JP2015026182A - セキュリティサービス効果表示システム、セキュリティサービス効果表示方法、及びセキュリティサービス効果表示プログラム - Google Patents

Abstract

【課題】ユーザにセキュリティサービスの効果を目に見える形で提示する技術を提供する。
【解決手段】セキュリティサービスによる効果を表示するためのセキュリティサービス効果表示システムにおいて、ネットワーク上の攻撃に関する情報を収集する攻撃情報収集手段と、前記攻撃情報収集手段により収集された攻撃に関する情報と、所定の複数のセキュリティサービスにおける各セキュリティサービスについての当該攻撃を回避することが可能か否かを示す情報とを対応付けた回避可否情報を生成する生成手段と、前記生成手段により生成された回避可否情報に基づき、特定のセキュリティサービスが適用されることにより回避される攻撃又は回避されない攻撃を含む情報を表示する表示処理手段とを備える。
【選択図】図１

Description

本発明は、ネットワークにおけるセキュリティ技術に関連し、特に、セキュリティサービスにより回避可能な攻撃に関する情報を可視化する技術に関連するものである。

近年、ＤＯＳ（Denial of Service attack）攻撃、特定のＴＣＰポートを狙った攻撃や、悪意のあるソフトウェアであるマルウェア等によるネットワーク上の攻撃が増加している。

このような攻撃に対応して、各種のセキュリティサービスが提供されている。当該セキュリティサービスとしては、例えば、ルータ、ＦＷによるアクセス制御サービス、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）やＤＬＰ（ＤａｔａＬｏｓｓＰｒｏｔｅｃｔｉｏｎ）といったセキュリティシステムを用いたサービス、ウィルスパターンの自動更新やメールのウィルスチェック、ＵＲＬフィルタリングといったアプリケーションサービス等がある。例えば、ネットワークのユーザは、通信事業者等により提供される上記セキュリティサービスを利用することにより、自身のネットワークを攻撃から守るようにする。

なお、セキュリティに関連する従来技術として例えば特許文献１に記載された技術がある。

特開2005-227982号公報

しかしながら、セキュリティサービスは実際に攻撃が発生する等の問題が起きるまでその価値を定量化することはできず、セキュリティサービスを受けるユーザとしてもセキュリティに費用を支払うことへの妥当性を感じにくいという問題があった。一方、大きな問題が発生したあとではその損失が大きくなり、取り返しのつかない損害を被ることもある。

本発明は上記の点に鑑みてなされたものであり、ユーザにセキュリティサービスの効果を目に見える形で提示する技術を提供することを目的とする。

上記の課題を解決するために、本発明は、セキュリティサービスによる効果を表示するためのセキュリティサービス効果表示システムであって、
ネットワーク上の攻撃に関する情報を収集する攻撃情報収集手段と、
前記攻撃情報収集手段により収集された攻撃に関する情報と、所定の複数のセキュリティサービスにおける各セキュリティサービスについての当該攻撃を回避することが可能か否かを示す情報とを対応付けた回避可否情報を生成する生成手段と、
前記生成手段により生成された回避可否情報に基づき、特定のセキュリティサービスが適用されることにより回避される攻撃又は回避されない攻撃を含む情報を表示する表示処理手段とを備えることを特徴とするセキュリティサービス効果表示システムとして構成される。

前記表示処理手段は、特定のユーザが使用しているセキュリティサービスを特定する情報を含む加入者情報と、前記回避可否情報とを比較することにより、当該特定のユーザが使用しているセキュリティサービスに関して、回避される攻撃又は回避されない攻撃を含む情報を表示するように構成してもよい。

前記回避可否情報は、攻撃の発生した位置に関する情報を含み、前記表示処理手段は、特定のセキュリティサービスが適用されることにより回避される攻撃又は回避されない攻撃を含む情報として、回避されない攻撃をマッピングしたマップ情報を表示するように構成してもよい。

また、前記表示処理手段は、ユーザからの指示に基づいて、適用されるセキュリティサービスの数を変更し、変更後のセキュリティサービにより回避される攻撃又は回避されない攻撃を含む情報を表示するようにしてもよい。

また、本発明は、セキュリティサービスによる効果を表示するためのセキュリティサービス効果表示システムが実行するセキュリティサービス効果表示方法や、コンピュータを、上記セキュリティサービス効果表示システムにおける各手段として機能させるためのセキュリティサービス効果表示プログラムとして構成することもできる。

本発明によれば、ユーザにセキュリティサービスの効果を目に見える形で提示することが可能となる。これにより、例えば、ユーザはセキュリティサービスに費用を支払うことへの妥当性を的確に把握でき、セキュリティサービスに契約するかどうかを適切に判断することが可能となる。

本発明の実施の形態に係るシステム構成図である。 社会ログ収集サーバ１０の機能構成図である。 社会ログ収集サーバ１０の記憶部１４に格納される社会ログの例を示す図である。 ＮＷログ収集サーバ２０の機能構成図である。 ＮＷログ収集サーバ２０の記憶部２２に格納されるＮＷ情報ログの例を示す図である。 加工済みログの例を示す図である。 分析サーバ３０の機能構成図である。 分析サーバ３０の動作を説明するための図である。 製品仕様情報の例を示す図である。 更新ログの例を示す図である。 契約者ＤＢに格納されるテーブル情報の例を示す図である。 全体ログデータとある契約ユーザの契約情報を照合した結果を示す図である。 表示サーバの機能構成図である。 全体ログデータとある契約ユーザの契約情報を照合した結果を表示する表示例を示す図である 世界地図にマップした例を示す図である。 グラフ表示の他の例を示す図である。

以下、図面を参照して本発明の実施の形態を説明する。なお、以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。また、以下では種々のデータ例（テーブル情報）を示すが、これらは実施の形態の内容をわかりやすく説明するための例に過ぎない。

（実施の形態の概要）
本実施の形態では、まず、社会ログ（例：図３）と、ネットワークログ（以下、ＮＷログ）（例：図５）を収集し、そこからマルウェア情報やネットワーク攻撃情報等の攻撃に関する情報を抽出し、攻撃ログ（例：図６）を生成する。そして、製品仕様情報（例：図９）等に基づいて、各種セキュリティサービスにより、攻撃ログに示される攻撃に対応可能かどうかを示す更新ログ（例：図１０、回避可否情報の例）を生成し、例えば、更新ログを契約者情報（例：図１１）と照合することで、契約ユーザにおけるネットワークや装置が任意の攻撃に対して対応が可能か否かを示す表（例：図１２）を作成する。そして、この表や上記の更新ログに基づき、セキュリティサービスの効果を示すための様々な可視化表示（例：図１４〜図１６）を行う。以下、本実施の形態についてより詳細に説明する。

なお、本実施の形態におけるセキュリティサービスとは、例えば、ルータ、ＦＷによるアクセス制御サービス、ＩＤＳやＤＬＰといったセキュリティシステムを用いたサービス、ウィルスパターンの自動更新やメールのウィルスチェック、ＵＲＬフィルタリングといったアプリケーションサービス等である。以下、セキュリティサービスを単に「サービス」と称する場合がある。

（システム構成）
図１に、本発明の実施の形態に係るセキュリティサービス効果表示システムの構成例を示す。図１を参照して本実施の形態に係るシステム構成について説明する。

図１に示すように、本実施の形態に係るセキュリティサービス効果表示システムは、大きくわけて、ログを収集するサーバ、収集したログを分析するサーバ、分析結果を表示するサーバを有する。

より詳細には、ログを収集するサーバは、社会ログを収集する社会ログ収集サーバ１０、ネットワーク上のＤＯＳ攻撃や、マルウェアの情報を収集するＮＷログ収集サーバ２０を含む。また、収集したログを分析するサーバとして分析サーバ３０が社会ログ収集サーバ１０とネットワークログ収集サーバ２０とに接続されている。更に、分析結果を表示するサーバとして、表示サーバ４０が分析サーバ３０に接続されている。

また、社会ログ収集サーバ１０には、ネットワーク１００が接続され、ＮＷログ収集サーバ２０には、ネットワーク２００が接続されている。なお、ネットワーク１００とネットワーク２００は物理的に１つのネットワークである。社会ログ収集サーバ１０とＮＷログ収集サーバ２０におけるログの収集対象が異なることから、それを分かりよく示すために、便宜上これらを分けて記載している。

ネットワーク１００に接続されている特定のサイト１０１は、後述するブログ等のサイトである。また、ネットワーク２００には、ＮＷログ収集元となる、ユーザＮＷ２０４を接続するルータ２０１等が示されている。ネットワーク２００に接続されるユーザＮＷ２０４は、一例として、ＦＷ２０２に接続され、ＩＤＳ２０３を備える構成を示している。

また、表示サーバ４０配下には図示しないユーザ端末が接続されており、ユーザ端末から表示サーバ４０にアクセスすることで当該ユーザのセキュリティ対応状況等がユーザ端末に対して表示される。なお、本実施の形態における「ユーザ」は、セキュリティサービスを提供している事業者（実施の形態に係る可視化サービス提供事業者でもある）の顧客であることを想定しているが、これに限られるわけではない。

また、図１では、本実施の形態に係る処理を実行するためのサーバとして、社会ログ収集サーバ１０、ＮＷログ収集サーバ２０、分析サーバ３０、表示サーバ４０が示されているが、これらのうちの全部又はいずれか複数を１つの装置（コンピュータ）で実現してもよい。例えば、表示サーバ４０と分析サーバ３０を１つの装置として実現することができる。また、表示サーバ４０は、必ずしも分析サーバ３０と接続されている必要はなく、分析サーバ３０により生成されたデータをオフラインで表示サーバ４０に格納し、表示サーバ４０が当該データに基づき表示処理を行うこととしてもよい。この場合、表示サーバ４０は、ユーザ端末であってもよい。

本実施の形態に係る各サーバもしくは複数のサーバからなる装置は、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、当該サーバ又は装置の各機能部は、コンピュータに内蔵されるＣＰＵやメモリ、ハードディスクなどのハードウェア資源を用いて、各部で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メールなど、ネットワークを通して提供することも可能である。

以下、本実施の形態に係るシステムの構成及び動作をより詳細に説明する。

（１．ログ収集）
まず、社会ログ収集サーバ１０及びＮＷログ収集サーバ２０により実行されるログデータの収集について説明する。

＜社会ログの収集＞
最初に、社会ログの収集処理について説明する。本実施の形態における社会ログとは、インターネット等のネットワーク上に公開されている情報であり、その形態は例えばブログ、Ｔｗｉｔｔｅｒ（登録商標）、ニュースサイト等であるが、これらに限られるわけではない。

図２に、本実施の形態に係る社会ログ収集サーバ１０の機能構成図を示す。図２に示すように、社会ログ収集サーバ１０は、ネットワーク１００から社会ログを収集する収集部１１、社会ログからネットワーク攻撃等に関する情報を抽出する抽出部１２、補完データの補充を行う補完データ補充部１３、抽出したデータを格納する記憶部１４を有する。以下、各機能部の動作をより詳しく説明する。

まず、収集部１１が、社会ログを発生されるサイトから、ネットワークの攻撃に関連しそうな情報（社会ログ）をインターネット上（前述したネットワーク１００）をクロールすることによって収集する。

次に、抽出部１２が、収集部１１により収集したログからネットワークの攻撃に関連しそうな情報を特定する。より具体的には、抽出部１２は、サイトの文字列から公知の自然言語処理によって当該情報を選別するようにしてもよいし、予めネットワーク攻撃を類推させる文字列（例えばネットワーク攻撃、ＤＯＳ、ウィルス等）の言語情報をメモリ等に記憶しておいて、収集情報とそれらの言語情報とのマッチングによって抽出を行うようにしてもよい。

収集したデータのみでは不明な情報は、補完データ補充部１３を利用して、他のサイトに問い合わせて補充するようにしてもよい。

例えば、社会ログの構成要素として脆弱性ＩＤを格納する場合において、当該脆弱性ＩＤが空欄で埋まらない場合を想定する。補完データ補充部１３には、脆弱性に関する情報を公開している脆弱性公開サイトのＵＲＬが予め登録されている。補完データ補充部１３は、抽出部１２からの補完作業指示に基づき、収集した記事から抽出した攻撃対象地域名、攻撃方法といった情報をキーにして該当ＵＲＬの脆弱性公開サイトに問い合わせることで、情報のマッチングを行い、脆弱性ＩＤの候補を取得する。なお、このような手段を用いても不明の部分は空欄とする。

上記のようにして抽出された社会ログを記憶部１４（データベース）に記憶する。当該社会ログとして、例えば、脆弱性ＩＤ、攻撃対象となる対象ソフトウェア、攻撃の詳細情報となるＶｕｌｎｅｒａｂｉｌｉｔｙ情報、パッチの有無、脆弱性をつくプログラムの有無を示すＰＯＣコード、実際の攻撃の有無、攻撃対象となっている産業といった情報が格納される。図３に、記憶部１４に格納される社会ログの一例を示す。なお、社会ログのキーとしては、脆弱性ＩＤのかわりにＣＶＥ番号を用いても良い。

＜ＮＷログの収集＞
次に、ＮＷログの収集処理について説明する。ここで、本実施の形態におけるＮＷログとは、ネットワークを介して収集する攻撃のログのことであり、例えばＤＯＳ攻撃のログ、特定のＴＣＰポートを狙った攻撃のログ、あるいはマルウェア情報等である。このような攻撃は、ＩＤＳ、ファイアウォール、ルータ、ウィルスソフト、ハニーポット等で見つけることができ、ＮＷログ収集サーバ２０は、これらの装置から攻撃に関するログを収集する。

ログ収集の対象とする装置は１台でもよいが、攻撃された地域の情報もログとして収集することが望ましいことから、これを実現するため、本実施の形態では、複数地域に設置されたＩＤＳ、ファイアウォール、ルータの情報をその装置のＩＰアドレスとともにネットワークログ収集サーバ２０に格納する。

これらの装置に関し、本実施の形態に係る可視化サービスを提供するネットワーク事業者の所有物であればそのままログデータを収集可能であり、仮にユーザ所有の装置であれば契約等によりログデータを収集する許諾を得た上で、ネットワークログ収集サーバ２０が当該顧客所有の装置のデータを収集するようにしても良い。

また、他ネットワーク事業者と情報交換してもよい。こうすれば、より広範囲の情報収集が可能である。なお、ネットワークレベルの情報収集は、世界的に見れば個人情報としてのログにあたらないため、国境を越えたデータ収集のハードルも低く、サービス化が容易であるという利点もある。

図４に、ネットワークログ収集サーバ２０の機能構成図を示す。図４に示すように、ネットワークログ収集サーバ２０は、上記ＮＷログの収集を行う収集部２１と、収集されたログを格納する記憶部２２を備える。

収集部２１は、上述したＩＤＳ、ファイアウォール、ルータ等の装置から送信元、送信先のＩＤＳ、ファイアウォール、ルータ等のＩＰアドレス、ポート番号の情報を収集し、記憶部２２に格納する。

また、マルウェアに関するログは、ユーザやネットワーク事業者サーバに設置されたウィルス検知ソフトウェアやハニーポットを使って収集することが可能であり、収集部２１は、これらの手段により収集されたマルウェアに関するログを取得し、記憶部２２に格納する。なお、マルウェアのログの場合は攻撃名としてマルウェアを特定できるシグネチャも記憶する。

上記のハニーポットはネットワーク上におとりとして設置されたコンピュータであり、ウィルスの攻撃対象とすることでウィルスの収集を可能にする装置である。ハニーポットはネットワーク上で１台設置されていればマルウェアログの収集は可能であるが、本実施の形態では、攻撃された地域の情報も収集することを考慮して、複数台のハニーポットが設置されていることが好ましい。

図５に、ＮＷログ収集サーバ２０の記憶部２２に格納されるＮＷログの一例を示す。図５の例では、ＮＷログとして、時刻、送信元ＩＰアドレス、宛先ＩＰアドレス、ポート番号、攻撃名（シグネチャ）等が格納されることが示されている。ただし、これは一例である。

＜ログの加工について＞
次に、収集したログの加工について説明する。

ＮＷログ、社会ログはそのままでは分析に適さないため、社会ログ収集サーバ１０、及び、ＮＷログ収集サーバ２０は収集したログを分析できる形態に加工する。本実施の形態では、加工はそれぞれの収集サーバで行うこととするが、加工前のログを分析サーバ３０に送信した後に分析サーバ３０側で加工してもよい。

本実施の形態では、ログの加工として、それぞれのログに攻撃タイプの情報を付加していく。社会ログの場合、攻撃タイプの情報は、キーワードマッチング等の公知の技術を用いて収集した情報より特定する。ここでの攻撃タイプは大分類（ＤＯＳ攻撃、マルウェア、情報漏えい等）、及び具体的攻撃単位である小分類（ＵＤＰフラッディング、ＭＤＳハッシュ、Ｐｉｎ ｏｆ ｄｅａｔｈ等）をもって構成される。

ＮＷログの場合、抽出する攻撃タイプの情報はログの時刻や送信元ＩＰアドレスが同じかどうかの情報、及びシグニチャ情報等に基づき、公知の技術を用いて、大まかな攻撃タイプの大分類（ＤＯＳ、マルウェア、情報漏えい等）、及び具体的攻撃単位である小分類（ＵＤＰフラッディング、ＭＤＳハッシュ、Ｐｉｎ ｏｆ ｄｅａｔｈ等）を導き出して構成する。

また、ＮＷログは同じ攻撃のログが複数重複するので、これらをまとめて１つの攻撃とする。図６に、加工されたデータの例を示す。図６に示す例は、分析サーバ３０に格納された加工済データの例である。図６に示すように、上述した攻撃タイプ（大分類と小分類）が付加されている。ここで加工された加工済ログは、分析サーバ３０に格納され、後述する分析がなされる。

なお、加工の段階で、ＮＷログと社会ログを結合してもよい。例えば、図６は、結合後の加工済ログであってもよい。つまり、例えば、図６における１行目、２行目のＤＯＳ、マルウェアがＮＷログから得られたものであり、３行目の情報漏洩の情報は社会ログから得られたものとしてよい。

（２．ログの分析）
次に、上記のようにして収集、加工されたログを分析サーバ３０により分析する処理について説明する。

＜装置構成、処理概要＞
図７に、分析サーバ３０の機能構成図を示す。図７に示すように、分析サーバ３０は、ログの分析を行う分析部３２、加工済ログ、更新社会ログ、更新ＮＷログ（更新社会ログと更新ＮＷログを総称して更新ログと呼ぶ）を格納する記憶部３３、契約者情報（加入者情報の一例である）を格納する契約者ＤＢ３４、及び、更新ログと契約者情報との比較照合を行う比較照合部３１を備える。このような構成を備える分析サーバ３０の動作概要は以下のとおりである。

分析部３２は、記憶部３３から加工済のログデータを読み込んで分析を行い、サービスが、各ログデータであらわされる攻撃に対応可能（攻撃を回避可能）か、もしくは対応不可能か、といった情報をサービス単位（より詳細にはサービス実施のための装置の製品やそのバージョン単位）で付加して更新ログとして記憶部３２に格納する。そして、比較照合部３１が、更新ログと契約者情報との比較を行うことで、契約しているサービスの下、契約者における装置構成等が各ログデータであらわされる攻撃に対応可能か、もしくは対応不可能か、といった情報を生成する。

なお、本実施の形態では、どのサービスが、各攻撃に対応可能か、もしくは対応不可能かを示す情報を、これまでに説明したＮＷログ情報、及び社会ログ情報を利用して生成するが、利用する情報は、これらに限られるわけではなく、上記対応可能／不可能を示す情報を生成できる情報を含む情報セキュリティのログであれば、ＮＷログ情報、及び社会ログ情報以外のログを用いてもよい。

＜分析処理の詳細＞
以下、分析処理をより詳細に説明する。
（１） 加工済ログの分析
まず、図８を参照して、分析部３２が実行する加工済ログの分析処理について説明する。本実施の形態では、ログから攻撃タイプを抽出し、当該攻撃タイプに関して、サービスによる対応可否を決定し、決定した対応可否情報を更新ログに加えることとしている。

本実施の形態では、サービスによる対応可否の分析方法として、２つのパターンを用いている。パターン１は、擬似的な攻撃によって分析する方法であり、パターン２は外部サーバに問い合わせて、その情報を利用する方法である。なお、２つのパターンを用いることは必須ではない。どちらか１つのみ（例えばパターン２）を用いてもよい。

図８に示すように、パターン１の場合、小分類に分類された攻撃情報（例：ＵＤＰフラッディング）をもとに、擬似攻撃生成装置（これ自体は既存技術）を用いて擬似的な攻撃環境（検証環境）を構築する。当該検証環境の下で、対象のサービスに用いる製品（例：ＦＷ）に対して擬似的な攻撃を行うことにより、当該製品（つまり、サービス）が当該攻撃に対応可能かどうかを確認する。

より具体的には、擬似的に生成した攻撃情報を用いて、検証環境に設置された複数のＯＳやバージョンの異なるルータ、ＦＷに攻撃を仕掛け、その反応データを収集することで異なるバージョンの製品毎に攻撃に対する対応が可能かどうかの情報を入手する。

パターン２では、小分類の攻撃情報（例：マルウェアの識別情報）に基づき外部サーバのＵＲＬにアクセスし、外部サーバに蓄積された製品仕様情報と攻撃情報とを照合することにより、製品が当該攻撃に対応可能かどうかの情報を入手する。なお、製品仕様情報は、分析サーバ３０に予め蓄積しておく情報であるとしてもよい。

上記製品仕様情報の一例を図９に示す。図９に示すように、製品仕様情報は、セキュリティサービスで使用される各社のルータ、ＦＷ、ウィルス検知ソフト等の製品型番等と、対応可能な攻撃名（攻撃タイプの大分類、小分類）とを対応付けた情報である。

パターン２において、分析サーバ３０の分析部３２は、加工済ログの攻撃タイプの大分類、小分類と、製品仕様情報とを照合することで該ログデータの攻撃に対して、それぞれサービス（具体的には製品やソフトウェア）が対応しているかどうかを把握する。また、マルウェア情報の場合は攻撃タイプの情報のほかにシグネチャを用いて外部サーバに問い合わせ、各製品、ソフトウェアが対応可能かどうかの情報を収集する。なお、マルウェア情報への対応状況は日々刻々と更新されるため、この問い合わせは繰り返し行うことが望ましい。

分析部３２は、上記のようにして得られた情報（各種サービスで攻撃に対応できるか否かの情報）を、加工済ログに付与することで、更新ログを生成し、記憶部３３に格納する。図１０に、記憶部３３に格納される更新ログの一例を示す。図１０に示す例では、各サービスに使用される各製品について、バージョン毎に、攻撃に対して対応可能であるかどうかが記録される（対応可である場合は○、対応不可である場合は×）。図１０における「攻撃情報」から左の情報は、加工済のログの情報（例：図６）であり、前述したように、発生時刻、発生元のＩＰアドレスの情報（地域（地図上の位置）を表す情報でもある）等が含まれる。

例えば、ＦＷアクセス制御サービスで使用されるＦＷ製品の機種（例：図１０の製品Ａ等）、バージョン毎に、各攻撃に対応できるかどうかが○、×で記録される。

なお、攻撃は未知の場合もあり、パターン２を用いる場合において、製品仕様情報には小分類の攻撃に対する対応可否が記載されていないことも多い。この場合は、分析部３２は大分類の情報を用いて確率的に対応可能かどうかの値を算出するようにしてもよい。

例えば、特定のＤＯＳ攻撃（これをＤＯＳ−Ａとする）への対応を考える。大分類のＤＯＳ攻撃に対応するものではない製品Ａは即座にＤＯＳ―Ａには対応できないと判定できる。一方、製品Ｂは大分類のＤＯＳ攻撃に対応している製品であり、既知の攻撃の多くに対応しており、かつ振る舞い解析機能も有している。

このため、ＤＯＳ−Ａは未知の攻撃ではあるが製品Ｂは一定程度の確率で新たなＤＯＳ攻撃に対応できることが期待できる。そこで製品Ｂは例えば５０％の確率でこのＤＯＳ−Ａ攻撃に対応可能であるという分析結果を該当の攻撃に対して記載してもよい。この場合、図１０に示す表において、該当の欄に、○、×ではなく５０％といった数値が記載される。

また、過去の対応可否のデータを履歴として記憶しておき、その対応データの値をもとに確率を算出してもよい。例えば４つのＤＯＳ攻撃のうち３つに対応できたという実績があれば、その履歴情報に基づいて３／４＝７５％の確率で対応可能という評価をしてもよい。

分析部３２は、上記のようにして、加工済のログに、サービス（具体的にはサービスに使用する製品、ソフトウェア等）が対応可能かどうか（攻撃を回避できるかどうか）の情報を付加して加工済ログを更新し、更新ログとして記憶部３２に格納する。なお、図１０において、記録する対象とするセキュリティサービスは、例えば、当該可視化サービスを提供する事業者が提供している全セキュリティサービスとしてもよいし、他社も含めた知り得る全てのセキュリティサービスとしてもよい。
（２）契約情報との照合
次に、比較照合部３１により実行される更新ログと契約情報との照合について説明する。図１１に、分析サーバ３０における契約者ＤＢ３４に格納されている契約情報の例を示す。

図１１に示すように、契約者ＤＢ３４には、契約者ＩＤをキーとして、会社名、住所等の基本的な契約者情報、契約者の産業（流通、金融、メーカー等）、ネットワーク種別（オープンネットワークか、クローズドネットワークか、ハイブリッド型か）といった契約者特有の情報である契約者種別、契約者におけるシステム構成を表す物理構成情報、契約者が契約している各種セキュリティサービスの情報がそれぞれ格納されている。

攻撃として、類似の産業を狙ったもの、類似のネットワークの性質をもったところを狙ったものがあるので、類似のネットワークの性質情報や契約者産業種別のユーザが攻撃されたという情報は、他の契約者にとって有用である。

比較照合部３１は、上記の契約者情報（例：図１１）と、前述した更新ログ（例：図１０）とを比較照合することで、契約者において契約しているサービスにより、それぞれのログで表現される脅威に対して当該契約者におけるネットワーク装置等が対応可能かどうか（攻撃を回避できるかどうか）を判定する。

比較照合部３１による判定は、例えば、表示サーバ４０から、特定の契約者についての照合を指示されたときに行い、照合結果を表示サーバ４０に送信することとしてもよいし、分析サーバ３０において予め各契約者について照合処理を行って、照合結果を記憶部３３に格納し、表示サーバ４０から、特定の契約者についての照合結果要求を受けたときに、当該照合結果を表示サーバ４０に送信することとしてもよい。また、比較照合部３１を、後述する表示処理部４２の一部として表示サーバ４０に備え、表示サーバ４０にて比較照合処理を行ってもよい。

ここでの照合処理では、例えば、更新ログ（例：図１０）において、「ＦＷ１」が攻撃Ａに対して対応可である場合、契約者情報に基づき、当該契約者は「ＦＷ１」を使用するＦＷアクセス制御サービスを受けていることを把握し、物理構成情報から把握される当該契約者における当該ＦＷ１配下の装置に対して攻撃Ａへの対応が可能である（回避が可能である）と判断する。また、図１０のログにおいて、「ルータ１」が攻撃Ｂに対して対応可である場合、契約者情報に基づき、当該契約者は「ルータ１」を使用していることを把握し、当該「ルータ１」が攻撃Ｂに対して対応が可能であると判断するような判断方法もある。なお、これらの判断は一例に過ぎない。

図１２に、比較照合により得られる結果の一例を示す。図１２に示すように、各攻撃に対し、該当契約者（Ａ００１）において使用されている装置が攻撃を回避できるかどうかの情報（対応可：○、対応不可：×）が得られる。

（３．表示動作）
次に、表示サーバ４０により行われる表示の動作例について説明する。図１３に、表示サーバ４０の機能構成図を示す。図１３に示すように、表示サーバ４０は、表示に必要なデータを取得するデータ取得部４４、取得したデータを記憶する記憶部４３、ユーザ端末からの表示指示操作を受信する表示指示受信部４１、表示指示に基づいて、表示に必要なデータを記憶部４３から読み出し、表示用のデータを作成して、ユーザ端末に送信する表示処理部４２を備える。次に、上記構成を備える表示サーバ４０が実行する表示処理について説明する。

なお、以下の説明で「表示する」とは、表示サーバ４０に接続されているユーザ端末に、表示処理部４２が表示用データを送ることにより、ユーザ端末において表示を行うことを想定しているが、表示サーバ４０のディスプレイに表示することでもよい。また、以下では、特に説明しないかぎり、表示のために用いるデータは、分析サーバ３０等から既に取得され、記憶部４３に格納されているものとする。

（１）ログ情報の表示の例１
表示サーバ４０は、記憶部４３から各種ログデータを読み出し、これを表示する。表示方法としては、例えば単にログデータを表にして時系列に表示する。

また、各ログデータには情報取得送信元装置のＩＰアドレスから抽出した国、地域、会社情報が含まれるため、これを経度、緯度情報にマップしてドット表記すれば世界地図上に表示することも可能である。更に、ログとして攻撃元のＩＰアドレスの情報も取得する場合は、攻撃の発信元から発信先までの情報とＩＰアドレスのジオロケーション情報を利用して世界地図上にベクトル表記することもできる。

表示処理部４２が、この表示動作をリアルタイムに行うことで、表示を見るユーザは、世界で発生している攻撃状況を俯瞰することができる。

別の見せ方としてベクトル表記の代わりにヒートマップで表示するようにしても良い。また、世界地図の変わりにＩＰアドレスやＡＳ番号の地図上に表示しても良い。

更に、大分類単位で棒グラフ状の表記をしてもよい。各サービス、装置は大分類単位で対応是非が決まる傾向がある。したがって、あるサービスの契約の有無で、大分類に分類したログへの対応可否の傾向が変化することがよく理解できる。

また、グラフ状の表記とすることで、企業内の説明用の資料としても用いやすい。ログデータは大量になると俯瞰するのは煩雑になるので、攻撃の量をマップするドットの大きさで表現する。また、ネットワークの攻撃と、アプリケーションの攻撃、といった種別の違いを色の違いとして表現することとしてもよい。こうすることで、どこでどのような攻撃が行われているかを俯瞰することができる。この表現は世界地図の例で説明したが、日本地図、ある特定地域といったように、地域分けをして表現してもよい。
（２）ログ情報の表示の例２
表示サーバ４０は、特定の契約者に関する分析結果を表示することができる。ここでは、例えば、契約者（ユーザ）がユーザ端末から表示サーバ４０にログインする。表示サーバ４０のデータ取得部４４は、契約者ＩＤをもとに、分析サーバ３０から、例えば図１２に示した照合結果を取得する。そして、表示処理部４２は、収集した全てのセキュリティの脅威（攻撃ログ）のうち、対応可能なログと対応できないログとを選別して表示する。

図１４に、全データを表形式で表示する場合の表示の一例（ユーザ端末の画面に表示される画面）を示す。図１４に示すように、全データが表形式で表示される場合、契約者における現状のサービスにて対応可能なログとそうでないログとを色をわけて表示する。図１４において、斜線部分と斜線がない部分とで色が異なるとする。

全データを世界地図形式で表示する場合、契約者が契約しているセキュリティサービスにより対応可能なログをもうひとつの別の世界地図を用意して同時に（たとえば横に）マッピングして表示することとしてもよい。この表示は、例えば、データ取得部４４が、分析サーバ３０から、更新ログと契約者情報を取得し、表示処理部４２が、契約者が契約しているサービスに基づき、更新ログにおいて、当該サービスにて対応可能な攻撃ログを把握し、それを地図上に表示することで実現できる。

また、フィルタボタンを用意し、ボタンを押下するか否かで、全データのマップと契約者のサービスで対応できた（できない）データとを切り替えるようにしてもよい。

また、図１５に示すように、フィルタをスライドバーとし、基本サービス等で対応可能なものから徐々に高度なサービスまで含めて対応可能なものまで表示データを移していくようにしてもよい。つまり、図１５において、例えば、スライドバーが左端にある状態（ユーザ端末からの操作（指示）に基づく状態）は、セキュリティサービスを全く適用していない状態もしくは基本サービス（基本的な製品構成等）が適用された状態であり、この場合、（ａ）に示すように、収集されたログに基づき、発生した攻撃のほぼ全体がドットで表示される。スライドバーを右にずらすにつれて、適用するセキュリティサービスの数を増やし、セキュリティサービスの適用により、対応が可能になった攻撃ログのプロットを画面上から消すようにする。これにより、当該セキュリティサービスで防げない攻撃のみが表示されることになる。

そして、例えば、スライドバーが所定の位置にきたときに、当該契約者が加入するセキュリティサービスと同じセキュリティサービスの状況になるようにして、（ｂ）に示すように、防げない攻撃のみを表示する。

また、スライドバーを右端にずらしたときには、（ｃ）に示すように、当該事業者により提供可能な全セキュリティサービスを適用した場合の状況が表示される。

上記の表示は、表示処理部４２が、図１０に示す更新ログの情報と、図１１に示す契約者情報を用いることにより行うことができる。例えば、スライドバーの位置と適用するセキュリティサービスの数と種類を対応付けておき、現時点のスライドバーの位置に対応するセキュリティサービスにて対応できない攻撃ログを地図上にプロットすればよい。また、特に、スライドバーが決められた位置に来たときには、契約者情報を参照して、契約者が契約するセキュリティサービスで対応できない攻撃ログを地図上にプロットすればよい。

上記のような表示を行うことで、ユーザは、自身が契約しているかどうかにかかわらず、セキュリティ事業者が提供しているどのセキュリティサービスでリスク回避ができるかどうかを把握することが可能となる。なお、上記の例では、回避できない攻撃のみを表示しているが、回避できる攻撃のみを表示することとしてもよい。

また、サービス単位でチェックボックス形式で選択し、チェックしたサービスで回避できる攻撃を画面に表示しないようにすることで、どのサービスを契約するとどれくらい攻撃を回避できるかの遷移をわかりやすく表示しても良い。

また、攻撃への対応可否を〇×のような２値でなく、確率的に数値で評価する場合には、表示上もドット表示の透明度を薄くすることで、確率的な攻撃対応の度合を視覚的に把握可能にするようにしてもよい。

また、例えば、図１６に示すように、横軸を時期、縦軸を攻撃の数としたグラフを表示してもよい。このグラフには、セキュリティサービスを示すチェックボックスが付されており、あるチェックボックスをチェックすることで、該当のセキュリティサービスを適用させ、対応可となった数だけ攻撃数を減少させた表示とすることができる。この表示についても、攻撃時期を含む図１０の更新ログから実施可能である。

本実施の形態では契約者の対応可否のログの比較対象をあらゆる世界中のログデータとしたが、比較対象の母集合を特定の事業者の契約者全体としてもよい。特に標的型の攻撃については、契約者全体を母集合とすることのメリットがある。

契約者全体のログを表示する際には、契約者個人のデータが特定できないよう、データの平均化、秘匿化、図示化などの方法で抽象的に表現することが望ましい。

また、契約者によってはデータを共有することを躊躇する可能性もある。そこでデータの共有を許可したユーザにのみ、本サービスの提供を可能とするよう、本サービスへのアクセス権とユーザデータを全データとして取り込むか否かのフラグを対応させて記憶しておくようにしてもよい。

本実施の形態によれば、契約者は、自らが対価を支払っているセキュリティサービスの価値を体感することが可能となり、さらに現在自分には起きていないが将来自らのネットワークに発生するかもしれない脅威に対して予防的により高度なセキュリティサービスを受けなければならないというモチベーションを顧客に与え、高度なセキュリティサービスへの加入意欲の促進につなげることができる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

１０ 社会ログ収集サーバ
２０ ＮＷログ収集サーバ
４０ 表示サーバ
３０ 分析サーバ
１００ ネットワーク
２００ ネットワーク
１１ 収集部
１２ 抽出部
１３ 補完データ補充部
１４ 記憶部
２１ 収集部
２２ 記憶部
３２ 分析部
３３ 記憶部
３４ 契約者ＤＢ
３１ 比較照合部
４１ 表示指示受信部
４２ 表示処理部
４３ 記憶部
４４ データ取得部

Claims (6)

1. セキュリティサービスによる効果を表示するためのセキュリティサービス効果表示システムであって、
   ネットワーク上の攻撃に関する情報を収集する攻撃情報収集手段と、
   前記攻撃情報収集手段により収集された攻撃に関する情報と、所定の複数のセキュリティサービスにおける各セキュリティサービスについての当該攻撃を回避することが可能か否かを示す情報とを対応付けた回避可否情報を生成する生成手段と、
   前記生成手段により生成された回避可否情報に基づき、特定のセキュリティサービスが適用されることにより回避される攻撃又は回避されない攻撃を含む情報を表示する表示処理手段と
   を備えることを特徴とするセキュリティサービス効果表示システム。
2. 前記表示処理手段は、特定のユーザが使用しているセキュリティサービスを特定する情報を含む加入者情報と、前記回避可否情報とを比較することにより、当該特定のユーザが使用しているセキュリティサービスに関して、回避される攻撃又は回避されない攻撃を含む情報を表示する
   ことを特徴とする請求項１に記載のセキュリティサービス効果表示システム。
3. 前記回避可否情報は、攻撃の発生した位置に関する情報を含み、前記表示処理手段は、特定のセキュリティサービスが適用されることにより回避される攻撃又は回避されない攻撃を含む情報として、回避されない攻撃をマッピングしたマップ情報を表示する
   ことを特徴とする請求項１又は２に記載のセキュリティサービス効果表示システム。
4. 前記表示処理手段は、ユーザからの指示に基づいて、適用されるセキュリティサービスの数を変更し、変更後のセキュリティサービにより回避される攻撃又は回避されない攻撃を含む情報を表示する
   ことを特徴とする請求項１ないし３のうちいずれか１項に記載のセキュリティサービス効果表示システム。
5. セキュリティサービスによる効果を表示するためのセキュリティサービス効果表示システムが実行するセキュリティサービス効果表示方法であって、
   ネットワーク上の攻撃に関する情報を収集する攻撃情報収集ステップと、
   前記攻撃情報収集ステップにより収集された攻撃に関する情報と、所定の複数のセキュリティサービスにおける各セキュリティサービスについての当該攻撃を回避することが可能か否かを示す情報とを対応付けた回避可否情報を生成する生成ステップと、
   前記生成ステップにより生成された回避可否情報に基づき、特定のセキュリティサービスが適用されることにより回避される攻撃又は回避されない攻撃を含む情報を表示する表示処理ステップと
   を備えることを特徴とするセキュリティサービス効果表示方法。
6. コンピュータを、請求項１ないし４のうちいずれか１項におけるセキュリティサービス効果表示システムにおける各手段として機能させるためのセキュリティサービス効果表示プログラム。

Images