-12-22

Family

ID=84527079

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/016507 WO2022264650A1 (ja) 2021-06-16 2022-03-31 サイバーセキュリティ管理装置、サイバーセキュリティ管理方法及びサイバーセキュリティ管理システム

Country Status (2)

Country Link
JP (1) JP2022191649A (ja)
WO (1) WO2022264650A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230153729A1 (en) * 2021-10-28 2023-05-18 RiskLens, Inc. Method and apparatus for determining effectiveness of cybersecurity risk controls

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160226893A1 (en) * 2015-01-30 2016-08-04 Wipro Limited Methods for optimizing an automated determination in real-time of a risk rating of cyber-attack and devices thereof
KR102088310B1 (ko) * 2018-11-15 2020-03-16 주식회사 이글루시큐리티 공격빈도, 자산중요도 및 취약정도에 따른 위험지수 보정시스템 및 그 방법

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160226893A1 (en) * 2015-01-30 2016-08-04 Wipro Limited Methods for optimizing an automated determination in real-time of a risk rating of cyber-attack and devices thereof
KR102088310B1 (ko) * 2018-11-15 2020-03-16 주식회사 이글루시큐리티 공격빈도, 자산중요도 및 취약정도에 따른 위험지수 보정시스템 및 그 방법

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230153729A1 (en) * 2021-10-28 2023-05-18 RiskLens, Inc. Method and apparatus for determining effectiveness of cybersecurity risk controls

Also Published As

Publication number Publication date
JP2022191649A (ja) 2022-12-28

Similar Documents

Publication Publication Date Title
US11693964B2 (en) Cyber security using one or more models trained on a normal behavior
US11265350B2 (en) Cyber risk analysis and remediation using network monitored sensors and methods of use
US11750631B2 (en) System and method for comprehensive data loss prevention and compliance management
US11025674B2 (en) Cybersecurity profiling and rating using active and passive external reconnaissance
US20190260793A1 (en) Multidimensional clustering analysis and visualizing that clustered analysis on a user interface
AU2011209895B2 (en) Insider threat correlation tool
US9038187B2 (en) Insider threat correlation tool
JP2022512192A (ja) 挙動による脅威検出のためのシステムおよび方法
US20210360032A1 (en) Cybersecurity risk analysis and anomaly detection using active and passive external reconnaissance
JP6656211B2 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
JP2022512195A (ja) 挙動による脅威検出のためのシステムおよび方法
CA3078261A1 (en) Systems and methods for cybersecurity risk assessment of users of a computer network
CN109643349B (zh) 基于症状时长以及端点在环境中的重要性的端点的动态排名和呈现
KR20070033433A (ko) 지문법 및 실시간 증거 수집을 사용하여 콘텐츠를 보호하기위한 장치, 시스템 및 방법
WO2022264650A1 (ja) サイバーセキュリティ管理装置、サイバーセキュリティ管理方法及びサイバーセキュリティ管理システム
JP7099533B2 (ja) 影響範囲推定装置、影響範囲推定方法、及びプログラム
WO2012053041A1 (ja) セキュリティポリシーに基づくセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラム
KR100961992B1 (ko) 마르코프 체인을 이용한 사이버 범죄 행위 분석 방법, 그장치 및 이를 기록한 기록매체
US10255559B1 (en) Self-learning and best-practice profiling and alerting with relative and absolute capacity
US11080160B1 (en) Self-learning and best-practice profiling and alerting with relative and absolute capacity
US20240171614A1 (en) System and method for internet activity and health forecasting and internet noise analysis
WO2020261582A1 (ja) 検知装置、検知方法および検知プログラム
Gkroumas et al. Cross-Network Behavioral Clustering for Managed Security Service Providers
WO2021154460A1 (en) Cybersecurity profiling and rating using active and passive external reconnaissance

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22824646

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 22824646

Country of ref document: EP

Kind code of ref document: A1