WO2023166614A1 - 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体 - Google Patents
情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体 Download PDFInfo
- Publication number
- WO2023166614A1 WO2023166614A1 PCT/JP2022/008895 JP2022008895W WO2023166614A1 WO 2023166614 A1 WO2023166614 A1 WO 2023166614A1 JP 2022008895 W JP2022008895 W JP 2022008895W WO 2023166614 A1 WO2023166614 A1 WO 2023166614A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- attack
- exercise
- information processing
- scenario
- specified
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
- G09B—EDUCATIONAL OR DEMONSTRATION APPLIANCES; APPLIANCES FOR TEACHING, OR COMMUNICATING WITH, THE BLIND, DEAF OR MUTE; MODELS; PLANETARIA; GLOBES; MAPS; DIAGRAMS
- G09B19/00—Teaching not covered by other main groups of this subclass
-
- G—PHYSICS
- G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
- G09B—EDUCATIONAL OR DEMONSTRATION APPLIANCES; APPLIANCES FOR TEACHING, OR COMMUNICATING WITH, THE BLIND, DEAF OR MUTE; MODELS; PLANETARIA; GLOBES; MAPS; DIAGRAMS
- G09B9/00—Simulators for teaching or training purposes
Definitions
- the present disclosure relates to an information processing device and an information processing method for supporting training against cyber attacks, and further relates to a computer-readable recording medium recording a program for realizing these.
- attack logs logs
- US Pat. No. 6,300,001 discloses an apparatus for generating attack scenarios for virtual cyberattacks.
- the device disclosed in Patent Literature 1 generates an attack scenario by appropriately arranging program components using information indicating relationships between program components.
- An example of the purpose of the present disclosure is to provide an information processing device, an information processing method, and a computer-readable recording medium that can provide cybersecurity exercises that meet the wishes of individual students.
- an information processing device includes: an exercise condition acquisition unit that acquires, as an exercise condition, the execution time of the exercise specified by the participant of the cybersecurity exercise; A series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time.
- an attack motion generator that creates It has
- an information processing method includes: an exercise condition obtaining step for obtaining an exercise execution time specified by a participant of the cyber security exercise as an exercise condition; A series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time. an attack motion generation step that creates have
- a computer-readable recording medium in one aspect of the present disclosure includes: to the computer, an exercise condition obtaining step for obtaining an exercise execution time specified by a participant of the cyber security exercise as an exercise condition; A series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time. an attack motion generation step that creates records a program containing instructions to execute
- FIG. 1 is a configuration diagram showing a schematic configuration of an information processing apparatus according to Embodiment 1.
- FIG. 2 is a configuration diagram specifically showing the configuration of the information processing apparatus according to the first embodiment.
- FIG. 3 is a diagram showing an example of attack type information used in the first embodiment.
- 4 is a diagram showing an example of software information used in Embodiment 1.
- FIG. 5A and 5B are diagrams for explaining the processing executed by the attack scenario generation unit in Embodiment 1, and FIGS. 5A and 5B show the progress of a series of processing.
- FIG. 6 is a diagram showing an example of an attack scenario generated in Embodiment 1.
- FIG. FIG. 7 is a diagram showing an example of extraction conditions used in the first embodiment.
- FIG. 8 is a flow chart showing the operation of the information processing device according to the first embodiment.
- FIG. 9 is a diagram showing an example of a screen for specifying exercise conditions.
- FIG. 10 is a diagram showing an example of a log output by the computer system.
- FIG. 11 is a diagram showing another example of the log output by the computer system.
- FIG. 12 is a configuration diagram showing the configuration of the information processing apparatus according to the second embodiment.
- FIG. 13 is a diagram showing an example of non-attack motion information used in the second embodiment.
- FIG. 14 is a flow diagram showing the operation of the information processing device according to the second embodiment.
- FIG. 15 is a block diagram showing an example of a computer that implements the information processing apparatus according to the first and second embodiments.
- Embodiment 1 An information processing apparatus, an information processing method, and a program according to Embodiment 1 will be described below with reference to FIGS. 1 to 11.
- FIG. 1 An information processing apparatus, an information processing method, and a program according to Embodiment 1 will be described below with reference to FIGS. 1 to 11.
- FIG. 1 An information processing apparatus, an information processing method, and a program according to Embodiment 1 will be described below with reference to FIGS. 1 to 11.
- FIG. 1 is a configuration diagram showing a schematic configuration of an information processing apparatus according to Embodiment 1. As shown in FIG.
- the information processing device 10 according to Embodiment 1 shown in FIG. 1 is a device for training against cyber attacks, for example, supporting cyber security exercises. As shown in FIG. 1 , the information processing device 10 includes a training condition acquisition unit 11 and an attack motion generation unit 12 .
- the exercise condition acquisition unit 11 acquires, as an exercise condition, the exercise implementation time specified by the participant of the cybersecurity exercise.
- the attack action generation unit 12 generates a cyber attack scenario by a virtual attacker for use in cyber security exercises. Then, the attack motion generation unit 12 creates a series of attack motions to be executed in the cybersecurity exercise by extracting portions of the generated scenario that can be executed within the specified execution time.
- the information processing apparatus 10 creates a series of attack actions to be executed in the cybersecurity exercise according to the execution time of the exercise specified by the participant of the cybersecurity exercise. Therefore, according to the information processing apparatus 10, it is possible to provide a cybersecurity exercise that meets the wishes of each student.
- FIG. 2 is a configuration diagram specifically showing the configuration of the information processing apparatus according to the first embodiment.
- the information processing device 10 is capable of data communication with the terminal device 30 of the student and the computer system 40 for executing the cyber security exercise via a network. It is connected. Further, as shown in FIG. 2, the information processing apparatus 10 includes an attack motion execution unit 13 and a storage unit 14 in addition to the training condition acquisition unit 11 and the attack motion generation unit 12 described above.
- the student designates the execution time of the exercise on the terminal device 30. Specifically, the student can specify the start date and time of the exercise and the end date and time of the exercise.
- the exercise condition acquisition unit 11 calculates the execution time of the exercise from the start date and time of the exercise and the end date and time of the exercise, and acquires the start date and time of the exercise and the execution time of the exercise as exercise conditions.
- the student can also specify the start date and time of the exercise and the execution time of the exercise. In this case as well, the exercise condition acquisition unit 11 acquires the start date and time of the exercise and the execution time of the exercise as exercise conditions.
- the student can also specify the type of cyber attack (hereinafter referred to as "attack type") in addition to the exercise implementation time.
- attack type the type of cyber attack
- the type of cyberattack is specified by the student, for example, by inputting past cases, attack groups (or attack tools), or attack objectives as shown below.
- the exercise condition acquisition unit 11 acquires the type of cyberattack as an exercise condition from the terminal device 30 in addition to the specified execution time.
- ⁇ Past cases Incident A, Incident B, etc.
- ⁇ Attacking groups or attack tools: APT29, REvil, Emotet, Cobalt Strike, etc. Denial of service, information theft, data encryption, resource hijacking, service suspension, etc.
- the attack action generation unit 12 uses attack type information 141, software information 142, attack action condition information 143, scenario information 144, and environment information 145 stored in the storage unit 14 to generate cyber attacks. Create a series of attack actions that will be performed in a security exercise. Also, as shown in FIG. 2 , the attack motion generation unit 12 includes an attack scenario generation unit 121 , a partial scenario extraction unit 122 , a partial scenario verification unit 123 and an execution sequence generation unit 124 .
- the attack scenario generation unit 121 generates a cyber attack scenario (hereinafter referred to as "attack scenario") by a virtual attacker according to the attack type specified by the student.
- An attack scenario is information specifying an attack target, a tactic, and an attack method for each attack stage (step).
- the attack scenario generation unit 121 collates the attack type acquired as the exercise condition with the attack type information 141 to generate an attack scenario.
- FIG. 3 is a diagram showing an example of attack type information used in the first embodiment.
- 4 is a diagram showing an example of software information used in Embodiment 1.
- FIG. 5A and 5B are diagrams for explaining the processing executed by the attack scenario generation unit in Embodiment 1, and FIGS. 5A and 5B show the progress of a series of processing.
- FIG. 6 is a diagram showing an example of an attack scenario generated in Embodiment 1.
- the attack type information 141 is information indicating the relationship between attack types, tactics, and attack methods.
- the attack type information 141 includes the attack type and its corresponding "type type", "related main tactics (Tactic(s))”, and “used attack technique (Technique(s))", consists of
- the "attack method used” is expressed according to the vocabulary used in MITER ATT&CK ID (see https://attack.mitre.org).
- numbers such as "T1041” and “T1566.001” are identification numbers that identify techniques used in attacks, and are defined by MITER ATT&CK ID.
- the "Attack Techniques Used” column covers the techniques used in the attacks.
- the software information 142 is information indicating the relationship between the technology used in the attack and the software.
- the software information 142 consists of "supported technology”, “software name”, “supported environment”, “execution type”, “required time”, “input format”, and “output format”. It is The number attached to "corresponding technology” is the corresponding MITER ATT&CK ID.
- the attack scenario generation unit 121 first identifies the attack type specified by the student from the exercise conditions acquired by the exercise condition acquisition unit 11 . Next, the attack scenario generation unit 121 collates the identified attack type with the attack type information 141 (see FIG. 3), and the corresponding “type type”, “related main tactic”, and “used identify “attack techniques that Then, the attack scenario generation unit 121 uses the software information 142 to identify software corresponding to each technique included in the "attack technique used".
- the attack scenario generator 121 completes the attack scenario using the identified tactics, techniques, and software, as shown in FIG.
- “ TA1 , TA2 , TA3 , ! indicates the tactics included in the identified "related main tactics.”
- TE 1 , TE 2 , TE 3 , ! indicate the techniques included in the identified "attack techniques used”.
- " S1 , S2 , S3 , ! indicates the software corresponding to each technology.
- the attack scenario generation unit 121 can also generate the attack scenario so that the designated attack purpose becomes the end (last tactic).
- attack scenario generation unit 121 selects a terminal device to be attacked from among the terminal devices constituting the computer system 40 according to the system environment of the terminal device.
- the "execution time” is obtained by adding the “required time” (see FIG. 4) in the software information to the execution time of the previous attack. Also, the “execution time” may be obtained by adding a random amount of time to the time obtained by adding the required time.
- the "execution command” corresponds to the "input format” shown in FIG.
- the execution sequence generation unit 124 refers to the environment information 145 stored in the storage unit 14 and inputs the attack target file path, IP address, and the like to the variable portion of the execution command.
- the environment information 145 is, for example, information specifying values such as file paths and IP addresses corresponding to parameters ($source, $target, $ipaddress, etc.) for each attack destination (client A, client B, etc.). .
- the partial scenario extraction unit 122 extracts, as a partial scenario, a portion of the generated attack scenario that fits within the exercise execution time acquired as the exercise condition. Specifically, for example, if the execution time, which is the exercise condition, is one hour, the partial scenario extraction unit 122 extracts partial scenarios that can be executed within one hour.
- the partial scenario extraction unit 122 determines whether or not each attack action of the extracted partial scenario satisfies the extraction conditions included in the attack action condition information 143 . If the extracted partial scenario does not satisfy the extraction conditions, the partial scenario extraction unit 122 causes the attack scenario generation unit 121 to generate an attack scenario again.
- FIG. 7 is a diagram showing an example of extraction conditions used in the first embodiment. In the example of FIG. 7, the extraction conditions are set with attribute values and reference value conditions for each attribute.
- the partial scenario extraction unit 122 After extracting the partial scenario, the partial scenario extraction unit 122 associates the ID (identifier) of the student who specified the exercise condition with the extracted partial scenario, and stores both as scenario information 144 .
- the scenario information 144 is information specifying a partial scenario extracted in the past for each student ID.
- the partial scenario verification unit 123 determines whether the partial scenario extracted by the partial scenario extraction unit 122 is suitable. Specifically, the partial scenario verification unit 123 collates the ID of the student who specified the exercise condition and the extracted partial scenario with the scenario information 144 . Then, the partial scenario verification unit 123 compares the extracted part with a part extracted in the past for the same student, and determines whether the ratio of overlap between the two is equal to or greater than a threshold.
- the partial scenario verification unit 123 causes the partial scenario extraction unit 122 to extract another partial scenario from the attack scenario.
- the partial scenario verification unit 123 instructs the execution sequence generation unit 124 to perform processing. Note that the threshold value in this case is appropriately set.
- the execution sequence generation unit 124 uses partial scenarios to generate a series of attack actions to be executed in cybersecurity exercises, that is, an attack execution sequence.
- execution commands are arranged in order of execution. Further, as described above, the execution sequence generation unit 124 refers to the environment information 145 stored in the storage unit 14 in the variable part of the "execution command" of the attack scenario (see FIG. 6), Enter the file path, IP address, etc.
- the attack operation execution unit 13 transmits the created series of attack operations, that is, the execution sequence, to the computer system 40 for executing the cybersecurity exercise, and causes the computer system 40 to execute the series of attack operations.
- the attack action execution unit 13 causes the computer system 40 to execute a series of attack actions in accordance with the designated start date and time.
- the execution timing of the series of attack actions may be the specified start date and time, or may be a random time within a predetermined range around the specified start date and time.
- the computer system 40 is composed of a plurality of terminal devices and a server device, and the command is executed by the terminal device that is the attack target. After that, the computer system 40 outputs logs collected during execution of a series of attack operations. The output log will be used as a teaching material in cyber security exercises by students.
- FIG. 8 is a flow chart showing the operation of the information processing device according to the first embodiment. 1 to 7 will be referred to as appropriate in the following description. Further, in Embodiment 1, the information processing method is implemented by operating the information processing apparatus 10 . Therefore, the description of the information processing method in Embodiment 1 is replaced with the description of the operation of the information processing apparatus 10 below.
- the exercise condition acquisition unit 11 acquires the exercise implementation time and attack type specified by the student as exercise conditions (step A1). Also, the exercise condition acquisition unit 11 inputs the acquired exercise conditions to the attack motion generation unit 12 .
- FIG. 9 is a diagram showing an example of a screen for specifying exercise conditions.
- the attack scenario generation unit 121 generates an attack scenario by a virtual attacker according to the attack type specified by the student (step A2).
- the partial scenario extraction unit 122 extracts, as a partial scenario, a portion of the generated attack scenario that fits within the execution time of the exercise acquired as the exercise condition (step A3).
- the partial scenario extraction unit 122 determines whether each attack action of the extracted partial scenario satisfies the extraction conditions included in the attack action condition information 143 (step A4).
- step A4 if each attack action of the extracted partial scenario does not satisfy the extraction conditions included in the attack action condition information 143 (step A4: No), the partial scenario extraction unit 122 generates an attack scenario.
- the part 121 is made to perform step A2 again.
- step A4 when each attack action of the extracted partial scenario satisfies the extraction condition included in the attack action condition information 143 (step A4: Yes), the process by the partial scenario verification unit 123 is executed. done.
- the partial scenario verification unit 123 determines whether the partial scenario extracted in step A3 is appropriate (step A5).
- the partial scenario verification unit 123 collates the ID of the student who specified the exercise conditions and the extracted partial scenario with the scenario information 144 . Then, the partial scenario verification unit 123 compares the extracted part with a part extracted in the past for the same student, and determines whether the ratio of overlap between the two is equal to or greater than a threshold. As a result of the determination, if the ratio of overlap between the two is equal to or greater than the threshold, the partial scenario verification unit 123 determines that the partial scenario is not suitable. On the other hand, if the ratio of overlap between the two is not equal to or greater than the threshold, the partial scenario verification unit 123 determines that the partial scenario is suitable.
- step A5 if the partial scenario extracted in step A3 is not suitable (step A5: No), the partial scenario verification unit 123 causes the partial scenario extraction unit 122 to execute step A3 again, Extract another partial scenario from the scenario.
- step A5 if the partial scenario extracted in step A3 is suitable (step A5: Yes), the execution sequence generator 124 uses the partial scenario to create a series of An attack motion is generated (step A6).
- the attack operation executing unit 13 transmits the series of attack operations (execution sequence) created in step A6 to the computer system 40 for executing the cybersecurity exercise, and the computer system 40 executes the series of attack operations. is executed (step A7).
- step A7 the processing in the information processing device 10 ends.
- the command is executed by the terminal device that is the attack target.
- the computer system 40 outputs logs collected during execution of a series of attack operations as shown in FIGS. 10 and 11.
- FIG. The output log will be used as a teaching material in cyber security exercises by students.
- FIG. 10 is a diagram showing an example of a log output by the computer system.
- the log shown in FIG. 10 is the event log acquired from the terminal device.
- FIG. 11 is a diagram showing another example of the log output by the computer system.
- the log shown in FIG. 11 is a USN journal (Update Sequence Number Journal) log obtained from the terminal device.
- the information processing apparatus 10 performs a series of exercises to be executed in the cybersecurity exercise according to the start date and time of the exercise, the execution time of the exercise, and the attack type specified by the participant of the cybersecurity exercise. attack motion is created. Therefore, students can conduct cyber security exercises under the conditions specified by themselves. In addition, since the series of attack actions will be different from those used in the cyber security exercises that the students have attended in the past, the students will be able to improve their skills efficiently.
- the program in Embodiment 1 may be any program that causes a computer to execute steps A1 to A7 shown in FIG. By installing this program in a computer and executing it, the information processing apparatus 10 and the information processing method according to the present embodiment can be realized.
- the processor of the computer functions as an exercise condition acquisition unit 11, an attack motion generation unit 12, and an attack motion execution unit 13, and performs processing. Examples of computers include general-purpose PCs, smartphones, and tablet-type terminal devices.
- the storage unit 14 may be realized by storing the data files constituting these in a storage device such as a hard disk provided in the computer, or by a storage device of another computer. It may be realized.
- the program in Embodiment 1 may be executed by a computer system constructed by a plurality of computers.
- each computer may function as one of the training condition acquisition unit 11, the attack motion generation unit 12, and the attack motion execution unit 13, respectively.
- Embodiment 2 Next, an information processing apparatus, an information processing method, and a program according to Embodiment 2 will be described with reference to FIGS. 12 to 14.
- FIG. 12 An information processing apparatus, an information processing method, and a program according to Embodiment 2 will be described with reference to FIGS. 12 to 14.
- FIG. 12 An information processing apparatus, an information processing method, and a program according to Embodiment 2 will be described with reference to FIGS. 12 to 14.
- FIG. 12 is a configuration diagram showing the configuration of the information processing apparatus according to the second embodiment.
- the information processing device 10 according to the second embodiment shown in FIG. 12 is also a device for training against cyber attacks, for example, supporting cyber security exercises, like the information processing device 10 according to the first embodiment. .
- the information processing apparatus 20 includes an exercise condition acquisition unit 11, an attack motion generation unit 12, and an attack motion execution unit 13. In addition, it includes a non-attack motion generating section 21 and a non-attack motion executing section 22 .
- attack type information 141 software information 142 , attack operation condition information 143 , and scenario information 144 , non-attack operation information 146 is also stored in the storage unit 14 .
- the following description focuses on differences from the first embodiment.
- the non-attack motion generation unit 21 uses execution commands included in the series of attack motions generated by the attack motion generation unit 12 to generate non-attack motions that do not correspond to cyber attacks.
- the non-attack motion generation unit 21 compares execution commands (for example, OS standard commands, application programs, etc.) used in a series of attack motions against the non-attack motion information 146 to generate the same execution command. Select a non-attack action that includes one or more actions using commands.
- FIG. 13 is a diagram showing an example of non-attack motion information used in the second embodiment.
- the non-attack operation information 146 is information that specifies, for each application used in the attack type, a command string that uses that application.
- the non-attack action information 146 is composed of "command string", "application”, "difficulty”, and "attack type". The difficulty level will be described later.
- the non-attack motion generation unit 21 selects a command string corresponding to "APT29” and converts the selected command string into a non-attack type. Let it work. Further, when the student designates the difficulty level in advance, the non-attack motion generation unit 21 can select the corresponding command sequence according to the designated difficulty level.
- the non-attack motion generation unit 21 can also create a motion log indicating the user's operation using the techniques disclosed in Reference Documents 1 and 2 below, and use this as a non-attack motion.
- Reference Document 1 Yasuda et al., "Automatic drive system for terminals in active attack observation environment", IEICE Technical Report 119(140), 299-304, 2019-07-23, [https://ci.nii.ac.jp/naid /40021970984]
- the non-attack motion execution unit 22 transmits the non-attack motion generated by the non-attack motion generation unit 21 to the computer system 40 and causes the computer system 40 to execute the non-attack motion. Specifically, the non-attack motion executing unit 22 transmits the command sequence selected as the non-attack motion to the computer system 40 . As a result, the computer system 40 causes each command sequence to be executed in the terminal device that constitutes it.
- the computer system 40 can randomly select a command string to be executed from among the transmitted command strings.
- the non-attack action execution interval may be randomly selected from predetermined values (eg, 1 minute, 1 minute 300 seconds, 2 minutes, 5 minutes, 10 minutes, etc.), or may be selected naturally. In order to increase the execution interval, the execution interval may be increased or decreased by several seconds to the set execution interval.
- the computer system 40 can also generate variations of pseudo operation logs from existing user operation logs using the technology disclosed in Reference 3 below (Reference 3).
- Reference 3 Reference 3 below
- FIG. 14 is a flow diagram showing the operation of the information processing device according to the second embodiment. 12 and 13 will be referred to as needed in the following description. Further, in the second embodiment, the information processing method is implemented by operating the information processing device 20 . Therefore, the description of the information processing method in the second embodiment is replaced with the description of the operation of the information processing apparatus 20 below.
- the exercise condition acquisition unit 11 acquires the exercise execution time and attack type specified by the student as exercise conditions (step B1).
- Step B1 is similar to step A1 shown in FIG.
- the attack scenario generation unit 121 generates an attack scenario by a virtual attacker according to the attack type specified by the student (step B2).
- Step B2 is similar to step A2 shown in FIG.
- the partial scenario extraction unit 122 extracts, as a partial scenario, a portion of the generated attack scenario that fits within the exercise implementation time acquired as the exercise condition (step B3).
- Step B3 is similar to step A3 shown in FIG.
- Step B4 determines whether each attack action of the extracted partial scenario satisfies the extraction conditions included in the attack action condition information 143 (step B4).
- Step B4 is similar to step A4 shown in FIG.
- step B4 if each attack action of the extracted partial scenario does not satisfy the extraction conditions included in the attack action condition information 143 (step B4: No), the partial scenario extraction unit 122 generates an attack scenario.
- the part 121 is made to perform step B2 again.
- step B4 when each attack action of the extracted partial scenario satisfies the extraction condition included in the attack action condition information 143 (step B4: Yes), the process by the partial scenario verification unit 123 is executed. done.
- the partial scenario verification unit 123 determines whether the partial scenario extracted in step B3 is appropriate (step B5). Step B5 is similar to step A5 shown in FIG.
- step B5 if the partial scenario extracted in step A3 is not suitable (step B5: No), the partial scenario verification unit 123 causes the partial scenario extraction unit 122 to execute step B3 again, Extract another partial scenario from the scenario.
- step B5 if the partial scenario extracted in step B3 is suitable (step B5: Yes), the execution sequence generation unit 124 uses the partial scenario to create a series of An attack motion is generated (step B6).
- the non-attack motion generation unit 21 uses the execution commands included in the series of attack motions generated in step B6 to generate non-attack motions that do not correspond to cyber attacks (step B7).
- step B8 is similar to step A7 shown in FIG.
- the non-attack motion executing unit 22 transmits the non-attack motion generated in step B7 to the computer system 40, and causes the computer system 40 to also execute the non-attack motion (step B9). Note that step B9 may be executed simultaneously with step B8.
- step B9 the processing in the information processing device 10 ends.
- the command is executed by the terminal device that is the attack target.
- the computer system 40 outputs the logs collected during the execution of the series of attacking actions and the logs collected during the execution of the non-attacking actions.
- the output log will be used as a teaching material in cyber security exercises by students.
- the effect described in the first embodiment can also be obtained in the second embodiment.
- the computer system 40 outputs a log when executing a non-attacking action in addition to logs collected when executing a series of attacking actions. Therefore, the computer system 40 can include a log obtained as a result of executing a non-attacking action in a log obtained as a result of executing a series of attacking actions.
- the program in the second embodiment may be any program that causes a computer to execute steps B1 to B9 shown in FIG.
- the processor of the computer functions as an exercise condition obtaining unit 11, an attacking motion generating unit 12, an attacking motion executing unit 13, a non-attacking motion generating unit 21, and a non-attacking motion executing unit 22, and performs processing.
- Examples of computers include general-purpose PCs, smartphones, and tablet-type terminal devices.
- the storage unit 14 may be realized by storing the data files constituting these in a storage device such as a hard disk provided in the computer, or by a storage device of another computer. It may be realized.
- the program in Embodiment 1 may be executed by a computer system constructed by a plurality of computers.
- each computer functions as one of the training condition acquisition unit 11, the attack motion generation unit 12, the attack motion execution unit 13, the non-attack motion generation unit 21, and the non-attack motion execution unit 22.
- FIG. 15 is a block diagram showing an example of a computer that implements the information processing apparatus according to the first and second embodiments.
- a computer 150 includes a CPU (Central Processing Unit) 151, a main memory 152, a storage device 153, an input interface 154, a display controller 155, a data reader/writer 156, and a communication interface 157. and These units are connected to each other via a bus 161 so as to be capable of data communication.
- CPU Central Processing Unit
- the computer 150 may include a GPU (Graphics Processing Unit) or an FPGA (Field-Programmable Gate Array) in addition to the CPU 151 or instead of the CPU 151 .
- a GPU or FPGA can execute the programs in the embodiments.
- the CPU 151 expands the program in the embodiment, which is composed of code groups stored in the storage device 153, into the main memory 152, and executes various operations by executing each code in a predetermined order.
- the main memory 152 is typically a volatile storage device such as DRAM (Dynamic Random Access Memory).
- the program in the embodiment is provided in a state stored in a computer-readable recording medium 160. It should be noted that the program in the embodiment may be distributed over the Internet connected via communication interface 157 .
- Input interface 154 mediates data transmission between CPU 151 and input devices 158 such as a keyboard and mouse.
- the display controller 155 is connected to the display device 159 and controls display on the display device 159 .
- the data reader/writer 156 mediates data transmission between the CPU 151 and the recording medium 170, reads the program from the recording medium 160, and writes the processing result of the computer 150 to the recording medium 160.
- Communication interface 157 mediates data transmission between CPU 151 and other computers.
- the recording medium 160 includes general-purpose semiconductor storage devices such as CF (Compact Flash (registered trademark)) and SD (Secure Digital), magnetic recording media such as flexible disks, and CD- Optical recording media such as ROM (Compact Disk Read Only Memory) are included.
- CF Compact Flash
- SD Secure Digital
- magnetic recording media such as flexible disks
- CD- Optical recording media such as ROM (Compact Disk Read Only Memory) are included.
- Embodiments 1 and 2 can also be realized by using hardware corresponding to each part instead of a computer in which a program is installed. Furthermore, the information processing apparatus may be partly implemented by a program and the rest by hardware.
- Appendix 1 an exercise condition acquisition unit that acquires, as an exercise condition, the execution time of the exercise specified by the participant of the cybersecurity exercise; A series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time. an attack motion generator that creates An information processing device.
- the attack motion generation unit determines whether or not the portion satisfies an attack motion condition that defines whether or not a series of attack motions can be executed before extracting the portion, and if the attack motion condition is satisfied, extracting said portion; Information processing equipment.
- the attack action generation unit further identifies the student who specified the execution time used for extracting the part, and creates the series of attack actions and the series of attacks created in the past for the identified student. and, as a result of the comparison, when the ratio of overlapping portions is equal to or greater than a threshold, a portion within the generated scenario that falls within the execution time and is different from the extracted portion is selected. extract again,
- Appendix 4 The information processing device according to any one of Appendices 1 to 3,
- the exercise condition acquisition unit acquires the type of cyber attack specified by the student as the exercise condition,
- the attack action generation unit generates the scenario of the cyber attack according to the type of the cyber attack specified by the student.
- Information processing equipment
- the information processing device according to any one of Appendices 1 to 4,
- the computer system for executing the cybersecurity exercise further comprises an attack operation execution unit that executes the series of created attack operations, Information processing equipment.
- Appendix 6 The information processing device according to appendix 5, a non-attack motion generation unit that generates a non-attack motion that does not correspond to the cyber attack using execution commands included in the generated series of attack motions; In the computer system, a non-attack action execution unit that executes the generated non-attack action; further comprising Information processing equipment.
- An exercise condition obtaining step for obtaining an exercise execution time specified by a participant of the cyber security exercise as an exercise condition;
- a series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time.
- an attack motion generation step that creates An information processing method comprising:
- Appendix 8 The information processing method according to appendix 7, In the attack motion generation step, before extracting the portion, it is determined whether or not the portion satisfies an attack motion condition that defines whether a series of attack motions can be executed, and if the attack motion condition is satisfied, extracting said portion; Information processing methods.
- Appendix 10 The information processing method according to any one of Appendices 7 to 9, in the exercise condition acquisition step, acquiring a type of cyber attack specified by the student as the exercise condition; In the attack action generation step, the scenario of the cyber attack is generated according to the type of the cyber attack specified by the student. Information processing methods.
- Appendix 11 The information processing method according to any one of Appendices 7 to 10, further comprising an attack action execution step of causing the series of created attack actions to be executed in the computer system for performing the cybersecurity exercise; Information processing methods.
- Appendix 12 The information processing method according to Appendix 11, a non-attack motion generation step of generating a non-attack motion not corresponding to the cyber attack, using execution commands included in the generated series of attack motions; a non-attack action execution step of executing the generated non-attack action in the computer system; further comprising Information processing methods.
- an exercise condition obtaining step for obtaining an exercise execution time specified by a participant of the cyber security exercise as an exercise condition;
- a series of attack operations to be executed in the cybersecurity exercise by generating a cyberattack scenario for use in the cybersecurity exercise and extracting a portion of the generated scenario that fits within the specified implementation time.
- an attack motion generation step that creates A computer-readable recording medium recording a program containing instructions for executing a
- Appendix 14 The computer-readable recording medium according to Appendix 13, In the attack motion generation step, before extracting the portion, it is determined whether or not the portion satisfies an attack motion condition that defines whether a series of attack motions can be executed, and if the attack motion condition is satisfied, extracting said portion; Computer-readable recording medium.
- Appendix 15 15. The computer-readable recording medium according to Appendix 13 or 14, In the attack action generation step, the student who specified the execution time used for extracting the part is further specified, and the series of attack actions created and the series of attacks created in the past for the specified student and, as a result of the comparison, when the ratio of overlapping portions is equal to or greater than a threshold, a portion within the generated scenario that falls within the execution time and is different from the extracted portion is selected. extract again, Computer-readable recording medium.
- Appendix 16 The computer-readable recording medium according to any one of Appendices 13 to 15, in the exercise condition acquisition step, acquiring a type of cyber attack specified by the student as the exercise condition; In the attack action generation step, the scenario of the cyber attack is generated according to the type of the cyber attack specified by the student. Computer-readable recording medium.
- Appendix 17 The computer-readable recording medium according to any one of Appendices 13 to 16, The program causes the computer to: further comprising an instruction to execute an attack action execution step for executing the series of attack actions created in the computer system for performing the cybersecurity exercise; Computer-readable recording medium.
- Appendix 18 The computer-readable recording medium according to Appendix 17, The program causes the computer to: a non-attack motion generation step of generating a non-attack motion not corresponding to the cyber attack, using execution commands included in the generated series of attack motions; a non-attack action execution step of executing the generated non-attack action in the computer system; further comprising an instruction to cause the Computer-readable recording medium.
- Information Processing Device (Embodiment 1) REFERENCE SIGNS LIST 11 exercise condition acquisition unit 12 attack motion generation unit 13 attack motion execution unit 20 information processing device (second embodiment) 21 non-attack motion generation unit 22 non-attack motion execution unit 30 terminal device 40 computer system 121 attack scenario generation unit 122 partial scenario extraction unit 123 partial scenario verification unit 124 execution sequence generation unit 141 attack type information 142 software information 143 attack operation condition information 144 scenario information 145 environment information 146 non-attack motion information 150 computer 151 CPU 152 main memory 153 storage device 154 input interface 155 display controller 156 data reader/writer 157 communication interface 158 input device 159 display device 160 recording medium 161 bus
Landscapes
- Engineering & Computer Science (AREA)
- Business, Economics & Management (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- Educational Administration (AREA)
- Educational Technology (AREA)
- General Physics & Mathematics (AREA)
- Entrepreneurship & Innovation (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
情報処理装置10は、サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得部11と、サイバーセキュリティ演習に用いるサイバー攻撃のシナリオを生成し、生成したシナリオのうち、指定された実施時間内に収まる部分を抽出することによって、サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成部12と、を備えている。
Description
本開示は、サイバー攻撃に対する訓練の支援を行うための、情報処理装置、及び情報処理方法に関し、更には、これらを実現するためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
近年、組織を標的としたサイバー攻撃により、情報漏洩、事業停止といった被害が増加しており、サイバー攻撃に対する対策の強化が求められている。そして、サイバー攻撃に対する対策を強化するためには、システムのセキュリティ担当者の調査スキルの向上が不可欠となる。このため、インシデントの痕跡となるログ(以下「攻撃ログ」と表記する)を受講者に見つけ出させるサイバーセキュリティ演習(又はサイバー演習)が行われている。
そして、サイバーセキュリティ演習では、演習教材として、様々なサイバー攻撃について、攻撃ログを含むログを用意することが重要である。しかし、様々なサイバー攻撃について、特定の1組織が数多くのログを収集すること、及び複数の組織間でログを共有することは、実際には困難である。このため、特許文献1は、仮想のサイバー攻撃のための攻撃シナリオを生成する装置を開示している。特許文献1に開示された装置は、プログラム部品間の関係性を示す情報を用いて、プログラム部品を適正に配置することによって、攻撃シナリオを生成する。
そして、特許文献1に開示された装置を用いれば、サイバーセキュリティ演習の際、演習用の計算機システム上で、生成された攻撃シナリオに沿って、仮想のサイバー攻撃を実行することによって、演習用の計算機システムから、攻撃ログを収集することができる。
ところで、サイバーセキュリティ演習による効果を高めるためには、多くの担当者が何度もサイバーセキュリティ演習を行う必要がある。しかしながら、従来からのサイバーセキュリティ演習では、演習の受講者1人1人の都合に合わせて実施することは考慮されておらず、演習の実施時間は誰が受講しても同じである。
このため、従来からのサイバーセキュリティ演習には、多くの担当者にサイバーセキュリティ演習を受講させることが難しいという問題がある。また、特許文献1に開示された装置であっても、受講者の都合に合わせて、サイバーセキュリティの演習の実施時間を調整する手段は備えていないため、上述の問題の解決は困難である。
本開示の目的の一例は、個々の受講者の希望に合わせたサイバーセキュリティ演習を提供できるようにし得る、情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体を提供することにある。
上記目的を達成するため、本開示の一側面における情報処理装置は、
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得部と、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成部と、
を備えている。
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得部と、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成部と、
を備えている。
また、上記目的を達成するため、本開示の一側面における情報処理方法は、
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を有する。
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を有する。
更に、上記目的を達成するため、本開示の一側面におけるコンピュータ読み取り可能な記録媒体は、
コンピュータに、
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を実行させる命令を含む、プログラムを記録している。
コンピュータに、
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を実行させる命令を含む、プログラムを記録している。
以上のように本開示によれば、個々の受講者の希望に合わせたサイバーセキュリティ演習を提供できる。
(実施の形態1)
以下、実施の形態1における、情報処理装置、情報処理方法、及びプログラムについて、図1~図11を参照しながら説明する。
以下、実施の形態1における、情報処理装置、情報処理方法、及びプログラムについて、図1~図11を参照しながら説明する。
[装置構成]
最初に、実施の形態1における情報処理装置の概略構成について図1を用いて説明する。図1は、実施の形態1における情報処理装置の概略構成を示す構成図である。
最初に、実施の形態1における情報処理装置の概略構成について図1を用いて説明する。図1は、実施の形態1における情報処理装置の概略構成を示す構成図である。
図1に示す、実施の形態1における情報処理装置10は、サイバー攻撃に対する訓練、例えば、サイバーセキュリティ演習の支援を行うための装置である。図1に示すように、情報処理装置10は、演習条件取得部11と攻撃動作生成部12とを備えている。
演習条件取得部11は、サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する。攻撃動作生成部12は、サイバーセキュリティ演習に用いる、仮想の攻撃者によるサイバー攻撃のシナリオを生成する。そして、攻撃動作生成部12は、生成したシナリオのうち、指定された実施時間内に収まる部分を抽出することによって、サイバーセキュリティ演習で実行される一連の攻撃動作を作成する。
このように、実施の形態1において、情報処理装置10は、サイバーセキュリティ演習の受講者が指定する演習の実施時間に応じて、サイバーセキュリティ演習で実行される一連の攻撃動作が作成される。このため、情報処理装置10によれば、個々の受講者の希望に合わせたサイバーセキュリティ演習を提供できるようにすることができる。
続いて、図2~図9を用いて、実施の形態1における情報処理装置10の構成及び機能について具体的に説明する。図2は、実施の形態1における情報処理装置の構成を具体的に示す構成図である。
図2に示すように、実施の形態1では、情報処理装置10は、受講者の端末装置30と、サイバーセキュリティ演習を実行するための計算機システム40とに、ネットワークを介して、データ通信可能に接続されている。また、図2に示すように、情報処理装置10は、上述した演習条件取得部11及び攻撃動作生成部12に加えて、攻撃動作実行部13と、記憶部14とを備えている。
実施の形態1では、受講者が端末装置30上で演習の実施時間を指定する。具体的には、受講者は、演習の開始日時と、演習の終了日時とを指定することができる。演習条件取得部11は、演習の開始日時と演習の終了日時から、演習の実施時間を算出し、演習の開始日時と演習の実施時間とを演習条件として取得する。また、受講者は、演習の開始日時と、演習の実施時間とを指定することもできる。この場合も、演習条件取得部11は、演習の開始日時と演習の実施時間とを演習条件として取得する。
また、実施の形態1では、受講者は、演習の実施時間に加えて、サイバー攻撃のタイプ(以下「攻撃タイプ」と表記する。)を指定することもできる。具体的には、サイバー攻撃のタイプの指定は、受講者が、例えば、下記に示す、過去の事例、攻撃グループ(又は攻撃ツール)、又は攻撃目的を入力することによって行われる。この場合、演習条件取得部11は、端末装置30から、指定された実施時間に加えて、サイバー攻撃のタイプも、演習条件として取得する。
・過去の事例:A事件、B事件等
・攻撃グループ(又は攻撃ツール):APT29, REvil, Emotet, Cobalt Strike等
・攻撃目的:個人情報の取得、企業秘密の取得、身代金の獲得、コインマイニング、サービス妨害、情報搾取、データ暗号化、リソース乗っ取り、サービス停止等
・攻撃グループ(又は攻撃ツール):APT29, REvil, Emotet, Cobalt Strike等
・攻撃目的:個人情報の取得、企業秘密の取得、身代金の獲得、コインマイニング、サービス妨害、情報搾取、データ暗号化、リソース乗っ取り、サービス停止等
攻撃動作生成部12は、実施の形態1では、記憶部14に格納されている、攻撃タイプ情報141、ソフトウェア情報142、攻撃動作条件情報143、シナリオ情報144、及び環境情報145を用いて、サイバーセキュリティ演習で実行される一連の攻撃動作を作成する。また、図2に示すように、攻撃動作生成部12は、攻撃シナリオ生成部121と、部分シナリオ抽出部122と、部分シナリオ検証部123と、実行シーケンス生成部124とを備えている。
攻撃シナリオ生成部121は、受講者が指定する攻撃タイプに応じて、仮想の攻撃者によるサイバー攻撃のシナリオ(以下「攻撃シナリオ」と表記する。)を生成する。攻撃シナリオは、攻撃の段階(ステップ)毎に、攻撃先、戦術、攻撃手法を特定する情報である。実施の形態1では、攻撃シナリオ生成部121は、演習条件として取得された攻撃タイプを、攻撃タイプ情報141に照合して、攻撃シナリオを生成する。
図3~図6を用いて、攻撃シナリオ生成部121の動作について具体的に説明する。図3は、実施の形態1で用いられる攻撃タイプ情報の一例を示す図である。図4は、実施の形態1で用いられるソフトウェア情報の一例を示す図である。図5は、実施の形態1において攻撃シナリオ生成部によって実行される処理を説明する図であり、図5(a)及び図5(b)は、一連の処理の経過を示している。図6は、実施の形態1において生成された攻撃シナリオの一例を示す図である。
図3に示すように、攻撃タイプ情報141は、攻撃タイプと、戦術と、攻撃の手法との関係を示す情報である。攻撃タイプ情報141は、攻撃タイプと、それに対応する、「タイプ種別」、「関連する主な戦術(Tactic(s))」、及び「使用される攻撃の手法(Technique(s))」と、で構成されている。
図3において、例えば、「Exfiltration」は、発見した重要情報を外部に持ち出す戦術を示している。「Collection」は、攻撃目標に関連するデータを収集する戦術を示している。「Impact」は、システムとデータとを操作、停止、又は破壊する戦術を示している。
また、図3において、「使用される攻撃の手法」は、MITRE ATT&CK ID (https://atack.mitre.org参照)で使用される語彙に準じて表現されている。つまり、「T1041」、「T1566.001」等の番号は、攻撃で使用される技術を識別する識別番号であり、MITRE ATT&CK IDで規定されている。「使用される攻撃の手法」の欄には、攻撃で使用される技術が網羅されている。
図4に示すように、ソフトウェア情報142は、攻撃で使用される技術とソフトウェアとの関係を示す情報である。ソフトウェア情報142は、「対応する技術」と、「ソフトウェア名」と、「対応する環境」と、「実行タイプ」と、「所要時間」と、「入力フォーマット」と、「出力フォーマット」とで構成されている。「対応する技術」に付記されている番号は、対応するMITRE ATT&CK IDである。
攻撃シナリオ生成部121は、まず、演習条件取得部11によって取得された演習条件から、受講者が指定した攻撃タイプを特定する。次に、攻撃シナリオ生成部121は、特定した攻撃タイプを、攻撃タイプ情報141(図3参照)に照合して、対応する、「タイプ種別」、「関連する主な戦術」、及び「使用される攻撃の手法」を特定する。そして、攻撃シナリオ生成部121は、ソフトウェア情報142を用いて、「使用される攻撃の手法」に含まれる各技術に対応するソフトウェアを特定する。
その後、攻撃シナリオ生成部121は、図5に示すように、特定した、戦術、技術、及びソフトウェアを用いて、攻撃シナリオを完成させる。図5において、「TA1,TA2,TA3, ...」は、特定された「関連する主な戦術」に含まれる戦術を示している。「TE1,TE2,TE3, ...」は、特定された「使用される攻撃の手法」に含まれる技術を示している。「S1,S2,S3, ...」は、各技術に対応するソフトウェアを示している。
また、攻撃シナリオ生成部121は、攻撃タイプが、攻撃目的によって指定されている場合は、指定されている攻撃目的が終端(末尾の戦術)となるように、攻撃シナリオを生成することもできる。
攻撃シナリオ生成部121によって生成された攻撃シナリオの具体例の1つは、図6に示す通りである。図6の例では、攻撃シナリオ生成部121は、計算機システム40を構成する端末装置のなかから、端末装置のシステム環境に応じて、攻撃先となる端末装置を選択している。
図6において、「実行時刻」は、1つ前の攻撃の実行時刻に、ソフトウェア情報における「所要時間」(図4参照)を加えることによって得られている。また、「実行時刻」は、所要時間を加えて得られた時刻に、更にランダムな時間を追加して得られていても良い。
また、図6において、「実行コマンド」は、図4に示した「入力フォーマット」に相当する。実行コマンドの変数部分には、後述する実行シーケンス生成部124が、記憶部14に格納されている環境情報145を参照して、攻撃先のファイルパス、及びIPアドレス等を入力する。環境情報145は、例えば、攻撃先(client A, client B等)毎に、各パラメータ($source, $target, $ipaddressなど)に対応するファイルパス及びIPアドレス等の値を特定する情報である。
部分シナリオ抽出部122は、生成された攻撃シナリオのうち、演習条件として取得された演習の実施時間に収まる部分を、部分シナリオとして抽出する。具体的には、例えば、演習条件である実施時間が1時間であるとすると、部分シナリオ抽出部122は、1時間以内で実行可能な部分シナリオを抽出する。
また、部分シナリオ抽出部122は、実施の形態1では、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報143に含まれる抽出条件を満たしているかどうかを判定する。部分シナリオ抽出部122は、抽出した部分シナリオが抽出条件を満たさない場合は、再度、攻撃シナリオ生成部121に、攻撃シナリオを生成させる。図7は、実施の形態1において用いられる抽出条件の一例を示す図である。図7の例では、抽出条件は、属性毎に、属性値と、参照値条件とで設定されている。
部分シナリオの抽出後、部分シナリオ抽出部122は、演習条件を指定した受講者のID(identifier)と、抽出した部分シナリオと、を対応付け、両者をシナリオ情報144として格納する。シナリオ情報144は、受講者のID毎に、過去に抽出された部分シナリオを特定する情報である。
部分シナリオ検証部123は、部分シナリオ抽出部122によって抽出された部分シナリオが適性であるかどうかを判定する。具体的には、部分シナリオ検証部123は、演習条件を指定した受講者のIDと抽出された部分シナリオとを、シナリオ情報144に照合する。そして、部分シナリオ検証部123は、抽出された部分と、同一の受講者について過去に抽出された部分とを比較し、両者の重複している割合が閾値以上であるかどうかを判定する。
判定の結果、両者の重複している割合が閾値以上である場合は、部分シナリオ検証部123は、部分シナリオ抽出部122に、攻撃シナリオから別の部分シナリオを抽出させる。一方、判定の結果、両者の重複している割合が閾値以上でない場合は、部分シナリオ検証部123は、実行シーケンス生成部124に対して、処理を指示する。なお、この場合の閾値は、適宜設定される。
実行シーケンス生成部124は、部分シナリオを用いて、サイバーセキュリティ演習で実行される一連の攻撃動作、即ち、攻撃の実行シーケンスを生成する。実行シーケンスにおいては、実行コマンドが、実行順に配列されている。また、上述したように、実行シーケンス生成部124は、攻撃シナリオの「実行コマンド」の変数部分(図6参照)に、記憶部14に格納されている環境情報145を参照して、攻撃先のファイルパス、及びIPアドレス等を入力する。
攻撃動作実行部13は、サイバーセキュリティ演習を実行するための計算機システム40に、作成された一連の攻撃動作、即ち実行シーケンスを送信し、計算機システム40において、一連の攻撃動作を実行させる。
また、実施の形態1では、受講者は演習の開始日時を指定しているので、攻撃動作実行部13は、指定された開始日時に合わせて、計算機システム40において、一連の攻撃動作を実行させる。一連の攻撃動作の実行タイミングは、指定された開始日時であっても良いし、指定された開始日時を中心にした所定の範囲内のランダムな時点であっても良い。
計算機システム40は、上述したように、複数の端末装置と、サーバ装置とで構成されており、攻撃目標となった端末装置で、コマンドが実行される。その後、計算機システム40は、一連の攻撃動作の実行時に収集されたログを出力する。出力されたログは、受講者によるサイバーセキュリティ演習において、教材として用いられる。
[装置動作]
次に、実施の形態1における情報処理装置10の動作について図8~図11を用いて説明する。図8は、実施の形態1における情報処理装置の動作を示すフロー図である。以下の説明においては、適宜図1~図7を参照する。また、実施の形態1では、情報処理装置10を動作させることによって、情報処理方法が実施される。よって、実施の形態1における情報処理方法の説明は、以下の情報処理装置10の動作説明に代える。
次に、実施の形態1における情報処理装置10の動作について図8~図11を用いて説明する。図8は、実施の形態1における情報処理装置の動作を示すフロー図である。以下の説明においては、適宜図1~図7を参照する。また、実施の形態1では、情報処理装置10を動作させることによって、情報処理方法が実施される。よって、実施の形態1における情報処理方法の説明は、以下の情報処理装置10の動作説明に代える。
図8に示すように、最初に、演習条件取得部11は、演習条件として、受講者の指定する、演習の実施時間と攻撃タイプとを取得する(ステップA1)。また、演習条件取得部11は、取得した演習条件を、攻撃動作生成部12に入力する。
具体的には、前提として、受講者が、図9に示すように、自身の端末装置30において、演習の開始日時、演習の実施時間、及び攻撃タイプを指定する。これにより、端末装置30は、演習の開始日時、演習の実施時間、及び攻撃タイプを含む情報を、情報処理装置10に送信する。図9は、演習条件の指定画面の一例を示す図である。
次に、攻撃動作生成部12において、攻撃シナリオ生成部121は、受講者が指定する攻撃タイプに応じて、仮想の攻撃者による攻撃シナリオを生成する(ステップA2)。
次に、攻撃動作生成部12において、部分シナリオ抽出部122は、生成された攻撃シナリオのうち、演習条件として取得された演習の実施時間に収まる部分を、部分シナリオとして抽出する(ステップA3)。
次に、部分シナリオ抽出部122は、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報143に含まれる抽出条件を満たしているかどうかを判定する(ステップA4)。
ステップA4の判定の結果、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報143に含まれる抽出条件を満たしていない場合(ステップA4:No)は、部分シナリオ抽出部122は、攻撃シナリオ生成部121に再度ステップA2を実行させる。
一方、ステップA4の判定の結果、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報143に含まれる抽出条件を満たしている場合(ステップA4:Yes)は、部分シナリオ検証部123による処理が行われる。
部分シナリオ検証部123は、ステップA3で抽出された部分シナリオが適性であるかどうかを判定する(ステップA5)。
具体的には、部分シナリオ検証部123は、演習条件を指定した受講者のIDと抽出された部分シナリオとを、シナリオ情報144に照合する。そして、部分シナリオ検証部123は、抽出された部分と、同一の受講者について過去に抽出された部分とを比較し、両者の重複している割合が閾値以上であるかどうかを判定する。判定の結果、両者の重複している割合が閾値以上である場合は、部分シナリオ検証部123は、部分シナリオは適性でないと判定する。一方、両者の重複している割合が閾値以上でない場合は、部分シナリオ検証部123は、部分シナリオは適性であると判定する。
ステップA5の判定の結果、ステップA3で抽出された部分シナリオが適性でない場合(ステップA5:No)は、部分シナリオ検証部123は、部分シナリオ抽出部122に、再度ステップA3を実行させて、攻撃シナリオから別の部分シナリオを抽出させる。
ステップA5の判定の結果、ステップA3で抽出された部分シナリオが適性である場合(ステップA5:Yes)は、実行シーケンス生成部124が、部分シナリオを用いて、サイバーセキュリティ演習で実行される一連の攻撃動作を生成する(ステップA6)。
次に、攻撃動作実行部13は、サイバーセキュリティ演習を実行するための計算機システム40に、ステップA6で作成された一連の攻撃動作(実行シーケンス)を送信し、計算機システム40において、一連の攻撃動作を実行させる(ステップA7)。
ステップA7の実行により、情報処理装置10における処理は終了する。その後、計算機システム40では、攻撃目標となった端末装置で、コマンドが実行される。その後、計算機システム40は、図10及び図11に示すような、一連の攻撃動作の実行時に収集されたログを出力する。出力されたログは、受講者によるサイバーセキュリティ演習において、教材として用いられる。
図10は、計算機システムによって出力されたログの一例を示す図である。図10に示されたログは、端末装置から取得されたイベントログである。図11は、計算機システムによって出力されたログの他の例を示す図である。図11に示されたログは、端末装置から取得されたUSNジャーナル(Update Sequence Number Journal)ログである。
[実施の形態1による効果]
以上のように、実施の形態では、情報処理装置10は、サイバーセキュリティ演習の受講者が指定する、演習の開始日時、演習の実施時間及び攻撃タイプに応じて、サイバーセキュリティ演習で実行される一連の攻撃動作が作成される。このため、受講者は、自身が指定する条件で、サイバーセキュリティ演習を行うことができる。また、一連の攻撃動作は、受講者が過去に受講したサイバーセキュリティ演習で用いられたものとは異なるものとなるので、受講者は効率良くスキルを向上させることができる。
以上のように、実施の形態では、情報処理装置10は、サイバーセキュリティ演習の受講者が指定する、演習の開始日時、演習の実施時間及び攻撃タイプに応じて、サイバーセキュリティ演習で実行される一連の攻撃動作が作成される。このため、受講者は、自身が指定する条件で、サイバーセキュリティ演習を行うことができる。また、一連の攻撃動作は、受講者が過去に受講したサイバーセキュリティ演習で用いられたものとは異なるものとなるので、受講者は効率良くスキルを向上させることができる。
[プログラム]
実施の形態1におけるプログラムは、コンピュータに、図8に示すステップA1~A7を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報処理装置10と情報処理方法とを実現することができる。この場合、コンピュータのプロセッサは、演習条件取得部11、攻撃動作生成部12、及び攻撃動作実行部13として機能し、処理を行なう。コンピュータとしては、汎用のPCの他に、スマートフォン、タブレット型端末装置が挙げられる。
実施の形態1におけるプログラムは、コンピュータに、図8に示すステップA1~A7を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報処理装置10と情報処理方法とを実現することができる。この場合、コンピュータのプロセッサは、演習条件取得部11、攻撃動作生成部12、及び攻撃動作実行部13として機能し、処理を行なう。コンピュータとしては、汎用のPCの他に、スマートフォン、タブレット型端末装置が挙げられる。
また、実施の形態では、記憶部14は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現されていても良いし、別のコンピュータの記憶装置によって実現されていても良い。
実施の形態1におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、演習条件取得部11、攻撃動作生成部12、及び攻撃動作実行部13のいずれかとして機能しても良い。
(実施の形態2)
次に、実施の形態2における、情報処理装置、情報処理方法、及びプログラムについて、図12~図14を参照しながら説明する。
次に、実施の形態2における、情報処理装置、情報処理方法、及びプログラムについて、図12~図14を参照しながら説明する。
[装置構成]
最初に、実施の形態2における情報処理装置の構成について図12を用いて説明する。図12は、実施の形態2における情報処理装置の構成を示す構成図である。
最初に、実施の形態2における情報処理装置の構成について図12を用いて説明する。図12は、実施の形態2における情報処理装置の構成を示す構成図である。
図12に示す、実施の形態2における情報処理装置10も、実施の形態1に示した情報処理装置10と同様に、サイバー攻撃に対する訓練、例えば、サイバーセキュリティ演習の支援を行うための装置である。
図12に示すように、実施の形態2では、情報処理装置20は、実施の形態1における情報処理装置10と異なり、演習条件取得部11、攻撃動作生成部12、及び攻撃動作実行部13に加えて、非攻撃動作生成部21と、非攻撃動作実行部22とを備えている。また、記憶部14には、攻撃タイプ情報141、ソフトウェア情報142、攻撃動作条件情報143、及びシナリオ情報144に加えて、非攻撃動作情報146も格納されている。以下、実施の形態1との相違点を中心に説明する。
非攻撃動作生成部21は、攻撃動作生成部12によって生成された一連の攻撃動作に含まれる実行コマンドを用いて、サイバー攻撃に該当しない非攻撃動作を生成する。実施の形態2では、非攻撃動作生成部21は、一連の攻撃動作で使われている実行コマンド(例えば、OS標準コマンド、アプリケーションプログラム等)を、非攻撃動作情報146に照合して、同じ実行コマンドを用いた動作を1つ以上含んだ非攻撃動作を選択する。
ここで、図13を用いて、非攻撃動作生成部21の動作について具体的に説明する。図13は、実施の形態2で用いられる非攻撃動作情報の一例を示す図である。図13に示すように、非攻撃動作情報146は、攻撃タイプで使用されるアプリケーション毎に、そのアプリケーションを利用するコマンド列を特定する情報である。非攻撃動作情報146は、「コマンド列」と、「アプリケーション」と、「難易度」と、「攻撃タイプ」とで構成されている。難易度については後述する。
具体的には、非攻撃動作生成部21は、例えば、受講者が指定した攻撃タイプが「APT29」であるとすると、「APT29」に対応するコマンド列を選択し、選択したコマンド列を非攻撃動作とする。また、受講者が予め難易度を指定する場合は、非攻撃動作生成部21は、指定された難易度に応じて、対応するコマンド列を選択することもできる。
また、非攻撃動作生成部21は、下記の参照文献1及び2に開示されている技術を用いて、ユーザの操作を示す動作ログを作成し、これを非攻撃動作とすることもできる。
(参照文献1)
安田他、「能動的攻撃観測環境における端末の自動駆動システム」、信学技報119(140)、299-304、2019-07-23、[https://ci.nii.ac.jp/naid/40021970984]
(参照文献2)
IEICE Technical Committee、「能動的攻撃観測環境における端末の自動駆動システム」、[https://www.ieice.org/publications/ken/summary.php?contribution_id=103289]
(参照文献1)
安田他、「能動的攻撃観測環境における端末の自動駆動システム」、信学技報119(140)、299-304、2019-07-23、[https://ci.nii.ac.jp/naid/40021970984]
(参照文献2)
IEICE Technical Committee、「能動的攻撃観測環境における端末の自動駆動システム」、[https://www.ieice.org/publications/ken/summary.php?contribution_id=103289]
非攻撃動作実行部22は、計算機システム40に、非攻撃動作生成部21によって生成された非攻撃動作を送信し、計算機システム40において非攻撃動作を実行させる。具体的には、非攻撃動作実行部22は、非攻撃動作として選択されたコマンド列を計算機システム40に送信する。これにより、計算機システム40は、それを構成する端末装置において、各コマンド列を実行させる。
また、計算機システム40は、送信されてきたコマンド列の中から、実行させるコマンド列をランダムに選択することができる。更に、非攻撃動作の実行間隔は、予め定めた値(例えば、1分、1分300秒、2分、5分、10分等)の中から、ランダムに選択されても良いし、自然さを高めるため、設定された実行間隔に数秒の増減を加えた実行間隔であっても良い。
また、計算機システム40は、下記の参照文献3に開示された技術を用いて、既存のユーザ操作ログから、疑似操作ログのバリエーションを生成することもできる
(参照文献3)
国際公開第2021/171383号
(参照文献3)
国際公開第2021/171383号
[装置動作]
次に、実施の形態2における情報処理装置10の動作について図14を用いて説明する。図14は、実施の形態2における情報処理装置の動作を示すフロー図である。以下の説明においては、適宜図12及び13を参照する。また、実施の形態2では、情報処理装置20を動作させることによって、情報処理方法が実施される。よって、実施の形態2における情報処理方法の説明は、以下の情報処理装置20の動作説明に代える。
次に、実施の形態2における情報処理装置10の動作について図14を用いて説明する。図14は、実施の形態2における情報処理装置の動作を示すフロー図である。以下の説明においては、適宜図12及び13を参照する。また、実施の形態2では、情報処理装置20を動作させることによって、情報処理方法が実施される。よって、実施の形態2における情報処理方法の説明は、以下の情報処理装置20の動作説明に代える。
図14に示すように、最初に、演習条件取得部11は、演習条件として、受講者の指定する、演習の実施時間と攻撃タイプとを取得する(ステップB1)。ステップB1は、図8に示したステップA1と同様のステップである。
次に、攻撃動作生成部12において、攻撃シナリオ生成部121は、受講者が指定する攻撃タイプに応じて、仮想の攻撃者による攻撃シナリオを生成する(ステップB2)。ステップB2は、図8に示したステップA2と同様のステップである。
次に、攻撃動作生成部12において、部分シナリオ抽出部122は、生成された攻撃シナリオのうち、演習条件として取得された演習の実施時間に収まる部分を、部分シナリオとして抽出する(ステップB3)。ステップB3は、図8に示したステップA3と同様のステップである。
次に、部分シナリオ抽出部122は、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報143に含まれる抽出条件を満たしているかどうかを判定する(ステップB4)。ステップB4は、図8に示したステップA4と同様のステップである。
ステップB4の判定の結果、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報143に含まれる抽出条件を満たしていない場合(ステップB4:No)は、部分シナリオ抽出部122は、攻撃シナリオ生成部121に再度ステップB2を実行させる。
一方、ステップB4の判定の結果、抽出した部分シナリオの各攻撃動作が、攻撃動作条件情報143に含まれる抽出条件を満たしている場合(ステップB4:Yes)は、部分シナリオ検証部123による処理が行われる。
部分シナリオ検証部123は、ステップB3で抽出された部分シナリオが適性であるかどうかを判定する(ステップB5)。ステップB5は、図8に示したステップA5と同様のステップである。
ステップB5の判定の結果、ステップA3で抽出された部分シナリオが適性でない場合(ステップB5:No)は、部分シナリオ検証部123は、部分シナリオ抽出部122に、再度ステップB3を実行させて、攻撃シナリオから別の部分シナリオを抽出させる。
ステップB5の判定の結果、ステップB3で抽出された部分シナリオが適性である場合(ステップB5:Yes)は、実行シーケンス生成部124が、部分シナリオを用いて、サイバーセキュリティ演習で実行される一連の攻撃動作を生成する(ステップB6)。
次に、非攻撃動作生成部21は、ステップB6によって生成された一連の攻撃動作に含まれる実行コマンドを用いて、サイバー攻撃に該当しない非攻撃動作を生成する(ステップB7)。
次に、攻撃動作実行部13は、サイバーセキュリティ演習を実行するための計算機システム40に、ステップB6で作成された一連の攻撃動作(実行シーケンス)を送信し、計算機システム40において、一連の攻撃動作を実行させる(ステップB8)。ステップB8は、図8に示したステップA7と同様のステップである。
次に、非攻撃動作実行部22は、計算機システム40に、ステップB7で生成された非攻撃動作を送信して、計算機システム40において、非攻撃動作も実行させる(ステップB9)。なお、ステップB9は、ステップB8と同時に実行されていても良い。
ステップB9の実行により、情報処理装置10における処理は終了する。その後、計算機システム40では、攻撃目標となった端末装置で、コマンドが実行される。その後、計算機システム40は、一連の攻撃動作の実行時に収集されたログと、非攻撃動作の実行時に収集されたログとを出力する。出力されたログは、受講者によるサイバーセキュリティ演習において、教材として用いられる。
[実施の形態2による効果]
以上のように、実施の形態2においても、実施の形態1で述べた効果が得られる。また、実施の形態2によれば、計算機システム40は、一連の攻撃動作の実行時に収集されたログに加えて、非攻撃動作の実行時のログも出力する。このため、計算機システム40は、一連の攻撃動作の実行の結果得られたログに、非攻撃動作の実行の結果得られたログを含めることができる。結果、実施の形態2によれば、攻撃か非攻撃かの判断を難しくしたサイバーセキュリティ演習が実現可能となる。
以上のように、実施の形態2においても、実施の形態1で述べた効果が得られる。また、実施の形態2によれば、計算機システム40は、一連の攻撃動作の実行時に収集されたログに加えて、非攻撃動作の実行時のログも出力する。このため、計算機システム40は、一連の攻撃動作の実行の結果得られたログに、非攻撃動作の実行の結果得られたログを含めることができる。結果、実施の形態2によれば、攻撃か非攻撃かの判断を難しくしたサイバーセキュリティ演習が実現可能となる。
[プログラム]
実施の形態2におけるプログラムは、コンピュータに、図14に示すステップB1~B9を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報処理装置10と情報処理方法とを実現することができる。この場合、コンピュータのプロセッサは、演習条件取得部11、攻撃動作生成部12、攻撃動作実行部13、非攻撃動作生成部21、及び非攻撃動作実行部22として機能し、処理を行なう。コンピュータとしては、汎用のPCの他に、スマートフォン、タブレット型端末装置が挙げられる。
実施の形態2におけるプログラムは、コンピュータに、図14に示すステップB1~B9を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報処理装置10と情報処理方法とを実現することができる。この場合、コンピュータのプロセッサは、演習条件取得部11、攻撃動作生成部12、攻撃動作実行部13、非攻撃動作生成部21、及び非攻撃動作実行部22として機能し、処理を行なう。コンピュータとしては、汎用のPCの他に、スマートフォン、タブレット型端末装置が挙げられる。
また、実施の形態では、記憶部14は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現されていても良いし、別のコンピュータの記憶装置によって実現されていても良い。
実施の形態1におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、演習条件取得部11、攻撃動作生成部12、攻撃動作実行部13、非攻撃動作生成部21、及び非攻撃動作実行部22のいずれかとして機能しても良い。
[物理構成]
ここで、実施の形態1及び2におけるプログラムを実行することによって、情報処理装置を実現するコンピュータについて図15を用いて説明する。図15は、実施の形態1及び2における情報処理装置を実現するコンピュータの一例を示すブロック図である。
ここで、実施の形態1及び2におけるプログラムを実行することによって、情報処理装置を実現するコンピュータについて図15を用いて説明する。図15は、実施の形態1及び2における情報処理装置を実現するコンピュータの一例を示すブロック図である。
図15に示すように、コンピュータ150は、CPU(Central Processing Unit)151と、メインメモリ152と、記憶装置153と、入力インターフェイス154と、表示コントローラ155と、データリーダ/ライタ156と、通信インターフェイス157とを備える。これらの各部は、バス161を介して、互いにデータ通信可能に接続される。
また、コンピュータ150は、CPU151に加えて、又はCPU151に代えて、GPU(Graphics Processing Unit)、又はFPGA(Field-Programmable Gate Array)を備えていても良い。この態様では、GPU又はFPGAが、実施の形態におけるプログラムを実行することができる。
CPU151は、記憶装置153に格納された、コード群で構成された実施の形態におけるプログラムをメインメモリ152に展開し、各コードを所定順序で実行することにより、各種の演算を実施する。メインメモリ152は、典型的には、DRAM(Dynamic Random Access Memory)等の揮発性の記憶装置である。
また、実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体160に格納された状態で提供される。なお、実施の形態におけるプログラムは、通信インターフェイス157を介して接続されたインターネット上で流通するものであっても良い。
また、記憶装置153の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス154は、CPU151と、キーボード及びマウスといった入力機器158との間のデータ伝送を仲介する。表示コントローラ155は、ディスプレイ装置159と接続され、ディスプレイ装置159での表示を制御する。
データリーダ/ライタ156は、CPU151と記録媒体170との間のデータ伝送を仲介し、記録媒体160からのプログラムの読み出し、及びコンピュータ150における処理結果の記録媒体160への書き込みを実行する。通信インターフェイス157は、CPU151と、他のコンピュータとの間のデータ伝送を仲介する。
また、記録媒体160の具体例としては、CF(Compact Flash(登録商標))及びSD(Secure Digital)等の汎用的な半導体記憶デバイス、フレキシブルディスク(Flexible Disk)等の磁気記録媒体、又はCD-ROM(Compact Disk Read Only Memory)などの光学記録媒体が挙げられる。
なお、実施の形態1及び2における情報処理装置は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、情報処理装置は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
上述した実施の形態の一部又は全部は、以下に記載する(付記1)~(付記18)によって表現することができるが、以下の記載に限定されるものではない。
(付記1)
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得部と、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成部と、
を備えている、情報処理装置。
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得部と、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成部と、
を備えている、情報処理装置。
(付記2)
付記1に記載の情報処理装置であって、
前記攻撃動作生成部が、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
情報処理装置。
付記1に記載の情報処理装置であって、
前記攻撃動作生成部が、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
情報処理装置。
(付記3)
付記1または2に記載の情報処理装置であって、
前記攻撃動作生成部が、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
付記1または2に記載の情報処理装置であって、
前記攻撃動作生成部が、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
(付記4)
付記1~3のいずれかに記載の情報処理装置であって、
前記演習条件取得部が、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
前記攻撃動作生成部が、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
情報処理装置。
付記1~3のいずれかに記載の情報処理装置であって、
前記演習条件取得部が、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
前記攻撃動作生成部が、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
情報処理装置。
(付記5)
付記1~4のいずれかに記載の情報処理装置であって、
前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行部を更に備えている、
情報処理装置。
付記1~4のいずれかに記載の情報処理装置であって、
前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行部を更に備えている、
情報処理装置。
(付記6)
付記5に記載の情報処理装置であって、
生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成部と、
前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行部と、
を更に備えている、
情報処理装置。
付記5に記載の情報処理装置であって、
生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成部と、
前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行部と、
を更に備えている、
情報処理装置。
(付記7)
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を有する、情報処理方法。
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を有する、情報処理方法。
(付記8)
付記7に記載の情報処理方法であって、
前記攻撃動作生成ステップにおいて、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
情報処理方法。
付記7に記載の情報処理方法であって、
前記攻撃動作生成ステップにおいて、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
情報処理方法。
(付記9)
付記7または8に記載の情報処理方法であって、
前記攻撃動作生成ステップにおいて、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
情報処理方法。
付記7または8に記載の情報処理方法であって、
前記攻撃動作生成ステップにおいて、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
情報処理方法。
(付記10)
付記7~9のいずれかに記載の情報処理方法であって、
前記演習条件取得ステップにおいて、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
前記攻撃動作生成ステップにおいて、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
情報処理方法。
付記7~9のいずれかに記載の情報処理方法であって、
前記演習条件取得ステップにおいて、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
前記攻撃動作生成ステップにおいて、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
情報処理方法。
(付記11)
付記7~10のいずれかに記載の情報処理方法であって、
前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行ステップを更に有する、
情報処理方法。
付記7~10のいずれかに記載の情報処理方法であって、
前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行ステップを更に有する、
情報処理方法。
(付記12)
付記11に記載の情報処理方法であって、
生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成ステップと、
前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行ステップと、
を更に有する、
情報処理方法。
付記11に記載の情報処理方法であって、
生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成ステップと、
前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行ステップと、
を更に有する、
情報処理方法。
(付記13)
コンピュータに、
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
コンピュータに、
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得ステップと、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成ステップと、
を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
(付記14)
付記13に記載のコンピュータ読み取り可能な記録媒体であって、
前記攻撃動作生成ステップにおいて、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
コンピュータ読み取り可能な記録媒体。
付記13に記載のコンピュータ読み取り可能な記録媒体であって、
前記攻撃動作生成ステップにおいて、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
コンピュータ読み取り可能な記録媒体。
(付記15)
付記13または14に記載のコンピュータ読み取り可能な記録媒体であって、
前記攻撃動作生成ステップにおいて、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
コンピュータ読み取り可能な記録媒体。
付記13または14に記載のコンピュータ読み取り可能な記録媒体であって、
前記攻撃動作生成ステップにおいて、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
コンピュータ読み取り可能な記録媒体。
(付記16)
付記13~15のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記演習条件取得ステップにおいて、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
前記攻撃動作生成ステップにおいて、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
コンピュータ読み取り可能な記録媒体。
付記13~15のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記演習条件取得ステップにおいて、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
前記攻撃動作生成ステップにおいて、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
コンピュータ読み取り可能な記録媒体。
(付記17)
付記13~16のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行ステップを実行させる命令を更に含む、
コンピュータ読み取り可能な記録媒体。
付記13~16のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行ステップを実行させる命令を更に含む、
コンピュータ読み取り可能な記録媒体。
(付記18)
付記17に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成ステップと、
前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行ステップと、
を実行させる命令を更に含む、
コンピュータ読み取り可能な記録媒体。
付記17に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成ステップと、
前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行ステップと、
を実行させる命令を更に含む、
コンピュータ読み取り可能な記録媒体。
以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
以上のように本開示によれば、個々の受講者の希望に合わせたサイバーセキュリティ演習を提供できる。本開示は、サイバー攻撃に対する訓練が求められている分野に有用である。
10 情報処理装置(実施の形態1)
11 演習条件取得部
12 攻撃動作生成部
13 攻撃動作実行部
20 情報処理装置(実施の形態2)
21 非攻撃動作生成部
22 非攻撃動作実行部
30 端末装置
40 計算機システム
121 攻撃シナリオ生成部
122 部分シナリオ抽出部
123 部分シナリオ検証部
124 実行シーケンス生成部
141 攻撃タイプ情報
142 ソフトウェア情報
143 攻撃動作条件情報
144 シナリオ情報
145 環境情報
146 非攻撃動作情報
150 コンピュータ
151 CPU
152 メインメモリ
153 記憶装置
154 入力インターフェイス
155 表示コントローラ
156 データリーダ/ライタ
157 通信インターフェイス
158 入力機器
159 ディスプレイ装置
160 記録媒体
161 バス
11 演習条件取得部
12 攻撃動作生成部
13 攻撃動作実行部
20 情報処理装置(実施の形態2)
21 非攻撃動作生成部
22 非攻撃動作実行部
30 端末装置
40 計算機システム
121 攻撃シナリオ生成部
122 部分シナリオ抽出部
123 部分シナリオ検証部
124 実行シーケンス生成部
141 攻撃タイプ情報
142 ソフトウェア情報
143 攻撃動作条件情報
144 シナリオ情報
145 環境情報
146 非攻撃動作情報
150 コンピュータ
151 CPU
152 メインメモリ
153 記憶装置
154 入力インターフェイス
155 表示コントローラ
156 データリーダ/ライタ
157 通信インターフェイス
158 入力機器
159 ディスプレイ装置
160 記録媒体
161 バス
Claims (18)
- サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得する演習条件取得手段と、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する攻撃動作生成手段と、
を備えている、情報処理装置。 - 請求項1に記載の情報処理装置であって、
前記攻撃動作生成手段が、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
情報処理装置。 - 請求項1または2に記載の情報処理装置であって、
前記攻撃動作生成手段が、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、抽出した部分と、特定した前記受講者について過去に抽出した部分と、を比較し、比較の結果、両者の重複している割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
情報処理装置。 - 請求項1~3のいずれかに記載の情報処理装置であって、
前記演習条件取得手段が、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
前記攻撃動作生成手段が、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
情報処理装置。 - 請求項1~4のいずれかに記載の情報処理装置であって、
前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、攻撃動作実行手段を更に備えている、
情報処理装置。 - 請求項5に記載の情報処理装置であって、
生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成する非攻撃動作生成手段と、
前記計算機システムにおいて、生成された前記非攻撃動作を実行させる非攻撃動作実行手段と、
を更に備えている、
情報処理装置。 - サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得し、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成する、
情報処理方法。 - 請求項7に記載の情報処理方法であって、
前記攻撃動作の生成において、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
情報処理方法。 - 請求項7または8に記載の情報処理方法であって、
前記攻撃動作の生成において、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
情報処理方法。 - 請求項7~9のいずれかに記載の情報処理方法であって、
前記演習条件の取得において、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
前記攻撃動作の生成において、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
情報処理方法。 - 請求項7~10のいずれかに記載の情報処理方法であって、
前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、
情報処理方法。 - 請求項11に記載の情報処理方法であって、
生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成させ、
前記計算機システムにおいて、生成された前記非攻撃動作を実行させる、
情報処理方法。 - コンピュータに、
サイバーセキュリティ演習の受講者が指定する演習の実施時間を、演習条件として取得させ、
前記サイバーセキュリティ演習に用いる、サイバー攻撃のシナリオを生成し、生成した前記シナリオのうち、指定された前記実施時間内に収まる部分を抽出することによって、前記サイバーセキュリティ演習で実行される一連の攻撃動作を作成させる、
命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。 - 請求項13に記載のコンピュータ読み取り可能な記録媒体であって、
前記攻撃動作の生成において、前記部分を抽出する前に、前記部分が、一連の攻撃動作の実行の可否を規定する攻撃動作条件を満たすかどうかを判定し、前記攻撃動作条件を満たす場合に、前記部分を抽出する、
コンピュータ読み取り可能な記録媒体。 - 請求項13または14に記載のコンピュータ読み取り可能な記録媒体であって、
前記攻撃動作の生成において、更に、前記部分の抽出に用いた前記実施時間を指定した受講者を特定し、作成した前記一連の攻撃動作と、特定した前記受講者について過去に作成した一連の攻撃動作と、を比較し、比較の結果、重複している部分の割合が閾値以上である場合に、生成した前記シナリオのうち、前記実施時間内に収まり、且つ、抽出した前記部分と異なる部分を再度抽出する、
コンピュータ読み取り可能な記録媒体。 - 請求項13~15のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記演習条件の取得において、前記演習条件として、前記受講者が指定するサイバー攻撃のタイプを取得し、
前記攻撃動作の生成において、前記受講者が指定する前記サイバー攻撃のタイプに応じて、前記サイバー攻撃のシナリオを生成する、
コンピュータ読み取り可能な記録媒体。 - 請求項13~16のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
前記サイバーセキュリティ演習を実行するための計算機システムにおいて、作成された前記一連の攻撃動作を実行させる、命令を更に含む、
コンピュータ読み取り可能な記録媒体。 - 請求項17に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
生成された前記一連の攻撃動作に含まれる実行コマンドを用いて、前記サイバー攻撃に該当しない非攻撃動作を生成させ、
前記計算機システムにおいて、生成された前記非攻撃動作を実行させる、
命令を更に含む、
コンピュータ読み取り可能な記録媒体。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
PCT/JP2022/008895 WO2023166614A1 (ja) | 2022-03-02 | 2022-03-02 | 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
PCT/JP2022/008895 WO2023166614A1 (ja) | 2022-03-02 | 2022-03-02 | 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2023166614A1 true WO2023166614A1 (ja) | 2023-09-07 |
Family
ID=87883200
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2022/008895 WO2023166614A1 (ja) | 2022-03-02 | 2022-03-02 | 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体 |
Country Status (1)
Country | Link |
---|---|
WO (1) | WO2023166614A1 (ja) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN117176478A (zh) * | 2023-11-02 | 2023-12-05 | 南京怡晟安全技术研究院有限公司 | 基于用户操作行为的网络安全实训平台构建方法及系统 |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2020105156A1 (ja) * | 2018-11-21 | 2020-05-28 | 三菱電機株式会社 | シナリオ生成装置、シナリオ生成方法およびシナリオ生成プログラム |
JP2021005165A (ja) * | 2019-06-25 | 2021-01-14 | 株式会社日立製作所 | インシデントシナリオ生成装置及びインシデントシナリオ生成システム |
US11158207B1 (en) * | 2011-04-08 | 2021-10-26 | Proofpoint, Inc. | Context-aware cybersecurity training systems, apparatuses, and methods |
-
2022
- 2022-03-02 WO PCT/JP2022/008895 patent/WO2023166614A1/ja unknown
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US11158207B1 (en) * | 2011-04-08 | 2021-10-26 | Proofpoint, Inc. | Context-aware cybersecurity training systems, apparatuses, and methods |
WO2020105156A1 (ja) * | 2018-11-21 | 2020-05-28 | 三菱電機株式会社 | シナリオ生成装置、シナリオ生成方法およびシナリオ生成プログラム |
JP2021005165A (ja) * | 2019-06-25 | 2021-01-14 | 株式会社日立製作所 | インシデントシナリオ生成装置及びインシデントシナリオ生成システム |
Non-Patent Citations (1)
Title |
---|
BEURAN RAZVAN; INOUE TAKUYA; TAN YASUO; SHINODA YOICHI: "Realistic Cybersecurity Training via Scenario Progression Management", 2019 IEEE EUROPEAN SYMPOSIUM ON SECURITY AND PRIVACY WORKSHOPS (EUROS&PW), IEEE, 17 June 2019 (2019-06-17), pages 67 - 76, XP033599506, DOI: 10.1109/EuroSPW.2019.00014 * |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN117176478A (zh) * | 2023-11-02 | 2023-12-05 | 南京怡晟安全技术研究院有限公司 | 基于用户操作行为的网络安全实训平台构建方法及系统 |
CN117176478B (zh) * | 2023-11-02 | 2024-02-02 | 南京怡晟安全技术研究院有限公司 | 基于用户操作行为的网络安全实训平台构建方法及系统 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
Chen et al. | Security risks and protection in online learning: A survey | |
KR101534192B1 (ko) | 사이버보안 실시간 공격대응 교육훈련을 제공하기 위한 시스템 및 그 방법 | |
KR101460589B1 (ko) | 사이버전 모의 훈련 관제 서버 | |
US20140157415A1 (en) | Information security analysis using game theory and simulation | |
US20140068756A1 (en) | Systems and methods for challenge-response animation and randomization testing | |
JP2019091435A (ja) | 訓練された機械学習モデルを使用することで悪意のあるファイルを検出するシステムおよび方法 | |
EP3368973A1 (en) | Multi-layer computer security countermeasures | |
US11418528B2 (en) | Dynamic best path determination for penetration testing | |
US11765196B2 (en) | Attack scenario simulation device, attack scenario generation system, and attack scenario generation method | |
US20220150273A1 (en) | System and method for cyber training | |
WO2023166614A1 (ja) | 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体 | |
Wang et al. | Using deep learning to solve google recaptcha v2’s image challenges | |
CN115225410A (zh) | 一种独立动态的网络安全靶场系统、设备及其应用方法 | |
Scherb et al. | A serious game for simulating cyberattacks to teach cybersecurity | |
JP7351399B2 (ja) | ログ生成装置、ログ生成方法、及びプログラム | |
Por et al. | A systematic literature review on the security attacks and countermeasures used in graphical passwords | |
Myllyla et al. | Reducing the Time to Detect Cyber Attacks: Combining Attack Simulation With Detection Logic | |
Aarya et al. | Web scanning: existing techniques and future | |
Liu et al. | Enhancing Honeypot Fidelity with Real-Time User Behavior Emulation | |
JP7207536B2 (ja) | ルール生成装置、ルール生成方法、及びプログラム | |
KR101356584B1 (ko) | 게임 내 부정 사용자를 감시하는 방법, 서버 및 시스템 | |
Jin et al. | Ar captcha: Recognizing robot by augmented reality | |
Cucu et al. | Current technologies and trends in cybersecurity and the impact of artificial intelligence | |
WO2020255359A1 (ja) | セキュリティ訓練支援装置、セキュリティ訓練支援方法、及びコンピュータ読み取り可能な記録媒体 | |
WO2023032015A1 (ja) | 攻撃分析支援装置、攻撃分析支援方法、およびコンピュータ読み取り可能な記録媒体 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 22929760 Country of ref document: EP Kind code of ref document: A1 |