WO2023166614A1 - 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体 - Google Patents

情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体 Download PDF

Info

Publication number
WO2023166614A1
WO2023166614A1 PCT/JP2022/008895 JP2022008895W WO2023166614A1 WO 2023166614 A1 WO2023166614 A1 WO 2023166614A1 JP 2022008895 W JP2022008895 W JP 2022008895W WO 2023166614 A1 WO2023166614 A1 WO 2023166614A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
exercise
information processing
scenario
specified
Prior art date
Application number
PCT/JP2022/008895
Other languages
English (en)
French (fr)
Inventor
格 細見
佑典 高橋
太地 羽角
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to PCT/JP2022/008895 priority Critical patent/WO2023166614A1/ja
Publication of WO2023166614A1 publication Critical patent/WO2023166614A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09B—EDUCATIONAL OR DEMONSTRATION APPLIANCES; APPLIANCES FOR TEACHING, OR COMMUNICATING WITH, THE BLIND, DEAF OR MUTE; MODELS; PLANETARIA; GLOBES; MAPS; DIAGRAMS
    • G09B19/00—Teaching not covered by other main groups of this subclass
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09B—EDUCATIONAL OR DEMONSTRATION APPLIANCES; APPLIANCES FOR TEACHING, OR COMMUNICATING WITH, THE BLIND, DEAF OR MUTE; MODELS; PLANETARIA; GLOBES; MAPS; DIAGRAMS
    • G09B9/00—Simulators for teaching or training purposes

Definitions

  • the present disclosure relates to an information processing device and an information processing method for supporting training against cyber attacks, and further relates to a computer-readable recording medium recording a program for realizing these.
  • attack logs logs
  • US Pat. No. 6,300,001 discloses an apparatus for generating attack scenarios for virtual cyberattacks.
  • the device disclosed in Patent Literature 1 generates an attack scenario by appropriately arranging program components using information indicating relationships between program components.
  • An example of the purpose of the present disclosure is to provide an information processing device, an information processing method, and a computer-readable recording medium that can provide cybersecurity exercises that meet the wishes of individual students.
  • an information processing device includes: an exercise condition acquisition unit that acquires, as an exercise condition, the execution time of the exercise specified by the participant of the cybersecurity exercise; A series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time.
  • an attack motion generator that creates It has
  • an information processing method includes: an exercise condition obtaining step for obtaining an exercise execution time specified by a participant of the cyber security exercise as an exercise condition; A series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time. an attack motion generation step that creates have
  • a computer-readable recording medium in one aspect of the present disclosure includes: to the computer, an exercise condition obtaining step for obtaining an exercise execution time specified by a participant of the cyber security exercise as an exercise condition; A series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time. an attack motion generation step that creates records a program containing instructions to execute
  • FIG. 1 is a configuration diagram showing a schematic configuration of an information processing apparatus according to Embodiment 1.
  • FIG. 2 is a configuration diagram specifically showing the configuration of the information processing apparatus according to the first embodiment.
  • FIG. 3 is a diagram showing an example of attack type information used in the first embodiment.
  • 4 is a diagram showing an example of software information used in Embodiment 1.
  • FIG. 5A and 5B are diagrams for explaining the processing executed by the attack scenario generation unit in Embodiment 1, and FIGS. 5A and 5B show the progress of a series of processing.
  • FIG. 6 is a diagram showing an example of an attack scenario generated in Embodiment 1.
  • FIG. FIG. 7 is a diagram showing an example of extraction conditions used in the first embodiment.
  • FIG. 8 is a flow chart showing the operation of the information processing device according to the first embodiment.
  • FIG. 9 is a diagram showing an example of a screen for specifying exercise conditions.
  • FIG. 10 is a diagram showing an example of a log output by the computer system.
  • FIG. 11 is a diagram showing another example of the log output by the computer system.
  • FIG. 12 is a configuration diagram showing the configuration of the information processing apparatus according to the second embodiment.
  • FIG. 13 is a diagram showing an example of non-attack motion information used in the second embodiment.
  • FIG. 14 is a flow diagram showing the operation of the information processing device according to the second embodiment.
  • FIG. 15 is a block diagram showing an example of a computer that implements the information processing apparatus according to the first and second embodiments.
  • Embodiment 1 An information processing apparatus, an information processing method, and a program according to Embodiment 1 will be described below with reference to FIGS. 1 to 11.
  • FIG. 1 An information processing apparatus, an information processing method, and a program according to Embodiment 1 will be described below with reference to FIGS. 1 to 11.
  • FIG. 1 An information processing apparatus, an information processing method, and a program according to Embodiment 1 will be described below with reference to FIGS. 1 to 11.
  • FIG. 1 is a configuration diagram showing a schematic configuration of an information processing apparatus according to Embodiment 1. As shown in FIG.
  • the information processing device 10 according to Embodiment 1 shown in FIG. 1 is a device for training against cyber attacks, for example, supporting cyber security exercises. As shown in FIG. 1 , the information processing device 10 includes a training condition acquisition unit 11 and an attack motion generation unit 12 .
  • the exercise condition acquisition unit 11 acquires, as an exercise condition, the exercise implementation time specified by the participant of the cybersecurity exercise.
  • the attack action generation unit 12 generates a cyber attack scenario by a virtual attacker for use in cyber security exercises. Then, the attack motion generation unit 12 creates a series of attack motions to be executed in the cybersecurity exercise by extracting portions of the generated scenario that can be executed within the specified execution time.
  • the information processing apparatus 10 creates a series of attack actions to be executed in the cybersecurity exercise according to the execution time of the exercise specified by the participant of the cybersecurity exercise. Therefore, according to the information processing apparatus 10, it is possible to provide a cybersecurity exercise that meets the wishes of each student.
  • FIG. 2 is a configuration diagram specifically showing the configuration of the information processing apparatus according to the first embodiment.
  • the information processing device 10 is capable of data communication with the terminal device 30 of the student and the computer system 40 for executing the cyber security exercise via a network. It is connected. Further, as shown in FIG. 2, the information processing apparatus 10 includes an attack motion execution unit 13 and a storage unit 14 in addition to the training condition acquisition unit 11 and the attack motion generation unit 12 described above.
  • the student designates the execution time of the exercise on the terminal device 30. Specifically, the student can specify the start date and time of the exercise and the end date and time of the exercise.
  • the exercise condition acquisition unit 11 calculates the execution time of the exercise from the start date and time of the exercise and the end date and time of the exercise, and acquires the start date and time of the exercise and the execution time of the exercise as exercise conditions.
  • the student can also specify the start date and time of the exercise and the execution time of the exercise. In this case as well, the exercise condition acquisition unit 11 acquires the start date and time of the exercise and the execution time of the exercise as exercise conditions.
  • the student can also specify the type of cyber attack (hereinafter referred to as "attack type") in addition to the exercise implementation time.
  • attack type the type of cyber attack
  • the type of cyberattack is specified by the student, for example, by inputting past cases, attack groups (or attack tools), or attack objectives as shown below.
  • the exercise condition acquisition unit 11 acquires the type of cyberattack as an exercise condition from the terminal device 30 in addition to the specified execution time.
  • ⁇ Past cases Incident A, Incident B, etc.
  • ⁇ Attacking groups or attack tools: APT29, REvil, Emotet, Cobalt Strike, etc. Denial of service, information theft, data encryption, resource hijacking, service suspension, etc.
  • the attack action generation unit 12 uses attack type information 141, software information 142, attack action condition information 143, scenario information 144, and environment information 145 stored in the storage unit 14 to generate cyber attacks. Create a series of attack actions that will be performed in a security exercise. Also, as shown in FIG. 2 , the attack motion generation unit 12 includes an attack scenario generation unit 121 , a partial scenario extraction unit 122 , a partial scenario verification unit 123 and an execution sequence generation unit 124 .
  • the attack scenario generation unit 121 generates a cyber attack scenario (hereinafter referred to as "attack scenario") by a virtual attacker according to the attack type specified by the student.
  • An attack scenario is information specifying an attack target, a tactic, and an attack method for each attack stage (step).
  • the attack scenario generation unit 121 collates the attack type acquired as the exercise condition with the attack type information 141 to generate an attack scenario.
  • FIG. 3 is a diagram showing an example of attack type information used in the first embodiment.
  • 4 is a diagram showing an example of software information used in Embodiment 1.
  • FIG. 5A and 5B are diagrams for explaining the processing executed by the attack scenario generation unit in Embodiment 1, and FIGS. 5A and 5B show the progress of a series of processing.
  • FIG. 6 is a diagram showing an example of an attack scenario generated in Embodiment 1.
  • the attack type information 141 is information indicating the relationship between attack types, tactics, and attack methods.
  • the attack type information 141 includes the attack type and its corresponding "type type", "related main tactics (Tactic(s))”, and “used attack technique (Technique(s))", consists of
  • the "attack method used” is expressed according to the vocabulary used in MITER ATT&CK ID (see https://attack.mitre.org).
  • numbers such as "T1041” and “T1566.001” are identification numbers that identify techniques used in attacks, and are defined by MITER ATT&CK ID.
  • the "Attack Techniques Used” column covers the techniques used in the attacks.
  • the software information 142 is information indicating the relationship between the technology used in the attack and the software.
  • the software information 142 consists of "supported technology”, “software name”, “supported environment”, “execution type”, “required time”, “input format”, and “output format”. It is The number attached to "corresponding technology” is the corresponding MITER ATT&CK ID.
  • the attack scenario generation unit 121 first identifies the attack type specified by the student from the exercise conditions acquired by the exercise condition acquisition unit 11 . Next, the attack scenario generation unit 121 collates the identified attack type with the attack type information 141 (see FIG. 3), and the corresponding “type type”, “related main tactic”, and “used identify “attack techniques that Then, the attack scenario generation unit 121 uses the software information 142 to identify software corresponding to each technique included in the "attack technique used".
  • the attack scenario generator 121 completes the attack scenario using the identified tactics, techniques, and software, as shown in FIG.
  • “ TA1 , TA2 , TA3 , ! indicates the tactics included in the identified "related main tactics.”
  • TE 1 , TE 2 , TE 3 , ! indicate the techniques included in the identified "attack techniques used”.
  • " S1 , S2 , S3 , ! indicates the software corresponding to each technology.
  • the attack scenario generation unit 121 can also generate the attack scenario so that the designated attack purpose becomes the end (last tactic).
  • attack scenario generation unit 121 selects a terminal device to be attacked from among the terminal devices constituting the computer system 40 according to the system environment of the terminal device.
  • the "execution time” is obtained by adding the “required time” (see FIG. 4) in the software information to the execution time of the previous attack. Also, the “execution time” may be obtained by adding a random amount of time to the time obtained by adding the required time.
  • the "execution command” corresponds to the "input format” shown in FIG.
  • the execution sequence generation unit 124 refers to the environment information 145 stored in the storage unit 14 and inputs the attack target file path, IP address, and the like to the variable portion of the execution command.
  • the environment information 145 is, for example, information specifying values such as file paths and IP addresses corresponding to parameters ($source, $target, $ipaddress, etc.) for each attack destination (client A, client B, etc.). .
  • the partial scenario extraction unit 122 extracts, as a partial scenario, a portion of the generated attack scenario that fits within the exercise execution time acquired as the exercise condition. Specifically, for example, if the execution time, which is the exercise condition, is one hour, the partial scenario extraction unit 122 extracts partial scenarios that can be executed within one hour.
  • the partial scenario extraction unit 122 determines whether or not each attack action of the extracted partial scenario satisfies the extraction conditions included in the attack action condition information 143 . If the extracted partial scenario does not satisfy the extraction conditions, the partial scenario extraction unit 122 causes the attack scenario generation unit 121 to generate an attack scenario again.
  • FIG. 7 is a diagram showing an example of extraction conditions used in the first embodiment. In the example of FIG. 7, the extraction conditions are set with attribute values and reference value conditions for each attribute.
  • the partial scenario extraction unit 122 After extracting the partial scenario, the partial scenario extraction unit 122 associates the ID (identifier) of the student who specified the exercise condition with the extracted partial scenario, and stores both as scenario information 144 .
  • the scenario information 144 is information specifying a partial scenario extracted in the past for each student ID.
  • the partial scenario verification unit 123 determines whether the partial scenario extracted by the partial scenario extraction unit 122 is suitable. Specifically, the partial scenario verification unit 123 collates the ID of the student who specified the exercise condition and the extracted partial scenario with the scenario information 144 . Then, the partial scenario verification unit 123 compares the extracted part with a part extracted in the past for the same student, and determines whether the ratio of overlap between the two is equal to or greater than a threshold.
  • the partial scenario verification unit 123 causes the partial scenario extraction unit 122 to extract another partial scenario from the attack scenario.
  • the partial scenario verification unit 123 instructs the execution sequence generation unit 124 to perform processing. Note that the threshold value in this case is appropriately set.
  • the execution sequence generation unit 124 uses partial scenarios to generate a series of attack actions to be executed in cybersecurity exercises, that is, an attack execution sequence.
  • execution commands are arranged in order of execution. Further, as described above, the execution sequence generation unit 124 refers to the environment information 145 stored in the storage unit 14 in the variable part of the "execution command" of the attack scenario (see FIG. 6), Enter the file path, IP address, etc.
  • the attack operation execution unit 13 transmits the created series of attack operations, that is, the execution sequence, to the computer system 40 for executing the cybersecurity exercise, and causes the computer system 40 to execute the series of attack operations.
  • the attack action execution unit 13 causes the computer system 40 to execute a series of attack actions in accordance with the designated start date and time.
  • the execution timing of the series of attack actions may be the specified start date and time, or may be a random time within a predetermined range around the specified start date and time.
  • the computer system 40 is composed of a plurality of terminal devices and a server device, and the command is executed by the terminal device that is the attack target. After that, the computer system 40 outputs logs collected during execution of a series of attack operations. The output log will be used as a teaching material in cyber security exercises by students.
  • FIG. 8 is a flow chart showing the operation of the information processing device according to the first embodiment. 1 to 7 will be referred to as appropriate in the following description. Further, in Embodiment 1, the information processing method is implemented by operating the information processing apparatus 10 . Therefore, the description of the information processing method in Embodiment 1 is replaced with the description of the operation of the information processing apparatus 10 below.
  • the exercise condition acquisition unit 11 acquires the exercise implementation time and attack type specified by the student as exercise conditions (step A1). Also, the exercise condition acquisition unit 11 inputs the acquired exercise conditions to the attack motion generation unit 12 .
  • FIG. 9 is a diagram showing an example of a screen for specifying exercise conditions.
  • the attack scenario generation unit 121 generates an attack scenario by a virtual attacker according to the attack type specified by the student (step A2).
  • the partial scenario extraction unit 122 extracts, as a partial scenario, a portion of the generated attack scenario that fits within the execution time of the exercise acquired as the exercise condition (step A3).
  • the partial scenario extraction unit 122 determines whether each attack action of the extracted partial scenario satisfies the extraction conditions included in the attack action condition information 143 (step A4).
  • step A4 if each attack action of the extracted partial scenario does not satisfy the extraction conditions included in the attack action condition information 143 (step A4: No), the partial scenario extraction unit 122 generates an attack scenario.
  • the part 121 is made to perform step A2 again.
  • step A4 when each attack action of the extracted partial scenario satisfies the extraction condition included in the attack action condition information 143 (step A4: Yes), the process by the partial scenario verification unit 123 is executed. done.
  • the partial scenario verification unit 123 determines whether the partial scenario extracted in step A3 is appropriate (step A5).
  • the partial scenario verification unit 123 collates the ID of the student who specified the exercise conditions and the extracted partial scenario with the scenario information 144 . Then, the partial scenario verification unit 123 compares the extracted part with a part extracted in the past for the same student, and determines whether the ratio of overlap between the two is equal to or greater than a threshold. As a result of the determination, if the ratio of overlap between the two is equal to or greater than the threshold, the partial scenario verification unit 123 determines that the partial scenario is not suitable. On the other hand, if the ratio of overlap between the two is not equal to or greater than the threshold, the partial scenario verification unit 123 determines that the partial scenario is suitable.
  • step A5 if the partial scenario extracted in step A3 is not suitable (step A5: No), the partial scenario verification unit 123 causes the partial scenario extraction unit 122 to execute step A3 again, Extract another partial scenario from the scenario.
  • step A5 if the partial scenario extracted in step A3 is suitable (step A5: Yes), the execution sequence generator 124 uses the partial scenario to create a series of An attack motion is generated (step A6).
  • the attack operation executing unit 13 transmits the series of attack operations (execution sequence) created in step A6 to the computer system 40 for executing the cybersecurity exercise, and the computer system 40 executes the series of attack operations. is executed (step A7).
  • step A7 the processing in the information processing device 10 ends.
  • the command is executed by the terminal device that is the attack target.
  • the computer system 40 outputs logs collected during execution of a series of attack operations as shown in FIGS. 10 and 11.
  • FIG. The output log will be used as a teaching material in cyber security exercises by students.
  • FIG. 10 is a diagram showing an example of a log output by the computer system.
  • the log shown in FIG. 10 is the event log acquired from the terminal device.
  • FIG. 11 is a diagram showing another example of the log output by the computer system.
  • the log shown in FIG. 11 is a USN journal (Update Sequence Number Journal) log obtained from the terminal device.
  • the information processing apparatus 10 performs a series of exercises to be executed in the cybersecurity exercise according to the start date and time of the exercise, the execution time of the exercise, and the attack type specified by the participant of the cybersecurity exercise. attack motion is created. Therefore, students can conduct cyber security exercises under the conditions specified by themselves. In addition, since the series of attack actions will be different from those used in the cyber security exercises that the students have attended in the past, the students will be able to improve their skills efficiently.
  • the program in Embodiment 1 may be any program that causes a computer to execute steps A1 to A7 shown in FIG. By installing this program in a computer and executing it, the information processing apparatus 10 and the information processing method according to the present embodiment can be realized.
  • the processor of the computer functions as an exercise condition acquisition unit 11, an attack motion generation unit 12, and an attack motion execution unit 13, and performs processing. Examples of computers include general-purpose PCs, smartphones, and tablet-type terminal devices.
  • the storage unit 14 may be realized by storing the data files constituting these in a storage device such as a hard disk provided in the computer, or by a storage device of another computer. It may be realized.
  • the program in Embodiment 1 may be executed by a computer system constructed by a plurality of computers.
  • each computer may function as one of the training condition acquisition unit 11, the attack motion generation unit 12, and the attack motion execution unit 13, respectively.
  • Embodiment 2 Next, an information processing apparatus, an information processing method, and a program according to Embodiment 2 will be described with reference to FIGS. 12 to 14.
  • FIG. 12 An information processing apparatus, an information processing method, and a program according to Embodiment 2 will be described with reference to FIGS. 12 to 14.
  • FIG. 12 An information processing apparatus, an information processing method, and a program according to Embodiment 2 will be described with reference to FIGS. 12 to 14.
  • FIG. 12 is a configuration diagram showing the configuration of the information processing apparatus according to the second embodiment.
  • the information processing device 10 according to the second embodiment shown in FIG. 12 is also a device for training against cyber attacks, for example, supporting cyber security exercises, like the information processing device 10 according to the first embodiment. .
  • the information processing apparatus 20 includes an exercise condition acquisition unit 11, an attack motion generation unit 12, and an attack motion execution unit 13. In addition, it includes a non-attack motion generating section 21 and a non-attack motion executing section 22 .
  • attack type information 141 software information 142 , attack operation condition information 143 , and scenario information 144 , non-attack operation information 146 is also stored in the storage unit 14 .
  • the following description focuses on differences from the first embodiment.
  • the non-attack motion generation unit 21 uses execution commands included in the series of attack motions generated by the attack motion generation unit 12 to generate non-attack motions that do not correspond to cyber attacks.
  • the non-attack motion generation unit 21 compares execution commands (for example, OS standard commands, application programs, etc.) used in a series of attack motions against the non-attack motion information 146 to generate the same execution command. Select a non-attack action that includes one or more actions using commands.
  • FIG. 13 is a diagram showing an example of non-attack motion information used in the second embodiment.
  • the non-attack operation information 146 is information that specifies, for each application used in the attack type, a command string that uses that application.
  • the non-attack action information 146 is composed of "command string", "application”, "difficulty”, and "attack type". The difficulty level will be described later.
  • the non-attack motion generation unit 21 selects a command string corresponding to "APT29” and converts the selected command string into a non-attack type. Let it work. Further, when the student designates the difficulty level in advance, the non-attack motion generation unit 21 can select the corresponding command sequence according to the designated difficulty level.
  • the non-attack motion generation unit 21 can also create a motion log indicating the user's operation using the techniques disclosed in Reference Documents 1 and 2 below, and use this as a non-attack motion.
  • Reference Document 1 Yasuda et al., "Automatic drive system for terminals in active attack observation environment", IEICE Technical Report 119(140), 299-304, 2019-07-23, [https://ci.nii.ac.jp/naid /40021970984]
  • the non-attack motion execution unit 22 transmits the non-attack motion generated by the non-attack motion generation unit 21 to the computer system 40 and causes the computer system 40 to execute the non-attack motion. Specifically, the non-attack motion executing unit 22 transmits the command sequence selected as the non-attack motion to the computer system 40 . As a result, the computer system 40 causes each command sequence to be executed in the terminal device that constitutes it.
  • the computer system 40 can randomly select a command string to be executed from among the transmitted command strings.
  • the non-attack action execution interval may be randomly selected from predetermined values (eg, 1 minute, 1 minute 300 seconds, 2 minutes, 5 minutes, 10 minutes, etc.), or may be selected naturally. In order to increase the execution interval, the execution interval may be increased or decreased by several seconds to the set execution interval.
  • the computer system 40 can also generate variations of pseudo operation logs from existing user operation logs using the technology disclosed in Reference 3 below (Reference 3).
  • Reference 3 Reference 3 below
  • FIG. 14 is a flow diagram showing the operation of the information processing device according to the second embodiment. 12 and 13 will be referred to as needed in the following description. Further, in the second embodiment, the information processing method is implemented by operating the information processing device 20 . Therefore, the description of the information processing method in the second embodiment is replaced with the description of the operation of the information processing apparatus 20 below.
  • the exercise condition acquisition unit 11 acquires the exercise execution time and attack type specified by the student as exercise conditions (step B1).
  • Step B1 is similar to step A1 shown in FIG.
  • the attack scenario generation unit 121 generates an attack scenario by a virtual attacker according to the attack type specified by the student (step B2).
  • Step B2 is similar to step A2 shown in FIG.
  • the partial scenario extraction unit 122 extracts, as a partial scenario, a portion of the generated attack scenario that fits within the exercise implementation time acquired as the exercise condition (step B3).
  • Step B3 is similar to step A3 shown in FIG.
  • Step B4 determines whether each attack action of the extracted partial scenario satisfies the extraction conditions included in the attack action condition information 143 (step B4).
  • Step B4 is similar to step A4 shown in FIG.
  • step B4 if each attack action of the extracted partial scenario does not satisfy the extraction conditions included in the attack action condition information 143 (step B4: No), the partial scenario extraction unit 122 generates an attack scenario.
  • the part 121 is made to perform step B2 again.
  • step B4 when each attack action of the extracted partial scenario satisfies the extraction condition included in the attack action condition information 143 (step B4: Yes), the process by the partial scenario verification unit 123 is executed. done.
  • the partial scenario verification unit 123 determines whether the partial scenario extracted in step B3 is appropriate (step B5). Step B5 is similar to step A5 shown in FIG.
  • step B5 if the partial scenario extracted in step A3 is not suitable (step B5: No), the partial scenario verification unit 123 causes the partial scenario extraction unit 122 to execute step B3 again, Extract another partial scenario from the scenario.
  • step B5 if the partial scenario extracted in step B3 is suitable (step B5: Yes), the execution sequence generation unit 124 uses the partial scenario to create a series of An attack motion is generated (step B6).
  • the non-attack motion generation unit 21 uses the execution commands included in the series of attack motions generated in step B6 to generate non-attack motions that do not correspond to cyber attacks (step B7).
  • step B8 is similar to step A7 shown in FIG.
  • the non-attack motion executing unit 22 transmits the non-attack motion generated in step B7 to the computer system 40, and causes the computer system 40 to also execute the non-attack motion (step B9). Note that step B9 may be executed simultaneously with step B8.
  • step B9 the processing in the information processing device 10 ends.
  • the command is executed by the terminal device that is the attack target.
  • the computer system 40 outputs the logs collected during the execution of the series of attacking actions and the logs collected during the execution of the non-attacking actions.
  • the output log will be used as a teaching material in cyber security exercises by students.
  • the effect described in the first embodiment can also be obtained in the second embodiment.
  • the computer system 40 outputs a log when executing a non-attacking action in addition to logs collected when executing a series of attacking actions. Therefore, the computer system 40 can include a log obtained as a result of executing a non-attacking action in a log obtained as a result of executing a series of attacking actions.
  • the program in the second embodiment may be any program that causes a computer to execute steps B1 to B9 shown in FIG.
  • the processor of the computer functions as an exercise condition obtaining unit 11, an attacking motion generating unit 12, an attacking motion executing unit 13, a non-attacking motion generating unit 21, and a non-attacking motion executing unit 22, and performs processing.
  • Examples of computers include general-purpose PCs, smartphones, and tablet-type terminal devices.
  • the storage unit 14 may be realized by storing the data files constituting these in a storage device such as a hard disk provided in the computer, or by a storage device of another computer. It may be realized.
  • the program in Embodiment 1 may be executed by a computer system constructed by a plurality of computers.
  • each computer functions as one of the training condition acquisition unit 11, the attack motion generation unit 12, the attack motion execution unit 13, the non-attack motion generation unit 21, and the non-attack motion execution unit 22.
  • FIG. 15 is a block diagram showing an example of a computer that implements the information processing apparatus according to the first and second embodiments.
  • a computer 150 includes a CPU (Central Processing Unit) 151, a main memory 152, a storage device 153, an input interface 154, a display controller 155, a data reader/writer 156, and a communication interface 157. and These units are connected to each other via a bus 161 so as to be capable of data communication.
  • CPU Central Processing Unit
  • the computer 150 may include a GPU (Graphics Processing Unit) or an FPGA (Field-Programmable Gate Array) in addition to the CPU 151 or instead of the CPU 151 .
  • a GPU or FPGA can execute the programs in the embodiments.
  • the CPU 151 expands the program in the embodiment, which is composed of code groups stored in the storage device 153, into the main memory 152, and executes various operations by executing each code in a predetermined order.
  • the main memory 152 is typically a volatile storage device such as DRAM (Dynamic Random Access Memory).
  • the program in the embodiment is provided in a state stored in a computer-readable recording medium 160. It should be noted that the program in the embodiment may be distributed over the Internet connected via communication interface 157 .
  • Input interface 154 mediates data transmission between CPU 151 and input devices 158 such as a keyboard and mouse.
  • the display controller 155 is connected to the display device 159 and controls display on the display device 159 .
  • the data reader/writer 156 mediates data transmission between the CPU 151 and the recording medium 170, reads the program from the recording medium 160, and writes the processing result of the computer 150 to the recording medium 160.
  • Communication interface 157 mediates data transmission between CPU 151 and other computers.
  • the recording medium 160 includes general-purpose semiconductor storage devices such as CF (Compact Flash (registered trademark)) and SD (Secure Digital), magnetic recording media such as flexible disks, and CD- Optical recording media such as ROM (Compact Disk Read Only Memory) are included.
  • CF Compact Flash
  • SD Secure Digital
  • magnetic recording media such as flexible disks
  • CD- Optical recording media such as ROM (Compact Disk Read Only Memory) are included.
  • Embodiments 1 and 2 can also be realized by using hardware corresponding to each part instead of a computer in which a program is installed. Furthermore, the information processing apparatus may be partly implemented by a program and the rest by hardware.
  • Appendix 1 an exercise condition acquisition unit that acquires, as an exercise condition, the execution time of the exercise specified by the participant of the cybersecurity exercise; A series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time. an attack motion generator that creates An information processing device.
  • the attack motion generation unit determines whether or not the portion satisfies an attack motion condition that defines whether or not a series of attack motions can be executed before extracting the portion, and if the attack motion condition is satisfied, extracting said portion; Information processing equipment.
  • the attack action generation unit further identifies the student who specified the execution time used for extracting the part, and creates the series of attack actions and the series of attacks created in the past for the identified student. and, as a result of the comparison, when the ratio of overlapping portions is equal to or greater than a threshold, a portion within the generated scenario that falls within the execution time and is different from the extracted portion is selected. extract again,
  • Appendix 4 The information processing device according to any one of Appendices 1 to 3,
  • the exercise condition acquisition unit acquires the type of cyber attack specified by the student as the exercise condition,
  • the attack action generation unit generates the scenario of the cyber attack according to the type of the cyber attack specified by the student.
  • Information processing equipment
  • the information processing device according to any one of Appendices 1 to 4,
  • the computer system for executing the cybersecurity exercise further comprises an attack operation execution unit that executes the series of created attack operations, Information processing equipment.
  • Appendix 6 The information processing device according to appendix 5, a non-attack motion generation unit that generates a non-attack motion that does not correspond to the cyber attack using execution commands included in the generated series of attack motions; In the computer system, a non-attack action execution unit that executes the generated non-attack action; further comprising Information processing equipment.
  • An exercise condition obtaining step for obtaining an exercise execution time specified by a participant of the cyber security exercise as an exercise condition;
  • a series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time.
  • an attack motion generation step that creates An information processing method comprising:
  • Appendix 8 The information processing method according to appendix 7, In the attack motion generation step, before extracting the portion, it is determined whether or not the portion satisfies an attack motion condition that defines whether a series of attack motions can be executed, and if the attack motion condition is satisfied, extracting said portion; Information processing methods.
  • Appendix 10 The information processing method according to any one of Appendices 7 to 9, in the exercise condition acquisition step, acquiring a type of cyber attack specified by the student as the exercise condition; In the attack action generation step, the scenario of the cyber attack is generated according to the type of the cyber attack specified by the student. Information processing methods.
  • Appendix 11 The information processing method according to any one of Appendices 7 to 10, further comprising an attack action execution step of causing the series of created attack actions to be executed in the computer system for performing the cybersecurity exercise; Information processing methods.
  • Appendix 12 The information processing method according to Appendix 11, a non-attack motion generation step of generating a non-attack motion not corresponding to the cyber attack, using execution commands included in the generated series of attack motions; a non-attack action execution step of executing the generated non-attack action in the computer system; further comprising Information processing methods.
  • an exercise condition obtaining step for obtaining an exercise execution time specified by a participant of the cyber security exercise as an exercise condition;
  • a series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time.
  • an attack motion generation step that creates A computer-readable recording medium recording a program containing instructions for executing a
  • Appendix 14 The computer-readable recording medium according to Appendix 13, In the attack motion generation step, before extracting the portion, it is determined whether or not the portion satisfies an attack motion condition that defines whether a series of attack motions can be executed, and if the attack motion condition is satisfied, extracting said portion; Computer-readable recording medium.
  • Appendix 15 15. The computer-readable recording medium according to Appendix 13 or 14, In the attack action generation step, the student who specified the execution time used for extracting the part is further specified, and the series of attack actions created and the series of attacks created in the past for the specified student and, as a result of the comparison, when the ratio of overlapping portions is equal to or greater than a threshold, a portion within the generated scenario that falls within the execution time and is different from the extracted portion is selected. extract again, Computer-readable recording medium.
  • Appendix 16 The computer-readable recording medium according to any one of Appendices 13 to 15, in the exercise condition acquisition step, acquiring a type of cyber attack specified by the student as the exercise condition; In the attack action generation step, the scenario of the cyber attack is generated according to the type of the cyber attack specified by the student. Computer-readable recording medium.
  • Appendix 17 The computer-readable recording medium according to any one of Appendices 13 to 16, The program causes the computer to: further comprising an instruction to execute an attack action execution step for executing the series of attack actions created in the computer system for performing the cybersecurity exercise; Computer-readable recording medium.
  • Appendix 18 The computer-readable recording medium according to Appendix 17, The program causes the computer to: a non-attack motion generation step of generating a non-attack motion not corresponding to the cyber attack, using execution commands included in the generated series of attack motions; a non-attack action execution step of executing the generated non-attack action in the computer system; further comprising an instruction to cause the Computer-readable recording medium.
  • Information Processing Device (Embodiment 1) REFERENCE SIGNS LIST 11 exercise condition acquisition unit 12 attack motion generation unit 13 attack motion execution unit 20 information processing device (second embodiment) 21 non-attack motion generation unit 22 non-attack motion execution unit 30 terminal device 40 computer system 121 attack scenario generation unit 122 partial scenario extraction unit 123 partial scenario verification unit 124 execution sequence generation unit 141 attack type information 142 software information 143 attack operation condition information 144 scenario information 145 environment information 146 non-attack motion information 150 computer 151 CPU 152 main memory 153 storage device 154 input interface 155 display controller 156 data reader/writer 157 communication interface 158 input device 159 display device 160 recording medium 161 bus

Landscapes

  • Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Educational Administration (AREA)
  • Educational Technology (AREA)
  • General Physics & Mathematics (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

情報処理装置１０は、サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得部１１と、サイバーセキュリティ演習に用いるサイバー攻撃のシナリオを生成し、生成したシナリオのうち、指定された実施時間内に収まる部分を抽出することによって、サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成部１２と、を備えている。

Description

情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体
　本開示は、サイバー攻撃に対する訓練の支援を行うための、情報処理装置、及び情報処理方法に関し、更には、これらを実現するためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
　近年、組織を標的としたサイバー攻撃により、情報漏洩、事業停止といった被害が増加しており、サイバー攻撃に対する対策の強化が求められている。そして、サイバー攻撃に対する対策を強化するためには、システムのセキュリティ担当者の調査スキルの向上が不可欠となる。このため、インシデントの痕跡となるログ（以下「攻撃ログ」と表記する）を受講者に見つけ出させるサイバーセキュリティ演習（又はサイバー演習）が行われている。
　そして、サイバーセキュリティ演習では、演習教材として、様々なサイバー攻撃について、攻撃ログを含むログを用意することが重要である。しかし、様々なサイバー攻撃について、特定の１組織が数多くのログを収集すること、及び複数の組織間でログを共有することは、実際には困難である。このため、特許文献１は、仮想のサイバー攻撃のための攻撃シナリオを生成する装置を開示している。特許文献１に開示された装置は、プログラム部品間の関係性を示す情報を用いて、プログラム部品を適正に配置することによって、攻撃シナリオを生成する。
　そして、特許文献１に開示された装置を用いれば、サイバーセキュリティ演習の際、演習用の計算機システム上で、生成された攻撃シナリオに沿って、仮想のサイバー攻撃を実行することによって、演習用の計算機システムから、攻撃ログを収集することができる。
特開２０２１－１２０７８０号公報
　ところで、サイバーセキュリティ演習による効果を高めるためには、多くの担当者が何度もサイバーセキュリティ演習を行う必要がある。しかしながら、従来からのサイバーセキュリティ演習では、演習の受講者１人１人の都合に合わせて実施することは考慮されておらず、演習の実施時間は誰が受講しても同じである。
　このため、従来からのサイバーセキュリティ演習には、多くの担当者にサイバーセキュリティ演習を受講させることが難しいという問題がある。また、特許文献１に開示された装置であっても、受講者の都合に合わせて、サイバーセキュリティの演習の実施時間を調整する手段は備えていないため、上述の問題の解決は困難である。
　本開示の目的の一例は、個々の受講者の希望に合わせたサイバーセキュリティ演習を提供できるようにし得る、情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体を提供することにある。
　上記目的を達成するため、本開示の一側面における情報処理装置は、
　サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得部と、
　前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成部と、
を備えている。
　また、上記目的を達成するため、本開示の一側面における情報処理方法は、
　サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
　前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を有する。
　更に、上記目的を達成するため、本開示の一側面におけるコンピュータ読み取り可能な記録媒体は、
コンピュータに、
　サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
　前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を実行させる命令を含む、プログラムを記録している。
　以上のように本開示によれば、個々の受講者の希望に合わせたサイバーセキュリティ演習を提供できる。
図１は、実施の形態１における情報処理装置の概略構成を示す構成図である。 図２は、実施の形態１における情報処理装置の構成を具体的に示す構成図である。 図３は、実施の形態１で用いられる攻撃タイプ情報の一例を示す図である。 図４は、実施の形態１で用いられるソフトウェア情報の一例を示す図である。 図５は、実施の形態１において攻撃シナリオ生成部によって実行される処理を説明する図であり、図５（ａ）及び図５（ｂ）は、一連の処理の経過を示している。 図６は、実施の形態１において生成された攻撃シナリオの一例を示す図である。 図７は、実施の形態１において用いられる抽出条件の一例を示す図である。 図８は、実施の形態１における情報処理装置の動作を示すフロー図である。 図９は、演習条件の指定画面の一例を示す図である。 図１０は、計算機システムによって出力されたログの一例を示す図である。 図１１は、計算機システムによって出力されたログの他の例を示す図である。 図１２は、実施の形態２における情報処理装置の構成を示す構成図である。 図１３は、実施の形態２で用いられる非攻撃動作情報の一例を示す図である。 図１４は、実施の形態２における情報処理装置の動作を示すフロー図である。 図１５は、実施の形態１及び２における情報処理装置を実現するコンピュータの一例を示すブロック図である。
（実施の形態１）
　以下、実施の形態１における、情報処理装置、情報処理方法、及びプログラムについて、図１～図１１を参照しながら説明する。
［装置構成］
　最初に、実施の形態１における情報処理装置の概略構成について図１を用いて説明する。図１は、実施の形態１における情報処理装置の概略構成を示す構成図である。
　図１に示す、実施の形態１における情報処理装置１０は、サイバー攻撃に対する訓練、例えば、サイバーセキュリティ演習の支援を行うための装置である。図１に示すように、情報処理装置１０は、演習条件取得部１１と攻撃動作生成部１２とを備えている。
　演習条件取得部１１は、サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する。攻撃動作生成部１２は、サイバーセキュリティ演習に用いる、仮想の攻撃者によるサイバー攻撃のシナリオを生成する。そして、攻撃動作生成部１２は、生成したシナリオのうち、指定された実施時間内に収まる部分を抽出することによって、サイバーセキュリティ演習で実行される一連の攻撃動作を作成する。
　このように、実施の形態１において、情報処理装置１０は、サイバーセキュリティ演習の受講者が指定する演習の実施時間に応じて、サイバーセキュリティ演習で実行される一連の攻撃動作が作成される。このため、情報処理装置１０によれば、個々の受講者の希望に合わせたサイバーセキュリティ演習を提供できるようにすることができる。
　続いて、図２～図９を用いて、実施の形態１における情報処理装置１０の構成及び機能について具体的に説明する。図２は、実施の形態１における情報処理装置の構成を具体的に示す構成図である。
　図２に示すように、実施の形態１では、情報処理装置１０は、受講者の端末装置３０と、サイバーセキュリティ演習を実行するための計算機システム４０とに、ネットワークを介して、データ通信可能に接続されている。また、図２に示すように、情報処理装置１０は、上述した演習条件取得部１１及び攻撃動作生成部１２に加えて、攻撃動作実行部１３と、記憶部１４とを備えている。
　実施の形態１では、受講者が端末装置３０上で演習の実施時間を指定する。具体的には、受講者は、演習の開始日時と、演習の終了日時とを指定することができる。演習条件取得部１１は、演習の開始日時と演習の終了日時から、演習の実施時間を算出し、演習の開始日時と演習の実施時間とを演習条件として取得する。また、受講者は、演習の開始日時と、演習の実施時間とを指定することもできる。この場合も、演習条件取得部１１は、演習の開始日時と演習の実施時間とを演習条件として取得する。
　また、実施の形態１では、受講者は、演習の実施時間に加えて、サイバー攻撃のタイプ（以下「攻撃タイプ」と表記する。）を指定することもできる。具体的には、サイバー攻撃のタイプの指定は、受講者が、例えば、下記に示す、過去の事例、攻撃グループ（又は攻撃ツール）、又は攻撃目的を入力することによって行われる。この場合、演習条件取得部１１は、端末装置３０から、指定された実施時間に加えて、サイバー攻撃のタイプも、演習条件として取得する。
・過去の事例：Ａ事件、Ｂ事件等
・攻撃グループ（又は攻撃ツール）：APT29, REvil, Emotet, Cobalt Strike等
・攻撃目的：個人情報の取得、企業秘密の取得、身代金の獲得、コインマイニング、サービス妨害、情報搾取、データ暗号化、リソース乗っ取り、サービス停止等
　攻撃動作生成部１２は、実施の形態１では、記憶部１４に格納されている、攻撃タイプ情報１４１、ソフトウェア情報１４２、攻撃動作条件情報１４３、シナリオ情報１４４、及び環境情報１４５を用いて、サイバーセキュリティ演習で実行される一連の攻撃動作を作成する。また、図２に示すように、攻撃動作生成部１２は、攻撃シナリオ生成部１２１と、部分シナリオ抽出部１２２と、部分シナリオ検証部１２３と、実行シーケンス生成部１２４とを備えている。
　攻撃シナリオ生成部１２１は、受講者が指定する攻撃タイプに応じて、仮想の攻撃者によるサイバー攻撃のシナリオ（以下「攻撃シナリオ」と表記する。）を生成する。攻撃シナリオは、攻撃の段階（ステップ）毎に、攻撃先、戦術、攻撃手法を特定する情報である。実施の形態１では、攻撃シナリオ生成部１２１は、演習条件として取得された攻撃タイプを、攻撃タイプ情報１４１に照合して、攻撃シナリオを生成する。
　図３～図６を用いて、攻撃シナリオ生成部１２１の動作について具体的に説明する。図３は、実施の形態１で用いられる攻撃タイプ情報の一例を示す図である。図４は、実施の形態１で用いられるソフトウェア情報の一例を示す図である。図５は、実施の形態１において攻撃シナリオ生成部によって実行される処理を説明する図であり、図５（ａ）及び図５（ｂ）は、一連の処理の経過を示している。図６は、実施の形態１において生成された攻撃シナリオの一例を示す図である。
　図３に示すように、攻撃タイプ情報１４１は、攻撃タイプと、戦術と、攻撃の手法との関係を示す情報である。攻撃タイプ情報１４１は、攻撃タイプと、それに対応する、「タイプ種別」、「関連する主な戦術（Tactic(s)）」、及び「使用される攻撃の手法（Technique(s)）」と、で構成されている。
　図３において、例えば、「Exfiltration」は、発見した重要情報を外部に持ち出す戦術を示している。「Collection」は、攻撃目標に関連するデータを収集する戦術を示している。「Impact」は、システムとデータとを操作、停止、又は破壊する戦術を示している。
　また、図３において、「使用される攻撃の手法」は、MITRE ATT&CK ID （https://atack.mitre.org参照）で使用される語彙に準じて表現されている。つまり、「T1041」、「T1566.001」等の番号は、攻撃で使用される技術を識別する識別番号であり、MITRE ATT&CK IDで規定されている。「使用される攻撃の手法」の欄には、攻撃で使用される技術が網羅されている。
　図４に示すように、ソフトウェア情報１４２は、攻撃で使用される技術とソフトウェアとの関係を示す情報である。ソフトウェア情報１４２は、「対応する技術」と、「ソフトウェア名」と、「対応する環境」と、「実行タイプ」と、「所要時間」と、「入力フォーマット」と、「出力フォーマット」とで構成されている。「対応する技術」に付記されている番号は、対応するMITRE ATT&CK IDである。
　攻撃シナリオ生成部１２１は、まず、演習条件取得部１１によって取得された演習条件から、受講者が指定した攻撃タイプを特定する。次に、攻撃シナリオ生成部１２１は、特定した攻撃タイプを、攻撃タイプ情報１４１（図３参照）に照合して、対応する、「タイプ種別」、「関連する主な戦術」、及び「使用される攻撃の手法」を特定する。そして、攻撃シナリオ生成部１２１は、ソフトウェア情報１４２を用いて、「使用される攻撃の手法」に含まれる各技術に対応するソフトウェアを特定する。
　その後、攻撃シナリオ生成部１２１は、図５に示すように、特定した、戦術、技術、及びソフトウェアを用いて、攻撃シナリオを完成させる。図５において、「TA1,TA2,TA3, ...」は、特定された「関連する主な戦術」に含まれる戦術を示している。「TE1,TE2,TE3, ...」は、特定された「使用される攻撃の手法」に含まれる技術を示している。「S1,S2,S3, ...」は、各技術に対応するソフトウェアを示している。
　また、攻撃シナリオ生成部１２１は、攻撃タイプが、攻撃目的によって指定されている場合は、指定されている攻撃目的が終端（末尾の戦術）となるように、攻撃シナリオを生成することもできる。
　攻撃シナリオ生成部１２１によって生成された攻撃シナリオの具体例の１つは、図６に示す通りである。図６の例では、攻撃シナリオ生成部１２１は、計算機システム４０を構成する端末装置のなかから、端末装置のシステム環境に応じて、攻撃先となる端末装置を選択している。
　図６において、「実行時刻」は、１つ前の攻撃の実行時刻に、ソフトウェア情報における「所要時間」（図４参照）を加えることによって得られている。また、「実行時刻」は、所要時間を加えて得られた時刻に、更にランダムな時間を追加して得られていても良い。
　また、図６において、「実行コマンド」は、図４に示した「入力フォーマット」に相当する。実行コマンドの変数部分には、後述する実行シーケンス生成部１２４が、記憶部１４に格納されている環境情報１４５を参照して、攻撃先のファイルパス、及びＩＰアドレス等を入力する。環境情報１４５は、例えば、攻撃先（client A, client B等）毎に、各パラメータ（$source, $target, $ipaddressなど）に対応するファイルパス及びＩＰアドレス等の値を特定する情報である。
　部分シナリオ抽出部１２２は、生成された攻撃シナリオのうち、演習条件として取得された演習の実施時間に収まる部分を、部分シナリオとして抽出する。具体的には、例えば、演習条件である実施時間が１時間であるとすると、部分シナリオ抽出部１２２は、１時間以内で実行可能な部分シナリオを抽出する。
　また、部分シナリオ抽出部１２２は、実施の形態１では、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報１４３に含まれる抽出条件を満たしているかどうかを判定する。部分シナリオ抽出部１２２は、抽出した部分シナリオが抽出条件を満たさない場合は、再度、攻撃シナリオ生成部１２１に、攻撃シナリオを生成させる。図７は、実施の形態１において用いられる抽出条件の一例を示す図である。図７の例では、抽出条件は、属性毎に、属性値と、参照値条件とで設定されている。
　部分シナリオの抽出後、部分シナリオ抽出部１２２は、演習条件を指定した受講者のＩＤ（identifier）と、抽出した部分シナリオと、を対応付け、両者をシナリオ情報１４４として格納する。シナリオ情報１４４は、受講者のＩＤ毎に、過去に抽出された部分シナリオを特定する情報である。
　部分シナリオ検証部１２３は、部分シナリオ抽出部１２２によって抽出された部分シナリオが適性であるかどうかを判定する。具体的には、部分シナリオ検証部１２３は、演習条件を指定した受講者のＩＤと抽出された部分シナリオとを、シナリオ情報１４４に照合する。そして、部分シナリオ検証部１２３は、抽出された部分と、同一の受講者について過去に抽出された部分とを比較し、両者の重複している割合が閾値以上であるかどうかを判定する。
　判定の結果、両者の重複している割合が閾値以上である場合は、部分シナリオ検証部１２３は、部分シナリオ抽出部１２２に、攻撃シナリオから別の部分シナリオを抽出させる。一方、判定の結果、両者の重複している割合が閾値以上でない場合は、部分シナリオ検証部１２３は、実行シーケンス生成部１２４に対して、処理を指示する。なお、この場合の閾値は、適宜設定される。
　実行シーケンス生成部１２４は、部分シナリオを用いて、サイバーセキュリティ演習で実行される一連の攻撃動作、即ち、攻撃の実行シーケンスを生成する。実行シーケンスにおいては、実行コマンドが、実行順に配列されている。また、上述したように、実行シーケンス生成部１２４は、攻撃シナリオの「実行コマンド」の変数部分（図６参照）に、記憶部１４に格納されている環境情報１４５を参照して、攻撃先のファイルパス、及びＩＰアドレス等を入力する。
　攻撃動作実行部１３は、サイバーセキュリティ演習を実行するための計算機システム４０に、作成された一連の攻撃動作、即ち実行シーケンスを送信し、計算機システム４０において、一連の攻撃動作を実行させる。
　また、実施の形態１では、受講者は演習の開始日時を指定しているので、攻撃動作実行部１３は、指定された開始日時に合わせて、計算機システム４０において、一連の攻撃動作を実行させる。一連の攻撃動作の実行タイミングは、指定された開始日時であっても良いし、指定された開始日時を中心にした所定の範囲内のランダムな時点であっても良い。
　計算機システム４０は、上述したように、複数の端末装置と、サーバ装置とで構成されており、攻撃目標となった端末装置で、コマンドが実行される。その後、計算機システム４０は、一連の攻撃動作の実行時に収集されたログを出力する。出力されたログは、受講者によるサイバーセキュリティ演習において、教材として用いられる。
［装置動作］
　次に、実施の形態１における情報処理装置１０の動作について図８～図１１を用いて説明する。図８は、実施の形態１における情報処理装置の動作を示すフロー図である。以下の説明においては、適宜図１～図７を参照する。また、実施の形態１では、情報処理装置１０を動作させることによって、情報処理方法が実施される。よって、実施の形態１における情報処理方法の説明は、以下の情報処理装置１０の動作説明に代える。
　図８に示すように、最初に、演習条件取得部１１は、演習条件として、受講者の指定する、演習の実施時間と攻撃タイプとを取得する（ステップＡ１）。また、演習条件取得部１１は、取得した演習条件を、攻撃動作生成部１２に入力する。
　具体的には、前提として、受講者が、図９に示すように、自身の端末装置３０において、演習の開始日時、演習の実施時間、及び攻撃タイプを指定する。これにより、端末装置３０は、演習の開始日時、演習の実施時間、及び攻撃タイプを含む情報を、情報処理装置１０に送信する。図９は、演習条件の指定画面の一例を示す図である。
　次に、攻撃動作生成部１２において、攻撃シナリオ生成部１２１は、受講者が指定する攻撃タイプに応じて、仮想の攻撃者による攻撃シナリオを生成する（ステップＡ２）。
　次に、攻撃動作生成部１２において、部分シナリオ抽出部１２２は、生成された攻撃シナリオのうち、演習条件として取得された演習の実施時間に収まる部分を、部分シナリオとして抽出する（ステップＡ３）。
　次に、部分シナリオ抽出部１２２は、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報１４３に含まれる抽出条件を満たしているかどうかを判定する（ステップＡ４）。
　ステップＡ４の判定の結果、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報１４３に含まれる抽出条件を満たしていない場合（ステップＡ４：Ｎｏ）は、部分シナリオ抽出部１２２は、攻撃シナリオ生成部１２１に再度ステップＡ２を実行させる。
　一方、ステップＡ４の判定の結果、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報１４３に含まれる抽出条件を満たしている場合（ステップＡ４：Ｙｅｓ）は、部分シナリオ検証部１２３による処理が行われる。
　部分シナリオ検証部１２３は、ステップＡ３で抽出された部分シナリオが適性であるかどうかを判定する（ステップＡ５）。
　具体的には、部分シナリオ検証部１２３は、演習条件を指定した受講者のＩＤと抽出された部分シナリオとを、シナリオ情報１４４に照合する。そして、部分シナリオ検証部１２３は、抽出された部分と、同一の受講者について過去に抽出された部分とを比較し、両者の重複している割合が閾値以上であるかどうかを判定する。判定の結果、両者の重複している割合が閾値以上である場合は、部分シナリオ検証部１２３は、部分シナリオは適性でないと判定する。一方、両者の重複している割合が閾値以上でない場合は、部分シナリオ検証部１２３は、部分シナリオは適性であると判定する。
　ステップＡ５の判定の結果、ステップＡ３で抽出された部分シナリオが適性でない場合（ステップＡ５：Ｎｏ）は、部分シナリオ検証部１２３は、部分シナリオ抽出部１２２に、再度ステップＡ３を実行させて、攻撃シナリオから別の部分シナリオを抽出させる。
　ステップＡ５の判定の結果、ステップＡ３で抽出された部分シナリオが適性である場合（ステップＡ５：Ｙｅｓ）は、実行シーケンス生成部１２４が、部分シナリオを用いて、サイバーセキュリティ演習で実行される一連の攻撃動作を生成する（ステップＡ６）。
　次に、攻撃動作実行部１３は、サイバーセキュリティ演習を実行するための計算機システム４０に、ステップＡ６で作成された一連の攻撃動作（実行シーケンス）を送信し、計算機システム４０において、一連の攻撃動作を実行させる（ステップＡ７）。
　ステップＡ７の実行により、情報処理装置１０における処理は終了する。その後、計算機システム４０では、攻撃目標となった端末装置で、コマンドが実行される。その後、計算機システム４０は、図１０及び図１１に示すような、一連の攻撃動作の実行時に収集されたログを出力する。出力されたログは、受講者によるサイバーセキュリティ演習において、教材として用いられる。
　図１０は、計算機システムによって出力されたログの一例を示す図である。図１０に示されたログは、端末装置から取得されたイベントログである。図１１は、計算機システムによって出力されたログの他の例を示す図である。図１１に示されたログは、端末装置から取得されたＵＳＮジャーナル（Update Sequence Number Journal）ログである。
［実施の形態１による効果］
　以上のように、実施の形態では、情報処理装置１０は、サイバーセキュリティ演習の受講者が指定する、演習の開始日時、演習の実施時間及び攻撃タイプに応じて、サイバーセキュリティ演習で実行される一連の攻撃動作が作成される。このため、受講者は、自身が指定する条件で、サイバーセキュリティ演習を行うことができる。また、一連の攻撃動作は、受講者が過去に受講したサイバーセキュリティ演習で用いられたものとは異なるものとなるので、受講者は効率良くスキルを向上させることができる。
［プログラム］
　実施の形態１におけるプログラムは、コンピュータに、図８に示すステップＡ１～Ａ７を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報処理装置１０と情報処理方法とを実現することができる。この場合、コンピュータのプロセッサは、演習条件取得部１１、攻撃動作生成部１２、及び攻撃動作実行部１３として機能し、処理を行なう。コンピュータとしては、汎用のＰＣの他に、スマートフォン、タブレット型端末装置が挙げられる。
　また、実施の形態では、記憶部１４は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現されていても良いし、別のコンピュータの記憶装置によって実現されていても良い。
　実施の形態１におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、演習条件取得部１１、攻撃動作生成部１２、及び攻撃動作実行部１３のいずれかとして機能しても良い。
　（実施の形態２）
　次に、実施の形態２における、情報処理装置、情報処理方法、及びプログラムについて、図１２～図１４を参照しながら説明する。
［装置構成］
　最初に、実施の形態２における情報処理装置の構成について図１２を用いて説明する。図１２は、実施の形態２における情報処理装置の構成を示す構成図である。
　図１２に示す、実施の形態２における情報処理装置１０も、実施の形態１に示した情報処理装置１０と同様に、サイバー攻撃に対する訓練、例えば、サイバーセキュリティ演習の支援を行うための装置である。
　図１２に示すように、実施の形態２では、情報処理装置２０は、実施の形態１における情報処理装置１０と異なり、演習条件取得部１１、攻撃動作生成部１２、及び攻撃動作実行部１３に加えて、非攻撃動作生成部２１と、非攻撃動作実行部２２とを備えている。また、記憶部１４には、攻撃タイプ情報１４１、ソフトウェア情報１４２、攻撃動作条件情報１４３、及びシナリオ情報１４４に加えて、非攻撃動作情報１４６も格納されている。以下、実施の形態１との相違点を中心に説明する。
　非攻撃動作生成部２１は、攻撃動作生成部１２によって生成された一連の攻撃動作に含まれる実行コマンドを用いて、サイバー攻撃に該当しない非攻撃動作を生成する。実施の形態２では、非攻撃動作生成部２１は、一連の攻撃動作で使われている実行コマンド（例えば、ＯＳ標準コマンド、アプリケーションプログラム等）を、非攻撃動作情報１４６に照合して、同じ実行コマンドを用いた動作を１つ以上含んだ非攻撃動作を選択する。
　ここで、図１３を用いて、非攻撃動作生成部２１の動作について具体的に説明する。図１３は、実施の形態２で用いられる非攻撃動作情報の一例を示す図である。図１３に示すように、非攻撃動作情報１４６は、攻撃タイプで使用されるアプリケーション毎に、そのアプリケーションを利用するコマンド列を特定する情報である。非攻撃動作情報１４６は、「コマンド列」と、「アプリケーション」と、「難易度」と、「攻撃タイプ」とで構成されている。難易度については後述する。
　具体的には、非攻撃動作生成部２１は、例えば、受講者が指定した攻撃タイプが「APT29」であるとすると、「APT29」に対応するコマンド列を選択し、選択したコマンド列を非攻撃動作とする。また、受講者が予め難易度を指定する場合は、非攻撃動作生成部２１は、指定された難易度に応じて、対応するコマンド列を選択することもできる。
　また、非攻撃動作生成部２１は、下記の参照文献１及び２に開示されている技術を用いて、ユーザの操作を示す動作ログを作成し、これを非攻撃動作とすることもできる。
（参照文献１）
　安田他、「能動的攻撃観測環境における端末の自動駆動システム」、信学技報119(140)、299-304、2019-07-23、[https://ci.nii.ac.jp/naid/40021970984]
（参照文献２）
　IEICE Technical Committee、「能動的攻撃観測環境における端末の自動駆動システム」、[https://www.ieice.org/publications/ken/summary.php?contribution_id=103289]
　非攻撃動作実行部２２は、計算機システム４０に、非攻撃動作生成部２１によって生成された非攻撃動作を送信し、計算機システム４０において非攻撃動作を実行させる。具体的には、非攻撃動作実行部２２は、非攻撃動作として選択されたコマンド列を計算機システム４０に送信する。これにより、計算機システム４０は、それを構成する端末装置において、各コマンド列を実行させる。
　また、計算機システム４０は、送信されてきたコマンド列の中から、実行させるコマンド列をランダムに選択することができる。更に、非攻撃動作の実行間隔は、予め定めた値（例えば、１分、１分３０0秒、２分、５分、１０分等）の中から、ランダムに選択されても良いし、自然さを高めるため、設定された実行間隔に数秒の増減を加えた実行間隔であっても良い。
　また、計算機システム４０は、下記の参照文献３に開示された技術を用いて、既存のユーザ操作ログから、疑似操作ログのバリエーションを生成することもできる
（参照文献３）
　国際公開第２０２１／１７１３８３号
［装置動作］
　次に、実施の形態２における情報処理装置１０の動作について図１４を用いて説明する。図１４は、実施の形態２における情報処理装置の動作を示すフロー図である。以下の説明においては、適宜図１２及び１３を参照する。また、実施の形態２では、情報処理装置２０を動作させることによって、情報処理方法が実施される。よって、実施の形態２における情報処理方法の説明は、以下の情報処理装置２０の動作説明に代える。
　図１４に示すように、最初に、演習条件取得部１１は、演習条件として、受講者の指定する、演習の実施時間と攻撃タイプとを取得する（ステップＢ１）。ステップＢ１は、図８に示したステップＡ１と同様のステップである。
　次に、攻撃動作生成部１２において、攻撃シナリオ生成部１２１は、受講者が指定する攻撃タイプに応じて、仮想の攻撃者による攻撃シナリオを生成する（ステップＢ２）。ステップＢ２は、図８に示したステップＡ２と同様のステップである。
　次に、攻撃動作生成部１２において、部分シナリオ抽出部１２２は、生成された攻撃シナリオのうち、演習条件として取得された演習の実施時間に収まる部分を、部分シナリオとして抽出する（ステップＢ３）。ステップＢ３は、図８に示したステップＡ３と同様のステップである。
　次に、部分シナリオ抽出部１２２は、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報１４３に含まれる抽出条件を満たしているかどうかを判定する（ステップＢ４）。ステップＢ４は、図８に示したステップＡ４と同様のステップである。
　ステップＢ４の判定の結果、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報１４３に含まれる抽出条件を満たしていない場合（ステップＢ４：Ｎｏ）は、部分シナリオ抽出部１２２は、攻撃シナリオ生成部１２１に再度ステップＢ２を実行させる。
　一方、ステップＢ４の判定の結果、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報１４３に含まれる抽出条件を満たしている場合（ステップＢ４：Ｙｅｓ）は、部分シナリオ検証部１２３による処理が行われる。
　部分シナリオ検証部１２３は、ステップＢ３で抽出された部分シナリオが適性であるかどうかを判定する（ステップＢ５）。ステップＢ５は、図８に示したステップＡ５と同様のステップである。
　ステップＢ５の判定の結果、ステップＡ３で抽出された部分シナリオが適性でない場合（ステップＢ５：Ｎｏ）は、部分シナリオ検証部１２３は、部分シナリオ抽出部１２２に、再度ステップＢ３を実行させて、攻撃シナリオから別の部分シナリオを抽出させる。
　ステップＢ５の判定の結果、ステップＢ３で抽出された部分シナリオが適性である場合（ステップＢ５：Ｙｅｓ）は、実行シーケンス生成部１２４が、部分シナリオを用いて、サイバーセキュリティ演習で実行される一連の攻撃動作を生成する（ステップＢ６）。
　次に、非攻撃動作生成部２１は、ステップＢ６によって生成された一連の攻撃動作に含まれる実行コマンドを用いて、サイバー攻撃に該当しない非攻撃動作を生成する（ステップＢ７）。
　次に、攻撃動作実行部１３は、サイバーセキュリティ演習を実行するための計算機システム４０に、ステップＢ６で作成された一連の攻撃動作（実行シーケンス）を送信し、計算機システム４０において、一連の攻撃動作を実行させる（ステップＢ８）。ステップＢ８は、図８に示したステップＡ７と同様のステップである。
　次に、非攻撃動作実行部２２は、計算機システム４０に、ステップＢ７で生成された非攻撃動作を送信して、計算機システム４０において、非攻撃動作も実行させる（ステップＢ９）。なお、ステップＢ９は、ステップＢ８と同時に実行されていても良い。
　ステップＢ９の実行により、情報処理装置１０における処理は終了する。その後、計算機システム４０では、攻撃目標となった端末装置で、コマンドが実行される。その後、計算機システム４０は、一連の攻撃動作の実行時に収集されたログと、非攻撃動作の実行時に収集されたログとを出力する。出力されたログは、受講者によるサイバーセキュリティ演習において、教材として用いられる。
［実施の形態２による効果］
　以上のように、実施の形態２においても、実施の形態１で述べた効果が得られる。また、実施の形態２によれば、計算機システム４０は、一連の攻撃動作の実行時に収集されたログに加えて、非攻撃動作の実行時のログも出力する。このため、計算機システム４０は、一連の攻撃動作の実行の結果得られたログに、非攻撃動作の実行の結果得られたログを含めることができる。結果、実施の形態２によれば、攻撃か非攻撃かの判断を難しくしたサイバーセキュリティ演習が実現可能となる。
［プログラム］
　実施の形態２におけるプログラムは、コンピュータに、図１４に示すステップＢ１～Ｂ９を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報処理装置１０と情報処理方法とを実現することができる。この場合、コンピュータのプロセッサは、演習条件取得部１１、攻撃動作生成部１２、攻撃動作実行部１３、非攻撃動作生成部２１、及び非攻撃動作実行部２２として機能し、処理を行なう。コンピュータとしては、汎用のＰＣの他に、スマートフォン、タブレット型端末装置が挙げられる。
　また、実施の形態では、記憶部１４は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現されていても良いし、別のコンピュータの記憶装置によって実現されていても良い。
　実施の形態１におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、演習条件取得部１１、攻撃動作生成部１２、攻撃動作実行部１３、非攻撃動作生成部２１、及び非攻撃動作実行部２２のいずれかとして機能しても良い。
［物理構成］
　ここで、実施の形態１及び２におけるプログラムを実行することによって、情報処理装置を実現するコンピュータについて図１５を用いて説明する。図１５は、実施の形態１及び２における情報処理装置を実現するコンピュータの一例を示すブロック図である。
　図１５に示すように、コンピュータ１５０は、ＣＰＵ（Central Processing Unit）１５１と、メインメモリ１５２と、記憶装置１５３と、入力インターフェイス１５４と、表示コントローラ１５５と、データリーダ／ライタ１５６と、通信インターフェイス１５７とを備える。これらの各部は、バス１６１を介して、互いにデータ通信可能に接続される。
　また、コンピュータ１５０は、ＣＰＵ１５１に加えて、又はＣＰＵ１５１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていても良い。この態様では、ＧＰＵ又はＦＰＧＡが、実施の形態におけるプログラムを実行することができる。
　ＣＰＵ１５１は、記憶装置１５３に格納された、コード群で構成された実施の形態におけるプログラムをメインメモリ１５２に展開し、各コードを所定順序で実行することにより、各種の演算を実施する。メインメモリ１５２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。
　また、実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１６０に格納された状態で提供される。なお、実施の形態におけるプログラムは、通信インターフェイス１５７を介して接続されたインターネット上で流通するものであっても良い。
　また、記憶装置１５３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１５４は、ＣＰＵ１５１と、キーボード及びマウスといった入力機器１５８との間のデータ伝送を仲介する。表示コントローラ１５５は、ディスプレイ装置１５９と接続され、ディスプレイ装置１５９での表示を制御する。
　データリーダ／ライタ１５６は、ＣＰＵ１５１と記録媒体１７０との間のデータ伝送を仲介し、記録媒体１６０からのプログラムの読み出し、及びコンピュータ１５０における処理結果の記録媒体１６０への書き込みを実行する。通信インターフェイス１５７は、ＣＰＵ１５１と、他のコンピュータとの間のデータ伝送を仲介する。
　また、記録媒体１６０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体が挙げられる。
　なお、実施の形態１及び２における情報処理装置は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、情報処理装置は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
　上述した実施の形態の一部又は全部は、以下に記載する（付記１）～（付記１８）によって表現することができるが、以下の記載に限定されるものではない。
（付記１）
　サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得部と、
　前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成部と、
を備えている、情報処理装置。
（付記２）
付記１に記載の情報処理装置であって、
　前記攻撃動作生成部が、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
情報処理装置。
（付記３）
付記１または２に記載の情報処理装置であって、
　前記攻撃動作生成部が、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
（付記４）
付記１～３のいずれかに記載の情報処理装置であって、
　前記演習条件取得部が、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
　前記攻撃動作生成部が、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
情報処理装置。
（付記５）
付記１～４のいずれかに記載の情報処理装置であって、
　前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行部を更に備えている、
情報処理装置。
（付記６）
付記５に記載の情報処理装置であって、
　生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成部と、
　前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行部と、
を更に備えている、
情報処理装置。
（付記７）
　サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
　前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を有する、情報処理方法。
（付記８）
付記７に記載の情報処理方法であって、
　前記攻撃動作生成ステップにおいて、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
情報処理方法。
（付記９）
付記７または８に記載の情報処理方法であって、
　前記攻撃動作生成ステップにおいて、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
情報処理方法。
（付記１０）
付記７～９のいずれかに記載の情報処理方法であって、
　前記演習条件取得ステップにおいて、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
　前記攻撃動作生成ステップにおいて、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
情報処理方法。
（付記１１）
付記７～１０のいずれかに記載の情報処理方法であって、
　前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行ステップを更に有する、
情報処理方法。
（付記１２）
付記１１に記載の情報処理方法であって、
　生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成ステップと、
　前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行ステップと、
を更に有する、
情報処理方法。
（付記１３）
コンピュータに、
　サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
　前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
（付記１４）
付記１３に記載のコンピュータ読み取り可能な記録媒体であって、
　前記攻撃動作生成ステップにおいて、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
コンピュータ読み取り可能な記録媒体。
（付記１５）
付記１３または１４に記載のコンピュータ読み取り可能な記録媒体であって、
　前記攻撃動作生成ステップにおいて、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
コンピュータ読み取り可能な記録媒体。
（付記１６）
付記１３～１５のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
　前記演習条件取得ステップにおいて、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
　前記攻撃動作生成ステップにおいて、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
コンピュータ読み取り可能な記録媒体。
（付記１７）
付記１３～１６のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
　前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行ステップを実行させる命令を更に含む、
コンピュータ読み取り可能な記録媒体。
（付記１８）
付記１７に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
　生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成ステップと、
　前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行ステップと、
を実行させる命令を更に含む、
コンピュータ読み取り可能な記録媒体。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　以上のように本開示によれば、個々の受講者の希望に合わせたサイバーセキュリティ演習を提供できる。本開示は、サイバー攻撃に対する訓練が求められている分野に有用である。
　１０　情報処理装置（実施の形態１）
　１１　演習条件取得部
　１２　攻撃動作生成部
　１３　攻撃動作実行部
　２０　情報処理装置（実施の形態２）
　２１　非攻撃動作生成部
　２２　非攻撃動作実行部
　３０　端末装置
　４０　計算機システム
　１２１　攻撃シナリオ生成部
　１２２　部分シナリオ抽出部
　１２３　部分シナリオ検証部
　１２４　実行シーケンス生成部
　１４１　攻撃タイプ情報
　１４２　ソフトウェア情報
　１４３　攻撃動作条件情報
　１４４　シナリオ情報
　１４５　環境情報
　１４６　非攻撃動作情報
　１５０　コンピュータ
　１５１　ＣＰＵ
　１５２　メインメモリ
　１５３　記憶装置
　１５４　入力インターフェイス
　１５５　表示コントローラ
　１５６　データリーダ／ライタ
　１５７　通信インターフェイス
　１５８　入力機器
　１５９　ディスプレイ装置
　１６０　記録媒体
　１６１　バス

Claims (18)

  1. 　サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得手段と、
    　前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成手段と、
    を備えている、情報処理装置。
  2. 請求項１に記載の情報処理装置であって、
    　前記攻撃動作生成手段が、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
    情報処理装置。
  3. 請求項１または２に記載の情報処理装置であって、
    　前記攻撃動作生成手段が、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、抽出した部分と、特定した前記受講者について過去に抽出した部分と、を比較し、比較の結果、両者の重複している割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
    情報処理装置。
  4. 請求項１～３のいずれかに記載の情報処理装置であって、
    　前記演習条件取得手段が、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
    　前記攻撃動作生成手段が、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
    情報処理装置。
  5. 請求項１～４のいずれかに記載の情報処理装置であって、
    　前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行手段を更に備えている、
    情報処理装置。
  6. 請求項５に記載の情報処理装置であって、
    　生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成手段と、
    　前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行手段と、
    を更に備えている、
    情報処理装置。
  7. 　サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得し、
    　前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する、
    情報処理方法。
  8. 請求項７に記載の情報処理方法であって、
    　前記攻撃動作の生成において、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
    情報処理方法。
  9. 請求項７または８に記載の情報処理方法であって、
    　前記攻撃動作の生成において、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
    情報処理方法。
  10. 請求項７～９のいずれかに記載の情報処理方法であって、
    　前記演習条件の取得において、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
    　前記攻撃動作の生成において、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
    情報処理方法。
  11. 請求項７～１０のいずれかに記載の情報処理方法であって、
    　前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、
    情報処理方法。
  12. 請求項１１に記載の情報処理方法であって、
    　生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成させ、
    　前記計算機システムにおいて、生成された前記非攻撃動作を実行させる、
    情報処理方法。
  13. コンピュータに、
    　サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得させ、
    　前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成させる、
    命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
  14. 請求項１３に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記攻撃動作の生成において、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
    コンピュータ読み取り可能な記録媒体。
  15. 請求項１３または１４に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記攻撃動作の生成において、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
    コンピュータ読み取り可能な記録媒体。
  16. 請求項１３～１５のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
    　前記演習条件の取得において、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
    　前記攻撃動作の生成において、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
    コンピュータ読み取り可能な記録媒体。
  17. 請求項１３～１６のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
    前記プログラムが、前記コンピュータに、
    　前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、命令を更に含む、
    コンピュータ読み取り可能な記録媒体。
  18. 請求項１７に記載のコンピュータ読み取り可能な記録媒体であって、
    前記プログラムが、前記コンピュータに、
    　生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成させ、
    　前記計算機システムにおいて、生成された前記非攻撃動作を実行させる、
    命令を更に含む、
    コンピュータ読み取り可能な記録媒体。
     
PCT/JP2022/008895 2022-03-02 2022-03-02 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体 WO2023166614A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/008895 WO2023166614A1 (ja) 2022-03-02 2022-03-02 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/008895 WO2023166614A1 (ja) 2022-03-02 2022-03-02 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体

Publications (1)

Publication Number Publication Date
WO2023166614A1 true WO2023166614A1 (ja) 2023-09-07

Family

ID=87883200

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/008895 WO2023166614A1 (ja) 2022-03-02 2022-03-02 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体

Country Status (1)

Country Link
WO (1) WO2023166614A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117176478A (zh) * 2023-11-02 2023-12-05 南京怡晟安全技术研究院有限公司 基于用户操作行为的网络安全实训平台构建方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020105156A1 (ja) * 2018-11-21 2020-05-28 三菱電機株式会社 シナリオ生成装置、シナリオ生成方法およびシナリオ生成プログラム
JP2021005165A (ja) * 2019-06-25 2021-01-14 株式会社日立製作所 インシデントシナリオ生成装置及びインシデントシナリオ生成システム
US11158207B1 (en) * 2011-04-08 2021-10-26 Proofpoint, Inc. Context-aware cybersecurity training systems, apparatuses, and methods

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11158207B1 (en) * 2011-04-08 2021-10-26 Proofpoint, Inc. Context-aware cybersecurity training systems, apparatuses, and methods
WO2020105156A1 (ja) * 2018-11-21 2020-05-28 三菱電機株式会社 シナリオ生成装置、シナリオ生成方法およびシナリオ生成プログラム
JP2021005165A (ja) * 2019-06-25 2021-01-14 株式会社日立製作所 インシデントシナリオ生成装置及びインシデントシナリオ生成システム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
BEURAN RAZVAN; INOUE TAKUYA; TAN YASUO; SHINODA YOICHI: "Realistic Cybersecurity Training via Scenario Progression Management", 2019 IEEE EUROPEAN SYMPOSIUM ON SECURITY AND PRIVACY WORKSHOPS (EUROS&PW), IEEE, 17 June 2019 (2019-06-17), pages 67 - 76, XP033599506, DOI: 10.1109/EuroSPW.2019.00014 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117176478A (zh) * 2023-11-02 2023-12-05 南京怡晟安全技术研究院有限公司 基于用户操作行为的网络安全实训平台构建方法及系统
CN117176478B (zh) * 2023-11-02 2024-02-02 南京怡晟安全技术研究院有限公司 基于用户操作行为的网络安全实训平台构建方法及系统

Similar Documents

Publication Publication Date Title
Chen et al. Security risks and protection in online learning: A survey
KR101534192B1 (ko) 사이버보안 실시간 공격대응 교육훈련을 제공하기 위한 시스템 및 그 방법
KR101460589B1 (ko) 사이버전 모의 훈련 관제 서버
US20140157415A1 (en) Information security analysis using game theory and simulation
US20140068756A1 (en) Systems and methods for challenge-response animation and randomization testing
JP2019091435A (ja) 訓練された機械学習モデルを使用することで悪意のあるファイルを検出するシステムおよび方法
EP3368973A1 (en) Multi-layer computer security countermeasures
US11418528B2 (en) Dynamic best path determination for penetration testing
US11765196B2 (en) Attack scenario simulation device, attack scenario generation system, and attack scenario generation method
US20220150273A1 (en) System and method for cyber training
WO2023166614A1 (ja) 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体
Wang et al. Using deep learning to solve google recaptcha v2’s image challenges
CN115225410A (zh) 一种独立动态的网络安全靶场系统、设备及其应用方法
Scherb et al. A serious game for simulating cyberattacks to teach cybersecurity
JP7351399B2 (ja) ログ生成装置、ログ生成方法、及びプログラム
Por et al. A systematic literature review on the security attacks and countermeasures used in graphical passwords
Myllyla et al. Reducing the Time to Detect Cyber Attacks: Combining Attack Simulation With Detection Logic
Aarya et al. Web scanning: existing techniques and future
Liu et al. Enhancing Honeypot Fidelity with Real-Time User Behavior Emulation
JP7207536B2 (ja) ルール生成装置、ルール生成方法、及びプログラム
KR101356584B1 (ko) 게임 내 부정 사용자를 감시하는 방법, 서버 및 시스템
Jin et al. Ar captcha: Recognizing robot by augmented reality
Cucu et al. Current technologies and trends in cybersecurity and the impact of artificial intelligence
WO2020255359A1 (ja) セキュリティ訓練支援装置、セキュリティ訓練支援方法、及びコンピュータ読み取り可能な記録媒体
WO2023032015A1 (ja) 攻撃分析支援装置、攻撃分析支援方法、およびコンピュータ読み取り可能な記録媒体

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22929760

Country of ref document: EP

Kind code of ref document: A1